CN101957741A - 一种基于亚阈值特性的真随机数发生器 - Google Patents

Abstract

本发明公开了一种基于亚阈值特性的真随机数发生器，包括快速振荡器、慢速振荡器、电平转换电路、采样触发器和信号后处理电路，快速振荡器的输出端通过电平转换电路与采样触发器的数据端相连接，慢速振荡器的输出端与采样触发器的时钟端相连接，采样触发器的输出端与信号后处理电路的输入端相连接，信号后处理电路的输出端作为发生器的输出端，信号后处理电路对采样触发器的输出信号进行一系列的杂化和噪声化处理过程，以改善输出序列的随机特性。本发明提供的发生器，随机源电路的结构简单，只需要一串奇数级的反相器链级联即可；随机特性好，亚阈值区频率抖动的加强和随机化能力强的信号后处理电路增强了输出序列的随机特性，使得输出效果更好。

Description

一种基于亚阈值特性的真随机数发生器

技术领域

本发明涉及信息安全和集成电路技术领域，尤其涉及一种基于亚阈值特性的真随机数发生器，用于产生不可预测的真随机数序列。

背景技术

随着计算机技术、通信技术的迅猛发展，尤其是网络的广泛利用，信息已成为当今社会的一种十分重要的财富。信息化社会的不断发展使得每个人的生活都与信息的产生、接收、存储、处理和传递有着密切的联系。商业、金融业与互联网的结合更是对密码学和信息安全提出了巨大的挑战。

随机数在现代密码学领域有着非常重要的作用，它是密码芯片和硬件中重要的组成部分。随机数发生器主要分为两种：伪随机数发生器和真随机数发生器。用确定性的算法计算得到的随机序列叫伪随机数，如果攻击者拥有足够的计算能力，则完全可以预测到伪随机数的产生规律。而真随机数发生器利用大自然的随机噪声源，其输出序列不可预测不可再现，能够更好的保护信息的传递，适用于对信息安全要求较高的芯片硬件实体中。

目前，在电路系统中通常采样三种方法获得真随机数：1)利用电阻热噪声源直接放大获得；2)利用带时钟抖动的振荡采样法获得；3)利用离散时间的混沌电路获得。其中最常用的基于振荡采样法的真随机数发生器是由带抖动的振荡器作为随机源，而用精确的另一振荡器采样得到数据输出，随机源来自于带抖动振荡器上的频率抖动。通常将带抖动振荡器设计成易于受噪声扰动，比较常见的方法有将电阻热噪声进行放大输入到振荡器，从而使其频率发生抖动；或者通过增加振荡链的级数或增加振荡链条数的方法，调节快慢振荡器的频率比，从而增强外部噪声对振荡器频率的影响。但是，加入电阻热噪声的设计方法电路复杂，较难实现；而利用多条或多级振荡链的设计方法，使用的振荡链数量庞大，且要使快慢振荡器的频率比调节合适，繁琐麻烦，效果则比较一般。

理想的随机序列应该满足数字0和1随机分布并且相互没有相关性，其一阶、二阶以及高阶相关系数要足够小，另外还要满足其他一些复杂的随机性能标准。然而，实际工作中的真随机数发生器会受到温度、工艺偏差、电源波纹及其他电路串扰等等的影响而使得输出随机序列性能变差，因此真随机数发生器需要一个后处理电路对输出序列进行数字处理，从而达到更高的随机性能标准来满足应用的需要。

发明内容

发明目的：为了克服现有的基于振荡采样法的真随机数发生器随机抖动不足或电路繁琐的缺点，本发明提供一种基于振荡采样法设计的，基于亚阈值特性的真随机数发生器，采用新型的高性能随机抖动源，使用简单的电路即可产生高性能的随机序列，可用于密码学等相关应用领域。

技术方案：为实现上述目的，本发明采用的技术方案为：

一种基于亚阈值特性的真随机数发生器，包括快速振荡器、慢速振荡器、电平转换电路、采样触发器和信号后处理电路，所述快速振荡器的输出端通过电平转换电路与采样触发器的数据端相连接，慢速振荡器的输出端与采样触发器的时钟端相连接，采样触发器的输出端与信号后处理电路的输入端相连接，信号后处理电路的输出端作为发生器的输出端，所述信号后处理电路对采样触发器的输出信号进行一系列的杂化和噪声化处理过程，以改善输出序列的随机特性。

所述快速振荡器可以采用环形振荡电路实现，通过奇数个反相器串联构成；通过控制提供给环形振荡电路的工作电压，可以使快速振荡器工作在亚阈值区内，利用亚阈值区环形振荡电路易于受外部扰动影响的特点，可以增加最终输出序列的随机特性。

所述慢振荡器为一种晶振时钟电路，所述晶振时钟电路的精度要求相对比较高，所述慢速振荡器的时钟频率为快速振荡器的时钟频率的1/10以下。

所述采样触发器采用边沿敏感的寄存器，即可实现对快速振荡器的采样并保持采样数据的稳定性；优选采用D触发器。

所述信号后处理电路由异或网络、伪随机电路和SHA1哈希函数电路构成，采样触发器的输出端与异或网络的输入端相连接，异或网络的输出端与伪随机电路的输入端相连接，伪随机电路的输出端与SHA1哈希函数电路的输入端相连接，SHA1哈希函数电路的输出端作为发生器的输出端。经采样触发器输出的数据首先接入异或网络，再通过伪随机电路对数据进行白噪化处理后，最后接入SHA1哈希函数电路，SHA1哈希函数电路输出端输出的数据即为所述发生器的输出值。

所述异或网络由二级以上移位寄存器串联构成，在相邻的移位寄存器的输出端之间连接有异或门，并逐级传递至下一级，将每次采样得到的单个随机种子逐次移位并相邻异或后得到串行输出值；连接最高级移位寄存器的输出端的异或门的输出端作为异或网络的输出端与伪随机电路的输入端相连接。

所述伪随机电路为一种线性反馈移位寄存器，包括两个以上相串联的寄存器和一个特征多项式构造反馈函数网络，所述反馈函数网络为模二加法器电路；这样获得的随机数输出具有类似高斯白噪声的频谱，相关性弱，使随机特性得到了很大的改善。

在信号后处理电路中还串接了哈希函数电路，哈希函数本身在数学上具有单向性、压缩性和抗碰撞性的特点，能够优化输入数据序列的统计特性，本发明采用了抗穷举性较强的SHA1算法实现哈希网络，能够得到高性能的随机数输出，所述SHA1哈希函数电路可以通过典型的数字电路实现。

所述慢速振荡器的占空比尽可能接近50％，以使输出序列中“0”和“1”的概率都接近50％，优选慢速振荡器的占空比为50％。

由于快速振荡器工作在较低的亚阈值电源区，而其他电路一般工作在正常的1.8V电源电压区，两个不同电压域的电路之间不能直接通信，因此快速振荡器与采样触发器之间需要设计有电平转换电路，用于匹配两个不同电压域间的数字信号。所述电平转换电路可以通过四个PMOS晶体管和四个NMOS晶体管实现，分别记为第零PMOS晶体管MP0、第一PMOS晶体管MP1、第二PMOS晶体管MP2、第三PMOS晶体管MP3、第零NMOS晶体管MN0、第一NMOS晶体管MN1、第二NMOS晶体管MN2和第三NMOS晶体管MN3；第一PMOS晶体管MP1和第一NMOS晶体管MN1构成反相器输出连接到第零NMOS晶体管MN0的输入，第零NMOS晶体管MN0的漏端连接至第二PMOS晶体管MP2栅极，第二PMOS晶体管MN2的漏端连接至第零PMOS晶体管MP0的栅极，第零NMOS晶体管MN0、第零PMOS晶体管MP0、第二NMOS晶体管MN2、第二PMOS晶体管MP2共同构成交叉结构，输出连接到由第三NMOS晶体管MN3和第三PMOS晶体管MP3构成的反相器输入端。

有益效果：本发明的提供的一种基于亚阈值特性的真随机数发生器，随机源电路的结构简单，只需要一串奇数级的反相器链级联即可；随机特性好，频率抖动的加强和随机化能力强的信号后处理电路增强了输出序列的随机特性，使得输出效果更好。

附图说明

图1为本发明的结构示意图；

图2为本发明中快速振荡器及电平转换电路的电路结构示意图；

图3为信号后处理电路的工作流程图；

图4为信号后处理电路的电路结构示意图。

具体实施方式

下面结合附图对本发明作更进一步的说明。

如图1所示，为一种基于亚阈值特性的真随机数发生器，包括快速振荡器、慢速振荡器、电平转换电路、采样触发器和改善输出序列随机特性的信号后处理电路，所述快速振荡器的输出端通过电平转换电路与采样触发器的数据端相连接，慢速振荡器的输出端与采样触发器的时钟端相连接，采样触发器的输出端与信号后处理电路的输入端相连接，信号后处理电路的输出端作为发生器的输出端。

如图2所示，为快速振荡器和电平转换电路的电路结构示意图。所述快速振荡器作为随机源，由通过奇数个反相器串联构成的环形振荡电路实现，电路结构简单，其频率易受电源电压抖动、温度和电路噪声等因素影响，因而具有一定的相位抖动；其相位噪声的方差会随着时间增大而增大，经过若干周期的积累，这些抖动会变得更加明显；但是，环形振荡电路上单纯的相位抖动很小，一般在ps级，如果不进行放大，即使是若干周期抖动的叠加也很难达到满意的效果。

本例中，由于环形振荡电路工作在亚阈值区内，因而其频率受电路噪声的影响更大，能够在较大程度上增强相位抖动。下面从原理上进行描述：

环形振荡电路由奇数个反相器串联组成，振荡周期为T＝2*N*t_pd，其中N是反相器的个数，t_pd是每个反相器的传输延迟时间。当N确定时，环形振荡器的周期由反相器的传输延迟时间决定。在正常工作的电源电压供电情况下，NMOS晶体管(PMOS晶体类似)的下降时间t_pHL为：

$t_{\mathrm{pHL}}=0.52\frac{C_L{V}_{\mathrm{DD}}}{{(W/L)}_n{k}_n^{\′}{V}_{{\mathrm{DSAT}}_n}(V_{\mathrm{DD}}-V_{\mathrm{Tn}}-V_{\mathrm{DSATn}}/2)}$

上升时间t_pLH有类似的公式，而延迟时间t_d＝(t_pHL+t_pLH)/2。在大多数设计中，电源电压都选择得足够高，满足V_DD＞＞V_Tn+V_DSATn/2。在这些条件下，延时基本上与电源电压无关：

$t_{\mathrm{pHL}}\≈0.52\frac{C_L}{{(W/L)}_n{k}_n^{\′}{V}_{\mathrm{DSATn}}}$

然而当电路工作于亚阈值时，电源电压在阈值电压V_Tn之下，电源电压V_DD的影响将变得格外显著。此时影响反相器的传输延时的因素主要有三个：1、负载电容C_L；2、晶体管的宽长比W/L；3、电源电压V_DD。其中负载电容C_L和宽长比W/L都是既定的参数，在电路中一般不会改变，因此电源电压自身的抖动和环境噪声的影响引起的电压抖动成为环形振荡电路频率抖动的重要因素。另一方面，工作于亚阈值区的环形振荡电路会对并不降低的外部噪声源更加敏感。

当反相器工作于亚阈值区时，根据CMOS理论建立的模型，延迟时间具有如下公式：

$t_d=\frac{K{C}_g{V}_{\mathrm{DD}}}{I_{o,g}\exp \left(\frac{\mathrm{VDD}-V_{T,g}}{\mathrm{nVth}}\right)}$

其中K，I_O，g，V_T，g为拟合的数值。该式表明，电源电压对延迟时间的影响很大。由此推得，亚阈值区的电源电压抖动会引起更大的反相器延迟时间抖动，经过若干周期的时间累加，可以较大程度地实现对相位抖动的放大。

所述电平转换电路包括第零PMOS晶体管MP0、第一PMOS晶体管MP1、第二PMOS晶体管MP2、第三PMOS晶体管MP3、第零NMOS晶体管MN0、第一NMOS晶体管MN1、第二NMOS晶体管MN2和第三NMOS晶体管MN3；第一PMOS晶体管MP1和第一NMOS晶体管MN1构成反相器输出连接到第零NMOS晶体管MN0的输入，第零NMOS晶体管MN0的漏端连接至第二PMOS晶体管MP2栅极，第二PMOS晶体管MN2的漏端连接至第零PMOS晶体管MP0的栅极，第零NMOS晶体管MN0、第零PMOS晶体管MP0、第二NMOS晶体管MN2、第二PMOS晶体管MP2共同构成交叉结构，输出连接到由第三NMOS晶体管MN3和第三PMOS晶体管MP3构成的反相器输入端。

所述慢振荡器为一种晶振时钟电路，所述慢速振荡器的时钟频率为快速振荡器的时钟频率的1/10以下；所述慢速振荡器的占空比约为50％。

所述采样触发器采用D触发器或者边沿敏感的寄存器实现。

如附图3所示，为本例中信号后处理电路工作流程图：经采样触发器输出的采样信号，首先进行五级移位，接着等待后处理开始的使能判定：若使能端判定为NO，则返回到五级移位阶段继续进行移位操作；若使能端判定为YES，则跳入异或网络，对相邻位输出进行异或操作并最终得到串行输出。输出数据流将送入线性反馈移位寄存器作伪随机化，并经过192bit串并转换成为192位的并行数据。并行数据进入SHA1哈希杂化网络，经过消息分组填充、初始化链接变量、80轮循环压缩算法后得出哈希函数输出，作为真随机数发生器的输出值。

如附图4所示，为实现附图3中信号后处理电路工作流程的电路结构示意图，该信号后处理电路中，包括异或网络、伪随机电路和SHA1哈希函数电路。信号后处理电路的输入数据首先连入异或网络，其输出作为伪随机电路的输入进行数据白噪声化，最后将数据连入SHA1哈希函数电路，得到的最终输出作为真随机数发生器的输出值。

如图所示的异或网络由五级移位寄存器串联构成，在相邻的移位寄存器的输出端之间连接有异或门，并逐级传递至下一级，将每次采样得到的单个随机种子逐次移位并相邻异或后得到串行输出值；连接第五级移位寄存器的输出端的异或门的输出端作为异或网络的输出端与伪随机电路的输入端相连接。

假设经采样触发器输出的采样信号为“1”的概率为p，那么产生“0”的概率则为1-p(理想情况下p＝0.5)。根据附图4所示的异或网络可知，数据经过一级异或门之后，输出“1”的概率为2p(1-p)，输出“0”的概率为p²+(1-p)²。利用数学归纳法可以得到，若异或链共有n级异或门，则

输出端得到“1”的概率为：p(1)＝0.5-2^n-1(p-0.5)ⁿ

输出端得到“0”的概率为：p(0)＝0.5+2^n-1(p-0.5)ⁿ

本例中采用五级异或链，可以较好的优化统计效果。

伪随机电路采用通信系统中常用来生成伪随噪声序列的线性反馈移位寄存器实现，包括两个以上相串联的寄存器和一个特征多项式构造反馈函数网络，所述反馈函数网络为模二加法器电路。如附图4所示为六级线性反馈移位寄存器的电路结构图，反馈逻辑的特征多项式为G(x)＝x⁶+x+1。根据伪随机电路的理论，线性反馈移位寄存器的输出具有以下三种特性：

(1)0-1分布特性：在一个伪随机周期内，元素1出现的次数比元素0出现的次数多1。

(2)游程特性：元素0和元素1的游程数目各占一半；长度为k(1≤k≤r-2)的元素游程占游程总数的2^-k。

(3)相关性：输出序列的自相关函数是周期性的二值函数。

真随机种子的伪随机化使得真随机数的统计特性更加优秀，本发明将伪随机电路的输出经过串并转换后继续输入至SHA1哈希函数电路中进行杂化操作，以便进一步提高随机数的性能。

如附图4右半部分所示为SHA1哈希函数的结构示意图，输出为160bit的散列值。输入序列长度可以为任意值，这里本例采用了192比特串并转换结果作为哈希输入。首先，将信息以192比特为单位进行分组，初始化变量A＝0x67452301，B＝0xEFCDAB89，C＝0x98BADCFE，D＝0x10325476，E＝0xC3D2E1F0。算法核心是一个包含4个循环的模块，每个循环由20个步骤组成，每个循环中使用的步函数相同，而不同循环中步函数包含4个不同的非线性函数(Ch、Parity、Maj、Parity)，每一循环均以当前正在处理的192比特Y_q和160比特缓存值A、B、C、D、E为输入，然后更新缓存内容。最后一步的输出模2³²加上第一循环的输入就得到了最终的散列值。

将最后的输出作为真随机数，可以给诸如加密算法等模块提供安全可靠的密钥输入。

以上所述仅是本发明的优选实施方式，应当指出：对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (10)

1.一种基于亚阈值特性的真随机数发生器，其特征在于：所述发生器包括快速振荡器、慢速振荡器、电平转换电路、采样触发器和改善输出序列随机特性的信号后处理电路，所述快速振荡器的输出端通过电平转换电路与采样触发器的数据端相连接，慢速振荡器的输出端与采样触发器的时钟端相连接，采样触发器的输出端与信号后处理电路的输入端相连接，信号后处理电路的输出端作为发生器的输出端。

2.根据权利要求1所述的基于亚阈值特性的真随机数发生器，其特征在于：所述快速振荡器由通过奇数个反相器串联构成的环形振荡电路实现，所述快速振荡器工作在亚阈值区内。

3.根据权利要求1所述的基于亚阈值特性的真随机数发生器，其特征在于：所述慢振荡器为一种晶振时钟电路，所述慢速振荡器的时钟频率为快速振荡器的时钟频率的1/10以下。

4.根据权利要求1所述的基于亚阈值特性的真随机数发生器，其特征在于：所述采样触发器采用边沿敏感的寄存器。

5.根据权利要求1所述的基于亚阈值特性的真随机数发生器，其特征在于：所述采样触发器采用D触发器。

6.根据权利要求1所述的基于亚阈值特性的真随机数发生器，其特征在于：所述信号后处理电路由异或网络、伪随机电路和SHA1哈希函数电路构成，采样触发器的输出端与异或网络的输入端相连接，异或网络的输出端与伪随机电路的输入端相连接，伪随机电路的输出端与SHA1哈希函数电路的输入端相连接，SHA1哈希函数电路的输出端作为发生器的输出端。

7.根据权利要求6所述的基于亚阈值特性的真随机数发生器，其特征在于：所述异或网络由二级以上移位寄存器串联构成，在相邻的移位寄存器的输出端之间连接有异或门，并逐级传递至下一级，连接最高级移位寄存器的输出端的异或门的输出端作为异或网络的输出端与伪随机电路的输入端相连接。

8.根据权利要求7所述的基于亚阈值特性的真随机数发生器，其特征在于：所述伪随机电路为一种线性反馈移位寄存器，包括两个以上相串联的寄存器和一个特征多项式构造反馈函数网络，所述反馈函数网络为模二加法器电路。

9.根据权利要求1所述的基于亚阈值特性的真随机数发生器，其特征在于：所述慢速振荡器的占空比为50％。

10.根据权利要求1所述的基于亚阈值特性的真随机数发生器，其特征在于：所述电平转换电路包括第零PMOS晶体管MP0、第一PMOS晶体管MP1、第二PMOS晶体管MP2、第三PMOS晶体管MP3、第零NMOS晶体管MN0、第一NMOS晶体管MN1、第二NMOS晶体管MN2和第三NMOS晶体管MN3；第一PMOS晶体管MP1和第一NMOS晶体管MN1构成反相器输出连接到第零NMOS晶体管MN0的输入，第零NMOS晶体管MN0的漏端连接至第二PMOS晶体管MP2栅极，第二PMOS晶体管MN2的漏端连接至第零PMOS晶体管MP0的栅极，第零NMOS晶体管MN0、第零PMOS晶体管MP0、第二NMOS晶体管MN2、第二PMOS晶体管MP2共同构成交叉结构，输出连接到由第三NMOS晶体管MN3和第三PMOS晶体管MP3构成的反相器输入端。

Images