CN106687916A - 真随机数生成器 - Google Patents

Abstract

本发明是一种随机数生成器(1)，其包括光子源(2)和被配置成检测等于λ的光子流的一个或更多个SPAD型光子检测器(311)，其中，光子由光子源(2)生成。随机数生成器(1)还包括电子采样装置(4)。电子采样装置(4)被配置成使得在观察窗T_w中的每个观察窗内检测入射在每个SPAD光子检测器(311)上的光子的到达时间t，并且还被配置成使得将到达时间t转换成二进制序列。在本发明的生成器中，光子源(2)和电子采样装置(4)被配置成使得乘积λ*T_w小于或等于0.01。

Description

真随机数生成器

本发明涉及随机数生成器(RNG)，特别是改进型的真随机数生成器(TRNG)。

已知随机数生成器目前被用在从科学领域到密码学领域的多个应用中。

在第一种情况下，典型示例是计算科学的示例，该示例需要生成用作描述仿真的初始状态的一定数目的初始随机状态。

该类型的应用通常不要求初始配置彼此严格相关，但是要求它们能够以确定性方式再现以使得可以验证例如变化对执行仿真的代码的影响。因此，这些序列更确切地被定义为伪随机数(PRN)，这是因为它们是通过始于初始值的复杂算法而定义的。换言之，给定在技术术语中被称为“种子”的初始随机数，公式即使非常复杂也会不变地再现相同的随机数序列。对应的生成器被定义为伪随机数生成器(PRNG)。

反之，在第二种情况下，即，在针对例如银行操作的执行的密码学技术中使用随机数情况下，这种方法是较弱，这是因为必须确保生成的序列完全不可预测性以使得保持非常敏感的信息安全。在该情况下，可以通过生成根据下述生成过程获得的随机数来实现最安全的方法：所述生成过程是真正随机的并且不允许所生成的序列被以任何方式预测。事实上，这些生成器被称为真随机数生成器(TRNG)。特别地，像例如通过光源生成光子的量子机制属于用于获得真随机数序列的最广泛研究的方法并且它基于作为量子系统本身的固有性质的测量事件的不确定性。

从信息论角度看，通过所述两种技术生成的随机数的不可预测性的水平可以借助于被定义为“熵”的参数来表示，事实上，熵被称为随机变量中的不确定性或信息的度量。

此外，重要的是强调国家标准技术局(NIST)利用其指令NIST SP800-22指定了使得可以确定给定的随机数生成器是否具有足够的熵水平的大约十五种统计测试。

如已经提及的，将伪随机数生成器用于密码学目的是冒险的，这不仅是因为某些算法具有在其被引进之后仅一段时间便可能被揭露的弱点，还因为在恶意主体恢复了生成所有随机序列的种子的情况下可以绝对确定地预测基于同一种子的所有连续输出。

因此，考虑到物理现象特别是量子现象的内在不可预测性，基于这些事件的方案是非常可取的，即使是对于具有关于所使用的算法的完备知识并且具有任由他们使用的高计算能力的主体而言也是如此。然而，虽然可以选择用于生成伪随机数的算法来创建具有事实上由于其确定性性质而绝对确定地确定的一些统计性质的序列，但是始于物理现象获得的随机数由于例如仪器制造质量的变化、电源的波动、环境因素例如外部场和突然的温度变化而受到实际限制。通常，这些与理想情况的偏离确定了与可以在样本空间中测量的事件的均匀且独立的统计分布的偏离。因此，在真随机数生成器中也可能观察到较低的熵水平。

为了避免上述问题，真随机数生成器需要在提取始于特定物理现象的随机码序列的下游执行的另一步骤，该步骤被称为“后处理”步骤。事实上，该后处理步骤使得可以提高随机码序列的概率分布的均匀性。然而，不利地的是，所述后处理步骤影响可以由生成器保证的所谓的“比特率”。

如上面已经提及的，还已知针对随机数的生成而最广泛采用的物理现象之一是量子光子学。为此，还通过首字母缩略词QRNG(Quantum Random Number Generator，量子随机数生成器)来更具体地指示属于TRNG生成器的宏观范畴的生成器。事实上，在这些生成器中，衰减的光源生成由一个或更多个单个光子检测器获取的少量光子(被检测的光子流λ的值较低)，其中每个单个光子检测器被称为首字母缩略词SPAD(Single Photon AvalancheDiode，单光子雪崩二极管)。此外，系统设置有位于SPAD的下游的特定电子电路，通常是能够从SPAD中的每个SPAD提取随机比特序列的一个或更多个TDC(时间数字转换器)。更确切地，在这些生成器中，光子服从泊松过程，这意味着获取的事件彼此独立并且在观察窗T_w内计数得到n个光子的概率遵循泊松分布：

其中，λ事实上指示被检测的光子流。

被检测的光子流λ、SPAD检测器的特性和比特提取模式决定生成器的最终性能。

在上面已经说明的情况下，在市场上可获得基于QRNG概念的不同类型的随机数生成器。特别地，这些生成器涉及从仅提供几百kbit的USB便携式设备到能够保证数百Mbit的比特率的大型电子系统的各种各样的应用。此外，在文献中，已经提出了用于确定始于物理现象特别是始于光子检测的真随机数序列的不同逻辑结构和架构。它们中大多数检测入射在SPAD生成器的敏感表面上的光子的“到达时间”或数目。

特别地，关于基于所谓的到达时间的技术，提出了以下建议：应当测量在光子入射在单个SPAD上的时刻与相继光子入射在同一SPAD上的时刻之间过去的时间。这些测量被连续安排在每个SPAD的观察窗T_w被细分成的具有相同持续时间的相邻时间部分中。基于所述测量落入的时间部分，生成并且提取对应的随机比特序列。

然而，虽然该技术使得可以获得高的比特率，但是该技术由于如已经说明的光子源服从泊松过程的事实而具有相当大的偏差。

根据已知技术，为了克服上述缺点，应当直接对光子源采取措施，适当地检查由同一光子源生成的光子流。特别地，该操作包括以下步骤：改变光子源的偏置电流以使得光子源的统计分布随着时间尽可能均匀。

然后，不利地是，根据该方法，需要将如上所述的能够改变光子源的偏置电流的专用电子电路引入生成器中，该专用电子电路增加了生成器本身的复杂度和尺寸。

本发明意在克服上面提及的缺点。

特别地，本发明的目的在于提供使得可以保证高的熵水平以使得至少通过NIST统计测试的真随机数生成器。

本发明的另一目的在于提供使得可以在生成随机比特序列时获得高比特率的真随机数生成器。

本发明的另一目的是提供与已知技术的随机数生成器相比结构更加紧凑、较不复杂且需要较少能耗的真随机数生成器。

此外，本发明的另一目的是提供具有抵抗对其内部部件的任何篡改的高安全水平的真随机数生成器。

本发明的另一但非最不重要的目的是提供与已知技术的生成器相比更加经济的真随机数生成器。

上述目的通过具有在主权利要求中描述的特征的随机数生成器来实现。

特别地，本发明的真随机数生成器包括具有被检测的光子流λ的光子源和具有采样窗T_w的电子采样装置，其特征在于，所述光子源和所述电子采样装置被配置成使得乘积λ*T_w小于或等于0.01。

在从属权利要求中描述了本发明的真随机数生成器的另外的特征。

特别地，如从属权利要求5中所说明的组成本发明的真随机数生成器的部件被制造成使得它们集成于单个硅衬底中的事实有利地使得可以获得与已知技术的生成器相比的更加紧凑且较少受到篡改的生成器。

在参照附图通过非限制性示例提供的对本发明的优选实施方式的描述中强调了所述目的以及下文中将描述的优点，在附图中：

-图1a示出了本发明的随机数生成器的架构的示意图；

-图1b示出了本发明的随机数生成器的检测器阵列的示意性轴侧投影；

-图2示出了具有持续时间T_w的观察窗，其中，持续时间T_w被细分成具有相同持续时间的r个时间部分；

-图3示出了与针对乘积λ*T_w的不同值特别是针对λ的不同值的概率分布有关的第一图；

-图4示出了与针对乘积λ*T_w的不同值特别是针对T_w的不同值的概率分布有关的第二图。

在图1a中示意性描绘了作为本发明的主题的随机数生成器(RNG)特别是本发明的真随机数生成器(TRNG)，其中，随机数生成器由1表示。

如图1a中可以观察到的，本发明的随机数生成器1包括被检测的光子流等于λ的光子源2。

根据本发明的优选实施方式，如图1b所示，随机数生成器1还包括SPAD型光子检测器311的阵列3。特别地，如上面已经提及的，单个SPAD检测器311能够在具有预设持续时间T_w的观察窗内收集并提供与单个光子入射于其敏感表面上以及可能地所述单个光子的到达时间有关的信息作为输出。在两个连续的观察窗T_w之间，SPAD检测器311经历恢复初始条件的处理步骤，其在技术术语中被称为死区时间T_dead，在该死区时间T_dead期间，上述SPAD311不能检测到任何光子。

如图1a示意性示出的，本发明的随机数生成器1还包括操作性地连接至SPAD检测器311的阵列3的电子采样装置4。

电子采样装置4被配置成在每个观察窗T_w内检测入射在属于SPAD检测器阵列3的SPAD检测器311中的每个SPAD检测器上的光子的到达时间t。此外，上述电子采样装置4被配置成使得将每个检测到的到达时间t转换成长度等于n＝log₂r的二进制序列，其中，如图2示意性示出的，r表示具有持续时间T_w的每个观察窗被预先细分成的具有相同持续时间的时间部分的数目。

二进制序列采用的值取决于检测到的到达时间t落入的特定时间部分。

根据本发明，光子源2和电子采样装置4被配置成使得被检测的光子流λ与每个观察窗的持续时间T_w之间的乘积λ*T_w小于或等于0.01。

如下文所示，所述特征有利地使得可以获得光子的到达时间的基本上线性并且大体上均匀的概率分布。因此，两个量λ与T_w之间的所述关系使得可以提高本发明的随机数生成器1的熵水平。

特别地，已经示出的是，优选地但非必要地，在所使用的仪器不是理想方案的情况下，在乘积λ*T_w的值小于或等于0.001情况下获得了光子的到达时间的更为均匀的概率分布，并且因此获得了本发明的生成器1的较高的熵水平。

已经借助于理论分析、蒙特卡罗仿真和实验测量确定了所述值，这使得可以确定如上所述进行配置的本发明的随机数生成器1具有至少足以通过NIST统计测试的熵水平。

特别地，所执行的分析是基于两个假设。第一个假设关于以下事实：在泊松过程如光源2生成的光子所服从的泊松过程中，任何随机时间与相继事件之间的差遵循1-e^-λt型的指数分布，其中，λ是被检测的事件的数目。第二个假设是：在观察窗T_w被细分成多个时间部分r的情况下，借助于所谓的总变化距离(TVD)来获得对与均匀统计分布的偏离的最可靠测量。

更详细地，总变化距离的值等于：

其中，P和Q是在可测量事件ω的样本空间Ω中定义的两个概率测度。

在上面已经说明的情况下，可以容易示出的是，通过将所述指数分布细分成具有相同持续时间的数目为r的时间部分，如果第一时间部分包括间隔t_i，则第m个时间部分r将表示时间间隔t∈[(m-1)t_i,mt_i)]并且将包括以下概率密度，该概率密度等于：

其中，ε(t；λ)是具有速率参数λ的指数随机变量在时间t处的累积分布函数。

图3示出了通过在时间部分的数目r等于10并且观察窗T_w具有单位值的情况下分别针对λ的不同值对指数概率分布和概率密度进行仿真而获得的图形结果。

根据上述等式和上述从图表看到的所有内容可以理解的是，随着被检测的光子流λ的值减小，概率密度趋向于变直。

此外，在所述条件下，TVD的值与光子计数成比例。特别地，在乘积λT_w＝1/100的情况下，获得被认为可接受的TDV≈0.01。

图4示出了概率密度分布的另一图形表示，在该情况下使被检测的光子流λ保持恒定例如保持为10⁶计数/秒而改变观察窗的持续时间T_w。特别地，在左边的第一个图中，选择观察窗T_w使得其等于0.1ns，在第二个图中T_w＝1ns，而在右边的最后一个图中T_w>10ns。明显的是，在T_w＝0.1ns的情况下分布基本上是均匀的，在T_w＝1ns的情况下分布大体上是线性的，而在T_w>10ns的情况下分布既不是均匀的也不是线性的，由此系统的熵水平降低。此外，明显的是，在该情况下当乘积λT_w等于10⁶*(0.1*10^-9)＝0.01时获得最好的结果。

以该方式，已经示出的是：根据本发明，通过配置被检测的光子流λ与生成器1的观察窗的持续时间T_w之间的乘积λT_w使得其等于或小于0.01，从而获得基本上均匀的分布并且因此生成器1具有高的熵水平。

返回至随机数生成器1的架构，根据本发明的优选实施方式，光子源2和SPAD检测器311的阵列3被制造成使得它们集成于单个硅衬底中。

更详细地，通过CMOS集成电路的精密加工技术来将光子源2和SPAD检测器311的阵列3制造于硅衬底5上。

有利地，所述集成使得能够以使得本发明的随机数生成器1与已知类型的生成器相比更加紧凑且在结构上较不复杂的方式来构造本发明的随机数生成器1。

特别地，根据本发明的优选实施方式，光子源2是LED器件21。为此，集成LED器件21被称为Si-LED 21。

然而，不能排除的是，在本发明的不同实施方式中，光子源2可以是安装在属于本发明的随机数生成器1的支持卡上的分立型LED器件，或者上述光子源2可以属于不同于LED器件的类型。

根据本发明的优选实施方式，SPAD检测器311的阵列3被细分成SPAD检测器311的组31，每个组31包括预定数目的SPAD检测器311。

SPAD检测器311的组31中的每个组由上面提及的专用电子采样装置4独立于剩余的组31来管理。

有利地，对SPAD检测器311的各个组31的独立管理使得可以从随机数生成器1并行提取随机二进制序列，从而提高随机数生成器1的比特率。

然而，不能排除的是，在本发明的不同实施方式中，SPAD检测器311的阵列3不被细分成SPAD检测器311的组31，而是由公共电子采样装置4来控制。

此外，不能排除的是，在本发明的替选实施方式中，生成器1可以包括单个SPAD检测器311。

关于Si-LED 21与SPAD检测器311的阵列3之间的耦接，优选地但非必需地以直接方式进行耦接。

有利地，所述直接耦接有利地使得可以最大化入射在SPAD检测器311的阵列3的敏感表面上的光子流。此外，所述直接耦接使得可以避免在使用光子流的分离器的不同架构中在所述分离器未被正确平衡的情况下可能发生的统计分布的任何可能的偏差。实际上，直接耦接使得较易于控制仪器并且使得可以避免由于漂移而引起的与初始操作条件的显著偏离。

最后，仍有利地，所述直接耦接使得可以简化本发明的随机数生成器1的架构，这是因为不需要制造集成于所述两个部件之间的光路。

然后，不能排除的是，在本发明的不同实施方式中，可以通过插入合适的波导来以间接方式获得Si-LED 21与SPAD检测器311的阵列3之间的耦接。

如上面已经提及的，根据本发明的优选实施方式，SPAD检测器311的每个组31与其自己的电子采样装置4操作性地连接。特别地，与SPAD检测器311的特定组31相关联的电子采样装置4被配置成检测入射在每个SPAD 311上的光子的到达时间t并且还识别在该到达时间t处光子入射于哪个SPAD检测器311上。该特征由于可以识别光子所入射的特定SPAD检测器311而使得即使在使用公共电子采样装置4的情况下也可以知道属于SPAD的组31的每个元件的分布。

因此，使用由SPAD检测器311的组31共享并且同时能够确定在给定到达时间t处光子入射于检测器311中的哪个检测器上的电子采样装置4使得可以保持本发明的整个随机数生成器1的高的熵水平并且同时减小随机数生成器1的尺寸。

然而，不能排除的是，在本发明的替选实施方式中，电子采样装置4由SPAD检测器311的整个阵列3共享，或者每个SPAD检测器311设置有其自己的电子采样装置4。

此外，根据本发明的优选实施方式，电子采样装置4中的每个电子采样装置包括TDC器件(时间数字转换器)41。

最后，无例外地根据本发明的优选实施方式，电子采样装置4同样被制造成使得其集成于硅衬底5中。

优选地但非必需地，本发明的随机数生成器1还包括被配置成接收由电子采样装置4提取作为输出的二进制序列的电子后处理装置6，其中电子采样装置依次与SPAD检测器311的组31中的每个组相关联。

此外，电子后处理装置6被配置成处理所述二进制序列以使得执行所谓的“白化”循环。术语“白化”是指能够将可能受协方差矩阵M约束的随机二进制码序列变换成其协方差是单位矩阵的新的随机二进制码序列的去相关操作。换言之，新的随机二进制码序列是不相关的并且它们的方差值都等于1。因此，有利的，另外的后处理步骤使得可以进一步提高本发明的上述随机数生成器1的熵水平。

作为示例，电子后处理装置6被配置成通过冯诺依曼算法来处理被接收作为输入的二进制序列。

然后，不能排除的是，在本发明的不同实施方式中，电子后处理装置6可以被配置成通过以下方法来处理所述二进制序列：哈希函数算法、分组密码算法或者与为此目的而特别生成的矩阵相乘，只要其能够进一步增加本发明的随机数生成器1的每输出比特的熵即可。

因此，根据上文，本发明的随机数生成器1实现了所有设定的目的。

特别地，本发明实现了以下目的：提供了使得可以确保高的熵水平以使得至少通过NIST统计测试的真随机数生成器。

此外，本发明还实现了以下目的：提供了使得可以在生成随机比特序列时获得高比特率的真随机数生成器。

本发明还实现了以下目的：提供了与已知技术的随机数生成器相比具有更紧凑且较不复杂的结构并且需要较少能耗的真随机数生成器。

本发明还实现了以下目的：提供了具有抵抗对其内部部件的任何篡改的高安全水平的真随机数生成器。

最后，本发明还实现了以下目的：提供了与已知技术的生成器相比更加经济的真随机数生成器。

Claims (10)

1.一种随机数生成器(1)，包括:

光子源(2)；

一个或更多个SPAD型光子检测器(311)，所述一个或更多个SPAD型光子检测器(311)被配置成使得检测等于λ的光子流，所述光子由所述光子源(2)生成；

电子采样装置(4)，所述电子采样装置(4)被配置成使得在具有持续时间T_w的观察窗中的每个观察窗内检测入射在所述SPAD光子检测器(311)中的每个SPAD光子检测器上的光子的到达时间t，所述电子采样装置(4)还被配置成使得将所述到达时间t转换成长度等于n＝log₂r的二进制序列，r是所述具有持续时间T_w的观察窗中的每个观察窗被细分成的具有相同持续时间的时间部分的数目，所述二进制序列采用取决于所述到达时间t落入的特定时间部分的值，

其特征在于，所述光子源(2)和所述电子采样装置(4)被配置成使得被检测的光子流λ与每个观察窗的持续时间T_w之间的乘积λ*T_w小于或等于0.01。

2.根据权利要求1所述的随机数生成器(1)，其特征在于，所述光子源(2)和所述电子采样装置(4)被配置成使得被检测的光子流λ与每个观察窗的持续时间T_w之间的乘积λ*T_w小于或等于0.001。

3.根据前述权利要求中任一项所述的随机数生成器(1)，其特征在于，所述随机数生成器(1)包括被细分成若干组(31)的SPAD光子检测器(311)的阵列(3)，所述组(31)中的每个组操作性地连接至其自己的以下述这样的方式进行配置的电子采样装置(4)：独立于与SPAD检测器(311)的其他组(31)相关联的电子采样装置(4)来识别在特定到达时间t处检测到光子的SPAD检测器(311)。

4.根据前述权利要求中任一项所述的随机数生成器(1)，其特征在于，所述电子采样装置(4)包括一个或更多个TDC(时间数字转换器)(41)。

5.根据前述权利要求中任一项所述的随机数生成器(1)，其特征在于，所述光子源(2)和所述一个或更多个SPAD光子检测器(311)被制造成使得它们集成于单个硅衬底(5)中。

6.根据权利要求5所述的随机数生成器(1)，其特征在于，所述光子源(2)和所述一个或更多个SPAD光子检测器(311)通过CMOS集成电路的精密加工技术被制造于所述硅衬底(5)上。

7.根据前述权利要求中任一项所述的随机数生成器(1)，其特征在于，所述光子源(2)是制造于所述硅衬底(4)上的Si-LED部件(21)。

8.根据前述权利要求中任一项所述的随机数生成器(1)，其特征在于，所述随机数生成器(1)包括电子后处理装置(6)，所述电子后处理装置(6)被配置成接收由所述电子采样装置(4)提取的所述二进制序列作为输入以及处理所述二进制序列以使得增加所述生成器(1)的每输出比特的熵值。

9.根据权利要求8所述的随机数生成器(1)，其特征在于，所述电子后处理装置(6)被配置成通过冯诺依曼算法来处理所述二进制序列。

10.根据权利要求8所述的随机数生成器(1)，其特征在于，所述电子后处理装置(6)被配置成通过哈希函数算法来处理所述二进制序列。