CN108139888A - 量子随机数生成器 - Google Patents

Abstract

随机数生成器包括热光学源和被配置成基于量子光学强度波动而产生随机数的检测器。检测光学通量，并将与光学强度和延迟光学强度成比例的信号组合。该组合信号可以是电信号或光学信号，并且将光学源选择成从而在预定延迟时间范围内具有低相干性。可以使用平衡光学检测器来减少共模噪声，并且在某些示例中将光学通量指引到一对平衡检测器中的仅一个。

Description

量子随机数生成器

相关申请的交叉引用

本申请要求2015年7月29日提交的美国专利申请序号14/812,623的优先权，该申请为2013年1月30日提交的美国专利申请序号13/754,457的部分继续申请，其为2012年8月31日提交的美国专利申请序号13/600,905的继续申请，此申请要求2011年9月30日提交的美国临时申请61/541,675的权益，所有这些专利申请的内容都通过引用结合到本文中。

政府支持致谢

本发明是根据由美国能源部授予的合同号DE-AC52-06NA25396在政府支持下完成的。政府在具有本发明的某些权力。

技术领域

本发明一般地涉及随机数生成器，并且更具体地涉及基于量子现象而产生随机数的随机数生成器。

背景技术

计算机系统的许多应用要求访问一串随机数。典型应用包括密码术、游戏以及统计采样和分析。随机数生成器（RNG）基于各种物理效应，诸如电子组件的热噪声、放射性衰变以及散粒噪声。其它RNG基于软件方法，并且可以使用计算机用户的移动的定时作为用于随机数生成的基础。设计得很好的RNG一般地能够提供长序列的随机数，但是最终所产生的数并不是完全统计无关的，并且被更适当地视为是“伪随机的”。利用热或散粒噪声的基于常规电路的RNG当在集成电路中实现时可能要求过多的晶片面积。鉴于上述内容和长期存在的对随机数的需要，需要随机数生成的替换方法。

发明内容

本公开针对量子随机数生成器（“QRNG”）。在某些实施例中，公开的QRNG可以捕捉到如在热光（thermal light）的强度波动中展现出的量子物理学的不可缩减的不可预测性，其根植于光子（光的基本粒子）的不可分辨性。本公开还针对用于促进热光源的量子随机性以支配QRNG中的任何典型噪声并提供不仅通过全面的统计随机性测试、而且具有可追踪到热光源的量子性质的不可预测性（熵）的输出随机位流的方法。在某些实施例中，公开了QRNG的“基本”版本，其适合于要求随机数的许多应用。在其它实施例中，公开了QRNG的密码版本、全量子熵版本，其与用于密码真随机数生成器的设计标准兼容。密码版本可以包括自测试和故障安全特征两者。两个类型的实施例都可以服从于超高速率（数十Gbps）下的操作、低成本制造以及具有标准计算机接口的小的鲁棒的形状因数。

附图说明

为了更全面地理解本发明的各种实施例，现在对结合附图进行的以下描述进行参考，在所述附图中：

图1是示出了根据某些实施例的其中将检测强度和光学延迟检测强度指引到比较器的随机数生成器（RNG）的示意图。

图2是示出了根据某些实施例的其中将检测强度和数字延迟检测强度指引到比较器的随机数生成器的示意图。

图3是示出了根据某些实施例的其中耦合了平衡检测器以产生被指引到比较器的检测强度和光学延迟检测强度的随机数生成器的示意图。

图4是示出了根据某些实施例的其中对检测强度和光学延迟检测强度进行滤波或平滑化且然后组合的随机数生成器（RNG）的示意图。

图5是示出了根据某些实施例的其中将由一对平衡检测器中的第一检测器检测到的强度和电延迟检测强度指引到比较器的随机数生成器的示意图。

图6是示出了根据某些实施例的其中将检测强度数字化并进行数字延迟且将数字化强度信号组合的随机数生成器的示意图。

图7是示出了根据某些实施例的其中将检测强度数字化并进行数字延迟且将数字化强度信号组合的随机数生成器的示意图。

图8是根据某些实施例的包含前端和后端且输出随机位流的随机数生成器高级架构的框图。

图9是根据某些实施例的其中使用热光源来产生数字化输出的随机数生成器前端的框图。

图10是根据某些实施例的从前端接收输入并产生输出位流的基本随机数生成器后端的框图。

图11是示出了根据某些实施例的产生流输出的后处理电路的框图。

图12是示出了根据某些实施例的产生格式化输出的后处理电路的框图。

图13是根据某些实施例的全量子熵随机数生成器后处理级的框图。

图14示出了根据某些实施例的全量子熵随机数生成器的代表性熵表征数据。

图15图示出根据某些实施例的随机数生成的方法。

图16A—16D图示出用于各种源的与光源强度相关联的电信号的频谱。

具体实施方式

如在本申请和权利要求中使用的，单数形式“一”、“一个”和“该”包括复数形式，除上下文另外清楚地指明。另外，术语“包括”意指“包含”。此外，术语“耦合”不排除被耦合项目之间的中间元件的存在。

不应将本文所述的系统、装置和方法理解为以任何方式进行限制。替代地，本公开针对单独的和以相互的各种组合和子组合方式的各种公开实施例的所有新颖和非显而易见的特征和方面。公开的系统、方法以及装置不限于任何特定方面或特征或其组合，公开的系统、方法以及装置也不要求任何一个或多个特定优点存在或者问题得到解决。任何操作理论是为了促进说明，但是公开的系统、方法以及装置不限于此类操作理论。

虽然为了方便介绍而按照特定的相继顺序描述了公开方法中的某些的操作，但应理解的是这种描述方式涵盖重新布置，除非下面所阐述的特定语言要求特定顺序。例如，循序描述的操作在某些情况下可以被重新布置或者同时地执行。此外，为了简化起见，附图可能并未示出可以用来与其它系统、方法以及装置相结合地使用的所公开的系统、方法以及装置的各种方式。另外，本描述有时使用类似于“产生”和“提供”的术语来描述公开的方法。这些术语是所执行的实际操作的高级抽象化。对应于这些术语的实际操作将根据特定实施方式而改变，并且很容易被本领域的技术人员所辨别。

出于许多目的在密码术中要求随机数，包括：加密密钥、认证密钥、一次性签名密钥、初始化向量、随机质询、随机数（nonce）、填充值、使用随机化算法的公钥参数的生成以及作为用于量子密钥分发（QKD）系统的输入。针对密码使用，期望满足以下要求的随机位：

• 位应是不可预测的。量化位流的不可预测性的一个方式是用流的“熵”。熵是基本物理量，并且可以是系统中的缺乏确定性的度量。在信息论中，消息流的熵（有时称为“香农熵”）是指定每个消息所需的平均信息量的度量。展示出完美随机性的位流将展示出每位一个熵位。此条件在本文中且在本领域中称为“全熵”。

• 生成随机位的方法应提供这样的保证，即随机位所展示出的熵的量不能受到对手（adversary）的影响。

• 生成随机位的方法应遵守已接受的架构和评估方法。

公开的量子随机数生成器（QRNG）促进全部的这三个目标。公开的QRNG和方法利用量子现象中的固有的不可预测性和因此的熵，并且尤其在用于参数生成的密码术的对手设置中是期望的：现在或者将来，没有对手能够预测或影响量子“噪声”。在这方面，公开的量子RNG优于其它已知RNG，其仅产生由完全确定性因果过程生成的“伪随机”位流（例如，使用基于初始“种子”值来生成伪随机位序列的数学算法）。虽然此类伪随机位流可以通过针对随机性的标准统计测试，但其拥有的唯一的熵是用来播种伪随机RNG的位的熵，并且与真随机位序列相比展示出低得多的每位的熵。用单个随机位播种的10¹⁰位序列仅拥有1位的熵。相反地，公开的量子RNG是使用不可缩减地不可预测的量子效应来生成随机位流的真随机数生成器。此类位流可以具有高熵，并且在某些实施例中可以展示出每个位1位的熵（即“完美”随机性）。换言之，由公开QRNG产生的10¹⁰位序列可以具有10¹⁰位的全量子熵—即使检查所有先前的位，每个位也是不可预测的。虽然其它真随机数生成器尝试使用物理现象来提供熵，但这些系统中的许多仅仅是经典混沌的而不是固有地不可预测的。其明显的不可预测性来自于缺少先前的系统状态的细节知识，而不是起源于确定性的根本缺乏。只有量子现象和因此的量子随机数生成器（QRNG）是真正不可预测的。

公开的RNG和方法还能够以高速率提供具有全量子熵的随机数。不同于其它已知方法和装置，公开的量子RNG不要求单光子检测或者包括经典噪声贡献。在某些实施例中，公开的QRNG已被证明将以高到44 Gbps的速率提供随机数。在典型示例中，公开的QRNG展示出大的量子信号与经典噪声比，并且在某些示例中，通过使用共模抑制，使用差分检测来去除或减小随机数的经典噪声污染的最大源中的一个。另外，如本文中公开的QRNG可以制造成紧凑的，并且可以是易于制造的。

下面描述随机数生成器的代表性实施例。这些实施例包括被配置成从而基于可追踪至光子（作为服从玻色-爱因斯坦统计的不可区分基本粒子）的量子物理的与直觉相反地大的量子光学强度波动来产生随机数的光源。针对QRNG可以被约束的此性质的示例包括：热光中的强度波动，诸如黑体辐射；短暂光子流的光子集束；以及通过将光学强度（与光学通量的振幅的平方成比例）或与光学强度相关联的电信号组合而产生的所谓的汉伯里布朗—特维斯强度波动。

虽然自从在20世纪早期第一次考察黑体的量子力学以来已经理解了量子—光学强度波动（A. Einstein “Zum gegenwärtigen Stand des Strahlungsproblems” Phys.Zeitschrift 10, 185 (1909)），但其直到罗伯特汉伯里布朗和理查特维斯具有这样的见识才被作为科学工具应用，所述见识即星光（或者在其实验中，星形无线电发射）中的这些波动将在两个不同的检测器处将被相关直至检测器分开足够远以至于其能够分辨星的圆盘（将检测器移开更远增加星形图像的其空间分辨率，如果可以忽视大气效应的话）为止。这是因为未分辨星是空间奇异点或单量子力学空间模式。一旦可以分辨星，则存在更多空间模式，并且来自不同模式的强度波动将是独立的。因此通过将两个无线电天线越来越远地移开，可以通过观察两个检测器的强度波动中的相关何时下降来直接地测量星的直径。几十年来，这是直接地测量星的尺寸的主要手段。如同汉伯里布朗和特维斯一样，公开的QRNG利用热源的辐射中的随机强度波动以生成随机数，如下面所讨论的。

来自光源的光子可以由于量子力学效应而展示出集束（强度波动）。其原因是由于在原子级当从原子或分子发出光子时，存在关联的电磁场。当该场在特定光学模式中是“高”的时，其它发射体也将向该模式中进行发射的量子力学概率升高。具体地且正式地，同一相干时间和波长内的光子是相同的基本粒子，称为玻色子。如果在一个模式中已经存在光子，则更多的光子想要加入它。在一个模式下存在的光子越多，越有可能在该模式下也将发射更多的光子。这导致促使光源的强度波动的光子“束”。

量子力学集束（强度波动）的时间分布可以是完全随机的。换言之，当来自光源的光子在一个时间单元至另一时间单元之间未展示出记忆时，强度波动在一个时间的存在（或不存在）不影响在另一时间将存在（或者将不存在）强度波动的可能性。可以将每个此类时间单元表示为“相关时间”，其是用光源产生的波长的宽度除以光速c来近似的。在本文中公开的示例性实施例中，该相干时间约为几飞秒。通过利用光子“束”的随机出现，公开的随机数生成器可以以高速率生成随机数。

相干时间设定公开的随机数生成器可以生成随机数的理论最高速度。使用在更多数目的模式下生成光子的光源可以允许公开的随机数生成器以更快的速率生成随机位流，但是也将使由光源生成的光子在更大数目的模式之间分离。一般而言，每个光学模式更大数目的光子可以对增加光子“束”的振幅有利，因此增加生成的量子随机数的信噪比。

公开的QRNG可以使用基于光学通量的量子光学强度波动，该光学通量大到足以减少至少某些噪声影响，不同于基于光学散粒噪声的随机生成。散粒噪声是更一般地认可的量子现象，因为其涉及到单个光子的随机选择。此困难是单光子检测器固有地缓慢且昂贵，并且由于散粒噪声的信噪比与每个样本的光子平均数的平方根成反比，尝试使用更大数目的光子以实现更快且更廉价的随机数生成导致必须甚至在每个样本非常少的光子的情况下检测非常小的波动的系统（例如如果每个样本存在平均10,000个光子，则量子波动仅处于1%水平）。这使得来自经典噪声的干扰难以抑制。

然而，如果使用量子光学强度波动，则单光子检测是不必要的。在下面描述的示例中，约10³和10⁸光子/ns之间的光学通量是方便的，并且约10⁶光子/ns是典型的。量子光学强度波动的信噪比取决于模式的数目，并且如果模式数目是恒定的，则信噪比与光子的数目成比例。这使得可以具有大信号和大的信噪比。如本文所使用的光学通量指的是在从约100nm至约10 μm的波长范围内传播电磁辐射。可以使用其它频谱范围，但是具有至少10 MHz、100 MHz、1 GHz或更高的电带宽的光学检测器往往在上述范围内容易可用。可以使对应于光学通量的电信号与用一个或多个光电检测器产生的时变电压、电流或其组合相关联。为了方便起见，可以将此类信号称为检测器信号且其与光学强度成比例。如本文所使用的光电检测器信号因此指的是由所谓的“平方律”检测产生或与其相对应的信号。

将响应于光学强度而产生的光电检测器信号与该同一光电检测器信号的适当延迟版本（即，被延迟从而减少或消除相关）组合可以改善随机波动的质量。时间延迟可以由光学源的相干时间（其可以是几飞秒或更少）和电子装置的带宽（其可以约为1—10 GHz）确定。如果延迟超过这些时间尺度，则延迟信号可以与未延迟信号无关。这给出了去除不期望特征的手段，该不期望特征诸如电源漂移，其缓慢地改变总体信号水平，并且在某些电子设计中其可能引起输出位中的偏置（例如，比0更多的1）。在公开示例中，约10 nm与10μs之间的延迟一般是令人满意的，但是延迟可以取决于源和电子装置性质。可以使用这些随机波动来产生随机数，如下面公开的。对于某些光源而言，优选地避免通过将光源光学通量耦合到光纤及其它光学组件中引入的频谱特征的产生。因此，在某些实施例和在某些光源的情况下使用光学隔离器。例如，光学通量朝着源返回的反射可以引入谐振，其增加在随机数生成中不期望的光学通量相干。

可以使用各种热光源。如本文中所使用的术语“热光源”或“热光”指的是具有根据光子数的玻色－爱因斯坦概率分布来填充光子的一个或多个光学场模式的光（与可以具有光子数的正态分布的混沌光相反）。热分布光学源的示例包括来自热灯丝（例如，白炽灯泡）、发光二极管（LED）和适当配置的电泵浦半导体光学放大器（SOA）以及光学泵浦光学放大器的黑体辐射。

理想的光学光源应拥有多个性质。理想光学光源的一个期望特性是其展示出低的光学强度相关。图16A—16D图示出各种源的光学强度的频谱。图16A、16B和16D与预期将在随机数生成中表现令人满意的源相关联，而图16C的频谱特征指示关联源可以展示出不令人满意的相干性质，并且是不适当的。

使用使每个光学模式发射的光子的数目最大化的光源也可以是有利的。控制模式的数目对于确保结果得到的位流具有从量子波动得到的高熵（其是更加期望的，因为这些波动根本上是不可预测的，并且不能被对手影响）而言可能是重要的，与经典噪声（其是不那么期望的，因为经典噪声可能受到对手或者甚至环境条件（诸如来自本地TV站的RF或电源噪声）的影响）相反。光可以完全由其空间、频谱（波长）和偏振模式以及占用每个模式的光子的数目指定：不需要或者甚至不可能有其它标签。可以认为空间模式具有两个类型（纵向模式（也称为“时间模式”）和横向模式。纵向模式与光的传播方向上的自由度相关联，而横向模式与横穿传播方向的方向相关联。如果热光源仅具有一个模式（纵向和横向两者），则任何量子波动将改变超过光源的强度的100%。在这种情况下，可以通过测量其二阶时间相干度来验证光的热性质。称为g⁽²⁾ (τ)的此量由在时间上偏移τ的两个光学强度测量结果的乘积形成。（参见例如R. Loudon “The Quantum Theory of Light” 第二版, 牛津大学出版社, 牛津 1983。）可以认为其是汉伯里布朗特维斯相关的时间域中的模拟，并且对于单模式热光而言在零时间延迟下具有值2（g⁽²⁾(0) = 2）。然而，如果热光源具有多个模式（纵向或横向），则其全部独立地波动，检测到来自此光源的光的任何检测器将看到围绕平均值的较小波动。因此，确保来自光源的光子集中在尽可能少的光学模式中对于促进检测量子波动而言可能是有利的。

检测器检测的纵向模式的数目对检测器的采样速率敏感，其可以通过修改检测器的硬件或软件来调整。还可以通过对光源（诸如单模式光纤）的输出应用空间模式滤波器以筛选出除处于特定所选横向模式（或横向模式的小集合）的光子之外的所有光子来影响横向模式的数目。

然而，诸如通过使用空间滤波器来限制横向模式的数目而减少纵向或横向光学模式的数目还可以减弱光源的光学功率。减弱光源的光学功率可以使得检测器更加难以检测波动。当尝试以高速率检测波动时情况尤其如此，因为高速光学检测器通常要求较高的光学功率。因此存在使光学模式的数目最小化和保持高的光学功率以促进量子波动的高速检测之间的权衡。如果光子遍布于数目太大的横向或纵向光学模式上，则量子波动将变成光学信号中的观察到的波动的相对一小部分，并且替代地经典波动（例如，来自光源变化、来自本地RF条件的影响等）可以起主导作用。从此类光源产生的结果得到的位流中的熵将因此不再主要地是源头上的“量子”。理想的光源因此将在相对适中数目的模式中产生大量的光子。

公开的QRNG通过选择在相对适中数目的横向模式中产生大量光子的适当光源而相比于在先已知的宣称的“量子”RNG表现出改善。在某些实施例中，半导体光学放大器（SOA）可以充当有用光源，因为其满足上文所述的许多准则。在半导体光学放大器（SOA）中，输入光学信号通过经由受激发射进行的光子的相干叠加而经历增益，导致输出端处的较大光学信号。在不存在输入信号的情况下，出现增益区域内的自发发射的根本量子现象，产生一般地称为放大自发发射（ASE）的输出。由于任何给定场模式中的光子是服从玻色—爱因斯坦（BE）统计的相同的不可区分基本粒子，所以这些情况中的每个模式下的ASE光子的数目众所周知是热分布的。此外，SOA的光学结构确保仅少数横向场模式被填充，对于本公开而言为单模式，导致每个模式大的平均光子占有数。这进而导致光子占有数中的大的振幅、快速、随机波动，称为光子集束，其是玻色-爱因斯坦统计的特性。这些大的波动起因于用于光子被发射到已被光子填充的场模式中的概率的量子力学增强，其适用于玻色基本粒子。相反地，服从经典统计的可区分粒子将仅展示出称为散粒噪声的占有数方面的小得多的统计波动。来自SOA的热光中的随机BE波动可以比检测电路中的电子噪声大得多，使得其成为供在本申请中描述的RNG使用的量子随机性的极好的光学源。常常使用被用稀土元素掺杂的长段的光学泵浦单模式光纤（几米）作为ASE的源，但是其不服从小型化。相反地，SOA是市售的电耦合芯片级器件，其通常在体积方面约为1mm³，并且可以容易地集成到及其紧凑的RNG器件中。在某些实施例中，可以使用具有期望的增益和降噪特性的晶片来构造SOA光源，由诸如例如磷砷化铟镓（InGaAsP）之类的材料形成。在其它实施例中，可以使用来自“小片”晶片的SOA来获得适当的性能，这可以降低生成成本。虽然当前公开的QRNG可以用光学泵浦和电泵浦热光源两者进行操作，但电泵浦光源可以更容易且更廉价地制造和设立，展示出较小的器件尺寸，并且展示出更好的鲁棒性。

可以将SOA配置为双或单偏振SOA。双偏振SOA通过使用具有方形横截面的波导来发射具有两个不同偏振模式的光。另一方面，单偏振SOA通过使用具有形状类似于细矩形的横截面的波导来发射具有仅一个偏振模式的光。针对给定的电输入功率，两个类型的SOA将输出大致相同的光学功率，但是双偏振SOA将使相同数目的光子跨单偏振SOA的两倍数目的模式分离。结果，单偏振SOA可以产生具有较高光子模式比的光，这由于上文所讨论的原因而是合期望的。如果在时间段Δt中意图有随机波动，则源频谱频率宽度Δν满足(Δt×Δν) ≈ 1。针对处于约5 GHz的波动，13 pm或以上的频谱（波长）宽度是优选的。

在某些实施例中，可以使用LED作为用于量子RNG的光源。不同于在大面积上且以所有角度进行辐射的灯泡的灯丝，LED用其几何结构来限制其辐射到其中的模式的数目。为了减少由LED产生的横向光学模式的数目，用诸如多模式或单模式光纤之类的空间模式滤波器对LED的输出进行滤波以筛选出无关的模式可以是有利的。还可以将使用量子点技术的单模式LED用作某些实施例中的光源—此类LED具有仅在单个模式中产生光（并且因此不要求空间模式滤波器）的附加优点。使用LED光源还可以降低系统的总成本，因为LED是相对廉价的光源。

使用空间模式滤波器而不是多模式和单模式光纤也可以降低生成成本。使用光纤进行滤波要求使用称为“端面耦合”（可能昂贵的精密程序）的过程使滤波器与光源对准。作为光纤的替代，可以在光源与检测器之间插入具有一个或两个针孔的屏障。屏障中的针孔然后将充当空间模式滤波器，筛选出几乎所有的空间模型。具有小的有效面积的检测器也可以充当针孔以限制空间模式的数目。

在阈值以下运行（使得其不再充当激光器）的激光器也可以充当低成本光源。垂直腔面发射激光器（VCSEL）是在此类实施例中将使用的此类低成本激光器的示例。

在某些实施例中，光电检测器可以是以相对低的速率在相对短的波长下操作的光电二极管。此类光电二极管比以较长波长（例如，“电信”波段）和较高速率进行操作的光电二极管更廉价。

通过使用每个场模式具有大的平均光子占用数的光源，随机量子波动信号可以比检测电路中的经典电子噪声大得多。结果得到的大的量子信噪比（QSN）意味着本RNG可以产生鲁棒、高速率的全熵输出，在数字化和调节之后可追踪到光源的量子噪声（例如，可以用电子数字化将光学波动转变为数，并且然后可以通过调节算法来去除由电子装置引入的任何非随机人为现象，诸如偏置或相关）。本文中所讨论的示例性实施例包括产生或者被滤波以产生仅在单个横向模式中的光子的光源。然而，其它实施例使用产生或者被滤波以产生在不止单个横向模式中的光子的光源。在某些情况下，使用在更多横向模式中产生光子的光源或者使用允许多个横向模式的较少辨别滤波器可以在总体上降低系统的生产成本的同时实现适当的性能。

某些实施例可以使用展示出一个或多个附加特性的光源。例如，优选光源将具有几THz（对应于针对可见光或近红外光的几十纳米）的频谱带宽。某些优选光源还可以在1550-nm波长区中操作，其将允许使用商用高速电信光学和电子组件。并且，某些实施例可以使用消耗相对很少功率的紧凑型光源。各种类型的光源展示出这些特性中的某些或全部（例如，SOA和LED）。

图1是示出了根据某些实施例的随机数生成器（RNG）100的框图，其基于非相关光学强度的比较。光源102（诸如LED、单或双偏振SOA或其它光源）被经由光学隔离器104（诸如有角度光纤端接，其用来防止到源102中的背反射）以及光学滤波器105耦合到射束分离器106。射束分离器106可以使用例如光纤耦合器、棱镜射束分离器或本领域中已知的任何其它类型的射束分离器来实现。射束分离器106产生传播到光学延迟110和第一光学检测器112的第一输出通量108。射束分离器106还产生被指引到第二检测器116的第二输出通量114。光学延迟110可以由光纤提供。可以根据需要调整光学延迟的量值以确保检测到的光学信号中的相关被充分地衰减。

检测器112、116被配置成产生与光学强度成比例的电信号，诸如时变电压或电流，并且这些信号被耦合到比较器118（其可以使用本领域中已知的各种类型的差分电路或处理器来实现）。在某些实施例中，可以使用附加光信号放大器、缓冲放大器以及其它处理组件（图1中未示出）来使光信号准备好耦合到比较器116。比较器118产生与第一和第二光信号之间的差相关联的差信号，其然后被传递至将该差信号转换成一系列随机位的模数转换器120。

在某些实施例中，用数字延迟210来替换光学延迟110。如图2中所示，光源202产生穿过隔离器204到达检测器206的光学通量。对应于在检测器206处所检测到的光学通量的电信号被耦合到缓冲放大器208，其进而耦合到模数转换器（ADC）209，该模数转换器209以由框207确定的速率产生两个位流。这些位流中的一个被直接地传递至比较器212，而另一个在其被比较器212接收到之前被数字延迟210延迟，该比较器212产生然后被随机数（RN）处理器216处理的差信号。RN处理器216可以例如将输入位流划分成字，对输入位流应用比较，并且测量包含在输入位流中的熵的量。

在某些实施例中，数字延迟210可以基于在检测器206处接收到的光学通量的强度中的相关来提供可变或可选择延迟。在某些示例中，延迟和无延迟缓冲放大器之间的相关与缓冲放大器208、检测器206的特性和/或诸如放大器之类的其它电子元件的带宽相关联。例如，检测器可以展示出与对输入的暴露相关联的长暂态效应，使得延迟和无延迟电信号至少稍微相关，这将减少RNG的总输出中的熵的量。通过提供可变数字延迟，可以避免这一点。如图2中所示，RN处理器214可以使用延迟输入211来设定适当延迟，该延迟输入211进而控制由数字延迟210提供的延迟。

参考图3，随机数生成器（RNG）300可以包括光源302，其被光学耦合到光学功率分离器304，诸如基于光纤的耦合器或块体光学射束分离器。通常，用光学隔离器104（如图1中所示）或者使用防止背反射的任何其它手段来基本上防止反射的光学功率返回到光源302。分离器304包括至少两个光学输出，使得由分离器304接收到的光学功率的部分被分别地指引到平衡检测器对308中的第一检测器308A和光学延迟306。光学延迟306的输出被耦合到平衡对308的第二检测器308B。如图3中所示，第一检测器308A和第二检测器308B被配置为平衡检测器对，其用于部分地抑制光源302的光学功率中的经典振幅噪声及其它经典变化。虽然不要求平衡检测器，但其一般地展示出共模噪声的较高抑制，并且因此趋向于产生相应电信号，其可以展示出持续超过大于约1 ns、10 ns、100 ns、1μs、10μs或 100μs（取决于所使用的光源）的时间的大大减少的相关。

平衡检测器输出被提供给放大器312，诸如被耦合到缓冲放大器314且然后到比较器316的跨阻放大器。如果期望的话，可以用参考源318为比较器316提供参考电压。可以使用比较器输出来获得随机位序列。

在图4中所图示的另一示例中，RNG 400包括光源402、隔离器404以及光纤耦合器406，其被配置成将由光源402产生的光学通量的第一部分耦合到第一延迟408和第一检测器410，并将第二部分耦合到第二检测器412。可以将来自检测器410、412的输出电信号耦合到相应滤波器414、416和模数转换器（ADC）418、420。ADC 418、420被配置成将相应位X、Y产生为(sgn(ΔV) + 1)/2，其中ΔV是滤波器输出电压波动。位输出X、Y被耦合到可以用硬件或软件来实现的组合处理器424，从而根据期望将X和Y组合。例如，处理器424可以被配置成确定X和Y的选定逻辑组合，诸如例如X和Y的逐位异或XOR，但是可以使用其它组合。例如，针对分别地与第一和第二检测器相关联的输出电压波动ΔV1和ΔV2，以下组合提供令人满意的结果：

其中sgn是符号函数。如果使用单个检测器，使得仅单个电压波动ΔV1可用，则以上组合通过用ΔV₁(t)来替换ΔV₂(t)而产生令人满意的结果。

在图5中图示出另一代表性RNG 500。光源502产生被指引到平衡检测器对506的第一检测器504的光学通量，而第二检测器508仍未被暴露于光学通量。如图5中所示，检测器504、508是可以基于由光源502产生的光通量的谱含量来选择的光电二极管，并且硅、锗和铟镓砷光电二极管（诸如雪崩光电二极管（APD）或PIN（p-i-n）光电二极管常常是方便的。对应于平衡对输出的电信号被耦合到缓冲放大器510，并且缓冲输出的各部分被直接地和经由延迟512递送到求和节点514以提供随机输出位流。

参考图6，随机数生成器600包括光源602，诸如被配置成将光学辐射指引到光电检测器604的LED。如图6中所示，光电检测器604是与电阻606串联耦合的反偏置光电二极管，但是可以使用其它光电检测器配置和偏置布置。由光电检测器604产生的电信号被缓冲放大器610放大或缓冲，其输出被指引到产生数字化光信号的模数转换器612。数字化光信号在614处被电平移位，并且在616处被数字延迟（通常用软件或固件），并且在XOR 618处被与无延迟（或不同延迟）电平移位数字化光信号组合而产生随机位串。诸如图6中所示的RNG的代表性实现可以以5 Gb/s或以上的速率产生随机位。

图7图示出随机数生成器700的另一实施例。图7包括光源702、光电检测器704、放大器706、A-D转换器710a和710b、延迟模块708、组合器712以及后端714。

光源702可以是热光源，并且可以包括本文中讨论的任何类型的光源，包括单或双偏振SOA。光源702的输出可以被发送到光电检测器704，其响应于检测到的光而输出RF信号。可以经由自由空间、光纤或其它手段（包括用以限制横向模式数目的方法）将光源702耦合到光电检测器704。光电检测器704优选地拥有高带宽（能够具有GHz带宽）以及平坦频率响应（例如，对由光源702发射的大多数或所有波长及其波动的频谱基本上同样地敏感）。来自光电检测器704的RF信号可以被发送到将该RF信号放大的放大器706。在某些实施例中，放大器706可以是跨阻放大器。在其它实施例中，放大器706可以包括被串联连接的一个或多个线性放大器。在选择适当放大器706时，找到具有基本上平坦的RF响应（例如，跨不同的RF频率相对相等地将信号放大）的放大器可能是重要的。使用线性放大器可以是有利的，因为其趋向于具有相对平坦的RF响应。线性放大器与跨阻放大器相比可以具有较低增益，但是这可以通过将两个或更多线性放大器串联连接来进行补偿。

然后可以使用例如电子分离器将来自放大器706的RF输出分离成两个流。一个流可以被直接地传递至模数（A-D）转换器710a。其它流可以经由模拟延迟模块706被传递至A-D转换器710b。延迟模块708可以用硬件来实现，并且可以将信号延迟7 ns，但更长或更短的延迟也是可能的。在某些实施例中，延迟模块708可以将信号延迟0s（例如，根本无延迟）。在其它实施例中，延迟模块708可以可重配置以将信号延迟可变时间，包括零秒，这取决于硬件和/或软件设置或者取决于在随机数生成器700的输出中检测到的任何偏置或相关。优选地，延迟模块708被配置成向下面描述的组合器712或其它处理系统中产生足够独立的输入。

如图7中描绘的，延迟模块708位于A-D转换器710b的上游，并且因此是模拟延迟模块。在其它实施例中，可以在A-D转换器710b与组合器712之间插入另一单独数字延迟模块（未示出）。此类数字延迟模块也可以将信号延迟，从而向下面描述的组合器712或其它处理系统中产生足够独立的输入。如延迟模块708一样，数字延迟模块可能可以被重配置以将信号延迟可变时间，包括零秒。然而，不同于延迟模块708，此数字延迟模块可以被配置成延迟数字信号而不是模拟信号。

在某些实施例中，A-D转换器710a和710b可以是充当比较器的一位数字化器，例如如果RF信号在某个阈值以上，则A-D转换器可以输出逻辑高，并且否则，A-D转换器可以输出逻辑低。A-D转换器可以被配置成在系统时钟的上升或下降沿记录数据。A-D转换器710a和710b两者的输出然后可以被发送到比较器712。在某些实施例中，组合器712可以是简单的XOR函数，但其它类型的组合器也是可能的。组合器712的输出可以是具有高熵的基本上随机的位流，其中，包含在其中的熵是起源的量值（与来自经典噪声相反）。对组合器712的输出执行的统计测试指示此配置可以产生至少99.7%量子力学随机的位流（即，每个输出位具有0.997位的量子熵的位流）。然而，这不是理论最大值，并且此类型的QRNG能够产生接近于完全量子随机性（即，每个输出位一位的量子熵）是可能的，这取决于所使用的组件。可以在任何后处理之前对组合器712的输出应用随机性测试，与NIST（国家标准技术协会）SP800-90B标准草案（其要求在任何算法处理步骤之前通过随机性测试，以免该处理使硬件输出中的缺陷模糊）的要求相符。

组合器712的输出可以被可选地提供给后端714，其对输出应用安全散列算法（SHA），诸如SHA512，其可以使得输出与NIST（国家标准技术协会）SP800-90B标准草案相符。应用SHA 512可以添加纵深防御并因此增强公开的随机数生成器的安全性。在某些实施例中，可以将后端714实现为现场可编程门阵列（FPGA）。后端714还可以被配置成以可以容易地与标准计算机系统对接的形式提供位流。另外，后端714可以实现可以被计算机系统（诸如服务器或个人计算机）调用的调用功能。当计算机系统向后端714发送“调用”信号时，后端714可以通过向进行调用的计算机系统发送随机数进行响应。用足够快速的电子装置（例如，用光电检测器、放大器、A-D转换器、组合器和/或具有足够带宽的后端），公开的随机数生成器已被证明能够以高达每秒6.2吉比特的速率生成随机位。理论上，用甚至更快速的电子装置，当前公开随机数生成器可以以每秒几万亿比特的速率生成随机位。然而，如果顾虑到成本，则公开的QRNG也将用较慢但较廉价的后端电子装置（例如，较慢检测器、数字化器等）工作。使用较慢但较廉价的后端电子装置可以促进降低所公开的QRNG的成本。

在其它实施例中，A-D转换器710a和710b可以是多位数字化器。例如，A-D转换器710a和710b可以不是每次输出单个位，而是与检测到的RF信号的强度相关的8位的“字”。该8位字也可以被发送以便被组合器712组合。在此类实施例中，从组合器712出来的位流可以展示出不想要的相关和偏置，并且因此展示出不够完美的熵。在这里所讨论的示例性实施例中，输出位流可以针对每8位展示出仅4位的熵。因此将必须在后端714处应用熵提取函数（下面更详细地对其进行讨论）以提取具有基本上全量子熵的较短位流。用足够快速的电子装置，使用多位数字化器和熵提取函数的实施例可以至少如单位实施例一样快速地生成随机位。

在图8中图示的其它代表性实施例中，可以根据用于密码真随机数生成器（TRNG）800的高级架构来配置公开的RNG，具有物理熵源“前端”802以及熵提取“后端”804，以产生具有“全熵”（每个物理位一位的熵）806的独立同分布（i.i.d）输出位流。可以至少部分地使用先前公开的实施例中的任何一个以及下面描述的实施例来实现“前端”802。在某些实施例中，可以在单个单块芯片上实现前端802和后端804两者。在其它实施例中，可以在分离的芯片上实现前端802和后端804。在某些实施例中，可以将前端802和后端804实现为多个单独硬件和/或软件模块。在其它实施例中，可以将前端802间接地耦合到后端804，例如通过网络，并且两个组件可以是在地理上分开的。

在单个单块芯片中实现前端802（包括光源）和后端804可以对降低公开QRNG的成本有利。在单个芯片上实现所有东西可以减少对准完全不同的组件（诸如光源与单模滤波器等）所需的时间、努力和成本。在某些实施例中，可以使用例如沉积在硅上的锗将光源集成到芯片上的硅中。

图9更详细地描绘了代表性的RNG“前端”802。RNG前端802可以具有四个元件：（1）热光源902，其光学输出功率的随机波动提供量子起源的熵源；（2）多GHz带宽光学检测器904，其配准热源的输出；（3）跨阻放大器（TIA）906，其将检测器输出转换成电压；以及（4）模数转换器（ADC）908，其以每秒几千兆样本的速率将从源导出的有噪声电信号数字化（千兆样本（也称为GSample或GS）是十亿样本）。还可以在此阶段执行相对简单的健康状态和/或基本随机性测试，诸如检查正在生成与0一样多的1。

在某些实施例中，热光源902可以是上文所讨论的单或双偏振半导体光学放大器（SOA）。在以下实施例中，为了便于说明，假定具有以下参数的单偏振SOA：（1）ASE中心波长，λ＝1558 nm；（2）光学3dB带宽、82.3nm或10 THz，采取频率单位；（3）光学增益，G＝27.7 dB；以及（3）噪声系数8.1 dB，或者噪声因数χ＝6.5。也可以使用其它类型的光源，具有下面的参数的适当替换。

SOA热光输出被光纤耦合到在线性体系中操作的高带宽（针对本公开为20 GHz）电信标准光学检测器904。在某些实施例中，可以通过带宽3dB B_op（未示出）的光学滤波器对SOA的输出进行频谱滤波。在图9中描绘的实施例中，SOA的全谱输出B_op＝10 THz被光学检测器900接收到。检测器的电输出被耦合到跨阻放大器（TIA）906，并且然后被使用模数转换器（ADC）908以高速率采样。采样分仓时间的逆设定电子带宽B _el ；在本示例性实施例中，可以将电子带宽设定在几GHz。虽然SOA输出是单个横向模式，但对于当前RNG而言M = B _op /B _el 个纵向模式对数字采样信号有所贡献。例如，在B _el = 1 GHz的情况下，我们具有M～10,000个纵向模式。

给定纵向模式包含n个光子的概率由玻色－爱因斯坦（BE）概率分布给定；

。

具有平均光子数N _BE = <n _sp >、方差var_BE = <n _sp >(1 + <n _sp >)以及 <n _sp > = χ(G–1)。用上文所讨论的SOA参数，N_BE对应于每个纵向模式约4000个光子。每个模式的此占有数比用白炽光源将可行的大得多，并且是用于由本RNG的前端产生的每位的大量量子熵的基础。

进行SOA增益G和噪声因数χ与波长无关的近似，PD/TIA/ADC系统在一个采样分仓中检测到n个光子的概率由M倍简并BE或负二项（NB）分布给定，

其中，是每个采样分仓检测到的光子的平均数。NB光子计数方差由下式给定

。

在此表达式的右侧，应注意的是第一项对应于即使光子是可区分经典粒子也将存在的统计（散粒噪声）波动，而第二项对应于由用于光子（作为全同玻色子）被发射到已包含光子的模式中的自发发射的量子现象和量子增强振幅（“集束”）引起的量子波动。用波长无关SOA增益和噪声因数的近似，我们具有。因此，RMS光子数量子波动是光子数散粒噪声RMS波动的倍（其对于上文给定的χ和G的值而言为约62），与纵向模式的数目M和因此的数字化时间分仓宽度无关。这意味着与其它RNG相反，本RNG的数字化输出的熵的大分量将具有根本上的量子起源，其可以被如下量化。

检测器和TIA的数字化输出电压V将具有波动概率分布，其具有RMS值，可以将其表示为：电子噪声RMS波动；光子数散粒噪声RMS波动；以及量子RMS波动的平方和根值（RSS）：

。

请注意，每个采样分仓检测到的光子的平均数目与来自SOA的平均光学功率P成比例，可以通过测量作为P的函数的并将结果拟合到现象学模型来确定电子噪声、光子数散粒噪声和光子数量子噪声对数字化位流的熵的贡献：

。

在这里，a、b以及c对于特定数字化时间分仓宽度而言是常数，并且我们具有

将量子信噪比参数定义为：

。

当前RNG在SOA的典型操作点（平均光学功率P）处具有QSN＝7.3，其比任何竞争RNG更大得多，竞争RNG中的大多数依赖于固有地非常小的单光子或散粒噪声信号。当前RNG因此在其光学源内具有熵的鲁棒量子分量，这对于其非常高的位速率以及其输出的不可预测性的安全性保证两者而言都是使其成为可能的特征。

在实践中，SOA的增益和噪声因数跨光学宽度并不是恒定的。然而，可以将上述表达式作为SOA输出光学功率的函数而用于到波动的现象拟合，允许将量子噪声分量隔离。

在本文中称为“基本RNG”实施例的一个实施例中，公开的RNG可以以高达6 Gbps的速率提供输出位流。输出位流具有主要为量子起源的每位的熵，并且可以通过TestU01软件库中的统计随机性测试套件SmallCrush（在整体地通过引用结合到本文中的P. L'Ecuyer,R. Simard, “TestU01: A C library for empirical testing of random numbergenerators,” ACM Transactions on Mathematical Software (TOMS), v.33 n.4,p.22-es（2007年8月）中描述了SmallCrush），其比NIST测试套件（“A Statistical TestSuite for Random and Pseudorandom Number Generators for CryptographicApplications,” NIST SP800-22 National Institute of Standards and Technology(2001)）更加全面。在基本RNG实施例中，前端802处的ADC 908是比较器，产生具有不期望的偏置和相关的位流。此位流被输入到实现流调节算法的后端804中，以在产生输出位流806时去除这些特征。

图10更详细地描绘了根据“基本RNG”实施例的代表性RNG“后端”804。根据基本RNG实施例，RNG后端804可以包括调节器1002，其被配置成应用流算法以便从由前端ADC 802提供的输入910产生独立的无偏置随机位。RNG后端804还可以包括用于实现用于估计由热光源中的量子噪声引起的位串中的熵的量的模型（未示出）的硬件和/或软件。该模型可以通过改变馈送到光源的功率来估计量子熵的量，如下面相对于图14更详细地讨论的。RNG后端804还可以进行输出位流的基本随机性测试。一个此类随机性测试是FIPS140-2随机性测试，如在由国家标准技术协会在2001年发布并在2002年更新的联邦信息处理标准（FIPS）出版物140-2（FIPS PUB 140-2）（整体地通过引用结合到本文中）中描述的。

针对具有固定但不一定已知的偏置的独立随机位的情况，可以逐个流应用冯诺依曼算法（在J. von Neumann, “Various techniques used in connection with randomdigits”, Appl. Math. Ser., Notes by G. E. Forstyle, Nat. Bur. Stad., vol. 12,pp. 36-38, 1951（其全部内容被通过引用结合到本文中）中可以找到该算法的细节）以产生较短的无偏置独立随机位流。此算法的非常好的特征是其消除了对熵源的操作点进行微调以实现无偏置输出的要求。然而，基本RNG前端上的比较器的输出可以具有下一位的偏置取决于当前位的特征：存在短距离相关。这称为“轻微随机”源，并且所知的是不存在被应用于位流可以产生独立的无偏置随机位的布尔算法。此外，冯诺依曼算法在这些情况中的使用可能引入比其解决的更多的问题。

然而，想到由于不存在长距离相关，输出位流及其本身的适当延迟版本组成独立的轻微随机源，所以可以应用已知算法来产生独立的无偏置位。此类已知算法可以包括由例如U. V. Vazirani, “Towards a Strong Communication Complexity Theory orGenerating Quasi-random sequences from two communicating semi-randomsources,” 15th Annual ACM Symp. on Theory of Computing, pp. 366-378, 1983（整体地通过引用结合到本文中）公开的那些。具体地，调节器1002可以应用输出位流与其本身的延迟版本的（逐个流）逐位XOR：将每个“新”位x _i 与“旧”m个位位置的位x _i-m 取XOR，以给出已调节输出流。在这里，选择偏移m以给出通过全面统计测试套件的输出，并且一旦选择可以将其固定。此方案具有其可以容易地用简单的高速电子逻辑电路来实现的特征。本领域的技术人员将认识到可以将多个位的序列与偏移序列中的相应位取XOR，这导致位流的一定压缩，但是对于本公开而言，我们仅对单个位取XOR。

对于可以接受处于6Gbps的流随机位串的应用而言，可以用硬件来实现后端，如图11中所示。并且，认识到其它应用可能要求到位流的PC接口，可以实现接受图11中所示的流输出并如图12中所示地将其格式化以给出可直接被PC读取的输出的附加硬件级。

图11是图示出根据某些实施例的示例性后端的框图。来自前端中的光学检测器的随机波动模拟信号可以被跨阻放大器1102放大并提供给比较器1110的一个输入端。另一比较器输入端可以被用户设置成恒定DC水平，使得一半的时间模拟输入小于此恒定DC水平，并且一半的时间其较大。

来自光学检测器的模拟信号可以是固有地异步的。为了创建稳定的输出位流，比较器要求周期性时钟信号。此信号可以源自于外部6 GHz振荡器1105，其输出被通过6 GHz带通滤波器1106，并且其然后驱动扇出缓冲器1100。扇出缓冲器1104创建互补时钟脉冲对，其通过一对DC块1108a和1108b以在驱动比较器1110之前去除任何DC电平。

比较器1110可以接收该互补时钟脉冲并在每个时钟周期评估模拟信号的振幅。如果模拟信号大于参考电压，则其输出一个互补逻辑状态（例如[1，0]，并且如果模拟信号小于参考电压，则其输出相反的互补逻辑状态（例如[0，1]。在此电路的另一实施例中，可以用输出较大数目的位的模数转换器1112来替换比较器1110，所述较大数目的位的值取决于模拟信号与参考电压之间的差的量值。

可以使由比较器1110输出的互补信号通过一对1 dB衰减器1114a和1114b及DC块1116a和1116b，其将电压水平设置成用于扇出缓冲器1116的输入的正确值。此扇出缓冲器1118可以输出其输入端处的互补信号的两个拷贝。一个拷贝被指引到长路径1120，而另一个被指引到短路径1122。这两个路径可以被再结合为到逻辑XOR 1124的两个输入，该逻辑XOR 1124输出单个互补位流，其为两个输入的XOR。再次地使互补数据流通过一对DC块1128a和1128b并使得其在输出端口1130和1132处对用户可用。还出于同步的目的在1103处为用户提供6 GHz时钟的拷贝。此电路的其它实施例可以用其它调节过程1126来替换XOR1124。

图12描绘了根据某些实施例的可以将位流（诸如从图11中描绘的电路输出的）处理成适合于被计算机解释的形式的电路。 此电路在两个输入端口1202处以6GHz接收互补的随机选择位串。该电路还可以以3GHz而不是6 GHz接收被同步到输入位流的输入时钟信号1218。此时钟信号可以被传递至一比八分频器1212，其以375 MHz生成互补时钟信号。此信号可以被输入到扇出缓冲器1210，其可以生成375 MHz信号的两个完全相同的拷贝。一个拷贝可以用来触发D型触发器1208，其在每个时钟脉冲处存储来自随机源1202的一位。该触发器的互补输出是被以375 MHz采样的单个位，其可以被传递至一比四解复用器1204。来自扇出缓冲器1210的另一输出可以被传递至一比二分频器1206以便以187.5 MHz创建时钟信号。一比四解复用器1204可以以375 MHz数据速率对输入数据进行采样并以四分之一的该时钟速率创建四位宽的并行输出信号。此四位宽信号可以被发送到低压差分信令（LVDS）输入-输出端子1214，其将所有四位宽信号收集成可以容易地被计算机1216解释的格式。

在本文中称为“RNG-FQE（全量子熵）”实施例的另一实施例中，公开的RNG可以提供输出位流，其具有每位一位的量子起源最小熵（下面定义）。本实施例已在高达400 Gbps的离线速率下经过证明。在RNG-FQE实施例中，前端802处的ADC 908是向后端804输出八位字的多位数字化器（这与基本RNG实施例相反，其中前端802处的ADC 908是简单地每次一位地输出位流的简单比较器）。较长或较短的字也是可能的。

图13是根据RNG-FQE实施例的代表性后端804。来自ADC 908的八位字被通过第一调节级1302，其输出具有光源902和检测系统（904、906）的全熵的独立、无偏置随机位流1303。第一调节级1302还提供针对此位流的随机性提供鲁棒性：其自动地补偿SOA或检测电子装置操作点中的缓慢变化。可以使用在M. lum, “Independent Unbiased Coin Flipsfrom a Correlated Biased Source –A Finite State Markov Chain”, Combinatorica6 (2), 97-109 (received Feb. W4, 1985; revised Dec. 28, 1985)（整体地通过引用结合到本文中）中公开的算法来实现由该第一调节级应用的此补偿。相反地，在基本RNG实施例中可能必须谨慎地选择偏置设定点。第二调节级1304可以对位流应用随机提取器函数，其产生具有全量子熵1305的较短输出位流。最后，如果期望的话，可以将位流1305输入到NIST（国家标准技术协会）推荐的密码确定性随机位生成器（DRBG）1306，其输出位流1307可以被用于密码目的。在“Recommendation for Random Number Generation UsingDeterministic Random Bit Generators,” National Institute of Standards andTechnology Special Publication 800-90 A（2013年）（其全部内容被通过引用结合到本文中）中可以找到NIST标准。最终DRBG级提供进一步的安全鲁棒性和纵深防御：输出将继续是与随机数在统计上不可区分的，即使在量子噪声源内应存在故障。

如先前所讨论的，RNG-FQE实施例可以使用8位数字化器作为前端的ADC输出，作为基本RNG的（一位）比较器的替代。8位数字化器可以以每秒3 GSample的数字化速率进行操作。其它数字化器字尺寸和速率是可能的。每个样本可以产生表示光电检测器的输出电压和因此的来自光源的光学功率的8位字。在稳态下，用RMS波动来表征被采样功率的分布，所述RMS波动是以下各项的卷积：电子噪声；光学散粒噪声；以及玻色－爱因斯坦（量子）噪声。可以通过根据平均光学功率的函数来测量波动而将这些噪声分量分离，如图14中所示。

图14在竖直Y轴上示出了以µW为单位的均方根（RMS）光学强度波动，并且在水平X轴上示出了以µW为单位的从前端光源输出的平均光学功率。数据线1404示出了使用公开QRND的一个实施例的根据光学功率的函数的实验观察RMS波动。模型线1410示出了使用用于NB光计数的先前讨论等式的根据光学功率的函数的预测的RMS波动：

。

如可以看到的，在模型线1410与数据线1404之间存在紧密的对应关系，这指示模型具有良好的预测能力。出于本图的目的，采用了以下参数：每个样本的平均光子数等于4.3×10⁶，典型操作功率被设定在1700µW，并且模式的数目M被设定在8,000（在这种情况下，针对总共8000个模式为8000纵向模式×1个横向模式）。散粒噪声线1406对应于此表达式的右侧的第一项—如先前所讨论的，此第一项对应于即使光子是可区分经典粒子也将存在的统计（散粒噪声）波动。玻色－爱因斯坦噪声线1408对应于此表达式的右侧的第二项—如先前所讨论的，此第二项对应于由用于将被发射到已包含光子的模式中的光子（作为全同玻色子）的自发发射的量子现象和量子增强振幅（“集束”）引起的量子波动。

在零光学功率1402下，RMS波动由电子噪声分量控制（不同于光学散粒噪声，电子噪声在不考虑光学功率的情况下是恒定的。其在此图上未示出，但是如果是这样，其将是水平线）。在正常操作点1412处（在约1700µW光学功率下），波动由量子分量控制。将量子信噪比（QSN）参数定义（如前所述）为玻色—爱因斯坦波动与波动的电子和散粒噪声分量的卷积的比，这导致正常操作点处的7.3的大QSN值，即输出熵在很大程度上由量子起源1412的噪声控制。为了将其量化，评估测量的数字化器输出概率分布的香农熵：

在这里，求和在全部的8位数字化器输出的集合X范围内运行，并且P(x)是字x出现的测量的概率。在正常操作功率和每秒3 GSample的数字化速率下，这导致H＝4.89位。然而，出于密码目的，我们对最小熵更感兴趣：

。

这捕捉对手使用拣选最概然输出的最佳策略来猜测输出的概率，其具有测量概率P_max。因此，H_∞＝4.07位。根据QSN的较早的分析，此最小熵的99.6%可追踪到玻色—爱因斯坦（量子）噪声。因此，数字化器输出在这些操作条件下包含每8位样本4.05位的量子最小熵。这设定用于后端的随机提取器级的参数，其是通过监视稳态平均光学输出功率及其方差来确定的。在另一示例中，用每个样本4位以每秒12个GSample进行数字化，此熵估计产生每个样本3.78位的量子最小熵和因此的在本文档中的别处叙述的44－Gbps FQE随机位速率。

由于相关和偏置，数字化器输出字不能被直接地用作到熵提取器的随机位的源。第一调节级1302获取数字化器输出，其可以被建模为马尔可夫过程，并且产生独立无偏置位的流输出1303，具有源的全香农熵，不要求源的转变概率的先验知识。因此本公开允许实现用于此提取的流算法，其可以在FPGA中执行。在H. Zhao和J. Bruck的“Streamingalgorithms for optimal generation of random bits,”arXiv: 1209.0730 [cs.IT](2012年9月)中（整体地通过引用结合到本文中）可以找到针对此提取可以实现的流算法的示例。这些算法表示到用于将i.i.d.位流解除偏置的冯诺依曼的流算法的马尔可夫过程的广义化。此过程中的第一阶段是将数字化器的（相关）输出序列映射成独立8位符号的2⁸个序列。可以将这些新序列中的每一个视为重复地对偏置2⁸面管芯进行轮询的结果，并且通过二值化树算法，可以将其变换成多个随机位序列。然而，使用冯诺依曼算法的二叉树广义化，可以将这些序列中的每一个变换成无偏置独立随机位序列。最后，（通过连结）将所有这些重新组合以产生独立无偏置位的一个总体输出序列，其具有每个输出位一位的源香农熵。这是设计的重要故障安全保障特征：第一调节级不能产生比数字化源的香农熵更多的输出位。可以执行基本在线统计随机性测试（单个位测试、Poker测试、游程测试等）以验证此点处的系统的正确运行。

这些算法的FPGA实施方式使得能够实现更快的处理速率。为了最终的冯诺依曼级（如在上文引用的Zhao和Bruck的文献中描述的）完成这一点，可以将整个二元决策树建立在FPGA中。树中的每个节点表示关于其应是‘1’还是‘0’的确定的决策树的不同状态。不是如用软件完成的那样连续地执行每个节点，而是硬件设计并行地执行所有节点。然而，树的每个层级将永远仅有单个节点是活动的，因此最大平行性是log₂（节点的数目），并且只有当在树本身中要求最大数目的状态时。所需的树的深度取决于数据的非随机出现，并且不能预先确定。这种方法使用比用串行化方法将需要的更多的资源，但是允许引擎接每个时钟周期接受新的数据位。将该执行串行化将降低数据可以被接受的速率并导致较低的最终位速率。类似的树被用于较早的马尔可夫和n面管芯级。

接下来，第二调节级1304从第一调节级1302的输出二进制序列提取量子最小熵。“剩余散列引理”（在例如D. R. Stinson的“Universal hash families and the left-over hash lemma, and applications to cryptography and computing”, J. Combin.Math. ombin. Comput. 42, 3 (2002)中讨论，其被整体地结合到本文中）显示可以使用通用散列函数来执行此提取以将较长的二进制序列压缩成每个位具有一位的（量子）最小熵（全量子熵）的较短序列。在例如J. L. Carter和M. N. Wegman的“Universal classes ofhash functions”, J. Comp. Sys. Sci. 18, 143 (1979)（整体地通过引用结合到本文中）中公开了此类通用散列函数的示例。压缩参数（例如，散列族的选择）由前端的数字化输出的测量参数（例如，平均光学功率及其方差）确定。第二调节级1304可以在FPGA或ASIC中高效地实现适当的逐个流散列函数；例如，密码CRC散列实施方式是特别适当的（在例如H.Krawczyk的“LFSR-based hashing and authentication”, Lect. Notes Comp. Sci.839, 129 (1994)中讨论，其被整体地结合到本文中）。还可以使用密码算法来执行随机性提取，诸如SHA族或AES（在例如Y. Dodis等人的“Randomness extraction and keyderivation using the CBC, Cascade and HMAC modes,” Lect. Notes. Comp. Sci.3152, 494 (2004)中讨论，其被整体地结合到本文中）。如果这些算法已经以固件的形式可用，这可以是方便的，诸如针对NIST推荐密码后处理级。

例如，在第二调节器1304处，可以进行分布的熵的估计以确定产生的每个位的量子最小熵的量。如果熵小于所产生的每个位1位，则可以使用散列函数来压缩随机数串，使得在每个最终散列位中存在1位的量子熵。例如，1至0或者0至1的转变的概率优选地为0.5。如果其替代地为pmax＝0.58，则最小熵H_∞ = - log₂(p_max) = - log₂(0.58) = 0.786，即产生的每个位0.786位的最小熵。最终位与输入位的0.786的压缩比然后将提供具有每个位1位的熵的随机数串。该压缩可以通过例如向SHA256函数中输入256/0.786位来实现。结果得到的256位将具有每个位1位的熵。此随机数生成器的很好地设计的实例化可以产生每个位1位的熵。

然后向NIST批准的密码确定性随机位生成器（DRBG）1306输入第二调节级1304的全量子熵输出，其输出可以用作密码随机位。可以在FPGA或ASIC中容易地实现适当的DRBG。

在图15中图示出生成随机位流的代表性方法1500。在1502处，选择光源，一般地为产生针对适当的短延迟具有低相关的输出通量的光源。在1504处，使用来自光源的光学通量来产生光学强度信号，通常使用诸如光电二极管之类的平方律检测器。在1506处选择信号延迟，并且将基于光学强度信号的延迟和未延迟信号组合。在1510处，提供随机位流作为输出。该组合信号可以是基于光学信号和光学延迟光学信号（诸如使用光纤产生，作为延迟线）或者光电检测器信号和光信号的电延迟拷贝。可以对随机位流完成各种各样的后处理以减少缺陷（例如，偏置和/或相关）并提取其熵。

示例性用例

可以用各种方式且针对各种应用使用本文所述的RNG。例如：

用例1：密码随机位生成器：用于硬件安全模块（HSM）和终端设备的嵌入式组件

随机数是在其上面构建所有密码术的基础。获取充分的熵的困难（尤其是在最终用户设备中）是常见的安全弱点，并且在这样的关键基础设施网络安全的新应用领域中已被确认为挑战性问题。本文所述的QRNG能够满足这些需要。其能够以高速度产生具有极高熵的输出流，并且还可以廉价地构造某些实施例，其使用非常少的功率并具有紧凑的覆盖区。还可以将其结合到HSM中作为安全升级以替换当前使用的确定性随机位生成器。

用例2：数据中心安全性：具有前向保密的SSL/TLS

关于电子邮件及其它网络业务的监督的最近启示已引导某些供应商（例如，谷歌和CloudFlare）使用“完美前向保密”选项（即短暂迪菲-赫尔曼（DHE）会话密钥建立）来实现SSL/TLS。这种实施方式要求比旧的基于RSA的会话密钥建立方法（其不那么安全）明显更多的熵。朝向完美前向保密实施方式的此趋势很可能随着增长的隐私问题的意识而增加。此外，从使用DHE增加的纵深防御将缓解OpenSSL中的Heartbleed漏洞的安全影响，如已由电子边界基金会指出的。CloudFlare已指向大大增加的对随机性的需要作为用于DHE的广泛实现的问题，尤其是在云环境中。这可以通过首先检查用于会话密钥建立的基于RSA的方法中的步骤来理解。服务器的RSA公钥具有两个功能：允许客户端认证服务器；以及用于客户端将“预备主”秘密加密并将其发送到服务器。（预备主秘密最终变成会话密钥）。由于服务器的公钥可以保持有效达一年或更久，并且将其改变是昂贵且麻烦的，所以其危害也将危害已在其下面建立的每个会话密钥。用完美前向保密，服务器的RSA公钥仅被用于客户端认证服务器，但是在每个会话中使用新DHE程序来建立预备主秘密和因此的会话密钥。服务器和客户端两者都要求随机位的源来实现DHE。这可以特别地着重于服务器，其在云环境中可能必须支持每秒数千个至数万个唯一TLS会话的发起。用针对每个会话的唯一随机数值、会话ID号以及初始化向量也需要的随机数，服务器可以容易地以几Gbps的速率要求随机数：当前公开的RNG可以容易地维持这些速率。如果客户端本身是数据中心或服务器的数据中心的不同部分，则客户端也可以以这些高速率要求随机性的源。将来，可能期望在会话期间以频繁的间隔改变会话密钥以实现附加安全性：单个密钥的危害将仅暴露会话的业务的小间隔而不是整个会话。用于实现此更高级的会话安全的必需条件将是相应的更大的随机位速率：当前公开的RNG可以支持此概念。SSL/TLS不是可以受益于高速随机性的唯一广泛使用协议：SSH、IPsec和SIP全部具有以完美前向保密来实现的选项。

用例3：安全云数据存储

诸如Dropbox、iCloud等云存储服务是很大的便利，但是存在关于云中的个人或专有信息的安全性和隐私性的顾虑。基于USB棒（或者到PC、平板电脑或智能电话的其它方便接口）上的本公开的RNG的用户设备可以通过在将数据上传到云之前使用新生成的密钥对数据进行加密和认证来缓解这些顾虑。密钥将被存储在用户设备的安全存储器中，以允许将来被用户下载（可能到不同的计算平台）之后恢复和验证数据。

用例4：针对鲁棒、安全的数据存储的阈值秘密分离

对于某些敏感应用而言，用例3的情形存在的顾虑是其缺少针对存储数据的意外或恶意破坏或者用户密钥的丢失或被盗的鲁棒性。如果存储的已加密数据被破坏或者用户丢失他/她的密钥，则用户不能恢复原始数据。用户密钥的被盗或拷贝潜在地将已加密数据暴露给对手。具有这些顾虑的情形的示例包括用于灾难恢复的数据的安全备份以及加密主密钥的存储（密钥管理）。基于本公开的RNG的设备可以通过简单的阈值秘密分离方案来缓解这些顾虑，我们在这里用以下三取二示例来对其进行举例说明。（泛化至更多份额（share）是简单的。） M是表示要安全地存储（在不同的加密密钥下加密）在三个不同存储位置：A、B和C上的数据的二进制串。加密密钥份额KA（用于位置A）、KB（用于位置B）以及KC（用于位置C）满足秘密分离性质

。

因此，使用一次密本加密（为了呈现的简单）存储位置A接收，并且对于位置B和C而言是类似的。通过将RNG输出解析成三个等长度的“预备份额”P、Q和R并形成下式来构造密钥份额

预备份额（P、Q和R）中的每一个被存储在单独的安全位置（p、q和r）上。因此，用对任何一对预备份额（例如p和q）的访问，可以从相应的已加密存储数据（在这种情况下从存储位置B）恢复原始数据M。然而，预备份额中的任何一个的危害不能危害存储的已加密数据的机密性。同样地，通过其它两个存储位置的冗余来保护存储的已加密数据集中的任何一个的破坏。

用例5：量子密钥分发（QKD）

最广泛使用的发送机节点（“BB84”）QKD协议对随机数具有贪婪的需求。为了安全性，这些随机数具有全熵是必须的。（伪随机数生成器（“PRNG”）的使用例如将导致具有不多于PRNG的安全性的密钥。并且可以非常容易地诊断PRNG。）用典型的链路效率，为了维持1Mbps的秘密密钥速率，要求1 GHz的QKD时钟速率。然后，每个发射的量子信号要求：一个数据位；一个基础位；以及四个和八个之间的“诱骗状态”位。QKD发送机因此可以以10 Gbps或以上的速率要求全熵随机数。这用当前可用的商用RNG是非常具有挑战性的，但是用当前公开的RNG可以容易地维持。

用例6：一次性签名

一次性签名（OTS）由于多个原因被视为RSA数字签名的实用性替换。首先，OTS使用快速密码散列函数（例如SHA族）并因此具有比RSA签名低得多的计算开销。针对其中低延时是必须的应用，诸如电网控制，这可能是实用性命令。其次，现代RSA的漏洞和椭圆曲线公钥密码学对运行Shor算法的可能未来量子计算机的漏洞的增长的意识正在鼓励对Shor免疫的新密码系统的探索。OTS方案被视为用于此类框架内的数字签名的有力候选。然而，与其中可以使用单个秘密签名密钥对许多消息进行签名的RSA签名相反，OTS方案针对每个消息要求新的签名密钥。特别是在流数据情况中，OTS方案可能对随机性具有高需求以生成签名密钥。足够数量的签名密钥的预先分发具有明显的逻辑和安全顾虑。相反地，通过使用本公开的RNG可以避免这些困难，其可以容易地满足甚至针对流数据情况要求的密钥速率。

用例7：蒙特卡罗模拟

伪随机数生成器常常被用于蒙特卡罗模拟。然而，由于PRNG位序列的算法结构，已存在作为PRNG结构的人为现象的恶名昭彰的结果。当前公开的RNG可以供应对于使用蒙特卡罗方法的大规模模拟而言以高速率要求的随机数。真随机性将避免使用伪随机数生成器的这些顾虑。

用例8：游戏

游戏和彩票需要随机数。对于这些应用而言，当前公开的RNG可以供应“优质”随机性，具有公平性和防篡改性的“量子保证”。

用例9：用于基于证书的PKI和物联网的注册

在某些情况下，QRNG可以用来促进和/或加速公钥基础设施（PKI）中的注册过程以便在对人或诸如电话之类的对象进行注册时使用。在公钥基础设施注册过程中，必须针对每个人或设备生成唯一公钥/私钥对，并且存在其中在该过程中要求随机数的多个地点。可以使用嵌入（潜在地便携式的）注册设备中的QRNG来使得此过程更快、更安全和/或更方便，诸如公钥基础设施—量子硬件安全模块（PKI-QHSM）。

为了生成RSA素数，通常使用诸如Miller-Rabin之类的随机化算法。这些算法首先生成大的候选随机整数（其可以用QRNG来完成），然后使该候选随机整数经受针对另一随机测试数（其也可以用QRNG来生成）的素性测试。此过程可以重复k次，每次用不同的随机测试数。如果k个测试中的任何一个失败，则该候选被丢弃并生成一个新的。如果全部的k个测试都通过，则该候选数是素数，除具有小于2^-k的概率之外。可以通过使得k足够大来使得（未检测到的复合性的）此概率任意地小。公开的QRNG可以通过以快速的速率生成大的随机数来促进此过程，同时还提供生成的数是真随机的保证。

虽然上文已描述并在附图中示出了本发明的优选实施例，但应理解的是本发明不限于公开的实施例，而是能够在不脱离如由以下权利要求阐述和定义的本发明的精神的情况下实现许多重新布置、修改和替换。

Claims (32)

1.一种随机数生成器，包括：

热光源，其可操作用于通过在光学场模式下发射光子来产生光通量，其中，根据玻色－爱因斯坦概率分布用光子填充所述光学场模式；

第一检测器，其可操作用于从光源接收光学通量的一部分并基于接收到的光学通量来提供第一检测器信号；以及

输出系统，其可操作用于基于至少所述第一检测器信号来生成独立无偏置位流。

2.权利要求1的随机数生成器，还包括延迟单元，其可操作用于输出延迟信号，并且其中，所述输出系统包括可操作用于基于第一检测器信号和延迟信号来产生输出信号的比较器。

3.权利要求2的随机数生成器，其中，所述延迟单元包括光学延迟，并且其中，所述延迟单元可操作用于从光源接收光学通量的一部分，并且输出对应于接收到的光学通量的延迟光学通量。

4.权利要求3的随机数生成器，还包括第二检测器，其被配置成接收延迟光学通量并基于该延迟光学通量提供第二检测器信号。

5.权利要求4的随机数生成器，其中，所述第一检测器和所述第二检测器被配置为平衡检测器对。

6.权利要求2的随机数生成器，其中，所述延迟单元是电延迟单元，其可操作用于接收第一检测器信号并输出对应于第一检测器信号的延迟电信号。

7.权利要求6的随机数生成器，其中，所述延迟单元是数字延迟单元。

8.权利要求2的随机数生成器，其中，所述延迟单元可配置成基于第一检测器信号与延迟信号之间的互相关的估计来延迟第一检测器信号。

9.权利要求1的随机数生成器，其中，所述热光源包括半导体光学放大器。

10.权利要求1的随机数生成器，其中，所述热光源包括发光二极管。

11.权利要求1的随机数生成器，其中，由所述热光源发射的光子被限制于单个横向空间模式。

12.权利要求1的随机数生成器，其中，所述热光源包括用于限制包括在光学信号中的横向空间模式的数目的空间模式滤波器。

13.权利要求12的随机数生成器，其中，所述空间模式滤波器包括光纤。

14.权利要求1的随机数生成器，其中，所述第一检测器是光电二极管。

15.权利要求1的随机数生成器，其中，所述输出系统包括数字调节单元，其可操作用于实现用于去除第一检测器信号中的偏置和相关中的至少一个的至少一个调节算法。

16.权利要求1的随机数生成器，其中，所述输出系统包括数字调节单元，其可操作用于实现用于提取第一检测器信号内的熵的至少一个随机性提取算法。

17.一种使用热光源、第一检测器以及输出系统来生成随机数的方法，所述方法包括：

由所述热光源通过在光学场模式下发射光子来产生光通量，其中，根据玻色－爱因斯坦概率分布用光子填充所述光学场模式；

在所述第一检测器处从所述光源接收光学通量的一部分；

由所述第一检测器基于接收到的光学通量来提供第一检测器信号；以及

由所述输出系统基于至少所述第一检测器信号来提供独立无偏置位流。

18.权利要求17的方法，还包括

由延迟单元提供延迟信号；以及

由比较器基于第一检测器信号和延迟信号提供输出信号。

19.权利要求18的方法，其中，所述延迟单元包括光学延迟，并且其中，提供延迟信号包括：

在所述延迟单元处从所述光源接收光学通量的一部分；以及

提供对应于接收光学通量的延迟光学通量。

20.权利要求19的方法，还包括：

在第二检测器处接收延迟光学通量；以及

由第二检测器基于延迟光学通量提供第二检测器信号。

21.权利要求20的方法，其中，所述第一检测器和所述第二检测器被配置为平衡检测器对。

22.权利要求18的方法，其中，所述延迟单元是电延迟单元，并且其中，提供延迟信号包括：

在所述延迟单元处接收第一检测器信号；以及

提供对应于第一检测器信号的延迟电信号。

23.权利要求22的方法，其中，所述延迟单元是数字延迟单元。

24.权利要求22的方法，其中，所述延迟单元可配置成基于第一检测器信号与延迟信号之间的互相关的估计来延迟第一检测器信号。

25.权利要求17的方法，其中，所述热光源包括半导体光学放大器。

26.权利要求17的方法，其中，所述热光源包括发光二极管。

27.权利要求17的方法，其中，由所述热光源发射的光子被限制于单个横向空间模式。

28.权利要求17的方法，其中，所述热光源包括用于限制包括在光学信号中的横向空间模式的数目的空间模式滤波器。

29.权利要求28的方法，其中，所述空间模式滤波器包括光纤。

30.权利要求17的方法，其中，所述第一检测器是光电二极管。

31.权利要求17的方法，还包括由数字调节单元实现用于去除第一检测器信号中的偏置和相关中的至少一个的至少一个调节算法。

32.权利要求17的方法，还包括由数字调节单元实现用于提取第一检测器信号内的熵的至少一个随机性提取算法。