CN110147220A

CN110147220A - 物理随机数生成器的测试

Info

Publication number: CN110147220A
Application number: CN201910111133.9A
Authority: CN
Inventors: P.伯夫根; M.迪赫特尔
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 2018-02-12
Filing date: 2019-02-12
Publication date: 2019-08-20
Also published as: US11055064B2; EP3525085A1; EP3525086A1; US20190250890A1

Abstract

本发明涉及物理随机数生成器的测试。本发明的各种示例总体涉及控制自动化系统的操作。自动化系统的示例包括：用于计算的处理器，其基于多个数来实现安全引导过程；用于认证的芯片卡；电信装备；可编程逻辑控制器、用于铁路的控制设备等。该操作是取决于来自物理随机数生成器的多个数的随机性的顺序测试是否被标记为失败来控制的。这具有下述优势：该多个数的完整性的在线测试在高准确度和低等待时间下是可能的。

Description

物理随机数生成器的测试

技术领域

本发明的各种示例总体涉及测试由物理随机数生成器生成的数的随机性。本发明的各种示例具体涉及以高效且准确的方式测试随机性。

背景技术

随机数生成器（RNG）顺序地生成多个数。对应的数序列被期望是随机的。要求RNG的统计质量的定量度量以便验证RNG是否正确地工作。

RNG的一个实现是物理随机数生成器（物理RNG）。物理RNG被构建成使用物理过程来生成多个数。针对许多安全性应用而要求物理RNG。典型地用于物理RNG的示例物理过程包括：诸如热噪声之类的噪声；振荡抖动；以及量子现象。

RNG是许多自动化系统的一部分，且常常是针对安全密码应用而要求的。其实质上取决于所生成的随机数的质量，而不论自动化系统是否正确地工作。因此，典型地要求监督RNG的（具体地，物理RNG的）质量。例如，BSI指南AIS 31（Bundesamt für Sicherheit inder Informationstechnik: “A proposal for: Functionality classes of randomnumber generators”, version 2.0, 18.9.2011）要求物理RNG的永久监督。

然而，从RNG获得的多个顺序地生成的数的随机性的现有测试面临着某些限制和缺陷。

例如，随机性的现有测试可能要求显著的实现复杂度。因此，它们可能要求显著的计算资源，例如就处理能力和/或存储器而言。

例如，随机性的现有测试可能具有有限准确度。测试的结果的不确定性可能是显著的。

例如，不能容易地解决测试的结果的准确度和及时性之间的折衷。如果测试要以高准确度获得结果，则需要在应用测试之前生成大量的数。这耗费显著的时间。不能快速地检测到由于RNG的不充足质量所致的安全缺口。针对准确度或针对及时性而优化现有测试。

发明内容

因此，存在针对顺序地生成的数的随机性的测试的高级技术的需要。具体地，存在针对克服或减轻上述限制和缺陷中的至少一些的高级技术的需要。

一种方法包括：从物理RNG获得多个数。所述方法还包括：在所述多个数上采取至少一个观察。所述至少一个观察与随机性的测试相关联。所述方法还包括：取决于所述至少一个观察的结果，选择性地将所述测试标记为失败。所述方法还包括：取决于所述测试是否被标记为失败，控制自动化系统的操作。所述至少一个观察的采取包括：针对所述多个数而计算指示雷尼熵（Renyi-entropy）度量的值。

获得多个数可以对应于从所述物理RNG接收所述多个数。获得数可以包括：将所述多个数写入到存储器，即，缓存所述多个数。在一些示例中，将可能的是，采取该至少一个观察响应于获得该多个数而开始，例如，在该多个数中的所有数在存储器中可用的时间点处。在其他示例中，在获得该多个数的同时开始采取该至少一个观察将是可能的。对于最小熵，可以以下面的方式实现后一场景：对于数的每一个可能值，将计数器初始化到0，并且每当该值出现时都将计数器递增1。包含最大值的变量“最大值（max）”被初始化到0。每当计数器被递增时，都将计数器的新值与最大值进行比较。如果经递增的计数器的新值大于最大值，则将最大值设置成该新值。从最大值的值导出观察结果。

所述方法可以进一步包括：所述物理RNG顺序地生成所述多个数。所述多个数可以是在某个持续时间/时间段内生成的。

所述多个数可以作为数字信号而获得。例如，每一个数可以具有某个长度，例如1个比特、8个比特、32个比特等。数的可用值的范围与数的长度相关。

所述多个数可以是顺序地获得和/或生成的；因此，所述多个数可以定义数的序列。所述多个数中的每一个数可以与序列号相关联。

在一些示例中，所述测试可以由单个观察构成。然后，例如，可以获得指示所述雷尼熵度量的单个值。在其他示例中，所述测试可以包括一个接一个地采取的多个观察。

选择性地对所述测试进行标记可以对应于：将所述测试标记为失败或者不将所述测试标记为失败。例如，所述测试可以被标记为失败或被标记为通过。

通过使自动化系统（其使用该多个数）的后续行为取决于测试结果，可以实现随机性的在线测试。在线测试典型地区别于离线测试。典型地，当生产物理RNG时，离线测试作为后端测试而执行。不同地，在物理RNG的预期使用期间（即，当采用包括物理RNG和依赖于由物理RNG输出的多个数的自动化系统两者的系统时）使用在线测试。

例如，自动化系统的操作可以使用所述多个数。在一些示例中，如果所述测试被标记为失败，则可以中止使用所述多个数的自动化系统的操作。对操作进行控制的其他度量是可想到的。

已经发现，使用指示雷尼熵度量的值提供了测试的资源高效实现。这有助于减少进行测试所需的时间（测试时间）。可以利用有限计算资源提供测试的结果。

一般而言，各种雷尼熵度量是可用的。被发现为利用有限计算资源支持短测试时间的具体雷尼熵度量是最小熵。

雷尼熵度量的示例包括最小熵。最小熵是雷尼熵中最小的那个。其提供了成果集合的不可预测性的度量，这是因为其是最可能的成果的概率的负对数。较小的最小熵对应于较小的随机性。

雷尼熵度量和最小熵度量的示例例如在Cachin, Christian. Entropy measuresand unconditional security in cryptography. Diss. 1997中描述。

为了确定指示最小熵的值，选择该多个数的最常出现的值且将所选值的计数确定为该至少一个观察的结果将是可能的。因而，最优地量化最小熵从而便于在修改自动化系统的后续行为时采取正确决策是可能的。

在这点上，将该至少一个观察的结果（例如，最常出现的值的计数）与预定义阈值进行比较将是可能的。由此，预定义阈值对应于熵。

预定义阈值可以与测试准则相关联。测试准则可以指定测试的目标，例如就物理RNG的质量、测试的标称准确度、针对测试而要求的测试时间等而言。

预定义阈值可以与仍然可接受的最小的最小熵相关联。因此，当最常出现的值的计数超过预定义阈值时，这可能对应于太小而不可接受的最小熵。然后，测试可以被标记为失败。

在一些场景中，确定值以使得其指示雷尼熵度量的（例如，最小熵度量的）上界可以是足够的。

具体地，这可以包括：检验是否所述多个数的任何出现值超过预定义缓存阈值。

然后，在通过处理所有所获得的数来完成测试之前，可以中止测试。例如，测试可以被标记为失败——即使在已经处理该多个数中的所有数之前。具有导致超过预定义缓存阈值的值的数的特定序列号可能是先验未知的。因此，经处理的数的特定计数可能是先验未定义的，且可能小于所有可用的数。在这点上，随机性的测试可以被称作顺序测试。

关于顺序测试的细节例如在Wald, Abraham. “Sequential tests ofstatistical hypotheses.” The annals of mathematical statistics 16.2 (1945):117-186中描述。

例如，如果最小熵度量大于给定阈值的概率足够小，则测试可以被标记为失败；因此，给定阈值可以被称为对应于上界。换言之：如果基于可用观察并且以足够大的概率，最小熵度量小于上界，则测试可以被标记为失败。

通过依赖于上界来采用雷尼熵度量的这种近似具有某些有利效果。第一，可以通过提早中止测试来减少测试时间。第二，可以减少执行测试所需的计算资源，具体地，存储器大小。例如，可以根据缓存阈值来限制某些存储器分配。存储器分配不需要被调整尺寸成能够反映所有可能的熵度量，而是可以被分配以反映与缓存阈值相关联的雷尼熵度量的上界。这便于资源高效在线测试。

一种计算机程序产品或一种计算机程序包括能够由控制电路执行的程序代码。执行所述程序代码使所述控制电路执行一种方法。所述方法包括：从物理RNG获得多个数。所述方法还包括：在所述多个数上采取至少一个观察。所述至少一个观察与随机性的测试相关联。所述方法还包括：取决于所述至少一个观察的结果，选择性地将所述测试标记为失败。所述方法还包括：取决于所述测试是否被标记为失败，控制自动化系统的操作。所述至少一个观察的采取包括：针对所述多个数而计算指示雷尼熵度量的值。

一种设备包括被配置成执行下述各项的控制电路：从物理RNG获得多个数；以及在所述多个数上采取至少一个观察，所述至少一个观察与随机性的测试相关联；以及取决于所述至少一个观察的结果，选择性地将所述测试标记为失败；以及取决于所述测试是否被标记为失败，控制自动化系统的操作。所述至少一个观察的所述采取包括：针对所述多个数而计算指示雷尼熵度量的值。

上面已经描述了实现随机性的测试的技术，其中该测试依赖于指示雷尼熵度量的值。根据某些示例，在获得和/或生成多个数的同时针对多个迭代而重新采取随机性的测试（例如，依赖于指示雷尼熵度量的值的测试）的观察将是可能的。然后，任何这种迭代/观察可能导致将测试标记为失败。再一次，这种测试可以被称作顺序测试，这是因为导致将测试标记为失败的特定迭代/观察（如果有的话）不是先验已知的。

一种方法包括：顺序地从物理RNG获得多个数。所述方法还包括：在获得所述多个数的同时，重复地在相应获得的数上采取观察。所述观察与随机性的顺序测试相关联。然后，所述方法进一步包括对于每一个观察：取决于相应观察的结果，选择性地将所述顺序测试标记为失败。

一般而言，所述方法可以被应用为在线测试和/或离线测试。

顺序测试可以有助于检验该多个数是否是以随机的方式获得和/或生成的。

所述顺序测试可以包括多个迭代。每一个迭代可以与相应观察相关联。所述顺序测试的每一个观察可以在已经在采取相应观察时获得的数中的全部或至少一些上操作。因此，换言之，继续进行的观察将在第一数集合上操作，并且随后的观察将在第二数集合上操作，其中第二数集合完全包括第一数集合。因此，更一般而言，基于其而形成观察的结果的决策可以逐观察而增加。

顺序测试的观察的计数可能不是先验（即，在开始应用顺序测试时）确定的。即，导致将顺序测试标记为失败的特定给定观察（如果有的话）可能不是在顺序测试的开始时先验确定的。换言之，与导致将顺序测试标记为失败的给定观察相关联的数的计数可能不是先验确定的。再换言之，导致将顺序测试标记为失败的迭代的序列号可能不是先验确定的。

换言之，顺序测试的观察的数目不是预定的，而是随机数量。这是因为：取决于顺序测试的给定迭代的结果选择性地将顺序测试标记为失败是可能的。

使用顺序测试以针对随机性而测试从物理RNG获得的多个数具有某些优势。具体地，贯穿该多个数的生成和获得而早期开始测试是可能的。例如，针对随机性而测试从物理RNG获得的多个数的参考技术典型地要求相对大计数的数以在其上操作；示例计数可以是大约A=1.000或A=10.000。不同地，使用顺序测试可以有助于在获得和/或生成该多个数的较早阶段处开始随机性的测试。例如，可以针对相应生成的数的例如A=4或5或10的序列号而采取顺序测试的第一初始观察。因此，根据本文描述的技术，不要求等待该多个数的生成完成；相反，基于该多个数的子集来应用测试已经是可能的。这有助于减少测试时间。这有助于相对快速地获得该多个数的随机性的第一度量。这可以在下述情况下特别有帮助：自动化系统的操作使用该多个数，并且非随机数将导致安全缺口——在在线测试场景中。而且，可以缩短后端测试，从而增大生产吞吐量——在离线测试场景中。

在一些示例中，可以提早（即，在获得和/或生成该多个数中具有最高序列号的数之前）中止该多个数的所述顺序获得以及可选地该多个数的顺序生成。

然后，响应于将顺序测试标记为失败，适当地控制自动化系统一般将是可能的。一个示例包括：中止使用所述多个数的自动化系统的操作。例如，自动化系统可以被转移到安全状态中。这对应于在线测试场景。

自动化系统的操作的这种中止以及中止该多个数的获得/生成仅是可响应于将顺序测试标记为失败而采取的可能对策的两个示例。一般而言，可以采取各种对策，包括例如：输出警告消息、重复测试等。对策可能针对离线测试场景和在线测试场景而不同。

所述方法可以包括：对于每一个观察，将相应观察的结果与相应预定义阈值进行比较。然后，取决于所述比较，可以选择性地将所述顺序测试标记为失败。

所述预定义阈值可以与所述测试准则相关联。所述预定义阈值的选择可以指定所述顺序测试的严格性。

一般而言，顺序测试的可靠性可能趋向于针对所获得的多个数的增加的序列号而提高。换言之，顺序测试的可靠性可能具有针对观察的更大计数而提高的趋势。

基于该发现，各种选项是可用以避免针对顺序测试的早期迭代而过分严格地将顺序测试标记为失败。

在这点上的策略可以包括：在顺序测试的过程中调整预定义阈值的选择。预定义阈值可以是逐观察（例如，针对所有观察或至少一些观察）而调整的。因此，顺序测试的测试准则可能跨观察而变化。例如，将可能的是，对于每一个观察，相应预定义阈值取决于与相应观察相关联的所获得的数的计数。例如，相应观察基于其而操作的数的大计数（小计数）可能导致更严格（更不严格）的预定义阈值。因而，具体地，可以补偿早期迭代的有限准确度。通过调整测试准则，可以调整以适应一方面的早期决策作出与另一方面的测试准确度之间的平衡。例如，预定义阈值可以被选择成使得与观察相关联的预定义阈值对应于跨观察而变化不多于50%（可选地，不多于20%，进一步可选地，不多于5%）的顺序测试的标称失败概率。标称失败概率可以被定义为针对理想RNG的测试的失败概率。因此，在理想物理RNG输出随机数的情况下，测试可能被错误地标记为失败。

在这点上的更进一步策略可以包括：当相应获得的数的计数超过较低阈值时，开始重复地采取观察。因此，对于小序列号，可以不采取观察，从而归于这种早期观察的有限准确度。不可靠结果被丢弃。

一般而言，本文描述的技术可以是利用各种类和类型的顺序测试来实现的，且可以被灵活地应用于各种类和类型的顺序测试。

顺序测试的第一示例包括随机游动（random walk）。例如，可以使用一维（1-D）随机游动。所述随机游动可以包括多个步骤。每一个步骤可以对应于相应观察。每一个步骤因而可以对应于顺序测试的相应迭代。相应观察的结果可以是随机游动的局部偏差。例如，该多个数的值可以确定随机游动的位置。每一个随机数可以根据其值来递增或递减随机游动的位置。例如，如果随机游动的偏差（即，该位置与起始点的距离）超过阈值，则顺序测试可以被标记为失败。

有时，随机游动的偏差被称作偏度（skewness）。

顺序测试的第二示例包括考虑该多个数的熵。该熵一般是数的随机性的度量。因此，较大（较小）熵对应于较大（较小）随机性。这里，每一个观察的采取可以包括：计算指示雷尼熵度量（例如，最小熵度量）的值。

在这点上，可以采用如上所述的技术。因此，对于计算最小熵，可以采取以下方案：每一个观察的采取可以包括从相应获得的数中选择最常出现的数。然后，可以将所选数的出现的计数确定为相应观察的结果。如果最常出现的数出现得太频繁，则这可以是该多个数的非随机性的指示。

再一次，检验是否相应获得的多个数的任何出现值超过相应预定义阈值将是可能的。然后，可以确定雷尼熵度量的上界。

一种计算机程序产品或一种计算机程序包括能够由控制电路执行的程序代码。执行所述程序代码使所述控制电路执行一种方法。所述方法包括：顺序地从物理RNG获得多个数。所述方法还包括：在获得所述多个数的同时，重复地在相应获得的数上采取观察。所述观察与随机性的顺序测试相关联。所述方法还包括对于每一个观察：取决于相应观察的结果，选择性地将所述顺序测试标记为失败。

一种设备包括被配置成执行下述各项的控制电路：顺序地从物理RNG获得多个数；在获得所述多个数的同时，重复地在相应生成的数上采取观察，所述观察与随机性的顺序测试相关联；以及对于每一个观察，取决于相应观察的结果，选择性地将所述顺序测试标记为失败。

应当理解，上面提及的特征和下面待解释的特征不仅可以以所指示的相应组合使用，而且可以在不脱离本发明的范围的情况下以其他组合或孤立地使用。为了说明，可以将上面关于计算指示雷尼熵度量的值而描述的技术应用于如上所述的顺序测试的各个观察。

附图说明

图1示意性地图示了根据各种示例的包括物理RNG和设备的系统。

图2示意性地图示了根据各种示例的从物理RNG获得的多个数的随机性的顺序测试。

图3是根据各种示例的方法的流程图。

图4是根据各种示例的方法的流程图。

图5示意性地图示了根据各种示例的包括随机游动的顺序测试。

图6进一步详细地示意性地图示了图5的顺序测试。

图7进一步详细地示意性地图示了图5的顺序测试。

图8进一步详细地示意性地图示了图5的顺序测试。

图9进一步详细地示意性地图示了图5的顺序测试。

图10进一步详细地示意性地图示了图5的顺序测试。

图11示意性地图示了根据各种示例的包括指示最小熵的值的计算的测试的给定观察。

图12示意性地图示了根据图11的测试的多个观察。

图13示意性地图示了根据图11的测试的多个观察。

图14示意性地图示了根据图11的测试的多个观察。

具体实施方式

在下文中，将参考附图来详细地描述本发明的实施例。应当理解，实施例的以下描述不应在限制的意义上理解。本发明的范围不意在由下文中描述或通过附图而描述的实施例限制，附图被理解成仅是图示性的。

附图应被视为示意性表示，并且附图中图示的元件不必然按比例示出。相反，各种元件被表示成使得它们的功能和一般目的变得对本领域技术人员来说明显。还可以通过间接连接或耦合来实现功能块、设备、部件或者附图中所示或本文描述的其他物理或功能单元之间的任何连接或耦合。还可以在无线连接上建立部件之间的耦合。功能块可以以硬件、固件、软件或其组合实现。

下文中，描述了用于测试物理RNG的质量的技术。描述了便于针对随机性而测试顺序地从物理RNG获得的多个数的技术。

本文描述的技术可以被实现为离线测试和/或在线测试。

这些技术有助于以高统计准确度以及利用关于是将相应测试标记为失败还是通过而快速采取决策的可能性测试该多个数。

这些技术有助于以高可靠性测试该多个数。构成本文描述的技术的基础的测试的标称失败概率可以是低的。

进一步地，这些技术有助于实现要求有限计算资源的随机性测试。这再一次便于快速获得测试决策。

根据示例，这些技术依赖于包括指示雷尼熵度量的值的计算的测试。

根据示例，这些技术依赖于顺序测试。顺序测试包括多个观察。每一个观察典型地在已经在采取相应观察时获得的所有数上操作。每一个观察可以包括指示雷尼熵度量的值的计算。在其他示例中，每一个观察可以包括由顺序测试定义的随机游动的相应位置的计算。

最终导致将顺序测试标记为失败的特定观察（如果有的话）可能不是先验已知的。如果顺序测试被标记为失败，则物理RNG的质量可能是不足的，或者更具体地，从物理RNG获得的多个数可能未提供任何随机性。

非随机性的这种场景可能由损坏的物理RNG引起，例如当未在基础的物理过程上采取适当测量时。非随机性的其他场景包括安全缺口，该安全缺口包括对基础系统的完整性的外部攻击。

本文描述的技术可以在各种使用情况中找到应用。例如，可以在自动化系统的操作中要求具有充足随机性的多个数。例如，密码应用可以由自动化系统基于该多个数来实现。密码应用的安全性可能针对非随机数而受损。自动化系统的示例包括：用于计算的处理器，其基于该多个数来实现安全引导过程；用于认证的芯片卡；电信装备；可编程逻辑控制器、用于铁路的控制设备等。

图1图示了关于系统100的方面。系统100包括物理RNG 101和设备110。

设备110包括：接口113，被配置成从物理RNG 101获得多个数131-133，该多个数131-133形成相应序列130。设备110还包括处理器111和存储器112。处理器111可以从存储器112加载程序代码并执行该程序代码。基于执行该程序代码，处理器111可以实现关于针对随机性而测试该多个数131-133的技术。处理器111可以实现由单个观察构成的测试。处理器111还可以实现包括多个观察的顺序测试。

处理器111、存储器112和接口113实现设备110的控制电路。

例如，设备110可以被实现为微处理器、现场可编程门阵列（FPGA）或专用集成电路（ASIC）。

该设备可以是生产中的后端测试设施的测试装备。然后，该设备可以实现离线测试功能。

在图1中，图示了其中接口113可以与自动化系统90通信的场景。该设备可以集成到自动化系统中。设备110可以控制自动化系统的操作。然后，该设备可以实现在线测试功能。

自动化系统90可以基于该多个数131-133来进行操作。例如，自动化系统90可以基于该多个数131-133来执行密码功能。

物理RNG 101经由信令线路120与设备110连接。在其他示例中，物理RNG 101可以内部集成到设备110中。

数131-133的序列130的非随机性可能由物理RNG 101的故障、对系统100的完整性的攻击（例如，通过篡改物理RNG 101和/或信令线路120）引起。

图2示意性地图示了关于顺序测试140的方面。顺序测试140包括观察141-146。观察141-146是在时间过程中顺序地采取的。观察141-146在已经在采取相应观察141-146时获得的那些数131-136上操作。因此，观察145在所有先前获得的数131-135上操作。同样地，观察146在所有先前获得的数131-136上操作。

一般而言，尽管图2图示了包括多个观察的顺序测试140，但根据某些示例，可以实现由单个观察（图2中未图示）构成的非顺序测试140。

图2图示了观察141-146的结果150作为采取观察141-146的相应时间的函数而变化。详细地，观察141-145具有正结果151，而观察146具有负结果152。给定观察146的负结果152导致将顺序测试140标记为失败。可以假定序列132的该多个数131-136未提供充足的随机性。

当以采取观察141开始顺序测试140时，可以先验地不定义特定观察146导致将顺序测试标记为失败。因此，换言之，导致将顺序测试140标记为失败的给定观察146之前的观察141-145的计数不是先验定义的。这还导致从开始顺序测试140直到完成顺序测试140（例如，通过将顺序测试标记为通过或失败）的先验未定义测试时间159。

图3是根据各种示例的方法的流程图。例如，根据图3的方法可以由设备110（参见图1）执行。

在框3011中，获得多个数，例如从物理RNG。每一个数可以具有对应值。每一个数可以与相应序列号相关联。该多个数可以是在序列中获得的。序列号可以指示相应数在该序列中的位置。

在框3012处，采取观察。该观察是随机性的测试的一部分。例如，作为该观察的一部分，可以计算指示熵度量的值。各种熵度量是可用的，包括诸如最小熵之类的雷尼熵度量。

然后，在框3013处，检验是否该观察的结果满足某个测试准则。例如，可以检验雷尼熵度量是否高于阈值。如果测试准则被满足，则在框3014处，将测试标记为通过；否则，在框3015处，将测试标记为失败。如果测试被标记为失败，则中止使用该多个数（例如，用于提供密码功能）的自动化系统的操作是可能的。

图3的测试可以被提早中止。可以实现测试的捷径。这由图3中的虚线分支3016图示。详细地，确定该值是否指示雷尼熵度量的上界将是可能的。然后，可以不要求完全量化雷尼熵度量；相反，可以确定上界。如果该值指示低于上界的雷尼熵，则可以将测试标记为失败，3015。

如结合图3解释的这种构思可以被扩展成结合包括多个观察的顺序测试而采用。这种场景在图4中图示。

图4是根据各种示例的方法的流程图。例如，根据图4的方法可以由设备110（参见图1）执行。

在图4中，使用虚线来描绘可选框。

在框3001处，获得数序列的当前数，例如从物理RNG。该当前数具有标记该当前数在该序列中的位置的某个序列号。

在框3002处，检验该序列号（即，已经获得的数的计数）是否超过某个阈值。框3002是可选的。

如果该序列号未超过阈值，则实际执行3001并且获得下一个数。否则，该方法在框3003处开始。

在框3003处，采取随机性的顺序测试的观察。这可以涉及计算。该计算取决于顺序测试的特定类型。在先前通过执行框3001而获得的任何数上采取观察。因此，可以在存储器中缓存任何所获得的数，并且然后使该所获得的数受制于在框3003处采取观察。框3003的给定迭代的这种计算可以基于框3003的一个或多个先前迭代的一个或多个计算。

在框3004处，将框3003的当前迭代的观察的结果与定义测试准则的预定义阈值进行比较。取决于框3004的比较，在框3005处选择性地将顺序测试标记为失败。根据一些示例，在框3004处使用的阈值可以取决于在框3001的当前迭代中获得的当前数的序列号。换言之，在框3004中使用的阈值可以取决于所获得的数的计数。相应地，可以针对框3004逐迭代而调整阈值。

例如，考虑到3003、3004的不同迭代的不同决策基础（具体地，相应观察在其上操作的数的变化的计数），与在框3003的多个迭代中采取的观察相关联的阈值可以对应于跨观察而变化不多于50%（可选地，不多于20%，进一步可选地，不多于5%）的顺序测试的标称失败概率，即，对应于执行框3005的概率。

如上所图示，当在操作期间在从物理RNG获得数的同时应用测试时，一般趋势是：基于数的较大计数，以较高准确度进行的测试是可能的；另一方面，常常期望快速地测试物理RNG的质量。根据本文描述的技术，通过采用包括多个迭代的顺序测试，可以在早期迭代中快速地检测到物理RNG的显著缺陷，而可以在稍后迭代处以高准确度检测到较不严重的缺陷。因此，可以存在下述趋势：在第一阶段中实现粗测试并且在后续第二阶段中实现细测试。这可以是通过如上所述调整测试准则来实现的。

如果3004处的测试准则被满足，则在3006处，可以检验是否进一步的数需要由框3001的进一步迭代获得。如果情况不是这样，则在框3007中将顺序测试标记为通过。

存在可在3005中将顺序测试标记为失败时采取的各种措施。例如，可以中止使用该多个数的自动化系统的操作。在另一场景中，中止该多个数的获得，即，3001的进一步迭代。

可选地，也可以中止该多个数的生成。也可以将更详细的统计测试应用于物理RNG，以便更详细地确定其问题。

存在可用以在本文描述的技术的上下文中使用的统计随机性的各种测试。示例包括随机游动顺序测试。进一步的示例包括下述测试：该测试包括指示熵度量（具体地，诸如最小熵之类的雷尼熵度量）的值的计算。

随机游动测试

一些物理RNG的随机型模型暗示了影响质量的典型问题是偏差。偏差典型地被定义为1比特的事实概率与1/2的理想概率之差。在这种场景中，可以通过测试偏差来实现随机性的高准确度测试。

偏差可以是使用由随机游动实现的顺序测试来测试的。最初，在随机游动的第一步骤处，随机游动的位置是0。每一个后续的数影响随机游动的位置。在1比特数的场景中，每次通过步长“1”，“1”使位置递增并且“0”使位置递减。多比特数也将是可能的，从而相应地使位置递增/递减。

图5图示了随机游动400的位置401作为顺序测试的迭代的函数（即，作为相应序列号402的函数）而变化。每一个序列号对应于相应离散时间点。基础的物理RNG具有0偏差。

给定时间点处的1比特的计数和位置401对应于彼此，且可以从彼此导出。

可以通过取先前迭代402的过度正的值的随机游动400的位置401检测到过度数目的1比特，且因而检测到相应偏差。可以通过取先前迭代402的过度负的值的随机游动400的位置401检测到过度数目的0比特，且因而检测到相应偏差。这两个场景都可以通过考虑位置401的绝对值而覆盖。这在图6中图示。

图6图示了根据图5的示例的随机游动400的位置401的绝对值405。

根据图6的数序列的表示的优势是：可以一起处理与太多1比特和太多0比特相关联的问题。对此，在随机游动400的给定迭代402处，将位置401的绝对值405与阈值进行比较。阈值可以取决于迭代402。如果绝对值405超过阈值，则这可能导致由于非随机性而将顺序测试标记为失败。否则，顺序测试可以继续下一个观察。

关于图示了示例的后续附图进一步详细地图示该发现。

图7再一次图示了随机游动400的位置401的绝对值405作为迭代402的函数而变化，且此外还图示了相应阈值410。如所图示的那样，导致选择性地将顺序测试标记为失败的阈值410取决于迭代402。

阈值410被选择成使得对于每一个迭代402，没有偏差的理想RNG遇到某个标称失败概率，例如，2×10^-10。这暗示了：对于某个范围420内布置的某些小序列号/早期迭代402，不能达到阈值410。因此，延迟顺序测试的开始直到已达到较低阈值420是可能的。

图8图示了针对由没有偏差的相应RNG生成的20个数序列的随机游动400。如所图示的那样，没有相应顺序测试失败，这是因为阈值410未被随机游动400的绝对位置405达到。

图9图示了针对由具有10%偏差的相应RNG生成的20个数序列的随机游动400。因此，RNG的质量是不理想的。如所图示的那样，所有随机游动400的绝对位置405都达到阈值410，第一随机游动400在迭代#380处并且最后一个随机游动400在迭代#1499处。

图10总体对应于图9，然而，RNG具有25%偏差。这里，绝对位置405达到迭代#58和#299之间的阈值410。图8和9的比较图示了可以更快地检测到RNG的更显著的问题。

熵测试

可使用的进一步测试包括计算熵度量。可以测试A个数的序列的统计随机性，其中每一个数可以取w个不同值。i=1……A是序列号。

雷尼熵由下式给出：

其中α＞0，α≠1，并且p_i表示值w的概率。通过从该等式获得最小熵。

然后，对于每一个可能值w，可以实现计数器z_w。所有计数器最初被设置成0。

然后，对于每一个i，与相应数相对应的计数器z_w递增1。在处理所有数之后，每一个计数器z_w指示相应值多久出现一次。计数器值可以用于确定p_i。

在处理所有A个数之后，确定计数器值z_w的最大值M。这对应于从可用的数中选择最常出现的值。接下来，可以确定最常出现的值的出现的计数。这与熵度量的结果相关。如果M＜S，则可以将测试标记为通过，其中S是预定义阈值。否则，可以将测试标记为失败（参见图3，框3013）。

基于此，存储器112和计数器在存储器112中的位置要被调整尺寸成使得避免溢出。例如，最大可能计数器值是A（如果所有数取相同值）。然而，提早中止测试将是可能的。例如，检验是否该多个数的任何出现值超过预定义缓存阈值B将是可能的。然后，这可以用于形成测试的捷径（参见图3：分支3016），即，不要求对所有数A都进行处理。例如，如果该多个数的一个或多个出现值超过预定义缓存阈值，则测试可以被标记为失败。例如，如果该多个数的一个或多个值超过预定义缓存阈值B，则这可以指示相对较小的雷尼熵度量。具体地，这可以指示相对较小的最小熵度量。因此，通过使用缓存阈值B，确定熵度量的上界是可能的。

一般而言，B≠S是可能的。例如，B＞S是可能的。因此，与预定义阈值S相对应的熵可以大于与缓存阈值B相对应的熵。基于指示雷尼熵或具体地最小熵的值的这种技术有助于利用有限计算资源（诸如，处理能力和存储器大小）实现随机性的可靠测试。已经发现，通过计算指示熵度量（具体地，指示最小熵度量及其上界）的值，获得该多个数是否提供随机性的可靠指示是可能的。

图11图示了示例实现方式。

在图11中，对A=70000个数进行测试。每一个数是10比特字，使得每一个数可以取1024个不同值。

在图11中，使用最大可具有值255的计数器。如果计数器中的一个具有值B=256，则测试被标记为失败。

如果测试对所有A=70000个数进行处理，则确定是否存在具有大于S=165的值的计数器。在该情况下，测试被标记为通过；否则，测试被标记为失败。

针对每个有32个比特的250×10⁶个数据集而运行测试，其中仅10个数据集在固定位置处被测试。尚未存在由于计数器中的该一个计数器的溢出而对测试的提早中止；因此，测试被执行3571次。图11图示了3571个最大计数器值的分布。图11图示了针对该3571个测试的最大计数器值502的出现数目501。

如所图示的那样，最大值全都保持显著低于阈值S=165。随机数比测试所要求的随机数更好。

为了避免过度的存储器分配，一旦值502中的任一个具有达到缓存阈值B的计数，就可以中止测试并将测试标记为失败，缓存阈值B一般可以大于阈值S。

如果通过了测试，则存在小于给定阈值的最小熵的小概率，由此，执行根据图11的测试对应于计算指示最小熵的值。

下文中促进该发现。该测试提供了所测试的数的统计质量的数学上可证明的指示：如果通过了测试，则10个比特中的最小熵小于8个比特的概率小于8.98800661475519897770101678567252792121814385746255001507106*10^-13。

论证线如下。如果最小熵小于8个比特，则存在以大于1/256的概率出现的10比特值。

基于二项式分布，概率1/256的事件在A=70000个重复中出现S=165次或更少次的累积概率是

8.9880066147551989777010167856725279212181438574625500150710645821073*10^-13。计数器具有大于165的值的概率是0.99999999999910119933852448010222989832143274720。如果10比特模式的出现的概率大于1/256，则误报（false-positive）测试的概率小于8.9880066147551989777010167856725279212181438574625500150710645821073*10^-13。

因此，在大概率的情况下检测到小于8个比特的最小熵。因此，可以假定正值通过的测试提供了具有至少8个比特最小熵的多个数。

为了获得相应顺序测试，可以在获得数的同时采取依赖于指示雷尼熵或具体地最小熵的值的多个观察（参见图4）。这是接下来讨论的。

再一次，如上面已经指示的那样，计算指示具有10比特长度的数的最小熵的值。这是针对顺序测试的每一个观察而完成的。每一个观察在数的不同计数上操作，这是因为顺序测试是在获得数的同时执行的。上面结合图11描述的计算是针对每一个观察而执行的。因此，对于每一个观察，可能在应用捷径的情况下，确定相应数的最常出现的值的计数。

测试准则被设置成使得要求每10比特数9.5个比特的最小熵。阈值S被设置成使得对于这种物理RNG，给定数处10比特值的过度出现以概率10^-10导致将测试标记为失败。一般地，因此，阈值S可以是基于数的计数和期望可靠性来设置的。因为在9.5最小熵的情况下最常出现的值的概率是2^-9.5，所以仅可以存在724个这种数，使得给定10比特数中任何值的过度出现的概率小于724×10^-10。

对于从物理RNG获得的前三个数，不采取观察。前四个数具有相同值的概率是724*2^-4*9.5=2.63×10^-9。如果前四个数具有相同值，则测试可以被标记为失败（S=4）。

如果前五个数或前六个数包括出现多于4次的任何值（S=4），则测试也被标记为失败。

从在前七个数上采取的观察开始，递增阈值以在任何值出现多于五次（S=5）的情况下将测试标记为失败。阈值下一次递增到S=6出现在序列号#20处，等等。因而，不针对顺序测试的每一个迭代而是针对所有迭代的子集而调整阈值是可能的。

接下来，描述依赖于指示最小熵的值的顺序测试的示例。生成A=70000个数，每一个数具有10比特值。这些数是在给定最小熵的情况下生成的。

从上面的讨论中得出结论，对于0个比特的最小熵（即，所有数具有相同值），在迭代#4处将测试标记为失败。

图12图示了将顺序测试标记为中止所需的观察的数目。图12绘制了针对每个有A=70000个数的1000个集合602的将顺序测试标记为中止所需的观察的计数（601）的分布。在图12中，数的最小熵被设置成E=1。如图12中所图示，顺序测试被标记为失败不早于#5观察之后且不晚于#31观察之后。平均起来，要求了#11.764观察直到将测试标记为失败。

图13总体对应于图12，但针对的是最小熵E=8。如所图示的那样，顺序测试被标记为失败不早于#2407观察之后且不晚于#27110观察之后。平均起来，要求了#12660观察。

图14总体对应于图12和图13，但针对的是最小熵E=8.7。这里，测试被标记为失败不早于#13683观察之后。图14中的箭头指示每个有A=70000个数的集合，其中测试根本未被标记为失败，即，测试被标记为通过。

总的来说，已经描述了以下示例：

示例1. 一种方法，包括：

- 从物理随机数生成器（101）获得多个数（131-136），

- 在所述多个数（131-136）上采取至少一个观察（141-146），所述至少一个观察（141-146）与随机性的测试相关联，

- 取决于所述至少一个观察（141-146）的结果（150、151、152），选择性地将所述测试标记为失败，以及

- 取决于所述测试是否被标记为失败，控制自动化系统的操作，

其中所述至少一个观察（141-146）的所述采取包括：

- 针对所述多个数（131-136）而计算指示雷尼熵度量的值。

示例2. 示例1的方法，

其中所述雷尼熵度量包括最小熵度量。

示例3. 示例1或2的方法，

其中所述至少一个观察（141-146）的所述采取包括：

- 选择所述多个数（131-136）的最常出现的值，

- 将所选值的计数确定为所述至少一个观察（141-146）的结果（150、151、152）。

示例4. 前述示例中任一项的方法，进一步包括：

- 将所述至少一个观察（141-146）的结果（150、151、152）与预定义阈值进行比较，

其中取决于所述比较，选择性地将所述测试标记为失败。

示例5. 前述示例中任一项的方法，其中所述自动化系统的操作的所述控制包括：响应于将所述测试标记为失败，中止使用所述多个数（131-136）的所述自动化系统（90）的操作。

示例6. 前述示例中任一项的方法，

其中所述至少一个观察（141-146）的所述采取包括：

- 检验是否所述多个数（131-136）的任何出现值超过相应预定义缓存阈值。

示例7. 示例3以及示例4或5以及示例6的方法，

其中与所述预定义阈值相对应的熵大于与所述预定义缓存阈值相对应的熵。

示例8. 前述示例中任一项的方法，

其中所述值指示所述雷尼熵度量的上界。

示例9. 一种包括控制电路（111、112、113）的设备（110），所述控制电路（111、112、113）被配置成执行下述各项：

- 从物理随机数生成器（101）获得多个数（131-136），

其中所述至少一个观察（141-146）的所述采取包括：

- 针对所述多个数（131-136）而计算指示雷尼熵度量的值。

示例10. 示例9的设备（110），

其中所述控制电路（111、112、113）被配置成执行示例1-8中任一项的方法。

示例11. 一种系统（100），包括：

- 示例9或10的设备（110），以及

- 物理随机数生成器（101）。

示例12. 一种方法，包括：

- 顺序地从物理随机数生成器（101）获得多个数（131-136），

- 在获得所述多个数（131-136）的同时：重复地在相应获得的数（131-136）上采取观察（141-146），所述观察（141-146）与随机性的顺序测试（140）相关联，以及

- 对于每一个观察（141-146）：取决于相应观察（141-146）的结果（150、151、152），选择性地将所述顺序测试（140）标记为失败。

示例13. 示例12的方法，

其中给定观察（141-146）导致将所述顺序测试（140）标记为失败，

其中所述给定观察（141-146）之前的观察（141-146）的计数不是先验定义的。

示例14. 示例12或13的方法，进一步包括：

- 对于每一个观察（141-146）：将相应观察（141-146）的结果（150、151、152）与相应预定义阈值进行比较，

其中取决于所述比较，选择性地将所述顺序测试（140）标记为失败。

示例15. 示例14的方法，

其中对于每一个观察（141-146），所述相应预定义阈值取决于与相应观察（141-146）相关联的所获得的数（131-136）的计数。

示例16. 示例14或15的方法，

其中与观察（141-146）相关联的预定义阈值对应于下述顺序测试（140）的标称失败概率：该顺序测试（140）跨观察（141-146）而变化不多于50%，可选地不多于20%，进一步可选地不多于5%。

示例17. 示例12-15中任一项的方法，

其中所述顺序测试（140）包括具有多个步骤的随机游动（400），每一个步骤对应于相应观察（141-146），所述相应观察（141-146）的结果（150、151、152）是所述随机游动的局部偏差。

示例18. 示例12-17中任一项的方法，

其中每一个观察（141-146）的所述采取包括：

- 计算指示雷尼熵度量的值。

示例19. 示例18的方法，

其中所述雷尼熵度量包括最小熵度量。

示例20. 示例12-19中任一项的方法，

其中所述采取每一个观察（141-146）包括：

- 从相应获得的数（131-136）中选择所获得的数（131-136）的最常出现的值，

- 将所选值的计数确定为相应观察（141-146）的结果（150、151、152）。

示例21. 示例12-20中任一项的方法，进一步包括：

- 当相应获得的数的计数超过阈值（420）时，开始重复地采取观察（141-146）。

示例22. 示例12-21中任一项的方法，进一步包括：

- 取决于所述顺序测试（140）是否被标记为失败，控制使用所述多个数（131-136）的自动化系统（90）的操作。

示例23. 示例12-22中任一项的方法，进一步包括：

- 响应于将所述顺序测试（140）标记为失败，中止所述多个数（131-136）的所述获得。

示例24. 一种包括控制电路（111、112、113）的设备（110），所述控制电路（111、112、113）被配置成执行下述各项：

- 顺序地从物理随机数生成器（101）获得多个数（131-136），

- 在获得所述多个数（131-136）的同时：重复地在相应生成的数（131-136）上采取观察（141-146），所述观察（141-146）与随机性的顺序测试（140）相关联，

示例25. 一种系统（100），包括：

- 示例24的设备（110），以及

- 物理随机数生成器（101）。

示例26. 示例24的设备（110），

其中所述控制电路（111、112、113）被配置成执行示例12-23中任一项的方法。

尽管已经关于某些优选实施例示出和描述了本发明，但本领域其他技术人员在阅读和理解说明书后将想到等同物和修改。本发明包括所有这种等同物和修改，且仅受所附权利要求的范围限制。

Claims

1.一种方法，包括：

- 顺序地从物理随机数生成器（101）获得多个数（131-136），

2.如权利要求1所述的方法，

3.如权利要求1或2所述的方法，进一步包括：

4.如权利要求3所述的方法，

5.如权利要求3或4所述的方法，

6.如前述权利要求中任一项所述的方法，

7.如前述权利要求中任一项所述的方法，

其中每一个观察（141-146）的所述采取包括：

- 计算指示雷尼熵度量的值。

8.如权利要求7所述的方法，

其中所述雷尼熵度量包括最小熵度量。

9.如前述权利要求中任一项所述的方法，

其中所述采取每一个观察（141-146）包括：

10.如前述权利要求中任一项所述的方法，进一步包括：

11.如前述权利要求中任一项所述的方法，进一步包括：

12.如前述权利要求中任一项所述的方法，进一步包括：

13.一种包括控制电路（111、112、113）的设备（110），所述控制电路（111、112、113）被配置成执行下述各项：

- 顺序地从物理随机数生成器（101）获得多个数（131-136），

14.一种系统（100），包括：

- 如权利要求13所述的设备（110），以及

- 物理随机数生成器（101）。

15.如权利要求13所述的设备（110），

其中所述控制电路（111、112、113）被配置成执行权利要求1-12中任一项所述的方法。