JP6647384B2 - 量子乱数ジェネレータ - Google Patents

Description

本発明は、一般に、乱数ジェネレータに関し、より詳細には、量子現象に基づいて乱数を生成する乱数ジェネレータに関する。

関連出願の相互参照
本出願は、２０１５年７月２９日に出願された米国特許出願第１４／８１２，６２３号明細書の優先権を主張し、同特許出願は、２０１３年１月３０日に出願された米国特許出願第１３／７５４，４５７号明細書の一部継続出願であり、同特許出願は、２０１２年８月３１日に出願された米国特許出願第１３／６００，９０５号明細書の継続出願であり、同特許出願は、２０１１年９月３０日に出願された米国特許仮出願第６１／５４１，６７５号明細書の利益を主張し、これらの出願すべての内容は、参照によって本明細書に組み込まれる。

政府支援に対する謝辞
本発明は、米国エネルギー省によって与えられた、契約番号ＤＥ−ＡＣ５２−０６ＮＡ２５３９６の下での政府支援を受けて行われた。政府は、本発明に一定の権利を有する。

コンピュータシステムの多くのアプリケーションは、乱数のストリームへのアクセスを必要とする。典型的なアプリケーションは、暗号法、ゲーム、ならびに統計的サンプリングおよび解析を含む。乱数ジェネレータ（ＲＮＧ：ｒａｎｄｏｍ ｎｕｍｂｅｒ ｇｅｎｅｒａｔｏｒ）は、電子コンポーネントの熱雑音、放射性崩壊、およびショット雑音など、様々な物理的効果に基づいてきた。他のＲＮＧは、ソフトウェア手法に基づいており、乱数発生のための基礎として、コンピュータユーザの動作のタイミングを使用することができる。うまく設計されたＲＮＧは、一般に、乱数の長い系列を提供することができるが、結局は、生成された数は、完全に統計的に無関係ではなく、より適切には「疑似乱数」であると見なされる。熱雑音またはショット雑音を利用する従来の電気回路ベースのＲＮＧは、集積回路に実装されるとき、過度のウエハ面積を必要とすることがある。上述の内容、および乱数に対する長年の必要性に鑑みて、乱数発生の代替的手法が必要とされている。

Ａ．Ｅｉｎｓｔｅｉｎ "Ｚｕｍ ｇｅｇｅｎｗａｒｔｉｇｅｎ Ｓｔａｎｄ ｄｅｓ Ｓｔｒａｈｌｕｎｇｓｐｒｏｂｌｅｍｓ" Ｐｈｙｓ．Ｚｅｉｔｓｃｈｒｉｆｔ １０，１８５（１９０９） Ｒ．Ｌｏｕｄｏｎ "Ｔｈｅ Ｑｕａｎｔｕｍ Ｔｈｅｏｒｙ ｏｆ Ｌｉｇｈｔ" ２ｎｄ．Ｅｄ．，ＯＵＰ，Ｏｘｆｏｒｄ １９８３ Ｐ．Ｌ’Ｅｃｕｙｅｒ，Ｒ．Ｓｉｍａｒｄ，"ＴｅｓｔＵ０１： Ａ Ｃ ｌｉｂｒａｒｙ ｆｏｒ ｅｍｐｉｒｉｃａｌ ｔｅｓｔｉｎｇ ｏｆ ｒａｎｄｏｍ ｎｕｍｂｅｒ ｇｅｎｅｒａｔｏｒｓ，" ＡＣＭ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｍａｔｈｅｍａｔｉｃａｌ Ｓｏｆｔｗａｒｅ（ＴＯＭＳ），ｖ．３３ ｎ．４，ｐ．２２−ｅｓ，Ａｕｇｕｓｔ ２００７ "Ａ Ｓｔａｔｉｓｔｉｃａｌ Ｔｅｓｔ Ｓｕｉｔｅ ｆｏｒ Ｒａｎｄｏｍ ａｎｄ Ｐｓｅｕｄｏｒａｎｄｏｍ Ｎｕｍｂｅｒ Ｇｅｎｅｒａｔｏｒｓ ｆｏｒ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ａｐｐｌｉｃａｔｉｏｎｓ，" ＮＩＳＴ ＳＰ８００−２２ Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ（２００１） Ｆｅｄｅｒａｌ Ｉｎｆｏｒｍａｔｉｏｎ Ｐｒｏｃｅｓｓｉｎｇ Ｓｔａｎｄａｒｄ（ＦＩＰＳ） Ｐｕｂｌｉｃａｔｉｏｎ １４０−２（ＦＩＰＳ ＰＵＢ １４０−２） Ｊ．ｖｏｎ Ｎｅｕｍａｎｎ，"Ｖａｒｉｏｕｓ ｔｅｃｈｎｉｑｕｅｓ ｕｓｅｄ ｉｎ ｃｏｎｎｅｃｔｉｏｎ ｗｉｔｈ ｒａｎｄｏｍ ｄｉｇｉｔｓ"，Ａｐｐｌ．Ｍａｔｈ．Ｓｅｒ．，Ｎｏｔｅｓ ｂｙ Ｇ．Ｅ．Ｆｏｒｓｔｙｌｅ，Ｎａｔ．Ｂｕｒ．Ｓｔａｄ．，ｖｏｌ．１２，ｐｐ．３６−３８，１９５１ Ｕ．Ｖ．Ｖａｚｉｒａｎｉ，"Ｔｏｗａｒｄｓ ａ Ｓｔｒｏｎｇ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｃｏｍｐｌｅｘｉｔｙ Ｔｈｅｏｒｙ ｏｒ Ｇｅｎｅｒａｔｉｎｇ Ｑｕａｓｉ−ｒａｎｄｏｍ ｓｅｑｕｅｎｃｅｓ ｆｒｏｍ ｔｗｏ ｃｏｍｍｕｎｉｃａｔｉｎｇ ｓｅｍｉ−ｒａｎｄｏｍ ｓｏｕｒｃｅｓ，" １５ｔｈ Ａｎｎｕａｌ ＡＣＭ Ｓｙｍｐ． ｏｎ Ｔｈｅｏｒｙ ｏｆ Ｃｏｍｐｕｔｉｎｇ，ｐｐ．３６６−３７８，１９８３ Ｍ．Ｂｌｕｍ，"Ｉｎｄｅｐｅｎｄｅｎｔ Ｕｎｂｉａｓｅｄ Ｃｏｉｎ Ｆｌｉｐｓ ｆｒｏｍ ａ Ｃｏｒｒｅｌａｔｅｄ Ｂｉａｓｅｄ Ｓｏｕｒｃｅ − Ａ Ｆｉｎｉｔｅ Ｓｔａｔｅ Ｍａｒｋｏｖ Ｃｈａｉｎ"，Ｃｏｍｂｉｎａｔｏｒｉｃａ ６ （２），９７−１０９ "Ｒｅｃｏｍｍｅｎｄａｔｉｏｎ ｆｏｒ Ｒａｎｄｏｍ Ｎｕｍｂｅｒ Ｇｅｎｅｒａｔｉｏｎ Ｕｓｉｎｇ Ｄｅｔｅｒｍｉｎｉｓｔｉｃ Ｒａｎｄｏｍ Ｂｉｔ Ｇｅｎｅｒａｔｏｒｓ，" Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ Ｓｐｅｃｉａｌ Ｐｕｂｌｉｃａｔｉｏｎ ８００−９０ Ａ（２０１３） Ｈ．Ｚｈａｏ ａｎｄ Ｊ．Ｂｒｕｃｋ，"Ｓｔｒｅａｍｉｎｇ ａｌｇｏｒｉｔｈｍｓ ｆｏｒ ｏｐｔｉｍａｌ ｇｅｎｅｒａｔｉｏｎ ｏｆ ｒａｎｄｏｍ ｂｉｔｓ，" ａｒＸｉｖ：１２０９．０７３０ ［ｃｓ．ＩＴ］ （Ｓｅｐ．２０１２） Ｄ．Ｒ．Ｓｔｉｎｓｏｎ，"Ｕｎｉｖｅｒｓａｌ ｈａｓｈ ｆａｍｉｌｉｅｓ ａｎｄ ｔｈｅ ｌｅｆｔ−ｏｖｅｒ ｈａｓｈ ｌｅｍｍａ， ａｎｄ ａｐｐｌｉｃａｔｉｏｎｓ ｔｏ ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ ｃｏｍｐｕｔｉｎｇ"， Ｊ．Ｃｏｍｂｉｎ．Ｍａｔｈ．Ｃｏｍｂｉｎ．Ｃｏｍｐｕｔ．４２，３（２００２） Ｊ．Ｌ．Ｃａｒｔｅｒ ａｎｄ Ｍ．Ｎ．Ｗｅｇｍａｎ，"Ｕｎｉｖｅｒｓａｌ ｃｌａｓｓｅｓ ｏｆ ｈａｓｈ ｆｕｎｃｔｉｏｎｓ"，Ｊ．Ｃｏｍｐ．Ｓｙｓ．Ｓｃｉ．１８，１４３（１９７９） Ｈ．Ｋｒａｗｃｚｙｋ，"ＬＦＳＲ−ｂａｓｅｄ ｈａｓｈｉｎｇ ａｎｄ ａｕｔｈｅｎｔｉｃａｔｉｏｎ"， Ｌｅｃｔ．Ｎｏｔｅｓ Ｃｏｍｐ．Ｓｃｉ．８３９，１２９（１９９４） Ｙ．Ｄｏｄｉｓ ｅｔ ａｌ，"Ｒａｎｄｏｍｎｅｓｓ ｅｘｔｒａｃｔｉｏｎ ａｎｄ ｋｅｙ ｄｅｒｉｖａｔｉｏｎ ｕｓｉｎｇ ｔｈｅ ＣＢＣ，Ｃａｓｃａｄｅ ａｎｄ ＨＭＡＣ ｍｏｄｅｓ，" Ｌｅｃｔ．Ｎｏｔｅｓ．Ｃｏｍｐ．Ｓｃｉ．３１５２，４９４（２００４）

本開示は、量子乱数ジェネレータ（「ＱＲＮＧ」）を対象とする。いくつかの実施形態においては、開示されるＱＲＮＧは、光の素粒子である光子の不可弁別性に根差した、熱光の強度変動において示されるような、量子物理学の還元できない予測不可能性を捉えることができる。本開示は、ＱＲＮＧ内において、熱光源の量子ランダム性が、いずれの古典的雑音よりも優位に立つことを容易にするための方法、および総合的な統計的ランダム性テストに合格するばかりでなく、熱光源の量子特性に帰することができる予測不可能性（エントロピ）も有する、出力ランダムビットストリームを提供するための方法も対象とする。いくつかの実施形態においては、乱数を必要とする多くの応用例に適した、ＱＲＮＧの「基本」バージョンが、開示される。他の実施形態においては、暗号論的に真の乱数ジェネレータのための設計標準と親和性のある、ＱＲＮＧの暗号論的な最大量子エントロピバージョンが、開示される。暗号論的バージョンは、セルフテスト特徴およびフェイルセーフ特徴の両方を含むことができる。どちらの種類の実施形態も、超高レート（Ｇｂｐｓの数十倍）、低コスト製造、および標準的なコンピュータインターフェースを用いる小さい堅牢なフォームファクタにおける動作に適することができる。

本発明の様々な実施形態のより完全な理解のために、添付の図面との関連において理解される以下の説明に対する言及が、ここで行われる。
いくつかの実施形態に従った、検出された強度および光学的に遅延させられた検出された強度が比較器に送られる、乱数ジェネレータ（ＲＮＧ）を示す概略図である。 いくつかの実施形態に従った、検出された強度およびデジタル的に遅延させられた検出された強度が比較器に送られる、乱数ジェネレータを示す概略図である。 いくつかの実施形態に従った、比較器に送られる検出された強度および光学的に遅延させられた検出された強度を生成するために平衡検出器が結合された、乱数ジェネレータを示す概略図である。 いくつかの実施形態に従った、検出された強度および光学的に遅延させられた検出された強度がフィルタリングまたは平滑化され、その後、合成される、乱数ジェネレータを示す概略図である。 いくつかの実施形態に従った、平衡検出器のペアのうちの第１の検出器によって検出された強度および電気的に遅延させられた検出された強度が比較器に送られる、乱数ジェネレータを示す概略図である。 いくつかの実施形態に従った、検出された強度がデジタル化され、デジタル的に遅延させられた強度信号およびデジタル化された強度信号が合成される、乱数ジェネレータを示す概略図である。 いくつかの実施形態に従った、検出された強度がデジタル化され、デジタル的に遅延させられた強度信号およびデジタル化された強度信号が合成される、乱数ジェネレータを示す概略図である。 いくつかの実施形態に従った、フロントエンドおよびバックエンドを含み、ランダムビットストリームを出力する、乱数ジェネレータの高水準アーキテクチャのブロック図である。 いくつかの実施形態に従った、デジタル化された出力を生成するために熱光源が使用される、乱数ジェネレータのフロントエンドのブロック図である。 いくつかの実施形態に従った、フロントエンドから入力を受け取り、出力ビットストリームを生成する、基本的な乱数ジェネレータのバックエンドのブロック図である。 いくつかの実施形態に従った、ストリーミング出力を生成する、後処理回路を示すブロック図である。 いくつかの実施形態に従った、フォーマットされた出力を生成する、後処理回路を示すブロック図である。 いくつかの実施形態に従った、最大量子エントロピ乱数ジェネレータの後処理ステージのブロック図である。 いくつかの実施形態に従った、最大量子エントロピ乱数ジェネレータの代表的なエントロピ特性データを示す図である。 いくつかの実施形態に従った、乱数発生の方法を示す図である。 様々な光源についての光源強度と関連付けられた電気信号のスペクトルを示す図である。 様々な光源についての光源強度と関連付けられた電気信号のスペクトルを示す図である。 様々な光源についての光源強度と関連付けられた電気信号のスペクトルを示す図である。 様々な光源についての光源強度と関連付けられた電気信号のスペクトルを示す図である。

本出願および特許請求の範囲において使用される場合、文脈が明らかにそうではないことを指図していない限り、単数形の「ａ」、「ａｎ」、および「ｔｈｅ」は、複数形を含む。加えて、「含む（ｉｎｃｌｕｄｅｓ）」という用語は、「備える（ｃｏｍｐｒｉｓｅｓ）」を意味する。さらに、「結合された（ｃｏｕｐｌｅｄ）」という用語は、結合されたアイテム間における介在要素の存在を排除しない。

本明細書において説明されるシステム、装置、および方法は、決して限定的なものとして解釈されるべきではない。代わりに、本開示は、様々な開示される実施形態の新規かつ非自明な特徴および態様すべてを、単独で、ならびに互いの様々なコンビネーションおよびサブコンビネーションで対象とする。開示されるシステム、方法、および装置は、いずれか特定の態様もしくは特徴、またはそれらのコンビネーションに限定されず、開示されるシステム、方法、および装置は、いずれか１つもしくは複数の特定の利点が存在すること、または問題が解かれることを必要としない。動作についてのいずれの理論も、説明を容易にするためのものであるが、開示されるシステム、方法、および装置は、動作についてのそのような理論に限定されない。

開示される方法のいくつかについての動作は、提示の便宜上、特定の順序で説明されるが、説明のこの方式は、以下で表明される特定のことばによって、特定の順序付けが必要とされない限り、並べ替えを包含することが理解されるべきである。例えば、順次的に説明される動作は、いくつかのケースにおいては、並べ替えられてよく、または同時に実行されてよい。さらに、簡潔にするために、添付の図面は、開示されるシステム、方法、および装置が、他のシステム、方法、および装置と併用されることができる、様々な方法を示さないことがある。加えて、説明は、開示される方法を説明するために、「生成する」および「提供する」のような用語を時には使用する。これらの用語は、実行される実際の動作の高レベルの抽象化である。これらの用語に対応する実際の動作は、特定の実施に応じて様々であり、当業者によって容易に識別可能である。

乱数は、暗号法において、多くの目的で必要とされ、それらは、暗号化キー、認証キー、ワンタイム署名キー、初期化ベクトル、ランダムチャレンジ、ノンス、パディング値、乱択アルゴリズムを使用する公開キーパラメータの発生、および量子キー配送（ＱＫＤ）システムのための入力を含む。暗号使用のためには、以下の要件を満たすランダムビットが望まれる。
・ビットは、予測不可能であるべきである。ビットストリームの予測不可能性を定量化する１つの方法は、ストリームの「エントロピ」を用いることである。エントロピは、基本物理量であり、システムにおける決定論の欠如の尺度とすることができる。情報理論においては、メッセージのストリームのエントロピ（時には「シャノンエントロピ」と呼ばれる）は、各メッセージを指定するために必要とされる情報の平均量の尺度である。完全なランダム性を示すビットストリームは、ビット当たり１ビットのエントロピを示す。この状態は、本明細書および当技術分野においては、「最大エントロピ」と呼ばれる。
・ランダムビットを発生させる方法は、ランダムビットによって示されるエントロピの量が、敵によって影響を及ぼされることができないことの保証を提供すべきである。
・ランダムビットを発生させる方法は、受け入れられたアーキテクチャおよび評価方法に準拠すべきである。

開示される量子乱数ジェネレータ（ＱＲＮＧ）は、これらの目標の３つすべてを容易にする。開示されるＱＲＮＧおよび方法は、量子現象における本質的な予測不可能性、したがって、エントロピを利用し、暗号法という敵がいる環境において、パラメータ発生のために特に望ましく、今日または将来のいかなる敵も、量子「雑音」を予測すること、またはそれに影響を及ぼすことはできない。これに関して、開示される量子ＲＮＧは、（例えば、初期「シード」値に基づいて疑似ランダムビットの系列を発生させる数学的アルゴリズムを使用して）完全に決定論的な因果的プロセスによって発生させられる「疑似ランダム」ビットストリームを生成するだけの他の知られたＲＮＧよりも優れている。そのような疑似ランダムビットストリームは、ランダム性についての標準的な統計的テストに合格することがあるが、それらが持つ唯一のエントロピは、疑似ランダムＲＮＧにシード値を与えるために使用されるビットのそれであり、真にランダムなビットの系列よりもはるかに低いビット当たりのエントロピを示す。単一のランダムビットを用いてシード値を与えられた１０¹⁰ビットの系列は、１ビットのエントロピしか持たない。対照的に、開示される量子ＲＮＧは、還元できない予測不可能な量子効果を使用して、ランダムビットストリームを発生させる、真の乱数ジェネレータである。そのようなビットストリームは、高いエントロピを有することができ、いくつかの実施形態においては、ビット当たり１ビットのエントロピ（すなわち、「完璧な」ランダム性）を示すことができる。言い換えると、開示されるＱＲＮＧによって生成された１０¹⁰ビットの系列は、１０¹⁰ビットの最大量子エントロピを有することができ−どのビットも先行ビットのすべてが検査されたとしても予測不可能である。他の真の乱数ジェネレータは物理現象を使用して、エントロピを提供しようと試みるが、これらのシステムの多くは古典的に無秩序であるだけで、本質的に予測不可能なわけではない。それらの明らかな予測不可能性は、システムの先行状態の詳細についての知識の不足から来ており、決定論の根本的な欠如から生じてはいない。量子現象、したがって、量子乱数ジェネレータ（ＱＲＮＧ）だけが真に予測不可能である。

開示されるＲＮＧおよび方法は、高レートで、最大量子エントロピを有する乱数を提供することも可能にする。他の知られた方法および装置とは異なり、開示される量子ＲＮＧは、単一光子検出を必要とせず、または古典的雑音の寄与を含まない。いくつかの実施形態においては、開示されるＱＲＮＧは、最大で４４Ｇｂｐｓのレートで、乱数を提供することを示した。典型的な例においては、開示されるＱＲＮＧは、大きい量子信号対古典的雑音比を示し、いくつかの例においては、コモンモード除去を使用することによって、乱数の古典的雑音汚染の最大の源泉の１つを除去または低減するために、差動検出が、使用される。加えて、本明細書において開示されるＱＲＮＧは、コンパクトに作成されることができ、製造するのが簡単であることができる。

乱数ジェネレータの代表的な実施形態が、以下で説明される。これらの実施形態は、ボーズ−アインシュタイン統計に従う区別不可能な素粒子としての光子の量子物理学に帰することができる反直感的に大きい量子光強度変動に基づいて、乱数を生成するように構成された光源を含む。ＱＲＮＧのために利用されることができるこの特性の例は、黒体放射などの熱光における強度変動と、時間的光子ストリームにおける光子集群と、（光束の振幅の平方に比例する）光強度または光強度と関連付けられた電気信号を合成することによって生成される、いわゆるハンブリブラウン−トゥイス強度変動とを含む。

量子光強度変動は、２０世紀の初め、最初に黒体の量子力学が研究されて以来（例えば、非特許文献１を参照）、理解されていたが、それらは、ロバートハンブリブラウンおよびリチャードトゥイスが、星の光（または彼らの実験においては、星の電波放出）におけるこれらの変動は、検出器が星の円板を分解することが可能になるように、それらが十分に遠く離れるまで（大気の影響が無視されることができる場合、検出器を動かしてより遠く引き離すと、星の画像についてのそれらの空間分解能が高まる）、２つの異なる検出器において相関があるという洞察を持つまで、科学的ツールとして適用されなかった。これは、分解されない星は、空間的に単一であり、または単一の量子力学的空間モードであるためである。星がひとたび分解されることができると、より多くの空間モードが、存在し、異なるモードからの強度変動は、独立である。したがって、２つの電波アンテナを動かしてますます遠く引き離すことによって、星の直径は、２つの検出器の強度変動における相関が減少したときに観測を行うことによって、直接的に測定されることができる。数十年にわたって、これは、星の大きさを直接的に測定する主要な手段であった。ハンブリブラウンおよびトゥイスと同様に、開示されるＱＲＮＧは、以下で説明されるように、乱数を発生させるために、熱源の放射におけるランダムな強度変動を利用する。

光源からの光子は、量子力学的な効果に起因する集群（強度変動）を示すことができる。これの理由は、原子レベルにおいては、光子が原子または分子から放出されるとき、関連する電磁場が存在するためである。その場が、特定の光モードにおいて「高い」とき、他の放出源もそのモードに放出する量子力学的な確率は、高められる。特に、形式的に、同じコヒーレンス時間および波長内の光子は、ボゾン（ｂｏｓｏｎｓ）と呼ばれる同種素粒子である。モード内に存在する光子が、すでに存在する場合、より多くの光子が、それに加わることを望む。より多くの光子がモード内に存在するほど、より多くの光子が同様にそのモードに放出される可能性はより高くなる。これは、光源の強度が変動する原因となる光子の「集群」を生じさせる。

量子力学的な集群（強度変動）の時間的プロファイルは、完全にランダムであることができる。言い換えると、光源からの光子が１つの単位時間と別の単位時間との間で記憶を示さないとき、１つの時刻における強度変動の存在（または不在）は、別の時刻において強度変動が存在する（または存在しない）可能性に影響を及ぼさない。そのような各単位時間は、光速ｃによって除算された、光源が生成する波長の幅によって近似される、「コヒーレンス時間」として表現されることができる。本明細書において開示される例示的な実施形態においては、そのコヒーレンス時間は、数フェムト秒のオーダにある。光子の「集群」のランダムな出現を利用することによって、開示される乱数ジェネレータは、高レートで乱数を発生させることができる。

コヒーレンス時間は、開示される乱数ジェネレータが乱数を発生させることができる、理論的な最大スピードを設定する。より多数のモードにおいて光子を発生させる光源を使用することは、開示される乱数ジェネレータが、より速いレートで、ランダムなビットストリームを発生させることを可能にすることができるが、光源によって発生させられている光子をより多数のモードに分割もする。一般的に言うと、光モード当たりより多数の光子は、光子の「集群」の振幅を高めるのに、したがって、発生させられた量子乱数の信号対雑音比を高めるのに有利であることができる。

開示されるＱＲＮＧは、光ショット雑音に基づいたランダム性の発生とは異なり、少なくともいくつかの雑音効果を低減するのに十分な大きさの、光束に基づいた量子光強度変動を使用することができる。ショット雑音は、単一の光子のランダムな選択を含むので、それは、より普通に認められる量子現象である。難しさは、単一光子の検出器が、本質的に遅く、高価であること、およびショット雑音の信号対雑音比は、サンプル当たりの光子の平均数の平方根に反比例するので、より速く、より安価な乱数ジェネレータのために、より多数の光子を使用する試みは、サンプル当たり非常に少数の光子を用いてさえも、非常に小さい変動を検出しなければならない（例えば、サンプル当たり平均で１００００の光子が存在する場合、量子変動はたかだか１％のレベルにある）システムという結果となることである。これは、古典的雑音からの干渉を拒絶することを難しくする。

しかしながら、量子光強度変動が、使用される場合、単一光子の検出は、不要である。以下で説明される例においては、ナノ秒当たり約１０³と１０⁸の間の光子からなる光束が、便利であり、ナノ秒当たり約１０⁶の光子が、一般的である。量子光強度変動の信号対雑音比は、モードの数に依存し、モードの数が、一定である場合、信号対雑音比は、光子の数に比例する。これは、大きい信号および大きい信号対雑音比を有することを可能にする。本明細書において使用される場合、光束とは、約１００ｎｍないし約１０μｍの波長範囲内において、電磁放射を伝搬することを指す。他のスペクトル範囲も、使用されることができるが、少なくとも１０ＭＨｚ、１００ＭＨｚ、１ＧＨｚ、またはより高い電気帯域幅を有する光検出器は、上で言及された範囲内において、容易に利用可能である傾向にある。光束に対応する電気信号は、１つまたは複数の光検出器を用いて生成される時間的に変化する電圧、電流、またはそれらの組み合わせと関連付けられることができる。便宜的に、そのような信号は、検出器信号と呼ばれることができ、光強度に比例する。したがって、光検出器信号とは、本明細書において使用される場合、いわゆる「２乗」検出によって生成される、またはそれに対応する信号を指す。

光強度に応答して生成された光検出器信号を、同じ光検出器信号の適切に遅延させられた（すなわち、相関を低減または排除するように遅延させられた）バージョンと合成することは、ランダムな変動の質を改善することができる。時間遅延は、（数フェムト（ｆｅｍｔｏ）秒以下とすることができる）光源のコヒーレンス時間、および（１ないし１０ＧＨｚのオーダとすることができる）電子機器の帯域幅によって決定されることができる。遅延が、これらの時間スケールを超える場合、遅延された信号は、遅延されていない信号と独立であることができる。これは、全体的な信号レベルをゆっくりと変化させ、いくつかの電子設計においては、出力ビットにおけるバイアス（例えば、０ｓよりも多い１ｓ）を引き起こすことがある、電源ドリフトなどの望ましくない特徴を除去する手段を与える。開示される例においては、約１０ｎｓと１０μｓの間の遅延は、一般に満足できるが、遅延は、光源特性および電子機器特性に依存することができる。これらのランダムな変動は、以下で開示されるように、乱数を生成するために使用されることができる。いくつかの光源については、光源光束をファイバおよび他の光学コンポーネント内に結合することによって導入されるスペクトル特徴の生成は、好ましくは回避される。したがって、光アイソレータが、いくつかの実施形態とともに、およびいくつかの光源とともに使用される。例えば、光源に向かって戻る光束の反射は、乱数発生において望ましくない光束コヒーレンスを高める、共振を導入することができる。

様々な熱光源が、使用されることができる。本明細書において使用される場合、「熱光源」または「熱光」という用語は、（光子数の正規分布を有することができる無秩序な光とは対照的に）光子数のボーズ−アインシュタイン確率分布に従って光子が取込まれる１つまたは複数の光場モードを有する、光のことを指す。熱的に分布させられた光源の例は、熱いフィラメント（例えば、白熱電球）からの黒体放射、発光ダイオード（ＬＥＤ）、ならびに適切に構成された電気的に励起された半導体光増幅器（ＳＯＡ）および光学的に励起された光増幅器を含む。

理想的な光源は、いくつかの特性を所有すべきである。理想的な光源の１つの望ましい特性は、それが低い光強度相関を示すことである。図１６Ａないし図１６Ｄは、様々な光源の光強度のスペクトルを示している。図１６Ａ、図１６Ｂ、および図１６Ｄは、乱数発生において満足に動作することが予想される光源と関連付けられ、一方、図１６Ｃのスペクトル特徴は、関連する光源が満足できないコヒーレンス特性を示し、適切ではないことがあることを示す。

光モード当たり放出される光子の数を最大化する光源を使用することも、有利であることができる。モードの数を制御することは、結果として得られるビットストリームが、古典的雑音（古典的雑音は、敵によって、または地域のＴＶ局からのＲＦもしくは電源雑音などの周囲条件からさえも影響を及ぼされることができるので、あまり望ましくない）とは対照的に、量子変動（これらの変動は、根本的に予測不可能であり、敵によって影響を及ぼされることができないので、より望ましい）から導出される高いエントロピを有することを保証するために、重要であることができる。光は、それの空間モード、スペクトル（波長）モード、および偏光モード、ならびに各モードを占める光子の数によって完全に指定されることができ、他のラベルは、必要ではなく、または可能でさえない。空間モードは、２つの種類、すなわち、縦モード（「時間」モードとも呼ばれる）および横モードを有すると考えられることができる。縦モードは、光の伝搬の方向における自由度と関連付けられ、一方、横モードは、伝搬の方向に対して横向きの方向と関連付けられる。熱光源が、１つのモードだけ（縦および横の両方）を有する場合、いずれの量子変動も光源の強度の１００％にわたって変化する。このケースにおいては、光の熱的性質は、それの２次の時間コヒーレンス度の測定によって検証されてよい。ｇ⁽²⁾（τ）として知られるこの量は、時間的にτだけずれた２つの光強度測定の積から形成される。（例えば、非特許文献２を参照。）それは、ハンブリブラウントゥイス相関の時間領域における類似物と考えられてよく、単一モード熱光については、ゼロの時間遅延において、値２を有する（ｇ⁽²⁾（０）＝２）。しかしながら、熱光源が複数のモード（縦または横のいずれか）を有する場合、それらのすべては、独立に変動しており、この光源からの光を検出するいずれの検出器も、平均の周囲においてより小さい変動を見る。したがって、光源からの光子ができるだけ少ない光モードに集中されることを保証することは、量子変動の検出を容易にするために有利であることができる。

検出器が検出器のサンプリングレートに敏感である縦モードの数は、検出器のハードウェアまたはソフトウェアを変更することによって調整されることができる。横モードの数も、特定の選択された横モード（または横モードの小さいセット）内の光子以外のすべての光子を排除するために、単一モード光ファイバなどの空間モードフィルタを光源の出力に適用することによって影響を及すことができる。

しかしながら、横モードの数を制限するために、空間フィルタを使用することなどによって、縦または横光モードの数を減らすことは、光源の光パワーを減らすこともできる。光源の光パワーを減らすことは、検出器が変動を検出することをより難しくすることができる。高速光検出器は、一般により高い光パワーを必要とするので、これは、高レートで変動を検出しようと試みるとき、特に当てはまる。したがって、光モードの数を最小化することと、量子変動の高速検出を容易にするために、高い光パワーを維持することとの間には、トレードオフが存在する。光子があまりにも多数の横または縦光モードにわたって分散される場合、量子変動は、光信号において観測される変動の相対的に小さい部分になり、代わって（例えば、電源変動、地域のＲＦ条件からの影響などからの）古典的変動が優位に立つことができる。したがって、そのような光源から生成される、結果として得られるビットストリームにおけるエントロピは、起源的にもはや優位に「量子」ではない。したがって、理想的な光源は、相対的に穏当な数のモードにおいて多数の光子を生成する。

開示されるＱＲＮＧは、相対的に穏当な数の横モードにおいて多数の光子を生成する適切な光源を選択することによって、「量子」ＲＮＧであるとされた先行する知られたＲＮＧに対する改善を表す。いくつかの実施形態においては、半導体光増幅器（ＳＯＡ）は、上で説明された基準の多くを満たすので、それらは、有益な光源として役立つことができる。半導体光増幅器（ＳＯＡ）においては、入力光信号は、誘導放出を通した光子のコヒーレントな追加を通したゲインを経験し、出力におけるより大きい光信号という結果になる。入力信号の不在においては、ゲイン領域内における自然放出という根本的に量子的な現象が発生し、増幅された自然放出（ＡＳＥ）として一般に知られた出力を生成する。任意の与えられた場モードにおける光子は、ボーズ−アインシュタイン（ＢＥ）統計に従う同種の区別不可能な素粒子であるので、これらの状況における各モードにおけるＡＳＥ光子の数は、熱的に分布させられることが知られている。さらに、ＳＯＡの光学的な構造は、少数の横場モードだけが、モード当たり大きい平均光子占有数をもたらす、本開示のための取込まれる単一モードであることを保証する。これが、今度は、ボーズ−アインシュタイン統計に特徴的な、光子集群として知られた、光子占有数における、振幅が大きく、速やかで、ランダムな変動をもたらす。これらの大きい変動は、光子がすでに取込まれた場モード内に放出される光子の確率についての量子力学的な増大から生じ、それは、ボゾン素粒子について成り立つ。対照的に、古典的統計に従う区別可能な粒子は、ショット雑音として知られる、占有数におけるはるかに小さい統計的変動だけを示す。ＳＯＡからの熱光におけるランダムなＢＥ変動は、検出回路における電子雑音よりもはるかに大きいことができ、これを、本出願において説明されるＲＮＧとともに使用するための量子ランダム性の優れた光源にする。希土類元素をドープされた、光学的に励起される単一モード光ファイバの長い区域（数メートル）は、ＡＳＥの源泉としてしばしば使用されるが、小型化に適していない。対照的に、ＳＯＡは、体積が一般に１ｍｍ³のオーダにある、市販の電気的に励起されるチップスケールのデバイスであり、きわめてコンパクトなＲＮＧデバイスに容易に統合されることができる。いくつかの実施形態においては、ＳＯＡ光源は、例えば、インジウムガリウムヒ素リン化物（ＩｎＧａＡｓＰ）などの材料から形成される、望ましいゲイン特性および雑音低減特性を有するウエハを使用して構成されてよい。他の実施形態においては、適切な性能が、「スクラップ」ウエハからのＳＯＡを使用して獲得されてよく、それは、生産コストを低減することがある。現在開示されているＱＲＮＧは、光学的に励起された熱光源および電気的に励起された熱光源の両方とともに動作することができるが、電気的に励起された熱光源は、製造およびセットアップがより容易で、より安価であること、より小さいデバイスサイズを示すこと、およびより大きい堅牢性を示すことができる。

ＳＯＡは、デュアル偏光ＳＯＡまたはシングル偏光ＳＯＡのどちらかとして構成されることができる。デュアル偏光ＳＯＡは、正方形の横断面を有する導波路を使用することによって、２つの異なる偏光モードを有する光を放出する。他方、シングル偏光ＳＯＡは、薄い長方形のような形をした横断面を有する導波路を使用することによって、ただ１つの偏光モードを有する光を放出する。与えられた電気的入力パワーに対して、どちらの種類のＳＯＡも、おおよそ同じ光パワーを出力するが、デュアル偏光ＳＯＡは、シングル偏光ＳＯＡと同数の光子を、２倍の数のモードにわたって分割する。結果として、シングル偏光ＳＯＡは、より高い光子対モード比を有する光を生成することができ、それは、上で説明された理由で望ましい。ランダムな変動が、期間Δｔにおいて意図される場合、光源のスペクトル周波数幅Δｖは、

を満足する。約５ＧＨｚにおける変動に対しては、
１３ｐｍ以上のスペクトル（波長）幅が、好ましい。

いくつかの実施形態においては、ＬＥＤが、量子ＲＮＧのための光源として使用されてよい。大きなエリアにわたってすべての角度に放射する電球のフィラメントとは異なり、ＬＥＤは、それがその中に放射するモードの数を、それの形状によって制限する。ＬＥＤによって生成される横光モードの数を減らすために、マルチモードまたはシングルモード光ファイバなどの空間モードフィルタを用いて、ＬＥＤの出力をフィルタリングして、無関係なモードを排除することが有利であることができる。いくつかの実施形態においては、量子ドット技法を使用するシングルモードＬＥＤも、光源として使用されることができ−そのようなＬＥＤは、シングルモードにおいてのみ光を生成するという追加の利点を有する（したがって、空間モードフィルタを必要としない）。ＬＥＤは、相対的に廉価な光源であるので、ＬＥＤ光源を使用することはシステムの全体的なコストも減らすことがある。

マルチモードおよびシングルモード光ファイバ以外の空間モードフィルタを使用することも、生産コストを減らすことがある。光ファイバを使用するフィルタリングは、高価であることができる繊細な手順である「バットカップリング」と呼ばれるプロセスを使用して、フィルタを光源とアラインする必要がある。光ファイバの代わりに、１つまたは２つのピンホールを有する障壁が、光源と検出器との間に挿入されてよい。その場合、障壁内のピンホールは、少数の空間モード以外のすべてを排除する空間モードフィルタとして機能する。小さいアクティブエリアを有する検出器も空間モードの数を制限するためのピンホールとして機能することができる。

（それらがもはやレーザとして機能しないように）閾値未満で動作させられるレーザも、低コストの光源として役立つことができる。垂直キャビティ面発光レーザ（ＶＣＳＥＬ）は、そのような低コストレーザの例であり、そのような実施形態において使用される。

いくつかの実施形態においては、光検出器は、相対的に短い波長、相対的に低レートで動作する、フォトダイオードであってよい。そのようなフォトダイオードは、より長い波長（例えば、「電気通信」バンド）およびより高レートで動作するフォトダイオードほど高価ではない。

場モード当たり大きい平均光子占有数を有する光源を使用することによって、ランダム量子変動信号は、検出回路において、古典的電子雑音よりもはるかに大きいことができる。結果として得られる大きい量子信号対雑音（ＱＳＮ）比は、本ＲＮＧが、デジタル化および調整の後、光源の量子雑音に帰することができる、堅牢で高レートな最大エントロピの出力を生成することができる（例えば、光変動は、電子デジタル化によって数に変換されることができ、その後、電子機器によって導入されるバイアスまたは相関など、いずれの非ランダムなアーチファクトも、調整アルゴリズムによって除去されることができる）ことを意味する。本明細書において説明される例示的な実施形態は、単一の横モードだけで光子を生成する、または生成するようにフィルタリングされる、光源を含む。しかしながら、他の実施形態は、単一よりも多くの横モードで光子を生成する、または生成するようにフィルタリングされる光源を使用する。いくつかのケースにおいては、より多くの横モードで光子を生成する光源を使用すること、または複数の横モードを可能にするあまり判別力のないフィルタを使用することは、全体としてのシステムの生産コストを減らしながら、適切な性能を達成することができる。

いくつかの実施形態は、１つまたは複数の追加の特性を示す光源を使用してよい。例えば、好ましい光源は、（可視光または近赤外光については数十ナノメートルに対応する）数ＴＨｚのスペクトル帯域幅を有する。いくつかの好ましい光源は、１５５０ｎｍの波長領域において動作してもよく、それは、市販の高速な電気通信用の光学および電子コンポーネントの使用を可能にする。また、いくつかの実施形態は、相対的に小さい電力を消費するコンパクトな光源を使用してよい。様々な種類の光源（例えば、ＳＯＡおよびＬＥＤ）が、これらの特性のいくつかまたはすべてを示す。

図１は、補正されていない光強度の比較に基づいた、いくつかの実施形態に従った、乱数ジェネレータ（ＲＮＧ）１００を示すブロック図である。ＬＥＤ、シングルもしくはデュアル偏光ＳＯＡ、または他の光源などの、光源１０２は、光源１０２への後方反射を防止するために使用される曲げられたファイバ終端などの、光アイソレータ１０４、および光フィルタ１０５を介して、ビームスプリッタ１０６に結合される。ビームスプリッタ１０６は、例えば、ファイバ結合器、プリズムビームスプリッタ、または当技術分野において知られた他の任意の種類のビームスプリッタを使用して実施してよい。ビームスプリッタ１０６は、光遅延１１０および第１の光検出器１１２に伝搬する第１の出力束１０８を生成する。ビームスプリッタ１０６は、第２の光検出器１１６に送られる第２の出力束１１４も生成する。光遅延１１０は、光ファイバによって提供されることができる。光遅延の大きさは、検出された光信号における相関が十分に弱められることを保証するように、必要に応じて調整されてよい。

検出器１１２、１１６は、光強度に比例する時間的に変化する電圧または電流などの、電気信号を生成するように構成され、これらの信号は、（当技術分野において知られた様々な種類の異なる回路またはプロセッサを使用して実施されてよい）比較器１１８に結合される。いくつかの実施形態においては、追加の光信号増幅器、バッファ増幅器、および他の処理コンポーネント（図１には図示せず）が、比較器１１８に結合するための光信号を準備するために使用することができる。比較器１１８は、第１の光信号と第２の光信号との間の差と関連付けられた差信号を生成し、それは、その後、アナログ−デジタル変換器１２０に渡され、それは、差信号を一連のランダムビットに変換する。

いくつかの実施形態においては、光遅延１１０は、デジタル遅延２１０によって置き換えられる。図２に示すように、光源２０２は、アイソレータ２０４を通って検出器２０６に渡される光束を生成する。検出器２０６において検出された光束に対応する電気信号は、バッファ増幅器２０８に結合され、それが、今度は、クロック２０７によって決定されたレートで２つのビットストリームを生成する、アナログ−デジタル変換器（ＡＤＣ）２０９に結合される。これらのビットストリームの一方は、比較器２１２に直接的に渡されるが、他方は、後で乱数（ＲＮ）プロセッサ２１４によって処理される差信号を生成する比較器２１２によってそれが受け取られる前に、デジタル遅延２１０によって遅延させられる。ＲＮプロセッサ２１４は、例えば、入力ビットストリームをワードに分割し、圧縮を入力ビットストリームに適用し、入力ビットストリーム内に含まれるエントロピの量を測定してよい。

いくつかの実施形態においては、デジタル遅延２１０は、検出器２０６において受け取られた光束の強度における相関に基づいて、可変または選択可能な遅延を提供することができる。いくつかの例においては、バッファ増幅器の遅延させられた出力と遅延させられていない出力との間の相関は、バッファ増幅器２０８の特性、検出器２０６の特性、および／または増幅器などの他の電子要素の帯域幅の特性と関連付けられる。例えば、検出器は、入力にさらされることと関連付けられた長い過渡状態を示すことができ、それによって、遅延させられた電気信号と遅延させられていない電気信号が、少なくともいくらかは相関するようになり、それは、ＲＮＧの全体的な出力におけるエントロピの量を低減する。可変のデジタル遅延を提供することによって、これは、回避されることができる。図２に示すように、ＲＮプロセッサ２１４は、遅延入力２１１を使用して、適切な遅延を設定してよく、それが、今度は、デジタル遅延２１０によって提供される遅延を制御する。

図３を参照すると、乱数ジェネレータ（ＲＮＧ）３００は、光ファイバベースの結合器またはバルク光ビームスプリッタなどの光パワースプリッタ３０４に光学的に結合された光源３０２を含んでよい。一般に、反射された光パワーは、図１に示すように、光アイソレータ１０４を用いて、または後方反射を防止する他の任意の手段を使用して、光源３０２に戻ることを実質的に防止される。スプリッタ３０４は、スプリッタ３０４によって受け取られた光パワーの部分が、それぞれ、平衡検出器ペア３０８の第１の検出器３０８Ａと、光遅延３０６とに送られるように、少なくとも２つの光出力を含む。光遅延３０６の出力は、平衡ペア３０８の第２の検出器３０８Ｂに結合する。図３に示すように、第１の検出器３０８Ａおよび第２の検出器３０８Ｂは、平衡検出器ペアとして構成され、それは、光源３０２の光パワーにおける古典的振幅雑音および他の古典的変動を部分的に抑制するのに役立つ。平衡検出器は、必須ではないが、それらは、一般に、コモンモード雑音の優れた抑制を示し、したがって、（使用される光源に応じて）約１ｎｓ、１０ｎｓ、１００ｎｓ、１μｓ、１０μｓ、または１００μｓよりも長い時間にわたって持続する、大幅に低減された相関を示すことがある、対応する電気信号を生成する傾向にある。

平衡検出器出力は、トランスインピーダンス増幅器などの増幅器３１２に提供され、それは、バッファ増幅器３１４に、その後、比較器３１６に結合される。望ましい場合は、比較器３１６は、基準源３１８によって基準電圧を提供することができる。比較器出力は、ランダムビット系列を獲得するために使用することができる。

図４に示される別の例においては、ＲＮＧ４００は、光源４０２と、アイソレータ４０４と、光源４０２によって生成された光束の第１の部分をファイバ遅延４０８および第１の検出器４１０に、第２の部分を第２の検出器４１２に結合するように構成された、光ファイバ結合器４０６とを含む。検出器４１０、４１２からの出力電気信号は、それぞれ、フィルタ４１４、４１６、およびアナログ−デジタル変換器（ＡＤＣ）４１８、４２０に結合されることができる。ＡＤＣ４１８、４２０は、それぞれのビットＸ、Ｙを、（ｓｇｎ（ΔＶ）＋１）／２として生成するように構成され、ここで、ΔＶは、フィルタ出力電圧変動である。ビット出力Ｘ、Ｙは、ＸとＹとを要望通りに合成するために、ハードウェアまたはソフトウェアで実施することができる、合成プロセッサ４２４に結合される。例えば、プロセッサ４２４は、例えば、ＸとＹとのビット毎の排他的論理和（ＸＯＲ）など、ＸとＹとの選択された論理結合を決定するように構成することができるが、他の合成も使用することができる。例えば、第１および第２の検出器にそれぞれ関連付けられた出力電圧変動ΔＶ₁およびΔＶ₂に対して、以下の合成、すなわち、
｛ｓｇｎ［ΔＶ₁（０）−ΔＶ₂（ｔ）］＋１｝／２
は、満足できる結果を提供し、ここで、ｓｇｎは、符号関数である。単一の検出器が使用され、ただ１つの電圧変動ΔＶ₁しか利用可能でない場合、上記の合成は、ΔＶ₂（ｔ）をΔＶ₁（ｔ）で置換することによって満足できる結果を生成する。

また別の代表的なＲＮＧ５００を図５に示す。光源５０２は、平衡検出器ペア５０６の第１の検出器５０４に送られる光束を生成し、一方、第２の検出器５０８は、光束にさらされないままである。図５に示されるように、検出器５０４、５０８は、光源５０２によって生成された光束のスペクトル内容に基づいて選択されることができる、フォトダイオードであり、アバランシェフォトダイオード（ＡＰＤ）またはＰＩＮ（ｐ−ｉ−ｎ）フォトダイオードなどの、シリコン、ゲルマニウム、およびＩｎＧａＡｓフォトダイオードが、しばしば便利である。平衡ペア出力に対応する電気信号は、バッファ増幅器５１０に結合され、バッファされた出力の部分は、ランダム出力ビットストリームを提供するために、直接的に、および遅延５１２を介して加算ノード５１４に配送される。

図６を参照すると、乱数ジェネレータ６００は、光放射を光検出器６０４に送るように構成された、ＬＥＤなどの光源６０２を含む。図６に示されるように、光検出器６０４は、抵抗６０６と直列に結合された、逆バイアスされたフォトダイオードであるが、他の光検出器構成およびバイアスアレンジも使用することができる。光検出器６０４によって生成された電気信号は、バッファ増幅器６１０によって増幅およびバッファリングされ、それの出力は、デジタル化された光信号を生成する、アナログ−デジタル変換器６１２に送られる。デジタル化された光信号は、６１４において、レベルシフトされ、６１６において、（一般にソフトウェアまたはファームウェアで）デジタル的に遅延させられ、ランダムビットストリングを生成するために、ＸＯＲ６１８において、遅延させられていない（または異なる遅延が施された）デジタル化およびレベルシフトが施された光信号と合成される。図６に示されるようなＲＮＧの代表的な実施は、５Ｇｂ／ｓ以上のレートで、ランダムビットを生成することができる。

図７は、乱数ジェネレータ７００の別の実施形態を示している。図７は、光源７０２と、光検出器７０４と、増幅器７０６と、Ａ−Ｄ変換器７１０ａ、７１０ｂと、遅延モジュール７０８と、合成器７１２と、バックエンド７１４とを含む。

光源７０２は、熱光源であることができ、シングルまたはデュアル偏光ＳＯＡを含む、本明細書において説明される光源の種類のいずれかを含むことができる。光源７０２の出力は、光検出器７０４に送ることができ、それは、検出された光に応答して、ＲＦ信号を出力する。光源７０２は、自由空間、光ファイバ、または横モード数を制限するための方法を含む他の手段を介して、光検出器７０４に結合することができる。光検出器７０４は、好ましくは、（ＧＨｚ帯域幅を可能にする）高帯域幅、およびフラットな周波数応答を持ち、（例えば、光源７０２によって放出された波長およびそれの変動のスペクトルのほとんどまたはすべてに実質的に等しく敏感である）。光検出器７０４からのＲＦ信号は、ＲＦ信号を増幅する増幅器７０６に送られることができる。いくつかの例においては、増幅器７０６は、トランスインピーダンス増幅器とすることができる。他の実施形態においては、増幅器７０６は、直列に接続された１つまたは複数の線形増幅器を含むことができる。適切な増幅器７０６を選択する際に、実質的にフラットなＲＦ応答を有する（例えば、異なるＲＦ周波数にわたって相対的に等しく信号を増幅する）増幅器を見つけることは、重要であることができる。線形増幅器は、相対的にフラットなＲＦ応答を有する傾向にあるので、それらを使用することは、有利であることができる。線形増幅器は、トランスインピーダンス増幅器と比較して、より低いゲインを有することができるが、これは、２つ以上の線形増幅器を直列に接続することによって補償することができる。

増幅器７０６からのＲＦ出力は、その後、例えば、電子スプリッタを使用して、２つのストリームに分割することができる。一方のストリームは、アナログ−デジタル（Ａ−Ｄ）変換器７１０ａに直接的に渡すことができる。他方のストリームは、アナログ遅延モジュール７０８を介して、Ａ−Ｄ変換器７１０ｂに渡すことができる。遅延モジュール７０８は、ハードウェアで実施することができ、近似的に７ｎｓだけ信号を遅延させることができるが、より長いまたはより短い遅延も、可能である。いくつかの例においては、遅延モジュール７０８は、０ｓだけ信号を遅延させる（例えば、まったく遅延がない）ことができる。他の実施形態においては、遅延モジュール７０８は、ハードウェアおよび／もしくはソフトウェア設定に応じて、または乱数ジェネレータ７００の出力において検出されるいずれかのバイアスもしくは相関に応じて、ゼロ秒を含む可変時間だけ信号を遅延させるように再構成されることができる。好ましくは、遅延モジュール７０８は、以下で説明される合成器７１２または他の処理システムへの十分に独立した入力を生成するように構成される。

図７に示されるように、遅延モジュール７０８は、Ａ−Ｄ変換器７１０ｂの上流に配置され、したがって、アナログ遅延モジュールである。他の実施形態においては、別の別個のデジタル遅延モジュール（図示せず）は、Ａ−Ｄ変換器７１０ｂと合成器７１２との間に挿入することができる。そのようなデジタル遅延モジュールも、以下で説明される合成器７１２または他の処理システムへの十分に独立した入力を生成するために、信号を遅延させることができる。遅延モジュール７０８と同様に、デジタル遅延モジュールは、おそらくは、ゼロ秒を含む可変時間だけ信号を遅延させるように再構成することができる。しかしながら、遅延モジュール７０８とは異なり、このデジタル遅延モジュールは、アナログ信号の代わりにデジタル信号を遅延させるように構成することができる。

いくつかの例においては、Ａ−Ｄ変換器７１０ａ、７１０ｂは、比較器として機能する１ビットデジタイザとすることができ、例えば、ＲＦ信号が、ある閾値を上回る場合、Ａ−Ｄ変換器は、論理ハイを出力することができ、それ以外の場合、Ａ−Ｄ変換器は、論理ローを出力することができる。Ａ−Ｄ変換器は、システムクロックの立ち上がりエッジまたは立ち下がりエッジにおいて、データを記録するように構成されることができる。Ａ−Ｄ変換器７１０ａ、７１０ｂ両方の出力は、その後、合成器７１２に送られることができる。いくつかの例においては、合成器７１２は、単純なＸＯＲ関数とすることができるが、他の種類の合成器も可能である。合成器７１２の出力は、高いエントロピを有する実質的にランダムなビットストリームであることができ、ここで、その中に含まれるエントロピは、（古典的雑音からのものとは対照的に）起源的に量子である。合成器７１２の出力に対して行われた統計的テストは、この構成が、少なくとも９９．７％量子力学的にランダムであるビットストリーム（すなわち、出力のビット当たり０．９９７ビットの量子エントロピを有するビットストリーム）を生じさせることができることを示す。しかしながら、これは、理論的な最大ではなく、この種類のＱＲＮＧが、使用されるコンポーネントに応じて、最大に迫る量子ランダム性（すなわち、出力ビット当たり１ビットの量子エントロピ）を生成することが可能である可能性がある。ランダム性のテストは、（処理がハードウェア出力における不具合を曖昧にしないように、いかなるアルゴリズム処理ステップにも先立って、ランダム性のテストが、合格されなければならないことを必要とする）ＮＩＳＴ（国立標準技術研究所）ＳＰ８００−９０Ｂドラフト標準の要件に準拠して、いずれの後処理にも先立って、合成器７１２の出力に対して適用することができる。

合成器７１２の出力は、出力にＳＨＡ５１２などのセキュアハッシュアルゴリズム（ＳＨＡ）を適用する、バックエンド７１４に光学的に提供されることができ、それは、出力を、ＮＩＳＴ（国立標準技術研究所）ＳＰ８００−９０Ｂドラフト標準に準拠させることができる。ＳＨＡ５１２を適用することは、多層防御を追加し、したがって、開示される乱数ジェネレータのセキュリティを高めることができる。いくつかの例においては、バックエンド７１４は、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）として実施されることができる。バックエンド７１４は、標準的なコンピュータシステムと容易にインターフェースを取ることができる形式で、ビットストリームを提供するように構成することもできる。加えて、バックエンド７１４は、サーバまたはパーソナルコンピュータなどのコンピュータシステムによってコールされることができる、コール機能を実装することができる。コンピュータシステムが、「コール」信号をバックエンド７１４に送ったとき、バックエンド７１４は、コールしたコンピュータシステムに乱数を送り返すことによって、応答することができる。十分に速い電子機器を用いると（例えば、十分な帯域幅を有する光検出器、増幅器、Ａ−Ｄ変換器、合成器、および／またはバックエンドを用いると）開示される乱数ジェネレータは、最大で毎秒６．２Ｇｂｉｔのレートで、ランダムビットを発生させることが可能であることが示された。理論的には、さらに速い電子機器を用いると、現在開示されている乱数ジェネレータは、毎秒数テラビットのレートで、ランダムビットを発生させることができる。しかしながら、コストが、関心事である場合、開示されるＱＲＮＧは、より遅いがより安価なバックエンド電子機器（例えば、より遅い検出器、デジタイザなど）を用いても機能する。より遅いがより安価なバックエンド電子機器を使用することは、開示されるＱＲＮＧのコストを下げることを容易にすることができる。

他の実施形態においては、Ａ−Ｄ変換器７１０ａ、７１０ｂは、マルチビットデジタイザとすることができる。例えば、Ａ−Ｄ変換器７１０ａ、７１０ｂは、一度に単一のビットではなく、検出されたＲＦ信号の強度と相関する８ビットからなる「ワード」を出力することができる。８ビットワードも、合成器７１２によって合成されるために送ることができる。そのような実施形態においては、合成器７１２から来たビットストリームは、望ましくない相関およびバイアスを示し、したがって、完全ではないエントロピしか示すことができない。ここで説明される例示的な実施形態においては、出力ビットストリームは、８ビット毎にたかだか４ビットのエントロピしか示すことができない。したがって、実質的に最大量子エントロピを有するより短いビットストリームを抽出するために、バックエンド７１４において、（以下でさらに詳細に説明される）エントロピ抽出機能を適用することが必要である。十分に速い電子機器を用いると、マルチビットデジタイザおよびエントロピ抽出機能を使用する実施形態は、シングルビット実施形態と少なくとも同じ速さで、ランダムビットを発生させることができる。

図８に示される他の代表的な実施形態においては、開示されるＲＮＧは、物理的エントロピ源「フロントエンド」８０２と、エントロピ抽出「バックエンド」８０４とを有する、暗号的に真の乱数ジェネレータ（ＴＲＮＧ）８００のための高水準アーキテクチャに従って、構成されることができ、「最大エントロピ」（物理ビット当たり１ビットのエントロピ）を有する、互いに独立で同一の分布に従う（ｉ．ｉ．ｄ．）出力ビットのストリーム８０６を生成する。「フロントエンド」８０２は、以下で説明される実施形態ばかりでなく、先に開示された実施形態のいずれかを少なくとも一部は使用して実施することができる。いくつかの例においては、フロントエンド８０２およびバックエンド８０４は、ともに、単一のモノリシックチップ上において実施することができる。他の実施形態においては、フロントエンド８０２およびバックエンド８０４は、別々のチップ上において実施することができる。いくつかの実施形態においては、フロントエンド８０２およびバックエンド８０４は、複数の別々のハードウェアおよび／またはソフトウェアモジュールとして実施することができる。また他の実施形態においては、フロントエンド８０２は、例えば、ネットワークを通して、バックエンド８０４に間接的に結合されることができ、２つのコンポーネントは、地理的に離れていることができる。

（光源を含む）フロントエンド８０２およびバックエンド８０４を単一のモノリシックチップ内において実装することは、開示されるＱＲＮＧのコストを下げるために有利であることができる。単一のチップ上にあらゆるものを実装することは、光源をシングルモードフィルタとアラインするなど、異種コンポーネントをアラインするのに必要とされる、時間、労力、およびコストを少なくすることができる。いくつかの実施形態においては、光源は、例えば、シリコン上に付着させられたゲルマニウムを使用する、チップ上において、シリコン内に統合されることができる。

図９は、代表的なＲＮＧ「フロントエンド」８０２をより詳細に示している。ＲＮＧフロントエンド８０２は、４つの要素、すなわち、（１）それの光出力パワーのランダム変動が、量子起源のエントロピ源を提供する、熱光源９０２と、（２）熱源の出力を登録する、マルチＧＨｚ帯域幅光検出器９０４と、（３）検出器出力を電圧に変換する、トランスインピーダンス増幅器（ＴＩＡ）９０６と、（４）毎秒数ギガサンプルのレートで（ＧＳａｍｐｌｅまたはＧＳとも呼ばれるギガサンプルは、１０億サンプルである）、源泉から導出された雑音のある電気信号をデジタル化する、アナログ−デジタル変換器（ＡＤＣ）９０８とを有することができる。０と同数の１が発生させられていることのチェックなど、相対的に単純な健全状態および／または基本ランダム性のテストも、このステージにおいて行うことができる。

いくつかの実施形態においては、熱光源９０２は、上で説明されたシングルまたはデュアル偏光半導体光増幅器（ＳＯＡ）とすることができる。以下の実施形態においては、説明を容易にするために、以下のパラメータ、すなわち、（１）ＡＳＥ中心波長、λ＝１５５８ｎｍ、（２）光３ｄＢ帯域幅、８２．３ｎｍ、または周波数単位で、１０ＴＨｚ、（３）光ゲイン、Ｇ＝２７．７ｄＢ、および（３）雑音指数、８．１ｄＢ、または雑音係数、χ＝６．５を有するシングル偏光ＳＯＡが、仮定される。以下においては、他の種類の光源も、パラメータの適切な置換を行って、同様に使用されることができる。

ＳＯＡ熱光出力は、線形領域において動作する、高帯域幅（本開示については２０ＧＨｚ）の電気通信標準光検出器９０４にファイバ結合される。いくつかの実施形態においては、ＳＯＡの出力は、３ｄＢ帯域幅Ｂ_opの光フィルタ（図示せず）を通して、スペクトル的にフィルタリングされることができる。図９に示された実施形態においては、ＳＯＡの最大スペクトル出力、Ｂ_op＝１０ＴＨｚが、光検出器９０４によって受け取られる。検出器の電気的出力は、トランスインピーダンス増幅器（ＴＩＡ）９０６に結合され、その後、アナログ−デジタル変換器（ＡＤＣ）９０８を使用して、高レートでサンプリングされる。サンプリングビン時間の逆数が、電子的帯域幅Ｂ_elを設定し、この例示的な実施形態においては、電子的帯域幅は、数ＧＨｚに設定されることができる。ＳＯＡ出力は、単一の横モードであるが、本ＲＮＧについては、Ｍ＝Ｂ_op／Ｂ_elの縦モードが、デジタル的にサンプリングされた信号に寄与する。例えば、Ｂ_el＝１ＧＨｚを用いると、Ｍないし１００００の縦モードを得る。

与えられた縦モードがｎの光子を含む確率は、ボーズ−アインシュタイン（ＢＥ）確率分布

によって与えられ、ここで、平均光子数Ｎ_BE＝＜ｎ_sp＞、分散ｖａｒ_BE＝＜ｎ_sp＞（１＋＜ｎ_sp＞）、および＜ｎ_sp＞＝χ（Ｇ−１）である。上で説明されたＳＯＡパラメータを用いると、Ｎ_BEは、縦モード当たり近似的に４０００の光子に対応する。このモード当たりの占有数は、白熱光源を用いて実現可能であるよりもはるかに大きく、本ＲＮＧのフロントエンドによって生成されるビット当たり大きい量の量子エントロピのための基礎である。

ＳＯＡゲインＧおよび雑音係数χが波長とは無関係であるという近似を行うと、ＰＤ／ＴＩＡ／ＡＤＣシステムが１つのサンプリングビン内においてｎの光子を検出する確率は、Ｍ重の退化ＢＥ分布または負の２項（ＮＢ）分布

によって与えられ、ここで、

は、サンプリングビン当たり検出された光子の平均数である。ＮＢ光子数分散は、

によって与えられる。

この式の右辺において、第１項は、光子が区別可能な古典的粒子である場合でさえも存在する、統計的（ショット雑音）変動に対応し、一方、第２項は、自然放出の量子現象から、およびすでに光子を含むモード内に放出される同種ボゾンとしての光子についての量子的に強化された振幅（「集群」）から生じる、量子変動に対応することが注目される。波長とは無関係のＳＯＡゲインおよび雑音係数という近似を用いると、

を得る。したがって、ＲＭＳ光子数量子変動

は、縦モードの数Ｍ、したがって、デジタル化時間ビン幅とは無関係の、（上で与えられたχおよびＧの値に対して、近似的に６２である）

倍された光子数ショット雑音ＲＭＳ変動

よりも大きい。これは、他のＲＮＧとは対照的に、本ＲＮＧのデジタル化された出力のエントロピの大きい成分が、根本的に量子的な起源を有することを意味し、それは、以下のように定量化されることができる。

検出器およびＴＩＡのデジタル化された出力電圧Ｖは、ＲＭＳ値σ_Vを有する変動確率分布を有し、それは、電子雑音ＲＭＳ変動σ_elと、光子数ショット雑音ＲＭＳ変動σ_shot,Vと、量子ＲＭＳ変動σ_Q,Vとの２乗和平方根（ＲＳＳ）

として表現されることができる。

サンプリングビン当たり検出される光子の平均数

は、ＳＯＡからの平均光パワーＰに比例し、電子雑音、光子数ショット雑音、および光子数量子雑音の、デジタル化されたビットストリームのエントロピに対する寄与は、σ_VをＰの関数として測定し、結果を現象論的モデル

に当てはめることによって決定されることができることに留意されたい。

ここで、ａ、ｂ、およびｃは、特定のデジタル化時間ビン幅についての定数であり、

を得る。量子信号対雑音パラメータは、

として定義される。

本ＲＮＧは、ＳＯＡの典型的な動作点（平均光パワーＰ）において、ＱＳＮ＝７．３を有し、それは、非常に小さい単一光子またはショット雑音信号にそのほとんどが本質的に依存する、いずれの競合ＲＮＧよりもはるかに大きい。したがって、本ＲＮＧは、それの光源内にエントロピの堅牢な量子成分を有し、それは、それの非常に高いビットレート、およびそれの出力の予測不可能性についてのセキュリティ保証の両方を可能にする特徴である。

実際には、ＳＯＡのゲインおよび雑音係数は、光帯域幅にわたって一定ではない。しかしながら、上記の式は、ＳＯＡ出力光パワーの関数としての変動に対する現象論的適合のために使用されることができ、量子雑音成分が分離されることを可能にする。

本明細書において「ＲＮＧ基本」実施形態と呼ばれる、一実施形態においては、開示されるＲＮＧは、最大で６Ｇｂｐｓのレートで、出力ビットストリームを提供することができる。この出力ビットストリームは、圧倒的に量子起源であるビット当たりエントロピを有し、ＮＩＳＴテストスイート（非特許文献４を参照）よりも総合的である、ＴｅｓｔＵ０１ソフトウェアライブラリ内の統計的ランダム性テストスイートＳｍａｌｌＣｒｕｓｈ（ＳｍａｌｌＣｒｕｓｈは、その全体が参照によって本明細書に組み込まれる、非特許文献３において説明されている）に合格することができる。ＲＮＧ基本実施形態においては、フロントエンド８０２におけるＡＤＣ９０８は、望ましくないバイアスおよび相関を有するビットストリームを生成する比較器である。ビットストリームは、出力ビットストリーム８０６を生成するときに、これらの特徴を除去するために、ストリーミング調整アルゴリズムを実装するバックエンド８０４に入力される。

図１０は、「ＲＮＧ基本」実施形態に従った、代表的なＲＮＧ「バックエンド」８０４をより詳細に示している。ＲＮＧ基本実施形態に従うと、ＲＮＧバックエンド８０４は、フロントエンドＡＤＣ８０２によって提供された入力９１０から独立したバイアスのないランダムビットを生成するためのストリーミングアルゴリズムを適用するように構成された、調整器１００２を含むことができる。ＲＮＧバックエンド８０４は、熱光源における量子雑音から生じる、ビットストリングにおけるエントロピの量を推定するための、モデル（図示せず）を実装するためのハードウェアおよび／またはソフトウェアも含むことができる。モデルは、以下の図１４に関連してより詳細に説明されるように、光源に供給される電力を変化させることによって、量子エントロピの量を推定することができる。ＲＮＧバックエンド８０４は、出力ビットストリームの基本ランダム性テストも行うことができる。１つのそのようなランダム性テストは、国立標準技術研究所によって２００１年に発行され、２００２年に更新された、（その全体が参照によって本明細書に組み込まれる）非特許文献５において説明されているような、ＦＩＰＳ １４０−２ランダム性テストである。

一定であるが、必ずしも知られていないバイアスを有する、独立したランダムビットのケースのために、フォンノイマンアルゴリズム（この詳細は、非特許文献６において見出されることができ、非特許文献６のすべての内容が参照によって本明細書に組み込まれる）は、独立したランダムビットのより短いバイアスのないストリームを生成するために、ストリーム毎に適用することができる。このアルゴリズムの非常に都合がよい特徴は、バイアスのない出力を達成するために、エントロピ源の動作点を微調整する必要性を、それが取り除くことである。しかしながら、ＲＮＧ基本フロントエンド上の比較器の出力は、次のビットのバイアスが現在のビットに依存し、すなわち、短い範囲の相関が存在するという特徴を有することができる。これは、「僅かにランダムな」源泉と呼ばれており、ビットストリームに適用されて、独立したバイアスのないランダムビットを生成することができるブールアルゴリズムは、存在しないことが知られている。さらに、これらの状況におけるフォンノイマンのアルゴリズムの使用は、それが解決するより多くの問題を導入することができる。

しかしながら、長い範囲の相関の不在のために、出力ビットストリームおよびそれ自体の適切に遅延させられたバージョンが、独立した僅かにランダムな源泉を構成することを考えると、独立したバイアスのないビットを生成するために、知られたアルゴリズムを適用することができる。そのような知られたアルゴリズムは、例えば、（その全体が参照によって本明細書に組み込まれる）非特許文献７によって開示されているものを含むことができる。具体的には、調整器１００２は、出力ビットストリームの、それ自体の遅延させられたバージョンとのビット毎のＸＯＲを（ストリーム毎に）適用することができ、すなわち、各「新しい」ビットｘ_iは、ｍビット位置だけ「より古い」ビットｘ_i-mとのＸＯＲを取られて調整された出力ストリーム

を与える。ここで、オフセットｍは、総合的な統計的テストスイートに合格する出力を与えるように選択され、ひとたび選択されると、固定することができる。この方式は、それが、単純な高速電子論理回路を用いて容易に実施することができるという特徴を有する。いくつかのビットからなる系列は、オフセット系列内の対応するビットとＸＯＲを取られることができ、ビットストリームの何らかの圧縮という結果となることを、当業者は理解するが、本開示については単一のビットどうしでＸＯＲを取るだけである。

６Ｇｂｐｓでのストリーミングランダムビットストリングを受け入れることができる応用例について、バックエンドは、図１１に示されるようなハードウェアで実装されることができる。また、他の応用例は、ビットストリームに対するＰＣインターフェースを必要とすることがあることを理解して、ＰＣによって直接的に読むことができる出力を与えるために、図１１に示されるストリーミング出力を受け入れ、それを図１２に示されるようにフォーマットする、追加のハードウェアステージを実施することができる。

図１１は、いくつかの実施形態に従った、例示的なバックエンドを示すブロック図である。フロントエンド内の光検出器からのランダムに変動するアナログ信号は、トランスインピーダンス増幅器１１０２によって増幅され、比較器１１１０の一方の入力に提供されることができる。他方の比較器入力は、ユーザによって一定のＤＣレベルに設定されることができ、時間の半分はこの一定のＤＣレベルよりもアナログ入力がより小さくなり、時間の半分はより大きくなるようにする。

光検出器からのアナログ信号は、本質的に非同期であることができる。出力ビットの安定したストリームを生成するために、比較器は、周期的なクロック信号を必要とする。この信号は、外部の６ＧＨｚ発振器１１０５から発生することができ、その出力は、６ＧＨｚバンドパスフィルタ１１０６を通過させられて、その後、ファンアウトバッファ１１０４を駆動する。ファンアウトバッファ１１０４は、クロックパルスの称賛のペアを生成し、それらは、比較器１１１０を駆動する前に、いずれのＤＣ電気レベルも除去するために、ＤＣブロックのペア１１０８ａ、１１０８ｂを通過する。

比較器１１１０は、相補的なクロックパルスを受け取り、クロックサイクル毎にアナログ信号の振幅を評価する。アナログ信号が基準電圧よりも大きい場合、それは一方の相補的な論理状態（例えば、［１，０］）を出力し、アナログ信号が、基準電圧よりも小さい場合、それは反対の称賛の論理状態（例えば、［０，１］）を出力する。この回路の別の実施形態においては、比較器１１１０は、その値がアナログ信号と基準電圧との間の差の大きさに依存する、より多数のビットを出力するアナログ−デジタル変換器１１１２を用いて置換することができる。

比較器１１１０によって出力された称賛の信号は、電圧レベルをファンアウトバッファ１１１８の入力にとって正しい値に設定する、１ｄＢ減衰器のペア１１１４ａ、１１１４ｂと、ＤＣブロックのペア１１１６ａ、１１１６ｂとを通過させることができる。このファンアウトバッファ１１１８は、それの入力における称賛の信号の２つのコピーを出力することができる。一方のコピーは、長い経路１１２０に送られ、他方は、短い経路１１２２に送られる。これら２つの経路は、論理ＸＯＲ１１２４への２つの入力として再結合することができ、それは、２つの入力のＸＯＲである単一の称賛のビットストリームを出力する。この称賛のデータストリームは、再度、ＤＣブロックのペア１１２８ａ、１１２８ｂを通過させられ、出力ポート１１３０、１１３２において、ユーザに利用可能になるようにされる。ユーザは同期の目的で、１１０３においても、６ＧＨｚクロックのコピーを提供される。この回路の他の実施形態は、ＸＯＲ１１２４を、他の調整プロセス１１２６を用いて置換することができる。

図１２は、いくつかの実施形態に従った、図１１に示した回路から出力されたものなどのビットのストリームを処理して、コンピュータによる解釈に適した形式にすることができる、回路を示している。この回路は、２つの入力ポート１２０２において、６ＧＨｚで、ランダムに選択されたビットの相補的なストリングを受け取る。回路は、６ＧＨｚの代わりに、３ＧＨｚで入力ビットストリームに同期させられている、入力クロック信号１２１８も受け取ることができる。このクロック信号は、３７５ＭＨｚで称賛のクロック信号を発生させる、１／８分周器１２１２に渡されることができる。この信号は、３７５ＭＨｚ信号の２つの同一のコピーを発生させることができる、ファンアウトバッファ１２１０に入力することができる。一方のコピーは、クロックパルス毎にランダム源１２０２からの１ビットを記憶する、Ｄ型フリップフロップ１２０８をトリガするために使用することができる。フリップフロップの相補的な出力は、３７５ＭＨｚでサンプリングされた単一のビットであり、それは、１：４デマルチプレクサ１２０４に渡されることができる。ファンアウトバッファ１２１０からの他方の出力は、１８７．５ＭＨｚでクロック信号を生成するために、１／２分周器１２０６に渡すことができる。１：４デマルチプレクサ１２０４は、入力データを３７５ＭＨｚのデータレートでサンプリングし、クロックレートの４分の１で、４ビット幅の並列出力信号を生成する。この４ビット幅の信号は、すべての４ビット幅信号を集めて、コンピュータによって容易に解釈されることができるフォーマット１２１６にする、低電圧差動信号（ＬＶＤＳ）入力−出力端末１２１４に送ることができる。

本明細書において「ＲＮＧ−ＦＱＥ（最大量子エントロピ）」実施形態と呼ばれる、別の実施形態においては、開示されるＲＮＧは、ビット当たり１ビットの量子起源の（以下で定義される）最小エントロピを有する、出力ビットストリームを提供することができる。この実施形態は、最大で４４Ｇｂｐｓのオフラインレートで示される。ＲＮＧ−ＦＱＥ実施形態においては、フロントエンド８０２におけるＡＤＣ９０８は、８ビットワードをバックエンド８０４に出力する、マルチビットデジタイザである（これは、フロントエンド８０２におけるＡＤＣ９０８が、単純に１度に１ビット、ビットストリームを出力する、単純な比較器である、ＲＮＧ基本実施形態と対照的である）。より長いまたはより短いワードも可能である。

図１３は、ＲＮＧ−ＦＱＥ実施形態に従った、代表的なバックエンド８０４である。ＡＤＣ９０８からの８ビットワードは、第１の調整ステージ１３０２を通過させられ、それは、光源９０２および検出システム（９０４、９０６）の最大エントロピを有する独立したバイアスのないランダムビットのストリーム１３０３を出力する。この第１の調整ステージ１３０２は、このビットストリームのランダム性に堅牢性も提供し、それは、ＳＯＡまたは検出電子機器動作点における遅い変化を自動的に補償する。第１の調整ステージによって適用されるこの補償は、（その全体が参照によって本明細書に組み込まれる）（１９８５年２月１４日に受理され、１９８５年１２月２８日に改定された）非特許文献８において開示されているアルゴリズムを使用して、実施されることができる。対照的に、ＲＮＧ基本実施形態においては、バイアス設定点を慎重に選択することを必要とすることができる。第２の調整ステージ１３０４は、ビットストリームにランダム抽出器機能を適用することができ、それは、最大量子エントロピを有するより短い出力ビットストリーム１３０５を生成する。最後に、望ましい場合は、このビットストリーム１３０５は、ＮＩＳＴ（国立標準技術研究所）推奨の暗号的に決定論的なランダムビットジェネレータ（ＤＲＢＧ）１３０６に入力されることができ、それの出力ビットストリーム１３０７は、暗号目的で使用されることができる。ＮＩＳＴ標準は、（そのすべての内容が参照によって本明細書に組み込まれる）非特許文献９において見出されることができる。最後のＤＲＢＧステージは、さらなるセキュリティ堅牢性および多層防御を提供し、出力は、量子雑音源内に不具合が存在してさえも、ランダムから統計的に区別不可能であり続ける。

先に説明されたように、ＲＮＧ−ＦＱＥ実施形態は、ＲＮＧ基本の（１ビット）比較器の代わりに、８ビットデジタイザを、フロントエンドのＡＤＣ出力として使用することができる。この８ビットデジタイザは、毎秒３ＧＳａｍｐｌｅのデジタル化レートで、動作することができる。他のデジタイザワードサイズおよびレートも、可能である。各サンプルは、光検出器の出力電圧を、したがって、光源からの光パワーを表す、８ビットワードを生成することができる。定常状態において、サンプリングされたパワーの分布は、電子雑音と、光ショット雑音と、ボーズ−アインシュタイン（量子）雑音との畳み込みである、ＲＭＳ変動によって特徴付けられる。これらの雑音成分は、図１４に示されるような、平均光パワーの関数としての変動を測定することによって分離することができる。

図１４は、縦Ｙ軸にμＷ単位の２乗平均平方根（ＲＭＳ）光強度変動を、横Ｘ軸にμＷ単位のフロントエンド光源からの平均光パワー出力を示している。データライン１４０４は、開示されるＱＲＮＧの一実施形態を使用した、光パワーの関数としての、実験的に観測されたＲＭＳ変動を示す。モデルライン１４１０は、ＮＢ光子数についての先に説明された式

を使用した、光パワーの関数としての、予測されるＲＭＳ変動を示す。

見て分かるように、モデルライン１４１０とデータライン１４０４との間には、緊密な対応が存在し、モデルが、良好な予測力を有することを示す。この図の目的では、以下のパラメータが、利用され、すなわち、サンプル当たりの平均光子数は、４．３×１０⁶に等しく、典型的な動作電力は、１７００μＷに設定され、モードの数Ｍは、８０００に設定された（このケースにおいては、８０００の縦モード×１つの横モードの、合計で８０００のモード）。ショット雑音ライン１４０６は、この式の右辺の第１項に対応し、先に説明されたように、この第１項は、光子が区別可能な古典的粒子である場合でさえも存在する、統計的（ショット雑音）変動に対応する。ボーズ−アインシュタイン雑音ライン１４０８は、この式の右辺の第２項に対応し、先に説明されたように、この第２項は、自然放出の量子現象から、およびすでに光子を含むモード内に放出される同種ボゾンとしての光子についての量子的に強化された振幅（「集群」）から生じる量子変動に対応する。

ゼロ光パワー１４０２において、ＲＭＳ変動は、電子雑音成分によって支配される（電子雑音は、光ショット雑音とは異なり、光パワーに関わらず、一定である。それは、このグラフには示されていないが、示されるとしたならば、それは、水平なラインとなる）。通常の動作点１４１２において（近似的に１７００μＷの光パワーにおいて）、変動は、量子成分によって支配される。（以前のように）量子信号対雑音（ＱＳＮ）パラメータを、ボーズ−アインシュタイン変動の、変動の電子雑音成分とショット雑音成分との畳み込みに対する比として定義すると、通常の動作点において、７．３という大きいＱＳＮという結果となり、すなわち、出力エントロピは、量子起源の雑音１４０８によって強く支配される。これを定量化するために、測定されたデジタイザ出力確率分布のシャノンエントロピ

が、評価される。

ここで、総和は、すべての８ビットデジタイザ出力からなる集合Ｘ上において行われ、
Ｐ（ｘ）は、ワードｘが生じる測定された確率である。通常の動作出力、および毎秒３ＧＳａｍｐｌｅのデジタル化レートにおいて、これは、Ｈ＝４．８９ビットという結果となる。しかしながら、暗号目的では、われわれは、最小エントロピ
Ｈ_∞＝−ｌｏｇ₂Ｐ_max
により関心がある。

これは、敵が、最も可能性のある出力を選択する最適な戦略を使用して、出力を推測する確率を捉え、それは、測定された確率Ｐ_maxを有する。したがって、Ｈ_∞＝４．０７ビットである。ＱＳＮについての先の分析から、この最小エントロピの９９．６％は、ボーズ−アインシュタイン（量子）雑音に帰することができる。したがって、デジタイザ出力は、これらの動作条件の下で、８ビットサンプル当たり４．０５ビットの量子最小エントロピを含む。これは、バックエンドのランダム抽出器ステージのためのパラメータを設定し、それらは、定常状態の平均光出力パワーおよびそれの分散をモニタリングすることによって決定される。別の例においては、毎秒１２ＧＳａｍｐｌｅで、サンプル当たり４ビットのデジタル化を行うと、このエントロピ推定は、サンプル当たり３．７８ビットの量子最小エントロピを、したがって、本文書のどこかで述べられた４４Ｇｂｐｓ ＦＱＥランダムビットレートをもたらした。

デジタイザ出力ワードは、相関およびバイアスのせいで、エントロピ抽出器へのランダムビットの源泉として、直接的に使用することはできない。第１の調整ステージ１３０２は、マルコフ過程としてモデル化することができる、デジタイザ出力を取得し、源泉の推移確率についての事前知識を必要とせずに、源泉の最大シャノンエントロピを有する、独立したバイアスのないビットのストリーミング出力１３０３を生成する。したがって、本開示は、ＦＰＧＡにおいて実行することができるこの抽出のためのストリーミングアルゴリズムの実施を可能にする。この抽出のために実施することができるストリーミングアルゴリズムの例は、（その全体が参照によって本明細書に組み込まれる）非特許文献１０において見出することができる。これらのアルゴリズムは、互いに独立で同一の分布に従うビットのストリームからバイアスを取り除くためのフォンノイマンのストリーミングアルゴリズムの、マルコフ過程への一般化を表す。このプロセスにおける第１のステージは、デジタイザの（相関のある）出力系列を、独立した８ビットシンボルの２⁸の系列にマッピングすることである。これらの新しい系列の各々は、バイアスのある２⁸面サイコロを繰り返し転がした結果と考えられることができ、２値化ツリーアルゴリズムを通して、ランダムビットの複数の系列に変換することができる。次に、フォンノイマンのアルゴリズムの２分木一般化を使用して、これらの系列の各々は、バイアスのない独立したランダムビットの系列に変換することができる。最後に、これらのすべてが、（連結によって）再合成されて、独立したバイアスのないビットの１つの全体的な出力系列を生成し、それは、出力ビット当たり１ビットの源泉のシャノンエントロピを有する。これは、設計の重要なフェールセーフセキュリティ特徴であり、第１の調整ステージは、デジタル化された源泉のシャノンエントロピよりも多い出力ビットを生成することはできない。基本オンライン統計的ランダム性テスト（モノビットテスト、ポーカテスト、実行テストなど）は、このポイントにおけるシステムの正しい機能を検証するために実行することができる。

これらのアルゴリズムのＦＰＧＡ実施は、より速い処理レートを可能にする。（上で参照されたＺｈａｏおよびＢｒｕｃｋの研究において説明されているように）最後のフォンノイマンステージのために、これを行うために、２分決定木全体が、ＦＰＧＡ内に構築されることができる。木の中の各ノードは、それが「１」であるべきか、それとも「０」であるべきかについての決定に応じて、決定木の異なる状態を表す。ソフトウェアで行われるように、各ノードを順番に実行する代わりに、ハードウェア設計は、すべてのノードを並列で実行する。しかしながら、木のレベル当たりアクティブなノードはただ１つしか存在せず、そのため、最大並列は、ｌｏｇ₂（ノードの数）であり、状態の最大数が木自体の中で必要とされるときに限る。必要とされる木の深さは、データの非ランダムな出現に依存し、あらかじめ決定されることはできない。この手法は、直列化手法を用いる場合に必要とされるよりも多くのリソースを使用するが、エンジンがクロックサイクル毎にデータの新しいビットを受け入れることを可能にする。実行を直列化することは、データが受け入れられることができるレートを引き下げ、より低い最終ビットレートをもたらす。類似の木は、より早期のマルコフおよびｎ面サイコロステージのために使用される。

次に、第２の調整ステージ１３０４は、第１の調整ステージ１３０２の出力２進系列から、量子最小エントロピを抽出する。「残余ハッシュ補題」（例えば、非特許文献１１において説明されており、非特許文献１１の全体が本明細書に組み込まれる）は、より長い２進系列を圧縮して、ビット当たり１ビットの（量子）最小エントロピ（最大量子エントロピ）を有するより短いものにするために、この抽出が、ユニバーサルハッシュ関数を使用して実行されることができることを示している。そのようなユニバーサルハッシュ関数の例は、例えば、（その全体が参照によって本明細書に組み込まれる）非特許文献１２において開示されている。圧縮パラメータ（例えば、ハッシュ族の選択）は、フロントエンドのデジタル化された出力の測定されたパラメータ（例えば、平均光パワーおよびそれの分散）によって決定される。第２の調整ステージ１３０４は、ＦＰＧＡまたはＡＳＩＣ内において、適切なストリーム毎のハッシュ関数を効率的に実装することができ、例えば、暗号ＣＲＣハッシュの実装が、特に適している（例えば、非特許文献１３において説明されており、非特許文献１３の全体が、本明細書に組み込まれる）。ランダム性抽出は、ＳＨＡファミリまたはＡＥＳなどの暗号アルゴリズムを使用して、実行されることもできる（例えば、非特許文献１４において説明されており、非特許文献１４の全体が、本明細書に組み込まれる）。これは、これらのアルゴリズムが、ＮＩＳＴ推奨の暗号後処理ステージなどのために、ファームウェア内ですでに利用可能である場合に、便利であることができる。

例えば、第２の調整器１３０４において、分布のエントロピの推定が、生成されるビット当たりの量子最小エントロピの量を決定するために、行われることができる。エントロピが、生成されるビット当たり１ビットよりも小さい場合、各最終ハッシュビットにおいて１ビットの量子エントロピが存在するように、乱数ストリングが、ハッシュ関数を使用して、圧縮されることができる。例えば、１から０、または０から１への推移の確率は、好ましくは、０．５である。代わりに、ｐ_max＝０．５８である場合、最小エントロピは、生成されるビット当たりＨ_∞＝−ｌｏｇ₂（ｐ_max）＝−ｌｏｇ₂（０．５８）＝０．７８６ビットの最小エントロピである。その場合、０．７８６である最終ビットの入力ビットに対する圧縮比が、ビット当たり１ビットのエントロピを有する乱数ストリングを提供する。圧縮は、例えば、２５６／０．７８６ビットをＳＨＡ２５６関数に入力することによって、達成されることができる。結果として得られる２５６ビットは、ビット当たり１ビットのエントロピを有する。この乱数ジェネレータのよく設計された具体化は、ビット当たり１ビットのエントロピを生成することができる。

その後、第２の調整ステージ１３０４の最大量子エントロピ出力は、ＮＩＳＴ承認の暗号的に決定論的なランダムビットジェネレータ（ＤＲＢＧ）１３０６に入力され、それの出力は、暗号ランダムビットとして使用されることができる。適切なＤＲＢＧは、ＦＰＧＡまたはＡＳＩＣ内において容易に実施することができる。

ランダムビットストリームを発生させる代表的な方法１５００が、図１５に示されている。１５０２において、光源が選択され、一般に、それは適切な短い遅延について低い相関を有する出力束を生成する光源である。１５０４において、光源からの光束が、一般にフォトダイオードなどの２乗検出器を使用して、光強度信号を生成するために使用される。１５０６において、信号遅延が選択され、光強度信号に基づいた遅延させられた信号と遅延させられていない信号が合成される。１５１０において、ランダムビットストリームが出力として提供される。合成された信号は、光信号と（遅延ラインとして光ファイバを使用して生成されるような）光学的に遅延させられた光信号、または光検出器信号と光信号の電気的に遅延させられたコピーに基づくことができる。ランダムビットストリームに対して、様々な種類の後処理が、不完全性（例えば、バイアスおよび／または相関）を減らすためにならびにそれのエントロピを抽出するために行うことができる。

例示的な使用事例
本明細書において説明されたＲＮＧは、様々な方法で、様々な応用例のために、使用されることができる。それらの例を挙げる。

使用事例１：暗号ランダムビットジェネレータ：ハードウェアセキュリティモジュール（ＨＳＭ）およびエンドデバイス用の組み込みコンポーネント
乱数は、暗号法のすべてがその上で構築される基礎である。特にエンドユーザデバイス内において、十分なエントロピを獲得することの難しさが、共通のセキュリティ脆弱性であり、重要インフラストラクチャサイバセキュリティなどの新しい応用領域における、難しい問題として識別されてきた。本明細書において説明されるＱＲＮＧは、これらの必要性を満たすことができる。それらは、きわめて高いエントロピを有する出力ストリームを、高速で生成することができ、いくつかの実施形態は、安価に構成され、非常に少ない電力しか使用せず、コンパクトなフットプリントを有することもある。それは、現在使用されている決定論的なランダムビットジェネレータを置換するために、セキュリティアップグレードとして、ＨＳＭ内に組み込むこともできる。

使用事例２：データセンタセキュリティ：前方秘匿性を有するＳＳＬ／ＴＬＳ
電子メールおよび他のネットワークトラフィックの監視についての最近の新事実は、「完全前方秘匿性」オプション、すなわち、一時的なディフィ−ヘルマン（ＤＨＥ）セッションキー確立を使用して、ＳＳＬ／ＴＬＳを実装するように、いくつかのプロバイダ（例えば、ＧｏｏｇｌｅおよびＣｌｏｕｄＦｌａｒｅ）を導いた。この実施は、あまり安全ではない、より古いＲＳＡベースのセッションキー確立方法よりも著しく大きいエントロピを必要とする。完全前方秘匿性実施へと向かうこの傾向は、プライバシに関する懸念についての意識の高まりとともに強まる可能性が高い。さらに、ＤＨＥを使用することから追加される多層防御は、電子フロンティア財団によって指摘されたような、ＯｐｅｎＳＳＬにおけるハートブリード脆弱性のセキュリティインパクトを軽減した。ＣｌｏｕｄＦｌａｒｅは、特にクラウド環境における、ＤＨＥの広い実施のための問題として、大きく高まるランダム性に対する必要性を指摘した。これは、最初に、セッションキー確立のためのＲＳＡベースの方法におけるステップを検査することによって、理解されることができる。サーバのＲＳＡ公開キーは、２つの機能、すなわち、クライアントがサーバを認証することを可能にする機能と、クライアントが「プリマスタ」シークレットを暗号化し、それをサーバに送信する機能とを有する。（プリマスタシークレットは、最終的に、セッションキーになる）。サーバの公開キーは、１年以上の間、有効であり続けることができ、それを変更することは、コストと手間がかかるので、それの危殆化は、それの下で確立された、どのセッションキーもやはり危うくする。完全前方秘匿性を用いると、サーバのＲＳＡ公開キーは、クライアントがサーバを認証するためにだけ使用され、プリマスタシークレットを、したがって、セッションキーを確立するためには、各セッションにおいて、新しいＤＨＥ手順が、使用される。サーバおよびクライアントの両方は、ＤＨＥを実装するために、ランダムビット源を必要とする。これは、クラウド環境においては、毎秒数千ないし数万の固有のＴＬＳセッションの開始をサポートしなければならないことがあるサーバに、特にストレスを掛けることができる。各セッションの固有のノンス値、セッションＩＤ番号、および初期化ベクトルのためにも必要とされる乱数を用いると、サーバは、数Ｇｂｐｓのレートで容易に乱数を必要とすることができ、目下開示されているＲＮＧは、これらのレートを容易に維持することができる。クライアント自体が、データセンタである場合、またはサーバのデータセンタの異なる部分である場合、クライアントも、これらの高レートで、ランダム性の源泉を必要とすることがある。将来的には、さらなるセキュリティのために、セッションキーをセッション中に頻繁な間隔で変更することが、望ましくなることがあり、単一のキーの危殆化は、セッションのトラフィックの小さい間隔だけを危険にさらすとしても、全セッションを危険にさらすことはない。このより高いレベルのセッションセキュリティを達成するために必要な条件は、対応するより大きいランダムビットレートであり、目下開示されているＲＮＧは、この概念をサポートすることができる。ＳＳＬ／ＴＬＳだけが、高いレートのランダム性から利益を得ることができる広く使用されているプロトコルではなく、ＳＳＨ、ＩＰｓｅｃ、およびＳＩＰは、すべて、完全前方秘匿性を用いて実施される選択肢を有する。

使用事例３：安全なクラウドデータストレージ
Ｄｒｏｐｂｏｘ、ｉＣｌｏｕｄなどのクラウドストレージサービスは、非常に便利であるが、クラウド内の個人情報または専有情報のセキュリティおよびプライバシについての懸念が、存在する。ＵＳＢスティック（またはＰＣ、タブレット、もしくはスマートフォンに対する他の便利なインターフェース）上の目下開示されているＲＮＧに基づいたユーザデバイスは、新しく発生させたキーを使用して、データを暗号化および認証してから、それをクラウドにアップロードすることによって、これらの懸念を軽減することができる。キーは、ユーザデバイスの安全なメモリ内に記憶され、将来、ユーザによって、おそらくは異なるコンピューティングプラットフォームにダウンロードした後、データが回復および検証されることを可能にする。

使用事例４：堅牢で安全なデータストレージのための閾値秘密分割
いくつかの機密に関する応用例について、使用事例３のシナリオに伴う懸念は、記憶されたデータの不慮の破損もしくは悪意ある破損、またはユーザのキーの紛失もしくは盗難に対する堅牢性の欠如である。記憶された暗号化されたデータが、破損された場合、またはユーザが、自分のキーを紛失した場合、ユーザは、元のデータを回復することができない。ユーザのキーの盗難またはコピーは、潜在的に、暗号化されたデータを敵にさらす。これらの懸念を有するシナリオの例は、災害復旧のためのデータの安全なバックアップ、および暗号マスタキーの記憶（キー管理）を含む。目下開示されているＲＮＧに基づいたデバイスは、単純な閾値秘密分割方式を通して、これらの懸念を軽減することができ、それを、以下の３つから２つの例を用いて、ここに示す。（より多くのシェアへの一般化は、簡単である）。Ｍは、３つの異なるストレージロケーションＡ、Ｂ、Ｃにおいて、安全に記憶され、異なる暗号キーの下で暗号化されたデータを表す２進ストリングである。暗号キーシェアＫ_A（ロケーションＡ用）、Ｋ_B（ロケーションＢ用）、およびＫ_C（ロケーションＣ用）は、秘密分割特性

を満足する。

したがって、（提示の単純化のために）ワンタイムパッド暗号を使用して、ストレージロケーションＡは、

を受け取り、ロケーションＢおよびＣについても、同様である。キーシェアは、ＲＮＧ出力を解析して、３つの等しい長さの「プリシェア」Ｐ、Ｑ、Ｒにし、

を形成することによって構成される。

プリシェア（Ｐ、Ｑ、Ｒ）の各々は、別々の安全なロケーション（ｐ、ｑ、ｒ）に記憶される。したがって、プリシェアの任意のペア（例えば、ｐおよびｑ）へのアクセスを用いて、元のデータＭは、対応する暗号化された記憶されたデータから（このケースにおいては、ストレージロケーションＢから）回復されることができる。しかしながら、プリシェアのいずれか１つの危殆化は、記憶された暗号化されたデータの機密性を危うくすることはできない。同様に、記憶された暗号化されたデータセットのいずれか１つの破損は、他の２つのストレージロケーションの冗長性を通して保護される。

使用事例５：量子キー配送（ＱＫＤ）
最も広く使用されている（「ＢＢ８４」）ＱＫＤプロトコルにおける送信機ノードは、
乱数に対する貪欲な要求を有する。セキュリティのために、これらの乱数は、最大エントロピを有することが必須である。（例えば、疑似乱数ジェネレータ（「ＰＲＮＧ」）の使用は、ＰＲＮＧと同じセキュリティを有するキーという結果となる。ＰＲＮＧは、非常に容易に診断されることができる）。典型的なリンク効率を用いると、１Ｍｂｐｓの秘密キーレートを維持するために、１ＧＨｚのＱＫＤクロックレートが、必要とされる。その場合、放出された各量子信号は、１データビットと、１基底ビットと、４と８との間の「おとり状態」ビットとを必要とする。ＱＫＤ送信機は、したがって、１０Ｇｂｐｓ以上のレートで、最大エントロピ乱数を必要とすることができる。これは、現在市販されているＲＮＧを用いたのでは非常に難しいが、目下開示されているＲＮＧによって容易に維持することができる。

使用事例６：ワンタイム署名
ワンタイム署名（ＯＴＳ）は、いくつかの理由で、ＲＳＡデジタル署名に対する実用的な代替案と見なされている。第１に、ＯＴＳは、高速な暗号ハッシュ関数（例えば、ＳＨＡファミリ）を使用し、そのため、ＲＳＡ署名よりもはるかに低い計算オーバヘッドを有する。電気格子制御など、短い待ち時間が必須である応用例については、これは、実用上の必須事項となることがある。第２に、ショアのアルゴリズムを実行する可能な未来の量子コンピュータに対する、今日のＲＳＡおよび楕円曲線公開キー暗号の脆弱性についての意識の高まりが、ショアに耐性のある新しい暗号システムの探求を鼓舞している。ＯＴＳ方式は、そのようなフレームワーク内におけるデジタル署名の強力な候補と考えられる。しかしながら、多くのメッセージに署名するのに単一の秘密署名キーが使用されることができる、ＲＳＡ署名とは対照的に、ＯＴＳ方式は、メッセージ毎に新しい署名キーを必要とする。特に、ストリーミングデータ状況においては、ＯＴＳ方式は、署名キーを発生させるために、ランダム性に対する高い要求を有することができる。十分な量の署名キーの事前配送は、明らかなロジスティクスおよびセキュリティ上の懸念を有する。対照的に、これらの困難は、目下開示されているＲＮＧを使用することによって、回避されることができ、それは、ストリーミングデータ状況についてさえも、必要とされるキーレートを容易に満たすことができる。

使用事例７：モンテカルロシミュレーション
モンテカルロシミュレーションのために、疑似乱数ジェネレータが、しばしば使用される。しかしながら、ＰＲＮＧビット系列のアルゴリズム構造のせいで、ＰＲＮＧ構造のアーチファクトである悪名高い結果が、存在していた。目下開示されているＲＮＧは、モンテカルロ法を使用する大規模シミュレーションのために、高レートで、必要とされる乱数を供給することができる。真のランダム性は、疑似乱数ジェネレータを使用することのこれらの懸念を回避する。

使用事例８：ゲーム
乱数は、ゲームおよび宝くじのために必要とされる。これらの応用例に対して、目下開示されているＲＮＧは、公平性および耐改ざん性の「量子保証」を有する、「高品質の」ランダム性を供給することができる。

使用事例９：証明書ベースのＰＫＩおよびモノのインターネットのための登録
いくつかのケースにおいては、ＱＲＮＧは、人々またはフォンなどのものを登録する際に使用するための公開キーインフラストラクチャ（ＰＫＩ）における登録プロセスを容易にし、および／またはスピードアップするために、使用されることができる。公開キーインフラストラクチャ登録プロセスにおいては、一意的な公開／私有キーペアが、各人またはデバイスに対して発生させられなければならず、プロセス内には乱数が必要とされるいくつかの場所が、存在する。このプロセスは、公開キーインフラストラクチャ−量子ハードウェアセキュリティモジュール（ＰＫＩ−ＱＨＳＭ）などの（潜在的にポータブルな）登録デバイス内に組み込まれたＱＲＮＧを使用して、より高速、より安全、および／またはより便利にされることができる。

ＲＳＡ素数を発生させるために、ミラー−ラビンなどの乱択アルゴリズムが、一般に使用される。これらのアルゴリズムは、最初に、候補となる大きいランダム整数を発生させ（これは、ＱＲＮＧを用いて行われることができる）、次に、候補となるランダム整数を、（やはりＱＲＮＧを用いて発生させることができる）別のランダムテスト数に対して、素数判定にかける。このプロセスは、その後、毎回、異なるランダムテスト数を用いて、ｋ回繰り返される。ｋ回のテストのいずれかが、失敗した場合、候補は、廃棄され、新しいものが、発生させられる。ｋ回のテストすべてが、合格である場合、候補数は、素数であるが、ただし、２^-kよりも小さい確率でそうではない。（未検出の非素数性の）この確率は、ｋを十分に大きくすることによって、任意に小さくさせることができる。開示されるＱＲＮＧは、発生させられた数が真にランダムであることの保証も提供しながら、大きい乱数を速いレートで発生させることによって、このプロセスを容易にすることができる。

本発明の好ましい実施形態が、上で説明され、添付の図で示されたが、本発明は、開示された実施形態に限定されず、以下の特許請求の範囲によって説明され、確定される、本発明の主旨から逸脱することなく、数々の再配置、変更、および置き換えが可能であることが理解されるべきである。

Claims (32)

1. 光子を１つ又はそれ以上の光場モード内に放出することによって、光束を生成するように動作可能な熱光源であって、前記１つ又はそれ以上の光場モードは、ボーズ−アインシュタイン確率分布に従って光子を取込まれる、熱光源と、
   前記光源から前記光束の一部を受け取り、前記受け取られた光束に基づいて、第１の検出器信号を提供するように動作可能な第１の検出器と、
   サンプリングビン時間によって定義されたレートで少なくとも前記第１の検出器信号をサンプリングすることに基づいて、独立したバイアスのないビットのストリームを発生させるように動作可能な出力システムと
   を備え、前記第１の検出器によって検出された前記熱光源からのサンプリングビン時間当たりの光子の平均数は、前記熱光源によって生成された光場モードの数よりも大きいことを特徴とする乱数ジェネレータ。
2. （ｉ）前記光源からの前記光束の一部、および（ｉｉ）前記第１の検出器信号のうちの少なくとも１つを含む入力信号を受信するように構成された遅延ユニットをさらに備え、前記遅延ユニットは、前記入力信号に基づいて遅延させられた信号を出力するように動作可能であり、前記出力システムは、前記第１の検出器信号および前記遅延させられた信号に基づいて、出力信号を生成するように動作可能な比較器を備えたことを特徴とする請求項１に記載の乱数ジェネレータ。
3. 前記遅延ユニットは、光学的な遅延を含み、前記遅延ユニットは、前記光源から前記光束の一部を受け取り、前記受け取られた光束に対応する遅延させられた光束を出力するように動作可能であることを特徴とする請求項２に記載の乱数ジェネレータ。
4. 前記遅延させられた光束を受け取り、前記遅延させられた光束に基づいて、第２の検出器信号を提供するように構成された第２の検出器をさらに備えたことを特徴とする請求項３に記載の乱数ジェネレータ。
5. 前記第１の検出器および前記第２の検出器は、平衡検出器ペアとして構成されたことを特徴とする請求項４に記載の乱数ジェネレータ。
6. 前記遅延ユニットは、前記第１の検出器信号を受け取り、前記第１の検出器信号に対応する遅延させられた電気信号を出力するように動作可能な電気的な遅延ユニットであることを特徴とする請求項２に記載の乱数ジェネレータ。
7. 前記遅延ユニットは、デジタル遅延ユニットであることを特徴とする請求項６に記載の乱数ジェネレータ。
8. 前記遅延ユニットは、前記第１の検出器信号と前記遅延させられた信号との間の相互相関の推定に基づいて、前記第１の検出器信号を遅延させるように構成可能であることを特徴とする請求項２に記載の乱数ジェネレータ。
9. 前記熱光源は、半導体光増幅器を含むことを特徴とする請求項１に記載の乱数ジェネレータ。
10. 前記熱光源は、発光ダイオードを含むことを特徴とする請求項１に記載の乱数ジェネレータ。
11. 前記熱光源によって放出される前記光子は、単一の横空間モードに制限されることを特徴とする請求項１に記載の乱数ジェネレータ。
12. 前記熱光源は、光信号内に含まれる横空間モードの数を制限するための空間モードフィルタを含むことを特徴とする請求項１に記載の乱数ジェネレータ。
13. 前記空間モードフィルタは、光ファイバを含むことを特徴とする請求項１２に記載の乱数ジェネレータ。
14. 前記第１の検出器は、フォトダイオードであることを特徴とする請求項１に記載の乱数ジェネレータ。
15. 前記出力システムは、前記第１の検出器信号内のバイアスおよび相関のうちの少なくとも一方を除去するための少なくとも１つの調整アルゴリズムを実装するように動作可能なデジタル調整ユニットを備えたことを特徴とする請求項１に記載の乱数ジェネレータ。
16. 前記出力システムは、前記第１の検出器信号内のエントロピを抽出するための少なくとも１つのランダム性抽出アルゴリズムを実装するように動作可能なデジタル調整ユニットを備えたことを特徴とする請求項１に記載の乱数ジェネレータ。
17. 熱光源と、第１の検出器と、出力システムとを使用して、乱数を発生させる方法であって、前記方法は、
    前記熱光源によって、光子を１つ又はそれ以上の光場モード内に放出することによって、光束を提供するステップであって、前記１つ又はそれ以上の光場モードは、ボーズ−アインシュタイン確率分布に従って光子が取込まれる、該ステップと、
    前記第１の検出器において、前記光源から前記光束の一部を受け取るステップと、
    前記第１の検出器によって、前記受け取られた光束に基づいて、第１の検出器信号を提供するステップと、
    前記出力システムによって、サンプリングビン時間によって定義されたレートで少なくとも前記第１の検出器信号をサンプリングすることに基づいて、独立したバイアスのないビットのストリームを提供するステップと
    を含み、前記第１の検出器によって検出された前記熱光源からのサンプリングビン時間当たりの光子の平均数は、前記熱光源によって生成された光場モードの数よりも大きいことを特徴とする方法。
18. 遅延ユニットによって、（ｉ）前記光源からの前記光束の一部、および（ｉｉ）前記第１の検出器信号のうちの少なくとも１つを含む入力信号に基づいて遅延させられた信号を提供するステップと、
    比較器によって、前記第１の検出器信号および前記遅延させられた信号に基づいて、出力信号を提供するステップと
    をさらに含むことを特徴とする請求項１７に記載の方法。
19. 前記遅延ユニットは、光学的な遅延を含み、前記遅延させられた信号を提供するステップは、
    前記遅延ユニットにおいて、前記光源から前記光束の一部を受け取るステップと、
    前記受け取られた光束に対応する遅延させられた光束を提供するステップと
    を含むことを特徴とする請求項１８に記載の方法。
20. 第２の検出器において、前記遅延させられた光束を受け取るステップと、
    前記第２の検出器によって、前記遅延させられた光束に基づいて、第２の検出器信号を提供するステップと
    をさらに含むことを特徴とする請求項１９に記載の方法。
21. 前記第１の検出器および前記第２の検出器は、平衡検出器ペアとして構成されたことを特徴とする請求項２０に記載の方法。
22. 前記遅延ユニットは、電気的な遅延ユニットであり、前記遅延させられた信号を提供するステップは、
    前記遅延ユニットにおいて、前記第１の検出器信号を受け取るステップと、
    前記第１の検出器信号に対応する遅延させられた電気信号を提供するステップと
    を含むことを特徴とする請求項１８に記載の方法。
23. 前記遅延ユニットは、デジタル遅延ユニットであることを特徴とする請求項２２に記載の方法。
24. 前記遅延ユニットは、前記第１の検出器信号と前記遅延させられた信号との間の相互相関の推定に基づいて、前記第１の検出器信号を遅延させるように構成可能であることを特徴とする請求項２２に記載の方法。
25. 前記熱光源は、半導体光増幅器を含むことを特徴とする請求項１７に記載の方法。
26. 前記熱光源は、発光ダイオードを含むことを特徴とする請求項１７に記載の方法。
27. 前記熱光源によって放出される前記光子は、単一の横空間モードに制限されることを特徴とする請求項１７に記載の方法。
28. 前記熱光源は、光信号内に含まれる横空間モードの数を制限するための空間モードフィルタを含むことを特徴とする請求項１７に記載の方法。
29. 前記空間モードフィルタは、光ファイバを含むことを特徴とする請求項２８に記載の方法。
30. 前記第１の検出器は、フォトダイオードであることを特徴とする請求項１７に記載の方法。
31. デジタル調整ユニットによって、前記第１の検出器信号内のバイアスおよび相関のうちの少なくとも一方を除去するための少なくとも１つの調整アルゴリズムを実行するステップをさらに含むことを特徴とする請求項１７に記載の方法。
32. デジタル調整ユニットによって、前記第１の検出器信号内のエントロピを抽出するための少なくとも１つのランダム性抽出アルゴリズムを実行するステップをさらに含むことを特徴とする請求項１７に記載の方法。