(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2023-12-21
(54)【発明の名称】乱数生成
(51)【国際特許分類】
G06F 7/58 20060101AFI20231214BHJP
【ＦＩ】
G06F7/58 680
【審査請求】未請求
【予備審査請求】未請求
(21)【出願番号】P 2023532199
(86)(22)【出願日】2021-11-26
(85)【翻訳文提出日】2023-05-25
(86)【国際出願番号】 GB2021053088
(87)【国際公開番号】W WO2022112788
(87)【国際公開日】2022-06-02
(31)【優先権主張番号】2018650.8
(32)【優先日】2020-11-26
(33)【優先権主張国・地域又は機関】GB
(31)【優先権主張番号】2020614.0
(32)【優先日】2020-12-24
(33)【優先権主張国・地域又は機関】GB
(81)【指定国・地域】
(71)【出願人】
【識別番号】522023897
【氏名又は名称】ピーキューシールド・リミテッド
(74)【代理人】
【識別番号】100108453
【弁理士】
【氏名又は名称】村山 靖彦
(74)【代理人】
【識別番号】100110364
【弁理士】
【氏名又は名称】実広 信哉
(74)【代理人】
【識別番号】100133400
【弁理士】
【氏名又は名称】阿部 達彦
(72)【発明者】
【氏名】マルック－ユハニ・オラヴィ・サーリネン
(57)【要約】
乱数生成に使用するためのエントロピーソース（９００）について説明されている。エントロピーソースは、第１のビットのシーケンス（９１１）を出力するノイズ源（９０５）と、ノイズ源（９０５）から第１のビットのシーケンス（９１１）を受信し、第２の相関除去ビットのシーケンス（９１２）を出力するノイズ調整器（９１０）とを含む。ノイズ調整器９１０は、直列に通信可能に結合された複数のノイズ調整ステージ９１３、９１４を含む。各ノイズ調整ステージ（９１３、９１４）は、前の入力ビット値のセットを格納するｋビットのシフトレジスタ構成（８０８）を備え、フォンノイマン式バイアス除去を実行するためのフォンノイマンセル（８１８）のセットを格納し、各フォンノイマンセルは、状態を有し、また入力ビット値を受信し、シフトレジスタ構成のビット値に基づいて出力ビット値を条件付きで生成するためにフォンノイマンセル（８１８）のセットの１つを選択するセレクタ（８１０）を備え、選択されたフォンノイマンセル状態は選択後に更新される。エントロピーソース（９００）はまた、ノイズ調整器（９１０）から第２の相関除去ビットのシーケンスを受信して格納するためのバッファ（９１５）であって、多数のビットを出力ランダムビットシーケンスとして配信するためにポーリングされるように構成される、バッファ（９１５）を備える。
【特許請求の範囲】
【請求項1】
乱数生成に使用するためのエントロピーソース（９００）であって、第１のビットのシーケンス（９１１）を出力するノイズ源（９０５）と、
前記ノイズ源（９０５）から前記第１のビットのシーケンス（９１１）を受信し、第２の相関除去ビットのシーケンス（９１２）を出力するノイズ調整器（９１０）であって、
直列に通信可能に結合された複数のノイズ調整ステージ（９１３、９１４）を備え、
各ノイズ調整ステージ（９１３、９１４）は、
前の入力ビット値のセットを格納するｋビットシフトレジスタ構成（８０８）、
フォンノイマン式バイアス除去を実行するフォンノイマンセルのセット（８１８）であって、各フォンノイマンセルが状態を有する、前記フォンノイマンセルのセット、及び
入力ビット値を受信し、前記シフトレジスタ構成の前記ビット値に基づいて条件付きで出力ビット値を生成するために前記フォンノイマンセルのセット（８１８）の１つを選択するセレクタ（８１０）であって、前記選択されたフォンノイマンセルの前記状態は選択後に更新される、前記セレクタ、を備える、前記ノイズ調整器（９１０）と、
前記ノイズ調整器（９１０）から前記第２の相関除去ビットのシーケンスを受信して格納するためのバッファ（９１５）であって、多数のビットを出力ランダムビットシーケンスとして配信するためにポーリングされるように構成される、前記バッファ（９１５）とを備える、エントロピーソース（９００）。
【請求項2】
前記ノイズ源（９０５）はリング発振器（９０５）を含む、請求項１に記載のエントロピーソース（９００）。
【請求項3】
前記リング発振器（９０５）は、フリーランニング式ループで通信可能に結合された複数のインバータ（２０５）を含み、前記複数のインバータは奇数を含む、請求項２に記載のエントロピーソース（９００）。
【請求項4】
システムクロック信号に基づいて前記フリーランニング式ループからサンプリングされたビットを出力するためのラッチ（２３５）を備える、請求項３に記載のエントロピーソース（９００）。
【請求項5】
前記第１のビットのシーケンス（９１１）をもたらす生のノイズインターフェイスを備える、請求項１から４のいずれか一項に記載のエントロピーソース（９００）。
【請求項6】
各ノイズ調整ステージ（９１３、９１４）がイネーブル入力（８０６）を備え、前記イネーブル入力（８０６）がアクティブであるときに、入力ビットのシーケンスが前記シフトレジスタ及び前記セレクタに供給される、請求項１から５のいずれか一項に記載のエントロピーソース（９００）。
【請求項7】
前記複数のノイズ調整ステージ（９１３、９１４）における第１のノイズ調整ステージ（９１３）のイネーブル入力（８０６）は、前記第１のノイズ調整ステージ（９１３）によって出力され、前記複数のノイズ調整ステージ（９１３、９１４）における第２のノイズ調整ステージ（９１４）にイネーブル入力（８０６）として渡される、請求項６に記載のエントロピーソース（９００）。
【請求項8】
前記複数のノイズ調整ステージ（９１３、９１４）のそれぞれがクロック入力を備え、前記複数のノイズ調整ステージ（９１３、９１４）のそれぞれが、前記クロック入力及び前記イネーブル入力がアクティブであるときに起動される、請求項７に記載のエントロピーソース（９００）。
【請求項9】
各フォンノイマン（８１８）セルは、５つの可能な状態を有し、選択されると、入力ビット値と前記フォンノイマンセルの前記現在の状態とに基づいて前記状態間を遷移するように構成される、請求項１から８のいずれか一項に記載のエントロピーソース（９００）。
【請求項10】
前記フォンノイマンセル（８１８）について、状態λでは、前記状態は前記入力ビット値に設定され、
状態０では、前記入力ビット値が１の場合、前記状態は第１の値を表す「Ｈ」状態に設定され、それ以外の場合、前記状態は前記状態λに設定され、
状態１では、前記入力ビット値が０の場合、前記状態は第２の値を表す「Ｔ」状態に設定され、それ以外の場合、前記状態は前記状態λに設定され、
前記「Ｈ」状態では、出力は０に設定され、前記状態は前記入力ビット値に設定され、
前記「Ｔ」状態では、出力は１に設定され、前記状態は前記入力ビット値に設定される、請求項９に記載のエントロピーソース（９００）。
【請求項11】
ｋが３に等しい、請求項１から１０のいずれか一項に記載のエントロピーソース（９００）。
【請求項12】
前記エントロピーソース（９００）は、ソフトウェアドライバからポーリングされるハードウェア回路を備える、請求項１から１１のいずれか一項に記載のエントロピーソース（９００）。
【請求項13】
前記ソフトウェアドライバは、暗号化調整器（１２６）からソフトウェアアプリケーション（１６０）へ導出されたデータを供給する前に、前記エントロピーソース（９００）によって供給された前記出力ランダムビットシーケンスに暗号操作を適用する前記暗号化調整器（１２６）を含む、請求項１２に記載のエントロピーソース（９００）。
【請求項14】
前記エントロピーソース（９００）の動作状態を示すレジスタ（９４０）を含む、請求項１から１３のいずれか一項に記載のエントロピーソース（９００）。
【請求項15】
前記動作状態は、以下の状態、前記バッファ（９１５）が前記出力ランダムビットシーケンスを供給することができることを示す第１の状態、
前記バッファ（９１５）がまだ満杯ではないことを示す第２の状態、
テスト状態を示す第３の状態、及び
障害を示す第４の状態のうちの少なくとも１つを表す、請求項１４に記載のエントロピーソース（９００）。
【請求項16】
１つまたは複数のオンラインテスト（９２０、９３０）を含む、請求項１４または請求項１５に記載のエントロピーソース（９００）。
【請求項17】
前記１つまたは複数のオンラインテスト（９２０、９３０）が、前記ノイズ源（９０５）によって出力された反復ビットの数をカウントし、定義された閾値を超える前記数に応答してアラームを出力する反復回数テスト（９２２）と、
前記ノイズ源（９０５）によって出力されたビット値の所定のウィンドウ内部で多数の０ビットと１ビットを比較する適応比例テスト（９２４）のうちの１つ以上を含む、請求項１６に記載のエントロピーソース（９００）。
【請求項18】
前記エントロピーソースが、前記第１のビットのシーケンスと比較してバイアスを低減し、及び／または前記出力ランダムビットレートシーケンスの前記エントロピーを増加するよう構成され、前記エントロピーソース（９００）は、前記第１のビットのシーケンスの前記エントロピーに従って変化する出力ビットレートで前記出力ランダムビットシーケンスを出力するように構成され、前記第１のビットのシーケンスの前記エントロピーの増加が出力ビットレートの増加と関連付けられ、また前記第１のビットのシーケンスのエントロピーの減少は、前記出力ビットレートの減少と関連付けられ、それによって、前記第１のビットのシーケンスと比較して前記出力ランダムビットシーケンスのバイアスを減らし、及び／または前記エントロピーを増加させ、前記出力ビットレートは、別様にはバイアスの増加及び／またはエントロピーの減少につながる入力ビットを破棄することで減少する、請求項１から１７のいずれか一項に記載のエントロピーソース（９００）。
【請求項19】
前記ｋビットシフトレジスタ構成は、システムクロックの各クロックサイクルで動作し、前記入力ビットストリームの次の入力ビットを前記シフトレジスタ構成にロードし、前記フォンノイマンセルのセットは、前記それぞれの宛先ロジックセルにクロックインされた前記入力ビットストリームの前記次の入力ビットと前の入力ビットに基づいてバイアス除去操作を実行するように講成された２ｋの宛先ロジックセルで構成され、前記それぞれの宛先ロジックセルによって実行される前記バイアス除去操作の前記結果に従って、出力ビットを出力するか、または出力ビットを出力せず、前記セレクタは、前記シフトレジスタ構成にロードされた前記入力ビットストリームのｋ個の前の入力ビットのシーケンスによって決定されるアドレスに基づいて宛先ロジックセルを選択するように動作し、それによって、前記シフトレジスタに導入される次の各入力ビットはまた、前記選択されたロジックセルにクロックインされ、それぞれのバイアス除去操作が実行され、
前記セレクタによって決定されたアドレスのシーケンスは、所定の２ｋ状態のマルコフ連鎖の遷移に対応する順序で宛先ロジックセルのそれぞれのシーケンスを選択する、請求項１から１８のいずれか一項に記載のエントロピーソース（９００）。
【請求項20】
プロセッサによって実行されるとき、請求項１から１９のいずれか一項に記載の前記エントロピーソース（９００）を実装するように構成されたコンピュータプログラムコードを含む、非一時的コンピュータ可読記憶媒体。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は乱数生成に関する。具体的には、ただし排他的ではなく、本発明は、乱数（またはランダムビットシーケンス）の生成に使用するエントロピーソース、及びエントロピーソース及び他の乱数生成パイプラインでエントロピーを増加できるノイズ調整器に関する。
【背景技術】
【0002】
真の乱数生成は、いずれかのコンピュータセキュリティシステムの最も重要な部分の１つである。これは、秘密鍵やその他の機密性の高いセキュリティパラメータが最終的に由来するものだからである。真の乱数、またはむしろランダムビットシーケンスに満たないものはサイバー攻撃の機会が増え、それは真にランダムではないシーケンスを予測できることに基づいている可能性がある。
【0003】
乱数を生成するための多くの方式が知られている。例えば、特定のインテル（登録商標）プロセッサは、オンチップのエントロピーソースからシードされたオンチップのハードウェア乱数生成器から乱数を返すＲＤＲＡＮＤまたはＲＤＳＥＥＤ命令を提供する。
【0004】
本明細書では、エントロピーソースは一般に、ランダムな文字を有するビットストリームを生成するハードウェアビットソースである。外部エントロピーが利用できないか、信頼できない可能性があるため、エントロピーソースは一般的にオンチップで見られる。エントロピーソースは、リング発振器などの電子回路またはシステムからの熱ノイズなどの現象に基づくノイズ源を使用して、ランダムビットを生成し得る。例えば、ＲＤＳＥＥＤ命令のエントロピーソースは、自己タイミング回路で非同期に実行され、シリコン内部の熱ノイズを使用して、ランダムビットストリームを出力する。
【0005】
エントロピーソースは通常、修飾可能なレベルのエントロピーを有する。高いエントロピーは高いランダム性を意味し、一方で低いエントロピーは低いランダム性を意味し、エントロピーソースが異なればエントロピーのレベルも異なる。エントロピーのレベルは、業界で標準的なテスト手順を使用して確立できる。
【0006】
多くの場合、エントロピーソース自体は、アプリケーションで使用される乱数の配信に使用されない。代わりに、エントロピーソースからの出力を使用して、ソフトウェアのアプリケーションで使用する乱数を生成する暗号法の及び／または決定論的疑似乱数生成器などの下流の乱数生成器をシードすることができる。そのような下流の乱数生成器は、それぞれのエントロピーソースによってもたらされるランダムなビットに基づいて、ハードウェアまたはソフトウェアで実現することができる。
【0007】
Ｉｎｔｅｌ（商標）やＡＭＤ（商標）のプロセッサなどの大規模集積回路に関連する既知の特定の乱数生成器は、ＡＥＳなどの既存の命令を使用して暗号化調整器を実装する。それは、例えば、ソースからビットサンプルを取得して、条件付けされた（つまり、暗号化された）エントロピーサンプルを生成する。
【0008】
既知の暗号化調整器は、一部のシナリオでは十分に機能するが、それらは、リソースに制約のある、いわゆる軽量のプロセッサ及び／または組み込みシステムを使用するアプリケーションには適していない可能性がある。それは、ＡＥＳなどの機能をサポートするためのチップの不動産や処理能力を有していないことがある。したがって、軽量のマイクロコントローラ、ＲＩＳＫ－Ｖなどの縮小命令セットアーキテクチャ、及び／またはポスト量子暗号に適合したプロセッサに適した新しい種類のエントロピーソースが必要である。
【0009】
Ｍブラムによる論文”Ｉｎｄｅｐｅｎｄｅｎｔ ｕｎｂｉａｓｅｄ ｃｏｉｎ ｆｌｉｐｓ ｆｒｏｍ ａ ｃｏｒｒｅｌａｔｅｄ ｂｉａｓｅｄ ｓｏｕｒｃｅ － ａ ｆｉｎｉｔｅ ｓｔａｔｅ Ｍａｒｋｏｖ Ｃｈａｉｎ”，Ｃｏｍｂｉｎａｔｏｒｉｃａ ６ （２） （１９８６）， ｐｐ ９７－１０８では、バイアスのあるコインを使用してそれを拡張し、予想される線形の時間で任意のマルコフ連鎖からＨｓとＴｓの独立したバイアスのないシーケンスを生成する、完全にバイアスのないコインをシミュレートするためのフォンノイマンのスキームの使用方法が説明されている。ブラムは、ＡとＢの２つのアルゴリズムを提示し、アルゴリズムＡは「悪い」アルゴリズムであり、アルゴリズムＢは「良い」アルゴリズムであると示している。ブラムの論文は理論的かつ数学的なものであり、低コストの組み込みコンピューティングプラットフォームに適したエントロピーソースの具体的な設計をもたらすものではない。「アルゴリズムＢ」は高レベルの方法として提示されているが、このアルゴリズムの具体的な実装はもたらされていない。
【発明の概要】
【0010】
本発明の態様及び実施形態は、添付の特許請求の範囲に開示されている。
本開示の様々な特徴は、本開示の特徴を一緒に示す添付の図面と併せて、以下の詳細な説明から明らかになるであろう。
本開示の様々な特徴は、本開示の特徴を一緒に示す添付の図面と併せて、以下の詳細な説明から明らかになるであろう。
【図面の簡単な説明】
【0011】
【図1】例による、エントロピーソースと、エントロピーソースからエントロピービットを受信できるソフトウェア環境とを含むアーキテクチャの概略的なブロック図である。
【図2】例によるハードウェアノイズ源のブロック図である。
【図3】１状態のマルコフ連鎖の概略的なブロック図である。
【図4】２状態のマルコフ連鎖の概略的なブロック図である。
【図5】４状態のマルコフ連鎖の概略的なブロック図である。
【図6】マルコフ状態の数に応じて様々なノイズ調整器がどのように機能するかを示すグラフである。
【図7】８状態のマルコフ連鎖の概略的なブロック図である。
【図8】例による、８状態を有するノイズ調整器のハードウェア実装の概略的なブロック図である。
【図9】例による、フォンノイマン式バイアス除去を実行できる疑似コードの例である。
【図10】ａは、例による、フォンノイマンデバイアサのシグマ（σ）に対するイールドのグラフである。 ｂは、６４状態のブラムＢ調整器のシグマ（σ）に対するイールドのグラフである。
【図11】例による実用的なエントロピーソースのアーキテクチャである。
【図12】例によるノイズ調整器によって実行されるステップを示す流れ図である。
【発明を実施するための形態】
【0012】
本明細書で説明する例は、乱数のシーケンスを安全かつ効率的に生成するためのエントロピーソースを提供する。好ましい例では、エントロピーソースはハードウェアで実装され、コンピューティングプラットフォーム上のアプリケーションにランダムビットシーケンスを配信するために、安全なカーネルまたはオペレーティングシステムサービスによってリソースとして使用される。他の例では、エントロピーソースは、「保護された」乱数ソースとして、またはエンクレーブ、シミュレータ、及び仮想マシンの「仮想エントロピーソース」として、ファームウェア及び／またはソフトウェアで実装され得る。エントロピーソースは、特に効率的な計算構成を備えた、軽量で適応性のある非暗号化（算術）ノイズ調整メカニズムを含むことができる。製造業者がハードウェアとソフトウェア（例えば、ファームウェア）の両方を制御できる「単一ベンダー」の実装では、本例は、独立した評価を可能にする破損していないノイズ源を確実にする一連のコンポーネントをもたらし得る。したがって、現在のエントロピーソースの例は、安全なマイクロコントローラプロファイルの一部として含めることができる最小限の真の乱数生成器を提示する。エントロピーソースの好ましいハードウェア構成は、一般的なＦＰＧＡ開発プラットフォームを介したフィールドプログラマブルゲートアレイ（ＦＰＧＡ）の形式だけでなく、特定用途向け集積回路（ＡＳＩＣ）のフローを介した簡単な合成による標準的なセルロジックコンポーネントから安価に構築することもできる。
【0013】
特定の例では、ノイズ源とエントロピーソースのノイズ調整器の両方が継続的なテストを行う。ノイズ源からの前処理されたノイズ信号も評価に使用できる。エントロピーソースは、縮小命令セットコンピュータ（ＲＩＳＣ）中央処理装置（ＣＰＵ）、例えばＲＩＳＣ－Ｖ ＣＰＵの一部として実装することができ、ノイズ源、ノイズ調整器、ヘルステスト、及びアラームのシグナリング機構で実装することができる。ＣＰＵのグローバルリセットラインは、ゼロ化とビルトインセルフテストの開始という２つの目的を果たせる。本明細書で説明するノイズ調整器は、暗号化調整器よりもはるかに少ないエネルギーを使用し、実装面積がはるかに小さく、計算の困難の仮定をなしにし得るため、本質的にそれらを「量子的に安全」にする。エントロピーソースは、多数の「ポスト量子」セキュリティ標準（Ｎａｔｉｏｎａｌ Ｉｎｓｔｉｔｕｔｅ ｏｆ Ｓｔａｎｄａｒｄｓ ａｎｄ Ｔｅｃｈｎｏｌｏｇｙ（ＮＩＳＴ）によって設定されたものなど）もサポートしているため、大規模なポスト量子実装の基礎を形成する。
【0014】
本明細書で説明するエントロピーソースの例は、複雑なセットのエンジニアリングおよび検証の要件（例えば、様々な暗号化の規格によって設定されたものなど）を満たしながら、小さな（シリコン）領域内部で優れた能力を発揮する、軽量で安全なマイクロコントローラの真の乱数生成器をもたらすのに特に適している。組み込みシステムは、説明されている実装に従って、オンチップエントロピーソースから特に恩恵を受ける可能性がある。これらのシステムでは、外部エントロピーが利用できないか、高度な暗号化標準を満たしていない可能性があるためである（例えば、操作に対してオープンである可能性があり、及び／または概して信頼できない可能性がある）。
【0015】
説明されている例では、真の乱数生成器の特定の要件が、専用のハードウェア（またはソフトウェア）エントロピーソースによってもたらされ得る可能性がある。これにより、そのとき使用前にソフトウェアで計算集約的な暗号化調整を行う必要性が軽減される。エントロピーソースの本例は、以前のＣＰＵベースの乱数生成から脱却しているものであり、多くの場合、「３０パート」の後の暗号化調整と「１パート」のエントロピー生成である。これは通常、これらのＣＰＵベースの乱数生成器が暗号攻撃や操作に対して開放的になっているためである。本例はさらに、エントロピーソースをもたらし、追加のランダムビットが必要に応じて（例えば、ポーリングされて）供給され得る。比較対象のＣＰＵベースの乱数生成器（Ｉｎｔｅｌ（登録商標）プロセッサで使用されるものなど）では、より大きなビットシーケンス（例えば、１２８ビットを超える）の場合、大きな（例えば、５１２ビットのブロック）を、特にバッテリー駆動またはその他の組み込み実装のために、リソース集約的に計算する必要がある場合がある。
【0016】
図１は、本明細書の例に適用できるアーキテクチャ１００を示している。アーキテクチャ１００は、エントロピーソース１１０、この場合は（必ずではないが）ノイズ源を含むハードウェアエントロピーソース１１２、ノイズ調整器１１４、ノイズ調整器１１４からエントロピービットを受信して格納するためのバッファ１１６、及びポーリング信号を受信し、エントロピービットを配信するためのハードウェアインターフェイス１１８を含む。
【0017】
本目的のために、ノイズ調整器１１４は、ノイズ源１１２から受信したビットのエントロピーを増大させるものであり、（モデルなどから）冗長であることがわかっている特徴を破棄しながらビットストリームの「重要な」特徴またはエントロピービットを保持することを目的とするデバイスまたは処理モジュールと考えることができる。例えば、リング発振器などの電子回路でサイクルごとのジッターが一定の割合で蓄積すると仮定すると、低頻度入力（含まれるサイクル数が少ない）は、高頻度入力よりも「捨てる」ビットが多い可能性がある。例えば低周波発振器ソースの場合、破棄されたビットはゼロまたは１の長いランを含む場合があるが、それらのランの長さの最下位ビットがかなりの量のエントロピーを保持している場合がある。その状況におけるノイズ調整器１１４は、動的な「不可逆的な圧縮アルゴリズム」と類似していると見なすことができる。
【0018】
アーキテクチャ１００は、ソフトウェアドライバ１２２及びソフトウェアアプリケーション１６０を含むソフトウェア１２０も備える。ソフトウェアドライバ１２２は、ポーリング信号を送信し、エントロピービットを受信することによってハードウェアインターフェイス１１８と対話するためのポーリングインターフェイス１２４を備える。ソフトウェアドライバ１２２は、暗号化調整器などのさらなる調整器１２６、及び／またはエントロピービットを取得し、ソフトウェアアプリケーション１６０によって必要とされる必要な規格のランダムビットを生成する決定論的乱数生成器（ＤＲＮＧ）１２６を含むことができる。
【0019】
本例では、ソフトウェアアプリケーション１６０は、ソフトウェアドライバ１２２を介してエントロピーソース１１０からエントロピービットを受信する暗号化アプリケーションであり得る。ソフトウェアドライバは、ソフトウェアアプリケーション１６０によって命令されると、ハードウェアインターフェイス１１８を介してバッファ１１６をポーリングし、ビットストリーム、例えば２５６ビット（バッファが２５６個の位置を有する場合）を受信する。エントロピーソース１１０は、バッファ１１６がいっぱいになると、エントロピービットのみを配信することができる。ソフトウェアドライバ１２２及びソフトウェアアプリケーション１６０の構成は、ユースケースに応じて変化し、ここではさらなる詳細は提示しない。エントロピーソース１１０は、場合によっては、ＲＩＳＣ－ＶプロセッサなどのＲＩＳＣベースのプロセッサ用の安全なマイクロコントローラプロファイルの一部として実装することができる。
【0020】
図２は、本例のエントロピーソース１１０に適したノイズ源２００を示す。この例におけるノイズ源２００は、フリーランニング式ループで接続された奇数個のＮＯＴゲート２０５ａ、２０５ｂ、２０５ｃ（インバータ）のために構成されたリング発振器を備えるハードウェア回路である。知られているように、出力がシングルエンドで反転しているため、奇数のＮＯＴゲートによって発振が可能になる。この例では、実質的に３つのＮＯＴゲートがある。第１のＮＯＴゲート２０５ａは、ＮＡＮＤゲートとして実現され、それにより、ＮＡＮＤゲートのイネーブル入力２１５に印加されるイネーブル信号「イネーブル」は、回路を活性化し、ＮＡＮＤゲートをループ内の第１のＮＯＴゲートとして論理的に動作させる。したがって、リング発振器は、イネーブル信号が「１」であり、ＮＡＮＤゲートによって出力される値がＮＡＮＤゲートの第２の入力に印加される入力の反転である場合に動作する。ＮＡＮＤゲートへの第２の入力２２０は、フィードバックライン２３０によってループ内の最後のＮＯＴゲート２０５ｃの出力２２５からフィードバックされる。出力ビットは、ループ２２５の出力において、システムクロックＣＬＫ信号によってクロックされるＤ型ラッチ２３５によってサンプリングされる。システムクロックは、ループのフリーランニング式頻度よりも低いレートで実行される。ノイズ源２００は、ラッチ２３５の出力２４０からノイズビットを出力する。
【0021】
図２に示すような種類のリング発振器は、ノイズ源として使用されることが知られている。実行中、遷移（１→０または０→１）のタイミングは電子位相ノイズの影響を受け、時間の経過とともに予測不能になる（つまり、明らかによりランダムになる）。したがって、リング発振器の出力における信号レベルは、ノイズ調整器１１４に入力されるビットを生成するために使用される「ノイズ」サンプルを導出するために、例えば示されるようにクロックラッチ２３５によって定期的にサンプリングされ得る。もちろん、ノイズサンプルは完全にランダムなわけではなく、通常、ある程度のバイアスや相関関係を示すことがわかるが、後述するように、下流の条件付けによってランダム性を改善することができる。実装において、図１及び２に示されるようなノイズ源は、デジタルまたはアナログ回路、または確率的シミュレータを使用して実装され得る。好ましい実装では、ノイズ源１１０、２００は、ＡＳＩＣまたはＦＰＧＡの実装に利用可能なもののような標準的なセルロジックコンポーネントを使用して実装され得る。
【0022】
リング発振器のランダム性は、タイミングジッタに起因する。タイミングジッタは強いガウス特性を有することを示すことができ、基準クロックＣＬＫに対する位相差が累積し、分散σｔ
２がサイクルごとにほぼ直線的に増加することがわかる。
【0023】
留意されることに、多重ラング発振器のＸＯＲシーケンスなどの比較対象のノイズ源が検討されていた。しかし、このような構成は、多くのジッターがなくても出力シーケンスが見た目はランダムである疑似乱数生成器に至ると判明した。これは、生成されたエントロピーを正確に推定することを困難にした。
【0024】
一般的な条件下では、時間ｔ後の遷移時間の標準偏差（不確実性）σｔが、例えばＣＭＯＳリング発振器の場合、次のように推定できる。
時間ｔ、比例定数η≒１、ボルツマン定数ｋ、絶対温度Ｔ、消費電力Ｐ、電源電圧ＶＤＤ、及びデバイス特性電圧Ｖｃｈａｒを使用する。本目的では、ループ内のＮＯＴゲートの数Ｎは能力に実質的な影響を与えないが、Ｎと頻度ｆは既知の動的スイッチング方程式を介してＰに影響する。
【数1】
【0025】
前述の式から、温度と電圧の変動がリング発振器のジッターに大きく影響し、その結果、それぞれのノイズ源のエントロピーのレベルに影響を与える可能性があることが明らかである。したがって、本明細書でさらに説明するように、エントロピーソースは、エントロピーのレベルの増加または減少に適応するために、ある程度の適応行動から利益を得ることができることが、本目的のために認識されている。
【0026】
他の例では、別のノイズ源を使用する場合がある。これらには、ノイズの多いダイオードなどの連続及びショット（ポアソン）電子ノイズプロセスが含まれる。ノイズの入力としてデジタル化できる物理ソースには、熱、光学、機械、及び量子現象が含まれる。ランダム性をもたらす量子現象には、量子状態の重ね合わせ、量子状態のエンタングルメント、ハイゼンベルグの不確定性、量子トンネリング、自然放出または放射性の崩壊が含まれる。ノイズ源は直接物理的である必要がない。導出されたランダムソースの例には、コンピュータシステムのシステムイベントや通信トラフィックが含まれる。本明細書の教示に基づく他の例は、任意のそのような代替ノイズ源を使用することができる。
【0027】
エントロピーソースは、エントロピーソースによって配信されるビットストリームのエントロピーを増加させるために、ノイズ調整器と呼ばれることもある調整器を含むことができる。エントロピーは、さもなければエントロピーソースのエントロピーを減らすように作動する、例えば、０または１の長いストリームなどの冗長ビット、またはノイズ源を特徴付けるアーティファクトを削除することによって増加させることができる。
【0028】
本例のノイズ調整器１１４は、ノイズ源１１２から出力されるビットを調整するために、１つまたは複数のマルコフ連鎖を実装する関数及び論理を使用する。いわゆる決定論的回路でマルコフ連鎖を使用することは批判される可能性がある（例えば、Ｄａｖｉｄ Ｊｏｈｎｓｔｏｎ， “Ｒａｎｄｏｍ Ｎｕｍｂｅｒ Ｇｅｎｅｒａｔｏｒｓ － Ｐｒｉｎｃｉｐｌｅｓ ａｎｄ Ｐｒａｃｔｉｃｅｓ： Ａ Ｇｕｉｄｅ ｆｏｒ Ｅｎｇｉｎｅｅｒｓ ａｎｄ Ｐｒｏｇｒａｍｍｅｒｓ”， Ｄｅ Ｇｒｕｙｔｅｒ， ２０１８を参照）。なぜなら、マルコフ連鎖は有限の状態のセットしか有していないのに対し、説明したようなノイズ源１１２から導出されるものなどの現実世界のエントロピービットは、おそらく無限の数の状態を有するからである。したがって、実際のマルコフ連鎖が現実世界のエントロピービットストリームのすべての可能な状態を追跡することは不可能である。また、「状態付き調整器」がビットストリーム内のビットをより独立させることができると期待するのは、おそらく直観に反する。しかしながら、マルコフ連鎖の使用は、わずかな状態であっても、ノイズ源１１２によって生成されるエントロピービットのバイアス及び相関を低減するのに大いに役立つということが本明細書で判定された。実際、本明細書でノイズ調整器に適用されるマルコフ連鎖は、エントロピーを業界の規格で要求される下限の閾値を十分に上回るまで増加させることができることが示されている。
【0029】
本明細書で説明する特定の例では、モデルから冗長であることがわかっているビットシーケンスを破棄しながら、「重要な」特徴またはエントロピービットを保持するように構成されたデバイスとして、ノイズ調整器が使用される。ノイズ調整器は、生のノイズ源に非可逆の圧縮アルゴリズムの形式を実装していると見なすことができる。場合によっては、エントロピーソース内のノイズ調整の後に、入力エントロピーを出力ビットにさらに均等に分配信するハッシュ関数などの暗号化コンディショニング（例えば、ポーリング後のソフトウェア内部）が続き得る。例では、ノイズ調整器は、通常の条件と敵対的な条件の両方で適切な独立したエントロピーコンテンツをもたらすように構成することができる。ノイズ（例えば、ノイズ源からのビット）を処理して、必要な一連の制約を満たすことができない場合、エントロピーソースには、特徴的で識別可能な障害モードと、それらを検出するメカニズムがある。これはすべて、小型で電力効率の高い実装回路内で設けられる。
【0030】
図３、４、５はそれぞれ、ノイズ調整器の実装の一部としてモデル化できるマルコフ連鎖の例を示している。図３は、１つの状態Ｎを有するマルコフ連鎖３００の第１の例である。図３の構成は、後述するように、いわゆるフォンノイマンデバイアサとして適用することもできる。図３のマルコフ連鎖３００では、１つの状態Ｎは０または１（または表Ｈまたは裏Ｔ）であり得、状態には２つの可能な遷移Ｐｒ（０）＝ｐＮ及びＰｒ（１）＝１－ｐＮがある。バイアスのないコイントスを使用して遷移を判定するようなバイアスのないシステムでは、Ｐｒ（０）＝Ｐｒ（１）＝０．５である。しかし、バイアスのあるシステムでは、例えば、一連のコイントスで裏よりもはるかに多く表を出すものでは、Ｐｒ（０）≠Ｐｒ（１）のように、１状態のマルコフ連鎖に基づくフォンノイマンデバイアサを使用して、コイントスのペアを鑑みて、シーケンスのバイアスを除去することができる。フォンノイマンデバイアサは、０をシーケンスＨＴに、１をシーケンスＴＨに割り当て、ＨＨまたはＴＴを含む任意のシーケンスを減じることができる。これにより、バイアスのないビットストリームが生成され、Ｐｒ（０）．Ｐｒ（１）＝Ｐｒ（１）．Ｐｒ（０）＝ｐＮ．（１－ｐＮ）であることに気付かされる。結局、フォンノイマンデバイアサに基づく調整器は、ｐＮの事前の知識がなくても、また入力シーケンスビットレートの最大２５％の出力レートであっても、コイン（出力ビット）が相関していない限り、入力ビットエントロピーのレベルに関係なくバイアスのない出力ビットを生成する。相関は、例えば、長いラン「ＨＨＨＨＨＨＴＴＴＴＴＴ」であり得るが、これは「正の」系列相関を示し得、一方で交互のパターン「ＨＴＨＴＨＴＨＴＨＴ」は「負の」系列相関を示し得る。いずれの種類の相関も、不完全なノイズ源１１２のアーティファクト、またはノイズ源１１２の不完全な環境条件（例えば、非常に低い動作温度）である可能性がある。相関は、以前のコイントスから次の出力コインを予測するのを補助する場合があるため、一般にランダム性に関して望ましくない特性である。留意されたいこととして、前述の例のどちらにもいかなる絶対的なバイアス、Ｈ＝１／２及びＴ＝１／２がなく、そのため、基本的なフォンノイマン調整器は、系列相関に対して保護せず（絶対的なバイアスのみに対する、それがソースにおいて一定であると仮定する）、説明するように、これが、さらなる対策が必要な理由である。
【0031】
相関は、マヌエル・ブラムによって提唱されたｎ状態のマルコフモデル、式中ｎ＞１、を使用して軽減できる。図４は２状態のマルコフ連鎖４００を示し、図５は４状態のマルコフ連鎖５００を示す。各マルコフ連鎖は、それぞれの遷移とそれに付随する遷移の発生確率とともに表示される。説明するように、２状態のマルコフ連鎖４００は、現在のビットと前のビットとの間の相関を緩和することができ、４状態のマルコフ連鎖５００は、現在のビットと２つの先行するビットとの間の相関を緩和することができる。より一般的には、２ｋ状態のマルコフ連鎖は、最大ｋ個の先行するビットのローカル相関を軽減できることがわかっている。
【0032】
マルコフ連鎖の場合、単一の入力ビットと現在の状態０≦ｉ＜ｎが次の状態を決定する。ここでも、状態から抜け出すための補完的な確率ｐｉと１－ｐｉを持つ２つの選択肢がある。これらの「出口確率」は、時間の経過とともに変化しない限り、静的であると仮定され得る。これらの仮定により、任意の状態が選択され、状態遷移が追跡され、その単一の状態からのみ終了ビットが記録される。結果として得られるビットシーケンスには、無相関のバイアスｐｉがある。次いで、それらのビットのみにフォンノイマンデバイアサを適用して、（前述の状態相関仮定を介して）同時に相関除去され、バイアスのないビットシーケンスを生成できることが理解されている。
【0033】
ブラムは、すべての状態を独立したフォンノイマンデバイアサとして見なし、それらの出力を直接マージすることによって出力レートを増加させる直接的なアプローチでは、独立したバイアスのない出力ビットが得られないことを観察した。したがって、別のアプローチとして、ブラムはこれに対処するための修正を提案した。これは、マルコフの仮定（つまり、確率モデルの無記憶特性）が成り立つが、その静的な出口確率に関する知識がないと仮定したものである。修正は、ブラムのいわゆる「アルゴリズムＢ」で提示される（Ｉｎｄｅｐｅｎｄｅｎｔ ｕｎｂｉａｓｅｄ ｃｏｉｎ ｆｌｉｐｓ ｆｒｏｍ ａ ｃｏｒｒｅｌａｔｅｄ ｂｉａｓｅｄ ｓｏｕｒｃｅ－ａ ｆｉｎｉｔｅ ｓｔａｔｅ Ｍａｒｋｏｖ Ｃｈａｉｎ”， Ｍ Ｂｌｕｍ， Ｃｏｍｂｉｎａｔｏｒｉｃａ ６ （２） （１９８６）， ｐｐ９７－１０８で提示されているように）。この変形例では、モデルは、その状態が再入力された後にのみ、その状態から（バイアスが除去された）フォンノイマンビットを出力する。この遅延により、アルゴリズムＢで採用されたアプローチは「忍耐強い」と言われている。
【0034】
ブラムのアルゴリズムＢに従って、概して動作するかまたはそれを実装している本明細書の調整器は、ブラムＢ調整器と呼ばれる。本明細書で説明する実装は、ブラムのアルゴリズムに対する一般的な批判、つまり現実世界のエントロピーソース回路は無限の状態を有する傾向があるという批判に対処している。したがって、これらの状態をうまく追跡することは不可能である。よって、ブラムのアルゴリズムの単純な実装では、状態を追跡する必要性に対処する必要がある。本例では、図８、９及び１１に示されるような多段階の多状態の構成が、これに対処するための効率的かつ実行可能なノイズ調整構成をもたらすことが分かった。ここに記載されているノイズ調整器は、様々なノイズ源やシミュレーションで動作するようにテストされている。テストには、ノイズ源デバイス（ノイズ源を実装するＦＰＧＡなど）を様々な環境温度（－５０°Ｃもの低温を含む）にさらしたり、長時間の実行（リング発振器の位相ロックのテストなど）を許可したりすることも含まれていた。多くの理論モデルは、実世界の条件下でエントロピーソースがどのように機能するかを考慮しておらず、シリコン領域や計算サイクルなどのリソースの制約も考慮していないことに留意されたい。
【0035】
本目的のために実行された実験では、図４のマルコフ連鎖４００が検討された。実際のリング発振器を使用した実験で、２つの状態（及び２つの「フォンノイマンデバイアサ」）を有することにより、調整器が、０／１のランまたは交互のパターン（．．０１０１０１．．）として示される、直接連続するビット間の強い正または負の系列相関という一般的な問題を大幅に軽減できることが実証された。このような２状態モデルでは、０ビットに続く１ビットの確率ｐ０は、別の１ビットに続く１ビットの確率ｐ１とは異なる（独立している）。このような単純な相関除去の限界を特定することは可能であるが、２つの出口確率が同じであると仮定するよりもはるかに効果的である。
【0036】
本目的のために、様々な調整器の能力が、様々なノイズコーパスデータセット｛コーパスＡ～コーパスＥ｝を使用して評価されている。図６のグラフでは、ｘ軸は調整器のマルコフの状態の数であり、ｙ軸の目盛りは、データセットが様々な調整器を使用して調整された後の、様々なノイズコーパスデータセットのエントロピーを表しており、フォンノイマンデバイアサ（マルコフの１状態）から、２ｋという数のマルコフ状態、式中ｋは２から１０の範囲、を有する様々なブラムＢ調整器までの範囲に亘る。見てわかるように、エントロピーはｋ＝３まで急速に増加するが、ｋ＝３より後には、マルコフ状態の数が増加しているにもかかわらず、エントロピーは横ばいになる（０．８～０．９の領域に落ち着く）。
【0037】
したがって、実際的な観点からは、２３＝８の状態のブラムＢ調整器は、アーキテクチャと電力のオーバーヘッドを最小限に抑えながら、例えば、組み込みプロセッサにてバイアスがなく比較的相関のないビットの形で比較的高いエントロピーをもたらし得ることが示されている。言い換えると、より多くの状態のブラムＢ調整器を本明細書での例に適用できるが、結果として得られるビットシーケンスのエントロピーの増加が比較的小さいため、追加の状態のアーキテクチャのオーバーヘッドは通常保証されない。さらに、ノイズ源から入力された最新のビットとの相関が最も強いと仮定すると、８状態のブラムＢ調整器は、ほとんどの場合、適切に相関除去を実行することが期待されるはずである。
【0038】
本例に従って実装できる８状態のブラムＢ調整器に対するマルコフ連鎖７００を図７に示す。図７には、（新しいビットＤの到着による）状態間の可能な遷移のそれぞれが示されている。より具体的には、各状態には２つの可能な入口遷移と２つの可能な出口遷移がある。例えば、状態０００には、状態００１（次のビットＤ＝０のとき）とそれ自体（次のビットＤ＝０のとき）から入ることができる。状態０００からの出口遷移は、状態１００（次のビットＤ＝１のとき）及びそれ自体（次のビットＤ＝０のとき）である。別の例では、状態１１０は、状態１０１（次のビットＤ＝１のとき）及び状態１００（次のビットＤ＝１のとき）から入ることができる。状態１１０からの出口遷移は、状態１１１（次のビットＤ＝１のとき及び状態０１１（次のビットＤ＝０のとき）である。等々がある。このような状態マシンは、後述するように、バイアスを除去し、入力ビットに関連して少なくともｋ＝３（前の３つの状態の場合）のローカル相関に対処するための調整器として効果的であることが証明されている。
【0039】
図７のマルコフ連鎖７００を実装する８の状態のブラムＢ調整器８００を実装するように構成されたアーキテクチャが図８に示されている。ブラムＢ調整器は、サンプル（「０」または「１」）をノイズ源２００（図２）の出力２４０から受け取る入力Ｄ８０２を備える。入力ビットを含む入力ビットストリームは、クロック信号ＣＬＫ８０４によってクロックされたとき、イネーブル入力Ｗ８０６がアクティブなときにロードされ、シフトレジスタ構成８０８及びセレクタ８１０に供給される。アーキテクチャ８００は、必要に応じて調整器をリセット（または再準備）するためのリセット入力ＲＳＴ８１２も有する。アーキテクチャ８００はさらに、出力ビットストリームを形成するバイアスが緩和された／相関除去ビットの値を出力する出力Ｑ８１４と、イネーブルラインＷ８０６の値を下流のモジュールに送るイネーブル出力Ｅ８１６とを有する。
【0040】
シフトレジスタ構成は前の入力ビットのメモリとして動作するため、シフトレジスタ構成はブラムＢ調整器（または実際には、マルコフ連鎖を実現するいずれかの回路）の状態を近似し、それぞれの遷移で表現または対応できることが理解されている。したがって、１ビットのシフトレジスタは２状態のマルコフ連鎖で使用でき、２ビットのシフトレジスタは４状態のマルコフ連鎖で使用でき、この現在の例では３ビットのシフトレジスタを８状態のマルコフ連鎖などで使用できる。本明細書の例では、シフトレジスタ構成８０８の役割を果たすために、メモリ及び命令／論理回路の任意の適切な構成を適用することができる。
【0041】
セレクタ８１０は、この例ではフォンノイマンセル８１８を含む８つの宛先ロジックセルのうちの１つを選択するように構成され、これらは、後述するように、シフトレジスタ構成８０８のビット値｛Ｄｊ－１、Ｄｊ－２、Ｄｊ－３｝によって決定されるアドレス指定または選択に従って、フォンノイマン式バイアス除去を実行する。入力Ｄは、セレクタ８１０によって選択されたフォンノイマンセル８１８に送られる。選択されたフォンノイマンセル８１８は、その現在の状態Ｓと新しい入力ビットＤの値に基づいて、ブラムＢ調整器の出力Ｑを生成する。残りの７つのフォンノイマンセルは、セレクタ８１０によってそれらが再度選択されるまで、その状態を維持し、いかなる機能も実行しない。次のクロックサイクルＣＬＫで、入力ビットＤはＤｊ－１でシフトレジスタ構成８０８に入り、シフトレジスタ８０８の最も古いビットＤｊ－３はドロップまたは破棄される。本明細書の例では、セレクタ８１０の役割を果たすために、メモリ及び命令／論理回路の任意の適切な構成を適用することができる。
【0042】
理解されるように、入力ビットがシフトレジスタ構成８０８に入ると、セレクタ８０１は、図７のマルコフ連鎖７００によって表されるセル間の遷移に従ってフォンノイマンセル８１８を選択し、それによって相関除去を実行する。本明細書の例では、フォンノイマンセル８１８の役割を果たすために、メモリ及び命令／論理回路の任意の適切な構成を適用することができる。
【0043】
図８のアーキテクチャの動作は、次のフォンノイマンセル８１８の選択に相当する遷移に関して、次のように説明することができる。ビットの入力ストリームが｛ａ，ｂ，ｃ，ｄ，ｅ，ｆ｝であると仮定する。シフトレジスタ構成８１０への入力ビット「クロック」として、次のアドレス、すなわち［ｃｂａ，ｄｃｂ，ｅｄｃ，ｆｅｄ］が生成される（なぜなら、新しいビットＤは常にシフトレジスタ構成８０８の左側のセルに入り、最も右側のビットがシフトレジスタの右側のセルからドロップアウトするからである）。例えば、｛ａ，ｂ，ｃ，ｄ，ｅ，ｆ｝＝｛０，１，０，１，１，０｝の値の場合、図７のマルコフ連鎖７００で結果として生じる遷移は、０１０（ｄ＝１）→１０１（ｅ＝１）→１１０（ｆ＝０）→０１１のようになる。
【0044】
もちろん、シフトレジスタ構成８０８の左側にビットを供給することは、１つの選択肢に過ぎない。シフトレジスタ構成８０８の右側にビットを供給することも実行可能であり、その場合、アドレス［ａｂｃ，ｂｃｄ，ｃｄｅ，ｄｅｆ］を配信し、シフトレジスタ構成８０８は代わりに「スライディングウィンドウ」のように入力ビットストリームに亘り動作する。この場合、マルコフ連鎖７００の特定の遷移は、可能な遷移の新しいセットに一致するように変更する必要がある。
【0045】
ブラムのアルゴリズムＢによると、図８のアーキテクチャが完全に相関除去を実行するわけではないことが理解されよう。これは、完全な相関除去を行うには、マルコフ連鎖の状態遷移がそれぞれのノイズ源の確率モデルと正確に一致する必要があり、実際的ではないからである。ただし、図８で適用されるシフトレジスタ／アドレッシングアプローチは、少なくとも、ノイズ源から入力された最新のビットとの相関が最も強いということが当てはまる限り、高度な相関除去をもたらすことがわかっている。
【0046】
フォンノイマンセル８１８は、論理に従って、図９の疑似コードに従って入力ビットＤを処理する。各フォンノイマンセルは、５つの可能な状態Ｓｉ＝｛λ，０，１，Ｈ，Ｔ｝及びブラムＢ調整器８００のものに一致する入力／出力を有する。次の入力ビットＤ及び現在の状態Ｓは、フォンノイマンセル８１８の挙動を決定し、フォンノイマンセル８１８は、すでに述べたように、フォンノイマン式バイアス除去を実行するために入力ビットのペアのシーケンスに対して動作する。
【0047】
フォンノイマンセルの動作中、及び図９を参照すると、次のようになる。
アクション（Ｗがアクティブで入力ＤのＣＬＫで）：
ｏ Ｓ＝λのとき、ＳはＤの値を取る
ｏ Ｓ＝０でＤ＝１の場合、Ｓは’Ｈ’を取るか、そうでなければＳはλを取る
ｏ Ｄ＝０でＳ＝１の場合、Ｓは’Ｔ’を取るか、そうでなければＳはλを取る
ｏ Ｓ＝’Ｈ’の場合、Ｑ＝０を出力し、ＳをＤの値に設定する
ｏ Ｓ＝’Ｔ’の場合、Ｑ＝１を出力し、ＳをＤの値に設定する
アクション（Ｗがアクティブで入力ＤのＣＬＫで）：
ｏ Ｓ＝λのとき、ＳはＤの値を取る
ｏ Ｓ＝０でＤ＝１の場合、Ｓは’Ｈ’を取るか、そうでなければＳはλを取る
ｏ Ｄ＝０でＳ＝１の場合、Ｓは’Ｔ’を取るか、そうでなければＳはλを取る
ｏ Ｓ＝’Ｈ’の場合、Ｑ＝０を出力し、ＳをＤの値に設定する
ｏ Ｓ＝’Ｔ’の場合、Ｑ＝１を出力し、ＳをＤの値に設定する
【0048】
既に示したように、入力ビットＤ８０２は、クロック信号ＣＬＫ８０４によってクロックされるとき（イネーブル入力Ｗ８０６がアクティブであるとき）、シフトレジスタ構成８０８及びセレクタ８１０に供給され、ロジックに従って出力Ｑ８１４を生成する（または生成しない）。出力を生成する際、状態はＳ＝ＨかＴかに関係なくＤの値に設定される。これは、「ワイプオンリード」と考えることができる。各フォンノイマンセルは、状態を保存するために３つの内部フリップフロップを使用して効率的に実装することができ、各セルには外部から単純なシリアルデータストリームインターフェイスを設けることができる。
【0049】
図８、９、及び１１で説明した２段階のノイズ調整器の利点の１つは、エントロピービットがいくらか失われる一方で、その状態がノイズの特性に迅速に適応し、ノイズの特性が変化するにつれて出力レートが変化する可能性さえあることである。これにより、エントロピーソースは現実世界のノイズ源の「完全」には満たない動作に実用的な方法で対処できるようになり、理論的な完全性を仮定して要求する学術的または理論的なモデルとは対照的である。また、それはエントロピーソースが異なるノイズ源を使用できるようにする。例えば、同じノイズ調整器を異なるノイズ源と合成し、それに応じてその出力を適応させることができる。
【0050】
本明細書の例示的な設計に到達するにあたり、様々なエントロピーソースの構成がモデル化され、サンプリングされたデジタル発振器ノイズ源を仮定してテストされている。サンプリングされたデジタル発振器ソースの場合、信号の振幅は無視され、周期Ｔのパルス波は相対パルス幅（「デューティサイクル」）Ｄと見なされる。一定のサンプリングレートが仮定され、サンプルビットは時間の尺度として使用される。
【0051】
正弦波位相ωはｘ＝（ω－δ）／２πで０≦ｘ＜１の範囲で正規化され、式中δはリーディングエッジの位置である。基本頻度Ｆ＝１／Ｔは、位相に対するビットごとの増分であり、ビットごとのジッターσ２はその分散である。（Ｆ，Ｄ，σ２）ノイズ源のサンプラーの動作は、次のようにモデル化でき、
式中
【数2】
【数3】
【0052】
何らかの初期状態ｘ０が与えられ、正規分布ランダム生成器（サンプラー）Ｎ＄を使用すると、これら２つの方程式を使用して、モデルに一致するビットｚ１、ｚ２、ｚ３、．．のシミュレートされたシーケンスを生成できる。ビットごとの分散σ２は、標準偏差√（σ２／Ｆ）によって「ＲＭＳジッター」測定値ｔｊｉｔ（ｃｃ）に関連付けられる。
【0053】
図１０ａは、単一状態のフォンノイマンデバイアサのイールドに対する前述のモデルに従ってジッターランダムネス（シグマ、σ）をシミュレートした結果を示すグラフであり、図１０ｂは同じ結果を示すが、６４の状態（つまり、ｋ＝６）、及びスライディングウィンドウシフトレジスタ設計を有するブラムＢ調整器のグラフである。
【0054】
グラフのイールド（ｙ軸）は、調整器に入力されるビット数に対する、調整器から出力されるビット数の比率である。イールドは、いずれかの所与の入力ビットレートに対する調整器の「出力速度」を示すだけでなく、約√（σ２／Ｙ）である累積されたＲＭＳジッターを示すため、重要なパラメータである。
【0055】
ブラムＢ調整器によって最初にいくつかのビットが破棄されるため（すべての状態が最初は「λ」であるため）、調整器に所与のパラメータ（Ｆ、Ｄ、σ２）で２０００ビットを供給し、いくつのビットが出力されたかを測定することによって、連続的なイールドを概算した。フォンノイマンデバイアサの場合、出力は０から５００の間になり得る（最大イールド０．５、最初の１０００ビットは破棄されている）。シミュレーションでは、それぞれｎ＝４００００サンプル（１０００ビット）を使用した。フォンノイマンデバイアサは基本的なバイアスを完全に処理することが期待されるため、バイアスはデューティサイクルＤ＝１／２に設定された。頻度Ｆは、０と「ナイキスト境界」１／２の間のサンプリング頻度を法とするランダムであった。
【0056】
図１０ａに示すように、フォンノイマンデバイアサのイールドは、ジッターに関係なくＹ＝０．２５で平均化される。σが増加するにつれて、フォンノイマンデバイアサのイールドは平均０．２５に維持され、平均付近の分散は減少し、その結果、σが０．４に近づくまでに、イールドは約０．２～０．３の範囲に留まる。対照的に、ブラムＢ調整器はまた、σが十分に大きい場合Ｙ＝０．２５をイールドし（及び＜０．１のイールドでの低分散、またσ＜０．２０のとき、概ね線形のジッター反応を配信する（Ｙ＝０．０６＋０．９×σに近似）。これは、各出力バイトの分散が低下すると、ジッターエントロピーが蓄積されるため、望ましい応答特性である。実際的な観点では、これはブラムＢ調整器が適応的であることを示しており、入力ビットストリームのσ（したがってエントロピーのレベル）が低い場合はより少ないエントロピービットを生成し、σ（したがってエントロピーのレベル）が増加するにつれていっそう多くのビットを生成する。ブラムＢ調整器は、入力ビットストリームのシグマ（及びエントロピーのレベル）が十分に高い場合、フォンノイマンデバイアサと同じ平均レベルである０．２５のイールドに近づく。
【0057】
ブラムＢ調整器の適応的な性質は、調整器が様々な種類のノイズ源で動作することを意味するだけでなく、環境パラメータ、特に温度が変化しても、出力ビットのエントロピーの最小レベルが維持されることを意味する。これは、通常、温度制御された環境に存在するコンピュータサーバーやその他のコンピュータシステムとは異なり、様々な場所や極端な場所や環境のあらゆる様式において設置できるデバイスやシステムにとって非常に重要である。現目的のために、凍結スプレーを使用して回路を凍結することにより、動作温度を－５０°Ｃまで変化させて能力をテストし、ブラムＢ調整器の適応的な性質はモデリングと一致していた。
【0058】
ブラムＢ調整器の実用的な設計を考えると、ブラムＢ調整器のビットパターン状態ｉは、前縁や立下りエッジなどのローカルエントロピーの「特徴」を「分離」して相関除去を実行できることに留意されたい。しかし、このような相関除去の範囲は、出力ビットではなく、むしろｋ入力ビットに関連しており、これは低エントロピーまたは可変エントロピーのノイズ源の問題であると認識されている。前述のように、状態数ｋを増やすと状況がわずかに改善される可能性があるが、そうするとリターンの減少に至り、指数関数的に増加する回路フットプリントが犠牲になる。したがって、本明細書での例では、はるかに多数の状態を有する単一の調整器ではなく、適度な数の状態（及び比較的低い不動産オーバーヘッド）を有する２つの段階の調整器をそれぞれ適用する。一例では、調整器の両方の段階がブラムＢ調整器である。このようにして、２段階の可変イールドの適応ノイズ条件を組み合わせて、より巨視的な特徴を軽減する。便利なことに、ブラムＢ調整器の両方の段階でｋ＝３（８状態）を採用している。２つの８状態のステージを有すると、実装サイズがより小さくなるだけでなく、６ビットのウィンドウに制限された単一の調整器よりも、優れた適応能力を発揮できる可能性がある。言い換えれば、両方のブラムＢ調整器は適応的に動的であるため、全体的な「メモリ」は距離の６ビットをはるかに超えて到達し、２ｘ８の状態のブラムＢ調整器の能力は、単一の６４状態のブラムＢ調整器よりも優れた相関除去とイールドをもたらすはずである。したがって、図８及び１１の構成は、ブラムの「アルゴリズムＢ」の標準的な実装によって提唱されていない改善されたエントロピーソースをもたらす。例えば、エントロピーソースは、ハードウェアで効率的に実装され、例えば、ＲＩＳＣ－Ｖ派生の埋め込み及び低コストのチップにＲＩＳＣ－Ｖエントロピーソースのインターフェイスを設けることができる。エントロピーソースは、そのとき、スマートカードやその他のスマートデバイスのポスト量子暗号など、高度で効率的な暗号化用途に対してランダムビットの安全なソースをもたらす場合がある。
【0059】
これは、強くバイアスがつけられた、またはシリアルに調整される入力に役立つ。例えば、最初の「機能検出」段階のイールドはわずか０．１であり得、第２のステージからの出力は、６ではなく３／０．１＝３０の生のノイズビットの関数であることから、３ビットを認識する。
【0060】
したがって、本明細書で説明する特定の例は、従来の設計原則に反する２段階ノイズ調整器をもたらす。例えば、通常は、いずれかの暗号化調整器の前にエントロピーパスで疑似ランダム性を回避することが望まれる。しかし、本例では、状態付きの調整器を使用している。しかし、この状態付きの調整器は、出力ビットをより独立させるために適用される。例えば、入力ビットが異なると、異なって遅延するフォンノイマンセルへの分岐が発生し、フォンノイマンセルへの入力ビットがセルの状態変化を設定する。これにより、入力ビットに基づいて分岐状態のカスケードが発生するが、キャリーオン効果はフォンノイマンセルによって実装される「読み取り時の消去」プロパティによって制限される（例えば、ビットが状態から読み取られるとき、状態ビットＳｉはλに設定され、もはやその出力ビットに関する情報は含まれていない）。
【0061】
実用的なエントロピーソース９００の例を図１１に示す。エントロピーソース９００の構造は、図１のアーキテクチャのハードウェア部分１１０に大まかに従う。具体的には、エントロピーソース９００は、ノイズ源９０５、ノイズ調整器９１０、及びソフトウェアドライバー（図示せず）によってポーリングできるバッファ９１５を備えている。ノイズ調整器９１０はさらに、第２のブラムＢ調整器と直列の第１のブラムＢ調整器を含むノイズ調整の２つのステージ９１３、９１４を有することを特徴とし、第１のステージからの出力Ｑ、Ｅは、入力Ｄ、Ｗとして第２のステージに入る。ノイズ調整器は、ノイズ源９０５からビットを受信するための入力９１１と、ビットをバッファ９１５に配信するための出力９１２とを有する。例によれば、ノイズ調整器９１０の各ブラムＢ調整器は、８状態のブラムＢ調整器である。両方のブラムＢ調整器は、例えば、図８に従って配置される。例えば、各ノイズ調整ステージ（すなわち、ブラムＢ調整器として実装される）は、前の入力ビット値のセットを格納するｋビットのシフトレジスタ構成８０８及び、フォンノイマン式バイアス除去を実行するためのフォンノイマンセル８１８のセットを備え得て、各フォンノイマンセルは、状態Ｓを有し、また入力ビット値を受信し、シフトレジスタ構成のビット値に基づいて出力ビット値を条件付きで生成するためにフォンノイマンセル８１８のセットの１つを選択するセレクタ８１０を備え得て、選択されたフォンノイマンセル状態は選択後に更新される。ノイズ源９０５は、第１のビットのシーケンス９１１を「生の」ノイズビットの形で出力し、ノイズ調整器９１０は、ノイズ源９０５から第１のビットのシーケンス９１１を受信し、第２の相関除去ビットのシーケンス９１２を出力する。ノイズ調整器９１０は、直列に通信可能に結合された複数のノイズ調整ステージ９１３、９１４を備える。バッファ９１５は、ノイズ調整器９１０から第２の相関除去ビットのシーケンスを受信し、格納する。バッファ９１５は、多数のビットを出力ランダムビットシーケンスとして、例えば、エントロピーソースをポーリングし、満杯のときにバッファからビットを取り出すソフトウェアドライバに配信するためにポーリングされるように構成される。
【0062】
図１１に示すように、例によれば、ノイズ源９０５とノイズ調整器９１１の出力の両方が、アラームを発生させることができるオンラインテスト９２０、９３０を任意選択に有する。この例によれば、ソフトウェアドライバなどの外部ソフトウェアによってポーリングまたは読み取ることができる動作状態ではない（ＯＰＳＴ）９４０は、そのようなアラーム及び／またはバッファ９１５の状態によって決定され、バッファ９１５が満杯で、アラームが発生していない場合に、Ｐｏｌｌ＿Ｅｎｔｒｏｐｙの命令により、エントロピービットが利用可能になる。ＯＰＳＴ９４０は、状態レジスタでアクセス可能なビットを含むことができる。例によると、ＯＰＳＴ９４０インジケーターは、ＥＳ１６（状態：０１－アラームなし、バッファが満杯で、エントロピービットを配信可能）、ＷＡＩＴ（状態：１０－バッファがまだ満杯ではない）、ＢＩＳＴ（状態：００－組み込み式自己テスト、これは動作リセットＲＳＴの後、または回復可能な障害が検出された後に発生する）、ＤＥＡＤ（状態：１１－致命的／回復不能－エントロピーソースが予想される閾値を下回って動作しているか、動作していない）である。オンラインテスト及び／または生のノイズへのアクセスにより、継続的なテストと評価が可能になり得る。これは、セキュリティのリスクまたは攻撃を特定し、安全な機能を確認するために使用される場合がある。特定の実装では、プロセッサのグローバルリセット（ＲＳＴ）ラインには、ゼロ化と組み込み式自己テスト（ＢＩＳＴ）の開始という２つの目的があり得る。
【0063】
図１１のノイズ調整器は、任意選択で、ノイズ調整の前にノイズ源９０５から生のサンプルを読み取るために（例えば、ソフトウェアドライバ１２２を介して）使用できるＧｅｔＮｏｉｓｅインターフェイスも有する。このようにして、ノイズ源９０５の能力、及び生成されるビットの質は、既知の技法を使用してエントロピーソースの外で評価することができる。
【0064】
本明細書の例によれば、２つの偽陽性率がオンラインテストに適用される。第１のレートα＝２－６４は、致命的なノイズ源の障害を示し、第２のレートβ＝２－２０は、回復可能なエントロピーソースの障害を示す。レートは、「テストされたビットごと」に表現され得る。境界は構成可能であり、ユースケースに従って設定できる。
【0065】
本目的では、致命的な障害率αをノイズ源ビットとの関係で表す。これは、連続して動作するノイズ源が比較的高速であっても、システム全体の障害率に大きな影響を与えないように選択されている。偽陽性率は、関連するサンプリング頻度に応じて、約４００／ＧＨｚ年後に各テストで５０％に達する。
【0066】
ソフトウェアドライバ１２２が１６×１６＝２５６ビットのＥＳ１６ブロックを処理する暗号化調整器１２６を有すると仮定すると、２次アラームレートβは、ノイズ調整器の出力ビットに関連して解釈される。したがって、４つのテストでは、１－（１－β）４・２５６≒０．００１であることがわかり、１０００個のエントロピーソースブロックのうち１個程度が回復可能なアラームを生成する。これは、致命的ではないアラームの割合を監視できるように、十分に高くなるように選択されている。１／１６のノイズ調整器のイールド（β３／１６＝α）を仮定すると、３回連続して失敗した後、致命的な境界が満たされることがわかる。
【0067】
ノイズ源９０５のオンラインテスト９２０は、反復回数テスト（ＲＣＴ）９２２及び適応比例テスト（ＡＰＴ）９２４を含む。両方のテストは、閾値のエントロピーレベルを持つことを目的としており、それより下でアラームが生成され、エントロピーソース９００からエントロピービットが出力されるのを防ぐ。本例によれば、エントロピーレベル（最小エントロピー）はＨ＝０．５に設定され、これはｐ＝２－０．５＝０．７０７１の最大確率に対応する。もちろん、ノイズ源（この例ではリング発振器）はそれよりも優れた設計になっているため、これよりも悪いいずれかのバイアスが発生した場合は、それぞれの回路に劣化または障害があった可能性がある。
【0068】
本例によれば、ＲＣＴ９２２は、繰り返される同一のサンプル（１または０のラン）をカウントする。致命的なカットオフ閾値が設定され、それを下回るとアラームが生成され、エントロピーソース９００からのエントロピービットの出力が防止される。本例によれば、致命的なカットオフは次のように計算される。
【数4】
【0069】
１２９ビットを超える繰り返しサンプルのいずれかのランでアラームが生成されるようにする。ユースケースに応じて、他の閾値を使用できる。
【0070】
本例によれば、ＡＰＴ９２４は、以下のように単純な、バイアスのテストである。Ｂ０とＢ１を１０２４ビットのウィンドウＷの０または１ビットの数とする。｛Ｂ０，Ｂ１｝≧Ｃａｐｔのカットオフ値のＣａｐｔの場合、致命的なアラームがトリガーされる。
【数5】
【0071】
最小エントロピーＨ＝０．５、Ｃａｐｔ＝８４１で、この閾値を超える値は、エントロピーソース９００からのエントロピービットの出力を妨げる致命的なアラームを引き起こす。ユースケースに応じて、他の閾値を使用できる。
【0072】
ノイズ調整器９１０の能力に関して、例えば、ノイズ源の疑似ランダム動作が（例えば、外部干渉または複雑な位相ロックによる）重大な全体エントロピー損失を引き起こしている場合、バイアスまたは短い繰り返しのパターンが予想され得る。これらは、自己相関テストを使用してテストできる。例えば、出力ビットシーケンスをそれ自体の遅延（またはシフト）バージョンとＸＯＲすることによってテストできる。元のシーケンスが十分にランダムである場合、ＸＯＲの結果もランダムになるはずであるが、系列相関はバイアスを引き起こす。本例によれば、４つのノイズ調整器出力テストは、バイアス（ＸＯＲなし）を測定し、１、２、及び３ビットの位置遅延したシーケンスでＸＯＲのバイアスを測定する。これらのテストは、Ｈ＞０．５と仮定して実行できる。
【0073】
ＢＩＳＴは、停止によって、またはノイズ調整器テストによって非致命的なアラームが生成されたときに開始され得る。例によれば、次のＢＩＳＴテストを使用できる。
－ ウォームアップ：ノイズ源テスト（ＡＰＴ及びＲＣＰ）が有効になる前に、ノイズ源からの最初の１００，０００サイクルが破棄される。状態はＢＩＳＴである。ノイズ源がウォームアップ以外のいずれかの時間にアラームをテストすると、ＤＥＡＤ状態になる。
－ 出力テスト：ノイズ調整器からの最初の１，０２４ビットは出力されないが、ＢＩＳＴモードでの自己テストとして使用される。この段階には４つの完全な２５６ビットのブロックがあり、ＮＣＴアラームがカウントされる。アラーム０はＢＩＳＴの成功を意味し、アラーム１または２はＢＩＳＴを最初から再開し（ただし、タイムアウトはクリアしない）、一方でアラーム３または４は致命的なＤＥＡＤ状態を引き起こす。
－ タイムアウト：ＢＩＳＴテストが１０６サイクルで終了しない（十分な出力がない）場合、それは致命的なエラーＤＥＡＤ状態に至る。
－ ウォームアップ：ノイズ源テスト（ＡＰＴ及びＲＣＰ）が有効になる前に、ノイズ源からの最初の１００，０００サイクルが破棄される。状態はＢＩＳＴである。ノイズ源がウォームアップ以外のいずれかの時間にアラームをテストすると、ＤＥＡＤ状態になる。
－ 出力テスト：ノイズ調整器からの最初の１，０２４ビットは出力されないが、ＢＩＳＴモードでの自己テストとして使用される。この段階には４つの完全な２５６ビットのブロックがあり、ＮＣＴアラームがカウントされる。アラーム０はＢＩＳＴの成功を意味し、アラーム１または２はＢＩＳＴを最初から再開し（ただし、タイムアウトはクリアしない）、一方でアラーム３または４は致命的なＤＥＡＤ状態を引き起こす。
－ タイムアウト：ＢＩＳＴテストが１０６サイクルで終了しない（十分な出力がない）場合、それは致命的なエラーＤＥＡＤ状態に至る。
【0074】
前述のテスト及び関連するパラメータは、特定のリング発振器または動作頻度でうまく機能するように調整できる。例によれば、ＢＩＳＴ状態は、ソフトウェアドライバ１２０によって少なくとも１回ポーリングされるまで持続するので、ドライバは致命的でないエラーさえも登録することができる。
【0075】
多数の異なる２５６メガビットのノイズコーパス（サンプルＡ～サンプルＤ）を使用して、図１１に示す種類の２ステージノイズ調整器（各ステージは８状態のブラムＢ調整器）で実行されたテストを、次の表に示す。
【表1】
【0076】
エントロピーとイールドの評価は、データがＩＩＤ（独立かつ同一分布である）であるとは仮定せず、ノイズ調整器９１０への入力９１１、Ｈ０Ｙ１、２つのＢｌｕｍＢ調整器の間、Ｈ１Ｙ２、およびノイズ調整器９１０からの出力９１２、Ｈ２Ｙ２で行われる。さらに、Ｈｍｉｎが示されている。これは、出力がＩＩＤビット（バイアスのみに基づく）を生成すると見なされる場合の配置の最終的な最小エントロピーである。サンプルＡで見られるように、Ｈ２は常にＨ１よりも高いわけではなく、これは、「ランダム性」の性質に起因する入力サンプルに応じた能力の多少のばらつきがあることを意味する。しかし、一般に、第１のステージのブラムＢ調整器はエントロピーとイールドを大幅に増加させることが示されているが、第２のステージのブラムＢ調整器はＨｍｉｎに向かってエントロピーとイールドのゲインを増加させることが示されている。
【0077】
示されているように、総イールドはＹ１Ｙ２＜１／１６である。したがって、調整器は、２５ＭＨｚ基準クロックに対してリング発振器をサンプリングするノイズ源に対して１Ｍｂｐｓを超える公称出力速度を有するように見える場合がある。これは、実際的な観点では、ランダムビットストリームを必要とするほとんどの適用に対して十分に高速である。
【0078】
本明細書で説明される特定の例は、独立同分布（ＩＩＤ）に近い、及び／または出力ビット当たり少なくとも０．９９７ビットのシャノンエントロピーを含む出力ランダムビットシーケンスをもたらし得る。これは、通常はＩＩＤではない、及び／または前述のエントロピー基準を満たさない比較生ノイズ源とは異なる。本例では、エントロピーソースに組み込まれたノイズ調整器という形で、暗号化の後処理ではなく「算術」を提示する。これらは、暗号化調整器よりもはるかにリソース効率が高く、計算上の困難な仮定がない可能性があるため、これらがポスト量子コンピューティングと暗号化に適しているものになる（例えば、それらを本質的に「量子的に安全」にする）。
【0079】
比較乱数生成器で使用される多くの「ランダム性テスト」は、モンテカルロシミュレーションのランダム性を評価するのに適している場合があるが、セキュリティ及び暗号化の用途には適していない場合があることに留意されたい。例えば、線形代数による暗号分析は、特定の乱数生成器で使用される線形フィードバックシフトレジスタで生成された「ランダムな」ビットシーケンスがセキュリティのリスクをもたらす可能性があることを示している。これらの比較の事例では、線形フィードバックシフトレジスタの内部状態は、比較的少量の出力から導き出すことができ、将来及び過去の出力をほとんど労力をかけずに再現することができる。「乱数」生成器の出力が暗号化キーリングに使用される場合、これは壊滅的な結果になる可能性がある。対照的に、本例は、過去または将来の出力発見のリスクなしに、暗号化アプリケーションに適したランダムビットシーケンスをもたらす。
【0080】
例によるエントロピーソースの動作を示すフロー図を図１２に示す。
【0081】
第１のステップ１０００では、ノイズ源９０５によってノイズサンプルが生成される。次に１０１０で、ノイズ調整器９１０の第１のブラムＢ調整器ステージ９１３がノイズサンプルを調整し、次の１０２０で、調整されたノイズサンプルは、ノイズ調整器９１０の第２のブラムＢ調整器ステージ９１４によってさらに調整される。次に、調整されたノイズサンプルはバッファ９１５に格納され、そこからソフトウェアドライバ１２２が、調整されたノイズサンプルをポーリングして受信することができる。
【0082】
前述の説明は、説明した原理の例を示して説明するために提示されてきた。この説明は、網羅的であることを意図するものではなく、または開示されるいずれかの厳密な形態にこれらの原理を限定することを意図するものではない。上述の教示に照らして多くの変更形態及び変形形態が可能である。例えば、ランダムビットをノイズ調整器に配信するために、異なるノイズ源が採用されてもよい。このようなノイズ源は、「オンチップ」で回路を構成し得るか、または外部デバイスまたはシステムから派生し得る。また、ノイズ調整器の形状が異なる場合がある。例えば、任意の数のブラムＢ調整器を使用することができる。ブラムＢ調整器は１つだけである場合もあれば、（例示のように）２つある場合もあれば、３つ、４つ、５つ、またはそれ以上のブラムＢ調整器など、２つ超ある場合もある。ブラムＢ調整器ごとに、状態の数は任意の数２ｋで８と異なる場合がある。または、１つのブラムＢ調整器には８つの状態があり得、別のものには異なる数の状態がある場合がある。ブラムＢ調整器の状態数は、例えば、シフトレジスタのステージ数や、出力（例えば）フォンノイマンデバイアサを選択するための関連ロジックという観点で、ロジックの構成を決める。他の例では、ノイズ調整器は、少なくとも１つのブラムＢ調整器と、他の方法でバイアス除去及び／または相関除去を実行する１つまたは複数の他のステージとを備えることができる。関連付けられたパラメータ及び／または閾値による、様々な他のテストまたはアラームを、エントロピーソースの様々な構成に適用することができる。本明細書の例によれば、ノイズ調整器、及びより一般には実際のエントロピーソースは、ユースケースによって決定されたように、固定配線または構成可能な回路などのハードウェア、ファームウェア、ソフトウェア、または前述の任意の適切な組み合わせで、制限なく実現され得る。本明細書の例によるエントロピーソースは、中央処理装置と統合されてもよいし、例えばコプロセッサまたはコンピュータ／処理アーキテクチャ全体の他の別個の処理装置として、それとは独立して動作及び実現されてもよい。他の例では、エントロピーソースは、スタンドアロンの処理環境、例えば、接続されたＩｏＴデバイスまたは装置に配置できる組み込みプロセッサに統合することができる。例では、エントロピーソースは、軽量マイクロコントローラ、ＲＩＳＫ－Ｖなどの縮小命令セットアーキテクチャ、及び／またはポスト量子暗号に適合したプロセッサに展開されるように適合されている。
【0083】
任意の１つの例に関連して説明された任意の特徴は、単独でまたは説明した他の特徴と組み合わせて使用し得、また、他の任意の例の任意の特徴、または任意の他の例の任意の組み合わせと組み合わせて使用し得ることを理解されたい。
【0084】
特許請求されていない特定の例は、これより一連の条項として提示される。
【0085】
ある場合では、入力ビットシーケンスと比較して出力ビットシーケンスのバイアスを低減及び／またはエントロピーを増加させるために、処理モジュールまたはノイズ調整器が設けられる。処理モジュールは、入力ビットシーケンスのエントロピーに従って変化する出力ビットレートで出力ビットシーケンスを出力するように構成され、その結果、入力ビットシーケンスのエントロピーの増加は、出力ビットレートの増加と関連付けられ、入力ビットシーケンスのエントロピーの減少は、出力ビットレートの減少に関連付けられる。
【0086】
処理モジュールは、ソースから入力ビットを受信するための入力と、乱数生成に使用する出力ビットを生成するための出力とを有することができる。処理モジュールは、各状態が、１つまたは複数の前の状態からの２つの入口遷移と、１つまたは複数の後続の状態への２つの出口遷移とを有する２ｋ状態のマルコフ連鎖（例えば、ｋ＝３の場合）を実装することができる。処理モジュールは、ブラムのアルゴリズムＢに従ってビットを出力するように構成された処理ブロックを備えることができ、処理ブロックはマルコフ連鎖を実装する。処理モジュールは、第１のマルコフ連鎖と直列に、少なくとも第１の２ｋの状態のマルコフ連鎖及び第２の２Ｊの状態のマルコフ連鎖を実装することができる。ｋ及びＪはいずれも３に等しくてもよい。処理ブロックは、ブラムのアルゴリズムＢの少なくとも２つの連続する段階に従ってビットを出力するように構成されてもよく、各段階はマルコフ連鎖のインスタンスを実装する。
【0087】
特定の事例では、入力、セレクタ、及び２Ｌ個の出力ロジックセルを備えるロジックデバイスが設けられ、セレクタは、入力で受信された入力ビットシーケンスからのＬ個の入力ビットのシーケンスに基づいて出力ロジックセルを選択するように配置され、選択された出力ロジックセルは入力ビット値で動作する出力ロジックセルの論理に従って出力ビットを生成するように構成される。ロジックデバイスは、上の例で説明したように、フォンノイマンセルを含むことができる。
【0088】
ロジックデバイスは、入力ビットシーケンスを受信するシフトレジスタを備えることができ、シフトレジスタのＬステージは、セレクタをアドレス指定して、２Ｌ個の出力ロジックセル（例えば、Ｌ＝３）の１つを選択するように配置される。出力ロジックセルのそれぞれは、バイアス除去の論理動作を実行するように構成されてもよく、バイアス除去論理動作は、遅延されたフォンノイマン式バイアス除去論理動作を含んでもよい。ロジックデバイスは、ブラムのアルゴリズムＢに従ってビットを出力するように、及び／またはマルコフ連鎖を実装するように構成され得る。セレクタは、入力ビットシーケンスに基づいて出力ロジックセルを選択し、それによってマルコフ連鎖を実現するように構成することができる。
【0089】
ある場合には、上述の処理モジュールは、やはり上述の少なくとも１つのロジックデバイスを含むことができる。ある場合には、２つ以上のロジックデバイスを直列に配置することができ、第１のロジックデバイスからの出力ビットが入力ビットとして第２のロジックデバイスに供給される。
【0090】
ある場合では、乱数生成に使用するためのエントロピーソースは、上述の処理モジュールの形でノイズ源及びノイズ調整器を含むことができる。乱数生成に使用するハードウェア回路は、このエントロピーソースを構成することができる。ノイズ源はリング発振器を含むことができ、リング発振器は、フリーランニング式ループで接続された複数のインバータ、例えば３つのインバータを含むことができる。好ましくは、インバータの数は奇数である。ハードウェア回路は、出力されたランダムビットシーケンスに含まれるいくつかのビットを保持するためのバッファを備えることができる。バッファは、ポーリングされ、保持されたランダムビットシーケンスのいくつかのビットを配信するように構成され得る。
【0091】
ある場合では、入力ビットシーケンスと比較して出力ビットシーケンスのバイアスを低減及び／またはエントロピーを増加させるために、適応レートエントロピーソースがもたらされ、適応レートエントロピーソースは、入力ビットシーケンスのエントロピーに従って適応する出力ビットレートで出力ビットシーケンスを出力するように構成されて、入力ビットシーケンスのエントロピーの増加は出力ビットレートの増加に関連付けられ、入力ビットシーケンスのエントロピーの減少は出力ビットレートの減少に関連付けられるようにする。
【0092】
ある場合では、入力ビットシーケンスと比較して出力ビットシーケンスのバイアスを低減し、及び／またはエントロピーを増加させるように構成された処理モジュールがもたらされ、処理モジュールは、入力ビットシーケンスのエントロピーに応じて変化する出力ビットレートで出力ビットシーケンスを出力するようにさらに構成され、入力ビットシーケンスのエントロピーの増加は出力ビットレートの増加に関連付けられ、入力ビットシーケンスのエントロピーの減少は出力ビットレートの減少に関連付けられ、それによって、入力ビットシーケンスと比較して出力ビットシーケンスのバイアスを低減及び／またはエントロピーを増大させ、出力ビットレートは、さもなければバイアスの増大及び／またはエントロピーの低減につながる入力ビットを破棄することによって低減される。
【0093】
ある場合では、第１のエントロピーを有する入力ビットストリームを受信するための入力と、第１のエントロピーと比較して増加した第２のエントロピーを有する出力ビットストリームを配信するための出力とを備えるノイズ調整器がもたらされる。ノイズ調整器は、システムクロックの各クロックサイクルで動作して、入力ビットストリームの次の入力ビットをシフトレジスタ構成にロードするシフトレジスタ構成、それぞれの宛先ロジックセルによって実行されるバイアス除去の動作の結果に従って、それぞれの宛先ロジックセルにクロックインされ、出力ビットを出力するか出力ビットを出力しないかのいずれかである、入力ビットストリームの次の入力ビットと前の入力ビットに基づいてバイアス除去の動作を実行するように各々配置された２ｋの宛先ロジックセル、及びシフトレジスタ配列にロードされた入力ビットストリームのｋ個の前の入力ビットのシーケンスによって決定されるアドレスに基づいて宛先ロジックセルを選択するように動作するセレクタを含み得、それによってシフトレジスタに導入される次の各入力ビットがまた、選択されたロジックセルにクロックインされ、それぞれのデバイアス動作が実行され、セレクタによって決定されたアドレスのシーケンスが、所定の２ｋ状態のマルコフ連鎖の遷移に対応する順序で宛先ロジックセルのそれぞれのシーケンスを選択する。ノイズ調整器は、前述のように２つの処理ブロックを含むことができ、第２の処理ブロックは、最初に述べた処理ブロックと同じ形式を有し、直列に動作する。
【符号の説明】
【0094】
１００ アーキテクチャ
１１０ エントロピーソース
１１２ ハードウェアエントロピーソース
１１４ ノイズ調整器
１１６ バッファ
１１８ ハードウェアインターフェイス
１２０ ソフトウェア
１２２ ソフトウェアドライバ
１２４ ポーリングインターフェイス
１２６ 調整器
１６０ ソフトウェアアプリケーション
２００ ノイズ源
２０５ａ、２０５ｂ、２０５ｃ ＮＯＴゲート
２２０ ＮＡＮＤゲートへの第２の入力
２２５ ループ
２３０ フィードバックライン
２３５ Ｄ型ラッチ
２４０ ラッチの出力
３００ マルコフ連鎖
４００ ２状態のマルコフ連鎖
５００ ４状態のマルコフ連鎖
７００ マルコフ連鎖
８００ ブラムＢ調整器
８０１ セレクタ
８０２ 入力Ｄ
８０４ クロック信号ＣＬＫ
８０６ イネーブル入力Ｗ
８０８ シフトレジスタ構成
８１０ セレクタ
８１２ リセット入力ＲＳＴ
８１４ 出力Ｑ
８１６ イネーブル出力Ｅ
８１８ フォンノイマンセル
９００ エントロピーソース
９０５ ノイズ源
９１０ ノイズ調整器
９１１ 第１のビットのシーケンス
９１２ 第２の相関除去ビットのシーケンス
９１３、９１４ ノイズ調整の２つのステージ
９１５ バッファ
９２０、９３０ オンラインテスト
９２２ 反復回数テスト（ＲＣＴ）
９２４ 適応比例テスト（ＡＰＴ）
９４０ ＯＰＳＴ
１１０ エントロピーソース
１１２ ハードウェアエントロピーソース
１１４ ノイズ調整器
１１６ バッファ
１１８ ハードウェアインターフェイス
１２０ ソフトウェア
１２２ ソフトウェアドライバ
１２４ ポーリングインターフェイス
１２６ 調整器
１６０ ソフトウェアアプリケーション
２００ ノイズ源
２０５ａ、２０５ｂ、２０５ｃ ＮＯＴゲート
２２０ ＮＡＮＤゲートへの第２の入力
２２５ ループ
２３０ フィードバックライン
２３５ Ｄ型ラッチ
２４０ ラッチの出力
３００ マルコフ連鎖
４００ ２状態のマルコフ連鎖
５００ ４状態のマルコフ連鎖
７００ マルコフ連鎖
８００ ブラムＢ調整器
８０１ セレクタ
８０２ 入力Ｄ
８０４ クロック信号ＣＬＫ
８０６ イネーブル入力Ｗ
８０８ シフトレジスタ構成
８１０ セレクタ
８１２ リセット入力ＲＳＴ
８１４ 出力Ｑ
８１６ イネーブル出力Ｅ
８１８ フォンノイマンセル
９００ エントロピーソース
９０５ ノイズ源
９１０ ノイズ調整器
９１１ 第１のビットのシーケンス
９１２ 第２の相関除去ビットのシーケンス
９１３、９１４ ノイズ調整の２つのステージ
９１５ バッファ
９２０、９３０ オンラインテスト
９２２ 反復回数テスト（ＲＣＴ）
９２４ 適応比例テスト（ＡＰＴ）
９４０ ＯＰＳＴ
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【国際調査報告】