(57)【要約】      （修正有）【課題】光子をランダムに放出する光源を含む量子的性質の光学プロセスに基づく乱数発生のためのデバイスを提供する。【解決手段】デバイスは、ランダムに放出された光子を吸収するように適合され、ある時間間隔Ｔにおいて光源１によって生成された光子の数ｎを測定するように適合された光検出器２と、乱数性抽出器３とを含む。光検出器２は、光子−電子変換器として働く光子センサ２．２と、受信した電子信号を電圧に変換し、電圧信号Ｖに増幅するための増幅器２．３と、増幅された信号Ｖを、をデジタル値ｄに変換することによって処理し、これらのデジタル値ｄをさらなる処理のために乱数性抽出器３に送信するためのアナログ−デジタル変換器ＡＤＣ、２．４と、を含む。ある時間間隔Ｔにおいて光源１によって生成された光子の数ｎに基づいて量子乱数（ＱＲＮ）を生成する。【選択図】図２
2015215888.tif 000002
【特許請求の範囲】
【請求項１】
光子をランダムに放出する光源（１）と、
ランダムに放出された前記光子を吸収するように適合された光子センサ（２．２）を含む光検出器（２）と、
前記光子センサ（２．２）から受信した電子信号を電圧に変換し、電圧信号（Ｖ）を増幅するための増幅器（２．３）と、
増幅された前記信号（Ｖ）をデジタル値（ｄ）にエンコードすることによって、前記増幅器（２．３）から受信した増幅された前記信号（Ｖ）を処理し、さらなる処理のために前記デジタル値（ｄ）を乱数性抽出器（３）に送信する、アナログ−デジタル変換器（ＡＤＣ、２．４）と、
ｌ個（ｌ＞ｋ）の低エントロピーの未処理の入力ビットｒｉからｋ個の高エントロピーの出力ビットｙｉを生成するように適合された乱数性抽出器（３）と、を含む、量子的性質の光学プロセスに基づく乱数発生のためのデバイスであって、
前記検出器（２）の前記光子センサ（２．２）が線形的に動作するように適合され、前記検出器（２）がある時間間隔Ｔにおいて前記光源（１）によって生成された光子の数ｎを測定するように適合できるように、光子−電子変換器として働き、
前記乱数性抽出器（３）が、ビット当たりエントロピーｓを有する未処理の入力ビットｒｉに関して、
【数１】
2015215888.tif 000018
によって制限される完全にランダムなビット列から逸脱する確率を有する出力ビットｙｉを生成するように適合され、ある時間間隔Ｔにおいて前記光源（１）によって生成される光子の前記数ｎに基づいて量子乱数（ＱＲＮ）を生成するように適合されることを特徴とする、量子的性質の光学プロセスに基づく乱数発生のためのデバイス。
【請求項２】
前記光源（１）が、発光ダイオード（ＬＥＤ）、レーザーダイオード（ＬＤ）、環境光、または光子をランダムに放出するその他の適切な光源を含む光源の群から選択されることを特徴とする、請求項１に記載のデバイス。
【請求項３】
前記光子センサ（２．２）が、ＣＣＤカメラ、ＣＭＯＳカメラ、特に画素アレイを有する画像センサ、または十分な単一光子分解能を有するその他の適切な光子検出器を含む光子検出器の群から選択されることを特徴とする、請求項１または２に記載のデバイス。
【請求項４】
前記アナログ−デジタル変換器（２．４）が、条件ζ≧１を満たす電子−デジタル変換因子ζを有することを特徴とする、請求項１から３のいずれか一項に記載のデバイス。
【請求項５】
前記乱数性抽出器（３）が、ソフトウェアまたはハードウェアによって実装されることを特徴とする、請求項１から４のいずれか一項に記載のデバイス。
【請求項６】
前記乱数性抽出器（３）が、ハッシュ関数または前記検出器（２）の出力において発生した未処理のビット値ｒｉによって形成されたベクトルと、以下の数式
【数２】
2015215888.tif 000019
に従うランダムなｌ×ｋ行列Ｍとの間のベクトル行列積によって実現され、
乱数性抽出器（３）として働く前記行列Ｍが、ランダムに分布した行列要素を有する予め生成された定数であり、前記ビット値ｙｉによって形成されたベクトルが前記乱数性抽出器（３）のデジタル出力であることを特徴とする、請求項１から５のいずれか一項に記載のデバイス。
【請求項７】
出力ビットごとの量子エントロピーの量が１に近い、前記乱数性抽出器（３）のデジタル出力ビット値ｙｉを生成するように、前記乱数性抽出器が決定されることを特徴とする、請求項１から６のいずれか一項に記載のデバイス。
【請求項８】
前記デバイスの構成要素が、システム、回路、パッケージまたはダイレベルに、好適にはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）またはＣＭＯＳセンサチップ上に直接集積されることを特徴とする、請求項１から７のいずれか一項に記載のデバイス。
【請求項９】
請求項１から８のいずれか一項に記載のデバイスを含むことを特徴とする、装置、特にコンピュータ、電話、携帯型コンピュータもしくは携帯電話、タブレットコンピュータ、スマートフォン、ネットワーク暗号化デバイス、個人用暗号化デバイス、電子マネー端末、またはその他の類似の機器。
【請求項１０】
光子をランダムに放出する光源（１）を提供する段階と、
ランダムに放出された前記光子を吸収するように適合された光子センサ（２．２）、増幅器（２．３）及びアナログ−デジタル変換器（２．４）を含む光検出器（２）を提供する段階と、
前記光子センサ（２．２）から受信した電子信号を電圧に変換し、前記検出器（２）の前記増幅器（２．３）を用いて電圧信号（Ｖ）を増幅する段階と、
前記増幅器（２．３）から受信した増幅された前記信号（Ｖ）を、前記検出器（２）の前記アナログ−デジタル変換器（２．４）を用いてデジタル値にエンコードすることにより処理し、前記値をさらなる処理のために乱数性抽出器（３）に送信する段階と、
ｌ個（ｌ＞ｋ）の低エントロピーの未処理の入力ビットｒｉからｋ個の高エントロピーの出力ビットｙｉを生成するように適合された乱数性抽出器（３）を提供する段階と、を含む量子的性質の光学プロセスに基づく乱数発生のための方法であって、
前記方法がさらに、
ある時間間隔Ｔにおいて前記光源（１）によって生成された光子の数ｎを検出することができるように前記検出器（２）の前記光子センサ（２．２）を線形的に動作させ、光子の前記数を前記検出器（２）の前記光子センサ（２．２）を用いて対応する電子の数に変換する段階と、
ビット当たりのエントロピーがｓである未処理の入力ビットｒｉに関して、前記乱数性抽出器（３）を使用することによって、
【数３】
2015215888.tif 000020
で制限される完全にランダムなビット列から逸脱する確率を有する出力ビットｙｉを生成し、ある時間間隔Ｔにおいて前記光源（１）によって生成される光子の前記数ｎに基づいて量子乱数（ＱＲＮ）を生成する段階と、を含むことを特徴とする、量子的性質の光学プロセスに基づく乱数発生のための方法。
【請求項１１】
吸収される光子の平均数
【数４】
2015215888.tif 000021
が、できる限り大きいが前記光子センサ（２．２）を飽和させない量子不確定性
【数５】
2015215888.tif 000022
を与えるのに十分であるように適合された時間間隔Ｔの間、前記検出器（２）の前記光子センサ（２．２）が前記光源（１）によって照射されることを特徴とする、請求項１０に記載の方法。
【請求項１２】
前記検出器（２）の前記光子センサ（２．２）が、前記光源（１）によって、前記光子センサ（２．２）のファノ因子が１に近い強度の範囲の光子強度で照射されることを特徴とする、請求項１０または１１に記載の方法。
【請求項１３】
前記光子センサ（２．２）が前記光源（１）によって照射される露出時間が、前記検出器が線形的に働くように選択されることを特徴とする、請求項１０から１２のいずれか一項に記載の方法。
【請求項１４】
前記検出器（２）の出力において生成された未処理のデジタル値ｒｉ、前記乱数性抽出器（３）の出力におけるデジタル値ｙｉのそれぞれが、ｂビットに渡ってエンコードされ、または２進数以外の進数でエンコードされることを特徴とする、請求項１０から１３のいずれか一項に記載の方法。
【請求項１５】
請求項１０から１４のいずれか一項に記載の方法を実装するように適合された、コンピュータ可読媒体に収容された、コンピュータプログラム手段。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、光子をランダムに放出する光源を含む、量子的性質の光学プロセスに基づく量子乱数発生のためのデバイスおよび対応する方法に関し、そのいずれも高品質の乱数を得ることができる。
【背景技術】
【０００２】
一般に、本発明は、乱数発生に関連する。実際に、高品質の乱数の発生は、古典論的及び量子的の両方の暗号プロトコルなどのセキュリティの多くの用途について必須である。例えば周知のＤＳＡ、ＲＳＡ及びディフィー−ヘルマンアルゴリズムなどの従来の非対称鍵プロトコルは、その鍵を発生するために、素数判定された乱数を使用する。別の一例は、暗号化されるデータの長さと等しい長さの完全乱数の数列を必要とする、無条件安全性ワンタイムパッドプロトコルである。このプロトコルの主要な制限は、鍵交換の必要性である。量子鍵配布は、２つの安全な鍵を離れた位置で発生させる方法を提示するが、その実装もまた、非常に多数の乱数を必要とする。これらの例の全ては、１９世紀にさかのぼり、暗号の安全性が完全に鍵に内在しなければならないというケルクホフスの原理を反映している。
【０００３】
従って、暗号化アルゴリズムに使用され、実際上はランダムに選択される必要がある鍵が安全であることが特に重要である。過去には、非特許文献１において、Arjen K. Lenstra, James P. Hughes, Maxime Augier, Joppe W. Bos, Thorsten Kleinjung, Christophe Wachterにより報告されたように、乱数発生の脆弱性により、多くのシステム及びプロトコルが破られる結果となった。そのような破壊は、Leo Dorrendorf, Zvi Gutterman, Benny Pinkasによる非特許文献２に見られるようなオペレーティングシステムの安全性、Luciano Belloによる非特許文献３に見られるような通信プロトコル、Bushing, Marcan, Segher, Svenによる非特許文献４に見られるようなデジタル権利管理、及びRichard Chirgwinによる非特許文献５に見られるような金融システムなどの多種の分野で関心を持たれている。そのため、今日、乱数発生は、ケルクホフスの研究で当初目的とされたような防衛において関心をもたれるだけでなく、コンピュータ技術や一般科学、経済、宝くじやゲーム、また組織のプライバシー問題、または乱数を使用するプロトコルに基づいて保存されもしくは暗号化された個々の個人データなどのその他多くの分野にも影響を及ぼしている。
【０００４】
しかしながら、高品質の乱数を発生させることは難しく、特に、これらの乱数は、コンピュータプログラムのような決定論的アルゴリズムによって生成することはできない。実際には、既存のアルゴリズムに基づく疑似乱数発生器がシミュレーションの目的には有利に使用されうるが、得られた疑似乱数は原理的に再生成可能であるため、暗号技術には適していない。確実に一意性及び、特に、生成されたビット列の乱数性を確実に得るために、C. H. Vincentによる非特許文献６またはY. Saitoh, J. Hori, T. Kiryuらによる非特許文献７で説明されるように、物理乱数発生器が必要とされる。
【０００５】
過去には、物理プロセスの統計的性質を利用する、２種類の物理乱数発生器が提案された。第１の種類の発生器は、原理的に決定論的法則に従うが、複雑さ及びシステムの初期状態の不完全な知識によるカオス性を有するプロセスを使用する。例えばラーヴァ・ランプなどの動く風景から情報を抽出することにより、または“Method for seeding a pseudo-random number generator with a cryptographic hash of a digitization of a chaotic system”と題する１９９８年の特許文献１においてR. G. Mende, L. C. Noll, S. Sisodiyaによって開示されたようなセンサの読出しノイズを使用することにより、古典論的な発生源の乱数を発生するために、画像センサが使用された。そのような種類の物理乱数発生器の他の例は、特許文献２から６に開示されている。しかし、そのようなデバイスの、またそれぞれ対応する方法の乱数性及びスループットの両方の観点における性能は低いものであった。
【０００６】
第２の種類の発生器は、量子機械プロセスなどのいくつかの固有の基本的な乱数性を利用する物理プロセスを使用する。そのため、量子乱数発生器（ＱＲＮＧ、ｑｕａｎｔｕｍ  ｒａｎｄｏｍ  ｎｕｍｂｅｒ  ｇｅｎｅｒａｔｏｒ）は、例え攻撃者がデバイスの完全な情報を有しているとしても、その性質によって予測できない数列を生成し、J. G. Rarity, P. C. M. Owens, P. R. Tapsterによる非特許文献８により詳細に説明されるように、特に関心を持たれている。既知のＱＲＮＧは、例えばA. Stefanov, N. Gisin, O. Guinnard, L. Guinnard, H. Zbindenによる非特許文献９に開示されるような単一の光子発生源及び検出器、Wolfgang Dultz, Eric Hildebrandtによる“Optical random-number generator based on single-photon statistics at the optical beam splitter”と題する２００２年の特許文献７に開示されるようなビームスプリッターと組み合わせた光子対光源、W. Wei, H. Guoの非特許文献１０によって提案されたデバイス、またはChristian Gabriel, Christoffer Wittmann, Denis Sych, Ruifang Dong, Wolfgang Mauerer, Ulrik L. Andersen, Christoph Marquardt, Gerd Leuchsによる非特許文献１１によって開示されたようなホモダイン検出などの特殊なハードウェアに基づいている。そのような種類の物理乱数発生器のその他の例は、特許文献８から１３に開示されている。しかし、これらのＱＲＮＧは、特に、必要とされる特殊なハードウェアによる大きさ及び複雑さの点並びに速度及び拡張性の点で、高い製造コストを必要とし、それぞれ用途が限定されるという顕著な欠点を有する。
【０００７】
そのため、先行技術による解決手段は、いくつかの問題を本質的に含んでいる。既知のＱＲＮＧが量子乱数、すなわち乱数発生源を実際に発生する場合、対応するデバイスは複雑であり、高コストとなる。古典論的発生源の乱数を発生するデバイスは、乱数性及びスループットの点で性能が低い。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】米国特許第５７３２１３８号明細書
【特許文献２】米国特許第６８３１９８０号明細書
【特許文献３】米国特許第６２１５８７４号明細書
【特許文献４】国際公開第２０１３／００３９４３号
【特許文献５】欧州特許出願公開第１８２１１９６号明細書
【特許文献６】国際公開第０１／９５０９１号
【特許文献７】米国特許第６３９３４４８号明細書
【特許文献８】米国特許第７２８４０２４号明細書
【特許文献９】米国特許出願公開第２０１２／０４５０５３号明細書
【特許文献１０】特開２００９−０７０００９号公報
【特許文献１１】欧州特許出願公開第２５９２５４７号明細書
【特許文献１２】英国特許出願公開第２４７３０７８号明細書
【特許文献１３】国際公開第０２／０９１１４７号
【非特許文献】
【０００９】
【非特許文献１】“Ron was wrong, whit is right”、２０１２年、Cryptology ePrint Archiveより発行
【非特許文献２】“Cryptanalysis of the random number generator of the windows operating system”, ACM Trans. Inf. Syst. Secur., 13 (1): 1-32, 2009
【非特許文献３】“Openssl − predictable random number generator”, Debian security advisory 1571-1, 2008
【非特許文献４】“Ps3 epic fail”, the 27th Chaos Communication Congress, 2010
【非特許文献５】“Android bug batters bitcoin wallets”, The Register, 2013
【非特許文献６】“The generation of truly random binary numbers”, Journal of Physics E: Scientific Instruments, 3(8):594, 1970
【非特許文献７】“Generation of physical random number using frequency-modulated lc oscillation circuit with shot noise”, Electron Comm. Jpn. 3, 88(5): 12-19, 2005
【非特許文献８】“Quantum random-number generation and key sharing”, Journal of Modern Optic, 41(12): 2435-2444, 1994
【非特許文献９】“Optical quantum random number generator”, Journal of Modern Optic, 47(4): 595-598, 2000
【非特許文献１０】“Bias-free true random-number generator”, Opt. Letters, 34(12); 1876-1878, 2009
【非特許文献１１】“A generator for unique quantum random numbers based on vacuum states”, Nat. Photon, 4(10): 711-715, 2010
【非特許文献１２】“Experimental realization of sub-shot-noise quantum imaging”, Nat. Photon, 4(4): 227-230, 2010
【非特許文献１３】“Squeezed states of light”, Nature, 306: 141-146, 1983
【非特許文献１４】“A randomness extractor for the quantis device”, Id Quantique technical report, 2012
【発明の概要】
【発明が解決しようとする課題】
【００１０】
本発明は、前述の問題を解決し、量子乱数発生のためのデバイスおよび対応する方法を実現することを目的とする。そのデバイスは、既存のデバイスと比較して、大きさ、複雑さ及び製造コストを低減し、応用範囲を増大するものである。
【課題を解決するための手段】
【００１１】
このために、本発明は、請求項１に列挙される特徴によって特定され、対応する方法とともに、前述の目的を達成することができる。
【００１２】
具体的には、本発明による量子的性質の光学プロセスに基づく乱数発生のためのデバイスは、ランダムに放出される光子を吸収し、ある時間間隔Ｔにおいて前述の光源によって発生した光子の数ｎを測定するように適合された光検出器と、乱数性抽出器と、をさらに含み、検出器は光子−電子変換器として働く光子センサと、光子センサから受信した電子信号を電圧に変換し、電圧信号Ｖを増幅する増幅器と、増幅器から受信した増幅された信号Ｖを、増幅された信号Ｖをデジタル値ｄに符号化することによって処理し、これらのデジタル値ｄを乱数性抽出器に送るためのアナログデジタル変換器と、を含み、乱数性抽出器はある時間間隔Ｔにおいて光源によって生成された光子の前述の数ｎに基づいて量子乱数（ＱＲＮ：Ｑｕａｎｔｕｍ  Ｒａｎｄｏｍ  Ｎｕｍｂｅｒ）を発生させるように更に処理する。
【００１３】
このデバイスの好適な実施形態によれば、光源は発光ダイオードまたはレーザーダイオードとして選択されてもよく、光子センサはＣＣＤカメラまたはＣＭＯＳカメラによって形成されてもよい。カメラ、一般には光子センサは、線形的に動作し、ファノ因子は１に近い値であり、最適な性能のためには、アナログデジタル変換器は、条件ζ≧１を満たす電子−デジタル変換因子ζを有するように調整される。
【００１４】
以下の説明でより詳細に特定されるカメラ、処理電子部品及び乱数性抽出器のこれらの動作パラメータ及びその他の動作パラメータにより、量子的に発生した高品質の乱数を生成し、多数の固定のまたは携帯可能な装置及び機器に集積され得る、小型低コストの量子乱数発生器を実現することができる。
【００１５】
本発明はまた、対応する方法及びこの方法を実装するように適合されたコンピュータプログラム手段にも関連する。
【００１６】
本発明のその他の特徴及び利点は、以下の図を参照してより詳細に発明を開示する説明とともに、従属請求項において言及されている。
【００１７】
添付された図面は、本発明の原理及びいくつかの実施形態を例示的かつ概略的に示している。
【図面の簡単な説明】
【００１８】
【図１】光子の数ｎが画像センサの画素によって測定される確率分布Ｐ（ｎ）を概略的に示しており、この確率は光源の量子的性質に起因する量子的不確定性σｑ及び使用される技術的装置に起因する技術的ノイズσｔの組み合わせである。
【図２】本発明による乱数発生のためのデバイスの主要な構成要素を、デバイスの動作原理と共に概略的に図示しており、これらの構成要素は光源、検出器及び乱数性抽出器であり、検出器はいくつかの副素子を含む。
【図３】本発明による乱数発生のためのデバイスの一例を概略的に示しており、デバイスは光源としてＬＥＤを含み、検出器はＬＥＤによって照射され、乱数性抽出器は検出器のデジタル出力を処理する。
【図４ａ】ＡＴＩＫ３８３Ｌカメラに関して、様々な照射強度に対するファノ因子Ｆを示している。
【図４ｂ】ノキア  Ｎ９携帯電話に含まれるカメラに関して、様々な照射強度に対するファノ因子Ｆを示している。
【図５ａ】検出器としてＡＴＩＫ３８３Ｌ  ＣＣＤカメラを使用する場合に得られる、光子分布の規格化されたヒストグラムを示している。
【図５ｂ】検出器としてノキア  Ｎ９  ＣＭＯＳカメラを使用する場合に得られる、光子分布の規格化されたヒストグラムを示している。
【発明を実施するための形態】
【００１９】
以下において、本発明は、前述の図面を参照して詳細に説明される。
【００２０】
第１の部分において、様々なエントロピー発生源を含む提案されるシステムの概念及び量子的に発生したエントロピーがどのように抽出可能であるかを説明する。第２の部分において、提案される乱数発生の２つの異なる実施形態を開示する。最後に、発生した乱数に関して、これらの乱数発生器を使用して得られる結果を、発生した乱数で実施される試験を含めて提示する。
【００２１】
本発明の概念は、量子状態のいくつかの特性が、測定の前には未知であり、原理的に予測不可能であるという事実に基づいている。最もよく知られたＱＲＮＧで使用されるそのような特性の１つは、ビームスプリッターに入射する光子がとる経路である。他のそのような特性は、ある時間間隔Ｔにおいて、光源が発生する光子の数である。この発明において使用されるのは後者の効果である。実際には、ほとんどの光源は、ランダムな時刻に光子を放出し、または一度にランダムな個数の光子を放出する。単純化のために、以下の説明では、これらの効果の両方が、そのような光源が光子をランダムに放出するという用語によって包含されるものとする。どのような場合でも、単位時間ごとに放出される光子の数を予測することは不可能である。この量子効果は、通常「量子ノイズ」または「ショットノイズ」と呼ばれ、例えばG. Brida, M. Genovese, I. R. Bercheraの非特許文献１２に示されるように、光源または検出器の技術的限界よりもむしろ光の場の特性として示されている。Daniel F. Wallsによって非特許文献１３において報告されるように、いくつかの特定の光源、すなわち振幅スクイーズド光のみが、この原理的なノイズを解決することができる。これらの非常に特殊な光源に加えて、単位時間Ｔごとに光源が放出する光子の数は、以下の数式の標準偏差を有するポアソン分布に支配される。
【００２２】
【数１】
2015215888.tif 000003
【００２３】
ここで、
【００２４】
【数２】
2015215888.tif 000004
【００２５】
は時間間隔Ｔの間に放出された光子の平均数である。従って、この分布を分解することができる検出器を使用することによって、ＱＲＮＧを実現するために、例えば原理的にランダムな物理的プロセスに起因する乱数を発生させるために、この量子効果を利用しうる。図１に概略的に示されるように、この手法の基本的な仮定は、（ａ）光電子の数ｎが検出器によって、例えば画像センサの画素によって、確率Ｐ（ｎ）で測定可能であること、（ｂ）検出器が線形的に動作していると仮定して、この測定された分布が、量子的不確定性σｑ及び技術的ノイズσｔの組み合わせとなること、及び（ｃ）技術的ノイズσｔが完全に決定論的であり、従って敵対者に知られていると仮定しても、一回の測定から、これら２つのノイズ成分が区別できないこと、からなる。以下に明らかになるように、このことは好適であるが、検出器の不可避の技術的ノイズσｔが、光源の量子的性質に起因する量子的不確定性σｑより小さい、または同程度である本発明に従うＱＲＮＧの実現に必ずしも必要ではない。
【００２６】
前述の概念を実現するように適合されたデバイスは図２に概略的に示されるように、光源１と、検出器２と、乱数性抽出器３と、を含む。光源１は、発光ダイオード（ＬＥＤ）、レーザーダイオード（ＬＤ）または光源が上記で規定された意味においてランダムに光子を放出する限り、その他の適切な光源から、環境光からさえも選択されてもよい。検出器２は、いくつかの要素を含み、また図２に概略的に示されるように、所定の分離比を有するビームスプリッターに類似した、転送確率ηを有する損失チャネル２．１及びそれに続く、ユニット効率を有する光子−電子変換器として働く光子センサ２．２としてモデル化可能である。このモデルにおいて、転送確率ηは、光学要素及び光子センサ２．２の量子効率による全ての損失を含む。光子センサ２．２は、いかなる種類の光子検出器によって実現されてもよく、特に、現在市販されているＣＣＤもしくはＣＭＯＳカメラまたは画像センサとして働くように適合され、十分な光感度を有する入手可能な構成要素のような、画素アレイを有する画像センサによって、またはそのような画像センサの個々の画素それぞれによって実現されてもよい。光源１からの少ない量の光は光子センサ２．２に入射する。このことは、ダイ、パッケージまたはアセンブリーレベルで導波し、反射しまたは散乱することによって実施することができる。吸収された光子γのそれぞれに関して、光子センサ２．２は図２に記号的に示されているように、電子ｅ−を発生させる。検出器２はさらに、処理電子部品、具体的には光子センサ２．２から受信した電子信号を電圧に変換し、電圧信号Ｖを増幅するための増幅器２．３及び、光子、従って電子の数を表す増幅信号Ｖをデジタル値にエンコードし、これらの値をよりさらなる処理、すなわち詳細に後述する乱数性抽出器３に送信することにより、増幅器２．３から受信した増幅信号Ｖを処理するアナログ−デジタル変換器（ＡＤＣ）２．４を含む。増幅器２．３及びＡＤＣ２．４もまた、市販の素子から選択されてもよい。前述の構成要素の全ては、１つの回路、パッケージまたはダイレベルで集積されてもよい。有利には、乱数性抽出器は、ソフトウェアに実装可能であるが、ハードウェアによる構成要素として実現することも可能である。さらに、処理電子部品と関連して、電子−デジタル変換因子ζを定義することができる。ζ≧１であれば、光子センサ２．２によって発生する電子の可能な数のそれぞれに関して、すなわち光源１によって発生し、センサ２．２によって吸収される光子の可能な数のそれぞれに関して、ＡＤＣ２．４の出力において、すなわち検出器２の出力において、１つの固有のデジタル値またはコードが存在する。そのため、条件ζ≧１は必須の要件ではないが、デバイスの最適な性能のためには好適である。例えば、熱ノイズ、漏洩電流または読出しノイズのような様々な原因のノイズを、実際のデバイスでは回避できないため、検出器のモデルを完成するために、ノイズを追加する必要がある。一般に、このノイズは正規分布に従い、図１に記号的に示されるように、信号に線形的に追加される。
【００２７】
その結果、前述のようなデバイスは、光源１のショットノイズ統計にアクセスすることが可能であり、そのため量子的に発生した乱数を発生することができる。実際には、光子センサ２．２によって吸収された光子のそれぞれは、電子を、具体的には画素のアレイを有する画像センサが用いられる場合には対応する画素内で、発生させることとなる。時間間隔Ｔの間に生成された電子の数は、光及び吸収プロセスの量子的性質により、予測不可能である。電子の数は、センサ２．２の内部のまたは外部の構成要素によって電圧に変換され、増幅され、デジタル化される。顕著な量の量子エントロピーが収集されるために、光の量並びに増幅及びデジタル化のパラメータが適切であることが重要である。このプロセスによって生成されたエントロピーのいくらかは、電気的、熱的、増幅、デジタル化ノイズまたは画像それ自体に起因する構造などの古典論的ノイズに起因するため、全てが量子的に発生するものではない。しかし、適切に調整された乱数性抽出器３は、より詳細に特定するさらなる説明において明確になるように、確実に出力される乱数が量子的に発生したものである、すなわち出力ビット当たりの量子エントロピーの量が１に近く、必要な光の量並びに増幅及びデジタル化のためのパラメータであることを可能とする。
【００２８】
実際には、検出器２の出力において、ランダムな変数Ｘ＝Ｘｑ＋Ｘｔが得られ、Ｘｑ及びＸｔは量子的不確定性分布Ｄｑ及び技術的ノイズ分布Ｄｔからとられた独立なランダム変数である。生成される量子エントロピーにのみ基づくことが可能であるように、技術的ノイズは、図１において「イブ」と呼ばれる敵対者に完全に知られているものと仮定する。そのため、検出器２の出力における量子エントロピーの量は、吸収される光子の平均数
【００２９】
【数３】
2015215888.tif 000005
【００３０】
に等しい平均値を有するポアソン分布のエントロピーに対応し、ビットとして以下のように表される。
【００３１】
【数４】
2015215888.tif 000006
【００３２】
大きな値の
【００３３】
【数５】
2015215888.tif 000007
【００３４】
に関して、この数式は次のように近似可能である。
【００３５】
【数６】
2015215888.tif 000008
【００３６】
このエントロピー全体を集めるために、検出器は好適には前述の条件ζ≧１を満たすべきである。測定された値Ｘはｂビットに渡ってエンコード可能であるが、もちろん２進数系以外の他の進数で値をエンコードすることも可能である。出力のビットごとの量子的に発生したエントロピーＨ（Ｘｑ）は、平均Ｈ（Ｘｑ）／ｂ＜１となる。前述のように、適切に選択された動作条件を仮定すると、ＡＤＣ２．４は飽和せず、ビットごとのエントロピーｓはＨ（Ｘｑ）をＡＤＣの出力ビットの数で割ることによって近似可能である。完全にランダムな、すなわちビットごとに単位量子エントロピーを有するビット列を得るために、抽出器が必要である。M. Troyer, R. Rennerによる、参照によって本明細書にその内容が組み込まれた、非特許文献１４に詳細に説明されるように、抽出器は、低エントロピー入力ビットｒｉの数ｌ＞ｋから高エントロピー出力ビットｙｉの数ｋを計算する。これは、未処理ビット値ｒｉによって形成されるベクトルと、以下に従うランダムなｌ×ｋ行列Ｍ（２次元）との間のベクトル−行列積を実施することによって行うことができる。
【００３７】
【数７】
2015215888.tif 000009
【００３８】
Ｍの要素はランダムに分布しているが、乱数性抽出器３として働く行列Ｍは通常、予め生成された定数である。ビットごとにエントロピーｓを有する未処理の入力ビットに関して、出力ベクトルｙｉが完全にランダムなビット列から得られる確率は、以下によって制限される。
【００３９】
【数８】
2015215888.tif 000010
【００４０】
代替的に、適切な乱数性抽出器３は、前述の行列積抽出器と等価な動作を行うことができるハッシュ関数によって実現されてもよい。これは、当業者には既知であるため、ここでさらに説明を行うことを要しない。
【００４１】
前述のような種類の光源１、検出器２及び乱数性抽出器３を含む、前述のようなデバイスの実用性及びそのようなデバイスで得られうる結果を示すために、提案される乱数発生器の２つの異なる実施形態をこれから開示する。実際には、近年、デジタルカメラ及びスマートフォンに見られるような画像センサは大きく改善されている。現在、これらの読出しノイズは数電子のオーダーであり、その量子効率は８０％に達しうる。高精度で量子ノイズを分解することができる能力に加えて、そのような画像センサは本質的に並列的であり、高いデータ率を提示する。そのため、そのような画像センサを、本発明に従う量子乱数発生器の構成要素として使用することが可能であり、これを、以下において市販の天文学用単色ＣＣＤカメラであるＡＴＩＫ３８３Ｌカメラ及び携帯電話のＣＭＯＳセンサであるノキアのＮ９カメラの両方で示すこととする。後者はカラーのカメラであり、緑の画素のみを以下の実施の目的のために使用した。
【００４２】
図３は、本発明による乱数発生のためのデバイスの一例を概略的に示したものであり、このデバイスは、ＬＥＤによって実現された光源１と、ＬＥＤによって完全にかつ均一に照射されるカメラ２とを含み、その未処理のデータ、すなわちカメラ２によって生成された画素値の２値表現が連結され、乱数性抽出器３を通して通過し、次いで、乱数性抽出器３が、使用可能な量子乱数（ＱＲＮ）を出力する。カメラ２は、ＡＴＩＫ３８３Ｌカメラまたはノキア  Ｎ９カメラによって形成されるものとする。
【００４３】
まず、前述のカメラが製造者の仕様に従っていること及び動作条件が量子乱数の発生に適していることを確認する。後者に関して、光子数分布がカメラ、すなわちそれとともに実現されている光子検出器が線形的であり、吸収される光子の可能な数のそれぞれを表す十分なデジタルコードが存在すること、すなわち前述の条件ζ≧１が満たされている領域を超えないことが重要である。
【００４４】
前述の２つのカメラの特性を決定するために、図３に概略的に示されているように、ＬＥＤなどの良好に制御された光源が使用される。図２に示された原理に従い、ｎ個の光子が各カメラ２の光子センサ２．２によって吸収され、等しい数の電子に変換される。この電荷は、次いで増幅器２．３によって電圧に変換され、最後に、ＡＤＣ２．４によってデジタル化される。説明の簡略化のために、これらの構成要素は図３のカメラ２の一部を形成するものとする。市販のカメラでは「ＩＳＯ」設定に対応する増幅器の利得は、追加的な入力電子のそれぞれが、ＡＤＣによって分解されるのに十分な出力電圧の増加となるように選択され、これは、各電子が少なくとも１だけデジタル出力コードｃを増加させることを意味する。このことは、カメラを既知の光量で照射することによってチェック可能である。このようにして、
【００４５】
【数９】
2015215888.tif 000011
【００４６】
を推測するためにカメラの名目上の量子効率を使用すると、デバイスの仕様から予測されるように、ζ＝ｃ／ｅが、ＡＴＩＫカメラに対して２．３コード／電子であり、ノキアのカメラに対して１．９コード／電子であることが分かる。
【００４７】
次いで、デジタル読出しから吸収された光子の数ｎを推測するために、ゼータの値を使うことができる。これにより、
【００４８】
【数１０】
2015215888.tif 000012
【００４９】
で定義されるファノ因子Ｆを評価することができ、これはポアソン分布に対して１であると予測される。反対に、線形的な検出器に関してファノ因子Ｆ＝１という事実が、Ｑｅ及びζを測定するために使用可能である。ＡＴＩＫに関して及びノキアのカメラに関してそれぞれ、図４ａ及び４ｂは、これらの検出器の様々な照射強度に対してこのようにして得られたファノ因子Ｆを示している。従って、両検出器は、強度の大部分の範囲でファノ因子が１に近く、具体的にはＡＴＩＫ及びノキアのカメラのいずれも、良好な線形性、すなわち光の強度の大部分の範囲で０．９９８より良好な線形性を有する。この範囲において、統計は、量子的不確定性、すなわちショットノイズにより支配される。強い照射では飽和が発生し、これは出力が一定であるときにファノ因子が減少することを意味する。ノキアのＮ９カメラに関して、これは画素あたり約４５０から５００の光子の吸収に対応する強度で発生し、その一方ＡＴＩＫカメラでは、画素あたり約２×１０４の光子の吸収のときに発生する。これは、ＩＳＯ３２００で選択された、使用される高い増幅器の利得によるものである。低い照射強度では、１よりはるかに大きなファノ因子が観察され、これは検出器の技術的ノイズに起因する。
【００５０】
ＣＣＤ及びＣＭＯＳのような画像センサは、熱ノイズ、漏洩電流及び読出しノイズなどの様々なノイズ源を有する。熱ノイズ及び漏洩ノイズは積算時間とともに蓄積し、短い露出時間、例えばミリ秒程度、例えば０．１から１００ミリ秒の範囲の露出時間を使用することにより、これらのノイズ源を排除しまたは少なくとも大きく減少させることができる。この場合、読出しノイズは、技術的ノイズの支配的な発生源となり、読出し回路、増幅器及びＡＤＣによって与えられる。画像センサにおいて、ノイズは通常電子（ｅ−）で計数される。ＡＴＩＫ３８３Ｌ  ＣＣＤカメラ及びノキアのＮ９  ＣＭＯＳカメラは、それぞれ１０ｅ−及び３．３ｅ−のノイズを有する。しかし、これは入射する光の強度にも依存するので、全ての種類のカメラに対して、前述の露出時間の値を一般化することは不可能である。実際には、検出器が線形的に働き、好適には読出しノイズが技術的ノイズの支配的な発生源となるように、露出時間はカメラの種類、すなわち検出器２の種類及び光の強度に依存して選択されなければならない。従って、実際は、露出時間は大きく変化しうる。
【００５１】
前述の本発明に従うＱＲＮＧの動作原理の観点において、これらのカメラを使用することで量子的に発生する乱数を発生させることが可能となるように、カメラは吸収光子の平均数
【００５２】
【数１１】
2015215888.tif 000013
【００５３】
が、できる限り大きいが検出器を飽和させない量子的不確定性
【００５４】
【数１２】
2015215888.tif 000014
【００５５】
を与える程度に十分であるように、照射される必要がある。従って、実際には、本発明に従う量子乱数発生のためのデバイスの実用性を示すために本明細書で使用されたＡＴＩＫカメラ及びノキアのカメラは、それぞれ１．５×１０４ｅ−及び４１０ｅ−を発生させるのに十分な時間間隔Ｔの間、照射される。前述の仕様及び動作パラメータは表１にまとめられている。得られた光子分布の規格化されたヒストグラムが、ＡＴＩＫ３８３Ｌ  ＣＣＤカメラ及びノキアＮ９  ＣＭＯＳカメラに関してそれぞれ図５ａ及び５ｂに示されている。
【００５６】
【表１】
2015215888.tif 000015
【００５７】
第２に、これらの事実及び動作パラメータに基づいて、画素ごとの量子的に発生するエントロピーの量を計算するために数式（２）を用いることができ、エントロピーの量は、ＡＴＩＫ  ３８３Ｌ  ＣＣＤカメラ及びノキアＮ９  ＣＭＯＳカメラに対してそれぞれ８．９ビット及び６．４ビットである。これらはそれぞれ１６ビット及び１０ビットに渡ってエンコードされ、ＡＴＩＫ  ３８３Ｌ  ＣＣＤカメラについては出力ビット当たりの平均エントロピーが０．５６となり、ノキアＮ９  ＣＭＯＳカメラについては０．６４となる。これらの結果は、表１にも示している。最終的に、検出器２から得られた未処理のビットそれぞれに含まれる量子的に発生する乱数性の混合を、ＱＲＮＧの最終的なデジタル出力を形成する乱数性抽出器３の出力ビットに適用することを可能にし、乱数性抽出器３の出力ビットのエントロピーを検出器２から得られた未処理のビットのそれと比較して増大させることを可能にする適切な抽出器３が、数式（３）に従って適用される。これは、検出器２の不可避の技術的ノイズσｔが量子的不確定性σｑよりも小さくなる、または同程度になることが、本発明に従うＱＲＮＧの実現に関して必ずしも必要ではないが好適である、重要な理由である。抽出器３の選択は、特にその次元ｋに関して、前述の原理に従ってなされる。実際に、前述のように、検出された光子の数の分布は、ポアソン分布によって記述可能であり、その最小エントロピーは、数式（１）で近似可能である。そのため、測定ごとの出力ビットの数が、検出された光子の数の分布の最小エントロピーよりも小さくなるように乱数性抽出器の大きさ及び圧縮因子を決定することによって、抽出器からの出力の各ビットが１に近い量子エントロピー量を確実に有するように、抽出器３の大きさ及び圧縮因子が調整されうる。上記の行列積抽出器の特定の場合において、このことは、数式（４）を用い、ビットごとの平均エントロピーｓについて抽出器のパラメータｌ及びｋが、抽出器の出力ビット列が完全にランダムなものから逸脱する確率εが確実に小さくなるように選択されることによって、行うことができる。特に、前述の数式（４）はノキアの携帯電話のカメラ並びに圧縮因子として４、例えばｋ＝５００及びｌ＝１０００を有する抽出器を使用することによって計算可能であり、完全にランダムなビット列からの逸脱を発見するためには、＝１０１１８回の試行が必要となる。そのため、地球上の全員が一定して１Ｇｂｐｓでそのような装置を使用したとしても、完全にランダムなビット列からの逸脱を発見するためには宇宙の年齢の〜１０８０倍が必要となる。
【００５８】
そのようにして生成された乱数の品質を試験するために、前述のフレームワークを用いて生成された未処理の乱数の約５Ｇビットに対応する４８フレームが、２０００ビットの入力ベクトル及び５００ビットの出力ベクトルを有する、１．２５Ｇビットの乱数を発生することが可能な抽出器を通して、コンピュータ上で収集され、処理された。乱数発生器は試験が困難であることは周知であるが、特定の脆弱性に関して、発生したビット列をチェックすることは可能である。最初の試験段階は、システムの潜在的な問題を区別し、次いでそれらを試験することでありうる。今回の場合、生成されたランダムなビット列は抽出の前に試験された。この段階において、ビットごとのエントロピーは依然として単一性よりも顕著に小さい。さらに、起こりうるエラーは、検出器２の損傷しまたは機能しない画素から、及び電気的ノイズに起因するピクセル値間の相関から生じた可能性がある。実際に、ビットごとの平均エントロピーの増大に加えて、乱数性抽出器３はまた、いくつかの画素が損傷し、ごみによって覆われ、またはその他任意の問題によって損傷しても、極めて品質の高い乱数性は維持される。第２の試験段階は、抽出されたビット列、すなわち検出器２の出力において発生した未処理の乱数及び、乱数性抽出器３によって得られた乱数の両方に適用可能な、「ダイハーダー」乱数性試験を含み得る。この試験のセットは、ＮＩＳＴ試験、ダイハードテスト及びいくつかの追加の試験を含む。本発明に従うＱＲＮＧはこれらの試験全てを通過した。
【００５９】
発生した乱数の品質の次に、ＱＲＮＧのその他のパラメータ、例えば乱数の生成速度並びにデバイスの価格及び可搬性が重要である。実際に、従来の使用またはゲームに関する暗号鍵の発生などの多くの用途において、速度は、このシステムによって提供される価格及び可搬性ほど重要ではない。さらに、画像センサに基づく量子乱数発生器は、速度の点において非常に合理的な性能を提供することができる。使用されたＣＣＤ及びＣＭＯＳ検出器などの市販用デバイスは、データを１秒当たり１００メガピクセルから１秒当たり１ギガピクセルの速度でデータを収集する。必要な処理の後、３００Ｍｂｐｓから３Ｇｂｐｓの速度が得られるように、各画素は典型的には３つのランダムなビットを提供する。そのような高いデータ速度を持続するために、処理はフィールドプログラマブルゲートアレイ（ＦＰＧＡ）上で行われるか、またはこの場合はハードウェアによって実装される乱数性抽出器３によって実現される処理段階を含む、ＣＭＯＳセンサチップ上に直接埋め込まれることができる。代替的に、市販用デバイスのソフトウェアに完全に乱数性抽出器３を実装することは可能であり、ほとんどの市販用途について十分大きな１Ｍｂｐｓを超えるランダムなビットレートを持続することができる。従って、本発明による量子乱数発生のためのデバイスを、市販の可搬電子機器と互換性のある技術を使用して実現することは可能である。
【００６０】
そのため、量子的に発生する乱数は、既知の画像センサを照明し、特定の動作パラメータを光子センサ２．２、処理電子部品及び乱数性抽出器３に適用することにより、抽出可能である。実際には、量子的性質の光学処理に基づく乱数発生のためのデバイスに関する前述の説明によれば、乱数発生のための対応する方法は、光子をランダムに放出する光源１を提供する段階と、ランダムに放出された光子を吸収し、ある時間間隔Ｔにおいて光源１によって生成された光子の数ｎを測定するように適合され、光子センサ２．２、増幅器２．３及びアナログ−デジタル変換器２．４を含む光検出器２を提供する段階と、乱数性抽出器３を提供する段階と、を含み、ある時間間隔Ｔにおいて光源１によって生成された光子の数ｎを検出し、その光子の数を検出器２の光子センサ２．２を用いて対応する電子の数に変換し、光子センサ２．２から受信した電子信号を検出器２の増幅器２．３を用いて電圧信号Ｖを増幅し、増幅器２．３から受信した増幅信号Ｖを、増幅信号Ｖを検出器２のアナログ−デジタル変換器２．４を用いてデジタル値にエンコードすることによって処理し、ある時間間隔Ｔにおいて光源１によって生成された光子の数ｎに基づき量子乱数（ＱＲＮ）を発生させるように、さらなる処理のためにこれらの値を乱数性抽出器３に送信することを可能にする。
【００６１】
検出器２の光子センサ２．２は、吸収される光子の平均値
【００６２】
【数１３】
2015215888.tif 000016
【００６３】
が、可能な限り大きいが光子センサ２．２を飽和させない量子不確定性
【００６４】
【数１４】
2015215888.tif 000017
【００６５】
を与えるのに十分であるように選択される、時間間隔Ｔにおいて、光源１によって照射される。具体的には、検出器２の光子センサ２．２は、光子センサ２．２のファノ因子が１に近い範囲の強度にある光子強度で光源１によって照射される。カメラの露出時間を、カメラが線形的に働くように露出時間が選択される必要があるという制限内で調整することによって、吸収される光子の平均数も制御可能である。
【００６６】
有利には、検出器２の出力において生成された未処理のデジタル値ｒｉ、それぞれ乱数性抽出器３の出力におけるデジタル値ｙｉは、ｂビットに渡ってエンコードされ、または２進数ではない別の進数にエンコードされる。
【００６７】
最後に、本発明はまた、前述の方法を実装するように適合されたコンピュータ可読媒体に収容されたコンピュータプログラム手段に関する。
【００６８】
本発明によるデバイスおよび対応する方法の上記説明に照らせば、その優位性は明確である。最も重要なのは、本発明による量子乱数発生のためのデバイスが、原理的にランダムな物理プロセスに基づくものであるため、量子的に発生した高品質な乱数を発生させることができる。乱数は高速に生成可能である。デバイスは、小さくて低コストであるＣＭＯＳ及びＣＣＤカメラなどの市販の画像取得デバイスを有して実装可能である。また、これは印刷回路基板上に容易に集積可能である。実際に、光源、光検出器および乱数性抽出器などの全ての素子は、自己診断並びに暗号化及び伝送などのさらなるデータ処理のための任意選択的な構成要素とともに、システム、回路、パッケージまたはダイレベルで集積可能であり、これによってデバイス全体の大きさ、使用の容易さ、安全性、信頼性及びエネルギー効率が向上する。さらに、現在多くの可搬コンピューティングデバイスが、わずかな改良によって、またはいくつかの場合には直接、量子乱数を発生させる本発明に従うデバイスに必要であるような検出器として使用に適した種類の画像センサを含んでいる。そのような画像センサは低消費電力であり、可搬かつ電池駆動式の用途と互換性がある。乱数性抽出器はハードウェアで、または、好適にはソフトウェアで実装可能である。大きさが小さいので、デバイスはカメラ、暗号化、伝送、診断デバイスなどのその他の構成要素と共に集積可能である。具体的には、多くの市販の電子機器は何らかの形で、本発明の目的のために使用されるように適合された画像センサを備え、後者はそのような構成要素及び対応するソフトウェアとともに、コンピュータ、電話、特に携帯型コンピュータまたは電話、タブレット、ネットワーク暗号化デバイス、個人用暗号化デバイス、電子マネー端末またはその他任意の種類の同様な機器に有利に集積されうる。そのため、一般に、本発明によるデバイスの簡便な構成及び性能は、既存のＱＲＮＧとは対照的に、情報安全性に重要な影響を与えつつ、物理的量子乱数発生器の幅広い使用を可能とする。
【符号の説明】
【００６９】
１  光源
２  検出器
２．１  損失チャネル
２．２  光子センサ
２．３  増幅器
２．４  アナログ−デジタル変換器（ＡＤＣ）
３  乱数性抽出器
【図１】
2015215888.tif 000023
【図２】
2015215888.tif 000024
【図３】
2015215888.tif 000025
【図４ａ】
2015215888.tif 000026
【図４ｂ】
2015215888.tif 000027
【図５ａ】
2015215888.tif 000028
【図５ｂ】
2015215888.tif 000029
【外国語明細書】
2015215888000001.pdf