用于测试由随机数生成器生成的序列的设备和方法与流程

1.本发明总体上涉及用于测试由随机数生成器生成的序列的设备和方法。


背景技术：

2.随机数生成器用于生成一组随机数(以位流的形式)以用于许多系统中。例如，可以在密码系统中使用随机数生成器来生成用于安全传输数据的随机密码密钥。
3.随机数生成器包括：硬件随机数生成器，也称为真随机数生成器(tnrg)，它从物理过程而不是计算机程序(非确定性源)生成一组数字；以及伪随机数生成器，其从确定性源(例如，确定性算法)生成数字。
4.tnrg可以基于微观现象，所述微观现象生成低级、统计随机“噪声”信号，例如热噪声或散粒噪声、光电效应，涉及分束器和其它量子现象。tnrg通常包括将从物理现象导出的量或数据转换为电信号的换能器、放大器、被配置为将随机波动的幅度增加到可测量水平的附加组件，以及被配置为将这样获得的输出转换为数字(例如二进制数字0或1)的模数转换器。然后，trng对随机变化的信号重复采样以获得一系列随机数。
5.随机数生成的质量对于实现密码系统(例如密钥生成、认证协议、填充、数字签名、加密算法)至关重要。在此类应用中，安全性密切取决于所生成的随机数的质量。
6.事实上，许多攻击都针对密码系统的实现方式中的弱点。此类弱点可能源于所生成的随机数的质量，并被攻击者利用以试图破坏系统。
7.存在若干测试方法和系统用于测试生成的随机数的质量(特别是随机性)，其中大多数基于统计测试。
8.这种测试被应用于检查随机获取的数字序列是否具有两个主要统计特性：
9.‑
生成的值应该均匀分布，以及
10.‑
生成的值应该独立于先前生成的值。
11.认识到这一点，如nist和bsi的标准化实体已建立了给定20000位的二进制序列的统计测试套件。本文档的目的是提供测试的数学解释，并在给定n位序列、错误概率和其它参数的情况下建立通用数学公式。
12.当前需要测试由tnrg生成的随机数的集合，因为它可能会影响使用此类随机数的系统的性能，例如ais31、fips140
‑
1、nist和diehard测试。
13.如nist和bsi的标准化实体已建立了给定固定位数(20000位)的二进制序列的统计测试套件。
14.在现有方法中，因此每次trng产生20000位序列时应用统计测试，该测试基于序列计算不同的总和。然后将这些总和与预先定义和固定的阈值进行比较，并取决于比较结果决定是接受还是拒绝该序列。用于执行比较的阈值被预先定义为固定错误概率的函数。
15.现有的测试方法和设备引入了不可控的延迟。此外，它们不能适用于解决目标错误概率。
16.因此，需要用于测试由随机数生成器生成的位序列的改进方法和设备。


技术实现要素：

17.为了解决这些和其它问题，提供了一种用于测试由随机数生成器生成的位序列的设备，该设备被配置为响应于检测到由随机数生成器生成的n个位，对位序列应用一个或多个统计测试，每个统计测试提供从序列的位导出的至少一个总和值。该测试设备可以包括：
18.‑
比较器，用于将与每个统计测试相关的至少一个测试参数与一个或多个阈值进行比较；
19.‑
验证单元，其被配置为取决于由比较器对每个统计测试进行的比较来确定位序列是否有效；
20.其中，至少一个测试参数和至少一个阈值是根据n并且根据目标错误概率确定的。
21.在一些实施例中，被应用于序列的至少一个或多个统计测试包括统计测试的集合，该统计测试提供从序列的位导出的至少一个总和值，所述至少一个总和值针对每个统计测试提供至少一个测试参数，该设备还包括：
22.‑
阈值确定单元，用于针对统计测试的集合的每个统计测试，根据n并且根据与每个总和值相关联的目标错误概率确定下阈值和上阈值；
23.比较器被配置为针对每个统计测试将每个总和值与相关联的下阈值和上阈值进行比较。
24.在这样的实施例中，比较器可以被配置为如果每个总和值严格高于相关联的下阈值并且严格低于上阈值，则输出针对统计测试的验证位。
25.此外，验证单元可以被配置为如果针对统计测试的至少一个总和值低于或等于相关联的下阈值或者高于或等于对应的上阈值时，拒绝位序列。
26.在一个实施例中，统计测试可以包括提供总和值t1的ais单位测试，对应的下阈值l1和上阈值h1等于：
27.以及
[0028][0029]
其中α表示目标错误概率。
[0030]
在一个实施例中，统计测试可以包括ais扑克测试，测试设备确定总和值t2。对应的下阈值l2和上阈值h2等于：
[0031]
以及
[0032][0033]
其中m表示位序列中连续块的长度，且α表示错误概率。
[0034]
在实施例中，统计测试可以包括ais运行测试，测试设备针对长度为k的每个运行确定总和值t
3(n,k)
，针对长度为k的每个运行，下阈值l
3,k
和上阈值h
3,k
等于：
[0035][0036]
[0037]
其中α表示目标错误概率且
[0038]
在一些实施例中，被应用于序列的至少一个或多个统计测试包括统计测试的附加集合，针对每个统计测试，测试设备确定根据n和根据错误概率确定出的测试参数。
[0039]
特别地，统计测试包括ais最长运行测试，测试参数是运行长度k，长度k根据以下等式确定：
[0040][0041]
其中α表示长运行概率。比较器随后将测试参数k与运行的最大长度进行比较。
[0042]
在一个实施例中，位序列长度n可以在一个或多个时钟周期之间改变。
[0043]
可以在不同时间或同时接收针对错误概率和数量n的新值。
[0044]
还提供了一种在至少一个集成电路上实现的系统，该系统包括使用由随机数生成器生成的随机位序列的设备，其中该设备还包括根据前述实施例中的任一项所述的用于在使用之前测试由随机数生成器生成的每个随机位序列的测试设备。
[0045]
还提供了一种用于测试由随机数生成器生成的位序列的方法，其中，该方法包括响应于检测到由随机数生成器生成的n个位，对位序列应用一个或多个统计测试，每个统计测试提供来自序列的位的至少一个测试参数，该测试方法包括：将与每个统计测试相关的至少一个测试参数与一个或多个阈值进行比较；取决于在比较步骤中针对每个统计测试执行的比较来确定所述位序列是否有效。测试参数和至少一个阈值中的至少一个是根据n并根据目标错误概率确定的。
[0046]
本发明因此能够控制在给定系统中实现的随机数生成器的延迟/借记。
[0047]
因此，本发明的实施例提供了贯穿所有操作阶段的灵活且完全延迟可控的rng。
附图说明
[0048]
被并入本说明书中并构成本说明书一部分的附图示出了本发明的各种实施例，并且与上面给出的本发明的一般描述和下面给出的实施例的详细描述一起用于解释本发明的实施例：
[0049]
‑
图1描绘了根据一些实施例的用于测试由随机数生成器生成的随机数序列的设备。
[0050]
‑
图2示出了根据一些实施例的在最长测试中使用的运行概率。
[0051]
‑
图3是描绘了根据一些实施例的测试由随机数生成器生成的随机数序列的方法的流程图。
[0052]
此外，详细说明由展示e1补充。将本展示分开放置是为了阐明详细说明，并便于参考。然而，它构成了本发明描述的组成部分。
具体实施方式
[0053]
本发明的实施例提供了一种测试由硬件随机数生成器(如trng(真随机数生成器))生成的随机数序列的设备和方法。在以下描述中，随机数生成器也将被称为rng。
[0054]
参考图1，示出了包括密码系统12的测试设备10的示例性操作环境100，该密码系
统12使用由硬件随机数生成器11生成的随机数序列以用于生成密钥、执行认证、生成签名和/或执行加密，等等。
[0055]
测试设备10被配置为测试由随机数生成器11生成的随机数序列的质量。统计测试103的集合包括一个或多个统计测试t1、t2、
…
、t
p
，其中p至少等于一。
[0056]
应当注意，本发明不限于在密码系统12中使用测试设备10，而是可以在使用由硬件rng 11生成的随机数序列的任何系统或设备中普遍使用。系统100和/或者系统12可以在一个或多个集成电路上实现。
[0057]
仅出于说明的目的，将参考密码系统12进行一些实施例的以下描述。
[0058]
统计测试test_j可以被配置为测试由密码系统所需的统计特性，包括随机数生成器11的后向和前向不可预测性特性。
[0059]
示例性统计测试tj包括例如ais、测试每个生成数的熵增加的测试等。
[0060]
更具体地，测试设备10可以被配置为在系统100的操作期间接收期望的错误概率α和频率数n，频率数n定义由rng 11生成的序列的位数。n可以低于rng 11可以生成的最大位数m。特别地，可以在系统运行期间取决于多个标准来调整n。因此，n可以在一个或多个时钟周期之间改变。有利地，值n可以不同于预先定义的固定值，并因此可以采用不同于通常用于激活统计测试的值n’＝20000的值。可以在不同时间或同时接收针对错误概率α和频率数n的新值。
[0061]
如本文所使用的，期望的错误概率(本文也称为“显著性水平”或“目标错误概率”)是指对由rng 11生成的序列进行的测试的错误概率，即测试设备使用统计测试的集合103对由rng 11生成的给定序列进行的测试返回错误结果的概率。因此，期望的错误概率α被定义为测试拒绝由rng 11生成的序列的概率，假设该序列是真正随机的。
[0062]
可以激活rng 11以使用密码系统12所用的期望错误概率τ和频率数n的当前值来生成包括来自熵源的多位的随机数序列(例如用于密钥生成)。
[0063]
测试设备10可以被配置为响应于检测到由随机数生成器生成的n位，通过对位序列应用一个或多个统计测试103来测试由随机数生成器11生成的位序列。有利地，数量n和目标概率可以取决于本发明的应用而变化(如果需要快速处理时间，则可以将n定义为尽可能小，或者如果需要测试以尽可能地限制假阳性，则可以将n定义为增加)。
[0064]
每个统计测试103提供从所述序列的位导出的至少一个测试参数。
[0065]
测试设备可以包括：比较器102，其被配置为将与每个统计测试相关的测试参数与一个或多个阈值进行比较；以及随机数序列验证单元105，其被配置为取决于由比较器102针对统计测试所做的比较来确定n位序列是否有效。
[0066]
随机数序列验证单元105可以被配置为使用被应用于序列的统计测试103的结果来拒绝或验证n位随机数序列。在这样的实施例中，比较器102可以将结果值o
j
返回给随机数序列验证单元105。
[0067]
在一个实施例中，随机数序列验证单元105可以被配置为仅仅如果对于所有p个统计测试，对于考虑的n位序列，应用于通过执行统计测试获得的每个总和值的条件(1)被满足(即，对于j＝1到k，o
j
＝o
j,2
)。
[0068]
每个统计测试103可以是用于测试由rng 11生成的n位二进制序列中的随机性的统计测试。
[0069]
有利地，测试参数和阈值中的至少一个是根据n和根据目标错误概率确定的。
[0070]
响应于n位随机数序列的生成(即，响应于检测到在随机数序列中，位数等于n)，随着从随机数生成器11接收到随机位，测试设备10因此执行p个统计测试的集合(p至少等于1)。p个统计测试的集合可以存储在存储单元103中。
[0071]
在一些实施例中，统计测试103的集合包括如下统计测试的集合，其中每个统计测试用于确定从随机数序列的n位导出的一个或多个总和值(如果测试包括多个运行，则为多个值)和错误概率α。
[0072]
测试设备10还可以包括阈值确定单元101，其被配置为确定包括下阈值l
j
和上阈值h
j
的至少一对阈值，对于每个测试test_j，下阈值l
j
和上阈值h
j
取决于参数n并取决于显著水平参数α。
[0073]
测试设备10可以被配置为针对每个统计测试test_j，检查由所考虑的统计测试test_j返回的每个值(总和结果)是否满足与由此确定的对应阈值对(下阈值l
j
和上阈值h
j
)相关的条件。
[0074]
在这种实施例中，比较器105可以被配置为将由统计测试test_j返回的每个总和结果与关联对的下阈值l
j
和上阈值h
j
进行比较。
[0075]
在一个实施例中，测试设备的比较器105可以被配置为确定由统计测试test_j返回的每个值tj(总和结果)是否严格高于相关联阈值对的下阈值lj并且严格低于相关联阈值对的上阈值h
j
。基于对应的阈值对(下阈值l
j
和上阈值h
i
)针对值tj检查的条件可以表示为：
[0076]
l
j
＜t
j
＜h
j
ꢀꢀꢀ
(1)
[0077]
应当注意，在一些实施例中，可以针对每个统计测试确定多个总和值(例如，当测试包括多个运行时)，并针对每个值确定对应的阈值对，针对每个总和值和每个对应的阈值对来测试条件(1)。
[0078]
比较器105可以针对被应用于n位序列的每个测试test_j返回结果值o
j
，如果不满足等式(1)的测试条件，则设置为第一值oj
,1
，或者如果满足等式(1)的测试条件，则设置为第二值oj
,2
。
[0079]
为了促进理解本发明的一些实施例，提供以下定义：
[0080]
如本文所使用的，“空假设h
0”是指如下陈述：提供的序列是真随机。
[0081]“测试统计s”是指如下数值总结：将观察到的数据减少到一个值。
[0082]“p值”是指当h0为真时，统计测试与实际观察到的结果相同或更大的概率。
[0083]“显著性水平”α(本文也称为“错误概率”)是指假设h0为真时拒绝h0的概率。
[0084]
给定这些定义，进行如下统计测试：
[0085]
‑
如果p值≥α，则接受h0；
[0086]
‑
如果p值<α，则拒绝h0。
[0087]
给定测试统计s的统计模型，可以计算p值。
[0088]
这种模型可以应用于被用于将真实世界rng的经验数据链接到随机模型的所有统计测试。
[0089]
统计测试103的集合可以包括例如ais31测试套件的一个或多个测试，其包括：
[0090]
‑
单位测试(a monobit test)；
[0091]
‑
扑克测试(a poker test)；
[0092]
‑
运行测试(a runs test)；
[0093]
‑
最长运行测试(a longest run test)。
[0094]
仅出于说明目的，将参考ais31套件的一个或多个测试进行一些实施例的以下描述。
[0095]
在以下描述中，考虑包括位b
i
并具有长度n的随机数序列。
[0096]
在一个实施例中，统计测试的集合103可以包括单位测试。单位测试被配置为确定在给定的位序列中1和0的数量的比例。对于随机序列，预期序列中1(以及因此的0)的平均数量为1/2。
[0097]
根据一个实施例，ais31单位测试通过如下计算总和t1来检查n位序列：
[0098][0099]
根据本发明的一个实施例，可以定义统计参数的集合{h0,s
n
,α}来运行单位测试：
[0100]
‑
h0：进行假设：生成的位序列是随机的；
[0101]
‑
参数s
n
定义为：
[0102][0103]
‑
错误概率α被设置为：
[0104]
α＝9.6
×
10
‑7ꢀꢀꢀ
(3)
[0105]
‑
待测试的观察：
[0106][0107]
考虑到(待测试的观察)，对于n的大值，这种观察的参考分布是半正态分布。如本文所使用的，半正态分布是指均值为0(零)的正态分布。在展示e1.1中提供了正态分布的定义。如果序列是随机的，那么加一和减一将倾向于彼此抵消，使得测试统计约为0。
[0108]
p值(当h0为真时，统计测试与实际观察到的结果相同或更大的概率)由下式给出：
[0109]
pvalue＝erfc(s
obs
)
ꢀꢀꢀ
(5)
[0110]
在等式(1)中，erfc(z)表示互补高斯误差函数：
[0111][0112]
对于半正态分布的随机变量x，erfc(x)是x落在[
‑
x,x]范围之外的概率。
[0113]
根据测试方法，如果发生以下情况，则接受h0：
[0114]
pvalue≥α
ꢀꢀꢀ
(7)
[0115]
根据等式(4)和(5)，等式(7)可以改写为：
[0116][0117]
由于erfc
‑1是递减函数：
[0118]
[0119][0120]
根据等式(2)：
[0121][0122]
等式(10)可以改写为：
[0123][0124]
通过将等式(12)除以二，得到以下不等式：
[0125][0126]
给定n，则序列的长度：
[0127][0128]
因此，针对单位测试，等式(1)的条件可以改写为：
[0129]
l1＜t1＜h1[0130]
其中：
[0131]
以及
[0132][0133]
测试设备10然后可以被配置为对由rng 11生成的n位的随机数序列执行单位测试，并且测试所得的总和t1是否包括在下阈值l1上阈值h1之间，这两者都取决于n和错误概率α。
[0134]
比较器105将针对被应用于n位序列的单位测试，返回结果值o1，如果不满足等式(1)的测试条件，则结果值o1被设置为第一值o
1,1
，或者如果满足等式(1)的测试条件，则结果值o1被设置为第二值o
1,2
。
[0135]
应当注意，对于n＝20000且α＝9.6
×
10
‑7，针对单位测试的条件(1)为：
[0136]
9653.54133637＜t1＜10346.4586636
[0137]
相比之下，在传统方法中，ais31单位测试通过将总和t1计算为并考虑固定的下阈值和固定的上阈值(此类阈值是静态定义的，独立于所选值n并且独立于错误概率α)来检查20000位的序列。通常，如果t1落在由固定阈值定义的范围之外，则测试失败。
[0138]
在一些实施例中，统计测试103的集合可以包括扑克测试。
[0139]
在一个实施例中，为了估计针对扑克测试的条件(1)，定义了用于运行扑克测试的以下统计参数：
[0140]
‑
h0：进行假设：生成的位序列是随机的；
[0141]
‑
测试统计s
n,m
被定义为：
[0142]
[0143]
在等式(17)中，n表示序列的长度，m表示连续块的长度，而f(i)表示可能的m位值中的每一个的出现次数。给定实数x，表示x的整数部分。
[0144]
此外，对于扑克测试，错误概率α被定义为α＝1.014
×
10
‑6。
[0145]
扑克测试包括确定在每个m位块中1的比例。在每个m位块中1的频率应该是m/2，正如随机序列所预期的那样。出现次数f(i)呈正态分布，因此s
n,m
遵循自由度为2
m
‑
1的“卡方(chi square)”(χ2)分布。展示e1.2提供了卡方分布的定义。
[0146]
为了确定在预期频率与观察频率之间是否存在显著差异，可将待测试的观察限制在自由度2
m
‑
1的的两个临界值内，给定错误概率为α。在ais31中，错误概率可以被选择为等于30％
×
α和70％
×
α。因此，下界为而上界为得出t2的一般公式，给定n和m：
[0147][0148]“卡方”χ2分布只有一个参数，该参数确定其自由度。这意味着无论n是什么，边界都是相同的，除非m改变。
[0149]
因此，针对单位测试的等式(1)的条件可以改写为：
[0150]
l2＜t2＜h2[0151]
其中下阈值l2和上阈值h2定义如下：
[0152]
以及
[0153][0154]
如等式(19)和(20)所示，下阈值l2和上阈值h2也取决于n和取决于错误概率α。在扑克测试的情况下，下阈值l2和上阈值h2还取决于m(m表示连续块的长度)。
[0155]
测试设备10可因此被配置为对由rng 11生成的n位随机数序列执行扑克测试，并且测试所得的总和t2是否被包括在下阈值l2和上阈值h2之间，这两者均取决于n以及取决于错误概率α。
[0156]
针对被应用于n位序列的扑克测试，比较器105将返回结果值o1，如果不满足等式(1)的测试条件，则结果值o1被设置为第一值o
1,1
，或者如果满足等式(1)的测试条件，则结果值o1被设置为第二值o
1,2
。
[0157]
例如，根据被应用于扑克测试的测试设备和方法，对于m＝4且α＝1.014
×
10
‑6：
[0158][0159][0160]
并且：
[0161]
1 562 820,6684439≤t2(n,m)≤1 580 428,499198625
[0162]
相比之下，在传统方法中，扑克测试：
[0163]
‑
首先将n＝20000位的序列划分为固定数量的5000个连续4位片段，然后对每个可能的4位值的出现次数进行计数并存储。
[0164]
‑
计算t2总和：
[0165][0166]
‑
检查总和t2是否严格包括在固定的下阈值和固定的上阈值之间，这两者均独立于所选值n和目标错误概率α而被静态定义。
[0167]
通常，如果t2落在由固定阈值定义的范围之外，则测试失败。
[0168]
在一些实施例中，统计测试103的集合可以包括运行测试。
[0169]
运行测试的目的是确定1和0的变化是否太快(0101010101)或太慢(0000011111)。
[0170]
运行被定义为全1或全0的连续位的最大序列。
[0171]
可以对样本流中所有长度(≥1)的运行的发生率(对于连续零和连续一)进行计数和存储。如果发生的运行的次数(长度为1到6)中的每个均在下面指定的对应间隔内，则运行测试通过。这对零和一都成立；也就是说，所有12个计数都必须位于指定的间隔内。出于该测试的目的，大于6的运行被视为长度为6。
[0172]
t3(n,k)表示位0或1的长度为k的运行，发生在长度为n的序列中。
[0173]
为了针对运行测试根据公式(1)来估计条件，定义了用于应用运行测试的以下统计参数：
[0174]
‑
h0：进行假设：生成的位序列是随机的；
[0175]
‑
s指定长度为k的运行的数量，用t3(n,k)表示，其中n是序列长度；以及
[0176]
‑
错误概率α＝k
×
10
‑6，其中k∈{3.25；1.33；0.85；0.40；0.10}。
[0177]
假设序列位是恒等分布的，则针对运行测试的测试统计t3(n,k)被认为是正态分布的。这种分布的均值是因为每次运行零或一的概率是相同的。因此，在n/2中，存在k次运行0或1，并且每个位都有1/2发生的概率。因此，预期的均值是如果实验无限次进行，则所有k次运行的总和为n/2。
[0178]
作为结果可以写成：
[0179][0180]
考虑观察p值是：
[0181][0182]
然后可以将等式(22)的量与错误概率α进行比较。如果出现以下情况，则运行测试通过：
[0183]
p
‑
value≥α
ꢀꢀꢀ
(23)
[0184]
根据等式(22)，条件(23)可以改写为：
[0185]
[0186]
等式(23)可以进一步公式化如下：
[0187][0188][0189]
因此，对于每次运行k，针对运行测试的等式(1)的条件可以改写为：
[0190]
l
3,k
＜t
3(n,k)
＜h
3,k
ꢀꢀꢀ
(27)
[0191]
其中，下阈值l
3,k
和上阈值h
3,k
定义如下：
[0192][0193][0194]
如等式(28)和等式(29)所示，下阈值l
3,k
和上阈值h
3,k
也取决于n和取决于错误概率α(因为)。测试设备10可以因此被配置为对由rng 11生成的n位随机数序列执行运行测试，并且测试对于长度为k的每个运行，所得的结果总和t
3(n,k)
是否包括在下阈值l
3,k
和上阈值h
3,k
之间，它们都取决于n和取决于错误概率α。比较器105将返回被应用于n位序列的针对运行测试的结果值o1，如果对于长度为k的至少一个运行不满足等式(1)的测试条件，则结果值o1被设置为设置为第一值o
1,1
，或者如果对于每个所考虑的长度为k的运行满足等式(1)的测试条件，则结果值o1被设置为设置为第二值o
1,2
。
[0195]
例如，对于n＝20000，k∈[1,2,3,4,5,6]和α＝k
×
10
‑6，其中k∈{3.25；1.33；0.85；0.40；0.10}，获得如下表1所示的结果：
[0196]
运行长度要求的间隔12267.04399878
–
2732.4560012221078.99101268
–
1420.883987323501.911931832
–
748.0880681684222.906024885
–
402.125225115589.678247301
–
222.8530026996 89.678247301
–
222.853002699
[0197]
表1
[0198]
相比之下，在传统方法中，运行被定义为全1或全0的连续位的最大序列，它是20,000位样本流的一部分，其间隔由下表2给出：
[0199]
运行长度要求的间隔12267
–
273321079
–
14213502
–
7484223
–
402590
–
2236 90
–
223
[0200]
表2
[0201]
在一些实施例中，统计测试103可以包括提供总和值t
i
的一个或多个附加统计测
试，但是代替测试总和值t
i
，测试设备10可以被配置为通过将根据频率数n和错误概率α确定出的测试参数与阈值进行比较来测试n位序列。
[0202]
例如，统计测试103的集合可以包括最长运行测试。
[0203]
在传统方法中，对于20000位的样本，如果没有长运行，则最长运行测试通过。
[0204]
根据本发明的实施例，最长运行测试可用于通过确定与目标错误概率α对应的运行长度k(其在最长运行测试的情况下对应于长运行概率p
n
(k))，然后将值k与阈值进行比较，来测试位序列。如果确定出的值k的整数部分小于运行的最长长度则测试通过。否则，测试失败。
[0205]
更具体地，可以基于长运行概率p
n
(k)来确定索引k，长运行概率p
n
(k)表示长度大于或等于k的运行(零或一)出现在被考虑的n位序列中的概率。
[0206]
p
n
(k)可以通过两个互斥事件概率的相加来表示。事件概率之一表示长于k的运行出现在n
‑
1位的概率，而另一事件概率表示没有长于k的运行出现在n
‑
1位但出现在n的最右边k位的概率，如图2所示。这意味着：
[0207][0208][0209]
等式(30)和(31)得出给定k和n的一般表达式：
[0210][0211]
这对应于该类型的算术和几何序列(progression)：
[0212]
u
n
＝a
×
u
n
‑1 b
ꢀꢀꢀ
(33)
[0213]
因此：
[0214]
u
n
＝a
n
×
(u0‑
r) r
ꢀꢀꢀ
(34)
[0215]
在等式(34)中，因此：
[0216][0217]
在等式(35)中，u0＝0且r＝1。
[0218]
等式(35)可以被改写为：
[0219][0220]
在等式(36)中，k因此可以如下找到：
[0221][0222]
[0223][0224][0225]
当p
n
(k)＝α时，等式36.4可以被改写为n和α的函数：
[0226][0227]
例如，对于n＝2000和p
n
(k)＝10
‑6，
[0228]
下表提供了根据前面的等式针对单位测试(t1)、扑克测试(t2)、运行测试和最长运行测试计算出的测试参数的示例，所述前面的等式提供了下/上阈值li和hi作为n和α的函数(对于t1、t2、t3)或最长运行参数k作为对于n∈{5000,10000,20000,40000}时α的函数，值n＝20000是通常用于测试由rng 11生成的位序列的固定值(由标准nist fips 140
‑
2和bsi ais 31定义)。在下面的示例表中，出于说明目的选择了给定的α值，但是α可以变化：
[0229][0230]
表3
[0231]
图3是根据一些实施例的使用测试的集合来测试由rng 11生成的随机位序列的方法的流程图，所述测试提供针对其来检查条件(1)的总和测试ti(例如，t1、t2和t3)，条件由下阈值li和上阈值hi定义，这两者都取决于n和α。
[0232]
在步骤300中，接收错误概率和位序列长度n。
[0233]
在步骤302中，检测由rng 11生成的随机数序列。
[0234]
在步骤304中，检测rng 11是否已生成了n位。
[0235]
如果是，则在步骤306中，将p个统计测试103中的每一个应用于从rng 11接收到的k位随机数序列。否则，过程返回到步骤302。每个统计测试的执行提供至少一个总和ti。在运行测试的情况下，每个考虑的运行k提供总和t
i,k
。
[0236]
在步骤310中，对于针对统计测试获得的每个统计测试总和t
i
(或对于运行测试的
每个运行k的t
i,k
)，与统计测试总和相关联地确定出下阈值l
i
(或用于运行测试的每个运行k的l
i,k
)和上阈值h
i
(或用于运行测试的每个运行k的h
i,k
)，下阈值和上阈值取决于n和取决于错误概率α。
[0237]
在步骤312中，使用相关联的下阈值l
i
(或l
i,k
)和相关联的上阈值h
i
(或h
i,k
)，针对由每个统计测试提供的每个统计测试总和t
i
(或用于运行测试的每个运行k的t
i,k
)来测试条件(1)。
[0238]
在步骤314中，如果至少一个统计测试不满足条件1(框312)，则可以拒绝随机位序列。否则，对于其它统计测试，重复步骤310和312，因为并非所有统计测试都已被处理(步骤313)。在步骤316中，如果所有统计测试总和满足条件1，则随机位序列被验证通过并且可以将n个随机位传送到目标系统12。
[0239]
展示e1.3提供了一种测试方法，用于根据一个实施例，使用统计测试，来在以微代码格式的随机位到达时测试由rng生成的位序列：
[0240]
‑
单位测试(t1)；
[0241]
‑
扑克测试(t2)；
[0242]
‑
运行测试(t3)；
[0243]
‑
最长运行测试(t4)。
[0244]
展示e.1.3的测试方法具有优化的延迟，并且特别适用于在嵌入芯片的测试设备10中测试n位序列。
[0245]
本发明的实施例因此能够动态选择数量n的原始位以在给定目标借记/延迟的情况下进行测试。它们还提供给定目标应用情况下的动态错误概率τ并且(通过等待固定数量的原始位)提供在所有阶段完全可控的延迟(与现有技术相比，现有技术生成不可控的延迟)。
[0246]
本发明的实施例应用于嵌入式统计测试(使用随机数序列在系统或设备的芯片内执行测试)和在线统计测试。
[0247]
在一些需要快速处理的应用中，可以选择n的值小于20000，从而减少测试位序列所需的整体时间。相比之下，对于需要对生成的随机数进行更严格评估的应用，为了减少误报检测的数量，可以增加序列大小n。
[0248]
因此，本发明的实施例能够根据应用的需要而灵活地调整n。
[0249]
根据本发明实施例的测试设备可以用于各种应用，例如：
[0250]
‑
模拟应用，其模拟和建模复杂现象(例如，在金融和工程领域中使用的蒙特卡罗积分)；
[0251]
‑
随机采样应用，其从较大数据集中选择随机样本；
[0252]
‑
密码应用，例如，认证、签名、加密、数字签名生成、加密密钥生成系统或互联网加密协议应用；
[0253]
‑
芯片制造和特定于设备的密钥的播种，例如，用于近场通信或设备id；
‑
机器学习和统计学习应用(真随机数生成器可用于从随机分布中获得样本)。
[0254]
示例性目标系统12包括基于一个或多个密码密钥来实现密码功能以确保数据和/或信号安全、认证、保护和隐私的密码系统，例如：
[0255]
‑
智能卡，存储密钥的设备(例如钱包)，智能卡读卡器(例如，用于金融应用中的自
动取款机(atm))；
[0256]
‑
诸如rfid标签等的数字电子设备；
[0257]
‑
嵌入式安全元件；
[0258]
‑
计算机(例如，台式计算机和膝上型计算机)，平板计算机；
[0259]
‑
路由器、交换机、打印机；
[0260]
‑
移动电话，例如智能手机、基站、中继站、卫星；
[0261]
‑
物联网(iot)设备、机器人、无人机；以及
[0262]
‑
记录器、多媒体播放器、移动存储设备(例如，存储卡和硬盘)，其中由加密机制监控登录访问，等等。
[0263]
在某些替代实施例中，在流程图、序列图和/或框图中指定的功能、动作和/或操作可以重新排序、与本发明的实施例一致地串行处理和/或并发处理。此外，流程图、序列图和/或框图中的任一个可以包括比与本发明的实施例一致示出的那些更多或更少的框。
[0264]
特别地，应当注意，可以以任何次序、顺序地或并行地测试统计测试103。
[0265]
虽然通过各种实施例的描述已经说明了本发明的全部，并且虽然已经相当详细地描述了这些实施例，但是申请人的意图不是将所附权利要求的范围约束或以任何方式限制到这样的细节。本领域的技术人员将容易地理解附加的优点和修改。因此，本发明在其更广泛的方面不限于所示和描述的具体细节、表示性装置和方法以及说明性示例。特别地，应当注意，本发明不限于对ais31测试集的统计测试并且可以使用用于测试由rng 11生成的序列的其它类型的统计测试，例如：
[0266]
‑
来自ais31合的其它测试，包括例如自相关测试(测试5)、均匀分布测试(测试6)、同质性测试或用于多项分布的比较测试(测试8)、熵估计测试(测试8)。
[0267]
‑
来自nist测试套件的测试，例如根据nist sp800
‑
22测试套件，例如串行测试、频率(单位)测试等。
[0268]
展示e1
[0269]
定义
[0270]
e1.1.正态分布
[0271]
如果(连续)随机变量x的概率密度函数为以下，则该x具有平均值为μ且方差为σ2的正态分布：
[0272][0273]
连续随机变量x的密度函数满足：
[0274]
‑
(x)≥0 for all x∈]
‑
∞, ∞[
[0275]
‑
[0276]
‑
对于所有的
[0277]
e1.2“卡方”χ2分布
[0278]
χ2分布可用于比较事件的观察到的频率与其假设分布下的预期频率的拟合优度。当具有标准正态分布的k个独立随机变量的平方相加时，就会出现自由度为k的χ2分布。
[0279]
令k≥1为整数。如果密度函数为以下，则连续随机变量x具有自由度为k的χ2分布：
[0280][0281]
其中γ(x)是针对t>0定义的伽马函数：
[0282][0283]
e.1.3:测试方法
[0284]