確率的動作モデルを用いたオシレータベース物理乱数生成器の設計手法

全文

(1)Vol.2010-SLDM-147 No.19 2010/11/30. 情報処理学会研究報告 IPSJ SIG Technical Report. 1. 序. 確率的動作モデルを用いたオシレータベース物理乱数生成器の設計手法. 論. 物理乱数は、秘密鍵や公開鍵の生成、チャレンジレスポンス認証のチャレンジなどに使われており、高度なセキュリティの実現に必要不可欠な要素技術である。オシレータベース物理乱数生成器1)–3) は、物理乱数を生成する代表的な回路である。基. 天密. 木山. 健幸. 彦†1,†2 橋本昌宜†1,†2 男†1,†2 尾上孝雄†1,†2. 本的なオシレータベース物理乱数生成器のブロック図を図 1 に示す。乱数生成器は、サンプリング回路と、速度に差のある二つのオシレータから構成されている。サンプリング回路は、低速発振信号 (図 1, CK) をクロックとして、高速発振信号 (図 1, D) をサンプリングすることでビット列を取得する。発振信号は内部雑音に起因するジッタを含むため、高速発. 本稿ではオシレータベース物理乱数生成器の確率的動作モデルを構築し、モデルを用いた乱数生成器の設計手法を提案する。提案手法は、動作モデルを用いて設計空間の探索を行い、適切な設計パラメータを決定する。さらに、決定性雑音が存在する条件下でのシミュレーションを行うことでロバスト性を検証する。65nm プロセスにて実装した乱数生成器の測定結果から、動作モデルの妥当性を確認した。また、電源雑音を考慮できるシミュレータを実装し、決定性雑音に対するロバスト性の検証方法を確立した。. 振信号の立上りエッジから見た低速発振信号の立上りタイミングはランダムなゆらぎを持つ。なお本稿では、周期の標準偏差で定義される、ランダム・ピリオド・ジッタをジッタを呼ぶ。オシレータベース物理乱数生成器は、この周期ゆらぎをランダム源としてランダムビット列を生成する。ある要求仕様を満たす物理乱数生成器を設計するためには、出力乱数の品質を見積もり、適切な設計パラメータを設定することが必要である。しかし、通常の回路シミュレータは内部雑音から生じるジッタを直接考慮することができないため、オシレータベース物理乱数. A Design Procedure for Oscillator-Based Physical Random Number Generator with Stochastic Behavior Modeling. 生成器のシミュレーションは容易ではない。また、乱数テストには大量のビット列が必要であるため、長いシミュレーション時間が要求される一方、高速オシレータのシミュレーションを正確に行うためには、タイムステップを小さくする必要がある。そのため、オシレー. Takehiko Amaki,†1,†2 Masanori Hashimoto,†1,†2 Yukio Mitsuyama†1,†2 and Takao Onoye†1,†2. タベース物理乱数生成器の回路シミュレーションには非現実的な CPU 時間が必要となる。よって、乱数生成器の適切な設計パラメータの決定には、効率的な動作モデルと、乱数品質見積もりのためのシミュレーション手法が必要となる。. This paper proposes a stochastic behavior model of oscillator-based physical random number generator (RNG), and presents a design procedure of RNG with the proposed model. Design space exploration with the behavior model followed by robustness verification with simulation under deterministic noises. The behavior model is validated by measurement of RNGs fabricated in 65nm CMOS process. A simulator considering the power supply noise is also developed, which realizes the verification of the robustness to deterministic noises.. 文献 4)，5) は、ランダム雑音および決定性雑音下における低速オシレータを電圧制御発振器としてモデル化し、十分なランダム性を達成するために必要なジッタ量や決定性雑音の影響について議論している。また、二つのオシレータの周波数比が小さい (15 程度) 場合の、周波数比の影響についても議論している。文献 4) では、周波数比が大きいほどランダム性が向上すると主張しているが、この傾向はオシレータベース物理乱数生成器の動作から考察したものであり、十分な定量的評価はなされていない。さらに、提案されているモデルは、決定性雑音の周波数が低速オシレータより高い場合、決定性雑音の影響を正確に評価す. †1 大阪大学大学院情報科学研究科 Graduate School of Information Science and Technology, Osaka University †2 JST CREST. ることができず、実測によるモデルの正当性の確認も行われていない。本稿は、確率的動作モデルを用いたオシレータベース物理乱数生成器の設計手法を提案す. 1. c 2010 Information Processing Society of Japan .

(2) Vol.2010-SLDM-147 No.19 2010/11/30. 情報処理学会研究報告 IPSJ SIG Technical Report. る。まず、決定性雑音を考慮せずに、提案動作モデルを用いて設計パラメータを決定する。. 3.1 マルコフ過程を用いた提案モデル. 次に、決定性雑音を考慮したシミュレーションによりロバスト性を検証し、決定性雑音下に. マルコフ連鎖は離散状態、離散時間の確率過程 {Xn } = {X0 , X1 , X2 , . . .} である。{Xn } はランダム変数列であり、任意の r について、次に示すマルコフ性10) を持つ。. おいても十分なランダム性を持つ物理乱数生成器の設計を実現する。65nm CMOS プロセ. P (Xr = xr|Xr−1 = xr−1 , Xr−2 = xr−2 , . . . , X0 = x0) = P (Xr = xr|Xr−1 = xr−1). スにて実装したオシレータベース乱数生成器の実測結果より提案モデルの妥当性を確認し. (1). た。提案モデルが取り扱うパラメータは、オシレータのトポロジや種類によらないため、提. 上式は、次時刻の状態 Xn+1 は現在の状態 Xn のみに依存し、過去の状態 X0 , X1 , . . . , Xn−1. 案モデルは任意のオシレータに適用可能である。また、決定性雑音のシミュレーションにお. と独立であることを意味する。. いては、周期単位ではなくゲート単位で遅延のゆらぎを計算するため、決定性雑音の周波数. 提案モデルの構築にあたって、オシレータのジッタは時間的に無相関であると仮定する。. がオシレータより高い場合でも評価が可能である。. これは、熱雑音、ショット雑音、1/f 雑音といったランダム雑音のみを考慮し、電源雑音、基板雑音、外部雑音といった決定性雑音 (4 章で議論) は考慮しないことを意味する。この. 2. 提案設計手法. 仮定により、物理乱数生成器の動作をマルコフ連鎖でモデル化することが可能となる。提案モデルにおいて、高速オシレータの 1 サイクル分の波形を、時間的に m 分割し、各. 提案動作モデル (3 章)、決定性雑音を考慮したシミュレーション (4 章) を用いた設計の手順を図 2 に示す。まず、要求されるスループットや乱数品質などの制約を与える。また、. 区間を一つの状態とする。これにより、m 状態からなる状態空間が構成される。また、低. オシレータの周波数の上限やジッタなどの情報を入力する。次に、与えられた制約を満たす. 速オシレータの n 番目の立上りタイミングを、時刻 n と定義する。このタイミングにおい. よう、オシレータの周波数などの設計パラメータを決定する。最後に、決定性雑音下でのシ. て、高速発振波形は、先に定義した m 状態のいずれか一つに入っている。時刻 n における. ミュレーションにより乱数品質を評価し、設計した物理乱数生成器の決定性雑音に対するロ. 状態は Xn として表現される。各状態は、高速オシレータの HIGH あるいは LOW に対応. バスト性を検証する。十分なロバスト性を持っている場合、設計は終了し、不十分である場. しているため、物理乱数生成器は Xn に従って n 番目のビットを生成する。m = 8 として. 合、シミュレーション結果をフィードバックし、設計パラメータを修正する。. 提案モデルを物理乱数生成器に適応した例を図 3 に示す。物理乱数生成器は、時刻 n において状態 1、時刻 n + 1 において状態 6 をとるため、Xn = 1、Xn+1 = 6 と表わされる。こ. 3. オシレータベース物理乱数生成器の動作モデル. の例では、状態 0, 1, 2, 3 が LOW に、状態 4, 5, 6, 7 が HIGH にそれぞれ対応するため、n. 本章では、マルコフ連鎖を用いたオシレータベース物理乱数生成器の動作モデルを提案す. 番目の出力は ‘0’、n + 1 番目の出力は ‘1’ となる。. る。また、テストチップに実装した乱数生成器の測定結果から、提案モデルの妥当性を確認. 3.2 モデルを用いた乱数品質評価手法. する。最後に、提案モデルを用いたオシレータの設計例を示す。. 提案動作モデルを用いた二つの乱数品質評価手法を図 4 に示す。第一の方法では、ランダ. Sampler. Fast oscillator. D. Q. CK. 1011010011... Random bitstream. START. ムビット列を生成し、統計的ランダムテストを用いて評価する。もう一つの方法では、ビッ. Set Design Constraints. トを生成せず、代表的な乱数品質の尺度である近似エントロピーを直接計算する。以下、各. Slow oscillator. Explore and Determine Design Parameters (not considering deteministic noises). Fast oscillator. Verify Robustness (considering deteministic noises). Slow oscillator. enough robustness? YES. Timing fluctuation. 図 1 基本的なオシレータベース物理乱数生成器のブロック図. END. 図2. ステップの詳細について説明する。. NO robustness evaluation result is fed back. 提案する物理乱数生成器の設計手順. 図 3 マルコフ連鎖の物理乱数生成器への適用例 (m = 8). 2. c 2010 Information Processing Society of Japan .

(3) Vol.2010-SLDM-147 No.19 2010/11/30. 情報処理学会研究報告 IPSJ SIG Technical Report Parameters (Period, Jitter). Transition Matrix Initial State Probability Vector. 範囲であり、tfast /m である。f (x) は正規分布の確率密度関数である。時間的に独立であれ. Probability Density Function of Jitter [e.g. Gaussian Distribution]. ば他の分布も適用可能であるが、本稿では代表的な分布として正規分布を仮定した。低速オシレータの平均周期 tslow を高速オシレータの平均周期で割った余りを μ と表す。すなわち、. P. 次のサンプリングタイミングは、現在から μ だけ進む確率が最も高い。二つのオシレータの. π0. State Probability Vectors. ジッタを単一の数で表現するため、実効ジッタを考える。実効ジッタは高速オシレータから . π n (n = 1,2,3...). 見た低速オシレータのジッタであり、. Parameter (Duty Cycle). σfast はオシレータのジッタである。pi,j+m は pi,j と等しいため、pi,j (i > j) も式 (2) から求めることができる。このように、式 (2) から遷移行列を求めることができる。. Psudo Random Numbers. 図 3 を例にとって、式 (2) を説明する。m = 8 であり、Xn は状態 1、Xn+1 は状態 6 で. Bitstreams. bn (n = 1,2,3...). Probabilities of ‘1’. pn (n = 1,2,3...). Corrector function (optional) Von Neumann, XOR, etc. ある。図 5 は式 (2) における加算と積分を示している。tf ast が十分大きいとき、すなわち. tf ast >> σ (図 5 上) であるとき、p1,6 の近似値は q(6−1) =. Corrector function (optional) (XOR). Bitstreams. b'n (n = 1,2,3...). Statistical Randomness Tests (FIPS140-2, NIST, Diehard Tests etc.). Probabilities of ‘1’ p 'n. (n = 1,2,3...). 状態空間のサイズ m は品質評価の精度と評価に必要な時間に影響する。動作を正確にモ. Entropy Estimation. デル化するには、tspan (= tf ast /m) は σ よりも十分小さくなければならない。実験的に、. tspan < σ/10 程度であれば有効な評価が可能であることを確認している。 3.2.2 状態確率ベクトルの計算遷移行列が与えられると、現在の状態確率ベクトル πn から、次時刻における状態確率ベクトル πn+1 を次のように計算することができる。. ⎛. モデルが m 状態からなる状態空間を持っているとき、遷移行列のサイズは m × m である。遷移行列の要素 pi,j は、状態 i から状態 j (0 ≤ i, j ≤ m − 1) への遷移確率を表す。ここで、状態の遷移ステップ数 a を {(j − i) + m}%m と定義する。また、現在の状態から次時. πn+1. 刻に a ステップだけ状態が進む確率を q(a) と表現する。正規分布を仮定すると、pi,i+a は. l=−∞. f (x) = √. ∞. q(a+l·m) =. . f (x)dx として求められ. なり、一般化すると式 (2) が得られる。. 3.2.1 遷移行列の計算. ∞. 5·tspan. る。一方、tf ast が σ と同程度かそれより小さいとき (図 5 下)、q(5+8×(−1)), q(5+8×1), · · ·. このステップでは、マルコフ過程における状態遷移の特徴を表す遷移行列 P を求める。. 次のように計算される。. 6·tspan. を加算する必要がある。σ が tf ast と比較して大きくなるほど、加算するべき q の項が多く. 図 4 動作モデルを用いた乱数品質評価手法. pi,i+a =. tslow 2 2 σslow + σfast と表わされる。このとき、σslow 、 tfast. l=−∞. (x − μ) 1 exp − 2σ 2 2πσ. P {Xn = 1} .. .. ⎞T ⎛ ⎟ ⎟ ⎟ ⎟ ⎠. P {Xn = m − 1}. ⎜ ⎜ ⎜ ⎜ ⎝. p0,0. p0,1. ···. p0,m−1. p1,0 .. .. p1,1 .. .. ··· .. .. p1,m−1 .. .. pm−1,0. pm−1,1. ···. pm−1,m−1. ⎞ ⎟ ⎟ ⎟ = πn P(4) ⎟ ⎠. マルコフ性から、遷移行列 P は時刻 n に独立であるため、πn は初期状態確率ベクトル π0. l·tfast +(a+1)tspan. f (x)dx. ⎜ ⎜ =⎜ ⎜ ⎝. P {Xn = 0}. (2). を用いて πn = π0 Pn と表わされる。初期状態を 0 としたときの、πn の遷移の例を図 6. l·tfast +a·tspan. 2. に示す。. (3). 3.2.3 ビットの生成と乱数テストデューティ比を、全状態数 m に対する HIGH の状態数の比として定義する。例えば、状. ここで、tfast は高速オシレータの平均周期である。また、tspan は一つの状態が占める時間. 態 0 から 29 を LOW、状態 30 から 99 を HIGH(m = 100) とすると、デューティ比 d は. 3. c 2010 Information Processing Society of Japan .

(4) Vol.2010-SLDM-147 No.19 2010/11/30. 情報処理学会研究報告 IPSJ SIG Technical Report f (x). 3.3.1 テストチップ. σ << t fast. 0.025. Probability. 0.02. x. σ > t fast. 65nm プロセスを用いて、オシレータベース物理乱数生成器を実装した。チップ写真とブ. n=1 n=2 n=3 n=4 n=inf. ロック図を図 7 に示す。高速オシレータとして、5 段、7 段、15 段リングオシレータ (RO). 0.015. 0.005. x q(5 + 8 × (−1)) 0. q(5 + 8 × 0) q(5 + 8 × 1) 8t span = t fast 16t span = 2t fast. 0 0. を実装した。また、低速オシレータとして、チャネル長が 10nm 長いトランジスタで構成さ. 3DUDPHWHUV ̬)DVW̬3HULRG̬>QV@ ̬6ORZ̬3HULRG̬>QV@ ̬(TXLYDOHQW̬-LWWHU̬>SV@ ̬'XW\̬&\FOH̬>@. 0.01. 20. 40. 60. 80. れた 251 段 RO と、4、64、512、4096 分周器を実装した。なお、RO は CMOS インバータと 2 入力 NAND ゲートから構成されている。高速オシレータのデューティ比は基板バイアスを印加することで細かく調整することが可能である。. 100. State. 図 5 遷移行列の計算例. 3.3.2 ポーカー検定を用いた正当性の確認. 図 6 状態確率ベクトルの遷移の例. 20k ビット 100 系列のランダムビット列をテストチップから取得した。また、提案モデ (70/100) × 100 = 70% である。現在の状態から求められる次時刻の確率ベクトルと、デュー. ルを用いて同量のビット列を生成し、ポーカー検定を用いて品質を評価した。シミュレー. ティ比が与えられたとき、次時刻の状態と出力ビットは疑似乱数を用いて確率的に決定する. ションに用いるパラメータは以下のように決定した。高速オシレータの平均周期は回路シ. ことができる。この手続きを繰り返すことで連続するビット列が生成できる。さらに、生成. ミュレーションから求め、低速オシレータの平均周期は実測から求めた。高速オシレータの. したビット列に対して任意の統計的テストを実行することで、乱数品質が評価できる。. デューティ比は 50 %と設定した。実効ジッタは、まず実測した低速オシレータの周期の標. 3.2.4 エントロピーの見積もり. 準偏差から見積もり、シミュレーションで求めた χ が実測に合うようにわずかに調整した。. 提案モデルを用いることで、先述のビット生成を行うことなく、近似エントロピー6) を直. なお、χ はポーカー検定のスコアであり、χ が小さいほど乱数品質が高いことを示す。χ の合格範囲は 2.16 < χ < 46.177) である。最後に、状態空間のサイズは 100 とした。. 接求めることができる。状態確率ベクトルとデューティ比から、各時刻における’1’ の出現確率 p1 , p2 , · · · を計算する。ここで、pn は p1 , p2 , · · · pn−1 と独立ではないが、過去のビッ. 高速オシレータが 5 段、15 段 RO である場合の、実測結果とシミュレーション結果を図 8. ト列との相関は状態確率ベクトルの計算時に考慮されていることに注意する。よって、近似. に示す。x 軸は低速オシレータの周期であり、分周回数を変えることで変化させている。高. エントロピー ApEn は次のように計算される。. 速オシレータのデューティ比は 50±3%以内に調整した。なお、デューティ比は生成される. 2mb −1. ApEn = φ. (mb ). −φ. (mb +1). ,. φ. (mb ). =. . ξi logξi ,. ビット列の 1/0 の比として現れる8) と仮定して見積もった。図 8 から、サンプリング間隔. (5). s が大きいほど乱数品質が向上していることがわかる。サンプリング間隔が s であるとは、. i=0. る mb ビットが i に等しい確率である。例えば、ξ13 は (0000001101)2 である確率であり、. サンプリング回路がクロックの s サイクルごとにデータをサンプリングすることを意味し √ ており、サンプリング間隔が s のとき低速発振信号のジッタは s 倍大きくなる9) 。χ は低. (1 − p1 )(1 − p2 )(1 − p3 )(1 − p4 )(1 − p5 )(1 − p6 )p7 p8 (1 − p9 )p10 と計算される。マルコフ. 速オシレータの周期が大きくなるにつれて小さくなるが、高速 RO として 5 段 RO を用い. モデルを用いることで、長いビット列を生成することなく、’1’ あるいは’0’ の出現確率から. た場合、15 段 RO を用いた場合よりも早く減少している。これは、高速オシレータの平均. ここで、mb はブロック長であり、本稿では代表的な値 10 を採用している。ξi は連続す. ξi を計算することができる。なお、ApEn の値は初期状態によって多少変化するため、全初. 5-stage RO. 期状態に対して ApEn を求め、それらの平均をとる。. 7-stage RO Div4. 3.3 実測によるモデルの妥当性の確認. 15-stage RO. 120um. 140um. オシレータベース物理乱数生成器を 65nm CMOS プロセスを用いて実装し、実測結果か. Div64 Div512 Div4096. 251-stage RO. ら提案モデルの妥当性を確認する。. Frequency divider. 図 7 物理乱数生成器のチップ写真とブロック図. 4. c 2010 Information Processing Society of Japan .

(5) Vol.2010-SLDM-147 No.19 2010/11/30. 情報処理学会研究報告 IPSJ SIG Technical Report 㪤㪼㪸㫊㫌㫉㪼㪪㫀㫄㫌㫃㪸㫋㫀㫆㫅. 13-stage 15-stage. pass mark (ApEn=0.691). χ. χ. 㪝㪸㫊㫋㪌㪝㪸㫊㫋㪈㪌㪝㪸㫊㫋㪌㩿㫊㫀㫄㪅㪀㪝㪸㫊㫋㪈㪌㩿㫊㫀㫄㪅㪀. 17-stage. 19-stage. 㪧㪼㫉㫀㫆㪻㪲㫅㫊㪴図 8 乱数品質 vs. サンプリング間隔および高速オシレータの平均周期. 㪛㫌㫋㫐㩷㪺㫐㪺㫃㪼㪲㩼㪴図 9 乱数品質 vs. 高速オシレータのデューティ比. 図 10. オシレータ設計のための乱数品質評価結果. 周期が小さくなると、十分な乱数品質を得るために必要なジッタ量が小さくなることを示し. が要求されているため、高速 RO の段数は 17 段以下である必要がある。例えば、高速 RO. ている。また、この傾向は、シミュレーションと実測の両方で認められる。. として 15 段 RO を用いた場合、低速 RO は周波数が 12.5 MHz 以下になるように設計しな. 高速オシレータのデューティ比を変化させた場合の、ポーカー検定結果を図 9 に示す。高. くてはならない。. 速オシレータとして 7 段 RO を、低速発振信号として 251 段 RO と 512 分周器を用いてい. 4. 決定性雑音下での乱数品質評価. る。高速オシレータのデューティ比は 44%から 58%まで変化させた。図 9 から、高速オシレータのデューティ比が崩れると、乱数品質が低下することが分かる。シミュレーションと. 本章では、決定性雑音の中でも最も影響が大きいと考えられる電源雑音に焦点を当て、決. 実測の結果は良く一致しており、提案モデルを用いた解析結果は有効である。. 定性雑音に対するロバスト性を評価する。. 3.4 提案モデルを用いた設計空間の探索. 4.1 シミュレーション手法. 本節では、動作モデルを用いた設計空間探索の例を示す。オシレータは、インバータのよ. ロバスト性の評価のため、各ゲート遅延のゆらぎを考慮できる、ゲートレベルのシミュ. うな各段の要素 (以降、ゲートと呼ぶ) から構成されており、各ゲートの遅延ゆらぎ特性は. レータを実装した。以降、各ゲート遅延を td,(gate) と表す。. 設計に不可欠な情報である。ジッタの性質について議論するため、分散定数 rd をゲート遅. td,(gate) (t) = td,offset,(gate) (Vdd(t)) + td,random , 1 td,offset,(gate) (t) = a(gate) , (Vdd(t) − Vth(gate) )α(gate) + b(gate). 延の分散を平均で割った値として定義する。. 3.4.1 オシレータの設計 65nm CMOS プロセスを対象に、次の制約と回路情報をもとに、物理乱数生成器のためのオシレータの設計を行う。RO の実測結果から、ゲートの分散定数 rd は 1.44 × 10. −14. (6) (7). ここで、(gate) とはゲートの種類を表す。td,random はランダム雑音に起因するランダムな. s. 遅延ゆらぎであり、その平均は 0 である。td,offset,(gate) はランダム雑音がない場合のゲート. とした。また、高速 RO のデューティ比は 50±1 %以内に入るものとした。要求スループッ. 遅延である。遅延と電源雑音の関係を表現するため、α乗則12) にもとづくゲート遅延モデ. トは、スマートカードにおける標準的な値11) の 10 Mbps 以上とした。また、要求される乱. ル (式 (7)) を使用した。パラメータ a(gate) 、b(gate) 、α(gate) 、Vth(gate) は回路シミュレー. 数品質として、近似エントロピーの合格点を 0.691 とした。. ション結果へのフィッティングから取得した。Vdd(t) は電源波形を表現する関数である。. まず、高速 RO として用いるオシレータの周期を回路シミュレーションから見積もる。こ. ビットを生成する手順を図 11 に示す。いま、高速 RO、低速 RO の最初の立上りタイミン. こでは、簡単のため、異なる段数の RO(13 段、15 段、17 段、19 段) を評価した。次に、. グをそれぞれ、 t(1)FAST 、t(1)SLOW とし、n 番目の立上りタイミングをそれぞれ t(1)FAST 、. 提案モデルを用いて、低速 RO の周波数を変化させた場合の、各高速 RO に対するエント. t(1)SLOW とする。1) 低速 RO の現在の立上りタイミング t(1)SLOW から、次の立上りタイ. ロピーを見積もった。なお、高速 RO のデューティ比は、ワーストケースを考慮するため、. ミング t(2)SLOW を計算する。2) t(1)FAST および t(1)SLOW から、t(n−1)FAST < t(2)SLOW <. 51 %とした。見積もったエントロピーを図 10 に示す。いま、10 Mbps 以上のスループット. t(n)FAST を満足する t(n)FAST を求める。3) t(2)SLOW 、t(n−1)FAST 、t(n)FAST および高速 RO. 5. c 2010 Information Processing Society of Japan .

(6) Vol.2010-SLDM-147 No.19 2010/11/30 1). のデューティ比からビットを生成する。. 3). Fast oscillator. 低速 RO の連続する立上りエッジ間の間隔は、RO の 2 周分の td,(gate) (t) を合計したもの. 2). として求められる。分周器を使用している場合、2× 分周回数分の td,(gate) (t) を合計する。. 4.2 シミュレーション結果. t(1)SLOW t(1)FAST. C 言語で実装したシミュレータを用いて、乱数品質評価を行った。20k ビット 100 系列. 図 11. のビット列を生成し、ポーカー検定を行った。高速 RO および低速 RO の電源電圧 1.2 V に対して、両方の RO に振幅 100 mV の正弦波を重畳した (“Both”)。低速 RO にのみ正弦. t(. t(2)SLOW t( )FAST. -1)FAST. 決定性雑音を考慮したシミュレーションの概要. 㪎㪇㪇㪍㪇㪇㪌㪇㪇㪋㪇㪇㪊㪇㪇㪉㪇㪇㪈㪇㪇㪇㪌㪏㪅㪉. both w/o noise. 㱣. Slow oscillator. 㱣. 情報処理学会研究報告 IPSJ SIG Technical Report. w/o noise. both slow only. slow only 㪌㪏㪅㪋. 㪌㪏㪅㪍. 㪌㪏㪅㪏. 㪌㪐㪅㪇. 㪧㪼㫉㫀㫆㪻㩷㫆㪽㩷㫊㫀㫅㫌㫊㫆㫀㪻㪸㫃㩷㫅㫆㫀㫊㪼㪲㫅㫊㪴. 図 12 決定性雑音下の乱数品質評価 (σ=0.55 ps). 㪧㪼㫉㫀㫆㪻㩷㫆㪽㩷㫊㫀㫅㫌㫊㫆㫀㪻㪸㫃㩷㫅㫆㫀㫊㪼㪲㫅㫊㪴. 図 13. 決定性雑音下の乱数品質評価 (σ=2.2 ps). 謝辞本チップ試作は東京大学大規模集積システム設計教育研究センターを通し株式会社. 波を印加した場合 (“Slow Only”) についても評価を行った。この条件は、RO 間の相互作. 半導体理工学研究センター、(株) イー・シャトルおよび富士通株式会社の協力で行われたも. 用を避けるため、電源を分離した場合を想定している。低速発振信号として 251 段 RO と. のである。. 8 分周器を、高速オシレータとして 7 段 RO を用いており、低速オシレータの平均周期は. 考. 文. 献. 1) Jun, B. et al.: The Intel random number generator, White Paper Prepared for Intel Corporation (1999) 2) Bucci, M. et al.: A high-speed oscillator-based truly random number source for cryptographic applications on a smart card IC, IEEE Trans. on Computers, vol. 52, no. 4 (2003) 3) Balachandran, G. K. et al.: A 440-nA true random number generator for passive RFID tags, IEEE Trans. on Circuits and Systems, vol. 55, no. 11 (2008) 4) Petrie, C. S. et al.: Modeling and simulation of oscillator-based random number generators, ISCAS, vol. 4, pp. 324–327 (1996) 5) Petrie, C. S. et al.: A noise-based IC random number generator for applications in cryptography, IEEE Trans. on Circuits and Systems, vol. 47, no. 5, (2000) 6) A statistical test suite for the validation of random number generators and pseudorandom number generators for cryptographic applications, NIST, pub. 800-22 (2001) 7) Security requirements for cryptographic modules, FIPS pub. 140-2 (2001) 8) Erg¨ un, S.: Modeling and analysis of chaos-modulated dual oscillator-based random number generators, EUSIPCO, pp. 1-5 (2008) 9) Schellekens, D. et al.: FPGA vendor agnostic true random number generator, FPL, pp. 1–6 (2006) 10) Ledermann, W.: Handbook of applicable mathematics, vol. 6, John Wiley & Sons (1980) 11) Matsumoto, M. et al.: 1200μm2 physical random-number generators based on SiN mosfet for secure smart-card application, ISSCC, pp. 414-624 (2008) 12) Sakurai, T. et al.: Alpha-power law mosfet model and its applications to cmos inverter delay and other formulas, IEEE Journal of Solid-State Circuits, vol. 25, no. 2, pp. 584–594 (1990). 58.6 ns である。65nm プロセスに実装した RO の実測結果から、td,random の σ は 0.55 ps と設定した。電源雑音下におけるポーカー検定結果を図 12、図 13 に示す。また、電源雑音を印加しない場合の結果をあわせて示す。ここで、図 12 の σ は 0.55 ps である一方、図 13 の σ はその 4 倍の 2.2 ps であり、これは RO のジッタが大きくなっていることを意味する。図 12 において、特に雑音が低速オシレータのみに印加されたとき、乱数品質が不安定になっている。一方、図 13 においては、雑音を印加した場合と印加しない場合の χ の間には大きな差が見られない。この結果から、大きなジッタをもつ物理乱数生成器は電源雑音に対してロバストであることが分かる。. 3 章で提案したモデルを用いて物理乱数生成器を設計した後、このシミュレーションを用いて決定性雑音に対するロバスト性を評価する。もし十分なロバスト性が確認できない場合、評価結果をフィードバックし、設計をやり直す必要がある。例えば、要求ジッタ量を大きくすることで、よりロバスト性の高い物理乱数生成器を設計できる。. 5. 結. 参. 論. 本稿では、オシレータベース物理乱数生成器の動作モデルと、モデルを用いた乱数品質評価手法を提案した。提案モデルは、ビット列を生成するだけでなく、直接近似エントロピーを見積もることができる。テストチップの実測により提案モデルの正当性を確認した。決定性雑音の影響を評価するためのシミュレータを実装し、決定性雑音に対するロバスト性の評価方法を確立した。提案したモデルとシミュレーションを用いることで、決定性雑音下においても高品質の乱数を生成する物理乱数生成器が設計できる。. 6. c 2010 Information Processing Society of Japan .

(7)