Квантовый генератор случайных чисел. Выбор, обзор

Случайные числа находят широкое применение во всех ключевых областях современных информационных технологий: криптографии квантовых коммуникациях, методах Монте-Карло, игровых системах протоколах аутентификации и электронной торговле. Качество случайных чисел непосредственно определяет уровень безопасности криптографических систем: слабый или предсказуемый генератор равносилен уязвимости всей системы защиты информации [1, 2].

Исторически сложились два основных подхода к генерации случайных чисел. Первый — программный (алгоритмический) реализующий псевдослучайные генераторы случайных чисел (ПСГСЧ) на детерминированных алгоритмах. Второй — аппаратный, основанный на физических процессах. Поскольку компьютер является детерминированной системой, любой алгоритмический ГСЧ при одинаковых начальных условиях всегда воспроизводит одну и ту же последовательность. Именно поэтому алгоритмические генераторы принципиально не могут обеспечить «истинную» случайность [3].

Кардинальное решение проблемы истинной случайности предоставляет квантовая физика. В отличие от классических систем, исход квантового измерения фундаментально непредсказуем и не может быть воспроизведён. Данное свойство квантовой механики позволяет строить квантовые генераторы случайных чисел (КГСЧ, англ. QRNG — Quantum Random Number Generator), основанные на принципиально случайных квантовых явлениях. Настоящая статья ставит целью систематизировать и сравнить основные типы КГСЧ, рассмотреть их физические основы, математический аппарат оценки качества, а также ключевые характеристики.

КЛАССИФИКАЦИЯ ГЕНЕРАТОРОВ СЛУЧАЙНЫХ ЧИСЕЛ Современные генераторы случайных чисел принято делить на три основных класса:

• 1.    Псевдослучайные генераторы (ПСГСЧ) — детерминированные алгоритмы (линейные конгруэнтные генераторы, регистры сдвига с линейной обратной связью, генераторы на основе криптографических хэш-функций).

• 2.    Аппаратные генераторы на основе классических физических процессов (тепловой шум, радиоактивный распад, атмосферный шум) — обеспечивают большую непредсказуемость, чем ПСГСЧ, однако принципиально детерминированы.

• 3.    Квантовые генераторы случайных чисел (КГСЧ) — основаны на принципиально вероятностной природе квантовых измерений обеспечивая теоретически безусловно случайные последовательности.

Внутри класса КГСЧ принята следующая классификация по уровню доверия к устройствам [4]:

Таблица 1 — Классификация КГСЧ по уровню доверия

Тип КГСЧ	Ключевая особенность	Скорость генерации
Доверенный	Полное доверие к калиброванным устройствам; высокая скорость	до 100 Гбит/с [5]
Полунезависимы й	Часть устройств может быть ненадёжной или злонамеренно скомпрометированной; баланс скорости и безопасности	20 Гбит/с [6]
Независимый	Нет доверия ни к одному устройству; верификация через нарушение	единицы бит/с [4]

неравенств Белла

ФИЗИЧЕСКИЕ ОСНОВЫ И МАТЕМАТИЧЕСКИЙ АППАРАТ

Понятие случайности и энтропии

Количественной мерой случайности (непредсказуемости) последовательности служит понятие энтропии Шеннона и минимальной энтропии. Для дискретной случайной величины X с вероятностями p(x) энтропия Шеннона определяется как [7]:

H ( X )=- E_xp ( x )■ log₂ p ( x ) , [бит]

где суммирование производится по всем возможным значениям x Для двоичных последовательностей максимальная энтропия равна 1 бит на бит последовательности и достигается при равновероятных исходах.

Для задач криптографической стойкости более подходящей мерой является минимальная энтропия, характеризующая наихудший случай предсказуемости:

H _m i _n ( X )=- log2 max x p ( x ) , [бит]

Согласно стандарту NIST SP 800-90B [8], КГСЧ должен обеспечивать Hₘᵢₙ ≥ 0.5 бит/бит для базовой криптографической пригодности. Высококачественные КГСЧ демонстрируют значения Hₘᵢₙ > 0.98 бит/бит. Например, в работе [7] для КГСЧ на основе лавинного фотодиода достигнуто Hₘᵢₙ = 0.9944 бит/бит для последовательности из 8·10⁶ бит при скорости 100 Мбит/с.

Пуассоновский процесс в КГСЧ

Во многих оптических КГСЧ (основанных на времени детектирования фотонов или разделении пути фотонов) случайные события фотодетектирования описываются пуассоновским законом распределения. Если λ — среднее число фотонов за единицу времени, то вероятность зарегистрировать ровно k фотонов за время t равна [3]:

P(k; λt) = (λt)ᵏ · e^(-λt) / k!

Дисперсия числа отсчётов совпадает с математическим ожиданием: D[k] = E[k] = λt. Именно пуассоновская природа фотоэмиссии обеспечивает независимость последовательных случайных событий и является физической основой квантовой случайности в оптических КГСЧ.

Когерентное состояние и его фотонное разложение

В ряде схем КГСЧ используется когерентное лазерное состояние |α ⟩ , являющееся суперпозицией состояний Фока (с определённым числом фотонов). Вероятность обнаружить n фотонов в таком состоянии:

P(n) = |⟨n|α⟩|² = e^(-|α|²) · |α|^(2n) / n! = e^(-n̄) · n̄ⁿ / n!, где n̄ = |α|² — среднее число фотонов. Таким образом, измерение числа фотонов в когерентном импульсе даёт случайную величину с распределением Пуассона, что позволяет кодировать несколько случайных битов за одно измерение [3].

Квантовый вакуумный шум и его статистика

В КГСЧ на основе флуктуаций вакуума используется гомодинное детектирование. Квадратурные компоненты вакуумного поля X̂ и P̂ удовлетворяют соотношению неопределённостей Гейзенберга:

ΔX · ΔP ≥ ℏ/2, и имеют нормальное распределение с нулевым средним и дисперсией σ²_vac = 1/4 (в нормированных единицах выстрела). Выходной сигнал балансного детектора пропорционален квадратурному шуму вакуума, который после аналого-цифрового преобразования (АЦП) даёт случайные числа. Достигнутые скорости превышают 100 Гбит/с [5].

ОСНОВНЫЕ ТИПЫ КГСЧ И ИХ ПРИНЦИПЫ РАБОТЫ

КГСЧ на основе пространственного разделения излучения

Исторически первый класс КГСЧ — разделение пути одиночных фотонов с помощью оптического светоделителя (СД) с коэффициентом деления 50/50. Лазер испускает фотон, который попадает на СД с равной вероятностью p = 0.5 по каждому из двух плеч, итоговый сигнал регистрируется на одном из двух детекторов одиночных фотонов (ДОФ) Срабатывание ДОФ1 кодируется как «1», ДОФ2 — как «0». Скорость генерации достигает ~1 Мбит/с [3].

Альтернативный вариант использует поляризационный светоделитель: фотон с поляризацией 45° разделяется на пучки с поляризацией 0° и 90°, каждый с вероятностью 50%. Основные недостатки данного класса: ограниченная скорость из-за мёртвого времени ДОФ; асимметрия вероятностей из-за различия оптических путей; зависимость от стабильности детекторов.

КГСЧ на основе массива детекторов одиночных фотонов

Для кодирования нескольких битов за один отсчёт применяются схемы с массивом ДОФ. Фотон регистрируется случайным образом одним из N детекторов, и координаты срабатывания кодируются в log₂(N) бит При N = 2^m детекторах каждое срабатывание даёт m случайных бит Использование дифракционной решётки позволяет пространственно разделить фотоны в зависимости от длины волны и далее регистрировать положение срабатывания [3]. Достоинство: высокая информационная ёмкость одного события. Недостаток: необходимость точной калибровки всех детекторов, рост стоимости с числом ДОФ.

КГСЧ на основе времени детектирования фотонов

В данных схемах используется пуассоновская природа временных интервалов между событиями фотодетектирования. Случайный бит формируется по результату сравнения двух последовательных временных интервалов t₁ и t₂: бит «0», если t₁ < t₂, и «1» в обратном случае. Данный метод не требует контроля числа испускаемых фотонов и позволяет кодировать несколько бит за одно событие. Главный недостаток — ограничение скорости мёртвым временем ДОФ (~100 Кбит/с) [3].

КГСЧ на основе квантовой запутанности

В схемах с поляризационно-запутанными фотонными парами, полученными при спонтанном параметрическом рассеянии (СПР) в кристалле, измеряются корреляции поляризаций двух фотонов Детектирование совпадений (Г1+В2) записывается как «0», (В1+Г2) — как «1». Использование схем совпадений позволяет подавить большую часть паразитного шума. Скорость генерации ~5,3 Кбит/с. Достоинство: возможность верификации квантового характера случайности; недостаток: сложность реализации и малая скорость [3].

КГСЧ на основе лазерных шумов

Источником энтропии служит квантовый фазовый шум полупроводникового лазера, обусловленный спонтанной эмиссией фотонов. Измеряется при помощи волоконного интерферометра Маха-Цендера (ИМЦ). Выходной сигнал I(t) сравнивается со средним I₀: бит «1» при I(t) > I₀, «0» при I(t) < I₀. Скорость генерации достигает 500 Мбит/с [3] Также применяются схемы на основе амплитудных шумов хаотического лазера со скоростью до 12,5 Гбит/с.

Достоинство: простота исполнения и высокая скорость. Недостаток: трудность верификации квантового происхождения шума (возможен вклад классических флуктуаций температуры, вибраций).

КГСЧ на основе флуктуаций вакуума

Принцип работы: гомодинное детектирование — квадратурный шум вакуума X̂ _vac измеряется на балансном детекторе (разность фотодиодов) На один вход СД подаётся когерентное состояние от лазера, на второй — вакуум. Разностный сигнал после АЦП является квантовым случайным числом [3]. В 2023 году группа Bruynsteen et al. продемонстрировала рекордную скорость генерации 100 Гбит/с на интегральной фотонной схеме [5]. Достоинства: высокая скорость; надёжный источник энтропии; устойчивость к внешним воздействиям; классические фотодетекторы.

СРАВНИТЕЛЬНЫЙ АНАЛИЗ И МЕТОДЫ ОПТИМИЗАЦИИ ВЫБОРА

Сравнительная таблица КГСЧ

Таблица 2 — Сравнение основных типов КГСЧ

Тип КГСЧ	Скорост ь	Hₘᵢₙ (бит/бит )	Сложность	Основная применяемость
Разделение пути фотонов	~1 Мбит/с	~0.97	Низкая	Учебные, лабораторные задачи
Массив ДОФ	1–10 Мбит/с	~0.98	Средняя	Криптография
Время детектирован ия	~100 Кбит/с	~0.96	Средняя	Квантовые сети
Квантовая запутанность	~5,3 Кбит/с	~0.99	Высокая	Deviceindependent QKD
Лазерный фазовый шум	500 Мбит/с– 12,5 Гбит/с	~0.97	Средняя	Высокоскоростн ая QKD
Вакуумные флуктуации	2–100 Гбит/с	>0.99	Средняя/ Высокая	Высокоскоростн ая QKD, IoT

Метод взвешенной оценки для выбора оптимального КГСЧ

Для задачи выбора оптимального КГСЧ применим метод взвешенной суммы критериев (метод аналитической иерархии), широко используемый в задачах многокритериальной оптимизации. Пусть имеется m альтернатив (типов КГСЧ) и n критериев с весовыми коэффициентами wⱼ (Σwⱼ = 1). Оценка i-й альтернативы:

Sᵢ = Σⱼ wⱼ · rᵢⱼ, где rᵢⱼ — нормированное значение j-го критерия для i-й альтернативы. Выберем критерии и веса для типичной задачи высокоскоростной криптографии: скорость генерации (w₁ = 0,35) минимальная энтропия (w₂ = 0,30), сложность/стоимость реализации (w₃ = 0,20, инвертированный), верифицируемость квантовой природы (w₄ = 0,15).

Таблица 3 — Взвешенная оценка КГСЧ для задачи высокоскоростной криптографии

Тип КГСЧ	r_скор. (×0.35)	r_Hmin (×0.30)	r_сложн . (×0.20)	r_вериф. (×0.15)	S_i
Разделение пути фотонов	0.01	0.97	0.90	0.50	0.46
Лазерный фазовый шум	0.12	0.97	0.75	0.40	0.55
Вакуумные флуктуации	1.00	0.99	0.65	0.70	0.89
Квантовая запутанность	0.001	0.99	0.20	1.00	0.34

По результатам взвешенной оценки КГСЧ на основе вакуумных флуктуаций получает наивысший суммарный балл S = 0,89, что делает данный тип оптимальным выбором для задач высокоскоростной квантовой криптографии. Второе место занимает КГСЧ на основе лазерного фазового шума (S = 0,55).

СТАТИСТИЧЕСКИЕ МЕТОДЫ ОЦЕНКИ КАЧЕСТВА КГСЧ

Проверка качества случайных последовательностей осуществляется стандартизованными статистическими тестами. Наиболее авторитетными являются пакеты тестов NIST SP 800-22 и NIST SP 800-90B [8]. Основные тесты:

• 1.    Частотный тест (monobits). Проверяет соответствие доли единиц в последовательности нормальному закону. Статистика:

• 2.    Тест на серии (runs). Анализирует чередование нулей и единиц При n → ∞ число серий Vₙ имеет нормальное распределение с параметрами:

• 3.    Тест наибольшего прогона единиц в блоке (longest run of ones) Проверяет статистику максимальных серий единиц в блоках длиной M.

• 4.    Тест на бинарные матрицы. Ранги бинарных матриц, составленных из битов последовательности, сравниваются с теоретическим χ²-распределением.

S_obs = |Σᵢ (2εᵢ - 1)| / √n, где εᵢ ∈ {0,1} — биты последовательности, n — длина. Тест проходится при p-value = erfc(S_obs/√2) > 0,01.

E[Vₙ] = 2n·π(1-π), Var[Vₙ] = 4n·π²(1-π)², где π = (число единиц)/n. p-value вычисляется как erfc(|Vₙ - E[Vₙ]| / (2√(2n)·π(1-π))).

Минимальная энтропия оценивается согласно NIST SP 800-90B методом наиболее вероятного предсказания:

Hₘᵢₙ = -log₂(p̂ _max), где p̂_max — максимальная наблюдаемая вероятность для любого символа. Стандарт требует Hₘᵢₙ ≥ 0,5 бит/бит.

ЦИФРОВЫЕ ИТОГОВЫЕ ДАННЫЕ И ГРАФИЧЕСКАЯ ИНТЕРПРЕТАЦИЯ

Сравнение скоростей генерации различных типов КГСЧ

На основании анализа актуальных литературных источников [3–7] систематизированы ключевые количественные характеристики КГСЧ:

Таблица 4 — Количественные параметры КГСЧ

Тип КГСЧ	Скорость, Гбит/с	Hₘᵢₙ, бит/бит	Источник
Вакуумные флуктуации (интегральный чип)	100	0.990	[5]
Вакуумные флуктуации (стандартный)	2–6	0.985	[9]
Лазерный хаотический шум	12.5	0.970	[3]
Лазерный фазовый шум (ИМЦ)	0.5	0.972	[3]
Лавинный фотодиод (туннельный эффект)	0.1	0.9944	[7]
Разделение пути одиночных фотонов	0.001	0.970	[3]
Квантовая запутанность	0.0053	0.990	[3]

График: Скорость генерации и Минимальная энтропия

Приведённые ниже данные позволяют наглядно оценить соотношение скорости генерации и качества (Hₘᵢₙ) для различных типов КГСЧ. На Рисунке 1 (схематическое представление) по оси X отложена скорость генерации (в логарифмическом масштабе, бит/с), по оси Y — значение минимальной энтропии:

Hmin

1.000 |            •(Вакуум 100G)               •(Лавин.ФД)

0.990 I                             «(Вакуум 2-6G)

0.980 I

0.970 | «(Разд.путь) «(Запут.) «( ИМЦ) « (Хаос 12.5G)

4-----1----------1----------1----------1----------1----log (Скорость) vwvvwini^=

1 кб 100кб    1Мб     100Мб    1Гб    100Гб

Рисунок 1 — Диаграмма «Скорость — Энтропия» для основных типов КГСЧ

Статистические результаты NIST SP 800-90B

По данным работы [7], КГСЧ на основе туннельного эффекта в лавинном фотодиоде (скорость 100 Мбит/с) показал следующие результаты тестирования NIST SP 800-90B:

Таблица 5 — Результаты NIST SP 800-90B для КГСЧ на лавинном фотодиоде

Параметр	Значение
Длина тестируемой последовательности	8 000 000 бит
Статистическая Hₘᵢₙ (бит/бит)	0.9944
Hₘᵢₙ по NIST SP 800-90B (бит/бит)	0.9872
Непрерывная выходная последовательность	1 174 Гбит (11 744 с)
Среднее Hₘᵢₙ за 11 744 с (бит/бит)	0.9892
Итоговая Hₘᵢₙ для 1 174 Гбит	0.9951

Полученные значения Hₘᵢₙ > 0,98 бит/бит более чем вдвое превышают минимальный порог NIST SP 800-90B (0,5 бит/бит) и являются одними из наиболее высоких для КГСЧ без постобработки. По данным работы [10], КГСЧ ID Quantique Quantis демонстрирует значение Hₘᵢₙ = 7,8744 бит/байт (≈ 0,9843 бит/бит) по сертификации NIST SP 800-90B.

ПРАКТИЧЕСКАЯ ДЕМОНСТРАЦИЯ НА ПЛАТФОРМЕ QCENGINE

Для демонстрации принципа квантовой генерации случайных чисел рассмотрим реализацию базового КГСЧ на платформе QCengine . Данная платформа позволяет выполнять квантовые схемы в браузере и визуализировать результаты.

КГСЧ на основе измерения кубита в суперпозиции

Базовый принцип квантового генератора случайных чисел состоит в следующем: кубит переводится в состояние суперпозиции оператором Адамара (H-gate), после чего производится измерение. Вероятность получения «0» и «1» одинакова и равна 0,5.

Квантовое состояние после применения оператора Адамара к |0 ⟩ :

H\0 ) = (\0 ) + \1 ) )/<2

Вероятность измерения: P(0) = P(1) = 1/2, что обеспечивает равновероятное распределение битов.

Код для QCengine (JavaScript-совместимый синтаксис):

// КГСЧ на QCengine: генерация 8 случайных бит

// Шаг 1: Применить оператор Адамара ко всем кубитам // H переводит |0 ⟩ → (|0 ⟩ +|1 ⟩ )/√2 для каждого кубита reg.hadamard();

// Результат: случайное 8-битное число [0..255] print("Случайное число: " + result);

// Для генерации N случайных чисел — повторяем процесс: var randomNumbers = [];

reg.hadamard();

} print("Случайная последовательность: " + randomNumbers);

КГСЧ с усиленной энтропией (квантовые запутанные состояния)

Расширенная версия КГСЧ использует запутанные состояния для генерации пар коррелированных случайных чисел. Схема Bell-state позволяет верифицировать квантовую природу случайности:

// Создание состояния Белла: |Φ+ ⟩ = (|00 ⟩ +|11 ⟩ )/√2

// Шаг 1: H-gate на первый кубит qubit_a.hadamard();

// Гарантировано: bit_a === bit_b (корреляция Белла)

// Но само значение { 0,1} случа й но с P=0. 5 print("bitA=" + bita + ", bitB=" + bitb);

Проверка корреляции совпадений позволяет верифицировать квантовую природу случайности: для классического источника нарушение неравенства CHSH (Bell) невозможно. Ожидаемое значение оператора Белла для квантового источника:

⟨CHSH⟩ = 2√2 ≈ 2.828 > 2 (классическая граница), что является доказательством нелокальности и подтверждает квантовую природу случайности.

ВЫВОДЫ

По результатам проведённого обзора и сравнительного анализа квантовых генераторов случайных чисел сделаны следующие выводы:

• 1.    Квантовые генераторы случайных чисел принципиально превосходят псевдослучайные генераторы по уровню непредсказуемости, обеспечивая теоретически безусловно случайные последовательности Значения минимальной энтропии лучших современных КГСЧ достигают Hₘᵢₙ = 0,9951 бит/бит [7], что практически соответствует идеальному источнику (Hₘᵢₙ = 1,0).

• 2.    Наибольшая скорость генерации достигается в КГСЧ на основе флуктуаций квантового вакуума — рекордное значение 100 Гбит/с, зафиксированное в 2023 году [5], что на порядок превышает предшествующие результаты для данного класса устройств. КГСЧ на лазерных шумах обеспечивают скорость до 12,5 Гбит/с.

• 3.    Задача выбора оптимального КГСЧ решается методом взвешенной многокритериальной оценки. Для задач высокоскоростной квантовой криптографии оптимальным является КГСЧ на флуктуациях вакуума (интегральная реализация, S = 0,89); для задач с требованием верифицируемой случайности — схемы на квантовой запутанности (S = 0,34, но максимальный уровень доверия).

• 4.    Математический аппарат оценки качества КГСЧ включает минимальную энтропию, распределение Пуассона для моделирования фотонных событий и стандартизованные тестовые пакеты NIST SP 80090B. Значение Hₘᵢₙ = 0,9872 бит/бит, достигнутое в [7] без постобработки, почти вдвое превышает эталонное значение для коммерческого КГСЧ ID Quantique Quantis (Hₘᵢₙ = 0,9843 бит/бит [10]).

• 5.    Демонстрационная реализация на платформе QCengine подтверждает, что базовый квантовый принцип (H-gate + измерение) воспроизводит идеально равномерное распределение битов с P(0) = P(1) = 0,5. Схемы на запутанных состояниях Белла позволяют верифицировать нелокальность через нарушение CHSH-неравенства: ⟨ CHSH ⟩ = 2√2 ≈ 2,828 > 2.

• 6.    Рыночная тенденция 2022–2026 гг. демонстрирует быстрый рост числа коммерческих применений КГСЧ: по данным [6], более 14 миллионов устройств IoT интегрировали чипы КГСЧ в 2023 году, а число патентов в данной области превысило 310 за последние 12 месяцев.