唐世彪,程節(jié),栗帥

(科大國盾量子技術(shù)股份有限公司,安徽 合肥 230088)

0 引言

近幾年量子信息技術(shù)發(fā)展迅猛,Google 2019年推出53比特量子計算原型機Sycamore系統(tǒng),中國科學(xué)技術(shù)大學(xué)與中科院上海微系統(tǒng)所、國家并行計算機工程技術(shù)研究中心合作,于2020年成功構(gòu)建了76個光子、100個模式的高斯玻色取樣量子計算原型機“九章”,均宣稱實現(xiàn)“量子霸權(quán)”[1]。這表明量子計算對當(dāng)前普遍使用的RSA等經(jīng)典非對稱密碼算法的潛在威脅逐漸趨于現(xiàn)實。量子信息科技是事關(guān)國家信息安全和國防安全的戰(zhàn)略性領(lǐng)域,世界各國均對其給予了極大關(guān)注[2],我國于“十四五”規(guī)劃、國家中長期科技發(fā)展規(guī)劃中均提出要加強量子信息技術(shù)的研究投入[3]。

基于量子密鑰分發(fā)(QKD)技術(shù)的量子保密通信在國防、政務(wù)、金融、能源等領(lǐng)域具有廣泛應(yīng)用前景,也是我國在量子信息領(lǐng)域發(fā)展較為領(lǐng)先的一項技術(shù)。經(jīng)過多年的持續(xù)研究探索,目前我國建成了全球首個廣域量子保密通信技術(shù)驗證及應(yīng)用示范項目“量子京滬干線”[4];“墨子號”量子科學(xué)實驗實現(xiàn)了星地之間以及7600 km的洲際量子密鑰分發(fā)[5]。

為服務(wù)于新時期下國家信息安全發(fā)展需求,QKD作為一種新興密碼技術(shù)也正在按照國家相關(guān)標準進行快速的科研成果轉(zhuǎn)化。QKD發(fā)送端采用隨機數(shù)進行編碼并制備相應(yīng)的量子態(tài)光脈沖,接收端則完成解碼和量子信號探測,雙方再經(jīng)過基矢比對、糾錯、保密增強等數(shù)據(jù)處理過程,即可得到一組雙方共享的對稱密鑰。其中,根據(jù)安全性分析,上述隨機數(shù)要求采用物理隨機數(shù)源產(chǎn)生[6]。此前QKD研究針對隨機數(shù)源多采用理想隨機數(shù)源模型[7]或者量子隨機數(shù)發(fā)生器[8]等,不利于產(chǎn)品化和工程集成。此外,根據(jù)《GM/T-0028-2014-密碼模塊安全要求》、《GM/T-0062-2018密碼產(chǎn)品隨機數(shù)檢測要求》等標準要求,作為市場化的密碼產(chǎn)品應(yīng)采用核準的隨機數(shù)源,并按照產(chǎn)品等級要求配備對應(yīng)的隨機數(shù)自檢算法。為此,本文對QKD產(chǎn)品的隨機數(shù)需求進行了分析梳理,基于一款核準的隨機數(shù)芯片設(shè)計了一種隨機數(shù)芯片陣列,并設(shè)計實現(xiàn)了高速隨機數(shù)源實時自檢方案,保證了QKD產(chǎn)品隨機數(shù)的合規(guī)性與可靠性。

1 方案原理描述

1.1 QKD隨機數(shù)源分析

誘騙態(tài)BB84協(xié)議是最早提出的QKD協(xié)議,同時也是迄今為止最為成熟和應(yīng)用最廣的QKD協(xié)議,其理論安全性已得到嚴格證明[9,10]。該協(xié)議通過隨機選擇發(fā)射多種光強的脈沖來監(jiān)測信道并估計單光子態(tài)特性,從而解決基于非理想單光子源的安全性問題[11]。

在誘騙態(tài)BB84協(xié)議QKD產(chǎn)品中,隨機數(shù)源提供發(fā)光編碼所需的隨機數(shù),發(fā)光編碼模塊根據(jù)隨機序列按照一定規(guī)則編碼,形成誘騙態(tài)BB84協(xié)議所需的多種強度隨機量子態(tài)數(shù)字編碼序列,再經(jīng)光脈沖調(diào)制模塊產(chǎn)生對應(yīng)量子態(tài)的光脈沖信號,并發(fā)送給接收端。接收端完成光脈沖探測和數(shù)據(jù)解碼,雙方再通過經(jīng)典信道交互,經(jīng)后續(xù)數(shù)據(jù)處理過程形成共享的量子密鑰。

以一款工作頻率為80 MHz的偏振編碼QKD產(chǎn)品為例,發(fā)送端可以使用5 bits的隨機數(shù)編碼一個強度隨機的量子態(tài)光脈沖信號。其中2 bits用于隨機選擇0°、90°、45°、-45°四種偏振態(tài)光信號的任意一種;3 bits用于隨機選擇信號態(tài)、誘騙態(tài)、真空態(tài)三種強度中的任意一種,通過將3 bits表示的8個編碼狀態(tài)中的6個定義為信號態(tài),1個定義為誘騙態(tài),1個定義為真空態(tài),就可以使得最終發(fā)射的光脈沖信號中信號態(tài):誘騙態(tài):真空態(tài)的比例為6:1:1。在采用該編碼方案的QKD產(chǎn)品中,要求隨機數(shù)源能提供400 Mbps以上的隨機數(shù)。

另一方面,根據(jù)《GM/T-0028-2014-密碼模塊安全要求》等標準要求,市場化的密碼產(chǎn)品應(yīng)采用核準的隨機數(shù)源。由于傳統(tǒng)商用隨機數(shù)源多用于經(jīng)典密碼產(chǎn)品中的會話密鑰、裝置密鑰等生成,以及安全協(xié)議中的隨機數(shù)、各種初始向量產(chǎn)生等場合,隨機數(shù)速率要求都較低,因此,目前國內(nèi)商用密碼領(lǐng)域核準的隨機數(shù)芯片速率都不高。根據(jù)調(diào)研,速率最高的隨機數(shù)芯片為宏思電子WNG-8隨機數(shù)芯片,單片速率為20 Mbps。該芯片也應(yīng)用于2014年覆蓋巢湖、蕪湖和合肥三個城市的量子通信試驗網(wǎng)QKD設(shè)備中,4片用于編碼誘騙態(tài),2片用于相位調(diào)制[12]。為此,基于該芯片及FPGA并行數(shù)據(jù)處理技術(shù),設(shè)計了一種隨機數(shù)芯片陣列集成方案,以滿足百兆頻率量級QKD系統(tǒng)的隨機數(shù)需求。

1.2 隨機數(shù)陣列集成方案

WNG-8芯片是一款數(shù)字物理噪聲源,其采用DIP8和SOP8兩種封裝形式,隨機數(shù)以20 Mbps單路串行輸出,其管腳排列及定義如圖1所示。

圖1 WNG-8芯片管腳排列定義圖Fig.1 Pin definition diagran of WNG-8 chip

根據(jù)圖1管腳定義,為方便FPGA對WNG-8隨機數(shù)進行匯聚,在WNG-8外圍硬件電路設(shè)計中,直接將INH休眠控制管腳懸空、OE輸出使能管腳接地置于低電平,每片WNG-8只留CLK和DATA管腳與FPGA連接,FPGA通過CLK管腳輸入20 MHz時鐘信號至WNG-8芯片,再從DATA管腳按照20 MHz頻率進行數(shù)據(jù)采樣,即可獲得20 Mbps的隨機數(shù)。為滿足80 MHz工作頻率QKD產(chǎn)品對隨機數(shù)的需求,按照上述編碼,需設(shè)計采用22片WNG-8芯片組成隨機數(shù)陣列,FPGA與22片WNG-8隨機數(shù)芯片的連接關(guān)系如圖2。

由圖2可見,22片WNG-8芯片分成2組,每組11片WNG-8芯片,在FPGA內(nèi)部將相鄰兩片隨機數(shù)芯片輸出的20 Mbps數(shù)據(jù)進行實時異或處理,即WNG8-1與WNG8-2異或合并為1路20 Mbps隨機數(shù),WNG8-2與WNG8-3異或合并為1路20 Mbps隨機數(shù),···,WNG8-10與WNG8-11異或合并為1路20 Mbps隨機數(shù),異或后的隨機數(shù)由原始輸出11路20 Mbps,轉(zhuǎn)換為相鄰異或后的10路20 Mbps隨機數(shù)。

圖2 FPGA與WNG-8芯片陣列連接關(guān)系Fig.2 The connection between FPGA and WNG-8 chip array

以上相鄰異或的好處在于,當(dāng)11片WNG-8芯片中的任意1片(例如WNG8-3)失效,無法輸出隨機數(shù)或輸出的數(shù)據(jù)質(zhì)量不合格時,WNG8-2與WNG8-3異或輸出的隨機數(shù)質(zhì)量仍然合格,WNG8-3與WNG8-4異或輸出的隨機數(shù)質(zhì)量同樣也合格。這樣就能保證11片WNG-8芯片異或后的10路20 Mbps隨機數(shù)質(zhì)量合格,即使芯片陣列中單片WNG8失效也無影響,提升了系統(tǒng)的可靠性。

經(jīng)過以上處理后,2組WNG8芯片共計輸出2×10路20 Mbps隨機數(shù)。為方便后續(xù)隨機數(shù)檢測模塊并行處理以及并行發(fā)光編碼,在FPGA內(nèi)將這20路20 Mbps串行隨機數(shù)進行串并轉(zhuǎn)換后,合成一路位寬為40 bits、總速率為400 Mbps的隨機數(shù)數(shù)據(jù)流。

1.3 自檢模塊設(shè)計實現(xiàn)

在使用隨機數(shù)發(fā)生器時,隨機數(shù)的好壞對于保障整個QKD產(chǎn)品的安全性舉足輕重。QKD產(chǎn)品采用隨機數(shù)編碼制備隨機量子態(tài),隨機數(shù)源一旦故障或失效,將導(dǎo)致編碼的量子態(tài)質(zhì)量劣化,對量子密鑰分發(fā)的安全性帶來直接影響[13]。根據(jù)《GM/T-0062-2018密碼產(chǎn)品隨機數(shù)檢測要求》標準,需對QKD產(chǎn)品的隨機數(shù)發(fā)生器按照D類產(chǎn)品要求進行送樣檢測、出廠檢測、上電檢測、使用檢測,檢測項目為《GMT-0005-2012隨機性檢測規(guī)范》中規(guī)定的撲克檢測(檢測參數(shù)m=2)。

圖3 撲克檢測上限值S計算流程圖Fig.3 The calculation flow chat of upper bound value S

QKD設(shè)備中實時獲取隨機數(shù)用于發(fā)光編碼,為最大程度保障隨機數(shù)的可靠性,對使用的隨機數(shù)都按照10000 bits進行分組并進行撲克檢測。對于80 MHz系統(tǒng)頻率的QKD設(shè)備,其撲克檢測模塊的處理帶寬要求在400 Mbps以上,若頻率更高,則相應(yīng)檢測帶寬需求也會線性增加。為此,基于FPGA設(shè)計了撲克檢測模塊,內(nèi)含2個10000 bits隨機數(shù)撲克檢測單元,通過乒乓切換的方式提高處理效率。與傳統(tǒng)的通用CPU數(shù)字處理技術(shù)相比,FPGA底層采用硬件直接實現(xiàn)數(shù)據(jù)處理邏輯,無需進行CPU指令集翻譯再操作,大大提升了計算效率;并且FPGA設(shè)計靈活,接口豐富,集成度高,并行處理能力很強,數(shù)據(jù)吞吐量很高,非常適合以上無需復(fù)雜浮點運算的數(shù)字信號處理需求[14]。基于FPGA的撲克檢測模塊結(jié)構(gòu)如圖4,整體采用硬件描述語言Verilog實現(xiàn)。

在圖4結(jié)構(gòu)中,乒乓切換控制模塊負責(zé)將異或后的隨機數(shù),按照10000 bits分段輪詢送入后級兩個撲克檢測單元中;每個檢測單元內(nèi),并行實現(xiàn)20路00 01 10 11四種比特序列模式的頻數(shù)統(tǒng)計計數(shù)器,并在統(tǒng)計完畢后,將20路計數(shù)器結(jié)果分類累加得到四種比特序列模式的出現(xiàn)頻數(shù),再計算四種頻數(shù)的平方和并與判斷門限S對比,得到該組10000 bits隨機數(shù)的檢測結(jié)果;數(shù)據(jù)判斷匯總模塊,將兩個檢測單元備份的檢測數(shù)據(jù)根據(jù)檢測結(jié)果進行整合,檢測通過的數(shù)據(jù)拼接輸出,如果連續(xù)兩組10000 bits隨機數(shù)檢測失敗,按照《GM/T-0062-2018密碼產(chǎn)品隨機數(shù)檢測要求》中D類產(chǎn)品要求判定隨機數(shù)源已經(jīng)失效,并觸發(fā)隨機數(shù)源失效告警。

圖4 撲克檢測模塊結(jié)構(gòu)Fig.4 Basic structure of Poker check module

以上結(jié)構(gòu)中,單個撲克檢測單元每個時鐘周期可以統(tǒng)計40 bits隨機數(shù)的序列模式,10000 bits隨機數(shù)需要250個時鐘周期進行統(tǒng)計,再花費20個時鐘周期進行累加和門限判斷,后級匯總模塊再根據(jù)檢測結(jié)果,花費250個時鐘周期將檢測通過的備份數(shù)據(jù)從緩存中取走,并刪除未通過檢測的備份數(shù)據(jù),因此,平均處理一個10000 bits隨機數(shù)塊需要約520個時鐘周期,當(dāng)FPGA運行頻率設(shè)計為100 MHz時,單個檢測單元處理帶寬約為1923 Mbps。通過乒乓切換控制的設(shè)計方式,兩個檢測單元交替進行統(tǒng)計和備份數(shù)據(jù)搬移,可使得總處理帶寬達到3.8 Gbps左右,可滿足當(dāng)前80 MHz頻率QKD產(chǎn)品及后續(xù)更高頻率QKD產(chǎn)品的噪聲源檢測需求。

2 方案驗證與討論

2.1 硬件電路設(shè)計

依據(jù)以上WNG-8隨機數(shù)芯片陣列設(shè)計方案,硬件設(shè)計時將22片WNG-8芯片排布在一塊7 cm×10 cm左右的噪聲源子卡上,該子卡PCB布局圖如圖5。

圖5 WNG-8噪聲源子卡PCB布局圖Fig.5 PCB layout of WNG-8 noise sorce sub-card

圖5中接插件J1、J2負責(zé)與主板連接,U1-U22為22片WNG-8芯片,每片WNG-8芯片VDD與GND管腳間串接一片去耦電容。主板上FPGA經(jīng)接插件向各片WNG-8芯片提供20 MHz時鐘信號,并將各芯片輸出的隨機數(shù)匯總進行位寬轉(zhuǎn)換。通過主板導(dǎo)出多組匯總后的隨機數(shù)數(shù)據(jù),并按照《GM/T-0005-2012隨機性檢測規(guī)范》要求進行隨機性檢測,均能夠通過該標準要求的15項測試,表明該隨機數(shù)芯片陣列方案所生成的隨機數(shù)質(zhì)量合格。

2.2 撲克檢測模塊測試

對上述FPGA中設(shè)計實現(xiàn)的高速撲克檢測模塊,使用Modelsim軟件搭建測試平臺進行仿真分析。撰寫仿真測試程序,構(gòu)造兩批不同比特序列分布特性的測試數(shù)據(jù)作為檢測模塊輸入進行對比測試:第一批兩塊10000 bits數(shù)據(jù)由十六進制字串0xAA5500FF6C重復(fù)輸入,每次重復(fù)輸入前按照4 bits首尾移位循環(huán)(即0xAA5500FF6C-＞0xCAA5500FF6-＞ 0x6CAA5500FF-＞0xF6CAA5500F···),保證該批次測試數(shù)據(jù)中00 01 10 11比特序列模式出現(xiàn)頻數(shù)相同;第二批數(shù)據(jù)由十六進制字串0xDAA5500FF6重復(fù)輸入,同樣輸入前按照4 bits首尾移位循環(huán)(即0xDAA5500FF6-＞0x6DAA5500FF-＞0xF6DAA5500F-＞0xFF6DAA5500···),該批次數(shù)據(jù)中01比特序列出現(xiàn)頻數(shù)高于其余3種比特序列。執(zhí)行該仿真測試程序,時序仿真結(jié)果如圖6。

圖6 撲克檢測模塊仿真結(jié)果Fig.6 Simulation results of Poker check module

圖6仿真測試結(jié)果中,由上到下展示的是4個功能模塊運行過程,分別是測試數(shù)據(jù)輸入的乒乓切換控制、CH0撲克檢測單元、CH1撲克檢測單元、數(shù)據(jù)判斷匯總模塊。在FPGA內(nèi)這4個模塊是4個獨立的電路實體,通過同一個時鐘驅(qū)動同步并行運行,從左到右為整個運行時間軸。圖6第一部分為“input data”仿真時序,表明測試數(shù)據(jù)按照40 bits位寬經(jīng)rand-fifo-q[39:0]接口交替乒乓切換輸入到CH0和CH1撲克檢測單元中,在圖中分別用“10000 bits data to ch0”和“10000 bits data to ch1”表示。圖中“duplicate input test data”表示重復(fù)輸入的測試數(shù)據(jù)內(nèi)容,前兩個10000 bits數(shù)據(jù)塊是十六進制字串0xAA5500FF6C重復(fù)輸入,后續(xù)的10000 bits數(shù)據(jù)塊均為十六進制字串0xDAA5500FF6重復(fù)輸入;圖6第二、第三部分為“ch0/1-Poker check unit”仿真時序,表明兩個撲克檢測單元經(jīng)ch0/1-fifo-q[39:0]接口按照40 bits位寬收到數(shù)據(jù)后即開始統(tǒng)計。通過流水線處理策略,在收到一個新的40 bits數(shù)據(jù)的同一時刻,完成上一個40 bits數(shù)據(jù)的00/01/10/11頻數(shù)的統(tǒng)計,這樣就能在每個時鐘周期都完成40 bits數(shù)據(jù)的撲克檢測統(tǒng)計。在250個時鐘周期后,一個10000 bits數(shù)據(jù)塊被統(tǒng)計完成,將統(tǒng)計結(jié)果匯總更新到cnt-00/01/10/11-num計數(shù)器中,再計算出這4個計數(shù)器的平方和sum-num,將其與門限閾值S=6264181比較,超過該門限時拉高ch0/1-error-flag信號(在圖6中呈現(xiàn)為脈沖信號)。在圖6中可以看到前兩個10000 bits測試數(shù)據(jù)塊由于00/01/10/11比特序列頻數(shù)出現(xiàn)頻次均為1250,因此統(tǒng)計結(jié)束時cnt-00/01/10/11-num計數(shù)器均為1250,平方和sum-num=625000低于門限值S=6264181,撲克檢測通過,ch0/1-error-flag信號保持低電平;后續(xù)的10000 bits測試數(shù)據(jù)塊中00/01/10/11出現(xiàn)頻次分別為1000、1500、1250、1250,平方和sum-num=637500高于門限值S=6264181檢測失敗,ch0/1-error-flag信號觸發(fā)一個高電平脈沖;圖6第四部分為“result judge and data output control”仿真時序,表明數(shù)據(jù)判斷匯總模塊在交替乒乓切換讀入CH0和CH1的檢測后數(shù)據(jù),并在該通道ch0/1-error-flag信號拉高后不在merge-fifo-q[39:0]接口輸出該組數(shù)據(jù),當(dāng)CH0和CH1相鄰兩個10000 bits數(shù)據(jù)塊的ch0/1-error-flag都拉高時,觸發(fā)噪聲源失效告警信號Poker-test-error(圖6中呈現(xiàn)為階躍信號),滿足《GM/T-0062-2018密碼產(chǎn)品隨機數(shù)檢測要求》中判定隨機數(shù)源失效及處理措施的規(guī)定。

依據(jù)圖6仿真波形可以進行精確的撲克檢測模塊處理帶寬計算,該仿真測試程序中定義的FPGA芯片運行主頻為100 MHz,使用測量工具測出連續(xù)檢測兩個10000 bits數(shù)據(jù)塊總計時長為5230 ns,因此該模塊處理帶寬為3824 Mbps,與前文估算帶寬基本相符。

將該高速撲克檢測模塊在Altera公司EP3C120 FPGA上編譯后顯示占用5306個LE邏輯單元,占芯片總邏輯單元的4.5%,編譯布局布線后的STA靜態(tài)時序分析結(jié)果顯示最大可運行時鐘頻率 fmax達到203.05 MHz。將包含該撲克檢測模塊的可執(zhí)行文件燒寫進入FPGA芯片,通過SignalTap判斷處理帶寬接近3.8 Gbps。以上測試結(jié)果表明,該自檢模塊資源占用量較低,處理帶寬很高,如果有更高的處理帶寬需求,完全可以將運行時鐘(100 MHz)進一步提升,或者將檢測單元數(shù)量增加以進一步發(fā)揮FPGA的并行處理優(yōu)勢,均可以很方便地提升該模塊處理帶寬,預(yù)計可以支持10 Gbps隨機數(shù)源的撲克檢測需求。

3 結(jié)論

依據(jù)密碼產(chǎn)品相關(guān)標準,設(shè)計實現(xiàn)了一套應(yīng)用于實際QKD產(chǎn)品的隨機數(shù)源集成及其自檢方案。傳統(tǒng)的噪聲源實時檢測方案處理帶寬受限,且不易于工程化集成。此處選用一款核準的隨機數(shù)芯片,設(shè)計了隨機數(shù)芯片陣列集成方案并完成相應(yīng)硬件電路設(shè)計,并在此基礎(chǔ)上設(shè)計實現(xiàn)了高速隨機數(shù)源實時自檢方案。該方案工程化實現(xiàn)簡單,集成度高,自檢模塊可實時處理3.8 Gbps隨機數(shù),且通過簡單升級預(yù)計能夠?qū)崿F(xiàn)10 Gbps的處理帶寬,有望支持未來更高系統(tǒng)頻率的QKD產(chǎn)品研究工作。