随机性测试：NIST SP 800-22 统计检验解析

随机性测试是密码工程中评估随机数发生器输出质量的基石性方法。无论是伪随机数发生器（PRNG）还是量子随机数发生器（QRNG），其输出的二进制序列是否”足够随机”都不能仅凭直觉判断，而必须通过可量化的统计检验来评估。NIST SP 800-22《随机与伪随机数发生器统计检验套件》定义了十五项用于检测二进制序列随机性的统计检验，是国际密码界评估随机源质量最权威、最广泛应用的参考标准之一。本文系统解析这一标准的数学原理、检验构造、P 值判定与工程落地路径，并对照我国《GM/T 0005 随机数检测规范》阐明中外随机性测试体系的内在联系，帮助密码工程师与安全决策者建立一套可复现、可审计的随机数质量评估方法论。

统计检验的意义不在于”证明”某个序列是随机的——这在数学上不可能；它的价值在于”证伪”：如果某个序列在足够大的样本下显著偏离随机模型，就能以较高可信度判定其来源并非理想随机源。正微光电（zwqtech.com）作为专注量子安全的科技公司，母公司为正则量子（北京）技术有限公司，围绕量子熵源主线已布局 13 项授权/公布专利，量产 QRNG 板卡以 1Gbps 输出速率通过 NIST SP 800-90B 与 GM/T 0005 双标准第三方实测验证。本文所述统计检验方法，正是这类量子随机数产品在出货前必须通过的质量关卡，也是后量子密码（PQC）算法落地的底层保障之一。

1. 随机性测试的密码学意义与定位

1.1 为什么随机数质量必须被量化评估

密码系统的安全性建立在一个看似不言而喻、实则极为苛刻的前提之上：密钥、初始化向量、一次性随机数、签名随机参数等所有敏感随机量都必须真正不可预测。然而”不可预测”是一个无法被任何单次测量直接证实的概念。攻击者能够获取的只是输出序列的有限样本，如何从这些样本推断整个发生器的行为？

随机性测试回答了这个问题的一个侧面。它把”序列是否服从理想随机模型”转化为一个可计算的假设检验问题：设定一个零假设 H₀（序列来自独立同分布的均匀随机源），在给定序列上计算某个检验统计量，再根据该统计量在 H₀ 下的理论分布求出 P 值。若 P 值过小，说明样本与随机模型的偏离程度在随机情况下几乎不可能发生，从而有充分理由拒绝 H₀、判定该序列存在非随机结构。

这一框架的价值在于其客观性与可复现性。随机性测试不依赖主观观察，不依赖发生器的内部实现细节，而是完全基于输出比特流的统计特征。同一段序列，无论由哪个机构、哪套工具执行标准方法，都会得到一致的检验结果。这种可复现性使随机性测试成为密码产品合规认证中不可或缺的一环——监管机构、第三方检测实验室与用户之间因此拥有一套共同的质量语言。

1.2 统计检验与密码分析的边界

必须清醒认识到随机性测试的能力边界。NIST SP 800-22 在其引言中明确指出：统计检验不能替代密码分析。通过十五项统计检验的序列，只能说明它在该组检验所覆盖的统计维度上与随机模型不可区分，绝不意味着其生成过程在密码学意义上是安全的。一个设计拙劣但恰好”看起来随机”的生成器，完全可能通过全部统计检验，却在攻击者掌握其内部状态后被彻底预测。

因此，随机性测试在整个随机数质量验证体系中扮演的是”必要但不充分”的过滤器角色。它与密码分析、熵估计、健康测试共同构成完整的质量保障体系：熵估计（如 NIST SP 800-90B，对应站内《QRNG 熵估计解析》一文所述方法）回答”从物理熵源能提取多少不可预测性”的问题，统计检验回答”输出序列是否表现出随机统计特征”的问题，密码分析回答”生成算法本身是否可被推导”的问题。三者层层递进、互为补充，任何单一手段都无法覆盖全部安全维度。

对量子随机数发生器而言，统计检验更有其独特价值。QRNG 的熵源基于量子测量过程的物理内禀随机性，但完整链路中还包含光电探测、信号调理、熵提取与后处理等环节——任何一个环节的缺陷（如探测器饱和、ADC 量化误差、后处理算法引入相关性）都可能在输出中留下微观统计痕迹。统计检验正是在这些缺陷尚未演化为可被利用的漏洞之前，将其暴露出来的敏感探针。

1.3 随机数在现代密码体系中的枢纽地位

随机数的质量决定密码体系的下限。在对称密码中，AES-256 的密钥若实际仅含低熵，攻击者穷举空间将急剧坍缩；在非对称密码中，数字签名的一次性随机数 k 一旦存在可预测结构或发生重用，攻击者即可通过联立方程在多项式时间内恢复私钥；在分组密码操作模式中，可预测的初始化向量使选择明文攻击得以展开，计数器重复则直接导致密钥流复用。

后量子密码（PQC）的兴起进一步放大了随机数质量的重要性。格基方案（ML-KEM、ML-DSA）的安全归约建立在大规模随机采样之上，秘密向量、加密掩码与签名随机数全部依赖高质量的随机源。更关键的是，量子攻击者的威胁模型（所谓”先存后解”HNDL 攻击）要求随机数在未来几十年的保密周期内保持不可预测性——这意味着随机源质量的评估不能是一次性的，而必须在产品全生命周期内持续进行。正是基于这一认识，随机性测试作为评估随机源质量的基准方法，在量子安全时代获得了前所未有的工程地位。

2. NIST SP 800-22 标准的构成与历史脉络

2.1 标准的演进与定位

NIST SP 800-22 全称《A Statistical Test Suite for Random and Pseudorandom Number Generators for Cryptographic Applications》，由美国国家标准与技术研究院（NIST）发布。其首个版本发布于 2001 年，当前广泛采用的版本是 2010 年发布的 Rev. 1a。该文件以密码应用为明确导向，聚焦于随机数与伪随机数发生器的输出序列评估，不涉及具体算法的密码分析，也不给出熵源的物理建模方法（后者由 NIST SP 800-90B 等文档承担）。

SP 800-22 Rev. 1a 的核心是一套由十五项统计检验构成的检验套件。这十五项检验从不同统计维度检测序列偏离理想随机的迹象，既有针对比特占比的频数检验，也有针对复杂模式、频谱结构、自相关性与周期性的高阶检验。为保证检验结论的统计可靠性，标准同时规定了数据样本量要求、P 值计算方式、显著性水平以及多序列情形下的比例判定方法。

2.2 十五项检验的分类逻辑

这十五项检验可以按统计对象大致归类。第一类针对比特占比与游程结构，包括单比特频数检验、块内频数检验、游程检验与最长游程检验；第二类针对频谱与周期结构，包括离散傅里叶变换（谱）检验与线性复杂度检验；第三类针对模板与模式匹配，包括重叠模板检验、非重叠模板检验与通用统计（Maurer）检验；第四类针对随机游走与熵结构，包括累加和检验、随机游走检验、随机游走变体检验、近似熵检验与串行检验。全部十五项检验共同构成一套从低阶到高阶、从一阶统计到高阶结构的完整扫描面。

需要强调的是，标准本身明确建议：并非每一项检验都必须用于每一个被测对象。工程实践中应根据被测发生器的类型、用途与合规要求，选择最相关的检验子集并记录所选集合，以保证结果的可复现与可比对。然而，当需要全面评估或进行合规认证时，完整执行十五项检验是最稳妥的选择。

2.3 与 GM/T 0005 国密规范的对照

我国商用密码领域对随机数的检测也有明确规范，即国家密码管理局发布的《GM/T 0005 随机数检测规范》。该标准最初版本为 2012 年发布（GM/T 0005-2012），后于 2021 年修订（GM/T 0005-2021）。与 NIST SP 800-22 相似，GM/T 0005 规定了随机数检测的指标与方法，适用于对随机数发生器产生的二元序列进行随机性检测。两份标准在总体框架上高度一致——都采用假设检验范式、都规定多元随机性检测指标、都以 P 值（或国标中的 Q 值）作为判定依据——但在具体检验项、参数取值与判定阈值上存在差异。

这种”同源而不同构”的格局，对同时面向国内商密认证与国际市场的密码厂商提出了双轨合规要求。正微光电的 QRNG 板卡正是同时通过 NIST SP 800-90B 与 GM/T 0005 双标准第三方实测验证的产品，这一事实本身即说明团队在随机数质量验证上同时驾驭了国际标准与国密规范两套体系。理解 SP 800-22 与 GM/T 0005 的内在联系，有助于工程团队在双轨合规中复用检验方法与测试数据，降低重复验证成本。

2.4 P 值、Q 值与判定语义的细微差异

两份标准在判定参数命名上与细节上存在值得注意的差异。NIST SP 800-22 以 P 值作为判定核心，采用显著性水平 α 直接比较；GM/T 0005 国标同样基于假设检验，但在输出指标、样本组织方式与检验项集合的划定上，与 NIST 版本并非一一对应。工程团队在双轨合规时，切不可简单假设”同一段序列在 NIST 工具与国标工具下必然得到相同的判定语义”——两份标准对部分高阶检验（如谱检验、线性复杂度检验）的边界条件处理存在差异，需要通过实测与回归比对来校准。

这种差异本身并非缺陷，而反映了不同监管体系对随机源质量的不同侧重点。NIST 体系更强调与国际密码生态的互操作性，GM/T 体系更强调与商密应用场景（尤其是 SM2/SM3/SM4 等国密算法对随机数信噪比的要求）的适配。对随机数产品厂商而言，最稳妥的策略是建立”双标准对照测试矩阵”：将同一批采样数据分别送入 NIST 与国标检验流程，记录两份结果并建立差异映射表，从而在认证、量产与客户验收中都能快速给出双方认可的质量证据。这也正是正微光电量子随机数产品在工程层面落实双认证的具体方法论。

2.5 检验套件的实现形态与工具选择

NIST SP 800-22 提供了官方参考实现，同时社区也基于该标准衍生出多种实现语言（C、Python 等）的检验工具。工程实践中，工具的选择直接影响检验结果的可复现性。官方 C 参考实现以其与标准文本的强对应关系，通常作为认证与仲裁的最高权威；而 Python 等实现则以其可读性与可集成性，常用于研发期快速迭代与自动化流水线。两种实现对同一段序列的输出应在数值上一致，但潜在差异（如浮点精度、边界处理、随机数生成方式的差别）仍需通过对照测试确认，以免因工具差异引发合规争议。

在正微光电的工程实践中，随机性检验被封装为可配置的回归测试组件并接入持续集成流程：每次熵源代码或后处理算法变更，都自动触发完整或抽样性质的随机性回归，将”随机数质量回归”与”功能正确性回归”并列为质量门禁。这种将统计质量纳入自动化工程流水线的做法，正是随机性测试从”一次性认证动作”升维为”持续质量保障机制”的关键一步。

3. 假设检验与 P 值的数学基础

3.1 零假设、对立假设与显著水平

NIST SP 800-22 的所有检验都建立在经典的假设检验范式之上。对每项检验，先设定零假设 H₀：被测序列 s 是随机的，即其比特由独立同分布的均匀随机源产生。检验的目标并非证明 H₀，而是在给定样本下评判数据与 H₀ 的相容程度：若数据在 H₀ 下极端到几乎不可能出现，则拒绝 H₀，判定序列存在非随机性。

显著性水平 α 是判定”极端”的标准。标准推荐 α = 0.01，意味着在随机假设下，该项检验判定”非随机”的误报概率被控制在 1% 以内。换言之，一个真正的理想随机序列，在单次检验中因偶然波动而被误判为”非随机”的错误拒绝概率约为 1%。这种第一类错误（Type-I error）无法完全避免，工程上只能通过 α 与样本量来加以控制。

3.2 检验统计量与 P 值的计算

每一项检验定义一个从序列映射到实数的检验统计量，该统计量在 H₀ 下服从已知的理论分布（常见为卡方分布或正态分布）。以最基础的单比特频数检验为例：对长度为 n 的序列，统计 1 的数量，构造统计量 $S_n = \sum x_i$（其中 $x_i = 2\epsilon_i - 1$ 取 +1/-1），再计算归一化统计量 $s_{obs} = |S_n| / \sqrt{n}$，其 P 值由互补误差函数给出：

$P\text{-value} = \text{erfc}\left(\frac{s_{obs}}{\sqrt{2}}\right)$

P 值的直观含义是：在 H₀ 成立的前提下，观察到比当前样本更极端结果的概率。P 值越大，说明样本与随机模型的相容性越好；P 值越小，说明样本越偏离随机假设。标准判定规则为：若 P ≥ α，则接受 H₀（通过该项检验）；若 P < α，则拒绝 H₀（不通过）。

3.3 多序列检验与比例判定

单条序列的检验结论存在统计波动风险，因此标准对基于多条序列的检验提供了比例判定方法。设对同一发生器进行 m 条独立序列的检验，某检验项下通过（P ≥ α）的序列数为 c，则通过比例定义为 c/m。标准规定，通过比例必须不低于临界阈值（通常要求比例大于 1 - α 减一个与 m 相关的容差），否则判定该发生器在该维度下不合格。

比例判定的意义在于平滑单序列的偶然波动。例如以 α = 0.01、m = 100 条序列运行频数检验，理想随机源预期的通过序列数约为 99 条（因 1% 误报率），若实际通过数显著低于该期望，则说明存在系统性的非随机结构。标准给出通过比例的统计置信区间，从而将”若干条序列偶发失败”与”整体存在系统性缺陷”区分开来，避免把噪声误判为缺陷，也避免掩盖真实缺陷。

3.4 卡方统计量与分布拟合的核心机制

随机性测试中大量检验（块内频数、串行、模板匹配等）的核心机制，是把”观察到的模式出现频数”与”理论期望频数”作比较，这一比较通过卡方（χ²）统计量完成。以块内频数检验为例，将序列划分为 N 个等长块、每块长度 M，统计每块内 1 的比例 πᵢ，构造统计量：

$\chi^2 = 4M \sum_{i=1}^{N} \left(\pi_i - \frac{1}{2}\right)^2$

在 H₀ 下该统计量近似服从自由度为 N 的卡方分布。P 值由该卡方分布的上尾概率给出——P 值越小，说明各块内比例与期望的 1/2 偏离越大，越倾向于拒绝随机假设。卡方统计量的价值在于它把多块、多类别的偏差汇聚成一个服从已知分布的标量，从而既压缩了数据维度，又保留了判定所需的统计信息。

对卡方机制的深入理解，能帮助工程师正确设置块长 M 与块数 N。两者存在权衡：M 过小则对块内局部结构不敏感，M 过大则块内的偏置可能被平均掉；N 过小则卡方近似的精度不足，N 过大又需要更长的被测序列。标准对各检验给出了推荐的参数范围，但真正的工程把握，来自对”检验针对的缺陷类型”与”参数如何放大或掩盖该类缺陷”的清醒认识——这正是随机性测试从套公式上升到方法论的分野点。

3.5 补充误差函数与正态近似的数值实现

许多检验（如单比特频数、累加和检验）的 P 值通过标准正态分布的补充误差函数（erfc）计算：

$P\text{-value} = \text{erfc}\left(\frac{|S|}{\sqrt{2n}}\right)$

工程实现中，erfc 的数值精度直接影响 P 值在小值区的可靠性——当 P 值极小（接近 0）时，若浮点实现精度不足，会把本应判”拒绝”的极端信号舍入成”通过”。这一细节看似微不足道，却在边界判定时可能翻转结论。因此，正微光电在随机性检验组件的实现中，对 P 值的数值路径进行了专门的精度校验，确保在 P 值接近显著性阈值 α 的关键区间，判定结果对浮点误差鲁棒。数值稳定性与标准语义的一致，是统计工具可被信任的技术前提。

3.6 显著性水平的选择与误判成本权衡

显著性水平 α 的选择本质上是权衡两类错误成本的决策。α 越小（如 0.001），误报”随机源出问题”的概率越低，但对真实缺陷的检出能力（统计功效）也越低，可能漏掉需要关注的异常；α 越大（如 0.05），检出能力越强，但把正常随机源误判为有缺陷的频率上升，导致不必要的停产与返工。NIST SP 800-22 推荐 α = 0.01，是在常规场景下兼顾两类风险的经验选择。

但在具体工程与合规场景中，这一默认值并非不可调整。对安全要求极高的量子随机数产品，团队会结合业务对漏检代价的评估，在关键检验项上选用更严格的显著性水平或多序列判定的更严阈值，以换取更强的异常检出能力。同时，α 的选择必须与报告的可复现性配套——任何偏离标准的 α 取值都应明确记录并在报告中披露，否则将破坏结论的可比性。正确理解”α 是可配置的工程参数而非不可动摇的常量”，是区分机械执行标准与真正掌握统计方法的重要标志。

4. 十五项统计检验的原理逐一解析

4.1 频数类检验：捕捉比特占比与游程结构

单比特频数检验是整套检验中最基础的项，检测序列中 1 与 0 的总数是否满足近乎相等的期望。它捕捉的是最粗粒度的偏差——若某个 PRNG 因种子劣化或熵源偏置导致输出偏向某一方，单比特频数检验会首先暴露这种占比失衡。该检验对 n 建议取 100 及以上，且标准强调其结论的可靠性依赖足够大的样本量。

块内频数检验将序列划分为若干等长块，对各块内 1 的比例进行卡方检验。与全局频数检验不同，它检测的是”不同区域之间”占比的一致性——即使全局 1 占比恰好接近一半，如果某一段出现局部偏置（例如块 A 的 1 占比显著高于块 B），块内频数检验也会将其暴露。这种局部与全局的差异，往往是某些生成器短期相关性或状态复用问题的征兆。

游程检验统计序列中连 1 与连 0 的游程数量。理想随机序列的游程数应符合特定分布，游程过少说明序列存在聚集性（过度平滑），游程过多说明序列存在过度抖动（过度振荡）。此类结构偏离常与生成器的马尔可夫结构相关。

最长游程检验检测序列中 1 的最长连续游程长度。它聚焦于极端事件——一个包含过长连 1 的序列，即便整体占比正常，也可能暗示生成状态陷入某种局部捕获，尤其值得在使用计数器类生成器时警惕。

4.2 谱与复杂度类检验：挖掘周期与内部结构

离散傅里叶变换（谱）检验对序列作 DFT 变换，分析频谱中的峰值高度。理想随机序列的频谱应呈平坦均匀分布，若存在显著峰值，说明序列存在周期性成分——这是诸如线性同余生成器（LCG）等经典 PRNG 常见的固有缺陷。谱检验对周期性偏差高度敏感，是识别弱 PRNG 的有力手段。

线性复杂度检验通过 Berlekamp-Massey 算法求序列的最短线性反馈移位寄存器（LFSR）长度，考察序列的线性复杂度。理想随机序列的线性复杂度应以约 n/2 为中心分布，若线性复杂度显著偏低，说明序列可由更短的线性递推生成，背后往往对应一个低阶 LFSR 或去相关不足的伪随机源。线性复杂度检验直接刻画序列的”可生成复杂度”，在工程上是评估生成器内部状态空间是否足够的关键指标。

4.3 模板与通用类检验：捕捉模式重复与压缩潜在熵

重叠模板检验统计给定长度的特定模板在块内出现次数，非重叠模板检验则在互不重叠的窗口内统计模板出现频率。两者都检测序列中是否出现异常频繁的指定模式，被广泛用于发现 PRNG 因矩阵运算或位操作产生的局部模式重复。

通用统计检验（Maurer’s Universal Test）是整套检验中理论根基最深的一项。它基于通用数据压缩的思想，通过统计”比特块在下一次出现之前的间隔”来估计序列的可压缩性。若序列存在可被压缩的结构，则其有效熵低于标称长度，检验会捕获这种”看似随机实则含冗余”的特征。通用统计检验对检测熵不足但分布看似均匀的序列尤为有效，弥补了频数类检验的盲区——这正是评估低熵生成器时最需要警惕的情形。

4.4 游走与熵类检验：追踪累加偏移与局部熵

累加和检验把序列映射为 +1/-1 的随机游走，考察累计和的偏离程度，检测序列是否在一段较长时间内系统性偏向某一方向。随机游走检验与随机游走变体检验追踪游走路径在特定状态下（何时、如何重新回到或远离零点）的访问频率，捕捉更细致的游走结构异常。

近似熵检验通过比较 m 位与 m+1 位模式的频数分布来估计序列的局部熵，检测相邻模式之间的相关性；串行检验则关注 m 位块模式的重叠出现频率是否均匀。这两项检验共同构成对”局部熵不足”的扫描——当生成器因状态空间有限或熵提取不充分而在短尺度上表现出模式化时，它们是最先发出警报的探针。

4.5 十五项检验的综合视角

将这十五项检验放在一起看，能发现一条清晰的工程逻辑：从比特占比（频数类），到局部结构（游程、块内频数），到尺度间一致性（谱、线性复杂度），再到模式重复（模板、通用统计）与局部熵（近似熵、串行），最后以整体游走结构（累加和、随机游走）收束。每一层都针对随机偏离的一个独立维度，层层递进地构筑起完整检测网。这一”由浅入深、由粗到细”的设计思想，正是标准能够灵敏识别从严重缺陷到细微异常各类问题的根本原因。

4.6 数据规模与检验统计量的可靠性约束

任何统计检验的效力都受制于样本量的大小。NIST SP 800-22 为各检验项规定了最低长度建议：频数类检验建议序列长度 n 至少为 100，但标准同时明确指出，过短的序列会显著削弱检验的统计功效（statistical power）——即检验”发现真实缺陷”的能力。以单比特频数检验为例，若 n 过小，即使序列存在真实的占比偏置，偏差也可能淹没在随机波动中被漏检。对于谱检验、线性复杂度检验与通用统计检验等高阶检验，其统计量分布依赖大数定律与渐近近似，对样本量的要求更为苛刻，通常建议 n 达到 10^6 比特量级，此时近似分布才足够精确。

工程上对样本量的把握要区分两种目标。若目标是”快速逮捕明显缺陷”（例如出厂自检的冒烟测试），可采用较小样本与较少序列数以争取速度；若目标是”给出有统计置信度的合规结论”（例如认证报告的支撑数据），则必须回归标准推荐的完整规模。将这两类目标混为一谈，是随机性测试实践中常见的错误——用小样本的通过结果宣称”大样本意义上的随机”，在统计上是不成立的。正微光电在 QRNG 板卡的第三方实测中，严格遵循认证级的大样本多序列规程，确保结论具备可辩护的统计置信度。

4.7 各检验之间并非独立：理解组合效应

值得注意的是，SP 800-22 的十五项检验并不彼此独立。部分检验在统计上存在相关性——例如近似熵检验与串行检验都涉及 m 位模式分布，块内频数检验与全局频数检验共享部分信息，谱检验与游程检验也可能在特定序列上给出相关的偏离信号。学术界对此已有专门研究（如 Iwasaki 对 SP 800-22 各检验在单条序列上表现的实证分析，以及关于各项检验统计独立性更为深入的后续研究），指出解读检验结果时应避免”把十五个考察结果当作十五个完全独立的证据”的简单化倾向。

理解检验间相关性的工程意义在于综合研判。当多项”方向一致”的检验同时发出微弱偏离信号时，即便每一项单独都未越过 α 阈值，也值得高度警惕——因为这可能是同一隐性缺陷在不同统计维度上的共同投影；反之，当某一项检验单独给出极小 P 值而其余检验完全正常时，则应优先排查该项检验自身的特性（例如特定样本长度下该检验统计量的近似分布是否足够准确），而非草率判定发生器整体异常。这种”相关中见综合、孤立中见怀疑”的解读方法论，是资深密码测试工程师区别于机械套用工具的关键所在。

5. 随机性测试的工程实践与落地路径

5.1 样本设计与测试批次规范

随机性测试的结论高度依赖样本量与测试规程。NIST SP 800-22 明确建议：当所有检验都针对同一条序列运行时，该序列长度建议至少为 10^6 比特量级；当采用多序列比例判定时，建议使用至少 100 条序列，以保证统计学上的置信度。工程实践中，测试批次的设计需在统计置信度与测试时间成本之间取得平衡——对量产 QRNG 而言，完整的 100 条序列 × 10^6 位检验需消耗可观的时间与算力，因此通常采用”出厂全检离线统计 + 在线健康测试”的组合策略。

具体而言，在产品设计与认证阶段，须执行完整的多序列统计检验，形成详尽的质量报告；在量产与运行阶段，则通过轻量、实时的在线健康测试（如连续监测 P 值与熵值漂移）保障长期稳定性。这种”重检测在认证、轻监测在运行”的双层架构，是密码级随机源工程部署的通用范式。

5.2 经典 PRNG 与量子熵源的检验差异

伪随机数发生器与量子随机数发生器在统计检验上的表现存在本质差异，理解这一差异对正确解读检验结果至关重要。经典 PRNG（如 LCG、Mersenne Twister、Xorshift 等，正微光电技术团队在工程实践中对这类常见 PRNG 的统计特性有系统评估）具备确定性：给定种子，其输出序列完全确定，且存在有限周期。即使设计良好的 PRNG 能通过全部统计检验，其”随机”也仅是统计意义上的伪随机，种子一旦泄露即可被完全重建。

量子随机数发生器则是真随机源：其熵源基于量子测量的内在随机性，理论上不存在可被重建的确定性规律。对 QRNG 的统计检验，核心目的不是验证”生成算法是否随机”（因为量子测量已从物理上保证），而是验证完整信号链路（光电探测、放大、ADC 采样、熵提取、后处理）没有引入意外偏差或相关性。正微光电的 QRNG 板卡以 1Gbps 速率输出，链路各环节对统计特性的影响都必须通过严格的随机性测试加以验证，任何环节的微小编移都会在长样本统计中浮现。

5.3 在线健康测试与持续质量保障

随机源的长期稳定性比出厂一次性合格更为重要。环境温度漂移、器件老化、光源功率波动等物理因素，都可能使量子熵源的输出统计特性随时间缓慢改变。为此，正微光电的随机数产品在运行时持续执行在线健康测试：以滚动窗口实时统计输出比特的占比、熵评估指标与所适配的检验项，一旦检测到统计特性偏离预设安全阈值即触发告警或自动切换熵源。这种”出厂全维离线检验 + 运行时持续在线监测”的双保险机制，确保产品在数年的服役周期内始终保持密码级随机质量，正是应对 HNDL 长期保密要求的工程基石。

5.4 检验结果的可审计与可复现

随机性测试作为合规认证的客观依据，其可审计性至关重要。测试所用的标准版本、检验项集合、样本量、种子、批次配置必须完整记录并随报告公开，任何机构都应能依据相同配置独立复现同一结果。正微光电在随机数产品的第三方实测验证中遵循这一原则：采用固定版本的检验套件与公开测试向量，记录全部测试配置，从而保证验证结论的可信与可追溯。对密码产品而言，可审计性不仅关乎合规，更关乎用户信任的建立——一套无法复现的检验结论在安全决策上没有价值。

6. 随机性测试在量子安全体系中的定位

6.1 从随机源到后量子密码的完整链条

随机性测试虽本身不涉及密码算法的设计，却是整个量子安全体系得以成立的底层保障。一个直观的例子：后量子密码（PQC）中的格基算法（ML-KEM、ML-DSA）依赖大量随机采样生成秘密向量与掩码，若随机源质量不达标，这些算法的安全归约将被直接破坏——即便算法本身数学上是安全的，实际实现也会因随机数缺陷而沦陷。因此，随机数质量验证、随机性测试与密码分析共同构成了密码产品安全性的三根支柱，缺一不可。

正微光电围绕量子熵源主线构建了完整的产品矩阵：提供 1Gbps 高速率、通过 NIST SP 800-90B 与 GM/T 0005 双认证的 QRNG 板卡作为物理熵源，向上以 PQC 算法库与 FPGA IP 核提供抗量子能力，向下以密钥管理系统（HyQrypt-KMS）与量子安全网关等构成完整闭环。而随机性测试正是贯穿这一链条每个环节的质量标尺——从最底层的熵源，到中层的算法采样，再到上层应用的密钥派生，每一层都依赖可验证的随机性作为安全前提。

6.2 随机性测试方法的通用性与可复现性

本文所述的随机性测试方法完全建立在公开标准（NIST SP 800-22、GM/T 0005）与通用统计方法论之上，不涉及任何特定产品、硬件选型或内部设计。任何拥有随机数并需要评估其质量的团队，都可以参照这些公开标准，使用公开可得的检验工具，对其随机源执行同等严格的评估。这种通用性正是密码工程的魅力所在——方法公开、结论可复现、标准由权威组织定义，使得不同厂商、不同技术路线的产品能够在同一把标尺下被公平、客观地度量。

无论是工程实现细节的差异，还是物理熵源与算法熵源的技术路线差异，最终都必须接受同一套统计检验的检验。这正是随机性测试作为”质量共识”的价值：它让量子随机数与伪随机数、国内产品与国际产品在随机质量这一维度上具有可比性，从而为用户选择与监管评估提供了统一的客观依据。

6.3 面向未来的持续演进

随机性检验领域仍在持续演进。国际学术界与业界对 NIST SP 800-22 的改进研究从未停止，包括对各项检验统计独立性更深入的理论分析、对二级（second-level）检验方法的增强，以及针对后量子时代随机数需求的新检验设计。对工程团队而言，这意味着随机源质量评估方法论需保持开放与可更新——检验项集合应随标准演进而扩充，测试工具应支持持续集成，质量报告应能追溯并映射到最新标准版本。

与此同时，随机性测试本身也面临新的边界问题。一方面，后量子密码的随机数消费量显著上升，格基采样的分布形态（如离散高斯、中心二项分布）未必以标准二进制均匀序列的形式直接暴露给统计检验，这要求团队在”算法采样质量”与”熵源原始质量”之间作清晰切分——统计检验适合直接评估熵源与均匀比特流，而算法采样层的验证需要引入 KAT 等确定性对照手段。另一方面，真随机源与伪随机源在统计检验上的”可区分性”问题日益受到关注：理论上，只要序列足够长且计算资源足够，部分经典 PRNG 的周期性最终可能被统计方法暴露，而量子熵源则不存在这类确定性周期。理解这一区别，有助于团队把统计检验资源投向最需要的环节，而不是对每一个采样点都施加同等的全量检验开销。

正微光电的技术团队持续跟踪随机性检验领域的最新进展，并将其融入产品质量保障体系。同时，团队将 KAT（已知答案测试）验证流程、常数时间实现方法论等通用密码工程实践，与随机性测试一起纳入产品开发的质量流程，将”方法公开、过程可复现、结果可审计”作为始终如一的技术承诺。正是这种对质量方法与公开标准的坚持，支撑着正微光电在量子安全基础设施领域持续交付可信赖的产品。

7. 结语：以标准为尺、以可复现为信

随机性测试的本质，是用公开、客观、可复现的统计方法，为”随机数是否可信”这一密码学根本问题提供依据。NIST SP 800-22 的十五项统计检验与我国 GM/T 0005 随机数检测规范，共同构成了一套既覆盖从比特占比到高阶结构的全维度检测、又保持统计严谨性的评估框架。理解这套框架的数学原理与工程边界，是每一位从事密码工程、安全产品研发与合规评估的从业者都应掌握的核心能力。

对随机数——无论是量子随机数（QRNG）的物理熵源，还是后量子密码（PQC）赖以运行的随机采样——而言，统计检验是它的”出厂质检”与”在役体检”。正微光电正是以这套方法为标尺，确保每一颗量子随机数芯片、每一次密码运算背后的随机量都经得起最严格的检验。在量子威胁日益迫近、后量子迁移全面展开的当下，对随机数质量的可验证掌控，正是量子安全可信赖的起点。

正微光电专注量子安全，提供量子随机数发生器（QRNG）、后量子密码（PQC）算法库与 FPGA IP 核、密钥管理系统（HyQrypt-KMS）、零信任（HyQrypt-ZeroTrust）与量子安全网关等产品与服务。如需了解随机数产品与 PQC 迁移方案，欢迎访问产品页：PQC 后量子密码产品、QRNG 量子随机数产品、云密码机与密钥管理。

8. 参考文献与延伸阅读

1. NIST, “A Statistical Test Suite for Random and Pseudorandom Number Generators for Cryptographic Applications,” NIST SP 800-22 Rev. 1a, Apr. 2010.（https://csrc.nist.gov/pubs/sp/800/22/r1/upd1/final）
2. NIST, NIST SP 800-22 Rev. 1a, 官方 PDF 全文.（https://nvlpubs.nist.gov/nistpubs/legacy/sp/nistspecialpublication800-22r1a.pdf）
3. NIST, “Recommendation for the Entropy Sources Used for Random Bit Generation,” NIST SP 800-90B, Jan. 2018.（https://csrc.nist.gov/pubs/sp/800/90/b/final）
4. IETF, RFC 4086: “Randomness Requirements for Security,” Jun. 2005.（https://www.rfc-editor.org/rfc/rfc4086）
5. NIST, “Random Bit Generation Project” 官方项目页.（https://csrc.nist.gov/projects/random-bit-generation）
6. A. Iwasaki, “Analysis of NIST SP800-22 focusing on randomness of each sequence,” arXiv:1710.01441, 2017.（https://arxiv.org/abs/1710.01441）
7. K. Kim et al., “On the revision of NIST 800-22 Test Suites,” IACR ePrint 2022/540.（https://eprint.iacr.org/2022/540.pdf）
8. 国家密码管理局, GM/T 0005-2021 《随机数检测规范》, 2021.（https://www.secrss.com/articles/46202）
9. 全国标准信息公共服务平台, GM/T 0005-2012《随机性检测规范》标准信息.（https://www.antpedia.com/standard/6348590.html）

站内延伸阅读：

• QRNG 熵估计解析：真空涨落熵源与 800-90B 合规
• 量子随机数发生器（QRNG）技术全景
• 后量子密码 PQC 定义与迁移全景