Kompakte Notebooks Kompakte Notebooks - Wuala

Know-how | Zufallszahlen
Bias Setting
Bias V
Generator
Ring Oscillators A, B, C
450–810 MHz Sampling
Flip Flop
geht es mit 74,5 MByte/s zur Sache. Die Erzeugungsvorschrift
ist so einfach, dass man
kaum glauben kann, dass sie pseudozufällige
Zahlenfolgen liefert: r nˇ+ˇ1ˇ=ˇ(r nˇ·ˇ16807)ˇ&ˇ2 31ˇ–
1. Als nächster Wert der Zahlenfolge werden 8
Bit aus der Mitte der Zahl herausgegriffen und
ausgegeben. Zur Implementierung des Algorithmus
siehe die Datei gen/mcg.h aus dem
Listing-Archiv.
Zahlen nach dem multiplikativen Kongruenzverfahren
sind perfekt gleichverteilt,
halten aber sonst nicht vielen Tests stand.
Deshalb taugen sie am ehesten für einfache,
aber zahlenhungrige Simulationen.
C
B
A
÷ 8
XOR
÷ 8 D
Ring Oscillator D
20–68 MHz
von Neumann
Corrector
Raw Mode
Select
Shift
Register
Byte to
FIFO
1 bit
discard
Die PadLock-Einheit des Nehemiah-Chips sammelt Entropie aus elektronischem Rauschen.
Chi-Quadrat-Schwellenwerte
p 0,100 0,050 0,025 0,010 0,005 0,001
df
1 2,71 3,84 5,02 6,63 7,88 10,83
2 4,61 5,99 7,38 9,21 10,60 13,82
3 6,25 7,81 9,35 11,34 12,84 16,27
4 7,78 9,49 11,14 13,28 14,86 18,47
5 9,24 11,07 12,83 15,09 16,75 20,52
6 10,64 12,59 14,45 16,81 18,55 22,46
7 12,02 14,07 16,01 18,48 20,28 24,32
8 13,36 15,51 17,53 20,09 21,95 26,12
9 14,68 16,92 19,02 21,67 23,59 27,88
10 15,99 18,31 20,48 23,21 25,19 29,59
11 17,28 19,68 21,92 24,72 26,76 31,26
12 18,55 21,03 23,34 26,22 28,30 32,91
13 19,81 22,36 24,74 27,69 29,82 34,53
14 21,06 23,68 26,12 29,14 31,32 36,12
15 22,31 25,00 27,49 30,58 32,80 37,70
16 23,54 26,30 28,85 32,00 34,27 39,25
17 24,77 27,59 30,19 33,41 35,72 40,79
18 25,99 28,87 31,53 34,81 37,16 42,31
19 27,20 30,14 32,85 36,19 38,58 43,82
20 28,41 31,41 34,17 37,57 40,00 45,31
21 29,62 32,67 35,48 38,93 41,40 46,80
22 30,81 33,92 36,78 40,29 42,80 48,27
23 32,01 35,17 38,08 41,64 44,18 49,73
24 33,20 36,42 39,36 42,98 45,56 51,18
25 34,38 37,65 40,65 44,31 46,93 52,62
26 35,56 38,89 41,92 45,64 48,29 54,05
27 36,74 40,11 43,19 46,96 49,64 55,48
28 37,92 41,34 44,46 48,28 50,99 56,89
29 39,09 42,56 45,72 49,59 52,34 58,30
30 40,26 43,77 46,98 50,89 53,67 59,70
Mersenne-Twister
Eine fast mustergültige Synthese aus Geschwindigkeit
und Zufälligkeit bietet der Mersenne-Twister.
Seinen Namen hat er von der
unvorstellbaren Periodenlänge von 2 19937ˇ–ˇ1
(eine Zahl mit 6002 Stellen). Diese Zahl ist
eine Mersenne-Primzahl; Mersenne-Zahlen
folgen dem allgemeinen Schema 2 nˇ–ˇ1. Zu
den Details des Algorithmus siehe [5].
Statistische Tests meistert er mit Bravour.
Für kryptografische Zwecke eignet sich der
Algorithmus trotz seiner langen Periode
nicht, da die Kenntnis von 624 aufeinanderfolgenden
Zahlen genügt, um alle weiteren
vorhersagen zu können. Außerdem muss
sich der Generator erst einmal mit mindestens
624 Iterationen warmlaufen – empfohlen
sind einige tausend –, bevor er gute Zufallszahlen
ausgibt. Das tut jedenfalls die
Implementierung, die in der Datei gen/mersenne.cpp
des Listing-Archivs wiederzufinden
ist. Alternativ kann man die 624 Startwerte
(32-bittige Ganzzahlen) auch mit Zufallszahlen
aus einem Hardware-Generator
belegen.
Marsaglia
Der Mathematiker und Informatiker George
Marsaglia, bekannt für seine Diehard genannten
Suite mit Zufälligkeitstests, kritisiert
den Mersenne-Twister als zu unelegant und
kompliziert – zum Glück, nicht ohne ein eigenes
Verfahren vorzustellen, das unter Multiply-with-carry
(MWC) oder Recursion-withcarry
firmiert und als „Mutter der Zufälligkeit“
gehandelt wird. Je nach Parametrierung
gestattet MWC Periodenlängen von 2 60 bis
2 2000000 . Der im Listing-Archiv in der Datei
gen/marsaglia.h implementierte Algorithmus
hat eine Periodenlänge von 3ˇ·ˇ10 47 . Er
gibt 32-Bit-Ganzzahlen aus und arbeitet intern
mit 64-Bit-Werten. Die Funktionsweise:
–ˇBildung der Summe Sˇ=ˇ2111111111ˇ·ˇr n–4
+ˇ1492ˇ·ˇr n–3ˇ+ˇ1776ˇ·ˇr n–2ˇ+ˇ5115 ·ˇr n–1ˇ+ˇC.
–ˇExtrahieren der untersten 32 Bits und Ausgabe
als aktuelle Zufallszahl: r nˇ= Sˇmodˇ2 32 .
–ˇNeusetzen der Konstante mit den oberen
32 Bit der Summe: Cˇ=ˇSˇ/ˇ2 32 .
Der Algorithmus benötigt zwei Dutzend Iterationen
zum Aufwärmen, kann aber auch
sofort losstarten, wenn man ihn mit fünf 32-
Bit-Zufallszahlen vorbelegt.
In der aktuellen Implementierung muss
sich der MWC-Algorithmus dem Mersenne-
Twister hinsichtlich der Geschwindigkeit
geschlagen geben. Allerdings schreit die
parallele Multiplikation bei der Summenbildung
geradezu nach schnellen SSE2-Befehlen
zur Vektormultiplikation, woraus sich
eine deutliche Performance-Steigerung ergeben
dürfte.
Blum-Blum-Shub (BBS)
Zu den langsamsten Kandidaten der Zufallszahlenerzeugung
gehört der BBS-Algorithmus,
der nach seinen Schöpfern Lenore
Blum, Manuel Blum und Michael Shub benannt
wurde. Das Verfahren lockt allerdings
mit dem hohen Anspruch, sich für kryptografische
Zwecke zu eignen. Deshalb ist BBS die
eigentliche Mutter der Zufälligkeit, wenn
auch eine sehr langsam gebärende.
Dass der Algorithmus eher gemächlich
zu Werke geht, liegt daran, dass er mit
Ganzzahlen beliebiger Genauigkeit arbeitet.
Das sieht man der Generatorformel allerdings
nicht gleich an: r n+1ˇ=ˇr n2ˇmodˇm. Die
Tücke verbirgt sich hinter dem Modulus m,
der das Produkt zweier großer Primzahlen p
und q ist. Daraus ergibt sich die Sicherheit
für kryptografische Anwendungen: Mit steigenden
Werten für p und q steigt der Aufwand
für die Primfaktorzerlegung rapide
an. Heute als sicher gelten Werte jenseits
von 2 1024 . Das ist eine Dezimalzahl mit über
300 Stellen. Für jede Iteration muss der Algorithmus
demnach mit 300-und-mehrstelligen
Zahlen hantieren. Für Simulationen
ist das in der Regel zu teuer und umständlich.
Fazit
Den perfekten Zufallszahlengenerator, der
gleichzeitig billig, schnell und kryptografisch
sicher ist, gibt es nicht. Die vorgestellten
(Pseudo-)Zufallszahlgeneratoren stellen nur
eine Auswahl dar – wenn auch eine, auf die
es zu setzen lohnt. Für welchen Generator
man sich letztlich entscheidet, hängt vom
Einsatzzweck ab.
Auf eine Idee sollte man allerdings nicht
kommen: sich einen Generator nach Gutdünken
selbst zusammenzubasteln. Damit ist
schon der Zahlengroßmeister Donald Knuth
ganz fürchterlich auf die Nase gefallen, als er
den „Super-random number generator“ ausgetüftelt
zu haben glaubte, sehr amüsant
nachzulesen in [1].
Ein Generator, der ct-rng-assessor aushält,
hat quasi das Casting bestanden und kommt
in den Recall. Dort erwartet ihn die harte Jury
der Kryptografen vom CAcert oder – alternativ
– die Dieharder-Suite. Im Finale muss der
Generator gegen TestU01 antreten. Erst
dann kann man (einigermaßen) sicher sein,
Zufall erschaffen zu haben.
(ola)
Literatur
[1]ˇDonald E. Knuth, The Art of Computer Programming
Vol. 2 – Seminumerical Algorithms, 3rd edition,
Addison-Wesley 1997, ISBN 0-201-89684-2
[2]ˇErich Bonnert, Meilenstein der Fahrzeug-Robotik,
Volkswagen und die Stanford University
178 c’t 2009, Heft 2
©
Copyright by Heise Zeitschriften Verlag GmbH & Co. KG. Veröffentlichung und Vervielfältigung nur mit Genehmigung des Heise Zeitschriften Verlags.