Bemerkungen zum LCG Rupert Hartung,

Transkript

1 mt Bemerkungen zum LCG Rupert Hartung, Wr betrachten den Lnear Congruental Generator (LCG) X 0, X 1,..., X,... X +1 = ax + c mod N (1) zur Erzeugung von Pseudozufallszahlen mäÿger Qualtät. De wchtgsten Charakterstka des LCG: er st lecht zu mplementeren und schnell zu berechnen, er erzeugt kene pseudozufällge Ausgabe m Snne der Vorlesung (s.u.), sene Ausgabe lässt sch für ncht allzu sensble Anwendungen dennoch anstelle von Zufallszahlen benutzen, falls de Perode hnrechend groÿ st. De Perode ener Funktonsteraton st denert als x 0, f(x 0 ), f(f(x 0 )),..., f (x 0 ),... λ := mn{l N N 0 : f +l (x 0 ) = f (x 0 )} Das Tupel (f (x 0 ), f +1 (x 0 ),..., f +l (x 0 )) für en solches heÿt der Zyklus der Iteraton. Er st bs auf zyklsche Vertauschungen wohldenert. De Perode hängt.a. von f und x 0 ab; m Falle des LCG also von a, c, N und X 0. Oenschtlch glt λ N. Proposton: Se N = k =1 de Prmfaktorzerlegung von N (d.h. p prm und paarwese verscheden, e N). Der LCG (1) hat Perode λ = N genau dann, wenn (c, N) = 1, a = 1 mod p für alle, 1 p k

2 falls 4 N, dann a = 1 mod 4. Insbesondere st de dann Perode unabhängg von X 0. Bewesskzze: () Zunächst bemerke, dass der LCG genau dann de Perode N hat, wenn jede Restklasse n Z N genau enmal m Zyklus vorkommt. Insbesondere hat er genau dann Perode N für en X 0, wenn er Perode N für alle X 0 hat. Also können wr o.b.d.a. X 0 = 0 annehmen. Beachte nun, dass dann X r = c = 0 r 1 a = c ar 1 Z, (2) falls a 1 (beachte, dass des ene Glechung n ganzen Zahlen st, ncht bloÿ modulo N). Wenn a = 1 st, st lecht enzusehen, dass der LCG maxmale Perode hat genau dann, wenn (c, N) = 1. Also nehmen wr auch a 1 an und dürfen (2) verwenden. () Der LCG benutzt nur algebrasche Operatonen n Z N. Da nach chnesschem Restsatz Z N = Z e p, können wr hn unabhängg n allen betrachten. We man lecht seht, st de Perode n Z N genau dann Z p e maxmal, wenn se modulo p e falls hlfrech, o.b.d.a. N = p e mt p prm setzen. maxmal st für alle. Wr können also () Der LCG (1) habe maxmale Perode. Zege, dass (c, N) = 1. Wr benutzen Kontraposton. Falls p (c, N), dann folgt aus (2), dass p X für alle. Folglch könnte ne 1 m Zyklus vorkommen. (v) Der LCG (1) habe maxmale Perode, es se N = p e mt ener Prmzahl p. Zege, dass a = 1 mod p. Wenn de Perode maxmal st, glt nsbesondere 0 = X N = X p e = c ape 1 We eben gezegt, st c Z N, also folgt 0 = ape 1 mod N. mod N. Angenommen a 1 mod p. Dann wäre Z p, und wr können de Glechung mt erwetern: 0 = a pe 1 mod p e. (3) 2

3 Insbesondere st a Z N, also p a. Seen u, v Z, 1 u p 1 so dass a = u + pv. Dann berechne a pe mt der bnomschen Formel. Aus (3) und Koezentenverglech folgt sofort, dass u = 1 sen muss, also a = 1 mod p, en Wderspruch. (v) Der LCG (1) habe maxmale Perode, es se N = 2 e und e 2. Zege, dass a = 1 mod 4 (durch Kontraposton). We m letzen Punkt gezegt, st a ungerade. Se also a = 3 mod 4. Durch drekte Rechnung seht man, dass a 2 = 1 mod 8 (das st berets der ganze Eekt, der de 2 von den anderen Prmzahlen her unterschedet). Induktv lässt sch sofort ausrechen, dass a 2f = 1 mod 2 f+2 für alle f 2. Insbesodere also glt a 2e 1 = 1 mod 2 e+1. Da 2, aber 4, folgt, dass a 2e 1 1 = 1 mod 2 e Damt st gezegt, dass für deses a der LCG nur de Hälfte der maxmalen Perode hat. (v) Rückrchtung: Se p ene ungerade Prmzahl, N = p e, a = 1 mod p und p c. Zege: Der LCG (1) hat maxmale Perode. Se also c as 1 = 0 mod pe (4) für en s N. Zu zegen st p e s. Da n c, folgt aus (4) a s 1 = 0 mod pe (5) Se u N so dass a = 1 mod p u, aber a 1 mod p u+1. Induktv seht man, dass dann a pf = 1 mod p u+f, aber a pf 1 mod p u+f+1 für alle f. Es folgt p f a pf 1, aber pf+1 apf 1. (6) 3

4 Insbesondere glt c ape 1 = 0 mod pe, d.h. de Perode st en Teler von p e, also ene Potenz von p. Wegen (6) aber kommt kene Potenz p f mt 1 f e 1 n Frage. (v) Es st klar, dass der LCG mt N = 2 und a = c = 1 maxmale Perode hat. (v) Se N = 2 e, e 2, a = 1 mod 4 und c ungerade. Zege: Der LCG (1) hat maxmale Perode. Her genügt de Beobachtung, dass wegen e 2 der Bewes für ungerade Prmzahlen wörtlch zu übertragen st. Be Polynomen höheren Grades kann de Perode bzw. de maxmale Perode wesentlch schwerger zu bestmmen sen. Insbesondere muss de maxmale Perode ncht mt N überenstmmen, d.h. es gbt Elemente von Z N, de ncht zum Zyklus gehören. Daher werden oft sehr beschränkte Famlen von Polynomen benutzt, de lechter zu analyseren snd. Pseudozufällgket. Generell snd Polynomteratonen, auch n mehreren Varablen, ncht pseudozufällg. Intutv legt es daran, dass jeder Wert durch senen Vorgänger bzw. wenge unmttelbare Vorgänger endeutg bestmmt st. Möchte man bewesen, dass solch en Verfahren ncht pseudozufällg st, muss man enen statstschen Test konstrueren, der de Vertelung der Ausgabe der Iteraton (X 0, X 1,..., X r ) zu zufällgem/n Startwert/en von der Glechvertelung auf Z r N unterscheden kann, d.h. en probablstscher Polynomalzetalgorthmus, dessen Wahrschenlchket, 1 auszugeben, sch zwschen den beden Engaben sgnkant (=ncht vernachlässgbar) unterschedet. Beachte, dass sgnkant (bzw. vernachlässgbar) Begre snd, de sch auf Grenzübergänge bezehen. Auch her müssen wr ene Indzerung verschedener LCG (weder n unserem Bespel) (a k, c k, N k ), k = 1, 2,... Herbe muss (nach snngemäÿer Interpretaton der Denton enes Pseudozufallsensembles) gelten, dass mt wachsenden auch lnear mehr zufällge 4

5 Informaton n den Startwert gegeben werden kann und dass echt mehr Daten daraus erzeugt werden. Das erste lässt sch am besten durch en lnear wachsendes N errechen, d.h. N k = Θ(k); für das zwete genügt, dass der LCG mndestens enmal aufgerufen wrd, d.h. dass mndestens zwe Werte ausgegeben werden. Es legt nahe, als statstschen Test enen Algorthmus zu deneren, der auf ene Kollson X = X +t wartet. Dann glt P[X +1 = X +t+1 X j snd nach LCG konstruert] = 1, P[U +1 = U +t+1 U j snd unabh. glechvertelt] = 1 N Der Algorthmus D, denert als 1. les engegebene Folge Y j bs Y = Y +t für geegnete, t 2. falls Y +1 = Y +t+1, gb 1 aus, sonst 0. erfüllt also für X j nach dem LCG, und P[D(X 0, X 1,...) = 1] = 1 P[D(U 0, U 1,...) = 1] = 1 N, für unabhängg glechvertelte U j ; en sgnkanter Untersched auch für groÿe N. Dese Methode st her leder ncht anwendbar, da be velen LCG de Perode exponentell groÿ st n log N (s.o.), d.h. her exponentell vele X j gelesen werden müssten, wr oben ausdrücklch erlaubt haben, dass für alle k ledglch X 0 und X 1 zur Verfügung stehen. En erfolgrecher Unterscheder D aber funktonert folgendermaÿen: wenn Y 1 = ay 0 + c mod N, dann gb 1 aus, sonst 0. 5

6 Es st klar, dass deser statstsche Test enen sgnkanten Untersched der Ausgabe-Wahrschenlchketen aufwest, nämlch P[D (X 0, X 1,...) = 1] = 1 P[D (U 0, U 1,...) = 1] = 1 N Natürlch st D auch en Polynomalzet-Algorthmus. Was überraschen mag, st, dass D de Konstanten a und c benutzt, obwohl dese ncht gegeben snd. Es wrd jedoch ncht behauptet, dass solch en D ezent konstruert werden könnte, sondern nur dass es exstert und da a, c exsteren, gbt es auch D. Wr können heran ablesen, dass der Begr der Pseudozufällgket sehr stark st. Damt st de Konstrukton jedoch noch ncht beendet. Um desen Unterscheder auf das gesamte Ensemble zu übertragen, müssen auch a k, c k für alle k m Unterscheder konstruert werden wr dürfen dese Werte ncht für jedes k neu raten. Wenn a k, c k determnstsch von k abhängen, dann kann deser Zusammenhang von D nachgerechnet werden (n allen snvollen Fällen st das ef- zent möglch). Des sollte zunächst als Regelfall gelten, wenn theoretsch vom LCG de Rede st. Bem LCG legt noch ene andere Methode nahe, de Vertelungen zu unterscheden: De zwe Parameter a k, c k können, als Lösung enes lnearen Glechungssystems mod N, m generschen Fall (d.h. für de mesten` Trpel (a k, c k, X 0 )) aus den zwe Glechungen a k X 0 + c k = X 1, a k X 1 + c k = X 2 bestmmt werden. De so gewonnenen a k, c k können nun zur Berechnung enes Tpps für X 3 verwendet werden. Dese Methode lässt sch ncht ohne weteres auf höhergradge Polynome übertragen, wohl aber auf multvarate LCGs. Wetere Varanten. Das meste her Gesagte zur Pseudozufällgket des LCG überträgt sch ohne weteres, mt snnvollen Modkatonen, auf belebge multvarate Polynomteratonen. De her gebrachten Argumente rechen 6

7 erst dann ncht mehr aus, wenn der Seed stark n de Wahl des Polynoms engeht. Wenn etwa auch a k, c k von oben ener Zufallswahl unterlegen, besteht noch de Chance, de beden Vertelungen unterscheden zu können, ndem man a k, c k gemäÿ derselben Vertelung rät und des ggf. polynomell oft wederholt. Beachte jedoch, dass wenn n a k, c k noch Zufall eneÿt, auch de Gröÿe des benötgten Seeds wächst und damt mndestens noch X 2 zur Verfügung steht, so dass der Test zusätzlch noch auf das Paar (X 1, X 2 ) angewandt werden kann. Um den LCG n sener lnearen Form dem Pseudozufall näher zu brngen, kann man de Technken, de etwa bem RSA-Generator zum Ensatz kamen, erproben. So kann man etwa (für ungerades N) den Startwert X 0 gehem halten und von allen Itererten nur de untersten Bts ausgeben. Be solchen Konstruktonen verlert man aber sofort de besoders gerge Laufzet des LCG. 7