寻找只有 32 位状态的高质量 PRNG

Question

我正在尝试实现rand_r 接口的可容忍质量版本，它有一个不幸的接口要求，即它的整个状态存储在unsigned 类型的单个对象中，对我而言，这意味着正好32位。另外，我需要它的输出范围是[0,2³¹-1]。标准解决方案是使用 LCG 并丢弃低位（周期最短），但这仍然会为接下来的几个位留下非常糟糕的周期。

我最初的想法是使用 LCG 的两个或三个迭代来生成输出的高/低或高/中/低位。然而，这种方法并不能保持无偏分布；不是每个输出值都具有相同的频率，而是多次出现，而有些则根本不出现。

由于只有 32 位状态，PRNG 的周期以 2³² 为界，并且为了无偏，如果 PRNG 具有完整周期，则每个值必须恰好输出两次，如果具有完整周期，则必须恰好输出一次周期 2³¹。较短的周期不能没有偏见。

是否有任何知名的 PRNG 算法符合这些标准？

Answer 1

提供非常高质量的一个很好（但可能不是最快）的可能性是在CTR mode 中使用32 位block cipher。基本上，您的 RNG 状态只是一个 32 位计数器，每次调用 RNG 时都会加一，输出将是使用带有任意选择的固定密钥的分组密码对该计数器值进行加密。对于额外的随机性，您甚至可以提供一个（非标准）函数让用户设置自定义键。

常用的 32 位块密码并不多，因为如此短的块大小会给加密使用带来问题。 （基本上，birthday paradox 可以让您在大约 2¹⁶ = 65536 个输出和 2^{32 输出的非随机性显然变得确定了。）但是，一些具有可调整块大小的密码，例如 XXTEA 或 HPC，会让你下降到 32 位，并且应该适合您的目的。}

(编辑：我的错，XXTEA 只能降到 64 位。但是，正如 CodesInChaos 在 cmets 中所建议的那样，Skip32 可能是另一种选择。或者您可以构建自己的 32-位Feistel cipher.)

CTR 模式构造保证 RNG 将具有 2³² 个输出的完整周期，而（未损坏的）分组密码的标准安全声明本质上是它在计算上不可行将它们的输出与 32 位整数集的 random permutation 区分开来。 （当然，如上所述，这种排列仍然很容易与采用 32 位值的 random function 区分开来。）

使用 CTR 模式还提供了一些您可能会觉得方便的额外功能（即使它们不是您正在开发的官方 API 的一部分），例如能够快速查找 RNG 输出流中的任何点通过从状态中增加或减少。

另一方面，您可能不希望通过仅将内部状态设置为种子值来遵循播种 RNG 的常见做法，因为这会导致从附近的种子高度相似（基本上只是相同的流因种子的差异而移动）。避免此问题的一种方法是在播种过程中添加额外的加密步骤，即使用密码加密种子并将内部计数器值设置为等于结果。

Answer 2

32 位最大周期 Galois LFSR 可能适合您。试试：

r = (r >> 1) ^ (-(r & 1) & 0x80200003);

LFSR 的一个问题是你不能产生值 0。所以这个值的范围是 1 到 2^32-1。您可能想要调整输出或坚持使用良好的 LCG。

Answer 3

除了使用Lehmer MCG，您还可以使用一对：

Xorshift 的 32 位变体在 32 位状态下的保证周期为 2³²-1：

uint32_t state;

uint32_t xorshift32(void) {
    state ^= state << 13;
    state ^= state >> 17;
    state ^= state << 5;
    return state;
}

这是 2003 年最初的 32 位建议（见论文）。根据您对“体面的质量”的定义，那应该没问题。然而，它没有通过Diehard 的二进制等级测试和 SmallCrush 的 5/10 测试。

具有更好混合和常数的替代版本（通过 SmallCrush 和 Crush）：

uint32_t xorshift32amx(void) {
    int s = __builtin_bswap32(state * 1597334677);
    state ^= state << 13;
    state ^= state >> 17;
    state ^= state << 5;
    return state + s;
}

基于研究here 和here。

---

还有Mulberry32，它的句点正好 2³²：

uint32_t mulberry32(void) {
    uint32_t z = state += 0x6D2B79F5;
    z = (z ^ z >> 15) * (1 | z);
    z ^= z + (z ^ z >> 7) * (61 | z);
    return z ^ z >> 14;
}

这可能是您最好的选择。这是相当不错。作者说“它通过了 gjrand 的 13 次测试，没有失败，总 P 值 在 4GB 生成的数据。这是整个周期的四分之一”。它似乎比 SplitMix32 有所改进。

---

“SplitMix32”，取自 xxHash/MurmurHash3（Weyl 序列）：

uint32_t splitmix32(void) {
    uint32_t z = state += 0x9e3779b9;
    z ^= z >> 15; // 16 for murmur3
    z *= 0x85ebca6b;
    z ^= z >> 13;
    z *= 0xc2b2ae35;
    return z ^= z >> 16;
}

这里的质量可能有问题，但它的 64 位大哥有一个 lot of fans（通过 BigCrush）。所以大体结构值得一看。

Answer 4

详细说明我的评论...

计数器模式下的分组密码以大致以下形式提供生成器（使用更大的数据类型除外）：

uint32_t state = 0;
uint32_t rand()
{
    state = next(state);
    return temper(state);
}

由于尚未指定加密安全性（并且在 32 位中它或多或少是无用的），因此应该使用更简单的临时调节函数来解决问题。

一种方法是，next() 函数很简单（例如，return state + 1;），而temper() 通过复杂（如分组密码）进行补偿。

一种更平衡的方法是在next() 中实现 LCG，因为我们知道它也会访问所有可能的状态，但以随机（ish）顺序，并找到 temper() 的实现，它所做的工作足够涵盖 LCG 的剩余问题。

Mersenne Twister 在其输出中包含这样的回火功能。那可能是合适的。此外，this question 要求满足要求的操作。

我有一个最喜欢的方法，就是对单词进行位反转，然后将它乘以某个常数（奇数）数。如果位反转不是您架构上的本机操作，那可能会过于复杂。