ひとことで言うと
乱数生成とは、コンピュータが予測不可能な数列や文字列を生成しようとする最高の試みのこと。このタスクは、その決定的（deterministic）な性質と根本的に相容れないものなんだ。
それが解決する問題
人類は何千年もの間、ランダム性を必要としてきた。私たちは、動物のくるぶしの骨で作ったサイコロを転がし、カードをシャッフルし、くじを引いて、意思決定をしたり、ゲームをしたり、公平性を確保してきた。コンピュータが登場すると、私たちはコンピュータにも同じことをしてほしくなった。デジタルのカードデッキをシャッフルしたり、ゲームで予測不可能な敵を作ったり、安全なワンタイムパスワードを生成したり、ね。
でも、ここには哲学的に大きな問題がある。コンピュータは超従順で、論理駆動型のマシンだ。言われたことを、毎回寸分たがわず実行する。同じ入力と同じ命令を与えれば、まったく同じ出力が得られる。これぞ予測可能性の定義そのもの。では、文字通り「予測可能」の申し子であるマシンから、どうやって予測不可能なものを得られるんだろう？
初期のコンピュータ科学者たちはこれに頭を悩ませた。伝説的なジョン・フォン・ノイマンは1940年代に「平方採中法」と呼ばれる初期の手法を考案した。ある数（例えば4桁）を取り、それを2乗し、その結果の真ん中の4桁を次の「ランダム」な数として使う。そしてそのプロセスを繰り返す。賢い方法だったけど、すぐに短い繰り返しループに陥ったり、ゼロに劣化したりする厄介な癖があった。一度ゼロになると、永遠にゼロのまま。やっちゃったね。
この「予測可能なマシンから予測不可能性を求める」という核心的な対立が、それをうまくごまかすための研究分野全体を生み出すことになった。解決策は、コンピュータを真にランダムにすることではなく、その計算を気が遠くなるほど複雑にして、結果が事実上、ランダムと区別がつかないようにすることなんだ。
舞台裏の仕組み
デジタルなランダム性のカーテンの裏を覗くには、「シード」と「アルゴリズム」という2つの重要な概念を理解する必要がある。これらが合わさって、疑似乱数生成器（Pseudo-Random Number Generator）、略してPRNGと呼ばれるものが作られる。「疑似（pseudo）」というのがポイントで、これはすべてが巧妙な幻想であるという静かな告白なんだ。
シード：秘密の出発点
すべてのPRNGには、**シード（seed）**と呼ばれる開始番号が必要だ。シャッフルを始める前のカードデッキのユニークな初期配置みたいなものだと考えてほしい。ジェネレータが生成する無限に続く数列全体が、このたった一つのシード値によってあらかじめ決定されている。
- 2つの同じPRNGに同じシードを与えると、それらはまったく同じ「ランダム」な数列を生成する。
- 異なるシードを与えると、異なる数列を生成する。
これはPRNGの最大の弱点であり、同時に最大の強みでもある。ビデオゲームでは、同じシードを使って宇宙を生成すれば、プレイヤー同士がそのシードを共有して、全く同じ「ランダムに」生成された世界を探検できる。セキュリティシステムでは、攻撃者があなたのシードを推測できれば、あなたの「ランダムな」秘密鍵を再現できてしまう。だからこそ、予測困難で良質なシードを選ぶことが非常に重要なんだ。一般的だけど弱い方法は、現在の時刻をミリ秒単位で使うこと。もっと強力な方法は、マウスの動きやキーボードの入力タイミング、ネットワークパケットの到着といった、システムから予測不可能なデータを集めることだ。
アルゴリズム：魔法の数字マシン
シードを手に入れたら、アルゴリズムの出番だ。これは数学的な関数で、ある数を受け取り、一連の演算を施し、シーケンスの次の数を吐き出す。そして、その新しい数が次のラウンドの入力として使われる。
古典的でシンプルな例が、**線形合同法（LCG - Linear Congruential Generator）**だ。その式はこんな感じ：
X_next = (a * X_current + c) % m
これを分解してみよう：
X_currentは今持っている数（最初はシード）。a（乗数）、c（増分）、m（法）は、ジェネレータの特性を定義する、あらかじめ選ばれた魔法の数。%はモジュロ演算子。割り算の余りを返す。これが数を特定の範囲（0からm-1まで）に保つ役割を果たす。
例えばa=7、c=3、m=10で、シードX_current=5だとしよう。
- ラウンド1:
(7 * 5 + 3) % 10->38 % 10->8。最初の乱数は8。 - ラウンド2:
(7 * 8 + 3) % 10->59 % 10->9。2番目の乱数は9。 - ラウンド3:
(7 * 9 + 3) % 10->66 % 10->6。以下続く…
現代のシステムでは、メルセンヌ・ツイスタのように、はるかに洗練されたアルゴリズムが使われている。これは途方もなく長い周期（シーケンスが繰り返されるまでの回数）と、より良い統計的性質を持っている。でも、基本的な原則は同じ。数を取り、数学的にかき混ぜ、新しい数を得る、ということだ。
真の乱数 vs. 疑似乱数
もしこれが全部「疑似」なら、コンピュータに「真の」乱数は存在するんだろうか？ 答えはイエス。でも、それはまったくの別物だ。それは真の乱数生成器（TRNG - True Random Number Generator）、またはハードウェア乱数生成器（HRNG）によって生成される。
TRNGは決定論的なアルゴリズムの代わりに、予測不可能な物理現象を利用する。コンピュータが宇宙のノイズに耳を傾けているようなものだと考えてほしい。その源にはこんなものがある：
- ラジオ受信機からの大気ノイズ。
- 半導体の熱雑音。
- 放射性崩壊の正確なタイミング。
- 量子現象。
Cloudflare社が壁一面のラバランプを使い、その予測不可能でカオスなワックスの渦をカメラで撮影してランダムなデータを生成しているのは有名な話だ。これこそが真の、予測不可能なエントロピーだ。
簡単な比較表を見てみよう：
| 特徴 | PRNG (疑似乱数) | TRNG (真の乱数) |
|---|---|---|
| ソース | 決定論的アルゴリズム | 予測不可能な物理プロセス |
| シード | シードが必要。同じシード＝同じ出力 | シードを使わない。出力は非決定的 |
| 速度 | 非常に速い | 比較的遅い。物理プロセスに依存 |
| 再現性 | 設計上、可能 | 設計上、不可能 |
| 主な用途 | シミュレーション、ゲーム、テスト、モックデータ | 高度な暗号技術（例：マスターキーの生成） |
| ブラウザJSの例 | Math.random() |
window.crypto.getRandomValues() (CSPRNG) |
注意：window.crypto.getRandomValues()は技術的には**暗号論的に安全な疑似乱数生成器（CSPRNG）**だ。これはアルゴリズムだけど、オペレーティングシステムから得られる真のエントロピーでシードが与えられ、攻撃者がその状態の一部を知っていても予測できないように設計されている。ほとんどのセキュリティニーズにとって、両方の世界のいいとこ取りなんだ。
実世界のストーリー
予測可能なビデオポーカー事件
1990年代、ネバダ州ゲーミング委員会は途方に暮れていた。ある男がビデオポーカーで異常な回数のジャックポットを当てていたのだ。調査の結果、彼が伝統的な意味でのイカサマをしていたわけではないことがわかった。彼は同じ機種を買い、家に持ち帰り、そのソフトウェアをリバースエンジニアリングしたのだ。そのマシンは、電源を入れるたびに予測可能な値で再シードされる単純なPRNGを使っていた。彼は家のマシンでプレイすることで、そのパターンを学習した。カジノのマシンを起動し、特定のシーケンスでハンドをプレイすれば、ロイヤルフラッシュがいつ来るか正確にわかったというわけだ。
教訓： 乱数の質は、賭け金の大きさに正比例する。些細なタスクならどんなPRNGでもいい。しかし、金銭やセキュリティが絡む場合、単純で予測可能なジェネレータは巨大な脆弱性となる。
マインクラフトのワールドシード
マインクラフトをプレイしたことがある人なら、「ワールドシード」の魔法を知っているだろう。新しいワールドを作成するとき、ゲームはランダムなシードを生成してくれるし、自分で入力することもできる。このシードは洗練されたPRNGに渡され、山や洞窟、海が広がる広大でユニークな風景をプロシージャルに生成する。素晴らしいのは、このプロセスが完全に決定的であることだ。もしあなたが友人に「1379963879」というシードを共有すれば、彼らはあなたと全く同じワールドにスポーンし、同じ座標で同じ村を見つけることができる。
教訓： 再現可能なランダム性はバグではなく、信じられないほど強力な機能だ。シミュレーションやプロシージャル生成、そして複雑な「ランダム」な状態を完璧に再作成する必要があるあらゆるシナリオで不可欠なんだ。
宝くじの大失敗事件
ある複数の州にまたがる宝くじ協会の情報セキュリティ責任者が、システムを不正に操作して数百万ドルをだまし取った。どうやったかって？ 彼は宝くじのセキュリティルームにアクセスし、乱数生成器にほんの少しのコードを仕込んだ。彼のコードは単純だった。もし宝くじの抽選が特定の日に開催された場合、ジェネレータは既知のシードを持つ予測可能なアルゴリズムを使用するようにしたのだ。彼は自分が選ばれるとわかっている数少ない組み合わせのチケットを買うことで、当選を保証した。彼は最終的に捕まったが、この攻撃は根本的な真実を浮き彫りにした。
教訓： 世界で最も安全な乱数生成器も、それを取り巻くプロセスが侵害されれば無意味だ。シードと生成プロセスの完全性を保護することは、アルゴリズムそのものと同じくらい重要なんだ。
よくある間違いと落とし穴
- セキュリティ目的で
Math.random()を使う。 JavaScriptでは、手早く雑な乱数が必要なときMath.random()が頼りになる。しかし、これは暗号論的に安全ではない。その実装はブラウザ次第で、安全でない方法でシードされている可能性があり、攻撃者によって出力が予測される可能性がある。セッショントークン、パスワードリセット、暗号キーなど、セキュリティ関連のものには必ずwindow.crypto.getRandomValues()を使わなければならない。 - 現在の時刻だけでシードする。 古典的な間違いだ。もし攻撃者があなたが「ランダムな」秘密を生成したおおよその時間を知っている場合（例えば、ユーザーが特定の10分以内にサインアップしたことを知っているなど）、彼らが推測しなければならないシードの数を大幅に減らすことができる。彼らはその時間枠内のすべてのミリ秒を試し、あり得るすべての「ランダムな」数を再現し、あなたの秘密を見つけ出すだろう。
- 少ないサンプルで均等な分布を期待する。 1から10までの乱数を10個要求しても、各数字が1回ずつ出るとは限らない。7が3回出て、2が1回も出ないかもしれない。これは正常なことだ。真のランダム性には、偏りや連続が含まれる。出力があなたのパターン認識好きな人間の脳にとってランダムに見えないからといって、ジェネレータが「壊れている」と思い込んではいけない。
- 自作の乱数ジェネレータを作る。 あなたが学術目的で研究している数学や暗号学の博士でもない限り、実際のアプリケーションのために独自のPRNGを書くなんてことは、絶対に、絶対にやってはいけない。言語の標準ライブラリや暗号モジュールに組み込まれている、実績があり、ピアレビューされたジェネレータを使おう。それらは、あなたがほぼ確実に見逃すであろう微妙な欠陥について、徹底的に検証されている。
なぜ注目すべきか
開発者として、あなたは常に乱数ジェネレータに手を伸ばすことになるだろう。これはニッチなツールではなく、現代のソフトウェアの基本的な構成要素だ。
次のようなときには、いつでもランダム性について考えるべきだ：
- ユニークな識別子の作成： 一時的なパスワード、パスワードリセットトークン、セッションID、APIキー、またはUUIDの生成。
- テストやシミュレーションの実行： ランダムな値を持つモックデータの作成、APIエンドポイントにランダムな入力を投げつけるファズテスト、またはユーザーの行動のシミュレーション。
- ゲームの構築： カードデッキのシャッフル、戦利品のドロップ決定、ダメージ計算のためのダイスロール、またはプロシージャルなマップの生成。
- セキュリティ機能の実装： パスワードハッシュ用のソルトの生成、暗号化用のキーの作成、または暗号プロトコル用のノンスの生成。
- ちょっとした味付けの追加： ランダムな背景色の選択、「今日の格言」の表示、または異なるボタンスタイルのA/Bテスト。
標準的なPRNGとCSPRNGの違いを理解することは、安全で信頼性の高いコードを書くために極めて重要だ。
もっと深く
- MDN Web Docs:
crypto.getRandomValues()— ブラウザで暗号論的に安全な乱数を生成するための決定版ガイド。 - Wikipedia: 疑似乱数 (PRNG) — PRNGアルゴリズムの理論、歴史、さまざまな種類についての深く技術的な解説。
- Cloudflare Blog: LavaRand in Production — Cloudflareが真の乱数の源としてラバランプの壁をどのように利用しているかについての、素晴らしくて楽しい読み物。
- Wikipedia: ランダムネス — 数学、科学、コンピューティングにおけるランダム性の概念についての、より広く、より哲学的な記事。
- RFC 4086: Randomness Requirements for Security — 本当のハードコアな人向け。この文書は、セキュリティアプリケーションのための乱数を生成および管理するためのベストプラクティスを詳述している。