Быстрые вычисления с целыми числами и полиномами

Министерство образования Российской Федерации

Ярославский Государственный Университет им. П.Г. Демидова

Курсовая работа

По дисциплине «Алгебра»

Быстрые вычисления с целыми числами и полиномами

Выполнил: Студент группы КБ-11

Сбоев А.В.

Проверил: Дурнев В.Г.

Ярославль, 2003
Содержание

1. Введение. Сложность теоретико-числовых алгоритмов.

2. Полиномиальные алгоритмы

2.1 Алгоритм вычисленияa^dmodm

2.2 Дихотомический алгоритм возведения в степень

2.3 Алгоритм Евклида

2.4 Алгоритм решения уравненияax + by = 1

3. Полиномиальная арифметика

3.1 Алгоритм нахождения делителей многочлена f(x) в кольцеF_p(x)

3.2 Произведение и возведение в степень многочленов, заданных массивами

3.3 Небольшие оптимизации для произведения многочленов

3.4 Вычисление полиномов

3.4.1 Схема Горнера

3.4.2 Интерполяционная формула Ньютона и табулирование значений многочлена

4. Дискретное логарифмирование

1. Введение. Сложность теоретико-числовых алгоритмов

Сложность алгоритмов теории чисел обычно принято измерять количеством арифметических операций (сложений, вычитаний, умножений и делений с остатком), необходимых для выполнения всех действий, предписанных алгоритмом. Впрочем, это определение не учитывает величины чисел, участвующих в вычислениях. Ясно, что перемножить два стозначных числа значительно сложнее, чем два однозначных, хотя при этом и в том, и в другом случае выполняется лишь одна арифметическая операция. Поэтому иногда учитывают ещё и величину чисел, сводя дело к так называемым побитовым операциям, т. е. Оценивая количество необходимых операций с цифрами 0 и 1, в двоичной записи чисел. Это зависит от рассматриваемой задачи, целей автора и т. д.

На первый взгляд странным также кажется, что операции умножения и деления приравниваются по сложности к операциям сложения и вычитания. Житейский опыт подсказывает, что умножать числа значительно сложнее, чем складывать их. В действительности же, вычисления можно организовать так, что на умножение или деление больших чисел понадобится не намного меньше битовых операций, чем на сложение. Существует алгоритм Шенхаге – Штрассена, основанный на так называемом быстром преобразовании Фурье, и требующий O(lnlnln) битовых операций для умножения двух n-разрядных двоичных чисел. Таким же количеством битовых операций можно обойтись при выполнении деления с остатком двух двоичных чисел, записываемых не более чем цифрами. Для сравнения отметим, что сложение -разрядных двоичных чисел требует O() битовых операций.

Говоря о сложности алгоритмов, мы будем иметь в виду количество арифметических операций. При построении эффективных алгоритмов и обсуждении верхних оценок сложности обычно хватает интуитивных понятий той области математики, которой принадлежит алгоритм. Формализация же этих понятий требуется лишь тогда, когда речь идёт об отсутствии алгоритма или доказательстве нижних оценок сложности.

2. Полиномиальные алгоритмы

Четыре приведённых ниже алгоритма относятся к разряду так называемых полиномиальных алгоритмов. Это название носят алгоритмы, сложность которых оценивается сверху степенным образом в зависимости от длины записи входящих чисел. Если наибольшее из чисел, подаваемых на вход алгоритма, не превосходит m, то сложность алгоритмов этого типа оценивается величиной O(ln^cm), где c – некоторая абсолютная постоянная. Во всех приведённых примерах с =1.

Следующий алгоритм вычисляет a^dmodm. При этом, конечно, предполагается, что натуральные числа a и dне превосходят по величине m.

2.1 Алгоритм вычисления a^dmodm

1. Представим d в двоичной системе счисления d=d₀2^r+…+d_r-12+d_r, где d_i, цифры в двоичном представлении, равны 0 или 1, d₀= 1.

2. Положим a₀ = a и затем для i = 1,…,r вычислим a_i ºa²_i-1a^di(mod m).

3. a_r есть искомый вычетa^dmodm.

Справедливость этого алгоритма вытекает из сравнения

a_i ºa²_i-1a^{d02^i+…+di}(mod m),

легко доказываемого индукцией по i.

Так как каждое вычисление на шаге 2 требует не более трёх умножений по модулю m и этот шаг выполняется r£ log₂ m раз, то сложность алгоритма может быть оценена величиной O(ln m).

2.2 Дихотомический алгоритм возведения в степень.

В общем виде дихотомический алгоритм позволяет вычислить –ю степень в моноиде. Будучи применён к множеству целых чисел с операцией сложения, этот метод позволяет умножать два целых числа и более известен как египетское умножение.

Классический алгоритм возведения в степень посредством последовательного умножения характерен, главным образом, своей неэффективностью в обычных обстоятельствах – его время работы линейным образом зависит от показателя степени.

Возьмём моноид М с операцией умножения и рассмотрим некоторый элемент x₀ из М, а также произвольное натуральное число ₀. Для того, чтобы вычислить , представим ₀ в двоичной системе счисления:

₀ = b_t2^t + b_{t – 1}2^{t – 1} + … + ₁2¹ + ₀2⁰,

предполагая, что ₀ содержит (t + 1)двоичных цифр (т. е. что b_t ¹ 0 и b_{t + 1} = 0). В этих условиях вычисляемое выражение может быть записано:

или же .

Если задана последовательность (x_i)_{0 £i£t}, первый элемент которой есть x₀ и x_i для iÎ (1,t) определено соотношением x_i = x_{i – 1}², то можно записать = P{x_i | 0 £ i £ t, b_i ¹ 0}. Чтобы завершить построение алгоритма и иметь возможность получить значение предыдущего произведения, необходимо вычислить биты b_i числа ₀. Для последовательности (n_i) _{0 £i£t+1} (с начальным элементом ₀), определённой соотношением n_i = (n_i–1/2) для любого i Î (1, t + 1), бит b_i равен нулю, если n_i чётно, и равен единице в противном случае. Первое значение индекса i, для которого n_i равно нулю, есть t + 1.

Ясно, что число итераций, необходимых для выполнения алгоритма, зависит только от показателя .

2^t £ £ 2^{t + 1} или t £ log₂ < t + 1.

Первая часть этого свойства может быть выражена следующим образом: (/2^{t + 1}) = 0 и (/2^t) ¹ 0, что позволяет точно определить число совершаемых делений , равное числу итераций алгоритма при заданном значении . Очевидно, нужно совершить t + 1 итераций, чтобы выполнить алгоритм, т. е. (log₂) + 1 итераций. Следовательно, трудоёмкость алгоритма есть O(log ).

Третий алгоритм – это классический алгоритм Евклида вычисления наибольшего общего делителя целых чисел. Мы предполагаем заданными два натуральных числа a и и вычисляем их наибольший общий делитель (a,).

2.3 Алгоритм Евклида

1. Вычислим r– остаток от деления числа aна , a = bq+r, 0 £ r< .

2. Если r = 0, то b есть искомое число.

3. Если r ¹ 0, то заменим пару чисел (a,) парой (,r) и перейдём к шагу1.

Не останавливаясь на объяснении, почему алгоритм действительно находит (a,), докажем некоторую оценку его сложности.

Теорема 1.При вычислении наибольшего общего делителя (a,) с помощью алгоритма Евклида будет выполнено не более 5 операций деления с остатком, где есть количество цифр в десятичной записи меньшего из чисел a и .

Доказательство. Положим r₀ = a > и определим r₁,r₂,…,r_n - последовательность делителей, появляющихся в процессе выполнения шага 1 алгоритма Евклида. Тогда

r₁ = b,…, 0£ r_i+1 < r_i, i = 0,1,…,n - 1.

Пусть также u₀ = 1,u₁= 1,u_k+1= u_k+u_k-1,k³ 1, - последовательность Фибоначчи. Индукцией по i от i = - 1 до i = 0 легко доказывается неравенство r_i+1³ u_n-i. А так как u_n ³ 10^(n-1)/5, то имеем неравенства 10^p > = r₁ ³ u_n ³ 10^(n-1)/5 и < 5+1.

Немного подправив алгоритм Евклида, можно достаточно быстро решать сравнения ax º 1 (mod m) при условии, что (a,) = 1. Эта задача равносильна поиску целых решений уравнения ax + by = 1.

2.4 Алгоритм решения уравнения ax + by = 1

0. Определим матрицу E =

1. Вычислим r – остаток от деления числа a на , a = bq + r, 0 £ r < .

2. Если r = 0, то второй столбец матрицы Е даёт вектор (xy) решений уравнения.

3. Если r ¹ 0, то заменим матрицу Е матрицей

4. Заменим пару чисел (a,) парой (,r) и перейдём к шагу 1.

Если обозначить через Е_k матрицу Е, возникающую в процессе работы алгоритма перед шагом 2 после k делений с остатком (шаг 1), то в обозначениях из доказательства теоремы 1 в этот момент выполняется векторное равенство (a,)*E_k = (r_k-1,r_k). Его легко доказать индукцией по k. Поскольку числа a и взаимно просты, имеем r_n= 1, и это доказывает, что алгоритм действительно даёт решение уравнения ax + by = 1. Буквой мы обозначили количество делений с остатком, которое в точности такое же, как и в алгоритме Евклида.

Полиномиальные алгоритмы в теории чисел – большая редкость. Да и оценки сложности алгоритмов чаще всего опираются на какие-либо не доказанные, но правдоподобные гипотезы, обычно относящиеся к аналитической теории чисел.

Для некоторых задач эффективные алгоритмы вообще не известны. Иногда в таких случаях всё же можно предложить последовательность действий, которая, «если повезёт», быстро приводит к требуемому результату. Существует класс так называемых вероятностных алгоритмов, которые дают правильный результат, но имеют вероятностную оценку времени работы. Обычно работа этих алгоритмов зависит от одного или нескольких параметров. В худшем случае они работают достаточно долго. Но удачный выбор параметра определяет быстрое завершение работы. Такие алгоритмы, если множество «хороших» значений параметров велико, на практике работают достаточно эффективно, хотя и не имеют хороших оценок сложности.

3. Полиномиальная арифметика

Рассмотрим вероятностный алгоритм, позволяющий эффективно находить решения полиномиальных сравнений по простому модулю. Пусть – простое число, которое предполагается большим, и f(x)ÎZ(x) – многочлен, степень которого предполагается ограниченной. Задача состоит в отыскании решений сравнения

f(x) º 0 (mod ). (1)

Например, речь может идти о решении квадратичных сравнений, если степень многочлена f(x) равна 2. Другими словами, мы должны отыскать в поле F_p = Z/Z все элементы, удовлетворяющие уравнению f(x) = 0.

Согласно малой теореме Ферма, все элементы поля F_p являются однократными корнями многочлена x^p- x. Поэтому, вычислив наибольший общий делитель d(x) = (x^p- x, f(x)), мы найдём многочлен d(x), множество корней которого в поле F_p совпадает с множеством корней многочлена f(x), причём все эти корни однократны. Если окажется, что многочлен d(x) имеет нулевую степень, т. е. лежит в поле F_p, это будет означать, что сравнение (1) не имеет решений.

Для вычисления многочлена d(x) удобно сначала вычислить многочлен c(x)ºx^p (mod f(x)), пользуясь алгоритмом, подобным описанному выше алгоритму возведения в степень (напомним, что число предполагается большим). А затем с помощью аналога алгоритма Евклида вычислить d(x) = (c(x) – x, f(x)). Всё это выполняется за полиномиальное количество арифметических операций.

Таким образом, обсуждая далее задачу нахождения решений сравнения (1) мы можем предполагать, что в кольце многочленов F_p(x) справедливо равенство

f(x) = (x – a₁)*…*(x – a_n), a_iÎF_p, a_i¹ a_j.

3. 1 Алгоритм нахождения делителей многочлена f(x) в кольце F_p(x)

1. Выберем каким-либо способом элемент d Î F_p.

2. Вычислим наибольший общий делитель

g(x) = ( f(x), (x + d)^(p-1)/2 – 1).

3. Если многочлен g(x) окажется собственным делителем f(x), то многочлен f(x) распадается на два множителя и с каждым из них независимо нужно будет проделать все операции, предписываемые настоящим алгоритмом для многочлена f(x).

4. Если окажется, что g(x) = 1 или g(x) = f(x), следует перейти к шагу 1 и, выбрав новое значение d, продолжить выполнение алгоритма.

Количество операций на шаге 2 оценивается величиной O(ln ), если вычисления проводить так, как это указывалось выше при нахождении d(x). Выясним теперь, сколь долго придётся выбирать числа d, пока на шаге 2 не будет найден собственный делитель f(x).

Количество решений уравнения (t + a₁)^{(p – 1)/2} = (t + a₂)^{(p – 1)/2} в поле F_pне превосходит (-3)/2. Это означает, что подмножество D Ì F_p, состоящее из элементов d, удовлетворяющих условиям

(d + a₁)^{( – 1)/ 2} ¹ (d + a₂)^{( – 1)/ 2}, d ¹ -a₁, d¹-a₂,

состоит не менее чем ( – 1)/2 из элементов. Учитывая теперь, что каждый ненулевой элемент ÎF_p удовлетворяет одному из равенств ^{(p – 1)/2} = 1, либо ^{(p – 1)/2} = –1, заключаем, что для dÎ D одно из чисел a₁, a₂ будет корнем многочлена (x + d) ^{(p – 1)/2} – 1, а другое – нет. Для таких элементов d многочлен, определённый на шаге 2 алгоритма, будет собственным делителем многочлена f(x).

Итак, существует не менее ( –1)/2 «удачных» выборов элемента d, при которых на шаге 2 алгоритма многочлен f(x) распадается на два собственных множителя. Следовательно, при «случайном» выборе элемента dÎ F_p, вероятность того, что многочлен не разложится на множители после k повторений шагов алгоритма 1-4, не превосходит 2^-k. Вероятность с ростом k убывает очень быстро. И действительно, на практике этот алгоритм работает достаточно эффективно.

Заметим, что при оценке вероятности мы использовали только два корня многочлена f(x). При > 2 эта вероятность, конечно, ещё меньше. Более тонкий анализ с использованием оценок А. Вейля для сумм характеров показывает, что вероятность для многочлена f(x) не распасться на множители при однократном проходе шагов алгоритма 1-4 не превосходит 2^- + O(^-1/2). Здесь постоянная в O(.) зависит от . В настоящее время известно элементарное доказательство оценки А. Вейля.

Если в сравнении (1) заменить простой модуль составным модулем m, то задача нахождения решений соответствующего сравнения становится намного более сложной. Известные алгоритмы её решения основаны на сведении сравнения к совокупности сравнений (1) по простым модулям – делителям m, и, следовательно, они требуют разложения числа m на простые сомножители, что, как уже указывалось, является достаточно трудоёмкой задачей.

3.2 Произведение и возведение в степень многочленов, заданных массивами

Условимся представлять многочлены массивами, индексированными, начиная с 0, в которых элемент с индексом i означает коэффициент многочлена степени i

type

Polynome=array(1..Nmax) of Ring_Element;

Следующий алгоритм даёт функцию умножения двух многочленов и , где многочлен степени (который даёт результат в конце алгоритма) должен быть предварительно инициализирован нулём.

fori:= 0 to degPdo

forj:= 0 to degQ do

R(i+j):=R(i+j)+P(i)*Q(i);

Изучая предыдущий алгоритм, устанавливаем, что его сложность как по числу перемножений, так и сложений, равна произведению высот двух многочленов: (degP + 1)(degQ+ 1), но в этом алгоритме, который не учитывает случай нулевых коэффициентов, можно рассматривать высоту многочлена как число всех коэффициентов. Значит, возможно улучшить предыдущий алгоритм, исключив все ненужные перемножения:

fori:= 0 to degPdo

if P(i) ¹ 0 then

forj:= 0 to degQ do

if Q(j) ¹ 0 then

R(i+j):=R(i+j)+P(i)Q(i);

Очень просто вычислить сложность алгоритма возведения в степень последовательными умножениями, если заметить, что когда P – многочлен степени d, то Pⁱ – многочлен степени id. Если обозначить C_mul() сложность вычисления Pⁿ, то рекуррентное соотношение C_mul(i+ 1) = C_mul(i) + (d +1)(id +1) даёт нам:

C_mul() = =

Что касается возведения в степень с помощью дихотомии (т.е. повторяющимися возведениями в квадрат), вычисления несколько сложнее: зная , вычисляем с мультипликативной сложностью. Как следствие имеем:

C_sqr(2^l) = = =

=

Предварительное заключение, которое можно вывести из предыдущих вычислений, складывается в пользу дихотомического возведения в степень: если есть степень двойки (гипотеза ad hoc), этот алгоритм ещё выдерживает конкуренцию, даже если эта победа гораздо скромнее в данном контексте (²d²/3 против ²d²/2), чем когда работаем в Z/Z (2log₂ против ).

Но мы не учли корректирующие перемножения, которые должны быть выполнены, когда показатель не является степенью двойки. Если = 2l+1 – 1, нужно добавить к последовательным возведениям в квадрат перемножения всех полученных многочленов. Умножение многочлена степени (2ⁱ-1)d на многочлен степени 2ⁱd вносит свой вклад из ((2ⁱ – 1)d + 1)( 2ⁱd + 1) умножений, которые, будучи собранными по всем корректирующим вычислениям, дают дополнительную сложность:

= =

=

Теперь можно заключить, что дихотомическое возведение в степень не всегда является лучшим способом для вычисления степени многочлена с помощью перемножений многочленов. Число перемножений базисного кольца, которые необходимы, C_sqr(), - в действительности заключено между ( ) и т.е. между ²d²/3 и 2²d²/3, тогда как простой алгоритм требует всегда ²d²/2 перемножений. В частности, если исходный многочлен имеет степень, большую или равную 4, возведение в степень наивным методом требует меньше перемножений в базисном кольце, чем бинарное возведение в степень, когда имеет форму 2^l – 1.

Можно довольно просто доказать, что если имеет вид 2^l +2^{l – 1} + c (выражения, представляющие двоичное разложение ), то метод вычисления последовательными перемножениями лучше метода, использующего возведение в квадрат (этот последний метод требует корректирующего счёта ценой, по крайней мере, ²d²/9). Всё это доказывает, что наивный способ является лучшим для этого класса алгоритмов, по крайней мере, в половине случаев.

Действительно, МакКарти (3) доказал, что дихотомический алгоритм возведения в степень оптимален среди алгоритмов, оперирующих повторными умножениями, если действуют с плотными многочленами (антоним к разреженным) по модулю m, или с целыми и при условии оптимизации возведения в квадрат для сокращения его сложности наполовину (в этом случае сложность действительно падает приблизительно до ²d²/6 + ²d²/3 = ²d²/2).

3.3 Небольшие оптимизации для произведений многочленов

В принципе вычисление произведения двух многочленов степеней и m соответственно требует ( +1)(m +1) элементарных перемножений. Алгоритм оптимизации возведения в квадрат состоит просто в применении формулы квадрата суммы:

что даёт +1 умножений для первого члена и ( +1)/2 – для второго, или в целом ( +1)( +2)/2 умножений, что близко к половине предусмотренных умножений, когда большое.

Для произведения двух многочленов первой степени P = aX+иQ=cX + d достаточно легко находим формулы U=ac, W=bd, V = (a+ )(c + d) и PQ = =UX² + (V – U – W)X +W, в которых появляются только три элементарных умножения, но четыре сложения. Можно рекурсивно применить этот процесс для умножения двух многочленов P и Q степени 2^l – 1, представляя их в виде и применяя предыдущие формулы для вычисления PQ в зависимости от A, B, C и D, где каждое произведение AB, CD и (A + B)(C + D) вычисляется с помощью рекурсивного применения данного метода (это метод Карацубы). Всё это даёт мультипликативную сложность M(2^l)и аддитивную сложность A(2^l)такие, что:

M(2^l) = 3M(2^{l – 1}),…, M(2) = 3M(1),M(1) = 1,

A(2^l) =3A(2^{l – 1}) + 3*2^l,…, A(2) = 3A(1) + 6,A(1) = 1.

В этой последней формуле член 3*2^l представляет собой число элементарных сложений, необходимых, чтобы сделать два сложения многочленов степени 2^{l – 1} – 1 (a + и c + d) и два вычитания многочленов степени 2^l – 1 (U – V – W). Суммируя каждое из этих выражений, находим для , являющегося степенью двойки:

M() = ^log3/log2 » ^1,585 и A(2) =7^log3/log2 – 6.

К сожалению, этот принцип остаётся теоретическим, и на его основе нужно построить итерационный алгоритм, чтобы получить разумную эффективность (цена управления рекурсией очень велика).

3.4 Вычисление многочленов

Рассмотрим общую задачу вычисления многочлена -й степени

u(x) = u_nxⁿ + u_{n – 1}x^{n – 1} + ... + u₁x + u₀, u_n ¹ 0, (1)

3.4.1 Схема Горнера

u(x) = (…(u_nx + u_{n – 1})x + …)x + u₀. (2)

Весь этот процесс требует умножений и сложений.

Было предложено несколько обобщений схемы Горнера. Посмотрим сначала, как вычисляется в случае, когда – комплексное число, а коэффициенты вещественны. Комплексное сложение и умножение можно очевидным образом свести к последовательности обычных операций над вещественными числами:

вещественное + комплексное требует 1 сложение,

комплексное + комплексное требует 2 сложения,

вещественное * комплексное требует 2 умножения,

комплексное * комплексное требует 4 умножения и 2 сложения

или 3 умножения и 5 сложений.

Следовательно, схема Горнера (2) требует 4 – 2 умножений и 3 – 2 сложений или 3 – 1 умножений и 6 – 5 сложений для вычисления u(z), когда z комплексное. Вот другая процедура для вычисления u(x + iy):

a₁ = u_n, ₁ = u_{n – 1}, r = x + x, = x² + y²; (3)

a_j = b_{j – 1} + ra_{j –1}, b_j = u_{n – j} – sa_{j –1}, 1 < j £ .

Легко доказать индукцией по , что u(z) = za_n + b_n. Эта схема требует 2 + 2 умножений и 2 + 1 сложений, так что при ³ 3 она лучше схемы Горнера.

Рассмотрим процесс деления многочлена u(x) на многочлен x – x₀. В результате такого деления мы получаемu(x) = (x – x₀)q(x) + r(x); здесь deg(r) < 1, поэтому r(x) есть постоянная, не зависящая от x и u(x₀) = 0*q(x₀) + r = r. Анализ этого процесса деления показывает, что вычисления почти те же самые, что в схеме Горнера для определения u(x₀). Аналогично, когда мы делим u(z) на многочлен (z – z₀)(z – z₀) = z² – 2x₀z + x₀² + y₀², то соответствующие вычисления эквивалентны процедуре (3); мы получаем

u(z) = (z – z₀)(z – z₀)q(z) + a_nz + b_n;

следовательно,

u(z₀) = a_nz₀ + b_n.

Вообще, когда мы делим u(x) на, f(x) получая u(x) = f(x)q(x) +­ r(x), то из равенства f(x₀) = 0 следует u(x₀) = r(x₀); это наблюдение ведёт к дальнейшим обобщениям правила Горнера. Мы можем положить, например, f(x) = x­² – x₀²; это даст нам схему Горнера «второго порядка»

u(x) = (…(u_{2ën/2 û} x²­­­ + u_{2ën/2 û – 2})x² + u₀ +

+((….u_{2én/2 ù - 1} x² + u_{2én/2 ù - 3})x²+ … +)x²u₁)x. (4)

3.4.2 Интерполяционная формула Ньютона и табулирование значений многочлена

Рассмотрим специальный случай вычисления многочлена. Интерполяционный многочлен Ньютона степени , определяемый формулой

u⁽⁾(x) = a_n(x – x₀) (x – x₁)…(x – x_{n – 1}) +…+ a_n (x – x₀) (x – x₁) + a₁ (x – x₀) + a₀, (5)

является единственным многочленом степени £ от x, который принимает предписанные значения y₀, y₁, …, y_nв заданных + 1 различных точках x₀, x₁, …, x_n соответственно. После того, как значения постоянных a найдены, интерполяционная формула Ньютона становится удобной для вычислений, так как мы можем, обобщив правило Горнера, записать

u⁽⁾(x) = ((…(a_n(x – x_{n – 1}) + a_{n – 1})(x – x_{n – 2}) + …)(x – x₁) + a₁)*

*(x – x₀) + a₀. (6)

Теперь рассмотрим, как находятся постоянные a в формуле Ньютона. Их можно определить, находя «разделённые разности» и сводя вычисления в следующую таблицу (иллюстрирующую случай = 3):

y₀

(y₁ – y₀)/(x₁ – x₀) = y¢₁

y₁ (y₂ – y’₁)/(x₂ – x₀) = y¢¢₂

(y₂ – y₁)/(x₂ – x₁) = y¢₂ (y’’₃ – y’’₂)/(x₃ – x₀) = y¢¢¢₃

y₂ (y₃ – y’₂)/(x₃ – x₁) = y¢¢₃

(y₃ – y₂)/(x₃ – x₂) = y¢₃

y₃ (7)

Можно доказать, что a₀ = y₀, a₁ = y’₁, a₂ = y’₂, и т. д. Следовательно, для нахождения величин может быть использована следующая вычислительная процедура (соответствующая таблице (7)):

Начать с того, что установить (a₀, a₁, …, a_n) ¬ (y₀, y₁, … , y_n); затем для k = 1, 2, …, (именно в таком порядке) установить y_j ¬ (y_j– y_{j – 1})/(x_j– x_{j – k})для j = , – 1, …, k (именно в таком порядке).

Если мы хотим вычислить многочлен u(x) степени сразу для многих значений x, образующих арифметическую прогрессию (т. е. хотим вычислить u(x₀), u(x₀ + h), u(x₀ + 2h),…), то весь процесс можно после нескольких первых шагов свести к одному только сложению вследствие того факта, что -я разность от многочлена есть постоянная.

1 Найти коэффициенты b_n, …, b₁, b₀ представления нашего многочлена в виде интерполяционного многочлена Ньютона

u(x) = b_n / ! hⁿ(x – x₀ – ( – 1)h)…(x – x₀ – h)(x – x₀) +…+ b₂/ 2! h²* *(x – x₀ – h)(x – x₀) + b₁/ h² (x – x₀) + b₀. (8)

(Это можно сделать, беря повторные разности, в точности так же, как мы определяли выше постоянные a в (5) (надо принять x_j = x₀ + jh), с тем исключением, что все деления на x_j – x_{j – k} из вычислительной процедуры устраняются.)

2 Установить x¬x₀.

3 Теперь значением u(x) является b₀.

4 Установить b_j ¬ b_j + b_{j + 1} для j= 0, 1, …, – 1 (именно в таком порядке). Увеличить xна hи вернуться в шаг 3.

4. Дискретное логарифмирование

Пусть – простое число. Ещё Эйлер знал, что мультипликативная группа кольца циклична, т. е. существуют такие целые числа а, что сравнение

a^x º (mod ) (2)

разрешимо относительно x при любом ÎZ, не делящимся на . Числа а с этим свойством называются первообразными корнями, и количество их равно j( – 1), где j – функция Эйлера. Целое х, удовлетворяющее сравнению (2), называется индексом или дискретным логарифмом числа .

Выше мы описали алгоритм, позволяющий по заданному числу xдостаточно быстро вычислять а^х mod . Обратная же операция – вычисление по заданному его дискретного логарифма, вообще говоря, является очень сложной в вычислительном отношении задачей. Именно это свойство дискретного логарифма и используется в его многочисленных криптографических применениях. Наиболее быстрые (из известных) алгоритмы решения этой задачи, основанные на так называемом методе решета числового поля, требуют выполнения exp(c(ln )^1/3(ln ln )^2/3) арифметических операций, где c – некоторая положительная постоянная. Это сравнимо со сложностью наиболее быстрых алгоритмов разложения чисел на множители. Конечно, указанная оценка сложности получена при условии справедливости ряда достаточно правдоподобных гипотез.

Говоря о сложности задачи дискретного логарифмирования, мы имели в виду «общий случай». Ведь и большое целое число легко может быть разложено на простые сомножители, если все эти сомножители не очень велики. Известен алгоритм, позволяющий быстро решать задачу дискретного логарифмирования, если p – 1 есть произведение малых простых чисел.

Пусть q – простое число, делящее р – 1. Обозначим с º а^{(p – 1)/q} (mod ), тогда классы вычетов 1, с, с², … , с^{q – 1} все различны и образуют полное множество решений уравнения х^q = 1 в поле F_p = Z/Z_p. Если q не велико и целое число d удовлетворяет сравнению х^q º 1 (mod ), то показатель k, 0 £ k < q, для которого выполняется d º c^k (mod ), легко может быть найден, например, с помощью перебора. Именно на этом свойстве основан упомянутый выше алгоритм.

Допустим, что р – 1 = q^kh, (q,h) = 1. Алгоритм последовательно строит целые числа u_j, j = 0,1,…,k, для которых выполняется сравнение

º 1 (mod ). (3)

Так как выполняется сравнение º 1 (mod ), то найдётся целое число u₀, для которого º (mod ). При таком выборе сравнение (3) с j = 0, очевидно, выполняется. Предположим, что найдено число u_j, удовлетворяющее сравнению (3). Тогда определим t с помощью сравнения

º c^t (mod ), (4)

и положим. Имеют место сравнения

º º 1 (mod ), (5)

означающие справедливость (3) при j + 1.

При j = k сравнение означает в силу (2), что º 1 (mod ). Целое число а есть первообразный корень по модулю р, поэтому имеем (x – u_k)h º 0 (mod – 1) и

x º u_k (mod q^k).

Если , где все простые числа q_j малы, то указанная процедура позволяет найти вычеты x mod , i = 1,…,, и, с помощью китайской теоремы об остатках, вычет x mod – 1, т. е. решить сравнение (2).

В случае обычных логарифмов в поле действительных чисел имеется специальное основание e = 2,171828…, позволяющее достаточно быстро вычислять логарифмы с произвольной точностью. Например, это можно делать с помощью быстро сходящегося ряда

ln(1+x)/(1 – x) = 2(x + x³/3 + x⁵/5 + …), |x| < 1. (6)

Логарифмы по произвольному основанию с могут быть вычислены с помощью тождества

log_c x = ln x/ ln c. (7)

В случае дискретных логарифмов нет основания, по которому логарифмы вычислялись бы столь же быстро, как натуральные в поле действительных чисел. Вместе с тем, последняя формула, связывающая логарифмы с различными основаниями, остаётся справедливой и позволяет выбирать основание удобным способом. Единственное условие для этого состоит в том, чтобы логарифм нового основания Log c был взаимно прост c - 1. Тогда в формуле (7) возможно деление по модулю р – 1. Заметим, что это условие будет выполнено, если и только если с – первообразный корень. Из расширенной гипотезы Римана следует, что наименьший первообразный корень по модулю р ограничен величиной O(log⁶ ). Поэтому в дальнейшем для простоты изложения мы будем предполагать, что основание а в (2) невелико, именно а = O(log⁶ ).

Так как поле F неполно, вычисление дискретных логарифмов не может использовать предельный переход и основано на иных принципах. Прежде всего, нужный дискретный логарифм log вычисляется не сам по себе, а вместе с совокупностью логарифмов ряда других чисел. Заметим, что всякое сравнение вида

º (mod ), (8)

где q_i, k_i, m_i Î Z приводит к соотношению между логарифмами

(k₁ – m₁)Log q₁ + … + (k_s – m_s)Log q_s º 0 (mod – 1). (9)

А если выполняются сравнения

a º (mod p – 1) º (mod ),

то

r₁Log q₁ +…+ r_sLog q_s º 1 (mod – 1) (10)

и

Log º x₁Log q₁ +…+ x_sLog q_s (mod – 1) (11)

Имея достаточно много векторов k₁,…,k_s,m₁,…,m_s с условием (8), можно найти решение соответствующей системы сравнений (9), (10). Если эта система имеет единственное решение, то им как раз и будет набор логарифмов Log q_1,…,Log q_s. Затем с помощью (11) можно найти Log .

Мы опишем ниже реализацию этой идеи, взятую из работы (1). Эвристические соображения позволили авторам этой работы утверждать, что предложенный ими алгоритм требует L^{1 + e}, где L = , арифметических операций для вычисления Log .