где GF(q) такое, что 1, , . . . , m−1 образуют базис GF(q) над GF(p) как линейного пространства. Если же и поле GF(q) велико, и его харак-

неприводимых многочленов и пытаемся найти корни f(x), вычисляя НОД(f(x), Gt (x)), t = 1, . . . , r.

На этом мы закончим описание методов нахождения корней произвольных многочленов над GF(q). В следующем параграфе мы будем решать квадратные уравнения в конечных полях.

§ 6.2. Решение квадратных уравнений

где p > 2, p — простое число. С помощью очевидной замены переменной к уравнению (6.1) сводится произвольное уравнение AX2 + BX + C ≡

и из (6.2) следует, что a2k+1 ≡ 1 (mod p). Отсюда a2k+2 ≡ a (mod p),

имы находим решение (6.1):

x ≡ ±ak+1 (mod p).

где 2k = 2st, s 1, t нечетно. Для решения (6.1) нам нужно знать какой-

корень из левой части этого уравнения. Продолжая этот процесс извлечения квадратных корней и домножения на N2st ≡ −1 (mod p), если при извлечении корня появляется −1 (mod p), мы придем к соотношению

at · N2l ≡ 1 (mod p)

при некотором l Z 0. Отсюда (a(t+1)/2Nl)2 ≡ a (mod p), и мы находим x ≡ ±a(t+1)/2Nl (mod p) — решение (6.1).

Замечание 6.4. С помощью случайного выбора N из множества

{1, 2, . . . , p − 1} мы с вероятностью 12 найдем невычет. Оценка на величину наименьшего квадратичного вычета по модулю p была приведена в § 1.6 (при условии выполнения расширенной гипотезы Римана). Для некоторых значений p ≡ 1 (mod 4) невычет N известен заранее; например, N = 2 при p ≡ 5 (mod 8).

Несколько более эффективным для решения уравнения (6.1) в случае p ≡ 1 (mod 4) является алгоритм Тонелли—Шэнкса. В нем мы сохраняем обозначение p − 1 = 4k = 2s+1 · t = 2e · t; N — какой-либо из-

168 Гл. 6. Факторизация многочленов над конечными полями

3 шаг. Находим наименьшее m N такое, что b2m ≡ 1 (mod p). Оно удовлетворяет неравенству 1 m r − 1.

и возвращаемся на 2-й шаг.

Конец алгоритма.

Покажем, что алгоритм работает корректно. Мы хотим найти числа A1, . . . , Ae−1, равные 0 или 1, такие, что

at · Nt(A1·2+A2·22+...+Ae−1·2e−1) ≡ 1 (mod p).

Числа A1, . . . , Ae−1 мы определяем последовательно. При первом проходе алгоритма на 1-м шаге

= at·2 − ≡ −1 (mod p), и в силу (6.2), m r − 1 = e − 1. Тогда мы полагаем A1 = . . . = Ae−m−1 = 0, Ae−m = 1, и получаем соотношение

Если b ≡ 1 (mod p), то очевидно, что x является решением (6.1). Если b ≡ 1 (mod p), то алгоритм продолжает работу.

Предположим, что после нескольких проходов шагов 2—4 мы нашли числа j 2 и A1, . . . , Aj−1 {0; 1}, причем Aj−1 = 1 и выполнены соотношения, являющиеся предположением индукции:

закончит работу. Если же j < e и b ≡ 1 (mod p), то при следующем проходе шагов 2—4 алгоритма мы находим очередное значение j и числа Aj = Aj+1 = . . . = Aj −1 = 0, Aj = 1, для которых

a2e−j ·tNt(A12e−j +1+...+Aj −12e−1) ≡ 1 (mod p).

При этом формулы, выражающие x, b, l, y, r через j , A1, . . . , Aj −1, сохраняются. Таким образом мы по индукции доказали корректность алгоритма Тонелли—Шэнкса.

Замечание 6.5. Алгоритм Тонелли—Шэнкса описан в [89, гл. 1], см. также [60, гл. 7]. Он имеет полиномиальную сложность при условии, что невычет N нам известен.

Замечание 6.6. В работе [244] предложен алгоритм решения (6.1) со сложностью O(|a|1/2+ (log p)9) битовых операций. Знание невычета здесь не предполагается; при фиксированном a Z алгоритм имеет полиномиальную сложность по переменной величине p.

Замечание 6.7. В книге [60, гл. 7] описан вероятностный алгоритм Чипполы для решения уравнения x2 = a в конечном поле GF(q) при нечетном q, имеющий среднее время работы O(log3 q) битовых операций.

этого уравнения имеет вид x ≡ a (mod p), где NM ≡ 1 (mod p − 1). В работах [282; 49] предложены некоторые методы решения (6.4) при условии (N, p − 1) > 1; см. также [60, гл. 7].

Если мы хотим решить уравнение x2 ≡ a (mod n), где n = pq, p, q — различные простые числа, то решение этого уравнения будет трудной задачей, при условии, что разложение n на множители нам неизвест-