n N, в целых числах; прежде чем извлекать корень из n, следует проверить, является ли n квадратичным вычетом по нескольким небольшим модулям, см. [89, гл. 1].

§ 6.3. Алгоритм Берлекэмпа

Пусть p — простое число, q = pm. В данном параграфе мы опишем алгоритм Берлекэмпа (см. [7; 31, гл. 4; 63]) для разложения унитарного многочлена f(x) GF(q) [x] на множители. Пусть deg f(x) = n 2. Обозначим

разложение f(x) на различные неприводимые унитарные многочлены f1 (x), . . . , fk (x). Сначала мы покажем, как нахождение разложения (6.5) сводится к нахождению разложения многочлена

не имеющего кратных неприводимых множителей. Для этого рассмотрим

d(x) = НОД(f(x), f (x)).

Если f (x) — нулевой многочлен, то f(x) = g0 (xp), где g0 (y) GF(q) [y].

нию разложения g(x), имеющего меньшую степень. Коэффициенты g(x) быстро вычисляются по коэффициентам f(x), если GF(q) не слишком велико и m > 1. Если же q = p (т. е. m = 1), то g(x) = g0 (x), поскольку ap = a для всех a GF(p).

Предположим теперь, что f (x) — ненулевой многочлен. Тогда оче-

видно, что

d(x) = f1 (x)v1 . . . fk (x)vk ,

где vi = ei −1 при p ei, vi = ei при p | ei. При этом найдется vi = ei. Тогда многочлен f˜ (x) = f(x)/d(x) равен произведению тех из многочленов f1 (x), . . . , fk (x), для которых p ei. Если мы разложим f˜ (x) на неприво-

димые множители, то затем пробными делениями найдем показатели ei

такие, что p ei. Вычислим f(x)/ fi (x)ei . У этого многочлена произ-

i : p ei

водная будет нулевой. Если он отличен от константы, то мы представим его в виде gˆ (x)p, как это описано выше, и далее будем раскладывать gˆ (x) аналогичным образом, и т. д.

Замечание 6.8. В [89, гл. 3, алгоритм 3.4.2] описан алгоритм, кото-

рый находит представление унитарного многочлена f(x) Z/pZ [x] в виде f(x) = Ai (x)i, где Ai (x) Z/pZ [x], Ai не имеют кратных неприво-

i 1

димых множителей, и при i = j(Ai (x), Aj (x) = 1.

Далее мы будем считать, что в разложении (6.5) все показатели ei равны 1.

Теорема 6.9. Пусть h(x) GF(q) [x], 1 deg h(x) < n, и выполнено

условие

h(x)q ≡ h(x) (mod f(x)).

причем правая часть этого равенства представляет собой нетривиальное разложение f(x) на взаимно простые множители.

Доказательство. Поскольку при c1, c2 GF(q), c1 = c2, многочлены h(x) − c1 и h(x) − c2 взаимно просты, то множители в правой части (6.7) взаимно просты. Поскольку deg(h(x) − c) < n, то из выполнения равенства (6.7) следует, что это нетривиальное разложение

deg f(x) = n 2, про который известно, что он не имеет кратных неприводимых множителей. На выходе — разложение f(x) на неприводимые множители.

где B1 = (B − In)T , In — единичная матрица, знак (·)T означает транспонирование. Пусть e1 = (1, 0, . . . , 0), e2, . . . , ek — найденный базис.

Замечание 6.12. Поскольку xiq ≡ 1 (mod f(x)) при i = 0, то в матрице B первая строка всегда имеет вид (1, 0, . . . , 0), и первый столбец матрицы B1 будет нулевым. Поэтому e1 = (1, 0, . . . , 0) будет присутствовать в базисе пространства решений.

3 шаг. При k = 1 многочлен f(x) неприводим; вообще, найденное значение k равно количеству неприводимых делителей f(x) в GF(q) [x]. При k > 1 надо взять e2 = (h2,0, . . . , h2,n−1) и построить f — разлагаю-

щий многочлен h2 (x) = n−1

i=0

т. е. вычисляя НОД(f(x), h2 (x) − c) при c GF(q), найти разложение

f(x) = g1 (x) . . . gl (x),

где gi (x) GF(q) [x], l 2. Если l = k, то алгоритм останавливается. Ес-

ли l < k, то мы берем e3 = (h30 . . . , h3,n−1), строим h3 (x) = n−1 h3ixi; вы-

i=0

числяя НОД(gi (x), h3 (x) − c) для найденных gi (x), мы получаем дальнейшее разложение f(x), и т. д. Алгоритм закончит работу, когда мы переберем все базисные векторы e2, . . . , ek, и для соответствующих им многочленов hi (x) вычислим наибольшие общие делители найденных множителей f(x) с hi (x) − c, c GF(q).

Замечание 6.13. Алгоритм останавливается, как только мы найдем разложение f(x) на k множителей, где k = n − rank B1.

Конец алгоритма.

Теорема 6.14. Алгоритм Берлекэмпа работает корректно и находит полное разложение f(x) на множители.

174 Гл. 6. Факторизация многочленов над конечными полями

Доказательство. Поскольку f(x) = f1 (x) . . . fk (x) — произведение различных унитарных неприводимых многочленов, то по китайской теореме об остатках для любого набора c1, . . . , ck GF(q) существует единственный многочлен h(x) GF(q) [x] такой, что h(x) ≡ ci (mod fi (x)), i = 1, . . . , k, deg h(x) < n. Этот многочлен h(x) удовлетворяет условию

h(x)q ≡ cqi ≡ ci ≡ h(x) (mod fi (x)), i = 1, . . . , k,

и поэтому является f-разлагающим. Обратно, любой f-разлагающий

многочлен h(x) удовлетворяет соотношению

hq (x) − h(x) ≡ (h(x) − c) ≡ 0 (mod f(x)),

c GF(q)

откуда для каждого fi (x) найдется c = ci такое, что h(x) ≡ ci (mod fi (x)). Таким образом, мы получили взаимно однозначное соответствие между f-разлагающими многочленами h(x) и наборами ci, . . . , ck GF(q). Поскольку по теореме 6.11 вектор коэффициентов (h0, . . . , hn−1) многочлена h(x) удовлетворяет системе уравнений (6.8), то ранг матрицы B1 равен n − k, и пространство решений k-мерно. Обозначим через h1 (x), . . . , hk (x) f-разлагающие многочлены, векторы коэффициентов которых образуют базис пространства решений системы (6.8); мы считаем, что h1 (x) = 1. Пусть fi (x) и fj (x) — какие-либо два неприводимых делителя f(x), i = j. Мы хотим показать, что найдется номер u, 2 u k, и постоянная c GF(q) такая, что

cu GF(q) выполнены сравнения hu (x) ≡ cu (mod fi (x) · fj (x)). То же верно и для u = 1, так как h1 (x) = 1 = c1. Но тогда, поскольку любой f-разлагающий многочлен h(x) является линейной комбинацией над GF(q) многочленов h1 (x), . . . , hk (x), то

h(x) ≡ c (mod fi (x) · fj (x)),

где c GF(q), c зависит от h(x). Однако найдется f-разлагающий многочлен h(x) такой, что

h(x) ≡ 0 (mod fi (x)), h(x) ≡ 1 (mod fj (x)).

Полученное противоречие завершает доказательство теоремы и обоснование алгоритма Берлекэмпа.

Замечание 6.15. Сложность алгоритма составляет O(n3 + qkn) арифметических операций (см. [22, с. 191]). Поэтому алгоритм будет

176 Гл. 6. Факторизация многочленов над конечными полями

Доказательство. Первое утверждение следует из того, что K = = Z/pZ [x]/(g(x)) = GF(pd), и элемент x ≡ x (mod g(x)) K удовле-

творяет соотношению xpd = x. Для доказательства второго утверждения обозначим l = deg g(x), K1 = GF(pl) = Z/pZ [x]/(g(x)). Посколь-

ку xpl ≡ x (mod g(x)), то из условия утверждения следует, что l d.

Поскольку K1 является циклической группой порядка pl − 1 и порождается элементом f(x) (mod g(x)) для некоторого f(x) Z/pZ [x], то из (6.9) следует, что pl − 1 | pd − 1, т. е. l d. Значит, l = d, что и требовалось доказать.

Применим лемму 6.18. Рассмотрим

B1 (x) = НОД(f(x), xp − x).

Очевидно, B1 (x) состоит из всех неприводимых делителей f(x) первой степени. Заменим f(x) на f1 (x) = f(x)/B1 (x). Тогда вычислим

B2 (x) = НОД(f1 (x), xp2 − x).

B2 (x) состоит из всех неприводимых делителей f(x) второй степени. Положим f2 (x) = f1 (x)/B2 (x). Продолжая этот процесс, мы получим, что

Bd (x) = НОД(fd−1 (x), xpd − x)

состоит из всех неприводимых делителей f(x), имеющих степень d; далее fd (x) = fd−1 (x)/Bd (x), и т. д.

Замечание 6.19. Этот алгоритм нахождения произведений всех неприводимых делителей f(x), имеющих фиксированную степень, можно применять до того, как мы применяем алгоритм Берлекэмпа для факторизации f(x).

Лемма 6.20. Пусть g(x) Z/pZ [x], g(x) унитарен, deg g(x) = d, причем все неприводимые делители g(x) имеют одинаковую степень и g(x) не имеет кратных делителей. Многочлен g(x) неприводим тогда и только тогда, когда xpd ≡ x (mod g(x)) и для любого простого q, делящего d,

НОД xpd/q − x, g(x) = 1.

Доказательство. Необходимость очевидна. Докажем достаточность. Если g(x) приводим и имеет неприводимый делитель g1 (x), deg g1 (x) = l < d, то g1 (x) | xpl − x. Кроме того, по условию l | d, l = d/k.