Ро-алгоритм Полларда

Эта статья — о факторизации чисел. О методе дискретного логарифмирования см. Ρ-метод Полларда дискретного логарифмирования.

Числовая последовательность зацикливается, начиная с некоторого n. Цикл может быть представлен в виде греческой буквы ρ.

ρ-Алгоритм — предложенный Джоном Поллардом в 1975 году алгоритм, служащий для факторизации (разложения на множители) целых чисел. Данный алгоритм основывается на алгоритме Флойда поиска длины цикла в последовательности и некоторых следствиях из парадокса дней рождений. Алгоритм наиболее эффективен при факторизации составных чисел с достаточно малыми множителями в разложении. Сложность алгоритма оценивается как $O(N^{1/4})$.

ρ-алгоритм Полларда строит числовую последовательность, элементы которой образуют цикл, начиная с некоторого номера n, что может быть проиллюстрировано, расположением чисел в виде греческой буквы ρ, что послужило названием семейству алгоритмов.

История алгоритма

В конце 60-х годов XX века Роберт Флойд придумал достаточно эффективный алгоритм поиска длины цикла в последовательности, также известный, как алгоритм «черепаха и заяц». Джон Поллард, Дональд Кнут и другие математики проанализировали поведение этого алгоритма в среднем случае. Было предложено несколько модификаций и улучшений алгоритма.

В 1975 году Поллард опубликовал статью, в которой он, основываясь на алгоритме Флойда обнаружения циклов, изложил идею алгоритма факторизации чисел, работающего за время, пропорциональное $N^{1/4}$. Автор алгоритма назвал его методом факторизации Монте-Карло, отражая кажущуюся случайность чисел, генерируемых в процессе вычисления. Однако позже метод всё-таки получил своё современное название — ρ-aлгоритм Полларда.

В 1981 году Ричард Брент и Джон Поллард с помощью алгоритма нашли наименьшие делители чисел Ферма $F_{n}=2^{2^{n}}+1$ при $5\leq n\leq 13$.

Так, $F_{8}=1238926361552897\cdot p_{62}$, где $p_{62}$ — простое число, состоящее из 62 десятичных цифр.

В рамках проекта «Cunningham project» алгоритм Полларда помог найти делитель длиной 19 цифр числа $2^{2386}+1$. Большие делители также могли бы быть найдены, однако открытие метода факторизации с помощью эллиптических кривых сделало алгоритм Полларда неконкурентоспособным.

Описание алгоритма

Оригинальная версия

Рассмотривается последовательность целых чисел ${x_{n}}$, такая что $x_{0}=2$ и $x_{i+1}=(x_{i}^{2}-1\,)(\mathrm {mod} \,N)$, где $N$ - число, которое нужно факторизовать. Оригинальный алгоритм выглядит следующим образом.

1. Вычисляются тройки чисел

$(x_{i},x_{2i},Q_{i}),i=1,2,...$, где $Q_{i}\equiv \prod _{j=1}^{i}(x_{2j}-x_{j})\,(\mathrm {mod} \,N)$.

Причём каждая такая тройка получается из предыдущей.

2. Каждый раз, когда число $i$ кратно числу $m$ (скажем, $m=100$), вычисляется наибольший общий делитель $d_{i}=\mathrm {GCD} (Q_{i},N)$ любым известным методом.

3. Если $1<d_{i}<N$, то частичное разложения числа $N$ найдено, причём $N=d_{i}\times (N/d_{i})$.

Найденный делитель $d_{i}$ может быть составным, поэтому его также необходимо факторизовать. Если число $N/d_{i}$ составное, то продолжаем алгоритм с модулем $N'=N/d_{i}$.

4. Вычисления повторяются $S$ раз. Если при этом число не было до конца факторизовано, выбирается, например, другое начальное число $x_{0}$.

Современная версия

Пусть $N$ составное целое положительное число, которое требуется разложить на множители. Алгоритм выглядит следующим образом:

1. Случайным образом выбирается небольшое число $x_{0}$ и строится последовательность $\{x_{n}\},n=0,1,2,...$, определяя каждое следующее как $x_{n+1}=F(x_{n})\,(\mathrm {mod} \,\,N)$.
2. Одновременно на каждом i-ом шаге вычисляется $d=\mathrm {GCD} (N,|x_{i}-x_{j}|)$ для каких-либо $i$, $j$ таких, что $j<i$, например, $i=2j$.
3. Если $d>1$, то вычисление заканчивается, и найденное на предыдущем шаге число $d$ является делителем $N$. Если $N/d$ не является простым числом, то процедуру поиска делителей продолжается, взяв в качестве $N$ число $N'=N/d$.

На практике функция $F(x)$ выбирается не слишком сложной для вычисления (но в то же время не линейным многочленом), при условии того, что она не должна порождать взаимно однозначное отображение. Обычно в качестве $F(x)$ выбираются функции $F(x)=x^{2}\pm 1(\mathrm {mod} \,N)$ или $F(x)=x^{2}\pm a(\mathrm {mod} \,N)$. Однако функции $x^{2}-2$ и $x^{2}$ не подходят.

Если известно, что для делителя $p$ числа $N$ справедливо $p\equiv 1\,(\mathrm {mod} \,k)$ при некотором $k>2$, то имеет смысл использовать $F(x)=x^{k}+b$.

Существенным недостатком алгоритма в такой реализации является необходимость хранить большое число предыдущих значений $x_{j}$.

Улучшения алгоритма

Изначальная версия алгоритма обладает рядом недостатков. В настоящий момент существует несколько подходов к улучшению оригинального алгоритма.

Пусть $F(x)=(x^{2}-1)\mathrm {mod} \,N$. Тогда, если $(x_{j}-x_{i})\equiv 0(\mathrm {mod} \,p)$, то $(f(x_{j})-f(x_{i}))\equiv 0(\mathrm {mod} \,p)$, поэтому, если пара $(x_{i},x_{j})$ даёт решение, то решение даст любая пара $(x_{i+k},x_{j+k})$.

Поэтому, нет необходимости проверять все пары $(x_{i},x_{j})$, а можно ограничиться парами вида $(x_{i},x_{j})$, где $j=2^{k}$, и $k$ пробегает набор последовательны значений 1, 2, 3, ..., а $i$ принимает значения из интервала $[2^{k}+1;2^{k+1}]$. Например, $k=3$, $j=2^{3}=8$, а $i\in [9;16]$.

Эта идея была предложена Ричардом Брентом в 1980 году и позволяет уменьшить количество выполняемых операций приблизительно на 25%.

Еще одна вариация ρ-алгоритма полларда была разработана Флойдом. Согласно Флойду, значение $y$ обновляется на каждом шаге по формуле $y=F^{2}(y)=F(F(y))$, поэтому на шаге i будут получены значения $x_{i}=F^{i}(x_{0})$, $y_{i}=x_{2i}=F^{2i}(x_{0})$, и НОД на этом шаге вычисляется для $N$ и $y-x$.

Пример факторизации числа

Пусть $N=8051$, $F(x)=(x^{2}+1)\,\mathrm {mod} \,8051$, $x_{0}=y_{0}=2$, $y_{i+1}=F(F(y_{i}))$.

i	xi	yi	НОД(|xi − yi|, 8051)
1	5	26	1
2	26	7474	1
3	677	871	97

Таким образом, 97 — нетривиальный делитель числа 8051. Используя другие варианты полинома $F(x)$, можно также получить делитель 83.

Обоснование ρ-алгоритма Полларда

Алгоритм основывается на известном парадоксе дней рождения.

Парадокс дней рождений, кратко:
Пусть $\lambda >0$. Для случайной выборки из $l+1$ элементов, каждый их которых меньше $q$, где $l={\sqrt {2\lambda q}}$, вероятность того, что два элемента окажутся одинаковыми $p>1-\exp ^{-\lambda }$.

Следует отметить, что вероятность $p=0.5$ в парадоксе дней рождения достигается при $\lambda \approx 0.69$.

Пусть последовательность $\{u_{n}\}$ состоит из разностей $x_{i}-x_{j}$, проверяемых в ходе работы алгоритма. Определяется новая последовательность $\{z_{n}\}$, где $z_{n}=u_{n}\,\mathrm {mod} \,q$, $q$ — меньший из делителей числа $N$.

Все члены последовательности $\{z_{n}\}$ меньше ${\sqrt {N}}$. Если рассматривать её как случайную последовательность целых чисел, меньших $q$, то, согласно парадоксу дней рождения, вероятность того, что среди $l+1$ её членов попадутся два одинаковых, превысит $1/2$ при $\lambda \approx 0.69$, тогда $l$ должно быть не меньше ${\sqrt {2\lambda q}}\approx {\sqrt {1.4q}}\approx 1.18{\sqrt {q}}$.

Если $z_{i}=z_{j}$, тогда $x_{i}-x_{j}\equiv 0\,\mathrm {mod} \,q$, то есть, $x_{i}-x_{j}=kq$ для некоторого целого $k$. Если $x_{i}\neq x_{j}$, что выполняется с большой вероятностью, то искомый делитель $q$ числа $N$ будет найден как $\mathrm {GCD} (N,|x_{i}-x_{j}|)$. Поскольку ${\sqrt {q}}\leq n^{1/4}$, то с вероятностью, превышающей $1/2$ , делитель $N$ будет найден за $1.18\times N^{1/4}$ итераций.

Сложность алгоритма

Чтобы оценить сложность алгоритма, рассматривается последовательность, строящаяся в процессе вычислений, как случайная (разумеется, ни о какой строгости при этом говорить нельзя). Чтобы полностью факторизовать число $N$ длиной $\beta$ бит, достаточно найти все его делители, не превосходящие ${\sqrt {N}}$, что требует максимум порядка ${\sqrt {N}}$ арифметических операций, или $N^{1/4}\beta ^{2}=2^{\beta /4}\beta ^{2}$ битовых операций.

Поэтому сложность алгоритма оценивается, как $O(N^{1/4})$. Однако в этой оценке не учитываются накладные расходы по вычислению наибольшего общего делителя. Полученная сложность алгоритма, хотя и не является точной, достаточно хорошо согласуется с практикой.

Справедливо следующее утверждение: пусть $N$ — составное число. Тогда существует такая константа $C$, что для любого положительного числа $\lambda$ вероятность события, состоящего в том, что ρ-алгоритм Полларда не найдет нетривиального делителя $N$ за время $C{\sqrt {\lambda {\sqrt {N}}}}(\log N)^{2}$, не превосходит величины $e^{-\lambda }$. Данное утверждение следует из парадокса дней рождения.

Особенности реализации

Объем памяти, используемый алгоритмом, можно значительно уменьшить.

 int Rho-Поллард (int N)
 { 
   int x = random(1, N-2);
   int y = 1; int i = 0; int stage = 2;
   while (Н.О.Д.(N, abs(x - y)) == 1)
   {
     if (i == stage ){
       y = x;
       stage = stage*2; 
     }
     x = (x*x + 1) (mod N);
     i = i + 1;
   }
   return Н.О.Д(N, abs(x-y));
 }

В этом варианте вычисление требует хранить в памяти всего три переменные $N$, $x$, и $y$, что выгодно отличает алгоритм в такой реализации от других методов факторизации чисел.

Распараллеливание алгоритма

Алгоритм Полларда допускает распараллеливание с использованием как систем с разделяемой памятью, так и систем с распределенной памятью (передача сообщений), однако второй случай является наиболее интересным с практической точки зрения.

Система с распределенной памятью

Существующий метод распалаллеливания заключается в том, что каждый вычислительный узел исполняет один и тот же последовательный алгоритм, однако, исходное число $x_{0}$ и/или полином $F(x)$ берутся различными. Для упрощения распаралеливания, предлагается получать их из генератора случайных чисел. Однако такая параллельная реализация не даёт линейного ускорения.

Предположим что есть $P$ одинаковых исполнителей. Если мы используем $P$ различных последовательностей (т.е. различных полиномов $F(x)$), то вероятность того, что первые $k$ чисел в этих последовательностях будут различными по модулю $p$ будет примерно равна $\exp({-k^{2}P}/{2p})$. Таким образом, максимальное ускорение можно оценить как $P^{1/2}$.

Ричард Крэндалл предположил, что достижимо ускорение $O(P/(log{P})^{2})$, однако данное утверждение пока не проверено.

Система с общей памятью

Предыдущий метод, очевидно, можно использовать и на системах с общей памятью, однако, гораздо разумнее исспользовать единый генератор $F(x)$.

См. также

• P-1 алгоритм Полларда
• P-метод Полларда дискретного логарифмирования
• P+1 алгоритм Уильямса
• Метод пробных делений
• Метод Ферма
• Факторизация с помощью эллиптических кривых
• Общий метод решета числового поля

Литература

• Василенко О. Н. Теоретико-числовые алгоритмы в криптографии. — М.: МЦНМО, 2003. — 328 с. — ISBN 5-94057-103-4.
• Ишмухаметов Ш. Т. Методы факторизации натуральных чисел: Учебное пособие / Захаров В.М.. — Казань: Казанский Университет, 2011. — С. 61-64. — 190 с. — ISBN 978-3-659-17639-5.
• Косяков М.С. Введение в распределенные вычисления / НИУ ИТМО. — СПб., 2014. — 155 с.
• Соловьев Ю.П., Садовничий В.А., Шавгулидзе Е.Т., Белокуров В.В. Эллиптические кривые и современные алгоритмы теории чисел. — М.: Ин-т компьют. исслед., 2003. — 192 с. — ISBN ISBN 5-939722-27-X.
• Brent R.P. Некоторые параллельные алгоритмы факторизации чисел (англ.) = Some parallel algorithms for integer factorization. — 1999. — С. 7. — doi:10.1017/S0305004100049252.
• Brent R.P. An improved Monte Carlo factorization algorithm (англ.) // BIT Numerical Mathematics. — 1980-06-01. — Vol. 20, iss. 2. — P. 176-184. — ISSN 1572-9125. — doi:10.1007/BF01933190.
• Chatterjee S., Sarkar P. Introduction (англ.) // Identity-Based Encryption. — Boston: Springer US, 2008. — ISBN 978-1-59693-238-8.
• Childs, Lindsay N. Congruences // Введение в высшую алгебру = Concrete Introduction to Higher Algebra. — 3-е изд. — USA: Springer, 2009. — С. 471-473. — 603 с. — ISBN 978-0-387-74725-5.
• Chris Christensen. Review of Modern Cryptanalysis: Techniques for Advanced Code Breaking by Christopher Swenson // Cryptologia. — 2009-01-27. — Т. 33, вып. 1. — ISSN 0161-1194. — doi:10.1080/01611190802293397.
• Cormen T.H., Leiserson C.E., Rivest R.L., Stein C. Алгоритмы: построение и анализ = Introduction to algorithms. — 2-е изд. — USA: MIT Press, 2001. — С. 897-907. — 1180 с. — ISBN 9780262032933.
• Crandall R.E. Распараллеливание P-алгоритма факторизации Полларда (англ.) = Parallelization of Polldar-rho factorization. — 1999.
• Koshy T. Congruences // Элементарная теория чисел и ее приложения = Elementary Number Theory with Applications. — 2-е изд. — USA: Academic Press, 2007. — С. 238. — 771 с. — ISBN 9780123724878.
• Kuhn F., Struik R. Random Walks Revisited: Extensions of Pollard’s Rho Algorithm for Computing Multiple Discrete Logarithms (англ.) // Selected Areas in Cryptography / Serge Vaudenay, Amr M.. — Springer Berlin Heidelberg, 2001. — P. 212-229. — ISBN 978-3-540-43066-7, 978-3-540-45537-0. — doi:10.1007/3-540-45537-x_17.
• Mollin R.A. An Introduction to Cryptography / Rosen K.H.. — 2. — London: Chapman and Hall, 2006. — 413 с. — ISBN 9781584886181.
• Pollard J. M. A Monte Carlo method for factorization // BIT Numerical Mathematics. — 1975. — Vol. 15, № 3. — P. 331–334.
• Pollard J.M. Theorems on factorization and primality testing // Mathematical Proceedings of the Cambridge Philosophical Society. — 1974. — Т. 76, вып. 03. — С. 521–528. — ISSN 1469-8064. — doi:10.1017/S0305004100049252.
• Pollard J. M. Методы факторизации и проверка простоты. (англ.) = Theorems on factorization and primality testing. // Математические Труды Кэмбриджского Философского Общества (Mathematical Proceedings of the Cambridge Philosophical Society). — 1974. — Т. 76, № 3. — С. 521. — doi:10.1017/S0305004100049252.
• Reisel, H. Простые числа и компьютерные методы факторизации = Prime Numbers and Computer Methods for Factorization. — 2-е изд. — USA: Springer, 2012. — С. 183. — 464 с. — ISBN 978-0-8176-8297-2.
• Robert W. Floyd. Nondeterministic Algorithms // J. ACM. — 1967. — Т. 14, вып. 4. — С. 636–644. — ISSN 0004-5411. — doi:10.1145/321420.321422.