Gitterbasenreduktion fur beliebige Normen Dissertation zur Erlangung des Doktorgrades der Naturwissenschaften vorgelegt beim Fachbereich Mathematik de

Transkript

1 Gitterbasenreduktion fur beliebige Normen Dissertation zur Erlangung des Doktorgrades der Naturwissenschaften vorgelegt beim Fachbereich Mathematik der Johann Wolfgang Goethe{Universitat in Frankfurt am Main von Michael Kaib 1 aus Frankfurt am Main Frankfurt am Main kaib@csuni-frankfurtde

2 vom Fachbereich Mathematik der Johann Wolfgang Goethe{Universitat als Dissertation angenommen Dekan Gutachter Prof Dr J Bliedtner Prof Dr CP Schnorr Prof Dr B Vallee Datum der Disputation 4 Februar 1995

3 Abstract We generalize the reduction theory of lattice bases to arbitrary norms and show new properties of reduced bases for the generalized reduction concepts We generalize the Gaussian Algorithm for the reduction of two{dimensional lattice bases to arbitrary norms and obtain an universally sharp upper bound on the number of its iterations for all norms We develop a new variant of the Gaussian Algorithm with low bit complexity for special l p -norms Therefore we use the ideas of Schoenhage's fast reduction algorithm for quadratic forms to obtain the rst asymptotically fast centered reduction algorithm for two{dimensional lattice bases

4 Zusammenfassung Wir verallgemeinern die Reduktionstheorie von Gitterbasen fur beliebige Normen Dabei zeigen wir neue Eigenschaften reduzierter Basen fur die verallgemeinerten Reduktionsbegrie Wir verallgemeinern den Gau{Algorithmus zur Reduktion zweidimensionaler Gitterbasen fur alle Normen und erhalten eine universelle scharfe obere Schranke fur die Zahl seiner Iterationen Wir entwickeln fur spezielle l p -Normen eine Variante des Gau{Algorithmus mit niedriger Bit{Komplexitat Hierzu wird Schonhages schneller Reduktionsalgorithmus fur quadratische Formen auf die Reduktion von Gitterbasen im klassischen zentrierten Fall ubertragen

5 Inhaltsverzeichnis Einleitung 3 1 Reduzierte Gitterbasen fur beliebige Normen 9 11 Grundlagen : : : : : : : : : : : : : : : : : : : : : : : : : : : : : : : : 9 1 Die Hohenfunktionen : : : : : : : : : : : : : : : : : : : : : : : : : : : Blockreduzierte Basen : : : : : : : : : : : : : : : : : : : : : : : : : : Gaureduzierte Basen : : : : : : : : : : : : : : : : : : : : : : : : : : 5 Der verallgemeinerte Gau{Algorithmus 31 1 Der Reduktionsschritt : : : : : : : : : : : : : : : : : : : : : : : : : : 31 Vorganger einer wohlgeordneten Basis : : : : : : : : : : : : : : : : : : 3 3 Vorganger einer reduzierten Basis : : : : : : : : : : : : : : : : : : : : 35 4 Norm aufeinanderfolgender Basisvektoren : : : : : : : : : : : : : : : : 37 5 Abschatzung der Anzahl der Iterationen : : : : : : : : : : : : : : : : 40

6 INHALTSVERZEICHNIS 3 Zur Schrittzahl des verallgemeinerten Gau{Algorithmus Eziente Reduktion : : : : : : : : : : : : : : : : : : : : : : : : : : : 50 3 Algorithmen fur die l 1 -unddie l 1 -Norm : : : : : : : : : : : : : : : : 5 31 Ein gewichteter Median{Algorithmus fur die l 1 ;Norm : : : : 5 3 Sortierung der Komponenten fur die l 1 ;Norm : : : : : : : : : 54 4 Verbesserte Bitkomplexitat des Gau{Algorithmus Voruberlegungen zu Bitkomplexitat und Stabilitat : : : : : : : : : : : 58 4 Der schnelle Algorithmus : : : : : : : : : : : : : : : : : : : : : : : : : Beweis der Schrittzahl : : : : : : : : : : : : : : : : : : : : : : : : : : 65 Literaturverzeichnis 71 Symbolverzeichnis 75 Index 76

7 Einleitung Der historische Zugang zu Gittern war das zahlentheoretische Studium der ganzzahligen Gitterpunkte im mehrdimensionalen reellen Raum Die geometrische Betrachtungsweise fuhrte zum Begri " Geometrie der Zahlen\ Allgemeiner versteht man unter einem Gitter jede (durch eine Gitterbasis erzeugte) diskrete additive Untergruppe des R n Die Reduktionstheorie von Gitterbasen hat das Ziel, eine kanonische Basis aus der Menge der Basen eines Gitters auszuwahlen Sie wurde zunachst in der aquivalenten Darstellung quadratischer Formen von Lagrange [La1773], Gau [Ga1801], Dirichlet [Di1850], Hermite [He1850], Korkine und Zolotarev [KZ1873] und Minkowski [Mi1891] entwickelt Die algorithmischen Gesichtspunkte der Gitterbasenreduktion sind in letzter Zeit wieder in das Blickfeld der angewandten Mathematik geruckt Eingeleitet wurde dies durch HW Lenstra's neue Methode zur ganzzahligen Optimierung (198), die im wesentlichen die Berechnung reduzierter Basen von geeigneten Gittern erfordert, wie auch durch den ezienten Reduktionsalgorithmus von Lovasz, den sogenannten L 3 -Algorithmus [LLL8] Inzwischen wurden diese Algorithmen in vielen Bereichen verbessert [S89, SE91] Verwandte Algorithmen zur Berechnung reduzierter Basen fur neue Reduktionsbegrie wurden entwickelt [S87] Daneben wurden neue Anwendungen der Gitterbasenreduktion, zb in der Kryptographie und algorithmischen Zahlentheorie, gefunden [Co&a9, S9] Ein Beispiel fur eine wichtige Anwendung sind die kryptographischen Schemen von Chor, Rivest [CR88] und Damgard, deren Sicherheit auf der Schwierigkeit des Subset{Sum{Problems basiert Mit Subset{Sum{Problem bezeichnet man das NP{ vollstandige Entscheidungsproblem, ob zu gegebenen a 1 ::: a m s N 0 gewisse x 1 ::: x m f0 1g existieren, so da P i x i a i = s Zum Losen dieser Aufgabe genugt die Berechnung eines kurzesten Vektors bezuglich der l 1 -Norm in dem Gitter L Z m+, das von den Vektoren b i = e i +a i e m+1 fur i = 1 ::: m und b m+1 = P m 1 e i +se m+1 + e m+ erzeugt wird (e i bezeichnet den i-ten Einheitsvektor) Fur die Vektoren dieses Gitters gilt namlich k P m+1 i=1 x i b i k 1 = 1 dann und P nur dann, wenn " = 1 x 1 ::: x m f0 "g x m+1 = ;" i x i a i = "s Andere

8 4 Einleitung Beispiele sind das 3-SAT{Problem und das Aussieben von Kongruenzgleichungen in Faktorisierungsalgorithmen Diese Probleme lassen sich durch Berechnung eines kurzesten Vektors geeigneter Gitter bezuglich der l 1 - resp l 1 -Norm losen Kurzlich stellten Lovasz und Scarf eine Variante des L 3 -Algorithmus fur beliebige Normen vor [LS9] Bis dahin war der algorithmische Teil der Gitterbasenreduktion nur fur die euklidische Norm entwickelt Man versuchte gegebenenfalls, die allgemeine Norm durch die euklidische zu approximieren In diesem Zusammenhang zeigte Lenstra, da fur jede Norm ein geeigneter Isomorphismus A von R n berechnet werden kann, so da k x k k Ax k n 1:5 k x k fur alle x R n gilt [Len83] Die teilwiese sehr aufwendigen Approximationstechniken sind jedoch in hohen Dimensionen oft nicht ausreichend, um eine Losung fur ein gegebenes Problem zu berechnen So kann man fur das Subset{Sum{Problem zwar eine groe Klasse der Eingaben durch l -Norm-kurzeste Vektoren des Gitters losen, jedoch bleibt ein schwieriger Teil unzuganglich [Co&a9] Daher erscheint die Verallgemeinerung der Gitterbasenreduktion und ihrer Algorithmen fur beliebige Normen sinnvoll Die bekanntesten Reduktionsbegrie stammen von Gau, Hermite, Minkowski, Lovasz und Schnorr Gau' Reduktionsbegri beschrankt sich auf den zweidimensionalen Fall Die Begrie von Hermite und Lovasz entstanden durch Verallgemeinerung des Gauschen Begries auf beliebige Dimensionen, indem die Dimension durch Projektion verringert wird Dieses Vorgehen ist algorithmisch motiviert Allerdings sind die Algorithmen zur Berechnung Hermite{reduzierter Basen fur hohere Dimensionen nicht praktikabel Daher erklarte Schnorr eine Hierarchie von Reduktionsbegrien, die die Begrie von Hermite und Lovasz als Extremalfalle umfat Diese Begrie wurden bisher fast nur fur die euklidische Norm betrachtet Beliebige Normen hatte nur Minkowski betrachtet Sein Reduktionsbegri ist aber leider nicht algorithmisch motiviert Diese Arbeit hat das Ziel, die algorithmischen Aspekte der Gitterbasenreduktion von der euklidischen Norm auf beliebige Normen zu erweitern Damit wird die von Lovasz und Scarf begonnene Forschungsarbeit fortgesetzt Wir ubertragen im ersten Kapitel die oben genannten Reduktionsbegrie fur allgemeine Normen Unser Augenmerk gilt dabei insbesondere den algorithmisch motivierten Begrien Wir zeigen erstmals die Eigenschaften Schnorr{reduzierter Basen fur beliebige Normen Wesentlich sind hierfur die von Lovasz und Scarf eingefuhrten Hohenfunktionen, die die orthogonalen Projektionen des euklidischen Falles ersetzen Ist b 1 ::: b m eine feste Gitterbasis, so mit die Hohenfunktion F i den Abstand eines Punktes (in der gegebenen Norm) zu dem von b 1 ::: b i;1 aufgespannten Unterraum Das Q Hohenprodukt Fi (b i ) verallgemeinert den euklidischen Begri der Gitterdeterminante Das Hohenprodukt ist im Gegensatz zur Determinante von der speziellen

9 Einleitung 5 Wahl der Basis abhangig Die Verallgemeinerung der bekannten Theorie wird jedoch ermoglicht durch die gitterunabhangigen oberen und unteren Schranken fur den Quotienten aus Hohenprodukt und Determinante, die wir in Lemma 5 zeigen Ein haug verwendetes Ma fur die Reduziertheit einer Gitterbasis sind die sukzessiven Minima i Fur die euklidische Norm ist der Quotient 1 (det L) ;=m nach oben durch die Hermite{Konstante m beschrankt Wir zeigen in Satz 4 die wichtige Ungleichung 1 my ;1=m F i (b i )! m! 1=m i=1 fur alle Normen Wir nennen m das Supremum der linken Seite fur alle Normen und Gitterbasen Es folgt m m Die von der euklidischen Norm bekann- ;1 ten Ungleichungen k b i k = i p i+3 fur mit Blockweite Schnorr{reduzierte Basen erscheinen in Satz 1 in der Form p i+3 ; i;1 m;1 ;1 4 i +3 ; i;1 ;1 k b i k = i i +1 4 m;1 ;1 : Zum Abschlu des ersten Kapitels werden scharfere Resultate fur den zweidimensionalen Fall gezeigt Gau{reduzierte Basen werden deniert Ihre Eigenschaften werden in den Satzen 18 und 19 gezeigt Wir analysieren Algorithmen fur den zweidimensionalen Fall Der Gau{ Algorithmus erhalt als Eingabe eine Gitterbasis (a b) und ndet eine reduzierte Basis desselben Gitters aus Vektoren, deren Normen die sukzessiven Minima sind Er fuhrt hierzu Reduktionsschritte der Art (a b) 7! ((b ; a) a) aus, wobei Z die Norm k b ; a k minimiert Das zweite Kapitel verallgemeinert den Gau{Algorithmus von der euklidischen auf beliebige Normen Wir zeigen fur die Anzahl seiner Reduktionsschritte die obere Schranke log 1+ p ( p B) + o(1) fur B! 1, wobei B der Quotient aus der Norm des langsten Eingabevektors und dem zweiten sukzessiven Minimum des Gitters ist (Satz 31) Fur jede Norm und

10 6 Einleitung jedes Gitter gibt es eine Folge von Eingabebasen, die diese Schranke bis auf maximal 1393 Iterationen erreicht (Satz 3) Die worst{case{eingaben erfullen dieselbe Rekursion wie sie schon Dupre in seiner Analyse des zentrierten euklidischen Algorithmus entdeckte [Du1846] Somit werden die scharfen Schranken von Vallee [Va91] fur beliebige Normen gezeigt Sehr hilfreich ist die von Vallee eingefuhrte Denition wohlgeordneter Basen, die wir auf den Fall beliebiger Normen ubertragen Wir charakterisieren in Lemma 4 die Vorgangerbasen einer wohlgeordneten Gitterbasis unabhangig von der Norm Im dritten Kapitel analysieren wir die Schrittzahl des verallgemeinerten Gau{ Algorithmus fur das RAM{Modell Wir zeigen in Satz 33 die obere Schranke von O(n log (n + = 1 ) + log B) arithmetischen Schritten und O(log (n + = 1 )) Normberechnungen (n ist die Dimension der Eingabevektoren) Fur die l 1 - und l 1 -Norm werden eziente Algorithmen zur Durchfuhrung des Reduktionsschrittes angegeben Dies ergibt eine Verbesserung der soeben genannten Schranke fur diese beiden speziellen Normen auf O(n log n + log B) arithmetische Schritte Im letzten Kapitel stellen wir zum ersten Mal eine Variante des Gau{Algorithmus fur die l 1 -, l -undl 1 -Norm mit niedriger Bitkomplexitat vor Es bezeichne M(B) eine obere Schranke fur die Bitoperationen zur Multiplikation von B-Bit{Zahlen Der Algorithmus benotigt hochstens O((n+log B)M(B)) Bitoperationen fur die l - Norm und hochstens O(nM(B)log B) bzwo(n log n M(B)log B) Bitoperationen fur die l 1 - bzw l 1 -Norm bei Eingabe von Vektoren a b Z mit Norm hochstens B Dadurch werden die schnellen Algorithmen von Schonhage [Sh71, Sh91] auf den zentrierten Fall und auf verschiedene Normen erweitert Wie bei Lehmer [Leh38] und Schonhage wird der grote Teil der arithmetischen Operationen nur auf den fuhrenden Stellen der ganzen Zahlen ausgefuhrt Wir ubertragen diese Ideen erstmals auf die Gau{Reduktion im zentrierten Fall Unsere neue Uberlegung ist, da die Schritte des Gau{Algorithmus stabil bleiben, solange der Approximationsfehler 1 der Norm des bislang kurzeren Basisvektors 1 nicht ubersteigt Dieses Ergebnis gilt fur alle Normen Weiter verwenden wir die genauen Analysen der Reduktionsschritte aus dem zweiten Kapitel Der Approximationsfehler wird im Algorithmus durch den Abstieg, die Dierenz aus Eingabeund Ausgabegroe, kontrolliert Der Algorithmus vollzieht nachschonhages Vorbild zwei rekursive Aufrufe von etwa halber Genauigkeit Ich mochte mich insbesondere bei meinem Lehrer, Professor Claus Schnorr, fur viele fachliche Hinweise und fruchtbare Diskussionen und fur die umfassende Ausbildung

11 Einleitung 7 bedanken, an deren Abschlu diese Arbeit steht Weiter mochte ich mich fur hilfreiche Diskussionen besonders bei Brigitte Vallee (Caen), Herve Daude (Marseille) und Arnold Schonhage (Bonn) bedanken

12

13 Kapitel 1 Reduzierte Gitterbasen fur beliebige Normen Wir entwickeln in diesem Kapitel Reduktionskonzepte fur verschiedene Normen Die Begrie blockreduzierter und Gau{reduzierter Basen werden von der euklidischen auf beliebige Normen ubertragen Die fur die euklidische Norm bekannten Ergebnisse entstehen dabei fur beliebige Normen in veranderter Form und in neuem Licht 11 Grundlagen Gitter sind diskrete additive Untergruppen L R n Ein linear unabhangiges Erzeugendensystem eines Gitters L heit Basis von L Jedes Gitter besitzt eine Basis Umgekehrt ist jede von endlich vielen linear unabhangigen Vektoren erzeugte Gruppe diskret, also ein Gitter Der Rang eines Gitters ist die Anzahl der Vektoren einer Basis Ein System von k Gittervektoren b 1 ::: b k heit primitives System fur das Gitter L, wenn sich b 1 ::: b k zu einer Basis von L erganzen lassen Ein System b 1 ::: b k ist genau dann primitiv, wenn span(b 1 ::: b k ) \ L = Zb 1 + :::+ Zb k : Sei eine beliebige Norm k : k auf R n gegeben Wir bezeichnen mit B c = fx R n j k x ; c k g die Kugel mit Radius um c Auf R n ist die Diskretheit einer Menge unabhangig von der speziellen Wahl der Norm In jeder Kugel konnen nur endlich viele Gittervektoren liegen Wir denieren

14 10 1 Reduzierte Gitterbasen fur beliebige Normen Denition 1 Das i{te sukzessive Minimum i des Gitters L bezuglich der Norm k : k ist der minimale Radius einer Kugel um 0, die i linear unabhangige Gittervektoren enthalt: i = inff j dim span L \ B 0 ig : Insbesondere ist = 1 (L) die kurzeste positive Lange eines Vektors im Gitter L Ist x L mit k x k =, so heit x ein kurzester Gittervektor Ziel der Gitterbasenreduktion ist es, mit ezienten Algorithmen eine gegebene Gitterbasis in eine Basis desselben Gitters zu transformieren, deren Vektoren moglichst gut die sukzessiven Minima approximieren Solche Basen nennt man reduzierte Basen Sie wurden zuerst fur die Dimensionen und 3 von Lagrange [La1773], Gau [Ga1801] und Dirichlet [Di1850] studiert Die grundlegenden Arbeiten fur beliebige Dimensionen stammen von Hermite [He1850], Korkine und Zolotarev [KZ1873], Minkowski [Mi1891], Lovasz ea [LLL8, LS9] und von Schnorr [S87] Der naheliegendste, aber nicht algorithmisch motivierte Begri stammt von Minkowski: Denition Eine Gitterbasis b 1 ::: b m heit reduziert im Sinne von Minkowski, wenn jeweils b k der kurzeste unter allen Gittervektoren ist, die mit b 1 ::: b k;1 ein primitives System bilden (k =1 ::: m) : Die algorithmischen Aspekte der Gitterbasenreduktion in den oben genannten Arbeiten beschrankten sich (bis auf [LS9]) auf die euklidische Norm k x k = q Pni=i x i Diese ist dafur besonders geeignet, ua wegen ihrer Rotationssymmetrie sowie einfachen Berechnungen von Winkeln und Projektionen mithilfe von Skalarprodukten Wir werden die wichtigsten Reduktionsbegrie fur beliebige Normen verallgemeinern Wir konnen die speziellen Eigenschaften der euklidischen Norm nicht mehr nutzen, sondern alleine die Denition 1 k x k > 0fur alle x R n ;f0g (Positivitat) k x k = jj k x k fur alle R und alle x R n (Symmetrie, Linearitat) 3 k x + y k k x k + k y k fur alle x y R n (Konvexitat) Die Kugel B = B 1 0 ist eine kompakte konvexe nullsymmetrische Menge von positivem Volumen Umgekehrt deniert jede solche Menge B eine Norm durch die Setzung k x k = inff j x Bg Von besonderer Bedeutung bleiben die l p ;Normen, die durch k x k p =( P n i=1 jx i j p ) 1=p fur 1 p<1 und durch k x k 1 = max n i=1 jx i j deniert sind

15 1 Die Hohenfunktionen 11 Nicht jedes Gitter besitzt eine Basis aus Vektoren, deren Normen die sukzessiven Minima sind Es kann in hinreichend groen Dimensionen vorkommen, da ein primitives System von Gittervektoren durch Hinzunahme eines linear unabhangigen Vektors von minimaler Norm seine Primitivitat verliert Ein Beispiel hierfur ist das von den Einheitsvektoren e 1 ::: e n R n und x = 1 P ni=1 e i erzeugte Gitter Ist n> p,sogiltinderl p ;Norm 1 = :::= n =1Die n Einheitsvektoren sind die einzigen Gittervektoren mit Norm 1, erzeugen das Gitter aber nicht Von Mahler [Ma38] und H Weyl [We4] stammt folgendes Resultat uber die Approximation der sukzessiven Minima durch Minkowski{reduzierte Basen fur beliebige Normen: Satz 3 Fur jede Minkowski{reduzierte Basis b 1 ::: b m R n eines Gitters L gilt 1 k b i k = i (L) 3 i; : Eine schone Darstellung der nicht algorithmischen Gittertheorie fur beliebige Normen ndet man zum Beispiel in dem Buch von Gruber und Lekkerkerker [GL87] Wir suchen jetzt neue Reduktionsbegrie, fur die die Normen der Basisvektoren moglichst gute Approximationen der sukzessiven Minima sind und sich eine reduzierte Basis " ezient\ berechnen lat Das zweite Ziel ist Gegenstand der nachsten Kapitel, wobei wir uns auf Gitter vom Rang beschranken werden Im weiteren Verlauf dieses Kapitels verallgemeinern wir zunachst die Denitionen reduzierter Basen im Sinne von Korkine, Zolotarev und Hermite [He1850, KZ1873] und von Schnorr [S87] fur beliebige Normen Wir beweisen, da diese Basen die sukzessiven Minima besser approximieren als dies von im Sinne von Minkowski reduzierten Basen bekannt ist 1 Die Hohenfunktionen Sei im folgenden b 1 ::: b m R n eine feste, geordnete Gitterbasis Wir denieren zu dieser Basis die Hohenfunktionen F i : R n ;! R bezuglich der gegebenen Norm und Basis durch F 1 (x) =k x k und fur i m durch F i (x) = min 1 ::: i;1 R k x ; ( 1b 1 + :::+ i;1 b i;1 ) k = min R F i;1(x ; b i;1 ) :

16 1 1 Reduzierte Gitterbasen fur beliebige Normen Die Hohe F i eines Vektors ist sein Abstand zu dem von b 1 ::: b i;1 erzeugten Unterraum Man rechnet leicht nach, da jede Hohenfunktion F i eine Norm auf span fb i ::: b m g ist Die Hohen der Basisvektoren approximieren die Norm des kurzesten Gittervektors: Satz 4 Fur jede Basis b 1 ::: b m R n eines Gitters L gilt min F i(b i ) 1 (L) m! i=1 ::: m my 1=m F i (b i )! : i=1 Bevor wir Satz 4 beweisen, veranschaulichen wir seine Bedeutung am Beispiel der euklidischen Norm Dort ist das Produkt der Hohen Q F i (b i ) das Volumen des von den Basisvektoren b 1 ::: b m aufgespannten Parallelepipeds, also nach Denition die Determinante det L des Gitters L = Zb Zb m Die Hermite{Konstante m wird deniert als Supremum des Ausdruckes 1 (det L) ;=m fur alle Gitter vom Rang m Man kennt die expliziten Werte von m fur 1 m 8 und fur m!1 die asymptotischen Schranken m e (1 + o(1)) m m 1:14e (1 + o(1)) : Satz 4 erlaubt, in Analogie fur beliebige Normen kk auf R m die Konstante m kk zu denieren als Supremum m kk = sup 1 (Zb Zb m ) b 1 ::: bm Basis vonrm my i=1 F i (b i )! ;1=m (11) und m = sup m kk als Supremum von m kk uber alle Normen kk auf R m Dann ist m = m kk, m kk m und, wegen Satz 4, m m! 1=m, also gilt p m m m! 1=m : Dadurch wird den Hohen, die wesentlich fur die algorithmische Theorie sind, fur alle Normen eine ahnlich zentrale Rolle wie bei der euklidischen Norm zuerkannt Das wirkliche asymptotische Verhalten der -Konstanten fur m!1 bleibt ein oenes Problem Unsere obere Schranke ist etwa das Quadrat der unteren: r m e (1 + o(1)) m m e (1 + o(1)) :

17 1 Die Hohenfunktionen 13 Wir werden im weiteren nur die Konstanten m verwenden, weil wir im nachsten Abschnitt beim Beweis von Satz 1 zu einer Blockweite\ m eine simultane " Schranke fur F1 ::: Fm; benotigen Im allgemeinen Fall sind die Normen F 1 ::: F m; auf -dimensionalen Unterraumen verschieden Wir betrachten zunachst ein Beispiel fur die l 1 -Norm Sei b 1 ::: b m R m die durch b i = e i + :::+ e m konstruierte Basis von L = Z m, wobei e j R m der j- te Einheitsvektor ist b r = e r rb 1 6 ; ; ;; ; ;; r r r 0 kk= 1 r r r kk=1 e 1 Abbildung 11: Beispiel fur m= Daraus folgt F i (b i ) = 1 fur i, und mithin ist m m;1 m somit Aus dem Satz folgt = p : (1) Weiter folgt, da m fur m 8 groer ist als die untere Schranke p m Durch Erweiterung dieser Konstruktion erhalten wir auf Seite 16 die allgemeinere Ungleichung m+1 m+1 m m Man sieht an diesem Beispiel auch, da das Hohenprodukt im Gegensatz zur Determinante von der Wahl der Basis abhangen kann, denn die Basis e 1 ::: e m von L = Z m hat Hohenprodukt 1 Es gilt aber die zentrale Ungleichung: Lemma 5 Fur jede Basis b 1 ::: b m R n gilt m m! V m Q i F i (b i ) det L m V m wobei V m =vol m (B 1 0 \ span L) = vol m fx span L j k x k1 g :

18 14 1 Reduzierte Gitterbasen fur beliebige Normen Aus dem Lemma folgt fur zwei verschiedene Basen b 1 ::: b m und ~ b 1 ::: ~ b m desselben Gitters mit den korrespondierenden Hohenfunktionen F i ~F i die Ungleichung my i=1 F i (b i ) = my i=1 ~F i ( ~ b i ) m! : (13) Beweis des Lemmas Bezeichne V i fur i = 1 ::: m das i-dimensionale Volumen von B 1 0 \ spanfb 1 ::: b i g und ^b 1 ::: ^b m die zu b 1 ::: b m korrespondierende orthogonale Basis bezuglich des Standardskalarproduktes, so da det L = k ^b 1 k k^b m k Wir beweisen die Ungleichungen durch Induktion uber die Dimension m Wir schreiben zunachst V m als Integration in Richtung ^b m : 6 ^b m F m(bm) b m F m(bm) 0 - span(b 1 ::: b m;1 ) 6 Integrationsweg V m;1 V m H( k^b mk F m(bm) ) Abbildung 1: Abschatzung des Kugelvolumens V m V m = Z1 ;1 v(r) dr wobei dann v(r) dasvolumen des Schnittes von B 1 0 mit der anen Hyperebene H(r) = f x spanl j <x ^b m > = r k ^b m k g ist (vgl Abb 1) Es gilt v(0) = V m;1 Weiter gilt fur alle x H(r), da k x k F m (x) = r k ^b m k ;1 F m (^b m ) :

19 1 Die Hohenfunktionen 15 Da F m (^b m )=F m (b m ) folgt fur jrj > ^r := k ^b m k =F m (b m ), da k x k > 1 und mithin v(r) = 0 Wegen Konvexitat und Nullsymmetrie enthalt B 1 0 eine m- dimensionale Pyramide mit Grundache B 1 0 \ span(b 1 ::: b m;1 ) und Spitzen in H(^r) Dh, fur jrj^r gelten die Ungleichungen 1 ; jrj! m;1 V m;1 v(r) V m;1 : ^r Die Auswertung des Integrales ergibt m k ^b m k F m (b m ) V m;1 V m k ^b m k F m (b m ) V m;1 woraus induktiv die Behauptung folgt Man ndet die rechte Ungleichung des Lemmas fur das Gitter L = Z n Lovasz und Scarf [LS9] (Seite 755, Gleichung 5) bereits bei Beweis von Satz 4 Zum Beweis der linken Ungleichung sei b = r 1 b 1 + :::+ r k b k eine Darstellung eines kurzesten Gittervektors b mit r 1 ::: r k Z wobei r k 6= 0 Dann ist 1 = k b k F k (b) = jr k j F k (b k ) F k (b k ) : Zum Beweis der rechten Ungleichung zeigen wir zunachst:! m 1 V m det L: (14) Die linke Seite ist das Volumen einer Kugel mit Radius 1 =, die rechte Seite das Volumen des von den Basisvektoren aufgespannten Parallelepipeds Zentriert man in jedem Gitterpunkt eine Kugel vom Radius 1 =, so hat der Schnitt von jeweils zweien das m-dimensionale Volumen 0 Hangt man an jeden Gitterpunkt ein von den Basisvektoren aufgespanntes Parallelepiped, so hat der Schnitt von jeweils zweien auch das Volumen 0 Ihre Vereinigung ist jedoch ganz spanl, also gilt Ungleichung 14 Unter Verwendung der linken Ungleichung aus dem Lemma folgt jetzt die Behauptung:

20 16 1 Reduzierte Gitterbasen fur beliebige Normen m 1 m det L V m m! my i=1 F i (b i ) : Ungleichung 14 wird auch als " erster Satz von Minkowski\ bezeichnet Es gilt sogar der noch scharfere " zweite Satz von Minkowski\: det L m! 1 m m V m det L : (15) Daraus folgt zusammen mit dem Lemma eine Verscharfung der oberen Schranke von Satz 4: Satz 6 Fur jede Basis b 1 ::: b m R n eines Gitters L gilt 1 m! my F i (b i ) 1 m m! i=1 my i=1 F i (b i ) : Wir benotigen zum Beweis von Satz 1 im nachsten Abschnitt noch die folgende schwache Monotonieeigenschaft der -Konstanten: Lemma 7 Fur m 1 ist m+1 m+1 m m Beweis Zu jedem < 1 gibt es eine geordnete Basis b 1 ::: b m eines Gitters L und eine Norm kk, so da 1 (L) m = Q i F i (b i ) m m Wir konnen ohne Einschrankung der Allgemeinheit annehmen, da L spanfe 1 ::: e m g R m+1 Sei b L ein kurzester Gittervektor mit Norm 1 Wir konstruieren eine Basis ~ b1 ::: ~ b m+1 eines Gitters ~L R m+1 durch ~ b i = b i fur i = 1 ::: m und ~ bm+1 = 1 e m b und denieren auf Rm+1 = spanfe 1 ::: e m+1 g eine Norm kk durch k m+1 X i=1 X x i e i k := k m x i e i k + jx m+1 j : i=1 Dann gilt einerseits ~F m+1 ( ~ b m+1 ) = 1 = Andererseits gilt fur jeden Gittervektor ~x = P m+1 i=1 x i ~ bi ~ L ; 0, da k ~x k 1 Dies ist oensichtlich fur jx m+1 j 6= 1

21 13 Blockreduzierte Basen 17 Fur jx m+1 j = 1 ist k ~x k = k x 1 b k + 1 1, da x = P m i=1 x i b i L ; 0 Folglich ist 1 (~L) = 1 (L) = 1, also gilt m+1 m+1 m+1 1 ~F 1 ( ~ b 1 ) ~F m+1 ( ~ b m+1 ) m m : Daraus folgt das Lemma mit! 1 Die Hohenfunktionen fuhren zu einem starkeren Reduktionsbegri, der auf Hermite, Korkine und Zolotarev zuruckgeht: Denition 8 Eine Basis b 1 ::: b m R n heit Hermite{reduziert, wenn fur i =1 ::: m gilt F i (b i ) = minff i (b) j b Zb i + :::+ Zb m ; 0 g F j (b i ) F j (b i b j ) fur alle j <i Die folgende Uberlegung zeigt, da jedes Gitter eine Hermite{reduzierte Basis besitzt Sei eine beliebige Gitterbasis ~ b1 ::: ~ b m gegeben Da die i-te Hohe eine Norm auf spanf ~ b i ::: ~ b m g ist, gibt es einen minimalen Gittervektor b i in Z ~ b i + :::+ Z ~ b m Die Vektoren b 1 ::: b m bilden eine Basis des Gitters Andernfalls gabe es namlich einen Gittervektor b = 1 b 1 + :::+ i b i mit 0 < i < 1, fur den F i (b) = i F i (b i ) <F i (b i ) gelte, im Widerspruch zur Minimalitat von F i (b i ) Lovasz und Scarf haben fur allgemeine Normen gezeigt [LS9], da die Normen der Basisvektoren einer solchen Basis die sukzessiven Minima in folgender Gute approximieren: Satz 9 Fur jede Hermite{reduzierte Basis b 1 ::: b m R n eines Gitters L gilt i +1 k b i k = i i +1 : 13 Blockreduzierte Basen Man kennt selbst fur die euklidische Norm keine Algorithmen, die eine gegebene Basis in eine Hermite{reduzierte Basis desselben Gitters in polynomial in der Dimension m vielen Schritten transformieren Wir haben in der Einleitung gesehen,

22 18 1 Reduzierte Gitterbasen fur beliebige Normen da fur die l 1 -Norm das Entscheidungsproblem, ob ein durch eine Basis gegebenes Gitter einen Vektor von Norm 1 enthalt, sogar NP{vollstandig ist Somit ist nicht zu hoen, da es Polynomialzeitalgorithmen zur Hermite{Reduktion gibt Wir suchen Reduktionsbegrie, fur die sich reduzierte Basen ezient berechnen lassen Von Schnorr stammt der Begri blockreduzierter Basen [S87], der sich in der Praxis bewahrt [SE91, Co&a9] Sei eine ganze Zahl, die Denition 10 Eine Basis b 1 ::: b m R n wenn fur i =1 ::: m gilt heit -blockreduziert, F i (b i ) = minff i (b) j b Zb i + :::+ Zb min(i+;1 m) ; 0 g F j (b i ) F j (b i b j ) fur alle j <i Fur = 1 ist die erste Bedingung leer Wir nennen eine solche Basis, die die zweite Bedingung erfullt, langenreduziert Eine Basis b 1 ::: b m ist genau dann - blockreduziert, wenn sie langenreduziert ist und alle Blocke b i ::: b i+j von jeweils j + 1 aufeinanderfolgenden Vektoren Hermite{reduziert sind bezuglich der Norm F i fur j < i+j m ImFalle = m sind blockreduzierte Basen Hermite{reduziert Im Falle = nennen wir sie Lovasz{reduziert, weil solche Basen erstmals von Lenstra, Lenstra und Lovsaz eingefuhrt wurden [LLL8] und von Lovasz und Scarf fur allgemeine Normen untersucht wurden [LS9] Fur den klassischen Fall der euklidischen Norm kennt man fur -blockreduzierte Basen b 1 ::: b m R n eines Gitters L die Ungleichungen von Schnorr [S87, S94] k b 1 k m;1 ;1 l 1 (L) (16) fur ; 1 j m ; 1 sowie p ; i;1 ;1 i +3 k b i k = i p i +3 m;1 ;1 (17) Dabei bezeichnen wir mit k l das Supremum des Quotienten k b 1 k=f k (b k ) uber alle Hermite{reduzierten Gitterbasen b 1 ::: b k fur die l -Norm Sei k das Supremum desselben Quotienten uber alle Hermite{reduzierten Gitterbasen b 1 ::: b k und alle Normen Es gilt stets k k+1 Ist namlich die Basis b 1 ::: b k spanfe 1 ::: e k g R k+1 Hermite{reduziert bezuglich der Norm kk, so ist die Basis b 0 ::: b k R k+1 mit b 0 = 1 e k+1 Hermite{reduziert bezuglich der Norm P k m P x i b i k := max(k m x i b i k jx 0 j 1 ) Wir verallgemeinern zunachst Unglei- i=0 i=1 chung 16 auf den Fall beliebiger Normen:

23 13 Blockreduzierte Basen 19 Satz 11 Fur jede -blockreduzierte Basis b 1 ::: b m R n eines Gitters L gilt k b 1 k d m;1 ;1 e 1 (L) : Beweis Bezeichne h i := F i (b i ) fur i = 1 ::: m und sei f1 ::: mg so gewahlt, da h =minh i Aus Satz 4 folgt dann h 1 Die Basen b i ::: b i+j sind Hermite{reduziert bezuglich der Norm F i fur 0 j < i + j m Wegen der Monotonie der k gelten die Ungleichungen h i h i+j fur 0 j < i + j m Somit ist h 1 h 1+(;1) ::: b ;1 ;1 c h 1+b ;1 d ;1 ;1 c(;1) ;1 e h : Die Gute des Satzes hangt von der unbekannten Groe ab Aus Satz 19 dieses Kapitels folgt = Fur k gilt die folgende Abschatzung von Schnorr [S87, S94p]: k l k 1+log k k k(k ; 1) log (k;1) : (18) Einsetzen dieser Schranken in Ungleichung 16 bzw Satz 11 ergibt die Schranken m log m O( ) 1, die schwacher sind als Ungleichung 17 Wir verallgemeinern k b 1 km Ungleichung 17 fur beliebige Normen: Satz 1 Fur jede -blockreduzierte Basis b 1 ::: b m R n eines Gitters L gilt i m : 4 i;1 i+1 ; ;1 1 i : i+1 9 >= > k b i k i 8 >< >: i+1 4 m;1 ;1 : 1 i m i+1 : m ; +1 i m : Beweis Der Beweis gliedert sich zunachst in zwei Lemmata, aus denen die rechte Ungleichung des Satzes fur i = 1 folgt:

24 0 1 Reduzierte Gitterbasen fur beliebige Normen Lemma 13 Fur jede -blockreduzierte Basis b 1 ::: b m R n eines Gitters L gilt k b 1 k ;1 Y i=1 i i 1 A (;1) m; ;1 m;1 max F i (b i ) : i=m;+1 Beweis Bezeichne h i = F i (b i ) die i-te Hohe Nach Denition gelten die Ungleichungen h i 1 i i h 1 h i fur i =1 ::: ; 1 und h i h i h i+;1 fur i =1 ::: m; : Multiplikation dieser Gleichungen ergibt h ( +1 ) 1 h h m; 1 1 ;1 ;1 (m;) h 1 h h m;h ;1 m;+1 h 1 m;1 woraus durch Kurzen folgt h ( ) ;1 ;1 (m;) 1 1 ;1 ;1 (m;) h ;1 m;+1 h 1 m;1 ( m;1 max i=m;+1 F i(b i ) ) : Lemma 14 Fur jede -blockreduzierte Basis b 1 ::: b m R n eines Gitters L gilt k b 1 k ;1 Y i=1 i i 1 A (;1) m; ;1 1 (L) : Beweis Die Behauptung folgt mittels Induktion uber m aus Lemma 13 Fur m = gilt die Behauptung nach Denition 10 Sei jetzt b = r 1 b 1 + :::+ r m b m ein kurzester Gittervektor Fur r m = 0, folgt die Behauptung aus der Induktionsannahme Andernfalls gilt fur m ; +1 i m die Ungleichung 1 (L) = k b k F i (b) F i (b i )

25 13 Blockreduzierte Basen 1 und die Behauptung folgt aus Lemma 13 Durch sukzessive Anwendung von Lemma 7 folgt aus Lemma 14 die 1 Ungleichung des Satzes: k b 1 k 1 m;1 ;1 1 (L) : (19) Beweis der rechten Ungleichung von Satz 1 Fur jedes j m ist die Basis b j ::: b m -blockreduziert bezuglich der Norm F j Also gilt F j (b j )= 1 Fj (Zb j + :::+ Zb m ) fur m ; +1 j m und, wegen Ungleichung 19: F j (b j ) 1 m;1 ;1 1 Fj (Zb j + :::+ Zb m ) : fur 1 i m Weiterhin gilt 1 Fj (Zb j + :::+ Zb m ) j (L) i (L) fur j i Die obere Schranke folgt jetzt aus der Ungleichung k b i k F i (b i ) + 1 Xi;1 j=1 F j (b j ) : (110) Wir zeigen die Gultigkeit von Ungleichung 110 fur jede langenreduzierte Basis: Sei F j (b i + 0 b j ) = min R F j (b i + b j ) = F j+1 (b i ) Aus F j (b i ) F j (b i b j ) fur j <i folgt F j (b i ) = min Z F j(b i + b j ) F j (b i + b 0 eb j ) = F j (b i + 0 b j + (b 0 e; 0 ) b j ) F j+1 (b i )+ 1 F j(b j ) da fur F j die Dreieckungleichung gilt Sukzessive Anwendung dieser Ungleichung fur j =1 ::: i; 1 beweist Ungleichung 110 Beweis der linken Ungleichung von Satz 1 Nach Denition der sukzessiven Minima und Ungleichung 110 gilt i i max j=1 k b j k i +1 i max j=1 F j(b j ) :

26 1 Reduzierte Gitterbasen fur beliebige Normen Die Behauptung folgt jetzt aus den Ungleichungen F j (b j ) kb i k fur i ; +1 j i und F j (b j ) 1 i;j ;1 k b i k fur 1 j <i: (111) Die Ungleichungen 111 folgen unmittelbar: Jede Basis b j ::: b i ist namlich - blockreduziert bezuglich der Norm F j Also beschrankt Lemma 13 die vorderen Hohen fur 1 j i ; +1 in folgender Weise durch die hinteren: F j (b j ) 1 i;j ;1 i;1 max F h (b h ) : h=i;+1 Die hinteren Hohen erfullen fur i ; +1 j i nach Denition 10 die Ungleichungen F j (b j ) F j (b i ) k b i k : Bemerkungen A p Fur = folgt aus Satz 1 mit = (Ungl 1) die Schranke k b 1 k m; 1 Das verscharft sogar leicht die Schranke k b 1 k m;1 1 von Lovasz und Scarf [LS9], Th B Durch Anwendung von Ungleichung 114 auf das von b i ::: b m erzeugte Gitter bezuglich der Norm F i folgen fur die Hohen einer -blockreduzierten Basis die Ungleichungen F i (b i )= i 8 >< >: 1 m;i ;1 fur i m ;, 1 fur i>m; (11) Diese Ungleichungen gelten unabhangig von den Langenreduktionsbedingungen F j (b j ) F j (b i b j ) C Es gibt fur jede Norm kkein Ellipsoid E, so da in der korrespondierenden Norm kk E fur alle x R n gilt [Jo48] k x k E k x k p nk x k E :

27 13 Blockreduzierte Basen 3 Daraus folgt fur fur eine bezuglich kk E -blockreduzierte Basis b 1 ::: b m 1 n p ; i;1 ;1 i +3 k b i k = i kk n p i +3 m;1 ;1 : D Unsere oberen Schranken fur die -Konstanten aus Satz 4 liefern im Vergleich etwas schwachere absolute Schranken als die absoluten oberen Schranken fur die Hermite-Konstanten Verwendet man im Beweis von Satz 1 zur Abschatzung des Produktes der -Konstanten aus Lemma 14 die obere Schranke aus Satz 4, so erhalt man fur alle -blockreduzierten Basen b 1 ::: b m die Ungleichungen p e i +1! ; i;1 ;1 < k b i k = i < p e i +1! m;1 ;1 : (113) Beweis der Ungleichungen 113 1!(;1)! (;1) Sei P () =! ;1 ; log P () = (;1) (;1) X 0 i= Z 1 (i ; 1) log i (x ; 1) log x dx + = log ; log ( ; 1) ; X i= Dann ist (i;1) log i ; (i;) log (i;1) > log ; 1 und somit ist P () < p e= Also folgt aus Lemma 14 unter Verwendung von k k k!(satz 4): 1 C A k b 1 k P ()! m;1 ;1 1 (L) < p e! m;1 ;1 1 (L) : (114) Die Ungleichungen 113 folgen jetzt durch Verwendung von Ungleichung 114 anstelle von Ungleichung 19 im Beweis von Satz 1 E Fur i>e ; 1 =log lassen sich dieschranken 113 folgendermaen verscharfen: Wir setzen Ungleichung 11 in Ungleichung 110 ein, werten das Resultat mit der geometrischen Summenformel aus und erhalten m 1+(B ; )=Bi k b i k P () B (B ; 1) P () (B ; 1) Bm i i

28 4 1 Reduzierte Gitterbasen fur beliebige Normen wobei B =! (;1) Wirwenden die geometrische Summenformel in gleicher Weise im Beweis der linken Unlgeichung an Mit etwas Muhe erhalten wir die Abschatzung, woraus dann folgt: P () B;1 < 1 log log! ; i ;1 < k b i k = i < 1 log! m ;1 : (115) F Fur > (m ; ) log (m ; ) + 1 lassen sich die Ungleichungen 19 bzw 114, und damit die bisher genannten Schranken folgendermaen verscharfen: Fur jedes k gelten die Ungleichungen h i 1 k k h 1 h i fur i =1 ::: k; 1 und h k i k k h i h i+k;1 fur i =1 ::: m; : Daraus erhalten wir wie im Beweis von Lemma 13 und Ungleichung 114 die Ungleichung k b 1 k < p e k k! k m;+k;1 k;1 1 (L) (m ; +1) 1+o(1) 1 (L) (116) wobei im letzten Schritt k = d(m ; ) log (m ; )+1e gesetzt wurde G Ist ein konstanter Bruchteil von m, so ist die Schranke von Satz 1 polynomial in m Algorithmen zur Blockreduktion Fur die euklidische Norm gibt es einen polynomialzeit{algorithmus zur Berechnung einer semi{blockreduzierten Basis (fur feste Blockgroe ) von Schnorr [S87] An gleicher Stelle ndet man einen ezienten Algorithmus zur Blockreduktion, der von Schnorr und Euchner praktisch verbessert und zum Losen von Subset{Sum{Problemen erfolgreich eingesetzt wurde [SE91] Ritter entwickelte und analysierte Varianten des Algorithmus zur Berechnung eines kurzesten Gittervektors in anderen Normen, die besonders ezient fur die l 1 -Norm sind [R94], und die zu einem Blockreduktions{Algorithmus fur beliebige Normen fuhren [KR94]

29 14 Gaureduzierte Basen 5 14 Gaureduzierte Basen Wir verstehen die Geometrie in niedrigen Dimensionen wesentlich besser als in hoheren Vermutlich studierten deshalb Lagrange, Gau und Dirichlet bei der Entwicklung der Reduktionsbegrie fur die euklidische Norm nur die Dimensionen zwei und drei Wie wir sehen werden, uberblicken wir in Dimension zwei auchfur beliebige Normen den Gauschen Algorithmus und die in ihm auftretenden Begrie Wir nutzen fur beliebige Normen kk haug die Konvexitat der Funktion k F () k fur jede Gerade F : R! R n : 7! a + b in folgender Schluweise: Lemma 15 Sei F : R! R n eine Gerade in R n und 1 1 R mit 1 < 1 < 1 1 : Dann folgt aus k F ( 1 ) k k F ( ) k die Ungleichung k F ( 1 ) k k F ( ) k und aus k F ( 1 ) k < k F ( ) k die Ungleichung k F ( 1 ) k < k F ( ) k Meistens verwenden wir Lemma 15 im Fall 1 =0und = 1 Auerdem benotigen wir die folgende elementare Schluweise: Lemma 16 Sei M eine abgeschlossene Menge in R n und 0 = M Dann nimmt die Norm ihr Minimum auf M auf dem Rand von M an Sei im folgenden L = Za + Zb R n ein Gitter vom Rang mit Basis a b Wir denieren reduzierte und wohlgeordnete Basen, die fur die Analyse des verallgemeinerten Gau{Algorithmus im nachsten Kapitel wesentlich sind Damit werden diese auf Gau [Ga1801] undvallee [Va91] zuruckgehenden Begrie fur beliebige Normen verallgemeinert Denition 17 Eine Gitterbasis (a b) heit Gau{reduziert, falls k a k k b k k a ; b k k a + b k und, falls k a k k a ; b k < k b k :

30 6 1 Reduzierte Gitterbasen fur beliebige Normen Mittels Lemma 15 konnen wir von k a ; b k < k b k auf k b k < k a + b k 8 >0 (117) schlieen Folglich ist (a b) genau dann wohlgeordnet, wenn k a k k a ; b k < k b k < k a + b k : Proposition 0 gibt einen algorithmischen Beweis dafur, da jedes Gitter eine reduzierte Basis besitzt Wir beweisen zunachst, da die Norm der Vektoren einer reduzierten Basis die sukzessiven Minima in der gegebenen Norm sind Satz 18 Sei (a b) eine Gau{reduzierte Basis Dann sind die Normen der Basisvektoren die sukzessiven Minima des Gitters L = Za + Zb Beweis Sei obda k a kkb k Die Aussage des Satzes ist: k a k k ra + sb k fur alle (r s) Z ;f(0 0)g k b k k ra + sb k fur alle r Z s Z ;f0g : Diese Ungleichungen folgen aus den Ungleichungen: k a k k b k k a k k ra k fur alle r Z ;f0g k b k k a + b k fur alle R mit jj jj1 : (118) Es genugt also, Ungleichung 118 zu zeigen Hierfur beweisen wir folgende Behauptung In jeder der vier schattierten Flachen in Abbildung 13 nimmt die Norm ihr Minimum in den Punkten a b an Ungleichung 118 folgt direkt aus der Behauptung und den Reduktionsbedingungen k b k k a b k :

31 14 Gaureduzierte Basen 7!!!!!!!! r r r r a r a + b! - r 0 r r r Q QQQ b Qs r r r r b ; a r r r r r r r r r r Abbildung 13: Reduzierte Basis (a b) Beweis der Behauptung Jede gestrichelte Strecke in der Abbildung enthalt drei Gitterpunkte, von denen der jeweils mittlere minimale Norm hat: ka ; b k ka k ka + b k k;a b k kb k k a b k Mit Lemma 15 folgt fur alle 1: ka b k ka b k ka k ka b k ka b k kb k : Folglich minimieren die Punkte ab die Norm auf den punktierten Linien, also auf dem Rand der schattierten Flachen Nach Lemma 16 nimmt die Norm ihr Minimum in jeder schattierten Flache auf dem Rand an Das beweist die Behauptung Aus Satz 18 folgt, da Gau{reduzierte Basen (Denition 17) bis auf die Reihenfolge der Vektoren auch im Sinne von Minkowski, von Hermite, Korkine, Zolotarev, von Schnorr und von Lovasz (Denitionen, 8 und 10) reduziert sind Wir sprechen deshalb in Dimension lediglichvon reduzierten Basen Der folgende Satz beschreibt die Normen, fur die eine gegebene Gitterbasis vom Rang zwei reduziert ist, indem eine die Kreisscheibe B 1 0 umfassende Kurve beschrieben wird Satz 19 Sei (a b) eine reduzierte Basis mit 1 = k a k k b k = Dann gilt k x k k a k fur alle Punkte x auf der Kurve K a b = fb + t(b ; a) (a ; b) ; tb (a ; b)+ta j 0 t 1g [ fa ; tb a + t(b ; a) j 0 <t 1g [ fsa + tb j t 1 und (s ; 1 ) +(t ; 1 ) = 1 g :

32 8 1 Reduzierte Gitterbasen fur beliebige Normen ea r r r r r a a 6 + b - 0 b K a b b ; a e b ; a r r r r r r r r r r r r r r r r r r r r Abbildung 14: Grenze fur B 1 0 bei reduzierter Basis Der Satz ist scharf in dem Sinne, da es zu jeder geordneten Basis (a b) fur jeden Punkt x K a b eine Norm gibt, so da (a b) reduziert ist mit k a kkbk und k x k = k a k Man sieht dies an den Beispielen in Abbildung 15 Mithin ist Kurve in Abbildung 14 der Rand der Vereinigung aller Kugeln B 1 0 fur alle Normen, fur die (a b) reduziert ist mit k a kkb k a r r r r r a a + b 0 b b ; a r r r r r r r r r r r r r r r r a r r r r r r r r 0 a r r r a + b b b ; a b ; a r r r r r r r r b ; a Abbildung 15: Extreme Beispiele fur B 1 0

33 14 Gaureduzierte Basen 9 Von den Punkten sa + tb K a b mit s + t > 1 hat stets hochstens einer Norm 1 Beweis Der Beweis gliedert sich infallunterscheidungen fur die einzelnen Streckenabschnitte Wir fuhren hier nur den schwierigsten Fall der beiden Kreissektoren aus (vgl Abb 16) Nehmen wir an, x = sa + tb, wobei t>1 (s ; 1 ) +(t ; 1 ) =, aber, im Widerspruch zum Satz: k x k < k a k Sei 1 = t ; s t ; s +1 = t t ; s +1 x+ = (b + a) x ; = (b ; a) : ta b + a t 6 x + s sx t -t b 0 t x ; s t b ; a Abbildung 16: Abschatzung der Norm auf dem Kreisabschnitt Aus der Reduktionsbedingung k b ; a k k b + a k folgt k x ; k k x + k Aus Lemma 15 folgt wegen x + =(1;)x+a die Ungleichung k x + k < k a k,woraus k x ; k < k a k folgt Wir zeigen, da b auf der Gerade zwischen x und x ; liegt: Die Kreisgleichung ist gleichbedeutend mit t + s = t + s Nach Setzung von := t+s;1 t+s veriziert man leicht (1 ; ) s ; =0 (1 ; ) t + =1 was gleichbedeutend ist mit (1 ; ) x + x ; = b Aus Lemma 15 folgt nun k b k maxfk x k k x ; kg < k a k, im Widerspruch zur Voraussetzung des Satzes Einfache Folgerungen aus Satz 19 Die Norm jedes Puktes y span L ist mindestens 1 supf j y K a b g Es gilt min R k b ; a k 1 k a k Somit ist die in Satz 11 denierte Konstante =

34 30 1 Reduzierte Gitterbasen fur beliebige Normen Falls andere Gitterpunkte als fa b a bg existieren mit Norm 1, so sind dies entweder (b ; a) oder (a ; b) Fur beide Falle ist die Kugel B 1 0 in Abbildung 15 dargestellt In jedem Gitter gibt es hochstens 8 Vektoren mit Norm 1 (In der Regel sind es Hier sehen wir, da das Besispiel (Z k : k 1 ) bereits der " worst case\ ist) Jedes Gitter hat eine reduzierte Basis (a b), so da die Norm aller Gittervektoren auerhalb der konvexen Hulle von a b mindestens 3 1 ist

35 Kapitel Der verallgemeinerte Gau{Algorithmus Wir verallgemeinern den Gau{Algorithmus von der euklidischen Norm auf eine beliebige Norm Dabei wird die Gultigkeit und Scharfe der worst{case{schranken fur die Zahl der Iterationen aus Vallees Analyse [Va91] fur beliebige Normen gezeigt Die Kapitel und 3 sind eine vertiefende Darstellung der neuen Arbeiten von Kaib und Schnorr [Ka91, KS93] 1 Der Reduktionsschritt Gau entwickelte seinen Algorithmus aus dem Studium reduzierter quadratischer Formen [Ga1801] DerAlgotrithmus fuhrt Reduktionsschritte der Art (a b) 7! ("(b ; a) a) aus, wobei der ganzzahlige Reduktionskoezient = (a b) so gewahlt wird, da die Norm k b ; a k minimiert wird und " = 1 Mankann den Algorithmus als naturliche Verallgemeinerung des zentrierten Euklidischen Algorithmus auf Vektoren auassen Bei Gau galt stets " = 1 Er betrachtete nur die euklidische Norn, fur die (a b) eine nachste ganze Zahl zu <a b> ist Wir wahlen das Vorzeichen " = <a a> "(a b) =1 einer Idee von Vallee [Va91] folgend so, da die neue Basis wohlgeordnet oder reduziert ist Auerdem betrachten wir beliebige Normen Es kann vorkommen, da " durch die eben genannten Bedingungen nicht eindeutig bestimmt sind Es bezeichne succ : R n R n ;! R n eine feste Funktion mit den Eigenschaften

36 3 Der verallgemeinerte Gau{Algorithmus 1 succ (a b) = "(b ; a) fur ein Z " = 1, k succ(a b) k = min Z k b ; a k, 3 k succ(a b) ; a k k succ(a b)+a k Wir nennen succ die Nachfolgerfunktion Eine der beiden Moglichkeiten "(a b) = 1 erfullt stets Bedingung 3 Die Berechnung des Reduktionskoezienten (a b) fur andere Normen als die euklidische behandeln wir in Kapitel 3 Wir beschreiben den (verallgemeinerten) Gau{Algorithmus als Iteration der Nachfolgerfunktion auf den Basisvektoren: Der Gau{Algorithmus INPUT: a b R n REPEAT (a b) := (succ (a b) a) UNTIL k b k k a ; b k OUTPUT: (a b) Proposition 0 1 Jede Basis (a b) = (succ (a b) a) ist wohlgeordnet oder reduziert und genau dann reduziert, wenn k b k k a ; b k 3 Der Algorithmus endet nach endlich vielen Iterationen Beweis Ad 1 und Sei (a b) =("(a ; b) a) Aus Bedingung folgt k a k = k b ; a k k b ; ( ; ")a k = k a ; b k Wegen Bedingung 3 gilt k a ; b k k a + b k Ist jetzt k a ; b k < k b k, so ist (a b) wohlgeordnet Andernfalls ist (a b) reduziert und der Algorithmus bricht ab Ad 3 In jeder beschrankten Menge gibt es nur endlich viele Gittervektoren Wegen Aussagen 1 und gilt entweder k succ (a b) k < k a k oder (succ (a b) a) ist reduziert und der Algorithmus bricht ab Vorganger einer wohlgeordneten Basis Wir assoziieren mit der Eingabebasis die von den Reduktionsschritten (a b) := (succ (a b) a) erzeugte Folge von Gitterbasen Wir sehen an Proposition 0, da

37 Vorganger einer wohlgeordneten Basis 33 die letzte Basis dieser Folge reduziert ist und alle vorherigen wohlgeordnet sind Wir nennen (a b) = (succ (b c) b) die Nachfolgerbasis von (b c) und (b c) eine Vorgangerbasis von (a b) Eine wohlgeordnete Basis hat genau eine Nachfolgerbasis, kann jedoch unendlich viele Vorgangerbasen haben Das Ziel der nachsten Denition und des folgenden Lemma ist, die Menge aller Vorgangerbasen einer wohlgeordneten Gitterbasis zu charakterisieren Denition 1 Ein Vektor c heit Vorganger der Basis (a b), wenn die Basis (b c) wohlgeordnet ist und a = succ (b c) : Fakt Es sei (a b) eine wohlgeordnete Gitterbasis Dann ist ein Vektor c genau dann Vorganger von (a b) wenn (b c)wohlgeordnet ist und c = "a+b mit " = 1 Z Das folgende Lemma ist eine Verallgemeinerung von Lemma 1 aus Vallees Arbeit [Va91] fur beliebige Normen Lemma Sei (a b) eine wohlgeordnete Gitterbasis Ein Vektor c ist Vorganger von (a b) dann und nur dann, wenn c = "a + b gilt, wobei entweder " =1 oder " = ;1 3 ist Bemerkung Ein interessanter Aspekt von Lemma ist, da die Menge der Vorgangerbasen einer wohlgeordneten Gitterbasis unabhangig von der Norm ist Ist eine Gitterbasis (a b) wohlgeordnet fur zwei verschiedene Normen, so sind die Mengen ihrer Vorgangerbasen fur beide Normen gleich Beweis Die Wohlordnung der Basen (a b) und (b c) besagt k a k k a ; b k < k b k k b ; c k < k c k : (1) Wir betrachten die Geraden F () = (1 ; ) (b ; a) + b G() = (1 ; ) a + b H + () = (1 ; ) a + (a + b) H ; () = (1 ; ) ;a + (b ; a) :

38 34 Der verallgemeinerte Gau{Algorithmus F r ; ; ; ;; r r r r a a + b H a +b a +3b 0 - ; ;; r r r r r b b ;a r r r r r ; + H ; ;; ;a + b ;a +3b ;a +4b G r r r r r r r r r r r r Abbildung 1: Wohlgeordnete Basis (a b) Wegen Ungleichung 1 gilt: k F (0) k = k b ; a k < k b k = k F (1) k k G(0) k = k a k < k b k = k G(1) k k H ; (0) k = k a k k b ; a k = k H ; (1) k : Nach Lemma 15 ist nun k F () k und k G() k eine streng monoton wachsende Funktion und k H ; () k eine monoton wachsende (dh nicht{fallende) Funktion fur 1 Hieraus folgt die entsprechende Ungleichung fur H + : k H + (0) k = k G(0) k < k G(1) k = k F (1) k < k F () k = k H + (1) k Wir entscheiden fur alle moglichen Falle von und " = 1, ob (b c) wohlgeordnet ist oder nicht: " =1 ;1 Dann ist k b ; c k = k (1 ; )b ; a k = k H ; (1 ; ) k k H ; () k = k b ; a k = k G() k > k G(1) k = k b k und folglich ist (b c) nicht wohlgeordnet " = ;1 0 Dann ist k b ; c k = k (1 ; )b + a k = k H + (1 ; ) k k H + (1) k = k F () k > k F (1) k = k b k und folglich ist (b c) nicht wohlgeordnet =0 Dann ist k c k = k a k < k b k und mithin (b c) nicht wohlgeordnet =1 Dann ist k b ; c k = k a k < k b k und deshalb (b c) nicht wohlgeordnet

39 3 Vorganger einer reduzierten Basis 35 " = ;1 = Dann ist k b ; c k = k a ; b k < k b k, also ist (b c) nicht wohlgeordnet " =1 Dann ist k c k = k a + b k = k H + () k > k H + ( ; 1) k = k a +( ; 1)b k = k b ; c k k H + (1) k = k F () k > k F (1) k = k b k und folglich ist (b c) wohlgeordnet " = ;1 3 Dann ist k c k = k;a + b k = k H ; () k k H ; ( ; 1) k = k b ; c k k H ; () k = k G() k > k G(1) k = k b k und folglich ist (b c) wohlgeordnet 3 Vorganger einer reduzierten Basis Lemma 3 Sei (a b) reduziert und c = "a + b wobei " = 1 und Z Dann gilt: 1 Ist k a k k b k und (" ) 6= (;1 ), soist(b c) wohlgeordnet gdw Ist k a k k b k,soist(b c) nicht wohlgeordnet fur 0 und wohlgeordnet fur " =1 > = 1 ;1 und fur " = ;1 > = 1 wobei i = i (Za+Zb) : Beweis Die Basis (b c) ist wohlgeordnet gdw k b k k "a +( ; 1)b k < k "a + b k : () Die linke Ungleichung ist immer erfullt, falls k b k k a k ist Aus Satz 18 folgt, da die linke Ungleichung aquivalent zu 6= 1 ist, falls k a k k b k ist Fur die rechte Ungleichung betrachten wir die Gerade H() = "a + b In beiden Fallen des Lemmas gilt die Ungleichung k H(;1) k = k "a ; b k k a k = k H(0) k k "a + b k = k H(1) k Fur 0 folgt aus Lemma 15 k "a +( ; 1)b k = H( ; 1) H() = k "a + b k : Also ist (b c) nicht wohlgeordnet Das beweist alle Behauptungen fur 0

40 36 Der verallgemeinerte Gau{Algorithmus Sei also 1 Es gilt k "a +( ; 1)b k = H( ; 1) H() = k "a + b k : (3) Falls " = ;1 gilt k a k k c k, also k b k = 1 k a + c k k c k : (4) Falls " =1folgt aus k b ; a k k a + b k = H(1) k c k : k b k = 1 +1 k (b ; a)+c k +1 k c k : (5) Angenommen, die linke Ungleichung gilt, aber (b c) ist nicht wohlgeordnet Dann gilt in Ungleichung 3 Gleichheit Also ist (b c) reduziert und folglich k b k = 1 k c k = Weiterhin ist (a b) reduziert mit k a k k b k, also gilt die rechte Ungleichung nicht Es gilt k b k = = k c k, also 1 fur " = 1 und fur " = ;1 Falls k b k k a k, folgt aus Ungleichung 4, da 1 und aus Ungleichung 5, da 1 ; 1 Zusammfassend haben wir also im Fall 1 fur jene ", fur die Wohlordnung von (b c) behauptet ist, die Annahme, da (b c) nicht wohlgeordnet ist, zum Widerspruch gefuhrt Weiter haben wir gezeigt, da fur k a k k b k und = 1 die Basis (b c) nicht wohlgeordnet sein kann Bemerkung In den unbestimmten Fallen von Lemma 3, dh, k a k k b k, " = ;1 = k b k k a k, " = ;1 1 = 1 k b k k a k, " = 1 1 = 1 ; 1, zeigt der Beweis, da (b c) entweder reduziert oder wohlgeordnet ist Beide Falle treten fur gewisse Normen bzw Gitter auf Fur die euklidische Norm (und fur alle glatten\ Normen) gibt es allerdings nur einen unbestimmten Fall, namlich k b k " k a k und " = ;1 =1