Як вибрано внутрішнє кільце в алгоритмі Шенгаге-Страссена?

Я намагався реалізувати алгоритм множення цілих чисел Шенгаге-Страссена, але потрапив на камеру спотикання на етапі рекурсивності.

Я маю цінність $x$ з $n$біт, і я хочу обчислити . Спочатку я вважав, що ідея полягає в тому, щоб вибрати , щоб 4 ^ k \ geq 2n , розділили х на 2 ^ k шматки, кожен з 2 ^ {k-1} бітами, застосувавши згортку SSA під час роботи модуля 2 ^ {2 ^ k} +1 , кільце ємністю 2 ^ k на значення, а потім складіть шматки назад. Тим не менш, вихід згортки має трохи більше 2n біт (тобто > 2 ^ k біт на вихідне значення, що перевищує ємність кільця, оскільки кожне вихідне значення є сумою декількох продуктів), тому це не працює . Мені довелося додати додатковий коефіцієнт 2 прокладки.$x^2 \pmod {2^n+1}$$k$$4^k \geq 2n$$x$$2^k$$2^{k-1}$$2^{2^k}+1$$2^k$$2n$$>2^k$

Цей додатковий коефіцієнт 2 у прокладці руйнує складність. Це робить мій рекурсивний крок занадто дорогим. Замість алгоритму $F(n) = n \lg n + \sqrt{n} F(2 \sqrt{n}) = \Theta(n \; \lg n \; \lg \lg n)$ , я закінчую з алгоритмом $F(n) = n \lg n + \sqrt{n} F(4 \sqrt{n}) = \Theta(n \lg^2 n)$ .

Я прочитав кілька посилань, пов’язаних із вікіпедії, але всі вони, здається, змальовують деталі того, як вирішується це питання. Наприклад, я міг би уникнути додаткових накладних накладних витрат, працюючи за модулем $2^{p 2^k} + 1$ для $p$ що не є потужністю 2 ... але потім речі просто ламаються пізніше, коли у мене є лише неенерго- Залишилося 2 чинника, і не можна застосувати Cooley-Tukey, не подвоївши кількість штук. Також $p$ може не мати мультипликативного зворотного модуля $2^p+1$ . Отже, все ще вводяться примусові фактори 2.

Як вибрати кільце для використання під час рекурсивного кроку, не роздуваючи асимптотичну складність?

Або у формі псевдокоду:

multiply_in_ring(a, b, n):
  ...
  // vvv                          vvv //
  // vvv HOW DOES THIS PART WORK? vvv //
  // vvv                          vvv //
  let inner_ring = convolution_ring_for_values_of_size(n);
  // ^^^                          ^^^ //
  // ^^^ HOW DOES THIS PART WORK? ^^^ //
  // ^^^                          ^^^ //

  let input_bits_per_piece = ceil(n / inner_ring.order);
  let piecesA = a.splitIntoNPiecesOfSize(inner_ring.order, input_bits_per_piece);
  let piecesB = b.splitIntoNPiecesOfSize(inner_ring.order, input_bits_per_piece);

  let piecesC = inner_ring.negacyclic_convolution(piecesA, piecesB);
  ...

Ця відповідь взята з статті "Асимптотично швидкі алгоритми чисельного ослаблення та поділу многочленів зі складними коефіцієнтами", які Маркус пов'язував у коментарях.

---

Ви хочете скласти бітове число, модуль . Ось що ви робите:$n$$2^n + 1$

• Знайдіть і які задовольняють і .$p$$s$$n = (p-1) 2^s$$s \leq p \leq 2s$

• Виберіть кількість шматочків щоб розділити біт і відповідні параметри для розмірів шматка:$2^m$$n$

  $$\begin{align} m &= \lfloor s/2 \rfloor + 1 \\s_2 &= \lceil s/2 \rceil + 1 \\ p_2 &= \lceil p/2 \rceil + 1 \end{align}$$

  Зауважте, що і продовжують задовольняти інваріант . Також зауважте, що задоволено, тому вхід відповідає простору для проведення.$s_2$$p_2$$s_2 \leq p_2 \leq 2 s_2$$2^m 2^{s_2} p_2 \geq 2n + m + 1$

• Виконайте негативні згортання на основі FFT на шматках, а решта, як зазвичай.

Отже, це всеохоплююча ідея: логарифмічний коефіцієнт прокладки . Тепер для аналізу складності. FFT займе роботу, і ми повторюємо шматок розміру , тож тепер ми можемо робити надзвичайно грубу математику із відношенням рецидиву wrt :$p$$n m$$2^m$$(p_2-1) 2^{s_2}$$s$

$$\begin{align} F(s) &(\leq)\; (p-1)2^sm + 2^m F(\lceil s/2\rceil+1) \\ &(\leq)\; 2s2^s (\lfloor s/2\rfloor+1) + 2^{\lfloor s/2\rfloor+1} F(\lceil s/2\rceil+1) \\ &(\leq)\; s^2 2^s + 2 \cdot 2^{s/2} F(s/2+1) \\ &(\leq)\; s^2 2^s + 4 (s/2)^2 2^s + 16(s/4)^2 2^s + ... \\ &(\leq)\; 2^s s^2 \lg(s) \\ &(\leq)\; \frac{n}{\lg n} \left(\lg \frac{n}{\lg n}\right)^2 \lg \lg \frac{n}{\lg n} \\ &(\leq)\; \frac{n}{\lg n} (\lg^2 n) \lg \lg n \\ &(\leq)\; n \;(\lg n) \lg \lg n \end{align}$$

Що здається правильним, хоча я досить сильно обдурив на тих кроках.

«Трюк», здається, полягає в тому, що ми закінчуємо замість в базовій вартості. Є ще два множення на два на рекурсивний рівень, як я скаржився у питанні, але зараз половина виплачує подвійні дивіденди, щоб все вийшло. Тоді, наприкінці, ми скасовуємо додатковий коефіцієнт (який насправді є коефіцієнтом ) завдяки зростанню логарифмічно великого відносно .$s^2$$s$$s$$s$$\log n$$p$$s$