Additionskette

Die erste und bis heute wohl wichtigste Anwendung von Additionsketten ist die Optimierung der Berechnung von Potenzen mit großen natürlichen Exponenten. Hat man eine Additionskette der Länge ${\displaystyle r}$ für eine positive ganze Zahl ${\displaystyle n}$, so lässt sich zu einer Zahl ${\displaystyle a}$ die Potenz ${\displaystyle a^{n}}$ durch ${\displaystyle r}$ Multiplikationen berechnen. Sind nämlich für ein Glied ${\displaystyle x}$ der Additionskette, das Summe vorangegangener Glieder ${\displaystyle y}$ und ${\displaystyle z}$ ist, ${\displaystyle a^{y}}$ und ${\displaystyle a^{z}}$ schon berechnet worden, so ergibt sich ${\displaystyle a^{x}}$ daraus mit nur einer Multiplikation ${\displaystyle a^{x}=a^{y+z}=a^{y}\cdot a^{z}}$. Macht man das nacheinander für alle Glieder der Additionskette, so hat man mit ${\displaystyle r}$ Multiplikationen den Wert von ${\displaystyle a^{n}}$ erhalten. Dabei kann es sich bei der Basis ${\displaystyle a}$ um ein Element einer beliebigen nicht notwendig kommutativen Halbgruppe handeln; es muss also keine Zahl im üblichen Sinne sein. Besonders für endliche Strukturen bietet sich das an, z. B. die Multiplikation und Potenzierung modulo einer ganzen Zahl in Restklassenringen.

Die Frage, wie viele Multiplikationen man für eine Potenzierung mit einem natürlichen Exponenten ${\displaystyle n}$ mindestens braucht, ist 1894 in L'intermédiaire des mathématiciens von H. Dellac gestellt und im selben Jahr von Ernest de Jonquières beantwortet worden, der für einige Fälle die Lösung angab.[1]

Einen neuen Aufschwung hat das Problem durch die moderne Kryptographie genommen, wo bei einigen Verfahren hohe Potenzen ganzer Zahlen in Modulo-Arithmetik gebraucht werden. Dabei kann die Berechnung durch geeignete Additionsketten beschleunigt werden. Die optimale Lösung zu berechnen, also eine kürzeste Addtionskette für eine Zahl zu finden, hat sich dabei als sehr schwierig erwiesen. Für die Praxis spielt das eine geringe Rolle, da auch fast optimale Lösungen den Zweck erfüllen, aber als mathematische Herausforderung ist es bis heute ein schwieriges Problem trotz der einfachen Fragestellung.

In kryptographischen Verfahren wie RSA ist der Exponent Teil des privaten Schlüssels. Da die Anzahl der Rechenschritte von der Anzahl der Einsen in der Binärdarstellung des Exponenten abhängt, könnte ein Angreifer durch genaue Zeitmessung Rückschlüsse auf die Anzahl der binären Einsen und damit auf den Exponenten selbst ziehen. Um diesen Seitenkanalangriff zu vereiteln, wird das Potenzieren üblicherweise mit einem Algorithmus durchgeführt, dessen Laufzeit unabhängig von Exponenten ist.

${\displaystyle n}$	${\displaystyle \nu (n)}$	${\displaystyle l(n)}$	${\displaystyle g(n)}$	${\displaystyle b(n)}$	${\displaystyle \Lambda (n)}$
2	1	1	1	1	1
3	2	2	2	2	1
4	1	2	2	2	1
5	2	3	3	3	2
6	2	3	3	3	2
7	3	4	4	4	5
8	1	3	3	3	1
9	2	4	4	4	3
10	2	4	4	4	4
11	3	5	5	5	15
12	2	4	4	4	3
13	3	5	5	5	10
14	3	5	5	5	14
15	4	5	5	6	4
16	1	4	4	4	1
17	2	5	5	5	2
18	2	5	5	5	7
19	3	6	6	6	33
20	2	5	5	5	6
21	3	6	6	6	29
22	3	6	6	6	40
23	4	6	6	7	4
24	2	5	5	5	4
25	3	6	6	6	14
26	3	6	6	6	24
27	4	6	6	7	5
28	3	6	6	6	23
29	4	7	6	7	132
30	4	6	6	7	12
31	5	7	7	8	77
32	1	5	5	5	1
53	4	8	7	8	205
57	4	8	7	8	173
58	4	8	7	8	352
71	4	9	8	9	1258
89	4	9	8	9	471
127	7	10	9	12	2661
191	7	11	10	13	9787
382	7	11	11	14	4
465	5	12	11	12	6352
1018	8	13	12	16	2677
1019	9	13	13	17	129
1020	8	12	12	16	240
1021	9	13	13	17	934
1022	9	13	13	17	3960
1023	10	13	13	18	1072
1024	1	10	10	10	1

Zu jeder natürlichen Zahl ab 4 gibt es mehrere Additionsketten, die diese als letztes Element enthalten. Interessant sind besonders kürzeste Ketten, die eine bestimmte Zahl erreichen. Die Zweierpotenzen und die 3 – und nur diese, wie sich zeigen lässt – haben nur eine kürzeste Additionskette. Die 6 sowie alle Zahlen außer 9, die um 1 größer sind als eine Zweierpotenz ab 4, haben genau zwei kürzeste Additionsketten, z. B. 1, 2, 4, 8, 16, (17 oder 32), 33.

Die meisten Zahlen (letztlich sogar fast alle, bezogen auf die richtige Wahl einer Dichte) lassen sich mittels einer Additionskette beschreiben, deren Länge in Abhängigkeit von der Zahl ${\displaystyle n}$ im Wesentlichen ${\displaystyle \log _{2}(n)+{\frac {\log _{2}(n)}{\log _{2}(\log _{2}(n))}}}$ ist.

Eine vermutete und bisher bis ${\displaystyle n=2^{64}}$ bestätigte untere Schranke für ${\displaystyle l(n)}$ ist ${\displaystyle g(n)=\lfloor \log _{2}(n)\rfloor +\lceil \log _{2}(\nu (n))\rceil }$, wobei ${\displaystyle \nu (n)}$ die Anzahl der Einsen in der Binärdarstellung von ${\displaystyle n}$ ist. Das ist zugleich mindestens für kleine ${\displaystyle n}$ eine brauchbare Schätzung für ${\displaystyle l(n)}$: bis ${\displaystyle n=3690}$ ist ${\displaystyle l(n)}$ entweder ${\displaystyle g(n)}$ oder ${\displaystyle g(n)+1}$, und bis ${\displaystyle n=2^{31}}$ ist mit nur einer Ausnahme ${\displaystyle 0\leqq l(n)-g(n)\leqq 3}$. Die Ausnahme ist ${\displaystyle n=2135101487\approx 0.994\cdot 2^{31}}$ mit ${\displaystyle \nu (n)=16}$, ${\displaystyle g(n)=34}$, ${\displaystyle l(n)=38}$.

Eine obere Schranke für ${\displaystyle l(n)}$ ist ${\displaystyle b(n)=\lfloor \log _{2}(n)\rfloor +\nu (n)-1}$, denn man kann zunächst die Kette aller Zweierpotenzen ${\displaystyle \leqq n}$ bilden und dann die übrigen ${\displaystyle \nu (n)-1}$ in der Binärdarstellung von ${\displaystyle n}$ enthaltenen Zweierpotenzen durch Addition hinzufügen. Einige Beispiele von Werten dieser Funktionen sind in der Tabelle rechts aufgeführt, dazu die Anzahl ${\displaystyle \Lambda (n)}$ kürzester Ketten für ${\displaystyle n}$.

Für alle ${\displaystyle n}$ mit ${\displaystyle \nu (n)<5}$ ist ${\displaystyle l(n)}$ bekannt[6]:

• Ist ${\displaystyle \nu (n)<4}$, so ist ${\displaystyle l(n)=b(n)=g(n)}$.
• Ist ${\displaystyle \nu (n)=4}$, d. h. ${\displaystyle n=2^{p}+2^{q}+2^{r}+2^{s}}$ mit ${\displaystyle p>q>r>s}$, so definieren wir ${\displaystyle c=2^{p-q}+1}$ und ${\displaystyle d=2^{r-s}+1}$. Ist dann ${\displaystyle c\geqq d}$ und gibt es eine kürzeste Additionskette für ${\displaystyle c}$, in der ${\displaystyle d}$ vorkommt, so ergibt sich daraus eine Additionskette für ${\displaystyle n}$ der Länge ${\displaystyle l(n)=p+2=g(n)=b(n)-1}$. Das ist genau dann der Fall, wenn
  • ${\displaystyle c=d}$ (Beispiel: ${\displaystyle n=45,c=d=5}$, Kette 1, 2, 4, 5, 10, 20, 40, 45 der Länge 7) oder
  • ${\displaystyle c=2d-1}$ (Beispiel: ${\displaystyle n=23,c=5,d=3}$, Kette 1, 2, 3, 5, 10, 20, 23 der Länge 6) oder
  • ${\displaystyle c=9,d=3}$ (Beispiel: ${\displaystyle n=147}$, Kette 1, 2, 3, 6, 9, 18, 36, 72, 144, 147 der Länge 9).
• Hat ${\displaystyle n}$ die Form ${\displaystyle 135\cdot 2^{k}}$, mithin ${\displaystyle \nu (n)=4}$, so ist 1, 2, …, 45, 90, 135, …, ${\displaystyle {\boldsymbol {n}}}$ eine Kette der Länge ${\displaystyle l(n)=k+9=g(n)=b(n)-1}$.
• In allen anderen Fällen mit ${\displaystyle \nu (n)=4}$ ist ${\displaystyle l(n)=b(n)=g(n)+1}$.

• Shortest Addition Chains Ergebnisse und Literaturverweise zusammengestellt von Achim Flammenkamp
• Online-Encyclopedia of Integer Sequences, insbesondere Folgen A003313 und A079300

1. Frage 49 und Antwort dazu in L'intermédiaire des mathématiciens, Band 1 (1894), S. 20 und 162–164; Digitalisat online bei der SUB Göttingen
2. Arnold Scholz: (Aufgabe 253). In: Jahresbericht der Deutschen Mathematiker-Vereinigung. Band 47, 1937, ISSN 0012-0456, S. 41–42 (digizeitschriften.de [PDF]).
3. Alfred Brauer: On Addition Chains. In: Bulletin of the American Mathematical Society. Band 45, 1939, ISSN 0273-0979, S. 736–739 (englisch, ams.org [PDF]).
4. Donald E. Knuth: Arithmetik. Springer, Berlin, Heidelberg u. a. 2001, ISBN 3-540-66745-8, S. 298 (englisch: The Art of Computer Programming. Übersetzt von R. Loos).
   Komplettes Zitat: „Wir können ohne Beschränkung der Allgemeinheit annehmen, dass eine Additionskette aufsteigend ist, ${\displaystyle 1=a_{0}<a_{1}<\cdots <a_{r}=n}$. Denn wenn irgend zwei ${\displaystyle a}$ gleich sind, kann eines von ihnen weggelassen werden; und wir können auch die Folge (1) in aufsteigender Ordnung neu arrangieren und Terme ${\displaystyle >n}$ wegnehmen, ohne die Additionsketteneigenschaft (2) zu zerstören. Von jetzt an werden wir nur aufsteigende Ketten betrachten, ohne diese Annahme explizit zu erwähnen.“
5. Folge A008933 in OEIS
6. Donald E. Knuth: The Art of Computer Programming, Vol. 2, Seminumerical Algorithms, 2nd Ed. 1981, Addison-Wesley, ISBN 0-201-03822-6, Theorem C, S. 449