Просмотр кода страницы Теорема Хассе

'''Теорема Хассе об эллиптических кривых''', также называемая '''границей Хассе''', даёт оценку числа точек на [[Эллиптическая кривая|эллиптической кривой]] над [[Конечное поле|конечным полем]], причём ограничивает значения как сверху, так и снизу. Теорема Хассе эквивалентна определению [[абсолютное значение|абсолютного значения]] корней [[локальная дзета-функция|локальной дзета-функции]] ''Е''. В этом виде её можно рассматривать как аналог [[Гипотеза Римана|гипотезы Римана]] для поля функций, ассоциированного с эллиптической кривой.

== История ==
Важным аспектом в применении эллиптических кривых является получение эффективного алгоритма подсчёта количества точек эллиптической кривой. История этого вопроса началась в 20 веке, с предположения Пуанкаре о том, что количество рациональных точек на кривой порядка 1 конечно. Это предположение было доказано Луисом Джоэл Морделлом в 1922 году<ref>{{публикация|книга|автор=Min R.|заглавие=Nevanlinna Theory And Its Relation To Diophantine Approximation|ссылка=https://books.google.ru/books?id=-k3VCgAAQBAJ&hl=ru|место=Singapore|издательство=[[World Scientific]]|год=2001|allpages=340|isbn=9814492485|isbn2=9789814492485}}</ref>.

В 1924 году [[Артин, Эмиль|Эмиль Артин]] выдвинул гипотезу об оценке числа этих точек сверху и снизу<ref>{{публикация|статья|автор=[[Артин, Эмиль|Artin, Emil]]|заглавие=Quadratische Körper im Gebiete der höheren Kongruenzen. II. Analytischer Teil| doi=10.1007/BF01181075|год=1924|zbl=51.0144.05|тип=journal|издание={{iw|Mathematische Zeitschrift||de}}|место=Luxemburg|издательство=[[Springer-Verlag]]|issn=0025-5874|pages=207–246|volume=19, no. 1}} — [[Mathematical Reviews|MR]] [https://mathscinet.ams.org/mathscinet-getitem?mr=1544652 1544652].</ref>.

Доказал эту гипотезу [[Хассе, Хельмут|Хельмут Хассе]] в 1933 году и опубликовал в серии статей в 1936 году<ref>{{публикация|статья|автор=[[Хассе, Хельмут|Hasse, Helmut]]|заглавие=Zur Theorie der abstrakten elliptischen Funktionenkörper. I, II & III| doi=10.1515/crll.1936.175.193|год=1936|zbl=0014.14903|тип=journal|издание=[[Journal für die reine und angewandte Mathematik|Crelle’s Journal]]|издательство=[[Walter de Gruyter]]|место=Berlin|issn=0075-4102|volume=1936, no. 175}}</ref>.

Впоследствии, результаты работ Хассе были обобщены [[Вейль, Андре|Андре Вейлем]] для кривых более высоких порядков и были использованы для изучения локальных дзета-функций.

== Эллиптические кривые над конечными полями ==
{{main|Эллиптическая кривая}}
Эллиптической кривой называется множество точек <math>(x,y)</math>, удовлетворяющих уравнению:
: <math>y^2+a_1xy+a_3y=x^3+a_2x^2+a_4x+a_6
</math>
Это уравнение может рассматриваться над произвольными полями и, в частности, над [[Конечное поле|конечными полями]], представляющими для криптографии особый интерес.

В криптографии используются эллиптические кривые, определённые над [[Кольцо частных|полем частных]] <math>\mathbb{Q}_q</math> кольца <math>\mathbb{Z}_q</math> целых [[P-адическое число|''p''-адических чисел]], где в общем случае <math>q =a p^r/b</math>, <math>p</math> — простое, <math>a</math> и <math>b</math> — целые числа, не делящиесся на <math>p</math>, и <math>gcd(a,b) = 1</math>.{{Нет АИ|15|12|2017}} Для таких кривых бывает необходимым знание количества точек, лежащих на этих кривых. Точное число этих точек вычислить достаточно трудно, однако теорема Хассе даёт достаточно точную оценку этого числа, как сверху, так и снизу.

Чаще всего рассматриваются эллиптические кривые в форме Вейерштрасса над двумя типами конечных полей: простыми полями нечётной [[Характеристика поля|характеристики]] (<math>\mathbb{Z}_p</math>, где <math>p \geqslant 3</math> — простое число) и полями характеристики 2 (<math>GF(2^m)</math>).

<math> y^2 = x^3 +ax + b  </math> <math> mod(p)</math>

Также важной особенностью кривых, используемых в криптографии, является положительность дискриминанта
: <math>D=(</math><math>x_1-</math><math>x_2</math><math>)^2</math><math>(</math><math>x_1-</math><math>x_3</math><math>)^2</math><math>(</math><math>x_2-</math><math>x_3</math><math>)^2</math><math>=-16(</math><math>4a^3+27b^2</math><math>)</math>

== Формулировка теоремы ==
[[Файл:Illustration_for_Hasse's_Theorem.png|мини|200x200px|Количество точек кривой <math>y^2 \equiv x^3 - 7x + 10\ mod(q)</math> для <math>q = 19, 97, 127, 487</math>.]]Теорема Хассе об эллиптических кривых утверждает, что количество точек на эллиптической кривой над конечным полем <math>\mathbb{F}_q</math>  лежит в интервале: <math>(\sqrt q - 1)^2 \leq \left| E(\mathbb{F}_q)\right| \leq (\sqrt q + 1)^2</math><ref name=":0" /><ref name=":1" />

Или же, что то же самое, что это число близко к числу точек на проективной прямой над тем же полем: <math>\left| |E(\mathbb{F}_q)|-q-1\right| < 2\sqrt q</math><ref name=":0">{{cite web|title=Hasse’s bound for elliptic curves over finite fields|url=http://planetmath.org/hassesboundforellipticcurvesoverfinitefields|publisher=[[PlanetMath]]|accessdate=2017-12-18}}</ref><ref name=":1">{{публикация|автор=Болотов А. А., Гашков С. Б., Фролов А. Б., Часовских А. А.|заглавие=Элементарное введение в эллиптическую криптографию|подзаголовок=Алгебраические и алгоритмические основы|место=М.|издательство=КомКнига|год=2006|том=1|страниц=328|isbn=5-484-00443-8}}</ref>

== Доказательство ==
В ходе доказательства важнейшую роль будет играть видоизменённое уравнение
:<math>Y^2 = \frac{X^3+aX+b}{x^3+ax+b}</math>
решения которого ищем в области рациональных функции от переменной <math>x</math>. Два решения этого уравнения просты и равны <math>X=x, Y=1</math>; <math>X=x^p, Y=(x^3+ax+b)^{(p-1)/2}</math>.

Сложение решений этого уравнений происходит по тем же формулам, что и сложение точек на эллиптической кривой, то есть третья точка выбирается на пересечении кривой и прямой, и результатом будет точка с координатами
:<math>X_3=-X_1-X_2+\frac{Y_2-Y_1}{X_2-X_1}(x^3+ax+b)</math>
:<math>Y_3=\frac{Y_2-Y_1}{X_2-X_1}(X_3-X_1)+Y_1</math>

Далее построим бесконечную последовательность решений, которая представляет собой арифметическую прогрессию с разностью <math>(x, 1)</math> и начальным членом
:<math>(X_0, Y_0) = (x^p, (x^3+ax+b)^{(p-1)/2})</math>

Каждый элемент последовательности представим в виде несократимого соотношения <math>X_n=\frac{P_n}{Q_n}</math>. Далее введем функцию <math>d_n</math>, равную степени многочлена <math>P_n</math>.

Для доказательства нам потребуются 4 леммы:

'''Лемма 1''': <math>d_{-1}-d_0-1=N_p-p</math>

{{Hider|
  title = Доказательство леммы 1:|
  hidden = 0 |
  title-style = text-align: left; |
  content-style = text-align: left; |
  content = 
Согласно формулам сложения имеем <math>X_{-1}=-x-x^p+\frac{(1+(x^3+ax+b)^{(p-1)/2})^2(x^3+ax+b)}{(x-x^p)^2}</math>, далее заметим что степень числителя больше степени знаменателя на 1, так как <math>X_{-1}=\frac{x^{2p+1}+R(x)}{(x-x^p)^2}</math>, где R(x) - многочлен степени, не превосходящей 2p. Вычислим знаменатель дроби по проведении необходимых сокращений. С одной стороны <math>(x-x^p)^2=(x(x-1)...(x-p+1))^2</math>, с другой, как известно,
:<math>(x^3+ax+b)^{(p-1)/2}=\left(\frac{x^3+ax+b}{p}\right)</math>
потому при сокращении из знаменателя выпадут лишь множители вида <math>(x-k)^2</math>  с  <math>\frac{k^3+ak+b}{p}=-1</math>, и множители вида <math>(x-l)</math>  с <math>l^3+al+b=0</math>. Пусть <math>m</math>-количество множителей первого рода, а <math>n</math> - второго. Тогда <math>d_{-1}=2p-2m-n+1</math>, и учитывая, что <math>d_0=p</math>, получаем <math>d_{-1}-d_0-1=p-2m-n</math>. Число <math>N</math> же равно <math>2(p-m)-n</math>, так как каждому классу вычетов <math>k</math> соответствует два решения, а классу вычетов <math>l</math> - одно. Это доказывает требуемое.
}}

'''Лемма 2''': <math>d_n=n^2-(d_{-1}-d_0-1)n+d_0</math>

{{Hider|
  title = Доказательство леммы 2:|
  hidden = 0 |
  title-style = text-align: left; |
  content-style = text-align: left; |
  content = 
По основной лемме <math>d_{n+2}=2d_{n+1}-d_n+2</math>. Очевидно, что для <math>n=-1</math>  и  <math>n=0</math> лемма верна: пусть она верна и для индексов <math>n</math>  и  <math>n+1</math>, <math>n\geqslant0</math>. Тогда
:<math>d_{n+2}=2d_{n+1}-d_n+2=2((n+1)^2-(d_{-1}-d_0-1)(n+1)+d_0)-n^2+(d_{-1}-d_0-1)n-d_0+2=(n+2)^2-(d_{-1}-d_0-1)(n+2)+d_0)</math>
Лемма доказана.
}}

'''Лемма 3''': Для всех n, для которых функция X<sub>n</sub> определена, имеет место неравенство ст. Р<sub>n</sub> > ст. Q<sub>n</sub>.

{{Hider|
  title = Доказательство леммы 3:|
  hidden = 0 |
  title-style = text-align: left; |
  content-style = text-align: left; |
  content = 
Мы докажем это неравенство, формально найдя значение функции <math>X_n</math> при <math>x=\infty</math>. Пусть <math>m</math> есть нуль или первый номер после очередного пробела{{уточнить}}, <math>m\geqslant0</math>. По построению <math>X|_{\infty}=\infty</math>, а <math>Y|_{\infty}</math>≠0. Допустим обратное. Ввиду того, что дробь <math>\frac{X^3_{n+1}+aX_{n+1}+b}{x^3+ax+b}</math>, должна быть квадратом, разность степеней числителя и знаменателя функции <math>X_{n+1}</math> должна быть числом нечетным, то вместе с <math>Y_{n+1}|_\infty=0</math> даёт <math>X_{n+1}|_\infty=0</math>.
Для арифметической прогрессии следует
:<math>Y_{n+1}=\frac{1-Y_n}{X-X_n}(x-X_{n+1})-1</math>
Отсюда находим 
:<math>\frac{1-Y_n}{x-X_n}(x-X_n)|_\infty=1</math> или <math>\frac{1-Y_n}{1-\frac{X_n}{x}}|_\infty=1</math>
то есть
:<math>\frac{Y_nx}{X_n}|_\infty=1</math>, <math>\frac{Y_n^2x^2}{X_n^2}|_\infty=\frac{(X_n^3+aX_n+b)x^2}{(x^3+ax+b)X_n^2}|_\infty=1</math>
Поскольку <math>X_n|_\infty=x|_\infty=\infty</math>, отсюда следует, что <math>\frac{X_n}{x}|_\infty=1</math>. С другой стороны
:<math>X_{n+1}=-x-X_n+\frac{(1-Y_n^2)^2}{(x-X_n)^2}(x^3+ax+b)</math>
Отсюда находим
:<math>\frac{X_n}{x}=-1-\frac{X_n}{x}+\frac{(1-Y_n^2)^2}{(1-\frac{X_n}{x})^2}(1+\frac{a}{x^2}+\frac{b}{x^3})</math>
так что 
:<math>\frac{X_{n+1}}{x}|_\infty=-1</math>
Но из этого равенства следует, что <math>Y_{n+1}^2|_\infty</math>, что противоречит сделанному предположению <math>Y_{n+1}^2|_\infty=0</math>. Лемма доказана.
}}

'''Основная лемма''': <math>d_{n-1}+d_{n+1}=2d_n+2</math>.

{{Hider|
  title = Доказательство основной леммы:|
  hidden = 0 |
  title-style = text-align: left; |
  content-style = text-align: left; |
  content = 
Основные трудности в доказательстве теоремы сконцентрированы на основной лемме. Приступим к её доказательству. для любого многочлена P символом ст. Р будем обозначать степень этого многочлена.

Приводя к общему знаменателю и собирая подобные члены в формуле сложения решений, находим
:<math>X_{n-1}=\frac{-(xQ_n+P_n)(xQ_n-P_n)^2+(1+Y_n)^2(x^3+ax+b)Q_n}{(xQ_n-P_n)^2}=\frac{(xQ_n+P_n)(xP_n+aQ_n)+2bQ_n^2+2Y_n(x^3+ax+b)Q_n^2}{(xQ_n-P_n)^2}=\frac{S}{(xQ_n-P_n)^2}</math>
Перемножая почленно две полученные выше формулы и проведя сокращения, получим
:<math>X_{n-1}X_{n+1}=\frac{P_{n-1)P_{n+1}}}{Q_{n-1}Q_{n+1}}=\frac{(xP_n-aQ_n)^2-2b(xQ_n+P_n)}{(xQ_n-P_n)^2}</math>
Цель следующих рассуждений - показать, что <math>Q_{n-1}*Q_{n+1}=(xP_n-aQ_n)^2</math>. Из этого равенства напрямую получится основная лемма, в самом деле, тогда следует что 
:<math>P_{n-1}*P_{n+1}=(xP_n-aQ_n)^2-4bQ_n(xQ_n+P_n)</math>,
значит <math>d_{n-1}+d_{n+1}=</math> ст. <math>(P_{n-1}P_{n+1})</math>=ст. <math>(x^2P_n^2)=2d_n+2</math>, потому что в силу леммы 3 старший член многочлена <math>P_{n-1}P_{n+1}</math> совпадает со старшим членом многочлена <math>x^2P_n^2</math>. Теперь докажем нужное равенство.

Напомним, что в области многочленов существует однозначное разложение на неприводимые множители. Пусть <math>E</math> - неприводимый многочлен, а <math>e</math> - любое целое положительное число. Мы будем говорить, что многочлен <math>E^e</math> строго делит некоторую несократимую рациональную функцию, если её числитель делится на <math>E^e</math>, но не делится на <math>E^{e+1}</math>.
Для доказательства нужного равенства нужно установить  что если многочлен <math>E^e</math> строго делит <math>(xQ_n-P_n)^2</math>, то он строго делит также <math>Q_{n-1}Q_{n+1}</math>. В самом деле, тогда частное <math>\frac{Q_{n-1}Q_{n+1}}{(xQ_n-P_n)^2}</math> представляет собой многочлен, который взаимно прост  с многочленом (xQ_n-P_n)^2. Но поскольку из приведённого уравнения следует, что функция <math>Y_n(x^3+ax+b)Q_n^2</math> является многочленом, то из предыдущих равенств для <X_{n-1}>  и  <X_{n+1}>без труда получается, что знаменатели <math>Q_{n-1}</math>,<math>Q_{n+1}</math> делят многочлен <math>(xQ_n-P_n)^4</math>. Тем самым частное <math>\frac{Q_{n-1}Q_{n+1}}{(xQ_n-P_n)^2}</math> может быть только константой, и эта константа равна единице в силу принятой нормировки старших членов числителей <math>P_n</math>.

Разобьем все неприводимые делители <math>E</math> многочлена <math>(xQ_n-P_n)^2</math> на три группы. К первой группе отнесем те многочлены, которые делят R, но не делят S. Из этого сразу же вытекает, что если многочлен <math>E^e</math> строго делит <math>(xQ_n-P_n)^2</math>, то он строго делит знаменатель <math>Q_{n+1}</math> и взаимно просто со знаменателем <math>Q_{n-1}</math>.
Ко второй группе отнесем те многочлены <math>>E</math>, которые делят S, но не делят R. Точно так же получается,  что если многочлен <math>E^e</math> строго делит <math>(xQ_n-P_n)^2</math>, то он строго делит знаменатель <math>Q_{n-1}</math> и взаимно просто со знаменателем <math>Q_{n+1}</math>.
Наконец к третьей группе отнесем те многочлены <math>E</math>, которые делят и R, и S. Поскольку
:<math>P_n=xQ_n(mod E)</math>,

следует что
:<math>R=2Q_n(1-Y_n)(x^3+ax+b)(mod E)</math>,
:<math>S=2Q_n(1+Y_n)(x^3+ax+b)(mod E)</math>.

Многочлен <math>E</math>, деля многочлен <math>(xQ_n-P_n)^2</math>, не может делить <math>Q_n</math>, поскольку <math>P_n</math>  и   <math>Q_n</math> взаимно просты. Отсюда и из последних формул вытекает, что <math>S+R=4Q_n^2(x^3+ax+b) mod E</math>, так что если <math>E</math> делит <math>R</math>  и  <math>S</math>, то <math>E</math> строго делит многочлен <math>x^3+ax+b</math>(по предположению этот многочлен не имеет кратных корней).

Итак, пусть <math>E</math> - неприводимый делитель многочлена <math>x^3+ax+b</math>. Предположим сначала, что <math>Y_n</math>≠±1<math>(mod E)</math> (эта запись по определению означает, что числитель несократимого представления функции <math>Y_n</math>±1 не делится на <math>E</math>). Тогда следует, что <math>E</math> строго делит <math>R</math>, потому что многочлен <math>(xQ_n-P_n)^2</math> делится по крайней мере на <math>E^2</math>. Подобным образом получается, что  <math>E</math> делит <math>S</math>, но тогда вытекает, что <math>E^2</math> строго делит <math>(xQ_n-P_n)^2</math>.

Таким образом, остается проверить случай <math>Y_n+</math>=±1<math>(mod E)</math>. Пусть, например, <math>Y_n=-1(mod E)</math> (вторая разбирается аналогично). Тогда <math>E</math> строго делит <math>S</math>. Пусть <math>E^2</math> строго делит <math>(xQ_n-P_n)^2</math>, а <math>E^{2f+1}</math> строго делит <math>(1+Y_n)(X^3+ax+b)Q_n^2</math>. Очевидно <math>E^{2f}</math> строго делит также функцию <math>(1+Y_n)^2(1-Y_n)^2=(1-Y_n^2)^2</math>. Но
:<math>(1-Y_n^2)^2=\frac{(x^3+ax-X_n^2-aX_n^2)^2}{(x^3+ax+b)^2}=\frac{(x-X_n)^2(x^2+xX_n+X_n^2+a)^2}{(x^3+ax+b)^2}</math>.

Кроме того, <math>x=X_n(mod E)</math>, <math>x^2+xX_n+X_n^2=3x^2+a</math>≠0<math>(mod E)</math>, так что <math>2f=2e-2</math> и, следовательно, число <math>2f+1=2e-1</math> меньше степени, в которой <math>E</math> строго делит <math>(xQ_n+P_n)(xQ_n-P_n)^2</math>. Поэтому <math>E^{2e}</math> строго делит <math>RS</math>. Откуда вытекает, что  <math>E^{2e}</math>  строго делит <math>Q_{n-1}Q_{n+1}</math>. Что и требовалось доказать.
}}

Согласно леммам 1 и 2, <math>d_n=n^2-(N-p)n+p</math>, и этот квадратный трехчлен принимает неотрицательные значения для всех <math>n</math>, причем по определению не может иметь двух последовательных нулей. Отсюда имеем, что дискриминант не может быть положительным, иначе было 2 корня <math>a, b</math>, между <math>n</math> и <math>n+1</math>, и числа <math>ab</math> и <math>a+b</math> не могут быть одновременно целыми. Следовательно,
:<math>(N-p)^2-4p\leqslant0</math>,
так что
:<math>|N-p|<2\sqrt p</math>. Теорема доказана.

=== Доказательство при помощи эндоморфизма Фробениуса ===
Существует альтернативное доказательство теоремы Хассе, в основе которого лежит использование [[Эндоморфизм Фробениуса|эндоморфизма Фробениуса]].

Для конечного поля <math>\mathbb{F}_q</math> с [[Алгебраически замкнутое поле|алгебраическим замыканием]] <math>\bar{\mathbb{F}_q}</math>  вводится отображение:

<math>\begin{array}{lcl}\phi_q:\bar{\mathbb{F}_q}\rightarrow\bar{\mathbb{F}_q} \\
\qquad x\mapsto x^q \end{array}</math>

На точки эллиптической кривой <math>E(\mathbb{F}_q)</math> оно действует, как: <math>\phi_q(x,y) = (x^q,y^q), \quad \phi_q(\infty) = \infty</math>.

Для доказательства используются следующие 4 леммы:

{{Hider|
  title = Лемма 1.|
  hidden = 0 |
  title-style = text-align: left; |
  content-style = text-align: left; |
  content =
Для эллиптической кривой <math>E(\mathbb{F}_q)</math> над полем <math>\mathbb{F}_q</math> и точек <math>(x,y)\in E(\mathbb\bar{{F}_q})</math> выполняется:

1)  <math>\phi_q (x,y)\in E(\mathbb\bar{{F}_q})</math>,

2) <math>(x,y)\in E(\mathbb{{F}_q})</math> тогда и только тогда, когда <math>\phi_q (x,y) = (x,y)</math>.
}}

{{Hider|
  title = Лемма 2.|
  hidden = 0 |
  title-style = text-align: left; |
  content-style = text-align: left; |
  content =
Для эллиптической кривой <math>E(\mathbb{F}_q)</math> отображение <math>\phi_q</math> является эндоморфизмом кривой <math>E</math> степени <math>q</math>, и <math>\phi_q</math> не разделяемый.
}}

{{Hider|
  title = Лемма 3.|
  hidden = 0 |
  title-style = text-align: left; |
  content-style = text-align: left; |
  content =
Пусть определена эллиптическая кривая <math>E(\mathbb{F}_q)</math> и <math>n\geq1</math>. Тогда

1) <math>Ker(\phi_q - 1) = E(\mathbb{F}_{q^n})</math>,

2) <math>\phi_q^n - 1</math> - разделяемый эндоморфизм, и поэтому <math>|E(\mathbb{F}_{q^n})| = deg(\phi_q^n - 1)</math>.
}}

{{Hider|
  title = Лемма 4.|
  hidden = 0 |
  title-style = text-align: left; |
  content-style = text-align: left; |
  content =
Обозначим <math>a = q + 1 - |E(\mathbb{F}_q)| = q + 1 - deg(\phi_q - 1)</math>

Пусть <math>r, s</math> - целые числа и <math>gcd(s,q) = 1</math>. Тогда <math>deg(r\phi_q - s) = r^2q + s^2 - rsa</math>.
}}

Исходя из леммы 4, и поскольку <math>deg(r\phi_q - s)\geq 0</math>, получается, что

<math>q \biggl({r \over s}\biggl)^2 - a\biggl({r \over s}\biggl) + 1\geq 0</math> , для любых  <math>r, s</math> , где <math>gcd(s,q) = 1</math> .

Множество рациональных чисел <math>r/s</math> , где <math>gcd(s,q) = 1</math>  [[Плотное множество|плотное]] в <math>\mathbb{R}</math> . Отсюда, обозначив <math>r/s = x</math>, получаем неравенство <math>qx^2 - ax + 1 \geq 0</math>, верное для всех действительных <math>x</math>.

Так как дискриминант полинома меньше или равен нулю, то есть <math>a^2 - 4q \leq 0</math>, то отсюда следует, что <math>|a| \leq 2\sqrt q</math>.

Доказательство теоремы Хассе на основе эндоморфизма Фробениуса также лежит в основе [[Алгоритм Шуфа|алгоритма Шуфа]]. Данный алгоритм позволяет подсчитать количество точек для конкретно заданной эллиптической кривой за полиномиальное время.

== Граница Хассе-Вейля ==
Обобщением границы Хассе для [[Алгебраическая кривая|алгебраических кривых]] более высокого рода является граница Хассе-Вейля. Она устанавливает ограничение на количество точек на кривой над конечным полем. Если число точек на кривой ''С'' рода ''g'' над конечным полем <math>\mathbb{F}_q</math> есть <math>\#C(\mathbb{F}_q)</math>, то

: <math>|\#C(\mathbb{F}_q) - (q+1)| \le 2g \sqrt{q}.</math>

Этот результат также эквивалентен определению абсолютного значения корней локальной дзета-функции С, и является аналогом гипотезы Римана для поля функций, ассоциированного с кривой.

В случае эллиптических кривых граница Хассе-Вейля сводится к обычной границе Хассе, так как эллиптические кривые имеют род ''g''=1.

Граница Хассе-Вейля является следствием [[гипотезы Вейля|гипотез Вейля]], первоначально предложенных [[Вейль, Андре|А. Вейлем]] в 1949 году<ref>{{публикация|статья|автор=[[Вейль, Андре|Weil, André]]|заглавие=Numbers of solutions of equations in finite fields|ссылка=http://www.ams.org/bull/1949-55-05/S0002-9904-1949-09219-4/home.html|doi=10.1090/S0002-9904-1949-09219-4|год=1949|тип=journal|издание=[[Bulletin of the American Mathematical Society]]|место={{N. Y.}}|издательство=[[American Mathematical Society]]|issn=0002-9904|volume=55, no. 5|pages=497–508}} — [[Mathematical Reviews|MR]] [https://mathscinet.ams.org/mathscinet-getitem?mr=0029393 0029393].</ref>. Доказательства были предоставлены [[Делинь, Пьер|Пьером Делинем]] в 1974 году<ref>{{публикация|статья|автор = [[Делинь, Пьер|Deligne, Pierre]]|заглавие = La Conjecture de Weil: I|ссылка = http://www.numdam.org/item?id=PMIHES_1974__43__273_0|издание = [[Publications Mathématiques de l'IHÉS]]|тип = journal|издательство = [[Институт высших научных исследований|Institut des hautes études scientifiques]]|год = 1974|zbl = 0287.14001|doi = 10.1007/BF02684373|pages = 273–307|volume = 43|issn = 0073-8301|место = Bures-sur-Yvette}} — [[Mathematical Reviews|MR]] [https://mathscinet.ams.org/mathscinet-getitem?mr=0340258 340258].</ref>.

== Применение ==

=== Криптография ===
В криптографии используются алгоритмы шифрования, основанные на эллиптических кривых.

Стойкость этих алгоритмов основывается на сложности вычисления [[Дискретное логарифмирование на эллиптической кривой|дискретного логарифма]] в группе точек эллиптической кривой. Поскольку до сих пор не существует быстрых алгоритмов вычисления дискретного логарифма на эллиптической кривой, то использование эллиптических кривых позволяет сильно ускорить алгоритмы шифрования за счёт уменьшения размера используемого модуля <math>p</math>. Теорема Хассе же позволяет весьма точно определить размер простого числа <math>q</math>, необходимого для достаточной сложности алгоритма.

В частности, один из таких алгоритмов используется для формирования и проверки электронной цифровой подписи в российском стандарте [[ГОСТ Р 34.10-2012]]. В нём используются эллиптические кривые Вейерштрасса в общей форме, a <math>q</math> лежит в пределах <math>2^{254} < q < 2^{256}</math>.

[[Национальный институт стандартов и технологий (США)|Национальный институт стандартов и технологий]] (NIST) рекомендует использовать числа вида <math>p = 2^{256} - 2^{32} - 2^9 - 2^8 - 2^7 - 2^6 -2^4 - 1</math> для быстрого деления по модулю. Так же, по причине эффективной программной реализации рекомендуется использование конкретных конечных полей и эллиптических кривых в этих полях. В частности, [[Федеральные стандарты обработки информации|FIPS]] 186-3<ref>[http://csrc.nist.gov/publications/fips/fips186-3/fips_186-3.pdf FIPS 186-3] {{webarchive|url=https://web.archive.org/web/20131007234125/http://csrc.nist.gov/publications/fips/fips186-3/fips_186-3.pdf%E2%80%8E |date=2013-10-07 }} // NIST, 2009; устарел в 2013 году с выходом FIPS 186-4</ref> рекомендует 10 конечных полей. Некоторые из них:
* поля , где простое ''p'' имеет длину 192, 224, 256, 384 или 521 [[бит]],
* поля , где ''m'' = 163, 233, 283, 409 или 571.
=== Связь с локальной дзета-функцией Римана ===
Существует гипотеза Римана для кривых над конечным полем. В ней рассматривается зета-функция, задаваемая формулой <math>Z_E(t) = {1 - a_q(E)t + qt^2 \over (1-t)(1-qt)}</math>, где <math>a_q = q - N_q</math>, а <math>N_q</math> — количество точек эллиптической кривой <math>E</math> над полем <math>\mathbb{F}_q</math>.

Для неё утверждается, что если <math>Z_E(q^{-s}) = 0</math>, тогда <math>Re(s) = 1/2</math>.

Доказательство этого факта легко получить, рассмотрев ограничения на величину <math>a_q(E)</math>. Однако этот результат уже известен из теоремы Хассе, откуда мы получаем, что <math>|N_q - q|\leq 2\sqrt q</math>.

Отсюда легко видно, что если <math>Z_E(q^{-s}) = 0</math>, то <math>q^s</math> является корнем уравнения <math>f(u) = u^2 - a_qu + q</math> с дискриминантом <math>a_q^2 - 4q \leq 0</math>.

Тогда для корней <math>u_1,u_2</math> выполняется <math>|u_1|=|u_2|</math>, откуда с учётом теоремы Хассе очевидно, что <math>|q^s| = \sqrt q</math> и <math>Re(s) = 1/2</math>.

=== Диофантовы уравнения ===
Предположение Пуанкаре о конечности рациональных точек на кривой порядка 1, являющееся предпосылкой теоремы Хассе, также нашло своё применение в решении [[Диофантово уравнение|диофантовых уравнений]].

В 1922 году [[Морделл, Луис Джоэл|Луис Морделл]] связал множество решений диофантова [[Алгебраическое уравнение|алгебраического уравнения]] с геометрическим родом кривой, задаваемой этим уравнением. В процессе анализа уравнения <math>y^2 = x^3 +k
</math>, где <math>k
</math> - целое число, он пришел к выводу, что для уравнений достаточно высокой степени размерность пространства решений выражается через род кривой, и потому эта размерность ''конечна''<ref>{{публикация|книга|автор=[[Морделл, Луис Джоэл|Mordell L. J.]]|заглавие=Diophantine Equations|ссылка=https://books.google.ru/books/about/Diophantine_Equations.html?id=QugvF7xfE-oC&redir_esc=|место={{L.}} — {{N. Y.}}|издательство=Academic Press|год=1969|isbn=0080873421|isbn2=9780080873428|allpages=311|volume=30}}</ref>.

== Примечания ==
{{примечания|2}}

== Литература ==
* {{Citation
| last=Hurt
| first=Norman E.
| author-link=Norman E. Hurt
| title=Many Rational Points.  Coding Theory and Algebraic Geometry
| publisher=[[Kluwer]]/[[Springer-Verlag]]
| location=Dordrecht
| series=[[Mathematics and its Applications]]
| volume=564
| isbn=1-4020-1766-9
| id={{MathSciNet | id = 2042828}},
| year=2003
}}
* {{Citation
| last1=Niederreiter
| first1=Harald
| author1-link=Harald Niederreiter
| last2=Xing
| first2=Chaoping
| author2-link=Chaoping Xing
| title=Algebraic Geometry in Coding Theory and Cryptography
| publisher=[[Princeton University Press]]
| location=Princeton
| isbn=978-0-6911-0288-7
| id={{MathSciNet | id = 2573098}},
| year=2009
}}
* Глава V {{Citation
| last=Silverman
| first=Joseph H.
| author-link=Joseph H. Silverman
| title=The arithmetic of elliptic curves
| publisher=[[Springer-Verlag]]
| location=New York
| series=[[Graduate Texts in Mathematics]]
| isbn=978-0-387-96203-0
| id={{MathSciNet | id = 1329092}},
| year=1994
| volume=106
}}
* {{Citation
| last=Washington
| first=Lawrence C.
| author-link=Lawrence C. Washington
| title=Elliptic Curves. Number Theory and Cryptography, 2nd Ed
| publisher=[[Chapman & Hall]]/[[CRC Press]]
| location=Boca Raton
| series=[[Discrete Mathematics and its Applications]]
| isbn=978-1-4200-7146-7
| id={{MathSciNet | id = 2404461}},
| year=2008
}}
* Глава 10 {{Citation
| last1=Гельфанд
| first1=А.О.
| author1-link=А.О. Гольфанд
| last2=Линник
| first2=Ю.В.
| author2-link=Ю.В. Линник
| title=Элементарные методы в аналитической теории чисел
| publisher=[[Физматгиз]]
| location=Москва
| year=1962
}}
* {{Citation
| last1=Chahal
| first1=J.S.
| author1-link=Jasbir S. Chahal
| last2=Osserman
| first2=B.
| author2-link=Brian Osserman
| title=The Riemann Hypothesis for Elliptic Curves
| publisher=Mathematical Association of America
| location=
| year=2008
}}

{{Кривые}}

[[Категория:Алгебраические кривые]]
[[Категория:Алгебраическая теория чисел]]
[[Категория:Эллиптические кривые]]
[[Категория:Теоремы алгебры|Х]]
[[Категория:Теоремы геометрии|Х]]