Additionskette

Eine Additionskette für eine positive ganze Zahl ${\displaystyle n}$ ist eine endliche Folge positiver ganzer Zahlen, die mit 1 beginnt und mit ${\displaystyle n}$ endet und bei der jede Zahl der Folge außer der 1 die Summe zweier nicht notwendig verschiedener vorangegangener Folgenglieder ist. Für fast alle Fragestellungen genügt es, streng monoton steigende Folgen zu betrachten, so dass die Monotonie oft mit gefordert wird (siehe Varianten der Definition).

Unter der Länge einer Additionskette versteht man die Anzahl der Folgenglieder, die Summe vorangegangener Folgenglieder sind – die 1 am Anfang wird also nicht mitgezählt. Ist ${\displaystyle r}$ die Länge der Additionskette ${\displaystyle (a_{i})_{i=0,\cdots ,r}}$ für ${\displaystyle n}$, so ist ${\displaystyle a_{0}=1,a_{1}=2,\cdots ,a_{r}=n}$. Die minimale Länge aller Additionsketten für ${\displaystyle n}$ wird mit ${\displaystyle l(n)}$ bezeichnet.

Beispiel:

• (1, 2, 4, 5, 9) ist eine Additionskette der Länge 4 für 9, denn 2 = 1+1, 4 = 2+2, 5 = 4+1 und 9 = 5+4.
• (1, 2, 4, 6, 9) ist keine Additionskette für 9, denn 9 ist nicht Summe zweier vorangegangener Folgenglieder.

${\displaystyle l(9)=4}$, denn es gibt keine kürzere Additionskette für 9. Andere Additionsketten für 9 sind gleich lang (zwei weitere) oder länger.

Anwendung und Geschichte

Die erste und bis heute wohl wichtigste Anwendung von Additionsketten ist die Optimierung der Berechnung von Potenzen mit großen natürlichen Exponenten. Hat man eine Additionskette der Länge ${\displaystyle r}$ für eine positive ganze Zahl ${\displaystyle n}$, so lässt sich zu einer Zahl ${\displaystyle a}$ die Potenz ${\displaystyle a^{n}}$ durch ${\displaystyle r}$ Multiplikationen berechnen. Sind nämlich für ein Glied ${\displaystyle x}$ der Additionskette, das Summe vorangegangener Glieder ${\displaystyle y}$ und ${\displaystyle z}$ ist, ${\displaystyle a^{y}}$ und ${\displaystyle a^{z}}$ schon berechnet worden, so ergibt sich ${\displaystyle a^{x}}$ daraus mit nur einer Multiplikation ${\displaystyle a^{x}=a^{y+z}=a^{y}\cdot a^{z}}$. Macht man das nacheinander für alle Glieder der Additionskette, so hat man mit ${\displaystyle r}$ Multiplikationen den Wert von ${\displaystyle a^{n}}$ erhalten. Dabei kann es sich bei der Basis ${\displaystyle a}$ um ein Element einer beliebigen nicht notwendig kommutativen Halbgruppe handeln; es muss also keine Zahl im üblichen Sinne sein. Besonders für endliche Strukturen bietet sich das an, z. B. die Multiplikation und Potenzierung modulo einer ganzen Zahl in Restklassenringen.

Die Frage, wie viele Multiplikationen man für eine Potenzierung mit einem natürlichen Exponenten ${\displaystyle n}$ mindestens braucht, ist 1894 in L'intermédiaire des mathématiciens von H. Dellac gestellt und im selben Jahr von Ernest de Jonquières beantwortet worden, der für einige Fälle die Lösung angab.^[1]

Einen neuen Aufschwung hat das Problem durch die moderne Kryptographie genommen, wo bei einigen Verfahren hohe Potenzen ganzer Zahlen in Modulo-Arithmetik gebraucht werden. Dabei kann die Berechnung durch geeignete Additionsketten beschleunigt werden. Die optimale Lösung zu berechnen, also eine kürzeste Addtionskette für eine Zahl zu finden, hat sich dabei als sehr schwierig erwiesen. Für die Praxis spielt das eine geringe Rolle, da auch fast optimale Lösungen den Zweck erfüllen, aber als mathematische Herausforderung ist es bis heute ein schwieriges Problem trotz der einfachen Fragestellung.

In kryptographischen Verfahren wie RSA ist der Exponent Teil des privaten Schlüssels. Da die Anzahl der Rechenschritte von der Anzahl der Einsen in der Binärdarstellung des Exponenten abhängt, könnte ein Angreifer durch genaue Zeitmessung Rückschlüsse auf die Anzahl der binären Einsen und damit auf den Exponenten selbst ziehen. Um diesen Seitenkanalangriff zu vereiteln, wird das Potenzieren üblicherweise mit einem Algorithmus durchgeführt, dessen Laufzeit unabhängig von Exponenten ist.

Aufbau von Additionsketten

Varianten der Definition

Die eingangs angegebene Definition einer Additionskette ist die ursprüngliche^[2][3] und wird daher meist zugrunde gelegt. Bei ihr treten die Zahlen nicht notwendig in aufsteigender Reihenfolge auf; so sind etwa (1, 2, 3, 4, 8, 11), (1, 2, 4, 3, 8, 11) und (1, 2, 4, 8, 3, 11) drei verschiedene Additionsketten, die dieselben Summen derselben Glieder enthalten und sich nur in der Reihenfolge der Summenbildungen unterscheiden. In aller Regel interessiert man sich aber für die Reihenfolge nicht, sondern betrachtet die drei Ketten als Varianten derselben Kette, genauer: als Repräsentanten derselben Äquivalenzklasse von Ketten. Diese ist dann allein durch die (ungeordnete) Menge der Glieder gegeben: Genau dann, wenn eine endliche Menge ${\displaystyle A}$ positiver ganzer Zahlen die Menge der Kettenglieder einer Additionskette (also die Bildmenge der Folge) ist, gilt ${\displaystyle 1\in A}$ und ${\displaystyle A\setminus \{1\}\subset \{x+y:x,y\in A\}}$. Dann aber ist insbesondere die eindeutig bestimmte streng monoton steigende, ab 0 indizierte Folge der Elemente von ${\displaystyle A}$ eine Additionskette für ${\displaystyle n=\max A}$. Es kann weitere Additionsketten für dieses ${\displaystyle n}$ geben, die aus derselben Menge von Gliedern in anderer Reihenfolge bestehen; diese lassen sich aber leicht aus ${\displaystyle A}$ konstruieren. Oft werden deshalb nur die streng monoton steigenden Additionsketten genauer untersucht, z. B. bei Knuth:^[4] „Wir können ohne Beschränkung der Allgemeinheit annehmen, dass eine Additionskette aufsteigend ist, […] Von jetzt an werden wir nur aufsteigende Ketten betrachten, ohne diese Annahme explizit zu erwähnen.“

Aufzählung von Additionsketten

In dieser Tabelle stehen alle Additionsketten der Länge bis 4 sowie eine Auswahl der insgesamt 135 Ketten der Länge 5, nämlich diejenigen, deren Endglied entweder 15 oder 11 ist. Der senkrechte Strich „|“ trennt alternative Teilketten. Das Auslassungszeichen „…“ bedeutet immer die Kette der Länge 3 in derselben Tabellenzeile. Die Endglieder sind fettgedruckt, wo sie in einer kürzesten Kette für diese Zahl erscheinen.

Auf diese Weise kann man im Prinzip alle Additionsketten aufzählen und erhält damit zu jeder Zahl eine kürzeste, alle kürzesten oder auch alle überhaupt. Ohne weiteres praktikabel ist dieses Verfahren aber nur für kleine Zahlen: Bereits mit der Länge 10 gibt es über 10 Millionen^[5] verschiedene Additionsketten, und ihre Zahl wächst rasch weiter.

Die Anfangsabschnitte einer kürzesten Kette sind nicht notwendig selbst kürzeste Ketten für ihr jeweiliges Endglied. So beginnen die Ketten für 7 und 11 in der obersten Tabellenzeile mit (1, 2, 3, 4), was keine kürzeste Kette ist. Es genügt also nicht, bei der Konstruktion von kürzesten Ketten für ein ${\displaystyle n}$ nur die kürzesten Ketten für die Zahlen ${\displaystyle <n}$ heranzuziehen.

Kürzeste Additionsketten

Zu jeder natürlichen Zahl ab 4 gibt es mehrere Additionsketten, die diese als letztes Element enthalten. Interessant sind besonders kürzeste Ketten, die eine bestimmte Zahl erreichen. Die Zweierpotenzen und die 3 – und nur diese, wie sich zeigen lässt – haben nur eine kürzeste Additionskette. Die 6 sowie alle Zahlen außer 9, die um 1 größer sind als eine Zweierpotenz ab 4, haben genau zwei kürzeste Additionsketten, z. B. 1, 2, 4, 8, 16, (17 oder 32), 33.

Die meisten Zahlen (letztlich sogar fast alle, bezogen auf die richtige Wahl einer Dichte) lassen sich mittels einer Additionskette beschreiben, deren Länge in Abhängigkeit von der Zahl ${\displaystyle n}$ im Wesentlichen ${\displaystyle \log _{2}(n)+{\frac {\log _{2}(n)}{\log _{2}(\log _{2}(n))}}}$ ist.

Eine vermutete und bisher bis ${\displaystyle n=2^{64}}$ bestätigte untere Schranke für ${\displaystyle l(n)}$ ist ${\displaystyle g(n)=\lfloor \log _{2}(n)\rfloor +\lceil \log _{2}(\nu (n))\rceil }$, wobei ${\displaystyle \nu (n)}$ die Anzahl der Einsen in der Binärdarstellung von ${\displaystyle n}$ ist. Das ist zugleich mindestens für kleine ${\displaystyle n}$ eine brauchbare Schätzung für ${\displaystyle l(n)}$: bis ${\displaystyle n=3690}$ ist ${\displaystyle l(n)}$ entweder ${\displaystyle g(n)}$ oder ${\displaystyle g(n)+1}$, und bis ${\displaystyle n=2^{31}}$ ist mit nur einer Ausnahme ${\displaystyle 0\leqq l(n)-g(n)\leqq 3}$. Die Ausnahme ist ${\displaystyle n=2135101487\approx 0.994\cdot 2^{31}}$ mit ${\displaystyle \nu (n)=16}$, ${\displaystyle g(n)=34}$, ${\displaystyle l(n)=38}$.

Eine obere Schranke für ${\displaystyle l(n)}$ ist ${\displaystyle b(n)=\lfloor \log _{2}(n)\rfloor +\nu (n)-1}$, denn man kann zunächst die Kette aller Zweierpotenzen ${\displaystyle \leqq n}$ bilden und dann die übrigen ${\displaystyle \nu (n)-1}$ in der Binärdarstellung von ${\displaystyle n}$ enthaltenen Zweierpotenzen durch Addition hinzufügen. Einige Beispiele von Werten dieser Funktionen sind in der Tabelle rechts aufgeführt, dazu die Anzahl ${\displaystyle \Lambda (n)}$ kürzester Ketten für ${\displaystyle n}$.

Für alle ${\displaystyle n}$ mit ${\displaystyle \nu (n)<5}$ ist ${\displaystyle l(n)}$ bekannt^[6]:

• Ist ${\displaystyle \nu (n)<4}$, so ist ${\displaystyle l(n)=b(n)=g(n)}$.
• Ist ${\displaystyle \nu (n)=4}$, d. h. ${\displaystyle n=2^{p}+2^{q}+2^{r}+2^{s}}$ mit ${\displaystyle p>q>r>s}$, so definieren wir ${\displaystyle c=2^{p-q}+1}$ und ${\displaystyle d=2^{r-s}+1}$. Ist dann ${\displaystyle c\geqq d}$ und gibt es eine kürzeste Additionskette für ${\displaystyle c}$, in der ${\displaystyle d}$ vorkommt, so ergibt sich daraus eine Additionskette für ${\displaystyle n}$ der Länge ${\displaystyle l(n)=p+2=g(n)=b(n)-1}$. Das ist genau dann der Fall, wenn
  • ${\displaystyle c=d}$ (Beispiel: ${\displaystyle n=45,c=d=5}$, Kette 1, 2, 4, 5, 10, 20, 40, 45 der Länge 7) oder
  • ${\displaystyle c=2d-1}$ (Beispiel: ${\displaystyle n=23,c=5,d=3}$, Kette 1, 2, 3, 5, 10, 20, 23 der Länge 6) oder
  • ${\displaystyle c=9,d=3}$ (Beispiel: ${\displaystyle n=147}$, Kette 1, 2, 3, 6, 9, 18, 36, 72, 144, 147 der Länge 9).
• Hat ${\displaystyle n}$ die Form ${\displaystyle 135\cdot 2^{k}}$, mithin ${\displaystyle \nu (n)=4}$, so ist 1, 2, …, 45, 90, 135, …, ${\displaystyle {\boldsymbol {n}}}$ eine Kette der Länge ${\displaystyle l(n)=k+9=g(n)=b(n)-1}$.
• In allen anderen Fällen mit ${\displaystyle \nu (n)=4}$ ist ${\displaystyle l(n)=b(n)=g(n)+1}$.

Weblinks

• Shortest Addition Chains Ergebnisse und Literaturverweise zusammengestellt von Achim Flammenkamp
• Online-Encyclopedia of Integer Sequences, insbesondere Folgen A003313 und A079300

Einzelnachweise

1. ↑ Frage 49 und Antwort dazu in L'intermédiaire des mathématiciens, Band 1 (1894), S. 20 und 162–164; Digitalisat online bei der SUB Göttingen
2. ↑ Arnold Scholz: (Aufgabe 253). In: Jahresbericht der Deutschen Mathematiker-Vereinigung. Band 47, 1937, ISSN 0012-0456, S. 41–42 (digizeitschriften.de [PDF]). 
3. ↑ Alfred Brauer: On Addition Chains. In: Bulletin of the American Mathematical Society. Band 45, 1939, ISSN 0273-0979, S. 736–739 (englisch, ams.org [PDF]). 
4. ↑ Donald E. Knuth: Arithmetik. Springer, Berlin, Heidelberg u. a. 2001, ISBN 3-540-66745-8, S. 298 (englisch: The Art of Computer Programming. Übersetzt von R. Loos). 
   Komplettes Zitat: „Wir können ohne Beschränkung der Allgemeinheit annehmen, dass eine Additionskette aufsteigend ist, ${\displaystyle 1=a_{0}<a_{1}<\cdots <a_{r}=n}$. Denn wenn irgend zwei ${\displaystyle a}$ gleich sind, kann eines von ihnen weggelassen werden; und wir können auch die Folge (1) in aufsteigender Ordnung neu arrangieren und Terme ${\displaystyle >n}$ wegnehmen, ohne die Additionsketteneigenschaft (2) zu zerstören. Von jetzt an werden wir nur aufsteigende Ketten betrachten, ohne diese Annahme explizit zu erwähnen.“
5. ↑ Folge A008933 in OEIS
6. ↑ Donald E. Knuth: The Art of Computer Programming, Vol. 2, Seminumerical Algorithms, 2nd Ed. 1981, Addison-Wesley, ISBN 0-201-03822-6, Theorem C, S. 449