模板 - 数学 - 数论 - Miller-Rabin算法

使用Fermat小定理（Fermat's little theorem）的原理进行测试，不满足 \(2^{n-1}\;\mod\;n\;=\;1\) 的n一定不是质数；如果满足的话则多半是质数，满足上式（通过2为底的Fermat小定理测试）且是合数的，被称为“伪质数”（pseudoprime number），一个简单的伪质数是341。一个合数可能在a=2时通过了测试，但a=3时的计算结果却排除了素数的可能。于是，人们扩展了伪素数的定义，称满足 \(a^{n-1}\;\mod\;n\;=\;1\) 的合数n叫做以a为底的伪素数(pseudoprime to base a)。前1e9个自然数中同时以2和3为底的伪素数只有1272个，这告诉我们如果同时验证a=2和a=3两种情况，算法出错的概率降到了0.000025。容易想到，选择用来测试的a越多，算法越准确。通常我们的做法是，随机选择若干个小于待测数的正整数作为底数a进行若干次 测试，只要有一次没有通过测试就立即把这个数扔回合数的世界。这就是Fermat素性测试（直接使用Fermat小定理进行测试）。

如果考虑了所有小于n的底数a，出错的概率也不能降到0。Carmichael第一个发现这样极端的伪素数，他把它们称作Carmichael数。第一个Carmichael数小得惊人，仅仅是一个三位数，561。前10亿个自然数中Carmichael数也有600个之多。Carmichael数的存在说明，我们还需要继续加强素性判断的算法。

Miller和Rabin两个人的工作让Fermat素性测试迈出了革命性的一步，建立了Miller-Rabin素性测试算法。新的测试基于下面的定理：

如果p是质数，x是小于p的正整数，且 \(x^2\;\mod\;p\;=\;1\) ，那么要么 \(x=1\) ，要么 \(x=p-1\) 。这是显然的，因为 \(x^2\;\mod\;p\;=\;1\) 相当于 \(p|x^2-1\) ，也即\(p|(x+1)(x-1)\)。由于p是质数，那么只可能是 \(x-1\) 能被 \(p\) 整除(此时 \(x=1\) )或 \(x+1\) 能被 \(p\) 整除(此时 \(x=p-1\) )。

我们下面来演示一下上面的定理如何应用在Fermat素性测试上。前面说过341可以通过以2为底的Fermat测试，因 为2^340 mod 341=1。如果341真是素数的话，那么2^170 mod 341只可能是1或340；当算得2^170 mod 341确实等于1时，我们可以继续查看2^85除以341的结果。我们发现，2^85 mod 341=32，这一结果摘掉了341头上的素数皇冠，面具后面真实的嘴脸显现了出来，想假扮素数和我的素MM交往的企图暴露了出来。
这就 是Miller-Rabin素性测试的方法。不断地提取指数n-1中的因子2，把n-1表示成d*2^r（其中d是一个奇数）。那么我们需要计算的东西就 变成了a的d*2^r次方除以n的余数。于是，a^(d * 2^(r-1))要么等于1，要么等于n-1。如果a^(d * 2^(r-1))等于1，定理继续适用于a^(d * 2^(r-2))，这样不断开方开下去，直到对于某个i满足a^(d * 2^i) mod n = n-1或者最后指数中的2用完了得到的a^d mod n=1或n-1。这样，Fermat小定理加强为如下形式：
尽可能提取因子2， 把n-1表示成d*2^r，如果n是一个素数，那么或者a^d mod n=1，或者存在某个i使得a^(d*2^i) mod n=n-1 ( 0<=i<r ) （注意i可以等于0，这就把a^d mod n=n-1的情况统一到后面去了）
Miller-Rabin 素性测试同样是不确定算法，我们把可以通过以a为底的Miller-Rabin测试的合数称作以a为底的强伪素数(strong pseudoprime)。第一个以2为底的强伪素数为2047。第一个以2和3为底的强伪素数则大到1 373 653。

对 于大数的素性判断，目前Miller-Rabin算法应用最广泛。一般底数仍然是随机选取，但当待测数不太大时，选择测试底数就有一些技巧了。比如，如果 被测数小于4 759 123 141，那么只需要测试三个底数2, 7和61就足够了。当然，你测试的越多，正确的范围肯定也越大。如果你每次都用前7个素数(2, 3, 5, 7, 11, 13和17)进行测试，所有不超过341 550 071 728 320的数都是正确的。如果选用2, 3, 7, 61和24251作为底数，那么10^16内唯一的强伪素数为46 856 248 255 981。这样的一些结论使得Miller-Rabin算法在OI中非常实用。通常认为，Miller-Rabin素性测试的正确率可以令人接受，随机选取 k个底数进行测试算法的失误率大概为4^(-k)。

有一个小技巧可以避免溢出，方法就是乘法改为加法，把上面的代码：

参考资料：

素数与素性测试（Miller-Rabin测试） - Norlan - 博客园
(https://www.cnblogs.com/Doggu/p/MillerRabin_PollardRho.html)