definition of pairing

Pairing 2010のSilvermanの講演で, 暗号の本に載ってるのと違った, より抽象的な定義の説明があったので多少(どころではない分量になってしまったけど)補足説明してみます.
群, 環, 準同型定理, 位相空間, 多様体のおさらいは駆け足でしますが, 別途勉強しておいたほうがよいでしょう.

(注意) このHTMLの最新版はpairing-docで公開しています. HTMLはもう更新されません.

まずはいくつかの基本的な用語から.

Rを可換環, MをR加群とします. 可換環は四則演算のうち割り算を考えない集合です. Z/mZとか行列の集合とかそんなのです. R加群はそれ自体がアーベル群で, Rと掛け算ができるものと思ってよいです. r∈R, m₁, m₂∈Mがあったらrm₁∈Mで, r(m₁ + m₂) = rm₁ + rm₂ が成り立ってたりします. まあ普通成り立ってて欲しいと思う性質が成り立ってます. 詳しい定義は略.

可換環Rがはそれ自体がR加群です. またRが体だったらR加群はベクトル空間になります. ベクトル空間だったら基底がありますが, R加群Mも, その任意の元を有限個の基底で表せるときがあります. すなわち

あるe₁, ..., e_d ∈ Mがあって
∀m ∈ M, ∃r₁, .., r_d ∈ R s.t.(such that) m = Σr_i e_i.
Σr_i e_i = 0ならばr₁ = ... = r_d = 0

一つ目の性質を有限生成, 二つ目の性質を一次独立と言います. 両方満たすときが基底です.

ペアリングの性質をおさらいします.

e : M × M → RでR双線型なものをペアリングということにします. 片側を固定すると線型写像ということです. つまり

e(m + m', m'') = e(m, m'') + e(m', m'')
e(m, m' + m'') = e(m, m') + e(m, m'')
e(a m, m') = a e(m, m')
e(m, a m') = a e(m, m')

さて, 暗号でよく使われるペアリングではMは2個の基底からなるR加群です. 基底をe₁, e₂とするとMの元x, yはx = a e₁ + b e₂, y = c e₁ + d e₂と書けるので双線型性から

e(x, y) = ab e(e₁, e₁) + ad e(e₁, e₂) + bc e(e₂, e₁) + bd e(e₂, e₂)
となります. e_ij = e(e_i, e_j)とすると
e(x, y) = ab e₁₁ + ad e₁₂ + bc e₂₁ + bd e₂₂ --- (*1)

これはつまり, Mの基底e₁, e₂と適当なRの元 e_ijを決めると(*1)でペアリングを定義してもいいということです. となると単なる線型和ですね.

ただこれでは暗号には使えません. なぜなら基底e₁とx = a e₁が与えられたとき, aを求めることは離散対数問題の困難性から無理だからです. (*1)を明示的に計算できるならそもそも暗号に使えないということになります.

Rを体として, e_iの生成する部分加群を<e_i> := {re_i|r∈R}とします. Mは<e₁>と<e₂>の直和なので, 任意の x ∈Mに対して係数は求められなくてもせめて x = u + v, u ∈<e₁>, v ∈ <e₂>と分解できれば何か情報を取れるかもと思ったことがありました. 残念ながら, 実はそういうふうに x を部分群の要素に分解できるなら, DH問題が解けてしまう(ので分解は無理)ということが分かりました(証明はたいして難しくない). ベクトル分解問題と言ったりしてます(最初は2002年のISEC, SCIS2003で吉田さんと発表 cf. The Vector Decomposition Problem). その後はDuursmaや, Galbraithたちが精密化したり, Homomorphic Encryptionで参照されたり(今は使われない)したようです.

横道にそれましたが, 要は(*1)を違う形で(基底を使わない形で)定式化しないといけないということです. Silvermanによる解説はそれが主題です.

しばらく無味乾燥なホモロジー代数の初歩に入ります. ここは難しくはないのですが一度は一歩一歩自分で手を動かして示さないといけないと思います.
キーワードは「短い完全列があれば長い完全列を作れる.」
M, N, P, QをR加群とします.

Hom_R(M, N) := { f : M→N | fはR加群として準同型写像 }とします(以後Hom(M, N)と略記). f(a m + b m') = a f(m) + b f(m')が成り立つということですね.

このHom(M, N)は写像の集合なわけですが, これ自体がR加群になります. 単位元は任意のm ∈ Mについてf(m) = 0とする0写像です. fについて逆元は(-f)(m) := -f(m)で定義します. つまりf, g ∈ Hom(M, N)に対して和を (f + g)(m) := f(m) + g(m), R倍を (rf)(m) := r * f(m)で定義するのです.

初めての人は, ここでまず何を示すべきか分かるでしょうか. まず上で定義した和やマイナスやR倍が正しい定義であること(well-defined)の確認です. それはf + g ∈ Hom(M, N)を示すということです. 「一見あたり前」に見えますが, 「関数の和がMからNへのR加群としての準同型写像であること」は自明ではありません. それをチェックしてみます.

同様に(f + g)(am) = a(f + g)(m)も示してください. これによりf + g ∈ Hom(M, N)を確認できました. (rf) ∈ Hom(M, N)についても, rfという関数の線型性を示す必要があります(自分でやること).

さて, これで何を示せたのかというと「Hom(M, N)がR加群になる」ということです.

P, Q, NがR加群だとするとHom(P, Q), Hom(N, Q)というR加群を作れました. このHomからHomへの写像を考えてみます.

φ:N → Pという準同型写像があったとしましょう. するとf ∈ Hom(P, Q)はPからQへの写像なのでφと合成するとf・φはNからQへの写像になります.

正確には (f・φ)(n) := f(φ(n)) で定義します. f・φ ∈ Hom(N, Q)を確認しましょう.

f・φをφ^*fとかくことにします. するとφ^*はf ∈ Hom(P, Q)をf・φ∈ Hom(N, Q)に写す写像と考えられます. 実はφ^*はHom(P, Q)からHom(N, Q)へのR加群として準同型写像になります.
φ^* : Hom(P, Q) → Hom(N, Q)

最初は混乱するかもしれませんが, 大丈夫でしょうか. φ^*が準同型写像だということは φ^*(af + bf') = aφ^*(f) + bφ^*(f')を示す必要があるということです.

くどいですがやってみましょう. 上記の等号を示すということは関数として同じだということを示すことなので
φ^*(af + bf')(n) = (af + bf')(φ(n)) = af(φ(n)) + bf'(φ(n)) = a(φ^*f)(n) + b(φ^*f')(n) = (aφ^*(f) + bφ^*(f'))(n)

一つ目の等号はφ^*の定義, 二つ目の等号はHom()の演算(和とスカラー倍)の定義, ...となっています.

ここまでの流れをまとめます. P, Q, NがR加群で準同型φ:N → Pがあると準同型写像 φ^* : Hom(P, Q) → Hom(N, Q) を構成できる.

まず単射と全射の復習をしましょう.

f : P → Q が単射であるとは f(p) = 0 ⇔ p = 0
f : P → Q が全射であるとは任意のq ∈ Qに対してあるp ∈ Pが存在して f(p) = q

単射は同じものにいくことはない, 全射は全てに行き渡る, というイメージです.

(任意の)準同型写像 f : P → Q があったときに
Ker(f) := { p ∈ P | f(p) = 0 }
Im(f) := { f(p) | p ∈ P }
と定義します.

Ker(f)はfが0になる(つぶれてしまう)ようなPの元全体, Im(f)はfの行き先全体ということです. それぞれfのkernel, imageと呼びます.

Ker, Imを使って全射と単射を言い表すと
fが単射 ⇔ Ker(f) = {0}
fが全射 ⇔ Im(f) = Q
となります.

f : P → Q があると P/Ker(f) ≃ Im(f) が成り立ちます(準同型定理).

加群の列を考えます. 結構抽象度が高くなってくるのでちゃんと手を動かしてみてください.

R加群P₁, P₂, ...の列とその間の準同型写像f₁ : P₁ → P₂, ...があったときに Im(f_i) = Ker(f_i+1)が成り立つときその列を完全(系)列(exact sequence)といいます.
たとえば

という完全列を考えます. 0というのは単位元0のみからなる加群のことです(集合としては{0}). 0からPへの写像は0を0に写すもの(一時的に0_Pと書くことにします)しかないので普通省略します.

さて, 上記の列が完全であるということはIm(0_P) = Ker(f)が成り立つということです.
Im(0_P)は0なのでKer(f) = 0つまりfが単射であるということの言い換えに過ぎません. 同様に

という完全列を考えてみます. Qから0への写像もQの全ての元を0に写す写像(0_Q)しかないのでやはり省略します. これが完全だということはIm(f) = Ker(0_Q)ということです. 0_QはQの全ての元を0に写すのですからKer(0_Q) = Qです. つまりIm(f) = Q. これはfが全射であることの言い換えです. 単なる言葉遊びが続きますがもう一つ.

が完全だとどうなるでしょうか. 0 → P → Qが完全であることからfは単射, P → Q → 0が完全であることからfは全射ということを意味しているので fは全単射, すなわち同型だということの言い換えです.

これはφが全射, ψが単射, かつIm(ψ) = Ker(φ)であるということです. 特にφ・ψ = 0.

前節の完全列とHomとの関連を考えてみましょう.

加群の間の写像があるとHomを作れました. (*2)の他に加群Qを考えます. そうするとφ^* : Hom(P, Q) → Hom(N, Q)という写像を作れました. 同様にψ^* : Hom(N, Q) → Hom(M, Q)という写像も作れます. 実は

が完全列となります. 完全列 M → N → P → 0 にHomを作用させて新しい完全列を作るので, これを Hom(, Q)の左完全性と言ったりします.

証明しましょう. まずφ^*は単射です. なぜなら f ∈ Hom(P, Q)についてφ^*(f) = 0とします. これは任意のn ∈ Nについてφ^*(f)(n) = f(φ(n)) = 0ということですが, φは全射なので(完全列の仮定), φ(n)はPの全ての値をとります. 全てのPの値についてfが0ということはfは0写像ということです. つまり f = 0. φ^*(f) = 0 ⇔ f = 0が言えたのでφ^*は単射です.

任意のf∈ Hom(P, Q), m ∈ Mについて ψ^*・φ^*(f)(m) = ψ^*(f・φ)(m) = (f・φ・ψ)(m) = f(φ(ψ(m))) = 0(φ・ψ = 0なので). これでIm(φ^*) ⊆ Ker(ψ^*)が言えました.

最後, Im(φ^*) ⊇ Ker(ψ^*) を示します. f ∈ Ker(ψ^*) をとります. つまり任意の m ∈ Mについて ψ^*(f)(m) = f(ψ(m)) = 0. ---(*3) この条件の元でfがIm(φ^*)の元であること, すなわちあるg ∈ Hom(P, Q)についてf = φ^*(g)を示す必要があります. 具体的に構成しましょう(ここで少し考えてみてください).

任意のp ∈ Pについてφは全射なのであるn ∈ Nがあってφ(n) = p. このとき g(p) := f(n)とします(実はこれ, 選択公理なんですが細かいことは気にしない). これはwell-definedです(nのとり方に寄らずg(p)が定まることを示す). なぜなら他のn' ∈ Nでφ(n') = pとするとφ(n - n') = 0. Im(ψ) = Ker(φ)より, あるm ∈ Mがあって ψ(m) = n - n'. すると(*3)の仮定により f(n - n') = f(ψ(m)) = 0. よって f(n) = f(n').

まだg : P → Q を構成しただけで, g ∈ Hom(P, Q)を示したわけではありませんが, それはgの作り方から容易に示せます. 以上で Im(φ^*) = Ker(ψ^*)となり完全性の証明が終わりました.

実はHomの*左*完全性という名前の示す通り, 右完全ではありません. つまりψ^*は全射になるとは限らないのです. そこでどれぐらいずれてるかの調整のためにExtというものを考えます.

しばらくExtの定義のためのホモロジー代数の用語と基本的な定理を証明し続けます. 面倒だと思う人はさくっとExtまで飛ばしてください.

R加群Pが射影的であるとは任意のR加群A, Bと全射準同型写像f : A → B, 準同型写像h : P → Bがあったとき, ある準同型写像g : P → Aがあってh = f・gとできるときをいいます.

この初見ではどうみても作為的な定義が, 加群のコホモロジーの定義に絶大な威力を発揮します.

たとえばRは自身をR加群と思うと射影的です. なぜならf : A → B → 0, h : R → Bがあったとします. r ∈ Rについてh(r) = rh(1). fは全射なのであるa ∈ Aがあってf(a) = h(1). g : R → Aをg(r) = raと定義するとh(r) = rf(a) = f(ra) = f(g(r))が成り立つからです.

Rの元を並べて作った直和⊕Rを自由加群といいますが, 同様にして射影的であることを示せます.

さて, R加群Pに対してPのP個の直和P₀ = ⊕_λ∈PRを考えてλ番目をλ, それ以外を0に写す写像εを考えるとこれは全射です.

そのker(ε)に対して同じことを繰り返すとd₁ : P₁ → ker(ε) → 0を作れます. ker(ε)はP₀の部分群なので Im(d₀) = ker(ε). この操作を繰り返すことで

より一般にR加群Pに対して, (自由加群とは限らない)射影加群の列{P_n}とその間の準同型{d_n}が存在し,

が完全列であるとき, (P_n, d_n, ε)をPの射影分解といいます. 自由加群は射影加群なので上記の操作により射影分解は常に存在します.

Rが単項イデアル整域(PID)と呼ばれる都合のよい環であるとき(たとえばZやZ/pZ), 自由加群の部分加群はまた自由加群, つまり射影加群になることが知られています.
# RがPIDのとき, 自由であることと射影的であることは同値です.

つまり, 上記のker(ε)が射影的になり, そこで止めることができます. 言いなおすとRがPIDなら任意のR加群Pについて0 → P₁ → P₀ → P → 0という射影分解が存在します. とりえあず, これを事実として進めましょう.

R加群の列とその間の順同型写像の組 X = {Xⁿ, dⁿ}がdⁿ⁺¹・dⁿ = 0を満たすとき, Xを双対鎖複体(dual chain complex)といいます.

このとき, Zⁿ(X) = Ker(dⁿ), Bⁿ(X) = Im(dⁿ⁺¹)として Hⁿ(X) = Zⁿ(X) / Bⁿ(X)をXのn次コホモロジーといいます.

二つの双対鎖複体 X = {Xⁿ, dⁿ}, Y = {Yⁿ, eⁿ}とその間の順同型写像の組 fⁿ : Xⁿ → Yⁿ が {dⁿ} と可換なとき f = {fⁿ} を鎖順同型といいます.

Zⁿ(X) = Ker(dⁿ) ∋ xについて可換性の条件から, eⁿ(fⁿ(x)) = f^n-1(dⁿ(x)) = 0 となり fⁿ(x) ∈ Ker(eⁿ) = Zⁿ(Y). つまりfⁿ(Zⁿ(X)) ⊆ Zⁿ(Y).
またXⁿ⁺¹ ∋ xについて fⁿ(dⁿ⁺¹(x)) = eⁿ⁺¹(fⁿ⁺¹(x)). つまりfⁿ(Bⁿ(X)) ⊆ Bⁿ(Y). よって, H(fⁿ) : Hⁿ(X) → Hⁿ(Y)を自然に定義できます.

X = {Xⁿ, dⁿ}, Y = {Yⁿ, eⁿ}を双対鎖複体, f = {fⁿ}, g = {gⁿ}をXからYへの鎖順同型とします. fとgが鎖ホモトープであるとは, あるR順同型写像 s = {sⁿ : Xⁿ → Yⁿ⁺¹}があって, fⁿ - gⁿ = sⁿ⁺¹・dⁿ + e^n-1・sⁿとなるものをいう(s^-1 = 0).

これはちょっと面倒で図を省略します. fとgの差が上から下への矢印が右行って左斜め下に行くものと左斜めに行って右にいくものとの和でかけるということです.

鎖ホモトープという条件は同値関係～になります. Zⁿ(X) ∋ xに対して fⁿ(x) - gⁿ(x) = sⁿ⁺¹・dⁿ + e^n-1・sⁿ(x) = e^n-1・sⁿ(x) ∈ Bⁿ(Y). よって H(fⁿ)(x) = H(gⁿ)(x). つまり f～gならH(f) = H(g)ということです.

双対鎖複体 X, Yに対して鎖順同型 f : X → Y, g : Y → Xが存在して g・f ～ 1_X, f・g ～ 1_Y なったとします(1_Xなどは恒等写像). この状態をXとYは同じホモトピー型を持つといいます. するとH(g)・H(f) = H(g・f) = H(1_X) = 1, H(f)・H(g) = 1となり, Hⁿ(X)とHⁿ(Y)は同型となります.

射影分解はある種の一意性を持ちます. PとP'の射影分解を(P_n, d_n, ε), (P'_n, d'_n, ε')とします.

Hom(P, P') ∋ φを一つとります. ε' : P'₀ → P → 0という全射とφ・ε:P₀ → Pという写像を考えると, P'₀の射影性から, あるφ₀ : P₀ → P'₀ で φ・ε = ε'・φ₀を満たすものが存在します.
するとε'・φ₀・d₁ = φ・ε・d₁ = φ・0 = 0より, Im(φ₀・d₁) ⊆ Ker(ε') = Im(d'₁). よってd'₁ : P'₁ → Im(d'₁) → 0という全射とφ₀・d₁ : P₁ → Im(d'₁)という写像に対して, P'₁の射影性からφ₁ : P₁ → P'₁で d'₁・φ₁ = φ₀・d₁であるものが存在します. これを繰り返すことで上記図式を可換にする鎖写像{φ_n}を構成できます. {φ_n}をφの持ち上げと言うことにしましょう.

{φ_n}はホモトピーを除いて一意です. つまり{φ_n}, {φ'_n}をφの持ち上げとします.

g_n = φ_n - φ'_nとしましょう. これはφ-φ=0写像の持ち上げとなっています. s_-1 = 0として, s₀ : P₀ → P'₁を構成します.

d'₀・g₀ = d₀・0 = 0よりIm(g₀) ⊆ Ker(d'₀) = Im(d'₁). よって全射 d'₁ : P'₁ → Im(d'₁)とg₀ : P₀ → Im(d'₁)に対してP'₁の射影性から, s₀ : P₀ → P'₁で g₀ = d'₁・s₀であるものが存在します.

次にd'₁・(g₁ - s₀・d₁) = d'sub(1)・g₁ - g₀・d₁ = 0より g₁ - s₀・d₁ ⊆ Ker(d'₁) = Im(d'₂). P'₂の射影性からs₁ : P₁ → P'₂で s₁・d'₂ = g₁ - s₀・d₁であるものが存在します. つまりg₁ = s₁・d'₂ + s₀・d₁. これを繰り返すことで{s_n}を構成できます. よって{φ_n}～{φ'_n}. ホモトピーの節からH(φ_n) = H(φ'_n)となり, H(φ^*)はφの持ち上げかたによらないことが分かります.

漸くExtの定義にたどり着きました.
R加群P, Qに対してExtを次のように定義します. Pの射影分解(P_n, d_n, ε)

を一つとり, d₀ = 0として X = {Hom(P_n, Q), d_n*}を考えます(Pを取り除きます).
この鎖複体に対して Hom(, Q)を適用すると 0 → Hom(P₀, Q) → Hom(P₁, Q) → ... という双対複体を構成でき, このコホモロジーをExtとします. つまり
Extⁿ(P, Q) := Hⁿ(Hom(P_*, Q))
で定義します.

ε^* : Hom(P, Q) → Hom(P₀, Q)は単射なので Ext⁰(P, Q) = Ker(d_0*) = Im(ε^*) = Hom(P, Q) が成り立ちます.

という射影分解に対してExtを考えることができます. そうすると

という鎖複体なので Ext¹(P, Q) = Ker(0^*) / Im(d^*) = Hom(P₁, Q) / Im(d^*) = Coker(d^*)
Extⁿ(P, Q) = 0 for n ≧ 2 となります.

ここでSilvermanの論文に出てくるExtの表現との関係を見てみましょう. SilvermanのところではExt(P, Q)の元fはf : P × P → Qでf(x, y) - f(x, y + z) + f(x + y, z) - f(y, z) = 0を満たすもの. ただしf～f' ⇔ ある g : P → Qで(f - f')(x, y) = g(x + y) - g(x) - g(y)でした. -(***)

きちんとした定義のExt¹(P, Q)の元がそのように表現できること示します. εが全射なのでσ : P → P₀ でε(σ(p)) = p となるσをとることが出来ます. このσは準同型である必要はありません.

x, y ∈ Pに対してε(σ(x+y) - σ(x) - σ(y)) = (εσ)(x+y) - (εσ)(x) - (εσ)(y) = 0. つまり σ(x+y) - σ(x) - σ(y) ∈ Ker(ε) = Im(d). よってz ∈ P₁の元でd(z) = σ(x+y) - σ(x) - σ(y) となるものが唯一定まります. この対応をλ(x,y) = zとかくことにします. λ : P × P → P₁. d(λ(x, y)) = σ(x+y) - σ(x) - σ(y).

Ext¹(P, Q)の元の代表 f ∈ Hom(P₁, Q)をとってきて, このλとの合成f~ = f・λを考えると f~ : P × P → Q でf(x, y) - f(x, y + z) + f(x + y, z) - f(y, z) = 0となることがすぐわかります.

また, Im(d^*) の元はg : P₀ → Qを用いてg・d:P₁ → Qで表せます. よって, (g・d)~(x, y) = g・d(λ(x, y)) = g(σ(x+y) - σ(x) - σ(y)).
つまりg' = g・σとおくと(g・d)~(x, y) = g'(x+y) - g'(x) = g'(y)となります.

というわけでExt¹(P, Q)の元を自然に(***)の形とみなすことができました(もちろん全射にはならない).

RがPIDのとき, Extⁿ = 0 (n ≧ 2)なのでExt¹をExtと略記して話を進めます.

(注意)Rが一般の環のときは最後が0ではなくずっとExtの列が続きます.

証明しましょう. またしばらくかかるので位相空間などなどまで飛ばして下さい. ここからしばらくRがPIDであることを仮定します. この仮定は殆どのところで不要, あるいは数学的帰納法を用いて証明できます. 図式が煩雑になるため省略します.

RをPIDとする. MとPの射影分解をそれぞれ({M', M''}, d'', ε''), ({P', P''}, d, ε)とします. このとき0 → M' → N' → P' → 0が完全になるようなNの射影分解({N', N''}, d', ε')が存在し, 下記図式が全て可換になるようにできます.

1. (N', ε'の定義) N' := M' + P'とします. さらにπ : N' = M' + P' ∋ (m', p') → m' ∈ M'. ι : P' ∋ p' → (0, p') ∈ N'とします.
すると0 → M' → N' → P' → 0 は完全. π・ψ' = id_M'. φ'・ι = id_P'.

全射 φ : N → P とε : P' → PとP'の射影性からあるf : P' → Nでε = φ・fとなるものが存在. ε' : N' → Nをε' = ψ・ε''・π + f・φ'とします.

2. (可換性) ε'・ψ' = ψ・ε''・π・ψ' + f・φ'・ψ' = ψ・ε''.
φ・ε' = φ・ψ・ε''・π + φ・f・φ' = ε・φ'.

3. (ε'の全射性) n ∈ Nをとる. εが全射なので∃p' ∈ P' s.t. ε(p') = φ(n). φ(n - ε'(ι(p'))) = ε(p') - ε・φ'・ι(p') = ε(p') - ε(p') = 0. よって∃ m ∈ M s.t. ψ(m) = n - ε'(ι(p')). ε''が全射なので∃m' ∈ M' s.t. ε''(m') = m.
よってε'(ψ'(m') + ι(p')) = ψ・ε''・πψ'(m') + f・φ'ψ'(m') + ε'(ι(p')) = ψ・ε''(m') + ε'(ι(p')) = ψ(m) + ε'(ι(p')) = n.

4. (M, N, P)の代わりに今構成した(M', N', P')の部分加群(Ker(ε''), Ker(ε'), Ker(ε))を置き換えることで N''を構成できます.

5. d' : N'' → Ker(ε')が単射であること. d'(n'') = 0とする. d(φ''(n'')) = φ'(d'(n'')) = 0. dは単射なのでφ''(n'') = 0. よって∃m'' ∈ M'' s.t. ψ''(m'') = n''. ψ'・d''(m'') = d'・ψ''(m'') = d'(n'') = 0. ψ', d''が単射なのでm'' = 0. よってn'' = 0. RがPIDでない場合は左の0 →が無くて必要なだけ繰り返して延ばします.

Hom(, Q)の右が完全になるときがあります.

(RはPIDでなくてよい)
R加群M, N, Pに対する完全列があり, τ・i = id_Mとすると, R加群Qに対して

上記のようなτがあるとき分解型完全列といいます. そうでないときも最後の → 0以外は成り立つのでそこを示します.

といっても簡単で, Hom(M, Q) ∋ fについて, f・τ ∈ Hom(N, Q)を考えるとi^*(f・τ) = f・τ・i = f.

(RはPIDでなくてよい)
次の完全列があったときに少し長い完全列を作れます. X, Y, Z, X', Y', Z'がR加群で

があったときに, Ker, Cokerを下記のように増やせてかつker(d'') → Coker(d)をつなげられます.

1. i, i', i'', p, p', p''の構成
ker(d)はXの部分加群なので標準的なinclusionです. 他も同様です. Coker(d) = X' / Im(d)なのでpは標準的なprojectionです.

2. hの構成
ker(d) ∋ xについてd'・f・i(x) = g・d(x) = 0よりf・i(x) ∈ ker(d'). つまりfをker(d)に制限した写像hはh : ker(d) → ker(d')になります. h'も同様です.

3. δ : Ker(d'') → Coker(d)の構成
δを連結写像と言ったりします. ker(d'') ∋ xに対して f'が全射なので∃y ∈ Y s.t. f'(y) = i''(x). g'(d'(y)) = d''(f'(y)) = d''(i''(x)) = 0よりd'(y) ∈ ker(g') = Im(g). よってx' ∈ X' で g(x') = d'(y) となるものがただ一つ存在します. δ(x) := p(x')としましょう.
well-definedを確認します. 別のy~ ∈ Y s.t. f'(y~) = i''(x)があったとすると, f'(y~ - y) = 0. よって∃x ∈ X s.t. f(x) = y~ - y. x'~ ∈ X' でg(x'~) = d'(y~). よってg(x'~ - x') = d'(y~ - y) = d'・f(x) = g・d(x). gが単射なのでx'~ - x' = d(x). よってp(x'~) = p(x')となりδはwell-definedになります. 他の完全性の部分は略.

準備が整いました. さてPIDな環Rの完全列 0 → M → N → P → 0があったときに, 補題1から完全列を作り, それに対してHom(, Q)を作用させます. 真ん中の縦の列は分解型完全列なので補題2を使うと次の図式がでます.

これに対してヘビの補題を適用することでkerとCokerの完全列ができます. ところでker(d^*)はHom(P, Q), CokerはExtなので, 結局

ホモロジー代数の話はひとまずそれぐらいにして, 次に位相空間まわりの最低限の定義を復習しておきます. またもや無味乾燥な定義の列...

実数や複素数体上の開集合は直感的ですが, 距離の定義できない空間でも遠い, 近いという概念を考えたいときに抽象的な位相空間が定義されました.

・集合Xとその部分集合の族Yの組(X, Y)が位相空間であるとは
1) X ∈ Y, Φ(空集合のつもり) ∈ Y.
2) U₁, U₂ ∈ YについてU₁ ∩ U₂ ∈ Y.
3) 任意個のU_λ ∈ Yについて∪U_λ ∈ Y.
を満たすものをいい, Yの元をXの開集合といいます. 開集合の補集合が閉集合です.

言葉で言うと, 全体と空集合はopen, 有限個のopen setの交わりはopen, 無限個でもいい任意個のopen setの併合はopenということです.

Y = {X, Φ}と開集合が2個しかないときでもXは位相空間になります. 逆にYをX全ての部分集合としたときもXは位相空間になります.
Rの普通の開集合は開区間(a, b)を組み合わせてできたものです. 無限個の開区間(1-1/n,1+1/n)の交わりは ∩(1-1/n,1+1/n) = {1}となり開集合ではありません. 上記定義の2)が有限個なのはそれを反映しています. 代数多様体で定義されるZariski位相はそれよりもずっと開集合が少ない感じです.

・位相空間X, Yがあったときに関数 f : X → Yが連続であるとは Yの任意の開集合Uの引き戻しf^-1(U)がXの開集合であること, でした.
この定義は抽象的ですが, Xが実数や複素数体上の関数の素朴な連続の定義に一致します.

・位相空間Xの部分集合Kがコンパクトであるとは, Kの任意の開被覆 ∪U_λ ⊇ Kがあったときに, そこから有限個取り出して覆えることです. ∪ⁿ U_{λ_i} ⊇ K.

Xが実数などの距離空間のときはコンパクトは有界閉集合に一致します.

位相空間の連続写像 f : X → Y とコンパクト K ⊆ X があったときf(K)はコンパクトです.

なぜならf(K)の開被覆があったとすると, それをfで引き戻せばKの開被覆になり, Kはコンパクトなので有限個取れるからです.

・XがHausdorffであるとはXの任意の異なる2点x, yに対してU ∋ x, V ∋ yとなる開集合U, VがあってU ∩ V = Φとできることです. 要はどんなに近い2点であってもそれを分ける小さな開集合があるということです.

XがHausdorffであることはΔ := { (x,x) | x ∈ X } が X × X の中でclosedであることと同値です. Zariski位相はHausdorffではないのですが, Hausdorff的な条件が必要なときに対角写像が"閉"であるという性質を使ってその代わりにすることがあります.

・f : X → Y が同相(homeomorphic)写像であるとはfが連続で, 逆写像f^-1が存在してf^-1も連続なことです. 位相空間として同一視できるということです.

複素多様体とは大雑把にいうと局所的にCⁿの開集合と思えて, それの張り合わせたものであり, つなぎ目も滑らかになっているものです.

複素1変数関数fがある開集合Dの各点で微分可能なときDで正則(holomorphic)といいます. それは各点zの近傍(zを含む開集合)でTayler展開できることと同値です. C上正則で有界な関数は定数関数しかありません(Liouvilleの定理). Cauchyの積分定理から示せます.

・Hausdorff空間Xがn次元複素多様体であるとはXの開被覆 X = ∪U_λと各開被覆U_λに対してCⁿの開集合への同相写像 φ_λ : U_λ → φ_λ(U_λ) ⊆ Cⁿ があって U_λ ∩ U_μ ≠ Φのときφ_μ・φ_λ^-1 : φ_λ(U_λ ∩ U_μ) → φ_μ(U_λ ∩ U_μ) が正則関数, かつ逆写像も正則関数であるものです.

言葉にするとややこしいですが, 図を書いてみると張り合わせの感覚が分かると思います. (U_λ, φ_λ)を局所座標といいます.

X上の関数fが正則(holomorphic)であるとは, 局所座標を通じて作ったf・φ_λ^-1:φ_λ(U_λ) → Cが正則なときにいいます.

複素多様体の一例で重要な概念である射影空間を定義します.

Euclid空間Cⁿ⁺¹の2点x, yに同値関係を「x～y ⇔ あるλ ∈ C^*があってx = λy」でいれます. ベクトルの向きが同じ点を同一視するということです. 同値関係で割った空間を Pⁿ := Cⁿ⁺¹/～と書きn次射影空間といいます. Pⁿは複素多様体になります. x = (x₀, ..., x_n)の同値類を(x₀:...x_n)と書くことにします.

P¹で考えてみましょう. U = {(x:y)∈P¹ | y ≠ 0}, φ:U → C をφ(x:y) = x/yとすると φはwell-definedで1対1の対応になります. V = {(x:y)∈P¹ | x ≠ 0}, ψ:V → C をψ(x:y) = y/xとするとこれも1対1の対応がつきます. P¹ = U ∪ Vであり, U ∩ V上ではC^*と1対1の対応がつくことも分かって局所座標になります. P - U = {(x:y)∈P¹ | y = 0}は = {(1:0)}と1点になります. これを∞とかくことにするとP¹ = C ∪ {∞}となります. Riemann球面といいます.

複素多様体XからP¹への正則な写像をX上の有理型関数といいます. X上の有理型関数全体をM(X)と書くことにします.

アーベル多様体を定義します. と言っても大雑把なところでお茶を濁します. とりあえずC(複素数体)上の話ですすめます.

Vをg次元複素ベクトル空間, Λを2g次元Zベクトル空間としてX := V/Λをg次元複素トーラスといいます. 複素トーラスには自然に足し算の構造が入ります.

Vの基底をe₁, ..., e_g, Λの基底をλ₁, ..., λ_2gとして, λ_i = λ_1i e₁ + ... λ_gi e_g (λji ∈ C) とかいたときg行2g列の行列Π = (λji) を周期行列といいます.

複素トーラスXの周期行列Πに対してある非退化交代行列 A ∈ M_2g(Z) (A = -^tA)が存在して
1) ΠA^{^-1} ^tΠ = 0
2) i ΠA^{^-1} ^tΠ^~ > 0 (正定置 := 行列の固有値が全て正)
が成り立つときXを複素アーベル多様体といいます.

1次元のときは複素トーラスは必ずアーベル多様体になります. なぜならΛの基底を1とλ(実数でない)として, 非退化な交代行列Aをについて逆行列A^-1を

とおくと1)の条件は (1 λ) * ^t(bλ - b) = bλ - bλ = 0.
2)の条件は i(1 λ) * ^t(bλ^~ -b) 2b Im(λ) > 0となり常に成り立つようにできるからです.

1次元複素トーラス(=1次元アーベル多様体)を楕円曲線といいます.

π : C → X := C / Λをπ(x) := x mod Λとします. 単にΛだけずれた値を同一視するということです.

楕円曲線Xに位相を入れましょう. 「U ⊆ Xが open ⇔ π^-1(U)がCの中で open」と定義します. 更にπ : C → Xは連続になります(ほぼ自明).

K:={a + bλ ∈ C|a, b ∈ [0, 1]}とするとKはCの中でコンパクト(有界閉集合)で, πが連続ですからその像であるX = π(K)はコンパクトです.

Cの中の開集合Uを十分小さくとるとΛずれた値が入らないようにできます. その範囲内では π|_U : U → π(U) ⊆ X は1対1の対応がつき逆写像も連続である(homeomoprhic)ことがわかります. つまりXは局所的にはCの開集合と同じと思えるということです. 張り合わせ部分も問題なくできて, これによりXはコンパクト1次元複素多様体になります.

また加算や逆元(マイナス操作)も正則にできることがわかります.

楕円曲線上X上の関数はC上の関数でf(x + a + bλ) = f(x), a, b ∈ Z, Λ = <1, λ>を満たす関数とみなせます. fをC上の二重周期関数と呼んだりします.

mを自然数とし, X上のm倍写像 m : X ∋ x → mx ∈ Xを考えるとm(x + y) = mx + myなので準同型写像です. Ker(m)はm倍して0になる点ですが, Λ = Z + ZλなのでKer(m) = { a/m + b/mλ ∈ X | a, b ∈ Z} = (Z/mZ)²となります. またmは全射です.

基本的な用語がだいたい終わったので(ふぅ), 漸く本題のペアリングの話に戻れます.

mを自然数とし, G_mをCの乗法群C^* := C - {0}とします. Xを楕円曲線, X[m] := { x ∈ X | mx = 0 }とします. すると次の完全列をえられます.

m : X → Xはm倍写像です. G_mへのHomを考えることでExtの完全列を使って次の完全列がえられます.
G_mが乗法群なので行き先は + ではなく * で表現することに注意.

Hom(X, G_m)はXからG_mへの正則で準同型の写像全体です. f ∈ Hom(X, G_m)をとると Xはコンパクトなのでf(X) ⊆ G_mはコンパクト, つまりC内で有界. fはC上の周期関数とみなせます. するとC上の有界な正則関数は定数しかないのでf = constとなります. 準同型なのでf(0) = const = 1. よってHom(X, G_m) = { 0 }となります. 上記長完全列のうち必要な部分を抜き出すと

となります. f ∈ Hom(X[m], G_m), x ∈ X[m] について 1 = f(0) = f(mx) = f(x)^m. だから f(x) ∈ μ_m = { x ∈ C | x^m = 1 }. つまりHom(X[m], G_m) = Hom(X[m], μ_m).

X^ := Ext(X, G_m)と定義し, これをXの双対楕円曲線とよぶことにすると上の列は

となります. Im(δ) = Ker(m^*) = { x ∈ X^ | mx = 0 } = X^[m]ですから準同型定理により
Hom(X[m], μ_m) = X^[m]という同型をえられます.

するとx ∈ X[m], f ∈X^[m] = Hom(X[m], μ_m)に対してその値 f(x) ∈ μ_mを取るという自然な写像がえられます.

これをWeilペアリングと呼びます. Xを楕円曲線としましたが, アーベル多様体でも同様に進められます. 作り方をおさらいすれば分かるように楕円曲線Xとm倍写像から基底を使うことなく自然にペアリングを定義できました. これが基底によらない抽象的な定義です.

さて, X^の正体に入る前に, またしばらく準備が必要です. まず因子の定義をしましょう.

Xを楕円曲線としたとき, Xの点の形式的有限和 D = Σa_n (P_n)をWeil因子といい, その次数を deg D = Σa_nで定義します. Xの因子全体の集合をDiv(X)と書きます. 因子の和を D + D' = Σa_n (P_n) + Σa'_n (P'_n)とすることでDiv(X)はAbel群になります. Div⁰(X) = { D ∈ Div(X) | deg D = 0}とするとDiv⁰(X)はDiv(X)の部分群です.

順序も入れておきましょう. 二つの因子D, DについてD ≧ D'であるとはD - D' = Σa_n (P_n)についてa_n ≧ 0 for all nとします.

X上の有理型関数f(≠0, ∞) ∈ M(X)に対して, f(z) = 0となるzを零点(zero), f(z) = ∞となる点を極(pole)といいます. fをzの近傍の局所座標でLaurent展開して f(z) = Σ_i=s^∞ a_i zⁱとなったとき, zがzeroならs > 0, zがpoleなら s < 0となります. ord_z f = sと書き, fのzの位数(order)といいます.

div(f) := Σord_P(f) (P)と定義すると, fのzeroやpoleや有限個しかありません. なぜなら無限個あったとするとXはコンパクトなので集積点ができて, 一致の定理からそれは定数関数で0か∞になってしまうからです. よってdiv(f)はXの因子となります.

またfの重複度を込めたzeroの数とpoleの数は同じである(fが定める関数体間M(P¹)→M(X)の拡大次数に等しい)ことが示せて, 結果deg div(f) = 0となります.

二つの因子D, D'が線型同値であるとは, あるfがあってD = D' + div(f)となるときにいいます.

f, gを0や∞でない有理型関数とするとdiv(fg) = div(f) + div(g), div(f^-1) = -div(f)であることは容易にわかります. よって

div : M(X) → Div⁰(X) は準同型写像になり, Pic⁰(X) := Div⁰(X) /～もアーベル群になります. PicはPicardの略です.

とりあえず, Pic⁰(X)を定義しましたが, これだけでは全然意味がわかりませんね.

因子がどう大事なのかを見るために少し寄り道します.

天下り的ですがもう少しだけ定義を続けます. 因子Dに対してL(D) := { f | div(f) ≧ -D} ∪ {0}とします. L(D)はベクトル空間になります. なぜなら二つの関数f, gに対してf + gはzeroは増えることはあってもpoleは打ち消しあう可能性しかないからです.

L(D)の次元をl(D)としましょう. l(D) := dim_C L(D). DとD'が線型同値なとき(D = D' + div(f)), L(D')の元にfをかけるとL(D)の元になるのでL(D)とL(D')はベクトル空間として同型になります. 特にl(D) = l(D').

X上の正則な関数は定数関数しかなかったのでL(0) = Cとなります. 一般的にL(D)は有限次元ベクトル空間になるのですが, もっと精密に

楕円曲線に対する一番簡単なRiemann-Rochの定理(の一部):
deg D > 0のときl(D) = deg D.

が成り立ちます. Riemann-Rochは楕円曲線だけでなく, 1次元の連結なコンパクトな複素多様体(=Riemann面)などでも成り立つ定理です.

Dが一点Pからなる因子 (P) のとき, l((P)) = 1です. 定数関数は L((P)) の元ですので, L((P)) は定数関数しかないということです. これはC上の二重周期関数で一位のpoleを持つものが存在しないことを意味しています.

この定理を使って楕円曲線を射影空間の部分多様体として実現してみましょう.

まず楕円曲線の点Pを固定してD = n(P)という因子を考えてみると, Riemann-Rochの定理からn > 0のときl(n(P)) = nとなります.

L(2(P))は2次元で定数関数1以外の元fをとるとL(2(P)) = <1, f>となります.

L(3(P))は3次元でL(3(P)) = <1, f, g>としましょう. L(4(P))を考えてみます. fは点Pで2位のpoleだったのでf²は点Pで4位のpoleを持ちます. つまりL(4(P)) = <1, f, g, f²>.

L(5(P))はどうでしょう. 点Pでfが2位, gが3位のpoleを持つのでfgは5位のpoleを持ちます. つまりL(5(P)) = <1, f, g, f², fg>.

もう一つ. L(6(P))を考えるとf³, g²のどちらも6位のpoleを持ちます. deg L(6(P)) = 6ですから, 7個の基底の候補1, f, g, f², fg, f³, g²は線型従属になります.

つまりあるa₁, ..., a₇(全てが0ではない)が存在して
a₁ + a₂ f + a₃ g + a₄ f² + a₅ fg + a₆ f³ + a₇ g² = 0.

3次方程式の2次の項を消す要領で適当にアフィン変換を施してfとgを取り直すと
g² = f³ + a f + bと式変形できます. ---(*4) これはいわゆる普通の楕円曲線の定義方程式です.

実はφは正則で1対1, φの像φ(X)はP²の中でコンパクトな部分多様体になることがわかります. そうすると1次元複素トーラスであったXは(*4)という式で定義された多様体と同じものとみなせます.

つまり, 楕円曲線は(fとgをxとyという名前に置き換えると)y² = x³ + ax + bという形しかないということがわかります. 何故, 暗号の入門書などで唐突にこんな方程式が現れ, それしか考えないのかというのは, (1次元の範囲では)そういうものしか無かったから, なのでした.

一般に何か分からないXを調べるとき, Xを直接調べるのではなくX上の関数全体を考えるという方法があります. たとえばXがベクトル空間のときはHom_C(X, C)はXに同型でした. 楕円曲線のときは正則な関数は定数関数しかなかったので, poleを持ってもよい関数を少しずつ増やすことで, それから作られるPⁿへの写像を考えてみたのです. 実は楕円曲線でなくもっと一般のコンパクトRiemann面に対しても同様にPⁿの部分多様体として実現できます.

とりあえず, 因子とそれから作られるベクトル空間に関する次元の定理があるといろいろできるというのが少しは伝わったでしょうか.

実は楕円曲線 X に対して Pic⁰(X) は X 自身になることが示せます.

deg D = 0とします. Oを楕円曲線の単位元として, D + (0)という因子を考えるとdeg (D+(O)) = 1. Riemann-Rochの定理よりl(D + (O)) = 1. よってあるf ∈ M(X)があって D' := div(f) + D + (O) ≧ 0. deg D' = 1で, 全ての点で0以上なので結局D'は1点P_Dからなる因子 (P_D)であることが分かります. するとD = (P_D) - div(f) - (O) ～ (P_D) - (O).

このP_DはDから一意に定まります. なぜなら(P) - (O) ～ D ～ (P') - (O)とすると(P)～(P'). つまりあるf ∈ M(X)があってdiv(f) = (P) - (P'). これはfがPで1位のzero, P'で1位のpoleを持つということです. そうするとX ∋ x → (f(x):1) ∈ P¹という写像は全単射正則写像になってXがP¹になってしまいます. というわけで

という写像を構成できました. φ(D + D') = φ(D) + φ(D')は容易に示せます. P_Dはもっと具体的に構成法を示せます.

P, Q ∈ Xとし, X上の点加算としてR = P + Qとします. f(x,y) = ax+by+cをP, Qを通る直線の式とすると f(P) = f(Q) = f(-R) = 0. よってdiv(f) = (P) + (Q) + (-R) - 3(O). g(x,y)=dx+eをR, Oを通る直線の式とするとdiv(g) = (R) + (-R) - 2(O). よって
div(f/g) = (P) + (Q) - (R) - (O). つまり((P) - (O)) + ((Q) - (O)) ～ (P+Q) - (O).

一般にD = Σa_n (P) ∈ Div⁰(X)に対し点加算としてのP_D = Σa_n PをとるとD ～ (P_D) - (O)となることが分かります.

X^の話に戻ります.

T ∈ Xを一つとったとき, τ_T : X ∋ P → P + T ∈ XというTだけ足す関数を考えます. D = (T) - (O) ∈ Pic⁰(X) = Xをとり, τ_P^*D = (T - P) - (-P)とします.

τ_R^*D - D = (T - P) - (-P) - (T) + (O)を考えると点の加算として T - P + P - T = O なので Riemann-Rochの定理からあるf_{T, R} ∈ M(X)があって
τ_R^*D - D = div(f_{T, R}).
このfは定数倍を除いてuniqueです.

φ : Pic⁰(X) → Ext(X, G_m) を φ(T)(P, Q) = f_{T, P}(Q) / f_{T, P}(O)
で定義します. 定数倍してf_{T, P}(O) = 1としてもよいです.
T = Oのときはf_{D, R} = 1とします.

div(f_{T, P + Q}) = (T - P - Q) - (-P - Q) - (T) + (O)
= (T - P - Q) - (-P - Q) - (T - Q) + (-Q) + (T - Q) - (T) - (-Q) + (O)
= div(τ_Q^* f_P) + div(f_Q)

φ(T)(P, Q) / φ(T)(P, Q + R) × φ(T)(P + Q, R) / φ(T)(Q, R)
= f_P(Q) / f_P(O) × f_Q(O) / f_Q(R) × f_{P + Q}(R) / f_{P + Q}(O) × f_P(O) / f_P(Q + R)
= 1

次に単射を確認します. Pic⁰(X) ∋ D をとり, div(f_{T, P}) = τ_P^*D - D とします. ある g ∈ M(X) があって φ(T)(P, Q) = f_{T, P}(Q) = g(P + Q) / (g(P) g(Q)) とします. g(0) = 1としておきましょう.

h(Q) := ((τ_P^*g)/g)(Q) とすると, h(Q) = g(P + Q) / (g(P) g(Q)) = φ(T)(P, Q).
τ_P^*D - D = τ_P^* div(g) - div(g).
よってτ_P^*(D - div(g)) = D - div(g).

任意の P ∈ X について τ_Pによる引き戻しが変わらないということはD - div(g) = 0. つまりD = div(g) ～ 0 となり単射となりました. 全射と準同型も同様に(できると思う… 疲れた…).

長々とやってましたが, X^ = Ext(X, G_m) と Pic⁰(X) と X が同一視できることにより, Weilペアリングのそれが

御意見は光成滋生<herumi@nifty.com>までお願いします

ペアリングの定義