Miller-Rabin素数检验算法原理与实现

1. 为什么我们需要素数检验算法

在密码学领域，素数扮演着至关重要的角色。从RSA加密到Diffie-Hellman密钥交换，几乎所有现代公钥密码系统都依赖于大素数的使用。但问题来了——如何判断一个数百位的大数确实是素数？

传统试除法对于小数字很有效，但对于大数来说计算量呈指数级增长。想象一下要验证一个1024位的数是否为素数，用试除法可能需要检查大约2^512个可能的因数，这在实际中完全不可行。

这就是为什么我们需要像Miller-Rabin这样的概率性素数检验算法。它能在多项式时间内给出一个数"很可能是素数"的判断，虽然不能100%确定，但在实际应用中已经足够可靠。

提示：Miller-Rabin算法在实际应用中通常设置足够的测试轮数，使得错误概率低于硬件故障的概率，因此可以视为确定性算法。

2. Miller-Rabin算法的数学基础

2.1 费马小定理与伪素数

Miller-Rabin算法的基础是费马小定理：如果p是素数，且a不是p的倍数，那么a^(p-1) ≡ 1 (mod p)。然而，存在一些合数（称为伪素数）也能满足这个条件，比如561（最小的卡迈克尔数）。

Miller-Rabin通过更严格的检验条件，能够识别出这些伪素数。它基于一个更强的命题：如果n是奇素数，那么将n-1表示为d×2^s后，对于任意a∈[2,n-2]，要么a^d ≡ 1 (mod n)，要么存在某个r∈[0,s-1]使得a^(d×2^r) ≡ -1 (mod n)。

2.2 强伪素数的概念

如果一个合数n对于某个基a满足上述条件，我们称n为关于基a的强伪素数。Miller-Rabin算法的核心就是通过选择多个不同的基a来降低将合数误判为素数的概率。

3. Miller-Rabin算法的实现步骤

3.1 算法预处理阶段

首先，我们需要将待检验的数n-1分解为d×2^s的形式：

1. 找到最大的s使得n-1可以被2^s整除
2. 计算d = (n-1)/2^s

例如，对于n=97：
n-1=96=3×2^5 → s=5, d=3

3.2 单轮检验过程

对于每个选择的基a（通常从2到n-2随机选择）：

1. 计算x = a^d mod n
2. 如果x≡1或x≡n-1，则n可能为素数，进入下一轮检验