扩展欧几里得算法及其应用

扩展欧几里得算法是欧几里得算法（又叫辗转相除法）的扩展。

1 前言

本文主要介绍扩展欧几里得算法的原理和实现，以及其四个应用：方程 $ax+by=c$ 的求解，同余式 $ax\equiv c(modm)$ 的求解，逆元的求解、 $(b/a)$ 的计算。主要参考 《算法笔记》胡凡 5.7扩展欧几里得算法这一章节，并做了自己的修改使得内容更易理解。对于辗转相除法有疑惑的读者可以参考：PAT OJ 刷题必备知识总结。

2 扩展欧几里得算法（求方程 $ax+by=gcd(a,b)$ 的解）

扩展欧几里得算法是欧几里得算法（辗转相除法）的扩展，它用来解决这么一个问题：求一组非零整数解 $(x,y)$ 使得 $ax+by=gcd(a,b)$ 成立，$gcd(a,b)$ 表示 $a$ 和 $b$ 的最大公约数。由裴蜀定理可知这个方程是一定有解的，相关介绍和证明放在本节之后。由于最大公约数是一个定值，因此在下文统一用 $gcd$ 来表示 $gcd(a,b)$。

// 欧几里得算法，又称辗转相除法
int gcd(int a, int b)
{
    if (b == 0) return a;
    else return gcd(b, a % b);
}

欧几里得算法在求解 $gcd(a,b)$ 时，会转化为求解 $gcd(b,a\%b)$。当 $b$ 的值为0时算法结束（到达递归的边界），此时返回的 $a$ 就是最大公约数 $gcd$。在这时我们可以找到解 $x=1,y=0$ 使得方程 $ax+by=gcd$ 成立，可以利用这个解来反推其他的整数解。

假设存在解 $(x_1,y_1)$ 和 $(x_2,y_2)$ 满足下面的方程组：

$$\{\begin{array}{c}a{x}_1+b{y}_1=gcd(a,b)\\ b{x}_2+(a\%b)y_2=gcd(b,a\%b)\end{array}$$

因为 $gcd(a,b)=gcd(b,a\%b)$，同时 $a\%b=a-\lfloor \frac{a}{b}\rfloor \ast b$（$\lfloor \frac{a}{b}\rfloor$ 表示向下取整，例如 $\lfloor \frac{81}{6}\rfloor =13$），因此可以联立得到：

$$a{x}_1+b{y}_1=b{x}_2+(a-\frac{a}{b}\ast b)y_2$$

合并右侧同类项得：

$$a{x}_1+b{y}_1=a{y}_2+b(x_2-\frac{a}{b}{y}_2)$$

由待定系数法知：

$$\{\begin{array}{l}{x}_1=y_2\\ y_1=x_2-\frac{a}{b}{y}_2\end{array}$$

因此我们可以通过 $(x_2,y_2)$ 得到 $(x_1,y_1)$ 。由于欧几里得算法使用递归实现，要计算 $gcd(a,b)$，需要先计算 $gcd(b,a\%b)$，放在算法中实现，只需要在到达递归边界、不断退出当前层时根据上述公式即可计算出上一层的解 $(x,y)$。代码如下：

int extendedGcd(int a, int b, int &x, int &y)
{
	if (b == 0)
	{
		x = 1;
		y = 0;
		return a;
	}
	int gcd = extendedGcd(b, a % b, x, y);	// 递归
	int temp = x;
	x = y;					// x1 = y2
	y = temp - a / b * y;	// y1 = x1 - a / b * y1
	
	return gcd;				// 返回最大公约数
}

因为使用的是引用，因此算法结束时的 $(x,y)$ 就是使得 $ax+by=gcd(a,b)$ 成立的解。那能否有一个更通用的公式，来求出每一层递归的解呢？不妨推导一下，假设每一层递归的解是 $(x+s_1,y-s_2)$，其中 $s_1$，$s_2$ 可以是任何整数。将新解代入方程，联立可以得到方程组：

$$\{\begin{array}{r}a\ast (x+s_1)+b\ast (y-s_2)=gcd\\ ax+by=gcd\end{array}$$

解得 $a{s}_1=b{s}_2$，于是有 $\frac{s_1}{s_2}=\frac{b}{a}$。又因为 $\frac{b}{gcd}$ 与 $\frac{a}{gcd}$ 互质且都为整数，所以可以进一步约分为 $\frac{s_1}{s_2}=\frac{b}{a}=\frac{b/gcd}{a/gcd}$，所以 $s_1$ 和 $s_2$ 的最小取值是 $\frac{b}{gcd}$ 和 $\frac{a}{gcd}$。由此便可以得到一个更通用的公式，或者说是通解：

$$\{\begin{array}{l}{x}^{\prime }=x+\frac{b}{gcd}\ast K\\ \\ y^{\prime }=y-\frac{a}{gcd}\ast K\end{array}(K为任意整数)$$

上式中 $(x,y)$ 是使得 $ax+by=gcd(a,b)$ 成立的解，已由 extendedGcd() 函数得到。

互质是指两个数除了1以外没有其他的公因子。在这里，假设 $\frac{b}{gcd}$ 和 $\frac{a}{gcd}$ 存在除了1以外的公因子 $m$，那么 $\frac{b}{gcd\ast m}$ 和 $\frac{a}{gcd\ast m}$ 也会是整数，而 $\frac{b}{gcd\ast m}\ast (gcd\ast m)=b,\frac{a}{gcd\ast m}\ast (gcd\ast m)=a$，从而 $a$ 和 $b$ 的最大公约数就成了 $gcd\ast m$，这与 $gcd$ 是最大公约数这一前提是矛盾的，因此 $\frac{b}{gcd}$ 与 $\frac{a}{gcd}$ 是一定互质的。

综上，由通解可知 $x^{\prime }$ 和 $y^{\prime }$ 分别以 $\frac{b}{gcd}$ 和 $\frac{a}{gcd}$ 为周期。其中 $x^{\prime }$ 的最小非负整数解是多少呢？从公式看应该是 $x$ 最大程度上地减去 $\frac{b}{gcd}$ 的整数倍，最后得到 $x\%\frac{b}{gcd}$（不理解的读者可以这么想：这不就是除法的过程吗？）。

但是通过 extendedGcd() 函数算出来的 $x$，$y$ 是可正可负的，因此 $x\%\frac{b}{gcd}$ 有可能会得到一个负数，例如 $(-17)\%5=-2$。但即便 $x$ 是一个负数， $x\%\frac{b}{gcd}$ 的范围也是在 $(-\frac{b}{gcd},0)$，因此 $(x\%\frac{b}{gcd}+\frac{b}{gcd})\%\frac{b}{gcd}$ 才是对应的最小非负整数解，原因如下：

• 若 $x$ 是一个负数，$x\%\frac{b}{gcd}$ 加上 $\frac{b}{gcd}$ 后它就成为了正数。且小于 $\frac{b}{gcd}$；
• 若 $x$ 是一个正数，$x\%\frac{b}{gcd}$ 加上 $\frac{b}{gcd}$ 后会超过 $\frac{b}{gcd}$，所以需要取余，从而其限制在 $\frac{b}{gcd}$ 之内。

特别地，当 $gcd=1$，即 $ax+by=1$ 时，通解公式就可以简化为下式，且 $x$ 的最小非负整数也可以化简为 $(x\%b+b)\%b$。

$$\{\begin{array}{l}{x}^{\prime }=x+b\ast K\\ y^{\prime }=y-a\ast K\end{array}(K为任意整数)$$

裴蜀定理

首先补充一个概念：若 $a$ 能被 $b$ 整除，或者说 $a\%b=0$，亦或者说 $a/b$ 的结果是一个整数，就可以记作 $b|a$，即“$b$ 能整除 $a$”或者“$a$ 能被 $b$ 整除”。

在数论中，裴蜀定理是一个关于最大公约数（或最大公约式）的定理。裴蜀定理是这么说的：若 $a$，$b$ 是整数，$gcd(a,b)$ 是它们的最大公约数，那么对于任意的整数 $x$ 和 $y$ ，$ax+by$ 都一定是 $gcd(a,b)$ 的倍数。简单来说，$ax+by=m(a,b,m\in Z)$ 存在整数解的充要条件是 $gcd(a,b)|m$，即 $m$ 能被 $gcd(a,b)$ 整除。

特别的，一定存在整数解 $x$，$y$，使得 $ax+by=gcd(a,b)$ 成立。

比如说 $36x+14y=36$ 是一定有解的，因为36和14的最大公约数是2，而36是2的倍数。由此也能得到裴蜀定理的一个重要推论：若 $a$，$b$ 互质，则 $ax+by=m$ 必定有整数解。因为当 $a$，$b$ 互质时，最大公约数为1，而整数 $m$ 是1的倍数，所以有整数解。

裴蜀定理的证明如下：

对于不全为0的整数 $a$ 和 $b$，设 $A=\{ax+by|x,y\in Z\}$，即所有 $a$ 和 $b$ 的线性组合组成的数的集合 。假设集合 $A$ 的最小正值为 $s=a{x}_2+b{y}_2$，对于任意一个整数 $n=(a{x}_1+b{y}_1)\in A$，令 $q=\lfloor \frac{n}{s}\rfloor$，则有：

$$r=nmods=n-qs=(a{x}_1+b{y}_1)-q(a{x}_2+b{y}_2)=a(x_1-q{x}_2)+b(y_1-q{y}_2)$$

由此可知 $r=nmods$ 也是 $a$，$b$ 的线性组合，所以 $r\in A$ 。又因为 $0\le r<s$，所以 $n$ 一定能被 $s$ 整除，否则 $r$ 就成了 $A$ 中的最小正值，这与 $s$ 的定义是相矛盾的，故 $s|n$。

又因为 $a,b\in A$，由 $n$ 的任意性可知 $s|a$ 且 $s|b$，故 $s$ 是 $a$，$b$ 的公因子，设 $a$，$b$ 的最大公约数为 $d=gcd(a,b)$，则有 $d\ge s$。

因为 $s$ 是 $a$，$b$ 的线性组合，由 $\frac{s}{d}=\frac{a{x}_2+b{y}_2}{d}=\frac{a}{d}{x}_2+\frac{b}{d}{y}_2$ 是一个整数可知 $d|s$，又因为 $s>0$，所以有 $d\le s$，从而可以证得 $d=s$。

综上可知 $s$ 是 $a$，$b$ 的最大公约数，由此可推得 $a$ 和 $b$ 的所有线性组合 $ax+by$ 中，最小的是最大公约数 $gcd(a,b)$，而所有的线性组合都能够被 $gcd(a,b)$ 整除。

3 求方程 $ax+by=c$ 的解

扩展欧几里得算法的一个应用就是求解 $ax+by=c$，$c$ 为任意整数。假设由 $ax+by=gcd$ 解得 $(x,y)=(x_0,y_0)$，当 $c\%gcd=0$ 时，在等号两边同时乘以 $\frac{c}{gcd}$，则有 $a\frac{c{x}_0}{gcd}+b\frac{c{y}_0}{gcd}=c$ 成立，因此 $(x,y)=(\frac{c{x}_0}{gcd},\frac{c{y}_0}{gcd})$ 是 $ax+by=c$ 的一组解。能这么做的前提是 $c\%gcd=0$，否则后者方程不一定有解。

但是两边乘上 $c\%gcd=0$ 得到的只是一部分解，我们仍然需要推导通解公式。采用上一小节一样的方法，设新解为 $x+s_1$，$y-s_2$，联立如下方程组：

$$\{\begin{array}{r}a\ast (x+s_1)+b\ast (y-s_2)=gcd\\ ax+by=gcd\end{array}$$

依然能得到下面的解，将 $x,y$ 用 $(\frac{c{x}_0}{gcd},\frac{c{y}_0}{gcd})$ 替换后就可得到一个通解：

$$\{\begin{array}{l}{x}^{\prime }=x+\frac{b}{gcd}\ast K=\frac{c{x}_0}{gcd}+\frac{b}{gcd}\ast K\\ \\ y^{\prime }=y-\frac{a}{gcd}\ast K=\frac{c{y}_0}{gcd}-\frac{a}{gcd}\ast K\end{array}(K为任意整数)$$

可以看到这个通解与 $ax+by=gcd$ 的通解是一样的，区别只有初始解不一样。为什么乘上 $\frac{c}{gcd}$ 只能获得一部分的解呢？由于 $c\ge gcd$，因为 $ax+by=gcd$ 的通解乘以 $\frac{c}{gcd}$ 会导致周期放大为原先的 $\frac{c}{gcd}$ 倍从而漏解。

同样的可以得出结论：对任意整数来说， $(\frac{c{x}_0}{gcd}\%\frac{b}{gcd}+\frac{b}{gcd})\%\frac{b}{gcd}$ 是 $ax+by=gcd$ 中 $x$ 的最小非负整数解，其中 $x_0$ 是 $ax+by=gcd$ 一个解。并且，如果 $gcd=1$，那么全部解的公式可以化简为下式，且 $x$ 的最小非负整数解就可以简化为 $(c{x}_0\%b+b)\%b$。

$$\{\begin{array}{l}{x}^{\prime }=c{x}_0+b\ast K\\ \\ y^{\prime }=c{y}_0-a\ast K\end{array}(K为任意整数)$$。

4 同余式 $ax\equiv c(modm)$ 的求解

同余式：对于整数 $a$、$b$、$m$ 来说，如果 $m$ 能够整除 $a-b$，即 $(a-b)\%m=0$，那么就说 $a$ 与 $b$ 模 $m$ 同余，写作 $a\equiv b(modm)$。例如10与13模3同余，10也与1模3同余，分别写作 $10\equiv 13(mod3)$，$10\equiv 1(mod3)$。显然，每一个整数都各自与 $[0,m)$ 中唯一的整数同余。

要求解 $ax\equiv c(modm)$，根据同余式的定义可知 $(ax-c)\%m=0$，因此存在整数 $y$ 使得 $ax-c=my$ 成立。移项并令 $y=-y$ 后就可以得到 $ax+my=c$，这就回到了上一小节的问题了。依然可以先由 $ax+my=gcd(a,m)$ 得到一个解 (x_0,y_0)，再由公式 $(x,y)=(\frac{c{x}_0}{gcd(a,m)},\frac{c{y}_0}{gcd(a,m)})$ 直接得到通解：

$$\{\begin{array}{l}{x}^{\prime }=\frac{c{x}_0}{gcd(a,m)}+\frac{m}{gcd(a,m)}\ast K\\ \\ y^{\prime }=\frac{c{y}_0}{gcd(a,m)}-\frac{a}{gcd(a,m)}\ast K\end{array}(K为任意整数)$$

综上，设 $a$、$b$、$m$ 是整数，其中 $m\ge 1$，则：

• 若 $c\%gcd(a,m)\ne 0$，则同余式 $ax\equiv c(modm)$ 无解。
• 若 $c\%gcd(a,m)=0$，则同余式 $ax\equiv c(modm)$ 方程恰好有 $gcd(a,m)$ 个模 $m$ 意义下不同的解，且解为$$x^{\prime }=\frac{c{x}_0}{gcd(a,m)}+\frac{m}{gcd(a,m)}\ast K$$其中 $K=0,1,...,gcd(a,m)-1$，$\frac{c{x}_0}{gcd(a,m)}$ 是 $ax+my=c$ 的一个解。

5 逆元的求解以及 $(b/a)\%m$

逆元：假设 $a$、$b$、$m$ 是整数，$m>1$，且有 $ab\equiv 1(modm)$ 成立，那么就说 $a$ 和 $b$ 互为模 $m$ 的逆元，一般也写作 $a\equiv \frac{1}{b}(modm)$ 或 $b\equiv \frac{1}{a}(modm)$。

逆元有什么用呢？对乘法来说有 $(b\ast a)\%m=((b\%m)\ast (a\%m))\%m$ 成立，但是对除法来说，$(b/a)\%m=((b\%m)/(a\%m))\%m$ 却不成立，$(b/a)\%m=((b\%m)/a)\%m$ 也不成立。此时就可以通过逆元来计算 $(b/a)\%m$。通过找到 $a$ 模 $m$ 的逆元 $x$，就有 $(b/a)\%m=(b\ast x)\%m=((b\%m)\ast (x\%m))\%m$ 成立，于是就把除法取模转化为了乘法取模，这对于解决被除数 $b$ 非常大的问题来说是非常好用的。

由定义知，求 $a$ 模 $m$ 的逆元，就是求解同余式 $ax\equiv 1(modm)$，并且在实际使用中，一般把 $x$ 的最小正整数（注意和最小非负整数区分开，最小正整数不包含0）解称为 $a$ 模 $m$ 的逆元，因此下文中提到的逆元都默认为 $x$ 的最小正整数解。显然，同余式 $ax\equiv 1(modm)$ 是否有解取决于 $1\%gcd(a,m)$ 是否为0，二这等价于求 $gcd(a,m)$ 是否为1：

• 如果 $gcd(a,m)\ne 1$，那么同余式 $ax\equiv 1(modm)$ 无解，不存在模 $m$ 的逆元。
• 如果 $gcd(a,m)=1$，那么同余式 $ax\equiv 1(modm)$ 在 $(0,m)$ 上有唯一解，并且可以通过求解 $ax+my=1=gcd(a,m)$ 得到。直接使用扩展欧几里得算法解出 $x$ 之后就可以用 $(x\%m+m)\%m$ 得到 $(0,m)$ 范围内的解，也就是所需要的逆元。

下面的代码使用了扩展欧几里得算法来求解 $a$ 模 $m$ 的逆元，使用条件是 $gcd(a,m)=1$，当然如果 $m$ 是素数，就肯定成立了，可以放心使用。

int inverse(int a, int m)
{
	int x, y;
	int g = extendedGcd(a, m, x, y);	// 求解 ax + my = 1
	return (x % m + m) % m;				// a 模 m 的逆元
}

另外，如果 $m$ 是素数，且 $a$ 不是 $m$ 的倍数，就可以直接使用费马小定理来得到逆元，而不需要使用扩展欧几里得算法。

费马小定理：设 $m$ 是素数，$a$ 是任意整数且 $a$ 不是 $m$ 的倍数，则 $a^{m-1}\equiv 1(modm)$。

使用费马小定理来推导逆元：由 $a^{m-1}\equiv 1(modm)$ 可知 $a\ast a^{m-2}\equiv 1(modm)$，又逆元的定义就能知道 $a$ 模 $m$ 的逆元是 $a^{m-2}\%m$。另外，当 $gcd(a,m)\ne 1$ 时，扩展欧几里得算法和费马小定理都不适用了，但此时仍然可以求解 $(b/a)\%m$。假设 $(b/a)\%m=x$，因此存在整数 $k$，使得 $b/a=km+x$。等式两边同时乘以 $a$，得 $b=kam+ax$，于是有 $b\%(am)=ax$。等式两边同时除以 $a$，得 $(b\%(am))/a=x$，于是又 $(b/a)% m = $(b\%(am))/a$。

因此在 $a$ 和 $m$ 不互质的情况下，可以用公式 $(b/a)% m = $(b\%(am))/a$ 来计算 $(b/a)\%m$ 的值，唯一要注意的是 $a$ 和 $m$ 的乘积可能会太大而导致溢出。因此一般来说尽量使用扩展欧几里得算法或者费马小定理求解，条件不成立时再采用这种方法。

---

希望本篇博客能对你有所帮助，也希望看官能动动小手点个赞哟~~。