נפה ריבועית

שיטת הנפה הריבועית היא שיטה מהירה לפירוק לגורמים של מספר שלם, המתאימה בעיקר למספרים בני 40–100 ספרות עשרוניות (אלגוריתם rho של פולרד עדיף לפירוק מספרים קטנים יותר, בעוד שבמספרים ארוכים יותר נפת שדה המספרים היא השיטה היעילה ביותר). שיטת הנפה הריבועית, שהייתה השיטה הראשונה בעלת סיבוכיות תת-מעריכית לבעיית הפירוק לגורמים, פותחה על ידי קארל פומרנץ בשנת 1981. פומרנץ הרחיב, למעשה, רעיונות קודמים של מוריס קרייצ'יק וג'ון ד' דיקסון. זו הייתה השיטה המהירה ביותר (באופן אסימפטוטי), עד להמצאתה של נפת שדה המספרים, ב-1993. בדומה לשיטות פירוק אחרות של מספרים שלמים הנקראות "ריבוע אקראי" (Random square), גם שיטת הנפה הריבועית מנסה לאתר זוג שלמים אקראיים x , y {\displaystyle x,y} עבורם x 2 ≡ y 2 ( mod n ) {\displaystyle x^{2}\equiv y^{2}\!\!\!{\pmod {n}}} אבל x ≢ y ( mod n ) {\displaystyle x\not \equiv y\!\!\!{\pmod {n}}} . זוג כזה מאפשר לפרק את n {\displaystyle n} , משום ש- n ∣ ( x 2 − y 2 ) = ( x − y ) ( x + y ) {\displaystyle n\mid (x^{2}-y^{2})=(x-y)(x+y)} אולם אינו מחלק של x − y {\displaystyle x-y} או x + y {\displaystyle x+y} . על כן בסבירות גבוהה המחלק המשותף המקסימלי gcd { x − y , n } {\displaystyle \gcd\{x-y,n\}} (שאותו אפשר למצוא ביעילות באמצעות אלגוריתם אוקלידס) יהיה גורם אמיתי של n {\displaystyle n} . בקווים כלליים, הנפה הריבועית מבוססת על ייצור מספרים שיש להם הצגה ידועה כמספר ריבועי מחד, והצגת מספרים השקולים למכפלות של מספרים כאלה מודולו n {\displaystyle n} כריבועים בעזרת פירוק חלקי לגורמים, מאידך. נגדיר Q ( x ) = ( x + ⌊ n ⌋ ) 2 − n = x ∼ 2 − n {\displaystyle Q(x)=(x+\lfloor {\sqrt {n}}\rfloor )^{2}-n={\overset {\sim }{x}}^{2}-n} , ונחשב את Q ( x 1 ) , Q ( x 2 ) , … , Q ( x k ) {\displaystyle Q(x_{1}),Q(x_{2}),\ldots ,Q(x_{k})} (בסעיפים הבאים יוסבר כיצד למצוא x i {\displaystyle x_{i}} מתאימים). מתוך קבוצת ה- Q ( x ) {\displaystyle Q(x)} אנחנו מחפשים תת-קבוצה של מספרים, שמכפלתם היא ריבוע ידוע: Q ( x i 1 ) Q ( x i 2 ) ⋯ Q ( x i r ) = y 2 {\displaystyle Q(x_{i_{1}})Q(x_{i_{2}})\cdots Q(x_{i_{r}})=y^{2}} . ברגע שמטרה זו הושגה מתקיים Q ( x ) ≡ x ∼ 2 ( mod n ) {\displaystyle Q(x)\equiv {\overset {\sim }{x}}^{2}\!\!\!{\pmod {n}}} , ולכן גם Q ( x i 1 ) Q ( x i 2 ) ⋯ Q ( x i r ) ≡ ( x ∼ i 1 ⋅ x ∼ i 2 ⋯ x ∼ i r ) 2 ( mod n ) {\displaystyle Q(x_{i_{1}})Q(x_{i_{2}})\cdots Q(x_{i_{r}})\equiv ({\overset {\sim }{x}}_{i_{1}}\cdot {\overset {\sim }{x}}_{i_{2}}\cdots {\overset {\sim }{x}}_{i_{r}})^{2}\!\!\!{\pmod {n}}} כך מצאנו x , y {\displaystyle x,y} מתאימים לדרישות. אם המספר n {\displaystyle n} הוא מכפלה של שני מספרים ראשוניים גדולים, אז מתקיים בהסתברות x ≡ ± y ( mod n ) {\displaystyle x\equiv \pm y\!\!\!{\pmod {n}}} בהסתברות 0.5, ואז תוצאת ה-gcd תהיה n {\displaystyle n} או 1; במקרה כזה יש להמשיך את תהליך הייצור, ולמצוא זוג אחר של מספרים כמתואר לעיל. קלט: מספר פריק n {\displaystyle n} פלט: אחד הגורמים הראשוניים של n {\displaystyle n} בחירת גורמי בסיס בוחרים בסיס גורמים (Factor base) אותו מסמנים S = p 1 , p 2 , … , p t {\displaystyle S=p_{1},p_{2},\ldots ,p_{t}} , כאשר p 1 = − 1 {\displaystyle p_{1}=-1} ויתר האלמנטים הם המספרים הראשוניים p i {\displaystyle p_{i}} החל מ-2 ועד לגבול מסוים, כאשר בוחרים רק את הראשוניים p i {\displaystyle p_{i}} אשר n {\displaystyle n} הוא שארית ריבועית מודולו p i {\displaystyle p_{i}} , כלומר שלהם סימן לז'נדר ( n p ) = 1 {\displaystyle \left({\frac {n}{p}}\right)=1} . הגבול העליון B {\displaystyle B} נקרא גבול חלקות (Smoothness bound) ולמעשה מכתיב את גודל בסיס הגורמים. הערך t {\displaystyle t} מייצג את מספר הגורמים הראשוניים בבסיס, מספר זה ישפיע ישירות על כמות הווקטורים הדרושים לפירוק n {\displaystyle n} ועל גודלם. הכנת מאגר זוגות שלמים a i , b i {\displaystyle a_{i},b_{i}} מכינים t + 1 {\displaystyle t+1} זוגות שלמים a i , b i {\displaystyle a_{i},b_{i}} כדלהלן: מחשבים את השורש השלם של n {\displaystyle n} אותו מסמנים ב- m {\displaystyle m} . מכינים את הפולינום q ( x ) = ( x + m ) 2 − n {\displaystyle q(x)=(x+m)^{2}-n} , מחשבים את b i = q ( x ) {\displaystyle b_{i}=q(x)} ובודקים אם b i {\displaystyle b_{i}} הוא מספר חלק ביחס ל- B {\displaystyle B} (כלומר שכל גורמיו הראשוניים נמצאים בבסיס הגורמים). אם b i {\displaystyle b_{i}} אינו מספר חלק ביחס ל- B {\displaystyle B} , בוחרים x {\displaystyle x} אחר (לפי הסדר הזה: 0 , − 1 , + 1 , − 2 , + 2 , … {\displaystyle 0,-1,+1,-2,+2,\ldots } ). אם b i {\displaystyle b_{i}} הוא אכן מספר חלק כלומר ניתן לייצגו כמכפלה של גורמי בסיס: b i = ∏ j = 1 t p j e i j {\displaystyle b_{i}=\prod _{j\,=\,1}^{t}p_{j}^{e_{ij}}} , אזי מגדירים את a i = x + m {\displaystyle a_{i}=x+m} , זוג הערכים ( a i , b i ) {\displaystyle (a_{i},b_{i})} נוסף למאגר. הערה: ניתן לבדוק חלקות באמצעות חלוקה נסיונית (פשוט על ידי חלוקה בכל גורמי הבסיס), אולם שלב זה הוא הקריטי והארוך ביותר באלגוריתם ועל כן יעילותו מתבטאת בעיקר באופן בו מיושמת בדיקת החלקות. באופן מעשי מקובל להשתמש בתהליך הניפוי (sieving) המתואר להלן. מציאת מספר ריבועי כיוון שהגורמים של כל b i {\displaystyle b_{i}} ידועים, קל למצוא תת-קבוצה של b i {\displaystyle b_{i}} אשר מכפלתה היא מספר ריבועי. כיוון שצריך רק מספרים שהחזקה של כל גורם p i {\displaystyle p_{i}} שלהם זוגית. ניתן לפשט זאת על ידי הכנת וקטור בינארי של המעריכים מודולו 2 כלומר ( v i 1 , v i 2 , … , v i t ) {\displaystyle (v_{i1},v_{i2},\ldots ,v_{it})} כאשר v i j = e i j mod 2 {\displaystyle v_{ij}=e_{ij}{\bmod {2}}} . כיוון שבהכרח בוקטור זה תמצא תלות ליניארית כלשהי, משתמשים באלגברה ליניארית כדי למצוא תת-קבוצה T {\displaystyle T} של וקטורים שסכומה הוא וקטור האפס ∑ i ∈ T v i = 0 {\displaystyle \sum _{i\,\in \,T}v_{i}=0} . משנמצאה תת-קבוצה כזו, מכפילים את המספרים החלקים b i {\displaystyle b_{i}} המתאימים (שהמציין i {\displaystyle i} שלהם ב- T {\displaystyle T} ), כלומר מחשבים את x = ∏ i ∈ T a i mod n {\displaystyle x=\prod _{i\,\in \,T}a_{i}{\bmod {n}}} . בהכרח מתקיים כי ∏ i ∈ T b i {\displaystyle \prod _{i\,\in \,T}b_{i}} הוא מספר ריבועי. כמו כן ניתן לראות שגם מכפלת ריבועיהם של כל a i {\displaystyle a_{i}} המתאימים יהיה מספר ריבועי. כלומר ∏ i ∈ T a i 2 mod n {\displaystyle \prod _{i\,\in \,T}a_{i}^{2}{\bmod {n}}} נותן מספר ריבועי. חישוב x , y {\displaystyle x,y} מחשבים את השורשים הריבועיים של התוצאה האמורה, את האחד מוצאים על ידי חישוב שורש ריבועי של התוצאה האמורה ואת השני על ידי הכפלת מספרי a i {\displaystyle a_{i}} המתאימים. מציבים ב- x {\displaystyle x} את ∏ i ∈ T a i {\displaystyle \prod _{i\,\in \,T}a_{i}} וב- y {\displaystyle y} את השורש הריבועי של ∏ i ∈ T b i {\displaystyle \prod _{i\,\in \,T}b_{i}} . מספרים אלה עונים על הדרישה האמורה, כלומר ריבועיהם שקולים מודולו n {\displaystyle n} . בדרך כלל קיימות מספר תלויות ליניאריות כך שבסבירות גבוהה אחת מהן תניב x , y {\displaystyle x,y} כאלה שאינם שקולים מודולו n {\displaystyle n} . מציאת גורם ראשוני מחשבים את המחלק המשותף המקסימלי של ההפרש של x − y {\displaystyle x-y} עם n {\displaystyle n} . התוצאה תהיה גורם ראשוני של n {\displaystyle n} , אשר עשוי להיות גם גורם טריוויאלי כמו n {\displaystyle n} עצמו או 1. במקרה כזה, מנסים שוב עם תלות ליניארית אחרת של המספרים החלקים. שיטת הנפה דורשת דרך יעילה למצוא x i {\displaystyle x_{i}} כך שהמכפלה ∏ Q ( x i ) {\displaystyle \prod Q(x_{i})} תתן מספר ריבועי. כדי שזה יתקיים צריך שכל גורם ראשוני המחלק את המכפלה יחלק אותה מספר זוגי של פעמים. לשם כך צריך לפרק לגורמים ראשוניים כל אחד מן המספרים Q ( x i ) {\displaystyle Q(x_{i})} המרכיבים את המכפלה. כדי לפשט את הבדיקה אנחנו מעוניינים כי Q ( x i ) {\displaystyle Q(x_{i})} יהיו קטנים ככל האפשר, ויתחלקו בראשוניים מתוך קבוצת ראשוניים ידועה לנו – לקבוצה זו נקרא "בסיס הגורמים" ונסמן אותה ב- B {\displaystyle B} . גודלה של הקבוצה B {\displaystyle B} משפיע על ביצועי האלגוריתם, ולכל גרסה של הניפוי הריבועי יש לחשב את ה- B {\displaystyle B} האופטימלי לפי גודלו של n {\displaystyle n} . לצורך הצגת האלגוריתם, נסמן B = { p 1 , … , p k } {\displaystyle B=\{p_{1},\ldots ,p_{k}\}} , המספרים הראשוניים הקטנים, לפי סדרם. כדי ש- Q ( x ) {\displaystyle Q(x)} יהיה קטן אנחנו צריכים לבחור x {\displaystyle x} קטן, ואז Q ( x ) ∼ 2 n x {\displaystyle Q(x)\sim 2{\sqrt {n}}x} . נבחר אפוא את טווח הניפוי [ 1 , M ] {\displaystyle [1,M]} . א. אם נוסיף לבסיס הגורמים גם את 1-, אז מספרים הקרובים ל- n {\displaystyle n} מלמטה גם הם מספרים קטנים יחסית, וניתן לבחור x < 0 {\displaystyle x<0} ועדיין לקבל מספרים שקל יחסית לעבוד איתם. כך הכפלנו את טווח הניפוי ל- [ − M , M ] {\displaystyle [-M,M]} . ב. את בסיס הגורמים אפשר להקטין על ידי "בדיקת היתכנות": אם p ∣ Q ( x ) {\displaystyle p\mid Q(x)} אז ( x + n ) 2 = Q ( x ) + n ≡ n ( mod p ) {\displaystyle (x+{\sqrt {n}})^{2}=Q(x)+n\equiv n\!\!\!{\pmod {p}}} , ולכן צריך להכניס לבסיס הגורמים רק מספרים ראשוניים המקיימים, עבור x {\displaystyle x} מתוך טווח הניפוי, את התנאי ( x + n ) 2 ≡ n ( mod p ) {\displaystyle (x+{\sqrt {n}})^{2}\equiv n\!\!\!{\pmod {p}}} . זוהי בדיקה שאפשר להשלים בסיבוכיות נמוכה, לפי משפט ההיפוך הריבועי של גאוס, שמאפשר לחשב את סימן לז'נדר בזמן לוגריתמי (בדומה לחישוב המחלק המשותף המקסימלי באלגוריתם אוקלידס). הגדרה: המספר x {\displaystyle x} הוא חלק מעל הקבוצה B {\displaystyle B} , אם כל הגורמים הראשוניים של x {\displaystyle x} נמצאים ב- B {\displaystyle B} . בשלב הניפוי אנחנו מחפשים Q ( x ) {\displaystyle Q(x)} שיכולים להיות חלק מקבוצה המרכיבה מכפלה שהיא מספר ריבועי. לשם כך אנחנו צריכים לעבור על x {\displaystyle x} מתוך טווח הניפוי, לחשב את Q ( x ) {\displaystyle Q(x)} ולבדוק האם Q ( x ) {\displaystyle Q(x)} חלק מעל B {\displaystyle B} . עבור כל אחד מהמספרים שמתקבלים, אנו צריכים לבדוק אם הוא חלק על ידי מעבר וחלוקה בבסיס הגורמים. פעולה סדרתית כזו אינה מעשית מבחינת זמן ביצוע. לכן נעבוד על בסיס הגורמים במקביל. לכל p {\displaystyle p} בבסיס הגורמים אם p ∣ Q ( x ) {\displaystyle p\mid Q(x)} אז גם p ∣ Q ( x + p ) {\displaystyle p\mid Q(x+p)} . ובכיוון ההפוך, אם x ≡ y ( mod p ) {\displaystyle x\equiv y\!\!\!{\pmod {p}}} אז גם Q ( x ) ≡ Q ( y ) ( mod n ) {\displaystyle Q(x)\equiv Q(y)\!\!\!{\pmod {n}}} . לכל p {\displaystyle p} נפתור Q ( x ) = s 2 ≡ 0 ( mod p ) ,   x ∈ Z p {\displaystyle Q(x)=s^{2}\equiv 0\!\!\!{\pmod {p}},\ x\in \mathbb {Z} _{p}} . את המשוואה הזאת ניתן לפתור על ידי האלגוריתם של Shanks-Tonelli. פתרון המשוואה הריבועית יתן לנו שני שורשים, נסמן אותם S 1 p , S 2 p = p − S 1 p {\displaystyle S_{1}p,S_{2}p=p-S_{1}p} . מכאן אנו רואים כי Q ( x i ) {\displaystyle Q(x_{i})} עבור x i {\displaystyle x_{i}} מתוך טווח החיפוש מתחלק ב- p {\displaystyle p} כאשר x i = S 1 p , S 2 p + p k {\displaystyle x_{i}=S_{1}p,S_{2}p+pk} עבור k {\displaystyle k} שלם. כעת בתהליך שמזכיר מאוד את מכונת השרשראות של להמר, אנחנו מתקדמים ולכל x {\displaystyle x} אנחנו בודקים באלו ראשוניים מבסיס הגורמים Q ( x ) {\displaystyle Q(x)} מתחלק. כדי לבצע את החיפוש הזה על כל טווח הניפוי כדאי לחלק את העבודה למספר מחשבים במקביל – וכל מחשב יקבל חלק מטווח הניפוי. אנחנו בודקים האם Q ( x ) {\displaystyle Q(x)} הוא חלק, אם לא – נפטרים ממנו ועוברים ל- x {\displaystyle x} הבא, ואם כן שומרים אותו בתוך מטריצה שתוגדר בהמשך. פעולת חילוק היא פעולה מורכבת. לכן במקום לעשות חישוב מדויק, כדי לבדוק במהירות את ה”חלקות” של Q ( x ) {\displaystyle Q(x)} נבצע הערכה באמצעות מספר הביטים של הגורמים ש- Q ( x ) {\displaystyle Q(x)} מתחלק בהם, וכך במהירות גבוהה נקבל תוצאות וודאיות במרבית המקרים, ובאלה שיש לגביהם ספק – נפטרים מהם ועוברים הלאה, לא חסרים לנו מספרים לבדוק. בשלב זה אנחנו מחזיקים קבוצה Q {\displaystyle Q} של מספרים גדולים Q ( x i ) {\displaystyle Q(x_{i})} – ואנו צריכים למצוא קבוצה חלקית ל- Q {\displaystyle Q} כך שמכפלת האיברים של הקבוצה החלקית תתן מספר ריבועי. לשם כך נגדיר ווקטור של חזקות שמייצג מספרים חלקים מעל בסיס הראשוניים שלנו B {\displaystyle B} . עבור m {\displaystyle m} מספר חלק מעל B {\displaystyle B} : m = ∏ i = 1 k p i v i ⟹ v ( m ) = ( v 1 , v 2 , … , v k ) {\displaystyle m=\prod _{i\,=\,1}^{k}p_{i}^{v_{i}}\implies v(m)=(v_{1},v_{2},\ldots ,v_{k})} אנחנו צריכים למצוא קבוצת וקטורים המייצגים מספרים מתוך Q {\displaystyle Q} כך שמכפלת המספרים תהיה מספר ריבועי. לשם כך אנחנו צריכים למצוא קבוצת וקטורי חזקות שסכומם יתן וקטור שכל איבריו זוגיים. נבנה מטריצה V של וקטורי חזקות, המייצגים Q ( x ) {\displaystyle Q(x)} חלקים מעל B {\displaystyle B} . ועכשיו אנו צריכים למצוא וקטור בינארי e → {\displaystyle {\vec {e}}} שהכפלתו במטריצה תתן וקטור שכל איבריו זוגיים. על ידי דירוג מטריצות ניתן לפתור את המטריצה, ולקבל וקטור e → {\displaystyle {\vec {e}}} מתאים. כדי לעשות זאת קל יותר לחישוב נמיר את המטריצה V {\displaystyle V} למטריצה בינארית V 2 {\displaystyle V_{2}} . ואז וקטור e → ≠ 0 {\displaystyle {\vec {e}}\neq 0} שמקיים V 2 ⋅ e → = 0 {\displaystyle V_{2}\cdot {\vec {e}}=0} יהווה פתרון גם עבור המטריצה V {\displaystyle V} . חשוב לציין שווקטורים מודולו 2 אינם ייצוג חד-חד-ערכי של וקטורי חזקות – אולם החסכון בזמן חישוב ובגודל הזיכרון – אף שהוא ליניארי בלבד – משתלם למרות הצורך בהחזקת מיפוי בין הווקטור הבינארי למספר המקורי שהוא מייצג. B = { 2 , 3 , 5 , 7 , 11 , 13 , 17 } ⟹ p k = 17 3 651 921 = 2 0 ⋅ 3 2 ⋅ 5 0 ⋅ 7 4 ⋅ 11 0 ⋅ 13 2 ⋅ 17 0 = v ( 0 , 2 , 0 , 4 , 0 , 2 , 0 ) ≡ v ( 0 , 0 , 0 , 0 , 0 , 0 , 0 ) ( mod 2 ) 11 662 = 2 1 ⋅ 3 0 ⋅ 5 0 ⋅ 7 3 ⋅ 11 0 ⋅ 13 0 ⋅ 17 1 = v ( 1 , 0 , 0 , 3 , 0 , 0 , 1 ) ≡ v ( 1 , 0 , 0 , 1 , 0 , 0 , 1 ) ( mod 2 ) 1071 = 2 0 ⋅ 3 2 ⋅ 5 0 ⋅ 7 1 ⋅ 11 0 ⋅ 13 0 ⋅ 17 1 = v ( 0 , 2 , 0 , 1 , 0 , 0 , 1 ) ≡ v ( 0 , 0 , 0 , 1 , 0 , 0 , 1 ) ( mod 2 ) {\displaystyle {\begin{aligned}B={\bigl \{}2,3,5,7,11,13,17{\bigr \}}\implies p_{k}=17\\\\{\begin{matrix}3\,651\,921&=&2^{0}\cdot 3^{2}\cdot 5^{0}\cdot 7^{4}\cdot 11^{0}\cdot 13^{2}\cdot 17^{0}&=&v(0,2,0,4,0,2,0)&\equiv &v(0,0,0,0,0,0,0){\pmod {2}}\\11\,662&=&2^{1}\cdot 3^{0}\cdot 5^{0}\cdot 7^{3}\cdot 11^{0}\cdot 13^{0}\cdot 17^{1}&=&v(1,0,0,3,0,0,1)&\equiv &v(1,0,0,1,0,0,1){\pmod {2}}\\1071&=&2^{0}\cdot 3^{2}\cdot 5^{0}\cdot 7^{1}\cdot 11^{0}\cdot 13^{0}\cdot 17^{1}&=&v(0,2,0,1,0,0,1)&\equiv &v(0,0,0,1,0,0,1){\pmod {2}}\end{matrix}}\end{aligned}}} סיבוכיות הנפה הריבועית תלויה בגודל הבסיס B {\displaystyle B} . בסיס ראשוניים הכולל את כל הראשוניים עד n {\displaystyle n} יביא לכך שכל Q ( x ) {\displaystyle Q(x)} הוא חלק מעל B {\displaystyle B} , וכך תהיה הסיבוכיות למציאת Q ( x ) {\displaystyle Q(x)} מתאים O ( 1 ) {\displaystyle O(1)} בלבד. אולם, גודלה של המטריצה במקרה כזה (כ- n log ⁡ ( n ) {\displaystyle {\frac {n}{\log(n)}}} ) אינו מאפשר לנו ליהנות מהיעילות של השלב הראשון. מצד שני, בסיס ראשוניים קטן מאוד (למשל הראשוניים עד 1000) ייצר לנו מטריצה קטנה ונוחה לפתרון, ועל כך נשלם בסיכוי זעיר למצוא Q ( x ) {\displaystyle Q(x)} חלק מעל B {\displaystyle B} . נסמן ב- φ ( x , B ) {\displaystyle \varphi (x,B)} את מספר המספרים החלקים מעל B {\displaystyle B} בטווח [ 1 , x ] {\displaystyle [1,x]} . הסיכוי שמספר אקראי בתחום זה יהיה חלק מעל B {\displaystyle B} הוא φ ( x , B ) x {\displaystyle {\frac {\varphi (x,B)}{x}}} , ולכן כדי למצוא מספר אחד מתאים אנחנו צריכים לעבור על x φ ( x , B ) {\displaystyle {\frac {x}{\varphi (x,B)}}} מספרים אקראיים. חשוב להדגיש שהמספרים Q ( x ) {\displaystyle Q(x)} אינם אקראיים במובן הפורמלי, אך כל הניתוחים ההיוריסטיים של שיטות הפירוק נעשים בהנחה שהם אקראיים במידה מספקת. כיוון שאנחנו צריכים | B | = k {\displaystyle |B|=k} מספרים כאלו לבניית המטריצה (כדי להבטיח פתרון לא טריוויאלי), אנחנו צריכים לעבור על k x φ ( x , B ) {\displaystyle k{\frac {x}{\varphi (x,B)}}} מספרים. עלות הבדיקה שמועמד Q ( x ) {\displaystyle Q(x)} הוא חלק מעל B {\displaystyle B} היא ליניארית ב- B {\displaystyle B} , ולכן העבודה הכוללת בייצור היא k 2 x φ ( x , B ) {\displaystyle k^{2}{\frac {x}{\varphi (x,B)}}} פעולות (של ניסיון חילוק מספר בגודל n {\displaystyle {\sqrt {n}}} בראשוני קטן). פומרנץ הראה שכדי לקבל את המינימום עבור הנוסחה הזו צריך שהאיבר הגדול ב- B {\displaystyle B} , אותו סימנו p k {\displaystyle p_{k}} , יהיה קרוב ל- exp ⁡ ( 0.5 log ⁡ ( x ) log ⁡ ( log ⁡ ( x ) ) ) {\displaystyle \exp \left(0.5{\sqrt {\log(x)\log(\log(x))}}\,\right)} , והעבודה הנדרשת היא exp ⁡ ( 2 log ⁡ ( x ) log ⁡ ( log ⁡ ( x ) ) ) {\displaystyle \exp \left(2{\sqrt {\log(x)\log(\log(x))}}\,\right)} , כלומר כ- p k 4 {\displaystyle p_{k}^{4}} . אבל מהו x {\displaystyle x} ? באלגוריתם הניפוי הריבועי אנחנו מייצרים Q ( x ) {\displaystyle Q(x)} מסדר גודל של n 0.5 + ε {\displaystyle n^{0.5+\varepsilon }} כאשר ε {\displaystyle \varepsilon } קטן מאוד (מכיוון שמספר המועמדים שנבדוק הוא חזקה קטנה של n {\displaystyle n} ); כלומר x = n 0.5 + ε {\displaystyle x=n^{0.5+\varepsilon }} . לכן סדר הגודל של שלב הניפוי הוא exp ⁡ ( 2 log ⁡ ( x ) log ⁡ ( log ⁡ ( x ) ) ) {\displaystyle \exp \left(2{\sqrt {\log(x)\log(\log(x))}}\,\right)} . לאחר שהנתונים נאספו במטריצה בגודל k × k {\displaystyle k\times k} , צריך למצוא פתרון לא טריוויאלי, בעלות של O ( k 3 ) {\displaystyle O(k^{3})} . למעשה החלק הזה של האלגוריתם הוא מהיר בהרבה, מכיוון שהמטריצה דלילה. בכל אופן מדובר בסיבוכיות זניחה ביחס לשלב איסוף המשוואות. שיטה נוספת לפירוק מספר לגורמים היא נפת שדה המספרים (Number Field Sieving), זוהי שיטה מהירה יותר אסימפטוטית מהנפה הריבועית (Quadratic Sieve), אך מסובכת הרבה יותר. שתי השיטות מחולקות לשני שלבים: שלב הניפוי ושלב מטריצה. סדר הגודל של שלב הניפוי בנפת שדה המספרים הוא exp ⁡ ( c log ⁡ ( n ) log ⁡ ( log ⁡ ( n ) ) 2 3 ) {\displaystyle \exp \left(c{\sqrt[{3}]{\log(n)\log(\log(n))^{2}}}\,\right)} , כאשר c {\displaystyle c} משתנה לפי סוג הניפוי המדויק בו משתמשים (ברוב המימושים 1.5 ≤ c ≤ 2 {\displaystyle 1.5\leq c\leq 2} ). אסימפטוטית זהו סדר גודל קטן יותר משל הנפה הריבועית, אבל במספרים "קטנים" (עד 100 ספרות) עדיף להשתמש בנפה הריבועית בגלל המסובכות של נפת שדה המספרים. Landquist, E., “MATH 488: Cryptographic Algorithms”, “The Quadratic Sieve Factoring Algorithm”, December 14, 2001 Pomerance, C., “A Tale of Two Sieves”, December, 1996. TWINKLE – מכשיר אלקטרואופטי תאורטי, המממש את שיטת הנפה הריבועית לפירוק מהיר לגורמים. The Quadratic Sieve Factoring Algorithm A Tale of Two Sieves נפה ריבועית, באתר MathWorld (באנגלית)