楕円曲線

楕円曲線のカタログ、示されている領域は [−3, 3]² である。ただし(a, b) = (0, 0) におけるものは楕円曲線ではない。

数学における楕円曲線（だえんきょくせん、英: elliptic curve）とは種数 1 の非特異な射影代数曲線、さらに一般的には、特定の基点 O を持つ種数 1 の代数曲線を言う。

楕円曲線上の点に対し、先述の点 O を単位元とする（必ず可換な）群をなすように、和を代数的に定義することができる。すなわち楕円曲線はアーベル多様体である。

楕円曲線は、代数幾何学的には、射影平面 P² の中の三次の平面代数曲線として見ることもできる。より正確には、射影平面上、楕円曲線はヴァイエルシュトラス方程式あるいはヴァイエルシュトラスの標準形

$Y^{2}Z a_{1}XYZ a_{3}YZ^{2}=X^{3} a_{2}X^{2}Z a_{4}XZ^{2} a_{6}Z^{3}$

により定義された非特異な平面代数曲線に双有理同値である（有理変換によってそのような曲線に変換される）。そしてこの形にあらわされているとき、O は実は射影平面の「無限遠点」である。

また、係数体の標数が 2 でも 3 でもないとき、楕円曲線は、アフィン平面上次の形の式により定義された非特異な平面代数曲線に双有理同値である。

$y^{2}=x^{3} ax b\ .$

非特異であるとは、グラフが尖点を持ったり、自分自身と交叉したりはしないということである。この形の方程式もヴァイエルシュトラス方程式あるいはヴァイエルシュトラスの標準形という。係数体の標数が 2 や 3 のとき、上の式は全ての非特異三次曲線を表せるほど一般ではない（詳細な定義は以下を参照）。

Pが重根を持たない三次多項式として、y² = P(x) とすると、種数 1 の非特異平面曲線を得るので、これは楕円曲線である。Pが次数 4 で無平方とすると、これも種数 1 の平面曲線となるが、しかし、単位元を自然に選び出すことができない。さらに一般的には、単位元として働く有理点を少なくとも一つ持つような種数 1 の代数曲線を楕円曲線と呼ぶ。例えば、三次元射影空間へ埋め込まれた二つの二次曲面の交叉は楕円曲線である。

楕円関数論を使い、複素数上で定義された楕円曲線はトーラスの複素射影平面への埋め込みに対応することを示すことができる。トーラスもアーベル群で、実はこの対応は群同型かつ位相的に同相にもなっている。したがって、位相的には複素楕円曲線はトーラスである。

楕円曲線は、数論で特に重要で、現在研究されている主要な分野の一つである。例えば、アンドリュー・ワイルズにより（リチャード・テイラーの支援を得て）証明されたフェルマーの最終定理で重要な役割を持っている（モジュラー性定理とフェルマーの最終定理への応用を参照）。また、楕円曲線は、楕円暗号(ECC) や素因数分解への応用が見つかっている。

楕円曲線は、楕円ではないことに注意すべきである。「楕円」ということばの由来については楕円積分、楕円関数を参照。

このように、楕円曲線は次のように見なすことができる。

1. 一次元のアーベル多様体
2. 三次の平面代数曲線で、有理点を持つもの
3. 複素数を加法群とみて、二重周期を持つ格子で割った商空間（複素数体上のみ、複素数上の楕円曲線）

実数体上の楕円曲線

曲線 y² = x³ − x と y² = x³ − x 1 のグラフ

楕円曲線の形式的な定義には、かなり技術的で代数幾何学の背景を必要としているが、高校レベルの代数と幾何を使って、楕円曲線の様子をいくらか記述することが可能である。

すなわち、実平面上、楕円曲線は次の方程式により定義される平面曲線としてあらわされる。

$y^{2}=x^{3} ax b$

ここに a と b は実数である。

楕円曲線の定義は、曲線が非特異であることも要求される。幾何学的には、このことは曲線のグラフが尖点を持たず、自己交叉せず、孤立点ももたないことを意味する。代数的には、非特異とは判別式

$\Delta =-16(4a^{3} 27b^{2})$

と関係している。曲線が非特異であることと、判別式が 0 でないこととは同値である。（係数 −16 は、非特異であることと無関係に見えるが、楕円曲線の高度な研究ではこのようにしたほうが便利である。）

非特異楕円曲線の（実数の）グラフは、判別式が正であれば、二つの曲線の成分を持ち、負であれば、一つの曲線の成分しか持たない。例えば、右の図で示されているグラフでは、図中の左は判別式が 64 であり、図中の右は 判別式が −368 である。

群構造

射影平面で考えると、すべての滑らかな三次曲線上の群構造を定義することができる。射影平面上、楕円曲線がヴァイエルシュトラスの標準形

$Y^{2}Z a_{1}XYZ a_{3}YZ^{2}=X^{3} a_{2}X^{2}Z a_{4}XZ^{2} a_{6}Z^{3}$

によりあらわされるとき、そのような三次曲線は斉次座標 [0 : 1 : 0] である無限遠点 O を持ち、群の単位元となる。

曲線は x-軸で対称であるので、任意の点 Pが与えられると、−P はその反対側の点として取ることができる。−O は O とする。

P と Q が曲線上の二点であれば、一意に第三の点 P Q を次の方法で定義することができる。まず、P と Q を通る直線を引く。この直線は一般に第三の点 R で曲線と交わる。P Q を R の反対の点である −R とする。

この加法の定義は、ほとんどの場合はうまく働くが、いくつかの例外がある。一つ目の例外は、加算する点の片方が O であるときである。このとき、P O = P = O P と定義し、O は群の単位元となる。第二の例外は、P と Q が互いに反対側の点である場合である。この場合は、P Q = O と定義する。最後の例外は、P = Q の場合であり、このとき一点しかないため、これを通る直線を一意に定義できない。そこで、この点での曲線の接線を使う。ほとんどの場合、接線は第二の点 R で曲線と交叉するため、反対の点をとることができる。しかしながら、P がたまたま変曲点（そこで曲線の凹み方が変わるような点）であるようなときは、接線は P でしか曲線と交叉しない。そこで、R を P 自身として、P P を単純に点の反対の点とする。

ヴァイエルシュトラス標準形ではない三次曲線に対しては、九つある変曲点のうちの一つを単位元 O とすることで群構造を定義することができる。射影平面内では、多重度を考慮にいれると、三次曲線と任意の直線は三つの点で交叉する。点 P に対し、−P は O と P を通る第三の点として一意に定義される。そして、任意の P と Q に対する P Q は、R を P と Q を含む直線上の第三の点としたとき、P Q = −R として定義される。

K をその上で曲線が定義される体とし（つまり、曲線を定義する式の係数 K の中にある）、曲線を E で表すと、E 上の点であり、かつx座標とy座標の値が共に K 上にある点（無限遠点を含む）を、E の K-有理点とよぶ。K-有理点の集合は、E(K) で表す。これも群を形成する。なぜならば、多項式の性質から、P が E(K) の点であれば −P も E(K) の点であり、P と Q の 2点が E(K) の点であれば、第三の点も E(K) の点になるからである。加えて、K が L の部分体であれば、E(K) は E(L) の部分群である。

上記の群は、幾何学的に記述されると同様に代数的にも記述できる。体 K （体の標数は 2 でも 3 でもないとする）上の曲線 y² = x³ ax b が与えられるとし、曲線上の点を P = (x_P, y_P) と Q = (x_Q, y_Q) として、まず、x_P ≠ x_Q とする（下図の一つ目のグラフ）。s を P と Q を含む直線の傾き、つまり、

$s={\frac {y_{P}-y_{Q}}{x_{P}-x_{Q}}}$

とする。K は体であるので、s はうまく定義できる。すると、R = (x_R, y_R) = −(P Q) を

${\begin{aligned}x_{R}&=s^{2}-x_{P}-x_{Q}\\y_{R}&=y_{P} s(x_{R}-x_{P})\end{aligned}}$

により定義することができる。

x_P = x_Q の場合は（下の三つ目と四つ目のグラフ）、二つの選択肢がある。y_P = −y_Q のとき（y_P = y_Q = 0 を含む）、和は O と定義される。つまり、曲線上の各点の逆元は、x-軸に対して線対称の位置にある。y_P = y_Q ≠ 0 のときは（下の二つ目のグラフ）、R = (x_R, y_R) = −(P P) = −2P は、

${\begin{aligned}s&={\frac {3{x_{P}}^{2} a}{2y_{P}}}\\x_{R}&=s^{2}-2x_{P}\\y_{R}&=y_{P} s(x_{R}-x_{P})\end{aligned}}$

により与えられる。

結合律

EllipticGroup

結合律を除く全ての群法則は、直ちに群作用の幾何学的定義から導くことができる。このアニメーションは幾何学的な結合法則を示している。

六本のどの直線についても、直線上の三点の和が 0 であることに注意。九個の点全ての位置は、0 と a, b, c の位置と楕円曲線によって決定される。九点のうちの中心の点は、a と b c を通る直線上と、a b と c を通る直線上にある。加法の結合律は、格子の中心点を楕円曲線が通るという事実と同値である。この事実より、−(a (b c)) = −((a b) c) が導かれる。

楕円曲線と点 0 はこのアニメーションの中では不動であることに対し、一方、a, b, c は互いに独立して動く。

複素数体上の楕円曲線

複素数上の楕円曲線は、複素数平面を格子 Λ で割ることで得られる。この格子 Λ は、二つの基本周期 ω₁ と ω₂ によって張られる。4-トーションは、格子 Λ を含む格子 1/4Λ に対応している。

楕円曲線の複素射影平面の中のトーラスの埋め込みとしての定式化は、ヴァイエルシュトラスの楕円関数の不思議な性質から自然に導かれる。これらの関数と関数の一階微分は、公式

$\wp '(z)^{2}=4\wp (z)^{3}-g_{2}\wp (z)-g_{3}$

により関係付けられている。

ここに、g₂ と g₃ は定数であり、℘(z) はΛを周期とするヴァイエルシュトラスの楕円関数で、℘'(z) はその微分である。（複素数上の）楕円関数の形の中でこの公式は明らかであろう。ヴァイエルシュトラスの楕円関数は二重周期関数である。つまり、周期の基本対の観点から周期的であり、本質的には、ヴァイエルシュトラス関数は、自然に、トーラス T = C/Λ の上で定義される。このトーラスは、写像

$z\mapsto [1:\wp (z):\wp '(z)]$

により、複素射影平面の中に埋め込まれる。

この写像は群同型であり、トーラスの自然な群構造を射影平面へ写す。この写像は、リーマン面にも同型であり、従って、位相的には、楕円曲線が与えられるとトーラスのように見える。格子 Λ が、非零な複素数 c による掛け算により、格子 cΛ へ写されると、対応する曲線は同型となる。楕円曲線の同型類はj-不変量により特定される。

同型類は同じ方法で理解することができる。定数 g₂ と g₃ は、j-不変量と呼ばれ、トーラスの構造である格子により一意に決定される。しかしながら、複素数の全体は、実係数多項式の分解体を成し、楕円曲線は

$y^{2}=x(x-1)(x-\lambda )$

と書くことができる。

以上のことから、

$g_{2}={\frac {4^{1/3}}{3}}(\lambda ^{2}-\lambda 1)$

であり、

$g_{3}={\frac {1}{27}}(\lambda 1)(2\lambda ^{2}-5\lambda 2)$

であることが分かり、このモジュラー判別式は

$\Delta =g_{2}^{3}-27g_{3}^{2}=\lambda ^{2}(\lambda -1)^{2}$

である。

ここに λ はモジュラーラムダ関数と呼ばれることもある。

注意すべきは、一意化定理は、種数 1 の全てのコンパクトなリーマン面は、トーラスとして実現することができることを意味していることである。

このことは、楕円曲線上の捩れ点を容易に理解することができる。格子 Λ が基本周期 ω₁, ω₂ ではられると、n-ねじれ点は、0 から n − 1 までの整数 a と b に対し、次の形の（同型類の）点である。

${\frac {a}{n}}\omega _{1} {\frac {b}{n}}\omega _{2}.$

複素数上に、どの楕円曲線も九個の変曲点を持っている。これらの点のうちの二つを通るどの直線も、三つ目の変曲点を通る。九つの点と12の直線はこのようにしてヘッセ配置を成す。

代数体上の楕円曲線

有理数体 Q 上、あるいは一般に代数体 K 上定義された曲線 E/K についても接線と割線の方法 (the tangent and secant method) による加法は適用できる。群構造を定義したときにも述べたように、明示公式から、2つの K-有理点 P, Q の和は、P と Q を結ぶ直線は K 上に係数を持つゆえ、再び K 上に座標を持つ。このようにして、E の K-有理点全体のなす集合は E の複素数点（K が実代数体の場合は実数点）全体のなす群の部分群を成す。この意味において、楕円曲線はアーベル群、すなわち P Q = Q P となっている。

高さ

代数体 K 上の楕円曲線上の点に対し、高さが定まる。一般に、次数 d の代数体 K 上の射影空間 $\mathbb {P} ^{n}(K)$ 上の点 $P=[x_{0}:x_{1}:\ldots :x_{n}]\in E(K)$ の絶対的高さ (absolute height)を

$H(P)=(\prod _{v}\max _{i}\{\lVert x_{i}\rVert _{v}\})^{1/d}$

により定める（P を含む K の取り方は一意ではないが、K の取り方によらずに定まる）。ここで $\lVert \cdot \rVert _{v}$ は K 上の正規化された絶対値をあらわす。また

$h(P)=\log H(P)$

を対数的高さ (logarithmic height) と呼ぶ。

f を代数体 K 上の楕円曲線 E 上定義された有理関数とする。$h_{f}(P)=h([f(P):1])$ （ただし P が特異点のときは、$h_{f}(P)=h([1:0])$ とする）を f に対する高さと呼ぶ。 P が非特異点ならば、これは代数的数 $f(P)\in K$ の対数的高さと一致する。特に P のx-座標が有理数 x = p⁄q （p と q は互いに素）で x が P の x-座標を与える関数であるとき、$h_{x}(P)=\log \max(|p|,|q|)$ となる。 任意の定数 C に対し、高さ $h_{f}(P)\leq C$ となる点 $P\in E(K)$ は有限個である。

f が偶関数であるとき、つまり $f(P)=f(-P)$ が任意の点 $P\in E(K)$ について成り立つとき、つぎの3つの不等式が成り立つ。 任意の $P,Q\in E({\bar {K}})$ に対し

$h_{f}(P Q) h_{f}(P-Q)=2h_{f}(P) 2h_{f}(Q) O(1)$

が成り立つ。ここで右辺の $O(1)$ は E と f のみに依存し、 P や Q には依存しない。 $Q\in E({\bar {K}})$ を決めれば、定数 $C_{Q}$ が定まり、

$h_{f}(P Q)\leq 2h_{f}(P) C_{Q}$

が任意の $P\in E({\bar {K}})$ に対して成り立つ。さらに整数 m を定めれば、任意の $P\in E({\bar {K}})$ に対して

$h_{f}(mP)=m^{2}h_{f}(P) O(1)$

が成り立つ。ここで右辺の $O(1)$ は $E,f,m$ のみに依存し、 P には依存しない。つまり h(mP) はおよそ m の二乗に比例して増加する。 E が

$y^{2}=x^{3} ax b$

の形であらわされているときは P の x-座標を与える関数 x は偶関数である。

さらに、偶関数 f に対し

${\hat {h}}(P)={\frac {1}{\deg f}}\lim _{n\rightarrow \infty }{\frac {h_{f}(2^{n}P)}{4^{n}}}$

で与えられる極限は f に依存せず定まる。この極限を標準的高さ (Canonical height) もしくは ネロン・テイトの高さ（英: Néron–Tate height という。標準的高さについて、

${\hat {h}}(P Q) {\hat {h}}(P-Q)=2{\hat {h}}(P) 2{\hat {h}}(Q),$

${\hat {h}}(mP)=m^{2}{\hat {h}}(P)$

が成り立ち、さらに

$\langle P,Q\rangle ={\hat {h}}(P Q)-{\hat {h}}(P)-{\hat {h}}(Q)$

は$E({\bar {K}})$ 上双線型的である。また任意の f に対し、

$(\deg f){\hat {h}}(P)=h_{f}(P) O(1)$

が成り立つ。ここで右辺の $O(1)$ は f のみに依存し、 P には依存しない。

有理点の構造

最も重要な結果は、全ての点が、有限個の点から出発する接線と割線の方法(the method of tangents and secants)により生成できるということである。より詳しくは、 モーデル・ヴェイユの定理が、群 E(Q) が有限生成アーベル群であることを示している。一般に、有理数体以外の代数体 K に対しても群 E(K) は有限生成アーベル群である。 従って、有限生成アーベル群の基本定理により、これは Z のコピーと有限巡回群の有限の直和である。

定理の証明は、2つの部分からなっていて、一つ目は、任意の整数 m > 1 に対し、商群 E(Q)/mE(Q) は有限であること（弱いモーデル・ヴェイユの定理）、二つ目は、有理点 E(Q) の上の高さ関数 h が上記のように定義されているとき、任意の定数より小さな高さを持つ点は E 上に有限個しか存在せず、また h(mP) はおよそ m の二乗に比例して増加するという性質である。

定理の証明は無限降下法の変形の一種で、E へのユークリッドの互除法の繰り返しの適用となっている。P ∈ E(Q) を曲線の有理点とし、P を 2P₁ Q₁ と書くことにする。ここに Q₁ は E(Q)/2E(Q) の P の固定された代表元である。すると P₁ の高さは、P の高さのおよそ 1⁄4 となる（より一般的には、任意の m > 1 である m を 2 の替わりとすると、1⁄4 の替りに 1⁄m² となる）。同じように P₁ を P₁ = 2P₂ Q₂ と書き、P₂ を P₂ = 2P₃ Q₃ と書き、と繰り返していくと、最終的には P は、点 Q_i と、高さが事前に選択したある定数より小さいような点の、整数係数の線型結合となる。弱い形のモーデル・ヴェイユの定理と高さ関数の第二の性質により、P はある決められた有限個の点の整数係数の線型結合として表される。

これまでに、E(Q)/mE(Q) の代表元を決定する一般的なプロセスが知られていないので、この定理は有効である（計算可能である）とは言えない。

E(K) の中の Z のコピーの数、同じことであるが無限位数の独立な点の個数を、E(K) の階数あるいはランクと呼ぶ。また、E(K) の中の有限巡回群の有限個の直和となっている部分はE(K)の有限位数の点全体からなる部分群に対応する。そこでこの部分をねじれ部分群といい、E(K)の有限位数の点をねじれ点ともいう。したがって E(K) のランクを r とおくと、E(K) 上の点 $P_{1},P_{2},\cdots ,P_{r}$ をうまくとれば E(K) 上の任意の点 P は

$P=m_{1}P_{1} m_{2}P_{2} \cdots m_{r}P_{r} T$

とあらわすことができる。ここでTはねじれ点である。このとき、標準的高さは

${\hat {h}}(m_{1}P_{1} m_{2}P_{2} \cdots m_{r}P_{r} T)=\sum _{i=1}^{r}m_{i}^{2}{\hat {h}}(P_{i}) \sum _{1\leq i<j\leq r}m_{i}m_{j}\langle P_{i},P_{j}\rangle$

と二次形式であらわされ、かつこれは正定値である。

具体的には小さなランクの楕円曲線しか知られていないにもかかわらず、任意に大きなランクの楕円曲線が存在するとも予想されている。有理数体 Q 上で考えた場合、正確なランクが判明している楕円曲線のうち、最大のランクを持つ楕円曲線は、2009年にノーム・エルキースにより発見された

y² xy y = x³ − x² 31368015812338065133318565292206590792820353345x 302038802698566087335643188429543498624522041683874493555186062568159847

であり、そのランクは 19 である。正確なランクが判明していなくてもよければ、最低でも 28 のランクを持つ楕円曲線が、同じくエルキースによって発見されている。 ランクの決定に関しては、楕円曲線上のゼータ関数によって記述できるというバーチ・スウィンナートン＝ダイアー予想が存在する。

E(Q) のねじれ部分群を構成する群について次のことが知られている。 E(Q) のねじれ部分群は次の15個の群: N = 1, 2, …, 10, 12 に対する Z/NZ　あるいは、N = 1, 2, 3, 4 に対する Z/2Z × Z/2NZ のうちの一つである（メーザーのねじれ定理を参照）。また f(x) = x³ ax² bx c を整数係数の三次式とすると、楕円曲線 y² = f(x) 上の点 P = (x, y) が G に属するならば、P は整数点であり、y² は y = 0 でない限り、f の判別式を割り切る（ナゲル・ルッツの定理を参照）。 全ての場合の例が知られている。さらに、Q 上で定義されモーデル・ヴェイユ群が同じねじれ群を持つ楕円曲線は、パラメトライズされた族となる。

一般の代数体上の楕円曲線のねじれ部分群について、次のようなことが知られている。ロイック・メレル(Loic Merel)による定理は、与えられた整数 d に対し、同型を除いて、次数 d の数体 K 上に定義された代数曲線の E(K) のねじれ群として作ることが可能な群は、有限個しかない。さらに詳しくは、次数 d の数体 K 上の任意の楕円曲線 E に対し、任意の E(K) の捩れ点は d のみに依存して定まる定数 $B(d)$ よりも小さな位数を持つ。この定理は、d > 1 に対して、捩れ点が素数である位数 p の場合は、

$p<d^{3d^{2}}$

となることを言っている。

BSD予想

→詳細は「バーチ・スウィンナートン＝ダイアー予想」を参照

BSD予想は、クレイ研究所のミレニアム懸賞問題の一つである。予想は、問題を楕円曲線により定義される解析的で数論的な対象に依拠して記述している。

解析側での重要な側面は、複素変数関数である K 上の E のハッセ・ヴェイユのゼータ関数 $L_{E/K}$ である。この関数はリーマンゼータ関数やディリクレのL-関数の変形である。有理数体上の楕円曲線の場合、L は全ての素数 p について一つの要素を持つオイラー積として定義される。

整数係数 a_i で、

$y^{2} a_{1}xy a_{3}y=x^{3} a_{2}x^{2} a_{4}x a_{6}$

の最小多項式与えられる Q 上の曲線 E に対する法 p での還元は、有限体 F_p 上の楕円曲線を定義する（有限個の例外を除く素数 p で還元された曲線は特異点を持ち、従って楕円曲線にならない。そのような場合を p では E は悪い還元(bad reduction)であるという。）

有限体 F_p 上の楕円曲線のゼータ関数は、ある意味で、有限な体の拡大 F_p の中の E の点の数の情報を集める母関数 F_pⁿ である。この母関数は、

$Z(E(\mathbf {F} _{p}))=\exp \left(\sum \operatorname {card} \left[E({\mathbf {F} }_{p^{n}})\right]{\frac {T^{n}}{n}}\right)$

で与えられる。

冪の右肩に乗っている指数の和は、対数の展開に似ていて、実際、そのように定義されるゼータ関数は有理関数

$Z(E(\mathbf {F} _{p}))={\frac {1-a_{p}T pT^{2}}{(1-T)(1-pT)}}$

である。

よって、Q 上の E のハッセ・ヴェイユのゼータ関数は、全ての素数 p についてのこれらの情報を互いに集めることにより定義される。すなわち、

$L(E(\mathbf {Q} ),s)=\prod _{p}\left(1-a_{p}p^{-s} \varepsilon (p)p^{1-2s}\right)^{-1}$

と定義される。ここに、E が p で良い還元を持つ場合は、ε(p) = 1 であり、そうでない場合は 0 である(良い還元を持たない場合は、a_p が上記とは異なる定義となる）。

この積は Re(s) > 3/2 でのみ絶対収束する。ハッセの予想はこの L-関数は全複素平面へ解析接続され、任意の s に対して、L(E, s) を L(E, 2 − s) へ関連付ける関数等式を満たすのではないかと言う予想であった。1999年、この予想は、谷山志村予想の証明の結果であることがしめされた。谷山志村予想は、Q 上の全ての楕円曲線はモジュラーであるいう予想であり、このことは、楕円曲線の L-関数は解析接続が知られているモジュラー形式のL-関数であることを意味する。

このことにより、任意の複素数 s での L(E, s) の値についていうことができる。BSD予想は s = 1 での曲線の L-関数の振る舞いへ曲線の数論を関連付ける。さらに詳しくは、s = 1 での L-関数の位数は、E のランクに等しく、楕円曲線に関連するいくつかの量を表すこの点での L(E, s) ローラン級数の主要項であることを予想している。

リーマン予想と良く似ていて、この予想は次の 2つを含む多くの結果を持っている。

• n を奇数の非平方である整数とする。BSD予想が成立することを前提とすると、n が有理数の辺の長さを持つ直角三角形の面積となる（合同数である）ことは、$2x^{2} y^{2} 8z^{2}=n$ を満たす整数 (x, y, z) の三つ組の数が、$2x^{2} y^{2} 32z^{2}=n$ を満たす三つ組の数の 2倍であることと同値である。このステートメントは、タネルの定理により n が合同数であることと、楕円曲線 $y^{2}=x^{3}-n^{2}x$ が無限オーダーの有理点を持っていることに関連付ける（BSD予想を前提とすると、L-関数は 1 で零点を持つ）。ここで言っていることの主眼は、条件が簡単に評価されることである。
• 別な方向としては、ある解析的方法はL-関数の族の臨界帯の中心での 0 のオーダーを見積もることを可能とする。BSD予想を仮定すると、これらの見積もりは、問題の楕円曲線の族のランクについての情報に対応する。例えば、 は、一般化されたリーマン予想とBSD予想を想定して、$y^{2}=x^{3} ax b$ で与えられる楕円曲線の平均ランクは 2 よりも小さいことが示された。

モジュラー性定理とフェルマーの最終定理への応用

→詳細は「谷山–志村予想」を参照

モジュラー性定理は、以前は谷山志村予想としても知られていたが、Q の上の全ての楕円曲線 E はモジュラーであるということであり、言い換えると、楕円曲線のハッセ・ヴェイユのゼータ関数はウェイト 2 でレベル 1 のモジュラー形式のL-関数であるということを言っている。ここに N はアーベル多様体 E の導手である。（導手とは、E の判別式 Δ(E) として同じ素数により割ることのできる整数を言う。）言い換えると、Re(s) > 3/2 に対し、L-関数を

$L(E(\mathbf {Q} ),s)=\sum _{n>0}a(n)n^{-s}$

の形に書くと、

$\sum a(n)q^{n},\qquad q=\exp(2\pi iz)$

はウェイト 2 でレベル N の双曲モジュラー形式の新形式(newform)を定義する。N を割らない素数 ℓ に対して、モジュラー形式の係数 a(ℓ) は ℓ に等しい、つまり法 ℓ での最小多項式の解の個数に等しい。

判別式（と導手）が 37 である楕円関数 $y^{2}-''y''=x^{3}-x$ の例は、モジュラー形式

$f(z)=q-2q^{2}-3q^{3} 2q^{4}-2q^{5} 6q^{6} \cdots ,\qquad q=\exp(2\pi iz)$

に関係付けられている。

ℓ を 37 とは異なる素数とすると、係数の性質を比較することができる。従って、ℓ = 3 とすると法 3 の方程式の解は (0, 0), (0, 1), (2, 0), (1, 0), (1, 1), (2, 1) であり、a(3) = 3 − 6 = −3 である。

この予想は1950年代に主張され、1999年にアンドリュー・ワイルズのアイデアを用いて完全に証明された。彼は1994年に大きな楕円曲線の族についてこの予想を証明した。

予想には様々な定式がある。これらが同値であることを示すことは難しく、20世紀の後半の数論の主要なテーマであった。導手 N の楕円曲線 E のモジュラーリティは、モジュラー曲線 X₀(N) から E への、Q 上に定義された非定数の有理写像が存在することも表すことができる。特に、E の点はモジュラー関数によりパラメトライズされる。

例えば、曲線 $y^{2}-''y''=x^{3}-x$ のモジュラーパラメータ化は により与えられた。

${\begin{aligned}x(z)&=q^{-2} 2q^{-1} 5 9q 18q^{2} 29q^{3} 51q^{4} \ldots \\y(z)&=q^{-3} 3q^{-2} 9q^{-1} 21 46q 92q^{2} 180q^{3} \ldots \end{aligned}}$

ここでは、上記のように q = exp(2πiz) とする。関数 x(z) と y(z) はウェイト 0 でレベル 37 のモジュラー関数で、言い換えると、それらは上半平面 Im(z) > 0 で定義された有理型で、関数等式

$x\left({\frac {az b}{cz d}}\right)=x(z)$

を満たす。また同じことが、ad − bc = 1 かつ 37|c となる全ての整数 a, b, c, d と y(z) について成り立つ。

別な定式化は、一方では楕円曲線に、他方ではモジュラー形式に関連するガロア表現の比較に依拠している。モジュラー形式に関係付けられた定式化は予想の証明に使用された。形式のレベルを扱うこと（と曲線の導手との関係）は特に微妙である。

予想の最も重要な応用はフェルマーの最終定理(FLT)の証明である。素数 p > 5 に対して、フェルマー方程式

$a^{p} b^{p}=c^{p}$

は、零ではない整数解を持つとする、つまり、フェルマーの最終定理の反例であるとすると、判別式

$\Delta ={\frac {1}{256}}(abc)^{2p}$

の楕円曲線

$y^{2}=x(x-a^{p})(x b^{p})$

は、モジュラーではありえない。従って、楕円曲線のこの族（ヘレゴーチ・フライ曲線(Hellegouarch–Frey curves)と呼ぶ）の谷山志村予想の証明は、フェルマーの最終定理を意味する。2つのステートメントを結び付ける証明は、ゲルハルト・フライの1985年のアイデアを基礎にしていて、難しくテクニカルである。1987年にケン・リベットにより出版された。

整数点

楕円曲線上には整数点は有限個しか存在しない。すなわちxが整数であるような E(Q) の点 P = (x, y) の集合は有限集合である。一般に種数が 1 以上の代数曲線には整数点は有限個しか存在しない。これはアクセル・トゥエがディオファントス近似に関する定理から特別の場合について証明し、ジーゲル(C. L. Siegel)が一般の場合について証明した。この定理は、x の座標の分母が有限個の素数によってのみ割ることのできる点へと一般化される。しかし、これらの定理は計算可能性を備えていない。ベイカーは超越数論の方法をつかい、種数1の代数曲線には有限個の整数点しか存在せず、それらは計算可能であることを示した。

定理は分かりやすく定式化できて、例えば、 によると、E のワイエルシュトラスの方程式が定数 H により有界付けられた整数係数を持つ方程式であれば、x も y も整数である E の点の座標 (x, y) は、

$\max(|x|,|y|)<\exp \left(\left[10^{6}H\right]^{{10}^{6}}\right)$

を満たす。

特殊な場合にはより強い結果が成り立つことが知られている。たとえば k が 0 ではない整数で、 (x, y) が不定方程式

$y^{2}=x^{3} k$

の整数解 (x, y) であるとき、任意の正の定数 ε に対して、 k と ε のみに依存する計算可能な定数 c が存在して

$\max(|x|,|y|)<\exp \left(ck^{1 \epsilon }\right)$

が成り立つ。

一般に、E を数体 K 上の楕円曲線、x と y をワイエルシュトラス座標とすると、x-座標が整数環 O_K に属するような E(K) の点は有限個しかなく、その大きさに対して、計算可能な上界が与えられる。したがって、原理的にはそれらの点は決定可能である。

例えば、方程式 y² = x³ 17 は y > 0 の 8 個の整数解を持つ。

(x, y) = (−1,4), (−2,3), (2,5), (4,9), (8,23), (43,282), (52,375), (5234,378661).

別な例は、リュングレンの方程式

$Y^{2}=2X^{4}-1$

で、ワイエルシュトラス形式は y² = x³ − 2x であり（ y = 2XY, x = 2X ² とおく）、この曲線は y ≥ 0 で 4個の解しか持たない。

(x, y) = (0,0), (−1,1), (2, 2), (338,6214).

楕円対数

前述の通り、ヴァイエルシュトラスの楕円関数によって定義される写像

$z\mapsto [1:\wp (z):\wp '(z)]$

が群同型であることから、その逆写像も群同型となる。なおかつ、ヴァイエルシュトラスの楕円関数の性質から、この逆写像は楕円積分を用いてあらわされる。具体的には楕円曲線 E が

$E:y^{2}=f(x)=4x^{3}-g_{2}x-g_{3}$

とあらわされているとき、ヴァイエルシュトラス関数の周期 $\omega _{1},\omega _{2}$ によって生成される格子をΛとおくと、楕円曲線上の点 $P=[1:x:y]\in E(\mathbb {R} )$ に対し、

$\phi (P)\equiv {\begin{cases}0&P=O\\\displaystyle \int _{x}^{\infty }{\frac {dt}{\sqrt {f(t)}}}&y\geq 0\\-\phi (-P)&y<0\end{cases}}{\pmod {\Lambda }}$

と定めると、 φは E(R) から R/Λ への群同型を定める。そこで、E(K) の生成元を $P_{1},P_{2},\ldots ,P_{r}$ とおくと K-有理点 $P=m_{1}P_{1} m_{2}P_{2} \cdots m_{r}P_{r} T\in E(K)$ （Tは有限位数の点）に対し

$\phi (P)\equiv \phi (m_{1}P_{1} m_{2}P_{2} \cdots m_{r}P_{r} T)\equiv m_{1}\phi (P_{1}) m_{2}\phi (P_{2}) \cdots m_{r}\phi (P_{r}) \phi (T){\pmod {\Lambda }}$

が成り立つ。この写像φを楕円対数と呼ぶ。

通常の対数関数の一次形式の下からの評価に関するベイカーの定理に対応し、楕円対数の下からの評価が知られている。次の不等式が成り立つような、E と代数体 K およびランク r にのみ依存する計算可能な定数 $c_{1},c_{2},c_{3}$ がとれる。 $B=\max \left|m_{i}\right|$ とおくと、格子Λ上の任意の点 $l_{1}\omega _{1} l_{2}\omega _{2}$ に対して

$\left|m_{1}\phi (P_{1}) m_{2}\phi (P_{2}) \cdots m_{r}\phi (P_{r}) \phi (T) l_{1}\omega _{1} l_{2}\omega _{2}\right|>\exp -c_{1}(\log B c_{2})(\log \log B c_{3}).$

一方 P が整数点であるとき、この絶対値は B に対して指数関数的に減少する。というのは、P が整数点であるとき $x=\exp h_{x}(P)$ となる一方、標準的高さは $m_{1},m_{2},\ldots ,m_{r}$ の正定値二次形式としてあらわされることから、対数的高さも正定値二次形式で近似されるので、

$\phi (P)=O(-|x|^{1/2})=O(\exp -(h_{x}(P)/2))=O(\exp -c_{4}B^{2})$

となるからである（$c_{4}>0$ もE と代数体 K およびランク r にのみ依存する計算可能な定数である。）。このことから、整数点の大きさに対する上からの評価が得られる。

この方法は E(K) が知られているときには整数点の大きさに対する計算可能な上界を与えるが、前にも述べたように E(K) 自体を特定するアルゴリズムが知られていないため、この方法は一般の楕円曲線に対しては理論上は必ずしも有効ではない。

一般の体上の楕円曲線

楕円曲線は任意の体 K 上で定義することができる。楕円曲線の公式な定義は、K 上で定義された点を持ち、種数 1 の K 上の非特異射影代数多様体ことを言う。

K の標数が 2 でも 3 でもなければ、全ての K 上の楕円曲線は、

$y^{2}=x^{3}-px-q$

の形に書くことができる。ここに p と q は K の元で、多項式の右辺 x³ − px − q は二重点を持たない。標数が 2 や 3 であれば、さらに項を注意深く扱わねばならなく、標数 3 の場合は、最も一般的な方程式は、多項式の右辺が異なる根（記法は歴史的な理由を持っている）を持つような任意の定数 b₂, b₄, b₆ に対し、

$y^{2}=4x^{3} b_{2}x^{2} 2b_{4}''x'' b_{6}$

の形をしている。

標数 2 の場合は、以上のようなことな不可能で、最も一般的な方程式である

$y^{2} a_{1}xy a_{3}y=x^{3} a_{2}x^{2} a_{4}x a_{6}$

が、非特異な多様体を与える。標数が問題にならない場合は、各々の方程式は、適切な変数変換により前の方程式となる。

一つの典型例を挙げると、全ての曲線の点 (x, y) が上の方程式を満たし、そのような点 x と y が K の代数的閉包に属するとする。K に属する座標を持つ点は、K-有理点と呼ばれる。

一般の体 k 上の楕円曲線は、射影平面 P²(k) の非特異三次曲線

$y^{2}z a_{1}xyz a_{3}yz^{2}=x^{3} a_{2}x^{2}z a_{4}xz^{2} a_{6}z^{3}\,$

と書くことができる。この式は、三次曲線の変曲点が (0, 1, 0) にあり、その接線が z = 0 であるとした時に得られる形で、ワイエルシュトラスの標準形と呼ばれる。この斉次式を非斉次形に直すと

$y^{2} {a_{1}}xy {a_{3}}y=x^{3} {a_{2}}x^{2} {a_{4}}x a_{6}\,$

となる。

同種

→詳細は「同種 (数学)」を参照

E と D を体 k 上の楕円曲線とする。E と D の間の同種 (isogeny) は、基点を保つアーベル多様体の間の有限射 f: E → D である（言い換えると、写像は E 上の与えられた点から D 上の点へ写像する）。

二つの楕円曲線が同種とは、それらの間に同種写像があるときを言う。この関係は同値関係であり、双対同種の存在により対称的である。全ての同種は、代数的準同型であり、このようにして k に値を持つ楕円曲線の群の準同型が導出される。

有限体上の楕円曲線

→詳細は「アーベル多様体の数論」を参照

有限体 F₆₁ 上の楕円曲線 y² = x³ − x のアフィン点の集合

K = F_q を q 個の元を持つ有限体として、E を K 上に定義された楕円曲線とする。K 上の楕円曲線 E の有理点の数を正確に数えることは、一般には難しいが、楕円曲線のハッセの定理は、無限遠点を含めると、この数を、

$|\operatorname {card} E(K)-(q 1)|\leq 2{\sqrt {q}}$

と評価できることを教えている。

言い換えると、曲線の点の数は、大まかには、体の元の数の増加具合と同じ増加具合を示している。この事実は一般的な理論の助けを借りて理解し証明することができる。局所ゼータ関数やエタールコホモロジーを参照。

有限群 F₈₉ 上の楕円曲線 y² = x³ − x のアフィン点の集合

点の集合 E(F_q) は有限アーベル群である。常に、巡回的か、もしくは二つの巡回群の積となる。例えば、 では、

$y^{2}=x^{3}-x$

で F₇₁ 上に定義される楕円曲線は72個の点をもち（(0, 0) を含む 71 個のアフィン点と無限遠点をひとつ持っている）、その群構造は、Z/2Z × Z/36Z で与えられる。具体的な曲線の点の数は、シューフのアルゴリズムにより計算することができる。

F_q の拡大体上の曲線の研究は、F_q 上の E の局所ゼータ関数を導入することにより促進された。局所ゼータ関数は、上記のように一般化された級数

$Z(E(K),T)\equiv \exp \left(\sum _{n=1}^{\infty }\operatorname {card} \left[E(K_{n})\right]{T^{n} \over n}\right)$

により定義される。ここに体 K_n は体 K = F_q の n 次拡大、つまり F_qⁿ である。ゼータ関数は T の有理関数である。ある整数 a が存在し、

$Z(E(K),T)={\frac {1-aT qT^{2}}{(1-qT)(1-T)}}$

となる。

さらに、絶対値が √q である複素数 α, β とすると、

${\begin{aligned}Z\left(E(K),{\frac {1}{qT}}\right)&=Z(E(K),T)\\\left(1-aT qT^{2}\right)&=(1-\alpha T)(1-\beta T)\end{aligned}}$

が成り立つ。この結果はヴェイユ予想 の特別な場合である。例えば、 では、体 F₂ 上の E のゼータ関数である y² y = x³ は、

${\frac {1 2T^{2}}{(1-T)(1-2T)}}$

により与えられる。このことは、次の式に従う。

$\left|E(\mathbf {F} _{2^{r}})\right|={\begin{cases}2^{r} 1&r{\text{ odd}}\\2^{r} 1-2(-2)^{\frac {r}{2}}&r{\text{ even}}\end{cases}}$

有限体 F₇₁ 上の楕円曲線 y² = x³ − x のアフィン点の集合

佐藤・テイト予想は、Q 上の楕円曲線 E を法 q で還元した場合に、ハッセの定理の中の誤差項 2√q が素数 q によってどのように変わるのかについての言明である。佐藤・テイト予想は（ほとんどすべてのそのような曲線に対し）、Taylor, Harris & Shepherd-Barron (2006)により証明され、誤差項が等分分布していることを言っている。

有限体の上の楕円曲線は、特に暗号理論や大きな整数の素因数分解に応用されている。これらのアルゴリズムには、E 上の点の群構造がしばしば利用されている。一般の群（例えば有限体の可逆元からなる群，F_q^∗）に適用できるアルゴリズムは、楕円曲線上の点の群へも応用することができる。例えば、離散対数はそのようなアルゴリズムである。興味深いのは、楕円曲線を選ぶ方が、体の位数 q（と単位元）を選ぶよりも、高い柔軟性がある点である。また、楕円曲線の群構造は、一般にはより複雑である。

楕円曲線を使ったアルゴリズム

有限体上の楕円曲線は、整数の素因数分解への応用と同じように、暗号理論への応用にも使われる。典型的には、暗号理論への応用の一般論は、ある有限群を使った知られているアルゴリズムを、楕円曲線の有理点の群を使うように書き換えて使う。さらに以下を参照。

• 楕円曲線暗号
• 楕円曲線ディフィー・ヘルマン鍵共有
• 楕円曲線DSA
• エドワーズ曲線デジタル署名アルゴリズム
• 双対_EC_DRBG
• レンストラ楕円曲線分解
• 素数性証明楕円曲線

楕円曲線の別の表現

• ヘッセ曲線(Hessian curve)
• エドワーズ曲線
• 曲線のひねり
• ひねられたヘッセ曲線
• ひねられたエドワーズ曲線
• 二重向き付けドッチェ・イカート・コーヘル曲線
• 三重向き付けドッチェ・イカート・コーヘル曲線
• ヤコビ曲線
• モンゴメリ曲線

参考文献

Serge Langは、下に挙げた参考文献の導入部で、"It is possible to write endlessly on elliptic curves. (This is not a threat.)" と言っている。したがって以下の参考文献のリストは、膨大な公開されている楕円曲線の理論的、アルゴリズム的、暗号理論的な側面のせいぜいガイドでしかない。

• Alan Baker (1990). Transcendental Number Theory (paperback ed.). Cambridge Univ. Press. ISBN 0-521-39791-X 
• I. Blake; G. Seroussi, N. Smart (2000). Elliptic Curves in Cryptography. LMS Lecture Notes. Cambridge University Press. ISBN 0-521-65374-6 
• Richard Crandall; Carl Pomerance (2001). “Chapter 7: Elliptic Curve Arithmetic”. Prime Numbers: A Computational Perspective (1st ed.). Springer-Verlag. pp. 285–352. ISBN 0-387-94777-9 
• Cremona, John (1997). Algorithms for Modular Elliptic Curves (2nd ed.). Cambridge University Press. ISBN 0-521-59820-6. http://www.warwick.ac.uk/staff/J.E.Cremona//book/fulltext/index.html 
• Darrel Hankerson, Alfred Menezes and Scott Vanstone (2004). Guide to Elliptic Curve Cryptography. Springer. ISBN 0-387-95273-X. http://www.cacr.math.uwaterloo.ca/ecc/ 
• Hardy, G. H.; Wright, E. M. (2008) [1938], An Introduction to the Theory of Numbers, Revised by D. R. Heath-Brown and J. H. Silverman. Foreword by Andrew Wiles. (6th ed.), Oxford: Oxford University Press, ISBN 978-0-19-921986-5, Zbl 1159.11001  Chapter XXV
• Hellegouarch, Yves (2001). Invitation aux mathématiques de Fermat-Wiles. Paris: Dunod. ISBN 978-2-10-005508-1 
• Husemöller, Dale (2004). Elliptic Curves. Graduate Texts in Mathematics. 111 (2nd ed.). Springer. ISBN 0-387-95490-2 
• Kenneth Ireland; Michael I. Rosen (1998). “Chapters 18 and 19”. A Classical Introduction to Modern Number Theory. Graduate Texts in Mathematics. 84 (2nd revised ed.). Springer. ISBN 0-387-97329-X 
• Anthony W. Knapp (1992). Elliptic Curves. Math Notes. 40. Princeton University Press 
• Koblitz, Neal (1993). Introduction to Elliptic Curves and Modular Forms. Graduate Texts in Mathematics. 97 (2nd ed.). Springer-Verlag. ISBN 0-387-97966-2 
• Koblitz, Neal (1994). “Chapter 6”. A Course in Number Theory and Cryptography. Graduate Texts in Mathematics. 114 (2nd ed.). Springer-Verlag. ISBN 0-387-94293-9 
• Serge Lang (1978). Elliptic curves: Diophantine analysis. Grundlehren der mathematischen Wissenschaften. 231. Springer-Verlag. ISBN 3-540-08489-4 
• Henry McKean; Victor Moll (1999). Elliptic curves: function theory, geometry and arithmetic. Cambridge University Press. ISBN 0-521-65817-9 
• Ivan Niven; Herbert S. Zuckerman, Hugh Montgomery (1991). “Section 5.7”. An introduction to the theory of numbers (5th ed.). John Wiley. ISBN 0-471-54600-3 
• Silverman, Joseph H. (1986). The Arithmetic of Elliptic Curves. Graduate Texts in Mathematics. 106. Springer-Verlag. ISBN 0-387-96203-4 
• Joseph H. Silverman (1994). Advanced Topics in the Arithmetic of Elliptic Curves. Graduate Texts in Mathematics. 151. Springer-Verlag. ISBN 0-387-94328-5 
• Joseph H. Silverman; 訳：鈴木治郎 (2003). 楕円曲線論概説（上、下）. （上記書の日本語訳）. Springer 
• Joseph H. Silverman; John Tate (1992). Rational Points on Elliptic Curves. Springer-Verlag. ISBN 0-387-97825-9 
• Joseph H. Silverman; John Tate, 訳：足立恒雄, 木田雅成, 小松啓一, 田谷久雄 (1995). 楕円曲線論入門. （上記書の日本語訳）. Springer 
• John Tate (1974). “The arithmetic of elliptic curves”. Inventiones Mathematicae 23 (3–4): 179–206. doi:10.1007/BF01389745. 
• Lawrence Washington (2003). Elliptic Curves: Number Theory and Cryptography. Chapman & Hall/CRC. ISBN 1-58488-365-0 
• Wolfgang M. Schmidt (1976). Equations over finite fields: an elementary approach, Lecture Notes in Mathematics, 536. Springer-Verlag. ISBN 0-38707-855-X 
• Wolfgang M. Schmidt (2004). Equations over finite fields: an elementary approach; 2nd edition. Kendrick Press. ISBN 0-97404-271-4 
• Rudolf Lidl and Harald Niederreiter (1997). Finite fields; 2nd edition. Cambridge University Press. ISBN 0-97404-271-4 

• R. J., Stroeker; N., Tzanakis (1994), “Solving elliptic diophantine equations by estimating linear forms in elliptic logarithms”, Acta Arithmetica 67: 177--196, MRMR1291875, http://pldml.icm.edu.pl/pldml/element/bwmeta1.element.bwnjournal-article-aav67i2p177bwm 

• David, Sinnou (1995), “Minarations de formes linéaires de logarithmes elliptiques”, Mémoires de la S. M. F. 2e série 62: 1--143, doi:10.24033/msmf.376, MR98f:11078, http://www.numdam.org/item?id=MSMF_1995_2_62__1_0 

関連項目

• リーマン・フルヴィッツの公式
• 数論力学
• 楕円曲面
• 数式処理システムの一覧
• j-直線

外部リンク

• Hazewinkel, Michiel, ed. (2001), “Elliptic curve”, Encyclopedia of Mathematics, Springer, ISBN 978-1-55608-010-4, https://www.encyclopediaofmath.org/index.php?title=Elliptic_curve 
• The Mathematical Atlas: 14H52 Elliptic Curves
• Weisstein, Eric W. "Elliptic Curves". mathworld.wolfram.com (英語).
• The Arithmetic of elliptic curves from PlanetMath
• Three Fermat Trails to Elliptic Curves, Ezra Brown, The College Mathematics Journal, Vol. 31 (2000), pp. 162–172, winner of the MAA writing prize the George Pólya Award.
• Matlab code for implicit function plotting – Can be used to plot elliptic curves.
• Interactive introduction to elliptic curves and elliptic curve cryptography with SAGE
• Geometric Elliptic Curve Model(Java-Applet drawing curves)
• Interactive elliptic curve over R and over Zp - Web application that requires HTML5 capable browser.
• Comprehensive database of Elliptic Curves over Q