第4章有限体上の楕円曲線

この章の目標

• ルジャンドル記号を使って $\lvert E(\mathbb{F}_p) \rvert$ を計算できる
• $\lvert E(\mathbb{F}_q) \rvert = \deg(1 - \phi_q)$ と次数の二次形式性から、ハッセの定理 $\lvert a_q \rvert \leq 2\sqrt{q}$ を証明できる
• フロベニウスの固有多項式から $\lvert E(\mathbb{F}_{q^n}) \rvert$ と合同ゼータ関数を求め、リーマン予想の類似を証明できる
• ヴェイユ対を使って $E(\mathbb{F}_q) \cong \mathbb{Z}/n_1\mathbb{Z} \oplus \mathbb{Z}/n_2\mathbb{Z}$（$n_1 \mid n_2$, $n_1 \mid q - 1$）を証明できる
• 超特異楕円曲線の例で $a_p = 0$ を証明し、ウォーターハウスの定理と佐藤–テイト予想の内容を説明できる

前提：第3章、04-algebra 第1章、04-algebra 第8章。

有限体上の楕円曲線は有限個の点しかもたない。その個数は、$\mathbb{Q}$ 上の曲線を素数 $p$ で還元したとき（第6章）の最も基本的な不変量で、L 関数（第10章）の材料になり、暗号（第5章）では群の位数として安全性を左右する。点の個数はおよそ $q + 1$ で、そのずれは $2\sqrt{q}$ を超えない（ハッセの定理）。本章ではこれを第3章の同種写像の理論から証明し、拡大体での個数、合同ゼータ関数、群の構造、超特異曲線、そして $a_p$ の分布（佐藤–テイト予想）へと進む。

この章の約束. $q = p^r$（$p$ は素数）、$E$ は $\mathbb{F}_q$ 上の楕円曲線（係数が $\mathbb{F}_q$ に属するワイエルシュトラス方程式で定まるもの）とし、$\phi_q$ は $q$ 乗フロベニウス自己準同型（第3章 定義 3.5）である。

をフロベニウスのトレースという（$q = p$ なら $a_p$）。$\mathbb{Q}$ 上の曲線 $E$ については、良い還元をもつ素数 $p$（第6章 定義 6.7。以下の例では方程式の判別式を割らない素数）で係数を $\bmod p$ で読んだ曲線の $a_p$ を、$E$ の $a_p$ と呼ぶ。AEC は Silverman, The Arithmetic of Elliptic Curves を指す。

4.1 点の個数とルジャンドル記号

各 $x \in \mathbb{F}_q$ に対し $y$ は高々 2 個なので $\lvert E(\mathbb{F}_q) \rvert \leq 2q + 1$ である。$q$ が奇数なら、平方完成（第1章 命題 1.8(1)）により $E\colon y^2 = f(x)$（$f$ は相異なる 3 根をもつモニックな 3 次式）としてよい（$\mathbb{F}_q$ 上の変数変換で点の個数は変わらない）。$\mathbb{F}_q^{\times}$ は位数 $q - 1$（偶数）の巡回群なので（04 第8章 定理 8.40）、平方元はその指数 2 の部分群をなす。2 次指標 $\chi$ を、$c$ が $\mathbb{F}_q^{\times}$ の平方元なら $1$、非平方元なら $-1$、$\chi(0) = 0$ と定める。$q = p$ なら $\chi(c)$ はルジャンドル記号 $\left(\frac{c}{p}\right)$ である（04 第1章 定義 1.46）。

命題 4.1（点の個数の公式）$q$ が奇数で $E\colon y^2 = f(x)$ なら

$$\lvert E(\mathbb{F}_q) \rvert = q + 1 + \sum_{x \in \mathbb{F}_q} \chi(f(x)), \qquad a_q = -\sum_{x \in \mathbb{F}_q} \chi(f(x))$$

証明. $c \in \mathbb{F}_q$ に対し $y^2 = c$ の解 $y \in \mathbb{F}_q$ の個数は $1 + \chi(c)$ である（$c = 0$ なら $y = 0$ のみ、平方元なら $\pm y_0$ の 2 個（$q$ は奇数なので $y_0 \neq -y_0$）、非平方元なら 0 個）。これを $x$ について足し、無限遠点 $O$ を加えればよい。$\square$

$\chi(f(x))$ が $\pm 1$ を「でたらめに」とるなら和は $\sqrt{q}$ 程度の大きさになるはずで、ハッセの定理はこの直観を正確にしたものとみなせる。

例 4.2 $E\colon y^2 = x^3 + x + 1$ を $\mathbb{F}_5$ 上で考える（$4 + 27 = 31$ は 5 で割れないので楕円曲線）。$\bmod 5$ の平方元は $1, 4$ である。

よって $\lvert E(\mathbb{F}_5) \rvert = 5 + 1 + 3 = 9$, $a_5 = -3$。点は $O$ と $(0, \pm 1), (2, \pm 1), (3, \pm 1), (4, \pm 2)$ である。

例 4.3（$a_p$ の表）次の 4 曲線の $a_p$ を示す。11a1 は $y^2 + y = x^3 - x^2 - 10x - 20$（導手 11）、37a1 は $y^2 + y = x^3 - x$（導手 37）で、$y^2 = x^3 - x$, $y^2 = x^3 + 1$ はそれぞれ 32a2, 36a1 である。「—」は悪い還元の素数を表す。$a_p$ は PARI/GP の ellap で求め、素朴な数え上げ（短い形では命題 4.1）と一致することを確かめた。

どの値も $\lvert a_p \rvert \leq 2\sqrt{p}$ をみたしている（ハッセの定理）。$y^2 = x^3 - x$ では $p \equiv 3 \pmod 4$ のとき、$y^2 = x^3 + 1$ では $p \equiv 2 \pmod 3$ のとき $a_p = 0$ である（4.7 節で証明する）。また 11a1 では、表のすべての $p$ で $\lvert E(\mathbb{F}_p) \rvert = p + 1 - a_p$ が 5 の倍数になっている。これは 11a1 が位数 5 の有理点 $(5, 5)$ をもつことの反映である（第7章 定理 7.1）。

4.2 フロベニウス自己準同型と点の個数

命題 4.4 (1) $\phi_q$ は次数 $q$ の純非分離な自己準同型で、$\phi_q^n = \phi_{q^n}$ である。(2) $P \in E(\overline{\mathbb{F}}_q)$ について $P \in E(\mathbb{F}_{q^n}) \iff \phi_q^n(P) = P$。したがって $E(\mathbb{F}_{q^n}) = \ker(1 - \phi_q^n)$。

証明. (1) は第3章 命題 3.6。(2) $a \in \overline{\mathbb{F}}_q$ が $\mathbb{F}_{q^n}$ に属することは $a^{q^n} = a$ と同値である（04 第8章 定理 8.41(2)）。$\square$

定理 4.5 $\lvert E(\mathbb{F}_{q^n}) \rvert = \deg(1 - \phi_q^n)$。特に $\lvert E(\mathbb{F}_q) \rvert = \deg(1 - \phi_q)$。

証明. $\ker(1 - \phi_q^n) = E(\mathbb{F}_{q^n})$ は有限なので $1 - \phi_q^n \neq 0$。$1 - \phi_q^n = 1 - \phi_{q^n}$ は分離的である（主張。第3章 注意 3.22、AEC III.5.5。$q$ が奇数なら次の命題 4.6 で初等的に示す）。よって第3章 定理 3.13(2) より $\lvert \ker(1 - \phi_q^n) \rvert = \deg(1 - \phi_q^n)$。$\square$

命題 4.6 $q$ が奇数なら $1 - \phi_q$ は分離的である。

証明. $E\colon y^2 = f(x) = x^3 + a_2x^2 + a_4x + a_6$ とする。$P = (x, y)$ に対し $-\phi_q(P) = (x^q, -y^q)$ で、$x^q \neq x$（有理関数として）なので弦の公式から

$u = x^q - x$, $N = f^q + 2f^{(q+1)/2} + f$ とおくと、$y^{2q} = f^q$, $y^{q+1} = f^{(q+1)/2}$ より $\lambda^2 = N/u^2$ で、$R := N/u^2 - a_2 - x - x^q \in \mathbb{F}_q(x)$ である。標数 $p$ では $(x^q)' = 0$, $(f^q)' = 0$, $u' = -1$, $N' = (q + 1)f^{(q-1)/2}f' + f' = f^{(q-1)/2}f' + f'$ なので

$\deg(N'u) \leq \frac{3(q - 1)}{2} + 2 + q < 3q$ で、$2N = 2x^{3q} + (\text{低次})$, $u^3 = x^{3q} + (\text{低次})$ だから、$u^3R' = x^{3q} + (\text{低次}) \neq 0$。$1 - \phi_q$ は第3章 系 3.11 の形の同種写像なので、第3章 補題 3.4(2) より分離的である。$\square$

$q$ を $q^n$ に替えれば $1 - \phi_q^n$ の分離性も得られる。計算機では、たとえば $y^2 = x^3 + x + 1$（$q = 5$）について $R$ を既約分数にすると分子の次数が 9 になり、例 4.2 の $\lvert E(\mathbb{F}_5) \rvert = 9$ と一致することを確かめた（第3章 補題 3.4(1)）。

4.3 ハッセの定理

定理 4.7（ハッセの定理, Hasse's theorem）

$$\lvert a_q \rvert \leq 2\sqrt{q}, \qquad \text{すなわち} \qquad q + 1 - 2\sqrt{q} \leq \lvert E(\mathbb{F}_q) \rvert \leq q + 1 + 2\sqrt{q}$$

証明. 第3章 系 3.16 の不等式を $\varphi = [1]$, $\psi = \phi_q$ に使うと、$\deg [1] = 1$, $\deg \phi_q = q$ より

定理 4.5 より $\deg(1 - \phi_q) = \lvert E(\mathbb{F}_q) \rvert = q + 1 - a_q$ なので、左辺は $\lvert a_q \rvert$ である。$\square$

ハッセが 1930 年代に証明した。証明の要は「$\lvert E(\mathbb{F}_q) \rvert$ が正定値二次形式 $\deg$ の値として書けること」で、コーシー–シュワルツの不等式がそのまま評価を与える。種数 $g$ の曲線では $\lvert N - q - 1 \rvert \leq 2g\sqrt{q}$ が成り立つ（ヴェイユ。主張）。上界は改良できない：$q = p^2$ では $\lvert a_q \rvert = 2\sqrt{q}$ となる曲線がある（系 4.19）。$q = p$ でも、たとえば $p = 29$ の $y^2 = x^3 - x$ は $a_{29} = -10 = -\lfloor 2\sqrt{29} \rfloor$ である。

4.4 フロベニウスの固有多項式と拡大体での点の個数

定理 4.8 $\operatorname{End}(E)$ において次が成り立つ（整数 $n$ は $[n]$ を表す）。

1. $\hat{\phi}_q = a_q - \phi_q$。
2. $\phi_q^2 - a_q\phi_q + q = 0$。
3. 整数 $s$ について $\phi_q^2 - s\phi_q + q = 0$ ならば $s = a_q$。

証明. 双対同種写像の性質（第3章 定理 3.14。主張）を使う。定理 3.14(3) により $\widehat{1 - \phi_q} = 1 - \hat{\phi}_q$ で、定理 4.5 から

（$\hat{\phi}_q\phi_q = [\deg \phi_q] = [q]$）。よって $\phi_q + \hat{\phi}_q = a_q$ で (1) を得る。左から $\phi_q$ を合成すると、$\phi_q\hat{\phi}_q = [q]$（定理 3.14(1)）と $\phi_q \circ [a_q] = [a_q] \circ \phi_q$ から (2) を得る。(3) は (2) と引き算して $(a_q - s)\phi_q = 0$ となり、$\phi_q \neq 0$ と $\operatorname{End}(E)$ にねじれがないこと（第3章 命題 3.12）から $s = a_q$。$\square$

以下、$X^2 - a_qX + q = (X - \alpha)(X - \beta)$ となる複素数を $\alpha, \beta$ とする。ハッセの定理より判別式 $a_q^2 - 4q \leq 0$ なので、$\beta = \bar{\alpha}$ かつ $\alpha\beta = q$、特に $\lvert \alpha \rvert = \lvert \beta \rvert = \sqrt{q}$ である。

定理 4.9 すべての $n \geq 1$ について $\lvert E(\mathbb{F}_{q^n}) \rvert = q^n + 1 - \alpha^n - \beta^n$。

証明. $s_n = \alpha^n + \beta^n$ は $s_0 = 2$, $s_1 = a_q$, $s_{n+1} = a_qs_n - qs_{n-1}$ をみたすので整数である。$(X - \alpha) \mid X^n - \alpha^n$, $(X - \beta) \mid X^n - \beta^n$ より、$X^{2n} - s_nX^n + q^n = (X^n - \alpha^n)(X^n - \beta^n)$ は $\mathbb{C}[X]$ で $X^2 - a_qX + q$ で割り切れる。後者はモニックな整数係数多項式なので、商 $Q(X)$ は整数係数である（$\mathbb{Z}[X]$ での割り算と商の一意性）。$\phi_q$ は整数と可換なので $X \mapsto \phi_q$ は環準同型 $\mathbb{Z}[X] \to \operatorname{End}(E)$ を定め、定理 4.8(2) から

（$\phi_{q^n} = \phi_q^n$）。$E$ を $\mathbb{F}_{q^n}$ 上の曲線とみて定理 4.8(3) を使うと $s_n = a_{q^n}$、すなわち $\lvert E(\mathbb{F}_{q^n}) \rvert = q^n + 1 - s_n$。$\square$

例 4.10 例 4.2 の $y^2 = x^3 + x + 1$（$\mathbb{F}_5$ 上、$a_5 = -3$）では $\alpha, \beta = (-3 \pm \sqrt{-11})/2$ で、$s_n$ は漸化式 $s_{n+1} = -3s_n - 5s_{n-1}$ から求まる。群の構造（4.6 節）とあわせて表にする（個数と群構造は PARI/GP の ffgen, ellcard, ellgroup で確かめた）。

注意 4.11 第3章 3.10 節の言葉では、$X^2 - a_qX + q$ は $\phi_q$ が $T_\ell(E)$（$\ell \neq p$）に作用するときの固有多項式であり、$\alpha, \beta$ はその固有値である（AEC V.2 節）。定理 4.9 は「$\phi_q^n$ の固有値は $\alpha^n, \beta^n$」という線形代数の事実に対応する。なお $a_q^2 < 4q$ なら、$X^2 - a_qX + q$ は $\mathbb{Q}$ 上既約で $\operatorname{End}(E)$ は零因子もねじれもないので、$\operatorname{End}(E)$ の部分環 $\mathbb{Z}[\phi_q]$ は $\mathbb{Z}[X]/(X^2 - a_qX + q)$ と同型で、虚二次体 $\mathbb{Q}(\sqrt{a_q^2 - 4q})$ の整環である（例 4.10 では $\mathbb{Q}(\sqrt{-11})$）。

4.5 合同ゼータ関数

定義 4.12（合同ゼータ関数, zeta function）形式的冪級数

$$Z(E/\mathbb{F}_q;\ T) = \exp\left( \sum_{n = 1}^{\infty} \lvert E(\mathbb{F}_{q^n}) \rvert \frac{T^n}{n} \right) \in \mathbb{Q}[[T]]$$

を $E$ の合同ゼータ関数といい、$\zeta_E(s) = Z(E/\mathbb{F}_q;\ q^{-s})$ とおく。

定理 4.13（ヴェイユ予想の楕円曲線の場合）

1. （有理性）$Z(E/\mathbb{F}_q;\ T) = \dfrac{1 - a_qT + qT^2}{(1 - T)(1 - qT)}$。
2. （関数等式）$Z\left(E/\mathbb{F}_q;\ \dfrac{1}{qT}\right) = Z(E/\mathbb{F}_q;\ T)$。
3. （リーマン予想の類似）$1 - a_qT + qT^2 = (1 - \alpha T)(1 - \beta T)$, $\lvert \alpha \rvert = \lvert \beta \rvert = \sqrt{q}$。すなわち $\zeta_E(s) = 0$ なら $\operatorname{Re} s = \dfrac{1}{2}$。

証明. (1) 形式的冪級数として $-\log(1 - cT) = \sum_{n \geq 1} c^nT^n/n$ なので、定理 4.9 から

で、$\exp$ をとると $Z = \dfrac{(1 - \alpha T)(1 - \beta T)}{(1 - T)(1 - qT)}$、分子は $1 - (\alpha + \beta)T + \alpha\beta T^2 = 1 - a_qT + qT^2$。(2) $T$ に $1/(qT)$ を代入し分子・分母に $qT^2$ を掛けると、分子は $qT^2 - a_qT + 1$、分母は $(qT - 1)(T - 1) = (1 - T)(1 - qT)$ で元に戻る。(3) $\lvert \alpha \rvert = \lvert \beta \rvert = \sqrt{q}$ は 4.4 節の定義の直後に示した。$\zeta_E(s) = 0$ なら $q^{-s} = \alpha^{-1}$ または $\beta^{-1}$ で、$q^{-\operatorname{Re} s} = \lvert q^{-s} \rvert = q^{-1/2}$。$\square$

例 4.2 の曲線では $Z(T) = \dfrac{1 + 3T + 5T^2}{(1 - T)(1 - 5T)}$ で、$\lvert E(\mathbb{F}_5) \rvert$ だけから $\lvert E(\mathbb{F}_{5^n}) \rvert$ がすべて決まる。ヴェイユ（1949 年）はこの形の主張を一般の非特異射影多様体について予想し（ヴェイユ予想）、曲線については自ら証明していた。高次元を含めたリーマン予想の部分はドリーニュ（1974 年）が証明した。$\mathbb{Q}$ 上の曲線の L 関数は、良い素数 $p$ では分子 $1 - a_pT + pT^2$ に $T = p^{-s}$ を代入したものの逆数を因子とするオイラー積として作られる（第10章 定義 10.2）。

4.6 群の構造

定理 4.14（$E(\mathbb{F}_q)$ の群構造）正の整数 $n_1 \mid n_2$ で $n_1 \mid q - 1$ となるものにより

$$E(\mathbb{F}_q) \cong \mathbb{Z}/n_1\mathbb{Z} \oplus \mathbb{Z}/n_2\mathbb{Z}$$

と書ける（$n_1 = 1$ なら巡回群）。さらに $E[n_1] \subset E(\mathbb{F}_q)$ である。

証明. 有限アーベル群の基本定理（04 第4章 定理 4.8）により、$E(\mathbb{F}_q) \cong \mathbb{Z}/d_1\mathbb{Z} \oplus \cdots \oplus \mathbb{Z}/d_k\mathbb{Z}$（$1 < d_1 \mid d_2 \mid \cdots \mid d_k$）と書ける。$k \geq 1$ のとき素数 $\ell \mid d_1$ をとると、$E(\mathbb{F}_q)[\ell] \cong (\mathbb{Z}/\ell\mathbb{Z})^k$ は $E[\ell]$ に含まれる。$E[\ell]$ の位数は $\ell \neq p$ なら $\ell^2$（第3章 定理 3.23）、$\ell = p$ なら $p$ 以下（第3章 定理 3.24）なので $k \leq 2$。$k \leq 1$ なら $n_1 = 1$ として主張が成り立つ。$k = 2$ のとき $n_1 = d_1$, $n_2 = d_2$ とおくと、$E(\mathbb{F}_q)$ は $(\mathbb{Z}/n_1\mathbb{Z})^2$ を含む。$p \mid n_1$ なら $E[p]$ が位数 $p^2$ の部分群を含むことになり矛盾するので $p \nmid n_1$。すると $E[n_1] \cong (\mathbb{Z}/n_1\mathbb{Z})^2$ の $n_1^2$ 個の点がすべて $E(\mathbb{F}_q)$ に属し、第3章 系 3.32(2) より $\mu_{n_1} \subset \mathbb{F}_q^{\times}$。$\mathbb{F}_q^{\times}$ の位数は $q - 1$ なので、ラグランジュの定理より $n_1 \mid q - 1$。$\square$

例 4.15 (1) 例 4.2 の $\lvert E(\mathbb{F}_5) \rvert = 9$ では $n_1^2 \mid 9$ かつ $n_1 \mid 4$ なので $n_1 = 1$、$E(\mathbb{F}_5) \cong \mathbb{Z}/9\mathbb{Z}$ である。実際 $P = (0, 1)$ の倍数 $P, 2P, \dots, 9P$ は $(0, 1), (4, 2), (2, 1), (3, 4), (3, 1), (2, 4), (4, 3), (0, 4), O$ と 9 点すべてを回る。(2) 例 4.10 の表でも $n_1 \mid 5^n - 1$ が成り立っている（たとえば $n = 6$ で $72 \mid 15624$）。(3) 11a1 を $\bmod 31$ で読むと $E(\mathbb{F}_{31}) \cong (\mathbb{Z}/5\mathbb{Z})^2$ で、$5 \mid 30$ と整合する（PARI/GP の ellgroup で確かめた）。

4.7 超特異楕円曲線

定義 4.16（超特異・通常）$E[p] = \lbrace O \rbrace$（$\overline{\mathbb{F}}_q$ 上）のとき $E$ は超特異 (supersingular) であるといい、そうでないとき（このとき $E[p] \cong \mathbb{Z}/p\mathbb{Z}$。第3章 定理 3.24）通常 (ordinary) であるという。

定理 4.17（超特異性の同値条件、主張）$\mathbb{F}_q$ 上の楕円曲線 $E$ について次は同値である。

1. $E$ は超特異である。
2. $a_q \equiv 0 \pmod{p}$。
3. $\overline{\mathbb{F}}_q$ 上の自己準同型環 $\operatorname{End}(E)$ は四元数環の整環である（特に可換でない）。

さらに、超特異なら $j(E) \in \mathbb{F}_{p^2}$ であり、$p \geq 5$ のとき超特異な $j$ 不変量はちょうど $\lfloor p/12 \rfloor + \varepsilon_p$ 個ある。ここで $\varepsilon_p = 0, 1, 1, 2$（$p \equiv 1, 5, 7, 11 \pmod{12}$ に応じて）。

参照：AEC V.3.1, V.4.1、Washington 第4章。(1) ⇔ (2) の証明の方針. $[q] = \hat{\phi}_q \circ \phi_q$ で $\phi_q$ は純非分離的なので、第3章 定理 3.13 より $\lvert E[q] \rvert = \deg_s \hat{\phi}_q$。第3章 定理 3.24 より $\lvert E[q] \rvert$ は $1$ か $q$ なので、超特異 $\iff$ $\hat{\phi}_q$ が分離的でない。不変微分 $\omega$ について $\phi_q^{\ast}\omega = 0$ だから（第3章 注意 3.22）、定理 4.8(1) より $\hat{\phi}_q^{\ast}\omega = a_q\omega$ で、これが $0$ になるのは $p \mid a_q$ のときに限る。$\square$

$j$ 不変量の個数の公式は $5 \leq p \leq 47$ で、$\mathbb{F}_{p^2}$ のすべての $j$ について曲線を作り、$p \mid a_{p^2}$ かどうかを PARI/GP で調べて確かめた。$q = p \geq 5$ なら、$\lvert a_p \rvert \leq 2\sqrt{p} < p$ なので (2) は $a_p = 0$ と同値、すなわち $\lvert E(\mathbb{F}_p) \rvert = p + 1$ と同値である。

定理 4.18 (1) $p \geq 5$, $p \equiv 2 \pmod 3$, $B \in \mathbb{F}_p^{\times}$ なら、$E\colon y^2 = x^3 + B$ は $a_p = 0$ をみたす。(2) $p \equiv 3 \pmod 4$, $A \in \mathbb{F}_p^{\times}$ なら、$E\colon y^2 = x^3 + Ax$ は $a_p = 0$ をみたす。どちらも超特異である。

証明. 命題 4.1 より $a_p = -\sum_{x} \left(\frac{f(x)}{p}\right)$ を示せばよい。(1) $3 \nmid p - 1$ なので $\mathbb{F}_p^{\times}$ に位数 3 の元はなく、$x \mapsto x^3$ は $\mathbb{F}_p^{\times}$ の単射、したがって $\mathbb{F}_p$ の全単射である。よって

（最後は平方剰余と非剰余が同数であること。04 第1章 命題 1.48）。(2) $f(x) = x^3 + Ax$ は $f(-x) = -f(x)$ をみたし、$p \equiv 3 \pmod 4$ より $\left(\frac{-1}{p}\right) = -1$（04 第1章 系 1.50）なので $\left(\frac{f(-x)}{p}\right) = -\left(\frac{f(x)}{p}\right)$。$x \mapsto -x$ は $\mathbb{F}_p$ の全単射だから、和 $S$ は $S = -S$ をみたし、$S = 0$。超特異性は定理 4.17 の (2) から従う。$\square$

系 4.19 $E/\mathbb{F}_p$ が $a_p = 0$ をみたすとき、$\phi_p^2 = -p$ であり、$E(\mathbb{F}_{p^2}) \cong (\mathbb{Z}/(p + 1)\mathbb{Z})^2$。特に $a_{p^2} = -2p$（ハッセの上界の等号）。

証明. 定理 4.8(2) で $a_p = 0$ とすれば $\phi_p^2 = -p$。命題 4.4 より $E(\mathbb{F}_{p^2}) = \ker(1 - \phi_p^2) = \ker[1 + p] = E[p + 1]$ で、$p \nmid p + 1$ なので第3章 定理 3.23 より $(\mathbb{Z}/(p + 1)\mathbb{Z})^2$。位数 $(p + 1)^2 = p^2 + 1 - a_{p^2}$ から $a_{p^2} = -2p$。$\square$

たとえば $y^2 = x^3 - x$ では $E(\mathbb{F}_{49}) \cong (\mathbb{Z}/8\mathbb{Z})^2$, $E(\mathbb{F}_{121}) \cong (\mathbb{Z}/12\mathbb{Z})^2$、$y^2 = x^3 + 1$ では $E(\mathbb{F}_{25}) \cong (\mathbb{Z}/6\mathbb{Z})^2$ である（PARI/GP で確かめた）。$j = 0, 1728$ の曲線は虚数乗法をもち（第3章 例 3.35）、定理 4.18 の $a_p = 0$ の規則性は虚数乗法の理論で説明される（第9章 注意 9.19・注意 9.22）。一方、例 4.3 の表の 11a1（$p = 19, 29$）や 37a1（$p = 17, 19$）のように、虚数乗法をもたない曲線にも超特異素数は現れる。エルキース（1987 年）は、$\mathbb{Q}$ 上の任意の楕円曲線が無限個の超特異素数をもつことを証明した。

4.8 どんな個数が現れるか

ハッセの定理は点の個数の範囲を制限する。逆に、その範囲のどの値が実際に現れるかは次の定理で完全にわかっている。

定理 4.20（ドイリングの定理、主張）$p$ を素数とする。$\lvert a \rvert \leq 2\sqrt{p}$ をみたす任意の整数 $a$ に対し、$\lvert E(\mathbb{F}_p) \rvert = p + 1 - a$ となる $\mathbb{F}_p$ 上の楕円曲線 $E$ が存在する。