[論文レビュー] Improving the Success Probability for Shor's Factoring Algorithm

Gregor Leander|ArXiv.org|Aug 29, 2002

Cryptography and Data Security被引用数 6

ひとこと要約

この論文は、ヤコビ記号 $ \left(\frac{y}{n}\right) = -1 $ を満たす $ y \in \mathbb{Z}_n^* $ を選ぶことで、ショアの整数因数分解アルゴリズムを改善する。この選択により、$ y $ の $ n $ を法とする位数が偶数であることが保証され、$ y^k \equiv -1 \pmod{n} $ の失敗ケースを回避できる。この手法により、成功確率は $ \frac{1}{2} $ から少なくとも $ \frac{3}{4} $ に向上し、最悪ケースの失敗率が顕著に低下する。

ABSTRACT

Given n=p*q with p and q prim and y in Z_{p*q}^*. Shor's Algorithm computes the order r of y, i.e. y^r=1 (mod n). If r=2k is even and y^k e -1 (mod n) we can easily compute a non trivial factor of n: gcd(y^k-1,n). In the original paper it is shown that a randomly chosen y is usable for factoring with probabily {1/2}. In this paper we will show an efficient possibility to improve the lower bound of this probability by selecting only special y in Z_n^* to {3/4}, so we are able to reduce the fault probabilty in the worst case from {1/2} to {1/4}.

研究の動機と目的

• 非自明な因数を効率的に見つける確率を向上させることで、ショアの整数因数分解アルゴリズムにおける失敗確率を低減すること。
• 位数が偶数であり、かつ $ y^k \not\equiv -1 \pmod{n} $ を満たす $ y \in \mathbb{Z}_n^* $ のクラスを特定すること。
• ショアの元々のランダム選択とは異なり、成功確率の下限を向上させる決定的前処理基準（ヤコビ記号を用いる）を提供すること。
• $ \left(\frac{y}{n}\right) = -1 $ を満たす $ y $ を選ぶと、成功確率が少なくとも $ \frac{3}{4} $ に上昇することを証明すること。

提案手法

• 位数が偶数であることが保証される $ y \in \mathbb{Z}_n^* $ を選ぶため、ヤコビ記号 $ \left(\frac{y}{n}\right) = -1 $ をフィルタリング基準として用いる。
• もし $ y $ が $ p $ または $ q $ を法として平方非剰余であれば、その $ p $ または $ q $ を法とする位数が偶数になる性質を活用する。
• 補題 5 を用いて、$ 2 $ 進付値に基づく離散対数の指数を用いて、$ \mathbb{Z}_p^* $ および $ \mathbb{Z}_q^* $ の偶数位数要素を特徴付ける。
• $ y^k \equiv -1 \pmod{n} $ を満たす $ y \in \mathbb{Z}_n^* $ の数を数え、これが因数分解条件に失敗する唯一のケースであることを確認する。
• $ m_1 = v_2(p-1) $、$ m_2 = v_2(q-1) $ の 2 つの 2 進付値に基づく場合分けを用いて、悪玉 $ y $ の割合を計算し、それが $ \frac{1}{4} $ 以下であることを示す。
• $ m_1 \neq m_2 $ のときの成功確率を $ P(n) = 1 - \frac{1}{2^{m_2 - m_1 + 1}} $ と導出し、$ m_1 = m_2 $ のときは $ 1 $ となる。この結果、下限として $ \frac{3}{4} $ が得られる。

実験結果

リサーチクエスチョン

• RQ1 ランダムな入力選択によって達成される $ \frac{1}{2} $ の下限を超えて、ショアの因数分解アルゴリズムの成功確率を向上させることは可能か？
• RQ2 どのクラスの入力 $ y \in \mathbb{Z}_n^* $ が、$ y $ の位数が偶数であり、かつ $ y^k \not\equiv -1 \pmod{n} $ を満たすことで、因数分解が成功するかを保証するか？
• RQ3 $ p-1 $ および $ q-1 $ の 2 進付値は、因数分解条件に失敗する入力の割合にどのように影響するか？
• RQ4 ヤコビ記号 $ \left(\frac{y}{n}\right) = -1 $ を用いた決定的前処理ステップは、ショアのアルゴリズムの保証された成功確率を向上させることができるか？

主な発見

• ヤコビ記号 $ \left(\frac{y}{n}\right) = -1 $ を満たす $ y \in \mathbb{Z}_n^* $ を選ぶことで、$ y $ の $ n $ を法とする位数が偶数であることが保証され、因数分解に成功するための第一条件を満たす。
• このような $ y $ が $ y^k \not\equiv -1 \pmod{n} $ を満たす確率は少なくとも $ \frac{3}{4} $ であり、最悪ケースの成功確率が $ \frac{1}{2} $ から $ \frac{3}{4} $ に向上する。
• $ v_2(p-1) = v_2(q-1) $ のとき、$ \left(\frac{y}{n}\right) = -1 $ を満たすすべての $ y $ が両条件を満たし、成功確率は $ 1 $ に達する。
• $ m_1 \neq m_2 $ のとき、$ \left(\frac{y}{n}\right) = -1 $ を満たす失敗する $ y $ の数は $ \frac{1}{4} \varphi(n) \cdot \frac{1}{2^{m_2 - m_1}} $ 以下であり、失敗確率は最大で $ \frac{1}{4} $ である。
• ヤコビ記号は多項式時間で計算可能であるため、この手法は効率的であり、量子因数分解における成功確率を向上させるための高速な前処理を可能にする。