[논문 리뷰] On completely factoring any integer efficiently in a single run of an order finding algorithm

Martin Ekerå|arXiv (Cornell University)|2020. 07. 20.

Quantum Computing Algorithms and Architecture참고 문헌 24인용 수 13

한 줄 요약

이 논문은 Miller의 알고리즘을 통해 고전적으로 모든 소인수를 복원함으로써, 단일 실행의 양자 순서 찾기로 어떤 홀수 정수 N을 매우 높은 확률로 완전히 인수분해할 수 있음을 보여준다. Z∗_N에서 무작위로 선택한 원소의 순서 r를 알고 있을 경우, 이 방법은 다항 시간 내에 N의 전체 소인수 분해를 효율적으로 계산할 수 있으며, 이는 Shor의 알고리즘의 양자 부분이 한 번의 실행으로도 완전한 인수분해를 위해 충분함을 의미한다. 이는 약간의 확률 조건 하에 성립한다.

ABSTRACT

We show that given the order of a single element selected uniformly at random from $\mathbb Z_N^*$, we can with very high probability, and for any integer $N$, efficiently find the complete factorization of $N$ in polynomial time. This implies that a single run of the quantum part of Shor's factoring algorithm is usually sufficient. All prime factors of $N$ can then be recovered with negligible computational cost in a classical post-processing step. The classical algorithm required for this step is essentially due to Miller.

연구 동기 및 목표

• 단일 양자 순서 찾기 실행으로 어떤 정수 N도 완전히 인수분해할 수 있음을 보이기.
• Shor의 알고리즘에서의 반복적 양자 호출이 필요 없도록, 단일 순서 r로부터 고전적으로 모든 소인수를 복원할 수 있도록 하기.
• 기존 Shor의 접근 방식을 개선하여, 홀수 순서이거나 소인수가 작은 순서라도 인수분해에 효과적으로 활용할 수 있음을 보여주기.
• 모든 복합수 N에 대해 고려할 수 있는 결정론적 고전적 후처리 방법을 제공하여 높은 확률로 작동하도록 하기.
• 성공 확률를 매개변수 c와 k를 조절하여 임의로 높일 수 있음을 보여주기.

제안 방법

• Z∗_N에서 무작위로 선택한 g ∈ Z∗_N의 순서 r을 고전 알고리즘의 입력으로 사용하기.
• r를 소인수 거듭제곱 형태로 분해하여 작은 및 중간 크기의 소인수를 식별하기.
• r의 각 소인수 q에 대해 gcd((g^{r/q} − 1) mod N, N)을 계산하여 N의 비자명한 인수 존재 여부 테스트하기.
• 이 소인수들(중복 포함)의 모든 조합을 尝시도하여 비자명한 약수를 찾을 확률을 극대화하기.
• 중국인의 나머지 정리를 사용하고, pi−1의 알려진 인수분해를 활용하여 고전적으로 순서 찾기 시뮬레이션 수행하기.
• 실패 확률를 제어하기 위해 매개변수 c(한계 m′ = cm를 정의함)와 k(반복 횟수)를 조정하기.

실험 결과

연구 질문

• RQ1 반복적 양자 호출 없이도 단일 양자 순서 찾기 실행으로 어떤 정수 N도 완전히 인수분해할 수 있는가?
• RQ2 단일 순서 r로부터 N의 모든 소인수를 회복할 성공 확률는 얼마이며, 이를 어떻게 극대화할 수 있는가?
• RQ3 홀수 순서이거나 소인수가 작은 순서도 N의 비자명한 인수를 회복하는 데 효과적으로 활용될 수 있는가?
• RQ4 Miller의 방법에 기반한 고전적 후처리 단계가 N의 서로 다른 소인수의 수에 따라 어떻게 확장되는가?
• RQ5 고전적 복원 알고리즘의 실패 확률에 대한 엄밀한 하한은 무엇인가?

주요 결과

• 알고리즘은 실패 확률가 2^{-k} * (n choose 2) + 1/(2c² log² cm) 이하로 제한되는 다항 시간 내에 N을 완전히 인수분해한다. 여기서 n은 서로 다른 소인수의 수이다.
• k = (2 + τ) log n (τ ≥ 1)로 선택하면 실패 확률 ≤ n^{-τ}로 임의로 높일 수 있다.
• 모든 복합수 N에 대해, 이 알고리즘은 단일 순서 r로부터 고전적으로 높은 확률로 모든 소인수를 효율적으로 회복한다.
• r가 홀수거나 gr/2 ≡ -1 mod N이어도, r의 소인수를 활용함으로써 알고리즘이 작동한다.
• Sage에서의 시뮬레이션 결과, 최대 25개의 소인수를 가진 N에 대해서도 표준 하드웨어에서 몇 초에서 수 분 내로 모든 인수를 성공적으로 회복함을 확인하였다.
• 시간 복잡도는 k번의 모듈로 N에 대한 거듭제곱 연산에 의해 지배되며, 각각 O(m)-비트 지수를 사용하므로 고전적 후처리가 매우 효율적이다.