[論文レビュー] Factoring Safe Semiprimes with a Single Quantum Query

Frédéric Grosshans, Thomas Lawson+2 more|arXiv (Cornell University)|Nov 13, 2015

Quantum Computing Algorithms and Architecture参考文献 19被引用数 11

ひとこと要約

この論文は、安全な半素数（2つの安全素数の積）を、1回の量子位数発見アルゴリズム（QOFA）呼び出しで成功率約 1−4/N で因数分解できる修正された量子因数分解アルゴリズムを提示する。これは、1回のクエリあたり最大50%の失敗確率を示すシャノアのオリジナルアルゴリズムを著しく上回る。この改善は、安全な半素数の数論的性質を活用し、位数の出力から直接因数を抽出することで、ランダムな入力選択の必要性を排除し、同じ量子回路を決定的かつ繰り返し利用可能にする点に起因する。

ABSTRACT

Shor's factoring algorithm (SFA), by its ability to efficiently factor large numbers, has the potential to undermine contemporary encryption. At its heart is a process called order finding, which quantum mechanics lets us perform efficiently. SFA thus consists of a \emph{quantum order finding algorithm} (QOFA), bookended by classical routines which, given the order, return the factors. But, with probability up to $1/2$, these classical routines fail, and QOFA must be rerun. We modify these routines using elementary results in number theory, improving the likelihood that they return the factors. The resulting quantum factoring algorithm is better than SFA at factoring safe semiprimes, an important class of numbers used in cryptography. With just one call to QOFA, our algorithm almost always factors safe semiprimes. As well as a speed-up, improving efficiency gives our algorithm other, practical advantages: unlike SFA, it does not need a randomly picked input, making it simpler to construct in the lab; and in the (unlikely) case of failure, the same circuit can be rerun, without modification. We consider generalizing this result to other cases, although we do not find a simple extension, and conclude that SFA is still the best algorithm for general numbers (non safe semiprimes, in other words). Even so, we present some simple number theoretic tricks for improving SFA in this case.

研究の動機と目的

• 安全な半素数を因数分解する際のシャノア因数分解アルゴリズム（SFA）の失敗率を低下させるために、古典的後処理ステップを再考すること。
• SFAにおけるランダムな入力選択の必要性を排除し、実験的実装に適した固定で再利用可能な量子回路を可能にすること。
• 失敗時にも同じ量子回路を変更せずに再実行できるようにすることで、実用的効率を向上させること。
• 数論的洞察が、安全な半素数のケースを越えて量子因数分解を改善するために利用可能かどうかを検討すること。

提案手法

• 安全な半素数 N = p₁p₂ で pᵢ = 2qᵢ + 1 のとき、N と互いに素な任意の a の位数 r は 2q₁q₂ を割り切り、1 と 2 を除くすべての約数が因数を導出可能であることを活用する。
• 標準的なSFAステップ（r が偶数かを確認し、gcd(a^{r/2}±1, N) を計算する）に依存するのではなく、新しい手法では 2q₁q₂ の非自明な約数をすべて直接テストして p₁ と p₂ を回復する。
• ランダムに選択するのではなく、ベース a（例：a=2）を固定することで、実験的実装を簡素化する。
• QOFAが 1 や 2 でない 2q₁q₂ の約数 d を返す確率が非常に高いことを利用し、直接因数抽出を可能にする。
• 失敗時でも同じ量子回路を繰り返し利用可能であることを保証することで、繰り返しの量子呼び出しを回避する。
• 一般整数の場合、QOFAの再実行を避けるために、2つの軽量な古典的チェック（r と N の最大公約数を計算し、r が小さな素数 ℓ で割り切れるかをテストする）を提案する。

実験結果

リサーチクエスチョン

• RQ1 シャノアのアルゴリズムの古典的後処理を再構築することで、安全な半素数に対する失敗確率を低下させることは可能か？
• RQ2 量子位数発見ステップでベース a を固定することで、実験的実装可能性とリソース負荷の低減が図れるか？
• RQ3 QOFAの出力された位数を、SFA よりも効果的に利用して、追加の量子クエリなしで因数を抽出することは可能か？
• RQ4 λ(N) の数論的性質をどの程度活用して、安全な半素数のケースを超えて量子因数分解を改善できるか？
• RQ5 量子サブルーチンを変更せずに、一般整数に対するQOFA呼び出し回数の期待値を、単純な古典的チェックで低減できるか？

主な発見

• 提案されたアルゴリズムは、安全な半素数を、1回のQOFA呼び出しで成功率 ≈1−4/N で因数分解でき、シャノアのアルゴリズム（1回のクエリあたり最大50%の失敗確率）を著しく上回る。
• QOFAが返す位数 r が 2q₁q₂ の非自明な約数であれば、このアルゴリズムは成功する。これは、N を法とする乗法群の構造のおかげで高い確率で成立する。
• ランダムな入力選択の必要性が排除され、固定されたベース a（例：a=2）が使用可能になるため、実験的実装が簡素化され、回路の再利用が可能になる。
• 稀な失敗の場合でも、同じ量子回路を変更せずに再実行できるため、実験的負荷が低減される。
• 一般整数の場合、2つの単純な古典的チェック（r と N の最大公約数を計算し、r が小さな素数で割り切れるかをテストする）により、1回の正しいQOFA呼び出し後の失敗率が4倍低減され、6%から1.5%に低下する。
• 残りの失敗の60%のうち、位数 r が形式 2⁻ᵏλ(N) の場合、λ(N) を回復でき、その後ミラーのアルゴリズムを用いて因数分解可能であり、標準的なSFAに比べて全体の効率がおおよそ1桁向上する。