[论文解读] Factoring Safe Semiprimes with a Single Quantum Query

Frédéric Grosshans, Thomas Lawson+2 more|arXiv (Cornell University)|Nov 13, 2015

Quantum Computing Algorithms and Architecture参考文献 19被引用 11

一句话总结

本文提出了一种改进的量子因数分解算法，可在仅调用一次量子阶查找算法（QOFA）的情况下，以约 1−4/N 的成功概率分解安全半素数（即两个安全素数的乘积），显著优于肖尔原始算法每次查询失败概率高达 50% 的表现。该改进源于利用安全半素数的数论性质，直接从阶的输出中提取因数，无需随机输入选择，从而实现对同一量子电路的确定性重复使用。

ABSTRACT

Shor's factoring algorithm (SFA), by its ability to efficiently factor large numbers, has the potential to undermine contemporary encryption. At its heart is a process called order finding, which quantum mechanics lets us perform efficiently. SFA thus consists of a \emph{quantum order finding algorithm} (QOFA), bookended by classical routines which, given the order, return the factors. But, with probability up to $1/2$, these classical routines fail, and QOFA must be rerun. We modify these routines using elementary results in number theory, improving the likelihood that they return the factors. The resulting quantum factoring algorithm is better than SFA at factoring safe semiprimes, an important class of numbers used in cryptography. With just one call to QOFA, our algorithm almost always factors safe semiprimes. As well as a speed-up, improving efficiency gives our algorithm other, practical advantages: unlike SFA, it does not need a randomly picked input, making it simpler to construct in the lab; and in the (unlikely) case of failure, the same circuit can be rerun, without modification. We consider generalizing this result to other cases, although we do not find a simple extension, and conclude that SFA is still the best algorithm for general numbers (non safe semiprimes, in other words). Even so, we present some simple number theoretic tricks for improving SFA in this case.

研究动机与目标

• 通过重新思考肖尔算法在分解安全半素数时的经典后处理步骤，降低其失败率。
• 消除肖尔算法中对随机输入选择的需求，从而实现固定且可重复的量子电路，便于实验实现。
• 通过允许在失败时重复使用同一量子电路而不做修改，提升实际效率。
• 探索是否可利用数论洞见，将量子因数分解的性能提升超越安全半素数的情形。

提出的方法

• 该算法利用了对于安全半素数 N = p₁p₂ 且 pᵢ = 2qᵢ + 1 的性质，即任意与 N 互素的 a 的阶 r 整除 2q₁q₂，且除 1 和 2 外的所有真因数均可直接导出因数 p₁ 和 p₂。
• 与标准肖尔算法中检查 r 是否为偶数并计算 gcd(a^{r/2}±1, N) 的步骤不同，新方法直接测试 2q₁q₂ 的所有非平凡因数，以恢复 p₁ 和 p₂。
• 该算法固定基底 a（例如 a=2），而非随机选择，从而简化实验实现。
• 它利用 QOFA 返回的 d 是 2q₁q₂ 的非 1 或 2 因数的概率极高的事实，直接实现因数提取。
• 通过确保即使在失败情况下也能重复使用同一量子电路，避免了重复的量子调用。
• 对于一般整数，作者提出了两种轻量级经典检查：计算 gcd(r, N) 和测试 r 是否可被小素数 ℓ 整除，以避免不必要的 QOFA 重试。

实验结果

研究问题

• RQ1 是否可通过重构肖尔算法的经典后处理步骤，降低其在分解安全半素数时的失败概率？
• RQ2 在量子阶查找步骤中固定基底 a 是否能提升实验可行性并降低资源开销？
• RQ3 是否可比肖尔算法更有效地利用 QOFA 的阶输出来提取因数，而无需额外的量子查询？
• RQ4 在多大程度上可利用 λ(N) 的数论性质，将量子因数分解的性能提升超越安全半素数的情形？
• RQ5 是否可通过简单经典检查，在不修改量子子程序的前提下，减少一般整数的 QOFA 调用期望次数？

主要发现

• 所提出的算法仅通过一次 QOFA 调用，即可实现约 1−4/N 的成功率来分解安全半素数，显著优于肖尔算法每次查询失败概率高达 50% 的表现。
• 当 QOFA 返回的阶 r 是 2q₁q₂ 的任意非平凡因数时，该算法即成功，由于模 N 乘法群的结构，这一情况具有很高的发生概率。
• 该方法消除了对随机输入选择的需求，允许使用固定基底 a（如 a=2），简化了实验实现并支持电路重复使用。
• 在罕见的失败情况下，可无需修改直接重新运行同一量子电路，从而降低实验开销。
• 对于一般整数，通过计算 gcd(r, N) 和测试 r 是否可被小素数整除这两个简单经典检查，可将单次正确 QOFA 调用后的失败率降低 4 倍，从 6% 降至 1.5%。
• 在 60% 的剩余失败情形中，阶 r 的形式为 2⁻ᵏλ(N)，可恢复 λ(N) 并通过米勒算法实现因数分解，整体效率相比标准肖尔算法提升约一个数量级。