Algorytm faktoryzacji Shora

Kwantowy algorytm Shora – algorytm kwantowy umożliwiający rozkład na czynniki pierwsze liczby naturalnej N w czasie O((log N)³) i pamięci O(log N), przy wykorzystaniu komputera kwantowego. Algorytm ten stanowi teoretyczne zagrożenie dla powszechnie używanego w internecie kryptosystemu RSA. Klucz publiczny w RSA jest iloczynem dwóch dużych liczb pierwszych. Możliwość efektywnego odtworzenia tych liczb na podstawie klucza publicznego pozwalałaby poznać klucz prywatny i tym samym złamać cały szyfr.

Jak większość algorytmów kwantowych, algorytm Shora jest algorytmem probabilistycznym: zwraca poprawną odpowiedź jedynie z pewnym prawdopodobieństwem. Ponieważ jednak odpowiedź może być szybko sprawdzona, powtarzanie algorytmu umożliwia uzyskanie poprawnej odpowiedzi w sposób efektywny z dowolnie dużym prawdopodobieństwem.

Algorytm ten opublikował Peter Shor w 1994 roku. W 2001 roku grupa informatyków z firmy IBM i Uniwersytetu Stanford zademonstrowała jego działanie na 7-kubitowym komputerze kwantowym opartym o jądrowy rezonans magnetyczny. Dokonano wtedy rozkładu liczby $15\ =\ 3\cdot 5$ . Do tej pory jest to największe znane obliczenie kwantowe.

Spis treści

1 Procedura
- 1.1 Część klasyczna
- 1.2 Część kwantowa: Znajdowanie okresu funkcji
2 Analiza algorytmu
- 2.1 Część klasyczna
- 2.2 Część kwantowa
3 Literatura

[edytuj] Procedura

Na wejściu algorytmu dostajemy liczbę naturalną N. Naszym zadaniem jest znalezienie liczby p między 1 a N która dzieli N.

Algorytm Shora składa się z dwóch części:

Sprowadzenia problemu faktoryzacji do problemu znajdowania rzędu elementu w grupie – realizowanego na klasycznym komputerze.
Znajdowania rzędu elementu za pomocą algorytmu kwantowego.

[edytuj] Część klasyczna

Wylosuj liczbę a < N
Oblicz NWD(a, N) – na przykład za pomocą algorytmu Euklidesa.
Jeśli NWD(a, N) ≠ 1, to znaleźliśmy nietrywialny dzielnik N i możemy zakończyć.
W przeciwnym wypadku używamy podprocedury znajdującej okres funkcji (poniżej) dla znalezienia r – okresu następującej funkcji:

$f(x) = a^x\ \mbox{mod}\ N$ ,

(czyli znajdujemy najmniejsze r takie że $f (x + r) = f (x)$ ).
Jeśli r jest nieparzyste, wróć do punktu 1.
Jeśli a ^{r /2} ≡ -1 (mod N), wróć do punktu 1.
Dzielnikiem N jest NWD(a^{r /2} ± 1, N). Koniec algorytmu.

[edytuj] Część kwantowa: Znajdowanie okresu funkcji

Przygotuj dwa rejestry kwantowe: wejściowy i wyjściowy, każdy z log₂N kubitów, i zainicjuj je na stan:

$N^{-1/2} \sum_x \left|x\right\rangle \left|0\right\rangle$

dla x od 0 do N - 1.
Skonstruuj układ realizujący funkcję f(x) w postaci kwantowej i zaaplikuj ją do powyższego stanu, otrzymując

$N^{-1/2} \sum_x \left|x\right\rangle \left|f(x)\right\rangle$
Zaaplikuj odwróconą kwantową transformatę Fouriera do rejestru wejściowego. Transformata ta jest zdefiniowana wzorem:

$U_{QFT} \left|x\right\rangle = N^{-1/2} \sum_y e^{-2\pi i x y/N} \left|y\right\rangle$

Efektem tej operacji będzie zatem stan:

$N^{-1} \sum_x \sum_y e^{-2\pi i x y/N} \left|y\right\rangle \left|f(x)\right\rangle$
Dokonaj pomiaru, otrzymując y w rejestrze wejściowym i $f (x 0)$ w rejestrze wyjściowym. Ponieważ f jest okresowa, prawdopodobieństwo uzyskania pary y, $f (x 0)$ wynosi:

$\left| N^{-1} \sum_{x:\, f(x)=f(x_0)} e^{-2\pi i x y/N} \right|^2 = N^{-2} \left| \sum_{b} e^{-2\pi i (x_0 + r b) y/N} \right|^2$

Można policzyć że to prawdopodobieństwo jest tym większe, im wartość yr/N jest bliższa liczbie całkowitej.
Przekształć y/N w nieskracalny ułamek i weź jego mianownik r′ jako kandydata na r.
Sprawdź czy f(x) = f(x + r′). Jeśli tak, algorytm jest zakończony.
Jeśli nie, sprawdź innych kandydatów na r przez użycie wartości blisko y, albo wielokrotności r′. Jeśli któryś z kandydatów działa, algorytm jest zakończony.
Jeśli nie udało się znaleźć dobrego r, wróć do punktu 1.

[edytuj] Analiza algorytmu

[edytuj] Część klasyczna

Liczby naturalne mniejsze od N i względnie pierwsze z N z mnożeniem modulo N tworzą grupę skończoną. Każdy element a należący do tej grupy ma więc jakiś skończony rząd r – najmniejszą liczbę dodatnią taką że:

$a^r \equiv 1\ \mbox{mod}\ N.\,$

Zatem N | (a ^r − 1). Jeśli potrafimy obliczyć r i jest ono parzyste, to:

$a^r - 1 = (a^{r/2} - 1) (a^{r/2} + 1) \equiv 0\ \mbox{mod}\ N$

$\Rightarrow N\ | (a^{r/2} - 1) (a^{r/2} + 1).\,$

Skoro r jest najmniejszą liczbą taką że a ^r ≡ 1, to N nie może dzielić (a ^{r / 2} − 1). Jeśli N nie dzieli również (a ^{r / 2} + 1), to N musi mieć nietrywialny wspólny dzielnik z obiema liczbami: (a ^{r / 2} − 1) i (a ^{r / 2} + 1).

Otrzymujemy w ten sposób jakąś faktoryzację N. Jeśli N jest iloczynem dwóch liczb pierwszych, jest to jego jedyna faktoryzacja.

[edytuj] Część kwantowa

Algorytm znajdowania okresu funkcji bazuje na zdolności komputera kwantowego do jednoczesnych obliczeń na wielu stanach. Obliczamy wartość funkcji jednocześnie dla wszystkich wartości x, uzyskując superpozycję wszystkich wartości.

Fizyka kwantowa nie umożliwia nam jednak bezpośredniego odczytania tych informacji. Każdy pomiar niszczy superpozycję, pozwalając nam odczytać tylko jedną z wartości. Zamiast odczytywać te wartości, dokonujemy transformacji Fouriera – która zamienia wartości funkcji na wartości jej okresów. Późniejszy odczyt daje z dużym prawdopodobieństwem wartość bliską jakiemuś okresowi funkcji.

Do wykonania kwantowego algorytmu niezbędna jest kwantowa implementacja trzech operacji:

Stworzenia superpozycji stanów. Można tego łatwo dokonać aplikując bramki Hadamarda do wszystkich kubitów w rejestrze.
Funkcji f jako funkcji kwantowej. Używany do tego jest algorytm szybkiego potęgowania, w wersji modulo N. Należy zauważyć że ten krok jest najtrudniejszy w implementacji, i wymaga dodatkowych kubitów i największej ilości kwantowych bramek logicznych.
Odwrotnej kwantowej transformacji Fouriera. Używając kontrolowanych bramek obrotu i bramek Hadamarda, Shor zaprojektował układ, który realizuje to przy użyciu $O ((log N) 2)$ bramek.

Po zastosowaniu tych przekształceń, pomiar stanu rejestru da przybliżoną wartość okresu r.

Przykładowo załóżmy dla uproszczenia, że istnieje takie y że yr/N jest całkowite. Wtedy prawdopodobieństwo uzyskania dobrego y jest równe 1. Aby to pokazać, wystarczy zauważyć, że

e - 2π i b y r / N = 1

dla dowolnego całkowitego b.

Zatem suma czynników dających wartość y będzie równa N/r, bo istnieje N/r różnych wartości b dających ten sam wykładnik. Prawdopodobieństwo każdego takiego y wynosi zatem $1 / r 2$ . Istnieje r różnych y takich, że yr/N jest całkowite, oraz r różnych możliwych wartości $f (x 0)$ . W sumie prawdopodobieństwo uzyskania dobrego r wynosi zatem 1.