Algoritmo de Shor

En computación cuántica, el algoritmo de Shor es un algoritmo cuántico para descomponer en factores un número N en tiempo O((log N)³) y espacio O(logN), así nombrado por Peter Shor.

El algoritmo de Shor es un procedimiento que permite encontrar factores de un número de una manera eficiente. La implementación de este algoritmo se puede llevar a cabo de manera clásica o utilizando circuitos cuánticos (que no han sido llevados a la práctica todavía). Esta última implementación es (por supuesto) la más conveniente cuando se desea encontrar el orden, un parámetro muy necesario a la hora de encontrar los factores primos de un cierto número.

Muchas criptografías de clave pública, tales como RSA, llegarían a ser obsoletas si el algoritmo de Shor es implementado alguna vez en una computadora cuántica práctica. Un mensaje cifrado con RSA puede ser descifrado descomponiendo en factores la llave pública N, que es el producto de dos números primos. Los algoritmos clásicos conocidos no pueden hacer esto en tiempo O((log N)^k) para ningún k, así que llegan a ser rápidamente poco prácticos a medida que se aumenta N. Por el contrario, el algoritmo de Shor puede romper RSA en tiempo polinómico. También se ha ampliado para atacar muchas otras criptografías públicas.

Como todos los algoritmos de computación cuántica, el algoritmo de Shor es probabilístico: da la respuesta correcta con alta probabilidad, y la probabilidad de fallo puede ser disminuida repitiendo el algoritmo.

El algoritmo de Shor fue aplicado en la práctica en 2001 por un grupo en IBM, que descompuso 15 en sus factores 3 y 5, usando una computadora cuántica con 7 qubits.

El problema que intenta solucionar el algoritmo de Shor es que, dado un número entero N, intentamos encontrar otro número entero p entre 1 y N que divida N.

El algoritmo de Shor consiste en dos partes:

1. Una reducción del problema de descomponer en factores al problema de encontrar el orden, que se puede hacer en una computadora clásica.
2. Un algoritmo cuántico para solucionar el problema de encontrar el periodo.

1. Escoja un número pseudo-aleatorio a < N.
2. Compute el mcd(a, N). Esto se puede hacer usando el algoritmo de Euclides.

1. Si el mcd(a, N) ≠ 1, entonces es un factor no trivial de N, así que terminamos.

1. Si no, utilice el subprograma para encontrar el período (ver abajo) para encontrar r, el período de la función siguiente:

   ${\displaystyle f(x)=a^{x}\ {\mbox{mod}}\ N}$,

   es decir el número entero más pequeño r para el cual

   ${\displaystyle f(x+r)=f(x)}$.

2. Si r es impar, vaya de nuevo al paso 1.
3. Si a^r/2 ≡ -1 (mod N), vaya de nuevo al paso 1.
4. Los factores de N son el mcd(a^r/2 ± 1, N). Terminamos.

1. Comience con un par de registros qubits de entrada y salida con log₂N qubits cada uno, e inicialícelos a

   ${\displaystyle N^{-1/2}\sum _{x=0}^{N-1}\left|x\right\rangle \left|0\right\rangle }$

2. Construya f(x) como función cuántica y aplíquela al estado antedicho, para obtener

   ${\displaystyle N^{-1/2}\sum _{x=0}^{N-1}\left|x\right\rangle \left|f(x)\right\rangle }$

3. Aplique la transformada cuántica de Fourier al registro de entrada. La transformada cuántica de Fourier en N puntos se define como:

   ${\displaystyle U_{QFT}\left|x\right\rangle =N^{-1/2}\sum _{y}e^{2\pi ixy/N}\left|y\right\rangle }$

   Lo que nos deja en el estado siguiente:

   ${\displaystyle N^{-1}\sum _{x}\sum _{y}e^{2\pi ixy/N}\left|y\right\rangle \left|f(x)\right\rangle }$

4. Realice una medición. Obtenemos un cierto resultado y en el registro de entrada y f(x₀) en el registro de salida. Este paso no es necesario, ya que, de acuerdo con el principio de medición en diferido, el resultado será el mismo al final del algoritmo independientemente de que se realice una medición. No obstante, por razones de simplificación a la hora de entender el algoritmo, incluiremos este paso. Puesto que f es periódica, la probabilidad de medir cierto y viene dada por

   ${\displaystyle N^{-1}\left|\sum _{x:\,f(x)=f(x_{0})}e^{2\pi ixy/N}\right|^{2}=N^{-1}\left|\sum _{b}e^{2\pi i(x_{0}+rb)y/N}\right|^{2}}$

   El análisis muestra ahora que cuanto más alta es esta probabilidad, tanto más el yr/N es cercano a un número entero.

5. Convierta a y/N en una fracción irreducible, y extraiga el denominador r ', que es un candidato a r.
6. Compruebe si f(x) = f(x + r '). Si es así terminamos.
7. Si no, obtenga más candidatos a r usando valores cercanos a y, o múltiplos de r '. Si cualquier candidato cumple las condiciones, terminamos.
8. Si no, vaya de nuevo al paso 1 del subprograma.

El algoritmo se compone de dos partes. La primera parte del algoritmo convierte el problema de descomponer en factores en el problema de encontrar el período de una función, y se puede implementar clásicamente. La segunda parte encuentra el período usando la transformada de Fourier cuántica, y es responsable de la aceleración cuántica.

Sea ${\displaystyle N\in \mathbb {N} }$. Entonces, encontrar un factor ${\displaystyle x\in \mathbb {N} }$, es encontrar una solución para la ecuación:

${\displaystyle \mathrm {mod} {(x^{r},N)}=1\,\,\,(*)}$

A la hora de intentar abordar este problema, existen un par de teoremas que son útiles:

Sea ${\displaystyle N\in \mathbb {N} }$, y sea ${\displaystyle x}$ una solución de la ecuación (*) (solución no trivial) donde es claro ${\displaystyle 1<x\leqslant N}$. Entonces: Ó ${\displaystyle \mathrm {mcd} {(x+1,N)}}$ o ${\displaystyle \mathrm {mcd} {(x-1,N)}}$ es un factor no trivial del número ${\displaystyle N}$ ("mcd" significa el máximo común divisor).^[1]​

Sea ${\displaystyle N\in \mathbb {N} }$ impar con descomposición en factores primos ${\displaystyle N=p_{1}^{{\alpha }_{1}}\cdot ...\cdot p_{m}^{{\alpha }_{m}}}$. Sea además ${\displaystyle y\in \mathbb {N} }$ (aleatorio) que es coprimo con ${\displaystyle N}$ (${\displaystyle 1<y\leqslant N-1}$) y ${\displaystyle r}$ el orden de ese número entero, es decir, aquel ${\displaystyle r}$ tal que: ${\displaystyle \mathrm {mod} {(y^{r},N)}=1}$. (De este último paso, esto es, hallar r, se encarga el circuito cuántico correspondiente). Entonces:

${\displaystyle \mathrm {Prob} (r\,\,{\text{par}}\land \mathrm {mod} (y^{\frac {r}{2}},N)\neq -1)\geq 1-{\biggl (}{\frac {1}{2}}{\biggr )}^{m}}$

Con estos dos teoremas en mente, ya se puede empezar a plantear la secuencia en la que está basada el algoritmo de factorización de Shor.

Notas:

La notación que se utiliza es, en todo momento coherente, en el sentido de que las variables que aparecen en los teoremas y fuera de ellos o en cualquier otro contexto de a continuación son las mismas.

Por otro lado, la relación que presentan las variables ${\displaystyle x}$ e ${\displaystyle y}$ es:${\displaystyle \ y=x^{\frac {r}{2}}}$. Como se va a poder ver en la siguiente sección.^[1]​

Este algoritmo sirve para factorizar números enteros de gran tamaño. Se exponen y se comentan todas las fases de este algoritmo. En todo momento, el algoritmo va a devolver un factor del número ${\displaystyle \mathrm {N} }$ que se desea descomponer. Los tres primeros casos corresponden a una implementación clásica, en el sentido de que no es necesaria la presencia de ningún circuito cuántico. Corresponden por tanto a la eliminación de casos de tipo trivial o que una implementación clásica puede realizar con suficientemente buena eficiencia.

En efecto, la primera comprobación que se realiza al número es el caso trivial de que su última cifra sea un número par. En tal caso, el algoritmo devuelve 2, y el programa podrá continuar con ${\displaystyle {\frac {N}{2}}}$.

La siguiente fase, es implementar una comprobación para los números enteros ${\displaystyle a}$ mayores o iguales a 1 y números ${\displaystyle b}$ mayores o iguales a 2. Se ha de tener en cuenta este tipo de números para que (como se verá en el paso 4) al utilizar el teorema 2 la probabilidad de obtener un buen candidato a factor sea más alta del 75%. En este caso, el algoritmo, devuelve el factor a.

Se toma un número ${\displaystyle y}$ tal que ${\displaystyle 1<y\leqslant N-1}$. Si ${\displaystyle \mathrm {mcd} (y,N)>1}$, entonces el programa devuelve precisamente este número. Esto se hace solo para comprobar si el número elegido comparte factores con ${\displaystyle N}$. En caso de que los dos números sean coprimos se sigue con el siguiente paso de la serie.

En este punto, dado el número natural ${\displaystyle y}$ anterior, se utilizan los algoritmos de estimación de fase y en concreto de orden, para hallar precisamente ${\displaystyle r}$ (el orden). Estos algoritmos como se puede ver en los enlaces, dependen de la implementación del circuito cuántico en cuestión.

Como ya se dijo antes, partimos de que se conoce el orden. Ahora, se aplican los teoremas anteriores para intentar hallar este factor.

La primera parte de este último paso, consiste en la comprobación de si se cumplen los requisitos que el teorema 2 impone para asegurar una alta probabilidad. Esto ya se hizo en los procedimientos anteriores, pues se sabe que; ${\displaystyle N}$ es impar, tiene al menos dos factores primos distintos ${\displaystyle y}$ es coprimo con ${\displaystyle N}$. Bajo estas condiciones, es posible asegurar que existe una alta probabilidad de que el número ${\displaystyle x}$ sea no trivial, esto es: ${\displaystyle \mathrm {mod} (y^{\frac {r}{2}},N)\neq -1}$

y que por supuesto ${\displaystyle r}$ es par.

Y habiendo comprobado esto, se está en disposición de aplicar el teorema 1 pues se cumplen a su vez todas las condiciones necesarias para poder aplicarlo y de esta forma obtener con alta probabilidad un factor de ${\displaystyle N}$. Bien ${\displaystyle \mathrm {mcd} {(x+1,N)}}$ o ${\displaystyle \mathrm {mcd} {(x-1,N)}}$.

Como se ve todo este proceso depende de una cierta probabilidad de éxito. Si en algún punto el algoritmo falla, comienza de nuevo.^[1]​^[2]​^[3]​

Los números enteros menores que N y coprimos con N forman un grupo finito bajo multiplicación módulo N, que se denota típicamente ${\displaystyle \mathbb {Z} _{N}^{*}}$. Para el final del paso 3, tenemos un número entero a en este grupo. Puesto que el grupo es finito, a debe tener un orden finito r, el número entero positivo más pequeño tal que

${\displaystyle a^{r}\equiv 1\ {\mbox{mod}}\ N.\,}$

Por lo tanto, N |(a^r - 1). Suponga que podemos obtener r, y es par. Entonces

${\displaystyle a^{r}-1=(a^{r/2}-1)(a^{r/2}+1)\equiv 0\ {\mbox{mod}}\ N}$

${\displaystyle \Rightarrow N\ |(a^{r/2}-1)(a^{r/2}+1).\,}$

r es el número entero positivo más pequeño tal que a ^r ≡ 1, así que N no puede dividir a (a ^r/2 - 1). Si N tampoco divide (a^r/2 + 1), entonces N debe tener un factor común no trivial con (a^r/2 - 1) y (a ^r/2 + 1).

Prueba: Por simplicidad, denote (a^r/2 - 1) y (a^r/2 + 1) u y v respectivamente. N | uv, luego kN = uv para un cierto número entero k. Suponga que el mcd(u, N) = 1; entonces mu + nN = 1 para ciertos números enteros m y n (ésta es una propiedad del máximo común divisor). Multiplicando ambos lados por v, encontramos que mkN + nvN = v, luego N |v. Por contradicción, mcd(u, N) ≠ 1. Por un argumento similar, mcd(v, N) ≠ 1.

Esto nos provee de una factorización de N. Si N es el producto de dos primos, esta es la única factorización posible.

El algoritmo, para encontrar el período de Shor, se basa radicalmente en la capacidad de una computadora cuántica de estar en muchos estados simultáneamente. Los físicos llaman a este comportamiento superposición cuántica. Para computar el período de una función f, evaluamos la función en todos los puntos simultáneamente.

Sin embargo, la física cuántica no permite que tengamos acceso a toda esta información directamente. Una medición cuántica dará solamente uno de todos los valores posibles, destruyendo todos los otros. Por lo tanto tenemos que transformar cuidadosamente la superposición a otro estado que devuelva la respuesta correcta con alta probabilidad. Esto es alcanzado usando la transformada de Fourier cuántica.

Shor tuvo que solucionar así tres "problemas de implementación". Todos tuvieron que ser implementados "rápidos", que significa ejecutar con un número de puertas cuánticas que es polinómico en logN.

1. Crear una superposición de estados. Esto puede hacerse aplicando las puertas de Hadamard a todos los qubits en el registro de entrada. Otro enfoque sería utilizar la transformada de Fourier cuántica (véase abajo).
2. Implementar la función f como una transformada cuántica. Para alcanzar esto, Shor utilizó exponenciación por cuadrados para su transformación modular de la exponenciación.
3. Realizar una transformada de Fourier cuántica. Usando puertas controladas NOT y puertas de una sola rotación de qubit, Shor diseñó un circuito para la transformada de Fourier cuántica que usa exactamente ((logN)²) puertas.

Después de todas estas transformaciones una medición dará una aproximación al período r. Por simplicidad asuma que hay una y tal que yr/N es un número entero. Entonces la probabilidad de medir y es 1. Para ver esto notemos que

${\displaystyle e^{2\pi ibyr/N}=1}$

para todos los números enteros b. Por lo tanto la suma que nos da la probabilidad de la medición y será N/r puesto que b toma aproximadamente N/r valores y así la probabilidad es 1/r. Hay r, y tales que yr/N es un número entero, luego la suma de las probabilidades es 1. Nota: otra manera de explicar el algoritmo de Shor es observando que es precisamente el algoritmo cuántico de estimación de fase disfrazado.

• Computación cuántica
• Algoritmo de Grover