Angenommen, eine Funktion hat die folgende merkwürdige Eigenschaft: Es gibt s ∈ { 0 , 1 } n, so dass f ( x ) = f ( y ) genau dann, wenn x + y = s ist . Wenn s = 0 die einzige Lösung ist, bedeutet dies, dass f 1-zu-1 ist; ansonsten gibt es ein von Null verschiedenes s, so dass f ( x )f:F2n→F2ns∈{0,1}nf(x)=f(y)x+y=ss=0fs für alle x , wasbedeutet, dass f 2-zu-1 ist, weil 2 = 0 .f(x)=f(x+s)x2 = 0f
Was kostet es für eine vorgeschriebene Erfolgswahrscheinlichkeit auf einem klassischen oder Quantencomputer, eine einheitliche zufällige 1-zu-1-Funktion von einer einheitlichen zufälligen 2-zu-1-Funktion zu unterscheiden, die diese Eigenschaft erfüllt, wenn jede Option (1-zu -1 oder 2-zu-1) hat gleiche Wahrscheinlichkeit?
Dh ich werfe heimlich eine Münze fair um; Wenn ich Köpfe bekomme, gebe ich dir eine Black-Box-Schaltung (klassisch oder quantum bzw.) für eine einheitliche zufällige 1-zu-1-Funktion , während ich Schwänze bekomme, gebe ich dir eine Black-Box-Schaltung für eine einheitliche zufällige 2-zu -1 Funktion f . Wie viel haben Sie zu zahlen , um eine vorgeschriebene Erfolgswahrscheinlichkeit zu bekommen p zu sagen , ob ich bekam Kopf oder Zahl?ffp
Dies ist das Szenario von Simons Algorithmus . Es hat esoterische Anwendungen in unsinnigen cryptanalysis , * und es war ein frühes Instrument in die Komplexitätsklassen BQP und BPP Studium und eine frühe Inspiration für Shor-Algorithmus.
Simon präsentierte einen Quantenalgorithmus (§3.1, S. 7), der Qubits und die erwartete O ( n ⋅ T f ( n ) + G ( n ) ) Zeit für die Wahrscheinlichkeit nahe 1 des Erfolgs kostet , wobei T f ( n ) ist die Zeit zum Berechnen einer Überlagerung von Werten von f an einer Eingabe der Größe n und wobei G ( n ) die Zeit zum Lösen von istO ( n + | f| )O ( n ⋅ Tf( n ) + G ( n ) )Tf( n )fnG ( n ) lineares Gleichungssystem in F 2 .n × nF2
Simon skizzierte ferner einen Nachweis (Theorem 3.1, p . 9) , dass ein klassische Algorithmus Auswertung bei nicht mehr als 2 n / 4 unterschiedlichen diskreten Werten nicht die Münze mit Vorteile erraten besser als 2 - n / 2 über eine einheitliche Zufall Vermutung.f2n / 42- n / 2
In gewissem Sinne beantwortet dies Ihre Frage positiv: Eine Quantenberechnung, die eine lineare Anzahl von Auswertungen einer Zufallsfunktion auf einer Quantenüberlagerung von Eingaben erfordert, kann eine viel bessere Erfolgswahrscheinlichkeit erzielen als eine klassische Berechnung, die eine exponentielle Anzahl von Auswertungen einer Zufallsfunktion auf diskret erfordert Eingänge , in der Größe der Eingänge. Aber in einem anderen Sinne beantwortet Ihre Frage nicht überhaupt, weil es , dass für sein könnte jede bestimmte Funktion es ein schnellerer Weg, um die Suche zu berechnen.f
Der Deutsch-Jozsa-Algorithmus dient als ähnliche Illustration für ein etwas anderes künstliches Problem, um verschiedene Komplexitätsklassen (P und EQP) zu untersuchen, wobei die Details herausgefunden werden, die dem Leser als Übung überlassen bleiben.
* Simon's ist für die Kryptoanalyse unsinnig, weil nur ein unvorstellbar verwirrter Idiot seinen geheimen Schlüssel in den Quantenschaltkreis des Gegners einspeisen würde, um ihn für eine Quantenüberlagerung von Eingaben zu verwenden. Aus irgendeinem Grund sorgt er jedoch jedes Mal für Aufsehen, wenn jemand eine neue Veröffentlichung über die Verwendung von Simons Algorithmus veröffentlicht die Schlüssel der Idioten mit imaginärer Hardware zu knacken, so funktionieren all diese Angriffe. Ausnahme: Es ist möglich, dass dies die White-Box- Kryptographie zerstört, aber die Sicherheitsstory für die White-Box-Kryptographie selbst gegenüber klassischen Gegnern ist nicht vielversprechend.