數學・密碼・量子 on kenji.blog

【PQC】量子電腦時代的次世代密碼學「抗量子計算機密碼學」全貌

Sat, 05 Sep 2026 22:09:22 +0900

前言：量子電腦為密碼技術帶來的「威脅」

現在，我們在網際網路上日常進行的通訊——線上銀行的支付、網站的瀏覽（HTTPS）、通訊軟體的交流，甚至區塊鏈與加密資產的交易——其中大部分都受到被稱為「公開金鑰密碼學」的技術保護。具體來說，RSA密碼學和橢圓曲線密碼學（ECC）等演算法，成為了支撐現代數位社會可靠性的基礎。

這些密碼體系，是以目前古典電腦（包含超級電腦）需要花費天文數字時間才能解開的數學難題，如「巨大數字的質因數分解」或「離散對數問題」作為安全性的基礎。然而，近年來取得顯著進展的 「量子電腦」 一旦實用化，這個前提將會從根本上被推翻。

1994年彼得·蕭爾（Peter Shor）發表的「蕭爾演算法」，在數學上證明了只要使用具備足夠效能的量子電腦，就能在極短的時間內解開質因數分解或離散對數問題。這也意味著，保護現今網際網路的密碼通訊，在未來有全部遭到破解的風險（被稱為 Y2Q：Years to Quantum，或 Q-Day 的問題）。

更嚴重的是，「Harvest Now, Decrypt Later（現在竊取並儲存數據，等到未來能夠解密時再破解）」這種攻擊手法的存在。國家的機密情報、企業的智慧財產、個人的生物特徵等需要保密數十年的數據，現在可能已經成為以未來解密為前提的竊取目標。

為了應對這場前所未有的危機，世界各地的密碼學家與研究機構正傾全力開發能夠抵禦量子電腦攻擊的次世代密碼技術，也就是 抗量子計算機密碼學（PQC：Post-Quantum Cryptography） 。本篇文章將從PQC的基礎開始，詳細解說主要演算法的機制，以及美國國家標準技術研究所（NIST）推動的全球標準化最新動向。

什麼是抗量子計算機密碼學（PQC）？

抗量子計算機密碼學（Post-Quantum Cryptography, PQC）是能在現有古典電腦上運行，且被設計成能夠抵抗未來可能出現的大型量子電腦攻擊（如蕭爾演算法等）的密碼演算法的總稱。

經常被混淆的技術有「量子密碼學（Quantum Cryptography）」和「量子金鑰分發（QKD）」，但這些是完全不同的方法。量子密碼學（QKD）是利用量子力學的物理定律（如觀測會改變狀態的特性），在物理上讓通訊路徑上的竊聽變得不可能的基於硬體的技術。它需要專用的光纖或特殊設備，並面臨導入成本和距離限制等課題。

另一方面， PQC 則是完全以「數學」為基礎，基於軟體的密碼技術 。因此，它可以作為軟體更新整合到現有的網際網路基礎設施、伺服器、智慧型手機、瀏覽器中，具有極高的現實社會適用性。全球的IT企業與政府機構目前的當務之急，是將現行使用的 RSA 或 ECC 替換（轉移）為這項 PQC。

支撐 PQC 的 4 種主要數學方法

基於即使用了量子電腦也無法有效解開的數學難題（如 NP 困難問題等），各界提出了多種 PQC 演算法。在這裡，我們將介紹目前成為主流的 4 個主要類別。

抗量子計算機密碼學（PQC）的主要方法

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


graph LR
 PQC[抗量子計算機密碼學 PQC] --> L[晶格密碼學 Lattice-based]
 PQC --> H[雜湊密碼學 Hash-based]
 PQC --> M[多變數多項式密碼學 Multivariate]
 PQC --> C[編碼密碼學 Code-based]

 L --> L1(FIPS 203: ML-KEM)
 L --> L2(FIPS 204: ML-DSA)

 H --> H1(FIPS 205: SLH-DSA)

 style PQC fill:#f9f,stroke:#333,stroke-width:2px

1. 晶格密碼學（Lattice-based Cryptography）

目前在 PQC 領域中最被看好且成為主流的，就是這項「晶格密碼學」。晶格密碼學是以多維空間中規律排列的點（晶格點）相關的問題作為安全性的基礎。著名的問題包括「最短向量問題（SVP：Shortest Vector Problem）」與「錯誤學習問題（LWE：Learning With Errors）」等。

機制概要： 請想像在一個維度非常高（數百到數千維）的空間內，有無數的點呈現晶格狀排列。要找到特定的晶格點，在 2 維或 3 維空間很簡單，但到了數百維，目前無論是古典電腦還是量子電腦，都沒有發現能夠有效找出的演算法。尤其是 LWE 問題，利用了「若在聯立一次方程式中刻意加入微小的『雜訊（誤差）』，要推測原始變數會變得極其困難」的特性。

優點：

適用於金鑰封裝（KEM）與數位簽章兩者。
處理速度非常快（有時甚至比 RSA 或 ECC 更快）。
金鑰大小與密文大小相對較小，平衡性良好。

目前 NIST 正在進行標準化的演算法中，有許多（如 ML-KEM 或 ML-DSA 等）都採用了這項晶格密碼學。

2. 雜湊密碼學（Hash-based Cryptography）

雜湊密碼學是專門用於數位簽章的 PQC 演算法。其安全性的基礎，僅依賴於 SHA-2 或 SHA-3 等安全的「密碼學雜湊函數」所具備的抗碰撞性與單向性。

機制概要： 以被稱為「藍波簽章（Lamport Signature）」的只能使用一次的一次性簽章方式為起點。透過將其與被稱為「默克爾樹（Merkle Tree）」的樹狀資料結構綁定，實現了使用單一金鑰對進行多次簽章。

優點：

安全性的基礎極其堅固，有著「只要雜湊函數安全就安全」的強力證明。
對數學結構的依賴較少，被發現預期外破解方法的風險較低。

缺點：

無法用於金鑰封裝（KEM），僅限於數位簽章。
簽章大小往往會變得較大。
有分為「有狀態（Stateful）」與「無狀態（Stateless）」，有狀態（如 XMSS 等）因為必須嚴格控管金鑰的使用次數，在實作上的難度較高。

NIST 已經將作為無狀態雜湊簽章的「SLH-DSA (舊名 SPHINCS+)」予以標準化。

3. 多變數多項式密碼學（Multivariate Cryptography）

多變數多項式密碼學是以解開包含多個變數的聯立二次多項式系統的困難度（MQ 問題：Multivariate Quadratic problem）作為安全性基礎的方法。這個問題已知屬於 NP 困難。

機制概要： 發送方將明文（或雜湊值）代入作為公鑰傳遞的包含多個變數的複雜方程式中，製作出密文（簽章）。合法的接收方擁有「能將方程式結構轉換為容易解開形式的隱藏資訊（陷門）」作為私鑰，並使用它來進行解密（或簽章驗證）。

優點：

簽章大小非常小。
簽章的驗證速度極快。適合用於資源受限的物聯網（IoT）設備等。

缺點：

公鑰的大小非常大（有時可達數十到數百 KB）。
過去曾有有力的演算法（如 Rainbow 等）被古典攻擊破解的案例，與其他方法相比，在建立對安全性的信任方面有較困難的一面。

4. 編碼密碼學（Code-based Cryptography）

編碼密碼學是將用於修正通訊路徑上錯誤的「錯誤更正碼」理論應用於密碼學中。1978 年提出的「McEliece 密碼學」最為著名，也是 PQC 中歷史最悠久的方法之一。

機制概要： 發送方使用接收方的公鑰（隱藏了特定結構的錯誤更正碼的生成矩陣）對明文進行編碼，並額外加入刻意的錯誤（雜訊）後發送。接收方則使用私鑰去除錯誤，取出明文。密碼分析者必須從不知道結構的純隨機編碼中修正錯誤，這被稱為「一般症狀解碼問題」，已被證明屬於 NP 困難。

優點：

經過 40 年以上漫長時間的徹底研究，至今尚未發現有效的攻擊方式，安全性的可靠度極高。
加密與解密的處理速度快。

缺點：

公鑰的大小非常巨大（有時可達數 MB）。因此，很難在通訊頻寬或記憶體受限的環境（如 TLS 交握等）中使用。

NIST 的 PQC 標準化最新動向

美國國家標準技術研究所（NIST）自 2016 年起，開始向全世界公開徵求次世代抗量子計算機密碼學演算法，並經過了長達數年的嚴格評估與多輪篩選。

2024 年，NIST 終於發布了以下 3 種演算法作為正式的聯邦資訊處理標準（FIPS）。這意味著全球組織要在正式環境中開始實作的堅固基礎已經完成。

已制定的 FIPS 標準（2024 年）

FIPS 203: ML-KEM（舊名: CRYSTALS-Kyber）
- 用途: 金鑰封裝機制（KEM）／加密與金鑰共享
- 基礎技術: 晶格密碼學（Module-LWE）
- 特徵: 金鑰大小與速度的平衡非常良好，將作為 Web 通訊（TLS）或安全的通訊軟體等一般網際網路用途中的預設 PQC 金鑰共享發揮作用。
FIPS 204: ML-DSA（舊名: CRYSTALS-Dilithium）
- 用途: 數位簽章
- 基礎技術: 晶格密碼學（Module-LWE）
- 特徵: 數位簽章的主要標準。可進行高效率的處理，將成為軟體簽章或文件驗證等所有電子簽章用途的新標準。
FIPS 205: SLH-DSA（舊名: SPHINCS+）
- 用途: 數位簽章
- 基礎技術: 雜湊密碼學（無狀態）
- 特徵: 萬一未來晶格密碼學被發現存在漏洞時，將作為備用方案發揮作用，因此擔負著極其重要的角色。簽章大小雖然較大，但適合需要長期可靠性的用途。

追求更多的多樣性

NIST 在完成首批標準化流程的同時，仍持續探索更多的演算法。特別是因為標準偏向「晶格密碼學」，因此確保 演算法的多樣性（Crypto Diversity） 被視為一項重點。作為金鑰共享的備用標準，目前正推動對編碼密碼學等進行評估，PQC 的基礎預計在未來將變得更加穩固。

邁向 PQC 的轉移劇本與課題：「密碼敏捷性」的重要性

隨著 NIST 發布正式的標準規格，全球的政府機構、金融機構、科技企業將開始正式推動從現有的 RSA/ECC 轉移（遷移）至 PQC。美國國家安全局（NSA）等機構的指南中，也建議應儘早完成轉移。

採用混合式方法

由於 PQC 演算法較為新穎，與古典密碼學相比尚未經歷過「時間的考驗」。考慮到實作中潛藏的錯誤或可能發現新攻擊手法的風險，在過渡時期建議採用 「混合式方法」 。這是一種結合具有實績的現有密碼學（例：ECDHE）與新的 PQC（例：ML-KEM）來進行金鑰交換的方法。目前，主流瀏覽器與雲端服務正快速推進這種方法的測試導入。

實現密碼敏捷性（Crypto-Agility）

企業與系統開發者今後最應該意識到的，是確保 「密碼敏捷性（Crypto-Agility）」 。當未來演算法被發現缺陷或出現新標準時，必須具備能夠在不停止系統運作的情況下，迅速更換與更新密碼演算法的彈性架構設計。

精確掌握自家系統內部「在何處」、「使用了哪種密碼」、「基於何種目的」來建立密碼物料清單（CBOM：Cryptography Bill of Materials），將是邁向 PQC 轉移的重要第一步。

總結：為即將到來的「Q-Day」做好準備

量子電腦的進化在為人類帶來巨大恩惠的同時，也是對現代數位社會基礎之密碼安全性的最大威脅。抗量子計算機密碼學（PQC）已不再是「遙遠未來的研究主題」。經過 NIST 發布 FIPS 標準這項里程碑，PQC 已經正式進入「實作與轉移」的階段。

考慮到「Harvest Now, Decrypt Later」的威脅，對於所有處理機密數據的組織來說，轉移至 PQC 是「現在立刻」就該著手進行的最優先課題。透過深入理解次世代密碼技術並提升系統的密碼敏捷性，讓我們安全地度過即將到來的量子電腦時代吧。

量子電腦真的會破壞RSA加密嗎？〜Shor演算法與目前的發展階段〜

Sat, 05 Sep 2026 22:09:21 +0900

前言：密碼技術與量子電腦的交會點

在現代網路社會中，保護通訊機密的基礎是「公開金鑰加密」。其中最具代表性的，是1977年由Ron Rivest、Adi Shamir和Leonard Adleman三位所開發的「RSA加密」。從我們每天使用的線上購物支付、網站瀏覽（HTTPS）到郵件收發，RSA加密一直扮演著網際網路基礎設施心臟的角色。

然而，隨著「量子電腦」的出現，有人指出這種安全性可能會從根本上被顛覆。媒體上偶爾會出現「只要量子電腦完成，全世界的密碼和加密都會在幾秒鐘內被破解」這樣聳動的標題。究竟這是不是真的呢？

本文將深入探討傳統的密碼破解手法GNFS（普通數體篩法）以及使用量子電腦破解密碼的決定性演算法「Shor演算法（Shor’s Algorithm）」的運作原理。我們將用淺顯易懂的方式解說量子傅立葉變換與尋找週期等進階概念，並詳細驗證目前在NISQ（Noisy Intermediate-Scale Quantum）時代量子硬體的現狀，以及實際要破解RSA-2048所需克服的障礙。

RSA加密的根基：質因數分解的困難度

RSA加密的安全性取決於數學中極度簡單的不對稱性。那就是「將兩個巨大的質數相乘很簡單，但要從相乘的結果（合成數）中找出原本的兩個質數（進行質因數分解）卻極其困難」的事實。

舉例來說，假設有 $ p = 61 $、$ q = 53 $ 兩個質數。要計算這個乘法 $ N = p \times q = 3233 $ 只需要一瞬間。但是，如果只給你「3233」這個數字，要你解出「這是哪兩個質數相乘的結果？」，數字越大，計算量就會呈爆炸性增長。

在目前主流的RSA-2048中，使用了長度為2048位元，換算成十進位約為617位數的巨大合成數 $ N $。只要能將這個 $ N $ 進行質因數分解，加密就等同於被破解了。

傳統電腦的挑戰：GNFS（普通數體篩法）

為了從根本解決質因數分解問題，數學家和密碼學家長年來開發了各種演算法。其中，目前在傳統電腦上被認為最快的方法是 普通數體篩法（GNFS: General Number Field Sieve） 。

GNFS為了將巨大的數字 $ N $ 進行質因數分解，會將整數環的計算擴展到更抽象的代數體（Number Field）來進行解析。大致的流程如下：

選擇多項式 ：尋找一個以 $ N $ 為根，且具有適當次數和係數的多項式 $ f(x) $。
收集資料（篩選） ：在有理數體及代數體上，尋找大量可以分解成小質數（平滑數，Smooth numbers）的數字對。這個過程被稱為「篩選」，也是最耗時的部分。
矩陣生成與簡約 ：根據收集到的關係式生成巨大的稀疏矩陣（大部分元素為0的矩陣），並使用線性代數的手法（如區塊Lanczos法等）來求出解。
計算平方根 ：最後在代數體上計算平方根，推導出 $ N $ 的因數（質因數）。

GNFS的計算量非漸近地被評估為 $ O(\exp((\sqrt[3]{\frac{64}{9}} + o(1)) (\log N)^{\frac{1}{3}} (\log \log N)^{\frac{2}{3}})) $。這被稱為「次指數時間（Sub-exponential）」的計算量。雖然比指數時間快，但比多項式時間（Polynomial time）要慢得多。

實際上，2020年有一個國際研究團隊使用GNFS成功將RSA-250（829位元，250位數的合成數）進行了質因數分解。這項計算動用了全世界的運算資源，耗費了約2700 CPU核心年的龐大計算時間。然而，如果是2048位元，所需的計算量據說會膨脹到宇宙壽命的數兆倍，無論讓現在的超級電腦如何平行運作，都無法在現實時間內用傳統手法破解。

量子電腦的王牌：Shor演算法

這時候登場的，是1994年由Peter Shor發表的「Shor演算法」。這個演算法劃時代地證明了質因數分解問題可以在量子電腦上以 多項式時間 （ $ O((\log N)^3) $ ）被解開。次指數時間和多項式時間的差距是決定性的，這意味著在理論上，只要使用量子電腦，RSA加密就會被徹底破壞。

Shor演算法的整體流程

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


graph TD
 A[輸入想進行質因數分解的數字 N] --> B[選擇一個隨機整數 a]
 B --> C{a 與 N 的<br>最大公因數}
 C -->|大於1| D[很幸運地發現了質因數！]
 C -->|1 互質| E[量子電腦登場]
 E --> F[利用量子傅立葉變換求出函數 f_x = a^x mod N 的<br>週期 r]
 F --> G{週期 r 為偶數 且<br>a^r/2 ≢ -1 mod N}
 G -->|Yes| H[計算最大公因數 gcd_a^r/2 ± 1, N]
 H --> I((成功進行質因數分解！))
 G -->|No| B

Shor演算法並非直接解開質因數分解的問題，而是運用數論定理將其轉換為另一個問題——「尋找週期問題（Period Finding Problem）」，並利用量子電腦的特性來高速解開它。

步驟1：從質因數分解轉換為尋找週期問題（傳統處理）

演算法的第一個步驟在傳統電腦上進行。針對想要進行質因數分解的數字 $ N $，選擇一個與 $ N $ 互質（最大公因數為1）的隨機整數 $ a $（ $ 1 < a < N $ ）。如果剛好最大公因數不是1，那麼當時發現的公因數就是 $ N $ 的質因數，破解也就完成了，但這個機率極低。

接著，我們考慮以下的同餘方程式列： $ f(x) = a^x \pmod N $

若將 $ x = 1, 2, 3, \dots $ 代入這個函數 $ f(x) $ 中，數值看起來似乎是隨機的，但因為是在有限範圍內計算，所以必定會在某個地方回到原來的值，重複同樣的數列。我們將這個重複的週期稱為 $ r $。也就是說，要找到符合 $ a^r \equiv 1 \pmod N $ 的最小正整數 $ r $ 的問題，這就是「尋找週期問題」。

如果能找到這個週期 $ r $，且 $ r $ 為偶數，則 $ a^r - 1 \equiv 0 \pmod N $，利用因式分解的公式可以變形成為 $ (a^{r/2} - 1)(a^{r/2} + 1) \equiv 0 \pmod N $。從這裡，利用歐幾里得演算法計算 $ N $ 和 $ a^{r/2} \pm 1 $ 的最大公因數，就有極高的機率能得到 $ N $ 的質因數。

為了用傳統電腦找到週期 $ r $，說到底還是需要指數級的步驟，無法加速。但是，量子電腦卻能在一瞬間（以多項式時間）找到這個週期 $ r $。

步驟2：準備量子狀態並使其疊加

從這裡開始就是量子電腦發揮作用的地方了。量子電腦使用的是能同時擁有「0」和「1」狀態的「量子位元（Qubit）」。在Shor演算法中，我們準備了兩個暫存器：一個用來儲存輸入（第一暫存器），另一個用來儲存計算結果（第二暫存器）。

首先，我們將被稱為阿達瑪閘（Hadamard gate）的量子閘操作應用到第一暫存器的所有量子位元上。藉此，第一暫存器會處於所有可能的 $ x $ 值（從 $ 0 $ 到 $ 2^n-1 $。$ n $ 是一個夠大的位元數）的 均勻疊加狀態 。

換句話說，在量子電腦的內部，創造出了一個同時並存著 $ x=0, 1, 2, 3, \dots $ 等無數輸入值的狀態。

步驟3：量子模冪運算（Quantum Modular Exponentiation）

接著，以第一暫存器的疊加狀態為輸入，計算 $ f(x) = a^x \pmod N $，並將結果儲存到第二暫存器中。由於這項計算是作為量子電路上的么正變換（Unitary transformation）來執行的，所以在保持疊加的狀態下，會「同時平行地（量子平行性）」進行對所有 $ x $ 的 $ f(x) $ 計算。

此時，整個量子系統的空間處於 $ |x, a^x \bmod N\rangle $ 這種狀態的龐大疊加。

然而，如果在這裡單純地去測量（觀測）第二暫存器，就會隨機且機率性地選出一個 $ a^x \bmod N $ 的值，第一暫存器的 $ x $ 也會連帶地確定為單一一個值。這樣一來，就和用傳統電腦計算一次沒什麼兩樣，無法找到週期 $ r $。

在量子力學的規則下，我們無法直接窺視疊加狀態的內容。那麼，我們該如何萃取出整體的「週期」這項全域資訊呢？

步驟4：量子傅立葉變換（QFT: Quantum Fourier Transform）

突破這道難關，正是Shor演算法的精髓所在，也就是對第一暫存器應用 量子傅立葉變換（QFT） 。

在進行測量之前，我們先分析函數 $ f(x) $ 的波動性質。假設我們觀測了第二暫存器，並得到某個值 $ y $。於是，第一暫存器的狀態會坍縮為「能讓 $ a^x \pmod N = y $ 成立的所有 $ x $ 的疊加」。這個 $ x $ 的值會呈現 $ x_0, x_0 + r, x_0 + 2r, x_0 + 3r, \dots $ 這種以週期 $ r $ 為間隔離散排列的狀態（一種梳狀的機率振幅分佈）。

我們對這個狀態應用量子傅立葉變換（QFT）。就像傳統的離散傅立葉變換將時間域的訊號轉換到頻率域一樣，QFT會讓量子狀態的機率振幅產生干涉。

套用QFT後，藉由量子干涉效應，不與週期 $ r $ 產生共鳴（相位不一致）的錯誤答案，其機率會互相抵消而趨近於零（破壞性干涉），只有帶有週期 $ r $ 資訊的正確答案，其機率會被放大（建設性干涉）。

步驟5：測量與連分數展開（傳統後處理）

應用QFT後，若是測量第一暫存器，會有極高的機率得到一個接近 $ c \approx \frac{j \cdot 2^n}{r} $ 形式的整數 $ c $（ $ j $ 為未知整數，$ 2^n $ 為暫存器的大小）。

將這個測量結果 $ c $ 送回傳統電腦，製造出 $ \frac{c}{2^n} \approx \frac{j}{r} $ 這個分數。然後，利用被稱為「連分數展開（Continued fraction expansion）」的數學方法來計算近似值，就能漂亮地找出作為分母的週期 $ r $。

只要知道了 $ r $，接下來就能利用步驟1的公式計算出 $ N $ 的質因數，RSA加密也就被完全破解了。

現今量子電腦（NISQ）的實力與課題

雖然在理論上是完美的Shor演算法，但如果被問到「明天RSA加密就會被破解嗎？」，答案明確是「不會」。其原因在於目前量子電腦硬體技術的限制。

NISQ（Noisy Intermediate-Scale Quantum）時代

我們現在所處的是被稱為「NISQ」的時代。NISQ設備雖然擁有數十到數百個實體量子位元，但對雜訊卻極為脆弱。

量子位元很容易受到熱或電磁波等外部環境的影響，導致量子狀態被破壞的「去相干（decoherence，失去量子糾纏）」或是操作量子閘時的「閘錯誤」頻繁發生。如果試圖執行像Shor演算法這樣非常深（運算步驟數極度龐大）的量子電路，錯誤就會在計算過程中不斷累積，最終的輸出結果將變成毫無意義的純雜訊。

實體量子位元與邏輯量子位元

為了解決這個錯誤問題，不可或缺的就是「量子錯誤更正（Quantum Error Correction）」。雖然傳統電腦也有使用錯誤更正碼，但因為有禁止複製量子狀態的「量子不可複製定理」，使得量子錯誤更正變得非常複雜。

在量子錯誤更正中，會使用「表面碼（Surface Code）」等技術，將許多充滿雜訊的「實體量子位元」組合起來，創造出一個沒有錯誤的完美「邏輯量子位元」。

以目前的錯誤率為前提，據估算要製造出1個邏輯量子位元，大約需要1,000到10,000個實體量子位元。這被稱為「錯誤更正的經常性負擔（overhead）」。

破壞RSA-2048需要多少資源？

那麼，為了解碼RSA-2048而實際去跑Shor演算法，究竟需要多少資源呢？

根據Craig Gidney（Google）和Martin Ekerå在2021年發表的論文中劃時代的資源估算，若使用最佳化過的Shor演算法並利用表面碼進行錯誤更正，將需要以下資源：

邏輯量子位元數 ：約 4,096 個
實體量子位元數 ： 約 2000萬個 （假設錯誤率在 $10^{-3}$ 左右）
計算時間 ：約 8小時（需要數百萬到數十億次的實體閘操作）

相對應地，目前量子硬體的發展階段又是如何呢？ IBM在2023年底發表的超導量子處理器「Condor」為 1,121 個量子位元。此外，雖然也有關於生成邏輯量子位元的突破性研究發表（例如哈佛大學和QuEra公司等利用中性原子量子電腦成功生成了48個邏輯量子位元），但目前仍未達到能長時間連續執行「無雜訊完美運算」的階段。

從數千個實體量子位元擴展到 2000萬個 實用的實體量子位元（並且必須相互連接、在極低溫下穩定運作、還能以超高速處理控制訊號的系統），在工程上存在著難以跨越的障礙（配線問題、冷卻能力的極限、控制電子設備的肥大化）。許多專家預測，要實現能破解RSA-2048的「容錯量子電腦（FTQC）」，至少還需要10年到30年，甚至更長的時間。

悄悄逼近的「Store Now, Decrypt Later」威脅與PQC的黎明

如果認為「還要等10年以上，所以可以放心」，那就太早下定論了。目前存在著許多必須確保未來數十年機密性的資料，例如國家機密資訊、醫療資料以及長期的基礎設施設計等。

這裡令人擔憂的是被稱為 「Store Now, Decrypt Later（現在儲存，稍後解碼）」 的攻擊手法。充滿惡意的國家或組織會攔截目前用RSA或ECC（橢圓曲線密碼學）加密的所有通訊資料，並儲存到硬碟裡。然後在10年、20年後，當強大的量子電腦完成的瞬間，利用Shor演算法解開過去所有的資料並將機密曝光。

為了對抗這種時間差帶來的威脅，以NIST（美國國家標準暨技術研究院）為中心，正急起直追地推動 「後量子密碼學（PQC: Post-Quantum Cryptography）」 的標準化流程。

PQC是一種基於即使用量子電腦也難以解開（也就是無法應用Shor演算法）的數學問題所建立的新型加密演算法。主要的方法有以下幾種：

晶格密碼學（Lattice-based cryptography） ：以LWE（Learning with Errors）問題等為基礎。在NIST的標準化中為主流（Kyber、Dilithium等）。
編碼型密碼學（Code-based cryptography） ：取決於解碼錯誤更正碼問題的困難度。
多變量多項式密碼學（Multivariate cryptography） ：取決於解開多變數聯立二次方程式的困難度。
雜湊型數位簽章（Hash-based signatures） ：僅依賴於雜湊函數安全性的數位簽章。

目前，包括Google Chrome和Apple的iMessage等主要軟體和平台，都已經開始進行PQC的導入測試和混合實作了。

結語

量子電腦正從科幻世界的夢想，轉變為現實工程上的挑戰。Shor演算法是數學與量子力學融合的人類偉大智慧結晶，但同時也蘊含著動搖我們數位社會基礎的「破壞性力量」。

RSA加密並不會明天馬上就無法使用。然而，考量到量子技術的進化以及「Store Now, Decrypt Later」的風險，轉向PQC這場將在密碼史留下紀錄的大規模轉移，已經悄悄開始了。我們現在正目睹資訊安全典範轉移的最前線。

愛因斯坦的名言

Sat, 24 Aug 2024 18:38:47 +0900

你好！

今天，我想談談愛因斯坦的名言。

世界不看重你的善行？

1
2
3
4
5
6


世界永遠不會評估你做的一百萬件好事。
但他們會批評你做錯的一件事...
但不要灰心
「永遠超越所有的嘲笑和批評。保持堅強。」

- 阿爾伯特·愛因斯坦

這是據說由愛因斯坦所說的話。它敏銳地指出了我們每天感受到的社會的嚴酷，以及人們評價的偏見。

儘管如此，繼續站起來

「永遠超越所有的嘲笑和批評。保持堅強。」

這些接下來的話可以說是愛因斯坦對上述殘酷現實的回答。它們教會我們不屈服於批評或嘲笑，並繼續對自己充滿信心地前進的重要性。

將愛因斯坦的教誨應用於日常生活

這句名言與我們的日常生活息息相關。例如，有時候你在工作上的努力沒有得到認可，只有微小的錯誤引人注目。此外，你在社群媒體上的發言可能會被斷章取義並受到批評。

在這種時候，試著記住愛因斯坦的話。重要的是保持自己的信念，而不是為別人的評價而喜怒哀樂。

結論

愛因斯坦的這句名言教會了我們「不被他人評價所左右，相信自己而活」的重要性。讓我們有勇氣走我們相信的道路，不屈服於批評或嘲笑。

最後，再次回顧愛因斯坦的話。

「永遠超越所有的嘲笑和批評。保持堅強。」

希望這些話能在你心中產生共鳴，並激勵你向前邁出積極的一步。

生成質數的C語言程式碼

Sat, 24 Aug 2024 09:38:10 +0900

以下是一個簡單的C語言程式碼，用於生成指定範圍內的質數。在這個例子中，我們列舉從1到n的質數。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


#include <stdio.h>
#include <stdbool.h>

bool isPrime(int num) {
 if (num <= 1) return false;
 if (num <= 3) return true;
 if (num % 2 == 0 || num % 3 == 0) return false;

 for (int i = 5; i * i <= num; i += 6) {
 if (num % i == 0 || num % (i + 2) == 0) return false;
 }
 return true;
}

void printPrimes(int n) {
 printf("2 ");
 for (int i = 3; i <= n; i += 2) {
 if (isPrime(i)) {
 printf("%d ", i);
 }
 }
 printf("\n");
}

int main() {
 int n;
 printf("請輸入生成質數範圍的最大值: ");
 scanf("%d", &n);
 printf("1到%d之間的質數如下:\n", n);
 printPrimes(n);
 return 0;
}

這段程式碼的運作方式如下：

isPrime函數：判斷給定的數字是否為質數。為了提高效率，首先檢查是否能被2和3整除，然後再以6的倍數進行檢查。
printPrimes函數：輸出指定範圍內的質數。首先輸出2，然後只檢查奇數。
main函數：讓使用者輸入範圍的最大值，並輸出該範圍內的質數。

編譯並執行此程式碼後，將會顯示指定範圍內的質數。

數學的未解決問題

Sat, 02 Mar 2024 22:57:36 +0900

數學的未解決問題

我將解釋數學的未解決問題。即使問題本身很簡單，但仍然有許多問題尚未被證明。

完全數有無數個嗎？

完全數是指除自身以外的正因數之和等於自身的自然數。例如，

6的因數是1, 2, 3，因為1+2+3=6，所以它是完全數。
28的因數是1, 2, 4, 7, 14，因為1+2+4+7+14=28，所以它是完全數。

目前只發現了51個，雖然預計有無數個，但這尚未被證明。

哥德巴赫猜想

哥德巴赫猜想是，所有大於2的偶數都可以表示為兩個質數之和。（這裡的質數是指除了1和自身之外沒有其他因數的自然數。）

例如，

4=2+2
6=3+3
8=3+5
10=3+7=5+5

問題本身非常簡單，但至今尚未被證明。

黎曼猜想

黎曼猜想是，黎曼ζ函數的零點僅限於負偶數和實部為 1 / 2 的複數。

黎曼ζ函數是，當 $s$ 為複數，$n$ 為自然數時，

$$\zeta(s):=\sum _{n=1}^{\infty }{\frac {1}{n^{s}}}=1+{\frac {1}{2^{s}}}+{\frac {1}{3^{s}}}+{\frac {1}{4^{s}}}+\cdots$$

由上述公式所定義的函數 $\zeta$。

使用 Mathematica 解決旅行推銷員問題

Wed, 12 Oct 2022 19:05:58 +0900

使用 Mathematica 解決旅行推銷員問題

問題

電車でこんな広告を見かけました😁📸 pic.twitter.com/iXEgvtXrpL
— 早稲田大学早水桃子研究室 (@hayamizu_lab) October 11, 2022

解法

1

d=SparseArray[{{1,2}->10,{2,1}->10,{1,5}->15,{5,1}->15,{1,4}->12,{4,1}->12,{1,3}->20,{3,1}->20,{2,5}->10,{5,2}->10,{3,4}->10,{4,3}->10,{3,8}->30,{8,3}->30,{3,7}->20,{7,3}->20,{3,6}->25,{6,3}->25,{4,5}->15,{5,4}->15,{4,8}->20,{8,4}->20,{5,9}->18,{9,5}->18,{5,8}->15,{8,5}->15,{6,7}->5,{7,6}->5,{7,8}->35,{8,7}->35,{8,9}->12,{9,8}->12},{9,9},Infinity];

使用 SparseArray 函數建立矩陣。每個元素代表該元素的行與列對應城市之間的距離。例如，第一個元素 {1,2}->10 表示 1 和 2 之間的距離是 10。倒數第二個元素 {9,9} 表示矩陣的大小，最後一個元素 Infinity 表示未指定城市之間的道路長度無限大。也就是說，意味著沒有道路。

1

{len,tour}=FindShortestTour[{1,2,3,4,5,6,7,8,9},DistanceFunction->(d[[#1,#2]]&)]

透過 FindShortestTour 函數，可以輕鬆解決旅行推銷員問題。{1,2,3,4,5,6,7,8,9} 代表城市編號。DistanceFunction->(d[[#1,#2]]&) 傳遞了代表城市之間距離的矩陣 d。

輸出

1

{137, {1, 2, 5, 9, 8, 7, 6, 3, 4}}

輸出為最短距離及當時的巡迴路線。最短距離為 137，巡迴路線為 1→2→5→9→8→7→6→3→4→1。按照 ABC 順序轉換後，將變為 A, B, E, I, H, G, F, C, D。

數學的偉人們

Thu, 22 Sep 2022 23:06:37 +0900

費馬 (P, de Fermat, 1601-1665)

17世紀法國的代表性數學家。為解析幾何、機率論、微分法等奠定了基礎。他也是數論的創始人。

丟番圖 (Diophantus, 約207-約291)

希臘數學家。以引入符號法及研究有理數解聞名。代表作有《算術》。求方程式有理數解的分支被稱為丟番圖分析。

歐拉 (L. Euler, 1707-1783)

瑞士誕生的數學之王。在所有數學領域都取得了成就。留下了超過700篇論文和45部著作。

勒讓德 (A. M. Legendre, 1752-1833)

法國數學家。在整數論、橢圓積分、引力問題等多個領域留下了成就。「數論」一詞源於他的主要著作《數論》。

庫默爾 (E. E. Kummer, 1810-1893)

德國數學家。將分圓體的整數論應用於費馬最後定理，並取得了重大成果。

笛卡兒 (R. Descartes, 1596-1650)

法國極具獨創性的哲學家。代表作包括《方法論》、《幾何學》和《宇宙論》等。

巴斯卡 (B. Pascal, 1623-1662)

以機率論和流體研究聞名的法國哲學家。後來加入詹森派，從事宗教活動。《思想錄》是那時期的著作。

巴歇 (C. G. Bachet, 1581-1638)

法國貴族，將研究數字謎題作為興趣。出版了丟番圖《算術》的拉丁文譯本，並將自己的研究作為註釋刊登其中。

沃利斯 (J. Wallis, 1616-1703)

英國數學家。在其主要著作《無窮算術》中賦予極限概念數學形式，為微積分學的基礎做出了貢獻。

布隆克爾 (W. Brouncker, 1620-1684)

愛爾蘭貴族。皇家學會（英國科學院）首任會長。數學愛好者，與沃利斯等人有交流。

拉格朗日 (J. L. Lagrange, 1736-1813)

出生於義大利的法國數學家。作為歐拉的繼任者擔任柏林科學院數學部主任。在整數論、解析力學等方面取得了重大成就。

西格爾 (C. L. Siegel, 1896-1981)

德國數論學家。在數的解析理論中做出了諸多貢獻。

斐波那契 (L. Fibonacci, 約1175-約1250)

義大利數學家。在他的主要著作《算盤書》中使用了印度-阿拉伯數字，並致力於其普及。此外，在《平方書》中論述了同餘數。

貝克 (A. Baker, 1939-)

英國數論學家。因在超越數論上的貢獻，與廣中平祐共同獲頒菲爾茲獎。

龐加萊 (J. Poincare, 1854-1912)

被稱為最後一位全能數學家的法國數學家。除了自守函數論、非歐幾何、微分方程式、天體力學、電動力學等領域外，在科學評論方面也留下了卓越的著作。

莫德爾 (L. J. Mordell, 1888-1972)

出生於美國的數學家。父母是來自立陶宛的移民。在不定方程式論方面有許多論文，其中橢圓曲線論中的莫德爾定理尤為著名。韋伊將其推廣到一般代數曲線的情況，算術代數幾何從此獲得了爆炸性的發展。

韋伊 (A. Weil, 1906-)

猶太裔法國數學家。年輕時對費馬問題產生興趣，為了將其應用於數論，從根本上重新審視了代數幾何學，並進行了嚴格的基礎建設。也以數學史的著作而聞名。

梅森 (M. Mersenne, 1588-1648)

法國最小兄弟會的神父。促成了各地數學家之間的書信往來。名為梅森數的數字，實際上也是由費馬構想出來的。

羅貝瓦爾 (G. P. de Roberval, 1602-1675)

法國數學家。是當時幾乎唯一獲得數學教授職位的人，以對擺線的研究而聞名。

阿貝爾 (N. H. Abel, 1802-1829)

挪威數學家。在一般五次方程式的不可解性、橢圓函數論、阿貝爾積分論等方面取得了傑出成就，但英年早逝。

雅可比 (K. G. Jacob, 1804-1851)

猶太裔德國數學家。在橢圓函數論、θ函數論、微分方程式、變分學等領域留下了重大成就。向世人介紹了阿貝爾的成就。也以將科學的目的定為「人類精神的榮譽」並排斥實用主義而聞名。

高斯 (C. F. Gauss, 1777-1855)

德國誕生的數學之王。以整數論、非歐幾何、測地學、超幾何級數、曲面論、地磁研究等聞名。是個完美主義者，據說如果沒有達到連鷹架都看不見的完美程度，他就不會公開成果。主要著作有《算術研究》等。

拉梅 (G. Lame, 1795-1870)

法國數學家。在彈性力學、熱傳導論等方面有貢獻。

劉維爾 (J. Liouville, 1809-1882)

法國數學家。對微分方程式、超越整數論、函數論做出了貢獻。

柯西 (A. L. Cauchy, 1789-1857)

法國數學家。多產，在理論物理和數學方面有許多成就。據說在法國受到的尊敬可與高斯媲美。

伽羅瓦 (E. Galois, 1811-1832)

法國數學家。引入群的概念，闡明了阿貝爾關於五次以上方程式一般無法用代數解的定理。年紀輕輕就在決鬥中倒下，現在已知起因是一場無聊的女性糾紛。

亨澤爾 (K, Hensel, 1861-1941)

德國數學家。克羅內克的學生。應用函數論的手法，在數論中引入了p進制（p進解析）理論。

哈塞 (H. Hesse, 1898-1979)

德國數學家。亨澤爾的學生，為p進解析的基礎及其應用做出了貢獻。完善了類體論、研究橢圓曲線的L函數等。

克羅內克 (L. Kronecker, 1823-1891)

猶太裔德國數學家。對橢圓函數論、數論等做出了貢獻。也以提倡數學的算術基礎而聞名，但因其主觀性強的性格，對柏林大學的同事魏爾斯特拉斯進行無理的批評，以及阻撓康托爾的就業，為他的一生帶來了負面形象。

希爾伯特 (D. Hilbert, 1862-1943)

德國數學家。在不變量理論、代數整數論、數學基礎論等數學的各個領域留下了巨大的足跡。他在巴黎國際數學家大會 (1900) 上提出的23個問題對數學的發展產生了重大影響。

黎曼 (B. Riemann, 1826-1866)

德國數學家。在複變函數論中黎曼面的概念、黎曼幾何學等涉及數學根本的領域取得了重大成就。

法爾廷斯 (G. Faltings, 1954-)

德國數學家。在1983年解決了莫德爾猜想。

懷爾斯 (A, Wiles, 1953-)

出生於英國的數學家。在岩澤主猜想、貝赫和斯維納通-戴爾猜想等研究中做出了重大貢獻，是該領域的權威。

參考文獻

費馬最後定理被解開了！從歐拉到懷爾斯的證明講談社

有數學家登場的電影

Mon, 05 Sep 2022 10:41:00 +0900

這是我推薦的 3 部以數學家為主角的電影。

美麗境界

這是一部描繪真實存在的美國天才數學家半生的作品。結局有著令人驚訝的發展。羅素·克洛作為主角的表現非常有味道。

攔截密碼戰

改編自羅伯特·哈里斯的小說《Enigma》的 2001 年電影。來自維基百科

這是一個關於解密德國製造的「恩尼格瑪」密碼機的故事。

模仿遊戲

這同樣是處理恩尼格瑪密碼機的解密故事。我很喜歡當時的世界觀。

天才無限家

這部作品描繪了劍橋大學數學家哈代和印度數學家拉馬努金之間的交流。你能感受到數學的美。

愛的萬物論

描繪霍金博士半生的作品。

粒子狂熱

【用數學公式完全理解】為何最強古典演算法「GNFS」會敗給量子演算法？質因數分解的典範轉移

Mon, 01 Jan 0001 00:00:00 +0000

現代網際網路社會中的資訊安全，主要依賴以RSA密碼為首的公開金鑰密碼系統來保護。RSA密碼安全性的基礎，仰賴於 「對巨大的合成數進行質因數分解，在計算複雜度上是極度困難的」 這個事實。

本文將解析古典電腦中最強的質因數分解演算法 「普通數體篩法」 （General Number Field Sieve, GNFS）的數學機制，並透過數學公式與概念圖，深入探討為何它會被彼得·秀爾（Peter Shor）所發現的 「Shor演算法」 完全擊敗，徹底剖析這場典範轉移。

1. 古典計算中質因數分解的策略：從費馬質因數分解法的發展

質因數分解問題，是對於給定的合成數 $N$，找出滿足 $N = p \times q$ 的質數 $p, q$ 的問題。

基本的想法，可以歸結為尋找滿足以下同餘式的非平凡 $x, y$：

$$ x^2 \equiv y^2 \pmod N $$

將其變形後可得：

$$ x^2 - y^2 \equiv 0 \pmod N $$ $$ (x - y)(x + y) \equiv 0 \pmod N $$

在此，若 $x \not\equiv \pm y \pmod N$，藉由計算 $\gcd(x-y, N)$ 或 $\gcd(x+y, N)$，就能獲得 $N$ 的非平凡因數。這個事實成為了GNFS等近代質因數分解演算法的基礎。

2. 最強古典演算法：「普通數體篩法」（GNFS）的深淵

「GNFS」 是目前已知針對古典電腦的質因數分解演算法中速度最快的。它的時間複雜度需要次指數（Sub-exponential）時間。

GNFS的計算複雜度

當數字 $N$ 的位數為 $b = \log_2 N$ 時，GNFS的計算複雜度可以表示如下：

$$ O\left( \exp \left( \left(\frac{64}{9} b\right)^{1/3} (\log b)^{2/3} \right) \right) $$

從這個公式可以看出，複雜度並非多項式時間，而是比指數函數稍微慢一點的 「次指數時間」 。儘管如此，當位數增加時，計算時間仍會以天文數字般增長。

GNFS的數學機制

GNFS大致可以分為四個步驟：

多項式選擇 (Polynomial Selection)
篩法 (Sieving)
矩陣化簡 (Matrix Reduction)
計算平方根 (Square Root)

2.1. 多項式選擇與代數體

首先，選擇以整數為係數的不可約多項式 $f(x)$ 與 $g(x)$。它們被設定為在 modulo $N$ 之下具有共同的根 $m$。也就是說，

$$ f(m) \equiv 0 \pmod N $$ $$ g(m) \equiv 0 \pmod N $$

通常，$g(x)$ 會被選為一次多項式 $g(x) = x - m$。若將 $f(x)$ 的根設為 $\alpha$，則可建構出名為 $\mathbb{Q}(\alpha)$ 的 「代數體」 （Number Field）。透過同態映射 $\phi: \alpha \mapsto m$，來比較 $\mathbb{Q}(\alpha)$ 環上的運算與一般整數環 $\mathbb{Z}$ 的運算。

2.2. 篩法 (Sieving)

接著，大量搜尋互質的整數對 $(a, b)$。目的是尋找使得以下兩個數值皆為 「B-smooth」 （僅由較小的質因數組成）的配對：

$a - bm$ （在整數環上的值）
$b^d f(a/b)$ （對應到代數體上的範數 $N(a - b\alpha)$）

這裡使用了一種稱為 「篩法」 （Sieve）的快速搜尋手法。藉此，能從龐大的候選者中有效率地萃取出符合條件的 $(a, b)$ 配對。

2.3. 矩陣化簡 (Linear Algebra over GF(2))

從收集到的配對 $(a, b)$ 建構出指數向量，並在 $\mathbb{F}_2$ （元素僅有0與1的體）上求出巨大稀疏矩陣的左零空間。

為了讓關係式 $ \prod (a_i - b_i m) $ 與 $ \prod (a_i - b_i \alpha) $ 分別成為平方元素，我們找出向量 $v$ 作為解。這無非就是解以下的線性方程組：

$$ M \mathbf{x} \equiv \mathbf{0} \pmod 2 $$

在此階段，會活用如區塊蘭佐斯法（Block Lanczos Algorithm）或區塊維德曼法（Block Wiedemann Algorithm）等高度數值計算演算法。

2.4. 計算平方根

最後，在代數體與整數環兩邊皆取平方根，導出 $x^2 \equiv y^2 \pmod N$ 這個關係式。接著計算 $\gcd(x-y, N)$，便能獲得因數。

3. 量子計算帶來的突破：「Shor演算法」

相對於GNFS需要次指數時間，由彼得·秀爾於1994年發表的 「Shor演算法」 ，透過使用量子電腦，能以 「多項式時間」 解決這個問題。

Shor演算法的計算複雜度

當量子位元數為 $O(\log N)$ 時，時間複雜度如下：

$$ O((\log N)^3) $$

這意味著計算時間不會相對於位元數產生指數級的爆炸。這是一個驚人的結果：即使是 「古典計算」 需要超過宇宙壽命才能解開的巨大合成數，在 「量子計算」 下也只需數小時至數天即可破解。

Shor演算法的全貌：歸結為週期尋找問題

Shor演算法巧妙地將質因數分解問題歸結為 「週期尋找問題」 。

選擇一個與 $N$ 互質的隨機整數 $a$ （$1 < a < N$）。
定義函數 $f(x) = a^x \bmod N$。
尋找 $f(x)$ 的週期 $r$，即尋找使得 $a^r \equiv 1 \pmod N$ 成立的最小正整數 $r$。
若 $r$ 為偶數，則確認 $a^{r/2} \not\equiv -1 \pmod N$ 是否成立，並計算 $\gcd(a^{r/2} \pm 1, N)$ 來獲得質因數。

這個步驟3的 「尋找週期 $r$ 」 ，正是古典電腦需要耗費指數時間的瓶頸，但量子電腦透過 「量子疊加」 與 「量子傅立葉轉換」 （QFT），能在一瞬間解決這個問題。

4. 量子傅立葉轉換（QFT）與週期的萃取

讓我們用數學公式詳細檢視Shor演算法的核心：量子狀態的操作。

4.1. 產生量子疊加態

首先，準備兩個量子暫存器。暫存器1保存輸入 $x$ 的疊加態，暫存器2保存函數計算結果 $f(x)$。對初始狀態 $|0\rangle |0\rangle$ 應用阿達馬轉換（Hadamard Transform），創造出所有可能 $x$ 的疊加態。

$$ |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |0\rangle $$

（這裡 $Q$ 是滿足 $N^2 \le Q < 2N^2$ 的2的冪次方）

接著，使用量子神諭（Quantum Oracle） $U_f$ 計算 $f(x) = a^x \bmod N$，並儲存至暫存器2。

$$ |\psi_2\rangle = U_f |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |a^x \bmod N\rangle $$

假設我們在這裡測量了暫存器2（實際上即使不測量，數學結構也是相同的）。若觀測到某個值 $y = a^{x_0} \bmod N$，則暫存器1的狀態會塌縮成所有滿足 $f(x) = y$ 的 $x$ 的疊加態。假設週期為 $r$，則這樣的 $x$ 將會是 $x_0, x_0 + r, x_0 + 2r, \dots$。

$$ |\psi_3\rangle = \frac{1}{\sqrt{M}} \sum_{k=0}^{M-1} |x_0 + kr\rangle $$

（這裡 $M \approx Q/r$ 為項的數量）

這個狀態蘊含了週期 $r$ 的資訊，但若直接測量，只能得到隨機的 $x_0 + kr$，無法得知週期 $r$。這時QFT就派上用場了。

4.2. 應用量子傅立葉轉換 (Quantum Fourier Transform)

QFT是對量子狀態的振幅進行離散傅立葉轉換的操作。QFT對狀態 $|x\rangle$ 的作用定義如下：

$$ \text{QFT} |x\rangle = \frac{1}{\sqrt{Q}} \sum_{y=0}^{Q-1} e^{2\pi i \frac{xy}{Q}} |y\rangle $$

將其應用於 $|\psi_3\rangle$ 時，會發生相位的干涉（量子干涉）。

$$ |\psi_4\rangle = \text{QFT} |\psi_3\rangle = \frac{1}{\sqrt{MQ}} \sum_{y=0}^{Q-1} \sum_{k=0}^{M-1} e^{2\pi i \frac{(x_0 + kr)y}{Q}} |y\rangle $$

展開這個式子的和，會出現：

$$ \sum_{k=0}^{M-1} e^{2\pi i \frac{kry}{Q}} $$

這個幾何級數的和，只有當 $ry/Q$ 接近整數時才會產生建設性干涉（Constructive Interference），在其他情況下則會相互抵消，產生破壞性干涉（Destructive Interference）。

因此，能以高機率被測量到的狀態 $|y\rangle$，將是滿足以下條件的整數 $y$：

$$ \frac{y}{Q} \approx \frac{c}{r} $$

（$c$ 為某個整數）

4.3. 透過連分數展開找出週期

藉由測量得到 $y$ 後，利用古典電腦對 $y/Q$ 進行 「連分數展開」 （Continued Fraction Expansion）。藉此，計算出 $y/Q$ 的近似分數 $c/r$，便能非常有效率地從分母萃取出週期 $r$ 的候選值。

5. 概念模型的比較與典範轉移

為了直觀理解GNFS與Shor演算法的差異，以下展示使用Mermaid語法的概念圖。

透過量子電路的Shor演算法概念圖

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


graph TD
 A[初始狀態: 0...0] --> B[Hadamard轉換產生全狀態的疊加]
 B --> C[模冪運算 a^x mod N]
 C -->|量子糾纏| D[塌縮至具週期性的狀態]
 D --> E[量子傅立葉轉換 QFT]
 E -->|透過干涉放大機率| F[測量: 獲得y]
 F --> G[古典處理: 連分數展開]
 G --> H[發現週期 r]
 H --> I[算出N的質因數]

 style A fill:#f9f,stroke:#333,stroke-width:2px
 style E fill:#bbf,stroke:#333,stroke-width:2px
 style I fill:#bfb,stroke:#333,stroke-width:2px

典範轉移的本質

GNFS採取 「在數學空間（代數體）中尋找關係式」 的策略。然而，由於搜尋空間相對於位數呈指數級擴大，使得古典電腦的運算能力（即使包含平行運算），在金鑰長度超過2048位元等情況下，實際上是無法破解的。

另一方面，Shor演算法利用了 「量子干涉的波特性」 。它同時評估處於疊加態的所有計算路徑，並透過QFT抵消（破壞性干涉）不需要的答案，僅放大（建設性干涉）正確週期答案的機率振幅。藉此，它並非去搜尋空間，而是實現了 「讓正確答案自己浮現出來」 這種完全不同維度的策略。

6. 總結

本文深入比較了作為古典極限的 「GNFS」 ，以及展現量子計算力量的 「Shor演算法」 ，探討了兩者的數學背景與演算法結構。

GNFS透過多項式選擇與巨大矩陣計算等數學技巧，將計算複雜度壓低至次指數時間；相對地，Shor演算法將量子力學的基本原理（疊加與干涉）與數學工具（QFT）融合，一舉突破至多項式時間。

目前，尚不存在能夠以實用規模（數千個量子位元）執行Shor演算法的容錯量子電腦（FTQC）。然而，正是這個數學與理論上的典範轉移，成為了現在全世界急於轉換至後量子密碼學（PQC: Post-Quantum Cryptography）的最大理由。