양자 워크를 이용한 클로 찾기 최적 알고리즘

초록

두 함수 f와 g의 정의역 크기가 각각 N, M(N≤M)인 경우, 동일한 공역에서 f(x)=g(y)를 만족하는 쌍 (x, y)를 찾는 클로 문제를 양자 워크 기반 알고리즘으로 해결한다. 제시된 방법은 쿼리 복잡도 측면에서 최적이며, 상수 k>1인 경우 k개의 함수에 대한 일반화도 가능하다.

상세 분석

클로 찾기 문제는 암호학에서 충돌 찾기와 밀접한 연관이 있어 양자 알고리즘 연구의 핵심 과제 중 하나이다. 기존에는 브루트포스와 쇼어‑아마추어(Amplitude Amplification) 조합을 이용해 O((NM)^{1/3}) 정도의 쿼리 복잡도를 달성했지만, 이 논문은 양자 워크(Quantum Walk) 프레임워크를 적용해 정확히 Θ((N M)^{1/3})라는 하한과 일치하는 상한을 보인다. 핵심 아이디어는 두 정의역을 각각 Johnson 그래프 J(N, r)와 J(M, s) 위에 매핑하고, 두 그래프의 텐서곱 상태공간에서 마크된 정점(즉, f(x)=g(y)인 쌍)을 찾는 양자 워크를 설계하는 것이다. 여기서 r≈N^{2/3}·M^{-1/3}, s≈M^{2/3}·N^{-1/3} 로 선택하면 전이 연산과 마크 연산의 비용이 균형을 이루어 전체 복잡도가 최적화된다.

양자 워크의 기본 연산은 (1) 상태 초기화: 두 정의역에서 무작위 r, s-크기의 부분집합을 선택해 균일 초광자 상태를 만든다; (2) 전이 연산: Johnson 그래프의 인접성에 따라 한 원소를 교체하는 방식으로 마크된 상태를 탐색한다; (3) 마크 연산: 현재 부분집합 쌍이 클로를 포함하면 위상 반전을 수행한다. 이러한 연산을 반복하는 양자 워크 검색(Quantum Walk Search) 알고리즘은 스펙트럼 갭이 Ω(1/√(r + s))임을 이용해 O(√(r + s))번의 반복만으로 마크된 상태를 증폭한다.

복잡도 분석에서는 (i) 오라클 호출 비용: 각 전이와 마크 단계에서 f와 g에 대한 쿼리가 각각 O(1)번 필요하므로 전체 쿼리 수는 O(√(r + s))·O(1)=Θ((N M)^{1/3}); (ii) 메모리 요구량: 두 부분집합을 저장하는 데 O(r + s)=O((N M)^{1/3})개의 양자 비트가 필요하다. 또한, 하한 증명은 다항식 차원의 양자 검색 문제에 대한 일반적인 충돌 하한을 활용해, (N M)^{1/3} 이하의 쿼리로는 확률적으로 성공할 수 없음을 보인다.

k개의 함수에 대한 일반화는 동일한 원리를 적용해 k차원 Johnson 그래프 텐서곱을 구성한다. 각 함수 i의 정의역 크기를 N_i라 할 때, 최적 파라미터 r_i≈N_i^{(k-1)/k}·(Π_{j≠i}N_j)^{-1/k} 로 잡으면 전체 복잡도는 Θ((Π_i N_i)^{1/(k+1)})가 된다. 이는 기존의 다중 충돌 찾기 알고리즘보다 엄격히 우수하며, 특히 정의역 크기가 서로 다를 때도 균형을 맞출 수 있다.

마지막으로 논문은 구현상의 고려사항으로, Johnson 그래프의 전이 연산을 효율적으로 구현하기 위한 회로 설계와, 마크 연산을 위한 함수값 비교 회로를 상세히 제시한다. 또한, 오류 모델을 고려한 내성 분석을 통해, 적절한 오류 정정 코드와 반복 증폭 기법을 결합하면 실제 양자 하드웨어에서도 기대한 복잡도를 유지할 수 있음을 보인다.