技術要約：ノイズを含む量子ハードウェアにおけるルーティングの匿名性と識別可能性

1. 問題提起

量子コンピューティング・アズ・ア・サービス（QaaS）という新たなパラダイムにおいて、ユーザーは量子回路をクラウドプロバイダーに送信し、プロバイダーはそれらを独自の、ノイズを含む量子プロセッシングユニット（QPU）上で実行する。プロバイダーは実装の詳細、スケジューリング・ポリシー、あるいは使用される特定の物理ハードウェアを隠蔽したいと考えることが多いが、これらのノイズを含み、ショット数が有限である実行から得られる古典的な出力分布には、本質的に「指紋（フィンガープリント）」が含まれている。これらの指紋とは、データに刻み込まれたバックエンド固有のノイズ特性である。

現在、文献ではこれらの指紋は、主にユーザー側の視点からの検証やベンチマークのツールとして扱われている。しかし、プロバイダー側のプライバシーへの影響、すなわち、プロバイダーがサービスの有用性を損なうことなく、ルーティングの選択（どのバックエンドが回路を実行したかを隠すこと）をどの程度匿名化できるかという理解には、大きな空白が存在する。核心となる問いは、「ノイズを含む量子ハードウェアの古典的な出力によって、どれほどのルート情報が漏洩するか？」である。

2. 手法とフレームワーク

バックエンド識別ゲーム

著者らは、プライバシー問題を、ユーザー（敵対者）とプロバイダーとの間の操作的なゲームとして定式化した：

1. セットアップ: プロバイダーは、候補となる集合の中から、事前分布に従って隠されたバックエンド $D_I$ を選択する。
2. 相互作用: ユーザーはワークロード回路 $C$（合意されたアンサンブルからサンプリングされたもの）を送信する。
3. 実行: プロバイダーは、$m$ ショットの $C$ を $D_I$ 上で実行し、生の経験的分布を生成する。
4. 後処理: プロバイダーは、生の分布に対して決定論的な写像 $\phi$ を適用し、ユーザーに返されるトランスクリプト $X$ を生成する。
5. 推測: ユーザーは $X$ に基づいて、バックエンドのラベル $I$ を推測しようと試みる。

プロバイダーの目標は、成功確率がランダムな推測を超えないようにすること（匿名性）であり、一方でユーザーは識別精度の最大化を目指す。

理論的定式化

本論文は、以下の理論的柱を確立している：

• 仮説検定への還元: バックエンドの識別可能性は、古典的な統計的仮説検定問題と完全に等価であることが示されている。バックエンドを正しく識別する確率は、各バックエンドによって誘導されるトランスクリプトの法則間の全変動（TV）距離に直接関連している。
• 持続的ルーティングとチェンノフ率: ユーザーが固定されたバックエンドに対して受動的かつ独立に（i.i.d.）複数ラウンドのプローブを行う設定において、ルーティングの匿名性は指数関数的に減衰することを本論文は証明している。この減衰率は、競合するトランスクリプトの法則間のチェンノフ情報量によって支配される。
• 有用性と匿名性のトレードオフ: 著者らは「ノーフリーランチ」定理を導入している。サービスの有用性（例：基底状態エネルギーの推定）を維持するように設計された後処理写像 $\phi$ は、その有用性の中に既にエンコードされているルート固有の情報を除去できないことを定式化している。したがって、匿名性には根本的な限界が存在する。すなわち、サービスの法則（utility law）以上のレベルまで匿名性を高めることは、サービスを劣化させずには不可能である。
• 中間深度の原理: パウリ転送行列（PTM）モデルを用い、本論文はバックエンドの識別可能性が中間深度現象であることを証明している。
  • 浅い深度: バックエンドは理想的な回路に近すぎるため、区別がつかない。
  • 深い深度: 共通のノイズ混合（デポラリゼーション）が、バックエンド固有の信号をかき消してしまう。
  • 中間深度: ノイズがバックエンドの構造を明らかにするほど蓄積されているが、普遍的な挙動へと崩壊するほどではないため、「最大識別可能性の窓」が生じる。
• ワークロード・プローブ距離: 著者らは、ユーザーの特定のワークロード・アンサンブルに特化した新しいチャネル（疑似）距離 $\delta_\mu$ を提案している。これは、最悪ケースのダイヤモンドノルムよりも、よりタイトで実用的な識別可能性の境界を提供することを示す。

実験結果

理論的フレームワークは、Amazon Braket on AWS を使用して、以下の3つの異なるQPUを用いた実験によって検証された：

• Rigetti Ankaa-3（超伝導）
• IQM Garnet（超伝導）
• IonQ Aria-1（イオントラップ）

実験設計:

• ワークロード: 2種類のプローブ回路が使用された（「深度変化型」：様々な深さのランダム回路、および「時間変化型」：繰り返しのGHZ回路）。
• 後処理: 生の特徴量をテストするために、様々な決定論的写像が適用された。
• 分類: 生成されたトランスクリプトに対して、単純な機械学習分類器が訓練された。

主な知見:

• 高い識別可能性: 分類器は、2つの超伝導バックエンド間（同種タイプ）で87–90%の精度を、超伝導プラットフォームとイオントラップ・プラットフォーム間（異種タイプ）では、生の特性を用いて96–100%の精度を達成した。
• 後処理への耐性: 識別可能性は、いくつかの形態の後処理を生き延びた。例えば、対数比特徴を用いても、同種タイプの分類において66–77%の精度が維持された。
• 構造化 vs ランダム: 高度に構造化された回路（GHZ）は完全な（100%）分類を可能にし、ワークロードの選択が匿名性に大きく影響することを浮き彫りにした。
• 時間的ダイナミクス: 長期的な指紋は強力であったが、短期的な時間的構造（時間変化データのバッチ内）は分類がより困難であった。これは、短期的な持続的ルーティングは、長期的なものよりもわずかに優れた匿名性を提供する可能性を示唆しているが、依然としてランダム回路による識別可能性は高いままであった。

4. 主な貢献

1. 統一されたフレームワーク: バックエンド識別ゲームを通じて、量子クラウドサービスにおけるセキュリティ概念としてのルーティング匿名性を初めて公式に定義した。
2. 統計的特性付け: バックエンドの識別を仮説検定に還元し、匿名性の減衰をチェンノフ情報量に、識別バイアスを全変動距離に結びつけた。
3. 有用性と匿名性のトレードオフ: プロバイダーは、約束されたサービスの有用性を損なうことなく、バックエンド固有の情報を除去できないということを示す形式的な証明を確立した。
4. 中間深度の原理: ノイズの蓄積と混合によって境界づけられる、バックエンドの識別可能性がピークに達する中間深度の窓に関する理論的証明。
5. 実用的な指標: 最悪ケースのダイヤモンドノルムよりもタイトで、実験的に達成可能な匿名性の境界を提供する、ワークロード・プローブ・チャネル距離の導入。
6. 実証的検証: 実世界のノイズを含む量子ハードウェアが、同じアーキテクチャのデバイス間であっても、有意なルート情報を漏洩すること、そしてこの漏洩が様々な後処理手法を通じて持続することを実証した。

5. 意義と主張

本論文は、研究されているユーザー側のプライバシー（ブラインド量子計算）とは別に、ルーティング匿名性を、量子クラウドコンピューティングにおける明確かつ重要なセキュリティ要件として確立することを主張している。

著者らは以下のように述べている：

• 現在の量子クラウドの出力は、単なる理想的な分布のノイズを含む近似ではなく、学習可能なバックエンド固有の指紋を含んでいる。
• プロバイダーは「ラベルを隠す」だけでは不十分である。物理的なノイズ特性が、本質的にアイデンティティを漏洩させるからである。
• サービスの有用性とルーティングの匿名性の間には、数学的に証明可能な根本的なトレードオフが存在する。
• 「中間深度」の窓は識別可能性が最も高い領域であり、これは回路の深さがベンチマークとプライバシー分析の両方において重要なパラメータであることを示唆している。

本研究は、ワークロードの選択、ショット数、および後処理戦略を慎重に検討することで、有用性とルーティング・インフラストラクチャのプライバシーのバランスをどのように取るべきかを、将来のサービスプロバイダーに提示するものである。なお、本論文は完全なノイズモデルの再構成やトモグラフィーを行うことを目的としているのではなく、実用的な有限ショットのシナリオにおけるアイデンティティ漏洩のリスクを定量化することを目指している。