Auditing Structured Randomness for Quantum Error Correction under a Bounded Cloud Fault Model

技術要約：限定されたクラウド・フォールト・モデル下における構造化ランダムネスの監査

問題提起

クラウド量子コンピューティングにおいて、プロセッサは共有ハードウェア上でユーザーの回路をコンパイルおよび実行しており、信頼できないワークロードが共存する可能性があります。量子誤り訂正（QEC）が固定された公開エンコーダを使用する場合、重大な脆弱性が生じます。この静的なマッピングは、フォールト注入攻撃者にとって再利用可能な標的となります。攻撃者が、コードが検出または訂正できない低重みの物理的フォールトを特定した場合、そのフォールトを以降のすべての実行において再現し、論理結果を破損させることが可能になります。Haarランダム符号は理論的に最適な保護を提供しますが、その正確な合成には指数関数的な回路深度が必要であり、実用的ではありません。一方、効率的なランダム・アンサンブル（例：クリフォード回路）は平均的な保証を提供しますが、有限の深度を持つサンプルに対する最悪のケースのフォールトについては特性が明らかにされていません。さらに、既存の検証体制は、固定されたエンコーダに対して攻撃者が得る利得を明示的に測定しておらず、また「検出／拒絶されたフォールト」と「受理されたが論理状態を破損させたフォールト」を区別していません。

手法

著者らは、明示的な攻撃者知識モデルの下で、実行ごとのエンコーダ・リシーディング（再シード化）を評価する監査フレームワークを提案しています。

1. システムおよび脅威モデル:

• ワークフロー: クライアントは、実行可能なエンコーダ $V_s$ を生成するための新しいシード $s$ を選択します。エンコードされた状態は、物理的フォールト $E$ にさらされたリモートプロセッサに送信されます。回路をコンパイルするプロバイダーは、「シード認識型（seed-aware）」です（$E$ が選択される前に $s$ を知っている）。共テナントまたは外部の攻撃者は、「シード非認識型（seed-blind）」としてモデル化されます（$s$ が抽出される前に $E$ を確定させる）。
• フォールト予算: 本研究は、局所的なパルス操作やクロストークを表す重み1のパウリ・フォールト（$t=1$）に焦点を当てています。
• 知識モデル:
  • シード認識型 (Seed-aware): 攻撃者はシードを観測し、その特定のエンコーダに対して最悪のケースとなるフォールトを選択します。
  • シード非認識型 (Seed-blind): 攻撃者はトレーニングセットのシードに基づいて単一のフォールトを選択し、それを互いに排斥されたテストセットに対して評価します。

2. 整合性指標:
論文では、受理された結果における有害な論理作用を分離する指標として、**受理された論理的乱れ（Accepted Logical Disturbance, $c$）**を導入しています。

• 分解: フォールトの結果は以下の3つに分類されます：(1) 拒絶された（検出された）、(2) 無害に受理された（グローバル位相として作用）、(3) 受理されたが論理的に破損した。
• 定義: $c$ は、受理された非スカラー論理作用の受理重み付き値です。拒絶されたフォールトや無害に受理されたフォールトにはゼロを割り当てます。
• Haar参照: 著者らは、監査を校正するために、Haarランダム等長変換（isometry）の下での受理および乱れの閉形式の期待値を導出しています（定理1）。

3. エンコーダ・アンサンブル:
監査では、4種類のエンコーダを評価しています：

• Haar 等長変換: 情報理論的な校正（行列のみ）。
• 一様クリフォード (Uniform Clifford): 効率的なランダム・スタビライザー参照。
• 固定 [[5,1,3]] コード: 決定論的なコントロール（ポジティブ・コントロール）であり、すべての重み1のフォールトを訂正することが知られています。
• アダマール構造アンサンブル (Hadamard-Structured Ensemble, HSE): 提案されている実行可能なメカニズムです。これは、アダマール、フェーズ、置換、およびCNOTゲートの層で構成された、シード付きクリフォード・エンコーダ・ファミリーです。これは多項式コストであり、スタビライザー形式を用いてシミュレーション可能です。

4. 評価プロトコル:

• 高密度監査 (Dense Audit): 倍精度線形代数を用いて、すべての列挙されたフォールトに対する正確な受理確率と乱れの値を計算します。
• ゲートレベル監査: Stim シミュレータを使用して、注入されたフォールトとデポラリジング・ノイズ（$p_1=10^{-3}, p_2=10^{-2}$）を含む回路を実行し、受理されかつ破損したショットの割合を測定します。
• アブレーション: 個々のHSEコンポーネント（アダマール、フェーズ、置換、CNOT）の寄与をテストします。

主な貢献

1. 整合性指標: 「受理された論理的乱れ」の定義により、検出／拒絶されたフォールトと、受理された論理的破損を分離することが可能になります。論文では、実装検証ツールとして、この指標のHaar期待値の閉形式を提供しています。
2. 実行可能なアンサンブル: HSEは、多項式コストのシード付きクリフォード・エンコーダ・ファミリーです。著者らは、高密度線形代数からゲートレベル・シミュレーションに至るまでこれを監査し、ソースレベルの2量子ビット命令を用いて実装可能であることを示しています。
3. 攻撃者知識のメソドロジー: 本研究は、シード認識型とシード非認識型のモデルを明示的に比較しています。トレーニング用のシードでフォールトを選択し、保持されたシードに対して評価することで、エンコーダをリシーディングすることによる攻撃者の成功率の低下を定量化しています。
4. 再現可能な実装: すべての数値結果を再生するための、決定論的テストとプロベナンス・マニフェストを備えたコンテナ化されたパイプラインが提供されています。

結果

• 校正: HSEの経験的な平均乱れは、導出されたHaar期待値と一致しており（最大幅において1.6%以内）、指標計算の妥当性を検証しています。
• リシーディングの有効性: リシーディングは、シード非認識型の攻撃者の有効性を大幅に減少させます。
  • エンコーダを学習した後にフォールトが選択された場合（シード認識型）、平均受理論理的乱れは 0.150 です。
  • シードを知る前にフォールトが選択された場合（シード非認識型）、平均受理論理的乱れは 0.020 に低下します。
  • これは、主に固定エンコーダの下で受理されるはずであったフォールトが拒絶されることによるものであり、86.7% の減少を意味します。
• 正確な訂正 vs 検出:
  • 固定 [[5,1,3]] コードは、テストされたすべての重み1のフォールトを100%訂正します。
  • 選択されたHSEアンサンブルにおいて、正確な量子誤り訂正条件（テストされたすべてのフォールトを訂正する）を満たすサンプリングされたエンコーダは、わずか 18.5% です。
  • しかし、HSEは高い検出率を実現しています。乱れの減少は、論理状態の正確な訂正ではなく、拒絶（シンドローム検出）によるものです。
• コンポーネント分析: アダマールゲート（ビット／フェーズ誤差サポートの混合）とCNOTゲート（局所的なフォールトの拡散）が、保護の主要な要因です。これらの一方のコンポーネントを除去すると、「ポストセレクション・セーフ」なシードはゼロになります。フェーズゲートと置換は、フォールト集合の対称性により、集約された保護への寄与は少なくなります。
• ゲートレベルのスケーリング: 回路の深度と幅が増加するにつれ、受理された破損ショットの割合は減少します。しかし、これは可用性の犠牲を伴います。深く広い条件下では、平均受理率は $1.23 \times 10^{-5}$ まで低下し、「可用性の崩壊（availability collapse）」、すなわちほとんどの結果が拒絶される状態を示しています。

意義と主張

本論文は、特定の攻撃者知識モデルに対する、実行ごとのエンコーダ・リシーディングの整合性利得を測定するための厳密な監査を提供することを主張しています。その意義は以下の通りです：

• メカニズムの分離: 設計されたQEC（特定のフォールト集合に対して正確な訂正を保証するもの）と、リシーディングの役割（新鮮なシードに関する知識なしに選択されたフォールトを検出するもの）を区別しています。
• 明確な境界: クラウド量子コンピューティングにおける整合性の明確な境界を確立しました。固定のマッピングを悪用するフォールトを拒絶することによって、ランダムなアンサンブルにおいても、受理された結果の整合性を大幅に向上できることを示しています。
• 実用的なトレードオフ: 結果は、保護（乱れの減少）と可用性（受理率）の間のトレードオフを浮き彫りにしています。監査は、定義されたフォールトおよび信頼モデル内で、これらの要因のバランスを取るためのエンコーダ深度を選択するための指標を提供します。

著者らは、本研究が定義されたパウリ・フォールト下での論理データの整合性に対処するものであり、機密性、可用性（拒絶のトレードオフを除く）、または定義されたシード認識モデル外の悪意のあるプロバイダーの振る舞いに関する解決策を主張するものではないことを明示しています。また、任意のユニタリ攻撃やリークエラーを扱うものでもありません。