⚛️ quantum physics

Asymptotic yet practical optimization of quantum circuits implementing GF( $2^m$ ) multiplication and division operations

Deze paper presenteert geoptimaliseerde, ancilla-vrije quantumcircuits voor vermenigvuldiging en deling in GF( $2^m$ ) die de poortcomplexiteit asymptotisch en praktisch verbeteren door efficiëntere implementaties van constante polynoomvermenigvuldiging en het selecteren van geschikte irreducibele polynomen.

Oorspronkelijke auteurs: Noureldin Yosri, Dmytro Gavinsky, Dmitri Maslov

Gepubliceerd 2026-03-25

📖 4 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Noureldin Yosri, Dmytro Gavinsky, Dmitri Maslov

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je voor dat je een enorme, ingewikkelde puzzel moet oplossen, maar je mag alleen heel specifieke, simpele bewegingen maken. Dit is wat kwantumcomputers doen: ze berekenen dingen met qubits. Een van de belangrijkste puzzels die ze moeten oplossen, is het vermenigvuldigen en delen van getallen in een heel speciaal soort wiskundige wereld genaamd GF(2^m).

In deze wereld zijn getallen eigenlijk rijtjes van nullen en enen (bits), en de rekenregels zijn anders dan in de schoolwiskunde. Deze bewerkingen zijn cruciaal voor dingen zoals het kraken van beveiliging (cryptografie) of het simuleren van moleculen.

De auteurs van dit paper, Noureldin Yosri, Dmytro Gavinsky en Dmitri Maslov, hebben een manier gevonden om deze puzzels veel sneller en efficiënter op te lossen dan voorheen mogelijk was. Hier is hoe ze dat deden, vertaald naar alledaagse taal:

1. Het Probleem: De "Zware Last"

Vroeger was het vermenigvuldigen van deze speciale getallen als het dragen van een zware rugzak. Hoe groter het getal (hoe meer bits, $m$ ), hoe zwaarder de rugzak werd. De "gewicht" (het aantal stappen dat de computer moet zetten) groeide kwadratisch ( $m^2$ ). Dat betekent dat als je het getal twee keer zo groot maakt, de computer vier keer zo lang moet werken. Dat is erg traag.

2. De Oplossing: Slimme Splitsing (Karatsuba)

De auteurs gebruiken een oude, slimme truc uit de wiskunde genaamd Karatsuba.

De Analogie: Stel je voor dat je twee grote getallen wilt vermenigvuldigen. In plaats van elke cijfercombinatie één voor één te doen (zoals je dat in de basisschool leert), splits je het getal in tweeën. Je doet een paar snelle berekeningen met de helften en plakt ze daarna weer slim aan elkaar.
Het Resultaat: Hierdoor groeit de werklast niet meer als $m^2$ , maar als $m \log_2 3$ (ongeveer $m^{1.58}$ ). Dat is een enorme versnelling.

3. De Knelpunt: De "Vaste Weg"

Hoewel Karatsuba slim is, was er één deel van de berekening dat de hele snelheid tegenhield. Het was als een smalle brug in een snelweg: je kon overal snel rijden, maar bij die ene brug moest je vertragen tot een slakkengang.

In de vorige methoden was het vermenigvuldigen met een specifiek, vast getal (een "constante") die brug. Die stap kostte veel tijd en energie.
De Doorbraak: De auteurs hebben ontdekt dat ze een heel specifiek soort "weg" (een irreducibel polynoom) kunnen kiezen. Door de juiste weg te kiezen, wordt die smalle brug plotseling een brede snelweg. Ze hebben de kosten voor deze stap verlaagd van $m^2$ naar slechts $m$ .
Het Effect: Voor grote getallen is dit een verbetering van wel 357 keer sneller! Het is alsof je van een fiets op een sneltrein stapt.

4. Delen: De Omgekeerde Weg

Deling is nog moeilijker dan vermenigvuldigen. Het is alsof je probeert terug te lopen in de tijd.

De auteurs hebben een nieuwe manier gevonden om dit te doen door slimme "rekenketens" (addition chains) te gebruiken.
Ze hebben de kosten voor delen ook drastisch verlaagd. Voor cryptografisch belangrijke getallen (zoals die gebruikt worden in beveiliging) kunnen ze nu tot 28% minder stappen doen dan voorheen.

5. Een Grappige Bijzonderheid: De "Wortel"

In het paper bespreken ze ook een raar wiskundig fenomeen. Soms is het "worteltrekken" van een bewerking (de halve versie ervan) juist moeilijker dan de bewerking zelf.

De Analogie: Stel je voor dat het openen van een deur (bewerking $U$ ) heel makkelijk is. Maar het openen van de halve deur (bewerking $\sqrt{U}$ ) vereist dat je eerst een hele ingewikkelde sleutel maakt die je niet direct hebt. Soms is de "halve" versie dus complexer dan het origineel. Dit is een verrassend inzicht voor kwantumfysici.

Waarom is dit belangrijk?

Dit paper is niet alleen theoretisch. Het heeft directe gevolgen voor de toekomst:

Beveiliging: Het maakt het mogelijk om te testen of huidige cryptografische systemen (zoals die in banken en overheidscommunicatie) veilig zijn tegen toekomstige kwantumcomputers.
Efficiëntie: Kwantumcomputers zijn duur en hebben veel energie nodig. Door minder stappen (minder "CNOT" en "Toffoli" poorten) te gebruiken, worden deze berekeningen haalbaarder.
Praktijk: Ze hebben getallen tot 10.000 bits getest en bewezen dat hun methode in de praktijk werkt, niet alleen in theorie.

Kort samengevat:
De auteurs hebben een nieuwe, super-snelle route ontdekt door een wiskundige landschap dat tot nu toe als een doolhof werd gezien. Ze hebben de "smalle bruggen" verwijderd en de "snelwegen" verbreed. Hierdoor kunnen kwantumcomputers in de toekomst veel sneller en zuiniger de complexe rekenproblemen oplossen die nodig zijn voor de volgende generatie technologie.

Titel: Asymptotische en praktische optimalisatie van quantumcircuits voor vermenigvuldiging en deling in GF(2^m)

Auteurs: Noureldin Yosri, Dmytro Gavinsky, Dmitri Maslov (Google Quantum AI & Czech Academy of Sciences)

1. Probleemstelling

Galois-veldrekenen (specifiek in $GF(2^m)$ ) is een fundamentele bouwsteen voor diverse quantumalgoritmen, zoals de oplossing van het discrete logaritme-probleem op elliptische krommen en protocollen voor kwantumbewijzen. De efficiëntie van deze algoritmen wordt vaak beperkt door de complexiteit van de onderliggende quantumcircuits voor veldvermenigvuldiging en -deling.

Bestaande methoden voor ancilla-vrije (zonder extra hulp-qubits) implementaties van $GF(2^m)$ vermenigvuldiging hebben doorgaans een complexiteit van $O(m^2)$ voor CNOT-poorten, zelfs als de Toefoli-poortcomplexiteit al $O(m \log_2 3)$ bedraagt (gebaseerd op de Karatsuba-methode). De bottleneck in de beste bestaande constructies (zoals die van Van Hoof [46]) is de vermenigvuldiging met een constante polynoom $1 + x^{\lceil m/2 \rceil}$ , die $O(m^2)$ CNOT-poorten vereist. Voor deling is de complexiteit nog hoger ( $O(m^2 \log m)$ voor CNOT-poorten), voornamelijk door de inefficiënte implementatie van veldkwadratering en inverseberekening.

Het doel van dit paper is om deze asymptotische complexiteit te verbeteren en tegelijkertijd praktische verbeteringen te realiseren voor cryptografisch relevante waarden van $m$ , met als hoofddoel het minimaliseren van de totale kosten (waarbij CNOT en Toefoli gewogen worden, bijvoorbeeld $10 \times \text{Toefoli} + \text{CNOT}$ ).

2. Methodologie

De auteurs hanteren een aanpak die bestaat uit drie hoofdblokken:

A. Optimalisatie van vermenigvuldiging met een constante polynoom

De kern van de optimalisatie ligt in het reduceren van de kosten voor het vermenigvuldigen met de constante $1 + x^{\lceil m/2 \rceil}$ .

Analyse: De auteurs analyseren de lineaire reversibele matrix die deze vermenigvuldiging representeert.
Constructie: Ze ontwikkelen specifieke algoritmen (Algoritme 1 t/m 6) die afhankelijk zijn van de vorm van het irreducibele polynoom dat het veld definieert.
- Voor even $m$ en trinomiale polynomen wordt een $O(m)$ circuit ontworpen.
- Voor even $m$ met algemene irreducibele polynomen (waarbij de afstand tussen de hoogste en laagste exponenten in de polynoom klein is) wordt eveneens een $O(m)$ circuit gerealiseerd.
- Voor oneven $m$ ontwikkelen ze een constructie die $O(m \log m)$ of zelfs $O(m)$ bereikt door het gebruik van specifieke polynoomstructuren en circulaire matrices.
Resultaat: De complexiteit van deze bottleneck daalt van $O(m^2)$ naar $O(m)$ of $O(m \log m)$ , afhankelijk van de scenario's.

B. Optimalisatie van velddeling (Inversie)

Voor deling ( $a/b$ ) wordt de inverse van $b$ berekend via Fermat's Kleine Stelling ( $b^{-1} = b^{2^m-2}$ ).

Itoh-Tsujii algoritme: Ze gebruiken een aangepaste versie van het Itoh-Tsujii algoritme, dat kwadratering en vermenigvuldiging combineert.
Optimalisatie: Door de hierboven genoemde efficiënte circuits voor vermenigvuldiging met een constante en voor veldkwadratering te combineren, en door optimalisatie van optelketens (addition chains) te gebruiken voor de exponentiatie, reduceren ze het aantal benodigde vermenigvuldigingen.
Complexiteit: De CNOT-complexiteit voor deling daalt van $O(m^2 \log m)$ naar $O(m^2 \log \log m / \log m)$ .

C. Simultane optimalisatie en Toefoli-reductie

Irreducibele polynomen: De auteurs selecteren specifiek irreducibele polynomen die zowel efficiënte vermenigvuldiging met een constante als efficiënte kwadratering toelaten.
Toefoli-optimalisatie: Ze passen technieken toe zoals "Karatsuba-achtige" formules (generalisaties van Karatsuba) en de "Parity Controlled Toffoli Gate" (PCTOF) methode om de Toefoli-aantallen te minimaliseren door rank-reductie op de controle-qubits.

3. Belangrijkste Bijdragen

Asymptotische Doorbraak: De eerste ancilla-vrije constructie voor $GF(2^m)$ vermenigvuldiging met een totale CNOT-complexiteit van $O(m \log_2 3)$ , wat een verbetering is op de vorige $O(m^2)$ grens. Dit wordt bereikt door de bottleneck ( $1 + x^{\lceil m/2 \rceil}$ ) te reduceren tot lineaire complexiteit.
Praktische Verbeteringen: De optimalisaties zijn niet alleen theoretisch; voor cryptografisch relevante $m$ (bijv. $m=163, 233, 283$ ) worden aanzienlijke reducties in het aantal poorten bereikt.
Geoptimaliseerde Deling: Een nieuwe constructie voor deling die de CNOT-complexiteit verlaagt van $O(m^2 \log m)$ naar $O(m^2 \log \log m / \log m)$ door het slim combineren van polynoomkeuzes en optelketens.
Theoretisch Inzicht in Wortels van Unitaires: Het paper toont aan dat het nemen van een wortel van een unitaire transformatie ( $\sqrt{U}$ ) asymptotisch dieper kan zijn dan de transformatie zelf ( $U$ ), zelfs als beide lineair reversibel zijn en met CNOT-poorten kunnen worden geïmplementeerd. Dit weerlegt de intuïtie dat wortels altijd even complex of eenvoudiger zijn.
Toom-Cook Implementatie: De eerste quantumcircuitleg voor Toom-Cook vermenigvuldiging over $GF(2^m)$ , hoewel deze in de praktijk minder efficiënt bleek dan de geoptimaliseerde Karatsuba-varianten voor de onderzochte parameters.

4. Resultaten

De numerieke resultaten (Tabel I en II in het paper) tonen aanzienlijke verbeteringen:

Vermenigvuldiging:
- Voor $m=6159$ daalt het aantal CNOT-poorten van 2.201.876 (bestaande LU-decompositie) naar 6.158 (nieuwe constructie). Dit is een verbetering met een factor 357.
- Voor cryptografisch relevante waarden (bijv. $m=163$ ) wordt een reductie van 18% in Toefoli-poorten en 20,9% in CNOT-poorten bereikt ten opzichte van eerdere state-of-the-art methoden.
Deling:
- Voor $m=64$ en $m=191$ worden reducties van ongeveer 28% in zowel CNOT- als Toefoli-poorten waargenomen.
- Het aantal benodigde ancilla-registers wordt in sommige gevallen met tot 22% verlaagd.
Schaalbaarheid: De CNOT-reductie groeit met $m$ door de verbeterde asymptotische complexiteit, terwijl de Toefoli-reductie stabiel blijft of licht toeneemt.

5. Betekenis en Impact

Kwantumcryptografie: De resultaten zijn direct van toepassing op het versnellen van quantumalgoritmen voor het breken van cryptografische systemen gebaseerd op elliptische krommen over $GF(2^m)$ . Een lagere poorttelling betekent minder fouten en een snellere uitvoering op toekomstige foutentolerante quantumcomputers.
Resource Management: Door de focus op ancilla-vrije constructies en het minimaliseren van CNOT-poorten (die vaak duurder zijn in termen van foutcorrectie dan Toefoli-poorten in bepaalde modellen), maakt dit werk quantumalgoritmen praktischer voor hardware met beperkte qubit-ruimte.
Algemene Rekenkunde: De ontdekking dat de wortel van een unitaire transformatie asymptotisch complexer kan zijn dan de transformatie zelf, biedt nieuw inzicht in de fundamentele beperkingen van quantumcircuitdiepte en reversibiliteit.
Klassieke Toepassing: De auteurs merken op dat hun methode implicatie heeft voor klassieke computing: het vermenigvuldigen van twee $m$ -bit registers in $GF(2^m)$ kan nu worden gedaan met een complexiteit van $O(m \log_2 3)$ en slechts $3m$ bits geheugen.

Samenvattend biedt dit paper een aanzienlijke stap voorwaarts in de efficiëntie van quantumrekenen voor eindige velden, met zowel theoretische optimalisaties als directe, meetbare voordelen voor praktische implementaties.