二面体陪集问题的时间与查询复杂度权衡

$Z_N$ 中的二面体陪集问题（DCP）在量子计算与后量子密码学中已被广泛研究，例如误差学习问题可归约到该问题。尽管已知 Ettinger-Hoyer 算法以 $O(log(N))$ 次查询求解 DCP，但其时间复杂度低效地为 $O(N)$。首个时间高效算法由 Kuperberg（SIAM J. Comput. 2005）提出（后获改进）。这些算法在亚指数时间与查询 $O{2^{\sqrt{c_{DCP}log(N)}}}$ 下运行，其中 $c_{DCP}$ 为某常数。类 Kuperberg 的筛法允许量子时间、经典时间、内存与查询之间的多种权衡。其中部分权衡可使攻击者在查询尤其昂贵时减少查询次数，这在后量子密钥交换 CSIDH 中尤为典型。此类优化已被研究，但通常分为两类：所得算法要么基于 Regev 将具二次查询的 DCP 归约为子集和实例的方法，要么基于 Kuperberg 筛法的时间与查询均为亚指数的重新优化。本文中，我们引入首个在线性查询体制下优于 Ettinger-Hoyer 算法的算法。进而我们表明，事实上可通过在预处理步骤中使用后者生成多个量子态，并求解量子子集和实例以从所得态一次性恢复完整密钥，在该算法与 Kuperberg 筛法间进行插值。这允许在线性查询-指数时间复杂度情形与亚指数查询及时间复杂度情形间平滑插值，从而可依据查询代价精细调节复杂度。我们还在过程中给出了非渐近体制下量子子集和算法的精确研究。