Quantum Computing on kenji.blog

Сверхкраткое введение в квантовое программирование с использованием Qiskit

Fri, 11 Sep 2026 20:00:00 +0900

1. Введение

Современные компьютеры (классические компьютеры) кардинально изменили нашу жизнь, поддерживая все аспекты жизни общества благодаря своим высоким вычислительным возможностям. Однако известно, что для решения некоторых специфических задач (например, факторизации очень больших чисел, симуляции сложных молекулярных структур, задач оптимизации и т. д.) даже самым современным суперкомпьютерам потребуется время, превышающее возраст Вселенной.

Эти «ограничения классических компьютеров» обладает потенциалом преодолеть квантовый компьютер (Quantum Computer). Считается, что за счет использования удивительных свойств квантовой механики (суперпозиции и квантовой запутанности) в качестве вычислительных ресурсов, можно радикально ускорить решение определенных задач.

В этой статье мы сделаем первый шаг в мир квантового программирования, используя Qiskit, фреймворк для квантовых вычислений с открытым исходным кодом от IBM. Это очень подробное вводное руководство, в котором тщательно объясняются основы физики и математики, а также охватывается весь процесс написания кода на Python и запуска квантовых схем на симуляторе.

2. Физические и математические основы квантовых вычислений

Чтобы понять квантовое программирование, сначала необходимо понять базовые концепции квантовой механики. Здесь мы обсудим три важных столпа: кубиты, суперпозицию и квантовую запутанность.

2.1 Классические биты и квантовые биты (Qubit)

Единицей информации в классическом компьютере является “бит (Bit)”. Бит всегда находится в одном из двух состояний: 0 или 1.

С другой стороны, минимальная единица информации в квантовом компьютере называется квантовым битом (Qubit: Quantum bit). Кубит может находиться не только в состояниях 0 и 1, но и в обоих этих состояниях одновременно.

Математически состояние кубита $|\psi\rangle$ выражается как линейная комбинация (суперпозиция) базисных состояний $|0\rangle$ и $|1\rangle$.

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

Где $\alpha$ и $\beta$ - комплексные числа, представляющие амплитуды вероятности наблюдения состояний $|0\rangle$ и $|1\rangle$ соответственно. Согласно фундаментальному принципу квантовой механики, сумма вероятностей должна быть равна 1, поэтому выполняется следующее условие нормировки:

$$ |\alpha|^2 + |\beta|^2 = 1 $$

graph LR A["Классический бит (Classical Bit)"] --> B["Определенное состояние: 0 или 1"] C["Квантовый бит (Qubit)"] --> D["Суперпозиция: и 0, и 1"] D --> E["Состояние определяется вероятностно после измерения"]

2.2 Суперпозиция (Superposition)

Как упоминалось ранее, состояние, в котором состояния $|0\rangle$ и $|1\rangle$ смешаны, называется суперпозицией (Superposition).

Например, когда один кубит находится в полностью равномерной суперпозиции, $\alpha = \frac{1}{\sqrt{2}}$ и $\beta = \frac{1}{\sqrt{2}}$.

$$ |\psi\rangle = \frac{1}{\sqrt{2}}|0\rangle + \frac{1}{\sqrt{2}}|1\rangle $$

При измерении этого состояния, $|0\rangle$ и $|1\rangle$ наблюдаются с вероятностью 50% каждое. Если у нас есть два кубита, мы можем создать суперпозицию 4 состояний: $|00\rangle, |01\rangle, |10\rangle, |11\rangle$. С $n$ кубитами можно одновременно представить $2^n$ состояний, что является одним из источников возможности параллельной обработки квантовых компьютеров.

2.3 Квантовая запутанность (Entanglement)

Самое мощное и таинственное свойство в квантовых вычислениях — квантовая запутанность (Entanglement). Эйнштейн называл это явление “жутким дальнодействием”. Это свойство, при котором два или более кубитов настолько сильно связаны друг с другом, что как только состояние одного кубита определяется, состояние другого определяется мгновенно, независимо от того, насколько далеко физически они находятся друг от друга.

Одно из самых известных квантово-запутанных состояний — “Состояние Белла (Bell State)”, состояние $\Phi^+$, выражается следующим образом:

$$ |\Phi^+\rangle = \frac{|00\rangle + |11\rangle}{\sqrt{2}} $$

В этом состоянии не существуют таких вариантов, как $|01\rangle$ или $|10\rangle$. Поэтому, если мы измерим первый кубит и он окажется $|0\rangle$, то даже не измеряя второй кубит, можно с уверенностью утверждать, что он будет $|0\rangle$. И наоборот, если первый кубит $|1\rangle$, то второй кубит обязательно будет $|1\rangle$.

3. Квантовые логические вентили (Quantum Logic Gates)

Точно так же, как классические компьютеры выполняют вычисления с помощью логических вентилей, таких как AND, OR, NOT, квантовые компьютеры используют квантовые вентили для управления состояниями кубитов. Поскольку квантовые состояния являются векторами, квантовые вентили представляются как “унитарные матрицы”, действующие на эти векторы.

3.1 Вентили Паули (Pauli-X, Y, Z)

Вентили Паули — это базовые операции над одним кубитом.

・Вентиль Pauli-X (Вентиль NOT) Эквивалентен классическому вентилю NOT. Он инвертирует $|0\rangle$ в $|1\rangle$ и $|1\rangle$ в $|0\rangle$. (Поворот на 180 градусов вокруг оси X на сфере Блоха)

$$ X = \begin{pmatrix} 0 & 1 \\ 1 & 0 \end{pmatrix} $$

・Вентиль Pauli-Y Выполняет поворот на 180 градусов вокруг оси Y. Обладает эффектом инвертирования как фазы, так и бита.

$$ Y = \begin{pmatrix} 0 & -i \\ i & 0 \end{pmatrix} $$

・Вентиль Pauli-Z (Вентиль инверсии фазы) Оставляет состояние $|0\rangle$ без изменений и инвертирует фазу (умножает на $-1$) состояния $|1\rangle$. (Поворот на 180 градусов вокруг оси Z)

$$ Z = \begin{pmatrix} 1 & 0 \\ 0 & -1 \end{pmatrix} $$

3.2 Вентиль Адамара (Hadamard Gate)

Вентиль Адамара (H-вентиль) — это чрезвычайно важный вентиль, который преобразует определенные состояния ($|0\rangle$ или $|1\rangle$) в состояния суперпозиции.

$$ H = \frac{1}{\sqrt{2}} \begin{pmatrix} 1 & 1 \\ 1 & -1 \end{pmatrix} $$

При применении H-вентиля к $|0\rangle$, оно переходит в состояние $|+\rangle$, которое является равномерной суперпозицией.

$$ H|0\rangle = \frac{1}{\sqrt{2}}|0\rangle + \frac{1}{\sqrt{2}}|1\rangle = |+\rangle $$

3.3 Фазовые вентили (Phase Gates)

Фазовый вентиль является обобщением Z-вентиля; он вращает фазу состояния $|1\rangle$ на заданный угол $\theta$.

$$ P(\theta) = \begin{pmatrix} 1 & 0 \\ 0 & e^{i\theta} \end{pmatrix} $$

Типичными примерами являются S-вентиль ($\theta = \pi/2$) и T-вентиль ($\theta = \pi/4$).

3.4 Вентиль CNOT (Controlled-NOT Gate)

Вентиль CNOT (CX-вентиль) — это вентиль, выполняющий операцию между двумя кубитами, и он незаменим для создания квантовой запутанности. Он состоит из “Управляющего (Control) бита” и “Целевого (Target) бита”.

X-вентиль (операция NOT) применяется к целевому биту только тогда, когда управляющий бит находится в состоянии $|1\rangle$, и ничего не делает, если управляющий бит находится в состоянии $|0\rangle$.

$$ CNOT = \begin{pmatrix} 1 & 0 & 0 & 0 \\ 0 & 1 & 0 & 0 \\ 0 & 0 & 0 & 1 \\ 0 & 0 & 1 & 0 \end{pmatrix} $$

4. Основы Qiskit и настройка среды

С этого момента мы фактически будем писать квантовые программы, используя Python и Qiskit.

4.1 Что такое Qiskit?

Qiskit — это набор для разработки программного обеспечения (SDK) с открытым исходным кодом для квантовых вычислений, разработанный IBM Quantum. Используя Python, вы можете интуитивно строить квантовые схемы и запускать их на локальных симуляторах или на реальных квантовых компьютерах IBM через облако.

4.2 Способ установки

Для использования Qiskit требуется среда Python. Установите Qiskit и связанные с ним пакеты (симуляторы и библиотеки для построения графиков) с помощью следующей команды:

1

pip install qiskit qiskit-aer qiskit-ibm-runtime matplotlib pylatexenc

4.3 Базовый рабочий процесс программирования

Квантовое программирование с использованием Qiskit в основном состоит из следующих шагов:

graph TD A["1. Построение схемы (Build)"] --> B["2. Компиляция/Транспиляция (Compile)"] B --> C["3. Выполнение (Execute)"] C --> D["4. Анализ результатов и визуализация (Analyze)"]

Построение схемы: Создайте объект QuantumCircuit и добавляйте вентили.
Компиляция: Оптимизируйте схему под целевой бэкенд (реальное оборудование или симулятор).
Выполнение: Отправьте задание на бэкенд и получите результаты.
Анализ: Постройте графики, например, гистограмму результатов измерений.

5. Практика: Построение схемы для создания состояния Белла (Квантовая запутанность)

Давайте фактически создадим «квантовую запутанность (состояние Белла)», о которой мы узнали в теории, с помощью Qiskit. Наше целевое состояние — $|\Phi^+\rangle = \frac{|00\rangle + |11\rangle}{\sqrt{2}}$.

5.1 Проектирование схемы

Чтобы создать состояние Белла, мы выполним следующие шаги:

Подготовить два кубита (оба инициализируются в состоянии $|0\rangle$).
Применить вентиль Адамара (H) к первому кубиту, чтобы перевести его в состояние суперпозиции.
Применить вентиль CNOT, используя первый кубит как “управляющий бит”, а второй как “целевой бит”.
Выполнить измерение (Measure) для считывания результатов.

5.2 Реализация кода на Python/Qiskit

Давайте теперь посмотрим на реальный код.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25


import numpy as np
from qiskit import QuantumCircuit, transpile
from qiskit_aer import Aer
from qiskit.visualization import plot_histogram
import matplotlib.pyplot as plt

# 1. Инициализация схемы
# Создание квантовой схемы с 2 квантовыми и 2 классическими битами
qc = QuantumCircuit(2, 2)

# 2. Применение H-вентиля
# Применяем вентиль Адамара к кубиту 0 (q0)
qc.h(0)

# 3. Применение CNOT-вентиля
# Применяем CNOT: q0 - управляющий бит, q1 - целевой бит
qc.cx(0, 1)

# 4. Измерение
# Измеряем кубиты 0 и 1, и записываем результаты в классические биты 0 и 1 соответственно
qc.measure([0, 1], [0, 1])

# Отрисовка схемы (с использованием matplotlib)
# qc.draw('mpl')
print(qc.draw())

При запуске этого кода на консоли отобразится следующая квантовая схема в виде ASCII-графики:

1
2
3
4
5
6
7


 ┌───┐ ┌─┐
q_0: ┤ H ├──■──┤M├───
 └───┘┌─┴─┐└╥┘┌─┐
q_1: ─────┤ X ├─╫─┤M├
 └───┘ ║ └╥┘
c: 2/═══════════╩══╩═
 0 1

H обозначает вентиль Адамара, комбинация ■ и X — вентиль CNOT, а M — измерение.

5.3 Выполнение на симуляторе и интерпретация результатов

Затем мы запустим эту схему на высокопроизводительном симуляторе IBM Aer и проверим результаты.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# Получение бэкенда симулятора Aer
simulator = Aer.get_backend('qasm_simulator')

# Транспиляция (оптимизация) схемы для симулятора
compiled_circuit = transpile(qc, simulator)

# Выполнение схемы (здесь мы делаем 1000 запусков (shots))
job = simulator.run(compiled_circuit, shots=1000)

# Получение результатов
result = job.result()

# Получение частот наблюдения состояний (counts)
counts = result.get_counts(compiled_circuit)
print("\nРезультаты измерений:", counts)

# Построение гистограммы
# plot_histogram(counts)
# plt.show()

Интерпретация результатов

Вывод в консоли должен выглядеть примерно так: Результаты измерений: {'00': 495, '11': 505} (※Поскольку вероятности случайны, значения будут немного отличаться при каждом запуске)

В идеальной симуляционной среде состояния 00 и 11 будут наблюдаться примерно в 50% случаев каждое, а 01 или 10 не будут наблюдаться вообще. Это полностью соответствует нашему теоретическому предсказанию созданного состояния Белла $|\Phi^+\rangle = \frac{|00\rangle + |11\rangle}{\sqrt{2}}$. Точно смоделирована “квантовая запутанность”, при которой если первый кубит равен 0, то второй всегда 0, а если первый 1, то второй всегда 1.

Отметим, что при запуске на реальном квантовом компьютере (IBM Quantum Hardware) состояния 01 или 10 могут наблюдаться в небольших количествах из-за влияния шума (квантовой декогеренции или ошибок вентилей). То, как уменьшить этот шум (квантовая коррекция ошибок), является одной из самых больших проблем в современной разработке квантовых компьютеров.

6. Масштабирование до более продвинутых алгоритмов

Создание состояния Белла можно назвать квантовой версией «Hello World». Развивая эту концепцию дальше, мы можем создавать мощные алгоритмы, превосходящие классические компьютеры.

6.1 Алгоритм Дойча-Йожи (Deutsch-Jozsa Algorithm)

Это задача по определению, является ли заданная функция $f(x)$ “константной функцией” (которая всегда выводит 0 или всегда 1 независимо от входа) или “сбалансированной функцией” (которая выводит 0 для половины возможных входов и 1 для другой половины). Классическому компьютеру в худшем случае потребовалось бы $2^{n-1} + 1$ вычислений функции, но алгоритм Дойча-Йожи может решить эту задачу всего за одно вычисление, используя квантовый параллелизм. Это демонстрирует базовый шаблон квантовых алгоритмов: ввод состояния суперпозиции и использование интерференции (Interference) для подавления ненужных состояний и усиления правильного ответа.

6.2 Алгоритм Гровера (Grover’s Algorithm)

В задаче поиска конкретных данных в неструктурированной базе данных из $N$ элементов классическому алгоритму требуется в среднем $N/2$ вычислений, в то время как алгоритм Гровера может найти нужные данные за $\sqrt{N}$ вычислений. Этот алгоритм использует черный ящик, называемый “оракулом (Oracle)”, для инвертирования фазы целевого решения, а затем применяет “усиление амплитуды (Amplitude Amplification)” для резкого повышения вероятности наблюдения искомого решения.

graph TD A["Инициализация (Суперпозиция всех состояний)"] --> B["Оракул (Инверсия фазы правильного ответа)"] B --> C["Оператор диффузии (Усиление амплитуды путем инверсии вокруг среднего)"] C --> D{"Достигнута ли достаточная вероятность?"} D -- "Нет" --> B D -- "Да" --> E["Измерение"]

7. Заключение и дальнейшее обучение

В этой статье подробно объясняются темы от фундаментальных концепций квантовых вычислений, таких как суперпозиция и квантовая запутанность, до управления квантовыми логическими вентилями с помощью Qiskit, а также практическое построение состояния Белла, симуляция и интерпретация результатов.

Поскольку Qiskit позволяет писать код на доступном языке Python, это мощный инструмент, который позволяет вам преодолеть математические и физические барьеры и сосредоточиться на построении алгоритмов. Квантовые компьютеры в настоящее время находятся в эпохе шумных квантовых устройств промежуточного масштаба (NISQ: Noisy Intermediate-Scale Quantum), но во всем мире стремительно ведутся прикладные исследования в многочисленных областях, таких как квантовое машинное обучение (Quantum Machine Learning), квантовая химия (Quantum Chemistry) и криптоанализ.

Пожалуйста, воспользуйтесь этой возможностью, чтобы создать различные квантовые схемы с помощью Qiskit и запустить их на реальных квантовых процессорах IBM. Вы сможете своими руками испытать парадигму вычислений будущего.

Справочные материалы

Официальная документация Qiskit
Учебник Qiskit - Официальный учебник, рекомендуемый для тех, кто хочет глубже изучить математические основы и алгоритмы
IBM Quantum Learning

Добро пожаловать в квантовый мир!

Что такое квантовое превосходство? Последние тенденции Google и IBM

Fri, 11 Sep 2026 18:00:00 +0900

1. Введение: Рассвет квантовых вычислений и «квантовое превосходство»

Квантовые вычисления таят в себе потенциал решения сложных проблем, которые классические компьютеры (ПК и суперкомпьютеры, которыми мы пользуемся каждый день) не могут решить за разумное время, применяя квантовую механику, фундаментальный принцип физики, к обработке информации. Эта область долгое время оставалась преимущественно теоретической, но в последние годы из-за быстрого развития аппаратного обеспечения конкуренция за практическое применение обострилась.

Одним из ключевых слов, привлекших наибольшее внимание в этом контексте, является «квантовое превосходство» (Quantum Supremacy). Оно означает момент, когда квантовый компьютер демонстрирует вычислительную мощность, превосходящую возможности классического компьютера в выполнении определенной вычислительной задачи. В этой статье мы начнем со строгого определения квантового превосходства, подробно рассмотрим эксперимент с процессором Google «Sycamore», который, как было объявлено в 2019 году, впервые в мире достиг этой вехи, возражения IBM и их собственный подход, а также углубимся в технические и математические детали последней дорожной карты к «квантовому исправлению ошибок» (Quantum Error Correction: QEC) и «отказоустойчивым квантовым вычислениям» (Fault-Tolerant Quantum Computing: FTQC), которые являются главными препятствиями на пути к истинному практическому применению.

2. Теоретические основы: Основы квантовых вычислений и классы сложности

Чтобы понять квантовое превосходство, сначала необходимо понять математические основы квантовых вычислений и их место в теории вычислительной сложности.

Квантовые биты и суперпозиция

Наименьшей единицей информации в классическом компьютере является бит (0 или 1), но в квантовом компьютере используются квантовые биты (кубиты, Qubit). Состояние одного кубита $|\psi\rangle$ выражается как комплексная линейная комбинация базисных состояний $|0\rangle$ и $|1\rangle$.

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

Здесь $\alpha, \beta \in \mathbb{C}$ и удовлетворяют условию нормировки $|\alpha|^2 + |\beta|^2 = 1$. Это свойство называется «суперпозицией» (Superposition).

Запутанность (Entanglement) и тензорное произведение

Когда присутствует несколько кубитов, состояние всей системы выражается тензорным произведением пространств состояний отдельных кубитов. Система из $n$ кубитов является вектором в $2^n$-мерном гильбертовом пространстве $\mathcal{H}^{\otimes n}$.

$$ |\Psi\rangle = \sum_{x \in \{0, 1\}^n} c_x |x\rangle $$

Здесь $\sum |c_x|^2 = 1$. Состояние, в котором кубиты не независимы, а состояние одного зависит от состояния другого, называется «квантовой запутанностью» (Quantum Entanglement). Это дает квантовым компьютерам потенциал для одновременной обработки экспоненциально огромного пространства состояний.

Определение квантового превосходства с точки зрения теории вычислительной сложности

В теории вычислительной сложности класс задач, которые эффективно (за полиномиальное время) могут быть решены классическим компьютером, называется BPP (Bounded-error Probabilistic Polynomial time). С другой стороны, класс задач, которые эффективно решает квантовый компьютер, — это BQP (Bounded-error Quantum Polynomial time).

Демонстрация квантового превосходства означает «выполнение определенной задачи, которая принадлежит классу BQP, но не принадлежит BPP (или вероятность этого крайне высока), на реальном квантовом оборудовании, и превосходство над симуляцией на классическом суперкомпьютере по времени и ресурсам». Это можно назвать исторической попыткой физического опровержения расширенного тезиса Черча-Тьюринга («любая физически реализуемая вычислительная модель может быть смоделирована вероятностной машиной Тьюринга за полиномиальное время»).

3. 2019 год: Демонстрация квантового превосходства от Google

В октябре 2019 года команда Google Quantum AI объявила в научном журнале Nature, что они достигли квантового превосходства, используя сверхпроводящий процессор «Sycamore» с 53 кубитами.

Архитектура процессора Sycamore

Процессор Sycamore состоит из 54 сверхпроводящих кубитов типа трансмон (Transmon), расположенных в виде двумерной решетки (в эксперименте использовалось 53, так как один был неисправен). Между соседними кубитами расположены перестраиваемые связи (Tunable Coupler), реализующие высокоскоростные и высокоточные двухкубитные вентили (гибрид вентиля iSWAP и управляемого Z-вентиля).

graph TD A["Ввод квантового алгоритма"] --> B["Процессор Sycamore (53 кубита)"] B --> C["Применение случайных квантовых вентилей"] C --> D["Измерение квантовых состояний (Битовые строки)"] D --> E["Оценка перекрестной энтропии (XEB)"] E --> F["Подтверждение квантового превосходства"]

Сэмплинг случайных квантовых цепей (Random Circuit Sampling: RCS)

Задача, выбранная Google, — «сэмплинг случайных квантовых цепей». Она заключается в применении случайно выбранных однокубитных и двухкубитных вентилей на протяжении нескольких циклов (глубина $m$), измерении конечного состояния и получении сэмплов из результирующего распределения вероятностей битовых строк.

Вероятность получения битовой строки $x$ на выходе идеальной (без шума) случайной квантовой цепи представляет собой не равномерное распределение, а паттерн, похожий на интерференционную картину, называемый распределением Портера-Томаса (Porter-Thomas distribution). Чтобы получить выборку из этого распределения на классическом компьютере, необходимо смоделировать весь вектор состояния, и вычислительная сложность возрастает экспоненциально относительно количества кубитов $n$ и глубины цепи $m$.

Оценка точности (Fidelity): Линейная перекрестная энтропия (XEB)

Чтобы доказать, что результаты эксперимента — это не просто шум, а результаты реально выполненных квантовых вычислений, Google использовала оценку линейной перекрестной энтропии (Linear Cross-Entropy Benchmarking: XEB). Идеальная вероятность цепи $P(x_i)$ для битовой строки $x_i$, полученной в эксперименте, рассчитывается на классическом компьютере, и точность $\mathcal{F}_{\text{XEB}}$ определяется по следующей формуле:

$$ \mathcal{F}_{\text{XEB}} = 2^n \langle P(x_i) \rangle_{i} - 1 $$

Если $\mathcal{F}_{\text{XEB}}$ равно 0, это означает полный шум, если 1 — идеальный квантовый процессор без шума. Процессор Sycamore достиг $\mathcal{F}_{\text{XEB}} \approx 0.002$ (0,2%) для цепи глубиной 20. На первый взгляд это значение кажется низким, но это статистически значимая величина, превышающая ноль, и она стала удивительным достижением контроля над пространством состояний размером $2^{53} \approx 9 \times 10^{15}$.

Общий уровень ошибок приближенно моделировался как произведение ошибок отдельных вентилей, ошибок измерения и т.д.

$$ \mathcal{F} \approx (1 - e_1)^{N_1}(1 - e_2)^{N_2} \cdots \approx \prod_{g \in 1Q} (1 - e_g) \prod_{g \in 2Q} (1 - e_g) \prod_{q} (1 - e_{RO}) $$

(※ $e_g$ — ошибка вентиля, $e_{RO}$ — ошибка измерения)

Google утверждала, что моделирование этой цепи на классическом суперкомпьютере (Summit) займет около 10 000 лет. Sycamore, напротив, завершил сэмплинг всего за 200 секунд.

4. Возражения IBM: От «превосходства» к «полезности» (Utility)

Объявление Google шокировало мир, но IBM, разработчик крупнейшего в мире суперкомпьютера «Summit» и лидер в разработке квантовых компьютеров, немедленно опубликовала статью, опровергающую это заявление.

Улучшение классической симуляции за счет свертки тензорных сетей

Суть возражений IBM заключалась в том, что «алгоритмы и оптимизация ресурсов на стороне классического компьютера были недостаточны». Оценка Google в 10 000 лет основывалась на симуляторе вектора состояния, который напрямую вычисляет эволюцию во времени уравнения Шрёдингера, но IBM отметила, что время симуляции можно резко сократить, используя метод, называемый «тензорной сетью» (Tensor Network).

В тензорных сетях операции вентилей в квантовой цепи представляются как вычисления с многомерными массивами (тензорами), и оптимизируется порядок «свертки» (Contraction) сети. Кроме того, они утверждали, что если полностью использовать огромное хранилище Summit объемом 250 ПБ (иерархическая структура дисков и памяти), можно выполнить более точную симуляцию всего за «два с половиной дня», сохраняя при этом весь вектор состояния.

Квантовое преимущество (Quantum Advantage) и Квантовая полезность (Quantum Utility)

Под влиянием этих дебатов тенденция во всей индустрии сместилась от простой зацикленности на «выполнении искусственных задач, невозможных для классических компьютеров (Supremacy)» к фазе «демонстрации существенного преимущества над классическими подходами в полезных задачах реального мира (Quantum Advantage)», а затем и к фазе, когда «квантовые компьютеры служат новым инструментом для научных открытий (Quantum Utility)».

Сама компания IBM избегает слова «превосходство» и предлагает «Квантовый объем» (Quantum Volume) и «CLOPS (Circuit Layer Operations Per Second)» в качестве комплексных показателей производительности квантовых процессоров, продвигая разработки с акцентом на баланс масштаба и качества оборудования.

timeline title "Эволюция квантовых вех" 2019 : "Google Sycamore (53Q)" : "Объявление о квантовом превосходстве" 2019 : "Возражение IBM" : "Симуляция на суперкомпьютере Summit за 2,5 дня" 2021 : "IBM Eagle (127Q)" : "Преодоление барьера в 100 кубитов" 2022 : "IBM Osprey (433Q)" : "Увеличение масштаба процессора" 2023 : "Поверхностный код Google" : "Масштабирование исправления ошибок (от d=3 до d=5)" 2023 : "Квантовая полезность IBM" : "Сложное моделирование спиновой модели на 127Q" 2024 : "Будущее" : "Эра логических кубитов и смягчения ошибок"

5. Следующий рубеж: Смягчение ошибок (Error Mitigation) и квантовое исправление ошибок (QEC)

Современные квантовые компьютеры называются «NISQ» (Noisy Intermediate-Scale Quantum) и подвержены влиянию шума (ошибок, вызванных взаимодействием с внешней средой и несовершенством управления), из-за чего результаты длительных вычислений тонут в шуме. Подходы к преодолению этой проблемы можно разделить на две основные категории: «смягчение ошибок» (Error Mitigation) и «квантовое исправление ошибок» (Quantum Error Correction).

Смягчение ошибок (Error Mitigation)

Смягчение ошибок — это метод устранения влияния шума на ожидаемое значение результатов вычислений с помощью классической постобработки, без изменения квантового аппаратного обеспечения. В 2023 году IBM, объединив 127-кубитный процессор «Eagle» с методами смягчения ошибок, такими как «экстраполяция нулевого шума» (Zero-Noise Extrapolation: ZNE), достигла точности, превосходящей передовые методы аппроксимации тензорных сетей, в моделировании временной эволюции сложной модели Изинга, тем самым продемонстрировав «Квантовую полезность» (Quantum Utility).

Квантовое исправление ошибок (QEC) и логические кубиты

Однако для выполнения алгоритмов произвольной сложности (например, алгоритма факторизации Шора или сложных квантово-химических расчетов) одного лишь смягчения ошибок недостаточно. Совершенно необходимо «квантовое исправление ошибок» (QEC), которое динамически обнаруживает и исправляет ошибки.

Основным подходом к QEC является «поверхностный код» (Surface Code). В этом методе множество физических кубитов (кубитов данных) размещаются в виде двумерной решетки, а между ними располагаются кубиты для измерения (вспомогательные кубиты, Ancilla), которые непрерывно выполняют проверки четности, называемые «стабилизаторами» (Stabilizer).

graph LR Q1["Кубит данных (Данные)"] --- M1["Измерение X-стабилизатора (Вспомогательный)"] Q2["Кубит данных (Данные)"] --- M1 Q3["Кубит данных (Данные)"] --- M2["Измерение Z-стабилизатора (Вспомогательный)"] Q4["Кубит данных (Данные)"] --- M2 M1 --> EC["Декодирование синдрома ошибки (Классическое)"] M2 --> EC EC --> LQ["Обновление состояния логического кубита"]

Теорема о пороге (Threshold Theorem) и расстояние $d$

Для квантового исправления ошибок существует «теорема о пороге». Если уровень ошибок физического кубита $p$ падает ниже определенного порога $p_{th}$ (для поверхностного кода это около 1%), то путем увеличения кодового расстояния (Distance) $d$ (назначения большего количества физических кубитов одному логическому кубиту) можно экспоненциально снизить уровень логических ошибок $p_L$.

Приближенная формула для уровня логических ошибок выглядит следующим образом:

$$ p_L \approx \Lambda \left( \frac{p}{p_{th}} \right)^{\frac{d+1}{2}} $$

Где $\Lambda$ — константа. Если $p < p_{th}$, то чем больше $d$, тем меньше становится $p_L$. Однако если $p > p_{th}$, увеличение количества физических кубитов, наоборот, приводит к накоплению шума и ухудшению уровня логических ошибок.

Веха Google 2023 года: Демонстрация снижения ошибок за счет увеличения расстояния

В феврале 2023 года Google опубликовала эпохальную статью в журнале Nature. Используя процессор Sycamore 3-го поколения, они впервые в мире продемонстрировали, что при увеличении расстояния поверхностного кода с $d=3$ (используется 17 физических кубитов) до $d=5$ (используется 49 физических кубитов), уровень логических ошибок незначительно снижается с 3,028% до 2,914%.

Это означает вступление в область $p < p_{th}$ и свидетельствует о завершении важнейшей проверки концепции (Proof of Concept) на пути к FTQC, подтверждающей, что чем больше физических кубитов, тем выше производительность.

6. Дорожная карта и перспективы FTQC (отказоустойчивых квантовых вычислений)

Google и IBM ведут ожесточенную конкуренцию в разработке на пути к своей конечной цели — FTQC (Fault-Tolerant Quantum Computing), применяя при этом разные архитектуры и подходы.

Подход IBM: Модульность и решетка Heavy-Hex

IBM фокусируется на масштабировании процессоров наряду с радикальным снижением уровня ошибок. Бросая вызов ограничениям одного чипа с помощью процессоров «Eagle (127Q)», «Osprey (433Q)» и «Condor (1121Q)», они также анонсировали модульную архитектуру под названием «Quantum System Two». Кроме того, для топологии связи кубитов они используют решетку «Heavy-Hex», которая снижает нежелательные перекрестные помехи и повышает стабильность. Стратегия IBM — это гибридный подход, при котором в краткосрочной перспективе они стремятся к полезности за счет продвинутого смягчения ошибок, постепенно внедряя QEC.

Подход Google: Повышение качества логических кубитов

Стратегия Google больше сосредоточена на максимальном снижении уровня ошибок одного логического кубита (например, до $10^{-6}$), чем на быстром увеличении количества физических кубитов. Опираясь на это, они стремятся создать крупномасштабные системы, в которых работают параллельно тысячи и десятки тысяч физических кубитов, разрабатывая технологии передачи квантовых состояний между модулями (Quantum Interconnects).

Реализация протоколов для отказоустойчивого выполнения неклиффордовых вентилей, таких как дистилляция магических состояний (Magic State Distillation), также станет серьезным техническим препятствием в будущем. Считается, что для выполнения практического алгоритма Шора и взлома 2048-битного шифра RSA потребуются тысячи логических кубитов с уровнем ошибок ниже $10^{-8}$, что эквивалентно миллионам или десяткам миллионов физических кубитов, так что путь еще долгий.

7. Заключение

«Квантовое превосходство» стало важной вехой в истории квантовых компьютеров, физически доказавшей теоретический потенциал этих вычислительных машин. Демонстрация Google в 2019 году и конструктивные возражения IBM перевели всю индустрию от простых теоретических доказательств к поиску реальной полезности (Utility) и началу эпохи серьезной инженерии, направленной на достижение отказоустойчивых квантовых вычислений (FTQC).

Сейчас мы являемся свидетелями переходного периода от зашумленных устройств NISQ к устройствам на логических кубитах с исправлением ошибок. В течение следующих нескольких лет или десятилетия новые открытия в материаловедении, революция в процессах разработки лекарств и прорывы в решении задач оптимизации станут реальностью благодаря эволюции этого квантового оборудования.

В дальнейшем мы будем пристально следить за развитием Google, IBM и исследователей со всего мира, которые формируют будущее компьютерных наук.

Блокчейн и криптовалюты в постквантовую эру: что изменится?

Fri, 11 Sep 2026 17:00:00 +0900

1. Введение: Приближение постквантовой эры и кризис блокчейна

С момента создания Биткоина (Bitcoin) Сатоши Накамото в 2009 году, технология блокчейн выросла в основу финансовых систем и приложений по всему миру как «децентрализованный реестр, устойчивый к фальсификациям». Эта надежная безопасность опирается на современную криптографию: криптографию с открытым ключом (Public Key Cryptography) и криптографические хеш-функции (Cryptographic Hash Functions).

Эти криптографические технологии гарантируют безопасность на основе математической «вычислительной сложности», подразумевающей, что классическим компьютерам (ПК и суперкомпьютерам, которые мы используем сегодня) потребовалось бы время, сравнимое с возрастом Вселенной, для их взлома.

Однако это предположение вот-вот будет фундаментально опровергнуто стремительным развитием и практическим применением квантовых компьютеров (Quantum Computers) — передового рубежа физики и информатики. Используя квантово-механические явления, такие как «суперпозиция (Superposition)» и «квантовая запутанность (Entanglement)», квантовые компьютеры демонстрируют вычислительную мощь, превосходящую традиционные классические компьютеры в определенных математических задачах, что называется «квантовым превосходством (Quantum Supremacy)».

В этой статье мы глубоко и детально, с технической и математической точек зрения, рассмотрим, с какими конкретными угрозами со стороны квантовых компьютеров сталкивается технология блокчейн, а также новейшие тенденции в области постквантовой криптографии (PQC: Post-Quantum Cryptography) как решения этой проблемы, и сценарии миграции криптовалютных сетей.

2. Основы квантовых компьютеров и две главные угрозы для блокчейна

Современные блокчейн-системы в основном состоят из следующих двух криптографических элементов, каждый из которых подвержен различным угрозам со стороны квантовых алгоритмов.

graph TD A["Невероятная вычислительная мощность квантовых компьютеров"] --> B["Алгоритм Шора (Shor's Algorithm)"] A --> C["Алгоритм Гровера (Grover's Algorithm)"] B --> D["Крах криптографии с открытым ключом (ECDSA/RSA/DSA)"] C --> E["Влияние на криптографические хеш-функции (SHA-256)"] D --> F["Определение чужого закрытого ключа и подделка транзакций"] E --> G["Преимущество в майнинге PoW и атаки на некоторые адреса"] F --> H["Фатальная и прямая угроза в блокчейне"] G --> I["Угроза, решаемая настройкой алгоритма (например, увеличением длины ключа)"] style H fill:#ff9999,stroke:#cc0000,stroke-width:2px; style I fill:#ffff99,stroke:#cccc00,stroke-width:2px;

2.1. Основы криптографии на эллиптических кривых (ECDSA) и вычислительная сложность

Многие блокчейны, включая Bitcoin и Ethereum, используют алгоритм цифровой подписи на эллиптических кривых (ECDSA: Elliptic Curve Digital Signature Algorithm) в качестве алгоритма цифровой подписи. В частности, Биткоин использует эллиптическую кривую с параметрами secp256k1.

Безопасность криптографии на эллиптических кривых зависит от вычислительной сложности задачи дискретного логарифмирования на эллиптической кривой (ECDLP: Elliptic Curve Discrete Logarithm Problem). Эллиптическая кривая определяется уравнением в нормальной форме Вейерштрасса:

$$ y^2 \equiv x^3 + ax + b \pmod{p} $$

В secp256k1 Биткоина $a = 0, b = 7$, а $p$ — очень большое простое число. Пусть базовая точка на этой кривой равна $G$, а закрытый ключ $k$ — это огромное случайно выбранное 256-битное целое число. Тогда открытый ключ $K$ находится путем сложения базовой точки $G$ с самой собой $k$ раз (скалярное умножение).

$$ K = k \times G = \underbrace{G + G + \dots + G}_{k \text{ раз}} $$

Использование классического компьютера для обратного вычисления закрытого ключа $k$ (нахождение дискретного логарифма) из известного открытого ключа $K$ и базовой точки $G$ требует экспоненциального времени вычислений $\mathcal{O}(\sqrt{p})$ даже при использовании лучших классических алгоритмов, таких как ро-алгоритм Полларда. Для 256-битного ключа потребуется около $2^{128}$ операций, что является уровнем, который современные суперкомпьютеры не смогли бы решить, даже проработав миллиарды лет.

2.2. Крах из-за алгоритма Шора (Shor’s Algorithm)

Однако алгоритм Шора, опубликованный Питером Шором в 1994 году, полностью разрушил это предположение. Изначально алгоритм Шора был предложен для решения задачи факторизации (основы криптографии RSA) за полиномиальное время, но он также применим к задаче дискретного логарифмирования и задаче дискретного логарифмирования на эллиптической кривой.

Суть алгоритма Шора заключается в использовании квантового преобразования Фурье (QFT: Quantum Fourier Transform) для быстрого нахождения «периода (Period)» функции.

$$ \text{Классическая сложность вычислений} = \mathcal{O}(2^{n/2}) \quad (n\text{ — длина в битах}) $$ $$ \text{Сложность квантового алгоритма} = \mathcal{O}(n^3) $$

Таким образом, алгоритм Шора радикально сокращает время с экспоненциального до полиномиального (Polynomial Time). Если будет создан квантовый компьютер с достаточным количеством логических кубитов, он сможет определить закрытый ключ $k$ из опубликованного в сети открытого ключа $K$ за несколько минут или секунд. Это позволит злоумышленникам легко получать закрытые ключи от чужих кошельков и полностью контролировать их средства.

2.2.1 Пошаговый взлом ECDLP с помощью алгоритма Шора

Давайте шаг за шагом рассмотрим внутренний процесс того, как квантовый компьютер решает задачу дискретного логарифмирования на эллиптической кривой (ECDLP).

Постановка задачи: В $K = k \times G$, где $G$ и $K$ известны, мы хотим найти неизвестное целое число $k$ (закрытый ключ). Пусть порядок эллиптической кривой равен $N$.

Шаг 1: Создание состояния суперпозиции Сначала мы подготавливаем два квантовых регистра и применяем к каждому из них вентиль Адамара (Hadamard Gate), чтобы создать состояние суперпозиции всех возможных комбинаций целых чисел.

$$ |\psi_1\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |0\rangle $$

Шаг 2: Применение квантового оракула (вычисление функции) Затем с помощью квантовой цепи (оракула), которая выполняет сложение точек на эллиптической кривой, мы вычисляем функцию $f(x, y) = x \times G + y \times K$ в третьем регистре.

$$ |\psi_2\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |x \times G + y \times K\rangle $$

Здесь важно то, что, поскольку $K = k \times G$, это можно переписать как $f(x, y) = (x + y \cdot k) \times G$.

Шаг 3: Измерение третьего регистра Когда мы измеряем третий регистр, он коллапсирует в некоторую точку $R$ на эллиптической кривой. В результате первый и второй регистры коллапсируют в состояние суперпозиции пар $(x, y)$, которые удовлетворяют условию $x + y \cdot k \equiv c \pmod{N}$ (где $c$ — константа).

$$ |\psi_3\rangle = \frac{1}{\sqrt{N}} \sum_{y=0}^{N-1} |c - y \cdot k \pmod{N}\rangle |y\rangle $$

Шаг 4: Применение квантового преобразования Фурье (QFT) Это состояние имеет периодичность, связанную с периодом $k$. Применяя к нему обратное квантовое преобразование Фурье (Inverse QFT), мы вызываем фазовую интерференцию и преобразуем информацию о периоде в амплитуду.

Шаг 5: Измерение и классическая постобработка Когда мы измеряем первый и второй регистры, с высокой вероятностью получается значение, содержащее информацию о $k$. Применяя классические теоретико-числовые алгоритмы, такие как разложение в непрерывные дроби (Continued Fractions), к измеренным значениям, можно полностью определить неизвестный закрытый ключ $k$.

Количество квантовых вентилей, требуемых для всего этого процесса, составляет $\mathcal{O}(\log^3 N)$, что позволяет раскрывать закрытые ключи с молниеносной скоростью по сравнению с классическим поиском компьютера за $\mathcal{O}(\sqrt{N})$.

2.3. Алгоритм Гровера (Grover’s Algorithm) и влияние на хеш-функции

Еще одна угроза — алгоритм Гровера, предложенный Ловом Гровером в 1996 году. Он оказывает значительное влияние на хеш-функции (например, SHA-256).

В блокчейне хеш-функции используются для обеспечения целостности данных, генерации адресов, а также в качестве основы для майнинга PoW (Proof of Work) в Биткоине. Обратное вычисление хеш-функции (нахождение прообраза) можно рассматривать как «задачу поиска в неструктурированной базе данных», где ищется входное значение $x$, для которого $H(x) = y$ при заданном выходном значении $y$.

На классическом компьютере, чтобы найти правильный ответ из $N$ вариантов, требуется в среднем $\frac{N}{2}$ и в худшем случае $N$ попыток. Иными словами, сложность составляет $\mathcal{O}(N)$. Однако алгоритм Гровера использует квантовый метод, называемый «усилением амплитуды (Amplitude Amplification)». Итеративно усиливая амплитуду вероятности правильного состояния среди всех возможных состояний в суперпозиции, он сокращает время поиска до квадратного корня.

$$ \text{Сложность алгоритма Гровера} = \mathcal{O}(\sqrt{N}) $$

Для SHA-256 $N = 2^{256}$, поэтому классический поиск полным перебором требует около $2^{256}$ попыток. Однако при использовании алгоритма Гровера потребуется всего $\sqrt{2^{256}} = 2^{128}$ попыток. Это означает, что для квантового компьютера криптографическая стойкость 256-битной хеш-функции фактически снижается вдвое, до уровня 128 бит.

2.3.1. Выживет ли SHA-256? (Quantum Supremacy in Hashing)

Хотя безопасность уменьшается вдвое, «128-битная безопасность» все еще остается чрезвычайно надежной. $2^{128}$ операций — это астрономическое число даже при нынешнем уровне технологий, для выполнения которого потребуется время в масштабах жизни Вселенной. Поэтому широко распространено мнение, что «SHA-256 сохранит практическую безопасность даже против квантовых компьютеров». Если в будущем потребуется увеличить запас прочности безопасности, то простое удвоение длины выходного хеша (например, переход от SHA-256 к SHA-512) позволит сохранить 256-битный уровень классической безопасности в квантовом мире.

В заключение можно сказать, что квантовая угроза для хеш-функций «незначительна и решаема», тогда как угроза для криптографии с открытым ключом (ECDSA) является «фатальной».

3. Анализ конкретного влияния на современные криптоактивы (Bitcoin, Ethereum)

С какими конкретными уязвимостями столкнутся сети криптовалют в мире, где ECDSA можно будет взломать с помощью квантового компьютера? Здесь мы проведем подробный анализ на примере механизма Биткоина с точки зрения «момента раскрытия открытого ключа».

3.1. Генерация адреса и «непубличность» открытого ключа

Адреса Биткоина (P2PKH: Pay-to-Public-Key-Hash или P2WPKH: Pay-to-Witness-Public-Key-Hash) не являются самими открытыми ключами, а представляют собой результат многократного хеширования открытого ключа.

$$ \text{Bitcoin Address} = \text{Base58Check}(\text{RIPEMD160}(\text{SHA256}(\text{Public Key}))) $$

Как упоминалось ранее, поскольку хеш-функции устойчивы к квантовым атакам (алгоритм Гровера), обратное вычисление исходного «открытого ключа» из хеш-значения («адреса») невозможно даже для квантового компьютера. То есть, для «неиспользованных адресов (с которых никогда не отправлялись средства)» открытый ключ вообще не представлен в блокчейне, записано только хеш-значение. Таким образом, пока открытый ключ неизвестен, не существует цели для выполнения алгоритма Шора, и закрытый ключ не может быть определен. Кошелек в этом состоянии можно считать квантово-безопасным (Quantum-safe).

3.2. Фатальная уязвимость при отправке транзакции (атака фронтраннинга)

Проблема возникает в тот момент, когда пользователь отправляет средства. При широковещательной рассылке (отправке) транзакции в сеть пользователь должен включить свой открытый ключ в данные транзакции и опубликовать его для всей сети для проверки вместе с цифровой подписью.

sequenceDiagram participant User as "Пользователь (Алиса)" participant Mempool as "Mempool (Пул неподтвержденных транзакций)" participant QuantumAttacker as "Квантовый злоумышленник" participant Miner as "Майнер (Создание блока)" User->>Mempool: Отправка транзакции (включает открытый ключ + подпись) Mempool-->>QuantumAttacker: Перехват открытого ключа в сети note right of QuantumAttacker: Выполнение алгоритма Шора за несколько минут
(Вычисление закрытого ключа из открытого ключа) QuantumAttacker->>QuantumAttacker: Создание новой подписи с использованием закрытого ключа Алисы QuantumAttacker->>Mempool: Широковещательная рассылка мошеннической транзакции с более высокой комиссией Miner->>Miner: Приоритетное включение мошеннической транзакции с высокой комиссией (Gas) в блок Miner-->>User: Запись в блокчейн (Потеря средств Алисы)

Как только открытый ключ попадает в Mempool (место ожидания неподтвержденных транзакций), эти данные передаются узлам по всему миру. Если у злоумышленника есть сверхбыстрый квантовый компьютер, он может украсть средства с помощью следующего процесса:

Перехватить транзакцию легитимного пользователя (Алисы) в Mempool и извлечь открытый ключ.
Выполнить алгоритм Шора и вычислить закрытый ключ из открытого ключа за несколько минут (до того, как блок будет подтвержден).
Используя полученный закрытый ключ, создать фальшивую транзакцию, которая переводит средства Алисы на адрес злоумышленника.
Отправить эту фальшивую транзакцию в сеть с гораздо более высокой комиссией майнеру (Fee), чем у исходной транзакции Алисы.

Майнеры, следуя экономическим стимулам, будут отдавать приоритет транзакциям с более высокими комиссиями при их включении в блок. В результате мошеннический перевод злоумышленника будет подтвержден (Confirm) первым, а законный перевод Алисы будет отклонен как попытка «двойной траты (Double Spend)». Эта последовательность действий называется атакой фронтраннинга (Front-running Attack), и в мире, где квантовые компьютеры станут реальностью, это приведет к ужасающей ситуации, когда средства будут украдены хакерами в ту же секунду, как кто-то нажмет кнопку «отправить».

3.3. Опасность повторного использования адресов и старых адресов (P2PK)

Еще более серьезная проблема заключается в том, что адреса, которые использовались для перевода средств хотя бы раз в прошлом (например, повторно используемые в качестве адресов для сдачи), уже навсегда сохранили свой открытый ключ в блокчейне. Эти адреса находятся под угрозой того, что их закрытый ключ будет вычислен, а баланс украден в любой момент, даже без ожидания отправки транзакции.

Кроме того, в формате P2PK (Pay-to-Public-Key), который был популярен примерно в 2009–2010 годах, открытый ключ напрямую записывался в блокчейн в качестве адреса, а не его хеш. Сюда входят ранние награды Сатоши Накамото за майнинг (более 1 миллиона BTC). Эти огромные запасы «спящих» биткоинов станут самой легкой мишенью для квантовых компьютеров; они могут быть украдены все разом и сброшены на рынок, что приведет к катастрофическому обвалу цен.

4. Сценарий перехода на постквантовую криптографию (PQC: Post-Quantum Cryptography)

Чтобы избежать катастрофы «Q-Day» (дня, когда квантовые компьютеры взломают криптографию), криптографическое сообщество и сообщество блокчейна планируют переход на постквантовую криптографию (PQC), которую трудно взломать даже с помощью квантовых алгоритмов. Национальный институт стандартов и технологий США (NIST) на протяжении многих лет проводит процесс стандартизации PQC, и после нескольких раундов строгой оценки несколько перспективных схем шифрования были выбраны в качестве окончательных стандартов.

Ниже приводится подробное описание, включая математические механизмы, основных алгоритмов PQC, которые привлекают внимание как альтернативы цифровым подписям в блокчейне.

4.1. Подписи на основе хешей (Hash-Based Signatures)

Подписи на основе хешей — это криптографическая схема, безопасность которой зависит исключительно от очень простой и надежной основы: «устойчивости хеш-функций к коллизиям». Поскольку устойчивость хеш-функций к квантовым компьютерам уже доказана (как упоминалось ранее, запаса безопасности в 128 бит вполне достаточно), это очень надежный подход. Типичными примерами являются подпись Лэмпорта (Lamport Signatures), ее расширение WOTS (Winternitz One-Time Signature), а также кандидат на стандартизацию NIST SPHINCS+ (в настоящее время называемый SLH-DSA в рамках FIPS 205).

4.1.1. Математические детали подписи Лэмпорта (One-Time Signature)

Давайте подробнее рассмотрим математику подписи Лэмпорта. Пусть хеш-функция будет $H: \{0, 1\}^* \to \{0, 1\}^{256}$.

[Генерация ключей] Алиса (отправитель) использует аппаратный генератор случайных чисел (TRNG) для генерации 256 пар закрытых ключей.

$$ \text{sk}_{i,0} \in \{0, 1\}^{256}, \quad \text{sk}_{i,1} \in \{0, 1\}^{256} \quad (1 \le i \le 256) $$

В результате закрытый ключ $\text{sk}$ состоит в общей сложности из 512 строк по 256 бит (размер: $512 \times 32 = 16 384$ байта).

Затем она вычисляет открытый ключ $\text{pk}$. Каждый компонент закрытого ключа хешируется.

$$ \text{pk}_{i,0} = H(\text{sk}_{i,0}), \quad \text{pk}_{i,1} = H(\text{sk}_{i,1}) $$

Размер открытого ключа также составляет $16 384$ байта. Он публикуется в сети блокчейн.

[Создание подписи] Чтобы подписать данные транзакции $M$, Алиса сначала вычисляет их хеш-значение.

$$ h = H(M) \in \{0, 1\}^{256} $$

Обозначим $i$-й бит хеш-значения $h$ как $h_i \in \{0, 1\}$. Подпись Алисы $\sigma$ представляет собой набор компонентов закрытого ключа, соответствующих каждому биту $h_i$.

$$ \sigma = (\text{sk}_{1, h_1}, \text{sk}_{2, h_2}, \dots, \text{sk}_{256, h_{256}}) $$

То есть, если бит хеша сообщения равен 0, раскрывается $\text{sk}_{i,0}$, а если он равен 1, раскрывается $\text{sk}_{i,1}$. Размер подписи составит $256 \times 32 = 8 192$ байта.

[Проверка подписи] Майнер (проверяющий) использует полученную транзакцию $M$, подпись $\sigma = (s_1, s_2, \dots, s_{256})$ и открытый ключ $\text{pk}$ для проверки. Он заново вычисляет хеш транзакции $h = H(M)$ и проверяет, совпадает ли хеш каждого $s_i$ с соответствующим элементом открытого ключа $\text{pk}_{i, h_i}$.

$$ H(s_i) \overset{?}{=} \text{pk}_{i, h_i} \quad (\text{для всех } 1 \le i \le 256) $$

Этот процесс математически предельно прост, и до тех пор, пока квантовый компьютер не сможет вычислить обратную функцию $H$, подделать подпись невозможно. Однако после однократного подписания половина закрытого ключа раскрывается в сети, и если та же пара ключей будет использована для подписания другого сообщения, комбинация раскрытых закрытых ключей даст злоумышленнику возможность подделать подпись. Отсюда возникает строгое ограничение на использование ключа только один раз (One-Time). Для практического применения были разработаны такие технологии, как XMSS, использующая деревья Меркла для объединения множества одноразовых ключей в один корневой открытый ключ, и SPHINCS+ без сохранения состояния (stateless), но они имеют недостаток в виде размера подписей, достигающего десятков килобайт.

4.2. Криптография на решетках (Lattice-Based Cryptography)

В настоящее время наиболее перспективным направлением PQC, принятым в качестве основного стандарта NIST (FIPS 204: ML-DSA / ранее CRYSTALS-Dilithium, а также Falcon и др.), является криптография на решетках.

Безопасность криптографии на решетках основана на математически доказанных сложных задачах, таких как «задача о кратчайшем векторе в многомерной решетке (SVP: Shortest Vector Problem)» и «задача обучения с ошибками (LWE: Learning With Errors)». Алгоритмов для эффективного решения задач на решетках не найдено даже для квантовых компьютеров.

Математическая модель LWE (Learning With Errors): Основная идея задачи LWE заключается в том, что намеренное добавление «небольшого шума (ошибок)» в систему линейных уравнений делает задачу экспоненциально сложнее. Пусть секретный вектор $\mathbf{s} \in \mathbb{Z}_q^n$. Имеется огромная случайно выбранная открытая матрица $\mathbf{A} \in \mathbb{Z}_q^{m \times n}$ и вектор небольшого шума $\mathbf{e} \in \mathbb{Z}_q^m$, который добавляется намеренно. Открытый ключ $\mathbf{b}$ вычисляется следующим образом:

$$ \mathbf{b} = \mathbf{A}\mathbf{s} + \mathbf{e} \pmod{q} $$

Даже если матрица $\mathbf{A}$ и вектор $\mathbf{b}$ (открытый ключ) известны, вычислить из них закрытый ключ $\mathbf{s}$ чрезвычайно сложно из-за наличия шума $\mathbf{e}$. Без шума задачу можно было бы решить простым методом Гаусса, но присутствие шума приводит к взрывному росту пространства поиска во всех измерениях, обеспечивая надежную безопасность как против классических, так и против квантовых компьютеров. В реальных алгоритмах, используемых в блокчейне (таких как Dilithium), применяется Ring-LWE (или Module-LWE), развернутая над кольцом многочленов, что позволяет уменьшить размер ключа и ускорить вычисления.

Преимущества: По сравнению с подписями на основе хешей размер открытого ключа и подписи относительно невелик (несколько килобайт), а скорость генерации и проверки подписи очень высока (на уровне ECDSA или даже быстрее).
Недостатки: Математическая структура сложна, и история тестирования относительно коротка, поэтому риск того, что в будущем будет обнаружен новый алгоритм дешифрования, не равен нулю.

5. Технические трудности перехода блокчейна на PQC

Наличие алгоритмов PQC (таких как Dilithium или SPHINCS+) не означает, что их можно внедрить в Bitcoin или Ethereum прямо завтра. Существует ряд серьезных проблем, характерных для децентрализованных систем.

5.1. Раздувание размера подписей и коллапс масштабируемости

Самым большим препятствием для внедрения PQC является значительное увеличение размера данных. В то время как текущий размер подписи ECDSA составляет около 70 байт, подпись Dilithium (ML-DSA) на основе решеток занимает около 2420–4595 байт (в зависимости от уровня безопасности), а размер открытого ключа превышает 1300 байт. Для SPHINCS+ на основе хешей размер только одной подписи достигает десятков тысяч байт.

Если бы Биткоин внедрил PQC при текущем пределе размера блока (около 4 МБ с учетом SegWit), количество транзакций, которое можно уместить в одном блоке, резко бы сократилось. Пропускная способность сети (TPS: Transactions Per Second) катастрофически упала бы, а задержки при переводе стали бы нормой. Для решения этой проблемы потребуется значительное увеличение размера блока, но это, в свою очередь, увеличит требования к хранилищу полных узлов (full nodes) и пропускной способности сети, что усложнит запуск узлов для обычных пользователей и, как следствие, приведет к дилемме — централизации сети.

pie title "Сравнение размеров данных подписи в блокчейне (Концептуальная диаграмма)" "ECDSA (Около 70 байт)" : 2 "Dilithium ML-DSA (Около 2500 байт)" : 58 "SPHINCS+ (Около 17000 байт)" : 40

(※ Увеличение размера данных транзакций из-за внедрения PQC станет фатальным узким местом для масштабируемости)

5.2. Влияние на Ethereum Virtual Machine (EVM) и предварительно скомпилированные смарт-контракты

В таких тьюринг-полных платформах смарт-контрактов, как Ethereum, внедрение PQC потребует фундаментального обновления EVM (виртуальной машины Ethereum). В текущей версии EVM для проверки подписей ECDSA предусмотрен предварительно скомпилированный контракт (Precompiled Contract) под названием ecrecover (адрес: 0x01), который оптимизирован для выполнения проверки с очень низкой комиссией (3000 Gas).

Однако процесс проверки для новых алгоритмов на решетках, таких как Dilithium или Falcon, включает сложные полиномиальные и матричные операции. Если их реализовать только с использованием существующих опкодов (Opcodes) EVM, одна проверка подписи может потреблять от нескольких миллионов до десятков миллионов единиц газа. Это уровень, при котором весь лимит газа блока (около 30 миллионов Gas) исчерпывается одной транзакцией.

Чтобы избежать этого, необходимо интегрировать новые предварительно скомпилированные контракты для проверки PQC (например, назначив DilithiumVerify на 0x10) непосредственно в саму EVM через хардфорк сети. Это потребует длительного процесса, в ходе которого основные разработчики каждого клиента Ethereum (Geth, Nethermind, Erigon и др.) будут сотрудничать для оптимизации логики проверки криптографии на решетках на таких языках, как C++, Go или Rust, и проведения аудита безопасности.

5.3. Сложность достижения консенсуса через хардфорк

Изменение базового алгоритма подписи требует хардфорка (Hard Fork) — обновления протокола всей сети. Однако в сообществах, которые придают большое значение «неизменности правил и децентрализации», таких как Биткоин, процесс достижения консенсуса очень сложен с политической точки зрения. От момента предложения BIP (Bitcoin Improvement Proposal) о переходе на PQC до его внедрения, вероятно, потребуются годы обсуждений и тестирования.

6. Когда наступит «Q-Day»? Дорожная карта перехода

Когда наступит «день, когда квантовые компьютеры полностью взломают 256-битную криптографию на эллиптических кривых (Q-Day)»? Хотя мнения исследователей расходятся, многие эксперты прогнозируют, что масштабные квантовые компьютеры с тысячами или десятками тысяч стабильных логических кубитов (с исправлением ошибок и устойчивостью к шуму) появятся в период «с середины 2030-х до 2040-х годов». Однако, в зависимости от прорывов в архитектуре аппаратного обеспечения или открытия более эффективных квантовых алгоритмов, нельзя исключать, что это может произойти и раньше (около 2030 года).

Дорожная карта, которой должна следовать экосистема криптоактивов, пока не стало слишком поздно, выглядит следующим образом:

Фаза 1: Гибридные подписи и абстракция аккаунта (От настоящего момента до ~2028 года)

В текущей сфере блокчейна, особенно среди разработчиков Ethereum (таких как Виталик Бутерин), рассматриваются «гибридные подписи», сочетающие ECDSA и PQC (подписи на основе хешей или на решетках). Это подход, при котором к транзакции прикрепляются как существующая безопасная подпись ECDSA, так и подпись PQC, обеспечивая безопасность, даже если одна из них будет взломана. Кроме того, благодаря использованию абстракции аккаунта (Account Abstraction, ERC-4337), предпринимаются усилия по внедрению и поддержке подписей PQC в смарт-контрактных кошельках по принципу opt-in (только для желающих пользователей) без ожидания хардфорка на уровне протокола.

Фаза 2: Использование доказательств с нулевым разглашением (ZK-Rollups) (С 2025 года)

Ожидается, что козырем для решения самой большой слабости PQC — «раздувания данных подписи» — станет использование технологии масштабирования второго уровня (Layer 2) ZK-Rollups (Доказательства с нулевым разглашением). Вместо того, чтобы записывать огромные данные подписей PQC непосредственно в Layer 1 (основную цепь), большое количество PQC-транзакций будет проверяться и агрегироваться на Layer 2. Затем с помощью ZK-SNARKs или ZK-STARKs они будут сжиматься в одни крошечные «данные доказательства (Proof)» и записываться в Layer 1. Поскольку некоторые конфигурации SNARKs (например, Groth16) сами по себе уязвимы к квантовым атакам, ключом станет использование ZK-STARKs, безопасность которых опирается исключительно на хеш-функции, обладающие квантовой устойчивостью.

Фаза 3: Хардфорк на уровне протокола (Около 2030 года)

Когда стандартизация PQC от NIST будет полностью закреплена, а отраслевые стандарты библиотек станут доступны и достаточно протестированы, ожидается проведение хардфорков в основных сетях, таких как Bitcoin и Ethereum, для полного перехода на PQC в качестве метода цифровой подписи по умолчанию. В течение этого переходного периода будут проводиться масштабные кампании, призывающие пользователей «перевести свои средства со старых кошельков на новые кошельки с поддержкой PQC».

Примеры новаторских проектов

Некоторые блокчейн-проекты предвидели эту квантовую угрозу и с самого начала разрабатывались с заявленной квантовой устойчивостью.

QRL (Quantum Resistant Ledger): Ранний блокчейн, в котором на уровне протокола изначально реализована схема PQC на основе хешей под названием XMSS (eXtended Merkle Signature Scheme).
Algorand / Cellframe: Проекты с гибкой модульной архитектурой криптографического уровня, которые готовятся к будущим обновлениям PQC и активно изучают возможности интеграции криптографии на решетках.

7. Заключение: Будущее криптоактивов и защита наших средств

Наступление «постквантовой эры» выходит за рамки научной фантастики и уже стало реальной технической проблемой для современных криптографических систем, стоящей прямо перед нами.

Два «меча» квантовых вычислений — алгоритмы Шора и Гровера — угрожают основе современных блокчейнов: криптографии с открытым ключом и хеш-функциям соответственно. В частности, уязвимость ECDSA является фатальной, и чтобы избежать риска кражи средств с помощью атак фронтраннинга, переход на постквантовую криптографию (PQC) абсолютно неизбежен.

Однако технологическая отрасль и блокчейн-сообщество не сидят сложа руки в ожидании краха. Процесс выбора и стандартизации алгоритмов PQC, таких как криптография на решетках и подписи на основе хешей, неуклонно продвигается вперед, и использование доказательств с нулевым разглашением (ZK-STARKs) и технологий масштабирования Layer 2 открывает путь к преодолению самого большого барьера для внедрения PQC — «раздувания размера данных».

Обычным пользователям криптовалют и инвесторам не нужно паниковать и продавать все свои средства прямо сейчас. Однако важно иметь базовую техническую грамотность и осознавать необходимость самозащиты:

Избегать повторного использования адресов: Из соображений не только конфиденциальности, но и безопасности, избегайте длительного хранения средств на «использованных адресах (с которых хотя бы раз отправлялись средства, и чей открытый ключ раскрыт в блокчейне)».
Следить за технологическими тенденциями: Будьте в курсе обсуждений перехода на PQC, таких как BIP в Биткоине или EIP в Ethereum, а также новостей о хардфорках, чтобы вовремя перевести свои средства на новые кошельки, когда это потребуется.

История блокчейна — это также история обновлений и устойчивости (resilience) перед лицом новых технологических угроз. Подобно тому, как экосистема преодолела проблемы масштабируемости и экологические проблемы (например, переход от PoW к PoS), она, несомненно, найдет решения и адаптируется к этой беспрецедентной квантовой угрозе. Остается надеяться на будущее, в котором новая мудрость человечества — квантовые компьютеры — и технология доверия — децентрализованный распределенный реестр — не уничтожат друг друга при столкновении, а сольются в более совершенную и надежную систему на более высоком уровне.

Ссылки и сопутствующие материалы:

National Institute of Standards and Technology (NIST) - Post-Quantum Cryptography Standardization Project
Shor, P. W. (1994). Algorithms for quantum computation: discrete logarithms and factoring.
Grover, L. K. (1996). A fast quantum mechanical algorithm for database search.
Buterin, V. (2024). How to hard-fork to save most users’ funds in a quantum emergency.

Простое объяснение разницы между квантовым отжигом и квантовыми вентилями

Fri, 11 Sep 2026 12:00:00 +0900

Простое объяснение разницы между квантовым отжигом и квантовыми вентилями

Квантовые вычисления — это вычислительная технология следующего поколения, которая имеет потенциал экспоненциально быстрее решать определенные задачи, требующие огромного количества времени на современных классических компьютерах (включая традиционные суперкомпьютеры), используя принципы квантовой механики (суперпозицию и квантовую запутанность).

В настоящее время существуют две основные парадигмы в подходах к реализации квантовых компьютеров: «квантовый отжиг (Quantum Annealing)» и «модель квантовых вентилей (Quantum Gate Model)». Эти два метода значительно различаются базовыми физическими подходами, задачами, в которых они сильны, а также аппаратными проблемами при реализации.

В этой статье мы подробно сравним и объясним эти два метода с очень глубокой и технической точки зрения: от физических принципов и математических моделей (модель Изинга, QUBO, унитарные преобразования и т. д.) до текущих технических ограничений и конкретных примеров использования.

1. Основы квантовых вычислений: фундаментальные отличия от классических компьютеров

Классические компьютеры обрабатывают информацию с помощью «битов (Bit)», которые могут принимать значения «0» или «1». С другой стороны, квантовые компьютеры используют «квантовые биты (Qubit)» (кубиты). Благодаря принципу «суперпозиции (Superposition)» из квантовой механики, кубит может одновременно с определенной вероятностью находиться в состояниях 0 и 1.

Кроме того, при использовании явления, называемого «квантовой запутанностью (Entanglement)», состояния нескольких кубитов оказываются сильно коррелированными друг с другом, так что воздействие на один кубит мгновенно влияет на всю систему. Это делает возможным выполнение вычислений, подобных параллельной обработке (квантовый параллелизм).

Однако квантовые состояния крайне уязвимы к внешнему шуму (такому как тепло или электромагнитные волны), и серьезной проблемой является «декогеренция (Decoherence)», при которой квантовое состояние разрушается и возвращается к классическому. Различия в подходах к решению этой проблемы шума привели к значительным различиям в философии проектирования квантового отжига и модели вентилей.

2. Подробно о квантовом отжиге (Quantum Annealing)

Квантовый отжиг — это специализированная вычислительная архитектура, предназначенная в первую очередь для решения «задач комбинаторной оптимизации». Она основана на теории, предложенной в 1998 году Хидэтоси Нисимори и Тадаси Кадоваки из Токийского технологического института, и стала широко известна после того, как канадская компания D-Wave Systems впервые в мире коммерциализировала её.

2.1. Физический механизм: модель Изинга в поперечном магнитном поле и квантовые флуктуации

Квантовый отжиг использует для вычислений свойство природных физических систем стремиться к «состоянию с наименьшей энергией (основному состоянию)».

В классическом подходе «имитации отжига (Simulated Annealing)» тепловые флуктуации используются для выхода из локального оптимума (локального минимума). Напротив, квантовый отжиг использует «квантовые флуктуации (Quantum Fluctuation)» для прохождения через энергетические барьеры с помощью «квантового туннелирования (Quantum Tunneling)», тем самым более эффективно отыскивая глобальный оптимум (глобальный минимум).

Эволюция системы квантового отжига во времени описывается следующим гамильтонианом (оператором полной энергии системы) $H(t)$:

$$ H(t) = A(t) H_0 + B(t) H_P $$

Где $t$ — время, $A(t)$ — постепенно убывающая функция, а $B(t)$ — постепенно возрастающая функция.

$H_0$ (Начальный гамильтониан): Представляет поперечное магнитное поле (Transverse field) и порождает квантовые флуктуации. $$ H_0 = - \sum_{i} \sigma_i^x $$ ($\sigma_i^x$ — матрица Паули X, представляющая переворот бита.)
$H_P$ (Гамильтониан задачи): Модель Изинга (Ising Model), которая выражает решаемую задачу оптимизации.

В начальном состоянии ($t=0$) $A(0)$ максимально, и система находится в основном состоянии $H_0$ (где все состояния равномерно суперпонированы). Затем с течением времени поперечное магнитное поле медленно ослабляется, и одновременно усиливается взаимодействие гамильтониана задачи.

2.2. Адиабатические квантовые вычисления (Adiabatic Quantum Computation)

В этом процессе важную роль играет «адиабатическая теорема (Adiabatic Theorem)». Согласно ей, если систему изменять «достаточно медленно (адиабатически)», она всегда будет оставаться в основном состоянии гамильтониана на данный момент времени.

Это означает, что когда в конечном итоге $A(t) \to 0$ и $B(t) \to 1$, система достигает основного состояния $H_P$, то есть «точного решения задачи оптимизации».

graph TD A["Гамильтониан H_0 (Начальное состояние)"] -->|"Адиабатическое изменение (Достаточно медленно)"| B["Постоянное поддержание основного состояния"] A -->|"Неадиабатическое изменение (Слишком быстро/Тепловой шум)"| C["Переход в возбужденное состояние (Ошибка)"] B --> D["Гамильтониан H_P (Глобальное оптимальное решение)"] C --> E["Попадание в локальный оптимум"] D --> F["Считывание решения"] E --> F

2.3. Преобразование от QUBO к модели Изинга

Чтобы решить реальную задачу на квантовом отжиге, необходимо сформулировать её в формате QUBO (Quadratic Unconstrained Binary Optimization: квадратичная безусловная бинарная оптимизация).

Целевая функция QUBO определяется следующим образом:

$$ \min_{x \in \{0,1\}^n} \sum_{i} Q_{ii} x_i + \sum_{i < j} Q_{ij} x_i x_j $$

Где $x_i \in \{0, 1\}$ — двоичная переменная, а $Q$ — матрица весов.

Поскольку аппаратное обеспечение (например, D-Wave) работает с физическими спинами (вверх/вниз), необходимо преобразовать переменные в модель Изинга, используя $\sigma_i \in \{-1, +1\}$. Формула преобразования выглядит так:

$$ x_i = \frac{1 - \sigma_i}{2} \quad \text{или} \quad \sigma_i = 1 - 2x_i $$

Подставив это в уравнение QUBO и упростив, мы получим гамильтониан модели Изинга $H_P$:

$$ H_P = - \sum_{i

$J_{ij}$: Взаимодействие между спинами (коэффициент связи). Физическая сила связи между кубитами.

$h_i$: Локальное магнитное поле (смещение) для каждого спина.

2.4. Аппаратное обеспечение квантового отжига и его проблемы (на примере D-Wave)

Квантовые процессоры D-Wave реализованы с использованием сверхпроводящих квантовых интерферометров (SQUID). Физическая связь между кубитами зависит от аппаратной разводки, и они не имеют полной связности (когда все биты соединены друг с другом). От раннего графа «Chimera» до «Pegasus» и «Zephyr», степень связности улучшилась, но ограничения всё ещё существуют.

Поэтому требуется процесс, называемый «внедрением миноров (Minor Embedding)», который отображает задачу со сложной графовой структурой на физический граф. Поскольку при этом одна логическая переменная представляется несколькими физическими кубитами (цепочкой), возникает проблема: уменьшается эффективное количество доступных кубитов и снижается точность вычислений.

3. Подробно о модели квантовых вентилей (Quantum Gate Model)

Модель квантовых вентилей является квантовым расширением логических вентилей классического компьютера (AND, OR, NOT и т. д.) и представляет собой архитектуру, обеспечивающую «универсальные квантовые вычисления (Universal Quantum Computation)». Многие компании, такие как IBM, Google, Rigetti и IonQ, используют этот подход.

3.1. Унитарные преобразования и вектор состояния

В модели квантовых вентилей состояние всей системы кубитов представляется как «вектор состояния (State Vector)» $|\psi\rangle$. Состояние одного кубита выражается как линейная комбинация базисных состояний $|0\rangle$ и $|1\rangle$:

$$ |\psi\rangle = \alpha |0\rangle + \beta |1\rangle $$

Где $\alpha$ и $\beta$ — комплексные амплитуды вероятности, удовлетворяющие условию $|\alpha|^2 + |\beta|^2 = 1$. Геометрически это состояние визуализируется как точка на «сфере Блоха (Bloch Sphere)».

Шаги квантовых вычислений описываются как применение унитарного оператора (Unitary Operator) $U$ к вектору состояния. Унитарная матрица обладает свойством $U^\dagger U = I$ (её произведение с эрмитово сопряженной матрицей дает единичную матрицу), что соответствует обратимой операции, описывающей эволюцию во времени уравнения Шрёдингера в квантовой механике.

$$ |\psi_{t+1}\rangle = U_t |\psi_t\rangle $$

3.2. Основные квантовые вентили и модель схем

Алгоритм квантовых вычислений проектируется как последовательность квантовых вентилей (квантовая схема).

Вентили Паули (X, Y, Z): Поворот на 180 градусов вокруг каждой оси на сфере Блоха. Вентиль X эквивалентен классическому вентилю NOT.
Вентиль Адамара (H): Преобразует $|0\rangle$ в $\frac{|0\rangle + |1\rangle}{\sqrt{2}}$, создавая состояние суперпозиции. $$ H = \frac{1}{\sqrt{2}} \begin{pmatrix} 1 & 1 \\ 1 & -1 \end{pmatrix} $$
Вентиль CNOT (Controlled-NOT): Двухкубитный вентиль. Применяет вентиль X к целевому кубиту только в том случае, если управляющий кубит находится в состоянии $|1\rangle$. Это создает квантовую запутанность (Entanglement).

Любой квантовый алгоритм можно приблизительно выразить комбинацией небольшого числа однокубитных вентилей и вентилей CNOT (универсальный набор вентилей).

graph LR Q0["Кубит 0: |0>"] --> H1["Вентиль Адамара (H)"] Q1["Кубит 1: |0>"] --> I1["Тождественная операция (I)"] H1 --> C1["Управляющий бит (Control)"] I1 --> T1["Целевой бит (Target)"] C1 -. "Запутанность" .- T1 C1 --> M0["Измерение (Measurement)"] T1 --> M1["Измерение (Measurement)"] M0 --> Result["Классический результат (0 или 1)"] M1 --> Result

3.3. Коррекция ошибок и путь от NISQ к FTQC

Самая большая проблема модели квантовых вентилей — «декогеренция», при которой квантовое состояние разрушается из-за шума. Чем глубже шаг вычисления (глубина схемы), тем больше накапливается ошибок.

Для выполнения идеальных вычислений необходима квантовая коррекция ошибок (Quantum Error Correction). Например, в таких методах, как «поверхностный код (Surface Code)», несколько физических кубитов объединяются для формирования одного «логического кубита (Logical Qubit)» без ошибок. Однако для создания одного логического кубита требуются тысячи или десятки тысяч физических кубитов, что приводит к огромным накладным расходам.

Этап, на котором мы находимся сейчас, — это эпоха устройств NISQ (Noisy Intermediate-Scale Quantum) с десятками или сотнями кубитов без коррекции ошибок. Для достижения FTQC (Fault-Tolerant Quantum Computing: отказоустойчивые квантовые вычисления) с полной коррекцией ошибок требуется еще множество прорывов.

4. Резюме технического и математического сравнения

Сравним фундаментальные различия между двумя архитектурами.

Параметр сравнения	Квантовый отжиг (Quantum Annealing)	Модель квантовых вентилей (Gate Model)
Вычислительная модель	Адиабатические квантовые вычисления (непрерывная эволюция гамильтониана во времени)	Унитарные преобразования (последовательность дискретных вентильных операций)
Подходящие задачи	Задачи комбинаторной оптимизации (QUBO, модель Изинга)	Универсальные (квантово-химическое моделирование, факторизация, поиск и т. д.)
Выразительная способность	Эвристическая оптимизация (приближенные решения)	Эквивалентна универсальной квантовой машине Тьюринга (теоретически возможны любые вычисления)
Примеры реализации	D-Wave Systems	IBM, Google, Quantinuum, IonQ и др.
Устойчивость к шуму	Относительно высокая (остается вблизи основного состояния, допустим некоторый тепловой шум)	Очень низкая (даже небольшой шум вызывает сдвиг фазы и разрушает результат вычислений)
Масштабируемость	Масштаб от тысяч до десятков тысяч кубитов (зависит от физической структуры. Логические биты создавать сложно)	Масштаб сотен кубитов (для FTQC потребуются масштабы в миллионы)

Квантовый отжиг подходит для решения задач оптимизации в качестве «сопроцессора специального назначения», дополняющего ограничения классических компьютеров. С другой стороны, модель квантовых вентилей является квантовой версией «универсального компьютера» и в конечном итоге стремится к вычислительной мощности, превосходящей классические компьютеры (квантовое превосходство), однако создание такого аппаратного обеспечения чрезвычайно сложно.

5. Текущие ограничения и проблемы

Ограничения квантового отжига

Ограничения связности (Connectivity): Из-за упомянутого ранее внедрения миноров требуемое количество физических кубитов экспоненциально возрастает по мере увеличения размера задачи.
Точность коэффициентов (Precision): Физические ошибки при настройке на оборудовании таких аналоговых параметров, как $J_{ij}$ и $h_i$, напрямую влияют на качество решения.
Температура и неадиабатические переходы: Поскольку температура системы не равна абсолютному нулю, существует вероятность отклонения от оптимального решения из-за теплового возбуждения.

Ограничения модели квантовых вентилей

Время когерентности (Coherence Time): Время, в течение которого может поддерживаться квантовое состояние, составляет лишь от нескольких микросекунд до нескольких миллисекунд, и количество вентилей (глубина схемы), которые можно выполнить за это время, строго ограничено.
Достоверность вентилей (Gate Fidelity): Частота ошибок операций для двухкубитных вентилей (например, CNOT) всё еще недостаточно низкая (обычно около 99.x%). Для реализации FTQC её необходимо повысить до 99.99% и выше.
Квантовый объем (Quantum Volume): Текущая главная задача — масштабирование не только количества кубитов, но и эффективной вычислительной мощности (квантового объема) с учетом взаимосвязей и частоты ошибок.

6. Конкретные примеры использования и алгоритмы

Давайте рассмотрим конкретные области применения, в которых каждый из методов преуспевает.

6.1. Примеры использования квантового отжига

Логистика и маршрутизация: Оптимизация маршрутов доставки для большого числа транспортных средств (вариации задачи коммивояжера). Поиск маршрутов в реальном времени с учетом пробок.
Финансовая инженерия: Оптимизация портфеля. Поиск комбинации активов для максимизации доходности при минимизации рисков.
Машинное обучение: Отбор признаков (Feature Selection). Извлечение комбинаций переменных из огромных наборов данных, которые вносят наибольший вклад в прогнозирование.
Производство: Задача составления расписания (Job-shop scheduling) на заводах (на каком станке, какие детали и в каком порядке обрабатывать для максимальной скорости).

6.2. Примеры использования модели квантовых вентилей

Квантово-химическое моделирование: Высокоточное моделирование энергетических состояний молекул и химических реакций.
Факторизация на простые множители (Алгоритм Шора): Алгоритм для факторизации огромных составных чисел за полиномиальное время. Если это будет реализовано на практике, текущая инфраструктура криптографии с открытым ключом, такая как шифрование RSA, будет взломана, поэтому переход на постквантовую криптографию (PQC) является насущной необходимостью.
Поиск в базе данных (Алгоритм Гровера): Для поиска нужных данных в неструктурированной базе данных классическому компьютеру требуется $O(N)$ шагов, тогда как алгоритм Гровера позволяет выполнить поиск за $O(\sqrt{N})$ шагов.

6.3. Гибридные алгоритмы эпохи NISQ: VQE и QAOA

Для преодоления ограничений неглубоких квантовых схем в устройствах NISQ привлекают внимание «вариационные квантовые алгоритмы (Variational Quantum Algorithms)», объединяющие преимущества квантовых и классических компьютеров.

VQE (Variational Quantum Eigensolver): Алгоритм для поиска энергии основного состояния молекулы. Он использует параметризованную квантовую схему (Ansatz) для подготовки квантового состояния и измерения ожидаемого значения энергии $\langle \psi(\theta) | H | \psi(\theta) \rangle$. Используя это ожидаемое значение в качестве целевой функции, параметры $\theta$ обновляются с помощью классического алгоритма оптимизации (например, градиентного спуска). Повторяя этот процесс до сходимости, определяется точное энергетическое состояние молекулы.
QAOA (Quantum Approximate Optimization Algorithm): Алгоритм для решения задач комбинаторной оптимизации с использованием модели квантовых вентилей. Адиабатическая эволюция времени квантового отжига аппроксимируется дискретными вентильными операциями с помощью «разложения Троттера (Trotterization)», и приблизительное решение получается путем поочередного применения гамильтониана. Ожидается, что QAOA станет мощным средством решения задач оптимизации на вентильных машинах.

graph TD User["Пользовательская задача"] --> Formulation{"Свойство задачи"} Formulation -- "Комбинаторная оптимизация" --> QA_Path["Квантовый отжиг / Машина Изинга"] QA_Path --> QUBO["Формулировка QUBO"] QUBO --> DWave["Выполнение на D-Wave"] Formulation -- "Химические/универсальные вычисления" --> Gate_Path["Модель квантовых вентилей"] Gate_Path --> Circuit["Проектирование квантовой схемы (VQE / QAOA)"] Circuit --> IBMGoogle["Выполнение на квантовом оборудовании IBM / Google"]

7. Заключение

Квантовый отжиг и модель квантовых вентилей имеют много общего в том, что оба они используют загадочные свойства квантовой механики в качестве вычислительных ресурсов, однако их подходы и конечные цели сильно различаются.

Квантовый отжиг — это «специализированная эвристическая машина» для достижения ранних практических результатов в решении конкретной реальной задачи комбинаторной оптимизации. В настоящее время различные компании уже проводят эксперименты для подтверждения концепции (PoC).
Модель квантовых вентилей — это «универсальный квантовый компьютер» с потенциалом коренным образом изменить парадигму информатики, от строгих физико-химических симуляций до расшифровки кодов. Однако требуются долгосрочные исследования и разработки, чтобы преодолеть гигантский барьер коррекции ошибок.

В будущем ожидается создание «гетерогенных (разнородных) вычислительных» сред, в которых классические суперкомпьютеры (HPC) будут ядром, машины отжига будут вызываться для задач оптимизации, а квантовые компьютеры вентильного типа — для квантово-химических вычислений.

Квантовые компьютеры — всё ещё развивающаяся технология, но они стремительно эволюционируют как в аппаратном обеспечении, так и в алгоритмах. Понимание математики модели Изинга и основ квантовых схем станет мощным оружием в грядущую эпоху «квантовых аборигенов (quantum natives)».

Эта статья представляет собой всестороннее объяснение от базовых концепций квантовых вычислений до последних тенденций в аппаратном обеспечении. Пожалуйста, продолжайте следить за последними тенденциями исследований в будущем.

Симуляция алгоритма Шора на Python

Fri, 11 Sep 2026 08:00:00 +0900

1. Введение: Кризис криптографии, вызванный квантовыми компьютерами

Большая часть безопасности в современном интернет-обществе зависит от криптографии с открытым ключом (в частности, шифрования RSA). Когда мы отправляем информацию о кредитной карте при онлайн-покупках или обмениваемся строго конфиденциальными данными, содержание этих коммуникаций надежно защищено шифрованием RSA.

Безопасность шифрования RSA основана на математическом факте: «факторизация огромных целых чисел крайне сложна для классических компьютеров (ПК и суперкомпьютеров, которые мы обычно используем)». Однако «Алгоритм Шора (Shor’s Algorithm)», представленный Питером Шором (Peter Shor) в 1994 году, в корне разрушил эту предпосылку. Было математически доказано, что если выполнить алгоритм Шора на крупномасштабном квантовом компьютере, то факторизацию, которая заняла бы у классического компьютера больше времени, чем возраст Вселенной, можно решить всего за несколько минут или часов.

В этой статье мы подробно и обстоятельно объясним, как алгоритм Шора выполняет факторизацию с такой высокой скоростью — от его математического устройства до конкретной реализации симуляции с использованием Python и фреймворка квантовых вычислений Qiskit.

2. Радикальное изменение вычислительной сложности: от экспоненциального к полиномиальному времени

Почему факторизация так сложна? Даже при использовании «общего метода решета числового поля (General Number Field Sieve, GNFS)», известного как лучший алгоритм факторизации для классических компьютеров, его вычислительная сложность является субэкспоненциальной.

Временная сложность факторизации составного числа с количеством цифр $N$ с использованием классических методов выглядит следующим образом:

$$ O\left(\exp\left( c (\log N)^{1/3} (\log \log N)^{2/3} \right)\right) $$

По этой причине, просто увеличив длину ключа (например, до 2048 или 4096 бит), дешифровка на классическом компьютере потребует нереалистичного времени — тысячи или десятки тысяч лет.

Однако, если использовать алгоритм Шора на квантовом компьютере, вычислительная сложность радикально сокращается до полиномиального времени относительно количества битов входных данных $\log N$.

$$ O((\log N)^3) $$

Это означает, что при удвоении количества битов время вычислений на классическом компьютере возрастает астрономически, тогда как на квантовом компьютере оно увеличивается всего примерно в 8 раз. Это сведение класса сложности от экспоненциального времени к полиномиальному (включение в класс BQP) и есть истинное величие алгоритма Шора.

graph TD A["Увеличение размера входа (количества бит) N"] --> B{"Выбор алгоритма"} B -->|Классический: Общий метод решета числового поля| C["Субэкспоненциальный рост O(exp(...))"] B -->|Квантовый: Алгоритм Шора| D["Полиномиальное время O((log N)^3)"] C --> E["От тысяч до миллиардов лет (Невозможно взломать)"] D --> F["От нескольких минут до часов (Взлом за реалистичное время)"]

3. Общая картина алгоритма и математический фундамент

Алгоритм Шора на самом деле выполняется не полностью на квантовом компьютере. Он состоит из взаимодействия предварительной и последующей обработки на классическом компьютере и ключевой части (алгоритма нахождения периода) на квантовом компьютере.

Общий ход алгоритма выглядит следующим образом:

graph TD A["Вход: Составное число N для факторизации"] --> B["Выбор случайного числа a, где a < N"] B --> C{"gcd(a, N) > 1 ?"} C -- "Да" --> D["Вывод тривиального делителя gcd(a, N) и завершение"] C -- "Нет" --> E["Нахождение периода r функции f(x) = a^x mod N квантовым алгоритмом"] E --> F{"r четное и a^(r/2) ≢ -1 mod N ?"} F -- "Нет" --> B F -- "Да" --> G["Вычисление делителей p = gcd(a^(r/2) - 1, N), q = gcd(a^(r/2) + 1, N)"] G --> H["Выход: p, q"]

Сведение от факторизации к проблеме нахождения периода

Гениальное озарение Шора заключалось в преобразовании «проблемы факторизации» в «проблему нахождения порядка (Order Finding Problem)».

Рассмотрим целое число $N$ (число, которое нужно факторизовать) и взаимно простое с ним целое число $a$ ($1 < a < N$). Определим следующую модулярную экспоненциальную функцию:

$$ f(x) = a^x \bmod N $$

Эта функция имеет некоторый период $r$. То есть для любого $x$ выполняется $f(x+r) = f(x)$. В частности, при $x=0$:

$$ a^r \equiv 1 \pmod N $$

Минимальное положительное целое число $r$, при котором это выполняется, называется «порядком (Order) $a$ по модулю $N$». Если мы сможем найти этот период $r$, то сможем вывести простые множители следующим образом.

Преобразовав уравнение, получим:

$$ a^r - 1 \equiv 0 \pmod N $$

Если $r$ четное, мы можем разложить его на множители, используя формулу разности квадратов:

$$ (a^{r/2} - 1)(a^{r/2} + 1) \equiv 0 \pmod N $$

Это означает, что $N$ имеет общий делитель либо с $(a^{r/2} - 1)$, либо с $(a^{r/2} + 1)$ (однако должно выполняться условие $a^{r/2} \not\equiv -1 \pmod N$). Следовательно, используя алгоритм Евклида:

$$ p = \gcd(a^{r/2} - 1, N) $$ $$ q = \gcd(a^{r/2} + 1, N) $$

Вычислив это, мы можем найти нетривиальные простые множители $p, q$ числа $N$. Эти вычисления (нахождение наибольшего общего делителя и генерация случайных чисел) выполняются очень быстро на классическом компьютере. Проблема сводится к тому, как быстро найти период $r$. На классическом компьютере поиск самого этого периода $r$ занимает экспоненциальное время. И здесь на сцену выходит квантовый компьютер.

4. Часть квантового алгоритма: Механизм нахождения периода

Подпрограмма для нахождения периода $r$ с использованием квантового компьютера состоит из следующих 4 шагов:

graph LR subgraph "Переходы квантовых состояний" S1["|0⟩|0⟩ (Инициализация)"] --> S2["Вентиль H: Суперпозиция Σ|x⟩|0⟩"] S2 --> S3["Оракул U: Σ|x⟩|a^x mod N⟩"] S3 --> S4["QFT: Извлечение периода через интерференцию"] S4 --> S5["Измерение: Получение приближенного значения y"] end

Шаг 1: Инициализация квантового регистра и суперпозиция

Сначала мы подготавливаем два квантовых регистра. Первый регистр предназначен для ввода состояния, а второй — для сохранения результата вычислений функции. Начальное состояние полностью равно $|0\rangle$.

$$ |\psi_0\rangle = |0\rangle_1 |0\rangle_2 $$

Применив вентиль Адамара (Hadamard Gate) ко всем кубитам первого регистра, мы создаем состояние равновероятной суперпозиции всех возможных входов $x$ (от $0$ до $Q-1$, где $Q=2^n$).

$$ |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle_1 |0\rangle_2 $$

Благодаря этому квантовый компьютер одновременно сохраняет состояния для всех $Q$ входов за одну операцию. Это является мощным источником квантового параллелизма.

Шаг 2: Применение функции-оракула (модульное возведение в степень)

Далее, используя квантовую схему $U_f$, мы вычисляем функцию $f(x) = a^x \bmod N$ и сохраняем ее результат во втором регистре.

$$ |\psi_2\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle_1 |a^x \bmod N\rangle_2 $$

На этом этапе первый и второй регистры находятся в состоянии квантовой запутанности (энтанглмента). Если бы мы (гипотетически) измерили второй регистр и получили определенное значение $k = a^{x_0} \bmod N$, состояние первого регистра коллапсировало бы в суперпозицию тех $x$, которые дают это значение $k$. Поскольку период функции равен $r$, оставшиеся состояния будут иметь значения с шагом $r$: $x_0, x_0+r, x_0+2r, \dots$

$$ |\psi_3\rangle = \sqrt{\frac{r}{Q}} \sum_{j=0}^{M-1} |x_0 + j r\rangle_1 |k\rangle_2 $$

Однако мы хотим узнать не $x_0$, а сам период $r$. Напрямую измерить $r$ из этого состояния невозможно. Поэтому мы используем квантовое преобразование Фурье.

Шаг 3: Фазовая интерференция через Квантовое преобразование Фурье (QFT)

Мы применяем Квантовое преобразование Фурье (Quantum Fourier Transform, QFT) к первому регистру. QFT — это квантовая версия классического дискретного преобразования Фурье, которая преобразует амплитуды вектора состояния. Действие QFT на базисное состояние $|x\rangle$ определяется следующим образом:

$$ QFT |x\rangle = \frac{1}{\sqrt{Q}} \sum_{y=0}^{Q-1} \omega^{xy} |y\rangle $$

Где $\omega = e^{2\pi i / Q}$.

Применение QFT вызывает интерференцию амплитуд состояний. Опуская математические подробности: если применить QFT к состоянию с периодом $r$, волны будут создавать конструктивную интерференцию (Constructive Interference) только тогда, когда $y$ очень близко к кратному $Q/r$. Для всех остальных состояний из-за деструктивной интерференции (Destructive Interference) амплитуды вероятностей взаимно уничтожаются, приближаясь к нулю.

Шаг 4: Измерение и разложение в непрерывную дробь

Наконец, мы измеряем первый регистр. Полученное при измерении значение $y$ с высокой вероятностью удовлетворяет следующему условию:

$$ y \approx c \frac{Q}{r} \implies \frac{y}{Q} \approx \frac{c}{r} $$

(Где $c$ — неизвестное целое число $0 \le c < r$)

Применив классический алгоритм разложения в непрерывную дробь (Continued Fraction Expansion) к полученному рациональному числу $y/Q$, мы вычисляем подходящую дробь $c/r$ и извлекаем период $r$ из ее знаменателя.

5. Реализация симуляции с использованием Python и Qiskit

Поскольку одна лишь теория не дает полного представления, давайте попробуем смоделировать алгоритм Шора на практике, используя Python и фреймворк квантовых вычислений от IBM — Qiskit.

Здесь мы реализуем самый классический и известный пример: «факторизация $N=15$ с использованием $a=7$».

Подготовка среды выполнения

Пожалуйста, заранее установите Qiskit.

1

pip install qiskit qiskit-aer numpy

Полный код реализации на Python

Следующий код является примером реализации алгоритма Шора, адаптированного для $N=15, a=7$. Поскольку построение универсальной модульной экспоненциальной схемы требует слишком высоких вычислительных затрат на текущих симуляторах, операции вентилей для конкретного случая $a=7$ здесь жестко закодированы.

 1
 2
 3
 4
 5
 6
 7
 8
 9
 10
 11
 12
 13
 14
 15
 16
 17
 18
 19
 20
 21
 22
 23
 24
 25
 26
 27
 28
 29
 30
 31
 32
 33
 34
 35
 36
 37
 38
 39
 40
 41
 42
 43
 44
 45
 46
 47
 48
 49
 50
 51
 52
 53
 54
 55
 56
 57
 58
 59
 60
 61
 62
 63
 64
 65
 66
 67
 68
 69
 70
 71
 72
 73
 74
 75
 76
 77
 78
 79
 80
 81
 82
 83
 84
 85
 86
 87
 88
 89
 90
 91
 92
 93
 94
 95
 96
 97
 98
 99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123


import numpy as np
from qiskit import QuantumCircuit
from qiskit_aer import AerSimulator
from qiskit.visualization import plot_histogram
from fractions import Fraction
import math

# 1. Функция для построения обратного квантового преобразования Фурье (QFT†)
def qft_dagger(n):
 """Генерация схемы обратного квантового преобразования Фурье для n кубитов"""
 qc = QuantumCircuit(n)
 # Вентили SWAP для обращения порядка
 for qubit in range(n//2):
 qc.swap(qubit, n-qubit-1)
 # Применение управляемых фазовых вентилей и вентиля H
 for j in range(n):
 for m in range(j):
 qc.cp(-np.pi/float(2**(j-m)), m, j)
 qc.h(j)
 qc.name = "QFT_dagger"
 return qc

# 2. Функция для построения управляемой модульной экспоненциальной операции 7^x mod 15
def c_amod15(a, power):
 """Генерация управляемого вентиля U для конкретного a и степени (только для N=15)"""
 U = QuantumCircuit(4)
 for _ in range(power):
 # Жестко закодированная логика 7^x mod 15 для случая a=7
 if a in [2,13]:
 U.swap(2,3)
 U.swap(1,2)
 U.swap(0,1)
 if a in [7,8]:
 U.swap(0,1)
 U.swap(1,2)
 U.swap(2,3)
 if a in [4, 11]:
 U.swap(1,3)
 U.swap(0,2)
 if a in [7,11,13]:
 for q in range(4):
 U.x(q)
 U = U.to_gate()
 U.name = f"{a}^{power} mod 15"
 c_U = U.control()
 return c_U

# 3. Построение основной квантовой схемы
def shor_circuit(a, n_count):
 # n_count: Количество битов управляющего регистра
 # Целевой регистр использует 4 бита для представления чисел от 0 до 15
 qc = QuantumCircuit(n_count + 4, n_count)

 # Инициализация первого регистра (управляющего регистра) (создание суперпозиции)
 for q in range(n_count):
 qc.h(q)

 # Инициализация второго регистра (целевого регистра) в |1> (0001)
 qc.x(3 + n_count)

 # Применение управляемой модульной экспоненциальной операции (оракула)
 for q in range(n_count):
 # Применение операции в степени 2^q
 qc.append(c_amod15(a, 2**q),
 [q] + [i+n_count for i in range(4)])

 # Применение обратного квантового преобразования Фурье к первому регистру
 qc.append(qft_dagger(n_count), range(n_count))

 # Измерение первого регистра
 qc.measure(range(n_count), range(n_count))
 return qc

# --- Секция выполнения ---
if __name__ == "__main__":
 N = 15
 a = 7
 n_count = 8 # Использование 8 кубитов для управляющего регистра (Q=256)

 print(f"Настройки поиска: N={N}, a={a}, количество управляющих кубитов={n_count}")

 # Генерация схемы
 qc = shor_circuit(a, n_count)

 # Выполнение в симуляторе
 sim = AerSimulator()
 # В новых версиях Qiskit рекомендуется использовать transpile
 from qiskit import transpile
 compiled_circuit = transpile(qc, sim)
 job = sim.run(compiled_circuit, shots=1024)
 result = job.result()
 counts = result.get_counts()

 print("\nРезультаты измерений (битовая строка: количество наблюдений):")
 for bitstring, count in counts.items():
 print(f" {bitstring}: {count} раз")

 # Классическая постобработка: Определение периода r с помощью разложения в непрерывную дробь
 print("\n--- Вычисление периода и факторизация ---")
 phases = []
 for output in counts:
 # Преобразование битовой строки в десятичное число
 decimal = int(output, 2)
 # Фаза = Измеренное значение / 2^n_count
 phase = decimal / (2**n_count)
 phases.append(phase)

 # Получение подходящей дроби через разложение в непрерывную дробь. Верхний предел знаменателя - N=15
 frac = Fraction(phase).limit_denominator(15)
 r = frac.denominator

 print(f"Измеренное значение: {decimal:3d} | Фаза: {phase:.4f} | Непрерывная дробь: {frac} | Оценочный период r = {r}")

 # Проверка, является ли период r четным и дает ли он действительный результат
 if r % 2 == 0:
 guess1 = math.gcd(a**(r//2) - 1, N)
 guess2 = math.gcd(a**(r//2) + 1, N)
 if guess1 not in [1, N] or guess2 not in [1, N]:
 print(f" => Успех! Простые множители {N} - это {guess1} и {guess2}.")
 else:
 print(f" => Только тривиальные множители. Повторить.")
 else:
 print(f" => Неудача, так как период нечетный.")

Объяснение кода и анализ результатов выполнения

При выполнении приведенного выше кода в качестве результатов измерения управляющего регистра с высокой вероятностью будут получены определенные пики (наблюдаемые значения). При n_count=8 ($Q=256$) на идеальном квантовом компьютере (или симуляторе) такие значения, как 0, 64, 128, 192, появятся с подавляющей вероятностью.

Если разделить их на $Q=256$, то фаза $y/Q$ будет соответственно $0.0$, $0.25$, $0.5$, $0.75$. Если разложить эту фазу в непрерывную дробь:

$0.25 \to 1/4$ (Оценочный период $r=4$)
$0.50 \to 1/2$ (Оценочный период $r=2$)
$0.75 \to 3/4$ (Оценочный период $r=4$)

Используя полученный период $r=4$, мы вычисляем простые множители. Поскольку $a=7, r=4$: $p = \gcd(7^2 - 1, 15) = \gcd(48, 15) = 3$ $q = \gcd(7^2 + 1, 15) = \gcd(50, 15) = 5$

Мы успешно выполнили факторизацию $15 = 3 \times 5$.

[!TIP] Если получено измеренное значение $y=128$ (фаза $0.5$), знаменатель будет $2$, и мы получим делитель периода, а не истинный период $r=4$. В таких случаях можно найти истинный период, выполнив алгоритм несколько раз или проверив кратные полученного $r$.

6. Проблемы практического применения и ограничения эпохи NISQ

Хотя на симуляторе легко факторизовать $N=15$, для факторизации RSA-2048 (617-значное десятичное число), используемого в реальном мире, перед реальными квантовыми компьютерами всё ещё стоит множество барьеров.

Эпоха, в которой мы живем сейчас, называется эпохой NISQ (Noisy Intermediate-Scale Quantum: шумные квантовые устройства промежуточного масштаба). Кубиты крайне уязвимы к шуму из внешней среды, и в процессе вычислений происходит «декогеренция», разрушающая их состояние.

Для точного выполнения глубоких схем (с большим количеством вентилей), таких как алгоритм Шора, абсолютно необходима квантовая коррекция ошибок (Quantum Error Correction). Для создания одного «логического кубита» без шумов необходимо закодировать тысячи «физических кубитов» с помощью поверхностных кодов (Surface Code) и других методов.

По оценкам, для взлома 2048-битного шифрования RSA потребуются тысячи идеальных логических кубитов, а для их реализации потребуется отказоустойчивый квантовый компьютер, оснащенный от нескольких миллионов до десятков миллионов физических кубитов. Поскольку даже современные передовые квантовые процессоры имеют лишь от сотен до нескольких тысяч физических кубитов, шифрование по всему миру не будет взломано в одночасье.

[!WARNING] Однако существует модель угрозы «Store Now, Decrypt Later (Сохранить сейчас, расшифровать позже)». Злоумышленники могут использовать стратегию массового сохранения текущих зашифрованных конфиденциальных коммуникаций в виде зашифрованных данных, чтобы полностью расшифровать их в тот самый момент, когда через 10–20 лет появятся мощные квантовые компьютеры.

7. Переход к постквантовой криптографии (PQC)

В преддверии такого «Q-Day» (дня, когда квантовые компьютеры взломают шифрование), криптографы по всему миру во главе с Национальным институтом стандартов и технологий США (NIST) работают над стандартизацией постквантовой криптографии (Post-Quantum Cryptography, PQC).

PQC основывается на новых математических проблемах (например, проблемы на решетках, многомерные полиномиальные проблемы, алгоритмы на основе хеш-функций), которые, как считается математически, не могут быть эффективно решены даже с помощью алгоритма Шора (или алгоритма Гровера). Такие алгоритмы, как «CRYSTALS-Kyber» и «CRYSTALS-Dilithium», уже выбраны в качестве стандартов, и постепенно начинается их внедрение в iMessage от Apple и коммуникационные протоколы различных веб-браузеров.

Для инженеров, управляющих ИТ-инфраструктурой, одной из главных задач в будущем станет внедрение в системы «криптографической гибкости (crypto-agility: возможности быстрого переключения методов шифрования)» для перехода от существующего RSA и криптографии на эллиптических кривых к PQC.

8. Заключение

В этой статье мы провели исчерпывающее объяснение объемом в 10 тысяч символов: начиная с теоретического математического фундамента алгоритма Шора, механизма извлечения периода с использованием квантового преобразования Фурье, и заканчивая конкретным кодом симуляции на Python и Qiskit.

Тот факт, что законы физики микромира — квантовой механики — могут фундаментально разрушить теорию вычислительной сложности и криптографию, которые являются основой макроскопической информатики, представляет собой один из самых захватывающих сдвигов парадигмы в истории науки. Мы продолжим внимательно следить за разворачивающейся борьбой между постоянно развивающимися технологиями квантовых вычислений и противостоящими им новыми технологиями шифрования.

Обязательно запустите представленный здесь код на Python в вашей собственной среде и испытайте на себе «магию вычислений», создаваемую суперпозицией и интерференцией квантовых состояний.

Источники и литература

Shor, P. W. (1994). “Algorithms for quantum computation: discrete logarithms and factoring”. Proceedings 35th Annual Symposium on Foundations of Computer Science.
Nielsen, M. A., & Chuang, I. L. (2010). “Quantum Computation and Quantum Information”. Cambridge University Press.
Qiskit Documentation: https://qiskit.org/documentation/

【Иллюстрированное руководство по PQC】Сравнение основных алгоритмов постквантовой криптографии

Fri, 11 Sep 2026 07:00:00 +0900

1. Введение: «Криптографический кризис», вызванный квантовыми компьютерами

В современном интернет-обществе криптография с открытым ключом является незаменимой инфраструктурой для защиты конфиденциальности связи и целостности данных. Безопасность широко используемых сегодня алгоритмов RSA и криптографии на эллиптических кривых (ECC) опирается на математические барьеры — «сложность факторизации больших составных чисел» и «сложность задачи дискретного логарифмирования на эллиптических кривых» соответственно. Доказано, что классическим компьютерам (компьютерам, которые мы используем сейчас, включая суперкомпьютеры) для решения этих математических задач потребовалось бы время, превышающее возраст Вселенной, и это служило основой их безопасности.

Однако эта надежная предпосылка может быть разрушена до основания из-за развития теории и практического применения квантовых компьютеров. В 1994 году криптограф Питер Шор (Peter Shor) представил «Алгоритм Шора», который теоретически доказал, что при запуске на отказоустойчивом универсальном квантовом компьютере (CRQC: Cryptographically Relevant Quantum Computer) достаточной мощности, задачи факторизации и дискретного логарифмирования могут быть решены за «полиномиальное время». Это означает, что все используемые в настоящее время алгоритмы криптографии с открытым ключом будут нейтрализованы.

graph TD A["Крупномасштабный квантовый компьютер (CRQC)"] -->|Запуск| B["Алгоритм Шора"] B -->|Взлом за полиномиальное время| C["Задача факторизации (RSA)"] B -->|Взлом за полиномиальное время| D["Задача дискретного логарифмирования (ECC / ECDSA)"] C --> E["Прослушивание связи, подделка данных, спуфинг"] D --> E F["Store Now, Decrypt Later (SNDL)"] --> E

Считать, что «полноценные квантовые компьютеры появятся еще через несколько десятилетий, поэтому проблем нет» — крайне опасно. Причина в том, что метод атаки, известный как Store Now, Decrypt Later (SNDL: Сохрани сейчас, расшифруй потом), уже стал реальной угрозой. Это атака, при которой враждебные государства или хакерские организации сохраняют огромные объемы текущих зашифрованных данных связи (например, TLS-трафик) в хранилища, чтобы расшифровать их все в тот момент, когда в будущем станет доступен мощный квантовый компьютер. Государственные секреты, инфраструктурная информация и медицинские данные, требующие долгосрочной защиты, уже подвержены этой угрозе.

Кроме того, для симметричной криптографии (например, AES) и хеш-функций (например, SHA-256) существует Алгоритм Гровера, открытый в 1996 году. Он сокращает вычислительную сложность атаки полным перебором (брутфорс) до квадратного корня. Другими словами, уровень безопасности AES-128 фактически снижается вдвое — до 2 в 64-й степени, поэтому в квантовую эру рекомендуется использовать более длинные ключи и хеши, такие как AES-256 и SHA-384.

Для противодействия этому беспрецедентному криптографическому кризису была создана постквантовая криптография (Post-Quantum Cryptography: PQC), основанная на новых математических задачах, которые трудно решить даже с помощью квантовых компьютеров. В этой статье, основываясь на результатах процесса стандартизации PQC, проведенного Национальным институтом стандартов и технологий США (NIST), мы подробно рассмотрим основные алгоритмы PQC — от их математических основ до механизмов работы и сравнения архитектур.

2. Обзор и история проекта по стандартизации PQC от NIST

Переход на новые криптографические технологии, включая перепроектирование протоколов, обновление систем и замену оборудования, занимает от нескольких лет до десятилетий. Поэтому криптографы во всем мире заранее начали исследования в области PQC. Центральную роль в этом сыграл NIST (Национальный институт стандартов и технологий) США. В 2016 году NIST объявил о начале процесса стандартизации PQC и начал принимать предложения совершенно новых криптографических алгоритмов от мирового криптографического сообщества.

Объектами стандартизации стали две основные категории:

Криптография с открытым ключом / Механизм инкапсуляции ключа (KEM: Key Encapsulation Mechanism): Механизм для безопасного обмена (доставки) симметричных ключей, используемых для шифрования каналов связи, например, при TLS-соединениях.
Цифровые подписи (Digital Signatures): Механизм для проверки отсутствия фальсификации данных и предотвращения подмены отправителя (аутентичность) при обновлениях программного обеспечения или в цифровых сертификатах.

После почти шести лет интенсивной оценки, анализа и соревнований по взлому (раунды 1–3), а также дополнительной оценки некоторых алгоритмов в раунде 4, следующие алгоритмы были официально выпущены в качестве Федеральных стандартов обработки информации (FIPS) в 2024 году и утверждены как будущие мировые стандарты:

FIPS 203 (ML-KEM): KEM на базе CRYSTALS-Kyber
FIPS 204 (ML-DSA): Цифровая подпись на базе CRYSTALS-Dilithium
FIPS 205 (SLH-DSA): Цифровая подпись на основе хешей без сохранения состояния на базе SPHINCS+
(Ожидается в будущем) FN-DSA: Цифровая подпись на базе FALCON

Выбранные алгоритмы опираются на различные математические «задачи о сложности», что обеспечивает разнообразие (Crypto Agility), чтобы в случае обнаружения критической уязвимости в одном алгоритме вся система не рухнула. В процессе стандартизации криптография на решетках (Lattice-based cryptography) стала главным героем с точки зрения производительности, но криптография на основе хешей и кодов была принята в качестве надежного резерва.

3. Классификация основных математических подходов PQC

Алгоритмы PQC в основном делятся на следующие пять категорий в зависимости от математических задач, служащих основой их безопасности. В этой статье мы подробно рассмотрим первые три.

Криптография на решетках (Lattice-based Cryptography): Основана на задаче нахождения кратчайшего вектора (SVP), задаче нахождения ближайшего вектора (CVP) в многомерном пространстве решеток, а также на производной от них задаче LWE. Это ядро стандартизации NIST, к которому относятся Kyber, Dilithium и FALCON. Они предлагают лучший баланс между скоростью обработки, размером открытого ключа и размером шифротекста, что делает их подходящими для общего использования.
Криптография на основе хешей (Hash-based Cryptography): Безопасность опирается исключительно на «устойчивость к коллизиям» и «односторонность» криптографических хеш-функций (таких как SHA-2 или SHAKE). Применима только для цифровых подписей (например, SPHINCS+), но характеризуется наиболее строгим доказательством безопасности и чрезвычайно высокой устойчивостью к неизвестным математическим атакам.
Криптография на основе кодов (Code-based Cryptography): Основана на теории кодов с исправлением ошибок и опирается на сложность задачи синдромного декодирования (Syndrome Decoding Problem). Типичным представителем является Classic McEliece, предложенный в 1970-х годах. Обладает долгой историей и доказанной безопасностью, но при этом имеет крайне большие размеры открытых ключей (в мегабайтах).
Многомерная полиномиальная криптография (Multivariate Polynomial Cryptography): Основана на сложности решения системы нелинейных уравнений со многими переменными над конечным полем (задача MQ). Предлагалась в основном для цифровых подписей (например, Rainbow), но во время финального раунда NIST был обнаружен мощный метод атаки, позволивший взломать ее на обычном ПК за несколько дней, из-за чего многие алгоритмы выбыли из процесса стандартизации.
Криптография на основе изогений (Isogeny-based Cryptography): Основана на задаче поиска пути в графах изогений эллиптических кривых. Имела очень маленький размер ключа и ожидалась как достойный преемник ECC, однако в 2022 году финалист «SIKE» был полностью взломан всего за несколько часов на обычном ПК с использованием классической математики (атака Castryck-Decru), что стало драматичным финалом, символизирующим сложность и опасность проектирования PQC.

4. Глубины криптографии на решетках: задача LWE и математические основы Module-LWE

В настоящее время наиболее перспективной и ставшей ядром стандартизации является криптография на решетках. В основе ее безопасности лежит задача LWE (Learning with Errors: Обучение с ошибками). Она была предложена Одедом Регевом (Oded Regev) в 2005 году, и за это прорывное достижение он был удостоен премии Гёделя. Невозможно говорить о современной PQC без понимания задачи LWE.

4.1. Что такое задача LWE (Learning with Errors)?

Сначала рассмотрим простую систему линейных уравнений. Предположим, по модулю $q$ даны известная случайная матрица $A$, неизвестный секретный вектор $\vec{s}$ и их произведение $\vec{b}$:

$$ \vec{b} = A\vec{s} \pmod q $$

В этом случае, найти неизвестный $\vec{s}$ из открытой информации $A$ и $\vec{b}$ довольно просто. Используя классический алгоритм «метод Гаусса», можно легко вычислить $\vec{s}$ за полиномиальное время.

Однако, если добавить к этому уравнению «небольшую преднамеренную ошибку (шум)», сложность задачи резко возрастает. Это и есть задача LWE.

Имеется неизвестный секретный вектор $\vec{s} \in \mathbb{Z}_q^n$ и случайно выбранная матрица $A \in \mathbb{Z}_q^{m \times n}$. Кроме того, подготавливается вектор ошибок $\vec{e} \in \mathbb{Z}_q^m$ с «достаточно малыми значениями элементов», выбранными в соответствии с нормальным или биномиальным распределением, и $\vec{b}$ вычисляется следующим образом:

$$ \vec{b} = A\vec{s} + \vec{e} \pmod q $$

Поисковая задача LWE (Search LWE) заключается в нахождении секретной информации $\vec{s}$ из открытых данных $(A, \vec{b})$. Из-за присутствия ошибки $\vec{e}$ попытки применить алгебраические методы, такие как метод Гаусса, терпят неудачу: в процессе сложения и вычитания уравнений ошибка $\vec{e}$ нарастает, как снежный ком, и в конечном итоге результат становится неотличимым от случайных значений.

Величие задачи LWE заключается в наличии сильного теоретического доказательства (сведения), согласно которому, если не существует квантового алгоритма, способного решить задачи на решетках в худшем случае (Worst-case hardness), такие как GapSVP и SIVP, то задачу LWE невозможно решить в среднем случае (Average-case). Это означает, что даже случайно сгенерированные криптографические ключи обладают надежной безопасностью, подкрепленной теоретическими пределами.

4.2. Радикальное повышение эффективности с помощью Ring-LWE и Module-LWE

Стандартная задача LWE (Standard LWE) имеет очень четкие основания для безопасности, но матрица $A$ становится слишком большой, а размер ключа достигает мегабайтов, что делает ее непрактичной. В связи с этим был предложен подход, использующий кольца многочленов (Polynomial Rings) для создания алгебраической структуры.

В задаче Ring-LWE вместо обычных векторов и матриц используются элементы (многочлены) некоего кольца многочленов $R_q$. В стандартах NIST обычно используется следующее круговое кольцо многочленов:

$$ R_q = \mathbb{Z}_q[X]/(X^n + 1) $$

Здесь $n$ — степень двойки (например, 256), а $q$ — подходящее простое число. В этом кольце используются элементы $a, s, e \in R_q$ для вычисления $b = a \cdot s + e \pmod q$. Поскольку один многочлен $a$ имеет $n$ коэффициентов, данные можно значительно сжать. Кроме того, использование NTT (Number Theoretic Transform: Теоретико-числовое преобразование), версии быстрого преобразования Фурье (FFT) для конечных полей, позволяет сверхбыстро умножать многочлены с вычислительной сложностью $O(n \log n)$.

Однако в случае с Ring-LWE существовали опасения, что «могут существовать неизвестные уязвимости из-за специфической алгебраической структуры кольца». Кроме того, при изменении уровня безопасности (эквивалентно AES-128, 192, 256 и т.д.) было необходимо изменять саму степень многочлена $n$, что влекло за собой инженерную проблему полного переписывания реализации, включая алгоритм NTT.

В связи с этим алгоритмы, прошедшие стандартизацию (Kyber и Dilithium), приняли задачу Module-LWE (M-LWE). Module-LWE — это компромисс между бесструктурным Standard LWE и слишком структурированным Ring-LWE. Он использует матрицу (модуль) размера $k \times k$, элементами которой являются элементы кольца многочленов $R_q$:

$$ \vec{b} = A\vec{s} + \vec{e} \pmod{R_q} \quad (A \in R_q^{k \times k}, \vec{s}, \vec{e} \in R_q^k) $$

Главное преимущество Module-LWE заключается в том, что при фиксированной степени многочлена $n$ (в стандартах NIST $n=256$) можно легко масштабировать уровень безопасности, просто изменяя размерность матрицы $k$. Например, в Kyber размерность $k$ регулируется следующим образом:

Kyber512 (Level 1): $k = 2$ (эквивалентно AES-128)
Kyber768 (Level 3): $k = 3$ (эквивалентно AES-192)
Kyber1024 (Level 5): $k = 4$ (эквивалентно AES-256)

Это позволило на 100% повторно использовать базовый код NTT и аппаратные схемы для полиномиальных вычислений на всех уровнях безопасности, что радикально повысило безопасность и эффективность реализации.

5. CRYSTALS-Kyber (ML-KEM): Механизм инкапсуляции ключа следующего поколения

Официально стандартизированный как FIPS 203 (ML-KEM), CRYSTALS-Kyber представляет собой механизм инкапсуляции ключа (KEM), основанный на задаче Module-LWE, описанной выше. В будущем он станет де-факто мировым стандартом для безопасного обмена сессионными ключами в TLS 1.3, SSH и других протоколах.

5.1. Архитектура KEM (Key Encapsulation Mechanism)

В эру PQC стандартом станет не прямой подход, как в RSA, где «клиент создает симметричный ключ, шифрует его открытым ключом сервера и отправляет», а концепция инкапсуляции, называемая KEM.

sequenceDiagram participant Client as "Клиент (Alice)" participant Server as "Сервер (Bob)" Note over Client: "ML-KEM KeyGen()" Client->>Client: "Генерирует секретный ключ (sk) и открытый ключ (pk)" Client->>Server: "Отправляет открытый ключ (pk)" Note over Server: "ML-KEM Encaps()" Server->>Server: "Генерирует случайный симметричный ключ (K)" Server->>Server: "Инкапсулирует K с помощью pk, создавая шифротекст (c)" Server->>Client: "Отправляет шифротекст (c)" Note over Client: "ML-KEM Decaps()" Client->>Client: "Расшифровывает шифротекст (c) с помощью секретного ключа (sk)" Client->>Client: "Снимает инкапсуляцию, извлекая симметричный ключ (K)" Note over Client, Server: "Начинает защищенную связь (например, AES), используя общий симметричный ключ (K)"

5.2. Внутренние механизмы алгоритма Kyber и преобразование Фудзисаки-Окамото

Дизайн Kyber очень утонченный. Сначала создается схема криптографии с открытым ключом, устойчивая только к CPA (атака на основе выбранного открытого текста) — Kyber.CPAPKE. Затем к ней применяется мощный криптографический метод, известный как преобразование Фудзисаки-Окамото (Fujisaki-Okamoto Transform), благодаря которому схема превращается в полноценный KEM, устойчивый к CCA (адаптивная атака на основе выбранного шифротекста).

Основной механизм шифрования и дешифрования CPAPKE выглядит следующим образом:

Генерация ключей (Key Generation):
- Из случайного значения сида генерируется матрица $A \in R_q^{k \times k}$ в домене NTT. Используется модуль $q = 3329$.
- Из центрированного биномиального распределения (CBD) берутся секретный вектор $\vec{s}$ и вектор ошибок $\vec{e}$ с малыми коэффициентами.
- Вычисляется $\vec{t} = A\vec{s} + \vec{e}$. Открытый ключ — это $(A, \vec{t})$, секретный ключ — $\vec{s}$. (На практике $A$ раскрывается в виде сида для экономии пропускной способности).
Шифрование (Encryption):
- 32-байтное сообщение $m$ (материал для симметричного ключа), которым необходимо обменяться, кодируется в многочлен.
- Генерируются новый случайный вектор $\vec{r}$ и малые ошибки $\vec{e_1}, e_2$.
- $\vec{u} = A^T\vec{r} + \vec{e_1}$
- $v = \vec{t}^T\vec{r} + e_2 + \lfloor q/2 \rceil \cdot m$
- Шифротекстом является пара $(\vec{u}, v)$.
Дешифрование (Decryption):
- Получатель вычисляет $v - \vec{s}^T\vec{u}$.
- При разложении формулы получаем: $v - \vec{s}^T\vec{u} = (\vec{t}^T\vec{r} + e_2 + \lfloor q/2 \rceil \cdot m) - \vec{s}^T(A^T\vec{r} + \vec{e_1})$
- Подставив $\vec{t} = A\vec{s} + \vec{e}$, главный член $\vec{s}^TA^T\vec{r}$ сокращается.
- Остается: $\lfloor q/2 \rceil \cdot m + (\vec{e}^T\vec{r} + e_2 - \vec{s}^T\vec{e_1})$.
- Члены в скобках — это «произведения и суммы малых ошибок», поэтому в целом они остаются достаточно малыми (шумом). Следовательно, путем проверки того, близок ли каждый коэффициент к $0$ или к $q/2$, можно полностью и безошибочно восстановить биты (0 или 1) исходного сообщения $m$.

Главными преимуществами Kyber являются его потрясающая скорость обработки и умеренный размер ключа. Для Kyber768 размер открытого ключа составляет 1184 байта, а размер шифротекста — 1088 байт. И хотя они больше по сравнению с RSA-3072 (размер ключа около 384 байт), они помещаются в MTU (Maximum Transmission Unit) современных интернет-сетей без фрагментации пакетов и практически не влияют на сетевые задержки.

6. CRYSTALS-Dilithium (ML-DSA): Универсальная цифровая подпись на основе решеток

В процессе стандартизации цифровых подписей соревновались алгоритмы с различными концептуальными дизайнами в рамках подхода криптографии на решетках. Среди них в качестве универсальной цифровой подписи FIPS 204 (ML-DSA) был выбран CRYSTALS-Dilithium.

6.1. Парадигма Fiat-Shamir with Aborts

Dilithium, как и Kyber, является схемой цифровой подписи на основе Module-LWE (а также задачи Module-SIS). В основе его дизайна лежит критически важная парадигма «Fiat-Shamir with Aborts (Преобразование Фиата-Шамира с прерываниями)».

Само по себе преобразование Фиата-Шамира является стандартным методом для преобразования интерактивного протокола доказательства с нулевым разглашением в неинтерактивную цифровую подпись. Доказывающий (подписант) генерирует обязательство $y$, вычисляет $w = Ay$ и пропускает через хеш-функцию, чтобы получить случайный запрос $c$, и вычисляет ответ $z = y + cs$.

Однако при простом применении этого метода в криптографии на решетках распределение ответа $z$ искажается в зависимости от значения секретного ключа $s$, что приводит к критической проблеме (математическая утечка типа побочного канала), когда атакующий, анализируя множество подписей, постепенно получает информацию о секретном ключе $s$.

Команда разработчиков Dilithium (Любашевский и др.) внедрила метод «выборки с отклонением (Rejection Sampling)», при котором, если коэффициенты вычисленного результата подписи $z$ не попадают в заранее заданный безопасный пороговый диапазон, весь процесс подписания прерывается (Abort), и вычисления начинаются заново с новым случайным числом $y$.

В результате окончательно выдаваемая подпись $z$ имеет абсолютно равномерное распределение, не зависящее от секретного ключа, что математически полностью предотвращает утечку информации.

6.2. Преимущества Dilithium и простота реализации

Огромное преимущество дизайна Dilithium заключается в том, что в процессе создания подписи вообще не используется сложная «выборка из гауссовского распределения» или «вычисления с плавающей запятой». Поскольку алгоритм может быть реализован с использованием только выборки из равномерного распределения, простых модульных целочисленных вычислений, NTT и хеш-функций (SHAKE), его легко безопасно реализовать за константное время (Constant-time) в самых разных средах — от встроенных микроконтроллеров до облачных серверов. Это также обеспечивает надежную защиту от физических атак по сторонним каналам, таких как атаки по времени.

7. FALCON (FN-DSA): Ультракомпактная решеточная подпись

NIST выбрал FALCON (Fast-Fourier Lattice-based Compact Signatures over NTRU) как еще одного кандидата на стандартизацию подписи на решетках, обладающего характеристиками, отличными от Dilithium (в настоящее время разрабатывается черновик стандарта FN-DSA).

7.1. Решетки NTRU и гауссовская выборка

Главной особенностью FALCON является использование исторически более старых (существующих с 1996 года) решеток NTRU (N-th degree Truncated polynomial Ring Units) вместо задачи LWE. Кроме того, в нем используется парадигма «Hash-and-Sign (Хешируй и подписывай)», основанная на фреймворке GPV (Gentry-Peikert-Vaikuntanathan).

В Hash-and-Sign хеш сообщения служит целевой точкой в пространстве, а подписью является нахождение ближайшей к ней точки решетки (приближенное решение задачи нахождения ближайшего вектора). Для этого требуется выборка точек в соответствии с дискретным гауссовским распределением, используя секретный ключ — «качественный короткий базис».

FALCON радикально ускорил эти тяжелые вычисления с помощью метода, известного как «Быстрая ортогонализация Фурье (Fast Fourier Orthogonalization: FFO)».

7.2. Преимущества и недостатки FALCON

Огромным преимуществом FALCON является его чрезвычайно маленький размер подписи и открытого ключа (компактность). В то время как размер подписи Dilithium3 составляет около 3309 байт, размер подписи FALCON-512 — всего около 666 байт. Открытый ключ также очень мал — 897 байт. Это делает его настоящим спасением в условиях с жесткими ограничениями пропускной способности, для IoT-устройств и специфических сетевых протоколов.

Однако существует и серьезный недостаток. Поскольку при генерации подписи требуется дискретная гауссовская выборка, включающая сложные вычисления с плавающей запятой (64-bit IEEE 754), реализовать ее за константное время (Constant-time implementation) для предотвращения утечек по времени крайне сложно, и размер кода становится огромным. По этой причине FALCON позиционируется как мощный специализированный алгоритм для конкретных применений, в отличие от универсального Dilithium.

graph LR A["Требования к цифровой подписи"] --> B{"Каковы главные ограничения?"} B -->|"Простота реализации, универсальность, простота реализации константного времени"| C["Dilithium (ML-DSA)"] B -->|"Минимизация полосы пропускания связи, компактность размера данных"| D["FALCON (FN-DSA)"] C --> E["Универсальные сертификаты TLS, электронная подпись программного обеспечения"] D --> F["Протоколы со строгими ограничениями на размер пакета, специальные среды"]

8. SPHINCS+ (SLH-DSA): Подпись на основе хешей с высочайшим уровнем безопасности

На случай худшего сценария, при котором безопасность решеточной криптографии будет нарушена в будущем из-за прорыва гениальных математиков, NIST разработал стандарт FIPS 205 (SLH-DSA), или SPHINCS+, с совершенно иным подходом.

SPHINCS+ относится к категории подписей на основе хешей. Его безопасность опирается исключительно на один факт: «используемая криптографическая хеш-функция (например, SHA-2 или SHAKE256) обладает устойчивостью к коллизиям и односторонностью». Поскольку он не зависит от математических задач с определенной алгебраической структурой, таких как LWE или факторизация, какие бы мощные квантовые алгоритмы ни появились в будущем, им можно будет противостоять простым увеличением длины выхода хеш-функции. Это обеспечивает чрезвычайно надежную безопасность (наиболее консервативную защиту).

8.1. Архитектура без сохранения состояния (stateless) с использованием WOTS+ и FORS

История подписей на основе хешей давняя и восходит к подписи Лэмпорта и одноразовой подписи Винтерница (WOTS) в 1970-х годах. Это были одноразовые ключи, позволяющие «безопасно подписать только один раз». Чтобы сделать возможным их многократное использование, были разработаны алгоритмы XMSS (eXtended Merkle Signature Scheme) и LMS, которые с помощью деревьев Меркла (Merkle Tree) управляли бесчисленным количеством одноразовых ключей под одним корневым хешем.

Однако у XMSS и LMS был серьезный недостаток — они были «stateful (с сохранением состояния)». При каждом создании подписи необходимо было строго фиксировать в энергонезависимой памяти индекс («какой по счету одноразовый ключ был использован»). Если в результате восстановления снимка виртуальной машины состояние откатывалось назад, и один и тот же ключ использовался дважды, секретный ключ мгновенно утекал, и система рушилась.

SPHINCS+ решает эту проблему управления состоянием и является stateless (не требующей сохранения состояния) подписью на основе хешей. В основе его технологии лежит следующая комбинация:

WOTS+ (Winternitz One-Time Signature Plus): Базовая одноразовая подпись.
FORS (Forest of Random Subsets): Технология подписи с ограниченным числом использований (Few-Time Signature). Сохраняет безопасность, даже если один и тот же ключ используется несколько раз.
Hyper-Tree (Гипердерево): Гигантская структура, состоящая из многоуровнево вложенных деревьев Меркла.

При создании подписи в SPHINCS+ вместо управления состоянием используется псевдослучайное число для случайного выбора одного из огромного числа ключей FORS в основании Hyper-Tree. Поскольку количество листьев дерева астрономически велико, вероятность случайного выбора одного и того же ключа дважды (коллизия) ничтожно мала, что в итоге позволяет реализовать подход без сохранения состояния.

Единственным и самым большим недостатком SPHINCS+ является очень большой размер подписи. В зависимости от параметров он может достигать от 17 КБ до 49 КБ, а скорость генерации подписи значительно ниже по сравнению с решеточной криптографией. Поэтому ожидается, что алгоритм будет применяться не в повседневном веб-браузинге, а в сценариях, требующих долгосрочной абсолютной безопасности и не требующих частого подписания, например, в подписях обновлений ПО или сертификатах корневых удостоверяющих центров (CA).

9. Криптография на основе кодов: старый добрый гигант Classic McEliece

В процессе стандартизации NIST важным подходом, который все еще оценивается в качестве финалиста Раунда 4, является алгоритм Classic McEliece, относящийся к криптографии на основе кодов.

Предложенный Робертом МакЭлисом (Robert McEliece) в 1978 году, этот алгоритм является одним из старейших в истории криптографии с открытым ключом, наряду с RSA. Он использует алгебро-геометрические коды, называемые «кодами Гоппы», и основан на «задаче синдромного декодирования (Syndrome Decoding Problem)»: к сообщению преднамеренно добавляется ошибка (вектор шума) для его шифрования, а восстановить исходное сообщение, удалив ошибку с помощью мощных возможностей исправления, может только тот, у кого в качестве секретного ключа есть проверочная матрица кода Гоппы.

$$ \vec{c} = \vec{m} G + \vec{e} $$

(где $G$ — скремблированная порождающая матрица, являющаяся открытым ключом, а $\vec{e}$ — вектор ошибки веса $t$)

Удивительно в Classic McEliece то, что прошло более 40 лет с момента его создания, он подвергался интенсивным исследованиям по взлому криптографами со всего мира, но при этом ни разу не была обнаружена его фундаментальная уязвимость — это колоссальный послужной список. Из всех алгоритмов PQC он обладает самой «проверенной временем надежной безопасностью».

Кроме того, есть преимущество: размер шифротекста очень мал (всего около 100–200 байт). Однако у него есть критический недостаток — размер открытого ключа измеряется мегабайтами (МБ). Даже на самом низком уровне безопасности (эквивалентно AES-128) открытый ключ составляет около 250 КБ, а на высоких уровнях превышает 1 МБ.

По этой причине он совершенно не подходит для таких сценариев, как рукопожатие TLS, где открытый ключ передается по сети при каждом соединении. Однако для обмена предварительно общими ключами VPN, жесткого кодирования открытых ключей в прошивку или в спутниковой связи — особых случаях, где открытые ключи могут быть предварительно размещены в системе, он продолжает рассматриваться как крайне перспективный вариант благодаря своей высокой безопасности.

10. Сравнение производительности и компромиссы алгоритмов PQC

В таблице ниже приведены характеристики производительности основных алгоритмов, обсуждавшихся до сих пор, на общих уровнях безопасности (эквивалентно NIST Level 2–3, уровень AES-128–192).

Алгоритм (Стандартное имя)	Категория	Математическая основа	Размер открытого ключа	Размер секретного ключа	Размер шифротекста/подписи	Тенденция скорости обработки	Основные характеристики и применения
Kyber768 (ML-KEM)	KEM	Module-LWE	1,184 Bytes	2,400 Bytes	1,088 Bytes	Очень высокая	Лучший баланс размера ключа и скорости. Универсальный стандарт KEM для TLS 1.3 и др.
Dilithium3 (ML-DSA)	Подпись	Module-LWE	1,952 Bytes	4,032 Bytes	3,309 Bytes	Генерация и верификация быстрые	Простая реализация. Универсальный стандарт цифровой подписи.
FALCON-512 (FN-DSA)	Подпись	Решетка NTRU	897 Bytes	1,281 Bytes	666 Bytes	Медленная генерация подписи, сверхбыстрая верификация	Минимальный размер подписи. Требует вычислений с плавающей запятой. Для встраиваемых систем и IoT.
SPHINCS+ (SLH-DSA)	Подпись	Хеш-функция	32 Bytes	64 Bytes	Ок. 17,000 Bytes	Очень медленная генерация	Риск математического взлома близок к нулю. Для высокосекретных применений (корневые сертификаты).
Classic McEliece	KEM	Код Гоппы	Ок. 1.04 MB	13,568 Bytes	188 Bytes	Быстрая инкапсуляция	40 лет доказанной безопасности. Огромный открытый ключ. Для сред с возможностью хардкодинга.

Понимание компромиссов

В мире PQC не существует единого волшебного алгоритма, который был бы «маленьким, быстрым и имел безупречные математические гарантии».

Стандарт интернета (Kyber / Dilithium): Предлагает наилучший баланс производительности и лучше всего подходит для прозрачной замены (drop-in replacement) текущих RSA/ECC.
Предельный консерватизм (SPHINCS+): Выбирается в тех случаях, когда требуется абсолютная страховка от будущих математических прорывов, даже ценой увеличения размера данных и снижения скорости.
Для особых сред (FALCON / Classic McEliece): Специализированное оружие, выбираемое в зависимости от ограничений среды — например, при крайне узкой полосе пропускания связи или при возможности предварительного распространения ключей.

11. Проблемы практического применения и реалистичное решение: «Гибридная криптография»

С завершением стандартизации NIST и официальным выпуском стандартов FIPS, в IT-инфраструктуре по всему миру стартовал полномасштабный переход на PQC (PQC-миграция). Браузер Google Chrome, сервис Apple iMessage (протокол PQ3) и сетевые провайдеры вроде Cloudflare уже внедрили поддержку PQC в свои протоколы и начали их практическое использование.

Однако полный и резкий переход на новые криптографические алгоритмы сопряжен с очень высокими рисками. Если предположить, что через несколько лет какой-нибудь гениальный математик обнаружит критический метод атаки на решеточные алгоритмы, такие как Kyber (математический дефект, позволяющий взломать его даже на классическом компьютере), то вся система, зависящая от него, мгновенно окажется уязвимой.

Реалистичным и рекомендуемым подходом для смягчения риска этой неопределенности является «Гибридная криптография (Hybrid Cryptography)».

В гибридной криптографии для обмена ключами одновременно используются как проверенные годами классические алгоритмы (например, эллиптическая кривая X25519), так и новые PQC-алгоритмы (например, Kyber768). Каждый алгоритм генерирует компоненты симметричного ключа независимо друг от друга, а затем эти два компонента смешиваются с помощью безопасной функции формирования ключа (KDF) для создания окончательного мастер-ключа.

graph TD A["Клиент"] -->|① Отправляет открытый ключ X25519 + открытый ключ Kyber| B["Сервер"] B -->|② Отправляет общий ключ X25519 + инкапсулированный шифротекст Kyber| A A --> C{"Вывод мастер-ключа (KDF)"} B --> C C -->|Вход: (симметричный ключ X25519) || (симметричный ключ Kyber)| D["Защищенный ключ связи (AES-256 / ChaCha20)"] D -->|"Устойчивость к квантовым угрозам И классическим уязвимостям"| E["Защищенная гибридная зашифрованная связь (TLS 1.3)"]

Это обеспечивает надежную двухуровневую безопасность: «в случае появления квантового компьютера и взлома ECC, Kyber защитит связь», и наоборот: «в случае обнаружения неизвестного математического дефекта в Kyber, ECC защитит связь». Ярким примером является проект стандарта X25519MLKEM768 (ранее X25519Kyber768), разрабатываемый в IETF; в настоящее время обмен данными между современными веб-браузерами и серверами осуществляется именно по этому гибридному методу.

Кроме того, в системном проектировании концепция Crypto Agility (криптографической гибкости) — архитектура, которая «не слишком зависит от конкретного криптографического алгоритма и может быстро переключиться на другой алгоритм в случае его компрометации (например, от Kyber к McEliece или от Dilithium к SPHINCS+)» — станет обязательным требованием при разработке будущих систем.

12. Заключение: Новые горизонты криптографии

Квантовый компьютер, технология-мечта человечества, по иронии судьбы стал величайшей угрозой, способной разрушить математические барьеры «факторизации» и «дискретного логарифмирования», на которые мы полагались долгие годы. Однако криптографы со всего мира не сдались и освоили более сложные и глубокие многомерные математические области, такие как теория решеток, деревья хеш-функций и коды, исправляющие ошибки, построив новый барьер в виде постквантовой криптографии (PQC).

Завершение стандартизации алгоритмов FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) и FIPS 205 (SLH-DSA) институтом NIST — это не финиш. Это лишь первый шаг в грандиозном путешествии PQC-миграции, которое продлится десятилетия. Для инженеров-программистов и системных архитекторов главной технической задачей в будущем станет то, как оптимально адаптировать сетевые протоколы и системы к «увеличению размера ключей» и «изменениям вычислительных затрат», вызванных этими новыми алгоритмами.

Битва между квантовыми компьютерами и криптографией — это захватывающая область, где наиболее интенсивно пересекаются математические поиски человечества и технологическая эволюция. Я надеюсь, что благодаря этой статье вы смогли глубоко понять красивую математическую теорию, стоящую за PQC, и удивительные механизмы каждого из алгоритмов, формирующих будущее кибербезопасности.

References:

NIST Post-Quantum Cryptography Standardization Program
FIPS 203: Module-Lattice-Based Key-Encapsulation Mechanism Standard
FIPS 204: Module-Lattice-Based Digital Signature Standard
FIPS 205: Stateless Hash-Based Digital Signature Standard

День, когда квантовые компьютеры станут практичными: текущее состояние в 2026 году

Fri, 11 Sep 2026 06:00:00 +0900

1. Введение: Насколько продвинулись квантовые компьютеры к 2026 году

По состоянию на 2026 год квантовые вычисления совершили решающий переход от “теоретической мечты” к “инженерной реальности”. По мере того, как ограничения устройств NISQ (Noisy Intermediate-Scale Quantum), которые были мейнстримом еще несколько лет назад, стали очевидны, исследовательские институты и технологические гиганты по всему миру взяли курс на реализацию “отказоустойчивых квантовых вычислений (FTQC: Fault-Tolerant Quantum Computing)”.

В этой статье мы глубоко погрузимся в текущее состояние квантовых компьютеров с учетом последних прорывов 2026 года. В частности, мы подробно рассмотрим квантовую коррекцию ошибок (поверхностный код), разницу между физическими и логическими кубитами, прогресс в топологических квантовых вычислениях, а также передовые достижения в сверхпроводящих и ионных ловушках.

2. Основы квантовых состояний и точность (Fidelity)

Кубит (Qubit), базовая единица квантового компьютера, в отличие от классического бита (0 или 1), может находиться в состоянии суперпозиции 0 и 1 (Superposition). Состояние одиночного кубита представляется в виде вектора в гильбертовом пространстве следующим образом:

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

Где $\alpha$ и $\beta$ — комплексные амплитуды вероятности, удовлетворяющие следующему условию нормировки:

$$ |\alpha|^2 + |\beta|^2 = 1 $$

Чрезвычайно важным показателем при оценке производительности квантовых вычислений является точность (Fidelity). Точность $F$ между идеальным квантовым состоянием $|\psi\rangle$ и фактической матрицей плотности $\rho$, которая деградировала из-за шума и стала смешанным состоянием, определяется следующим образом:

$$ F(\rho, |\psi\rangle) = \langle \psi | \rho | \psi \rangle $$

В 2026 году точность двухкубитных вентилей (например, вентилей CNOT и CZ) в сверхпроводящих системах стала стабильно превышать барьер в 99,99% (так называемые “четыре девятки”). Это значение значительно превышает порог коррекции ошибок поверхностного кода (около 99%) и является одним из крупнейших прорывов на пути к практическому применению.

3. Пределы эры NISQ и смена парадигмы к FTQC

Период со второй половины 2010-х до первой половины 2020-х годов был эрой NISQ (Noisy Intermediate-Scale Quantum) — устройств от нескольких десятков до сотен кубитов без коррекции ошибок. Однако у NISQ были четкие ограничения.

По мере увеличения глубины схемы (Depth) ошибки накапливаются экспоненциально, что делает невозможным получение значимых результатов вычислений. Общая вероятность успеха $P_{success}$ при глубине схемы $D$ затухает относительно точности одиночного вентиля $f$ и количества вентилей $N$ следующим образом:

$$ P_{success} \approx f^N $$

Если $f = 0.99$ и применяется 1000 вентилей, то $0.99^{1000} \approx 4.3 \times 10^{-5}$, и результат почти полностью теряется в случайном шуме. По этой причине в 2026 году ресурсы сосредоточены на создании логических кубитов (Logical Qubit), а не на прямом масштабировании алгоритмов NISQ (таких как VQE или QAOA).

4. Квантовая коррекция ошибок и логические кубиты: передовая линия поверхностного кода

Квантовая коррекция ошибок (QEC: Quantum Error Correction) — это технология, которая кодирует несколько “физических кубитов” для создания одного “логического кубита”, обнаруживая и исправляя ошибки. В настоящее время наиболее перспективным считается поверхностный код (Surface Code).

4.1 Структура поверхностного кода (Surface Code)

В поверхностном коде кубиты располагаются в виде двумерной решетки. Кубиты данных (хранящие фактическую информацию) и кубиты измерения (для измерения синдрома) располагаются в шахматном порядке.

graph TD A["Кубит данных (D1)"] --- B["Кубит измерения (M1)"] B --- C["Кубит данных (D2)"] C --- D["Кубит измерения (M2)"] D --- E["Кубит данных (D3)"] B --- F["Кубит данных (D4)"] D --- G["Кубит данных (D5)"] style A fill:#e1f5fe,stroke:#039be5 style C fill:#e1f5fe,stroke:#039be5 style E fill:#e1f5fe,stroke:#039be5 style F fill:#e1f5fe,stroke:#039be5 style G fill:#e1f5fe,stroke:#039be5 style B fill:#fff3e0,stroke:#fb8c00 style D fill:#fff3e0,stroke:#fb8c00

Используя операторы стабилизатора $S_x$ и $S_z$, постоянно отслеживаются перевороты битов (X-ошибки) и перевороты фазы (Z-ошибки).

$$ S_x = \prod_{i \in \text{star}} X_i, \quad S_z = \prod_{j \in \text{plaquette}} Z_j $$

Важным достижением 2026 года стало полное преодоление “точки безубыточности (Break-even point)”. Иными словами, шум, устраняемый коррекцией ошибок, стал больше, чем шум, вызываемый дополнительными схемами коррекции, и срок жизни логических кубитов стал на несколько порядков превышать срок жизни физических кубитов.

4.2 Цикл квантовой коррекции ошибок

Коррекция ошибок работает как непрерывный цикл обратной связи.

sequenceDiagram participant D as "Кубиты данных" participant M as "Вспомогательные/Измерительные кубиты" participant C as "Классический контроллер" loop "Цикл извлечения синдрома (около 1 микросекунды)" D->>M: "Запутывание (CNOT/CZ)" M->>C: "Измерение состояния (Синдром)" C->>C: "Декодирование синдрома (например, Minimum Weight Perfect Matching)" C-->>D: "Применение коррекции Паули (при необходимости)" end

В настоящее время создана технология, позволяющая выполнять это классическое декодирование (анализ синдрома) на FPGA или специализированных ASIC за наносекунды, и коррекция ошибок в реальном времени перешла на стадию практического применения.

5. Эволюция аппаратной архитектуры (Версия 2026 года)

В 2026 году квантовое аппаратное обеспечение развивается в основном по трем направлениям: “сверхпроводящие системы”, “ионные ловушки” и “топологические системы”.

5.1 Интеграция сверхпроводящих кубитов

Сверхпроводящие системы — область, в которой лидируют IBM и Google; в ней доминируют трансмонные (Transmon) кубиты, использующие джозефсоновские переходы. К 2026 году были созданы мегачипы, интегрирующие от нескольких тысяч до десяти тысяч физических кубитов на одном кристалле.

Особо следует отметить создание межмодульных квантовых коммуникаций (Quantum Interconnects). Квантовая телепортация между чипами с использованием микроволновых фотонов была реализована на коммерческом уровне, что позволило обойти ограничения по размеру одного рефрижератора растворения.

5.2 Двумерное масштабирование ионных ловушек и оптические межсоединения

Системы ионных ловушек (возглавляемые Quantinuum, IonQ и др.) используют внутренние энергетические состояния ионов, левитирующих в вакууме, в качестве кубитов. По сравнению со сверхпроводящими системами их преимущество заключается в чрезвычайно длительном времени когерентности T1/T2 и возможности связи “каждый с каждым” (All-to-All Connectivity).

Прорывом 2026 года стал переход архитектуры QCCD (Quantum Charge Coupled Device) в двумерный формат и высокоскоростная генерация запутанности между несколькими ловушками с использованием фотонных межсоединений. Это кардинально улучшило “низкую скорость вентилей” и “масштабируемость”, которые были слабыми местами ионных ловушек.

5.3 Топологические квантовые вычисления: контроль энионов

Топологические квантовые вычисления, долгое время считавшиеся теоретическими, в 2026 году наконец перешли на стадию экспериментальной проверки. Этот метод, продвигаемый Microsoft и другими, использует неабелевы энионы (Non-Abelian Anyons), называемые “нулевыми модами Майораны (Majorana Zero Modes)”.

Квантовые вентили выполняются с помощью операции “плетения (Braiding)”, которая меняет местами позиции энионных частиц.

$$ |\psi_{final}\rangle = B_{ij} |\psi_{initial}\rangle $$

Где $B_{ij}$ — оператор плетения. Топологический подход по своей сути устойчив к шуму окружающей среды (аппаратный уровень отказоустойчивости), поскольку хранение информации зависит от топологии всего “узла”, а не от локального состояния частиц. В 2026 году впервые в мире было подтверждено создание топологических логических кубитов с высокой точностью, что привлекло внимание как мощный короткий путь к FTQC.

6. Дорожная карта и перспективы практического применения

Чтобы квантовые компьютеры могли по-настоящему продемонстрировать квантовое превосходство (Quantum Advantage), превосходя классические компьютеры (суперкомпьютеры) в таких областях, как “вычислительная химия”, “материаловедение” и “финансовое моделирование”, требуются тысячи логических кубитов.

gantt title "Дорожная карта квантовых вычислений (пересмотрена в 2026 году)" dateFormat YYYY axisFormat %Y section "Эра NISQ" "Шумные кубиты (<1000)" :done, 2018, 2024 section "Ранний FTQC" "Демонстрация точки безубыточности" :done, 2024, 2026 "Сотни логических кубитов" :active, 2026, 2028 section "Полномасштабный FTQC" "1000+ логических кубитов (Коммерческое применение)" : 2028, 2030 "Универсальный отказоустойчивый квантовый компьютер" : 2030, 2035

6.1 Текущие проблемы и будущее

Крупнейшими проблемами по состоянию на 2026 год являются охлаждающая способность гигантских криостатов (рефрижераторов растворения) для поддержания сверхнизких температур, а также проводка (узкое место ввода/вывода), соединяющая устройства управления при комнатной температуре и криогенные квантовые чипы. В ответ на это ускоренными темпами разрабатываются чипы контроллеров CMOS (Cryo-CMOS), работающие в криогенных условиях.

Заключение

2026 год войдет в историю квантовых компьютеров как “первый год масштабирования логических кубитов”. Благодаря демонстрации алгоритмов коррекции ошибок, модуляризации аппаратного обеспечения и стремительному прогрессу топологического подхода, “день практического применения” больше не является далеким будущим, а стал конкретным рубежом ближайших нескольких лет. Для разработчиков квантовых алгоритмов и компаний сейчас самое время инвестировать в решение задач с помощью квантовых технологий.

Эта статья написана на основе новейших исследовательских работ и отраслевых тенденций в области квантовых вычислений по состоянию на 2026 год.