Квантовый Компьютер on kenji.blog

【Полное понимание через формулы】 Почему сильнейший классический «GNFS» проигрывает квантовым алгоритмам? Смена парадигмы в факторизации

Sun, 06 Sep 2026 12:00:00 +0900

Информационная безопасность в современном интернет-обществе защищена криптографией с открытым ключом, такой как RSA. Основа безопасности RSA опирается на тот факт, что “факторизация огромных составных чисел вычислительно крайне сложна” .

В этой статье мы раскроем математический механизм “Общего метода решета числового поля” (GNFS) — самого мощного алгоритма факторизации для классических компьютеров, и подробно разберем, почему он полностью побежден “Алгоритмом Шора” , открытым Питером Шором. Мы глубоко исследуем эту смену парадигмы с помощью математических формул и концептуальных схем.

1. Подход к факторизации в классических вычислениях: развитие метода факторизации Ферма

Задача факторизации — это задача поиска простых чисел $p, q$, таких что $N = p \times q$ для заданного составного числа $N$.

Основная идея сводится к поиску нетривиальных $x, y$, удовлетворяющих следующему сравнению:

$$ x^2 \equiv y^2 \pmod N $$

Если мы преобразуем это, то получим:

$$ x^2 - y^2 \equiv 0 \pmod N $$ $$ (x - y)(x + y) \equiv 0 \pmod N $$

Здесь, если $x \not\equiv \pm y \pmod N$, мы можем получить нетривиальный делитель $N$, вычислив $\gcd(x-y, N)$ или $\gcd(x+y, N)$. Этот факт лежит в основе современных алгоритмов факторизации, таких как GNFS.

2. Сильнейший классический алгоритм: Глубины “Общего метода решета числового поля” (GNFS)

“GNFS” — это самый быстрый алгоритм факторизации для классических компьютеров из известных на сегодняшний день. Его временная сложность требует субэкспоненциального (Sub-exponential) времени.

Сложность GNFS

Если предположить, что количество цифр $N$ равно $b = \log_2 N$, сложность GNFS может быть выражена следующим образом:

$$ O\left( \exp \left( \left(\frac{64}{9} b\right)^{1/3} (\log b)^{2/3} \right) \right) $$

Как видно из этой формулы, сложность представляет собой не полиномиальное время, а “субэкспоненциальное время” , что лишь немного медленнее экспоненциального. Тем не менее, с увеличением количества цифр время вычислений возрастает астрономически.

Математический механизм GNFS

GNFS можно условно разделить на 4 этапа:

Выбор многочленов (Polynomial Selection)
Просеивание (Sieving)
Редукция матрицы (Matrix Reduction)
Вычисление квадратного корня (Square Root)

2.1. Выбор многочленов и алгебраическое числовое поле

Сначала выбираются неприводимые многочлены $f(x)$ и $g(x)$ с целыми коэффициентами. Они задаются так, чтобы иметь общий корень $m$ по модулю $N$. То есть:

$$ f(m) \equiv 0 \pmod N $$ $$ g(m) \equiv 0 \pmod N $$

Обычно $g(x)$ выбирается как многочлен первой степени $g(x) = x - m$. Если корень $f(x)$ обозначить как $\alpha$, образуется “алгебраическое числовое поле” (Number Field) $\mathbb{Q}(\alpha)$. Мы сравниваем операции в кольце $\mathbb{Q}(\alpha)$ и операции в обычном кольце целых чисел $\mathbb{Z}$ посредством гомоморфизма $\phi: \alpha \mapsto m$.

2.2. Просеивание (Sieving)

Далее мы ищем большое количество пар взаимно простых целых чисел $(a, b)$. Цель — найти такие пары, чтобы оба следующих значения были “B-гладкими” (B-smooth, то есть состоящими только из относительно малых простых множителей):

$a - bm$ (значение в кольце целых чисел)
$b^d f(a/b)$ (соответствует норме $N(a - b\alpha)$ в алгебраическом поле)

Здесь используется метод быстрого поиска, называемый “Решето” (Sieve). Это позволяет эффективно извлекать пары $(a, b)$, удовлетворяющие условиям, из огромного числа кандидатов.

2.3. Редукция матрицы (Linear Algebra over GF(2))

Из собранных пар $(a, b)$ мы формируем векторы показателей степени и находим левое нуль-пространство огромной разреженной матрицы над $\mathbb{F}_2$ (поле, содержащее только 0 и 1).

Мы находим вектор решения $v$ так, чтобы соотношения $ \prod (a_i - b_i m) $ и $ \prod (a_i - b_i \alpha) $ становились полными квадратами. Это не что иное, как решение системы линейных уравнений:

$$ M \mathbf{x} \equiv \mathbf{0} \pmod 2 $$

Здесь используются продвинутые алгоритмы численных вычислений, такие как алгоритм блочного Ланцоша (Block Lanczos) или блочного Видемана (Block Wiedemann).

2.4. Вычисление квадратного корня

Наконец, мы извлекаем квадратный корень как в алгебраическом числовом поле, так и в кольце целых чисел, что приводит к соотношению $x^2 \equiv y^2 \pmod N$. Затем мы вычисляем $\gcd(x-y, N)$ и получаем делитель.

3. Прорыв квантовых вычислений: “Алгоритм Шора”

В то время как GNFS требует субэкспоненциального времени, “Алгоритм Шора” , опубликованный Питером Шором в 1994 году, может решить эту задачу за “полиномиальное время” с использованием квантового компьютера.

Сложность Алгоритма Шора

Если предположить, что количество кубитов равно $O(\log N)$, то временная сложность составит:

$$ O((\log N)^3) $$

Это означает, что экспоненциального взрыва относительно количества битов не происходит. Это поразительный результат, когда факторизация огромных составных чисел, время вычисления которых в “классических вычислениях” превышает возраст Вселенной, может быть решена от нескольких часов до нескольких дней с помощью “квантовых вычислений” .

Обзор Алгоритма Шора: Сведение к задаче поиска периода

Алгоритм Шора искусно сводит задачу факторизации к “задаче поиска периода” .

Выберите случайное целое число $a$, взаимно простое с $N$ ($1 < a < N$).
Определите функцию $f(x) = a^x \bmod N$.
Найдите период $r$ функции $f(x)$, то есть наименьшее положительное целое число $r$ такое, что $a^r \equiv 1 \pmod N$.
Если $r$ четное, проверьте, не выполняется ли $a^{r/2} \not\equiv -1 \pmod N$, и вычислите $\gcd(a^{r/2} \pm 1, N)$ для получения простого делителя.

Этот шаг 3, то есть “нахождение периода $r$” , является узким местом, требующим экспоненциального времени на классическом компьютере. Однако квантовый компьютер решает это мгновенно, используя “квантовую суперпозицию” и “Квантовое преобразование Фурье” (QFT).

4. Квантовое преобразование Фурье (QFT) и извлечение периода

Давайте подробнее рассмотрим математические операции над квантовыми состояниями, которые лежат в основе Алгоритма Шора.

4.1. Генерация квантовой суперпозиции

Сначала подготовьте 2 квантовых регистра. Регистр 1 хранит состояние суперпозиции входных данных $x$, а регистр 2 хранит результат вычисления функции $f(x)$. Примените преобразование Адамара (Hadamard Transform) к начальному состоянию $|0\rangle |0\rangle$, чтобы создать суперпозицию всех возможных значений $x$.

$$ |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |0\rangle $$

(где $Q$ — это степень двойки, удовлетворяющая $N^2 \le Q < 2N^2$)

Далее используйте квантовый оракул $U_f$ для вычисления $f(x) = a^x \bmod N$ и сохраните результат в регистре 2.

$$ |\psi_2\rangle = U_f |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |a^x \bmod N\rangle $$

Предположим теперь, что регистр 2 измеряется (теоретически, даже если он не измеряется, математическая структура та же). Если наблюдается некоторое значение $y = a^{x_0} \bmod N$, состояние регистра 1 коллапсирует в суперпозицию всех $x$, удовлетворяющих $f(x) = y$. Если предположить, что период равен $r$, такие $x$ будут иметь вид $x_0, x_0 + r, x_0 + 2r, \dots$

$$ |\psi_3\rangle = \frac{1}{\sqrt{M}} \sum_{k=0}^{M-1} |x_0 + kr\rangle $$

(где $M \approx Q/r$ — количество членов)

Это состояние содержит информацию о периоде $r$, но прямое измерение даст лишь случайное $x_0 + kr$, и период $r$ останется неизвестным. Здесь вступает в дело QFT.

4.2. Применение Квантового преобразования Фурье (QFT)

QFT — это операция, применяющая дискретное преобразование Фурье к амплитудам квантового состояния. Действие QFT на состояние $|x\rangle$ определяется следующим образом:

$$ \text{QFT} |x\rangle = \frac{1}{\sqrt{Q}} \sum_{y=0}^{Q-1} e^{2\pi i \frac{xy}{Q}} |y\rangle $$

Когда это применяется к $|\psi_3\rangle$, возникает фазовая интерференция (квантовая интерференция).

$$ |\psi_4\rangle = \text{QFT} |\psi_3\rangle = \frac{1}{\sqrt{MQ}} \sum_{y=0}^{Q-1} \sum_{k=0}^{M-1} e^{2\pi i \frac{(x_0 + kr)y}{Q}} |y\rangle $$

Если мы раскроем сумму в этой формуле, появится следующая часть:

$$ \sum_{k=0}^{M-1} e^{2\pi i \frac{kry}{Q}} $$

Сумма этой геометрической прогрессии взаимно усиливается (Конструктивная интерференция, Constructive Interference) только когда $ry/Q$ близко к целому числу, и взаимно уничтожается (Деструктивная интерференция, Destructive Interference) в других случаях.

Следовательно, состояние $|y\rangle$, измеряемое с высокой вероятностью, будет целым числом $y$, удовлетворяющим условию:

$$ \frac{y}{Q} \approx \frac{c}{r} $$

(где $c$ — некоторое целое число).

4.3. Определение периода через разложение в цепную дробь

После получения $y$ в результате измерения используйте классический компьютер для выполнения “разложения в цепную дробь” (Continued Fraction Expansion) $y/Q$. Это позволяет вычислить подходящую дробь $c/r$ для $y/Q$ и с высокой эффективностью извлечь кандидата на период $r$ из знаменателя.

5. Сравнение концептуальных моделей и смена парадигмы

Чтобы интуитивно понять разницу между GNFS и Алгоритмом Шора, приводится концептуальная схема с использованием нотации Mermaid.

Концептуальная схема Алгоритма Шора с использованием квантовой схемы

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


graph TD
 A[Начальное состояние: 0...0] --> B[Суперпозиция всех состояний через преобразование Адамара]
 B --> C[Операция модульного возведения в степень a^x mod N]
 C -->|Квантовая запутанность| D[Коллапс в состояние с периодичностью]
 D --> E[Квантовое преобразование Фурье QFT]
 E -->|Усиление вероятности через интерференцию| F[Измерение: Получение y]
 F --> G[Классическая обработка: Цепная дробь]
 G --> H[Обнаружение периода r]
 H --> I[Вычисление простых множителей N]

 style A fill:#f9f,stroke:#333,stroke-width:2px
 style E fill:#bbf,stroke:#333,stroke-width:2px
 style I fill:#bfb,stroke:#333,stroke-width:2px

Суть смены парадигмы

GNFS использует подход “поиска соотношений внутри математического пространства (алгебраического поля)” . Однако, поскольку пространство поиска расширяется экспоненциально относительно количества цифр, расшифровка становится практически невозможной при длине ключа свыше 2048 бит с использованием классических вычислительных мощностей (даже с учетом распараллеливания).

С другой стороны, алгоритм Шора использует “волновую природу квантовой интерференции” . Он оценивает все пути вычислений в состоянии суперпозиции одновременно, подавляет (ослабляет) ненужные ответы с помощью QFT и усиливает только амплитуду вероятности для правильного периода. При этом подход заключается не в поиске в пространстве, а в переходе в совершенно другое измерение: “позволить правильному ответу проявиться самому” .

6. Заключение

В этой статье мы глубоко сравнили математическую основу и структуру алгоритмов между “GNFS” , который является пределом классических вычислений, и “Алгоритмом Шора” , который демонстрирует мощь квантовых вычислений.

В то время как GNFS использует математические ухищрения, такие как выбор многочленов и вычисления с огромными матрицами, чтобы снизить сложность до субэкспоненциального времени, Алгоритм Шора достигает прямого прорыва до полиномиального времени, объединяя базовые принципы квантовой механики (суперпозицию и интерференцию) с математическим инструментом (QFT).

В настоящее время не существует отказоустойчивого квантового компьютера (FTQC) практического масштаба (тысячи кубитов), способного запустить Алгоритм Шора. Однако именно наличие этой теоретической и математической смены парадигмы является главной причиной ускорения глобального перехода к постквантовой криптографии (PQC: Post-Quantum Cryptography) во всем мире уже сегодня.

【Полный разбор】 Что такое квантовый компьютер? 〜Принципы вычислений с нуля〜

Sat, 05 Sep 2026 22:10:00 +0900

Введение: “Парадигмальный сдвиг в вычислениях” благодаря квантовым компьютерам

В последние годы не проходит и дня, чтобы мы не встретили термин «квантовый компьютер» в новостях или статьях о технологиях. Истории, похожие на научную фантастику, например, «завершение вычислений за несколько минут, на которые современным суперкомпьютерам потребовались бы тысячи лет» или «все современные криптографические технологии могут быть взломаны», звучат всё более правдоподобно. Гигантские ИТ-корпорации, такие как Google, IBM и Microsoft, а также университеты и стартапы по всему миру ожесточенно конкурируют за коммерциализацию этой технологии мечты.

Однако, если спросить: «Что же такое квантовый компьютер на самом деле?», мало кто сможет ответить точно. У многих сложился расплывчатый образ «волшебной коробки, способной рассчитывать все комбинации одновременно», но, строго говоря, это не так.

В этой статье мы максимально доступно и в то же время технически грамотно объясним с самых основ, чем квантовый компьютер принципиально отличается от классического (ПК и смартфонов, которыми мы обычно пользуемся), и как такие странные явления квантовой механики, как «Суперпозиция», «Квантовая запутанность» и «Квантовые вентили», используются в вычислениях. Прочитав эту статью до конца, вы сможете четко понять истинное величие квантовых компьютеров и их текущие проблемы.

Глава 1: Принципиальные отличия классических компьютеров от квантовых

Чтобы понять, как работают квантовые компьютеры, нам сначала нужно вспомнить, как работают «классические компьютеры», которыми мы пользуемся сегодня.

Сравнительная таблица: Классический компьютер против Квантового компьютера

Параметр	Классический компьютер	Квантовый компьютер
Базовая единица	Бит (0 или 1)	Кубит (суперпозиция 0 и 1)
Представление состояния	Детерминированное	Вероятностное (не определено до момента измерения)
Метод вычислений	Последовательная обработка (для распараллеливания нужны физические ядра)	Квантовый параллелизм (одновременное управление экспоненциальным числом состояний)
Сильные стороны	Арифметика, повседневная обработка данных	Факторизация простых чисел, расчеты в квантовой химии
Отказоустойчивость	Очень высокая	Очень низкая (требуется криогенная среда или исправление ошибок)

Мир классических компьютеров: «Биты» из нулей и единиц

Классические компьютеры представляют всю информацию либо как «0», либо как «1». Это называется бит (Bit) . Физически это выражается высоким (1) или низким (0) напряжением транзистора на полупроводниковом чипе. Фотографии высокого разрешения на вашем смартфоне, текст, который вы сейчас читаете, и ваши любимые видео на YouTube — в конечном итоге сводятся к огромному количеству «нулей и единиц». Вычисления — это не что иное, как процесс манипулирования этими строками нулей и единиц путем объединения базовых логических схем, таких как И (конъюнкция), ИЛИ (дизъюнкция) и НЕ (отрицание). Это очень надежный и детерминированный мир. Если входные данные одинаковы, вы всегда получите один и тот же результат.

Мир квантовых компьютеров: «Кубиты», которые одновременно и 0, и 1

С другой стороны, минимальная единица информации в квантовом компьютере называется кубитом (Qubit: Quantum bit) . Самая важная особенность кубита состоит в том, что он может находиться не только в состоянии «0» или «1», как классический бит, но и в «состоянии, где 0 и 1 смешаны с определенной вероятностью». Это называется «Суперпозиция (Superposition)» .

Например, если классический бит — это монета, лежащая орлом или решкой вверх, то кубит часто сравнивают с «монетой, которая непрерывно вращается в воздухе». Про вращающуюся монету нельзя сказать, орел это или решка, оба состояния накладываются друг на друга. И только в тот момент, когда монета падает на пол и останавливается (в квантовой механике это называется «измерением»), окончательно определяется, «орел» это или «решка».

Квантовые компьютеры включают это специфическое свойство микромира (квантовой механики), при котором «состояние не определено до наблюдения», непосредственно в процесс обработки информации.

Глава 2: Три квантово-механических свойства, в корне меняющих вычисления

Источник невероятной вычислительной мощности квантовых компьютеров заключается не в высокой тактовой частоте или малых размерах компонентов. Он кроется в использовании самих законов физики в качестве вычислительных ресурсов. Ключевыми являются следующие три квантово-механических явления.

1. Суперпозиция (Superposition) и экспоненциальный объем информации

Как упоминалось ранее, кубит может одновременно хранить состояния 0 и 1. Один кубит — это «суперпозиция 0 и 1», но что произойдет, если мы увеличим количество кубитов?

1 кубит: суперпозиция 2 состояний (0, 1)
2 кубита: суперпозиция 4 состояний (00, 01, 10, 11)
3 кубита: суперпозиция 8 состояний
N кубитов: суперпозиция $2^N$ паттернов

Имея всего 50 кубитов, можно одновременно хранить $2^{50}$ (около 1,1 квадриллиона) состояний. А имея всего 300 кубитов, можно удерживать одновременно $2^{300}$ паттернов (число, превышающее количество всех атомов во Вселенной!). Эта экспоненциальная способность хранения информации является основой потенциала квантовых компьютеров. Физически невозможно заставить классический компьютер хранить в памяти количество состояний, превышающее число атомов во Вселенной.

2. Квантовая запутанность (Entanglement): Жуткое дальнодействие

Квантовая запутанность — это настолько загадочное явление, противоречащее человеческой интуиции, что Эйнштейн называл его «жутким дальнодействием» (Spooky action at a distance) и так и не принял его до конца жизни.

Когда несколько кубитов переходят в состояние «квантовой запутанности», они становятся тесно связанными друг с другом, образуя нечто вроде общей судьбы: «как только состояние одного определено, состояние другого определяется мгновенно, независимо от того, насколько далеко они находятся друг от друга» .

Например, предположим, что два кубита А и В запутаны (каждый находится в состоянии суперпозиции 0 и 1). Если мы измерим А и получим «0», то состояние В мгновенно определится (например, всегда будет «1»), превышая скорость света, которая является пределом скорости передачи информации. В квантовых компьютерах эта квантовая запутанность используется для выражения сложных корреляций между несколькими кубитами и выполнения массовой параллельной обработки информации. Без запутанности вычислительная мощность квантового компьютера мало чем отличалась бы от классического.

3. Квантовая интерференция (Quantum Interference): Магия выявления правильного ответа

Вы можете подумать: «Если он может удерживать все паттерны одновременно, разве он не может просто рассчитать их все сразу параллельно и мгновенно выдать ответ?» Это самое распространенное заблуждение о квантовых компьютерах. Даже если вы выполняете вычисления в состоянии суперпозиции, в конечном итоге вам нужно произвести «измерение», чтобы узнать ответ. Но в момент измерения состояние случайным образом коллапсирует в один из $2^N$ паттернов. В результате получится просто случайный ответ.

Здесь на сцену выходит «Квантовая интерференция (Interference)» . Когда волны сталкиваются, там, где их фазы совпадают, они усиливают друг друга, а там, где фазы противоположны — гасят (в сущности, тот же принцип используется в наушниках с активным шумоподавлением).

Хороший «квантовый алгоритм» ловко манипулирует квантовыми состояниями в процессе вычислений так, чтобы «амплитуды вероятностей состояний (волн), ведущих к правильному ответу, усиливались друг другом (амплификация)» , а «амплитуды вероятностей состояний, ведущих к неправильным ответам, гасили друг друга (аннуляция)» . В итоге он спроектирован так, что при финальном измерении «правильный ответ» выпадает с вероятностью, близкой к 100%. Искусное проектирование этого процесса интерференции и есть суть квантового программирования.

Глава 3: Как происходят вычисления? «Квантовые вентили» и «Квантовые схемы»

Подобно тому, как классические компьютеры используют логические вентили (И, ИЛИ, НЕ и т. д.) для выполнения вычислений, квантовые компьютеры применяют к кубитам операции, называемые «Квантовыми вентилями (Quantum Gates)» . Комбинация из нескольких квантовых вентилей называется Квантовой схемой (Quantum Circuit) .

Состояние кубита математически представляется точкой на поверхности трехмерной сферы, называемой «Сферой Блоха». Северный полюс — это «0», Южный — «1», а экватор — «состояние, в котором 0 и 1 накладываются друг на друга в равной степени». Квантовые вентили — это не что иное, как операции вращения состояния (вектора) на поверхности этой сферы.

Давайте познакомимся с некоторыми типичными квантовыми вентилями.

1. Вентиль Адамара (H-вентиль)

Это самый фундаментальный вентиль, уникальный для квантовых компьютеров, не имеющий аналогов в классических. Если пропустить кубит в состоянии идеального «0» через H-вентиль, создается «состояние идеальной суперпозиции» (точка на экваторе сферы Блоха), в котором 0 и 1 наблюдаются с вероятностью ровно пятьдесят на пятьдесят. В качестве начального шага многие квантовые алгоритмы начинаются с применения этого H-вентиля ко всем кубитам.

2. Вентили Паули (вентили X, Y, Z)

Это вентили, включающие операции, эквивалентные классическому вентилю НЕ (инверсия 0 в 1, и 1 в 0). На сфере Блоха это соответствует повороту на 180 градусов вокруг осей X, Y и Z. В частности, вентиль X инвертирует Северный полюс (0) в Южный полюс (1), работая точно так же, как классический вентиль НЕ. Вентиль Z играет роль инвертирования «фазы (что-то вроде синхронизации волны)» суперпозиции и чрезвычайно важен для создания квантовой интерференции.

3. Вентиль CNOT (Контролируемое НЕ)

Это сверхважный вентиль для создания квантовой запутанности. Он использует два кубита (управляющий и целевой). Он работает так: «Если управляющий бит равен 1, состояние целевого бита инвертируется (вентиль X). Если управляющий бит равен 0, ничего не происходит». На первый взгляд это похоже на простое условное ветвление IF, но что произойдет, если управляющий бит будет находиться в «состоянии суперпозиции 0 и 1»? Целевой бит перейдет в «состояние, где накладываются инвертированное и неинвертированное состояния», и судьба двух битов окажется полностью связана. Два кубита красиво «запутываются».

Расставляя и применяя эти вентили по порядку слева направо, словно ноты в партитуре, мы можем выполнять сложные алгоритмы.

Глава 4: В чем сильны и в чем слабы квантовые компьютеры?

Здесь мы должны сообщить вам важный факт. Квантовый компьютер — это не всемогущий бог. В повседневных задачах, таких как веб-браузинг, рендеринг видео, обработка макросов в Excel или работа обычных приложений на смартфоне, квантовые компьютеры, вероятно, никогда не превзойдут классические. Для таких последовательных процессов гораздо лучше подходят классические компьютеры, которые уже в высшей степени оптимизированы, могут похвастаться потрясающей скоростью и дешевизной.

Истинная ценность квантовых компьютеров проявляется только в «особых задачах, где количество вычислительных комбинаций на классическом компьютере возрастает экспоненциально, и для их решения потребовалось бы время, равное возрасту Вселенной» . Это называется «Квантовым превосходством (Quantum Supremacy)» или «Квантовым преимуществом (Quantum Advantage)».

В чем преуспевают квантовые компьютеры (Убойные приложения)

1. Факторизация простых чисел и взлом шифров (Алгоритм Шора)

В настоящее время безопасные коммуникации в Интернете (например, оплата кредитными картами или передача личных данных) защищены «алгоритмом шифрования RSA», который основан на предпосылке, что «факторизация огромных чисел практически невозможна (требует колоссального времени) для классического компьютера». Однако, используя «алгоритм Шора», открытый математиком Питером Шором в 1994 году, квантовый компьютер может умело использовать интерференцию, чтобы решить эту задачу с невероятной скоростью (за полиномиальное время). В результате существует риск того, что современные криптографические системы в будущем рухнут, поэтому центральные банки и правительственные учреждения по всему миру спешат перейти на «Постквантовую криптографию (Post-Quantum Cryptography)».

2. Квантово-химические расчеты, разработка новых материалов и лекарств

Поведение молекул и атомов в природе изначально подчиняется законам квантовой механики. Если попытаться смоделировать поведение сложных молекул на классическом компьютере, комбинации взаимодействий между электронами приведут к комбинаторному взрыву, и мы быстро упремся в пределы вычислений даже для относительно небольших молекул. Как сказал лауреат Нобелевской премии по физике Ричард Фейнман: «Если вы хотите симулировать природу, вы должны делать это по законам квантовой механики». Квантовые компьютеры демонстрируют подавляющую естественную мощь в симуляции материалов. Ожидаются прорывы в решении глобальных проблем человечества, такие как разработка инновационных лекарств, открытие сверхпроводников, работающих при комнатной температуре, создание высокоэффективных материалов для солнечных батарей и аккумуляторов, а также синтез энергоэффективных удобрений.

3. Задачи комбинаторной оптимизации и поиска (Алгоритм Гровера)

Квантовые алгоритмы также эффективны для задач поиска оптимального варианта из огромного числа альтернатив (например, оптимальных логистических маршрутов, оптимизации финансовых портфелей и т. д.). Используя «Алгоритм Гровера», можно найти нужные данные в неструктурированной базе данных за количество шагов, пропорциональное квадратному корню от того, что потребовалось бы классическому компьютеру. Например, если имеется 100 миллионов записей, поиск, требующий до 100 миллионов итераций на классическом компьютере, может быть выполнен примерно за 10 000 итераций.

Глава 5: Физическая стена на пути: «Декогеренция» и «Квантовая коррекция ошибок»

Хотя в теории квантовые компьютеры обладают магической мощью, на пути к их коммерческому использованию стоит чрезвычайно высокая и крутая физическая стена. Самый главный враг — это «Шум» .

«Суперпозиция» и «Квантовая запутанность» кубитов — чрезвычайно тонкие и хрупкие состояния. Достаточно легкого теплового воздействия, колебаний электромагнитных волн или воздействия космических лучей, чтобы это магическое состояние мгновенно разрушилось и кубит превратился в обычный классический бит. Это явление называется «Декогеренцией (Квантовым коллапсом)» .

Ожесточенная конкуренция методов физической реализации

В настоящее время по всему миру исследуются различные способы физического создания этих хрупких кубитов, и идет борьба за лидерство.

Сверхпроводниковый метод (Superconducting) : Используется Google, IBM, Amazon и др. В нем используются сверхпроводящие контуры, и для контроля квантовых состояний они охлаждаются почти до абсолютного нуля (около -273°C) с помощью гигантских рефрижераторов. В настоящее время это ведущий метод, в котором проще всего увеличивать число кубитов, однако охлаждающее оборудование является громоздким и дорогим.
Метод ионных ловушек (Trapped Ion) : Используется IonQ, Quantinuum и др. Ионы (атомы) удерживаются в вакууме с помощью электромагнитных полей и контролируются точными лазерами. Преимущество состоит в том, что все кубиты идентичны, а состояния могут сохраняться долго (долгое время когерентности), однако скорость операций медленнее по сравнению со сверхпроводниками.
Фотонный метод (Photonic) : Приоритет компании PsiQuantum и др. Использует частицы света (фотоны). Главное преимущество в том, что многие компоненты работают при комнатной температуре и не требуют криогенной среды; он также отлично совместим с существующими технологиями производства кремниевых чипов и оптоволоконной связи.
Топологический метод (Topological) : Долгое время исследуется Microsoft. Это амбициозный подход, использующий топологические свойства особых частиц, называемых энионами, для создания кубитов, которые фундаментально устойчивы к шуму среды. Теоретически это самый мощный метод, но его физическая реализация считается наиболее сложной.

Путь к конечной цели: «Отказоустойчивый квантовый компьютер (FTQC)»

В мире современных классических компьютеров тоже случаются вычислительные ошибки (например, инверсия битов из-за космических лучей), но они идеально исправляются с помощью «кодов коррекции ошибок», поэтому мы пользуемся смартфонами, даже не подозревая о них. Для выполнения крупномасштабных практических вычислений на квантовых компьютерах аналогичным образом необходима «Квантовая коррекция ошибок (Quantum Error Correction: QEC)» .

Однако квантовые состояния обладают свойством «разрушаться при измерении», что порождает фатальную дилемму: нельзя напрямую заглянуть внутрь (измерить), чтобы проверить наличие ошибки. Для решения этой проблемы была разработана теория, позволяющая искусно объединять большое количество нестабильных «физических кубитов» для создания одного стабильного «логического кубита», способного обнаруживать и исправлять ошибки (например, поверхностный код). Тем не менее, считается, что для создания одного логического кубита потребуется от 1 000 до 10 000 физических кубитов. Чтобы запустить алгоритм Шора с использованием тысяч логических кубитов, потребуется колоссальная система, содержащая миллионы или даже десятки миллионов физических кубитов в целом.

Сейчас мы находимся в эре, называемой NISQ (Noisy Intermediate-Scale Quantum — квантовые технологии средних масштабов с шумом) . Это переходные устройства без исправления ошибок, работающие на десятках или сотнях кубитов. По прогнозам экспертов, для достижения конечной цели — создания полностью способного к исправлению ошибок «Отказоустойчивого квантового компьютера (Fault-Tolerant Quantum Computer: FTQC)» — потребуются еще от 10 лет до нескольких десятилетий долгосрочных исследований и разработок.

Глава 6: История и будущие перспективы квантовых компьютеров

В заключение давайте посмотрим, как зародились квантовые компьютеры и к чему они движутся.

От рождения теории до демонстрации «Квантового превосходства»

1980-е годы : Физики Пол Бениофф и Ричард Фейнман предложили концепцию компьютера, использующего принципы квантовой механики. Отправной точкой стала фраза: «Если вы хотите моделировать природу, используйте квантовую механику».
1994 год : Питер Шор публикует квантовый алгоритм факторизации (Алгоритм Шора). Это потрясло мир и привело к притоку колоссального финансирования исследований.
1996 год : Лов Гровер публикует Алгоритм Гровера, ускоряющий поиск данных.
2019 год : Историческая веха. Google объявляет, что с помощью 53-кубитного сверхпроводящего процессора «Sycamore» они за 200 секунд выполнили вычисление генерации случайных чисел, на которое классическому суперкомпьютеру потребовалось бы (как считалось) 10 000 лет. Это вызвало огромный резонанс как первая в мире демонстрация «Квантового превосходства (Quantum Supremacy)» (хотя позже IBM и другие улучшили алгоритм со стороны классического суперкомпьютера и возразили, что эту задачу можно решить за несколько дней, что вызвало горячие споры).
2023 год и далее : IBM анонсирует процессор «Condor» с более чем 1000 кубитов. Кроме того, Гарвардский университет и другие учреждения добились успеха в создании и манипулировании «логическими кубитами», и стали появляться сообщения о ранних демонстрациях технологий исправления ошибок.

На пути к технологиям следующего поколения

Квантовый компьютер — это не просто «ЦП следующего поколения с более высокой тактовой частотой». Это подлинный парадигмальный сдвиг в информатике, фундаментально переписывающий само понятие вычислений по правилам квантовой механики, управляющей микромиром.

Вероятно, при нашей жизни мы не увидим карманных «персональных квантовых смартфонов» (да они и не нужны). Но будущее, в котором мощные квантовые дата-центры в облачных сетях вроде AWS или Azure внезапно откроют лекарство от неизлечимой болезни или изобретут материал для чистой энергии, спасающий от глобального потепления (например, катализатор для синтеза аммиака из атмосферного азота при комнатной температуре), неминуемо приближается.

Сейчас мы находимся на заре, сравнимой с 1940-ми годами и компьютером ENIAC, который работал на перфокартах, пока жар от огромных вакуумных ламп накалял комнату. Тем не менее, лучшие умы исследователей и инженеров по всему миру напряженно работают, и о технологических прорывах сообщается почти ежедневно. То, что мы можем в реальном времени наблюдать эволюцию этого нового «рассвета вычислений», означает, что мы живем в чрезвычайно захватывающую историческую эпоху.

Дверь в квантовый мир только приоткрылась. Мы не можем отвести глаз от того, что будет дальше.

Эта статья призвана в доступной форме объяснить основные концепции квантовых вычислений для бизнес-специалистов и обычных людей, интересующихся технологиями. Пожалуйста, обратите внимание, что некоторые строгие математические и физические определения (такие как детали нотации бра-кет и амплитуд комплексных вероятностей) были несколько упрощены.

Действительно ли квантовые компьютеры уничтожат шифрование RSA? ~ Алгоритм Шора и текущий этап ~

Sat, 05 Sep 2026 22:09:21 +0900

Введение: Пересечение криптографии и квантовых компьютеров

В современном интернет-обществе основой защиты секретности связи является «криптография с открытым ключом». Наиболее представительным является шифрование RSA, разработанное в 1977 году Роном Ривестом, Ади Шамиром и Леонардом Адлеманом. От покупок в Интернете и просмотра веб-сайтов (HTTPS) до отправки и получения электронной почты, шифрование RSA служит сердцем интернет-инфраструктуры.

Однако появление «квантовых компьютеров» указывает на возможность того, что эта безопасность может быть разрушена на корню. В СМИ иногда появляются сенсационные заголовки, такие как «Как только квантовый компьютер будет готов, все пароли в мире будут расшифрованы за секунды». Так ли это на самом деле?

В этой статье подробно рассматривается механизм GNFS (Общий метод решета числового поля) как классический метод дешифрования, а также окончательный алгоритм дешифрования с использованием квантовых компьютеров — «Алгоритм Шора» (Shor’s Algorithm). Мы доступно объясним такие концепции, как квантовое преобразование Фурье и поиск периода, и подробно рассмотрим текущее состояние аппаратного обеспечения в эпоху NISQ (Noisy Intermediate-Scale Quantum) и реальные препятствия для взлома RSA-2048.

Основа RSA: Сложность факторизации

Безопасность RSA зависит от математической асимметрии: «Легко перемножить два гигантских простых числа, но крайне сложно найти (факторизовать) исходные простые числа из результата (составного числа)».

Например, пусть есть $ p = 61 $ и $ q = 53 $. Вычисление $ N = p \times q = 3233 $ мгновенно. Однако, если дано только «3233» и нужно найти исходные простые числа, факторизация требует экспоненциально больше вычислений с ростом числа.

В текущем стандарте RSA-2048 используется составное число $ N $ длиной 2048 бит (около 617 десятичных цифр). Если мы сможем факторизовать $ N $, шифр будет взломан.

Классический подход: GNFS (Общий метод решета числового поля)

Для факторизации математики разрабатывали различные алгоритмы. Самым быстрым для классических компьютеров в настоящее время является ** GNFS (General Number Field Sieve) **.

GNFS расширяет вычисления в кольце целых чисел до более абстрактного алгебраического числового поля. Основные этапы:

** Выбор полинома **: Найти полином $ f(x) $, корнем которого является $ N $.
** Сбор данных (просеивание) **: Найти много пар чисел, разложимых на малые простые (гладкие числа). Это самый долгий этап.
** Генерация и редукция матрицы **: Создать гигантскую разреженную матрицу и решить её методами линейной алгебры.
** Вычисление квадратного корня **: Найти факторы (простые множители) $ N $.

Сложность вычисляется как $ O(\exp((\sqrt[3]{\frac{64}{9}} + o(1)) (\log N)^{\frac{1}{3}} (\log \log N)^{\frac{2}{3}})) $ — это «субэкспоненциальное» время.

В 2020 году исследователи успешно факторизовали RSA-250 (829 бит) с помощью GNFS, потратив около 2700 процессоро-лет. Но для 2048 бит требуемые вычисления превышают возраст Вселенной в триллионы раз, что делает классические методы непрактичными.

Козырь квантовых компьютеров: Алгоритм Шора

В 1994 году Питер Шор представил «алгоритм Шора», который решает проблему факторизации на квантовом компьютере за ** полиномиальное время ** ($ O((\log N)^3) $). Это теоретически означает полный взлом RSA.

Общая схема алгоритма Шора

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


graph TD
 A[Ввод числа N] --> B[Выбор случайного целого a]
 B --> C{НОД<br>a и N}
 C -->|Больше 1| D[Удача! Найден множитель!]
 C -->|1 Взаимно просты| E[Квантовый компьютер]
 E --> F[Поиск периода r для f_x = a^x mod N<br>через QFT]
 F --> G{Период r четный и<br>a^r/2 ≢ -1 mod N}
 G -->|Да| H[Вычисление НОД gcd_a^r/2 ± 1, N]
 H --> I((Успешная факторизация!))
 G -->|Нет| B

Шаг 1: Сведение к поиску периода (Классическая часть)

Выбираем $ a $, взаимно простое с $ N $. Рассмотрим последовательность: $ f(x) = a^x \pmod N $ Эта функция периодична, и задача — найти её период $ r $. Если период $ r $ найден и он четный, то с помощью: $ (a^{r/2} - 1)(a^{r/2} + 1) \equiv 0 \pmod N $ и алгоритма Евклида мы можем легко найти факторы $ N $.

Шаг 2: Суперпозиция

Квантовый компьютер готовит два регистра. С помощью вентилей Адамара первый регистр переводится в ** состояние равномерной суперпозиции ** всех возможных значений $ x $.

Шаг 3: Квантовое модульное возведение в степень

Параллельно для всех состояний суперпозиции вычисляется $ a^x \pmod N $.

Шаг 4: Квантовое преобразование Фурье (QFT)

Чтобы извлечь информацию о периоде, применяется ** QFT ** к первому регистру. Благодаря конструктивной и деструктивной интерференции, вероятности неправильных периодов гасятся, а вероятность правильного периода $ r $ усиливается.

Шаг 5: Измерение и непрерывные дроби

После применения QFT измерение первого регистра дает значение, из которого классическим методом непрерывных дробей находится точный период $ r $. Имея $ r $, мы получаем множители $ N $.

Возможности и проблемы эпохи NISQ

Будет ли RSA взломан завтра? Ответ — однозначное «Нет», из-за аппаратных ограничений.

Эпоха NISQ

Мы находимся в эре устройств NISQ с десятками/сотнями физических кубитов, подверженных сильному шуму. Декогеренция и ошибки вентилей разрушают результаты сложных алгоритмов вроде алгоритма Шора.

Физические и логические кубиты

Для исправления ошибок требуется “квантовая коррекция ошибок” (например, Surface Code). Для создания одного идеального логического кубита требуется от 1000 до 10000 физических кубитов (оверхед).

Ресурсы для взлома RSA-2048

По оценкам 2021 года от Craig Gidney и Martin Ekerå, для взлома RSA-2048 потребуется:

** Логические кубиты **: ~ 4,096
** Физические кубиты **: ** ~ 20 миллионов ** (при уровне ошибок $10^{-3}$)
** Время вычислений **: ~ 8 часов

В конце 2023 года IBM представила процессор “Condor” с 1,121 кубитом. Масштабирование до ** 20 миллионов ** практических кубитов связано с колоссальными инженерными барьерами. Большинство экспертов считают, что для создания отказоустойчивого квантового компьютера (FTQC) потребуется от 10 до 30 лет или больше.

Угроза “Store Now, Decrypt Later” и эра PQC

Считать, что можно расслабиться на 10 лет, преждевременно. Существует угроза ** “Store Now, Decrypt Later” (Сохрани сейчас, расшифруй позже) **. Злоумышленники собирают и хранят зашифрованные данные, чтобы расшифровать их, как только квантовые компьютеры станут доступны.

В ответ на эту угрозу NIST ускоряет стандартизацию ** Постквантовой криптографии (PQC: Post-Quantum Cryptography) **. Основные направления PQC:

** Криптография на решетках (Lattice-based cryptography) **: На основе задачи LWE (Kyber, Dilithium).
** Криптография на кодах (Code-based cryptography) **: Сложность декодирования кодов.
** Многомерная криптография (Multivariate cryptography) **: Системы квадратных уравнений.
** Хэш-сигнатуры (Hash-based signatures) **: Только на основе хэш-функций.

Основные платформы, такие как Google Chrome и Apple iMessage, уже начали тестировать и внедрять гибридные PQC решения.

Заключение

Квантовые компьютеры переходят из области фантастики в реальную инженерную задачу. Алгоритм Шора — это великое интеллектуальное достижение, объединившее математику и квантовую механику, обладающее разрушительной силой для основ нашего цифрового общества.

RSA не устареет завтра, но в свете угроз вроде “Store Now, Decrypt Later”, масштабный переход криптографии к PQC уже начался. Мы являемся свидетелями смены парадигмы в информационной безопасности.