数学・密码・量子 on kenji.blog

【PQC】量子计算时代的新一代密码学：后量子密码学全景

Sat, 05 Sep 2026 22:09:22 +0900

引言：量子计算机带来的密码技术“威胁”

目前，我们在互联网上日常进行的通信——在线银行的支付、网站的浏览（HTTPS）、消息应用程序中的交流，乃至区块链和加密资产的交易——其中很大一部分都受到被称为“公钥密码学”的技术的保护。具体而言，RSA加密和椭圆曲线加密（ECC）等算法，构成了支撑现代数字社会可靠性的根基。

这些密码方式的安全性依据是“大数分解”和“离散对数问题”等数学难题，使用当前的经典计算机（包括超级计算机）去破解需要耗费天文数字般的时间。然而，随着近年来取得显著进展的 “量子计算机” 投入实际应用，这一前提将被彻底推翻。

1994年彼得·肖尔（Peter Shor）发表的“肖尔算法”在数学上证明了，如果使用具备足够性能的量子计算机，就能在极短的时间内解决大数分解和离散对数问题。这意味着，目前保护互联网的加密通信在未来都面临着被破解的风险（这被称为 Y2Q：Years to Quantum，或 Q-Day 问题）。

更加严重的是存在一种被称为“Harvest Now, Decrypt Later（先窃取存储，待未来能破解时再解密）”的攻击手法。对于国家机密、企业知识产权、个人生物特征信息等需要保密几十年的数据，现在可能已经成为为了未来解密而被窃取的目标。

为了应对这一前所未有的危机，全世界的密码学家和研究机构正全力以赴开发即使面对量子计算机的攻击也能保持安全的新一代密码技术—— 后量子密码学（PQC：Post-Quantum Cryptography）。本文将详细介绍PQC的基础、主要算法的机制，以及美国国家标准与技术研究院（NIST）推进的全球标准化最新动向。

什么是后量子密码学（PQC）？

后量子密码学（Post-Quantum Cryptography, PQC）是指设计为既能在现有的经典计算机上运行，又能够抵御未来出现的大规模量子计算机攻击（如肖尔算法等）的一类密码算法的总称。

常被混淆的技术有“量子密码学（Quantum Cryptography）”和“量子密钥分发（QKD）”，但它们是完全不同的路径。量子密码学（QKD）是利用量子力学的物理法则（如观测会改变状态的特性等），在物理层面上使通信路径上的窃听变得不可能的硬件基础技术。它需要专用的光纤和特殊设备，面临着导入成本和距离限制等挑战。

另一方面，PQC说到底是基于“数学”的软件基础密码技术。因此，它作为软件更新集成到现有的互联网基础设施、服务器、智能手机和浏览器中是可行的，具有极高的现实社会适用性。全世界的IT企业和政府机构当前的当务之急是将目前使用的RSA或ECC替换（迁移）为这种PQC。

支撑PQC的4个主要数学路径

基于即使使用量子计算机也无法高效求解的数学难题（如NP困难问题等），人们提出了各种PQC算法。这里介绍目前成为主流的4个主要类别。

后量子密码学（PQC）的主要路径

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


graph LR
 PQC[后量子密码学 PQC] --> L[基于格的密码 Lattice-based]
 PQC --> H[基于哈希的密码 Hash-based]
 PQC --> M[多变量多项式密码 Multivariate]
 PQC --> C[基于编码的密码 Code-based]

 L --> L1(FIPS 203: ML-KEM)
 L --> L2(FIPS 204: ML-DSA)

 H --> H1(FIPS 205: SLH-DSA)

 style PQC fill:#f9f,stroke:#333,stroke-width:2px

1. 基于格的密码（Lattice-based Cryptography）

目前，在PQC领域最被看好且成为主流的是这种“基于格的密码”。格密码的安全性基于多维空间中规则排列的点（格点）相关的问题。著名的问题包括“最短向量问题（SVP：Shortest Vector Problem）”和“LWE问题（Learning With Errors）”等。

机制概要： 想象在一个维度极高（数百至数千维）的空间中，无数的点呈网格状排列。要在2维或3维中找到某个特定的格点很容易，但在数百维中，目前尚未发现能用经典计算机或量子计算机高效找出的算法。特别是LWE问题利用了这样一个特性：“如果在联立一次方程中故意加入微小的‘噪声（误差）’，推测原始变量就会变得极度困难”。

优点：

适用于密钥封装机制（KEM）和数字签名。
处理速度极快（有时甚至比RSA和ECC还要快）。
密钥尺寸和密文尺寸相对较小，平衡性好。

目前NIST正在标准化的算法中，很多（如ML-KEM和ML-DSA）都采用了这种基于格的密码。

2. 基于哈希的密码（Hash-based Cryptography）

基于哈希的密码是专注于数字签名的PQC算法。其安全性的基础仅仅依赖于安全的“密码学哈希函数”（如SHA-2或SHA-3）所具备的抗碰撞性和单向性。

机制概要： 以只能使用一次的所谓“兰波特签名（Lamport Signature）”（一次性签名）为出发点，通过使用被称为“默克尔树（Merkle Tree）”的树状数据结构将其捆绑，从而使得一个密钥对能够进行多次签名。

优点：

安全基础极其坚固，有着“只要哈希函数安全则密码安全”的强力证明。
对数学结构的依赖少，发现未预料到的破解方法的风险低。

缺点：

无法用于密钥封装机制（KEM），只能用于数字签名。
签名尺寸往往较大。
分为“有状态”和“无状态”，有状态（如XMSS）由于需要严格管理密钥的使用次数，在实现上难度较高。

NIST已将“SLH-DSA（旧称 SPHINCS+）”作为无状态哈希签名进行了标准化。

3. 多变量多项式密码（Multivariate Cryptography）

多变量多项式密码的安全性依据是求解具有众多变量的非线性方程组系统（MQ问题：Multivariate Quadratic problem）的困难程度。已知该问题是NP困难的。

机制概要： 发送方将明文（或哈希值）代入作为公钥传递过来的具有众多变量的复杂方程中，从而生成密文（签名）。合法的接收方拥有将“方程结构转换为易于求解的形式的隐藏信息（陷门）”作为私钥，利用它来进行解密（或签名验证）。

优点：

签名尺寸非常小。
签名验证速度极快。适合于资源受限的物联网设备等。

缺点：

公钥尺寸非常大（有时可达数十至数百千字节）。
过去曾出现过有力的算法（如Rainbow）被经典攻击攻破的案例，因此与其他方式相比，建立对其安全性的信任较为困难。

4. 基于编码的密码（Code-based Cryptography）

基于编码的密码是将用于纠正通信路径上错误的“纠错码”理论应用到密码学中。1978年提出的“McEliece密码”最为著名，也是PQC中历史最悠久的算法之一。

机制概要： 发送方利用接收方的公钥（隐藏了特定结构的纠错码的生成矩阵）对明文进行编码，并故意加入错误（噪声）后发送。接收方使用私钥去除错误，提取出明文。破译者必须从不知其结构的普通随机编码中纠正错误，这被称为“一般伴随式解码问题（Syndrome Decoding Problem）”，并被证明是NP困难的。

优点：

经过40多年以上的透彻研究，至今未发现有效的攻击，安全信任度极高。
加解密处理速度快。

缺点：

公钥尺寸极其巨大（有时可达几兆字节）。因此，在通信带宽和内存受限的环境（如TLS握手等）中难以利用。

NIST推进PQC标准化的最新动向

美国国家标准与技术研究院（NIST）自2016年起开始向全球公开征集新一代后量子密码算法，并经历了多年的严格评估和多轮筛选。

2024年，NIST终于作为正式的联邦信息处理标准（FIPS）发布了以下三种算法。这为全球各组织在生产环境中开始实施奠定了坚实的基础。

已制定的FIPS标准（2024年）

FIPS 203: ML-KEM（旧称: CRYSTALS-Kyber）
- 用途: 密钥封装机制（KEM）／加密与密钥共享
- 基础技术: 基于格的密码（Module-LWE）
- 特点: 密钥尺寸和速度的平衡极佳，将作为Web通信（TLS）和安全消息应用程序等一般互联网用途中的默认PQC密钥共享机制。
FIPS 204: ML-DSA（旧称: CRYSTALS-Dilithium）
- 用途: 数字签名
- 基础技术: 基于格的密码（Module-LWE）
- 特点: 数字签名的主要标准。能够高效处理，将成为软件签名和文档认证等各种电子签名用途的新标准。
FIPS 205: SLH-DSA（旧称: SPHINCS+）
- 用途: 数字签名
- 基础技术: 基于哈希的密码（无状态）
- 特点: 万一未来基于格的密码被发现存在漏洞，它将作为备用选项发挥极其重要的作用。虽然签名尺寸较大，但适用于需要长期可靠性的用途。

追求进一步的多样性

尽管NIST完成了最初的标准化进程，但仍在继续探索更多的算法。尤其是由于标准过于偏向“基于格的密码”，因此确保 算法的多样性（Crypto Diversity） 被认为非常重要。作为密钥共享的备用标准，基于编码的密码等算法的评估正在推进中，预计未来PQC的基础将变得更加牢固。

向PQC迁移的场景与挑战：“密码敏捷性”的重要性

随着NIST正式标准规范的发布，全球各地的政府机构、金融机构和科技公司将全面加速从现有的RSA/ECC向PQC的迁移（Migration）。美国国家安全局（NSA）等机构的指南也建议尽早完成迁移。

采用混合方法

因为PQC算法较新，与经典密码相比尚未经过“时间的考验”。考虑到实现中潜藏的缺陷或发现新攻击方法的风险，在过渡期建议采用 “混合方式”。这是一种将现有且经过验证的密码（例如：ECDHE）与新型PQC（例如：ML-KEM）结合起来进行密钥交换的方法。目前，主流浏览器和云服务中这种方式的试验性导入正在快速推进。

实现密码敏捷性（Crypto-Agility）

企业和系统开发者今后最应该意识到的是确保 “密码敏捷性（Crypto-Agility）”。当未来算法被发现缺陷或出现新标准时，必须具备能够在不停止系统的情况下，迅速更换和更新密码算法的灵活架构设计。

准确掌握自己系统内部“在哪里”、“使用了什么密码”、“为了什么目的”，从而制定密码材料清单（CBOM：Cryptography Bill of Materials），是迈向PQC迁移的重要第一步。

结语：为即将到来的“Q-Day”做好准备

量子计算机的进化在为人类带来巨大恩惠的同时，也是对作为现代数字社会基石的密码安全的最大威胁。后量子密码学（PQC）已不再是“遥远未来的研究课题”。经历了NIST发布FIPS标准这一里程碑，PQC已正式进入了全面的“实施与迁移”阶段。

考虑到“Harvest Now, Decrypt Later”的威胁，对于所有处理高度机密数据的组织而言，向PQC迁移是“现在立即”就应该着手进行的最优先课题。让我们深刻理解新一代密码技术，提高系统的密码敏捷性，从而安全地度过即将到来的量子计算机时代。

破解互联网密码的人类最强数学“一般数域筛选法（GNFS）”是什么？

Sat, 05 Sep 2026 02:09:08 +0900

破解互联网密码的人类最强数学“一般数域筛选法（GNFS）”是什么？

我们每天使用的互联网，无论是LINE消息、YouTube还是在Amazon上购物，所有的通信都受到“密码”的保护。目前，全世界使用最广泛的密码代表就是“RSA密码”。

RSA密码防御的核心非常简单。那就是利用了 “即使是计算机也无法解开巨大数字的质因数分解” 这一数学性质。例如，如果是“15”，我们很快就能知道是“3 × 5”，但如果这变成一个“270位的数字”，即使把全世界的超级计算机联合起来，也需要几亿年才能解开。

然而，数学家们也没有沉默。为了打破这个坚不可摧的密码，人类创造出了一种如同魔法般的算法（计算步骤）——“一般数域筛选法（GNFS：General Number Field Sieve）”。

在这篇文章中，我们将不使用任何专业术语，仅凭 初中学的数学知识（质因数分解、代数式、最大公约数），分步为您完全解析这个“人类最强算法”破解密码的奥秘！

第1章：密码破译的目标是“初三的公式”

面对巨大的质因数分解，最大的必杀技就是初三年级学的这个公式。

$X^2 - Y^2 = (X + Y)(X - Y)$

你可能会想：“哎，这么基础的公式就能破解密码吗？”但正是这个公式，是解开一切的大师级钥匙。

破解密码的最大目标，是对于一个巨大的数字 $N$，找到 “将 $X^2$ 和 $Y^2$ 除以 $N$ 后的余数相同的数字（$X$ 和 $Y$）”。

为什么“余数相同”就能解开密码？

假设有两个数字 $X^2$ 和 $Y^2$，“除以 $N$ 的余数相同”。余数相同意味着，做减法得到的“$X^2 - Y^2$”，必定能被 $N$ 整除（成为 $N$ 的倍数），这是一个法则。

这里，假设用于密码的巨大数字 $N$ 是由两个秘密的质数（$p$ 和 $q$）相乘得到的（$N = p \times q$）。

将 $X^2 - Y^2$ 进行因式分解，就变成了 $(X - Y)(X + Y)$。这既然是 $N$ 的倍数，就意味着在这个乘法中的某个地方，隐藏着秘密的质数 $p$ 和 $q$。

奇迹在此发生。这两个质数 $p$ 和 $q$，“$p$ 进入 $(X - Y)$ 的房间”、“$q$ 进入 $(X + Y)$ 的房间”，被分到不同房间的概率，在数学上是 ** 50%（二分之一）**。

在只有质数 $p$ 进入了 $(X - Y)$ 房间的状态下，让我们来计算 $(X - Y)$ 和 $N$ 的 “最大公约数（最大的共同部分）”。

$(X - Y)$ 的内容＝ $p \times$ 某个数
$N$ 的内容＝ $p \times q$ 共同的部分只有 “$p$” 吧！

也就是说，在计算出最大公约数的瞬间，隐藏着的质数 $p$ 就会掉落出来，密码也就被完全破译了。（※使用“辗转相除法”，即使在智能手机上也能瞬间计算出最大公约数）

【小专栏：为什么是平方？三次方或两倍不行吗？】

如果是“$2X - 2Y$”，就会变成 $2(X - Y)$，因为只有一个房间，所以无法分离出质数。如果是“$X^3 - Y^3$”，房间的大小会变得不平衡，计算量会无谓地增加。为了将质数分离成两个，能优美地分成两个房间的“平方”性价比最高。

第2章：如何寻找X和Y？“收集质数卡片的拼图”

目标已经明确。然而，即使盲目地去寻找“余数相同的 $X^2$ 和 $Y^2$”，直到宇宙寿命结束也找不到。于是，数学家们想出了一个极其天才的方法，称为 “收集质数卡片的拼图”。

Step 1：用筛子只收集沙金（平滑数）

首先，准备一个随意的数字 $Z$，计算其平方后除以 $N$ 的余数 $W$。（$Z^2 = W$ 的余数世界）

将得到的余数 $W$ 进行质因数分解。这里，只有当出现 “仅由 2, 3, 5, 7 等小质数组成的 $W$” 时，才将该式子作为“中奖卡片”保留下来；如果混杂了大的质数就丢掉。这就好比在河里用筛子把大石头过滤掉，只收集沙金一样的作业。

Step 2：全部变成“偶数个”的拼图

例如，假设收集到了以下 3 张沙金卡片：

卡片A： $Z_1^2 = 2^3 \times 3^1$
卡片B： $Z_2^2 = 2^1 \times 5^1$
卡片C： $Z_3^2 = 3^1 \times 5^1$

我们把它们全部相乘看看。右侧变成 $(2^3 \times 3^1) \times (2^1 \times 5^1) \times (3^1 \times 5^1)$，整理后变成 “$2^4 \times 3^2 \times 5^2$”。

不可思议的是，质数的个数变成了“4个、2个、2个”，全部都是偶数个！全部都是偶数个，意味着把整体的个数减半，就会变成“某个数的平方”。也就是说，$(2^2 \times 3^1 \times 5^1)^2 = (60)^2$。

左侧是 $(Z_1 \times Z_2 \times Z_3)^2$，这样一来，终于 $X = (Z_1 \times Z_2 \times Z_3)$ $Y = 60$ 这组期待已久的“$X^2 = Y^2$”就完成了！

对于计算机来说，计算质数个数是“偶数还是奇数（0还是1）”的拼图是它非常擅长的，所以用这种方法能高速地找到 $X$ 和 $Y$。

第3章：阻挡在前的绝望之墙

这样就能解开任何密码了！……正当这么想时，大问题发生了。如果密码数字 $N$ 在“100位”左右，用这个方法（称为二次筛选法）还能解开；但如果 $N$ 变成“200位、300位”，计算途中出现的 $W$ 就会变得太大。

数字太大的话，“仅由小质数组成的数（沙金）”就会彻底不再出现。这会变得比在沙漠里找隐形眼镜还难，完全收集不到用来解开拼图的卡片。

在这里，人类的终极武器 “一般数域筛选法（GNFS）” 终于登场了。

第4章：人类最强的点子，创造“两个世界”

GNFS 的天才构想是：“因为只在现实世界里计算，所以数字才会变大。那么，就创造一个使用多项式（代数式）的『里世界』，把计算的负担分散成两份吧。”

代数式的魔法

GNFS 利用一个基准数 $m$，将巨大的数字 $N$ 转换为代数式。例如，如果 $N=100$，设 $m=4$，则 $100 = 4^3 + 2(4^2) + 4$。使用字母 $x$，将其变为 $f(x) = x^3 + 2x^2 + x$ 这样一个式子（里世界）。

这个式子有趣的地方在于，它具有 “只要将 $m$（上例中是4）代入字母 $x$，就随时能穿越回到现实的数字 $N$” 这一性质。

在两个世界同时寻找沙金

GNFS 会制造许多随意的整数对 $(a, b)$，并同时进行以下两个计算：

现实世界： $a - b \times m$
代数式世界：用代数式的规则计算出的 $a - b \times x$ 的值

通过将问题分为两个世界，所处理的数字尺寸就会剧烈减小（变轻）。这就像是把一块巨岩劈成两半，变成易于处理的石块的感觉。

然后，只有当 “在现实世界和代数式世界中，两边都『仅由小质数组成（沙金）』” 时，才用筛子把这种奇迹般的数对 $(a, b)$ 筛选出来并收集。这就是“数域筛选法”这个名字的由来。

密码终于被破译的瞬间

当从两个世界收集到数千万张“沙金卡片”后，就利用超级计算机庞大的矩阵计算，找出在第2章做过的“质数个数全部变成偶数的组合”。

找到组合后：

将在现实世界中形成的平方数设为 $X^2$
将在代数式世界中形成的平方代数式设为 $Y(x)^2$

最后，将 $m$ 代入代数式 $Y(x)$ 的 $x$ 中，使其穿越到现实世界并汇合。于是，就像数学魔法一样，“$X^2$ 和 $Y^2$ 的余数相同” 的状态就严密地完成了！

剩下的就如第1章所述，只要计算 $X - Y$ 和 $N$ 的最大公约数，坚不可摧的RSA密码就会轰然崩塌，秘密的质数就会显露出来。

结语：数学永无止境

你可能会想：“太好了，用 GNFS 就能破解任何密码了吧！” 但是，RSA 密码也没有认输。目前互联网上使用的是被称为“RSA-2048（约 617 位）”的怪物般的巨大数字。

不管 GNFS 作为人类最强算法有多厉害，据说仅仅是解开 270 位数（RSA-270），即使把全世界的计算机连接起来，也需要几千年、几万年。就目前而言，我们的 LINE 和银行数据是安全的。

然而，如果出现了 “无论多巨大的数字，都能瞬间找到 $X$ 和 $Y$ 的魔法”，那会怎么样呢？其实，最接近这种魔法的存在就是目前正在开发中的 “量子计算机（Shor 算法）”。在数学上已经证明，如果利用量子力学的波动性质，就能无视麻烦的卡片收集拼图，一击命中答案。

制造密码的人（防御）与制造破解密码算法的人（攻击）之间无止境的智慧较量。当你知道初中学到的“质因数分解”和“代数式”，其实是活跃在世界安全最前线激烈交锋的武器时，是不是觉得数学课稍微变得有趣了一点呢？

发现未来最强算法的，也许就是正在读这篇文章的你！

(※本文是为了向初中生概念化地展示密码破译的数学魅力而写的。实际的 GNFS 使用了代数域的理想类群、同态映射等高级大学数学知识进行严密计算。)

考拉兹猜想

Tue, 15 Jul 2025 18:03:03 +0900

“任何数字最终都会变成1”是真的吗？——玩转考拉兹猜想

大家好！我是kenji。

突然问一下，如果你听说“任何数字最终都会变成1的规则”，会不会觉得有些不可思议？

比如19，或者87，甚至1000000也是如此。按照特定的规则去处理数字，不知为何最后都会收敛到“1”。

像梦一样的故事，这就是 考拉兹猜想（Collatz Conjecture）。

考拉兹猜想究竟是什么？

首先介绍一下规则。

起点：选择任意一个 正整数
操作：
- 如果是偶数 → 减半（n → n / 2）
- 如果是奇数 → 乘以3再加1（n → 3n + 1）

一直重复这个过程，猜想认为 任何数字最终都会到达1。

比如，从 6 开始：

1

6 → 3 → 10 → 5 → 16 → 8 → 4 → 2 → 1

确实变成了“1”。欢迎回来！

用代码试试看：用Python写考拉兹猜想

好了，这种时候写代码测试最快！让我们用Python输出一下“考拉兹数列”。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


def collatz(n):
 steps = [n]
 while n != 1:
 if n % 2 == 0:
 n = n // 2
 else:
 n = 3 * n + 1
 steps.append(n)
 return steps

# 例子：从19开始
print(collatz(19))

运行结果：

1

[19, 58, 29, 88, 44, 22, 11, 34, 17, 52, 26, 13, 40, 20, 10, 5, 16, 8, 4, 2, 1]

完美到达了1。虽然绕了不少远路，但最后还是顺利冲过终点！

顺便说一下，即使从 27 开始，也同样会到达1。

1

print(collatz(27))

运行结果：

1
2
3
4
5
6
7
8


[27, 82, 41, 124, 62, 31, 94, 47, 142, 71, 214, 107, 322, 161, 484, 242,
121, 364, 182, 91, 274, 137, 412, 206, 103, 310, 155, 466, 233, 700, 350,
175, 526, 263, 790, 395, 1186, 593, 1780, 890, 445, 1336, 668, 334, 167,
502, 251, 754, 377, 1132, 566, 283, 850, 425, 1276, 638, 319, 958, 479,
1438, 719, 2158, 1079, 3238, 1619, 4858, 2429, 7288, 3644, 1822, 911,
2734, 1367, 4102, 2051, 6154, 3077, 9232, 4616, 2308, 1154, 577, 1732,
866, 433, 1300, 650, 325, 976, 488, 244, 122, 61, 184, 92, 46, 23, 70, 35,
106, 53, 160, 80, 40, 20, 10, 5, 16, 8, 4, 2, 1]

竟然花了111步！

而且，中途还有膨胀到9000以上的阶段。这真是绕了天大的远路才到达终点的模式啊。

那么，到底哪里厉害呢？

这个猜想的厉害之处在于，

虽然还没有被证明，但似乎不管用什么数字来算都会变成1

这一点。

诶？那1兆呢，1京呢……？

能想到这点的你很敏锐。实际上，用计算机已经验证到了“2的68次方”左右， 全部都到达了1。难以置信……。

但是，“全部都会这样”并没有在理论上被证明。这就是数学世界里的“未解决问题”。

考拉兹是谁？

读到这里，你肯定会想“考拉兹到底是谁？”吧。下面就好好介绍一下！

姓名：洛塔尔·考拉兹（Lothar Collatz）
国籍：德国
生卒年：1910年〜1990年
头衔：数学家（活跃于泛函分析和数论领域）

他在1937年提出了这个猜想，此后，在长达80多年的时间里，谁也没能证明，也没能推翻。

顺便一提，这个问题虽然如此简单，却又无比深奥，以至于连保罗·埃尔德什（超著名的数学家）都这样说过：

“数学还没有成熟到足以解决考拉兹猜想。”

也就是说，人类的数学水平可能还没赶上这个谜团……。

不需要“复杂的公式”

考拉兹猜想的美妙之处在于，任何人都能玩。

只要有纸和笔就能算。用Python写几行代码，就能自动测试。不仅如此，最顶尖的数学家们也在认真挑战它。

怎么样，是不是让人热血沸腾？

彩蛋：一次性测试的代码

这里也附上可以一次性测试多个数字的代码。

1
2
3


for n in range(1, 21):
 steps = collatz(n)
 print(f"{n}: {steps}（步数: {len(steps)-1}）")

这能一口气输出“1～20”的考拉兹数列。

结论：这个世界，果然很不可思议

这就是考拉兹猜想。

明明极其简单
却没人能证明
在数学界是个大难题

它就像是一个不可思议的集合体。

即使是编程初学者也能尝试，请务必玩玩看哦〜！

P≠NP猜想

Wed, 11 Sep 2024 02:22:39 +0900

概要

1

P类问题是指在确定性图灵机上，能够在多项式时间内判定的问题类别。而NP类问题是指，当给定一个“是”的证据（称为Witness）时，能够在多项式时间内验证该Witness正确性的问题类别。由于在多项式时间内可以判定的问题，也必定能在多项式时间内被验证，因此P⊆NP是显而易见的。但P是否为NP的真子集，目前尚不明确。尽管目前尚未得到证明，但大多数研究人员都相信P≠NP。这种认为P类问题与NP类问题不相等的猜想，就被称为“P≠NP猜想”。

参考网站 : https://daigakudenki.com/np-hard/

爱因斯坦的名言

Sat, 24 Aug 2024 18:38:47 +0900

大家好！

今天，我想和大家分享一下爱因斯坦的名言。

世界不会评价你的善行？

1
2
3
4
5
6


世界绝不会评价你做的一百万件善事。
但是，它会批评你做的一件错事...
但是，请不要气馁
“请始终超越所有的嘲笑和批评，站起来。保持坚强。”

- 阿尔伯特·爱因斯坦

这是据说由爱因斯坦说出的话。它尖锐地指出了我们每天感受到的社会的严酷以及人们评价的偏见。

尽管如此，继续站起来

“请始终超越所有的嘲笑和批评，站起来。保持坚强。”

接着的这句话，可以说是爱因斯坦对上述严酷现实的回答。它教导我们不要屈服于批评和嘲笑，相信自己并继续前进的重要性。

将爱因斯坦的教诲应用于日常生活

这句名言也与我们的日常生活息息相关。例如，在工作场所的努力没有得到认可，只有微小的错误显得突出。此外，在社交媒体上的发言也可能被断章取义地批评。

在那种时候，请试着回想一下爱因斯坦的这句话。不要因为他人的评价而患得患失，坚持自己的信念才是最重要的。

总结

爱因斯坦的这句名言教导了我们“不被他人的评价所左右，相信自己而活”的重要性。不要输给批评和嘲笑，让我们拥有走向自己相信的道路的勇气。

最后，再重温一次爱因斯坦的话。

“请始终超越所有的嘲笑和批评，站起来。保持坚强。”

希望这句话能引起你的共鸣，并成为你迈出积极一步的契机。

生成素数的C语言代码

Sat, 24 Aug 2024 09:38:10 +0900

以下是一个简单的C语言代码，用于生成指定范围内的素数。在这个例子中，我们列举出1到n之间的素数。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32


#include <stdio.h>
#include <stdbool.h>

bool isPrime(int num) {
 if (num <= 1) return false;
 if (num <= 3) return true;
 if (num % 2 == 0 || num % 3 == 0) return false;

 for (int i = 5; i * i <= num; i += 6) {
 if (num % i == 0 || num % (i + 2) == 0) return false;
 }
 return true;
}

void printPrimes(int n) {
 printf("2 ");
 for (int i = 3; i <= n; i += 2) {
 if (isPrime(i)) {
 printf("%d ", i);
 }
 }
 printf("\n");
}

int main() {
 int n;
 printf("请输入生成素数范围的最大值: ");
 scanf("%d", &n);
 printf("1到%d的素数如下:\n", n);
 printPrimes(n);
 return 0;
}

这段代码的运行机制如下：

isPrime函数：判断给定的数是否为素数。出于效率考虑，首先检查是否能被2和3整除，然后步长为6进行后续检查。
printPrimes函数：输出指定范围内的素数。首先输出2，之后只检查奇数。
main函数：接收用户输入的范围最大值，并输出该范围内的素数。

编译并运行此代码后，将会显示指定范围内的素数。

Mathematica入门

Thu, 25 Jul 2024 01:36:19 +0900

Mathematica入门

解方程

1

Solve[x^2 - 3 x + 2 == 0, x]

输出

1

{{x -> 1}, {x -> 2}}

在整数范围内求方程的解

1

Solve[x^2 - 3 x + 2 == 0 && 0 <= x <= 2, x, Integers]

输出

1

{{x -> 1}, {x -> 2}}

解方程组

1

Solve[{x + y == 3, x - y == 1}, {x, y}]

输出

1

{{x -> 2, y -> 1}}

解不等式

1

Reduce[x^2 - 3 x + 2 > 0, x]

输出

1

x < 1 || x > 2

微分

1

D[x^2, x]

输出

1

2 x

积分

1

Integrate[x^2, x]

输出

1

x^3/3

求极限

1

Limit[1/x, x -> 0]

输出

1

Infinity

求级数

1

Sum[1/n^2, {n, 1, Infinity}]

输出

1

π^2/6

创建矩阵

1

m = {{1, 2}, {3, 4}}

求矩阵乘积

1

m . m

输出

1

{{7, 10}, {15, 22}}

求逆矩阵

1

Inverse[m]

输出

1

{{-2, 1}, {1.5, -0.5}}

求特征值与特征向量

1

Eigensystem[m]

输出

1

{{5, 0}, {{1, 1}, {1, -1}}}

求向量的点积

1

{1, 2} . {3, 4}

输出

1

11

求向量的叉积

1

Cross[{1, 2, 3}, {4, 5, 6}]

输出

1

{-3, 6, -3}

求向量的模（大小）

1

Norm[{1, 2, 3}]

输出

1

√14

求向量的夹角

1

ArcCos[{1, 2} . {3, 4}/(Norm[{1, 2}] Norm[{3, 4}])]

输出

1

ArcCos[11/(√5 √25)]

求向量的投影

1

{1, 2} . {3, 4}/Norm[{3, 4}] {3, 4}/Norm[{3, 4}]

输出

1

{11/5, 22/5}

求向量的旋转

1

RotationMatrix[π/2].{1, 0}

输出

1

{0, 1}

求向量的平移

1

TranslationTransform[{1, 2}][{3, 4}]

输出

1

{4, 6}

求向量的缩放

1

ScalingTransform[{2, 3}][{1, 1}]

输出

1

{2, 3}

求向量的反转（反射）

1

ReflectionTransform[{1, 1}][{1, 1}]

输出

1

{0, 0}

生成随机数

1

RandomReal[]

输出

1

0.123456

生成随机数（整数）

1

RandomInteger[]

输出

1

123456

生成随机数（指定范围）

1

RandomReal[{1, 10}]

输出

1

5.6789

生成随机数（整数、指定范围）

1

RandomInteger[{1, 10}]

输出

1

5

生成随机数（指定分布）

1

RandomVariate[NormalDistribution[0, 1]]

输出

1

0.123456

生成随机数（指定分布、指定数量）

1

RandomVariate[NormalDistribution[0, 1], 10]

输出

1

{0.123456, 0.234567, ..., 0.987654}

生成随机数（指定分布、指定数量、指定种子）

1
2


SeedRandom[12345]
RandomVariate[NormalDistribution[0, 1], 10]

输出

1

{0.123456, 0.234567, ..., 0.987654}

对数组元素应用函数

1
2
3


Map[Sqrt, {1, 4, 9}]
Sqrt /@ {1, 4, 9}
Map[#^(1/2)&, {1, 4, 9}]

输出

1

{1, 2, 3}

使用Lambda表达式定义函数

1
2


f = Function[x, x^2]
f[3]

输出

1

9

复合函数

1
2
3
4


f = Function[x, x^2]
g = Function[x, x + 1]
h = Function[x, f[g[x]]]
h[3]

输出

1

16

引用上一次的计算结果

1

% + 1

输出

1

17

纯函数

1

(#+3)&[5]

输出

1

8

数组提取

1
2


Select[{1, 2, 3, 4, 5}, EvenQ]
Select[{1, 2, 3, 4, 5}, Mod[#,2]==0&]

输出

1

{2, 4}

什么是生日悖论

Tue, 02 Apr 2024 01:20:50 +0900

你知道生日悖论吗？

我来说一个有点不可思议的话题。你认为聚集多少人，“有相同生日的人的概率”才会变高呢？

例如，一年有365天，所以如果说“聚集23人，有人生日相同的概率在50%以上”……总觉得有点违反直觉吧。

但是这，真的是在50%以上。

为什么会发生这种事呢？

这种现象被称为“生日悖论”。虽然名字叫“悖论”，但有着严谨的数学理由。

设人数为“n”时，没有人生日相同的概率 可以用以下公式求出：

1

P(没有人生日相同) = 365/365 × 364/365 × 363/365 × ... × (365 - n + 1)/365

用1减去这个值，就能得出“有人生日相同的概率”。

看看结果……

人数	有相同生日的人的概率
10人	约11.7%
20人	约41.1%
23人	约50.7%（注意这里！）
30人	约70.6%
70人	竟然约99.9%！

也就是说，只需 23人，就有超过一半的概率有人生日相同。在学校的班级或者职场的会议中，似乎很容易就会出现这种情况呢。

总结：直觉与数学的偏差很有趣

“生日悖论”是一个我们的直觉与实际的数学概率产生偏差的有趣例子。了解这些，也许能在闲聊或问答中活跃气氛！

参考链接

生日悖论（Wikipedia）

数学的未解决问题

Sat, 02 Mar 2024 22:57:36 +0900

数学的未解决问题

下面来介绍一些数学中的未解决问题。尽管问题本身非常简单，但仍有许多尚未被证明的问题。

完全数有无数个吗？

完全数是指除了自身以外的所有正约数之和等于其本身的自然数。例如：

6的约数有1、2、3，而1+2+3=6，因此它是完全数。
28的约数有1、2、4、7、14，而1+2+4+7+14=28，因此它是完全数。

目前只发现了51个完全数，虽然人们猜想它有无数个，但至今尚未被证明。

哥德巴赫猜想

哥德巴赫猜想是指任何大于2的偶数都可以表示为两个素数之和。（这里的素数是指除了1和自身之外没有其他约数的自然数。）

例如：

4=2+2
6=3+3
8=3+5
10=3+7=5+5

问题本身非常简单，但至今仍未被证明。

黎曼猜想

黎曼猜想是指黎曼ζ函数的零点仅限于负偶数以及实部为 1/2 的复数。

黎曼ζ函数是指，当$s$为复数、$n$为自然数时，由

$$\zeta(s):=\sum _{n=1}^{\infty }{\frac {1}{n^{s}}}=1+{\frac {1}{2^{s}}}+{\frac {1}{3^{s}}}+{\frac {1}{4^{s}}}+\cdots$$

所定义的函数$\zeta$。

使用埃拉托斯特尼筛法列举1000以下的素数

Sun, 09 Apr 2023 12:54:24 +0900

什么是埃拉托斯特尼筛法

埃拉托斯特尼筛法是一种用于列举小于等于某个数值的所有素数的算法。算法非常简单，可以通过以下步骤实现：

创建一个包含 N 个元素的 bool 值数组，并将所有元素初始化为 true
将数组的第 0 个和第 1 个元素设为 false（因为 0 和 1 不是素数）
如果数组的第 2 个元素为 true，则将 2 作为素数输出
将数组中 $2^2$ 及以上的所有 2 的倍数位置的元素设为 false※
如果数组的第 3 个元素为 true，则将 3 作为素数输出
将数组中 $3^2$ 及以上的所有 3 的倍数位置的元素设为 false
对于第 4 个、第 5 个、……、第 N 个元素，重复相同的处理

※ 之所以将平方以上的元素作为 false 的目标，是因为小于平方的数已经被处理过（列举已完成）。

Rust 中的实现

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


fn main() {
 let n = 1000;
 let mut is_prime = vec![true; n+1];
 is_prime[0] = false;
 is_prime[1] = false;
 for i in 2..=n {
 if is_prime[i] {
 println!("{}", i);
 let mut j = i * i;
 while j <= n {
 is_prime[j] = false;
 j += i;
 }
 }
 }
}

稍微优化的版本

考虑到以下几点，我们进行稍微优化后的实现：

数组不使用 true 而是使用 false 进行初始化（这样更快）
2 的倍数不是素数，所以省略将 2 的倍数元素设为 false 的处理
不需要循环到 n，只需列举到 n 的平方根即可找出 n 以下的素数

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


fn main() {
 let n = 1000;
 let mut is_prime = vec![false; n+1];
 is_prime[2] = true;
 for i in (3..=n).step_by(2) {
 is_prime[i] = true;
 }
 for i in 3..=((n as f64).sqrt() as usize) {
 if is_prime[i] {
 let mut j = i * i;
 while j <= n {
 is_prime[j] = false;
 j += i * 2;
 }
 }
 }
 for i in (2..=n).filter(|&x| is_prime[x]) {
 println!("{}", i);
 }
}

参考

埃拉托斯特尼筛法

为什么我喜欢数学和计算机呢

Fri, 23 Sep 2022 01:56:52 +0900

试着思考了一下为什么我喜欢数学和计算机呢

对所有人平等

不分人、立场和地点，对相同的输入总是返回相同的输出。

规则明确

规则明确设定，没有荒谬或不公。

得出的答案和理论永远正确

不用担心一旦得出的答案以后会被改写。

难度适中

总是有未解决的问题，随时可以挑战解决问题。

数学的伟人们

Thu, 22 Sep 2022 23:06:37 +0900

费马 (P, de Fermat, 1601-1665)

17世纪代表性的法国数学家。对解析几何、概率论、微积分等进行了奠基工作。也是数论的始祖。

丢番图 (Diophantus, 207左右-291左右)

希腊数学家。以引入符号系统和研究有理数解而闻名。代表作是《算术》。求方程式有理数解的分支被称为丢番图分析。

欧拉 (L. Euler, 1707-1783)

瑞士诞生的数学之王。在几乎所有的数学领域都取得了成就。留下了700多篇论文和45部著作。

勒让德 (A. M. Legendre, 1752-1833)

法国数学家。在整数论、椭圆积分、引力问题等领域留下了大量成就。“数论”一词源自他的主要著作《数论》。

库默尔 (E. E. Kummer, 1810-1893)

德国数学家。将分圆体的整数论应用于费马大定理，取得了巨大成果。

笛卡尔 (R. Descartes, 1596-1650)

法国极具独创性的哲学家。代表作有《方法论》、《几何学》、《宇宙论》等。

帕斯卡 (B. Pascal, 1623-1662)

以研究概率论和流体闻名的法国哲学家。后来加入冉森派，从事宗教活动。《思想录》就是那个时期的著作。

巴谢 (C. G. Bachet, 1581-1638)

法国贵族，以数字谜题为兴趣。出版了丢番图《算术》的拉丁文译本，并将其作为自己研究的注释刊登。

沃利斯 (J. Wallis, 1616-1703)

英国数学家。在主要著作《无穷算术》中赋予极限概念以数学形式，为微积分学奠定了基础。

布龙克尔 (W. Brouncker, 1620-1684)

爱尔兰贵族。皇家学会（英国科学院）首任会长。数学爱好者，与沃利斯等人有交往。

拉格朗日 (J. L. Lagrange, 1736-1813)

出生于意大利的法国数学家。继欧拉之后担任柏林科学院数学部主任。在整数论、分析力学等领域取得了巨大成就。

西格尔 (C. L. Siegel, 1896-1981)

德国数论学家。在数的分析理论方面做出了诸多贡献。

斐波那契 (L. Fibonacci, 1175左右-1250左右)

意大利数学家。主要著作《算盘书》使用了印度-阿拉伯数字，致力于其普及。并在《平方书》中论述了同余数。

贝克 (A. Baker, 1939-)

英国数论学家。因在超越数论方面的贡献，与广中平佑共同获得了菲尔兹奖。

庞加莱 (J. Poincare, 1854-1912)

被称为最后的全能数学家的法国数学家。不仅在自守函数论、非欧几何、微分方程、天体力学、电动力学等领域，在科学评论方面也留下了卓越的著作。

莫德尔 (L. J. Mordell, 1888-1972)

美国出生的数学家。父母是来自立陶宛的移民。在不定方程论方面有大量论文，其中椭圆曲线论中的莫德尔定理尤为著名。韦伊将其推广到一般代数曲线的情况，算术代数几何由此获得了爆炸性的发展。

韦伊 (A. Weil, 1906-)

犹太裔法国数学家。年轻时对费马问题产生兴趣，为了将其应用于数论，对代数几何学进行了根本性的重新审视，奠定了严格的基础。也以数学史著作而闻名。

梅森 (M. Mersenne, 1588-1648)

法国最小兄弟会的教士。负责各地数学家的往来书信。“梅森数”这个名称的数，实际上是由费马想出的。

罗贝瓦尔 (G. P. de Roberval, 1602-1675)

法国数学家。当时作为数学家获得教授职位的几乎唯一一人，以研究摆线等而闻名。

阿贝尔 (N. H. Abel, 1802-1829)

挪威数学家。在一般五次方程的不可解性、椭圆函数论、阿贝尔积分论等方面取得了卓越成就，但英年早逝。

雅可比 (K. G. Jacob, 1804-1851)

犹太裔德国数学家。在椭圆函数论、θ函数论、微分方程、变分学等领域留下了巨大成就。向世人介绍了阿贝尔的成就。以宣称科学的目的是为了“人类精神的荣誉”，并排斥实用主义而闻名。

高斯 (C. F. Gauss, 1777-1855)

德国诞生的数学王。以整数论、非欧几何、大地测量学、超几何级数、曲面论、地磁研究等闻名。是个完美主义者，据说除非完善到连脚手架都看不见的地步，否则不会公开成果。代表作为《算术研究》等。

拉梅 (G. Lame, 1795-1870)

法国数学家。对弹性力学、热传导论等有贡献。

刘维尔 (J. Liouville, 1809-1882)

法国数学家。对微分方程、超越整数论、函数论做出了贡献。

柯西 (A. L. Cauchy, 1789-1857)

法国数学家。多产，在理论物理、数学方面成就卓著。据说在法国受到与高斯同等的尊敬。

伽罗瓦 (E. Galois, 1811-1832)

法国数学家。引入了群的概念，阐明了阿贝尔定理：五次以上的方程一般不能用代数方法求解。年纪轻轻就在决斗中倒下，现在已知起因是因为无聊的女性问题。

亨泽尔 (K. Hensel, 1861-1941)

德国数学家。克罗内克的弟子。应用函数论方法将 p 进数（p 进解析）理论引入数论。

哈塞 (H. Hasse, 1898-1979)

德国数学家。亨泽尔的弟子，为p进分析的奠基及其应用做出了贡献。参与了类域论的整理、椭圆曲线L函数的研究等。

克罗内克 (L. Kronecker, 1823-1891)

犹太裔德国数学家。对椭圆函数论、数论等有贡献。也因提倡数学的算术基础而闻名，但其主观性极强的性格，对柏林大学同事魏尔斯特拉斯进行无理的批评，妨碍康托尔就业等，给他的一生留下了负面印象。

希尔伯特 (D. Hilbert, 1862-1943)

德国数学家。在不变量理论、代数整数论、数学基础论等数学的各个领域留下了巨大的足迹。他在巴黎国际数学家大会(1900年)上提出的23个问题对数学的发展产生了巨大影响。

黎曼 (B. Riemann, 1826-1866)

德国数学家。在复变函数论中提出黎曼面的概念、黎曼几何学等，取得了涉及数学根本的巨大成就。

法尔廷斯 (G. Faltings, 1954-)

德国数学家。于1983年解决了莫德尔猜想。

怀尔斯 (A. Wiles, 1953-)

出生于英国的数学家。在岩泽主猜想、贝赫和斯维讷通-戴尔猜想（BSD猜想）等研究中做出了巨大贡献，是该领域的领军人物。

参考文献

《费马大定理被证明了！从欧拉到怀尔斯的证明》讲谈社

【公式完全解析】经典最强“GNFS”为何败给量子算法？因数分解的范式转变

Mon, 01 Jan 0001 00:00:00 +0000

现代互联网社会中的信息安全，是由以RSA密码为首的公开密钥密码体制来保障的。RSA密码安全性的依据依赖于这样一个事实：“对巨大的合数进行因数分解在计算上是极其困难的”。

本文将为您剖析经典计算机中最强的因数分解算法——“普通数域筛选法”（General Number Field Sieve, GNFS）的数学机制，并通过公式和概念图深入探讨它为何会被彼得·肖尔发现的 “Shor算法” 彻底击败，揭示这场范式转变。

1. 经典计算中的因数分解方法：从费马因数分解法的发展

因数分解问题是指：对于给定的合数 $N$，找到素数 $p, q$ 使得 $N = p \times q$ 的问题。

基本的思路归结为寻找满足以下同余式的非平凡的 $x, y$：

$$ x^2 \equiv y^2 \pmod N $$

对其进行变形，得到：

$$ x^2 - y^2 \equiv 0 \pmod N $$ $$ (x - y)(x + y) \equiv 0 \pmod N $$

在此，如果 $x \not\equiv \pm y \pmod N$，则通过计算 $\gcd(x-y, N)$ 或 $\gcd(x+y, N)$，就可以得到 $N$ 的非平凡因子。这一事实构成了包括GNFS在内的现代因数分解算法的基础。

2. 经典最强算法：“普通数域筛选法”（GNFS）的深渊

“GNFS” 是目前已知针对经典计算机的最快因数分解算法。其时间复杂度需要亚指数级（Sub-exponential）的时间。

GNFS的计算复杂度

设数字 $N$ 的位数为 $b = \log_2 N$，GNFS的计算复杂度可以表示为：

$$ O\left( \exp \left( \left(\frac{64}{9} b\right)^{1/3} (\log b)^{2/3} \right) \right) $$

从这个公式可以看出，计算复杂度并不是多项式时间，而是比指数函数稍慢的 “亚指数时间”。尽管如此，随着位数的增加，计算时间仍会呈天文数字般增长。

GNFS的数学机制

GNFS主要由四个步骤组成：

多项式选择 (Polynomial Selection)
筛选 (Sieving)
矩阵化简 (Matrix Reduction)
平方根计算 (Square Root)

2.1. 多项式选择与代数数域

首先，选择以整数为系数的不可约多项式 $f(x)$ 和 $g(x)$。它们被设定为在模 $N$ 下具有公共根 $m$。即：

$$ f(m) \equiv 0 \pmod N $$ $$ g(m) \equiv 0 \pmod N $$

通常，$g(x)$ 被选择为一次多项式 $g(x) = x - m$。设 $f(x)$ 的根为 $\alpha$，则构造出一个名为 $\mathbb{Q}(\alpha)$ 的 “代数数域”（Number Field）。通过同态映射 $\phi: \alpha \mapsto m$，比较 $\mathbb{Q}(\alpha)$ 环中的运算与普通整数环 $\mathbb{Z}$ 中的运算。

2.2. 筛选 (Sieving)

接着，寻找大量互素的整数对 $(a, b)$。目的是找到满足以下两个值分别为 “B-smooth”（仅由较小素因子组成）的整数对：

$a - bm$ （整数环上的值）
$b^d f(a/b)$ （对应代数数域上的范数 $N(a - b\alpha)$）

在这里采用被称为 “筛选”（Sieve）的高效搜索方法。这使得我们能够从庞大的候选集中高效提取满足条件的 $(a, b)$ 对。

2.3. 矩阵化简 (Linear Algebra over GF(2))

由收集到的整数对 $(a, b)$ 构造指数向量，并在 $\mathbb{F}_2$ （仅包含0和1的域）上求解巨大稀疏矩阵的左零空间。

找到向量 $v$ 作为解，使得关系式 $ \prod (a_i - b_i m) $ 和 $ \prod (a_i - b_i \alpha) $ 都成为平方元。这无异于求解如下线性方程组：

$$ M \mathbf{x} \equiv \mathbf{0} \pmod 2 $$

在这里，使用了如分块Lanczos法（Block Lanczos Algorithm）和分块Wiedemann法（Block Wiedemann Algorithm）等高级数值计算算法。

2.4. 平方根计算

最后，在代数数域和整数环上同时取平方根，导出 $x^2 \equiv y^2 \pmod N$ 的关系式。然后计算 $\gcd(x-y, N)$ 从而得到因子。

3. 量子计算的突破：“Shor算法”

相较于GNFS需要亚指数级时间，彼得·肖尔在1994年发表的 “Shor算法”，利用量子计算机可以在 “多项式时间” 内解决这一问题。

Shor算法的计算复杂度

假设量子比特数为 $O(\log N)$，时间复杂度如下：

$$ O((\log N)^3) $$

这意味着它不会随比特数产生指数级的爆炸。即使是那些对于 “经典计算” 而言计算量超过宇宙寿命的巨大合数，在 “量子计算” 下也能在几小时到几天内破解，这是一个惊人的结果。

Shor算法全貌：归结为寻找周期问题

Shor算法巧妙地将因数分解问题归结为 “寻找周期问题”。

选取与 $N$ 互素的随机整数 $a$（$1 < a < N$）。
定义函数 $f(x) = a^x \bmod N$。
找到 $f(x)$ 的周期 $r$，即满足 $a^r \equiv 1 \pmod N$ 的最小正整数 $r$。
如果 $r$ 为偶数，则检查 $a^{r/2} \not\equiv -1 \pmod N$ 是否成立，计算 $\gcd(a^{r/2} \pm 1, N)$ 以获得素因子。

这个步骤3中 “周期的寻找 $r$” 正是经典计算机需要指数级时间的瓶颈，但量子计算机利用 “量子叠加” 和 “量子傅里叶变换”（QFT），可以瞬间解决这个问题。

4. 量子傅里叶变换（QFT）与周期提取

让我们用公式详细看看Shor算法的核心——量子状态的操作。

4.1. 量子叠加的生成

首先，准备两个量子寄存器。寄存器1保持输入 $x$ 的叠加态，寄存器2保持函数的计算结果 $f(x)$。对初始状态 $|0\rangle |0\rangle$ 应用阿达马变换（Hadamard Transform），创造出所有可能 $x$ 的叠加。

$$ |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |0\rangle $$

（其中 $Q$ 是满足 $N^2 \le Q < 2N^2$ 的2的幂）

接着，利用量子预言机 $U_f$ 计算 $f(x) = a^x \bmod N$ 并存入寄存器2。

$$ |\psi_2\rangle = U_f |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |a^x \bmod N\rangle $$

假设现在测量了寄存器2（实际上即使不测量，数学结构也是相同的）。如果观测到某个值 $y = a^{x_0} \bmod N$，寄存器1的状态就会坍缩到所有使 $f(x) = y$ 成立的 $x$ 的叠加。设周期为 $r$，那么这样的 $x$ 将是 $x_0, x_0 + r, x_0 + 2r, \dots$。

$$ |\psi_3\rangle = \frac{1}{\sqrt{M}} \sum_{k=0}^{M-1} |x_0 + kr\rangle $$

（其中 $M \approx Q/r$ 是项数）

这个状态内含了周期 $r$ 的信息，但直接测量只能得到随机的 $x_0 + kr$，无法得知周期 $r$。这时QFT便派上用场了。

4.2. 应用量子傅里叶变换 (Quantum Fourier Transform)

QFT是对量子状态的振幅进行离散傅里叶变换的操作。QFT对状态 $|x\rangle$ 的作用定义如下：

$$ \text{QFT} |x\rangle = \frac{1}{\sqrt{Q}} \sum_{y=0}^{Q-1} e^{2\pi i \frac{xy}{Q}} |y\rangle $$

将此应用于 $|\psi_3\rangle$，会发生相位干涉（量子干涉）。

$$ |\psi_4\rangle = \text{QFT} |\psi_3\rangle = \frac{1}{\sqrt{MQ}} \sum_{y=0}^{Q-1} \sum_{k=0}^{M-1} e^{2\pi i \frac{(x_0 + kr)y}{Q}} |y\rangle $$

展开此式的和：

$$ \sum_{k=0}^{M-1} e^{2\pi i \frac{kry}{Q}} $$

这部分便显现出来。这个等比数列的和，只有当 $ry/Q$ 接近整数时才会增强（Constructive Interference），在其他情况下则会相互抵消（Destructive Interference）。

因此，以高概率被测量到的状态 $|y\rangle$ 将是满足以下条件的整数 $y$：

$$ \frac{y}{Q} \approx \frac{c}{r} $$

（$c$ 为某个整数）

4.3. 通过连分数展开确定周期

通过测量得到 $y$ 后，使用经典计算机对 $y/Q$ 进行 “连分数展开”（Continued Fraction Expansion）。由此计算出 $y/Q$ 的近似分数 $c/r$，从而可以高效地从分母中提取出周期 $r$ 的候选值。

5. 概念模型比较与范式转变

为了直观理解GNFS和Shor算法的区别，下面展示使用Mermaid语法的概念图。

基于量子电路的Shor算法概念图

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


graph TD
 A[初始状态: 0...0] --> B[阿达马变换实现全状态叠加]
 B --> C[模幂运算 a^x mod N]
 C -->|量子纠缠| D[坍缩到具有周期性的状态]
 D --> E[量子傅里叶变换 QFT]
 E -->|干涉概率放大| F[测量: 得到y]
 F --> G[经典处理: 连分数展开]
 G --> H[找到周期 r]
 H --> I[算出N的素因子]

 style A fill:#f9f,stroke:#333,stroke-width:2px
 style E fill:#bbf,stroke:#333,stroke-width:2px
 style I fill:#bfb,stroke:#333,stroke-width:2px

范式转变的本质

GNFS采取了 “在数学空间（代数数域）中寻找关系式” 的方法。然而，搜索空间随位数呈指数级扩展，因此在经典计算机的计算能力（即使包含并行化）下，当密钥长度超过2048位等时，实际上是无法解密的。

另一方面，Shor算法利用了 “量子干涉的波特性”。同时评估处于叠加态的所有计算路径，通过QFT抵消（减弱）不需要的答案，仅放大（增强）作为正确答案的周期概率振幅。由此实现了非遍历空间，而是 “让正确答案浮现” 的完全不同维度的途径。

6. 总结

本文深入比较了经典极限巅峰的 “GNFS” 和展现量子计算力量的 “Shor算法”，探讨了各自的数学背景和算法结构。

相较于GNFS倾尽多项式选择或巨大矩阵计算等数学技巧将计算复杂度降至亚指数时间，Shor算法将量子力学的基本原理——叠加与干涉与数学工具（QFT）融合，一举实现了向多项式时间的突破。

目前，能够以实用规模（数千个量子比特）运行Shor算法的容错量子计算机（FTQC）尚不存在。然而，正是这种数学与理论范式转变的存在，构成了当今世界急切向抗量子密码（PQC: Post-Quantum Cryptography）过渡的最大理由。

数学・密码・量子 on kenji.blog

【PQC】量子计算时代的新一代密码学：后量子密码学全景

引言：量子计算机带来的密码技术“威胁”

什么是后量子密码学（PQC）？

支撑PQC的4个主要数学路径

后量子密码学（PQC）的主要路径

1. 基于格的密码（Lattice-based Cryptography）

2. 基于哈希的密码（Hash-based Cryptography）

3. 多变量多项式密码（Multivariate Cryptography）

4. 基于编码的密码（Code-based Cryptography）

NIST推进PQC标准化的最新动向

已制定的FIPS标准（2024年）

追求进一步的多样性

向PQC迁移的场景与挑战：“密码敏捷性”的重要性

采用混合方法

实现密码敏捷性（Crypto-Agility）

结语：为即将到来的“Q-Day”做好准备

破解互联网密码的人类最强数学“一般数域筛选法（GNFS）”是什么？

破解互联网密码的人类最强数学“一般数域筛选法（GNFS）”是什么？

第1章：密码破译的目标是“初三的公式”

为什么“余数相同”就能解开密码？

第2章：如何寻找X和Y？“收集质数卡片的拼图”

Step 1：用筛子只收集沙金（平滑数）

Step 2：全部变成“偶数个”的拼图

第3章：阻挡在前的绝望之墙

第4章：人类最强的点子，创造“两个世界”

代数式的魔法

在两个世界同时寻找沙金

密码终于被破译的瞬间

结语：数学永无止境

考拉兹猜想

“任何数字最终都会变成1”是真的吗？——玩转考拉兹猜想

考拉兹猜想究竟是什么？

用代码试试看：用Python写考拉兹猜想

那么，到底哪里厉害呢？

考拉兹是谁？

不需要“复杂的公式”

彩蛋：一次性测试的代码

结论：这个世界，果然很不可思议

推荐链接（面向感兴趣的人）

P≠NP猜想

概要

爱因斯坦的名言

世界不会评价你的善行？

尽管如此，继续站起来

将爱因斯坦的教诲应用于日常生活

总结

生成素数的C语言代码

Mathematica入门

Mathematica入门

解方程

在整数范围内求方程的解

解方程组

解不等式

微分

积分

求极限

求级数

创建矩阵

求矩阵乘积

求逆矩阵

求特征值与特征向量

求向量的点积

求向量的叉积

求向量的模（大小）

求向量的夹角

求向量的投影

求向量的旋转

求向量的平移

求向量的缩放

求向量的反转（反射）

生成随机数

生成随机数（整数）

生成随机数（指定范围）

生成随机数（整数、指定范围）

生成随机数（指定分布）

生成随机数（指定分布、指定数量）

生成随机数（指定分布、指定数量、指定种子）

对数组元素应用函数

使用Lambda表达式定义函数