Technology on kenji.blog

什么是量子超越性？Google与IBM的最新动态

Fri, 11 Sep 2026 18:00:00 +0900

1. 引言：量子计算的黎明与“量子超越性”

量子计算通过将作为物理学根本原理的量子力学应用于信息处理，蕴含着解决经典计算机（我们现在日常使用的个人电脑和超级计算机）在现实时间内无法解决的复杂问题的潜力。这一领域长期以来以理论研究为主，但近年来，随着硬件的快速进步，迈向实用化的竞争正日益激烈。

其中最受瞩目的关键词之一就是“量子超越性（Quantum Supremacy）”。这指的是在特定的计算任务中，量子计算机展现出压倒经典计算机计算能力的瞬间。本文将从量子超越性的严格定义出发，详细探讨2019年宣布在世界上首次达成这一里程碑的Google“Sycamore”处理器的实验细节、IBM对此的反驳及独特方法，以及迈向真正实用化的最大障碍——“量子纠错（Quantum Error Correction: QEC）”和“容错量子计算（Fault-Tolerant Quantum Computing: FTQC）”的最新路线图，并进行技术和数学层面的深入解说。

2. 理论背景：量子计算的基础与复杂性类

为了理解量子超越性，首先需要理解量子计算的数学基础及其在计算复杂性理论中的定位。

量子比特与叠加态

经典计算机中信息的最小单位是比特（0或1），而量子计算机使用的是量子比特（Qubit）。1个量子比特的状态 $|\psi\rangle$ 可以表示为基态 $|0\rangle$ 和 $|1\rangle$ 的复数线性组合。

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

这里，$\alpha, \beta \in \mathbb{C}$，且满足归一化条件 $|\alpha|^2 + |\beta|^2 = 1$。这种性质被称为“叠加（Superposition）”。

纠缠（Entanglement）与张量积

当存在多个量子比特时，整个系统的状态由各个量子比特状态空间的张量积表示。$n$ 个量子比特的系统是 $2^n$ 维希尔伯特空间 $\mathcal{H}^{\otimes n}$ 上的向量。

$$ |\Psi\rangle = \sum_{x \in \{0, 1\}^n} c_x |x\rangle $$

这里，$\sum |c_x|^2 = 1$。量子比特之间并不独立，一个的状态依赖于另一个状态的情形被称为“量子纠缠（Quantum Entanglement）”。借助这一点，量子计算机具有同时处理呈指数级广阔状态空间的潜力。

量子超越性的计算复杂性理论定义

在计算复杂性理论中，经典计算机能够高效（在多项式时间内）解决的问题类被称为 BPP (Bounded-error Probabilistic Polynomial time)。另一方面，量子计算机能够高效解决的问题类是 BQP (Bounded-error Quantum Polynomial time)。

实证量子超越性意味着“在实际的量子硬件上执行包含在BQP中但不包含在BPP中（或可能性极高）的特定任务，并在时间与资源上凌驾于经典超级计算机的模拟”。可以说，这是通过物理实验来反驳扩展丘奇-图灵论题（“所有物理上可实现的计算模型都能由概率图灵机在多项式时间内模拟”）的历史性尝试。

3. 2019年：Google对量子超越性的实证

2019年10月，Google Quantum AI团队在科学期刊《Nature》上宣布，他们使用53个量子比特的超导处理器“Sycamore（悬铃木）”实现了量子超越性。

Sycamore处理器的架构

Sycamore处理器由呈二维网格状排列的54个Transmon型超导量子比特组成（实验中由于1个出现故障，实际使用了53个）。相邻量子比特之间配置了可调耦合器（Tunable Coupler），实现了高速且高精度的双量子比特门（iSWAP门和控制Z门的混合）。

graph TD A["输入量子算法"] --> B["Sycamore处理器（53个量子比特）"] B --> C["应用随机量子门"] C --> D["测量量子态（比特串）"] D --> E["交叉熵基准测试（XEB）"] E --> F["验证量子超越性"]

随机量子电路采样（Random Circuit Sampling: RCS）

Google选择的任务是“随机量子电路采样”。该任务通过在多个周期（深度 $m$）内应用随机选择的单量子比特门和双量子比特门，测量最终状态，并从获得的比特串的概率分布中进行采样。

理想（无噪声）的随机量子电路输出比特串 $x$ 的概率并不是均匀分布的，而是呈现出一种被称为波特-托马斯分布（Porter-Thomas distribution）的类似干涉条纹的模式。为了在经典计算机上从该分布中采样，需要模拟整个状态向量，计算量相对于量子比特数 $n$ 和电路深度 $m$ 呈指数级增长。

保真度（Fidelity）的评估：线性交叉熵基准测试（XEB）

为了证明实验结果不仅仅是噪声，而是实际进行了量子计算的结果，Google使用了线性交叉熵基准测试（Linear Cross-Entropy Benchmarking: XEB）。通过经典计算机计算实验中获得的比特串 $x_i$ 对应的电路理想概率 $P(x_i)$，并通过以下公式求得保真度 $\mathcal{F}_{\text{XEB}}$。

$$ \mathcal{F}_{\text{XEB}} = 2^n \langle P(x_i) \rangle_{i} - 1 $$

如果 $\mathcal{F}_{\text{XEB}}$ 为0，则意味着完全是噪声；如果是1，则意味着是没有噪声的理想量子处理器。Sycamore处理器在深度为20的电路中实现了 $\mathcal{F}_{\text{XEB}} \approx 0.002$ (0.2%)。乍一看似乎很低，但它在统计学上是显著大于零的值，并且是控制了 $2^{53} \approx 9 \times 10^{15}$ 状态空间的惊人成果。

整体的错误率被近似建模为各个门错误、测量错误等的乘积。

$$ \mathcal{F} \approx (1 - e_1)^{N_1}(1 - e_2)^{N_2} \cdots \approx \prod_{g \in 1Q} (1 - e_g) \prod_{g \in 2Q} (1 - e_g) \prod_{q} (1 - e_{RO}) $$

（※ $e_g$ 为门错误，$e_{RO}$ 为测量错误）

Google声称，使用经典超级计算机（Summit）模拟这个电路需要大约1万年。相比之下，Sycamore仅用了200秒就完成了采样。

4. IBM的反驳：从“超越性”到“实用性（Utility）”

Google的宣布震惊了世界，但开发了世界最大超级计算机“Summit”并同样引领量子计算机开发的IBM，立即发表论文反驳了这一主张。

通过张量网络收缩改善经典模拟

IBM反驳的核心在于“经典计算机一侧的算法和资源优化不足”。Google基于直接计算薛定谔方程时间演化的状态向量模拟器，得出了需要1万年的估计，但IBM指出，通过使用一种称为“张量网络（Tensor Network）”的方法，可以显著缩短模拟时间。

在张量网络中，量子电路的门操作被表示为多维数组（张量）的运算，并对网络的“收缩（Contraction）”顺序进行优化。此外，IBM主张如果充分利用Summit拥有的250 PB巨大存储空间（磁盘与内存分层），可以在保留整个状态向量的同时，在仅仅“两天半”内进行更高精度的模拟。

Quantum Advantage 与 Quantum Utility

以此争论为契机，整个行业的趋势从执着于“执行经典计算机无法完成的人工任务（Supremacy）”，逐渐转变为“在现实社会的有用问题上，展现出相比经典方法实质性的优势（Quantum Advantage）”，进而迈入“量子计算机作为科学发现的新工具发挥作用（Quantum Utility）”的阶段。

IBM自身避开了“超越性”一词，提出了作为量子处理器综合性能指标的“量子体积（Quantum Volume）”和“CLOPS (Circuit Layer Operations Per Second)”，并推动了注重硬件规模与质量平衡的研发。

timeline title "量子里程碑的演进" 2019 : "Google Sycamore (53Q)" : "宣布实现量子超越性" 2019 : "IBM反驳" : "Summit超级计算机2.5天内完成模拟" 2021 : "IBM Eagle (127Q)" : "突破100量子比特大关" 2022 : "IBM Osprey (433Q)" : "推进处理器规模扩大" 2023 : "Google表面码" : "扩展错误纠正（d=3 到 d=5）" 2023 : "IBM量子实用性" : "在127Q上进行复杂自旋模型模拟" 2024 : "未来" : "逻辑量子比特与错误缓解时代"

5. 下一个前沿：错误缓解（Error Mitigation）与量子纠错（QEC）

目前的量子计算机被称为“NISQ（Noisy Intermediate-Scale Quantum）”，容易受到噪声（由于与外部环境相互作用或控制不完善导致的错误）的影响，如果进行长时间计算，结果就会被噪声淹没。为了克服这个问题，主要有“错误缓解（Error Mitigation）”和“量子纠错（Quantum Error Correction）”两种方法。

错误缓解（Error Mitigation）

错误缓解是一种不改变量子硬件，通过经典后处理从计算结果的期望值中去除噪声影响的方法。IBM在2023年将127量子比特的“Eagle”处理器与“零噪声外推（Zero-Noise Extrapolation: ZNE）”等错误缓解技术相结合，在复杂伊辛模型的时间演化模拟中，达到了超越最先进近似张量网络法的精度，从而实证了“Quantum Utility（量子实用性）”。

量子纠错（QEC）与逻辑量子比特

然而，为了最终执行任意复杂的算法（例如Shor的因数分解算法或复杂的量子化学计算），仅靠错误缓解是不够的，必须要有动态检测并纠正错误的“量子纠错（QEC）”。

QEC的主流方法是“表面码（Surface Code）”。这种方法将多个物理量子比特（数据量子比特）排列成二维网格，并在它们之间放置用于测量的量子比特（辅助量子比特），以连续进行被称为“稳定子（Stabilizer）”的奇偶校验。

graph LR Q1["数据量子比特（Data）"] --- M1["测量X稳定子（辅助）"] Q2["数据量子比特（Data）"] --- M1 Q3["数据量子比特（Data）"] --- M2["测量Z稳定子（辅助）"] Q4["数据量子比特（Data）"] --- M2 M1 --> EC["错误症状解码（经典）"] M2 --> EC EC --> LQ["逻辑量子比特状态更新"]

阈值定理（Threshold Theorem）与距离 $d$

量子纠错存在“阈值定理”。当物理量子比特的错误率 $p$ 低于特定阈值 $p_{th}$（在表面码的情况下约为 1% 左右）时，通过增加码距（Distance）$d$（将更多物理量子比特分配给1个逻辑量子比特），可以呈指数级地降低逻辑错误率 $p_L$。

逻辑错误率的近似公式表示如下：

$$ p_L \approx \Lambda \left( \frac{p}{p_{th}} \right)^{\frac{d+1}{2}} $$

这里，$\Lambda$ 是常数。只要 $p < p_{th}$，随着 $d$ 的增大，$p_L$ 就会变得越小。然而，如果 $p > p_{th}$，增加物理量子比特反而会导致噪声积累，从而恶化逻辑错误率。

Google的2023年里程碑：通过扩展距离实证错误降低

2023年2月，Google在《Nature》上发表了一篇具有里程碑意义的论文。他们使用第三代Sycamore处理器，在世界上首次实证了当表面码的距离从 $d=3$（使用17个物理量子比特）扩展到 $d=5$（使用49个物理量子比特）时，逻辑错误率从 3.028% 略微下降到 2.914%。

这意味着他们已经踏入了 $p < p_{th}$ 的区域，表明随着物理量子比特数量的增加，性能也会随之提升，这标志着迈向FTQC最重要的原理验证（Proof of Concept）已经完成。

6. 迈向FTQC（容错量子计算）的路线图与展望

Google和IBM虽然采用了不同的架构和方法，但都在为了最终目标——FTQC（Fault-Tolerant Quantum Computing）而展开激烈的研发竞争。

IBM的方法：模块化与重六边形网格

IBM在致力于将错误率降至最低的同时，也专注于处理器的规模扩大。在以“Eagle(127Q)”、“Osprey(433Q)”、“Condor(1121Q)”挑战单芯片极限的同时，他们还发布了名为“Quantum System Two”的模块化架构。此外，在量子比特的耦合拓扑结构上，采用了能够减少不必要的串扰并提高稳定性的“重六边形（Heavy-Hex）网格”。IBM的战略是在短期内通过高级错误缓解来追求实用性，同时分阶段引入QEC的混合方法。

Google的方法：提升逻辑量子比特的质量

Google的战略侧重于将单个逻辑量子比特的错误率降至极限（例如降至 $10^{-6}$），而不是急剧增加物理量子比特的数量。在此基础上，确立在模块之间传输量子态的技术（Quantum Interconnects），旨在打造能让数千至数万个物理量子比特并行运行的大规模系统。

要以容错的方式执行魔法状态蒸馏（Magic State Distillation）等非克利福德门，相关的协议实现也将是未来重大的技术障碍。据说为了执行实用的Shor算法以破解2048位的RSA加密，需要数千个错误率在 $10^{-8}$ 以下的逻辑量子比特，换算成物理量子比特则需要数百万至数千万个，道路依然漫长。

7. 结语

在量子计算机的历史中，“量子超越性”是通过物理方式证明计算机理论潜力的重要里程碑。Google在2019年的实证以及IBM建设性的反驳，将整个行业从单纯的理论证明推向了追求实际实用性（Utility）以及最终迈向容错量子计算（FTQC）的真正工程时代。

如今，我们正见证着从充满噪声的NISQ设备向具备错误纠正功能的逻辑量子比特设备的过渡期。在未来几年到十年间，新的材料科学发现、新药研发流程的革命，以及优化问题的突破，都将随着这种量子硬件的演进而成为现实。

塑造未来计算机科学的Google和IBM，以及世界各地研究人员的动态，将持续值得我们密切关注。

后量子时代的区块链和虚拟货币将如何改变？

Fri, 11 Sep 2026 17:00:00 +0900

1. 引言：后量子时代的脚步声与区块链的危机

自2009年中本聪（Satoshi Nakamoto）创造比特币（Bitcoin）以来，区块链技术作为“去中心化且不可篡改的账本”，已成长为全球金融系统和应用程序的基础设施。支撑这种坚如磐石的安全性的是**公钥密码学（Public Key Cryptography）和密码学哈希函数（Cryptographic Hash Functions）**等现代密码技术。

这些密码技术保证安全性的依据是数学上的“计算困难性”，即使用经典计算机（我们现在使用的个人电脑和超级计算机），即使花费宇宙寿命般漫长的时间也无法破解。

然而，这一前提正随着物理学和信息科学的前沿领域——**量子计算机（Quantum Computers）**的快速发展和实用化，面临着被彻底颠覆的危险。利用量子力学特有的“叠加态（Superposition）”和“量子纠缠（Entanglement）”，量子计算机在某些特定数学问题上展现出压倒传统经典计算机的计算能力，即所谓的“量子霸权（Quantum Supremacy）”。

本文将深入探讨区块链技术具体面临着量子计算机的哪些威胁，并从技术和数学的角度，彻底解析作为解决方案的**抗量子计算密码学（PQC：Post-Quantum Cryptography）**的最新动态，以及加密资产网络的过渡方案。

2. 量子计算机的基础及对区块链的两大威胁

当前的区块链系统主要由以下两种密码要素构成，它们分别面临着不同量子算法的威胁。

graph TD A["量子计算机惊人的计算能力"] --> B["Shor算法 (Shor's Algorithm)"] A --> C["Grover算法 (Grover's Algorithm)"] B --> D["公钥密码学 (ECDSA/RSA/DSA) 的崩溃"] C --> E["对密码学哈希函数 (SHA-256) 的影响"] D --> F["破解他人私钥・伪造交易"] E --> G["PoW挖矿的优势・对部分地址的攻击"] F --> H["区块链中致命且直接的威胁"] G --> I["可通过调整算法 (如增加密钥长度等) 应对的威胁"] style H fill:#ff9999,stroke:#cc0000,stroke-width:2px; style I fill:#ffff99,stroke:#cccc00,stroke-width:2px;

2.1. 椭圆曲线密码学（ECDSA）的基础与计算困难性

包括比特币和以太坊（Ethereum）在内的许多区块链，都采用了**椭圆曲线数字签名算法（ECDSA：Elliptic Curve Digital Signature Algorithm）**作为其数字签名算法。具体而言，比特币使用的是参数名为 secp256k1 的椭圆曲线。

椭圆曲线密码学的安全性依赖于**椭圆曲线离散对数问题（ECDLP：Elliptic Curve Discrete Logarithm Problem）**的计算困难性。椭圆曲线由以下Weierstrass标准形式的方程定义：

$$ y^2 \equiv x^3 + ax + b \pmod{p} $$

在比特币的 secp256k1 中，$a = 0, b = 7$，且 $p$ 是一个极大的素数。设该曲线上的一基点（参考点）为 $G$，随机选择的256位巨大整数（私钥）为 $k$。此时，公钥 $K$ 可以通过对基点进行 $k$ 次加法（标量乘法）求得。

$$ K = k \times G = \underbrace{G + G + \dots + G}_{k \text{ 次}} $$

使用经典计算机，从公开的公钥 $K$ 和基点 $G$ 反推私钥 $k$（求解离散对数），即使使用Pollard’s rho算法等最佳经典算法，也需要 $\mathcal{O}(\sqrt{p})$ 的指数级计算时间。对于256位的密钥，大约需要进行 $2^{128}$ 次运算，这即使让目前的超级计算机运行几十亿年也无法破解。

2.2. Shor算法（Shor’s Algorithm）导致的崩溃

然而，彼得·肖尔（Peter Shor）在1994年提出的Shor算法彻底打破了这一前提。Shor算法最初是为了在多项式时间内解决整数分解问题（RSA密码的基础）而提出的，但它同样适用于离散对数问题和椭圆曲线离散对数问题。

Shor算法的核心在于利用**量子傅里叶变换（QFT：Quantum Fourier Transform）**来快速找到函数的“周期（Period）”。

$$ \text{经典计算的复杂度} = \mathcal{O}(2^{n/2}) \quad (n\text{为位长}) $$ $$ \text{量子算法的复杂度} = \mathcal{O}(n^3) $$

这样，Shor算法将指数级的时间急剧缩短到了多项式时间（Polynomial Time）。一旦拥有足够多逻辑量子比特的量子计算机问世，攻击者就能在几分钟甚至几秒钟内，从网络上公开的公钥 $K$ 中推导出私钥 $k$。这将使攻击者能够轻易获取他人钱包的私钥，从而完全控制其资金。

2.2.1 Shor算法破解ECDLP的分步解析

让我们逐步了解量子计算机是如何解决椭圆曲线离散对数问题（ECDLP）的。

问题设定：在 $K = k \times G$ 中，$G$ 和 $K$ 已知，求未知的整数 $k$（私钥）。设椭圆曲线的阶为 $N$。

Step 1: 创建叠加态 首先，准备两个量子寄存器，并分别应用阿达马门（Hadamard Gate），创建所有可能整数组合的叠加态。

$$ |\psi_1\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |0\rangle $$

Step 2: 应用量子预言机（函数评估） 接着，使用执行椭圆曲线点加法的量子电路（预言机），在第三个寄存器中计算函数 $f(x, y) = x \times G + y \times K$。

$$ |\psi_2\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |x \times G + y \times K\rangle $$

这里的关键是，由于 $K = k \times G$，因此可以重写为 $f(x, y) = (x + y \cdot k) \times G$。

Step 3: 测量第三个寄存器 当测量第三个寄存器时，它会坍缩到椭圆曲线上的某个点 $R$。此时，第一和第二个寄存器会坍缩到满足 $x + y \cdot k \equiv c \pmod{N}$（$c$ 为常数）的 $(x, y)$ 组合的叠加态。

$$ |\psi_3\rangle = \frac{1}{\sqrt{N}} \sum_{y=0}^{N-1} |c - y \cdot k \pmod{N}\rangle |y\rangle $$

Step 4: 应用量子傅里叶变换（QFT） 这个状态具有与周期 $k$ 相关的周期性。通过对其应用逆量子傅里叶变换（Inverse QFT），可以引起相位干涉，将周期信息转换为振幅。

Step 5: 测量与经典后处理 测量第一和第二个寄存器后，将以极高的概率获得包含 $k$ 相关信息的值。对测量出的值应用连分数展开（Continued Fractions）等经典的数论算法，就可以完全确定未知的私钥 $k$。

整个过程所需的量子门数量为 $\mathcal{O}(\log^3 N)$，它能以经典计算机 $\mathcal{O}(\sqrt{N})$ 搜索完全无法比拟的超高速度破解出私钥。

2.3. Grover算法（Grover’s Algorithm）及对哈希函数的影响

另一个威胁是洛夫·格罗弗（Lov Grover）在1996年提出的Grover算法。这会对哈希函数（例如：SHA-256）产生重大影响。

在区块链中，哈希函数被用于保证数据的完整性、生成地址，以及作为比特币PoW（工作量证明）挖矿的基础。哈希函数的反向计算（原像计算）可以被视为一个“非结构化数据库搜索问题”，即寻找一个输入值 $x$，使得 $H(x)$ 等于某个特定的输出值 $y$。

在经典计算机中，要从 $N$ 个可能性中找到正确答案，平均需要 $\frac{N}{2}$ 次尝试，最坏情况下需要 $N$ 次尝试。即计算复杂度为 $\mathcal{O}(N)$。然而，Grover算法使用了一种称为“振幅放大（Amplitude Amplification）”的量子技术。通过迭代放大处于叠加态的所有可能性中正确答案状态的概率振幅，将搜索时间缩短到其平方根。

$$ \text{Grover算法的计算复杂度} = \mathcal{O}(\sqrt{N}) $$

对于SHA-256而言，$N = 2^{256}$，因此经典的穷举搜索大约需要 $2^{256}$ 次尝试。但是，如果使用Grover算法，则只需要 $\sqrt{2^{256}} = 2^{128}$ 次尝试。这意味着，256位的哈希函数在面对量子计算机时，其安全强度实质上减半至128位。

2.3.1. SHA-256 能否幸存？（哈希中的量子霸权）

尽管安全性减半，但“128位的安全性”依然极其坚固。即使从当前的技术水平来看，$2^{128}$ 次运算也是一个天文数字，需要耗费宇宙寿命级别的时间。因此，业界普遍认为**“SHA-256 在面对量子计算机时依然能够保持实用的安全性”**。如果未来需要提高安全余量，只需简单地将哈希的输出长度加倍（例如从SHA-256迁移到SHA-512），就可以在量子世界中维持经典的256位安全性。

总而言之，可以说量子计算机对哈希函数的威胁是“轻微且可应对的”，而对公钥密码学（ECDSA）的威胁则是“致命的”。

3. 对当前加密资产（Bitcoin, Ethereum）的具体影响分析

在一个能够用量子计算机破解ECDSA的世界里，加密资产网络具体会面临怎样的漏洞呢？在这里，我们将以比特币的机制为例，从**“公钥暴露时机”**的角度进行详细分析。

3.1. 地址的生成与公钥的“非公开性”

比特币地址（如P2PKH: Pay-to-Public-Key-Hash 或 P2WPKH: Pay-to-Witness-Public-Key-Hash）并不是公钥本身，而是经过多次哈希处理后的公钥。

$$ \text{比特币地址} = \text{Base58Check}(\text{RIPEMD160}(\text{SHA256}(\text{公钥}))) $$

如前所述，哈希函数对量子攻击（Grover算法）具有抗性，因此即使是量子计算机，也无法从作为哈希值的“地址”反推出原始的“公钥”。也就是说，对于**“未使用的地址（从未进行过资金发送的地址）”**，公钥完全没有暴露在区块链上，只记录了哈希值。因此，由于不知道公钥，Shor算法就没有执行的目标，也就无法计算出私钥。这种状态下的钱包可以说是量子安全的（Quantum-safe）。

3.2. 发送交易时的致命漏洞（抢跑攻击）

问题出现在用户发送资金的时候。当向网络广播（发送）交易时，为了进行验证，用户必须附上数字签名，并将自己的公钥包含在交易数据中，向整个网络公开。

sequenceDiagram participant User as "用户 (Alice)" participant Mempool as "Mempool (未确认交易池)" participant QuantumAttacker as "量子攻击者" participant Miner as "矿工 (生成区块)" User->>Mempool: 发送交易 (包含公钥 + 签名) Mempool-->>QuantumAttacker: 拦截网络上的公钥 note right of QuantumAttacker: 在几分钟内运行Shor算法
(从公钥计算出私钥) QuantumAttacker->>QuantumAttacker: 使用Alice的私钥生成新签名 QuantumAttacker->>Mempool: 以更高的矿工费广播欺诈转账 Miner->>Miner: 优先将高费用(Gas)的欺诈交易打包进区块 Miner-->>User: 记录到区块链 (Alice损失资金)

一旦公钥被发送到Mempool（未确认交易的等待区），该数据就会被全球的节点共享。如果攻击者拥有超高速的量子计算机，就可以通过以下过程盗取资金：

从Mempool中拦截合法用户（Alice）的交易，并提取公钥。
运行Shor算法，在**几分钟内（区块确认之前）**从公钥计算出私钥。
使用获取的私钥，创建一笔伪造的交易，将Alice的资金发送到攻击者的地址。
为这笔伪造的交易设置比Alice原交易高得多的矿工费（Fee），并发送到网络中。

矿工受经济利益驱使，会优先将手续费高的交易打包进区块。结果就是，攻击者的欺诈转账被率先确认（Confirm），而Alice的合法转账则因“余额不足（Double Spend）”被丢弃。这一系列流程被称为抢跑攻击（Front-running Attack）。在量子计算机普及的世界里，这会导致当有人按下发送按钮的瞬间，资金就会被黑客卷走的可怕局面。

3.3. 重用地址与旧地址（P2PK）的危机

更严重的问题是，那些过去哪怕只发送过一次资金的地址（例如被重复用作找零地址的情况），其公钥已经永久记录在区块链上了。这些地址根本不需要等待发送交易，随时都面临着被计算出私钥并盗走余额的风险。

此外，包括中本聪早期挖矿奖励（约100万枚以上的BTC）在内的，在2009年至2010年间主流的**P2PK（Pay-to-Public-Key）**格式中，公钥本身并没有经过哈希处理，而是直接作为地址记录在区块链上。这些大量休眠的比特币将成为量子计算机最容易攻击的目标，一旦被集中盗取并在市场上抛售，可能会引发价格的暴跌。

4. 向抗量子计算密码学（PQC: Post-Quantum Cryptography）的过渡方案

为了避免这种“Q-Day（量子计算机破解密码之日）”的灾难，密码学界和区块链社区正在计划向**抗量子计算密码学（PQC）**过渡，这种密码学即使使用量子算法也很难破解。美国国家标准与技术研究院（NIST）多年来一直在推进PQC的标准化进程，经过多轮严格的评估，已选定了几种极具潜力的密码方案作为最终标准。

下面我们将结合数学机制，详细介绍有望替代区块链数字签名的主要PQC算法。

4.1. 基于哈希的签名（Hash-Based Signatures）

基于哈希的签名是一种仅依赖于“哈希函数的抗碰撞性”这一极其简单而坚固的基础的安全密码方案。如前所述，只要有128位的安全余量，哈希函数对量子计算机的安全性就已得到证明，因此这是一种非常可靠的方法。代表性的算法包括Lamport签名（Lamport Signatures）、其扩展版WOTS（Winternitz One-Time Signature），以及NIST标准化候选算法SPHINCS+（现在称为FIPS 205，即SLH-DSA）。

4.1.1. Lamport签名的数学细节（一次性签名）

让我们进一步从数学上详细了解Lamport签名的机制。设哈希函数为 $H: \{0, 1\}^* \to \{0, 1\}^{256}$。

【密钥生成】 Alice（发送方）使用真随机数生成器（TRNG）生成256对私钥对。

$$ \text{sk}_{i,0} \in \{0, 1\}^{256}, \quad \text{sk}_{i,1} \in \{0, 1\}^{256} \quad (1 \le i \le 256) $$

因此，私钥 $\text{sk}$ 共有512个256位的字符串（大小：$512 \times 32 = 16,384$ 字节）。

接下来计算公钥 $\text{pk}$。对每个私钥组件进行哈希处理。

$$ \text{pk}_{i,0} = H(\text{sk}_{i,0}), \quad \text{pk}_{i,1} = H(\text{sk}_{i,1}) $$

公钥同样为 $16,384$ 字节。将该公钥发布到区块链网络中。

【签名生成】 为了对交易数据 $M$ 进行签名，Alice首先计算其哈希值。

$$ h = H(M) \in \{0, 1\}^{256} $$

设哈希值 $h$ 的第 $i$ 位为 $h_i \in \{0, 1\}$。 Alice的签名 $\sigma$ 就是与每一位 $h_i$ 相对应的私钥组件的集合。

$$ \sigma = (\text{sk}_{1, h_1}, \text{sk}_{2, h_2}, \dots, \text{sk}_{256, h_{256}}) $$

也就是说，如果消息哈希的某一位是 0，则公开 $\text{sk}_{i,0}$；如果是 1，则公开 $\text{sk}_{i,1}$。签名的大小为 $256 \times 32 = 8,192$ 字节。

【签名验证】 矿工（验证方）使用接收到的交易 $M$、签名 $\sigma = (s_1, s_2, \dots, s_{256})$ 以及公钥 $\text{pk}$ 进行验证。重新计算交易的哈希值 $h = H(M)$，并检查对每个 $s_i$ 进行哈希处理后的结果是否与公钥中对应的元素 $\text{pk}_{i, h_i}$ 一致。

$$ H(s_i) \overset{?}{=} \text{pk}_{i, h_i} \quad (\text{对于所有 } 1 \le i \le 256) $$

这个过程在数学上极其简单，只要量子计算机无法对 $H$ 进行逆向计算，就不可能伪造签名。但是，由于一旦签名，一半的私钥就会暴露在网络上，如果使用同一个密钥对为另一条消息签名，暴露的私钥组件就会增加，从而给攻击者留下伪造的余地。因此产生了“只能使用一次（One-Time）”的强限制。为了使其能够投入实际应用，研究人员开发了使用默克尔树（Merkle Tree）将大量一次性密钥捆绑到一个根公钥上的XMSS技术，以及无状态的**SPHINCS+**等技术，但它们的缺点是签名大小动辄达到几十KB。

4.2. 基于格的密码学（Lattice-Based Cryptography）

目前作为PQC主流最受期待，并且被NIST采纳为主要标准规格（FIPS 204: ML-DSA / 前称CRYSTALS-Dilithium，以及Falcon等）的，就是格密码学（Lattice-Based Cryptography）。

格密码学的安全性依赖于“多维格中的最短向量问题（SVP: Shortest Vector Problem）”以及“带错学习问题（LWE: Learning With Errors）”等在数学上已被证明为困难的问题。即使使用量子计算机，目前也还没有发现能够有效解决格问题的算法。

LWE（Learning With Errors）的数学模型： LWE问题的基本思路是，通过在联立一次方程组中故意加入“微小的噪声（误差）”，使得问题的求解变得极其困难。设未知的秘密向量为 $\mathbf{s} \in \mathbb{Z}_q^n$。有一个随机选择的巨大公开矩阵 $\mathbf{A} \in \mathbb{Z}_q^{m \times n}$，以及故意附加的微小噪声向量 $\mathbf{e} \in \mathbb{Z}_q^m$。公钥 $\mathbf{b}$ 的计算方法如下：

$$ \mathbf{b} = \mathbf{A}\mathbf{s} + \mathbf{e} \pmod{q} $$

即使矩阵 $\mathbf{A}$ 和向量 $\mathbf{b}$（公钥）是公开的，由于噪声 $\mathbf{e}$ 的存在，从中反推私钥 $\mathbf{s}$ 会变得极其困难。如果没有噪声，仅用高斯消元法就能解开；但加入了噪声之后，所有维度上的搜索空间将呈爆炸性增长，从而为对抗经典和量子计算机提供了坚固的安全性。在区块链等实际使用的算法（如Dilithium等）中，会将此问题扩展到多项式环上（即Ring-LWE或Module-LWE），以减小密钥大小并提高计算速度。

优点：与基于哈希的签名相比，其公钥和签名大小相对较小（几KB左右），而且签名生成和验证的计算速度非常快（等于或快于ECDSA）。
缺点：数学结构复杂，且经过历史验证的时间较短，未来发现新的破解算法的风险并不为零。

5. 区块链向PQC过渡中的技术挑战

尽管PQC算法（如Dilithium或SPHINCS+等）已经存在，但这并不意味着我们明天就可以直接将其引入到比特币或以太坊中。分布式系统特有的许多沉重课题仍然存在。

5.1. 签名大小膨胀与可扩展性的崩溃

引入PQC面临的最大障碍是数据量的大幅膨胀。目前的ECDSA签名大小约为70字节，而格密码学Dilithium（ML-DSA）的签名大小约为2,420到4,595字节（取决于安全级别），公钥大小也超过1,300字节。基于哈希的SPHINCS+的单个签名大小更是高达几万字节。

如果比特币在不改变现有区块大小上限（包含SegWit在内约4MB的权重）的情况下引入PQC，那么一个区块能容纳的交易数量将急剧下降。网络的吞吐量（TPS：Transactions Per Second）将遭到毁灭性打击，转账拥堵将成为常态。为了解决这个问题，需要大幅提高区块大小，但这会增加全节点的存储和网络带宽要求，让个人运行节点变得更加困难，从而陷入导致网络中心化的困境。

pie title "区块链中签名数据大小比较 (概念图)" "ECDSA (约70 Bytes)" : 2 "Dilithium ML-DSA (约2,500 Bytes)" : 58 "SPHINCS+ (约17,000 Bytes)" : 40

(※ 引入PQC带来的交易数据膨胀，将成为限制可扩展性的致命瓶颈)

5.2. 对以太坊虚拟机（EVM）的影响及预编译合约

在像以太坊这样图灵完备的智能合约平台中，引入PQC需要对EVM（以太坊虚拟机）进行底层的升级。在当前的EVM中，为了验证ECDSA签名，准备了一个名为 ecrecover（地址：0x01）的预编译合约（Precompiled Contract），它经过了优化，能以非常低的Gas费用（3000 Gas）执行签名验证。

然而，Dilithium或Falcon等新格密码算法的验证处理涉及复杂的多项式和矩阵运算，如果仅使用现有的EVM操作码（Opcode）来实现，一次签名验证可能就会消耗数百万甚至数千万Gas。这足以在单笔交易中就耗尽目前的区块Gas限制（约3000万Gas）。

为了避免这种情况，必须通过网络硬分叉，将用于验证PQC的新预编译合约（例如：将 0x10 分配给 DilithiumVerify）直接内置到EVM中。这需要各个以太坊客户端（如Geth、Nethermind、Erigon等）的核心开发者协同合作，在C++、Go、Rust等语言层面上优化实现格密码学验证逻辑，并进行安全审计，这是一个极其漫长的过程。

5.3. 硬分叉达成共识的困难性

要更改底层的签名算法，就必须进行**硬分叉（Hard Fork）**以更新整个网络的协议。然而，在一个像比特币这样极度重视“不改变规则、保持去中心化”的社区中，达成共识的过程在政治层面上是极其艰难的。关于过渡到PQC的BIP（比特币改进提案）从提出到最终实现，可能需要长达数年的讨论和测试。

6. “Q-Day”何时到来？过渡路线图

“量子计算机完全破解256位椭圆曲线密码学的日子（Q-Day）”究竟何时到来？虽然研究人员之间存在分歧，但许多专家预测，拥有数千至数万个稳定的逻辑量子比特（具备容错和错误纠正能力的量子比特）的大规模量子计算机，将会在**“2030年代中期到2040年代”**出现。不过，如果硬件架构取得突破，或是发现了更高效的量子算法，这一时间表也有可能提前（2030年左右）。

加密资产的生态系统应当在为时已晚之前采取以下路线图：

阶段1：混合签名与账户抽象（现在〜2028年左右）

当前的区块链领域，尤其是以太坊的核心开发团队（如Vitalik Buterin等），正在探讨将ECDSA和PQC（基于哈希的签名或格密码学）相结合的**“混合签名”**方案。这是一种在交易中同时附加现有的、安全的ECDSA签名和PQC签名的方法，即使其中一种被破解也能保持安全性。此外，借助账户抽象（Account Abstraction, ERC-4337），开发者正在努力让智能合约钱包能够在无需等待协议层硬分叉的情况下，选择性地（Opt-in，仅限有意愿的用户）实现和支持PQC签名。

阶段2：利用零知识证明（ZK-Rollups）（2025年〜）

作为解决PQC最大弱点——“签名数据膨胀”的王牌，业界寄希望于Layer 2技术的ZK-Rollups（零知识证明）。不是将庞大的PQC签名数据直接写入Layer 1（主链），而是在Layer 2上验证并汇总大量PQC交易。然后，使用ZK-SNARKs或ZK-STARKs将它们压缩成一个极小的“证明数据（Proof）”，再将其记录到Layer 1中。需要注意的是，部分SNARKs的构造（如Groth16等）本身也具有量子脆弱性，因此采用仅依赖具有抗量子能力的哈希函数的ZK-STARKs将成为关键。

阶段3：协议层面的硬分叉（2030年左右）

当NIST的PQC标准化完全落地，行业标准库也已齐备并经过充分测试后，预计Bitcoin和Ethereum等主流公链将进行硬分叉，把默认的签名方式完全迁移到PQC。在这一过渡期，各方将会进行大规模的宣发，呼吁用户“将资金从旧钱包转移到支持PQC的新钱包”。

先锋项目案例

一些区块链项目已经提前预见到了量子威胁，从初期阶段便打出抗量子特性进行开发。

QRL (Quantum Resistant Ledger)：一个早期的区块链项目，在协议层原生实现了一种名为XMSS（扩展默克尔签名方案）的基于哈希的PQC。
Algorand / Cellframe：这些项目采用了灵活的模块化密码层架构，着眼于未来的PQC升级，正在积极探索整合格密码学方案。

7. 结论：加密资产的未来与保护我们的资产

“后量子时代”的到来不再仅仅是科幻小说（SF）中的空想，它已经作为现实密码系统面临的具体技术挑战，逼近了我们的眼前。

Shor算法和Grover算法这两把量子计算机的利剑，分别威胁着当前区块链根基的公钥密码学和哈希函数。特别是ECDSA的漏洞是致命的，为了避免因抢跑攻击而导致资金被盗的风险，向抗量子计算密码学（PQC）过渡是绝对无法回避的道路。

然而，科技界和区块链社区并没有坐以待毙。格密码学和基于哈希的签名等PQC算法的选型和标准化正在稳步推进；通过利用零知识证明（ZK-STARKs）和Layer 2扩容技术，克服PQC引入最大障碍（数据大小膨胀）的路径也已初现端倪。

对于我们普通的加密资产用户和投资者而言，现在无需恐慌并立刻抛售所有资产。但重要的是，我们必须具备以下基本的认知和自我保护意识：

避免地址重用：不仅出于隐私保护的考量，更应从安全性出发，坚决不在“已使用的地址（哪怕只发送过一次资金，公钥已暴露在区块链上的地址）”中长期存放资金。
关注技术动向：时刻留意主要网络关于PQC迁移的讨论或硬分叉新闻（如Bitcoin的BIP、Ethereum的EIP等），确保在需要时能妥善完成钱包的迁移工作。

区块链的历史，也是一部不断应对新技术威胁进行升级与自我修复（Resilience）的历史。正如克服可扩展性问题和环境问题（从PoW转向PoS等）一样，面对这前所未有的量子威胁，整个生态系统也定会摸索出解决方案并成功适应。我们有理由期待，量子计算机这一人类新智慧的结晶，与去中心化分布式账本这一信任技术的碰撞，将不会走向毁灭，而是升华为更高维度、更加坚不可摧的融合系统。

参考文献・相关链接:

National Institute of Standards and Technology (NIST) - Post-Quantum Cryptography Standardization Project
Shor, P. W. (1994). Algorithms for quantum computation: discrete logarithms and factoring.
Grover, L. K. (1996). A fast quantum mechanical algorithm for database search.
Buterin, V. (2024). How to hard-fork to save most users’ funds in a quantum emergency.

通俗易懂地解说量子退火与量子门模型的区别

Fri, 11 Sep 2026 12:00:00 +0900

通俗易懂地解说量子退火与量子门模型的区别

量子计算是下一代计算技术，它利用量子力学原理（叠加态和量子纠缠），有望以突飞猛进的速度解决现代经典计算机（包括传统超级计算机）需要耗费大量时间才能解决的特定问题。

目前，实现量子计算机的方法主要分为两大主流范式：“量子退火（Quantum Annealing）”和“量子门模型（Quantum Gate Model）”。这两种方法在底层物理途径、擅长的计算任务以及硬件实现的挑战上存在巨大差异。

本文将从非常详细且专业的技术视角，对这两种方法进行彻底的比较与解说，涵盖物理原理、数学模型（如Ising模型、QUBO、酉变换等）、当前的技术局限性，直至具体的应用场景。

1. 量子计算的基础：与经典计算机的根本区别

经典计算机处理信息时使用的是状态为“0”或“1”的“比特（Bit）”。而量子计算机使用的是“量子比特（Qubit）”。由于量子力学的“叠加（Superposition）”原理，量子比特可以同时以一定概率拥有0和1的状态。

此外，通过利用被称为“量子纠缠（Entanglement）”的现象，多个量子比特的状态会相互产生强烈的相关性，对一个量子比特的操作会瞬间影响整个系统。这使得类似于并行处理的计算（量子并行性）成为可能。

然而，量子状态对外部噪声（如热量和电磁波等）非常脆弱，状态遭到破坏而退化为经典状态的“退相干（Decoherence）”是一个重大难题。针对这一噪声问题的不同处理方式，导致了量子退火和门模型在设计思想上的巨大差异。

2. 量子退火 (Quantum Annealing) 详解

量子退火主要是一种专用于解决**“组合优化问题”**的专用计算架构。它基于东京工业大学的门胁万平和西森秀稔在1998年提出的理论，随后由加拿大的D-Wave Systems公司在世界上首次实现商业化而广为人知。

2.1. 物理机制：横向磁场Ising模型与量子涨落

量子退火利用了自然界物理系统倾向于稳定在“最低能量状态（基态）”的特性来进行计算。

在经典的“模拟退火（Simulated Annealing）”方法中，利用热涨落（热波动）来逃离局部最优解。而在量子退火中，则是利用“量子涨落（Quantum Fluctuation）”，通过“量子隧道效应（Quantum Tunneling）”穿透能量势垒，从而更高效地寻找全局最优解。

量子退火系统的时间演化可由以下哈密顿量（表示系统总能量的算符）$H(t)$ 来描述：

$$ H(t) = A(t) H_0 + B(t) H_P $$

其中，$t$ 表示时间，$A(t)$ 是逐渐减小的函数，$B(t)$ 是逐渐增大的函数。

$H_0$（初始哈密顿量）: 表示横向磁场（Transverse field），用于产生量子涨落。 $$ H_0 = - \sum_{i} \sigma_i^x $$ （$\sigma_i^x$ 为泡利X矩阵，表示比特的翻转。）
$H_P$（问题哈密顿量）: 表示要解决的优化问题的Ising模型（Ising Model）。

在初始状态（$t=0$）下，$A(0)$ 达到最大，系统处于 $H_0$ 的基态（所有状态均匀叠加的状态）。然后随着时间的推移，缓慢地减弱横向磁场，同时增强问题哈密顿量的相互作用。

2.2. 绝热量子计算 (Adiabatic Quantum Computation)

在这一过程中，关键在于**“绝热定理（Adiabatic Theorem）”**。根据绝热定理，只要系统的变化“足够缓慢（绝热）”，系统就会始终保持在当前哈密顿量的基态。

也就是说，当最终 $A(t) \to 0$ 且 $B(t) \to 1$ 时，系统就会处于 $H_P$ 的基态，即得到了**“优化问题的精确解”**。

graph TD A["哈密顿量 H_0 (初始状态)"] -->|"绝热变化 (足够缓慢)"| B["始终保持基态"] A -->|"非绝热变化 (过快/热噪声)"| C["跃迁至激发态 (错误)"] B --> D["哈密顿量 H_P (全局最优解)"] C --> E["陷入局部最优解"] D --> F["读取结果"] E --> F

2.3. 从QUBO到Ising模型的映射

要在量子退火机上解决实际问题，必须将问题转化为**QUBO（Quadratic Unconstrained Binary Optimization：无约束二次伪布尔优化）**的形式。

QUBO的目标函数定义如下：

$$ \min_{x \in \{0,1\}^n} \sum_{i} Q_{ii} x_i + \sum_{i < j} Q_{ij} x_i x_j $$

其中，$x_i \in \{0, 1\}$ 是二值变量，$Q$ 是权重矩阵。

由于硬件（如D-Wave）处理的是物理自旋（向上/向下），我们需要将其转换为使用变量 $\sigma_i \in \{-1, +1\}$ 的Ising模型。转换公式如下：

$$ x_i = \frac{1 - \sigma_i}{2} \quad \text{或} \quad \sigma_i = 1 - 2x_i $$

将此公式代入QUBO方程并整理，即可得到Ising模型的哈密顿量 $H_P$：

$$ H_P = - \sum_{i

$J_{ij}$: 自旋之间的相互作用（耦合系数）。代表物理量子比特之间的耦合强度。

$h_i$: 作用于每个自旋的局部磁场（偏置）。

2.4. 量子退火的硬件与挑战（以D-Wave为例）

D-Wave的量子处理器是使用超导量子干涉器件（SQUID）实现的。物理量子比特之间的连接依赖于硬件布线，并非全连接（即所有比特相互连接）。从早期的“嵌合体图（Chimera graph）”，到“飞马图（Pegasus）”，再到“和风图（Zephyr）”，虽然连接度有所提升，但仍存在限制。

因此，需要一种称为**“次图嵌入（Minor Embedding）”**的处理，将具有复杂图结构的问题映射到物理图上。通过这种方式，一个逻辑变量由多个物理量子比特（链）表示，这会导致可用的实际量子比特数减少，并降低计算精度。

3. 量子门模型 (Quantum Gate Model) 详解

量子门模型是经典计算机逻辑门（如AND、OR、NOT等）的量子力学扩展，是一种能够实现**“通用量子计算（Universal Quantum Computation）”**的架构。包括IBM、Google、Rigetti、IonQ等在内的许多公司都采用了这种方法。

3.1. 酉变换与状态向量

在量子门模型中，整个量子比特系统的状态用“状态向量（State Vector）” $|\psi\rangle$ 来表示。一个量子比特的状态可以表示为基态 $|0\rangle$ 和 $|1\rangle$ 的线性组合：

$$ |\psi\rangle = \alpha |0\rangle + \beta |1\rangle $$

这里，$\alpha$ 和 $\beta$ 是复概率幅，且满足 $|\alpha|^2 + |\beta|^2 = 1$。从几何学上看，这种状态可以可视化为“布洛赫球面（Bloch Sphere）”上的一个点。

量子计算的步骤被描述为对状态向量应用酉算符（Unitary Operator） $U$。酉矩阵具有 $U^\dagger U = I$（与其埃尔米特共轭的乘积为单位矩阵）的性质，对应于量子力学中薛定谔方程时间演化的可逆操作。

$$ |\psi_{t+1}\rangle = U_t |\psi_t\rangle $$

3.2. 基本量子门与电路模型

量子计算算法被设计为一系列量子门的操作序列（量子电路）。

泡利门 (X, Y, Z): 对应于布洛赫球面上绕各轴旋转180度。X门相当于经典计算中的NOT门。
阿达马门 (H): 将 $|0\rangle$ 转换为 $\frac{|0\rangle + |1\rangle}{\sqrt{2}}$，从而创造叠加态。 $$ H = \frac{1}{\sqrt{2}} \begin{pmatrix} 1 & 1 \\ 1 & -1 \end{pmatrix} $$
CNOT门 (Controlled-NOT): 这是一个双量子比特门。只有当控制比特（Control qubit）为 $|1\rangle$ 时，才对目标比特（Target qubit）应用X门操作。这可以生成量子纠缠（Entanglement）。

任何量子算法都可以通过少量单量子比特门和CNOT门的组合进行近似表达（通用门集）。

graph LR Q0["量子比特 0: |0>"] --> H1["阿达马门 (H)"] Q1["量子比特 1: |0>"] --> I1["恒等操作 (I)"] H1 --> C1["控制比特 (Control)"] I1 --> T1["目标比特 (Target)"] C1 -. "纠缠" .- T1 C1 --> M0["测量 (Measurement)"] T1 --> M1["测量 (Measurement)"] M0 --> Result["经典结果 (0或1)"] M1 --> Result

3.3. 纠错以及从NISQ到FTQC之路

量子门模型最大的挑战在于量子状态因噪声而受到破坏的“退相干”现象。随着计算步骤（门深度）的增加，错误会逐渐积累。

为了进行理想的计算，**量子纠错（Quantum Error Correction）**是必不可少的。例如，通过“表面码（Surface Code）”等方法，将多个物理量子比特捆绑在一起，构成一个没有错误的“逻辑量子比特（Logical Qubit）”。然而，要构建一个逻辑量子比特，需要数千至数万个物理量子比特，这将带来巨大的开销。

我们目前所处的阶段是NISQ（Noisy Intermediate-Scale Quantum：含噪声中型量子）时代，设备拥有数十至数百个量子比特但缺乏纠错能力。要实现具备完全纠错能力的FTQC（Fault-Tolerant Quantum Computing：容错量子计算），仍需要取得许多突破。

4. 技术与数学对比总结

下面对比这两种架构的根本差异：

对比项目	量子退火 (Quantum Annealing)	量子门模型 (Gate Model)
计算模型	绝热量子计算（哈密顿量的连续时间演化）	酉变换（离散的门操作序列）
适用问题	组合优化问题 (QUBO, Ising模型)	通用型（量子化学模拟、质因数分解、搜索等）
表达能力	启发式优化（近似解）	等同于通用量子图灵机（理论上可以进行所有计算）
实现案例	D-Wave Systems	IBM, Google, Quantinuum, IonQ 等
抗噪能力	相对较强（由于停留在基态附近，可容忍一定程度的热噪声）	非常弱（轻微的噪声即可导致相位偏移，破坏计算结果）
可扩展性	数千至数万量子比特规模（依赖物理结构。逻辑比特化较困难）	数百量子比特规模（走向FTQC需要数百万规模）

量子退火作为一种“特定目的的协处理器”，非常适合用于弥补经典计算机的不足以解决优化问题。相比之下，量子门模型是“通用计算机”的量子版，最终目标是实现超越经典计算机的计算能力（量子霸权），但其硬件的构建极为困难。

5. 当前的局限与挑战

量子退火的局限

连接度限制（Connectivity）: 由于前述的次图嵌入，当问题规模增大时，所需的物理量子比特数量会呈指数级增长。
系数精度（Precision）: 在硬件上设置 $J_{ij}$ 和 $h_i$ 等模拟参数时的物理误差会直接影响解的质量。
温度与非绝热跃迁: 因为系统温度并非绝对零度，热激发可能导致系统偏离最优解。

量子门模型的局限

相干时间（Coherence Time）: 维持量子状态的时间非常短，通常只有几微秒到几毫秒，这严格限制了在此期间可执行的门数量（电路深度）。
门保真度（Gate Fidelity）: 双量子比特门（如CNOT）的操作错误率仍然不够低（通常在99.x%左右）。要实现FTQC，必须将其提高到99.99%以上。
量子体积（Quantum Volume）: 目前最大的挑战在于，如何提升不仅考虑量子比特数量，还结合互连性和错误率在内的实际计算能力（量子体积）。

6. 具体的应用场景与算法

让我们看看每种方法擅长的具体应用领域。

6.1. 量子退火的应用场景

物流与路线规划: 大量车辆的配送路线优化（旅行商问题的变体）。考虑交通拥堵的实时路线探索。
金融工程: 投资组合优化。在风险最小化的同时探索回报最大化的投资组合。
机器学习: 特征选择（Feature Selection）。从海量数据集中提取对预测贡献最大的变量组合。
制造业: 工厂中的车间作业调度问题（确定哪个机器按什么顺序加工哪个零件速度最快）。

6.2. 量子门模型的应用场景

量子化学模拟: 高精度模拟分子的能量状态和化学反应。
质因数分解（Shor算法）: 能够在多项式时间内分解巨大合数的算法。一旦该算法投入实际应用，目前的RSA等公钥加密基础设施将被破解，因此向抗量子密码（PQC）过渡已迫在眉睫。
数据库搜索（Grover算法）: 在未排序的数据库中搜索目标数据时，经典计算机需要 $O(N)$ 步，而Grover算法只需 $O(\sqrt{N})$ 步即可完成搜索。

6.3. NISQ时代的混合算法：VQE与QAOA

为了克服NISQ设备量子电路较浅的限制，结合了量子计算机和经典计算机优点的“变分量子算法（Variational Quantum Algorithms）”正备受关注。

VQE (Variational Quantum Eigensolver：变分量子本征求解器): 用于求解分子基态能量的算法。使用带参数的量子电路（Ansatz）制备量子态，并测量能量期望值 $\langle \psi(\theta) | H | \psi(\theta) \rangle$。将此期望值作为目标函数，利用经典的优化算法（如梯度下降法）更新参数 $\theta$。不断重复直至收敛，从而求得分子的精确能量状态。
QAOA (Quantum Approximate Optimization Algorithm：量子近似优化算法): 使用量子门模型解决组合优化问题的算法。它通过“Trotter展开（Trotterization）”将量子退火的绝热时间演化近似为离散的门操作，通过交替施加哈密顿量来获得近似解。QAOA被寄予厚望，有望成为通过门模型解决优化问题的有效手段。

graph TD User["用户问题"] --> Formulation{"问题的性质"} Formulation -- "组合优化" --> QA_Path["量子退火 / Ising机"] QA_Path --> QUBO["QUBO公式化"] QUBO --> DWave["在D-Wave上运行"] Formulation -- "化学计算・通用计算" --> Gate_Path["量子门模型"] Gate_Path --> Circuit["量子电路设计 (VQE / QAOA)"] Circuit --> IBMGoogle["在IBM / Google量子硬件上运行"]

7. 总结

量子退火和量子门模型在利用量子力学的奇妙特性作为计算资源方面是相同的，但它们的方法和目标却有很大不同。

量子退火 是一种“专用启发式引擎”，旨在针对组合优化这一特定的实际问题，尽早取得实用成果。目前许多企业已经在推进各种概念验证（PoC）。
量子门模型 是一种“通用量子计算机”，具有从根本上颠覆计算机科学范式的潜力，涵盖从严格的物理和化学模拟到密码破解等领域。然而，要克服纠错这一巨大障碍，还需要长期的研究和开发。

在未来，预计将建立起一种以经典超级计算机（HPC）为核心，调用退火机处理优化任务，并调用门模型量子计算机处理量子化学计算的**“异构（Heterogeneous）计算”**环境。

虽然量子计算机仍在发展中，但其硬件和算法都取得了日新月异的进步。理解Ising模型的数学原理和量子电路的基础知识，将成为迎接即将到来的量子原生时代的强大武器。

本文全面解说了从量子计算的基本概念到最新的硬件动态。请继续关注未来的最新研究动向。

量子计算机实用的日子：2026年的现状

Fri, 11 Sep 2026 06:00:00 +0900

1. 引言：2026年，量子计算机发展到了什么程度

截至2026年，量子计算已经完成了从昔日“理论上的梦想”到“工程上的现实”的决定性转变。随着几年前还是主流的**NISQ（Noisy Intermediate-Scale Quantum，含噪声中等规模量子）**设备的局限性变得明显，世界各地的研究机构和科技巨头纷纷转向实现“容错量子计算（FTQC: Fault-Tolerant Quantum Computing）”。

本文将结合2026年的最新突破，深入探讨量子计算机的现状。特别是，将详细讲解量子纠错（表面码）、物理量子比特与逻辑量子比特的区别、拓扑量子计算的进展，以及超导和离子阱方式的最前沿。

2. 量子态基础与保真度（Fidelity）

量子计算机的基本单位是量子比特（Qubit），与经典比特（0或1）不同，它可以处于0和1的叠加态（Superposition）。单个量子比特的状态可以表示为希尔伯特空间上的向量，如下所示：

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

这里，$\alpha$ 和 $\beta$ 是复数概率幅，并满足以下归一化条件：

$$ |\alpha|^2 + |\beta|^2 = 1 $$

在衡量量子计算性能时，一个极其重要的指标是保真度（Fidelity）。理想量子态 $|\psi\rangle$ 与因噪声退化而变成混合态的实际密度矩阵 $\rho$ 之间的保真度 $F$ 定义如下：

$$ F(\rho, |\psi\rangle) = \langle \psi | \rho | \psi \rangle $$

到2026年，双量子比特门（例如：CNOT门和CZ门）的保真度在超导方式下已经能够稳定突破**99.99%**的壁垒（即所谓的“4个9”）。这一数值大幅超过了表面码纠错的阈值（约99%），是迈向实用化的最大突破之一。

3. NISQ时代的局限与向FTQC的范式转变

2010年代后半期到2020年代前半期是NISQ（Noisy Intermediate-Scale Quantum）时代，即拥有几十到几百个量子比特且不具备纠错能力的设备。然而，NISQ存在明显的局限性。

随着电路深度（Depth）的增加，错误会呈指数级积累，导致无法获得有意义的计算结果。电路深度 $D$ 下的整体成功概率 $P_{success}$ 随单门保真度 $f$ 和门数量 $N$ 衰减如下：

$$ P_{success} \approx f^N $$

如果 $f = 0.99$ 并应用1000个门，那么 $0.99^{1000} \approx 4.3 \times 10^{-5}$，结果将几乎完全被随机噪声淹没。因此，在2026年，相较于直接扩展NISQ算法（如VQE或QAOA等），资源更多地集中在生成**逻辑量子比特（Logical Qubit）**上。

4. 量子纠错与逻辑量子比特：表面码的最前沿

量子纠错（QEC: Quantum Error Correction）是一种通过编码多个“物理量子比特”来创建一个“逻辑量子比特”，从而检测并纠正错误的技术。目前最被看好的是表面码（Surface Code）。

4.1 表面码（Surface Code）的结构

在表面码中，量子比特被排列成二维网格状。数据量子比特（保存实际信息）和测量量子比特（用于综合征测量）像棋盘格一样交错排列。

graph TD A["数据量子比特 (D1)"] --- B["测量量子比特 (M1)"] B --- C["数据量子比特 (D2)"] C --- D["测量量子比特 (M2)"] D --- E["数据量子比特 (D3)"] B --- F["数据量子比特 (D4)"] D --- G["数据量子比特 (D5)"] style A fill:#e1f5fe,stroke:#039be5 style C fill:#e1f5fe,stroke:#039be5 style E fill:#e1f5fe,stroke:#039be5 style F fill:#e1f5fe,stroke:#039be5 style G fill:#e1f5fe,stroke:#039be5 style B fill:#fff3e0,stroke:#fb8c00 style D fill:#fff3e0,stroke:#fb8c00

使用稳定子算符 $S_x$ 和 $S_z$ 不断监控比特翻转（X错误）和相位翻转（Z错误）。

$$ S_x = \prod_{i \in \text{star}} X_i, \quad S_z = \prod_{j \in \text{plaquette}} Z_j $$

2026年的重大进展是完全突破了“盈亏平衡点（Break-even point）”。也就是说，通过纠错消除的噪声大于执行纠错所需的额外电路引起的噪声，逻辑量子比特的寿命开始比物理量子比特的寿命高出好几个数量级。

4.2 量子纠错循环

纠错作为一个持续的反馈回路运行。

sequenceDiagram participant D as "数据量子比特" participant M as "辅助/测量量子比特" participant C as "经典控制器" loop "综合征提取周期 (约 1 微秒)" D->>M: "纠缠 (CNOT/CZ)" M->>C: "测量状态 (综合征)" C->>C: "解码综合征 (例如最小权重完美匹配)" C-->>D: "应用泡利纠正 (如果需要)" end

目前，利用FPGA或专用ASIC在纳秒级别执行这种经典解码处理（综合征分析）的技术已经成熟，实时纠错已进入实用阶段。

5. 硬件架构的演进（2026年版）

2026年的量子硬件主要在“超导方式”、“离子阱方式”和“拓扑方式”这三个方向上演进。

5.1 超导量子比特的集成化

超导方式是IBM和Google主导的领域，主要使用基于约瑟夫森结的Transmon量子比特。到2026年，实现了在单芯片上集成数千到一万个物理量子比特的超大型芯片。

值得一提的是**模块间量子通信（Quantum Interconnects）**的确立。利用微波光子实现芯片间的量子隐形传态已达到商业应用水平，从而能够避开单一稀释制冷机尺寸的限制。

5.2 离子阱的二维扩展与光互连

在离子阱方式（由Quantinuum和IonQ等主导）中，使用悬浮在真空中的离子的内部能态作为量子比特。与超导方式相比，其优势在于T1/T2相干时间极长，并且支持全连接（All-to-All Connectivity）。

2026年的突破在于QCCD（Quantum Charge Coupled Device）架构的二维化，以及使用光子互连在多阱之间生成高速纠缠。这使得离子阱曾存在的“门操作速度慢”和“可扩展性”等弱点得到了极大的改善。

5.3 拓扑量子计算：任意子的控制

长期以来被认为是理论存在的拓扑量子计算在2026年终于进入了实验验证阶段。由Microsoft等公司推动的这种方式，使用被称为“马约拉纳零模（Majorana Zero Modes）”的非阿贝尔任意子（Non-Abelian Anyons）。

通过交换任意子粒子位置的“编织（Braiding）”操作来执行量子门。

$$ |\psi_{final}\rangle = B_{ij} |\psi_{initial}\rangle $$

这里 $B_{ij}$ 是编织算符。拓扑方式的信息存储不依赖于粒子的局域状态，而是依赖于整体“结”的拓扑结构，因此它本质上对环境噪声具有免疫力（硬件级别的容错能力）。2026年世界上首次确认了高保真度拓扑逻辑量子比特的生成，作为通向FTQC的强大捷径而备受瞩目。

6. 面向实用化的路线图与展望

要让量子计算机在“化学计算”、“材料科学”、“金融建模”等领域真正发挥出压倒经典计算机（超级计算机）的量子霸权（Quantum Advantage，也称量子优势），需要数千个逻辑量子比特。

gantt title "量子计算路线图 (2026年修订版)" dateFormat YYYY axisFormat %Y section "NISQ 时代" "含噪声量子比特 (<1000)" :done, 2018, 2024 section "早期 FTQC" "盈亏平衡点演示" :done, 2024, 2026 "数百个逻辑量子比特" :active, 2026, 2028 section "全面 FTQC" "1000+ 逻辑量子比特 (商业应用)" : 2028, 2030 "通用容错量子计算机" : 2030, 2035

6.1 当前面临的挑战与未来

截至2026年，最大的挑战在于维持极低温的巨大低温恒温器（稀释制冷机）的冷却能力，以及连接室温控制设备与极低温量子芯片的布线（I/O瓶颈）。针对这一点，能够在极低温环境下运行的CMOS（Cryo-CMOS）控制芯片的开发正在全速推进。

结论

2026年将在量子计算机的历史上被记载为“逻辑量子比特扩展元年”。通过纠错算法的验证、硬件的模块化以及拓扑方法的快速进展，“实用化的日子”已不再是遥远的未来，而是可以预见为未来几年内的具体里程碑。对于量子算法开发者和企业而言，现在正是开始全面投资于量子原生问题解决方案的绝佳时机。

本文基于截至2026年最新的量子计算研究论文及行业动态撰写。

Technology on kenji.blog

什么是量子超越性？Google与IBM的最新动态

1. 引言：量子计算的黎明与“量子超越性”

2. 理论背景：量子计算的基础与复杂性类

量子比特与叠加态

纠缠（Entanglement）与张量积

量子超越性的计算复杂性理论定义

3. 2019年：Google对量子超越性的实证

Sycamore处理器的架构

随机量子电路采样（Random Circuit Sampling: RCS）

保真度（Fidelity）的评估：线性交叉熵基准测试（XEB）

4. IBM的反驳：从“超越性”到“实用性（Utility）”

通过张量网络收缩改善经典模拟

Quantum Advantage 与 Quantum Utility

5. 下一个前沿：错误缓解（Error Mitigation）与量子纠错（QEC）

错误缓解（Error Mitigation）

量子纠错（QEC）与逻辑量子比特

阈值定理（Threshold Theorem）与距离 $d$

Google的2023年里程碑：通过扩展距离实证错误降低

6. 迈向FTQC（容错量子计算）的路线图与展望

IBM的方法：模块化与重六边形网格

Google的方法：提升逻辑量子比特的质量

7. 结语

后量子时代的区块链和虚拟货币将如何改变？

1. 引言：后量子时代的脚步声与区块链的危机

2. 量子计算机的基础及对区块链的两大威胁

2.1. 椭圆曲线密码学（ECDSA）的基础与计算困难性

2.2. Shor算法（Shor’s Algorithm）导致的崩溃

2.2.1 Shor算法破解ECDLP的分步解析

2.3. Grover算法（Grover’s Algorithm）及对哈希函数的影响

2.3.1. SHA-256 能否幸存？（哈希中的量子霸权）

3. 对当前加密资产（Bitcoin, Ethereum）的具体影响分析

3.1. 地址的生成与公钥的“非公开性”

3.2. 发送交易时的致命漏洞（抢跑攻击）

3.3. 重用地址与旧地址（P2PK）的危机

4. 向抗量子计算密码学（PQC: Post-Quantum Cryptography）的过渡方案

4.1. 基于哈希的签名（Hash-Based Signatures）

4.1.1. Lamport签名的数学细节（一次性签名）

4.2. 基于格的密码学（Lattice-Based Cryptography）

5. 区块链向PQC过渡中的技术挑战

5.1. 签名大小膨胀与可扩展性的崩溃

5.2. 对以太坊虚拟机（EVM）的影响及预编译合约

5.3. 硬分叉达成共识的困难性

6. “Q-Day”何时到来？ 过渡路线图

阶段1：混合签名与账户抽象（现在〜2028年左右）

阶段2：利用零知识证明（ZK-Rollups）（2025年〜）

阶段3：协议层面的硬分叉（2030年左右）

先锋项目案例

7. 结论：加密资产的未来与保护我们的资产

通俗易懂地解说量子退火与量子门模型的区别

通俗易懂地解说量子退火与量子门模型的区别

1. 量子计算的基础：与经典计算机的根本区别

2. 量子退火 (Quantum Annealing) 详解

2.1. 物理机制：横向磁场Ising模型与量子涨落

2.2. 绝热量子计算 (Adiabatic Quantum Computation)

2.3. 从QUBO到Ising模型的映射

2.4. 量子退火的硬件与挑战（以D-Wave为例）

3. 量子门模型 (Quantum Gate Model) 详解

3.1. 酉变换与状态向量

3.2. 基本量子门与电路模型

3.3. 纠错以及从NISQ到FTQC之路

4. 技术与数学对比总结

5. 当前的局限与挑战

量子退火的局限

量子门模型的局限

6. 具体的应用场景与算法

6.1. 量子退火的应用场景

6.2. 量子门模型的应用场景

6.3. NISQ时代的混合算法：VQE与QAOA

7. 总结

量子计算机实用的日子：2026年的现状

1. 引言：2026年，量子计算机发展到了什么程度

2. 量子态基础与保真度（Fidelity）

3. NISQ时代的局限与向FTQC的范式转变

4. 量子纠错与逻辑量子比特：表面码的最前沿

4.1 表面码（Surface Code）的结构

4.2 量子纠错循环

5. 硬件架构的演进（2026年版）

5.1 超导量子比特的集成化

5.2 离子阱的二维扩展与光互连

6. “Q-Day”何时到来？过渡路线图