Technology on kenji.blog

什麼是量子霸權？Google與IBM的最新動向

Fri, 11 Sep 2026 18:00:00 +0900

1. 前言：量子計算的黎明與「量子超越性」

量子計算透過將物理學的基本原理——量子力學應用於資訊處理，具備了解決古典電腦（我們現在日常使用的個人電腦或超級電腦）在現實時間內無法解開的複雜問題的潛力。這個領域長久以來以理論研究為主，但近年來，隨著硬體的快速進步，邁向實用化的競爭正日益激烈。

其中最受矚目的關鍵字之一就是「量子超越性（Quantum Supremacy，或稱量子霸權）」。這指的是在特定的計算任務中，量子電腦展現出壓倒古典電腦計算能力的瞬間。本文將從量子超越性的嚴格定義開始，詳細解說Google在2019年宣布全球首次達成此里程碑的「Sycamore」處理器的實驗細節、IBM對此的反駁與獨特策略，以及邁向真正實用化最大障礙的「量子錯誤更正（Quantum Error Correction: QEC）」與「容錯量子計算（Fault-Tolerant Quantum Computing: FTQC）」的最新發展藍圖，並進行技術與數學上的深入探討。

2. 理論背景：量子計算的基礎與複雜度類別

為了理解量子超越性，首先必須了解量子計算的數學基礎，以及其在計算複雜度理論中的定位。

量子位元與疊加態 (Superposition)

古典電腦中資訊的最小單位是位元（0或1），但在量子電腦中則使用量子位元（Qubit）。一個量子位元的狀態 $|\psi\rangle$ ，可由基底狀態 $|0\rangle$ 與 $|1\rangle$ 的複數線性組合來表示：

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

這裡 $\alpha, \beta \in \mathbb{C}$，且滿足歸一化條件 $|\alpha|^2 + |\beta|^2 = 1$。這種性質被稱為「疊加（Superposition）」。

量子糾纏（Entanglement）與張量積

當存在多個量子位元時，整個系統的狀態可以由個別量子位元狀態空間的張量積來表示。$n$ 個量子位元的系統，會成為 $2^n$ 維希爾伯特空間 $\mathcal{H}^{\otimes n}$ 上的向量。

$$ |\Psi\rangle = \sum_{x \in \{0, 1\}^n} c_x |x\rangle $$

這裡 $\sum |c_x|^2 = 1$。量子位元之間並非獨立，其中一方的狀態依賴於另一方狀態的現象稱為「量子糾纏（Quantum Entanglement）」。藉由這種特性，量子電腦擁有了同時處理呈指數級擴張的龐大狀態空間的潛力。

量子超越性在計算複雜度理論上的定義

在計算複雜度理論中，古典電腦能夠有效率地（在多項式時間內）解決的問題類別稱為 BPP (Bounded-error Probabilistic Polynomial time)。另一方面，量子電腦能夠有效率地解決的問題類別則是 BQP (Bounded-error Quantum Polynomial time)。

實證量子超越性，意味著「在實際的量子硬體上，執行屬於BQP但不屬於BPP（或可能性極高）的特定任務，並在時間與資源上超越古典超級電腦的模擬」。這可以說是透過物理實驗來反證延伸的邱奇－圖靈論題（「所有物理上可實現的計算模型，皆可由機率圖靈機在多項式時間內模擬」）的一項歷史性嘗試。

3. 2019年：Google實證量子超越性

2019年10月，Google Quantum AI團隊在科學期刊《Nature》上宣布，他們使用53個量子位元的超導處理器「Sycamore」，成功達成了量子超越性。

Sycamore處理器的架構

Sycamore處理器由排列成二維網格狀的54個Transmon型超導量子位元組成（實驗中因有1個運作不良，故使用了53個）。相鄰的量子位元之間配置了可調耦合器（Tunable Coupler），實現了高速且高精度的雙量子位元閘（iSWAP閘與控制Z閘的混合）。

graph TD A["輸入量子演算法"] --> B["Sycamore處理器（53個量子位元）"] B --> C["應用隨機量子閘"] C --> D["測量量子狀態（位元串）"] D --> E["交叉熵基準測試（XEB）"] E --> F["驗證量子超越性"]

隨機量子電路取樣（Random Circuit Sampling: RCS）

Google選擇的任務是「隨機量子電路取樣」。這是在多個週期（深度 $m$）內，應用隨機選擇的單量子位元閘與雙量子位元閘，並測量最終狀態，從所得的位元串機率分布中進行取樣的過程。

從理想的（無雜訊）隨機量子電路輸出的位元串 $x$ 的機率並非均勻分布，而是呈現被稱為波特-湯瑪斯分布（Porter-Thomas distribution）的干涉條紋般模式。為了用古典電腦從這個分布中取樣，必須對整個狀態向量進行模擬，其計算量會相對於量子位元數 $n$ 與電路深度 $m$ 呈指數級增加。

忠誠度（Fidelity）評估：線性交叉熵基準測試（XEB）

為了證明實驗結果並非單純的雜訊，而是確實進行了量子計算的結果，Google使用了線性交叉熵基準測試（Linear Cross-Entropy Benchmarking: XEB）。使用古典電腦計算出針對實驗中獲得的位元串 $x_i$ 其電路的理想機率 $P(x_i)$，並透過以下公式求得忠誠度 $\mathcal{F}_{\text{XEB}}$。

$$ \mathcal{F}_{\text{XEB}} = 2^n \langle P(x_i) \rangle_{i} - 1 $$

$\mathcal{F}_{\text{XEB}}$ 若為0代表完全是雜訊，為1則代表無雜訊的理想量子處理器。Sycamore處理器在深度為20的電路中，達成了 $\mathcal{F}_{\text{XEB}} \approx 0.002$ (0.2%)。乍看之下很低，但這是在統計上具顯著意義的大於零的值，是成功控制了高達 $2^{53} \approx 9 \times 10^{15}$ 狀態空間的驚人成果。

整體的錯誤率被近似模型化為各個閘錯誤、測量錯誤等的乘積。

$$ \mathcal{F} \approx (1 - e_1)^{N_1}(1 - e_2)^{N_2} \cdots \approx \prod_{g \in 1Q} (1 - e_g) \prod_{g \in 2Q} (1 - e_g) \prod_{q} (1 - e_{RO}) $$

（※ $e_g$ 為閘錯誤，$e_{RO}$ 為測量錯誤）

Google主張，若要使用古典超級電腦（Summit）來模擬這個電路，大約需要花費1萬年的時間。相對地，Sycamore僅花了200秒就完成了取樣。

4. IBM的反駁：從「超越性」到「實用性（Utility）」

Google的發表震撼了全世界，但開發出全球最大超級電腦「Summit」且同樣引領著量子電腦開發的IBM，立刻發表了反駁此一主張的論文。

透過張量網路收縮改善古典模擬

IBM反駁的核心在於「古典電腦端的演算法與資源最佳化不足」。Google是在假設直接計算薛丁格方程式時間演進的狀態向量模擬器的前提下，估算出需要1萬年，但IBM指出，只要使用被稱為「張量網路（Tensor Network）」的方法，就能夠大幅縮短模擬時間。

在張量網路中，量子電路的閘操作被表示為多維陣列（張量）的運算，並將網路「收縮（Contraction）」的順序最佳化。他們主張，如果能充分活用Summit所擁有的250 PB龐大儲存空間（硬碟與記憶體的階層化），就能在保留整個狀態向量的情況下，僅用「2天半」的時間完成更高精度的模擬。

量子優勢（Quantum Advantage）與量子實用性（Quantum Utility）

以這場爭論為契機，整個業界的趨勢，開始從單純執著於「執行古典電腦無法做到的人為任務（超越性）」轉移到「在現實社會的實用問題上，展現出比古典方法更具實質的優勢（量子優勢）」，甚至是「讓量子電腦發揮作為科學發現新工具的功能（量子實用性）」的階段。

IBM本身避開了「超越性」一詞，提倡以「量子體積（Quantum Volume）」與「CLOPS (Circuit Layer Operations Per Second)」作為量子處理器的綜合性能指標，並推動著重於硬體規模與品質平衡的開發。

timeline title "量子里程碑的演進" 2019 : "Google Sycamore (53Q)" : "發表量子超越性" 2019 : "IBM反駁" : "超級電腦Summit能在2.5天內完成模擬" 2021 : "IBM Eagle (127Q)" : "突破100個量子位元的障礙" 2022 : "IBM Osprey (433Q)" : "推進處理器規模" 2023 : "Google表面碼" : "擴展錯誤更正（d=3 到 d=5）" 2023 : "IBM量子實用性" : "在127Q上模擬複雜的自旋模型" 2024 : "未來展望" : "邏輯量子位元與錯誤緩解時代"

5. 下一個前沿：錯誤緩解（Error Mitigation）與量子錯誤更正（QEC）

目前的量子電腦被稱為「NISQ（Noisy Intermediate-Scale Quantum）」，容易受到雜訊（與外部環境的互動或控制不完美所造成的錯誤）的影響，進行長時間計算時，結果就會被雜訊淹沒。為了解決這個問題，主要分為「錯誤緩解（Error Mitigation）」與「量子錯誤更正（Quantum Error Correction）」兩種策略。

錯誤緩解（Error Mitigation）

錯誤緩解是一種不需要改變量子硬體，僅透過古典的後處理，從計算結果的期望值中去除雜訊影響的手法。IBM在2023年，將127個量子位元的「Eagle」處理器與「零雜訊外推（Zero-Noise Extrapolation: ZNE）」等錯誤緩解技術結合，在複雜的易辛模型（Ising model）時間演進模擬中，達成了超越最先進的近似張量網路法的精度，實證了「量子實用性（Quantum Utility）」。

量子錯誤更正（QEC）與邏輯量子位元

然而，為了最終能夠執行任意複雜的演算法（例如Shor的質因數分解演算法或複雜的量子化學計算），單靠錯誤緩解是不夠的，動態偵測並修正錯誤的「量子錯誤更正（QEC）」是不可或缺的。

QEC的主流方法是「表面碼（Surface Code）」。這是一種將多個物理量子位元（資料量子位元）排列成二維網格狀，並在其中配置測量用的量子位元（輔助量子位元），連續進行被稱為「穩定子（Stabilizer）」的同位元檢查的手法。

graph LR Q1["資料量子位元（資料）"] --- M1["測量X穩定子（輔助）"] Q2["資料量子位元（資料）"] --- M1 Q3["資料量子位元（資料）"] --- M2["測量Z穩定子（輔助）"] Q4["資料量子位元（資料）"] --- M2 M1 --> EC["錯誤症候群解碼（古典）"] M2 --> EC EC --> LQ["邏輯量子位元狀態更新"]

閾值定理（Threshold Theorem）與距離 $d$

量子錯誤更正中存在著「閾值定理」。當物理量子位元的錯誤率 $p$ 低於特定的閾值 $p_{th}$（表面碼的情況約在 1% 左右）時，透過增加碼距離（Distance）$d$（將更多的物理量子位元分配給一個邏輯量子位元），就能夠呈指數級地降低邏輯錯誤率 $p_L$。

邏輯錯誤率的近似公式如下所示：

$$ p_L \approx \Lambda \left( \frac{p}{p_{th}} \right)^{\frac{d+1}{2}} $$

這裡 $\Lambda$ 為常數。只要 $p < p_{th}$，$d$ 越大 $p_L$ 就會越小。然而，若 $p > p_{th}$，增加物理量子位元反而會導致雜訊累積，使邏輯錯誤率惡化。

Google在2023年的里程碑：實證透過擴展距離降低錯誤

2023年2月，Google在《Nature》上發表了一篇具有紀念意義的論文。他們使用第三代的Sycamore處理器，全球首次實證了當表面碼的距離從 $d=3$（使用17個物理量子位元）擴展到 $d=5$（使用49個物理量子位元）時，邏輯錯誤率從 3.028% 微微下降到了 2.914%。

這意味著已經踏入了 $p < p_{th}$ 的領域，證明了只要增加物理量子位元效能就會提升，這象徵著邁向FTQC最重要的一項概念驗證（Proof of Concept）已經完成。

6. 邁向FTQC（容錯量子計算）的發展藍圖與展望

Google與IBM雖然各自採用了不同的架構與策略，但都在為了最終目標FTQC（Fault-Tolerant Quantum Computing，容錯量子計算）展開著激烈的開發競爭。

IBM的策略：模組化與重六角（Heavy-Hex）網格

IBM在徹底降低錯誤率的同時，也致力於處理器的規模擴充。在挑戰「Eagle(127Q)」、「Osprey(433Q)」、「Condor(1121Q)」等單一晶片極限的同時，也發表了名為「Quantum System Two」的模組化架構。此外，在量子位元的耦合拓撲結構上，採用了能減少不必要的串擾（crosstalk）並提高穩定性的「重六角（Heavy-Hex）網格」。IBM的策略是一種混合式方法，短期內透過高度的錯誤緩解追求實用性，並階段性地導入QEC。

Google的策略：提升邏輯量子位元品質

Google的策略比起急遽增加物理量子位元的數量，更著重於將單個邏輯量子位元的錯誤率降低到極限（例如降至 $10^{-6}$）。在此基礎上，建立在模組之間傳輸量子狀態的技術（Quantum Interconnects），目標是打造能讓數千至數萬個物理量子位元平行運作的大規模系統。

為了以容錯方式執行如魔法態蒸餾（Magic State Distillation）等非克里福閘（Non-Clifford gates）的協定實作，也將是未來的重大技術障礙。據說若要執行實用的Shor演算法來破解2048位元的RSA密碼，大約需要數千個錯誤率在 $10^{-8}$ 以下的邏輯量子位元，換算成物理量子位元則需要數百萬至數千萬個，前方的道路依然漫長。

7. 結語

「量子超越性」是量子電腦歷史上，在物理層面證明計算機理論潛力的重要里程碑。Google在2019年的實證與IBM建設性的反駁，將整個業界從單純的理論證明，推動到了追求實際實用性（Utility），以及邁向最終容錯量子計算（FTQC）的正式工程時代。

現在，我們正處於從充滿雜訊的NISQ裝置，過渡到具備錯誤更正功能之邏輯量子位元裝置的過渡期。在未來的數年到十年內，隨著這些量子硬體的進化，新材料科學的發現、新藥開發過程的革命，以及最佳化問題的突破，都將成為現實。

塑造未來計算機科學的Google與IBM，以及全世界研究者們的動向，未來也將持續令人矚目。

後量子時代的區塊鏈與虛擬貨幣將會如何改變？

Fri, 11 Sep 2026 17:00:00 +0900

1. 簡介：後量子時代的腳步聲與區塊鏈的危機

自2009年中本聰（Satoshi Nakamoto）創造比特幣（Bitcoin）以來，區塊鏈技術作為「去中心化且不可篡改的帳本」，已發展成為全球金融系統與應用程式的基礎。支撐這種強大安全性的，正是**公開金鑰密碼學（Public Key Cryptography）與密碼雜湊函數（Cryptographic Hash Functions）**等現代密碼技術。

這些密碼技術的安全性，建立在數學上的「計算困難度」之上，即使是傳統電腦（我們目前使用的個人電腦或超級電腦）花費等同宇宙壽命的時間，也無法破解。

然而，這個前提正因為物理學與資訊科學的前沿——**量子電腦（Quantum Computers）**的快速發展與實用化，而面臨根本性的顛覆。利用量子力學特有的「疊加（Superposition）」與「量子糾纏（Entanglement）」特性的量子電腦，在特定數學問題上展現出壓倒傳統電腦的運算能力，也就是所謂的「量子霸權（Quantum Supremacy）」。

在本文中，我們將從技術與數學的角度，徹底深入探討區塊鏈技術具體面臨了量子電腦的哪些威脅，以及作為解決方案的**後量子密碼學（PQC：Post-Quantum Cryptography）**最新動態和加密資產網路的過渡方案。

2. 量子電腦的基礎與對區塊鏈的兩大威脅

目前的區塊鏈系統主要由以下兩種密碼元素構成，而它們各自面臨著不同量子演算法的威脅。

graph TD A["量子電腦驚人的運算能力"] --> B["Shor演算法 (Shor's Algorithm)"] A --> C["Grover演算法 (Grover's Algorithm)"] B --> D["公開金鑰密碼學 (ECDSA/RSA/DSA) 的崩潰"] C --> E["對密碼雜湊函數 (SHA-256) 的影響"] D --> F["破解他人私鑰、偽造交易"] E --> G["PoW挖礦的優勢、對部分地址的攻擊"] F --> H["區塊鏈中致命且直接的威脅"] G --> I["可透過調整演算法 (如擴展金鑰長度) 應對的威脅"] style H fill:#ff9999,stroke:#cc0000,stroke-width:2px; style I fill:#ffff99,stroke:#cccc00,stroke-width:2px;

2.1. 橢圓曲線密碼學（ECDSA）的基礎與計算困難度

包括比特幣和以太坊（Ethereum）在內的許多區塊鏈，都採用**橢圓曲線數位簽章演算法（ECDSA：Elliptic Curve Digital Signature Algorithm）**作為數位簽章演算法。具體來說，比特幣使用的是名為 secp256k1 參數的橢圓曲線。

橢圓曲線密碼學的安全性依賴於**橢圓曲線離散對數問題（ECDLP：Elliptic Curve Discrete Logarithm Problem）**的計算困難度。橢圓曲線由以下Weierstrass標準式的方程式定義：

$$ y^2 \equiv x^3 + ax + b \pmod{p} $$

在比特幣的 secp256k1 中，$a = 0, b = 7$，且 $p$ 是一個非常大的質數。假設曲線上的一個基點（基準點）為 $G$，隨機選擇一個256位元的巨大整數作為私鑰 $k$。此時，公鑰 $K$ 可透過將基點進行 $k$ 次加法（純量乘法）來求得。

$$ K = k \times G = \underbrace{G + G + \dots + G}_{k \text{ times}} $$

使用傳統電腦從公開的公鑰 $K$ 和基點 $G$ 反推私鑰 $k$（求解離散對數），即使使用Pollard’s rho質因數分解法等最佳傳統演算法，也需要 $\mathcal{O}(\sqrt{p})$ 的指數級運算時間。對於256位元的金鑰，大約需要 $2^{128}$ 次運算，這即使讓目前的超級電腦運行幾十億年也無法破解。

2.2. Shor演算法（Shor’s Algorithm）導致的崩潰

然而，Peter Shor在1994年發表的Shor演算法徹底破壞了這個前提。Shor演算法最初是為了解決質因數分解問題（RSA密碼學的基礎）而在多項式時間內被提出，但它同樣適用於離散對數問題與橢圓曲線離散對數問題。

Shor演算法的核心在於，利用**量子傅立葉變換（QFT：Quantum Fourier Transform）**高速找出函數的「週期（Period）」。

$$ \text{傳統運算複雜度} = \mathcal{O}(2^{n/2}) \quad (n\text{為位元長度}) $$ $$ \text{量子演算法運算複雜度} = \mathcal{O}(n^3) $$

就這樣，Shor演算法將指數級的時間大幅縮短至多項式時間（Polynomial Time）。只要擁有足夠邏輯量子位元的量子電腦完成開發，就能在數分鐘或數秒內，從網路上公開的公鑰 $K$ 找出私鑰 $k$。這將使攻擊者能夠輕易取得他人錢包的私鑰，並完全掌控其資金。

2.2.1 透過Shor演算法破解ECDLP的逐步解析

讓我們循序漸進地了解，量子電腦是如何解決橢圓曲線離散對數問題（ECDLP）的內部過程。

問題設定：在 $K = k \times G$ 中，已知 $G$ 和 $K$，欲求未知的整數 $k$（私鑰）。設橢圓曲線的階為 $N$。

Step 1: 建立疊加態 首先，準備兩個量子暫存器，並分別套用Hadamard閘（Hadamard Gate），建立所有可能整數組合的疊加態。

$$ |\psi_1\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |0\rangle $$

Step 2: 套用量子神諭（函數評估） 接著，利用執行橢圓曲線點加法的量子電路（神諭），在第三個暫存器中計算函數 $f(x, y) = x \times G + y \times K$。

$$ |\psi_2\rangle = \frac{1}{N} \sum_{x=0}^{N-1} \sum_{y=0}^{N-1} |x\rangle |y\rangle |x \times G + y \times K\rangle $$

這裡的關鍵在於，由於 $K = k \times G$，可以將其改寫為 $f(x, y) = (x + y \cdot k) \times G$。

Step 3: 測量第三暫存器 當測量第三暫存器時，它會坍縮到橢圓曲線上的某一點 $R$。如此一來，第一、第二暫存器將坍縮為滿足 $x + y \cdot k \equiv c \pmod{N}$（$c$ 為常數）的 $(x, y)$ 組合的疊加態。

$$ |\psi_3\rangle = \frac{1}{\sqrt{N}} \sum_{y=0}^{N-1} |c - y \cdot k \pmod{N}\rangle |y\rangle $$

Step 4: 套用量子傅立葉變換（QFT） 這個狀態擁有與週期 $k$ 相關的週期性。透過套用反量子傅立葉變換（Inverse QFT），可以引發相位干涉，並將週期資訊轉換為振幅。

Step 5: 測量與傳統後處理 測量第一和第二暫存器後，有很高的機率會得到包含 $k$ 相關資訊的值。對測量得到的值套用連分數展開（Continued Fractions）等傳統數論演算法，即可完全推導出未知的私鑰 $k$。

整個過程所需的量子閘數量為 $\mathcal{O}(\log^3 N)$，能以傳統電腦 $\mathcal{O}(\sqrt{N})$ 搜尋無法比擬的超高速揭露私鑰。

2.3. Grover演算法（Grover’s Algorithm）與對雜湊函數的影響

另一個威脅是Lov Grover在1996年提出的Grover演算法。這對雜湊函數（如：SHA-256）產生了巨大影響。

在區塊鏈中，雜湊函數被用來確保資料完整性、產生地址，以及作為比特幣中PoW（工作量證明）挖礦的基礎。雜湊函數的反推（原像計算）可以被視為在未結構化的資料庫中搜尋，也就是針對特定輸出值 $y$，尋找能使 $H(x) = y$ 的輸入值 $x$。

在傳統電腦中，為了從 $N$ 個可能性中找到正確答案，平均需要 $\frac{N}{2}$ 次嘗試，最壞的情況下需要 $N$ 次嘗試。換言之，運算複雜度為 $\mathcal{O}(N)$。然而，Grover演算法使用了稱為「振幅放大（Amplitude Amplification）」的量子技術。透過在疊加態的所有可能性中，反覆放大正確狀態的機率振幅，可將搜尋時間縮短至平方根。

$$ \text{Grover演算法的運算複雜度} = \mathcal{O}(\sqrt{N}) $$

在SHA-256的情況下，$N = 2^{256}$，因此傳統的暴力搜尋大約需要 $2^{256}$ 次嘗試。然而，如果使用Grover演算法，只需 $\sqrt{2^{256}} = 2^{128}$ 次嘗試即可。這意味著256位元的雜湊函數在面對量子電腦時，其安全強度實質上減半為128位元。

2.3.1. SHA-256能倖存嗎？（Quantum Supremacy in Hashing）

儘管安全性減半，但「128位元的安全性」依然極其堅固。從目前的技術水平來看，$2^{128}$ 次運算是一個天文數字，需要耗費等同宇宙壽命的時間。因此，普遍認為**「SHA-256即使在面對量子電腦時，仍能維持實用等級的安全性」**。未來若需要提高安全邊際，只需單純將雜湊輸出長度加倍（例如從SHA-256過渡到SHA-512），即可在量子世界中維持傳統的256位元安全性。

總結來說，針對雜湊函數的量子威脅是「輕微且可應對的」，而對公開金鑰密碼學（ECDSA）的威脅則是「致命的」。

3. 對現有加密資產（Bitcoin, Ethereum）具體影響的分析

在一個量子電腦能夠破解ECDSA的世界中，加密資產網路究竟會面臨什麼樣的漏洞？在這裡，我們以比特幣的運作機制為例，從**「公鑰暴露的時機」**這一觀點進行詳細分析。

3.1. 地址的產生與公鑰的「非公開性」

比特幣的地址（如P2PKH: Pay-to-Public-Key-Hash 或 P2WPKH: Pay-to-Witness-Public-Key-Hash）並非使用公鑰本身，而是將公鑰進行多次雜湊後生成。

$$ \text{Bitcoin Address} = \text{Base58Check}(\text{RIPEMD160}(\text{SHA256}(\text{Public Key}))) $$

如前所述，由於雜湊函數對量子攻擊（Grover演算法）具有抵抗力，即使是量子電腦也無法從身為雜湊值的「地址」反推回原始的「公鑰」。也就是說，對於**「未使用（從未發送過資金）的地址」**，其公鑰完全沒有在區塊鏈上暴露過，只有雜湊值被記錄。因此，只要公鑰未知，就不存在執行Shor演算法的目標，也無法推導出私鑰。這種狀態的錢包在量子層面上可以說是安全的（Quantum-safe）。

3.2. 發送交易時的致命漏洞（搶先交易攻擊）

問題發生在用戶匯出資金的時機。當交易廣播（發送）到網路時，為了進行驗證，用戶必須將數位簽章連同自己的公鑰包含在交易資料內，並向整個網路公開。

sequenceDiagram participant User as "用戶 (Alice)" participant Mempool as "Mempool (未確認交易池)" participant QuantumAttacker as "量子攻擊者" participant Miner as "礦工 (產生區塊)" User->>Mempool: 發送交易 (包含公鑰與簽章) Mempool-->>QuantumAttacker: 攔截網路上的公鑰 note right of QuantumAttacker: 在數分鐘內執行Shor演算法
(從公鑰計算出私鑰) QuantumAttacker->>QuantumAttacker: 使用Alice的私鑰產生新簽章 QuantumAttacker->>Mempool: 以更高的礦工手續費廣播惡意轉帳 Miner->>Miner: 優先將手續費(Gas)高的惡意交易納入區塊 Miner-->>User: 記錄於區塊鏈 (Alice損失資金)

一旦公鑰發送到Mempool（未確認交易的等待區），這些資料就會與全球的節點共享。如果攻擊者擁有超高速的量子電腦，就可以透過以下流程竊取資金。

從Mempool中攔截合法用戶（Alice）的交易，並提取公鑰。
執行Shor演算法，在數分鐘內（區塊確認前）從公鑰計算出私鑰。
利用取得的私鑰，建立偽造交易，將Alice的資金轉入攻擊者的地址。
為這筆偽造交易設定遠高於Alice原始交易的礦工手續費（Fee），並將其發送到網路。

礦工受到經濟誘因驅使，會優先將手續費較高的交易納入區塊中。結果，攻擊者的非法轉帳將率先被確認（Confirm），而Alice的合法轉帳則會被當作「餘額不足（Double Spend）」遭到捨棄。這一連串過程被稱為搶先交易攻擊（Front-running Attack）。在量子電腦實用化的世界裡，只要有人按下轉帳按鈕的瞬間，資金就會被駭客奪走，這將是極其可怕的情況。

3.3. 重複使用地址與舊地址（P2PK）的危機

更嚴重的問題在於，過去只要曾經發送過一次資金的地址（例如被當作找零地址重複使用的情況），其公鑰就已經永久記錄在區塊鏈上。這些地址不需要等待發送交易，隨時都暴露在被計算出私鑰並盜取餘額的危險之中。

此外，包含中本聰初期挖礦獎勵（約超過100萬枚BTC）在內，在2009年至2010年期間主流的**P2PK（Pay-to-Public-Key）**格式中，地址並非雜湊值，而是直接將公鑰本身記錄在區塊鏈上。這些大量休眠的比特幣，將成為量子電腦最容易下手的目標。一旦它們被集體盜取並在市場上傾銷，可能會引發價格的崩盤。

4. 邁向後量子密碼學（PQC: Post-Quantum Cryptography）的過渡方案

為了避免這種「Q-Day（量子電腦攻破密碼學之日）」的災難發生，密碼學界與區塊鏈社群正在計畫過渡至即使是量子演算法也難以破解的後量子密碼學（PQC）。美國國家標準暨技術研究院（NIST）多年來一直推動PQC的標準化流程，經過多輪嚴格評估後，幾個具潛力的密碼演算法已被選定為最終標準。

以下我們將連同其數學機制，詳細解說備受矚目、可作為區塊鏈數位簽章替代方案的主要PQC演算法。

4.1. 雜湊簽章（Hash-Based Signatures）

雜湊簽章是一種安全性僅依賴於「雜湊函數的抗碰撞性」這個非常簡單且堅固基礎的密碼系統。由於雜湊函數對抗量子電腦的安全性已獲得證明（如前所述，128位元的安全邊際已十分充足），因此是一種非常可靠的方法。代表性的有Lamport簽章（Lamport Signatures）、其延伸的WOTS（Winternitz One-Time Signature），以及NIST標準化候選的SPHINCS+（現在作為FIPS 205被稱為SLH-DSA）。

4.1.1. Lamport簽章的數學細節（One-Time Signature）

讓我們在數學上更詳細地探討Lamport簽章的機制。假設雜湊函數為 $H: \{0, 1\}^* \to \{0, 1\}^{256}$。

【金鑰生成】 Alice（發送者）使用真亂數產生器（TRNG）產生256對私鑰。

$$ \text{sk}_{i,0} \in \{0, 1\}^{256}, \quad \text{sk}_{i,1} \in \{0, 1\}^{256} \quad (1 \le i \le 256) $$

如此一來，私鑰 $\text{sk}$ 總共由512個256位元字串組成（大小：$512 \times 32 = 16,384$ 位元組）。

接著，計算公鑰 $\text{pk}$。將每個私鑰元件分別進行雜湊化。

$$ \text{pk}_{i,0} = H(\text{sk}_{i,0}), \quad \text{pk}_{i,1} = H(\text{sk}_{i,1}) $$

公鑰的大小同樣是 $16,384$ 位元組。並將此公鑰發布到區塊鏈網路。

【簽章生成】 為了對交易資料 $M$ 進行簽章，Alice首先計算其雜湊值。

$$ h = H(M) \in \{0, 1\}^{256} $$

令雜湊值 $h$ 的第 $i$ 個位元為 $h_i \in \{0, 1\}$。 Alice的簽章 $\sigma$ 便是對應每個位元 $h_i$ 的私鑰元件集合。

$$ \sigma = (\text{sk}_{1, h_1}, \text{sk}_{2, h_2}, \dots, \text{sk}_{256, h_{256}}) $$

也就是說，如果訊息雜湊的位元為 0，就公開 $\text{sk}_{i,0}$；如果為 1，就公開 $\text{sk}_{i,1}$。簽章大小為 $256 \times 32 = 8,192$ 位元組。

【簽章驗證】 礦工（驗證者）使用收到的交易 $M$、簽章 $\sigma = (s_1, s_2, \dots, s_{256})$，以及公鑰 $\text{pk}$ 進行驗證。重新計算交易的雜湊值 $h = H(M)$，並確認每個 $s_i$ 的雜湊值是否與公鑰中對應的元素 $\text{pk}_{i, h_i}$ 一致。

$$ H(s_i) \overset{?}{=} \text{pk}_{i, h_i} \quad (\text{對於所有 } 1 \le i \le 256) $$

這個過程在數學上極其簡單，只要量子電腦無法對 $H$ 進行反推，就不可能偽造簽章。然而，一旦進行簽章，一半的私鑰就會暴露在網路上。如果用同一對金鑰對另一則訊息進行簽章，暴露的私鑰組合起來就會給攻擊者提供偽造空間。這產生了強烈的「一次性（One-Time）」限制。為了使其能實際應用，人們開發了使用Merkle Tree將大量一次性金鑰綁定到單一根公鑰的XMSS，以及無狀態的**SPHINCS+**等技術，但它們都有簽章大小達到數十KB的缺點。

4.2. 晶格密碼學（Lattice-Based Cryptography）

目前作為PQC主流備受期待，並被NIST採納為主要標準規格（FIPS 204: ML-DSA / 前身為CRYSTALS-Dilithium，以及Falcon等）的，是晶格密碼學。

晶格密碼學的安全性依賴於「多維晶格中的最短向量問題（SVP: Shortest Vector Problem）」和「錯誤學習問題（LWE: Learning With Errors）」等經過數學證明的困難問題。即便使用量子電腦，目前也尚未發現能有效解決晶格問題的演算法。

LWE（Learning With Errors）的數學模型： LWE問題的基本概念是，在聯立一次方程式中刻意加入「微小的雜訊（誤差）」，使問題變得極度困難。令秘密向量為 $\mathbf{s} \in \mathbb{Z}_q^n$。隨機選取一個巨大的公開矩陣 $\mathbf{A} \in \mathbb{Z}_q^{m \times n}$，以及刻意附加的微小雜訊向量 $\mathbf{e} \in \mathbb{Z}_q^m$。公鑰 $\mathbf{b}$ 如下計算：

$$ \mathbf{b} = \mathbf{A}\mathbf{s} + \mathbf{e} \pmod{q} $$

即使矩陣 $\mathbf{A}$ 和向量 $\mathbf{b}$（公鑰）被公開，由於雜訊 $\mathbf{e}$ 的存在，要從中反推私鑰 $\mathbf{s}$ 變得非常困難。如果沒有雜訊，只需透過高斯消去法即可解出，但加入了雜訊後，所有維度的搜尋空間會發生爆炸性增長，從而對傳統與量子電腦都提供了堅固的安全性。在區塊鏈等使用的實際演算法（如Dilithium）中，採用了在多項式環上展開的Ring-LWE（或Module-LWE），以縮減金鑰大小並提升運算速度。

優點：與雜湊簽章相比，公鑰與簽章大小相對較小（約數KB），且簽章產生和驗證的運算速度非常快（與ECDSA相當甚至更快）。
缺點：數學結構複雜，且歷史驗證期較短，無法完全排除未來發現新破解演算法的風險。

5. 區塊鏈轉向PQC的技術挑戰

儘管存在PQC演算法（如Dilithium和SPHINCS+），這並不代表我們明天就能將其導入比特幣或以太坊。仍有許多分散式系統特有的沉重挑戰需要克服。

5.1. 簽章大小膨脹與可擴展性的崩潰

導入PQC最大的障礙在於資料大小的大幅膨脹。目前ECDSA的簽章大小約為70位元組，而晶格密碼學的Dilithium（ML-DSA）的簽章大小則高達約2,420到4,595位元組（視安全等級而定），公鑰大小也超過1,300位元組。至於基於雜湊的SPHINCS+，光是簽章就可能達到數萬位元組。

如果比特幣在保持現有區塊大小上限（含SegWit約4MB的權重）的情況下導入PQC，單個區塊能容納的交易數量將大幅減少。網路吞吐量（TPS：Transactions Per Second）將遭受毀滅性打擊，網路壅塞將成為常態。為了解決這個問題，必須大幅提高區塊大小。然而，這將增加全節點的儲存空間及網路頻寬需求，使個人運行節點變得困難，最終陷入導致網路中心化的困境。

pie title "區塊鏈中的簽章資料大小比較 (概念圖)" "ECDSA (約70 Bytes)" : 2 "Dilithium ML-DSA (約2,500 Bytes)" : 58 "SPHINCS+ (約17,000 Bytes)" : 40

(※ 導入PQC伴隨的交易資料膨脹，將成為可擴展性的致命瓶頸)

5.2. 對以太坊虛擬機（EVM）的影響與預先編譯合約

在像以太坊這樣圖靈完備的智慧合約平台中，導入PQC需要對EVM（以太坊虛擬機）進行根本性的升級。目前的EVM中，為了驗證ECDSA簽章，準備了名為 ecrecover（地址: 0x01）的預先編譯合約（Precompiled Contract），經過最佳化後只需非常低的Gas費用（3000 Gas）即可進行簽章驗證。

然而，像Dilithium或Falcon等新晶格密碼演算法的驗證過程，牽涉到複雜的多項式運算與矩陣運算。如果僅用現有的EVM操作碼（Opcode）來實作，單次簽章驗證就可能消耗數百萬到數千萬的Gas。這足以在單筆交易中耗盡目前的區塊Gas上限（約3000萬Gas）。

為了避免這個情況，必須透過網路的硬分叉（Hard Fork），在EVM內部新增專門用於驗證PQC的Precompiled Contract（例如將 0x10 分配給 DilithiumVerify）。這需要各個以太坊客戶端（Geth, Nethermind, Erigon等）的核心開發者協同合作，在C++、Go、Rust等語言層級上進行晶格密碼學驗證邏輯的最佳化實作，並執行安全審計，這將是一個漫長的過程。

5.3. 硬分叉達成共識的困難度

要更改基礎的簽章演算法，必須進行更新整個網路協定的硬分叉（Hard Fork）。然而，在像比特幣這種重視「不改變規則、去中心化」的社群中，達成共識的過程在政治上也極為困難。關於過渡至PQC的BIP（比特幣改進提案）從提出到落實，可能需要長達數年的討論與測試。

6. 「Q-Day」何時到來？過渡路線圖

「量子電腦完全破解256位元橢圓曲線密碼學的那一天（Q-Day）」何時會到來？研究人員之間的意見雖然存在分歧，但許多專家預測，擁有數千到數萬個穩定邏輯量子位元（具備抗雜訊與錯誤修正能力）的大型量子電腦，將在**「2030年代中期到2040年代間」**出現。不過，若硬體架構取得突破，或發現更有效率的量子演算法，這個時間點也有提早的可能（如2030年前後）。

為了避免加密資產生態系錯失良機，應該採取的路線圖如下：

階段1：混合簽章與帳戶抽象化（現在～2028年左右）

目前的區塊鏈領域，尤其是以太坊的開發陣營（如Vitalik Buterin等人），正在研究結合ECDSA與PQC（雜湊簽章或晶格密碼學）的**「混合簽章」**。這種方法在交易中同時附加現有安全的ECDSA簽章與PQC簽章，即使其中一方被破解，也能維持安全性。此外，透過利用帳戶抽象化（Account Abstraction, ERC-4337），也正在推動無需等待協定層級硬分叉，就能在智慧合約錢包上以可選擇加入（Opt-in，僅限有意願的用戶）的方式支援PQC簽章。

階段2：零知識證明（ZK-Rollups）的應用（2025年～）

被寄予厚望用來解決PQC最大弱點「簽章資料膨脹」的王牌，是應用Layer 2技術的ZK-Rollups（零知識證明）。不將龐大的PQC簽章資料直接寫入Layer 1（主鏈），而是在Layer 2上驗證並彙總大量PQC交易。然後，使用ZK-SNARKs或ZK-STARKs將它們壓縮成一個極小的「證明資料（Proof）」，再記錄到Layer 1。需要注意的是，SNARKs的某些構造（如Groth16）本身具備量子脆弱性，因此採用僅依賴抗量子雜湊函數的ZK-STARKs將成為關鍵。

階段3：協定層級的硬分叉（2030年左右）

當NIST的PQC標準化完全確立，業界標準函式庫齊備並經過充分測試後，預期Bitcoin或Ethereum等主流公鏈將執行硬分叉，把預設簽章方式全面過渡到PQC。在這個過渡期，將會對用戶發出大規模公告，「呼籲用戶將資金從舊錢包轉移到支援PQC的新錢包」。

先驅專案案例

少數區塊鏈專案已經預見了這場量子威脅，從初期階段就主打抗量子特性進行開發。

QRL (Quantum Resistant Ledger): 是一個在協定層級原生實作XMSS（延伸Merkle簽章方案）這種基於雜湊的PQC的早期區塊鏈。
Algorand / Cellframe: 具備彈性密碼層的模組化架構，以應對未來的PQC升級，並正積極探索晶格密碼學的整合。

7. 結論：加密資產的未來與保護我們的資產

「後量子時代」的到來已不再只是科幻小說中的空想領域，而是作為針對現實密碼系統的具體技術挑戰，逼近我們的眼前。

Shor演算法和Grover演算法這兩把量子電腦的利劍，分別威脅著目前區塊鏈基礎的公開金鑰密碼學與雜湊函數。特別是ECDSA的脆弱性最為致命。為了避免遭受搶先交易攻擊導致資金被盜的風險，過渡到後量子密碼學（PQC）是絕對無法避免的道路。

然而，科技界與區塊鏈社群並非束手無策坐以待斃。包含晶格密碼學與雜湊簽章在內的PQC演算法選定及標準化正穩步推進。透過運用零知識證明（ZK-STARKs）與Layer 2擴容技術，克服導入PQC最大難關「資料大小膨脹」的道路也開始浮現。

身為一般加密資產用戶或投資者的我們，現在不需要恐慌地拋售所有資產。但是，具備以下基本素養與自我保護意識非常重要。

避免重複使用地址：不僅基於隱私考量，基於安全考量更應嚴格遵守，不要將資金長時間存放在「已使用的地址（只要發送過一次資金，公鑰就暴露在區塊鏈上的地址）」。
關注科技趨勢：留意比特幣BIP或以太坊EIP等主要網路關於PQC過渡的討論及硬分叉新聞，在必要的時機，妥善進行錢包轉移操作。

區塊鏈的歷史，一直都是一段面對新技術威脅不斷升級與展現韌性（回復力）的歷史。正如我們克服了可擴展性問題與環境問題（如PoW過渡到PoS），面對這場前所未見的量子威脅，整個生態系也將會探索出解決方案並加以適應。我們期待，代表人類新智慧的量子電腦，與作為信任科技的去中心化分散式帳本，並不會在衝突中走向毀滅，而是能在更高層次上融合，昇華為一個更堅固的系統。

參考文獻・相關連結:

National Institute of Standards and Technology (NIST) - Post-Quantum Cryptography Standardization Project
Shor, P. W. (1994). Algorithms for quantum computation: discrete logarithms and factoring.
Grover, L. K. (1996). A fast quantum mechanical algorithm for database search.
Buterin, V. (2024). How to hard-fork to save most users’ funds in a quantum emergency.

深入淺出：量子退火與量子閘模型的差異

Fri, 11 Sep 2026 12:00:00 +0900

深入淺出：量子退火與量子閘模型的差異

量子運算是下一代的運算技術，利用量子力學原理（疊加與量子糾纏），能夠將現代古典電腦（包含傳統的超級電腦）需要耗費龐大時間才能解決的特定問題，以飛躍般的速度求解。

目前，實現量子電腦的方法大致可分為兩大主流範式：「量子退火（Quantum Annealing）」與「量子閘模型（Quantum Gate Model）」。這兩種架構在基礎物理方法、擅長的運算任務以及硬體實作所面臨的挑戰上，都有著巨大的差異。

本文將從物理原理、數學模型（Ising模型、QUBO、么正變換等）、當前的技術限制，一直到具體的使用案例，以非常詳細且具技術性的視角，對這兩種架構進行徹底的比較與解說。

1. 量子運算的基礎：與古典電腦的根本差異

古典電腦在處理資訊時，使用的是狀態為「0」或「1」的「位元（Bit）」。另一方面，量子電腦使用的是「量子位元（Qubit）」。藉由量子力學中的「疊加（Superposition）」原理，量子位元可以機率性地同時擁有 0 與 1 的狀態。

此外，透過利用被稱為「量子糾纏（Entanglement）」的現象，多個量子位元的狀態會產生強烈的相互關聯，對單一量子位元的操作將會瞬間影響整個系統。這使得類似平行處理的運算（量子平行性）成為可能。

然而，量子狀態對於外部雜訊（如熱能或電磁波等）非常脆弱，狀態一旦被破壞就會退化回古典狀態，這被稱為「退相干（Decoherence）」，是目前面臨的一大難題。對於解決這種雜訊問題的不同方法，也導致了退火與量子閘模型在設計理念上的巨大差異。

2. 量子退火 (Quantum Annealing) 詳細解說

量子退火主要是一種專門用來求解**「組合最佳化問題」**的專用運算架構。它以 1998 年由東京工業大學的門脇萬平與西森秀稔所提出的理論為基礎，並因為加拿大 D-Wave Systems 公司在全球首次將其商業化而廣為人知。

2.1. 物理機制：橫向磁場 Ising 模型與量子漲落

量子退火利用了自然界物理系統傾向於穩定在「能量最低狀態（基態）」的特性來進行運算。

在古典的方法「模擬退火（Simulated Annealing）」中，是利用熱漲落來逃離局部最佳解（局部最小值）。另一方面，量子退火則是利用「量子漲落（Quantum Fluctuation）」，透過「量子穿隧效應（Quantum Tunneling）」來穿透能量障壁，從而更有效率地探索全域最佳解（全域最小值）。

量子退火系統的時間演化可以由以下的哈密頓算符（代表系統總能量的運算子） $H(t)$ 來描述：

$$ H(t) = A(t) H_0 + B(t) H_P $$

這裡，$t$ 是時間，$A(t)$ 是一個逐漸遞減的函數，而 $B(t)$ 是一個逐漸遞增的函數。

$H_0$（初始哈密頓算符）: 代表橫向磁場（Transverse field），用來產生量子漲落。 $$ H_0 = - \sum_{i} \sigma_i^x $$ （$\sigma_i^x$ 是包立 X 矩陣，代表位元的反轉。）
$H_P$（問題哈密頓算符）: 用來表示想要求解的最佳化問題的 Ising 模型（Ising Model）。

在初始狀態 ($t=0$) 時，$A(0)$ 處於最大值，系統處於 $H_0$ 的基態（所有狀態均勻疊加的狀態）。接著隨著時間慢慢地減弱橫向磁場，同時增強問題哈密頓算符的交互作用。

2.2. 絕熱量子運算 (Adiabatic Quantum Computation)

在這個過程中非常重要的是**「絕熱定理（Adiabatic Theorem）」**。根據絕熱定理，如果系統的變化「夠慢（絕熱地）」，系統就會一直停留在每個瞬間的哈密頓算符的基態。

也就是說，當最終 $A(t) \to 0$, $B(t) \to 1$ 時，系統會達到 $H_P$ 的基態，亦即得到了**「最佳化問題的精確解」**。

graph TD A["哈密頓算符 H_0 (初始狀態)"] -->|"絕熱變化 (足夠緩慢)"| B["始終維持基態"] A -->|"非絕熱變化 (太快/熱雜訊)"| C["躍遷至激發態 (錯誤)"] B --> D["哈密頓算符 H_P (全域最佳解)"] C --> E["受困於局部最佳解"] D --> F["讀取解答"] E --> F

2.3. 從 QUBO 映射到 Ising 模型

要在量子退火機上求解現實世界的問題，必須將問題公式化為**QUBO（Quadratic Unconstrained Binary Optimization：無約束二次二元最佳化）**的形式。

QUBO 的目標函數定義如下：

$$ \min_{x \in \{0,1\}^n} \sum_{i} Q_{ii} x_i + \sum_{i < j} Q_{ij} x_i x_j $$

這裡，$x_i \in \{0, 1\}$ 是二元變數，$Q$ 是權重矩陣。

由於硬體（例如 D-Wave）處理的是物理自旋（朝上/朝下），因此需要將變數轉換為使用 $\sigma_i \in \{-1, +1\}$ 的 Ising 模型。轉換公式如下：

$$ x_i = \frac{1 - \sigma_i}{2} \quad \text{或} \quad \sigma_i = 1 - 2x_i $$

將其代入 QUBO 的公式並進行整理後，就可以得到 Ising 模型的哈密頓算符 $H_P$：

$$ H_P = - \sum_{i

$J_{ij}$: 自旋間的交互作用（耦合係數）。物理量子位元間的耦合強度。

$h_i$: 作用於各個自旋的局部磁場（偏置）。

2.4. 量子退火的硬體與挑戰（以 D-Wave 為例）

D-Wave 的量子處理器是利用超導量子干涉儀（SQUID）來實現的。物理量子位元之間的耦合取決於硬體的佈線，並非完全耦合（所有的位元都相互連接的狀態）。從早期的「奇美拉圖（Chimera graph）」，演進到「飛馬圖（Pegasus）」以及「微風圖（Zephyr）」，雖然耦合度有所提升，但仍然存在限制。

因此，需要一個名為**「子圖嵌入（Minor Embedding）」**的處理程序，將具有複雜圖形結構的問題映射到物理圖形上。這會導致用多個物理量子位元（鏈）來表示一個邏輯變數，從而減少可用的有效量子位元數量，並伴隨著運算精度下降的問題。

3. 量子閘模型 (Quantum Gate Model) 詳細解說

量子閘模型是將古典電腦的邏輯閘（AND, OR, NOT 等）擴展到量子力學領域的產物，是能夠實現**「通用量子運算（Universal Quantum Computation）」**的架構。包含 IBM、Google、Rigetti、IonQ 等許多公司都採用了這種架構。

3.1. 么正變換與狀態向量

在量子閘模型中，整個量子位元系統的狀態被表示為一個「狀態向量（State Vector）」 $|\psi\rangle$。1 個量子位元的狀態可以表示為基態 $|0\rangle$ 與 $|1\rangle$ 的線性組合：

$$ |\psi\rangle = \alpha |0\rangle + \beta |1\rangle $$

這裡，$\alpha$ 與 $\beta$ 是複數機率幅，並且滿足 $|\alpha|^2 + |\beta|^2 = 1$。在幾何學上，這個狀態可以視覺化為「布洛赫球面（Bloch Sphere）」上的一點。

量子運算的步驟被描述為對狀態向量應用么正算符（Unitary Operator） $U$。么正矩陣具有 $U^\dagger U = I$（與其埃爾米特共軛的乘積為單位矩陣）的特性，這對應於量子力學中薛丁格方程式的時間演化，是一個可逆的操作。

$$ |\psi_{t+1}\rangle = U_t |\psi_t\rangle $$

3.2. 基本的量子閘與線路模型

量子運算演算法被設計為一連串的量子閘序列（量子線路）。

包立閘 (X, Y, Z): 在布洛赫球面上沿著各個軸旋轉 180 度。X 閘相當於古典的 NOT 閘。
哈達瑪閘 (H): 將 $|0\rangle$ 轉換為 $\frac{|0\rangle + |1\rangle}{\sqrt{2}}$，從而創造出疊加狀態。 $$ H = \frac{1}{\sqrt{2}} \begin{pmatrix} 1 & 1 \\ 1 & -1 \end{pmatrix} $$
CNOT 閘 (Controlled-NOT): 2 個量子位元的閘。只有當控制位元為 $|1\rangle$ 時，才對目標位元施加 X 閘。這會產生量子糾纏（Entanglement）。

任何量子演算法都可以藉由少數的單量子位元閘與 CNOT 閘的組合來近似表示（通用閘集合）。

graph LR Q0["量子位元 0: |0>"] --> H1["哈達瑪閘 (H)"] Q1["量子位元 1: |0>"] --> I1["恆等操作 (I)"] H1 --> C1["控制位元 (Control)"] I1 --> T1["目標位元 (Target)"] C1 -. "糾纏" .- T1 C1 --> M0["測量 (Measurement)"] T1 --> M1["測量 (Measurement)"] M0 --> Result["古典結果 (0 或 1)"] M1 --> Result

3.3. 錯誤更正與從 NISQ 到 FTQC 的道路

量子閘模型最大的挑戰在於量子狀態會被雜訊破壞的「退相干」現象。當運算步驟（閘深度）越深，錯誤就會累積得越多。

為了進行理想的運算，**量子錯誤更正（Quantum Error Correction）**是不可或缺的。舉例來說，在「表面碼（Surface Code）」等方法中，會將多個物理量子位元綑綁在一起，構成一個無錯誤的「邏輯量子位元（Logical Qubit）」。然而，為了一個邏輯量子位元，需要數千到數萬個物理量子位元，這會產生龐大的額外開銷（Overhead）。

我們目前所處的階段，是尚未具備錯誤更正能力，僅擁有數十到數百個量子位元的NISQ（Noisy Intermediate-Scale Quantum，有雜訊的中等規模量子）設備時代。要實現具備完整錯誤更正能力的FTQC（Fault-Tolerant Quantum Computing：容錯量子運算），還需要許多技術上的突破。

4. 技術與數學比較總結

以下比較這兩種架構的根本差異：

比較項目	量子退火 (Quantum Annealing)	量子閘模型 (Gate Model)
運算模型	絕熱量子運算（哈密頓算符的連續時間演化）	么正變換（離散量子閘操作的序列）
適合的問題	組合最佳化問題 (QUBO, Ising 模型)	通用型（量子化學模擬、質因數分解、搜尋等）
表達能力	啟發式最佳化（近似解）	等同於通用量子圖靈機（理論上可進行所有運算）
實作範例	D-Wave Systems	IBM, Google, Quantinuum, IonQ 等
對雜訊的耐受度	相對較強（因為停留在基態附近，可容許一定程度的熱雜訊）	非常弱（輕微的雜訊就會導致相位偏移，破壞運算結果）
擴展性 (Scalability)	數千至數萬量子位元規模（取決於物理結構，難以邏輯位元化）	數百量子位元規模（邁向 FTQC 需要數百萬規模）

量子退火適合作為「特定用途的輔助處理器（Coprocessor）」，以彌補古典電腦極限的方式來求解最佳化問題。另一方面，量子閘模型是「通用電腦」的量子版本，終極目標是追求超越古典電腦的運算能力（量子霸權），但硬體的建構極其困難。

5. 當前的限制與挑戰

量子退火的限制

耦合度的限制（Connectivity）: 由於前面提到的子圖嵌入，當問題規模變大時，所需的物理量子位元數量會呈指數增長。
係數的精度（Precision）: 在硬體上設定 $J_{ij}$ 與 $h_i$ 等類比參數時所產生的物理誤差，會直接影響解的品質。
溫度與非絕熱躍遷: 由於系統溫度並非絕對零度，存在因熱激發而偏離最佳解的機率。

量子閘模型的限制

相干時間（Coherence Time）: 能夠維持量子狀態的時間僅有幾微秒到幾毫秒左右，這嚴格限制了在此期間能夠執行的量子閘數量（線路深度）。
閘保真度（Gate Fidelity）: 2 量子位元閘（如 CNOT 等）的操作錯誤率仍然不夠低（一般約為 99.x% 左右）。為了實現 FTQC，必須將其提升至 99.99% 以上。
量子體積（Quantum Volume）: 不僅僅是量子位元數，如何擴展考量了交互耦合與錯誤率的實質運算能力（量子體積），是當前最大的挑戰。

6. 具體的使用案例與演算法

接下來看看兩種架構各自擅長的具體應用領域。

6.1. 量子退火的使用案例

物流與路線規劃: 大量車輛的配送路線最佳化（旅行推銷員問題的變體）。考慮交通壅塞的即時路徑搜尋。
金融工程: 投資組合最佳化。尋找在最小化風險的同時最大化報酬的股票組合。
機器學習: 特徵選擇（Feature Selection）。從龐大的資料集中提取對預測最有貢獻的變數組合。
製造業: 工廠中的零工車間排程問題（Job-shop scheduling problem，決定哪個零件在哪台機器上以什麼順序加工最快）。

6.2. 量子閘模型的使用案例

量子化學模擬: 高精度地模擬分子的能量狀態與化學反應。
質因數分解（Shor 演算法）: 能在多項式時間內對巨大的合成數進行質因數分解的演算法。一旦其實用化，將會破解當前如 RSA 等公開金鑰密碼基礎建設，因此轉向抗量子密碼學（PQC）已成為當務之急。
資料庫搜尋（Grover 演算法）: 從未排序的資料庫中搜尋目標資料時，古典電腦需要 $O(N)$ 的步驟，而 Grover 演算法則能在 $O(\sqrt{N})$ 的步驟內完成搜尋。

6.3. NISQ 時代的混合演算法：VQE 與 QAOA

為克服 NISQ 設備中淺層量子線路的限制，結合量子電腦與古典電腦優勢的「變分量子演算法（Variational Quantum Algorithms）」正受到矚目。

VQE (Variational Quantum Eigensolver): 求解分子基態能量的演算法。使用帶有參數的量子線路（Ansatz）來準備量子狀態，並測量能量期望值 $\langle \psi(\theta) | H | \psi(\theta) \rangle$。將此期望值作為目標函數，使用古典的最佳化演算法（如梯度下降法等）來更新參數 $\theta$。藉由反覆執行此過程直到收斂，以求得分子準確的能量狀態。
QAOA (Quantum Approximate Optimization Algorithm): 使用量子閘模型來求解組合最佳化問題的演算法。它藉由「特羅特展開（Trotterization）」，將量子退火的絕熱時間演化近似為離散的量子閘操作，並交替作用哈密頓算符以獲得近似解。QAOA 被期待成為利用閘模型求解最佳化問題的有力手段。

graph TD User["使用者問題"] --> Formulation{"問題的性質"} Formulation -- "組合最佳化" --> QA_Path["量子退火 / Ising 機器"] QA_Path --> QUBO["QUBO 公式化"] QUBO --> DWave["D-Wave 執行"] Formulation -- "化學計算・通用計算" --> Gate_Path["量子閘模型"] Gate_Path --> Circuit["量子線路設計 (VQE / QAOA)"] Circuit --> IBMGoogle["IBM / Google 量子硬體執行"]

7. 總結

量子退火與量子閘模型，兩者在利用量子力學的奇妙性質作為運算資源這一點上是相同的，但其方法與達成的目標卻有著巨大的差異。

量子退火是為了解決組合最佳化這類特定實際問題，以期及早產出實用成果的「特化型啟發式引擎」。目前已有許多企業正在推進各種概念驗證（PoC）。
量子閘模型則是從物理與化學的嚴密模擬，一直到密碼破解，蘊含著從根本顛覆計算機科學範式的「通用量子電腦」。然而，為了跨越錯誤更正這座巨大的高牆，需要長期的研究與開發。

在未來，預期將會建立起以古典超級電腦（HPC）為核心，遇到最佳化任務時呼叫退火機，進行量子化學計算時呼叫閘模型量子電腦的**「異質運算（Heterogeneous Computing）」**環境。

量子電腦雖然仍是一項發展中的技術，但在硬體與演算法雙方面都正在日新月異地進化。理解 Ising 模型的數學原理以及量子線路的基礎，將成為迎接即將到來的量子原生時代的強大武器。

本文全面解說了從量子運算的基礎概念到最新硬體動向的各個面向。請持續關注未來的最新研究動向。

量子電腦實用化之日：2026年的現狀

Fri, 11 Sep 2026 06:00:00 +0900

1. 前言：2026年，量子電腦發展到了什麼程度

2026年現在，量子運算已經從過去的「理論上的夢想」經歷了決定性的轉變，成為了「工程上的現實」。隨著幾年前仍是主流的**NISQ（Noisy Intermediate-Scale Quantum，雜訊中型量子）**裝置的極限變得明確，世界各地的研究機構與科技巨頭已將發展方向轉向實現「容錯量子運算（FTQC: Fault-Tolerant Quantum Computing）」。

在本文中，我們將結合2026年的最新突破，深入探討量子電腦的現狀。特別是將詳細解說量子錯誤更正（表面碼）、物理量子位元與邏輯量子位元的差異、拓撲量子運算的進展，以及超導與離子阱方式的最前線。

2. 量子態的基礎與保真度（Fidelity）

作為量子電腦基本單位的量子位元（Qubit），不同於古典位元（0或1），可以呈現0與1的疊加態（Superposition）。單一量子位元的狀態在希爾伯特空間中以向量表示如下：

$$ |\psi\rangle = \alpha|0\rangle + \beta|1\rangle $$

這裡，$\alpha$ 與 $\beta$ 為複數的機率幅，並滿足以下的歸一化條件：

$$ |\alpha|^2 + |\beta|^2 = 1 $$

在衡量量子運算效能時，一個極為重要的指標是保真度（Fidelity）。理想的量子態 $|\psi\rangle$ 與受到雜訊退化而成為混合態的實際密度矩陣 $\rho$ 之間的保真度 $F$ 定義如下：

$$ F(\rho, |\psi\rangle) = \langle \psi | \rho | \psi \rangle $$

在2026年的現在，2量子位元閘（例如：CNOT閘或CZ閘）的保真度，在超導方式中已能穩定突破**99.99%**的障壁（即所謂的「四個九」）。這大幅超越了表面碼進行錯誤更正的閾值（約99%），是邁向實用化的最大突破之一。

3. NISQ時代的極限與向FTQC的典範轉移

從2010年代後半到2020年代前半，是屬於不具備錯誤更正、擁有數十至數百個量子位元裝置的NISQ（Noisy Intermediate-Scale Quantum）時代。然而，NISQ有著明確的極限。

隨著電路深度（Depth）增加，錯誤會呈指數級累積，使得獲得有意義的運算結果變得不可能。在電路深度 $D$ 下的整體成功機率 $P_{success}$，相對於單一閘的保真度 $f$ 與閘的數量 $N$，會以下列方式衰減：

$$ P_{success} \approx f^N $$

如果 $f = 0.99$ 且套用了1000個閘，則 $0.99^{1000} \approx 4.3 \times 10^{-5}$，結果將幾乎被隨機雜訊所掩蓋。因此，在2026年，比起直接擴展NISQ演算法（如VQE或QAOA），資源更集中於**邏輯量子位元（Logical Qubit）**的生成。

4. 量子錯誤更正與邏輯量子位元：表面碼的最前線

量子錯誤更正（QEC: Quantum Error Correction）是一種將多個「物理量子位元」編碼以創造出1個「邏輯量子位元」，並檢測與更正錯誤的技術。目前最被看好的是表面碼（Surface Code）。

4.1 表面碼（Surface Code）的結構

在表面碼中，量子位元被配置為二維的網格狀。資料量子位元（保存實際資訊）與測量量子位元（用於症狀測量）如棋盤格般排列。

graph TD A["資料量子位元 (D1)"] --- B["測量量子位元 (M1)"] B --- C["資料量子位元 (D2)"] C --- D["測量量子位元 (M2)"] D --- E["資料量子位元 (D3)"] B --- F["資料量子位元 (D4)"] D --- G["資料量子位元 (D5)"] style A fill:#e1f5fe,stroke:#039be5 style C fill:#e1f5fe,stroke:#039be5 style E fill:#e1f5fe,stroke:#039be5 style F fill:#e1f5fe,stroke:#039be5 style G fill:#e1f5fe,stroke:#039be5 style B fill:#fff3e0,stroke:#fb8c00 style D fill:#fff3e0,stroke:#fb8c00

利用穩定子算符 $S_x$ 與 $S_z$，持續監控位元反轉（X錯誤）與相位反轉（Z錯誤）。

$$ S_x = \prod_{i \in \text{star}} X_i, \quad S_z = \prod_{j \in \text{plaquette}} Z_j $$

2026年的重大進展，是完全突破了「損益平衡點（Break-even point）」。也就是說，因執行錯誤更正而消除的雜訊，已大於額外電路所引入的雜訊，使得邏輯量子位元的壽命比物理量子位元的壽命高出了好幾個數量級。

4.2 量子錯誤更正的循環

錯誤更正作為一個持續的回饋迴圈運作。

sequenceDiagram participant D as "資料量子位元" participant M as "輔助/測量量子位元" participant C as "古典控制器" loop "症狀提取循環 (約 1 微秒)" D->>M: "糾纏 (CNOT/CZ)" M->>C: "測量狀態 (症狀)" C->>C: "解碼症狀 (例如：最小權重完美匹配)" C-->>D: "應用包立更正 (如有必要)" end

現在，使用FPGA或專用ASIC以奈秒為單位執行這種古典解碼處理（症狀分析）的技術已經確立，即時錯誤更正已進入實用階段。

5. 硬體架構的進化（2026年版）

2026年的量子硬體主要在「超導方式」、「離子阱方式」及「拓撲方式」三個軸向上持續進化。

5.1 超導量子位元的整合

超導方式是由IBM與Google領軍的領域，主要使用以約瑟夫森接面（Josephson Junction）構成的傳輸子（Transmon）量子位元。2026年，在單一晶片上整合數千至一萬個物理量子位元的巨型晶片已經實現。

值得特別提及的是**模組間量子通訊（Quantum Interconnects）**的確立。使用微波光子進行晶片間的量子遙傳已達商業級實作，使得繞過單一稀釋冷凍機的尺寸限制成為可能。

5.2 離子阱的二維擴展與光互連

離子阱方式（由Quantinuum與IonQ等主導）使用懸浮在真空中的離子的內部能量狀態作為量子位元。與超導方式相比，其具有T1/T2同調時間極長，且可實現全連接（All-to-All Connectivity）的優點。

2026年的突破在於QCCD（Quantum Charge Coupled Device）架構的二維化，以及利用光子互連（Photonic Interconnects）在多個阱之間快速生成糾纏。這大幅改善了過去離子阱在「閘速度緩慢」與「擴展性」上的弱點。

5.3 拓撲量子運算：任意子的控制

長期以來被認為僅存在於理論上的拓撲量子運算，終於在2026年進入了實驗證實的階段。由Microsoft等推動的此種方式，使用了被稱為「馬約拉納零模（Majorana Zero Modes）」的非阿貝爾任意子（Non-Abelian Anyons）。

透過交換任意子粒子位置的「編織（Braiding）」操作來執行量子閘。

$$ |\psi_{final}\rangle = B_{ij} |\psi_{initial}\rangle $$

這裡 $B_{ij}$ 為編織算符。拓撲方式由於資訊的保存不依賴於粒子的局部狀態，而是依賴整體「紐結」的拓撲結構，因此在本質上對環境雜訊具有抵抗力（硬體級別的容錯性）。2026年，世界上首次確認了高保真度拓撲邏輯量子位元的生成，作為通往FTQC的強大捷徑而備受矚目。

6. 邁向實用化的路線圖與展望

為了讓量子電腦在「化學計算」、「材料科學」、「金融建模」等領域中，真正展現出壓倒古典電腦（超級電腦）的量子霸權（Quantum Advantage），需要數千個邏輯量子位元。

gantt title "量子運算路線圖 (2026年修訂版)" dateFormat YYYY axisFormat %Y section "NISQ 時代" "含雜訊的量子位元 (<1000)" :done, 2018, 2024 section "早期 FTQC" "突破損益平衡點的展示" :done, 2024, 2026 "數百個邏輯量子位元" :active, 2026, 2028 section "全面 FTQC" "1000+ 個邏輯量子位元 (商業應用)" : 2028, 2030 "通用容錯量子電腦" : 2030, 2035

6.1 目前面臨的挑戰與未來

2026年最大的挑戰，在於維持極低溫的巨大低溫恆溫器（稀釋冷凍機）的冷卻能力，以及連接室溫控制裝置與極低溫量子晶片的線路（I/O瓶頸）。為了解決這個問題，能在極低溫環境下運作的CMOS（Cryo-CMOS）控制器晶片的開發正以極快的速度推進。

結論

2026年將被記錄為量子電腦歷史上的「邏輯量子位元擴展元年」。藉由錯誤更正演算法的證實、硬體的模組化，以及拓撲方法的快速進展，「實用化的日子」已不再是遙遠未來的空談，而是可以在未來數年內預見的具體里程碑。對於量子演算法的開發者與企業而言，現在正是正式投資於量子原生解決方案的最佳時機。

本文是基於2026年最新的量子運算研究論文與業界動態所撰寫。

Technology on kenji.blog

什麼是量子霸權？Google與IBM的最新動向

1. 前言：量子計算的黎明與「量子超越性」

2. 理論背景：量子計算的基礎與複雜度類別

量子位元與疊加態 (Superposition)

量子糾纏（Entanglement）與張量積

量子超越性在計算複雜度理論上的定義

3. 2019年：Google實證量子超越性

Sycamore處理器的架構

隨機量子電路取樣（Random Circuit Sampling: RCS）

忠誠度（Fidelity）評估：線性交叉熵基準測試（XEB）

4. IBM的反駁：從「超越性」到「實用性（Utility）」

透過張量網路收縮改善古典模擬

量子優勢（Quantum Advantage）與量子實用性（Quantum Utility）

5. 下一個前沿：錯誤緩解（Error Mitigation）與量子錯誤更正（QEC）

錯誤緩解（Error Mitigation）

量子錯誤更正（QEC）與邏輯量子位元

閾值定理（Threshold Theorem）與距離 $d$

Google在2023年的里程碑：實證透過擴展距離降低錯誤

6. 邁向FTQC（容錯量子計算）的發展藍圖與展望

IBM的策略：模組化與重六角（Heavy-Hex）網格

Google的策略：提升邏輯量子位元品質

7. 結語

後量子時代的區塊鏈與虛擬貨幣將會如何改變？

1. 簡介：後量子時代的腳步聲與區塊鏈的危機

2. 量子電腦的基礎與對區塊鏈的兩大威脅

2.1. 橢圓曲線密碼學（ECDSA）的基礎與計算困難度

2.2. Shor演算法（Shor’s Algorithm）導致的崩潰

2.2.1 透過Shor演算法破解ECDLP的逐步解析

2.3. Grover演算法（Grover’s Algorithm）與對雜湊函數的影響

2.3.1. SHA-256能倖存嗎？（Quantum Supremacy in Hashing）

3. 對現有加密資產（Bitcoin, Ethereum）具體影響的分析

3.1. 地址的產生與公鑰的「非公開性」

3.2. 發送交易時的致命漏洞（搶先交易攻擊）

3.3. 重複使用地址與舊地址（P2PK）的危機

4. 邁向後量子密碼學（PQC: Post-Quantum Cryptography）的過渡方案

4.1. 雜湊簽章（Hash-Based Signatures）

4.1.1. Lamport簽章的數學細節（One-Time Signature）

4.2. 晶格密碼學（Lattice-Based Cryptography）

5. 區塊鏈轉向PQC的技術挑戰

5.1. 簽章大小膨脹與可擴展性的崩潰

5.2. 對以太坊虛擬機（EVM）的影響與預先編譯合約

5.3. 硬分叉達成共識的困難度

6. 「Q-Day」何時到來？ 過渡路線圖

階段1：混合簽章與帳戶抽象化（現在～2028年左右）

階段2：零知識證明（ZK-Rollups）的應用（2025年～）

階段3：協定層級的硬分叉（2030年左右）

先驅專案案例

7. 結論：加密資產的未來與保護我們的資產

深入淺出：量子退火與量子閘模型的差異

深入淺出：量子退火與量子閘模型的差異

1. 量子運算的基礎：與古典電腦的根本差異

2. 量子退火 (Quantum Annealing) 詳細解說

2.1. 物理機制：橫向磁場 Ising 模型與量子漲落

2.2. 絕熱量子運算 (Adiabatic Quantum Computation)

2.3. 從 QUBO 映射到 Ising 模型

2.4. 量子退火的硬體與挑戰（以 D-Wave 為例）

3. 量子閘模型 (Quantum Gate Model) 詳細解說

3.1. 么正變換與狀態向量

3.2. 基本的量子閘與線路模型

3.3. 錯誤更正與從 NISQ 到 FTQC 的道路

4. 技術與數學比較總結

5. 當前的限制與挑戰

量子退火的限制

量子閘模型的限制

6. 具體的使用案例與演算法

6.1. 量子退火的使用案例

6.2. 量子閘模型的使用案例

6.3. NISQ 時代的混合演算法：VQE 與 QAOA

7. 總結

量子電腦實用化之日：2026年的現狀

1. 前言：2026年，量子電腦發展到了什麼程度

2. 量子態的基礎與保真度（Fidelity）

3. NISQ時代的極限與向FTQC的典範轉移

4. 量子錯誤更正與邏輯量子位元：表面碼的最前線

4.1 表面碼（Surface Code）的結構

4.2 量子錯誤更正的循環

5. 硬體架構的進化（2026年版）

5.1 超導量子位元的整合

5.2 離子阱的二維擴展與光互連

6. 「Q-Day」何時到來？過渡路線圖