【文/观察者网 心智观察所】 

是物理学家的终极梦想，也是投资市场的疯狂炒作。量子计算机，到底行不行？

最近，关于量子计算机的新闻可谓是热闹非凡。

就在不久之前，美国商务部突然宣布，向包括IBM、Global Foundries在内的9家量子计算公司投资20亿美元，直接换取股权，其中IBM独占10亿。IonQ、D-Wave、Rigetti等量子计算概念股也是一飞冲天。

今年春天，加州理工学院的明星团队交出设计，声称只需数万个中性原子量子比特，就能破解主流加密算法，并火速成立了初创公司Oratomic。另一边，谷歌的研究团队也宣称他们已经开发出量子计算算法的实现版本。这些进展大大缩短了量子计算机从理论到落地的距离。一时间，量子霸权似乎近在咫尺，仿佛明天就能用上量子计算机了。

与此同时，由西蒙斯创立的美国熨斗研究所（Flatiron Institute）的物理学家们却用一台普通笔记本电脑成功解决了人们此前宣称只有量子计算机才能解决的问题，在量子霸权面前叫阵。这记回马枪似乎在提醒我们：经典计算机还没死，甚至还挺能打。

一边是资本的狂欢和媒体的高呼，一边是实验室里易受干扰的量子比特和漫漫工程路。量子计算机，这个被寄予厚望的“颠覆者”，到底走到了哪一步？它什么时候才能真正走进现实？它会取代我们现在的手机和电脑吗？

从“比特”到“量子比特”：一场计算范式的革命

量子计算机和经典计算机在底层的计算原理、信息编码方式、运算逻辑上，都有着本质的区别。

你每天用的手机、电脑，底层都是比特（bit）。比特就像一个小小的开关：要么是0（关），要么是1（开）。所有的文字、图片、视频、密码，最终都会被拆解成无数个这样的0和1，然后被CPU一个接一个地处理。

经典计算机的思维是线性的、顺序的，无论多快，它一次只能走一条路。

量子比特（qubit）就完全不一样了。它具有一种诡异的属性，即叠加态。

一个经典比特只能是0或者1。但一个量子比特可以“既是0又是1”，还能是0和1以任意比例混合的状态。比如30%的0加上70%的1，或者各50%。

打一个最直观的比方：经典比特是桌子上的一枚硬币，要么正面朝上（0），要么反面朝上（1）；而量子比特是一枚还在空中旋转的硬币——在它落地之前，你无法说它是正面还是反面。它同时“是”正面，也同时“是”反面。只有当你伸手抓住它（测量）的那一刻，它才会随机“坍缩”成一个确定的结果。

“叠加”让单个量子比特能分身探索无数条路，但光有叠加还不够，还需要第二个神奇的法术——纠缠。

当两个量子比特被制备成纠缠态，它们之间就会产生一种不可思议的连接：无论它们相隔多远，只要测量其中一个的状态，另一个会瞬间变成与之相关的状态。没有任何经典物理能解释这种关联，爱因斯坦都称之为“幽灵般的超距作用”。

纠缠让所有量子比特的步伐协调一致，使得它们以经典世界无法实现的方式协同工作。

还有一个关键步骤，即干涉。

干涉就像一束光通过两道狭缝后，波峰与波峰叠加变亮、波峰与波谷叠加变暗。量子计算正是利用了这个原理：通过精巧地调控每个量子比特的相位，让正确答案的概率幅相互增强，让错误答案的概率幅相互抵消。最终，当你去测量量子比特时，就能大幅提高得到正确答案的概率。

所以，量子计算完整的底层逻辑是三股力量的合力：叠加令状态数指数级爆炸，纠缠令量子比特抱团协作，干涉则把正确答案“筛”出来。

三者合一，才是量子计算碾压经典计算的底层逻辑。

Shor算法：悬在互联网头顶的“达摩克利斯之剑”

是1994年麻省理工学院数学家彼得·肖尔（Peter Shor）提出的一个算法让全世界政府和网络安全专家集体失眠。

你现在用网银、发邮件、刷微信支付，信息都是加密传输的。最常用的经典加密系统叫RSA。它的原理其实很简单：

给你两个很大的质数，比如13和17，你很容易算出它们的乘积221。但反过来：给你221，让你猜它是哪两个质数乘出来的，就变得极其困难。

这个“困难”有多困难？如果用最好的经典算法去分解一个由两个质数相乘而得到的617位长的合数，全世界所有计算机加起来算到宇宙毁灭也算不完。这个超大的合数就是锁，那两个质数则是只有加密者才知道的钥匙。在这样巨大的困难面前，大家都默认RSA是安全的。

数学家肖尔则创造一种降维打击式的算法，他在纸上构造了一台符合量子力学规则的计算机，用以破解经典计算机无法破解的难题。Shor算法的核心在于把“分解一个大数”这个难题，巧妙地转化成了量子计算机擅长的“找周期”问题。例如，取一个大数 N=15，计算 2 的 1 次方、2 次方、3 次方……除以 15 的余数。你会发现余数呈现一个循环模式：2, 4, 8, 1, 2, 4, 8, 1……这个循环的长度“4”就是周期。有了这个周期，再根据数论定理，通过几步简单的算术，就能算出 15 = 3 × 5。经典计算机只能一个接一个地试出周期，慢到不可接受。而量子计算机利用叠加态，可以一次性同时计算所有幂次的余数。这些结果混在一起，里面隐藏着周期的“频率”，量子傅里叶变换可从这团杂乱的信息中，像听出混在噪音里的一个清晰节拍一样，精准地提取出周期。这就是Shor算法能够“降维打击”RSA加密的根本原因。打个极度简化的比方，经典方法是让一个人在有一亿个抽屉的大房间里一个一个地找钥匙；Shor算法相当于让一亿个人同时打开一亿个抽屉，然后瞬间就知道钥匙在哪个抽屉里。

分解一个300位的数，经典计算机可能需要15万年，而量子计算机不到一秒；分解一个5,000位的数，经典计算机需要50亿年，而量子计算机只需2分钟。一台足够大的量子计算机运行Shor算法，可以在几分钟甚至几秒钟内破解RSA和椭圆曲线加密（比特币的加密基础正是基于椭圆曲线密码）。到那时，银行账户、军事机密、加密货币，全都会像没锁的门一样。

这就是为什么各国政府如此紧张。美国那20亿美元的投资，很大程度上就是为了在这场“量子解密竞赛”中抢得先机。

两条路逼近加密堡垒

多年以来，Shor算法的威胁仅仅只是纸上谈兵。而近来，加州理工学院和谷歌同时取得了令人吃惊的进展，缩短了理论和实践的距离。

加州理工学院的明星团队联合哈佛大学的Lukin实验室，走的是中性原子（不带电的原子）路线。一个原子就是一个物理量子比特。激光像“光镊”一样捕捉、悬浮并自由排列数千个中性原子。中性原子量子比特之间不依赖固定导线，激光镊子可以把一个原子直接“抓”到阵列另一端与另一个原子纠缠。由于中性原子不带电，不容易被环境中的电场干扰，其叠加态可以维持较久。

他们利用了一种叫做qLDPC的新型纠错码。传统的纠错码要保护1个用于量子计算的逻辑量子比特免遭环境噪声的篡改，就需要约1000个物理量子比特（举个例子，上述中性原子就是物理量子比特），而qLDPC纠错码将这个比例压缩到低至5个物理量子比特即可保护1个逻辑量子比特，纠错开销降低了超过100倍。基于这个优势，他们给出了非常具体的数字：大约只需10,000个物理量子比特，就可以运行Shor算法从未破解比特币和以太坊采用的256位椭圆曲线加密；提高到26,000个，破解椭圆曲线加密只需约10天；再到102,000个，破解一个2048位RSA整数大约只需97天。

他们当场成立了初创公司Oratomic，论文署名包括量子信息学泰斗John Preskill、中性原子实验权威Manuel Endres等。

另一边，谷歌最近动作不断。

首先是纠错突破。谷歌的Willow处理器实现了低于阈值的纠错——增加物理量子比特的数量，逻辑错误率不是上升，而是呈指数级下降。这件事被业界视为“登月级别的里程碑”，证明大规模量子计算机在工程上是可行的。

其次是加密破解。今年4月，谷歌提交了一份基于零知识证明（一种密码学方法，能够在不透露任何秘密信息的情况下，向别人证明我知道这个秘密）的白皮书，宣布他们开发了Shor算法的实现版本，据称仅需1200个逻辑量子比特就能破解椭圆曲线加密，比之前的估算降低了约20倍。具体电路细节至今保密。

最后，谷歌宣布将自家系统迁移到后量子加密的时间表定在2029年。这意味着连量子计算的领军企业自己都认为：万事俱备，只欠东风，必须有备无患，不能再等了。

最新进展表明，留给经典加密系统的时间，真的不多了。