谷歌实现“量子霸权” ：会成为数字经济时代最大威胁吗

作者/文刀

编辑/Darcy

美国能源部下属橡树岭国家实验室的Summit是当今世界上最强大的超级计算机。根据官方公布的数据，顶点超级计算机峰值运算能力每秒可达20亿亿次，打个比方顶点超级计算机1秒的计算量相当于全球75亿人一年不间断用普通计算器的计算量。

然而根据英国《金融时报》9月20日报道，谷歌在一篇论文中透露他们的量子处理器在3分20秒内解决了“顶点”需要跑上1万年的计算问题。并且论文还发表在了NASA美国宇航局的官网上，虽然NASA随后就下架了该篇文章，并且表示该论文还需要经过同行评议。一旦最终确认谷歌这次实验的真实性，也就意味着量子计算机第一次在一个单一的问题上打败了现有的经典计算机，而这这正好符合了所谓“量子霸权”的定义。

在量子计算领域堪称教父的加州理工学院教授普雷斯基尔（John Preskill）在2012年提出了“量子霸权”（Quantum Supremacy）的概念，即量子计算机能在特定问题上超越世界上性能最好的经典计算机。

这次谷歌的试验也被当作一个里程碑的事件，量子计算将使传统的密码学以及基于密码学一系列领域都将被颠覆，对于区块链技术以及建立在此技术上的加密货币来说可能会是一场灭顶之灾，就连加密货币著名的拥趸，美国民主党总统参选人杨安泽也在推特表示：“大事啊，至少说明，没有什么破解不了的密码了。”短时间就收获了超过5000的点赞。”

 

什么是量子计算和量子霸权

量子计算这听起来就是一个让人不舒服的概念，因为它很难理解。我们大多数人不知道它是什么，也不知道它是如何工作的，但我们往往会把它与黑客联系在一起。在给大家做下一步的介绍之前，我们先来简单了解一下当今计算机的内部工作原理。

实质上，计算机芯片是由许多晶体管组成的。晶体管的工作原理就像一个简单的开/关，结合在一起就可以进行计算。今天，晶体管可以小到7纳米，大约有60个原子那么大。芯片巨头们正在努力进一步缩小这些晶体管的尺寸，以便在有限的空间之内装下更多的晶体管，生产出更快的电脑。

然而这个过程是有限度的，当晶体管太小时，这个时候经典物理学已经不适用，根据量子力学的理论，电子可能通过晶体管，并且导致严重的计算错误，简单的开关机制就不能正常工作。为了进一步提高处理能力，我们需要探索不同的方法。最可能和最有前途的研究领域是量子计算的概念。

经典计算技术将数据编码为二进制，最小的数据单元名叫比特 (bit)，它只有两个确定状态，0和1，关闭和开启。量子计算带来的最大变化是量子位的使用。不同于经典的比特，量子位可以是叠加的(这意味着同时处于0和1两种状态)。

 

举一个例子来说，假如一个 16-bit 的存储器只能存储一个数据，这个数据可能是2的16次方：65536 个数据中的任意一个。这个限制在理论中的量子计算机上却不存在，一个 16-qubit 的存储器可以同时存储 2 的 16 次方——65536 个数据。

这个例子可能很多人依然无法理解，我们用更通俗的方式来解释，一个经典处理器的运算速度越快越强大，但它在同一时间仍然只能进行一次计算，只是计算所用的时间被锁到很短而已；量子计算机强大的定义标准则是量子比特的数量，比方说一个 16-qubit 的量子计算机，可以同时对 2 的 16 次方个数据进行计算，节省了大量的时间。你应该能明白，当计算量变得巨大时，量子计算机的优势将会凸显出来。

也就是说量子计算机好像有分身一样，虽然经典计算机的计算能力很强，可是双拳难敌四手，量子计算机可以同时分出很多的分身来进行运算。这也是为什么科学家提出了“量子优势” 的概念，（也有人翻译做“量子霸权”）并且开始期待它的实现。

学术界普遍认为当量子计算机的量子比特超过50时，量子优势就实现了。不过在谷歌等科技巨头实际研发的过程中，大家发现虽然量子计算器比起经典计算机有着指数级别的性能优势，但是也不是没有缺陷的。量子本身受到周遭其他粒子的影响，导致结果错误（这个情况被称为退相干）；就算将量子计算机和周遭完美隔离（比如超低温），由于计算机的量子回路内本身存在随机波动，产生的结果仍然不是每个都正确。

就算我们可以通过引入纠错量子的方式来纠错，可是这种纠错行为本身又会造成量子计算机内部计算资源的极大浪费，甚至是几乎全部的计算资源。早在 2002 年，《电子工程专辑》的一篇文章就指出，错误率 (error rate) 是量子计算实现的绊脚石。

谷歌上一代量子计算芯片

 

所以谷歌此次发明的Sycamore量子计算机能够在包含54个量子比特的情况下实现超低的错误率，可以说是开创了一个新的时代。

加密货币的“达摩克利斯之剑”

加密算法都是建立在特定数学难题的基础之上，然而这些数学问题的困难性可能会因新型计算能力或者算法的出现而削弱。现行比特币、以太坊等加密货币和区块链技术的密码系统基于椭圆曲线离散对数的困难性，普通计算机破解一个椭圆曲线离散对数私钥可能要运行几百年甚至几千年才可能破解，而一台100个量子比特的量子计算机可能只需几分钟。

在安全性方面，区块链技术一大特点就是不可逆、不可伪造，但前提是密钥是安全的。密钥是用户生成并保管的，没有第三方参与。密钥一旦被破解而丢失，便无法对账户的资产做任何操作。

以比特币这类数字货币为例，其一般通过调用操作系统底层的随机数生成器来生成256 位随机数作为私钥。比特币私钥的总量大，极难通过遍历全部私钥空间来获得存有比特币的私钥，因而密码学是安全的。

为便于识别，256位二进制形式的比特币私钥将通过SHA256哈希算法和Base58转换，形成50个字符长度易识别和书写私钥提供给用户。

数字货币的公钥是由私钥首先经过Secp256k1椭圆曲线算法生成65字节长度的随机数。该公钥可用于产生比特币交易时使用的地址，其生成过程是首先将公钥进行SHA256和RIPEMD160双哈希运算生成20字节长度的摘要结果，再经过SHA256哈希算法和Base58转换形成33字符长度的比特币地址。

公钥生成过程是不可逆的，即不能通过公钥反推出私钥。数字货币的公钥和私钥通常保存在比特币钱包文件，其中私钥最为重要。

丢失私钥就意味着丢失了对应地址的全部比特币资产。现有的比特币和区块链系统中，根据实际应用需求已经衍生出多私钥加密技术，以满足多重签名等更为灵活和复杂的场景。但量子计算的发展，却给这个号称世界上最安全的货币造成了不可预知的风险。

矛盾之争

虽然谷歌在量子计算领域取得了重大进展，但是目前来看，量子计算仍然处于婴儿期，不过学术界已经开始研究它对加密学和加密货币未来的影响了。

例如去年十月，新加坡国立大学的Divesh Aggarwal等学者发布了一篇论文《Quantum attacks on Bitcoin, and how to protect against them》探讨了针对比特币的量子计算攻击手段和防范措施。他们认为量子计算在未来十年内几乎不可能影响到比特币的工作量证明（也就是挖矿）。在SHA256哈希函数的算力角逐中，量子计算机会长期败给专用的ASIC矿机。

并且量子计算机作为一种工具，既可以用来解密也可以用来加密。量子计算机其实可以用来制造“矛”，也可以用来制造“盾”。相关技术同步发展，因为比特币用的加密算法和国际很多加密算法如出一辙，如果量子计算机可以破解比特币的算法，那么世界上大多数密码系统都将被破解。目前已经有很多机构正在研究量子加密技术，美国国家安全局2015年宣布正在研究可以抵御量子计算的加密系统的量子密码系统。

 

最后，其实比特币或者其他加密货币的加密算法也可以通过共识进化，在如今网络通信协议中，使用范围最广的密码技术是RSA密码系统、诸如ECDSA/ECDH等ECC密码系统以及DH密钥交换技术，这些通用密码系统共同构成了确保网络信息安全的底层机制。

诸如大数分解和离散对数等经过长期深入研究的数学问题构建出上述先进加密技术的底层机制，而且此类困难问题在过去数十年间的运行过程中表现出了充分的可靠性。

但随着量子计算机技术不断取得突破，特别是以肖氏算法为典型代表的量子算法的提出，相关运算操作在理论上可以实现从指数级别向多项式级别的转变，这些对于经典计算机来说足够“困难”的问题必将在可预期的将来被实用型量子计算机轻易破解。

在区块链中，哈希是最常见的加密技术。基于哈希算法密码系统能够在哈希函数的基础上提供一次性签名机制，其原理基于特定加密哈希函数的抗碰撞性。拉尔夫▪默克尔（Ralph Merkle）在1979年引入了这种密码原理研究方法，但是其在效率方面存在签名过长以及生成速度太慢等诸多短板。

经过多年的发展，XMSS和SPHINCS哈希签名体制因其在签名长度和运行速度方面的优势得到较多关注，国际互联网工程任务组当前还在试图推进并完成XMSS签名的标准化工作。

在所有被认为具有抵御量子威胁潜力的计算问题中，基于格密码系统在过去十年中得到了最为广泛的关注。与大数分解和离散对数问题不同，目前没有量子算法可以借助量子计算机对其进行破解。

而且，格密码系统在最坏情况假设条件下依然具备安全性。在格密码系统中，所有可能的密钥选择方式都能够形成足够的困难性。目前，NTRU密码以及带错误学习问题是基于格密码系统发展实用前景最好的两种方式。

总而言之，目前量子计算仍处于发展的萌芽期，大量前沿技术还停留在理论研究层面，许多技术障碍仍有待突破，距离通用化应用还有较大距离。而区块链技术在数字货币清算结算、数字资产管理等方面的独特性正在逐步显现。我们相信随着计算机技术在进步，两者之间不会再是矛与盾的关系，当两个代表未来的科学技术交汇于在一起的时候，一个全新的世界就会到来。