距离全球密码失效仅剩3年？谷歌宣布“量子末日”提前，真相究竟如何？

咖啡豆

如果突然有一天，我们的银行卡密码、社交账号，还有比特币这类区块链资产，甚至政府和企业的核心机密，都将面临被轻易破解的风险，那么对于现代社会来讲，绝对可以称得上是末日。

这并非科幻小说中的想象，当量子计算机的计算能力，足以破解当前全球主流加密算法的那一天到来时，上述情况必然发生。所以这一天也被称之为“量子末日”。
2026 年 3 月 29 日，谷歌公司突然宣布，量子末日的防御截止期限从原本预估的 2030 年代，大幅提前至 2029 年。如果预测成真，那么末日的到来，距离今天还有不到三年的时间[1]。

谷歌在公告中明确警示，现有守护全球数字安全的 RSA 加密、椭圆曲线加密（ECC），到 2029 年都将被量子计算机彻底攻破，因此全球所有机构必须加速部署后量子密码（PQC）算法，完成安全体系的转型[2]。
谷歌公司可并非口头呼吁，它直接公布了安卓系统的抗量子加密适配计划：从安卓 17 测试版开始，将 ML-DSA 数字签名标准植入硬件信任根，逐步完成应用签名、设备启动、远程认证等全环节的密码升级，这一系列改动将给全球安卓开发者带来巨大的适配工作量[3]。
消息一出，舆论瞬间沸腾。毕竟在大众的印象里，量子计算机多年来一直停留在“实验室玩具”的初级阶段，量子比特数一直增长缓慢。这段时间也没听说谷歌在量子计算机领域取得什么颠覆性的突破呀？
没错，量子计算机领域确实很久没有颠覆性突破了。甚至，来自量子计算领域的突破的新闻，比经典计算领域还少得多。
为什么会这样呢？要搞懂这个问题，其实不一定非要了解量子力学的高深理论。咱们今天就放下那些“叠加态”、“纠缠”和“波函数”，从工程学的角度，把量子计算机拆开看看，就能理解量子计算机领域的真相。

其实，限制量子计算机发展的，从来就不是深奥的量子力学，而是一个一个实实在在的工程学难题。
量子计算机的工程学本质

很多人听到量子计算机，都会被其背后的量子力学吓住，觉得量子计算机是能够“违背常识”的神奇设备。但从工程角度来看，它的核心原理其实并不难理解。
量子计算机之所以强大，是因为它具备强大的并行计算能力。而并行计算的原理，其实就是摆脱经典计算机通过导线传递信号的旧模式，通过一套“微波广播+超导开关”的全局控制系统，来实现一个开关状态对所有其他开关状态的影响。

想想那些用电磁波来实现相互沟通的三体人，每个人的想法，都能被所有人立即获知，而获知了新信息之后产生的想法，又能被所有人获知，是不是就立即完成了所有人和所有人之间的沟通？这效率不可谓不快。所以，三体人社会，其实就是一台极端高效的量子计算机系统。
你看，并不需要量子力学，这种高效通讯的方式，与我们日常接触的无线电设备，其实遵循着相同的工程学逻辑。区别只在于，它对通讯精度和信息同步性的要求，触达了人类工程学的极限。
说白了就是想法很丰满，但现实很骨感。原理能听懂，不等于工程上做得出来。

三个关键部件

那么，这项基于无线电广播的并行计算系统，到底难在哪儿呢？咱们一步一步拆解来说。
我们可以把一台量子计算机想象成一个精密的微波广播电台加上一群特制的超导开关，它主要由三部分组成：
量子比特

第一部分，也就是大家耳熟能详的量子比特。量子比特的本质就是超导开关，学名叫做约瑟夫森结。如果你没听过这个词，大可以不用理会，就理解成超导开关就行了。
超导开关的作用和经典计算机的比特一样，有两个状态，电流顺时针流就对应状态 1，逆时针流就对应状态 0。因为它是个超导开关，所以电子在里面流动的时候没有阻力。超导开关也会保持一个固定状态，这就是量子比特。

只要发送一个特定频率的微波给超导开关，就能让开关的电子流向翻转，超导开关也就改变了状态。
听起来很简单吧，但是这个开关极为娇气，温度高了，超导没了，电流消失，开关就会失灵。如果周围有磁场，电流受到磁场影响，会导致开关乱跳。如果旁边的开关信号太强，会把它的状态扰乱。就算放着不管，时间一长，超导开关的电流方向也会乱，这就叫做退相干。
所以，维持这个超导开关的状态稳定，是个非常难的事情。
微波谐振腔

微波谐振腔的本质就是一个广播天线。所有的量子比特都被放置在同一个微波谐振腔里，这个谐振腔就相当于一个全局广播台。
这就好比三体人的首脑跟所有大臣一起开会，首脑会发出特定频率的脑电波，所有的三体人大臣都会同时收到信号。
这就是量子计算机并行计算的工程学基础。一个信号广播出去，所有的超导开关都同时响应，实现一对多的同步控制。
经典计算机中，确实也有一个 CPU 控制几百上千个 CPU 进行并行计算的设计。但是，在经典计算机中，那个分配计算任务的 CPU 是无法把信号同步传递给其他计算单元的。
这就好比三体人首脑只能一个人一个人地安排工作任务，每个人完成任务后还要把工作结果交回给首脑，让首脑再进行决策和分发。那效率一下子就降下来了。
量子计算机的谐振腔里，任意一个开关的变化，都能同时影响到所有开关。这里没有谁指挥谁，只有高效的并行协同。
制冷与控制系统

前面说了，由于超导开关对温度、噪声的要求极高，所以就必须用专门的稀释制冷机将其冷却到接近绝对零度。
制冷与控制系统就是保障这些超导开关能在谐振腔里协同工作的基础设施。除了制冷以外，还需要同时配备多层屏蔽装置、低噪声放大器和精密的微波控制设备，确保微波信号的纯度，避免外界干扰导致开关状态错乱。
一台能支撑千比特级量子计算机的稀释制冷机，造价高达数千万，而且体积庞大。为了使几十个、几百个量子比特能够好好工作，基础设备就要占用几十平米的空间。

量子计算机稀释制冷机，图源：安徽新闻网

量子计算机的工程学死穴

用最简单的话说，量子计算机的工作逻辑，就是用全局微波广播同步控制来取代经典计算机中的导线，实现“一个开关变化，所有开关同步响应”的目标。
简单来说，经典计算机是一对一沟通，而量子计算机是所有人一起开会，每个人都能说话，每个人都能听见。理论上来说，如果每个人发出的信息都能被所有人精确接收并精准反馈，那么参与开会的人越多，效率就越高。
但是，开过会的你肯定知道，开会的时候，所有人同时说话是个什么后果，那会导致全是噪音，没有任何有效信息。而解决所有人说话所有人听且没有噪音这个问题，就是量子计算机面临的真实工程学难题。
量子计算机的核心优势是全局广播同步，但这也是它最大的工程难题。
要实现所有量子比特同步响应微波信号，必须满足一个前提：所有比特到微波信号源的距离，必须几乎完全相等，芯片布局必须高度对称。

因为微波信号的传播速度是光速，只要比特之间的距离有微小差异，信号到达的时间就会有延迟，出现相位差。一旦出现相位差，就出现了有的超导开关已经翻转状态，有的还没响应的情况。
这种延迟会累积，导致全局同步的彻底崩溃。最后，整个系统就会像一个每个人都在发言，每个人都在听的会场一样，从高效的沟通环境，退化成一个乱糟糟的菜市场。
这就意味着，量子芯片的面积不能太大，比特的布局必须极其规整，不能像经典芯片那样随意布线、无限扩容。
现在主流的千比特级量子芯片，面积只有 1 平方厘米左右。如果要增加比特数，要么把芯片做大，要么把超导开关摆得更密。芯片做大会增加延迟，导致退相干崩溃，而增加超导开关的密度，则增加了内部干扰，也会破坏同步性。

这是一个无解的两难抉择：超导开关密了，噪声爆炸，芯片面积大了，同步崩溃。这也是量子计算机广播式架构的天生缺陷。现在看起来，两条路都是死局。
除了这两个问题以外，超导制冷问题也已经逼近人类的工程极限。
一台能支撑 1000 个超导开关的稀释制冷机，已经是顶尖水平，其制冷功率、热负荷控制难度已经极大。如果目标是 50 万个超导开关，制冷功率需要提升到现在的几百倍，而人类目前最先进的制冷机，也无法实现这样的制冷规模。
更难的是布线问题。计算的时候可以用微波同步信息，但读取开关状态，是需要导线的。每个超导开关，量子比特都需要至少一根控制线和一根数据线，用于发送控制信号和读取开关状态。
50 万个超导开关，就需要 100 万根低温微波线缆。这些线缆必须在极低温环境下工作，还要避免互相干扰，布线难度极大——线缆太多会导致热负荷增加，破坏低温环境。线缆太密会导致串扰，影响超导开关的状态。
这种布线难度，在现有工程技术下，几乎无法实现。
了解了这些工程死穴，我们就不难理解为什么量子计算机多年来没有突破：从 2019 年谷歌发布 53 比特的悬铃木芯片，到 2026 年现在，全球顶尖的量子计算机（IBM Condor[4]、谷歌 Willow[5]），物理比特数也只有 1000 左右。

谷歌发布的新一代量子计算芯片Willow

所有的量子计算机进展，几乎全是工程细节上的修修补补。把制冷机的温度再降低一点，把微波线路的屏蔽做得更干净一点，把约瑟夫森结的工艺做得更均匀一点，把芯片布局调得更对称一点。没有任何一项是从 0 到 1 的原理突破，全是从 1 到 100 的细节打磨。
而这种打磨，只能小幅提升比特的稳定性和数量，无法突破前面提到的工程死穴。
谷歌突破了吗？

到这里，我们再回到最初的问题：谷歌突然把“量子末日”提前到 2029 年？他到底突破了什么，才有底气做出这样的预测？
谷歌此次提前量子末日，并非搞出了什么从 0 到 1 的大突破，而是基于量子计算的三项重要优化。这三项优化，每一项都与刚刚说的工程技术没有关系。
Shor 算法电路优化

要破解 RSA、ECC 等主流加密算法，量子计算机需要运行专门的 Shor 算法。这是目前已知的、能让量子计算机实现指数级加速的核心算法。
过去，行业普遍认为，运行 Shor 算法破解 ECC-256，也就是比特币使用的加密算法，需要大约 1000 万个物理量子比特，运算时间需要几小时；破解 2048 位 RSA，需要约 2000 万个物理量子比特。

而谷歌在 2026 年 3 月发布的白皮书和论文中，对 Shor 算法的量子电路进行了深度优化。通过重新设计电路结构、采用并行化架构，将破解 ECC-256 所需的逻辑比特，从过去的上万个，降低到 1200-1450 个。运算所需的核心操作单元，从几亿个降低到 7000 万-9000 万个[6]。
不必在意这些数字的具体意义，只要理解，通过优化，让算法对硬件的依赖变低了就行了。
降低比特纠错开销

前面说了，超导开关是非常娇气的，哪怕是极微小的噪声，也会导致状态出错，这就需要纠错码来保护。说白了，就是多弄一些开关当备胎，就可以保障一个开关稳定工作。
过去，行业普遍使用的是表面码纠错技术，这种技术的效率极低，编码率只有 4% 左右。也就是说，要得到 1 个稳定的逻辑比特，需要 25-100 个物理比特。如果要得到 1200 个逻辑比特，需要的超导开关的总量会高达几十万甚至上百万个。这怎么受得了。

谷歌这次创新式地采用了新型的量子低密度奇偶校验码。这种新型纠错码的编码率提升到了 30% 左右，效率是表面码的 7 倍多。也就是说，1 个逻辑比特，只需要 300-400 个物理比特就能保护[7]。
按照这个比例，1200-1450 个逻辑比特，只需要约 50 万物理比特就能实现，相比过去的 1000 万比特，需求直接降低了 20 倍[8]。
乐观的硬件性能假设

谷歌在白皮书里提到，50 万物理比特的量子计算机，能在 9 分钟内破解 ECC-256 加密。这个 9 分钟其实不是谷歌已经做到了，而是通过一系列乐观的硬件性能假设估算出来的[9]。
这些假设包括，量子门的操作保真度达到 99.99% 以上，量子比特的相干时间达到 500 微秒以上，芯片布局完美对称等等[10]。
所以，谷歌这一次并不是真的取得了什么硬件突破，它是基于算法电路优化、容错算法优化以及对未来硬件水平的乐观估计，把量子末日的到来时间提前了。
但真问题在于，最初 2030 年会发生量子末日的预言，其实发生在量子计算机诞生早期，预言对我们后面遇到的工程学难题严重估计不足。事实上，我们几乎不可能在 2030 年造出千万级比特的量子计算机。
即使现在把门槛降低到了 50 万比特，以现在的工程困难进行预测，我们也几乎没办法在 2029 年完成突破。因为 50 万比特，和现在的技术水平，依然差着 500 倍的差距，而这 500 倍的差距，需要的是“从 0 到 1”的突破，不是“从 1 到 100”的打磨。
量子末日不是末日，是未来

事实上，量子末日并不是什么末日，而是我们期待的未来。
我们升级全球密码系统的难度，远比实现 50 万比特的量子计算机要容易得多。因为升级密码系统，不过是工作量大带来的管理学困难，但实现 50 万比特的量子计算机，前面横亘着物理学的鸿沟。
量子末日或许会到来，但绝不会是 2029 年——在出现“从 0 到 1”的工程突破之前，它依然只是一个遥远的预期。而且，这个末日绝对不是威胁，而是真正美好的，值得所有人期待的未来。
你认为呢？欢迎评论区留言讨论。

神隐之左手

谷歌靠啥算出2029年量子末日？

ycp123

谷歌说靠算法优化就能提前应对量子末日，可芯片布局和布线难题就像一团乱麻，这优化怕是治标不治本，就像给破船刷漆难挡漏水

meto

破解的原理是什么？为什么算力够就能破解？

com2

谢谢楼主分享！