量子计算机这一被视为未来计算领域的变革性力量，正以其破解传统加密技术的能力而备受关注。当未来科技所带来的巨大颠覆即将到来时，我们不禁要问：

 

这将付出什么代价？

 

将一个 1024 位或 2048 位的大数分解成两个质数的乘积，哪怕是使用现在最先进的超级计算机，也需要数十万年以上的时间。因此，这一大数分解难题构成了我们今天信息时代的安全基础，几乎所有的加密方案的底层原理都是大数分解难题，其中包括与我们每个人息息相关的银行帐户、手机里的指纹、面部识别特征等敏感信息。

 

 

1995 年，鼎鼎大名的肖尔（Shor）算法问世，展示了量子计算机在理论上能在数个月甚至是几天的时间里破解大数分解难题，论文一经提交，瞬间成为量子计算机最著名也是最具威慑力的应用，打响了研发量子计算机这一国际竞赛的发令枪。

 

三十年后，基于各种技术路线的量子计算原型机纷至沓来，在某些特定问题上已经击败了最强的经典超级计算机，且极有可能在不远的未来，完成破解基于大数分解难题的密码这一史诗级成就。但是在这背后，还隐藏着一个关键问题：抛开研发费用不谈，到底需要消耗多少能源和费用，才够破解一个密码？

 

美国知名军事智库——兰德公司对此展开了一番分析，并发表了名为《使用有关量子计算机进行密码分析的能量需求估算 （Estimating the Energy Requirements to Operate a Cryptanalytically Relevant Quantum Computer）》的报告，给出的结论是：非！常！昂！贵！

 

为什么呢？我们不妨一探究竟。

 

美国兰德公司报告封面

 

电力成本估算需要几步？

 

要想像分析“把一头大象装进冰箱需要几步”那样，探究“一台用于攻击真实世界加密系统的量子计算机（CRQC，Cryptographically Relevant Quantum Computer）需要耗费多少电力”，我们需要先引入一个重要概念：时空体积。

 

我们可以从两方面来了解它：

 

1、  它是一个用于描述量子计算机执行特定任务所需资源的量化指标，有助于比较不同量子算法或量子计算机的设计性能；

2、  2、它还可以作为一种设计和规划工具，能够帮助量子计算机开发者预估完成特定计算任务所需的资源，这对于规划量子计算机的硬件规模、设计量子算法，以及评估量子计算机的可行性与经济性至关重要。

 

它可以用一个数学方程来表示：

 

时空体积=量子比特数量×运行时间。

 

如何更好地感知这个概念呢？我们不妨借助一个例子。假设你正在玩一款游戏，需要操控游戏主角在不同关卡中打怪来实现通关。如果把关卡中的每个小怪看作是一个量子比特，而你玩游戏的时长则是运行时间，那么，时空体积就相当于你在游戏中为最终通关所付出的“努力值”，即所有关卡的复杂度和你通关所花费总时间的乘积。

 

“努力值”越大，说明你在游戏中投入的时间和精力越多。同理，量子计算机的时空体积越大，意味着它完成特定计算任务所需的资源（量子比特数量和时间）越多。

 

在量子计算领域，减少时空体积是一个非常重要的优化目标，这意味着研究人员需要在满足量子计算机完成计算任务的前提下，探索如何压缩计算所需的量子比特数量和算法运行时间，进而提高量子计算机的能效和实用性。

 

建立起时空体积这一概念，我们就能推算出运行 CRQC（用于破解加密公钥的量子计算机）所需要消耗的能量，它同样可以用一个数学方程表达：

 

CRQC 耗费的能量

=时空体积×单个量子比特的平均能耗

=（量子比特数量×总运行时间）×单个量子比特的平均能耗

 

至此，估算一台 CRQC 的电力成本到底需要几个参数，我们就有了答案：

 

1、  总运行时间；

2、  量子比特数量；

3、  单个量子比特的平均能耗。

 

理论上来说，有了以上三个参数，我们就能科学地估算出一台 CRQC 的电力成本。事实上，要对未来运营一台 CRQC 所需的能耗成本进行估算，哪怕只是数量级的精确估算，都是一个非常不容易的事。但这种估算对于评估和应对未来网络安全风险尤为重要，所以需要在一系列科学的假设下，对未来运营 CRQC 的运行能耗成本做出简化估算，展示在合理的工程假设下可能需要的资源。

 

话不多说，我们就以现在最常用的密码来开始估算。

 

估算时空体积

 

既然我们要不辞劳苦地估算一台 CRQC 的能耗成本，那么需要考虑的公钥加密技术必须和当下所用的密码标准一致。因此，此次研究选用了两种目前广泛使用、被公认能够抵御来自经典计算机攻击的公钥加密协议：2048 位的 RSA 加密算法，以及 256 位的 ECC 椭圆曲线加密算法。

 

RSA密码是一种公钥加密算法，由 Ron Rivest、Adi Shamir 和 Len Adleman 三人于 1977 年提出，并在 1978 年首次公开描述。该算法基于前述的大数分解数学难题：将两个大质数相乘容易，但分解其乘积却非常困难。提出后，由于尚无已知的高效经典算法能够在可接受的时间内对其实现分解，因此具有极高可靠度，使其迅速成为公钥密码学的标准之一。RSA 算法的最长密钥长度可以达到 4096 位，根据已有披露的信息，目前被破解的最长密钥长度是于 2010 年解开的 768 位。行业内一般认为 1024 位的密钥基本安全，2048 位的密钥极其安全，因此 RSA-2048 是最常用的基础形式，在网络安全领域有着极其广泛的应用。

 

ECC 椭圆曲线加密算法（Elliptic Curve Cryptography），是一种基于椭圆曲线数学理论实现的一种非对称加密算法。与 RSA 相比，ECC 能够通过更短的密钥，达到与 RSA 相当甚至更高的安全性，不仅在数字证书、数字签名等领域有着广泛应用，也更适用于计算能力有限的移动设备端和物联网领域。

 

ECC 椭圆曲线加密算法

 

综上，你其实只需明白，RSA-2048 和 256 位 ECC 都是目前广泛使用的公钥加密协议，更是现代加密体系的重要基石，正在保护着今天海量的敏感网络数据。

 

2009 年左右，不同国家的研究人员就已经围绕破解上述两种强效公钥加密算法所需的时空体积，展开了诸多研究。从多个公开文献综述中我们可以看出，随着算法、系统工程等方面的改进，研究人员对在相关公钥大小上执行肖尔算法所需资源的理解逐步加深，对破解公钥加密技术所需时空体积的估算也愈加精准。

 

如下图所示，以破解 RSA-2048 公钥为例，在过去的 10 多年间，对量子比特数量和运行时间的估算值一直在下降，而且该趋势势必还将持续，只是下降速度很难预估。（图表中四列分别为：作者与研究年份，物理量子比特数量，运行时长，时空体积）

 

图表中四列分别为：作者与研究年份，量子比特数量，运行时长，时空体积

 

下图则汇总了 2021-2023 年间，破解 RSA-2048 和 256 位 ECC 加密算法所需资源的更新预估。值得一提的是，这些预估结果还考虑了除量子比特数量和运行时间之外的其他资源成本，如第四列所示不同技术路线下双量子比特逻辑门操作的错误率（越低越好），最后一列还大胆展示了一些基于假设、尚未得到验证的创新技术。

 

 

在以上较为知名的文献综述中，兰德公司智库专家评估后认为由 Gidney 和 Ekerå 在 2021 年完成的估算工作所需能耗最小，即使用超导技术路线的 CRQC 去破解一个 RSA-2048 公钥，需要大约 2000 万个物理量子比特，耗时约 0.3 天（7.1小时），由此计算出时空体积为 5.9 × 10^6 qubit-days。这一结果将应用到接下来超导 CRQC 能耗成本最终估算。

 

需要注意的是，尽管以上估计是基于当前对量子计算机的性能，也假设了量子计算机的运行效率和量子纠错技术的进步，但随着技术的发展这些假设可能会与实际不同。因此上述结论应被视为一个合理的粗略估计，并非精确预测。那么，现在离答案揭晓只缺最后一个参数：单个量子比特的平均功耗。

 

估算单个量子比特平均功耗

 

与时空体积的研究各地开花的情况不同，有关量子计算机中单个量子比特平均功率的现成文献综述非常有限，此前几乎没有研究团队对其进行过认真地量化估算。在估算单个量子比特的平均功率时，需要考虑两部分：

 

1、直接消耗：每个量子比特执行基本逻辑运算时直接消耗的功率；

2、辅助消耗：硬件（如经典协同处理、冷却等其他形式）的功耗消耗。

 

OK，虽然相关研究文件从缺，但在一些测试项目中还是能窥见端倪。

 

2020 年，研究人员设计了一道数学题，答题者有两个团队：谷歌的 Sycamore 超导量子计算机，以及位于橡树岭国家实验室的 IBM Summit 经典超级计算机 。研究人员期望借助同一数学问题，对二者的实际电力消耗进行对比。

 

谷歌的超导量子计算机Sycamore

 

通过测试发现，在同一问题实例中，超算 Summit 在 2.44 小时内平均耗电 8.65 兆瓦，总能耗为 21.1 兆瓦时；而量子计算机 Sycamore 在 1 分 41 秒内平均功耗 15 千瓦，总能耗为 0.42 千瓦时。将二者数据进行对比，我们可以看出，在能耗上面 Summit 是 Sycamore 的 578 倍；在运行时间方面，Sycamore 还比 Summit 快 87 倍。

 

然而这一研究欠缺对其它系统架构量子计算机的考虑，对于功耗参数的分析也不够通用。2022 年，又有研究团队对几种不同量子比特架构的量子计算机功耗进行了更通用的研究，但分析仍然只适用于 NISQ（含噪声中等量子计算机），并不适用于 CRQC 这样的容错量子计算机。

 

同在 2022 年，Martin 等研究者聚焦大型量子计算机的电力需求，展开了一项较为全面的研究。他们从基本的热力学原理出发，对几种量子比特架构中的功耗分布情况（如用于直接计算、系统冷却等）进行了深入分析，研究后他们发现，尽管不同系统架构中的比例不尽相同，但对一台容错超导量子计算机来说，用于冷却的功耗都会超过用于直接计算的能耗。这一结论与现有高性能计算数据中心的情况相反，后者用于冷却的能耗仅占设备能耗的 10-30%。

 

同时研究团队也指出，在未来的量子系统中，每个量子比特所使用的电子器件功耗很难估算，因此他们并不打算估算量子系统的绝对功耗，而是只估算功耗在不同功能模块之间的相对分布，例如量化各个技术路线量子比特的预期工作温度（超导量子比特为 10-20mK，离子阱量子比特为 4K）。由于超导是目前常见的技术路线，因此在本文接下来的功耗估算中，我们均以超导 CRQC 为研究对象。

 

2019 年，谷歌推出超导量子计算机 Sycamore 宣布实现“量子霸权”。在Sycamore 在运行期间，平均功耗约为 26 千瓦，其中约 10 千瓦直接用于稀释制冷机的机械压缩机，约 13 千瓦用于制备机械压缩机的冷却水等，另外约 3 千瓦用于支持系统中的经典电子设备。

 

而加拿大 D-Wave 公司的超导退火量子计算机属于专用量子计算机，但它与谷歌 Sycamore 一样都使用了超导量子电路，其工作温度相近，使用的稀释制冷技术也类似。有资料表明 D-Wave Advantage 的功耗约为 25 千瓦，也与 Sycamore 非常相近。这也说明了一点：稀释制冷的功耗与内部运行的量子比特数量基本无关，因为 Sycamore 仅包含 53 个可用超导物理量子比特，而 D-Wave Advantage 拥有 5000 多个超导物理量子比特，二者的功率却大致相同。但是，一台稀释制冷机能容纳的量子比特数量是有限的，因此大型超导 CRQC 将需要一台超大型稀释制冷机，或者通过将多个制冷机联网达到预期工作温度。

 

那么，究竟该如何估算超导 CRQC 单个量子比特的平均功率呢？我们可以分别估算所需稀释制冷机的数量和每个稀释制冷机的耗电量，再将两个估值相乘，大致得出这样一个系统的耗电量。

 

2022 年，IBM 推出了模块化量子计算机概念 Quantum System Two，在这个系统中，每个模块化稀释制冷机最多可容纳 4158 个超导物理量子比特，把三个模块耦合在一起可以实现超过 1 万个量子比特。显然，拥有2000万个物理量子比特的超导 CRQC 肯定不会是简单地把 4810 台 IBM Quantum System Two 连在一起，但我们可以将其作为一个粗略的基准，来估算可预见大规模冷却超导量子计算机所需的功率。

 

IBM Quanttum System Two 模块化超导量子计算机的假想图

 

假设每个量子系统中的稀释制冷机都容纳了 4158 个超导物理量子比特，而每个稀释制冷机的耗电量，都与现有的谷歌 Sycamore 和 D-Wave Advantage 的功率 26 千瓦相当，那么我们就能得到单个量子比特的平均功率：6.25 瓦，约与一个 LED 灯泡的功率差不多。

 

6.25 瓦/量子比特这一估算值，包含了用于经典控制和冷却的功率开销，但并未包含用于量子纠错的功率。因为目前还很难估算大规模量子纠错在经典处理方面所需的额外功率，考虑到当前量子纠错的相关展示都并未显著延长量子比特的相干时间，所以很难说 6.25 瓦/量子比特这一估算值更可能是高估还是低估——我们只能说它是基于当下现实的一个合理估算结果。

 

谜底揭晓

 

综合之前的层层推演，我们终于集齐了三个能够揭开谜底的参数，即所需量子比特数量、总运行时间、单个量子比特的平均功耗。揭晓答案之前，我们不妨梳理一下已有信息。

 

已知：根据 Gidney 和 Ekerå 在 2021 年完成的估算工作，使用超导技术路线的 CRQC 去破解一个 RSA-2048 密码或 256 位 ECC密码，需要大约 2000 万个物理量子比特，耗时约 7.1 小时，总时空体积为 5.9 × 10^6 qubit-days。每个量子比特的平均功率是 6.25 瓦。

 

问：这台超导 CRQC 完成一次破解需要耗费多少电费？

 

答：通过上述推导可得，运行一台超导 CRQC 的预计功率为 125 兆瓦，这几乎是 Summit 超级计算机耗电量的 10 倍，大约是一架波音 747 飞机在飞行中的耗电量，或者是一个典型的燃煤电厂发电功率的四分之一。乘以 7.1 小时的破解时间，再乘上 2022 年美国工业平均电价 7.19 美分/千瓦时，可得使用超导 CRQC 仅破解一个公钥就需要 64000 美元的电费，折合人民币超过 45 万元。

 

你以为就结束了？

 

我们一起来看看在得出以上电力成本的过程中，还省略了哪些已知环节的能耗。

 

1、 构建 CRQC 的前期成本。

 

包括扩大现有量子计算机规模以及进行量子纠错的损耗。在兰德公司完成报告时，规模最大的超导量子计算机是拥有 433 个物理量子比特的 IBM Osprey，但理论上破解 RSA-2048 所需最少逻辑量子比特数是 4097 。要想实现这一规模还有非常多的工程问题。再考虑到纠错等，需要的物理量子比特数量要超过 4097 数百倍以上。

 

433个物理量子比特的IBM Osprey

 

当前的量子计算机之所以被称为含噪声中等规模量子计算机（NISQ），因为量子比特在被制备并开始执行运算后的几毫秒内就会被环境噪声所破坏，发生退相干，所以目前可用于执行计算的时间很短，能实现的逻辑门步数有限。但肖尔算法是一种极其复杂的算法，它所需要的计算时间远超当前单个量子比特的相干时间，所以还需要借助量子纠错（QEC）。

 

因而扩展量子比特数量以及发展量子纠错技术，是构建 CRQC 绕不过的技术挑战。此外，量子计算机的技术路线多样，技术成熟度也不尽相同，不同路线在构建 CRQC 所要考虑的因素不同，比如光量子路线就不需要过多考虑制冷成本。

 

2、 持续不断的运维成本投入。

 

很多人提到车都会说买得起养不起，因为购入之后还需要持续投入驻场维护工程师、保持低温测控设备灵敏度等多方面的运维成本。未来的 CRQC 同样面临这个问题，目前同样难以预估。

 

用于在毫开级超低温下进行量子比特控制和读出的特种设备和线缆

 

3、除电力以外其他耗材投入的持续成本，如价格持续走高的普通液态氦-4，以及比黄金还贵 200 倍的液态氦-3同位素，它们构成了稀释制冷机的关键制冷剂。由于氦-3 在地壳极度稀缺，难以制备，人类甚至考虑登月去获取大型稀释制冷机中所需用量的氦-3，可想而知其成本会有多么的昂贵。由于氦仅比氢重的超轻原子，所以在使用中非常容易逸失，因此超导量子计算机在运行中的制冷剂损耗费用也非常巨大。此外，由于设备体积巨大，维持超导量子计算机的机房运维成本也不可小觑。

 

4、研发设计一个经优化可运行肖尔算法的量子电路的能耗成本。有文献指出，仅仅设计一个优化的量子电路来高效运行肖尔算法，甚至不需要直接制造或运行它，需要经过大量的优化、仿真、模拟，这些经典计算所消耗能源超过一百万度电，折合电价为 72000 美元。

 

结论

 

从当前已经非常简化的估算结果来看，未来如果出现了能够破解现有主流密码的超导量子计算机（CRQC），它的运行功率将高达 125 兆瓦，使用它去破解一个公钥，就需要人民币 45 万元电费。再算上日常运维成本，氦-3 等各种耗材的成本等等，这些加起来使得 CRQC 成为了名副其实的巨大的吞金兽。

 

实际上，今天的云计算、大模型训练、区块链应用等已经产生了非常令人头疼的巨大电力消耗。以美国为例，云服务器和数据中心耗电已经占到美国总用电量的 2%，有预测称在数年内数据中心就将消耗全球电力的 1/5。

 

超导量子计算机的上述各个因素的费用成本，可能会随技术进步有所下降，但目前尚难以预测。因此在相当长的一段时间内，抛去研发建造费用不谈，超导量子计算机的使用和维护的高昂成本，将使得政府和大型组织都难以承受，也将极大限制量子计算的推广应用。

 

在进入商用可接受的使用成本区间之前，超导量子计算机还将面临一段时间的“买得起，用不起，甚至还不能用”的尴尬局面，这需要我们的科学工作者花费更多的时间和精力去克服这一挑战，使得超导量子计算变得更加实用。而在此之前，用户会优先选择成本更低，无需特殊物理条件限制的其他相对更快速的技术方案。

 

参考文章：

https://arxiv.org/pdf/1905.09749

https://www.rand.org/pubs/working_papers/WRA2427-1.html#citation

https://dl.acm.org/doi/fullHtml/10.1145/3490172

https://www.zdnet.com/article/goldeneye-behind-the-scenes-with-the-worlds-largest-dilution-refrigerator/

Helium Shortage 4.0: What caused it and when will it end?

 

 

量子计算机这一被视为未来计算领域的变革性力量，正以其破解传统加密技术的能力而备受关注。当未来科技所带来的巨大颠覆即将到来时，我们不禁要问：

 

这将付出什么代价？

 

将一个 1024 位或 2048 位的大数分解成两个质数的乘积，哪怕是使用现在最先进的超级计算机，也需要数十万年以上的时间。因此，这一大数分解难题构成了我们今天信息时代的安全基础，几乎所有的加密方案的底层原理都是大数分解难题，其中包括与我们每个人息息相关的银行帐户、手机里的指纹、面部识别特征等敏感信息。

 

 

1995 年，鼎鼎大名的肖尔（Shor）算法问世，展示了量子计算机在理论上能在数个月甚至是几天的时间里破解大数分解难题，论文一经提交，瞬间成为量子计算机最著名也是最具威慑力的应用，打响了研发量子计算机这一国际竞赛的发令枪。

 

三十年后，基于各种技术路线的量子计算原型机纷至沓来，在某些特定问题上已经击败了最强的经典超级计算机，且极有可能在不远的未来，完成破解基于大数分解难题的密码这一史诗级成就。但是在这背后，还隐藏着一个关键问题：抛开研发费用不谈，到底需要消耗多少能源和费用，才够破解一个密码？

 

美国知名军事智库——兰德公司对此展开了一番分析，并发表了名为《使用有关量子计算机进行密码分析的能量需求估算 （Estimating the Energy Requirements to Operate a Cryptanalytically Relevant Quantum Computer）》的报告，给出的结论是：非！常！昂！贵！

 

为什么呢？我们不妨一探究竟。

 

美国兰德公司报告封面

 

电力成本估算需要几步？

 

要想像分析“把一头大象装进冰箱需要几步”那样，探究“一台用于攻击真实世界加密系统的量子计算机（CRQC，Cryptographically Relevant Quantum Computer）需要耗费多少电力”，我们需要先引入一个重要概念：时空体积。

 

我们可以从两方面来了解它：

 

1、  它是一个用于描述量子计算机执行特定任务所需资源的量化指标，有助于比较不同量子算法或量子计算机的设计性能；

2、  2、它还可以作为一种设计和规划工具，能够帮助量子计算机开发者预估完成特定计算任务所需的资源，这对于规划量子计算机的硬件规模、设计量子算法，以及评估量子计算机的可行性与经济性至关重要。

 

它可以用一个数学方程来表示：

 

时空体积=量子比特数量×运行时间。

 

如何更好地感知这个概念呢？我们不妨借助一个例子。假设你正在玩一款游戏，需要操控游戏主角在不同关卡中打怪来实现通关。如果把关卡中的每个小怪看作是一个量子比特，而你玩游戏的时长则是运行时间，那么，时空体积就相当于你在游戏中为最终通关所付出的“努力值”，即所有关卡的复杂度和你通关所花费总时间的乘积。

 

“努力值”越大，说明你在游戏中投入的时间和精力越多。同理，量子计算机的时空体积越大，意味着它完成特定计算任务所需的资源（量子比特数量和时间）越多。

 

在量子计算领域，减少时空体积是一个非常重要的优化目标，这意味着研究人员需要在满足量子计算机完成计算任务的前提下，探索如何压缩计算所需的量子比特数量和算法运行时间，进而提高量子计算机的能效和实用性。

 

建立起时空体积这一概念，我们就能推算出运行 CRQC（用于破解加密公钥的量子计算机）所需要消耗的能量，它同样可以用一个数学方程表达：

 

CRQC 耗费的能量

=时空体积×单个量子比特的平均能耗

=（量子比特数量×总运行时间）×单个量子比特的平均能耗

 

至此，估算一台 CRQC 的电力成本到底需要几个参数，我们就有了答案：

 

1、  总运行时间；

2、  量子比特数量；

3、  单个量子比特的平均能耗。

 

理论上来说，有了以上三个参数，我们就能科学地估算出一台 CRQC 的电力成本。事实上，要对未来运营一台 CRQC 所需的能耗成本进行估算，哪怕只是数量级的精确估算，都是一个非常不容易的事。但这种估算对于评估和应对未来网络安全风险尤为重要，所以需要在一系列科学的假设下，对未来运营 CRQC 的运行能耗成本做出简化估算，展示在合理的工程假设下可能需要的资源。

 

话不多说，我们就以现在最常用的密码来开始估算。

 

估算时空体积

 

既然我们要不辞劳苦地估算一台 CRQC 的能耗成本，那么需要考虑的公钥加密技术必须和当下所用的密码标准一致。因此，此次研究选用了两种目前广泛使用、被公认能够抵御来自经典计算机攻击的公钥加密协议：2048 位的 RSA 加密算法，以及 256 位的 ECC 椭圆曲线加密算法。

 

RSA密码是一种公钥加密算法，由 Ron Rivest、Adi Shamir 和 Len Adleman 三人于 1977 年提出，并在 1978 年首次公开描述。该算法基于前述的大数分解数学难题：将两个大质数相乘容易，但分解其乘积却非常困难。提出后，由于尚无已知的高效经典算法能够在可接受的时间内对其实现分解，因此具有极高可靠度，使其迅速成为公钥密码学的标准之一。RSA 算法的最长密钥长度可以达到 4096 位，根据已有披露的信息，目前被破解的最长密钥长度是于 2010 年解开的 768 位。行业内一般认为 1024 位的密钥基本安全，2048 位的密钥极其安全，因此 RSA-2048 是最常用的基础形式，在网络安全领域有着极其广泛的应用。

 

ECC 椭圆曲线加密算法（Elliptic Curve Cryptography），是一种基于椭圆曲线数学理论实现的一种非对称加密算法。与 RSA 相比，ECC 能够通过更短的密钥，达到与 RSA 相当甚至更高的安全性，不仅在数字证书、数字签名等领域有着广泛应用，也更适用于计算能力有限的移动设备端和物联网领域。

 

ECC 椭圆曲线加密算法

 

综上，你其实只需明白，RSA-2048 和 256 位 ECC 都是目前广泛使用的公钥加密协议，更是现代加密体系的重要基石，正在保护着今天海量的敏感网络数据。

 

2009 年左右，不同国家的研究人员就已经围绕破解上述两种强效公钥加密算法所需的时空体积，展开了诸多研究。从多个公开文献综述中我们可以看出，随着算法、系统工程等方面的改进，研究人员对在相关公钥大小上执行肖尔算法所需资源的理解逐步加深，对破解公钥加密技术所需时空体积的估算也愈加精准。

 

如下图所示，以破解 RSA-2048 公钥为例，在过去的 10 多年间，对量子比特数量和运行时间的估算值一直在下降，而且该趋势势必还将持续，只是下降速度很难预估。（图表中四列分别为：作者与研究年份，物理量子比特数量，运行时长，时空体积）

 

图表中四列分别为：作者与研究年份，量子比特数量，运行时长，时空体积

 

下图则汇总了 2021-2023 年间，破解 RSA-2048 和 256 位 ECC 加密算法所需资源的更新预估。值得一提的是，这些预估结果还考虑了除量子比特数量和运行时间之外的其他资源成本，如第四列所示不同技术路线下双量子比特逻辑门操作的错误率（越低越好），最后一列还大胆展示了一些基于假设、尚未得到验证的创新技术。

 

 

在以上较为知名的文献综述中，兰德公司智库专家评估后认为由 Gidney 和 Ekerå 在 2021 年完成的估算工作所需能耗最小，即使用超导技术路线的 CRQC 去破解一个 RSA-2048 公钥，需要大约 2000 万个物理量子比特，耗时约 0.3 天（7.1小时），由此计算出时空体积为 5.9 × 10^6 qubit-days。这一结果将应用到接下来超导 CRQC 能耗成本最终估算。

 

需要注意的是，尽管以上估计是基于当前对量子计算机的性能，也假设了量子计算机的运行效率和量子纠错技术的进步，但随着技术的发展这些假设可能会与实际不同。因此上述结论应被视为一个合理的粗略估计，并非精确预测。那么，现在离答案揭晓只缺最后一个参数：单个量子比特的平均功耗。

 

估算单个量子比特平均功耗

 

与时空体积的研究各地开花的情况不同，有关量子计算机中单个量子比特平均功率的现成文献综述非常有限，此前几乎没有研究团队对其进行过认真地量化估算。在估算单个量子比特的平均功率时，需要考虑两部分：

 

1、直接消耗：每个量子比特执行基本逻辑运算时直接消耗的功率；

2、辅助消耗：硬件（如经典协同处理、冷却等其他形式）的功耗消耗。

 

OK，虽然相关研究文件从缺，但在一些测试项目中还是能窥见端倪。

 

2020 年，研究人员设计了一道数学题，答题者有两个团队：谷歌的 Sycamore 超导量子计算机，以及位于橡树岭国家实验室的 IBM Summit 经典超级计算机 。研究人员期望借助同一数学问题，对二者的实际电力消耗进行对比。

 

谷歌的超导量子计算机Sycamore

 

通过测试发现，在同一问题实例中，超算 Summit 在 2.44 小时内平均耗电 8.65 兆瓦，总能耗为 21.1 兆瓦时；而量子计算机 Sycamore 在 1 分 41 秒内平均功耗 15 千瓦，总能耗为 0.42 千瓦时。将二者数据进行对比，我们可以看出，在能耗上面 Summit 是 Sycamore 的 578 倍；在运行时间方面，Sycamore 还比 Summit 快 87 倍。

 

然而这一研究欠缺对其它系统架构量子计算机的考虑，对于功耗参数的分析也不够通用。2022 年，又有研究团队对几种不同量子比特架构的量子计算机功耗进行了更通用的研究，但分析仍然只适用于 NISQ（含噪声中等量子计算机），并不适用于 CRQC 这样的容错量子计算机。

 

同在 2022 年，Martin 等研究者聚焦大型量子计算机的电力需求，展开了一项较为全面的研究。他们从基本的热力学原理出发，对几种量子比特架构中的功耗分布情况（如用于直接计算、系统冷却等）进行了深入分析，研究后他们发现，尽管不同系统架构中的比例不尽相同，但对一台容错超导量子计算机来说，用于冷却的功耗都会超过用于直接计算的能耗。这一结论与现有高性能计算数据中心的情况相反，后者用于冷却的能耗仅占设备能耗的 10-30%。

 

同时研究团队也指出，在未来的量子系统中，每个量子比特所使用的电子器件功耗很难估算，因此他们并不打算估算量子系统的绝对功耗，而是只估算功耗在不同功能模块之间的相对分布，例如量化各个技术路线量子比特的预期工作温度（超导量子比特为 10-20mK，离子阱量子比特为 4K）。由于超导是目前常见的技术路线，因此在本文接下来的功耗估算中，我们均以超导 CRQC 为研究对象。

 

2019 年，谷歌推出超导量子计算机 Sycamore 宣布实现“量子霸权”。在Sycamore 在运行期间，平均功耗约为 26 千瓦，其中约 10 千瓦直接用于稀释制冷机的机械压缩机，约 13 千瓦用于制备机械压缩机的冷却水等，另外约 3 千瓦用于支持系统中的经典电子设备。

 

而加拿大 D-Wave 公司的超导退火量子计算机属于专用量子计算机，但它与谷歌 Sycamore 一样都使用了超导量子电路，其工作温度相近，使用的稀释制冷技术也类似。有资料表明 D-Wave Advantage 的功耗约为 25 千瓦，也与 Sycamore 非常相近。这也说明了一点：稀释制冷的功耗与内部运行的量子比特数量基本无关，因为 Sycamore 仅包含 53 个可用超导物理量子比特，而 D-Wave Advantage 拥有 5000 多个超导物理量子比特，二者的功率却大致相同。但是，一台稀释制冷机能容纳的量子比特数量是有限的，因此大型超导 CRQC 将需要一台超大型稀释制冷机，或者通过将多个制冷机联网达到预期工作温度。

 

那么，究竟该如何估算超导 CRQC 单个量子比特的平均功率呢？我们可以分别估算所需稀释制冷机的数量和每个稀释制冷机的耗电量，再将两个估值相乘，大致得出这样一个系统的耗电量。

 

2022 年，IBM 推出了模块化量子计算机概念 Quantum System Two，在这个系统中，每个模块化稀释制冷机最多可容纳 4158 个超导物理量子比特，把三个模块耦合在一起可以实现超过 1 万个量子比特。显然，拥有2000万个物理量子比特的超导 CRQC 肯定不会是简单地把 4810 台 IBM Quantum System Two 连在一起，但我们可以将其作为一个粗略的基准，来估算可预见大规模冷却超导量子计算机所需的功率。

 

IBM Quanttum System Two 模块化超导量子计算机的假想图

 

假设每个量子系统中的稀释制冷机都容纳了 4158 个超导物理量子比特，而每个稀释制冷机的耗电量，都与现有的谷歌 Sycamore 和 D-Wave Advantage 的功率 26 千瓦相当，那么我们就能得到单个量子比特的平均功率：6.25 瓦，约与一个 LED 灯泡的功率差不多。

 

6.25 瓦/量子比特这一估算值，包含了用于经典控制和冷却的功率开销，但并未包含用于量子纠错的功率。因为目前还很难估算大规模量子纠错在经典处理方面所需的额外功率，考虑到当前量子纠错的相关展示都并未显著延长量子比特的相干时间，所以很难说 6.25 瓦/量子比特这一估算值更可能是高估还是低估——我们只能说它是基于当下现实的一个合理估算结果。

 

谜底揭晓

 

综合之前的层层推演，我们终于集齐了三个能够揭开谜底的参数，即所需量子比特数量、总运行时间、单个量子比特的平均功耗。揭晓答案之前，我们不妨梳理一下已有信息。

 

已知：根据 Gidney 和 Ekerå 在 2021 年完成的估算工作，使用超导技术路线的 CRQC 去破解一个 RSA-2048 密码或 256 位 ECC密码，需要大约 2000 万个物理量子比特，耗时约 7.1 小时，总时空体积为 5.9 × 10^6 qubit-days。每个量子比特的平均功率是 6.25 瓦。

 

问：这台超导 CRQC 完成一次破解需要耗费多少电费？

 

答：通过上述推导可得，运行一台超导 CRQC 的预计功率为 125 兆瓦，这几乎是 Summit 超级计算机耗电量的 10 倍，大约是一架波音 747 飞机在飞行中的耗电量，或者是一个典型的燃煤电厂发电功率的四分之一。乘以 7.1 小时的破解时间，再乘上 2022 年美国工业平均电价 7.19 美分/千瓦时，可得使用超导 CRQC 仅破解一个公钥就需要 64000 美元的电费，折合人民币超过 45 万元。

 

你以为就结束了？

 

我们一起来看看在得出以上电力成本的过程中，还省略了哪些已知环节的能耗。

 

1、 构建 CRQC 的前期成本。

 

包括扩大现有量子计算机规模以及进行量子纠错的损耗。在兰德公司完成报告时，规模最大的超导量子计算机是拥有 433 个物理量子比特的 IBM Osprey，但理论上破解 RSA-2048 所需最少逻辑量子比特数是 4097 。要想实现这一规模还有非常多的工程问题。再考虑到纠错等，需要的物理量子比特数量要超过 4097 数百倍以上。

 

433个物理量子比特的IBM Osprey

 

当前的量子计算机之所以被称为含噪声中等规模量子计算机（NISQ），因为量子比特在被制备并开始执行运算后的几毫秒内就会被环境噪声所破坏，发生退相干，所以目前可用于执行计算的时间很短，能实现的逻辑门步数有限。但肖尔算法是一种极其复杂的算法，它所需要的计算时间远超当前单个量子比特的相干时间，所以还需要借助量子纠错（QEC）。

 

因而扩展量子比特数量以及发展量子纠错技术，是构建 CRQC 绕不过的技术挑战。此外，量子计算机的技术路线多样，技术成熟度也不尽相同，不同路线在构建 CRQC 所要考虑的因素不同，比如光量子路线就不需要过多考虑制冷成本。

 

2、 持续不断的运维成本投入。

 

很多人提到车都会说买得起养不起，因为购入之后还需要持续投入驻场维护工程师、保持低温测控设备灵敏度等多方面的运维成本。未来的 CRQC 同样面临这个问题，目前同样难以预估。

 

用于在毫开级超低温下进行量子比特控制和读出的特种设备和线缆

 

3、除电力以外其他耗材投入的持续成本，如价格持续走高的普通液态氦-4，以及比黄金还贵 200 倍的液态氦-3同位素，它们构成了稀释制冷机的关键制冷剂。由于氦-3 在地壳极度稀缺，难以制备，人类甚至考虑登月去获取大型稀释制冷机中所需用量的氦-3，可想而知其成本会有多么的昂贵。由于氦仅比氢重的超轻原子，所以在使用中非常容易逸失，因此超导量子计算机在运行中的制冷剂损耗费用也非常巨大。此外，由于设备体积巨大，维持超导量子计算机的机房运维成本也不可小觑。

 

4、研发设计一个经优化可运行肖尔算法的量子电路的能耗成本。有文献指出，仅仅设计一个优化的量子电路来高效运行肖尔算法，甚至不需要直接制造或运行它，需要经过大量的优化、仿真、模拟，这些经典计算所消耗能源超过一百万度电，折合电价为 72000 美元。

 

结论

 

从当前已经非常简化的估算结果来看，未来如果出现了能够破解现有主流密码的超导量子计算机（CRQC），它的运行功率将高达 125 兆瓦，使用它去破解一个公钥，就需要人民币 45 万元电费。再算上日常运维成本，氦-3 等各种耗材的成本等等，这些加起来使得 CRQC 成为了名副其实的巨大的吞金兽。

 

实际上，今天的云计算、大模型训练、区块链应用等已经产生了非常令人头疼的巨大电力消耗。以美国为例，云服务器和数据中心耗电已经占到美国总用电量的 2%，有预测称在数年内数据中心就将消耗全球电力的 1/5。

 

超导量子计算机的上述各个因素的费用成本，可能会随技术进步有所下降，但目前尚难以预测。因此在相当长的一段时间内，抛去研发建造费用不谈，超导量子计算机的使用和维护的高昂成本，将使得政府和大型组织都难以承受，也将极大限制量子计算的推广应用。

 

在进入商用可接受的使用成本区间之前，超导量子计算机还将面临一段时间的“买得起，用不起，甚至还不能用”的尴尬局面，这需要我们的科学工作者花费更多的时间和精力去克服这一挑战，使得超导量子计算变得更加实用。而在此之前，用户会优先选择成本更低，无需特殊物理条件限制的其他相对更快速的技术方案。

 

参考文章：

https://arxiv.org/pdf/1905.09749

https://www.rand.org/pubs/working_papers/WRA2427-1.html#citation

https://dl.acm.org/doi/fullHtml/10.1145/3490172

https://www.zdnet.com/article/goldeneye-behind-the-scenes-with-the-worlds-largest-dilution-refrigerator/

Helium Shortage 4.0: What caused it and when will it end?