姚前：量子货币：一种学术假想,成贵高铁正式开通

温家宝:姚谦(时任中国证券登记结算有限责任公司总经理，前央行数字现金研究所所长)

资料来源:《清华财经评论》

本文认为，关于量子计算是否剥夺了区块链和数字现金的发展意义，短期内还没有明确的结论。然而，随着技术的发展，货币形式和货币技术将不可避免地发生相应的变化。在未来的量子时代，量子货币将登上历史舞台。本文分析了量子货币的概念、起源、逻辑和基本原理，指出了量子货币的核心问题和研究方向。尽管量子货币理论还存在一些缺陷，但值得我们关注和探索。

近年来，量子计算发展迅速。不久前，谷歌宣布实现量子霸权。中国的天河二号超级计算机计算了量子霸权标准。所谓量子霸权(quantum championship)，是指如果能够证明量子计算机在某一问题上的计算能力远远超过目前性能最佳的超级计算机，那么量子计算机就实现了对传统计算机的霸权。量子计算的发展极大地挑战了现有的密码系统。理论上，量子算法可以解密非对称密码系统，如Diffie-Hellman算法、RSA算法、椭圆曲线算法等。

由于密码学是区块链的关键要素，也是实现数字现金安全和可信的技术基础，人们不禁担心量子计算的发展是否会对区块链和数字现金的安全构成威胁。有人甚至断言，在量子计算机面前，区块链不值一提。但目前，结论还为时过早。首先，量子计算算法(如格罗弗算法(Grover algorithm)和肖尔算法(Shor algorithm)对非对称密码学构成更大的威胁，但对对称密码学和哈希算法的影响相对较小。其次，目前没有证据证明或伪造量子计算机能够解决NP(非确定多项式)完整问题，也不能轻易得出基于计算复杂性的密码技术在量子计算环境中没有前途的结论。第三，密码学一直是在编码和解码、攻击和防御以及矛和盾的对抗过程中发展起来的。不能说量子计算不起作用。量子计算也有它的缺点。也可以构建反量子密码，例如多变量公钥密码、基于散列函数的数字签名方案、基于纠错码的密码和基于格的密码。

因此，短期内很难说量子计算是否剥夺了区块链和数字现金的发展意义。但是有一点是肯定的，那就是，随着技术的发展，货币形式和货币技术将不可避免地随之改变。在量子时代，基于区块链技术的加密货币可能会继续存在，但它可能会采用更先进的量子密码术。另一种可能性是，它将被一种基于量子技术的新货币形式所取代，即学术界一些人正在探索的量子货币。

量子货币概念

量子货币本质上是一种基于密码学的数字现金。它优于经典数字现金的核心是利用量子叠加态和量子计算实现的量子防伪技术。这项技术融合了物理学、计算机科学、密码学等学科的前沿知识，最终可以在不引入会计机制的情况下解决双重货币问题。理想的量子货币可以同时实现容易识别、不易伪造、无法复制、使用方便等数字现金特性，结合了传统货币(纸币)和经典数字现金的优点，避免了它们各自固有的难以克服的缺点。

1969年，哥伦比亚大学研究生斯蒂芬·威斯纳(Stephen Wiesner)首次提出量子货币的概念。他设想货币应该配备储存光子的量子设备。量子态应该被用作货币的防伪标记。然而，只有发行货币的中央银行才能验证货币的真实性。1982年，贝内特和其他人试图建立第一种公钥量子货币。他们的计划只允许一种货币使用一次，这被称为“地铁通行证”。后来，人们发现在他们的设计中有两个不安全的因素:一个是基于未知传输的不安全协议；第二，可以用Shor算法破解。2003年，Tokunaga等人改进了Weisner的计划。他们没有要求央行追踪每一种发行的货币，而是采用了一种特殊的方法来确保货币在修改后仍然有效。这允许货币持有者在银行检查货币以实现货币交易之前修改货币。但是，缺点是一旦银行发现* * * * *，必须立即发布信息并在* * * * *前清除所有交易信息，所以这个计划不容易实现。2009年，阿方索(Aaronson)提出了不克隆定理的复杂理论，假设有一种机制来验证给定的状态是否等于有效的量子货币状态。如果伪造者想要伪造货币，他必须同时具备验证机制。2010年，摩西卡(Mosca)和斯特比拉(Stebila)指出，即使货币伪造者拥有量子货币验证机制，他仍然无法生产出比初始状态更多的量子货币。许可方运行模糊验证方法，在获得最终结果之前无法获得任何有用的信息。在验证过程中，他必须与银行沟通。该方案是一个量子货币私钥方案。2012年，Lutomirski等人提出了一种利用扭结不变量的真实量子货币公钥方案。然而，没有人能够证明该计划的安全性。2015年，Subhayan等人提出了量子支票协议(Quantum Check Agreement)，在该协议中，受信任银行的任何合法客户都持有“量子支票簿”，可以签发支票并与银行共享经典渠道，银行或其分支机构完成货币验证。

理解量子货币的逻辑起点:伪造和双花

货币发展的历史就是防伪技术的历史，也是生产者和伪造者之间不断斗争的历史。无论是贝壳、金属、纸张、塑料还是电子货币，防止伪造都是货币生产的最重要目标。尤其是在信用货币时期，货币本身的价值属性逐渐弱化，因此货币防伪尤为重要。可以说，如果不防止伪造，就不能提及货币。然而，历史上从来没有一种货币能够完全解决被伪造的问题。伪造货币的历史几乎和货币发展的历史一样长。迄今为止，人民币、美元和欧元等不同国家的假钞案件仍时有发生。

传统货币造假屡禁不止的根本原因之一是经典物理学的易伪造性。根据经典物理学的基本原理，可以精确地测量物理状态。只要能够根据测量结果以足够的精度重组物质以应对检查，就可以达到伪造货币的目的。传统货币生产机构开发的各种防伪技术，如金属货币的图案和锯齿、水印、安全线、纤维、光学可变油墨和纸币的凹印特征，本质上只是提高了假币的门槛，但不能完全禁止。虽然可以说造假的成本高得足以使假币无利可图，从而避免了造假，但随着技术的不断发展和高科技技术在民用领域的广泛应用，造假的技术门槛也可能下降。如果伪造者投入足够的物质资源、金融资源和智力，任何传统的货币防伪技术都可能在理论上被破解。

对于电子货币和数字现金，形式是一串二进制信息。他们需要解决的问题比纸币的防伪更麻烦，因为信息很容易在电脑中复制。这一串信息可以通过加密来防止伪造。例如，数字现金的发行机构可以签署每一张发行的数字现金，这样每个人都可以很容易地验证货币的真实性。此外，数字现金仍然存在双花的问题。在甲乙双方的交易中，如果没有其他人知道，甲方可以在与乙方交易前秘密备份相同的数字现金，然后假装与乙方的交易没有发生，并与丙方进行交易，解决的办法是用账簿的形式记录已经发生的交易，以防止相同的数字现金被多次使用。该账簿可以是银行或支付宝等集中账簿，也可以是比特币等基于区块链技术的分布式账簿。量子货币通过量子非克隆原理解决了货币造假和重复消费的问题。

量子货币的基本原理

量子比特，量子叠加态

在经典计算机中，位“0”和“1”由经典物理量代码表示，如电压、磁场方向等。，而经典物理量的测量结果是唯一确定的，即经典比特不能同时处于两种状态(例如，处于“高电压”和“低电压”状态)。量子比特是基于微观粒子的量子状态存储的。量子比特不同于经典物理状态的最重要特征是它们可以同时处于几个微观量子态的叠加态。例如，如果|0 >用于表示电子的基态或自旋下降，而|1 >用于表示激发态或自旋上升，那么微观量子态可以表示为|>=a|0>+b|0 >，其中a和b都是复数，并且它们的模式长度的平方和是1。图1示出了经典数据位和量子数据位的比较图。经典数据位的表示是0或1，量子数据位是│0 >和│1 >的叠加态，即0或1。

如何防止量子货币[的假花和双花/s2/]

微观量子态本身包含了很多信息，但我们只能通过测量来获得它的信息，而被测行为又会反过来影响量子态，导致被测量子态崩溃，最后每个量子比特在测量后只能获得一个关于崩溃量子态的信息。另一方面，克隆在量子世界是不可能的。换句话说，没有电路可以执行这样的功能:输入是任何未知的量子态，输出是两个这样的量子态。这是量子非克隆的基本原理。

量子非克隆原理构成了量子货币的理论基础。量子货币本质上也是一串信息，类似于电子货币和数字现金，但不同之处在于，除了经典的二进制编码信息之外，量子货币还包含以量子比特形式存储的量子信息。使用量子位的优点是每个量子位可以以叠加的形式存储比经典位多得多的信息，并且这些信息不能被精确测量。根据量子非克隆的原理，量子比特的测量将不可避免地导致量子态崩溃为叠加态之一，从而永久地丢失关于其他未崩溃态的所有信息。通过这种方式，量子货币的信息可以从本质上防止被测量和复制，因为量子物理确保量子比特的测量不能获得完整的信息。此外，量子货币还可以采用类似于数字现金的加密技术，以避免被攻击者伪造。

量子不克隆定理也能阻止量子货币的双花。具体来说，量子货币的所有者只能有量子态，但他不能知道每个量子态是什么。如果他想知道，他只能测量它。然而，一旦被测量，量子态将会崩溃成另一个量子态(原始叠加态之一)，这相当于拥有者毁掉自己的钱。这种“持有量子态但不知道量子态”的设计有效地防止了金钱的双花，因为如果量子货币的拥有者知道他手中的量子态是什么，他实际上可以“克隆”许多副本。

量子货币[的点对点支付/s2/]

与传统货币相比，数字现金最大的优势在于其传输方便。它只需要通过网络传输信息，而不需要传输像传统货币这样的真实事物。量子货币也是如此，它只需要传输包含在量子态中的信息。传输的量子态信息可以通过发送包含信息的粒子(如光子)或者通过经典信道中的量子通信来实现& mdash& mdash也就是说，两个通信方预先共享一个纠缠量子态，那么传输复杂量子态的任务只能通过经典信道传输经典二进制信息来实现。

因此，基于量子货币的交易可以直接在双方之间进行(最多只需要一个可信的第三方预先分配纠缠量子态)，而无需通过第三方的账簿进行验证。

量子货币的核心问题:如何检查货币

虽然“持有量子态但不知道量子态”使我们能够用量子不克隆定理来解决量子货币的双花问题，但它也带来了一个新问题，即如何检查货币。在甲方支付给乙方的交易中，由于乙方不知道其持有的量子态信息，也无法通过测量获得足够的信息，他如何确认这是一种合法的量子货币，不是由甲方随机制造或已经被甲方观察到？但是，如果允许测量来验证量子货币是否合法，甲方可以先测量自己量子货币的量子态，然后根据崩溃状态构造新的量子态，再发送给乙方，因为甲方知道关于崩溃状态的所有信息，他可以重建崩溃的量子态并发送给丙方，这就导致了双花问题。因此，乙方不能判断甲方是否已经用完该量子货币，也不能判断崩溃状态是由自己的观察还是甲方的观察造成的。

理论上，无损量子货币检测是可行的。量子叠加态的坍缩只有在有多个叠加态时才会发生，但如果只有一个态，坍缩就不会发生。因此，可以选择“适当的”变换，使得每种合法量子货币的量子状态在变换后将显示出不会在“适当的”量子比特位置崩溃的唯一状态，然后可以部分测量这些量子比特的状态，而无需测量处于叠加状态的其他量子比特，从而可以获得量子状态的信息而不破坏原始量子状态。此外，如果原始量子状态是通过“适当的”加密签名编码构建的，则测量的信息可以验证由原始量子状态编码的量子货币的合法性。

理论上可用的量子货币方案必须在上述所有三个“适当”的地方做出正确的选择，并给出数学证明。除了实现无损验钞功能外，还必须确保验钞程序没有漏洞。要解决这些问题，我们需要充分发挥密码学的作用，将其与量子计算相结合，探索量子加密的手段，使量子货币的检验能够实现物理安全。

量子货币钞票验证系统的研究还包括:钞票验证能否与中央银行分离，钞票持有者能否独立完成验证/钞票验证过程，给量子状态带来损失？我能支持多张钞票检查吗？损失会导致一定的出错概率吗？如何处理噪音？

结论

科学总是在假想的证实和证伪中不断发展，这或许就是假想的价值。“在量子计算机面前，区块链不值一提”当然也是一种假想。从某种意义上来说，提出问题比解决问题更重要。数字货币的假想可追溯至20世纪70年代以来密码学界的梦想：手里的现金能不能像邮件一样，加个数字信封，进行加密和签名后，从一端发送到另外一端。这一梦想在大卫·乔姆、中本聪等人的不懈探索下，逐步发展为席卷全球的数字货币试验。历史表明，货币形态演化和内涵扩展受到了历次科技进步的深刻影响，这一进程不会在量子时代就此终止，而是不断向前发展。当前量子技术还支持不了量子货币，量子货币理论也存在瑕疵，有学者甚至认为未来是否适用尚难断言。但量子计算正加速发展，量子时代已不再遥远，正向我们趋近。新技术带来的挑战和机遇，值得我们关注与探索。

本文仅代表个人学术观点，不代表组织的观点。这篇文章发表在2019年12月号的《清华财经评论》和2019年12月5日的《上

浏览《姚前：量子货币：一种学术假想》这篇文章的网友也关注了《成贵高铁正式开通》相关内容。