为什么 Shor 不会立刻杀死 RSA：工程现实

先备导航：你需要 038（资源估算）、023（酵母蒸馏）、006（退相干）、030（NISQ 边界）。

下一篇预告：040《两大谱系：振幅放大与隐子群》（批四收官）。

为什么 Shor 不会立刻杀死 RSA：工程现实

力学定律早就证明：某处峡谷上"可以"建一座千吨大桥。图纸、预算、钢材、工期——样样没影。路过的人问"桥什么时候通车"，工程师的回答永远是同一句：定律不排日程，工程才排日程。

"Shor 会不会杀死 RSA"是同一道题。037 篇说了数学这头（原理成立、王座已铸），038 篇说了造价这头（百万比特、酵母百亿）。本篇把剩下的三件事说完：天堑具体差在哪、进度条怎么读才不骗人、以及密码学界为什么早就不慌了。

天堑的三个台阶

从今天的机器到"能拆 RSA-2048"，不是一段坡，是三段台阶：

台阶一：数量。今天最好的机器：几百到一千多个物理比特。需求：百万级。差三个数量级——按比特数论，相当于从"第一台电子管计算机"到"智能手机"的整段路。

台阶二：质量。更要命的是，需求侧要的不是百万个今天的比特——是百万个物理比特去供养几百个容错逻辑比特（第六批：一个逻辑比特要上千个物理比特当保镖，物理错误率得先压到合格线以下）。今天机器上的比特是"含噪的原材料"，光堆数量不解渴：Shor 的 n³ 深度电路在无纠错机器上必死（030 篇 NISQ 边界的重申）。

台阶三：口粮。038 篇的酵母账：百亿级 T 门要靠蒸馏厂批量提纯（023 篇）——蒸馏厂本身就是一台需要设计、验证、扩产的机器。

三段台阶叠起来，就是 038 篇那句"差三个数量级"的完整含义：不是 1000 倍的"多造"，是 1000 倍的"造好+供养"。

进度条怎么读：看逻辑比特，别看新闻标题

大众新闻的进度条是"我们家有多少比特"——这条会骗人。工程上真实的进度条是"逻辑量子比特数"：带纠错、能跑深电路的比特。2024~2026 年的几个真里程碑（时效标注：2026-11 视角）：超导路线演示了"纠错越修越好"（加码反而降错误率的拐点首现）；中性原子路线把几十个逻辑比特连成了小网络；IBM 的路线图公开承诺 2029 年前后交付两百个容错逻辑比特。

对照需求（拆 RSA-2048 约需数千个高质量逻辑比特），进度条大约走完了千分之几。诚实结论：2035 年前拆掉 RSA-2048 的概率极低；2035~2045 年概率显著上升；具体哪年，没人知道——工程史的教训两头都得记：线性外推会笑掉大牙（突破常是跳变的），但也别把每一级台阶都当成永远的悬崖。

另一头早就在动：密码学的换桥

真正值得注意的紧迫感，来自密码学界自己——他们的反应不是恐慌，是换桥：

一，新锁已经造好并发货。2024 年，美国标准机构正式发布了一批后量子密码标准（基于格与哈希构造）：它们的数学地基不是分解难题——Shor 的相位估计机对它们无从下口。浏览器、云服务的加密连接里，混合方案（经典+后量子双锁）已经开始部署——你今天的网购流量，大概率已经带上了新锁。

二，真正的截止日来自"先存后解"。这是全篇最重要的一块拼图：今天被截获存档的密文，等量子机器造好那天会被回放解密。哪怕机器十年后才到位，"十年后仍然需要保密"的数据（医疗档案、国家机密、长周期商业秘密）现在就该换锁——因为窃听者不需要等到机器造好才开始存。个人的网购密码倒不必慌（那类数据过期就作废），长敏感数据的机构端迁移才是硬仗；各国密码管理机构的路线图普遍指向 2030~2035 年完成迁移。

三，RSA 本身也在体面退场。技术史上绝大多数密码不是"被一夜杀死"的，是被标准化替换的——旧算法降级、禁用、退出，每一步都有日程表。Shor 的角色是给这套日程表盖了个数学上的最终章：RSA 的地基从"没被拆过"变成了"被证明可拆"——带截止日期的安全。

把类比拆掉

建桥类比借了哪里：

• 不像之一：桥建不成，顶多绕路；密码换桥慢了，代价是存量机密的失效——而且失效是追溯的（存过的密文全中）。所以"另一头"的紧迫感不是来自量子进度，是来自存档行为本身。
• 不像之二：桥只有一座；密码的"桥"无数座、互相独立——数学地基被证明可拆，不等于每座桥同时塌，迁移是逐桥逐段的工程。类比的"桥"指数学地基这一层，别指到具体系统。

带走的行李

1. 三段台阶：数量（千→百万）、质量（含噪→容错，一逻辑比特上千物理比特）、口粮（酵母蒸馏厂）——"差三个数量级"是三段叠加，不是一段坡。 2. 进度条看逻辑比特（2026-11 视角：拐点已现、路线图公开，距拆 RSA-2048 还差千分之几）；预测年份两头防骗：别线性外推，也别把台阶当悬崖。 3. 密码侧早已换桥：后量子标准 2024 发货、混合加密已部署、真正硬的截止日是"先存后解"——长敏感数据现在就该换锁；Shor 的角色是给 RSA 盖了数学的最终章。

下一站的钩子：批四收官。DJ、BV、Grover、Simon、QFT、Shor——六件武器摆了一桌，是时候退后一步看全景：所有量子算法其实分成两大族系，一族的祖师是"振幅放大"，另一族的祖师是"隐藏子群"。看清族谱，才知道哪些问题量子擅长、哪些它永远帮不上。040《两大谱系：振幅放大与隐子群》。

#量子计算 #从硬币到纠错 #后量子密码 #工程现实