2026年10月29日，Alice&Bob公布基于猫量子比特（cat qubit）架构的Shor算法资源估算结果。研究团队将RSA-2048分解任务从算法编译一路推进到物理芯片布局（floorplan），给出了一套完整的硬件资源配置方案：22593个物理猫比特，端到端运行时间为3.14天。
与此前主要围绕逻辑量子比特数量和纠错开销开展的资源估算不同，此次研究通过引入LDPC-cat量子纠错码，并协同优化Shor算法中的核心算术电路，实现了量子纠错与算法编译的联合优化，显著降低了RSA-2048分解任务的物理资源需求，并首次将资源估算进一步推进到物理芯片布局层面。
图1：可比较的比特成本估算图
此前，关于Shor算法的资源研究大多集中在逻辑量子比特数量、纠错开销和电路深度等指标上。此次工作进一步将物理比特排布、控制线路及硬件配套纳入评估。
研究背景
RSA-2048依赖大整数分解问题的计算难度，椭圆曲线密码体系则建立在离散对数问题之上。
1994年，Peter Shor提出量子算法，证明具备足够规模和纠错能力的量子计算机能够在多项式时间内求解这两类问题。由此，Shor算法所需的硬件资源，逐渐成为容错量子计算研究中的重要基准。
2021年，Google Quantum AI的Craig Gidney与Martin Ekerå在《Quantum》发表研究，估算分解RSA-2048需要约2000万个带噪声物理量子比特，运行时间约8小时。
随后，资源估算开始向更低规模推进。2023年，Alice&Bob在《Physical Review Letters》发表重复猫码架构研究，给出了126133个猫比特在9小时内求解256位椭圆曲线离散对数问题的资源估算。
2024年，团队进一步提出LDPC-cat码方案，旨在突破传统重复猫码的编码效率限制，在保留猫比特bit-flip错误抑制优势的同时，降低逻辑量子比特的物理资源开销，为大规模容错量子计算提供更高效的纠错架构。
2025年，Gidney更新Google路线下的估算，将RSA-2048所需物理比特数量降至100万以下。
这次Alice&Bob将RSA-2048的资源需求估算推进至22593个物理猫量子比特。此次资源估算结果的背后，是猫比特架构、量子纠错编码与算法编译的协同优化。其具体技术路径，需要从猫量子比特本身的工作原理说起。
研究方法
猫量子比特的一个重要特点，是能够在物理层面抑制bit-flip（比特翻转）错误。Alice&Bob利用微波谐振腔中的相干态叠加构建猫比特，通过系统自身的对称性实现对特定错误通道的保护。
与主流超导传输子（transmon）比特相比，这种方式能够减少部分错误对后续量子纠错的压力，使纠错编码更多集中于phase-flip（相位翻转）错误。
表1：多种受Python启发的符号
物理层面的错误抑制只是第一步。为了进一步降低逻辑量子比特的编码开销，研究团队采用了LDPC-cat码。与传统重复猫码相比，该方案利用低密度奇偶校验码的结构优势，减少编码所需的物理比特数量。对于需要大量逻辑量子比特的Shor算法而言，编码效率会直接影响最终硬件规模。
算法层面的优化同样重要。RSA-2048分解涉及大规模模幂运算，其中包含大量算术操作。研究团队针对猫量子比特架构重新设计了量子加法器（adder），减少纠错过程对电路执行节奏的影响，使加法运算能够以相对稳定的速度运行。
另一项工作集中在量子只读存储器（QROM）。QROM是相关模幂运算中的重要资源开销来源，团队通过优化其电路结构，并综合调整逻辑量子比特数量、T factory（高容错魔法态制备模块）配置与电路深度，寻找硬件规模和运行时间之间的平衡点。
完成算法和纠错层面的优化后，团队又将编译结果映射至物理芯片floorplan。这一环节涉及猫量子比特在芯片上的排布、控制线路布线，以及稀释制冷机和控制电子学等系统条件。
按研究最完整编译的配置，RSA-2048 需要 22593 个物理猫比特、3.14 天。这个数字建立在几个前提上：纠错周期 1 秒、反应时间 10 秒、比特翻转时间长达约 100 年。
研究还给出了另一种资源配置思路。如果增加物理比特投入，计算时间可以进一步缩短。比如空间换时间方案使用约611000个猫比特，能够将RSA-2048分解时间压缩至约1.25小时。
两种配置对应不同的硬件投入和计算周期，也说明资源评估不能只看物理比特数量，运行时间同样是重要指标。
图2：可比较的比特运行对比图
在椭圆曲线密码方面，团队将编译流程扩展至ECDLP。针对比特币使用的secp256k1曲线，求解256位椭圆曲线离散对数问题，资源估算最多约需30000个猫比特，运行时间约1小时。研究还给出了FFDLP-512这一中间规模基准问题的配置，约需6700个猫比特，运行时间约21分钟。
不过，22593个物理猫量子比特这一结果有明确的噪声模型前提。论文基准方案假设不存在bit-flip错误，对应约100年的bit-flip时间。在这一条件下，系统可以将主要纠错资源集中于其他错误通道。
研究团队也评估了bit-flip错误条件放宽后的情况。如果将bit-flip时间缩短至约1小时，就需要额外增加一层distance-3 bit-flip纠错码，RSA-2048的物理猫比特需求将增加至约45000个。
还需要区分的是，这一研究完成的是算法到物理布局层面的资源估算，并非在现有量子硬件上实际运行了RSA-2048分解任务。猫量子比特规模化制备、逻辑错误率控制、实时纠错和系统集成，仍是后续工程实现需要面对的问题。
结语
从猫量子比特的物理错误抑制，到LDPC-cat码的编码优化，再到Shor算法的电路编译，Alice&Bob此次工作展示了多层技术协同压缩量子计算资源的可能性。相比单独优化某一项指标，将算法、纠错和物理硬件放在同一套框架下评估，也更有利于判断容错量子计算系统的实际资源需求。
对于现有密码体系而言，这项研究也再次带出了后量子密码（PQC）迁移问题。NIST后量子密码标准已经确立，但标准落地并不是简单替换算法，还涉及通信协议、密钥管理、软硬件适配以及安全验证。
尤其需要关注「先存储、后解密」风险。攻击者可以提前收集当前加密保护的数据，待未来量子计算能力成熟后再尝试解密。对于需要长期保密的信息，以及依赖椭圆曲线签名的加密资产，提前规划密码迁移具有现实意义。
22593个物理猫量子比特并不意味着RSA-2048已经面临现实中的量子破解，但它让Shor算法的硬件资源需求有了更具体的工程参照。对于量子计算领域，这是一项资源评估上的进展；对于密码基础设施而言，PQC迁移的准备工作显然不宜等到大规模容错量子计算机真正出现之后才开始。
https://arxiv.org/abs/2505.15917
