1707631140
喜欢量子力学科普的朋友或许都听说过“薛定谔的猫”（Schrödinger’s cat），那是量子力学创始人之一、奥地利物理学家薛定谔（Erwin Schrödinger）提出的一个将量子世界的某些奇异特点放大到宏观世界的理想实验。2010年4月，英国《新科学家》（New Scientist）杂志的顾问编辑马林斯（Justin Mullins）为自己的一篇有关量子货币（quantum money）的文章拟了一个与“薛定谔的猫”很谐音的标题，叫做《薛定谔的现金》（Schrödinger’s Cash），可惜在发表时未被采用。本文有心继承那个聪明而有趣的标题，不过考虑到它所具有的谐音在译成中文后已不复存在，而本文所要介绍的是量子货币，因此将它改为“薛定谔的货币”（可惜这一标题在本文发表于杂志时也同样未被采用，看来“薛定谔”三个字在中外编辑那里都有些“票房毒药”的意味）。
1707631141
1707631142
说到货币，虽然经济学家们可以写出很多大部头的著作来，但对普通人来说，想得最多的恐怕就是自己钱包里的那些钱，那也正是本文感兴趣的东西。(2)钱的重要性，相信大家都心领神会，所谓“有钱能使鬼推磨”（或者反过来，穷困的时候“一分钱难倒英雄汉”）。这样重要并且多多益善的东西，自然会有很多人想要获取，其中包括采用伪造的手段来获取。可以毫不夸张地说，人们伪造货币的历史，就跟发行货币的历史一样悠久；人们伪造货币的手段，就跟发行货币的手段一样高明；而人们伪造货币的规模，有时也跟发行货币的规模一样庞大。这听起来有些夸张，其实不然。伪造货币在和平时期通常是个人和集团的行为，在战争时期则有可能上升成国家行为。比如独立战争后期的美国，有三分之一以上的美元是英国政府伪造的；而“二战”后期的英国，则有三分之一以上的英镑是德国政府伪造的。
1707631143
1707631144
为了遏制伪造货币的行为，各国政府都绞尽了脑汁。1696年，英国政府甚至聘请最负盛名的科学家牛顿（Isaac Newton）担任了英国皇家铸币厂（Royal Mint of the United Kingdom）的主管。这位科学巨匠一方面亲自督管货币的重铸，从技术上遏止伪造；另一方面则凭借自己高超的推理查证能力，亲自追缉伪造货币的罪犯，并对他们施以重刑。牛顿的这种技术和刑罚“两手抓、两手都要硬”的做法，直到今天依然被各国政府所采用。从刑罚上讲，伪造货币在各国都是重罪，从技术上讲，今天的货币已经采用了诸如专用纸张、荧光纤维、水印、安全线、全息标识、微缩文字、光变数字、磁性油墨、防复印油墨、凹版印刷等一系列防伪技术。可惜的是，这一切措施虽一再抬高了伪造货币的门槛，但在巨大利益的驱使下，伪造货币的行为却依然“野火烧不尽，春风吹又生”。
1707631145
1707631146
伪造与反伪之间的这种“货币战争”可以几百年甚至几千年如一日地持续进行，一个很根本的原因，就是迄今所有的货币防伪标识都是宏观尺度上的。从物理学的角度讲，没有任何宏观尺度上的防伪标识是原则上不可复制的。因此只要有足够的实力，货币的发行者能够办到的事情，伪造者就也能办到。
1707631147
1707631148
那么，有没有可能存在一种防伪标识，它受物理定律的直接保护，从而在原则上就不可复制呢？量子货币想要回答的就是这个问题。有些读者或许会觉得奇怪，像量子这样一个来自微观世界的概念，怎么会跟货币联系起来呢？那是因为，迄今人们所知道的唯一一种原则上不可复制的东西就来自微观世界，它就是所谓的量子态，即微观体系的状态。1982年，美国物理学家伍特斯（William Wootters）等人证明了一条有趣的定理，叫做量子不可克隆定理（quantum no cloning theorem），它表明一个未知的量子态是原则上不可复制的。
1707631149
1707631150
为什么会有这样一条定理呢？那是因为要想复制一件东西，通常要首先对它进行观测，以获取有关它的信息，然后再依据那些信息进行复制。但量子世界的一个著名特点，就是几乎所有观测都会对量子态产生不可忽视的干扰，从而妨碍人们获取复制所需的信息。而一旦无法获取复制所需的信息，“不可克隆”也就不足为奇了。(3)
1707631151
1707631152
现在，读者们想必自己也能猜到量子货币的思路了：既然量子态是不可复制的，那么只要将量子态作为货币的防伪标识，货币也就变成不可复制的了。猜得不错，这正是量子货币的核心思路。有意思的是，这种思路实际上早在量子不可克隆定理问世之前的20世纪60年代末就出现了。当时美国哥伦比亚大学（Columbia University）的一位名叫威斯纳（Stephen Wiesner）的研究生提出了一个设想，那就是在货币上配置一个储存光子的量子器件，利用光子的量子态作为货币的防伪标识。威斯纳并未直接使用量子不可克隆定理那样的东西。事实上，在他和后来其他人的设想中，作为防伪标识的量子态往往只有为数很少的几种选择，即便有量子不可克隆定理的保护，伪造者也可以通过随意制备那几种量子态中的一种，来碰运气。不过，这种碰运气的做法碰对一个量子态容易，要想碰对十个、一百个就不太可能了。这就好比掷硬币掷出一个正面不难，但连续掷出十个、一百个正面却不太可能。因此威斯纳的量子货币可以通过增加量子态的数目，而将伪造货币的可能性减小到微乎其微。与普通货币的防伪技术不同，威斯纳量子货币给伪造者带来的麻烦是受物理定律保护，从而是原则上就无法突破的。
1707631153
1707631154
但是，威斯纳的设想也有一个严重的缺陷，那就是只有银行，确切地说是只有发行货币的中央银行，才能检验货币的真伪——因为只有他们才知道每张货币的量子态。其他人若贸然检验的话，不仅无从判别检验结果的通过与否，反而会破坏量子态（别忘了检验也是一种观测，而观测可以干扰量子态），使得货币因检验而作废。(4)这个缺陷的严重性是不言而喻的。因为如果每一位想要检验货币真伪的人都必须求助于中央银行，那不仅对于想要检验货币真伪的人是很大的麻烦，更会使中央银行不堪重负。相比之下，普通货币的防伪能力虽弱，却让每个人都能进行一定程度的检验。对于像货币这样被广泛使用的东西来说，这无疑是至关重要的。
1707631155
1707631156
那么，威斯纳量子货币所具有的缺陷是否能被弥补呢？在回答这一问题之前，让我们先想一想，一种具有实用意义的量子货币究竟应该满足什么条件？很明显，第一个条件是它能被中央银行所发行（即中央银行有能力制造），这是所有货币的共同特点。第二个条件是除中央银行外其他任何人都无法复制，这是量子货币有别于普通货币的主要优点。这里所说的无法复制既可以是如量子不可克隆定理那样的严格意义上的无法复制，也可以是像威斯纳量子货币那样的概率意义上的无法复制。第三个条件则是必须克服威斯纳量子货币的缺陷，即必须让所有人都能检验真伪。
1707631157
1707631158
这三个条件都很直观，但实现起来却并不容易。直到距离威斯纳量子货币40年后的2009年，才由麻省理工学院（MIT）的计算机学家阿伦森（Scott Aaronson）提出了一种方案。而这可怜的方案连年关都没熬到，就被阿伦森的几位校友联手推翻，因为他们发现这一方案的检验环节存在漏洞，使得伪造者无需严格复制量子态就能滥竽充数。无奈之下，阿伦森决定“弃暗投明”，与那几位不打不相识的校友携起手来，共同研究量子货币。这个由计算机学家、物理学家及数学家组成的“量子货币俱乐部”（Quantum Money Club）的工作效率还算不错，很快就提出了一种新的量子货币方案。(5)
1707631159
1707631160
不过，无论是新方案还是阿伦森那个已经夭折的旧方案，它们为了克服威斯纳量子货币的缺陷，都不得不付出了一个并非无足轻重的代价，那就是减弱自己的防伪能力。我们知道，威斯纳量子货币的防伪能力是受物理定律保护的，这种防伪能力被称为信息学意义上的安全性（informational security）。而阿伦森等人的方案由于要让所有人都能检验量子货币的真伪，不得不走出物理定律的保护伞，转而求助于一种类似加密程序那样的算法保护。这种算法保护通俗地讲，就是迫使伪造者做一道一辈子也做不完的计算题。这种受算法保护的防伪能力被称为计算意义上的安全性（computational security），它与受物理定律直接保护的信息学意义上的安全性相比，要逊色一筹。但真正要命的是，迄今为止阿伦森等人并不能证明他们的方案具有计算意义上的安全性，也就是说，那道号称能让伪造者一辈子也做不完的计算题是否真有那么难，他们无法给出证明。在他们的论文中，甚至不无悲观地表示，要想证明他们的方案具有计算意义上的安全性，或许需要等待新的数学工具。(6)
1707631161
1707631162
由此看来，量子货币的设想虽然巧妙，迄今为止却还面临很多理论问题。除理论问题外，量子货币其实还面临一个非常实际的困难，那就是完整地保存一个量子态是一件极其困难的事情。事实上，即便投入一整个物理实验室的设备，在极低温的环境下，量子态也往往只能被保存很短的时间。而量子货币要想具有实用性，必须能在钞票所具有的微小体积内，在钱包所处的常温条件下，就将量子态保存足够长的时间，而且所需费用必须控制在极低的水平上（除个别小额货币外，那费用起码要低于货币本身的面值）。这在目前几乎是一件“不可能任务”（mission impossible）。事实上，就连阿伦森本人也在一篇博文中承认，也许没等人们解决量子货币所面临的理论和实际困难，货币本身就已被其他东西替代而退出历史舞台了。
1707631163
1707631164
但即便如此，对量子货币的研究依然有它的意义，因为量子货币作为一种有趣的理论模型，可以帮助人们推进量子计算、量子密码等新兴领域的研究。而且谁知道呢，说不定哪天人们能克服量子货币所面临的困难，为货币乃至其他东西的防伪开辟一个新的天地。
1707631165
1707631166
(1) 本文发表于《科学画报》2010年第8期（上海科学技术出版社出版），发表稿的标题为《无法伪造的货币》。
1707631167
1707631168
(2) 在本文中，货币（money）、钱（英文也是money）、钞票（banknote）等名称将被混用，学经济的读者务请睁一眼闭一眼，因为本文的重点不在这些，而在“量子”。
1707631169
1707631170
(3) 当然，复制不一定非要依靠测量，而有可能通过普通的状态演化来完成。量子不可克隆定理的证明，实际上是证明后者也是不可能的（因为克隆过程被证明是与量子力学的线性演化相矛盾的）。另外要提醒读者注意的是，网上一些资料——比如维基百科（Wikipedia）及后文提到的计算机学家阿伦森的一篇博文——所采用的一种所谓的“非正式证明”是似是而非的。那种“证明”是这样的：假如量子态可以被复制，那我们就可以利用复制态来获取测不准原理所不允许的知识，由于那是不可能的，因此量子态是不可复制的。那样的“证明”是对量子测量及测不准原理的误解（对量子力学感兴趣的读者可以思考一下，它究竟误解在哪里？），它如果成立，则几乎所有量子态（包括已知的量子态）都会变得不可复制，甚至整个量子系综概念都将不复存在了。
1707631171
1707631172
(4) 有读者也许会问，银行对货币的检验是否也会破坏量子态？答案是不会（当然，这是指真币，假币上的量子态是会被破坏的——但假币原本就是要销毁的，破坏了也无所谓）。熟悉量子力学的读者不妨思考一下，银行怎样才能做到对量子态进行检验，同时又不破坏它们？
1707631173
1707631174
(5) 值得一提的是，他们的新方案除试图克服阿伦森旧方案的缺点外，还包含了一种被称为“无重号量子货币”（collision-free quantum money）的新货币。这种新货币除具有普通量子货币的所有特点外，还有一个额外的特点，那就是连中央银行也只能发行新的货币，而不能复制原有的货币。这就是说，连中央银行也不能通过复制旧货币来偷偷制造通货膨胀。
1707631175
1707631176
(6) 之所以作出这样的表示，是因为他们发现，要想证明他们的量子货币具有计算意义上的安全性，有可能必须首先解决克雷数学研究所（Clay Mathematics Institute）悬赏百万美元征答的千禧年七大难题之一的P versus NP问题（而且还必须是该问题的答案为P≠NP才行）。这是理论计算机科学领域中最著名的难题，它的难度是可想而知的。
1707631177
1707631178
1707631179
1707631180
1707631181
霍金的派对：从科学天地到数码时代 [:1707629811]
1707631182
霍金的派对：从科学天地到数码时代 比特币——玩家的游戏还是货币的未来？(1)
1707631183
1707631184
1707631185
1707631186
1707631187
1707631188
1707631189