经济学家的量子技术

电路通常以| 0i作为每个量子位的状态进行初始化。门是一种仅作用于恒定数量的量子位的幺正运算，然后按顺序应用。最后，在电路的末端进行测量，折叠被测量的量子比特的叠加。注意，电路图应该从左到右阅读。图一提供了一个电路图，该电路根据参数q=p=1/2的伯努利分布生成真随机数。在电路的左侧，一个量子位被初始化为状态| 0i。哈达玛门由矩形内的H表示，然后应用于量子位，使其处于相等的叠加状态：√|0i+√|1i。最后，应用测量，以相同的概率将叠加分解为|0i或|1i。测量结果将被读出到一个经典位，以便在经典计算机上存储和使用。图二展示了一个简单的两量子位电路：交换电路。执行| 0iH图一：上图显示了一个具有一个量子位的电路。量子位在| 0i状态下初始化。然后将阿达玛门应用于量子位，将其称为|+i=√（|0i+|1i）状态。最后，进行测量。除非另有说明，否则应假定测量值符合标准（即{0,1}）。在这种情况下，结果是0或1，概率相等|0iooo| 1io图二：上图显示了一个带有两个量子位的电路，它们在状态| 01i下初始化。然后，电路依次应用三个CNOT门：CNOT（0,1）、CNOT（1,0）和CNOT（0,1）。这将交换0和1位置的量子位，在进行测量时产生状态| 10i。交换将把量子位元0的状态改变为量子位元1的状态，反之亦然。请注意，我们已将系统初始化为| 01i状态，并应将| 10i作为电路的输出。

第一个CNOT门使用量子比特0作为控制，量子比特1作为目标。我们将用CNOT（0,1）表示这一点。由于量子比特0处于| 0i位置，系统的状态在| 01i处保持不变。接下来应用的CNOT（1,0）将状态更改为| 11i。最终的CNOT使用量子比特0作为目标，量子比特1作为控制，将系统状态更改为| 10i。最后，我们进行测量，得到状态| 10i。请注意，我们可以只使用最后两个CNOT门来执行这个特殊的交换操作，因为我们知道系统的基本状态；然而，如果初始状态改为| 10i，我们将需要前两个CNOT门。在序列中使用全套三个CNOT将允许我们在任意状态下对两个量子位执行交换，例如|ψφi。在实践中，我们通常需要使用交换门来处理量子计算机的体系结构约束。如果两个量子位在物理空间中的位置不够近，我们可能无法对它们应用两个量子位门。出于这个原因，我们可以执行交换，将相关的量子位移得更近|ψio|φio| 1图三：上面的量子电路图显示了使用to-off-oli门对|ψφi状态应用NAND操作。To off oli门执行受控非操作：|ψ，φ，γi映射到|ψ，φ，γ⊕ D（ψ，φ）i，其中⊕ 表示异或运算。由于γ被初始化为| 1i，第三个量子位被映射到N和D（ψ，φ）。此外，由于输入状态|ψφi也被保留，电路是可逆的。量子电路通常需要使用被称为“辅助”的额外量子位这是因为量子计算必须是可逆的，这通常要求我们在应用门之后保留信息。

例如，在经典电路中，我们可以通过取两个输入位，应用一个与非门，然后输出一个位来实现与非门。然而，在一个量子电路中，我们必须使用一个To fff oligate（受控非受控），与一个在| 1位置初始化的辅助比特相结合，如图三所示。注意，我们在|1i状态初始化量子比特2，辅助量子比特，在|ψi和|φi状态初始化量子比特0和1。在|ψi=|φi=|1i的特殊情况下，对目标量子位应用X门，产生状态|110i。如果|ψi和|φi是任意叠加的，则应用门将状态ψφ001i+ψφ011i+ψφ101i+ψφ101i+ψφ111i映射到状态ψφ001i+ψφ011i+ψφ101i+ψφ110i。虽然我们选择使用三个量子比特门来实现这个电路，但使用两个量子比特门的较长序列总是可能的。图四显示了如何使用被分解为两个量子位门的To off oli操作来执行相同的NAND操作。当我们讨论量子算法相对于其他量子算法或经典算法的改进时，我们将经常使用的一个度量称为“门复杂度”给定一个电路（或者更广泛地说，一个量子算法），电路的门复杂度是基本门的数量，即|ψio·To·φio·TT+| 1iHT+TT+T HFigure IV：所有量子计算都可以使用两个量子位门的通用集合来执行，比如我们前面介绍的集合：i、X、Y、Z、H、S、T和CNOT。这意味着我们使用X门和To-Offoli门执行的NAND操作也可以使用两个量子门执行。该电路显示了Nielsen和Chuang（2000）中给出的实现。在那条赛道上用过。这测量了执行给定计算所需的最小基本步骤数。

比较图III和图IV，我们可以看到，两个量子比特门到OFF奥利比三个量子比特门到OFF奥利需要更多的基本操作。2.5 OraclesTuring（1939）引入了“甲骨文”的概念，将其描述为“……解决数论问题的非特定手段”就我们的目的而言，oracle这个术语通常指的是可以应用于量子电路中的黑盒（经典）函数。关键是，不可能“看”这个黑匣子；它允许的唯一操作是将函数应用于量子态。在很多情况下，我们不知道这样的甲骨文是否可以实现；然而，假设甲骨文的存在将允许我们构造量子电路并评估其性质。正如我们将在后面讨论的那样，一些量子货币方案依赖于anoracle，其形式为执行特定操作的未知黑匣子函数。此外，当我们将量子算法与其他量子算法及其经典算法进行比较时，我们通常会从两个量子位版本的to ffoli门的角度来描述性能的改进。to ffoli门通常会在量子计算机上实现，这是因为体系结构限制要求量子位在物理上紧密相连。复杂性的度量。其中一个指标是“查询复杂度”，它计算算法查询oracle的次数。2.6不可克隆理论量子货币的最初概念，如威斯纳（1983）所介绍的，利用“不可克隆定理”实现了信息论安全Wootters和Zurek（1982）证明了这个定理，证明了克隆未知量子态是不可能的。关于量子货币，这意味着拥有无限资源的造假者仍然无法复制量子票据。

当然，对于实物货币和经典数字货币来说，情况并非如此。Nielsen和Chuang（2000）提供了nocloning定理证明的一个简单的替代公式，我们在这里复制了这个公式。首先假设存在一个幺正运算U，它可以复制未知状态下的量子位。然后我们将Yu应用于两个量子位，|ψi和|φi。请注意，|0i是一个辅助量子位，可以计算出copy。U（|ψi） |0i）=ψi |ψi（29）U（|φi） |0i）=φi |φi（30）如果我们取方程（29）和（30）的内积，我们得到以下结果：hψ|φi=（hψ|φi）（31），因为0≤ hψ|φi≤ 1.只有当状态相同或正交时，这才是真的。如果前者为真，那么U只能用于克隆单个量子态。如果后者为真，则U只能用于克隆正交状态。在这两种情况下，UI都无法克隆任意未知的量子态。有关计算复杂性的术语和符号的简要概述，请参见附录A.1。另一种证明形式利用了量子操作的线性。如果U是一个克隆任意量子态的量子操作，那么下面应该是真的：U（|0i） |0i）=|0i |0i（32）U（| 1i） |0i）=|1i |1i（33）U（|φi） |0i）=φi |φi（34）现在，让|φi=α| 0i+β| 1i。我们可以将方程（34）改写如下：U（|φi） |0i）=U（α| 0i | 0i+β| 1i | 0i）（35）=αU（| 0i | 0i）+βU（| 1i | 0i）（36）=α| 0i | 0i+β| 1i 1241i（37）我们的目标是用U克隆|ψi，它应该产生以下量子态：|φi |φi=（α1240i+β1241i） （α| 0i+β| 1i）（38）=α| 0i | 0i+αβ| 0i | 1i+β| 1i | 1i（39）与前面的证明一样，只有当α=1或β=1时，这才是真的。否则，等式（37）和（39）不等价。

因此，克隆任意未知状态是不可能的，因为|φi可能是|0i和|1i的叠加。3量子货币在本节中，我们将提供针对经济学家的量子货币的完整概述，以及比特币（B¨ohme等人，2015年）和分布式账本技术（Townsend，2018年）的类似成果。这将包括对现有量子货币计划的描述，对量子货币实验实施进展的总结，以及对经济学家和央行未来潜在相关性的讨论。我们的目的是在高层次上涵盖重要概念，但也提供足够的低层次细节，以便（1）让有充分动机的经济学家找到文献的切入点；以及（2）协助正在探索数字货币发行的中央银行，并将量子货币作为（遥远的）未来发展道路。我们对量子货币的研究将从对威斯纳（1983）的描述开始，威斯纳提出了一种受物理定律保护的货币形式，而不是通过安全特性或计算假设。威斯纳的方案是“私钥”量子货币的一种简单形式，其优点是完全可以用第2节介绍的概念来解释。然而，我们需要超越威斯纳（1983）来充分实现量子货币的好处。特别是，我们将讨论在过去十年中推出的量子货币的新品种，称为“公钥”量子货币和“量子闪电”这些品种具有任何经典形式的货币或支付工具都无法实现的新颖和理想的特性。

我们将在表2中记录不同种类量子货币的这些属性（以及其他属性）。更广泛地说，我们对新支付技术的描述性文献做出了贡献，试图找出有用的切入点，经济学家可以通过这些切入点做出有意义的研究贡献，包括B¨ohme等人（2015年）、Dwyer（2015年）、Dyhrberg（2016年）、Chiu and Koeppl（2017年）、Huberman等人（2017年）、Bordo and Levin（2017年）、Townsend（2018年），和Cataliniand Gans（2019）。3.1第一个量子货币方案第一个量子货币方案于威斯纳（1983）引入。它利用了Wootters和Zurek（1982）证明的不可克隆定理，该定理指出不可能克隆未知的量子态。为了构造一个威斯纳货币单位，中央银行必须生成一个经典序列号和arandom经典票据状态。经典序列号是唯一的，是众所周知的。经典的票据状态只有中央银行知道，中央银行将其编码为量子状态，对票据持有人隐藏。生成和编码量子票据状态的过程从随机抽取n对二进制数开始。每一对的第一个元素对应于法案的经典状态。第二个元素对应于用于编码或测量的基本元素。例如，0可能对应于计算基，1可能对应于阿达玛基。中央银行使用相应的基对两级量子系统中经典票据状态的每个元素进行编码。例如，00的绘图将被编码为| 0i。下面给出了n=5情况下的模式。1.经典序列号。E57804SG。2.随机生成的二进制对。01 11 00 10 11.3. 经典比尔州。01011.4. 基地。11001.5. 量子态。

|+我|-i | 0i | 1i|-中央银行记录经典序列号、经典票据状态以及每张票据的计量依据。如果商户希望验证票据的真实性，她可以将其发送给中央银行，中央银行将使用第2.6节中关于不可克隆定理的两个证明来识别票据。经典序列号，并使用特定基对量子态进行测量。如果测量结果与记录的经典票据状态相匹配，那么中央银行将验证票据的量子状态是否有效。否则，它将以无效为由拒绝。回想一下，不克隆定理禁止复制未知量子态。想要恢复票据状态的造假者需要对每个量子位进行测量，就像中央银行在验证过程中所做的那样。然而，与中央银行不同的是，造假者不知道信息的编码基础。例如，在我们的简单示例中，造假者必须正确猜测第一个量子位是在哈达玛基中编码的。否则，她会在计算基础上错误地应用度量。现在，回想一下阿达玛基状态，|+i和|-i、 处于计算基态|0i和|1i的相等叠加中，反之亦然。这意味着在计算基础上测量第一个量子位将导致量子态以相同的概率变化为| 0i或| 1i。这也会反映在测量的经典读数中。测量结果不是概率为1的0，而是概率为1的0或1。因此，猜测有破坏量子态的风险。Aaronson（2009）、Lutomirski（2010）、Molina等人（2012）和Nagaj等人。

（2016）表明Wiesner（1983）及其早期扩展受到自适应攻击。这种攻击一次修改一个量子位，然后尝试身份验证，试图覆盖潜在的量子态。Aaronson（2009）和Lutomirski（2010）认为，通过不退还未通过验证过程的账单，可以防止自适应攻击。然而，根据Nagaj等人（2016）的说法，这仍然不够充分，他们建议在每次有效验证后用新的量子货币状态替换旧的量子货币状态。参见theMolina et al.（2012）中的A.5节，分析了非适应性环境下威斯纳方案的最佳锻造策略，并证明成功伪造纸币的概率在量子位数量上快速递减。有关自适应攻击的完整描述，请参见附录。Wiesner（1983）是第一个实现信息理论安全的方案。这意味着拥有无限经典和量子资源的攻击者仍然无法伪造威斯纳的货币单位。自Wiesner（1983）以来，至少引入了八种额外的方案来实现信息理论上的安全性。相对于任何数字货币或支付方案，信息理论上的安全性是一个绝对的改进。然而，威斯纳的钱至少有三个缺点。首先，它需要在线验证，这使得它对现金没有吸引力。其次，它使用私钥方案，要求发行人收集用于验证目的的信息。第三，如果量子存储器的发展没有实质性的改进，目前在技术上是不可行的。3.2现代方案的性质在上一小节中，我们讨论了第一个量子货币方案的构造及其性质。

虽然威斯纳的货币实现了信息论安全——这是任何形式的支付都不可能实现的标准，但它未能为现有的支付系统提供额外的改进。在本节中，我们将根据Mosca和Stebila（2010）以及Aaronson（2009）最初概述的标准，讨论现代量子货币方案的性质。这将包括将货币形式广泛分类为纸币、硬币和闪电计划，以及私人和公共计划。会议还将讨论安全性、匿名性、对非特定算法（oracle）的依赖性、生产和验证效率、经典验证性和可伪造性，以及抗噪性。表二简要总结了所有quantummoney方案的性质。参见Tokunaga等人（2003年）、Mosca和Stebila（2010年）、Gavinsky（2012年）、Molina等人（2012年）、Pastawski等人（2012年）、Aaronson和Christiano（2012年）（第5节）、Ben David和Sattath（2016年）（第6节）以及Amos等人（2020年）。3.2.1纸币、硬币和匿名量子货币方案在允许匿名的程度上有所不同。Moscaand Stebila（2010）将匿名定义为难以追踪一个单位的金钱是如何接收和使用的。我们将这个匿名版本称为“不可追踪”例如，对于威斯纳的货币，经典序列号的使用消除了保持匿名的可能性，因为在使用它的交易中，相同的货币单位是可以识别的。我们将带有序列号的量子货币形式称为量子票据，用物理票据的类比，物理票据也有序列号，而且本质上也不是无法追踪的。经典硬币——或它们的理想版本——无法区分，因此为用户提供了匿名性。