Мы поговорили о том, почему амплитуды должны быть представлены комплексными числами и почему правило превращения амплитуд в вероятности должно быть правилом возведения в квадрат. Но все это время где-то рядом незамеченным бродил огромный слон линейности. Почему одни квантовые состояния должны переводиться в другие квантовые состояния посредством линейных преобразований? Возможна догадка о том, что если бы преобразования не были линейными, то векторы можно было бы сжимать или растягивать, делая больше или меньше. Близко! Стивен Вайнберг[58] и другие предложили нелинейные варианты квантовой механики, в которых векторы состояния действительно сохраняют свой размер. Проблема с этими вариантами в том, что они готовы разрешить вам взять далекие векторы и смять их в один комок или взять чрезвычайно близкие векторы и разделить их! Собственно, именно это и имеется в виду, когда говорят, что такие теории нелинейны, и наше пространство конфигураций утрачивает свое интуитивное значение, состоящее в измерении различимости векторов. Два экспоненциально близких состояния в реальности могут быть вполне различимыми. В самом деле, в 1998 г. Абрамс и Ллойд[59] воспользовались именно этим наблюдением, чтобы показать, что если бы квантовая механика была нелинейна, то можно было бы построить компьютер для решения NP-полных задач за полиномиальное время. Конечно, мы не знаем, являются ли NP-полные задачи эффективно решаемыми в физическом мире. Но в исследовании[60], написанном мной несколько лет назад, я объяснил, почему способность решать NP-полные задачи дала бы нам «божественные» возможности, — есть мнение, что даже более «божественные», чем способность передавать сигналы на сверхсветовых скоростях или обратить вспять второй закон термодинамики. Основная идея здесь в том, что когда мы говорим об NP-полных задачах, то речь идет не просто о составлении расписания авиарейсов (или, может быть, о взломе криптосистемы RSA). Речь идет об автоматизации озарения: доказательства гипотезы Римана, моделирования фондового рынка, отыскания всех существующих в мире закономерностей или логических цепочек.

Так что будем считать, что я придерживаюсь рабочей гипотезы о том, что NP-полные задачи не решаются эффективно физическими средствами и что если некая теория утверждает обратное, то это, скорее всего, указывает на проблемы этой теории. Таким образом, остаются только две возможности: либо я прав, либо я бог! И тот и другой вариант, надо сказать, мне нравится…

Упражнение 7 для неленивого читателя. Докажите, что если бы квантовая механика была нелинейна, то мы не только могли бы решать NP-полные задачи за полиномиальное время, но и использовать ЭПР-пары для передачи информации со сверхсветовой скоростью.

Позвольте мне завершить эту главу упоминанием трех основных аспектов квантовой механики, которые фигурируют в данной книге.

Первый из них — это теорема о запрете клонирования. Это просто утверждение о том, что в рамках квантовой механики не существует процедуры, которая брала бы в качестве входа неизвестное квантовое состояние |ψ〉 и выдавала в качестве выхода две отдельные копии |ψ〉, то есть тензорное произведение |ψ〉 ⊗ |ψ〉. Доказательство этого настолько тривиально, что можно спорить, достойно ли вообще это утверждение названия «теорема», но важность его несомненна. Вот это доказательство: примем без потери общности, что |ψ〉 — это всего один кубит, |ψ〉 = α|0〉 + β|1〉. Тогда «карта клонирования», которая записывает копию |ψ〉 в другой кубит, инициализированный, скажем, в |0〉, должна будет проделать следующее:

(α|0〉 + β|1〉)|0〉 → (α|0〉 + β|1〉) (α|0〉 + β|1〉) = α²|0〉|0〉 + αβ|0〉|1〉 + αβ|1〉|0〉 + β²|1〉|1〉.

Обратите внимание на то, что α², αβ и β² — квадратичные функции от α и β. Но унитарные преобразования могут давать только линейные комбинации амплитуд, и поэтому не в состоянии породить эволюцию указанного выше типа. А это, собственно, и есть теорема о запрете клонирования! Мы видим, что в отличие от классической информации, которая может копироваться как угодно по всей Вселенной, квантовая информация обладает некоторой «приватностью», мало того, в некоторых отношениях она меньше похожа на классическую информацию, нежели на золото, нефть или другие «неделимые» ресурсы.

Уместно сделать несколько замечаний касательно теоремы о запрете клонирования.

• Эта теорема — не просто артефакт не по-физически настойчивого желания иметь идеальное копирование. При желании можно было бы убедиться, что линейность квантовой механики запрещает даже изготовление «довольно хорошей» копии кубита, взяв подходящее определения понятия «довольно хороший».

• Конечно, мы можем преобразовать состояние (α|0〉 + β|1〉)|0〉 в α|0〉|0〉 + β|1〉|1〉, пропустив первый кубит через вентиль управляемой инверсии C-NOT («управляемое не»). Но это не даст нам двух экземпляров первоначального состояния α|0〉 + β|1〉; вместо этого мы получим запутанное состояние, где каждый отдельный кубит находится в смешанном состоянии В самом деле, единственный случай, который можно рассматривать как «копирование», — это α = 0 или β = 0; однако в этом случае речь идет о классической, а не квантовой информации.

• Если теорема о запрете клонирования напоминает вам знаменитый принцип неопределенности Гейзенберга — ну что же, так и должно быть! Принцип неопределенности утверждает, что существуют пары свойств — самая известная из них — это положение частицы в пространстве и ее импульс, — в которых невозможно оба свойства измерить с произвольной точностью, между тем и другим должен быть количественный компромисс. Чтобы изложить принцип неопределенности в том виде, в каком его знает большинство физиков, нам потребовалось бы больше физики, чем помещается в этой книге: мне пришлось бы объяснять взаимоотношения между положением (координатой) и импульсом и даже вводить постоянную Планка ħ (хотя бы для того, чтобы заявить, что в моих единицах ħ равна 1!). Но даже без этого позвольте мне показать начерно, как из теоремы о запрете клонирования следует информационно-теоретический вариант принципа неопределенности и наоборот. С одной стороны, если бы можно было измерять все свойства квантового состояния с неограниченной точностью, то можно было бы изготавливать и произвольно точные копии (клонировать). С другой стороны, если бы можно было копировать состояние |ψ〉 произвольное число раз, то можно было бы и узнать все его свойства с неограниченной точностью, к примеру положение мерить у одних копий, а импульс — у других.

• В определенном смысле теорема о запрете клонировании не имеет почти никакого отношения к квантовой механике. В точности аналогичную теорему можно доказать для классических распределений вероятности. Если у вас есть монетка, которая падает орлом кверху с какой-то неизвестной вероятностью p, то не существует способа превратить ее в две монетки, которые бы падали орлом кверху с вероятностью p независимо друг от друга. Конечно, вы можете внимательно осмотреть свою монетку, но информация о p, которую вы сможете получить таким способом, слишком ограничена для копирования. Из нового в квантовой механике только то, что принцип запрета клонирования приложим не только к смешанным, но и к чистым состояниям — таким, что если бы вы знали правильный базис, в котором измерять, то могли бы получить информацию о состоянии с абсолютной точностью. Но если правильный базис неизвестен, то вы не можете ни получить полную информацию о состояниях, ни скопировать их.

Итак, мы познакомились с теоремой о запрете клонирования. Второй аспект квантовой механики, который мне следует упомянуть, — это по-настоящему поразительное приложение теоремы о запрете клонирования. Называется оно квантовым распределением ключа (QKD) и представляет собой протокол, посредством которого Алиса и Боб могут договориться об общем секретном ключе, не встречаясь для этого заранее и (в отличие от криптографии с открытым ключом) не полагаясь ни на какое предположение о вычислительной нераскрываемости, — на самом деле единственное, на что им придется положиться, это на справедливость квантовой механики и на доступность классического канала связи с аутентификацией пользователя. Возможность такого рода криптографии предсказал Стивен Визнер[61] в 1969 г. в замечательной статье, обогнавшей время на десятилетия — настолько, что на протяжении 15 лет Визнеру не удавалось ее опубликовать. (Не так давно во время визита в Иерусалим у меня была возможность встретиться с Визнером. В настоящее время этот необычайно интересный человек по собственному выбору работает на стройке простым рабочим.) Первое явное предложение по QKD сделали в 1984 г. Беннетт и Брассар[62], поэтому его весьма изобретательно назвали BB84. Я не стану представлять здесь этот протокол в подробностях: они хоть и не слишком сложны, но не имеют для нас значения; во всяком случае, хороших описаний BB84 полно и в учебниках, и в сети.

Вместо этого позвольте мне просто изложить концептуальный вопрос о том, как квантовая механика в принципе могла бы обеспечить согласование секретного ключа без личной встречи Алисы и Боба и без всяких вычислительных предположений — то, что исключено в классическом мире в силу аргументов Шеннона (см. главу 8). Основная идея в том, что Алиса и Боб посылают друг другу кубиты, подготовленные случайным образом в двух или более неортогональных базисах; к примеру, пусть это будут четыре «состояния BB84»: |0〉, |1〉, Затем они измеряют некоторые из кубитов, полученных ими в одном из двух случайных базисов ({|0〉, |1〉} или и посылают друг другу результаты по надежному классическому каналу, чтобы проверить, была ли передача успешной. Если нет, они могут попробовать еще раз. Если да, они могут использовать другие исходы измерений — те, которые они не передавали по открытому каналу, — для формирования общего секретного ключа. Ага, но откуда им знать, что третья сторона, известная как Ева, не отслеживала втайне эти кубиты? Ответ дает теорема о запрете клонирования! По существу, утверждается, что если бы Ева узнала что-то существенное о тех кубитах, то она не смогла бы при этом запихнуть кубиты обратно в канал, так чтобы они прошли проверку у Алисы и Боба с некоторой отличной от нуля вероятностью. Поскольку Еве неизвестен базис, в котором следует измерять каждый кубит, Алиса и Боб без труда заметили бы, что Ева мониторит канал. Единственное, что Ева смогла бы сделать, — это полностью перехватить канал и притвориться Алисой или Бобом, реализуя так называемую атаку посредника (или посредницы). Но для этого потребовалось бы скомпрометировать не только квантовый канал, но и классический, причем, как мы считаем, подтвержденный и надежный.

Кстати говоря, в статье Визнера было представлено еще одно поразительное приложение теоремы о запрете клонирования, приложение, очень интересующее меня последние несколько лет: квантовые деньги. Идея проста: если квантовые состояния действительно не поддаются точному копированию, то почему бы не воспользоваться этим свойством для создания денег, которые физические невозможно подделать? Однако, как только мы начинаем размышлять об этом, возникают проблемы: деньги полезны только в том случае, когда кто-то может проверить их и удостоверить их подлинность. Поэтому вопрос стоит так: можно ли получить квантовые состояния |ψ〉, которые законопослушные пользователи могли бы измерить, чтобы убедиться в их аутентичности, но которые фальшивомонетчики не могли бы измерить, чтобы скопировать? Визнер предложил схему, позволяющую этого добиться, — что интересно, ее надежность была строго доказана лишь недавно[63]. В его схеме задействованы ровно четыре состояния (|0〉, |1〉,  — те самые, которые позже приобрели известность как состояния BB84.

Однако главным недостатком схемы Визнера было то, что проверить купюру на подлинность мог только банк, ее выпустивший, поскольку только банк знал, в каких базисах ({|0〉, |1〉,} или кубиты были подготовлены, и не мог опубликовать эти базисы, не сделав при этом возможной подделку денег. В последнее время наблюдается всплеск интереса к тому, что я называю квантовыми деньгами с открытым ключом: то есть к квантовым состояниям, которые банк может подготовить, никто физически не может скопировать, но любой может проверить на подлинность. Несложно понять, что если вам нужна схема с открытым ключом, то вам понадобятся предположения относительно вычислений: одной квантовой механики недостаточно. (Ведь фальшивомонетчик с неограниченным вычислительным временем мог бы просто перебирать варианты до тех пор, пока не отыщет состояние, которое примет открытая процедура верификации.) За последние годы предложено множество схем квантовых денег с открытым ключом; к несчастью, большинство из них уже взломаны, а остальные, как правило, являются узко специализированными. Однако недавно мы с Полом Кристиано предложили новую схему квантовых денег с открытым ключом, получившую название «схема со скрытым подпространством»; мы можем доказать ее надежность при относительно «стандартных» криптографических предположениях. Наше ограничение, а именно предположение о квантовой трудности решения некоторой классической задачи с полиномами, можно назвать сильным, но, по крайней мере, это не «тавтология»; это предположение не имеет прямого отношения к квантовым деньгам.

И третий аспект квантовой механики, прежде чем мы закончим главу, — это квантовая телепортация. Название, разумеется, всего лишь приманка для публики, всегда готовой слушать падких на сенсации журналистов и жаждущей верить, что квантовая механика сделает возможным мир сериала Star Trek. На самом деле квантовая механика решает задачу, которой просто не было бы, если бы не сама квантовая механика! В классическом мире вы всегда можете «телепортировать» информацию, передав ее, к примеру, по Интернету. (В пять лет, когда я с интересом наблюдал за работой факсового аппарата в папином кабинете, для меня стало откровением, что бумага при этом не переносится и не материализуется в аппарате, а просто превращается в информацию и восстанавливается на приемном конце.) Проблема квантовой телепортации в следующем: а можно ли передать кубиты по классическому каналу? На первый наивный взгляд это представляется совершенно невозможным. Лучшее, что вы сможете сделать при использовании классического канала, — это передать результаты измерения состояния |ψ〉 в некотором базисе, но если не окажется, что этот базис включает |ψ〉, то информации на втором конце будет откровенно недостаточно, чтобы восстановить по ней |ψ〉. Поэтому в 1993 г., когда Беннетт и др.[64] открыли, что если у Алисы и Боба есть общая ЭПР-пара то Алиса может передать Бобу произвольный кубит посредством протокола, в котором она посылает Бобу два классических бита, а затем Алиса и Боб измеряют каждый свою половину ЭПР-пары (при этом ЭПР-пара «тратится»), это произвело настоящий фурор.

Как работает этот протокол? Предположим, Алиса хочет передать Бобу |ψ〉 = α|0〉 + β|1〉. Тогда первое, что она делает, это применяет функцию «управляемой инверсии» от |ψ〉 к своей половине ЭПР-пары. В результате она получает:

Далее Алиса применяет вентиль Адамара к своему первому кубиту (тому, что первоначально был |ψ〉). Получается состояние

Наконец, Алиса измеряет оба своих кубита в базисе {|0〉, |1〉} и высылает результат Бобу. Обратите внимание: каким бы ни был |ψ〉, Алиса увидит каждый из четырех возможных исходов (00, 01, 10 и 11) с вероятностью 1/4. Более того, если она видит 00, то состояние Боба равно α|0〉 + β|1〉, если она видит 01, его состояние равно β|0〉 + α|1〉, если 10 — его состояние α|0〉 — β|1〉, и если она видит 11, то состояние Боба равно β|0〉 — α|1〉. Следовательно, после получения от Алисы двух классических битов Боб точно знает, какие «поправки» внести, чтобы восстановить первоначальное состояние α|0〉 + β|1〉.

Два принципиальных момента: во-первых, здесь нет никакой мгновенной связи. Чтобы телепортировать |ψ〉, необходимо передать Бобу два классических бита от Алисы, и эти биты могут перемещаться не быстрее скорости света. Во-вторых, что еще интереснее, здесь нет нарушения теоремы о запрете клонирования. Чтобы телепортировать |ψ〉 Бобу, Алисе пришлось измерить свой экземпляр |ψ〉 и таким образом узнать, какие классические биты ему передавать, — а измерение неизбежно разрушило экземпляр Алисы. Может ли существовать какой-то более хитроумный протокол телепортации, который воспроизвел бы |ψ〉 на стороне Боба, но оставил бы и экземпляр |ψ〉 на стороне Алисы нетронутым? Я утверждаю, что ответ: нет. Что внушает мне такую уверенность? Ну конечно, теорема о запрете клонирования!