1. 物理量子比特规模与纠错能力的近期发展趋势

过去五年中，量子计算硬件的规模和性能显著提升。2018年前后最先进的通用量子处理器只有约50个量子比特，而截至2023年3月已有433个物理量子比特的超导量子处理器问世​rand.org。到2023年底，IBM更发布了全球首个超过1000比特的量子芯片（“Condor”，1121比特）​nature.com。这意味着物理比特数量在5年间增长了一个数量级以上。然而，仅有更多的比特还不够，因为当前量子比特的纠错能力仍然有限。

在错误率方面，近年双比特门（纠缠门）的保真度已提高到约99.9%​nature.com。然而，这与实现大规模容错计算所需的容错水平相差甚远——许多实用算法要求门错误率低于10^-10​nature.com。也就是说，目前硬件每执行1000次操作大约会出错一次，但要支撑Shor算法这样复杂的计算，需要每执行10^10次操作才出错一次的稳定性。这凸显了量子纠错的重要性。过去几年里，各研究团队在纠错编码上取得了一些进展，但总体而言仍处于原理验证阶段​rand.org。直到最近，实验上才能稳定运行非常有限深度的纠错循环，尚未实现完全容错的长时间量子计算。

2. 逻辑比特和容错门操作控制能力的进展

为了执行长算法，必须将物理比特组合形成逻辑比特并进行容错操作。近年来在这方面取得了里程碑式进展。2023年，研究人员利用72个超导物理比特实现了距离为5的表面码逻辑比特，并成功让该逻辑量子比特的信息保持时间首次超过了其最佳物理比特（即达到“收支平衡”点）​nature.com。随后又在105个物理比特的处理器上实现了距离7的表面码，证明逻辑比特的存储时间可以达到构成它的最佳物理比特的两倍以上​nature.com。这些结果表明，通过增加物理比特并提高代码距离，逻辑比特的错误率确实能够按指数规律下降，验证了量子纠错的有效性​news.ycombinator.com。

然而，目前实现的逻辑比特数量和质量距离实际运行Shor算法尚有巨大差距。上述逻辑比特每执行一次循环的错误率仍在10^-3量级，而要支持长达数百万门操作的算法运行，逻辑错误率需降至约10^-18​news.ycombinator.com。换言之，目前只是证明了纠错随着规模扩大错误率在下降，但要达到完全容错计算所需的稳定性，还需要多个数量级的改进。此外，现阶段一个高保真逻辑比特往往需要上百个物理比特来实现​news.ycombinator.com。例如，2023年的实验中一个逻辑比特耗用了约100个物理比特​news.ycombinator.com。要执行Shor算法分解RSA-2048，大约需要几千个这样的高质量逻辑比特，按当前技术这意味着可能需要千万级别的物理比特​news.ycombinator.com。显然，在容错逻辑门操作（例如可靠的逻辑门电路、魔态注入等）上仍有许多挑战，需要进一步提高多比特系统的一致性和实时纠错控制能力。

3. 主要研究机构或专家的时间表预测

对于何时能构建出足够强大的量子计算机来运行Shor算法分解2048位RSA，各权威机构和专家给出了相对谨慎的预测。美国国家科学院在2019年的一项专家共识报告中指出，在2030年之前出现能够破解现代公钥加密的“密码分析级”量子计算机（CRQC）的可能性很低​rand.org。美国国家安全局（NSA）也表示“不知道何时甚至是否”会出现这样的量子计算机​rand.org。这些评估反映了专家们普遍认为至少在本世纪20年代中期之前，量子计算还难以对RSA-2048构成现实威胁。

产业界的态度与此一致。IBM在实现千比特处理器里程碑后公开表示，将把重心转向提升量子纠错和容错能力，而非单纯追求比特数量的堆砌​nature.com。这暗示在可预见年限内，攻克误差可靠性是比扩大比特数更紧迫的任务。谷歌等公司虽雄心勃勃（例如展望在本年代末构建有实用价值的量子计算机），但同样专注于解决容错架构的问题，并未声称能在近年内破解RSA。

学术界也有一些定量的时间表预测。例如，一项量子计算发展趋势的研究在2020年通过模型推断，如果量子硬件按照过去的进步速度持续提升，那么要具备足够资源运行Shor算法破解RSA-2048，大概在2040年至2060年之间才可能实现​news.ycombinator.com。换言之，在目前的发展轨迹下，还需要再过二十年至数十年才能达到破解RSA-2048所需的规模。鉴于量子攻击存在“收割-解密”风险（即攻击者可提前截获并存储加密通信，一旦量子计算机成熟就解密），许多专家呼吁各组织 尽早 部署抗量子密码，以确保未来即使在2030年代或2040年代出现突破时，现有敏感数据也是安全的​news.ycombinator.com。

4. 综合现有进展速度对破解RSA-2048时间的估算

综合以上进展与要求，可以对使用Shor算法破解RSA-2048可能所需的时间给出一个粗略估计。在硬件规模方面，当前最顶尖的量子处理器规模10^3个比特，而按照近期研究，破解RSA-2048估计需要10^7–10^8量级的物理比特（对应若干千高精度逻辑比特）​news.ycombinator.com。假如量子比特数量能够保持接近指数式的增长（类似摩尔定律，每年翻倍），从千比特提升到千万比特至少也需要约15-20年时间。此外，还要同步将门错误率从目前的1e-3/每步改进到1e-6、1e-9甚至更低，以支撑长时间的容错计算，这同样需要长期攻关。因此，在当前技术推进速度不变的前提下，大多数专家预计至少还需要二十年左右才能研制出可破解RSA-2048的容错量子计算机​news.ycombinator.com​rand.org。换言之，最快也要到2040年代中期或更晚，才有可能看到通过Shor算法攻破2048位RSA密钥的现实演示。这一时间表当然不是确定的——如果出现革命性突破（例如更高性能的量子比特架构或更高效的算法），时间可能缩短；反之，工程挑战若超出预期，也可能更久。但基于目前公开的技术进展评估，上述时间范围是相对可信的推断。

参考文献：

• 【24】 RAND报告《Estimating the Energy Requirements to Operate a Cryptanalytically Relevant Quantum Computer》，其中引用了美国国家科学院和NSA的观点​rand.org​rand.org。
• 【13】 自然杂志新闻：《IBM releases first-ever 1,000-qubit quantum chip》，报道IBM发布1121比特量子处理器并将重点转向量子纠错​nature.com。
• 【6】 《Nature》文章：《Quantum error correction below the surface code threshold》，提到当前门保真度约99.9%，距<1e-10的容错要求仍差几个数量级​nature.com。
• 【19】 RAND报告同上，对量子纠错现状的评述​rand.org。
• 【7】 《Nature》论文：《Quantum error correction…》，实验演示距离5和7的表面码逻辑比特达到纠错“收支平衡”​nature.com。
• 【28】 Hacker News对谷歌“Willow”量子芯片的讨论，其中引用了谷歌和学界关于RSA-2048所需比特数和时间表的估计​news.ycombinator.com​news.ycombinator.com​news.ycombinator.com​news.ycombinator.com。