1. 约束来历：χ_y(h) = 1 ⟺ e^(2πi·Σ_j y_j·h_j/N_j) = 1 ⟺ Σ_j y_j·h_j/N_j ∈ ℤ——量子测量把"求子群"化成"解线性同余方程组"
2. 演算（ℤ₁₂ 例续，教材 §5.5）：测到 y=3 → 3h ≡ 0 (mod 12) → h ∈ {0,4,8}；单测 y=6 → h 为偶（约束太弱）；测到 3 与 9（生成 H⊥）→ H 完全确定
3. Lemma 2（阶翻倍证明）：已生成子群 L ≠ K → |L| ≤ |K|/2（Lagrange）→ 下一样本落在 L 外概率 1−|L|/|K| ≥ 1/2；每次扩张阶至少翻倍 → 至多 log₂|K| 次扩张、每次期望等待 ≤ 2 → E ≤ 2·log₂|K|；成功率提升到 1−δ 只需再乘 O(log(1/δ)) 轮
4. 恢复 H：H = (H⊥)⊥ → 两边乘 M = N₁···N_m 清分母 → 整系数同余方程组 → Smith 标准形 A = UDV（U、V 行列式 ±1 的整数矩阵）→ 多项式时间读出 H 的生成元
5. 复杂度核算：量子查询 O(log|G|) 次；每轮电路 = 叠加 + 一次 U_f + F_G（每个 QFT_Nj 约 O((log N_j)²) 门）；经典后处理多项式——总门复杂度关于 log|G| 多项式（群分解已知、oracle 可高效实现的前提下）