每个样本 $y$ 等价于对一切 $h\in H$ 的线性同余约束：$\chi_y(h)=1\iff\sum_j y_j\cdot h_j/N_j\in\mathbb{Z}$——量子测量把求隐藏子群化归成解线性同余方程组。实例 $\mathbb{Z}_{12}$：测到 $y=3$ 给 $3h\equiv 0\pmod{12}$，即 $h\in\{0,4,8\}$，恰为 $H$；单测 $y=6$ 只约束 $h$ 为偶，太弱；测到 3 与 9（生成 $H^\perp$）则 $H$ 完全确定。引理 2：从子群 $K$ 均匀采样，期望 $2\log_2|K|$ 个样本即生成 $K$——已生成子群 $L\ne K$ 时 $|L|\le|K|/2$（Lagrange），下一样本落在 $L$ 外的概率至少 $1/2$，一旦落外阶至少翻倍，至多 $\log_2|K|$ 次扩张、每次期望等待不超过 2；成功率提到 $1-\delta$ 只需再乘 $O(\log(1/\delta))$ 轮。恢复 $H$ 用 $H=(H^\perp)^\perp$：两边乘 $M=N_1\cdots N_m$ 清分母化为整系数同余方程组，经 Smith 标准形 $A=UDV$（$U$、$V$ 为行列式 $\pm 1$ 的整数矩阵）多项式时间读出生成元。复杂度核算：量子查询 $O(\log|G|)$ 次；每轮电路为叠加、一次 $U_f$、一次 $F_G$，每个 $\mathrm{QFT}_{N_j}$ 约 $O((\log N_j)^2)$ 个门；经典后处理多项式——总门数关于 $\log|G|$ 多项式（群分解已知、oracle 可高效实现的前提下）。