电路分四步。叠加制备：$|\psi_0\rangle = \frac{1}{n}\sum_{a,b}|a\rangle|b\rangle|0\rangle$，$n^2$ 个基态各带振幅 $1/n = 1/\sqrt{n^2}$，前两个寄存器各 $\lceil\log_2 n\rceil$ 比特。模幂计算：$|\psi_1\rangle = \frac{1}{n}\sum_{a,b}|a\rangle|b\rangle|g^a h^b \bmod p\rangle$，这一步是开销大头，$O((\log p)^3)$ 个门。二维 QFT：对前两个寄存器施加 $\mathrm{QFT}_n \otimes \mathrm{QFT}_n$，$|a\rangle|b\rangle \to \frac{1}{n}\sum_c\sum_d e^{2\pi i(ac+bd)/n}|c\rangle|d\rangle$，随后测量得 $(c,d)$。经典后处理：解 $x \equiv c^{-1} d \pmod{n}$，逆元由扩展欧几里得算法求出。$p = 13$ 时 $n = 12$，每寄存器 4 比特；门数量级为模幂 $O((\log p)^3)$、QFT $O((\log p)^2)$、后处理 $O((\log p)^3)$，总计 $O((\log p)^3)$。量子核心在步骤 2 的模幂，QFT 只负责读出测量分布。