2¹²⁸個の候補と、見比べてはいない。

「101かどうか」を調べるのに、000、001、010…と順番に見比べる必要はない。ANDとNOTでできた固定回路が、比較リストなしで一致を見抜く。錠前が鍵の一覧表を持たないのと同じ理屈だ。

同じ一致判定を量子回路で。0の位置にXゲートを置き、「全部1なら矢印を反転」する多重制御Zをはさむ。|101⟩だけが−|101⟩になる固定回路を、3ビットで組み上げる。

重ね合わせを入れても、回路は1回しか動かない。それでも当たりの成分だけが反転するのは、量子力学の線形性が「足してから通す＝通してから足す」を保証するからだ。仕分けの正体を見る。

「128個全部1なら反転」という巨大ゲートは、1個の部品としては存在しない。補助量子ビットにANDを順番に書き込み、使い終わったら逆再生で消す。逆計算が必要な深い理由は「手がかり」だ。

暗号文レジスタが2¹²⁸本あるのではない。128量子ビットのレジスタ1本が、鍵ごとに違う暗号文の重ね合わせになっている。教科書の「オラクル1回」に何が含まれているのか、全部数える。

オラクルの中身が分かれば、コストも数えられる。グローバーでもAES-128には約2⁶⁴回の反復が必要で、しかも直列。だから世界は鍵を256ビットに伸ばした。誇張のない結論でまとめる。