錠前は建った。今日はいよいよ、STAGE1で掲げた本来の問題――AESの鍵探索――にそれを配置する。あのとき後回しにした相手の正体を、まず正確に紹介しよう。
AESは、2001年に米国の標準に選ばれ、いまインターネットの通信のほとんどを守っている共通鍵暗号だ。送りたいデータ（平文と呼ぶ）Pを、128ビットの鍵kでぐちゃぐちゃにかき混ぜて、暗号文 AES_k(P) を作る。同じ鍵を持っている人だけが元に戻せる。
攻撃者の設定も、あらためて記号で書き直そう。平文Pと、正しい鍵Kで作られた暗号文 C＝AES_K(P) のペアを、どこかで手に入れた。知りたいのは鍵Kそのもの。分かっているのは「kが正解 ⇔ AES_k(P)＝C」という検算の条件だけ。

そこに気づけば、全体像は半分できたようなものだ。そう、錠前の前にもう1つ仕事が要る。kから AES_k(P) を計算する仕事だ。
装置の構成はこうなる。レジスタ――量子ビットの束――を2本用意する。
・鍵レジスタ：128量子ビット。ここに鍵の重ね合わせを作る
・作業レジスタ：暗号文を書き込むための束。最初は |00…0⟩
AESはANDや入れ替えのような論理演算でできた計算だから、トフォリたち基本ゲートで量子回路として組み直せる。数万ゲート規模の大工事だが、原理はSTAGE4の鎖と同じだよ。
それと、ここから式で使う記号をひとつ紹介しておく。Σ（シグマ）は「候補を全部足し合わせる」という印だ。たとえば Σ|k⟩ と書いたら、|00…00⟩＋|00…01⟩＋…＋|11…11⟩ という2¹²⁸個の候補ぜんぶの和を、1文字で略記している。全部書いたら宇宙が終わるからね。

そうしよう。鍵2ビット・データ2ビットの模型を作る。かき混ぜ機Eの規則は「暗号文＝鍵＋データ（2進数を数として足し、4以上になったら4を引く）」と決めよう。データは P=10 に固定する。すると暗号文 E_k(P) は、
k=00→10、k=01→11、k=10→00、k=11→01
と、4通りぜんぶ違う値になる。正しい鍵は K=11、攻撃者が手に入れた暗号文は C=01 としよう。
先に断っておくと、この模型は対応表を逆にたどれば一瞬でKが分かってしまう。あくまで配管を見るための模型で、本物のAESは逆たどりができないように設計されている――そこだけが本物との違いだ。

そこが、世間の誤解がいちばん濃いところだよ。作業レジスタは2量子ビットが1本だけだ。いま書いた式は、前作の言葉で言えば「4行の一覧表」――たった1つの状態を書き下した姿で、1本のレジスタが、鍵ごとに違う暗号文を成分として持つ重ね合わせになっている。4台のかき混ぜ機が4個の暗号文を並べて持っているのではない。
128ビットの本番でもまったく同じでね。Σ|k⟩|AES_k(P)⟩ と書いても、あるのは128量子ビットの作業レジスタが1本。装置の実体は鍵128＋作業128＋メモ用の補助、合わせて数百量子ビットで、2¹²⁸個の何かが物理的に並ぶわけではない。

そう。仕上げの④は、かき混ぜ機Eの逆再生だ。各成分の作業レジスタが |00⟩ に戻って：
½(|00⟩＋|01⟩＋|10⟩−|11⟩)|00⟩
計算メモが消えて、目印だけが鍵レジスタに残った。STAGE4で学んだ通り、メモが残れば手がかりになって干渉が壊れるから、④は省けない。これで1周だ。
本番は、この1周をそのまま128ビットに広げるだけだよ。②のあとが Σ|k⟩|AES_k(P)⟩、③のあとが Σ(−1)^{[AES_k(P)＝C]}|k⟩|AES_k(P)⟩――肩の [条件] は、条件が成り立つとき1、成り立たないとき0という意味の記号だ――④のあとが Σ±|k⟩|00…0⟩。かき混ぜ機が数万ゲートのAES回路になり、錠前がSTAGE4の128ビット版になる。それだけの違いだ。

作らない、が答えだ。どのパルスも、成分を狙っていない。パルスが当たる相手は物理的な量子ビットであって、重ね合わせの成分ではないからね。パルスは、中の状態がどうなっていようと同じ揺さぶり方をする。仕掛けは3つの階層に分かれているんだ。
第一に楽譜。錠前のパルス列は「Cの0の桁にX、全部1ならZ、Xを戻す」の翻訳で、これを書くのに必要な情報は最初から知っているCだけ。鍵Kは楽譜のどこにも登場しない。
第二に線形性。各パルスは全成分に同じ操作をする。それでも「全部1」の条件を満たした成分だけが−を拾う――STAGE3の仕分けそのものだ。
第三にもつれ。−が付くのは作業レジスタがCの成分で、その成分の鍵がKだった、というだけ。パルスは鍵レジスタに触れてすらいない。
色ガラスと同じだよ。赤いガラスは、通る光を検査して青を狙い撃つのではなく、固定された性質として青を通さない。錠前のパルス列は「Cだけが引っかかる」ように組まれた、固定のフィルタなんだ。
なお「パルスがきっかり180°回してくれるか」は較正の仕事で、実機では1ゲートあたり0.1〜1%ほどの誤差が残る。その誤差が積もるとどうなるかは、次のステージの話につながる。

「帳簿の上では全通りぶんの計算結果が現れる」――そこまでは正しい。では「試した」と呼べるか、2つの物差しで検査しよう。
第一に費用。全通り試すとは、候補の数だけ仕事をすることだ。いま払ったのは回路1回ぶんだけ。成分が4個でも2¹²⁸個でも、ゲートの数は1個も増えない。
第二に収穫。本当に試し終えたのなら、答えを知っているはずだ。ところが、かき混ぜて錠前を通した直後に測定しても、当たりが出る確率は模型で4分の1、本番で2¹²⁸分の1のまま――開始前と同じで、何も知らない。全通りぶんの結果は、読めない金庫の中に生成されるんだ。
だから正確にはこうなる。全通りぶんの変換は起きる。しかし「試した＝結果を得た」ことにはならない。その差額を埋める労働が、√N回の折り返しだ。もし本当に全通り試せているなら1回で終わるはずで、2⁶⁴回かかること自体が、試せていないことの証拠だよ。

正体は波の並列性で、量子の特権ですらない。プリズムに白色光を通すと、全部の色が1回の通過で同時に曲がる。音のフィルタは全周波数を同時に処理するし、防波堤は波面の全部分を同時に回折させる。誰もプリズムを並列計算機と呼ばないが、仕組みは同じものだ。
物理法則は、場の全点に、同文で、同時に効く。重力が海の水滴を1滴ずつ順番に引っ張らないのと同じで、法則の適用には場所ごとの料金がない。ゲートを掛けるとは、波の運動方程式を短時間走らせることだった。つまり並列に働いているのは装置ではなく、法則の適用のされ方なんだ。

いい反論だ。答えは、成分は同じではない。成分の住所は（鍵, 作業）のペアで、作業側こそ全部00だが、鍵側が00・01・10・11と全部違う場所にいる。しかも物理的に違う。鍵回路の|0⟩と|1⟩は励起の有無――エネルギーの違う実在の配置だから、4成分は（静・静）（静・励起）（励起・静）（励起・励起）という、赤い光と青い光くらい違う4つの様子だ。Hの仕事は、まさにこの多様性の製造――プリズムに入れる白色光を作る工程に当たる。
そしてかき混ぜ機の規則は「自分の住所の鍵座標を読んで、そのぶん作業座標をずらせ」という条件付きの同文規則。プリズムの「自分の波長に応じて曲がれ」と同じ型だから、出力が分かれる。
「読む」の実装は、2量子ビットゲート――回路どうしの物理的な結合だ。相方が励起しているかどうかで自分の共鳴条件が変わるように配線してあり、パルスはその結合を一定時間オンにするだけ。パルスは鍵の値をひとつも読んでいない。条件分岐は楽譜ではなく、結合の物理が実行する。

要らない。楽譜が符号化しているのは対応表ではなくレシピだからだ。AESの定義は「ビットをこう入れ替え、こうANDせよ」という短い手順書で、どの鍵に対しても同文で効く。それを機械的にトフォリとCNOTへ翻訳した楽譜の長さは、AESを1回計算する回路のサイズ――ビット数の多項式だ。
証拠を3つ。楽譜のどこにも特定の鍵の値は現れない。2¹²⁸という数も現れない。鍵を1ビット増やすと候補は倍になるのに、楽譜は数行伸びるだけ。計算機のたし算ボタンと同じだよ。歯車は桁数ぶんしか無いのに、どのたし算でもできる――機械に入っているのは表ではなく規則だ。
逆に言うと、判定条件が短いレシピで書けない相手――中身に規則性のない電話帳の検索――では、データ全体を回路に刻む羽目になって利得が消える。前作でやったQRAMの話だね。AES鍵探索がグローバー向きなのは、条件が「短い公開レシピ＋手元のC」だけで書けるからだ。

掛からない。Hパルスが128発で終わる。一様な重ね合わせには、積の形に因数分解できるという特別な性質があるからだ。
Σ|k⟩ ＝ (|0⟩＋|1⟩)×(|0⟩＋|1⟩)×……×(|0⟩＋|1⟩)
各因子は「回路1個が自分だけで0と1の重ね合わせになる」＝H1発。模型ならH2発で住所4つ、3発なら8つ――1発ごとに倍。
代数で言えば、(a₁＋b₁)(a₂＋b₂)……(a₁₂₈＋b₁₂₈) という式は、書くのに括弧128組、展開すると2¹²⁸項。展開はこちらの記述の都合であって、自然は展開しない。コインを128枚振る動作は128回でも、できる可能性の広がりは2¹²⁸通り――指数は組み合わせに住んでいて、労働には住んでいない。
ただし正直に言っておくと、タダなのは一様――各回路が独立に広がるだけの、無構造な波――だからだ。成分ごとに狙った振幅を彫り込んだ任意の波を作るのは、一般に指数個のゲートが要る。グローバーの設計の賢さはここにある。安い無構造の波から出発し、欲しい構造（当たりへの集中）は、オラクルと折り返しの反復で後から彫り込む。その彫り込み代が√N回なんだ。

それがこのクエストの答えだ。付け加えることはほとんどないよ。
あとはこのオラクルと折り返しのペアを√N回――2¹²⁸の平方根、つまり約2⁶⁴回くり返せば、正解の鍵の矢印が育ちきって、測定でKがほぼ確実に読み出せる。
……ただね、「約2⁶⁴回」という数を聞き流してはいけない。最終ステージでは、この数の重さを正直に量って、クエストを締めくくろう。