5、将Grover算法应用于AES：量子资源估计

将Grover算法应用于AES：量子资源估计

1. 引言

在量子计算领域，将Grover算法应用于高级加密标准（AES）的研究具有重要意义。研究发现，对AES实施Grover攻击所需的逻辑量子比特数量相对较低，大约在3000到7000个之间。然而，由于展开整个Grover迭代的电路深度较大，即使不进行门纠错，在实际的物理量子计算机上实现该算法也具有挑战性。而且，Grover迭代中的大部分电路成本源于密钥扩展，即推导轮密钥，整体深度是Grover算法串行性质的直接结果。

2. Grover算法基础

2.1 Grover算法原理

Grover算法是一种量子搜索算法，用于在未排序的数据集中查找特定元素。它接受一个实现布尔函数 $f : {0, 1}^k \to {0, 1}$ 的量子电路 $U_f$ 作为输入，该电路实现 $|x\rangle|y\rangle \to |x\rangle|y \oplus f(x)\rangle$，其中 $x \in {0, 1}^n$ 且 $y \in {0, 1}$。基本的Grover算法旨在找到一个元素 $x_0$ 使得 $f(x_0) = 1$。

算法通过对初始状态 $|\psi\rangle\otimes|\phi\rangle$ 重复应用操作 $G$ 来实现，其中 $|\psi\rangle = \frac{1}{\sqrt{2^k}}\sum_{x\in{0,1}^k} |x\rangle$，$|\phi\rangle = \frac{1}{\sqrt{2}}(|0\rangle - |1\rangle)$，$G$ 的定义为：
[G = U_f \left((H^{\otimes