この記事で分かること

1. 耐量子暗号とは何か

耐量子暗号（PQC）とは、量子コンピュータの圧倒的な計算力でも解読が困難な新世代の暗号技術です。従来の素因数分解などに頼らず、格子問題など複雑な数学構造を用いることで将来にわたる通信の安全を守ります。

2. 量子コンピュータはなぜ素因数分解を一瞬で解けるのか

ショアのアルゴリズムを用い、素因数分解を「波の周期を探す問題」に変換するためです。量子の「重ね合わせ」で全候補を同時に計算し、「量子干渉」で正しい周期の波だけを強め合わせて一瞬で読み取ります。

3. なぜ格子暗号を解くのが難しいのか

数百次元を超える高次元空間において、歪んだ座標軸（基底）やノイズから正解の格子点を探す計算量が爆発するためです。量子コンピュータが得意とする「周期性」が存在せず、量子計算でも短縮できません。

TOPPANの耐量子暗号技術

　TOPPANは、量子コンピュータの実用化によって従来の暗号（RSAやECCなど）が解読される脅威（Q-Day）を見据え、耐量子計算機暗号（PQC: Post-Quantum Cryptography）を搭載した次世代ICカード「PQC CARD®」シリーズの開発・展開を進めています。

　クレジットカードや身分証明書に利用されている現行のICカードは、公開鍵暗号（RSAや楕円曲線暗号など）に依存しています。しかし、十分な規模の量子コンピュータが登場すると、これらの暗号は短時間で解読されるリスクがあります。

　PQCへの移行が必要とされていますが、ICカードへの実装には大きな障壁がありましたが、接触・非接触の双方に対応したモデルを世界で初めて開発したことを発表しています。

1. 耐量子暗号とは何か
2. 量子コンピュータはなぜ素因数分解を一瞬で解けるのか
3. なぜ格子暗号を解くのが難しいのか

耐量子暗号とは何か
量子コンピュータはなぜ素因数分解を一瞬で解けるのか
1. どのような仕組みで解いているのか
2. 従来方式との比較
なぜ格子暗号を解くことは難しいのか

耐量子暗号とは何か

　耐量子暗号（PQC: Post-Quantum Cryptography）とは、将来実用化される高性能な量子コンピュータをもってしても解読が困難な、新しい数学的アルゴリズムに基づく暗号技術のことです。

　「耐量子計算機暗号」とも呼ばれ、現代のインターネットやセキュリティ基盤を根本から守り直すための国際的なプロジェクトとして急速に普及が進んでいます。

1. なぜ今、耐量子暗号が必要なのか

　現在、Webサイトの通信（HTTPS）、クレジットカード決済、マイナンバーカードなどで使われている「公開鍵暗号（RSA暗号や楕円曲線暗号）」は、「人間や既存のスーパーコンピュータでは解くのに何千年もかかる複雑な計算」に依存しています。

　しかし、量子コンピュータが完成すると状況が一変します。

ショアのアルゴリズムによる即時解読: 量子コンピュータ特有の計算手法を使うと、既存の暗号の根拠である「素因数分解」などが一瞬で解けてしまいます。
「今盗んで後で解読」する攻撃（SNDL攻撃）: 悪意のある第三者が、現在行き交う暗号化データをあらかじめ収集・保存しておき、将来量子コンピュータが完成した時点で一気に解読する「Store Now, Decrypt Later」という脅威がすでに発生しています。

2. 耐量子暗号の仕組み

　耐量子暗号は、量子コンピュータの得意分野（周期性の発見など）では解くことができない全く新しいタイプの数学問題を土台にしています。

方式	概要と特徴	主な用途・標準化アルゴリズム
格子暗号（Lattice-based）	多次元空間に並ぶ点（格子）の中から、指定された点に最も近い点を探す問題。処理速度とデータ量のバランスが良く、PQCの主流。	ML-KEM（鍵交換） ML-DSA（電子署名）
ハッシュベース暗号（Hash-based）	安全性が実証されている暗号学的ハッシュ関数を組み合わせた電子署名技術。理論的信頼性が非常に高い。	SLH-DSA（電子署名）
コードベース暗号（Code-based）	通信の誤り訂正符号（エラー訂正コード）の復号の難しさを利用。鍵サイズは大きいが非常に堅牢。	Classic McEliece など

3. 「耐量子暗号（PQC）」と「量子暗号（QKD）」の違い

　よく混同される2つですが、アプローチが根本的に異なります。

耐量子暗号（PQC）【数学的アプローチ】

仕組み: 「解くのが非常に難しい数学問題」を利用。

特徴: 既存のPCやサーバー、通信回線をそのまま使い、ソフトウェアの更新だけで導入可能。 コストが安く、地球規模のインターネットに適用できる。

量子暗号 / 量子鍵配送（QKD）【物理的アプローチ】

仕組み: 光子（光の粒子）の「観測すると状態が変わる」という量子力学の物理法則を利用。

特徴: 物理的に絶対に盗聴されないが、専用の光ファイバー回線や特殊な装置が必要で、距離制限やコストの課題がある。

4. 実際の導入状況：ハイブリッド方式での移行

　米国標準技術研究所（NIST）による標準化が完了し、現在は既存の暗号とPQCを同時に使う「ハイブリッド方式」での移行が進められています。

　万が一PQC側の新しいアルゴリズムに未知の弱点が見つかった場合でも、従来の暗号で安全性を担保しつつ、量子コンピュータからの攻撃も防ぐ安全策として、Webブラウザ（Chromeなど）やクラウドインフラ（Cloudflare, AWSなど）で先行導入が始まっています。

量子コンピュータはなぜ素因数分解を一瞬で解けるのか

　量子コンピュータが巨大な数の素因数分解を一瞬で解けるのは、すべての数字を1つずつ力任せに割り算しているからではありません。

　「ショアのアルゴリズム（Shor’s Algorithm）」を用いて、「素因数分解」という難問を「波の周期（リズム）を探す問題」にすり替え、量子力学の性質でその周期を一発で読み取っているからです。

どのような仕組みで解いているのか

仕組みは大きく4つのステップに分かれます。

1. 数学のトリック：素因数分解を「周期探し」に変える

　巨大な数 N を素因数分解したいとき、適当な数 x を選んで次のような「余りの計算」を繰り返します。

　f(a) = x^a （mod N）

　この計算結果は、a を増やしていくと必ずある特定の周期（リズム）r で同じ数字を繰り返します。

　数学的に、「この周期 rさえ特定できれば、高校数学レベルの簡単な計算（最大公約数を求めるユークリッドの互除法）で即座に素数が計算できる」ことが証明されています。

2. 量子重ね合わせ：すべての可能性を同時に計算する

　周期 r を探すには、本来なら x¹, x², x³ ・・・と膨大な回数の計算をする必要があります。

従来のコンピュータ: 1つずつ順番に試すため、何千年もかかる。
量子コンピュータ: 量子の「重ね合わせ（Superposition）」を利用し、あらゆる a の候補に対する計算を同時に並列処理します。

3. 量子フーリエ変換：正しい周期（リズム）だけを増幅させる

　重ね合わせ状態の計算結果は「様々な周波数が混ざった複雑な波」のような状態になっています。

　ここで「量子フーリエ変換（QFT）」を行い、波の「干渉（Interference）」を起こさせます。

ズレた波（間違った周期）: お互いに打ち消し合って消滅する（相殺）
揃った波（正しい周期 r）: 重なり合って著しく強まる（増幅）

　ノイズキャンセリングの逆のように、正しい周期 r の波だけが強調されて浮き彫りになります。これを観測（測定）することで、一瞬で周期 r が手に入ります。

4. 仕上げ：簡単な古典計算で素数を取り出す

　得られた周期 r を使って、以下の最大公約数 gcd を計算します。

　\gcd(x^r/2 – 1, N)　および　gcd(x^r/2 + 1, N)

　この計算は通常のPCや電卓でも一瞬で完了し、目的の素因数（N を割れる素数）が得られます。

従来方式との比較

項目	従来のスーパーコンピュータ	量子コンピュータ（ショアのアルゴリズム）
アプローチ	割り切れる素数を順番に試す	問題を「波の周期探し」に変えて波を干渉させる
計算時間の増え方	桁数に対して指数関数的（桁が増えると絶望的）	桁数に対して多項式時間（現実的な速度）
たとえ	開かない金庫のダイヤルを全パターン試す	金庫の内部構造を波でスキャンして一発で解鍵する

　「並列計算で全パターンを片っ端から計算している」と思われがちですが、実際には「量子力学で正解の波だけを強め合わせて一瞬で読み取る」という非常に優雅な数学的アプローチをとっています。

なぜ格子暗号を解くことは難しいのか

　格子暗号（Lattice-based Cryptography）が量子コンピュータをもってしても解くのが困難な最大の理由は、「高次元空間における格子問題の幾何学的な難しさ」にあります。

　直感的に言えば、「何百〜何千次元もの歪んだ超空間の中で、一番近い点や特定の規則性を見つけることが、あまりに複雑で計算量が爆発するから」です。

　具体的には、以下の3つの要素が重なることで強固な安全性が作られています。

1. 「良い基底」と「悪い基底」のトリック

　格子とは、空間上に一定の間隔で規則正しく並んだ「点（格子点）」の集合です。この格子を定義するベクトルの組を「基底（ベース）」と呼びます。

　格子暗号では、同じ格子を表現するのに「扱いやすい基底」と「極めて扱いづらい基底」が存在するという性質を利用します。

良い基底（秘密鍵）: ベクトル同士が直角に近く、長さが短い。これを使うと、近くの格子点がどこにあるかを一瞬で計算できる。
悪い基底（公開鍵）: ベクトルが非常に長く、互いにきわめて鋭角に傾いている。格子全体がどう広がっているかの全貌が掴めず、計算が極めて困難になる。

　暗号を作る側は「良い基底」を隠して「悪い基底」だけを公開します。暗号を解く（解読する）側は、「歪みきった悪い基底」だけを手がかりに、格子上の正しい位置関係を割り出さなければならないため、難易度が跳ね上がります。

2. 解くのを阻む2つの難問（SVPとLWE）

　格子暗号の安全性を支えているのは、数学的に解くのが極めて難しいとされる以下の標準問題です。

① 最短ベクトル問題（SVP: Shortest Vector Problem）

　「与えられた格子の中で、原点（0）に最も近い（＝長さが最も短い）格子点を見つけよ」という問題です。悪い基底しか持たない場合、すべての組み合わせを計算しないと最短の点が見つかりません。

② 誤差学習問題（LWE: Learning With Errors）

　実用的な暗号（ML-KEMなど）でよく使われる問題です。

　通常の連立一次方程式であれば、中学校で習うように簡単に解けます。

　しかし、計算結果にわざと小さな「ランダムなノイズ（誤差）」を付け加えると、一気に難易度が変わります。

ノイズが混ざることで行列の逆計算ができなくなり、ノイズを取り除きながら正しい変数を特定するには、事実上すべての候補をローラー作戦で探すしかなくなります。

3. 次元の呪い（高次元空間の壁）

　2次元（平面）や3次元（空間）であれば、歪んだ基底からでも作図や簡単な計算で「一番近い点」を見つけることができます。

しかし、実際の格子暗号では n = 500 ～ 1000 次元以上の超高次元空間 が使われます。

　次元数が上がると、探索すべき方向や組み合わせが指数関数的（2ⁿ のオーダー）に増大します。これを「次元の呪い」と呼び、どれほど優れたアルゴリズムを用いてもスーパーコンピュータの処理能力を遥かに超えてしまいます。

なぜ量子コンピュータでも解けないのか？

　素因数分解を解いた「ショアのアルゴリズム」は、代数的な「きれいな周期（リズム）」を量子フーリエ変換で読み取る手法でした。

　しかし、格子暗号の「高次元空間でノイズに埋もれた最短点を探す問題」には、一発で抽出しやすいグローバルな周期性が存在しません。

　量子コンピュータの「重ね合わせ」や「干渉」を使っても、探索の手間を根本的に省くショートカット（指数関数的な加速）が存在しないと考えられているため、量子時代においても安全とされています。