Security on kenji.blog

格子暗号（Lattice-based cryptography）の数学的直観

Fri, 11 Sep 2026 21:00:00 +0900

1. 導入：ポスト量子暗号（PQC）の夜明けと格子暗号の台頭

現代社会のデジタルインフラを支えているのは、RSA暗号や楕円曲線暗号（ECC）をはじめとする公開鍵暗号技術です。これらの暗号方式は、「素因数分解問題」や「離散対数問題」といった、従来の古典コンピュータでは効率的に解くことができない（指数関数的な時間を要する）と信じられている数学的な困難性に安全性の根拠を置いています。

しかし、1994年にピーター・ショア（Peter Shor）によって発表された「Shorのアルゴリズム」は、暗号界に激震を走らせました。このアルゴリズムは、大規模な量子コンピュータが実現した暁には、素因数分解問題や離散対数問題を多項式時間で解いてしまうことを数学的に証明したのです。これはつまり、現在広く利用されている公開鍵暗号が、将来的に完全に解読可能になってしまうということを意味しています。

このような「量子コンピュータの脅威（Quantum Threat）」に対抗するため、量子コンピュータを用いても解読が困難な新しい暗号方式の研究が急務となりました。これが「ポスト量子暗号（Post-Quantum Cryptography: PQC）」または「耐量子計算機暗号」と呼ばれる分野です。

PQCにはいくつかの有力な候補が存在します。ハッシュベース暗号、符号ベース暗号、多変数多項式暗号、同種写像暗号などが挙げられますが、その中でも現在最も注目を集め、NIST（米国国立標準技術研究所）によるPQC標準化プロセスの中心となっているのが「格子暗号（Lattice-based cryptography）」です。格子暗号は、他の方式と比較して、暗号化・復号の処理速度が非常に高速であり、また「最悪時計算量（Worst-case complexity）」から「平均時計算量（Average-case complexity）」への帰着という、暗号理論において極めて強力な安全性の証明を持つという際立った特徴を持っています。

本記事では、この格子暗号の基礎となる「格子（Lattice）」の数学的定義から出発し、格子上の困難な問題であるSVP（最短ベクトル問題）やCVP（最近接ベクトル問題）、そして現代の格子暗号の心臓部とも言える「LWE問題（Learning With Errors）」について、数式と幾何学的な直観、そして具体的な数値例を交えて、徹底的に深く解説していきます。

2. 格子（Lattice）の数学的定義と幾何学的直観

2.1 ベクトル空間と格子

数学において、「格子（Lattice）」とは、$n$次元実ベクトル空間 $\mathbb{R}^n$ 内に規則正しく並んだ離散的な点の集合のことです。線形代数学で学ぶベクトル空間（Vector Space）と似ていますが、決定的な違いがあります。ベクトル空間が基底ベクトルの「実数係数」での線形結合で表される連続的な空間であるのに対し、格子は基底ベクトルの「整数係数」での線形結合で表される離散的な空間です。

数学的な厳密な定義を与えましょう。$m$次元実ベクトル空間 $\mathbb{R}^m$ における $n$ 本（$n \le m$）の線形独立なベクトル $\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n$ を考えます。これらのベクトルを列ベクトルとして持つ行列を $B = [\mathbf{b}_1, \mathbf{b}_2, \dots, \mathbf{b}_n] \in \mathbb{R}^{m \times n}$ とします。この $B$ を格子の「基底（Basis）」と呼びます。

この基底 $B$ によって生成される格子 $\mathcal{L}(B)$ は、次のように定義されます。

$$ \mathcal{L}(B) = \left\{ \sum_{i=1}^{n} x_i \mathbf{b}_i \mathrel{\bigg|} x_i \in \mathbb{Z} \right\} = \{ B \mathbf{x} \mid \mathbf{x} \in \mathbb{Z}^n \} $$

ここで重要なのは、係数 $x_i$ が実数 $\mathbb{R}$ ではなく、整数 $\mathbb{Z}$ に限定されているという点です。これにより、空間内に無数に存在する連続的な点ではなく、等間隔に配置された交差点のような「離散的な点の集合」が形成されます。

2.2 幾何学的なイメージ

2次元平面 $\mathbb{R}^2$ の例で考えてみましょう。基底ベクトルとして $\mathbf{b}_1 = \begin{pmatrix} 1 \\ 0 \end{pmatrix}$ と $\mathbf{b}_2 = \begin{pmatrix} 0 \\ 1 \end{pmatrix}$ を選んだ場合、これらによって生成される格子は、座標平面上のすべての整数座標 $(x, y) \in \mathbb{Z}^2$ の集合となります。これは最も単純な「正方格子」です。

しかし、格子は常に直交しているわけではありません。例えば、$\mathbf{b}_1 = \begin{pmatrix} 2 \\ 1 \end{pmatrix}$ と $\mathbf{b}_2 = \begin{pmatrix} 1 \\ 3 \end{pmatrix}$ という基底を考えると、生成される点は斜めに歪んだ網目の交点のようになります。

2.3 基底の非一意性とユニモジュラ変換

格子暗号の安全性の根幹に関わる重要な性質があります。それは、「同一の格子を生成する基底は無数に存在する」ということです。

例えば、先ほどの $\mathbf{b}_1 = (1, 0)^T, \mathbf{b}_2 = (0, 1)^T$ という基底が生成する $\mathbb{Z}^2$ 格子は、$\mathbf{b}'_1 = (1, 1)^T, \mathbf{b}'_2 = (2, 3)^T$ という基底を使っても全く同じ格子 $\mathbb{Z}^2$ を生成します。

ある基底 $B$ と別の基底 $B'$ が同じ格子を生成するための必要十分条件は、ある整数成分の行列 $U \in \mathbb{Z}^{n \times n}$ であって、行列式が $\det(U) = \pm 1$ となるものが存在し、

$$ B' = B U $$

と表せることです。このような行列 $U$ を「ユニモジュラ行列（Unimodular matrix）」と呼びます。

暗号への応用における基本的なアイデアは、「良い基底（直交に近く、短いベクトルからなる基底）」を秘密鍵とし、「悪い基底（互いに極端に斜交し、非常に長いベクトルからなる基底）」を公開鍵として用いることです。悪い基底から良い基底を計算で求めることは、次元が高くなると非常に困難になります。これが格子暗号の基本的な直観です。

3. 格子における計算困難な問題

格子暗号の安全性は、格子上の特定の数学的問題を解くことの困難性に依存しています。ここでは、最も基本的かつ有名な2つの問題を紹介します。

3.1 最短ベクトル問題（Shortest Vector Problem: SVP）

SVPは、格子理論において最も古典的で有名な問題です。

定義（SVP）: 任意の格子基底 $B$ が与えられたとき、その格子 $\mathcal{L}(B)$ に属する非ゼロベクトルの中で、ユークリッドノルム（長さ）が最小となるベクトル $\mathbf{v}$ を見つけよ。

数式で表すと、$\min_{\mathbf{v} \in \mathcal{L}(B) \setminus \{\mathbf{0}\}} \| \mathbf{v} \|$ となる $\mathbf{v}$ を求める問題です。この最小の長さを $\lambda_1(\mathcal{L})$ と書き、「格子の第一連続最小値（First successive minimum）」と呼びます。

2次元や3次元の低い次元であれば、図を描けば目で見て一番短いベクトルを見つけることができます。あるいは、ガウスの格子簡約アルゴリズムなどを使って効率的に解くことができます。しかし、次元 $n$ が数百〜数千といった高次元になると、SVPを厳密に解くことはNP困難であることが知られています。

現実の暗号では、厳密な最短ベクトルではなく、「近似的に短いベクトル」を見つける近似SVP（$\gamma$-SVP）が用いられます。近似係数 $\gamma$ が多項式サイズの場合、この問題は依然として非常に難しいと考えられています。

3.2 最近接ベクトル問題（Closest Vector Problem: CVP）

CVPもまた、格子暗号において極めて重要な問題です。

定義（CVP）: 任意の格子基底 $B$ と、空間内の任意のターゲットベクトル $\mathbf{t} \in \mathbb{R}^m$ （必ずしも格子点ではない）が与えられたとき、格子点の中で $\mathbf{t}$ に最も近い格子点 $\mathbf{v} \in \mathcal{L}(B)$ を見つけよ。

数式で表すと、$\min_{\mathbf{v} \in \mathcal{L}(B)} \| \mathbf{v} - \mathbf{t} \|$ となる格子点 $\mathbf{v}$ を探す問題です。

CVPもSVPと同様に、高次元においてはNP困難です。暗号への応用という観点では、後述するLWE問題は、このCVPの特殊な変種（Bounded Distance Decoding: BDD）と密接な関係があります。

3.3 なぜ高次元になると解けないのか？（LLLとBKZの限界）

高次元の格子問題を解くための有名なアルゴリズムとして、LLLアルゴリズム（Lenstra-Lenstra-Lovász algorithm）があります。LLLアルゴリズムは多項式時間で動作し、格子基底をある程度「良い基底」に簡約（Reduction）することができます。しかし、LLLアルゴリズムが見つけることができる最短ベクトルは、真の最短ベクトルの長さに対して指数関数的（$2^{\mathcal{O}(n)}$）な近似係数を持つため、暗号の安全性を破るには至りません。

LLLを改良したBKZ（Block Korkine-Zolotarev）アルゴリズムなどのより強力な基底簡約アルゴリズムを用いれば、より短いベクトルを見つけることができますが、その計算量はブロックサイズに対して指数関数的に増大します。格子暗号では、このBKZアルゴリズムの実行時間を見積もることで、安全なパラメータ（次元 $n$ の大きさなど）を決定しています。現在のPQCの標準パラメータでは、次元 $n$ は500から1000以上の値が選ばれており、スーパーコンピュータや将来の量子コンピュータを用いても解読には宇宙の年齢以上の時間がかかるとされています。

4. LWE問題（Learning With Errors）の数学的定式化

現代の格子暗号の大部分は、2005年にOded Regevによって提唱された「LWE問題（Learning With Errors）」をベースにしています。LWE問題の美しさは、その定式化のシンプルさと、「最悪時計算量から平均時計算量への帰着」という強力な数学的証明を持っている点にあります。

4.1 ノイズなしの連立一次方程式

LWE問題を理解するために、まずはノイズのない単純な連立一次方程式を考えてみましょう。未知の秘密ベクトル $\mathbf{s} \in \mathbb{Z}_q^n$ （各成分は $0$ から $q-1$ の整数）があるとします。ここで $q$ は素数とします。

ランダムな係数ベクトル $\mathbf{a}_1, \mathbf{a}_2, \dots \in \mathbb{Z}_q^n$ を選び、秘密ベクトル $\mathbf{s}$ との内積を法 $q$ で計算します。 $b_1 = \langle \mathbf{a}_1, \mathbf{s} \rangle \pmod q$ $b_2 = \langle \mathbf{a}_2, \mathbf{s} \rangle \pmod q$ $\vdots$

十分な数（$n$個以上）の $(\mathbf{a}_i, b_i)$ のペアを与えられた場合、私たちは線形代数における「ガウスの消去法（Gaussian elimination）」を用いることで、容易に秘密ベクトル $\mathbf{s}$ を復元することができます。これは多項式時間で簡単に解ける問題です。

4.2 LWE問題の定義：ノイズを加える

では、この問題にわずかな「ノイズ（誤差）」を加えたらどうなるでしょうか？これがLWE問題の本質です。

未知の秘密ベクトル $\mathbf{s} \in \mathbb{Z}_q^n$ に対して、各方程式の結果に小さな誤差 $e_i \in \mathbb{Z}_q$ を加えます。 $b_i = \langle \mathbf{a}_i, \mathbf{s} \rangle + e_i \pmod q$

ここで、$e_i$ は平均0、標準偏差が比較的小さい（例えば正規分布のような、離散ガウス分布から選ばれた）小さな整数値です。与えられる情報は、ランダムなベクトル $\mathbf{a}_i$ と、それに誤差を加えて計算された $b_i$ のペアのリストです。 $( \mathbf{a}_1, b_1 ), ( \mathbf{a}_2, b_2 ), \dots, ( \mathbf{a}_m, b_m )$

これを行列で表現すると非常にスッキリします。ランダムな行列 $A \in \mathbb{Z}_q^{m \times n}$、秘密ベクトル $\mathbf{s} \in \mathbb{Z}_q^n$、誤差ベクトル $\mathbf{e} \in \mathbb{Z}_q^m$ を用いて、

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q $$

と書けます。与えられるのは $A$ と $\mathbf{b}$ のみです。ここから $\mathbf{s}$ を求めるのが「探索LWE問題（Search LWE problem）」です。

誤差 $e_i$ が入っているため、ガウスの消去法を使おうとすると、方程式を足し引きする過程で誤差が指数関数的に増幅してしまい、正しい答えに辿り着くことができなくなります。一見すると単純な連立一次方程式に見えますが、この小さなノイズが加わるだけで、問題の難易度がNP困難なレベルへと跳ね上がるのです。

4.3 決定LWE問題（Decision LWE）

暗号理論の証明において頻繁に用いられるのは、探索LWE問題のバリエーションである「決定LWE問題（Decision LWE problem）」です。

決定LWE問題とは、以下の2つの分布から得られたサンプルのリストを与えられたとき、それがどちらの分布から来たものかを判定する問題です。

LWE分布: 意図的に計算された $(A, \mathbf{b} = A\mathbf{s} + \mathbf{e} \pmod q)$
一様ランダム分布: 完全にランダムに選ばれた行列 $A$ とベクトル $\mathbf{u}$ からなる $(A, \mathbf{u})$

驚くべきことに、LWE問題のパラメータを適切に選べば、LWE分布から得られたペアは、完全にランダムなデータのペアと「計算量的に識別不可能（Computationally Indistinguishable）」になります。この性質が、LWEベースの暗号が「乱数と区別がつかない暗号文」を生成できる根拠となっています。

4.4 最悪時計算量から平均時計算量への帰着（Regevの定理）

Oded Regevの最大の功績は、このLWE問題の難しさを、前述の格子問題（SVPやCVP）の難しさに数学的に結びつけたことです。

彼は量子還元（Quantum reduction）を用いて、「もしLWE問題を平均的に（ランダムに選ばれた $A$ と $\mathbf{e}$ に対して）解くことができる多項式時間のアルゴリズムが存在するならば、任意の格子の最悪ケース（最も難しいケース）のGap-SVPを解くことができる多項式時間の量子アルゴリズムが存在する」ということを証明しました。（後に、Peikertらによって古典的な還元も示されています）。

これは暗号理論において夢のような性質です。なぜなら、「暗号が破られるのは、我々がたまたま弱い鍵（平均的なケースの一部）を選んでしまったからかもしれない」という懸念を払拭し、「平均的なLWEが解けるなら、格子の全ての難しい問題が解けてしまう（だからLWEは絶対に難しい）」という強力な保証を与えてくれるからです。

graph TD A["Worst-case Lattice Problems (Gap-SVP, SIVP)"] -->|Quantum/Classical Reduction| B["Average-case LWE Problem"] B -->|Cryptographic Construction| C["LWE-based Cryptosystems (PKE, KEM, FHE)"] style A fill:#ffcccc,stroke:#ff0000,stroke-width:2px,color:#000 style B fill:#ccffcc,stroke:#00aa00,stroke-width:2px,color:#000 style C fill:#ccccff,stroke:#0000ff,stroke-width:2px,color:#000

5. LWEを用いた公開鍵暗号方式（Regev暗号）の構築

LWE問題の困難性を理解したところで、それを使ってどのように暗号化と復号を行うのか、Oded Regevが提案した基本的な公開鍵暗号方式を見ていきましょう。ここでは、1ビットのメッセージ $M \in \{0, 1\}$ を暗号化する最も基本的な仕組みを解説します。

5.1 鍵生成（Key Generation）

システムパラメータとして、法となる素数 $q$、次元 $n$、方程式の数 $m$（$m > n \log q$）を決定します。
秘密鍵として、ベクトル $\mathbf{s} \in \mathbb{Z}_q^n$ をランダムに選びます。
ランダムな行列 $A \in \mathbb{Z}_q^{m \times n}$ を生成します。
小さな誤差ベクトル $\mathbf{e} \in \mathbb{Z}_q^m$ を離散ガウス分布などの誤差分布から選びます。
ベクトル $\mathbf{b} = A \mathbf{s} + \mathbf{e} \pmod q$ を計算します。
公開鍵（Public Key）は $(A, \mathbf{b})$ となります。
秘密鍵（Secret Key）は $\mathbf{s}$ となります。

公開鍵はまさに「LWE問題のインスタンス」そのものです。公開鍵 $(A, \mathbf{b})$ から秘密鍵 $\mathbf{s}$ を求めることは、探索LWE問題を解くことに等しいため、安全性が保証されます。

5.2 暗号化（Encryption）

アリスはボブの公開鍵 $(A, \mathbf{b})$ を用いて、1ビットのメッセージ $M \in \{0, 1\}$ を暗号化します。

ランダムなバイナリベクトル（成分が0か1）$\mathbf{r} \in \{0, 1\}^m$ を選びます。
暗号文の前半部分として、ベクトル $\mathbf{u} = A^T \mathbf{r} \pmod q$ を計算します。（$A^T$ は $A$ の転置行列です。つまり、$A$ の行のうち、$\mathbf{r}$ の成分が1である行を足し合わせています）。
暗号文の後半部分として、スカラー $v = \mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q$ を計算します。（メッセージ $M$ が0なら何も足さず、$1$ なら $q$ のちょうど半分の値 $\lfloor \frac{q}{2} \rfloor$ を足します）。
暗号文（Ciphertext）は $(\mathbf{u}, v)$ となります。

暗号化の直観的な意味合いは、公開鍵の行列 $A$ とベクトル $\mathbf{b}$ に対して、「ランダムな部分集合の和」をとることです。決定LWE問題の困難性により、この暗号文 $(\mathbf{u}, v)$ は、完全にランダムなベクトルと一様乱数と区別がつかないように見えます（意味的安全性：Semantic Security）。

flowchart LR M["Message M in {0,1}"] --> Enc PK["Public Key (A, b)"] --> Enc r["Random binary vector r"] --> Enc subgraph Enc ["Encryption Process"] direction TB u_calc["u = A^T * r mod q"] v_calc["v = b^T * r + M * floor(q/2) mod q"] end Enc --> CT["Ciphertext (u, v)"]

5.3 復号（Decryption）

ボブは秘密鍵 $\mathbf{s}$ を用いて暗号文 $(\mathbf{u}, v)$ を復号します。

次の値を計算します： $D = v - \mathbf{s}^T \mathbf{u} \pmod q$
計算した結果が、$0$ に近ければ $M=0$、$\lfloor \frac{q}{2} \rfloor$ に近ければ $M=1$ として出力します。

なぜこれで復号できるのか、数学的に展開してみましょう。 $\mathbf{b} = A \mathbf{s} + \mathbf{e}$ であったことを思い出してください。

$$ \begin{aligned} v - \mathbf{s}^T \mathbf{u} &= (\mathbf{b}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T (A^T \mathbf{r}) \\ &= ((A \mathbf{s} + \mathbf{e})^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= (\mathbf{s}^T A^T \mathbf{r} + \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor) - \mathbf{s}^T A^T \mathbf{r} \\ &= \mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor \pmod q \end{aligned} $$

ここで、式の中から $\mathbf{s}^T A^T \mathbf{r}$ が綺麗に相殺されて消えました！残ったのは $\mathbf{e}^T \mathbf{r} + M \cdot \lfloor \frac{q}{2} \rfloor$ です。

$\mathbf{e}$ は成分が非常に小さなノイズベクトルであり、$\mathbf{r}$ は成分が0か1のバイナリベクトルです。したがって、それらの内積である $\mathbf{e}^T \mathbf{r}$ も、（パラメータを適切に選べば）比較的小さな値に留まります。

もし $M=0$ ならば、結果は $\mathbf{e}^T \mathbf{r}$ となり、$0$ に近い小さな値になります。
もし $M=1$ ならば、結果は $\mathbf{e}^T \mathbf{r} + \lfloor \frac{q}{2} \rfloor$ となり、$q$ の半分の値 $\lfloor \frac{q}{2} \rfloor$ の周辺に位置することになります。

誤差 $\mathbf{e}^T \mathbf{r}$ の絶対値が $\frac{q}{4}$ 未満に収まるようにパラメータが設計されていれば、ボブは計算結果が $0$ と $\lfloor \frac{q}{2} \rfloor$ のどちらに近いかを見るだけで、メッセージ $M$ を正確に判定（復号）することができます。これがLWEベースの暗号が機能する美しいメカニズムです。

flowchart LR CT["Ciphertext (u, v)"] --> Dec SK["Secret Key s"] --> Dec subgraph Dec ["Decryption Process"] direction TB calc["Compute D = v - s^T * u mod q"] check["Check if D is closer to 0 or q/2"] end calc --> check Dec --> M_out["Recovered Message M"]

6. 具体的な数値を用いたLWE暗号のトイ・エグザンプル

数式の羅列だけでは実感が湧きにくいと思いますので、実際に非常に小さな数値パラメータを設定して、暗号化から復号までの計算を追ってみましょう。（※現実の暗号システムでは、安全性確保のため $n$ は500以上、$q$ は数千以上の値が使われます）

【パラメータ設定】

法 $q = 17$ （素数。したがって値は $0$ から $16$ の範囲をとります）
次元 $n = 2$
方程式の数 $m = 4$
メッセージ $M = 1$ を暗号化するとします。
メッセージのシフト量：$\lfloor \frac{q}{2} \rfloor = \lfloor \frac{17}{2} \rfloor = 8$

【1. 鍵生成フェーズ】 ボブは秘密鍵 $\mathbf{s}$ と行列 $A$、誤差ベクトル $\mathbf{e}$ をランダムに選びます。

$$ \mathbf{s} = \begin{pmatrix} 3 \\ 4 \end{pmatrix} \in \mathbb{Z}_{17}^2 $$ $$ A = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \in \mathbb{Z}_{17}^{4 \times 2} $$ $$ \mathbf{e} = \begin{pmatrix} 1 \\ -1 \\ 0 \\ 2 \end{pmatrix} \equiv \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} \pmod{17} $$

次に公開鍵 $\mathbf{b}$ を計算します。

$$ A \mathbf{s} = \begin{pmatrix} 2 & 15 \\ 1 & 8 \\ 14 & 5 \\ 9 & 10 \end{pmatrix} \begin{pmatrix} 3 \\ 4 \end{pmatrix} = \begin{pmatrix} 2\times 3 + 15\times 4 \\ 1\times 3 + 8\times 4 \\ 14\times 3 + 5\times 4 \\ 9\times 3 + 10\times 4 \end{pmatrix} = \begin{pmatrix} 6 + 60 \\ 3 + 32 \\ 42 + 20 \\ 27 + 40 \end{pmatrix} = \begin{pmatrix} 66 \\ 35 \\ 62 \\ 67 \end{pmatrix} $$

これを法 17 で計算します。($66 = 17 \times 3 + 15$ など)

$$ A \mathbf{s} \pmod{17} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} $$

誤差ベクトル $\mathbf{e}$ を足します。

$$ \mathbf{b} = A \mathbf{s} + \mathbf{e} = \begin{pmatrix} 15 \\ 1 \\ 11 \\ 16 \end{pmatrix} + \begin{pmatrix} 1 \\ 16 \\ 0 \\ 2 \end{pmatrix} = \begin{pmatrix} 16 \\ 17 \\ 11 \\ 18 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 0 \\ 11 \\ 1 \end{pmatrix} \pmod{17} $$

公開鍵は $A$ と $\mathbf{b} = (16, 0, 11, 1)^T$ となります。

【2. 暗号化フェーズ】 アリスはメッセージ $M = 1$ を暗号化します。ランダムなベクトル $\mathbf{r}$ を選びます。ここでは $\mathbf{r} = (1, 0, 1, 0)^T$ とします。

$\mathbf{u}$ を計算します。

$$ \mathbf{u} = A^T \mathbf{r} = \begin{pmatrix} 2 & 1 & 14 & 9 \\ 15 & 8 & 5 & 10 \end{pmatrix} \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = \begin{pmatrix} 2 \times 1 + 14 \times 1 \\ 15 \times 1 + 5 \times 1 \end{pmatrix} = \begin{pmatrix} 16 \\ 20 \end{pmatrix} \equiv \begin{pmatrix} 16 \\ 3 \end{pmatrix} \pmod{17} $$

$v$ を計算します。

$$ \mathbf{b}^T \mathbf{r} = (16, 0, 11, 1) \begin{pmatrix} 1 \\ 0 \\ 1 \\ 0 \end{pmatrix} = 16 \times 1 + 11 \times 1 = 27 \equiv 10 \pmod{17} $$

メッセージ $M=1$ に対応する値 $\lfloor 17/2 \rfloor = 8$ を足します。

$$ v = \mathbf{b}^T \mathbf{r} + M \cdot 8 = 10 + 1 \times 8 = 18 \equiv 1 \pmod{17} $$

アリスは暗号文として $(\mathbf{u}, v) = \left( \begin{pmatrix} 16 \\ 3 \end{pmatrix}, 1 \right)$ をボブに送信します。

【3. 復号フェーズ】 暗号文を受け取ったボブは、秘密鍵 $\mathbf{s} = (3, 4)^T$ を用いて復号します。復号処理式： $D = v - \mathbf{s}^T \mathbf{u} \pmod{17}$ を計算します。

$$ \mathbf{s}^T \mathbf{u} = (3, 4) \begin{pmatrix} 16 \\ 3 \end{pmatrix} = 3 \times 16 + 4 \times 3 = 48 + 12 = 60 \equiv 9 \pmod{17} $$ $$ D = v - \mathbf{s}^T \mathbf{u} = 1 - 9 = -8 \pmod{17} $$

ここで、法17の世界では $-8$ は $9$ に等しくなります（$-8 + 17 = 9$）。得られた値 $D = 9$ を、$0$ と $8$（$\lfloor 17/2 \rfloor$）のどちらに近いか判定します。 $9$ は $0$ よりも $8$ に明らかに近いため、ボブは正しく $M = 1$ を復元することができました！

なぜ $9$ になったのでしょうか？先ほどの証明を思い出しましょう。誤差部分は $\mathbf{e}^T \mathbf{r} = (1, -1, 0, 2) (1, 0, 1, 0)^T = 1 \times 1 + 0 \times 1 = 1$ となっています。したがって、計算結果は $\mathbf{e}^T \mathbf{r} + M \cdot 8 = 1 + 8 = 9$ となり、理論通りの値が計算されていることが確認できました。

7. 実用化に向けた進化：Ring-LWE と Module-LWE

これまで説明してきた標準的なLWE問題（Standard LWE）は、非常に強力な安全性証明を持っていますが、実用上において致命的な弱点があります。それは「鍵のサイズが巨大になること」と「計算コストが高いこと」です。

Standard LWEでは、公開鍵に巨大な行列 $A \in \mathbb{Z}_q^{m \times n}$ が含まれます。パラメータ $n$ が数百〜数千になると、この行列のサイズは数メガバイトに達してしまい、インターネット上の通信プロトコル（TLSなど）で毎回送受信するには重すぎます。また、行列とベクトルの乗算には $\mathcal{O}(n^2)$ の計算量がかかります。

この問題を解決するために導入されたのが、多項式環（Polynomial rings）という代数的な構造を格子に組み込んだ「Ring-LWE（RLWE）」や「Module-LWE（MLWE）」です。

7.1 Ring-LWEの直観

Ring-LWEでは、ベクトルや行列を、多項式環 $\mathcal{R}_q = \mathbb{Z}_q[X]/(X^n + 1)$ 上の要素（多項式）に置き換えます。（ここで $n$ は2の冪乗が選ばれます）。

Standard LWEの公開鍵が行列 $A$ であったのに対し、Ring-LWEでは単一の多項式 $a(x)$ を用います。秘密鍵 $s(x)$ や誤差 $e(x)$ も多項式になります。方程式は以下のようになります。

$$ b(x) = a(x) \cdot s(x) + e(x) \pmod q $$

これは多項式の掛け算なので、高速フーリエ変換（FFT）に類似した「数論変換（Number Theoretic Transform: NTT）」を用いることで、計算量を $\mathcal{O}(n \log n)$ にまで劇的に削減できます。さらに、公開鍵のサイズも行列から単一の多項式へと小さくなるため、データサイズが $\mathcal{O}(n)$ に削減されます。これは通信帯域において圧倒的な優位性をもたらします。

数学的に見ると、Ring-LWEは一般的な格子ではなく、「イデアル格子（Ideal Lattice）」と呼ばれる特殊な対称性を持った格子上の問題に帰着します。

7.2 Module-LWEとNISTの標準化（Kyber / ML-KEM）

Ring-LWEは効率的ですが、イデアル格子の特殊な代数的構造が将来的な攻撃の糸口になるのではないかという一抹の懸念がありました。そこで、Standard LWEの保守的な安全性とRing-LWEの効率性の「いいとこ取り」をしたのが「Module-LWE（MLWE）」です。

Module-LWEでは、多項式を要素とする小さな行列とベクトルを考えます。つまり、環上のモジュール（加群）を扱います。現在、NISTがPQCの鍵共有アルゴリズム（KEM）の標準として選定した「CRYSTALS-Kyber」（標準化名称：ML-KEM）は、まさにこのModule-LWE問題の困難性に基づいて構築されています。

8. なぜ量子コンピュータに対して安全なのか？

最後に、「なぜ格子暗号は量子コンピュータを用いても解読されないと考えられているのか？」という核心部分に触れておきます。

量子コンピュータがRSA暗号や楕円曲線暗号を破るShorのアルゴリズムは、本質的には「隠れ部分群問題（Hidden Subgroup Problem: HSP）」を解くアルゴリズムです。RSAやECCの背景にある数学的構造（有限アーベル群）は周期性を持っており、量子フーリエ変換（QFT）という量子アルゴリズム特Actions:特有の操作を用いることで、この周期（隠れた部分群）を一気に抽出することができます。

しかし、格子問題は根本的に異なります。格子にも周期性はありますが、SVPやCVPで求められているのは「最短の距離」や「ノイズの除去」という幾何学的な非線形な性質です。Shorのアルゴリズムのような「アーベル群上の量子フーリエ変換」をそのまま適用しても、格子問題の解答となる有用な情報を効率的に抽出することができません。現在までに、SVPやLWEに対して多項式時間で解くことができる量子アルゴリズムは発見されておらず、量子コンピュータの並列計算能力をもってしても総当たりに近い探索（グローバーのアルゴリズムによる平方根の高速化程度）しか有効な手段がないと広く信じられています。

9. まとめ

本記事では、格子暗号の数学的直観について、格子の幾何学的定義から始まり、LWE問題の定式化、そして公開鍵暗号の構築に至るまで詳細に解説しました。

格子（Lattice） は、基底ベクトルの整数係数線形結合で表される離散的な空間であり、高次元においては直交に近い「良い基底」を見つけること（SVP）が困難になります。
LWE問題（Learning With Errors） は、ノイズ付きの連立一次方程式を解く問題であり、これが格子の最悪ケース問題の困難性に結びついているため、強力な安全性の根拠を提供します。
LWE問題を利用することで、ノイズを意図的に加えたり消去したりする巧妙な仕組みにより、暗号化と復号（Regev暗号）が実現されます。
現実のプロトコルでは、通信効率と計算速度を高めるために多項式環を用いた Ring-LWE や Module-LWE が採用されており、NIST標準の ML-KEM の基盤となっています。

量子コンピュータという未曾有の計算パラダイムシフトが迫る中、古典的な線形代数と整数論の深淵から生まれた「格子暗号」が、未来のインターネットセキュリティの基盤を担うというのは非常にロマンのある話です。格子暗号の基礎となる数学は決して難解すぎるものではなく、線形代数と確率の基礎知識があれば十分にその美しい構造を理解することができます。本記事が、PQCの核となる格子暗号の理解への一助となれば幸いです。

ゼロ知識証明（ZKP）の仕組みと最新のWeb3・セキュリティへの応用

Fri, 11 Sep 2026 19:00:00 +0900

はじめに

現代のデジタル社会において、データプライバシーとスケーラビリティは最も重要な課題の2つとなっています。個人情報の漏洩や不正利用のリスクが高まる中、「自分に関する情報を相手に明かすことなく、自分がその情報を持っていることを証明する」技術が強く求められています。これを実現するのが**ゼロ知識証明（Zero-Knowledge Proof: ZKP）**です。

ゼロ知識証明は、1980年代にShafi Goldwasser、Silvio Micali、Charles Rackoffによって初めて提唱された暗号理論の概念ですが、長らく理論的な研究にとどまっていました。しかし、ブロックチェーン技術とWeb3の台頭により、状況は一変しました。Ethereumなどのパブリックブロックチェーンが直面するスケーラビリティ問題（処理能力の限界）とプライバシー問題（すべてのトランザクションが公開されること）を同時に解決する「魔法の杖」として、ZKPは一躍脚光を浴びることとなったのです。

本記事では、ゼロ知識証明の基本的な概念から、現在主流となっているzk-SNARKsおよびzk-STARKsの深淵なる数学的・暗号学的メカニズム、そしてZK-Rollupsや分散型アイデンティティ（DID）といった最新のWeb3・セキュリティへの応用例に至るまで、極めて詳細かつ技術的に深く掘り下げて解説します。

ゼロ知識証明（ZKP）とは何か？

ゼロ知識証明（ZKP）とは、ある命題が真であることを、証明者（Prover）が検証者（Verifier）に対して証明する際に、「その命題が真であること以外のいかなる情報も伝達しない」ようなプロトコルのことを指します。

ZKPが満たすべき3つの要件

ZKPとして成立するためには、以下の3つの特性を厳密に満たす必要があります。

完全性（Completeness） 命題が真であり、かつ証明者と検証者の双方が正しくプロトコルに従うならば、検証者は圧倒的な確率でその証明を受理（Accept）しなければなりません。
健全性（Soundness） 命題が偽であるならば、いかに計算能力が高く、悪意のある証明者であったとしても、検証者を騙して証明を受理させることは（無視できるほど小さな確率を除いて）不可能です。
ゼロ知識性（Zero-Knowledge） 命題が真である場合、検証者は「命題が真である」という事実以外のいかなる情報も、証明プロセスから得ることはできません。検証者の視点から見れば、証明プロセスをシミュレートすることが可能である（シミュレータが存在する）という数学的定義によって証明されます。

インタラクティブ証明と非インタラクティブ証明

ZKPには、証明者と検証者が複数回の通信を行うインタラクティブ（対話型）証明と、証明者が一度だけ証明データを送信して終わる非インタラクティブ（非対話型）証明の2種類が存在します。

インタラクティブ証明（Interactive ZKP）

初期のZKPは対話型プロトコルとして設計されました。有名な「アリババの洞窟」の例え話がこれに該当します。一般的なプロトコルの流れは以下のようになります。

sequenceDiagram participant Prover as "Prover (証明者)" participant Verifier as "Verifier (検証者)" Note over Prover, Verifier: "インタラクティブ証明プロトコルの基本フロー" Prover->>Verifier: "1. コミットメントを送信 (Commitment)" Verifier->>Prover: "2. ランダムなチャレンジを送信 (Challenge)" Prover->>Verifier: "3. レスポンスを計算し送信 (Response)" Note over Verifier: "レスポンスを検証 (Verification)" Verifier-->>Prover: "4. 受理または拒否 (Accept / Reject)" Note over Prover, Verifier: "※確度を高めるため、これを数十回繰り返す"

この方法は強力ですが、検証者がオンラインでなければならず、ブロックチェーンのような非同期的な分散システムに適用するには不便です。ブロックチェーンでは、誰もがいつでも過去の証明を検証できなければなりません。

フィアット・シャミア変換（Fiat-Shamir Heuristic）と非対話化

インタラクティブ証明を非インタラクティブ証明（Non-Interactive Zero-Knowledge Proof: NIZK）に変換するための画期的な手法がフィアット・シャミア変換です。

検証者が送信する「ランダムなチャレンジ」の代わりに、証明者が自分自身のコミットメントと公開情報のハッシュ値を用いて「擬似ランダムなチャレンジ」を自己生成します。暗号学的ハッシュ関数（例えばSHA-256やKeccakなど）がランダムオラクルとして機能することを前提とすれば、証明者はチャレンジを事前に予測・操作することができず、インタラクティブ証明と同等のセキュリティを保ったまま、1回のメッセージ送信で証明を完了させることができます。

zk-SNARKsの技術的詳細

現在、ZKPの中で最も広く利用されているのがzk-SNARKs（Zero-Knowledge Succinct Non-Interactive Argument of Knowledge）です。名前の通り、ゼロ知識性（zk）を持ち、証明サイズが非常に小さく検証が高速（Succinct）で、非対話型（Non-Interactive）である知識の議論（Argument of Knowledge）です。

zk-SNARKsの基盤となるのは、高度な代数幾何学と暗号理論です。プログラムの実行や計算を、特定の多項式の方程式の検証へと変換します。

1. 算術回路とR1CS（Rank-1 Constraint System）への変換

まず、証明したい任意の計算（アルゴリズムやスマートコントラクトのロジック）を、加算ゲートと乗算ゲートからなる**算術回路（Arithmetic Circuit）**に変換します。

次に、この算術回路を**R1CS（Rank-1 Constraint System）**という行列方程式の集合に変換します。R1CSは、変数ベクトル $x$ に対して、次のような制約を満たす行列 $A, B, C$ を見つける問題です。

$$ (A \cdot x) \circ (B \cdot x) = C \cdot x $$

ここで、$\circ$ はアダマール積（要素ごとの積）を表します。この制約は、回路内のすべての論理ゲート（特に乗算ゲート）が正しく計算されていることを保証します。

2. QAP（Quadratic Arithmetic Program）への変換

R1CSの行列制約は無数に存在するため、これらを個別に検証するのは非常に非効率です。そこで、ラグランジュ補間を用いて、これらの制約を単一の多項式方程式に圧縮します。これが**QAP（Quadratic Arithmetic Program）**です。

QAPへの変換により、証明すべき問題は「特定の多項式 $P(x)$ が、別の既知の多項式 $Z(x)$ で割り切れるか？」という問題に帰着します。

$$ P(x) = L(x) \cdot R(x) - O(x) $$

ここで、$L(x), R(x), O(x)$ はそれぞれ行列 $A, B, C$ の各行に対応する多項式を組み合わせたものです。もし証明者が正しい解（Witness）を知っていれば、$P(x)$ の各根（評価点）で値が0になるため、$P(x)$ はターゲット多項式 $Z(x)$ を因数として持つことになります。すなわち、ある多項式 $H(x)$ が存在して、次式が成り立ちます。

$$ P(x) = H(x) \cdot Z(x) $$

検証者は、あるランダムな秘密の点 $s$ において、この方程式 $P(s) = H(s) \cdot Z(s)$ が成立するかどうかをチェックするだけで、計算全体が正しく行われたことを瞬時に検証できるのです。これが「Succinct（簡潔性）」の秘密です。

3. 楕円曲線暗号とペアリング（Bilinear Pairings）

しかし、検証者が秘密の点 $s$ を知っていては、証明者が偽の多項式を捏造して方程式を満たすことが可能になってしまいます（健全性の崩壊）。そこで、$s$ を誰にも知られないように暗号化（準同型暗号を利用）したまま計算を行う必要があります。

これを実現するのが**楕円曲線ペアリング（Bilinear Pairings）**です。ペアリング $e$ は、2つの暗号化された値から、それらの積の暗号化に相当する値を計算できる特殊な関数です。

$$ e(g_1^a, g_2^b) = e(g_1, g_2)^{ab} $$

証明者は、$s$ 自体を知らなくても、$s$ の累乗の暗号化された値（これをCRS: Common Reference String と呼びます）を用いて、多項式 $P(s)$ や $H(s)$ の暗号化された値を計算します。検証者は、ペアリング関数を用いて暗号化された値のまま $P(s) = H(s) \cdot Z(s)$ の関係が成立しているかを検証します。

4. トラステッド・セットアップ（Trusted Setup）

zk-SNARKs（特に初期のGroth16など）の最大の弱点は、秘密の点 $s$ を生成するプロセス、いわゆるトラステッド・セットアップが必要なことです。もし、$s$ の生成者がその値を破棄せずに保持していれば、任意の偽の証明を生成できてしまいます（Toxic Waste問題）。

これを防ぐため、Multi-Party Computation（MPC）を用いた「Ceremony」と呼ばれる儀式が実施されます。多数の参加者が協力してランダムネスを提供し、少なくとも1人の参加者が正直に自身のランダムな値を破棄すれば、システム全体のセキュリティが保たれる仕組みです。しかし、この依存関係を排除するための研究が長年続けられてきました。

zk-STARKsの技術的詳細

トラステッド・セットアップへの依存と、量子コンピュータによる楕円曲線暗号の解読リスクに対する回答として登場したのがzk-STARKs（Zero-Knowledge Scalable Transparent Argument of Knowledge）です。

Eli Ben-Sassonらによって開発されたSTARKsは、「Transparent（透明性）」の名の通りトラステッド・セットアップを一切必要とせず、「Scalable（スケーラビリティ）」の名の通り、計算量が増えても証明サイズと検証時間が効率的に保たれるという特徴を持っています。

1. 多項式コミットメントとFRIプロトコル

zk-STARKsは楕円曲線暗号ではなく、ハッシュ関数のみにセキュリティの根拠を置いています。そのため、耐量子計算機暗号（Post-Quantum Cryptography）としての性質を持ちます。

計算の検証は、AIR（Algebraic Intermediate Representation）と呼ばれる形式に変換された後、一次元または多次元の多項式の性質を利用して行われます。STARKsの核心は、**FRI（Fast Reed-Solomon Interactive Oracle Proof of Proximity）**プロトコルにあります。

FRIプロトコルは、「ある関数が特定の次数の多項式に十分近いか（Proximity）」を検証する技術です。証明者は、多項式の値をマークルツリー（Merkle Tree）のリーフとしてコミット（多項式コミットメント）します。

graph TD Root["Merkle Root (コミットメント)"] --> Node0["Node 0"] Root --> Node1["Node 1"] Node0 --> Leaf0["P(x_0)"] Node0 --> Leaf1["P(x_1)"] Node1 --> Leaf2["P(x_2)"] Node1 --> Leaf3["P(x_3)"]

検証者は、ランダムな数点を開示するように要求し、マークルプルーフを用いてそれらがコミットメントに含まれていることを確認します。これを再帰的に繰り返すことで、元の多項式の次数が実際に低いことを圧倒的な確率で保証します。

zk-SNARKsとzk-STARKsの比較

特徴	zk-SNARKs	zk-STARKs
暗号学的仮定	楕円曲線、ペアリング	衝突耐性ハッシュ関数
トラステッド・セットアップ	必要（Plonkなどはユニバーサル）	不要（Transparent）
耐量子性	なし	あり
証明サイズ	非常に小さい（~200 Byte）	やや大きい（数十 KB）
証明生成の計算コスト	高い	SNARKsより比較的低い
検証コスト（Gas代）	非常に低い（一定）	低い（対数的に増加）

近年では、PlonkやHalo2のように「トラステッド・セットアップが不要、あるいは一度だけで済むSNARKs」が登場し、SNARKsとSTARKsの境界は徐々に曖昧になりつつありますが、基本的な数学的アプローチの違いは重要です。

ゼロ知識証明のWeb3とセキュリティへの最新の応用

理論から実践へと移行したZKPは、現在Web3やサイバーセキュリティの最前線で革命を起こしています。

1. ZK-RollupsによるEthereumの究極的スケーリング

EthereumのようなL1（レイヤー1）ブロックチェーンは、分散性とセキュリティを重視するあまり、スケーラビリティに大きな制約（トリレンマ）を抱えています。これを解決するL2（レイヤー2）ソリューションの決定版がZK-Rollupsです。

ZK-Rollupでは、何千ものトランザクションをオフチェーン（L2）で実行・処理し、それらがすべて正しく実行されたことを示す「1つのZKP（Validity Proof）」を生成します。L1チェーン上のスマートコントラクトは、この証明を検証するだけで済みます。

flowchart LR Users["Users (Tx送信)"] --> Sequencer["Sequencer (Tx収集・実行)"] Sequencer --> Prover["Prover (ZKP生成)"] Sequencer --> L1Contract["L1 Smart Contract (Txデータ公開)"] Prover --> L1Contract["ZKP (証明)の提出"] L1Contract --> Verify["検証 & 状態更新"]

ZK-Rollupsの最大の利点は、Optimistic Rollups（ArbitrumやOptimismなど）とは異なり、不正証明（Fraud Proof）のためのチャレンジ期間（通常7日間）が不要である点です。暗号学的に正しさが保証されているため、証明が検証された瞬間にL1への資金の引き出し（Finality）が完了します。現在、zkSync、Starknet、Scroll、Polygon zkEVMなどのプロジェクトが熾烈な開発競争を繰り広げており、EVM（Ethereum Virtual Machine）と互換性を持つzkEVMの実現がエコシステムを急成長させています。

2. プライバシー保護アイデンティティ（ZKP for Identity）

デジタル世界における個人認証のあり方もZKPによって根本から変わります。例えば、「あなたは18歳以上ですか？」という質問に対して、従来のシステムでは運転免許証やパスポートを提示し、氏名や住所といった不要な個人情報まで相手に渡してしまっていました。

ZKPを用いれば、公的機関が発行したデジタル証明書（Verifiable Credential）を元に、「私の生年月日から計算すると、現在の日付において18歳以上である」という事実だけを数学的に証明することが可能になります。検証者は証明書の署名とZKPを検証するだけでよく、ユーザーの生年月日や身元を知ることはできません。

WorldcoinのようなProof of Personhood（人間性の証明）プロジェクトでも、虹彩データを直接保存・共有するのではなく、ZKPを用いて「一意の人間であること」だけを証明する仕組みが取り入れられています。

3. 機密スマートコントラクトとエンタープライズ利用

パブリックブロックチェーンの「すべてのデータが公開される」という性質は、企業が機密の取引やサプライチェーン情報をブロックチェーン上で扱う際の大きな障壁でした。

ZKP技術（例えばAleoやAztecなどのプライバシー特化型ネットワーク）を用いれば、トランザクションの入力値、出力値、さらには実行されるスマートコントラクトのロジック自体を暗号化したまま、状態の更新の正当性だけをパブリックチェーンに刻むことができます。これにより、DeFi（分散型金融）におけるフロントランニング（MEV）の防止や、企業間での機密コンソーシアムネットワークの構築が、パブリックチェーンの高いセキュリティを享受しながら実現可能となります。

ZKPの今後の課題と展望

ZKPは間違いなく次世代の基盤技術ですが、いくつかの課題も残されています。

証明生成の計算コストとハードウェアアクセラレーション ZKPの生成には、膨大な多項式演算やFFT（高速フーリエ変換）、MSM（マルチスカラー乗算）が必要です。現在、この証明生成を高速化するための専用ハードウェア（FPGAやASIC）の開発、いわゆるZKPマイニング（Prover Network）の研究が急速に進んでいます。
標準化と開発者体験（DX）の向上 Circom、Cairo、Noir、Leoなど、ZKP回路を記述するための専用言語が乱立しています。これらを統一する標準規格や、既存のRustやC++から自動的にZKP回路を生成するコンパイラの成熟が、一般的なソフトウェアエンジニアによるZKP導入の鍵となるでしょう。

おわりに

ゼロ知識証明（ZKP）は、単なる「暗号通貨の匿名性を高める技術」から、「インターネット全体のトラスト（信用）を再定義する汎用技術」へと進化を遂げました。数式と暗号理論の奥深くで計算された小さな証明が、ブロックチェーンのスケーラビリティを無限に拡張し、私たちのプライバシーを強固に守る盾となります。

Web3の真のマスアダプション、そしてセキュアでプライベートな次世代インターネットの構築に向けて、ゼロ知識証明は最も重要なピースとして機能し続けるでしょう。今後のZKP技術の進化から目が離せません。

参考文献・関連リンク

Groth, J. (2016). “On the Size of Pairing-based Non-interactive Arguments”
Ben-Sasson, E., et al. (2018). “Scalable, transparent, and post-quantum secure computational integrity”
Vitalik Buterin’s blog on zk-SNARKs and zk-STARKs

完全準同型暗号（FHE）とは？次世代セキュリティの要を解説

Fri, 11 Sep 2026 11:00:00 +0900

クラウドコンピューティングやAI技術が社会の基盤として定着する中、「データのプライバシー」と「データの利活用」のトレードオフは、最も重要な課題の一つとなっています。医療データ、金融情報、個人の生体情報など、機密性の高いデータをクラウド上でAIに解析させたいという需要は高まっていますが、セキュリティ上の懸念からデータの外部送信を躊躇する企業は少なくありません。

従来の暗号化技術（AESやRSAなど）は、ストレージに保存されているデータ（Data at Rest）やネットワーク上を流れるデータ（Data in Transit）を保護することには長けています。しかし、サーバー側でデータに対して検索や機械学習などの処理（計算）を行う際（Data in Use）には、一度暗号を復号して平文に戻す必要があります。もしこの復号されたタイミングでサーバーがハッキングされたり、内部の悪意ある管理者がデータを覗き見たりすれば、情報漏洩に直結します。

この「処理時の復号」という根本的な弱点を克服する夢の技術が、**完全準同型暗号（Fully Homomorphic Encryption: FHE）**です。FHEを利用すれば、データを暗号化したまま一切復号せずに計算処理を行い、その結果の暗号文だけをクライアントに返すことが可能になります。

本記事では、このFHEの概念から歴史、Craig Gentryによる画期的なブレイクスルー、数学的な基礎（Ring-LWEなど）、最大の課題である「ノイズ」とその解決策（ブートストラッピング）、そして最新の実装ライブラリに至るまで、次世代セキュリティの要であるFHEを徹底的に深く解説します。

1. 準同型暗号とは何か？基本的な概念

「準同型（Homomorphic）」とは代数学の用語であり、ある構造を持つ集合間で、演算の構造を保ったまま写像できる性質を指します。暗号理論における「準同型性」とは、平文空間での演算が、暗号文空間での演算に対応しているという性質です。

単純な数式で表すと、平文 $m_1$ と $m_2$ に対する暗号化関数を $E(\cdot)$ とし、復号関数を $D(\cdot)$ とします。平文上での演算（加算や乗算など）を $\circ$ 、暗号文上での演算を $\diamond$ としたとき、以下の関係が成り立ちます。

$$ D(E(m_1) \diamond E(m_2)) = m_1 \circ m_2 $$

つまり、暗号文 $E(m_1)$ と $E(m_2)$ に対して何らかの演算 $\diamond$ を施した結果を復号すると、元の平文同士を演算 $\circ$ した結果と一致するということです。

クラウドコンピューティングにおけるデータフロー

FHEを用いたクラウド処理のアーキテクチャは、従来のものと全く異なります。以下の図は、FHEを活用したセキュアなデータ処理のフローを示しています。

サーバーは暗号化されたデータ $E(x)$ を受け取りますが、秘密鍵を持たないためデータの中身を知ることは絶対にできません。しかし、FHEの性質を利用することで、暗号文に対して関数 $f$（例えば機械学習の推論モデル）を適用し、$E(f(x))$ を生成することができます。クライアントはこれを受け取り、自身の秘密鍵で復号することで、目的の結果 $y = f(x)$ を手に入れます。

2. 準同型暗号の進化の歴史：PHE, SHE, FHE

準同型暗号は、一度に現在の「完全」な形になったわけではありません。実現できる演算の種類や回数によって、大きく3つの段階に分類されます。

Partially Homomorphic Encryption (PHE: 部分準同型暗号)

PHEは、加算か乗算のどちらか一方のみを無制限に行うことができる暗号方式です。実は、この性質を持つ暗号は古くから存在していました。

RSA暗号（乗算に対する準同型性） RSA暗号は意図せずして乗算の準同型性を持っていました。平文 $m_1, m_2$、公開鍵 $(e, N)$ とすると： $$ E(m_1) = m_1^e \pmod N $$ $$ E(m_2) = m_2^e \pmod N $$ これらを掛け合わせると： $$ E(m_1) \times E(m_2) = (m_1 \cdot m_2)^e \pmod N = E(m_1 \times m_2) $$ このように、暗号文同士の乗算が平文の乗算に対応します。
Paillier暗号（加算に対する準同型性） 1999年に考案されたPaillier暗号は、加算に対する準同型性を持ちます。電子投票（暗号化された票を集計し、最終結果だけを復号する）などで実用化されています。

Somewhat Homomorphic Encryption (SHE: 有界準同型暗号)

加算と乗算の両方を実行できますが、演算できる回数（回路の深さ）に制限がある方式です。後述する「ノイズ」の蓄積により、ある一定回数以上の乗算を行うと復号が不可能になってしまいます。2005年のBGN (Boneh-Goh-Nissim) 暗号などがこれに該当しますが、実用的な複雑な計算（ディープラーニングなど）を行うには限界がありました。

Fully Homomorphic Encryption (FHE: 完全準同型暗号)

加算と乗算の両方を、回数無制限で実行できる暗号方式です。情報理論におけるチューリング完全性と同様に、加算（XORに相当）と乗算（ANDに相当）を無限に組み合わせることができれば、原理上いかなる計算可能な関数・アルゴリズムも暗号化されたまま実行できることを意味します。

FHEは長らく「暗号界の聖杯」と呼ばれ、実現不可能ではないかとも言われていました。しかし、2009年に当時スタンフォード大学の博士課程にいた Craig Gentry が、理想格子（Ideal Lattices）を用いた最初のFHEスキームを提案し、世界に衝撃を与えました。

3. FHEの数学的基盤：LWE問題とRing-LWE

現在の主流となっているFHEスキームの多くは、耐量子計算機暗号（Post-Quantum Cryptography）としても知られる「格子暗号（Lattice-based Cryptography）」の数学的難問である LWE (Learning With Errors) 問題に基づいています。

LWE問題の直感的な理解

連立一次方程式を解くことは、ガウスの消去法などを用いれば簡単です。

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 \equiv 12 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 \equiv 8 \pmod{17} \\ \vdots \end{cases} $$

しかし、この方程式の結果に、ごく僅かな「ランダムな誤差（ノイズ）」$e$ を加えるとどうなるでしょうか。

$$ \begin{cases} 3s_1 + 4s_2 + 2s_3 + e_1 \equiv 13 \pmod{17} \\ 1s_1 + 9s_2 + 5s_3 + e_2 \equiv 7 \pmod{17} \\ \vdots \end{cases} $$

この誤差 $e$ が加わるだけで、秘密の変数ベクトル $\vec{s}$ を見つけ出す問題は、現在のスーパーコンピュータや量子コンピュータを用いても解読が困難なNP困難な問題へと変貌します。これがLWE問題です。

Ring-LWE問題（RLWE）

標準のLWE問題は行列演算を含むため、鍵のサイズが非常に大きく（ギガバイト単位になることも）、計算効率も悪いという問題がありました。これを解決するために導入されたのが、多項式環上の演算を用いる Ring-LWE (RLWE) 問題です。

RLWEでは、要素が多項式環 $R_q = \mathbb{Z}_q[x] / (x^N + 1)$ に属します（ここで $N$ は2の冪乗、$q$ は法となる素数）。秘密鍵を多項式 $s(x)$ とし、ランダムな多項式 $a(x)$、小さなノイズ多項式 $e(x)$ とすると、公開鍵は以下のペアになります。

$$ (a(x), b(x)) \quad \text{where} \quad b(x) = -a(x) \cdot s(x) + e(x) \pmod q $$

暗号化の際には、この多項式の性質を利用して平文 $m(x)$ をエンコードし、暗号文を生成します。

4. 最大の障壁「ノイズ」とGentryのブートストラッピング

FHEの理解において最も重要な概念が**「ノイズの管理」**です。

LWE/RLWEベースの暗号では、安全性を担保するために意図的に小さな「ノイズ（誤差）」を含めています。平文 $m$ の暗号文 $c$ を復号するプロセスは、大雑把に言えば次のような数式で表されます。

$$ D(c) = (c \cdot s) \pmod q = m + \text{noise} $$

復号時には、この noise を丸め処理などで取り除くことで正しい平文 $m$ を得ます。しかし、暗号文同士で準同型演算（特に乗算）を行うと、このノイズが劇的に増幅してしまいます。

準同型加算: ノイズは足し算的に増加します（$e_1 + e_2$）。これは比較的緩やかな増加です。
準同型加算による準同型性の数式表現: $$ E(m_1) \oplus E(m_2) = E(m_1 + m_2) $$
準同型乗算: ノイズは掛け算的に爆発します（$e_1 \times e_2$ などを含むため）。数回乗算するだけでノイズがしきい値 $q/2$ を超えてしまい、正しい丸め処理ができず復号に失敗します。
準同型乗算による準同型性の数式表現: $$ E(m_1) \otimes E(m_2) = E(m_1 \times m_2) $$

これが、長い間FHEが実現できず、SHE（回数制限付き）に留まっていた理由です。

ブートストラッピング（Bootstrapping）の魔法

Craig Gentryの天才的な貢献は、**「ブートストラッピング」**と呼ばれるノイズ削減の手法を発明したことです。これは暗号学におけるパラダイムシフトでした。

直感的には「暗号文がノイズまみれになって壊れる前に、暗号化されたままの状態で『復号』して綺麗にし、新しい暗号文に入れ直す」という操作です。

ノイズが大きくなった暗号文 $C_{noisy}$ があるとします。
クライアントは、秘密鍵 $sk$ を「公開鍵で暗号化したもの」$E_{pk}(sk)$（これをブートストラッピングキーと呼ぶ）をあらかじめサーバーに渡しておきます。
サーバーは、$C_{noisy}$ に対して、準同型的に**復号回路（Decryption Circuit）**を実行します。
具体的には、$E_{pk}(C_{noisy})$ に対して $E_{pk}(sk)$ を用いて「暗号化された空間内での復号」を行います。
この復号回路自体も準同型演算であるため新たなノイズを生みますが、出力される新しい暗号文 $C_{fresh}$ のノイズは、一定の「固定レベル」にリセットされます。

graph LR A["高ノイズ暗号文 C_noisy"] --> B["準同型復号回路 (Eval_Dec)"] C["暗号化された秘密鍵 E(sk)"] --> B B --> D["低ノイズ暗号文 C_fresh"] style B fill:#ffeeba,stroke:#ffc107

このブートストラッピングを計算の途中で定期的に実行することで、理論上は無限の深さの回路を計算可能（FHEの達成）にしました。しかし、初期のGentryの方式は、このブートストラッピング処理に1回あたり数十分から数時間かかるという、絶望的なほど計算コストが高いものでした。

5. FHEの世代と主要なスキームの進化

FHEの実用化に向けて、世界中の暗号学者が競うようにアルゴリズムを改良してきました。現在、FHEは主に4つの世代・ファミリーに分類されます。

第2世代：整数の正確な演算 (BGV, BFV)

2011〜2012年にかけて登場した BGV (Brakerski-Gentry-Vaikuntanathan) と BFV (Brakerski/Fan-Vercauteren) スキームです。これらはRLWEを基盤としており、整数のモジュラ演算（正確な計算）に適しています。 SIMD (Single Instruction, Multiple Data) のようなバッチング（Batching）技術をサポートしており、1つの巨大な多項式の暗号文の中に、何千ものデータスロットを詰め込んで一度に並列計算できるのが特徴です。

第3世代：ブートストラッピングの高速化 (GSW, FHEW, TFHE)

2013年の GSW (Gentry-Sahai-Waters) スキームは、FHEの構造をよりシンプルにしました。そしてこれを発展させたのが、現在の主流の一つである TFHE (Fast Fully Homomorphic Encryption over the Torus) です。 TFHEの特徴は、ブートストラッピングが非常に高速（ミリ秒単位）であることです。ゲート単位（AND, XORなどの論理回路）での演算に強く、暗号文のサイズも比較的小さいため、任意の論理回路を高速に評価するのに適しています。

第4世代：近似計算と機械学習への特化 (CKKS)

2017年にCheonらによって提案された CKKS (Cheon-Kim-Kim-Song) スキームは、現在のAI・機械学習のプライバシー保護における決定版と言える技術です。これまでのFHEが「正確な整数計算」にこだわっていたのに対し、CKKSは**「浮動小数点数の近似計算」**を暗号化されたままサポートします。ニューラルネットワークの学習や推論など、小さな誤差が許容される実数計算において、圧倒的なパフォーマンスを発揮します。

以下の表に、目的別のスキームの選び方をまとめます。

スキーム名	得意なデータ型	推奨されるユースケース	特徴
BFV / BGV	整数 (Integer)	正確な統計計算、金融データ集計、DB検索	SIMDバッチングによる高スループット
CKKS	実数 (Real/Complex)	機械学習 (DNN, ロジスティック回帰)、信号処理	近似計算による高速化、再スケーリング
TFHE	ブール値 (Boolean)	任意の論理回路、文字列検索、非線形関数の評価	超高速ブートストラッピング（ミリ秒台）

6. 実践：FHEライブラリと概念的なコード

現在では、暗号学の深い知識がなくてもFHEを利用できるオープンソースのライブラリが多数提供されています。

Microsoft SEAL (Simple Encrypted Arithmetic Library): BFV, BGV, CKKSをサポートするC++ライブラリ。業界標準の一つ。Pythonバインディングである TenSEAL がAIエンジニアの間で人気です。
Zama (Concrete): TFHEをベースにしたフレームワーク。Rust/Pythonで記述でき、既存のPyTorchモデルをコンパイルしてFHE上で動かす機能（Concrete ML）を提供しています。
OpenFHE: PALISADEの後継で、すべての主要なスキームをサポートする包括的なC++ライブラリ。

Python (TenSEAL) を用いたFHEプログラミングの例

ここでは、CKKSスキームを用いて、暗号化されたまま実数ベクトルを足し合わせ、掛け合わせる概念的なPythonコードの例を示します。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35


import tenseal as ts

# 1. コンテキストのセットアップ (鍵生成を含む)
# CKKSスキームを使用し、多項式の次数を8192に設定
context = ts.context(
 ts.SCHEME_TYPE.CKKS,
 poly_modulus_degree=8192,
 coeff_mod_bit_sizes=[60, 40, 40, 60]
)
context.generate_galois_keys()
context.global_scale = 2**40 # 実数のスケーリングファクタ

# 2. クライアント側：データの暗号化
vector1 = [1.5, 2.5, 3.5]
vector2 = [2.0, 3.0, 4.0]

# 平文ベクトルを暗号文に変換 (本来はクライアント側で実行)
enc_v1 = ts.ckks_vector(context, vector1)
enc_v2 = ts.ckks_vector(context, vector2)

# 3. サーバー側：暗号化されたままの演算 (Data in Useの保護)
# サーバーは平文を知らないが、加算と乗算を実行できる
enc_add = enc_v1 + enc_v2
enc_mul = enc_v1 * enc_v2

# 4. クライアント側：結果の復号
# 秘密鍵を持つクライアントだけが結果を見ることができる
res_add = enc_add.decrypt()
res_mul = enc_mul.decrypt()

print(f"復号された加算結果: {res_add}")
# 出力例: [3.5000001, 5.5000001, 7.5000002] (近似計算のため微小な誤差が含まれる)

print(f"復号された乗算結果: {res_mul}")
# 出力例: [3.0000002, 7.5000005, 14.0000003]

上記のコードからわかるように、enc_v1 + enc_v2 のように通常のPythonの演算子をオーバーロードして直感的に暗号文同士の計算を記述することができます。サーバー側では、ベクトルの中身を知らずにベクトル演算を完了させています。

7. FHEの課題：パフォーマンスとハードウェアアクセラレーション

FHEは理論的に完璧なセキュリティを提供しますが、実用化における最大の課題は**「パフォーマンスのオーバーヘッド」**です。

計算のオーバーヘッド: 平文での計算に比べ、暗号文での計算はCPU上で数千倍〜数万倍遅くなります。多項式の乗算やブートストラッピングには膨大なFFT（高速フーリエ変換）やNTT（数論変換）の計算が必要です。
データサイズの膨張 (Ciphertext Expansion): 数バイトの平文が、暗号化されると数メガバイトになることがあります。これはメモリ帯域やネットワーク帯域を強く圧迫します。

ハードウェアによる解決へのアプローチ

このオーバーヘッドを克服するため、世界中でFHE専用のハードウェアアクセラレータ（ASIC, FPGA, GPU対応）の開発が進められています。

GPUアクセラレーション: NVIDIAなどの強力なGPUを用いて、NTT演算やブートストラッピングを並列化する取り組みが進んでおり、ソフトウェア実装に対して数十倍の高速化が報告されています（例：100x.ai, ZamaのTFHE-rs CUDA backend）。
DARPA DPRIVE プロジェクト: 米国防高等研究計画局（DARPA）は、FHEの計算速度を平文処理の実行速度と同等レベル（オーバーヘッド10倍以内）に引き上げるための専用ハードウェア開発プロジェクト「DPRIVE (Data Protection in Virtual Environments)」を推進しており、IntelやMicrosoft、Intellectual Venturesなどが参加しています。
FPU (FHE Processing Unit) の登場: CornamiやOptalysysといったスタートアップが、光コンピューティングや特殊なシリコンアーキテクチャを用いたFHE専用チップの開発に乗り出しています。

近い将来、AIにおけるNPU（Neural Processing Unit）のように、サーバーやクラウドインフラに「FPU」が標準搭載される時代が来るかもしれません。

8. 期待されるユースケース

FHEが実用的な速度に到達しつつある今、以下のような分野での破壊的イノベーションが期待されています。

医療・ゲノム解析のプライバシー保護: 複数の病院が持つ患者のカルテデータやDNAデータを、FHEで暗号化したままクラウドのAIに学習させることで、プライバシー法（HIPAAやGDPR）に違反することなく、高精度な癌診断モデルや新薬開発を行うことができます。
金融機関の不正検知・マネーロンダリング対策 (AML): 競合する銀行同士が、顧客の口座情報や取引履歴を明かすことなく、暗号化された状態で互いのデータを照合し、巨大な不正送金ネットワークを検知するクロスバンク分析が可能になります。
セキュアなAI推論API (MaaS: Model as a Service): ユーザーは自身の音声や顔画像、プロンプトを暗号化してAIサービス（ChatGPTのようなLLMなど）に送信します。AIプロバイダーはユーザーの入力を一切知ることなく回答を生成し、暗号文として返します。これにより、「AIに個人情報を学習される・盗み見られる」という懸念が完全に払拭されます。

9. 結論：暗号の未来は「見えない計算」へ

1970年代に公開鍵暗号（RSA）が発明されてインターネット上の安全な通信（HTTPSなど）が可能になったように、Craig GentryによるFHEの発明は、暗号の歴史における最も重要なマイルストーンの一つです。

現在、完全準同型暗号（FHE）は研究室の理論から飛び出し、Microsoft、IBM、Intel、Google、そして多くのスタートアップが実用化に向けてしのぎを削る段階に入っています。計算コストやデータサイズの課題は依然として存在しますが、アルゴリズムの洗練とハードウェアアクセラレータの進化により、ムーアの法則を超えるペースで性能向上が続いています。

数年後、「データを暗号化したまま計算する」ことは特別なことではなく、クラウドサービスにおける標準的なデータ保護のベストプラクティスとなるでしょう。FHEは、データ駆動型社会における究極のプライバシーとデータ利活用の両立を実現する、次世代セキュリティの要なのです。