量子コンピュータ on kenji.blog

【完全解剖】量子コンピュータとは何か？〜ゼロからわかる究極の計算原理〜

Sat, 05 Sep 2026 22:10:00 +0900

はじめに：量子コンピュータがもたらす「計算のパラダイムシフト」

近年、ニュースや技術記事で「量子コンピュータ」という言葉を目にしない日はありません。「現在のスーパーコンピュータで何千年もかかる計算を数分で終わらせる」「現在の暗号技術がすべて破られるかもしれない」といった、SF映画のような話がまことしやかに語られています。GoogleやIBM、Microsoftといった巨大IT企業から、世界中の大学やスタートアップ企業までが、この夢の技術の実用化に向けてしのぎを削っています。

しかし、「量子コンピュータとは結局のところ何なのか？」と問われると、正確に答えられる人は少ないのではないでしょうか。多くの人が「すべての組み合わせを同時に計算できる魔法の箱」といった漠然としたイメージを持っていますが、厳密にはそれは正しくありません。

本記事では、量子コンピュータが古典コンピュータ（私たちが普段使っているPCやスマートフォン）と根本的にどう違うのか、そして「重ね合わせ（Superposition）」「量子もつれ（Entanglement）」「量子ゲート（Quantum gates）」といった量子力学の不思議な現象をどのように計算に利用しているのかを、基礎から徹底的に、かつ専門的でありながらわかりやすく解説します。この記事を読み終える頃には、量子コンピュータの本質的な凄さと、現在の課題がはっきりと理解できるはずです。

第1章：古典コンピュータと量子コンピュータの決定的な違い

量子コンピュータの仕組みを理解するためには、まず私たちが現在使っている「古典コンピュータ」がどのように動いているかをおさらいする必要があります。

比較表：古典コンピュータ vs 量子コンピュータ

項目	古典コンピュータ	量子コンピュータ
基本単位	ビット (0 または 1)	量子ビット (0と1の重ね合わせ)
状態の表現	確定的	確率的（観測するまで決定しない）
計算方式	逐次処理（並列化には物理コアが必要）	量子並列性（指数関数的な状態を同時に操作）
得意な計算	四則演算、日常的なデータ処理	素因数分解、量子化学計算
エラー耐性	非常に強い	非常に弱い（極低温環境や誤り訂正が必要）

古典コンピュータの世界：0か1かの「ビット（Bit）」

古典コンピュータは、すべての情報を「0」か「1」のどちらかの状態で表現します。これを ビット（Bit） と呼びます。物理的には、半導体チップ上のトランジスタの電圧が高い（1）か低い（0）かで表現されます。あなたのスマートフォンに入っている高画質な写真も、今読んでいるこの文章も、お気に入りのYouTubeの動画も、究極的には膨大な数の「0と1の羅列」に還元されます。計算とは、この0と1の羅列に対して、AND（論理積）、OR（論理和）、NOT（論理否定）といった基本的な論理回路を組み合わせて操作を加えるプロセスに他なりません。これは非常に確実で決定論的な世界です。入力が同じであれば、必ず同じ出力が得られます。

量子コンピュータの世界：0であり1でもある「量子ビット（Qubit）」

一方、量子コンピュータの最小情報単位は 量子ビット（Qubit：Quantum bit） と呼ばれます。量子ビットの最大の特徴は、古典的なビットのように「0」か「1」のどちらか一方の状態にあるだけでなく、「0と1が特定の確率で混ざり合った状態」をとることができる点にあります。これを 「重ね合わせ（Superposition）」 と呼びます。

例えば、古典ビットが「表」か「裏」のどちらかを上にして置かれたコインだとすると、量子ビットは「空中で回転し続けているコイン」によく例えられます。回転中のコインは表とも裏とも言えず、両方の状態が重なり合っています。そして、コインが床に落ちて動きを止めた瞬間（これを量子力学では「観測」と呼びます）、初めて「表」か「裏」かが確定します。

この「観測するまで状態が確定しない」というミクロな世界（量子力学）特有の性質を、そのまま情報処理のプロセスに組み込んだのが量子コンピュータなのです。

第2章：計算を根本から変える3つの量子力学的性質

量子コンピュータの驚異的な計算能力の源泉は、単にクロック周波数が高いとか、部品が小さいといったことではありません。物理法則そのものを計算のリソースとして利用する点にあります。主に以下の3つの量子力学的な現象が鍵となります。

1. 重ね合わせ（Superposition）と指数関数的な情報量

先述の通り、量子ビットは0と1の両方の状態を同時に保持することができます。1つの量子ビットは「0と1の重ね合わせ」ですが、量子ビットの数を増やすとどうなるでしょうか。

1量子ビット：2つの状態（0, 1）の重ね合わせ
2量子ビット：4つの状態（00, 01, 10, 11）の重ね合わせ
3量子ビット：8つの状態の重ね合わせ
N個の量子ビット：$2^N$個のパターンの重ね合わせ

たった50個の量子ビットがあれば、$2^{50}$（約1100兆）個の状態を同時に保持できます。そしてわずか300個の量子ビットがあれば、$2^{300}$個（宇宙に存在する全原子の数よりも多い数！）のパターンを一度に保持することができるのです。この指数関数的な情報保持能力が、量子コンピュータのポテンシャルの土台となっています。古典コンピュータで宇宙の原子の数よりも多い状態をメモリに記憶させることは、物理的に不可能です。

2. 量子もつれ（Entanglement）：不気味な遠隔作用

量子もつれは、アインシュタインが「不気味な遠隔作用（Spooky action at a distance）」と呼んで生涯受け入れられなかったほど、人間の直感に反する不思議な現象です。

複数の量子ビットが「量子もつれ」の状態になると、それらは互いに強く結びつき、 「片方の状態が確定すると、どれだけ距離が離れていても、もう片方の状態が瞬時に確定する」 という運命共同体のような関係になります。

例えば、もつれ状態にある2つの量子ビットAとBがあるとします（これらはそれぞれ0と1の重ね合わせ状態にあります）。Aを観測して「0」だった場合、情報の伝達速度の限界である光の速さを超えて、瞬時にBの状態も（例えば必ず「1」になるように）確定します。量子コンピュータでは、この量子もつれを利用することで、複数の量子ビット同士の複雑な相関関係を表現し、超並列的な情報処理を行います。もつれがなければ、量子コンピュータの計算能力は古典コンピュータと大差ないものになってしまいます。

3. 量子干渉（Quantum Interference）：正解を浮かび上がらせる魔法

「すべてのパターンを同時に保持できるなら、それを一気に並列計算して一瞬で答えが出るのでは？」と思うかもしれません。これが、量子コンピュータに対する最もよくある誤解です。重ね合わせ状態で計算を行っても、最終的に答えを知るためには「観測」しなければなりません。しかし観測した瞬間、状態は$2^N$個のパターンのうちのどれか1つにランダムに収縮してしまいます。これでは、単にでたらめな（ランダムな）答えが出てくるだけです。

ここで登場するのが 「量子干渉（Interference）」 です。波と波がぶつかると、波長が合うところは強め合い、ズレているところは打ち消し合う現象を利用します（ノイズキャンセリングイヤホンの原理と本質的には同じです）。

優れた「量子アルゴリズム」は、計算の過程で 「正解につながる状態（波）の確率振幅を強め合い（増幅）」「不正解につながる状態の確率振幅を打ち消し合う（相殺）」 ように、巧みに量子状態を操作します。そして最終的に観測したときに、限りなく100%に近い確率で「正解」がポロッと出てくるように仕向けるのです。この干渉のプロセスをうまく設計することこそが、量子プログラミングの真髄です。

第3章：どのように計算するのか？「量子ゲート」と「量子回路」

古典コンピュータが論理ゲート（AND、OR、NOTなど）を使って計算を進めるように、量子コンピュータも 「量子ゲート（Quantum Gates）」 と呼ばれる操作を量子ビットに適用して計算を進めます。複数の量子ゲートを組み合わせたものを ** 量子回路（Quantum Circuit）** と呼びます。

量子ビットの状態は、「ブロッホ球（Bloch sphere）」という3次元の球体の表面上の点として数学的に表現されます。北極が「0」、南極が「1」、赤道上が「0と1が半々に重なり合った状態」です。量子ゲートとは、この球の表面で状態（ベクトル）を回転させる操作に他なりません。

代表的な量子ゲートをいくつか紹介しましょう。

1. アダマールゲート（Hゲート）

古典コンピュータには存在しない、量子コンピュータならではの最も基本的なゲートです。状態が完全に「0」の量子ビットにHゲートを通すと、0と1がちょうど半分ずつの確率で観測される「完全な重ね合わせ状態」（ブロッホ球でいう赤道上の点）を作り出します。量子計算の初期化ステップとして、多くのアルゴリズムがまずこのHゲートをすべての量子ビットに適用することから始まります。

2. パウリゲート（X, Y, Zゲート）

古典コンピュータのNOTゲート（0を1に、1を0に反転させる）に相当する操作を含むゲートです。ブロッホ球において、X軸、Y軸、Z軸を中心に180度回転させる操作に相当します。特にXゲートは、北極（0）を南極（1）に反転させるため、古典のNOTゲートと全く同じ働きをします。Zゲートは、重ね合わせの「位相（波のタイミングのようなもの）」を反転させる役割を持ち、量子干渉を起こす上で極めて重要です。

3. CNOTゲート（制御NOTゲート）

量子もつれを作り出すための超重要ゲートです。2つの量子ビット（制御ビットと標的ビット）を使います。「もし制御ビットが1ならば、標的ビットの状態を反転（Xゲート）させる。制御ビットが0ならば何もしない」という動作をします。一見単純なIF条件分岐に見えますが、制御ビットが「0と1の重ね合わせ状態」だった場合どうなるでしょうか？標的ビットは「反転したものと反転しないものが重なり合った状態」になり、2つのビットの運命が完全にリンクします。見事に2つの量子ビットが「もつれ」るのです。

これらのゲートを音楽の楽譜のように左から右へ順番に配置・適用していくことで、複雑なアルゴリズムを実行します。

第4章：量子コンピュータは何が得意で、何が苦手なのか？

ここで重要な事実をお伝えします。量子コンピュータは、万能の神ではありません。ウェブブラウジング、動画のレンダリング、エクセルのマクロ処理、あるいは一般的なスマホアプリの動作といった日常的なタスクにおいて、量子コンピュータが古典コンピュータを凌駕することはおそらく永遠にないでしょう。これらの逐次的な処理は、すでに高度に最適化され、圧倒的な速度と安価さを誇る古典コンピュータのほうが適しています。

量子コンピュータがその真価を発揮するのは、 「古典コンピュータでは計算の組み合わせが指数関数的に爆発してしまい、宇宙の寿命ほどの時間がかかってしまう特定の問題」 に対してのみです。これを「量子超越性（Quantum Supremacy）」または「量子優位性（Quantum Advantage）」と呼びます。

量子コンピュータが得意なこと（キラーアプリケーション）

1. 素因数分解と暗号解読（ショアのアルゴリズム）

現在、インターネット上の安全な通信（クレジットカードの決済や個人情報の送信など）を守っている「RSA暗号」などは、「巨大な数の素因数分解は古典コンピュータには実質的に不可能（膨大な時間がかかる）である」という前提に基づいています。しかし、1994年に数学者ピーター・ショアが発見した「ショアのアルゴリズム」を使えば、量子コンピュータは干渉を巧みに利用して、これを劇的なスピード（多項式時間）で解くことができます。これにより、将来的に現在の暗号体系が崩壊するリスクがあり、世界中の中央銀行や政府機関が「耐量子暗号（Post-Quantum Cryptography）」への移行を急いでいます。

2. 量子化学計算と新素材・創薬開発

自然界の分子や原子の振る舞いは、そもそも量子力学の法則に従っています。古典コンピュータで複雑な分子の挙動をシミュレーションしようとすると、電子同士の相互作用の組み合わせが爆発し、比較的小さな分子でも計算量の限界にぶつかります。ノーベル物理学賞受賞者のリチャード・ファインマンが「自然をシミュレートしたければ、量子力学的に作らなければならない」と語った通り、量子コンピュータは物質のシミュレーションにおいて圧倒的なネイティブパワーを発揮します。画期的な新薬の設計、常温超伝導物質の発見、高効率な太陽電池やバッテリー材料の開発、エネルギー効率の高い肥料の合成など、人類の課題を解決するブレイクスルーが期待されています。

3. 組み合わせ最適化問題と探索（グローバーのアルゴリズム）

膨大な選択肢の中から最適なものを見つけ出す問題（物流の最適化ルート、金融ポートフォリオの最適化など）に対しても、量子アルゴリズムは力を発揮します。「グローバーのアルゴリズム」を使えば、データが未整理のデータベースからの検索において、古典コンピュータのルート（平方根）の回数で目的のデータを見つけ出すことができます。例えば、1億件のデータがあれば、古典で最大1億回かかる探索を、わずか1万回程度で完了できることになります。

第5章：立ちはだかるハードウェアの壁「デコヒーレンス」と「量子エラー訂正」

理論的には魔法のように強力な量子コンピュータですが、実用化への道のりには極めて高く険しい物理的な壁が立ちはだかっています。最大の敵は 「ノイズ」 です。

量子ビットの「重ね合わせ」や「量子もつれ」は、極めて繊細で壊れやすい状態です。周囲のわずかな熱、電磁波のゆらぎ、あるいは宇宙線などに触れただけで、その魔法の状態は一瞬で崩壊し、ただの古典ビットになってしまいます。この現象を 「デコヒーレンス（量子崩壊）」 と呼びます。

物理的な実現方式の熾烈な競争

現在、この繊細な量子ビットを物理的にどう作るかについて、世界中で様々な方式が研究されており、覇権争いが起きています。

超伝導方式（Superconducting） ：Google、IBM、Amazonなどが採用。ループ状の超伝導回路を使用し、絶対零度（約-273℃）に近い極低温まで巨大な冷凍機で冷却して量子状態を制御します。現在最もリードし、量子ビット数を増やしやすい方式ですが、冷却装置が巨大で高価です。
イオントラップ方式（Trapped Ion） ：IonQ、Quantinuumなどが採用。真空中にイオン（原子）を電磁場で閉じ込め、精密なレーザーを当てて制御します。すべての量子ビットが均一で、状態を長く維持できる（コヒーレンス時間が長い）のが強みですが、操作速度が超伝導に比べて遅いという課題があります。
光量子方式（Photonic） ：PsiQuantumなどが注力。光の粒子（光子）を使います。極低温の環境を必要とせず室温で動作する部分が多く、既存のシリコンチップ製造技術や光ファイバー通信技術と相性が良いという大きな利点があります。
トポロジカル方式（Topological） ：Microsoftが長年研究。エニオンと呼ばれる特殊な粒子のトポロジー（位相幾何学）的な性質を利用し、環境ノイズに対して根本的に強い（エラーが起きにくい）量子ビットを作ろうとする野心的なアプローチです。理論上は最強ですが、物理的な実現のハードルが最も高いとされています。

究極の目標「誤り耐性量子コンピュータ（FTQC）」への道

現在の古典コンピュータの世界にも計算エラー（宇宙線によるビット反転など）は存在しますが、「誤り訂正コード」によって完璧に修正されているため、私たちは一度もエラーを意識することなくスマホを使えています。量子コンピュータでも実用的な大規模計算を行うためには、同様の 「量子エラー訂正（Quantum Error Correction: QEC）」 が不可欠です。

しかし、量子状態は「観測すると壊れる」という性質があるため、エラーを確認するために中身を直接見る（観測する）ことができないという致命的なジレンマがあります。これを回避するため、多数の不安定な「物理量子ビット」を巧みに組み合わせて、エラーを検知・修正できる1つの安定した「論理量子ビット」を構築する理論が確立されています（表面符号など）。しかし、1つの論理量子ビットを作るために1000〜1万個もの物理量子ビットが必要になると言われています。何千という論理量子ビットを使ってショアのアルゴリズムなどを実行するには、全体で数百万から数千万個の物理量子ビットを持つ巨大なシステムが必要になります。

現在私たちがいるのは、 NISQ（Noisy Intermediate-Scale Quantum：ノイズあり中規模量子） デバイスの時代と呼ばれています。エラー訂正を持たず、数十〜数百量子ビットで動く過渡期的なマシンです。究極の目標である、完全にエラー訂正が可能な 「誤り耐性量子コンピュータ（Fault-Tolerant Quantum Computer: FTQC）」 の実現には、まだ10年〜数十年という長期的な研究開発が必要だと専門家たちは予測しています。

第6章：量子コンピュータの歴史と未来展望

最後に、量子コンピュータがどのように生まれ、今後どこへ向かうのかを俯瞰してみましょう。

理論の誕生から「量子超越性」の実証まで

1980年代 ：物理学者ポール・ベニオフやリチャード・ファインマンが、量子力学の原理を利用したコンピュータの概念を提唱。「自然をシミュレートするなら量子力学を使え」という言葉が発端となりました。
1994年 ：ピーター・ショアが素因数分解の量子アルゴリズム（ショアのアルゴリズム）を発表。世界に衝撃を与え、莫大な研究資金が流れ込むきっかけになります。
1996年 ：ロブ・グローバーがデータ検索を高速化するグローバーのアルゴリズムを発表。
**2019年 ** ：歴史的なマイルストーン。Googleが53量子ビットの超伝導プロセッサ「Sycamore」を用いて、古典のスーパーコンピュータで1万年かかる（とされた）乱数生成の検証計算を約200秒で完了させたと発表。世界初の 「量子超越性（Quantum Supremacy）」 の実証宣言として大きな話題を呼びました（後にIBMなどが古典スパコン側のアルゴリズムを改善し、数日で計算可能と反論するなどの熱い議論が交わされました）。
2023年以降 ：IBMが1000量子ビットを超えるプロセッサ「Condor」を発表。また、ハーバード大学などが「論理量子ビット」の生成と操作に成功するなど、エラー訂正技術の初期の実証が次々と報告され始めています。

次世代のテクノロジーに向けて

量子コンピュータは、単なる「クロック数が速い次世代のCPU」ではありません。計算という行為そのものの概念を、ミクロの世界を支配する量子力学のルールで根本から書き換える、まさに情報科学におけるパラダイムシフトです。

私たちが生きているうちに、ポケットに入る「パーソナル量子スマートフォン」を持つことはないでしょう（それは必要もありません）。しかし、AWSやAzureのようなクラウドネットワークの向こう側にある強大な量子データセンターが、ある日突然、不治の病の特効薬を発見したり、地球温暖化を解決する夢のクリーンエネルギー材料（例えば、常温で大気中の窒素からアンモニアを合成する触媒など）を弾き出したりする未来は、確実に近づいています。

今はまだ、巨大な真空管の熱で部屋中が暑くなりながら、パンチカードで動いていた1940年代のエニアック（ENIAC）のような黎明期に相当します。しかし、世界中のトップレベルの研究者やエンジニアたちが知恵を絞り、日々技術的なブレイクスルーが報告されています。この新しい「計算の夜明け」の進化の過程をリアルタイムで目撃できる私たちは、歴史上非常にエキサイティングな時代を生きていると言えるでしょう。

量子の世界への扉は、まだ開かれたばかりです。今後の動向から目が離せません。

この記事は量子コンピューティングの基本概念をビジネスパーソンや技術に興味を持つ一般の方向けにわかりやすく解説することを目的としています。厳密な数学的・物理学的な定義（ブラ・ケット記法や複素確率振幅の詳細など）からは一部簡略化している部分があることをご了承ください。

量子コンピュータは本当にRSA暗号を破壊するのか？〜ショアのアルゴリズムと現在の到達点〜

Sat, 05 Sep 2026 22:09:21 +0900

はじめに：暗号技術と量子コンピュータの交差点

現代のインターネット社会において、通信の秘密を守るための基盤となっているのが「公開鍵暗号」です。その中でも代表的なものが、1977年にRon Rivest、Adi Shamir、Leonard Adlemanの3氏によって開発された「RSA暗号」です。私たちが毎日利用しているオンラインショッピングの決済、ウェブサイトの閲覧（HTTPS）、メールの送受信に至るまで、RSA暗号はインターネットインフラの心臓部として機能しています。

しかし、「量子コンピュータ」の登場によって、この安全性が根底から覆される可能性が指摘されています。メディアでは「量子コンピュータが完成すれば、世界中のパスワードや暗号が数秒で解読されてしまう」といったセンセーショナルな見出しが躍ることもあります。果たして、それは本当なのでしょうか？

本記事では、古典的な暗号解読手法であるGNFS（一般数体ふるい法）と、量子コンピュータを用いた暗号解読アルゴリズムの決定版である「ショアのアルゴリズム（Shor’s Algorithm）」の仕組みを深く掘り下げます。量子フーリエ変換や周期発見といった高度な概念を分かりやすく解説し、現在のNISQ（Noisy Intermediate-Scale Quantum）時代における量子ハードウェアの現状と、実際にRSA-2048を破るために必要なハードルについて詳細に検証していきます。

RSA暗号の根幹：素因数分解の困難性

RSA暗号の安全性は、数学における極めてシンプルな非対称性に依存しています。それは、「2つの巨大な素数を掛け合わせることは簡単だが、その掛け合わせた結果（合成数）から元の2つの素数を見つけ出す（素因数分解する）ことは極めて難しい」という事実です。

例えば、 $ p = 61 $、 $ q = 53 $ という2つの素数があったとします。この掛け算 $ N = p \times q = 3233 $ を計算するのは一瞬です。しかし、「3233」という数字だけを与えられて、「これはどの素数とどの素数の掛け算か？」を解くのは、数字が大きくなればなるほど計算量が爆発的に増加します。

現在主流となっているRSA-2048では、鍵長が2048ビット、つまり10進数にして約617桁にも及ぶ巨大な合成数 $ N $ が使われています。この $ N $ を素因数分解できれば、暗号は解読されたも同然となります。

古典コンピュータによる挑戦：GNFS（一般数体ふるい法）

素因数分解問題を解くために、数学者や暗号学者は長年にわたり様々なアルゴリズムを開発してきました。その中で、古典コンピュータにおいて現在最も高速とされているのが 一般数体ふるい法（GNFS: General Number Field Sieve） です。

GNFSは、巨大な数 $ N $ を素因数分解するために、整数環における計算をより抽象的な代数体（Number Field）に拡張して解析する手法です。大まかな流れとしては以下のようになります。

多項式の選択 : $ N $ を根として持つような、適切な次数と係数を持つ多項式 $ f(x) $ を見つけます。
データ収集（ふるい分け） : 有理数体および代数体の上で、小さな素数（滑らかな数、Smooth numbers）に分解できるような数のペアを大量に探索します。このプロセスが「ふるい分け」と呼ばれ、最も時間を要する部分です。
行列の生成と簡約 : 収集した関係式を元に巨大な疎行列（成分のほとんどが0の行列）を生成し、線形代数的な手法（ブロック・ランチョス法など）を用いて解を求めます。
平方根の計算 : 最後に代数体上での平方根を計算し、$ N $ の因数（素因数）を導き出します。

GNFSの計算量は、非漸近的に $ O(\exp((\sqrt[3]{\frac{64}{9}} + o(1)) (\log N)^{\frac{1}{3}} (\log \log N)^{\frac{2}{3}})) $ と評価されます。これは「準指数関数的（Sub-exponential）」な時間計算量と呼ばれます。指数関数時間よりは速いものの、多項式時間（Polynomial time）よりは遥かに遅い計算量です。

実際に、2020年には国際的な研究チームがGNFSを用いてRSA-250（829ビット、250桁の合成数）の素因数分解に成功しました。この計算には、世界中の計算機リソースをかき集めて約2700 CPUコア年という膨大な計算時間を費やしています。しかし、これが2048ビットとなると、必要な計算量は宇宙の寿命の数兆倍にも膨れ上がると言及されており、現在のスーパーコンピュータをどれだけ並列稼働させても、古典的な手法では現実的な時間内で解読することは不可能です。

量子コンピュータの切り札：ショアのアルゴリズム

ここで登場するのが、1994年にピーター・ショア（Peter Shor）によって発表された「ショアのアルゴリズム」です。このアルゴリズムは、素因数分解問題を量子コンピュータ上で 多項式時間 （ $ O((\log N)^3) $ ）で解くことができるという画期的なものでした。準指数関数時間と多項式時間の差は決定的なものであり、理論上、量子コンピュータを使えばRSA暗号は完全に破壊されることを意味します。

ショアのアルゴリズムの全体フロー

mermaid graph TD A[素因数分解したい数 N を入力] --> B[ランダムな整数 a を選択] B --> C{a と N の<br>最大公約数} C -->|1より大きい| D[幸運にも素因数を発見！] C -->|1 互いに素| E[量子コンピュータの出番] E --> F[関数 f_x = a^x mod N の<br>周期 r を量子フーリエ変換で求める] F --> G{周期 r が偶数かつ<br>a^r/2 ≢ -1 mod N} G -->|Yes| H[最大公約数 gcd_a^r/2 ± 1, N を計算] H --> I((素因数分解成功！)) G -->|No| B

ショアのアルゴリズムは、素因数分解という問題を直接解くのではなく、数論の定理を用いて「周期発見問題（Period Finding Problem）」という別の問題に変換し、それを量子コンピュータの特性を活かして高速に解くというアプローチをとります。

ステップ1：素因数分解から周期発見問題への還元（古典的処理）

アルゴリズムの最初のステップは古典コンピュータで行われます。素因数分解したい数 $ N $ に対して、$ N $ と互いに素な（最大公約数が1の）ランダムな整数 $ a $ （ $ 1 < a < N $ ）を選びます。もし偶然にも最大公約数が1でなければ、その時点で見つかった公約数が $ N $ の素因数なので解読完了ですが、確率は極めて低いです。

次に、以下のモジュロ方程式の列を考えます。 $ f(x) = a^x \pmod N $

この関数 $ f(x) $ に $ x = 1, 2, 3, \dots $ と代入していくと、値はランダムなように見えますが、有限の範囲内で計算しているため、必ずどこかで元の値に戻り、同じ数列を繰り返します。この繰り返しの周期を $ r $ と呼びます。つまり、 $ a^r \equiv 1 \pmod N $ となる最小の正の整数 $ r $ を見つける問題、これが「周期発見問題」です。

もしこの周期 $ r $ が見つかり、かつ $ r $ が偶数であれば、$ a^r - 1 \equiv 0 \pmod N $ となり、因数分解の公式を用いて $ (a^{r/2} - 1)(a^{r/2} + 1) \equiv 0 \pmod N $ と変形できます。ここから、ユークリッドの互除法を使って $ N $ と $ a^{r/2} \pm 1 $ の最大公約数を計算することで、$ N $ の素因数が極めて高い確率で得られます。

古典コンピュータで周期 $ r $ を見つけるためには、結局のところ指数関数的なステップが必要となり高速化できません。しかし、量子コンピュータならばこの周期 $ r $ を一瞬で（多項式時間で）見つけることができるのです。

ステップ2：量子状態の準備と重ね合わせ

ここからが量子コンピュータの出番です。量子コンピュータは、「0」と「1」の状態を同時に持つことができる「量子ビット（Qubit）」を使用します。ショアのアルゴリズムでは、入力を格納するレジスタ（第1レジスタ）と、計算結果を格納するレジスタ（第2レジスタ）の2つを用意します。

まず、アダマールゲート（Hadamard gate）と呼ばれる量子ゲート操作を第1レジスタの全ての量子ビットに適用します。これにより、第1レジスタは考え得るすべての $ x $ の値（ $ 0 $ から $ 2^n-1 $ まで。$ n $ は十分大きなビット数）の 均等な重ね合わせ状態 になります。

つまり、量子コンピュータの内部には、$ x=0, 1, 2, 3, \dots $ という無数の入力値が同時に並行して存在している状態が作られます。

ステップ3：量子モジュロべき乗算（Quantum Modular Exponentiation）

次に、第1レジスタの重ね合わせ状態を入力として、$ f(x) = a^x \pmod N $ を計算し、その結果を第2レジスタに格納します。この計算は量子回路上のユニタリ変換として実行されるため、重ね合わせが保たれたまま、すべての $ x $ に対する $ f(x) $ の計算が「同時並行的に（量子並列性）」行われます。

この時点での量子システム全体の空間は、 $ |x, a^x \bmod N\rangle $ という状態の膨大な重ね合わせになっています。

しかし、ここで単純に第2レジスタを測定（観測）してしまうと、ランダムな $ a^x \bmod N $ の値が一つだけ確率的に選ばれ、それに連動して第1レジスタの $ x $ も一つに確定してしまいます。これでは古典コンピュータで一回計算したのと同じことで、周期 $ r $ を見つけることはできません。

量子力学のルールでは、重ね合わせ状態の中身を直接覗き見ることはできないのです。では、どうやって全体の「周期」というグローバルな情報を抽出するのでしょうか？

ステップ4：量子フーリエ変換（QFT: Quantum Fourier Transform）

この壁を突破するショアのアルゴリズムの真骨頂が、第1レジスタに対する 量子フーリエ変換（QFT） の適用です。

測定を行う前に、関数 $ f(x) $ の波の性質を解析します。第2レジスタを観測したと仮定しましょう。ある値 $ y $ が得られたとします。すると、第1レジスタの状態は「 $ a^x \pmod N = y $ となるような全ての $ x $ の重ね合わせ」に収縮します。この $ x $ の値は、$ x_0, x_0 + r, x_0 + 2r, x_0 + 3r, \dots $ のように、周期 $ r $ の間隔で離散的に並んだ状態（一種の櫛状の確率振幅分布）になります。

この状態に対して量子フーリエ変換（QFT）を適用します。古典的な離散フーリエ変換が時間領域の信号を周波数領域に変換するように、QFTは量子状態の確率振幅に干渉を起こさせます。

QFTをかけると、量子干渉効果によって、周期 $ r $ と共鳴しない（位相が揃わない）誤った答えの確率は互いに打ち消し合ってゼロに近づき（破壊的干渉）、周期 $ r $ の情報を持つ正しい答えの確率だけが増幅されます（建設的干渉）。

ステップ5：測定と連分数展開（古典的後処理）

QFT適用後に第1レジスタを測定すると、非常に高い確率で $ c \approx \frac{j \cdot 2^n}{r} $ という形に近い整数 $ c $ が得られます（ $ j $ は未知の整数、$ 2^n $ はレジスタのサイズ）。

この測定結果 $ c $ を古典コンピュータに戻し、$ \frac{c}{2^n} \approx \frac{j}{r} $ という分数を作ります。そして、数学的手法である「連分数展開（Continued fraction expansion）」を用いて近似値を計算することで、分母である周期 $ r $ を見事にあぶり出すことができます。

$ r $ が分かれば、あとはステップ1の公式を使って $ N $ の素因数を計算し、RSA暗号は完全に解読されます。

現状の量子コンピュータ（NISQ）の実力と課題

理論的には完璧なショアのアルゴリズムですが、「明日にもRSA暗号が破られるのか？」と問われれば、答えは明確に「ノー」です。その理由は、現在の量子コンピュータのハードウェア技術の限界にあります。

NISQ（Noisy Intermediate-Scale Quantum）時代

現在我々が存在しているのは、「NISQ」と呼ばれる時代です。NISQデバイスは、数十から数百の物理量子ビットを持ちますが、ノイズに対して極めて脆弱です。

量子ビットは、熱や電磁波などの外部環境の影響を受けやすく、量子状態が壊れてしまう「デコヒーレンス（量子もつれ喪失）」や、ゲート操作時の「ゲートエラー」が頻繁に発生します。ショアのアルゴリズムのような非常に深い（演算ステップ数が膨大な）量子回路を実行しようとすると、計算の途中でエラーが蓄積し、最終的な出力は意味を持たない完全なノイズになってしまいます。

物理量子ビットと論理量子ビット

このエラー問題を解決するために不可欠なのが「量子誤り訂正（Quantum Error Correction）」です。古典コンピュータでも誤り訂正コードは使われていますが、量子状態の複製を禁じる「量子複製不可能定理」があるため、量子誤り訂正は非常に複雑です。

量子誤り訂正では、「表面符号（Surface Code）」などの技術を用いて、多数のノイズだらけの「物理量子ビット」を組み合わせることで、エラーのない理想的な1つの「論理量子ビット」を作り出します。

現在のエラー率を前提とすると、1つの論理量子ビットを作るためには、およそ1,000〜10,000個の物理量子ビットが必要になると試算されています。これを「誤り訂正のオーバーヘッド」と呼びます。

RSA-2048を破壊するために必要なリソースとは？

では、実際にRSA-2048を解読するために、ショアのアルゴリズムを走らせるにはどれくらいのリソースが必要なのでしょうか？

Craig Gidney (Google) と Martin Ekerå による2021年の論文による画期的なリソース推定では、最適化されたショアのアルゴリズムを使用し、表面符号による誤り訂正を行った場合、以下のリソースが必要になるとされています。

論理量子ビット数 : 約 4,096 個
物理量子ビット数 ** : ** 約 2000万個 （エラー率 $10^{-3}$ 程度を仮定）
計算時間 : 約 8時間（物理ゲート操作が数百万〜数十億回必要）

これに対して、現在の量子ハードウェアの到達点はどうでしょうか。 2023年末にIBMが発表した超伝導量子プロセッサ「Condor（コンドル）」は 1,121 量子ビットです。また、論理量子ビットの生成に関する画期的な研究（ハーバード大学やQuEra社などによる中性原子量子コンピュータを用いた48個の論理量子ビットの生成など）も登場していますが、まだ「ノイズのない完璧な演算」を長時間連続して実行できる段階にはありません。

数千の物理量子ビットから、 2000万個 の実用的な物理量子ビット（かつ相互結線され、極低温で安定動作し、超高速で制御信号を処理できるシステム）へのスケールアップは、工学的にとてつもない壁（配線問題、冷却能力の限界、制御エレクトロニクスの肥大化）が存在します。多くの専門家は、RSA-2048を解読可能な「フォールトトレラント（誤り耐性）量子コンピュータ（FTQC）」が実現するには、少なくとも10年から30年、あるいはそれ以上の年月が必要だと予測しています。

忍び寄る「Store Now, Decrypt Later」の脅威とPQCの夜明け

「まだ10年以上かかるなら安心だ」と考えるのは早計です。現在、国家の機密情報や医療データ、長期的なインフラ設計など、数十年先まで秘密を担保しなければならないデータが存在します。

ここで懸念されているのが、 「Store Now, Decrypt Later（今保存して、後で解読する）」 という攻撃手法です。悪意のある国家や組織が、現在のRSAやECC（楕円曲線暗号）で暗号化された通信データをすべて傍受し、ストレージに保存しておくのです。そして10年後、20年後に強力な量子コンピュータが完成した瞬間に、ショアのアルゴリズムを用いて過去のデータをすべて解読し、秘密を暴露するという手法です。

このタイムラグの脅威に対抗するため、NIST（米国国立標準技術研究所）を中心に、 「耐量子計算機暗号（PQC: Post-Quantum Cryptography）」 の標準化プロセスが急ピッチで進められてきました。

PQCは、量子コンピュータを用いても解読が困難（つまり、ショアのアルゴリズムが適用できない）な数学的問題をベースにした新しい暗号アルゴリズムです。主なアプローチとして以下のようなものがあります。

格子暗号（Lattice-based cryptography） : LWE（Learning with Errors）問題などを基礎とする。NISTの標準化で主流（Kyber、Dilithiumなど）。
符号ベース暗号（Code-based cryptography） : 誤り訂正符号の復号問題の困難性に依存。
多変数多項式暗号（Multivariate cryptography） : 多変数の連立二次方程式を解く困難性に依存。
ハッシュベース署名（Hash-based signatures） : ハッシュ関数の安全性のみに依存するデジタル署名。

すでにGoogle ChromeやAppleのiMessageなど、主要なソフトウェアやプラットフォームではPQCの導入テストやハイブリッド実装が開始されています。

おわりに

量子コンピュータは、SFの世界の夢物語から現実の工学的挑戦へと移行しています。ショアのアルゴリズムは、数学と量子力学が融合した人類の偉大な知的成果ですが、同時に我々のデジタル社会の基盤を揺るがす「破壊的な力」を秘めています。

RSA暗号が明日すぐに使えなくなるわけではありません。しかし、量子技術の進化と「Store Now, Decrypt Later」のリスクを鑑みれば、PQCへの移行という暗号史に残る大規模なマイグレーションはすでに始まっています。我々は今、情報セキュリティにおけるパラダイムシフトの最前線を目撃しているのです。

【数式で完全理解】古典最強「GNFS」はなぜ量子アルゴリズムに敗れるのか？素因数分解のパラダイムシフト

Mon, 01 Jan 0001 00:00:00 +0000

現代のインターネット社会における情報セキュリティは、RSA暗号をはじめとする公開鍵暗号方式によって守られています。RSA暗号の安全性の根拠は、 「巨大な合成数の素因数分解は計算量的に極めて困難である」 という事実に依存しています。

本記事では、古典コンピュータにおいて最強の素因数分解アルゴリズムである 「一般数体ふるい法」 （General Number Field Sieve, GNFS）の数学的メカニズムを紐解くとともに、それがなぜピーター・ショアによって発見された 「Shorのアルゴリズム」 によって完全に打ち破られるのか、そのパラダイムシフトを数式と概念図を用いて徹底的に深掘りします。

1. 古典計算における素因数分解のアプローチ：フェルマーの素因数分解法からの発展

素因数分解問題とは、与えられた合成数 $N$ に対して、$N = p \times q$ となる素数 $p, q$ を見つける問題です。

基本的なアイデアは、次の合同式を満たす非自明な $x, y$ を見つけることに帰着します。

$$ x^2 \equiv y^2 \pmod N $$

これを変形すると、

$$ x^2 - y^2 \equiv 0 \pmod N $$ $$ (x - y)(x + y) \equiv 0 \pmod N $$

ここで、$x \not\equiv \pm y \pmod N$ であれば、$\gcd(x-y, N)$ または $\gcd(x+y, N)$ を計算することで、$N$ の非自明な因数を得ることができます。この事実がGNFSなどの近代的な素因数分解アルゴリズムの基礎となっています。

2. 古典最強のアルゴリズム：「一般数体ふるい法」（GNFS）の深淵

「GNFS」 は、今日知られている古典コンピュータ向けの素因数分解アルゴリズムの中で最も高速なものです。その時間計算量は、準指数関数的（Sub-exponential）な時間を要します。

GNFSの計算量

数 $N$ の桁数を $b = \log_2 N$ としたとき、GNFSの計算量は次のように表されます。

$$ O\left( \exp \left( \left(\frac{64}{9} b\right)^{1/3} (\log b)^{2/3} \right) \right) $$

この式からわかるように、計算量は多項式時間ではなく、指数関数よりはわずかに遅い 「準指数時間」 となります。それでも桁数が増えれば計算時間は天文学的に増大します。

GNFSの数学的メカニズム

GNFSは大きく分けて4つのステップで構成されます。

多項式選択 (Polynomial Selection)
ふるい分け (Sieving)
行列の簡約化 (Matrix Reduction)
平方根の計算 (Square Root)

2.1. 多項式選択と代数体

まず、整数を係数とする既約多項式 $f(x)$ と $g(x)$ を選びます。これらは共通の根 $m$ を modulo $N$ で持つように設定されます。すなわち、

$$ f(m) \equiv 0 \pmod N $$ $$ g(m) \equiv 0 \pmod N $$

通常、$g(x)$ は一次多項式 $g(x) = x - m$ として選ばれます。$f(x)$ の根を $\alpha$ とおくと、$\mathbb{Q}(\alpha)$ という 「代数体」 （Number Field）が構成されます。$\mathbb{Q}(\alpha)$ の環における演算と、通常の整数環 $\mathbb{Z}$ の演算を、準同型写像 $\phi: \alpha \mapsto m$ を通じて比較します。

2.2. ふるい分け (Sieving)

次に、互いに素な整数のペア $(a, b)$ を大量に探索します。目的は、以下の2つの値がそれぞれ 「B-smooth」 （比較的小さな素因数のみで構成される）になるようなペアを見つけることです。

$a - bm$ （整数環上での値）
$b^d f(a/b)$ （代数体上でのノルム $N(a - b\alpha)$ に対応）

ここで 「ふるい」 （Sieve）と呼ばれる高速な探索手法が用いられます。これにより、膨大な候補の中から条件を満たす $(a, b)$ ペアを効率的に抽出します。

2.3. 行列の簡約化 (Linear Algebra over GF(2))

集めたペア $(a, b)$ から、指数ベクトルを構成し、巨大な疎行列の左零空間を $\mathbb{F}_2$ （要素が0と1のみの体）上で求めます。

関係式 $ \prod (a_i - b_i m) $ と $ \prod (a_i - b_i \alpha) $ がそれぞれ平方元になるように、ベクトル $v$ を解として見つけます。これは、

$$ M \mathbf{x} \equiv \mathbf{0} \pmod 2 $$

という線形方程式系を解くことに他なりません。ここで、ブロック・ランチョス法（Block Lanczos Algorithm）やブロック・ウィーデマン法（Block Wiedemann Algorithm）などの高度な数値計算アルゴリズムが活用されます。

2.4. 平方根の計算

最後に、代数体と整数環の双方で平方根を取り、$x^2 \equiv y^2 \pmod N$ という関係式を導き出します。そして、$\gcd(x-y, N)$ を計算し、因数を得ます。

3. 量子計算によるブレイクスルー：「Shorのアルゴリズム」

GNFSが準指数関数的な時間を必要とするのに対し、1994年にピーター・ショアが発表した 「Shorのアルゴリズム」 は、量子コンピュータを用いることでこの問題を 「多項式時間」 で解くことができます。

Shorのアルゴリズムの計算量

量子ビット数を $O(\log N)$ としたとき、時間計算量は次のようになります。

$$ O((\log N)^3) $$

これは、ビット数に対して指数関数的な爆発を起こさないことを意味します。 「古典計算」 の計算量が宇宙の寿命を超えるような巨大な合成数であっても、 「量子計算」 では数時間〜数日で解読可能になるという驚異的な結果です。

Shorのアルゴリズムの全体像：周期発見問題への帰着

Shorのアルゴリズムは、素因数分解問題を 「周期発見問題」 へと巧みに帰着させます。

$N$ と互いに素なランダムな整数 $a$ を選ぶ（$1 < a < N$）。
関数 $f(x) = a^x \bmod N$ を定義する。
$f(x)$ の周期 $r$、すなわち $a^r \equiv 1 \pmod N$ となる最小の正整数 $r$ を見つける。
$r$ が偶数であれば、$a^{r/2} \not\equiv -1 \pmod N$ かどうかを確認し、$\gcd(a^{r/2} \pm 1, N)$ を計算して素因数を得る。

このステップ3の 「周期 $r$ の発見」 こそが、古典コンピュータでは指数関数的時間を要するボトルネックですが、量子コンピュータは 「量子重ね合わせ」 と 「量子フーリエ変換」 （QFT）を用いることで、これを一瞬で解決します。

4. 量子フーリエ変換（QFT）と周期の抽出

Shorのアルゴリズムの核心である、量子状態の操作について数式で詳しく見ていきましょう。

4.1. 量子重ね合わせの生成

まず、2つの量子レジスタを用意します。レジスタ1は入力 $x$ の重ね合わせ状態を保持し、レジスタ2は関数の計算結果 $f(x)$ を保持します。初期状態 $|0\rangle |0\rangle$ に対してアダマール変換（Hadamard Transform）を適用し、すべての可能な $x$ の重ね合わせを作り出します。

$$ |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |0\rangle $$

（ここで $Q$ は $N^2 \le Q < 2N^2$ を満たす2のべき乗）

次に、量子オラクル $U_f$ を用いて $f(x) = a^x \bmod N$ を計算し、レジスタ2に格納します。

$$ |\psi_2\rangle = U_f |\psi_1\rangle = \frac{1}{\sqrt{Q}} \sum_{x=0}^{Q-1} |x\rangle |a^x \bmod N\rangle $$

ここでレジスタ2を測定したと仮定しましょう（実際には測定しなくても数学的構造は同じです）。ある値 $y = a^{x_0} \bmod N$ が観測されたとすると、レジスタ1の状態は、$f(x) = y$ となるすべての $x$ の重ね合わせに収縮します。周期を $r$ とすると、そのような $x$ は $x_0, x_0 + r, x_0 + 2r, \dots$ となります。

$$ |\psi_3\rangle = \frac{1}{\sqrt{M}} \sum_{k=0}^{M-1} |x_0 + kr\rangle $$

（ここで $M \approx Q/r$ は項の数）

この状態は、周期 $r$ の情報を内在していますが、直接測定してもランダムな $x_0 + kr$ が得られるだけで、周期 $r$ はわかりません。ここでQFTの出番です。

4.2. 量子フーリエ変換 (Quantum Fourier Transform) の適用

QFTは、量子状態の振幅に対して離散フーリエ変換を行う操作です。状態 $|x\rangle$ に対するQFTの作用は以下のように定義されます。

$$ \text{QFT} |x\rangle = \frac{1}{\sqrt{Q}} \sum_{y=0}^{Q-1} e^{2\pi i \frac{xy}{Q}} |y\rangle $$

これを $|\psi_3\rangle$ に適用すると、位相の干渉（量子干渉）が起こります。

$$ |\psi_4\rangle = \text{QFT} |\psi_3\rangle = \frac{1}{\sqrt{MQ}} \sum_{y=0}^{Q-1} \sum_{k=0}^{M-1} e^{2\pi i \frac{(x_0 + kr)y}{Q}} |y\rangle $$

この式の和を展開すると、

$$ \sum_{k=0}^{M-1} e^{2\pi i \frac{kry}{Q}} $$

という部分が現れます。この幾何級数の和は、$ry/Q$ が整数に近いときにのみ強め合い（Constructive Interference）、それ以外のときには相殺し合います（Destructive Interference）。

したがって、高い確率で測定される状態 $|y\rangle$ は、

$$ \frac{y}{Q} \approx \frac{c}{r} $$

という条件を満たす整数 $y$ となります（$c$ は何らかの整数）。

4.3. 連分数展開による周期の特定

測定によって $y$ を得た後、古典コンピュータを用いて $y/Q$ を 「連分数展開」 （Continued Fraction Expansion）します。これにより、$y/Q$ の近似分数 $c/r$ を計算し、分母から周期 $r$ の候補を高効率に抽出することができます。

5. 概念モデルの比較とパラダイムシフト

GNFSとShorのアルゴリズムの違いを直感的に理解するために、Mermaid記法による概念図を示します。

量子回路によるShorのアルゴリズムの概念図

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


graph TD
 A[初期状態: 0...0] --> B[Hadamard変換で全状態の重ね合わせ]
 B --> C[モジュラべき乗演算 a^x mod N]
 C -->|量子もつれ| D[周期性を持つ状態への収縮]
 D --> E[量子フーリエ変換 QFT]
 E -->|干渉による確率増幅| F[測定: yを得る]
 F --> G[古典処理: 連分数展開]
 G --> H[周期 r の発見]
 H --> I[Nの素因数を算出]

 style A fill:#f9f,stroke:#333,stroke-width:2px
 style E fill:#bbf,stroke:#333,stroke-width:2px
 style I fill:#bfb,stroke:#333,stroke-width:2px

パラダイムシフトの本質

GNFSは 「数学的な空間（代数体）の中で関係式を探索する」 というアプローチをとります。しかし、探索空間は桁数に対して指数関数的に拡大するため、古典コンピュータの計算能力（並列化を含めても）では、鍵長が2048ビットなどを超えると事実上解読不可能になります。

一方、Shorのアルゴリズムは 「量子干渉による波の性質」 を利用します。重ね合わせ状態にあるすべての計算経路を同時に評価し、QFTによって不要な答えを相殺（弱め合い）、正解となる周期の確率振幅だけを増幅（強め合い）させます。これにより、空間を探索するのではなく、 「正解そのものを浮かび上がらせる」 という全く異なる次元のアプローチを実現しているのです。

6. まとめ

本記事では、古典限界の極みである 「GNFS」 と、量子計算の力を見せつける 「Shorのアルゴリズム」 について、それぞれの数学的背景とアルゴリズムの構造を深く比較しました。

GNFSが多項式の選択や巨大行列の計算といった数学的技巧を凝らして準指数時間へと計算量を押し下げたのに対し、Shorのアルゴリズムは量子力学の基本原理である重ね合わせと干渉を数学的ツール（QFT）と融合させ、一気に多項式時間へとブレイクスルーを果たしました。

現状では、実用的な規模（数千量子ビット）でShorのアルゴリズムを実行できるエラー耐性量子コンピュータ（FTQC）は存在しません。しかし、この数学的・理論的なパラダイムシフトの存在こそが、現在世界中で耐量子計算機暗号（PQC: Post-Quantum Cryptography）への移行が急がれている最大の理由なのです。