No.320 - 健康維持には運動が必須

科学雑誌「日経サイエンス」の記事を紹介した、No.272「ヒトは運動をするように進化した」と、No.286「運動が記憶力を改善する」の続きで、"ヒトが健康を維持するためには運動が必須" というテーマです。

ふつう "運動" というと、ジムに通ってエクササイズをしたり、筋トレをしたり、またランニングやサイクリング、ウォーキングなどの「意識的に体や筋肉を動かすこと」を思い浮かべます。しかしここで言う運動とは、徒歩通勤も、都会の営業担当の人が電車と徒歩で顧客回りをするのも運動です。もちろん農業や建設労働など、かなりの "運動" が必要な職業もあります。運動というより「身体活動のすべて」と言った方がよいと思います。

まず No.272 と No.286 の復習をしますと、No.272「ヒトは運動をするように進化した」は進化人類学の視点からの解説で、狩猟・採集の生活を送ってきたヒトは「運動に適合した体に進化してきた」という話でした。これは大型類人猿と比較するとよく分かります。要約すると次の通りです。

◆	大型類人猿は日中の8～10時間を休憩とグルーミング、食事にあて、一晩に9～10時間の睡眠をとる。チンパンジーとボノボは1日に約3km歩くが、ゴリラとオランウータンの1日あたりの移動距離はもっと少ない。
◆	つまり、大型類人猿は習慣的に身体活動度が低く、人間の基準からすると「怠け者」である。
◆	それにもかかわらず大型類人猿は、たとえ飼育下であっても驚くほど健康である。糖尿病になることはまれで、加齢によって血圧が上がることもない。動脈硬化もなく、結果として心臓病にはならず、冠動脈閉塞による心臓発作も起こさない。肥満とは無縁で、飼育下であってもゴリラとオランウータンの平均体脂肪率は14～23%、チンパンジーに至っては10%未満で、オリンピック選手並みである。

人間がゴリラやオランウータン、チンパンジーなみの生活を続けたとしたら、いわゆる生活習慣病になります。それは、健康に悪いとされている生活スタイルの典型です。人間の仲間である霊長類ヒト科（ヒト、チンパンジー、ボノボ、ゴリラ、オランウータン）の中では、ヒトだけが特別なのです。

ヒトは200万年にわたる "狩猟採集" というライフ・スタイルで生き残り、高い身体活動レベル（現代人の基準では、歩行換算で１日１万歩程度。もちろん個人差はある）に適合するように進化しました。逆に言うと、身体活動によって健康が維持できる体になったわけです。具体的には、運動は健康維持に次のような好影響があることが分かってきました。

◆	運動は神経新生と脳の成長を促す神経栄養分子の放出を引き起こす。また、記憶力を改善し、加齢による認知機能の低下を防ぐ。
◆	持久力を要する運動は、心血管疾患の重大なリスク因子である慢性炎症を抑える。また、ステロイドホルモンであるテストステロンとエストロゲン、プロゲステロンの安静時レベルを下げ、これが要因となって生殖器系のがんの発生率を下げる。
◆	運動は２型糖尿病の直接原因であるインスリン抵抗性を低下させることが知られており、ブドウ糖を脂肪に変換する代わりに筋グリコーゲンとして貯蔵するのを助ける。
◆	定期的な運動は免疫系の機能を改善して感染を防ぐ効果があり、この効果は年齢とともに高まる。

最初の項目に「記憶力を改善し、加齢による認知機能の低下を防ぐ」とありますが、この運動の脳に対する好影響を解説したのが No.286「運動が記憶力を改善する」でした。我々は「筋肉に負荷をかけると筋肉が増強される」のは当然と考えます。この類推で言うと「脳に負荷をかけると脳が増強される」はずです。私たちは、歩いたり走ったりするのは体が自動的に動いているように考えがちです。しかしそれが誤解です。むしろ、運動は身体的活動であるのと同じくらい認知的活動なのです。マウスによる実験で、運動によって脳の海馬（＝記憶の司令塔）の神経細胞が増大することが分かりました。では、人間ではどうなのか。No.286 で紹介したのは次の実験例でした。

◆	イリノイ大学での試験では、12ヶ月の有酸素運動が高齢者のBDNF(脳由来神経栄養因子)のレベルの上昇と海馬の拡大、記憶力の改善につながった。
◆	英国の中高年7000人以上を対象とした研究では、適度あるいは激しい身体活動に従事する時間が長い人の海馬が大きいことがわかった。運動が海馬とその認知機能にとって有益であることは明らかである。

BDNF（Brain-Derived Neurotropic Factor。脳由来神経栄養因子）は神経細胞の成長を促すタンパク質で、学習・記憶・判断などの高度な脳機能を担当する部位に作用します。神経栄養因子は何種類かありますが、その中では最も強力なものです。BDNFはは脳以外にも、網膜、腎臓、唾液腺、前立腺、歯の関連細胞などでも作られ、それらの機能の回復や向上を促すことも知られています。

---

日経サイエンス 2014年7月号

以上、要約を紹介した No.272「ヒトは運動をするように進化した」と、No.286「運動が記憶力を改善する」は、科学雑誌「日経サイエンス」の 2019年4月号 と 2020年5月号に掲載された論文の紹介でした。

日経サイエンスにはこの他にも健康維持と運動の関係を示した論文があります。今回はそれを紹介します。2014年7月号に掲載された「運動で病気が防げるわけ」と題するものです（原題：Why Exercise Works Magic ─ Scientific American 誌）。著者は、チャーチ教授（ルイジアナ州立大学）とハーバード大学のマンソン教授とバサック研究員です。以下、主な内容を紹介します。

---

運動で病気が防げる

---

まずこの論文では冒頭に次のように書かれています。

運動すべきであることは誰もが知っている。だが、健康を維持・増進するためにできる最も重要な取り組みが肉体的運動であることを認識している人はほとんどいない。 「運動で病気が防げるわけ」 T. チャーチ（ルイジアナ州立大学教授） J. マンソン（ハーバード大学教授） S. バサック（ハーバード大学研究員） 「日経サイエンス」2014年7月号

健康維持のために重要ことはいろいろあります。バランスがとれた食事がそうだし（特に野菜の摂取）、適度な睡眠をとる規則正しい生活もそうでしょう。精神面の健康ではストレスをため込まない工夫も重要です。しかし健康維持のために最重要なのが運動である ･･････。本論文ではこの認識にたって、2010年代に新たに判明した運動の効能について書かれています。まず、運動の脳に対する影響ですが、本論文では次のように説明されています。

運動によって脳内に生じる化学的な変化が調べられてきた。集中力や思考力、判断力を高めるような変化だ。60代と70代の被験者120人を対象にした科学的に厳密な実験（ランダム化比較試験）の結果、海馬という脳領域のサイズが運動によって大きくなることが2011年に示された。 この研究チームは海馬のうち運動による影響を受けた部分が、人に見近な環境を記憶させる領域であることに注目した。また、その領域は新しい神経細胞が生まれる数少ない脳領域の１つでもある（少なくともラットでは）。これらの新生ニューロンは似た出来事や物体を区別するのを助けていると考えられている。 さらに動物実験よって、新生ニューロンの成長を引き起こす脳由来神経栄養因子（BDNF）という化学物質の濃度が運動によって高まることが示された。 日経サイエンス（2014年7月号）

運動が脳や記憶に与える影響の詳しい解説は、No.286「運動が記憶力を改善する」にある通りです。これは2011年頃から明らかになったようで、人間相手の研究には MRI の発展と普及が大いに貢献しているのでしょう。

以降は、運動が体に与える変化として「運動とコレステロール」「運動とインスリン」の部分を紹介します。

---

運動とコレステロール

---

コレステロールは細胞膜の構成物質であり、細胞内でのさまざまな化学反応にもかかわっていて、生命維持にとって必須の物質（脂質の一種）です。体内（主に肝臓）で作られたコレステロールは血液で輸送されますが、水に溶けにくいため、親水性であるリポタンパク質（Lipoprotein）との複合体を構成して血液中を運ばれます。リポタンパク質は、血液中ではコレステロールを供給する役割と、回収する役割の両方を担います。

リポタンパク質には、低密度の LDL（Low Density Lipoprotein）と、高密度の HDL（High Density Lipoprotein）があります。LDL は肝臓で生成されたコレステロールを体内に供給する役割を担い、HDL は逆にコレステロールを回収します。このうち、LDL は酸化されやすく、血管内に動脈硬化巣としてたまりやすい性質があります。このため「LDL・コレステロール複合体」を俗に「悪玉コレステロール」、「HDL・コレステロール複合体」を「善玉コレステロール」と呼んでいます。もちろん「悪玉」と言われる LDL も人体にとって必須の存在です。要は LDL と HDL が基準値内にバランス良く保たれていることが重要です。

日常的に運動をしていると、①血圧が下がる　②HDLコレステロールの血中濃度が上がる、③LDLコレステロールの血中濃度が下がる、という３つの作用によって心血管疾患のリスクが下がる、というのが従来からの理解でした。しかし近年になって重要なことが分かってきました。日経サイエンスから引用します。

最近、運動がLDLに及ぼす影響で重要なのは血中濃度の低下よりも、この分子の性質の変化であることが示された。 厳密には LDL はコレステロールと同義ではない。LDL はコレステロールという荷物を乗せて血流中を運行する宅配便トラックのようなものだ（脂肪でできたコレステロールは水を主成分とする血液には溶けないため、水に溶ける物質、この場合は LDL に包まれて運ばれる）。また宅配便がミニバンや大型トラックで配達されるように、LDL のサイズも様々だ。 過去数年で、小さなLDL分子が特に危険であることを示す研究結果が次々と発表されている。例えば小さなLDL分子は電子を失いやすく、そうなると血管内のあちこちを跳ね回って他の分子や細胞を傷つける（おんぼろのライトバンをイカれたドライバーが運転しているような状況だ）。これに対し大きなLDL分子はずっと安定しており、何物にもぶつかることなく血液中をスムーズに流れていく（整備された大型トラックを熟練ドライバーが運転している状況）。 現在までに、運動によって危険な小型 LDL 分子が減る一方、安全にな大型 LDL 分子が増えることがわかっている。リポタンパク質リパーゼという酵素の働きが脂肪組織と筋組織で活発になり、LDL 分子の比率を変えるようだ。だから、血中コレステロール値が同じ人でも運動量がが違えば、心臓病のリスクは異なる。 カウチポテト族の血液はおそらく小さなLDL分子が多く、大きな分子はあったとしてもわずかで、活動的な人の血液は大きな分子が大半だろう。よってコレステロール値が同じであっても。カウチポテト族は運動量の多い人に比べて心臓発作を起こすリスクが数倍高いのだと考えられる。 日経サイエンス（2014年7月号）

我々は健康診断の結果の数値が基準内にあるかを見て、安心したりドキッとしたりしますが、こと LDL コレステロールに関しては、単に数値で示された以上の健康ファクター（またはその逆の健康リスク）があることがわかります。

---

運動と血糖値

---

上に書いた、No.272「ヒトは運動をするように進化した」の要約の中に、

運動は２型糖尿病の直接原因であるインスリン抵抗性を低下させることが知られている。

との主旨がありました。「日経サイエンス」2014年7月号ではこの理由が詳しく説明されています。以下の通りです。

定期的な運動は、（コレステロール以外の）もう１つの重要な血液成分であるブドウ糖にも好影響を及ぼす。寝ている時も起きているときも、肝臓と膵臓、骨格筋（首や胴、手足を動かす筋肉）は一致協力して、体の各部が必要とするブドウ糖を確実に得られるように働いている。運動すると当然ながら骨格筋への負荷が増え、エネルギー源としてより多くのブドウ糖を必要とするようになる。長期的には、運動によって骨格筋の筋繊維がブドウ糖をより効率的に利用できるようになり、筋力が増す。 肝臓は燃料の追加要求に即応してブドウ糖分子を血液に送り込み、膵臓はインスリンを放出する。インスリンはホルモンの一種で、筋肉細胞に対して血液からどんどんブドウ糖を取り込むように指令する。 日経サイエンス（2014年7月号）

血糖値は 70～140（mg/100cc）程度に保たれています（数値は論文のもの）。脳の主要なエネルギーはブドウ糖であるため、血糖値が70以下になると意識障害が始まり、さらには昏睡から死に至りかねません。また血糖値が多すぎると糖毒性によって血管や神経が損傷し、糖尿病になります（このあたりの詳細は No.226「血糖と糖質制限」参照）。なお、140以下というのは食事後2時間の値であり、空腹時では126以下です。

この血糖値をコントロールする上で、運動の役割が重要なのです。そのところを引用します。

運動が日常的な習慣になるにつれ筋肉はインスリンに敏感に反応するようになる。この結果、膵臓が懸命に働かなくても血糖値を抑えられるようになる。かつて高濃度のインスリンで得ていたのと同じ効果を低濃度のインスリンで得られるようになるのだ。 これは特に２型糖尿病の患者にとっては大きな助けになる。２型糖尿病の場合、主に体がインスリンに反応しにくい（インスリン抵抗性を示す）ために、血糖値を正常範囲に保てなくなっているからだ。 またインスリンは新しい細胞の増殖を促す作用もある。このためインスリン値が高いと、特に乳がんと大腸がんのリスクが高まる。 日経サイエンス（2014年7月号）

「運動は、血液中のブドウ糖（血糖）を筋肉にすみやかに取り込む訓練をしているようなもの」なのですね。従って体はインスリンに対する反応が良くなり（＝インスリン抵抗性が低下し）、糖尿病のリスクが少なくなる。

---

健康に過ごすためには運動が重要ということは、ずいぶん昔から言われてきました。しかし2000年代以降、なぜ運動が必要なのか、その生理学上のメカニズムが次々と明らかにされてきました。「運動が健康維持に必須の理由」を人体の成り立ちに沿って理解することは、運動を続けてそれを習慣とする上での大きなモチベーションになると思います。

---

---

タグ：糖尿病 コレステロール インスリン LDL HDL インスリン抵抗性

No.319 - アルマ＝タデマが描いた古代世界

前回の No.318「フェアリー・フェラーの神技」は、19世紀英国のリチャード・ダッドの絵画をもとに、ロックバンド、クィーンが同名の楽曲を作った話でした。今回は、絵画が他のジャンルの創作に影響した話の続きとして映画のことを書きます。リドリー・スコット監督の『グラディエーター』（2000）に影響を与えた絵画のことです。

実は、No.203「ローマ人の "究極の娯楽"」で、フランスの画家・ジェロームが古代ローマの剣闘士を描いた『差し下おろされた親指』（1904）が『グラディエーター』の誕生に一役買った話を書きました。そのあたりを復習すると次のようです。

---

20世紀末、ハリウッド映画で "古代ローマもの" を復活させようと熱意をもった映画人が集まり、おおまかな脚本を書き上げました。紀元180年代末の皇帝コンモドスを悪役に、架空の将軍をヒーローにした物語です。将軍は嫉妬深いコンモドス帝の罠にはまり、奴隷の身分に落とされ、剣闘士（グラディエーター）にされてしまう。そして彼は剣闘士として人気を博し、ついにはローマのコロセウムで、しかもコンモドス帝の面前で命を賭けた戦いをすることになる。果たして結末は ･･････。

制作サイドは監督にリドリー・スコットを望んだ。『エイリアン』『ブレードランナー』『ブラック・レイン』『白い嵐』など、芸術性とエンターテインメント性を合体させたヒット作を連打していたスコットなら、古代ローマものを再創造してくれるに違いない、と。 だがスコットは最初はあまり乗り気ではなかったらしい。そこで制作総指揮者は彼に『差し下された親指』を見せた。フランスのジェロームが百年以上も昔に発表した歴史画である。後にスコット曰く、「ローマ帝国の栄光と邪悪じゃあくを物語るこの絵を目にした途端、わたしはこの時代の虜とりこになった」（映画パンフレットより）。 こうして完成された『グラディエーター』（2000年公開）は、アカデミー賞作品賞、主演男優賞（ラッセル・クロウ）、衣装デザイン賞などいくつも獲得し、全世界で大ヒットを記録した。剣闘士同士の息もつかせぬ戦闘シーンとリアルな迫力に、一枚の絵が運命的な役割を果たしたということになる。 中野京子『運命の絵』 （文藝春秋 2017）

ジャン = レオン・ジェローム （1824-1904） 「差し下ろされた親指」（1904）

フェニックス美術館（米・アリゾナ州）

ちなみに cinemareview.com の記事によると『グラディエーター』の制作会社であるドリームワークスのプロデューサは、スコット監督に脚本を見せる前に監督のオフィスを訪問して『差し下された親指』の複製を見せたそうです。そもそもプロデューサが『グラディエーター』の着想を得たのもこの絵がきっかけ（の一つ）だそうです。


この経緯をみると、ジェロームの『差し下ろされた親指』にはハリウッドの映画人をホットにさせる魔力があるようです。リドリー・スコット監督もその魔力にハマった ･･････。

---

ところで、映画『グラディエーター』の発端（の一つ）がジェロームの『差し下ろされた親指』だとすると、この映画の美術と衣装に大いに影響を与えた別の絵があります。19世紀英国のローレンス・アルマ＝タデマが古代ローマを描いた一連の絵画です。今回はその話ですが、古代ローマだけでなくエジプトやギリシャも含む古代地中海世界をテーマとする絵画をとりあげます。

---

『グラディエーター』とアルマ＝タデマ

---

ローレンス・アルマ＝タデマ（Lawrence Alma-Tadema, 1836-1912）はオランダに生まれ、イギリスに帰化した画家です。もともと "Alma" はミドル・ネームですが、英国に渡ってからは "Alma-Tadema" と名乗るようになりました。画家として目立つようにという配慮のようです。彼は新婚旅行でポンペイの遺跡を訪れて衝撃をうけ、以降、古代地中海世界をモチーフに絵の制作をするようになりました。その特徴は、文献、考古学資料、博物館所蔵品、遺跡などを調査し、その知見をもとに古代世界を再現しようとしたことです。

2017年、オランダ（出身地）、ウィーン、ロンドンの３カ所で100年ぶりの「アルマ＝タデマ大回顧展」が開催されました。ロンドンでは、レイトン・ハウス博物館で2017年7-10月に「Alma-Tadema : At Home in Antiquity」の展覧会タイトルでの開催でした。"at home" とは、"家で" とか "くつろいで" という意味ですが、少々意訳すると「アルマ＝タデマ：古代世界の日常」ぐらいの意味でしょう。なお、レイトンとはアルマ＝タデマと同時代の英国の画家で、その邸宅が博物館になっています。

この「アルマ＝タデマ大回顧展」のことが、レイトン・ハウス博物館の公式ホームページに掲載されています（https://www.rbkc.gov.uk/subsites/museums/leightonhousemuseum/almatademaathome.aspx。2021年8月20日 現在）。そこには次のようにあります。

The director Cecil B. DeMille was a devotee of Alma-Tadema’s work, apparently showing prints of Alma-Tadema’s pictures to his team while they were preparing to film The Ten Commandments. More recently, Ridley Scott’s Gladiator derives many details from Alma-Tadema’s works. Production designer Arthur Max studied Alma-Tadema’s paintings for their columns, floor mosaics and props. Costume designer Janty Yates also studied his paintings while working on the film. Alma-Tadema’s pastel colours and transparent, layered and sometimes lightly embroidered silks were a direct source of inspiration for Yates. 【試訳】 セシル・B・デミル監督はアルマ＝タデマの愛好者で、映画『十戒』の準備段階では、制作スタッフたちにアルマ＝タデマの複製画を見せたようだ。 最近では、リドリー・スコット監督の『グラディエーター』が、細部の多くをアルマ＝タデマの作品に負っている。美術担当のアーサー・マックス（Arthur Max）は、アルマ＝タデマの絵画の柱や床のモザイク、道具類を研究した。衣装担当のジャンティ・イェーツ（Janty Yates）もまた、映画製作時にアルマ＝タデマの絵を研究した。絵の中の絹の衣はパステル色で、透き通り、重ねられ、時に刺繍が施されていて、イェーツがインスピレーションを得る直接の源となった。

『グラディエーター』は、第73回アカデミー賞（2001年）の衣装デザイン賞を獲得しました（他に、作品賞、主演男優賞：ラッセル・クロウ、録音賞、視覚効果賞）。レイトン・ハウス博物館のアルマ＝タデマ回顧展を紹介した YouTube 動画、"Alma-Tadema: At Home in Antiquity at Leighton House Museum" の中で、衣装を担当したイェーツ氏が次のように語っています。

There're probably at least half of dozen very prominent paintings that we worked from. Every painting is a feast because there's so much to learn and so much to be inspired by. So, Ridley Scott, when we started the preparation of Gladiator, pointed out how his vision has coincided with Alma-Tadema’s. The main inspiration for me was everything to do with costume from the jewelry to the print to the incredible detail of embroidery to the headdresses. And the incredible use of flowers everywhere over all the colors beyond everything. Janty Yates Costume Designer - Oscar Winner 【試訳】 私たちが仕事に使った、非常に卓越した絵画が少なくとも５～６程度あります。これらすべては "ご馳走" でした。というのも、非常に多くのものをそこから学び、たくさんのインスピレーションを得たからです。それで、リドリー・スコット監督は『グラディエーター』の準備作業の中で、自分のヴィジョンがアルマ＝タデマと一致していると指摘したのです。 私にとって最大のインスピレーションは衣装に関するすべてです。宝石や布地の模様、信じられないような細かい刺繍、髪飾りなどであり、さらには至る所に見られる花々の素晴らしい活用と、それらすべて背後にある色です。 ジャンティ・イェーツ 衣装デザイナー（オスカー受賞）

『グラディエーター』のみならず、最初の引用に『十戒』（1956）とあったように、『ベン・ハー』（1959）や『クォ・ヴァディス』（1951）を含め、アルマ＝タデマに影響されたハリウッドの「古代地中海世界が舞台のスペクタクル映画」は数々あるようです。

もちろん、「アルマ＝タデマこそ、ハリウッドにインスピレーションを与えた画家だ」というわけではありません。古代世界を描いた画家は、ほかならぬ『グラディエーター』の発端となったジェロームを始めとして多数あります。アルマ＝タデマはそのような画家の一人、という解釈が正しい。

とは言え、アルマ＝タデマの特質は、学究的とも言える調査・研究のもとに古代世界を描いたことです。彼はイギリス王立建築学会から表彰されました（Wikipediaによる）。それほど古代建造物の再現は正確だった。また上のレイトン・ハウス博物館関係の引用でも「柱、モザイク、道具、衣装、刺繍、装飾品」に言及しているように、細部も正確かつリアルでした。だからこそ、リドリー・スコット監督を始め、多くの映画人を強く引きつけたのでしょう。

---

以下、アルマ＝タデマの作品を９点ほど引用します。画像は「サー・ローレンス・アルマ＝タデマ」（ラッセル・アッシュ解説、谷田博幸訳。リブロポート 1993）から引用しました。また絵の説明もこの本を参考にした箇所があります。以下で「本書」と書く場合はこの本を示します。

---

モーゼの発見

---

ローレンス・アルマ＝タデマ 「モーゼの発見」（1904）

（The Finding of Moses） 137.5cm×213.4cm （個人蔵）

旧約聖書の「出エジプト記」の一場面です。エジプトで奴隷の身であったイスラエルの民が増え過ぎることを恐れたファラオは、新生児の男児を殺すように命じた。それを逃れるため、モーゼはパピルスのかごに乗せられてナイル河に流された。たまたまナイル河で水浴をしていた王女が彼を拾い、王宮に連れ帰って育てた ･･････ という、予言者・モーゼの出生譚の一場面です。このテーマの西欧絵画には珍しく、王女がモーゼを連れ帰るところが描かれています。

王女の周りの調度品は大英博物館の所蔵品を参考に描かれ、画面左端の彫像の台座にある象形文字・ヒエログリフもファラオを讃える正確な文字形だと言います（本書）。ナイルの向こう岸の遠景にはピラミッドが見えます。また、画面の下の方には青い花が描かれていますが、これはデルフィニウムです。

往年のセシル・B・デミル監督はアルマ＝タデマの愛好者だったと、レイトン・ハウス美術館の解説にありましたが、「出エジプト記」をテーマにした映画『十戒』（1956制作）には、このアルマ＝タデマの絵とそっくりのシーンが出てきます。

「十戒」（1956）の１シーン。セシル・B・デミル監督はアルマ＝タデマの愛好者で、映画『十戒』の制作スタッフたちにアルマ＝タデマの複製画を見せたと言われている（上に引用した、レイトン・ハウス博物館のWebサイトによる）。

---

大理石と花

---

ローレンス・アルマ＝タデマ 「期待」（1885）

（Expectations） 22.2cm×45.1cm （個人蔵）

この絵で目をひくのは、画面の大半を占める大理石です。古代建築で、建物から突き出た半円形の構造を "エクセドラ" と言いますが、その大理石のエクセドラの "ベンチ" に女性が座っています。アルマ＝タデマは「大理石の画家」と呼ばれたほどで、その描写力は際立っていました。それがよく現れています。

建物は崖の上にあるのでしょう。向こうに青い海と空が広がっています。この青色もアルマ＝タデマの絵によく出てきます。さらには、花が描かれています。この絵の花は "ハナズオウ（花蘇芳）" だと言います（本書）。『モーゼの発見』にはデルフィニウムが描かれていましたが、このような花の使い方もアルマ＝タデマの絵に頻繁に現れます。

女性は海を眺めています。恋人が乗った船が（帰って）来るのを待っているのでしょうか。「期待」というタイトルからすると、その船を待ち望んでいる姿でしょう。

上に引用した『モーゼの発見』は旧約聖書の一場面でした。しかしこのような "歴史的場面" をテーマにした絵画は、アルマ＝タデマの作品では少ないわけです。多くは『期待』のような "日常のなにげない情景" です。その特徴をよく表している作品です。

---

ローマの公衆浴場

---

以降に、古代ローマの公衆浴場（テルマエ）を描いた４作品を引用します。

カラカラ浴場

ローレンス・アルマ＝タデマ 「カラカラ帝の浴場」（1899）

（The Baths of Caracalla） 152.4cm×95.3cm （個人蔵）

カラカラ帝はローマ帝国の22代皇帝（在位 209-217）です。カラカラ浴場は３つの大浴場をもち、1600人が収容できる大規模なものでした。現在のローマ市内に遺構が残っています。その、遺跡として残っているカラカラ浴場の写真と、元々の平面図を次に掲げます。No.113「ローマ人のコンクリート（２）光と影」で引用したものです。現在、残っているのは一部ですが、平面図から当時の威容が想像できます。浴場部分だけで200m×100mもあります。

	カラカラ浴場遺跡 （site : www.archeorm.arti.beniculturali.it）

	カラカラ浴場平面図 大浴場全体 ： 337m×328m、浴場部分 ： 220m×114m の規模がある。塩野七生「ローマ人の物語 第10巻 すべての道はローマに通ず」より

フリギダリウム

ローレンス・アルマ＝タデマ 「フリギダリウム（冷浴室）」（1890）

（The Frigidarium） 45.1.cm×59.7cm （個人蔵）

公衆浴場には基本となる３種の部屋があり、カルダリウム（高温浴室）、テピダリウム（微温浴室）、フリギダリウム（冷浴室）です。フリギダリウムには冷水のプールが設置されていて、火照ほてった体を冷やしました。この絵は脱衣室から冷水プールの方向を見た図です。手前の脱衣室の女性は、プールから上がって奴隷に服を着せてもらっているのでしょう。

ローレンス・アルマ＝タデマ 「お気に入りの習慣」（1909）

（A Favourite Custom） 66.0.cm×45.1cm （テート・ギャラリー）

フリギダリウムの冷水プールから脱衣室の方向を見た構図で、視点は「フリギダリウム（冷浴室）」とはちょうど反対です。この絵はポンペイで発見された遺構をもとに描かれました（本書）。

テピダリウム

ローレンス・アルマ＝タデマ 「テピダリウム（微温浴室）にて」（1881）

（In the Tepidarium） 24.1.cm×33.0cm （レディ・リーヴァー美術館 - Port Sunlight, UK）

テピダリウムは床下暖房の原理で暖める微温浴室です。描かれた女性は右手にストリジルを持っています。ストリジルは曲がった金属製の "肌かき器" で、香油を体に塗り、汚れとともにこすり落とすための器具です。また左手にはダチョウの羽を持っています。

もちろんこの絵の目的（ないしは発注者の注文）は、女性のヌードを描くことでしょう。しかし単なるヌードではありません。女性の表情は "恍惚とした" 感じで、それと合わせて見ると、ストリジルもダチョウの羽も男性器を暗示しているようです。客観的に見ると極めて挑発的な絵です。これと比べると、スキャンダルになったマネの『オランピア』などは随分 "おだやかな" 絵です。しかしアルマ＝タデマのこの絵はあくまで「古代ローマの風俗」です。だから許されたのでしょう。

大理石、鳥の羽、毛皮の質感表現が見事です。左端にアルマ＝タデマの絵によくある花が登場していますが、この花は夾竹桃きょうちくとうだそうです（本書）。

---

ヘリオガバルスの薔薇

---

ローレンス・アルマ＝タデマ 「ヘリオガバルスの薔薇」（1888）

（The Roses of Heliogabalus） 132.1.cm×213.7cm （個人蔵）

ヘリオガバルスは、カラカラ帝のあとの第23代ローマ皇帝で、14歳で少年皇帝として即位し、18歳で暗殺された人物です（在位：218-222）。暴君という評判で、特にその異常な性についての逸話が数々残っています。

ヘリオガバルスの逸話の一つに「大量のバラの花を天蓋の上に置き、それを一挙に落として、下にいる客人を窒息させようとした」との話があります。もっとも「ローマ皇帝群像」という信憑性の乏しい後世の書物の記述であり、真偽のほどは全く不明です。その、大量のバラの花が落ちた瞬間を描いたのがこの絵です。画面の中央上の方で寝そべってこの光景を見ているのがヘリオガバルス帝です。画面の左右の中心に描かれ、かつ背景とのコントラストが最も際立っているので、この絵のフォーカルポイント（焦点）、すなわちヘリオガバルスだと分かります。

そういったテーマからすると、この絵は『モーゼの発見』と同じように「歴史上の瞬間」を描いたものであり、古代世界の風俗画ではないし、日常の風景でもありません。とは言え、画家の関心は、

大量のバラの花が画面の半分を覆い尽くす絵を描く

ことだったのが明白でしょう。アルマ＝タデマは "花" をたびたび描いています。ヘリオガバルスの逸話を知ったとき、これは絶好の素材だと思ったのでしょう。大量のバラが画面を埋め尽くす絵を "古代ローマの歴史画" として描けるのだから ･･････。

問題は大量のバラの花をどういった構図で描くかです。秋田麻早子著「絵をみる技術」（No.284 で紹介）によると、この絵は黄金分割を使っていると言います。No.284「絵を見る技術」で書いた「黄金分割・黄金長方形」のことを再掲すると次の通りです。

---

線分ABをG点で分割するとき、AG:GB = GB:AB となるGがABの黄金分割です。AG=1, GB=ϕ とおいて計算すると、ϕは無理数で、約1.618程度の数になります。「1:ϕ」が黄金比です。ϕの逆数は ϕ-1（約0.618）に等しくなります。


辺の比が「1:ϕ」の黄金比の長方形を「黄金長方形」と言います。また、1/ϕ = ϕ-1 なので、辺の比が「1:ϕ-1」の長方形も黄金長方形です。


黄金長方形には特別な性質があります（下図）。黄金長方形のラバットメントライン（黄色の線）は、黄金長方形を「正方形と小さい黄金長方形に黄金分割」します。またラバットメントラインの端点と黄金長方形の角を結ぶと直交パターンになります（青と赤の線）。大きな黄金長方形と小さな黄金長方形は相似なので、２つ線は直交するわけです。

---

『ヘリオガバルスの薔薇』のカンヴァスの縦横比は、計算してみると 1.618 であり、ピッタリと黄金比になっています。明らかに画家はそれを意識したカンヴァスを使っています。ということは、構図にも応用されているはずです。

黄金長方形は、ラバットメントライン（＝長方形の中にピッタリ収まる正方形を作る線）で正方形と小さな黄金長方形に分割できます。ということは、その小さな黄金長方形の中に、さらに小さな黄金長方形を描けるわけで、これを繰り返すことができます。これが構図に生かされているというのが「絵をみる技術」における秋田氏の指摘で、それを次の図に掲げます。確かに人物とバラの花と建物の配置に黄金長方形の構図が生かされています。

２本のラバットメントラインを引き、両側にできる黄金長方形をさらに分割するように線を描いていった図。この線が構図に生かされている。カンヴァスの縦横比は、ほぼ正確な黄金比（= 1.618）であり、この図における斜線は直交している。秋田麻早子著「絵をみる技術」より。

---

パルテノン神殿のフリーズ

---

ローレンス・アルマ＝タデマ 「フェイディアスとパルテノン神殿のフリーズ」（1868）

（Pheidias and the Frieze of the Parthenon, Athens） 72.0.cm×110.5cm （バーミンガム市立美術館）

舞台は古代ギリシャのアテネです。アクロポリスの丘に建設中のパルテノン神殿に足場が組まれていて、その足場の高い所に複数の人物がいます。画面右下の明るい部分に、下へと降りる梯子が見えます。

題名のフェイディアスとは、パルテノン神殿建設の総責任者だった建築家・彫刻家です。またフリーズは、建物に帯状に水平にめぐらされた壁で、多くは彫刻が施されました。この絵では、中央に描かれているのがフェイディアスで、右手にパルテノン神殿の設計図を持ち、招待客に自作のフリーズを披露しています。右手前の男性は、アテネに最盛期をもたらした政治家・ペリクレスで、その右は彼の愛妾あいしょうだったヘタイラ（古代ギリシャの高級娼婦）のアスパシアです。また画面の左端はペリクレスの遠戚えんせきにあたる美貌の青年、アルキビアデスです。アルキビアデスはソクラテスの愛人とも言われていたので、その右の親密そうな人物はソクラテスかも知れません。この絵に描かれたフリーズには、２つの重要ポイントがあります。

①	パルテノン神殿のフリーズは、現在はギリシャには無く、ロンドンの大英博物館にある（アテネのアクロポリス博物館にあるのはレプリカ）。
②	フリーズが彩色されている。

の２つです。このあたりを、中野京子さんの解説でみましょう。

エルギン・マーブル

まず、パルテノン神殿のフリーズが、現在はロンドンの大英国博物館に展示されている経緯です。

それは1800年、イギリスの外交官エルギン伯爵がイスタンブールに赴任し、パルテノン神殿に魅了されたことに始まる。当時ギリシャはオスマン・トルコ帝国領だったので、エルギン伯はスルタンにフリーズの譲渡許可を得て、ただちに神殿から削り取って祖国へ送る。フリーズ以外の諸彫刻もいっしょにだ（皇帝でもないのにナポレオンの真似をしたというわけか）。 数年後、帰国したエルギン伯はそれらをお披露目ひろめする。芸術品は大評判となるが、エルギン伯の評判はさんざんだった。「略奪」と非難されたのだ。急先鋒はギリシャ愛に燃える詩人バイロンで、伯の行為を激しく糾弾きゅうだんした（後にバイロンがギリシャ独立戦争に加わり、戦場で病死したのは人も知るとおり）。 予想外の非難の嵐にすっかり嫌気のさしたエルギン伯は、1816年、フリーズを含む所蔵品を手放した。ただしギリシャへ返すのではなく、イギリス政府へ寄贈（正確には売却）したのだ。この時すでにエルギン伯は「略奪」品の数々を船舶輸送した際の莫大ばくだいな負債と原因不明の病に苦しんでいた（バイロンの言う「ミネルヴァの呪い」だったのか？）。 展示会場となった大英博物館がそれらを「エルギン・マーブル（Elgin Marble）」、即ち「エルギン伯の大理石」という名称で館の目玉作品として、今に至る（ルーブル美術館と並ぶ泥棒美術館と言われても仕方あるまい）。 中野京子 「運命の絵 なぜままならない」 （文藝春秋 2020）

アルマ＝タデマによるフリーズの再現

アルマ＝タデマは、大英博物館にあるフリーズを調査・研究して「フェイディアスとパルテノン神殿のフリーズ」を完成させました。

実は古代ギリシャ・ローマの彫像や浮彫りが彩色されていたこと、しかも驚くほど極彩色ごくさいしきであったことは、かなり前から知られていた。わずかながら石に色が残存していたからだ。 とはいえ次々に遺跡から掘り起こされる彫像のほとんどは、数世紀もの長きにわたって土中にあったため色を失っていたし、建造物にほどこされた浮彫りの彩色も風雨に耐え切れず剥落はくらくしてしまっていた。発掘者も研究者も芸術家も、そして一般の人々も、すっかり無彩色の彫像を見慣れてしまう。 アルマ＝タデマが初めて大英博物館を訪れた1860年代、研究者たちの間では彩色についての議論が活発だった。今後は古代ギリシャ像に倣ならって自分たちも色を付けるべきか、という話まで出ていたというが、敢あえて彩色する彫刻家はいなかった（いたとしても有名作にはなっていない）。 アルマ＝タデマは古代ギリシャ・ローマへの関心が深く、次第に古代歴史画家として名声を獲得してゆくのだが、強みはその徹底した研究姿勢にあった（ハリウッドのスペクタル映画の多くが彼の作品を参考にしたという）。本作を描くにあたっても大英博物館に通い詰め、フリーズの色の痕跡こんせきを調査して仕上げており、なるほど、フェイディアスの時代にはかような色が付いていたのかという驚きを与えてくれる。 中野京子「同上」

アルマ＝タデマは大英博物館のフリーズに色の痕跡が残っていることを知って、是非ともオリジナルを再現した絵を描きたいと思ったのでしょう。では、どのようなシチュエーションにするか。フリーズだけを描くのでは "学術資料" になってしまうし、完成後のパルテノン神殿を外から見上げた構図にすると、フリーズは小さくしか見えない。そこで「建設途中のパルテノン神殿の足場の上でフリーズの "内覧会" が開かれる」というシーンにした。このアイデアは秀逸だったと思います。

エルギン・マーブル事件

アルマ＝タデマはフリーズの彩色の痕跡を調べてこの絵を描いたのですが、現在、同じことをしようとしても不可能です。なぜなら、大英博物館のフリーズはその後洗浄されて白くされ、オリジナルの色の痕跡が無くなってしまったからです。

アルマ＝タデマが19世紀人であったのは実に幸いだった。なぜなら1930年代に大英博物館関係者によって大理石表面が過剰洗浄され、必要以上に白くされたばかりか、二度と本来の着色が再現できなくなってしまったからだ。 「エルギン・マーブル事件」と呼ばれるこの大スキャンダルが発覚したとき、美術の専門家といえども、多くの入場者を集めるためなら ── 白くすればするほど大衆は喜ぶと踏んだ ── 文化財を捻ねじ曲げることすらしてのけることに、世界は震撼しんかんしたのだった。 これより以前から、ギリシャはイギリスにフリーズの返還を要求してきたが、拒否され続けだった。ギリシャがやむなくレプリカを飾っているのはそうした理由である。返還しないイギリス側の言い分としては、大英博物館に置いたほうが世界中の人々に入場料無料で鑑賞させられるし、芸術品保護も万全だ、というものだった。 ところがエルギン・マーブル事件で、芸術品保護は嘘だったとわかる。もうそろそろ返還の潮時ではないか。 中野京子「同上」

日本の仏像も、もともと金箔で光輝くか、極彩色に色付け（四天王など）されていました。その彩色が部分的に残っている像もあり、オリジナル像の復元プロジェクトがあったり、３次元スキャナーで立体像を作って色づけをする研究（＝デジタル復元）もされています。

しかしパルテノン神殿のフリーズに関しては、そういった研究は今となっては不可能です。これはひどい文化財破壊です。「自分たちの考えと合わない文化財を破壊する」行為は、近年でも中東でありましたが（仏教遺跡の破壊）、大英博物館の行為も、それと同じとは言わないまでも文化財の損傷であり、考え方がつながっていると思います。しかも、他国から（暴力を使ったわけではないが）"強奪した" 文化財です。

その意味で、アルマ＝タデマの「フェイディアスとパルテノン神殿のフリーズ」は貴重な作品です。彼が古代ギリシャ・ローマに強い関心があり、学究的な態度で古代世界を復元しようとした、その姿勢が貴重な絵画を残すことになりました。

パルテノン神殿のフリーズ - 大英博物館 -

(Wikimedia Commons)

---

見晴らしのよい場所

---

ローレンス・アルマ＝タデマ 「見晴らしのよい場所」（1895）

（A Coign of Vantage） 64.0cm×44.5cm （個人蔵）

左下に描かれたガレー船

古代ローマ風の衣装をまとい、花を飾った３人の女性が大理石のバルコニーに立っています。画面の奥の方を向いた動物のブロンズ像（おそらく猫科の動物で、ライオンだとすると若い雄か雌）にも花輪がかかっています。そして一番左の女性が見下ろす先は遙か下の海面で、２隻の船が見えます。船は人力でオールをこぐ（＝奴隷がこぐ）「ガレー船」で、この絵の場面は古代の地中海のどこかであることが分かります。青い海は画面の上部で空と一体化しています。上の方で引用した『期待』と同じように、大理石、女性、花、青い海と空という、アルマ＝タデマの得意のモチーフです。

この絵で目立つのは、その遠近法です。手前から動物像がある奥行き方向に向かう線遠近法と、ガレー船を小さく描いて表現した下方向の遠近法です。この "２重遠近法" による、高所恐怖症の人にとっては目眩めまいが起きそうな構図がこの絵の特徴です。まさに「見晴らしの良過ぎる場所」の光景です。

---

しかし「見晴らしのよい場所」という日本語訳の題名だけでは、この絵の意味は分かりません。画家がつけた題名は「A Coign of Vantage」で、これはシェイクスピアの『マクベス』からの引用なのです。"coign" とは「壁などが外側に突き出たところ（＝外角、突角）」で、"vantage" とは「見晴らしの良い場所、有利な地点」という意味です。壁が突き出たところでは見晴らしが利き、すなわち有利な地点になります。

魔女の予言を受けてスコットランド王・ダンカンを暗殺する意志を固めたマクベスは、ダンカン王と友人のバンクォーを自分の城に招きます。そして２人が城の前に到着したときのバンクォーのせりふに「coign of vantage」が出てきます。

William Shakespeare 「Macbeth」 Act 1, Scene 6 (Before the Castle) DUNCAN. This castle hath a pleasant seat. The air nimbly and sweetly recommends itself Unto our gentle senses. BANQUO. This guest of summer, The temple-haunting martlet, does approve, By his loved mansionry, that the heaven’s breath Smells wooingly here: no jutty, frieze, Buttress, nor coign of vantage, but this bird hath made his pendant bed and procreant cradle. Where they most breed and haunt, I have observ’d The air is delicate. シェイクスピア『マクベス』 第１幕 第６場 （マクベスの城の前） ダンカン． 心地よい佇まいの城だな。 清清しく甘やかな空気が われわれの五感に好ましい バンクォー． あの夏の賓客 教会に巣を作る岩燕は この城を気に入ってか、あちこちで巣を作っています。 天の息吹が漂い、誘うからでしょう。 張り出し壁でも飾り壁でも控え壁でも。 巣作りに役立つところはどこでも 吊り床や、子作り用の巣がないところはありません。 岩燕が卵を孵かえし、飛び交うところは 空気が心地よく感じられます。 石井美樹子・訳 「シェイクスピア四大悲劇」より （河出書房新社 2021）

"coign of vantage" は、岩燕の巣作りに役立つ（＝有利な）城の壁の突き出たところ、という意味で使ってあります。マクベスはこの時点でダンカン王の暗殺を決意していて、バンクォーはマクベスの野心を知っている。このことを踏まえると "coign of vantage" には「暗殺に有利な場所」という裏の意味が隠されていると考えられます。

改めて「A Coign of Vantage」が「マクベス」第１幕 第６場からの引用だという前提でアルマ＝タデマの絵を見ると、

・	大理石の建造物の外角（そこは死角なしに270度を見渡せる）に３人の女性がいて
・	この建造物のそばの海岸に２隻の船が到着する様子を眺めている

ととれる情景です。そして「マクベス」第１幕 第６場ということは、船にはダンカン王とバンクォーが乗っていると想定できます。だとすると、描かれた３人の女性は「マクベス」の第１幕の森のシーンでマクベスとバンクォーを待ち伏せ、マクベスがスコットランド王になると予言した（＝そそのかした）３人の魔女ということになります。この絵の魔女たちは「さあ、これから王殺しが始まる、これは見物みものだ」と思っている ･･････。「見晴らしのよい場所」に描かれた３人が魔女だという解釈は、中野京子さんの「名画の謎 対決篇」（文藝春秋 2015）で知りました。

この３人の美女の姿は、普通に演じられる（または、描かれる）「マクベス」の魔女とは対極の姿です。ただし、「マクベス」第１幕の冒頭で３人の魔女は逆説的なせりふを言います。"Fair is foul, and foul is fair." と ･･････。上に引用した石井先生の訳では "晴れは曇り、曇りは晴れ" ですが、fair を "きれい"、foul を "穢きたない" ととると、"きれいは穢い、穢いはきれい" です。絵の３人の美女を魔女と解釈するのは全く問題がないことになります。

まとめると、アルマ＝タデマの「見晴らしのよい場所」は、古代地中海世界の風景・風俗に、シェイクスピアの「マクベス」を重ね合わせた絵ということになります。その "重ね合わせ" は題名だけで暗示されている。そういった小洒落こじゃれた絵なのでした。

---

---

アルマ＝タデマは、19世紀では大変に人気の画家だったそうです。その作品の中から９点を引用しましたが、そのうち６点は個人蔵です。参考にした画集「サー・ローレンス・アルマ＝タデマ」（ラッセル・アッシュ解説）には代表作の40作品が掲載されていますが、そのうち21点は個人蔵です。ということは、20世紀の美術界からはあまり評価されなかったということでしょう。

確かにアルマ＝タデマの絵画は、革新性があるわけではないし、人間に対する洞察も感じられません。描き方も、ものすごくうまいことは確かですが、古典的です。20世紀の美術界の主流からすると「芸術家としての、画家独特の個性が感じられない」のでしょう。

しかし、古代世界の探求を重ね、想像では描かず研究成果をもとに描き、しかも日常のシーンをまるで "覗き見しているかのごとく" 描くというアルマ＝タデマの手法は、それはそれで画家としての立派な独自性だと思います。その独自性に感じ入る個人コレクターは多かったし、またハリウッドの映画人を引き付けるものがあった ･･････。

絵画は他の芸術と違って、テーマや描き方、手法のヴァリエーションが極めて多様であり、そこにこそ魅力の源泉があるのだと思います。

---

---

タグ：グラディエーター 十戒 シェイクスピア マクベス フリーズ リドリー・スコット カラカラ浴場 出エジプト記 パルテノン神殿 セシル・B・デミル 中野京子 剣闘士 ジェローム テピダリウム 差し下ろされた親指 ローレンス・アルマ＝タデマ アーサー・マックス ジャンティ・イェーツ モーゼの発見 フリギダリウム ヘリオガバルスの薔薇 エルギン・マーブル 大英国博物館 見晴らしのよい場所 石井美樹子

No.318 - フェアリー・フェラーの神技

このブログでは数々の絵画作品を取り上げましたが、その中に「絵画が他のジャンルの創作にインスピレーションを与えた」という例がありました。最もありそうなのが絵画から文学を作るケースで、ベラスケスの『ラス・メニーナス』から発想を得たオスカー・ワイルドの『王女の誕生日』がそうでした（No.63）。そもそも西洋絵画は宗教画、つまり "宗教物語の視覚化" から発達したので、絵画と物語の相性は良いわけです。

絵画に影響を受けた映画もありました。リドリー・スコット監督の『グラディエーター』（No.203）や『ブレードランナー』（No.288）、アルフレッド・ヒチコック監督の『サイコ』（No.301）、黒澤明監督の『夢』（No.312）などです。映画は視覚芸術でもあり、絵画との相性は物語以上に良いはずです。スコット監督や黒澤監督は絵画の素養があるぐらいです。

こういった中に「絵画からインスピレーションを得た音楽」があります。過去に触れた例では、ドビュッシーの交響詩『海』がそうです（No.156「世界で２番目に有名な絵」）。この曲は葛飾北斎の『神奈川沖浪裏』に影響を受けたとされています。スコアの初版本の表紙が『神奈川沖浪裏』だし、ドビュッシーの自宅書斎には『神奈川沖浪裏』が飾ってあったぐらいなので（No.156 参照）間違いないでしょう。「北斎が波をあのように描いたのだから、自分は海を音楽で」と、作曲家が考えたとしても不思議ではありません。

この「絵画からインスピレーションを得た音楽」の別の例を取り上げたいと思います。ロックバンド、クィーンの「フェアリー・フェラーの神技」（1974）です。この曲は、19世紀のイギリスの画家、リチャード・ダッドの『お伽の樵きこりの入神の一撃』をもとにした曲です。題名は英語ではどちらも、

Fairy Feller's Master-Stroke

ですが、日本語訳がつけられた時期と訳者が違うために、違う名で呼ばれることになりました。fairy は妖精、feller は樵きこり、master-stroke は神技という意味です。ダッドの絵は樵（＝妖精）が斧の一撃（＝ stroke）で木の実を割ろうとしている姿を描いているので、直訳すると、

・	樵の妖精の神技
・	樵の妖精の熟練の一撃

ほどの意味でしょう。まず、クィーンの曲の元となったリチャード・ダッドの絵からです。

---

お伽の樵の入神の一撃

---

リチャード・ダッド（1817-86） 「お伽の樵の入神の一撃」（1855-64） [Fairy Feller's Master-Stroke]

（54cm×39.4cm） テート・ブリテン [ロンドン]

画面が多数の "人物" で埋め尽くされていますが、彼らはすべて妖精です。その中心は画面の真ん中の下方に描かれている樵きこりの妖精で、彼が斧を振り上げ、地面に置かれた木の実（ヘーゼルナッツ ＝ ハシバミの実）を割ろうとしている、その瞬間を妖精たちが待ちかまえている情景です。画面に多数描かれているヘーゼルナッツやデイジーとの比較で、妖精たちが "小さい" ことがわかります。

ある作家の文章を引用して、絵の全体を紹介することにします。実は、この絵をもとに英国の作家、マーク・チャドボーンが『フェアリー・フェラーの神技』という小説（2003年の英国幻想文学賞を受賞）を書いたのですが、その本に英国の作家、ニール・ゲイマンが序文を寄せています。その序文を引用します。漢数字を算用数字にし、段落増やしたところと、ルビを追加したところがあります。

20代のはじめにある本の書評を頼まれた。それはダイアモンドというヴィクトリア朝の医者が撮った、ロンドンにあるベツレヘム精神病院（引用注：Bethlem Royal Hospital。英語発音はベスレム）の収容患者たちの写真集だった。救いようもなく荒すさんだ患者たちが、揉み手をし、胡散臭そうな目でカメラを見つめながら、写真の露光にかかる時間中ぎこちなくポーズをとっている。顔は硬直しているのだが、手はぼやけてまるで鳩の翼のように見えるものが多い。狂気と苦悩の肖像。その中に一枚だけ、他と同じく精神を病んでいるのだが、具体的に何かをしている男の写真があった。 写真の中の患者は顎ひげを生やしている。彼も前にはイーゼルが置かれ、楕円形の複雑怪奇な作品に取り組んでいるところだ。カメラを見つめる表情は狡猾そうで、薄っすらと不敵な微笑を浮かべている。目が輝いている。男はしゃがんでおり、高慢な感じで、一年後に初めて彼の傑作『フェアリー・フェエラーの神技』の実物を見た時最初に気づいたのは、絵の中央に陣取り、中からこちらを見つめている白ひげの悲しげな小人こそ、年老いたリチャード・ダッドだということだった。 ニール・ゲイマン マーク・チャドボーン作 「フェアリー・フェラーの神技」序文 （木村京子訳） バベルプレス 2004

リチャード・ダッドは、25歳のときに欧州・中東旅行に出かけ（1842）、その旅の途中で精神を病み、帰国してから妄想にかられて父親を刺殺、フランスに逃亡し、居合わせた観光客を殺害しようとして逮捕されました。正常な状態ではないと判断されてイギリスに戻されたダッドは、王立ベスレム病院の精神病棟に収容されました（27歳）。20年後にブロードムア刑務所の病院に転院しましたが、68歳で結核で亡くなるまで、病院で生涯を過ごした画家です。

リチャード・ダッド 「自画像」（1841）

欧州・中東旅行で精神を病む前の、エッチングによる自画像である。「夢人館 ８ リチャード・ダッド」（岩崎美術社 1993）より。

上の引用で作家のニール・ゲイマンは、自身の「ベスレム病院患者写真集」の書評を書いたときの経験と、テート・ギャラリーで『お伽の樵の入神の一撃』を初めて見た印象を重ね合わせて、「絵に描かれている禿頭の白髭の小人がダッド自身だ」としています。ダッドがこの絵を描いたのは40歳代（転院の直前まで）なので、もしそうだとすると、将来の自分の姿を予測して絵に描き込んだことになります。このゲイマンの見立てについては、後でもう一度ふれます。

テート・ギャラリーのラファエル前派コーナーを訪れる人々には、それぞれ自分なりの理由があり、深遠でドラマチックな何かが彼らの琴線に触れる。ウォーターハウスやミレーやバーン・ジョーンズはそれぞれ独特な魔力を持つ。見物人はこれらの絵の間を歩き回るうちに、人生が豊かで価値あるものになっていく。 一方、ダッドは罠だ。彼の作品に魂を奪われる者を陥おとしいれる。その絵に夢中になり、そこに描かれた妖精や小鬼や男女に頭を悩ませ、その小ささ、その形、その奇怪さを理解しようとし、文字通り何時間も絵の前に立ち尽くしかねない。 （同上）

この絵の大きさは、わずか 54cm×39.4cm です。画像で見ると、びっしりと妖精の一群が描き込まれていて、とてもそんな大きさには見えないのですが、縦のサイズは 54cm しかないのです。

複製を見てからあえて実物を見るために訪れた者は、まずその小ささに驚くだろう。想像したより小さい ─── あり得ないほどの小ささだ。つまり、あまりにも多くのものが詰め込まれている。初めて実物を見た後に購入したテート・ギャラリー公認の複製『フェアリー・フェラーの神技』は実物の２倍近い大きさだった。 そして実物は複製とは違う。額装された実物には魔力がある。その色、その細部は、どんな写真も、ポスターも、絵葉書も、決して再現できないだろう。 （同上）

著者は、テート・ギャラリーを訪れたなら是非この絵をじっくりと見て欲しいと言います。そして、じっくりと見るとあることに気づくはずだと ･･････。

すると、何時間も見つめた後でもう一つのことに気づく。あまりに重大かつ奇妙なことで、なぜすぐに気づかなかったのか、またなぜ他の誰も指摘しなかったのか理解できないほど明白な事実だ。 絵は未完成なのだ。 下の方の大部分は色の選択が不可解でしかも褪せているが、それは薄茶色に下塗りしたキャンバスに輪郭だけが描かれているせいだ。フェラーの足元のすぐ下から広がる黄褐色の芝生は、ダッドが ── 製作に何年もかけたあげく ── 時間切れとなったために黄褐色なのだ。 （同上）

そして著者は、リチャード・ダッドの画家としての生涯とこの絵の位置づけについて、次のように締めくくっています。

精神を病む以前、父親を殺害する以前、不幸なフランス旅行以前（皇帝殺害の目的でパリへ向かう列車の中で、乗り合わせた乗客を襲って逮捕された）、ダッドの絵は実に可憐で、完璧にまともだった。チョコレートの箱に描かれたイラストのように印象に残らない、シェークスピアの場面から寄せ集められた妖精たち。何の特徴も魔力もなかった。後世にまで残るようなものは何もない。真実に迫るようなものは何もない。 そして彼は病んだ。それもちょっとやそっとではなく、実に見事に。悪魔やエジプトの神々に憑かれて父親を殺してしまうという狂気だ。彼は余生を監禁下で過ごしたが ── 最初はベツレヘムで、その後はブロードムアの第１級囚人として ── 間もなく絵を描き始め、作品の見返りに恩恵を受けるようになった。もはやチョコレートの箱の妖精ではなかった。彼の描く妖精の一団や、聖書の場面や、囚人仲間（実在あるいは想像上の）には強烈な力が加わり、それゆえに作品は価値あるものになっている。それはまさに怖いほどの強烈さと一途さで描かれた。 彼は余生を鉄格子の向こうで危険な患者たちと共に監禁されて過ごし、自らも同様に危険な患者だったわけだが、あたかも異界からもたらされたかのようなメッセージを我々に残した。 （同上）

リチャード・ダッドは、20歳で王立芸術院（Royal Academy of Arts）に入学しますが、仲間を集めて「ザ・クリーク（The Clique）」という画家グループを結成しました。これは「王立芸術院の伝統が時代の要求に即していない、芸術は大衆によって判断されるべき」と主張するものでした（Wikipedia による）。その後、彼が欧州・中東旅行に出かけたのは、ある英国の著名弁護士の旅行の同伴画家として白羽の矢が立ったからでした。その意味でリチャード・ダッドは気鋭の若手画家だったわけです。

しかし、ダッドの代表作とされる作品のほとんどは王立ベスレム病院で描かれ、その中でも「お伽の樵の入神の一撃」は傑作とされるものです。もしダッドが精神を病まなければ忘れ去られた画家になったでしょう。そうするとテート・ギャラリーに作品が展示されることもなく、フレディ・マーキュリーが感銘をうけて楽曲を作ることもなく、従って我々がリチャード・ダッドという画家を知ることも無かったに違いありません。

---

クィーン『フェアリー・フェラーの神技』

---

クィーンの『フェアリー・フェラーの神技』は、２作目のアルバム "クィーン Ⅱ"（1974）に収められた曲です。ドラムスとハープシコードとピアノが規則正しく音を刻んで始まるこの曲は、３分に満たない長さですが、ダッドの絵の世界の全体がダイレクトに歌われてます。歌詞は次のようです。

The Fairy Feller's Master-Stroke（1974） Lyrics by Freddie Mercury He's a fairy feller The fairy folk have gathered Round the new moon shine To see the feller crack a nut At nights noon time To swing his axe he swears, As it climbs he dares To deliver... The master-stroke Ploughman, "Waggoner Will", and types Politician with senatorial pipe - He's a dilly-dally-o Pedagogue squinting, wears a frown And a satyr peers under lady's gown, dirty fellow What a dirty laddio Tatterdemalion and a junketer There's a thief and a dragonfly trumpeter - He's my hero Fairy dandy tickling the fancy Of his lady friend The nymph in yellow "Can we see the Master-Stroke" What a quaere fellow Soldier, sailor, tinker, tailor, ploughboy Waiting to hear the sound And the arch-magician presides He is the leader Oberon and Titania Watched by a harridan Mab is the Queen And there's a good apothecary-man Come to say hello Fairy dandy tickling the fancy Of his lady friend The nymph in yellow What a quaere fellow The ostler stares with hands on his knees Come on Mr. Feller, Crack it open if you please 【試訳】 フェアリー・フェラーの神技 詞：フレディ・マーキュリー 彼は樵きこりの妖精 新月が輝く真夜中 木の実を割る姿を見ようと 妖精たちが集まった 樵は斧を振り上げ 高く掲げて誓う 熟練の一撃を披露することを 農夫や、御者のウィルのような連中 政治家は貴族のパイプをくわえている やつはぐずぐずしている 教師は横目でしかめっ面つら サテュロスは女性のドレスの下から覗く いやらしいやつ 何て下劣なんだ ボロを着た者、この宴を楽しむ者 泥棒も、トンボのトランペット吹きもいる あいつは俺のヒーロー 洒落男の妖精は恋人といちゃつき その黄色の服のニンフは言う "神技の一撃を見せて" 何て変なやつらだ 兵士、水夫、鋳かけ屋、仕立屋に農夫 みんな、あの音を待っている 大魔術師が陣取り すべてを取り仕切る オベロンとティターニアは 口うるさい老婆に見張られている マブは女王 そして有能な薬剤師が 挨拶に来る 洒落男の妖精は恋人といちゃつき ニンフは黄色の服 何て変なやつらだ 馬丁は膝に両手をつき、見つめる さあ、樵さん 木の実を割って見せてよ

クィーン 「QUEEN II」(1974)

歌詞を見てすぐ分かることは、ダッドの絵がどういう情景で何が描かれているか、それを説明したような歌詞だということです。実は、リチャード・ダッドは自作の「Fairy Feller's Master-Stroke」を解説した長い詩を残していて、現在はネットで公開されています。フレディー・マーキュリーはその内容を知って曲を作ったのが明らかです。歌詞には、satyr、dandy、nymph、politician、soldier、sailor、tinker、tailor、ploughboy、apothecary、thief、ostler、tatterdemalion、junketer、harridan、arch magician、Oberon、Mab、といった絵の登場キャラクターが出てきますが、今あげたものはすべてダッドの "自作解説詩" に出てきます。この中には tatterdemalion（ボロを着た者）などの、普通はまず使わない単語（ないしは古語）が出てきますが、それはダッドの "自作解説詩" にあるからなのです。

従って、クィーンの歌詞の内容を把握するためには、ダッドの絵に何が描かれているかを知る必要があります。それを次節に書きます。

---

ちなみに、歌詞には意味不明の単語が２つあります。一つは「Politician with senatorial pipe」の "senatorial" です。これは「上院の」とか「上院議員の」とか「上院議員にふさわしい」という意味ですが、英国の上院は貴族院（House of Lords）なので、上の試訳ではとりあえず "貴族の" としておきました。しかし "貴族のパイプ" では意味不明です。"senatorial pipe" はダッドの自作解説詩に出てきますが、おそらく19世紀にはその意味するところが明瞭だったのでしょう。ダッドの絵にはその「パイプをくわえた政治家」が出てきます（後述）。

もう一つは、２回出てくる "What a quaere fellow" の "quaere" で、これはダッドの自作解説詩に出てくる語ではなく、フレディー独自の表現です。しかし "quaere" という語を辞書で引いてもラテン語とあって、意味がとれません。この語について、ユニバーサル・ミュージックの海外音楽情報サイト、udiscovermusic.jp には次のような解説があります。

歌詞中の“奇妙な奴（quaere fellow）”という言い回しは、一部の人々が想像するようなあからさまな意味というより、やはり文学的な引用で、ブレンダン・ビーアンの戯曲『奇妙な奴（原題：The Quare Fellow）』のタイトルを謎めいたスペルで表したものである。 クイーン『Queen II』制作秘話 by Max Bell （udiscovermusic.jp）

「一部の人々が想像するような」というのは、quaere = queer と考え、queer は「不思議な、奇妙な」という意味に加えて性的マイノリティも指すので、「あからさまな意味 ＝ ゲイ」ということでしょう。しかし、上の引用にあるように「奇妙なやつら」「ヘンなやつら」が妥当であり、歌詞全体を眺めればそれが正しい受け取り方です。フレディの歌詞には時として造語が出てくるので、これもそうでしょう。試訳では「何て変なやつらだ」としておきました。

---

何が描かれているか

---

クィーンの歌詞の意味を探るため、ダッドの絵に何が描かれているのかを見ていきます。

リチャード・ダッド（1817-86） 「お伽の樵の入神の一撃」（1855-64） [Fairy Feller's Master-Stroke]

（54cm×39.4cm） テート・ブリテン [ロンドン]

まず、この絵の発想の原点はシェイクスピアにあります。クィーンの歌詞に「マブは女王」とありますが、これはシェイクスピアの『ロミオとジュリエット』に出てきます。第１幕 第４場のロミオたちが仮面舞踏会に行く場面、ロミオの "昨晩、夢をみた" から始まる夢談義の中で、マキューシオがロミオに言う台詞せりふがそれです。以下にその部分を引用しますが、原文にはない段落を追加しました。

【マキューシオ】 ああ、じゃ、おまえ、マブの女王と一緒に寝たな。妖精たちが夢を生むのを助ける産婆役だ。町役人の人差し指に光る瑪瑙めのうのように小さな姿でやってきて、芥子粒けしつぶほどの小さな動物の群れに車を引かせ、眠っている人間どもの鼻先かすめて通って行く。 まわる車輪のスポークは、足長蜘蛛ぐもの足。広がる幌ほろは、バッタの羽だ。馬を牽ひく綱つなは、蜘蛛の細糸、首輪は、しっとり月の光、鞭むちの棒は蟋蟀こおろぎの骨、鞭の縄は細い糸。御者ぎょしゃは灰色の服を着た小さな蚋ぶよだが、だらしない女の指先から湧わくという丸い蛆うじの半分の大きさもない。 車体はヘーゼルナッツの殻。作った大工は、昔から妖精の馬車造りを引き受けてきた栗鼠りすか甲虫かぶとむしだ。 かくも豪華ないでたちで、夜毎に走るマブの女王。恋人の頭をかすめりゃ、愛の夢。・・・（以下略） シェイクスピア 『ロミオとジュリエット』 第１幕 第４場 河合祥一郎 訳 （角川文庫 2005）

妖精の女王・マブは車に乗って夜毎現れ、夢を見させる。車の車体はヘーゼルナッツの殻で出来ている ･･････。『ロミオとジュリエット』のこの部分から発想し、マブの女王のための "車体材料" を樵の妖精が作ろうとしていて、そのイベントに妖精たちが集まった光景を描いたのがダッドの絵です。

さらにクィーンの歌詞に「オベロンとティターニア」とあります。言うまでもなく、シェイクスピアの『真夏の夜の夢』に出てくる妖精の王と妖精の女王です。これはダッドの絵にも描き込まれていて、そうすることで "シェイクスピアを踏まえた" ことを明確にしているのです。

しかし "シェイクスピアを踏まえた" のは、この絵のほんの発端に過ぎません。ほとんどの事物は画家独自のイマジネーションで描かれています。そのところを順に見ていきます。

以下の解説は、電子図書館 JSTOR（ジェイストア＝Journal Storageの略。www.jstor.org）に掲載されている絵の説明に従いました。この説明もダッドの "自作解説詩" を踏まえたもので、以下に見出しとしてあげた「キャラクターを表す語」はすべて "自作解説詩" に現れるものです。

樵の妖精（Fairy Feller）

樵の妖精は帽子をかぶり、茶色の革製のコートとズボンを身につけ、両手で斧を振り上げて、地面に立てたヘーゼルナッツに一撃をくわえようとしています。向こう向きなので表情はうかがい知れません。下の２つ目の図に、彼が割ろうとしているヘーゼルナッツの拡大図と、実物の写真をあげました。

テート・ギャラリーは "TateShots" と題する美術館の解説動画を YouTube で多数公開しています。その中の "Richard Dadd, The Artist and the Asylum"（2012.2.9。"リチャード・ダッド、芸術家と収容所"）でこの絵が取り上げられていて、美術史家のニコラス・トローマンス（Nicholas Tromans）が次のように解説していました。

The main figure is the Feller himself who looks a little bit perhaps like Richard Dadd, raising an axe with which he is about to split this hazelnut to make a new carriage for the queen of the fairies, Queen Mab

【試訳】　この絵の中心人物は樵その人です。彼は少々リチャード・ダッドに似ているようにも見えます。斧を振り上げ、妖精の女王、クィーン・マブの新しい車を作るため、今まさにヘーゼルナッツを割ろうとしています。

Nicolas Tromans (Art Historian)

"looks ... like Richard Dadd" というのは、樵の後ろ姿の様子がリチャード・ダッドに似ているということでしょう。

馬丁（Ostler）

樵の妖精の右側です。妖精宿の馬丁ばてい（馬の世話人）が膝に両手をつき、一心不乱に樵を見つめています。ヘーゼルナッツの殻が割れる瞬間を見逃すまいとしているようです。

修道士（Monk）

馬丁の後ろに、少々分かりにくいのですが修道士がいます。頭頂部を剃り、髪をリング状に残した "トンスラ" の髪型をしています。腕を組んでいる姿です。

農夫と御者のウィル（Ploughman, Waggoner Will）

修道士の右と上に、農夫（右）と荷馬車の御者のウィル（上）がいます。ウィルは今夜のイベントには無関心なようです。

遊び人（Men-about-Town）

これは、画面の右端にいる２人の男の妖精を指します。羽がついた立派な帽子をかぶり、中世風の昔の服を着ています。一人は楽器を弾いています。

男女の小人（Female and Male Dwarf）

樵の左に、緑のドレスを着た女と赤い帽子の男の小人がいます。男は祈祷師です。右手を差し出していますが、木の実が割れるかどうかの賭を仕切っています。

田舎の恋人たち（Rustic Lovers）

画面の左端の男女の妖精は恋人同士です。男は皮革業者（tanner）、女は乳搾り（dairymaid）で、男は女に寄りかかっています。

２人のメイド（Two Ladies' Maids）

左端の少し上に２人のメイドがいます。左側のメイドは左手に箒を持ち、右手にスズメガ（hawkmoth）をとまらせています。妖精は小さいので、蛾は肘まである大きさです。一方、右側のメイドは右手に鏡を持っていますが、その右下の地面を見ると、サテュルスがスカートの下から覗いています（拡大図）。サテュルスはギリシャ神話の半人半獣神で、好色とされています。

教師（Pedagogue）

メイドの右側に、禿頭で白髭の教師がいます。彼はかがむように座っていて、手を膝にあてています。

上に引用したように、ニール・ゲイマンはこの老人がダッドの（将来の）自画像に違いない、としています。数少ない正面を向いた妖精ですが（だだし横目で樵を見ている）、何となく不安げな感じで、教師という名ではあるが、人を導くキャラクターのようには見えません。しかし、この絵の中では最も現実感があるキャラクターに見えます。自画像説もありうるかも、と思います。

洒落男とニンフ（Dandy and Nymph）

教師の後ろに、洒落男の妖精とニンフがいます。洒落男はニンフに言い寄っています。

政治家（Politician）

さらにその右側に、赤い服をきた政治家がいます。彼はパイプをくわえています。ダッドの自作解説詩ではこのパイプを "senatorial pipe" としています。直訳すると "上院議員のパイプ" です。拡大図を見ると、ちょっと変わった形のパイプのようです。

いなか者（Clodhopper）

政治家の右に、立派な靴を履いた "いなか者" がいます。彼はサテュルスのような頭部です。Clodhopper とは泥道でも大丈夫な丈夫な靴で（clod = 土の塊）、そういう靴を履いている人をも指します。

２人のエルフ（Two Elves）

洒落男とニンフの上に、聞き耳を立てている２人の妖精が小さく描かれています。エルフ（elf）はゲルマン神話・北欧神話に起源をもつ妖精です。

大魔術師（Arch Magician）

政治家の上に大魔術師がいます。白い髭で、３層の金の王冠をかぶり、左手を横に伸ばしています。彼がこの場を仕切っていて、樵が一撃を加える合図を送ろうとしています。

マブの女王と踊り子（Queen Mab and Dancers）

大魔術師の３層の王冠の左と右にマブの女王の一行が描かれています。左はマブの女王の部分で、拡大図の車輪の上に女王の顔が見えます。全体の詳細は小さすぎて判別し難いのですが、このあたりは『ロミオとジュリエット』の記述を踏まえていると考えられます。大魔術師の王冠の右側には、スペイン風の衣装の踊り子たちが描かれています。

オベロンとティターニア（Oberon and Titania）

大魔術師のすぐ上に「真夏の夜の夢」の妖精の王と王妃、オベロンとティターニアがいます。ともに王冠をかぶり、正装しています。三角帽をかぶった赤い服の老女が見張っています。

トランペット吹き（Trumpeters）

全体画面の左上にトランペット吹きがいます。２人（下図の中央付近）と、トンボ（下図の右上）のトランペット吹きです。トンボはバッタとも似た格好をしています。トンボの下には中国風の帽子の妖精が小さく描かれています。

なお、クィーンの歌詞に「Tatterdemalion and a junketer」とあります（試訳：ボロを着た者、この宴を楽しむ者）。ダッドの "自作解説詩" では、これはトランペットを吹いている２人（上図中央付近）のことだとしています。言葉の意味は、

tatterdemalion	person in tattered clothing。ボロボロの（裂けた）服を着た者
junketer	person who goes on junkets, feasts, and excursions for pleasure。物見遊山や宴会、遠出で楽しむ者

ですが、上の画像を見てもボロを着ているようには見えないし、トランペットに夢中でヘーゼルナッツを一撃で割るイベントを楽しんでいるようでもありません。これは画家・ダッドの反語なのかもしれません。

兵士、水夫、鋳掛屋、仕立屋（Soldier, Sailor, Tinker, Tailor）

画面の上端のトランペット吹きの右側に何人かの妖精がいますが、これはマザーグースを踏まえています。

Tinker, Tailor,
Soldier, Sailor,
Rich Man, Poor Man,
Beggar Man, Thief.

という、いわゆる "数え唄" です。ただし、ダッドの絵では登場キャラクターが少し違い、左から右へ順に、①兵士（soldier）②水夫（sailor）③鋳掛屋（tinker）④仕立屋（tailor）⑤農夫（ploughboy）⑥薬剤師（apothecary）⑦泥棒（thief）、の７人です。

ここで、クィーンの歌詞にもある "apothecary"（薬剤師、薬屋）が登場するのが少々唐突な感じがします。画面の右上（走っている泥棒の左上）で大きな乳鉢と乳棒で薬を調合しているのがそうです（下図）。ダッドの絵を所蔵しているテート・ブリテンの公式サイトの解説を見ると「リチャード・ダッドの父親は薬剤師で、絵の中の薬剤師は父親の肖像」だとしています。ということは、この７つのキャラクターの部分は画家の "子供時代の思い出" なのでしょう。

ちなみにリチャード・ダッドの父親については、専門家の次のような記述があります。

リチャード・ダッドの一生は十分恵まれて始まった。彼は1817年8月1日、イギリス南東部のケント州チャタムで生まれた。父ロバート・ダッドは繁盛している薬局の薬剤師で、町の名士でもあり化学や地質学の講師としても有名だった。また親切な、進歩的意見をもつ有能の士で、親友の弁によると、全く陰険さがなく、他人に悪意のある猜疑心をもたれるような人ではなかった。この父の特別な「誇りと希望」は７人の子どもの中で３番目の男の子である第４子のリチャードだった。 パトリシア・オルダリッジ （Patricia Allderidge） 「リチャード・ダッド 精神病棟の画家」 「夢人館 ８ リチャード・ダッド」所載 （井上知行訳 岩崎美術社 1993）

パトリシア・オルダリッジは「ベスレム病院記録保管官、兼 博物館長」で、リチャード・ダッド研究の第一人者です。この文章を読むと、リチャード・ダッドの父親は "有能な（good）薬剤師" であるとともに "人柄のよい（good）名士" だったようです。クィーンの歌詞に "good apothecary-man" とあるのはその通りです。

デイジーとヘーゼルナッツ（Daisies and Hazelnuts）

妖精以外に目を向けてみると、特に目立つのはあちこちにちりばめられたデイジー（ひな菊）と、樵の足元に散らばるヘーゼルナッツです。樵はこのヘーゼルナッツを順に斧で割るつもりなのでしょう。牧草らしきものもあちこちに描かれています。

未完

画面の左下に明るい茶色の部分がありますが、ここはカンバスに下塗りだけがされていて、未完です。主にヘーゼルナッツのデッサンがされています。

さらに重要な未完部分があります。樵の斧です。完成作だと、この両刃の斧は金属色に塗られるはずですが、そうはなっていない。塗り残されています。おそらく画家は、最後の最後に斧を完成させるつもりだったのでしょう。

---

Fairy Feller's Master-Stroke

---

「Fairy Feller's Master-Stroke」の細部を順に眺めてみて思うのは、実に様々なキャラクターが描き込まれていることです。妖精の一群とは言いながら人に近いものもあれば、異形の者もいます。極端にはトンボ（＋バッタ ？）の妖精（？）までいる。ヘーゼルナッツやデイジーとの比較で妖精が全体的に "小さめ" なのは分かるが、そのサイズ感はさまざまです。極大がトンボで、マブの女王の一行は判別しづらい小ささです。

いかにも "妖精らしい" 羽をつけたものもいるが、そうでないものも多い。服装も中世風から近代風までまちまちで、身分は農民・馬丁から王・王妃までに渡っています。シェイクスピアが原点なのだろうけど、ギリシャ神話や民間伝承、童謡までが入り込んでいて、スペイン風もあれば中国風もあります。さらに画家の父親（薬剤師）の肖像と自画像（＝仮説）まである。

さらに多様なのが、「樵がヘーゼルナッツの実を一撃で割る」という深夜のこのイベントに集まった妖精たちの "態度" です。その瞬間を見逃すまいとじっと見つめるものもいれば（馬丁）、単に見学しているものもいる。無関心であったり、別行動の妖精もいます（覗き見や楽器演奏）。

以上のような多彩さこそが、画家が意図したことなのでしょう。つまり "世界は見たそのままのモノだけで出来ているのではない" のであり、"想像力がなければ見逃してしまう様々なモノに満ちている" というメッセージです。

そして、あらためて全体を俯瞰して思うのは、その "種々雑多感" です。"ごった煮" というか "秩序のなさ"、"乱雑さ" が際だっています。多様性を通り越した、混沌とした世界が描かれている。それが "見たそのままではない世界" なのでしょう。

その混沌の中に一つだけ混沌とは真逆のことが描かれています。樵がヘーゼルナッツの殻を斧の一撃で割るという、この絵のタイトルになっている行為です。これは成功するか、失敗するか、二つに一つです。そして成功すれば（ないしは、神技の樵なら間違いなく成功して）ヘーゼルナッツは生まれ変わり、マブの女王の車の材料（と妖精たちの食料）になる。その瞬間は、この絵の数秒後に訪れるはずです。１かゼロかの答えが明らかになる、明快で明瞭な世界です。曖昧なことは何もありません。

画家は「Fairy Feller's Master-Stroke」という絵で、世界のありようを表現したのだろうと思います。想像力がなければ見逃してしまうモノに溢れている世界、その世界における「混沌」の中の「明快」、あるいは「明快」を包み込んでしまう「混沌」です。

そして、後ろ向きになっている唯一のキャラクターが "樵" です。この樵は、テート・ギャラリーの動画解説にあったように画家自身の肖像かもしれないが、後ろ向きであるため絵を見る人が自分自身を投影できます。しかも斧は未完です。混沌とした世界に、どういう一撃を下すのか。その一撃で何を得るのか。それはこの絵を鑑賞する人にかかっています。そのことを暗黙に感じて、人はこの絵に引き込まれる。それがこの絵に仕組まれた「罠」（＝作家のニール・ゲイマンの表現）だと思います。

---

絵画から音楽を作る

---

フレディ・マーキュリーがこのダッドの絵を見て感銘をうけて作った曲が「フェアリー・フェラーの神技」です。その歌詞を再度、引用します。

The Fairy Feller's Master-Stroke（1974） Lyrics by Freddie Mercury He's a fairy feller The fairy folk have gathered Round the new moon shine To see the feller crack a nut At nights noon time To swing his axe he swears, As it climbs he dares To deliver... The master-stroke Ploughman, "Waggoner Will", and types Politician with senatorial pipe - He's a dilly-dally-o Pedagogue squinting, wears a frown And a satyr peers under lady's gown, dirty fellow What a dirty laddio Tatterdemalion and a junketer There's a thief and a dragonfly trumpeter - He's my hero Fairy dandy tickling the fancy Of his lady friend The nymph in yellow "Can we see the Master-Stroke" What a quaere fellow Soldier, sailor, tinker, tailor, ploughboy Waiting to hear the sound And the arch-magician presides He is the leader Oberon and Titania Watched by a harridan Mab is the Queen And there's a good apothecary-man Come to say hello Fairy dandy tickling the fancy Of his lady friend The nymph in yellow What a quaere fellow The ostler stares with hands on his knees Come on Mr. Feller, Crack it open if you please 【試訳】 フェアリー・フェラーの神技 詞：フレディ・マーキュリー 彼は樵きこりの妖精 新月が輝く真夜中 木の実を割る姿を見ようと 妖精たちが集まった 樵は斧を振り上げ 高く掲げて誓う 熟練の一撃を披露することを 農夫や、御者のウィルのような連中 政治家は貴族のパイプをくわえている やつはぐずぐずしている 教師は横目でしかめっ面つら サテュロスは女性のドレスの下から覗く いやらしいやつ 何て下劣なんだ ボロを着た者、この宴を楽しむ者 泥棒も、トンボのトランペット吹きもいる あいつは俺のヒーロー 洒落男の妖精は恋人といちゃつき その黄色の服のニンフは言う "神技の一撃を見せて" 何て変なやつらだ 兵士、水夫、鋳かけ屋、仕立屋に農夫 みんな、あの音を待っている 大魔術師が陣取り すべてを取り仕切る オベロンとティターニアは 口うるさい老婆に見張られている マブは女王 そして有能な薬剤師が 挨拶に来る 洒落男の妖精は恋人といちゃつき ニンフは黄色の服 何て変なやつらだ 馬丁は膝に両手をつき、見つめる さあ、樵さん 木の実を割って見せてよ

始めと終わりで、この絵の "全体状況" が歌われます。最初の方に「新月が輝く真夜中」とあります。新月（new moon）と言うと日本語では月が見えない状態ですが、英語の new moon は新月のあとの三日月程度までも指すようなので、そういった月が輝いている夜でしょう。ダッドの絵には明らかに影が描かれていて、何らかの月明かりがあります。その深夜に、樵が神技を披露するイベントを見ようと妖精たちが集まった ･･････。そして歌詞の最後の部分では、樵の右側でじっと見守っている馬丁が登場し、"さあ、割ってください" となります。

しかし曲の中心は、始めと終わりの間の "妖精たち" を歌った部分です。そこにはダッドの絵に描かれている妖精が、全部ではないが数多くランダムに登場します。その合間に「いやらしいやつ」とか「僕のヒーロー」とか「何て変なやつ」といった、"感想" が挟み込まれる。ストーリーはなく、ダッドの絵をそのまま持ち込んだような「混沌」とした歌詞です。

そして全体に言えることは、この曲はダッドの絵をそのままダイレクトにロック音楽にしたものだということです。そしてこのような曲を作りたいと思うほどに、フレディはテート・ギャラリーのダッドの絵を見て感じ入るものがあった。

フレディは絵の何に感銘を受けたのでしょうか。その、あまりにも混沌とした世界でしょうか。特にダッドの絵を全く知らないで曲を聴くと、脈絡なく単語が出てくる錯綜した（良く言えば幻想的な）歌詞だと思えるでしょう。内容は全く違いますが、この曲の１年後に作られた "Bohemian Rhapsody（1975）" の "混沌とした歌詞" が思い起こされます。

ないしは、「混沌とした世界」である一方、樵の一撃という「はっきりとして明快な回答」が同居しているという、この絵の中心的なコンセプトなのでしょうか。

あるいは、全く別の観点で、妄想に取り憑かれ精神を病んでいるにもかかわらず、なおかつ精神病院でこのような "世界を俯瞰する芸術作品" を描ける画家の（人間の）創造力の偉大さなのでしょうか。

フレディが感銘を受けた理由は分かりませんが、意外と最後の点が当たっているのかもしれません。

---

このブログ記事の冒頭で、絵画からインスピレーションを得て（ないしは絵画をネタに）創作された音楽として、ドビュッシーの『海』をあげました。こういった "クロスオーバー" は意外とあって、有名なムソルグスキーの『展覧会の絵』がそうだし、ラフマニノフの『死の島』は、ベックリンの同名の絵に触発されたものです。ボッティチェリの『春』『ヴィーナスの誕生』『東方三博士の礼拝』をネタに作られたレスピーギの『ボッティチェリの３枚の絵』という作品もありました。リストのピアノ作品にもいくつかの "絵画ネタ" があります。

というように、クラシック音楽の世界ではこのタイプの音楽が意外とあるのですが、クィーンの『フェアリー・フェラーの神技』はロック音楽です。しかも絵の世界観を直接的に曲にしている。そこに、この曲の独特のポジションがあるのでした。

---

補足すると、ダッドの絵とクィーンの楽曲は「妖精」をめぐって展開しますが、英国は「妖精大国」なのですね。アーサー王の伝説から始まって、シェイクスピア、ピーターパン、指環物語、そしてハリーポッターまで、妖精が活躍します。そして「妖精画」という空想画が英国絵画史の大ジャンルであり、数々の「妖精画家」がいました。リチャード・ダッドが妖精を描いた作品は一部に過ぎませんが、伝統に吸い寄せられるかのように、代表作とされる絵が「妖精画」となった。そのダッドの絵に惹かれた英国のロックバンド、クィーンが楽曲を発表しても、それはごく自然だという感じがします。そういった英国の文化的伝統を感じるのが、２つの『フェアリー・フェラーの神技』なのでした。

---

---

タグ：シェイクスピア ロミオとジュリエット フレディ・マーキュリー クィーン 真夏の夜の夢 妖精 ニール・ゲイマン ヘーゼルナッツ マザーグース 樵 オベロン ティターニア リチャード・ダッド お伽の樵の入神の一撃 テート・ブリテン Fairy Feller's Master-Stroke フェアリー・フェラーの神技 マブの女王 マーク・チャドボーン

No.317 - プラセボ効果とノセボ効果

No.302「ワクチン接種の推奨中止で4000人が死亡」に続いて、ワクチンや治療薬の副反応・副作用の話を続けます。No.302 で書いたことを要約すると以下でした。

◆	ヒトパピローマウイルス（HPV, Human papilloma virus。papilloma = 乳頭腫）が引き起こす子宮頸癌で、世界で毎年およそ 27万人が死亡していた。
◆	HPV感染を予防する「HPVワクチン」が開発され、日本ではグラクソ・スミスクラインが2009年12月から「サーバリックス」を、またMSD（米国の製薬大手、メルクの日本法人）が2011年8月から「ガーダシル」の販売を始めた。このワクチンは、日本では2013年4月に "定期接種化" された（＝ある年齢がくれば公費で接種が受けられる）。
◆	ところが定期接種化から2ヶ月後の2013年6月14日、厚生労働省は HPVワクチンの「積極的な接種勧奨の一時停止」を発表した。接種後に、けいれんする、歩けない、慢性の痛みがある、記憶力が落ちたといった、様々な症状を訴える人が相次いだからだった。
◆	この "一時停止" は今も続いている（2020年末現在）。一方、HPVワクチンは承認されたままであり、公費による接種を受けることができる（＝定期接種の対象）。
◆	厚生労働省は専門家を集め、子宮頸がんワクチンの安全性について様々な角度から検討した。そして2013年12月に、ワクチン接種後の症状は「身体表現性障害」の可能性が高いという見解を発表した。身体表現性障害は、身体的な異常はないのに痛みや恐怖、不安、プレッシャーなどをきっかけに生じる身体の症状のことである。
◆	しかし「積極的な接種勧奨の一時停止」の結果、70パーセントだった接種率が2017年には1パーセント以下までに下がった。このように接種率が激減した国は日本しかない。
◆	その間、2016年に、ワクチン接種によって被害を受けたとして、国と製薬会社２社を相手に、賠償を求める世界初の集団訴訟が起こされた。
◆	販売開始後の臨床試験が進むにつれ、HPVワクチンの効果を証明するデータがそろってきた。スウェーデンのカロリンスカ研究所は2020年10月、10～30歳の女性が接種すると子宮頸がんの発症リスクが63%減るとの研究成果を発表した。10～16歳で接種した人に限ると、発症リスクは88%減っていた
◆	ワクチンの副反応についても研究が進み、接種しても発症リスクは変わらないとの報告が相次いでいる。名古屋市立大学の2018年の報告では、名古屋市の約3万人の女性を対象に接種の有無ごとの発症リスクを比較し、痛みや意図しない体の動きなどの接種後に報告された24の症状について、接種で発症リスクが上がることはなかったとした。また、2020年9月にはデンマークの研究チームが、慢性的な痛みが続く「複合性局所疼痛とうつう症候群」などと接種との因果関係はないと報告した。
◆	大阪大学の研究チームは2020年10月、接種率が激減した2000～03年度生まれの女性では、将来、避けられたはずの子宮頸がんの患者が計1万7千人、死者が計4千人発生するとの予測をまとめた。

この経緯のキーワードは、ワクチンの副反応（治療薬では副作用）です。おりしも現在、新型コロナウイルスのワクチンの副反応がメディアなどで報告され、話題になっています。「副反応が心配だから接種は様子見」という人もいるようです。

この副反応を理解し、正しく認識する上で是非とも知っておきたいのが「プラゼボ効果とノセボ効果」です。今回その話を書きます。プラセボとは偽にせの薬、偽薬ぎやくのことです。これは新しい治療薬やワクチンの効果を実証するのに無くてはならないものです。そして「プラセボ効果」と「ノセボ効果」の意味は、

プラセボ効果 プラセボを投与された人に、症状の改善など好ましい効果が現れること ノセボ効果 プラセボを投与された人に、望まない有害事象が引き起こされること

です。ワクチンの副反応に関係するのはノセボ効果ですが、プラセボ効果とノセボ効果は「表と裏」の関係にあるので、両方を知ることがヒトの身体の理解につながります。そこで以下ではこの２つについて、最近のテレビとメディアの記事から紹介します。まずプラセボ効果です。

---

プラゼボ効果（NHKの番組より）

---

2021年6月23日のNHK総合「ガッテン！」は「最新科学で迫る！ 不思議☆発見 "おまじない" の世界」とのタイトルでしたが、その中で医学界におけるプラセボ効果の実例の紹介と、専門家へのインタビューがありました。まず、現役の４名の看護師さんへのインタビューです。その発言を採録しますが、必要に応じて（　）で意味を補いました。

現役の看護師さんへのインタビュー

「 長い間寝てなきゃいけなくて、動いたりできない患者さんに、不安とか痛みとか出てきたときに、"落ちつくような薬をください" って言われて、（医師の指示で）生理食塩水を投与（＝注射）させてもらって、入ったって分かると "ありがとう" みたいな ･･････。そうすると寝て（透析の）時間を終えられるっていう（ことがありました）」【人工透析の患者さんの実体験】 「 ナースコールで呼ばれたときに "痛み止めが欲しい" って言うけど、あまりにも頻回すぎて、先生と相談して乳糖の粉末を代わりに "先生の処方を出してもらったので、これでちょっと様子を見ましょうか" みたいな ･･････。"ちゃんと先生に確認したものですよ"、"ちょっと強めのを持ってきました"。そうすると、一時はナースコールがなくなって、本人もおだやかになっていました」【全身に痛みがある難病患者さんの実体験】 「 ちゃんとドクターの指示で（偽薬を）薬剤部が作って、１包化してくれて、それを普通に渡します。"何時以降"、"不眠訴え時" みたいに指示を書いてくれて」 「 できることはやってあげたい」 「 痛い、痛いと言われて、患者さんが痛いって言ってるんだからどうにかしてあげたい」 「 ちょっとでもやわらげたいっていう、それだけですよね。痛いとか、かゆいとか、苦痛なことがちょっとでも和らげばいい。不快を少しでもなくせれば」

番組では352人の看護師へのアンケート結果の紹介がありました。それによると、86% の看護師の方が偽薬を使ったことがあるとのことです。この回答や上のインタビューでもわかるように、偽薬の使用はれっきとした医療行為です。つまり、効き目の強い鎮痛剤の場合、たとえば８時間の間隔をあけて投与することとの指示があったとします。しかし、その８時間の途中で痛みを訴えられたらどうするか。本物の薬だと投薬過剰になり、場合によっては命の危険もありうる。そこで偽薬を投与するわけです。

もちろん偽薬が効かない場合も多くあります。しかし効果が出ることもある。そして、効果があるのなら使いたい。

我々はふつう「体に痛みの原因があり、それが神経で脳に伝わって痛む」と考えます。鎮痛剤は「痛みの原因を無くすか、神経の伝達を遮断するから効く」と考えます。しかしプラセボ効果の実例は、そのようなことだけではないことを示しています。

カナダとアメリカの事例

番組ではカナダとアメリカの事例が、患者本人へのインタビュー映像を交えて紹介されていました。

カナダで暮らすポール・パターソンさん。およそ20年前、ある病気の診断をうけました。 「 医師を訪ねると、一目見るなり、あなたはパーキンソン病ですと告げられたんです」 パーキンソン病は脳に異常がおきて（運動機能など）さまざまな症状に悩まされる病気です。パターソンさんは手足の震えや筋肉のこわばりのため、歩くこともままならなくなりました。 ある日、パターソンさんはプラセボ効果に関する実験に参加することになりました。被験者には、本物の薬か偽の薬かのどちらかを投与します。そのうちあなたにどちらを渡すかは明らかにしません、と告げ、カプセルを渡します。しかし実際に配られるのはすべて偽の薬です。本物かもと思ったときにプラセボ効果がどう現れるかを確かめる実験だったんです。 パターソンさんにも偽の薬が渡されました。なので、もちろん効果がでるはずはありません。しかし予期せぬ出来事がおこったんです。 「 新しい薬を渡されました。飲んで30分ほどすると、突然効果を感じたんです」 何とパターソンさんの症状はみるみるうちに改善。１人で歩けるまでになったんです。パターソンさんは自分が飲んだのが本当の薬だと信じ込んでいたと言います。 「 驚きました。薬なしであんなことができるはずないんです。私は本物の薬が効いてくるときの感覚を知っています。それと同じ感覚を偽の薬で作り出せるなんで不思議でした」 アメリカに住む、ボニー・アンダーソンさん。ある日、ふとしたことがから大怪我を負ってしましました。 「 キッチンの床ですべって、すってんころりと転んでしまったんです。そのまま動けませんでした。背骨が折れてしまったようで、本当に耐えられない痛みだったんです」 診断の結果は脊椎の骨折。全治数ヶ月という重傷でした。アンダーソンさんは骨折した箇所にセメントを注入する手術を受けることに。 しかしアンダーソンさんも偽の手術を受けることになりました。セメントを注入する治療法に本当に効果があるのかを確かめるための臨床試験でした。手術室に入ると背中に局所麻酔を打たれます。しかしセメント注射はされず、指で体を押されただけで終了。局所麻酔なので意識はありましたが、（偽の手術だと）気づくことはなかったんです。自分では本当に手術を受けたと思いこんでいたアンダーソンさんにも奇跡のようなできごとが･････。 「 効果は絶大でした。楽に動き回れるようになったんです。１週間でゴルフまでできてしまったんです」 何と指で背中を押しただけだのに、痛みが消え去ったと言うんです。 もちろんこの２人に起こったことは一時的な効果。その後、一般的な治療を受けたと言います。

プラセボは本物の薬の効果を確かめるために用いられるものです。つまり、効果がないことが前提の偽薬です。それでもこういった事例が起こる。ただし、これらは少ない例です。番組でも、

パターソンさんやアンダーソンさんのような例はほんの一部だということに注意ください

と断っていました。プラセボは薬ではないので、医薬品の認可をうけずに販売できます。番組ではプラセボが食品として一般販売されていることを紹介していました。いかにも薬の錠剤らしい外観とパッケージです。こういった "見た目" が大切なことも理解できます。

専門家へのインタビュー

さらに番組では、代替医療に詳しい島根大学医学部付属病院臨床研究センターの大野智さとし教授へのインタビューがありました。まず、大野教授がどういう研究をしているのかという自己紹介がありました。

ちまたには、例えばヨガとか、あるいはアロマセラピー、音楽療法など、いろんな体によいとされるものがあるかと思うんですけど、これが本当に効果があるのか、臨床試験で検証したりとか、科学的根拠があるのかないのか、臨床試験をしても全部効くという訳ではないので、効かないという事実があるのであれば、それを分かりやすく患者さんや医療従事者にお伝えする、そんな仕事をしています。

代替医療は通常医療の補完として行われるものですが、それらの中には効果がなかったり、あるいは民間で行われるものの中には逆に有害だったりするものもあるはずです。大野教授はそういった "医療" の効果を、臨床試験を含めて確認する研究をされているようです。さらにインタビューでは、プラセボについて次のように発言されていました。ここが本論です。

食品として販売されているプラセボを、プラセボと分かった上で使っても効果が得られるという話があったかと思いますが、実際の臨床試験の研究においても、プラセボということを患者さんに伝えた上でも、一定の効果が得られるということが証明されつつあります。 一人一人の患者さんを対象にしたときに、上手に利用していくってことを考えていただけたらなと思います。 あくまで、症状が改善することはあるが、おおもとになる病気そのものが治るわけではなくて、病気にともなう様々な症状や困りごと改善するという風にとらえていただけたらと思います。ただ自己判断で、本当であればお薬が必要な場面なのに偽薬にたよってしまうことだけは避けていただきたいと思います。 あと、すべてがいいことばかりではなくて、今日番組の中ではプラセボ効果っていい効果ということでお話がされていましたが、ある方によく効いたというプラセボでも、ほかの方にも同じようになるかというと、必ずしもそういう訳ではない。プラセボも万能薬ではありません。 効果がないとされるプラセボを飲んだ場合でも、臨床試験をやっていると副作用が出てきたり（＝ノセボ効果）なんていうことがあったりもします。 こういったプラセボ効果を悪用して商売をしている、場合によっては高額な商品を売りつけているケースがあります。人間の心理として値段が高い方が効果もあるんじゃないか、と思う方って多くいらっしゃると思います。こういうところにつけこむ形で商売をしていることが世の中にはあります。そういう注意点もあることを知っておいていただけたらと思います。 島根大学医学部付属病院 臨床研究センター教授 大野智さとし

「プラセボ効果を悪用して商売をしている、場合によっては高額な商品を売りつけているケースがあります」と発言されていますが、世の中には、機能性食品や健康家電を含めて「健康によいと宣伝されている食品、サプリメント、器具」が溢れています。しかも「良かったというユーザの声」が喧伝される。その声がプラセボ効果なのか、そうでなく本当に商品がもたらす効果なのかを見極める必要があります。その意味でもプラセボ効果を知ることは重要でしょう。

---

さらに番組では、世界のプラセボ研究をリードする、米国・ダートマス大学のトール・ウェイガー教授が次のように話していました。

プラセボ効果は何か良いことが起こるという期待感を持ったときに引き起こされると考えられています。つまり脳がこれから良いことが起こると期待することで、ストレスや不安が軽減され、それによって痛みを解消することができると考えられるのです。 米国・ダートマス大学教授 トール・ウェイガー

ウェイカー教授の言う "期待感" があると、脳の側座核を含む痛みに関係した部分が活発になり、強い鎮痛作用があるオピオイドが分泌される。これがプラセボ効果の（一つの）説明です。番組では MRI を使った画像でこのことを解説していました。

---

ところで、偽薬は "期待感" によって「好ましい」効果を生むだけでなく、"マイナスの期待感" によって「好ましくない」効果をもたらすことがあります。それが、島根大学の大野教授のインタビューにもあった、ノセボ効果です。

---

ノセボ効果（ファイザー社の新型コロナワクチン）

---

ノセボ効果については、2021年1月23日の「Nikkei STYLE（Web版）」の "ヘルスUP" に、新型コロナワクチンを例にとって説明してありました。まさにタイムリーな記事です。重要な部分を引用します。

プラセボを接種した人に有害事象が現れるのはなぜ ？ 米ファイザー社の新型コロナワクチンの臨床試験では、プラセボ群には生理食塩水が注射されました。生理食塩水の正体は、人間の体液と同じ浸透圧の0.9％食塩水ですので、注射針を刺して注入すること以外に健康被害はもたらさないと考えられます。にもかかわらず、プラセボを投与された人たちのうち、最大で3人に1人は、疲労感や頭痛を訴えました。 こうした現象は、ノセボ効果（nocebo effect）と呼ばれています。簡単に言えば、ワクチンの接種が疲労感や頭痛などの副反応を引き起こすかもしれない、と不安に思っていると、プラセボを接種されたにもかかわらず疲労感や頭痛を感じる、というのがノセボ効果です。 ノセボ効果の反対は、プラセボ効果（placebo effect）です。こちらは、有効成分を含まないプラセボであるのに、効果を信じ、期待することで、実際に症状が改善する現象を言います。 いずれも、薬やワクチン、医療者への信頼や期待、あるいはそれらへの不信や不安といった心理が大きく影響するために現れる現象だと考えられています。 Nikkei STYLE（Web版）"ヘルスUP" 2021年1月23日 日本経済新聞社

この記事に「プラセボを投与された人たちのうち、最大で3人に1人は、疲労感や頭痛を訴えました」とあります。FDA（アメリカ食品医薬品局）は「ワクチンを投与する医療従事者のためのファクト・シート」と題する文書を公開していて、この中にファイザー社が行ったコロナワクチンの治験結果があります。次の URL からダウンロードできます（2021.7 末現在）。

Pfizer-BioNTech COVID-19 Vaccine
"FACT SHEET FOR HEALTHCARE PROVIDERS ADMINISTERING VACCINE"
https://www.fda.gov/media/144413/download

この文書から、接種後の有害事象（副反応）とまとめた表を引用します。表は「局所反応」と「全身反応」に別れています。いずれも１回目の接種（Dose 1）と２回目の接種（Dose 2）のあと７日以内に起こった有害事象について、治験参加者をモニターしてまとめたものです。表において、N はモニターした人の総数、n は副反応が見られた人の数で、その n が表になっています。カッコ内は N に対するパーセンテージです。１回目、２回目ともワクチンを接種した人とプラセボ（＝生理食塩水）を接種した人の副反応が対比されています。表１は「局所反応」で、項目は次の通りです。

Redness
：発赤（注射部位が赤くなる）
Swelling
：腫れ
Pain at the injection site
：注射部位の痛み

表１：接種後７日間の局所反応 （治験者：18歳～55歳）

米国FDAが公開している "FACT SHEET FOR HEALTHCARE PROVIDERS ADMINISTERING VACCINE"（Revised 25 June 2021）より引用。引用元の表には注釈がついているが割愛した（次の表２も同じ）。

次の表２は「全身反応」の集計で、項目は次の通りです。

Fever	：発熱
Fatigue	：疲労感
Headache	：頭痛
Chills	：悪寒
Vomiting	：嘔吐
Diarrhea	：下痢

New or worsened muscle pain
　：筋肉痛（悪化を含む）
New or worsened joint pain
　：関節痛（悪化を含む）
Use of antipyretic or pain medication
　：解熱剤か鎮痛剤の使用

表２：接種後７日間の全身反応 （治験者：18歳～55歳）

米国FDAが公開している "FACT SHEET FOR HEALTHCARE PROVIDERS ADMINISTERING VACCINE"（Revised 25 June 2021）より引用。

この表を見ると次の３つのことが理解できます。

ワクチン接種では１回目より２回目の方が副反応が多い

これは人間の免疫（獲得免疫）についての知見と合致します。１回目でコロナウイルス（正確にはメッセンジャーRNAが作り出すコロナウイルスのスパイク・タンパク質）に対する抗体が体内にでき、それが記憶されます。２回目では、免疫記憶をもとに異物のタンパク質に対する総攻撃が速やかに始まる。従って２回目の方が副反応が強いわけです。

そもそも副反応は「免疫がついたことの証拠」であって、喜ばしいことです。つまりワクチンが正しく作用していることを示しています。ただし、副反応がないからといって免疫がつかなかったということではありません。人間の免疫の作用は人によって多様です。

プラセボの接種でも副反応が起こる

表を見ると、生理食塩水を注射してもワクチンで起こるものと同じ副反応が起きることがわかります。もちろん、その頻度は一般的にはワクチンより少ない。しかし１回目投与（Dose 1）の疲労感（Fatigue）や頭痛（Headache）のように、ほぼ３分の１の治験者に副反応が起きることもあります。Nikkei STYLE の記事はこのことを言っています。

また、中には下痢（Diarrhea）のように、ワクチンと同程度の副反応が見られることもあります。

プラセボによる副反応は２回目の方が下がる

プラセボによる１回目と２回目の副反応の頻度は、ワクチンの場合とは全く逆です。これはもちろん生理食塩水が人間の免疫機能とは無関係だからであり、かつ、２回目の方が不安感が少なく安心感が強くなるからだと推察されます。

---

いずれにせよ、ノセボ効果については、

新型コロナウイルスのワクチンの治験で、生理食塩水を注射した人の３割に疲労感と頭痛の副反応が見られた

という事実を覚えておくべきでしょう。プラセボ効果は「プラスの期待」、ノセボ効果は「マイナスの期待」によって起こります。"期待" という言葉はふつう良いことについて使うので、適当な言葉ではないでしょう。Nikkei STYLE では「予測」という表現が使ってありました。

プラセボ効果もノセボ効果も患者自身の予測が大きく関係 では、プラセボ効果とノセボ効果を経験しやすいのはどのような人なのでしょうか。米国の研究者たちが、このテーマに関係する論文を検討した研究によると、プラセボ効果は、その薬が効くことを期待する患者の気持ちに、ノセボ効果は副作用や副反応を心配する患者の気持ちに由来する、とのことです。 これまでに行われた研究では、鎮痛薬や精神障害に対する治療薬の場合は、プラセボ群にも治療群と同じ程度の効果（プラセボ効果）が見られやすいこと、同時に、治療群と同じ有害事象を経験（ノセボ効果）するプラセボ群の患者も少なくないことが示されていました。 著者らによると、プラセボ効果とノセボ効果には、患者自身の予測が関係します。予測は、自分が以前に経験した薬の効果や害、医師からの説明（何の薬か、どんな効果または害が起こりうるか）、自分以外の患者に関する情報（同じ薬を使用した人が経験した効果や害について見聞きする、あるいはインターネットを通じて知る情報）に基づいて行われます。 著者らは、ノセボ効果について、「気にかかる情報、間違った思い込み、悲観的な予測、好ましくない過去の経験、流布される否定的なメッセージなどが、有害事象の増加に関係し、さらには治療効果を減じる可能性がある」と述べています。 ワクチンの接種後に生じる有害事象には本人の心の持ちようも大きく影響する、ということを念頭に置いて、リラックスして接種に臨めば、結果は違ってくるかもしれません。 （同上）

新型コロナウイルスのワクチンの副反応について、マスコミでさまざまな報道がされていますが、「そもそも副反応は免疫を獲得した証拠、ないしは、獲得しつつある証拠であり、喜ばしいもの」という論調は少ないようです。さらに、上に引用した Nikkei STYLE の記事のように「副反応は偽薬でも起こる」ことをちゃんと報道しているマスコミはほとんどないと思います。その意味で日本経済新聞の報道は非常に適切だと思いました。

---

医療に求められるもの

---

人は時として「プラセボ効果」や「ノセボ効果」を示します。このことを前提に医療従事者や医療政策を決定する人たちは行動すべきことが分かります。現に、プラセボ効果については NHKの「ガッテン！」であったように、ドクターも看護師もプラセボ効果を理解した上で、少しでも患者さんの苦しみを軽減しようと対応しています。

ノセボ効果についても同様の対応が必要でしょう。ワクチン接種後に起こる有害事象（副反応）については、「ワクチンとの因果関係はない」かもしれないが「接種との因果関係はある」かもしれないからです。No.302「ワクチン接種の推奨中止で4000人が死亡」の補記で紹介しましたが、愛知医科大学の牛田教授（疼痛医学）は次のように語っておられました。

HPVワクチンでは、非常にまれですが、接種後に痛みを含めた「多様な症状」が現れました。強い記憶に残るような痛みや脱力などが接種で伴うと、その人にとっては大きなマイナスのできごとになる可能性は否定できません。 こうしたマイナスのできごとが、その人の一生にかかわるものにならないよう、医療者が寄り添うことが大切だと思います。 愛知医科大学教授・牛田亨弘たかひろ 朝日新聞 2021.6.16

これは HPV ワクチンについての発言ですが、すべてのワクチンについて言えることだと思いました。

---

---

タグ：大野智 ワクチン 副作用 ファイザー 副反応 偽薬 プラセボ 生理食塩水 プラセボ効果 有害事象 新型コロナウイルス ガッテン！ 新型コロナワクチン ノセボ効果 Nikkei STYLE

No.316 - 高校数学で理解する楕円曲線暗号の数理（２）

（前回より続く）

前回の No.316「高校数学で理解する楕円曲線暗号の数理（１）」では「有限体上の楕円曲線で定義された加法群」までの説明をしました。楕円曲線暗号はこの加法群で構成します。今回はその説明ですが、まず、加法群の点をどうやって見い出すか、またこの加法群の点の総数はどうなっているのかです。

---

16. 楕円曲線上の点

---

${\mathbb{F}}_p$ の元 $x$ と $y$ のぺア $\left(x,y\right)$ の集合を ${\mathbb{F}}_p^2$ と記述します。集合 ${\mathbb{F}}_p^2$ の元で楕円曲線上の "点" はどれだけあるでしょうか。まず、楕円曲線の式を満たす ${\mathbb{F}}_p^2$ の元がどのように計算できるかを調べます。

平方数と平方根

楕円曲線の式を、

$\{\begin{array}{l}{y}^2=z\\ z=x^3+ax+b\end{array}$

と書くとき、$z$（$z\ne 0$）が ${\mathbb{F}}_p$ での平方数なら、$y$ の解が２つ求まります。ここで、次の命題が成立します。

16.1	平方数である条件
$z$ を $0$ ではない ${\mathbb{F}}_p$ の元とする。 $z^{{\displaystyle \frac{p-1}{2}}}=1$ であるとき（かつ、そのときに限り）$z$ は平方数である（＝ オイラーの規準）。

${\mathbb{F}}_p$ で考えているので「平方数」と書きましたが、整数の世界では「平方剰余」です。つまり、$x^2=a\left(modn\right)$ となるような $x$ が存在する $a$ が平方剰余です。16.1 の証明ですが、${\mathbb{F}}_p$ から $0$ を除いた乗法群 ${\mathbb{F}}_p^{\ast }$ で考えます。12.1（No.313）により、$z$ は ${\mathbb{F}}_p^{\ast }$ の生成元（の一つ）を $g$ として、

$z=g^k$

と表現できます。つまり、命題の条件は、

$g^{k{\displaystyle \frac{p-1}{2}}}=1$

です。このとき $k$ は偶数のはずです。なぜなら、もし $k$ が奇数だとすると、$k{\displaystyle \frac{p-1}{2}}$ は $p-1$ で割り切れないので、

$$\begin{gathered} k{\displaystyle \frac{p-1}{2}}=s\left(p-1\right)+t \\ \left(1\le t<p-1\right) \end{gathered}$$

と表現できます。すると、

$\begin{array}{ll}{g}^{k{\displaystyle \frac{p-1}{2}}}& =g^{s\left(p-1\right)+t}\\ & ={\left(g^{p-1}\right)}^s·g^t\\ & =g^t\end{array}$

となり、$g^t=1\left(1\le t<p-1\right)$ になりますが、これは $g$ が生成元であることと矛盾します。従って $k$ は偶数です。そうすると $k=2m$ とおいて、

$z={\left(g^m\right)}^2$

となり、$z$ は平方数になります。

---

$z$ は平方数だとわかったとき、実際に ${\mathbb{F}}_p^{\ast }$ で $y$（＝ $z$ の平方根）を求める手段が必要になります。整数であれば平方数の平方根を求めるのは容易ですが、${\mathbb{F}}_p^{\ast }$ ではそうはいきません。特に、楕円曲線暗号で使われる $p$ は10進数で数10桁以上の巨大素数なので、総当たりで求めたり、解の存在範囲を限定していって求めるわけにはいかないのです。ただ、もし $p\equiv 3\left(mod4\right)$ なら求めるのは容易で、

$y=z^{{\displaystyle \frac{p+1}{4}}}$

が解の一つとなります（もう一つの解は $-y$ で、つまり $p-y$）。確認してみると、

$\begin{array}{ll}{y}^2& ={\left(z^{{\displaystyle \frac{p+1}{4}}}\right)}^2\\ & =z^{{\displaystyle \frac{p+1}{2}}}\\ & =z^{{\displaystyle \frac{p-1}{2}}}·z\\ & =z\end{array}$

となって、確かに $y$ が解であることがわかります。しかし、$p\equiv 1\left(mod4\right)$ なら、このような簡便な式では求まりません。この場合は「トネリ - シャンクスのアルゴリズム」で解を求めます（Tonelli は19世紀イタリア、Shanks は20世紀米国の数学者）。なお、このアルゴリズムは説明が長くなるので割愛します。

---

いま、${\mathbb{F}}_p$ において $z$ を $0$ から $p-1$ まで振ったときの $y^2=z$ の解の総数を求めてみます。$z$ を、${\mathbb{F}}_p^{\ast }$ の生成元 $g$ を使って、

$$\begin{gathered} z=\{\begin{array}{l}0\\ g^k\end{array} \\ \left(k=1\text{, }2\text{, }\text{ ⋯ }\text{, }p-1\right) \end{gathered}$$

と表すと、

・	$z=0$ のとき、解は1個
・	$k$ が偶数のとき、解は2個
・	$k$ が奇数のとき、解は無し

となり、${\mathbb{F}}_p^2$ における解、$\left(z,y\right)$ の総数は $p$ となります。では、${\mathbb{F}}_p^2$ における楕円曲線上の点、$\left(x,y\right)$ の総数はどうなるでしょうか。$x$ が ${\mathbb{F}}_p$ の全ての元に渡るとき、$z$ が ${\mathbb{F}}_p$ で均等にバラつくとは限りません。しかし $\left(x,y\right)$ の総数は「だいたい $p$ に近い値」だと考えられます。

つまり、群 $E\left(a,b,p\right)$ の元で、零元 $O$ 以外の ${\mathbb{F}}_p^2$ に属するものは、だいたい $p$ 個あると考えられる。群 $E\left(a,b,p\right)$ の元の数を $\text{\#}E$ と書くと、$\text{\#}E$ は 零元 $O$ を含んで $p+1$ に近い値だと考えられます。

$E\left(a,b,p\right)$ の元の数を評価する式があります。「ハッセの定理」です（Helmut Hasse は20世紀ドイツの数学者）。この定理にによると、

$p+1-2\sqrt{p}\le \text{\#}E\le$ $p+1+2\sqrt{p}$

であり、想定どおり $\text{\#}E$ は $p+1$ の周辺であることが分かります。$\text{\#}E$ を具体的に求めるアルゴリズムは、1985年にオランダ出身の数学者、レネ・ショーフ（ Rene Schoof。英語読みでスクーフとも書かれる）が開発しました。その「ショーフのアルゴリズム」は、数学用語で言うと最初の「決定論的多項式時間アルゴリズム」です。平たく言うと「計算結果が100%正しいと数学的に保証される（＝決定論的）計算可能な（＝多項式時間）アルゴリズム」です。「ショーフのアルゴリズム」の具体的内容は、ここでは割愛します。

---

17. 位数

---

楕円曲線暗号を構成する上で必要になるのが、有限群における「位数」の概念です。以下の位数の話はすべての有限群に共通するので、群の演算を乗法的に書くことにします（掛け算、冪乗、単位元 $e$、などの記法を使います）。演算を加法と考えても全く同じことになります。

元の数が有限個の群 $G$ を「有限群」といい、その元の個数を「群位数（group order）」と呼びます。群位数を $\text{|}G\text{|}$ と表します。群の演算則だけから次のことが言えます。

単位元 $e$ でない群 $G$ の元を $a$ とします。$a$ の冪乗 $a^n\left(1\le n\right)$ の $n$ を増やしていくと、ある時点で $a^n=e$ となります。その理由ですが、

$a^1\text{, }{a}^2\text{, }\text{ ⋯ }\text{, }{a}^{\text{|}G\text{|}}$

という $\text{|}G\text{|}$ 個の元を考えてみます。もし $\text{|}G\text{|}$ 個が全て相異なると、どれかが $e$ のはずです。全てが相異なる元ではないとき、

$a^j=a^i\left(1\le i<j\le \text{|}G\text{|}\right)$

となったとすると、$a^i$ の逆元を右から掛けて、

$a^{j-i}=e$

が得られます。$1\le j-i<\text{|}G\text{|}$ なので、この範囲に $e$ があります。そこで、つぎのように元 $a$ の位数を定義できます。

17.1	位数の定義
有限群 $G$ の任意の元 $a$ について、 $a^d=e$ となる最小の $d$ を $a$ の "位数（order）" と言う。

さらに、元の位数については次の命題が成り立ちます。

17.2	位数と群位数
有限群 $G$ の任意の元 $a$ の位数を $d$ とすると、$d$ は群位数 $\text{|}G\text{|}$ の約数である。

この命題が成り立つ理由は次の通りです。有限群 $G$ の任意の元を $a$ とし、集合 $A$ を、

$A=\left(a^1,a^2,\text{ ⋯ },a^d=e\right)$

とします。集合 $A$ の元は全て相異なります。なぜなら、もし、

$a^j=a^i\left(1\le i<j\le d\right)$

となったとすると、

$a^{j-i}=e$

であり、$d$ が $a^d=e$ となる最小の数であるという位数の定義に反するからです。さらに、集合 $A$ の任意の元の逆元は集合 $A$ に含まれます。つまり、$a^d=e$ なので $a^j\left(1\le j<d\right)$ に対して $a^{d-j}\left(1\le d-j<d\right)$ が逆元です（ということは集合 $A$ もまた群であり、これを $G$ の部分群と言います）。

集合 $A$ が $G$ の全ての元を尽くしているなら 17.2 は成立します。そこで、集合 $A$ に含まれない $G$ の元があったとし、それを $b_1$ とします。集合 $A$ の全ての元に左から $b_1$ を掛けて、集合 $B_1$ を作ります。つまり、

$B_1=\left(b_1{a}^1,b_1{a}^2,\text{ ⋯ },b_1{a}^d\right)$

です。集合 $A$ の元は全て相異なるので、集合 $B_1$ の元も全て相異なります。さらに、集合 $B_1$ の元で集合 $A$ の元と同じものはありません。なぜなら、もし、

$b_1{a}^i=a^j\left(1\le i<j\le d\right)$

だとすると、$a^i$ の逆元、$a^{d-i}$を右から掛けて、

$$\begin{gathered} b_1{a}^d=a^{d-i+j} \\ {b}_1=a^{d-i+j}=a^{j-i} \end{gathered}$$

となりますが、$1\le j-i<d$ なので、これは $b_1$ が集合 $A$ の元であることを意味していて仮定に反します。つまり、集合 $B_1$ の元で集合 $A$ の元と同じものはありません。

集合 $A$ と $B_1$ で $G$ の元の全てを尽くしているなら、$2d=\text{|}G\text{|}$ となって 17.2 は証明できたことになります。そうではない場合、集合 $A$ と $B_1$ に含まれない $G$ の元の一つを $b_2$ として、集合 $B_2$ を、

$B_2=\left(b_2{a}^1,b_2{a}^2,\text{ ⋯ },b_2{a}^d\right)$

と定義します。そうすると先ほど同じように、集合 $B_2$ の元は全て相異なり、かつ、集合 $A$ との重複はありません。さらに、集合 $B_2$ の元は集合 $B_1$ の元とも重複しません。なぜなら、もし、

$b_2{a}^i=b_1{a}^j\left(1\le i<j\le d\right)$

だとすると、$a^i$ の逆元、$a^{d-i}$を右から掛けて、

$b_2=b_1{a}^{d-i+j}=b_1{a}^{j-i}$

となりますが、$1\le j-i<d$ なので、$b_2$ が 集合 $B_1$ の元という意味になり仮定に反します。つまり、集合 $B_2$の元は集合 $B_1$ の元と重複しません。

以上の操作は $G$ の元が残っている限り $B_3{B}_4\text{ ⋯ }$ と続けられます。そしてある時点で 残っている $G$ の元がちょうど切りのよいところで無くなるはずです。$B_{n-1}$ まで作ったときに $G$ の元の全てを尽くしたとしたら、$nd=\text{|}G\text{|}$ です。これで 17.2 が証明できました。17.2 から直ちに次の２つが結論づけられます。

17.3
有限群 $G$ の任意の元 $a$ について、 $a^{\text{|}G\text{|}}=e$ である。

これは、群位数 $\text{|}G\text{|}$ が 元 $a$ の位数の倍数なのでそうなります。$p$ を素数とし、$G$ が $p$ 未満の自然数からなる乗法群 ${\mathbb{F}}_p^{\ast }$ だとすると、$\text{|}G\text{|}=p-1$ なので、フェルマの小定理（ 3.1 ）そのものになります。

17.4	群位数が素数の群
有限群 $G$ の群位数 $\text{|}G\text{|}$ が素数だとすると、 単位元 $e$ を除く $G$ の全ての元の位数は $\text{|}G\text{|}$ である。

素数の約数は $1$ と素数自身しかないので、単位元以外の元の位数は群位数に等しくなります。従って、群位数が素数の群では任意の元 $a$ の冪乗が群全体に "バラける" ことになります。

---

楕円曲線暗号の構成：スカラー倍と離散対数

---

ここから具体的な楕円曲線暗号のしくみに入ります。楕円曲線上の ${\mathbb{F}}_p^2$ の点と零元 $O$ が作る加法群を $E\left(a,b,p\right)$ とし、その群位数を $\text{\#}E$ と書きます。楕円曲線暗号では $E\left(a,b,p\right)$ における「スカラー倍」の演算を利用します。

楕円曲線上の ${\mathbb{F}}_p^2$ の点の一つを $B=\left(B_x,B_y\right)$ とし、$d$ を $B$ の位数、$n$ を $1\le n\le d$ とします。$B$ の $n$ 倍（＝スカラー倍）を $nB$ と書き、

$nB=\stackrel{\stackrel{n}{⏞}}{B+B+\text{ ⋯ }+B}$

と定義します。そして、

$nB=A$

と書くことにすると、$A$ を求める計算は、$E\left(a,b,p\right)$ の２倍式と加法式を使って可能です。例として $133B$ の場合だと、$133=2^7+2^2+1$ なので、

$133B=2^{7}B+2^{2}B+B$

となります。つまり、$E\left(a,b,p\right)$ の２倍式を７回使って、

$2^{1}B\text{, }{2}^{2}B\text{, }\text{ ⋯ }\text{, }{2}^{6}B\text{, }{2}^{7}B$

と順次計算し、加法式を２回使うと $A$ が求まります。これは $n$ がたとえ巨大数であっても可能です。$2^{256}$ は10進数で約80桁（256ビット）の巨大数ですが、それでも256回程度の２倍算と最大で256回程度の加算をすれば $A$ が求まります。このあたりは 4.2 の「冪剰余の計算アルゴリズム」と同じです。もちろん冪剰余と違って、２倍算も加算も単純な掛け算ではありません。$E\left(a,b,p\right)$ の群演算は、定義式どおりの少々ややこしい式です。しかし計算が可能なことは確かです。

スカラー倍の計算は可能ですが、その逆、つまり $A$ と $B$ を知って $n$ 求めるのは困難になります。この $n$ を求める問題を、加法群 $E\left(a,b,p\right)$ における「離散対数問題」と呼びます。離散対数問題を解くのが不可能になるのは、$B$ の位数 $d$ が10進数で数10桁以上といった巨大数の場合です。その場合、$A$ は $d$ 種のバリエーションをとるので、$n$ を求めるのは不可能になります。

位数 $d$ が巨大数である $B$ を求める方法の一つは、$p$ を巨大な素数とし、群位数 $\text{\#}E$ も素数であるような $E\left(a,b,p\right)$ を選ぶことです。そうすると 17.4 により、零元 $O$ 以外の $E\left(a,b,p\right)$ の全ての元の位数 $d$ は $\text{\#}E$ になり、その $\text{\#}E$ は $p+1$ の近辺にあるので、$B$ をどのように選ぼうとも位数 $d$ は巨大数になります。

$\text{\#}E$ が素数である $E\left(a,b,p\right)$ では、任意の元 $A$ と $B$ について、$nB=A$ となる $n$ が唯一存在することになります。このことを、

${log}_{B}A=n$

と書くと、$B$ は実数における通常の対数の "底（base）" に相当します。$B$ は $E\left(a,b,p\right)$ の元 ＝ ${\mathbb{F}}_p^2$ の元なので、$B$ を「ベースポイント（base point）」と呼びます。このペースポイントを含め、楕円曲線暗号では、

・	$E\left(a,b,p\right)$
・	$\text{\#}E$
・	$B=\left(B_x,B_y\right)$
・	$d$（$B$ の位数）

が公開されます。そして暗号化通信では、$d$ より小さい数 $k$ をランダムに選び

・	公開鍵 ： $kB$
・	秘密鍵 ： $k$

とします。公開鍵だけを知っても秘密鍵は計算できない。これが楕円曲線暗号の原理です。

---

スカラー倍のイメージをつかむため、$p$ がごく小さい数の場合で実験してみます。計算してみると、$p=29\text{, }a=-1\left(=28\right)\text{, }b=1$ のとき $\text{\#}E=37$ となって、群位数が素数になります。$y^2=x^3-x+1$ の解の一つは $\left(0,1\right)$ なので、これをベースポイント $B$ としてスカラー倍を順次計算してみると次の通りとなります。

$\left.\begin{array}{rrr}B=\text{(}& 0\text{, }& 1\text{ ) }\\ 2B=\text{(}& 22\text{, }& 10\text{ ) }\\ 3B=\text{(}& 27\text{, }& 13\text{ ) }\\ 4B=\text{(}& 9\text{, }& 24\text{ ) }\\ 5B=\text{(}& 14\text{, }& 18\text{ ) }\\ 6B=\text{(}& 11\text{, }& 25\text{ ) }\\ 7B=\text{(}& 23\text{, }& 20\text{ ) }\\ 8B=\text{(}& 12\text{, }& 8\text{ ) }\\ 9B=\text{(}& 26\text{, }& 8\text{ ) }\\ 10B=\text{(}& 2\text{, }& 23\text{ ) }\\ 11B=\text{(}& 3\text{, }& 24\text{ ) }\\ 12B=\text{(}& 1\text{, }& 1\text{ ) }\\ 13B=\text{(}& 28\text{, }& 28\text{ ) }\\ 14B=\text{(}& 5\text{, }& 18\text{ ) }\\ 15B=\text{(}& 17\text{, }& 5\text{ ) }\\ 16B=\text{(}& 25\text{, }& 17\text{ ) }\\ 17B=\text{(}& 20\text{, }& 21\text{ ) }\\ 18B=\text{(}& 10\text{, }& 18\text{ ) }\\ \multicolumn{3}{c}{}\end{array}\right|\begin{array}{rrr}19B=\text{(}& 10\text{, }& 11\text{ ) }\\ 20B=\text{(}& 20\text{, }& 8\text{ ) }\\ 21B=\text{(}& 25\text{, }& 12\text{ ) }\\ 22B=\text{(}& 17\text{, }& 24\text{ ) }\\ 23B=\text{(}& 5\text{, }& 11\text{ ) }\\ 24B=\text{(}& 28\text{, }& 1\text{ ) }\\ 25B=\text{(}& 1\text{, }& 28\text{ ) }\\ 26B=\text{(}& 3\text{, }& 5\text{ ) }\\ 27B=\text{(}& 2\text{, }& 6\text{ ) }\\ 28B=\text{(}& 26\text{, }& 21\text{ ) }\\ 29B=\text{(}& 12\text{, }& 21\text{ ) }\\ 30B=\text{(}& 23\text{, }& 9\text{ ) }\\ 31B=\text{(}& 11\text{, }& 4\text{ ) }\\ 32B=\text{(}& 14\text{, }& 11\text{ ) }\\ 33B=\text{(}& 9\text{, }& 5\text{ ) }\\ 34B=\text{(}& 27\text{, }& 16\text{ ) }\\ 35B=\text{(}& 22\text{, }& 19\text{ ) }\\ 36B=\text{(}& 0\text{, }& 28\text{ ) }\\ 37B=\phantom{\text{(}}& O& \end{array}$

群位数が素数なので $B$ の位数は $37$ となり、群位数と一致します。この計算を ${\mathbb{F}}_p^2$ の平面に表示すると次の通りです。$B$ と $36B$ は赤丸、$2B$ ～ $35B$ は黒丸です。矢印は加算を示し、赤矢印は $B+B$ と $35B+B$ の加算です。

図15：$\mathit{E}\left(\mathit{-}\mathit{1},\mathit{1},\mathit{29}\right)$（零元を除く） $\text{\#}E=37\text{, }B=\left(0,1\right)\text{, }d=37$

スカラー倍を繰り返すごとに "楕円曲線" 上の合計36点を通り、それが乱雑に変化することが分かります。

---

振り返ってみると、RSA暗号（No.311）の安全性は巨大数の因数分解の困難性に依存しているのでした。またディフィー・ヘルマンの鍵交換（No.313）は、乗法群 ${\mathbb{F}}_p^{\ast }$ における離散対数問題を解くことの困難性に依存しています。これらに使われる演算はいずれも整数の乗除算です。それに対して楕円曲線暗号に使われるのは、整数の乗除算よりは遙かに複雑な、楕円曲線上の加法群における「加算」です。ここに楕円曲線暗号の解読しにくさの要因があります。

---

実用的な楕円曲線暗号で公開するパラメータをどうやって作るか、その一例をあげます。

①  素数の大きさを決め（たとえば10進数で50～100桁程度）、素数判定法によってその大きさの素数 $p$ を求める。 ②  $p$ より小さい数、$a$、$b$ をランダムに決め、加法群 $E\left(a,b,p\right)$ の群位数 $\text{\#}E$ を計算する。 ③  $\text{\#}E$ が素数なら次へ。素数でなければ ② に戻る。 ④  $p$ より小さい数、$B_x$ をランダムに選び、$B_x$ が平方数ならその平方根 $B_y$ を求めてベースポイント $B=\left(B_x,B_y\right)$ とする。

$\text{\#}E$ が素数なので、$B$ の位数 $d$ は $\text{\#}E$ に等しくなります。なお、$\text{\#}E$ がたまたま $p$ と一致すると離散対数問題が解けることが分かっているので、③ でそのようなケースを排除しておきます。

この決め方では、群位数 $\text{\#}E$ の計算と素数判定を繰り返すことになり、多大な計算時間がかかることは想像に難くありません。しかしパラメータは１度計算すれば暗号通信の仕様として公開し、皆がそれを使えばいいわけです。最初の１回だけの計算時間より、その後の通信の安全性の方が重要です。

楕円曲線暗号のパラメータの一例を次に掲げます。secp160r1 という名称で公開されているパラメータです。

secp160r1
　

$\begin{array}{lll}p& =& 1461501637330902918203684\\ & & 832716283019653785059327\\ & & \hfill \left(=2^{160}-2^{31}-1\right)\\ a& =& 1461501637330902918203684\\ & & 832716283019653785059324\\ & & \hfill \left(=p-3\right)\\ b& =& 1632357913061681105466049\\ & & 19403271579530548345413\\ \text{\#}E& =& 1461501637330902918203687\\ & & 197606826779884643492439\\ B_x& =& 4258262317238883504465415\\ & & 92701409065913635568770\\ B_y& =& 2035201141629041078739914\\ & & 57957346892027982641970\\ d& =& 1461501637330902918203687\\ & & 197606826779884643492439\\ & & \hfill \left(=\text{\#}E\right)\end{array}$

---

楕円曲線暗号版ディフィー・ヘルマンの鍵交換（ECDH）

---

ディフィー・ヘルマンの鍵共有（No.313）を、楕円曲線暗号を使って実現できます（ECDH と略称される）。鍵共有のプロセスは次のように進みます。しかるべき「公開鍵センター」が、皆が使う公開鍵として、

・	$E\left(a,b,p\right)$
・	$\text{\#}E$
・	$B=\left(B_x,B_y\right)$
・	$d$（$B$ の位数）

をオープンにして（暗号通信の仕様書として公開して）おきます。以下のスカラー倍演算はすべて ${\mathbb{F}}_p$ で行います。Alice と Bob が秘密鍵を共有したい場合、

暗号文による通信の開始にあたって、Alice は $0<k_A<d$ である乱数 $k_A$ を発生させ、$k_{A}B$ を Alice の公開鍵として（盗聴されている通信路を介して） Bob に送付

します。乱数 $k_A$ は Alice の秘密鍵として秘匿します。次に同様に、

Bob は $0<k_B<d$ である乱数 $k_B$ を発生させ、$k_{B}B$ を Bob の公開鍵として（盗聴されている通信路を介して） Alice に送付

します。もちろん $k_B$ は秘匿します。そして、

Alice は $K_A=k_A{k}_{B}B$ を共有の秘密鍵

Bob は $K_B=k_B{k}_{A}B$ を共有の秘密鍵

とします。この作り方から $K_A=K_B=K$ となるので、秘密鍵 $K$を共有できたことになり、以降はこれを使って暗号化通信（公開鍵ではない、高速な暗号化通信）を行います。使った秘密鍵は通信が終わったら捨てます。

原理は、オリジナルのディフィー・ヘルマンの鍵交換（DH）と全く同じです。ただ、オリジナルが ${\mathbb{F}}_p^{\ast }$ での離散対数問題を利用していたのに対し、ECDH は $E\left(a,b,p\right)$ での離散対数問題を利用した暗号であることが違います。

---

18. 結合則が成り立つことの証明

---

J.H.シルヴァーマン、J.テイト 「楕円曲線論入門」

楕円曲線暗号が暗号として成立するのは、楕円曲線上の加法群 $E\left(a,b,p\right)$ が "群" として定義できるからです。群であるための条件は「単位元の存在」「逆元の存在」「結合則の成立」の３つです。このうち単位元の存在と逆元の存在は、そもそもそれが成り立つように群の演算を定義したのでした。

しかし結合則は自明ではありません。前回 No.315 の「楕円曲線上の有理点が作る加法群」のところで結合則が成り立つことの証明を後回しにしたので、ここに書くことにします。結合則が成り立つのは、楕円曲線上の有理点の加法を「３次曲線と直線の交点」で決めていることに理由があります。その理由を説明したいと思います。

前回で引用した、シルヴァーマン、テイト著「楕円曲線論入門」には、結合則が成り立つことを示した次の図があります。加法群の零元 $O$ を楕円曲線上にとった場合の図です。

図11：結合則

「楕円曲線論入門」より引用

楕円曲線上に点 $P$、$Q$、$R$ をとったとき、

$\left(P+Q\right)+R=P+\left(Q+R\right)$

となるのが結合則ですが、

$$\begin{gathered} \left(P+Q\right)+R=\left(\left(P+Q\right)\ast R\right)\ast O \\ P+\left(Q+R\right)=\left(P\ast \left(Q+R\right)\right)\ast O \end{gathered}$$

です。ここで $\ast$ の記号は、$A\ast B$ と書くと $A$ と $B$ を結ぶ直線が楕円曲線と交わる点（で $A$、$B$ 以外の点）の意味です。$O$ は零元でした。従って、結合則を証明するためには、

$\left(P+Q\right)\ast R=P\ast \left(Q+R\right)$

が証明できればよいことになります。言葉で書くと、

$P+Q$ と $R$ を通る直線が楕円曲線と交わる点を $T_1$ とし、$P$ と $Q+R$ を通る直線が楕円曲線と交わる点を $T_2$ とすると、 $T_1$ と $T_2$ は同じ点である

となります。上の図はそれを表しています。以下の証明では同じことですが、次を示します。

18.1	結合則
$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点を $T$ とすると、楕円曲線は $T$ を通る。

これは楕円曲線上の２点、$\left(P+Q\right)\ast R$ と $P\ast \left(Q+R\right)$ が等しい（＝ 図11）ことと同じなので、以降は 18.1 が成り立つことを示します。そのためにまず、次の命題 18.2 を証明します。この証明の筋道は「楕円曲線論入門」に書かれているものです。

18.2	３つの３次曲線の交差
２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする。 別の３次曲線 $D$ が ９点のうちの８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るとき、$D$ は $P_9$ も通る。

これは「ケーレー - バカラック（Cayley-Bacharach）の定理」と呼ばれるものの特別な場合です（Cayleyは英国、Bacharachはドイツの数学者。いずれも19世紀）。ここで言う「３次曲線」とは、次の一般形で表される "３次曲線のすべて" であり、楕円曲線もその一部です。

[３次曲線の一般形]
$a{x}^3+b{x}^{2}y+cx{y}^2+d{y}^3+$ $e{x}^2+fxy+g{y}^2+$ $hx+iy+j=0$

10個の係数（＝パラメータ）、$a\text{, }b\text{, }\text{ ⋯ }\text{, }i\text{, }j$ を決めると３次曲線が一つ決まります。もちろん、各係数を定数倍した曲線は同じ曲線です。つまり、この形の３次曲線の係数は実質的に "９次元" と言えます。３次曲線なので $a\text{, }b\text{, }c\text{, }d$ のうち少なくとも一つは $0$ でないものがあります。その係数で全体を割れば、係数の数は９個になることからもわかります。

従って、一般には相異なる９点を通る３次曲線は一意に決まります。これは、直線の方程式を $ax+by+c=0$ で表したとき、この式には３つのパラメータがあるものの実質的に２次元であって、相異なる２点を通る直線が一意に決まるのと同じことです。このことを踏まえると、命題 18.2 の前半である、

２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする

のところについては、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ に何らかの制約条件がついているからこそ、２つの３次曲線が２つとも９点目の点を通るわけです。以上のことの裏返しは、

相異なる８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通る３次曲線は一意に定まらず、無数にある

ということです。そして、さきほどの「相異なる８点を通る２つの３次曲線が２つとも９点目の点を通る」ということは、９点目が８点から決まる特別な点であることを示唆しています。そこで、相異なる８点を通る３次曲線が一般的にどういう式で表現できるかを考えます。８点の座標を、

$$\begin{gathered} P_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ \text{⋮} \\ {P}_8=\left(x_8,y_8\right) \end{gathered}$$

とします。まず、３次曲線が $P_1$ を通るということは、10個のパラメータは次の制約条件を満足しなければなりません。

${x_1}^{3}a+{x_1}^2{y}_{1}b+x_1{y_1}^{2}c+{y_1}^{3}d+$ ${x_1}^{2}e+x_1{y}_{1}f+{y_1}^{2}g+$ $x_{1}h+y_{1}i+j=0$

これは 10個の変数 $a$ ～ $j$ についての線型方程式（１次方程式）なので、係数を変数の前に記述しました。同様にして、３次曲線が $P_2$ から $P_8$ を通ることから７個の制約条件が得られます。これらをまとめると、

　

の、合計８つの制約条件が得られます。８個の点を通る３次曲線の10個のパラメータは、この８つの制約条件（連立１次方程式）を満たさなければなりません。ということは、$10-8=2$ で、これらのパラメータは、制約条件のない自由な２つのパラメータで表現できることになります。

たとえば $a$ と $b$ を "２つのパラメータ" に選ぶと、残りの $c$ ～ $j$ は、${\alpha }_{n}a+{\beta }_{n}b$ $\left(n=c\text{ ⋯ }j\right)$ という「$a$ と $b$ の１次式」で表現できます（${\alpha }_n\text{, }{\beta }_n$ は連立１次方程式の係数で決まる値）。しかしこれでは $a=0$ かつ $b=0$ のときに、すべてのパラメータが $\mathit{0}$ という自明な解しか得られません。$x^3$ の項と $x^{2}y$ の項がない３次曲線はいくらでもありうるので、自明ではない解の中に $a=0\text{, }b=0$ となるものは当然あるはずです。つまり、${\alpha }_{n}a+{\beta }_{n}b$ の形は連立１次方程式の解の全部は表していません。

では、上記の連立１次方程式の「自明ではない解すべてを表す一般解」はどういう形でしょうか。それには８つの方程式を満たす独立な数値の組（＝連立１次方程式の解）を２組用意します。つまり無数にある解の中から２つをピックアップし、それをベクトル表現で、

$$\begin{gathered} {\mathbb{V}}_1=\left(a_1,b_1,\text{ ⋯ },j_1\right) \\ {\mathbb{V}}_2=\left(a_2,b_2,\text{ ⋯ },j_2\right) \end{gathered}$$

とします。"独立" とはこの場合、２つの数値群が異なった３次曲線を表現しているということです。そして、同時に $0$ にはならない新たな２つのパラメータを導入します。それを ${\lambda }_1\text{, }{\lambda }_2$ とすると、

${\lambda }_1{\mathbb{V}}_1+{\lambda }_2{\mathbb{V}}_2$

が連立１次方程式の一般解（不定解）になります。自由な２つのパラメータの１次式で表現されていて、８つの方程式を満たすことが明らかだからです。この一般解をもとに３次曲線の方程式を表現します。そこで、

$\begin{array}{ll}{f}_1=& a_1{x}^3+b_1{x}^{2}y+\text{ ⋯ }\\ & \text{ ⋯ }+h_{1}x+i_{1}y+j_1\end{array}$

$\begin{array}{ll}{f}_2=& a_2{x}^3+b_2{x}^{2}y+\text{ ⋯ }\\ & \text{ ⋯ }+h_{2}x+i_{2}y+j_2\end{array}$

の２つの関数を考えると、$f_1=0$ の３次曲線と $f_1=0$ の３次曲線は、共に８点を通ります。従って、

${\lambda }_1{f}_1+{\lambda }_2{f}_2=0$

は８点を通り、２つの自由なパラメータで表現された３次曲線群です。従って、これが $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るすべての３次曲線を表す一般形です。

---

以上を踏まえて命題 18.2 を検討します。命題を再掲すると、

２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする。 別の３次曲線 $D$ が ９点のうちの８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るとき、$D$ は $P_9$ も通る。

でした。この前半の２つの３次曲線の関数式を

$$\begin{gathered} C_1\text{ : }{F}_1=0 \\ {C}_2\text{ : }{F}_2=0 \end{gathered}$$

とします。$F_1=0$ も $F_2=0$ も９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通る３次曲線です。従って $F_1=0$ と $F_2=0$ は $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通る２つの３次曲線でもある。ということは、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通るすべての３次曲線は、

$F={\lambda }_1{F}_1+{\lambda }_2{F}_2=0$

で表されます。従って、命題の後半に出てくる別の３次曲線 $D$ が $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通るとすると、$D$ は $F=$ ${\lambda }_1{F}_1+{\lambda }_2{F}_2$$=0$ で表現できます。

ここでよく考えてみると、３次曲線 $F=0$ は９点目の $P_9$ を通るのでした。従って $D$ も $P_9$ を通ります。これで 18.2 が成り立つことが証明できました。以上を振り返ってまとめると次のようになります。

・  ９つの点を通る３次曲線は一意に決まる。 ・  ８つの点を通る３次曲線なら無数に存在する。 ・  ８つの点を通る２つの３次曲線が、２つとも９つ目のある（特別な）点 $P$ を通るとしたら、８点を通るすべての３次曲線は $P$ を通る。

18.2 を踏まえて、楕円曲線の加法群で結合則が成り立つことを証明します。ポイントは「相異なる３つの直線を "３次曲線" として扱う」ことです。この扱いがなぜ可能かと言うと、３つの直線を、

$$\begin{gathered} f_1=a_{1}x+b_{1}y+c_1=0 \\ {f}_2=a_{2}x+b_{2}y+c_2=0 \\ {f}_3=a_{3}x+b_{3}y+c_3=0 \end{gathered}$$

としたとき、

$F_L=f_1·f_2·f_3$ = 0 で表される２次元平面上の点の集合は３つの直線を表しているが、３次曲線の一般形である

からです。もちろん、$F_L=0$ の３次曲線の一般形は、係数 $a\text{, }b\text{, }\text{ ⋯ }\text{, }i\text{, }j$ に特別の関係があります。だからこそ３つの直線を表現しているわけです（数学用語で言うと "退化した" ３次曲線）。しかし特別の関係があるとしても 18.2 を証明した議論の筋道には全く影響しません。このことを踏まえて結合則を証明すべき図11を再掲します。

図11：結合則

「楕円曲線論入門」より引用

証明すべきことは 18.1 の、

$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点を $T$ とすると、楕円曲線は $T$ を通る。

でした。図11で、

$C_1$ ： 点線の３直線から成る３次曲線
$C_2$ ： 実線の３直線から成る３次曲線

とすると、$C_1$（点線） と $C_2$（実線）は次の９つの点を通ります。

$P_1$	：	$O$
$P_2$	：	$P$
$P_3$	：	$Q$
$P_4$	：	$R$
$P_5$	：	$P\ast Q$
$P_6$	：	$Q\ast R$
$P_7$	：	$P+Q$
$P_8$	：	$Q+R$
$T$	：	$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点

９つの点を通るのはそういう風に作図したからです。一方、楕円曲線は $T$ 以外の $P_1$ ～ $P_8$ の８点を通ります。８点は楕円曲線上の点として作ったからです。$T$ だけは違って、楕円曲線上の点として作ったのではなく２直線の交点です。しかし 18.2 によって楕円曲線は $T$ も通る。これで、楕円曲線上の有理点が作る加法群で結合則が成り立つことの証明が完成しました。

---

零元を無限遠点にとる加法群ではどうなるでしょうか。この場合は「射影平面での３次曲線」を考える必要があります。射影平面での３次曲線の一般形は、

[射影平面における３次曲線の一般形]
$A{X}^3+B{X}^{2}Y+CX{Y}^2+D{Y}^3+$ $E{X}^{2}Z+FXYZ+G{Y}^{2}Z+$ $HX{Z}^2+IY{Z}^2+J{Z}^3=0$

ですが、証明の筋道は $xy$平面と全く同じです。というのも、証明のコアのところは「10変数の連立１次方程式（方程式数が８）の不定解が、一般形でどう表現できるか」であり、曲線方程式の未知数が $\left(x,y\right)$ の２つであっても $\left(X,Y,Z\right)$ の３つであっても証明の論理に影響がないからです。

というわけで、楕円曲線暗号で実際に使われる「無限遠点を零元にした加法群」においても結合則が成り立つのでした。

---

19. パスカルの定理

---

最後に余談ですが、18.2 から証明できる別の定理があります。「パスカルの定理」です。これはパスカルが16歳のときに発表した「円錐曲線試論」にあります。最も一般的な形で言うと次の通りです。

19.1	パスカルの定理
円錐曲線上に異なる６点、$P_1$ ～ $P_6$ をとる。 直線 $P_1{P}_2$ と $P_4{P}_5$ の交点を $Q_1$ 直線 $P_2{P}_3$ と $P_5{P}_6$ の交点を $Q_2$ 直線 $P_3{P}_4$ と $P_6{P}_1$ の交点を $Q_3$ とすると、$Q_1\text{, }{Q}_2\text{, }{Q}_3$ は同一直線上にある。

これは美しい定理です。どんな円錐曲線かを言っていないし（円、楕円、放物線、双曲線）、円錐曲線上の６点の位置も、その順序も何も言ってない。それにもかかわらず「同一直線上にある」という、シンプルで強い断定が結論にくる ･･････。個人的経験を言うと、高校生時代にこの定理を知ってその "不思議さ" が印象的だったことを覚えています。

この定理の例を図15と図16、図17に示します。$Q_1$ を $P_7$、$Q_2$ を $P_8$、$Q_3$ を $T$ と書きました。円錐曲線が円か楕円であり、６点を円・楕円の周上に順に（＝ 一周するように）とった場合には、パスカルの定理は、

円・楕円に内接する６角形の対辺が作る２直線の交点３つは同一直線上にある

と簡潔に表現できます（図15）。

図15 パスカルの定理（１）

図16 パスカルの定理（２） 楕円上の点の位置は図15と同じだが名前付けが違う。しかし３点が同一線上に並ぶのは同じである。このように６点は楕円上のどの位置にどの順序で配置してもよい。

図17 パスカルの定理（３）

定理の証明は次の通りです。３次曲線、$C_1\text{, }{C}_2\text{, }D$ を、

$C_1$	：	赤色の３次曲線
$C_2$	：	青色の３次曲線
$D$	：	$P_7$ と $P_8$ を（$T$ とは関係なく）結んだ直線と円錐曲線が作る、黒色の３次曲線

とします。$C_1$ と $C_2$ は 、$P_1$ ～ $P_8$ と $T$ を通ります。そういう風に作図したからです。一方、$D$ は $P_1$ ～ $P_8$ を通ります。そうすると 18.2 より $D$ は $T$ も通ります。$D$ は $P_7$ と $P_8$ を通るように作図しましたが、$T$ を通るようには作図していません。それでも $T$ を通る。

その $T$ は、$D$ の円錐曲線部分にはありません。なぜなら、$T$ は直線 $P_3{P}_4$ 上に（ないしは直線 $P_6{P}_1$ 上に）ありますが、円錐曲線と直線の交点は高々２つであり、$P_3\text{, }{P}_4$ が（ないしは $P_6\text{, }{P}_1$ が）すでに円錐曲線上にあるからです。従って $T$ は $D$ の直線部分にあるしかない。これで証明が終わりました。

パスカルの定理のよくある証明は、円の場合に補助円を用いて証明し、それを "斜めから見たら" 楕円でも成り立つ、とするものです。しかしこの定理は、すべての円錐曲線（＝２次曲線の一般形、$a{x}^2+bxy+c{y}^2+$ $dx+ey+f=0$ で表される曲線）で成り立つことが上の証明から分かります。

---

楕円曲線暗号は「楕円曲線上の有理点による加法群」の上に作られた暗号ですが、

楕円曲線上の有理点で加法群を構成できることと、パスカルの定理が成り立つことには、意外にも共通の数学的理由がある

のでした。

---

---

タグ：群 高校数学 平方根 公開鍵暗号 有限体 位数 楕円曲線暗号 楕円曲線 ３次曲線 楕円曲線論入門 無限遠点 有理点 加法群 群位数 平方数 平方剰余 ベースポイント ディフィー・ヘルマンの鍵交換 パスカルの定理

No.315 - 高校数学で理解する楕円曲線暗号の数理（１）

このブログでは、インターネットをはじめとする情報通信インフラで使われている「公開鍵暗号」について、今まで３回にわたって書きました。

No.310-高校数学で理解するRSA暗号の数理（１）　
No.311-高校数学で理解するRSA暗号の数理（２）　
No.313-高校数学で理解する公開鍵暗号の数理　

の３つです。今回はその継続として、公開鍵暗号の一種で広く使われている「楕円曲線暗号」について、その数学的な背景を書きます。楕円曲線暗号は、1985年に米国 IBM の Victor Miller と米国 Washington 大学の Neal Koblitz によって独立に提案されました。暗号に限らず科学技術の世界では、同時期に同じアイディアが独立に考案されるというケースが見られます。

例によって高校レベルの数学知識だけを前提にし、証明なしに用いる定理や命題はないものとします。ただし、No.310、No.311、No.313 の内容やそこで証明した定理は既知とします。特にその中の、

有限体と乗法群　
生成元、および離散対数　

です。なお、楕円曲線（Elliptic Curve）は、２次曲線である楕円（Ellipse）とは関係ありません。楕円の弧長を積分で求める時に出てくる数式なのでその名があるだけです。暗号の名を楕円暗号とするむきもありますが、誤解されるでしょう。楕円曲線暗号（Elliptic Curve Cryptography）が正しい言い方です。

---

15. 楕円曲線（Elliptic Curve）とは

---

楕円曲線とは、次の式で表される平面３次曲線です。

$y^2=x^3+ax+b$

係数の $a$ と $b$ は有理数とします。楕円曲線の式の「標準形」と呼ばれるものは何種類かありますが、上式はその最も簡単な形です。楕円曲線暗号ではこの形を使うので、以降、楕円曲線といえばこの形で表される３次曲線とします。Wikipedia に非常にわかりやすい「楕円曲線のカタログ」が載っているのでそれを引用します。

	$b=-1$	$b=\phantom{-}0$	$b=\phantom{-}1$	$b=\phantom{-}2$
$a=-2$
$a=-1$
$a=0$
$a=1$
図１：楕円曲線のカタログ
Wikipediaより。楕円曲線には曲線の "成分" が１つのものと２つのものがある。なお、この図で $a=b=0$ だけは楕円曲線ではない。後述。

図でわかるように楕円曲線は成分（＝ ひとつながりの曲線）が１つのものと２つのもの（その１つは閉じた曲線）があります。この違いは何でしょうか。また、図の中にある $a=0\text{, }b=0$ の曲線は、実は楕円曲線ではありません。このあたりの説明は以降の通りです。楕円曲線の $x$ の式を、

$x^3+ax+b=f\left(x\right)$

と書きます。$y=f\left(x\right)$ のグラフは少なくとも１回、$x$軸を横切るので、$f\left(x\right)=0$ の３次方程式は少なくとも１つの実数解を持ちます。この３次方程式が３つの異なる実数解を持つ条件を調べます。関数 $f\left(x\right)$ が極値をとるとしたら、そのときの $x$ は方程式、

$f^{\text{'}}\left(x\right)=0$

の解です。この解を $x_1$ と $x_2$ とすると、

$$\begin{gathered} x_1=\phantom{-}\sqrt{{\displaystyle \frac{-a}{3}}} \\ {x}_2=-\sqrt{{\displaystyle \frac{-a}{3}}} \end{gathered}$$

です。$x$ がこの値をとるときの２つの極値がゼロでなく符号が逆であれば、$f\left(x\right)=0$ は３つの異なる実数解をもちます。つまりその条件は、

$f\left(x_1\right)·f\left(x_2\right)<0$

です。$x_1\text{, }{x}_2$ を入れて計算してみると、この条件は、

$4a^3+27b^2<0$

となります。不等号の向きが逆なら実数解は１つだけです。この不等号の左辺は「３次方程式の判別式」の符号を逆にしたものです。３次方程式の判別式 $D$ は、いま扱っている楕円曲線の式の場合、

$D=-\left(4a^3+27b^2\right)$

です。従って、

・	$D>0$ のとき、$f\left(x\right)=0$ は３つの実数解をもち、楕円曲線で $y=0$ となる点は３つある。このとき楕円曲線の成分は２つになる（図２）。
・	$D<0$ のとき、$f\left(x\right)=0$ の実数解は１つであり、楕円曲線で $y=0$ の点も１つである。このとき楕円曲線の成分は１つになる（図３）。

となります。この２つのケースで楕円曲線をを図示すると、図２（$a=-2\text{, }b=1$）、図３（$a=-2\text{, }b=2$）のようになります。

図２：成分が２つの楕円曲線 $y^2=x^3-2x+1$

図３：成分が１つの楕円曲線 $y^2=x^3-2x+2$

ここで $D=0$ のときにどうなるかを調べてみます。不定方程式、

$4a^3+27b^2=0$

の整数解を求めるために、$a=-3k^2\left(0\le k\right)$ と置くと、

$$\begin{gathered} a=-3k^2 \\ b=\pm 2k^2 \end{gathered}$$

が解です。$k=0\text{, }1$ とすると、

$\left(a,b\right)=\left(0,0\right)\text{, }\left(-3,2\right)\text{, }\left(-3,-2\right)$

が解のうちの３組です。まず、$\left(a,b\right)=\left(0,0\right)$ のとき曲線の式は、

$y^2=x^3$

となり、図４のように「尖点」をもつ曲線となります（Wikipedia の "楕円曲線のカタログ" にあったものです）。尖点では微係数が定まらず、曲線の接線が引けません。

図４：尖点をもつ３次曲線 $y^2=x^3$

$\left(a,b\right)=\left(-3,2\right)$ のときの曲線の式は、

$$\begin{gathered} y^2=x^3-3x+2 \\ \phantom{y^2}=\left(x+2\right){\left(x-1\right)}^2 \end{gathered}$$

となり、図５のように「結節点」をもつ自己交差曲線となります。結節点において接線は引けますが、２種類あって一意に定まりません。

図５：結節点をもつ３次曲線 $y^2=x^3-3x+2$

$\left(a,b\right)=\left(-3,-2\right)$ のときの曲線の式は、

$$\begin{gathered} y^2=x^3-3x-2 \\ \phantom{y^2}=\left(x-2\right){\left(x+1\right)}^2 \end{gathered}$$

となり、図６のように $\left(-1,0\right)$ に「孤立点」が発生します。この孤立点でも接線は引けません。

図６：孤立点をもつ３次曲線 $y^2=x^3-3x-2$

尖点、結節点、孤立点を曲線の「特異点」と言い、特異点をもつ３次曲線を特異３次曲線と言います。そして特異３次曲線は $y^2=x^3+ax+b$ の形であっても楕円曲線とは言いません。つまり、楕円曲線の正確な定義は次の通りです。

15.1	楕円曲線の定義
次の式で表される平面曲線を楕円曲線と言う。 $$\begin{gathered} y^2=x^3+ax+b \\ \left(4a^3+27b^2\ne 0\right) \end{gathered}$$

この定義による楕円曲線は "なめらか" であり、曲線上の全ての点で唯一の接線が引けます。以降、この楕円曲線の性質を調べていきます。

---

楕円曲線暗号は「楕円曲線上の点の加法群」で構成する暗号です。そこでまず、No.313 でも触れた「群（group）」とは何かを復習します。

---

群の定義

---

群（$G$ で表します）とは、何らかの２項演算 "$\circ$" が定義された集合です。演算が定義されているとは、集合 $G$ の任意の２つの元（同じ元であってもよい）、$a$、$b$ を演算した結果の $a\circ b$ が $G$ の元であることを意味します。この２項演算は次の３つの条件を満たす必要があります。この「条件を満たす２項演算が定義された集合」が群 $G$ です。

（単位元）	$a\circ e=e\circ a=a$ となる元 $e$ が存在
（逆元）	$a\circ b=b\circ a=e$ となる $b$ が、任意の $a$ について存在
（結合則）	$\left(a\circ b\right)\circ c=a\circ \left(b\circ c\right)$

演算 "$\circ$" を乗算と考えるとき、$G$ を乗法群といいます。乗法群では２項演算を $a\times b\text{, }a·b\text{, }ab$ などと書きます。単位元は $1$ と書くこともあります。また、逆元 b は $a^{-1}$ です。同一の $n$ 個の元 $a$ に対して演算 "$\circ$" を $n-1$ 回行った結果は $a^n$ で「累乗（あるいは冪乗）」と呼びます。

演算 "$\circ$" を加算と考えるとき、$G$ を加法群といいます。加法群では２項演算を $a+b$ と書きます。加法群の単位元を零元と呼び、$0$ と書くことがあります。また逆元 b は $-a$ です。同一の $n$ 個の元 $a$ に対して演算 $\circ$ を行った結果は $na$で「スカラー倍」と呼びます。

乗法群か加法群かは多分に "言葉の綾" の面があり、どちらがイメージしやすいかによります。但し、加法群と言った場合は暗黙に可換則、$a\circ b=b\circ a$ が成り立つ群を言います。可換則が成り立つ群を、ノルウェーの数学者 Abel の名前をとって「アーベル群」と呼びます。もちろん「乗法」や「加法」のイメージとは結びつきにくい群もたくさんあります。

---

楕円曲線上の有理点

---

楕円曲線上の有理点からなる加法群を構成することができます。有理点とは、楕円曲線上の点、$\left(x_0,y_0\right)$ で、$x_0$ も $y_0$ も有理数の点です。一般に、楕円曲線が有理点を持つかどうかを有限回の手続きで決定する方法は知られていません。しかし、１個か２個の有理点があれば、次のような手続きで次々と有理点を見つけることができます。以下の記述では $P$、$Q$、$R$ などを有理点とし、

・	$P$ と $Q$ を結ぶ直線がふたたび楕円曲線と交わる点を $P\ast Q$（図７の左）
・	$P$ 点における接線が楕円曲線と交わる点を $P\ast P$（図７の右）

と定義します。ここでの "$\ast$" は乗算の記号ではなく「"$\ast$" の前後に書かれた楕円曲線上の点ではない、もう一つの直線と楕円曲線の交点」の意味です。

図７：楕円曲線上の有理点

J.H.シルヴァーマン、J.テイト著「楕円曲線論入門」（シュプリンガー・フェアラーク東京 1995）より引用

J.H.シルヴァーマン、J.テイト 「楕円曲線論入門」 （シュプリンガー・ フェアラーク東京 1995）

図７で、$P\ast Q$ も $P\ast P$ も有理点です。なぜなら、係数が有理数の３次曲線と直線の交点を求める式は３次方程式になりますが、３次方程式の２つの異なる根が有理数なら（左図の $P$ と $Q$）、もうひとつの根 $P\ast Q$ も有理数だからです。もう１つが有理数でないと（＝無理数や複素数）、３次曲線の係数が有理数という前提に反します。同じように３次方程式の重根（右図の $P$）が有理数だと、もう一つの根も有理数です。

つまり、楕円曲線上に１つ、ないしは２つの有理点があったとしたら、上記の操作で有理点を増やしていけます。そこで有理点の存在を前提として以下の議論を進めます。

なお、楕円曲線暗号で使う加法群は「有限体上の楕円曲線における加法群」であり、ここでは "有理点" が必ず存在し、それを見つけるアルゴリズムもあります（後述）

---

楕円曲線上の有理点が作る加法群

---

楕円曲線上の有理点を "群" にするためには、そこに何らかの演算を定義する必要がありますが、その定義を次のようにします。加法群なので演算を $+$ と書きます。

群演算

・	任意の有理点を零元（＝ $O$ ）とする。
・	$P$ と $Q$ を楕円曲線上の有理点とするとき、点 $P\ast Q$ と $O$ を結ぶ直線が再び楕円曲線と交わる点を $P+Q$ とする。つまり、 $P+Q=\left(P\ast Q\right)\ast O$ とする。

図８：楕円曲線上の群演算

シルヴァーマン、テイト「楕円曲線論入門」より引用。零元の記号には、英大文字 O の筆記体が使ってある。以下同様

零元

この演算における零元 $O$ が、群の零元の条件を満たしているかどうかを検証すると、

$P+O=\left(P\ast O\right)\ast O=P$

となって、零元の条件を満たしていることがわかります（図９）。もちろん、$O+P=P$ です。

図９：$\mathit{O}$ が零元であることの検証

「楕円曲線論入門」より引用

逆元

逆元は次のように定義します。零元 $O$ における接線が楕円曲線と交わる点を $S$ とします。まず、

$S=O\ast O$

です。そして 点 $Q$ と $S$ を結ぶ直線が再び楕円曲線を交わる点を、$Q$ の逆元（＝ $-Q$）とします。つまり、

$-Q=Q\ast S$

です。このように定義すると

$\begin{array}{ll}Q+\left(-Q\right)& =\left(Q\ast \left(-Q\right)\right)\ast O\\ & =S\ast O\\ & =O\end{array}$

となり、群の逆元の条件を満たすことがわかります（図10）。$S$ と $O$ を結ぶ直線は $O$ で２回交差するので、$S\ast O=O$ です。

図10：点の逆元

「楕円曲線論入門」より引用

結合則

群を構成するためには、以上の群演算の定義が結合則を満たしていななければなりません。楕円曲線上に点 $P$、$Q$、$R$ をとったとき、

$\left(P+Q\right)+R=P+\left(Q+R\right)$

となるのが結合則ですが、

$$\begin{gathered} \left(P+Q\right)+R=\left(\left(P+Q\right)\ast R\right)\ast O \\ P+\left(Q+R\right)=\left(P\ast \left(Q+R\right)\right)\ast O \end{gathered}$$

なので、

$\left(P+Q\right)\ast R=P\ast \left(Q+R\right)$

が示せればよいことになります。「楕円曲線論入門」にはこのことを示した図が載っています（図11）。

図11：結合則の検証

「楕円曲線論入門」より引用

$\left(P+Q\right)\ast R$ の点と $P\ast \left(Q+R\right)$ の点が、楕円曲線上で同一の点になることの証明は少々複雑なので「18. 結合則が成り立つことの証明」にまわします（後述）。

---

以上のように楕円曲線上の有理点は、直線との交点を使って加法と逆元をうまく定義することで "群" になることがわかりました。ここで注意すべきは、零元は楕円曲線上の任意の有理点でよいことです。これを利用し「零元＝無限遠点」としたのが、実用的に使われる楕円曲線上の加法群です。

---

無限遠点を零元とする加法群

---

以下では「対称点」という言葉を使いますが、

$P=\left(x_p,y_p\right)$ とするとき、点 $\left(x_p,-y_p\right)$ を$P$ の対称点と呼ぶ

ことにします。楕円曲線は $x$軸について対称なので、点 $P$ を $x$軸で "折り返した" 点が $P$ の対称点です。$y=0$ となる点が楕円曲線上に１つ、または３つありますが、その点の対称点は同じ点です。

次に「$y$軸方向の無限遠点」を導入し、「楕円曲線上の有理点と無限遠点を合わせた集合」に群を定義します。ここからは無限遠点を $O$ と書きます。

無限遠点は図に表せないのでイメージしにくいのですが、$\mathit{y}$軸方向の無限遠に $\mathit{O}$ があると考えます。$y$ 軸の正方向でも負の方向でもかまいません。

楕円曲線上の点 $P$ を $P=\left(x_p,y_p\right)$ とし、$x_p$ をどんどん大きくすると、楕円曲線の式では $x^3$ の項が支配的になるので、${y_p}^2={x_p}^3$ と近似できます。つまり $y_p=\pm {x_p}^{\frac{3}{2}}$ となり、$x_p$ が大きいと $y_p$ は $y$軸の遙か上方（と下方）になります。この極限が無限遠点 $O$ と考えます。さらに、

楕円曲線上の任意の点 $P$ を通る $y$軸に平行な直線を引くと、その直線は $P$ の対称点で楕円曲線と交差すると同時に、無限遠点 $O$ でも交差する

と考えます。この $\mathit{y}$軸方向の無限遠点 $\mathit{O}$ を零元とする群を構成します。

群演算

まず、群演算の加法ですが、

$P+Q=P\ast Q$ の対称点

と定義します（図12）。

図12：加法則

「楕円曲線論入門」より引用

こうすると、$P\ast Q$ と $P+Q$ を結ぶ直線は $y$軸と平行になり、それは無限遠点 $O$ で楕円曲線と交差します。つまり、

$P+Q=\left(P\ast Q\right)\ast O$

です。この定義は 零元を楕円曲線上の点にとった図８と合致します。この加法の定義で $O$ が群の零元の要件を満たしているかを検証すると、

$P+O=\left(P\ast O\right)\ast O=P$

となって要件を満たしていることがわかります。$P\ast O$ は $P$ の対称点ですが、$P$ の対称点と $O$ を結ぶ直線が楕円曲線と交差する点は $P$ なので上式が成立します。これは楕円曲線上に $O$ をとった図９と同じです。さらに逆元ですが、$Q$ が楕円曲線上にあったとき、

$Q$ の対称点が $Q$ の逆元（$-Q$ と表記）

と定義します（図13）。

図13：逆元

「楕円曲線論入門」より引用

こうすると、

$\begin{array}{ll}Q+\left(-Q\right)& =\left(Q\ast \left(-Q\right)\right)\ast O\\ & =O\ast O\end{array}$

となりますが、$O\ast O=O$（＝無限遠点の対称点は無限遠点）との自然な定義を行うと、

$Q+\left(-Q\right)=O$

となって逆元の要件を満たします。結合則についても零元を楕円曲線上にとった場合（図11）と同じ様に成立します。「18. 結合則が成り立つことの証明」でそのこと書きます。

射影平面

無限遠点は図で表現できず、何だか "怪しげな" 感じがしますが、数学的に厳密に定義できます。それには射影平面を使います。

平面 $\left(x,y\right)$ に対し、３つの数 $\left(X,Y,Z\right)$ で表される "平面" を射影平面と言います。３つの数がありますが３次元空間ではありません。ただし $\left(0,0,0\right)$ の点は除きます。また、

$\lambda \ne 0$とするとき
$\left(X,Y,Z\right)$ と $\left(\lambda X,\lambda Y,\lambda Z\right)$ は同じものである（同値である）

と定義します。$xy$平面から射影平面の対応は、

$\left(x,y\right)\stackrel{}{\to }\left(x,y,1\right)$

とし、その逆の対応は、

$Z\ne 0$ のとき
$\left(X,Y,Z\right)\stackrel{}{\to }\left({\displaystyle \frac{X}{Z}},{\displaystyle \frac{Y}{Z}}\right)$

です。この対応からわかるように、射影平面には $xy$平面にない点が含まれています（$Z=0$ の点）。

射影平面での楕円曲線の式は、$xy$平面の楕円曲線の式で、$x={\displaystyle \frac{X}{Z}}\text{, }y={\displaystyle \frac{Y}{Z}}$ とおき、全体に $Z^3$ をかけて同時化（＝変数項の合計次数をそろえる）します。その結果、

$Y^{2}Z=X^3+aX{Z}^2+b{Z}^3$

の同時方程式が、射影平面での楕円曲線になります。ためしに、図２の楕円曲線（$a=-2\text{, }b=1$）と $y$軸との交点を計算してみると、$xy$平面では、

$\{\begin{array}{l}{y}^2=x^3-2x+1\\ x=0\end{array}$

の連立方程式を解いて、$\left(0,\pm 1\right)$ となります。一方、射影平面では、$x=0$ は $X=0$ なので、

$\{\begin{array}{l}{Y}^{2}Z=X^3-2X{Z}^2+Z^3\\ X=0\end{array}$

が、楕円曲線と直線の交点を求める連立式になります。この解は、$\alpha$ と $\beta$ を $0$ ではない数として、$\left(0,\alpha ,\pm \alpha \right)\text{, }\left(0,\beta ,0\right)$ です。射影平面の同値関係を利用すると、

$$\begin{gathered} \left(0,\pm 1,1\right) \\ \left(0,1,0\right) \end{gathered}$$

が楕円曲線と直線の交点になり、交点は３つあることになります。ここで $xy$平面の交点には現れなかった $\left(0,1,0\right)$ が $y$軸方向の無限遠点です。無限遠点は楕円曲線の同時方程式を必ず満たします。つまり全ての楕円曲線は無限遠点を通ることになります。

楕円曲線の計算には現れませんが、無限遠点にもいろいろあって、$\left(1,0,0\right)$ は $x$軸方向の無限遠点、$\left(\alpha ,\beta ,0\right)$ は任意方向の無限遠点です（$\alpha$、$\beta$ は $0$ ではない数）。

$xy$平面の２直線は、平行なときには交点がありませんが、射影平面の２直線は必ず１点で交わります。また射影平面の楕円曲線の１点を通る直線は、楕円曲線と必ず３点で交わります（直線が楕円曲線の接線の場合は、接点での交差数を２と数えます）。このように、交差を統一的に扱えるのが射影平面の特徴の一つです。

以上のような数学的裏付けのもとに導入したのが無限遠点です。これを $xy$平面では、

・	$\mathit{y}$軸方向の無限遠のところに無限遠点 $\mathit{O}$ がある
・	楕円曲線は $\mathit{O}$ を通る
・	$\mathit{y}$軸に平行な直線は $\mathit{O}$ で楕円曲線と交わる

とイメージしてよいわけです。

---

加法式・２倍式

---

楕円曲線上の加法を計算式で表します。楕円曲線上の３点を次のように定義します。

$$\begin{gathered} P_1+P_2=P_3 \\ {P}_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ {P}_3=\left(x_3,y_3\right) \end{gathered}$$

とします。$P_1$ と $P_2$ を結ぶ直線を $y=\lambda x+\mu$ とすると、連立方程式、

$\{\begin{array}{l}{y}^2=x^3+ax+b\\ y=\lambda x+\mu \end{array}$

の解が $P_1\text{, }{P}_2\text{, }\left(x_3,-y_3\right)$ です。この２つの式から $y$ を消去すると、

$x^3+ax+b-{\left(\lambda x+\mu \right)}^2=0$

が得られますが、この式は、

$\left(x-x_1\right)\left(x-x_2\right)\left(x-x_3\right)=0$

と同一のはずです。そこで $x^2$ の係数を比較すると、

$-{\lambda }^2=-x_1-x_2-x_3$

が得られます。つまり、

$x_3={\lambda }^2-x_1-x_2$

となります。この $x_3$ を直線の式に入れると、

$-y_3=\lambda x_3+\mu$

ですが、$y_1=\lambda x_1+\mu$ なので $\mu$ を消去すると、

$y_3=-y_1+\lambda \left(x_1-x_3\right)$

となります。これが基本の加法式です。これを $P_1$ と $P_2$ の配置パターンごとにまとめると、次の通りです。

${\mathit{x}}_{\mathit{1}}\mathit{\ne }{\mathit{x}}_{\mathit{2}}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-x_1-x_2\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{y_2-y_1}{x_2-x_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{\ne }\mathit{0}$ のとき

この場合は $P_1$ と $P_2$ を通る直線は $P_1$ における楕円曲線の接線となり、直線の傾き $\lambda$ は上の式のままでは計算できません。そこで $y^2=x^3+ax+b$ を $x$ で微分すると

$2y{\displaystyle \frac{dy}{dx}}=3x^2+a$

なので、

$\lambda ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}$

となります。$x_2$ を $x_1$ に置き換えてまとめると、

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-2x_1\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}\end{array}$

が $P_1+P_1$ の計算式です。これは $P_1$ の "２倍"（一般にはスカラー倍）であり、$2P_1$ と書きます。

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{\ne }{\mathit{y}}_{\mathit{2}}$ のとき、あるいは ${\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{=}\mathit{0}$ のとき

この場合、$P_2=-P_1$ なので、定義により

$P_1+P_2=O$

です。

---

有限体上の楕円曲線による加法群

---

以降に出てくる有限体 ${\mathbb{F}}_p$ と 乗法群 ${\mathbb{F}}_p^{\ast }$ については、No.313「高校数学で理解する公開鍵暗号の数理：10. 有限体と乗法群」 で定義したものです。

楕円曲線暗号に使われる楕円曲線は、有限体 ${\mathbb{F}}_p$ で定義された "曲線" で、次の式を満たすものです。

$$\begin{gathered} y^2=x^3+ax+b \\ \left(4a^3+27b^2\ne 0\right) \end{gathered}$$

$x$、$y$、$a$、$b$ は全て ${\mathbb{F}}_p$ の元です。「この式を満たす全ての $\left(x,y\right)$ と 零点 $O$ の集合」に対して演算を定義して群を構成します。演算を加法と考えて $+$ と書きます。この "曲線" 上の３点を、

$$\begin{gathered} P_1+P_2=P_3 \\ {P}_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ {P}_3=\left(x_3,y_3\right) \end{gathered}$$

とするとき、群の演算式は次のように定義されます。

${\mathit{x}}_{\mathit{1}}\mathit{\ne }{\mathit{x}}_{\mathit{2}}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-x_1-x_2\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{y_2-y_1}{x_2-x_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{\ne }\mathit{0}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-2x_1\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{\ne }{\mathit{y}}_{\mathit{2}}$ のとき、あるいは ${\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{=}\mathit{0}$ のとき

$P_1+P_2=O$

つまり、実数平面の有理点と無限遠点（＝零元）で構成された群の演算式と全く同じです。もちろん加減乗除は ${\mathbb{F}}_p$ で行います。これが群になる理由は、有理数体（有理数全体の集合）も有限体 ${\mathbb{F}}_p$ も「体」であり、加減乗除は全く同一形式で記述できるからです。ただ、有理数体と違って ${\mathbb{F}}_p$ の元の数は有限個であり、群の元の数も有限個（＝有限群）です。以降、${\mathbb{F}}_{\mathit{p}}$ 上の楕円曲線、${\mathit{y}}^{\mathit{2}}\mathit{=}{\mathit{x}}^{\mathit{3}}\mathit{+}\mathit{a}\mathit{}\mathit{x}\mathit{+}\mathit{b}$ による有限群を $\mathit{E}\mathit{}\left(\mathit{a},\mathit{b},\mathit{p}\right)$ と表記します。

${\mathbb{F}}_p$ 上の楕円曲線は、もはや "曲線" の形をしていませんが、これを可視化した図が Wikipedia にあるので、引用します。

図14：有限体上の楕円曲線 $E\left(-1,0,89\right)$　 ${\mathbb{F}}_{89}\text{, }{y}^2=x^3-x$

赤丸が "楕円曲線上の点" を表し、計79個ある。零元（無限遠点）と合わせて、群の元の総数は 80 である。

（Wikipedia より）

---

以上が「有限体上の楕円曲線が作る加法群」で、楕円曲線暗号はこの加法群で構成されます。その話を次回にします。

（次回に続く）

---

タグ：群 高校数学 公開鍵暗号 有限体 楕円曲線暗号 楕円曲線 ３次曲線 楕円曲線論入門 判別式 射影平面 無限遠点 有理点 加法群

No.314 - 人体に380兆のウイルス

No.307-308「人体の９割は細菌」で、ヒトは体内や皮膚に棲む微生物と共存していることを書きました。これら微生物には、もちろんヒトに有害な事象を引き起こすものもありますが、ヒトの役に立ったり、ヒトの免疫機構を調整しているものもある。人体は微生物と共存することを前提に成り立っています。

No.307-308での "微生物" は、題名にあるように主に細菌でした。しかし忘れてはいけない微生物のジャンルはウイルスです。そして人体はウイルスとも共存しています。人体に共存する微生物の総体（＝微生物叢そう）をマイクロバイオーム（Microbiome。厳密にはヒトマイクロバイオーム）と言いますが、ウイルスの総体（＝ウイルス叢そう）をバイローム（Virome。ヒトバイローム）と言います。言葉がややこしいのですが、マイクロバイオームの一部としてバイロームがあると考えてよいでしょう。

ウイルスというと、病気を引き起こす "ヒトの敵" というイメージが強いわけです。新型コロナウイルスがまさにそうだし、No.302「ワクチン接種の推奨中止で4000人が死亡」でとりあげたのは、子宮頸癌を引き起こすヒトパピローマウイルス（HPV）とそのワクチンの話でした（HPV は他の癌の原因にもなりうる）。大きな社会問題にもなった肝炎を引き起こすウイルスがあるし、エイズもウイルスの感染で発症する病気です。もちろんインフルエンザもウイルスが原因です。

しかしウイルスの中にはヒトに "好ましい" 影響を与えるものもあります。その好例が、No.229「糖尿病の発症をウイルスが抑止する」で紹介したある種のウイルスで、膵臓がこのウイルスに感染していると、遺伝性の自己免疫疾患である１型糖尿病の発症が抑止されるのでした。

日経サイエンス 2021年7月号

人体と共存する細菌に "善玉菌" と "悪玉菌" があるように、ウイルスにも "善玉ウイルス" と "悪玉ウイルス" があることが想定されます。では、ヒトの "ウイルス叢" ＝ "バイローム" の全体像はどうなっているのか。その探求が、この10年ほどの間に進んできました。ただ、この種の研究はまだ始まったばかりであり、本格的なバイロームの解明はこれからと言えます。

そのバイローム研究の最新状況を紹介した雑誌記事があったので、No.307-308「人体の９割は細菌」の続きとして紹介したいと思います。記事の題は「あなたの中にいる380兆のウイルス」で、日経サイエンス 2021年7月号に掲載されたものです。著者はカリフォルニア大学サンディエゴ校の病理学者、 デヴィッド・プライド（David Pride）准教授です。これは Scientific American 誌 2020年12月号の「The Viruses Inside You」を翻訳したものです。

---

ウイルスは人体の一部

---

新型コロナウイルス（ウイルス名：SARS-Cov-2）の影響もあり「ウイルスは病気をもたらすもの」という認識が一般的でしょう。しかし病気でなくても、普段からヒトの体内には何兆個ものウイルスが存在しています。このことは研究者の共通認識になってきました。

実は多くのウイルスが肺や血液、神経の細胞内や、多数の腸内細菌の内部に隠れており、人の体内に静かに潜んでいることが明らかになっている。 現時点で生物学者たちは 380兆個のウイルスがあなたの体の表面や内部で生息していると見積もっている。 デヴィッド・プライド 「あなたの中にいる380兆のウイルス」 日経サイエンス 2021年7月号

ヒトの細胞の総数は、最新の研究では約37兆個といわれています（赤血球を除くと約11兆個）。ヒトと共存している細菌は、数からいうと腸内細菌がほとんど（9割以上）で、ざっと100兆個といわれています。その細菌より多数のウイルスが体内にいることとになります。ウイルスの大きさが細菌の大きさの100～1000分の１であることを考えると、これは驚くに当たらないでしょう。これらの細菌やウイルスの数は、今後の研究の進展に従って増加することが考えられます。

病気を引き起こすウイルスもいるが、多くは単にあなたと共存しているだけだ。例えばペンシルベニア大学の研究者たちは2019年後半、気道でレドンドウイルスに分類される19種類のウイルスを発見した。いくつかは歯周病や肺疾患に関連していたが、他のウイルスはむしろ呼吸器疾患を抑えているようだった。 以前は、私たちの人体は "自分の" 細胞でできていて、それがときどき微生物の進入を受けるだけだと考えられてきた。しかし科学的知識が急速に拡大したことで、実は私たちは細胞と細菌、菌類、そして最も多数派を占めるウイルスが同居する１つの生物集団、つまり「超個体」であることが明らかになっている。 「同上」

これらのウイルスは、皮膚表面を含む体内のあらゆる場所に生息しており、脳の脊髄からも発見されています。

安価なゲノム配列解読手法によって人間の口腔と腸で大量のウイルスが発見されたのは12年前のことだが、2013年頃までには皮膚の表面や気道、そして血液や尿中にもウイルスの存在が明らかになった。 最近では、さらに驚異的な場所でウイルスが見つかっている。2019年9月、私はゴース（Chandrabah Ghose）らとともに、さまざまな病気のための検査を受けていた成人たちの脳脊髄液中で発見したウイルスと詳しく報告した。それらのウイルスはいくつかの異なった科に属しており、既知の病気に関連づけられているものはなかった。また、私たちは血漿と間接液、母乳の中にも同じウイルスを発見した。 それまでヘルペスウイルスなどごく少数の感染症ウイルスが脳脊髄液中に潜入しうることは知られていたが、何も病気を引き起こさないウイルスがまるで偶然そこに居合わせたかのように見つかったことは驚きだった。微生物のいない環境であるはずの中枢神経系に、そこそこ多様なウイルス集団が存在しているのだ。 「同上」

No.307-308「人体の９割は細菌」で書いたように、細菌のマイクロバイオームは赤ちゃんが生まれるその時点から形成されます。また母乳にも細菌が含まれていて、それが赤ちゃんに伝わる。このような状況はウイルスのバイロームでも同じのようです。

私たちのバイロームは生まれたときから蓄積が始まるようだ。生後間もない乳児の腸にも非常に多様なウイルスが存在することが明らかになっている。おそらくそれらは母親に由来し、一部は母乳から摂取されると考えられる。 出生後数週から数ヶ月たつうちに、これらのウイルスの一部は数が減る。他方で、別のウイルスが空気や水、食物、他の人々から乳児の体内に入ってくる。これらのウイルスは数と多様性を増していき、細胞に感染してそこで長年にわたり存在し続ける。 「同上」

細菌と同じように、人のバイロームは、その人の「個人情報」になります。しかもこの個人情報は、人から人へと伝播しやすいという性質があります。新型コロナウイルスやインフルエンザウイルスの呼吸器系に感染するウイルスは、咳などの飛沫でも容易に伝播するのです。

同居している人たちは、自身のバイローム中のウイルスの約25%を共有しているようだ。ウイルスは、せきなどの典型的な伝播手段でうつされるだけでなく、人と人の軽い接触、流し台やトイレや机の共同使用、そして食物を分け合うことによっても、同居メンバー間で伝播しうる。 私たちが調べた人数は少ないものの、恋人どうしや夫婦といったロマンチックな関係がない同居人どうしでも、ロマンチックな関係にあるひと同士と同じくらいの割合のウイルスを共有していることをデータは示している。親密な接触はほとんど違いを生まないように思われる。同じ空間に住んでいるだけで十分だ。 「同上」

要するに、同居人の間でのウイルスの伝播（バイロームの共有）は、性関係（＝ロマンチックな関係）のあるなしには影響されないわけです。

---

細菌に感染するファージ

---

ウイルスは自前の増殖機能がないため、細胞に感染することで増えて広がっていきます。実は、ヒトの体内にいるウイルスの多くは、ヒトの細胞ではなく、体内に生息する細菌に感染するウイルスです。このタイプのウイルスをバクテリオファージ（略してファージ）と呼びます。

私たちの体内にいるウイルスの多くは私たち自身の細胞を標的としているのではない。代わりに、私たちのマイクロバイオームを構成している細菌を探す。これら細菌に感染するウイルスは「バクテリオファージ」と呼ばれる（略して「ファージ」といわれることが多い）。細菌の細胞内に進入したファージは細菌が持っている装置を使って自身のコピーを作り、たいていは細胞を破裂させて飛び出し、他の細菌に観戦する。この仮定で宿主の細菌は破壊される。 ファージは自然界のほほ全ての場所に存在している。じっくりと観察すれば、土壌中にも、海水から家庭の水道水にいたるあらゆる水の中にも、酸性の鉱山や北極、温泉などの過酷な環境中にも見つけることができるだろう。空中にも浮かんでいる。これらのウイルスがしぶとく存在し続けるのは、これら全ての場所に生息している細菌を獲物にしているからだ。私たち人間は狩りをする１つの場所にすぎない。 2017年、サンディエゴ州立大学（カリフォルニア州）に所属していたグェン（Sophie Nguyen）とバー（Jeremy Barr）は、多くのファージが粘膜を通過して体内の最終目的地に到達するこを示した。試験管内の実験で、ファージは腸や肺、肝臓、腎臓、さらには脳の表面を覆う膜を通り抜けた。もっとも、それらのウイルスがたまたま中枢神経系などの場所に入ったとしても、そこには宿主となる細菌がほとんどいないため、自己複製する方法がなく最終的には死滅してしまうだろう。 「同上」

ファージは細菌と共存しているとも言えます。ということは、ヒトと共存する細菌の中にヒトに有益な作用をもたらすものがあるように、ファージの中にも細菌を "助ける" ものがあってもおかしくありません。

増殖したファージが細菌の遺伝子を自身のゲノムに取り込んで一緒に持ち出すことがある。この荷物は、ファージが次に感染した細菌にとって有益になる場合がある。例えば私が唾液中に見つけたファージは、細菌が人体の免疫系の攻撃から逃れるのを助ける遺伝子を運んでいた。なかには細菌が抗生物質に抵抗するのを助ける遺伝子を運ぶファージまでいる。 「同上」

抗生物質は細菌に作用するだけで、ウイルスは影響を受けません。従って「細菌が抗生物質に抵抗するのを助ける遺伝子」をファージが運ぶとしたら、ファージの生存環境を確保し、ファージ自身の生存を促進するという "目的" しかないわけです。

---

人体細胞に感染するウイルス

---

もちろん細菌に感染するファージだけでなく、ヒトの細胞に直接感染するウイルスもあります。

私たちのバイロームの中の多くのウイルスは細菌に感染するが、人体組織の細胞に直接感染するウイルスもわずかながらある。この手のウイルスが少数派だと考えられるのは、体細胞への感染が免疫系によって抑制されるからだ。 スタンフォード大学にいたド・ヴラマンク（Iwijn De Vlaminck）は、免疫系の働きが著しく弱っているとき（例えば、臓器移植を受けて、拒絶反応を防ぐために免疫抑制剤を服用している場合など）、特定のウイルスの数が劇的に増加することを明らかにした。こうしたケースでは、病気を引き起こすことが知られているウイルスとそうでないウイルスの両方の増加が見られる。この観察結果は、通常私たちの免疫系はバイロームを抑制しているが、免疫が阻害されるとウイルスは容易に増殖できることを示している。 「同上」

普段は何もせずに感染しているウイルスが、ヒトの免疫機能の低下などにより急に病原性を発揮することがあります。このような状況を「日和見感染」といいます。また、何らかのウイルスが感染してヒトの免疫系がそれと戦っているときに、別の細菌やウイルスに感染することがあります。これを「共感染」と呼びます。

新型コロナ感染症でも重症者に共感染がみられます。黄色ブドウ球菌や肺炎レンサ球菌などによる "細菌性続発性肺炎" や "菌血症"（血液中に細菌が増える症状）です。また、インフルエンザウイルスやアデノウイルスなどの "ウイルス性共感染" も観察されています。さらに、既にバイローム中にいるエプスタイン・バーウイルス（EBウイルス）やサイトメガロウイルスが活性化される可能性もあります。ヒトの免疫系が新型コロナウイルスと戦っているその体内は、これらの細菌やウイルスが大増殖しやすい状態になっているわけです。

いま出てきた "EBウイルス" と "サイトメガロウイルス" は、ヘルペスウイルスの一種です。ヘルペスウイルスは約100種のウイルスの総称で、そのうちの９種がヒトに感染します。日本人でも半数以上の人が感染しています。このウイルスはヒトの神経節に "潜伏感染" し、そうなると増殖も何もしないので免疫系に攻撃されることがありません。しかし何らかのトリガーで活性化し、帯状疱疹や水痘（水ぼうそう）、口唇ヘルペスなどを引き起こします。

ヘルペスウイルスはそれ以外にも数々の病気とかかわっているのではと疑われています。その一つがアルツハイマー病です。

アルツハイマー病で死亡した人々から提供された脳組織を調べた2018年の研究では、高レベルのヘルペスウイルスの存在が明らかになった。 2020年5月にはタフツ大学とマサチューセッツ工科大学の研究者たちが実験室で脳を模した培養組織を作成し、そこに単純ヘルペスウイルス１型を感染させた。すると、アルツハイマー病患者の脳に蓄積するものとそっくりなアミロイド斑様構造物が大量にできた。このように古くから知られているウイルスにも意外な役割が見つかる可能性があるのは驚くべきことだ。 「同上」

この引用にある「2018年の研究」を報じたニュース記事が次です。

アルツハイマー発症 ヘルペスウイルス2種関係か 日本経済新聞（デジタル版） 2018年6月22日 【ワシントン=共同】アルツハイマー病の発症に、2種類のヒトヘルペスウイルスへの感染が関係する可能性があるとの研究成果を、米国のチームが21日付科学誌ニューロン電子版に発表した。患者の脳組織からウイルスの痕跡を大量に発見したことなどが根拠。 問題となる「6型A」「7型」のウイルスは非常に身近で、米国では多くの人が幼児期までにいずれかに感染するという。チームは「どうやって感染から発症に至るのかなど、不明な点が多い」としている。 いずれも血液から見つかるウイルスで、7型は突発的な発疹の原因となることが知られている。6型Aについてはよく分かっていないという。 チームはアルツハイマー病患者と、患者ではなかった800人超から提供された脳について、500種以上のウイルスへの感染を調べた。患者の脳では2種類のヘルペスウイルスに関係する遺伝物質RNAが多く見つかり、ウイルスが脳細胞の遺伝子にも影響を及ぼしていたことも分かった。 これらのウイルスは、アルツハイマー病以外の原因による認知症の人の脳からも見つかったが、2種類とも多くみられたのはアルツハイマー病患者の脳だけだった。

---

ファージを医療に応用する

---

ウイルスを医療に役立てようとする研究が進められています。というのも、ファージは細菌に入り込み、細菌の機構を利用して増殖し、細菌を破壊して飛び出すからです。ファージを利用して病気の原因菌を排除しようとするのは自然な流れでしょう。その焦点は、抗生物質が効かない耐性菌の対策です。雑誌記事から２つ引用します。

ロックフェラー大学の研究者たちは、抗生物質が効かない病原菌であるメチシリン耐性ブドウ球菌（引用注：MRSAのこと）を殺す酵素をあるウイルスから精製した。この結果は非常に有望で、米食品医薬品局（FDA）はこの酵素を「画期的治療薬」に指定し、現在、最終段階の臨床試験（第３相試験）が行われている。 デヴィッド・プライド 「あなたの中にいる380兆のウイルス」 日経サイエンス 2021年7月号

いくつかのファージが実験的な治療ですでに使用されている。カリフォルニア大学のサンディエゴ校のスクーリー（Robert Schooley）が率いた2016年の画期的な試みが一例だ。同大教授のパターソン（Tom Patterson）は悪名高い薬剤耐性菌、アシネトバクター・バウマニのせいで多臓器不全に陥っていた。しかし医師たちは、下水および環境由来のファージを使用したパターソンを治療することに成功した。 （  日経サイエンス編集部・注：この治療例は「パターソン症例」と呼ばれ、米国初のファージ療法成功例として知られている） 「同上」

ファージ医療は耐性菌対策の "切り札" だと、著者は書いてます。薬（抗生物質）が効かない病原菌を排除するためには、細菌に感染するファージを利用するのが切り札になるわけです。

---

バイロームとヒトの健康

---

ヒトのマイクロバイオーム（細菌）が健康と密接な関係があるように、バイロームもそうであることが十分考えられます。マウスによる実験では細菌の変化とウイルスの変化が同時に起こることが観察されています。ヒトにおいても、歯周病と炎症性腸疾患を発症とバイロームの変化が同時におこる場合があることがわかっています。

今後、ヒトの健康に影響を与えるカテゴリーのウイルスを "操作" して、疾患から我々の体を守る新たな方法がみつかることが期待されています。

---

以上が、日経サイエンス 2021年7月号に掲載された「あなたの中にいる380兆のウイルス」の概要です。ここから以降は、この記事に関連した最近の日本での話題をとりあげます。

---

ウイルスを医療に応用する

---

日経サイエンスの記事には、細菌に感染するファージを利用して病気の原因菌を人体から排除する "ファージ医療" のことが書かれていました。

ということは、人体から排除したいヒトの細胞を破壊するには、人体細胞に感染するウイルスを使えばよい、ということになります。人体から排除したいヒトの細胞とは、つまり癌細胞です。

癌治療にウイルスを使う研究は世界で行われてきましたが、2021年6月10日に東京大学医科学研究所の藤堂具紀ともき教授は、ウイルスを使った治療薬が承認される見通しになったと発表しました。日本製としては初の承認です。

改変ウイルスで脳腫瘍治療 東大と第一三共が実用化 時事通信社（JIJI.COM） 2021年06月10日 ヘルペスウイルスのがん治療用改変に取り組む東京大医科学研究所の藤堂具紀教授は10日、脳腫瘍の一種「悪性神経膠腫こうしゅ」の治療用として、厚生労働省から条件付きで製造販売が承認される見通しになったと発表した（引用注：11日に厚生労働省から承認が発表された）。第一三共が共同開発して昨年12月に申請し、先月の薬事・食品衛生審議会部会で認められていた。 製品名は「デリタクト注」（一般名テセルパツレブ）で、7年以内に使用患者全員を対象として安全性と有効性を再確認する。脳腫瘍では世界初のウイルス療法製品になるという。 元来は口唇ヘルペスを引き起こす「単純ヘルペスウイルス１型」だが、がん細胞だけに感染、増殖して死滅させるよう、３種類の遺伝子を改変してある。患者の抗がん免疫を強める作用もある。 藤堂教授らは悪性神経膠腫の中で最も悪性度が高く、手術後に放射線や抗がん剤による治療を行っても生存期間が短い「膠芽腫こうがしゅ」を対象として、2009年から臨床研究、15年から臨床試験（治験）を実施。安全性を確認し、１年後の生存率が大幅に向上する効果があった。 この改変ウイルスは他のがんにも有効とみられ、前立腺がんなどを対象とする臨床試験も行っている。

この発表の20日ほど前の朝日新聞デジタルには、癌のウイルス治療の歴史や背景を含めた解説がありました。以下です。

ウイルスでがん破壊、治療薬承認へ 脳腫瘍の一種に効果 朝日新聞デジタル 2021年5月24日 悪性度の高い脳腫瘍しゅように対する国産初のがんウイルス治療薬が承認されることになった。新型コロナウイルスの影響でこの1年ですっかり悪役になった「ウイルス」だが、ウイルスの遺伝子を改変して「味方」にすれば、がん治療に利用できる。次世代のがん治療法として世界的に注目されている。 がん治療にウイルスを使う研究は、20世紀初めに始まったとされる。1971年には、英の有名医学誌ランセットに、「悪性リンパ腫になった男子が、麻疹ウイルスにかかった後にがんが消えた」という論文が掲載された。ウイルスをどう改良すれば、この報告を再現できるのか、本格的な研究が始まった。 がん細胞とウイルスは「体内の免疫をかいくぐって、どんどん増えたい」という性質が一致している。ウイルスにとって、がん細胞の中は「何もしなくても勝手に増やしてくれる」という最高の環境だ。お互いの特徴をいかした治療が、がんウイルス療法と言える。 ウイルスをがん細胞の中で増やしてがん細胞を壊し、次のがん細胞に感染して同じことを繰り返させる。さらに、ウイルスが壊したがん細胞のかけらを自分の免疫が認識すれば、がん細胞に対する全身の免疫が高まる。転移する割合も減る可能性がある。 ウイルスは正常な細胞にも感染するため、がん細胞のみで増えさせるようにすることが課題だった。この点で治療に大きな進歩をもたらしたのが、遺伝子組み換え技術の発展だ。 承認が了承された「デリタクト注」は、東京大医科学研究所の藤堂具紀教授らが開発した。口唇ヘルペスの原因を起こす「単純ヘルペスⅠ型」というありふれたウイルスを改変している。 さまざまなウイルスでがん治療研究が進められているが、このヘルペスウイルスは、どの細胞にも感染し、細胞を攻撃する力が比較的強い。このウイルスを改変した薬は米国で2015年、悪性黒色腫（メラノーマ）で承認された。 今回のウイルスは、さらに遺伝子を改変し、三つの遺伝子に変異を加えている。デリタクト注は1回10億個のウイルスを注入する。ウイルスの増殖が体内で制御できなくなるおそれもあるが、藤堂さんは「遺伝子の改変を重ねるごとに、正常な細胞で増殖させることなく、がん細胞への攻撃力を高め、安全性は1千倍ずつ高まっている」と話す。 がんウイルス治療に詳しい鳥取大の中村貴史准教授（遺伝子治療学）は「世界的にこの治療でかなりの数の治験が進んでいるが、いずれも遺伝子組み換え技術によって正常な細胞でのウイルスの増殖を制御できている」と話す。 今回は脳腫瘍で了承されたが、理論上はさまざまな臓器のがんに応用可能だ。藤堂さんらは、前立腺がんなど、ほかのがんへの応用もめざして研究を進めている。 将来的に、手術や抗がん剤、放射線治療の前に、ウイルス療法でがんを小さくしたり、免疫を高めて治療効果を上げたりすることも考えられる。中村さんは「欧米では非常に激しく競争されている分野で、確立すれば治療の選択肢が増える。今回の了承は起爆剤となり、大きな革新となるだろう」と話す。（後藤一也、瀬川茂子）

癌のウイルス治療のイメージ

（朝日新聞デジタル 2021.5.24 より）

ヘルペスウイルスは潜伏感染をし、突如として病気を引き起こすというウイルスです。しかも日経サイエンスの記事にあったように、脳にも感染するヘルペスウイルスはアルツハイマー病の原因になるのではと疑われています。そのウイルスで癌細胞を攻撃するというのは、まさに「毒をもって毒を制する」ことの典型でしょう。

今回の承認は「悪性神経膠腫こうしゅ」の治療用ですが、前立腺がんなど、ほかの癌への応用の研究も進んでいるようです。東京大医科学研究所のホームページに詳しい説明がありますが、それを読むと、今回のヘルペスウイルス改変型ウイルスはすべての癌に効果があるとしか思えないのですね。

2020年に「癌の光免疫療法」が日本で承認され、"第５の癌療法" として注目されました（既存の４つとは、手術・化学・放射線・免疫の各療法）。ウイルス療法が "第６の癌療法" になること期待したいものです。

---

補記

本文に引用した藤堂教授の研究成果が、2021年7月5日の日本経済新聞にも掲載されました。本文と重複する部分もありますが、治験結果などの重要な情報もあるので全文を引用しておきます。下線は原文にはありません。

がん破壊ウイルスに託す 新薬承認、脳腫瘍以外へ開発競う 日本経済新聞 2021年7月5日 ウイルスを使ってがんを倒す新たな治療法が登場した。がん細胞だけで増えて死滅させる「ウイルス療法」の新薬が6月、厚生労働省に条件付きで承認された。臨床試験（治験）では1年後の生存率が8～9割と、従来の治療法の約6倍となった。開発は盛んで、他のがんにも効果があると期待されている。 新薬は第一三共の「テセルパツレブ」。悪性の脳腫瘍を対象に承認された。東京大学医科学研究所教授の藤堂具紀さんらの研究成果を実用化した。2016年に国の画期的な新薬候補を優遇する「先駆け審査指定制度」に選ばれた。 今後7年で再確認 東大医科学研究所付属病院で15年から実施した医師主導治験の結果をもとに、20年12月に製造販売の承認を申請した。今後7年間、投与した患者全例のデータを集めて、有効性や安全性を再確認する条件付きで承認された。がんのウイルス療法の治療薬は国内で初めてだ。藤堂さんらは約20年以上かけて開発した。 治療では、新薬をがんに注射する。ウイルスはがん細胞に感染して増える。がん細胞を壊して拡散し、次のがん細胞に感染して次々に破壊していく。壊れたがん細胞からはがんの目印となる物質が出る。免疫細胞がそれを認識し、残るがん細胞を攻撃する。がんへの免疫がつき、転移や再発を抑える可能性が期待されている。 治験は手術や放射線、抗がん剤などの標準治療をした後に再発した脳腫瘍の一種、膠芽腫こうがしゅの患者を対象にした。最大6回まで脳にウイルスを投与した。膠芽腫は悪性度が高く、再発しやすい。生存期間は手術後15～18カ月程度、再発後の余命は3～9カ月程度といわれる。 13人を対象にした中間解析では、1年後の生存率は92.3%だった。標準治療後の生存率は約15%にとどまる。先行して実施した臨床研究を加えて19人を対象にした評価では、1年後の生存率は84.2%、治療開始後の生存期間の中央値は約20カ月だった。がんが縮小したのは1人で、18人はがんが増えず安定した状態だった。 がんがウイルスに弱いことは研究者の間では古くから知られていた。1971年の論文で、悪性リンパ腫になった少年が麻疹ウイルスに感染したところ、がんが消えたという報告があったという。 通常の細胞はウイルス感染などにあったとき、自ら死ぬ機能を備える。一方、がん細胞はこの機能が壊れていて増え続ける。自殺しないがん細胞はウイルスにとって増えやすい環境なわけだ。 ウイルスをがん治療に使おうとすると、ウイルスが正常な細胞でも増えて壊すという課題があった。藤堂さんらは遺伝子組み換えでウイルスの性質を変え、がん細胞だけで増えるようにした。 遺伝子3つを改変 もとにしたのは「単純ヘルペス1型」というウイルスだ。口唇に水疱すいほうをつくるウイルスで、成人の7～8割が感染しているといわれる。3つの遺伝子を改変し、がん細胞で増えて正常細胞では増えないようにするとともに、がんへの体内の免疫反応が高まるようにした。 細胞を壊す力が強く、どの細胞にも感染するのでさまざまながんへの応用が期待できるという。細胞から細胞に血液を介さず移るので、抗体があっても繰り返して治療効果が期待できる。 米国では2015年にヘルペスウイルスを遺伝子組み換えした悪性黒色腫の治療薬が承認された。この治療薬は2つの遺伝子を改変した。テセルパツレブは3つ改変しており、藤堂さんは「がんを攻撃する力が格段に強まり、安全性も向上した」と強調する。 がんウイルス療法には多くの製薬企業が参入している。国内勢では、オンコリスバイオファーマから導入した治療薬候補で、中外製薬が食道がんや肝細胞がんを対象に治験をしている。 鳥取大学准教授の中村貴史さんは「15年の承認をきっかけに大手製薬が参入し、がんウイルス療法の開発は活発になった。安全性は遺伝子組み換え技術で制御できるレベルになり、今はいかに効果を高めるかという段階だ。競争に勝つには新規性が必要だ」と指摘する。（藤井寛子）

日本経済新聞 2021.7.5 より

（2021.7.7）

---

---

タグ：ウイルス 癌 ヘルペス 脳腫瘍 アルツハイマー病 バクテリオファージ ファージ マイクロバイオーム バイローム ファージ医療 藤堂具紀 ウイルス療法

No.313 - 高校数学で理解する公開鍵暗号の数理

No.310-311「高校数学で理解するRSA暗号の数理」の続きです。公開鍵暗号の "老舗しにせ" である RSA暗号は、1978年に MIT の研究者であったリベスト（米）、シャミア（イスラエル）、エーデルマン（米）の３人によって発明されました（RSAは３人の頭文字）。３人はこの功績によって2002年のチューリング賞を受賞しました。チューリング賞は計算機科学分野の国際学会である ACM（Association of Computing Machinary）が毎年授与している賞で、この分野では最高の栄誉とされているものです。

しかし公開鍵暗号そのもののアイデアを最初に提示したのは、スタンフォード大学の研究者だったディフィー（米）とヘルマン（米）で、1976年のことでした。２人も 2015年にチューリング賞を受賞しています。この「鍵を公開する」という、画期的というか逆転の発想である公開鍵暗号の登場以降、暗号の研究は一変してしまいました。そして RSA暗号のみならず各種の公開鍵暗号が開発され、現代のインターネットの基盤になっています。たとえばインターネットのWebサーバへのアクセス（閲覧やフォーム入力など）で使われる SSL/TSL という暗号化通信（https:// のサイトで使われる）は、まさに公開鍵方式を使っています。

今回はその公開鍵暗号を "発明した" ディフィーとヘルマンに敬意を表して、彼らが発表した内容と、その数学的背景を書いてみたいと思います。タイトルは「公開鍵暗号の数理」としましたが、あくまで公開鍵暗号の原点となったアイデアの解説です。

ACM（Association of Computing Machinary）のサイトには、歴代のチューリング賞の受賞者の紹介ページがある。2015年の受賞者はディフィーとヘルマンで、受賞理由として「公開鍵暗号の発明」と書かれている。

（https://awards.acm.org/ より）

ディフィーとヘルマンが提出したアイデアは「公開鍵を使って秘密鍵を安全に共有する」ものでした。これは「ディフィー・ヘルマンの鍵共有」と呼ばれていて、現在でも使われています。そこでまず「秘密鍵の共有」の意義を振り返ってみたいと思います。

---

秘密鍵の共有

---

古今東西、様々な暗号化方式が開発・使用されてきましたが「秘密鍵の共有による暗号」（＝共通鍵暗号）が基本です。その中でも「一回限りの乱数表」は安全（＝解読されない）と証明されている暗号です。この場合、乱数表が秘密鍵に相当します。

英大文字・小文字、数字、英文に使われる特殊文字を、$0\text{ ～ }127$ の数字でコード化するとします。いま、$n$ 文字以下の平文ひらぶんをコード化して暗号文にしたいとき、「一回限りの乱数表」として必要なのは、$0\text{ ～ }127$ の値をとる乱数が $n$ 個並んだ表です。さらに、

コード化した平文	：　$a_i$
乱数表（秘密鍵）	：　$r_i$
暗号文	：　$b_i$

$$\begin{gathered} 1\le i\le n \\ 0\le a_i\text{, }{r}_i\text{, }{b}_i\le 127 \end{gathered}$$

とするとき、「乱数 $r_i$ の値に依存して、$a_i$ を $b_i$ に１対１に変換する関数 $f$」を決めておきます。そうすると、

$b_i=f\left(a_i,r_i\right)$

の変換で暗号文 $b_i$ が得られます。この関数 $f$ は $128\times 128$ の コード変換テーブルでもいいし、$\left(a_i+r_i\right)mod128$ のような四則演算でもよい。とにかく $r_i$ が違えば別の１対１変換になる関数が条件で、そうすれば逆変換で複号化が可能です。この関数を秘密にする必要はなく、オープンにしてもかまいません。この暗号が安全な理由は、

①	秘密鍵（＝乱数表）の長さが平文と同じ
②	秘密鍵は１回限り（＝使い終わったら捨てる）

の２点によります。もちろん乱数が "真の乱数" であることも重要です。しかし、上の２点を守るためには秘密鍵（乱数表）の長さが膨大になります。使い終わった乱数表のページを破って捨てなければならないからです。そこで実用的には、暗号文のやりとりを始める前に秘密鍵を共有しておき、暗号化はその「秘密鍵にもとづいた何らかの暗号化方式」で行うことになります。こうすると平文の長さが秘密鍵より長くなるので、絶対に安全とは言えなくなります。そこで、解読しにくい（＝強度の高い）暗号化方式の必要性があり、これをめぐって様々な方式が作られてきました。

しかし問題は、最初の「秘密鍵の共有」をどうやってやるかです。結局、秘密鍵を印刷し、アタッシュケースに入れて相手に持参するというような、スパイ映画にでも出てきそうな方法しか本質的には無いわけです。どういうやり方をとるにせよ「秘密鍵の共有」には多大なコストがかかる。

No.310-311「高校数学で理解するRSA暗号の数理」で書いた公開鍵暗号の価値はそういうところにあります。つまり、RSA暗号における暗号化・複号化は巨大な数の "冪剰余" を求める計算になり、これはこれで計算機負荷が高い。そこで、まずRSA暗号を使って秘密鍵を共有しておき、以降はその秘密鍵を使う高速な（＝ 計算機負荷の低い）暗号化・複号化方式で通信をするやり方が多くとられます。これは他の公開鍵暗号でも同じです。

その、"公開鍵を使って秘密鍵を共有する" ことを最初に提唱したのが「ディフィー・ヘルマンの鍵共有」でした。そしてこれが、そもそもの「公開鍵の発明」になりました。この鍵共有は、

盗聴されている通信路を使って情報をやりとりすることで、秘密鍵の共有を安全に実現する

ためのアルゴリズムです。どうしてそんなことができるのかが、以降です。

---

９. ディフィー・ヘルマンの鍵共有

---

ディフィー・ヘルマンの鍵共有は次のように進みます。まず「公開鍵センター」が "皆が使う公開鍵"として、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は小さな整数

のペアを公開しておきます。次に、$A$ さんと $B$ さんが秘密鍵を共有したい場合、

$A$ は、$1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a\left(modp\right)$ を $A$ の公開鍵として（盗聴されている通信路を介して） $B$ に送付

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。次に同様に、

$B$ は、$1<b<\left($ p$-1\right)$ である乱数 $b$ を発生させ、$g^b\left(modp\right)$ を $B$ の公開鍵として（盗聴されている通信路を介して） $A$ に送付

します。もちろん $b$ は秘匿します。そして、

$A$ は $G_a={\left(g^b\right)}^a\left(modp\right)$ を共有の秘密鍵

$B$ は $G_b={\left(g^a\right)}^b\left(modp\right)$ を共有の秘密鍵

とします。この作り方から $G_a=G_b$ となるので、秘密鍵 $G=g^{ab}\left(modp\right)$ が共有できたことになり、以降はこれを使って暗号化通信を行います。大切なことは $A$ は $B$ の秘密鍵（$b$）を知らないし、$B$ は $A$ の秘密鍵（$a$）を知らないことです。それでも秘密鍵 $G$（$=G_a=G_b$）を共有できるわけです。

ちなみに、以上のプロセスに出てくる $g^a\left(modp\right)$ などの "冪剰余" の計算ですが、たとえ $a$ や $p$ が巨大数であっても効率的に計算できることを、No.311「高校数学で理解するRSA暗号の数理（２）」の「累乗の剰余を求めるアルゴリズム」で書きました。

以上の仕組みにおいて通信路が盗聴されたとしても安全なのは、$A$ の公開鍵 $g^a$ から $a$ を求めるのが困難なことと、同様に $g^b$ から $b$ を求めるのが困難なことです。なぜ困難かとい言うと、一つは $p$ が巨大な素数だからであり（10進数で数百桁か 1000桁以上）、また $g$ が「生成元」（原始根ともいう）だからです。

以降でその「生成元」とは何か、盗聴者が公開鍵から $A$ と $B$ の秘密鍵（$a$ と $b$）をなぜ計算できないのかという、ディフィー・ヘルマンの鍵共有の数学的背景を概観します。以下の説明では「高校数学程度の知識だけ」を前提としますが（＝ タイトルの "高校数学で理解する" の意味）、No.310-311「高校数学で理解するRSA暗号の数理」での各種説明は既知とします。特に、

合同
拡張ユークリッドの互除法
フェルマの小定理
冪剰余の計算アルゴリズム
オイラー関数

の知識を前提とします。

---

10. 有限体（${\mathbb{F}}_p$）と乗法群（${\mathbb{F}}_p^{\ast }$）

---

一般に加減乗除が定義された集合を "体（Field）" と言います。有理数、実数、複素数は "体" です。さらに No.310「高校数学で理解するRSA暗号の数理（１）」の終わりの方に書いたように、$p$ を素数とし、$p$ 未満の自然数と $0$ を合わせた集合も "体" となり、${\mathbb{F}}_p$ で表します。この集合は元の数が有限なので、有限体です。

${\mathbb{F}}_p$ における演算は、加算・減算・乗算については普通の整数のように行い、その答に対して$\left(modp\right)$ の演算を行って、「答と合同である ${\mathbb{F}}_p$ の元」を求めて演算結果にします（${\mathbb{F}}_p$ は、ここでは $\mathbb{Z}/p\mathbb{Z}$ で表される "整数の剰余類の集合" と同じ意味）。

除算は逆数（＝逆元）を乗算する演算で行います。${\mathbb{F}}_p$ においては 2.3b により、$0$ 以外の元に対して逆元（逆数）が存在します。2.3b を再掲すると次の通りです。

2.3b	逆数の存在：法が素数
$p$ を素数とする。$p$ 未満の自然数 $a$ に対して、 $a·b\equiv 1\left(modp\right)$ を満たす逆数 $b$ が $1\le b<p$ の範囲で一意に定まる。また、異なる $a$ に対する逆数 $b$ は異なる。

No.310 でやったように、${\mathbb{F}}_{13}$ の場合で "逆数" がどうなっているかを（＝ かけ算で $1$ になる場合を）計算してみると、

$\begin{array}{rr}1·& 1\equiv 1\left(mod13\right)\\ 2·& 7\equiv 1\left(mod13\right)\\ 3·& 9\equiv 1\left(mod13\right)\\ 4·& 10\equiv 1\left(mod13\right)\\ 5·& 8\equiv 1\left(mod13\right)\\ 6·& 11\equiv 1\left(mod13\right)\\ 7·& 2\equiv 1\left(mod13\right)\\ 8·& 5\equiv 1\left(mod13\right)\\ 9·& 3\equiv 1\left(mod13\right)\\ 10·& 4\equiv 1\left(mod13\right)\\ 11·& 6\equiv 1\left(mod13\right)\\ 12·& 12\equiv 1\left(mod13\right)\end{array}$

となります。以上のことから、${\mathbb{F}}_p$ においては加減乗除が定義できて有限体となるわけです。

ここで ${\mathbb{F}}_p$ から $0$ 元 を除いた「$p$ 未満の自然数の集合」を考えると、この集合では乗算と除算が定義できます。従って、この集合は「乗法群」になり、${\mathbb{F}}_p^{\ast }$ と表記します。ちなみに "群（group）" とは、何らかの二項演算 $\times$ があって、

（結合則）	$\left(a\times b\right)\times c=a\times \left(b\times c\right)$
（単位元）	$a\times 1=1\times a=a$ となる元 $1$ が存在
（逆元）	$a\times b=b\times a=1$ となる $b$ が、任意の $a$ について存在

の３つの条件を満たす、"演算が定義された集合" です。以降の記述は、すべて乗法群 ${\mathbb{F}}_p^{\ast }$ での演算とします。従って $\equiv$ は $=$ と書き、$\left(modp\right)$ は記述しません。

---

11. 位数（order）

---

${\mathbb{F}}_p^{\ast }$ における冪べき乗がどうなっているか、その例として ${\mathbb{F}}_{13}^{\ast }$ で計算してみます。まず、フェルマの小定理（3.1）により、${\mathbb{F}}_{13}^{\ast }$ の元 $a$ について、

$a^{12}=1$

が成り立ちます。つまり、すべての元は $12$ 乗すると $1$ になる。では、冪乗が $1$ になるためには必ず $12$ 乗しなければならないのでしょうか。ためしに $5$ の冪乗を（${\mathbb{F}}_{13}^{\ast }$ で）計算してみると、

$\begin{array}{ll}{5}^1& =5\\ 5^2& =12\\ 5^3& =8\\ 5^4& =1\\ 5^5& =5\\ 5^6& =12\\ 5^7& =8\\ 5^8& =1\\ 5^9& =5\\ 5^{10}& =12\\ 5^{11}& =8\\ 5^{12}& =1\end{array}$

となって、$5^4$ で $1$ になり、あとはそれが繰り返えされて、$5^{12}$ に至ってフェルマの小定理が示す $1$ になることがわかります。一方、$2$ の冪乗は、

$\begin{array}{ll}{2}^1& =2\\ 2^2& =4\\ 2^3& =8\\ 2^4& =3\\ 2^5& =6\\ 2^6& =12\\ 2^7& =11\\ 2^8& =9\\ 2^9& =5\\ 2^{10}& =10\\ 2^{11}& =7\\ 2^{12}& =1\end{array}$

となり、フェルマの小定理が示す $a^{12}=1$ より小さな冪乗では $1$ になりません。この "冪乗に関する元の振る舞いの違い" が以降のテーマです。

位数の定義

"冪乗に関する元の振る舞いの違い" を表すために、${\mathbb{F}}_p^{\ast }$ の各元に対して「位数（order）」を定義します。

11.1	位数の定義
${\mathbb{F}}_p^{\ast }$ の元 $a$ について、 $a^k=1$ となる最小の $k$ を $a$ の "位数（order）" と言う。

フェルマの小定理により $a^{p-1}=1$ であることが保証されているので、すべての元について何らかの位数が定義できます。先ほどの ${\mathbb{F}}_{13}^{\ast }$ の例だと、

$5$ の位数は $4$
$2$ の位数は $12$

です。位数になりうる数は、最小 $1$（$a=1$ の場合）、最大 $\left(p-1\right)$ の間で、次のようになります。

11.2	位数がとりうる値
$d$ が ${\mathbb{F}}_p^{\ast }$ のある元の位数とすると、$d$ は $\left(p-1\right)$ の約数である。

なぜなら、元 $a$ の位数が $d$ であるとき、$a$ の冪乗を順々に作っていくと $d$ 乗ごとに $1$ になります。一方、フェルマの小定理によって $a$ の $\left(p-1\right)$ 乗は必ず $1$ になるので、$d$ が $\left(p-1\right)$ の約数でないと矛盾が生じます。つまり、位数のバリエーションは $\left(p-1\right)$ の約数の個数しかありません。

このことは直感的理解が可能ですが、次の命題はステップを踏んだ証明が必要です。

位数が $d$ の元の個数

11.3
$\left(p-1\right)$ の約数の一つ $d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元があったとすると、位数 $d$ の元は $\phi \left(d\right)$ 個ある。$\phi \left(d\right)$ はオイラー関数。

これは、$\left(p-1\right)$ の約数 $d$ について、$d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元が $\phi \left(d\right)$ 個あることを主張するものではありません。そうではなく、もし位数 $d$ の元があったとしたら、そのような元は $\phi \left(d\right)$ 個あると言っています。11.3 を証明するために、位数 $d$ の元 $a$ があったとして、その $a$ の冪乗からなる次の数列を作ってみます。

$a^1\text{, }{a}^2\text{, }{a}^3\dots a^d\left(=1\right)$

以降、これを、

$a^k\left(1\le k\le d\right)$

と表記し、この $d$ 個の数列の性質を調べます。

11.3a
$a^k\left(1\le k\le d\right)$ の $d$ 個の元はすべて異なる。

$1\le i\text{, }j\le d$ として、もし

$a^j=a^i$

となったとします。両辺を $a^i$ で割ると（＝ $a^i$ の逆元を乗算すると）、

$a^{j-i}=1$

となりますが、$\left(j-i\right)<d$ なので、これは「$a$ 冪乗が $1$ になる最小の冪数が $d$」という位数の定義に反します。従って $a^k\left(1\le k\le d\right)$ はすべて異なっています。

11.3b
$a^k\left(1\le k\le d\right)$ の $d$ 個の元は、すべて $d$ 乗 すると $1$ になる。

これは ${\left(a^k\right)}^d={\left(a^d\right)}^k=1$ ということです。

11.3c
$d$ 乗 すると $1$ になる ${\mathbb{F}}_p^{\ast }$ の元は、$a^k\left(1\le k\le d\right)$ がそのすべてである。

$d$ 乗 すると $1$ になる元は $x^d=1$ という ${\mathbb{F}}_p^{\ast }$ における式を満たします。これはすなわち、有限体 ${\mathbb{F}}_p$ における $d$ 次方程式 $x^d-1=0$ の解です。そして $d$ 次方程式の解は 高々 $d$ 個です。

これは、たとえば $4$ 次方程式 $x^4-1=0$ の解の個数は、実数の範囲で（＝ 実数体での方程式として）$2$ 個（$\pm 1$）であり、複素数の範囲で（＝複素数体での方程式として）$4$ 個（$\pm 1\text{, }\pm i$）であることを言っています。これは加減乗除が定義された "体" であれば言えます。

$a^k\left(1\le k\le d\right)$ は、

・	$d$ 個の、すべてが相異なる元であり（11.3a）
・	$d$ 乗すれば $1$（11.3b）

でした。このような元は ${\mathbb{F}}_p^{\ast }$ の中に高々 $d$ 個しかありません。従って、$d$ 乗 すると $1$ になる ${\mathbb{F}}_p^{\ast }$ の元は $a^k\left(1\le k\le d\right)$ の $d$ 個がそのすべてということになります。

11.3d
${\mathbb{F}}_p^{\ast }$ において位数 $d$ の元 $a$ があったとしたら、それは $a^k\left(1\le k\le d\right)$ の中に含まれている。

位数 $d$ の元は $d$ 乗すると $1$ になります。一方、11.3c より $d$ 乗すると $1$ になる元は $a^k\left(1\le k\le d\right)$ がそのすべてです。つまり位数 $d$ の元があったとしたら、それは $a^k\left(1\le k\le d\right)$ に含まれることになります。

これはもちろん、$a^k\left(1\le k\le d\right)$ のすべての元の位数が $d$ ということではありません。各元の位数は $d$ かもしれないが、そうでない（＝ 位数が $d$ より小さい）かもしれない。ここで、$a^k\left(1\le k\le d\right)$ の各元の位数は次のように分類できます。

11.3e
$gcd\left(j,d\right)\ne 1$ である $$ j$\left(1\le j\le d\right)$ をとると、$a^j$ の位数は $d$ より小さい。

$gcd\left(j,d\right)=c>1$ とします。すると、２つの数 $s$ と $t$ を選んで、

$$\begin{gathered} j=cs\left(s<j\right) \\ d=ct\left(t<d\right) \end{gathered}$$

と書き表せます。ここで、$a^j$ の $t$ 乗をとると、

${\left(a^j\right)}^t=a^{cst}={\left(a^d\right)}^s=1$

となり、$a^j$ の位数は $t$ 以下であることが分かりますが、$t<d$ だったので、$a^j$ の位数は $d$ より小さいことになります。

11.3f
$gcd\left(j,d\right)=1$ である $$ j$\left(1\le j<d\right)$ をとると、$a^j$ の位数は $d$ である。

${\left(a^j\right)}^k\left(1\le k\le d\right)$ がどうなるかを調べます。まず、$k=d$ のときは、11.3b により ${\left(a^j\right)}^k=1$ です。

次に $1\le k<d$ の場合ですが、このとき $jk$ は $d$ の倍数とはなりません。なぜなら、もし $d$ の倍数だとすると $d|\left(jk\right)$ ですが、$j$ と $d$ は互いに素なため、1.3a により $d|k$ となって矛盾が生じるからです。従って、ある数 $s$ と $t$ を選んで。

$jk=td+s\left(0<s<d\right)$

と表すことができます。そうすると、

$$\begin{gathered} {\left(a^j\right)}^k=a^{td+s} \\ \phantom{{\left(a^j\right)}^k}={\left(a^d\right)}^t·a^s \\ \phantom{{\left(a^j\right)}^k}=a^s\ne 1 \end{gathered}$$

となります。$s<d$ なので位数の定義により $a^s$ は $1$ にはならないのです。まとめると、

$$\begin{gathered} {\left(a^j\right)}^k\ne 1\left(1\le k<d\right) \\ {\left(a^j\right)}^k=1\left(k=d\right) \end{gathered}$$

となり、定義により $a^j$ の位数は $d$ です。結局、11.3e と 11.3f により、次のことが分かります。

11.3g
$a^k\left(1\le k\le d\right)$ の中には 位数 $d$ の元が $\phi \left(d\right)$ 個ある。

11.3e と 11.3f により、$gcd\left(j,d\right)=1$ である $$ j$\left(1\le j<d\right)$ の場合だけ（＝ $j$ が $d$ と素なときだけ）$a^j$ の位数は $d$ であり、それ以外の $a^j$ の位数は $d$ より小さいことが分かりました。オイラー関数の定義から、$d$ 以下で $d$ と素な数は $\phi \left(d\right)$ 個です。つまり 11.3g が成り立ちます。

---

以上の 11.3d と 11.3g、つまり、

11.3d

${\mathbb{F}}_p^{\ast }$ において位数 $d$ の元 $a$ があったとしたら、それは $a^k\left(1\le k\le d\right)$ の中に含まれる。

11.3g

$a^k\left(1\le k\le d\right)$ の中には 位数 $d$ の元が $\phi \left(d\right)$ 個ある。

の２つから、

11.3

$\left(p-1\right)$ の約数の一つ $d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元があったとすると、位数 $d$ の元は $\phi \left(d\right)$ 個ある。

が証明できました。

---

ここまでの考察を次のようにまとめることができます。

・	${\mathbb{F}}_p^{\ast }$ の各元の位数は $\left(p-1\right)$ の約数である（11.2）
・	位数 $d$ の元の個数は $\phi \left(d\right)$ か $0$ である（11.3）。

ここで 位数 $d$ の元の個数を $\#ord\left(d\right)$ と書くことにします。$\#ord\left(d\right)=\phi \left(d\right)$、もしくは $\#ord\left(d\right)=0$ です。$d$ は $\left(p-1\right)$ の約数 のどれかでした。この記号を使うと次の通りとなります。

11.4
${\displaystyle \sum _{d|\left(p-1\right)}}\#ord\left(d\right)=p-1$ ・  $\#ord\left(d\right)$ は位数 $d$ の元の個数で、$\phi \left(d\right)$ か $0$ のとちらか。 ・  $d|\left(p-1\right)$ は、$\left(p-1\right)$ を割り切る $d$（＝ $p-1$ の約数である $d$）の全部についての総和をとる意味。

${\mathbb{F}}_p^{\ast }$ の元のすべてに位数が定義できます。ということは ${\mathbb{F}}_p^{\ast }$ の元を位数によってグループに分類できます。従って、各グループの元の個数の総和をとると、${\mathbb{F}}_p^{\ast }$ の元の個数である $p-1$ になる。11.4 の総和の式はそのことを言っています。

---

そこで次に、$\left(p-1\right)$ の個々の約数 $d$ について $\#ord\left(d\right)$ が $\phi \left(d\right)$ か $0$ かが問題になりますが、それは次の「オイラー関数の総和定理」から分かります。

オイラー関数の総和定理

11.5	オイラー関数の総和
$N$ を任意の自然数とするとき、 ${\displaystyle \sum _{d|N}}\phi \left(d\right)=N$ が成り立つ。$d|N$ は $N$ の約数 $d$ すべてについての総和をとる。

この "総和定理" は、特に ${\mathbb{F}}_p^{\ast }$ や位数とは関係がなく、自然数一般についての定理です。この定理を証明する前提として、次の２つに注意します。まず、２つの自然数 $a$ と $b$ の最大公約数を $gcd\left(a,b\right)$ とすると、

${\displaystyle \frac{a}{gcd\left(a,b\right)}}$ と ${\displaystyle \frac{b}{gcd\left(a,b\right)}}$ は互いに素

です。これは最大公約数の定義そのものであり、そういう風に決めたのが最大公約数でした。２番目に、$N$ の約数の一つが $a$ だとすると $N=a·b$ と表せますが、当然、$b$ も $N$ の約数の一つです。いま、$N$ が $r$ 個の約数をもつとします。すると、

$a_i\left(1\le i\le r\right)$ が $N$ のすべての約数であれば、$b_i={\displaystyle \frac{N}{a_i}}\left(1\le i\le r\right)$ も $N$ のすべての約数であり、つまり $b_i$ は $a_i$ を並び替えたものである

と言えます。この２つを前提に、まず $N=12$ の場合で考えます。いま、$1$ から $12$ の $12$ 個の整数を「$12$との最大公約数で分類する」ことを考えます。$12$ の約数 $d$ は、$1$、$2$、$3$、$4$、$6$、$12$ の $6$ つです。従って $1$ から $12$ の数を、$S_1,S_2,S_3,S_4,S_6,S_{12}$ の $6$ つのグループに分類します。すると各グループに含まれる整数は、

$\begin{array}{ll}{S}_1& =[ 1,5,7,11 ]\\ S_2& =[ 2,10 ]\\ S_3& =[ 3,9 ]\\ S_4& =[ 4,8 ]\\ S_6& =[ 6 ]\\ S_{12}& =[ 12 ]\end{array}$

となります。いま、各グループに含まれる整数の個数を ${\mathrm{\#S}}_d$ で表して、各グループの個数がどうなるかを見ていきます。まず、

${\mathrm{\#S}}_1=\phi \left(12\right)$

です。$S_1$ に含まれるのは、$12$との最大公約数が $1$ の整数（＝ $12$ と素な整数）なので、オイラー関数の定義により ${\mathrm{\#S}}_1$ は $\phi \left(12\right)=4$ です。

次に、$S_2$ に含まれる整数 $[ 2,10 ]$を、$12$ との最大公約数の $2$ で割り算した $[ 1,5 ]$ を考えると、これらの整数は $12$ を $2$ で割り算した $6$ と互いに素です。これは上に書いたように最大公約数の定義そのものです。従って、

${\mathrm{\#S}}_2=\phi \left(6\right)$

となります。同様にして、残りのグループについては、

$\begin{array}{ll}{\mathrm{\#S}}_3& =\phi \left(4\right)\\ {\mathrm{\#S}}_4& =\phi \left(3\right)\\ {\mathrm{\#S}}_6& =\phi \left(2\right)\\ {\mathrm{\#S}}_{12}& =\phi \left(1\right)\end{array}$

となります。$S_d$ は $12$個 の整数を分類したものだったので、そこに含まれる整数の総数は $12$ です。これにより、

$$\begin{gathered} \phi \left(12\right)+\phi \left(6\right)+\phi \left(4\right)+ \\ \phi \left(3\right)+\phi \left(2\right)+\phi \left(1\right)=12 \end{gathered}$$

が証明できました。これを総和の記号で書くと、

${\displaystyle \sum _{d|12}}\phi \left(d\right)=12$

です。

---

以上の説明では $N=12$ としましたが、$12$ という数に特別な意味はありません。従って、一般の $N$ の場合にも同様に証明ができます。

$N$ が $r$ 個の約数をもつとし、それらを $a_i\left(1\le i\le r\right)$ とします。集合 $S$ の元を $1$ から $N$ の 整数 $N$ 個とし、これらの $S$ の元を「$N$ との最大公約数で $r$ 個の部分集合に分ける」ことを考えます。つまり、$S$ の部分集合 $S_i\left(1\le i\le r\right)$ を、

$S_i$：$N$ との最大公約数が $a_i$ である $S$ の元の集合

とします。このとき $S_i$ の任意の元を $k$ とすると、最大公約数の定義により、

${\displaystyle \frac{k}{a_i}}$ は ${\displaystyle \frac{N}{a_i}}$ と互いに素

になります。そもそも、そのような元 $k$ を集めたのが $S_i$ なのでした。このことから、

$S_i$ の元の個数は、${\displaystyle \frac{N}{a_i}}$ と素である $S$ の元の個数

ということになります。$S_i$ の元の個数を ${\mathrm{\#S}}_i$ と書くと、

${\mathrm{\#S}}_i=\phi \left({\displaystyle \frac{N}{a_i}}\right)$

になります。ここで $b_i$ を、

$b_i={\displaystyle \frac{N}{a_i}}\left(1\le i\le r\right)$

と定義すると、

${\mathrm{\#S}}_i=\phi \left(b_i\right)$

となりますが、上に書いたように、この $b_i$ は $r$ 個の $N$ の約数のすべてであり、つまり $a_i$ を並び替えたものです。

ここで上式の両辺の $1$ から $r$ までの総和をとります。まず左辺の総和ですが、$S_i$ は $S$ を分類したものだったので、${\mathrm{\#S}}_i$ の総和は $S$ の元の総数である $N$ と等しくなります。つまり左辺の総和は、

${\displaystyle \sum _{i=1}^r}{\mathrm{\#S}}_i=N$

です。一方、右辺の総和は、

$\begin{array}{ll}{\displaystyle \sum _{i=1}^r}\phi \left(b_i\right)& ={\displaystyle \sum _{i=1}^r}\phi \left(a_i\right)\\ & ={\displaystyle \sum _{d|N}}\phi \left(d\right)\end{array}$

です。以上の左辺と右辺の総和が等しいことにより、11.5 の

${\displaystyle \sum _{d|N}}\phi \left(d\right)=N$

が証明できました。

位数 $d$ の元の存在定理

11.5 の "オイラー関数の総和定理" と 11.4 を合わせると、次の命題が証明できます。

11.6
${\mathbb{F}}_p^{\ast }$ において、$\left(p-1\right)$ の約数 $d$ のすべてについて位数 $d$ をもつ元が存在し、その個数は $\phi \left(d\right)$ 個である。

11.4 を振り返ってみると、

${\displaystyle \sum _{d|\left(p-1\right)}}\#ord\left(d\right)=p-1$

・	$\#ord\left(d\right)$ は位数 $d$ の元の個数で、$\phi \left(d\right)$ か $0$

でした。しかし 11.5 のオイラー関数の総和定理で $N=p-1$ とおくと、

${\displaystyle \sum _{d|\left(p-1\right)}}\phi \left(d\right)=p-1$

となります。これが何を意味するかというと、

${\mathbb{F}}_p^{\ast }$ においては、$\left(p-1\right)$ の約数 $d$ のすべてについて、位数 $d$ をもつ元の個数が $0$ になることはない。位数 $d$ をもつ元の個数は $\phi \left(d\right)$ 個である

ということです。ある位数 $d$ をもつ元の個数が $0$ だとするとオイラーの総和定理（11.5）が成り立たなくなるからです。位数 $d$ をもつ元の個数は $\phi \left(d\right)$ 個しかあり得ない。つまり、$\#ord\left(d\right)=\phi \left(d\right)$ です。これで 11.6 の証明ができました。この 11.6 から生成元の存在が証明でき、その個数が分かります。

---

12. 生成元と離散対数

---

11.6 からすぐに、次の「生成元の存在定理」が成り立ちます。

12.1	生成元の存在
${\mathbb{F}}_p^{\ast }$ においては、位数が $\left(p-1\right)$ の元 $g$ が $\phi \left(p-1\right)$ 個存在する。 $g^k\left(1\le k\le p-1\right)$ はすべて相違し、総数が $\left(p-1\right)$ 個である ${\mathbb{F}}_p^{\ast }$ の元のすべてを尽くす。 $g$ を ${\mathbb{F}}_p^{\ast }$ の生成元（generator）と呼ぶ。

11.6 によると、$\left(p-1\right)$ の約数 $d$ のすべてについて位数 $d$ をもつ元が存在します。$\left(p-1\right)$ の約数の一つが $\left(p-1\right)$ なので、位数が $\left(p-1\right)$ の元が必ず存在します。これが生成元で、その個数は $\phi \left(p-1\right)$ です。

生成元は原始根（primitive root）とも言います。「11. 位数（order）」の最初に書いた例だと、${\mathbb{F}}_{13}^{\ast }$ において $2$ の位数は $12$ であり、生成元（の一つ）なのでした。計算してみると $6$、$7$、$11$ も生成元で、${\mathbb{F}}_{13}^{\ast }$ の生成元の個数は、合計 $\phi \left(12\right)=4$ です。

とにかく、${\mathbb{F}}_p^{\ast }$ の任意の元（＝ $1$ から $p-1$ の元）は生成元 $g$ の冪乗で表現でるきるわけです。つまり、次が成り立ちます。

12.2	離散対数
$g$ を ${\mathbb{F}}_p^{\ast }$ の生成元とする。${\mathbb{F}}_p^{\ast }$ の任意の元 $a$ について、 $g^b=a$ となる元 $b$ が一意に定まる。$b$ を $a$ の離散対数と呼び、 ${log}_g$ a$=b$ で表す。$g$ は離散対数の "底" である。

対数は普通、実数で定義されるものですが、${log}_g$ a$$ はそれと同等のことを整数で定義しています。実数は連続値ですが、整数は離散値をとります。そのため「離散対数」の呼び名があります。

実数の対数を計算する手法はいろいろありますが（初等的にはマクローリン級数など）、離散対数を計算する効率的手法は知られていません。特に、${\mathbb{F}}_p^{\ast }$ において $p$ が巨大な素数だと、実質的に計算が不可能になります。ここが、ディフィー・ヘルマンの鍵共有が成り立つ原理です。ディフィー・ヘルマンの鍵共有を、振り返ってみると次の通りです。まず、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は小さな生成元

のペアを「皆が使う公開鍵」として公開しておきます。演算は ${\mathbb{F}}_p^{\ast }$ で行います。$A$ さんと $B$ さんが秘密鍵を共有したい場合、

$A$ は $1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a$ を $A$ の公開鍵として（盗聴されている通信路を介して） $B$ に送付

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。次に同様に、

$B$ は $1<b<\left($ p$-1\right)$ である乱数 $b$ を発生させ、$g^b$ を $B$ の公開鍵として（盗聴されている通信路を介して） $A$ に送付

します。もちろん $b$ は秘匿します。そして、

$A$ は $G_a={\left(g^b\right)}^a$ を共有の秘密鍵

$B$ は $G_b={\left(g^a\right)}^b$ を共有の秘密鍵

とします。この作り方から $G_a=G_b$ となるので、秘密鍵 $G=g^{ab}$を共有できたことになり、以降はこれを使って暗号化通信を行います。$g$ が生成元であるため、$g^a$ や $g^b$ は、

$1<g^a\text{, }{g}^b<\left(p-1\right)$ の範囲に "バラける"

ことになります。「$g$ は小さな生成元」と書きましたが、生成元はたくさんあり（$\phi \left(p-1\right)$ 個もある！）、${\mathbb{F}}_{13}^{\ast }$ の場合のように $2$ が生成元となる場合が多い。その場合は $g=2$ として問題ありません（小さい生成元の方が実用的には冪剰余を計算しやすい。特に $2$）。生成元として $2$ を選んだとしても、巨大な数で冪乗をすると結果が "バラける" ことが数学的に保証されているからです。

離散対数を計算する効率的な手法は知られていないため、$p$ が 10進数で数百桁とか1000桁以上の数だと、$g^a$ や $g^b$ から $a$ や $b$ を知ることが実質的に不可能になります。これがディフィー・ヘルマンの鍵共有の原理です。

---

13. 生成元を使った暗号化通信

---

ディフィー・ヘルマンの鍵共有の原理を暗号化通信に使うこともできます（ElGamal 暗号）。まず、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は生成元

のペアを「皆が使う公開鍵」として公開しておきます。以下の演算はすべて ${\mathbb{F}}_p^{\ast }$ で行います。$B$ さんから $A$ さんにメッセージを暗号化して送りたい場合、次のようにします。平文を $\mathbb{P}$、暗号文を $\mathbb{C}$ とします。

$A$ は $1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a$ を $A$ の公開鍵として $B$ に送付、ないしは公開

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。$B$ がメッセージ $\mathbb{P}$ を暗号文にして $A$ に送る場合、

$B$ は（暗号文を送るたびに）$1<k<\left($ p$-1\right)$ である乱数 $k$ を発生させ、$\mathbb{C}=\left(g^k\text{, }\mathbb{P}·g^{ak}\right)$ を生成して $A$ に送付

します。$\mathbb{C}$ を受け取ると、

$A$ は $g^k$ と自分の秘密鍵 $a$ から $g^{ak}$ を計算できます。これを使ってメッセージ $\mathbb{P}$ を復号化

します。複号化は $g^{ak}$ の逆数（逆元）を乗算しますが、No.310 の「拡張ユークリッドの互除法」の 2.3a に書いたように、逆数の計算はたとえ $g^{ak}$ や $p$ が巨大数であっても効率的に可能です。

この暗号では暗号文を $\mathbb{P}·g^{ak}$ というようにシンプルに作っているので、$B$ はメッセージを送るたびに「１回限りの秘密鍵」である $k$ をランダムに発生させる必要があります。$B$ が自分の秘密鍵 $b$ と公開鍵 $g^b$ を持っていたとしても、それとは別にする必要がある。$k=b$ というように固定的にすると、複数の暗号文から盗聴者に容易に $g^{ab}$ を知られてしまいます。

これは「離散対数暗号」と呼ばれているものの一つの例ですが、ディフィー・ヘルマンの鍵共有と、暗号文の伝達を同時に行うものと言えます。

---

14. 生成元であることの証明

---

「ディフィー・ヘルマンの鍵共有」や「離散対数暗号」を実現するためには、巨大な素数 $p$ に対する ${\mathbb{F}}_p^{\ast }$ の生成元（のどれか）を知らなければなりません。これはどのように可能でしょうか。まず、

・	生成元は位数が $\left(p-1\right)$ の元であり 12.1
・	位数は $\left(p-1\right)$ の約数に限られる 11.2

ので、$\left(p-1\right)$ の素因数分解ができたとすると約数が分かり、位数の候補がリストアップできます。

一般に $d$ が 元 $a$（$\ne 1$。以降、$a\ne 1$ とします）の位数であることの証明は手間がかかります。$a$ の $d$ 乗が $1$ になったとしても $d$ が $a$ の位数だとは限りません。$d$ よりも小さな数 $e$ で $a^e=1$ となるかもしれないからです。しかし、$d$ が $a$ の位数ではないことは簡単に証明できます。

$a^d\ne 1$

を示せばよいからです。従って、$a$ が ${\mathbb{F}}_p^{\ast }$ の生成元であることを示すためには、$\left(p-1\right)$ の約数のうち $\left(p-1\right)$ 以外のすべての約数 $d$ について、$a^d\ne 1$ であることを示せればよい。すると消去法で、$a$ の位数は $\left(p-1\right)$ になります。この考えに基づき、簡単のために ${\mathbb{F}}_{73}^{\ast }$ で考えると、

$p-1=72=2^3·3^2$

なので $\left(p-1\right)$ の約数は $1$ と $72$ を含めて $4\times 3=12$ 個あります。従って $72$ と $1$ を除いた $10$ 個の約数 $d$ について

$a^d\ne 1$

であれば、$a$ の位数は $72$ しかありえず、$a$ は ${\mathbb{F}}_{73}^{\ast }$ の生成元です。しかし実は、これでは「計算のやりすぎ」になります。この場合、

$$\begin{gathered} a^{24}\ne 1 \\ {a}^{36}\ne 1 \end{gathered}$$

の２つだけが成り立てば、$a$ の位数は $72$ になります。なぜかというと、一般に次の命題が成立するからです。

14.1
${\mathbb{F}}_p^{\ast }$ において、$d$ が $a$ の位数ではないとすると、$d$ の任意の約数 $e$ も $a$ の位数ではない。

$e$ が $d$ の約数だとすると、ある数 $k$ があって $d=ke$ と表せます。このとき、

$a^e=1$ であるなら
$a^d=a^{ke}={\left(a^e\right)}^k=1$

です。このことの対偶をとると

$a^d\ne 1$ であるなら
$a^e\ne 1$

となり、これはつまり、

$d$ が $a$ の位数でないなら、$d$ の任意の約数 $e$ も $a$ の位数ではない

ことを意味します。$p-1=72$ の場合、$72$ を除く $72$（$=2^3·3^2$）の約数は、すべて $24$（$=2^3·3^1$） か $36$（$=2^2·3^2$）のどちらかの（あるいは両方の）約数になります。従って、

$$\begin{gathered} a^{24}\ne 1 \\ {a}^{36}\ne 1 \end{gathered}$$

が示せれば、$72$ を除く $72$ のすべての約数 $d$ について、

$a^d\ne 1$

となり、$d$ は $a$ の位数ではありません。この結果、$a$ の位数は $72$ しかあり得ず、$a$ は ${\mathbb{F}}_{73}^{\ast }$ の生成元であることになります。以上の考察を一般化すると、次の命題が成立します。

14.2
$p$ を素数とし、$\left(p-1\right)$ の素因数分解を、$q_i\left(1\le i\le r\right)$ を素因数として、 $p-1={q_1}^{{\alpha }_1}{q_2}^{{\alpha }_2}\dots {q_r}^{{\alpha }_r}$ と表す。ここで、 $m_i={\displaystyle \frac{p-1}{q_i}}$ とおくと、もし $1$ から $r$ までのすべての $i$ について、 $g^{m_i}\ne 1\left(1\le i\le r\right)$ が成り立つなら、$g$ は ${\mathbb{F}}_p^{\ast }$ の生成元である。

$\left(p-1\right)$ の約数で、$\left(p-1\right)$ 以外の任意の約数を $d$ とし、

$d={q_1}^{{\beta }_1}{q_2}^{{\beta }_2}\dots {q_r}^{{\beta }_r}$

と表します。ここで ${\beta }_i$ は、

$0\le {\beta }_i\le {\alpha }_i\left(1\le i\le r\right)$

です。そうすると、$d$ は $\left(p-1\right)$ 以外の $\left(p-1\right)$ の約数なので、

$d$ の素因数分解の中には、${\beta }_k<{\alpha }_k$ となる $k\left(1\le k\le r\right)$ が少なくとも１つある

ことになります。なぜなら、もしそのような $k$ がなければ $d=p-1$ だからです。そのような $k$ について、命題 14.2 で定義した、

$m_k={\displaystyle \frac{p-1}{q_k}}$

に着目すると、$d$ は $m_k$ の約数になります。なぜなら、$d$ と $m_k$ の「素因数ごとの冪乗数」を比較してみると、

${\beta }_i\le {\alpha }_i\left(1\le i\le r\text{, }i\ne k\right)$
${\beta }_k\le {\alpha }_k-1$ （仮定により ${\beta }_k<{\alpha }_k$ だから）

であり、$d$ のすべての素因数の冪乗数は $m_k$ の素因数の冪乗数以下です。つまり $m_k$ は $d$ で割り切れ、$d$ は $m_k$ の約数ということになります。

一方、命題 14.2 の仮定により、

$g^{m_k}\ne 1$

なので $m_k$ は $g$ の位数ではありません。従って、$m_k$ の約数である $d$ も 14.1 により $g$ の位数とはなりません。

$d$ は $\left(p-1\right)$ 以外の任意の $\left(p-1\right)$ の約数でした。ということは、$\left(p-1\right)$ 以外の $\left(p-1\right)$ の約数は $g$ の位数ではない。つまり消去法で、$g$ の位数は $\left(p-1\right)$ であり、$g$ は ${\mathbb{F}}_p^{\ast }$ の生成元であることが証明されました。

実際に生成元を求める

${\mathbb{F}}_p^{\ast }$ の元 $g$ をとったとき、それが生成元かどうかは 14.2 によって確かめることができます。しかしここで問題は、実用的なディフィー・ヘルマンの鍵共有では $p$ が巨大な素数であり、$\left(p-1\right)$ の素因数分解が実質的に不可能なことです。巨大数の素因数分解が困難なことは、まさにRSA暗号（No.310-311「高校数学で理解するRSA暗号の数理」）が成立する根拠でした。

そこで実際に生成元を求めるためには、$p$ を "作為的に" 決める必要があります。まず前提となるのは、ある数 $p$ が素数であるかどうかの判定法は種々あって（ミラー = ラビン素数判定法、など）、$p$ が巨大数であっても判定可能なことです。この前提のもとに、簡単な方法の例を一つあげますと、次の関係にあるような３つの数 $p$、$q$、$e$ を決めます。

$p=eq+1$

・	$p$、$q$ は巨大素数
・	$e$ は小さな偶数

$p$ と $q$ は10進数で数百桁から1000桁以上の巨大素数（＝ 奇数）、$e$ はたとえば$100$ 以下の（もっと絞れば $10$ 以下の）偶数です。具体的には、まず $q$ をランダムに選んで素数判定をし、素数であれば 次に $e$ を選んで $p$ が素数かどうかを判定するというプロセスになります。

こうすると $\left(p-1\right)$ の素因数分解は簡単にできるので、${\mathbb{F}}_p^{\ast }$ の任意の元 $g$ が生成元かどうかは 14.2 で判定できます。具体的には $g=2$ から始めて 順次 $g$ を増やしていって生成元を探索することになるでしょう。

以上は一つの例ですが、実際に実務で使う $p$ と $g$ については $g=2$ であると、コンピュータによる計算上、都合がよいわけです。従って、$2$ が生成元になる前提で $p$ を探索することになるでしょう。

ちなみに、現在、ディフィー・ヘルマンの鍵共有が実際に使われている例をあげておきます。インターネットを介してリモートのコンピュータ同士が安全に通信するための SSH（Secure Shell）という規格がありますが、そこで使われている公開鍵の一つ "diffie-hellman-group14-sha1"（2048ビットの素数と生成元）は次です。この値はインターネットの規格文書（RFC）に記載されています（RFC3526）。16進数表示ですが、10進数では約600桁の数字です。

diffie-hellman-group14-sha1 [2048bit]

p =
FFFFFFFF FFFFFFFF C90FDAA2 2168C234
C4C6628B 80DC1CD1 29024E08 8A67CC74
020BBEA6 3B139B22 514A0879 8E3404DD
EF9519B3 CD3A431B 302B0A6D F25F1437
4FE1356D 6D51C245 E485B576 625E7EC6
F44C42E9 A637ED6B 0BFF5CB6 F406B7ED
EE386BFB 5A899FA5 AE9F2411 7C4B1FE6
49286651 ECE45B3D C2007CB8 A163BF05
98DA4836 1C55D39A 69163FA8 FD24CF5F
83655D23 DCA3AD96 1C62F356 208552BB
9ED52907 7096966D 670C354E 4ABC9804
F1746C08 CA18217C 32905E46 2E36CE3B
E39E772C 180E8603 9B2783A2 EC07A28F
B5C55DF0 6F4C52C9 DE2BCBF6 95581718
3995497C EA956AE5 15D22618 98FA0510
15728E5A 8AACAA68 FFFFFFFF FFFFFFFF

g = 2

---

ディフィー・ヘルマンの鍵共有の安全性ですが、離散対数問題を効率的に解くアルゴリズムはないと、数学的に証明されているわけではありません。ただ、RSA暗号の根拠になっている素因数分解のアルゴリズムと同じように、こういった数論の極めて基本的で、昔からある普遍的な問題は、世界の多くの数学者が関わってきています。それでも効率的に解くアルゴリズムは知られていません。ブログのタイトルを「高校数学で理解する」とましたが、そのような基礎的な数学しか使っていないからこそ暗号が成り立っている。そう言えると思います。

---

ディフィー・ヘルマンの鍵共有は公開鍵暗号の発端となったものですが、上にあげたように現在でも使われています（DHと略記される）。ただ、公開鍵暗号の優秀性は、「解読の困難性」と「暗号化・複号化計算の容易性」という二律背反の要求をいかに両立させるかにあります。その意味で、ディフィー・ヘルマン以降、各種の公開鍵暗号が開発されてきました。離散対数問題を使った暗号で言うと、よく使われるのは "楕円暗号（楕円曲線暗号）" です。これは「楕円曲線上の有理点がつくる "加法群" での離散対数問題」を利用した暗号です。しかし基本的な考え方はディフィー・ヘルマンの鍵共有と同じです。その意味で、公開鍵暗号の発端となった発明の意義は、今も続いているのでした。

---

まとめ

---

以上の 「ディフィー・ヘルマンの鍵共有」をまとめると、次のようになるでしょう。

◆	公開鍵暗号の発端となった "ディフィー・ヘルマンの鍵共有" は、離散対数問題を解く困難さ（＝実質的に不可能）を根拠とする暗号である。
◆	"ディフィー・ヘルマンの鍵共有" は、有限体（乗法群）やその生成元の存在など、数論の基本のところをベースにできている。
◆	RSA暗号（No.310-311）から通して振り返ってみると、そこでの前提知識は加減乗除と冪乗のルール程度であり、そこから論理を積み重ねていって公開鍵暗号の成立性が証明できる。つまり高校数学程度の知識があれば十分理解できる。

No.310-311 のRSA暗号と同じく、この最後の点がこの記事の目的なのでした。

---

---

タグ：素数 オイラー関数 RSA暗号 公開鍵暗号 冪乗 ディフィー・ヘルマンの鍵共有 有限体 乗法群 位数 オイラー関数の総和 生成元 逆元 離散対数 楕円曲線暗号

No.312 - ダブル・レインボー

先日、新聞を読んでいたらダブル・レインボー（二重の虹。二重虹）のことが出ていました。そして、以前にこのブログで引用した絵画を思い出しました。今回はそのことを書きます。

---

二重の虹

---

まず、ダブル・レインボーについて書かれた朝日新聞の記事を引用します。以降の引用において下線は原文にはありません。

5分間の奇跡　ダブルレインボー 朝日新聞 2021年4月8日(木）夕刊 奈良の里山にかかった二重の虹。第３７回「日本の自然」写真コンテスト（全日本写真連盟など主催）の入選作＝山本一朗さん撮影 虹が二重にかかる「ダブルレインボー」。豊富な水滴や強い太陽光などの条件がそろわないとめったにお目にかかれないため、幸運の象徴とも言われる珍しい現象だ。 大阪府の全日本写真連盟会員、山本一朗さん（75）は、祭りの撮影に訪れた奈良県天理市の里山で、雨宿り中に虹に気づいた。田んぼに駆け出ると、紅白のコブシの頭上に、二重の円弧が橋のようにかかっていた。その時間５分。「一生に一回あるかないか」。びしょぬれになってシャッターを切った。 内側の通常の虹（主虹）が、雨粒の中で太陽光が１回反射して七色の光の帯を見せるのに対し、外側にみえる虹（副虹）は２回反射する。色の並びが内側は赤、外側は紫と、主虹と反対であり、色も薄い。これは反射が１回多いせい。理論上、三重、四重の虹も存在するが、光量が弱く、見ることはできないそうだ。（石倉徹也）

ダブル・レインボーは私も２～３度、見たことがあります。最近では２年ほど前です。早朝、海岸の遊歩道を朝日を背に西に向かって歩いているときに、くっきりと見えました。雨上がりの、湿気のある空気がたちこめている雰囲気だったと記憶しています。

引用した記事には、ダブル・レインボーが見える条件として「豊富な水滴」「強い太陽光」とあります。確かにそうだと思いますが、私の感じではもう一つ条件があって、それは「暗い背景」だと思います。外側の副虹ふくこうは内側の主虹しゅこうに比べて輝度が随分低いわけです。記事にあるように、太陽光が水滴で２回反射するからです。従って、ダブル・レインボーの背景の空（や風景）は、できるだけ暗い方が虹が見えやすい。

私の経験した海岸の遊歩道でも、東の空は雲もなく明るいのに、虹が見える西の空は薄灰色の雲が立ちこめていました。黒雲だともっとはっきりと見えたのでしょう。普通の虹でも背景が重要だと思いますが、輝度が低いダブル・レインボー（の外側の虹）では一層重要である、そう思います。

ともかく、ダブル・レインボーは珍しい現象です。記事の見出しである「5分間の奇跡」の "奇跡" というのは少々言い過ぎだと思いますが、日常生活では滅多にお目にかかれない気象現象なのは確かでしょう。以下にダブル・レインボーが見える原理を示した図を引用しておきます。

ダブル・レインボーが見える原理

光の反射によってできる光線の角度は、主虹（１回反射）が約42度、２回反射した副虹は約51度で、副虹の方が角度が大きい。従って副虹が外側に見える。気象庁の荒木健太郎博士の Twitter より引用した。ちなみに荒木博士は新海誠監督の「天気の子」の気象監修をされた方である（No.271）。

---

このダブル・レインボーで思い出す芸術作品が、パリのオルセー美術館が所蔵しているミレーの『春』という作品です。

---

ジャン = フランソワ・ミレー

---

ジャン = フランソワ・ミレー （1814-1875） 「春」（1868-73）

オルセー美術館 （フランス、パリ）

左上に虹が描かれています。うっかりすると見過ごしそうですが、この虹はダブル・レインボーです。

近景は畑でしょうか。小道があって木立があります。遠方には林が見える。画面の下や左の方は暗いが、近景の半分から向こうの林にまで光が当たっています。雨上がりの光景なのでしょう。遠方の空には、雨を降らせたと思われる黒雲が立ちこめ、空は暗い。その黒雲を背景に、かすかに副虹が見えるダブル・レインボーがかかっています。黒雲の薄暗さが虹を引き立てていて、この雰囲気はダブル・レインボーを実際に見た経験とも合っています。虹の位置関係からすると、背後から強い光があたっているはずです。それは夕日を思わせます。

この絵の題名は『春』なので、春の情景なのでしょう。だけど、何となく幻想的な雰囲気です。手前から遠方に「暗・明・暗」と変化していて、暗と明の世界の同居というか、２つの世界の狭間の光景のような感じがあります。

そして ･･････。

よく見ると、奥の木立のそばに人物が描かれています。さらにもっとよく見ると、空には白い鳥が飛んでいる。これについて三菱一号館美術館の上席学芸員、安井裕雄氏が日本経済新聞にコラムを書いていました。

美の十選・鳥のいる情景 フランス近代絵画より（5） ジャン=フランソワ・ミレー「春」 安井裕雄 三菱一号館美術館 上席学芸員 日本経済新聞 （2021年3月23日） バルビゾン派の画家ミレーは、農民画家と呼ばれる。少なからぬ誤解を招く表現が生き延びているのは、ミレーが描く屋外労働が真に迫っているが為であろう。ノルマンディーの小村グレヴィルの外れの小集落グリュシーに生まれたミレーにとって自然と労働は、身近な存在であった。 パリでの修業を経てミレーはバルビゾンにたどり着く。東にフォンテーヌブローの森、西にはシャイイの平原が控え、豊かな自然にあふれたこの地の厳しい冬、仲間の画家がパリに引き揚げても、ミレーはバルビゾンにとどまった。大地の息吹をとらえたミレーの作品は、豊かな自然の恵みである。 ミレー家の裏には小さな畑があった。風景画家テオドール・ルソーは、裏の畑を通ってやってきたという。前衛的な批評家から高く評価されていたルソーだが、サロンでは不幸な落選を繰り返していた。最後には入選と名誉を手にしたが、ほどなくルソーはミレーの腕の中で息を引き取った。 裏の畑の木の下にいる人物はルソー、空を飛ぶ三羽の白い鳥は、天へと召されていくルソーの魂と解釈される。まもなくミレーの魂も、鳥になって飛び立っていく。 （  1868～73年、油彩、カンバス、86×111センチ、オルセー美術館蔵）

この絵には、うっかりすると見過ごしてしまいそうなアイテムが３つ描かれています。① ダブル・レインボー、② 人物、③ 鳥、の３つです。そして三菱一号館美術館 上席学芸員の安井氏によると、人物はミレーの腕の中で息を引き取ったテオドール・ルソーであり、鳥は天へと召されていくルソーの魂の象徴だというのです。テオドール・ルソーの没年は1867年です（55歳）。つまりこの絵はミレーが、亡くなったルソーの思い出を込めて描いたということになります。

とすると、これは少々複雑な絵です。バルビゾンのミレー家の裏の畑という現実の光景がベースなのだろうけれど、そこに幻想の光景が重ね合わされている。この複雑性が見る人の想像力を刺激するのでしょう。その刺激を受けた一人が黒澤明監督です。

---

黒澤 明

---

ミレーの『春』に触発された映画の一シーンがあります。黒澤明監督（1910-1998）の『夢』（1990）の一場面です。『夢』は８話からなるオムニバス映画で、その第１話が『日照り雨』です。その１シーンがこの映画のポスターになりました。

黒澤明監督作品 「夢」（1990）

近景は美しい花畑で、遠くには暗い山と空、その間をつなぐようにかかる虹、そこに向かうように少年が立っています。このシーンがミレーの『春』へのオマージュです。その『日照り雨』は、次のような話です。

立派な門構えの家から少年が遊びに出ようとしたとき、太陽は出ているのに急に雨が降り出した。少年は母親から「こんな日照り雨の日には狐の嫁入りがある。狐はそれを見られるのが嫌だから、見てしまうと恐ろしいことが起こりますよ」と警告される。

余計に好奇心に駆られた少年は森に分け入り、狐の嫁入りを見てしまう。そして家に帰ったとき、門には母親が恐い顔をして立っていて、少年に短刀を差し出した ･･････。

これを教訓話として考えると「人間は自然を乱すことなく、人間は自然界の掟に従って生きなければならない」ということでしょう。しかしそういう風に考えるよりも、これは黒澤監督の夢の実写化です。"不気味さ・怖さ" と "美しさ" が入り交じった幻想の世界と考えておけばよいのだと思います。

そこで、もう一度、ミレーの『春』をみると、手前は暗いがその向こうから林までに光が当たっています。まるでそのあたりがスポットライトに照らされているようです。これは虹の見える条件（＝背後からの強い光）とはちょっと違う感じがする。

黒澤監督は、ミレーの『春』は現実の光景ではない、幻想の光景だと感じたのではないかと思います。『夢』は、黒澤監督が見た夢を映像化したものです。当然、現実そのものではないファンタジーの世界です。それがミレーの『春』とシンクロした。黒澤監督はもともと画家志望です。自作を展覧会に出品したこともあります。映画監督になってからも、絵コンテを自ら大量に描いたことで有名です。ミレーの絵が好きだったのかどうかは知りませんが、絵画から何かを感じることには長たけていたと考えられます。

余談ですが、絵画からインスピレーションを得た映画として、以前にリドリー・スコット監督の２作品を紹介しました。ジェロームの絵画『差し下おろされた親指』からヒントを得た映画『グラディエーター』（No.203）と、ホッパーの『ナイトホークス』に影響された『ブレードランナー』（No.288）です。黒澤監督とスコット監督は似ていて、２人とも画家としての素養があり、また自ら映画の絵コンテを作成しました。

---

話を、ダブル・レインボーに戻します。しかしなぜ『春』に、滅多に見ることがないダブルレインボーが "微かすかに" 描かれているのでしょうか。黒澤明監督は "一重の普通の虹" で映像化しています。『春』も普通の虹でよいはずです。ここに描かれたダブル・レインボーも幻想の光景なのでしょうか。

しかし、これは現実の光景からヒントを得たのだと考えられます。つまり画家は、バルビゾンの自宅の裏庭から畑ごしにダブルレインボーを見たのだと推察します。というの、も『春』と構図がほぼ同じの『虹』という絵が残っているからです。

---

パステルで描かれたダブル・レインボー

---

その『春』とほぼ同じ構図のパステル画が、ポルトガルの首都・リスボンのグルベンキアン美術館にあります。No.192「グルベンキアン美術館」で引用しましたが、ここに再掲します。

ジャン = フランソワ・ミレー 「虹」（1872/73）

グルベンキアン美術館 （ポルトガル、リスボン）

この絵の題名は『虹』です。その題名どおり、ダブル・レインボーがくっきりと描かれている。これは実際に画家が自宅の裏の畑の方向を見た光景がもとになっていると考えられます。ミレーは、奇跡とは言わないまでも、滅多に出現しないダブル・レインボーを自宅から見て感じ入るところがあった。

このパステル画は、油彩画の『春』とほぼ同じ構図です。ただ、違いもあります。まず、奥の木立へと続く小道が描かれていません。また、空を飛ぶ白い鳥もいない。ただし、奥の木立のそばに小さく人物が描かれているところは共通しています。

ダブル・レインボーないしはもっと一般的に虹が、フランスでどういう象徴性で考えられているのかは知りません。しかし常識的に考えて悪い意味ではないと想像します。意味があるとしたら「幸運」とか「吉兆」でしょう。しかも滅多に見られないダブル・レインボーとなると、その象徴性が倍加されるはずです。

ミレーは珍しいダブル・レインボーを自宅の裏の畑から見て、亡くなったテオドール・ルソーの魂に重ね合わせたのではないでしょうか。だから奥の木立のそばにそっと人物（＝ルソー）を描き込んだ。

画家が同じ構図のパステル画と油絵を制作するという場合、パステル画が先行すると考えるのが普通でしょう。パステル画を制作し、それをもとに油絵バージョンを描く。ミレーの『虹』と『春』の２作の場合もそうだったのではと想像します。

そして油絵にするとき、画家は２つのアイテムを追加した。一つは白い３羽の鳥で、これは天国に召されたルソーの魂です。そしてもう一つは、手前から人物のそばの木立へと続く小道です。この道はミレーとルソーの "絆" を象徴しているのではと思います。と同時に、ダブル・レインボーを画題の中心ではなく、構図の中に盛り込まれた１つの要素の位置づけにした。

---

オルセー美術館の公式サイトによると、この『春』は、テオドール・ルソーのパトロンだったフレデリック・アルトマンという人の依頼で制作された「四季、４部作」の一枚です（完成は1873年）。そして、『夏』『秋』『冬（未完）』の３作は "ミレーらしい" 農民の農作業が画題ですが、『春』だけは違っていて（一見すると）風景画です。しかしその「一見すると風景画」に秘密がある。

"春" は自然と生命が息を吹き返す時期であり、四季の始まりです。亡くなったテオドール・ルソーの思い出として描くには、"春" がピッタリだったのだと思います。

---

補記：セレンゲティの虹

本文の冒頭に引用した朝日新聞のダブル・レインボーの写真は2021年4月8日のものでしたが、それから１ヶ月もたたない2021年5月2日の日本経済新聞（NIKKEI The STYLE）に虹の写真が掲載されました。「虹が立つ草原を行く」と題されたもので、タンザニアのセレンゲティ国立公園で撮影されたものです。草原を行く「ヌーの群れ」と「虹」のツーショット写真です。

「虹がたつ草原を行く　タンザニア」

（日本経済新聞 2021.5.2）

この写真をよく見ると、実はうっすらと副虹が写っているのですね。ほんの微かすかですが ･･････。つまり、ダブル・レインボーの写真ということになります。日経の読者の方も、気がつかなかった人が多いのではないでしょうか。

この写真でよく分かるのは「ダブル・レインボーは程度問題」ということです。くっきりと見える場合もあれば（＝滅多にない）、全く見えないこともあり（＝ほとんどの場合）、その間には無限の段階がある。我々も虹を見たとき、実は外側にある、ほんの微かな副虹を見逃していることがあるのではないでしょうか。そう感じさせるセレンゲティ国立公園の写真でした。

---

---

タグ：夢 オルセー美術館 副虹 グルベンキアン美術館 セレンゲティ 二重虹 主虹 黒澤 明 日照り雨 荒木健太郎 ダブル・レインボー ジャン=フランソワ・ミレー テオドール・ルソー 安井裕雄

No.311 - 高校数学で理解するRSA暗号の数理（２）

（前回より続く）

---

４. RSA暗号の証明

---

4.1	RSA暗号
RSA暗号の公開鍵・秘密鍵の作成方法と暗号化・複号化の計算式を定理として記述すると次の通りです。 $p$ と $q$ を相異なる素数とし、$n=pq$ とする。 $e$ を $m=\left(p-1\right)\left(q-1\right)$ と素な数、$d$ を、$de\equiv 1\left(modm\right)$ を満たす数とする。この前提で、 暗号化：${\mathbb{P}}^e\equiv \mathbb{C}\left(modn\right)$ ならば 複号化：${\mathbb{C}}^d\equiv \mathbb{P}\left(modn\right)$ である。 （ $\mathbb{P}$：平文。$\mathbb{C}$：暗号文 ）

RSA暗号において、暗号化・複号化に必要なのは公開鍵の $\left(e,n\right)$ と 秘密鍵の $d$ であり、それらを生成するのに使った $p$ と $q$ は不要です。というより、$p$ と $q$ ないしは $\left(p-1\right)\left(q-1\right)$ が漏れると暗号が破られてしまうので、これらの数は鍵を生成した後は破棄（情報を安全に抹消）する必要があります。

以下に、上の「複号化の式」が成り立つことを証明します。まず合同式の累乗 1.2 を使って「暗号化の式」の両辺を $d$ 乗すると、

${\mathbb{C}}^d\equiv {\mathbb{P}}^{de}\left(modpq\right)\text{ ⋯ (1)}$

となります。ここで、$de\equiv 1\left(mod\left(p-1\right)\left(q-1\right)\right)$ なので、$de=k\left(p-1\right)\left(q-1\right)+1$ と表現できます。従って、

${\mathbb{P}}^{de}={\mathbb{P}}^{k\left(p-1\right)\left(q-1\right)+1}$

となります。累乗を分解すると、

${\mathbb{P}}^{de}={\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k·\mathbb{P}\text{ ⋯ (2)}$

です。一方、フェルマの小定理 3.1 により、

${\mathbb{P}}^{p-1}\equiv 1\left(modp\right)$

となります。合同式の累乗の定理 1.2 により、この式の両辺を $q-1$ 乗すると、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modp\right)\text{ ⋯ (3)}$

が得られます。さらに、フェルマの小定理 3.1 により、

${\mathbb{P}}^{q-1}\equiv 1\left(modq\right)$

ですが、両辺を $p-1$ 乗して、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modq\right)\text{ ⋯ (4)}$

となります。ここで、$p$ と $q$ は互いに素なので、1.5 の合同式の定理を $\text{(3), (4)}$に適用すると、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modpq\right)$

を導くことができます。この式の両辺を 1.2 を使って $k$ 乗すると、

${\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k\equiv 1\left(modpq\right)$

であり、さらに両辺に合同式の乗算 1.1c を使って $\mathbb{P}$ をかけると、

$$\begin{gathered} {\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k·\mathbb{P}\equiv \mathbb{P}\left(modpq\right) \\ \text{ ⋯ (5)} \end{gathered}$$

となります。従って、$\text{(1), (2), (5)}$ を合わせると、

${\mathbb{C}}^d\equiv \mathbb{P}\left(modpq\right)$

となり、RSA暗号の複号化の式が証明できました。

最小公倍数

以上の証明の過程を改めて振り返ってみると、「$m$ が $\left(p-1\right)$ の倍数であり、かつ $\left(q-1\right)$ の倍数」であれば、RSA暗号は成立することが分かります。つまり「$m$ が $\left(p-1\right)$ と $\left(q-1\right)$ の公倍数」であれば成立する。そのような $m$ は、

$$\begin{gathered} m=n_p\left(p-1\right) \\ m=n_q\left(q-1\right) \end{gathered}$$

の２通りに表現できます。すると、$de\equiv 1\left(modm\right)$ なので、

$$\begin{gathered} de=k_p\left(p-1\right)+1 \\ de=k_q\left(q-1\right)+1 \end{gathered}$$

と２通りに表せます。ここから、

$$\begin{gathered} {\mathbb{P}}^{de}={\mathbb{P}}^{k_p\left(p-1\right)+1} \\ \phantom{{\mathbb{P}}^{de}}=\mathbb{P}·{\left({\mathbb{P}}^{p-1}\right)}^{k_p} \\ \phantom{{\mathbb{P}}^{de}}\equiv \mathbb{P}\left(modp\right) \\ {\mathbb{P}}^{de}={\mathbb{P}}^{k_q\left(q-1\right)+1} \\ \phantom{{\mathbb{P}}^{de}}=\mathbb{P}·{\left({\mathbb{P}}^{q-1}\right)}^{k_q} \\ \phantom{{\mathbb{P}}^{de}}\equiv \mathbb{P}\left(modq\right) \\ {\mathbb{P}}^{de}\equiv \mathbb{P}\left(modpq\right) \\ {\mathbb{C}}^{d\phantom{e}}\equiv \mathbb{P}\left(modpq\right) \end{gathered}$$

となって、平文が復元できます。この考察から分かるのは、$m$ の最小値は「$\left(p-1\right)$ と $\left(q-1\right)$ の最小公倍数」ということです。最小公倍数を $LCM$ で表すと、

$m=LCM\left(p-1,q-1\right)$

であればRSA暗号は成立します。そして一般に、

$LCM\left(a,b\right)={\displaystyle \frac{a\times b}{gcd\left(a,b\right)}}$

です。最大公約数・$\gcd$ は「２. ユークリッドの互除法」を使って高速に計算できるので $p$ や $q$ が巨大数であっても最小公倍数・$LCM$ は計算可能です。

累乗の剰余を求めるアルゴリズム

RSA暗号では、暗号化と複号化で "累乗（冪乗）の剰余"（冪剰余と呼ぶ）を求める計算が出てきます。この計算で使う公開鍵 $\left(e,n\right)$ も秘密鍵 $d$ も、また平文や暗号文も、実用的には10進数で300桁とか、そういった巨大な数です。

しかし巨大な数であっても、累乗の剰余計算ができるアルゴリズムがあります。その一つとして、ここでは「２分割法」で説明します。前回の「RSA暗号の例題」であげた、

$\mathbb{C}={82}^{133}mod\mathrm{143}=4$

の例で説明します。考え方としては「２.ユークリッドの互除法」と同じで、問題をより "小さな問題" に置き換えるというものです。つまり、133乗を求める代わりに

$C_1={82}^{66}mod143$

が求まったとしたら、$\mathbb{C}$ は、

$\mathbb{C}=\left(C_1·C_1·82\right)mod143$

で計算できます。さらに、その $C_1$ は、

$C_2={82}^{33}mod143$

が求まったとしたら、

$C_1=\left(C_2·C_2\right)mod143$

で計算できます。この２分割を次々と続けていくと、82の16乗、8乗、4乗、2乗、1乗を 143 で割った剰余が求まれば良いことになります。これを逆にたどって電卓で順次計算してみると、

$\begin{array}{lr}& \mathrm{mod}143\\ {82}^1& 82\\ {82}^2& 3\\ {82}^4& 9\\ {82}^8& 81\\ {82}^{16}& 126\\ {82}^{33}& 103\\ {82}^{66}& 27\\ {82}^{133}& 4\end{array}$

となり、答の 4 が求まりました。これをプログラム言語で記述すると次の通りです。

4.2	２分割法による冪剰余計算
$P^{e}mod\mathrm{n}$ を求める関数 RSA（Javascriptで記述）。 function RSA( P, e, n ) { 　if( e == 1 ) return P % n; //① 　else { 　 var h=RSA(P, Math.floor(e/2), n); //② 　 var c=( h * h ) % n; //③ 　 if( e % 2 == 0 ) return c; //④ 　 else return ( c * P ) % n; //⑤ 　} }

次はこのアルゴリズムの補足説明です。

①	e が 1 なら P % n が答なので、それを関数値として返す。% は Javascript の剰余演算子で、P mod n と同じ意味。
②	e が 1 でないときは、e を半分（約半分）にして答を求める。Math.floor() は小数点以下を切り捨てる Javascript の組み込み関数。Javascript では実数と整数の区別がないので必要。
③	その "半分の答" を２乗し、剰余を求めて仮の答 c とする。
④	e が偶数なら c が正しい答。それを関数値として返す。
⑤	e が奇数なら c にさらに P を掛け、剰余を求めて関数値として返す。

$e$, $n$, $d$ が10進数で300桁程度の巨大数とします。${$ 2$}^{1000}$ は約300桁の数なので、"２分割法" を使うと1000回程度の剰余計算を繰り返すこと答が求まります。この程度の計算は現在のコンピュータで可能です。ただし可能といっても 1000回の繰り返しはさすがに大変なので、実用的にはこれを高速化する手法がいろいろと開発されています。

「２. ユークリッドの互除法」で、公開鍵 $\left(e,n\right)$ の $e$ と秘密鍵 $d$ について、たとえ巨大数であっても高速に算出できることを書きました。それに加えて、暗号化・複号化で使われる「巨大数の累乗の剰余計算」も算出可能であり、RSA暗号の全体が "計算可能" であることが証明できました。

---

今までのまとめ

---

実用的な RSA暗号を構成するときに必要なのは、巨大な素数 $p$, $q$ （10進数で150桁程度かそれ以上）です。こういった素数をどうやって作り出すか、また素数であることの判定をどうやってするかの計算手法については割愛します。

今までのRSA暗号についての説明全体をまとめると、以下の２点になるでしょう。

◆	RSA暗号は数論（整数論）の基礎から構成されている（合同、ユークリッドの互除法、フェルマの小定理、･････）。
◆	RSA暗号における公開鍵・秘密鍵の生成式、暗号化・復号化の式は、実用的に計算可能である。

RSA暗号は現代の情報化社会にとって必須のものであり、社会インフラの重要な構成要素です。それは、数学が実用的に、かつ直接的に社会に役立っている例なのでした。

RSA暗号とオイラー関数・オイラーの定理

RSA暗号の成立性の証明はこれまでで尽きていますが、以降はRSA暗号と関係が深い「オイラー関数」を説明し、次に「オイラーの定理」を導いて、そこからRSA暗号の原理を導出します。まずその前提としての「中国剰余定理」です。

---

５. 中国剰余定理

---

5～6世紀頃の中国で成立した算術書『孫子算経』に、

3で割ると2余り
5で割ると3余り
7で割ると2余る数は何か

という問題が書かれています。答は23ですが、これを一般化した定理を「中国剰余定理」と呼んでいます。

5.1	中国剰余定理
与えられた $k$ 個の整数、$m_1\text{,}{m}_2\text{,}\dots \text{,}{m}_k$ は、どの２つをとっても互いに素とする。このとき任意に与えられた $k$ 個の整数、$a_1\text{,}{a}_2\text{,}\dots \text{,}{a}_k$ についての $k$ 個の式、 $$\begin{gathered} x\equiv a_1\left(mod{m}_1\right) \\ x\equiv a_2\left(mod{m}_2\right) \\ \text{ ⋮} \\ x\equiv a_k\left(mod{m}_k\right) \end{gathered}$$ を同時に満たす解 $x$ が存在し、この解は $M=m_1{m}_2\dots m_k$を法として唯一である。

$x_1$ と $x_2$ の２つの解があったとします。すると、$mod{m}_1$ の式から、

$$\begin{gathered} x_1\equiv a_1\left(mod{m}_1\right) \\ {x}_2\equiv a_1\left(mod{m}_1\right) \end{gathered}$$

となり、1.1b により、

$x_1-x_2\equiv 0\left(mod{m}_1\right)$

となります。同様に、$mod{m}_2$ の式から、

$x_1-x_2\equiv 0\left(mod{m}_2\right)$

が言えます。$m_1$ と $m_2$ は互いに素なので、ここで 1.5 を適用すると、

$x_1-x_2\equiv 0\left(mod{m}_1{m}_2\right)$

となります。以上のことは $m_3$ から $m_k$ までの全ての式についても言えるので、1.5 を順次適用することにより、

$x_1-x_2\equiv 0\left(mod{m}_1{m}_2\dots m_k\right)$

となります。つまり、

$x_1\equiv x_2\left(modM\right)$

です。従って、解 $x$ が複数あったとしても、それらは全て $M$ を法として合同になります(＝ 解は $M$ を法として唯一）。

---

ここで

$M_i={\displaystyle \frac{M}{m_i}}$

とおくと、$gcd\left(m_i,M_i\right)=1$ なので、2.3 により、

$M_i·N_i\equiv 1\left(mod{m}_i\right)$

となる $N_i$ が存在します。これを使って、

$x={\displaystyle \sum _{i=1}^k}{a}_i{M}_i{N}_i$

とおくと、それが解になります。なぜなら $M_i$ の作り方から $i$ 番目の項以外の項は $m_i$ で割り切れるので、$i$ 番目の項単独で「$m_i$ を法として $x$ と合同」になります。つまり、

$x\equiv a_i{M}_i{N}_i\left(mod{m}_i\right)$

です。一方、合同の性質の 1.4 において $y=1$ とおくと 1.4 は、

$ax\equiv b\left(modm\right)$ かつ、
$\phantom{a}x\equiv 1\left(modm\right)$ のとき、
$a\phantom{x}\equiv b\left(modm\right)$

となります。1.4 の「$x$ が $m$ と互いに素」という条件は、$x\equiv 1\left(modm\right)$ で満たされています。このことを適用すると、

$$\begin{gathered} x\equiv a_i{M}_i{N}_i\left(mod{m}_i\right) \\ {M}_i·N_i\equiv 1\left(mod{m}_i\right) \end{gathered}$$

という２つの条件から、

$x\equiv a_i\left(mod{m}_i\right)$

となります。これが全ての $i$ について成り立つ。従って $x$ が解であることが証明できました。また前段で証明したように全ての解は $M$ を法として合同なので、$x$ が唯一の解です。

---

中国剰余定理の意味を直感的に理解するために、$k=2$、$m_1=3$、$m_2=4$、$M=12$ とし、$x$ の全て解についての対応表を作ってみると次の通りになります。

$\begin{array}{ccc}x& \mathrm{mod}3& \mathrm{mod}4\\ 0& 0& 0\\ 1& 1& 1\\ 2& 2& 2\\ 3& 0& 3\\ 4& 1& 0\\ 5& 2& 1\\ 6& 0& 2\\ 7& 1& 3\\ 8& 2& 0\\ 9& 0& 1\\ 10& 1& 2\\ 11& 2& 3\end{array}$

この表をみると、$012$ を繰り返し並べ（$mod3$ の列）、$0123$ を繰り返し並べると（$mod4$の列）、$3$ と $4$ が互いに素の関係にあるために、$\left(0\text{, }0\right)$ は $3\times 4=\mathrm{12}$ 回繰り返さないと現れないことが分かります。その間、$x$ は12未満の全ての数をとり、$\left(mod3\text{, }mod4\right)$ の全ての組み合わせが現れる。このため、$\left(mod3\text{, }mod4\right)$ の１つの組み合わせに対して解 $x$ が唯一になるわけです。この状況は $k$ がどんな数であっても、$m_k$ がどの２つをとっても互いに素である限り変わらない。

「互いに素」なゆえに成立するこのイメージは、次のオイラー関数の証明に役立ちます。

---

６. オイラー関数

---

レオンハルト・オイラー （Wikipediaより）

オイラー（1707-1783）はスイスのバーゼルに生まれた18世紀ヨーロッパの大数学者です。その業績は多岐に渡り、オイラー ･･･（何とか）という定理や公式、関数、数式、等式、図などがどっさりとあります。

以下の「オイラー関数」は、一般に関数名をギリシャ文字の $\phi$（ファイ）で表記するので「オイラーの $\phi$関数」とも呼ばれています。数論ではたびたび出てくる関数です。

余談ですが、オイラーは20歳台後半で右目を失明しました。ここに掲載した肖像画にもそれが現れています。

6.1	オイラー関数
オイラー関数 $\phi$ の定義は以下のとおり。 $\phi \left(m\right)$　：　$m$ 以下で、$m$ とは互いに素な自然数の個数 $p$、$q$ を相異なる素数とするとき、オイラー関数は次の性質をもつ。 （素数のオイラー関数値） 　　6.1a　$\phi \left(p\right)=p-1$ （素数の積のオイラー関数値） 　　6.1b　$\phi \left(pq\right)=\left(p-1\right)\left(q-1\right)$ （素数の累乗のオイラー関数値） 　　6.1c　$\phi \left(p^{\alpha }\right)=p^{\alpha }-p^{\alpha -1}$ なお「互いに素」は、すなわち「最大公約数が $1$」であり、$gcd\left(1,1\right)=1$なので、$\phi \left(1\right)=1$。

まず 6.1a ですが、素数 $p$ は $p$ 未満のすべての自然数と互いに素です。従って、$\phi \left(p\right)=p-1$ です。

次に $pq$ 以下の数で、$p$ で割り切れるのは $pq$ を含んで $q$ 個、$q$ で割り切れるのは $pq$ を含んで $p$ 個です。$pq$ 以下の数の全体は $pq$ 個なので、$pq$ 以下の数で $p$ でも $q$ でも割り切れない数の個数（＝ $pq$ と互いに素な数の個数）は、

$$\begin{gathered} \phi \left(pq\right)=pq-p-q+1 \\ \phantom{\phi \left(pq\right)}=\left(p-1\right)\left(q-1\right) \end{gathered}$$

です（6.1b）。上の式の１行目で、$-p$ と $-q$ には $pq$ の分が重複しているので $+1$ してあります。

さらに、$p^{\alpha }$ 以下の数で、$p$ の倍数は全て $p^{\alpha }$ と共通の約数 $p$ を持ちます。$p^{\alpha }$ 以下の $p$ の倍数の個数は $p^{\alpha }$ を含んで、

${\displaystyle \frac{p^{\alpha }}{p}}=p^{\alpha -1}$

なので、$\phi \left(p^{\alpha }\right)$は、

$\phi \left(p^{\alpha }\right)=p^{\alpha }-p^{\alpha -1}$

となります（6.1c）。このオイラー関数に関しては、次の「乗法性」が重要です。

6.2	オイラー関数の乗法性
$gcd\left(m,n\right)=1$（ $m$ と $n$ は互いに素 ）のとき $\phi \left(mn\right)=\phi \left(m\right)\phi \left(n\right)$

一般に、関数のこのような性質を "乗法性"、このような関数を "乗法的関数" と呼んでいます。証明は３段階で行います。キーワードは「中国剰余定理」と「１対１対応」です。

第１段

$0\le i<m$、$0\le j<n$ である数を選び $\left(i,j\right)$ のペアを作ります。$i$ の選択肢は $m$ 個、$j$ の選択肢は $n$ 個で、それぞれ独立して選ぶので、相異なる $\left(i,j\right)$ のペアの数は $mn$ 個です。

仮定により $m$ と $n$ は互いに素です。従って、それぞれの $\left(i,j\right)$ のペアについて中国剰余定理 5.1 により、

$$\begin{gathered} x\equiv i\left(modm\right) \\ x\equiv j\left(modn\right) \end{gathered}$$

を同時に満たす $x$ が、$mn$ を法として唯一存在します。つまり $0\le x<mn$ の範囲では $x$ が一意に決まります。これは $\left(i,j\right)$ のペアに $x$ を対応づけられることを意味します。

逆に、$0\le x<mn$ である $x$ を１つ選ぶと、それに対して $modm$ と $modn$ を求めて $\left(i,j\right)$ のペアと対応づけられる。つまり、

$mn$ 個の $\left(i,j\right)$ のペアと $mn$ 個の $x$ の間に１対１対応が作れる

ことになります。

第２段

第１段の方法で作った「１対１に対応する $\left(i,j\right)$ のペアと $x$」については、

$i$ が $m$ と素であるなら、$x$ も $m$ と素

になります。なぜなら、もし $x$ と $m$ に共通の約数 $a$ があったとすると（＝ $a|x$ でかつ $a|m$ ）、中国剰余定理の前提から

$x=km+i$

と表せるので $a|i$ となり、$a$ が $i$ と $m$ の共通の約数にもなってしまって「$i$ が $m$ と素」という仮定に反するからです。全く同様に、

$j$ が $n$ と素であるなら、$x$ も $n$ と素

です。この２つを合わせると、

$\left(i,j\right)$ のペアにおいて「$i$ が $m$ と素」で、かつ「$j$ が $n$ と素」であれば、「１対１対応がつけられた $x$ は $m$ と $n$ の２つの数と素」

になります。「$x$ が $m$ と $n$ の２つの数と素」であることは「$x$ が $mn$ と素」ということに他ほかなりません。つまり、

$\left(i,j\right)$ のペアで「$i$ が $m$ と素」であり、かつ「$j$ が $n$ と素」であれば「$\left(i,j\right)$ と１対１対応がつけられた $x$ は $mn$ と素」

です。その逆に「$x$ が $mn$ と素」であるなら「$x$ は $m$ と $n$ の２つの数と素」です。そうすると中国剰余定理の前提から「$i$ は $m$ と素」でかつ「$j$ は $n$ と素」になります。つまり、まとめると、

$\left(i,j\right)$ のペアのうち「$i$ が $m$ と素で、$j$ が $n$ と素であるペア」は、「$mn$ と素である $x$」と１対１の対応関係がつけられる

ことになります。そして１対１の対応関係がつく集合の要素の数は等しい。ここが証明の根幹です。

第３段

オイラー関数の定義により、

$m$ と素である $i$ の個数は $\phi \left(m\right)$
$n$ と素である $j$ の個数は $\phi \left(n\right)$

です。$i$ と $j$ は独立に選んでいるので、

$\left(i,j\right)$ のペアのうち、「$i$ が $m$ と素」で「$j$ が $n$ と素」のペアの個数は、$\phi \left(m\right)\phi \left(n\right)$

です。さらにオイラー関数の定義により、

$mn$ と素な $x$ の個数は $\phi \left(mn\right)$

になります。第２段で証明したように「$i$ が $m$ と素」で「$j$ が $n$ と素」である $\left(i,j\right)$ のペアと、$mn$ と素である $x$ は１対１の対応関係にあります。従ってその個数は等しく、

$\phi \left(mn\right)=\phi \left(m\right)\phi \left(n\right)$

となって、証明が完成しました。オイラー関数の乗法性を直感的に理解するために、中国剰余定理のところであげた表を使って $\phi \left(12\right)=\phi \left(3\right)\phi \left(4\right)$ のイメージを示したのが次です。$\text{●}$ 印を付けたのはそれぞれ、$12\text{, }3\text{, }4$ とは素な数です。

$\begin{array}{rrr}\mathrm{mn}=12& m=3& n=4\\ \text{0 }& \text{0 }& \text{0 }\\ \text{●1 }& \text{●1 }& \text{●1 }\\ \text{2 }& \text{●2 }& \text{2 }\\ \text{3 }& \text{0 }& \text{●3 }\\ \text{4 }& \text{●1 }& \text{0 }\\ \text{●5 }& \text{●2 }& \text{●1 }\\ \text{6 }& \text{0 }& \text{2 }\\ \text{●7 }& \text{●1 }& \text{●3 }\\ \text{8 }& \text{●2 }& \text{0 }\\ \text{9 }& \text{0 }& \text{●1 }\\ \text{10 }& \text{●1 }& \text{2 }\\ \text{●11 }& \text{●2 }& \text{●3 }\end{array}$

---

このオイラー関数の乗法性（6.2）と素数の累乗のオイラー関数値（6.1c）を用いると、一般の自然数 $N$ のオイラー関数値を求めることができます。つまり素因数分解の一意性により、$p_i$ を素数として、

$N={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$

と表現できます。ここでオイラー関数の乗法性（6.2）を繰り返して使うと、

$\phi \left(N\right)=\phi \left({p_1}^{{\alpha }_1}\right)\phi \left({p_2}^{{\alpha }_2}\right)\dots \phi \left({p_r}^{{\alpha }_r}\right)$

となります。また、素数の累乗のオイラー関数値（6.1c）によって、

$\phi \left({p_i}^{{\alpha }_i}\right)={p_i}^{{\alpha }_i}-{p_i}^{{\alpha }_i-1}$

です。以上を合わせると、任意の数 $N$ のオイラー関数値を求める公式は、

$\begin{array}{l}\phi \left(N\right)\\ =\left({p_1}^{{\alpha }_1}-{p_1}^{{\alpha }_1-1}\right)·\dots ·\left({p_r}^{{\alpha }_r}-{p_r}^{{\alpha }_r-1}\right)\\ {\displaystyle =\frac{{p_1}^{{\alpha }_1}}{p_1}\left(p_1-1\right)·\dots ·\frac{{p_r}^{{\alpha }_r}}{p_r}\left(p_r-1\right)}\\ ={\displaystyle \frac{N}{p_1{p}_2\dots p_r}}·\left(p_1-1\right)·\dots ·\left(p_r-1\right)\end{array}$

となります。つまり、$N$ の素因数分解ができれば $\phi \left(N\right)$ は簡単に求まります。逆に言うと$N$ の素因数分解が困難なら $\phi \left(N\right)$ を求めるのも困難になる。このことが RSA暗号が成立する背景となっています。

ちなみに、上のオイラー関数の公式の末尾の形（色を塗った部分）は、オイラーより以前に江戸時代の和算家・久留島くるしま義太よしひろ（? - 1758）が発見しています。久留島義太は、関孝和、建部たけべ賢弘かたひろとともに三大和算家と呼ばれた人ですが、自分では書物を残すことがなかったので、業績は知人や弟子がまとめたものにしかありません。その一人、仙台藩の天文学者・戸板保佑やすすけの『久氏遺稿』の中に公式の記述ができます（鳴海 風「小説になる江戸時代の数学者」- 日本数学会「市民講演会」2007.3.31 による）。

その書物には $\phi \left(360\right)$ を求める例示があります（これは暗算でも出来ます）。つまり $360=6·6·10$ なので素因数は $2\text{, }3\text{, }5$ だけです。従って $360$ を $2·3·5=30$ で割って（答は $12$）、$1·2·4=8$ を掛けると $\phi \left(360\right)=96$ が求まる。このことが書かれています。この公式には $p_i$ の累乗の部分（${\alpha }^i$）が全く現れません。ちょっと不思議な感じもする公式です。

日本の数学者の中には「久留島・オイラーの関数」と呼ぶ人もいます。"オイラー何とか" という名前の定理や公式はいろいろあるので、その方が分かりやすいかもしれません。

---

７. オイラーによるフェルマの小定理の一般化（オイラーの定理）

---

オイラー関数を使うと、オイラーが発見した「一般化されたフェルマの小定理」の証明ができます。

7.1	オイラーの定理
$a$ を $m$ とは素な数とするとき $a^{\phi \left(m\right)}\equiv 1\left(modm\right)$

$a$ や $m$ に何らかの制約があるわけではなく、２つの数が「互いに素」という条件だけで成立する美しい定理です。これがフェルマの小定理の一般化であることは、$p$ を素数として $m=p$ とおけばフェルマの小定理そのものになることから分かります。

この証明を２段階に分けて行います。まず第１段階で $m$ が素数の累乗の時に成立することを証明し、第２段階でその結果を使って $m$ が一般の数の場合を証明します。

7.2
$p$ を素数とする。 $m=p^{\alpha }$ のとき、7.1 は成り立つ。

$\alpha$ についての数学的帰納法で証明します。まず $$ \alpha $=1$ のときはフェルマの小定理そのものなので成立します。次に $$ \alpha $=k-1\left(k\ge 2\right)$ のときに成立すると仮定します。つまり、

$a^{\phi \left(p^{k-1}\right)}\equiv 1\left(mod{p}^{k-1}\right)$

が成り立つとします。そうすると、ある数 $b$ が存在して、

$a^{\phi \left(p^{k-1}\right)}=1+b{p}^{k-1}$

と表現できます。この式の左辺に 6.1c（素数の累乗のオイラー関数値）を適用すると、

$a^{p^{k-1}-p^{k-2}}=1+b{p}^{k-1}$

となります。この両辺を $p$ 乗し、右辺は２項定理で展開すると、

$\begin{array}{ll}{a}^{p^k-p^{k-1}}& ={\left(1+b{p}^{k-1}\right)}^p\\ & =1+{}_{p}C_1{\left(b{p}^{k-1}\right)}^1\\ & \phantom{=1}+{}_{p}C_2{\left(b{p}^{k-1}\right)}^2+\dots \end{array}$

が得られます。この展開した右辺において、第２項は ${}_{p}C_1=p$ なので $b{p}^k$ となり、$p^k$ で割り切れます。また第３項以降は $2\le i\le p$ として ${}_{p}C_i{b}^i{p}^{\left(k-1\right)i}$ と表せますが、$k\text{, }i\ge 2$ のとき $\left(k-1\right)\left(i-1\right)\ge 1$ であり、この式を変形すると $\left(k-1\right)i\ge k$ となるので、第３項以降も $p^k$ で割り切れます。つまり、展開した第１項の $1$ 以外は $p^k$ で割り切れることになります。従って、

$\begin{array}{ll}{a}^{p^k-p^{k-1}}& \equiv 1\left(mod{p}^k\right)\\ a^{\phi \left(p^k\right)}& \equiv 1\left(mod{p}^k\right)\end{array}$

となります。この結果、7.2 は $$ \alpha $=k-1$ のときに成立するなら $$ \alpha $=k$ のときにも成立することが証明でき、数学的帰納法が完成しました。

---

7.2 を使って 7.1 を証明します。$p_i$ を相異なる素数とし、任意の数 $m$ を、

$m={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$

とおきます。すると 7.2 により、$1\le i\le r$ のそれぞれの $i$ において、

$a^{\phi \left(p^{{\alpha }_i}\right)}\equiv 1\left(mod{p}^{{\alpha }_i}\right)\text{ ⋯ (1)}$

が成立します。ここで、

$n_i={\displaystyle \frac{m}{p^{{\alpha }_i}}}\left(m=n_i·p^{{\alpha }_i}\right)$

とおくと、オイラー関数の乗法性（6.2）により、

$\phi \left(m\right)=\phi \left(n_i\right)\phi \left(p^{{\alpha }_i}\right)$

となります。ここで、この式と合同式の累乗（1.2）を使って $\text{(1)}$ 式の両辺を $\phi \left(n_i\right)$ 乗すると、

$a^{\phi \left(m\right)}\equiv 1\left(mod{p}^{{\alpha }_i}\right)\text{ ⋯ (2)}$

が得られました。$\text{(2)}$ 式は $1\le i\le r$ の $i$ においてそれぞれ成立します。$p_i$ は相異なる素数だったので、ここで 1.5 を順次適用すると、

$a^{\phi \left(m\right)}\equiv 1\left(modm\right)$

となり、7.1 が正しいことが証明されました。

---

7.1 の証明の過程を振り返ってみると、次の 7.3 が成り立つことが分かります。

7.3	オイラーの定理・その２
任意の数 $m$ の素因数分解を、相異なる素数 $p_i\left(1\le i\le r\right)$ を使って、 $m={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$ と表す。$\psi \left(m\right)$ を $r$ 個の $\phi \left({p_i}^{{\alpha }_i}\right)$ の最小公倍数とする（$\psi$ はギリシャ文字のプサイ）。つまり、 $\psi \left(m\right)=LCM\left(\phi \left({p_1}^{{\alpha }_1}\right),\dots ,\phi \left({p_r}^{{\alpha }_r}\right)\right)$ とすると、$m$ と素である数 $a$ について、 $a^{\psi \left(m\right)}\equiv 1\left(modm\right)$ が成り立つ（$LCM=$ 最小公倍数）。

これは 7.1 の証明の後半（＝ 7.2 を使って証明する部分）からすぐに分かります。$\psi \left(m\right)$ の定義から、

$\psi \left(m\right)=k_i·\phi \left({p_i}^{{\alpha }_i}\right)\left(1\le i\le r\right)$

と書き表すことができます。一方 7.2 より、

$a^{\phi \left({p_i}^{{\alpha }_i}\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

が成り立ちます。この合同式の両辺を 1.2（合同式の累乗） に従って $k_i$ 乗すると、

$a^{k_i\phi \left({p_i}^{{\alpha }_i}\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

となり、これから、

$a^{\psi \left(m\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

が得られます。この式は $1\le i\le r$ であるすべての $i$ について成立し、また ${p_i}^{{\alpha }_i}$ は互いに素なので、1.5 を順次適用することで、

$a^{\psi \left(m\right)}\equiv 1\left(modm\right)$

となり、7.3 が証明できました。この証明の過程から、$\psi \left(m\right)$ が最小公倍数でなくても、公倍数であれば成立することが分かります。なお $\psi \left(m\right)$ は一般的な表記ではなく、ここで便宜上使った記号です。

---

オイラーの定理（7.1）と、オイラーの定理・その２（7.3）を

として具体的に書いてみると次の通りです。

$\begin{array}{ll}\phi \left(m\right)& =\phi \left(3\right)·\phi \left(7\right)\\ & =2·6\\ & =12\\ 2^{12}& =4096\\ & =195·21+1\\ & \equiv 1\left(mod21\right)\\ \psi \left(m\right)& =LCM\left(\phi \left(3\right),\phi \left(7\right)\right)\\ & =LCM\left(2,6\right)\\ & =6\\ 2^6& =64\\ & =3·21+1\\ & \equiv 1\left(mod21\right)\end{array}$

オイラーの定理の別証明

いままでは「オイラー関数の乗法性」を導出して、それをもとにオイラーの定理（とその最小公倍数版）を証明しました。しかし単にオイラーの定理だけを証明したいのなら、以下のようにフェルマの小定理（3.1）のときと同じ論法で可能です。

---

$n$ 以下の自然数で $n$ と互いに素である $\phi \left(n\right)$ 個の数を、数列として、

$b_1\text{, }{b}_2\text{, }{b}_3\text{,}\dots b_{\phi \left(n\right)}$

と並べます。これらはすべて相異なる数です。次に $n$ とは素な数 $a$ を選び、数列の全部にかけ算をして新たな数列、

$a{b}_1\text{, }a{b}_2\text{, }a{b}_3\text{,}\dots a{b}_{\phi \left(n\right)}$

を作ります。そして、それぞれの数を $n$ で割った剰余を $r_i$ とします。つまり、

$\begin{array}{lll}a{b}_1& \equiv r_1& \left(modn\right)\\ a{b}_2& \equiv r_2& \left(modn\right)\\ a{b}_2& \equiv r_3& \left(modn\right)\\ \text{⋮}& & \\ a{b}_{\phi \left(n\right)}& \equiv r_{\phi \left(n\right)}& \left(modn\right)\end{array}$

です。$a$ も $b_i$ も $n$ と素なので $r_i$ が $0$ になることはなく、$1\le r_i<n$ です。そして、このようにすると$r_i$ は全て $n$ と素になります。なぜなら、剰余の式を、

$a{b}_i=k_{i}n+r_i$

とするとき、$r_i$ と $n$ に共通の約数があるなら、その約数は $a{b}_i$ の約数にもなり「$a$ も $b_i$ も $n$ と互いに素」という、そもそもの仮定に反するからです。

さらに、$1\le i\text{, }j\le \phi \left(n\right)$ である $i\text{, }j$ について、

$i\ne j$ であれば、必ず $r_i\ne r_j$

になります。なぜなら、もし $r_i=r_j$ とすると、1.1b（合同式の減算）より、

$a\left(b_i-b_j\right)\equiv 0\left(modn\right)$

です。仮定より $a$ は $n$ と互いに素なので 1.3 により（1.3 で $b=0$ の場合）、

$\left(b_i-b_j\right)\equiv 0\left(modn\right)$

となりますが、$1\le b_i\text{, }{b}_j\le n$ なので、

$b_i=b_j$

となり、$b_1\text{, }{b}_2\text{, }{b}_3\text{,}\dots b_{\phi \left(n\right)}$ が相異なる数という仮定に反してしまうからです。つまり$i\ne j$ であれば、必ず $r_i\ne r_j$ です。

ということは、$\phi \left(n\right)$ 個の数、$r_i$ は「すべてが $n$ とは素である、相異なる数」であり、つまり $\phi \left(n\right)$ 個の数、$b_i$を並び替えたものです。従って、

$r_i$ を全部かけ算したものを $R$
$b_i$ を全部かけ算したものを $B$

と書くとすると、

$$\begin{gathered} R=B \\ \left(r_1{r}_2\dots r_{\phi \left(n\right)}=b_1{b}_2\dots b_{\phi \left(n\right)}\right) \end{gathered}$$

となります。そこで、1.1c（合同式の乗算）を上の $\phi \left(n\right)$ 個の合同式に適用して左辺と右辺を全てかけ合わせると、

$a^{\phi \left(n\right)}·B\equiv R\left(modn\right)$ 　つまり、
$a^{\phi \left(n\right)}·B\equiv B\left(modn\right)$

が得られます。ここで、そもそもの定義から $B$ は $n$ と素なので 1.3 を使うと、

$a^{\phi \left(n\right)}\equiv 1\left(modn\right)$

となって証明が完成しました。

---

８. RSA暗号の一般形

---

オイラー関数とオイラーの定理（オイラーによるフェルマの小定理の一般化）を用いると、RSA暗号（4.1）の一般形を次のように記述できます。

8.1	RSA暗号の一般形
$n$ を任意の自然数とし、$e$を $\phi \left(n\right)$ と素な数、$d$ を $de\equiv 1\left(mod\phi \left(n\right)\right)$ を満たす数とする。この前提で、 暗号化：${\mathbb{P}}^e\equiv \mathbb{C}\left(modn\right)$ ならば 複号化：${\mathbb{C}}^d\equiv \mathbb{P}\left(modn\right)$ である。

一般形にしてしまうと、複号化の式の証明はいたってシンプルになります。$de=k\phi \left(n\right)+1$とおくと、

$$\begin{gathered} {\mathbb{C}}^d\equiv {\mathbb{P}}^{de}\left(modn\right) \\ \phantom{{\mathbb{C}}^d}={\mathbb{P}}^{k\phi \left(n\right)+1} \\ \phantom{{\mathbb{C}}^d}=\mathbb{P}·{\left({\mathbb{P}}^{\phi \left(n\right)}\right)}^k \\ \phantom{{\mathbb{C}}^d}\equiv \mathbb{P}\left(modn\right) \end{gathered}$$

となり証明できました。最後の式の変形のところで 7.1 と 1.2（合同式の累乗）を使っています。また 7.3 で証明したように、$\phi \left(n\right)$ の代わりに $\psi \left(n\right)$ （＝ $n$ の素因数それぞれのオイラー関数値の最小公倍数）としても、RSA暗号の一般形は成立します。

実際のRSA暗号は $p$ と $q$ を素数として $n=pq$ とおいたものですが（6.1b）、数学的には $n$ の素因数分解が分かると（素因数の累乗があってもよい） $\phi \left(n\right)$ はすぐに計算できるので（6. オイラー関数）暗号が構成できることになります。それが 8.1 の一般形の意味です。

しかし実用的な暗号のためには、素因数分解が困難であり（＝ $n$ の素因数ができるだけ大きな数であり）、また暗号化・複号化の高速計算のためには $n$ が小さいほど良いので、RSA暗号がその最適解なのでした。

---

全体のまとめ

---

最後に、RSA暗号についての説明全体をまとめると、以下のようになるでしょう。

◆	RSA暗号は数論（整数論）の基礎から構成されている。その基礎には、ユークリッド、孫子算経、フェルマ、オイラーなどによる数学史の重要な発見が詰まっている。
◆	RSA暗号における公開鍵・秘密鍵の生成式、暗号化・復号化の式には巨大数の演算が現れるが、それは実用的に計算可能である。
◆	RSA暗号の原理は、整数の "加減乗除" と "累乗（冪乗）" の知識をベースとして、そこから論理を積み重ねることで理解可能である。つまり「高校数学程度の知識で理解」できる。

この最後の点が、ここに「RSA暗号の数理」を掲載した目的でした。

---

---

タグ：JavaScript ２項定理 アルゴリズム オイラー オイラー関数 数論 平文 RSA暗号 公開鍵 暗号文 数学的帰納法 秘密鍵 公開鍵暗号 互いに素 フェルマの小定理 整数論 オイラーの定理 中国剰余定理 孫子算経 久留島義太 久留島・オイラーの公式 乗法性 乗法的関数

No.310 - 高校数学で理解するRSA暗号の数理（１）

No.235「三角関数を学ぶ理由」では、私たちが学校で勉強を学ぶ目的の一つが「論理的に考える力を養う」こととし、その典型例として数学をとりあげました。数学は「論理のみで成り立っている」からです。そのことを改めて示すために $sin\theta$ の微分が $cos\theta$ になることを、三角関数のそもそもの定義に立ち返って証明しました。

今回はその継続・発展で、別の数学の問題を取り上げます。現代社会で広く使われている公開鍵暗号（その中の RSA暗号）です。これを取り上げる理由は、

◆	2000年にわたる数学（数論 ＝ 整数論）の基礎の上に作られた暗号である。
◆	インターネットの重要技術の一つであり、現代社会のインフラとなっている。
◆	高校生程度の前提知識があれば、論理的思考を積み重ねることで十分に理解できる（＝ タイトルの「高校数学で理解する」の意味）。

の３点です。以下の文章は元々別の目的のために作ったものですが、ここに掲載することにします。

---

公開鍵暗号

---

公開鍵暗号とは、

◆	暗号化の手順と、そこで使用する暗号化のための "鍵" が公開されている（その鍵が "公開鍵"）。
◆	暗号文を解読するための手順も公開されているが、それに使う "鍵" は秘匿されている（その鍵が "秘密鍵"）。

というタイプの暗号です。公開鍵暗号のメリットは多々ありますが、一番のメリットは「鍵を配送するコストがかからない」ことです。全ての鍵を秘匿する暗号だと、その鍵をどうやって配送して暗号化をしたい人に届けるかが大きな問題となります。暗号化通信で配送するというのは解決になりません。その暗号化通信の暗号鍵をどうやって配送するかという問題が残るからです。

公開鍵暗号では暗号化のための鍵がオープンなので、配送のコストはゼロです。暗号文を受け取りたい人が公開鍵と秘密鍵を生成し、公開鍵をオープンにすると誰でもその人に暗号文を送ることができます。

公開鍵暗号の設計の最大のポイントは、あたりまえですが、公開鍵から秘密鍵を推定したり導出したりできないことです。まさにそこに数学が使われていて、暗号文を解読できないようになっています。この「暗号化の鍵を公開してしまう」という革新的なアイデアというか、まさに "究極の逆転の発想" を論文として発表したのは、当時スタンフォード大学の研究者だったディフィー（米）とヘルマン（米）で、1976年のことでした。

ディフィーとヘルマンは公開鍵暗号の発明の功績で、コンピュータ・サイエンス分野のノーベル賞といわれるチューリング賞を 2015年に受賞した。

（https://awards.acm.org/ より）

そのディフィーとヘルマンのアイデアに基づいた最初の暗号が RSA暗号で、現代でも盛んに使われています。これは 1978年に MIT のリベスト（米）、シャミア（イスラエル）、エーデルマン（米）の３人のよって発明され、３人の頭文字をとってRSAと呼ばれています。

実はこの RSA暗号は、実用として何に使ったらいいのか、発表当時は使い道が分からなかったといいます。それが現代ではインターネットによる通信の重要技術として広く使われている。これにはコンピュータの処理速度の飛躍的向上も貢献しています。革新的な技術は、その応用環境が整った時点で、後から実用化される。よくあることです。

RSA暗号を発明した３人は、チューリング賞を 2002年に受賞している。

（https://awards.acm.org/ より）

以下、このRSA暗号の数理を順に見ていきます。

---

RSA暗号の例題

---

まずRSA暗号はどういうものか、それを極めて簡単な例題で説明します。

平文ひらぶん（＝暗号化する文）を $\mathbb{P}$ で、またそれを暗号化した暗号文を $\mathbb{C}$ で表します。例題として平文は１文字だけの英字で、それを整数に変換したものとします。RSA暗号にちなんで大文字の R が平文です。コンピュータで使われる ASCII（アスキー）コードでは、英大文字・英小文字・数字・特殊記号を $1$～$128$ の数で表すので、それを使って数字化すると R は $82$ です。つまり、

$\mathbb{P}=82$

が例題の平文です。

公開鍵は２つの数字のペア $\left(e,n\right)$、秘密鍵は一つの数字 $d$ で、例題としては、

公開鍵 ： $\left(e=133,n=143\right)$
秘密鍵 ： $d=37$

とします。この公開鍵と秘密鍵の作り方は後で述べます。平文から暗号文への変換（＝暗号化）と、暗号文から平文への変換（＝復号化）を次の計算で行います。以降の記述では、$a$ を $b$ で割った余り（＝剰余）を $amodb$ と書きます（プログラム言語やEXCELで $mod\left(a,b\right)$ と書くのと同じ意味です）。

暗号化 ： $\mathbb{C}={\mathbb{P}}^{e}modn$
復号化 ： $\mathbb{P}={\mathbb{C}}^{d}modn$

例題の平文を暗号化の式に入れると、

$\mathbb{C}={82}^{133}mod143=4$

となり、平文 "$82$" に対する暗号文は "$4$" です。${82}^{133}$ は巨大な数ですが、剰余を求めるときにこの巨大数を計算する必要は全くありません。上の程度の計算なら電卓でも簡単にできます。そのやり方は後ほど示します（「4. RSA暗号の証明」）。暗号文の復号化は、暗号文 "$4$" を復号化の式に入れると、

$\mathbb{P}=4^{37}mod143=82$

となり、元の平文である "$82$" が復元できました。なお、この例では平文をわずか１文字（$2^7$ 以下の数字）としましたが、実際に使われる暗号では $2^{1024}$ 程度（10進で約300桁程度）の数字です（＝ 平文を数字化したもの。平文が長い場合は複数に分割）。また、公開鍵 $\left(e,n\right)$ と秘密鍵 $d$ も同程度の大きさの数字です。

この計算で暗号化と復号化が可能なのは、公開鍵と秘密鍵の作り方に工夫があるからです。まず $n$ は２つの素数 $p=11$ と $q=13$ の積です。

また $e$ は、$e$ と $\left(p-1\right)\left(q-1\right)=120$ との最大公約数が $1$ であるように決めてあります。$e=133=7·19$ なので、$133$ と $120$ との共通の約数は $1$ だけです。さらに秘密鍵である $d$ は、

$d·emod\left(p-1\right)\left(q-1\right)=1$

となるように決めてあります。$37·133=4921=41·120+1$ なので成り立っています。このように鍵を仕込んでおくと暗号化と復号化が可能になる。そのことを証明するのが、本記事の目的です。その証明を、前提とする数学知識を最小限にしてやってみたいと思います。

---

公開鍵暗号は「公開鍵から秘密鍵が導出できない」ことが必須です。RSA暗号では、$n=p·q$ と素因数分解ができれば、

$d·emod\left(p-1\right)\left(q-1\right)=1$

の式を解いて $d$ が求まります。しかし実用で使われるRSA暗号は最低でも $n$ の桁数が10進数で300桁程度です（２進数で 1024ビット程度。平文も同等の長さ）。この程度の大きさの整数の素因数分解は、超高速コンピュータをもってしても困難です。もしコンピュータの速度がさらに向上するなら、鍵の桁数をさらに大きくすればよい。この素因数分解の困難性が、RSA暗号が成り立つ理由です。

---

以降でRSA暗号の暗号化と復号化の式が成り立つことの証明を行います。さらに、単に成り立つことだけでなく、RSA暗号に関わる各種の式が計算可能であることの説明をします。"式が正しい" ことと、その "式が実用的に計算可能である" ことは違うからです。素因数分解がまさにその例です。

まず、整数の性質についての用語の定義からです。用語は RSA暗号の式の証明に必要なものだけに絞ります。以降に現れる "数" やそれを表す記号は、ほとんど場合は整数のことですが、自然数（1以上の整数）を意味する場合もあります。どちらかは文脈から明らかなので、いちいち断りなく使います。

---

準備：用語の定義

---

割り切る・約数・因数・最大公約数

整数 $N$ を $a$ で割ったときの余りがゼロのとき、$N$ は $a$ で割り切れると言い、また、$a$ は $N$ を割り切ると言います。このことを記号を使って、

$a|N$

と書きます。またこのときの $a$ を $N$ の約数と呼びます。$N|N$ と $1|N$ は常に成り立つので、$1$ と $N$ は $N$ の約数です。

$N$ が 2つ以上の数の積で表されるとき、そのおのおのの数を $N$ の因数と呼びます。因数は約数と同じものですが、見方の違いと言えるでしょう。

２つの数、$N$ と $M$ があったとき、共通の約数を公約数と言います。また、公約数のうち最大のものを最大公約数と呼び、$gcd\left(N,M\right)$ で表します。

素数と素因数分解

2以上の整数 $N$ の約数が 1 と $N$ のみのとき、$N$ を素数と言い、そうでない数を合成数と言います。合成数は 1 と $N$ 以外の約数を持ちます。約数（＝因数）が素数のとき、それを素因数と呼びます。$N$ が素数の場合は $N$ が素因数です。

合成数は素因数の積で表現できます（＝素因数分解）。なぜなら、定義によって合成数 $N$ は、$1$ でも $N$ でもない数 $a$ と $b$ を使って $N=a·b$ と表現（＝分解）できますが、$a$ や $b$ が合成数なら、さらに分解を繰り返すことによって最終的には素数の積にたどり着くからです。なお便宜上、素数はそれ自身が素因数分解であるとします。

「素数」と「大きな数の素因数分解の困難性」が RSA暗号の基礎になっているのは、例題で説明した通りです。

素因数分解の一意性

素因数分解は、かけ算の順序を無視して一意に決まります（＝素因数分解の一意性）。これは自明のように思えますが、証明をすると次の通りです。

いま（かけ算の順序は無視して）異なった２種類の素数列の積で表現できる合成数がある（＝素因数分解が一意ではない）と仮定します。すると、そのような最小の数、$N$ があるはずです。このとき $N$ は、$p_i$ と $q_i$ を素数として、

$N=p_1{p}_2{p}_3\dots p_r=q_1{q}_2{q}_3\dots q_s$

と表現できます。ここで $p_1$ に着目すると $p_1|N$ なので、$p_1|q_i$ となる $q_i$ があるはずです。かけ算の順序は無視するので、$p_1|q_1$ として一般性を失いません。ところが $q_1$ は素数なので、$q_1=p_1$ しかあり得ない。そこで式の全体を $p_1$ で割ると、

$\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.=p_2{p}_3\dots p_r=q_2{q}_3\dots q_s$

となります。これは $\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.$ が２つの異なった形に素因数分解できることを示しています。ところが $\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.$ は $N$ より小さい数なので「$N$ が２つの異なった形に素因数分解できる最小の数」ということに矛盾します。従って「２つの異なった形で素因数分解できる数がある」という仮定が誤りであり、素因数分解の一意性が示されました。

互いに素

整数 $N$ と 整数 $M$ の最大公約数が $1$ のとき、つまり $gcd\left(N,M\right)=1$ のとき、「$N$ と $M$ は互いに素である」と言います。これは $N$ と $M$ が共通の素因数を持たないことと同じです。なお、$gcd\left(N,1\right)=1$ は常に成り立つので、$1$ は他の数と互いに素です。

以降の、RSA暗号の証明に至るプロセスでは「互いに素」に関連した数々の定理や証明が出てきます。RSA暗号は「素数」と「互いに素」の上に構築された暗号です。

---

用語の定義はここまでです。以降はRSA暗号の成立性の証明に入ります。まず、数の "合同" の概念からです。

---

１. 合同

---

合同の概念はRSA暗号の根幹の一つです。$m$ を 2 以上の整数とするとき、２つの整数 $a$, $b$ について

・	$a$ を $m$ で割ったときの余りと、$b$ を $m$ で割ったときの余りが等しいとき、 あるいは同じことで、
・	$\left(a-b\right)$ が $m$ で割り切れるとき、つまり $m|\left(a-b\right)$ のとき、

$a$ と $b$ は $m$ を法として合同であると言い、

$a\equiv b\left(modm\right)$

と書きます。少々ややこしいですが、はじめに書いたように $amodb$ とすると「$a$ を $b$ で割った余り」の意味です。以下に、合同の性質でRSA暗号の証明に必要なものをあげます。

1.1
$a\equiv b\left(modm\right)$　かつ、 $c\equiv d\left(modm\right)$　のとき、 1.1a　$a+c\equiv b+d\left(modm\right)$ 1.1b　$a-c\equiv b-d\left(modm\right)$ 1.1c　$ac\equiv bd\left(modm\right)$

これらの性質は、それぞれの数を、

$$\begin{gathered} a=k_a·m+r_1 \\ b=k_b·m+r_1 \\ c=k_c·m+r_2 \\ d=k_d·m+r_2 \end{gathered}$$

というように書いて計算をすればすぐにわかります。たとえば 1.1c（合同式の乗算）を証明するには、$a$ と $c$ の式をかけ算し、$b$ と $d$ の式をかけ算して、

$$\begin{gathered} m\left|\left(ac-r_1{r}_2\right) \\ m\right|\left(bd-r_1{r}_2\right) \end{gathered}$$

が得られますが、２つの数が共に $m$ で割り切れると、その差も $m$ で割り切れます。従って、

$$\begin{gathered} m\left|\left(\left(ac-r_1{r}_2\right)-\left(bd-r_1{r}_2\right)\right) \\ m\right|\left(ac-bd\right) \\ ac\equiv bd\left(modm\right) \end{gathered}$$

となります。

1.2	合同式の累乗（冪乗）
$a\equiv b\left(modm\right)$ なら、2以上の $r$ について、 $a^r\equiv b^r\left(modm\right)$ である。

これは 1.1c で、$c=a$、$d=b$ とおいて 1.1c を "繰り返して使う" ことでわかります。"繰り返して使う" ことを証明として書くなら数学的帰納法になるでしょう。以降は「互いに素」に関連した合同の性質です。

1.3	互いに素（１）
$ax\equiv bx\left(modm\right)$ かつ、 $x$ と $m$ が互いに素なら、 $a\equiv b\left(modm\right)$

合同の定義により

$$\begin{gathered} m\left|\left(ax-bx\right) \\ m\right|x\left(a-b\right) \end{gathered}$$

となります。ここで一般的に次の 1.3a が成り立つことに注意します。

1.3a
$m$ は $x$ と互いに素とする。 $m|xn$ ならば $m|n$

$m$ と $x$ は互いに素なので、$m$ と $x$ に共通の素因数はありません。従って、$m$ を素因数分解したときに現れる素因数は、すべて $n$ の素因数のはずです。でないと、$m|xn$ とはならないからです。従って $m|n$ となります。このことを $m|x\left(a-b\right)$ に適用すると、

$$\begin{gathered} m|\left(a-b\right) \\ a\equiv b\left(modm\right) \end{gathered}$$

となり、1.3 が証明されました。1.3 は以降の証明にたびたび出てくる重要な定理です。1.3 を一般化したのが次の 1.4 です。

1.4	互いに素（２）
$ax\equiv by\left(modm\right)$ かつ、 $\phantom{a}x\equiv \phantom{b}y\left(modm\right)$ かつ、 $x$ と $y$ は $m$ と互いに素なら、 $a\equiv b\left(modm\right)$

$a$, $b$, $x$, $y$ を、$m$ と 剰余 $r$ を使って次のように表します。

$$\begin{gathered} \begin{array}{ll}a& =k_a·m+r_a\\ b& =k_b·m+r_b\\ x& =k_x·m+r\\ y& =k_y·m+r\end{array} \\ \left(0\le r_a,r_b,r<m\right) \end{gathered}$$

このようにおくと、$ax\equiv by\left(modm\right)$ より、

$r·r_a\equiv r·r_b\left(modm\right)$

となります。一方、$r$ と $m$ は互いに素です。なぜなら、もし $r$ と $m$ が $1$ ではない共通の約数 $c$ をもつとすると、上の $x$ の式から $c$ は $x$ の約数にもなり、$x$ と $m$ が互いに素ではなくなるからです。また、$y$ の式から $c$ は $y$ の約数でもあり、$y$ と $m$ が互いに素という前提にも反します。このように $r$ と $m$ は互いに素なので 1.3 を使って、

$r_a\equiv r_b\left(modm\right)$

となりますが、$0\le r_a,r_b <m$ なので、$r_a=r_b$ となり、

$a\equiv b\left(modm\right)$

が示されました。

1.5	互いに素（３）
$m$ と $n$ は互いに素とする。 $a\equiv b\left(modm\right)$ かつ、 $a\equiv b\left(modn\right)$ なら、 $a\equiv b\left(modmn\right)$

$a\equiv b\left(modm\right)$ なので、合同の定義から $m|\left(a-b\right)$ です。また、$a\equiv b\left(modn\right)$ なので、合同の定義から $n|\left(a-b\right)$ であり、$a-b=k_{1}n$ と表せます。この式の $a-b$ を $m|\left(a-b\right)$ に代入すると、

$m|k_{1}n$

となります。$m$ と $n$ は互いに素なので 1.3a を使うと、

$m|k_1$

となり、従って $k_1=k_{2}m$ と表せることになります。この $k_1$ を $a-b=k_{1}n$ に代入すると、

$$\begin{gathered} a-b=k_{2}mn \\ mn|\left(a-b\right) \\ a\equiv b\left(modmn\right) \end{gathered}$$

となって 1.5 が証明できました。

---

合同には数々の性質や定理がありますが、RSA暗号の証明に必要なものは以上です。次に、２つの数の最大公約数を求める「ユークリッドの互除法」です。これは最大公約数を求める計算方法というだけでなく、RSA暗号において公開鍵と秘密鍵を生成する際に必須のものです。

---

２. ユークリッドの互除法

---

ユークリッドの互除法は ２つの自然数（$a$ と $b$。$a>b$ とします）の最大公約数を求める計算方法です。これはユークリッドの数学書である『原論』にあります。『原論』は紀元前 300年頃の成立といいますから、2300年ほど前の書物ということになります。

この計算方法では、割り算（除算）を何ステップか繰り返します。割り算において被除数（＝割られる数）と除数（＝割る数）、商（＝答）、剰余（＝余り）の関係は、

被除数 ＝ 商 × 除数 ＋ 剰余

ですが、まず第１ステップとして、

被除数１	＝ $a$
除数１	＝ $b$

とおき、

被除数１ ＝ 商１ × 除数１ ＋ 剰余１

の計算をして、商１と剰余１を求めます。次に第２ステップとして、

被除数２	＝ 除数１
除数２	＝ 剰余１

とおいて割り算を行い、商２と剰余２を求めます。つまり、

被除数２ ＝ 商２ × 除数２ ＋ 剰余２

です。この「除数と剰余を新たな被除数と除数にして割り算をする」ステップを次々と繰り返して行くと、剰余は次第に小さくなっていき、ついには剰余がゼロ（＝ 被除数が除数で割り切れる）となります。この時点での除数（＝ 一つ前のステップの剰余）が $a$ と $b$ の最大公約数です。

なぜそうなるのかが以下ですが、ポイントは割り算の式から明らかなように「被除数と除数の公約数は、剰余の約数でもある」ことです。つまり $a$ と $b$ の約数であるという性質が剰余に引き継がれ、それは割り算のステップを繰り返してもずっと続きます。しかも、剰余はステップが進むにつれて小さくなっていくので、最大公約数に近づく。そして割り切れたときの除数（一つ前のステップの剰余）は、約数であると同時に最大の約数である。おおまかにはそのような理解です。

2.1	ユークリッドの互除法
$a$と $b$ を自然数とし、$a>b$ とする。 $\begin{array}{llll}a& =q_1·b_{\phantom{1}}+r_1& \text{ ⋯}& \text{(1)}\\ b& =q_2·r_1+r_2& \text{ ⋯}& \text{(2)}\\ r_1& =q_3·r_2+r_3& \text{ ⋯}& \text{(3)}\\ r_2& =q_4·r_3+r_4& \text{ ⋯}& \text{(4)}\\ \text{⋮}& & & \\ r_{i-4}& =q_{i-2}·r_{i-3}+r_{i-2}& \text{ ⋯}& \text{(i−2)}\\ r_{i-3}& =q_{i-1}·r_{i-2}+r_{i-1}& \text{ ⋯}& \text{(i−1)}\\ r_{i-2}& =q_{i\phantom{-0}}·r_{i-1}+r_{i\phantom{-0}}& \text{ ⋯}& \text{(i)}\\ r_{i-1}& =q_{i+1}·r_i& \text{ ⋯}& \text{(i+1)}\end{array}$ となったとき、 $gcd\left(a,b\right)=r_i$ である。

$a$ と $b$（$a>b$）の公約数を $x$ とします。すると、$x|a$ かつ $x|b$ なので、$\text{(1)}$ 式から $x|r_1$ になります。この $x|r_1$ と $x|b$ から $\text{(2)}$ 式を使って $x|r_2$ が得られます。

その次には $x|r_1$ 、$x|r_2$ 、(3) 式から $x|r_3$ になる。以上を最後まで繰り返すと、次のようになります。

$\begin{array}{lllll}x|a\text{,}& x|b\text{,}& \text{(1)式}& \stackrel{}{\to }& x|r_1\\ x|b\text{,}& x|r_1\text{,}& \text{(2)式}& \stackrel{}{\to }& x|r_2\\ x|r_1\text{,}& x|r_2\text{,}& \text{(3)式}& \stackrel{}{\to }& x|r_3\\ \text{⋮}& & & & \\ x|r_{i-4}\text{,}& x|r_{i-3}\text{,}& \text{(i−2)式}& \stackrel{}{\to }& x|r_{i-2}\\ x|r_{i-3}\text{,}& x|r_{i-2}\text{,}& \text{(i−1)式}& \stackrel{}{\to }& x|r_{i-1}\\ x|r_{i-2}\text{,}& x|r_{i-1}\text{,}& \text{(i)式}& \stackrel{}{\to }& x|r_i\end{array}$

以上のように、最終的には $x|r_i$ となり、

$a$ と $b$ の公約数は $r_i$ の約数である

ことが示せました。同時に、

$a$ と $b$ の公約数の最大値は $r_i$ である

ことも分かります。

---

次に、ユークリッドの互除法の最終プロセスに現れる剰余は、全てのステップの剰余の約数になっていることを示します。このことを最終ステップから順に遡って検証すると、

となり、$r_i|b$ かつ $r_i|a$、つまり、

$r_i$ は $a$ と $b$ の公約数である

ことが示せました。

---

従って、

◆	$r_i$ は $a$ と $b$ の公約数である
◆	$a$ と $b$ の公約数の最大値は $r_i$ である

の２つから、$gcd\left(a,b\right)=r_i$ が証明できました。

計算量

RSA暗号にとってのユークリッドの互除法の意味ですが、次の２つが重要です。まず第１に「２つの数の最大公約数は、素因数分解なしに計算できる」ことです。これはすなわち「２つの数が互いに素であることが素因数分解なしに示せる」ことも意味します。

我々が普通、学校で習う最大公約数の求め方は、２つの数を素因数分解して共通の素因数を探すというものでした。共通のものがなければ最大公約数は $1$（＝互いに素）です。しかし、数が巨大になると素因数分解が困難になります（それがRSA暗号が成り立つゆえんです）。ユークリッドの互除法を使うと「最大公約数」や「互いに素」が素因数分解なしに示せるのです。

第２は、ユークリッドの互除法が高速に計算できることです。ユークリッドの互除法では、一つのステップの剰余が次のステップの除数になります。次のステップの剰余は除数より小さいので、

$0<r_{i+1}<r_i$

となりますが、$r_{i+1}$ が $0$ に近いと計算は急速に収束します。また $r_{i+1}$ が $r_i$ に近い場合でも、その次のステップの商が大きくなり、$r_{i+2}$ が $0$ に近くなるので、計算は収束することになります。従って、最も計算が長引くのは、$r_{i+1}$ が $r_i$ の半分程度で、それが連続する場合だと推測できます。

実は、ユークリッドの互除法のステップが最も長くなるケースが知られています。それは 割り算の商が常に $1$ になるケースで、$a$ と $b$ が（たまたま）フィボナッチ数列の隣り合う２項だとそうなります。フィボナッチ数列とは、

$$\begin{gathered} F_0=0\text{, }{F}_1=1 \\ {F}_{n+2}=F_{n+1}+F_n \end{gathered}$$

で定義される数列で、実際に書いてみると、

$0,1,1,2,3,5,8,13,21,34,55,89,\cdots$

です。いま、$a=144$、$b=89$ としてユークリッドの互除法の計算をしてみると

となって、10ステップかかります。剰余が減る割合が常に 0.6 倍程度で、なかなか減りません。商が常に 1 なのでこうなります。しかし、なかなか減らないが毎回 0.6 倍程度にはなり、マクロ的には急速に小さくなる。証明は省略しますが、$a$ と $b$ が10進で $N$ 桁の数字でフィボナッチ数列の隣り合う２項だった場合でも、ユークリッドの互除法は $5\ast N$ ステップ以下で終了します。

これは $a$ と$b$ が300桁程度の数字のとき、それが偶然にもフィボナッチ級数の隣り合う２項であるという最悪の最悪の場合でも 1500回の割り算で終了することを意味します。この程度の計算はもちろんコンピュータで可能です。

---

本題に戻ります。最初の「RSA暗号の例題」のところで公開鍵の作り方を書きました。まず２つの素数、$p$ と $q$ を選び、$n=p·q$ とします。次に、$\left(p-1\right)\left(q-1\right)$ との最大公約数が $1$ であるような数（＝互いに素）を選び、それを $e$ とします。その $\left(e,n\right)$ のペアを公開鍵とするのでした。

$n$ と同程度の大きさの数、$e$ をランダムに選んだとき、その $e$ が $\left(p-1\right)\left(q-1\right)$ と互いに素であるかどうかは、ユークリッドの互除法で検証可能です。そしてこの検証は $p$ と $q$ が巨大な数であっても可能です。つまりユークリッドの互除法は公開鍵が現実に作成できるという数学的根拠になっています。

アルゴリズム

2.1 において、$a$ と $b$ の最大公約数は $r_i$ でしたが、この $r_i$ は (1)式における $b$ と $r_1$ の最大公約数にもなります。なぜなら、$b$ と $r_1$ の最大公約数を求めるためには (2)式から互除法の計算を始めればよく、その結果は $r_i$ になるからです。これは次を意味します。

2.1a
$a$と $b$ を自然数とし、$a>b$ とする。$a$ を $a=q·b+r\left(1\le q,0<r\right)$ と書き表せるとき、 $gcd\left(a,b\right)=gcd\left(b,r\right)$ である。

つまり、ユークリッドの互除法は

「	$a$ と $b$ の最大公約数を求める問題」を「より小さな数である $b$ と $r$ の最大公約数を求める問題」に置き換える

ものといえます。この置き換えは次々と可能で、置き換えるたびに問題がより "小さく" なっていく。これがユークリッドの互除法の本質です。

そのユークリッドの互除法は "世界最古のアルゴリズム" と言われています。そして、アルゴリズムを記述するのに最適な言語はプログラミング言語です。2.1a の考え方に基づき、ユークリッドの互除法で最大公約数を計算するプログラムを掲げます。

2.1b	アルゴリズム
ユークリッドの互除法で a と b の最大公約数を求める関数 EUCLID（Javascriptで記述） function EUCLID( a, b ) { 　if( a % b == 0 )  // ① 　　return b; 　else 　　return EUCLID( b, a % b ); }

①の "%" は Javascript の剰余演算子で、"a % b" は "a を b で割った余り" という意味です（a mod b と同じ）。なお、このプログラムは $a<b$ でも動作します。

もちろん、Javascript でなくても、C++ でも Python でも記述できます。このようにプログラムで書くと簡潔になって、ユークリッドの互除法というアルゴリズムの本質がクリアにわかります。

拡張ユークリッドの互除法

ユークリッドの互除法の "副産物" として、次の定理が成り立ちます。

2.2
$a$ と $b$ を自然数とする。このとき適当な整数 $u$、$v$ をとって、 $gcd\left(a,b\right)=u·a+v·b$ と表せる。

この定理の証明ですが、ユークリッドの互除法の計算過程を振り返ると、

$\begin{array}{llll}a& =q_1·b_{\phantom{1}}+r_1& \text{ ⋯}& \text{(1)}\\ b& =q_2·r_1+r_2& \text{ ⋯}& \text{(2)}\\ r_1& =q_3·r_2+r_3& \text{ ⋯}& \text{(3)}\\ r_2& =q_4·r_3+r_4& \text{ ⋯}& \text{(4)}\\ \text{⋮}& & & \\ r_{i-3}& =q_{i-1}·r_{i-2}+r_{i-1}& \text{ ⋯}& \text{(i−1)}\\ r_{i-2}& =q_{i\phantom{-0}}·r_{i-1}+r_{i\phantom{-0}}& \text{ ⋯}& \text{(i)}\\ r_{i-1}& =q_{i+1}·r_i& \text{ ⋯}& \text{(i+1)}\end{array}$

でした。ここで $\text{(1)}$ を変形して、

$r_1=u_1·a+v_1·b$

とします。$u_1=1\text{, }{v}_1=-q_1$ です。次に、今求めた $r_1$ と $\text{(2)}$ を使うと、

$r_2=u_2·a+v_2·b$

の形に表せることになります。 です。さらに、求まった $r_1$ と $r_2$ と $\text{(3)}$ を使って、

$r_3=u_3·a+v_3·b$

と表せることが分かります。このステップを順に続けていって $\text{(i)}$ まで到達すると、

$r_i=u·a+v·b$
　$u$, $v$ は $q_j\left(1\le j\le i\right)$ の式

となることがわかります。$r_i=gcd\left(a,b\right)$ だったので、2.2 が証明できました。$u$ と $v$ のうち、一つは正の整数、もう一つはゼロか負の整数です。一つがゼロであるのは、$a=b$ のときです。なお、2.2 を満たす $u$、$v$ に、

$u·a+v·b=0$

を満たす $u$、$v$ をそれぞれ足し込んでも 2.2 が成立することが明白です。つまり 2.2 を満たす $u$、$v$ は１組というわけではありません。

なお、2.2 は次のように言い換えることができます。

2.2a	不定方程式の整数解
$a$ と $b$ を自然数とする。このとき、不定方程式 $ax+by=gcd\left(a,b\right)$ は整数解をもつ。

拡張ユークリッドの互除法のアルゴリズム

ユークリッドの互除法を拡張して、$a$ と $b$ が与えられたとき、$\gcd \left(a,b\right)$ と、

$au+bv=gcd\left(a,b\right)$

を満たす $u$ と $v$（＝無数にある解のうちの一つのペア）を同時に計算してしまうアルゴリズムを考えてみます。

考え方は 2.1b のユークリッドの互除法と同じで、解くべき問題を「等価でより小さな問題」に置き換えます。そのために $a=qb+r$ とおくと、2.1a より、

$gcd\left(a,b\right)=gcd\left(b,r\right)$

なので、問題は次のように書き換えられます。

$\left(qb+r\right)u+bv=gcd\left(b,r\right)$

ここで、未知数の $u$ と $v$ を次のように変換します。

$$\begin{gathered} u=V \\ v=U-qV \end{gathered}$$

これを代入して式を整理すると

$bU+rV=gcd\left(b,r\right)$

となり、"小さな問題" に変換することができました。この考え方でアルゴリズムを記述すると次のとおりです。

2.2b	拡張ユークリッドの互除法
a と b から拡張ユークリッドの互除法で（u, v, 最大公約数）の３つを同時に求める関数 extdEUCLID（Javascriptで記述） function extdEUCLID( a, b ) { 　var r = a % b;  // ① 　if( r == 0 ) 　　return { u : 0, v : 1, gcd : b };  // ② 　else { 　　var q = Math.floor( a / b );  // ③ 　　var s = extdEUCLID( b, r );  // ④ 　　return { 　　　u : s.v,  // ⑤ 　　　v : (s.u - q * s.v),  // 　　　gcd : s.gcd  // 　　}; 　} }

以下は、このアルゴリズムの補足説明です。

①	var：変数の宣言。%：剰余演算子。
②	a が b で割り切れるなら解が求まる。自然な解を関数値として返す。関数値は３つの変数（u, v, gcd）をひとまとめにしたオブジェクト。
③	商を求め、小数点以下を切り捨て整数化する。Javascript には実数・整数の区別がないので整数化（組み込み関数の Math.floor）が必要。
④	小さな問題として計算する。
⑤	変数を元に戻して、関数値（u, v, gcd）を返す。

この拡張ユークリッドの互除法のアルゴリズムは、2.1b のユークリッドのアルゴリズムとほぼ同じです。ただし、$u$ と $v$ の計算のために変数を変換しているので、最大公約数を計算したあとに元の変数値を求める必要があります（＝⑤）。そこが違います。

このことから、拡張ユークリッドの互除法の計算量は、ユークリッドの互除法のほぼ２倍だと推測できます。計算は少々複雑になりますが、たとえ $a$ や $b$ が巨大な数であっても、コンピュータで高速に計算できる。このことは次の「整数の逆数」の項で述べるように、RSA暗号にとっての重要ポイントになります。

整数の逆数

2.2 から導かれる次の定理は、RSA暗号にとって重要です。

2.3	逆数の存在
$gcd\left(a,m\right)=1$ なら（＝ $a$ と $m$ が互いに素なら）、 $a·b\equiv 1\left(modm\right)$ となる $b$ が存在する。この $b$ は $1\le b<m$ の範囲では一意に定まる（＝ $m$ を法として唯一）。

2.2 において $a$と互いに素な数 $m$ を選び、$b=m$ とおくと、$gcd\left(a,m\right)=1$ なので、適当な $u$ と $v$ をとることにより、

$u·a+v·m=1$

とすることができます。すなわち、

$a·u\equiv 1\left(modm\right)$

となり、2.3 が示されました。2.3 において $b_1$ と $b_2$ の２つの解があるとすると、

$$\begin{gathered} a·b_1\equiv 1\left(modm\right) \\ a·b_2\equiv 1\left(modm\right) \\ a\left(b_1-b_2\right)\equiv 0\left(modm\right) \\ m|a\left(b_1-b_2\right) \end{gathered}$$

となり、$a$ と $m$ は互いに素なので 1.3a より、

$$\begin{gathered} m|\left(b_1-b_2\right) \\ {b}_1\equiv b_2\left(modm\right) \end{gathered}$$

となります。従って、$1\le b<m$ の範囲に $b$ があり、かつ、この範囲で $b$ は一意に定まります。$m$ を法として $b$ と合同な数も解であることは明白ですが、それらの解は $m$ を法として唯一です。

---

2.3 の "逆数" を計算するアルゴリズムは、拡張ユークリッドの互除法2.2 のアルゴリズム（2.2b）と基本的に同じです。

2.3a	逆数の計算アルゴリズム
m を法とする a の逆数を求める関数 INVERSE（Javascriptで記述） function INVERSE( a, m ) { 　var b = extdEUCLID( a, m ).u % m; // ① 　return ( b + m ) % m; // 　function extdEUCLID( a, b ) { 　　var r = a % b; 　　if( r == 0 ) 　　　return { u : 0, v : 1, gcd : b }; 　　else { 　　　var q = Math.floor( a / b ); 　　　var s = extdEUCLID( b, r ); 　　　return { 　　　　u : s.v, 　　　　v : (s.u - q * s.v), 　　　　gcd : s.gcd 　　　}; 　　} 　} // extdEUCLID 終わり // } // INVERSE 終わり

①で、extdEUCLID のアルゴリズム（2.2b）を使って $u$ を求め、それを $m$ 未満の自然数に直して答えの $b$ を求めています。（ b + m ）% m は b が負の場合の配慮です。このアルゴリズムは正確に言うと、$a$ と $m$ が与えられたとき、

$a·b\equiv gcd\left(a,m\right)\left(modm\right)$

となる $b$ を求めるアルゴリズムです。$a$ と $m$ が互いに素でなくても成立します。

---

この "逆数の存在定理" は RSA暗号において秘密鍵の算出に使われています。冒頭の「RSA暗号の例題」に書いたように、RSA暗号の公開鍵と秘密鍵は、まず秘密の２つの素数 $p$ と $q$ を決め、

$n=p·q$

とします。そして $e$ を、

$gcd\left(e,\left(p-1\right)\left(q-1\right)\right)=1$

となるように決め、$n$ と $e$ を公開鍵とするのでした。そして秘密鍵 $d$ を、

$d·e\equiv 1\left(mod\left(p-1\right)\left(q-1\right)\right)$

を満たす数とします。この秘密鍵 $d$ の計算は、$mod\left(p-1\right)\left(q-1\right)$ の世界で $e$ の逆数を求めていることに他なりません。逆数の存在が保証されるのは、$e$ を $\left(p-1\right)\left(q-1\right)$ と互いに素という条件で決めたからです。さらに、この逆数の計算アルゴリズムは 2.2b の拡張ユークリッドの互除法と同じなので高速に計算できることが重要ポイントです。

---

普通、整数の "逆数"は（整数の範囲で）定義できません（1以外は）。しかし、"$modm$ の合同の世界" では、$m$ と互いに素な数 $a$ に対して逆数が定義できることになります。つまり整数の範囲で「割り算」が定義できる。

たとえば $mod10$ の世界では $7\times 3=1$ であり、$7$ の逆数は $3$ です。割り算は逆数のかけ算なので、たとえば $8÷7=8\times 3=4$（$mod10$ の世界）といった演算が定義できます。"検算" をすると $4\times 7=8$（$mod10$ の世界）なので合っています。

$mod10$ の場合は実用的な意味はありませんが、$p$ を素数としたとき「$modp$ の世界」は大変重要です。というのも $p$ 未満の自然数はすべて $p$ と互いに素だからです。つまり $p$ 未満の全ての自然数に対して "逆数" が定義できます。

2.3b	逆数の存在：法が素数
$p$ を素数とする。$p$ 未満の自然数 $a$ に対して、 $a·b\equiv 1\left(modp\right)$ を満たす逆数 $b$ が $1\le b<p$ の範囲で一意に定まる。また、異なる $a$ に対する逆数 $b$ は異なる。

2.3b はほとんど 2.3 と同じです。「異なる $a$ に対する逆数 $b$ は異なる」というところですが、もし $1\le i<j<p$ である $i$ と $j$ に対して、

$$\begin{gathered} i·b\equiv 1\left(modp\right) \\ j·b\equiv 1\left(modp\right) \end{gathered}$$

となったとすると、

$\left(j-i\right)·b\equiv 0\left(modp\right)$

ですが、$\left(j-i\right)$ も $b$ も $p$ と素なので矛盾します。異なる $a$ に対する逆数 $b$ は異なります。

このように逆数が存在するということは、$p$ 未満の２つの自然数の "除算" が定義できます。さらに、$0$ と $p$ 未満の自然数を合わせると加減乗除が行えることになります。

加減乗除が定義された集合を「体（Field）」と呼びます。有理数、実数、複素数は「体」ですが、「$0$ と $p$ 未満の自然数」も体になります。これを ${\mathbb{F}}_p$ と表記します。この集合の要素の数は有限個なので「有限体」です。 ${\mathbb{F}}_{13}$ の場合（$mod13$）で "逆数" の計算をしてみると、

$\begin{array}{rr}1·& 1\equiv 1\left(mod13\right)\\ 2·& 7\equiv 1\left(mod13\right)\\ 3·& 9\equiv 1\left(mod13\right)\\ 4·& 10\equiv 1\left(mod13\right)\\ 5·& 8\equiv 1\left(mod13\right)\\ 6·& 11\equiv 1\left(mod13\right)\\ 7·& 2\equiv 1\left(mod13\right)\\ 8·& 5\equiv 1\left(mod13\right)\\ 9·& 3\equiv 1\left(mod13\right)\\ 10·& 4\equiv 1\left(mod13\right)\\ 11·& 6\equiv 1\left(mod13\right)\\ 12·& 12\equiv 1\left(mod13\right)\end{array}$

となり、$0$ 以外の ${\mathbb{F}}_{13}$ の要素は、その逆数（＝逆元）と１対１に対応していることがわかります。

${\mathbb{F}}_p$ においては "整数" の加減乗除を "自由かつ厳密に" 行うことができます。これは、全ての情報を２進数に帰着させて扱うデジタル・コンピュータとの相性がよい。このため、公開鍵暗号の中には ${\mathbb{F}}_p$ の演算を利用したものがあります。

なお、$p$ を素数としたとき「$p$ 未満の自然数はすべて $p$ と互いに素」ということは「$\left(p-1\right)!$ と $p$ は互いに素」ということです（" $!$ " は階乗記号）。これは次の「フェルマの小定理」の証明に出てきます。

---

３. フェルマの小定理

---

フェルマの小定理は RSA暗号の根幹にかかわるものです。フェルマは17世紀フランスの大数学者（1607-1665）で、有名なフェルマの最終定理（大定理）と区別するために「小定理」の名があります。

3.1	フェルマの小定理
$p$ を素数とし、$a$ を $p$ とは素な数とすると、 $a^{p-1}\equiv 1\left(modp\right)$ が成り立つ。

これは少々意外な定理です。我々が学校で習う素数は、自身と $1$ 以外の約数を持たない数という定義か、素因数分解の定理か、そういうものです。「素数がもつ性質」に言及した定理はあまり思い浮かばない。しかしフェルマの小定理は、素数であれば必ずこうなると言っているわけです。これは次のように証明できます。

$1,2,3,\dots ,p-1$ のそれぞれに $a$ をかけて、

$a,2a,3a,\dots ,\left(p-1\right)a$

という数列を作ります。そして、それぞれの数を $p$ で割った剰余を $b_i$ とします。つまり、

$\begin{array}{rll}a& \equiv b_1& \left(modp\right)\\ 2a& \equiv b_2& \left(modp\right)\\ 3a& \equiv b_3& \left(modp\right)\\ \text{⋮}& & \\ \left(p-1\right)a& \equiv b_{p-1}& \left(modp\right)\end{array}$

です。$p$ は素数なので $1$ から $\left(p-1\right)$ までの数は $p$ と素であり、また $a$ は仮定により $p$ と素です。従って $b_i$ が $0$ になることはなく、$1\le b_i\le \left(p-1\right)$ です。このとき、$1\le i\text{, }j\le \left(p-1\right)$ である $i\text{, }j$ について、

$i\ne j$ であれば、必ず $b_i\ne b_j$

になります。なぜなら、もし $b_i=b_j$ とすると、1.1b（合同式の減算）より、

$\left(i-j\right)a\equiv 0\left(modp\right)$

です。仮定より $a$ は $p$ と互いに素なので、1.3 により（1.3 で $b=0$ の場合）、

$\left(i-j\right)\equiv 0\left(modp\right)$

となりますが、$1\le i\text{, }j\le \left(p-1\right)$ なので、

$i=j$

となり仮定に反します。つまり$i\ne j$ であれば、必ず $b_i\ne b_j$ です。ということは、$\left(p-1\right)$ 個の数、$b_i\left(1\le i\le p-1\right)$ は全て違う数であり、つまり、$1,2,3,\dots ,p-1$ を並び替えたものです。従って、$b_i$ を全部かけ算すると、

$b_1{b}_2{b}_3\dots b_{p-1}=\left(p-1\right)!$

となります。そこで、1.1c（合同式の乗算）を上の $\left(p-1\right)$ 個の合同式に適用して左辺と右辺を全てかけ合わせてしまうと、

$$\begin{gathered} \left(p-1\right)!·a^{p-1} \\ \equiv b_1{b}_2{b}_3\dots b_{p-1}\left(modp\right) \\ \equiv \left(p-1\right)!\left(modp\right) \end{gathered}$$

となります。ここで、$p$ は素数なので $p$ と $\left(p-1\right)!$ は互いに素です。すると 1.3 により、

$a^{p-1}\equiv 1\left(modp\right)$

となり、証明が完成しました。

（次回に続く）

---

タグ：JavaScript 素数 アルゴリズム 素因数分解 最大公約数 合同 平文 RSA暗号 フィボナッチ数列 公開鍵 公約数 ヘルマン 暗号文 累乗 約数 秘密鍵 公開鍵暗号 ディフィー リベスト シャミア エーデルマン 冪乗 因数 合成数 互いに素 ユークリッドの互除法 拡張ユークリッドの互除法 フェルマの小定理

No.309 - 川合玉堂：荒波・早乙女・石楠花

東京・広尾の山種美術館で「開館55周年記念特別展 川合玉堂 ── 山﨑種二が愛した日本画の巨匠」と題した展覧会が、2021年2月6日～4月4日の会期で開催されたので、行ってきました。

山種美術館の創立者の山﨑種二（1893-1983）は川合玉堂（1873-1957）と懇意で、この美術館は71点もの玉堂作品を所蔵しています。そういうわけで、広尾に移転（2009年）からも何回かの川合玉堂展が開催されましたが（2013年、2017年など）、今回は所蔵作品の展示でした。

このブログでは、過去に川合玉堂の作品を何点か引用しました。制作年順にあげると次のとおりです。

『冬嶺孤鹿』（1898。25歳）

No.93「生物が主題の絵」

『吹雪』（1926。53歳）

No.199「円山応挙の朝顔」

『藤』（1929。56歳）
『鵜飼』（1931。58歳。東京藝術大学所蔵）

No.275「円山応挙：保津川図屏風」

これらはいずれも補足的なトピックとしての玉堂作品でしたが、今回はメインテーマにします。とは言え、展示されていた作品は多数あり、この場で取り上げるにはセレクトする必要があります。今回は "玉堂作品としてはちょっと異質" という観点から、『荒海』『早乙女さおとめ』『石楠花しゃくなげ』の３作品のことを書きます。

---

荒海

---

川合玉堂（1873-1957） 「荒海」（1944）

85.8cm × 117.6cm （山種美術館）

この絵については、2021年3月2日の朝日新聞に紹介記事がありました。執筆は朝日新聞・文化くらし報道部の西田健作記者です。的確な内容だと思ったので、まずそれを引用します。

美の履歴書 686 繰り返すリズムに何をを見た 「荒海」　川合玉堂 荒々しい波が磯の岩肌にぶつかる。しぶきが舞い、水が流れ落ちる。眺めていると、その音までが聞こえてきそうだ。日本画の大家・川合玉堂は終生、日本の四季や田園風景を卓越した筆さばきで描いた。目を凝らしてみると、道行く人々がごく小さく描かれているなど、人々の営みへの温かい視線を感じさせるものが多い。だが、この「荒海」は異質だ。 その理由は、この絵の発表の場となった展覧会にある。1944年の文部省戦時特別美術展には以下の出品条件が付いていた。「国体の精華、国土、国風」をたたえるもの、戦争を主題とするもの、戦意の高揚に資するもの ── などだ。 おそらく、玉堂は荒波で難局を、磯で揺るがぬ大日本帝国を表そうとしたのだろう。だが、それだけに収まらないのがこの絵の面白さだ。玉堂は10年以上前の「水に映る自然」と題した文章（32年）にこう書いている。「波などしばらく見詰めていると、同じリズムを繰り返し、そこに自おのずと波の線が見えて来るようになるものである」 山種美術館の山崎妙子館長は「難局を描く一方で、描きたかったものを描いている。だから単なる戦争画にとどまらず、絵としてすばらしい作品になった」。 玉堂は現在の横浜市金沢区にあった別荘を拠点に、波を観察し、写生を繰り返すことでこの絵を完成させた。32年の文章にはこうも記している。「絹紙に写す場合は水と気合を一にすることは云いうまでもない」。その言葉通り、「自ずと見える」波の線を、気合と共に描いてみせたのだ。（西田健作） 朝日新聞 2021年3月2日（夕刊）

この文章を要約すると、以下のようになるでしょう。

◆	この絵は1944年（昭和19年）の文部省戦時特別美術展に出品された。この美術展には「戦意の高揚に資する」という出品の条件がついていた。
◆	この絵も、難局（＝荒波）に立ち向かい、微動だにしない日本（＝磯の岩場）という象徴性があるのだろう。
◆	しかし玉堂は画題の制約条件に従いつつも、描きたいものを描いた。それは荒海の波そのものである。
◆	玉堂は実際の海を徹底的に観察して描いた。波は日本画の特徴である "線を駆使した表現" で描かれていて、そこには画家の "気合" が注入されているようだ。

玉堂は "何でも描ける画家" だと思うのですが、その中でも典型的な "玉堂スタイル" の絵というと「日本らしい、季節感あふれる自然や風景があり、その中に人物が点景として配置されている絵」です。その自然は山河であることが多く、また田園地帯のこともある。

しかしこの絵に人物はなく、さらに風景は海です。そこが "ちょっと異質" です。もちろんこれは、文部省戦時特別美術展に出品するという制約下で描かれたからです。特別美術展でこの絵を観た人は、おそらく全員が「岩 ＝ 日本」と考えたはずです。

しかし、そうであっても "玉堂らしさ全開の絵" という印象を受けるのは、引用した記事にある通りです。朝日新聞の西田記者は同じ記事で、この絵の「見どころ」として次の３点をあげていました。

・	遠くの海ほど群青の色が濃くなっている。
・	胡粉ごふんを使った手前のしぶきには薄墨で輪郭線が描かれている。
・	波がぶつかる瞬間と、波が引いて水が流れ落ちる瞬間が同時に描かれているようにも見える。

全体は黒（墨）と白（胡粉）の水墨画のような感じですが、淡い群青が使ってあります。群青＝海、胡粉＝波しぶきであり、その全体が各種の線で表現されています。ジグザク状の線で視線を誘導するダイナミックな構図と相まって、白い波しぶきが鑑賞者に迫ってくるような印象を受けます。海の群青が近くになるほど薄まって白一色になっていくのも、その印象を強めている。

この絵で玉堂は "海の波の５態" を描いたように見えます。遠景から近景までを順に書くと次のとおりです。

①	海の波の一般的なかたちである遠方の波。静かな海だとほとんど波が立たないこともあるが、描かれているのは荒れた海であり、波も大きい。
②	その波が陸地の浅瀬に近づくと、波頭が立ち上がる。
③	波が磯の岩場にぶつかり、砕けて飛び散る。その水しぶきは離れて見ると霧のようにも見える。
④	岩場からは、ぶつかった波の "残骸" がしたたり落ちる。
⑤	さらに波頭は岩場を越えてくるが、それが引くときには寄せる波とぶつかって激しい水沫が立ち上がる。それは③の "霧" ではなく、あくまで "水のしぶき" として見える。

さきほど「鑑賞者に迫ってくるような」と書きましたが、このような荒海の水の５態を描き分けることで、数秒～十数秒程度の時間の経緯までが画面に凝縮されているかのようです。川合玉堂の透徹した眼、観察眼を感じさせる素晴らしい作品だと思います。

---

この『荒海』とほぼ同じ時期に、玉堂は全く違った画題と雰囲気をもつ絵を描いています。それが次の絵で、『荒海』と対比して鑑賞すると興味深い作品です。

---

早乙女さおとめ

---

川合玉堂 「早乙女」（1945）

53.6cm × 87.1cm （山種美術館）

『荒海』が描かれて以降の玉堂の軌跡をたどると次のようです。

1944年（昭和19年。71歳）

7月、	東京都下西多摩郡三田村御岳（現、青梅市御岳）に疎開。
10月、	文部省戦時特別美術展に『荒海』を出品。
12月、	下西多摩郡古里村白丸（現、奥多摩町白丸）に転居。

1945年（昭和20年。72歳）

5月、	東京都牛込区（現、新宿区）若宮町にあった自宅が空襲で焼失。
8月、	敗戦。
12月、	御岳に戻る。ここが終ついの住処すみかとなる。

『早乙女』は、古里村白丸で描かれた絵です。この絵について、2013年6月30日のNHKの日曜美術館では「自宅が焼失して意気消沈した時期に描かれた」という意味の説明がありました。田植えの時期は地域によるとは思いますが、関東では5月から6月といったところです。まさにその時期の光景と考えてよいでしょう。

山を少し上ったところから水田を見下ろしたような構図です。画面のほどんどを水田が占め、右上には水路が流れていて舟が浮かんでいます。極めて単純化された画面の中で、５人の早乙女が田植えに勤いそしんでいる。その表情は楽しそうにも見えます。色数の少ない画面の中で、鮮やかな緑の"たらし込み" で描かれたあぜ道が印象的です。

戦時下の厳しい時期です。東京も大空襲で焼け野原になった年です。それでもこの絵の人々は、従来と変わらず田植えをしている。まさに、そこを描きたかったのだと思います。稲作は長期に渡る一連のプロセスで成立します。田起こし → 代掻き → 田植え → 雑草取り → 稲刈り → 脱穀 → 精米 と、半年以上にわたる作業が続きます。その他にも、あぜ道や水路の維持などが必要で、この絵はバックにあるそういった生活サイクルを暗示しています。

川合玉堂は（現）東京藝大の教授になり（1915年。大正4年。42歳）、文化勲章を受け（1940年。昭和15年。67歳）、皇后陛下の絵の指導までした人です。日本の画壇では、いわば "功成り名を遂げた" 日本画の大家です。その人が、72歳で自宅を完全に失ってしまった。さぞかし茫然とし、落胆したでしょう。

しかし疎開先の奥多摩の農民は、変わることなく日々の作業に勤いそしんでいる。玉堂は奥多摩で毎日、スケッチブックを持って散歩に出かけ、山道を歩き、野山や植物のスケッチを繰り返したと言います。そして帰ってきて画室で絵を描く。

川合玉堂 「田植図」（1945/1954） 54.5×72.4cm （静岡県立美術館）

この絵は "玉堂スタイル" からするとちょっと異質です。"玉堂スタイル" の多くの絵は、山河や農村、田園地帯の風景があり、そこで働く人々が点景として描かれています。田植えを描いた絵として静岡県立美術館が所蔵する『田植図』がありますが、この絵のような構図が典型でしょう。人物は風景の一部になっている。

しかし『早乙女』は働く人々がクローズアップされていて、田植えという「人の営み」が中心的な画題です。「人の営み」というと、玉堂が多数描いた『鵜飼』の絵を思い出しますが、それは故郷の岐阜の光景です。それに対し『早乙女』には、日本のどこにでもある「普通の人の普通の営み」が描かれている。

玉堂は『早乙女』の制作以降も、1957年（昭和32年）に83歳で亡くなるまで御岳みたけに住んで描き続け、その創作意欲が衰えることありませんでした。玉堂は『早乙女』に描かれた農民の姿、毎年のサイクルでつつましく生きる人々の姿に、自らの画家としてのあるべき姿を重ね合わせたのだと思います。

---

石楠花しゃくなげ

---

川合玉堂 「石楠花」（1930）

72.0cm × 101.5cm （山種美術館）

この絵が実際に経験した情景だとすると、山道を歩いていて、ふと石楠花が目に付く。それを凝視してから眼をそらすと、遠くに残雪をいだいた険しい連峰が見える。そういった光景でしょう。

この絵の特徴は、花卉かき図と山水図を合体させたような描き方にあります。題名にあるように近景に描かれた石楠花がメインのモチーフなのだろうけれど、中景の崖と木々から遠景の連峰までがちゃんと描き込まれています。このような構図は玉堂作品としては "ちょっと異質" だと思います。

この構図で直感的に思い浮かべるのが歌川広重です。広重の風景画には「近景の事物を大写しにし、そこから遠方を望む」という構図が多々あります。有名な作品で言うと「名所江戸百景」の『深川洲崎十万坪』（近景に鷹、遠景に深川の雪景色と筑波山を配した有名な絵）や、『亀戸梅屋敷』（ゴッホが模写した作品。近景に梅の古木が画面いっぱいにあり、その向こうに梅園が見える）があります。

歌川広重 「隅田川水神の森真崎」 （名所江戸百景 第35景）

この "広重好みの構図" をさらに絞り込んで「近景に花、遠景に山」という作品を選ぶと、例えば「名所江戸百景」の『隅田川 水神の森 真崎まさき』です。この絵は近景に八重桜を配し、その向こうに水神の森から隅田川とその対岸の真崎地区を描き、遠景には筑波山という構図です。これによって遠近感が際だちます。八重桜は極端にクローズアップされ、幹、枝、花の全てがカットアウトされている。いかにも広重らしい描き方です。

これと玉堂の『石楠花』は、構図のコンセプトがそっくりです。もちろん玉堂が広重に影響されたかどうかは分かりません。しかし玉堂は過去からの日本の絵の伝統を熟知している画家です。無意識にせよ江戸後期の風景画を踏まえたということがありうるのではないか。我々は19世紀後半のフランス絵画を見て「これは浮世絵の影響だ」とか、よく言います（No.224「残念な北斎とジャポニズム展」）。だとしたら、ほかでもない日本の画家の絵を見て浮世絵の影響を感じるのは当然ではないかと思うのです。

当たり前ですが『石楠花』は広重と違ってリアルです。まるで山道を歩いていて、ふと立ち止まって見たシーンのようです。しかし考えてみると、人間の眼にこの絵のような光景は見えません。実際に現場に立ったとしたら、我々の眼は石楠花と連峰に交互にピントを合わせて見るしかない。このように近景と遠景の差を極端にとり、その両方をリアルに同一平面に描くのは、絵画ならではの表現です。展覧会にある幾多の玉堂の絵の中で、この絵の前に立つとその「絵画ならでは」にハッとさせられる。そう感じました。

---

---

タグ：川合玉堂 石楠花 山種美術館 歌川広重 荒波 早乙女 隅田川水神の森真崎 西田健作 文部省戦時特別美術展 青梅市御岳 奥多摩町白丸

No.308 - 人体の９割は細菌（２）生態系の保全

（前回から続く）

アランナ・コリン 「あなたの体は９割が細菌」 （矢野真千子 訳。河出文庫 2020）

前回の No.307「人体の９割は細菌（１）」は、アランナ・コリン著「あなたの体は９割が細菌」（訳：矢野真千子。河出書房 2016。河出文庫 2020。原題 "10% Human"。以下「本書」と書きます）の紹介でした。この本は大きく分けて次の２つのことが書かれています。

◆	21世紀病 20世紀後半に激増して21世紀には当たり前になってしまった免疫関連疾患、自閉症、肥満などを、著者は「21世紀病」と呼んでいます。これと、ヒトと共生している微生物の関係を明らかにしています。

◆	生態系の保全 ヒトと微生物が共生する「人体生態系」を正常に維持するためは何をすべきか。またその逆で、人体生態系に対するリスクは何かを明らかにしています。

前回は「21世紀病」の部分の紹介でしたが、今回は「生態系の保全」の部分から「抗生物質」「自然出産と母乳」「食物繊維」の内容を紹介します。なお本書で「生態系の保全」という言い方をしているわけではありません。

---

抗生物質のリスク

---

ペニシリンの発見（1928年）以降、抗生物質は人類に多大な恩恵を与えてきました。実は本書の著者も2005年、22歳のとき、マレーシアでコウモリの調査中に熱帯病に感染し、一時まともな生活が送れないようになりましたが、抗生物質による治療で回復しました。

しかし著者は、抗生物質の意義とメリットを十分に認識しつつも、その使用にはリスクがあることを説明しています。つまり、投与された抗生物質が感染症の原因菌だけでなく、ヒトと共生している微生物も殺してしまい、マイクロバイオータの様相が変わってしまうというリスクです。

その抗生物質が、現代社会においては感染症の治療以外に過剰に使用されているのが現実で、その一つが畜産業です。

1940年代後期、アメリカの科学者たちは思いがけず、ニワトリに抗生物質を与えると成長が50%近く促進されることを見出した。当時、アメリカでは都市に人口が流入し、市民は生活費の高さに辟易していた。戦後の「欲しいものリスト」の上位に安価な食肉が挙がった。抗生物質によるニワトリへの成長促進効果はまさに天からの贈り物で、農家はウシやブタ、ヒツジ、7面鳥の飼料に毎日少量の薬を混ぜるだけで食肉家畜がどんどん大きくなるのを見て上機嫌だった。 農家は、薬が成長を促すメカニズムについても、その結果についても知らなかった。食料不足で価格が高騰していたこの時代、薬の費用よりもニワトリが太ることで得られる利益が大幅に上回った。以来、「治療量以下」の抗生物質を投与するのは畜産業での日常業務となった。 ざっと推定すると、アメリカでは抗生物質の70%が家畜用に使われているという。おまけに、抗生物質を使えば感染症を心配せずに狭い場所に多くの家畜をつめこむことが可能だ。アメリカでは、この成長促進剤なしに同じ重量の食肉を出荷しようとすると、4億5200万羽のニワトリと、2300万頭のウシ、1200万頭のブタが毎年余分に必要になる。 アランナ・コリン 『あなたの体は９割が細菌』 （矢野真千子 訳。河出文庫 2020）p.218

ここで懸念が出てきます。家畜が抗生物質で太るなら人間も太るのではないかという点と、家畜の肉に残留した抗生物質が人間に悪影響を与えるのではという懸念です。

また家畜の糞は有機農業に使われますが、家畜に投与された抗生物質のおよそ75%は糞となって排出されます。家畜の肉に残留している抗生物質の規制はありますが、農地に撒かれる肥料に含まれる抗生物質の規制はありません。つまり、動物由来の肥料で有機栽培された野菜は安全なのかという疑問も出てくるのです。

さらに家畜だけでなく、ヒトに対しても、本来の感染症治療を越えた抗生物質の投与がされる現実があります。

抗生物質による治療はぜったいに必要なものではない。アメリカの疾病管理予防センター（CDC）の推定によれば、同国で処方されている抗生物質の半分は不必要または不適切なものだという。その多くは、風邪またはインフルエンザを１日でも早く治したいと切望する患者に、半ば気休めで処方されている。風邪もインフルエンザも細菌ではなくウイルスによる病気であり、抗生物質は効かない。それに、ほとんどの風邪は命を危険にさらすことはなく、数日か数週間で治る。 「同上」p.223

アメリカで1998年に行われた調査によると、プライマリケア医が処方した抗生物質の4分の3が、5種類の呼吸器系感染症への治療目的だった。耳感染症、副鼻腔炎、咽頭炎、気管支炎、上気道感染症だ。上気道感染症で医者を訪れた2500万人のうち、30%に抗生物質が処方された。そんなに多くないとあなたは感じたかもしれないが、細菌が原因の上気道感染症はたったの5%しかない。咽頭炎も同様で、同じ年にそう診断された1400万人のうち62%に抗生物質が処方された。細菌性が原因の咽頭炎は10%しかないにもかわらず。全体でみるとその年に処方された抗生物質の55%は不必要なものだった。 「同上」p.224

抗生物質が殺すのは細菌であって、ウイルスではありません。従ってウイルスが原因の病気に抗生物質は利きませんが、このことを知っている患者は少ない。患者はどうしても薬の処方を医者に求める傾向にあり、医者も細菌による感染症を防ぐために "念のため" 抗生物質を処方するという現実があるのです。

---

抗生物質の多用が生み出す問題点の一つは耐性菌の出現です。ペニシリンが感染症の治療に使われ始めたのは1940年代前半ですが。数年後には早くもペニシリン耐性菌が見つかり、1950年代にはごく一般的な黄色ブドウ球菌がペニシリン耐性を持つようになりました。

1959年、イギリスでペニシリン耐性の黄色ブドウ球菌を治療するためにメチシリンという新しい抗生物質が使われ始めましたが、早くも３ヶ月後にはペニシリンとメシチリンの両方に耐性をもつ黄色ブドウ球菌の新株が出現しました。これが MRSA（メシチリン耐性黄色ブドウ球菌）です。以来、MRSAは全世界で毎年数万人から数十万人の命を奪っています。もちろん耐性菌はMRSAのほかにもあります。

さらに問題点は、抗生物質が病気の原因菌だけでなく、広範囲の細菌を殺すということです。もちろんヒトと共生している微生物も影響を受けるわけで、ここが本書の眼目です。

抗生物質は細菌の単一種だけを標的にすることはできない。ほとんどの抗生物質は、広範囲の細菌種を殺す「広域抗生物質」だ。このタイプの薬は問題を引き起こしている細菌の種類を特定することなくあらゆる感染症に使えるため、医者にとっては好都合だ。原因菌を特定するには培養と同定の作業が必要で、それにはお金も時間もかかるうえ、ときには不可能なこともある。 標的を絞った「狭域抗生物質」でさえ、病気の直接原因となっている菌種だけを選んで殺すことはできない。同じグループに属する細菌すべてを標的としてしまう。こうした大量破壊兵器がもたらす結果はアレクサンダー・フレミング（引用注：ペニシリンの発見者）でさえ予測できなかった。 「同上」p.229

抗生物質は大量破壊兵器というか、無差別爆撃をしているようなものです。目標とする病原菌以外の細菌も広範囲に殺してしまう。この悪影響が極端に現れたのが「クロストリジウム・ディフィシル感染症」です。

耐性獲得と大量破壊という抗生物質の両方のマイナス面が重なって出現した危険な病気に、クロストリジウム・ディフィシル感染症がある。クロストリジウム・ディフィシルという細菌が引き起こすこの感染症は、1999年にイギリスで500人の死者を出した。その多くは抗生物質の治療を受けた患者だった。2007年には、同じ感染症で4000人近くが死亡した。 できることならこの病気では死にたくない。腸内に棲むクロストリジウム・ディフィシルは毒素を産生し、悪臭をともなう絶え間ない水状の下痢を引き起こす。それにより、脱水症状、重篤な腹痛、急激な体重減少が生じる。クロストリジウム・ディフィシル感染症の患者は、たとえ腎不全を免れたとしても、中毒性の巨大結腸症を生き延びなければならない。巨大結腸症とは読んで字のごとく、腸内で発生した余分なガスが結腸を異常に膨らませてしまう症状だ。虫垂炎と同じく破裂の危険があり、破裂したときの危険性は虫垂炎どころではない。腹腔内に糞便とあらゆる種類の細菌がばらまかれることになるため、生存率は著しく下がる。 クロストリジウム・ディフィシル感染症の発生件数および死亡者数の上昇は、抗生物質耐性菌の進化と歩調を合わせている部分がある。1990年代に、クロストリジウム・ディフィシルは危険な新株に進化し、病院内で広まった。この株は耐性が強いだけでなく、毒性も強かった。そして、もう一方の原因である抗生物質の過剰使用の問題をくっきりと浮かび上がらせた。 クロストリジウム・ディフィシルは一部の人の腸内においては、さほどトラブルを起こさず、かといって役に立つこともせずに無為に過ごしている。だが、ほんのちょっとしたきっかけで牙をむく。そのきっかけをつくるのは抗生物質だ。腸内マイクロバイオータが健康でバランスがとれているあいだは、クロストリジウム・ディフィシルは小さなくぼみに押しこめられて身動きがとれないから、悪さをすることもできない。だが、抗生物質、とりわけ広域抗生物質がマイクロバイオータを攪乱すると、クロストリジウム・ディフィシルが勢力を広げる「余地」ができる。 「同上」p.229

広域抗生物質がマイクロバイオータを攪乱すると、クロストリジウム・ディフィシル感染症だけでなく様々な副作用が出てくると想定できます。

では「21世紀病」と「抗生物質の多用」は関係しているのでしょうか。たとえば肥満です。統計によると抗生物質の使用量の増加と肥満の増加には相関関係があります。しかし相関関係があるからといって因果関係を断定できません。

実は、抗生物質の投与でヒトの体重が増えるという結果は、既に1950年代に出ていました。もちろん倫理的な理由により実験はできませんが「意図せずに行った実験」があるのです。

1953年にアメリカ海軍は新兵に抗生物質で治療する試験を開始した。連鎖球菌の感染症を減らすのに、オーレオマイシン（引用注：現在ではヒトに対しては皮膚の化膿性感染症の治療に使われる抗生物質）を予防的に使えるかどうかを調べたのだ。新兵の若者たちは軍の規定により身長と体重を記録されていたため、それがのちに予定外のテーマを研究するときのデータとなった。抗生物質を投与された新兵は、見た目はそっくりのプラセボを投与された新兵より著しく体重を増やした。このときも、抗生物質の投与は栄養価を高める潜在力があるとして好意的に受けとられ、懸念材料とみなされることはなかった。 「同上」p.235

抗生物質が体重を増やすとして、では現在の肥満（BMIが30超）の広がりは抗生物質と関係しているのでしょうか。抗生物質がマイクロバイオータにおける細菌の構成比を変え、それが肥満につながるという「仮説」については数々の研究があります。仮説が正しいとする研究もあるのですが、著者はまだ断定するのは早いと言っています。

---

抗生物質と自閉症についても議論の最中ですが、全く無関係とは思えないと著者は書いています。エレン・ボルトの息子のアンドリューが自閉症を発症したのは抗生物質での治療中でした（No.307「人体の90%は細菌（１）」の「21世紀病：自閉症」の項）。

また抗生物質がアレルギーのリスクを高めることについては、数々のエビデンスがあります。さらに、１型糖尿病は感染症にかかったあとに発症することが多いことが知られていますが、これは感染症の治療に使われた抗生物質が原因ではないかと疑われています。

---

著者はマレーシアでのフィールドワークでダニから熱帯病に感染し、抗生物質の投与で治癒しました（前述）。しかし治癒したあとに別の体の不調に悩まされるようになりました。発疹ができたり、胃腸が弱くなったり、感染症にかかりやすくなったりです。このことが、まさに著者が本書を執筆した動機でした。21世紀病との関係で言うと、今まで展開してきた２つの議論、つまり、

・	マイクロバイオータの変調が21世紀病の一因になっている
・	抗生物質がマイクロバイオータを攪乱する

を結びつけると「抗生物質の多用が21世紀病の一因になっている」というのは蓋然性が高いと考えられます。現在、さまざまな研究・議論が行われているところです。とにかく、感染症の治療以外の目的での抗生物質の使用（食肉生産のコスト削減が代表的）は無くすべきでしょう。

---

自然出産と母乳の意味

---

マイクロバイオータが体内で発達する第１段階は、出産と授乳のプロセスにあります。母親の体内の胎児は無菌状態です。その子が共生する微生物を受け取るのは、まず母親からです。それは第１に出産のときであり、第２に母乳からです。

自然出産

細胞の数だけで言うなら、赤ん坊はこの世に生まれて最初の数時間で「大半がヒト」の状態から「大半が微生物」の状態に切り替わる。子宮内部の羊水につかっているとき、胎児は外界の微生物からも母親の微生物からも守られている。だが、破水と同時に微生物の入植がはじまる。赤ん坊は産道を通るとき、微生物のシャワーを浴びる。ほぼ無菌状態だった赤ん坊を、膣の微生物が覆っていく。 産道から顔を出すとき、赤ん坊は膣の微生物とはまた別のタイプの微生物を受けとる。そう、誕生直後に母親の糞便を摂取するのはコアラだけではないのだ。子宮収縮ホルモンの作用と降りてくる胎児の圧力を受けて、陣痛中や出産時にほとんどの女性は排便する。赤ん坊は顔を母親のお尻の側に向けて頭から先に出てくる。そして母親がつぎの陣痛に備えて体を休めているあいだ、赤ん坊の頭と口はうってつけの位置に来る。あなたは本能的に顔をしかめるかもしれないが、これは幸先のいいスタートだ。母から子への最初の贈り物、糞便と膣の微生物が無事に届けられることになるのだから。 これは進化的に「適応した」誕生だ。肛門が膣口のすぐそばにあるのも、子宮収縮ホルモンが直腸を刺激して排便を促すのも、別段悪いことではない。自然選択は、それが赤ん坊の役に立つから選んだのだろう。あるいは、少なくとも害にはならないから排除しなかった。微生物とその遺伝子 ── 母のゲノムとうまく調和して働いていた遺伝子 ── を受けとった赤ん坊は、希望に満ちた人生のスタートを切る。 「同上」p.300

このプロセスをみると、帝王切開で生まれた子どもは母親からの最初の微生物を受け取らないことになります。従来、帝王切開のリスクとして赤ん坊の皮膚に傷がつくことがあるとか、一時的な呼吸障害などの短期的なリスクが指摘されてきました。

しかし、帝王切開で生まれた子の長期的な影響まで言及されることはめったにない。以前はさして害のない代替手段と思われていた帝王切開だが、母子ともに健康リスクがあることが徐々に明らかになってきた。早くにわかったこととして、帝王切開で生まれた赤ん坊は感染症になりやすいというのがある。メチシリン耐性黄色ブドウ球菌（MRSA）に感染した新生児の80%は帝王切開で生まれている。帝王切開で生まれた子は幼児期にアレルギーを発症しやすい。母親がアレルギーで（おそらく遺伝因子があり）、なおかつ帝王切開で生まれた子は、そうでない子より7倍もアレルギーになりやすい。 「同上」p.308

その他、自閉症、強迫性障害、１型糖尿病、セリアック病などの発症リスクが、経膣出産（自然出産）よりも高まることが指摘されています。肥満でさえ、帝王切開との関連を指摘するデータがあります。

すでにお気づきのとおり、これらはどれも21世紀病だ。細かく見れば、それぞれに環境要因や遺伝因子など幅広い要素が関係しているものの、帝王切開が21世紀病のリスクを高めているのは明らかだ。 赤ん坊の腸のマイクロバイオータを採取・分析すると、生後数か月が経過していても、その子が帝王切開で生まれたか経膣出産で生まれたかがわかる。産道をとおって生まれた赤ん坊の体外と体内にできている膣由来微生物のコロニーが、帝王切開で生まれた赤ん坊にはできていないのだ。 母親のお腹の「サンルーフ」から（引用注：帝王切開で）出てきた赤ん坊が最初に出合うのは環境中の微生物だ。手袋をはめた手で引っぱり出され、母親の腹部の皮膚をさっとかすめ、不安そうな両親に少しばかり挨拶し、そそくさと手術室から連れ出され、タオルにくるまれ詳細な検査を受ける。消毒が徹底された手術室で生まれる赤ん坊にとってはじめて出合う微生物は、母親と父親、医療スタッフの皮膚の細菌だ（運が悪ければ連鎖球菌や緑膿菌やクロストリジウム・ディフィシルなど強靭な細菌と出合ってしまう）。帝王切開で生まれた赤ん坊の腸のマイクロバイオータは、皮膚の細菌が基礎となって形成される。 「同上」p.308

本書に「いまでは開腹手術で最も多い手術が帝王切開」とあります。それほど帝王切開が広まっている。もちろん帝王切開は医療上の重要な手段です。一部の女性にとってはこの方法しか子どもを生む手段がありません。しかしWHOは帝王切開の実施率を全出産の10～15%に収めるべきだとしています。「出産の危険から母子を守る」ことと「帝王切開によるリスクを避ける」ことのバランスをとるためには、この程度の数字が妥当なのです。

母乳

赤ちゃんが母親から受け継ぐ微生物環境の第２番目は、母乳由来のものです。

オリゴ糖と総称される糖類があります。これはブドウ糖などの単糖類が数個～10個程度結合したものです。母乳にはオリゴ糖が含まれていますが、ヒトの消化酵素はオリゴ糖を分解できません。実は、母乳のオリゴ糖は細菌の餌です。1983年に、ジェニー・ブランド＝ミラー教授とその夫が行った研究が「母乳に含まれるオリゴ糖の意味」を明らかにしました。

オリゴ糖は単糖が数個結合した炭水化物の総称で、ヒトの母乳には130種類ほどが含まれている。この種類の多さはヒトに特有な性質であり、たとえばウシの乳には数種類のオリゴ糖しか含まれていない。私たちは大人になってからオリゴ糖を含む食品を食べることはない。それなのに、妊娠期と授乳期に女性の乳房組織でつくられる。機能のないものをわざわざつくるのは、そこに重要な何かがあるからだと２人は思った。 ブランド＝ミラーと夫は仮説を確かめようと試験をした。赤ん坊にグルコースを水に溶かして与えたときと、精製したオリゴ糖を水に溶かして与えたときの、呼気に含まれる水素量を測定した。グルコースでは水素量が増えなかった。グルコースは小腸で吸収されてしまい、腸内細菌の餌にならなかったということだ。だが、オリゴ糖を与えたときの呼気には水素が大量にあった。オリゴ糖の分子は小腸をそのまま通過して、消化酵素ではなく腸内細菌に分解されていたということだ。 いまでこそ周知されているが、オリゴ糖は赤ん坊の腸の「苗床」で正しい細菌種を栄えさせる役目を果たしている。母乳で育つ赤ん坊には、ラクトバチルス属とビクテリウム属が優勢なマイクロバイオータが育っている。ヒトはオリゴ糖を消化できないが、ビフィドバクテリウム属の細菌は特殊な酵素を生成して、オリゴ糖を唯一の食料源にする。その廃棄物として出るのが短鎖脂肪酸だ。酪酸、酢酸、プロピオン酸は３大短鎖脂肪酸だが、このとき４番目の短鎖脂肪酸である乳酸塩（単に乳酸と呼ばれることもある）が放出される。これが赤ん坊にとって貴重な物質となる。乳酸塩は大腸の細胞に吸収され、赤ん坊の免疫系の発達に重要な役割を果たす。簡単に言うと、大人に食物繊維が必要なように、赤ん坊には母乳に含まれるオリゴ糖が必要なのだ。 細菌の餌となることだけが母乳に含まれるオリゴ糖の役目ではない。人生最初の数日と数週間、赤ん坊の腸のマイクロバイオータはとても単純で不安定だ。特定の細菌がいきなり増えたかと思うと、忽然と消える。肺炎連鎖球菌のような病原性の細菌が１つ入ってきただけで大混乱を起こし、多くの有益な細菌が破壊されることもある。オリゴ糖は混乱した腸内環境を平常に戻す働きをする。病原性細菌はなんらかの破壊行為をする前に、まず腸壁に付着する。そのためには細菌表面にある特別な結合部を使わなければならない。オリゴ糖はその結合部にぴったりはまって、病原性細菌が足場を築くのを阻止する。母乳に含まれる130種類のオリゴ糖のうち、数十種類は特定の病原体に鍵と鍵穴のように結合することがわかっている。 「同上」p.314

しかも、母乳のオリゴ糖の量は赤ちゃんの発達とともに変化します。これは赤ちゃんの腸内細菌の変化に対応しています。

母乳の成分は、赤ん坊の成長段階に応じて変わる。出産直後に出る初乳は免疫細胞と抗体に富んでいて、母乳１リットルあたりに小さじ４杯相当のオリゴ糖をたっぷり含んでいる。 数週間たって赤ん坊のマイクロバイオータが安定してくるころ、母乳の中のオリゴ糖含有量は減ってくる。出産後４か月になると１リットルあたり小さじ３杯未満となり、子どもが１歳の誕生日を迎えるころには小さじ１杯未満となる。 「同上」p.315

上の引用にもあるように、母乳には免疫細胞と抗体など、オリゴ糖以外の多様なものが含まれています。その一つが細菌です。これが最初に分かったのは "母乳バンク" でした。母乳バンクを運用する病院は、母親からの献乳を受け、それを母乳育児が困難な赤ちゃんに与えます。このとき、どんなに消毒をして採乳しても献乳の中に細菌が見つかるのです。

消毒の精度を極限まで上げた採乳技術とDNA解析技術を使って調べたところ、献乳の際に見つかる細菌は、もとから母乳にいた細菌だった。赤ん坊の口や母親の乳首から乗り移って混入したのではなく、乳房組織の中に入りこんでいた。いったいどこから？　乳房組織にいる細菌の多くは皮膚によくいる細菌とは違った。つまり、乳房の皮膚から乳汁に侵入したわけではない。乳房組織にいる細菌は、通常は膣や腸にいる乳酸菌だった。母親の糞便を解析すると、腸と母乳にいる細菌は同じだった。これらの微生物は大腸から乳房へと移動したようだ。 血液を調べて移動ルートがわかった。樹状細胞と呼ばれる免疫細胞の中に入って移動していたのだ。樹状細胞は細菌の密入国を手助けすることで知られている。腸を取り囲む厚い免疫組織の中にある樹状細胞は、長い腕（樹状突起）を伸ばして腸内にどんな細菌がいるかをチェックする。そして通常は、病原体を見つけたらそれを飲みこみ、別の免疫細胞（ナチュラルキラー細胞）の軍団がやってきて退治してくれるのを待つ。ところがなんと、樹状細胞は害のない有益な細菌までつかまえて飲みこみ、血流に乗って乳房に運ぶ。 「同上」p.317

オリゴ糖だけでなく、母乳に含まれる細菌も時間の経過とともに変化します。

赤ん坊の成長に合わせて母乳のオリゴ糖含有量が変わるように、母乳に含まれる細菌も変わる。生後１日目に必要な微生物は、１か月後、２か月後、６か月後に必要な微生物とは違う。 出産直後の数日に出る初乳には数百種の微生物が入っている。ラクトバチルス属、連鎖球菌属、エンテロコックス属、ブドウ球菌属の細菌はすべて含まれており、その数は１ミリリットルあたり1000個体にもなる。赤ん坊は１日およそ80万個の細菌を母乳のみで摂取していることになる。 やがて母乳に含まれる微生物は数を減らしながら種類を変えていく。出産から数か月たった母乳には、成人の口内にいるのと同じ微生物が入っている。赤ん坊の離乳に備えてのことだろう。 「同上」p.318

まとめると、赤ちゃんは母乳から細菌を受け取ると同時に、その細菌の餌になるオリゴ糖も摂取します。その両方が赤ちゃんの成長に従って変化していく。となると、粉ミルクだけで育つ赤ちゃんにはリスクがあることが推定できます。現代の粉ミルクには重要な栄養成分がたくさん加えられていますが、免疫細胞や抗体、オリゴ糖、生なまの細菌までは入っていないのです

まず、粉ミルクで育つ赤ん坊は感染症にかかりやすい。母乳だけの赤ん坊に比べ、粉ミルクだけの赤ん坊は、耳感染症になるリスクが２倍、呼吸器感染症で入院するリスクが４倍、胃腸感染症になるリスクが３倍、そして腸の組織が死ぬ壊死性腸炎になるリスクが2.5倍とそれぞれ高くなる。乳幼児突然死症候群で死亡するリスクも２倍だ。 アメリカでの乳児死亡率（１歳未満で死亡する割合）は、母乳で育つ赤ん坊より粉ミルクで育つ赤ん坊のほうが1.3倍も高い。なお、この数字は、妊娠中の喫煙や貧困、教育など多方面の要素を考慮し、また赤ん坊自身の病気のために母乳育児が困難だったケースを除外している。先進国では乳児死亡率はすでに低くなっているので、１歳になる前に死亡する乳児を人数で見ると、母乳育児で1000人のうち2.1人、粉ミルク育児では2.7人である。もちろんこの程度で親が大騒ぎして心配する必要はないが、アメリカで毎年、400万人の赤ん坊が生まれていることを思えば、そのうち720人は、落とさずにすんだ命を落としているのかもしれない。 「同上」p.322

母親か赤ちゃん、または両方の理由で母乳育児が不可能な場合があります。その場合は粉ミルクが必要ですが、これはあくまで "やむをえない場合の策" と考えるべきでしょう。

---

食物繊維の重要性

---

本書には「あなたはあなたの微生物が食べたものでできている」と題した章があります（第６章）。よく言われるのは「あなたはあなたの食べたものでできている」で、 これはバランスの良い食事が大切だという意味です。そして、ヒトは微生物と共生している以上、微生物に必要な "餌やり" も重要なのです。

イタリアの研究者の調査結果が紹介されています。彼らはブルキナファソ（西アフリカの国）のある村の子どもと、フィレンツェの子どもの比較研究をしました。

ブルキナファソとイタリアの子どもの食事を改めて比べてみると、摂取量が明らかに違う栄養成分が見つかる。それは食物繊維だ。ブルキナファソの食事に大きな割合を占めている野菜、穀類、豆類はどれも繊維質を多く含んでいる。2歳から6歳までのイタリアの子どもが食事で摂取する食物繊維は2%に満たない。ブルキナファソでは3倍以上の6.5%である。 「同上」p.278

著者は、先進国では食物繊維の摂取が減っているとし、それをイギリスの具体例で説明しています。

・	イギリスの成人は、1940年代に1日およそ70グラムの食物繊維を摂取していたが、いまでは20グラムに落ちこんだ。
・	1942年には、食料供給が限られていた戦時中だったにもかかわらず、現在のほぼ2倍の野菜を食べていた。
・	典型的な1日の食事でとる新鮮な緑の野菜は、1940年代に7Oグラムだったが、2000年代には27グラムだ。
・	食物繊維に富む豆類、穀類（パンを含む）、ジャガイモも、1940年代以降は減っている。

などです。国によって違うとは思いますが、60年程度の長いレンジでみると、このような傾向は日本も同じではないでしょうか。

ブルキナファソの子どもたちのマイクロバイオームを遺伝子解析すると、プレボテラ属とキシラニバクテル属の細菌が75%という高い割合で見つかる。この両グループの細菌には、植物の細胞壁を形成しているキシランとセルロースを分解する酵素をつくる遺伝子がある。ブルキナファソの子どもはプレボテラとキシラニバクテルを腸に棲まわせているおかげで、食事の大半を占める穀類や豆類、野菜から、より多くの栄養を引き出すことができる。 一方、イタリアの子どもの腸にはプレボテラもキシラニバクテルもいない。植物性の餌が常時なければ生き残れない両グループの細菌は、イタリア人の腸内では適応できないからだ。そのかわり、イタリアの子どもの腸内ではフィルミクテス門の細菌が繁栄している。フィルミクテス門は、いくつかのアメリカの研究で肥満に関連していることがわかった分類群である。痩せた人の腸に多いのはバクテロイデーテス門の細菌だ。フィルミクテスとバクテロイデーテスの比率は、イタリアの子どもでは3対1だったのに対し、ブルキナファソの子どもでは1対1であった。 「同上」p.279

マイクロバイオータの細菌の種類は食生活によって変化します。アメリカで行われたボランティアによる実験のことが本書に書かれています。この実験では、肉や卵、チーズなど動物性食品を食べるグループと、穀類や豆類、果物、野菜など植物性食品を食べるグループに分けて、腸内微生物がどう変化するかを観察しました。予想どおり、腸内細菌の組成比が変わりました。植物食のグループは植物の細胞壁を分解できるタイプの細菌を急速に増やした一方、動物食のグループは植物好きの細菌を失い、蛋白質を分解し、ビタミンを合成し、炭化した肉に含まれる発癌物質を解毒するタイプの細菌を増やしました。

このように、食生活によってマイクロバイオータは変化します。そして著者は、このことが「異例なものを食べる集団にはとりわけ役に立つ」と書いていて、そこで日本人のことあげています。

たとえば、寿司好きの日本人にとって海苔は食生活の大きな部分を占める。日本人の多くは、海藻に含まれる炭水化物を分解するポルフィラナーゼという酵素をつくる遺伝子をもつ細菌（バクテロイデス・プレビウス）を腸内に棲まわせている。この遺伝子は元来、海藻の共生菌であるゾベリア・ガラクタニボランスの遺伝子だ。日本人の腸内にいるバクテロイデス・プレビウスは、過去のいつかの時点でゾベリア・ガラクタニボランスの遺伝子を盗み取ったようだ。 「同上」p.280

日本に住むヨーロッパ人で海苔や海藻が苦手な人は多いようです。生まれ育ったヨーロッパで海藻を食べる文化がないからですが、それは単なる好き嫌いだけではなく、海藻を分解する細菌を腸に持っていないからなのでしょう。そして多くの日本人がもつこの細菌の遺伝子は、もともと海藻と共生していた細菌から来たものだった ･･････。こういうところにも、進化の速度が速い細菌と共生している意義が認められます。

余談ですが、著者（英国人のアランナ・コリン）は海苔を食べる日本人を「異質なものを食べる」例として書いていますが、ウェールズの海岸地方では（ヨーロッパでは珍しく）海藻を食べます（Wikipediaの「ウェールズ料理」および「レイヴァーブレッド」の項参照）。アランナ・コリンはイングランド出身なのでしょう。もう少し英国の食文化に詳しければこういう表現にはならなかったと思います。

---

話を食物繊維に戻します。植物性食品に富む食生活は、痩せ型のマイクロバイオータを育てます。なぜそうなるのか。

No.307「人体の９割は細菌（１）」の「21世紀病：肥満」の項で、アッカーマンシア・ムニシフィラという細菌が腸壁の粘膜層を厚くし、細菌由来のリポ多糖（LPS）が血液中に入り込んで脂肪細胞に炎症を起こすのを防ぐ（＝従って肥満を防ぐ）ことを書きました。食物繊維の一種であるオリゴフルクトース（＝フルクラオリゴ糖）は、腸内のアッカーマンシアを大増殖させることが分かってきました。

さらに微生物が食物繊維を分解するときに出す短鎖脂肪酸が重要な働きを持っています。

じつのところ、重要なのは微生物そのものではなく微生物が食物繊維を分解するときに出す物質、短鎖脂肪酸（SCFA）だ。第３章でも述べたように（引用注：No.307「人体の９割は細菌（１）」の「21世紀病：自閉症」の項）、代表的な３つの短鎖脂肪酸は酢酸、プロピオン酸、酪酸で、微生物が食物繊維を分解したあと大腸に大量にたまる。この微生物の消化活動による副産物は、さまざまな作用の「鍵穴」にぴたりとはまる「鍵」となる。だが、短鎖脂肪酸の働きが私たちの健康に与える影響は、何十年ものあいだ過小評価されてきた。 そんな鍵穴の1つにG蛋白質共役受容体（GPR43）がある。これは免疫細胞の表面にある受容体で、短鎖脂肪酸の鍵がやってきて解錠されるのを待っている。だが、GPR43は何をするためのものなのか？　こういうとき生物学では、この受容体をつくる遺伝子の機能を失わせたノックアウト動物がどうなるのかを観察するのが早道だ。 ある研究チームは、GPR43のノックアウト・マウスを使った実験に取り出した。そして、この受容体をもたないマウスはひどい炎症を起こすこと、大腸炎や関節炎、喘息を発症しやすいことを突き止めた。受容体（鍵穴）は正常で、短鎖脂肪酸（鍵）がない場合はどうだろう。無菌マウスの腸には食物繊維を分解する微生物がいないので、鍵をつくることができない。鍵穴はあるのに解錠されない無菌マウスは、やはり炎症系の病気になりやすかった。 この実験結果は、GPR43が微生物とヒト免疫系のコミュニケーション経路であることを意味している。食物繊維好きの微生物は短鎖脂肪酸という鍵をつくって免疫細胞のドアを開け、自分たちを攻撃しないようにというメッセージを伝える（引用注：その結果、炎症が起きない）。GPR43は免疫細胞だけでなく脂肪細胞にもついている。短鎖脂肪酸の鍵が脂肪細胞のGPR43を解錠すると、脂肪細胞は肥大するのをやめて分裂する。脂肪細胞にとっては細胞分裂するのが健全なエネルギー蓄積法だ。さらに、短鎖脂肪酸の鍵でGPR43を解錠するとレプチンが放出され、満腹中枢が刺激される。食物繊維を食べると満腹感が得られるのはこのためだ。 「同上」p.284

また、短鎖脂肪酸一つである酪酸は、腸壁の細胞を結合している蛋白質の鎖を強め、腸壁を強固にします。

不健全な微生物集団は、腸壁の上皮細胞を結合させている鎖をゆるめる方向に働く。ゆるんだ腸壁にはすき間ができ、本来な血液中に入ってはいけない物質を通してしまう。その過程で免疫系が刺激されて起こる炎症が、21世紀病のいくつかの原因になっている。酪酸の働きはそのすき間をふさぐことだ。 腸の細胞を結合させている蛋白質の鎖は、人体のあらゆる作用を担っている蛋白質がそうであるように、遺伝子の指示で作られる。だが、ヒトはそうした遺伝子のコントロール権の一部を微生物の譲渡してしまった。腸壁の蛋白質の鎖をつくる遺伝子の発現量を決めているのは微生物だ。酪酸はそのメッセージを伝える。微生物が酪酸を多く出せば出すほど、ヒトの遺伝子は多くの蛋白質の鎖をつくり、腸壁は堅固になる。腸壁を堅固にするのに必要な条件は２つある。まずは正しい微生物だ（特定の食物繊維を小さな分子に分解するビフィイドバクテリウムや、その小さな分子を酪酸に変換するフィーカリバクテリウム・プラウスニッツィ、ロセッブリア・インテスチナリス、エウバクテリウム・レクタレなど）。そしてもう一つは、そうした微生物の餌となる食物繊維をあなたが多く食べることだ。そうすれば、あとは勝手にやってくれる。 「同上」p.286

短鎖脂肪酸が、腸内細菌とヒトの細胞のあいだの情報伝達物質になっているわけです。これはちょうど腸内細菌が出すPSAが制御性T細胞を誘導する話（No.307「人体の９割は細菌（１）」の「21世紀病：免疫関連疾患」の項）とそっくりです。

ヒトが自らの消化酵素で消化できない食物繊維が腸内細菌の餌になり、腸内細菌が食物繊維を消化した「余り」の脂肪酸が重要なメッセージ物質となって炎症などの免疫反応やや脂肪の蓄積がコントロールされる ･･････。ヒトは細菌と共生し、メリットを与え合い、互いに最適化してきたことがよく分かります。

---

ここまでで、アランナ・コリン著「あなたの体は９割が細菌」の "さわり" の紹介は終わりです。本書には以上のほかにも、皮膚常在菌や腸疾患、糞便移植（＝マイクロバイオータを正常に回復させる）など、興味深い話題があるのですが、省略したいと思います。以降は本書を通読した感想です。

本書の原題は「10% Human」で、副題を直訳すると「あなたの体の微生物が、いかに健康と幸福の鍵を握っているか」となる。

---

本書の感想

---

ヒトと共生している常在菌、特に腸内細菌とそれがヒトにあたえる影響については研究が進み、一般にも知識が広まってきました（NHKでも近年、特集が組まれた）。本書の多くはその "広まりつつある知識" ですが、それを包括的にまとめて記述したところに意義があると思いました。特に、個々の研究テーマについて、その発端から研究の進展を取材してストーリーを追って書いた構成が優れています。また、巻末にあげられている多数の参考文献・論文は、サイエンス・ライターとしての著者の姿勢を明確にしています。

本書のメッセージをシンプルに要約すると、

ヒトは細菌と共生している。それを前提に考えよう

ということだと思います。ヒトは細菌にメリットを与え、細菌はヒトにメリットを与える。その関係が最適化されて進化してきたのが人体であるということです。この前提に立つと、以下の様なことが見えてきます。

・	すぐに分かることは、ヒトが細菌に与えるメリットとは食べ物だということです。ということは、バランスの良い食事が重要だと理解できます。特に野菜を食べないのはまずい。なぜなら腸内細菌の餌を絶つことになるからです。もちろん、野菜に限らず餌を与えすぎてもいけない。「何事も適度に」です。
・	細菌がヒトに与えているメリットは実感できませんが、我々が健康に過ごすということの多くが共生している細菌と関係していると想像できます。
・	従って、共生細菌を殺してしまう行為はまずい。抗生物質の使用は感染症の原因菌を殺すという本来の目的に止とどめないと（それでさえ副作用が考えられる）、何が起こるか分かりません。畜産や養殖のコスト削減のためだけに抗生物質を使うなど論外ということになります。
・	食品添加物は大丈夫でしょうか。許可されている添加物はヒトにとって安全という検証がされているはずですが、ヒトと共生している細菌に影響は無いのか、そこまで配慮されているのかが疑問です。食品添加物を一切とらない生活は不可能だと思いますが、なるべく少なくするのが重要でしょう。
・	抗生物質が腸内の細菌を殺すものなら、体につける各種の抗菌剤入り商品は皮膚の常在菌を殺すことになります。抗菌剤のヒトにとってのメリットはない（＝メリットよりデメリットが大きい）でしょう。手を洗うなら石鹸で十分です（本書でも指摘してあります）。
・	共生細菌はヒトが外界から取り入れたものです。ということは、自然出産や母乳による育児が大切なことが理解できるし、清潔過ぎる環境で生活するのは問題です。

以上のようなことは、「ヒトは細菌と共生するのが前提」と考えれば、最新科学の知識がなくても理解、ないしは推測ができます。本書の訳者の矢野真千子氏は「訳者あとがき」で次のように書いていました。

自分の体を生態系として眺めれば、森林伐採、外来種の持ちこみ、農薬の使用、肥料のやりすぎを警戒すべき理由はいくらでもみつかる。 矢野真千子「訳者あとがき」 「あなたの体は９割が細菌」p.425

自然生態系と同じように、人体生態系（ヒト ＋ 共生微生物）を破壊してはならないし、人体生態系が持続可能なようにするのが、すなわち我々が生きていくということである ･･････。そう理解できるでしょう。

---

本書を読んで、ヒトは微生物と共生しているという時の "共生" の意味を深く理解できたと感じました。普通 "共生" と言うと、上に書いたように「互いにメリットを与え合っている」という風に理解します。それは正しいのですが、それだけではありません。本書に次のような例が出てきます。

◆	アッカーマンシア・ムシニフィラという細菌が腸壁を覆う粘膜層の表面に棲んでいる。この細菌はヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を確保する。そうすると粘膜層が厚くなり、細菌由来のリポ多糖が血液中に入り込むのが阻止される。この結果、脂肪細胞に過剰な脂肪が詰め込まれなくなる（＝肥満を防ぐなどの効果）。 No.307「人体の９割は細菌（１）」の「21世紀病：肥満」
◆	腸壁の上皮細胞は蛋白質の鎖でつながっている。この鎖がゆるむと、本来、血液中に入ってはいけない物質が透過し、免疫系を刺激して炎症を起こし、21世紀病の原因の一つになる。 細菌が食物繊維を分解したあとにできる酪酸（短鎖脂肪酸の一つ）は、腸壁の蛋白質の鎖を作る遺伝子の発現量を決めている。微生物が酪酸を多く出せば出すほど、ヒトの遺伝子は多くの蛋白質の鎖を作り、腸壁は堅固になる。 No.308「人体の９割は細菌（２）」の「食物繊維の重要性」
◆	バクテロイデス・フラジリスという細菌は、多糖類A（PSA）という物質を産生し、それを微小なカプセルに入れて細胞表面から放出する。このカプセルが大腸で免疫細胞に貪食されると、PSAが制御性T細胞を起動させる。制御性T細胞は他の免疫細胞に、バクテロイデス・フラジリスを攻撃しないようメッセージを送る。 No.307「人体の９割は細菌（１）」の「21世紀病：免疫関連疾患」
◆	細菌が食物繊維を分解したあと、大腸には短鎖脂肪酸（酢酸、プロピオン酸、酪酸）が大量にたまる。短鎖脂肪酸は免疫細胞の表面にあるG蛋白質共役受容体（GPR43）に結合し、それが細菌を攻撃しないようにというメッセージになる。そのGPR43は脂肪細胞の表面にもあり、そこに短鎖脂肪酸が結合すると脂肪細胞は肥大するのをやめて分裂する（＝肥満を防ぐ）。 No.308「人体の９割は細菌（２）」の「食物繊維の重要性」

つまりヒトと共生している細菌は、腸の壁を厚くし、腸壁の透過性を減少させ、過剰な免疫反応を防ぎ、脂肪細胞の肥大化を防ぐわけです。これはすなわち、

ヒトはヒトのからだのコントロールの一部を共生微生物にゆだねている

ことを意味します。「ヒトと微生物は共生するように進化してきた」とはそういうことです。改めて共生微生物の重要性を認識させられました。

---

本書には研究途中の事項もたくさん含まれています。著者も「確かな話はここまでで、ここからは推測である」「断定はできない」「相関関係があるからといって因果関係があるとは限らない」などの表現で、"確実に判明しているのではないこと" を明確にしています。このような記述態度には好感を持ちました。

最後に、本書の大きな特長は文章が優れていることです。おそらく著者と訳者の両方の力量だと思いますが、科学書としては珍しいような出来映えです。科学的知見を一般向けにどう平易に記述し、読者に訴えることができるか。やはり文章力は大切だと感じました。

---

---

タグ：乳酸菌 母乳 オリゴ糖 抗生物質 帝王切開 共生 乳酸 自然出産 マイクロバイオーム プロピオン酸 アランナ・コリン 矢野真千子 マイクロバイオータ 21世紀病 短鎖脂肪酸 あなたの体は9割が細菌

No.307 - 人体の９割は細菌（１）21世紀病

このブログの過去の記事で、人体に共生している微生物（主として細菌）がヒトにとって重要な役割を果たしていることを、本や雑誌の内容をもとに書いてきました。

No.  70 - 自己と非自己の科学（２）
No.119 -「不在」という伝染病（１）
No.120 -「不在」という伝染病（２）
No.225 - 手を洗いすぎてはいけない
No.229 - 糖尿病の発症をウイルスが抑止する

の５つの記事です。共生している微生物（"常在菌" と総称される）が不在になったり、微生物の種類のバランスが崩れるとヒトは変調をきたします。上の記事は微生物と免疫との関連でしたが、この場合の変調とは免疫関連疾患（＝アレルギーや自己免疫疾患）の発症です。

アランナ・コリン 著 矢野真千子 訳 「あなたの体は９割が細菌」 （河出文庫 2020）

この、"人体は微生物との共生で成り立っている" ことを書いた別の本を紹介したいと思います。アランナ・コリン著「あなたの体は９割が細菌」（矢野真千子・訳。河出書房 2016。河出文庫 2020。原題 "10% Human"。以下「本書」と記述）です。この本は免疫関連疾患だけなく、ヒトと共生微生物の関係を幅広く取り上げています。そこポイントです。

著者のアランナ・コリンは進化生物学の博士号をもつ英国人で、専門はコウモリのエコロケーション（超音波による物体位置認識）です。また、サイエンス・ライターとしても活躍しています。

以下、本書の内容の "さわり" を紹介しますが、本書では「マイクロバイオータ（microbiota）」と「マイクロバイオーム（microbiome）」を区別して使ってあります。

マイクロバイオータ：	微生物叢そう。人体と共生する微生物の総体。
マイクロバイオーム：	微生物叢そうがもつ遺伝子の総体。

です。一般には「マイクロバイオーム」で微生物叢そうも表すことがあります。

---

人体 ＝ ヒトと微生物との共生系

---

一般に生命体は微生物と共生していることが多く、高等生物である哺乳類でもよくあります。たとえば反芻動物であるウシです。ウシは４つの胃があり、そこに植物のセルロースを分解する細菌を住まわせていて、食べた草が４つの胃を行ったり来たりしているあいだに微生物が消化してくれる ･･････。これは広く知られていると思います。本書では同様の話としてジャイアントパンダの例が書いてありました。そこを引用してみます。

以降の引用では漢数字を算用数字に直し、また、段落を増やしたところがあります。下線は原文にはありません。

ジャイアントパンダは食肉目（ネコ目）クマ科に属する動物だ。クマ科にはグリズリーやホッキョクグマなどの仲間がいて、食肉目にはライオンやオオカミといった獰猛な動物が加わる。だが食肉目という分類群の名称に似合わず、ジャイアントパンダは肉食をしない。進化の過去に背くように竹を食べることに喜びを見出す。ジャイアントパンダには、ウシやヒツジなどの草食動物にあるような複雑で長い消化管はない。それに代わって大腸とそこに棲む微生物がいろいろな働きをする。 パンダのゲノムは食肉目のゲノムだ。肉の成分である蛋白質を分解する酵素をつくることのできる遺伝子はたくさんあるが、頑丈な植物性多糖類（炭水化物）を分解する酵素をつくることのできる遺伝子は一つもない。パンダは毎日およそ12キログラムの竹の茎をむさぼり食うが、そのうち2キロしか消化できない。腸内微生物がいなければ、その2キロでさえかぎりなくゼロに近づく。 しかし、解析されたパンダのマイクロバイオームからは、セルロースを分解する遺伝子が見つかった。これは本来ならウシやワラビー、シロアリなど草食動物のマイクロバイオームに見られる遺伝子だ。この遺伝子をもつ微生物を体内に棲まわせているおかげで、ジャイアントパンダは肉食動物だった過去の制約から自由になることができた。 アランナ・コリン 『あなたの体は９割が細菌』 （矢野真千子 訳。河出文庫 2020）p.265

引用にあるように、パンダ（ジャイアントパンダ）は食肉目（＝ネコ目）クマ科の動物です。食肉目はネコやライオン、クマ、イヌ、アザラシなどを含む分類で、その名のとおり肉食動物がほとんどです。しかしパンダは食肉目でありながら草食で、しかも竹を食べて生きている。それを可能にするのが共生微生物の働きなのです。

そして我々人間も哺乳類の一部であり、パンダと同様の話が当てはまります。たとえば、我々が食べる野菜にはヒトの消化酵素では消化されにくい炭水化物（＝難消化性の炭水化物）が含まれていて、それは「食物繊維」と総称されています。上の引用に出てきたセルロースもその一つです。食物繊維は胃から小腸まででは消化されずに大腸に至り、大腸に共生している微生物はそれを分解してエネルギー物質にしたり、必須ビタミンを合成したりします。

そういった共生微生物は、もちろん大腸だけでなく、皮膚、口腔、鼻腔、消化器系、膣などに生息していて、その数はヒトの細胞の数よりよほど多いのです。

あなたの体のうち、ヒトの部分は10%しかない。あなたが「自分の体」と呼んでいる容器を構成している細胞１個につき、そこに乗っかっているヒッチハイカーの細胞は９個ある。あなたという存在には、血と肉と筋肉と骨、脳と皮膚だけでなく、細菌と菌類が含まれている。あなたの体はあなたのものである以上に、微生物のものでもあるのだ。 微生物は腸管内だけで100兆個存在し、海のサンゴ礁のように生態系をつくっている。およそ4000種の微生物がそれぞれ独自の棲息地（ニッチ）を開拓し、長さ1.5メートルの大腸表面を覆うひだに隠れるようにして暮らしている。あなたは生まれた日から死ぬ日まで、アフリカゾウ５頭分の重量に匹敵する微生物の「宿主」となる。微生物はあなたの皮膚の上にもいる。あなたの指先には、イギリスの人口（引用注：約6700万）を上回る数の微生物が付着している。 「同上」p.15

ヒトの細胞の数は、最近の研究では約37兆個と言われています。そのうちの26兆は酸素を運ぶことだけに特化した赤血球です。赤血球にはDNAがなく、DNAをもつ通常の細胞という意味では11兆個程度です（No.225「手を洗いすぎてはいけない」参照）。一方、数だけからすると常在菌のほとんどは腸内細菌で、その数を100兆とすると、上の引用にあるように「ヒトの部分は10%しかない」ことになります。

ヒトの消化管（本書）

胃は強酸性で、ふつう微生物は棲めないが、ヘコバクター・ピロリ菌だけが生息している。 小腸は全長7メートルほどあり、食物が消化酵素で分解されて血液中に吸収される。ここには微生物も多く生息していて、小腸の出発点では1ミリリットルあたり約1万個、終点では1ミリリットルあたり1000万個の微生物がいる。 盲腸はテニスボール大の器官で、微生物の種類と数が一挙に増える。ここには4000種類、数兆個の微生物がひしめく。また虫垂は、食物の流れからはずれた位置にあり、微生物の「隠れ家」になっている。 大腸の殆どを占める結腸には1ミリリットルあたり1兆個の微生物が生息していて、消化されなかった食物を分解する。この副産物がヒトに有益かつ必須の影響を与える。なお図にはないが、口腔にも多様な微生物が生息している。

2000年に始まった「ヒトゲノム・プロジェクト」でヒトの全DNAが解読されました。そこで分かったことは、ヒトの遺伝子（＝蛋白質の製造指示）の数は線虫とほぼ同じ21,000個だということです。これは植物のイネの半分程度しかなく、31,000個の遺伝子を有するミジンコにも遙かに及びません。

もちろん、遺伝子の数だけで生物の複雑さを議論できません。生物の複雑さは遺伝子が作る蛋白質の組み合わせで決まります。ヒトもほかの動物も、ゲノムから引き出せる機能の数は遺伝子の数よりずっと多い。

とは言うものの、ここで見落としているのはヒトと共生している微生物の遺伝子です。ヒトの遺伝子にそれが加わると複雑さが格段に増す。この共生微生物の遺伝子を解読するプロジェクトが、2007年に開始された「ヒトマイクロバイオーム・プロジェクト」でした。

世紀の変わり目に私たちが見落としていたのは、2万1000個の遺伝子がすべてではないということだった。ヒトゲノム・プロジェクトの最中に生まれたDNA解析技術は、もう1つのゲノムの解析計画を可能にした。ヒトマイクロバイオーム・プロジェクトである。当初それほどメディアの注目を集めなかったヒトマイクロバイオーム・プロジェクトは、私たち自身のゲノムを調べるのではなく、人体に棲む微生物のゲノムの総体 ── マイクロバイオーム ── を調べて、どんな微生物種が存在しているのかを見つけ出そうという計画だった。 培養の困難さと酸素が研究の障害となることはなくなった。1億7000万ドルの予算と5年の期間をもってスタートしたヒトマイクロバイオーム・プロジェクトは、人体18か所の微生物共同体を解析することになった。解読するDNAの量はヒトゲノム・プロジェクトの数千倍にもなったが、ヒトと微生物の遺伝子を両方調べるということは、一人の人間をより包括的に理解することになる。 2012年にヒトマイクロバイオーム・プロジェクトの第１段階が終了したときは、大統領や首相が勝利宣言することはなく、そのニュースを記事にした新聞もごくわずかだった。だが、ヒトマイクロバイオームの解読は、ヒトゲノムの解読以上に、「ヒトとはどんな存在であるか」を明らかにしつつある。 「同上」p.26

ヒトマイクロバイオーム・プロジェクトが明らかにした共生微生物の遺伝子の総数は440万と本書にあります。つまりヒトの遺伝子の約200倍であり、遺伝子の数だけからすると人体におけるヒトの部分は0.5%しかないのです。しかも共生微生物のほとんどは単細胞生物であり、進化のスピードがヒトと比べものにならないぐらい速い。これらの（腸管だけで100兆の）共生微生物（＝マイクロバイオータ）と一緒に進化してきたのがヒトです。

この「人体 ＝ ヒトと微生物の共生系」という視点で考えると新たな事実や研究課題が見えてきます。そこを展開するのが本書の目的で、特に、

・	"21世紀病" とマイクロバイオータの関係
・	マイクロバイオータを正常に維持するために

という観点から数々の解説がされています。以下にその一部を紹介します。まず「21世紀病とマイクロバイオータ」の関係です。

---

「ふつう」でないことの急増 ＝ 21世紀病

---

19世紀末から20世紀初頭に増加の兆候が見え、1950年ごろから有病率が激増し、21世紀にはすっかり "定着" してしまった（＝あたりまえになってしまった）病気や疾患、症状があります。アレルギー、自己免疫疾患、心の病気（自閉症など）、肥満、腸の疾患などで、著者はこれらを「21世紀病」と呼んでいます。

たとえばアレルギーは、花粉、ホコリ、ペットの毛、牛乳、卵、ナッツ類などにヒトの免疫系が過剰反応して起こりますが、20世紀の後半に急増しました。アレルギーを起こす物質はどこにでもある平凡なものにもかかわらず、ヒトの免疫系が敵と見なして攻撃してしまいます。これはヒトにとっての「ふつう」だとは言えません。アトピー性皮膚炎と花粉症は、現在では人生の一部になってしまった人が多数いますが、これも「ふつう」の状態とは言えないでしょう。喘息もそうです。呼吸は生きていく上で欠かせないものなのに、薬に頼らないと息ができない子どもたちがたくさんいる。

では、自己免疫疾患はどうでしょうか。本書から引用します。

自己免疫疾患はどうだろう。1000人のうち4人が１型糖尿病を患っている現在、あなたの義妹がインスリン注射をしているのは別段めずらしいことではない。あなたの妻とその叔母の神経を破壊している多発性硬化症の名前もあちこちで見聞きする。 自己免疫疾患にはほかに、関節炎を生じさせる関節リウマチ、腸を襲うセリアック病、筋線維を変性させる筋炎、細胞をその中心から崩壊させる狼瘡（引用注：ろうそう。全身性エリテマトーデス。SLEと略される）、その他およそ80種類がある。アレルギー同様、免疫系が暴走して病原体だけでなく自分自身の細胞まで攻撃してしまう自己免疫疾患に苦しむ人は、先進国では人口の10%近くに達している。 「同上」p.64

著者は１型糖尿病の増加の例を詳しく書いています。１型糖尿病は遺伝子変異で引き起こされる自己免疫疾患で、膵臓の細胞が破壊されてインスリンが分泌されなくなります。通常10代などの若年期に発症し、ブドウ糖が血液中にどんどんたまり、喉の渇きや多尿をもたらします。患者は日に日に衰弱し、腎不全で数週間後か数か月後に死亡します。唯一の治療はインスリンの注射ですが、インスリンが発見されて患者への投与が始まったのは1920年代であり、20世紀初頭までは死が避けられない病気でした。

この１型糖尿病は19世紀以前でも簡単に診断がついたという特徴があります。自己免疫疾患の有病率の長期の傾向をみるには最適の病気です。

１型糖尿病はほかの病気に比べていまも昔も診断がつきやすいという特徴がある。最近では空腹時に血糖値をちょっと測るだけでわかる。100年前でも調べる気になれば簡単に調べることができた。調べる気になれば、と言ったのは、その調べ方というのが患者の尿を舐めるという方法だからだ。口の中で甘みが広がれば、腎臓で血液から尿に排出されたブドウ糖の量が多いということになる。もちろん現在より過去のほうが見過ごされるケースは多かっただろうし、記録に残されていないものもあっただろうが、１型糖尿病の有病率の変化は自己免疫疾患全般の有病率の変化を知る目安として信頼に足りうる。 欧米ではおよそ250人に１人が１型糖尿病で、ブドウ糖がたまるのを防ぐために自分に必要なインスリン量を計算し、それを注射している。だが、ここまで有病率が高くなったのは最近の話だ。１型糖尿病は19世紀にはほとんどなかった。アメリカのマサチューセッツ総合病院が1898年まで75年以上保管していた記録によれば、同院を訪れたおよそ50万人患者のうち小児期に糖尿病と診断されたケースは21件しかなかった。昔は診断されなかったから見逃されていたのでは、という疑いは排除していい。尿を舐めて調べる検査、急激な体重減少、そして死が避けられないというわかりやすい診断基準で、この病気は当時から簡単に見分けられていたからだ。 第２次世界大戦の直前に公的な記録制度が整うと、それ以降の１型糖尿病の有病率の推移をたどるのは簡単になった。第２次世界大戦前、アメリカ、イギリス、スカンディナビアで１型糖尿病の小児患者は5000人に1人だった。有病率は戦争中は変わらなかったが戦後に上がりはじめ、1973年には1930年代の6倍から7倍になった。1980年代に現在と同じ250人に1人となり、その後は横ばいを続けている。 「同上」p.65

1898年以前は25,000人に１人（50万人中の21人）だった有病率が、1980年代には 250人に１人になったわけです。１型糖尿病は約100年間で100倍に増加したことになります。

１型糖尿病の増加と連動するかのように、ほかの自己免疫疾患も増加しました。神経系が破壊される多発性硬化症は、2000年の時点でその20年前の2倍になりました。セリアック病（小麦に含まれるグルテンの摂取が引き金になって免疫系が小腸細胞を攻撃する自己免疫疾患）は、現在、1950年代と比べて30倍から40倍に増えました。炎症性腸疾患や関節リウマチなども増えています。

---

さらに、肥満も20世紀後半に急増したものです。本書ではBMIが25以上を「過体重」、30以上を「肥満」と定義しています。現在、欧米人の半数以上は過体重または肥満です。しかし、かつてはそうではありませんでした。

現在の私たちから見ると、1930年代や1940年代の懐かしの白黒写真に見られる短パン姿や水着姿で夏を楽しむ若い男女の体格は、肋骨が浮き出て腹部がへこみ、いかにも貧弱だ。だが、彼らは不健康でも何でもなく、単に現代人の悩みを抱えていないだけである。20世紀初頭には、ヒトの体重に個人差はそれほどなく、記録をとる必要がないほどだった。 「同上」p.67

「20世紀初頭には、ヒトの体重に個人差はそれほどなく」とありますが、個人差があまりないと同時に、それ以前の人類史と比較しても差があまりなかったのです。この状況が20世紀半ばから変化します。

ところが1950年代に、肥満病の震源地アメリカで突如、体重増加が目立つようになり、政府は記録をとりはじめた。1960年代初期に実施された初の全国調査では、成人の13%が肥満（BMI値が30を超える）で、30%が過体重（BMI値が25～30）だった。BMIとは、体重（kg）を身長（m）の２乗で割って出た数値、ボディ・マス・インデックスのことである。 1999年には、成人のアメリカ人の肥満率は倍増して30%となり、過体重のゾーンに入る人は34%となった。合わせると過体重または肥満は64%になる。イギリスも少し遅れて同じ傾向を追いかけた。1966年には成人イギリス人の肥満の割合は1.5%、過体重は11%だった。1999年になると肥満は24%、過体重は43%、合わせて67%だ。 肥満の問題は単に太っていることだけではない。肥満は２型糖尿病や心臓病、一部の癌の原因ともなり、実際、これらの病気は着実に増えている。 「同上」p.67

---

自閉症をはじめとする "心の病気" はどうでしょうか。

自閉症の患者は、かつてないほど多くなっていて、68人に1人の子ども（男児では42人に1人）が自閉症スペクトラムと診断されている。1940年代には自閉症はあまりに希少で病名さえついていなかった。 記録をとりはじめた2000年でさえ、現在の半分以下だった。患者数が増えた背景に、自閉症への認識率の高まりや過剰診断があることは否定できない。だが、それを差し引いても自閉症の有病率が増加しているのは事実であり、昔とは明らかに違うと大半の専門家は認めている。注意欠陥障害やトゥーレット症候群、強迫性障害も増加している。うつ病と不安障害もだ。 心の病気がこんなに増加しているのは「ふつう」ではない。 「同上」p.68

アレルギー、自己免疫疾患、自閉症、肥満などは、あまりに常態化しているため、曾祖父母とそれ以前の世代にはほとんどなかった新しい病気や症状だということに我々は気づきません。それは医者も同じで、現代の医者は現代の知見をベースにした教育を受けています。昔はなかった病気だと言われても、ピンと来ないでしょう。

何が状況を変えてしまったのか、じっくりと考えてみる必要があります。本書の眼目は、これらの "21世紀病" がヒトのマイクロバイオータの "変調"（＝ディスバイオシス）に関係しているのではということです。その研究は21世紀から盛んに行われるようになり、その最新の情報をもとに書かれたのが本書です。まだ研究途中のテーマが多いのですが、その一端を、以下に紹介します。

---

21世紀病：肥満

---

20世紀は、人類が誕生してこのかた、最も体型が変化した時代です。著者は「後世からすると20世紀は肥満の時代と定義されるだろう」とまで言っています。

ヒトの体型を5万年前と1950年代とで比べてもそれほど違いはないだろうが、こんにちの平均的な体型は明らかに違う。狩猟採集民のころから続いてきた筋肉質でひきしまった体格は、たった60年かそこらでぶくぶくになってしまった。これほど大規模な変化は人類史において過去に一度も起こったことはない。いや、ヒト以外の動物（ペットと家畜を除く）でも、体型をこれほど変えてしまう病気が広がったことはない。 地球上の成人は、3人に1人が過体重（引用注：25 < BMI < 30）で、9人に1人が肥満（引用注：30 < BMI）だ。なおこの比率は、過体重より栄養不良のほうが心配な地域を含めた全世界の平均値である。肥満率の高さで上位にいる国の現実は想像を絶する。たとえば南太平洋の島国ナウルでは、成人のおよそ70%が肥満で、そのほかに過体重が23%いる。この小国の人口は1万人だから、まともな体型は700人しかいないことになる。ナウルは太った人が世界一多い国家と認定されている。南太平洋のほかの国々や中東諸国の多くが僅差で続く。 欧米でも、太った人がいると目立ったのは過去の話となってしまった。いまや、痩せた人を数えるほうが早い。成人の3人に2人は過体重で、さらにその半分は単なる過体重ではなく肥満だ。アメリカは肥満国家という印象があるが、意外にも世界ランキングでは17位で、過体重または肥満の割合は71%にとどまる。イギリスは世界ランキング39位で、成人の62%が過体重（25%の肥満を含む）と西ヨーロッパで最も高い。恐ろしいことに、欧米世界では子どもにまで太りすぎが蔓延し、12歳未満の小児の3分の1が過体重でその半数が肥満である。 「同上」p.89

肥満は、糖尿病などのいわゆる生活習慣病の原因になり、ある種の癌のリスク要因にもなることが確実視されています（たとえば大腸癌）。肥満はこの50年程度で急速に進み、多くの人が太りすぎの状況に慣れてしまいました。このため我々は、太るのは欲望（＝食欲に負ける）と怠け癖（＝運動不足）の結果であり、肥満は人間の性さがたと思い込んでしまった。

もちろん、過食と運動不足が肥満の原因になるのは間違いありません。特に過食です（No.221「なぜ痩せられないのか」に書いたように、運動による減量の効果は限定的）。しかしそれだけでしょうか。

ちなみに本書には書いてありませんが、ストレスも肥満の（２次的な）原因になるとよく言われます。ストレスが満腹中枢を刺激するホルモンの分泌を低下させ、そのために過食になり、肥満になるという理屈です。

肥満の他の理由は遺伝的要因です。体重増加に作用している遺伝子は32個ほど発見されています。しかしこれらによる体重増加は、最大限に見積もっても約8kgです。それに、ヒトの遺伝子は60年程度では変わりようがありません。遺伝的に太りやすい人がいるのは事実ですが、多くの人がスリムだった60年前と現在で遺伝子の全体的な状況は同じはずです。

---

過食と運動不足、遺伝的要因だけで肥満を説明することはできません。ここで我々が見落としていたのが微生物の影響です。ヒトが食物から吸収するエネルギー量は体内の微生物に関係しているようなのです。

スウェーデンのヨーテボリ大学のバークヘッド教授は、肥満の研究をしてきました。彼が2004年から行った無菌マウスを使った実験が本書に出てきます。マイクロバイオーム研究の世界的第１人者、ジェフリー・ゴードン（アメリカ・ミズーリ州ワシントン大学教授）との共同研究です。

フレドリク・バークヘッドはヨーテボリ大学の微生物学教授だ。彼の実験室にあるのは、微生物学という言葉から連想されるペトリ皿や顕微鏡ではなく、数十匹のマウスだ。マウスはヒトと同じく多種多様な微生物を腸内に棲まわせている。だが、バークヘッドのマウスは違う。帝王切開で生まれたのち無菌室で育てられているため、体内に微生物がまったくいない。この「白いカンバス」のようなマウスに、バークヘッドの研究チームは思いのままに特定の微生物を植えつけることができる。 バークヘッドは2004年に、マイクロバイオーム研究の世界的第１人者ジェフリー・ゴードンとの共同研究に乗り出した。ゴードンは実験で使っている無菌マウスがひどく痩せていることに目をとめ、バークヘッドと共にその理由を腸内細菌が不在だからではないかと考えた。このとき２人は、腸内細菌が宿主動物の代謝に与える作用について、ごく基礎的な研究でさえまったくなされていないことに気がついた。そこで、バークヘッドは第１弾として、腸内細菌がいるとマウスは太るのか、というシンプルな疑問を研究することにした。 この疑問に答えるため、バークヘッドは無菌マウスを成体まで育てたあと、そのマウスの毛に、通常マウスの盲腸の内容物をなすりつけた。無菌マウスが自分の毛をなめると、腸内に通常マウスと同じ微生物が棲みつく。結果は大当たりで、元無菌マウスは太ってきた。少し太った程度ではなく、14日間で体重を60%も増やした。餌を食べる量は逆に減っていた。 「同上」p.100

腸内に棲む微生物が、宿主に消化できない食べ物を食べていることは科学者が皆知っていました。つまり微生物は宿主から恩恵を受けています。しかし微生物による消化作用が宿主のエネルギー摂取にどれほど貢献しているのか、つまり微生物が宿主に与える恩恵については、誰も知らなかった。マウスによる実験によると、明らかにマウスも恩恵を受けているのです。

さらに、ゴードンの研究室で研究員だったピーター・ターンバウの実験があります。彼は遺伝的に肥満のマウスの腸内細菌と通常のマウスの腸内細菌を、それぞれ別の無菌マウスに移植し、同じ餌で飼育する実験をしました。案の定、肥満マウスのマイクロバイオータを移植されたマウスは太り、通常マウスのマイクロバイオータを移植されたマウスは太らなかった。

腸内細菌の何が私たちを太らせているのだろう。ターンバウが肥満マウスの微生物を移して太らせたマウスは、フィルミクテス門の細菌が多くバクテロイデーテス門の細菌が少ないマイクロバイオータを有しており、それにより食べ物から多くのエネルギーを吸収しているようだった。 これは「カロリーイン、カロリーアウト」の法則を根底から覆す。単に食事のカロリー計算をするだけでなく、そこから吸収するエネルギーの量を知らなければならないのだ。ターンバウは、肥満型のマイクロバイオータを移されたマウスは餌から 2% 多くカロリーを吸収していると算出した。同じ量の餌に対し、通常マウスが100キロカロリーを得るところを、太ったマウスは102キロカロリーを得る。 なんだ、たいしたことはないと思うかもしれないが、1年以上たつと差はどんどん開く。身長163センチ、体重62キロ、BMI値23.5という平均的な女性を例にとってみよう。この女性は1日に2000キロカロリーを摂取するが、肥満型のマイクロバイオータを有していると2%余分にカロリーを吸収する、つまり1日に40キロカロリーが加わる。エネルギーの消費量がいつもどおりであれば、この余分な40キロカロリーは理論上、1年で1.9キロの体重増になる。10年で19キロ増え、彼女の体重は81キロに、BMI値は肥満レペルの30.7になる。腸内細菌が食べ物から2%余分にカロリーを引き出すだけで、10年で肥満になるということだ。 「同上」p.104

アトウォーター係数というエネルギー換算係数があります。タンパク質：4kcal/g、脂質：9kal/g、炭水化物：4kcal/g という係数ですが、これはもちろん標準値であって、同じ栄養素でもその物理的組成や食品としての加工の程度、調理方法によって吸収されるエネルギーは違ってきます。

それに加えて、ヒトのマイクロバイオータもエネルギー吸収に関与している。これはヒトそれぞれでエネルギー吸収量が違うということを意味します。

ターンバウの実験は、ヒトの栄養についての考え方に革命をもたらした。食品ラベルに表示してあるカロリー量は、炭水化物1グラムは4キロカロリー、脂肪1グラムは9キロカロリーというように、標準的な換算表で計算されたものだ。食品の品目ごとに「このヨーグルトは137キロカロリー」「このパン1枚は69キロカロリー」と、だれが食べても同じカロリーになることを前提としている。 だが、事はそれほど単純ではない。そのヨーグルトはふつうの体重の人には137キロカロリーでも、太った人には140キロカロリーになる。別のマイクロバイオータを抱えた人ならまた別のカロリー量になるかもしれない。そして、このわずかな差は積もり積もって大きな差となる。 「同上」p.105

さらに本書では、肥満の人はより多くのエネルギーを脂肪細胞に蓄えることが示されています。これに影響しているのも微生物です。たとえば、マーモット（小型のサル）での実験では、アデノウイルス36（AD36）に感染するとマーモットは太りました。このウイルスに感染すると脂肪組織はエネルギーが余っていなくても脂肪の貯蔵に励むようになります。ヒトでの実験は倫理上の問題もあってできませんが、AD36の感染履歴があるかを抗体検査で調べた結果があります。それによると肥満者の30%が過去にAD36に感染していました。太っていない人では10%です。

そのヒトでの研究ですが、腸内細菌の中には表面にリポ多糖（＝LPS。No.122「自己と非自己の科学：自然免疫」の "グラム陰性菌" の説明参照）を付けているものがいます。そして腸内にアッカーマンシア・ムシニフィラという細菌が少なくなるとリポ多糖が腸壁を通過して血液中に入り込み、その結果、脂肪細胞に過剰な脂肪が詰め込まれることが分かりました。

痩せたヒトと太った人の腸内での存在量の違いが見られる微生物に、アッカーマンシア・ムシニフィラという細菌がいる。痩せた人はこの細菌が多くいて、この細菌が少ない人ほどBMI値が高い。この細菌は、痩せた人では腸内微生物全体の4%を占めているのに対し、太った人ではほとんどゼロだ。 アッカーマンシア・ムシニフィラは腸壁を覆う厚い粘膜層の表面に棲んでいる（ムニシフィラとは粘膜好きという意味だ）。腸壁の粘膜層は、腸内微生物が血液中に入り込んで悪さをするのを防ぐ障壁となっている。アッカーマンシア・ムシニフィラの存在量はBMI値に関係するだけではない。この細菌が少ないと粘膜層が薄くなり、リポ多糖が血液中に入り込みやすくなる。 アッカーマンシアが痩せた人の腸内に多いのは、この細菌が粘膜好きで、粘膜層が厚いほど繁栄するからだと思うだろう。実態はその逆で、この細菌が腸壁細胞に働きかけて、より多くの粘液を分泌させている。アッカーマンシアはヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を得て、結果的にリポ多糖分が血液中に入り込むのを阻止している。 「同上」p.118

リポ多糖は脂肪細胞に炎症を起こし、また新しい脂肪細胞の形成を妨げます。その結果、既存の脂肪細胞に過剰な脂肪が詰め込まれることになるのです。

腸壁の断面図（本書）

この図で上の方の「移動性微生物」が生息しているのが腸の内腔で、その下に描かれている「粘液好きの微生物」の一つがアッカーマンシア・ムシニフィラである。アッカーマンシアはヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を得て、リポ多糖が血液中に入り込むのを阻止している。この結果、脂肪細胞に過剰な脂肪が詰め込まれることがなくなる。

従来、肥満は過食と運動不足が原因であり、要するに生活習慣病であるとされてきました。しかしそれに加えて微生物が関係していることが次第に分かってきました。

微生物とは無関係だとされていた症状・病気が、実は違ったことが分かった先例があります。1982年、２人のオーストラリア人科学者、ロビン・ウォレンとバリー・マーシャルが、胃潰瘍を引き起こしているのはヘリコバクター・ピロリ菌だと解明しました。この功績により、２人は2005年のノーベル医学生理学賞を受賞しました。胃潰瘍は感染症の一種だったのです。

胃潰瘍と同じように、肥満も微生物が原因の感染症という一面があるようです。

---

21世紀病：自閉症

---

自閉症（＝自閉症スペクトラム障害）は、1943年にアメリカの精神科医が初めて命名した症状です。この症状に共通するのは人づき合いが困難だということです。生後の早い時期から外界に無関心で、他者の真意、冗談、皮肉、比喩などが理解できません。他者との共感を抱けず、社会生活のルールを身につけることができません。決まりきった行動を好み、単一の考えや対象物の執着します。

自閉症は遺伝的なものだというのが一般的な見方で、それは1990年代もそうでした。しかし、それに疑問を持った人がいました。アメリカのコネティカット州のエレン・ボルトです。1992年に生まれた彼女の第４子であるアンドリューは、生後15ヶ月ごろに耳の感染症のために抗生物質の投与をうけ、再発を繰り返したため、抗生物質の種類を変えて何回もの治療が続きました。そして治療の途中からアンドルーの振る舞いが変わりはじめ、２歳のころには自閉症と診断されました。エレン・ボルトは疑いを持ちます。アンドリューの自閉症は抗生物質の投与が引き起こしたのではないかと ･･････。

エレン・ボルトは文献を読みあさり、ある仮説をたてます。それは腸内における破傷風菌の増殖が原因ではないかという仮説です。破傷風菌は普通、血液に入って筋肉に感染しますが、アンドルーの場合は腸に入った。通常、腸内での増殖は起こらないのですが、抗生物質治療が腸内細菌を殺していたために破傷風菌が増殖し、その毒素が脳に影響を与えたのではとエレンは考えたのです。破傷風菌が筋肉に感染するとその毒素が筋収縮を起こしますが、腸に感染した場合は毒素が脳に影響しうることを示す論文もありました。そして実際に検査してみると、アンドリューの破傷風菌の抗体値は異常に高かったのです。

エレンが相談した37番目の医師は、シカゴの小児胃腸科専門医のリチャード・サンドラーでした。彼はエレンの話を注意深く聞いてくれ、破傷風菌を殺すために抗生物質を投与するというエレンのアイデアを実行してみることにしました。２日後、４歳半になっていたアンドリューの行動は落ち着き始めました。２週間後にはトイレ訓練が可能になり、言葉をたくさん覚えるようになり、着替えを嫌がらなくなりました。脳の発達期に受けたダメージのため、自閉症が完治したわけではありません。しかしアンドリューの変化は誰の目にも明らかでした。

アンドリューの事例に興味を示してくれたのが、高名な微生物学者、シドニー・ファインゴールド（米・カリフォルニア大学）です。ファインゴールドは嫌気性微生物研究の第一人者であり、破傷風菌を含むクロストリジウム属の細菌も嫌気性微生物の仲間です。エレン・ボルトの話に興味を惹かれたファインゴールドは実験を開始しました。

破傷風菌仮説がひらめいてから6年後の2001年、エレン・ボルトはついに自分が正しかったことを知る。シドニー・ファインゴールドは、自閉症児13名と健康児8名で、大腸内にいる微生物を比較する対照試験をした。当時、マイクロバイオータのすべてを調べるにはDNA解析技術はまだ高価すぎたが、ファインゴールドは無酸素状態で細菌を培養する特殊な技能を有していたため、クロストリジウム属の細菌種をカウントすることができた。 破傷風菌そのものは見つからなかったが、重要なことがわかった。自閉症児は健康児に比べて、平均すると腸内にクロストリジウム属の細菌が10倍も多くいたのだ。おそらく、破傷風菌の仲間の菌種も幼い脳にダメージを与えるような神経毒素を出すのだろう。エレン・ボルトの仮説は原因菌種を狭く特定していただけで、考え方の方向性としては合致していたことがこの段階で示された。 「同上」p.140

ファインゴールドはその後、自閉症児と健常児のマイクロバイオータを比較する研究を何度かくり返した。そして、自閉症児の多くに共通して見つかる疑わしい細菌種を発見し、エレン・ボルトにちなんでクロストリジウム・ボルテアエという名をつけた。自閉症児と健常児では腸内細菌のバランスが異なり、その違いとしてクロストリジウムが浮上することが多い。だが、これらの細菌は、どのようにして幼い脳を改変し、重度の自閉症を発症させてしまうのだろうか。 「同上」p.154

カナダのオンタリオ州ロンドンにあるウェスタン・オンタリオ大学にデリック・マクフェイブという研究者がいました。彼は過去に自閉症に似た症状を示す男性に抗生物質を投与したところ症状が改善したことから、脳と腸の関係を信じるようになっていました。彼は自分の脳卒中の研究でプロピオン酸という分子を調べていて、これが自閉症と関係しているのではとの疑いをもちました。

プロピオン酸は、消化されなかった食べ物を腸のマイクロバイオータが分解するときできる物質、短鎖脂肪酸（SCFA）の1つだ。代表的な短鎖脂肪酸は酢酸、酪酸、プロピオン酸で、どれも私たちの健康と幸福に欠かせない物質だ。マクフェイブが注目したのは、プロピオン酸は人体に重要な物質であると同時に、パン製品の防腐剤にも使われていることだ。パン製品は、多くの自閉症児が好む食べ物だ。さらに、プロピオン酸を産生するのはクロストリジウム属の細菌だということが知られている。プロピオン酸そのものは有害な物質ではないが、ひょっとすると自閉症児の体内にはこの物質が過剰にあるのではないかとマクフェイブは考えた。 「同上」p.155

自閉症児の脳内にはプロピオン酸が脳内に過剰にあるのではないかという仮説を実証するため、マクフェイブはまずマウスでプロピオン酸の脳に対する影響を確かめる実験を開始しました。

自閉症児のマイクロバイオータはプロピオン酸を過剰生産していて、そのプロピオン酸がふるまいに影響しているのだろうか。それを確かめるため、マクフェイブは一連の実験に乗り出した。生きたラットの脊柱に小さなカニューレを挿入し、そこから微量のプロピオン酸を脳脊髄液に注入した。数分後、ラットは奇妙にふるまいはじめた。その場でぐるぐる回ったり、単一の物体に固着したり、突発的に走ったりするようになったのだ。２匹のラットを同じケージに入れてプロピオン酸を注入すると、立ち止まって互いの匂いを嗅ぎ合うことをせず、相手を無視してケージの中をぐるぐる走り続けた。 ラットのふるまいが変わったのは明白で、しかもそれは自閉症患者のふるまいに似ている。そのようすはインターネットの動画で見ることができる。仲間のラットよりモノに興味を示し、一定の動きをくり返し、チックや多動を示すという自閉症患者と同じ特徴が、脳へのプロピオン酸の作用で出現したのは明らかだ。プロピオン酸の効果が半時間ほどで消えるとラットのふるまいは元に戻る。プラセボとして生理食塩水を注入したラットには変化は見られなかった。逆に本物のプロピオン酸であれば、ラットの皮膚下に注射したり食べさせたりした場合でも、同じ変化が現れた。 この小さな分子はラットの脳をハイジャックし、宿主に異常な行動をさせていた。 「同上」p.156

プロピオン酸はラットの脳に与えたと同じようなダメージを自閉症患者の脳にも与えていたのだろうか。その疑問を解くため、マクファイブの研究チームはラットの脳と、検死解剖された自閉症患者の脳を比べた。その結果、どちらの脳にも免疫細胞が大量にあることが確認された。統合失調症や多動性障害の場合と同じく、やはり炎症の痕跡があったのだ。 「同上」p.157

免疫細胞が大量にあるということは、脳内で炎症が起こっていたということです。腸内細菌の "ありよう" が結果として脳にダメージを与えて自閉症を発症するというのは仮説であり、マクファイブの研究チームはまだ慎重な姿勢を崩していません。現在も研究が続いているところです。なおエレン・ボルトの娘のエリン・ボルトは、この分野の研究者の道を歩んでいます。

---

20世紀には微生物が引き起こす病気が次々と明らかになりましたが、脳の不具合だけは微生物と無関係なものとされてきました。脳以外の器官がおかしくなった時、我々は外部要因を考えます。しかし脳（心）の病気だけは、本人や親、遺伝、ストレス、生活習慣のせいにされる。

ところが、感染症も脳に影響することが分かってきました。たとえば、トキソプラズマに感染すると性格が変わります。反応が鈍くなり、集中力が失われる。男性は陰気になり、ルールや道徳を無視するようになります。女性は逆に明るくおおらかになる。

腎臓や心臓の不具合をカンウセリングで直そうとする人がいないと同じように、心の病気をカンセリングだけで直そうとするのは時代遅れなのです。

---

21世紀病：免疫関連疾患

---

免疫関連疾患とは、どこにでもあるありふれた物質に免疫が過剰に反応したり（＝アレルギー）、免疫が自己の細胞を攻撃したり（＝自己免疫疾患）することを言います。これについては No.119-120「"不在" という伝染病」に詳述しましたが、もちろん本書でも書かれています。

20世紀までの免疫に対する理解は「自己と非自己を区別し、非自己を排除することで自己の一貫性を保つ」というものでした（No.69-70「自己と非自己の科学」参照）。しかし腸内細菌は免疫の働きの最前線に生息しているにもかかわらずヒトと共生し、互いに利益を与えあっています。ヒトからみると完全に "非自己" であるはずの腸内細菌が共生できる秘密は何なのでしょうか。この理由が、大阪大学の坂口教授が1995年に発見した "制御性T細胞" です。

免疫細胞ならすべての細胞が敵の破壊と脅威の検知にしのぎを削っていると思われがちだが、人体のあらゆる仕組みがそうであるように、免疫系においても、炎症反応を促進する指示と、炎症を抑制する指示の釣り合いを保たなければならない。このとき炎症抑制の役目を担っているのが、最近知られるようになった制御性T細胞だ。略してTレグ細胞とも呼ばれる制御性T細胞は、軍隊でいうと准将のような位置づけで、興奮して息巻いている兵士を鎮めて落ち着かせる。この細胞が多ければ免疫系はあまり反応せず、少なければ過剰に反応する。 制御性T細胞を生産できない突然変異をもって生まれた子は、IPEX症候群（X連鎖免疫調節異常・多発性内分泌障害腸症候群）という致死的な病気になる。免疫系のバランスが傾いて、炎症を促進する免疫細胞を大量に産出し、リンパ節と脾臓を肥大させてしまう病気だ。過剰に攻撃的になった細胞は自身の臓器を破壊し、患者は小児期に１型糖尿病や皮膚炎、食物アレルギー、炎症性腸疾患、難治性の下痢といった一連の自己免疫疾患とアレルギー疾患に見舞われる。そして多臓器不全で早すぎる死を迎える。 ところが、最近になって驚くべき事実が明るみに出た。准将の制御性T細胞に命令を出している最高司令官は、人体にとっていつも最善の利益を追求する「精鋭のヒト細胞」ではない、というのだ。制御性T細胞を使って命令を流しているのはマイクロバイオータだ。微生物は抑制系の免疫細胞の数を操作することにより、微生物自身の生存を確実なものにする。微生物にとっては、ヒトの免疫系は穏やかで寛容なほうがありがたい。攻撃されたり追い出されたりする心配がなくなるからだ。 では、微生物は自身の利益のためにヒト免疫系を鈍くさせるよう進化して、ヒトが昔からの敵と出合ったとき始動すべき安全装置を改ざんしてしまったのかといえば、そういうことではない。ヒトとマイクロバイオータの長い共進化の歴史は、どちらにとっても最善の利益となるよう免疫系のバランスを微調整してきたからだ。 「同上」p.198

上の引用の最後のセンテンス、「ヒトとマイクロバイオータの長い共進化の歴史は、どちらにとっても最善の利益となるよう免疫系のバランスを微調整してきた」というところがキモです。マイクロバイオータにとって免疫の働きが強すぎるとヒトの体に生息できなくなり、それはまずい。だからといって免疫の働きが弱いと病原菌がはびこってヒトの体が不調をきたし、マイクロバイオータの生息環境そのものが脅おびやかされる。この微妙なバランスの上で、ヒトとマイクロバイオータが共進化してきたわけです。

マイクロバイオータの構成員はどのようにして免疫系をなだめているのだろう。通常の腸内細菌は、細胞表面を病原体と同じように赤い旗で覆っているが、免疫系を苛立たせることがない。どうやらこうした味方の細菌は、自分たちと免疫系だけが知っているパスワードをもっているようだ。 カリフォルニア工科大学のサルキス・マズマニアン教授は、バクテロイデス・フラジリスという細菌が提示するパスワードを発見した。この細菌はマイクロバイオータの中でもとくに数の多さを誇っており、出生直後に腸内に入植する細菌の1つだ。この細菌は多糖類A（PSA）という物質を産生し、それを微小なカプセルに入れて細胞表面から放出する。このカプセルが大腸で免疫細胞に貪食されると、いっしょに飲みこまれたPSAが制御性T細胞を起動させる。制御性T細胞は他の免疫細胞に、バクテロイデス・フラジリスを攻撃しないようメッセージを送る。 バクテロイデス・フラジリスはPSAをパスワードとして使って、免疫系を炎症型から抗炎症型に変える。免疫反応をおだやかなものにし、アレルギーを防ぐには、初期にコロニーをつくる細菌が産生するPSAのようなパスワードが重要なのだろう。さまざまな形をとるこうしたパスワードもまた、それぞれの微生物株が人体の「高級クラブ」の会員として受け入れられるよう進化してきたものに違いない。 致死的な免疫疾患であるIPEX症候群の患者に制御性T細胞が欠けているのと同じように、アレルギーをもつペット動物にも制御性T細胞の不足が見られる。制御性T細胞の抑制効果がないと、ハンドブレーキが解除され、免疫系は無害な物質にまでフルスピードで突進してしまうようだ。 「同上」p.200

バクテロイデス・フラジリスが出すPSA（多糖類A。PolySaccharide A）が制御性T細胞を誘導する（＝ 未分化のT細胞を制御性T細胞に分化させる。つまり制御性T細胞を増やす）しくみについては、No.70「自己と非自己の科学（２）」で日経サイエンスの記事から引用しました。人体において細胞間の情報伝達の役割を果たすタンパク質を総称して "サイトカイン" と言いますが、PSAは共生微生物とヒトの間の情報伝達に使われる「サイトカイン相当物質」（著者の表現では "パスワード"）と言えそうです。

要するに、ヒトは微生物と共生することを前提として成り立っています。従って、微生物の数や種類に変調をきたして「共生」の前提が崩れると免疫の暴走も起きる。それが自己免疫疾患につながるわけです。

なお、「21世紀病」のところで自己免疫疾患の例として１型糖尿病が激増したことを引用しましたが、No.229「糖尿病の発症をウイルスが抑止する」で、ある種のウイルスに感染していることで１型糖尿病の発症が抑えられる（制御性T細胞ができ、それが膵臓に留まって、自己の免疫の攻撃から膵臓が守られる）ことを書きました。

---

以上、著者が「21世紀病」と呼んでいるもののうち、肥満、自閉症、免疫関連疾患とマイクロバイオータの関係を紹介しました。では、ヒトがマイクロバイオータを正常に保つために必要なことは何でしょうか。本書では「抗生物質」「自然出産と母乳」「食物繊維」の観点から述べられています。

（次回に続く）

---

タグ：アレルギー 肥満 自閉症 ジャイアントパンダ 抗生物質 共生 耐性菌 自己免疫疾患 MRSA １型糖尿病 制御性T細胞 マイクロバイオーム プロピオン酸 アランナ・コリン 矢野真千子 あなたの体は９割が細菌 マイクロバイオータ ヒトゲノム・プロジェクト ヒトマイクロバイオーム・プロジェクト 21世紀病 短鎖脂肪酸

No.306 - プーランク：カルメル会修道女の対話

---

フランス革命

---

今回は No.42 「ふしぎなキリスト教（２）」 と No.138「フランスの "自由"」で触れた、フランシス・プーランクのオペラ「カルメル会修道女の対話」（1957）について書きます。このオペラは実話にもとづいています。つまり、

フランス革命のさなかの 1794年7月17日、カトリックの修道会の一つである "カルメル会" の修道女・16人が、反革命の罪によりパリで処刑された

という歴史事実を題材にしたオペラです。フランス革命の勃発（バスティーユ襲撃、1789年7月14日）から５年後、マリー・アントワネットの処刑（1793年10月16日）からは９ヶ月後、ということになります。

フランス革命は現在のフランス共和国の原点ですが、重要なのは、貴族とともに聖職者（カトリック）が打倒されて市民（＝ブルジョアジー）が権力を握ったことです。この「フランスの "国のかたち" は宗教を打倒してできた」という歴史から理解できることがあります。No.138「フランスの "自由"」に書いたように、フランスの伝統的な自由の考え方は、

・	宗教といえども、イデオロギーや思想の一つである。他のさまざまな思想と横並びで同等である。
・	従って「言論の自由」の中には「宗教を批判する自由」も含まれる。これはフランス国民の権利である。

というものです。従って、キリストやムハンマド（イスラム教）を戯画化して描いた風刺画を雑誌や新聞に載せるのはかまわない。いわば "フランス的自由" です。

2015年1月7日、フランスの週刊新聞「シャルリー・エブド」のパリの本社に２人のテロリストが乱入して銃を乱射し、編集長、編集関係者、風刺画家、警官の12人が射殺されました。また2020年10月16日、ムハンマドの風刺画を授業で使った中学校教師がパリ郊外で首を切断して殺されました。

２つとも卑劣極まりない犯罪ですが、その誘因になったのが "フランス的自由" でしょう。しかしこの "自由" をフランスは絶対に守るはずです。でないと、神に祈りを捧げるだけの存在だった16人の修道女たちを何のためにギロチンにかけたのか分からなくなる ･･････。大袈裟に言うと、そういうことではないでしょうか。

---

そしてプーランクのオペラ「カルメル会修道女の対話」ですが、実は、カルメル会修道女の（カトリック教会からみた）"殉教" は、絵画になり、小説に取り上げられ、舞台劇になり、そしてプーランクがオペラ化しました（さらに映画化もされた）。その、殉教からオペラ作曲に至る経緯を中野京子さんが書いていました。まずそれを順に紹介したいと思います。

---

宣誓忌避派の聖職者を処刑

---

カルメル会修道女、16人は、フランス革命のさなかに死刑宣告をうけ、ギロチンで処刑されました。なぜこういうことになったのか。それは革命の経緯と関係しています。

フランス革命期は人命の価値が低く、また犠牲者の数を安易に増やした要因が新発明のギロチンだったことは、よく知られている。ギロチン以前は貴賤きせんによって処刑法が異なり、前者は苦痛の少ない（と信じられた）斬首、後者は絞首こうしゅと決まっていた。斬首は斧や剣を振るっての処刑だったから首切り人の負担が重く、一度におおぜいは無理がある。それを劇的に変えたのが、この簡便かんべん且つ恐ろしい大量処刑装置だったのだ。 ギロチン刑は速すみやかに死をもたらすので人道的とされ、革命政府の称揚する「平等」とも結びついて、王侯貴族から最下層の平民まで全階級にわたって使われるようになった。もちろん第一身分の聖職者も例外ではないが、それでもなお、なぜ修道女までがと、異国の我々は驚きを禁じ得ない。 しかし革命は、腐敗しきった高位聖職者（ほとんどが貴族出身）による富と権力の占有、及び教会の汚職への抗議という形で始まったのだ。やがて運動拡大につれ、教会や修道院の所有地と財産が没収された。そして「恐怖政治」開始とともに王政廃止、国王夫妻処刑、歴代ブルボン家が依拠する国教カトリックそのものの無力化が進められる。フランス全土に四万近くあった教会は、内部の破壊、閉鎖、売却、転用と、機能不全にされてしまう。 中野京子 「運命の絵 ── なぜ、ままならない」 （文藝春秋 2020）

フランス革命の過程においては、国教であったカトリックの無力化、教会の機能不全化が進められました。No.42「ふしぎなキリスト教（２）」 に書きましたが、現在の世界遺産、モン・サン＝ミシェルの修道院が監獄に転用されたのが象徴的です。

聖職者は二分された。革命政府に忠誠を誓った宣誓せんせい派と、誓いを拒否した宣誓忌避きひ派だ。忌避派は身分を剥奪はくだつされるか、フランス領ギアナなどへ追放され（その数、３万という）、抵抗した場合はギロチンにかけられた。アントワネットの処刑当日、懺悔ざんげを聴きに司祭が監房へやってきたが、彼女は宣誓忌避派以外は認めないからと告げて断っている。王家への裏切り者に懺悔などできるわけがない。 革命裁判で斬首された者の内訳は、聖職者6パーセント、貴族8パーセント、中産階級14パーセント、農民を含む労働者70パーセントと推計されている。下層民が大多数なのは道理で、もともと全人口の8割を占めていたのと、有罪の理由に徴兵ちょうへい逃れや通常の布罪までも含まれていたからだ。したがって反革命者として殺された者の割合が圧倒的に多かったのは聖職者と貴族である。何しろ彼らは全人口のわずか1パーセントでしかなかったのだ。 この中に、件くだんの修道女たちも含まれていた。 中野京子「同上」

宣誓忌避派の聖職者からすると、自分が帰依して忠誠を誓うのは神のみであり、革命政府ではないということでしょう。

---

コンピエーニュの女子カルメル修道会

---

コンピエーニュはパリの北東、約80kmにある町です。ここにあったカルメル会の女子修道会が舞台です。

12世紀パレスチナのカルメル山を発祥の地とするカトリッ