No.316 - 高校数学で理解する楕円曲線暗号の数理（２）

（前回より続く）

前回の No.316「高校数学で理解する楕円曲線暗号の数理（１）」では「有限体上の楕円曲線で定義された加法群」までの説明をしました。楕円曲線暗号はこの加法群で構成します。今回はその説明ですが、まず、加法群の点をどうやって見い出すか、またこの加法群の点の総数はどうなっているのかです。

---

16. 楕円曲線上の点

---

${\mathbb{F}}_p$ の元 $x$ と $y$ のぺア $\left(x,y\right)$ の集合を ${\mathbb{F}}_p^2$ と記述します。集合 ${\mathbb{F}}_p^2$ の元で楕円曲線上の "点" はどれだけあるでしょうか。まず、楕円曲線の式を満たす ${\mathbb{F}}_p^2$ の元がどのように計算できるかを調べます。

平方数と平方根

楕円曲線の式を、

$\{\begin{array}{l}{y}^2=z\\ z=x^3+ax+b\end{array}$

と書くとき、$z$（$z\ne 0$）が ${\mathbb{F}}_p$ での平方数なら、$y$ の解が２つ求まります。ここで、次の命題が成立します。

16.1	平方数である条件
$z$ を $0$ ではない ${\mathbb{F}}_p$ の元とする。 $z^{{\displaystyle \frac{p-1}{2}}}=1$ であるとき（かつ、そのときに限り）$z$ は平方数である（＝ オイラーの規準）。

${\mathbb{F}}_p$ で考えているので「平方数」と書きましたが、整数の世界では「平方剰余」です。つまり、$x^2=a\left(modn\right)$ となるような $x$ が存在する $a$ が平方剰余です。16.1 の証明ですが、${\mathbb{F}}_p$ から $0$ を除いた乗法群 ${\mathbb{F}}_p^{\ast }$ で考えます。12.1（No.313）により、$z$ は ${\mathbb{F}}_p^{\ast }$ の生成元（の一つ）を $g$ として、

$z=g^k$

と表現できます。つまり、命題の条件は、

$g^{k{\displaystyle \frac{p-1}{2}}}=1$

です。このとき $k$ は偶数のはずです。なぜなら、もし $k$ が奇数だとすると、$k{\displaystyle \frac{p-1}{2}}$ は $p-1$ で割り切れないので、

$$\begin{gathered} k{\displaystyle \frac{p-1}{2}}=s\left(p-1\right)+t \\ \left(1\le t<p-1\right) \end{gathered}$$

と表現できます。すると、

$\begin{array}{ll}{g}^{k{\displaystyle \frac{p-1}{2}}}& =g^{s\left(p-1\right)+t}\\ & ={\left(g^{p-1}\right)}^s·g^t\\ & =g^t\end{array}$

となり、$g^t=1\left(1\le t<p-1\right)$ になりますが、これは $g$ が生成元であることと矛盾します。従って $k$ は偶数です。そうすると $k=2m$ とおいて、

$z={\left(g^m\right)}^2$

となり、$z$ は平方数になります。

---

$z$ は平方数だとわかったとき、実際に ${\mathbb{F}}_p^{\ast }$ で $y$（＝ $z$ の平方根）を求める手段が必要になります。整数であれば平方数の平方根を求めるのは容易ですが、${\mathbb{F}}_p^{\ast }$ ではそうはいきません。特に、楕円曲線暗号で使われる $p$ は10進数で数10桁以上の巨大素数なので、総当たりで求めたり、解の存在範囲を限定していって求めるわけにはいかないのです。ただ、もし $p\equiv 3\left(mod4\right)$ なら求めるのは容易で、

$y=z^{{\displaystyle \frac{p+1}{4}}}$

が解の一つとなります（もう一つの解は $-y$ で、つまり $p-y$）。確認してみると、

$\begin{array}{ll}{y}^2& ={\left(z^{{\displaystyle \frac{p+1}{4}}}\right)}^2\\ & =z^{{\displaystyle \frac{p+1}{2}}}\\ & =z^{{\displaystyle \frac{p-1}{2}}}·z\\ & =z\end{array}$

となって、確かに $y$ が解であることがわかります。しかし、$p\equiv 1\left(mod4\right)$ なら、このような簡便な式では求まりません。この場合は「トネリ - シャンクスのアルゴリズム」で解を求めます（Tonelli は19世紀イタリア、Shanks は20世紀米国の数学者）。なお、このアルゴリズムは説明が長くなるので割愛します。

---

いま、${\mathbb{F}}_p$ において $z$ を $0$ から $p-1$ まで振ったときの $y^2=z$ の解の総数を求めてみます。$z$ を、${\mathbb{F}}_p^{\ast }$ の生成元 $g$ を使って、

$$\begin{gathered} z=\left(0,g^k\right) \\ \left(k=1\text{, }2\text{, }\text{ ⋯ }\text{, }p-1\right) \end{gathered}$$

と表すと、

・	$z=0$ のとき、解は1個
・	$k$ が偶数のとき、解は2個
・	$k$ が奇数のとき、解は無し

となり、${\mathbb{F}}_p^2$ における解、$\left(z,y\right)$ の総数は $p$ となります。では、${\mathbb{F}}_p^2$ における楕円曲線上の点、$\left(x,y\right)$ の総数はどうなるでしょうか。$x$ が ${\mathbb{F}}_p$ の全ての元に渡るとき、$z$ が ${\mathbb{F}}_p$ で均等にバラつくとは限りません。しかし $\left(x,y\right)$ の総数は「だいたい $p$ に近い値」だと考えられます。

つまり、群 $E\left(a,b,p\right)$ の元で、零元 $O$ 以外の ${\mathbb{F}}_p^2$ に属するものは、だいたい $p$ 個あると考えられる。群 $E\left(a,b,p\right)$ の元の数を $\text{\#}E$ と書くと、$\text{\#}E$ は 零元 $O$ を含んで $p+1$ に近い値だと考えられます。

$E\left(a,b,p\right)$ の元の数を評価する式があります。「ハッセの定理」です（Helmut Hasse は20世紀ドイツの数学者）。この定理にによると、

$p+1-2\sqrt{p}\le \text{\#}E\le$ $p+1+2\sqrt{p}$

であり、想定どおり $\text{\#}E$ は $p+1$ の周辺であることが分かります。$\text{\#}E$ を具体的に求めるアルゴリズムは、1985年にオランダ出身の数学者、レネ・ショーフ（ Rene Schoof。英語読みでスクーフとも書かれる）が開発しました。その「ショーフのアルゴリズム」は、数学用語で言うと最初の「決定論的多項式時間アルゴリズム」です。平たく言うと「計算結果が100%正しいと数学的に保証される（＝決定論的）計算可能な（＝多項式時間）アルゴリズム」です。「ショーフのアルゴリズム」の具体的内容は、ここでは割愛します。

---

17. 位数

---

楕円曲線暗号を構成する上で必要になるのが、有限群における「位数」の概念です。以下の位数の話はすべての有限群に共通するので、群の演算を乗法的に書くことにします（掛け算、冪乗、単位元 $e$、などの記法を使います）。演算を加法と考えても全く同じことになります。

元の数が有限個の群 $G$ を「有限群」といい、その元の個数を「群位数（group order）」と呼びます。群位数を $\text{|}G\text{|}$ と表します。群の演算則だけから次のことが言えます。

単位元 $e$ でない群 $G$ の元を $a$ とします。$a$ の冪乗 $a^n\left(1\le n\right)$ の $n$ を増やしていくと、ある時点で $a^n=e$ となります。その理由ですが、

$a^1\text{, }{a}^2\text{, }\text{ ⋯ }\text{, }{a}^{\text{|}G\text{|}}$

という $\text{|}G\text{|}$ 個の元を考えてみます。もし $\text{|}G\text{|}$ 個が全て相異なると、どれかが $e$ のはずです。全てが相異なる元ではないとき、

$a^j=a^i\left(1\le i<j\le \text{|}G\text{|}\right)$

となったとすると、$a^i$ の逆元を右から掛けて、

$a^{j-i}=e$

が得られます。$1\le j-i<\text{|}G\text{|}$ なので、この範囲に $e$ があります。そこで、つぎのように元 $a$ の位数を定義できます。

17.1	位数の定義
有限群 $G$ の任意の元 $a$ について、 $a^d=e$ となる最小の $d$ を $a$ の "位数（order）" と言う。

さらに、元の位数については次の命題が成り立ちます。

17.2	位数と群位数
有限群 $G$ の任意の元 $a$ の位数を $d$ とすると、$d$ は群位数 $\text{|}G\text{|}$ の約数である。

この命題が成り立つ理由は次の通りです。有限群 $G$ の任意の元を $a$ とし、集合 $A$ を、

$A=\left(a^1,a^2,\text{ ⋯ },a^d=e\right)$

とします。集合 $A$ の元は全て相異なります。なぜなら、もし、

$a^j=a^i\left(1\le i<j\le d\right)$

となったとすると、

$a^{j-i}=e$

であり、$d$ が $a^d=e$ となる最小の数であるという位数の定義に反するからです。さらに、集合 $A$ の任意の元の逆元は集合 $A$ に含まれます。つまり、$a^d=e$ なので $a^j\left(1\le j<d\right)$ に対して $a^{d-j}\left(1\le d-j<d\right)$ が逆元です（ということは集合 $A$ もまた群であり、これを $G$ の部分群と言います）。

集合 $A$ が $G$ の全ての元を尽くしているなら 17.2 は成立します。そこで、集合 $A$ に含まれない $G$ の元があったとし、それを $b_1$ とします。集合 $A$ の全ての元に左から $b_1$ を掛けて、集合 $B_1$ を作ります。つまり、

$B_1=\left(b_1{a}^1,b_1{a}^2,\text{ ⋯ },b_1{a}^d\right)$

です。集合 $A$ の元は全て相異なるので、集合 $B_1$ の元も全て相異なります。さらに、集合 $B_1$ の元で集合 $A$ の元と同じものはありません。なぜなら、もし、

$b_1{a}^i=a^j\left(1\le i<j\le d\right)$

だとすると、$a^i$ の逆元、$a^{d-i}$を右から掛けて、

$$\begin{gathered} b_1{a}^d=a^{d-i+j} \\ {b}_1=a^{d-i+j}=a^{j-i} \end{gathered}$$

となりますが、$1\le j-i<d$ なので、これは $b_1$ が集合 $A$ の元であることを意味していて仮定に反します。つまり、集合 $B_1$ の元で集合 $A$ の元と同じものはありません。

集合 $A$ と $B_1$ で $G$ の元の全てを尽くしているなら、$2d=\text{|}G\text{|}$ となって 17.2 は証明できたことになります。そうではない場合、集合 $A$ と $B_1$ に含まれない $G$ の元の一つを $b_2$ として、集合 $B_2$ を、

$B_2=\left(b_2{a}^1,b_2{a}^2,\text{ ⋯ },b_2{a}^d\right)$

と定義します。そうすると先ほど同じように、集合 $B_2$ の元は全て相異なり、かつ、集合 $A$ との重複はありません。さらに、集合 $B_2$ の元は集合 $B_1$ の元とも重複しません。なぜなら、もし、

$b_2{a}^i=b_1{a}^j\left(1\le i<j\le d\right)$

だとすると、$a^i$ の逆元、$a^{d-i}$を右から掛けて、

$b_2=b_1{a}^{d-i+j}=b_1{a}^{j-i}$

となりますが、$1\le j-i<d$ なので、$b_2$ が 集合 $B_1$ の元という意味になり仮定に反します。つまり、集合 $B_2$の元は集合 $B_1$ の元と重複しません。

以上の操作は $G$ の元が残っている限り $B_3{B}_4\text{ ⋯ }$ と続けられます。そしてある時点で 残っている $G$ の元がちょうど切りのよいところで無くなるはずです。$B_{n-1}$ まで作ったときに $G$ の元の全てを尽くしたとしたら、$nd=\text{|}G\text{|}$ です。これで 17.2 が証明できました。17.2 から直ちに次の２つが結論づけられます。

17.3
有限群 $G$ の任意の元 $a$ について、 $a^{\text{|}G\text{|}}=e$ である。

これは、群位数 $\text{|}G\text{|}$ が 元 $a$ の位数の倍数なのでそうなります。$p$ を素数とし、$G$ が $p$ 未満の自然数からなる乗法群 ${\mathbb{F}}_p^{\ast }$ だとすると、$\text{|}G\text{|}=p-1$ なので、フェルマの小定理（ 3.1 ）そのものになります。

17.4	群位数が素数の群
有限群 $G$ の群位数 $\text{|}G\text{|}$ が素数だとすると、 単位元 $e$ を除く $G$ の全ての元の位数は $\text{|}G\text{|}$ である。

素数の約数は $1$ と素数自身しかないので、単位元以外の元の位数は群位数に等しくなります。従って、群位数が素数の群では任意の元 $a$ の冪乗が群全体に "バラける" ことになります。

---

楕円曲線暗号の構成：スカラー倍と離散対数

---

ここから具体的な楕円曲線暗号のしくみに入ります。楕円曲線上の ${\mathbb{F}}_p^2$ の点と零元 $O$ が作る加法群を $E\left(a,b,p\right)$ とし、その群位数を $\text{\#}E$ と書きます。楕円曲線暗号では $E\left(a,b,p\right)$ における「スカラー倍」の演算を利用します。

楕円曲線上の ${\mathbb{F}}_p^2$ の点の一つを $B=\left(B_x,B_y\right)$ とし、$d$ を $B$ の位数、$n$ を $1\le n\le d$ とします。$B$ の $n$ 倍（＝スカラー倍）を $nB$ と書き、

$nB=\stackrel{\stackrel{n}{⏞}}{B+B+\text{ ⋯ }+B}$

と定義します。そして、

$nB=A$

と書くことにすると、$A$ を求める計算は、$E\left(a,b,p\right)$ の２倍式と加法式を使って可能です。例として $133B$ の場合だと、$133=2^7+2^2+1$ なので、

$133B=2^{7}B+2^{2}B+B$

となります。つまり、$E\left(a,b,p\right)$ の２倍式を７回使って、

$2^{1}B\text{, }{2}^{2}B\text{, }\text{ ⋯ }\text{, }{2}^{6}B\text{, }{2}^{7}B$

と順次計算し、加法式を２回使うと $A$ が求まります。これは $n$ がたとえ巨大数であっても可能です。$2^{256}$ は10進数で約80桁（256ビット）の巨大数ですが、それでも256回程度の２倍算と最大で256回程度の加算をすれば $A$ が求まります。このあたりは 4.2 の「冪剰余の計算アルゴリズム」と同じです。もちろん冪剰余と違って、２倍算も加算も単純な掛け算ではありません。$E\left(a,b,p\right)$ の群演算は、定義式どおりの少々ややこしい式です。しかし計算が可能なことは確かです。

スカラー倍の計算は可能ですが、その逆、つまり $A$ と $B$ を知って $n$ 求めるのは困難になります。この $n$ を求める問題を、加法群 $E\left(a,b,p\right)$ における「離散対数問題」と呼びます。離散対数問題を解くのが不可能になるのは、$B$ の位数 $d$ が10進数で数10桁以上といった巨大数の場合です。その場合、$A$ は $d$ 種のバリエーションをとるので、$n$ を求めるのは不可能になります。

位数 $d$ が巨大数である $B$ を求める方法の一つは、$p$ を巨大な素数とし、群位数 $\text{\#}E$ も素数であるような $E\left(a,b,p\right)$ を選ぶことです。そうすると 17.4 により、零元 $O$ 以外の $E\left(a,b,p\right)$ の全ての元の位数 $d$ は $\text{\#}E$ になり、その $\text{\#}E$ は $p+1$ の近辺にあるので、$B$ をどのように選ぼうとも位数 $d$ は巨大数になります。

$\text{\#}E$ が素数である $E\left(a,b,p\right)$ では、任意の元 $A$ と $B$ について、$nB=A$ となる $n$ が唯一存在することになります。このことを、

${log}_{B}A=n$

と書くと、$B$ は実数における通常の対数の "底（base）" に相当します。$B$ は $E\left(a,b,p\right)$ の元 ＝ ${\mathbb{F}}_p^2$ の元なので、$B$ を「ベースポイント（base point）」と呼びます。このペースポイントを含め、楕円曲線暗号では、

・	$E\left(a,b,p\right)$
・	$\text{\#}E$
・	$B=\left(B_x,B_y\right)$
・	$d$（$B$ の位数）

が公開されます。そして暗号化通信では、$d$ より小さい数 $k$ をランダムに選び

・	公開鍵 ： $kB$
・	秘密鍵 ： $k$

とします。公開鍵だけを知っても秘密鍵は計算できない。これが楕円曲線暗号の原理です。

---

スカラー倍のイメージをつかむため、$p$ がごく小さい数の場合で実験してみます。計算してみると、$p=29\text{, }a=-1\left(=28\right)\text{, }b=1$ のとき $\text{\#}E=37$ となって、群位数が素数になります。$y^2=x^3-x+1$ の解の一つは $\left(0,1\right)$ なので、これをベースポイント $B$ としてスカラー倍を順次計算してみると次の通りとなります。

$\left.\begin{array}{rrr}B=\text{(}& 0\text{, }& 1\text{ ) }\\ 2B=\text{(}& 22\text{, }& 10\text{ ) }\\ 3B=\text{(}& 27\text{, }& 13\text{ ) }\\ 4B=\text{(}& 9\text{, }& 24\text{ ) }\\ 5B=\text{(}& 14\text{, }& 18\text{ ) }\\ 6B=\text{(}& 11\text{, }& 25\text{ ) }\\ 7B=\text{(}& 23\text{, }& 20\text{ ) }\\ 8B=\text{(}& 12\text{, }& 8\text{ ) }\\ 9B=\text{(}& 26\text{, }& 8\text{ ) }\\ 10B=\text{(}& 2\text{, }& 23\text{ ) }\\ 11B=\text{(}& 3\text{, }& 24\text{ ) }\\ 12B=\text{(}& 1\text{, }& 1\text{ ) }\\ 13B=\text{(}& 28\text{, }& 28\text{ ) }\\ 14B=\text{(}& 5\text{, }& 18\text{ ) }\\ 15B=\text{(}& 17\text{, }& 5\text{ ) }\\ 16B=\text{(}& 25\text{, }& 17\text{ ) }\\ 17B=\text{(}& 20\text{, }& 21\text{ ) }\\ 18B=\text{(}& 10\text{, }& 18\text{ ) }\\ \multicolumn{3}{c}{}\end{array}\right|\begin{array}{rrr}19B=\text{(}& 10\text{, }& 11\text{ ) }\\ 20B=\text{(}& 20\text{, }& 8\text{ ) }\\ 21B=\text{(}& 25\text{, }& 12\text{ ) }\\ 22B=\text{(}& 17\text{, }& 24\text{ ) }\\ 23B=\text{(}& 5\text{, }& 11\text{ ) }\\ 24B=\text{(}& 28\text{, }& 1\text{ ) }\\ 25B=\text{(}& 1\text{, }& 28\text{ ) }\\ 26B=\text{(}& 3\text{, }& 5\text{ ) }\\ 27B=\text{(}& 2\text{, }& 6\text{ ) }\\ 28B=\text{(}& 26\text{, }& 21\text{ ) }\\ 29B=\text{(}& 12\text{, }& 21\text{ ) }\\ 30B=\text{(}& 23\text{, }& 9\text{ ) }\\ 31B=\text{(}& 11\text{, }& 4\text{ ) }\\ 32B=\text{(}& 14\text{, }& 11\text{ ) }\\ 33B=\text{(}& 9\text{, }& 5\text{ ) }\\ 34B=\text{(}& 27\text{, }& 16\text{ ) }\\ 35B=\text{(}& 22\text{, }& 19\text{ ) }\\ 36B=\text{(}& 0\text{, }& 28\text{ ) }\\ 37B=\phantom{\text{(}}& O& \end{array}$

群位数が素数なので $B$ の位数は $37$ となり、群位数と一致します。この計算を ${\mathbb{F}}_p^2$ の平面に表示すると次の通りです。$B$ と $36B$ は赤丸、$2B$ ～ $35B$ は黒丸です。矢印は加算を示し、赤矢印は $B+B$ と $35B+B$ の加算です。

図15：$\mathit{E}\left(\mathit{-}\mathit{1},\mathit{1},\mathit{29}\right)$（零元を除く） $\text{\#}E=37\text{, }B=\left(0,1\right)\text{, }d=37$

スカラー倍を繰り返すごとに "楕円曲線" 上の合計36点を通り、それが乱雑に変化することが分かります。

---

振り返ってみると、RSA暗号（No.311）の安全性は巨大数の因数分解の困難性に依存しているのでした。またディフィー・ヘルマンの鍵交換（No.313）は、乗法群 ${\mathbb{F}}_p^{\ast }$ における離散対数問題を解くことの困難性に依存しています。これらに使われる演算はいずれも整数の乗除算です。それに対して楕円曲線暗号に使われるのは、整数の乗除算よりは遙かに複雑な、楕円曲線上の加法群における「加算」です。ここに楕円曲線暗号の解読しにくさの要因があります。

---

実用的な楕円曲線暗号で公開するパラメータをどうやって作るか、その一例をあげます。

①  素数の大きさを決め（たとえば10進数で50～100桁程度）、素数判定法によってその大きさの素数 $p$ を求める。 ②  $p$ より小さい数、$a$、$b$ をランダムに決め、加法群 $E\left(a,b,p\right)$ の群位数 $\text{\#}E$ を計算する。 ③  $\text{\#}E$ が素数なら次へ。素数でなければ ② に戻る。 ④  $p$ より小さい数、$B_x$ をランダムに選び、$B_x$ が平方数ならその平方根 $B_y$ を求めてベースポイント $B=\left(B_x,B_y\right)$ とする。

$\text{\#}E$ が素数なので、$B$ の位数 $d$ は $\text{\#}E$ に等しくなります。なお、$\text{\#}E$ がたまたま $p$ と一致すると離散対数問題が解けることが分かっているので、③ でそのようなケースを排除しておきます。

この決め方では、群位数 $\text{\#}E$ の計算と素数判定を繰り返すことになり、多大な計算時間がかかることは想像に難くありません。しかしパラメータは１度計算すれば暗号通信の仕様として公開し、皆がそれを使えばいいわけです。最初の１回だけの計算時間より、その後の通信の安全性の方が重要です。

楕円曲線暗号のパラメータの一例を次に掲げます。secp160r1 という名称で公開されているパラメータです。

secp160r1
　

$\begin{array}{lll}p& =& 1461501637330902918203684\\ & & 832716283019653785059327\\ & & \hfill \left(=2^{160}-2^{31}-1\right)\\ a& =& 1461501637330902918203684\\ & & 832716283019653785059324\\ & & \hfill \left(=p-3\right)\\ b& =& 1632357913061681105466049\\ & & 19403271579530548345413\\ \text{\#}E& =& 1461501637330902918203687\\ & & 197606826779884643492439\\ B_x& =& 4258262317238883504465415\\ & & 92701409065913635568770\\ B_y& =& 2035201141629041078739914\\ & & 57957346892027982641970\\ d& =& 1461501637330902918203687\\ & & 197606826779884643492439\\ & & \hfill \left(=\text{\#}E\right)\end{array}$

---

楕円曲線暗号版ディフィー・ヘルマンの鍵交換（ECDH）

---

ディフィー・ヘルマンの鍵共有（No.313）を、楕円曲線暗号を使って実現できます（ECDH と略称される）。鍵共有のプロセスは次のように進みます。しかるべき「公開鍵センター」が、皆が使う公開鍵として、

・	$E\left(a,b,p\right)$
・	$\text{\#}E$
・	$B=\left(B_x,B_y\right)$
・	$d$（$B$ の位数）

をオープンにして（暗号通信の仕様書として公開して）おきます。以下のスカラー倍演算はすべて ${\mathbb{F}}_p$ で行います。Alice と Bob が秘密鍵を共有したい場合、

暗号文による通信の開始にあたって、Alice は $0<k_A<d$ である乱数 $k_A$ を発生させ、$k_{A}B$ を Alice の公開鍵として（盗聴されている通信路を介して） Bob に送付

します。乱数 $k_A$ は Alice の秘密鍵として秘匿します。次に同様に、

Bob は $0<k_B<d$ である乱数 $k_B$ を発生させ、$k_{B}B$ を Bob の公開鍵として（盗聴されている通信路を介して） Alice に送付

します。もちろん $k_B$ は秘匿します。そして、

Alice は $K_A=k_A{k}_{B}B$ を共有の秘密鍵

Bob は $K_B=k_B{k}_{A}B$ を共有の秘密鍵

とします。この作り方から $K_A=K_B=K$ となるので、秘密鍵 $K$を共有できたことになり、以降はこれを使って暗号化通信（公開鍵ではない、高速な暗号化通信）を行います。使った秘密鍵は通信が終わったら捨てます。

原理は、オリジナルのディフィー・ヘルマンの鍵交換（DH）と全く同じです。ただ、オリジナルが ${\mathbb{F}}_p^{\ast }$ での離散対数問題を利用していたのに対し、ECDH は $E\left(a,b,p\right)$ での離散対数問題を利用した暗号であることが違います。

---

18. 結合則が成り立つことの証明

---

J.H.シルヴァーマン、J.テイト 「楕円曲線論入門」

楕円曲線暗号が暗号として成立するのは、楕円曲線上の加法群 $E\left(a,b,p\right)$ が "群" として定義できるからです。群であるための条件は「単位元の存在」「逆元の存在」「結合則の成立」の３つです。このうち単位元の存在と逆元の存在は、そもそもそれが成り立つように群の演算を定義したのでした。

しかし結合則は自明ではありません。前回 No.315 の「楕円曲線上の有理点が作る加法群」のところで結合則が成り立つことの証明を後回しにしたので、ここに書くことにします。結合則が成り立つのは、楕円曲線上の有理点の加法を「３次曲線と直線の交点」で決めていることに理由があります。その理由を説明したいと思います。

前回で引用した、シルヴァーマン、テイト著「楕円曲線論入門」には、結合則が成り立つことを示した次の図があります。加法群の零元 $O$ を楕円曲線上にとった場合の図です。

図11：結合則

「楕円曲線論入門」より引用

楕円曲線上に点 $P$、$Q$、$R$ をとったとき、

$\left(P+Q\right)+R=P+\left(Q+R\right)$

となるのが結合則ですが、

$$\begin{gathered} \left(P+Q\right)+R=\left(\left(P+Q\right)\ast R\right)\ast O \\ P+\left(Q+R\right)=\left(P\ast \left(Q+R\right)\right)\ast O \end{gathered}$$

です。ここで $\ast$ の記号は、$A\ast B$ と書くと $A$ と $B$ を結ぶ直線が楕円曲線と交わる点（で $A$、$B$ 以外の点）の意味です。$O$ は零元でした。従って、結合則を証明するためには、

$\left(P+Q\right)\ast R=P\ast \left(Q+R\right)$

が証明できればよいことになります。言葉で書くと、

$P+Q$ と $R$ を通る直線が楕円曲線と交わる点を $T_1$ とし、$P$ と $Q+R$ を通る直線が楕円曲線と交わる点を $T_2$ とすると、 $T_1$ と $T_2$ は同じ点である

となります。上の図はそれを表しています。以下の証明では同じことですが、次を示します。

18.1	結合則
$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点を $T$ とすると、楕円曲線は $T$ を通る。

これは楕円曲線上の２点、$\left(P+Q\right)\ast R$ と $P\ast \left(Q+R\right)$ が等しい（＝ 図11）ことと同じなので、以降は 18.1 が成り立つことを示します。そのためにまず、次の命題 18.2 を証明します。この証明の筋道は「楕円曲線論入門」に書かれているものです。

18.2	３つの３次曲線の交差
２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする。 別の３次曲線 $D$ が ９点のうちの８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るとき、$D$ は $P_9$ も通る。

これは「ケーレー - バカラック（Cayley-Bacharach）の定理」と呼ばれるものの特別な場合です（Cayleyは英国、Bacharachはドイツの数学者。いずれも19世紀）。ここで言う「３次曲線」とは、次の一般形で表される "３次曲線のすべて" であり、楕円曲線もその一部です。

[３次曲線の一般形]
$a{x}^3+b{x}^{2}y+cx{y}^2+d{y}^3+$ $e{x}^2+fxy+g{y}^2+$ $hx+iy+j=0$

10個の係数（＝パラメータ）、$a\text{, }b\text{, }\text{ ⋯ }\text{, }i\text{, }j$ を決めると３次曲線が一つ決まります。もちろん、各係数を定数倍した曲線は同じ曲線です。つまり、この形の３次曲線の係数は実質的に "９次元" と言えます。３次曲線なので $a\text{, }b\text{, }c\text{, }d$ のうち少なくとも一つは $0$ でないものがあります。その係数で全体を割れば、係数の数は９個になることからもわかります。

従って、一般には相異なる９点を通る３次曲線は一意に決まります。これは、直線の方程式を $ax+by+c=0$ で表したとき、この式には３つのパラメータがあるものの実質的に２次元であって、相異なる２点を通る直線が一意に決まるのと同じことです。このことを踏まえると、命題 18.2 の前半である、

２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする

のところについては、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ に何らかの制約条件がついているからこそ、２つの３次曲線が２つとも９点目の点を通るわけです。以上のことの裏返しは、

相異なる８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通る３次曲線は一意に定まらず、無数にある

ということです。そして、さきほどの「相異なる８点を通る２つの３次曲線が２つとも９点目の点を通る」ということは、９点目が８点から決まる特別な点であることを示唆しています。そこで、相異なる８点を通る３次曲線が一般的にどういう式で表現できるかを考えます。８点の座標を、

$$\begin{gathered} P_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ \text{⋮} \\ {P}_8=\left(x_8,y_8\right) \end{gathered}$$

とします。まず、３次曲線が $P_1$ を通るということは、10個のパラメータは次の制約条件を満足しなければなりません。

${x_1}^{3}a+{x_1}^2{y}_{1}b+x_1{y_1}^{2}c+{y_1}^{3}d+$ ${x_1}^{2}e+x_1{y}_{1}f+{y_1}^{2}g+$ $x_{1}h+y_{1}i+j=0$

これは 10個の変数 $a$ ～ $j$ についての線型方程式（１次方程式）なので、係数を変数の前に記述しました。同様にして、３次曲線が $P_2$ から $P_8$ を通ることから７個の制約条件が得られます。これらをまとめると、

　

の、合計８つの制約条件が得られます。８個の点を通る３次曲線の10個のパラメータは、この８つの制約条件（連立１次方程式）を満たさなければなりません。ということは、$10-8=2$ で、これらのパラメータは、制約条件のない自由な２つのパラメータで表現できることになります。

たとえば $a$ と $b$ を "２つのパラメータ" に選ぶと、残りの $c$ ～ $j$ は、${\alpha }_{n}a+{\beta }_{n}b$ $\left(n=c\text{ ⋯ }j\right)$ という「$a$ と $b$ の１次式」で表現できます（${\alpha }_n\text{, }{\beta }_n$ は連立１次方程式の係数で決まる値）。しかしこれでは $a=0$ かつ $b=0$ のときに、すべてのパラメータが $\mathit{0}$ という自明な解しか得られません。$x^3$ の項と $x^{2}y$ の項がない３次曲線はいくらでもありうるので、自明ではない解の中に $a=0\text{, }b=0$ となるものは当然あるはずです。つまり、${\alpha }_{n}a+{\beta }_{n}b$ の形は連立１次方程式の解の全部は表していません。

では、上記の連立１次方程式の「自明ではない解すべてを表す一般解」はどういう形でしょうか。それには８つの方程式を満たす独立な数値の組（＝連立１次方程式の解）を２組用意します。つまり無数にある解の中から２つをピックアップし、それをベクトル表現で、

$$\begin{gathered} {\mathbb{V}}_1=\left(a_1,b_1,\text{ ⋯ },j_1\right) \\ {\mathbb{V}}_2=\left(a_2,b_2,\text{ ⋯ },j_2\right) \end{gathered}$$

とします。"独立" とはこの場合、２つの数値群が異なった３次曲線を表現しているということです。そして、同時に $0$ にはならない新たな２つのパラメータを導入します。それを ${\lambda }_1\text{, }{\lambda }_2$ とすると、

${\lambda }_1{\mathbb{V}}_1+{\lambda }_2{\mathbb{V}}_2$

が連立１次方程式の一般解（不定解）になります。自由な２つのパラメータの１次式で表現されていて、８つの方程式を満たすことが明らかだからです。この一般解をもとに３次曲線の方程式を表現します。そこで、

$\begin{array}{ll}{f}_1=& a_1{x}^3+b_1{x}^{2}y+\text{ ⋯ }\\ & \text{ ⋯ }+h_{1}x+i_{1}y+j_1\end{array}$

$\begin{array}{ll}{f}_2=& a_2{x}^3+b_2{x}^{2}y+\text{ ⋯ }\\ & \text{ ⋯ }+h_{2}x+i_{2}y+j_2\end{array}$

の２つの関数を考えると、$f_1=0$ の３次曲線と $f_1=0$ の３次曲線は、共に８点を通ります。従って、

${\lambda }_1{f}_1+{\lambda }_2{f}_2=0$

は８点を通り、２つの自由なパラメータで表現された３次曲線群です。従って、これが $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るすべての３次曲線を表す一般形です。

---

以上を踏まえて命題 18.2 を検討します。命題を再掲すると、

２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする。 別の３次曲線 $D$ が ９点のうちの８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るとき、$D$ は $P_9$ も通る。

でした。この前半の２つの３次曲線の関数式を

$$\begin{gathered} C_1\text{ : }{F}_1=0 \\ {C}_2\text{ : }{F}_2=0 \end{gathered}$$

とします。$F_1=0$ も $F_2=0$ も９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通る３次曲線です。従って $F_1=0$ と $F_2=0$ は $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通る２つの３次曲線でもある。ということは、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通るすべての３次曲線は、

$F={\lambda }_1{F}_1+{\lambda }_2{F}_2=0$

で表されます。従って、命題の後半に出てくる別の３次曲線 $D$ が $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通るとすると、$D$ は $F=$ ${\lambda }_1{F}_1+{\lambda }_2{F}_2$$=0$ で表現できます。

ここでよく考えてみると、３次曲線 $F=0$ は９点目の $P_9$ を通るのでした。従って $D$ も $P_9$ を通ります。これで 18.2 が成り立つことが証明できました。以上を振り返ってまとめると次のようになります。

・  ９つの点を通る３次曲線は一意に決まる。 ・  ８つの点を通る３次曲線なら無数に存在する。 ・  ８つの点を通る２つの３次曲線が、２つとも９つ目のある（特別な）点 $P$ を通るとしたら、８点を通るすべての３次曲線は $P$ を通る。

18.2 を踏まえて、楕円曲線の加法群で結合則が成り立つことを証明します。ポイントは「相異なる３つの直線を "３次曲線" として扱う」ことです。この扱いがなぜ可能かと言うと、３つの直線を、

$$\begin{gathered} f_1=a_{1}x+b_{1}y+c_1=0 \\ {f}_2=a_{2}x+b_{2}y+c_2=0 \\ {f}_3=a_{3}x+b_{3}y+c_3=0 \end{gathered}$$

としたとき、

$F_L=f_1·f_2·f_3$ = 0 で表される２次元平面上の点の集合は３つの直線を表しているが、３次曲線の一般形である

からです。もちろん、$F_L=0$ の３次曲線の一般形は、係数 $a\text{, }b\text{, }\text{ ⋯ }\text{, }i\text{, }j$ に特別の関係があります。だからこそ３つの直線を表現しているわけです（数学用語で言うと "退化した" ３次曲線）。しかし特別の関係があるとしても 18.2 を証明した議論の筋道には全く影響しません。このことを踏まえて結合則を証明すべき図11を再掲します。

図11：結合則

「楕円曲線論入門」より引用

証明すべきことは 18.1 の、

$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点を $T$ とすると、楕円曲線は $T$ を通る。

でした。図11で、

$C_1$ ： 点線の３直線から成る３次曲線
$C_2$ ： 実線の３直線から成る３次曲線

とすると、$C_1$（点線） と $C_2$（実線）は次の９つの点を通ります。

$P_1$	：	$O$
$P_2$	：	$P$
$P_3$	：	$Q$
$P_4$	：	$R$
$P_5$	：	$P\ast Q$
$P_6$	：	$Q\ast R$
$P_7$	：	$P+Q$
$P_8$	：	$Q+R$
$T$	：	$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点

９つの点を通るのはそういう風に作図したからです。一方、楕円曲線は $T$ 以外の $P_1$ ～ $P_8$ の８点を通ります。８点は楕円曲線上の点として作ったからです。$T$ だけは違って、楕円曲線上の点として作ったのではなく２直線の交点です。しかし 18.2 によって楕円曲線は $T$ も通る。これで、楕円曲線上の有理点が作る加法群で結合則が成り立つことの証明が完成しました。

---

零元を無限遠点にとる加法群ではどうなるでしょうか。この場合は「射影平面での３次曲線」を考える必要があります。射影平面での３次曲線の一般形は、

[射影平面における３次曲線の一般形]
$A{X}^3+B{X}^{2}Y+CX{Y}^2+D{Y}^3+$ $E{X}^{2}Z+FXYZ+G{Y}^{2}Z+$ $HX{Z}^2+IY{Z}^2+J{Z}^3=0$

ですが、証明の筋道は $xy$平面と全く同じです。というのも、証明のコアのところは「10変数の連立１次方程式（方程式数が８）の不定解が、一般形でどう表現できるか」であり、曲線方程式の未知数が $\left(x,y\right)$ の２つであっても $\left(X,Y,Z\right)$ の３つであっても証明の論理に影響がないからです。

というわけで、楕円曲線暗号で実際に使われる「無限遠点を零元にした加法群」においても結合則が成り立つのでした。

---

19. パスカルの定理

---

最後に余談ですが、18.2 から証明できる別の定理があります。「パスカルの定理」です。これはパスカルが16歳のときに発表した「円錐曲線試論」にあります。最も一般的な形で言うと次の通りです。

19.1	パスカルの定理
円錐曲線上に異なる６点、$P_1$ ～ $P_6$ をとる。 直線 $P_1{P}_2$ と $P_4{P}_5$ の交点を $Q_1$ 直線 $P_2{P}_3$ と $P_5{P}_6$ の交点を $Q_2$ 直線 $P_3{P}_4$ と $P_6{P}_1$ の交点を $Q_3$ とすると、$Q_1\text{, }{Q}_2\text{, }{Q}_3$ は同一直線上にある。

これは美しい定理です。どんな円錐曲線かを言っていないし（円、楕円、放物線、双曲線）、円錐曲線上の６点の位置も、その順序も何も言ってない。それにもかかわらず「同一直線上にある」という、シンプルで強い断定が結論にくる ･･････。個人的経験を言うと、高校生時代にこの定理を知ってその "不思議さ" が印象的だったことを覚えています。

この定理の例を図15と図16、図17に示します。$Q_1$ を $P_7$、$Q_2$ を $P_8$、$Q_3$ を $T$ と書きました。円錐曲線が円か楕円であり、６点を円・楕円の周上に順に（＝ 一周するように）とった場合には、パスカルの定理は、

円・楕円に内接する６角形の対辺が作る２直線の交点３つは同一直線上にある

と簡潔に表現できます（図15）。

図15 パスカルの定理（１）

図16 パスカルの定理（２） 楕円上の点の位置は図15と同じだが名前付けが違う。しかし３点が同一線上に並ぶのは同じである。このように６点は楕円上のどの位置にどの順序で配置してもよい。

図17 パスカルの定理（３）

定理の証明は次の通りです。３次曲線、$C_1\text{, }{C}_2\text{, }D$ を、

$C_1$	：	赤色の３次曲線
$C_2$	：	青色の３次曲線
$D$	：	$P_7$ と $P_8$ を（$T$ とは関係なく）結んだ直線と円錐曲線が作る、黒色の３次曲線

とします。$C_1$ と $C_2$ は 、$P_1$ ～ $P_8$ と $T$ を通ります。そういう風に作図したからです。一方、$D$ は $P_1$ ～ $P_8$ を通ります。そうすると 18.2 より $D$ は $T$ も通ります。$D$ は $P_7$ と $P_8$ を通るように作図しましたが、$T$ を通るようには作図していません。それでも $T$ を通る。

その $T$ は、$D$ の円錐曲線部分にはありません。なぜなら、$T$ は直線 $P_3{P}_4$ 上に（ないしは直線 $P_6{P}_1$ 上に）ありますが、円錐曲線と直線の交点は高々２つであり、$P_3\text{, }{P}_4$ が（ないしは $P_6\text{, }{P}_1$ が）すでに円錐曲線上にあるからです。従って $T$ は $D$ の直線部分にあるしかない。これで証明が終わりました。

パスカルの定理のよくある証明は、円の場合に補助円を用いて証明し、それを "斜めから見たら" 楕円でも成り立つ、とするものです。しかしこの定理は、すべての円錐曲線（＝２次曲線の一般形、$a{x}^2+bxy+c{y}^2+$ $dx+ey+f=0$ で表される曲線）で成り立つことが上の証明から分かります。

---

楕円曲線暗号は「楕円曲線上の有理点による加法群」の上に作られた暗号ですが、

楕円曲線上の有理点で加法群を構成できることと、パスカルの定理が成り立つことには、意外にも共通の数学的理由がある

のでした。

---

---

タグ：群 高校数学 平方根 公開鍵暗号 有限体 位数 楕円曲線暗号 楕円曲線 ３次曲線 楕円曲線論入門 無限遠点 有理点 加法群 群位数 平方数 平方剰余 ベースポイント ディフィー・ヘルマンの鍵交換 パスカルの定理

No.315 - 高校数学で理解する楕円曲線暗号の数理（１）

このブログでは、インターネットをはじめとする情報通信インフラで使われている「公開鍵暗号」について、今まで３回にわたって書きました。

No.310-高校数学で理解するRSA暗号の数理（１）　
No.311-高校数学で理解するRSA暗号の数理（２）　
No.313-高校数学で理解する公開鍵暗号の数理　

の３つです。今回はその継続として、公開鍵暗号の一種で広く使われている「楕円曲線暗号」について、その数学的な背景を書きます。楕円曲線暗号は、1985年に米国 IBM の Victor Miller と米国 Washington 大学の Neal Koblitz によって独立に提案されました。暗号に限らず科学技術の世界では、同時期に同じアイディアが独立に考案されるというケースが見られます。

例によって高校レベルの数学知識だけを前提にし、証明なしに用いる定理や命題はないものとします。ただし、No.310、No.311、No.313 の内容やそこで証明した定理は既知とします。特にその中の、

有限体と乗法群　
生成元、および離散対数　

です。なお、楕円曲線（Elliptic Curve）は、２次曲線である楕円（Ellipse）とは関係ありません。楕円の弧長を積分で求める時に出てくる数式なのでその名があるだけです。暗号の名を楕円暗号とするむきもありますが、誤解されるでしょう。楕円曲線暗号（Elliptic Curve Cryptography）が正しい言い方です。

---

15. 楕円曲線（Elliptic Curve）とは

---

楕円曲線とは、次の式で表される平面３次曲線です。

$y^2=x^3+ax+b$

係数の $a$ と $b$ は有理数とします。楕円曲線の式の「標準形」と呼ばれるものは何種類かありますが、上式はその最も簡単な形です。楕円曲線暗号ではこの形を使うので、以降、楕円曲線といえばこの形で表される３次曲線とします。Wikipedia に非常にわかりやすい「楕円曲線のカタログ」が載っているのでそれを引用します。

	$b=-1$	$b=\phantom{-}0$	$b=\phantom{-}1$	$b=\phantom{-}2$
$a=-2$
$a=-1$
$a=0$
$a=1$
図１：楕円曲線のカタログ
Wikipediaより。楕円曲線には曲線の "成分" が１つのものと２つのものがある。なお、この図で $a=b=0$ だけは楕円曲線ではない。後述。

図でわかるように楕円曲線は成分（＝ ひとつながりの曲線）が１つのものと２つのもの（その１つは閉じた曲線）があります。この違いは何でしょうか。また、図の中にある $a=0\text{, }b=0$ の曲線は、実は楕円曲線ではありません。このあたりの説明は以降の通りです。楕円曲線の $x$ の式を、

$x^3+ax+b=f\left(x\right)$

と書きます。$y=f\left(x\right)$ のグラフは少なくとも１回、$x$軸を横切るので、$f\left(x\right)=0$ の３次方程式は少なくとも１つの実数解を持ちます。この３次方程式が３つの異なる実数解を持つ条件を調べます。関数 $f\left(x\right)$ が極値をとるとしたら、そのときの $x$ は方程式、

$f^{\text{'}}\left(x\right)=0$

の解です。この解を $x_1$ と $x_2$ とすると、

$$\begin{gathered} x_1=\phantom{-}\sqrt{{\displaystyle \frac{-a}{3}}} \\ {x}_2=-\sqrt{{\displaystyle \frac{-a}{3}}} \end{gathered}$$

です。$x$ がこの値をとるときの２つの極値がゼロでなく符号が逆であれば、$f\left(x\right)=0$ は３つの異なる実数解をもちます。つまりその条件は、

$f\left(x_1\right)·f\left(x_2\right)<0$

です。$x_1\text{, }{x}_2$ を入れて計算してみると、この条件は、

$4a^3+27b^2<0$

となります。不等号の向きが逆なら実数解は１つだけです。この不等号の左辺は「３次方程式の判別式」の符号を逆にしたものです。３次方程式の判別式 $D$ は、いま扱っている楕円曲線の式の場合、

$D=-\left(4a^3+27b^2\right)$

です。従って、

・	$D>0$ のとき、$f\left(x\right)=0$ は３つの実数解をもち、楕円曲線で $y=0$ となる点は３つある。このとき楕円曲線の成分は２つになる（図２）。
・	$D<0$ のとき、$f\left(x\right)=0$ の実数解は１つであり、楕円曲線で $y=0$ の点も１つである。このとき楕円曲線の成分は１つになる（図３）。

となります。この２つのケースで楕円曲線をを図示すると、図２（$a=-2\text{, }b=1$）、図３（$a=-2\text{, }b=2$）のようになります。

図２：成分が２つの楕円曲線 $y^2=x^3-2x+1$

図３：成分が１つの楕円曲線 $y^2=x^3-2x+2$

ここで $D=0$ のときにどうなるかを調べてみます。不定方程式、

$4a^3+27b^2=0$

の整数解を求めるために、$a=-3k^2\left(0\le k\right)$ と置くと、

$$\begin{gathered} a=-3k^2 \\ b=\pm 2k^2 \end{gathered}$$

が解です。$k=0\text{, }1$ とすると、

$\left(a,b\right)=\left(0,0\right)\text{, }\left(-3,2\right)\text{, }\left(-3,-2\right)$

が解のうちの３組です。まず、$\left(a,b\right)=\left(0,0\right)$ のとき曲線の式は、

$y^2=x^3$

となり、図４のように「尖点」をもつ曲線となります（Wikipedia の "楕円曲線のカタログ" にあったものです）。尖点では微係数が定まらず、曲線の接線が引けません。

図４：尖点をもつ３次曲線 $y^2=x^3$

$\left(a,b\right)=\left(-3,2\right)$ のときの曲線の式は、

$$\begin{gathered} y^2=x^3-3x+2 \\ \phantom{y^2}=\left(x+2\right){\left(x-1\right)}^2 \end{gathered}$$

となり、図５のように「結節点」をもつ自己交差曲線となります。結節点において接線は引けますが、２種類あって一意に定まりません。

図５：結節点をもつ３次曲線 $y^2=x^3-3x+2$

$\left(a,b\right)=\left(-3,-2\right)$ のときの曲線の式は、

$$\begin{gathered} y^2=x^3-3x-2 \\ \phantom{y^2}=\left(x-2\right){\left(x+1\right)}^2 \end{gathered}$$

となり、図６のように $\left(-1,0\right)$ に「孤立点」が発生します。この孤立点でも接線は引けません。

図６：孤立点をもつ３次曲線 $y^2=x^3-3x-2$

尖点、結節点、孤立点を曲線の「特異点」と言い、特異点をもつ３次曲線を特異３次曲線と言います。そして特異３次曲線は $y^2=x^3+ax+b$ の形であっても楕円曲線とは言いません。つまり、楕円曲線の正確な定義は次の通りです。

15.1	楕円曲線の定義
次の式で表される平面曲線を楕円曲線と言う。 $$\begin{gathered} y^2=x^3+ax+b \\ \left(4a^3+27b^2\ne 0\right) \end{gathered}$$

この定義による楕円曲線は "なめらか" であり、曲線上の全ての点で唯一の接線が引けます。以降、この楕円曲線の性質を調べていきます。

---

楕円曲線暗号は「楕円曲線上の点の加法群」で構成する暗号です。そこでまず、No.313 でも触れた「群（group）」とは何かを復習します。

---

群の定義

---

群（$G$ で表します）とは、何らかの２項演算 "$\circ$" が定義された集合です。演算が定義されているとは、集合 $G$ の任意の２つの元（同じ元であってもよい）、$a$、$b$ を演算した結果の $a\circ b$ が $G$ の元であることを意味します。この２項演算は次の３つの条件を満たす必要があります。この「条件を満たす２項演算が定義された集合」が群 $G$ です。

（単位元）	$a\circ e=e\circ a=a$ となる元 $e$ が存在
（逆元）	$a\circ b=b\circ a=e$ となる $b$ が、任意の $a$ について存在
（結合則）	$\left(a\circ b\right)\circ c=a\circ \left(b\circ c\right)$

演算 "$\circ$" を乗算と考えるとき、$G$ を乗法群といいます。乗法群では２項演算を $a\times b\text{, }a·b\text{, }ab$ などと書きます。単位元は $1$ と書くこともあります。また、逆元 b は $a^{-1}$ です。同一の $n$ 個の元 $a$ に対して演算 "$\circ$" を $n-1$ 回行った結果は $a^n$ で「累乗（あるいは冪乗）」と呼びます。

演算 "$\circ$" を加算と考えるとき、$G$ を加法群といいます。加法群では２項演算を $a+b$ と書きます。加法群の単位元を零元と呼び、$0$ と書くことがあります。また逆元 b は $-a$ です。同一の $n$ 個の元 $a$ に対して演算 $\circ$ を行った結果は $na$で「スカラー倍」と呼びます。

乗法群か加法群かは多分に "言葉の綾" の面があり、どちらがイメージしやすいかによります。但し、加法群と言った場合は暗黙に可換則、$a\circ b=b\circ a$ が成り立つ群を言います。可換則が成り立つ群を、ノルウェーの数学者 Abel の名前をとって「アーベル群」と呼びます。もちろん「乗法」や「加法」のイメージとは結びつきにくい群もたくさんあります。

---

楕円曲線上の有理点

---

楕円曲線上の有理点からなる加法群を構成することができます。有理点とは、楕円曲線上の点、$\left(x_0,y_0\right)$ で、$x_0$ も $y_0$ も有理数の点です。一般に、楕円曲線が有理点を持つかどうかを有限回の手続きで決定する方法は知られていません。しかし、１個か２個の有理点があれば、次のような手続きで次々と有理点を見つけることができます。以下の記述では $P$、$Q$、$R$ などを有理点とし、

・	$P$ と $Q$ を結ぶ直線がふたたび楕円曲線と交わる点を $P\ast Q$（図７の左）
・	$P$ 点における接線が楕円曲線と交わる点を $P\ast P$（図７の右）

と定義します。ここでの "$\ast$" は乗算の記号ではなく「"$\ast$" の前後に書かれた楕円曲線上の点ではない、もう一つの直線と楕円曲線の交点」の意味です。

図７：楕円曲線上の有理点

J.H.シルヴァーマン、J.テイト著「楕円曲線論入門」（シュプリンガー・フェアラーク東京 1995）より引用

J.H.シルヴァーマン、J.テイト 「楕円曲線論入門」 （シュプリンガー・ フェアラーク東京 1995）

図７で、$P\ast Q$ も $P\ast P$ も有理点です。なぜなら、係数が有理数の３次曲線と直線の交点を求める式は３次方程式になりますが、３次方程式の２つの異なる根が有理数なら（左図の $P$ と $Q$）、もうひとつの根 $P\ast Q$ も有理数だからです。もう１つが有理数でないと（＝無理数や複素数）、３次曲線の係数が有理数という前提に反します。同じように３次方程式の重根（右図の $P$）が有理数だと、もう一つの根も有理数です。

つまり、楕円曲線上に１つ、ないしは２つの有理点があったとしたら、上記の操作で有理点を増やしていけます。そこで有理点の存在を前提として以下の議論を進めます。

なお、楕円曲線暗号で使う加法群は「有限体上の楕円曲線における加法群」であり、ここでは "有理点" が必ず存在し、それを見つけるアルゴリズムもあります（後述）

---

楕円曲線上の有理点が作る加法群

---

楕円曲線上の有理点を "群" にするためには、そこに何らかの演算を定義する必要がありますが、その定義を次のようにします。加法群なので演算を $+$ と書きます。

群演算

・	任意の有理点を零元（＝ $O$ ）とする。
・	$P$ と $Q$ を楕円曲線上の有理点とするとき、点 $P\ast Q$ と $O$ を結ぶ直線が再び楕円曲線と交わる点を $P+Q$ とする。つまり、 $P+Q=\left(P\ast Q\right)\ast O$ とする。

図８：楕円曲線上の群演算

シルヴァーマン、テイト「楕円曲線論入門」より引用。零元の記号には、英大文字 O の筆記体が使ってある。以下同様

零元

この演算における零元 $O$ が、群の零元の条件を満たしているかどうかを検証すると、

$P+O=\left(P\ast O\right)\ast O=P$

となって、零元の条件を満たしていることがわかります（図９）。もちろん、$O+P=P$ です。

図９：$\mathit{O}$ が零元であることの検証

「楕円曲線論入門」より引用

逆元

逆元は次のように定義します。零元 $O$ における接線が楕円曲線と交わる点を $S$ とします。まず、

$S=O\ast O$

です。そして 点 $Q$ と $S$ を結ぶ直線が再び楕円曲線を交わる点を、$Q$ の逆元（＝ $-Q$）とします。つまり、

$-Q=Q\ast S$

です。このように定義すると

$\begin{array}{ll}Q+\left(-Q\right)& =\left(Q\ast \left(-Q\right)\right)\ast O\\ & =S\ast O\\ & =O\end{array}$

となり、群の逆元の条件を満たすことがわかります（図10）。$S$ と $O$ を結ぶ直線は $O$ で２回交差するので、$S\ast O=O$ です。

図10：点の逆元

「楕円曲線論入門」より引用

結合則

群を構成するためには、以上の群演算の定義が結合則を満たしていななければなりません。楕円曲線上に点 $P$、$Q$、$R$ をとったとき、

$\left(P+Q\right)+R=P+\left(Q+R\right)$

となるのが結合則ですが、

$$\begin{gathered} \left(P+Q\right)+R=\left(\left(P+Q\right)\ast R\right)\ast O \\ P+\left(Q+R\right)=\left(P\ast \left(Q+R\right)\right)\ast O \end{gathered}$$

なので、

$\left(P+Q\right)\ast R=P\ast \left(Q+R\right)$

が示せればよいことになります。「楕円曲線論入門」にはこのことを示した図が載っています（図11）。

図11：結合則の検証

「楕円曲線論入門」より引用

$\left(P+Q\right)\ast R$ の点と $P\ast \left(Q+R\right)$ の点が、楕円曲線上で同一の点になることの証明は少々複雑なので「18. 結合則が成り立つことの証明」にまわします（後述）。

---

以上のように楕円曲線上の有理点は、直線との交点を使って加法と逆元をうまく定義することで "群" になることがわかりました。ここで注意すべきは、零元は楕円曲線上の任意の有理点でよいことです。これを利用し「零元＝無限遠点」としたのが、実用的に使われる楕円曲線上の加法群です。

---

無限遠点を零元とする加法群

---

以下では「対称点」という言葉を使いますが、

$P=\left(x_p,y_p\right)$ とするとき、点 $\left(x_p,-y_p\right)$ を$P$ の対称点と呼ぶ

ことにします。楕円曲線は $x$軸について対称なので、点 $P$ を $x$軸で "折り返した" 点が $P$ の対称点です。$y=0$ となる点が楕円曲線上に１つ、または３つありますが、その点の対称点は同じ点です。

次に「$y$軸方向の無限遠点」を導入し、「楕円曲線上の有理点と無限遠点を合わせた集合」に群を定義します。ここからは無限遠点を $O$ と書きます。

無限遠点は図に表せないのでイメージしにくいのですが、$\mathit{y}$軸方向の無限遠に $\mathit{O}$ があると考えます。$y$ 軸の正方向でも負の方向でもかまいません。

楕円曲線上の点 $P$ を $P=\left(x_p,y_p\right)$ とし、$x_p$ をどんどん大きくすると、楕円曲線の式では $x^3$ の項が支配的になるので、${y_p}^2={x_p}^3$ と近似できます。つまり $y_p=\pm {x_p}^{\frac{3}{2}}$ となり、$x_p$ が大きいと $y_p$ は $y$軸の遙か上方（と下方）になります。この極限が無限遠点 $O$ と考えます。さらに、

楕円曲線上の任意の点 $P$ を通る $y$軸に平行な直線を引くと、その直線は $P$ の対称点で楕円曲線と交差すると同時に、無限遠点 $O$ でも交差する

と考えます。この $\mathit{y}$軸方向の無限遠点 $\mathit{O}$ を零元とする群を構成します。

群演算

まず、群演算の加法ですが、

$P+Q=P\ast Q$ の対称点

と定義します（図12）。

図12：加法則

「楕円曲線論入門」より引用

こうすると、$P\ast Q$ と $P+Q$ を結ぶ直線は $y$軸と平行になり、それは無限遠点 $O$ で楕円曲線と交差します。つまり、

$P+Q=\left(P\ast Q\right)\ast O$

です。この定義は 零元を楕円曲線上の点にとった図８と合致します。この加法の定義で $O$ が群の零元の要件を満たしているかを検証すると、

$P+O=\left(P\ast O\right)\ast O=P$

となって要件を満たしていることがわかります。$P\ast O$ は $P$ の対称点ですが、$P$ の対称点と $O$ を結ぶ直線が楕円曲線と交差する点は $P$ なので上式が成立します。これは楕円曲線上に $O$ をとった図９と同じです。さらに逆元ですが、$Q$ が楕円曲線上にあったとき、

$Q$ の対称点が $Q$ の逆元（$-Q$ と表記）

と定義します（図13）。

図13：逆元

「楕円曲線論入門」より引用

こうすると、

$\begin{array}{ll}Q+\left(-Q\right)& =\left(Q\ast \left(-Q\right)\right)\ast O\\ & =O\ast O\end{array}$

となりますが、$O\ast O=O$（＝無限遠点の対称点は無限遠点）との自然な定義を行うと、

$Q+\left(-Q\right)=O$

となって逆元の要件を満たします。結合則についても零元を楕円曲線上にとった場合（図11）と同じ様に成立します。「18. 結合則が成り立つことの証明」でそのこと書きます。

射影平面

無限遠点は図で表現できず、何だか "怪しげな" 感じがしますが、数学的に厳密に定義できます。それには射影平面を使います。

平面 $\left(x,y\right)$ に対し、３つの数 $\left(X,Y,Z\right)$ で表される "平面" を射影平面と言います。３つの数がありますが３次元空間ではありません。ただし $\left(0,0,0\right)$ の点は除きます。また、

$\lambda \ne 0$とするとき
$\left(X,Y,Z\right)$ と $\left(\lambda X,\lambda Y,\lambda Z\right)$ は同じものである（同値である）

と定義します。$xy$平面から射影平面の対応は、

$\left(x,y\right)\stackrel{}{\to }\left(x,y,1\right)$

とし、その逆の対応は、

$Z\ne 0$ のとき
$\left(X,Y,Z\right)\stackrel{}{\to }\left({\displaystyle \frac{X}{Z}},{\displaystyle \frac{Y}{Z}}\right)$

です。この対応からわかるように、射影平面には $xy$平面にない点が含まれています（$Z=0$ の点）。

射影平面での楕円曲線の式は、$xy$平面の楕円曲線の式で、$x={\displaystyle \frac{X}{Z}}\text{, }y={\displaystyle \frac{Y}{Z}}$ とおき、全体に $Z^3$ をかけて同時化（＝変数項の合計次数をそろえる）します。その結果、

$Y^{2}Z=X^3+aX{Z}^2+b{Z}^3$

の同時方程式が、射影平面での楕円曲線になります。ためしに、図２の楕円曲線（$a=-2\text{, }b=1$）と $y$軸との交点を計算してみると、$xy$平面では、

$\{\begin{array}{l}{y}^2=x^3-2x+1\\ x=0\end{array}$

の連立方程式を解いて、$\left(0,\pm 1\right)$ となります。一方、射影平面では、$x=0$ は $X=0$ なので、

$\{\begin{array}{l}{Y}^{2}Z=X^3-2X{Z}^2+Z^3\\ X=0\end{array}$

が、楕円曲線と直線の交点を求める連立式になります。この解は、$\alpha$ と $\beta$ を $0$ ではない数として、$\left(0,\alpha ,\pm \alpha \right)\text{, }\left(0,\beta ,0\right)$ です。射影平面の同値関係を利用すると、

$$\begin{gathered} \left(0,\pm 1,1\right) \\ \left(0,1,0\right) \end{gathered}$$

が楕円曲線と直線の交点になり、交点は３つあることになります。ここで $xy$平面の交点には現れなかった $\left(0,1,0\right)$ が $y$軸方向の無限遠点です。無限遠点は楕円曲線の同時方程式を必ず満たします。つまり全ての楕円曲線は無限遠点を通ることになります。

楕円曲線の計算には現れませんが、無限遠点にもいろいろあって、$\left(1,0,0\right)$ は $x$軸方向の無限遠点、$\left(\alpha ,\beta ,0\right)$ は任意方向の無限遠点です（$\alpha$、$\beta$ は $0$ ではない数）。

$xy$平面の２直線は、平行なときには交点がありませんが、射影平面の２直線は必ず１点で交わります。また射影平面の楕円曲線の１点を通る直線は、楕円曲線と必ず３点で交わります（直線が楕円曲線の接線の場合は、接点での交差数を２と数えます）。このように、交差を統一的に扱えるのが射影平面の特徴の一つです。

以上のような数学的裏付けのもとに導入したのが無限遠点です。これを $xy$平面では、

・	$\mathit{y}$軸方向の無限遠のところに無限遠点 $\mathit{O}$ がある
・	楕円曲線は $\mathit{O}$ を通る
・	$\mathit{y}$軸に平行な直線は $\mathit{O}$ で楕円曲線と交わる

とイメージしてよいわけです。

---

加法式・２倍式

---

楕円曲線上の加法を計算式で表します。楕円曲線上の３点を次のように定義します。

$$\begin{gathered} P_1+P_2=P_3 \\ {P}_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ {P}_3=\left(x_3,y_3\right) \end{gathered}$$

とします。$P_1$ と $P_2$ を結ぶ直線を $y=\lambda x+\mu$ とすると、連立方程式、

$\{\begin{array}{l}{y}^2=x^3+ax+b\\ y=\lambda x+\mu \end{array}$

の解が $P_1\text{, }{P}_2\text{, }\left(x_3,-y_3\right)$ です。この２つの式から $y$ を消去すると、

$x^3+ax+b-{\left(\lambda x+\mu \right)}^2=0$

が得られますが、この式は、

$\left(x-x_1\right)\left(x-x_2\right)\left(x-x_3\right)=0$

と同一のはずです。そこで $x^2$ の係数を比較すると、

$-{\lambda }^2=-x_1-x_2-x_3$

が得られます。つまり、

$x_3={\lambda }^2-x_1-x_2$

となります。この $x_3$ を直線の式に入れると、

$-y_3=\lambda x_3+\mu$

ですが、$y_1=\lambda x_1+\mu$ なので $\mu$ を消去すると、

$y_3=-y_1+\lambda \left(x_1-x_3\right)$

となります。これが基本の加法式です。これを $P_1$ と $P_2$ の配置パターンごとにまとめると、次の通りです。

${\mathit{x}}_{\mathit{1}}\mathit{\ne }{\mathit{x}}_{\mathit{2}}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-x_1-x_2\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{y_2-y_1}{x_2-x_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{\ne }\mathit{0}$ のとき

この場合は $P_1$ と $P_2$ を通る直線は $P_1$ における楕円曲線の接線となり、直線の傾き $\lambda$ は上の式のままでは計算できません。そこで $y^2=x^3+ax+b$ を $x$ で微分すると

$2y{\displaystyle \frac{dy}{dx}}=3x^2+a$

なので、

$\lambda ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}$

となります。$x_2$ を $x_1$ に置き換えてまとめると、

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-2x_1\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}\end{array}$

が $P_1+P_1$ の計算式です。これは $P_1$ の "２倍"（一般にはスカラー倍）であり、$2P_1$ と書きます。

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{\ne }{\mathit{y}}_{\mathit{2}}$ のとき、あるいは ${\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{=}\mathit{0}$ のとき

この場合、$P_2=-P_1$ なので、定義により

$P_1+P_2=O$

です。

---

有限体上の楕円曲線による加法群

---

以降に出てくる有限体 ${\mathbb{F}}_p$ と 乗法群 ${\mathbb{F}}_p^{\ast }$ については、No.313「高校数学で理解する公開鍵暗号の数理：10. 有限体と乗法群」 で定義したものです。

楕円曲線暗号に使われる楕円曲線は、有限体 ${\mathbb{F}}_p$ で定義された "曲線" で、次の式を満たすものです。

$$\begin{gathered} y^2=x^3+ax+b \\ \left(4a^3+27b^2\ne 0\right) \end{gathered}$$

$x$、$y$、$a$、$b$ は全て ${\mathbb{F}}_p$ の元です。「この式を満たす全ての $\left(x,y\right)$ と 零点 $O$ の集合」に対して演算を定義して群を構成します。演算を加法と考えて $+$ と書きます。この "曲線" 上の３点を、

$$\begin{gathered} P_1+P_2=P_3 \\ {P}_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ {P}_3=\left(x_3,y_3\right) \end{gathered}$$

とするとき、群の演算式は次のように定義されます。

${\mathit{x}}_{\mathit{1}}\mathit{\ne }{\mathit{x}}_{\mathit{2}}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-x_1-x_2\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{y_2-y_1}{x_2-x_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{\ne }\mathit{0}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-2x_1\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{\ne }{\mathit{y}}_{\mathit{2}}$ のとき、あるいは ${\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{=}\mathit{0}$ のとき

$P_1+P_2=O$

つまり、実数平面の有理点と無限遠点（＝零元）で構成された群の演算式と全く同じです。もちろん加減乗除は ${\mathbb{F}}_p$ で行います。これが群になる理由は、有理数体（有理数全体の集合）も有限体 ${\mathbb{F}}_p$ も「体」であり、加減乗除は全く同一形式で記述できるからです。ただ、有理数体と違って ${\mathbb{F}}_p$ の元の数は有限個であり、群の元の数も有限個（＝有限群）です。以降、${\mathbb{F}}_{\mathit{p}}$ 上の楕円曲線、${\mathit{y}}^{\mathit{2}}\mathit{=}{\mathit{x}}^{\mathit{3}}\mathit{+}\mathit{a}\mathit{}\mathit{x}\mathit{+}\mathit{b}$ による有限群を $\mathit{E}\mathit{}\left(\mathit{a},\mathit{b},\mathit{p}\right)$ と表記します。

${\mathbb{F}}_p$ 上の楕円曲線は、もはや "曲線" の形をしていませんが、これを可視化した図が Wikipedia にあるので、引用します。

図14：有限体上の楕円曲線 $E\left(-1,0,89\right)$　 ${\mathbb{F}}_{89}\text{, }{y}^2=x^3-x$

赤丸が "楕円曲線上の点" を表し、計79個ある。零元（無限遠点）と合わせて、群の元の総数は 80 である。

（Wikipedia より）

---

以上が「有限体上の楕円曲線が作る加法群」で、楕円曲線暗号はこの加法群で構成されます。その話を次回にします。

（次回に続く）

---

タグ：群 高校数学 公開鍵暗号 有限体 楕円曲線暗号 楕円曲線 ３次曲線 楕円曲線論入門 判別式 射影平面 無限遠点 有理点 加法群

No.314 - 人体に380兆のウイルス

No.307-308「人体の９割は細菌」で、ヒトは体内や皮膚に棲む微生物と共存していることを書きました。これら微生物には、もちろんヒトに有害な事象を引き起こすものもありますが、ヒトの役に立ったり、ヒトの免疫機構を調整しているものもある。人体は微生物と共存することを前提に成り立っています。

No.307-308での "微生物" は、題名にあるように主に細菌でした。しかし忘れてはいけない微生物のジャンルはウイルスです。そして人体はウイルスとも共存しています。人体に共存する微生物の総体（＝微生物叢そう）をマイクロバイオーム（Microbiome。厳密にはヒトマイクロバイオーム）と言いますが、ウイルスの総体（＝ウイルス叢そう）をバイローム（Virome。ヒトバイローム）と言います。言葉がややこしいのですが、マイクロバイオームの一部としてバイロームがあると考えてよいでしょう。

ウイルスというと、病気を引き起こす "ヒトの敵" というイメージが強いわけです。新型コロナウイルスがまさにそうだし、No.302「ワクチン接種の推奨中止で4000人が死亡」でとりあげたのは、子宮頸癌を引き起こすヒトパピローマウイルス（HPV）とそのワクチンの話でした（HPV は他の癌の原因にもなりうる）。大きな社会問題にもなった肝炎を引き起こすウイルスがあるし、エイズもウイルスの感染で発症する病気です。もちろんインフルエンザもウイルスが原因です。

しかしウイルスの中にはヒトに "好ましい" 影響を与えるものもあります。その好例が、No.229「糖尿病の発症をウイルスが抑止する」で紹介したある種のウイルスで、膵臓がこのウイルスに感染していると、遺伝性の自己免疫疾患である１型糖尿病の発症が抑止されるのでした。

日経サイエンス 2021年7月号

人体と共存する細菌に "善玉菌" と "悪玉菌" があるように、ウイルスにも "善玉ウイルス" と "悪玉ウイルス" があることが想定されます。では、ヒトの "ウイルス叢" ＝ "バイローム" の全体像はどうなっているのか。その探求が、この10年ほどの間に進んできました。ただ、この種の研究はまだ始まったばかりであり、本格的なバイロームの解明はこれからと言えます。

そのバイローム研究の最新状況を紹介した雑誌記事があったので、No.307-308「人体の９割は細菌」の続きとして紹介したいと思います。記事の題は「あなたの中にいる380兆のウイルス」で、日経サイエンス 2021年7月号に掲載されたものです。著者はカリフォルニア大学サンディエゴ校の病理学者、 デヴィッド・プライド（David Pride）准教授です。これは Scientific American 誌 2020年12月号の「The Viruses Inside You」を翻訳したものです。

---

ウイルスは人体の一部

---

新型コロナウイルス（ウイルス名：SARS-Cov-2）の影響もあり「ウイルスは病気をもたらすもの」という認識が一般的でしょう。しかし病気でなくても、普段からヒトの体内には何兆個ものウイルスが存在しています。このことは研究者の共通認識になってきました。

実は多くのウイルスが肺や血液、神経の細胞内や、多数の腸内細菌の内部に隠れており、人の体内に静かに潜んでいることが明らかになっている。 現時点で生物学者たちは 380兆個のウイルスがあなたの体の表面や内部で生息していると見積もっている。 デヴィッド・プライド 「あなたの中にいる380兆のウイルス」 日経サイエンス 2021年7月号

ヒトの細胞の総数は、最新の研究では約37兆個といわれています（赤血球を除くと約11兆個）。ヒトと共存している細菌は、数からいうと腸内細菌がほとんど（9割以上）で、ざっと100兆個といわれています。その細菌より多数のウイルスが体内にいることとになります。ウイルスの大きさが細菌の大きさの100～1000分の１であることを考えると、これは驚くに当たらないでしょう。これらの細菌やウイルスの数は、今後の研究の進展に従って増加することが考えられます。

病気を引き起こすウイルスもいるが、多くは単にあなたと共存しているだけだ。例えばペンシルベニア大学の研究者たちは2019年後半、気道でレドンドウイルスに分類される19種類のウイルスを発見した。いくつかは歯周病や肺疾患に関連していたが、他のウイルスはむしろ呼吸器疾患を抑えているようだった。 以前は、私たちの人体は "自分の" 細胞でできていて、それがときどき微生物の進入を受けるだけだと考えられてきた。しかし科学的知識が急速に拡大したことで、実は私たちは細胞と細菌、菌類、そして最も多数派を占めるウイルスが同居する１つの生物集団、つまり「超個体」であることが明らかになっている。 「同上」

これらのウイルスは、皮膚表面を含む体内のあらゆる場所に生息しており、脳の脊髄からも発見されています。

安価なゲノム配列解読手法によって人間の口腔と腸で大量のウイルスが発見されたのは12年前のことだが、2013年頃までには皮膚の表面や気道、そして血液や尿中にもウイルスの存在が明らかになった。 最近では、さらに驚異的な場所でウイルスが見つかっている。2019年9月、私はゴース（Chandrabah Ghose）らとともに、さまざまな病気のための検査を受けていた成人たちの脳脊髄液中で発見したウイルスと詳しく報告した。それらのウイルスはいくつかの異なった科に属しており、既知の病気に関連づけられているものはなかった。また、私たちは血漿と間接液、母乳の中にも同じウイルスを発見した。 それまでヘルペスウイルスなどごく少数の感染症ウイルスが脳脊髄液中に潜入しうることは知られていたが、何も病気を引き起こさないウイルスがまるで偶然そこに居合わせたかのように見つかったことは驚きだった。微生物のいない環境であるはずの中枢神経系に、そこそこ多様なウイルス集団が存在しているのだ。 「同上」

No.307-308「人体の９割は細菌」で書いたように、細菌のマイクロバイオームは赤ちゃんが生まれるその時点から形成されます。また母乳にも細菌が含まれていて、それが赤ちゃんに伝わる。このような状況はウイルスのバイロームでも同じのようです。

私たちのバイロームは生まれたときから蓄積が始まるようだ。生後間もない乳児の腸にも非常に多様なウイルスが存在することが明らかになっている。おそらくそれらは母親に由来し、一部は母乳から摂取されると考えられる。 出生後数週から数ヶ月たつうちに、これらのウイルスの一部は数が減る。他方で、別のウイルスが空気や水、食物、他の人々から乳児の体内に入ってくる。これらのウイルスは数と多様性を増していき、細胞に感染してそこで長年にわたり存在し続ける。 「同上」

細菌と同じように、人のバイロームは、その人の「個人情報」になります。しかもこの個人情報は、人から人へと伝播しやすいという性質があります。新型コロナウイルスやインフルエンザウイルスの呼吸器系に感染するウイルスは、咳などの飛沫でも容易に伝播するのです。

同居している人たちは、自身のバイローム中のウイルスの約25%を共有しているようだ。ウイルスは、せきなどの典型的な伝播手段でうつされるだけでなく、人と人の軽い接触、流し台やトイレや机の共同使用、そして食物を分け合うことによっても、同居メンバー間で伝播しうる。 私たちが調べた人数は少ないものの、恋人どうしや夫婦といったロマンチックな関係がない同居人どうしでも、ロマンチックな関係にあるひと同士と同じくらいの割合のウイルスを共有していることをデータは示している。親密な接触はほとんど違いを生まないように思われる。同じ空間に住んでいるだけで十分だ。 「同上」

要するに、同居人の間でのウイルスの伝播（バイロームの共有）は、性関係（＝ロマンチックな関係）のあるなしには影響されないわけです。

---

細菌に感染するファージ

---

ウイルスは自前の増殖機能がないため、細胞に感染することで増えて広がっていきます。実は、ヒトの体内にいるウイルスの多くは、ヒトの細胞ではなく、体内に生息する細菌に感染するウイルスです。このタイプのウイルスをバクテリオファージ（略してファージ）と呼びます。

私たちの体内にいるウイルスの多くは私たち自身の細胞を標的としているのではない。代わりに、私たちのマイクロバイオームを構成している細菌を探す。これら細菌に感染するウイルスは「バクテリオファージ」と呼ばれる（略して「ファージ」といわれることが多い）。細菌の細胞内に進入したファージは細菌が持っている装置を使って自身のコピーを作り、たいていは細胞を破裂させて飛び出し、他の細菌に観戦する。この仮定で宿主の細菌は破壊される。 ファージは自然界のほほ全ての場所に存在している。じっくりと観察すれば、土壌中にも、海水から家庭の水道水にいたるあらゆる水の中にも、酸性の鉱山や北極、温泉などの過酷な環境中にも見つけることができるだろう。空中にも浮かんでいる。これらのウイルスがしぶとく存在し続けるのは、これら全ての場所に生息している細菌を獲物にしているからだ。私たち人間は狩りをする１つの場所にすぎない。 2017年、サンディエゴ州立大学（カリフォルニア州）に所属していたグェン（Sophie Nguyen）とバー（Jeremy Barr）は、多くのファージが粘膜を通過して体内の最終目的地に到達するこを示した。試験管内の実験で、ファージは腸や肺、肝臓、腎臓、さらには脳の表面を覆う膜を通り抜けた。もっとも、それらのウイルスがたまたま中枢神経系などの場所に入ったとしても、そこには宿主となる細菌がほとんどいないため、自己複製する方法がなく最終的には死滅してしまうだろう。 「同上」

ファージは細菌と共存しているとも言えます。ということは、ヒトと共存する細菌の中にヒトに有益な作用をもたらすものがあるように、ファージの中にも細菌を "助ける" ものがあってもおかしくありません。

増殖したファージが細菌の遺伝子を自身のゲノムに取り込んで一緒に持ち出すことがある。この荷物は、ファージが次に感染した細菌にとって有益になる場合がある。例えば私が唾液中に見つけたファージは、細菌が人体の免疫系の攻撃から逃れるのを助ける遺伝子を運んでいた。なかには細菌が抗生物質に抵抗するのを助ける遺伝子を運ぶファージまでいる。 「同上」

抗生物質は細菌に作用するだけで、ウイルスは影響を受けません。従って「細菌が抗生物質に抵抗するのを助ける遺伝子」をファージが運ぶとしたら、ファージの生存環境を確保し、ファージ自身の生存を促進するという "目的" しかないわけです。

---

人体細胞に感染するウイルス

---

もちろん細菌に感染するファージだけでなく、ヒトの細胞に直接感染するウイルスもあります。

私たちのバイロームの中の多くのウイルスは細菌に感染するが、人体組織の細胞に直接感染するウイルスもわずかながらある。この手のウイルスが少数派だと考えられるのは、体細胞への感染が免疫系によって抑制されるからだ。 スタンフォード大学にいたド・ヴラマンク（Iwijn De Vlaminck）は、免疫系の働きが著しく弱っているとき（例えば、臓器移植を受けて、拒絶反応を防ぐために免疫抑制剤を服用している場合など）、特定のウイルスの数が劇的に増加することを明らかにした。こうしたケースでは、病気を引き起こすことが知られているウイルスとそうでないウイルスの両方の増加が見られる。この観察結果は、通常私たちの免疫系はバイロームを抑制しているが、免疫が阻害されるとウイルスは容易に増殖できることを示している。 「同上」

普段は何もせずに感染しているウイルスが、ヒトの免疫機能の低下などにより急に病原性を発揮することがあります。このような状況を「日和見感染」といいます。また、何らかのウイルスが感染してヒトの免疫系がそれと戦っているときに、別の細菌やウイルスに感染することがあります。これを「共感染」と呼びます。

新型コロナ感染症でも重症者に共感染がみられます。黄色ブドウ球菌や肺炎レンサ球菌などによる "細菌性続発性肺炎" や "菌血症"（血液中に細菌が増える症状）です。また、インフルエンザウイルスやアデノウイルスなどの "ウイルス性共感染" も観察されています。さらに、既にバイローム中にいるエプスタイン・バーウイルス（EBウイルス）やサイトメガロウイルスが活性化される可能性もあります。ヒトの免疫系が新型コロナウイルスと戦っているその体内は、これらの細菌やウイルスが大増殖しやすい状態になっているわけです。

いま出てきた "EBウイルス" と "サイトメガロウイルス" は、ヘルペスウイルスの一種です。ヘルペスウイルスは約100種のウイルスの総称で、そのうちの９種がヒトに感染します。日本人でも半数以上の人が感染しています。このウイルスはヒトの神経節に "潜伏感染" し、そうなると増殖も何もしないので免疫系に攻撃されることがありません。しかし何らかのトリガーで活性化し、帯状疱疹や水痘（水ぼうそう）、口唇ヘルペスなどを引き起こします。

ヘルペスウイルスはそれ以外にも数々の病気とかかわっているのではと疑われています。その一つがアルツハイマー病です。

アルツハイマー病で死亡した人々から提供された脳組織を調べた2018年の研究では、高レベルのヘルペスウイルスの存在が明らかになった。 2020年5月にはタフツ大学とマサチューセッツ工科大学の研究者たちが実験室で脳を模した培養組織を作成し、そこに単純ヘルペスウイルス１型を感染させた。すると、アルツハイマー病患者の脳に蓄積するものとそっくりなアミロイド斑様構造物が大量にできた。このように古くから知られているウイルスにも意外な役割が見つかる可能性があるのは驚くべきことだ。 「同上」

この引用にある「2018年の研究」を報じたニュース記事が次です。

アルツハイマー発症 ヘルペスウイルス2種関係か 日本経済新聞（デジタル版） 2018年6月22日 【ワシントン=共同】アルツハイマー病の発症に、2種類のヒトヘルペスウイルスへの感染が関係する可能性があるとの研究成果を、米国のチームが21日付科学誌ニューロン電子版に発表した。患者の脳組織からウイルスの痕跡を大量に発見したことなどが根拠。 問題となる「6型A」「7型」のウイルスは非常に身近で、米国では多くの人が幼児期までにいずれかに感染するという。チームは「どうやって感染から発症に至るのかなど、不明な点が多い」としている。 いずれも血液から見つかるウイルスで、7型は突発的な発疹の原因となることが知られている。6型Aについてはよく分かっていないという。 チームはアルツハイマー病患者と、患者ではなかった800人超から提供された脳について、500種以上のウイルスへの感染を調べた。患者の脳では2種類のヘルペスウイルスに関係する遺伝物質RNAが多く見つかり、ウイルスが脳細胞の遺伝子にも影響を及ぼしていたことも分かった。 これらのウイルスは、アルツハイマー病以外の原因による認知症の人の脳からも見つかったが、2種類とも多くみられたのはアルツハイマー病患者の脳だけだった。

---

ファージを医療に応用する

---

ウイルスを医療に役立てようとする研究が進められています。というのも、ファージは細菌に入り込み、細菌の機構を利用して増殖し、細菌を破壊して飛び出すからです。ファージを利用して病気の原因菌を排除しようとするのは自然な流れでしょう。その焦点は、抗生物質が効かない耐性菌の対策です。雑誌記事から２つ引用します。

ロックフェラー大学の研究者たちは、抗生物質が効かない病原菌であるメチシリン耐性ブドウ球菌（引用注：MRSAのこと）を殺す酵素をあるウイルスから精製した。この結果は非常に有望で、米食品医薬品局（FDA）はこの酵素を「画期的治療薬」に指定し、現在、最終段階の臨床試験（第３相試験）が行われている。 デヴィッド・プライド 「あなたの中にいる380兆のウイルス」 日経サイエンス 2021年7月号

いくつかのファージが実験的な治療ですでに使用されている。カリフォルニア大学のサンディエゴ校のスクーリー（Robert Schooley）が率いた2016年の画期的な試みが一例だ。同大教授のパターソン（Tom Patterson）は悪名高い薬剤耐性菌、アシネトバクター・バウマニのせいで多臓器不全に陥っていた。しかし医師たちは、下水および環境由来のファージを使用したパターソンを治療することに成功した。 （  日経サイエンス編集部・注：この治療例は「パターソン症例」と呼ばれ、米国初のファージ療法成功例として知られている） 「同上」

ファージ医療は耐性菌対策の "切り札" だと、著者は書いてます。薬（抗生物質）が効かない病原菌を排除するためには、細菌に感染するファージを利用するのが切り札になるわけです。

---

バイロームとヒトの健康

---

ヒトのマイクロバイオーム（細菌）が健康と密接な関係があるように、バイロームもそうであることが十分考えられます。マウスによる実験では細菌の変化とウイルスの変化が同時に起こることが観察されています。ヒトにおいても、歯周病と炎症性腸疾患を発症とバイロームの変化が同時におこる場合があることがわかっています。

今後、ヒトの健康に影響を与えるカテゴリーのウイルスを "操作" して、疾患から我々の体を守る新たな方法がみつかることが期待されています。

---

以上が、日経サイエンス 2021年7月号に掲載された「あなたの中にいる380兆のウイルス」の概要です。ここから以降は、この記事に関連した最近の日本での話題をとりあげます。

---

ウイルスを医療に応用する

---

日経サイエンスの記事には、細菌に感染するファージを利用して病気の原因菌を人体から排除する "ファージ医療" のことが書かれていました。

ということは、人体から排除したいヒトの細胞を破壊するには、人体細胞に感染するウイルスを使えばよい、ということになります。人体から排除したいヒトの細胞とは、つまり癌細胞です。

癌治療にウイルスを使う研究は世界で行われてきましたが、2021年6月10日に東京大学医科学研究所の藤堂具紀ともき教授は、ウイルスを使った治療薬が承認される見通しになったと発表しました。日本製としては初の承認です。

改変ウイルスで脳腫瘍治療 東大と第一三共が実用化 時事通信社（JIJI.COM） 2021年06月10日 ヘルペスウイルスのがん治療用改変に取り組む東京大医科学研究所の藤堂具紀教授は10日、脳腫瘍の一種「悪性神経膠腫こうしゅ」の治療用として、厚生労働省から条件付きで製造販売が承認される見通しになったと発表した（引用注：11日に厚生労働省から承認が発表された）。第一三共が共同開発して昨年12月に申請し、先月の薬事・食品衛生審議会部会で認められていた。 製品名は「デリタクト注」（一般名テセルパツレブ）で、7年以内に使用患者全員を対象として安全性と有効性を再確認する。脳腫瘍では世界初のウイルス療法製品になるという。 元来は口唇ヘルペスを引き起こす「単純ヘルペスウイルス１型」だが、がん細胞だけに感染、増殖して死滅させるよう、３種類の遺伝子を改変してある。患者の抗がん免疫を強める作用もある。 藤堂教授らは悪性神経膠腫の中で最も悪性度が高く、手術後に放射線や抗がん剤による治療を行っても生存期間が短い「膠芽腫こうがしゅ」を対象として、2009年から臨床研究、15年から臨床試験（治験）を実施。安全性を確認し、１年後の生存率が大幅に向上する効果があった。 この改変ウイルスは他のがんにも有効とみられ、前立腺がんなどを対象とする臨床試験も行っている。

この発表の20日ほど前の朝日新聞デジタルには、癌のウイルス治療の歴史や背景を含めた解説がありました。以下です。

ウイルスでがん破壊、治療薬承認へ 脳腫瘍の一種に効果 朝日新聞デジタル 2021年5月24日 悪性度の高い脳腫瘍しゅように対する国産初のがんウイルス治療薬が承認されることになった。新型コロナウイルスの影響でこの1年ですっかり悪役になった「ウイルス」だが、ウイルスの遺伝子を改変して「味方」にすれば、がん治療に利用できる。次世代のがん治療法として世界的に注目されている。 がん治療にウイルスを使う研究は、20世紀初めに始まったとされる。1971年には、英の有名医学誌ランセットに、「悪性リンパ腫になった男子が、麻疹ウイルスにかかった後にがんが消えた」という論文が掲載された。ウイルスをどう改良すれば、この報告を再現できるのか、本格的な研究が始まった。 がん細胞とウイルスは「体内の免疫をかいくぐって、どんどん増えたい」という性質が一致している。ウイルスにとって、がん細胞の中は「何もしなくても勝手に増やしてくれる」という最高の環境だ。お互いの特徴をいかした治療が、がんウイルス療法と言える。 ウイルスをがん細胞の中で増やしてがん細胞を壊し、次のがん細胞に感染して同じことを繰り返させる。さらに、ウイルスが壊したがん細胞のかけらを自分の免疫が認識すれば、がん細胞に対する全身の免疫が高まる。転移する割合も減る可能性がある。 ウイルスは正常な細胞にも感染するため、がん細胞のみで増えさせるようにすることが課題だった。この点で治療に大きな進歩をもたらしたのが、遺伝子組み換え技術の発展だ。 承認が了承された「デリタクト注」は、東京大医科学研究所の藤堂具紀教授らが開発した。口唇ヘルペスの原因を起こす「単純ヘルペスⅠ型」というありふれたウイルスを改変している。 さまざまなウイルスでがん治療研究が進められているが、このヘルペスウイルスは、どの細胞にも感染し、細胞を攻撃する力が比較的強い。このウイルスを改変した薬は米国で2015年、悪性黒色腫（メラノーマ）で承認された。 今回のウイルスは、さらに遺伝子を改変し、三つの遺伝子に変異を加えている。デリタクト注は1回10億個のウイルスを注入する。ウイルスの増殖が体内で制御できなくなるおそれもあるが、藤堂さんは「遺伝子の改変を重ねるごとに、正常な細胞で増殖させることなく、がん細胞への攻撃力を高め、安全性は1千倍ずつ高まっている」と話す。 がんウイルス治療に詳しい鳥取大の中村貴史准教授（遺伝子治療学）は「世界的にこの治療でかなりの数の治験が進んでいるが、いずれも遺伝子組み換え技術によって正常な細胞でのウイルスの増殖を制御できている」と話す。 今回は脳腫瘍で了承されたが、理論上はさまざまな臓器のがんに応用可能だ。藤堂さんらは、前立腺がんなど、ほかのがんへの応用もめざして研究を進めている。 将来的に、手術や抗がん剤、放射線治療の前に、ウイルス療法でがんを小さくしたり、免疫を高めて治療効果を上げたりすることも考えられる。中村さんは「欧米では非常に激しく競争されている分野で、確立すれば治療の選択肢が増える。今回の了承は起爆剤となり、大きな革新となるだろう」と話す。（後藤一也、瀬川茂子）

癌のウイルス治療のイメージ

（朝日新聞デジタル 2021.5.24 より）

ヘルペスウイルスは潜伏感染をし、突如として病気を引き起こすというウイルスです。しかも日経サイエンスの記事にあったように、脳にも感染するヘルペスウイルスはアルツハイマー病の原因になるのではと疑われています。そのウイルスで癌細胞を攻撃するというのは、まさに「毒をもって毒を制する」ことの典型でしょう。

今回の承認は「悪性神経膠腫こうしゅ」の治療用ですが、前立腺がんなど、ほかの癌への応用の研究も進んでいるようです。東京大医科学研究所のホームページに詳しい説明がありますが、それを読むと、今回のヘルペスウイルス改変型ウイルスはすべての癌に効果があるとしか思えないのですね。

2020年に「癌の光免疫療法」が日本で承認され、"第５の癌療法" として注目されました（既存の４つとは、手術・化学・放射線・免疫の各療法）。ウイルス療法が "第６の癌療法" になること期待したいものです。

---

補記

本文に引用した藤堂教授の研究成果が、2021年7月5日の日本経済新聞にも掲載されました。本文と重複する部分もありますが、治験結果などの重要な情報もあるので全文を引用しておきます。下線は原文にはありません。

がん破壊ウイルスに託す 新薬承認、脳腫瘍以外へ開発競う 日本経済新聞 2021年7月5日 ウイルスを使ってがんを倒す新たな治療法が登場した。がん細胞だけで増えて死滅させる「ウイルス療法」の新薬が6月、厚生労働省に条件付きで承認された。臨床試験（治験）では1年後の生存率が8～9割と、従来の治療法の約6倍となった。開発は盛んで、他のがんにも効果があると期待されている。 新薬は第一三共の「テセルパツレブ」。悪性の脳腫瘍を対象に承認された。東京大学医科学研究所教授の藤堂具紀さんらの研究成果を実用化した。2016年に国の画期的な新薬候補を優遇する「先駆け審査指定制度」に選ばれた。 今後7年で再確認 東大医科学研究所付属病院で15年から実施した医師主導治験の結果をもとに、20年12月に製造販売の承認を申請した。今後7年間、投与した患者全例のデータを集めて、有効性や安全性を再確認する条件付きで承認された。がんのウイルス療法の治療薬は国内で初めてだ。藤堂さんらは約20年以上かけて開発した。 治療では、新薬をがんに注射する。ウイルスはがん細胞に感染して増える。がん細胞を壊して拡散し、次のがん細胞に感染して次々に破壊していく。壊れたがん細胞からはがんの目印となる物質が出る。免疫細胞がそれを認識し、残るがん細胞を攻撃する。がんへの免疫がつき、転移や再発を抑える可能性が期待されている。 治験は手術や放射線、抗がん剤などの標準治療をした後に再発した脳腫瘍の一種、膠芽腫こうがしゅの患者を対象にした。最大6回まで脳にウイルスを投与した。膠芽腫は悪性度が高く、再発しやすい。生存期間は手術後15～18カ月程度、再発後の余命は3～9カ月程度といわれる。 13人を対象にした中間解析では、1年後の生存率は92.3%だった。標準治療後の生存率は約15%にとどまる。先行して実施した臨床研究を加えて19人を対象にした評価では、1年後の生存率は84.2%、治療開始後の生存期間の中央値は約20カ月だった。がんが縮小したのは1人で、18人はがんが増えず安定した状態だった。 がんがウイルスに弱いことは研究者の間では古くから知られていた。1971年の論文で、悪性リンパ腫になった少年が麻疹ウイルスに感染したところ、がんが消えたという報告があったという。 通常の細胞はウイルス感染などにあったとき、自ら死ぬ機能を備える。一方、がん細胞はこの機能が壊れていて増え続ける。自殺しないがん細胞はウイルスにとって増えやすい環境なわけだ。 ウイルスをがん治療に使おうとすると、ウイルスが正常な細胞でも増えて壊すという課題があった。藤堂さんらは遺伝子組み換えでウイルスの性質を変え、がん細胞だけで増えるようにした。 遺伝子3つを改変 もとにしたのは「単純ヘルペス1型」というウイルスだ。口唇に水疱すいほうをつくるウイルスで、成人の7～8割が感染しているといわれる。3つの遺伝子を改変し、がん細胞で増えて正常細胞では増えないようにするとともに、がんへの体内の免疫反応が高まるようにした。 細胞を壊す力が強く、どの細胞にも感染するのでさまざまながんへの応用が期待できるという。細胞から細胞に血液を介さず移るので、抗体があっても繰り返して治療効果が期待できる。 米国では2015年にヘルペスウイルスを遺伝子組み換えした悪性黒色腫の治療薬が承認された。この治療薬は2つの遺伝子を改変した。テセルパツレブは3つ改変しており、藤堂さんは「がんを攻撃する力が格段に強まり、安全性も向上した」と強調する。 がんウイルス療法には多くの製薬企業が参入している。国内勢では、オンコリスバイオファーマから導入した治療薬候補で、中外製薬が食道がんや肝細胞がんを対象に治験をしている。 鳥取大学准教授の中村貴史さんは「15年の承認をきっかけに大手製薬が参入し、がんウイルス療法の開発は活発になった。安全性は遺伝子組み換え技術で制御できるレベルになり、今はいかに効果を高めるかという段階だ。競争に勝つには新規性が必要だ」と指摘する。（藤井寛子）

日本経済新聞 2021.7.5 より

（2021.7.7）

---

---

タグ：ウイルス 癌 ヘルペス 脳腫瘍 アルツハイマー病 バクテリオファージ ファージ マイクロバイオーム バイローム ファージ医療 藤堂具紀 ウイルス療法

No.313 - 高校数学で理解する公開鍵暗号の数理

No.310-311「高校数学で理解するRSA暗号の数理」の続きです。公開鍵暗号の "老舗しにせ" である RSA暗号は、1978年に MIT の研究者であったリベスト（米）、シャミア（イスラエル）、エーデルマン（米）の３人によって発明されました（RSAは３人の頭文字）。３人はこの功績によって2002年のチューリング賞を受賞しました。チューリング賞は計算機科学分野の国際学会である ACM（Association of Computing Machinary）が毎年授与している賞で、この分野では最高の栄誉とされているものです。

しかし公開鍵暗号そのもののアイデアを最初に提示したのは、スタンフォード大学の研究者だったディフィー（米）とヘルマン（米）で、1976年のことでした。２人も 2015年にチューリング賞を受賞しています。この「鍵を公開する」という、画期的というか逆転の発想である公開鍵暗号の登場以降、暗号の研究は一変してしまいました。そして RSA暗号のみならず各種の公開鍵暗号が開発され、現代のインターネットの基盤になっています。たとえばインターネットのWebサーバへのアクセス（閲覧やフォーム入力など）で使われる SSL/TSL という暗号化通信（https:// のサイトで使われる）は、まさに公開鍵方式を使っています。

今回はその公開鍵暗号を "発明した" ディフィーとヘルマンに敬意を表して、彼らが発表した内容と、その数学的背景を書いてみたいと思います。タイトルは「公開鍵暗号の数理」としましたが、あくまで公開鍵暗号の原点となったアイデアの解説です。

ACM（Association of Computing Machinary）のサイトには、歴代のチューリング賞の受賞者の紹介ページがある。2015年の受賞者はディフィーとヘルマンで、受賞理由として「公開鍵暗号の発明」と書かれている。

（https://awards.acm.org/ より）

ディフィーとヘルマンが提出したアイデアは「公開鍵を使って秘密鍵を安全に共有する」ものでした。これは「ディフィー・ヘルマンの鍵共有」と呼ばれていて、現在でも使われています。そこでまず「秘密鍵の共有」の意義を振り返ってみたいと思います。

---

秘密鍵の共有

---

古今東西、様々な暗号化方式が開発・使用されてきましたが「秘密鍵の共有による暗号」（＝共通鍵暗号）が基本です。その中でも「一回限りの乱数表」は安全（＝解読されない）と証明されている暗号です。この場合、乱数表が秘密鍵に相当します。

英大文字・小文字、数字、英文に使われる特殊文字を、$0\text{ ～ }127$ の数字でコード化するとします。いま、$n$ 文字以下の平文ひらぶんをコード化して暗号文にしたいとき、「一回限りの乱数表」として必要なのは、$0\text{ ～ }127$ の値をとる乱数が $n$ 個並んだ表です。さらに、

コード化した平文	：　$a_i$
乱数表（秘密鍵）	：　$r_i$
暗号文	：　$b_i$

$$\begin{gathered} 1\le i\le n \\ 0\le a_i\text{, }{r}_i\text{, }{b}_i\le 127 \end{gathered}$$

とするとき、「乱数 $r_i$ の値に依存して、$a_i$ を $b_i$ に１対１に変換する関数 $f$」を決めておきます。そうすると、

$b_i=f\left(a_i,r_i\right)$

の変換で暗号文 $b_i$ が得られます。この関数 $f$ は $128\times 128$ の コード変換テーブルでもいいし、$\left(a_i+r_i\right)mod128$ のような四則演算でもよい。とにかく $r_i$ が違えば別の１対１変換になる関数が条件で、そうすれば逆変換で複号化が可能です。この関数を秘密にする必要はなく、オープンにしてもかまいません。この暗号が安全な理由は、

①	秘密鍵（＝乱数表）の長さが平文と同じ
②	秘密鍵は１回限り（＝使い終わったら捨てる）

の２点によります。もちろん乱数が "真の乱数" であることも重要です。しかし、上の２点を守るためには秘密鍵（乱数表）の長さが膨大になります。使い終わった乱数表のページを破って捨てなければならないからです。そこで実用的には、暗号文のやりとりを始める前に秘密鍵を共有しておき、暗号化はその「秘密鍵にもとづいた何らかの暗号化方式」で行うことになります。こうすると平文の長さが秘密鍵より長くなるので、絶対に安全とは言えなくなります。そこで、解読しにくい（＝強度の高い）暗号化方式の必要性があり、これをめぐって様々な方式が作られてきました。

しかし問題は、最初の「秘密鍵の共有」をどうやってやるかです。結局、秘密鍵を印刷し、アタッシュケースに入れて相手に持参するというような、スパイ映画にでも出てきそうな方法しか本質的には無いわけです。どういうやり方をとるにせよ「秘密鍵の共有」には多大なコストがかかる。

No.310-311「高校数学で理解するRSA暗号の数理」で書いた公開鍵暗号の価値はそういうところにあります。つまり、RSA暗号における暗号化・複号化は巨大な数の "冪剰余" を求める計算になり、これはこれで計算機負荷が高い。そこで、まずRSA暗号を使って秘密鍵を共有しておき、以降はその秘密鍵を使う高速な（＝ 計算機負荷の低い）暗号化・複号化方式で通信をするやり方が多くとられます。これは他の公開鍵暗号でも同じです。

その、"公開鍵を使って秘密鍵を共有する" ことを最初に提唱したのが「ディフィー・ヘルマンの鍵共有」でした。そしてこれが、そもそもの「公開鍵の発明」になりました。この鍵共有は、

盗聴されている通信路を使って情報をやりとりすることで、秘密鍵の共有を安全に実現する

ためのアルゴリズムです。どうしてそんなことができるのかが、以降です。

---

９. ディフィー・ヘルマンの鍵共有

---

ディフィー・ヘルマンの鍵共有は次のように進みます。まず「公開鍵センター」が "皆が使う公開鍵"として、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は小さな整数

のペアを公開しておきます。次に、$A$ さんと $B$ さんが秘密鍵を共有したい場合、

$A$ は、$1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a\left(modp\right)$ を $A$ の公開鍵として（盗聴されている通信路を介して） $B$ に送付

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。次に同様に、

$B$ は、$1<b<\left($ p$-1\right)$ である乱数 $b$ を発生させ、$g^b\left(modp\right)$ を $B$ の公開鍵として（盗聴されている通信路を介して） $A$ に送付

します。もちろん $b$ は秘匿します。そして、

$A$ は $G_a={\left(g^b\right)}^a\left(modp\right)$ を共有の秘密鍵

$B$ は $G_b={\left(g^a\right)}^b\left(modp\right)$ を共有の秘密鍵

とします。この作り方から $G_a=G_b$ となるので、秘密鍵 $G=g^{ab}\left(modp\right)$ が共有できたことになり、以降はこれを使って暗号化通信を行います。大切なことは $A$ は $B$ の秘密鍵（$b$）を知らないし、$B$ は $A$ の秘密鍵（$a$）を知らないことです。それでも秘密鍵 $G$（$=G_a=G_b$）を共有できるわけです。

ちなみに、以上のプロセスに出てくる $g^a\left(modp\right)$ などの "冪剰余" の計算ですが、たとえ $a$ や $p$ が巨大数であっても効率的に計算できることを、No.311「高校数学で理解するRSA暗号の数理（２）」の「累乗の剰余を求めるアルゴリズム」で書きました。

以上の仕組みにおいて通信路が盗聴されたとしても安全なのは、$A$ の公開鍵 $g^a$ から $a$ を求めるのが困難なことと、同様に $g^b$ から $b$ を求めるのが困難なことです。なぜ困難かとい言うと、一つは $p$ が巨大な素数だからであり（10進数で数百桁か 1000桁以上）、また $g$ が「生成元」（原始根ともいう）だからです。

以降でその「生成元」とは何か、盗聴者が公開鍵から $A$ と $B$ の秘密鍵（$a$ と $b$）をなぜ計算できないのかという、ディフィー・ヘルマンの鍵共有の数学的背景を概観します。以下の説明では「高校数学程度の知識だけ」を前提としますが（＝ タイトルの "高校数学で理解する" の意味）、No.310-311「高校数学で理解するRSA暗号の数理」での各種説明は既知とします。特に、

合同
拡張ユークリッドの互除法
フェルマの小定理
冪剰余の計算アルゴリズム
オイラー関数

の知識を前提とします。

---

10. 有限体（${\mathbb{F}}_p$）と乗法群（${\mathbb{F}}_p^{\ast }$）

---

一般に加減乗除が定義された集合を "体（Field）" と言います。有理数、実数、複素数は "体" です。さらに No.310「高校数学で理解するRSA暗号の数理（１）」の終わりの方に書いたように、$p$ を素数とし、$p$ 未満の自然数と $0$ を合わせた集合も "体" となり、${\mathbb{F}}_p$ で表します。この集合は元の数が有限なので、有限体です。

${\mathbb{F}}_p$ における演算は、加算・減算・乗算については普通の整数のように行い、その答に対して$\left(modp\right)$ の演算を行って、「答と合同である ${\mathbb{F}}_p$ の元」を求めて演算結果にします（${\mathbb{F}}_p$ は、ここでは $\mathbb{Z}/p\mathbb{Z}$ で表される "整数の剰余類の集合" と同じ意味）。

除算は逆数（＝逆元）を乗算する演算で行います。${\mathbb{F}}_p$ においては 2.3b により、$0$ 以外の元に対して逆元（逆数）が存在します。2.3b を再掲すると次の通りです。

2.3b	逆数の存在：法が素数
$p$ を素数とする。$p$ 未満の自然数 $a$ に対して、 $a·b\equiv 1\left(modp\right)$ を満たす逆数 $b$ が $1\le b<p$ の範囲で一意に定まる。また、異なる $a$ に対する逆数 $b$ は異なる。

No.310 でやったように、${\mathbb{F}}_{13}$ の場合で "逆数" がどうなっているかを（＝ かけ算で $1$ になる場合を）計算してみると、

$\begin{array}{rr}1·& 1\equiv 1\left(mod13\right)\\ 2·& 7\equiv 1\left(mod13\right)\\ 3·& 9\equiv 1\left(mod13\right)\\ 4·& 10\equiv 1\left(mod13\right)\\ 5·& 8\equiv 1\left(mod13\right)\\ 6·& 11\equiv 1\left(mod13\right)\\ 7·& 2\equiv 1\left(mod13\right)\\ 8·& 5\equiv 1\left(mod13\right)\\ 9·& 3\equiv 1\left(mod13\right)\\ 10·& 4\equiv 1\left(mod13\right)\\ 11·& 6\equiv 1\left(mod13\right)\\ 12·& 12\equiv 1\left(mod13\right)\end{array}$

となります。以上のことから、${\mathbb{F}}_p$ においては加減乗除が定義できて有限体となるわけです。

ここで ${\mathbb{F}}_p$ から $0$ 元 を除いた「$p$ 未満の自然数の集合」を考えると、この集合では乗算と除算が定義できます。従って、この集合は「乗法群」になり、${\mathbb{F}}_p^{\ast }$ と表記します。ちなみに "群（group）" とは、何らかの二項演算 $\times$ があって、

（結合則）	$\left(a\times b\right)\times c=a\times \left(b\times c\right)$
（単位元）	$a\times 1=1\times a=a$ となる元 $1$ が存在
（逆元）	$a\times b=b\times a=1$ となる $b$ が、任意の $a$ について存在

の３つの条件を満たす、"演算が定義された集合" です。以降の記述は、すべて乗法群 ${\mathbb{F}}_p^{\ast }$ での演算とします。従って $\equiv$ は $=$ と書き、$\left(modp\right)$ は記述しません。

---

11. 位数（order）

---

${\mathbb{F}}_p^{\ast }$ における冪べき乗がどうなっているか、その例として ${\mathbb{F}}_{13}^{\ast }$ で計算してみます。まず、フェルマの小定理（3.1）により、${\mathbb{F}}_{13}^{\ast }$ の元 $a$ について、

$a^{12}=1$

が成り立ちます。つまり、すべての元は $12$ 乗すると $1$ になる。では、冪乗が $1$ になるためには必ず $12$ 乗しなければならないのでしょうか。ためしに $5$ の冪乗を（${\mathbb{F}}_{13}^{\ast }$ で）計算してみると、

$\begin{array}{ll}{5}^1& =5\\ 5^2& =12\\ 5^3& =8\\ 5^4& =1\\ 5^5& =5\\ 5^6& =12\\ 5^7& =8\\ 5^8& =1\\ 5^9& =5\\ 5^{10}& =12\\ 5^{11}& =8\\ 5^{12}& =1\end{array}$

となって、$5^4$ で $1$ になり、あとはそれが繰り返えされて、$5^{12}$ に至ってフェルマの小定理が示す $1$ になることがわかります。一方、$2$ の冪乗は、

$\begin{array}{ll}{2}^1& =2\\ 2^2& =4\\ 2^3& =8\\ 2^4& =3\\ 2^5& =6\\ 2^6& =12\\ 2^7& =11\\ 2^8& =9\\ 2^9& =5\\ 2^{10}& =10\\ 2^{11}& =7\\ 2^{12}& =1\end{array}$

となり、フェルマの小定理が示す $a^{12}=1$ より小さな冪乗では $1$ になりません。この "冪乗に関する元の振る舞いの違い" が以降のテーマです。

位数の定義

"冪乗に関する元の振る舞いの違い" を表すために、${\mathbb{F}}_p^{\ast }$ の各元に対して「位数（order）」を定義します。

11.1	位数の定義
${\mathbb{F}}_p^{\ast }$ の元 $a$ について、 $a^k=1$ となる最小の $k$ を $a$ の "位数（order）" と言う。

フェルマの小定理により $a^{p-1}=1$ であることが保証されているので、すべての元について何らかの位数が定義できます。先ほどの ${\mathbb{F}}_{13}^{\ast }$ の例だと、

$5$ の位数は $4$
$2$ の位数は $12$

です。位数になりうる数は、最小 $1$（$a=1$ の場合）、最大 $\left(p-1\right)$ の間で、次のようになります。

11.2	位数がとりうる値
$d$ が ${\mathbb{F}}_p^{\ast }$ のある元の位数とすると、$d$ は $\left(p-1\right)$ の約数である。

なぜなら、元 $a$ の位数が $d$ であるとき、$a$ の冪乗を順々に作っていくと $d$ 乗ごとに $1$ になります。一方、フェルマの小定理によって $a$ の $\left(p-1\right)$ 乗は必ず $1$ になるので、$d$ が $\left(p-1\right)$ の約数でないと矛盾が生じます。つまり、位数のバリエーションは $\left(p-1\right)$ の約数の個数しかありません。

このことは直感的理解が可能ですが、次の命題はステップを踏んだ証明が必要です。

位数が $d$ の元の個数

11.3
$\left(p-1\right)$ の約数の一つ $d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元があったとすると、位数 $d$ の元は $\phi \left(d\right)$ 個ある。$\phi \left(d\right)$ はオイラー関数。

これは、$\left(p-1\right)$ の約数 $d$ について、$d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元が $\phi \left(d\right)$ 個あることを主張するものではありません。そうではなく、もし位数 $d$ の元があったとしたら、そのような元は $\phi \left(d\right)$ 個あると言っています。11.3 を証明するために、位数 $d$ の元 $a$ があったとして、その $a$ の冪乗からなる次の数列を作ってみます。

$a^1\text{, }{a}^2\text{, }{a}^3\dots a^d\left(=1\right)$

以降、これを、

$a^k\left(1\le k\le d\right)$

と表記し、この $d$ 個の数列の性質を調べます。

11.3a
$a^k\left(1\le k\le d\right)$ の $d$ 個の元はすべて異なる。

$1\le i\text{, }j\le d$ として、もし

$a^j=a^i$

となったとします。両辺を $a^i$ で割ると（＝ $a^i$ の逆元を乗算すると）、

$a^{j-i}=1$

となりますが、$\left(j-i\right)<d$ なので、これは「$a$ 冪乗が $1$ になる最小の冪数が $d$」という位数の定義に反します。従って $a^k\left(1\le k\le d\right)$ はすべて異なっています。

11.3b
$a^k\left(1\le k\le d\right)$ の $d$ 個の元は、すべて $d$ 乗 すると $1$ になる。

これは ${\left(a^k\right)}^d={\left(a^d\right)}^k=1$ ということです。

11.3c
$d$ 乗 すると $1$ になる ${\mathbb{F}}_p^{\ast }$ の元は、$a^k\left(1\le k\le d\right)$ がそのすべてである。

$d$ 乗 すると $1$ になる元は $x^d=1$ という ${\mathbb{F}}_p^{\ast }$ における式を満たします。これはすなわち、有限体 ${\mathbb{F}}_p$ における $d$ 次方程式 $x^d-1=0$ の解です。そして $d$ 次方程式の解は 高々 $d$ 個です。

これは、たとえば $4$ 次方程式 $x^4-1=0$ の解の個数は、実数の範囲で（＝ 実数体での方程式として）$2$ 個（$\pm 1$）であり、複素数の範囲で（＝複素数体での方程式として）$4$ 個（$\pm 1\text{, }\pm i$）であることを言っています。これは加減乗除が定義された "体" であれば言えます。

$a^k\left(1\le k\le d\right)$ は、

・	$d$ 個の、すべてが相異なる元であり（11.3a）
・	$d$ 乗すれば $1$（11.3b）

でした。このような元は ${\mathbb{F}}_p^{\ast }$ の中に高々 $d$ 個しかありません。従って、$d$ 乗 すると $1$ になる ${\mathbb{F}}_p^{\ast }$ の元は $a^k\left(1\le k\le d\right)$ の $d$ 個がそのすべてということになります。

11.3d
${\mathbb{F}}_p^{\ast }$ において位数 $d$ の元 $a$ があったとしたら、それは $a^k\left(1\le k\le d\right)$ の中に含まれている。

位数 $d$ の元は $d$ 乗すると $1$ になります。一方、11.3c より $d$ 乗すると $1$ になる元は $a^k\left(1\le k\le d\right)$ がそのすべてです。つまり位数 $d$ の元があったとしたら、それは $a^k\left(1\le k\le d\right)$ に含まれることになります。

これはもちろん、$a^k\left(1\le k\le d\right)$ のすべての元の位数が $d$ ということではありません。各元の位数は $d$ かもしれないが、そうでない（＝ 位数が $d$ より小さい）かもしれない。ここで、$a^k\left(1\le k\le d\right)$ の各元の位数は次のように分類できます。

11.3e
$gcd\left(j,d\right)\ne 1$ である $$ j$\left(1\le j\le d\right)$ をとると、$a^j$ の位数は $d$ より小さい。

$gcd\left(j,d\right)=c>1$ とします。すると、２つの数 $s$ と $t$ を選んで、

$$\begin{gathered} j=cs\left(s<j\right) \\ d=ct\left(t<d\right) \end{gathered}$$

と書き表せます。ここで、$a^j$ の $t$ 乗をとると、

${\left(a^j\right)}^t=a^{cst}={\left(a^d\right)}^s=1$

となり、$a^j$ の位数は $t$ 以下であることが分かりますが、$t<d$ だったので、$a^j$ の位数は $d$ より小さいことになります。

11.3f
$gcd\left(j,d\right)=1$ である $$ j$\left(1\le j<d\right)$ をとると、$a^j$ の位数は $d$ である。

${\left(a^j\right)}^k\left(1\le k\le d\right)$ がどうなるかを調べます。まず、$k=d$ のときは、11.3b により ${\left(a^j\right)}^k=1$ です。

次に $1\le k<d$ の場合ですが、このとき $jk$ は $d$ の倍数とはなりません。なぜなら、もし $d$ の倍数だとすると $d|\left(jk\right)$ ですが、$j$ と $d$ は互いに素なため、1.3a により $d|k$ となって矛盾が生じるからです。従って、ある数 $s$ と $t$ を選んで。

$jk=td+s\left(0<s<d\right)$

と表すことができます。そうすると、

$$\begin{gathered} {\left(a^j\right)}^k=a^{td+s} \\ \phantom{{\left(a^j\right)}^k}={\left(a^d\right)}^t·a^s \\ \phantom{{\left(a^j\right)}^k}=a^s\ne 1 \end{gathered}$$

となります。$s<d$ なので位数の定義により $a^s$ は $1$ にはならないのです。まとめると、

$$\begin{gathered} {\left(a^j\right)}^k\ne 1\left(1\le k<d\right) \\ {\left(a^j\right)}^k=1\left(k=d\right) \end{gathered}$$

となり、定義により $a^j$ の位数は $d$ です。結局、11.3e と 11.3f により、次のことが分かります。

11.3g
$a^k\left(1\le k\le d\right)$ の中には 位数 $d$ の元が $\phi \left(d\right)$ 個ある。

11.3e と 11.3f により、$gcd\left(j,d\right)=1$ である $$ j$\left(1\le j<d\right)$ の場合だけ（＝ $j$ が $d$ と素なときだけ）$a^j$ の位数は $d$ であり、それ以外の $a^j$ の位数は $d$ より小さいことが分かりました。オイラー関数の定義から、$d$ 以下で $d$ と素な数は $\phi \left(d\right)$ 個です。つまり 11.3g が成り立ちます。

---

以上の 11.3d と 11.3g、つまり、

11.3d

${\mathbb{F}}_p^{\ast }$ において位数 $d$ の元 $a$ があったとしたら、それは $a^k\left(1\le k\le d\right)$ の中に含まれる。

11.3g

$a^k\left(1\le k\le d\right)$ の中には 位数 $d$ の元が $\phi \left(d\right)$ 個ある。

の２つから、

11.3

$\left(p-1\right)$ の約数の一つ $d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元があったとすると、位数 $d$ の元は $\phi \left(d\right)$ 個ある。

が証明できました。

---

ここまでの考察を次のようにまとめることができます。

・	${\mathbb{F}}_p^{\ast }$ の各元の位数は $\left(p-1\right)$ の約数である（11.2）
・	位数 $d$ の元の個数は $\phi \left(d\right)$ か $0$ である（11.3）。

ここで 位数 $d$ の元の個数を $\#ord\left(d\right)$ と書くことにします。$\#ord\left(d\right)=\phi \left(d\right)$、もしくは $\#ord\left(d\right)=0$ です。$d$ は $\left(p-1\right)$ の約数 のどれかでした。この記号を使うと次の通りとなります。

11.4
${\displaystyle \sum _{d|\left(p-1\right)}}\#ord\left(d\right)=p-1$ ・  $\#ord\left(d\right)$ は位数 $d$ の元の個数で、$\phi \left(d\right)$ か $0$ のとちらか。 ・  $d|\left(p-1\right)$ は、$\left(p-1\right)$ を割り切る $d$（＝ $p-1$ の約数である $d$）の全部についての総和をとる意味。

${\mathbb{F}}_p^{\ast }$ の元のすべてに位数が定義できます。ということは ${\mathbb{F}}_p^{\ast }$ の元を位数によってグループに分類できます。従って、各グループの元の個数の総和をとると、${\mathbb{F}}_p^{\ast }$ の元の個数である $p-1$ になる。11.4 の総和の式はそのことを言っています。

---

そこで次に、$\left(p-1\right)$ の個々の約数 $d$ について $\#ord\left(d\right)$ が $\phi \left(d\right)$ か $0$ かが問題になりますが、それは次の「オイラー関数の総和定理」から分かります。

オイラー関数の総和定理

11.5	オイラー関数の総和
$N$ を任意の自然数とするとき、 ${\displaystyle \sum _{d|N}}\phi \left(d\right)=N$ が成り立つ。$d|N$ は $N$ の約数 $d$ すべてについての総和をとる。

この "総和定理" は、特に ${\mathbb{F}}_p^{\ast }$ や位数とは関係がなく、自然数一般についての定理です。この定理を証明する前提として、次の２つに注意します。まず、２つの自然数 $a$ と $b$ の最大公約数を $gcd\left(a,b\right)$ とすると、

${\displaystyle \frac{a}{gcd\left(a,b\right)}}$ と ${\displaystyle \frac{b}{gcd\left(a,b\right)}}$ は互いに素

です。これは最大公約数の定義そのものであり、そういう風に決めたのが最大公約数でした。２番目に、$N$ の約数の一つが $a$ だとすると $N=a·b$ と表せますが、当然、$b$ も $N$ の約数の一つです。いま、$N$ が $r$ 個の約数をもつとします。すると、

$a_i\left(1\le i\le r\right)$ が $N$ のすべての約数であれば、$b_i={\displaystyle \frac{N}{a_i}}\left(1\le i\le r\right)$ も $N$ のすべての約数であり、つまり $b_i$ は $a_i$ を並び替えたものである

と言えます。この２つを前提に、まず $N=12$ の場合で考えます。いま、$1$ から $12$ の $12$ 個の整数を「$12$との最大公約数で分類する」ことを考えます。$12$ の約数 $d$ は、$1$、$2$、$3$、$4$、$6$、$12$ の $6$ つです。従って $1$ から $12$ の数を、$S_1,S_2,S_3,S_4,S_6,S_{12}$ の $6$ つのグループに分類します。すると各グループに含まれる整数は、

$\begin{array}{ll}{S}_1& =[ 1,5,7,11 ]\\ S_2& =[ 2,10 ]\\ S_3& =[ 3,9 ]\\ S_4& =[ 4,8 ]\\ S_6& =[ 6 ]\\ S_{12}& =[ 12 ]\end{array}$

となります。いま、各グループに含まれる整数の個数を ${\mathrm{\#S}}_d$ で表して、各グループの個数がどうなるかを見ていきます。まず、

${\mathrm{\#S}}_1=\phi \left(12\right)$

です。$S_1$ に含まれるのは、$12$との最大公約数が $1$ の整数（＝ $12$ と素な整数）なので、オイラー関数の定義により ${\mathrm{\#S}}_1$ は $\phi \left(12\right)=4$ です。

次に、$S_2$ に含まれる整数 $[ 2,10 ]$を、$12$ との最大公約数の $2$ で割り算した $[ 1,5 ]$ を考えると、これらの整数は $12$ を $2$ で割り算した $6$ と互いに素です。これは上に書いたように最大公約数の定義そのものです。従って、

${\mathrm{\#S}}_2=\phi \left(6\right)$

となります。同様にして、残りのグループについては、

$\begin{array}{ll}{\mathrm{\#S}}_3& =\phi \left(4\right)\\ {\mathrm{\#S}}_4& =\phi \left(3\right)\\ {\mathrm{\#S}}_6& =\phi \left(2\right)\\ {\mathrm{\#S}}_{12}& =\phi \left(1\right)\end{array}$

となります。$S_d$ は $12$個 の整数を分類したものだったので、そこに含まれる整数の総数は $12$ です。これにより、

$$\begin{gathered} \phi \left(12\right)+\phi \left(6\right)+\phi \left(4\right)+ \\ \phi \left(3\right)+\phi \left(2\right)+\phi \left(1\right)=12 \end{gathered}$$

が証明できました。これを総和の記号で書くと、

${\displaystyle \sum _{d|12}}\phi \left(d\right)=12$

です。

---

以上の説明では $N=12$ としましたが、$12$ という数に特別な意味はありません。従って、一般の $N$ の場合にも同様に証明ができます。

$N$ が $r$ 個の約数をもつとし、それらを $a_i\left(1\le i\le r\right)$ とします。集合 $S$ の元を $1$ から $N$ の 整数 $N$ 個とし、これらの $S$ の元を「$N$ との最大公約数で $r$ 個の部分集合に分ける」ことを考えます。つまり、$S$ の部分集合 $S_i\left(1\le i\le r\right)$ を、

$S_i$：$N$ との最大公約数が $a_i$ である $S$ の元の集合

とします。このとき $S_i$ の任意の元を $k$ とすると、最大公約数の定義により、

${\displaystyle \frac{k}{a_i}}$ は ${\displaystyle \frac{N}{a_i}}$ と互いに素

になります。そもそも、そのような元 $k$ を集めたのが $S_i$ なのでした。このことから、

$S_i$ の元の個数は、${\displaystyle \frac{N}{a_i}}$ と素である $S$ の元の個数

ということになります。$S_i$ の元の個数を ${\mathrm{\#S}}_i$ と書くと、

${\mathrm{\#S}}_i=\phi \left({\displaystyle \frac{N}{a_i}}\right)$

になります。ここで $b_i$ を、

$b_i={\displaystyle \frac{N}{a_i}}\left(1\le i\le r\right)$

と定義すると、

${\mathrm{\#S}}_i=\phi \left(b_i\right)$

となりますが、上に書いたように、この $b_i$ は $r$ 個の $N$ の約数のすべてであり、つまり $a_i$ を並び替えたものです。

ここで上式の両辺の $1$ から $r$ までの総和をとります。まず左辺の総和ですが、$S_i$ は $S$ を分類したものだったので、${\mathrm{\#S}}_i$ の総和は $S$ の元の総数である $N$ と等しくなります。つまり左辺の総和は、

${\displaystyle \sum _{i=1}^r}{\mathrm{\#S}}_i=N$

です。一方、右辺の総和は、

$\begin{array}{ll}{\displaystyle \sum _{i=1}^r}\phi \left(b_i\right)& ={\displaystyle \sum _{i=1}^r}\phi \left(a_i\right)\\ & ={\displaystyle \sum _{d|N}}\phi \left(d\right)\end{array}$

です。以上の左辺と右辺の総和が等しいことにより、11.5 の

${\displaystyle \sum _{d|N}}\phi \left(d\right)=N$

が証明できました。

位数 $d$ の元の存在定理

11.5 の "オイラー関数の総和定理" と 11.4 を合わせると、次の命題が証明できます。

11.6
${\mathbb{F}}_p^{\ast }$ において、$\left(p-1\right)$ の約数 $d$ のすべてについて位数 $d$ をもつ元が存在し、その個数は $\phi \left(d\right)$ 個である。

11.4 を振り返ってみると、

${\displaystyle \sum _{d|\left(p-1\right)}}\#ord\left(d\right)=p-1$

・	$\#ord\left(d\right)$ は位数 $d$ の元の個数で、$\phi \left(d\right)$ か $0$

でした。しかし 11.5 のオイラー関数の総和定理で $N=p-1$ とおくと、

${\displaystyle \sum _{d|\left(p-1\right)}}\phi \left(d\right)=p-1$

となります。これが何を意味するかというと、

${\mathbb{F}}_p^{\ast }$ においては、$\left(p-1\right)$ の約数 $d$ のすべてについて、位数 $d$ をもつ元の個数が $0$ になることはない。位数 $d$ をもつ元の個数は $\phi \left(d\right)$ 個である

ということです。ある位数 $d$ をもつ元の個数が $0$ だとするとオイラーの総和定理（11.5）が成り立たなくなるからです。位数 $d$ をもつ元の個数は $\phi \left(d\right)$ 個しかあり得ない。つまり、$\#ord\left(d\right)=\phi \left(d\right)$ です。これで 11.6 の証明ができました。この 11.6 から生成元の存在が証明でき、その個数が分かります。

---

12. 生成元と離散対数

---

11.6 からすぐに、次の「生成元の存在定理」が成り立ちます。

12.1	生成元の存在
${\mathbb{F}}_p^{\ast }$ においては、位数が $\left(p-1\right)$ の元 $g$ が $\phi \left(p-1\right)$ 個存在する。 $g^k\left(1\le k\le p-1\right)$ はすべて相違し、総数が $\left(p-1\right)$ 個である ${\mathbb{F}}_p^{\ast }$ の元のすべてを尽くす。 $g$ を ${\mathbb{F}}_p^{\ast }$ の生成元（generator）と呼ぶ。

11.6 によると、$\left(p-1\right)$ の約数 $d$ のすべてについて位数 $d$ をもつ元が存在します。$\left(p-1\right)$ の約数の一つが $\left(p-1\right)$ なので、位数が $\left(p-1\right)$ の元が必ず存在します。これが生成元で、その個数は $\phi \left(p-1\right)$ です。

生成元は原始根（primitive root）とも言います。「11. 位数（order）」の最初に書いた例だと、${\mathbb{F}}_{13}^{\ast }$ において $2$ の位数は $12$ であり、生成元（の一つ）なのでした。計算してみると $6$、$7$、$11$ も生成元で、${\mathbb{F}}_{13}^{\ast }$ の生成元の個数は、合計 $\phi \left(12\right)=4$ です。

とにかく、${\mathbb{F}}_p^{\ast }$ の任意の元（＝ $1$ から $p-1$ の元）は生成元 $g$ の冪乗で表現でるきるわけです。つまり、次が成り立ちます。

12.2	離散対数
$g$ を ${\mathbb{F}}_p^{\ast }$ の生成元とする。${\mathbb{F}}_p^{\ast }$ の任意の元 $a$ について、 $g^b=a$ となる元 $b$ が一意に定まる。$b$ を $a$ の離散対数と呼び、 ${log}_g$ a$=b$ で表す。$g$ は離散対数の "底" である。

対数は普通、実数で定義されるものですが、${log}_g$ a$$ はそれと同等のことを整数で定義しています。実数は連続値ですが、整数は離散値をとります。そのため「離散対数」の呼び名があります。

実数の対数を計算する手法はいろいろありますが（初等的にはマクローリン級数など）、離散対数を計算する効率的手法は知られていません。特に、${\mathbb{F}}_p^{\ast }$ において $p$ が巨大な素数だと、実質的に計算が不可能になります。ここが、ディフィー・ヘルマンの鍵共有が成り立つ原理です。ディフィー・ヘルマンの鍵共有を、振り返ってみると次の通りです。まず、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は小さな生成元

のペアを「皆が使う公開鍵」として公開しておきます。演算は ${\mathbb{F}}_p^{\ast }$ で行います。$A$ さんと $B$ さんが秘密鍵を共有したい場合、

$A$ は $1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a$ を $A$ の公開鍵として（盗聴されている通信路を介して） $B$ に送付

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。次に同様に、

$B$ は $1<b<\left($ p$-1\right)$ である乱数 $b$ を発生させ、$g^b$ を $B$ の公開鍵として（盗聴されている通信路を介して） $A$ に送付

します。もちろん $b$ は秘匿します。そして、

$A$ は $G_a={\left(g^b\right)}^a$ を共有の秘密鍵

$B$ は $G_b={\left(g^a\right)}^b$ を共有の秘密鍵

とします。この作り方から $G_a=G_b$ となるので、秘密鍵 $G=g^{ab}$を共有できたことになり、以降はこれを使って暗号化通信を行います。$g$ が生成元であるため、$g^a$ や $g^b$ は、

$1<g^a\text{, }{g}^b<\left(p-1\right)$ の範囲に "バラける"

ことになります。「$g$ は小さな生成元」と書きましたが、生成元はたくさんあり（$\phi \left(p-1\right)$ 個もある！）、${\mathbb{F}}_{13}^{\ast }$ の場合のように $2$ が生成元となる場合が多い。その場合は $g=2$ として問題ありません（小さい生成元の方が実用的には冪剰余を計算しやすい。特に $2$）。生成元として $2$ を選んだとしても、巨大な数で冪乗をすると結果が "バラける" ことが数学的に保証されているからです。

離散対数を計算する効率的な手法は知られていないため、$p$ が 10進数で数百桁とか1000桁以上の数だと、$g^a$ や $g^b$ から $a$ や $b$ を知ることが実質的に不可能になります。これがディフィー・ヘルマンの鍵共有の原理です。

---

13. 生成元を使った暗号化通信

---

ディフィー・ヘルマンの鍵共有の原理を暗号化通信に使うこともできます（ElGamal 暗号）。まず、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は生成元

のペアを「皆が使う公開鍵」として公開しておきます。以下の演算はすべて ${\mathbb{F}}_p^{\ast }$ で行います。$B$ さんから $A$ さんにメッセージを暗号化して送りたい場合、次のようにします。平文を $\mathbb{P}$、暗号文を $\mathbb{C}$ とします。

$A$ は $1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a$ を $A$ の公開鍵として $B$ に送付、ないしは公開

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。$B$ がメッセージ $\mathbb{P}$ を暗号文にして $A$ に送る場合、

$B$ は（暗号文を送るたびに）$1<k<\left($ p$-1\right)$ である乱数 $k$ を発生させ、$\mathbb{C}=\left(g^k\text{, }\mathbb{P}·g^{ak}\right)$ を生成して $A$ に送付

します。$\mathbb{C}$ を受け取ると、

$A$ は $g^k$ と自分の秘密鍵 $a$ から $g^{ak}$ を計算できます。これを使ってメッセージ $\mathbb{P}$ を復号化

します。複号化は $g^{ak}$ の逆数（逆元）を乗算しますが、No.310 の「拡張ユークリッドの互除法」の 2.3a に書いたように、逆数の計算はたとえ $g^{ak}$ や $p$ が巨大数であっても効率的に可能です。

この暗号では暗号文を $\mathbb{P}·g^{ak}$ というようにシンプルに作っているので、$B$ はメッセージを送るたびに「１回限りの秘密鍵」である $k$ をランダムに発生させる必要があります。$B$ が自分の秘密鍵 $b$ と公開鍵 $g^b$ を持っていたとしても、それとは別にする必要がある。$k=b$ というように固定的にすると、複数の暗号文から盗聴者に容易に $g^{ab}$ を知られてしまいます。

これは「離散対数暗号」と呼ばれているものの一つの例ですが、ディフィー・ヘルマンの鍵共有と、暗号文の伝達を同時に行うものと言えます。

---

14. 生成元であることの証明

---

「ディフィー・ヘルマンの鍵共有」や「離散対数暗号」を実現するためには、巨大な素数 $p$ に対する ${\mathbb{F}}_p^{\ast }$ の生成元（のどれか）を知らなければなりません。これはどのように可能でしょうか。まず、

・	生成元は位数が $\left(p-1\right)$ の元であり 12.1
・	位数は $\left(p-1\right)$ の約数に限られる 11.2

ので、$\left(p-1\right)$ の素因数分解ができたとすると約数が分かり、位数の候補がリストアップできます。

一般に $d$ が 元 $a$（$\ne 1$。以降、$a\ne 1$ とします）の位数であることの証明は手間がかかります。$a$ の $d$ 乗が $1$ になったとしても $d$ が $a$ の位数だとは限りません。$d$ よりも小さな数 $e$ で $a^e=1$ となるかもしれないからです。しかし、$d$ が $a$ の位数ではないことは簡単に証明できます。

$a^d\ne 1$

を示せばよいからです。従って、$a$ が ${\mathbb{F}}_p^{\ast }$ の生成元であることを示すためには、$\left(p-1\right)$ の約数のうち $\left(p-1\right)$ 以外のすべての約数 $d$ について、$a^d\ne 1$ であることを示せればよい。すると消去法で、$a$ の位数は $\left(p-1\right)$ になります。この考えに基づき、簡単のために ${\mathbb{F}}_{73}^{\ast }$ で考えると、

$p-1=72=2^3·3^2$

なので $\left(p-1\right)$ の約数は $1$ と $72$ を含めて $4\times 3=12$ 個あります。従って $72$ と $1$ を除いた $10$ 個の約数 $d$ について

$a^d\ne 1$

であれば、$a$ の位数は $72$ しかありえず、$a$ は ${\mathbb{F}}_{73}^{\ast }$ の生成元です。しかし実は、これでは「計算のやりすぎ」になります。この場合、

$$\begin{gathered} a^{24}\ne 1 \\ {a}^{36}\ne 1 \end{gathered}$$

の２つだけが成り立てば、$a$ の位数は $72$ になります。なぜかというと、一般に次の命題が成立するからです。

14.1
${\mathbb{F}}_p^{\ast }$ において、$d$ が $a$ の位数ではないとすると、$d$ の任意の約数 $e$ も $a$ の位数ではない。

$e$ が $d$ の約数だとすると、ある数 $k$ があって $d=ke$ と表せます。このとき、

$a^e=1$ であるなら
$a^d=a^{ke}={\left(a^e\right)}^k=1$

です。このことの対偶をとると

$a^d\ne 1$ であるなら
$a^e\ne 1$

となり、これはつまり、

$d$ が $a$ の位数でないなら、$d$ の任意の約数 $e$ も $a$ の位数ではない

ことを意味します。$p-1=72$ の場合、$72$ を除く $72$（$=2^3·3^2$）の約数は、すべて $24$（$=2^3·3^1$） か $36$（$=2^2·3^2$）のどちらかの（あるいは両方の）約数になります。従って、

$$\begin{gathered} a^{24}\ne 1 \\ {a}^{36}\ne 1 \end{gathered}$$

が示せれば、$72$ を除く $72$ のすべての約数 $d$ について、

$a^d\ne 1$

となり、$d$ は $a$ の位数ではありません。この結果、$a$ の位数は $72$ しかあり得ず、$a$ は ${\mathbb{F}}_{73}^{\ast }$ の生成元であることになります。以上の考察を一般化すると、次の命題が成立します。

14.2
$p$ を素数とし、$\left(p-1\right)$ の素因数分解を、$q_i\left(1\le i\le r\right)$ を素因数として、 $p-1={q_1}^{{\alpha }_1}{q_2}^{{\alpha }_2}\dots {q_r}^{{\alpha }_r}$ と表す。ここで、 $m_i={\displaystyle \frac{p-1}{q_i}}$ とおくと、もし $1$ から $r$ までのすべての $i$ について、 $g^{m_i}\ne 1\left(1\le i\le r\right)$ が成り立つなら、$g$ は ${\mathbb{F}}_p^{\ast }$ の生成元である。

$\left(p-1\right)$ の約数で、$\left(p-1\right)$ 以外の任意の約数を $d$ とし、

$d={q_1}^{{\beta }_1}{q_2}^{{\beta }_2}\dots {q_r}^{{\beta }_r}$

と表します。ここで ${\beta }_i$ は、

$0\le {\beta }_i\le {\alpha }_i\left(1\le i\le r\right)$

です。そうすると、$d$ は $\left(p-1\right)$ 以外の $\left(p-1\right)$ の約数なので、

$d$ の素因数分解の中には、${\beta }_k<{\alpha }_k$ となる $k\left(1\le k\le r\right)$ が少なくとも１つある

ことになります。なぜなら、もしそのような $k$ がなければ $d=p-1$ だからです。そのような $k$ について、命題 14.2 で定義した、

$m_k={\displaystyle \frac{p-1}{q_k}}$

に着目すると、$d$ は $m_k$ の約数になります。なぜなら、$d$ と $m_k$ の「素因数ごとの冪乗数」を比較してみると、

${\beta }_i\le {\alpha }_i\left(1\le i\le r\text{, }i\ne k\right)$
${\beta }_k\le {\alpha }_k-1$ （仮定により ${\beta }_k<{\alpha }_k$ だから）

であり、$d$ のすべての素因数の冪乗数は $m_k$ の素因数の冪乗数以下です。つまり $m_k$ は $d$ で割り切れ、$d$ は $m_k$ の約数ということになります。

一方、命題 14.2 の仮定により、

$g^{m_k}\ne 1$

なので $m_k$ は $g$ の位数ではありません。従って、$m_k$ の約数である $d$ も 14.1 により $g$ の位数とはなりません。

$d$ は $\left(p-1\right)$ 以外の任意の $\left(p-1\right)$ の約数でした。ということは、$\left(p-1\right)$ 以外の $\left(p-1\right)$ の約数は $g$ の位数ではない。つまり消去法で、$g$ の位数は $\left(p-1\right)$ であり、$g$ は ${\mathbb{F}}_p^{\ast }$ の生成元であることが証明されました。

実際に生成元を求める

${\mathbb{F}}_p^{\ast }$ の元 $g$ をとったとき、それが生成元かどうかは 14.2 によって確かめることができます。しかしここで問題は、実用的なディフィー・ヘルマンの鍵共有では $p$ が巨大な素数であり、$\left(p-1\right)$ の素因数分解が実質的に不可能なことです。巨大数の素因数分解が困難なことは、まさにRSA暗号（No.310-311「高校数学で理解するRSA暗号の数理」）が成立する根拠でした。

そこで実際に生成元を求めるためには、$p$ を "作為的に" 決める必要があります。まず前提となるのは、ある数 $p$ が素数であるかどうかの判定法は種々あって（ミラー = ラビン素数判定法、など）、$p$ が巨大数であっても判定可能なことです。この前提のもとに、簡単な方法の例を一つあげますと、次の関係にあるような３つの数 $p$、$q$、$e$ を決めます。

$p=eq+1$

・	$p$、$q$ は巨大素数
・	$e$ は小さな偶数

$p$ と $q$ は10進数で数百桁から1000桁以上の巨大素数（＝ 奇数）、$e$ はたとえば$100$ 以下の（もっと絞れば $10$ 以下の）偶数です。具体的には、まず $q$ をランダムに選んで素数判定をし、素数であれば 次に $e$ を選んで $p$ が素数かどうかを判定するというプロセスになります。

こうすると $\left(p-1\right)$ の素因数分解は簡単にできるので、${\mathbb{F}}_p^{\ast }$ の任意の元 $g$ が生成元かどうかは 14.2 で判定できます。具体的には $g=2$ から始めて 順次 $g$ を増やしていって生成元を探索することになるでしょう。

以上は一つの例ですが、実際に実務で使う $p$ と $g$ については $g=2$ であると、コンピュータによる計算上、都合がよいわけです。従って、$2$ が生成元になる前提で $p$ を探索することになるでしょう。

ちなみに、現在、ディフィー・ヘルマンの鍵共有が実際に使われている例をあげておきます。インターネットを介してリモートのコンピュータ同士が安全に通信するための SSH（Secure Shell）という規格がありますが、そこで使われている公開鍵の一つ "diffie-hellman-group14-sha1"（2048ビットの素数と生成元）は次です。この値はインターネットの規格文書（RFC）に記載されています（RFC3526）。16進数表示ですが、10進数では約600桁の数字です。

diffie-hellman-group14-sha1 [2048bit]

p =
FFFFFFFF FFFFFFFF C90FDAA2 2168C234
C4C6628B 80DC1CD1 29024E08 8A67CC74
020BBEA6 3B139B22 514A0879 8E3404DD
EF9519B3 CD3A431B 302B0A6D F25F1437
4FE1356D 6D51C245 E485B576 625E7EC6
F44C42E9 A637ED6B 0BFF5CB6 F406B7ED
EE386BFB 5A899FA5 AE9F2411 7C4B1FE6
49286651 ECE45B3D C2007CB8 A163BF05
98DA4836 1C55D39A 69163FA8 FD24CF5F
83655D23 DCA3AD96 1C62F356 208552BB
9ED52907 7096966D 670C354E 4ABC9804
F1746C08 CA18217C 32905E46 2E36CE3B
E39E772C 180E8603 9B2783A2 EC07A28F
B5C55DF0 6F4C52C9 DE2BCBF6 95581718
3995497C EA956AE5 15D22618 98FA0510
15728E5A 8AACAA68 FFFFFFFF FFFFFFFF

g = 2

---

ディフィー・ヘルマンの鍵共有の安全性ですが、離散対数問題を効率的に解くアルゴリズムはないと、数学的に証明されているわけではありません。ただ、RSA暗号の根拠になっている素因数分解のアルゴリズムと同じように、こういった数論の極めて基本的で、昔からある普遍的な問題は、世界の多くの数学者が関わってきています。それでも効率的に解くアルゴリズムは知られていません。ブログのタイトルを「高校数学で理解する」とましたが、そのような基礎的な数学しか使っていないからこそ暗号が成り立っている。そう言えると思います。

---

ディフィー・ヘルマンの鍵共有は公開鍵暗号の発端となったものですが、上にあげたように現在でも使われています（DHと略記される）。ただ、公開鍵暗号の優秀性は、「解読の困難性」と「暗号化・複号化計算の容易性」という二律背反の要求をいかに両立させるかにあります。その意味で、ディフィー・ヘルマン以降、各種の公開鍵暗号が開発されてきました。離散対数問題を使った暗号で言うと、よく使われるのは "楕円暗号（楕円曲線暗号）" です。これは「楕円曲線上の有理点がつくる "加法群" での離散対数問題」を利用した暗号です。しかし基本的な考え方はディフィー・ヘルマンの鍵共有と同じです。その意味で、公開鍵暗号の発端となった発明の意義は、今も続いているのでした。

---

まとめ

---

以上の 「ディフィー・ヘルマンの鍵共有」をまとめると、次のようになるでしょう。

◆	公開鍵暗号の発端となった "ディフィー・ヘルマンの鍵共有" は、離散対数問題を解く困難さ（＝実質的に不可能）を根拠とする暗号である。
◆	"ディフィー・ヘルマンの鍵共有" は、有限体（乗法群）やその生成元の存在など、数論の基本のところをベースにできている。
◆	RSA暗号（No.310-311）から通して振り返ってみると、そこでの前提知識は加減乗除と冪乗のルール程度であり、そこから論理を積み重ねていって公開鍵暗号の成立性が証明できる。つまり高校数学程度の知識があれば十分理解できる。

No.310-311 のRSA暗号と同じく、この最後の点がこの記事の目的なのでした。

---

---

タグ：素数 オイラー関数 RSA暗号 公開鍵暗号 冪乗 ディフィー・ヘルマンの鍵共有 有限体 乗法群 位数 オイラー関数の総和 生成元 逆元 離散対数 楕円曲線暗号

No.312 - ダブル・レインボー

先日、新聞を読んでいたらダブル・レインボー（二重の虹。二重虹）のことが出ていました。そして、以前にこのブログで引用した絵画を思い出しました。今回はそのことを書きます。

---

二重の虹

---

まず、ダブル・レインボーについて書かれた朝日新聞の記事を引用します。以降の引用において下線は原文にはありません。

5分間の奇跡　ダブルレインボー 朝日新聞 2021年4月8日(木）夕刊 奈良の里山にかかった二重の虹。第３７回「日本の自然」写真コンテスト（全日本写真連盟など主催）の入選作＝山本一朗さん撮影 虹が二重にかかる「ダブルレインボー」。豊富な水滴や強い太陽光などの条件がそろわないとめったにお目にかかれないため、幸運の象徴とも言われる珍しい現象だ。 大阪府の全日本写真連盟会員、山本一朗さん（75）は、祭りの撮影に訪れた奈良県天理市の里山で、雨宿り中に虹に気づいた。田んぼに駆け出ると、紅白のコブシの頭上に、二重の円弧が橋のようにかかっていた。その時間５分。「一生に一回あるかないか」。びしょぬれになってシャッターを切った。 内側の通常の虹（主虹）が、雨粒の中で太陽光が１回反射して七色の光の帯を見せるのに対し、外側にみえる虹（副虹）は２回反射する。色の並びが内側は赤、外側は紫と、主虹と反対であり、色も薄い。これは反射が１回多いせい。理論上、三重、四重の虹も存在するが、光量が弱く、見ることはできないそうだ。（石倉徹也）

ダブル・レインボーは私も２～３度、見たことがあります。最近では２年ほど前です。早朝、海岸の遊歩道を朝日を背に西に向かって歩いているときに、くっきりと見えました。雨上がりの、湿気のある空気がたちこめている雰囲気だったと記憶しています。

引用した記事には、ダブル・レインボーが見える条件として「豊富な水滴」「強い太陽光」とあります。確かにそうだと思いますが、私の感じではもう一つ条件があって、それは「暗い背景」だと思います。外側の副虹ふくこうは内側の主虹しゅこうに比べて輝度が随分低いわけです。記事にあるように、太陽光が水滴で２回反射するからです。従って、ダブル・レインボーの背景の空（や風景）は、できるだけ暗い方が虹が見えやすい。

私の経験した海岸の遊歩道でも、東の空は雲もなく明るいのに、虹が見える西の空は薄灰色の雲が立ちこめていました。黒雲だともっとはっきりと見えたのでしょう。普通の虹でも背景が重要だと思いますが、輝度が低いダブル・レインボー（の外側の虹）では一層重要である、そう思います。

ともかく、ダブル・レインボーは珍しい現象です。記事の見出しである「5分間の奇跡」の "奇跡" というのは少々言い過ぎだと思いますが、日常生活では滅多にお目にかかれない気象現象なのは確かでしょう。以下にダブル・レインボーが見える原理を示した図を引用しておきます。

ダブル・レインボーが見える原理

光の反射によってできる光線の角度は、主虹（１回反射）が約42度、２回反射した副虹は約51度で、副虹の方が角度が大きい。従って副虹が外側に見える。気象庁の荒木健太郎博士の Twitter より引用した。ちなみに荒木博士は新海誠監督の「天気の子」の気象監修をされた方である（No.271）。

---

このダブル・レインボーで思い出す芸術作品が、パリのオルセー美術館が所蔵しているミレーの『春』という作品です。

---

ジャン = フランソワ・ミレー

---

ジャン = フランソワ・ミレー （1814-1875） 「春」（1868-73）

オルセー美術館 （フランス、パリ）

左上に虹が描かれています。うっかりすると見過ごしそうですが、この虹はダブル・レインボーです。

近景は畑でしょうか。小道があって木立があります。遠方には林が見える。画面の下や左の方は暗いが、近景の半分から向こうの林にまで光が当たっています。雨上がりの光景なのでしょう。遠方の空には、雨を降らせたと思われる黒雲が立ちこめ、空は暗い。その黒雲を背景に、かすかに副虹が見えるダブル・レインボーがかかっています。黒雲の薄暗さが虹を引き立てていて、この雰囲気はダブル・レインボーを実際に見た経験とも合っています。虹の位置関係からすると、背後から強い光があたっているはずです。それは夕日を思わせます。

この絵の題名は『春』なので、春の情景なのでしょう。だけど、何となく幻想的な雰囲気です。手前から遠方に「暗・明・暗」と変化していて、暗と明の世界の同居というか、２つの世界の狭間の光景のような感じがあります。

そして ･･････。

よく見ると、奥の木立のそばに人物が描かれています。さらにもっとよく見ると、空には白い鳥が飛んでいる。これについて三菱一号館美術館の上席学芸員、安井裕雄氏が日本経済新聞にコラムを書いていました。

美の十選・鳥のいる情景 フランス近代絵画より（5） ジャン=フランソワ・ミレー「春」 安井裕雄 三菱一号館美術館 上席学芸員 日本経済新聞 （2021年3月23日） バルビゾン派の画家ミレーは、農民画家と呼ばれる。少なからぬ誤解を招く表現が生き延びているのは、ミレーが描く屋外労働が真に迫っているが為であろう。ノルマンディーの小村グレヴィルの外れの小集落グリュシーに生まれたミレーにとって自然と労働は、身近な存在であった。 パリでの修業を経てミレーはバルビゾンにたどり着く。東にフォンテーヌブローの森、西にはシャイイの平原が控え、豊かな自然にあふれたこの地の厳しい冬、仲間の画家がパリに引き揚げても、ミレーはバルビゾンにとどまった。大地の息吹をとらえたミレーの作品は、豊かな自然の恵みである。 ミレー家の裏には小さな畑があった。風景画家テオドール・ルソーは、裏の畑を通ってやってきたという。前衛的な批評家から高く評価されていたルソーだが、サロンでは不幸な落選を繰り返していた。最後には入選と名誉を手にしたが、ほどなくルソーはミレーの腕の中で息を引き取った。 裏の畑の木の下にいる人物はルソー、空を飛ぶ三羽の白い鳥は、天へと召されていくルソーの魂と解釈される。まもなくミレーの魂も、鳥になって飛び立っていく。 （  1868～73年、油彩、カンバス、86×111センチ、オルセー美術館蔵）

この絵には、うっかりすると見過ごしてしまいそうなアイテムが３つ描かれています。① ダブル・レインボー、② 人物、③ 鳥、の３つです。そして三菱一号館美術館 上席学芸員の安井氏によると、人物はミレーの腕の中で息を引き取ったテオドール・ルソーであり、鳥は天へと召されていくルソーの魂の象徴だというのです。テオドール・ルソーの没年は1867年です（55歳）。つまりこの絵はミレーが、亡くなったルソーの思い出を込めて描いたということになります。

とすると、これは少々複雑な絵です。バルビゾンのミレー家の裏の畑という現実の光景がベースなのだろうけれど、そこに幻想の光景が重ね合わされている。この複雑性が見る人の想像力を刺激するのでしょう。その刺激を受けた一人が黒澤明監督です。

---

黒澤 明

---

ミレーの『春』に触発された映画の一シーンがあります。黒澤明監督（1910-1998）の『夢』（1990）の一場面です。『夢』は８話からなるオムニバス映画で、その第１話が『日照り雨』です。その１シーンがこの映画のポスターになりました。

黒澤明監督作品 「夢」（1990）

近景は美しい花畑で、遠くには暗い山と空、その間をつなぐようにかかる虹、そこに向かうように少年が立っています。このシーンがミレーの『春』へのオマージュです。その『日照り雨』は、次のような話です。

立派な門構えの家から少年が遊びに出ようとしたとき、太陽は出ているのに急に雨が降り出した。少年は母親から「こんな日照り雨の日には狐の嫁入りがある。狐はそれを見られるのが嫌だから、見てしまうと恐ろしいことが起こりますよ」と警告される。

余計に好奇心に駆られた少年は森に分け入り、狐の嫁入りを見てしまう。そして家に帰ったとき、門には母親が恐い顔をして立っていて、少年に短刀を差し出した ･･････。

これを教訓話として考えると「人間は自然を乱すことなく、人間は自然界の掟に従って生きなければならない」ということでしょう。しかしそういう風に考えるよりも、これは黒澤監督の夢の実写化です。"不気味さ・怖さ" と "美しさ" が入り交じった幻想の世界と考えておけばよいのだと思います。

そこで、もう一度、ミレーの『春』をみると、手前は暗いがその向こうから林までに光が当たっています。まるでそのあたりがスポットライトに照らされているようです。これは虹の見える条件（＝背後からの強い光）とはちょっと違う感じがする。

黒澤監督は、ミレーの『春』は現実の光景ではない、幻想の光景だと感じたのではないかと思います。『夢』は、黒澤監督が見た夢を映像化したものです。当然、現実そのものではないファンタジーの世界です。それがミレーの『春』とシンクロした。黒澤監督はもともと画家志望です。自作を展覧会に出品したこともあります。映画監督になってからも、絵コンテを自ら大量に描いたことで有名です。ミレーの絵が好きだったのかどうかは知りませんが、絵画から何かを感じることには長たけていたと考えられます。

余談ですが、絵画からインスピレーションを得た映画として、以前にリドリー・スコット監督の２作品を紹介しました。ジェロームの絵画『差し下おろされた親指』からヒントを得た映画『グラディエーター』（No.203）と、ホッパーの『ナイトホークス』に影響された『ブレードランナー』（No.288）です。黒澤監督とスコット監督は似ていて、２人とも画家としての素養があり、また自ら映画の絵コンテを作成しました。

---

話を、ダブル・レインボーに戻します。しかしなぜ『春』に、滅多に見ることがないダブルレインボーが "微かすかに" 描かれているのでしょうか。黒澤明監督は "一重の普通の虹" で映像化しています。『春』も普通の虹でよいはずです。ここに描かれたダブル・レインボーも幻想の光景なのでしょうか。

しかし、これは現実の光景からヒントを得たのだと考えられます。つまり画家は、バルビゾンの自宅の裏庭から畑ごしにダブルレインボーを見たのだと推察します。というの、も『春』と構図がほぼ同じの『虹』という絵が残っているからです。

---

パステルで描かれたダブル・レインボー

---

その『春』とほぼ同じ構図のパステル画が、ポルトガルの首都・リスボンのグルベンキアン美術館にあります。No.192「グルベンキアン美術館」で引用しましたが、ここに再掲します。

ジャン = フランソワ・ミレー 「虹」（1872/73）

グルベンキアン美術館 （ポルトガル、リスボン）

この絵の題名は『虹』です。その題名どおり、ダブル・レインボーがくっきりと描かれている。これは実際に画家が自宅の裏の畑の方向を見た光景がもとになっていると考えられます。ミレーは、奇跡とは言わないまでも、滅多に出現しないダブル・レインボーを自宅から見て感じ入るところがあった。

このパステル画は、油彩画の『春』とほぼ同じ構図です。ただ、違いもあります。まず、奥の木立へと続く小道が描かれていません。また、空を飛ぶ白い鳥もいない。ただし、奥の木立のそばに小さく人物が描かれているところは共通しています。

ダブル・レインボーないしはもっと一般的に虹が、フランスでどういう象徴性で考えられているのかは知りません。しかし常識的に考えて悪い意味ではないと想像します。意味があるとしたら「幸運」とか「吉兆」でしょう。しかも滅多に見られないダブル・レインボーとなると、その象徴性が倍加されるはずです。

ミレーは珍しいダブル・レインボーを自宅の裏の畑から見て、亡くなったテオドール・ルソーの魂に重ね合わせたのではないでしょうか。だから奥の木立のそばにそっと人物（＝ルソー）を描き込んだ。

画家が同じ構図のパステル画と油絵を制作するという場合、パステル画が先行すると考えるのが普通でしょう。パステル画を制作し、それをもとに油絵バージョンを描く。ミレーの『虹』と『春』の２作の場合もそうだったのではと想像します。

そして油絵にするとき、画家は２つのアイテムを追加した。一つは白い３羽の鳥で、これは天国に召されたルソーの魂です。そしてもう一つは、手前から人物のそばの木立へと続く小道です。この道はミレーとルソーの "絆" を象徴しているのではと思います。と同時に、ダブル・レインボーを画題の中心ではなく、構図の中に盛り込まれた１つの要素の位置づけにした。

---

オルセー美術館の公式サイトによると、この『春』は、テオドール・ルソーのパトロンだったフレデリック・アルトマンという人の依頼で制作された「四季、４部作」の一枚です（完成は1873年）。そして、『夏』『秋』『冬（未完）』の３作は "ミレーらしい" 農民の農作業が画題ですが、『春』だけは違っていて（一見すると）風景画です。しかしその「一見すると風景画」に秘密がある。

"春" は自然と生命が息を吹き返す時期であり、四季の始まりです。亡くなったテオドール・ルソーの思い出として描くには、"春" がピッタリだったのだと思います。

---

補記：セレンゲティの虹

本文の冒頭に引用した朝日新聞のダブル・レインボーの写真は2021年4月8日のものでしたが、それから１ヶ月もたたない2021年5月2日の日本経済新聞（NIKKEI The STYLE）に虹の写真が掲載されました。「虹が立つ草原を行く」と題されたもので、タンザニアのセレンゲティ国立公園で撮影されたものです。草原を行く「ヌーの群れ」と「虹」のツーショット写真です。

「虹がたつ草原を行く　タンザニア」

（日本経済新聞 2021.5.2）

この写真をよく見ると、実はうっすらと副虹が写っているのですね。ほんの微かすかですが ･･････。つまり、ダブル・レインボーの写真ということになります。日経の読者の方も、気がつかなかった人が多いのではないでしょうか。

この写真でよく分かるのは「ダブル・レインボーは程度問題」ということです。くっきりと見える場合もあれば（＝滅多にない）、全く見えないこともあり（＝ほとんどの場合）、その間には無限の段階がある。我々も虹を見たとき、実は外側にある、ほんの微かな副虹を見逃していることがあるのではないでしょうか。そう感じさせるセレンゲティ国立公園の写真でした。

---

---

タグ：夢 オルセー美術館 副虹 グルベンキアン美術館 セレンゲティ 二重虹 主虹 黒澤 明 日照り雨 荒木健太郎 ダブル・レインボー ジャン=フランソワ・ミレー テオドール・ルソー 安井裕雄

No.311 - 高校数学で理解するRSA暗号の数理（２）

（前回より続く）

---

４. RSA暗号の証明

---

4.1	RSA暗号
RSA暗号の公開鍵・秘密鍵の作成方法と暗号化・複号化の計算式を定理として記述すると次の通りです。 $p$ と $q$ を相異なる素数とし、$n=pq$ とする。 $e$ を $m=\left(p-1\right)\left(q-1\right)$ と素な数、$d$ を、$de\equiv 1\left(modm\right)$ を満たす数とする。この前提で、 暗号化：${\mathbb{P}}^e\equiv \mathbb{C}\left(modn\right)$ ならば 複号化：${\mathbb{C}}^d\equiv \mathbb{P}\left(modn\right)$ である。 （ $\mathbb{P}$：平文。$\mathbb{C}$：暗号文 ）

RSA暗号において、暗号化・複号化に必要なのは公開鍵の $\left(e,n\right)$ と 秘密鍵の $d$ であり、それらを生成するのに使った $p$ と $q$ は不要です。というより、$p$ と $q$ ないしは $\left(p-1\right)\left(q-1\right)$ が漏れると暗号が破られてしまうので、これらの数は鍵を生成した後は破棄（情報を安全に抹消）する必要があります。

以下に、上の「複号化の式」が成り立つことを証明します。まず合同式の累乗 1.2 を使って「暗号化の式」の両辺を $d$ 乗すると、

${\mathbb{C}}^d\equiv {\mathbb{P}}^{de}\left(modpq\right)\text{ ⋯ (1)}$

となります。ここで、$de\equiv 1\left(mod\left(p-1\right)\left(q-1\right)\right)$ なので、$de=k\left(p-1\right)\left(q-1\right)+1$ と表現できます。従って、

${\mathbb{P}}^{de}={\mathbb{P}}^{k\left(p-1\right)\left(q-1\right)+1}$

となります。累乗を分解すると、

${\mathbb{P}}^{de}={\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k·\mathbb{P}\text{ ⋯ (2)}$

です。一方、フェルマの小定理 3.1 により、

${\mathbb{P}}^{p-1}\equiv 1\left(modp\right)$

となります。合同式の累乗の定理 1.2 により、この式の両辺を $q-1$ 乗すると、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modp\right)\text{ ⋯ (3)}$

が得られます。さらに、フェルマの小定理 3.1 により、

${\mathbb{P}}^{q-1}\equiv 1\left(modq\right)$

ですが、両辺を $p-1$ 乗して、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modq\right)\text{ ⋯ (4)}$

となります。ここで、$p$ と $q$ は互いに素なので、1.5 の合同式の定理を $\text{(3), (4)}$に適用すると、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modpq\right)$

を導くことができます。この式の両辺を 1.2 を使って $k$ 乗すると、

${\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k\equiv 1\left(modpq\right)$

であり、さらに両辺に合同式の乗算 1.1c を使って $\mathbb{P}$ をかけると、

$$\begin{gathered} {\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k·\mathbb{P}\equiv \mathbb{P}\left(modpq\right) \\ \text{ ⋯ (5)} \end{gathered}$$

となります。従って、$\text{(1), (2), (5)}$ を合わせると、

${\mathbb{C}}^d\equiv \mathbb{P}\left(modpq\right)$

となり、RSA暗号の複号化の式が証明できました。

最小公倍数

以上の証明の過程を改めて振り返ってみると、「$m$ が $\left(p-1\right)$ の倍数であり、かつ $\left(q-1\right)$ の倍数」であれば、RSA暗号は成立することが分かります。つまり「$m$ が $\left(p-1\right)$ と $\left(q-1\right)$ の公倍数」であれば成立する。そのような $m$ は、

$$\begin{gathered} m=n_p\left(p-1\right) \\ m=n_q\left(q-1\right) \end{gathered}$$

の２通りに表現できます。すると、$de\equiv 1\left(modm\right)$ なので、

$$\begin{gathered} de=k_p\left(p-1\right)+1 \\ de=k_q\left(q-1\right)+1 \end{gathered}$$

と２通りに表せます。ここから、

$$\begin{gathered} {\mathbb{P}}^{de}={\mathbb{P}}^{k_p\left(p-1\right)+1} \\ \phantom{{\mathbb{P}}^{de}}=\mathbb{P}·{\left({\mathbb{P}}^{p-1}\right)}^{k_p} \\ \phantom{{\mathbb{P}}^{de}}\equiv \mathbb{P}\left(modp\right) \\ {\mathbb{P}}^{de}={\mathbb{P}}^{k_q\left(q-1\right)+1} \\ \phantom{{\mathbb{P}}^{de}}=\mathbb{P}·{\left({\mathbb{P}}^{q-1}\right)}^{k_q} \\ \phantom{{\mathbb{P}}^{de}}\equiv \mathbb{P}\left(modq\right) \\ {\mathbb{P}}^{de}\equiv \mathbb{P}\left(modpq\right) \\ {\mathbb{C}}^{d\phantom{e}}\equiv \mathbb{P}\left(modpq\right) \end{gathered}$$

となって、平文が復元できます。この考察から分かるのは、$m$ の最小値は「$\left(p-1\right)$ と $\left(q-1\right)$ の最小公倍数」ということです。最小公倍数を $LCM$ で表すと、

$m=LCM\left(p-1,q-1\right)$

であればRSA暗号は成立します。そして一般に、

$LCM\left(a,b\right)={\displaystyle \frac{a\times b}{gcd\left(a,b\right)}}$

です。最大公約数・$\gcd$ は「２. ユークリッドの互除法」を使って高速に計算できるので $p$ や $q$ が巨大数であっても最小公倍数・$LCM$ は計算可能です。

累乗の剰余を求めるアルゴリズム

RSA暗号では、暗号化と複号化で "累乗（冪乗）の剰余"（冪剰余と呼ぶ）を求める計算が出てきます。この計算で使う公開鍵 $\left(e,n\right)$ も秘密鍵 $d$ も、また平文や暗号文も、実用的には10進数で300桁とか、そういった巨大な数です。

しかし巨大な数であっても、累乗の剰余計算ができるアルゴリズムがあります。その一つとして、ここでは「２分割法」で説明します。前回の「RSA暗号の例題」であげた、

$\mathbb{C}={82}^{133}mod\mathrm{143}=4$

の例で説明します。考え方としては「２.ユークリッドの互除法」と同じで、問題をより "小さな問題" に置き換えるというものです。つまり、133乗を求める代わりに

$C_1={82}^{66}mod143$

が求まったとしたら、$\mathbb{C}$ は、

$\mathbb{C}=\left(C_1·C_1·82\right)mod143$

で計算できます。さらに、その $C_1$ は、

$C_2={82}^{33}mod143$

が求まったとしたら、

$C_1=\left(C_2·C_2\right)mod143$

で計算できます。この２分割を次々と続けていくと、82の16乗、8乗、4乗、2乗、1乗を 143 で割った剰余が求まれば良いことになります。これを逆にたどって電卓で順次計算してみると、

$\begin{array}{lr}& \mathrm{mod}143\\ {82}^1& 82\\ {82}^2& 3\\ {82}^4& 9\\ {82}^8& 81\\ {82}^{16}& 126\\ {82}^{33}& 103\\ {82}^{66}& 27\\ {82}^{133}& 4\end{array}$

となり、答の 4 が求まりました。これをプログラム言語で記述すると次の通りです。

4.2	２分割法による冪剰余計算
$P^{e}mod\mathrm{n}$ を求める関数 RSA（Javascriptで記述）。 function RSA( P, e, n ) { 　if( e == 1 ) return P % n; //① 　else { 　 var h=RSA(P, Math.floor(e/2), n); //② 　 var c=( h * h ) % n; //③ 　 if( e % 2 == 0 ) return c; //④ 　 else return ( c * P ) % n; //⑤ 　} }

次はこのアルゴリズムの補足説明です。

①	e が 1 なら P % n が答なので、それを関数値として返す。% は Javascript の剰余演算子で、P mod n と同じ意味。
②	e が 1 でないときは、e を半分（約半分）にして答を求める。Math.floor() は小数点以下を切り捨てる Javascript の組み込み関数。Javascript では実数と整数の区別がないので必要。
③	その "半分の答" を２乗し、剰余を求めて仮の答 c とする。
④	e が偶数なら c が正しい答。それを関数値として返す。
⑤	e が奇数なら c にさらに P を掛け、剰余を求めて関数値として返す。

$e$, $n$, $d$ が10進数で300桁程度の巨大数とします。${$ 2$}^{1000}$ は約300桁の数なので、"２分割法" を使うと1000回程度の剰余計算を繰り返すこと答が求まります。この程度の計算は現在のコンピュータで可能です。ただし可能といっても 1000回の繰り返しはさすがに大変なので、実用的にはこれを高速化する手法がいろいろと開発されています。

「２. ユークリッドの互除法」で、公開鍵 $\left(e,n\right)$ の $e$ と秘密鍵 $d$ について、たとえ巨大数であっても高速に算出できることを書きました。それに加えて、暗号化・複号化で使われる「巨大数の累乗の剰余計算」も算出可能であり、RSA暗号の全体が "計算可能" であることが証明できました。

---

今までのまとめ

---

実用的な RSA暗号を構成するときに必要なのは、巨大な素数 $p$, $q$ （10進数で150桁程度かそれ以上）です。こういった素数をどうやって作り出すか、また素数であることの判定をどうやってするかの計算手法については割愛します。

今までのRSA暗号についての説明全体をまとめると、以下の２点になるでしょう。

◆	RSA暗号は数論（整数論）の基礎から構成されている（合同、ユークリッドの互除法、フェルマの小定理、･････）。
◆	RSA暗号における公開鍵・秘密鍵の生成式、暗号化・復号化の式は、実用的に計算可能である。

RSA暗号は現代の情報化社会にとって必須のものであり、社会インフラの重要な構成要素です。それは、数学が実用的に、かつ直接的に社会に役立っている例なのでした。

RSA暗号とオイラー関数・オイラーの定理

RSA暗号の成立性の証明はこれまでで尽きていますが、以降はRSA暗号と関係が深い「オイラー関数」を説明し、次に「オイラーの定理」を導いて、そこからRSA暗号の原理を導出します。まずその前提としての「中国剰余定理」です。

---

５. 中国剰余定理

---

5～6世紀頃の中国で成立した算術書『孫子算経』に、

3で割ると2余り
5で割ると3余り
7で割ると2余る数は何か

という問題が書かれています。答は23ですが、これを一般化した定理を「中国剰余定理」と呼んでいます。

5.1	中国剰余定理
与えられた $k$ 個の整数、$m_1\text{,}{m}_2\text{,}\dots \text{,}{m}_k$ は、どの２つをとっても互いに素とする。このとき任意に与えられた $k$ 個の整数、$a_1\text{,}{a}_2\text{,}\dots \text{,}{a}_k$ についての $k$ 個の式、 $$\begin{gathered} x\equiv a_1\left(mod{m}_1\right) \\ x\equiv a_2\left(mod{m}_2\right) \\ \text{ ⋮} \\ x\equiv a_k\left(mod{m}_k\right) \end{gathered}$$ を同時に満たす解 $x$ が存在し、この解は $M=m_1{m}_2\dots m_k$を法として唯一である。

$x_1$ と $x_2$ の２つの解があったとします。すると、$mod{m}_1$ の式から、

$$\begin{gathered} x_1\equiv a_1\left(mod{m}_1\right) \\ {x}_2\equiv a_1\left(mod{m}_1\right) \end{gathered}$$

となり、1.1b により、

$x_1-x_2\equiv 0\left(mod{m}_1\right)$

となります。同様に、$mod{m}_2$ の式から、

$x_1-x_2\equiv 0\left(mod{m}_2\right)$

が言えます。$m_1$ と $m_2$ は互いに素なので、ここで 1.5 を適用すると、

$x_1-x_2\equiv 0\left(mod{m}_1{m}_2\right)$

となります。以上のことは $m_3$ から $m_k$ までの全ての式についても言えるので、1.5 を順次適用することにより、

$x_1-x_2\equiv 0\left(mod{m}_1{m}_2\dots m_k\right)$

となります。つまり、

$x_1\equiv x_2\left(modM\right)$

です。従って、解 $x$ が複数あったとしても、それらは全て $M$ を法として合同になります(＝ 解は $M$ を法として唯一）。

---

ここで

$M_i={\displaystyle \frac{M}{m_i}}$

とおくと、$gcd\left(m_i,M_i\right)=1$ なので、2.3 により、

$M_i·N_i\equiv 1\left(mod{m}_i\right)$

となる $N_i$ が存在します。これを使って、

$x={\displaystyle \sum _{i=1}^k}{a}_i{M}_i{N}_i$

とおくと、それが解になります。なぜなら $M_i$ の作り方から $i$ 番目の項以外の項は $m_i$ で割り切れるので、$i$ 番目の項単独で「$m_i$ を法として $x$ と合同」になります。つまり、

$x\equiv a_i{M}_i{N}_i\left(mod{m}_i\right)$

です。一方、合同の性質の 1.4 において $y=1$ とおくと 1.4 は、

$ax\equiv b\left(modm\right)$ かつ、
$\phantom{a}x\equiv 1\left(modm\right)$ のとき、
$a\phantom{x}\equiv b\left(modm\right)$

となります。1.4 の「$x$ が $m$ と互いに素」という条件は、$x\equiv 1\left(modm\right)$ で満たされています。このことを適用すると、

$$\begin{gathered} x\equiv a_i{M}_i{N}_i\left(mod{m}_i\right) \\ {M}_i·N_i\equiv 1\left(mod{m}_i\right) \end{gathered}$$

という２つの条件から、

$x\equiv a_i\left(mod{m}_i\right)$

となります。これが全ての $i$ について成り立つ。従って $x$ が解であることが証明できました。また前段で証明したように全ての解は $M$ を法として合同なので、$x$ が唯一の解です。

---

中国剰余定理の意味を直感的に理解するために、$k=2$、$m_1=3$、$m_2=4$、$M=12$ とし、$x$ の全て解についての対応表を作ってみると次の通りになります。

$\begin{array}{ccc}x& \mathrm{mod}3& \mathrm{mod}4\\ 0& 0& 0\\ 1& 1& 1\\ 2& 2& 2\\ 3& 0& 3\\ 4& 1& 0\\ 5& 2& 1\\ 6& 0& 2\\ 7& 1& 3\\ 8& 2& 0\\ 9& 0& 1\\ 10& 1& 2\\ 11& 2& 3\end{array}$

この表をみると、$012$ を繰り返し並べ（$mod3$ の列）、$0123$ を繰り返し並べると（$mod4$の列）、$3$ と $4$ が互いに素の関係にあるために、$\left(0\text{, }0\right)$ は $3\times 4=\mathrm{12}$ 回繰り返さないと現れないことが分かります。その間、$x$ は12未満の全ての数をとり、$\left(mod3\text{, }mod4\right)$ の全ての組み合わせが現れる。このため、$\left(mod3\text{, }mod4\right)$ の１つの組み合わせに対して解 $x$ が唯一になるわけです。この状況は $k$ がどんな数であっても、$m_k$ がどの２つをとっても互いに素である限り変わらない。

「互いに素」なゆえに成立するこのイメージは、次のオイラー関数の証明に役立ちます。

---

６. オイラー関数

---

レオンハルト・オイラー （Wikipediaより）

オイラー（1707-1783）はスイスのバーゼルに生まれた18世紀ヨーロッパの大数学者です。その業績は多岐に渡り、オイラー ･･･（何とか）という定理や公式、関数、数式、等式、図などがどっさりとあります。

以下の「オイラー関数」は、一般に関数名をギリシャ文字の $\phi$（ファイ）で表記するので「オイラーの $\phi$関数」とも呼ばれています。数論ではたびたび出てくる関数です。

余談ですが、オイラーは20歳台後半で右目を失明しました。ここに掲載した肖像画にもそれが現れています。

6.1	オイラー関数
オイラー関数 $\phi$ の定義は以下のとおり。 $\phi \left(m\right)$　：　$m$ 以下で、$m$ とは互いに素な自然数の個数 $p$、$q$ を相異なる素数とするとき、オイラー関数は次の性質をもつ。 （素数のオイラー関数値） 　　6.1a　$\phi \left(p\right)=p-1$ （素数の積のオイラー関数値） 　　6.1b　$\phi \left(pq\right)=\left(p-1\right)\left(q-1\right)$ （素数の累乗のオイラー関数値） 　　6.1c　$\phi \left(p^{\alpha }\right)=p^{\alpha }-p^{\alpha -1}$ なお「互いに素」は、すなわち「最大公約数が $1$」であり、$gcd\left(1,1\right)=1$なので、$\phi \left(1\right)=1$。

まず 6.1a ですが、素数 $p$ は $p$ 未満のすべての自然数と互いに素です。従って、$\phi \left(p\right)=p-1$ です。

次に $pq$ 以下の数で、$p$ で割り切れるのは $pq$ を含んで $q$ 個、$q$ で割り切れるのは $pq$ を含んで $p$ 個です。$pq$ 以下の数の全体は $pq$ 個なので、$pq$ 以下の数で $p$ でも $q$ でも割り切れない数の個数（＝ $pq$ と互いに素な数の個数）は、

$$\begin{gathered} \phi \left(pq\right)=pq-p-q+1 \\ \phantom{\phi \left(pq\right)}=\left(p-1\right)\left(q-1\right) \end{gathered}$$

です（6.1b）。上の式の１行目で、$-p$ と $-q$ には $pq$ の分が重複しているので $+1$ してあります。

さらに、$p^{\alpha }$ 以下の数で、$p$ の倍数は全て $p^{\alpha }$ と共通の約数 $p$ を持ちます。$p^{\alpha }$ 以下の $p$ の倍数の個数は $p^{\alpha }$ を含んで、

${\displaystyle \frac{p^{\alpha }}{p}}=p^{\alpha -1}$

なので、$\phi \left(p^{\alpha }\right)$は、

$\phi \left(p^{\alpha }\right)=p^{\alpha }-p^{\alpha -1}$

となります（6.1c）。このオイラー関数に関しては、次の「乗法性」が重要です。

6.2	オイラー関数の乗法性
$gcd\left(m,n\right)=1$（ $m$ と $n$ は互いに素 ）のとき $\phi \left(mn\right)=\phi \left(m\right)\phi \left(n\right)$

一般に、関数のこのような性質を "乗法性"、このような関数を "乗法的関数" と呼んでいます。証明は３段階で行います。キーワードは「中国剰余定理」と「１対１対応」です。

第１段

$0\le i<m$、$0\le j<n$ である数を選び $\left(i,j\right)$ のペアを作ります。$i$ の選択肢は $m$ 個、$j$ の選択肢は $n$ 個で、それぞれ独立して選ぶので、相異なる $\left(i,j\right)$ のペアの数は $mn$ 個です。

仮定により $m$ と $n$ は互いに素です。従って、それぞれの $\left(i,j\right)$ のペアについて中国剰余定理 5.1 により、

$$\begin{gathered} x\equiv i\left(modm\right) \\ x\equiv j\left(modn\right) \end{gathered}$$

を同時に満たす $x$ が、$mn$ を法として唯一存在します。つまり $0\le x<mn$ の範囲では $x$ が一意に決まります。これは $\left(i,j\right)$ のペアに $x$ を対応づけられることを意味します。

逆に、$0\le x<mn$ である $x$ を１つ選ぶと、それに対して $modm$ と $modn$ を求めて $\left(i,j\right)$ のペアと対応づけられる。つまり、

$mn$ 個の $\left(i,j\right)$ のペアと $mn$ 個の $x$ の間に１対１対応が作れる

ことになります。

第２段

第１段の方法で作った「１対１に対応する $\left(i,j\right)$ のペアと $x$」については、

$i$ が $m$ と素であるなら、$x$ も $m$ と素

になります。なぜなら、もし $x$ と $m$ に共通の約数 $a$ があったとすると（＝ $a|x$ でかつ $a|m$ ）、中国剰余定理の前提から

$x=km+i$

と表せるので $a|i$ となり、$a$ が $i$ と $m$ の共通の約数にもなってしまって「$i$ が $m$ と素」という仮定に反するからです。全く同様に、

$j$ が $n$ と素であるなら、$x$ も $n$ と素

です。この２つを合わせると、

$\left(i,j\right)$ のペアにおいて「$i$ が $m$ と素」で、かつ「$j$ が $n$ と素」であれば、「１対１対応がつけられた $x$ は $m$ と $n$ の２つの数と素」

になります。「$x$ が $m$ と $n$ の２つの数と素」であることは「$x$ が $mn$ と素」ということに他ほかなりません。つまり、

$\left(i,j\right)$ のペアで「$i$ が $m$ と素」であり、かつ「$j$ が $n$ と素」であれば「$\left(i,j\right)$ と１対１対応がつけられた $x$ は $mn$ と素」

です。その逆に「$x$ が $mn$ と素」であるなら「$x$ は $m$ と $n$ の２つの数と素」です。そうすると中国剰余定理の前提から「$i$ は $m$ と素」でかつ「$j$ は $n$ と素」になります。つまり、まとめると、

$\left(i,j\right)$ のペアのうち「$i$ が $m$ と素で、$j$ が $n$ と素であるペア」は、「$mn$ と素である $x$」と１対１の対応関係がつけられる

ことになります。そして１対１の対応関係がつく集合の要素の数は等しい。ここが証明の根幹です。

第３段

オイラー関数の定義により、

$m$ と素である $i$ の個数は $\phi \left(m\right)$
$n$ と素である $j$ の個数は $\phi \left(n\right)$

です。$i$ と $j$ は独立に選んでいるので、

$\left(i,j\right)$ のペアのうち、「$i$ が $m$ と素」で「$j$ が $n$ と素」のペアの個数は、$\phi \left(m\right)\phi \left(n\right)$

です。さらにオイラー関数の定義により、

$mn$ と素な $x$ の個数は $\phi \left(mn\right)$

になります。第２段で証明したように「$i$ が $m$ と素」で「$j$ が $n$ と素」である $\left(i,j\right)$ のペアと、$mn$ と素である $x$ は１対１の対応関係にあります。従ってその個数は等しく、

$\phi \left(mn\right)=\phi \left(m\right)\phi \left(n\right)$

となって、証明が完成しました。オイラー関数の乗法性を直感的に理解するために、中国剰余定理のところであげた表を使って $\phi \left(12\right)=\phi \left(3\right)\phi \left(4\right)$ のイメージを示したのが次です。$\text{●}$ 印を付けたのはそれぞれ、$12\text{, }3\text{, }4$ とは素な数です。

$\begin{array}{rrr}\mathrm{mn}=12& m=3& n=4\\ \text{0 }& \text{0 }& \text{0 }\\ \text{●1 }& \text{●1 }& \text{●1 }\\ \text{2 }& \text{●2 }& \text{2 }\\ \text{3 }& \text{0 }& \text{●3 }\\ \text{4 }& \text{●1 }& \text{0 }\\ \text{●5 }& \text{●2 }& \text{●1 }\\ \text{6 }& \text{0 }& \text{2 }\\ \text{●7 }& \text{●1 }& \text{●3 }\\ \text{8 }& \text{●2 }& \text{0 }\\ \text{9 }& \text{0 }& \text{●1 }\\ \text{10 }& \text{●1 }& \text{2 }\\ \text{●11 }& \text{●2 }& \text{●3 }\end{array}$

---

このオイラー関数の乗法性（6.2）と素数の累乗のオイラー関数値（6.1c）を用いると、一般の自然数 $N$ のオイラー関数値を求めることができます。つまり素因数分解の一意性により、$p_i$ を素数として、

$N={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$

と表現できます。ここでオイラー関数の乗法性（6.2）を繰り返して使うと、

$\phi \left(N\right)=\phi \left({p_1}^{{\alpha }_1}\right)\phi \left({p_2}^{{\alpha }_2}\right)\dots \phi \left({p_r}^{{\alpha }_r}\right)$

となります。また、素数の累乗のオイラー関数値（6.1c）によって、

$\phi \left({p_i}^{{\alpha }_i}\right)={p_i}^{{\alpha }_i}-{p_i}^{{\alpha }_i-1}$

です。以上を合わせると、任意の数 $N$ のオイラー関数値を求める公式は、

$\begin{array}{l}\phi \left(N\right)\\ =\left({p_1}^{{\alpha }_1}-{p_1}^{{\alpha }_1-1}\right)·\dots ·\left({p_r}^{{\alpha }_r}-{p_r}^{{\alpha }_r-1}\right)\\ {\displaystyle =\frac{{p_1}^{{\alpha }_1}}{p_1}\left(p_1-1\right)·\dots ·\frac{{p_r}^{{\alpha }_r}}{p_r}\left(p_r-1\right)}\\ ={\displaystyle \frac{N}{p_1{p}_2\dots p_r}}·\left(p_1-1\right)·\dots ·\left(p_r-1\right)\end{array}$

となります。つまり、$N$ の素因数分解ができれば $\phi \left(N\right)$ は簡単に求まります。逆に言うと$N$ の素因数分解が困難なら $\phi \left(N\right)$ を求めるのも困難になる。このことが RSA暗号が成立する背景となっています。

ちなみに、上のオイラー関数の公式の末尾の形（色を塗った部分）は、オイラーより以前に江戸時代の和算家・久留島くるしま義太よしひろ（? - 1758）が発見しています。久留島義太は、関孝和、建部たけべ賢弘かたひろとともに三大和算家と呼ばれた人ですが、自分では書物を残すことがなかったので、業績は知人や弟子がまとめたものにしかありません。その一人、仙台藩の天文学者・戸板保佑やすすけの『久氏遺稿』の中に公式の記述ができます（鳴海 風「小説になる江戸時代の数学者」- 日本数学会「市民講演会」2007.3.31 による）。

その書物には $\phi \left(360\right)$ を求める例示があります（これは暗算でも出来ます）。つまり $360=6·6·10$ なので素因数は $2\text{, }3\text{, }5$ だけです。従って $360$ を $2·3·5=30$ で割って（答は $12$）、$1·2·4=8$ を掛けると $\phi \left(360\right)=96$ が求まる。このことが書かれています。この公式には $p_i$ の累乗の部分（${\alpha }^i$）が全く現れません。ちょっと不思議な感じもする公式です。

日本の数学者の中には「久留島・オイラーの関数」と呼ぶ人もいます。"オイラー何とか" という名前の定理や公式はいろいろあるので、その方が分かりやすいかもしれません。

---

７. オイラーによるフェルマの小定理の一般化（オイラーの定理）

---

オイラー関数を使うと、オイラーが発見した「一般化されたフェルマの小定理」の証明ができます。

7.1	オイラーの定理
$a$ を $m$ とは素な数とするとき $a^{\phi \left(m\right)}\equiv 1\left(modm\right)$

$a$ や $m$ に何らかの制約があるわけではなく、２つの数が「互いに素」という条件だけで成立する美しい定理です。これがフェルマの小定理の一般化であることは、$p$ を素数として $m=p$ とおけばフェルマの小定理そのものになることから分かります。

この証明を２段階に分けて行います。まず第１段階で $m$ が素数の累乗の時に成立することを証明し、第２段階でその結果を使って $m$ が一般の数の場合を証明します。

7.2
$p$ を素数とする。 $m=p^{\alpha }$ のとき、7.1 は成り立つ。

$\alpha$ についての数学的帰納法で証明します。まず $$ \alpha $=1$ のときはフェルマの小定理そのものなので成立します。次に $$ \alpha $=k-1\left(k\ge 2\right)$ のときに成立すると仮定します。つまり、

$a^{\phi \left(p^{k-1}\right)}\equiv 1\left(mod{p}^{k-1}\right)$

が成り立つとします。そうすると、ある数 $b$ が存在して、

$a^{\phi \left(p^{k-1}\right)}=1+b{p}^{k-1}$

と表現できます。この式の左辺に 6.1c（素数の累乗のオイラー関数値）を適用すると、

$a^{p^{k-1}-p^{k-2}}=1+b{p}^{k-1}$

となります。この両辺を $p$ 乗し、右辺は２項定理で展開すると、

$\begin{array}{ll}{a}^{p^k-p^{k-1}}& ={\left(1+b{p}^{k-1}\right)}^p\\ & =1+{}_{p}C_1{\left(b{p}^{k-1}\right)}^1\\ & \phantom{=1}+{}_{p}C_2{\left(b{p}^{k-1}\right)}^2+\dots \end{array}$

が得られます。この展開した右辺において、第２項は ${}_{p}C_1=p$ なので $b{p}^k$ となり、$p^k$ で割り切れます。また第３項以降は $2\le i\le p$ として ${}_{p}C_i{b}^i{p}^{\left(k-1\right)i}$ と表せますが、$k\text{, }i\ge 2$ のとき $\left(k-1\right)\left(i-1\right)\ge 1$ であり、この式を変形すると $\left(k-1\right)i\ge k$ となるので、第３項以降も $p^k$ で割り切れます。つまり、展開した第１項の $1$ 以外は $p^k$ で割り切れることになります。従って、

$\begin{array}{ll}{a}^{p^k-p^{k-1}}& \equiv 1\left(mod{p}^k\right)\\ a^{\phi \left(p^k\right)}& \equiv 1\left(mod{p}^k\right)\end{array}$

となります。この結果、7.2 は $$ \alpha $=k-1$ のときに成立するなら $$ \alpha $=k$ のときにも成立することが証明でき、数学的帰納法が完成しました。

---

7.2 を使って 7.1 を証明します。$p_i$ を相異なる素数とし、任意の数 $m$ を、

$m={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$

とおきます。すると 7.2 により、$1\le i\le r$ のそれぞれの $i$ において、

$a^{\phi \left(p^{{\alpha }_i}\right)}\equiv 1\left(mod{p}^{{\alpha }_i}\right)\text{ ⋯ (1)}$

が成立します。ここで、

$n_i={\displaystyle \frac{m}{p^{{\alpha }_i}}}\left(m=n_i·p^{{\alpha }_i}\right)$

とおくと、オイラー関数の乗法性（6.2）により、

$\phi \left(m\right)=\phi \left(n_i\right)\phi \left(p^{{\alpha }_i}\right)$

となります。ここで、この式と合同式の累乗（1.2）を使って $\text{(1)}$ 式の両辺を $\phi \left(n_i\right)$ 乗すると、

$a^{\phi \left(m\right)}\equiv 1\left(mod{p}^{{\alpha }_i}\right)\text{ ⋯ (2)}$

が得られました。$\text{(2)}$ 式は $1\le i\le r$ の $i$ においてそれぞれ成立します。$p_i$ は相異なる素数だったので、ここで 1.5 を順次適用すると、

$a^{\phi \left(m\right)}\equiv 1\left(modm\right)$

となり、7.1 が正しいことが証明されました。

---

7.1 の証明の過程を振り返ってみると、次の 7.3 が成り立つことが分かります。

7.3	オイラーの定理・その２
任意の数 $m$ の素因数分解を、相異なる素数 $p_i\left(1\le i\le r\right)$ を使って、 $m={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$ と表す。$\psi \left(m\right)$ を $r$ 個の $\phi \left({p_i}^{{\alpha }_i}\right)$ の最小公倍数とする（$\psi$ はギリシャ文字のプサイ）。つまり、 $\psi \left(m\right)=LCM\left(\phi \left({p_1}^{{\alpha }_1}\right),\dots ,\phi \left({p_r}^{{\alpha }_r}\right)\right)$ とすると、$m$ と素である数 $a$ について、 $a^{\psi \left(m\right)}\equiv 1\left(modm\right)$ が成り立つ（$LCM=$ 最小公倍数）。

これは 7.1 の証明の後半（＝ 7.2 を使って証明する部分）からすぐに分かります。$\psi \left(m\right)$ の定義から、

$\psi \left(m\right)=k_i·\phi \left({p_i}^{{\alpha }_i}\right)\left(1\le i\le r\right)$

と書き表すことができます。一方 7.2 より、

$a^{\phi \left({p_i}^{{\alpha }_i}\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

が成り立ちます。この合同式の両辺を 1.2（合同式の累乗） に従って $k_i$ 乗すると、

$a^{k_i\phi \left({p_i}^{{\alpha }_i}\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

となり、これから、

$a^{\psi \left(m\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

が得られます。この式は $1\le i\le r$ であるすべての $i$ について成立し、また ${p_i}^{{\alpha }_i}$ は互いに素なので、1.5 を順次適用することで、

$a^{\psi \left(m\right)}\equiv 1\left(modm\right)$

となり、7.3 が証明できました。この証明の過程から、$\psi \left(m\right)$ が最小公倍数でなくても、公倍数であれば成立することが分かります。なお $\psi \left(m\right)$ は一般的な表記ではなく、ここで便宜上使った記号です。

---

オイラーの定理（7.1）と、オイラーの定理・その２（7.3）を

として具体的に書いてみると次の通りです。

$\begin{array}{ll}\phi \left(m\right)& =\phi \left(3\right)·\phi \left(7\right)\\ & =2·6\\ & =12\\ 2^{12}& =4096\\ & =195·21+1\\ & \equiv 1\left(mod21\right)\\ \psi \left(m\right)& =LCM\left(\phi \left(3\right),\phi \left(7\right)\right)\\ & =LCM\left(2,6\right)\\ & =6\\ 2^6& =64\\ & =3·21+1\\ & \equiv 1\left(mod21\right)\end{array}$

オイラーの定理の別証明

いままでは「オイラー関数の乗法性」を導出して、それをもとにオイラーの定理（とその最小公倍数版）を証明しました。しかし単にオイラーの定理だけを証明したいのなら、以下のようにフェルマの小定理（3.1）のときと同じ論法で可能です。

---

$n$ 以下の自然数で $n$ と互いに素である $\phi \left(n\right)$ 個の数を、数列として、

$b_1\text{, }{b}_2\text{, }{b}_3\text{,}\dots b_{\phi \left(n\right)}$

と並べます。これらはすべて相異なる数です。次に $n$ とは素な数 $a$ を選び、数列の全部にかけ算をして新たな数列、

$a{b}_1\text{, }a{b}_2\text{, }a{b}_3\text{,}\dots a{b}_{\phi \left(n\right)}$

を作ります。そして、それぞれの数を $n$ で割った剰余を $r_i$ とします。つまり、

$\begin{array}{lll}a{b}_1& \equiv r_1& \left(modn\right)\\ a{b}_2& \equiv r_2& \left(modn\right)\\ a{b}_2& \equiv r_3& \left(modn\right)\\ \text{⋮}& & \\ a{b}_{\phi \left(n\right)}& \equiv r_{\phi \left(n\right)}& \left(modn\right)\end{array}$

です。$a$ も $b_i$ も $n$ と素なので $r_i$ が $0$ になることはなく、$1\le r_i<n$ です。そして、このようにすると$r_i$ は全て $n$ と素になります。なぜなら、剰余の式を、

$a{b}_i=k_{i}n+r_i$

とするとき、$r_i$ と $n$ に共通の約数があるなら、その約数は $a{b}_i$ の約数にもなり「$a$ も $b_i$ も $n$ と互いに素」という、そもそもの仮定に反するからです。

さらに、$1\le i\text{, }j\le \phi \left(n\right)$ である $i\text{, }j$ について、

$i\ne j$ であれば、必ず $r_i\ne r_j$

になります。なぜなら、もし $r_i=r_j$ とすると、1.1b（合同式の減算）より、

$a\left(b_i-b_j\right)\equiv 0\left(modn\right)$

です。仮定より $a$ は $n$ と互いに素なので 1.3 により（1.3 で $b=0$ の場合）、

$\left(b_i-b_j\right)\equiv 0\left(modn\right)$

となりますが、$1\le b_i\text{, }{b}_j\le n$ なので、

$b_i=b_j$

となり、$b_1\text{, }{b}_2\text{, }{b}_3\text{,}\dots b_{\phi \left(n\right)}$ が相異なる数という仮定に反してしまうからです。つまり$i\ne j$ であれば、必ず $r_i\ne r_j$ です。

ということは、$\phi \left(n\right)$ 個の数、$r_i$ は「すべてが $n$ とは素である、相異なる数」であり、つまり $\phi \left(n\right)$ 個の数、$b_i$を並び替えたものです。従って、

$r_i$ を全部かけ算したものを $R$
$b_i$ を全部かけ算したものを $B$

と書くとすると、

$$\begin{gathered} R=B \\ \left(r_1{r}_2\dots r_{\phi \left(n\right)}=b_1{b}_2\dots b_{\phi \left(n\right)}\right) \end{gathered}$$

となります。そこで、1.1c（合同式の乗算）を上の $\phi \left(n\right)$ 個の合同式に適用して左辺と右辺を全てかけ合わせると、

$a^{\phi \left(n\right)}·B\equiv R\left(modn\right)$ 　つまり、
$a^{\phi \left(n\right)}·B\equiv B\left(modn\right)$

が得られます。ここで、そもそもの定義から $B$ は $n$ と素なので 1.3 を使うと、

$a^{\phi \left(n\right)}\equiv 1\left(modn\right)$

となって証明が完成しました。

---

８. RSA暗号の一般形

---

オイラー関数とオイラーの定理（オイラーによるフェルマの小定理の一般化）を用いると、RSA暗号（4.1）の一般形を次のように記述できます。

8.1	RSA暗号の一般形
$n$ を任意の自然数とし、$e$を $\phi \left(n\right)$ と素な数、$d$ を $de\equiv 1\left(mod\phi \left(n\right)\right)$ を満たす数とする。この前提で、 暗号化：${\mathbb{P}}^e\equiv \mathbb{C}\left(modn\right)$ ならば 複号化：${\mathbb{C}}^d\equiv \mathbb{P}\left(modn\right)$ である。

一般形にしてしまうと、複号化の式の証明はいたってシンプルになります。$de=k\phi \left(n\right)+1$とおくと、

$$\begin{gathered} {\mathbb{C}}^d\equiv {\mathbb{P}}^{de}\left(modn\right) \\ \phantom{{\mathbb{C}}^d}={\mathbb{P}}^{k\phi \left(n\right)+1} \\ \phantom{{\mathbb{C}}^d}=\mathbb{P}·{\left({\mathbb{P}}^{\phi \left(n\right)}\right)}^k \\ \phantom{{\mathbb{C}}^d}\equiv \mathbb{P}\left(modn\right) \end{gathered}$$

となり証明できました。最後の式の変形のところで 7.1 と 1.2（合同式の累乗）を使っています。また 7.3 で証明したように、$\phi \left(n\right)$ の代わりに $\psi \left(n\right)$ （＝ $n$ の素因数それぞれのオイラー関数値の最小公倍数）としても、RSA暗号の一般形は成立します。

実際のRSA暗号は $p$ と $q$ を素数として $n=pq$ とおいたものですが（6.1b）、数学的には $n$ の素因数分解が分かると（素因数の累乗があってもよい） $\phi \left(n\right)$ はすぐに計算できるので（6. オイラー関数）暗号が構成できることになります。それが 8.1 の一般形の意味です。

しかし実用的な暗号のためには、素因数分解が困難であり（＝ $n$ の素因数ができるだけ大きな数であり）、また暗号化・複号化の高速計算のためには $n$ が小さいほど良いので、RSA暗号がその最適解なのでした。

---

全体のまとめ

---

最後に、RSA暗号についての説明全体をまとめると、以下のようになるでしょう。

◆	RSA暗号は数論（整数論）の基礎から構成されている。その基礎には、ユークリッド、孫子算経、フェルマ、オイラーなどによる数学史の重要な発見が詰まっている。
◆	RSA暗号における公開鍵・秘密鍵の生成式、暗号化・復号化の式には巨大数の演算が現れるが、それは実用的に計算可能である。
◆	RSA暗号の原理は、整数の "加減乗除" と "累乗（冪乗）" の知識をベースとして、そこから論理を積み重ねることで理解可能である。つまり「高校数学程度の知識で理解」できる。

この最後の点が、ここに「RSA暗号の数理」を掲載した目的でした。

---

---

タグ：JavaScript ２項定理 アルゴリズム オイラー オイラー関数 数論 平文 RSA暗号 公開鍵 暗号文 数学的帰納法 秘密鍵 公開鍵暗号 互いに素 フェルマの小定理 整数論 オイラーの定理 中国剰余定理 孫子算経 久留島義太 久留島・オイラーの公式 乗法性 乗法的関数

No.310 - 高校数学で理解するRSA暗号の数理（１）

No.235「三角関数を学ぶ理由」では、私たちが学校で勉強を学ぶ目的の一つが「論理的に考える力を養う」こととし、その典型例として数学をとりあげました。数学は「論理のみで成り立っている」からです。そのことを改めて示すために $sin\theta$ の微分が $cos\theta$ になることを、三角関数のそもそもの定義に立ち返って証明しました。

今回はその継続・発展で、別の数学の問題を取り上げます。現代社会で広く使われている公開鍵暗号（その中の RSA暗号）です。これを取り上げる理由は、

◆	2000年にわたる数学（数論 ＝ 整数論）の基礎の上に作られた暗号である。
◆	インターネットの重要技術の一つであり、現代社会のインフラとなっている。
◆	高校生程度の前提知識があれば、論理的思考を積み重ねることで十分に理解できる（＝ タイトルの「高校数学で理解する」の意味）。

の３点です。以下の文章は元々別の目的のために作ったものですが、ここに掲載することにします。

---

公開鍵暗号

---

公開鍵暗号とは、

◆	暗号化の手順と、そこで使用する暗号化のための "鍵" が公開されている（その鍵が "公開鍵"）。
◆	暗号文を解読するための手順も公開されているが、それに使う "鍵" は秘匿されている（その鍵が "秘密鍵"）。

というタイプの暗号です。公開鍵暗号のメリットは多々ありますが、一番のメリットは「鍵を配送するコストがかからない」ことです。全ての鍵を秘匿する暗号だと、その鍵をどうやって配送して暗号化をしたい人に届けるかが大きな問題となります。暗号化通信で配送するというのは解決になりません。その暗号化通信の暗号鍵をどうやって配送するかという問題が残るからです。

公開鍵暗号では暗号化のための鍵がオープンなので、配送のコストはゼロです。暗号文を受け取りたい人が公開鍵と秘密鍵を生成し、公開鍵をオープンにすると誰でもその人に暗号文を送ることができます。

公開鍵暗号の設計の最大のポイントは、あたりまえですが、公開鍵から秘密鍵を推定したり導出したりできないことです。まさにそこに数学が使われていて、暗号文を解読できないようになっています。この「暗号化の鍵を公開してしまう」という革新的なアイデアというか、まさに "究極の逆転の発想" を論文として発表したのは、当時スタンフォード大学の研究者だったディフィー（米）とヘルマン（米）で、1976年のことでした。

ディフィーとヘルマンは公開鍵暗号の発明の功績で、コンピュータ・サイエンス分野のノーベル賞といわれるチューリング賞を 2015年に受賞した。

（https://awards.acm.org/ より）

そのディフィーとヘルマンのアイデアに基づいた最初の暗号が RSA暗号で、現代でも盛んに使われています。これは 1978年に MIT のリベスト（米）、シャミア（イスラエル）、エーデルマン（米）の３人のよって発明され、３人の頭文字をとってRSAと呼ばれています。

実はこの RSA暗号は、実用として何に使ったらいいのか、発表当時は使い道が分からなかったといいます。それが現代ではインターネットによる通信の重要技術として広く使われている。これにはコンピュータの処理速度の飛躍的向上も貢献しています。革新的な技術は、その応用環境が整った時点で、後から実用化される。よくあることです。

RSA暗号を発明した３人は、チューリング賞を 2002年に受賞している。

（https://awards.acm.org/ より）

以下、このRSA暗号の数理を順に見ていきます。

---

RSA暗号の例題

---

まずRSA暗号はどういうものか、それを極めて簡単な例題で説明します。

平文ひらぶん（＝暗号化する文）を $\mathbb{P}$ で、またそれを暗号化した暗号文を $\mathbb{C}$ で表します。例題として平文は１文字だけの英字で、それを整数に変換したものとします。RSA暗号にちなんで大文字の R が平文です。コンピュータで使われる ASCII（アスキー）コードでは、英大文字・英小文字・数字・特殊記号を $1$～$128$ の数で表すので、それを使って数字化すると R は $82$ です。つまり、

$\mathbb{P}=82$

が例題の平文です。

公開鍵は２つの数字のペア $\left(e,n\right)$、秘密鍵は一つの数字 $d$ で、例題としては、

公開鍵 ： $\left(e=133,n=143\right)$
秘密鍵 ： $d=37$

とします。この公開鍵と秘密鍵の作り方は後で述べます。平文から暗号文への変換（＝暗号化）と、暗号文から平文への変換（＝復号化）を次の計算で行います。以降の記述では、$a$ を $b$ で割った余り（＝剰余）を $amodb$ と書きます（プログラム言語やEXCELで $mod\left(a,b\right)$ と書くのと同じ意味です）。

暗号化 ： $\mathbb{C}={\mathbb{P}}^{e}modn$
復号化 ： $\mathbb{P}={\mathbb{C}}^{d}modn$

例題の平文を暗号化の式に入れると、

$\mathbb{C}={82}^{133}mod143=4$

となり、平文 "$82$" に対する暗号文は "$4$" です。${82}^{133}$ は巨大な数ですが、剰余を求めるときにこの巨大数を計算する必要は全くありません。上の程度の計算なら電卓でも簡単にできます。そのやり方は後ほど示します（「4. RSA暗号の証明」）。暗号文の復号化は、暗号文 "$4$" を復号化の式に入れると、

$\mathbb{P}=4^{37}mod143=82$

となり、元の平文である "$82$" が復元できました。なお、この例では平文をわずか１文字（$2^7$ 以下の数字）としましたが、実際に使われる暗号では $2^{1024}$ 程度（10進で約300桁程度）の数字です（＝ 平文を数字化したもの。平文が長い場合は複数に分割）。また、公開鍵 $\left(e,n\right)$ と秘密鍵 $d$ も同程度の大きさの数字です。

この計算で暗号化と復号化が可能なのは、公開鍵と秘密鍵の作り方に工夫があるからです。まず $n$ は２つの素数 $p=11$ と $q=13$ の積です。

また $e$ は、$e$ と $\left(p-1\right)\left(q-1\right)=120$ との最大公約数が $1$ であるように決めてあります。$e=133=7·19$ なので、$133$ と $120$ との共通の約数は $1$ だけです。さらに秘密鍵である $d$ は、

$d·emod\left(p-1\right)\left(q-1\right)=1$

となるように決めてあります。$37·133=4921=41·120+1$ なので成り立っています。このように鍵を仕込んでおくと暗号化と復号化が可能になる。そのことを証明するのが、本記事の目的です。その証明を、前提とする数学知識を最小限にしてやってみたいと思います。

---

公開鍵暗号は「公開鍵から秘密鍵が導出できない」ことが必須です。RSA暗号では、$n=p·q$ と素因数分解ができれば、

$d·emod\left(p-1\right)\left(q-1\right)=1$

の式を解いて $d$ が求まります。しかし実用で使われるRSA暗号は最低でも $n$ の桁数が10進数で300桁程度です（２進数で 1024ビット程度。平文も同等の長さ）。この程度の大きさの整数の素因数分解は、超高速コンピュータをもってしても困難です。もしコンピュータの速度がさらに向上するなら、鍵の桁数をさらに大きくすればよい。この素因数分解の困難性が、RSA暗号が成り立つ理由です。

---

以降でRSA暗号の暗号化と復号化の式が成り立つことの証明を行います。さらに、単に成り立つことだけでなく、RSA暗号に関わる各種の式が計算可能であることの説明をします。"式が正しい" ことと、その "式が実用的に計算可能である" ことは違うからです。素因数分解がまさにその例です。

まず、整数の性質についての用語の定義からです。用語は RSA暗号の式の証明に必要なものだけに絞ります。以降に現れる "数" やそれを表す記号は、ほとんど場合は整数のことですが、自然数（1以上の整数）を意味する場合もあります。どちらかは文脈から明らかなので、いちいち断りなく使います。

---

準備：用語の定義

---

割り切る・約数・因数・最大公約数

整数 $N$ を $a$ で割ったときの余りがゼロのとき、$N$ は $a$ で割り切れると言い、また、$a$ は $N$ を割り切ると言います。このことを記号を使って、

$a|N$

と書きます。またこのときの $a$ を $N$ の約数と呼びます。$N|N$ と $1|N$ は常に成り立つので、$1$ と $N$ は $N$ の約数です。

$N$ が 2つ以上の数の積で表されるとき、そのおのおのの数を $N$ の因数と呼びます。因数は約数と同じものですが、見方の違いと言えるでしょう。

２つの数、$N$ と $M$ があったとき、共通の約数を公約数と言います。また、公約数のうち最大のものを最大公約数と呼び、$gcd\left(N,M\right)$ で表します。

素数と素因数分解

2以上の整数 $N$ の約数が 1 と $N$ のみのとき、$N$ を素数と言い、そうでない数を合成数と言います。合成数は 1 と $N$ 以外の約数を持ちます。約数（＝因数）が素数のとき、それを素因数と呼びます。$N$ が素数の場合は $N$ が素因数です。

合成数は素因数の積で表現できます（＝素因数分解）。なぜなら、定義によって合成数 $N$ は、$1$ でも $N$ でもない数 $a$ と $b$ を使って $N=a·b$ と表現（＝分解）できますが、$a$ や $b$ が合成数なら、さらに分解を繰り返すことによって最終的には素数の積にたどり着くからです。なお便宜上、素数はそれ自身が素因数分解であるとします。

「素数」と「大きな数の素因数分解の困難性」が RSA暗号の基礎になっているのは、例題で説明した通りです。

素因数分解の一意性

素因数分解は、かけ算の順序を無視して一意に決まります（＝素因数分解の一意性）。これは自明のように思えますが、証明をすると次の通りです。

いま（かけ算の順序は無視して）異なった２種類の素数列の積で表現できる合成数がある（＝素因数分解が一意ではない）と仮定します。すると、そのような最小の数、$N$ があるはずです。このとき $N$ は、$p_i$ と $q_i$ を素数として、

$N=p_1{p}_2{p}_3\dots p_r=q_1{q}_2{q}_3\dots q_s$

と表現できます。ここで $p_1$ に着目すると $p_1|N$ なので、$p_1|q_i$ となる $q_i$ があるはずです。かけ算の順序は無視するので、$p_1|q_1$ として一般性を失いません。ところが $q_1$ は素数なので、$q_1=p_1$ しかあり得ない。そこで式の全体を $p_1$ で割ると、

$\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.=p_2{p}_3\dots p_r=q_2{q}_3\dots q_s$

となります。これは $\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.$ が２つの異なった形に素因数分解できることを示しています。ところが $\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.$ は $N$ より小さい数なので「$N$ が２つの異なった形に素因数分解できる最小の数」ということに矛盾します。従って「２つの異なった形で素因数分解できる数がある」という仮定が誤りであり、素因数分解の一意性が示されました。

互いに素

整数 $N$ と 整数 $M$ の最大公約数が $1$ のとき、つまり $gcd\left(N,M\right)=1$ のとき、「$N$ と $M$ は互いに素である」と言います。これは $N$ と $M$ が共通の素因数を持たないことと同じです。なお、$gcd\left(N,1\right)=1$ は常に成り立つので、$1$ は他の数と互いに素です。

以降の、RSA暗号の証明に至るプロセスでは「互いに素」に関連した数々の定理や証明が出てきます。RSA暗号は「素数」と「互いに素」の上に構築された暗号です。

---

用語の定義はここまでです。以降はRSA暗号の成立性の証明に入ります。まず、数の "合同" の概念からです。

---

１. 合同

---

合同の概念はRSA暗号の根幹の一つです。$m$ を 2 以上の整数とするとき、２つの整数 $a$, $b$ について

・	$a$ を $m$ で割ったときの余りと、$b$ を $m$ で割ったときの余りが等しいとき、 あるいは同じことで、
・	$\left(a-b\right)$ が $m$ で割り切れるとき、つまり $m|\left(a-b\right)$ のとき、

$a$ と $b$ は $m$ を法として合同であると言い、

$a\equiv b\left(modm\right)$

と書きます。少々ややこしいですが、はじめに書いたように $amodb$ とすると「$a$ を $b$ で割った余り」の意味です。以下に、合同の性質でRSA暗号の証明に必要なものをあげます。

1.1
$a\equiv b\left(modm\right)$　かつ、 $c\equiv d\left(modm\right)$　のとき、 1.1a　$a+c\equiv b+d\left(modm\right)$ 1.1b　$a-c\equiv b-d\left(modm\right)$ 1.1c　$ac\equiv bd\left(modm\right)$

これらの性質は、それぞれの数を、

$$\begin{gathered} a=k_a·m+r_1 \\ b=k_b·m+r_1 \\ c=k_c·m+r_2 \\ d=k_d·m+r_2 \end{gathered}$$

というように書いて計算をすればすぐにわかります。たとえば 1.1c（合同式の乗算）を証明するには、$a$ と $c$ の式をかけ算し、$b$ と $d$ の式をかけ算して、

$$\begin{gathered} m\left|\left(ac-r_1{r}_2\right) \\ m\right|\left(bd-r_1{r}_2\right) \end{gathered}$$

が得られますが、２つの数が共に $m$ で割り切れると、その差も $m$ で割り切れます。従って、

$$\begin{gathered} m\left|\left(\left(ac-r_1{r}_2\right)-\left(bd-r_1{r}_2\right)\right) \\ m\right|\left(ac-bd\right) \\ ac\equiv bd\left(modm\right) \end{gathered}$$

となります。

1.2	合同式の累乗（冪乗）
$a\equiv b\left(modm\right)$ なら、2以上の $r$ について、 $a^r\equiv b^r\left(modm\right)$ である。

これは 1.1c で、$c=a$、$d=b$ とおいて 1.1c を "繰り返して使う" ことでわかります。"繰り返して使う" ことを証明として書くなら数学的帰納法になるでしょう。以降は「互いに素」に関連した合同の性質です。

1.3	互いに素（１）
$ax\equiv bx\left(modm\right)$ かつ、 $x$ と $m$ が互いに素なら、 $a\equiv b\left(modm\right)$

合同の定義により

$$\begin{gathered} m\left|\left(ax-bx\right) \\ m\right|x\left(a-b\right) \end{gathered}$$

となります。ここで一般的に次の 1.3a が成り立つことに注意します。

1.3a
$m$ は $x$ と互いに素とする。 $m|xn$ ならば $m|n$

$m$ と $x$ は互いに素なので、$m$ と $x$ に共通の素因数はありません。従って、$m$ を素因数分解したときに現れる素因数は、すべて $n$ の素因数のはずです。でないと、$m|xn$ とはならないからです。従って $m|n$ となります。このことを $m|x\left(a-b\right)$ に適用すると、

$$\begin{gathered} m|\left(a-b\right) \\ a\equiv b\left(modm\right) \end{gathered}$$

となり、1.3 が証明されました。1.3 は以降の証明にたびたび出てくる重要な定理です。1.3 を一般化したのが次の 1.4 です。

1.4	互いに素（２）
$ax\equiv by\left(modm\right)$ かつ、 $\phantom{a}x\equiv \phantom{b}y\left(modm\right)$ かつ、 $x$ と $y$ は $m$ と互いに素なら、 $a\equiv b\left(modm\right)$

$a$, $b$, $x$, $y$ を、$m$ と 剰余 $r$ を使って次のように表します。

$$\begin{gathered} \begin{array}{ll}a& =k_a·m+r_a\\ b& =k_b·m+r_b\\ x& =k_x·m+r\\ y& =k_y·m+r\end{array} \\ \left(0\le r_a,r_b,r<m\right) \end{gathered}$$

このようにおくと、$ax\equiv by\left(modm\right)$ より、

$r·r_a\equiv r·r_b\left(modm\right)$

となります。一方、$r$ と $m$ は互いに素です。なぜなら、もし $r$ と $m$ が $1$ ではない共通の約数 $c$ をもつとすると、上の $x$ の式から $c$ は $x$ の約数にもなり、$x$ と $m$ が互いに素ではなくなるからです。また、$y$ の式から $c$ は $y$ の約数でもあり、$y$ と $m$ が互いに素という前提にも反します。このように $r$ と $m$ は互いに素なので 1.3 を使って、

$r_a\equiv r_b\left(modm\right)$

となりますが、$0\le r_a,r_b <m$ なので、$r_a=r_b$ となり、

$a\equiv b\left(modm\right)$

が示されました。

1.5	互いに素（３）
$m$ と $n$ は互いに素とする。 $a\equiv b\left(modm\right)$ かつ、 $a\equiv b\left(modn\right)$ なら、 $a\equiv b\left(modmn\right)$

$a\equiv b\left(modm\right)$ なので、合同の定義から $m|\left(a-b\right)$ です。また、$a\equiv b\left(modn\right)$ なので、合同の定義から $n|\left(a-b\right)$ であり、$a-b=k_{1}n$ と表せます。この式の $a-b$ を $m|\left(a-b\right)$ に代入すると、

$m|k_{1}n$

となります。$m$ と $n$ は互いに素なので 1.3a を使うと、

$m|k_1$

となり、従って $k_1=k_{2}m$ と表せることになります。この $k_1$ を $a-b=k_{1}n$ に代入すると、

$$\begin{gathered} a-b=k_{2}mn \\ mn|\left(a-b\right) \\ a\equiv b\left(modmn\right) \end{gathered}$$

となって 1.5 が証明できました。

---

合同には数々の性質や定理がありますが、RSA暗号の証明に必要なものは以上です。次に、２つの数の最大公約数を求める「ユークリッドの互除法」です。これは最大公約数を求める計算方法というだけでなく、RSA暗号において公開鍵と秘密鍵を生成する際に必須のものです。

---

２. ユークリッドの互除法

---

ユークリッドの互除法は ２つの自然数（$a$ と $b$。$a>b$ とします）の最大公約数を求める計算方法です。これはユークリッドの数学書である『原論』にあります。『原論』は紀元前 300年頃の成立といいますから、2300年ほど前の書物ということになります。

この計算方法では、割り算（除算）を何ステップか繰り返します。割り算において被除数（＝割られる数）と除数（＝割る数）、商（＝答）、剰余（＝余り）の関係は、

被除数 ＝ 商 × 除数 ＋ 剰余

ですが、まず第１ステップとして、

被除数１	＝ $a$
除数１	＝ $b$

とおき、

被除数１ ＝ 商１ × 除数１ ＋ 剰余１

の計算をして、商１と剰余１を求めます。次に第２ステップとして、

被除数２	＝ 除数１
除数２	＝ 剰余１

とおいて割り算を行い、商２と剰余２を求めます。つまり、

被除数２ ＝ 商２ × 除数２ ＋ 剰余２

です。この「除数と剰余を新たな被除数と除数にして割り算をする」ステップを次々と繰り返して行くと、剰余は次第に小さくなっていき、ついには剰余がゼロ（＝ 被除数が除数で割り切れる）となります。この時点での除数（＝ 一つ前のステップの剰余）が $a$ と $b$ の最大公約数です。

なぜそうなるのかが以下ですが、ポイントは割り算の式から明らかなように「被除数と除数の公約数は、剰余の約数でもある」ことです。つまり $a$ と $b$ の約数であるという性質が剰余に引き継がれ、それは割り算のステップを繰り返してもずっと続きます。しかも、剰余はステップが進むにつれて小さくなっていくので、最大公約数に近づく。そして割り切れたときの除数（一つ前のステップの剰余）は、約数であると同時に最大の約数である。おおまかにはそのような理解です。

2.1	ユークリッドの互除法
$a$と $b$ を自然数とし、$a>b$ とする。 $\begin{array}{llll}a& =q_1·b_{\phantom{1}}+r_1& \text{ ⋯}& \text{(1)}\\ b& =q_2·r_1+r_2& \text{ ⋯}& \text{(2)}\\ r_1& =q_3·r_2+r_3& \text{ ⋯}& \text{(3)}\\ r_2& =q_4·r_3+r_4& \text{ ⋯}& \text{(4)}\\ \text{⋮}& & & \\ r_{i-4}& =q_{i-2}·r_{i-3}+r_{i-2}& \text{ ⋯}& \text{(i−2)}\\ r_{i-3}& =q_{i-1}·r_{i-2}+r_{i-1}& \text{ ⋯}& \text{(i−1)}\\ r_{i-2}& =q_{i\phantom{-0}}·r_{i-1}+r_{i\phantom{-0}}& \text{ ⋯}& \text{(i)}\\ r_{i-1}& =q_{i+1}·r_i& \text{ ⋯}& \text{(i+1)}\end{array}$ となったとき、 $gcd\left(a,b\right)=r_i$ である。

$a$ と $b$（$a>b$）の公約数を $x$ とします。すると、$x|a$ かつ $x|b$ なので、$\text{(1)}$ 式から $x|r_1$ になります。この $x|r_1$ と $x|b$ から $\text{(2)}$ 式を使って $x|r_2$ が得られます。

その次には $x|r_1$ 、$x|r_2$ 、(3) 式から $x|r_3$ になる。以上を最後まで繰り返すと、次のようになります。

$\begin{array}{lllll}x|a\text{,}& x|b\text{,}& \text{(1)式}& \stackrel{}{\to }& x|r_1\\ x|b\text{,}& x|r_1\text{,}& \text{(2)式}& \stackrel{}{\to }& x|r_2\\ x|r_1\text{,}& x|r_2\text{,}& \text{(3)式}& \stackrel{}{\to }& x|r_3\\ \text{⋮}& & & & \\ x|r_{i-4}\text{,}& x|r_{i-3}\text{,}& \text{(i−2)式}& \stackrel{}{\to }& x|r_{i-2}\\ x|r_{i-3}\text{,}& x|r_{i-2}\text{,}& \text{(i−1)式}& \stackrel{}{\to }& x|r_{i-1}\\ x|r_{i-2}\text{,}& x|r_{i-1}\text{,}& \text{(i)式}& \stackrel{}{\to }& x|r_i\end{array}$

以上のように、最終的には $x|r_i$ となり、

$a$ と $b$ の公約数は $r_i$ の約数である

ことが示せました。同時に、

$a$ と $b$ の公約数の最大値は $r_i$ である

ことも分かります。

---

次に、ユークリッドの互除法の最終プロセスに現れる剰余は、全てのステップの剰余の約数になっていることを示します。このことを最終ステップから順に遡って検証すると、

となり、$r_i|b$ かつ $r_i|a$、つまり、

$r_i$ は $a$ と $b$ の公約数である

ことが示せました。

---

従って、

◆	$r_i$ は $a$ と $b$ の公約数である
◆	$a$ と $b$ の公約数の最大値は $r_i$ である

の２つから、$gcd\left(a,b\right)=r_i$ が証明できました。

計算量

RSA暗号にとってのユークリッドの互除法の意味ですが、次の２つが重要です。まず第１に「２つの数の最大公約数は、素因数分解なしに計算できる」ことです。これはすなわち「２つの数が互いに素であることが素因数分解なしに示せる」ことも意味します。

我々が普通、学校で習う最大公約数の求め方は、２つの数を素因数分解して共通の素因数を探すというものでした。共通のものがなければ最大公約数は $1$（＝互いに素）です。しかし、数が巨大になると素因数分解が困難になります（それがRSA暗号が成り立つゆえんです）。ユークリッドの互除法を使うと「最大公約数」や「互いに素」が素因数分解なしに示せるのです。

第２は、ユークリッドの互除法が高速に計算できることです。ユークリッドの互除法では、一つのステップの剰余が次のステップの除数になります。次のステップの剰余は除数より小さいので、

$0<r_{i+1}<r_i$

となりますが、$r_{i+1}$ が $0$ に近いと計算は急速に収束します。また $r_{i+1}$ が $r_i$ に近い場合でも、その次のステップの商が大きくなり、$r_{i+2}$ が $0$ に近くなるので、計算は収束することになります。従って、最も計算が長引くのは、$r_{i+1}$ が $r_i$ の半分程度で、それが連続する場合だと推測できます。

実は、ユークリッドの互除法のステップが最も長くなるケースが知られています。それは 割り算の商が常に $1$ になるケースで、$a$ と $b$ が（たまたま）フィボナッチ数列の隣り合う２項だとそうなります。フィボナッチ数列とは、

$$\begin{gathered} F_0=0\text{, }{F}_1=1 \\ {F}_{n+2}=F_{n+1}+F_n \end{gathered}$$

で定義される数列で、実際に書いてみると、

$0,1,1,2,3,5,8,13,21,34,55,89,\cdots$

です。いま、$a=144$、$b=89$ としてユークリッドの互除法の計算をしてみると

となって、10ステップかかります。剰余が減る割合が常に 0.6 倍程度で、なかなか減りません。商が常に 1 なのでこうなります。しかし、なかなか減らないが毎回 0.6 倍程度にはなり、マクロ的には急速に小さくなる。証明は省略しますが、$a$ と $b$ が10進で $N$ 桁の数字でフィボナッチ数列の隣り合う２項だった場合でも、ユークリッドの互除法は $5\ast N$ ステップ以下で終了します。

これは $a$ と$b$ が300桁程度の数字のとき、それが偶然にもフィボナッチ級数の隣り合う２項であるという最悪の最悪の場合でも 1500回の割り算で終了することを意味します。この程度の計算はもちろんコンピュータで可能です。

---

本題に戻ります。最初の「RSA暗号の例題」のところで公開鍵の作り方を書きました。まず２つの素数、$p$ と $q$ を選び、$n=p·q$ とします。次に、$\left(p-1\right)\left(q-1\right)$ との最大公約数が $1$ であるような数（＝互いに素）を選び、それを $e$ とします。その $\left(e,n\right)$ のペアを公開鍵とするのでした。

$n$ と同程度の大きさの数、$e$ をランダムに選んだとき、その $e$ が $\left(p-1\right)\left(q-1\right)$ と互いに素であるかどうかは、ユークリッドの互除法で検証可能です。そしてこの検証は $p$ と $q$ が巨大な数であっても可能です。つまりユークリッドの互除法は公開鍵が現実に作成できるという数学的根拠になっています。

アルゴリズム

2.1 において、$a$ と $b$ の最大公約数は $r_i$ でしたが、この $r_i$ は (1)式における $b$ と $r_1$ の最大公約数にもなります。なぜなら、$b$ と $r_1$ の最大公約数を求めるためには (2)式から互除法の計算を始めればよく、その結果は $r_i$ になるからです。これは次を意味します。

2.1a
$a$と $b$ を自然数とし、$a>b$ とする。$a$ を $a=q·b+r\left(1\le q,0<r\right)$ と書き表せるとき、 $gcd\left(a,b\right)=gcd\left(b,r\right)$ である。

つまり、ユークリッドの互除法は

「	$a$ と $b$ の最大公約数を求める問題」を「より小さな数である $b$ と $r$ の最大公約数を求める問題」に置き換える

ものといえます。この置き換えは次々と可能で、置き換えるたびに問題がより "小さく" なっていく。これがユークリッドの互除法の本質です。

そのユークリッドの互除法は "世界最古のアルゴリズム" と言われています。そして、アルゴリズムを記述するのに最適な言語はプログラミング言語です。2.1a の考え方に基づき、ユークリッドの互除法で最大公約数を計算するプログラムを掲げます。

2.1b	アルゴリズム
ユークリッドの互除法で a と b の最大公約数を求める関数 EUCLID（Javascriptで記述） function EUCLID( a, b ) { 　if( a % b == 0 )  // ① 　　return b; 　else 　　return EUCLID( b, a % b ); }

①の "%" は Javascript の剰余演算子で、"a % b" は "a を b で割った余り" という意味です（a mod b と同じ）。なお、このプログラムは $a<b$ でも動作します。

もちろん、Javascript でなくても、C++ でも Python でも記述できます。このようにプログラムで書くと簡潔になって、ユークリッドの互除法というアルゴリズムの本質がクリアにわかります。

拡張ユークリッドの互除法

ユークリッドの互除法の "副産物" として、次の定理が成り立ちます。

2.2
$a$ と $b$ を自然数とする。このとき適当な整数 $u$、$v$ をとって、 $gcd\left(a,b\right)=u·a+v·b$ と表せる。

この定理の証明ですが、ユークリッドの互除法の計算過程を振り返ると、

$\begin{array}{llll}a& =q_1·b_{\phantom{1}}+r_1& \text{ ⋯}& \text{(1)}\\ b& =q_2·r_1+r_2& \text{ ⋯}& \text{(2)}\\ r_1& =q_3·r_2+r_3& \text{ ⋯}& \text{(3)}\\ r_2& =q_4·r_3+r_4& \text{ ⋯}& \text{(4)}\\ \text{⋮}& & & \\ r_{i-3}& =q_{i-1}·r_{i-2}+r_{i-1}& \text{ ⋯}& \text{(i−1)}\\ r_{i-2}& =q_{i\phantom{-0}}·r_{i-1}+r_{i\phantom{-0}}& \text{ ⋯}& \text{(i)}\\ r_{i-1}& =q_{i+1}·r_i& \text{ ⋯}& \text{(i+1)}\end{array}$

でした。ここで $\text{(1)}$ を変形して、

$r_1=u_1·a+v_1·b$

とします。$u_1=1\text{, }{v}_1=-q_1$ です。次に、今求めた $r_1$ と $\text{(2)}$ を使うと、

$r_2=u_2·a+v_2·b$

の形に表せることになります。 です。さらに、求まった $r_1$ と $r_2$ と $\text{(3)}$ を使って、

$r_3=u_3·a+v_3·b$

と表せることが分かります。このステップを順に続けていって $\text{(i)}$ まで到達すると、

$r_i=u·a+v·b$
　$u$, $v$ は $q_j\left(1\le j\le i\right)$ の式

となることがわかります。$r_i=gcd\left(a,b\right)$ だったので、2.2 が証明できました。$u$ と $v$ のうち、一つは正の整数、もう一つはゼロか負の整数です。一つがゼロであるのは、$a=b$ のときです。なお、2.2 を満たす $u$、$v$ に、

$u·a+v·b=0$

を満たす $u$、$v$ をそれぞれ足し込んでも 2.2 が成立することが明白です。つまり 2.2 を満たす $u$、$v$ は１組というわけではありません。

なお、2.2 は次のように言い換えることができます。

2.2a	不定方程式の整数解
$a$ と $b$ を自然数とする。このとき、不定方程式 $ax+by=gcd\left(a,b\right)$ は整数解をもつ。

拡張ユークリッドの互除法のアルゴリズム

ユークリッドの互除法を拡張して、$a$ と $b$ が与えられたとき、$\gcd \left(a,b\right)$ と、

$au+bv=gcd\left(a,b\right)$

を満たす $u$ と $v$（＝無数にある解のうちの一つのペア）を同時に計算してしまうアルゴリズムを考えてみます。

考え方は 2.1b のユークリッドの互除法と同じで、解くべき問題を「等価でより小さな問題」に置き換えます。そのために $a=qb+r$ とおくと、2.1a より、

$gcd\left(a,b\right)=gcd\left(b,r\right)$

なので、問題は次のように書き換えられます。

$\left(qb+r\right)u+bv=gcd\left(b,r\right)$

ここで、未知数の $u$ と $v$ を次のように変換します。

$$\begin{gathered} u=V \\ v=U-qV \end{gathered}$$

これを代入して式を整理すると

$bU+rV=gcd\left(b,r\right)$

となり、"小さな問題" に変換することができました。この考え方でアルゴリズムを記述すると次のとおりです。

2.2b	拡張ユークリッドの互除法
a と b から拡張ユークリッドの互除法で（u, v, 最大公約数）の３つを同時に求める関数 extdEUCLID（Javascriptで記述） function extdEUCLID( a, b ) { 　var r = a % b;  // ① 　if( r == 0 ) 　　return { u : 0, v : 1, gcd : b };  // ② 　else { 　　var q = Math.floor( a / b );  // ③ 　　var s = extdEUCLID( b, r );  // ④ 　　return { 　　　u : s.v,  // ⑤ 　　　v : (s.u - q * s.v),  // 　　　gcd : s.gcd  // 　　}; 　} }

以下は、このアルゴリズムの補足説明です。

①	var：変数の宣言。%：剰余演算子。
②	a が b で割り切れるなら解が求まる。自然な解を関数値として返す。関数値は３つの変数（u, v, gcd）をひとまとめにしたオブジェクト。
③	商を求め、小数点以下を切り捨て整数化する。Javascript には実数・整数の区別がないので整数化（組み込み関数の Math.floor）が必要。
④	小さな問題として計算する。
⑤	変数を元に戻して、関数値（u, v, gcd）を返す。

この拡張ユークリッドの互除法のアルゴリズムは、2.1b のユークリッドのアルゴリズムとほぼ同じです。ただし、$u$ と $v$ の計算のために変数を変換しているので、最大公約数を計算したあとに元の変数値を求める必要があります（＝⑤）。そこが違います。

このことから、拡張ユークリッドの互除法の計算量は、ユークリッドの互除法のほぼ２倍だと推測できます。計算は少々複雑になりますが、たとえ $a$ や $b$ が巨大な数であっても、コンピュータで高速に計算できる。このことは次の「整数の逆数」の項で述べるように、RSA暗号にとっての重要ポイントになります。

整数の逆数

2.2 から導かれる次の定理は、RSA暗号にとって重要です。

2.3	逆数の存在
$gcd\left(a,m\right)=1$ なら（＝ $a$ と $m$ が互いに素なら）、 $a·b\equiv 1\left(modm\right)$ となる $b$ が存在する。この $b$ は $1\le b<m$ の範囲では一意に定まる（＝ $m$ を法として唯一）。

2.2 において $a$と互いに素な数 $m$ を選び、$b=m$ とおくと、$gcd\left(a,m\right)=1$ なので、適当な $u$ と $v$ をとることにより、

$u·a+v·m=1$

とすることができます。すなわち、

$a·u\equiv 1\left(modm\right)$

となり、2.3 が示されました。2.3 において $b_1$ と $b_2$ の２つの解があるとすると、

$$\begin{gathered} a·b_1\equiv 1\left(modm\right) \\ a·b_2\equiv 1\left(modm\right) \\ a\left(b_1-b_2\right)\equiv 0\left(modm\right) \\ m|a\left(b_1-b_2\right) \end{gathered}$$

となり、$a$ と $m$ は互いに素なので 1.3a より、

$$\begin{gathered} m|\left(b_1-b_2\right) \\ {b}_1\equiv b_2\left(modm\right) \end{gathered}$$

となります。従って、$1\le b<m$ の範囲に $b$ があり、かつ、この範囲で $b$ は一意に定まります。$m$ を法として $b$ と合同な数も解であることは明白ですが、それらの解は $m$ を法として唯一です。

---

2.3 の "逆数" を計算するアルゴリズムは、拡張ユークリッドの互除法2.2 のアルゴリズム（2.2b）と基本的に同じです。

2.3a	逆数の計算アルゴリズム
m を法とする a の逆数を求める関数 INVERSE（Javascriptで記述） function INVERSE( a, m ) { 　var b = extdEUCLID( a, m ).u % m; // ① 　return ( b + m ) % m; // 　function extdEUCLID( a, b ) { 　　var r = a % b; 　　if( r == 0 ) 　　　return { u : 0, v : 1, gcd : b }; 　　else { 　　　var q = Math.floor( a / b ); 　　　var s = extdEUCLID( b, r ); 　　　return { 　　　　u : s.v, 　　　　v : (s.u - q * s.v), 　　　　gcd : s.gcd 　　　}; 　　} 　} // extdEUCLID 終わり // } // INVERSE 終わり

①で、extdEUCLID のアルゴリズム（2.2b）を使って $u$ を求め、それを $m$ 未満の自然数に直して答えの $b$ を求めています。（ b + m ）% m は b が負の場合の配慮です。このアルゴリズムは正確に言うと、$a$ と $m$ が与えられたとき、

$a·b\equiv gcd\left(a,m\right)\left(modm\right)$

となる $b$ を求めるアルゴリズムです。$a$ と $m$ が互いに素でなくても成立します。

---

この "逆数の存在定理" は RSA暗号において秘密鍵の算出に使われています。冒頭の「RSA暗号の例題」に書いたように、RSA暗号の公開鍵と秘密鍵は、まず秘密の２つの素数 $p$ と $q$ を決め、

$n=p·q$

とします。そして $e$ を、

$gcd\left(e,\left(p-1\right)\left(q-1\right)\right)=1$

となるように決め、$n$ と $e$ を公開鍵とするのでした。そして秘密鍵 $d$ を、

$d·e\equiv 1\left(mod\left(p-1\right)\left(q-1\right)\right)$

を満たす数とします。この秘密鍵 $d$ の計算は、$mod\left(p-1\right)\left(q-1\right)$ の世界で $e$ の逆数を求めていることに他なりません。逆数の存在が保証されるのは、$e$ を $\left(p-1\right)\left(q-1\right)$ と互いに素という条件で決めたからです。さらに、この逆数の計算アルゴリズムは 2.2b の拡張ユークリッドの互除法と同じなので高速に計算できることが重要ポイントです。

---

普通、整数の "逆数"は（整数の範囲で）定義できません（1以外は）。しかし、"$modm$ の合同の世界" では、$m$ と互いに素な数 $a$ に対して逆数が定義できることになります。つまり整数の範囲で「割り算」が定義できる。

たとえば $mod10$ の世界では $7\times 3=1$ であり、$7$ の逆数は $3$ です。割り算は逆数のかけ算なので、たとえば $8÷7=8\times 3=4$（$mod10$ の世界）といった演算が定義できます。"検算" をすると $4\times 7=8$（$mod10$ の世界）なので合っています。

$mod10$ の場合は実用的な意味はありませんが、$p$ を素数としたとき「$modp$ の世界」は大変重要です。というのも $p$ 未満の自然数はすべて $p$ と互いに素だからです。つまり $p$ 未満の全ての自然数に対して "逆数" が定義できます。

2.3b	逆数の存在：法が素数
$p$ を素数とする。$p$ 未満の自然数 $a$ に対して、 $a·b\equiv 1\left(modp\right)$ を満たす逆数 $b$ が $1\le b<p$ の範囲で一意に定まる。また、異なる $a$ に対する逆数 $b$ は異なる。

2.3b はほとんど 2.3 と同じです。「異なる $a$ に対する逆数 $b$ は異なる」というところですが、もし $1\le i<j<p$ である $i$ と $j$ に対して、

$$\begin{gathered} i·b\equiv 1\left(modp\right) \\ j·b\equiv 1\left(modp\right) \end{gathered}$$

となったとすると、

$\left(j-i\right)·b\equiv 0\left(modp\right)$

ですが、$\left(j-i\right)$ も $b$ も $p$ と素なので矛盾します。異なる $a$ に対する逆数 $b$ は異なります。

このように逆数が存在するということは、$p$ 未満の２つの自然数の "除算" が定義できます。さらに、$0$ と $p$ 未満の自然数を合わせると加減乗除が行えることになります。

加減乗除が定義された集合を「体（Field）」と呼びます。有理数、実数、複素数は「体」ですが、「$0$ と $p$ 未満の自然数」も体になります。これを ${\mathbb{F}}_p$ と表記します。この集合の要素の数は有限個なので「有限体」です。 ${\mathbb{F}}_{13}$ の場合（$mod13$）で "逆数" の計算をしてみると、

$\begin{array}{rr}1·& 1\equiv 1\left(mod13\right)\\ 2·& 7\equiv 1\left(mod13\right)\\ 3·& 9\equiv 1\left(mod13\right)\\ 4·& 10\equiv 1\left(mod13\right)\\ 5·& 8\equiv 1\left(mod13\right)\\ 6·& 11\equiv 1\left(mod13\right)\\ 7·& 2\equiv 1\left(mod13\right)\\ 8·& 5\equiv 1\left(mod13\right)\\ 9·& 3\equiv 1\left(mod13\right)\\ 10·& 4\equiv 1\left(mod13\right)\\ 11·& 6\equiv 1\left(mod13\right)\\ 12·& 12\equiv 1\left(mod13\right)\end{array}$

となり、$0$ 以外の ${\mathbb{F}}_{13}$ の要素は、その逆数（＝逆元）と１対１に対応していることがわかります。

${\mathbb{F}}_p$ においては "整数" の加減乗除を "自由かつ厳密に" 行うことができます。これは、全ての情報を２進数に帰着させて扱うデジタル・コンピュータとの相性がよい。このため、公開鍵暗号の中には ${\mathbb{F}}_p$ の演算を利用したものがあります。

なお、$p$ を素数としたとき「$p$ 未満の自然数はすべて $p$ と互いに素」ということは「$\left(p-1\right)!$ と $p$ は互いに素」ということです（" $!$ " は階乗記号）。これは次の「フェルマの小定理」の証明に出てきます。

---

３. フェルマの小定理

---

フェルマの小定理は RSA暗号の根幹にかかわるものです。フェルマは17世紀フランスの大数学者（1607-1665）で、有名なフェルマの最終定理（大定理）と区別するために「小定理」の名があります。

3.1	フェルマの小定理
$p$ を素数とし、$a$ を $p$ とは素な数とすると、 $a^{p-1}\equiv 1\left(modp\right)$ が成り立つ。

これは少々意外な定理です。我々が学校で習う素数は、自身と $1$ 以外の約数を持たない数という定義か、素因数分解の定理か、そういうものです。「素数がもつ性質」に言及した定理はあまり思い浮かばない。しかしフェルマの小定理は、素数であれば必ずこうなると言っているわけです。これは次のように証明できます。

$1,2,3,\dots ,p-1$ のそれぞれに $a$ をかけて、

$a,2a,3a,\dots ,\left(p-1\right)a$

という数列を作ります。そして、それぞれの数を $p$ で割った剰余を $b_i$ とします。つまり、

$\begin{array}{rll}a& \equiv b_1& \left(modp\right)\\ 2a& \equiv b_2& \left(modp\right)\\ 3a& \equiv b_3& \left(modp\right)\\ \text{⋮}& & \\ \left(p-1\right)a& \equiv b_{p-1}& \left(modp\right)\end{array}$

です。$p$ は素数なので $1$ から $\left(p-1\right)$ までの数は $p$ と素であり、また $a$ は仮定により $p$ と素です。従って $b_i$ が $0$ になることはなく、$1\le b_i\le \left(p-1\right)$ です。このとき、$1\le i\text{, }j\le \left(p-1\right)$ である $i\text{, }j$ について、

$i\ne j$ であれば、必ず $b_i\ne b_j$

になります。なぜなら、もし $b_i=b_j$ とすると、1.1b（合同式の減算）より、

$\left(i-j\right)a\equiv 0\left(modp\right)$

です。仮定より $a$ は $p$ と互いに素なので、1.3 により（1.3 で $b=0$ の場合）、

$\left(i-j\right)\equiv 0\left(modp\right)$

となりますが、$1\le i\text{, }j\le \left(p-1\right)$ なので、

$i=j$

となり仮定に反します。つまり$i\ne j$ であれば、必ず $b_i\ne b_j$ です。ということは、$\left(p-1\right)$ 個の数、$b_i\left(1\le i\le p-1\right)$ は全て違う数であり、つまり、$1,2,3,\dots ,p-1$ を並び替えたものです。従って、$b_i$ を全部かけ算すると、

$b_1{b}_2{b}_3\dots b_{p-1}=\left(p-1\right)!$

となります。そこで、1.1c（合同式の乗算）を上の $\left(p-1\right)$ 個の合同式に適用して左辺と右辺を全てかけ合わせてしまうと、

$$\begin{gathered} \left(p-1\right)!·a^{p-1} \\ \equiv b_1{b}_2{b}_3\dots b_{p-1}\left(modp\right) \\ \equiv \left(p-1\right)!\left(modp\right) \end{gathered}$$

となります。ここで、$p$ は素数なので $p$ と $\left(p-1\right)!$ は互いに素です。すると 1.3 により、

$a^{p-1}\equiv 1\left(modp\right)$

となり、証明が完成しました。

（次回に続く）

---

タグ：JavaScript 素数 アルゴリズム 素因数分解 最大公約数 合同 平文 RSA暗号 フィボナッチ数列 公開鍵 公約数 ヘルマン 暗号文 累乗 約数 秘密鍵 公開鍵暗号 ディフィー リベスト シャミア エーデルマン 冪乗 因数 合成数 互いに素 ユークリッドの互除法 拡張ユークリッドの互除法 フェルマの小定理

No.309 - 川合玉堂：荒波・早乙女・石楠花

東京・広尾の山種美術館で「開館55周年記念特別展 川合玉堂 ── 山﨑種二が愛した日本画の巨匠」と題した展覧会が、2021年2月6日～4月4日の会期で開催されたので、行ってきました。

山種美術館の創立者の山﨑種二（1893-1983）は川合玉堂（1873-1957）と懇意で、この美術館は71点もの玉堂作品を所蔵しています。そういうわけで、広尾に移転（2009年）からも何回かの川合玉堂展が開催されましたが（2013年、2017年など）、今回は所蔵作品の展示でした。

このブログでは、過去に川合玉堂の作品を何点か引用しました。制作年順にあげると次のとおりです。

『冬嶺孤鹿』（1898。25歳）

No.93「生物が主題の絵」

『吹雪』（1926。53歳）

No.199「円山応挙の朝顔」

『藤』（1929。56歳）
『鵜飼』（1931。58歳。東京藝術大学所蔵）

No.275「円山応挙：保津川図屏風」

これらはいずれも補足的なトピックとしての玉堂作品でしたが、今回はメインテーマにします。とは言え、展示されていた作品は多数あり、この場で取り上げるにはセレクトする必要があります。今回は "玉堂作品としてはちょっと異質" という観点から、『荒海』『早乙女さおとめ』『石楠花しゃくなげ』の３作品のことを書きます。

---

荒海

---

川合玉堂（1873-1957） 「荒海」（1944）

85.8cm × 117.6cm （山種美術館）

この絵については、2021年3月2日の朝日新聞に紹介記事がありました。執筆は朝日新聞・文化くらし報道部の西田健作記者です。的確な内容だと思ったので、まずそれを引用します。

美の履歴書 686 繰り返すリズムに何をを見た 「荒海」　川合玉堂 荒々しい波が磯の岩肌にぶつかる。しぶきが舞い、水が流れ落ちる。眺めていると、その音までが聞こえてきそうだ。日本画の大家・川合玉堂は終生、日本の四季や田園風景を卓越した筆さばきで描いた。目を凝らしてみると、道行く人々がごく小さく描かれているなど、人々の営みへの温かい視線を感じさせるものが多い。だが、この「荒海」は異質だ。 その理由は、この絵の発表の場となった展覧会にある。1944年の文部省戦時特別美術展には以下の出品条件が付いていた。「国体の精華、国土、国風」をたたえるもの、戦争を主題とするもの、戦意の高揚に資するもの ── などだ。 おそらく、玉堂は荒波で難局を、磯で揺るがぬ大日本帝国を表そうとしたのだろう。だが、それだけに収まらないのがこの絵の面白さだ。玉堂は10年以上前の「水に映る自然」と題した文章（32年）にこう書いている。「波などしばらく見詰めていると、同じリズムを繰り返し、そこに自おのずと波の線が見えて来るようになるものである」 山種美術館の山崎妙子館長は「難局を描く一方で、描きたかったものを描いている。だから単なる戦争画にとどまらず、絵としてすばらしい作品になった」。 玉堂は現在の横浜市金沢区にあった別荘を拠点に、波を観察し、写生を繰り返すことでこの絵を完成させた。32年の文章にはこうも記している。「絹紙に写す場合は水と気合を一にすることは云いうまでもない」。その言葉通り、「自ずと見える」波の線を、気合と共に描いてみせたのだ。（西田健作） 朝日新聞 2021年3月2日（夕刊）

この文章を要約すると、以下のようになるでしょう。

◆	この絵は1944年（昭和19年）の文部省戦時特別美術展に出品された。この美術展には「戦意の高揚に資する」という出品の条件がついていた。
◆	この絵も、難局（＝荒波）に立ち向かい、微動だにしない日本（＝磯の岩場）という象徴性があるのだろう。
◆	しかし玉堂は画題の制約条件に従いつつも、描きたいものを描いた。それは荒海の波そのものである。
◆	玉堂は実際の海を徹底的に観察して描いた。波は日本画の特徴である "線を駆使した表現" で描かれていて、そこには画家の "気合" が注入されているようだ。

玉堂は "何でも描ける画家" だと思うのですが、その中でも典型的な "玉堂スタイル" の絵というと「日本らしい、季節感あふれる自然や風景があり、その中に人物が点景として配置されている絵」です。その自然は山河であることが多く、また田園地帯のこともある。

しかしこの絵に人物はなく、さらに風景は海です。そこが "ちょっと異質" です。もちろんこれは、文部省戦時特別美術展に出品するという制約下で描かれたからです。特別美術展でこの絵を観た人は、おそらく全員が「岩 ＝ 日本」と考えたはずです。

しかし、そうであっても "玉堂らしさ全開の絵" という印象を受けるのは、引用した記事にある通りです。朝日新聞の西田記者は同じ記事で、この絵の「見どころ」として次の３点をあげていました。

・	遠くの海ほど群青の色が濃くなっている。
・	胡粉ごふんを使った手前のしぶきには薄墨で輪郭線が描かれている。
・	波がぶつかる瞬間と、波が引いて水が流れ落ちる瞬間が同時に描かれているようにも見える。

全体は黒（墨）と白（胡粉）の水墨画のような感じですが、淡い群青が使ってあります。群青＝海、胡粉＝波しぶきであり、その全体が各種の線で表現されています。ジグザク状の線で視線を誘導するダイナミックな構図と相まって、白い波しぶきが鑑賞者に迫ってくるような印象を受けます。海の群青が近くになるほど薄まって白一色になっていくのも、その印象を強めている。

この絵で玉堂は "海の波の５態" を描いたように見えます。遠景から近景までを順に書くと次のとおりです。

①	海の波の一般的なかたちである遠方の波。静かな海だとほとんど波が立たないこともあるが、描かれているのは荒れた海であり、波も大きい。
②	その波が陸地の浅瀬に近づくと、波頭が立ち上がる。
③	波が磯の岩場にぶつかり、砕けて飛び散る。その水しぶきは離れて見ると霧のようにも見える。
④	岩場からは、ぶつかった波の "残骸" がしたたり落ちる。
⑤	さらに波頭は岩場を越えてくるが、それが引くときには寄せる波とぶつかって激しい水沫が立ち上がる。それは③の "霧" ではなく、あくまで "水のしぶき" として見える。

さきほど「鑑賞者に迫ってくるような」と書きましたが、このような荒海の水の５態を描き分けることで、数秒～十数秒程度の時間の経緯までが画面に凝縮されているかのようです。川合玉堂の透徹した眼、観察眼を感じさせる素晴らしい作品だと思います。

---

この『荒海』とほぼ同じ時期に、玉堂は全く違った画題と雰囲気をもつ絵を描いています。それが次の絵で、『荒海』と対比して鑑賞すると興味深い作品です。

---

早乙女さおとめ

---

川合玉堂 「早乙女」（1945）

53.6cm × 87.1cm （山種美術館）

『荒海』が描かれて以降の玉堂の軌跡をたどると次のようです。

1944年（昭和19年。71歳）

7月、	東京都下西多摩郡三田村御岳（現、青梅市御岳）に疎開。
10月、	文部省戦時特別美術展に『荒海』を出品。
12月、	下西多摩郡古里村白丸（現、奥多摩町白丸）に転居。

1945年（昭和20年。72歳）

5月、	東京都牛込区（現、新宿区）若宮町にあった自宅が空襲で焼失。
8月、	敗戦。
12月、	御岳に戻る。ここが終ついの住処すみかとなる。

『早乙女』は、古里村白丸で描かれた絵です。この絵について、2013年6月30日のNHKの日曜美術館では「自宅が焼失して意気消沈した時期に描かれた」という意味の説明がありました。田植えの時期は地域によるとは思いますが、関東では5月から6月といったところです。まさにその時期の光景と考えてよいでしょう。

山を少し上ったところから水田を見下ろしたような構図です。画面のほどんどを水田が占め、右上には水路が流れていて舟が浮かんでいます。極めて単純化された画面の中で、５人の早乙女が田植えに勤いそしんでいる。その表情は楽しそうにも見えます。色数の少ない画面の中で、鮮やかな緑の"たらし込み" で描かれたあぜ道が印象的です。

戦時下の厳しい時期です。東京も大空襲で焼け野原になった年です。それでもこの絵の人々は、従来と変わらず田植えをしている。まさに、そこを描きたかったのだと思います。稲作は長期に渡る一連のプロセスで成立します。田起こし → 代掻き → 田植え → 雑草取り → 稲刈り → 脱穀 → 精米 と、半年以上にわたる作業が続きます。その他にも、あぜ道や水路の維持などが必要で、この絵はバックにあるそういった生活サイクルを暗示しています。

川合玉堂は（現）東京藝大の教授になり（1915年。大正4年。42歳）、文化勲章を受け（1940年。昭和15年。67歳）、皇后陛下の絵の指導までした人です。日本の画壇では、いわば "功成り名を遂げた" 日本画の大家です。その人が、72歳で自宅を完全に失ってしまった。さぞかし茫然とし、落胆したでしょう。

しかし疎開先の奥多摩の農民は、変わることなく日々の作業に勤いそしんでいる。玉堂は奥多摩で毎日、スケッチブックを持って散歩に出かけ、山道を歩き、野山や植物のスケッチを繰り返したと言います。そして帰ってきて画室で絵を描く。

川合玉堂 「田植図」（1945/1954） 54.5×72.4cm （静岡県立美術館）

この絵は "玉堂スタイル" からするとちょっと異質です。"玉堂スタイル" の多くの絵は、山河や農村、田園地帯の風景があり、そこで働く人々が点景として描かれています。田植えを描いた絵として静岡県立美術館が所蔵する『田植図』がありますが、この絵のような構図が典型でしょう。人物は風景の一部になっている。

しかし『早乙女』は働く人々がクローズアップされていて、田植えという「人の営み」が中心的な画題です。「人の営み」というと、玉堂が多数描いた『鵜飼』の絵を思い出しますが、それは故郷の岐阜の光景です。それに対し『早乙女』には、日本のどこにでもある「普通の人の普通の営み」が描かれている。

玉堂は『早乙女』の制作以降も、1957年（昭和32年）に83歳で亡くなるまで御岳みたけに住んで描き続け、その創作意欲が衰えることありませんでした。玉堂は『早乙女』に描かれた農民の姿、毎年のサイクルでつつましく生きる人々の姿に、自らの画家としてのあるべき姿を重ね合わせたのだと思います。

---

石楠花しゃくなげ

---

川合玉堂 「石楠花」（1930）

72.0cm × 101.5cm （山種美術館）

この絵が実際に経験した情景だとすると、山道を歩いていて、ふと石楠花が目に付く。それを凝視してから眼をそらすと、遠くに残雪をいだいた険しい連峰が見える。そういった光景でしょう。

この絵の特徴は、花卉かき図と山水図を合体させたような描き方にあります。題名にあるように近景に描かれた石楠花がメインのモチーフなのだろうけれど、中景の崖と木々から遠景の連峰までがちゃんと描き込まれています。このような構図は玉堂作品としては "ちょっと異質" だと思います。

この構図で直感的に思い浮かべるのが歌川広重です。広重の風景画には「近景の事物を大写しにし、そこから遠方を望む」という構図が多々あります。有名な作品で言うと「名所江戸百景」の『深川洲崎十万坪』（近景に鷹、遠景に深川の雪景色と筑波山を配した有名な絵）や、『亀戸梅屋敷』（ゴッホが模写した作品。近景に梅の古木が画面いっぱいにあり、その向こうに梅園が見える）があります。

歌川広重 「隅田川水神の森真崎」 （名所江戸百景 第35景）

この "広重好みの構図" をさらに絞り込んで「近景に花、遠景に山」という作品を選ぶと、例えば「名所江戸百景」の『隅田川 水神の森 真崎まさき』です。この絵は近景に八重桜を配し、その向こうに水神の森から隅田川とその対岸の真崎地区を描き、遠景には筑波山という構図です。これによって遠近感が際だちます。八重桜は極端にクローズアップされ、幹、枝、花の全てがカットアウトされている。いかにも広重らしい描き方です。

これと玉堂の『石楠花』は、構図のコンセプトがそっくりです。もちろん玉堂が広重に影響されたかどうかは分かりません。しかし玉堂は過去からの日本の絵の伝統を熟知している画家です。無意識にせよ江戸後期の風景画を踏まえたということがありうるのではないか。我々は19世紀後半のフランス絵画を見て「これは浮世絵の影響だ」とか、よく言います（No.224「残念な北斎とジャポニズム展」）。だとしたら、ほかでもない日本の画家の絵を見て浮世絵の影響を感じるのは当然ではないかと思うのです。

当たり前ですが『石楠花』は広重と違ってリアルです。まるで山道を歩いていて、ふと立ち止まって見たシーンのようです。しかし考えてみると、人間の眼にこの絵のような光景は見えません。実際に現場に立ったとしたら、我々の眼は石楠花と連峰に交互にピントを合わせて見るしかない。このように近景と遠景の差を極端にとり、その両方をリアルに同一平面に描くのは、絵画ならではの表現です。展覧会にある幾多の玉堂の絵の中で、この絵の前に立つとその「絵画ならでは」にハッとさせられる。そう感じました。

---

---

タグ：川合玉堂 石楠花 山種美術館 歌川広重 荒波 早乙女 隅田川水神の森真崎 西田健作 文部省戦時特別美術展 青梅市御岳 奥多摩町白丸

No.308 - 人体の９割は細菌（２）生態系の保全

（前回から続く）

アランナ・コリン 「あなたの体は９割が細菌」 （矢野真千子 訳。河出文庫 2020）

前回の No.307「人体の９割は細菌（１）」は、アランナ・コリン著「あなたの体は９割が細菌」（訳：矢野真千子。河出書房 2016。河出文庫 2020。原題 "10% Human"。以下「本書」と書きます）の紹介でした。この本は大きく分けて次の２つのことが書かれています。

◆	21世紀病 20世紀後半に激増して21世紀には当たり前になってしまった免疫関連疾患、自閉症、肥満などを、著者は「21世紀病」と呼んでいます。これと、ヒトと共生している微生物の関係を明らかにしています。

◆	生態系の保全 ヒトと微生物が共生する「人体生態系」を正常に維持するためは何をすべきか。またその逆で、人体生態系に対するリスクは何かを明らかにしています。

前回は「21世紀病」の部分の紹介でしたが、今回は「生態系の保全」の部分から「抗生物質」「自然出産と母乳」「食物繊維」の内容を紹介します。なお本書で「生態系の保全」という言い方をしているわけではありません。

---

抗生物質のリスク

---

ペニシリンの発見（1928年）以降、抗生物質は人類に多大な恩恵を与えてきました。実は本書の著者も2005年、22歳のとき、マレーシアでコウモリの調査中に熱帯病に感染し、一時まともな生活が送れないようになりましたが、抗生物質による治療で回復しました。

しかし著者は、抗生物質の意義とメリットを十分に認識しつつも、その使用にはリスクがあることを説明しています。つまり、投与された抗生物質が感染症の原因菌だけでなく、ヒトと共生している微生物も殺してしまい、マイクロバイオータの様相が変わってしまうというリスクです。

その抗生物質が、現代社会においては感染症の治療以外に過剰に使用されているのが現実で、その一つが畜産業です。

1940年代後期、アメリカの科学者たちは思いがけず、ニワトリに抗生物質を与えると成長が50%近く促進されることを見出した。当時、アメリカでは都市に人口が流入し、市民は生活費の高さに辟易していた。戦後の「欲しいものリスト」の上位に安価な食肉が挙がった。抗生物質によるニワトリへの成長促進効果はまさに天からの贈り物で、農家はウシやブタ、ヒツジ、7面鳥の飼料に毎日少量の薬を混ぜるだけで食肉家畜がどんどん大きくなるのを見て上機嫌だった。 農家は、薬が成長を促すメカニズムについても、その結果についても知らなかった。食料不足で価格が高騰していたこの時代、薬の費用よりもニワトリが太ることで得られる利益が大幅に上回った。以来、「治療量以下」の抗生物質を投与するのは畜産業での日常業務となった。 ざっと推定すると、アメリカでは抗生物質の70%が家畜用に使われているという。おまけに、抗生物質を使えば感染症を心配せずに狭い場所に多くの家畜をつめこむことが可能だ。アメリカでは、この成長促進剤なしに同じ重量の食肉を出荷しようとすると、4億5200万羽のニワトリと、2300万頭のウシ、1200万頭のブタが毎年余分に必要になる。 アランナ・コリン 『あなたの体は９割が細菌』 （矢野真千子 訳。河出文庫 2020）p.218

ここで懸念が出てきます。家畜が抗生物質で太るなら人間も太るのではないかという点と、家畜の肉に残留した抗生物質が人間に悪影響を与えるのではという懸念です。

また家畜の糞は有機農業に使われますが、家畜に投与された抗生物質のおよそ75%は糞となって排出されます。家畜の肉に残留している抗生物質の規制はありますが、農地に撒かれる肥料に含まれる抗生物質の規制はありません。つまり、動物由来の肥料で有機栽培された野菜は安全なのかという疑問も出てくるのです。

さらに家畜だけでなく、ヒトに対しても、本来の感染症治療を越えた抗生物質の投与がされる現実があります。

抗生物質による治療はぜったいに必要なものではない。アメリカの疾病管理予防センター（CDC）の推定によれば、同国で処方されている抗生物質の半分は不必要または不適切なものだという。その多くは、風邪またはインフルエンザを１日でも早く治したいと切望する患者に、半ば気休めで処方されている。風邪もインフルエンザも細菌ではなくウイルスによる病気であり、抗生物質は効かない。それに、ほとんどの風邪は命を危険にさらすことはなく、数日か数週間で治る。 「同上」p.223

アメリカで1998年に行われた調査によると、プライマリケア医が処方した抗生物質の4分の3が、5種類の呼吸器系感染症への治療目的だった。耳感染症、副鼻腔炎、咽頭炎、気管支炎、上気道感染症だ。上気道感染症で医者を訪れた2500万人のうち、30%に抗生物質が処方された。そんなに多くないとあなたは感じたかもしれないが、細菌が原因の上気道感染症はたったの5%しかない。咽頭炎も同様で、同じ年にそう診断された1400万人のうち62%に抗生物質が処方された。細菌性が原因の咽頭炎は10%しかないにもかわらず。全体でみるとその年に処方された抗生物質の55%は不必要なものだった。 「同上」p.224

抗生物質が殺すのは細菌であって、ウイルスではありません。従ってウイルスが原因の病気に抗生物質は利きませんが、このことを知っている患者は少ない。患者はどうしても薬の処方を医者に求める傾向にあり、医者も細菌による感染症を防ぐために "念のため" 抗生物質を処方するという現実があるのです。

---

抗生物質の多用が生み出す問題点の一つは耐性菌の出現です。ペニシリンが感染症の治療に使われ始めたのは1940年代前半ですが。数年後には早くもペニシリン耐性菌が見つかり、1950年代にはごく一般的な黄色ブドウ球菌がペニシリン耐性を持つようになりました。

1959年、イギリスでペニシリン耐性の黄色ブドウ球菌を治療するためにメチシリンという新しい抗生物質が使われ始めましたが、早くも３ヶ月後にはペニシリンとメシチリンの両方に耐性をもつ黄色ブドウ球菌の新株が出現しました。これが MRSA（メシチリン耐性黄色ブドウ球菌）です。以来、MRSAは全世界で毎年数万人から数十万人の命を奪っています。もちろん耐性菌はMRSAのほかにもあります。

さらに問題点は、抗生物質が病気の原因菌だけでなく、広範囲の細菌を殺すということです。もちろんヒトと共生している微生物も影響を受けるわけで、ここが本書の眼目です。

抗生物質は細菌の単一種だけを標的にすることはできない。ほとんどの抗生物質は、広範囲の細菌種を殺す「広域抗生物質」だ。このタイプの薬は問題を引き起こしている細菌の種類を特定することなくあらゆる感染症に使えるため、医者にとっては好都合だ。原因菌を特定するには培養と同定の作業が必要で、それにはお金も時間もかかるうえ、ときには不可能なこともある。 標的を絞った「狭域抗生物質」でさえ、病気の直接原因となっている菌種だけを選んで殺すことはできない。同じグループに属する細菌すべてを標的としてしまう。こうした大量破壊兵器がもたらす結果はアレクサンダー・フレミング（引用注：ペニシリンの発見者）でさえ予測できなかった。 「同上」p.229

抗生物質は大量破壊兵器というか、無差別爆撃をしているようなものです。目標とする病原菌以外の細菌も広範囲に殺してしまう。この悪影響が極端に現れたのが「クロストリジウム・ディフィシル感染症」です。

耐性獲得と大量破壊という抗生物質の両方のマイナス面が重なって出現した危険な病気に、クロストリジウム・ディフィシル感染症がある。クロストリジウム・ディフィシルという細菌が引き起こすこの感染症は、1999年にイギリスで500人の死者を出した。その多くは抗生物質の治療を受けた患者だった。2007年には、同じ感染症で4000人近くが死亡した。 できることならこの病気では死にたくない。腸内に棲むクロストリジウム・ディフィシルは毒素を産生し、悪臭をともなう絶え間ない水状の下痢を引き起こす。それにより、脱水症状、重篤な腹痛、急激な体重減少が生じる。クロストリジウム・ディフィシル感染症の患者は、たとえ腎不全を免れたとしても、中毒性の巨大結腸症を生き延びなければならない。巨大結腸症とは読んで字のごとく、腸内で発生した余分なガスが結腸を異常に膨らませてしまう症状だ。虫垂炎と同じく破裂の危険があり、破裂したときの危険性は虫垂炎どころではない。腹腔内に糞便とあらゆる種類の細菌がばらまかれることになるため、生存率は著しく下がる。 クロストリジウム・ディフィシル感染症の発生件数および死亡者数の上昇は、抗生物質耐性菌の進化と歩調を合わせている部分がある。1990年代に、クロストリジウム・ディフィシルは危険な新株に進化し、病院内で広まった。この株は耐性が強いだけでなく、毒性も強かった。そして、もう一方の原因である抗生物質の過剰使用の問題をくっきりと浮かび上がらせた。 クロストリジウム・ディフィシルは一部の人の腸内においては、さほどトラブルを起こさず、かといって役に立つこともせずに無為に過ごしている。だが、ほんのちょっとしたきっかけで牙をむく。そのきっかけをつくるのは抗生物質だ。腸内マイクロバイオータが健康でバランスがとれているあいだは、クロストリジウム・ディフィシルは小さなくぼみに押しこめられて身動きがとれないから、悪さをすることもできない。だが、抗生物質、とりわけ広域抗生物質がマイクロバイオータを攪乱すると、クロストリジウム・ディフィシルが勢力を広げる「余地」ができる。 「同上」p.229

広域抗生物質がマイクロバイオータを攪乱すると、クロストリジウム・ディフィシル感染症だけでなく様々な副作用が出てくると想定できます。

では「21世紀病」と「抗生物質の多用」は関係しているのでしょうか。たとえば肥満です。統計によると抗生物質の使用量の増加と肥満の増加には相関関係があります。しかし相関関係があるからといって因果関係を断定できません。

実は、抗生物質の投与でヒトの体重が増えるという結果は、既に1950年代に出ていました。もちろん倫理的な理由により実験はできませんが「意図せずに行った実験」があるのです。

1953年にアメリカ海軍は新兵に抗生物質で治療する試験を開始した。連鎖球菌の感染症を減らすのに、オーレオマイシン（引用注：現在ではヒトに対しては皮膚の化膿性感染症の治療に使われる抗生物質）を予防的に使えるかどうかを調べたのだ。新兵の若者たちは軍の規定により身長と体重を記録されていたため、それがのちに予定外のテーマを研究するときのデータとなった。抗生物質を投与された新兵は、見た目はそっくりのプラセボを投与された新兵より著しく体重を増やした。このときも、抗生物質の投与は栄養価を高める潜在力があるとして好意的に受けとられ、懸念材料とみなされることはなかった。 「同上」p.235

抗生物質が体重を増やすとして、では現在の肥満（BMIが30超）の広がりは抗生物質と関係しているのでしょうか。抗生物質がマイクロバイオータにおける細菌の構成比を変え、それが肥満につながるという「仮説」については数々の研究があります。仮説が正しいとする研究もあるのですが、著者はまだ断定するのは早いと言っています。

---

抗生物質と自閉症についても議論の最中ですが、全く無関係とは思えないと著者は書いています。エレン・ボルトの息子のアンドリューが自閉症を発症したのは抗生物質での治療中でした（No.307「人体の90%は細菌（１）」の「21世紀病：自閉症」の項）。

また抗生物質がアレルギーのリスクを高めることについては、数々のエビデンスがあります。さらに、１型糖尿病は感染症にかかったあとに発症することが多いことが知られていますが、これは感染症の治療に使われた抗生物質が原因ではないかと疑われています。

---

著者はマレーシアでのフィールドワークでダニから熱帯病に感染し、抗生物質の投与で治癒しました（前述）。しかし治癒したあとに別の体の不調に悩まされるようになりました。発疹ができたり、胃腸が弱くなったり、感染症にかかりやすくなったりです。このことが、まさに著者が本書を執筆した動機でした。21世紀病との関係で言うと、今まで展開してきた２つの議論、つまり、

・	マイクロバイオータの変調が21世紀病の一因になっている
・	抗生物質がマイクロバイオータを攪乱する

を結びつけると「抗生物質の多用が21世紀病の一因になっている」というのは蓋然性が高いと考えられます。現在、さまざまな研究・議論が行われているところです。とにかく、感染症の治療以外の目的での抗生物質の使用（食肉生産のコスト削減が代表的）は無くすべきでしょう。

---

自然出産と母乳の意味

---

マイクロバイオータが体内で発達する第１段階は、出産と授乳のプロセスにあります。母親の体内の胎児は無菌状態です。その子が共生する微生物を受け取るのは、まず母親からです。それは第１に出産のときであり、第２に母乳からです。

自然出産

細胞の数だけで言うなら、赤ん坊はこの世に生まれて最初の数時間で「大半がヒト」の状態から「大半が微生物」の状態に切り替わる。子宮内部の羊水につかっているとき、胎児は外界の微生物からも母親の微生物からも守られている。だが、破水と同時に微生物の入植がはじまる。赤ん坊は産道を通るとき、微生物のシャワーを浴びる。ほぼ無菌状態だった赤ん坊を、膣の微生物が覆っていく。 産道から顔を出すとき、赤ん坊は膣の微生物とはまた別のタイプの微生物を受けとる。そう、誕生直後に母親の糞便を摂取するのはコアラだけではないのだ。子宮収縮ホルモンの作用と降りてくる胎児の圧力を受けて、陣痛中や出産時にほとんどの女性は排便する。赤ん坊は顔を母親のお尻の側に向けて頭から先に出てくる。そして母親がつぎの陣痛に備えて体を休めているあいだ、赤ん坊の頭と口はうってつけの位置に来る。あなたは本能的に顔をしかめるかもしれないが、これは幸先のいいスタートだ。母から子への最初の贈り物、糞便と膣の微生物が無事に届けられることになるのだから。 これは進化的に「適応した」誕生だ。肛門が膣口のすぐそばにあるのも、子宮収縮ホルモンが直腸を刺激して排便を促すのも、別段悪いことではない。自然選択は、それが赤ん坊の役に立つから選んだのだろう。あるいは、少なくとも害にはならないから排除しなかった。微生物とその遺伝子 ── 母のゲノムとうまく調和して働いていた遺伝子 ── を受けとった赤ん坊は、希望に満ちた人生のスタートを切る。 「同上」p.300

このプロセスをみると、帝王切開で生まれた子どもは母親からの最初の微生物を受け取らないことになります。従来、帝王切開のリスクとして赤ん坊の皮膚に傷がつくことがあるとか、一時的な呼吸障害などの短期的なリスクが指摘されてきました。

しかし、帝王切開で生まれた子の長期的な影響まで言及されることはめったにない。以前はさして害のない代替手段と思われていた帝王切開だが、母子ともに健康リスクがあることが徐々に明らかになってきた。早くにわかったこととして、帝王切開で生まれた赤ん坊は感染症になりやすいというのがある。メチシリン耐性黄色ブドウ球菌（MRSA）に感染した新生児の80%は帝王切開で生まれている。帝王切開で生まれた子は幼児期にアレルギーを発症しやすい。母親がアレルギーで（おそらく遺伝因子があり）、なおかつ帝王切開で生まれた子は、そうでない子より7倍もアレルギーになりやすい。 「同上」p.308

その他、自閉症、強迫性障害、１型糖尿病、セリアック病などの発症リスクが、経膣出産（自然出産）よりも高まることが指摘されています。肥満でさえ、帝王切開との関連を指摘するデータがあります。

すでにお気づきのとおり、これらはどれも21世紀病だ。細かく見れば、それぞれに環境要因や遺伝因子など幅広い要素が関係しているものの、帝王切開が21世紀病のリスクを高めているのは明らかだ。 赤ん坊の腸のマイクロバイオータを採取・分析すると、生後数か月が経過していても、その子が帝王切開で生まれたか経膣出産で生まれたかがわかる。産道をとおって生まれた赤ん坊の体外と体内にできている膣由来微生物のコロニーが、帝王切開で生まれた赤ん坊にはできていないのだ。 母親のお腹の「サンルーフ」から（引用注：帝王切開で）出てきた赤ん坊が最初に出合うのは環境中の微生物だ。手袋をはめた手で引っぱり出され、母親の腹部の皮膚をさっとかすめ、不安そうな両親に少しばかり挨拶し、そそくさと手術室から連れ出され、タオルにくるまれ詳細な検査を受ける。消毒が徹底された手術室で生まれる赤ん坊にとってはじめて出合う微生物は、母親と父親、医療スタッフの皮膚の細菌だ（運が悪ければ連鎖球菌や緑膿菌やクロストリジウム・ディフィシルなど強靭な細菌と出合ってしまう）。帝王切開で生まれた赤ん坊の腸のマイクロバイオータは、皮膚の細菌が基礎となって形成される。 「同上」p.308

本書に「いまでは開腹手術で最も多い手術が帝王切開」とあります。それほど帝王切開が広まっている。もちろん帝王切開は医療上の重要な手段です。一部の女性にとってはこの方法しか子どもを生む手段がありません。しかしWHOは帝王切開の実施率を全出産の10～15%に収めるべきだとしています。「出産の危険から母子を守る」ことと「帝王切開によるリスクを避ける」ことのバランスをとるためには、この程度の数字が妥当なのです。

母乳

赤ちゃんが母親から受け継ぐ微生物環境の第２番目は、母乳由来のものです。

オリゴ糖と総称される糖類があります。これはブドウ糖などの単糖類が数個～10個程度結合したものです。母乳にはオリゴ糖が含まれていますが、ヒトの消化酵素はオリゴ糖を分解できません。実は、母乳のオリゴ糖は細菌の餌です。1983年に、ジェニー・ブランド＝ミラー教授とその夫が行った研究が「母乳に含まれるオリゴ糖の意味」を明らかにしました。

オリゴ糖は単糖が数個結合した炭水化物の総称で、ヒトの母乳には130種類ほどが含まれている。この種類の多さはヒトに特有な性質であり、たとえばウシの乳には数種類のオリゴ糖しか含まれていない。私たちは大人になってからオリゴ糖を含む食品を食べることはない。それなのに、妊娠期と授乳期に女性の乳房組織でつくられる。機能のないものをわざわざつくるのは、そこに重要な何かがあるからだと２人は思った。 ブランド＝ミラーと夫は仮説を確かめようと試験をした。赤ん坊にグルコースを水に溶かして与えたときと、精製したオリゴ糖を水に溶かして与えたときの、呼気に含まれる水素量を測定した。グルコースでは水素量が増えなかった。グルコースは小腸で吸収されてしまい、腸内細菌の餌にならなかったということだ。だが、オリゴ糖を与えたときの呼気には水素が大量にあった。オリゴ糖の分子は小腸をそのまま通過して、消化酵素ではなく腸内細菌に分解されていたということだ。 いまでこそ周知されているが、オリゴ糖は赤ん坊の腸の「苗床」で正しい細菌種を栄えさせる役目を果たしている。母乳で育つ赤ん坊には、ラクトバチルス属とビクテリウム属が優勢なマイクロバイオータが育っている。ヒトはオリゴ糖を消化できないが、ビフィドバクテリウム属の細菌は特殊な酵素を生成して、オリゴ糖を唯一の食料源にする。その廃棄物として出るのが短鎖脂肪酸だ。酪酸、酢酸、プロピオン酸は３大短鎖脂肪酸だが、このとき４番目の短鎖脂肪酸である乳酸塩（単に乳酸と呼ばれることもある）が放出される。これが赤ん坊にとって貴重な物質となる。乳酸塩は大腸の細胞に吸収され、赤ん坊の免疫系の発達に重要な役割を果たす。簡単に言うと、大人に食物繊維が必要なように、赤ん坊には母乳に含まれるオリゴ糖が必要なのだ。 細菌の餌となることだけが母乳に含まれるオリゴ糖の役目ではない。人生最初の数日と数週間、赤ん坊の腸のマイクロバイオータはとても単純で不安定だ。特定の細菌がいきなり増えたかと思うと、忽然と消える。肺炎連鎖球菌のような病原性の細菌が１つ入ってきただけで大混乱を起こし、多くの有益な細菌が破壊されることもある。オリゴ糖は混乱した腸内環境を平常に戻す働きをする。病原性細菌はなんらかの破壊行為をする前に、まず腸壁に付着する。そのためには細菌表面にある特別な結合部を使わなければならない。オリゴ糖はその結合部にぴったりはまって、病原性細菌が足場を築くのを阻止する。母乳に含まれる130種類のオリゴ糖のうち、数十種類は特定の病原体に鍵と鍵穴のように結合することがわかっている。 「同上」p.314

しかも、母乳のオリゴ糖の量は赤ちゃんの発達とともに変化します。これは赤ちゃんの腸内細菌の変化に対応しています。

母乳の成分は、赤ん坊の成長段階に応じて変わる。出産直後に出る初乳は免疫細胞と抗体に富んでいて、母乳１リットルあたりに小さじ４杯相当のオリゴ糖をたっぷり含んでいる。 数週間たって赤ん坊のマイクロバイオータが安定してくるころ、母乳の中のオリゴ糖含有量は減ってくる。出産後４か月になると１リットルあたり小さじ３杯未満となり、子どもが１歳の誕生日を迎えるころには小さじ１杯未満となる。 「同上」p.315

上の引用にもあるように、母乳には免疫細胞と抗体など、オリゴ糖以外の多様なものが含まれています。その一つが細菌です。これが最初に分かったのは "母乳バンク" でした。母乳バンクを運用する病院は、母親からの献乳を受け、それを母乳育児が困難な赤ちゃんに与えます。このとき、どんなに消毒をして採乳しても献乳の中に細菌が見つかるのです。

消毒の精度を極限まで上げた採乳技術とDNA解析技術を使って調べたところ、献乳の際に見つかる細菌は、もとから母乳にいた細菌だった。赤ん坊の口や母親の乳首から乗り移って混入したのではなく、乳房組織の中に入りこんでいた。いったいどこから？　乳房組織にいる細菌の多くは皮膚によくいる細菌とは違った。つまり、乳房の皮膚から乳汁に侵入したわけではない。乳房組織にいる細菌は、通常は膣や腸にいる乳酸菌だった。母親の糞便を解析すると、腸と母乳にいる細菌は同じだった。これらの微生物は大腸から乳房へと移動したようだ。 血液を調べて移動ルートがわかった。樹状細胞と呼ばれる免疫細胞の中に入って移動していたのだ。樹状細胞は細菌の密入国を手助けすることで知られている。腸を取り囲む厚い免疫組織の中にある樹状細胞は、長い腕（樹状突起）を伸ばして腸内にどんな細菌がいるかをチェックする。そして通常は、病原体を見つけたらそれを飲みこみ、別の免疫細胞（ナチュラルキラー細胞）の軍団がやってきて退治してくれるのを待つ。ところがなんと、樹状細胞は害のない有益な細菌までつかまえて飲みこみ、血流に乗って乳房に運ぶ。 「同上」p.317

オリゴ糖だけでなく、母乳に含まれる細菌も時間の経過とともに変化します。

赤ん坊の成長に合わせて母乳のオリゴ糖含有量が変わるように、母乳に含まれる細菌も変わる。生後１日目に必要な微生物は、１か月後、２か月後、６か月後に必要な微生物とは違う。 出産直後の数日に出る初乳には数百種の微生物が入っている。ラクトバチルス属、連鎖球菌属、エンテロコックス属、ブドウ球菌属の細菌はすべて含まれており、その数は１ミリリットルあたり1000個体にもなる。赤ん坊は１日およそ80万個の細菌を母乳のみで摂取していることになる。 やがて母乳に含まれる微生物は数を減らしながら種類を変えていく。出産から数か月たった母乳には、成人の口内にいるのと同じ微生物が入っている。赤ん坊の離乳に備えてのことだろう。 「同上」p.318

まとめると、赤ちゃんは母乳から細菌を受け取ると同時に、その細菌の餌になるオリゴ糖も摂取します。その両方が赤ちゃんの成長に従って変化していく。となると、粉ミルクだけで育つ赤ちゃんにはリスクがあることが推定できます。現代の粉ミルクには重要な栄養成分がたくさん加えられていますが、免疫細胞や抗体、オリゴ糖、生なまの細菌までは入っていないのです

まず、粉ミルクで育つ赤ん坊は感染症にかかりやすい。母乳だけの赤ん坊に比べ、粉ミルクだけの赤ん坊は、耳感染症になるリスクが２倍、呼吸器感染症で入院するリスクが４倍、胃腸感染症になるリスクが３倍、そして腸の組織が死ぬ壊死性腸炎になるリスクが2.5倍とそれぞれ高くなる。乳幼児突然死症候群で死亡するリスクも２倍だ。 アメリカでの乳児死亡率（１歳未満で死亡する割合）は、母乳で育つ赤ん坊より粉ミルクで育つ赤ん坊のほうが1.3倍も高い。なお、この数字は、妊娠中の喫煙や貧困、教育など多方面の要素を考慮し、また赤ん坊自身の病気のために母乳育児が困難だったケースを除外している。先進国では乳児死亡率はすでに低くなっているので、１歳になる前に死亡する乳児を人数で見ると、母乳育児で1000人のうち2.1人、粉ミルク育児では2.7人である。もちろんこの程度で親が大騒ぎして心配する必要はないが、アメリカで毎年、400万人の赤ん坊が生まれていることを思えば、そのうち720人は、落とさずにすんだ命を落としているのかもしれない。 「同上」p.322

母親か赤ちゃん、または両方の理由で母乳育児が不可能な場合があります。その場合は粉ミルクが必要ですが、これはあくまで "やむをえない場合の策" と考えるべきでしょう。

---

食物繊維の重要性

---

本書には「あなたはあなたの微生物が食べたものでできている」と題した章があります（第６章）。よく言われるのは「あなたはあなたの食べたものでできている」で、 これはバランスの良い食事が大切だという意味です。そして、ヒトは微生物と共生している以上、微生物に必要な "餌やり" も重要なのです。

イタリアの研究者の調査結果が紹介されています。彼らはブルキナファソ（西アフリカの国）のある村の子どもと、フィレンツェの子どもの比較研究をしました。

ブルキナファソとイタリアの子どもの食事を改めて比べてみると、摂取量が明らかに違う栄養成分が見つかる。それは食物繊維だ。ブルキナファソの食事に大きな割合を占めている野菜、穀類、豆類はどれも繊維質を多く含んでいる。2歳から6歳までのイタリアの子どもが食事で摂取する食物繊維は2%に満たない。ブルキナファソでは3倍以上の6.5%である。 「同上」p.278

著者は、先進国では食物繊維の摂取が減っているとし、それをイギリスの具体例で説明しています。

・	イギリスの成人は、1940年代に1日およそ70グラムの食物繊維を摂取していたが、いまでは20グラムに落ちこんだ。
・	1942年には、食料供給が限られていた戦時中だったにもかかわらず、現在のほぼ2倍の野菜を食べていた。
・	典型的な1日の食事でとる新鮮な緑の野菜は、1940年代に7Oグラムだったが、2000年代には27グラムだ。
・	食物繊維に富む豆類、穀類（パンを含む）、ジャガイモも、1940年代以降は減っている。

などです。国によって違うとは思いますが、60年程度の長いレンジでみると、このような傾向は日本も同じではないでしょうか。

ブルキナファソの子どもたちのマイクロバイオームを遺伝子解析すると、プレボテラ属とキシラニバクテル属の細菌が75%という高い割合で見つかる。この両グループの細菌には、植物の細胞壁を形成しているキシランとセルロースを分解する酵素をつくる遺伝子がある。ブルキナファソの子どもはプレボテラとキシラニバクテルを腸に棲まわせているおかげで、食事の大半を占める穀類や豆類、野菜から、より多くの栄養を引き出すことができる。 一方、イタリアの子どもの腸にはプレボテラもキシラニバクテルもいない。植物性の餌が常時なければ生き残れない両グループの細菌は、イタリア人の腸内では適応できないからだ。そのかわり、イタリアの子どもの腸内ではフィルミクテス門の細菌が繁栄している。フィルミクテス門は、いくつかのアメリカの研究で肥満に関連していることがわかった分類群である。痩せた人の腸に多いのはバクテロイデーテス門の細菌だ。フィルミクテスとバクテロイデーテスの比率は、イタリアの子どもでは3対1だったのに対し、ブルキナファソの子どもでは1対1であった。 「同上」p.279

マイクロバイオータの細菌の種類は食生活によって変化します。アメリカで行われたボランティアによる実験のことが本書に書かれています。この実験では、肉や卵、チーズなど動物性食品を食べるグループと、穀類や豆類、果物、野菜など植物性食品を食べるグループに分けて、腸内微生物がどう変化するかを観察しました。予想どおり、腸内細菌の組成比が変わりました。植物食のグループは植物の細胞壁を分解できるタイプの細菌を急速に増やした一方、動物食のグループは植物好きの細菌を失い、蛋白質を分解し、ビタミンを合成し、炭化した肉に含まれる発癌物質を解毒するタイプの細菌を増やしました。

このように、食生活によってマイクロバイオータは変化します。そして著者は、このことが「異例なものを食べる集団にはとりわけ役に立つ」と書いていて、そこで日本人のことあげています。

たとえば、寿司好きの日本人にとって海苔は食生活の大きな部分を占める。日本人の多くは、海藻に含まれる炭水化物を分解するポルフィラナーゼという酵素をつくる遺伝子をもつ細菌（バクテロイデス・プレビウス）を腸内に棲まわせている。この遺伝子は元来、海藻の共生菌であるゾベリア・ガラクタニボランスの遺伝子だ。日本人の腸内にいるバクテロイデス・プレビウスは、過去のいつかの時点でゾベリア・ガラクタニボランスの遺伝子を盗み取ったようだ。 「同上」p.280

日本に住むヨーロッパ人で海苔や海藻が苦手な人は多いようです。生まれ育ったヨーロッパで海藻を食べる文化がないからですが、それは単なる好き嫌いだけではなく、海藻を分解する細菌を腸に持っていないからなのでしょう。そして多くの日本人がもつこの細菌の遺伝子は、もともと海藻と共生していた細菌から来たものだった ･･････。こういうところにも、進化の速度が速い細菌と共生している意義が認められます。

余談ですが、著者（英国人のアランナ・コリン）は海苔を食べる日本人を「異質なものを食べる」例として書いていますが、ウェールズの海岸地方では（ヨーロッパでは珍しく）海藻を食べます（Wikipediaの「ウェールズ料理」および「レイヴァーブレッド」の項参照）。アランナ・コリンはイングランド出身なのでしょう。もう少し英国の食文化に詳しければこういう表現にはならなかったと思います。

---

話を食物繊維に戻します。植物性食品に富む食生活は、痩せ型のマイクロバイオータを育てます。なぜそうなるのか。

No.307「人体の９割は細菌（１）」の「21世紀病：肥満」の項で、アッカーマンシア・ムニシフィラという細菌が腸壁の粘膜層を厚くし、細菌由来のリポ多糖（LPS）が血液中に入り込んで脂肪細胞に炎症を起こすのを防ぐ（＝従って肥満を防ぐ）ことを書きました。食物繊維の一種であるオリゴフルクトース（＝フルクラオリゴ糖）は、腸内のアッカーマンシアを大増殖させることが分かってきました。

さらに微生物が食物繊維を分解するときに出す短鎖脂肪酸が重要な働きを持っています。

じつのところ、重要なのは微生物そのものではなく微生物が食物繊維を分解するときに出す物質、短鎖脂肪酸（SCFA）だ。第３章でも述べたように（引用注：No.307「人体の９割は細菌（１）」の「21世紀病：自閉症」の項）、代表的な３つの短鎖脂肪酸は酢酸、プロピオン酸、酪酸で、微生物が食物繊維を分解したあと大腸に大量にたまる。この微生物の消化活動による副産物は、さまざまな作用の「鍵穴」にぴたりとはまる「鍵」となる。だが、短鎖脂肪酸の働きが私たちの健康に与える影響は、何十年ものあいだ過小評価されてきた。 そんな鍵穴の1つにG蛋白質共役受容体（GPR43）がある。これは免疫細胞の表面にある受容体で、短鎖脂肪酸の鍵がやってきて解錠されるのを待っている。だが、GPR43は何をするためのものなのか？　こういうとき生物学では、この受容体をつくる遺伝子の機能を失わせたノックアウト動物がどうなるのかを観察するのが早道だ。 ある研究チームは、GPR43のノックアウト・マウスを使った実験に取り出した。そして、この受容体をもたないマウスはひどい炎症を起こすこと、大腸炎や関節炎、喘息を発症しやすいことを突き止めた。受容体（鍵穴）は正常で、短鎖脂肪酸（鍵）がない場合はどうだろう。無菌マウスの腸には食物繊維を分解する微生物がいないので、鍵をつくることができない。鍵穴はあるのに解錠されない無菌マウスは、やはり炎症系の病気になりやすかった。 この実験結果は、GPR43が微生物とヒト免疫系のコミュニケーション経路であることを意味している。食物繊維好きの微生物は短鎖脂肪酸という鍵をつくって免疫細胞のドアを開け、自分たちを攻撃しないようにというメッセージを伝える（引用注：その結果、炎症が起きない）。GPR43は免疫細胞だけでなく脂肪細胞にもついている。短鎖脂肪酸の鍵が脂肪細胞のGPR43を解錠すると、脂肪細胞は肥大するのをやめて分裂する。脂肪細胞にとっては細胞分裂するのが健全なエネルギー蓄積法だ。さらに、短鎖脂肪酸の鍵でGPR43を解錠するとレプチンが放出され、満腹中枢が刺激される。食物繊維を食べると満腹感が得られるのはこのためだ。 「同上」p.284

また、短鎖脂肪酸一つである酪酸は、腸壁の細胞を結合している蛋白質の鎖を強め、腸壁を強固にします。

不健全な微生物集団は、腸壁の上皮細胞を結合させている鎖をゆるめる方向に働く。ゆるんだ腸壁にはすき間ができ、本来な血液中に入ってはいけない物質を通してしまう。その過程で免疫系が刺激されて起こる炎症が、21世紀病のいくつかの原因になっている。酪酸の働きはそのすき間をふさぐことだ。 腸の細胞を結合させている蛋白質の鎖は、人体のあらゆる作用を担っている蛋白質がそうであるように、遺伝子の指示で作られる。だが、ヒトはそうした遺伝子のコントロール権の一部を微生物の譲渡してしまった。腸壁の蛋白質の鎖をつくる遺伝子の発現量を決めているのは微生物だ。酪酸はそのメッセージを伝える。微生物が酪酸を多く出せば出すほど、ヒトの遺伝子は多くの蛋白質の鎖をつくり、腸壁は堅固になる。腸壁を堅固にするのに必要な条件は２つある。まずは正しい微生物だ（特定の食物繊維を小さな分子に分解するビフィイドバクテリウムや、その小さな分子を酪酸に変換するフィーカリバクテリウム・プラウスニッツィ、ロセッブリア・インテスチナリス、エウバクテリウム・レクタレなど）。そしてもう一つは、そうした微生物の餌となる食物繊維をあなたが多く食べることだ。そうすれば、あとは勝手にやってくれる。 「同上」p.286

短鎖脂肪酸が、腸内細菌とヒトの細胞のあいだの情報伝達物質になっているわけです。これはちょうど腸内細菌が出すPSAが制御性T細胞を誘導する話（No.307「人体の９割は細菌（１）」の「21世紀病：免疫関連疾患」の項）とそっくりです。

ヒトが自らの消化酵素で消化できない食物繊維が腸内細菌の餌になり、腸内細菌が食物繊維を消化した「余り」の脂肪酸が重要なメッセージ物質となって炎症などの免疫反応やや脂肪の蓄積がコントロールされる ･･････。ヒトは細菌と共生し、メリットを与え合い、互いに最適化してきたことがよく分かります。

---

ここまでで、アランナ・コリン著「あなたの体は９割が細菌」の "さわり" の紹介は終わりです。本書には以上のほかにも、皮膚常在菌や腸疾患、糞便移植（＝マイクロバイオータを正常に回復させる）など、興味深い話題があるのですが、省略したいと思います。以降は本書を通読した感想です。

本書の原題は「10% Human」で、副題を直訳すると「あなたの体の微生物が、いかに健康と幸福の鍵を握っているか」となる。

---

本書の感想

---

ヒトと共生している常在菌、特に腸内細菌とそれがヒトにあたえる影響については研究が進み、一般にも知識が広まってきました（NHKでも近年、特集が組まれた）。本書の多くはその "広まりつつある知識" ですが、それを包括的にまとめて記述したところに意義があると思いました。特に、個々の研究テーマについて、その発端から研究の進展を取材してストーリーを追って書いた構成が優れています。また、巻末にあげられている多数の参考文献・論文は、サイエンス・ライターとしての著者の姿勢を明確にしています。

本書のメッセージをシンプルに要約すると、

ヒトは細菌と共生している。それを前提に考えよう

ということだと思います。ヒトは細菌にメリットを与え、細菌はヒトにメリットを与える。その関係が最適化されて進化してきたのが人体であるということです。この前提に立つと、以下の様なことが見えてきます。

・	すぐに分かることは、ヒトが細菌に与えるメリットとは食べ物だということです。ということは、バランスの良い食事が重要だと理解できます。特に野菜を食べないのはまずい。なぜなら腸内細菌の餌を絶つことになるからです。もちろん、野菜に限らず餌を与えすぎてもいけない。「何事も適度に」です。
・	細菌がヒトに与えているメリットは実感できませんが、我々が健康に過ごすということの多くが共生している細菌と関係していると想像できます。
・	従って、共生細菌を殺してしまう行為はまずい。抗生物質の使用は感染症の原因菌を殺すという本来の目的に止とどめないと（それでさえ副作用が考えられる）、何が起こるか分かりません。畜産や養殖のコスト削減のためだけに抗生物質を使うなど論外ということになります。
・	食品添加物は大丈夫でしょうか。許可されている添加物はヒトにとって安全という検証がされているはずですが、ヒトと共生している細菌に影響は無いのか、そこまで配慮されているのかが疑問です。食品添加物を一切とらない生活は不可能だと思いますが、なるべく少なくするのが重要でしょう。
・	抗生物質が腸内の細菌を殺すものなら、体につける各種の抗菌剤入り商品は皮膚の常在菌を殺すことになります。抗菌剤のヒトにとってのメリットはない（＝メリットよりデメリットが大きい）でしょう。手を洗うなら石鹸で十分です（本書でも指摘してあります）。
・	共生細菌はヒトが外界から取り入れたものです。ということは、自然出産や母乳による育児が大切なことが理解できるし、清潔過ぎる環境で生活するのは問題です。

以上のようなことは、「ヒトは細菌と共生するのが前提」と考えれば、最新科学の知識がなくても理解、ないしは推測ができます。本書の訳者の矢野真千子氏は「訳者あとがき」で次のように書いていました。

自分の体を生態系として眺めれば、森林伐採、外来種の持ちこみ、農薬の使用、肥料のやりすぎを警戒すべき理由はいくらでもみつかる。 矢野真千子「訳者あとがき」 「あなたの体は９割が細菌」p.425

自然生態系と同じように、人体生態系（ヒト ＋ 共生微生物）を破壊してはならないし、人体生態系が持続可能なようにするのが、すなわち我々が生きていくということである ･･････。そう理解できるでしょう。

---

本書を読んで、ヒトは微生物と共生しているという時の "共生" の意味を深く理解できたと感じました。普通 "共生" と言うと、上に書いたように「互いにメリットを与え合っている」という風に理解します。それは正しいのですが、それだけではありません。本書に次のような例が出てきます。

◆	アッカーマンシア・ムシニフィラという細菌が腸壁を覆う粘膜層の表面に棲んでいる。この細菌はヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を確保する。そうすると粘膜層が厚くなり、細菌由来のリポ多糖が血液中に入り込むのが阻止される。この結果、脂肪細胞に過剰な脂肪が詰め込まれなくなる（＝肥満を防ぐなどの効果）。 No.307「人体の９割は細菌（１）」の「21世紀病：肥満」
◆	腸壁の上皮細胞は蛋白質の鎖でつながっている。この鎖がゆるむと、本来、血液中に入ってはいけない物質が透過し、免疫系を刺激して炎症を起こし、21世紀病の原因の一つになる。 細菌が食物繊維を分解したあとにできる酪酸（短鎖脂肪酸の一つ）は、腸壁の蛋白質の鎖を作る遺伝子の発現量を決めている。微生物が酪酸を多く出せば出すほど、ヒトの遺伝子は多くの蛋白質の鎖を作り、腸壁は堅固になる。 No.308「人体の９割は細菌（２）」の「食物繊維の重要性」
◆	バクテロイデス・フラジリスという細菌は、多糖類A（PSA）という物質を産生し、それを微小なカプセルに入れて細胞表面から放出する。このカプセルが大腸で免疫細胞に貪食されると、PSAが制御性T細胞を起動させる。制御性T細胞は他の免疫細胞に、バクテロイデス・フラジリスを攻撃しないようメッセージを送る。 No.307「人体の９割は細菌（１）」の「21世紀病：免疫関連疾患」
◆	細菌が食物繊維を分解したあと、大腸には短鎖脂肪酸（酢酸、プロピオン酸、酪酸）が大量にたまる。短鎖脂肪酸は免疫細胞の表面にあるG蛋白質共役受容体（GPR43）に結合し、それが細菌を攻撃しないようにというメッセージになる。そのGPR43は脂肪細胞の表面にもあり、そこに短鎖脂肪酸が結合すると脂肪細胞は肥大するのをやめて分裂する（＝肥満を防ぐ）。 No.308「人体の９割は細菌（２）」の「食物繊維の重要性」

つまりヒトと共生している細菌は、腸の壁を厚くし、腸壁の透過性を減少させ、過剰な免疫反応を防ぎ、脂肪細胞の肥大化を防ぐわけです。これはすなわち、

ヒトはヒトのからだのコントロールの一部を共生微生物にゆだねている

ことを意味します。「ヒトと微生物は共生するように進化してきた」とはそういうことです。改めて共生微生物の重要性を認識させられました。

---

本書には研究途中の事項もたくさん含まれています。著者も「確かな話はここまでで、ここからは推測である」「断定はできない」「相関関係があるからといって因果関係があるとは限らない」などの表現で、"確実に判明しているのではないこと" を明確にしています。このような記述態度には好感を持ちました。

最後に、本書の大きな特長は文章が優れていることです。おそらく著者と訳者の両方の力量だと思いますが、科学書としては珍しいような出来映えです。科学的知見を一般向けにどう平易に記述し、読者に訴えることができるか。やはり文章力は大切だと感じました。

---

---

タグ：乳酸菌 母乳 オリゴ糖 抗生物質 帝王切開 共生 乳酸 自然出産 マイクロバイオーム プロピオン酸 アランナ・コリン 矢野真千子 マイクロバイオータ 21世紀病 短鎖脂肪酸 あなたの体は9割が細菌

No.307 - 人体の９割は細菌（１）21世紀病

このブログの過去の記事で、人体に共生している微生物（主として細菌）がヒトにとって重要な役割を果たしていることを、本や雑誌の内容をもとに書いてきました。

No.  70 - 自己と非自己の科学（２）
No.119 -「不在」という伝染病（１）
No.120 -「不在」という伝染病（２）
No.225 - 手を洗いすぎてはいけない
No.229 - 糖尿病の発症をウイルスが抑止する

の５つの記事です。共生している微生物（"常在菌" と総称される）が不在になったり、微生物の種類のバランスが崩れるとヒトは変調をきたします。上の記事は微生物と免疫との関連でしたが、この場合の変調とは免疫関連疾患（＝アレルギーや自己免疫疾患）の発症です。

アランナ・コリン 著 矢野真千子 訳 「あなたの体は９割が細菌」 （河出文庫 2020）

この、"人体は微生物との共生で成り立っている" ことを書いた別の本を紹介したいと思います。アランナ・コリン著「あなたの体は９割が細菌」（矢野真千子・訳。河出書房 2016。河出文庫 2020。原題 "10% Human"。以下「本書」と記述）です。この本は免疫関連疾患だけなく、ヒトと共生微生物の関係を幅広く取り上げています。そこポイントです。

著者のアランナ・コリンは進化生物学の博士号をもつ英国人で、専門はコウモリのエコロケーション（超音波による物体位置認識）です。また、サイエンス・ライターとしても活躍しています。

以下、本書の内容の "さわり" を紹介しますが、本書では「マイクロバイオータ（microbiota）」と「マイクロバイオーム（microbiome）」を区別して使ってあります。

マイクロバイオータ：	微生物叢そう。人体と共生する微生物の総体。
マイクロバイオーム：	微生物叢そうがもつ遺伝子の総体。

です。一般には「マイクロバイオーム」で微生物叢そうも表すことがあります。

---

人体 ＝ ヒトと微生物との共生系

---

一般に生命体は微生物と共生していることが多く、高等生物である哺乳類でもよくあります。たとえば反芻動物であるウシです。ウシは４つの胃があり、そこに植物のセルロースを分解する細菌を住まわせていて、食べた草が４つの胃を行ったり来たりしているあいだに微生物が消化してくれる ･･････。これは広く知られていると思います。本書では同様の話としてジャイアントパンダの例が書いてありました。そこを引用してみます。

以降の引用では漢数字を算用数字に直し、また、段落を増やしたところがあります。下線は原文にはありません。

ジャイアントパンダは食肉目（ネコ目）クマ科に属する動物だ。クマ科にはグリズリーやホッキョクグマなどの仲間がいて、食肉目にはライオンやオオカミといった獰猛な動物が加わる。だが食肉目という分類群の名称に似合わず、ジャイアントパンダは肉食をしない。進化の過去に背くように竹を食べることに喜びを見出す。ジャイアントパンダには、ウシやヒツジなどの草食動物にあるような複雑で長い消化管はない。それに代わって大腸とそこに棲む微生物がいろいろな働きをする。 パンダのゲノムは食肉目のゲノムだ。肉の成分である蛋白質を分解する酵素をつくることのできる遺伝子はたくさんあるが、頑丈な植物性多糖類（炭水化物）を分解する酵素をつくることのできる遺伝子は一つもない。パンダは毎日およそ12キログラムの竹の茎をむさぼり食うが、そのうち2キロしか消化できない。腸内微生物がいなければ、その2キロでさえかぎりなくゼロに近づく。 しかし、解析されたパンダのマイクロバイオームからは、セルロースを分解する遺伝子が見つかった。これは本来ならウシやワラビー、シロアリなど草食動物のマイクロバイオームに見られる遺伝子だ。この遺伝子をもつ微生物を体内に棲まわせているおかげで、ジャイアントパンダは肉食動物だった過去の制約から自由になることができた。 アランナ・コリン 『あなたの体は９割が細菌』 （矢野真千子 訳。河出文庫 2020）p.265

引用にあるように、パンダ（ジャイアントパンダ）は食肉目（＝ネコ目）クマ科の動物です。食肉目はネコやライオン、クマ、イヌ、アザラシなどを含む分類で、その名のとおり肉食動物がほとんどです。しかしパンダは食肉目でありながら草食で、しかも竹を食べて生きている。それを可能にするのが共生微生物の働きなのです。

そして我々人間も哺乳類の一部であり、パンダと同様の話が当てはまります。たとえば、我々が食べる野菜にはヒトの消化酵素では消化されにくい炭水化物（＝難消化性の炭水化物）が含まれていて、それは「食物繊維」と総称されています。上の引用に出てきたセルロースもその一つです。食物繊維は胃から小腸まででは消化されずに大腸に至り、大腸に共生している微生物はそれを分解してエネルギー物質にしたり、必須ビタミンを合成したりします。

そういった共生微生物は、もちろん大腸だけでなく、皮膚、口腔、鼻腔、消化器系、膣などに生息していて、その数はヒトの細胞の数よりよほど多いのです。

あなたの体のうち、ヒトの部分は10%しかない。あなたが「自分の体」と呼んでいる容器を構成している細胞１個につき、そこに乗っかっているヒッチハイカーの細胞は９個ある。あなたという存在には、血と肉と筋肉と骨、脳と皮膚だけでなく、細菌と菌類が含まれている。あなたの体はあなたのものである以上に、微生物のものでもあるのだ。 微生物は腸管内だけで100兆個存在し、海のサンゴ礁のように生態系をつくっている。およそ4000種の微生物がそれぞれ独自の棲息地（ニッチ）を開拓し、長さ1.5メートルの大腸表面を覆うひだに隠れるようにして暮らしている。あなたは生まれた日から死ぬ日まで、アフリカゾウ５頭分の重量に匹敵する微生物の「宿主」となる。微生物はあなたの皮膚の上にもいる。あなたの指先には、イギリスの人口（引用注：約6700万）を上回る数の微生物が付着している。 「同上」p.15

ヒトの細胞の数は、最近の研究では約37兆個と言われています。そのうちの26兆は酸素を運ぶことだけに特化した赤血球です。赤血球にはDNAがなく、DNAをもつ通常の細胞という意味では11兆個程度です（No.225「手を洗いすぎてはいけない」参照）。一方、数だけからすると常在菌のほとんどは腸内細菌で、その数を100兆とすると、上の引用にあるように「ヒトの部分は10%しかない」ことになります。

ヒトの消化管（本書）

胃は強酸性で、ふつう微生物は棲めないが、ヘコバクター・ピロリ菌だけが生息している。 小腸は全長7メートルほどあり、食物が消化酵素で分解されて血液中に吸収される。ここには微生物も多く生息していて、小腸の出発点では1ミリリットルあたり約1万個、終点では1ミリリットルあたり1000万個の微生物がいる。 盲腸はテニスボール大の器官で、微生物の種類と数が一挙に増える。ここには4000種類、数兆個の微生物がひしめく。また虫垂は、食物の流れからはずれた位置にあり、微生物の「隠れ家」になっている。 大腸の殆どを占める結腸には1ミリリットルあたり1兆個の微生物が生息していて、消化されなかった食物を分解する。この副産物がヒトに有益かつ必須の影響を与える。なお図にはないが、口腔にも多様な微生物が生息している。

2000年に始まった「ヒトゲノム・プロジェクト」でヒトの全DNAが解読されました。そこで分かったことは、ヒトの遺伝子（＝蛋白質の製造指示）の数は線虫とほぼ同じ21,000個だということです。これは植物のイネの半分程度しかなく、31,000個の遺伝子を有するミジンコにも遙かに及びません。

もちろん、遺伝子の数だけで生物の複雑さを議論できません。生物の複雑さは遺伝子が作る蛋白質の組み合わせで決まります。ヒトもほかの動物も、ゲノムから引き出せる機能の数は遺伝子の数よりずっと多い。

とは言うものの、ここで見落としているのはヒトと共生している微生物の遺伝子です。ヒトの遺伝子にそれが加わると複雑さが格段に増す。この共生微生物の遺伝子を解読するプロジェクトが、2007年に開始された「ヒトマイクロバイオーム・プロジェクト」でした。

世紀の変わり目に私たちが見落としていたのは、2万1000個の遺伝子がすべてではないということだった。ヒトゲノム・プロジェクトの最中に生まれたDNA解析技術は、もう1つのゲノムの解析計画を可能にした。ヒトマイクロバイオーム・プロジェクトである。当初それほどメディアの注目を集めなかったヒトマイクロバイオーム・プロジェクトは、私たち自身のゲノムを調べるのではなく、人体に棲む微生物のゲノムの総体 ── マイクロバイオーム ── を調べて、どんな微生物種が存在しているのかを見つけ出そうという計画だった。 培養の困難さと酸素が研究の障害となることはなくなった。1億7000万ドルの予算と5年の期間をもってスタートしたヒトマイクロバイオーム・プロジェクトは、人体18か所の微生物共同体を解析することになった。解読するDNAの量はヒトゲノム・プロジェクトの数千倍にもなったが、ヒトと微生物の遺伝子を両方調べるということは、一人の人間をより包括的に理解することになる。 2012年にヒトマイクロバイオーム・プロジェクトの第１段階が終了したときは、大統領や首相が勝利宣言することはなく、そのニュースを記事にした新聞もごくわずかだった。だが、ヒトマイクロバイオームの解読は、ヒトゲノムの解読以上に、「ヒトとはどんな存在であるか」を明らかにしつつある。 「同上」p.26

ヒトマイクロバイオーム・プロジェクトが明らかにした共生微生物の遺伝子の総数は440万と本書にあります。つまりヒトの遺伝子の約200倍であり、遺伝子の数だけからすると人体におけるヒトの部分は0.5%しかないのです。しかも共生微生物のほとんどは単細胞生物であり、進化のスピードがヒトと比べものにならないぐらい速い。これらの（腸管だけで100兆の）共生微生物（＝マイクロバイオータ）と一緒に進化してきたのがヒトです。

この「人体 ＝ ヒトと微生物の共生系」という視点で考えると新たな事実や研究課題が見えてきます。そこを展開するのが本書の目的で、特に、

・	"21世紀病" とマイクロバイオータの関係
・	マイクロバイオータを正常に維持するために

という観点から数々の解説がされています。以下にその一部を紹介します。まず「21世紀病とマイクロバイオータ」の関係です。

---

「ふつう」でないことの急増 ＝ 21世紀病

---

19世紀末から20世紀初頭に増加の兆候が見え、1950年ごろから有病率が激増し、21世紀にはすっかり "定着" してしまった（＝あたりまえになってしまった）病気や疾患、症状があります。アレルギー、自己免疫疾患、心の病気（自閉症など）、肥満、腸の疾患などで、著者はこれらを「21世紀病」と呼んでいます。

たとえばアレルギーは、花粉、ホコリ、ペットの毛、牛乳、卵、ナッツ類などにヒトの免疫系が過剰反応して起こりますが、20世紀の後半に急増しました。アレルギーを起こす物質はどこにでもある平凡なものにもかかわらず、ヒトの免疫系が敵と見なして攻撃してしまいます。これはヒトにとっての「ふつう」だとは言えません。アトピー性皮膚炎と花粉症は、現在では人生の一部になってしまった人が多数いますが、これも「ふつう」の状態とは言えないでしょう。喘息もそうです。呼吸は生きていく上で欠かせないものなのに、薬に頼らないと息ができない子どもたちがたくさんいる。

では、自己免疫疾患はどうでしょうか。本書から引用します。

自己免疫疾患はどうだろう。1000人のうち4人が１型糖尿病を患っている現在、あなたの義妹がインスリン注射をしているのは別段めずらしいことではない。あなたの妻とその叔母の神経を破壊している多発性硬化症の名前もあちこちで見聞きする。 自己免疫疾患にはほかに、関節炎を生じさせる関節リウマチ、腸を襲うセリアック病、筋線維を変性させる筋炎、細胞をその中心から崩壊させる狼瘡（引用注：ろうそう。全身性エリテマトーデス。SLEと略される）、その他およそ80種類がある。アレルギー同様、免疫系が暴走して病原体だけでなく自分自身の細胞まで攻撃してしまう自己免疫疾患に苦しむ人は、先進国では人口の10%近くに達している。 「同上」p.64

著者は１型糖尿病の増加の例を詳しく書いています。１型糖尿病は遺伝子変異で引き起こされる自己免疫疾患で、膵臓の細胞が破壊されてインスリンが分泌されなくなります。通常10代などの若年期に発症し、ブドウ糖が血液中にどんどんたまり、喉の渇きや多尿をもたらします。患者は日に日に衰弱し、腎不全で数週間後か数か月後に死亡します。唯一の治療はインスリンの注射ですが、インスリンが発見されて患者への投与が始まったのは1920年代であり、20世紀初頭までは死が避けられない病気でした。

この１型糖尿病は19世紀以前でも簡単に診断がついたという特徴があります。自己免疫疾患の有病率の長期の傾向をみるには最適の病気です。

１型糖尿病はほかの病気に比べていまも昔も診断がつきやすいという特徴がある。最近では空腹時に血糖値をちょっと測るだけでわかる。100年前でも調べる気になれば簡単に調べることができた。調べる気になれば、と言ったのは、その調べ方というのが患者の尿を舐めるという方法だからだ。口の中で甘みが広がれば、腎臓で血液から尿に排出されたブドウ糖の量が多いということになる。もちろん現在より過去のほうが見過ごされるケースは多かっただろうし、記録に残されていないものもあっただろうが、１型糖尿病の有病率の変化は自己免疫疾患全般の有病率の変化を知る目安として信頼に足りうる。 欧米ではおよそ250人に１人が１型糖尿病で、ブドウ糖がたまるのを防ぐために自分に必要なインスリン量を計算し、それを注射している。だが、ここまで有病率が高くなったのは最近の話だ。１型糖尿病は19世紀にはほとんどなかった。アメリカのマサチューセッツ総合病院が1898年まで75年以上保管していた記録によれば、同院を訪れたおよそ50万人患者のうち小児期に糖尿病と診断されたケースは21件しかなかった。昔は診断されなかったから見逃されていたのでは、という疑いは排除していい。尿を舐めて調べる検査、急激な体重減少、そして死が避けられないというわかりやすい診断基準で、この病気は当時から簡単に見分けられていたからだ。 第２次世界大戦の直前に公的な記録制度が整うと、それ以降の１型糖尿病の有病率の推移をたどるのは簡単になった。第２次世界大戦前、アメリカ、イギリス、スカンディナビアで１型糖尿病の小児患者は5000人に1人だった。有病率は戦争中は変わらなかったが戦後に上がりはじめ、1973年には1930年代の6倍から7倍になった。1980年代に現在と同じ250人に1人となり、その後は横ばいを続けている。 「同上」p.65

1898年以前は25,000人に１人（50万人中の21人）だった有病率が、1980年代には 250人に１人になったわけです。１型糖尿病は約100年間で100倍に増加したことになります。

１型糖尿病の増加と連動するかのように、ほかの自己免疫疾患も増加しました。神経系が破壊される多発性硬化症は、2000年の時点でその20年前の2倍になりました。セリアック病（小麦に含まれるグルテンの摂取が引き金になって免疫系が小腸細胞を攻撃する自己免疫疾患）は、現在、1950年代と比べて30倍から40倍に増えました。炎症性腸疾患や関節リウマチなども増えています。

---

さらに、肥満も20世紀後半に急増したものです。本書ではBMIが25以上を「過体重」、30以上を「肥満」と定義しています。現在、欧米人の半数以上は過体重または肥満です。しかし、かつてはそうではありませんでした。

現在の私たちから見ると、1930年代や1940年代の懐かしの白黒写真に見られる短パン姿や水着姿で夏を楽しむ若い男女の体格は、肋骨が浮き出て腹部がへこみ、いかにも貧弱だ。だが、彼らは不健康でも何でもなく、単に現代人の悩みを抱えていないだけである。20世紀初頭には、ヒトの体重に個人差はそれほどなく、記録をとる必要がないほどだった。 「同上」p.67

「20世紀初頭には、ヒトの体重に個人差はそれほどなく」とありますが、個人差があまりないと同時に、それ以前の人類史と比較しても差があまりなかったのです。この状況が20世紀半ばから変化します。

ところが1950年代に、肥満病の震源地アメリカで突如、体重増加が目立つようになり、政府は記録をとりはじめた。1960年代初期に実施された初の全国調査では、成人の13%が肥満（BMI値が30を超える）で、30%が過体重（BMI値が25～30）だった。BMIとは、体重（kg）を身長（m）の２乗で割って出た数値、ボディ・マス・インデックスのことである。 1999年には、成人のアメリカ人の肥満率は倍増して30%となり、過体重のゾーンに入る人は34%となった。合わせると過体重または肥満は64%になる。イギリスも少し遅れて同じ傾向を追いかけた。1966年には成人イギリス人の肥満の割合は1.5%、過体重は11%だった。1999年になると肥満は24%、過体重は43%、合わせて67%だ。 肥満の問題は単に太っていることだけではない。肥満は２型糖尿病や心臓病、一部の癌の原因ともなり、実際、これらの病気は着実に増えている。 「同上」p.67

---

自閉症をはじめとする "心の病気" はどうでしょうか。

自閉症の患者は、かつてないほど多くなっていて、68人に1人の子ども（男児では42人に1人）が自閉症スペクトラムと診断されている。1940年代には自閉症はあまりに希少で病名さえついていなかった。 記録をとりはじめた2000年でさえ、現在の半分以下だった。患者数が増えた背景に、自閉症への認識率の高まりや過剰診断があることは否定できない。だが、それを差し引いても自閉症の有病率が増加しているのは事実であり、昔とは明らかに違うと大半の専門家は認めている。注意欠陥障害やトゥーレット症候群、強迫性障害も増加している。うつ病と不安障害もだ。 心の病気がこんなに増加しているのは「ふつう」ではない。 「同上」p.68

アレルギー、自己免疫疾患、自閉症、肥満などは、あまりに常態化しているため、曾祖父母とそれ以前の世代にはほとんどなかった新しい病気や症状だということに我々は気づきません。それは医者も同じで、現代の医者は現代の知見をベースにした教育を受けています。昔はなかった病気だと言われても、ピンと来ないでしょう。

何が状況を変えてしまったのか、じっくりと考えてみる必要があります。本書の眼目は、これらの "21世紀病" がヒトのマイクロバイオータの "変調"（＝ディスバイオシス）に関係しているのではということです。その研究は21世紀から盛んに行われるようになり、その最新の情報をもとに書かれたのが本書です。まだ研究途中のテーマが多いのですが、その一端を、以下に紹介します。

---

21世紀病：肥満

---

20世紀は、人類が誕生してこのかた、最も体型が変化した時代です。著者は「後世からすると20世紀は肥満の時代と定義されるだろう」とまで言っています。

ヒトの体型を5万年前と1950年代とで比べてもそれほど違いはないだろうが、こんにちの平均的な体型は明らかに違う。狩猟採集民のころから続いてきた筋肉質でひきしまった体格は、たった60年かそこらでぶくぶくになってしまった。これほど大規模な変化は人類史において過去に一度も起こったことはない。いや、ヒト以外の動物（ペットと家畜を除く）でも、体型をこれほど変えてしまう病気が広がったことはない。 地球上の成人は、3人に1人が過体重（引用注：25 < BMI < 30）で、9人に1人が肥満（引用注：30 < BMI）だ。なおこの比率は、過体重より栄養不良のほうが心配な地域を含めた全世界の平均値である。肥満率の高さで上位にいる国の現実は想像を絶する。たとえば南太平洋の島国ナウルでは、成人のおよそ70%が肥満で、そのほかに過体重が23%いる。この小国の人口は1万人だから、まともな体型は700人しかいないことになる。ナウルは太った人が世界一多い国家と認定されている。南太平洋のほかの国々や中東諸国の多くが僅差で続く。 欧米でも、太った人がいると目立ったのは過去の話となってしまった。いまや、痩せた人を数えるほうが早い。成人の3人に2人は過体重で、さらにその半分は単なる過体重ではなく肥満だ。アメリカは肥満国家という印象があるが、意外にも世界ランキングでは17位で、過体重または肥満の割合は71%にとどまる。イギリスは世界ランキング39位で、成人の62%が過体重（25%の肥満を含む）と西ヨーロッパで最も高い。恐ろしいことに、欧米世界では子どもにまで太りすぎが蔓延し、12歳未満の小児の3分の1が過体重でその半数が肥満である。 「同上」p.89

肥満は、糖尿病などのいわゆる生活習慣病の原因になり、ある種の癌のリスク要因にもなることが確実視されています（たとえば大腸癌）。肥満はこの50年程度で急速に進み、多くの人が太りすぎの状況に慣れてしまいました。このため我々は、太るのは欲望（＝食欲に負ける）と怠け癖（＝運動不足）の結果であり、肥満は人間の性さがたと思い込んでしまった。

もちろん、過食と運動不足が肥満の原因になるのは間違いありません。特に過食です（No.221「なぜ痩せられないのか」に書いたように、運動による減量の効果は限定的）。しかしそれだけでしょうか。

ちなみに本書には書いてありませんが、ストレスが肥満の（２次的な）原因になるとうのはよく言われることです。ストレスが満腹中枢を刺激するホルモンの分泌を低下させ、そのために過食になり、肥満になるという理屈です。

肥満の他の理由は遺伝的要因です。体重増加に作用している遺伝子は32個ほど発見されています。しかしこれらによる体重増加は、最大限に見積もっても約8kgです。それに、ヒトの遺伝子は60年程度では変わりようがありません。遺伝的に太りやすい人がいるのは事実ですが、多くの人がスリムだった60年前と現在で遺伝子の全体的な状況は同じはずです。

---

過食と運動不足、遺伝的要因だけで肥満を説明することはできません。ここで我々が見落としていたのが微生物の影響です。ヒトが食物から吸収するエネルギー量は体内の微生物に関係しているようなのです。

スウェーデンのヨーテボリ大学のバークヘッド教授は、肥満の研究をしてきました。彼が2004年から行った無菌マウスを使った実験が本書に出てきます。マイクロバイオーム研究の世界的第１人者、ジェフリー・ゴードン（アメリカ・ミズーリ州ワシントン大学教授）との共同研究です。

フレドリク・バークヘッドはヨーテボリ大学の微生物学教授だ。彼の実験室にあるのは、微生物学という言葉から連想されるペトリ皿や顕微鏡ではなく、数十匹のマウスだ。マウスはヒトと同じく多種多様な微生物を腸内に棲まわせている。だが、バークヘッドのマウスは違う。帝王切開で生まれたのち無菌室で育てられているため、体内に微生物がまったくいない。この「白いカンバス」のようなマウスに、バークヘッドの研究チームは思いのままに特定の微生物を植えつけることができる。 バークヘッドは2004年に、マイクロバイオーム研究の世界的第１人者ジェフリー・ゴードンとの共同研究に乗り出した。ゴードンは実験で使っている無菌マウスがひどく痩せていることに目をとめ、バークヘッドと共にその理由を腸内細菌が不在だからではないかと考えた。このとき２人は、腸内細菌が宿主動物の代謝に与える作用について、ごく基礎的な研究でさえまったくなされていないことに気がついた。そこで、バークヘッドは第１弾として、腸内細菌がいるとマウスは太るのか、というシンプルな疑問を研究することにした。 この疑問に答えるため、バークヘッドは無菌マウスを成体まで育てたあと、そのマウスの毛に、通常マウスの盲腸の内容物をなすりつけた。無菌マウスが自分の毛をなめると、腸内に通常マウスと同じ微生物が棲みつく。結果は大当たりで、元無菌マウスは太ってきた。少し太った程度ではなく、14日間で体重を60%も増やした。餌を食べる量は逆に減っていた。 「同上」p.100

腸内に棲む微生物が、宿主に消化できない食べ物を食べていることは科学者が皆知っていました。つまり微生物は宿主から恩恵を受けています。しかし微生物による消化作用が宿主のエネルギー摂取にどれほど貢献しているのか、つまり微生物が宿主に与える恩恵については、誰も知らなかった。マウスによる実験によると、明らかにマウスも恩恵を受けているのです。

さらに、ゴードンの研究室で研究員だったピーター・ターンバウの実験があります。彼は遺伝的に肥満のマウスの腸内細菌と通常のマウスの腸内細菌を、それぞれ別の無菌マウスに移植し、同じ餌で飼育する実験をしました。案の定、肥満マウスのマイクロバイオータを移植されたマウスは太り、通常マウスのマイクロバイオータを移植されたマウスは太らなかった。

腸内細菌の何が私たちを太らせているのだろう。ターンバウが肥満マウスの微生物を移して太らせたマウスは、フィルミクテス門の細菌が多くバクテロイデーテス門の細菌が少ないマイクロバイオータを有しており、それにより食べ物から多くのエネルギーを吸収しているようだった。 これは「カロリーイン、カロリーアウト」の法則を根底から覆す。単に食事のカロリー計算をするだけでなく、そこから吸収するエネルギーの量を知らなければならないのだ。ターンバウは、肥満型のマイクロバイオータを移されたマウスは餌から 2% 多くカロリーを吸収していると算出した。同じ量の餌に対し、通常マウスが100キロカロリーを得るところを、太ったマウスは102キロカロリーを得る。 なんだ、たいしたことはないと思うかもしれないが、1年以上たつと差はどんどん開く。身長163センチ、体重62キロ、BMI値23.5という平均的な女性を例にとってみよう。この女性は1日に2000キロカロリーを摂取するが、肥満型のマイクロバイオータを有していると2%余分にカロリーを吸収する、つまり1日に40キロカロリーが加わる。エネルギーの消費量がいつもどおりであれば、この余分な40キロカロリーは理論上、1年で1.9キロの体重増になる。10年で19キロ増え、彼女の体重は81キロに、BMI値は肥満レペルの30.7になる。腸内細菌が食べ物から2%余分にカロリーを引き出すだけで、10年で肥満になるということだ。 「同上」p.104

アトウォーター係数というエネルギー換算係数があります。タンパク質：4kcal/g、脂質：9kal/g、炭水化物：4kcal/g という係数ですが、これはもちろん標準値であって、同じ栄養素でもその物理的組成や食品としての加工の程度、調理方法によって吸収されるエネルギーは違ってきます。

それに加えて、ヒトのマイクロバイオータもエネルギー吸収に関与している。これはヒトそれぞれでエネルギー吸収量が違うということを意味します。

ターンバウの実験は、ヒトの栄養についての考え方に革命をもたらした。食品ラベルに表示してあるカロリー量は、炭水化物1グラムは4キロカロリー、脂肪1グラムは9キロカロリーというように、標準的な換算表で計算されたものだ。食品の品目ごとに「このヨーグルトは137キロカロリー」「このパン1枚は69キロカロリー」と、だれが食べても同じカロリーになることを前提としている。 だが、事はそれほど単純ではない。そのヨーグルトはふつうの体重の人には137キロカロリーでも、太った人には140キロカロリーになる。別のマイクロバイオータを抱えた人ならまた別のカロリー量になるかもしれない。そして、このわずかな差は積もり積もって大きな差となる。 「同上」p.105

さらに本書では、肥満の人はより多くのエネルギーを脂肪細胞に蓄えることが示されています。これに影響しているのも微生物です。たとえば、マーモット（小型のサル）での実験では、アデノウイルス36（AD36）に感染するとマーモットは太りました。このウイルスに感染すると脂肪組織はエネルギーが余っていなくても脂肪の貯蔵に励むようになります。ヒトでの実験は倫理上の問題もあってできませんが、AD36の感染履歴があるかを抗体検査で調べた結果があります。それによると肥満者の30%が過去にAD36に感染していました。太っていない人では10%です。

そのヒトでの研究ですが、腸内細菌の中には表面にリポ多糖（＝LPS。No.122「自己と非自己の科学：自然免疫」の "グラム陰性菌" の説明参照）を付けているものがいます。そして腸内にアッカーマンシア・ムシニフィラという細菌が少なくなるとリポ多糖が腸壁を通過して血液中に入り込み、その結果、脂肪細胞に過剰な脂肪が詰め込まれることが分かりました。

痩せたヒトと太った人の腸内での存在量の違いが見られる微生物に、アッカーマンシア・ムシニフィラという細菌がいる。痩せた人はこの細菌が多くいて、この細菌が少ない人ほどBMI値が高い。この細菌は、痩せた人では腸内微生物全体の4%を占めているのに対し、太った人ではほとんどゼロだ。 アッカーマンシア・ムシニフィラは腸壁を覆う厚い粘膜層の表面に棲んでいる（ムニシフィラとは粘膜好きという意味だ）。腸壁の粘膜層は、腸内微生物が血液中に入り込んで悪さをするのを防ぐ障壁となっている。アッカーマンシア・ムシニフィラの存在量はBMI値に関係するだけではない。この細菌が少ないと粘膜層が薄くなり、リポ多糖が血液中に入り込みやすくなる。 アッカーマンシアが痩せた人の腸内に多いのは、この細菌が粘膜好きで、粘膜層が厚いほど繁栄するからだと思うだろう。実態はその逆で、この細菌が腸壁細胞に働きかけて、より多くの粘液を分泌させている。アッカーマンシアはヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を得て、結果的にリポ多糖分が血液中に入り込むのを阻止している。 「同上」p.118

リポ多糖は脂肪細胞に炎症を起こし、また新しい脂肪細胞の形成を妨げます。その結果、既存の脂肪細胞に過剰な脂肪が詰め込まれることになるのです。

腸壁の断面図（本書）

この図で上の方の「移動性微生物」が生息しているのが腸の内腔で、その下に描かれている「粘液好きの微生物」の一つがアッカーマンシア・ムシニフィラである。アッカーマンシアはヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を得て、リポ多糖が血液中に入り込むのを阻止している。この結果、脂肪細胞に過剰な脂肪が詰め込まれることがなくなる。

従来、肥満は過食と運動不足が原因であり、要するに生活習慣病であるとされてきました。しかしそれに加えて微生物が関係していることが次第に分かってきました。

微生物とは無関係だとされていた症状・病気が、実は違ったことが分かった先例があります。1982年、２人のオーストラリア人科学者、ロビン・ウォレンとバリー・マーシャルが、胃潰瘍を引き起こしているのはヘリコバクター・ピロリ菌だと解明しました。この功績により、２人は2005年のノーベル医学生理学賞を受賞しました。胃潰瘍は感染症の一種だったのです。

胃潰瘍と同じように、肥満も微生物が原因の感染症という一面があるようです。

---

21世紀病：自閉症

---

自閉症（＝自閉症スペクトラム障害）は、1943年にアメリカの精神科医が初めて命名した症状です。この症状に共通するのは人づき合いが困難だということです。生後の早い時期から外界に無関心で、他者の真意、冗談、皮肉、比喩などが理解できません。他者との共感を抱けず、社会生活のルールを身につけることができません。決まりきった行動を好み、単一の考えや対象物の執着します。

自閉症は遺伝的なものだというのが一般的な見方で、それは1990年代もそうでした。しかし、それに疑問を持った人がいました。アメリカのコネティカット州のエレン・ボルトです。1992年に生まれた彼女の第４子であるアンドリューは、生後15ヶ月ごろに耳の感染症のために抗生物質の投与をうけ、再発を繰り返したため、抗生物質の種類を変えて何回もの治療が続きました。そして治療の途中からアンドルーの振る舞いが変わりはじめ、２歳のころには自閉症と診断されました。エレン・ボルトは疑いを持ちます。アンドリューの自閉症は抗生物質の投与が引き起こしたのではないかと ･･････。

エレン・ボルトは文献を読みあさり、ある仮説をたてます。それは腸内における破傷風菌の増殖が原因ではないかという仮説です。破傷風菌は普通、血液に入って筋肉に感染しますが、アンドルーの場合は腸に入った。通常、腸内での増殖は起こらないのですが、抗生物質治療が腸内細菌を殺していたために破傷風菌が増殖し、その毒素が脳に影響を与えたのではとエレンは考えたのです。破傷風菌が筋肉に感染するとその毒素が筋収縮を起こしますが、腸に感染した場合は毒素が脳に影響しうることを示す論文もありました。そして実際に検査してみると、アンドリューの破傷風菌の抗体値は異常に高かったのです。

エレンが相談した37番目の医師は、シカゴの小児胃腸科専門医のリチャード・サンドラーでした。彼はエレンの話を注意深く聞いてくれ、破傷風菌を殺すために抗生物質を投与するというエレンのアイデアを実行してみることにしました。２日後、４歳半になっていたアンドリューの行動は落ち着き始めました。２週間後にはトイレ訓練が可能になり、言葉をたくさん覚えるようになり、着替えを嫌がらなくなりました。脳の発達期に受けたダメージのため、自閉症が完治したわけではありません。しかしアンドリューの変化は誰の目にも明らかでした。

アンドリューの事例に興味を示してくれたのが、高名な微生物学者、シドニー・ファインゴールド（米・カリフォルニア大学）です。ファインゴールドは嫌気性微生物研究の第一人者であり、破傷風菌を含むクロストリジウム属の細菌も嫌気性微生物の仲間です。エレン・ボルトの話に興味を惹かれたファインゴールドは実験を開始しました。

破傷風菌仮説がひらめいてから6年後の2001年、エレン・ボルトはついに自分が正しかったことを知る。シドニー・ファインゴールドは、自閉症児13名と健康児8名で、大腸内にいる微生物を比較する対照試験をした。当時、マイクロバイオータのすべてを調べるにはDNA解析技術はまだ高価すぎたが、ファインゴールドは無酸素状態で細菌を培養する特殊な技能を有していたため、クロストリジウム属の細菌種をカウントすることができた。 破傷風菌そのものは見つからなかったが、重要なことがわかった。自閉症児は健康児に比べて、平均すると腸内にクロストリジウム属の細菌が10倍も多くいたのだ。おそらく、破傷風菌の仲間の菌種も幼い脳にダメージを与えるような神経毒素を出すのだろう。エレン・ボルトの仮説は原因菌種を狭く特定していただけで、考え方の方向性としては合致していたことがこの段階で示された。 「同上」p.140

ファインゴールドはその後、自閉症児と健常児のマイクロバイオータを比較する研究を何度かくり返した。そして、自閉症児の多くに共通して見つかる疑わしい細菌種を発見し、エレン・ボルトにちなんでクロストリジウム・ボルテアエという名をつけた。自閉症児と健常児では腸内細菌のバランスが異なり、その違いとしてクロストリジウムが浮上することが多い。だが、これらの細菌は、どのようにして幼い脳を改変し、重度の自閉症を発症させてしまうのだろうか。 「同上」p.154

カナダのオンタリオ州ロンドンにあるウェスタン・オンタリオ大学にデリック・マクフェイブという研究者がいました。彼は過去に自閉症に似た症状を示す男性に抗生物質を投与したところ症状が改善したことから、脳と腸の関係を信じるようになっていました。彼は自分の脳卒中の研究でプロピオン酸という分子を調べていて、これが自閉症と関係しているのではとの疑いをもちました。

プロピオン酸は、消化されなかった食べ物を腸のマイクロバイオータが分解するときできる物質、短鎖脂肪酸（SCFA）の1つだ。代表的な短鎖脂肪酸は酢酸、酪酸、プロピオン酸で、どれも私たちの健康と幸福に欠かせない物質だ。マクフェイブが注目したのは、プロピオン酸は人体に重要な物質であると同時に、パン製品の防腐剤にも使われていることだ。パン製品は、多くの自閉症児が好む食べ物だ。さらに、プロピオン酸を産生するのはクロストリジウム属の細菌だということが知られている。プロピオン酸そのものは有害な物質ではないが、ひょっとすると自閉症児の体内にはこの物質が過剰にあるのではないかとマクフェイブは考えた。 「同上」p.155

自閉症児の脳内にはプロピオン酸が脳内に過剰にあるのではないかという仮説を実証するため、マクフェイブはまずマウスでプロピオン酸の脳に対する影響を確かめる実験を開始しました。

自閉症児のマイクロバイオータはプロピオン酸を過剰生産していて、そのプロピオン酸がふるまいに影響しているのだろうか。それを確かめるため、マクフェイブは一連の実験に乗り出した。生きたラットの脊柱に小さなカニューレを挿入し、そこから微量のプロピオン酸を脳脊髄液に注入した。数分後、ラットは奇妙にふるまいはじめた。その場でぐるぐる回ったり、単一の物体に固着したり、突発的に走ったりするようになったのだ。２匹のラットを同じケージに入れてプロピオン酸を注入すると、立ち止まって互いの匂いを嗅ぎ合うことをせず、相手を無視してケージの中をぐるぐる走り続けた。 ラットのふるまいが変わったのは明白で、しかもそれは自閉症患者のふるまいに似ている。そのようすはインターネットの動画で見ることができる。仲間のラットよりモノに興味を示し、一定の動きをくり返し、チックや多動を示すという自閉症患者と同じ特徴が、脳へのプロピオン酸の作用で出現したのは明らかだ。プロピオン酸の効果が半時間ほどで消えるとラットのふるまいは元に戻る。プラセボとして生理食塩水を注入したラットには変化は見られなかった。逆に本物のプロピオン酸であれば、ラットの皮膚下に注射したり食べさせたりした場合でも、同じ変化が現れた。 この小さな分子はラットの脳をハイジャックし、宿主に異常な行動をさせていた。 「同上」p.156

プロピオン酸はラットの脳に与えたと同じようなダメージを自閉症患者の脳にも与えていたのだろうか。その疑問を解くため、マクファイブの研究チームはラットの脳と、検死解剖された自閉症患者の脳を比べた。その結果、どちらの脳にも免疫細胞が大量にあることが確認された。統合失調症や多動性障害の場合と同じく、やはり炎症の痕跡があったのだ。 「同上」p.157

免疫細胞が大量にあるということは、脳内で炎症が起こっていたということです。腸内細菌の "ありよう" が結果として脳にダメージを与えて自閉症を発症するというのは仮説であり、マクファイブの研究チームはまだ慎重な姿勢を崩していません。現在も研究が続いているところです。なおエレン・ボルトの娘のエリン・ボルトは、この分野の研究者の道を歩んでいます。

---

20世紀には微生物が引き起こす病気が次々と明らかになりましたが、脳の不具合だけは微生物と無関係なものとされてきました。脳以外の器官がおかしくなった時、我々は外部要因を考えます。しかし脳（心）の病気だけは、本人や親、遺伝、ストレス、生活習慣のせいにされる。

ところが、感染症も脳に影響することが分かってきました。たとえば、トキソプラズマに感染すると性格が変わります。反応が鈍くなり、集中力が失われる。男性は陰気になり、ルールや道徳を無視するようになります。女性は逆に明るくおおらかになる。

腎臓や心臓の不具合をカンウセリングで直そうとする人がいないと同じように、心の病気をカンセリングだけで直そうとするのは時代遅れなのです。

---

21世紀病：免疫関連疾患

---

免疫関連疾患とは、どこにでもあるありふれた物質に免疫が過剰に反応したり（＝アレルギー）、免疫が自己の細胞を攻撃したり（＝自己免疫疾患）することを言います。これについては No.119-120「"不在" という伝染病」に詳述しましたが、もちろん本書でも書かれています。

20世紀までの免疫に対する理解は「自己と非自己を区別し、非自己を排除することで自己の一貫性を保つ」というものでした（No.69-70「自己と非自己の科学」参照）。しかし腸内細菌は免疫の働きの最前線に生息しているにもかかわらずヒトと共生し、互いに利益を与えあっています。ヒトからみると完全に "非自己" であるはずの腸内細菌が共生できる秘密は何なのでしょうか。この理由が、大阪大学の坂口教授が1995年に発見した "制御性T細胞" です。

免疫細胞ならすべての細胞が敵の破壊と脅威の検知にしのぎを削っていると思われがちだが、人体のあらゆる仕組みがそうであるように、免疫系においても、炎症反応を促進する指示と、炎症を抑制する指示の釣り合いを保たなければならない。このとき炎症抑制の役目を担っているのが、最近知られるようになった制御性T細胞だ。略してTレグ細胞とも呼ばれる制御性T細胞は、軍隊でいうと准将のような位置づけで、興奮して息巻いている兵士を鎮めて落ち着かせる。この細胞が多ければ免疫系はあまり反応せず、少なければ過剰に反応する。 制御性T細胞を生産できない突然変異をもって生まれた子は、IPEX症候群（X連鎖免疫調節異常・多発性内分泌障害腸症候群）という致死的な病気になる。免疫系のバランスが傾いて、炎症を促進する免疫細胞を大量に産出し、リンパ節と脾臓を肥大させてしまう病気だ。過剰に攻撃的になった細胞は自身の臓器を破壊し、患者は小児期に１型糖尿病や皮膚炎、食物アレルギー、炎症性腸疾患、難治性の下痢といった一連の自己免疫疾患とアレルギー疾患に見舞われる。そして多臓器不全で早すぎる死を迎える。 ところが、最近になって驚くべき事実が明るみに出た。准将の制御性T細胞に命令を出している最高司令官は、人体にとっていつも最善の利益を追求する「精鋭のヒト細胞」ではない、というのだ。制御性T細胞を使って命令を流しているのはマイクロバイオータだ。微生物は抑制系の免疫細胞の数を操作することにより、微生物自身の生存を確実なものにする。微生物にとっては、ヒトの免疫系は穏やかで寛容なほうがありがたい。攻撃されたり追い出されたりする心配がなくなるからだ。 では、微生物は自身の利益のためにヒト免疫系を鈍くさせるよう進化して、ヒトが昔からの敵と出合ったとき始動すべき安全装置を改ざんしてしまったのかといえば、そういうことではない。ヒトとマイクロバイオータの長い共進化の歴史は、どちらにとっても最善の利益となるよう免疫系のバランスを微調整してきたからだ。 「同上」p.198

上の引用の最後のセンテンス、「ヒトとマイクロバイオータの長い共進化の歴史は、どちらにとっても最善の利益となるよう免疫系のバランスを微調整してきた」というところがキモです。マイクロバイオータにとって免疫の働きが強すぎるとヒトの体に生息できなくなり、それはまずい。だからといって免疫の働きが弱いと病原菌がはびこってヒトの体が不調をきたし、マイクロバイオータの生息環境そのものが脅おびやかされる。この微妙なバランスの上で、ヒトとマイクロバイオータが共進化してきたわけです。

マイクロバイオータの構成員はどのようにして免疫系をなだめているのだろう。通常の腸内細菌は、細胞表面を病原体と同じように赤い旗で覆っているが、免疫系を苛立たせることがない。どうやらこうした味方の細菌は、自分たちと免疫系だけが知っているパスワードをもっているようだ。 カリフォルニア工科大学のサルキス・マズマニアン教授は、バクテロイデス・フラジリスという細菌が提示するパスワードを発見した。この細菌はマイクロバイオータの中でもとくに数の多さを誇っており、出生直後に腸内に入植する細菌の1つだ。この細菌は多糖類A（PSA）という物質を産生し、それを微小なカプセルに入れて細胞表面から放出する。このカプセルが大腸で免疫細胞に貪食されると、いっしょに飲みこまれたPSAが制御性T細胞を起動させる。制御性T細胞は他の免疫細胞に、バクテロイデス・フラジリスを攻撃しないようメッセージを送る。 バクテロイデス・フラジリスはPSAをパスワードとして使って、免疫系を炎症型から抗炎症型に変える。免疫反応をおだやかなものにし、アレルギーを防ぐには、初期にコロニーをつくる細菌が産生するPSAのようなパスワードが重要なのだろう。さまざまな形をとるこうしたパスワードもまた、それぞれの微生物株が人体の「高級クラブ」の会員として受け入れられるよう進化してきたものに違いない。 致死的な免疫疾患であるIPEX症候群の患者に制御性T細胞が欠けているのと同じように、アレルギーをもつペット動物にも制御性T細胞の不足が見られる。制御性T細胞の抑制効果がないと、ハンドブレーキが解除され、免疫系は無害な物質にまでフルスピードで突進してしまうようだ。 「同上」p.200

バクテロイデス・フラジリスが出すPSA（多糖類A。PolySaccharide A）が制御性T細胞を誘導する（＝ 未分化のT細胞を制御性T細胞に分化させる。つまり制御性T細胞を増やす）しくみについては、No.70「自己と非自己の科学（２）」で日経サイエンスの記事から引用しました。人体において細胞間の情報伝達の役割を果たすタンパク質を総称して "サイトカイン" と言いますが、PSAは共生微生物とヒトの間の情報伝達に使われる「サイトカイン相当物質」（著者の表現では "パスワード"）と言えそうです。

要するに、ヒトは微生物と共生することを前提として成り立っています。従って、微生物の数や種類に変調をきたして「共生」の前提が崩れると免疫の暴走も起きる。それが自己免疫疾患につながるわけです。

なお、「21世紀病」のところで自己免疫疾患の例として１型糖尿病が激増したことを引用しましたが、No.229「糖尿病の発症をウイルスが抑止する」で、ある種のウイルスに感染していることで１型糖尿病の発症が抑えられる（制御性T細胞ができ、それが膵臓に留まって、自己の免疫の攻撃から膵臓が守られる）ことを書きました。

---

以上、著者が「21世紀病」と呼んでいるもののうち、肥満、自閉症、免疫関連疾患とマイクロバイオータの関係を紹介しました。では、ヒトがマイクロバイオータを正常に保つために必要なことは何でしょうか。本書では「抗生物質」「自然出産と母乳」「食物繊維」の観点から述べられています。

（次回に続く）

---

タグ：アレルギー 肥満 自閉症 ジャイアントパンダ 抗生物質 共生 耐性菌 自己免疫疾患 MRSA １型糖尿病 制御性T細胞 マイクロバイオーム プロピオン酸 アランナ・コリン 矢野真千子 あなたの体は９割が細菌 マイクロバイオータ ヒトゲノム・プロジェクト ヒトマイクロバイオーム・プロジェクト 21世紀病 短鎖脂肪酸

No.306 - プーランク：カルメル会修道女の対話

---

フランス革命

---

今回は No.42 「ふしぎなキリスト教（２）」 と No.138「フランスの "自由"」で触れた、フランシス・プーランクのオペラ「カルメル会修道女の対話」（1957）について書きます。このオペラは実話にもとづいています。つまり、

フランス革命のさなかの 1794年7月17日、カトリックの修道会の一つである "カルメル会" の修道女・16人が、反革命の罪によりパリで処刑された

という歴史事実を題材にしたオペラです。フランス革命の勃発（バスティーユ襲撃、1789年7月14日）から５年後、マリー・アントワネットの処刑（1793年10月16日）からは９ヶ月後、ということになります。

フランス革命は現在のフランス共和国の原点ですが、重要なのは、貴族とともに聖職者（カトリック）が打倒されて市民（＝ブルジョアジー）が権力を握ったことです。この「フランスの "国のかたち" は宗教を打倒してできた」という歴史から理解できることがあります。No.138「フランスの "自由"」に書いたように、フランスの伝統的な自由の考え方は、

・	宗教といえども、イデオロギーや思想の一つである。他のさまざまな思想と横並びで同等である。
・	従って「言論の自由」の中には「宗教を批判する自由」も含まれる。これはフランス国民の権利である。

というものです。従って、キリストやムハンマド（イスラム教）を戯画化して描いた風刺画を雑誌や新聞に載せるのはかまわない。いわば "フランス的自由" です。

2015年1月7日、フランスの週刊新聞「シャルリー・エブド」のパリの本社に２人のテロリストが乱入して銃を乱射し、編集長、編集関係者、風刺画家、警官の12人が射殺されました。また2020年10月16日、ムハンマドの風刺画を授業で使った中学校教師がパリ郊外で首を切断して殺されました。

２つとも卑劣極まりない犯罪ですが、その誘因になったのが "フランス的自由" でしょう。しかしこの "自由" をフランスは絶対に守るはずです。でないと、神に祈りを捧げるだけの存在だった16人の修道女たちを何のためにギロチンにかけたのか分からなくなる ･･････。大袈裟に言うと、そういうことではないでしょうか。

---

そしてプーランクのオペラ「カルメル会修道女の対話」ですが、実は、カルメル会修道女の（カトリック教会からみた）"殉教" は、絵画になり、小説に取り上げられ、舞台劇になり、そしてプーランクがオペラ化しました（さらに映画化もされた）。その、殉教からオペラ作曲に至る経緯を中野京子さんが書いていました。まずそれを順に紹介したいと思います。

---

宣誓忌避派の聖職者を処刑

---

カルメル会修道女、16人は、フランス革命のさなかに死刑宣告をうけ、ギロチンで処刑されました。なぜこういうことになったのか。それは革命の経緯と関係しています。

フランス革命期は人命の価値が低く、また犠牲者の数を安易に増やした要因が新発明のギロチンだったことは、よく知られている。ギロチン以前は貴賤きせんによって処刑法が異なり、前者は苦痛の少ない（と信じられた）斬首、後者は絞首こうしゅと決まっていた。斬首は斧や剣を振るっての処刑だったから首切り人の負担が重く、一度におおぜいは無理がある。それを劇的に変えたのが、この簡便かんべん且つ恐ろしい大量処刑装置だったのだ。 ギロチン刑は速すみやかに死をもたらすので人道的とされ、革命政府の称揚する「平等」とも結びついて、王侯貴族から最下層の平民まで全階級にわたって使われるようになった。もちろん第一身分の聖職者も例外ではないが、それでもなお、なぜ修道女までがと、異国の我々は驚きを禁じ得ない。 しかし革命は、腐敗しきった高位聖職者（ほとんどが貴族出身）による富と権力の占有、及び教会の汚職への抗議という形で始まったのだ。やがて運動拡大につれ、教会や修道院の所有地と財産が没収された。そして「恐怖政治」開始とともに王政廃止、国王夫妻処刑、歴代ブルボン家が依拠する国教カトリックそのものの無力化が進められる。フランス全土に四万近くあった教会は、内部の破壊、閉鎖、売却、転用と、機能不全にされてしまう。 中野京子 「運命の絵 ── なぜ、ままならない」 （文藝春秋 2020）

フランス革命の過程においては、国教であったカトリックの無力化、教会の機能不全化が進められました。No.42「ふしぎなキリスト教（２）」 に書きましたが、現在の世界遺産、モン・サン＝ミシェルの修道院が監獄に転用されたのが象徴的です。

聖職者は二分された。革命政府に忠誠を誓った宣誓せんせい派と、誓いを拒否した宣誓忌避きひ派だ。忌避派は身分を剥奪はくだつされるか、フランス領ギアナなどへ追放され（その数、３万という）、抵抗した場合はギロチンにかけられた。アントワネットの処刑当日、懺悔ざんげを聴きに司祭が監房へやってきたが、彼女は宣誓忌避派以外は認めないからと告げて断っている。王家への裏切り者に懺悔などできるわけがない。 革命裁判で斬首された者の内訳は、聖職者6パーセント、貴族8パーセント、中産階級14パーセント、農民を含む労働者70パーセントと推計されている。下層民が大多数なのは道理で、もともと全人口の8割を占めていたのと、有罪の理由に徴兵ちょうへい逃れや通常の布罪までも含まれていたからだ。したがって反革命者として殺された者の割合が圧倒的に多かったのは聖職者と貴族である。何しろ彼らは全人口のわずか1パーセントでしかなかったのだ。 この中に、件くだんの修道女たちも含まれていた。 中野京子「同上」

宣誓忌避派の聖職者からすると、自分が帰依して忠誠を誓うのは神のみであり、革命政府ではないということでしょう。

---

コンピエーニュの女子カルメル修道会

---

コンピエーニュはパリの北東、約80kmにある町です。ここにあったカルメル会の女子修道会が舞台です。

12世紀パレスチナのカルメル山を発祥の地とするカトリックの修道会カルメル会は、13世紀にはフランスにも伝わり、15世紀になると女子カルメル会もできた。厳しい戒律で知られるが、最盛期の18世紀には男女合わせて修道士が１万５千を数えている。そんな中で革命は勃発した。 パリからそう遠くない町コンピエーニュの女子カルメル修道会は、修道院長や助修道女を入れて17人の所帯で、冬でも裸足はだしの、清貧を絵に描いたような祈りの日々を送っていた。そんな閉じた世界であっても、不穏ふおんな革命の足音は漏もれ聞こえてくる。いずれここにも、と予想していたので革命政府の委員が下層民の一群（院内の隠し財産を手に入れようとついてきたのだ）とともに現れて、修道院の解散と財産没収を言い渡した時も慌てなかった。前もって用意していた俗世の服に着がえ、当座用のわずかな金だけを持ってそれぞれの行き場（実家や友人宅）へ散っていった。 だが彼女たちはこっそり連絡を取り合い、禁じられていたミサをあげ、讃美歌をうたった。まもなく密告され、反逆者として死刑台へ送られる。ドラローシュの絵と違い（引用注：ドラローシュの絵は次項に掲載）、実際には彼女らは簡素な白い服を着て、ヴェールも被っていなかったという。 若い平修道女コンスタンスが真っ先に斬首、最後は院長のマザー・テレサ（聖アウグスチヌスのマザー・テレサ）だった。後世、この16人は教皇庁により列福され、「福者」となっている。 中野京子「同上」

上の引用の最後のパラグラフで、修道院長が「聖アウグスチヌスのマザー・テレサ」とあるのはシスター名（修道名）です。プーランクのオペラでは "新修道院長" となっている修道女です。また修道女・コンスタンスもオペラに出てきます。

---

ドラローシュが描いた『ギロチン』

---

カルメル会修道女の殉教の場面は、19世紀のフランスの画家、ポール・ドラローシュ（1797-1856）によって描かれました。ドラローシュといえば、英国史を題材とした『レディ・ジェーン・グレイの処刑』（ロンドン・ナショナル・ギャラリー）がつとに有名ですが、もちろん自国の歴史を題材にした作品も描いています。『ギロチン』はその１枚です。

ポール・ドラローシュ（1797-1856） 「ギロチン」

（Private Collection）

縦長の画面。 印象派の風景画のようにのどかな青い夏空と白い雲に、斬首ざんしゅ装置ギロチンが突き刺さる。何と高いギロチン柱だろう。紐一本で吊り下げられた鋭い斜めの角度を持つ大きな重い刃は、どんなに落下スピードが速いことか。 狭苦しい処刑台の上には、十人もの修道女がひしめく。彼女たちは口を開けている。自分の番がくるまで、讃美歌をうたい続けているのだ。最初に犠牲になる若い修道女がこの絵のヒロインだ。両手を胸の上で交差し、瞳を天へ向けている。心はすでに主のもとにあり、落ち着き払った様子だ。その背後で処刑人が準備をしている。ギロチンの刃がすべらないようヴェールを外そうとしているのか。 画面左下に荷馬車が停まり、そこからも次々に修道女が降りてくる。そばで泣きじゃくる少女たちと、青白赤（自由・平等・博愛）というフランス国旗模様の帽子をかぶった少年が目を惹ひく。一方、右手には椅子にふんぞりかえる革命側の官吏や長い髪を無造作にたらしたロマ風の女性（修道女と聖俗対比させるためか）。さらに処刑を見に集まったおおぜいの群衆が、背景を埋め尽くす。 処刑台へ導くのは、８段の短い階段だ。その下から一筋の細い血が流れ出し、手前の排水溝へ吸い込まれる。処刑台の向こう側に置いてあるはずの貯血槽からあふれ出たのに違いない。これからさらに16人もの首が飛ぶのだ。石畳を走る血は真っ赤な川と化すだろう。 中野京子「同上」

「縦長のカンヴァス」が怖いし、「凄惨な場面らしからぬ青空」も怖い絵です。しかし、その青空に描かれた白い雲は円を描くよう浮かんでいて、これは修道女たち全員のための大きな光輪のように見える。青空はこの雲を描くためのものであり、同時に天国の暗示なのでしょう。画家はそう意図したのだと思います。

---

小説『断頭台下の最後の女』

---

さらにこの修道女の殉教は、20世紀のドイツの作家、ル・フォールによって小説化されました。素材になったのは、唯一、殉教をまぬがれた修道女、マザー・マリーの手記です。

ところでコンピエーニュのカルメル会に、修道女は17人いたのではなかったか？ そのとおり。 一人だけ逮捕を免れた修道女がいた。彼女、マザー・マリーは、その日たまたま集会へ行くことができず、仲間の逮捕を後で知る。これも運命であろう。彼女は断頭台へ駆けつけることより、唯一の生き残りとして手記を残す道を選んだ。 手記は大切に保存され、20世紀ドイツ・カトリック文学を代表する作家ゲルトルート・フォン・ル・フォールの目にとまる。そこから生まれたのが、『断頭台下の最後の女』（1931年刊）という小説だ。 ゲルトルート・フォン・ル・フォールという名前からは、３つのことがわかる。まず「ゲルトルート」はドイツ女性の名だ。「フォン」は貴族をあらわす前置詞（父親はプロイセンの軍人にして男爵）で、「ル・フォール」はフランス姓。つまりフランス系ドイツ人。先祖は宗教弾圧を逃れてフランスからドイツへ亡命してきたユグノー（カルヴァン派プロテスタント）だった。以来、彼ら一族は敬虔けいけんなプロテスタントのドイツ人として、アイデンティティーを形成した。 ル・フォールは大学で神学や哲学を専攻し、神を見失った時代への警告の書と評される文学作品を精力的に発表する。カトリックへ改宗して皆を驚かせたのは、50歳を迎えてからのことだ。出自を思えば、さらにまたカトリックとプロテスタントの血みどろの歴史を思えば、改宗にはそうとう葛藤があったに違いない。その後まもなく『断頭台下の最後の女』を発表した。 物語の流れは史実に沿っているが、主人公として、作者その人を彷彿とさせる架空のヒロイン、ブランシュを登場させている。貴族の令嬢だったブランシュは周りの反対を押し切り、贅沢な生活を捨てて修道院へ入る。ただ彼女には弱点があった。信仰への思いこそ揺るぎないものの、極度に臆病なため命を惜しみ、いったんは仲間を裏切って逃げまわる。だが最後は、自分の魂にそぐわない生き方をするよりはと、断頭台への階段を心穏やかに上ってゆく･･････。 ル・フォールがこの小説を執筆したのは、ナチスが急速に台頭し、フランス革命時と同じように信仰が抑圧され始めた時期だった。そうした風潮に危機感を抱き、信仰とは何か、運命とは何か、人はどう生き、どう死ぬべきか、究極の選択を迫られた修道女たちに、ナチス時代の自分たちを重ねたのだ。 中野京子「同上」

ル・フォールが創作した架空のヒロイン、ブランシュは、プーランクのオペラにも引き継がれることになります。

---

プーランクによるオペラ化

---

ル・フォールの『断頭台下の最後の女』は映画化が計画され、フランスの文学者・思想家のジョルジュ・ベルナノス（1888-1948）によってシナリオが作成されました。しかし映画化より前に、このシナリオを戯曲として舞台劇が上演されます。プーランク（1899-1963）はこの戯曲を読み、また実際に舞台劇も観てオペラ化を決心します。

この小説は評判を呼び、別の作家の手で映画化のためのシナリオが作成されたが、映画より先にまず舞台化された。タイトルは変えられ、『カルメル会修道女の対話』となる。 オペラ好きならピンとこよう。 フランスの作曲家フランシス・プーランク（彼もカトリック）が、戦後の1957年にこれを３幕のオペラに仕上げた。ル・フォールはこの時まだ存命で80歳だったが、初演はミラノのスカラ座でイタリア語上演だったから、見てはいないようだ。次いでパリ（フランス語）、アメリカとイギリス（英語）と続いた。 このオペラは現代フランスオペラの傑作として、最近もニューヨークのメトロポリタンオペラで上演されて大評判になった。美しいメロディー、観る者に迫る崇高すうこうな人間性、タイトルから誤解されやすいが、ヒロインの父や兄、革命派の面々といった男声も思った以上に多く、女声ばかりで単調な音楽なのではないかという心配は不要だ。 特筆すべきは衝撃のラスト。 ─── 16人の修道女たちは、断頭台の下で讃美歌をうたい続ける。そして一人、また一人と消えてゆく。演出は抽象的で、ギロチンに首をさしのべるところは舞台上で見せないことが多いが、シュッ、ドン、という戦慄的な音は異様にリアルだ。刃と首がほとんど同時に落下する機械的な音。それが讃美歌をバックに16回繰り返される。 コーラスの歌声も一つ、また一つと減って、最後は独唱、それまたシュッ、ドンと、かき消されて幕が下りる。あらゆるオペラの中でもっとも生理的に恐怖を呼び起こす作品かもしれない。 中野京子「同上」

「最近もニューヨークのメトロポリタンオペラで上演されて大評判になった」とありますが、日本では、2019年5月11日のメトでの公演がMETライブビューイングで上映されました（2019.6.7 ～ 6.13）。

メトロポリタン・オペラ 「カルメル会修道女の対話」

METライブビューイングの公式ホームページにあるリハーサルの動画の画像。最後の殉教の場面である。「シュッ、ドン、という戦慄的な音」が舞台に響く。

---

プーランク：カルメル会修道女の対話

---

そのプーランクのオペラ「カルメル会修道女の対話」の概要を、人物を中心に書いておきます。舞台は1789年のフランスです。登場人物の６人だけを書きますが、この６人のうちド・ラ・フォルス家の騎士とブランシュは架空の人物です。以下に出てくる訳語は、最後に掲げたオペラのリブレット（台本）と合わせました。

ド・ラ・フォルス騎士

このオペラはド・ラ・フォルス騎士と父親のド・ラ・フォルス伯爵が屋敷で会話するところから始まります。ド・ラ・フォルス騎士は、極端に臆病で恐怖を感じやすい妹、ブランシュの行く末を心配しています（第１幕 第１場）。

革命が進行するなかで、彼は外国へ逃れる決意を固め、ブランシュに別れを告げようと密かに修道院を訪れます。身の安全のために修道院を離れるようにブランシュに言いますが、それは拒否されました（第２幕 第３場）。

なお、ド・ラ・フォルス家ですが、後の進行で、伯爵は捕らえられて処刑されたことが語られます（第３幕 第２場）。屋敷は荒らされ、部外者に占拠されてしまいます。

ブランシュ・ド・ラ・フォルス

このオペラのヒロインです。小さいときから内気でおびえやすく、恐怖を感じやすい女性です。この性格では普通の生活ができないと感じた彼女は、コンピエーニュのカルメル修道会に入会します。シスター名は「キリストの聖なる臨終のブランシュ」を選びました（第１幕 第２場）。

修道院では若いシスターのコンスタンスとともに祈りの生活を送りますが（第２幕）、革命が進行し、修道院が解散を命じられ、修道女たちが殉教の誓いをかわす事態になって、恐怖を感じた彼女はパリの自宅屋敷に逃げ帰ってしまいます（第３幕 第１場）。

屋敷の占拠者たちの召使いとして働いているところへ、副修道院長のマザー・マリーが訪ねてきて、コンピエーニュへ戻るように説得しますが、それは拒否します（第３幕 第２場）。

しかしブランシュは、街で会った人からカルメル会の修道女たちが逮捕されたことを知りました。いったんは仲間を裏切ったものの、自分の魂にそぐわない生き方をするよりはと、彼女は処刑場と向かいます。そして人々が驚く中、心安らかに断頭台へと登っていきました（第３幕 第４場）。

修道院長（ド・クロワシー夫人）

貴族出身の修道院長で、ブランシュを修道院に受け入れます。そのときにはブランシュの動機を確かめ、世の中から逃れたい気持ちで修道院に入るのはよくない、カルメル会は祈りを目的とした修道会であると戒いましめました（第１幕 第２場）。

院長は病気にかかり、死の恐怖と闘いながらも、ブランシュのことを気にかけ、行く末を案じてマザー・マリーにブランシュを託しました。そして、苦しみと絶望のうちに亡くなります（第１幕 第４場）。

新修道院長（リドワーヌ夫人）

シスター名は「聖アウグスチヌスのマザー・テレサ」です。平民出身の新修道院長は、平易で率直な言葉で修道女たちに語ります。安全で平和な時代は終わり、これから修道女たちはいつ告発されるか分からない。しかし、どんな危険が身に迫ろうとも、自分たちの務めである祈り以外のことに気を取られてはならないと、彼女は修道女たちを戒めました（第２幕 第２場）。

修道女たちといっしょに逮捕され、パリの監獄に投獄されたときも修道女たちを励ま続け、自ら殉教の誓願を立てます（第３幕 第３場）。そして最初に断頭台へと登っていきました（第３幕 第４場）。

マザー・マリー

副修道院長で、シスター名は「托身のマザー・マリー」です（託身＝受肉＝Incarnation）。死のベッドにあるド・クロワシー夫人からブランシュを託されました（第１幕 第４場）。

革命が進行するなかで、マザー・マリーはカルメル会修道女たちに、殉教者になるよう呼びかけます。そして、革命政府の人民委員がやってきて修道院の没収と修道会の解散を言い渡したた時には、冷静に毅然とした態度で応対しました（第２幕 第４場）。

マザー・マリーはパリの自宅に戻ったブランシュを訪ね、コンピエーニュに戻るように説得しますが、恐怖心から逃れられないブランシュは、そっとしてくれるように頼みます。マザー・マリーはパリでの安全な連絡先をブランシュに教えて去ります（第３幕 第２場）。

マザー・マリーはパリに出て修道院付きの司祭と落ち合ったとき、修道女たちに逮捕され死刑が宣告されたことを聞かされます。マザー・マリーは自分だけが死を免れたことを非常に恥じますが、司祭はそれも神のご意志だと告げました（第３幕 第３場のあとの幕間）。

シスター・コンスタンス

若い修道女で、ブランシュと親しくなります。シスター名は「聖ドニのシスター・コンスタンス」です。

コンスタンスは、ブランシュと自分の命を神に捧げようと言い、２人が若くして同じ日に死ぬだろうと予言します（第１幕 第３場）。

また彼女は修道院長の苦しみながらの死について自分なりの考えを言います。つまり、神が死を与える相手を間違えたのであり、そのため、あまり徳が高くない別の誰かが修道院長に与えられるはずだった臨終を享受し、死がとても心安らかで快いものであることにびっくりするはずだと言うのです（第２幕 第１場のあとの幕間）。

マザー・マリーが殉教を提案し、修道女全員が秘密投票をしたときには、唯一、反対票を投じました。しかし彼女は名乗り出てて翻意を懇願し、認められます（第３幕 第１場）。ブランシュが修道院から去ったあとは気がかりで仕方ありませんが、監獄に入れられたときもブランシュが必ず自分たちのもとへ戻ってくると信じていました（第３幕 第３場）。

断頭台では、修道女たちは聖母マリアを讃える Salve Regina（めでたし女王）を歌いながら、一人ずつ修道院長を先頭に階段を登ります。しんがりを務めていたコンスタンスは、断頭台に登りかけ、群衆の中にブランシュを見つけて顔を輝かせました（第３幕 第４場）。

---

このオペラは「カルメル会修道女の対話」というタイトルのため、ソプラノやアルトの女声が延々と続くと誤解されそうですが、そうではありません。そもそもオペラの冒頭はド・ラ・フォルス家での伯爵（バリトン）と騎士（テノール）の対話です。騎士は修道院にもやってきます。さらに司祭や革命政府側の人物などの男声もあり、変化があります。

とはいえ、メインストリームは修道女たちの対話であることは間違いありません。では、彼女たちは運命を受け入れ、殉教に向かって粛々と進んでいくのかというと、そう単純ではないのです。

たとえばヒロインのブランシュは、殉教の誓願が行われるなか、怖くなって修道院から逃げ出してしまいます（第３幕 第１場）。自宅までやってきたマザー・マリーの説得にも応じません（第３幕 第２場）。最後の最後に思い直して断頭台へ向かいます。

修道院長は苦しみと死の恐怖のなかで亡くなります。死ぬ前に彼女は「神は私たちを守ってくださらない！　神は私たちを見捨てた！」と、"神への冒涜" ともとれる発言をします（第１幕 第４場）。修道院長というと何十年も祈りの生活を送ってきた高潔な人物のはずですが、この死は修道女たちにショックを与えます。

殉教の誓願についての秘密投票では一人、反対票を投じた修道女がいました。コンスタンスは自分だと名乗り出て、翻意（賛成にまわる）ことを懇願します（第３幕 第１場）。

以上のように、修道院の財産の没収、修道会は解散、そして死刑判決という過酷過ぎる状況のなかで、修道女たちの心も揺れ動くのです。そのドラマが見所の一つだと思います。

---

このオペラができた経緯を振り返ると、小説を書いたル・フォール、戯曲を書いたベルナノス、オペラ化したプーランクはカトリック教徒です。そしてオペラのテーマは、一言で言うと「殉教」です。特に、修道院から逃げ出したブランシュが最後に殉教の道を選び、殉教を主導していたマザー・マリーが結果として生き延びるという展開は、テーマと密接に関係しているのでしょう。カトリック教徒ならすんなりと理解し共感できるのだと思います。

しかし非クリスチャンの立場からみると、どうしても "不可解さ" が残ります。つまり、純粋に祈りの生活を送っていただけの女性たちが断頭台で死刑になるという、そのプロセスや理由が理解しにくいのです。

もちろんこれには革命政府側の要因と、修道女側の要因があります。フランス革命の歴史を知ると、革命によって教会、修道院、聖職者が "打倒された" ことがわかるし、またキリスト教の歴史をみると、キリストの弟子から始まってローマ帝国時代や中世ヨーロッパまで "殉教者" に満ちています。日本でも殉教者が出ました。

そういう "知識による理解" はできたとしても、このオペラの進行は心理的に納得ができない面があります。なぜそのようにコトが進むのか、その理由がわからない不条理劇のようにも思える。

しかしひるがえって考えてみると、宗教とは離れて一般的に（コトの大小は別にして）不条理な出来ごとに遭遇することは人生においてあります。まったく理由がないのに長く苦しまないといけないことがある。そういう不条理に遭遇したとき、人はどう生きるべきか。苦しみや悲痛、もがきや葛藤のなかから、どうやって人間の崇高さを示して心の平安を見いだせるのか、そういったドラマとしてこのオペラを観てもよいと思います。

---

何と言っても、このオペラの魅力はプーランクの音楽でしょう。実は「カルメル会修道女の会話」は、プーランク（1899年生まれ）の生誕100年を記念して、1998年9月のサイトウ・キネン・フェスティバルで上演されました（松本文化会館）。パリ・オペラ座との共同製作です。この公演について、作家の村上春樹さんが次のように書いていました。

松本文化会館で小澤征爾＝サイトウ・キネンによって公演されたプーランクのオペラ「カルメル会修道女の対話」は実に質の高い、そして心を打たれるステージだった。きわめて地味でシリアスな内容のオペラだが、その音楽は一貫していかにもプーランク的なメスメライジング（催眠術的）な美しさを湛たたえていた。擬古性と革新性、テキストの晦渋かいじゅうとテクスチャーの滑らかさという、この作曲家にはつきものの二義性が、オペラという規模の大きな容れ物をもって、見事に描きあげられている。 村上春樹 「意味がなければスイングはない」 （文春文庫 2008。単行本 2005）

メスメライジング（mesmerizing）という難しい言葉が使ってありますが、メスメライズ（mesmerize）とは「魅惑する」「催眠術にかける」という意味です。ここから mesmerizing は「魅惑的な」という意味になりますが、こでは「催眠術にかけられたように魅了される」意味で使ってあります。村上さんは「テキストの晦渋かいじゅうとテクスチャーの滑らかさ」と書いていますが、

・テキスト	：	台本・言葉
・テクスチャー	：	肌触り ＝ メロディーやオーケストレーション ＝ 音楽

と考えると、「台本は難解だが、音楽から感じる "肌触り" は滑らかで美しい」ということでしょう。的確な表現だと思います。

---

以下、「メスメライジング（催眠術的）な美しさを湛たたえた音楽」をここにアップすることはできないので、テキスト（台本）を掲載しておきます。このオペラを "深堀り" したいと思う方に参考になると思います。

---

オペラ「カルメル会修道女の対話」のリブレット

---

今後「カルメル会修道女の対話」を鑑賞する人のための参考として、このオペラのリブレット（台本）を掲載します。これは、次の２枚組CDのブックレットのものです。

ケント・ナガノ指揮
リヨン・オペラ座管弦楽団
カトリーヌ・デュポス（ソプラノ、ブランシュ役）他
　（録音：1990年。東芝EMI）

以下にある「Disc1-Track1」などは、このCDの「ディスク番号ートラック番号」なので、台本を読む上では無視してください。

カルメル会修道女の対話 　（Dialogues des Carmélites） 台本   ジョルジュ・ベルナノス（原作） フランシス・プーランク フランス語訳   橋口久子 ラテン語訳   宮崎晴代

第１幕     　第１場     ド・ラ・フォルス侯爵の書斎、1789年4月 　第２場     コンピエーニュのカルメル修道会の面会所 　第３場     修道院内の塔 　第４場     医務室の独居房 第２幕     　第１場     カルメル会の礼拝堂 　第１幕間     修道院の庭 　第２場     修道院修士会室 　第２幕間     修道院の一室 　第３場     面会室 　第４場     カルメル会の聖具室 第３幕     　第１場     礼拝堂 　第１幕間     修道院の前の通り 　第２場     ド・ラ・フォルス侯爵の書斎 　第２幕間     バスティーユ地区の通り 　第３場     コンシエルジュリーの監獄の一室 　第３幕間     バスティーユ地区の通り 　第４場     革命広場

Disc1-Track1

第１幕

第１幕 第１場

ド・ラ・フォルス侯爵の書斎、1789年4月

《豪華でエレガントな調度品で飾られた部屋。侯爵は大きな寝椅子でうたた寝をしている。息子のド・ラ・フォルス騎士が部屋に突然入ってくる。入り口の大きな扉は、開けっ放しのままだ。》

騎士
ブランシュは？

侯爵
《不意を打たれて》
いや、知らないよ。侍女たちに聞いたらどうかね、トルコ人のごとく私の部屋に 闖入してくる代わりに。

騎士
申し訳ありません。

侯爵
あなたの歳では血気盛んなのも無理からぬこと、私の歳になると自分の習慣にこだわるのが当たり前のようにね。あなたのおじさんが来ていたので、いつもの午睡が出来なかった。それで、正直なところ、少しうとうとしていたのだ。だが、いったいブランシュに何の用があるのだね？

騎士
ロジェ・ド・ダマがここを出ようとしたところ、群衆を避けるために２度も道を引き返さなくてはならなかったそうです。噂では、奴らがグレーヴ広場でレヴェイヨンの絵を焼き払おうとしているとか。

侯爵
燃やしてしまえばいい！ 酒が２スーで手に入るとあっては、春の陽気で人々が少しのぼせ上がるのも仕方あるまい。そのうち冷めるさ。

騎士
こんなことはあまり申し上げたくないのですが、妹の馬車に関する限り、父上の予言は外れる恐れがありますぞ。ダマが目撃したのですが、妹の馬車がビュシの四つ角で群衆に止められたそうです。

侯爵
馬車……群衆……失礼、このような光景にうなされたことが幾夜あったことか……最近になって、暴動だ、いや革命だと噂が飛び交っているが、パニック状態に陥った群衆を見たことがない者にはなにも分かるまい……唇をゆがめた幾多の顔。幾千、幾千もの目……あれは王太子の婚礼の晩のことだった。花火がはじまると、突然、打ち上げ花火の束に火が燃え移り、群衆がパニックに陥った。あなたのお母さんは馬車の扉にかんぬきをかけ、御者は馬をむち打って走らせようとした。だが馬車は群衆に取り囲まれ、窓ガラスが一枚、叩き割られた……

《侯爵は顔を手で覆った。》

Disc1-Track2

運良く兵士たちがやってきて、我々を救い出してくれた。数時間後、この家に戻ったあなたのお母さんは、ブランシュを産み落とすと亡くなった。

騎士
父上、申し訳ありません。もっと自重すべきでした……またしても、軽率な発言をしてしまいました。

侯爵
いやいいんだ。私の古い頭もすぐ血が上るたちでね……馬車は頑丈だし、老馬たちは決して驚かない。アントワーヌは20年前からこの家に仕えている。あなたの妹に悪いことなどなにも起こるはずがない。

騎士
妹に危害が加えられることを恐れているのではありません。心配しているのはあのおびえやすい性格のことです。

侯爵
ブランシュは確かに感受性が強すぎるようだ。ちゃんとした結婚をすれば落ち着くだろう。さあ、さあ！ きれいな娘が少々臆病でも悪いことはあるまい。どうせ、腕白な甥っ子たちに手を焼くようになるまでの辛抱さ。

騎士
私は真剣に言っているのです。ブランシュの健康がおびやかされ、もしかしたら命さえ落とすことになるかもしれない原因は単に臆病なことではありません。魂という樹の芯が凍り付いてしまっているのです……

侯爵
まったく、あなたは迷信深い村人のようなしゃべり方をするね。ブランシュはごく普通の娘だと思うよ。はしゃいでいるときもあるではないか。

騎士
そうでしょうとも。私も妹の態度について惑わされ、妹か不幸な宿命から逃れられたのかと思いかける時もあるのですが、そのまなざしにやはり不吉なものを感じるのです。

侯爵
ブランシュはお付きの女性と一緒に、もう今にでも戻ってくるだろう。そうしたら、あなたの取り越し苦労だったことが分かるだろうし、ブランシュもほっとするさ。

騎士
ブランシュはいつものようにちょっと怖い思いをしただけで、それ以上のことはなにもないとおっしゃりたいのですか？ それ以上のことはなにもない！ ことブランシュに関しては、心配でなりません。あんなに気高くて誇り高いんですから！ 果物に巣くう虫のようにじわじわと、悪は妹の中に入り込んでいるのです。

侯爵
たわごとにすぎん！

《開けてあった扉からブランシュが不意に姿を現す。あまりにも唐突だったので、二人の最後の言葉をブランシュが耳にしたかどうか、よく分からない。》

Disc1-Track3

ブランシュ、お兄さんはあなたのことを待ちかねていたよ。

ブランシュ
お兄さまは哀れな野ウサギである私に親切すぎますわ……

騎士
私たち二人だけの冗談をところ構わず言うのはやめなさい。

ブランシュ
《陽気に振る舞おうと務めながら》
野ウサギは巣の外で一日を過ごす習慣がありません。私は自分の巣と一緒に移動していましたけれど。ですが、臆病な私とあの群衆を隔てるものがたった一枚のガラスとあって、一時はほんとうに心細く思いましたわ。きっと、とてもばかげた振る舞いをしていたに違いありません。

騎士
ビュシの四つ角であなたを見かけたダマ氏から聞いたのだが、ガラス越しに見えたあなたは非常に落ち着いた態度だったそうだ……

ブランシュ
まあ！ ダマ氏はきっと、ご自分がご覧になりたいものしかご覧になっていらっしゃらなかったのですわ……私が落ち着いた態度に見えたと本当におっしゃったんですか？ 危ない目に遭うのは冷たい水に入るようなものかもしれませんわね。最初、息が止まる思いがしても、肩まで浸かると楽になりますもの。

《気が遠くなりかけ、椅子の背につかまる。》

聖母訪問修道女会の儀式はとても長くて、すっかりくたびれてしまいました。きっとだからこんなばかげた発言をしているのですわ。お父様のお許しをいただいて、夕食まで少し休むことにします。あら！ 今日は日の暮れるのが早いこと。

侯爵
一雨来そうな空模様だ。

《ブランシュ、戸口へ向かう。》

騎士
部屋に戻るのなら、すぐに明かりを持ってこさせて、誰か一緒にいてもらいなさい。薄暗くなるともの悲しい気分になるのだろう。小さい頃よく私にこう言っていたじゃないか。「私は毎晩死んで、毎朝生き返るのよ」って。

ブランシュ
なぜなら、朝と呼べるものは復活祭の朝しかないからです。でも毎晩がキリストの聖なる臨終の晩なのですよ……

《戸を開け放ったまま、ブランシュは出ていく。侯爵と騎士は呆然と見送る。》

Disc1-Track4

侯爵
《気を取り直そうと努めて》
相変わらず極端だな。いったい、あの最後の言葉はどんな意味なのだ？

《侯爵、寝椅子に再び腰をおろす。》

騎士
分かりませんがそんなことは問題ではない！ あの眼と声が胸に突き刺さるんです……
《重苦しい雰囲気を断ち切るように突然、口調を変えて》
もう馬を馬車から外し終わった頃でしょう。ひとつアントワーヌに、どんな様子だったのか訊ねてきますよ。

《騎士は出ていく。侯爵はうたた寝をしている。》

ブランシュ
《別な部屋で》
きゃあ！

騎士
《びっくりして》
ティエリー、お前か？
《戸へ走り寄って呼ぶ》
おい、なにが起こった？

《ティエリー登場。ちょっと頭の悪そうな従僕だ。》

ティエリー
《縮み上がっている》
ロウソクの火をつけていたところにブランシュ様が部屋に入ってこられて……壁に映った私の影にびっくりされたのだと思います。カーテンがもう閉めてありましたもので。

《真っ青な顔をしたブランシュが戸口に現れる。声や態度、顔の表情からは絶望とあきらめ、そしてなにやら決断した様子がうかがえる。》

Disc1-Track5

侯爵
《努めて陽気そうに》
何ごともなくてよかったじゃないか。

ブランシュ
お父様はとても寛大で優しい心をお持ちです……

侯爵
とるにたらないことはもう忘れよう。

ブランシュ
お父様、どんなにとるにたらないことでも、そこには神様のご意志が働いていらっしゃるのです。たった一滴の雨に広大な空が凝縮されているように。私はご許可を得て、カルメル会の修道女になりたいと思います。

侯爵
カルメル会だと！

ブランシュ
ほんとうはそれほど驚いていらっしゃらないでしょう。

侯爵
あなたのように貞淑な娘には、熱心な信仰の教えも心配の種だよ。そんなに誇り高くなかったら、悲鳴を上げたぐらいのことでくよくよしないだろう。世の中がいやになったからと修道院に入るのはいかがなものかね。

ブランシュ
世の中を軽蔑しているのではありません。ただ、私はここで生きられないと思うのです。お父様、うるさい音や騒ぎに、私は肉体的に耐えられません。神経の休まる場所へ行かせていただければ、自分になにが出来るのか、分かると思います。

Disc1-Track6

侯爵
日々の試練にあなたが耐えられないかどうか決めるのはあなた自身だ……

《ブランシュは、寝椅子に座っている父の足下に身を投げかける。》

ブランシュ
お父様、お願いですから言い逃れはもうやめてください。お願いですから、私の人生を台無しにしているこのひどい欠点を直す術があると信じさせてください！ これが天のご意志だという希望を抱いていなかったら、今、あなたの足下で不名誉を恥じて死にましょう。お父様のおっしゃる通り、試練はまだ終わっていないのかもしれません。

ですが神は私を恨んだりしないでしょう。神が名誉を返してくださるよう、すべてを神に捧げ、すべてを捨て、すべてを諦めましょう。

《侯爵は物思いに耽りながら、自分の膝に突っ伏したブランシュの頭を静かになでる。》

---

Disc1-Track7

第１幕 第２場

前奏曲

Disc1-Track8

コンピエーニュのカルメル修道会の面会所

《数週間後。修道院長とブランシュは、二重格子を隔てて話し合っている。修道院長のクロワッシー夫人は老いた女性で、明らかに体の具合が悪そうだ。》

修道院長
《格子に自分の椅子を近づけようと不器用に試みながら》
地位の特権として、ひじかけ椅子にすわっていると思わないでください。国王の面前で腰をかけることを許された貴族とは違うのです！ 私の看病を熱心にしてくれる修道女たちのためにも、ここにゆったりと腰掛けていられたらと思います。ですがずっと昔に忘れてしまった古い習慣を取り戻すのは難しいものです。楽しみであるべきものが私にとっては、辛いけれど必要なこととしか、もう決して感じられません。

ブランシュ
院長様のように、もう元に戻ることがないほど深く解き放たれている自分を感じるのは、さぞかし素晴らしいことでしょう。

修道院長
習慣は一切のものから解き放してくれるものですよ。ですが、修道女にとってそれがなにになりましょう。自分自身から解き放たれる、つまり自己解脱ができないのなら？……

Disc1-Track9

ここの厳しい規則にも、あなたはひるむ様子がありませんね！

ブランシュ
厳しいことに惹かれます。

修道院長
あなたが高潔な魂の持ち主であることは分かります……なぜカルメル修道会を選んだのですか？

ブランシュ
すべてを正直におはなしせよとおっしゃるのですか？

修道院長
そうです。

ブランシュ
それでは申しますが、栄光にみちた生活に惹かれたのです。

修道院長
栄光にみちた生活に、でしょうか、それとも栄光をたやすく、いわば、すぐ手の届くものだという思いこみをあなたに抱かせるような、ある種の生活に惹かれたのでしょうか。

ブランシュ
院長様、そのような計算をしたことは決してありません。

修道院長
もっとも危険な計算には、幻想という名がついています。

ブランシュ
私も幻想を抱くことがあるかもしれません。それを取り除いていただくことこそ、私の切なる願いです。

修道院長
《言葉をかみしめるように》
あなたからそれが取り除かれますように……それはあなた一人でやるべきことです。ここにいる誰もが、自分自身の幻想で手一杯なのですから。

Disc1-Track10

あの修道女たちは何の役に立っているのか、と人々は私たちのことを不思議がります。それも結局、無理からぬことなのです。ここの修道会は苦行したり徳を守るための場所ではありません。ここは祈りの場であり、祈りだけが私たちの存在を正当化するのです。祈りを信じない人は、私たちを詐欺師か、人にたかる存在と見るでしょう。神の信仰が普遍的なものならば、祈りもそうあるべきではありませんか？ ですから、どの祈りも、たとえ群を守る牧童の祈りであっても、それは人類の祈りなのです。牧童が気が向いたときに行うことを、ここの修道会では昼夜行わなくてはなりません。カルメル修道会の精神からすれば、同情は禁物なのですが、年老いて病気を患い、終わりをもうすぐ迎える私があなたに同情しても構いますまい。たいへんな試練があなたを待ち受けているのですよ。

ブランシュ
神が力をお与えくだされば構いません。

修道院長
神が試されるのはあなたの力ではなく弱さです……

Disc1-Track11

泣いているのですか？

ブランシュ
悲しいからというよりむしろ、嬉しいから泣いているのです。きついお言葉ですが、もっときつい言葉をかけられたとしても、私の決意を鈍らせることはできないでしょう。ここしか頼るところがないのです。

修道院長
修道会の戒律を頼るべきではありません。戒律が私たちを守ってくれるのではなく、私たちが戒律を守るのです。もう一つ聞きたいのですが、ひょっとして、修道会への入会を許された場合に備えて、カルメル会での修道女名を選んでいますか？ きっとまだ全く考えていないと思いますが？

ブランシュ
そんなことはありません。キリストの聖なる臨終のブランシュの名を希望します。

《修道院長はほんのかすかにびくっとした。すぐに平静を取り戻すときっぱり言った。》

修道院長
心安らかにお帰りなさい。

《ブランシュはひざまずいて挨拶すると、出ていった。》

---

Disc1-Track12

第１幕 第３場

前奏曲

修道院内の塔

《ブランシュはとても若い修道女、聖ドゥニのコンスタンスと共に渉外担当修道女から食料品や日用品を受け取りにやってきた。》

Disc1-Track13

コンスタンス
またこのいまいましいソラマメだわ！

ブランシュ
小麦を買い占める人がいて、もうじきパリではパンが手入らなくなるらしいわ……

コンスタンス
あら！ 長いこと待たされたアイロンがやってきた。ほら、取っ手がきちんと付け替えられている……これでもう、聖なる御子のシスター・ジャンヌも指をやけどしながら叫ばなくなるでしょうよ。「こんなアイロンではとてもかけられないだ！！」って。あの「だ」を聞く度に、笑い出さないよう、舌をかんでいるの。でもバカにしているわけじゃなくってよ！ あの「だ」は私の田舎の、ティリーの村人たちを思い出させてくれるんですもの。ねえ、シスター・ブランシュ、私がここに入る６週間前、その村で兄の結婚を祝ったの。農民たちがみんな集まり、20人の女の子がバイオリンの音に合わせて、兄に花束を一つ持ってきてくれた。盛大なミサとお城での宴会があり、みんなで一日中踊ったの。私はコントルダンスを５回、心から楽しんで踊ったわ。あそこの素朴な人たちに私はとても受けたのよ。陽気で、自分たちと同じぐらい上手に飛び跳ねるって。

Disc1-Track14

ブランシュ
そんな風にしゃべっても恥ずかしくないの、だって院長様が……

コンスタンス
あら、院長様の命を助けるためなら、私のちっぽけでどうでもいい命を喜んで差し上げるわ、そうよ、差し上げるわ……でも59歳となると、亡くなられてもおかしくない年齢じゃないこと？

ブランシュ
死をこわいと思ったことはないの？

コンスタンス
ないと思うわ……いえ、そうね……ずっと昔、それがどんなものか知らなかった頃は。

ブランシュ
その後は……

コンスタンス
ああ、人生はとても愉快なことにすぐ気づいたの！ だから死もそうに違いないと思って……

ブランシュ
今は？

コンスタンス
今は死についてよく分からなくなってしまったけれど、人生は相変わらず愉快ね。言いつけられたことは、誠心誠意務めているわ。でも言いつけられること自体が愉快なんですもの……神に仕えることが愉快だからといって非難されるべきかしら？

ブランシュ
あまり楽しそうにしていると、神様がうんざりなさると心配にならない？

《シスター・コンスタンスは言葉を失ってブランシュを見つめた。子どもっぽい顔がゆがむと苦しそうな表情になった。》

コンスタンス
シスター・ブランシュ、もうしわけないけれど、あなたがわざと私に意地悪を言ったのだと思ってしまったわ。

ブランシュ
そうなのよ……あなたがうらやましくて……

コンスタンス
私がうらやましい！ そんな。これまで聞いたなかで、もっとも奇妙な話だわ。院長様の死をあんなにも軽々しく喋った私はむち打たれても当然なのに！

Disc1-Track15

シスター・ブランシュ、先ほどあんなに軽はずみな発言をした償いをするお手伝いをしてくださらないかしら。ひざまずいて、院長様のために私たち二人の哀れな命を捧げましょうよ。

ブランシュ
子どもっぽいわ……

コンスタンス
そんなことないわよ。シスター・ブランシュ、素晴らしい思いつきだと思うんだけれど。

ブランシュ
冗談を言っているのね。

コンスタンス
突然ひらめいたの。全然悪いことではないと思うわ。昔から若死にしたかったし。

ブランシュ
この茶番劇の中で私はなにを演じればいいの？

コンスタンス
初めてお会いしたとき、私は願いが聞き届けられたことを悟ったの。

ブランシュ
願いって？

コンスタンス
それは……

ブランシュ
その滑稽なアイロンを置いて、答えてくださいな。

《コンスタンスは言われたとおり、アイロンをテーブルに置く。》

コンスタンス
それは……年を取りたくないという私の願いを神が聞き届けてくださり、私たち二人は一緒に同じ日に召されるということを感じたの。どこで、どんな風に、というようなことは分からなかったし、今でも分からないけれど……

ブランシュ
なんて下らないばかげた考えなんでしょう！ あなたの命で、他のどんな命であろうと、贖えると考えるなんて恥ずかしくないの？ あなたは悪魔のようにうぬぼれているわ……あなたは……あなたは……もうやめて……

コンスタンス
あなたを傷つけるつもりじゃなかった。

---

Disc1-Track16

第１幕 第４場

前奏曲

医務室の独居房

《託身のマザー・マリーが修道院長のベッドの傍らに付き添っている。》

Disc1-Track17

修道院長
どうかこのクッションを起こしてください……ジャヴリノさんは、私がひじかけ椅子に座ることを許してくださるでしょうか？ まるで水に溺れて救い出されたばかりの人のように横たわっている姿を、修道女たちに見せるのは非常に辛いことです。頭はとてもはっきりしているというのに。誰もごまかそうとは思っていませんよ。でも勇気が情けないぐらい欠けているとき、せめて平静を装わなくては。

マザー・マリー
今晩はご不安が収まったものと思っておりましたのに。

修道院長
ひとときの魂の安らぎにすぎなかったのです。ですが神に感謝しなくては！ 死に逝く自分の姿を忘れさせてくれたのですから。「死に逝く自分の姿」ともったいぶったような言い方をしたのは……ほんとうに死に逝く自分の姿を見ているからなのです。それ以外、なにも目に入らない。私は孤独です。どうしようもなく孤独で、なんの慰めもありません。正直に話してください。ジャヴリノさんは、私があと、どのくらい生きられるとおっしゃっていますか？

《マザー・マリーはベッドの枕元にひざまずき、修道院長の唇にそっと自分の十字架を押し当てた。》

マザー・マリー
これまで診た患者の中で、もっとも頑丈な体質をお持ちだとおっしゃっています。あなたが長い間苦しまなくてはならないのではないかとおそれていらっしゃるのです。ですが神は……

修道院長
神は自ら影をお作りになった……ああ、30年間修道女として暮らしてきて、12年間修道院長を務めました。死について瞑想しない時はなかったのに、それが今、なんの役にも立たない！ ……

Disc1-Track18

剛毅のブランシュはなかなかやってこないですね！ 昨日の話し合いの後もまだ、自分で選んだ名前にこだわっているのでしょうか？

マザー・マリー
ええ。あなたのお気に触りさえしなければ、キリストの聖なる臨終のシスター・ブランシュの名をいつまでも希望しています。彼女の選択にひどく動揺されているようですね。

修道院長
かつての私の修道女名でしたから。当時、修道院長のアルヌー夫人は80歳でした。院長からこう言われたものです。「ご自分に力があるか、考えてみてください。ゲッセマネに入る者はもうそこから出られません。あなたは生涯、聖なる臨終の虜でいられる勇気を持っていると感じますか？」……

キリストの聖なる臨終のシスター・ブランシュをここに入れたのは私です。他のどの修道女よりも彼女のことが気がかりです。あの娘をあなたに委ねようかと思いましたが、考えなおしました。神がそうお望みになるなら、これが修道院長として、私の最後の務めとなるでしょう。マザー・マリー……

マザー・マリー
院長様？

修道院長
従順の名において、あなたに剛毅のブランシュを託します。神の御前で彼女のために私の代わりを務めてください。

マザー・マリー
分かりました。

修道院長
毅然とした判断と性格が必要となるでしょう。それはまさしく彼女に欠けていて、しかもあなたが持ち合わせているものです。

マザー・マリー
ほんとうにそうです。いつものように、お見通しでいらっしゃる。

《扉を叩く音。》

修道院長
やってきた。どうか中へ入れてください。

《マザー・マリーは戸を開けると、ブランシュを招き入れ、自分は出ていく。ブランシュはベッドの傍らにひざまずく。》

Disc1-Track19

お立ちなさい。いろいろなことをお話する心づもりだったのですが、いましがたの会話でとても疲れてしまいました。この修道会にもっとも新しく入った修道女として、あなたのことは一番心にかけています。ええ、どの修道女よりも心にかけているのですよ。まるで老いてから出来た子どものように。誰よりも危なっかしくてはらはらします。あなたを危険から守るためなら、私の哀れな命を喜んで捧げたでしょう。ええ、そうですとも、捧げたでしょう。いまではもう、私には死しか捧げるものがありません。とても哀れな死しか……

《ブランシュは再びひざまずくと、泣きじゃくる。修道院長は彼女の頭に手をやる。》

Disc1-Track20

神は聖者や英雄、殉教者を誇らしくお思いです。神はまた、貧者のことも誇らしく思ってくださいます。

ブランシュ
私は貧しさを恐れません。

修道院長
ああ、貧しさにもいろいろあるのですよ。もっとも惨めな貧しさに、あなたは浸ることになるでしょう。なにが起きようとも、素直さを忘れないでください。神の手の中でいつまでも、従順で優しい存在であり続けてください！ 聖者たちは、誘惑とかたくなに闘うことも、自分自身に反発することもありませんでした。反発は常に悪魔のものです。そしてくれぐれも自分のことを卑下しないでください。神はあなたの名誉を引き受けられました。その方が、あなた自身で守るよりもずっと安全なのです。さあ、今度こそちゃんとお立ちなさい。神の前で、あなたを祝福します。愛しい子どもよ……

《ブランシュは部屋を出る。託身のマザー・マリーが医者と、十字架のシスター・アンヌを連れて戻ってくる。》

Disc1-Track21

ジャヴリノさん、あの薬をもう一度飲ませてください。

ジャヴリノ
お体がもう耐えられますまい。

修道院長
ジャヴリノさん、院長が修道院の人々にお別れの挨拶をしなくてはならないのが慣習であることはご存じでしょう。マザー・マリー、ジャヴリノさんを説得してください。あのお薬でも他の薬でもなんでもよいのです。ああ、ご覧なさい。修道女たちにこれからこんな顔を見せなくてはならないのでしょうか？

マザー・マリー
院長様、私たちのことはもう心配なさらないでください。神のことだけをお考えになってください。

修道院長
哀れな私をこんな時に神のことを考えてどうなるというのです？ 神の方にこそ、私のことを考えて欲しいわ！

マザー・マリー
《ほとんどとがめるように》
院長様、うわごとをおっしゃっておいでですね。

《修道院長の頭ががくんと枕に落ち、すぐにぜいぜいあえぎ始めた。》

マザー・マリー
《十字架のシスター・アンヌに向かって》
その窓をぴったり閉めておしまいなさい。院長様はご自分の言葉に責任が持てる状態ではありません。でも、誰にも聞かれない方がいいでしょう……

《シスター・アンヌ、気を失いそうな素振りを見せる。》

ほらほら！ 十字架のシスター・アンヌ、女々しく気絶なんかしないでください。ひざまずいて祈りなさい！ 気付け薬よりも効果がありますよ！

《マザー・マリーが話している間、修道院長が上体を起こし、ベッドにほぼ座った状態になった。一点を凝視し、話し終える度に下顎ががくっと落ちる。》

Disc1-Track22

修道院長
託身のマザー・マリー！ マザー・マリー……

マザー・マリー
院長様？

修道院長
私たちの礼拝堂が荒らされ、空っぽになった光景をいま見ました。祭壇はまっぷたつに割れ、床にはわらと血がまき散らされている……おお！ 神は私たちを守ってくださらない！ 神は私たちを見捨てた！

マザー・マリー
院長様はご自分の舌を押さえることがお出来にならないでしょうが、どうかなにもおっしゃらないでください、そのような……

修道院長
なにも言わない……なにも言わない……私がなにを言おうと、構わない！ 舌も顔も、もう自分の思い通りにならない。

《ベッドの上で起きあがろうとする》

まるでロウの仮面のように、不安が顔に貼り付いている……ああ、この仮面を爪ではがすことができたなら！

《修道院長は再び枕に沈み込む。》

マザー・マリー
《十字架のシスター・アンヌに向かって》
院長様には今日お会いになれませんと他の修道女に知らせてください。10時には、いつものように休憩します。

《十字架のシスター・アンヌが出ていく。すると、なにもかも聞いていた修道院長が起きあがる。》

修道院長
託身のマザー・マリー、尊ぶべき服従の名のもとに、あなたに命じます……

《疲れ果てて修道院長は倒れ込み、またぜいぜい言い始める。扉かそっと開くとブランシュが夢遊病者のような足取りで入ってくる。修道院長はブランシュに気づき、そばへ来て欲しいそぶりをする。ブランシュは凍り付いたように立ちすくんでいる。》

Disc1-Track23

マザー・マリー
院長様は、あなたがベッドのそばに来ることを望んでおいでです。

《ブランシュはふらふらとベッドに近づくと、ひざまずいた。修道院長はブランシュの額に手をあてた。》

修道院長
ブランシュ……

《修道院長はブランシュになにか言いかけ、突然せき込む。》

マザー・マリー
とんでもないことです……こんなことが許されてはなりません……

修道院長
どうかお許しを……死……恐れ……死への恐れ。

《修道院長は倒れ、亡くなる。》

ブランシュ
院長様は望んでおられます……院長様は望んでおられました……きっとお望みになられたのでしょう……

《ブランシュは泣きじゃくりながら膝をがっくりつくとベッドに顔を突っ伏した。》

---

Disc1-Track24

第２幕

第２幕 第１場

カルメル会の礼拝堂

《亡くなった修道院長の棺は蓋を開けたまま、礼拝堂中央に置かれている。今は夜。礼拝堂を照らすのは、棺の周りに置かれた6本の大きなロウソクのみ、ブランシュと聖ドゥニのコンスタンスは亡骸の番をしている。》

コンスタンス
そのお方は、ラザロの墓より復活を成されました。

ブランシュ
主よ、あなたはその者に安息と慈悲の御心をお与えください。

コンスタンス
そのお方は生ける人と死せる人とを、そして炎を持って永久の時をお裁きになるために来られたのです。

ブランシュ
主よ、あなたはその者に安息と、

コンスタンス
慈悲の御心をお与えください。

《時計が鳴った。コンスタンスは立ち上がると交代の修道女を呼びに行った。ブランシュは一人残り、祈ろうとしたが、遺体から目をそらすことが出来ない。ブランシュは立ち上がると戸口へ向かった。扉が開き、マザー・マリーが現れた。》

Disc1-Track25

マザー・マリー
なにをしているのです？ 当番ではないのですか？

ブランシュ
その……あの……もう時間は過ぎました。

マザー・マリー
なにが言いたいのですか？ 交代の人は来ているのですか？

ブランシュ
つまりその……シスター・コンスタンスが呼びに行っています……ですから……

マザー・マリー
ですからあなたは怖くなり、そして……

ブランシュ
戸口まで行っても構わないと思ったものですから。

《ブランシュは棺のそばへ戻るそぶりを見せる。》

マザー・マリー
おやめなさい！ もとの場所に戻るのは……任務をまっとうできなかったことは事実なのですから、もう考えないことです。顔色が悪いですね！ 夜は冷え込みますから、あなたが震えているのは怖いからではなく、寒さからなのでしょう。あなたの独居房まで一緒に行ってあげます。ちょっとしたことにいつまでもくよくよしないで……横になり、十字を切り、お休みなさい。それ以外の祈りはすべて免除します。明日になったら、自分の罪に恥じらい、苦しむでしょう。その時初めて、これ以上罪を重ねることなく神に許しを請うことが出来るのです。

《マザー・マリーはブランシュの肩に手を置くと、戸口へ誘った。》

Disc1-Track26

第２幕 第１幕間

修道院の庭
《ブランシュとコンスタンスは、故クロワッシー修道院長の墓に飾る花の十字架を作り終えたところだ。》

コンスタンス
シスター・ブランシュ、この十字架は大きすぎる気がするわ。かわいそうな院長様のお墓はあんなに小さいんですもの！

ブランシュ
残ったお花はどうしましょう？

コンスタンス
新しい修道院長様に花束を作って差し上げましょうよ。

ブランシュ
託身のマザー・マリーはお花がお好きかしら？

コンスタンス
ああ！ そうであって欲しいわ！

ブランシュ
お花がお好きかどうかということ？

コンスタンス
シスター・ブランシュ、そうじゃなくて、あの方が修道院長に選ばれて欲しいということよ。

ブランシュ
神があなたの願いを聞き届けてくださると今もお思いなの？

コンスタンス
そうなるかもしれないじゃない？ 私たちが偶然と呼ぶものは神の必然なのかもしれなくてよ。

Disc1-Track27

院長様が亡くなった時のご様子を思い出してごらんなさい、シスター・ブランシュ！ 院長様があれほど苦しんでお亡くなりになり、あれほど後味の悪い亡くなり方をされるとは、誰が予想したでしょう。！ まるで神が死を与える相手をお間違えになったようだわ。ちょうど、別な人の洋服と取り違えてしまったみたいに。そうよ、あれは他の人の死だったに違いないわ。院長様には小さすぎる死だったのよ。だから袖を通すことさえできなかった……

ブランシュ
他の人の死とはどういう意味なの、シスター・コンスタンス？

コンスタンス
その人は死を迎えた時、とてもやすやすと迎えることが出来、死を心地よく感じて驚くでしょうよ。人はそれぞれが自分の死を迎えるのではなく、互いのために死を迎えるの。だから他の人の代わりに亡くなる場合だってあるんじゃないかしら？

---

Disc2-Track1

第２幕 第２場

修道院修士会室

《新しい修道院長を迎え、服従の儀式のために修道女たちが集まっている。正面の壁には大きくて立派な十字架が飾られている。十字架の下に修道院長の椅子が置かれている。両壁沿いのベンチには修道女たちが座っている。服従の儀式が終わろうとしている。》

新修道院長
もう一つみなさんに申し上げたいのは、その存在が私たちにもっとも必要な時に、前の院長様がお亡くなりになったということです。平和で穏やかな日々は過ぎ去ったようです。今はもう、私たちとて決して悪に対して安全でいられません。常に神の手の中にいることを、のんきに忘れ去ることが出来た時代は終わりました。これからどんな時代を生きることになるのかは分かりません。ただ、天の神がささやかな徳をお与えくださいますように、金持ちや権力者が軽蔑しがちな徳である、熱意、忍耐、協調精神をお与えくださいますようにと願います。私たちのようなつましい女性にこそ、このような徳は似合うのです。なぜなら勇気にもいろいろあり、つましい身分の者が世の王侯貴族と同じ勇気を持っていても生き延びられないからです。主人の徳の幾つかは、召使いにとってなんの役にも立たないものです。私たちが食べるキャベツ添えのウサギ料理に、タイムやマヨラナの香辛料を効かせても合わないように、そうした徳は召使いに不釣り合いなものなのです。繰り返しますが、私たちは、神に祈りを捧げるため集まったつましい女性です。祈りから気がそれてしまう一切のことに用心しましょう。殉教も用心しなくてはなりません。祈りは義務であり、殉教は褒美です。偉大な王が宮廷の人々の目前で、自分と一緒に女王然と王座に座るよう下女を手招きしたら、下女はまず自分の耳や目を疑い、家具を磨き続けた方がいいのです。つい癖で、ざっくばらんにお話してしまいました。託身のマザー・マリー、どうか私の言葉をうまく締めくくってください……

Disc2-Track2

マザー・マリー
院長様がおっしゃったのは、私たちの第一の務めは祈りだということです。ですから口で言うだけでなく、心から院長様のご意志に沿うようにいたしましょう。

《マザー・マリーが合図すると、カルメル会修道女たちがひざまずく》

マザー・マリー
めでたし、マリアよ

カルメル会修道女たち
恵みに満ちたるもの

マザー・マリー、カルメル会修道女たち
神はあなたとともにあり、幸いは女のあなたと……。

カルメル会修道女たち
そして幸いは、あなたの御胎からお生まれになった

マザー・マリー、カルメル会修道女たち
イエスに。

新修道院長
聖なるマリアよ。

カルメル会修道女たち
神の御母。

新修道院長、カルメル会修道女たち
罪深き私たちのためにお祈りください。

カルメル会修道女たち
今もそして私たちの死の時にも

新修道院長、マザー・マリー、カルメル会修道女たち
アーメン。

《カルメル会修道女たちは立ち上がるとゆっくり部屋から出ていく。》

Disc2-Track3

第２幕 第２幕間

修道院の一室
《呼び鈴が激しく鳴る。修道院長とマザー・マリーがあわただしく入ってくる。コンスタンスも別なところから姿を現す。》

新修道院長
何事です？

コンスタンス
馬に乗った男の方が小門にいらして、院長様に面会を申し込まれています。

新修道院長
どの門ですか？

コンスタンス
小道の門です。

新修道院長
こっそりと訪れてきているのですから、敵ではありえない。マザー、見てきてください。

《マザー・マリーとコンスタンスは出ていく。修道院長は平然としているようだが、唇がかすかに震えている。マザー・マリーが急ぎ足で戻ってくる。》

マザー・マリー
院長様、いらしたのはド・ラ・フォルス氏で、外国へ発つ前に妹への面会を希望されています。

新修道院長
ブランシュ・ド・ラ・フォルスを呼びにやりなさい。規則違反ですがやむをえないでしょう。

《出ていこうとするマザー・マリーを呼び止める。》

二人の会見に同席してもらえますか。

マザー・マリー
院長様がご許可くださいますならば……

新修道院長
あなた以外の人ではだめなのです。

《マザー・マリーは急ぎ足で出ていく。》

---

Disc2-Track4

第２幕 第３場

前奏曲

面会室

《ブランシュは顔を露わにしている。託身のマザー・マリーは顔をヴェールで覆い、目につかない場所で面会に立ち会っている。》

Disc2-Track5

騎士
もう20分も、目を伏せたきり、ほとんど答えない。なぜだ？ それが兄を迎える態度なのか？

ブランシュ
お兄さまに不愉快な思いをさせようなど、思っていないことは神がご存じです。

騎士
まわりくどいことはやめて単刀直入に言おう。父上は、ここがもう、あなたにとって安全な場所ではないと判断している。

ブランシュ
そうかもしれませんが、ここにいると安心するのです。それで十分です。

騎士
ずいぶん感じが変わってしまったな。今のあなたは、どことなく無理をしているようだ。

ブランシュ
私が無理をしているように見えるのは、不器用なためにまだ慣れないからです。解放された幸せな生活にとまどっているのです。

騎士
幸せかも知れないが、解放されてはいないな。本性を乗り越えることは、あなたの力の及ぶところではない。

ブランシュ
あら！ カルメル会修道女の生活はそんなに本性に適っているように見えます？

Disc2-Track6

騎士
今のような時代では、かつて誰からもうらやましがられた女性の多くが、あなたと立場を交換したいと思っていることだろう。ブランシュ、私の言い方はきついかも知れない。それは、召使いに囲まれてひとりぼっちの父上の姿が思い浮かんでしまうからだ。

ブランシュ
私がここにとどまっているのは恐怖心からだと思っていらっしゃるのですか？

騎士
恐怖への恐怖心というべきだろう。恐怖心に優劣はない。どれも恐怖心であることには変わりない。死の危険に身をさらすように、恐怖の危険に身をさらすことを覚えなくては。それこそ本物の勇気だ。

ブランシュ
ここではもう、私は全能なる神のちっぽけで哀れな生贄に過ぎません。

騎士
ブランシュ、先ほど私が入ってきた時、あなたは今にも気絶しそうだった。粗末なオイルランプの灯りに照らされながら、私たちの子供時代がすべて、一瞬のうちに蘇った気がした。今、ひどい言葉を投げ合ってしまったのも、私たちのぎこちなさのせいだろう。それとも、私の小さなウサギは変わってしまったのだろうか？

ブランシュ
お兄さまはなぜ、私のなかに疑いという毒を植え付けようとされるのですか？ この毒のせいで私は死にかけました。確かに私は別人に生まれ変わったのです。

騎士
もうなにも怖くないのか？

ブランシュ
ええ。なにからも、傷つけられることはありません。

騎士
かくなる上は、さらばだ、かわいい妹よ。

《騎士は部屋を出ていこうとする。それを見てブランシュは急に心細くなり、格子を両手でつかむ。》

Disc2-Track7

ブランシュ
お兄さま！ 腹を立てたままで行ってしまわないでください！ ああ！ お兄さまはずっと私に同情し続けていらしたから、同情する代わりにほんの少しでも、私を認めてくださることがなかなかおできにならないのです。どんなお友達に対してもお出来になるでしょうに。

騎士
ブランシュ、今度はあなたがずいぶんきついことを言うんだな。

ブランシュ
お兄さまのことは心から愛しています。ですが私はもう小さなウサギではありません。あなたのために苦しみを背負う、カルメル会の修道女なのです。どうか私のことは戦友とみなしてください。私たちはこれから各々、それぞれのやり方で戦っていくでしょう。私の戦いもお兄さまのと同じように、危険や罠に満ちたものなのです。

《騎士は形容しがたいまなざしでブランシュをしばらくじっと見つめると、出ていく。ブランシュは倒れまいとして格子にしがみつく。託身のマザー・マリーが進み出る。》

Disc2-Track8

マザー・マリー
シスター・ブランシュ、しっかりなさい。

ブランシュ
ああマザー、嘘をついてしまいました。自分がどんな人間か承知しているはずなのに。でも、あの人たちから憐れみを受け続けて、精根尽き果ててしまったのです！ 神よお許しください！ もう優しくされるのはうんざりです。あの人たちにとって、私はいつまでもただの子どもなのでしょうか？

マザー・マリー
さあ、もう行きましょう。

ブランシュ
私の高慢は罰せられるでしょう。

マザー・マリー
高慢に勝つ方法はただ一つ、高慢よりも高いところに昇ることです。
《前かがみになっていたブランシュのウエストを支えると》
誇り高くありなさい。

《二人は部屋を出る。》

---

Disc2-Track9

第２幕 第４場

前奏曲

カルメル会の聖具室

《修道女に取り囲まれた司祭が祭服を戸棚にしまいながら、いとまごいをしている。》

Disc2-Track10

司祭
みなさん、これから申し上げることは、みなさんの何人かがもうご存じのことです。私は解任され、追放されました。先ほどのミサが最後のミサです。教会は空っぽとなりました。初期キリスト教会の教父たちと同じ道を今日から私は歩むでしょう。今日はカルメル会にとって偉大な日です。さようなら。みなさんを祝福します。一緒に歌いましょう。

《修道女全員、ひざまずく。》

司祭
乙女マリアよりお生まれになった真の御体よ、めでたし。

カルメル会修道女たち
人のために、十字架につけられ犠牲となられました。

司祭
その脇腹を刺し抜かれ、水と血があふれたのです。

カルメル会修道女
死の審判に際し、私たちのために、先に味わわれました。

司祭
おお、慈悲深きお方！

カルメル会修道女
おお、敬虔なるお方！

司祭
おお、マリアの御子、イエスよ、アーメン。

《修道女たちは立ち上がる。ブランシュはいつの間にか司祭の隣にいる。》

Disc2-Track11

ブランシュ
これからどうなさるのですか？

司祭
今の瞬間もこれからも、追放者として生き続けるだけです。

ブランシュ
《恐怖におののきながら》
でも、噂が真実ならば、殺されますわ、身分が知れた途端。

司祭
そうならないかもしれないじゃありませんか。

ブランシュ
変装なさるのですか？

司祭
ええ。そのような命を受けています。シスター・ブランシュ、あなたの想像力はいつも先走りしすぎますよ。どうか、怖がらないでください。修道院の近くにとどまりますから。

《司祭は戸口でブランシュを祝福するしぐさをする。》

出来るだけ頻繁に立ち寄るようにしましょう。

《司祭は立ち去った。マザー・マリーは落ち着いて大扉の重いかんぬきをかける。》

コンスタンス
キリスト教国で司祭がこんな風に迫害されるなんて信じられる？ フランス人は卑怯者になりさがってしまったのかしら？

シスター・マチルド
みんな怖いのよ。誰もが怖いわ。互いに恐怖をまき散らしている。ペストやコレラが流行ったときのようにね。

ブランシュ
《心ならずも喋っているように、抑揚のない声で》
恐怖は確かに病気の一つかも知れないわ。

コンスタンス
司祭様たちの味方をしてくれる、良きフランス人はいないの？

新修道院長
司祭が足りなくなると殉教者が溢れかえり、こうして神の恵みはバランスが取れるのです。

マザー・マリー
《情熱を抑えようとするあまり、強い口調で》
聖霊が院長様の口を借りてお話しになったような気がします。フランスの司祭たちのために、カルメル会修道女は命を捧げるまでです。

新修道院長
私の言葉を聞き違えたか、少なくとも誤解なさいましたね。私たちのつつましい名前が殉教者として唱えられるか。どうかは、私たちが決めることではありません。

《修道院長はマザー・ジャンヌと共に退出する。修道女たちは皆、言葉を失ってマザー・マリーを見つめる。塔の鐘が激しく鳴る。》

Disc2-Track12

コンスタンス
鐘が鳴っている！

シスター・マチルド
洗濯場の戸口をすぐ見に行かなくては。

《司祭が現れる。》

群衆
《通りで》
わあ！

司祭
巡回兵士と群衆の間に挟まれ、ここに逃げ戻るしか手だてがなかったのです。

コンスタンス
私たちと一緒にとどまってください。

司祭
それではあなた方を危険にさらすばかりです。ここにはいられません。人々が市役所広場に集結したら、通りは空くでしょう。

群衆
わあ！

コンスタンス
お聞きなさい！

シスター・マチルド
お聞きなさい！

カルメル会修道女全員
彼らがやってきた！

司祭
長居しすぎたようです。ここで私が捕まったら、あなた方はいったいどうなるでしょう？

《司祭は修道女たちを祝福すると姿を消す。》

群衆
扉を開けろ！ 扉を開けろ！

《修道女たちはマザー・マリー以外、みんな隅で肩を寄せ合う。》

カルメル会修道女たち
開けないで！ 開けないで！

《扉をどんどん叩く音。》

群衆
扉を開けろ！ 扉を開けろ！

カルメル会修道女たち
開けないで！ 開けないで！

マザー・マリー
《コンスタンスに》
開けてきなさい。

《しっかりした足取りで、コンスタンスはかんぬきを開けに行く。4人の人民委員が入ってくる。2人は扉付近にとどまる。群衆は、長い槍を持った番兵に押しとどめられている。》

Disc2-Track13

第１の人民委員
修道女たちはどこだ？

マザー・マリー
あそこにいます。

第１の人民委員
我々の任務は、修道女たちに強制立ち退き令を布告することだ。

マザー・マリー
どうぞお好きなように。

第２の人民委員
《読み上げる》
「かくして、立法議会は1792年8月17日に以下の通り、決定した。来る10月1日に、現在修道院として使用されている建物はすべて、修道女および修道士を立ち退かせ、行政当局の申し出により、売却されるものとする。」

第１の人民委員
異議申し立てはあるかな？

マザー・マリー
どうして申し立てることが出来ましょう。なにも持たない私たちに？ ですが、私たちは服を手に入れなくてはなりません。この格好が禁じられるのでしたら。

第１の人民委員
いいだろう！
《不満げに》
あなた方は、いそいそとそのぼろを脱いで、みんなと同じ格好をするんだな？

マザー・マリー
制服を脱いでも兵士は兵士です。どんな格好をしていようと、私たちはいつまでも下婢かひなのです。

第１の人民委員
民衆はそんなものを必要としていない。

マザー・マリー
ですが殉教者は大いに必要でしょう。私たちならばその役目を引き受けられます。

第１の人民委員
こんな時勢では、死ぬなんて大したことじゃない。

マザー・マリー
生の価値がばかばかしいほどに下がり、あなた方革命政府の紙幣よりも安っぽいものになった今、生きるなんて大したことではありません。

第１の人民委員
私以外の人が聞いたら高くつく言葉だぞ。

《マザー・マリーだけに聞こえるように》

血に飢えた輩の同類だとお思いか？ 私はシェルの小教区で聖具室係を務めていた男。司祭代理の領主とは乳兄弟の仲だった。でも今はオオカミどもと一緒に吠えていなければいかんのだ！

《平静さを失わないマザー・マリーを前に、人民委員は落ち着かない。》

マザー・マリー
あなたが善意である証拠をお願いすることをお許しください。

第１の人民委員
他の役人と巡回兵たちをここから連れ出そう。夜まで残るのは職人たちだけだ。鍛冶屋のブランカールには気をつけろ。密告者だからな。

《人民委員たちと群衆は立ち去る。マザー・マリーは大扉を閉める。修道女たちは戸惑い、おろおろするばかり。何人かは一心に祈っている。ブランシュは傷ついた哀れな小鳥のごとく、小さな腰掛けにうずくまっている。マザー・ジャンヌが塀の小さな戸から入ってくる。》

Disc2-Track14

マザー・ジャンヌ
みなさん、院長様はまもなくお別れの挨拶にやってきます。院長様はパリへ行かなくてはなりません。

《マザー・ジャンヌはシスター・ブランシュに憐れみのこもった一瞥をやると戸棚の一つから小さなキリスト像を出し、おもちゃを与えるかのようにブランシュに差し出した。》

シスター・ブランシュ、ご存じのようにクリスマスの夜、私たちはこの小さな栄光の王を持ってすべての独房を回ります。この像があなたに勇気を与えますように。

ブランシュ
《像を腕に抱きながら》
なんて小さくて、か弱いんでしょう！

マザー・マリー
いいえ！ 小さいけれど、とても強いのです！

群衆
《表の通りで》
いいぞ！ いいぞ！ いいぞ！

ブランシュ
まあ！

《ブランシュが思わず手を離したので、像は石の床に落ち、頭が砕け散る。》

ブランシュ
《恐ろしい罪を犯した者のようにぞっとした表情で》
小さな王が死んでしまった！ もう神の子羊しか私たちには残されていません。

群衆
いいぞ！ いいぞ！

---

Disc2-Track15

第３幕

第３幕 第１場

礼拝堂

《略奪されて空っぽになった礼拝堂に修道女たちは集まっている。辺りには藁や壁の一部が散乱し、聖歌隊席の格子が一部外れている。灯りは数本のロウソクのみ。一人の修道女が戸口で見張りをしている。司祭の粗末な平服も靴も泥だらけだ。片方の袖は破れ、だらんとぶら下がっている。毅然としたマザー・マリーは修道女たちに囲まれている。コンスタンスとブランシュは肩を並べている。シスター・マチルドが一人の修道女と少し離れたところにたたずんでいる。》

マザー・マリー
お話しください、司祭様。修道女たちはこれから自分たちが行おうとしている誓約に対して心構えがとうに出来ています。

司祭
これは私の務めというわけではありません。ですから、院長様が召還されていらっしゃらない以上、あなたが話されるのが適当だと思います。

マザー・マリー
みなさん、私が提案するのは、みなで殉教の誓願をし、カルメル会の存続と祖国の救済をお願いすることです。

《修道女たちは顔を見合わせる。》

神のおかげでこのことを思いついた私とおなじくらい、あなた方が平静に私の提案を受け止めてくださって嬉しく思います。私たちの哀れな生を差し出すからと言って、その価値について思い上がってはなりません。

マザー・ジャンヌ
正確には、なにを私たちは誓うのでしょう？ こうした特別な誓願の欠点は、人々の心をばらばらにし、信仰心を対立させてしまうことです。

マザー・マリー
だからこそ、このような誓願の原理と妥当性を全員が納得する必要があると常々思ってきました。たった一人でも反対があれば私は即座に締めましょう。秘密投票を提案します。司祭様に一人一人の答えを聞いていただくのです。誰がなにを答えたかは司祭様の胸の内です。マザー、このようなやり方でしたらご満足いただけますか？

マザー・ジャンヌ
少なくとも、安心します。

司祭
一人ずつ順に、祭壇の後ろに来てくださればよろしい。

シスター・マチルド
《シスター・ブランシュを指しながら、別な修道女に》
一人反対する人がいることに賭けてもいいわ。

《修道女たちは次々と祭壇の後ろへ行き、すぐに戻ってくる。ブランシュの番になった。ブランシュは取り乱した様子で戻ってくる。ブランシュをじっと見つめるコンスタンス。司祭はマザー・マリーに近づくと、低い声で何言かしゃべった。》

Disc2-Track16

マザー・マリー
一人反対する者がいました。それで十分です。

シスター・マチルド
《隣の修道女に向かって》
誰だか分かるわよ……

コンスタンス
私よ！

《一同唖然とする。ブランシュは頭を手に抱え、泣き始める。》

私が真実を言ったことは司祭様がご存じです……でも……でも……今ここで、あなた方全員に賛同することにします、そして……私……私、お願いします……この誓願を私に言わせてください……神の名にかけて、お願いします。

司祭
私が許しましょう。みなさんのもとへお戻りなさい。二人ずつ、私のもとへいらっしゃい。

《司祭は祭服を着た。》

聖具係のシスター、福音書を開き、祈構台に載せてください。若い人順に行きましょう。シスター・ブランシュとシスター・コンスタンス、どうぞ。

《ブランシュとコンスタンスは肩を並べてひざまずき、神に命を捧げた。他の修道女たちは列を作ろうと、右往左往する。混乱に乗じてブランシュは逃げ出した。》

Disc2-Track17

第３幕 第１幕間

修道院の前の通り
《カルメル会修道女たちは新修道院長を先頭に、市の役人と向き合っている。修道女たちは平服を着ており、身の回り品をまとめた小さな包みを手に持っている。》

第１の役人
市民諸君、みなさんが規律を守り、市民らしい振る舞いをしたことに敬意を表する。もっとも、国家が今後みなさんから目を離さないことをここに告げておく。集団生活をしないこと、共和国の敵と通じないこと、共和国への宣誓を拒否した司祭とも、法王や暴君どもの手先とも関係しないこと。10分後に一人ずつ、事務所に身分証明書を取りに来るように。これによって、法の監視のもとで、自由の恩恵を新たに受けることができるようになるであろう。

《役人たちは出ていく。新修道院長はカルメル会修道女たちを引き留める。》

Disc2-Track18

新修道院長
シスター・ジェラルド、司祭様になにがなんでもご連絡をしなくては。今日、ミサをあげてくださる予定でしたが、このような状況では司祭様にも私たちにも危険すぎます。そうではありませんか、マザー・マリー？

《シスター・ジェラルド、立ち去る。》

マザー・マリー
私が信ずべき、あるいは信じざるべきことに関しては、今後すべて院長様にお任せいたします。あのような振る舞いをしたことが誤りだったにせよ、やってしまったことはやってしまったことです。このような用心と、私たちの誓願の真髄は相容れないのではないですか？

《マザー・マリー、立ち去る。》

修道院長
《修道女たちに向かって》
あなた方一人一人は神に対して誓願を果たす責任を負っているかも知れませんが、あなた方全員の責任は私が負っているのです。どのように振る舞うべきなのか分かるぐらい、私は歳を取っています。

---

Disc2-Track19

第３幕 第２場

前奏曲

ド・ラ・フォルス侯爵の書斎

《書斎はなにもかも略奪され、家具はすべて壊されている。大きな暖炉の炉床に背の低いストーブが置かれ、粗末な土鍋が載せてある。部屋の真ん中に折り畳み式のベッドが一台。粗末な身なりをしたブランシュが水の番をしている。平服を着たマザー・マリーが突然、中央の戸口から入ってくる。》

Disc2-Track20

ブランシュ
あなたですか……

マザー・マリー
そうです。迎えに来ました。時がやってきたのです。

ブランシュ
《おろおろしながら》
今はまだ、あなた方についていくことはできません……ですが、もう少ししたら……多分。

マザー・マリー
いいえ、もう少ししたらではなく、今すぐにです。数日後にはもう手遅れになってしまう。

ブランシュ
なにがですか？

マザー・マリー
あなたの救済が、です。

ブランシュ
私の救済……あそこで私の安全が守られるというのですか？

マザー・マリー
ここよりも危険は少ないでしょう。ブランシュ……

ブランシュ
あなたの言葉は信じられません。こんな時代に、自分で身を守る以外、なにができましょう？ ここなら、誰も私を探そうなどと思わないでしょう。死はもっと高いところしか狙わないのですから……マザー・マリー、私はすっかりくたびれてしまいました！ ……シチューが焦げてしまう！ あなたのせいですわ。ああ！ 神よ！ これからいったいどうなるんでしょう？

《ブランシュは泣きながら火の前でひざまずき、鍋の蓋を取った。マザー・マリーもひざまずき、急いで別な鍋にシチューを移した。》

マザー・マリー
大丈夫ですよ、ブランシュ、もうちゃんとしましたから。なぜ泣いているのです？

ブランシュ
あなたが親切だからです。でも、泣いていること自体恥ずかしい。私のことは放っておいて、誰も構わないで……

《突然はげしく》
私がなにをしたというのです？ 私のなにがいけないのです？ 私は神に背いたりしていません。恐怖心があるからといって神に背いたことにはならない。私は恐怖の中に生まれ、育ち、今もその中にいます。誰もが恐怖心を軽蔑するから、私も軽蔑されながら生きていくのが正しいのでしょう。もうずっと前から考えていたことです。口にするのをはばかっていたのは、父がいたからです。でも死んでしまった。数日前、首をはねられて。

《ベッドに身を投げかけて》
自分の家にいながら、父にも父の名にも値しない私には、みじめな下女以外どんな役割があるというのです？ 昨日、あの人たちは私をぶちました……ええ、ぶったんです。

マザー・マリー
不幸なのは軽蔑されることではなく、自分自身を軽蔑することだけなのですよ。

Disc2-Track21

キリストの聖なる臨終のシスター・ブランシュ！

《ブランシュは飛び起き、直立の姿勢をとった。涙は乾いている。》

ブランシュ
マザー？

マザー・マリー
ある連絡先を教えましょう。よく覚えておきなさい。マドモワゼル・ローズ・デュコール、サン・ドゥニ通り２番地です。彼女のところなら安全です。ローズ・デュコール、サン・ドゥニ通り２番地ですよ。明日の晩までそこであなたを待っています。

ブランシュ
行きません。行けないんです。

マザー・マリー
来ますよ。あなたは来ると分かっています。シスター。

女性の声
《部屋の外から》
ブランシュ、お使いにお行き！

《ブランシュは小さな扉から逃げ去る。一瞬びっくりしたマザー・マリーは、入ってきた扉から出ていく。》

Disc2-Track22

第３幕 第２幕間

前奏曲

バスティーユ地区の通り
《老婆二人と老紳士一人がやってくる。》

Disc2-Track23

第１の老女
まだまだこれから大変さね。

老紳士
まったくもって、パリ暮らしはきつくなる一方だ！

《ブランシュがやってくる。手に持った買い物かごから菜類がはみ出ている。》

第２の老女
よそだって同じようなもんですよ。

第１の老女
さもなきゃもっとひどいか。ナンテールからやってきたんですがね……

第２の老女
あたしゃコンピエーニュさ。

ブランシュ
《詰まったような声で》
コンピエーニュからやってきたんですか？

第２の老女
そうさ、きのう野菜の荷車に乗ってやってきたさ。あそこじゃ、２ダースほどの悪党が互いに怖がっていてね、安心するためにやたらと騒ぎ立てているのさ。おとといはカルメル会のご婦人方を逮捕していたっけ。

《ブランシュの動転した顔を見て》
ご親戚がいるのかね？

ブランシュ
いえ、奥様、とんでもございません。それに、コンピエーニュには一度も行ったことがありません。パリにやってまだ１週間なんですよ。ロッシュ=シュール=ヨンからご主人様たちとやってきたんで。

第１の老女
ちょいと、この召使い、変わっているね。

《ブランシュは足早に立ち去る。》

---

Disc2-Track24

第３幕 第３場

コンシエルジュリーの監獄の一室

《カルメル会修道女たちは一つの監獄に押し込められている。粗末なテーブルに白いハンカチを敷き、キリスト像を飾っているが、ハンカチが小さすぎてテーブルが見えている。欠けた水差しに枯れた花が数本さしてある。数台のベンチ、そして唯一の粗末な椅子には修道院長が座っている。格子のはまった窓越しに、薄暗い中庭が見える。重そうな扉。夜明けだ。》

新修道院長
みなさん、監獄で最初の晩が過ぎようとしています。最初の晩が一番辛いものです。ですがなんとか切り抜けました。次の晩には、新しい環境にすっかりなじんでいることでしょう。それに新しいと言えるでしょうか。つきつめれば背景が変わったに過ぎないのですから。私たちがずっと以前に捨て去った自由をまた奪うことなど、誰にも出来ません。みなさんが殉教の誓願を立てたとき、私はいませんでした。誓願が適切であったかどうかはさておき、これほど寛大な行為が今やあなた方の良心を苛むものでしかないなど、神はお許しにならないでしょう。ですから、この誓願の責任は私がとります。これからなにがおきようとも、誓願が成就したかどうかは私一人が責任もって判断します。そうですとも、私が責任を果たし、功績はあなた方に差し上げましょう。私自身は誓願をたてなかったのですからそれができるのです。これまでこの世であなた方の責任を私は負ってきました。今になって、責任を逃れる気はさらさらありません。ご安心なさい！

マザー・ジャンヌ
院長様となら、なにも怖くはありません。

新修道院長
オリブ山でキリストは自制心を失いました。死を恐れたのです。

コンスタンス
シスター・ブランシュはどうなったのでしょう？

新修道院長
あなた同様、私にも分からないのですよ。

コンスタンス
きっと戻ってきますわ。

シスター・マチルド
なぜそんなに自信があるのです、シスター・コンスタンス？

コンスタンス
なぜって……なぜって……そういう夢を見たからです。

《院長以外の修道女は全員、爆笑する。そのとき、扉が急に開くと看守が入ってきた。そして書類を広げた。》

Disc2-Track25

看守
《読み上げる》
「革命裁判所は申し渡す。オワーズ県コンピエーニュ在住の元カルメル会修道女こと、マドレーヌ・リドワヌ、アンヌ・ペルラ、マドレーヌ・トゥーレ、マリー=アンヌ・アニゼ、マリー=アンヌ・ピエクール、マリー=アンヌ・ブリド、マリー=シプリエンヌ・ブラル、ローズ・クレチアン、マリー・デュフール、アンジェリク・ルッセル、マリー=ガブリエル・トレゼル、マリー=ジュヌヴィエーヴ・ムニエ、カトリーヌ・ソワロン、テレーズ・ソワロン、エリザベス・ヴゾロは反革命的秘密集会を開き、狂信的な書簡を交わし、自由を侵害する内容の文書を保管した。上記の者たちは、邪悪な希望と欲望を胸に抱いた謀反者、扇動者であり、フランス国民を暴君の支配下に再び置き、神の名の下に、多くの血を流して自由を消し去るべく、卑劣な陰謀を企てた。よって革命裁判所は上記の者全員を死刑に処することを宣言する。」

《看守が判決文を畳むと、修道女たちは全員頭をたれた。看守は出ていく。》

Disc2-Track26

新修道院長
みなさんを助けたいと心から思っていたのですが……あなた方から苦難が遠ざかりますようにと願っていました。この修道院にやってきた最初の日から、母親のような自然な気持ちでみなさんを愛していたのです。たとえ神に対してであっても、自分の子どもをいそいそと犠牲に捧げる母親がどこにおりましょう？ もし私が間違っていたのなら、神が正してくださるでしょう。今の私にとって、あなたがたは私の宝です。そして私は自分の宝を窓から投げ捨てるような人間ではありません。あなた方に母親の祝福を授け、最後に、あなた方から従順の誓いをここに受けましょう。

Disc2-Track27

第３幕 第３幕間

バスティーユ地区の通り

《司祭が突然姿を現す。待っていたマザー・マリーが物陰から出てくる。》

司祭
死刑判決が下りました。

マザー・マリー
全員ですか？

司祭
全員です！

マザー・マリー
神よ！ それに……

司祭
おそらく今日か、明日でしょう……

《マザー・マリーは身を引いた。》

どうなさったのです、マザー？

マザー・マリー
私なしで死なせるわけにはいきません！

司祭
あなたがどう思おうと、誰が選ばれ、誰が退けられるかは神のご意志なのです。

マザー・マリー
私は殉教の誓願をしたのに……

司祭
神に対して誓ったのですから、あなたが責任を負うのは神に対してであって、他の修道女たちに対してではないはずです。あなたの誓いを解くかどうかは神の自由であり、神は自分の所有にあるものしかお取りにならない。

マザー・マリー
なんて不名誉な！ あの人たちは死ぬ間際に私の姿をむなしく探すでしょう。

司祭
神の目のことだけ気にすればいいのです。あなたは神だけを見つめていなくては。

《二人は退場する。》

---

Disc2-Track28

第３幕 第４場

前奏曲

革命広場

《カルメル会修道女たちが死刑囚護送馬車から降りてきた。年老いたマザー・ジャンヌは手助けが必要だ。最後のコンスタンスはほとんど楽しげに飛び降りる。カルメル会修道女たちは、修道院長を先頭に、聖歌を歌いながら断頭台へと向かっていった。見物人は押し合いながらびっしり群がっている。第一列に、赤い縁なし帽をかぶった司祭がいる。修道女たちが断頭台にのぼり始めると、司祭は臨終の者に与える赦免の言葉をつぶやき、こっそり十字を切ると足早に立ち去る。》

群衆
おお！ おお！

《最初に断頭台にのぼったのは修道院長だった。修道女は一人ずつ消えていき、歌声は徐々に小さくなる。》

Disc2-Track29

新修道院長、マザー・ジャンヌ、シスター・マチルド、コンスタンス、修道女たち
めでたし女王、慈悲深きみ母、私たちの命、喜び、希望よ、なんとめでたいことでしょう。めでたし女王、慈悲深きみ母、私たちの命、喜び、希望よ、なんとめでたいことでしょう。めでたし女王、慈悲深きみ母、私たちの命、喜び、希望よ、なんとめでたいことでしょう。あなたに向かって、私たちは声をあげるのです。追放されしエヴァの子らは。この涙の谷で、嘆き、泣きながら、私たちはあなたを仰ぎ見るのです。ゆえに今、私たちの弁護者、あなたの慈悲深き目を、私たちにお向けください。そして、あなたの胎内の祝福されし御子、イエスを。この追放の果てに、私たちにお示しください。おお、いつくしみ深き、敬虔なる、恵みの満てる乙女マリアよ！

《最後の修道女、コンスタンスが断頭台へのぼる。ブランシュが、群衆を通り抜けようとする姿が見えるが、また群衆の中に姿が隠れてしまう。ブランシュの顔に恐れの表情はまったく見あたらない。》

コンスタンス
慈しみ深き、

《コンスタンスはブランシュを見つけ、幸せに顔を輝かせる。思わず足を止めたコンスタンスは、また歩み始めながらやさしくブランシュに微笑む。》

敬虔なる、恵みに満ちた乙女マ……。

《信じられないほど平静に、ブランシュは、驚く群衆を後目に断頭台へとあがっていく。》

ブランシュ
栄光は、父なる主に
そして死からよみがえられた
慰め主キリストに、
永遠に、永遠に……。

《群衆はゆっくりと散っていく。》

カルメル会修道女の対話：完

---

---

タグ：村上春樹 ドラローシュ 小澤征爾 ギロチン 台本 コンピエーニュ リブレット カルメル会修道女の対話 中野京子 意味がなければスイングはない 運命の絵 フランシス・プーランク 断頭台下の最後の女 ゲルトルート・フォン・ル・フォール ジョルジュ・ベルナノス

No.305 - フリック・コレクション

過去の記事で、13の "個人コレクション美術館" を紹介しました。以下の美術館です。

	No. 95		バーンズ・コレクション		米：フィラデルフィア
	No.155		コートールド・コレクション		英：ロンドン
	No.157		ノートン・サイモン美術館		米：カリフォルニア
	No.158		クレラー・ミュラー美術館		オランダ：オッテルロー
	No.167		ティッセン・ボルネミッサ美術館		スペイン：マドリード
	No.192		グルベンキアン美術館		ポルトガル：リスボン
	No.202		ボイマンス・ファン・ベーニンゲン美術館		オランダ：ロッテルダム
	No.216		フィリップス・コレクション		米：ワシントンDC
	No.217		ポルディ・ペッツォーリ美術館		イタリア：ミラノ
	No.242		ホキ美術館		千葉市
	No.263		イザベラ・ステュアート・ガードナー美術館		米：ボストン
	No.279		笠間日動美術館		茨城県笠間市
	No.303		松下美術館		鹿児島県霧島市

笠間日動美術館以外は、いずれもコレクターの名を冠した美術館です。今回は、その "個人コレクション美術館" 続きで、ニューヨークにあるフリック・コレクションのことを書きます。

---

ニューヨーク

---

ニューヨークはパリと並ぶ美術館の集積都市です。海外の美術館めぐりをしたい人にとって、パリの次に行くべき都市はニューヨークでしょう。そのニューヨークの美術館めぐりをする人が、まず間違いなく訪れるのがメトロポリタン美術館とニューヨーク近代美術館（正式名称：The Museum of Modern Art : MoMA）だと思います。この２つの美術館を訪れることで、古今東西の多数の美術品やアートにふれることができます。

この２つの大美術館は、マンハッタンの5th アベニュー（南北の通り）に近接していますが（メトロポリタンは面している）、２つのちょうど中間点付近にあるのがフリック・コレクションです。フリックコレクションも 5th アベニューに面していて、MoMAやメトロポリタンから歩いて行こうと思えば可能な距離です（直線距離１キロ程度）。

なお、5th アベニュー沿いにはグッゲンハイム美術館やノイエ・ギャラリー（クリムトの『アデーレ・ブロッホバウアーの肖像』がある。No.164「黄金のアデーレ」参照）もあり、この通りは "美術館通り" と言っていでしょう。

---

邸宅美術館

---

フリック・コレクションは、鉄鋼業などに携わった実業家、ヘンリー・クレイ・フリック（1849-1919）の個人コレクションを自宅に展示したものです。つまり、ワシントン D.C.のフィリップス・コレクション（No.216）やミラノのポルディ・ペッツォーリ美術館（No.217）、ボストンのイザベラ・ステュアート・ガードナー美術館（No.263）と同様の「邸宅美術館」です。ただし"邸宅" といっても石造りの大規模かつ豪勢な建物であり、普通に想像する住居というイメージではありません。ここを訪問したなら、まず建築そのものや内部の装飾、調度品を鑑賞し、それと併せて美術品を見るというのが正しい態度でしょう。

5th Avenue.からみたフリックの邸宅

フリック・コレクションのエントランスは建物の南側にあり、70th Street に面している。

コレクションを収集したヘンリー・フリックは1919年に亡くなりましたが、その後も親族よって拡張が続けられ、1935年から美術館として一般公開が始まりました。所蔵する絵画の約 1/3 はヘンリー・フリックの没後に購入されたものですが、著名作品のほどんどはヘンリー・フリック自身が購入したものです。

2010年、美術館は開館75周年を記念して紹介動画を作成しました。ナレーションは英語ですが、美術館の内部も撮影されていて、その様子がよく分かります。YouTube で見ることができます。

Introduction to The Frick Collection
https://www.youtube.com/watch?v=LEyC8g94MZE

この美術館は内部の撮影は禁止であり、かつ所蔵美術品は門外不出です。従って、現物を見るためにはここに行くしかないのですが、逆に言うと、お目当ての作品があったとして、それが貸し出しなどで不在ということはありません。フィラデルフィアのバーンズ・コレクションと同じで、これはメリットだと考えることもできるでしょう。

フリック・コレクションの西ギャラリー （site : www.inexhibit.com）

---

このコレクションは、ヨーロッパの19世紀以前の、特に "古典絵画" が主体です。絵画について、主な所蔵品の画家をあげると、

・ベッリーニ ・ティツィアーノ ・ブロンズィーノ ・ホルバイン ・エル・グレコ ・ヴァン・ダイク ・ベラスケス ・レンブラント ・フェルメール ・ハルス ・ゲインズバラ ・ゴヤ ・フラゴナール ・ターナー ・コンスタブル ・アングル ・マネ ・ドガ ・ルノワール ・ホイッスラー

ベッリーニ 「荒野の聖フランチェスコ」 フェルメール 「士官と笑う娘」

なとです。以降は、これらの所蔵絵画から上に画像を引用した２作品を紹介したいと思います。一つは宗教画で、ベッリーニの『荒野の聖フランチェスコ』、もう一つは３枚もある（！）フェルメールの中の１枚、『士官と笑う娘』です。まず『荒野の聖フランチェスコ』からです。

---

聖フランチェスコ

---

聖フランチェスコはカトリック教会における聖人の一人で、12～13世紀のイタリアの人です。数多あまたの聖人の中でも最も人気が高く、よく知られた人でしょう。いや、世界のほとんど人がこの名前を知っているはずです。

というのも、アメリカのカリフォルニア州のサンフランシスコ（San Francisco）は、スペイン語で「聖フランチェスコ」の意味だからです。つまりフランチェスコはイタリア語ですが、スペイン語・ポルトガル語ではフランシスコです。なお、英語ではフランシス、フランス語ではフランソワ、ドイツ語ではフランツであり、現代の欧米人の男性名としてもよくあります。

2013年に即位したアルセンチン出身のローマ教皇・フランシスコの名前も、もちろん聖フランチェスコにちなんでいます。意外にもフランチェスコを名乗った教皇は初めてです。あまりにも有名な聖人の名前なので、それまでの教皇が名乗らなかったのかもしれません。聖フランチェスコは貧しい人々に寄り添う人だったので、教皇としてはそこが名前の意図なのでしょう。

なお、イタリア語の原音に近いのは「フランチェスコ」ですが、日本のカトリック教会では伝統的に「フランシスコ」と呼ぶ習わしです。日本と関係が深い聖フランシスコ・ザビエル（スペイン人、バスク出身）と関係しているのかもしれません。

---

聖フランチェスコの生涯

---

聖フランチェスコの生涯と、フリック・コレクションが所蔵する『荒野の聖フランチェスコ』については、中野京子さんの解説があるので、それを引用しましょう。

1181年（日本では平清盛没年）、フランチェスコはイタリア中部ウンブリア州のアッシジに生をうけた。高原や平野、渓谷など、変化に富む美しい土地だ。父親は織物を扱う豪商で、町の有力者でもあった。ひとりっ子のおぼっちゃまフランチェスコは、常に華やかな衣服に身を包み、貴族然とした立ち居振る舞い、家業の手伝いもそこそこに、おおぜいの仲間と豪勢に遊び歩いていた。 そんな気楽な暮らしも、しかし二十歳ころ突如終わりがくる。当時イタリアでは各都市間における戦が頻発しており、アッシジも隣のペルージャと紛糾ふんきゅうしたため、フランチェスコは戦闘に参加した。そして捕虜になってしまう。牢獄生活は一年余り続き、父親が莫大な保釈金を支払ってくれたおかげでようやく帰郷できたものの、しばらく療養が必要なほど心身が弱っていた。もはや自然の美しさにも遊興にも関心は持てず、深く考え込むことが多くなるが、周りは病気が治れば元通りほがらかになると信じた。 健康が完全に回復した1205年、今度はイタリア南部で戦争がはじまり、父親は息子が騎士として叙勲じょくんされるよう、立派な鎧冑よろいかぶとを用意して送り出した。しかしフランチェスコは途中で引き返す。「わたしの家を建て直しなさい」という神の声を聞いたからだ。彼はアッシジ近郊で廃墟はいきょとなっていた古い教会を修理し、家の金を持ち出して貧者やハンセン病患者の世話をし始めた。怒った父に勘当かんどうされるが、ほんとうの父は天にいると答え、永久に家族との縁を切る。 現世の歓びを味わい尽くした末の転身である（釈迦しゃかもそうだった）。個人の財産を持たず、労働による自給自足で清貧に暮らし、必要とあらば托鉢たくはつもする。聖書の教えに従い、純潔（童貞）を貫き、世の中からはじき出された弱者へ奉仕する ─── フランチェスコのこの思想と行動は、共鳴する仲間を続々増やした。1209年、「小さき兄弟の会」が設立され会則も定められる。さらにその翌年、フランチェスコはローマへ赴おもむき、ついに教皇インノケンティウス３世の公認を得た。 中野京子 『名画の謎』陰謀の歴史篇 （文藝春秋 2013）

「小さき兄弟の会」（のちのフランシスコ会）をヴァチカンが公認したは異例だったと言います。当時の「放浪説教師」のほとんどは元司祭であり、説教に人気があったとしても "ヴァチカン批判勢力" で、カトリック教会とは無縁だとされていました。しかしフランチェスコは違いました。

放浪説教師のほとんどは、階級制度からこぼれ落ちた元司祭だった。彼らの活動は個々ばらばらで、行く先々の喜捨きしゃにすがり、結束しようなどとは思いもよらなかった。そこへ全く新しいタイプのフランチェスコが登場する。 食い詰めて説教師になったのではなく、富豪の父を持つ、育ちの良い若者で、教育もユーモアもあり、自作の歌や踊りを添えた巧みな説教にそれがにじみ出ていた。愛と瞑想めいそうの神秘家としても知られ、組織運営能力まである。いや、何より圧倒的カリスマ性の持ち主だ。 彼の団体（後に「フランシスコ会」として知られる）を公認したインノケンティウス３世には、もちろんヴァチカン批判派の取り込みという思惑があったが、それにしてもフランチェスコ本人の魅力がなかったら起こり得ないことだった。 中野京子「同上」

聖フランチェスコはまた、数々の奇蹟のエピソードとともに語り継がれています。

フランチェスコには奇蹟のエピソードが事欠かない。鳥や動物との意思疎通そつう（小鳥へ説教し、狼を回心させた）、悪魔との戦い、石からの泉噴出、両腕に幼子イエスの出現。また1224年ラヴェルナ山中の洞窟にこもって40日間の断食だんじき修行の際、イエスと同じ痛みをと祈るうち天使が出現し、磔刑たっけい時に釘打たれた両手両足、槍やりで突かれた右脇腹の五箇所に聖痕せいこんが与えられた。これは男性に出現した聖痕の最初の事例とされる。 この大いなる奇蹟後、フランチェスコに残された余命はわずか２年。激しい労働、きつい説教の旅、極端に質素な暮らし、目はほとんど見えなくなり、また聖遺物せいいぶつを欲しがる人々に歯をねだられ、一本ずつ与えているうち、ついに歯無しになってしまい（崇敬されるのも大変なことなのだ）、おそらく栄養不良も加わってだろう、45歳（生年1182年説あり、その場合は44歳）で衰弱死した。墓には人々が押しかけ、遺骸が惹き起こしたさまざまな奇蹟を言い立てた。 ヴァチカンの反応は驚くほど素早かった。教皇はグレゴリウス９世に代わっていたが、フランチェスコ死去からわずか２年足らずで聖人指定を発表、アッシジに聖フランチェスコ大聖堂を建設して聖遺物を移した。またフランチェスコが創設したフランシスコ会も、分裂や多少の衰退はありながら宗教改革時代にも信者を増やし、今に続いている（女子修道会もある）。 中野京子「同上」

聖フランチェスコは生前から神聖視され、現代までに美術作品、伝記、小説、映画と多岐たきにわたって取り上げられました。その聖フランチェスコを描いた絵画から２点を引用しておきます。

ジョット（1266/7-1337） 「小鳥に説教をする聖フランチェスコ」（1305頃）

アッシジの聖フランチェスコ大聖堂の内部の壁には、聖フランチェスコの生涯を描いた28枚のフレスコ画があるが、その中の１枚。

フランツ・リストが作曲したピアノ曲「伝説」の第１曲「小鳥に説教するアッシジの聖フランチェスコ」は、上のフレスコ画に描かれた言い伝えにもとづいています。次の絵は、聖フランチェスコを多数描いたエル・グレコの作品です。

エル・グレコ（1541-1614） 「聖フランチェスコ」（1604/14）

（プラド美術館）

ラヴェルナ山中の洞窟での断食修行の様子を描いている。手に持った頭蓋骨は "死" について瞑想していることを表す。右手には聖痕が描かれている。左下で両手を組んで祈りを捧げているのは、修行を共にした修道士のレオ。レオの頭はフランシスコ会独特の「トンスラ」というヘアスタイルである（上のジョットの聖フランチェスコも同様）。

---

ベッリーニ：荒野の聖フランチェスコ

---

本題のフリック・コレクション所蔵のベッリーニ『荒野の聖フランチェスコ』です。絵の画像と中野さんの解説を引用します。

ジョヴァンニ・ベッリーニ（1430-1516） 『荒野の聖フランチェスコ』（1480頃）

（フリック・コレクション）

天使もいなければ神々こうごうしい光もなく、洞窟の前でフランチェスコが恍惚こうこつと立ちすくんでいるだけだが、両掌てのひらの真ん中には微かずかに赤い点が見える。聖痕があらわれた奇蹟の瞬間なのだ。 石の一つ一つ、葉の一枚一枚まで細密に描く、執拗しつようかつ克明な自然描写は、主役の存在感を希薄にさせており、絵画的に成功しているかどうかの判断は難しいところだ。とはいえ何や知らん、異様なまでの岩石の迫力には有無を言わせぬものがある。しかもこれだけ粘着質の画家だから、画面に意味を盛り込むことにおいても抜かりはない。 まずはファッション。さまざまな宗派の僧服のうち、フランシスコ会のはかなり見分けやすい。禁欲的精神が着る物にもあらわれるのは当然で、フード付き長衣は染色されていない、即すなわち茶かグレイの粗布。さぞかしゴワゴワし、着心地よろしくなかったであろう。だが肌触りの良い衣服を着て、身体を清潔に保つのは罪深い考えと見做みなされていたので、この恰好とさらには汚れた身体によって、世俗的快適さへの蔑視べっしを表明しているわけだ（日本人の考える清浄感とはずいぶん違う）。ベルトも単なる縄紐で、縛って前へ長く垂らす。この紐には三つの結び目を作り、「清貧・童貞・服従」という会の戒律かいりつをアピール。地味ながらけっこう目立つ、エコ・ファッションなのだ。この絵では茶系の服、紐の結び目もきちんと描かれている。 ヘアスタイルは、「トンスラ」（鉢巻き状に髪の毛を残してあとは剃る）の形に整えるが、ベッリーニのフランチェスコは四十日に及ぶ修行で髪が伸びているらしく、蛸たこの鉢巻き風にはなっていない。ちなみにトンスラという奇妙な形は、磔刑のイエスが茨の冠をかぶされたところからきたと言われるが、まだ定説はない。 画面右は、洞窟に作った簡易の庵いおりで、書見台と座り心地の悪そうな椅子がある。書見台の上には聖書と、頭蓋骨ずがいこつ。後者はメメント・モリ（＝死を忘れるな）の代表的なアイコンだ。反対側の左下に、細長い紙片が岩にへばりついている。そこには「ジョヴァンニ・ベッリーニ」と、画家の署名。 後景には都市の街並みが連なるが、中央の山上に描かれているのはエルサレムの建物だ。これはどうやらフランチェスコの幻視、ということらしい。イエスはエルサレムで磔刑されたので、聖痕とともにエルサレムもあらわれたのだろう。 中野京子「同上」

確かにこの絵には「神々こうごうしい光」はありません。ただし、左の方から何となく神秘的な光が聖フランチェスコとその周辺に当たっています。左上のオリーブの木の葉の描き方も、その光を示しているようです。また、聖フランチェスコのみならず、岩や植物、動物、空が細密にリアルに描かれています。聖フランチェスコの思想の中に「自然も兄弟」という考え方があったようですが、それを表しているのかもしれません。

ちなみに「トンスラ」というヘアスタイルは、上に引用したジョットとエル・グレコの作品でクリアに分かります。

この絵は凝こっていて、紐による「清貧・童貞・服従」がさらに動物たちによっても補強されている。各々の動物が何を象徴するかは、中世に広く読まれた教本『フィシオロゴス』が典拠となった。 まず中景ですぐ目立つ野生ロバ。凄すさまじい言い伝えがあるそうで、雄が生まれると父口バがその性器を噛み切ってしまう。ここから導かれる教訓が、「禁欲して精神的子孫を残すほうが尊い」─── つまり童貞を示すものとして登場している。ロバの少し離れた左に（故意に見つけにくく描かれている）、鷺さぎがいる。この鳥は寝るのも食べるのも同じ場所だというところから「全ての鳥の中で一番つつましい」─── 清貧そのもの。 最後の「服従」は茶色の野ウサギで示される。無防備で逃げ足が早いだけの野ウサギは、神だけを頼る人間の象徴だという ─── 神に服従せねばならない。野ウサギはどこに隠れているかって？ 岩場から顔を出しています。 中野京子「同上」

聖フランチェスコの部分。何かにうたれたような表情である。

中景に描かれたサギとロバ。サギは清貧、ロバは童貞を表す。描かれたサギは、日本のアオサギのような姿をしている。

聖フランチェスコの向かって左に描かれたウサギ。ウサギは服従を表す。フランチェスコの紐には三つの結び目があり「清貧・童貞・服従」を示す。右手には聖痕が描かれている。

おそらくこの絵は「すべての細部に意味がある」のでしょう。中野さんの解説はその一部だと想像されます。カトリックのフランチェスコ会の人ならば、この絵の説明を何10分とできるのでしょう。

---

キリスト教絵画が西欧の絵画の発展の原動力になったことは間違いないありません。それは文字の読めない人にキリスト教を教える重要なツールでもあった。西欧絵画を理解するためには、その背景にある宗教画を知っておいた方がよいわけです。

しかし非キリスト教である我々にとって、宗教画の理解はハードルが高いものです。よく、聖書（とギリシャ・ローマ神話）を知らないと西欧絵画は理解できないと言いますが、たとえ聖書を知っていたとしても分からない絵がいっぱいあります。典型的なのが「マグダラのマリア」関係の絵で、キリストと極めて近い人物であるにもかかわらず、往々にして聖書とは無関係なストーリーが図像化されます（No.118「マグダラのマリア」参照）。No.157「ノートン・サイモン美術館」で引用したカニャッチの絵など、欧米に流布している "マグダラのマリア物語" を知らないと意味不明でしょう。カトリック教徒なら常識かも知れないけれど ･･････。

さらなるハードルは「聖人」についての絵画です。これが意外に多い。キリストと同時代の聖人はともかく、古代ローマから中世に至る数々の聖人の図像化は、その聖人の事跡を全く知らないのでは意味がとれません。ちょうど『荒野の聖フランチェスコ』のようにです。

逆に言うと『荒野の聖フランチェスコ』が描かれた時代、一般の人で文字が読める人は少数だったことを思うと、この絵は聖フランチェスコの事跡（の一部）を説明するための絵と考えることができます。我々としても『荒野の聖フランチェスコ』という絵を知るなかで、「アッシジの聖フランチェスコ」を知り、西洋史の一端を理解すればいいのだと思います。

たとえば聖フランチェスコの思想は、小鳥や狼のみならず、あらゆる動植物も含めて、父なる神のもとの兄弟であるという考え（＝万物兄弟の思想）だったようです。「小鳥に説教」も、奇蹟のエピソードというよりは万物兄弟の思想の現れなのでしょう。そういったことから、1980年に当時のローマ教皇、ヨハネ・パウロ２世はフランチェスコを「自然環境保護の聖人」に指定したといいます（Wikipediaによる）。つまり聖フランチェスコの（＝フランシスコ会の）思想は、少々意外なことに我々が思う西洋の「神→人間→動物」という階層の考え方と違います。このような「学び」が、絵をきっかけにしてありうるのかなと思いました。

---

フェルメール：士官と笑う娘

---

寡作で有名なフェルメールの真筆とされる絵はわずか35点です（35の数え方は No.222「ワシントン・ナショナル・ギャラリー」参照。もちろん異説がある）。ほとんどは欧米の美術館に収蔵されていますが、複数のフェルメール作品をもつ美術館は次のとおりです。

5点：（米）	メトロポリタン美術館
4点：（蘭）	アムステルダム国立美術館
3点：（蘭）	マウリッツハイス美術館（デン・ハーグ）
3点：（米）	フリック・コレクション
3点：（米）	ワシントン・ナショナル・ギャラリー
2点：（英）	ロンドン・ナショナル・ギャラリー
2点：（仏）	ルーブル美術館
2点：（独）	ベルリン絵画館
2点：（独）	アルテ・マイスター絵画館（ドレスデン）

別に「フェルメール作品の所有数が美術館のグレードを示す」わけではないのですが、このリストを見て分かることが２つあります、一つは「アメリカの美術館が健闘している」ことです。フェルメールの "母国" であるオランダの２つの美術館を別格として、ロンドン・ナショナル・ギャラリーとルーブル美術館がアメリカの３つの美術館の後塵を拝している。これは、フェルメールが19世紀後半から評価されはじめ、その時期にアメリカの資本主義の発展が重なって富が集積するようになり、アメリカの富豪コレクターがフェルメールを買ったということでしょう。ボストンのガードナー夫人もその一人でした（絵は盗まれてしまいましたが ･･････。No.263「イザベラ・ステュアート・ガードナー美術館」参照）。

このリストから分かる２つ目ですが、「フリック・コレクションは個人コレクションであるにもかかわらずフェルメールの真筆を３作品も持っている」ことです。メトロポリタンやワシントン・ナショナル・ギャラリーにはアメリカの富豪美術コレクターが寄贈した作品がヤマのようにあって、美術館自体が "個人コレクションの複合体" という面があります。しかしフリック・コレクションは一人のコレクションなのです。そこは特筆すべきでしょう。そのフリック・コレクションにあるフェルメールは、

　◆士官と笑う娘
　◆中断されたレッスン
　◆婦人と召使い

の３点ですが、この中の『士官と笑う娘』を取り上げます。『兵士と笑う娘』という日本語表記もありますが、フリック・コレクションの英語表記は "Officer" なので「士官」とします。

---

士官と娘と地図

---

ヨハネス・フェルメール（1632-1675） 『士官と笑う娘』（1657頃）

（フリック・コレクション）

この絵については、フランスの科学雑誌「Pour la Science」の副編集長、ロイク・マンジャンが書いた『科学でアートを見てみたら』（原書房 2019）に興味深い記述があったので、それに沿って紹介したいと思います。まず、この絵が描かれた当時のオランダの状況です。

1658年頃のオランダ。80年近く前にスペイン王国からの独立を宣言したネーデルラント連邦共和国（オランダの旧名）は、1609年に実質的な独立を勝ち取った。そして1648年に独立戦争が完全に終結すると、市民生活に戻った兵士たちは、せっせと女性を口説き始めた。 この地方では1568年に宗主国スペインに対する反乱が勃発し、1581年に北部七州が独立を宣言した。1609年に12年間の休戦条約が結ばれ、その後1648年のウェストファリア条約で、ネーデルラント連邦共和国の独立が国際的に承認された。この独立のための戦いは80年戦争と呼ばれる。 画家ヨハネス・フェルメール（1632-1675）が、《士官と笑う娘》（ニューヨーク、フリック・コレクション所蔵）に描いたのも、そんな情景である。 作品では鮮やかな赤い制服を着て大きな黒い帽子をかぶった ── この帽子については後述 ── 士官がこちらに背中を向け、若い女性と談笑している。想いを寄せる女性の家を訪問中なのだろう。当時、女性の前で帽子を取る習慣はまだなかった。 ロイク・マンジャン 「科学でアートを見てみたら」 （木村高子訳。原書房 2019）

フェルメールの絵によくある「左の窓から差し込む柔らかな光に包まれた室内」の情景です。手前に描かれた男性の表情はほとんで分かりません。ただ「赤い制服」「つば付きの大きな帽子（＝高級なビーバー・ハット）」「黒い弾帯（ガンベルト）」といういでたちから、この男性は単なる兵士ではなく、それなりの地位の士官であることがわかります。この士官を大きく手前に描くことで、室内の奥行き感が強調されています。上の引用にあるように、士官は女性と "親密な会話" をしているのでしょう。

その会話相手の女性は笑顔を浮かべ、堂々と士官と会話をしています。口説かれて困っているとか、とまどっているとか、そいういう気配はなく、男と会話を楽しんでいる。何となく、しっかりしていて自立した女性という雰囲気であり、この雰囲気はフェメールが描いた女性像の中でも際だっているのではないでしょうか。

さらにこの絵にはもうひとつ、重要そうなアイテムが描かれています。後の壁にかかっている "意味ありげな" 地図です。

後方の壁に掛かった、大変興味深い地図には「ホラント州全域と西フリースラントの非常に正確な新地図」という題名がついている。新たに独立したネーデルラント連邦共和国のうち、海に面した西部地方（ホラント州とフリースラント州を含む）が描かれており、北ではなく西が上にくる。 この方位の置き方は、当時の人々の関心を反映しているのかもしれない。ネーデルラント連邦共和国が外海である北海を向いているのは、世界を征服した海洋民族にとって当然のことなのだから。同じ地図は《青衣の女》など、フェルメールの他の作品にも登場する。 ロイク・マンジャン「同上」

解説にあるように、この地図は通常の地図ではありません。上が北ではなく、ネーデルラントにとっての海の方向、つまり西です。これは引用にあるように「ネーデルラント連邦共和国が外海である北海を向いているのは、世界を征服した海洋民族にとって当然のこと」なのかもしれません。さらにもう一つ、陸が青く、海が茶色に塗られているのも通常の地図とは違います。

また陸が青く、海は茶色に塗られていることも目をひく。なぜフェルメールは通常とは逆の色遣いにしたのだろう？ 理由は解明されていないが、カナダのブリティッシュ・コロンビア大学の歴史学者ティモシー・ブルックは、次のように考えている。画家は、陸と海の色が入れかわるように、平和の回復によって軍人の社会的立場が一変したことを暗示しているのではないだろうか。 ロイク・マンジャン「同上」

「平和の回復によって軍人の社会的立場が一変したことを暗示」とは抽象的な言い方ですが、分かりやすく言うと「軍人は戦争をするのではなく、女性を口説くようになった」ということでしょう。フリック・コレクションの公式カタログ（日本語版）には、この地図について次の主旨の説明がありました。

◆	地図は、祖国を守るという軍人の役目を表す。
◆	それと同時に、軍人の "領土的野心" をほのめかしている（のではないか）。
◆	その地図を女性の頭の上に描くことで、彼女を "征服の対象" に擬している（のかもしれない）。

すべては推測ですが、こういった "謎" も、フェルメール作品が人々を引きつける要因になっているのでしょう。

---

ビーバー・ハット

---

「科学でアートを見てみたら」には、士官がかぶっている帽子に関する話がありました。絵の鑑賞とは直接関係がありませんが、興味深い話なので余談として引用します。

次に帽子を見てみよう。17世紀中頃というこの時代、ネーデルラント人は誰でも帽子をかぶっていた。それはクラプムッツと呼ばれる素朴な柔らかい縁なし帽から、ここで士官がかぶっているようなもっと高価なものまで、様々な種類があった。絵に見られる帽子は、動物の密集した毛から作ったフェルト生地を用いたものだ。当時特に好まれていた素材がビーバーの毛で、上流階級に属する人間なら誰でも、この素材から作られた帽子を持っていた。その歴史は非常に興味深い。 このフェルト生地に使用されるのはビーバーの全身の毛ではなく、下毛（刺し毛の下に短く密集して生えている綿毛）だけである。顕微鏡で眺めると、下毛の表面をびっしりと覆ううろこ状の組織が確認できる。このざらつきのおかげで毛が絡み合い、フェルト状になる。ビーバーフェルトは耐久性に優れ、しなやかで、濡れても型くずれしにくい。 帽子職人がビーバーの下毛を酢酸銅、アラビアゴム、水銀の混合液の中で煮込み、圧縮して乾燥させると、最高級の帽子にふさわしい上等なフェルトになる。しかしこの作業には危険が伴う。加熱した混合液から有毒な蒸気が発生するのだ。『不思議の国のアリス』に登場する帽子屋のように、帽子職人がしばしば狂っているとされたのは、このためだったかもしれない。英語には「帽子屋のように狂っている（as mad as a hatter）」という言い回しがある。 ロイク・マンジャン「同上」

ヨーロッパ・ビーバー （Wikipedia）

ビーバーは水中（＝川）を活動する哺乳類なので、下毛は短い毛が密集していて防水性にも優れています。そのため、かつてのヨーロッパでは高級帽子の素材として有名だったようです。シルクハットは、現在は毛ばだてたシルクで作りますが、昔はビーバーの下毛で作られていました。

上の引用にもあるように、下毛かもうとは毛皮の上毛じょうもう（＝刺し毛さしげ）の下に生えている短くて柔らかい毛のことで、綿毛とも言います。英語は underfur です。一般的に、動物の毛皮は上毛（刺し毛）と下毛（綿毛）の２層構造になっています。

上の引用の中に『不思議の国のアリス』が出てきます。言葉遊びでキャラクターを作り出すのが得意なルイス・キャロルは、「帽子屋のように狂っている（as mad as a hatter）」という英語の慣用句から "Mad Hatter = 気狂い帽子屋" というキャラクターを作り出しました。そして慣用句においてなぜ hatter が mad なのかというと、一つの推測がビーバー・フェルトの加工をする人の「職業病」とも言える水銀中毒なのですね。マーチン・ガードナーの「The Annoted Alice」にも同じ推測が書かれていました。

「不思議の国のアリス」のためにテニエルが描いたさし絵。第７章で、アリスと三月ウサギと眠りネズミと帽子屋が "お茶会（A Mad Tea-Party）"を開く。この絵で帽子屋はシルクハットをかぶっているが、もとはビーバー・フェルトで作られていた。画像はマーチン・ガードナーの「The Annoted Alice」より。

15世紀までは西ヨーロッパに生息するビーバーの毛が利用されていたが、帽子の流行による乱獲と生息地域の減少によって、個体数が激減した。次に狙われたスカンジナビア地方のビーバーも同じ運命をたどり、こうしてビーバーフェルトの帽子の流行は終わりを告げた。 16世紀に帽子職人が利用できたのは、ビーバーより目の粗い羊毛フェルトだけだった。時には圧縮しやすくするためにウサギの毛が加えられたが、その結果できたフェルトは破れやすかった。そのうえ、ビーバーフェルトとは対照的に、羊毛フェルトは水を吸収し、濡れると型くずれしやすい。ネーデルラントの下層民がかぶっていたクラプムッツは羊毛フェルト製だった。 アメリカ先住民との通商が活発になった16世紀末に、再びビーバーをめぐる状況は変わる。市場を開拓した一人が、フランス人サミュエル・ド・シャンプラン（1567頃-1635）だった。1580年代に最初のアメリカ産ビーバーの毛皮がヨーロッパに到着すると、需要が急増し、ビーバーフェルトの帽子が再び大流行した。非常に高値で売買されたため、「中古のビーバーフェルト帽」まで活発に取引されたほどである。しかしこの市場は、シラミが�