No.316 - 高校数学で理解する楕円曲線暗号の数理（２）

（前回より続く）

前回の No.316「高校数学で理解する楕円曲線暗号の数理（１）」では「有限体上の楕円曲線で定義された加法群」までの説明をしました。楕円曲線暗号はこの加法群で構成します。今回はその説明ですが、まず、加法群の点をどうやって見い出すか、またこの加法群の点の総数はどうなっているのかです。

---

16. 楕円曲線上の点

---

${\mathbb{F}}_p$ の元 $x$ と $y$ のぺア $\left(x,y\right)$ の集合を ${\mathbb{F}}_p^2$ と記述します。集合 ${\mathbb{F}}_p^2$ の元で楕円曲線上の "点" はどれだけあるでしょうか。まず、楕円曲線の式を満たす ${\mathbb{F}}_p^2$ の元がどのように計算できるかを調べます。

平方数と平方根

楕円曲線の式を、

$\{\begin{array}{l}{y}^2=z\\ z=x^3+ax+b\end{array}$

と書くとき、$z$（$z\ne 0$）が ${\mathbb{F}}_p$ での平方数なら、$y$ の解が２つ求まります。ここで、次の命題が成立します。

16.1	平方数である条件
$z$ を $0$ ではない ${\mathbb{F}}_p$ の元とする。 $z^{{\displaystyle \frac{p-1}{2}}}=1$ であるとき（かつ、そのときに限り）$z$ は平方数である（＝ オイラーの規準）。

${\mathbb{F}}_p$ で考えているので「平方数」と書きましたが、整数の世界では「平方剰余」です。つまり、$x^2=a\left(modn\right)$ となるような $x$ が存在する $a$ が平方剰余です。16.1 の証明ですが、${\mathbb{F}}_p$ から $0$ を除いた乗法群 ${\mathbb{F}}_p^{\ast }$ で考えます。12.1（No.313）により、$z$ は ${\mathbb{F}}_p^{\ast }$ の生成元（の一つ）を $g$ として、

$z=g^k$

と表現できます。つまり、命題の条件は、

$g^{k{\displaystyle \frac{p-1}{2}}}=1$

です。このとき $k$ は偶数のはずです。なぜなら、もし $k$ が奇数だとすると、$k{\displaystyle \frac{p-1}{2}}$ は $p-1$ で割り切れないので、

$$\begin{gathered} k{\displaystyle \frac{p-1}{2}}=s\left(p-1\right)+t \\ \left(1\le t<p-1\right) \end{gathered}$$

と表現できます。すると、

$\begin{array}{ll}{g}^{k{\displaystyle \frac{p-1}{2}}}& =g^{s\left(p-1\right)+t}\\ & ={\left(g^{p-1}\right)}^s·g^t\\ & =g^t\end{array}$

となり、$g^t=1\left(1\le t<p-1\right)$ になりますが、これは $g$ が生成元であることと矛盾します。従って $k$ は偶数です。そうすると $k=2m$ とおいて、

$z={\left(g^m\right)}^2$

となり、$z$ は平方数になります。

---

$z$ は平方数だとわかったとき、実際に ${\mathbb{F}}_p^{\ast }$ で $y$（＝ $z$ の平方根）を求める手段が必要になります。整数であれば平方数の平方根を求めるのは容易ですが、${\mathbb{F}}_p^{\ast }$ ではそうはいきません。特に、楕円曲線暗号で使われる $p$ は10進数で数10桁以上の巨大素数なので、総当たりで求めたり、解の存在範囲を限定していって求めるわけにはいかないのです。ただ、もし $p\equiv 3\left(mod4\right)$ なら求めるのは容易で、

$y=z^{{\displaystyle \frac{p+1}{4}}}$

が解の一つとなります（もう一つの解は $-y$ で、つまり $p-y$）。確認してみると、

$\begin{array}{ll}{y}^2& ={\left(z^{{\displaystyle \frac{p+1}{4}}}\right)}^2\\ & =z^{{\displaystyle \frac{p+1}{2}}}\\ & =z^{{\displaystyle \frac{p-1}{2}}}·z\\ & =z\end{array}$

となって、確かに $y$ が解であることがわかります。しかし、$p\equiv 1\left(mod4\right)$ なら、このような簡便な式では求まりません。この場合は「トネリ - シャンクスのアルゴリズム」で解を求めます（Tonelli は19世紀イタリア、Shanks は20世紀米国の数学者）。なお、このアルゴリズムは説明が長くなるので割愛します。

---

いま、${\mathbb{F}}_p$ において $z$ を $0$ から $p-1$ まで振ったときの $y^2=z$ の解の総数を求めてみます。$z$ を、${\mathbb{F}}_p^{\ast }$ の生成元 $g$ を使って、

$$\begin{gathered} z=\left(0,g^k\right) \\ \left(k=1\text{, }2\text{, }\text{ ⋯ }\text{, }p-1\right) \end{gathered}$$

と表すと、

・	$z=0$ のとき、解は1個
・	$k$ が偶数のとき、解は2個
・	$k$ が奇数のとき、解は無し

となり、${\mathbb{F}}_p^2$ における解、$\left(z,y\right)$ の総数は $p$ となります。では、${\mathbb{F}}_p^2$ における楕円曲線上の点、$\left(x,y\right)$ の総数はどうなるでしょうか。$x$ が ${\mathbb{F}}_p$ の全ての元に渡るとき、$z$ が ${\mathbb{F}}_p$ で均等にバラつくとは限りません。しかし $\left(x,y\right)$ の総数は「だいたい $p$ に近い値」だと考えられます。

つまり、群 $E\left(a,b,p\right)$ の元で、零元 $O$ 以外の ${\mathbb{F}}_p^2$ に属するものは、だいたい $p$ 個あると考えられる。群 $E\left(a,b,p\right)$ の元の数を $\text{\#}E$ と書くと、$\text{\#}E$ は 零元 $O$ を含んで $p+1$ に近い値だと考えられます。

$E\left(a,b,p\right)$ の元の数を評価する式があります。「ハッセの定理」です（Helmut Hasse は20世紀ドイツの数学者）。この定理にによると、

$p+1-2\sqrt{p}\le \text{\#}E\le$ $p+1+2\sqrt{p}$

であり、想定どおり $\text{\#}E$ は $p+1$ の周辺であることが分かります。$\text{\#}E$ を具体的に求めるアルゴリズムは、1985年にオランダ出身の数学者、レネ・ショーフ（ Rene Schoof。英語読みでスクーフとも書かれる）が開発しました。その「ショーフのアルゴリズム」は、数学用語で言うと最初の「決定論的多項式時間アルゴリズム」です。平たく言うと「計算結果が100%正しいと数学的に保証される（＝決定論的）計算可能な（＝多項式時間）アルゴリズム」です。「ショーフのアルゴリズム」の具体的内容は、ここでは割愛します。

---

17. 位数

---

楕円曲線暗号を構成する上で必要になるのが、有限群における「位数」の概念です。以下の位数の話はすべての有限群に共通するので、群の演算を乗法的に書くことにします（掛け算、冪乗、単位元 $e$、などの記法を使います）。演算を加法と考えても全く同じことになります。

元の数が有限個の群 $G$ を「有限群」といい、その元の個数を「群位数（group order）」と呼びます。群位数を $\text{|}G\text{|}$ と表します。群の演算則だけから次のことが言えます。

単位元 $e$ でない群 $G$ の元を $a$ とします。$a$ の冪乗 $a^n\left(1\le n\right)$ の $n$ を増やしていくと、ある時点で $a^n=e$ となります。その理由ですが、

$a^1\text{, }{a}^2\text{, }\text{ ⋯ }\text{, }{a}^{\text{|}G\text{|}}$

という $\text{|}G\text{|}$ 個の元を考えてみます。もし $\text{|}G\text{|}$ 個が全て相異なると、どれかが $e$ のはずです。全てが相異なる元ではないとき、

$a^j=a^i\left(1\le i<j\le \text{|}G\text{|}\right)$

となったとすると、$a^i$ の逆元を右から掛けて、

$a^{j-i}=e$

が得られます。$1\le j-i<\text{|}G\text{|}$ なので、この範囲に $e$ があります。そこで、つぎのように元 $a$ の位数を定義できます。

17.1	位数の定義
有限群 $G$ の任意の元 $a$ について、 $a^d=e$ となる最小の $d$ を $a$ の "位数（order）" と言う。

さらに、元の位数については次の命題が成り立ちます。

17.2	位数と群位数
有限群 $G$ の任意の元 $a$ の位数を $d$ とすると、$d$ は群位数 $\text{|}G\text{|}$ の約数である。

この命題が成り立つ理由は次の通りです。有限群 $G$ の任意の元を $a$ とし、集合 $A$ を、

$A=\left(a^1,a^2,\text{ ⋯ },a^d=e\right)$

とします。集合 $A$ の元は全て相異なります。なぜなら、もし、

$a^j=a^i\left(1\le i<j\le d\right)$

となったとすると、

$a^{j-i}=e$

であり、$d$ が $a^d=e$ となる最小の数であるという位数の定義に反するからです。さらに、集合 $A$ の任意の元の逆元は集合 $A$ に含まれます。つまり、$a^d=e$ なので $a^j\left(1\le j<d\right)$ に対して $a^{d-j}\left(1\le d-j<d\right)$ が逆元です（ということは集合 $A$ もまた群であり、これを $G$ の部分群と言います）。

集合 $A$ が $G$ の全ての元を尽くしているなら 17.2 は成立します。そこで、集合 $A$ に含まれない $G$ の元があったとし、それを $b_1$ とします。集合 $A$ の全ての元に左から $b_1$ を掛けて、集合 $B_1$ を作ります。つまり、

$B_1=\left(b_1{a}^1,b_1{a}^2,\text{ ⋯ },b_1{a}^d\right)$

です。集合 $A$ の元は全て相異なるので、集合 $B_1$ の元も全て相異なります。さらに、集合 $B_1$ の元で集合 $A$ の元と同じものはありません。なぜなら、もし、

$b_1{a}^i=a^j\left(1\le i<j\le d\right)$

だとすると、$a^i$ の逆元、$a^{d-i}$を右から掛けて、

$$\begin{gathered} b_1{a}^d=a^{d-i+j} \\ {b}_1=a^{d-i+j}=a^{j-i} \end{gathered}$$

となりますが、$1\le j-i<d$ なので、これは $b_1$ が集合 $A$ の元であることを意味していて仮定に反します。つまり、集合 $B_1$ の元で集合 $A$ の元と同じものはありません。

集合 $A$ と $B_1$ で $G$ の元の全てを尽くしているなら、$2d=\text{|}G\text{|}$ となって 17.2 は証明できたことになります。そうではない場合、集合 $A$ と $B_1$ に含まれない $G$ の元の一つを $b_2$ として、集合 $B_2$ を、

$B_2=\left(b_2{a}^1,b_2{a}^2,\text{ ⋯ },b_2{a}^d\right)$

と定義します。そうすると先ほど同じように、集合 $B_2$ の元は全て相異なり、かつ、集合 $A$ との重複はありません。さらに、集合 $B_2$ の元は集合 $B_1$ の元とも重複しません。なぜなら、もし、

$b_2{a}^i=b_1{a}^j\left(1\le i<j\le d\right)$

だとすると、$a^i$ の逆元、$a^{d-i}$を右から掛けて、

$b_2=b_1{a}^{d-i+j}=b_1{a}^{j-i}$

となりますが、$1\le j-i<d$ なので、$b_2$ が 集合 $B_1$ の元という意味になり仮定に反します。つまり、集合 $B_2$の元は集合 $B_1$ の元と重複しません。

以上の操作は $G$ の元が残っている限り $B_3{B}_4\text{ ⋯ }$ と続けられます。そしてある時点で 残っている $G$ の元がちょうど切りのよいところで無くなるはずです。$B_{n-1}$ まで作ったときに $G$ の元の全てを尽くしたとしたら、$nd=\text{|}G\text{|}$ です。これで 17.2 が証明できました。17.2 から直ちに次の２つが結論づけられます。

17.3
有限群 $G$ の任意の元 $a$ について、 $a^{\text{|}G\text{|}}=e$ である。

これは、群位数 $\text{|}G\text{|}$ が 元 $a$ の位数の倍数なのでそうなります。$p$ を素数とし、$G$ が $p$ 未満の自然数からなる乗法群 ${\mathbb{F}}_p^{\ast }$ だとすると、$\text{|}G\text{|}=p-1$ なので、フェルマの小定理（ 3.1 ）そのものになります。

17.4	群位数が素数の群
有限群 $G$ の群位数 $\text{|}G\text{|}$ が素数だとすると、 単位元 $e$ を除く $G$ の全ての元の位数は $\text{|}G\text{|}$ である。

素数の約数は $1$ と素数自身しかないので、単位元以外の元の位数は群位数に等しくなります。従って、群位数が素数の群では任意の元 $a$ の冪乗が群全体に "バラける" ことになります。

---

楕円曲線暗号の構成：スカラー倍と離散対数

---

ここから具体的な楕円曲線暗号のしくみに入ります。楕円曲線上の ${\mathbb{F}}_p^2$ の点と零元 $O$ が作る加法群を $E\left(a,b,p\right)$ とし、その群位数を $\text{\#}E$ と書きます。楕円曲線暗号では $E\left(a,b,p\right)$ における「スカラー倍」の演算を利用します。

楕円曲線上の ${\mathbb{F}}_p^2$ の点の一つを $B=\left(B_x,B_y\right)$ とし、$d$ を $B$ の位数、$n$ を $1\le n\le d$ とします。$B$ の $n$ 倍（＝スカラー倍）を $nB$ と書き、

$nB=\stackrel{\stackrel{n}{⏞}}{B+B+\text{ ⋯ }+B}$

と定義します。そして、

$nB=A$

と書くことにすると、$A$ を求める計算は、$E\left(a,b,p\right)$ の２倍式と加法式を使って可能です。例として $133B$ の場合だと、$133=2^7+2^2+1$ なので、

$133B=2^{7}B+2^{2}B+B$

となります。つまり、$E\left(a,b,p\right)$ の２倍式を７回使って、

$2^{1}B\text{, }{2}^{2}B\text{, }\text{ ⋯ }\text{, }{2}^{6}B\text{, }{2}^{7}B$

と順次計算し、加法式を２回使うと $A$ が求まります。これは $n$ がたとえ巨大数であっても可能です。$2^{256}$ は10進数で約80桁（256ビット）の巨大数ですが、それでも256回程度の２倍算と最大で256回程度の加算をすれば $A$ が求まります。このあたりは 4.2 の「冪剰余の計算アルゴリズム」と同じです。もちろん冪剰余と違って、２倍算も加算も単純な掛け算ではありません。$E\left(a,b,p\right)$ の群演算は、定義式どおりの少々ややこしい式です。しかし計算が可能なことは確かです。

スカラー倍の計算は可能ですが、その逆、つまり $A$ と $B$ を知って $n$ 求めるのは困難になります。この $n$ を求める問題を、加法群 $E\left(a,b,p\right)$ における「離散対数問題」と呼びます。離散対数問題を解くのが不可能になるのは、$B$ の位数 $d$ が10進数で数10桁以上といった巨大数の場合です。その場合、$A$ は $d$ 種のバリエーションをとるので、$n$ を求めるのは不可能になります。

位数 $d$ が巨大数である $B$ を求める方法の一つは、$p$ を巨大な素数とし、群位数 $\text{\#}E$ も素数であるような $E\left(a,b,p\right)$ を選ぶことです。そうすると 17.4 により、零元 $O$ 以外の $E\left(a,b,p\right)$ の全ての元の位数 $d$ は $\text{\#}E$ になり、その $\text{\#}E$ は $p+1$ の近辺にあるので、$B$ をどのように選ぼうとも位数 $d$ は巨大数になります。

$\text{\#}E$ が素数である $E\left(a,b,p\right)$ では、任意の元 $A$ と $B$ について、$nB=A$ となる $n$ が唯一存在することになります。このことを、

${log}_{B}A=n$

と書くと、$B$ は実数における通常の対数の "底（base）" に相当します。$B$ は $E\left(a,b,p\right)$ の元 ＝ ${\mathbb{F}}_p^2$ の元なので、$B$ を「ベースポイント（base point）」と呼びます。このペースポイントを含め、楕円曲線暗号では、

・	$E\left(a,b,p\right)$
・	$\text{\#}E$
・	$B=\left(B_x,B_y\right)$
・	$d$（$B$ の位数）

が公開されます。そして暗号化通信では、$d$ より小さい数 $k$ をランダムに選び

・	公開鍵 ： $kB$
・	秘密鍵 ： $k$

とします。公開鍵だけを知っても秘密鍵は計算できない。これが楕円曲線暗号の原理です。

---

スカラー倍のイメージをつかむため、$p$ がごく小さい数の場合で実験してみます。計算してみると、$p=29\text{, }a=-1\left(=28\right)\text{, }b=1$ のとき $\text{\#}E=37$ となって、群位数が素数になります。$y^2=x^3-x+1$ の解の一つは $\left(0,1\right)$ なので、これをベースポイント $B$ としてスカラー倍を順次計算してみると次の通りとなります。

$\left.\begin{array}{rrr}B=\text{(}& 0\text{, }& 1\text{ ) }\\ 2B=\text{(}& 22\text{, }& 10\text{ ) }\\ 3B=\text{(}& 27\text{, }& 13\text{ ) }\\ 4B=\text{(}& 9\text{, }& 24\text{ ) }\\ 5B=\text{(}& 14\text{, }& 18\text{ ) }\\ 6B=\text{(}& 11\text{, }& 25\text{ ) }\\ 7B=\text{(}& 23\text{, }& 20\text{ ) }\\ 8B=\text{(}& 12\text{, }& 8\text{ ) }\\ 9B=\text{(}& 26\text{, }& 8\text{ ) }\\ 10B=\text{(}& 2\text{, }& 23\text{ ) }\\ 11B=\text{(}& 3\text{, }& 24\text{ ) }\\ 12B=\text{(}& 1\text{, }& 1\text{ ) }\\ 13B=\text{(}& 28\text{, }& 28\text{ ) }\\ 14B=\text{(}& 5\text{, }& 18\text{ ) }\\ 15B=\text{(}& 17\text{, }& 5\text{ ) }\\ 16B=\text{(}& 25\text{, }& 17\text{ ) }\\ 17B=\text{(}& 20\text{, }& 21\text{ ) }\\ 18B=\text{(}& 10\text{, }& 18\text{ ) }\\ \multicolumn{3}{c}{}\end{array}\right|\begin{array}{rrr}19B=\text{(}& 10\text{, }& 11\text{ ) }\\ 20B=\text{(}& 20\text{, }& 8\text{ ) }\\ 21B=\text{(}& 25\text{, }& 12\text{ ) }\\ 22B=\text{(}& 17\text{, }& 24\text{ ) }\\ 23B=\text{(}& 5\text{, }& 11\text{ ) }\\ 24B=\text{(}& 28\text{, }& 1\text{ ) }\\ 25B=\text{(}& 1\text{, }& 28\text{ ) }\\ 26B=\text{(}& 3\text{, }& 5\text{ ) }\\ 27B=\text{(}& 2\text{, }& 6\text{ ) }\\ 28B=\text{(}& 26\text{, }& 21\text{ ) }\\ 29B=\text{(}& 12\text{, }& 21\text{ ) }\\ 30B=\text{(}& 23\text{, }& 9\text{ ) }\\ 31B=\text{(}& 11\text{, }& 4\text{ ) }\\ 32B=\text{(}& 14\text{, }& 11\text{ ) }\\ 33B=\text{(}& 9\text{, }& 5\text{ ) }\\ 34B=\text{(}& 27\text{, }& 16\text{ ) }\\ 35B=\text{(}& 22\text{, }& 19\text{ ) }\\ 36B=\text{(}& 0\text{, }& 28\text{ ) }\\ 37B=\phantom{\text{(}}& O& \end{array}$

群位数が素数なので $B$ の位数は $37$ となり、群位数と一致します。この計算を ${\mathbb{F}}_p^2$ の平面に表示すると次の通りです。$B$ と $36B$ は赤丸、$2B$ ～ $35B$ は黒丸です。矢印は加算を示し、赤矢印は $B+B$ と $35B+B$ の加算です。

図15：$\mathit{E}\left(\mathit{-}\mathit{1},\mathit{1},\mathit{29}\right)$（零元を除く） $\text{\#}E=37\text{, }B=\left(0,1\right)\text{, }d=37$

スカラー倍を繰り返すごとに "楕円曲線" 上の合計36点を通り、それが乱雑に変化することが分かります。

---

振り返ってみると、RSA暗号（No.311）の安全性は巨大数の因数分解の困難性に依存しているのでした。またディフィー・ヘルマンの鍵交換（No.313）は、乗法群 ${\mathbb{F}}_p^{\ast }$ における離散対数問題を解くことの困難性に依存しています。これらに使われる演算はいずれも整数の乗除算です。それに対して楕円曲線暗号に使われるのは、整数の乗除算よりは遙かに複雑な、楕円曲線上の加法群における「加算」です。ここに楕円曲線暗号の解読しにくさの要因があります。

---

実用的な楕円曲線暗号で公開するパラメータをどうやって作るか、その一例をあげます。

①  素数の大きさを決め（たとえば10進数で50～100桁程度）、素数判定法によってその大きさの素数 $p$ を求める。 ②  $p$ より小さい数、$a$、$b$ をランダムに決め、加法群 $E\left(a,b,p\right)$ の群位数 $\text{\#}E$ を計算する。 ③  $\text{\#}E$ が素数なら次へ。素数でなければ ② に戻る。 ④  $p$ より小さい数、$B_x$ をランダムに選び、$B_x$ が平方数ならその平方根 $B_y$ を求めてベースポイント $B=\left(B_x,B_y\right)$ とする。

$\text{\#}E$ が素数なので、$B$ の位数 $d$ は $\text{\#}E$ に等しくなります。なお、$\text{\#}E$ がたまたま $p$ と一致すると離散対数問題が解けることが分かっているので、③ でそのようなケースを排除しておきます。

この決め方では、群位数 $\text{\#}E$ の計算と素数判定を繰り返すことになり、多大な計算時間がかかることは想像に難くありません。しかしパラメータは１度計算すれば暗号通信の仕様として公開し、皆がそれを使えばいいわけです。最初の１回だけの計算時間より、その後の通信の安全性の方が重要です。

楕円曲線暗号のパラメータの一例を次に掲げます。secp160r1 という名称で公開されているパラメータです。

secp160r1
　

$\begin{array}{lll}p& =& 1461501637330902918203684\\ & & 832716283019653785059327\\ & & \hfill \left(=2^{160}-2^{31}-1\right)\\ a& =& 1461501637330902918203684\\ & & 832716283019653785059324\\ & & \hfill \left(=p-3\right)\\ b& =& 1632357913061681105466049\\ & & 19403271579530548345413\\ \text{\#}E& =& 1461501637330902918203687\\ & & 197606826779884643492439\\ B_x& =& 4258262317238883504465415\\ & & 92701409065913635568770\\ B_y& =& 2035201141629041078739914\\ & & 57957346892027982641970\\ d& =& 1461501637330902918203687\\ & & 197606826779884643492439\\ & & \hfill \left(=\text{\#}E\right)\end{array}$

---

楕円曲線暗号版ディフィー・ヘルマンの鍵交換（ECDH）

---

ディフィー・ヘルマンの鍵共有（No.313）を、楕円曲線暗号を使って実現できます（ECDH と略称される）。鍵共有のプロセスは次のように進みます。しかるべき「公開鍵センター」が、皆が使う公開鍵として、

・	$E\left(a,b,p\right)$
・	$\text{\#}E$
・	$B=\left(B_x,B_y\right)$
・	$d$（$B$ の位数）

をオープンにして（暗号通信の仕様書として公開して）おきます。以下のスカラー倍演算はすべて ${\mathbb{F}}_p$ で行います。Alice と Bob が秘密鍵を共有したい場合、

暗号文による通信の開始にあたって、Alice は $0<k_A<d$ である乱数 $k_A$ を発生させ、$k_{A}B$ を Alice の公開鍵として（盗聴されている通信路を介して） Bob に送付

します。乱数 $k_A$ は Alice の秘密鍵として秘匿します。次に同様に、

Bob は $0<k_B<d$ である乱数 $k_B$ を発生させ、$k_{B}B$ を Bob の公開鍵として（盗聴されている通信路を介して） Alice に送付

します。もちろん $k_B$ は秘匿します。そして、

Alice は $K_A=k_A{k}_{B}B$ を共有の秘密鍵

Bob は $K_B=k_B{k}_{A}B$ を共有の秘密鍵

とします。この作り方から $K_A=K_B=K$ となるので、秘密鍵 $K$を共有できたことになり、以降はこれを使って暗号化通信（公開鍵ではない、高速な暗号化通信）を行います。使った秘密鍵は通信が終わったら捨てます。

原理は、オリジナルのディフィー・ヘルマンの鍵交換（DH）と全く同じです。ただ、オリジナルが ${\mathbb{F}}_p^{\ast }$ での離散対数問題を利用していたのに対し、ECDH は $E\left(a,b,p\right)$ での離散対数問題を利用した暗号であることが違います。

---

18. 結合則が成り立つことの証明

---

J.H.シルヴァーマン、J.テイト 「楕円曲線論入門」

楕円曲線暗号が暗号として成立するのは、楕円曲線上の加法群 $E\left(a,b,p\right)$ が "群" として定義できるからです。群であるための条件は「単位元の存在」「逆元の存在」「結合則の成立」の３つです。このうち単位元の存在と逆元の存在は、そもそもそれが成り立つように群の演算を定義したのでした。

しかし結合則は自明ではありません。前回 No.315 の「楕円曲線上の有理点が作る加法群」のところで結合則が成り立つことの証明を後回しにしたので、ここに書くことにします。結合則が成り立つのは、楕円曲線上の有理点の加法を「３次曲線と直線の交点」で決めていることに理由があります。その理由を説明したいと思います。

前回で引用した、シルヴァーマン、テイト著「楕円曲線論入門」には、結合則が成り立つことを示した次の図があります。加法群の零元 $O$ を楕円曲線上にとった場合の図です。

図11：結合則

「楕円曲線論入門」より引用

楕円曲線上に点 $P$、$Q$、$R$ をとったとき、

$\left(P+Q\right)+R=P+\left(Q+R\right)$

となるのが結合則ですが、

$$\begin{gathered} \left(P+Q\right)+R=\left(\left(P+Q\right)\ast R\right)\ast O \\ P+\left(Q+R\right)=\left(P\ast \left(Q+R\right)\right)\ast O \end{gathered}$$

です。ここで $\ast$ の記号は、$A\ast B$ と書くと $A$ と $B$ を結ぶ直線が楕円曲線と交わる点（で $A$、$B$ 以外の点）の意味です。$O$ は零元でした。従って、結合則を証明するためには、

$\left(P+Q\right)\ast R=P\ast \left(Q+R\right)$

が証明できればよいことになります。言葉で書くと、

$P+Q$ と $R$ を通る直線が楕円曲線と交わる点を $T_1$ とし、$P$ と $Q+R$ を通る直線が楕円曲線と交わる点を $T_2$ とすると、 $T_1$ と $T_2$ は同じ点である

となります。上の図はそれを表しています。以下の証明では同じことですが、次を示します。

18.1	結合則
$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点を $T$ とすると、楕円曲線は $T$ を通る。

これは楕円曲線上の２点、$\left(P+Q\right)\ast R$ と $P\ast \left(Q+R\right)$ が等しい（＝ 図11）ことと同じなので、以降は 18.1 が成り立つことを示します。そのためにまず、次の命題 18.2 を証明します。この証明の筋道は「楕円曲線論入門」に書かれているものです。

18.2	３つの３次曲線の交差
２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする。 別の３次曲線 $D$ が ９点のうちの８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るとき、$D$ は $P_9$ も通る。

これは「ケーレー - バカラック（Cayley-Bacharach）の定理」と呼ばれるものの特別な場合です（Cayleyは英国、Bacharachはドイツの数学者。いずれも19世紀）。ここで言う「３次曲線」とは、次の一般形で表される "３次曲線のすべて" であり、楕円曲線もその一部です。

[３次曲線の一般形]
$a{x}^3+b{x}^{2}y+cx{y}^2+d{y}^3+$ $e{x}^2+fxy+g{y}^2+$ $hx+iy+j=0$

10個の係数（＝パラメータ）、$a\text{, }b\text{, }\text{ ⋯ }\text{, }i\text{, }j$ を決めると３次曲線が一つ決まります。もちろん、各係数を定数倍した曲線は同じ曲線です。つまり、この形の３次曲線の係数は実質的に "９次元" と言えます。３次曲線なので $a\text{, }b\text{, }c\text{, }d$ のうち少なくとも一つは $0$ でないものがあります。その係数で全体を割れば、係数の数は９個になることからもわかります。

従って、一般には相異なる９点を通る３次曲線は一意に決まります。これは、直線の方程式を $ax+by+c=0$ で表したとき、この式には３つのパラメータがあるものの実質的に２次元であって、相異なる２点を通る直線が一意に決まるのと同じことです。このことを踏まえると、命題 18.2 の前半である、

２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする

のところについては、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ に何らかの制約条件がついているからこそ、２つの３次曲線が２つとも９点目の点を通るわけです。以上のことの裏返しは、

相異なる８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通る３次曲線は一意に定まらず、無数にある

ということです。そして、さきほどの「相異なる８点を通る２つの３次曲線が２つとも９点目の点を通る」ということは、９点目が８点から決まる特別な点であることを示唆しています。そこで、相異なる８点を通る３次曲線が一般的にどういう式で表現できるかを考えます。８点の座標を、

$$\begin{gathered} P_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ \text{⋮} \\ {P}_8=\left(x_8,y_8\right) \end{gathered}$$

とします。まず、３次曲線が $P_1$ を通るということは、10個のパラメータは次の制約条件を満足しなければなりません。

${x_1}^{3}a+{x_1}^2{y}_{1}b+x_1{y_1}^{2}c+{y_1}^{3}d+$ ${x_1}^{2}e+x_1{y}_{1}f+{y_1}^{2}g+$ $x_{1}h+y_{1}i+j=0$

これは 10個の変数 $a$ ～ $j$ についての線型方程式（１次方程式）なので、係数を変数の前に記述しました。同様にして、３次曲線が $P_2$ から $P_8$ を通ることから７個の制約条件が得られます。これらをまとめると、

　

の、合計８つの制約条件が得られます。８個の点を通る３次曲線の10個のパラメータは、この８つの制約条件（連立１次方程式）を満たさなければなりません。ということは、$10-8=2$ で、これらのパラメータは、制約条件のない自由な２つのパラメータで表現できることになります。

たとえば $a$ と $b$ を "２つのパラメータ" に選ぶと、残りの $c$ ～ $j$ は、${\alpha }_{n}a+{\beta }_{n}b$ $\left(n=c\text{ ⋯ }j\right)$ という「$a$ と $b$ の１次式」で表現できます（${\alpha }_n\text{, }{\beta }_n$ は連立１次方程式の係数で決まる値）。しかしこれでは $a=0$ かつ $b=0$ のときに、すべてのパラメータが $\mathit{0}$ という自明な解しか得られません。$x^3$ の項と $x^{2}y$ の項がない３次曲線はいくらでもありうるので、自明ではない解の中に $a=0\text{, }b=0$ となるものは当然あるはずです。つまり、${\alpha }_{n}a+{\beta }_{n}b$ の形は連立１次方程式の解の全部は表していません。

では、上記の連立１次方程式の「自明ではない解すべてを表す一般解」はどういう形でしょうか。それには８つの方程式を満たす独立な数値の組（＝連立１次方程式の解）を２組用意します。つまり無数にある解の中から２つをピックアップし、それをベクトル表現で、

$$\begin{gathered} {\mathbb{V}}_1=\left(a_1,b_1,\text{ ⋯ },j_1\right) \\ {\mathbb{V}}_2=\left(a_2,b_2,\text{ ⋯ },j_2\right) \end{gathered}$$

とします。"独立" とはこの場合、２つの数値群が異なった３次曲線を表現しているということです。そして、同時に $0$ にはならない新たな２つのパラメータを導入します。それを ${\lambda }_1\text{, }{\lambda }_2$ とすると、

${\lambda }_1{\mathbb{V}}_1+{\lambda }_2{\mathbb{V}}_2$

が連立１次方程式の一般解（不定解）になります。自由な２つのパラメータの１次式で表現されていて、８つの方程式を満たすことが明らかだからです。この一般解をもとに３次曲線の方程式を表現します。そこで、

$\begin{array}{ll}{f}_1=& a_1{x}^3+b_1{x}^{2}y+\text{ ⋯ }\\ & \text{ ⋯ }+h_{1}x+i_{1}y+j_1\end{array}$

$\begin{array}{ll}{f}_2=& a_2{x}^3+b_2{x}^{2}y+\text{ ⋯ }\\ & \text{ ⋯ }+h_{2}x+i_{2}y+j_2\end{array}$

の２つの関数を考えると、$f_1=0$ の３次曲線と $f_1=0$ の３次曲線は、共に８点を通ります。従って、

${\lambda }_1{f}_1+{\lambda }_2{f}_2=0$

は８点を通り、２つの自由なパラメータで表現された３次曲線群です。従って、これが $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るすべての３次曲線を表す一般形です。

---

以上を踏まえて命題 18.2 を検討します。命題を再掲すると、

２つの３次曲線、$C_1$ と $C_2$ が相異なる９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通るとする。 別の３次曲線 $D$ が ９点のうちの８点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ を通るとき、$D$ は $P_9$ も通る。

でした。この前半の２つの３次曲線の関数式を

$$\begin{gathered} C_1\text{ : }{F}_1=0 \\ {C}_2\text{ : }{F}_2=0 \end{gathered}$$

とします。$F_1=0$ も $F_2=0$ も９点、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_9$ を通る３次曲線です。従って $F_1=0$ と $F_2=0$ は $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通る２つの３次曲線でもある。ということは、$P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通るすべての３次曲線は、

$F={\lambda }_1{F}_1+{\lambda }_2{F}_2=0$

で表されます。従って、命題の後半に出てくる別の３次曲線 $D$ が $P_1\text{, }{P}_2\text{, }$$\text{ ⋯ }\text{, }{P}_8$ の８点を通るとすると、$D$ は $F=$ ${\lambda }_1{F}_1+{\lambda }_2{F}_2$$=0$ で表現できます。

ここでよく考えてみると、３次曲線 $F=0$ は９点目の $P_9$ を通るのでした。従って $D$ も $P_9$ を通ります。これで 18.2 が成り立つことが証明できました。以上を振り返ってまとめると次のようになります。

・  ９つの点を通る３次曲線は一意に決まる。 ・  ８つの点を通る３次曲線なら無数に存在する。 ・  ８つの点を通る２つの３次曲線が、２つとも９つ目のある（特別な）点 $P$ を通るとしたら、８点を通るすべての３次曲線は $P$ を通る。

18.2 を踏まえて、楕円曲線の加法群で結合則が成り立つことを証明します。ポイントは「相異なる３つの直線を "３次曲線" として扱う」ことです。この扱いがなぜ可能かと言うと、３つの直線を、

$$\begin{gathered} f_1=a_{1}x+b_{1}y+c_1=0 \\ {f}_2=a_{2}x+b_{2}y+c_2=0 \\ {f}_3=a_{3}x+b_{3}y+c_3=0 \end{gathered}$$

としたとき、

$F_L=f_1·f_2·f_3$ = 0 で表される２次元平面上の点の集合は３つの直線を表しているが、３次曲線の一般形である

からです。もちろん、$F_L=0$ の３次曲線の一般形は、係数 $a\text{, }b\text{, }\text{ ⋯ }\text{, }i\text{, }j$ に特別の関係があります。だからこそ３つの直線を表現しているわけです（数学用語で言うと "退化した" ３次曲線）。しかし特別の関係があるとしても 18.2 を証明した議論の筋道には全く影響しません。このことを踏まえて結合則を証明すべき図11を再掲します。

図11：結合則

「楕円曲線論入門」より引用

証明すべきことは 18.1 の、

$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点を $T$ とすると、楕円曲線は $T$ を通る。

でした。図11で、

$C_1$ ： 点線の３直線から成る３次曲線
$C_2$ ： 実線の３直線から成る３次曲線

とすると、$C_1$（点線） と $C_2$（実線）は次の９つの点を通ります。

$P_1$	：	$O$
$P_2$	：	$P$
$P_3$	：	$Q$
$P_4$	：	$R$
$P_5$	：	$P\ast Q$
$P_6$	：	$Q\ast R$
$P_7$	：	$P+Q$
$P_8$	：	$Q+R$
$T$	：	$P+Q$ と $R$ を結ぶ直線と、$Q+R$ と $P$ を結ぶ直線の交点

９つの点を通るのはそういう風に作図したからです。一方、楕円曲線は $T$ 以外の $P_1$ ～ $P_8$ の８点を通ります。８点は楕円曲線上の点として作ったからです。$T$ だけは違って、楕円曲線上の点として作ったのではなく２直線の交点です。しかし 18.2 によって楕円曲線は $T$ も通る。これで、楕円曲線上の有理点が作る加法群で結合則が成り立つことの証明が完成しました。

---

零元を無限遠点にとる加法群ではどうなるでしょうか。この場合は「射影平面での３次曲線」を考える必要があります。射影平面での３次曲線の一般形は、

[射影平面における３次曲線の一般形]
$A{X}^3+B{X}^{2}Y+CX{Y}^2+D{Y}^3+$ $E{X}^{2}Z+FXYZ+G{Y}^{2}Z+$ $HX{Z}^2+IY{Z}^2+J{Z}^3=0$

ですが、証明の筋道は $xy$平面と全く同じです。というのも、証明のコアのところは「10変数の連立１次方程式（方程式数が８）の不定解が、一般形でどう表現できるか」であり、曲線方程式の未知数が $\left(x,y\right)$ の２つであっても $\left(X,Y,Z\right)$ の３つであっても証明の論理に影響がないからです。

というわけで、楕円曲線暗号で実際に使われる「無限遠点を零元にした加法群」においても結合則が成り立つのでした。

---

19. パスカルの定理

---

最後に余談ですが、18.2 から証明できる別の定理があります。「パスカルの定理」です。これはパスカルが16歳のときに発表した「円錐曲線試論」にあります。最も一般的な形で言うと次の通りです。

19.1	パスカルの定理
円錐曲線上に異なる６点、$P_1$ ～ $P_6$ をとる。 直線 $P_1{P}_2$ と $P_4{P}_5$ の交点を $Q_1$ 直線 $P_2{P}_3$ と $P_5{P}_6$ の交点を $Q_2$ 直線 $P_3{P}_4$ と $P_6{P}_1$ の交点を $Q_3$ とすると、$Q_1\text{, }{Q}_2\text{, }{Q}_3$ は同一直線上にある。

これは美しい定理です。どんな円錐曲線かを言っていないし（円、楕円、放物線、双曲線）、円錐曲線上の６点の位置も、その順序も何も言ってない。それにもかかわらず「同一直線上にある」という、シンプルで強い断定が結論にくる ･･････。個人的経験を言うと、高校生時代にこの定理を知ってその "不思議さ" が印象的だったことを覚えています。

この定理の例を図15と図16、図17に示します。$Q_1$ を $P_7$、$Q_2$ を $P_8$、$Q_3$ を $T$ と書きました。円錐曲線が円か楕円であり、６点を円・楕円の周上に順に（＝ 一周するように）とった場合には、パスカルの定理は、

円・楕円に内接する６角形の対辺が作る２直線の交点３つは同一直線上にある

と簡潔に表現できます（図15）。

図15 パスカルの定理（１）

図16 パスカルの定理（２） 楕円上の点の位置は図15と同じだが名前付けが違う。しかし３点が同一線上に並ぶのは同じである。このように６点は楕円上のどの位置にどの順序で配置してもよい。

図17 パスカルの定理（３）

定理の証明は次の通りです。３次曲線、$C_1\text{, }{C}_2\text{, }D$ を、

$C_1$	：	赤色の３次曲線
$C_2$	：	青色の３次曲線
$D$	：	$P_7$ と $P_8$ を（$T$ とは関係なく）結んだ直線と円錐曲線が作る、黒色の３次曲線

とします。$C_1$ と $C_2$ は 、$P_1$ ～ $P_8$ と $T$ を通ります。そういう風に作図したからです。一方、$D$ は $P_1$ ～ $P_8$ を通ります。そうすると 18.2 より $D$ は $T$ も通ります。$D$ は $P_7$ と $P_8$ を通るように作図しましたが、$T$ を通るようには作図していません。それでも $T$ を通る。

その $T$ は、$D$ の円錐曲線部分にはありません。なぜなら、$T$ は直線 $P_3{P}_4$ 上に（ないしは直線 $P_6{P}_1$ 上に）ありますが、円錐曲線と直線の交点は高々２つであり、$P_3\text{, }{P}_4$ が（ないしは $P_6\text{, }{P}_1$ が）すでに円錐曲線上にあるからです。従って $T$ は $D$ の直線部分にあるしかない。これで証明が終わりました。

パスカルの定理のよくある証明は、円の場合に補助円を用いて証明し、それを "斜めから見たら" 楕円でも成り立つ、とするものです。しかしこの定理は、すべての円錐曲線（＝２次曲線の一般形、$a{x}^2+bxy+c{y}^2+$ $dx+ey+f=0$ で表される曲線）で成り立つことが上の証明から分かります。

---

楕円曲線暗号は「楕円曲線上の有理点による加法群」の上に作られた暗号ですが、

楕円曲線上の有理点で加法群を構成できることと、パスカルの定理が成り立つことには、意外にも共通の数学的理由がある

のでした。

---

---

タグ：群 高校数学 平方根 公開鍵暗号 有限体 位数 楕円曲線暗号 楕円曲線 ３次曲線 楕円曲線論入門 無限遠点 有理点 加法群 群位数 平方数 平方剰余 ベースポイント ディフィー・ヘルマンの鍵交換 パスカルの定理

No.315 - 高校数学で理解する楕円曲線暗号の数理（１）

このブログでは、インターネットをはじめとする情報通信インフラで使われている「公開鍵暗号」について、今まで３回にわたって書きました。

No.310-高校数学で理解するRSA暗号の数理（１）　
No.311-高校数学で理解するRSA暗号の数理（２）　
No.313-高校数学で理解する公開鍵暗号の数理　

の３つです。今回はその継続として、公開鍵暗号の一種で広く使われている「楕円曲線暗号」について、その数学的な背景を書きます。楕円曲線暗号は、1985年に米国 IBM の Victor Miller と米国 Washington 大学の Neal Koblitz によって独立に提案されました。暗号に限らず科学技術の世界では、同時期に同じアイディアが独立に考案されるというケースが見られます。

例によって高校レベルの数学知識だけを前提にし、証明なしに用いる定理や命題はないものとします。ただし、No.310、No.311、No.313 の内容やそこで証明した定理は既知とします。特にその中の、

有限体と乗法群　
生成元、および離散対数　

です。なお、楕円曲線（Elliptic Curve）は、２次曲線である楕円（Ellipse）とは関係ありません。楕円の弧長を積分で求める時に出てくる数式なのでその名があるだけです。暗号の名を楕円暗号とするむきもありますが、誤解されるでしょう。楕円曲線暗号（Elliptic Curve Cryptography）が正しい言い方です。

---

15. 楕円曲線（Elliptic Curve）とは

---

楕円曲線とは、次の式で表される平面３次曲線です。

$y^2=x^3+ax+b$

係数の $a$ と $b$ は有理数とします。楕円曲線の式の「標準形」と呼ばれるものは何種類かありますが、上式はその最も簡単な形です。楕円曲線暗号ではこの形を使うので、以降、楕円曲線といえばこの形で表される３次曲線とします。Wikipedia に非常にわかりやすい「楕円曲線のカタログ」が載っているのでそれを引用します。

	$b=-1$	$b=\phantom{-}0$	$b=\phantom{-}1$	$b=\phantom{-}2$
$a=-2$
$a=-1$
$a=0$
$a=1$
図１：楕円曲線のカタログ
Wikipediaより。楕円曲線には曲線の "成分" が１つのものと２つのものがある。なお、この図で $a=b=0$ だけは楕円曲線ではない。後述。

図でわかるように楕円曲線は成分（＝ ひとつながりの曲線）が１つのものと２つのもの（その１つは閉じた曲線）があります。この違いは何でしょうか。また、図の中にある $a=0\text{, }b=0$ の曲線は、実は楕円曲線ではありません。このあたりの説明は以降の通りです。楕円曲線の $x$ の式を、

$x^3+ax+b=f\left(x\right)$

と書きます。$y=f\left(x\right)$ のグラフは少なくとも１回、$x$軸を横切るので、$f\left(x\right)=0$ の３次方程式は少なくとも１つの実数解を持ちます。この３次方程式が３つの異なる実数解を持つ条件を調べます。関数 $f\left(x\right)$ が極値をとるとしたら、そのときの $x$ は方程式、

$f^{\text{'}}\left(x\right)=0$

の解です。この解を $x_1$ と $x_2$ とすると、

$$\begin{gathered} x_1=\phantom{-}\sqrt{{\displaystyle \frac{-a}{3}}} \\ {x}_2=-\sqrt{{\displaystyle \frac{-a}{3}}} \end{gathered}$$

です。$x$ がこの値をとるときの２つの極値がゼロでなく符号が逆であれば、$f\left(x\right)=0$ は３つの異なる実数解をもちます。つまりその条件は、

$f\left(x_1\right)·f\left(x_2\right)<0$

です。$x_1\text{, }{x}_2$ を入れて計算してみると、この条件は、

$4a^3+27b^2<0$

となります。不等号の向きが逆なら実数解は１つだけです。この不等号の左辺は「３次方程式の判別式」の符号を逆にしたものです。３次方程式の判別式 $D$ は、いま扱っている楕円曲線の式の場合、

$D=-\left(4a^3+27b^2\right)$

です。従って、

・	$D>0$ のとき、$f\left(x\right)=0$ は３つの実数解をもち、楕円曲線で $y=0$ となる点は３つある。このとき楕円曲線の成分は２つになる（図２）。
・	$D<0$ のとき、$f\left(x\right)=0$ の実数解は１つであり、楕円曲線で $y=0$ の点も１つである。このとき楕円曲線の成分は１つになる（図３）。

となります。この２つのケースで楕円曲線をを図示すると、図２（$a=-2\text{, }b=1$）、図３（$a=-2\text{, }b=2$）のようになります。

図２：成分が２つの楕円曲線 $y^2=x^3-2x+1$

図３：成分が１つの楕円曲線 $y^2=x^3-2x+2$

ここで $D=0$ のときにどうなるかを調べてみます。不定方程式、

$4a^3+27b^2=0$

の整数解を求めるために、$a=-3k^2\left(0\le k\right)$ と置くと、

$$\begin{gathered} a=-3k^2 \\ b=\pm 2k^2 \end{gathered}$$

が解です。$k=0\text{, }1$ とすると、

$\left(a,b\right)=\left(0,0\right)\text{, }\left(-3,2\right)\text{, }\left(-3,-2\right)$

が解のうちの３組です。まず、$\left(a,b\right)=\left(0,0\right)$ のとき曲線の式は、

$y^2=x^3$

となり、図４のように「尖点」をもつ曲線となります（Wikipedia の "楕円曲線のカタログ" にあったものです）。尖点では微係数が定まらず、曲線の接線が引けません。

図４：尖点をもつ３次曲線 $y^2=x^3$

$\left(a,b\right)=\left(-3,2\right)$ のときの曲線の式は、

$$\begin{gathered} y^2=x^3-3x+2 \\ \phantom{y^2}=\left(x+2\right){\left(x-1\right)}^2 \end{gathered}$$

となり、図５のように「結節点」をもつ自己交差曲線となります。結節点において接線は引けますが、２種類あって一意に定まりません。

図５：結節点をもつ３次曲線 $y^2=x^3-3x+2$

$\left(a,b\right)=\left(-3,-2\right)$ のときの曲線の式は、

$$\begin{gathered} y^2=x^3-3x-2 \\ \phantom{y^2}=\left(x-2\right){\left(x+1\right)}^2 \end{gathered}$$

となり、図６のように $\left(-1,0\right)$ に「孤立点」が発生します。この孤立点でも接線は引けません。

図６：孤立点をもつ３次曲線 $y^2=x^3-3x-2$

尖点、結節点、孤立点を曲線の「特異点」と言い、特異点をもつ３次曲線を特異３次曲線と言います。そして特異３次曲線は $y^2=x^3+ax+b$ の形であっても楕円曲線とは言いません。つまり、楕円曲線の正確な定義は次の通りです。

15.1	楕円曲線の定義
次の式で表される平面曲線を楕円曲線と言う。 $$\begin{gathered} y^2=x^3+ax+b \\ \left(4a^3+27b^2\ne 0\right) \end{gathered}$$

この定義による楕円曲線は "なめらか" であり、曲線上の全ての点で唯一の接線が引けます。以降、この楕円曲線の性質を調べていきます。

---

楕円曲線暗号は「楕円曲線上の点の加法群」で構成する暗号です。そこでまず、No.313 でも触れた「群（group）」とは何かを復習します。

---

群の定義

---

群（$G$ で表します）とは、何らかの２項演算 "$\circ$" が定義された集合です。演算が定義されているとは、集合 $G$ の任意の２つの元（同じ元であってもよい）、$a$、$b$ を演算した結果の $a\circ b$ が $G$ の元であることを意味します。この２項演算は次の３つの条件を満たす必要があります。この「条件を満たす２項演算が定義された集合」が群 $G$ です。

（単位元）	$a\circ e=e\circ a=a$ となる元 $e$ が存在
（逆元）	$a\circ b=b\circ a=e$ となる $b$ が、任意の $a$ について存在
（結合則）	$\left(a\circ b\right)\circ c=a\circ \left(b\circ c\right)$

演算 "$\circ$" を乗算と考えるとき、$G$ を乗法群といいます。乗法群では２項演算を $a\times b\text{, }a·b\text{, }ab$ などと書きます。単位元は $1$ と書くこともあります。また、逆元 b は $a^{-1}$ です。同一の $n$ 個の元 $a$ に対して演算 "$\circ$" を $n-1$ 回行った結果は $a^n$ で「累乗（あるいは冪乗）」と呼びます。

演算 "$\circ$" を加算と考えるとき、$G$ を加法群といいます。加法群では２項演算を $a+b$ と書きます。加法群の単位元を零元と呼び、$0$ と書くことがあります。また逆元 b は $-a$ です。同一の $n$ 個の元 $a$ に対して演算 $\circ$ を行った結果は $na$で「スカラー倍」と呼びます。

乗法群か加法群かは多分に "言葉の綾" の面があり、どちらがイメージしやすいかによります。但し、加法群と言った場合は暗黙に可換則、$a\circ b=b\circ a$ が成り立つ群を言います。可換則が成り立つ群を、ノルウェーの数学者 Abel の名前をとって「アーベル群」と呼びます。もちろん「乗法」や「加法」のイメージとは結びつきにくい群もたくさんあります。

---

楕円曲線上の有理点

---

楕円曲線上の有理点からなる加法群を構成することができます。有理点とは、楕円曲線上の点、$\left(x_0,y_0\right)$ で、$x_0$ も $y_0$ も有理数の点です。一般に、楕円曲線が有理点を持つかどうかを有限回の手続きで決定する方法は知られていません。しかし、１個か２個の有理点があれば、次のような手続きで次々と有理点を見つけることができます。以下の記述では $P$、$Q$、$R$ などを有理点とし、

・	$P$ と $Q$ を結ぶ直線がふたたび楕円曲線と交わる点を $P\ast Q$（図７の左）
・	$P$ 点における接線が楕円曲線と交わる点を $P\ast P$（図７の右）

と定義します。ここでの "$\ast$" は乗算の記号ではなく「"$\ast$" の前後に書かれた楕円曲線上の点ではない、もう一つの直線と楕円曲線の交点」の意味です。

図７：楕円曲線上の有理点

J.H.シルヴァーマン、J.テイト著「楕円曲線論入門」（シュプリンガー・フェアラーク東京 1995）より引用

J.H.シルヴァーマン、J.テイト 「楕円曲線論入門」 （シュプリンガー・ フェアラーク東京 1995）

図７で、$P\ast Q$ も $P\ast P$ も有理点です。なぜなら、係数が有理数の３次曲線と直線の交点を求める式は３次方程式になりますが、３次方程式の２つの異なる根が有理数なら（左図の $P$ と $Q$）、もうひとつの根 $P\ast Q$ も有理数だからです。もう１つが有理数でないと（＝無理数や複素数）、３次曲線の係数が有理数という前提に反します。同じように３次方程式の重根（右図の $P$）が有理数だと、もう一つの根も有理数です。

つまり、楕円曲線上に１つ、ないしは２つの有理点があったとしたら、上記の操作で有理点を増やしていけます。そこで有理点の存在を前提として以下の議論を進めます。

なお、楕円曲線暗号で使う加法群は「有限体上の楕円曲線における加法群」であり、ここでは "有理点" が必ず存在し、それを見つけるアルゴリズムもあります（後述）

---

楕円曲線上の有理点が作る加法群

---

楕円曲線上の有理点を "群" にするためには、そこに何らかの演算を定義する必要がありますが、その定義を次のようにします。加法群なので演算を $+$ と書きます。

群演算

・	任意の有理点を零元（＝ $O$ ）とする。
・	$P$ と $Q$ を楕円曲線上の有理点とするとき、点 $P\ast Q$ と $O$ を結ぶ直線が再び楕円曲線と交わる点を $P+Q$ とする。つまり、 $P+Q=\left(P\ast Q\right)\ast O$ とする。

図８：楕円曲線上の群演算

シルヴァーマン、テイト「楕円曲線論入門」より引用。零元の記号には、英大文字 O の筆記体が使ってある。以下同様

零元

この演算における零元 $O$ が、群の零元の条件を満たしているかどうかを検証すると、

$P+O=\left(P\ast O\right)\ast O=P$

となって、零元の条件を満たしていることがわかります（図９）。もちろん、$O+P=P$ です。

図９：$\mathit{O}$ が零元であることの検証

「楕円曲線論入門」より引用

逆元

逆元は次のように定義します。零元 $O$ における接線が楕円曲線と交わる点を $S$ とします。まず、

$S=O\ast O$

です。そして 点 $Q$ と $S$ を結ぶ直線が再び楕円曲線を交わる点を、$Q$ の逆元（＝ $-Q$）とします。つまり、

$-Q=Q\ast S$

です。このように定義すると

$\begin{array}{ll}Q+\left(-Q\right)& =\left(Q\ast \left(-Q\right)\right)\ast O\\ & =S\ast O\\ & =O\end{array}$

となり、群の逆元の条件を満たすことがわかります（図10）。$S$ と $O$ を結ぶ直線は $O$ で２回交差するので、$S\ast O=O$ です。

図10：点の逆元

「楕円曲線論入門」より引用

結合則

群を構成するためには、以上の群演算の定義が結合則を満たしていななければなりません。楕円曲線上に点 $P$、$Q$、$R$ をとったとき、

$\left(P+Q\right)+R=P+\left(Q+R\right)$

となるのが結合則ですが、

$$\begin{gathered} \left(P+Q\right)+R=\left(\left(P+Q\right)\ast R\right)\ast O \\ P+\left(Q+R\right)=\left(P\ast \left(Q+R\right)\right)\ast O \end{gathered}$$

なので、

$\left(P+Q\right)\ast R=P\ast \left(Q+R\right)$

が示せればよいことになります。「楕円曲線論入門」にはこのことを示した図が載っています（図11）。

図11：結合則の検証

「楕円曲線論入門」より引用

$\left(P+Q\right)\ast R$ の点と $P\ast \left(Q+R\right)$ の点が、楕円曲線上で同一の点になることの証明は少々複雑なので「18. 結合則が成り立つことの証明」にまわします（後述）。

---

以上のように楕円曲線上の有理点は、直線との交点を使って加法と逆元をうまく定義することで "群" になることがわかりました。ここで注意すべきは、零元は楕円曲線上の任意の有理点でよいことです。これを利用し「零元＝無限遠点」としたのが、実用的に使われる楕円曲線上の加法群です。

---

無限遠点を零元とする加法群

---

以下では「対称点」という言葉を使いますが、

$P=\left(x_p,y_p\right)$ とするとき、点 $\left(x_p,-y_p\right)$ を$P$ の対称点と呼ぶ

ことにします。楕円曲線は $x$軸について対称なので、点 $P$ を $x$軸で "折り返した" 点が $P$ の対称点です。$y=0$ となる点が楕円曲線上に１つ、または３つありますが、その点の対称点は同じ点です。

次に「$y$軸方向の無限遠点」を導入し、「楕円曲線上の有理点と無限遠点を合わせた集合」に群を定義します。ここからは無限遠点を $O$ と書きます。

無限遠点は図に表せないのでイメージしにくいのですが、$\mathit{y}$軸方向の無限遠に $\mathit{O}$ があると考えます。$y$ 軸の正方向でも負の方向でもかまいません。

楕円曲線上の点 $P$ を $P=\left(x_p,y_p\right)$ とし、$x_p$ をどんどん大きくすると、楕円曲線の式では $x^3$ の項が支配的になるので、${y_p}^2={x_p}^3$ と近似できます。つまり $y_p=\pm {x_p}^{\frac{3}{2}}$ となり、$x_p$ が大きいと $y_p$ は $y$軸の遙か上方（と下方）になります。この極限が無限遠点 $O$ と考えます。さらに、

楕円曲線上の任意の点 $P$ を通る $y$軸に平行な直線を引くと、その直線は $P$ の対称点で楕円曲線と交差すると同時に、無限遠点 $O$ でも交差する

と考えます。この $\mathit{y}$軸方向の無限遠点 $\mathit{O}$ を零元とする群を構成します。

群演算

まず、群演算の加法ですが、

$P+Q=P\ast Q$ の対称点

と定義します（図12）。

図12：加法則

「楕円曲線論入門」より引用

こうすると、$P\ast Q$ と $P+Q$ を結ぶ直線は $y$軸と平行になり、それは無限遠点 $O$ で楕円曲線と交差します。つまり、

$P+Q=\left(P\ast Q\right)\ast O$

です。この定義は 零元を楕円曲線上の点にとった図８と合致します。この加法の定義で $O$ が群の零元の要件を満たしているかを検証すると、

$P+O=\left(P\ast O\right)\ast O=P$

となって要件を満たしていることがわかります。$P\ast O$ は $P$ の対称点ですが、$P$ の対称点と $O$ を結ぶ直線が楕円曲線と交差する点は $P$ なので上式が成立します。これは楕円曲線上に $O$ をとった図９と同じです。さらに逆元ですが、$Q$ が楕円曲線上にあったとき、

$Q$ の対称点が $Q$ の逆元（$-Q$ と表記）

と定義します（図13）。

図13：逆元

「楕円曲線論入門」より引用

こうすると、

$\begin{array}{ll}Q+\left(-Q\right)& =\left(Q\ast \left(-Q\right)\right)\ast O\\ & =O\ast O\end{array}$

となりますが、$O\ast O=O$（＝無限遠点の対称点は無限遠点）との自然な定義を行うと、

$Q+\left(-Q\right)=O$

となって逆元の要件を満たします。結合則についても零元を楕円曲線上にとった場合（図11）と同じ様に成立します。「18. 結合則が成り立つことの証明」でそのこと書きます。

射影平面

無限遠点は図で表現できず、何だか "怪しげな" 感じがしますが、数学的に厳密に定義できます。それには射影平面を使います。

平面 $\left(x,y\right)$ に対し、３つの数 $\left(X,Y,Z\right)$ で表される "平面" を射影平面と言います。３つの数がありますが３次元空間ではありません。ただし $\left(0,0,0\right)$ の点は除きます。また、

$\lambda \ne 0$とするとき
$\left(X,Y,Z\right)$ と $\left(\lambda X,\lambda Y,\lambda Z\right)$ は同じものである（同値である）

と定義します。$xy$平面から射影平面の対応は、

$\left(x,y\right)\stackrel{}{\to }\left(x,y,1\right)$

とし、その逆の対応は、

$Z\ne 0$ のとき
$\left(X,Y,Z\right)\stackrel{}{\to }\left({\displaystyle \frac{X}{Z}},{\displaystyle \frac{Y}{Z}}\right)$

です。この対応からわかるように、射影平面には $xy$平面にない点が含まれています（$Z=0$ の点）。

射影平面での楕円曲線の式は、$xy$平面の楕円曲線の式で、$x={\displaystyle \frac{X}{Z}}\text{, }y={\displaystyle \frac{Y}{Z}}$ とおき、全体に $Z^3$ をかけて同時化（＝変数項の合計次数をそろえる）します。その結果、

$Y^{2}Z=X^3+aX{Z}^2+b{Z}^3$

の同時方程式が、射影平面での楕円曲線になります。ためしに、図２の楕円曲線（$a=-2\text{, }b=1$）と $y$軸との交点を計算してみると、$xy$平面では、

$\{\begin{array}{l}{y}^2=x^3-2x+1\\ x=0\end{array}$

の連立方程式を解いて、$\left(0,\pm 1\right)$ となります。一方、射影平面では、$x=0$ は $X=0$ なので、

$\{\begin{array}{l}{Y}^{2}Z=X^3-2X{Z}^2+Z^3\\ X=0\end{array}$

が、楕円曲線と直線の交点を求める連立式になります。この解は、$\alpha$ と $\beta$ を $0$ ではない数として、$\left(0,\alpha ,\pm \alpha \right)\text{, }\left(0,\beta ,0\right)$ です。射影平面の同値関係を利用すると、

$$\begin{gathered} \left(0,\pm 1,1\right) \\ \left(0,1,0\right) \end{gathered}$$

が楕円曲線と直線の交点になり、交点は３つあることになります。ここで $xy$平面の交点には現れなかった $\left(0,1,0\right)$ が $y$軸方向の無限遠点です。無限遠点は楕円曲線の同時方程式を必ず満たします。つまり全ての楕円曲線は無限遠点を通ることになります。

楕円曲線の計算には現れませんが、無限遠点にもいろいろあって、$\left(1,0,0\right)$ は $x$軸方向の無限遠点、$\left(\alpha ,\beta ,0\right)$ は任意方向の無限遠点です（$\alpha$、$\beta$ は $0$ ではない数）。

$xy$平面の２直線は、平行なときには交点がありませんが、射影平面の２直線は必ず１点で交わります。また射影平面の楕円曲線の１点を通る直線は、楕円曲線と必ず３点で交わります（直線が楕円曲線の接線の場合は、接点での交差数を２と数えます）。このように、交差を統一的に扱えるのが射影平面の特徴の一つです。

以上のような数学的裏付けのもとに導入したのが無限遠点です。これを $xy$平面では、

・	$\mathit{y}$軸方向の無限遠のところに無限遠点 $\mathit{O}$ がある
・	楕円曲線は $\mathit{O}$ を通る
・	$\mathit{y}$軸に平行な直線は $\mathit{O}$ で楕円曲線と交わる

とイメージしてよいわけです。

---

加法式・２倍式

---

楕円曲線上の加法を計算式で表します。楕円曲線上の３点を次のように定義します。

$$\begin{gathered} P_1+P_2=P_3 \\ {P}_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ {P}_3=\left(x_3,y_3\right) \end{gathered}$$

とします。$P_1$ と $P_2$ を結ぶ直線を $y=\lambda x+\mu$ とすると、連立方程式、

$\{\begin{array}{l}{y}^2=x^3+ax+b\\ y=\lambda x+\mu \end{array}$

の解が $P_1\text{, }{P}_2\text{, }\left(x_3,-y_3\right)$ です。この２つの式から $y$ を消去すると、

$x^3+ax+b-{\left(\lambda x+\mu \right)}^2=0$

が得られますが、この式は、

$\left(x-x_1\right)\left(x-x_2\right)\left(x-x_3\right)=0$

と同一のはずです。そこで $x^2$ の係数を比較すると、

$-{\lambda }^2=-x_1-x_2-x_3$

が得られます。つまり、

$x_3={\lambda }^2-x_1-x_2$

となります。この $x_3$ を直線の式に入れると、

$-y_3=\lambda x_3+\mu$

ですが、$y_1=\lambda x_1+\mu$ なので $\mu$ を消去すると、

$y_3=-y_1+\lambda \left(x_1-x_3\right)$

となります。これが基本の加法式です。これを $P_1$ と $P_2$ の配置パターンごとにまとめると、次の通りです。

${\mathit{x}}_{\mathit{1}}\mathit{\ne }{\mathit{x}}_{\mathit{2}}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-x_1-x_2\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{y_2-y_1}{x_2-x_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{\ne }\mathit{0}$ のとき

この場合は $P_1$ と $P_2$ を通る直線は $P_1$ における楕円曲線の接線となり、直線の傾き $\lambda$ は上の式のままでは計算できません。そこで $y^2=x^3+ax+b$ を $x$ で微分すると

$2y{\displaystyle \frac{dy}{dx}}=3x^2+a$

なので、

$\lambda ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}$

となります。$x_2$ を $x_1$ に置き換えてまとめると、

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-2x_1\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}\end{array}$

が $P_1+P_1$ の計算式です。これは $P_1$ の "２倍"（一般にはスカラー倍）であり、$2P_1$ と書きます。

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{\ne }{\mathit{y}}_{\mathit{2}}$ のとき、あるいは ${\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{=}\mathit{0}$ のとき

この場合、$P_2=-P_1$ なので、定義により

$P_1+P_2=O$

です。

---

有限体上の楕円曲線による加法群

---

以降に出てくる有限体 ${\mathbb{F}}_p$ と 乗法群 ${\mathbb{F}}_p^{\ast }$ については、No.313「高校数学で理解する公開鍵暗号の数理：10. 有限体と乗法群」 で定義したものです。

楕円曲線暗号に使われる楕円曲線は、有限体 ${\mathbb{F}}_p$ で定義された "曲線" で、次の式を満たすものです。

$$\begin{gathered} y^2=x^3+ax+b \\ \left(4a^3+27b^2\ne 0\right) \end{gathered}$$

$x$、$y$、$a$、$b$ は全て ${\mathbb{F}}_p$ の元です。「この式を満たす全ての $\left(x,y\right)$ と 零点 $O$ の集合」に対して演算を定義して群を構成します。演算を加法と考えて $+$ と書きます。この "曲線" 上の３点を、

$$\begin{gathered} P_1+P_2=P_3 \\ {P}_1=\left(x_1,y_1\right) \\ {P}_2=\left(x_2,y_2\right) \\ {P}_3=\left(x_3,y_3\right) \end{gathered}$$

とするとき、群の演算式は次のように定義されます。

${\mathit{x}}_{\mathit{1}}\mathit{\ne }{\mathit{x}}_{\mathit{2}}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-x_1-x_2\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{y_2-y_1}{x_2-x_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{\ne }\mathit{0}$ のとき

$\{\begin{array}{ll}{x}_3& ={\lambda }^2-2x_1\\ y_3& =-y_1+\lambda \left(x_1-x_3\right)\\ \lambda & ={\displaystyle \frac{3{x_1}^2+a}{2y_1}}\end{array}$

${\mathit{x}}_{\mathit{1}}\mathit{=}{\mathit{x}}_{\mathit{2}}\mathit{\text{, }}{\mathit{y}}_{\mathit{1}}\mathit{\ne }{\mathit{y}}_{\mathit{2}}$ のとき、あるいは ${\mathit{y}}_{\mathit{1}}\mathit{=}{\mathit{y}}_{\mathit{2}}\mathit{=}\mathit{0}$ のとき

$P_1+P_2=O$

つまり、実数平面の有理点と無限遠点（＝零元）で構成された群の演算式と全く同じです。もちろん加減乗除は ${\mathbb{F}}_p$ で行います。これが群になる理由は、有理数体（有理数全体の集合）も有限体 ${\mathbb{F}}_p$ も「体」であり、加減乗除は全く同一形式で記述できるからです。ただ、有理数体と違って ${\mathbb{F}}_p$ の元の数は有限個であり、群の元の数も有限個（＝有限群）です。以降、${\mathbb{F}}_{\mathit{p}}$ 上の楕円曲線、${\mathit{y}}^{\mathit{2}}\mathit{=}{\mathit{x}}^{\mathit{3}}\mathit{+}\mathit{a}\mathit{}\mathit{x}\mathit{+}\mathit{b}$ による有限群を $\mathit{E}\mathit{}\left(\mathit{a},\mathit{b},\mathit{p}\right)$ と表記します。

${\mathbb{F}}_p$ 上の楕円曲線は、もはや "曲線" の形をしていませんが、これを可視化した図が Wikipedia にあるので、引用します。

図14：有限体上の楕円曲線 $E\left(-1,0,89\right)$　 ${\mathbb{F}}_{89}\text{, }{y}^2=x^3-x$

赤丸が "楕円曲線上の点" を表し、計79個ある。零元（無限遠点）と合わせて、群の元の総数は 80 である。

（Wikipedia より）

---

以上が「有限体上の楕円曲線が作る加法群」で、楕円曲線暗号はこの加法群で構成されます。その話を次回にします。

（次回に続く）

---

タグ：群 高校数学 公開鍵暗号 有限体 楕円曲線暗号 楕円曲線 ３次曲線 楕円曲線論入門 判別式 射影平面 無限遠点 有理点 加法群

No.314 - 人体に380兆のウイルス

No.307-308「人体の９割は細菌」で、ヒトは体内や皮膚に棲む微生物と共存していることを書きました。これら微生物には、もちろんヒトに有害な事象を引き起こすものもありますが、ヒトの役に立ったり、ヒトの免疫機構を調整しているものもある。人体は微生物と共存することを前提に成り立っています。

No.307-308での "微生物" は、題名にあるように主に細菌でした。しかし忘れてはいけない微生物のジャンルはウイルスです。そして人体はウイルスとも共存しています。人体に共存する微生物の総体（＝微生物叢そう）をマイクロバイオーム（Microbiome。厳密にはヒトマイクロバイオーム）と言いますが、ウイルスの総体（＝ウイルス叢そう）をバイローム（Virome。ヒトバイローム）と言います。言葉がややこしいのですが、マイクロバイオームの一部としてバイロームがあると考えてよいでしょう。

ウイルスというと、病気を引き起こす "ヒトの敵" というイメージが強いわけです。新型コロナウイルスがまさにそうだし、No.302「ワクチン接種の推奨中止で4000人が死亡」でとりあげたのは、子宮頸癌を引き起こすヒトパピローマウイルス（HPV）とそのワクチンの話でした（HPV は他の癌の原因にもなりうる）。大きな社会問題にもなった肝炎を引き起こすウイルスがあるし、エイズもウイルスの感染で発症する病気です。もちろんインフルエンザもウイルスが原因です。

しかしウイルスの中にはヒトに "好ましい" 影響を与えるものもあります。その好例が、No.229「糖尿病の発症をウイルスが抑止する」で紹介したある種のウイルスで、膵臓がこのウイルスに感染していると、遺伝性の自己免疫疾患である１型糖尿病の発症が抑止されるのでした。

日経サイエンス 2021年7月号

人体と共存する細菌に "善玉菌" と "悪玉菌" があるように、ウイルスにも "善玉ウイルス" と "悪玉ウイルス" があることが想定されます。では、ヒトの "ウイルス叢" ＝ "バイローム" の全体像はどうなっているのか。その探求が、この10年ほどの間に進んできました。ただ、この種の研究はまだ始まったばかりであり、本格的なバイロームの解明はこれからと言えます。

そのバイローム研究の最新状況を紹介した雑誌記事があったので、No.307-308「人体の９割は細菌」の続きとして紹介したいと思います。記事の題は「あなたの中にいる380兆のウイルス」で、日経サイエンス 2021年7月号に掲載されたものです。著者はカリフォルニア大学サンディエゴ校の病理学者、 デヴィッド・プライド（David Pride）准教授です。これは Scientific American 誌 2020年12月号の「The Viruses Inside You」を翻訳したものです。

---

ウイルスは人体の一部

---

新型コロナウイルス（ウイルス名：SARS-Cov-2）の影響もあり「ウイルスは病気をもたらすもの」という認識が一般的でしょう。しかし病気でなくても、普段からヒトの体内には何兆個ものウイルスが存在しています。このことは研究者の共通認識になってきました。

実は多くのウイルスが肺や血液、神経の細胞内や、多数の腸内細菌の内部に隠れており、人の体内に静かに潜んでいることが明らかになっている。 現時点で生物学者たちは 380兆個のウイルスがあなたの体の表面や内部で生息していると見積もっている。 デヴィッド・プライド 「あなたの中にいる380兆のウイルス」 日経サイエンス 2021年7月号

ヒトの細胞の総数は、最新の研究では約37兆個といわれています（赤血球を除くと約11兆個）。ヒトと共存している細菌は、数からいうと腸内細菌がほとんど（9割以上）で、ざっと100兆個といわれています。その細菌より多数のウイルスが体内にいることとになります。ウイルスの大きさが細菌の大きさの100～1000分の１であることを考えると、これは驚くに当たらないでしょう。これらの細菌やウイルスの数は、今後の研究の進展に従って増加することが考えられます。

病気を引き起こすウイルスもいるが、多くは単にあなたと共存しているだけだ。例えばペンシルベニア大学の研究者たちは2019年後半、気道でレドンドウイルスに分類される19種類のウイルスを発見した。いくつかは歯周病や肺疾患に関連していたが、他のウイルスはむしろ呼吸器疾患を抑えているようだった。 以前は、私たちの人体は "自分の" 細胞でできていて、それがときどき微生物の進入を受けるだけだと考えられてきた。しかし科学的知識が急速に拡大したことで、実は私たちは細胞と細菌、菌類、そして最も多数派を占めるウイルスが同居する１つの生物集団、つまり「超個体」であることが明らかになっている。 「同上」

これらのウイルスは、皮膚表面を含む体内のあらゆる場所に生息しており、脳の脊髄からも発見されています。

安価なゲノム配列解読手法によって人間の口腔と腸で大量のウイルスが発見されたのは12年前のことだが、2013年頃までには皮膚の表面や気道、そして血液や尿中にもウイルスの存在が明らかになった。 最近では、さらに驚異的な場所でウイルスが見つかっている。2019年9月、私はゴース（Chandrabah Ghose）らとともに、さまざまな病気のための検査を受けていた成人たちの脳脊髄液中で発見したウイルスと詳しく報告した。それらのウイルスはいくつかの異なった科に属しており、既知の病気に関連づけられているものはなかった。また、私たちは血漿と間接液、母乳の中にも同じウイルスを発見した。 それまでヘルペスウイルスなどごく少数の感染症ウイルスが脳脊髄液中に潜入しうることは知られていたが、何も病気を引き起こさないウイルスがまるで偶然そこに居合わせたかのように見つかったことは驚きだった。微生物のいない環境であるはずの中枢神経系に、そこそこ多様なウイルス集団が存在しているのだ。 「同上」

No.307-308「人体の９割は細菌」で書いたように、細菌のマイクロバイオームは赤ちゃんが生まれるその時点から形成されます。また母乳にも細菌が含まれていて、それが赤ちゃんに伝わる。このような状況はウイルスのバイロームでも同じのようです。

私たちのバイロームは生まれたときから蓄積が始まるようだ。生後間もない乳児の腸にも非常に多様なウイルスが存在することが明らかになっている。おそらくそれらは母親に由来し、一部は母乳から摂取されると考えられる。 出生後数週から数ヶ月たつうちに、これらのウイルスの一部は数が減る。他方で、別のウイルスが空気や水、食物、他の人々から乳児の体内に入ってくる。これらのウイルスは数と多様性を増していき、細胞に感染してそこで長年にわたり存在し続ける。 「同上」

細菌と同じように、人のバイロームは、その人の「個人情報」になります。しかもこの個人情報は、人から人へと伝播しやすいという性質があります。新型コロナウイルスやインフルエンザウイルスの呼吸器系に感染するウイルスは、咳などの飛沫でも容易に伝播するのです。

同居している人たちは、自身のバイローム中のウイルスの約25%を共有しているようだ。ウイルスは、せきなどの典型的な伝播手段でうつされるだけでなく、人と人の軽い接触、流し台やトイレや机の共同使用、そして食物を分け合うことによっても、同居メンバー間で伝播しうる。 私たちが調べた人数は少ないものの、恋人どうしや夫婦といったロマンチックな関係がない同居人どうしでも、ロマンチックな関係にあるひと同士と同じくらいの割合のウイルスを共有していることをデータは示している。親密な接触はほとんど違いを生まないように思われる。同じ空間に住んでいるだけで十分だ。 「同上」

要するに、同居人の間でのウイルスの伝播（バイロームの共有）は、性関係（＝ロマンチックな関係）のあるなしには影響されないわけです。

---

細菌に感染するファージ

---

ウイルスは自前の増殖機能がないため、細胞に感染することで増えて広がっていきます。実は、ヒトの体内にいるウイルスの多くは、ヒトの細胞ではなく、体内に生息する細菌に感染するウイルスです。このタイプのウイルスをバクテリオファージ（略してファージ）と呼びます。

私たちの体内にいるウイルスの多くは私たち自身の細胞を標的としているのではない。代わりに、私たちのマイクロバイオームを構成している細菌を探す。これら細菌に感染するウイルスは「バクテリオファージ」と呼ばれる（略して「ファージ」といわれることが多い）。細菌の細胞内に進入したファージは細菌が持っている装置を使って自身のコピーを作り、たいていは細胞を破裂させて飛び出し、他の細菌に観戦する。この仮定で宿主の細菌は破壊される。 ファージは自然界のほほ全ての場所に存在している。じっくりと観察すれば、土壌中にも、海水から家庭の水道水にいたるあらゆる水の中にも、酸性の鉱山や北極、温泉などの過酷な環境中にも見つけることができるだろう。空中にも浮かんでいる。これらのウイルスがしぶとく存在し続けるのは、これら全ての場所に生息している細菌を獲物にしているからだ。私たち人間は狩りをする１つの場所にすぎない。 2017年、サンディエゴ州立大学（カリフォルニア州）に所属していたグェン（Sophie Nguyen）とバー（Jeremy Barr）は、多くのファージが粘膜を通過して体内の最終目的地に到達するこを示した。試験管内の実験で、ファージは腸や肺、肝臓、腎臓、さらには脳の表面を覆う膜を通り抜けた。もっとも、それらのウイルスがたまたま中枢神経系などの場所に入ったとしても、そこには宿主となる細菌がほとんどいないため、自己複製する方法がなく最終的には死滅してしまうだろう。 「同上」

ファージは細菌と共存しているとも言えます。ということは、ヒトと共存する細菌の中にヒトに有益な作用をもたらすものがあるように、ファージの中にも細菌を "助ける" ものがあってもおかしくありません。

増殖したファージが細菌の遺伝子を自身のゲノムに取り込んで一緒に持ち出すことがある。この荷物は、ファージが次に感染した細菌にとって有益になる場合がある。例えば私が唾液中に見つけたファージは、細菌が人体の免疫系の攻撃から逃れるのを助ける遺伝子を運んでいた。なかには細菌が抗生物質に抵抗するのを助ける遺伝子を運ぶファージまでいる。 「同上」

抗生物質は細菌に作用するだけで、ウイルスは影響を受けません。従って「細菌が抗生物質に抵抗するのを助ける遺伝子」をファージが運ぶとしたら、ファージの生存環境を確保し、ファージ自身の生存を促進するという "目的" しかないわけです。

---

人体細胞に感染するウイルス

---

もちろん細菌に感染するファージだけでなく、ヒトの細胞に直接感染するウイルスもあります。

私たちのバイロームの中の多くのウイルスは細菌に感染するが、人体組織の細胞に直接感染するウイルスもわずかながらある。この手のウイルスが少数派だと考えられるのは、体細胞への感染が免疫系によって抑制されるからだ。 スタンフォード大学にいたド・ヴラマンク（Iwijn De Vlaminck）は、免疫系の働きが著しく弱っているとき（例えば、臓器移植を受けて、拒絶反応を防ぐために免疫抑制剤を服用している場合など）、特定のウイルスの数が劇的に増加することを明らかにした。こうしたケースでは、病気を引き起こすことが知られているウイルスとそうでないウイルスの両方の増加が見られる。この観察結果は、通常私たちの免疫系はバイロームを抑制しているが、免疫が阻害されるとウイルスは容易に増殖できることを示している。 「同上」

普段は何もせずに感染しているウイルスが、ヒトの免疫機能の低下などにより急に病原性を発揮することがあります。このような状況を「日和見感染」といいます。また、何らかのウイルスが感染してヒトの免疫系がそれと戦っているときに、別の細菌やウイルスに感染することがあります。これを「共感染」と呼びます。

新型コロナ感染症でも重症者に共感染がみられます。黄色ブドウ球菌や肺炎レンサ球菌などによる "細菌性続発性肺炎" や "菌血症"（血液中に細菌が増える症状）です。また、インフルエンザウイルスやアデノウイルスなどの "ウイルス性共感染" も観察されています。さらに、既にバイローム中にいるエプスタイン・バーウイルス（EBウイルス）やサイトメガロウイルスが活性化される可能性もあります。ヒトの免疫系が新型コロナウイルスと戦っているその体内は、これらの細菌やウイルスが大増殖しやすい状態になっているわけです。

いま出てきた "EBウイルス" と "サイトメガロウイルス" は、ヘルペスウイルスの一種です。ヘルペスウイルスは約100種のウイルスの総称で、そのうちの９種がヒトに感染します。日本人でも半数以上の人が感染しています。このウイルスはヒトの神経節に "潜伏感染" し、そうなると増殖も何もしないので免疫系に攻撃されることがありません。しかし何らかのトリガーで活性化し、帯状疱疹や水痘（水ぼうそう）、口唇ヘルペスなどを引き起こします。

ヘルペスウイルスはそれ以外にも数々の病気とかかわっているのではと疑われています。その一つがアルツハイマー病です。

アルツハイマー病で死亡した人々から提供された脳組織を調べた2018年の研究では、高レベルのヘルペスウイルスの存在が明らかになった。 2020年5月にはタフツ大学とマサチューセッツ工科大学の研究者たちが実験室で脳を模した培養組織を作成し、そこに単純ヘルペスウイルス１型を感染させた。すると、アルツハイマー病患者の脳に蓄積するものとそっくりなアミロイド斑様構造物が大量にできた。このように古くから知られているウイルスにも意外な役割が見つかる可能性があるのは驚くべきことだ。 「同上」

この引用にある「2018年の研究」を報じたニュース記事が次です。

アルツハイマー発症 ヘルペスウイルス2種関係か 日本経済新聞（デジタル版） 2018年6月22日 【ワシントン=共同】アルツハイマー病の発症に、2種類のヒトヘルペスウイルスへの感染が関係する可能性があるとの研究成果を、米国のチームが21日付科学誌ニューロン電子版に発表した。患者の脳組織からウイルスの痕跡を大量に発見したことなどが根拠。 問題となる「6型A」「7型」のウイルスは非常に身近で、米国では多くの人が幼児期までにいずれかに感染するという。チームは「どうやって感染から発症に至るのかなど、不明な点が多い」としている。 いずれも血液から見つかるウイルスで、7型は突発的な発疹の原因となることが知られている。6型Aについてはよく分かっていないという。 チームはアルツハイマー病患者と、患者ではなかった800人超から提供された脳について、500種以上のウイルスへの感染を調べた。患者の脳では2種類のヘルペスウイルスに関係する遺伝物質RNAが多く見つかり、ウイルスが脳細胞の遺伝子にも影響を及ぼしていたことも分かった。 これらのウイルスは、アルツハイマー病以外の原因による認知症の人の脳からも見つかったが、2種類とも多くみられたのはアルツハイマー病患者の脳だけだった。

---

ファージを医療に応用する

---

ウイルスを医療に役立てようとする研究が進められています。というのも、ファージは細菌に入り込み、細菌の機構を利用して増殖し、細菌を破壊して飛び出すからです。ファージを利用して病気の原因菌を排除しようとするのは自然な流れでしょう。その焦点は、抗生物質が効かない耐性菌の対策です。雑誌記事から２つ引用します。

ロックフェラー大学の研究者たちは、抗生物質が効かない病原菌であるメチシリン耐性ブドウ球菌（引用注：MRSAのこと）を殺す酵素をあるウイルスから精製した。この結果は非常に有望で、米食品医薬品局（FDA）はこの酵素を「画期的治療薬」に指定し、現在、最終段階の臨床試験（第３相試験）が行われている。 デヴィッド・プライド 「あなたの中にいる380兆のウイルス」 日経サイエンス 2021年7月号

いくつかのファージが実験的な治療ですでに使用されている。カリフォルニア大学のサンディエゴ校のスクーリー（Robert Schooley）が率いた2016年の画期的な試みが一例だ。同大教授のパターソン（Tom Patterson）は悪名高い薬剤耐性菌、アシネトバクター・バウマニのせいで多臓器不全に陥っていた。しかし医師たちは、下水および環境由来のファージを使用したパターソンを治療することに成功した。 （  日経サイエンス編集部・注：この治療例は「パターソン症例」と呼ばれ、米国初のファージ療法成功例として知られている） 「同上」

ファージ医療は耐性菌対策の "切り札" だと、著者は書いてます。薬（抗生物質）が効かない病原菌を排除するためには、細菌に感染するファージを利用するのが切り札になるわけです。

---

バイロームとヒトの健康

---

ヒトのマイクロバイオーム（細菌）が健康と密接な関係があるように、バイロームもそうであることが十分考えられます。マウスによる実験では細菌の変化とウイルスの変化が同時に起こることが観察されています。ヒトにおいても、歯周病と炎症性腸疾患を発症とバイロームの変化が同時におこる場合があることがわかっています。

今後、ヒトの健康に影響を与えるカテゴリーのウイルスを "操作" して、疾患から我々の体を守る新たな方法がみつかることが期待されています。

---

以上が、日経サイエンス 2021年7月号に掲載された「あなたの中にいる380兆のウイルス」の概要です。ここから以降は、この記事に関連した最近の日本での話題をとりあげます。

---

ウイルスを医療に応用する

---

日経サイエンスの記事には、細菌に感染するファージを利用して病気の原因菌を人体から排除する "ファージ医療" のことが書かれていました。

ということは、人体から排除したいヒトの細胞を破壊するには、人体細胞に感染するウイルスを使えばよい、ということになります。人体から排除したいヒトの細胞とは、つまり癌細胞です。

癌治療にウイルスを使う研究は世界で行われてきましたが、2021年6月10日に東京大学医科学研究所の藤堂具紀ともき教授は、ウイルスを使った治療薬が承認される見通しになったと発表しました。日本製としては初の承認です。

改変ウイルスで脳腫瘍治療 東大と第一三共が実用化 時事通信社（JIJI.COM） 2021年06月10日 ヘルペスウイルスのがん治療用改変に取り組む東京大医科学研究所の藤堂具紀教授は10日、脳腫瘍の一種「悪性神経膠腫こうしゅ」の治療用として、厚生労働省から条件付きで製造販売が承認される見通しになったと発表した（引用注：11日に厚生労働省から承認が発表された）。第一三共が共同開発して昨年12月に申請し、先月の薬事・食品衛生審議会部会で認められていた。 製品名は「デリタクト注」（一般名テセルパツレブ）で、7年以内に使用患者全員を対象として安全性と有効性を再確認する。脳腫瘍では世界初のウイルス療法製品になるという。 元来は口唇ヘルペスを引き起こす「単純ヘルペスウイルス１型」だが、がん細胞だけに感染、増殖して死滅させるよう、３種類の遺伝子を改変してある。患者の抗がん免疫を強める作用もある。 藤堂教授らは悪性神経膠腫の中で最も悪性度が高く、手術後に放射線や抗がん剤による治療を行っても生存期間が短い「膠芽腫こうがしゅ」を対象として、2009年から臨床研究、15年から臨床試験（治験）を実施。安全性を確認し、１年後の生存率が大幅に向上する効果があった。 この改変ウイルスは他のがんにも有効とみられ、前立腺がんなどを対象とする臨床試験も行っている。

この発表の20日ほど前の朝日新聞デジタルには、癌のウイルス治療の歴史や背景を含めた解説がありました。以下です。

ウイルスでがん破壊、治療薬承認へ 脳腫瘍の一種に効果 朝日新聞デジタル 2021年5月24日 悪性度の高い脳腫瘍しゅように対する国産初のがんウイルス治療薬が承認されることになった。新型コロナウイルスの影響でこの1年ですっかり悪役になった「ウイルス」だが、ウイルスの遺伝子を改変して「味方」にすれば、がん治療に利用できる。次世代のがん治療法として世界的に注目されている。 がん治療にウイルスを使う研究は、20世紀初めに始まったとされる。1971年には、英の有名医学誌ランセットに、「悪性リンパ腫になった男子が、麻疹ウイルスにかかった後にがんが消えた」という論文が掲載された。ウイルスをどう改良すれば、この報告を再現できるのか、本格的な研究が始まった。 がん細胞とウイルスは「体内の免疫をかいくぐって、どんどん増えたい」という性質が一致している。ウイルスにとって、がん細胞の中は「何もしなくても勝手に増やしてくれる」という最高の環境だ。お互いの特徴をいかした治療が、がんウイルス療法と言える。 ウイルスをがん細胞の中で増やしてがん細胞を壊し、次のがん細胞に感染して同じことを繰り返させる。さらに、ウイルスが壊したがん細胞のかけらを自分の免疫が認識すれば、がん細胞に対する全身の免疫が高まる。転移する割合も減る可能性がある。 ウイルスは正常な細胞にも感染するため、がん細胞のみで増えさせるようにすることが課題だった。この点で治療に大きな進歩をもたらしたのが、遺伝子組み換え技術の発展だ。 承認が了承された「デリタクト注」は、東京大医科学研究所の藤堂具紀教授らが開発した。口唇ヘルペスの原因を起こす「単純ヘルペスⅠ型」というありふれたウイルスを改変している。 さまざまなウイルスでがん治療研究が進められているが、このヘルペスウイルスは、どの細胞にも感染し、細胞を攻撃する力が比較的強い。このウイルスを改変した薬は米国で2015年、悪性黒色腫（メラノーマ）で承認された。 今回のウイルスは、さらに遺伝子を改変し、三つの遺伝子に変異を加えている。デリタクト注は1回10億個のウイルスを注入する。ウイルスの増殖が体内で制御できなくなるおそれもあるが、藤堂さんは「遺伝子の改変を重ねるごとに、正常な細胞で増殖させることなく、がん細胞への攻撃力を高め、安全性は1千倍ずつ高まっている」と話す。 がんウイルス治療に詳しい鳥取大の中村貴史准教授（遺伝子治療学）は「世界的にこの治療でかなりの数の治験が進んでいるが、いずれも遺伝子組み換え技術によって正常な細胞でのウイルスの増殖を制御できている」と話す。 今回は脳腫瘍で了承されたが、理論上はさまざまな臓器のがんに応用可能だ。藤堂さんらは、前立腺がんなど、ほかのがんへの応用もめざして研究を進めている。 将来的に、手術や抗がん剤、放射線治療の前に、ウイルス療法でがんを小さくしたり、免疫を高めて治療効果を上げたりすることも考えられる。中村さんは「欧米では非常に激しく競争されている分野で、確立すれば治療の選択肢が増える。今回の了承は起爆剤となり、大きな革新となるだろう」と話す。（後藤一也、瀬川茂子）

癌のウイルス治療のイメージ

（朝日新聞デジタル 2021.5.24 より）

ヘルペスウイルスは潜伏感染をし、突如として病気を引き起こすというウイルスです。しかも日経サイエンスの記事にあったように、脳にも感染するヘルペスウイルスはアルツハイマー病の原因になるのではと疑われています。そのウイルスで癌細胞を攻撃するというのは、まさに「毒をもって毒を制する」ことの典型でしょう。

今回の承認は「悪性神経膠腫こうしゅ」の治療用ですが、前立腺がんなど、ほかの癌への応用の研究も進んでいるようです。東京大医科学研究所のホームページに詳しい説明がありますが、それを読むと、今回のヘルペスウイルス改変型ウイルスはすべての癌に効果があるとしか思えないのですね。

2020年に「癌の光免疫療法」が日本で承認され、"第５の癌療法" として注目されました（既存の４つとは、手術・化学・放射線・免疫の各療法）。ウイルス療法が "第６の癌療法" になること期待したいものです。

---

補記

本文に引用した藤堂教授の研究成果が、2021年7月5日の日本経済新聞にも掲載されました。本文と重複する部分もありますが、治験結果などの重要な情報もあるので全文を引用しておきます。下線は原文にはありません。

がん破壊ウイルスに託す 新薬承認、脳腫瘍以外へ開発競う 日本経済新聞 2021年7月5日 ウイルスを使ってがんを倒す新たな治療法が登場した。がん細胞だけで増えて死滅させる「ウイルス療法」の新薬が6月、厚生労働省に条件付きで承認された。臨床試験（治験）では1年後の生存率が8～9割と、従来の治療法の約6倍となった。開発は盛んで、他のがんにも効果があると期待されている。 新薬は第一三共の「テセルパツレブ」。悪性の脳腫瘍を対象に承認された。東京大学医科学研究所教授の藤堂具紀さんらの研究成果を実用化した。2016年に国の画期的な新薬候補を優遇する「先駆け審査指定制度」に選ばれた。 今後7年で再確認 東大医科学研究所付属病院で15年から実施した医師主導治験の結果をもとに、20年12月に製造販売の承認を申請した。今後7年間、投与した患者全例のデータを集めて、有効性や安全性を再確認する条件付きで承認された。がんのウイルス療法の治療薬は国内で初めてだ。藤堂さんらは約20年以上かけて開発した。 治療では、新薬をがんに注射する。ウイルスはがん細胞に感染して増える。がん細胞を壊して拡散し、次のがん細胞に感染して次々に破壊していく。壊れたがん細胞からはがんの目印となる物質が出る。免疫細胞がそれを認識し、残るがん細胞を攻撃する。がんへの免疫がつき、転移や再発を抑える可能性が期待されている。 治験は手術や放射線、抗がん剤などの標準治療をした後に再発した脳腫瘍の一種、膠芽腫こうがしゅの患者を対象にした。最大6回まで脳にウイルスを投与した。膠芽腫は悪性度が高く、再発しやすい。生存期間は手術後15～18カ月程度、再発後の余命は3～9カ月程度といわれる。 13人を対象にした中間解析では、1年後の生存率は92.3%だった。標準治療後の生存率は約15%にとどまる。先行して実施した臨床研究を加えて19人を対象にした評価では、1年後の生存率は84.2%、治療開始後の生存期間の中央値は約20カ月だった。がんが縮小したのは1人で、18人はがんが増えず安定した状態だった。 がんがウイルスに弱いことは研究者の間では古くから知られていた。1971年の論文で、悪性リンパ腫になった少年が麻疹ウイルスに感染したところ、がんが消えたという報告があったという。 通常の細胞はウイルス感染などにあったとき、自ら死ぬ機能を備える。一方、がん細胞はこの機能が壊れていて増え続ける。自殺しないがん細胞はウイルスにとって増えやすい環境なわけだ。 ウイルスをがん治療に使おうとすると、ウイルスが正常な細胞でも増えて壊すという課題があった。藤堂さんらは遺伝子組み換えでウイルスの性質を変え、がん細胞だけで増えるようにした。 遺伝子3つを改変 もとにしたのは「単純ヘルペス1型」というウイルスだ。口唇に水疱すいほうをつくるウイルスで、成人の7～8割が感染しているといわれる。3つの遺伝子を改変し、がん細胞で増えて正常細胞では増えないようにするとともに、がんへの体内の免疫反応が高まるようにした。 細胞を壊す力が強く、どの細胞にも感染するのでさまざまながんへの応用が期待できるという。細胞から細胞に血液を介さず移るので、抗体があっても繰り返して治療効果が期待できる。 米国では2015年にヘルペスウイルスを遺伝子組み換えした悪性黒色腫の治療薬が承認された。この治療薬は2つの遺伝子を改変した。テセルパツレブは3つ改変しており、藤堂さんは「がんを攻撃する力が格段に強まり、安全性も向上した」と強調する。 がんウイルス療法には多くの製薬企業が参入している。国内勢では、オンコリスバイオファーマから導入した治療薬候補で、中外製薬が食道がんや肝細胞がんを対象に治験をしている。 鳥取大学准教授の中村貴史さんは「15年の承認をきっかけに大手製薬が参入し、がんウイルス療法の開発は活発になった。安全性は遺伝子組み換え技術で制御できるレベルになり、今はいかに効果を高めるかという段階だ。競争に勝つには新規性が必要だ」と指摘する。（藤井寛子）

日本経済新聞 2021.7.5 より

（2021.7.7）

---

---

タグ：ウイルス 癌 ヘルペス 脳腫瘍 アルツハイマー病 バクテリオファージ ファージ マイクロバイオーム バイローム ファージ医療 藤堂具紀 ウイルス療法

No.313 - 高校数学で理解する公開鍵暗号の数理

No.310-311「高校数学で理解するRSA暗号の数理」の続きです。公開鍵暗号の "老舗しにせ" である RSA暗号は、1978年に MIT の研究者であったリベスト（米）、シャミア（イスラエル）、エーデルマン（米）の３人によって発明されました（RSAは３人の頭文字）。３人はこの功績によって2002年のチューリング賞を受賞しました。チューリング賞は計算機科学分野の国際学会である ACM（Association of Computing Machinary）が毎年授与している賞で、この分野では最高の栄誉とされているものです。

しかし公開鍵暗号そのもののアイデアを最初に提示したのは、スタンフォード大学の研究者だったディフィー（米）とヘルマン（米）で、1976年のことでした。２人も 2015年にチューリング賞を受賞しています。この「鍵を公開する」という、画期的というか逆転の発想である公開鍵暗号の登場以降、暗号の研究は一変してしまいました。そして RSA暗号のみならず各種の公開鍵暗号が開発され、現代のインターネットの基盤になっています。たとえばインターネットのWebサーバへのアクセス（閲覧やフォーム入力など）で使われる SSL/TSL という暗号化通信（https:// のサイトで使われる）は、まさに公開鍵方式を使っています。

今回はその公開鍵暗号を "発明した" ディフィーとヘルマンに敬意を表して、彼らが発表した内容と、その数学的背景を書いてみたいと思います。タイトルは「公開鍵暗号の数理」としましたが、あくまで公開鍵暗号の原点となったアイデアの解説です。

ACM（Association of Computing Machinary）のサイトには、歴代のチューリング賞の受賞者の紹介ページがある。2015年の受賞者はディフィーとヘルマンで、受賞理由として「公開鍵暗号の発明」と書かれている。

（https://awards.acm.org/ より）

ディフィーとヘルマンが提出したアイデアは「公開鍵を使って秘密鍵を安全に共有する」ものでした。これは「ディフィー・ヘルマンの鍵共有」と呼ばれていて、現在でも使われています。そこでまず「秘密鍵の共有」の意義を振り返ってみたいと思います。

---

秘密鍵の共有

---

古今東西、様々な暗号化方式が開発・使用されてきましたが「秘密鍵の共有による暗号」（＝共通鍵暗号）が基本です。その中でも「一回限りの乱数表」は安全（＝解読されない）と証明されている暗号です。この場合、乱数表が秘密鍵に相当します。

英大文字・小文字、数字、英文に使われる特殊文字を、$0\text{ ～ }127$ の数字でコード化するとします。いま、$n$ 文字以下の平文ひらぶんをコード化して暗号文にしたいとき、「一回限りの乱数表」として必要なのは、$0\text{ ～ }127$ の値をとる乱数が $n$ 個並んだ表です。さらに、

コード化した平文	：　$a_i$
乱数表（秘密鍵）	：　$r_i$
暗号文	：　$b_i$

$$\begin{gathered} 1\le i\le n \\ 0\le a_i\text{, }{r}_i\text{, }{b}_i\le 127 \end{gathered}$$

とするとき、「乱数 $r_i$ の値に依存して、$a_i$ を $b_i$ に１対１に変換する関数 $f$」を決めておきます。そうすると、

$b_i=f\left(a_i,r_i\right)$

の変換で暗号文 $b_i$ が得られます。この関数 $f$ は $128\times 128$ の コード変換テーブルでもいいし、$\left(a_i+r_i\right)mod128$ のような四則演算でもよい。とにかく $r_i$ が違えば別の１対１変換になる関数が条件で、そうすれば逆変換で複号化が可能です。この関数を秘密にする必要はなく、オープンにしてもかまいません。この暗号が安全な理由は、

①	秘密鍵（＝乱数表）の長さが平文と同じ
②	秘密鍵は１回限り（＝使い終わったら捨てる）

の２点によります。もちろん乱数が "真の乱数" であることも重要です。しかし、上の２点を守るためには秘密鍵（乱数表）の長さが膨大になります。使い終わった乱数表のページを破って捨てなければならないからです。そこで実用的には、暗号文のやりとりを始める前に秘密鍵を共有しておき、暗号化はその「秘密鍵にもとづいた何らかの暗号化方式」で行うことになります。こうすると平文の長さが秘密鍵より長くなるので、絶対に安全とは言えなくなります。そこで、解読しにくい（＝強度の高い）暗号化方式の必要性があり、これをめぐって様々な方式が作られてきました。

しかし問題は、最初の「秘密鍵の共有」をどうやってやるかです。結局、秘密鍵を印刷し、アタッシュケースに入れて相手に持参するというような、スパイ映画にでも出てきそうな方法しか本質的には無いわけです。どういうやり方をとるにせよ「秘密鍵の共有」には多大なコストがかかる。

No.310-311「高校数学で理解するRSA暗号の数理」で書いた公開鍵暗号の価値はそういうところにあります。つまり、RSA暗号における暗号化・複号化は巨大な数の "冪剰余" を求める計算になり、これはこれで計算機負荷が高い。そこで、まずRSA暗号を使って秘密鍵を共有しておき、以降はその秘密鍵を使う高速な（＝ 計算機負荷の低い）暗号化・複号化方式で通信をするやり方が多くとられます。これは他の公開鍵暗号でも同じです。

その、"公開鍵を使って秘密鍵を共有する" ことを最初に提唱したのが「ディフィー・ヘルマンの鍵共有」でした。そしてこれが、そもそもの「公開鍵の発明」になりました。この鍵共有は、

盗聴されている通信路を使って情報をやりとりすることで、秘密鍵の共有を安全に実現する

ためのアルゴリズムです。どうしてそんなことができるのかが、以降です。

---

９. ディフィー・ヘルマンの鍵共有

---

ディフィー・ヘルマンの鍵共有は次のように進みます。まず「公開鍵センター」が "皆が使う公開鍵"として、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は小さな整数

のペアを公開しておきます。次に、$A$ さんと $B$ さんが秘密鍵を共有したい場合、

$A$ は、$1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a\left(modp\right)$ を $A$ の公開鍵として（盗聴されている通信路を介して） $B$ に送付

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。次に同様に、

$B$ は、$1<b<\left($ p$-1\right)$ である乱数 $b$ を発生させ、$g^b\left(modp\right)$ を $B$ の公開鍵として（盗聴されている通信路を介して） $A$ に送付

します。もちろん $b$ は秘匿します。そして、

$A$ は $G_a={\left(g^b\right)}^a\left(modp\right)$ を共有の秘密鍵

$B$ は $G_b={\left(g^a\right)}^b\left(modp\right)$ を共有の秘密鍵

とします。この作り方から $G_a=G_b$ となるので、秘密鍵 $G=g^{ab}\left(modp\right)$ が共有できたことになり、以降はこれを使って暗号化通信を行います。大切なことは $A$ は $B$ の秘密鍵（$b$）を知らないし、$B$ は $A$ の秘密鍵（$a$）を知らないことです。それでも秘密鍵 $G$（$=G_a=G_b$）を共有できるわけです。

ちなみに、以上のプロセスに出てくる $g^a\left(modp\right)$ などの "冪剰余" の計算ですが、たとえ $a$ や $p$ が巨大数であっても効率的に計算できることを、No.311「高校数学で理解するRSA暗号の数理（２）」の「累乗の剰余を求めるアルゴリズム」で書きました。

以上の仕組みにおいて通信路が盗聴されたとしても安全なのは、$A$ の公開鍵 $g^a$ から $a$ を求めるのが困難なことと、同様に $g^b$ から $b$ を求めるのが困難なことです。なぜ困難かとい言うと、一つは $p$ が巨大な素数だからであり（10進数で数百桁か 1000桁以上）、また $g$ が「生成元」（原始根ともいう）だからです。

以降でその「生成元」とは何か、盗聴者が公開鍵から $A$ と $B$ の秘密鍵（$a$ と $b$）をなぜ計算できないのかという、ディフィー・ヘルマンの鍵共有の数学的背景を概観します。以下の説明では「高校数学程度の知識だけ」を前提としますが（＝ タイトルの "高校数学で理解する" の意味）、No.310-311「高校数学で理解するRSA暗号の数理」での各種説明は既知とします。特に、

合同
拡張ユークリッドの互除法
フェルマの小定理
冪剰余の計算アルゴリズム
オイラー関数

の知識を前提とします。

---

10. 有限体（${\mathbb{F}}_p$）と乗法群（${\mathbb{F}}_p^{\ast }$）

---

一般に加減乗除が定義された集合を "体（Field）" と言います。有理数、実数、複素数は "体" です。さらに No.310「高校数学で理解するRSA暗号の数理（１）」の終わりの方に書いたように、$p$ を素数とし、$p$ 未満の自然数と $0$ を合わせた集合も "体" となり、${\mathbb{F}}_p$ で表します。この集合は元の数が有限なので、有限体です。

${\mathbb{F}}_p$ における演算は、加算・減算・乗算については普通の整数のように行い、その答に対して$\left(modp\right)$ の演算を行って、「答と合同である ${\mathbb{F}}_p$ の元」を求めて演算結果にします（${\mathbb{F}}_p$ は、ここでは $\mathbb{Z}/p\mathbb{Z}$ で表される "整数の剰余類の集合" と同じ意味）。

除算は逆数（＝逆元）を乗算する演算で行います。${\mathbb{F}}_p$ においては 2.3b により、$0$ 以外の元に対して逆元（逆数）が存在します。2.3b を再掲すると次の通りです。

2.3b	逆数の存在：法が素数
$p$ を素数とする。$p$ 未満の自然数 $a$ に対して、 $a·b\equiv 1\left(modp\right)$ を満たす逆数 $b$ が $1\le b<p$ の範囲で一意に定まる。また、異なる $a$ に対する逆数 $b$ は異なる。

No.310 でやったように、${\mathbb{F}}_{13}$ の場合で "逆数" がどうなっているかを（＝ かけ算で $1$ になる場合を）計算してみると、

$\begin{array}{rr}1·& 1\equiv 1\left(mod13\right)\\ 2·& 7\equiv 1\left(mod13\right)\\ 3·& 9\equiv 1\left(mod13\right)\\ 4·& 10\equiv 1\left(mod13\right)\\ 5·& 8\equiv 1\left(mod13\right)\\ 6·& 11\equiv 1\left(mod13\right)\\ 7·& 2\equiv 1\left(mod13\right)\\ 8·& 5\equiv 1\left(mod13\right)\\ 9·& 3\equiv 1\left(mod13\right)\\ 10·& 4\equiv 1\left(mod13\right)\\ 11·& 6\equiv 1\left(mod13\right)\\ 12·& 12\equiv 1\left(mod13\right)\end{array}$

となります。以上のことから、${\mathbb{F}}_p$ においては加減乗除が定義できて有限体となるわけです。

ここで ${\mathbb{F}}_p$ から $0$ 元 を除いた「$p$ 未満の自然数の集合」を考えると、この集合では乗算と除算が定義できます。従って、この集合は「乗法群」になり、${\mathbb{F}}_p^{\ast }$ と表記します。ちなみに "群（group）" とは、何らかの二項演算 $\times$ があって、

（結合則）	$\left(a\times b\right)\times c=a\times \left(b\times c\right)$
（単位元）	$a\times 1=1\times a=a$ となる元 $1$ が存在
（逆元）	$a\times b=b\times a=1$ となる $b$ が、任意の $a$ について存在

の３つの条件を満たす、"演算が定義された集合" です。以降の記述は、すべて乗法群 ${\mathbb{F}}_p^{\ast }$ での演算とします。従って $\equiv$ は $=$ と書き、$\left(modp\right)$ は記述しません。

---

11. 位数（order）

---

${\mathbb{F}}_p^{\ast }$ における冪べき乗がどうなっているか、その例として ${\mathbb{F}}_{13}^{\ast }$ で計算してみます。まず、フェルマの小定理（3.1）により、${\mathbb{F}}_{13}^{\ast }$ の元 $a$ について、

$a^{12}=1$

が成り立ちます。つまり、すべての元は $12$ 乗すると $1$ になる。では、冪乗が $1$ になるためには必ず $12$ 乗しなければならないのでしょうか。ためしに $5$ の冪乗を（${\mathbb{F}}_{13}^{\ast }$ で）計算してみると、

$\begin{array}{ll}{5}^1& =5\\ 5^2& =12\\ 5^3& =8\\ 5^4& =1\\ 5^5& =5\\ 5^6& =12\\ 5^7& =8\\ 5^8& =1\\ 5^9& =5\\ 5^{10}& =12\\ 5^{11}& =8\\ 5^{12}& =1\end{array}$

となって、$5^4$ で $1$ になり、あとはそれが繰り返えされて、$5^{12}$ に至ってフェルマの小定理が示す $1$ になることがわかります。一方、$2$ の冪乗は、

$\begin{array}{ll}{2}^1& =2\\ 2^2& =4\\ 2^3& =8\\ 2^4& =3\\ 2^5& =6\\ 2^6& =12\\ 2^7& =11\\ 2^8& =9\\ 2^9& =5\\ 2^{10}& =10\\ 2^{11}& =7\\ 2^{12}& =1\end{array}$

となり、フェルマの小定理が示す $a^{12}=1$ より小さな冪乗では $1$ になりません。この "冪乗に関する元の振る舞いの違い" が以降のテーマです。

位数の定義

"冪乗に関する元の振る舞いの違い" を表すために、${\mathbb{F}}_p^{\ast }$ の各元に対して「位数（order）」を定義します。

11.1	位数の定義
${\mathbb{F}}_p^{\ast }$ の元 $a$ について、 $a^k=1$ となる最小の $k$ を $a$ の "位数（order）" と言う。

フェルマの小定理により $a^{p-1}=1$ であることが保証されているので、すべての元について何らかの位数が定義できます。先ほどの ${\mathbb{F}}_{13}^{\ast }$ の例だと、

$5$ の位数は $4$
$2$ の位数は $12$

です。位数になりうる数は、最小 $1$（$a=1$ の場合）、最大 $\left(p-1\right)$ の間で、次のようになります。

11.2	位数がとりうる値
$d$ が ${\mathbb{F}}_p^{\ast }$ のある元の位数とすると、$d$ は $\left(p-1\right)$ の約数である。

なぜなら、元 $a$ の位数が $d$ であるとき、$a$ の冪乗を順々に作っていくと $d$ 乗ごとに $1$ になります。一方、フェルマの小定理によって $a$ の $\left(p-1\right)$ 乗は必ず $1$ になるので、$d$ が $\left(p-1\right)$ の約数でないと矛盾が生じます。つまり、位数のバリエーションは $\left(p-1\right)$ の約数の個数しかありません。

このことは直感的理解が可能ですが、次の命題はステップを踏んだ証明が必要です。

位数が $d$ の元の個数

11.3
$\left(p-1\right)$ の約数の一つ $d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元があったとすると、位数 $d$ の元は $\phi \left(d\right)$ 個ある。$\phi \left(d\right)$ はオイラー関数。

これは、$\left(p-1\right)$ の約数 $d$ について、$d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元が $\phi \left(d\right)$ 個あることを主張するものではありません。そうではなく、もし位数 $d$ の元があったとしたら、そのような元は $\phi \left(d\right)$ 個あると言っています。11.3 を証明するために、位数 $d$ の元 $a$ があったとして、その $a$ の冪乗からなる次の数列を作ってみます。

$a^1\text{, }{a}^2\text{, }{a}^3\dots a^d\left(=1\right)$

以降、これを、

$a^k\left(1\le k\le d\right)$

と表記し、この $d$ 個の数列の性質を調べます。

11.3a
$a^k\left(1\le k\le d\right)$ の $d$ 個の元はすべて異なる。

$1\le i\text{, }j\le d$ として、もし

$a^j=a^i$

となったとします。両辺を $a^i$ で割ると（＝ $a^i$ の逆元を乗算すると）、

$a^{j-i}=1$

となりますが、$\left(j-i\right)<d$ なので、これは「$a$ 冪乗が $1$ になる最小の冪数が $d$」という位数の定義に反します。従って $a^k\left(1\le k\le d\right)$ はすべて異なっています。

11.3b
$a^k\left(1\le k\le d\right)$ の $d$ 個の元は、すべて $d$ 乗 すると $1$ になる。

これは ${\left(a^k\right)}^d={\left(a^d\right)}^k=1$ ということです。

11.3c
$d$ 乗 すると $1$ になる ${\mathbb{F}}_p^{\ast }$ の元は、$a^k\left(1\le k\le d\right)$ がそのすべてである。

$d$ 乗 すると $1$ になる元は $x^d=1$ という ${\mathbb{F}}_p^{\ast }$ における式を満たします。これはすなわち、有限体 ${\mathbb{F}}_p$ における $d$ 次方程式 $x^d-1=0$ の解です。そして $d$ 次方程式の解は 高々 $d$ 個です。

これは、たとえば $4$ 次方程式 $x^4-1=0$ の解の個数は、実数の範囲で（＝ 実数体での方程式として）$2$ 個（$\pm 1$）であり、複素数の範囲で（＝複素数体での方程式として）$4$ 個（$\pm 1\text{, }\pm i$）であることを言っています。これは加減乗除が定義された "体" であれば言えます。

$a^k\left(1\le k\le d\right)$ は、

・	$d$ 個の、すべてが相異なる元であり（11.3a）
・	$d$ 乗すれば $1$（11.3b）

でした。このような元は ${\mathbb{F}}_p^{\ast }$ の中に高々 $d$ 個しかありません。従って、$d$ 乗 すると $1$ になる ${\mathbb{F}}_p^{\ast }$ の元は $a^k\left(1\le k\le d\right)$ の $d$ 個がそのすべてということになります。

11.3d
${\mathbb{F}}_p^{\ast }$ において位数 $d$ の元 $a$ があったとしたら、それは $a^k\left(1\le k\le d\right)$ の中に含まれている。

位数 $d$ の元は $d$ 乗すると $1$ になります。一方、11.3c より $d$ 乗すると $1$ になる元は $a^k\left(1\le k\le d\right)$ がそのすべてです。つまり位数 $d$ の元があったとしたら、それは $a^k\left(1\le k\le d\right)$ に含まれることになります。

これはもちろん、$a^k\left(1\le k\le d\right)$ のすべての元の位数が $d$ ということではありません。各元の位数は $d$ かもしれないが、そうでない（＝ 位数が $d$ より小さい）かもしれない。ここで、$a^k\left(1\le k\le d\right)$ の各元の位数は次のように分類できます。

11.3e
$gcd\left(j,d\right)\ne 1$ である $$ j$\left(1\le j\le d\right)$ をとると、$a^j$ の位数は $d$ より小さい。

$gcd\left(j,d\right)=c>1$ とします。すると、２つの数 $s$ と $t$ を選んで、

$$\begin{gathered} j=cs\left(s<j\right) \\ d=ct\left(t<d\right) \end{gathered}$$

と書き表せます。ここで、$a^j$ の $t$ 乗をとると、

${\left(a^j\right)}^t=a^{cst}={\left(a^d\right)}^s=1$

となり、$a^j$ の位数は $t$ 以下であることが分かりますが、$t<d$ だったので、$a^j$ の位数は $d$ より小さいことになります。

11.3f
$gcd\left(j,d\right)=1$ である $$ j$\left(1\le j<d\right)$ をとると、$a^j$ の位数は $d$ である。

${\left(a^j\right)}^k\left(1\le k\le d\right)$ がどうなるかを調べます。まず、$k=d$ のときは、11.3b により ${\left(a^j\right)}^k=1$ です。

次に $1\le k<d$ の場合ですが、このとき $jk$ は $d$ の倍数とはなりません。なぜなら、もし $d$ の倍数だとすると $d|\left(jk\right)$ ですが、$j$ と $d$ は互いに素なため、1.3a により $d|k$ となって矛盾が生じるからです。従って、ある数 $s$ と $t$ を選んで。

$jk=td+s\left(0<s<d\right)$

と表すことができます。そうすると、

$$\begin{gathered} {\left(a^j\right)}^k=a^{td+s} \\ \phantom{{\left(a^j\right)}^k}={\left(a^d\right)}^t·a^s \\ \phantom{{\left(a^j\right)}^k}=a^s\ne 1 \end{gathered}$$

となります。$s<d$ なので位数の定義により $a^s$ は $1$ にはならないのです。まとめると、

$$\begin{gathered} {\left(a^j\right)}^k\ne 1\left(1\le k<d\right) \\ {\left(a^j\right)}^k=1\left(k=d\right) \end{gathered}$$

となり、定義により $a^j$ の位数は $d$ です。結局、11.3e と 11.3f により、次のことが分かります。

11.3g
$a^k\left(1\le k\le d\right)$ の中には 位数 $d$ の元が $\phi \left(d\right)$ 個ある。

11.3e と 11.3f により、$gcd\left(j,d\right)=1$ である $$ j$\left(1\le j<d\right)$ の場合だけ（＝ $j$ が $d$ と素なときだけ）$a^j$ の位数は $d$ であり、それ以外の $a^j$ の位数は $d$ より小さいことが分かりました。オイラー関数の定義から、$d$ 以下で $d$ と素な数は $\phi \left(d\right)$ 個です。つまり 11.3g が成り立ちます。

---

以上の 11.3d と 11.3g、つまり、

11.3d

${\mathbb{F}}_p^{\ast }$ において位数 $d$ の元 $a$ があったとしたら、それは $a^k\left(1\le k\le d\right)$ の中に含まれる。

11.3g

$a^k\left(1\le k\le d\right)$ の中には 位数 $d$ の元が $\phi \left(d\right)$ 個ある。

の２つから、

11.3

$\left(p-1\right)$ の約数の一つ $d$ の位数をもつ ${\mathbb{F}}_p^{\ast }$ の元があったとすると、位数 $d$ の元は $\phi \left(d\right)$ 個ある。

が証明できました。

---

ここまでの考察を次のようにまとめることができます。

・	${\mathbb{F}}_p^{\ast }$ の各元の位数は $\left(p-1\right)$ の約数である（11.2）
・	位数 $d$ の元の個数は $\phi \left(d\right)$ か $0$ である（11.3）。

ここで 位数 $d$ の元の個数を $\#ord\left(d\right)$ と書くことにします。$\#ord\left(d\right)=\phi \left(d\right)$、もしくは $\#ord\left(d\right)=0$ です。$d$ は $\left(p-1\right)$ の約数 のどれかでした。この記号を使うと次の通りとなります。

11.4
${\displaystyle \sum _{d|\left(p-1\right)}}\#ord\left(d\right)=p-1$ ・  $\#ord\left(d\right)$ は位数 $d$ の元の個数で、$\phi \left(d\right)$ か $0$ のとちらか。 ・  $d|\left(p-1\right)$ は、$\left(p-1\right)$ を割り切る $d$（＝ $p-1$ の約数である $d$）の全部についての総和をとる意味。

${\mathbb{F}}_p^{\ast }$ の元のすべてに位数が定義できます。ということは ${\mathbb{F}}_p^{\ast }$ の元を位数によってグループに分類できます。従って、各グループの元の個数の総和をとると、${\mathbb{F}}_p^{\ast }$ の元の個数である $p-1$ になる。11.4 の総和の式はそのことを言っています。

---

そこで次に、$\left(p-1\right)$ の個々の約数 $d$ について $\#ord\left(d\right)$ が $\phi \left(d\right)$ か $0$ かが問題になりますが、それは次の「オイラー関数の総和定理」から分かります。

オイラー関数の総和定理

11.5	オイラー関数の総和
$N$ を任意の自然数とするとき、 ${\displaystyle \sum _{d|N}}\phi \left(d\right)=N$ が成り立つ。$d|N$ は $N$ の約数 $d$ すべてについての総和をとる。

この "総和定理" は、特に ${\mathbb{F}}_p^{\ast }$ や位数とは関係がなく、自然数一般についての定理です。この定理を証明する前提として、次の２つに注意します。まず、２つの自然数 $a$ と $b$ の最大公約数を $gcd\left(a,b\right)$ とすると、

${\displaystyle \frac{a}{gcd\left(a,b\right)}}$ と ${\displaystyle \frac{b}{gcd\left(a,b\right)}}$ は互いに素

です。これは最大公約数の定義そのものであり、そういう風に決めたのが最大公約数でした。２番目に、$N$ の約数の一つが $a$ だとすると $N=a·b$ と表せますが、当然、$b$ も $N$ の約数の一つです。いま、$N$ が $r$ 個の約数をもつとします。すると、

$a_i\left(1\le i\le r\right)$ が $N$ のすべての約数であれば、$b_i={\displaystyle \frac{N}{a_i}}\left(1\le i\le r\right)$ も $N$ のすべての約数であり、つまり $b_i$ は $a_i$ を並び替えたものである

と言えます。この２つを前提に、まず $N=12$ の場合で考えます。いま、$1$ から $12$ の $12$ 個の整数を「$12$との最大公約数で分類する」ことを考えます。$12$ の約数 $d$ は、$1$、$2$、$3$、$4$、$6$、$12$ の $6$ つです。従って $1$ から $12$ の数を、$S_1,S_2,S_3,S_4,S_6,S_{12}$ の $6$ つのグループに分類します。すると各グループに含まれる整数は、

$\begin{array}{ll}{S}_1& =[ 1,5,7,11 ]\\ S_2& =[ 2,10 ]\\ S_3& =[ 3,9 ]\\ S_4& =[ 4,8 ]\\ S_6& =[ 6 ]\\ S_{12}& =[ 12 ]\end{array}$

となります。いま、各グループに含まれる整数の個数を ${\mathrm{\#S}}_d$ で表して、各グループの個数がどうなるかを見ていきます。まず、

${\mathrm{\#S}}_1=\phi \left(12\right)$

です。$S_1$ に含まれるのは、$12$との最大公約数が $1$ の整数（＝ $12$ と素な整数）なので、オイラー関数の定義により ${\mathrm{\#S}}_1$ は $\phi \left(12\right)=4$ です。

次に、$S_2$ に含まれる整数 $[ 2,10 ]$を、$12$ との最大公約数の $2$ で割り算した $[ 1,5 ]$ を考えると、これらの整数は $12$ を $2$ で割り算した $6$ と互いに素です。これは上に書いたように最大公約数の定義そのものです。従って、

${\mathrm{\#S}}_2=\phi \left(6\right)$

となります。同様にして、残りのグループについては、

$\begin{array}{ll}{\mathrm{\#S}}_3& =\phi \left(4\right)\\ {\mathrm{\#S}}_4& =\phi \left(3\right)\\ {\mathrm{\#S}}_6& =\phi \left(2\right)\\ {\mathrm{\#S}}_{12}& =\phi \left(1\right)\end{array}$

となります。$S_d$ は $12$個 の整数を分類したものだったので、そこに含まれる整数の総数は $12$ です。これにより、

$$\begin{gathered} \phi \left(12\right)+\phi \left(6\right)+\phi \left(4\right)+ \\ \phi \left(3\right)+\phi \left(2\right)+\phi \left(1\right)=12 \end{gathered}$$

が証明できました。これを総和の記号で書くと、

${\displaystyle \sum _{d|12}}\phi \left(d\right)=12$

です。

---

以上の説明では $N=12$ としましたが、$12$ という数に特別な意味はありません。従って、一般の $N$ の場合にも同様に証明ができます。

$N$ が $r$ 個の約数をもつとし、それらを $a_i\left(1\le i\le r\right)$ とします。集合 $S$ の元を $1$ から $N$ の 整数 $N$ 個とし、これらの $S$ の元を「$N$ との最大公約数で $r$ 個の部分集合に分ける」ことを考えます。つまり、$S$ の部分集合 $S_i\left(1\le i\le r\right)$ を、

$S_i$：$N$ との最大公約数が $a_i$ である $S$ の元の集合

とします。このとき $S_i$ の任意の元を $k$ とすると、最大公約数の定義により、

${\displaystyle \frac{k}{a_i}}$ は ${\displaystyle \frac{N}{a_i}}$ と互いに素

になります。そもそも、そのような元 $k$ を集めたのが $S_i$ なのでした。このことから、

$S_i$ の元の個数は、${\displaystyle \frac{N}{a_i}}$ と素である $S$ の元の個数

ということになります。$S_i$ の元の個数を ${\mathrm{\#S}}_i$ と書くと、

${\mathrm{\#S}}_i=\phi \left({\displaystyle \frac{N}{a_i}}\right)$

になります。ここで $b_i$ を、

$b_i={\displaystyle \frac{N}{a_i}}\left(1\le i\le r\right)$

と定義すると、

${\mathrm{\#S}}_i=\phi \left(b_i\right)$

となりますが、上に書いたように、この $b_i$ は $r$ 個の $N$ の約数のすべてであり、つまり $a_i$ を並び替えたものです。

ここで上式の両辺の $1$ から $r$ までの総和をとります。まず左辺の総和ですが、$S_i$ は $S$ を分類したものだったので、${\mathrm{\#S}}_i$ の総和は $S$ の元の総数である $N$ と等しくなります。つまり左辺の総和は、

${\displaystyle \sum _{i=1}^r}{\mathrm{\#S}}_i=N$

です。一方、右辺の総和は、

$\begin{array}{ll}{\displaystyle \sum _{i=1}^r}\phi \left(b_i\right)& ={\displaystyle \sum _{i=1}^r}\phi \left(a_i\right)\\ & ={\displaystyle \sum _{d|N}}\phi \left(d\right)\end{array}$

です。以上の左辺と右辺の総和が等しいことにより、11.5 の

${\displaystyle \sum _{d|N}}\phi \left(d\right)=N$

が証明できました。

位数 $d$ の元の存在定理

11.5 の "オイラー関数の総和定理" と 11.4 を合わせると、次の命題が証明できます。

11.6
${\mathbb{F}}_p^{\ast }$ において、$\left(p-1\right)$ の約数 $d$ のすべてについて位数 $d$ をもつ元が存在し、その個数は $\phi \left(d\right)$ 個である。

11.4 を振り返ってみると、

${\displaystyle \sum _{d|\left(p-1\right)}}\#ord\left(d\right)=p-1$

・	$\#ord\left(d\right)$ は位数 $d$ の元の個数で、$\phi \left(d\right)$ か $0$

でした。しかし 11.5 のオイラー関数の総和定理で $N=p-1$ とおくと、

${\displaystyle \sum _{d|\left(p-1\right)}}\phi \left(d\right)=p-1$

となります。これが何を意味するかというと、

${\mathbb{F}}_p^{\ast }$ においては、$\left(p-1\right)$ の約数 $d$ のすべてについて、位数 $d$ をもつ元の個数が $0$ になることはない。位数 $d$ をもつ元の個数は $\phi \left(d\right)$ 個である

ということです。ある位数 $d$ をもつ元の個数が $0$ だとするとオイラーの総和定理（11.5）が成り立たなくなるからです。位数 $d$ をもつ元の個数は $\phi \left(d\right)$ 個しかあり得ない。つまり、$\#ord\left(d\right)=\phi \left(d\right)$ です。これで 11.6 の証明ができました。この 11.6 から生成元の存在が証明でき、その個数が分かります。

---

12. 生成元と離散対数

---

11.6 からすぐに、次の「生成元の存在定理」が成り立ちます。

12.1	生成元の存在
${\mathbb{F}}_p^{\ast }$ においては、位数が $\left(p-1\right)$ の元 $g$ が $\phi \left(p-1\right)$ 個存在する。 $g^k\left(1\le k\le p-1\right)$ はすべて相違し、総数が $\left(p-1\right)$ 個である ${\mathbb{F}}_p^{\ast }$ の元のすべてを尽くす。 $g$ を ${\mathbb{F}}_p^{\ast }$ の生成元（generator）と呼ぶ。

11.6 によると、$\left(p-1\right)$ の約数 $d$ のすべてについて位数 $d$ をもつ元が存在します。$\left(p-1\right)$ の約数の一つが $\left(p-1\right)$ なので、位数が $\left(p-1\right)$ の元が必ず存在します。これが生成元で、その個数は $\phi \left(p-1\right)$ です。

生成元は原始根（primitive root）とも言います。「11. 位数（order）」の最初に書いた例だと、${\mathbb{F}}_{13}^{\ast }$ において $2$ の位数は $12$ であり、生成元（の一つ）なのでした。計算してみると $6$、$7$、$11$ も生成元で、${\mathbb{F}}_{13}^{\ast }$ の生成元の個数は、合計 $\phi \left(12\right)=4$ です。

とにかく、${\mathbb{F}}_p^{\ast }$ の任意の元（＝ $1$ から $p-1$ の元）は生成元 $g$ の冪乗で表現でるきるわけです。つまり、次が成り立ちます。

12.2	離散対数
$g$ を ${\mathbb{F}}_p^{\ast }$ の生成元とする。${\mathbb{F}}_p^{\ast }$ の任意の元 $a$ について、 $g^b=a$ となる元 $b$ が一意に定まる。$b$ を $a$ の離散対数と呼び、 ${log}_g$ a$=b$ で表す。$g$ は離散対数の "底" である。

対数は普通、実数で定義されるものですが、${log}_g$ a$$ はそれと同等のことを整数で定義しています。実数は連続値ですが、整数は離散値をとります。そのため「離散対数」の呼び名があります。

実数の対数を計算する手法はいろいろありますが（初等的にはマクローリン級数など）、離散対数を計算する効率的手法は知られていません。特に、${\mathbb{F}}_p^{\ast }$ において $p$ が巨大な素数だと、実質的に計算が不可能になります。ここが、ディフィー・ヘルマンの鍵共有が成り立つ原理です。ディフィー・ヘルマンの鍵共有を、振り返ってみると次の通りです。まず、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は小さな生成元

のペアを「皆が使う公開鍵」として公開しておきます。演算は ${\mathbb{F}}_p^{\ast }$ で行います。$A$ さんと $B$ さんが秘密鍵を共有したい場合、

$A$ は $1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a$ を $A$ の公開鍵として（盗聴されている通信路を介して） $B$ に送付

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。次に同様に、

$B$ は $1<b<\left($ p$-1\right)$ である乱数 $b$ を発生させ、$g^b$ を $B$ の公開鍵として（盗聴されている通信路を介して） $A$ に送付

します。もちろん $b$ は秘匿します。そして、

$A$ は $G_a={\left(g^b\right)}^a$ を共有の秘密鍵

$B$ は $G_b={\left(g^a\right)}^b$ を共有の秘密鍵

とします。この作り方から $G_a=G_b$ となるので、秘密鍵 $G=g^{ab}$を共有できたことになり、以降はこれを使って暗号化通信を行います。$g$ が生成元であるため、$g^a$ や $g^b$ は、

$1<g^a\text{, }{g}^b<\left(p-1\right)$ の範囲に "バラける"

ことになります。「$g$ は小さな生成元」と書きましたが、生成元はたくさんあり（$\phi \left(p-1\right)$ 個もある！）、${\mathbb{F}}_{13}^{\ast }$ の場合のように $2$ が生成元となる場合が多い。その場合は $g=2$ として問題ありません（小さい生成元の方が実用的には冪剰余を計算しやすい。特に $2$）。生成元として $2$ を選んだとしても、巨大な数で冪乗をすると結果が "バラける" ことが数学的に保証されているからです。

離散対数を計算する効率的な手法は知られていないため、$p$ が 10進数で数百桁とか1000桁以上の数だと、$g^a$ や $g^b$ から $a$ や $b$ を知ることが実質的に不可能になります。これがディフィー・ヘルマンの鍵共有の原理です。

---

13. 生成元を使った暗号化通信

---

ディフィー・ヘルマンの鍵共有の原理を暗号化通信に使うこともできます（ElGamal 暗号）。まず、

$\left(p,g\right)$

・	$p$は巨大な素数
・	$g$は生成元

のペアを「皆が使う公開鍵」として公開しておきます。以下の演算はすべて ${\mathbb{F}}_p^{\ast }$ で行います。$B$ さんから $A$ さんにメッセージを暗号化して送りたい場合、次のようにします。平文を $\mathbb{P}$、暗号文を $\mathbb{C}$ とします。

$A$ は $1<a<\left($ p$-1\right)$ である乱数 $a$ を発生させ、$g^a$ を $A$ の公開鍵として $B$ に送付、ないしは公開

します。乱数 $a$ は $A$ の秘密鍵として秘匿します。$B$ がメッセージ $\mathbb{P}$ を暗号文にして $A$ に送る場合、

$B$ は（暗号文を送るたびに）$1<k<\left($ p$-1\right)$ である乱数 $k$ を発生させ、$\mathbb{C}=\left(g^k\text{, }\mathbb{P}·g^{ak}\right)$ を生成して $A$ に送付

します。$\mathbb{C}$ を受け取ると、

$A$ は $g^k$ と自分の秘密鍵 $a$ から $g^{ak}$ を計算できます。これを使ってメッセージ $\mathbb{P}$ を復号化

します。複号化は $g^{ak}$ の逆数（逆元）を乗算しますが、No.310 の「拡張ユークリッドの互除法」の 2.3a に書いたように、逆数の計算はたとえ $g^{ak}$ や $p$ が巨大数であっても効率的に可能です。

この暗号では暗号文を $\mathbb{P}·g^{ak}$ というようにシンプルに作っているので、$B$ はメッセージを送るたびに「１回限りの秘密鍵」である $k$ をランダムに発生させる必要があります。$B$ が自分の秘密鍵 $b$ と公開鍵 $g^b$ を持っていたとしても、それとは別にする必要がある。$k=b$ というように固定的にすると、複数の暗号文から盗聴者に容易に $g^{ab}$ を知られてしまいます。

これは「離散対数暗号」と呼ばれているものの一つの例ですが、ディフィー・ヘルマンの鍵共有と、暗号文の伝達を同時に行うものと言えます。

---

14. 生成元であることの証明

---

「ディフィー・ヘルマンの鍵共有」や「離散対数暗号」を実現するためには、巨大な素数 $p$ に対する ${\mathbb{F}}_p^{\ast }$ の生成元（のどれか）を知らなければなりません。これはどのように可能でしょうか。まず、

・	生成元は位数が $\left(p-1\right)$ の元であり 12.1
・	位数は $\left(p-1\right)$ の約数に限られる 11.2

ので、$\left(p-1\right)$ の素因数分解ができたとすると約数が分かり、位数の候補がリストアップできます。

一般に $d$ が 元 $a$（$\ne 1$。以降、$a\ne 1$ とします）の位数であることの証明は手間がかかります。$a$ の $d$ 乗が $1$ になったとしても $d$ が $a$ の位数だとは限りません。$d$ よりも小さな数 $e$ で $a^e=1$ となるかもしれないからです。しかし、$d$ が $a$ の位数ではないことは簡単に証明できます。

$a^d\ne 1$

を示せばよいからです。従って、$a$ が ${\mathbb{F}}_p^{\ast }$ の生成元であることを示すためには、$\left(p-1\right)$ の約数のうち $\left(p-1\right)$ 以外のすべての約数 $d$ について、$a^d\ne 1$ であることを示せればよい。すると消去法で、$a$ の位数は $\left(p-1\right)$ になります。この考えに基づき、簡単のために ${\mathbb{F}}_{73}^{\ast }$ で考えると、

$p-1=72=2^3·3^2$

なので $\left(p-1\right)$ の約数は $1$ と $72$ を含めて $4\times 3=12$ 個あります。従って $72$ と $1$ を除いた $10$ 個の約数 $d$ について

$a^d\ne 1$

であれば、$a$ の位数は $72$ しかありえず、$a$ は ${\mathbb{F}}_{73}^{\ast }$ の生成元です。しかし実は、これでは「計算のやりすぎ」になります。この場合、

$$\begin{gathered} a^{24}\ne 1 \\ {a}^{36}\ne 1 \end{gathered}$$

の２つだけが成り立てば、$a$ の位数は $72$ になります。なぜかというと、一般に次の命題が成立するからです。

14.1
${\mathbb{F}}_p^{\ast }$ において、$d$ が $a$ の位数ではないとすると、$d$ の任意の約数 $e$ も $a$ の位数ではない。

$e$ が $d$ の約数だとすると、ある数 $k$ があって $d=ke$ と表せます。このとき、

$a^e=1$ であるなら
$a^d=a^{ke}={\left(a^e\right)}^k=1$

です。このことの対偶をとると

$a^d\ne 1$ であるなら
$a^e\ne 1$

となり、これはつまり、

$d$ が $a$ の位数でないなら、$d$ の任意の約数 $e$ も $a$ の位数ではない

ことを意味します。$p-1=72$ の場合、$72$ を除く $72$（$=2^3·3^2$）の約数は、すべて $24$（$=2^3·3^1$） か $36$（$=2^2·3^2$）のどちらかの（あるいは両方の）約数になります。従って、

$$\begin{gathered} a^{24}\ne 1 \\ {a}^{36}\ne 1 \end{gathered}$$

が示せれば、$72$ を除く $72$ のすべての約数 $d$ について、

$a^d\ne 1$

となり、$d$ は $a$ の位数ではありません。この結果、$a$ の位数は $72$ しかあり得ず、$a$ は ${\mathbb{F}}_{73}^{\ast }$ の生成元であることになります。以上の考察を一般化すると、次の命題が成立します。

14.2
$p$ を素数とし、$\left(p-1\right)$ の素因数分解を、$q_i\left(1\le i\le r\right)$ を素因数として、 $p-1={q_1}^{{\alpha }_1}{q_2}^{{\alpha }_2}\dots {q_r}^{{\alpha }_r}$ と表す。ここで、 $m_i={\displaystyle \frac{p-1}{q_i}}$ とおくと、もし $1$ から $r$ までのすべての $i$ について、 $g^{m_i}\ne 1\left(1\le i\le r\right)$ が成り立つなら、$g$ は ${\mathbb{F}}_p^{\ast }$ の生成元である。

$\left(p-1\right)$ の約数で、$\left(p-1\right)$ 以外の任意の約数を $d$ とし、

$d={q_1}^{{\beta }_1}{q_2}^{{\beta }_2}\dots {q_r}^{{\beta }_r}$

と表します。ここで ${\beta }_i$ は、

$0\le {\beta }_i\le {\alpha }_i\left(1\le i\le r\right)$

です。そうすると、$d$ は $\left(p-1\right)$ 以外の $\left(p-1\right)$ の約数なので、

$d$ の素因数分解の中には、${\beta }_k<{\alpha }_k$ となる $k\left(1\le k\le r\right)$ が少なくとも１つある

ことになります。なぜなら、もしそのような $k$ がなければ $d=p-1$ だからです。そのような $k$ について、命題 14.2 で定義した、

$m_k={\displaystyle \frac{p-1}{q_k}}$

に着目すると、$d$ は $m_k$ の約数になります。なぜなら、$d$ と $m_k$ の「素因数ごとの冪乗数」を比較してみると、

${\beta }_i\le {\alpha }_i\left(1\le i\le r\text{, }i\ne k\right)$
${\beta }_k\le {\alpha }_k-1$ （仮定により ${\beta }_k<{\alpha }_k$ だから）

であり、$d$ のすべての素因数の冪乗数は $m_k$ の素因数の冪乗数以下です。つまり $m_k$ は $d$ で割り切れ、$d$ は $m_k$ の約数ということになります。

一方、命題 14.2 の仮定により、

$g^{m_k}\ne 1$

なので $m_k$ は $g$ の位数ではありません。従って、$m_k$ の約数である $d$ も 14.1 により $g$ の位数とはなりません。

$d$ は $\left(p-1\right)$ 以外の任意の $\left(p-1\right)$ の約数でした。ということは、$\left(p-1\right)$ 以外の $\left(p-1\right)$ の約数は $g$ の位数ではない。つまり消去法で、$g$ の位数は $\left(p-1\right)$ であり、$g$ は ${\mathbb{F}}_p^{\ast }$ の生成元であることが証明されました。

実際に生成元を求める

${\mathbb{F}}_p^{\ast }$ の元 $g$ をとったとき、それが生成元かどうかは 14.2 によって確かめることができます。しかしここで問題は、実用的なディフィー・ヘルマンの鍵共有では $p$ が巨大な素数であり、$\left(p-1\right)$ の素因数分解が実質的に不可能なことです。巨大数の素因数分解が困難なことは、まさにRSA暗号（No.310-311「高校数学で理解するRSA暗号の数理」）が成立する根拠でした。

そこで実際に生成元を求めるためには、$p$ を "作為的に" 決める必要があります。まず前提となるのは、ある数 $p$ が素数であるかどうかの判定法は種々あって（ミラー = ラビン素数判定法、など）、$p$ が巨大数であっても判定可能なことです。この前提のもとに、簡単な方法の例を一つあげますと、次の関係にあるような３つの数 $p$、$q$、$e$ を決めます。

$p=eq+1$

・	$p$、$q$ は巨大素数
・	$e$ は小さな偶数

$p$ と $q$ は10進数で数百桁から1000桁以上の巨大素数（＝ 奇数）、$e$ はたとえば$100$ 以下の（もっと絞れば $10$ 以下の）偶数です。具体的には、まず $q$ をランダムに選んで素数判定をし、素数であれば 次に $e$ を選んで $p$ が素数かどうかを判定するというプロセスになります。

こうすると $\left(p-1\right)$ の素因数分解は簡単にできるので、${\mathbb{F}}_p^{\ast }$ の任意の元 $g$ が生成元かどうかは 14.2 で判定できます。具体的には $g=2$ から始めて 順次 $g$ を増やしていって生成元を探索することになるでしょう。

以上は一つの例ですが、実際に実務で使う $p$ と $g$ については $g=2$ であると、コンピュータによる計算上、都合がよいわけです。従って、$2$ が生成元になる前提で $p$ を探索することになるでしょう。

ちなみに、現在、ディフィー・ヘルマンの鍵共有が実際に使われている例をあげておきます。インターネットを介してリモートのコンピュータ同士が安全に通信するための SSH（Secure Shell）という規格がありますが、そこで使われている公開鍵の一つ "diffie-hellman-group14-sha1"（2048ビットの素数と生成元）は次です。この値はインターネットの規格文書（RFC）に記載されています（RFC3526）。16進数表示ですが、10進数では約600桁の数字です。

diffie-hellman-group14-sha1 [2048bit]

p =
FFFFFFFF FFFFFFFF C90FDAA2 2168C234
C4C6628B 80DC1CD1 29024E08 8A67CC74
020BBEA6 3B139B22 514A0879 8E3404DD
EF9519B3 CD3A431B 302B0A6D F25F1437
4FE1356D 6D51C245 E485B576 625E7EC6
F44C42E9 A637ED6B 0BFF5CB6 F406B7ED
EE386BFB 5A899FA5 AE9F2411 7C4B1FE6
49286651 ECE45B3D C2007CB8 A163BF05
98DA4836 1C55D39A 69163FA8 FD24CF5F
83655D23 DCA3AD96 1C62F356 208552BB
9ED52907 7096966D 670C354E 4ABC9804
F1746C08 CA18217C 32905E46 2E36CE3B
E39E772C 180E8603 9B2783A2 EC07A28F
B5C55DF0 6F4C52C9 DE2BCBF6 95581718
3995497C EA956AE5 15D22618 98FA0510
15728E5A 8AACAA68 FFFFFFFF FFFFFFFF

g = 2

---

ディフィー・ヘルマンの鍵共有の安全性ですが、離散対数問題を効率的に解くアルゴリズムはないと、数学的に証明されているわけではありません。ただ、RSA暗号の根拠になっている素因数分解のアルゴリズムと同じように、こういった数論の極めて基本的で、昔からある普遍的な問題は、世界の多くの数学者が関わってきています。それでも効率的に解くアルゴリズムは知られていません。ブログのタイトルを「高校数学で理解する」とましたが、そのような基礎的な数学しか使っていないからこそ暗号が成り立っている。そう言えると思います。

---

ディフィー・ヘルマンの鍵共有は公開鍵暗号の発端となったものですが、上にあげたように現在でも使われています（DHと略記される）。ただ、公開鍵暗号の優秀性は、「解読の困難性」と「暗号化・複号化計算の容易性」という二律背反の要求をいかに両立させるかにあります。その意味で、ディフィー・ヘルマン以降、各種の公開鍵暗号が開発されてきました。離散対数問題を使った暗号で言うと、よく使われるのは "楕円暗号（楕円曲線暗号）" です。これは「楕円曲線上の有理点がつくる "加法群" での離散対数問題」を利用した暗号です。しかし基本的な考え方はディフィー・ヘルマンの鍵共有と同じです。その意味で、公開鍵暗号の発端となった発明の意義は、今も続いているのでした。

---

まとめ

---

以上の 「ディフィー・ヘルマンの鍵共有」をまとめると、次のようになるでしょう。

◆	公開鍵暗号の発端となった "ディフィー・ヘルマンの鍵共有" は、離散対数問題を解く困難さ（＝実質的に不可能）を根拠とする暗号である。
◆	"ディフィー・ヘルマンの鍵共有" は、有限体（乗法群）やその生成元の存在など、数論の基本のところをベースにできている。
◆	RSA暗号（No.310-311）から通して振り返ってみると、そこでの前提知識は加減乗除と冪乗のルール程度であり、そこから論理を積み重ねていって公開鍵暗号の成立性が証明できる。つまり高校数学程度の知識があれば十分理解できる。

No.310-311 のRSA暗号と同じく、この最後の点がこの記事の目的なのでした。

---

---

タグ：素数 オイラー関数 RSA暗号 公開鍵暗号 冪乗 ディフィー・ヘルマンの鍵共有 有限体 乗法群 位数 オイラー関数の総和 生成元 逆元 離散対数 楕円曲線暗号

No.311 - 高校数学で理解するRSA暗号の数理（２）

（前回より続く）

---

４. RSA暗号の証明

---

4.1	RSA暗号
RSA暗号の公開鍵・秘密鍵の作成方法と暗号化・複号化の計算式を定理として記述すると次の通りです。 $p$ と $q$ を相異なる素数とし、$n=pq$ とする。 $e$ を $m=\left(p-1\right)\left(q-1\right)$ と素な数、$d$ を、$de\equiv 1\left(modm\right)$ を満たす数とする。この前提で、 暗号化：${\mathbb{P}}^e\equiv \mathbb{C}\left(modn\right)$ ならば 複号化：${\mathbb{C}}^d\equiv \mathbb{P}\left(modn\right)$ である。 （ $\mathbb{P}$：平文。$\mathbb{C}$：暗号文 ）

RSA暗号において、暗号化・複号化に必要なのは公開鍵の $\left(e,n\right)$ と 秘密鍵の $d$ であり、それらを生成するのに使った $p$ と $q$ は不要です。というより、$p$ と $q$ ないしは $\left(p-1\right)\left(q-1\right)$ が漏れると暗号が破られてしまうので、これらの数は鍵を生成した後は破棄（情報を安全に抹消）する必要があります。

以下に、上の「複号化の式」が成り立つことを証明します。まず合同式の累乗 1.2 を使って「暗号化の式」の両辺を $d$ 乗すると、

${\mathbb{C}}^d\equiv {\mathbb{P}}^{de}\left(modpq\right)\text{ ⋯ (1)}$

となります。ここで、$de\equiv 1\left(mod\left(p-1\right)\left(q-1\right)\right)$ なので、$de=k\left(p-1\right)\left(q-1\right)+1$ と表現できます。従って、

${\mathbb{P}}^{de}={\mathbb{P}}^{k\left(p-1\right)\left(q-1\right)+1}$

となります。累乗を分解すると、

${\mathbb{P}}^{de}={\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k·\mathbb{P}\text{ ⋯ (2)}$

です。一方、フェルマの小定理 3.1 により、

${\mathbb{P}}^{p-1}\equiv 1\left(modp\right)$

となります。合同式の累乗の定理 1.2 により、この式の両辺を $q-1$ 乗すると、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modp\right)\text{ ⋯ (3)}$

が得られます。さらに、フェルマの小定理 3.1 により、

${\mathbb{P}}^{q-1}\equiv 1\left(modq\right)$

ですが、両辺を $p-1$ 乗して、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modq\right)\text{ ⋯ (4)}$

となります。ここで、$p$ と $q$ は互いに素なので、1.5 の合同式の定理を $\text{(3), (4)}$に適用すると、

${\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\equiv 1\left(modpq\right)$

を導くことができます。この式の両辺を 1.2 を使って $k$ 乗すると、

${\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k\equiv 1\left(modpq\right)$

であり、さらに両辺に合同式の乗算 1.1c を使って $\mathbb{P}$ をかけると、

$$\begin{gathered} {\left({\mathbb{P}}^{\left(p-1\right)\left(q-1\right)}\right)}^k·\mathbb{P}\equiv \mathbb{P}\left(modpq\right) \\ \text{ ⋯ (5)} \end{gathered}$$

となります。従って、$\text{(1), (2), (5)}$ を合わせると、

${\mathbb{C}}^d\equiv \mathbb{P}\left(modpq\right)$

となり、RSA暗号の複号化の式が証明できました。

最小公倍数

以上の証明の過程を改めて振り返ってみると、「$m$ が $\left(p-1\right)$ の倍数であり、かつ $\left(q-1\right)$ の倍数」であれば、RSA暗号は成立することが分かります。つまり「$m$ が $\left(p-1\right)$ と $\left(q-1\right)$ の公倍数」であれば成立する。そのような $m$ は、

$$\begin{gathered} m=n_p\left(p-1\right) \\ m=n_q\left(q-1\right) \end{gathered}$$

の２通りに表現できます。すると、$de\equiv 1\left(modm\right)$ なので、

$$\begin{gathered} de=k_p\left(p-1\right)+1 \\ de=k_q\left(q-1\right)+1 \end{gathered}$$

と２通りに表せます。ここから、

$$\begin{gathered} {\mathbb{P}}^{de}={\mathbb{P}}^{k_p\left(p-1\right)+1} \\ \phantom{{\mathbb{P}}^{de}}=\mathbb{P}·{\left({\mathbb{P}}^{p-1}\right)}^{k_p} \\ \phantom{{\mathbb{P}}^{de}}\equiv \mathbb{P}\left(modp\right) \\ {\mathbb{P}}^{de}={\mathbb{P}}^{k_q\left(q-1\right)+1} \\ \phantom{{\mathbb{P}}^{de}}=\mathbb{P}·{\left({\mathbb{P}}^{q-1}\right)}^{k_q} \\ \phantom{{\mathbb{P}}^{de}}\equiv \mathbb{P}\left(modq\right) \\ {\mathbb{P}}^{de}\equiv \mathbb{P}\left(modpq\right) \\ {\mathbb{C}}^{d\phantom{e}}\equiv \mathbb{P}\left(modpq\right) \end{gathered}$$

となって、平文が復元できます。この考察から分かるのは、$m$ の最小値は「$\left(p-1\right)$ と $\left(q-1\right)$ の最小公倍数」ということです。最小公倍数を $LCM$ で表すと、

$m=LCM\left(p-1,q-1\right)$

であればRSA暗号は成立します。そして一般に、

$LCM\left(a,b\right)={\displaystyle \frac{a\times b}{gcd\left(a,b\right)}}$

です。最大公約数・$\gcd$ は「２. ユークリッドの互除法」を使って高速に計算できるので $p$ や $q$ が巨大数であっても最小公倍数・$LCM$ は計算可能です。

累乗の剰余を求めるアルゴリズム

RSA暗号では、暗号化と複号化で "累乗（冪乗）の剰余"（冪剰余と呼ぶ）を求める計算が出てきます。この計算で使う公開鍵 $\left(e,n\right)$ も秘密鍵 $d$ も、また平文や暗号文も、実用的には10進数で300桁とか、そういった巨大な数です。

しかし巨大な数であっても、累乗の剰余計算ができるアルゴリズムがあります。その一つとして、ここでは「２分割法」で説明します。前回の「RSA暗号の例題」であげた、

$\mathbb{C}={82}^{133}mod\mathrm{143}=4$

の例で説明します。考え方としては「２.ユークリッドの互除法」と同じで、問題をより "小さな問題" に置き換えるというものです。つまり、133乗を求める代わりに

$C_1={82}^{66}mod143$

が求まったとしたら、$\mathbb{C}$ は、

$\mathbb{C}=\left(C_1·C_1·82\right)mod143$

で計算できます。さらに、その $C_1$ は、

$C_2={82}^{33}mod143$

が求まったとしたら、

$C_1=\left(C_2·C_2\right)mod143$

で計算できます。この２分割を次々と続けていくと、82の16乗、8乗、4乗、2乗、1乗を 143 で割った剰余が求まれば良いことになります。これを逆にたどって電卓で順次計算してみると、

$\begin{array}{lr}& \mathrm{mod}143\\ {82}^1& 82\\ {82}^2& 3\\ {82}^4& 9\\ {82}^8& 81\\ {82}^{16}& 126\\ {82}^{33}& 103\\ {82}^{66}& 27\\ {82}^{133}& 4\end{array}$

となり、答の 4 が求まりました。これをプログラム言語で記述すると次の通りです。

4.2	２分割法による冪剰余計算
$P^{e}mod\mathrm{n}$ を求める関数 RSA（Javascriptで記述）。 function RSA( P, e, n ) { 　if( e == 1 ) return P % n; //① 　else { 　 var h=RSA(P, Math.floor(e/2), n); //② 　 var c=( h * h ) % n; //③ 　 if( e % 2 == 0 ) return c; //④ 　 else return ( c * P ) % n; //⑤ 　} }

次はこのアルゴリズムの補足説明です。

①	e が 1 なら P % n が答なので、それを関数値として返す。% は Javascript の剰余演算子で、P mod n と同じ意味。
②	e が 1 でないときは、e を半分（約半分）にして答を求める。Math.floor() は小数点以下を切り捨てる Javascript の組み込み関数。Javascript では実数と整数の区別がないので必要。
③	その "半分の答" を２乗し、剰余を求めて仮の答 c とする。
④	e が偶数なら c が正しい答。それを関数値として返す。
⑤	e が奇数なら c にさらに P を掛け、剰余を求めて関数値として返す。

$e$, $n$, $d$ が10進数で300桁程度の巨大数とします。${$ 2$}^{1000}$ は約300桁の数なので、"２分割法" を使うと1000回程度の剰余計算を繰り返すこと答が求まります。この程度の計算は現在のコンピュータで可能です。ただし可能といっても 1000回の繰り返しはさすがに大変なので、実用的にはこれを高速化する手法がいろいろと開発されています。

「２. ユークリッドの互除法」で、公開鍵 $\left(e,n\right)$ の $e$ と秘密鍵 $d$ について、たとえ巨大数であっても高速に算出できることを書きました。それに加えて、暗号化・複号化で使われる「巨大数の累乗の剰余計算」も算出可能であり、RSA暗号の全体が "計算可能" であることが証明できました。

---

今までのまとめ

---

実用的な RSA暗号を構成するときに必要なのは、巨大な素数 $p$, $q$ （10進数で150桁程度かそれ以上）です。こういった素数をどうやって作り出すか、また素数であることの判定をどうやってするかの計算手法については割愛します。

今までのRSA暗号についての説明全体をまとめると、以下の２点になるでしょう。

◆	RSA暗号は数論（整数論）の基礎から構成されている（合同、ユークリッドの互除法、フェルマの小定理、･････）。
◆	RSA暗号における公開鍵・秘密鍵の生成式、暗号化・復号化の式は、実用的に計算可能である。

RSA暗号は現代の情報化社会にとって必須のものであり、社会インフラの重要な構成要素です。それは、数学が実用的に、かつ直接的に社会に役立っている例なのでした。

RSA暗号とオイラー関数・オイラーの定理

RSA暗号の成立性の証明はこれまでで尽きていますが、以降はRSA暗号と関係が深い「オイラー関数」を説明し、次に「オイラーの定理」を導いて、そこからRSA暗号の原理を導出します。まずその前提としての「中国剰余定理」です。

---

５. 中国剰余定理

---

5～6世紀頃の中国で成立した算術書『孫子算経』に、

3で割ると2余り
5で割ると3余り
7で割ると2余る数は何か

という問題が書かれています。答は23ですが、これを一般化した定理を「中国剰余定理」と呼んでいます。

5.1	中国剰余定理
与えられた $k$ 個の整数、$m_1\text{,}{m}_2\text{,}\dots \text{,}{m}_k$ は、どの２つをとっても互いに素とする。このとき任意に与えられた $k$ 個の整数、$a_1\text{,}{a}_2\text{,}\dots \text{,}{a}_k$ についての $k$ 個の式、 $$\begin{gathered} x\equiv a_1\left(mod{m}_1\right) \\ x\equiv a_2\left(mod{m}_2\right) \\ \text{ ⋮} \\ x\equiv a_k\left(mod{m}_k\right) \end{gathered}$$ を同時に満たす解 $x$ が存在し、この解は $M=m_1{m}_2\dots m_k$を法として唯一である。

$x_1$ と $x_2$ の２つの解があったとします。すると、$mod{m}_1$ の式から、

$$\begin{gathered} x_1\equiv a_1\left(mod{m}_1\right) \\ {x}_2\equiv a_1\left(mod{m}_1\right) \end{gathered}$$

となり、1.1b により、

$x_1-x_2\equiv 0\left(mod{m}_1\right)$

となります。同様に、$mod{m}_2$ の式から、

$x_1-x_2\equiv 0\left(mod{m}_2\right)$

が言えます。$m_1$ と $m_2$ は互いに素なので、ここで 1.5 を適用すると、

$x_1-x_2\equiv 0\left(mod{m}_1{m}_2\right)$

となります。以上のことは $m_3$ から $m_k$ までの全ての式についても言えるので、1.5 を順次適用することにより、

$x_1-x_2\equiv 0\left(mod{m}_1{m}_2\dots m_k\right)$

となります。つまり、

$x_1\equiv x_2\left(modM\right)$

です。従って、解 $x$ が複数あったとしても、それらは全て $M$ を法として合同になります(＝ 解は $M$ を法として唯一）。

---

ここで

$M_i={\displaystyle \frac{M}{m_i}}$

とおくと、$gcd\left(m_i,M_i\right)=1$ なので、2.3 により、

$M_i·N_i\equiv 1\left(mod{m}_i\right)$

となる $N_i$ が存在します。これを使って、

$x={\displaystyle \sum _{i=1}^k}{a}_i{M}_i{N}_i$

とおくと、それが解になります。なぜなら $M_i$ の作り方から $i$ 番目の項以外の項は $m_i$ で割り切れるので、$i$ 番目の項単独で「$m_i$ を法として $x$ と合同」になります。つまり、

$x\equiv a_i{M}_i{N}_i\left(mod{m}_i\right)$

です。一方、合同の性質の 1.4 において $y=1$ とおくと 1.4 は、

$ax\equiv b\left(modm\right)$ かつ、
$\phantom{a}x\equiv 1\left(modm\right)$ のとき、
$a\phantom{x}\equiv b\left(modm\right)$

となります。1.4 の「$x$ が $m$ と互いに素」という条件は、$x\equiv 1\left(modm\right)$ で満たされています。このことを適用すると、

$$\begin{gathered} x\equiv a_i{M}_i{N}_i\left(mod{m}_i\right) \\ {M}_i·N_i\equiv 1\left(mod{m}_i\right) \end{gathered}$$

という２つの条件から、

$x\equiv a_i\left(mod{m}_i\right)$

となります。これが全ての $i$ について成り立つ。従って $x$ が解であることが証明できました。また前段で証明したように全ての解は $M$ を法として合同なので、$x$ が唯一の解です。

---

中国剰余定理の意味を直感的に理解するために、$k=2$、$m_1=3$、$m_2=4$、$M=12$ とし、$x$ の全て解についての対応表を作ってみると次の通りになります。

$\begin{array}{ccc}x& \mathrm{mod}3& \mathrm{mod}4\\ 0& 0& 0\\ 1& 1& 1\\ 2& 2& 2\\ 3& 0& 3\\ 4& 1& 0\\ 5& 2& 1\\ 6& 0& 2\\ 7& 1& 3\\ 8& 2& 0\\ 9& 0& 1\\ 10& 1& 2\\ 11& 2& 3\end{array}$

この表をみると、$012$ を繰り返し並べ（$mod3$ の列）、$0123$ を繰り返し並べると（$mod4$の列）、$3$ と $4$ が互いに素の関係にあるために、$\left(0\text{, }0\right)$ は $3\times 4=\mathrm{12}$ 回繰り返さないと現れないことが分かります。その間、$x$ は12未満の全ての数をとり、$\left(mod3\text{, }mod4\right)$ の全ての組み合わせが現れる。このため、$\left(mod3\text{, }mod4\right)$ の１つの組み合わせに対して解 $x$ が唯一になるわけです。この状況は $k$ がどんな数であっても、$m_k$ がどの２つをとっても互いに素である限り変わらない。

「互いに素」なゆえに成立するこのイメージは、次のオイラー関数の証明に役立ちます。

---

６. オイラー関数

---

レオンハルト・オイラー （Wikipediaより）

オイラー（1707-1783）はスイスのバーゼルに生まれた18世紀ヨーロッパの大数学者です。その業績は多岐に渡り、オイラー ･･･（何とか）という定理や公式、関数、数式、等式、図などがどっさりとあります。

以下の「オイラー関数」は、一般に関数名をギリシャ文字の $\phi$（ファイ）で表記するので「オイラーの $\phi$関数」とも呼ばれています。数論ではたびたび出てくる関数です。

余談ですが、オイラーは20歳台後半で右目を失明しました。ここに掲載した肖像画にもそれが現れています。

6.1	オイラー関数
オイラー関数 $\phi$ の定義は以下のとおり。 $\phi \left(m\right)$　：　$m$ 以下で、$m$ とは互いに素な自然数の個数 $p$、$q$ を相異なる素数とするとき、オイラー関数は次の性質をもつ。 （素数のオイラー関数値） 　　6.1a　$\phi \left(p\right)=p-1$ （素数の積のオイラー関数値） 　　6.1b　$\phi \left(pq\right)=\left(p-1\right)\left(q-1\right)$ （素数の累乗のオイラー関数値） 　　6.1c　$\phi \left(p^{\alpha }\right)=p^{\alpha }-p^{\alpha -1}$ なお「互いに素」は、すなわち「最大公約数が $1$」であり、$gcd\left(1,1\right)=1$なので、$\phi \left(1\right)=1$。

まず 6.1a ですが、素数 $p$ は $p$ 未満のすべての自然数と互いに素です。従って、$\phi \left(p\right)=p-1$ です。

次に $pq$ 以下の数で、$p$ で割り切れるのは $pq$ を含んで $q$ 個、$q$ で割り切れるのは $pq$ を含んで $p$ 個です。$pq$ 以下の数の全体は $pq$ 個なので、$pq$ 以下の数で $p$ でも $q$ でも割り切れない数の個数（＝ $pq$ と互いに素な数の個数）は、

$$\begin{gathered} \phi \left(pq\right)=pq-p-q+1 \\ \phantom{\phi \left(pq\right)}=\left(p-1\right)\left(q-1\right) \end{gathered}$$

です（6.1b）。上の式の１行目で、$-p$ と $-q$ には $pq$ の分が重複しているので $+1$ してあります。

さらに、$p^{\alpha }$ 以下の数で、$p$ の倍数は全て $p^{\alpha }$ と共通の約数 $p$ を持ちます。$p^{\alpha }$ 以下の $p$ の倍数の個数は $p^{\alpha }$ を含んで、

${\displaystyle \frac{p^{\alpha }}{p}}=p^{\alpha -1}$

なので、$\phi \left(p^{\alpha }\right)$は、

$\phi \left(p^{\alpha }\right)=p^{\alpha }-p^{\alpha -1}$

となります（6.1c）。このオイラー関数に関しては、次の「乗法性」が重要です。

6.2	オイラー関数の乗法性
$gcd\left(m,n\right)=1$（ $m$ と $n$ は互いに素 ）のとき $\phi \left(mn\right)=\phi \left(m\right)\phi \left(n\right)$

一般に、関数のこのような性質を "乗法性"、このような関数を "乗法的関数" と呼んでいます。証明は３段階で行います。キーワードは「中国剰余定理」と「１対１対応」です。

第１段

$0\le i<m$、$0\le j<n$ である数を選び $\left(i,j\right)$ のペアを作ります。$i$ の選択肢は $m$ 個、$j$ の選択肢は $n$ 個で、それぞれ独立して選ぶので、相異なる $\left(i,j\right)$ のペアの数は $mn$ 個です。

仮定により $m$ と $n$ は互いに素です。従って、それぞれの $\left(i,j\right)$ のペアについて中国剰余定理 5.1 により、

$$\begin{gathered} x\equiv i\left(modm\right) \\ x\equiv j\left(modn\right) \end{gathered}$$

を同時に満たす $x$ が、$mn$ を法として唯一存在します。つまり $0\le x<mn$ の範囲では $x$ が一意に決まります。これは $\left(i,j\right)$ のペアに $x$ を対応づけられることを意味します。

逆に、$0\le x<mn$ である $x$ を１つ選ぶと、それに対して $modm$ と $modn$ を求めて $\left(i,j\right)$ のペアと対応づけられる。つまり、

$mn$ 個の $\left(i,j\right)$ のペアと $mn$ 個の $x$ の間に１対１対応が作れる

ことになります。

第２段

第１段の方法で作った「１対１に対応する $\left(i,j\right)$ のペアと $x$」については、

$i$ が $m$ と素であるなら、$x$ も $m$ と素

になります。なぜなら、もし $x$ と $m$ に共通の約数 $a$ があったとすると（＝ $a|x$ でかつ $a|m$ ）、中国剰余定理の前提から

$x=km+i$

と表せるので $a|i$ となり、$a$ が $i$ と $m$ の共通の約数にもなってしまって「$i$ が $m$ と素」という仮定に反するからです。全く同様に、

$j$ が $n$ と素であるなら、$x$ も $n$ と素

です。この２つを合わせると、

$\left(i,j\right)$ のペアにおいて「$i$ が $m$ と素」で、かつ「$j$ が $n$ と素」であれば、「１対１対応がつけられた $x$ は $m$ と $n$ の２つの数と素」

になります。「$x$ が $m$ と $n$ の２つの数と素」であることは「$x$ が $mn$ と素」ということに他ほかなりません。つまり、

$\left(i,j\right)$ のペアで「$i$ が $m$ と素」であり、かつ「$j$ が $n$ と素」であれば「$\left(i,j\right)$ と１対１対応がつけられた $x$ は $mn$ と素」

です。その逆に「$x$ が $mn$ と素」であるなら「$x$ は $m$ と $n$ の２つの数と素」です。そうすると中国剰余定理の前提から「$i$ は $m$ と素」でかつ「$j$ は $n$ と素」になります。つまり、まとめると、

$\left(i,j\right)$ のペアのうち「$i$ が $m$ と素で、$j$ が $n$ と素であるペア」は、「$mn$ と素である $x$」と１対１の対応関係がつけられる

ことになります。そして１対１の対応関係がつく集合の要素の数は等しい。ここが証明の根幹です。

第３段

オイラー関数の定義により、

$m$ と素である $i$ の個数は $\phi \left(m\right)$
$n$ と素である $j$ の個数は $\phi \left(n\right)$

です。$i$ と $j$ は独立に選んでいるので、

$\left(i,j\right)$ のペアのうち、「$i$ が $m$ と素」で「$j$ が $n$ と素」のペアの個数は、$\phi \left(m\right)\phi \left(n\right)$

です。さらにオイラー関数の定義により、

$mn$ と素な $x$ の個数は $\phi \left(mn\right)$

になります。第２段で証明したように「$i$ が $m$ と素」で「$j$ が $n$ と素」である $\left(i,j\right)$ のペアと、$mn$ と素である $x$ は１対１の対応関係にあります。従ってその個数は等しく、

$\phi \left(mn\right)=\phi \left(m\right)\phi \left(n\right)$

となって、証明が完成しました。オイラー関数の乗法性を直感的に理解するために、中国剰余定理のところであげた表を使って $\phi \left(12\right)=\phi \left(3\right)\phi \left(4\right)$ のイメージを示したのが次です。$\text{●}$ 印を付けたのはそれぞれ、$12\text{, }3\text{, }4$ とは素な数です。

$\begin{array}{rrr}\mathrm{mn}=12& m=3& n=4\\ \text{0 }& \text{0 }& \text{0 }\\ \text{●1 }& \text{●1 }& \text{●1 }\\ \text{2 }& \text{●2 }& \text{2 }\\ \text{3 }& \text{0 }& \text{●3 }\\ \text{4 }& \text{●1 }& \text{0 }\\ \text{●5 }& \text{●2 }& \text{●1 }\\ \text{6 }& \text{0 }& \text{2 }\\ \text{●7 }& \text{●1 }& \text{●3 }\\ \text{8 }& \text{●2 }& \text{0 }\\ \text{9 }& \text{0 }& \text{●1 }\\ \text{10 }& \text{●1 }& \text{2 }\\ \text{●11 }& \text{●2 }& \text{●3 }\end{array}$

---

このオイラー関数の乗法性（6.2）と素数の累乗のオイラー関数値（6.1c）を用いると、一般の自然数 $N$ のオイラー関数値を求めることができます。つまり素因数分解の一意性により、$p_i$ を素数として、

$N={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$

と表現できます。ここでオイラー関数の乗法性（6.2）を繰り返して使うと、

$\phi \left(N\right)=\phi \left({p_1}^{{\alpha }_1}\right)\phi \left({p_2}^{{\alpha }_2}\right)\dots \phi \left({p_r}^{{\alpha }_r}\right)$

となります。また、素数の累乗のオイラー関数値（6.1c）によって、

$\phi \left({p_i}^{{\alpha }_i}\right)={p_i}^{{\alpha }_i}-{p_i}^{{\alpha }_i-1}$

です。以上を合わせると、任意の数 $N$ のオイラー関数値を求める公式は、

$\begin{array}{l}\phi \left(N\right)\\ =\left({p_1}^{{\alpha }_1}-{p_1}^{{\alpha }_1-1}\right)·\dots ·\left({p_r}^{{\alpha }_r}-{p_r}^{{\alpha }_r-1}\right)\\ {\displaystyle =\frac{{p_1}^{{\alpha }_1}}{p_1}\left(p_1-1\right)·\dots ·\frac{{p_r}^{{\alpha }_r}}{p_r}\left(p_r-1\right)}\\ ={\displaystyle \frac{N}{p_1{p}_2\dots p_r}}·\left(p_1-1\right)·\dots ·\left(p_r-1\right)\end{array}$

となります。つまり、$N$ の素因数分解ができれば $\phi \left(N\right)$ は簡単に求まります。逆に言うと$N$ の素因数分解が困難なら $\phi \left(N\right)$ を求めるのも困難になる。このことが RSA暗号が成立する背景となっています。

ちなみに、上のオイラー関数の公式の末尾の形（色を塗った部分）は、オイラーより以前に江戸時代の和算家・久留島くるしま義太よしひろ（? - 1758）が発見しています。久留島義太は、関孝和、建部たけべ賢弘かたひろとともに三大和算家と呼ばれた人ですが、自分では書物を残すことがなかったので、業績は知人や弟子がまとめたものにしかありません。その一人、仙台藩の天文学者・戸板保佑やすすけの『久氏遺稿』の中に公式の記述ができます（鳴海 風「小説になる江戸時代の数学者」- 日本数学会「市民講演会」2007.3.31 による）。

その書物には $\phi \left(360\right)$ を求める例示があります（これは暗算でも出来ます）。つまり $360=6·6·10$ なので素因数は $2\text{, }3\text{, }5$ だけです。従って $360$ を $2·3·5=30$ で割って（答は $12$）、$1·2·4=8$ を掛けると $\phi \left(360\right)=96$ が求まる。このことが書かれています。この公式には $p_i$ の累乗の部分（${\alpha }^i$）が全く現れません。ちょっと不思議な感じもする公式です。

日本の数学者の中には「久留島・オイラーの関数」と呼ぶ人もいます。"オイラー何とか" という名前の定理や公式はいろいろあるので、その方が分かりやすいかもしれません。

---

７. オイラーによるフェルマの小定理の一般化（オイラーの定理）

---

オイラー関数を使うと、オイラーが発見した「一般化されたフェルマの小定理」の証明ができます。

7.1	オイラーの定理
$a$ を $m$ とは素な数とするとき $a^{\phi \left(m\right)}\equiv 1\left(modm\right)$

$a$ や $m$ に何らかの制約があるわけではなく、２つの数が「互いに素」という条件だけで成立する美しい定理です。これがフェルマの小定理の一般化であることは、$p$ を素数として $m=p$ とおけばフェルマの小定理そのものになることから分かります。

この証明を２段階に分けて行います。まず第１段階で $m$ が素数の累乗の時に成立することを証明し、第２段階でその結果を使って $m$ が一般の数の場合を証明します。

7.2
$p$ を素数とする。 $m=p^{\alpha }$ のとき、7.1 は成り立つ。

$\alpha$ についての数学的帰納法で証明します。まず $$ \alpha $=1$ のときはフェルマの小定理そのものなので成立します。次に $$ \alpha $=k-1\left(k\ge 2\right)$ のときに成立すると仮定します。つまり、

$a^{\phi \left(p^{k-1}\right)}\equiv 1\left(mod{p}^{k-1}\right)$

が成り立つとします。そうすると、ある数 $b$ が存在して、

$a^{\phi \left(p^{k-1}\right)}=1+b{p}^{k-1}$

と表現できます。この式の左辺に 6.1c（素数の累乗のオイラー関数値）を適用すると、

$a^{p^{k-1}-p^{k-2}}=1+b{p}^{k-1}$

となります。この両辺を $p$ 乗し、右辺は２項定理で展開すると、

$\begin{array}{ll}{a}^{p^k-p^{k-1}}& ={\left(1+b{p}^{k-1}\right)}^p\\ & =1+{}_{p}C_1{\left(b{p}^{k-1}\right)}^1\\ & \phantom{=1}+{}_{p}C_2{\left(b{p}^{k-1}\right)}^2+\dots \end{array}$

が得られます。この展開した右辺において、第２項は ${}_{p}C_1=p$ なので $b{p}^k$ となり、$p^k$ で割り切れます。また第３項以降は $2\le i\le p$ として ${}_{p}C_i{b}^i{p}^{\left(k-1\right)i}$ と表せますが、$k\text{, }i\ge 2$ のとき $\left(k-1\right)\left(i-1\right)\ge 1$ であり、この式を変形すると $\left(k-1\right)i\ge k$ となるので、第３項以降も $p^k$ で割り切れます。つまり、展開した第１項の $1$ 以外は $p^k$ で割り切れることになります。従って、

$\begin{array}{ll}{a}^{p^k-p^{k-1}}& \equiv 1\left(mod{p}^k\right)\\ a^{\phi \left(p^k\right)}& \equiv 1\left(mod{p}^k\right)\end{array}$

となります。この結果、7.2 は $$ \alpha $=k-1$ のときに成立するなら $$ \alpha $=k$ のときにも成立することが証明でき、数学的帰納法が完成しました。

---

7.2 を使って 7.1 を証明します。$p_i$ を相異なる素数とし、任意の数 $m$ を、

$m={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$

とおきます。すると 7.2 により、$1\le i\le r$ のそれぞれの $i$ において、

$a^{\phi \left(p^{{\alpha }_i}\right)}\equiv 1\left(mod{p}^{{\alpha }_i}\right)\text{ ⋯ (1)}$

が成立します。ここで、

$n_i={\displaystyle \frac{m}{p^{{\alpha }_i}}}\left(m=n_i·p^{{\alpha }_i}\right)$

とおくと、オイラー関数の乗法性（6.2）により、

$\phi \left(m\right)=\phi \left(n_i\right)\phi \left(p^{{\alpha }_i}\right)$

となります。ここで、この式と合同式の累乗（1.2）を使って $\text{(1)}$ 式の両辺を $\phi \left(n_i\right)$ 乗すると、

$a^{\phi \left(m\right)}\equiv 1\left(mod{p}^{{\alpha }_i}\right)\text{ ⋯ (2)}$

が得られました。$\text{(2)}$ 式は $1\le i\le r$ の $i$ においてそれぞれ成立します。$p_i$ は相異なる素数だったので、ここで 1.5 を順次適用すると、

$a^{\phi \left(m\right)}\equiv 1\left(modm\right)$

となり、7.1 が正しいことが証明されました。

---

7.1 の証明の過程を振り返ってみると、次の 7.3 が成り立つことが分かります。

7.3	オイラーの定理・その２
任意の数 $m$ の素因数分解を、相異なる素数 $p_i\left(1\le i\le r\right)$ を使って、 $m={p_1}^{{\alpha }_1}{p_2}^{{\alpha }_2}\dots {p_r}^{{\alpha }_r}$ と表す。$\psi \left(m\right)$ を $r$ 個の $\phi \left({p_i}^{{\alpha }_i}\right)$ の最小公倍数とする（$\psi$ はギリシャ文字のプサイ）。つまり、 $\psi \left(m\right)=LCM\left(\phi \left({p_1}^{{\alpha }_1}\right),\dots ,\phi \left({p_r}^{{\alpha }_r}\right)\right)$ とすると、$m$ と素である数 $a$ について、 $a^{\psi \left(m\right)}\equiv 1\left(modm\right)$ が成り立つ（$LCM=$ 最小公倍数）。

これは 7.1 の証明の後半（＝ 7.2 を使って証明する部分）からすぐに分かります。$\psi \left(m\right)$ の定義から、

$\psi \left(m\right)=k_i·\phi \left({p_i}^{{\alpha }_i}\right)\left(1\le i\le r\right)$

と書き表すことができます。一方 7.2 より、

$a^{\phi \left({p_i}^{{\alpha }_i}\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

が成り立ちます。この合同式の両辺を 1.2（合同式の累乗） に従って $k_i$ 乗すると、

$a^{k_i\phi \left({p_i}^{{\alpha }_i}\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

となり、これから、

$a^{\psi \left(m\right)}\equiv 1\left(mod{p_i}^{{\alpha }_i}\right)$

が得られます。この式は $1\le i\le r$ であるすべての $i$ について成立し、また ${p_i}^{{\alpha }_i}$ は互いに素なので、1.5 を順次適用することで、

$a^{\psi \left(m\right)}\equiv 1\left(modm\right)$

となり、7.3 が証明できました。この証明の過程から、$\psi \left(m\right)$ が最小公倍数でなくても、公倍数であれば成立することが分かります。なお $\psi \left(m\right)$ は一般的な表記ではなく、ここで便宜上使った記号です。

---

オイラーの定理（7.1）と、オイラーの定理・その２（7.3）を

として具体的に書いてみると次の通りです。

$\begin{array}{ll}\phi \left(m\right)& =\phi \left(3\right)·\phi \left(7\right)\\ & =2·6\\ & =12\\ 2^{12}& =4096\\ & =195·21+1\\ & \equiv 1\left(mod21\right)\\ \psi \left(m\right)& =LCM\left(\phi \left(3\right),\phi \left(7\right)\right)\\ & =LCM\left(2,6\right)\\ & =6\\ 2^6& =64\\ & =3·21+1\\ & \equiv 1\left(mod21\right)\end{array}$

オイラーの定理の別証明

いままでは「オイラー関数の乗法性」を導出して、それをもとにオイラーの定理（とその最小公倍数版）を証明しました。しかし単にオイラーの定理だけを証明したいのなら、以下のようにフェルマの小定理（3.1）のときと同じ論法で可能です。

---

$n$ 以下の自然数で $n$ と互いに素である $\phi \left(n\right)$ 個の数を、数列として、

$b_1\text{, }{b}_2\text{, }{b}_3\text{,}\dots b_{\phi \left(n\right)}$

と並べます。これらはすべて相異なる数です。次に $n$ とは素な数 $a$ を選び、数列の全部にかけ算をして新たな数列、

$a{b}_1\text{, }a{b}_2\text{, }a{b}_3\text{,}\dots a{b}_{\phi \left(n\right)}$

を作ります。そして、それぞれの数を $n$ で割った剰余を $r_i$ とします。つまり、

$\begin{array}{lll}a{b}_1& \equiv r_1& \left(modn\right)\\ a{b}_2& \equiv r_2& \left(modn\right)\\ a{b}_2& \equiv r_3& \left(modn\right)\\ \text{⋮}& & \\ a{b}_{\phi \left(n\right)}& \equiv r_{\phi \left(n\right)}& \left(modn\right)\end{array}$

です。$a$ も $b_i$ も $n$ と素なので $r_i$ が $0$ になることはなく、$1\le r_i<n$ です。そして、このようにすると$r_i$ は全て $n$ と素になります。なぜなら、剰余の式を、

$a{b}_i=k_{i}n+r_i$

とするとき、$r_i$ と $n$ に共通の約数があるなら、その約数は $a{b}_i$ の約数にもなり「$a$ も $b_i$ も $n$ と互いに素」という、そもそもの仮定に反するからです。

さらに、$1\le i\text{, }j\le \phi \left(n\right)$ である $i\text{, }j$ について、

$i\ne j$ であれば、必ず $r_i\ne r_j$

になります。なぜなら、もし $r_i=r_j$ とすると、1.1b（合同式の減算）より、

$a\left(b_i-b_j\right)\equiv 0\left(modn\right)$

です。仮定より $a$ は $n$ と互いに素なので 1.3 により（1.3 で $b=0$ の場合）、

$\left(b_i-b_j\right)\equiv 0\left(modn\right)$

となりますが、$1\le b_i\text{, }{b}_j\le n$ なので、

$b_i=b_j$

となり、$b_1\text{, }{b}_2\text{, }{b}_3\text{,}\dots b_{\phi \left(n\right)}$ が相異なる数という仮定に反してしまうからです。つまり$i\ne j$ であれば、必ず $r_i\ne r_j$ です。

ということは、$\phi \left(n\right)$ 個の数、$r_i$ は「すべてが $n$ とは素である、相異なる数」であり、つまり $\phi \left(n\right)$ 個の数、$b_i$を並び替えたものです。従って、

$r_i$ を全部かけ算したものを $R$
$b_i$ を全部かけ算したものを $B$

と書くとすると、

$$\begin{gathered} R=B \\ \left(r_1{r}_2\dots r_{\phi \left(n\right)}=b_1{b}_2\dots b_{\phi \left(n\right)}\right) \end{gathered}$$

となります。そこで、1.1c（合同式の乗算）を上の $\phi \left(n\right)$ 個の合同式に適用して左辺と右辺を全てかけ合わせると、

$a^{\phi \left(n\right)}·B\equiv R\left(modn\right)$ 　つまり、
$a^{\phi \left(n\right)}·B\equiv B\left(modn\right)$

が得られます。ここで、そもそもの定義から $B$ は $n$ と素なので 1.3 を使うと、

$a^{\phi \left(n\right)}\equiv 1\left(modn\right)$

となって証明が完成しました。

---

８. RSA暗号の一般形

---

オイラー関数とオイラーの定理（オイラーによるフェルマの小定理の一般化）を用いると、RSA暗号（4.1）の一般形を次のように記述できます。

8.1	RSA暗号の一般形
$n$ を任意の自然数とし、$e$を $\phi \left(n\right)$ と素な数、$d$ を $de\equiv 1\left(mod\phi \left(n\right)\right)$ を満たす数とする。この前提で、 暗号化：${\mathbb{P}}^e\equiv \mathbb{C}\left(modn\right)$ ならば 複号化：${\mathbb{C}}^d\equiv \mathbb{P}\left(modn\right)$ である。

一般形にしてしまうと、複号化の式の証明はいたってシンプルになります。$de=k\phi \left(n\right)+1$とおくと、

$$\begin{gathered} {\mathbb{C}}^d\equiv {\mathbb{P}}^{de}\left(modn\right) \\ \phantom{{\mathbb{C}}^d}={\mathbb{P}}^{k\phi \left(n\right)+1} \\ \phantom{{\mathbb{C}}^d}=\mathbb{P}·{\left({\mathbb{P}}^{\phi \left(n\right)}\right)}^k \\ \phantom{{\mathbb{C}}^d}\equiv \mathbb{P}\left(modn\right) \end{gathered}$$

となり証明できました。最後の式の変形のところで 7.1 と 1.2（合同式の累乗）を使っています。また 7.3 で証明したように、$\phi \left(n\right)$ の代わりに $\psi \left(n\right)$ （＝ $n$ の素因数それぞれのオイラー関数値の最小公倍数）としても、RSA暗号の一般形は成立します。

実際のRSA暗号は $p$ と $q$ を素数として $n=pq$ とおいたものですが（6.1b）、数学的には $n$ の素因数分解が分かると（素因数の累乗があってもよい） $\phi \left(n\right)$ はすぐに計算できるので（6. オイラー関数）暗号が構成できることになります。それが 8.1 の一般形の意味です。

しかし実用的な暗号のためには、素因数分解が困難であり（＝ $n$ の素因数ができるだけ大きな数であり）、また暗号化・複号化の高速計算のためには $n$ が小さいほど良いので、RSA暗号がその最適解なのでした。

---

全体のまとめ

---

最後に、RSA暗号についての説明全体をまとめると、以下のようになるでしょう。

◆	RSA暗号は数論（整数論）の基礎から構成されている。その基礎には、ユークリッド、孫子算経、フェルマ、オイラーなどによる数学史の重要な発見が詰まっている。
◆	RSA暗号における公開鍵・秘密鍵の生成式、暗号化・復号化の式には巨大数の演算が現れるが、それは実用的に計算可能である。
◆	RSA暗号の原理は、整数の "加減乗除" と "累乗（冪乗）" の知識をベースとして、そこから論理を積み重ねることで理解可能である。つまり「高校数学程度の知識で理解」できる。

この最後の点が、ここに「RSA暗号の数理」を掲載した目的でした。

---

---

タグ：JavaScript ２項定理 アルゴリズム オイラー オイラー関数 数論 平文 RSA暗号 公開鍵 暗号文 数学的帰納法 秘密鍵 公開鍵暗号 互いに素 フェルマの小定理 整数論 オイラーの定理 中国剰余定理 孫子算経 久留島義太 久留島・オイラーの公式 乗法性 乗法的関数

No.310 - 高校数学で理解するRSA暗号の数理（１）

No.235「三角関数を学ぶ理由」では、私たちが学校で勉強を学ぶ目的の一つが「論理的に考える力を養う」こととし、その典型例として数学をとりあげました。数学は「論理のみで成り立っている」からです。そのことを改めて示すために $sin\theta$ の微分が $cos\theta$ になることを、三角関数のそもそもの定義に立ち返って証明しました。

今回はその継続・発展で、別の数学の問題を取り上げます。現代社会で広く使われている公開鍵暗号（その中の RSA暗号）です。これを取り上げる理由は、

◆	2000年にわたる数学（数論 ＝ 整数論）の基礎の上に作られた暗号である。
◆	インターネットの重要技術の一つであり、現代社会のインフラとなっている。
◆	高校生程度の前提知識があれば、論理的思考を積み重ねることで十分に理解できる（＝ タイトルの「高校数学で理解する」の意味）。

の３点です。以下の文章は元々別の目的のために作ったものですが、ここに掲載することにします。

---

公開鍵暗号

---

公開鍵暗号とは、

◆	暗号化の手順と、そこで使用する暗号化のための "鍵" が公開されている（その鍵が "公開鍵"）。
◆	暗号文を解読するための手順も公開されているが、それに使う "鍵" は秘匿されている（その鍵が "秘密鍵"）。

というタイプの暗号です。公開鍵暗号のメリットは多々ありますが、一番のメリットは「鍵を配送するコストがかからない」ことです。全ての鍵を秘匿する暗号だと、その鍵をどうやって配送して暗号化をしたい人に届けるかが大きな問題となります。暗号化通信で配送するというのは解決になりません。その暗号化通信の暗号鍵をどうやって配送するかという問題が残るからです。

公開鍵暗号では暗号化のための鍵がオープンなので、配送のコストはゼロです。暗号文を受け取りたい人が公開鍵と秘密鍵を生成し、公開鍵をオープンにすると誰でもその人に暗号文を送ることができます。

公開鍵暗号の設計の最大のポイントは、あたりまえですが、公開鍵から秘密鍵を推定したり導出したりできないことです。まさにそこに数学が使われていて、暗号文を解読できないようになっています。この「暗号化の鍵を公開してしまう」という革新的なアイデアというか、まさに "究極の逆転の発想" を論文として発表したのは、当時スタンフォード大学の研究者だったディフィー（米）とヘルマン（米）で、1976年のことでした。

ディフィーとヘルマンは公開鍵暗号の発明の功績で、コンピュータ・サイエンス分野のノーベル賞といわれるチューリング賞を 2015年に受賞した。

（https://awards.acm.org/ より）

そのディフィーとヘルマンのアイデアに基づいた最初の暗号が RSA暗号で、現代でも盛んに使われています。これは 1978年に MIT のリベスト（米）、シャミア（イスラエル）、エーデルマン（米）の３人のよって発明され、３人の頭文字をとってRSAと呼ばれています。

実はこの RSA暗号は、実用として何に使ったらいいのか、発表当時は使い道が分からなかったといいます。それが現代ではインターネットによる通信の重要技術として広く使われている。これにはコンピュータの処理速度の飛躍的向上も貢献しています。革新的な技術は、その応用環境が整った時点で、後から実用化される。よくあることです。

RSA暗号を発明した３人は、チューリング賞を 2002年に受賞している。

（https://awards.acm.org/ より）

以下、このRSA暗号の数理を順に見ていきます。

---

RSA暗号の例題

---

まずRSA暗号はどういうものか、それを極めて簡単な例題で説明します。

平文ひらぶん（＝暗号化する文）を $\mathbb{P}$ で、またそれを暗号化した暗号文を $\mathbb{C}$ で表します。例題として平文は１文字だけの英字で、それを整数に変換したものとします。RSA暗号にちなんで大文字の R が平文です。コンピュータで使われる ASCII（アスキー）コードでは、英大文字・英小文字・数字・特殊記号を $1$～$128$ の数で表すので、それを使って数字化すると R は $82$ です。つまり、

$\mathbb{P}=82$

が例題の平文です。

公開鍵は２つの数字のペア $\left(e,n\right)$、秘密鍵は一つの数字 $d$ で、例題としては、

公開鍵 ： $\left(e=133,n=143\right)$
秘密鍵 ： $d=37$

とします。この公開鍵と秘密鍵の作り方は後で述べます。平文から暗号文への変換（＝暗号化）と、暗号文から平文への変換（＝復号化）を次の計算で行います。以降の記述では、$a$ を $b$ で割った余り（＝剰余）を $amodb$ と書きます（プログラム言語やEXCELで $mod\left(a,b\right)$ と書くのと同じ意味です）。

暗号化 ： $\mathbb{C}={\mathbb{P}}^{e}modn$
復号化 ： $\mathbb{P}={\mathbb{C}}^{d}modn$

例題の平文を暗号化の式に入れると、

$\mathbb{C}={82}^{133}mod143=4$

となり、平文 "$82$" に対する暗号文は "$4$" です。${82}^{133}$ は巨大な数ですが、剰余を求めるときにこの巨大数を計算する必要は全くありません。上の程度の計算なら電卓でも簡単にできます。そのやり方は後ほど示します（「4. RSA暗号の証明」）。暗号文の復号化は、暗号文 "$4$" を復号化の式に入れると、

$\mathbb{P}=4^{37}mod143=82$

となり、元の平文である "$82$" が復元できました。なお、この例では平文をわずか１文字（$2^7$ 以下の数字）としましたが、実際に使われる暗号では $2^{1024}$ 程度（10進で約300桁程度）の数字です（＝ 平文を数字化したもの。平文が長い場合は複数に分割）。また、公開鍵 $\left(e,n\right)$ と秘密鍵 $d$ も同程度の大きさの数字です。

この計算で暗号化と復号化が可能なのは、公開鍵と秘密鍵の作り方に工夫があるからです。まず $n$ は２つの素数 $p=11$ と $q=13$ の積です。

また $e$ は、$e$ と $\left(p-1\right)\left(q-1\right)=120$ との最大公約数が $1$ であるように決めてあります。$e=133=7·19$ なので、$133$ と $120$ との共通の約数は $1$ だけです。さらに秘密鍵である $d$ は、

$d·emod\left(p-1\right)\left(q-1\right)=1$

となるように決めてあります。$37·133=4921=41·120+1$ なので成り立っています。このように鍵を仕込んでおくと暗号化と復号化が可能になる。そのことを証明するのが、本記事の目的です。その証明を、前提とする数学知識を最小限にしてやってみたいと思います。

---

公開鍵暗号は「公開鍵から秘密鍵が導出できない」ことが必須です。RSA暗号では、$n=p·q$ と素因数分解ができれば、

$d·emod\left(p-1\right)\left(q-1\right)=1$

の式を解いて $d$ が求まります。しかし実用で使われるRSA暗号は最低でも $n$ の桁数が10進数で300桁程度です（２進数で 1024ビット程度。平文も同等の長さ）。この程度の大きさの整数の素因数分解は、超高速コンピュータをもってしても困難です。もしコンピュータの速度がさらに向上するなら、鍵の桁数をさらに大きくすればよい。この素因数分解の困難性が、RSA暗号が成り立つ理由です。

---

以降でRSA暗号の暗号化と復号化の式が成り立つことの証明を行います。さらに、単に成り立つことだけでなく、RSA暗号に関わる各種の式が計算可能であることの説明をします。"式が正しい" ことと、その "式が実用的に計算可能である" ことは違うからです。素因数分解がまさにその例です。

まず、整数の性質についての用語の定義からです。用語は RSA暗号の式の証明に必要なものだけに絞ります。以降に現れる "数" やそれを表す記号は、ほとんど場合は整数のことですが、自然数（1以上の整数）を意味する場合もあります。どちらかは文脈から明らかなので、いちいち断りなく使います。

---

準備：用語の定義

---

割り切る・約数・因数・最大公約数

整数 $N$ を $a$ で割ったときの余りがゼロのとき、$N$ は $a$ で割り切れると言い、また、$a$ は $N$ を割り切ると言います。このことを記号を使って、

$a|N$

と書きます。またこのときの $a$ を $N$ の約数と呼びます。$N|N$ と $1|N$ は常に成り立つので、$1$ と $N$ は $N$ の約数です。

$N$ が 2つ以上の数の積で表されるとき、そのおのおのの数を $N$ の因数と呼びます。因数は約数と同じものですが、見方の違いと言えるでしょう。

２つの数、$N$ と $M$ があったとき、共通の約数を公約数と言います。また、公約数のうち最大のものを最大公約数と呼び、$gcd\left(N,M\right)$ で表します。

素数と素因数分解

2以上の整数 $N$ の約数が 1 と $N$ のみのとき、$N$ を素数と言い、そうでない数を合成数と言います。合成数は 1 と $N$ 以外の約数を持ちます。約数（＝因数）が素数のとき、それを素因数と呼びます。$N$ が素数の場合は $N$ が素因数です。

合成数は素因数の積で表現できます（＝素因数分解）。なぜなら、定義によって合成数 $N$ は、$1$ でも $N$ でもない数 $a$ と $b$ を使って $N=a·b$ と表現（＝分解）できますが、$a$ や $b$ が合成数なら、さらに分解を繰り返すことによって最終的には素数の積にたどり着くからです。なお便宜上、素数はそれ自身が素因数分解であるとします。

「素数」と「大きな数の素因数分解の困難性」が RSA暗号の基礎になっているのは、例題で説明した通りです。

素因数分解の一意性

素因数分解は、かけ算の順序を無視して一意に決まります（＝素因数分解の一意性）。これは自明のように思えますが、証明をすると次の通りです。

いま（かけ算の順序は無視して）異なった２種類の素数列の積で表現できる合成数がある（＝素因数分解が一意ではない）と仮定します。すると、そのような最小の数、$N$ があるはずです。このとき $N$ は、$p_i$ と $q_i$ を素数として、

$N=p_1{p}_2{p}_3\dots p_r=q_1{q}_2{q}_3\dots q_s$

と表現できます。ここで $p_1$ に着目すると $p_1|N$ なので、$p_1|q_i$ となる $q_i$ があるはずです。かけ算の順序は無視するので、$p_1|q_1$ として一般性を失いません。ところが $q_1$ は素数なので、$q_1=p_1$ しかあり得ない。そこで式の全体を $p_1$ で割ると、

$\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.=p_2{p}_3\dots p_r=q_2{q}_3\dots q_s$

となります。これは $\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.$ が２つの異なった形に素因数分解できることを示しています。ところが $\raisebox{1ex}{$N$}\!\left/ \!\raisebox{-1ex}{$p_1$}\right.$ は $N$ より小さい数なので「$N$ が２つの異なった形に素因数分解できる最小の数」ということに矛盾します。従って「２つの異なった形で素因数分解できる数がある」という仮定が誤りであり、素因数分解の一意性が示されました。

互いに素

整数 $N$ と 整数 $M$ の最大公約数が $1$ のとき、つまり $gcd\left(N,M\right)=1$ のとき、「$N$ と $M$ は互いに素である」と言います。これは $N$ と $M$ が共通の素因数を持たないことと同じです。なお、$gcd\left(N,1\right)=1$ は常に成り立つので、$1$ は他の数と互いに素です。

以降の、RSA暗号の証明に至るプロセスでは「互いに素」に関連した数々の定理や証明が出てきます。RSA暗号は「素数」と「互いに素」の上に構築された暗号です。

---

用語の定義はここまでです。以降はRSA暗号の成立性の証明に入ります。まず、数の "合同" の概念からです。

---

１. 合同

---

合同の概念はRSA暗号の根幹の一つです。$m$ を 2 以上の整数とするとき、２つの整数 $a$, $b$ について

・	$a$ を $m$ で割ったときの余りと、$b$ を $m$ で割ったときの余りが等しいとき、 あるいは同じことで、
・	$\left(a-b\right)$ が $m$ で割り切れるとき、つまり $m|\left(a-b\right)$ のとき、

$a$ と $b$ は $m$ を法として合同であると言い、

$a\equiv b\left(modm\right)$

と書きます。少々ややこしいですが、はじめに書いたように $amodb$ とすると「$a$ を $b$ で割った余り」の意味です。以下に、合同の性質でRSA暗号の証明に必要なものをあげます。

1.1
$a\equiv b\left(modm\right)$　かつ、 $c\equiv d\left(modm\right)$　のとき、 1.1a　$a+c\equiv b+d\left(modm\right)$ 1.1b　$a-c\equiv b-d\left(modm\right)$ 1.1c　$ac\equiv bd\left(modm\right)$

これらの性質は、それぞれの数を、

$$\begin{gathered} a=k_a·m+r_1 \\ b=k_b·m+r_1 \\ c=k_c·m+r_2 \\ d=k_d·m+r_2 \end{gathered}$$

というように書いて計算をすればすぐにわかります。たとえば 1.1c（合同式の乗算）を証明するには、$a$ と $c$ の式をかけ算し、$b$ と $d$ の式をかけ算して、

$$\begin{gathered} m\left|\left(ac-r_1{r}_2\right) \\ m\right|\left(bd-r_1{r}_2\right) \end{gathered}$$

が得られますが、２つの数が共に $m$ で割り切れると、その差も $m$ で割り切れます。従って、

$$\begin{gathered} m\left|\left(\left(ac-r_1{r}_2\right)-\left(bd-r_1{r}_2\right)\right) \\ m\right|\left(ac-bd\right) \\ ac\equiv bd\left(modm\right) \end{gathered}$$

となります。

1.2	合同式の累乗（冪乗）
$a\equiv b\left(modm\right)$ なら、2以上の $r$ について、 $a^r\equiv b^r\left(modm\right)$ である。

これは 1.1c で、$c=a$、$d=b$ とおいて 1.1c を "繰り返して使う" ことでわかります。"繰り返して使う" ことを証明として書くなら数学的帰納法になるでしょう。以降は「互いに素」に関連した合同の性質です。

1.3	互いに素（１）
$ax\equiv bx\left(modm\right)$ かつ、 $x$ と $m$ が互いに素なら、 $a\equiv b\left(modm\right)$

合同の定義により

$$\begin{gathered} m\left|\left(ax-bx\right) \\ m\right|x\left(a-b\right) \end{gathered}$$

となります。ここで一般的に次の 1.3a が成り立つことに注意します。

1.3a
$m$ は $x$ と互いに素とする。 $m|xn$ ならば $m|n$

$m$ と $x$ は互いに素なので、$m$ と $x$ に共通の素因数はありません。従って、$m$ を素因数分解したときに現れる素因数は、すべて $n$ の素因数のはずです。でないと、$m|xn$ とはならないからです。従って $m|n$ となります。このことを $m|x\left(a-b\right)$ に適用すると、

$$\begin{gathered} m|\left(a-b\right) \\ a\equiv b\left(modm\right) \end{gathered}$$

となり、1.3 が証明されました。1.3 は以降の証明にたびたび出てくる重要な定理です。1.3 を一般化したのが次の 1.4 です。

1.4	互いに素（２）
$ax\equiv by\left(modm\right)$ かつ、 $\phantom{a}x\equiv \phantom{b}y\left(modm\right)$ かつ、 $x$ と $y$ は $m$ と互いに素なら、 $a\equiv b\left(modm\right)$

$a$, $b$, $x$, $y$ を、$m$ と 剰余 $r$ を使って次のように表します。

$$\begin{gathered} \begin{array}{ll}a& =k_a·m+r_a\\ b& =k_b·m+r_b\\ x& =k_x·m+r\\ y& =k_y·m+r\end{array} \\ \left(0\le r_a,r_b,r<m\right) \end{gathered}$$

このようにおくと、$ax\equiv by\left(modm\right)$ より、

$r·r_a\equiv r·r_b\left(modm\right)$

となります。一方、$r$ と $m$ は互いに素です。なぜなら、もし $r$ と $m$ が $1$ ではない共通の約数 $c$ をもつとすると、上の $x$ の式から $c$ は $x$ の約数にもなり、$x$ と $m$ が互いに素ではなくなるからです。また、$y$ の式から $c$ は $y$ の約数でもあり、$y$ と $m$ が互いに素という前提にも反します。このように $r$ と $m$ は互いに素なので 1.3 を使って、

$r_a\equiv r_b\left(modm\right)$

となりますが、$0\le r_a,r_b <m$ なので、$r_a=r_b$ となり、

$a\equiv b\left(modm\right)$

が示されました。

1.5	互いに素（３）
$m$ と $n$ は互いに素とする。 $a\equiv b\left(modm\right)$ かつ、 $a\equiv b\left(modn\right)$ なら、 $a\equiv b\left(modmn\right)$

$a\equiv b\left(modm\right)$ なので、合同の定義から $m|\left(a-b\right)$ です。また、$a\equiv b\left(modn\right)$ なので、合同の定義から $n|\left(a-b\right)$ であり、$a-b=k_{1}n$ と表せます。この式の $a-b$ を $m|\left(a-b\right)$ に代入すると、

$m|k_{1}n$

となります。$m$ と $n$ は互いに素なので 1.3a を使うと、

$m|k_1$

となり、従って $k_1=k_{2}m$ と表せることになります。この $k_1$ を $a-b=k_{1}n$ に代入すると、

$$\begin{gathered} a-b=k_{2}mn \\ mn|\left(a-b\right) \\ a\equiv b\left(modmn\right) \end{gathered}$$

となって 1.5 が証明できました。

---

合同には数々の性質や定理がありますが、RSA暗号の証明に必要なものは以上です。次に、２つの数の最大公約数を求める「ユークリッドの互除法」です。これは最大公約数を求める計算方法というだけでなく、RSA暗号において公開鍵と秘密鍵を生成する際に必須のものです。

---

２. ユークリッドの互除法

---

ユークリッドの互除法は ２つの自然数（$a$ と $b$。$a>b$ とします）の最大公約数を求める計算方法です。これはユークリッドの数学書である『原論』にあります。『原論』は紀元前 300年頃の成立といいますから、2300年ほど前の書物ということになります。

この計算方法では、割り算（除算）を何ステップか繰り返します。割り算において被除数（＝割られる数）と除数（＝割る数）、商（＝答）、剰余（＝余り）の関係は、

被除数 ＝ 商 × 除数 ＋ 剰余

ですが、まず第１ステップとして、

被除数１	＝ $a$
除数１	＝ $b$

とおき、

被除数１ ＝ 商１ × 除数１ ＋ 剰余１

の計算をして、商１と剰余１を求めます。次に第２ステップとして、

被除数２	＝ 除数１
除数２	＝ 剰余１

とおいて割り算を行い、商２と剰余２を求めます。つまり、

被除数２ ＝ 商２ × 除数２ ＋ 剰余２

です。この「除数と剰余を新たな被除数と除数にして割り算をする」ステップを次々と繰り返して行くと、剰余は次第に小さくなっていき、ついには剰余がゼロ（＝ 被除数が除数で割り切れる）となります。この時点での除数（＝ 一つ前のステップの剰余）が $a$ と $b$ の最大公約数です。

なぜそうなるのかが以下ですが、ポイントは割り算の式から明らかなように「被除数と除数の公約数は、剰余の約数でもある」ことです。つまり $a$ と $b$ の約数であるという性質が剰余に引き継がれ、それは割り算のステップを繰り返してもずっと続きます。しかも、剰余はステップが進むにつれて小さくなっていくので、最大公約数に近づく。そして割り切れたときの除数（一つ前のステップの剰余）は、約数であると同時に最大の約数である。おおまかにはそのような理解です。

2.1	ユークリッドの互除法
$a$と $b$ を自然数とし、$a>b$ とする。 $\begin{array}{llll}a& =q_1·b_{\phantom{1}}+r_1& \text{ ⋯}& \text{(1)}\\ b& =q_2·r_1+r_2& \text{ ⋯}& \text{(2)}\\ r_1& =q_3·r_2+r_3& \text{ ⋯}& \text{(3)}\\ r_2& =q_4·r_3+r_4& \text{ ⋯}& \text{(4)}\\ \text{⋮}& & & \\ r_{i-4}& =q_{i-2}·r_{i-3}+r_{i-2}& \text{ ⋯}& \text{(i−2)}\\ r_{i-3}& =q_{i-1}·r_{i-2}+r_{i-1}& \text{ ⋯}& \text{(i−1)}\\ r_{i-2}& =q_{i\phantom{-0}}·r_{i-1}+r_{i\phantom{-0}}& \text{ ⋯}& \text{(i)}\\ r_{i-1}& =q_{i+1}·r_i& \text{ ⋯}& \text{(i+1)}\end{array}$ となったとき、 $gcd\left(a,b\right)=r_i$ である。

$a$ と $b$（$a>b$）の公約数を $x$ とします。すると、$x|a$ かつ $x|b$ なので、$\text{(1)}$ 式から $x|r_1$ になります。この $x|r_1$ と $x|b$ から $\text{(2)}$ 式を使って $x|r_2$ が得られます。

その次には $x|r_1$ 、$x|r_2$ 、(3) 式から $x|r_3$ になる。以上を最後まで繰り返すと、次のようになります。

$\begin{array}{lllll}x|a\text{,}& x|b\text{,}& \text{(1)式}& \stackrel{}{\to }& x|r_1\\ x|b\text{,}& x|r_1\text{,}& \text{(2)式}& \stackrel{}{\to }& x|r_2\\ x|r_1\text{,}& x|r_2\text{,}& \text{(3)式}& \stackrel{}{\to }& x|r_3\\ \text{⋮}& & & & \\ x|r_{i-4}\text{,}& x|r_{i-3}\text{,}& \text{(i−2)式}& \stackrel{}{\to }& x|r_{i-2}\\ x|r_{i-3}\text{,}& x|r_{i-2}\text{,}& \text{(i−1)式}& \stackrel{}{\to }& x|r_{i-1}\\ x|r_{i-2}\text{,}& x|r_{i-1}\text{,}& \text{(i)式}& \stackrel{}{\to }& x|r_i\end{array}$

以上のように、最終的には $x|r_i$ となり、

$a$ と $b$ の公約数は $r_i$ の約数である

ことが示せました。同時に、

$a$ と $b$ の公約数の最大値は $r_i$ である

ことも分かります。

---

次に、ユークリッドの互除法の最終プロセスに現れる剰余は、全てのステップの剰余の約数になっていることを示します。このことを最終ステップから順に遡って検証すると、

となり、$r_i|b$ かつ $r_i|a$、つまり、

$r_i$ は $a$ と $b$ の公約数である

ことが示せました。

---

従って、

◆	$r_i$ は $a$ と $b$ の公約数である
◆	$a$ と $b$ の公約数の最大値は $r_i$ である

の２つから、$gcd\left(a,b\right)=r_i$ が証明できました。

計算量

RSA暗号にとってのユークリッドの互除法の意味ですが、次の２つが重要です。まず第１に「２つの数の最大公約数は、素因数分解なしに計算できる」ことです。これはすなわち「２つの数が互いに素であることが素因数分解なしに示せる」ことも意味します。

我々が普通、学校で習う最大公約数の求め方は、２つの数を素因数分解して共通の素因数を探すというものでした。共通のものがなければ最大公約数は $1$（＝互いに素）です。しかし、数が巨大になると素因数分解が困難になります（それがRSA暗号が成り立つゆえんです）。ユークリッドの互除法を使うと「最大公約数」や「互いに素」が素因数分解なしに示せるのです。

第２は、ユークリッドの互除法が高速に計算できることです。ユークリッドの互除法では、一つのステップの剰余が次のステップの除数になります。次のステップの剰余は除数より小さいので、

$0<r_{i+1}<r_i$

となりますが、$r_{i+1}$ が $0$ に近いと計算は急速に収束します。また $r_{i+1}$ が $r_i$ に近い場合でも、その次のステップの商が大きくなり、$r_{i+2}$ が $0$ に近くなるので、計算は収束することになります。従って、最も計算が長引くのは、$r_{i+1}$ が $r_i$ の半分程度で、それが連続する場合だと推測できます。

実は、ユークリッドの互除法のステップが最も長くなるケースが知られています。それは 割り算の商が常に $1$ になるケースで、$a$ と $b$ が（たまたま）フィボナッチ数列の隣り合う２項だとそうなります。フィボナッチ数列とは、

$$\begin{gathered} F_0=0\text{, }{F}_1=1 \\ {F}_{n+2}=F_{n+1}+F_n \end{gathered}$$

で定義される数列で、実際に書いてみると、

$0,1,1,2,3,5,8,13,21,34,55,89,\cdots$

です。いま、$a=144$、$b=89$ としてユークリッドの互除法の計算をしてみると

となって、10ステップかかります。剰余が減る割合が常に 0.6 倍程度で、なかなか減りません。商が常に 1 なのでこうなります。しかし、なかなか減らないが毎回 0.6 倍程度にはなり、マクロ的には急速に小さくなる。証明は省略しますが、$a$ と $b$ が10進で $N$ 桁の数字でフィボナッチ数列の隣り合う２項だった場合でも、ユークリッドの互除法は $5\ast N$ ステップ以下で終了します。

これは $a$ と$b$ が300桁程度の数字のとき、それが偶然にもフィボナッチ級数の隣り合う２項であるという最悪の最悪の場合でも 1500回の割り算で終了することを意味します。この程度の計算はもちろんコンピュータで可能です。

---

本題に戻ります。最初の「RSA暗号の例題」のところで公開鍵の作り方を書きました。まず２つの素数、$p$ と $q$ を選び、$n=p·q$ とします。次に、$\left(p-1\right)\left(q-1\right)$ との最大公約数が $1$ であるような数（＝互いに素）を選び、それを $e$ とします。その $\left(e,n\right)$ のペアを公開鍵とするのでした。

$n$ と同程度の大きさの数、$e$ をランダムに選んだとき、その $e$ が $\left(p-1\right)\left(q-1\right)$ と互いに素であるかどうかは、ユークリッドの互除法で検証可能です。そしてこの検証は $p$ と $q$ が巨大な数であっても可能です。つまりユークリッドの互除法は公開鍵が現実に作成できるという数学的根拠になっています。

アルゴリズム

2.1 において、$a$ と $b$ の最大公約数は $r_i$ でしたが、この $r_i$ は (1)式における $b$ と $r_1$ の最大公約数にもなります。なぜなら、$b$ と $r_1$ の最大公約数を求めるためには (2)式から互除法の計算を始めればよく、その結果は $r_i$ になるからです。これは次を意味します。

2.1a
$a$と $b$ を自然数とし、$a>b$ とする。$a$ を $a=q·b+r\left(1\le q,0<r\right)$ と書き表せるとき、 $gcd\left(a,b\right)=gcd\left(b,r\right)$ である。

つまり、ユークリッドの互除法は

「	$a$ と $b$ の最大公約数を求める問題」を「より小さな数である $b$ と $r$ の最大公約数を求める問題」に置き換える

ものといえます。この置き換えは次々と可能で、置き換えるたびに問題がより "小さく" なっていく。これがユークリッドの互除法の本質です。

そのユークリッドの互除法は "世界最古のアルゴリズム" と言われています。そして、アルゴリズムを記述するのに最適な言語はプログラミング言語です。2.1a の考え方に基づき、ユークリッドの互除法で最大公約数を計算するプログラムを掲げます。

2.1b	アルゴリズム
ユークリッドの互除法で a と b の最大公約数を求める関数 EUCLID（Javascriptで記述） function EUCLID( a, b ) { 　if( a % b == 0 )  // ① 　　return b; 　else 　　return EUCLID( b, a % b ); }

①の "%" は Javascript の剰余演算子で、"a % b" は "a を b で割った余り" という意味です（a mod b と同じ）。なお、このプログラムは $a<b$ でも動作します。

もちろん、Javascript でなくても、C++ でも Python でも記述できます。このようにプログラムで書くと簡潔になって、ユークリッドの互除法というアルゴリズムの本質がクリアにわかります。

拡張ユークリッドの互除法

ユークリッドの互除法の "副産物" として、次の定理が成り立ちます。

2.2
$a$ と $b$ を自然数とする。このとき適当な整数 $u$、$v$ をとって、 $gcd\left(a,b\right)=u·a+v·b$ と表せる。

この定理の証明ですが、ユークリッドの互除法の計算過程を振り返ると、

$\begin{array}{llll}a& =q_1·b_{\phantom{1}}+r_1& \text{ ⋯}& \text{(1)}\\ b& =q_2·r_1+r_2& \text{ ⋯}& \text{(2)}\\ r_1& =q_3·r_2+r_3& \text{ ⋯}& \text{(3)}\\ r_2& =q_4·r_3+r_4& \text{ ⋯}& \text{(4)}\\ \text{⋮}& & & \\ r_{i-3}& =q_{i-1}·r_{i-2}+r_{i-1}& \text{ ⋯}& \text{(i−1)}\\ r_{i-2}& =q_{i\phantom{-0}}·r_{i-1}+r_{i\phantom{-0}}& \text{ ⋯}& \text{(i)}\\ r_{i-1}& =q_{i+1}·r_i& \text{ ⋯}& \text{(i+1)}\end{array}$

でした。ここで $\text{(1)}$ を変形して、

$r_1=u_1·a+v_1·b$

とします。$u_1=1\text{, }{v}_1=-q_1$ です。次に、今求めた $r_1$ と $\text{(2)}$ を使うと、

$r_2=u_2·a+v_2·b$

の形に表せることになります。 です。さらに、求まった $r_1$ と $r_2$ と $\text{(3)}$ を使って、

$r_3=u_3·a+v_3·b$

と表せることが分かります。このステップを順に続けていって $\text{(i)}$ まで到達すると、

$r_i=u·a+v·b$
　$u$, $v$ は $q_j\left(1\le j\le i\right)$ の式

となることがわかります。$r_i=gcd\left(a,b\right)$ だったので、2.2 が証明できました。$u$ と $v$ のうち、一つは正の整数、もう一つはゼロか負の整数です。一つがゼロであるのは、$a=b$ のときです。なお、2.2 を満たす $u$、$v$ に、

$u·a+v·b=0$

を満たす $u$、$v$ をそれぞれ足し込んでも 2.2 が成立することが明白です。つまり 2.2 を満たす $u$、$v$ は１組というわけではありません。

なお、2.2 は次のように言い換えることができます。

2.2a	不定方程式の整数解
$a$ と $b$ を自然数とする。このとき、不定方程式 $ax+by=gcd\left(a,b\right)$ は整数解をもつ。

拡張ユークリッドの互除法のアルゴリズム

ユークリッドの互除法を拡張して、$a$ と $b$ が与えられたとき、$\gcd \left(a,b\right)$ と、

$au+bv=gcd\left(a,b\right)$

を満たす $u$ と $v$（＝無数にある解のうちの一つのペア）を同時に計算してしまうアルゴリズムを考えてみます。

考え方は 2.1b のユークリッドの互除法と同じで、解くべき問題を「等価でより小さな問題」に置き換えます。そのために $a=qb+r$ とおくと、2.1a より、

$gcd\left(a,b\right)=gcd\left(b,r\right)$

なので、問題は次のように書き換えられます。

$\left(qb+r\right)u+bv=gcd\left(b,r\right)$

ここで、未知数の $u$ と $v$ を次のように変換します。

$$\begin{gathered} u=V \\ v=U-qV \end{gathered}$$

これを代入して式を整理すると

$bU+rV=gcd\left(b,r\right)$

となり、"小さな問題" に変換することができました。この考え方でアルゴリズムを記述すると次のとおりです。

2.2b	拡張ユークリッドの互除法
a と b から拡張ユークリッドの互除法で（u, v, 最大公約数）の３つを同時に求める関数 extdEUCLID（Javascriptで記述） function extdEUCLID( a, b ) { 　var r = a % b;  // ① 　if( r == 0 ) 　　return { u : 0, v : 1, gcd : b };  // ② 　else { 　　var q = Math.floor( a / b );  // ③ 　　var s = extdEUCLID( b, r );  // ④ 　　return { 　　　u : s.v,  // ⑤ 　　　v : (s.u - q * s.v),  // 　　　gcd : s.gcd  // 　　}; 　} }

以下は、このアルゴリズムの補足説明です。

①	var：変数の宣言。%：剰余演算子。
②	a が b で割り切れるなら解が求まる。自然な解を関数値として返す。関数値は３つの変数（u, v, gcd）をひとまとめにしたオブジェクト。
③	商を求め、小数点以下を切り捨て整数化する。Javascript には実数・整数の区別がないので整数化（組み込み関数の Math.floor）が必要。
④	小さな問題として計算する。
⑤	変数を元に戻して、関数値（u, v, gcd）を返す。

この拡張ユークリッドの互除法のアルゴリズムは、2.1b のユークリッドのアルゴリズムとほぼ同じです。ただし、$u$ と $v$ の計算のために変数を変換しているので、最大公約数を計算したあとに元の変数値を求める必要があります（＝⑤）。そこが違います。

このことから、拡張ユークリッドの互除法の計算量は、ユークリッドの互除法のほぼ２倍だと推測できます。計算は少々複雑になりますが、たとえ $a$ や $b$ が巨大な数であっても、コンピュータで高速に計算できる。このことは次の「整数の逆数」の項で述べるように、RSA暗号にとっての重要ポイントになります。

整数の逆数

2.2 から導かれる次の定理は、RSA暗号にとって重要です。

2.3	逆数の存在
$gcd\left(a,m\right)=1$ なら（＝ $a$ と $m$ が互いに素なら）、 $a·b\equiv 1\left(modm\right)$ となる $b$ が存在する。この $b$ は $1\le b<m$ の範囲では一意に定まる（＝ $m$ を法として唯一）。

2.2 において $a$と互いに素な数 $m$ を選び、$b=m$ とおくと、$gcd\left(a,m\right)=1$ なので、適当な $u$ と $v$ をとることにより、

$u·a+v·m=1$

とすることができます。すなわち、

$a·u\equiv 1\left(modm\right)$

となり、2.3 が示されました。2.3 において $b_1$ と $b_2$ の２つの解があるとすると、

$$\begin{gathered} a·b_1\equiv 1\left(modm\right) \\ a·b_2\equiv 1\left(modm\right) \\ a\left(b_1-b_2\right)\equiv 0\left(modm\right) \\ m|a\left(b_1-b_2\right) \end{gathered}$$

となり、$a$ と $m$ は互いに素なので 1.3a より、

$$\begin{gathered} m|\left(b_1-b_2\right) \\ {b}_1\equiv b_2\left(modm\right) \end{gathered}$$

となります。従って、$1\le b<m$ の範囲に $b$ があり、かつ、この範囲で $b$ は一意に定まります。$m$ を法として $b$ と合同な数も解であることは明白ですが、それらの解は $m$ を法として唯一です。

---

2.3 の "逆数" を計算するアルゴリズムは、拡張ユークリッドの互除法2.2 のアルゴリズム（2.2b）と基本的に同じです。

2.3a	逆数の計算アルゴリズム
m を法とする a の逆数を求める関数 INVERSE（Javascriptで記述） function INVERSE( a, m ) { 　var b = extdEUCLID( a, m ).u % m; // ① 　return ( b + m ) % m; // 　function extdEUCLID( a, b ) { 　　var r = a % b; 　　if( r == 0 ) 　　　return { u : 0, v : 1, gcd : b }; 　　else { 　　　var q = Math.floor( a / b ); 　　　var s = extdEUCLID( b, r ); 　　　return { 　　　　u : s.v, 　　　　v : (s.u - q * s.v), 　　　　gcd : s.gcd 　　　}; 　　} 　} // extdEUCLID 終わり // } // INVERSE 終わり

①で、extdEUCLID のアルゴリズム（2.2b）を使って $u$ を求め、それを $m$ 未満の自然数に直して答えの $b$ を求めています。（ b + m ）% m は b が負の場合の配慮です。このアルゴリズムは正確に言うと、$a$ と $m$ が与えられたとき、

$a·b\equiv gcd\left(a,m\right)\left(modm\right)$

となる $b$ を求めるアルゴリズムです。$a$ と $m$ が互いに素でなくても成立します。

---

この "逆数の存在定理" は RSA暗号において秘密鍵の算出に使われています。冒頭の「RSA暗号の例題」に書いたように、RSA暗号の公開鍵と秘密鍵は、まず秘密の２つの素数 $p$ と $q$ を決め、

$n=p·q$

とします。そして $e$ を、

$gcd\left(e,\left(p-1\right)\left(q-1\right)\right)=1$

となるように決め、$n$ と $e$ を公開鍵とするのでした。そして秘密鍵 $d$ を、

$d·e\equiv 1\left(mod\left(p-1\right)\left(q-1\right)\right)$

を満たす数とします。この秘密鍵 $d$ の計算は、$mod\left(p-1\right)\left(q-1\right)$ の世界で $e$ の逆数を求めていることに他なりません。逆数の存在が保証されるのは、$e$ を $\left(p-1\right)\left(q-1\right)$ と互いに素という条件で決めたからです。さらに、この逆数の計算アルゴリズムは 2.2b の拡張ユークリッドの互除法と同じなので高速に計算できることが重要ポイントです。

---

普通、整数の "逆数"は（整数の範囲で）定義できません（1以外は）。しかし、"$modm$ の合同の世界" では、$m$ と互いに素な数 $a$ に対して逆数が定義できることになります。つまり整数の範囲で「割り算」が定義できる。

たとえば $mod10$ の世界では $7\times 3=1$ であり、$7$ の逆数は $3$ です。割り算は逆数のかけ算なので、たとえば $8÷7=8\times 3=4$（$mod10$ の世界）といった演算が定義できます。"検算" をすると $4\times 7=8$（$mod10$ の世界）なので合っています。

$mod10$ の場合は実用的な意味はありませんが、$p$ を素数としたとき「$modp$ の世界」は大変重要です。というのも $p$ 未満の自然数はすべて $p$ と互いに素だからです。つまり $p$ 未満の全ての自然数に対して "逆数" が定義できます。

2.3b	逆数の存在：法が素数
$p$ を素数とする。$p$ 未満の自然数 $a$ に対して、 $a·b\equiv 1\left(modp\right)$ を満たす逆数 $b$ が $1\le b<p$ の範囲で一意に定まる。また、異なる $a$ に対する逆数 $b$ は異なる。

2.3b はほとんど 2.3 と同じです。「異なる $a$ に対する逆数 $b$ は異なる」というところですが、もし $1\le i<j<p$ である $i$ と $j$ に対して、

$$\begin{gathered} i·b\equiv 1\left(modp\right) \\ j·b\equiv 1\left(modp\right) \end{gathered}$$

となったとすると、

$\left(j-i\right)·b\equiv 0\left(modp\right)$

ですが、$\left(j-i\right)$ も $b$ も $p$ と素なので矛盾します。異なる $a$ に対する逆数 $b$ は異なります。

このように逆数が存在するということは、$p$ 未満の２つの自然数の "除算" が定義できます。さらに、$0$ と $p$ 未満の自然数を合わせると加減乗除が行えることになります。

加減乗除が定義された集合を「体（Field）」と呼びます。有理数、実数、複素数は「体」ですが、「$0$ と $p$ 未満の自然数」も体になります。これを ${\mathbb{F}}_p$ と表記します。この集合の要素の数は有限個なので「有限体」です。 ${\mathbb{F}}_{13}$ の場合（$mod13$）で "逆数" の計算をしてみると、

$\begin{array}{rr}1·& 1\equiv 1\left(mod13\right)\\ 2·& 7\equiv 1\left(mod13\right)\\ 3·& 9\equiv 1\left(mod13\right)\\ 4·& 10\equiv 1\left(mod13\right)\\ 5·& 8\equiv 1\left(mod13\right)\\ 6·& 11\equiv 1\left(mod13\right)\\ 7·& 2\equiv 1\left(mod13\right)\\ 8·& 5\equiv 1\left(mod13\right)\\ 9·& 3\equiv 1\left(mod13\right)\\ 10·& 4\equiv 1\left(mod13\right)\\ 11·& 6\equiv 1\left(mod13\right)\\ 12·& 12\equiv 1\left(mod13\right)\end{array}$

となり、$0$ 以外の ${\mathbb{F}}_{13}$ の要素は、その逆数（＝逆元）と１対１に対応していることがわかります。

${\mathbb{F}}_p$ においては "整数" の加減乗除を "自由かつ厳密に" 行うことができます。これは、全ての情報を２進数に帰着させて扱うデジタル・コンピュータとの相性がよい。このため、公開鍵暗号の中には ${\mathbb{F}}_p$ の演算を利用したものがあります。

なお、$p$ を素数としたとき「$p$ 未満の自然数はすべて $p$ と互いに素」ということは「$\left(p-1\right)!$ と $p$ は互いに素」ということです（" $!$ " は階乗記号）。これは次の「フェルマの小定理」の証明に出てきます。

---

３. フェルマの小定理

---

フェルマの小定理は RSA暗号の根幹にかかわるものです。フェルマは17世紀フランスの大数学者（1607-1665）で、有名なフェルマの最終定理（大定理）と区別するために「小定理」の名があります。

3.1	フェルマの小定理
$p$ を素数とし、$a$ を $p$ とは素な数とすると、 $a^{p-1}\equiv 1\left(modp\right)$ が成り立つ。

これは少々意外な定理です。我々が学校で習う素数は、自身と $1$ 以外の約数を持たない数という定義か、素因数分解の定理か、そういうものです。「素数がもつ性質」に言及した定理はあまり思い浮かばない。しかしフェルマの小定理は、素数であれば必ずこうなると言っているわけです。これは次のように証明できます。

$1,2,3,\dots ,p-1$ のそれぞれに $a$ をかけて、

$a,2a,3a,\dots ,\left(p-1\right)a$

という数列を作ります。そして、それぞれの数を $p$ で割った剰余を $b_i$ とします。つまり、

$\begin{array}{rll}a& \equiv b_1& \left(modp\right)\\ 2a& \equiv b_2& \left(modp\right)\\ 3a& \equiv b_3& \left(modp\right)\\ \text{⋮}& & \\ \left(p-1\right)a& \equiv b_{p-1}& \left(modp\right)\end{array}$

です。$p$ は素数なので $1$ から $\left(p-1\right)$ までの数は $p$ と素であり、また $a$ は仮定により $p$ と素です。従って $b_i$ が $0$ になることはなく、$1\le b_i\le \left(p-1\right)$ です。このとき、$1\le i\text{, }j\le \left(p-1\right)$ である $i\text{, }j$ について、

$i\ne j$ であれば、必ず $b_i\ne b_j$

になります。なぜなら、もし $b_i=b_j$ とすると、1.1b（合同式の減算）より、

$\left(i-j\right)a\equiv 0\left(modp\right)$

です。仮定より $a$ は $p$ と互いに素なので、1.3 により（1.3 で $b=0$ の場合）、

$\left(i-j\right)\equiv 0\left(modp\right)$

となりますが、$1\le i\text{, }j\le \left(p-1\right)$ なので、

$i=j$

となり仮定に反します。つまり$i\ne j$ であれば、必ず $b_i\ne b_j$ です。ということは、$\left(p-1\right)$ 個の数、$b_i\left(1\le i\le p-1\right)$ は全て違う数であり、つまり、$1,2,3,\dots ,p-1$ を並び替えたものです。従って、$b_i$ を全部かけ算すると、

$b_1{b}_2{b}_3\dots b_{p-1}=\left(p-1\right)!$

となります。そこで、1.1c（合同式の乗算）を上の $\left(p-1\right)$ 個の合同式に適用して左辺と右辺を全てかけ合わせてしまうと、

$$\begin{gathered} \left(p-1\right)!·a^{p-1} \\ \equiv b_1{b}_2{b}_3\dots b_{p-1}\left(modp\right) \\ \equiv \left(p-1\right)!\left(modp\right) \end{gathered}$$

となります。ここで、$p$ は素数なので $p$ と $\left(p-1\right)!$ は互いに素です。すると 1.3 により、

$a^{p-1}\equiv 1\left(modp\right)$

となり、証明が完成しました。

（次回に続く）

---

タグ：JavaScript 素数 アルゴリズム 素因数分解 最大公約数 合同 平文 RSA暗号 フィボナッチ数列 公開鍵 公約数 ヘルマン 暗号文 累乗 約数 秘密鍵 公開鍵暗号 ディフィー リベスト シャミア エーデルマン 冪乗 因数 合成数 互いに素 ユークリッドの互除法 拡張ユークリッドの互除法 フェルマの小定理

No.308 - 人体の９割は細菌（２）生態系の保全

（前回から続く）

アランナ・コリン 「あなたの体は９割が細菌」 （矢野真千子 訳。河出文庫 2020）

前回の No.307「人体の９割は細菌（１）」は、アランナ・コリン著「あなたの体は９割が細菌」（訳：矢野真千子。河出書房 2016。河出文庫 2020。原題 "10% Human"。以下「本書」と書きます）の紹介でした。この本は大きく分けて次の２つのことが書かれています。

◆	21世紀病 20世紀後半に激増して21世紀には当たり前になってしまった免疫関連疾患、自閉症、肥満などを、著者は「21世紀病」と呼んでいます。これと、ヒトと共生している微生物の関係を明らかにしています。

◆	生態系の保全 ヒトと微生物が共生する「人体生態系」を正常に維持するためは何をすべきか。またその逆で、人体生態系に対するリスクは何かを明らかにしています。

前回は「21世紀病」の部分の紹介でしたが、今回は「生態系の保全」の部分から「抗生物質」「自然出産と母乳」「食物繊維」の内容を紹介します。なお本書で「生態系の保全」という言い方をしているわけではありません。

---

抗生物質のリスク

---

ペニシリンの発見（1928年）以降、抗生物質は人類に多大な恩恵を与えてきました。実は本書の著者も2005年、22歳のとき、マレーシアでコウモリの調査中に熱帯病に感染し、一時まともな生活が送れないようになりましたが、抗生物質による治療で回復しました。

しかし著者は、抗生物質の意義とメリットを十分に認識しつつも、その使用にはリスクがあることを説明しています。つまり、投与された抗生物質が感染症の原因菌だけでなく、ヒトと共生している微生物も殺してしまい、マイクロバイオータの様相が変わってしまうというリスクです。

その抗生物質が、現代社会においては感染症の治療以外に過剰に使用されているのが現実で、その一つが畜産業です。

1940年代後期、アメリカの科学者たちは思いがけず、ニワトリに抗生物質を与えると成長が50%近く促進されることを見出した。当時、アメリカでは都市に人口が流入し、市民は生活費の高さに辟易していた。戦後の「欲しいものリスト」の上位に安価な食肉が挙がった。抗生物質によるニワトリへの成長促進効果はまさに天からの贈り物で、農家はウシやブタ、ヒツジ、7面鳥の飼料に毎日少量の薬を混ぜるだけで食肉家畜がどんどん大きくなるのを見て上機嫌だった。 農家は、薬が成長を促すメカニズムについても、その結果についても知らなかった。食料不足で価格が高騰していたこの時代、薬の費用よりもニワトリが太ることで得られる利益が大幅に上回った。以来、「治療量以下」の抗生物質を投与するのは畜産業での日常業務となった。 ざっと推定すると、アメリカでは抗生物質の70%が家畜用に使われているという。おまけに、抗生物質を使えば感染症を心配せずに狭い場所に多くの家畜をつめこむことが可能だ。アメリカでは、この成長促進剤なしに同じ重量の食肉を出荷しようとすると、4億5200万羽のニワトリと、2300万頭のウシ、1200万頭のブタが毎年余分に必要になる。 アランナ・コリン 『あなたの体は９割が細菌』 （矢野真千子 訳。河出文庫 2020）p.218

ここで懸念が出てきます。家畜が抗生物質で太るなら人間も太るのではないかという点と、家畜の肉に残留した抗生物質が人間に悪影響を与えるのではという懸念です。

また家畜の糞は有機農業に使われますが、家畜に投与された抗生物質のおよそ75%は糞となって排出されます。家畜の肉に残留している抗生物質の規制はありますが、農地に撒かれる肥料に含まれる抗生物質の規制はありません。つまり、動物由来の肥料で有機栽培された野菜は安全なのかという疑問も出てくるのです。

さらに家畜だけでなく、ヒトに対しても、本来の感染症治療を越えた抗生物質の投与がされる現実があります。

抗生物質による治療はぜったいに必要なものではない。アメリカの疾病管理予防センター（CDC）の推定によれば、同国で処方されている抗生物質の半分は不必要または不適切なものだという。その多くは、風邪またはインフルエンザを１日でも早く治したいと切望する患者に、半ば気休めで処方されている。風邪もインフルエンザも細菌ではなくウイルスによる病気であり、抗生物質は効かない。それに、ほとんどの風邪は命を危険にさらすことはなく、数日か数週間で治る。 「同上」p.223

アメリカで1998年に行われた調査によると、プライマリケア医が処方した抗生物質の4分の3が、5種類の呼吸器系感染症への治療目的だった。耳感染症、副鼻腔炎、咽頭炎、気管支炎、上気道感染症だ。上気道感染症で医者を訪れた2500万人のうち、30%に抗生物質が処方された。そんなに多くないとあなたは感じたかもしれないが、細菌が原因の上気道感染症はたったの5%しかない。咽頭炎も同様で、同じ年にそう診断された1400万人のうち62%に抗生物質が処方された。細菌性が原因の咽頭炎は10%しかないにもかわらず。全体でみるとその年に処方された抗生物質の55%は不必要なものだった。 「同上」p.224

抗生物質が殺すのは細菌であって、ウイルスではありません。従ってウイルスが原因の病気に抗生物質は利きませんが、このことを知っている患者は少ない。患者はどうしても薬の処方を医者に求める傾向にあり、医者も細菌による感染症を防ぐために "念のため" 抗生物質を処方するという現実があるのです。

---

抗生物質の多用が生み出す問題点の一つは耐性菌の出現です。ペニシリンが感染症の治療に使われ始めたのは1940年代前半ですが。数年後には早くもペニシリン耐性菌が見つかり、1950年代にはごく一般的な黄色ブドウ球菌がペニシリン耐性を持つようになりました。

1959年、イギリスでペニシリン耐性の黄色ブドウ球菌を治療するためにメチシリンという新しい抗生物質が使われ始めましたが、早くも３ヶ月後にはペニシリンとメシチリンの両方に耐性をもつ黄色ブドウ球菌の新株が出現しました。これが MRSA（メシチリン耐性黄色ブドウ球菌）です。以来、MRSAは全世界で毎年数万人から数十万人の命を奪っています。もちろん耐性菌はMRSAのほかにもあります。

さらに問題点は、抗生物質が病気の原因菌だけでなく、広範囲の細菌を殺すということです。もちろんヒトと共生している微生物も影響を受けるわけで、ここが本書の眼目です。

抗生物質は細菌の単一種だけを標的にすることはできない。ほとんどの抗生物質は、広範囲の細菌種を殺す「広域抗生物質」だ。このタイプの薬は問題を引き起こしている細菌の種類を特定することなくあらゆる感染症に使えるため、医者にとっては好都合だ。原因菌を特定するには培養と同定の作業が必要で、それにはお金も時間もかかるうえ、ときには不可能なこともある。 標的を絞った「狭域抗生物質」でさえ、病気の直接原因となっている菌種だけを選んで殺すことはできない。同じグループに属する細菌すべてを標的としてしまう。こうした大量破壊兵器がもたらす結果はアレクサンダー・フレミング（引用注：ペニシリンの発見者）でさえ予測できなかった。 「同上」p.229

抗生物質は大量破壊兵器というか、無差別爆撃をしているようなものです。目標とする病原菌以外の細菌も広範囲に殺してしまう。この悪影響が極端に現れたのが「クロストリジウム・ディフィシル感染症」です。

耐性獲得と大量破壊という抗生物質の両方のマイナス面が重なって出現した危険な病気に、クロストリジウム・ディフィシル感染症がある。クロストリジウム・ディフィシルという細菌が引き起こすこの感染症は、1999年にイギリスで500人の死者を出した。その多くは抗生物質の治療を受けた患者だった。2007年には、同じ感染症で4000人近くが死亡した。 できることならこの病気では死にたくない。腸内に棲むクロストリジウム・ディフィシルは毒素を産生し、悪臭をともなう絶え間ない水状の下痢を引き起こす。それにより、脱水症状、重篤な腹痛、急激な体重減少が生じる。クロストリジウム・ディフィシル感染症の患者は、たとえ腎不全を免れたとしても、中毒性の巨大結腸症を生き延びなければならない。巨大結腸症とは読んで字のごとく、腸内で発生した余分なガスが結腸を異常に膨らませてしまう症状だ。虫垂炎と同じく破裂の危険があり、破裂したときの危険性は虫垂炎どころではない。腹腔内に糞便とあらゆる種類の細菌がばらまかれることになるため、生存率は著しく下がる。 クロストリジウム・ディフィシル感染症の発生件数および死亡者数の上昇は、抗生物質耐性菌の進化と歩調を合わせている部分がある。1990年代に、クロストリジウム・ディフィシルは危険な新株に進化し、病院内で広まった。この株は耐性が強いだけでなく、毒性も強かった。そして、もう一方の原因である抗生物質の過剰使用の問題をくっきりと浮かび上がらせた。 クロストリジウム・ディフィシルは一部の人の腸内においては、さほどトラブルを起こさず、かといって役に立つこともせずに無為に過ごしている。だが、ほんのちょっとしたきっかけで牙をむく。そのきっかけをつくるのは抗生物質だ。腸内マイクロバイオータが健康でバランスがとれているあいだは、クロストリジウム・ディフィシルは小さなくぼみに押しこめられて身動きがとれないから、悪さをすることもできない。だが、抗生物質、とりわけ広域抗生物質がマイクロバイオータを攪乱すると、クロストリジウム・ディフィシルが勢力を広げる「余地」ができる。 「同上」p.229

広域抗生物質がマイクロバイオータを攪乱すると、クロストリジウム・ディフィシル感染症だけでなく様々な副作用が出てくると想定できます。

では「21世紀病」と「抗生物質の多用」は関係しているのでしょうか。たとえば肥満です。統計によると抗生物質の使用量の増加と肥満の増加には相関関係があります。しかし相関関係があるからといって因果関係を断定できません。

実は、抗生物質の投与でヒトの体重が増えるという結果は、既に1950年代に出ていました。もちろん倫理的な理由により実験はできませんが「意図せずに行った実験」があるのです。

1953年にアメリカ海軍は新兵に抗生物質で治療する試験を開始した。連鎖球菌の感染症を減らすのに、オーレオマイシン（引用注：現在ではヒトに対しては皮膚の化膿性感染症の治療に使われる抗生物質）を予防的に使えるかどうかを調べたのだ。新兵の若者たちは軍の規定により身長と体重を記録されていたため、それがのちに予定外のテーマを研究するときのデータとなった。抗生物質を投与された新兵は、見た目はそっくりのプラセボを投与された新兵より著しく体重を増やした。このときも、抗生物質の投与は栄養価を高める潜在力があるとして好意的に受けとられ、懸念材料とみなされることはなかった。 「同上」p.235

抗生物質が体重を増やすとして、では現在の肥満（BMIが30超）の広がりは抗生物質と関係しているのでしょうか。抗生物質がマイクロバイオータにおける細菌の構成比を変え、それが肥満につながるという「仮説」については数々の研究があります。仮説が正しいとする研究もあるのですが、著者はまだ断定するのは早いと言っています。

---

抗生物質と自閉症についても議論の最中ですが、全く無関係とは思えないと著者は書いています。エレン・ボルトの息子のアンドリューが自閉症を発症したのは抗生物質での治療中でした（No.307「人体の90%は細菌（１）」の「21世紀病：自閉症」の項）。

また抗生物質がアレルギーのリスクを高めることについては、数々のエビデンスがあります。さらに、１型糖尿病は感染症にかかったあとに発症することが多いことが知られていますが、これは感染症の治療に使われた抗生物質が原因ではないかと疑われています。

---

著者はマレーシアでのフィールドワークでダニから熱帯病に感染し、抗生物質の投与で治癒しました（前述）。しかし治癒したあとに別の体の不調に悩まされるようになりました。発疹ができたり、胃腸が弱くなったり、感染症にかかりやすくなったりです。このことが、まさに著者が本書を執筆した動機でした。21世紀病との関係で言うと、今まで展開してきた２つの議論、つまり、

・	マイクロバイオータの変調が21世紀病の一因になっている
・	抗生物質がマイクロバイオータを攪乱する

を結びつけると「抗生物質の多用が21世紀病の一因になっている」というのは蓋然性が高いと考えられます。現在、さまざまな研究・議論が行われているところです。とにかく、感染症の治療以外の目的での抗生物質の使用（食肉生産のコスト削減が代表的）は無くすべきでしょう。

---

自然出産と母乳の意味

---

マイクロバイオータが体内で発達する第１段階は、出産と授乳のプロセスにあります。母親の体内の胎児は無菌状態です。その子が共生する微生物を受け取るのは、まず母親からです。それは第１に出産のときであり、第２に母乳からです。

自然出産

細胞の数だけで言うなら、赤ん坊はこの世に生まれて最初の数時間で「大半がヒト」の状態から「大半が微生物」の状態に切り替わる。子宮内部の羊水につかっているとき、胎児は外界の微生物からも母親の微生物からも守られている。だが、破水と同時に微生物の入植がはじまる。赤ん坊は産道を通るとき、微生物のシャワーを浴びる。ほぼ無菌状態だった赤ん坊を、膣の微生物が覆っていく。 産道から顔を出すとき、赤ん坊は膣の微生物とはまた別のタイプの微生物を受けとる。そう、誕生直後に母親の糞便を摂取するのはコアラだけではないのだ。子宮収縮ホルモンの作用と降りてくる胎児の圧力を受けて、陣痛中や出産時にほとんどの女性は排便する。赤ん坊は顔を母親のお尻の側に向けて頭から先に出てくる。そして母親がつぎの陣痛に備えて体を休めているあいだ、赤ん坊の頭と口はうってつけの位置に来る。あなたは本能的に顔をしかめるかもしれないが、これは幸先のいいスタートだ。母から子への最初の贈り物、糞便と膣の微生物が無事に届けられることになるのだから。 これは進化的に「適応した」誕生だ。肛門が膣口のすぐそばにあるのも、子宮収縮ホルモンが直腸を刺激して排便を促すのも、別段悪いことではない。自然選択は、それが赤ん坊の役に立つから選んだのだろう。あるいは、少なくとも害にはならないから排除しなかった。微生物とその遺伝子 ── 母のゲノムとうまく調和して働いていた遺伝子 ── を受けとった赤ん坊は、希望に満ちた人生のスタートを切る。 「同上」p.300

このプロセスをみると、帝王切開で生まれた子どもは母親からの最初の微生物を受け取らないことになります。従来、帝王切開のリスクとして赤ん坊の皮膚に傷がつくことがあるとか、一時的な呼吸障害などの短期的なリスクが指摘されてきました。

しかし、帝王切開で生まれた子の長期的な影響まで言及されることはめったにない。以前はさして害のない代替手段と思われていた帝王切開だが、母子ともに健康リスクがあることが徐々に明らかになってきた。早くにわかったこととして、帝王切開で生まれた赤ん坊は感染症になりやすいというのがある。メチシリン耐性黄色ブドウ球菌（MRSA）に感染した新生児の80%は帝王切開で生まれている。帝王切開で生まれた子は幼児期にアレルギーを発症しやすい。母親がアレルギーで（おそらく遺伝因子があり）、なおかつ帝王切開で生まれた子は、そうでない子より7倍もアレルギーになりやすい。 「同上」p.308

その他、自閉症、強迫性障害、１型糖尿病、セリアック病などの発症リスクが、経膣出産（自然出産）よりも高まることが指摘されています。肥満でさえ、帝王切開との関連を指摘するデータがあります。

すでにお気づきのとおり、これらはどれも21世紀病だ。細かく見れば、それぞれに環境要因や遺伝因子など幅広い要素が関係しているものの、帝王切開が21世紀病のリスクを高めているのは明らかだ。 赤ん坊の腸のマイクロバイオータを採取・分析すると、生後数か月が経過していても、その子が帝王切開で生まれたか経膣出産で生まれたかがわかる。産道をとおって生まれた赤ん坊の体外と体内にできている膣由来微生物のコロニーが、帝王切開で生まれた赤ん坊にはできていないのだ。 母親のお腹の「サンルーフ」から（引用注：帝王切開で）出てきた赤ん坊が最初に出合うのは環境中の微生物だ。手袋をはめた手で引っぱり出され、母親の腹部の皮膚をさっとかすめ、不安そうな両親に少しばかり挨拶し、そそくさと手術室から連れ出され、タオルにくるまれ詳細な検査を受ける。消毒が徹底された手術室で生まれる赤ん坊にとってはじめて出合う微生物は、母親と父親、医療スタッフの皮膚の細菌だ（運が悪ければ連鎖球菌や緑膿菌やクロストリジウム・ディフィシルなど強靭な細菌と出合ってしまう）。帝王切開で生まれた赤ん坊の腸のマイクロバイオータは、皮膚の細菌が基礎となって形成される。 「同上」p.308

本書に「いまでは開腹手術で最も多い手術が帝王切開」とあります。それほど帝王切開が広まっている。もちろん帝王切開は医療上の重要な手段です。一部の女性にとってはこの方法しか子どもを生む手段がありません。しかしWHOは帝王切開の実施率を全出産の10～15%に収めるべきだとしています。「出産の危険から母子を守る」ことと「帝王切開によるリスクを避ける」ことのバランスをとるためには、この程度の数字が妥当なのです。

母乳

赤ちゃんが母親から受け継ぐ微生物環境の第２番目は、母乳由来のものです。

オリゴ糖と総称される糖類があります。これはブドウ糖などの単糖類が数個～10個程度結合したものです。母乳にはオリゴ糖が含まれていますが、ヒトの消化酵素はオリゴ糖を分解できません。実は、母乳のオリゴ糖は細菌の餌です。1983年に、ジェニー・ブランド＝ミラー教授とその夫が行った研究が「母乳に含まれるオリゴ糖の意味」を明らかにしました。

オリゴ糖は単糖が数個結合した炭水化物の総称で、ヒトの母乳には130種類ほどが含まれている。この種類の多さはヒトに特有な性質であり、たとえばウシの乳には数種類のオリゴ糖しか含まれていない。私たちは大人になってからオリゴ糖を含む食品を食べることはない。それなのに、妊娠期と授乳期に女性の乳房組織でつくられる。機能のないものをわざわざつくるのは、そこに重要な何かがあるからだと２人は思った。 ブランド＝ミラーと夫は仮説を確かめようと試験をした。赤ん坊にグルコースを水に溶かして与えたときと、精製したオリゴ糖を水に溶かして与えたときの、呼気に含まれる水素量を測定した。グルコースでは水素量が増えなかった。グルコースは小腸で吸収されてしまい、腸内細菌の餌にならなかったということだ。だが、オリゴ糖を与えたときの呼気には水素が大量にあった。オリゴ糖の分子は小腸をそのまま通過して、消化酵素ではなく腸内細菌に分解されていたということだ。 いまでこそ周知されているが、オリゴ糖は赤ん坊の腸の「苗床」で正しい細菌種を栄えさせる役目を果たしている。母乳で育つ赤ん坊には、ラクトバチルス属とビクテリウム属が優勢なマイクロバイオータが育っている。ヒトはオリゴ糖を消化できないが、ビフィドバクテリウム属の細菌は特殊な酵素を生成して、オリゴ糖を唯一の食料源にする。その廃棄物として出るのが短鎖脂肪酸だ。酪酸、酢酸、プロピオン酸は３大短鎖脂肪酸だが、このとき４番目の短鎖脂肪酸である乳酸塩（単に乳酸と呼ばれることもある）が放出される。これが赤ん坊にとって貴重な物質となる。乳酸塩は大腸の細胞に吸収され、赤ん坊の免疫系の発達に重要な役割を果たす。簡単に言うと、大人に食物繊維が必要なように、赤ん坊には母乳に含まれるオリゴ糖が必要なのだ。 細菌の餌となることだけが母乳に含まれるオリゴ糖の役目ではない。人生最初の数日と数週間、赤ん坊の腸のマイクロバイオータはとても単純で不安定だ。特定の細菌がいきなり増えたかと思うと、忽然と消える。肺炎連鎖球菌のような病原性の細菌が１つ入ってきただけで大混乱を起こし、多くの有益な細菌が破壊されることもある。オリゴ糖は混乱した腸内環境を平常に戻す働きをする。病原性細菌はなんらかの破壊行為をする前に、まず腸壁に付着する。そのためには細菌表面にある特別な結合部を使わなければならない。オリゴ糖はその結合部にぴったりはまって、病原性細菌が足場を築くのを阻止する。母乳に含まれる130種類のオリゴ糖のうち、数十種類は特定の病原体に鍵と鍵穴のように結合することがわかっている。 「同上」p.314

しかも、母乳のオリゴ糖の量は赤ちゃんの発達とともに変化します。これは赤ちゃんの腸内細菌の変化に対応しています。

母乳の成分は、赤ん坊の成長段階に応じて変わる。出産直後に出る初乳は免疫細胞と抗体に富んでいて、母乳１リットルあたりに小さじ４杯相当のオリゴ糖をたっぷり含んでいる。 数週間たって赤ん坊のマイクロバイオータが安定してくるころ、母乳の中のオリゴ糖含有量は減ってくる。出産後４か月になると１リットルあたり小さじ３杯未満となり、子どもが１歳の誕生日を迎えるころには小さじ１杯未満となる。 「同上」p.315

上の引用にもあるように、母乳には免疫細胞と抗体など、オリゴ糖以外の多様なものが含まれています。その一つが細菌です。これが最初に分かったのは "母乳バンク" でした。母乳バンクを運用する病院は、母親からの献乳を受け、それを母乳育児が困難な赤ちゃんに与えます。このとき、どんなに消毒をして採乳しても献乳の中に細菌が見つかるのです。

消毒の精度を極限まで上げた採乳技術とDNA解析技術を使って調べたところ、献乳の際に見つかる細菌は、もとから母乳にいた細菌だった。赤ん坊の口や母親の乳首から乗り移って混入したのではなく、乳房組織の中に入りこんでいた。いったいどこから？　乳房組織にいる細菌の多くは皮膚によくいる細菌とは違った。つまり、乳房の皮膚から乳汁に侵入したわけではない。乳房組織にいる細菌は、通常は膣や腸にいる乳酸菌だった。母親の糞便を解析すると、腸と母乳にいる細菌は同じだった。これらの微生物は大腸から乳房へと移動したようだ。 血液を調べて移動ルートがわかった。樹状細胞と呼ばれる免疫細胞の中に入って移動していたのだ。樹状細胞は細菌の密入国を手助けすることで知られている。腸を取り囲む厚い免疫組織の中にある樹状細胞は、長い腕（樹状突起）を伸ばして腸内にどんな細菌がいるかをチェックする。そして通常は、病原体を見つけたらそれを飲みこみ、別の免疫細胞（ナチュラルキラー細胞）の軍団がやってきて退治してくれるのを待つ。ところがなんと、樹状細胞は害のない有益な細菌までつかまえて飲みこみ、血流に乗って乳房に運ぶ。 「同上」p.317

オリゴ糖だけでなく、母乳に含まれる細菌も時間の経過とともに変化します。

赤ん坊の成長に合わせて母乳のオリゴ糖含有量が変わるように、母乳に含まれる細菌も変わる。生後１日目に必要な微生物は、１か月後、２か月後、６か月後に必要な微生物とは違う。 出産直後の数日に出る初乳には数百種の微生物が入っている。ラクトバチルス属、連鎖球菌属、エンテロコックス属、ブドウ球菌属の細菌はすべて含まれており、その数は１ミリリットルあたり1000個体にもなる。赤ん坊は１日およそ80万個の細菌を母乳のみで摂取していることになる。 やがて母乳に含まれる微生物は数を減らしながら種類を変えていく。出産から数か月たった母乳には、成人の口内にいるのと同じ微生物が入っている。赤ん坊の離乳に備えてのことだろう。 「同上」p.318

まとめると、赤ちゃんは母乳から細菌を受け取ると同時に、その細菌の餌になるオリゴ糖も摂取します。その両方が赤ちゃんの成長に従って変化していく。となると、粉ミルクだけで育つ赤ちゃんにはリスクがあることが推定できます。現代の粉ミルクには重要な栄養成分がたくさん加えられていますが、免疫細胞や抗体、オリゴ糖、生なまの細菌までは入っていないのです

まず、粉ミルクで育つ赤ん坊は感染症にかかりやすい。母乳だけの赤ん坊に比べ、粉ミルクだけの赤ん坊は、耳感染症になるリスクが２倍、呼吸器感染症で入院するリスクが４倍、胃腸感染症になるリスクが３倍、そして腸の組織が死ぬ壊死性腸炎になるリスクが2.5倍とそれぞれ高くなる。乳幼児突然死症候群で死亡するリスクも２倍だ。 アメリカでの乳児死亡率（１歳未満で死亡する割合）は、母乳で育つ赤ん坊より粉ミルクで育つ赤ん坊のほうが1.3倍も高い。なお、この数字は、妊娠中の喫煙や貧困、教育など多方面の要素を考慮し、また赤ん坊自身の病気のために母乳育児が困難だったケースを除外している。先進国では乳児死亡率はすでに低くなっているので、１歳になる前に死亡する乳児を人数で見ると、母乳育児で1000人のうち2.1人、粉ミルク育児では2.7人である。もちろんこの程度で親が大騒ぎして心配する必要はないが、アメリカで毎年、400万人の赤ん坊が生まれていることを思えば、そのうち720人は、落とさずにすんだ命を落としているのかもしれない。 「同上」p.322

母親か赤ちゃん、または両方の理由で母乳育児が不可能な場合があります。その場合は粉ミルクが必要ですが、これはあくまで "やむをえない場合の策" と考えるべきでしょう。

---

食物繊維の重要性

---

本書には「あなたはあなたの微生物が食べたものでできている」と題した章があります（第６章）。よく言われるのは「あなたはあなたの食べたものでできている」で、 これはバランスの良い食事が大切だという意味です。そして、ヒトは微生物と共生している以上、微生物に必要な "餌やり" も重要なのです。

イタリアの研究者の調査結果が紹介されています。彼らはブルキナファソ（西アフリカの国）のある村の子どもと、フィレンツェの子どもの比較研究をしました。

ブルキナファソとイタリアの子どもの食事を改めて比べてみると、摂取量が明らかに違う栄養成分が見つかる。それは食物繊維だ。ブルキナファソの食事に大きな割合を占めている野菜、穀類、豆類はどれも繊維質を多く含んでいる。2歳から6歳までのイタリアの子どもが食事で摂取する食物繊維は2%に満たない。ブルキナファソでは3倍以上の6.5%である。 「同上」p.278

著者は、先進国では食物繊維の摂取が減っているとし、それをイギリスの具体例で説明しています。

・	イギリスの成人は、1940年代に1日およそ70グラムの食物繊維を摂取していたが、いまでは20グラムに落ちこんだ。
・	1942年には、食料供給が限られていた戦時中だったにもかかわらず、現在のほぼ2倍の野菜を食べていた。
・	典型的な1日の食事でとる新鮮な緑の野菜は、1940年代に7Oグラムだったが、2000年代には27グラムだ。
・	食物繊維に富む豆類、穀類（パンを含む）、ジャガイモも、1940年代以降は減っている。

などです。国によって違うとは思いますが、60年程度の長いレンジでみると、このような傾向は日本も同じではないでしょうか。

ブルキナファソの子どもたちのマイクロバイオームを遺伝子解析すると、プレボテラ属とキシラニバクテル属の細菌が75%という高い割合で見つかる。この両グループの細菌には、植物の細胞壁を形成しているキシランとセルロースを分解する酵素をつくる遺伝子がある。ブルキナファソの子どもはプレボテラとキシラニバクテルを腸に棲まわせているおかげで、食事の大半を占める穀類や豆類、野菜から、より多くの栄養を引き出すことができる。 一方、イタリアの子どもの腸にはプレボテラもキシラニバクテルもいない。植物性の餌が常時なければ生き残れない両グループの細菌は、イタリア人の腸内では適応できないからだ。そのかわり、イタリアの子どもの腸内ではフィルミクテス門の細菌が繁栄している。フィルミクテス門は、いくつかのアメリカの研究で肥満に関連していることがわかった分類群である。痩せた人の腸に多いのはバクテロイデーテス門の細菌だ。フィルミクテスとバクテロイデーテスの比率は、イタリアの子どもでは3対1だったのに対し、ブルキナファソの子どもでは1対1であった。 「同上」p.279

マイクロバイオータの細菌の種類は食生活によって変化します。アメリカで行われたボランティアによる実験のことが本書に書かれています。この実験では、肉や卵、チーズなど動物性食品を食べるグループと、穀類や豆類、果物、野菜など植物性食品を食べるグループに分けて、腸内微生物がどう変化するかを観察しました。予想どおり、腸内細菌の組成比が変わりました。植物食のグループは植物の細胞壁を分解できるタイプの細菌を急速に増やした一方、動物食のグループは植物好きの細菌を失い、蛋白質を分解し、ビタミンを合成し、炭化した肉に含まれる発癌物質を解毒するタイプの細菌を増やしました。

このように、食生活によってマイクロバイオータは変化します。そして著者は、このことが「異例なものを食べる集団にはとりわけ役に立つ」と書いていて、そこで日本人のことあげています。

たとえば、寿司好きの日本人にとって海苔は食生活の大きな部分を占める。日本人の多くは、海藻に含まれる炭水化物を分解するポルフィラナーゼという酵素をつくる遺伝子をもつ細菌（バクテロイデス・プレビウス）を腸内に棲まわせている。この遺伝子は元来、海藻の共生菌であるゾベリア・ガラクタニボランスの遺伝子だ。日本人の腸内にいるバクテロイデス・プレビウスは、過去のいつかの時点でゾベリア・ガラクタニボランスの遺伝子を盗み取ったようだ。 「同上」p.280

日本に住むヨーロッパ人で海苔や海藻が苦手な人は多いようです。生まれ育ったヨーロッパで海藻を食べる文化がないからですが、それは単なる好き嫌いだけではなく、海藻を分解する細菌を腸に持っていないからなのでしょう。そして多くの日本人がもつこの細菌の遺伝子は、もともと海藻と共生していた細菌から来たものだった ･･････。こういうところにも、進化の速度が速い細菌と共生している意義が認められます。

余談ですが、著者（英国人のアランナ・コリン）は海苔を食べる日本人を「異質なものを食べる」例として書いていますが、ウェールズの海岸地方では（ヨーロッパでは珍しく）海藻を食べます（Wikipediaの「ウェールズ料理」および「レイヴァーブレッド」の項参照）。アランナ・コリンはイングランド出身なのでしょう。もう少し英国の食文化に詳しければこういう表現にはならなかったと思います。

---

話を食物繊維に戻します。植物性食品に富む食生活は、痩せ型のマイクロバイオータを育てます。なぜそうなるのか。

No.307「人体の９割は細菌（１）」の「21世紀病：肥満」の項で、アッカーマンシア・ムニシフィラという細菌が腸壁の粘膜層を厚くし、細菌由来のリポ多糖（LPS）が血液中に入り込んで脂肪細胞に炎症を起こすのを防ぐ（＝従って肥満を防ぐ）ことを書きました。食物繊維の一種であるオリゴフルクトース（＝フルクラオリゴ糖）は、腸内のアッカーマンシアを大増殖させることが分かってきました。

さらに微生物が食物繊維を分解するときに出す短鎖脂肪酸が重要な働きを持っています。

じつのところ、重要なのは微生物そのものではなく微生物が食物繊維を分解するときに出す物質、短鎖脂肪酸（SCFA）だ。第３章でも述べたように（引用注：No.307「人体の９割は細菌（１）」の「21世紀病：自閉症」の項）、代表的な３つの短鎖脂肪酸は酢酸、プロピオン酸、酪酸で、微生物が食物繊維を分解したあと大腸に大量にたまる。この微生物の消化活動による副産物は、さまざまな作用の「鍵穴」にぴたりとはまる「鍵」となる。だが、短鎖脂肪酸の働きが私たちの健康に与える影響は、何十年ものあいだ過小評価されてきた。 そんな鍵穴の1つにG蛋白質共役受容体（GPR43）がある。これは免疫細胞の表面にある受容体で、短鎖脂肪酸の鍵がやってきて解錠されるのを待っている。だが、GPR43は何をするためのものなのか？　こういうとき生物学では、この受容体をつくる遺伝子の機能を失わせたノックアウト動物がどうなるのかを観察するのが早道だ。 ある研究チームは、GPR43のノックアウト・マウスを使った実験に取り出した。そして、この受容体をもたないマウスはひどい炎症を起こすこと、大腸炎や関節炎、喘息を発症しやすいことを突き止めた。受容体（鍵穴）は正常で、短鎖脂肪酸（鍵）がない場合はどうだろう。無菌マウスの腸には食物繊維を分解する微生物がいないので、鍵をつくることができない。鍵穴はあるのに解錠されない無菌マウスは、やはり炎症系の病気になりやすかった。 この実験結果は、GPR43が微生物とヒト免疫系のコミュニケーション経路であることを意味している。食物繊維好きの微生物は短鎖脂肪酸という鍵をつくって免疫細胞のドアを開け、自分たちを攻撃しないようにというメッセージを伝える（引用注：その結果、炎症が起きない）。GPR43は免疫細胞だけでなく脂肪細胞にもついている。短鎖脂肪酸の鍵が脂肪細胞のGPR43を解錠すると、脂肪細胞は肥大するのをやめて分裂する。脂肪細胞にとっては細胞分裂するのが健全なエネルギー蓄積法だ。さらに、短鎖脂肪酸の鍵でGPR43を解錠するとレプチンが放出され、満腹中枢が刺激される。食物繊維を食べると満腹感が得られるのはこのためだ。 「同上」p.284

また、短鎖脂肪酸一つである酪酸は、腸壁の細胞を結合している蛋白質の鎖を強め、腸壁を強固にします。

不健全な微生物集団は、腸壁の上皮細胞を結合させている鎖をゆるめる方向に働く。ゆるんだ腸壁にはすき間ができ、本来な血液中に入ってはいけない物質を通してしまう。その過程で免疫系が刺激されて起こる炎症が、21世紀病のいくつかの原因になっている。酪酸の働きはそのすき間をふさぐことだ。 腸の細胞を結合させている蛋白質の鎖は、人体のあらゆる作用を担っている蛋白質がそうであるように、遺伝子の指示で作られる。だが、ヒトはそうした遺伝子のコントロール権の一部を微生物の譲渡してしまった。腸壁の蛋白質の鎖をつくる遺伝子の発現量を決めているのは微生物だ。酪酸はそのメッセージを伝える。微生物が酪酸を多く出せば出すほど、ヒトの遺伝子は多くの蛋白質の鎖をつくり、腸壁は堅固になる。腸壁を堅固にするのに必要な条件は２つある。まずは正しい微生物だ（特定の食物繊維を小さな分子に分解するビフィイドバクテリウムや、その小さな分子を酪酸に変換するフィーカリバクテリウム・プラウスニッツィ、ロセッブリア・インテスチナリス、エウバクテリウム・レクタレなど）。そしてもう一つは、そうした微生物の餌となる食物繊維をあなたが多く食べることだ。そうすれば、あとは勝手にやってくれる。 「同上」p.286

短鎖脂肪酸が、腸内細菌とヒトの細胞のあいだの情報伝達物質になっているわけです。これはちょうど腸内細菌が出すPSAが制御性T細胞を誘導する話（No.307「人体の９割は細菌（１）」の「21世紀病：免疫関連疾患」の項）とそっくりです。

ヒトが自らの消化酵素で消化できない食物繊維が腸内細菌の餌になり、腸内細菌が食物繊維を消化した「余り」の脂肪酸が重要なメッセージ物質となって炎症などの免疫反応やや脂肪の蓄積がコントロールされる ･･････。ヒトは細菌と共生し、メリットを与え合い、互いに最適化してきたことがよく分かります。

---

ここまでで、アランナ・コリン著「あなたの体は９割が細菌」の "さわり" の紹介は終わりです。本書には以上のほかにも、皮膚常在菌や腸疾患、糞便移植（＝マイクロバイオータを正常に回復させる）など、興味深い話題があるのですが、省略したいと思います。以降は本書を通読した感想です。

本書の原題は「10% Human」で、副題を直訳すると「あなたの体の微生物が、いかに健康と幸福の鍵を握っているか」となる。

---

本書の感想

---

ヒトと共生している常在菌、特に腸内細菌とそれがヒトにあたえる影響については研究が進み、一般にも知識が広まってきました（NHKでも近年、特集が組まれた）。本書の多くはその "広まりつつある知識" ですが、それを包括的にまとめて記述したところに意義があると思いました。特に、個々の研究テーマについて、その発端から研究の進展を取材してストーリーを追って書いた構成が優れています。また、巻末にあげられている多数の参考文献・論文は、サイエンス・ライターとしての著者の姿勢を明確にしています。

本書のメッセージをシンプルに要約すると、

ヒトは細菌と共生している。それを前提に考えよう

ということだと思います。ヒトは細菌にメリットを与え、細菌はヒトにメリットを与える。その関係が最適化されて進化してきたのが人体であるということです。この前提に立つと、以下の様なことが見えてきます。

・	すぐに分かることは、ヒトが細菌に与えるメリットとは食べ物だということです。ということは、バランスの良い食事が重要だと理解できます。特に野菜を食べないのはまずい。なぜなら腸内細菌の餌を絶つことになるからです。もちろん、野菜に限らず餌を与えすぎてもいけない。「何事も適度に」です。
・	細菌がヒトに与えているメリットは実感できませんが、我々が健康に過ごすということの多くが共生している細菌と関係していると想像できます。
・	従って、共生細菌を殺してしまう行為はまずい。抗生物質の使用は感染症の原因菌を殺すという本来の目的に止とどめないと（それでさえ副作用が考えられる）、何が起こるか分かりません。畜産や養殖のコスト削減のためだけに抗生物質を使うなど論外ということになります。
・	食品添加物は大丈夫でしょうか。許可されている添加物はヒトにとって安全という検証がされているはずですが、ヒトと共生している細菌に影響は無いのか、そこまで配慮されているのかが疑問です。食品添加物を一切とらない生活は不可能だと思いますが、なるべく少なくするのが重要でしょう。
・	抗生物質が腸内の細菌を殺すものなら、体につける各種の抗菌剤入り商品は皮膚の常在菌を殺すことになります。抗菌剤のヒトにとってのメリットはない（＝メリットよりデメリットが大きい）でしょう。手を洗うなら石鹸で十分です（本書でも指摘してあります）。
・	共生細菌はヒトが外界から取り入れたものです。ということは、自然出産や母乳による育児が大切なことが理解できるし、清潔過ぎる環境で生活するのは問題です。

以上のようなことは、「ヒトは細菌と共生するのが前提」と考えれば、最新科学の知識がなくても理解、ないしは推測ができます。本書の訳者の矢野真千子氏は「訳者あとがき」で次のように書いていました。

自分の体を生態系として眺めれば、森林伐採、外来種の持ちこみ、農薬の使用、肥料のやりすぎを警戒すべき理由はいくらでもみつかる。 矢野真千子「訳者あとがき」 「あなたの体は９割が細菌」p.425

自然生態系と同じように、人体生態系（ヒト ＋ 共生微生物）を破壊してはならないし、人体生態系が持続可能なようにするのが、すなわち我々が生きていくということである ･･････。そう理解できるでしょう。

---

本書を読んで、ヒトは微生物と共生しているという時の "共生" の意味を深く理解できたと感じました。普通 "共生" と言うと、上に書いたように「互いにメリットを与え合っている」という風に理解します。それは正しいのですが、それだけではありません。本書に次のような例が出てきます。

◆	アッカーマンシア・ムシニフィラという細菌が腸壁を覆う粘膜層の表面に棲んでいる。この細菌はヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を確保する。そうすると粘膜層が厚くなり、細菌由来のリポ多糖が血液中に入り込むのが阻止される。この結果、脂肪細胞に過剰な脂肪が詰め込まれなくなる（＝肥満を防ぐなどの効果）。 No.307「人体の９割は細菌（１）」の「21世紀病：肥満」
◆	腸壁の上皮細胞は蛋白質の鎖でつながっている。この鎖がゆるむと、本来、血液中に入ってはいけない物質が透過し、免疫系を刺激して炎症を起こし、21世紀病の原因の一つになる。 細菌が食物繊維を分解したあとにできる酪酸（短鎖脂肪酸の一つ）は、腸壁の蛋白質の鎖を作る遺伝子の発現量を決めている。微生物が酪酸を多く出せば出すほど、ヒトの遺伝子は多くの蛋白質の鎖を作り、腸壁は堅固になる。 No.308「人体の９割は細菌（２）」の「食物繊維の重要性」
◆	バクテロイデス・フラジリスという細菌は、多糖類A（PSA）という物質を産生し、それを微小なカプセルに入れて細胞表面から放出する。このカプセルが大腸で免疫細胞に貪食されると、PSAが制御性T細胞を起動させる。制御性T細胞は他の免疫細胞に、バクテロイデス・フラジリスを攻撃しないようメッセージを送る。 No.307「人体の９割は細菌（１）」の「21世紀病：免疫関連疾患」
◆	細菌が食物繊維を分解したあと、大腸には短鎖脂肪酸（酢酸、プロピオン酸、酪酸）が大量にたまる。短鎖脂肪酸は免疫細胞の表面にあるG蛋白質共役受容体（GPR43）に結合し、それが細菌を攻撃しないようにというメッセージになる。そのGPR43は脂肪細胞の表面にもあり、そこに短鎖脂肪酸が結合すると脂肪細胞は肥大するのをやめて分裂する（＝肥満を防ぐ）。 No.308「人体の９割は細菌（２）」の「食物繊維の重要性」

つまりヒトと共生している細菌は、腸の壁を厚くし、腸壁の透過性を減少させ、過剰な免疫反応を防ぎ、脂肪細胞の肥大化を防ぐわけです。これはすなわち、

ヒトはヒトのからだのコントロールの一部を共生微生物にゆだねている

ことを意味します。「ヒトと微生物は共生するように進化してきた」とはそういうことです。改めて共生微生物の重要性を認識させられました。

---

本書には研究途中の事項もたくさん含まれています。著者も「確かな話はここまでで、ここからは推測である」「断定はできない」「相関関係があるからといって因果関係があるとは限らない」などの表現で、"確実に判明しているのではないこと" を明確にしています。このような記述態度には好感を持ちました。

最後に、本書の大きな特長は文章が優れていることです。おそらく著者と訳者の両方の力量だと思いますが、科学書としては珍しいような出来映えです。科学的知見を一般向けにどう平易に記述し、読者に訴えることができるか。やはり文章力は大切だと感じました。

---

---

タグ：乳酸菌 母乳 オリゴ糖 抗生物質 帝王切開 共生 乳酸 自然出産 マイクロバイオーム プロピオン酸 アランナ・コリン 矢野真千子 マイクロバイオータ 21世紀病 短鎖脂肪酸 あなたの体は9割が細菌

No.307 - 人体の９割は細菌（１）21世紀病

このブログの過去の記事で、人体に共生している微生物（主として細菌）がヒトにとって重要な役割を果たしていることを、本や雑誌の内容をもとに書いてきました。

No.  70 - 自己と非自己の科学（２）
No.119 -「不在」という伝染病（１）
No.120 -「不在」という伝染病（２）
No.225 - 手を洗いすぎてはいけない
No.229 - 糖尿病の発症をウイルスが抑止する

の５つの記事です。共生している微生物（"常在菌" と総称される）が不在になったり、微生物の種類のバランスが崩れるとヒトは変調をきたします。上の記事は微生物と免疫との関連でしたが、この場合の変調とは免疫関連疾患（＝アレルギーや自己免疫疾患）の発症です。

アランナ・コリン 著 矢野真千子 訳 「あなたの体は９割が細菌」 （河出文庫 2020）

この、"人体は微生物との共生で成り立っている" ことを書いた別の本を紹介したいと思います。アランナ・コリン著「あなたの体は９割が細菌」（矢野真千子・訳。河出書房 2016。河出文庫 2020。原題 "10% Human"。以下「本書」と記述）です。この本は免疫関連疾患だけなく、ヒトと共生微生物の関係を幅広く取り上げています。そこポイントです。

著者のアランナ・コリンは進化生物学の博士号をもつ英国人で、専門はコウモリのエコロケーション（超音波による物体位置認識）です。また、サイエンス・ライターとしても活躍しています。

以下、本書の内容の "さわり" を紹介しますが、本書では「マイクロバイオータ（microbiota）」と「マイクロバイオーム（microbiome）」を区別して使ってあります。

マイクロバイオータ：	微生物叢そう。人体と共生する微生物の総体。
マイクロバイオーム：	微生物叢そうがもつ遺伝子の総体。

です。一般には「マイクロバイオーム」で微生物叢そうも表すことがあります。

---

人体 ＝ ヒトと微生物との共生系

---

一般に生命体は微生物と共生していることが多く、高等生物である哺乳類でもよくあります。たとえば反芻動物であるウシです。ウシは４つの胃があり、そこに植物のセルロースを分解する細菌を住まわせていて、食べた草が４つの胃を行ったり来たりしているあいだに微生物が消化してくれる ･･････。これは広く知られていると思います。本書では同様の話としてジャイアントパンダの例が書いてありました。そこを引用してみます。

以降の引用では漢数字を算用数字に直し、また、段落を増やしたところがあります。下線は原文にはありません。

ジャイアントパンダは食肉目（ネコ目）クマ科に属する動物だ。クマ科にはグリズリーやホッキョクグマなどの仲間がいて、食肉目にはライオンやオオカミといった獰猛な動物が加わる。だが食肉目という分類群の名称に似合わず、ジャイアントパンダは肉食をしない。進化の過去に背くように竹を食べることに喜びを見出す。ジャイアントパンダには、ウシやヒツジなどの草食動物にあるような複雑で長い消化管はない。それに代わって大腸とそこに棲む微生物がいろいろな働きをする。 パンダのゲノムは食肉目のゲノムだ。肉の成分である蛋白質を分解する酵素をつくることのできる遺伝子はたくさんあるが、頑丈な植物性多糖類（炭水化物）を分解する酵素をつくることのできる遺伝子は一つもない。パンダは毎日およそ12キログラムの竹の茎をむさぼり食うが、そのうち2キロしか消化できない。腸内微生物がいなければ、その2キロでさえかぎりなくゼロに近づく。 しかし、解析されたパンダのマイクロバイオームからは、セルロースを分解する遺伝子が見つかった。これは本来ならウシやワラビー、シロアリなど草食動物のマイクロバイオームに見られる遺伝子だ。この遺伝子をもつ微生物を体内に棲まわせているおかげで、ジャイアントパンダは肉食動物だった過去の制約から自由になることができた。 アランナ・コリン 『あなたの体は９割が細菌』 （矢野真千子 訳。河出文庫 2020）p.265

引用にあるように、パンダ（ジャイアントパンダ）は食肉目（＝ネコ目）クマ科の動物です。食肉目はネコやライオン、クマ、イヌ、アザラシなどを含む分類で、その名のとおり肉食動物がほとんどです。しかしパンダは食肉目でありながら草食で、しかも竹を食べて生きている。それを可能にするのが共生微生物の働きなのです。

そして我々人間も哺乳類の一部であり、パンダと同様の話が当てはまります。たとえば、我々が食べる野菜にはヒトの消化酵素では消化されにくい炭水化物（＝難消化性の炭水化物）が含まれていて、それは「食物繊維」と総称されています。上の引用に出てきたセルロースもその一つです。食物繊維は胃から小腸まででは消化されずに大腸に至り、大腸に共生している微生物はそれを分解してエネルギー物質にしたり、必須ビタミンを合成したりします。

そういった共生微生物は、もちろん大腸だけでなく、皮膚、口腔、鼻腔、消化器系、膣などに生息していて、その数はヒトの細胞の数よりよほど多いのです。

あなたの体のうち、ヒトの部分は10%しかない。あなたが「自分の体」と呼んでいる容器を構成している細胞１個につき、そこに乗っかっているヒッチハイカーの細胞は９個ある。あなたという存在には、血と肉と筋肉と骨、脳と皮膚だけでなく、細菌と菌類が含まれている。あなたの体はあなたのものである以上に、微生物のものでもあるのだ。 微生物は腸管内だけで100兆個存在し、海のサンゴ礁のように生態系をつくっている。およそ4000種の微生物がそれぞれ独自の棲息地（ニッチ）を開拓し、長さ1.5メートルの大腸表面を覆うひだに隠れるようにして暮らしている。あなたは生まれた日から死ぬ日まで、アフリカゾウ５頭分の重量に匹敵する微生物の「宿主」となる。微生物はあなたの皮膚の上にもいる。あなたの指先には、イギリスの人口（引用注：約6700万）を上回る数の微生物が付着している。 「同上」p.15

ヒトの細胞の数は、最近の研究では約37兆個と言われています。そのうちの26兆は酸素を運ぶことだけに特化した赤血球です。赤血球にはDNAがなく、DNAをもつ通常の細胞という意味では11兆個程度です（No.225「手を洗いすぎてはいけない」参照）。一方、数だけからすると常在菌のほとんどは腸内細菌で、その数を100兆とすると、上の引用にあるように「ヒトの部分は10%しかない」ことになります。

ヒトの消化管（本書）

胃は強酸性で、ふつう微生物は棲めないが、ヘコバクター・ピロリ菌だけが生息している。 小腸は全長7メートルほどあり、食物が消化酵素で分解されて血液中に吸収される。ここには微生物も多く生息していて、小腸の出発点では1ミリリットルあたり約1万個、終点では1ミリリットルあたり1000万個の微生物がいる。 盲腸はテニスボール大の器官で、微生物の種類と数が一挙に増える。ここには4000種類、数兆個の微生物がひしめく。また虫垂は、食物の流れからはずれた位置にあり、微生物の「隠れ家」になっている。 大腸の殆どを占める結腸には1ミリリットルあたり1兆個の微生物が生息していて、消化されなかった食物を分解する。この副産物がヒトに有益かつ必須の影響を与える。なお図にはないが、口腔にも多様な微生物が生息している。

2000年に始まった「ヒトゲノム・プロジェクト」でヒトの全DNAが解読されました。そこで分かったことは、ヒトの遺伝子（＝蛋白質の製造指示）の数は線虫とほぼ同じ21,000個だということです。これは植物のイネの半分程度しかなく、31,000個の遺伝子を有するミジンコにも遙かに及びません。

もちろん、遺伝子の数だけで生物の複雑さを議論できません。生物の複雑さは遺伝子が作る蛋白質の組み合わせで決まります。ヒトもほかの動物も、ゲノムから引き出せる機能の数は遺伝子の数よりずっと多い。

とは言うものの、ここで見落としているのはヒトと共生している微生物の遺伝子です。ヒトの遺伝子にそれが加わると複雑さが格段に増す。この共生微生物の遺伝子を解読するプロジェクトが、2007年に開始された「ヒトマイクロバイオーム・プロジェクト」でした。

世紀の変わり目に私たちが見落としていたのは、2万1000個の遺伝子がすべてではないということだった。ヒトゲノム・プロジェクトの最中に生まれたDNA解析技術は、もう1つのゲノムの解析計画を可能にした。ヒトマイクロバイオーム・プロジェクトである。当初それほどメディアの注目を集めなかったヒトマイクロバイオーム・プロジェクトは、私たち自身のゲノムを調べるのではなく、人体に棲む微生物のゲノムの総体 ── マイクロバイオーム ── を調べて、どんな微生物種が存在しているのかを見つけ出そうという計画だった。 培養の困難さと酸素が研究の障害となることはなくなった。1億7000万ドルの予算と5年の期間をもってスタートしたヒトマイクロバイオーム・プロジェクトは、人体18か所の微生物共同体を解析することになった。解読するDNAの量はヒトゲノム・プロジェクトの数千倍にもなったが、ヒトと微生物の遺伝子を両方調べるということは、一人の人間をより包括的に理解することになる。 2012年にヒトマイクロバイオーム・プロジェクトの第１段階が終了したときは、大統領や首相が勝利宣言することはなく、そのニュースを記事にした新聞もごくわずかだった。だが、ヒトマイクロバイオームの解読は、ヒトゲノムの解読以上に、「ヒトとはどんな存在であるか」を明らかにしつつある。 「同上」p.26

ヒトマイクロバイオーム・プロジェクトが明らかにした共生微生物の遺伝子の総数は440万と本書にあります。つまりヒトの遺伝子の約200倍であり、遺伝子の数だけからすると人体におけるヒトの部分は0.5%しかないのです。しかも共生微生物のほとんどは単細胞生物であり、進化のスピードがヒトと比べものにならないぐらい速い。これらの（腸管だけで100兆の）共生微生物（＝マイクロバイオータ）と一緒に進化してきたのがヒトです。

この「人体 ＝ ヒトと微生物の共生系」という視点で考えると新たな事実や研究課題が見えてきます。そこを展開するのが本書の目的で、特に、

・	"21世紀病" とマイクロバイオータの関係
・	マイクロバイオータを正常に維持するために

という観点から数々の解説がされています。以下にその一部を紹介します。まず「21世紀病とマイクロバイオータ」の関係です。

---

「ふつう」でないことの急増 ＝ 21世紀病

---

19世紀末から20世紀初頭に増加の兆候が見え、1950年ごろから有病率が激増し、21世紀にはすっかり "定着" してしまった（＝あたりまえになってしまった）病気や疾患、症状があります。アレルギー、自己免疫疾患、心の病気（自閉症など）、肥満、腸の疾患などで、著者はこれらを「21世紀病」と呼んでいます。

たとえばアレルギーは、花粉、ホコリ、ペットの毛、牛乳、卵、ナッツ類などにヒトの免疫系が過剰反応して起こりますが、20世紀の後半に急増しました。アレルギーを起こす物質はどこにでもある平凡なものにもかかわらず、ヒトの免疫系が敵と見なして攻撃してしまいます。これはヒトにとっての「ふつう」だとは言えません。アトピー性皮膚炎と花粉症は、現在では人生の一部になってしまった人が多数いますが、これも「ふつう」の状態とは言えないでしょう。喘息もそうです。呼吸は生きていく上で欠かせないものなのに、薬に頼らないと息ができない子どもたちがたくさんいる。

では、自己免疫疾患はどうでしょうか。本書から引用します。

自己免疫疾患はどうだろう。1000人のうち4人が１型糖尿病を患っている現在、あなたの義妹がインスリン注射をしているのは別段めずらしいことではない。あなたの妻とその叔母の神経を破壊している多発性硬化症の名前もあちこちで見聞きする。 自己免疫疾患にはほかに、関節炎を生じさせる関節リウマチ、腸を襲うセリアック病、筋線維を変性させる筋炎、細胞をその中心から崩壊させる狼瘡（引用注：ろうそう。全身性エリテマトーデス。SLEと略される）、その他およそ80種類がある。アレルギー同様、免疫系が暴走して病原体だけでなく自分自身の細胞まで攻撃してしまう自己免疫疾患に苦しむ人は、先進国では人口の10%近くに達している。 「同上」p.64

著者は１型糖尿病の増加の例を詳しく書いています。１型糖尿病は遺伝子変異で引き起こされる自己免疫疾患で、膵臓の細胞が破壊されてインスリンが分泌されなくなります。通常10代などの若年期に発症し、ブドウ糖が血液中にどんどんたまり、喉の渇きや多尿をもたらします。患者は日に日に衰弱し、腎不全で数週間後か数か月後に死亡します。唯一の治療はインスリンの注射ですが、インスリンが発見されて患者への投与が始まったのは1920年代であり、20世紀初頭までは死が避けられない病気でした。

この１型糖尿病は19世紀以前でも簡単に診断がついたという特徴があります。自己免疫疾患の有病率の長期の傾向をみるには最適の病気です。

１型糖尿病はほかの病気に比べていまも昔も診断がつきやすいという特徴がある。最近では空腹時に血糖値をちょっと測るだけでわかる。100年前でも調べる気になれば簡単に調べることができた。調べる気になれば、と言ったのは、その調べ方というのが患者の尿を舐めるという方法だからだ。口の中で甘みが広がれば、腎臓で血液から尿に排出されたブドウ糖の量が多いということになる。もちろん現在より過去のほうが見過ごされるケースは多かっただろうし、記録に残されていないものもあっただろうが、１型糖尿病の有病率の変化は自己免疫疾患全般の有病率の変化を知る目安として信頼に足りうる。 欧米ではおよそ250人に１人が１型糖尿病で、ブドウ糖がたまるのを防ぐために自分に必要なインスリン量を計算し、それを注射している。だが、ここまで有病率が高くなったのは最近の話だ。１型糖尿病は19世紀にはほとんどなかった。アメリカのマサチューセッツ総合病院が1898年まで75年以上保管していた記録によれば、同院を訪れたおよそ50万人患者のうち小児期に糖尿病と診断されたケースは21件しかなかった。昔は診断されなかったから見逃されていたのでは、という疑いは排除していい。尿を舐めて調べる検査、急激な体重減少、そして死が避けられないというわかりやすい診断基準で、この病気は当時から簡単に見分けられていたからだ。 第２次世界大戦の直前に公的な記録制度が整うと、それ以降の１型糖尿病の有病率の推移をたどるのは簡単になった。第２次世界大戦前、アメリカ、イギリス、スカンディナビアで１型糖尿病の小児患者は5000人に1人だった。有病率は戦争中は変わらなかったが戦後に上がりはじめ、1973年には1930年代の6倍から7倍になった。1980年代に現在と同じ250人に1人となり、その後は横ばいを続けている。 「同上」p.65

1898年以前は25,000人に１人（50万人中の21人）だった有病率が、1980年代には 250人に１人になったわけです。１型糖尿病は約100年間で100倍に増加したことになります。

１型糖尿病の増加と連動するかのように、ほかの自己免疫疾患も増加しました。神経系が破壊される多発性硬化症は、2000年の時点でその20年前の2倍になりました。セリアック病（小麦に含まれるグルテンの摂取が引き金になって免疫系が小腸細胞を攻撃する自己免疫疾患）は、現在、1950年代と比べて30倍から40倍に増えました。炎症性腸疾患や関節リウマチなども増えています。

---

さらに、肥満も20世紀後半に急増したものです。本書ではBMIが25以上を「過体重」、30以上を「肥満」と定義しています。現在、欧米人の半数以上は過体重または肥満です。しかし、かつてはそうではありませんでした。

現在の私たちから見ると、1930年代や1940年代の懐かしの白黒写真に見られる短パン姿や水着姿で夏を楽しむ若い男女の体格は、肋骨が浮き出て腹部がへこみ、いかにも貧弱だ。だが、彼らは不健康でも何でもなく、単に現代人の悩みを抱えていないだけである。20世紀初頭には、ヒトの体重に個人差はそれほどなく、記録をとる必要がないほどだった。 「同上」p.67

「20世紀初頭には、ヒトの体重に個人差はそれほどなく」とありますが、個人差があまりないと同時に、それ以前の人類史と比較しても差があまりなかったのです。この状況が20世紀半ばから変化します。

ところが1950年代に、肥満病の震源地アメリカで突如、体重増加が目立つようになり、政府は記録をとりはじめた。1960年代初期に実施された初の全国調査では、成人の13%が肥満（BMI値が30を超える）で、30%が過体重（BMI値が25～30）だった。BMIとは、体重（kg）を身長（m）の２乗で割って出た数値、ボディ・マス・インデックスのことである。 1999年には、成人のアメリカ人の肥満率は倍増して30%となり、過体重のゾーンに入る人は34%となった。合わせると過体重または肥満は64%になる。イギリスも少し遅れて同じ傾向を追いかけた。1966年には成人イギリス人の肥満の割合は1.5%、過体重は11%だった。1999年になると肥満は24%、過体重は43%、合わせて67%だ。 肥満の問題は単に太っていることだけではない。肥満は２型糖尿病や心臓病、一部の癌の原因ともなり、実際、これらの病気は着実に増えている。 「同上」p.67

---

自閉症をはじめとする "心の病気" はどうでしょうか。

自閉症の患者は、かつてないほど多くなっていて、68人に1人の子ども（男児では42人に1人）が自閉症スペクトラムと診断されている。1940年代には自閉症はあまりに希少で病名さえついていなかった。 記録をとりはじめた2000年でさえ、現在の半分以下だった。患者数が増えた背景に、自閉症への認識率の高まりや過剰診断があることは否定できない。だが、それを差し引いても自閉症の有病率が増加しているのは事実であり、昔とは明らかに違うと大半の専門家は認めている。注意欠陥障害やトゥーレット症候群、強迫性障害も増加している。うつ病と不安障害もだ。 心の病気がこんなに増加しているのは「ふつう」ではない。 「同上」p.68

アレルギー、自己免疫疾患、自閉症、肥満などは、あまりに常態化しているため、曾祖父母とそれ以前の世代にはほとんどなかった新しい病気や症状だということに我々は気づきません。それは医者も同じで、現代の医者は現代の知見をベースにした教育を受けています。昔はなかった病気だと言われても、ピンと来ないでしょう。

何が状況を変えてしまったのか、じっくりと考えてみる必要があります。本書の眼目は、これらの "21世紀病" がヒトのマイクロバイオータの "変調"（＝ディスバイオシス）に関係しているのではということです。その研究は21世紀から盛んに行われるようになり、その最新の情報をもとに書かれたのが本書です。まだ研究途中のテーマが多いのですが、その一端を、以下に紹介します。

---

21世紀病：肥満

---

20世紀は、人類が誕生してこのかた、最も体型が変化した時代です。著者は「後世からすると20世紀は肥満の時代と定義されるだろう」とまで言っています。

ヒトの体型を5万年前と1950年代とで比べてもそれほど違いはないだろうが、こんにちの平均的な体型は明らかに違う。狩猟採集民のころから続いてきた筋肉質でひきしまった体格は、たった60年かそこらでぶくぶくになってしまった。これほど大規模な変化は人類史において過去に一度も起こったことはない。いや、ヒト以外の動物（ペットと家畜を除く）でも、体型をこれほど変えてしまう病気が広がったことはない。 地球上の成人は、3人に1人が過体重（引用注：25 < BMI < 30）で、9人に1人が肥満（引用注：30 < BMI）だ。なおこの比率は、過体重より栄養不良のほうが心配な地域を含めた全世界の平均値である。肥満率の高さで上位にいる国の現実は想像を絶する。たとえば南太平洋の島国ナウルでは、成人のおよそ70%が肥満で、そのほかに過体重が23%いる。この小国の人口は1万人だから、まともな体型は700人しかいないことになる。ナウルは太った人が世界一多い国家と認定されている。南太平洋のほかの国々や中東諸国の多くが僅差で続く。 欧米でも、太った人がいると目立ったのは過去の話となってしまった。いまや、痩せた人を数えるほうが早い。成人の3人に2人は過体重で、さらにその半分は単なる過体重ではなく肥満だ。アメリカは肥満国家という印象があるが、意外にも世界ランキングでは17位で、過体重または肥満の割合は71%にとどまる。イギリスは世界ランキング39位で、成人の62%が過体重（25%の肥満を含む）と西ヨーロッパで最も高い。恐ろしいことに、欧米世界では子どもにまで太りすぎが蔓延し、12歳未満の小児の3分の1が過体重でその半数が肥満である。 「同上」p.89

肥満は、糖尿病などのいわゆる生活習慣病の原因になり、ある種の癌のリスク要因にもなることが確実視されています（たとえば大腸癌）。肥満はこの50年程度で急速に進み、多くの人が太りすぎの状況に慣れてしまいました。このため我々は、太るのは欲望（＝食欲に負ける）と怠け癖（＝運動不足）の結果であり、肥満は人間の性さがたと思い込んでしまった。

もちろん、過食と運動不足が肥満の原因になるのは間違いありません。特に過食です（No.221「なぜ痩せられないのか」に書いたように、運動による減量の効果は限定的）。しかしそれだけでしょうか。

ちなみに本書には書いてありませんが、ストレスが肥満の（２次的な）原因になるとうのはよく言われることです。ストレスが満腹中枢を刺激するホルモンの分泌を低下させ、そのために過食になり、肥満になるという理屈です。

肥満の他の理由は遺伝的要因です。体重増加に作用している遺伝子は32個ほど発見されています。しかしこれらによる体重増加は、最大限に見積もっても約8kgです。それに、ヒトの遺伝子は60年程度では変わりようがありません。遺伝的に太りやすい人がいるのは事実ですが、多くの人がスリムだった60年前と現在で遺伝子の全体的な状況は同じはずです。

---

過食と運動不足、遺伝的要因だけで肥満を説明することはできません。ここで我々が見落としていたのが微生物の影響です。ヒトが食物から吸収するエネルギー量は体内の微生物に関係しているようなのです。

スウェーデンのヨーテボリ大学のバークヘッド教授は、肥満の研究をしてきました。彼が2004年から行った無菌マウスを使った実験が本書に出てきます。マイクロバイオーム研究の世界的第１人者、ジェフリー・ゴードン（アメリカ・ミズーリ州ワシントン大学教授）との共同研究です。

フレドリク・バークヘッドはヨーテボリ大学の微生物学教授だ。彼の実験室にあるのは、微生物学という言葉から連想されるペトリ皿や顕微鏡ではなく、数十匹のマウスだ。マウスはヒトと同じく多種多様な微生物を腸内に棲まわせている。だが、バークヘッドのマウスは違う。帝王切開で生まれたのち無菌室で育てられているため、体内に微生物がまったくいない。この「白いカンバス」のようなマウスに、バークヘッドの研究チームは思いのままに特定の微生物を植えつけることができる。 バークヘッドは2004年に、マイクロバイオーム研究の世界的第１人者ジェフリー・ゴードンとの共同研究に乗り出した。ゴードンは実験で使っている無菌マウスがひどく痩せていることに目をとめ、バークヘッドと共にその理由を腸内細菌が不在だからではないかと考えた。このとき２人は、腸内細菌が宿主動物の代謝に与える作用について、ごく基礎的な研究でさえまったくなされていないことに気がついた。そこで、バークヘッドは第１弾として、腸内細菌がいるとマウスは太るのか、というシンプルな疑問を研究することにした。 この疑問に答えるため、バークヘッドは無菌マウスを成体まで育てたあと、そのマウスの毛に、通常マウスの盲腸の内容物をなすりつけた。無菌マウスが自分の毛をなめると、腸内に通常マウスと同じ微生物が棲みつく。結果は大当たりで、元無菌マウスは太ってきた。少し太った程度ではなく、14日間で体重を60%も増やした。餌を食べる量は逆に減っていた。 「同上」p.100

腸内に棲む微生物が、宿主に消化できない食べ物を食べていることは科学者が皆知っていました。つまり微生物は宿主から恩恵を受けています。しかし微生物による消化作用が宿主のエネルギー摂取にどれほど貢献しているのか、つまり微生物が宿主に与える恩恵については、誰も知らなかった。マウスによる実験によると、明らかにマウスも恩恵を受けているのです。

さらに、ゴードンの研究室で研究員だったピーター・ターンバウの実験があります。彼は遺伝的に肥満のマウスの腸内細菌と通常のマウスの腸内細菌を、それぞれ別の無菌マウスに移植し、同じ餌で飼育する実験をしました。案の定、肥満マウスのマイクロバイオータを移植されたマウスは太り、通常マウスのマイクロバイオータを移植されたマウスは太らなかった。

腸内細菌の何が私たちを太らせているのだろう。ターンバウが肥満マウスの微生物を移して太らせたマウスは、フィルミクテス門の細菌が多くバクテロイデーテス門の細菌が少ないマイクロバイオータを有しており、それにより食べ物から多くのエネルギーを吸収しているようだった。 これは「カロリーイン、カロリーアウト」の法則を根底から覆す。単に食事のカロリー計算をするだけでなく、そこから吸収するエネルギーの量を知らなければならないのだ。ターンバウは、肥満型のマイクロバイオータを移されたマウスは餌から 2% 多くカロリーを吸収していると算出した。同じ量の餌に対し、通常マウスが100キロカロリーを得るところを、太ったマウスは102キロカロリーを得る。 なんだ、たいしたことはないと思うかもしれないが、1年以上たつと差はどんどん開く。身長163センチ、体重62キロ、BMI値23.5という平均的な女性を例にとってみよう。この女性は1日に2000キロカロリーを摂取するが、肥満型のマイクロバイオータを有していると2%余分にカロリーを吸収する、つまり1日に40キロカロリーが加わる。エネルギーの消費量がいつもどおりであれば、この余分な40キロカロリーは理論上、1年で1.9キロの体重増になる。10年で19キロ増え、彼女の体重は81キロに、BMI値は肥満レペルの30.7になる。腸内細菌が食べ物から2%余分にカロリーを引き出すだけで、10年で肥満になるということだ。 「同上」p.104

アトウォーター係数というエネルギー換算係数があります。タンパク質：4kcal/g、脂質：9kal/g、炭水化物：4kcal/g という係数ですが、これはもちろん標準値であって、同じ栄養素でもその物理的組成や食品としての加工の程度、調理方法によって吸収されるエネルギーは違ってきます。

それに加えて、ヒトのマイクロバイオータもエネルギー吸収に関与している。これはヒトそれぞれでエネルギー吸収量が違うということを意味します。

ターンバウの実験は、ヒトの栄養についての考え方に革命をもたらした。食品ラベルに表示してあるカロリー量は、炭水化物1グラムは4キロカロリー、脂肪1グラムは9キロカロリーというように、標準的な換算表で計算されたものだ。食品の品目ごとに「このヨーグルトは137キロカロリー」「このパン1枚は69キロカロリー」と、だれが食べても同じカロリーになることを前提としている。 だが、事はそれほど単純ではない。そのヨーグルトはふつうの体重の人には137キロカロリーでも、太った人には140キロカロリーになる。別のマイクロバイオータを抱えた人ならまた別のカロリー量になるかもしれない。そして、このわずかな差は積もり積もって大きな差となる。 「同上」p.105

さらに本書では、肥満の人はより多くのエネルギーを脂肪細胞に蓄えることが示されています。これに影響しているのも微生物です。たとえば、マーモット（小型のサル）での実験では、アデノウイルス36（AD36）に感染するとマーモットは太りました。このウイルスに感染すると脂肪組織はエネルギーが余っていなくても脂肪の貯蔵に励むようになります。ヒトでの実験は倫理上の問題もあってできませんが、AD36の感染履歴があるかを抗体検査で調べた結果があります。それによると肥満者の30%が過去にAD36に感染していました。太っていない人では10%です。

そのヒトでの研究ですが、腸内細菌の中には表面にリポ多糖（＝LPS。No.122「自己と非自己の科学：自然免疫」の "グラム陰性菌" の説明参照）を付けているものがいます。そして腸内にアッカーマンシア・ムシニフィラという細菌が少なくなるとリポ多糖が腸壁を通過して血液中に入り込み、その結果、脂肪細胞に過剰な脂肪が詰め込まれることが分かりました。

痩せたヒトと太った人の腸内での存在量の違いが見られる微生物に、アッカーマンシア・ムシニフィラという細菌がいる。痩せた人はこの細菌が多くいて、この細菌が少ない人ほどBMI値が高い。この細菌は、痩せた人では腸内微生物全体の4%を占めているのに対し、太った人ではほとんどゼロだ。 アッカーマンシア・ムシニフィラは腸壁を覆う厚い粘膜層の表面に棲んでいる（ムニシフィラとは粘膜好きという意味だ）。腸壁の粘膜層は、腸内微生物が血液中に入り込んで悪さをするのを防ぐ障壁となっている。アッカーマンシア・ムシニフィラの存在量はBMI値に関係するだけではない。この細菌が少ないと粘膜層が薄くなり、リポ多糖が血液中に入り込みやすくなる。 アッカーマンシアが痩せた人の腸内に多いのは、この細菌が粘膜好きで、粘膜層が厚いほど繁栄するからだと思うだろう。実態はその逆で、この細菌が腸壁細胞に働きかけて、より多くの粘液を分泌させている。アッカーマンシアはヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を得て、結果的にリポ多糖分が血液中に入り込むのを阻止している。 「同上」p.118

リポ多糖は脂肪細胞に炎症を起こし、また新しい脂肪細胞の形成を妨げます。その結果、既存の脂肪細胞に過剰な脂肪が詰め込まれることになるのです。

腸壁の断面図（本書）

この図で上の方の「移動性微生物」が生息しているのが腸の内腔で、その下に描かれている「粘液好きの微生物」の一つがアッカーマンシア・ムシニフィラである。アッカーマンシアはヒトの遺伝子に化学信号を送って粘液の分泌を促し、それによって自分たちの棲み処を得て、リポ多糖が血液中に入り込むのを阻止している。この結果、脂肪細胞に過剰な脂肪が詰め込まれることがなくなる。

従来、肥満は過食と運動不足が原因であり、要するに生活習慣病であるとされてきました。しかしそれに加えて微生物が関係していることが次第に分かってきました。

微生物とは無関係だとされていた症状・病気が、実は違ったことが分かった先例があります。1982年、２人のオーストラリア人科学者、ロビン・ウォレンとバリー・マーシャルが、胃潰瘍を引き起こしているのはヘリコバクター・ピロリ菌だと解明しました。この功績により、２人は2005年のノーベル医学生理学賞を受賞しました。胃潰瘍は感染症の一種だったのです。

胃潰瘍と同じように、肥満も微生物が原因の感染症という一面があるようです。

---

21世紀病：自閉症

---

自閉症（＝自閉症スペクトラム障害）は、1943年にアメリカの精神科医が初めて命名した症状です。この症状に共通するのは人づき合いが困難だということです。生後の早い時期から外界に無関心で、他者の真意、冗談、皮肉、比喩などが理解できません。他者との共感を抱けず、社会生活のルールを身につけることができません。決まりきった行動を好み、単一の考えや対象物の執着します。

自閉症は遺伝的なものだというのが一般的な見方で、それは1990年代もそうでした。しかし、それに疑問を持った人がいました。アメリカのコネティカット州のエレン・ボルトです。1992年に生まれた彼女の第４子であるアンドリューは、生後15ヶ月ごろに耳の感染症のために抗生物質の投与をうけ、再発を繰り返したため、抗生物質の種類を変えて何回もの治療が続きました。そして治療の途中からアンドルーの振る舞いが変わりはじめ、２歳のころには自閉症と診断されました。エレン・ボルトは疑いを持ちます。アンドリューの自閉症は抗生物質の投与が引き起こしたのではないかと ･･････。

エレン・ボルトは文献を読みあさり、ある仮説をたてます。それは腸内における破傷風菌の増殖が原因ではないかという仮説です。破傷風菌は普通、血液に入って筋肉に感染しますが、アンドルーの場合は腸に入った。通常、腸内での増殖は起こらないのですが、抗生物質治療が腸内細菌を殺していたために破傷風菌が増殖し、その毒素が脳に影響を与えたのではとエレンは考えたのです。破傷風菌が筋肉に感染するとその毒素が筋収縮を起こしますが、腸に感染した場合は毒素が脳に影響しうることを示す論文もありました。そして実際に検査してみると、アンドリューの破傷風菌の抗体値は異常に高かったのです。

エレンが相談した37番目の医師は、シカゴの小児胃腸科専門医のリチャード・サンドラーでした。彼はエレンの話を注意深く聞いてくれ、破傷風菌を殺すために抗生物質を投与するというエレンのアイデアを実行してみることにしました。２日後、４歳半になっていたアンドリューの行動は落ち着き始めました。２週間後にはトイレ訓練が可能になり、言葉をたくさん覚えるようになり、着替えを嫌がらなくなりました。脳の発達期に受けたダメージのため、自閉症が完治したわけではありません。しかしアンドリューの変化は誰の目にも明らかでした。

アンドリューの事例に興味を示してくれたのが、高名な微生物学者、シドニー・ファインゴールド（米・カリフォルニア大学）です。ファインゴールドは嫌気性微生物研究の第一人者であり、破傷風菌を含むクロストリジウム属の細菌も嫌気性微生物の仲間です。エレン・ボルトの話に興味を惹かれたファインゴールドは実験を開始しました。

破傷風菌仮説がひらめいてから6年後の2001年、エレン・ボルトはついに自分が正しかったことを知る。シドニー・ファインゴールドは、自閉症児13名と健康児8名で、大腸内にいる微生物を比較する対照試験をした。当時、マイクロバイオータのすべてを調べるにはDNA解析技術はまだ高価すぎたが、ファインゴールドは無酸素状態で細菌を培養する特殊な技能を有していたため、クロストリジウム属の細菌種をカウントすることができた。 破傷風菌そのものは見つからなかったが、重要なことがわかった。自閉症児は健康児に比べて、平均すると腸内にクロストリジウム属の細菌が10倍も多くいたのだ。おそらく、破傷風菌の仲間の菌種も幼い脳にダメージを与えるような神経毒素を出すのだろう。エレン・ボルトの仮説は原因菌種を狭く特定していただけで、考え方の方向性としては合致していたことがこの段階で示された。 「同上」p.140

ファインゴールドはその後、自閉症児と健常児のマイクロバイオータを比較する研究を何度かくり返した。そして、自閉症児の多くに共通して見つかる疑わしい細菌種を発見し、エレン・ボルトにちなんでクロストリジウム・ボルテアエという名をつけた。自閉症児と健常児では腸内細菌のバランスが異なり、その違いとしてクロストリジウムが浮上することが多い。だが、これらの細菌は、どのようにして幼い脳を改変し、重度の自閉症を発症させてしまうのだろうか。 「同上」p.154

カナダのオンタリオ州ロンドンにあるウェスタン・オンタリオ大学にデリック・マクフェイブという研究者がいました。彼は過去に自閉症に似た症状を示す男性に抗生物質を投与したところ症状が改善したことから、脳と腸の関係を信じるようになっていました。彼は自分の脳卒中の研究でプロピオン酸という分子を調べていて、これが自閉症と関係しているのではとの疑いをもちました。

プロピオン酸は、消化されなかった食べ物を腸のマイクロバイオータが分解するときできる物質、短鎖脂肪酸（SCFA）の1つだ。代表的な短鎖脂肪酸は酢酸、酪酸、プロピオン酸で、どれも私たちの健康と幸福に欠かせない物質だ。マクフェイブが注目したのは、プロピオン酸は人体に重要な物質であると同時に、パン製品の防腐剤にも使われていることだ。パン製品は、多くの自閉症児が好む食べ物だ。さらに、プロピオン酸を産生するのはクロストリジウム属の細菌だということが知られている。プロピオン酸そのものは有害な物質ではないが、ひょっとすると自閉症児の体内にはこの物質が過剰にあるのではないかとマクフェイブは考えた。 「同上」p.155

自閉症児の脳内にはプロピオン酸が脳内に過剰にあるのではないかという仮説を実証するため、マクフェイブはまずマウスでプロピオン酸の脳に対する影響を確かめる実験を開始しました。

自閉症児のマイクロバイオータはプロピオン酸を過剰生産していて、そのプロピオン酸がふるまいに影響しているのだろうか。それを確かめるため、マクフェイブは一連の実験に乗り出した。生きたラットの脊柱に小さなカニューレを挿入し、そこから微量のプロピオン酸を脳脊髄液に注入した。数分後、ラットは奇妙にふるまいはじめた。その場でぐるぐる回ったり、単一の物体に固着したり、突発的に走ったりするようになったのだ。２匹のラットを同じケージに入れてプロピオン酸を注入すると、立ち止まって互いの匂いを嗅ぎ合うことをせず、相手を無視してケージの中をぐるぐる走り続けた。 ラットのふるまいが変わったのは明白で、しかもそれは自閉症患者のふるまいに似ている。そのようすはインターネットの動画で見ることができる。仲間のラットよりモノに興味を示し、一定の動きをくり返し、チックや多動を示すという自閉症患者と同じ特徴が、脳へのプロピオン酸の作用で出現したのは明らかだ。プロピオン酸の効果が半時間ほどで消えるとラットのふるまいは元に戻る。プラセボとして生理食塩水を注入したラットには変化は見られなかった。逆に本物のプロピオン酸であれば、ラットの皮膚下に注射したり食べさせたりした場合でも、同じ変化が現れた。 この小さな分子はラットの脳をハイジャックし、宿主に異常な行動をさせていた。 「同上」p.156

プロピオン酸はラットの脳に与えたと同じようなダメージを自閉症患者の脳にも与えていたのだろうか。その疑問を解くため、マクファイブの研究チームはラットの脳と、検死解剖された自閉症患者の脳を比べた。その結果、どちらの脳にも免疫細胞が大量にあることが確認された。統合失調症や多動性障害の場合と同じく、やはり炎症の痕跡があったのだ。 「同上」p.157

免疫細胞が大量にあるということは、脳内で炎症が起こっていたということです。腸内細菌の "ありよう" が結果として脳にダメージを与えて自閉症を発症するというのは仮説であり、マクファイブの研究チームはまだ慎重な姿勢を崩していません。現在も研究が続いているところです。なおエレン・ボルトの娘のエリン・ボルトは、この分野の研究者の道を歩んでいます。

---

20世紀には微生物が引き起こす病気が次々と明らかになりましたが、脳の不具合だけは微生物と無関係なものとされてきました。脳以外の器官がおかしくなった時、我々は外部要因を考えます。しかし脳（心）の病気だけは、本人や親、遺伝、ストレス、生活習慣のせいにされる。

ところが、感染症も脳に影響することが分かってきました。たとえば、トキソプラズマに感染すると性格が変わります。反応が鈍くなり、集中力が失われる。男性は陰気になり、ルールや道徳を無視するようになります。女性は逆に明るくおおらかになる。

腎臓や心臓の不具合をカンウセリングで直そうとする人がいないと同じように、心の病気をカンセリングだけで直そうとするのは時代遅れなのです。

---

21世紀病：免疫関連疾患

---

免疫関連疾患とは、どこにでもあるありふれた物質に免疫が過剰に反応したり（＝アレルギー）、免疫が自己の細胞を攻撃したり（＝自己免疫疾患）することを言います。これについては No.119-120「"不在" という伝染病」に詳述しましたが、もちろん本書でも書かれています。

20世紀までの免疫に対する理解は「自己と非自己を区別し、非自己を排除することで自己の一貫性を保つ」というものでした（No.69-70「自己と非自己の科学」参照）。しかし腸内細菌は免疫の働きの最前線に生息しているにもかかわらずヒトと共生し、互いに利益を与えあっています。ヒトからみると完全に "非自己" であるはずの腸内細菌が共生できる秘密は何なのでしょうか。この理由が、大阪大学の坂口教授が1995年に発見した "制御性T細胞" です。

免疫細胞ならすべての細胞が敵の破壊と脅威の検知にしのぎを削っていると思われがちだが、人体のあらゆる仕組みがそうであるように、免疫系においても、炎症反応を促進する指示と、炎症を抑制する指示の釣り合いを保たなければならない。このとき炎症抑制の役目を担っているのが、最近知られるようになった制御性T細胞だ。略してTレグ細胞とも呼ばれる制御性T細胞は、軍隊でいうと准将のような位置づけで、興奮して息巻いている兵士を鎮めて落ち着かせる。この細胞が多ければ免疫系はあまり反応せず、少なければ過剰に反応する。 制御性T細胞を生産できない突然変異をもって生まれた子は、IPEX症候群（X連鎖免疫調節異常・多発性内分泌障害腸症候群）という致死的な病気になる。免疫系のバランスが傾いて、炎症を促進する免疫細胞を大量に産出し、リンパ節と脾臓を肥大させてしまう病気だ。過剰に攻撃的になった細胞は自身の臓器を破壊し、患者は小児期に１型糖尿病や皮膚炎、食物アレルギー、炎症性腸疾患、難治性の下痢といった一連の自己免疫疾患とアレルギー疾患に見舞われる。そして多臓器不全で早すぎる死を迎える。 ところが、最近になって驚くべき事実が明るみに出た。准将の制御性T細胞に命令を出している最高司令官は、人体にとっていつも最善の利益を追求する「精鋭のヒト細胞」ではない、というのだ。制御性T細胞を使って命令を流しているのはマイクロバイオータだ。微生物は抑制系の免疫細胞の数を操作することにより、微生物自身の生存を確実なものにする。微生物にとっては、ヒトの免疫系は穏やかで寛容なほうがありがたい。攻撃されたり追い出されたりする心配がなくなるからだ。 では、微生物は自身の利益のためにヒト免疫系を鈍くさせるよう進化して、ヒトが昔からの敵と出合ったとき始動すべき安全装置を改ざんしてしまったのかといえば、そういうことではない。ヒトとマイクロバイオータの長い共進化の歴史は、どちらにとっても最善の利益となるよう免疫系のバランスを微調整してきたからだ。 「同上」p.198

上の引用の最後のセンテンス、「ヒトとマイクロバイオータの長い共進化の歴史は、どちらにとっても最善の利益となるよう免疫系のバランスを微調整してきた」というところがキモです。マイクロバイオータにとって免疫の働きが強すぎるとヒトの体に生息できなくなり、それはまずい。だからといって免疫の働きが弱いと病原菌がはびこってヒトの体が不調をきたし、マイクロバイオータの生息環境そのものが脅おびやかされる。この微妙なバランスの上で、ヒトとマイクロバイオータが共進化してきたわけです。

マイクロバイオータの構成員はどのようにして免疫系をなだめているのだろう。通常の腸内細菌は、細胞表面を病原体と同じように赤い旗で覆っているが、免疫系を苛立たせることがない。どうやらこうした味方の細菌は、自分たちと免疫系だけが知っているパスワードをもっているようだ。 カリフォルニア工科大学のサルキス・マズマニアン教授は、バクテロイデス・フラジリスという細菌が提示するパスワードを発見した。この細菌はマイクロバイオータの中でもとくに数の多さを誇っており、出生直後に腸内に入植する細菌の1つだ。この細菌は多糖類A（PSA）という物質を産生し、それを微小なカプセルに入れて細胞表面から放出する。このカプセルが大腸で免疫細胞に貪食されると、いっしょに飲みこまれたPSAが制御性T細胞を起動させる。制御性T細胞は他の免疫細胞に、バクテロイデス・フラジリスを攻撃しないようメッセージを送る。 バクテロイデス・フラジリスはPSAをパスワードとして使って、免疫系を炎症型から抗炎症型に変える。免疫反応をおだやかなものにし、アレルギーを防ぐには、初期にコロニーをつくる細菌が産生するPSAのようなパスワードが重要なのだろう。さまざまな形をとるこうしたパスワードもまた、それぞれの微生物株が人体の「高級クラブ」の会員として受け入れられるよう進化してきたものに違いない。 致死的な免疫疾患であるIPEX症候群の患者に制御性T細胞が欠けているのと同じように、アレルギーをもつペット動物にも制御性T細胞の不足が見られる。制御性T細胞の抑制効果がないと、ハンドブレーキが解除され、免疫系は無害な物質にまでフルスピードで突進してしまうようだ。 「同上」p.200

バクテロイデス・フラジリスが出すPSA（多糖類A。PolySaccharide A）が制御性T細胞を誘導する（＝ 未分化のT細胞を制御性T細胞に分化させる。つまり制御性T細胞を増やす）しくみについては、No.70「自己と非自己の科学（２）」で日経サイエンスの記事から引用しました。人体において細胞間の情報伝達の役割を果たすタンパク質を総称して "サイトカイン" と言いますが、PSAは共生微生物とヒトの間の情報伝達に使われる「サイトカイン相当物質」（著者の表現では "パスワード"）と言えそうです。

要するに、ヒトは微生物と共生することを前提として成り立っています。従って、微生物の数や種類に変調をきたして「共生」の前提が崩れると免疫の暴走も起きる。それが自己免疫疾患につながるわけです。

なお、「21世紀病」のところで自己免疫疾患の例として１型糖尿病が激増したことを引用しましたが、No.229「糖尿病の発症をウイルスが抑止する」で、ある種のウイルスに感染していることで１型糖尿病の発症が抑えられる（制御性T細胞ができ、それが膵臓に留まって、自己の免疫の攻撃から膵臓が守られる）ことを書きました。

---

以上、著者が「21世紀病」と呼んでいるもののうち、肥満、自閉症、免疫関連疾患とマイクロバイオータの関係を紹介しました。では、ヒトがマイクロバイオータを正常に保つために必要なことは何でしょうか。本書では「抗生物質」「自然出産と母乳」「食物繊維」の観点から述べられています。

（次回に続く）

---

タグ：アレルギー 肥満 自閉症 ジャイアントパンダ 抗生物質 共生 耐性菌 自己免疫疾患 MRSA １型糖尿病 制御性T細胞 マイクロバイオーム プロピオン酸 アランナ・コリン 矢野真千子 あなたの体は９割が細菌 マイクロバイオータ ヒトゲノム・プロジェクト ヒトマイクロバイオーム・プロジェクト 21世紀病 短鎖脂肪酸

No.302 - ワクチン接種の推奨中止で4000人が死亡

デヴィッド・グライムス 「まどわされない思考」 （角川書店 2020）

No.296「まどわされない思考」で、アイルランド出身の物理学者・科学ジャーナリストのデヴィッド・グライムス（以下 "著者" と記述）が書いた同名の本（角川書店 2020）の "さわり" を紹介しました。今回はその続きというか、補足です。

『まどわされない思考』（＝"本書"）では、世界で広まる "反ワクチン運動" について書かれていました。WHOは2019年に初めて、全世界の健康に対する脅威のトップ10の中にワクチン接種への抵抗を入れたともあります。確かに "ワクチン接種に反対する運動" は、感染症の蔓延防止や病気の撲滅にとって大きな脅威です。

実は、No.296では省略したのですが『まどわされない思考』には日本のワクチン接種に関する状況が出てきます。それは「ヒトパピローマウイルス（HPV）」のワクチンで、今回はその話です。

---

ヒトパピローマウイルス（HPV）

---

まず著者はヒトパピローマウイルス（HPV, Human papilloma virus。papilloma = 乳頭腫）と、それに対するワクチンについて次のように説明しています。以下の引用で下線は原文にありません。また段落を増やしたところがあります。

HPVの恐怖に人類ははるか昔からおびえつづけている。おそらく、人の本能一つ、性欲と関係していることもその一因だろう。HPVは性的な接触の際に伝染する。170を超えるウイルス株が知られているが、事実上、性的活動を行うすべての成人がその一部を保有している。その大部分は無害か、免疫の働きですぐに除去される。しかし、いくつかの亜種は有害で、16型と18型は癌を引き起こす恐れがある。 全世界で発生する癌のおよそ5パーセントがHPV感染に起因していると考えられていて、子宮頸癌にいたっては90パーセントを超え、毎年およそ27万人の命が失われている。その救世主として登場したのがHPVワクチンだ。これをもって、悪霊を記憶の暗闇のなかに永久に追放することができるはずだった。有害株のほとんどをワクチン「ガーダシル」で防ぐことができる。 同薬品は2007年までに80を超える国で承認された。その成果は素晴らしかった。2013年時点で、14歳から19歳のアメリカ人女性でHPVの感染率が88パーセントも減ったのである。2018年時点で、オーストラリアでは若い女性におけるHPVをほぼ根絶することに成功していた。史上初めて、人類は癌の一種を根絶しようとしていたのだ。 デヴィッド・ロバート・グライムス 『まどわされない思考』 p.429 長谷川 圭 訳（角川書店 2020）

癌はさまざまな原因で起こりますが、その一つがウイルスです。そして癌を引き起こすウイルスの代表的なものが HPV です。上の引用にあるオーストラリアの例でわかるように、HPVワクチンの接種が進めば人類は初めて一種の癌の撲滅に成功し、子宮頸癌で死亡する毎年27万人の人たちの命を救える道が見えてきたのです。

ところが事態はそう簡単には進みませんでした。まず、アメリカでワクチンに対する反対運動が起こったのです。

しかし、ワクチンで人の愚かさを防ぐことはできない。アメリカで、信心深い保守層が全国的なワクチン接種を妨害した。ワクチンで癌の心配がなくなると、みだらな性行為を行う人が増えると恐れたからだ。しかし、ワクチン接種が奔放なセックスへの扉を開くというのは、あまりに浅はかな考えだ。ワクチンを接種した人々のグループで性的活動が増えることはないというエビデンスがすでに見つかっている。 『まどわされない思考』 p.430

成人のほとんどが性行為をするということを考えると「ワクチン接種が奔放なセックスへの扉を開く」というのは言いがかりもいいところです。このような言説はすぐに否定されるのですが、次には、HPVワクチンには副反応（治療薬の副作用に相当。『まどわされない思考』では副作用と書かれている）があると言い出す人が出てきました。

反ワクチン運動が引き起こした問題はそれだけではない。まもなく、反ワクチン運動家はガーダシルに数多くの副作用があると主張しはじめた。その副作用には、一貫しない漠然とした主観的な症状が多く含まれている。しかしそれらはどれも、疫学データではまったく確認されていない。 全世界でワクチン接種が行われ、何百万人もの女性のその後が調査されたにもかかわらず、だ。これだけの量のデータがあれば、稀な副作用でさえも数になって現れるに違いない。しかし、すべてのエビデンスが、HPVワクチンは安全で、副作用を起こさず、HPV感染の予防に効果的であることを示している。 それなのに反ワクチン派は現実を見ようとせず、イデオロギーだけを押しつけてくる。新たな大義名分を得た少数ながら声の大きい人が、ソーシャルメディアを通じて、世界の政治家と親に誤った情報を発信したのだ。 『まどわされない思考』 p.430

この反ワクチン運動の被害を最も大きく受けたのが、実は日本でした。

その結果は深刻だった。2013年、日本でパニックが起こり、厚生大臣がワクチンの承認を一時停止した。その後の調査を通じて、取り沙汰される症状とワクチンの間に何ら関係がないことがわかったのだが、ワクチン問題は政治の世界を毒しつづけた。結果、70パーセントだった接種率が2017年までに1パーセント以下までに下がったのである。 『まどわされない思考』 p.431

「ワクチンの承認を一時停止」と書かれているのは誤り、ないしは不正確です（原文か訳か、どちらかの誤り）。正確には「ワクチン接種の積極的推奨の一時停止（2013年6月）」です。この "一時停止" は今も続いています（2020年末現在）。一方、ワクチンは承認されたままであり、公的助成による接種を受けることができます（＝定期接種の対象）。

『まどわされない思考』では次にデンマークとアイルランドの状況が書かれています。2014年、デンマークでも反ワクチン運動が起こり、被害を受けたとする証言がメディアで流されました。この結果、接種率は79%から17%に低下しました（デンマーク政府は一貫して安全性を主張）。

2015年、パニックは著者の母国であるアイルランドへ波及しました。しかしアイルランド政府の保険局も一貫して安全性を主張し、反ワクチン運動と戦いました。著者も科学ジャーナリストとしてワクチンの安全性を訴えた一人です。

このアイルランドでの戦いに最も功績があったのは、ローラ・ブレナンという女性でした。彼女は24歳のとき転移性子宮頸癌（ステージ2B）の診断をうけましたが、その彼女が保険局のキャンペーンに参加し、接種を訴えたのです（ローラは癌の転移により、2019年3月20日に26歳で他界）。アイルランドでは反ワクチン運動により、2014年で87%だった接種率が2016年には50%程度に落ち込みました。しかしローラがキャンペーンに参加した18ヶ月で接種率は20%も上昇したのです。

---

以上が『まどわされない思考』に書かれていた HPVワクチンに関する状況です。以降は、本書で触れらていた日本の状況を整理します。

---

反HPVワクチン運動の発生源となった日本

---

HPVワクチンには２種類あり、日本ではグラクソ・スミスクラインが2009年12月から「サーバリックス」を、またMSD（米国の製薬大手、メルクの日本法人）が2011年8月から「ガーダシル」を販売しています。このワクチンは、日本では2013年4月に "定期接種化" されました。

本書に「日本でパニックが起こった」という意味の説明がありました。日本では「70パーセントだった接種率が2017年までに1パーセント以下までに下がった」のですが、このような国は日本しかありません。まさに "パニック" という表現が当てはまるでしょう。このパニックはどのように起こったのでしょうか。HPVワクチンの日本における経緯を詳述した、村中璃子・著『10万個の子宮』（平凡社 2018）より引用します。村中氏は医師で京都大学大学院講師、科学ジャーナリストです。

「人類初のがん予防ワクチン」という期待感の中、医者、政治家、行政が協力して、多くの市町村では接種年齢の女子に対する補助金制度を導入した。そのため2013年4月の定期接種以前でも、接種対象年齢の少女たちはこのワクチンを無料で接種することができ、接種率は全国で約70%を実現していた。この時、相当の資金が投じられ、ワクチン製造企業と政治家、学会が協力して導入に動いたことが、現在、薬害を主張する人たちが陰謀論を唱える根拠にもなっている。 ところが、定期接種化からわずか2ヶ月後の6月14日、日本政府は子宮頸がんワクチンの「積極的な接種勧奨の一時差し控え」という、突飛な政策決定を下した。接種後に、けいれんする、歩けない、慢性の痛みがある、記憶力が落ちたといった、神経の異常を思わせる様々な症状を訴える人が相次いだからだ。 定期接種は英語では「recommended vaccine（接種が勧奨されるワクチン）」とも表現される。「勧奨しているワクチンの積極的勧奨は行わない」とはいかなる意味なのか。現場は混乱した。 厚生労働省は全国の専門家を集め、予防接種・ワクチン分科会副反応検討部会で子宮頸がんワクチンの安全性について様々な角度から検討。同年12月25日には、痛みの強いワクチンであること、そして検査結果や接種年齢を総合的に評価すると、ワクチン接種後の症状は「身体表現性障害」の可能性が高いという見解が発表された。 身体表現性障害とは、身体的な異常はないのに、痛みや恐怖、不安、プレッシャーなどをきっかけに生じる身体の症状のことである。その後、政府は引き続きモニタリングを行い、評価が変わることはなかったが、「積極的な接種勧奨の一時差し控え」を継続。その結果、定期接種前には各自治体の接種費用補助制度によって約7割の実現していた接種率は軒並み1%に落ち込み、事実上の接種停止状態となった。 村中璃子 『10万個の子宮』 （平凡社 2018）

村中璃子 「10万個の子宮」 （平凡社 2018）

「積極的な接種勧奨」とは、広報誌やポスターなどで接種するように広報することに加え、標準的な接種期間の前に各家庭に接種を促すハガキを送ることなどを指します。それが "一時" 停止されました。子宮頸がんワクチンは現在も定期接種のままです。希望すれば公費で接種を受けられる。しかし一時停止は続いています。

その間、2016年に日本で、国と製薬会社２社を相手に、ワクチン接種によって被害を受けたとして賠償を求める世界初の集団訴訟が起こされました。また続いて2017年、世界で２番目にコロンビアで集団訴訟が起きています。

子宮頸がんワクチンの副反応の件ですが、そもそもワクチンには副反応がつきものです。現在（2020年末）、世界で大きな話題となっているのはファイザー社などが開発した新型コロナウイルスのワクチン（メッセンジャーRNAワクチン）ですが、ファイザー社は倦怠感、頭痛、発熱などの副反応が起こり得ると公表しています。

子宮頸がんワクチンの副反応とされた「身体表現性障害」ですが、これは子宮頸がんワクチンが初めて世に出た2006年より以前から知られていた症状でした。上に引用した村中氏の本によると、世界の精神医療のスタンダードとなっているDSM-IV（米国精神医学会発行の「精神障害の診断・統計マニュアル　Diagostic and Statistical Manual of Mental Disorder-IV」。最新版は2013年発行の DSM-5）では、身体表現性障害の症状として、

異なる部位の体の痛み、下痢・嘔吐・便秘などの消化器症状、月経不順の含む性的症状、運動麻痺・平衡障害・麻痺・脱力・けいれんなどの転換性障害、記憶障害などの解離性症状、意識喪失・幻覚などの偽神経学的症状など 「同上」

と、多彩な症状があげられています。DSM-IVが発行されたのは1994年であり、子宮頸がんワクチンの接種が始まる10年以上前ということになります。

身体表現性障害は、痛みや恐怖、不安、プレッシャーなどをきっかけに生じるので、「子宮頸がんワクチンを接種した」ことによる不安が引き金になったことが考えられます。

そのことに加えて、子宮頸がんワクチンは思春期の女性（日本では小学6年～高校1年相当の女性）に接種するワクチンであり、もともと若い女性に多い身体表現性障害と接種が重なったということがあるのでしょう。

ここで思い出すのが No.296「まどわされない思考」で紹介したイギリスのワクチン騒動です。1998年、ある医師が「三種混合ワクチン（通称 MMR。麻疹・おたふく風邪・風疹ワクチン）が自閉症を引き起こすデータを見つけた」と発表し大騒動になりました。後にこれはデータが捏造されたものと判明し、医師は医師免許を剥奪されました。しかし多くの人がこの説を信じました。その理由は、MMRを接種する時期と自閉症を発症する時期（ともに２～３歳の幼児期）が近かったことです。

『まどわされない思考』の著者のグライムスは、これを「前後即因果の誤謬」と言っています。「前後即因果の誤謬」とは「一つの事象のあとにもう一つの事象が続いたという事実だけにもとづいて両者間の因果関係を認めてしまう飛躍した考えた方」です。

---

以上の状況をみると、日本は「反 HPV ワクチン」の中心的な国になってしまったようです。では、最新の日本の状況はどうでしょうか。その最新状況を概説した記事が2020年11月の日本経済新聞に掲載されたので、以降はそれを紹介します。

---

日本の最新状況

---

2020年11月16日の日本経済新聞にHPVワクチンに関する記事が掲載されました。見出しは、

子宮頸がん 予防効果高く
　ワクチンの有効性 複数の研究が証明
　低い接種率の向上に課題

です。以下、この記事の概要を紹介します。まず子宮頸がんの状況です。

子宮頸がんは子宮の出口近くにでき、若い女性のがんの多くを占める。日本では毎年約1万1千人の女性がかかり、毎年2800人が死亡する。30代までに治療で子宮を失う人も毎年約1200人にのぼる。 日本経済新聞（2020.11.16）

子宮頸がんの発症は20代から増え始め、30代後半から40代でピークに達します。その代表的な治療は子宮の摘出です。上の記事にわざわざ「30代までに治療で子宮を失う人も毎年約1200人にのぼる」とあるのは、今後の妊娠・出産の可能性が高い30代かそれ以前の女性が子宮を失っていることを示したかったからです。40代以降も含めると、毎年1万人ほどの子宮摘出手術が行われています（上に引用した村中氏の本による）。

原因のほとんどはヒトパピローマウイルス（HPV）だ。性交渉を通じて感染する。ウイルスには複数の種類があるが、ワクチン接種で主なウイルスへの感染を防げる。がんの前段階である「前がん病変」を予防する効果がある。 日本経済新聞（2020.11.16）

日経新聞には子宮頸がんの進行の過程が図示されていました（下図）。この過程において、HPVワクチンが「HPVへの感染を防ぐこと」と「前がん病変への移行を防ぐこと」は証明されていました。つまり「子宮頸がんを防ぐ効果がある」ことが "間接的に" 証明されていた。しかし、ワクチンが子宮頸がんを予防する直接的な効果データはありませんでした。そのようなデータを得るには、ワクチンを承認するときの治験（数万人）だけでは無理であり、実際にワクチンを国民に接種して何百万、何千万の実績をつくり、その経過を観察する必要があるからです。

日本経済新聞・デジタル版 （2020.11.16）

ところが最近、HPVワクチンの効果を証明するデータがそろってきました。

スウェーデンのカロリンスカ研究所は10月、10～30歳の女性が接種すると、子宮頸がんの発症リスクが63%減るとの研究成果を発表した。約167万人の女性について、接種の有無で発症リスクが異なるかを調べた。10～16歳に限ると発症リスクは88%減っていた。 ほとんどは前がん病変を経て発症するためワクチンのがん予防効果は間接的に説明されてきた。がん自体の予防効果を明確に示すデータは今までなかった。 日本産婦人科学会の宮城悦子特任理事は「がんの予防効果が示されるのはもうすこし先だと思っていた」と話す。ワクチンは2006年にできたばかりでデータがそろうのに時間がかかっていた。 日本経済新聞（2020.11.16）

「10～16歳に（接種した人に）限ると発症リスクは88%減っていた」とあります。日本の定期接種は小学6年～高校1年の女性で、ほぼこの記事の年齢にあたります。これは定期接種の接種率をあげると子宮頸がんの発症を9割減らせることを意味します。しかし前にも引用したように、日本の接種率はほぼゼロという異常事態になっています。

世界保健機構（WHO）の推計によると、19年に15歳の女性のうちHPVワクチンの接種を完了した割合は英国やオーストラリアで8割、米国で55%だ。しかし日本は突出して低く 0.3% となっている。 HPVワクチンは日本では予防接種法に基づき小学6年～高校1年相当の女子は公費で接種できる。ただ厚労省は13年6月から対象者に個別に接種を呼びかける「積極的勧奨」を中止している。接種率を下げる大きな要因と見なされている。 日本経済新聞（2020.11.16）

日本経済新聞・デジタル版 （2020.11.16）

積極的勧奨の中止は、接種後に持続的な痛みが出るなどの報告が出てワクチンの副反応が疑われた経緯がある。その後、研究が進み、接種しても発症リスクは変わらないとの報告が相次いでいる。 名古屋市立大学の鈴木貞夫教授らは、名古屋市の約3万人の女性を対象に接種の有無ごとの発症リスクを比較し、18年に報告した。痛みや意図しない体の動きなどの接種後に報告された24の症状について、接種で発症リスクが上がるといった関係はみられなかった。 9月には（引用注：2020年9月）デンマークの研究チームが、慢性的な痛みが続く「複合性局所疼痛とうつう症候群」などと接種に因果関係はみられないと報告した。 日本経済新聞（2020.11.16）

このまま接種率が実質ゼロという状況をほおっておくと、子宮頸がんで子宮を失ったり、死亡したりする女性が増えるだけです。

大阪大学の研究チームは10月、接種率が激減した2000～03年度生まれの女性では将来の死者が計4000人増えるとの推計をまとめた。 日本経済新聞（2020.11.16）

この大阪大学の研究チームの報告は、10月22日の日本経済新聞・デジタル版に詳しく掲載されていました。

勧奨中止で死亡4000人増か 子宮頸がん予防ワクチン 2020.10.22 日本経済新聞・デジタル版 子宮頸（けい）がんを予防するヒトパピローマウイルス（HPV）ワクチンの積極的な接種勧奨を厚生労働省が中止し接種率が激減したことで、無料で受けられる定期接種の対象を過ぎた2000～03年度生まれの女性では、避けられたはずの患者が計1万7千人、死者が計4千人発生するとの予測を、大阪大チームが22日までにまとめた。 成果は英科学誌サイエンティフィック・リポーツに掲載された。接種率が0%近い現状のままでは、その後も同じ年に生まれた女性の中で4千人以上の患者、千人以上の死者の発生が防げなくなるとした。 ワクチンは10年に公費助成が始まり、13年4月に小学6年～高校1年への定期接種となった。だが副作用の懸念から6月、接種は無料のまま勧奨が中止された。チームが接種率を算出すると、勧奨中止の影響が小さい1994～99年度生まれは55.5～78.8%だが、影響が大きい2000年度生まれは14.3%、01年度生まれが1.6%、以降は1%未満だった。 ワクチンの安全性を巡っては18年、名古屋市立大チームが約3万人のデータを解析し、副作用とされそうな24種類の症状の発生率は接種の有無で違いがないとした。大阪大チームの八木麻未特任助教は「子宮頸がんはワクチンと検診でほとんどが予防可能。一刻も早くワクチンの積極的勧奨を再開する必要がある」とコメントした。 国立がん研究センターによると、17年に約1万1千人が子宮頸がんと診断され、18年に約3千人が死亡した。〔共同〕

避けられたはずの死者が4000人発生するだろう、という予測は相当なものですが、その死者の倍以上の数の女性が子宮を失うことも大問題です。この状況を改善するため、積極的勧奨を再開すべきだという意見が医療界に根強くあります。しかし再開には至っていません。

ワクチン接種後に障害とみられる反応があったとき、積極的勧奨を中止し、いったん立ち止まるという判断はあり得るでしょう。しかし立ち止まったあとに因果関係が見いだせなかったとき、再び積極的勧奨を行うべきであり、それが国民の命を守る政府の責任です。

厚生労働省は2020年10月からHPVワクチンのリーフレットを改訂し、各自治体を通して接種対象者に配布することを決めました。このような施策を先行して行っている自治体もあります。

国民の理解が不可欠 2020.11.16 日本経済新聞・デジタル版 HPVワクチンについての個別の情報提供は一部自治体が先行して始めている。千葉県いすみ市は2019年から高校1年を対象に通知を始めた。19年度は132人に資料を送り、14人が接種した。一定の効果はあったが、最も接種率が高かった1997年度生まれ（約81%）に及ばない。 市の担当者は「保護者の理解が必須」と話す。保護者世代はHPVワクチン接種を未経験で、理解を得にくい面がある。 厚生労働省は18年、約3000人を対象にHPVワクチンの理解度を調査した。ワクチンの意義や効果を「知らない、聞いたこともない」と答えた人が約34%に上った。接種率向上には、保護者をはじめ国民全体の理解が不可欠だ。

---

ワクチンへの理解

---

現在（2021年・年初時点）、新型コロナウイルスによる感染者・重症者・死亡者の減少の切り札として、ファイザー社などのワクチンが期待されています。こういう時だからこそ、ワクチンに対する国民の理解と正しい国の政策が必須です。HPVワクチンで起こった日本の "パニック" は、大いに参考にすべき事例だと考えられます。

まず、ワクチンには副反応がつきものです。上にも書きましたが、ファイザー社は新型コロナウイルスのワクチン（メッセンジャーRNAワクチン）の接種で、倦怠感、頭痛、発熱などの副反応が起こり得ると公表しています。もちろん後遺症が残る残るような重篤な副反応が起きてはならないのですが、もしその疑いがある症例が出た時には、それがワクチン接種と因果関係があるのか、科学的に見極めるべきでしょう。

さらに、HPVワクチンで起こったような疑似的な副反応＝身体表現性障害が観察されることも予想されます。こういった疑似的な副反応は、それがワクチンのせいだという思い込みがあると、症状が長く続いたり改善しないことがある。逆にワクチンが原因ではないと医者に断定的に言われると、症状が解消したという例が報告されています。

政府の一貫性のある対応も重要です。HPVワクチンの "副反応パニック" が起こったアイルランド、デンマークでは、政府が一貫して安全性を主張しました。ところが日本政府は、報告された症状が身体表現性障害だと結論づけたにもかかわらず（2013年）、ワクチン接種の積極的勧奨をいまだに再開していません（2020年現在）。この結果、救えるはずの数千人の命が失われると推測されているのです。政府の責任は大きいと思います。

人間の免疫機能は人によって多様だという認識も必要でしょう。ワクチンは人間の獲得免疫を利用して感染しても発病しないようにするものですが、その獲得免疫の機能の強さや個別の病原体に対する有効性は人によって違います（No.69, No.70「自己と非自己の科学」参照）。個人的な経験ですが、私はインフルエンザワクチンを接種しても全く変化はありません。しかし私の配偶者は接種した付近が大きく赤く腫れます。炎症反応が目に見える形で起こっているのですが、このように免疫反応は人によって違います。

新型コロナウイルスのメッセンジャーRNAワクチンも、最初に接種が始まった英国では、数千人に接種した段階でアナフィラキシー・ショックを起こした医療従事者が２名出たと報道されました（2020年12月。治療で回復。２人は過去にアナフィラキシー・ショックの経験あり）。メッセンジャーRNAワクチンの第３段階の治験は万の単位の人に対して行っているはずですが、それでも副反応が起きるわけです。

ワクチンに限りませんが、現代社会はノー・リスクを求めてはいけないのです。またノー・リスクを政府に要求していけない。ノー・リスクを求める限り、別の大きなリスクを招き入れることを理解しなければなりません。

---

ワクチン問題に関しては「前後即因果の誤謬ごびゅう」も注意すべきことでしょう。本文に書いたように「前後即因果の誤謬」とは「一つの事象のあとにもう一つの事象が続いたという事実だけにもとづいて両者間の因果関係を認めてしまう飛躍した考えた方」です。ワクチンは病気の治療薬と違って何百万人、何千万人に接種するものです。従ってワクチン接種後に、ワクチン接種と因果関係が全くない症状が発現することが確率的に出てくるわけです。

ためしに、新型コロナウイルス・ワクチン接種直後に心臓突然死が日本でどれだけ起こるかを計算してみましょう。このワクチンをどれだけの人が接種するか（対象者の範囲とその接種率）は、現在のところ不明です。どれぐらいの期間で接種が完了するかも不明です。そこで仮の値として、２年間かかって4000万人が接種したとしましょう。１年間に2000万人です。

日本における突然死のほとんどは心臓突然死（心室細動や心筋梗塞などによる）です。この死者の数は年間7.9万人です。実際にはゼロ歳児と65歳以上が多いのですが、簡単のために年齢は均等にバラついているとします。7.9万人を日本の人口（1.26億人）で割ると、ある人が１年の間に心臓突然死する確率（α）が求まり、

　α ＝ 0.000627

となります。そうすると、ある人がワクチン接種を受けた72時間以内（３日間）に心臓突然死する確率（β）は、

　β ＝ ( α / 365 ) * 3

となります。1年の間に2000万人がワクチン接種を受けるのですから、日本人全体では、

　20,000,000 × β ＝ 103（人）

という計算が成り立ち、ワクチン接種を受けてから72時間以内（３日間）に心臓突然死する日本人は、1年間に103人発生することになります。もし1年間に4000万人に接種したとしたら、24時間以内に心臓突然死する人は約70人です。あくまで概算の概算ですが、数のオーダーは理解できると思います。広範囲にワクチンを接種するということは、確率的にこういうことが起きることを認識しておかなければなりません。

心臓突然死は極端な例ですが、「死には至らないが、前兆が全くなく突如起こる体の不調」はたくさんあります。「生まれて初めて新型コロナウイルスワクチンの接種を受けた」という記憶は深く脳裏に刻み込まれるでしょう。従ってそのあとに近接して起こる "前兆なしの体の不調" をワクチン接種と関連づける人が出てくる可能性が高い。それにワクチン反対運動を展開している人が飛びつく。このあたりはよくよく注意すべきだと思います。

---

さらに、ワクチン接種の恩恵はワクチンを接種しない人にも及ぶことが重要です。新型コロナウイルス感染症の蔓延で、我々は今まで知らなかった感染症の専門用語を理解しました。一つは「実効再生産数」です。一人の感染者が何人に感染症をうつすかという平均値で、これが１を切ると感染症の流行は下火に向かう。

もう一つは「集団免疫」です。集団の60%とか70%の人が感染症に対する免疫を持つと、実効再生産数が下がり、感染症の流行が押さえられる。もちろん、国民に広くワクチンを接種するは集団免疫を得るためです。

ある程度のリスクを覚悟の上でワクチンの接種を受けたとすると、それは自分が感染症にかからないため（ないしはかかったとしても重症化しないため）であると同時に、社会で新型コロナウイルスが蔓延しないようにするためでもあるのです。ウイルスが蔓延しなくなると、ワクチンを接種していない人の感染リスクも低下する。従ってワクチン接種の恩恵はワクチンを接種しない人にも及びます。ワクチン接種をすることは、集団の中で皆が助け合って生きていこうという（暗黙の）意志表明でもあるわけです。ここはよく考えておくべきだと思います。

---

補記：疼痛医学の専門家の意見

2021年6月16日の朝日新聞にHPVワクチンの副反応について、愛知医科大学教授・牛田享宏たかひろ氏へのインタビュー記事が掲載されました。牛田氏は疼痛医学が専門で、総合的に痛みの診療と研究をする愛知医科大学の「学際的痛みセンター」のセンター長を務められています。以下、記事を引用します。

症状に寄り添う体制と安心感を 愛知医科大学教授・牛田享宏 朝日新聞 2021年6月16日 けがや手術の後に、原因となった傷害とは不釣り合いに強い痛みが続くことがあります。複合性局所疼痛とうつう症候群（CRPS）と呼ばれます。この患者さんに、痛むところと同じ手の部分を触る映像を実験で見てもらったことがあります。すると、それだけで苦しみ、２日ほど気分が悪かったと言われました。 国際疼痛学会は、痛みを感覚と情動の不快な体験と定義しています。長引く痛みでは、痛みという感覚だけでなく情動の要素が患者さんを苦しめるようです。 本人にとって、非常にマイナスのできごとは、考えるだけで戦慄せんりつが走ります。動悸どうきや汗、震えといった反応が体に現れ、戦慄に振り回される人もいます。 「心の問題」ということではありません。梅干しを思い浮かべると、酸っぱく感じ、唾液だえきが出ると思います。では、心を入れ替えれば、唾液が出なくなるでしょうか。記憶や身体の応答は、経験したできごとの積み上げであり、ゼロにはできません。 HPVワクチンでは、非常にまれですが、接種後に痛みを含めた「多様な症状」が現れました。強い記憶に残るような痛みや脱力などが接種で伴うと、その人にとっては大きなマイナスのできごとになる可能性は否定できません。 こうしたマイナスのできごとが、その人の一生にかかわるようなものにならないよう、医療者が寄り添うことが大切だと思います。何かが起きたときに、適切な治療に早くつながることも重要です。また、そのように寄り添ってサポートできる医療者の育成や体制づくりが必要です。 厚生労働省はHPVワクチンの積極的勧奨を中止していますが、今も対象者は希望すれば基本的に無料で接種できます。積極的勧奨の再開がイベントのように扱われ、騒ぎになれば、安心して接種できる環境ではなくなるおそれもあります。すでにわかっているワクチンの科学的なメリットを多くの人に意識づけしつつ、安心感をもって接種率を着実に上げるのがよいのではないでしょうか。

HPVワクチンの接種後に、非常にまれですが、痛みを含めた「多様な症状」（厚生労働省の見解）が現れました。この「多様な症状」とワクチン接種の因果関係をめぐって訴訟まで起きましたが（現在係争中）、この問題をどう考え、どう対処すればいいのかは、この牛田先生の意見に尽きているのではと思いました。

（2021.6.18）

---

---

タグ：ワクチン 突然死 子宮頸がん 子宮頸癌 HPV 副反応 ヒトパピローマウイルス サーバリックス ガーダシル 心臓突然死 新型コロナウイルス 村中璃子 まどわされない思考 デヴィッド・グライムス 10万個の子宮 牛田享宏

No.299 - 優しさが生き残りの条件だった

No.211「狐は犬になれる」の続きです。今回の記事の目的は、現生人類（＝ホモ・サピエンス）が地球上で生き残り、かつ繁栄できた理由を説明する「自己家畜化仮説」のことを書くのが目的ですが、この仮説は No.211 で紹介した「キツネの家畜化実験」と密接に関係しています。そこでまず、No.211 の振り返りから始めたいと思います。

---

キツネの家畜化実験

---

No.211「狐は犬になれる」で、ロシアの遺伝学者、ドミトリ・ベリャーエフ（1917-1985）が始め、現在も続いている「キツネの家畜化実験」の経過を書きました。ベリャーエフは人がオオカミを飼い慣らしてイヌにした経緯、もっと広くは野生動物を飼い慣らして家畜にした経緯を知りたいと考え、それを "早回しに" 再現する実験を1958年に開始しました。

ベリャーエフが着目したのは「家畜は従順である」という事実です。人間が家畜に期待するものは、ミルク、肉、乗り物、護衛、牧畜や狩猟の補助、仲間付き合い、癒し（ペット）などさまざまですが、すべての家畜に共通しているのは人間に対して従順、ないしは友好的ということです。

ベリャーエフはこの事実を逆転させ、人間が従順で友好的な野生動物を選別して育種してきたから家畜ができたとの仮説をたてました。そして実験を始めます。

彼は、ロシア各地の毛皮生産工場からキツネを数百頭購入し、その中から人間に友好的な個体を選別して交配をしました。もちろん、野生のキツネの中に初めから人間に慣れ慣れしい個体がいるわけではありません。彼がやったのはキツネの点数付けです。つまり、

・	人間に対しておだやかで、おとなしいキツネは点数が高い。
・	人間に対して攻撃的なキツネ、あるいは人間を恐れるキツネは点数が低い

とし、個々のキツネごとにこの程度を観察して点数を付けます。そして点数が高いキツネを選別し、交配を繰り返しました。

すると第６世代の子ギツネに、イヌがするように人を舐めるなど人間との接触を積極的に求める個体が現れ始めました。No.211 の記事の時点でキツネは第58世代目ですが、70% のキツネは「イヌのようなキツネ」になりました。このキツネたちの特徴は以下のようです。

外見

・	成長しても顔つきが幼い。
・	本来は尖っている鼻が丸く変化している。
・	尻尾がフサフサで巻き上がっている。
・	垂れ耳になった個体もある。
・	毛皮に "ぶち" がはいる。

行動

・	生まれつき人間の視線と身振りを眼で追う。
・	人間を慕って交流を望んでいるように見える。
・	人間と親密な関係になる。また人間に対して忠誠心を示す。
・	人間の指示を理解し、イヌのような行動をとる。

頭蓋骨

・	頭蓋骨の長さが短く、幅は長くなる。全体的に丸っこくなる。

ホルモン

・	ストレスホルモンの値が低い

脳細胞

・	記憶や学習をつかさどる海馬で、新生する細胞が通常のキツネの倍である。

重要なことは、「人間に対して友好的という、たった一つの基準」で選択・交配を繰り返すと、当初は思ってもみなかったような多様な変化が現れてイヌのようなキツネになったことです。ここまでが No.211 の振り返りです。

ロシアの家畜化実験でイヌ化したキツネ。鼻は丸くなり、毛皮にはぶちが入っている。2017年現在、実験施設で飼われているキツネの70%はこのようなキツネである。No.211 の画像を再掲。

（日経サイエンス 2017年8月号 より）

---

オオカミがイヌになったプロセス

---

では、オオカミの家畜化は過去にどのように進んだと推定できるでしょうか。

ここからは、日経サイエンス 2020年11月号に掲載された論文を紹介します。米・デューク大学のブライアン・ヘア（Brian Hare）とヴァネッサ・ウッズ（Vanessa Woods）による「優しくなければ生き残れない」と題した論文の紹介です。以下、この論文の執筆者を「著者」と書きます。

日経サイエンス 2020年11月号

現在のオオカミとイヌには、氷河期に生きていた共通の祖先があります。この祖先を「氷河期オオカミ」と呼ぶとすると、氷河期オオカミが分かれて進化して、現在のオオカミとイヌになったわけです。

では、どうやって氷河期オオカミがイヌになったのか。従来の説明は「人間がオオカミの子どもを野営地に連れ帰って家畜化した」とか、「人間がオオカミを飼い慣らして家畜化し、最終的には選抜育種を行ってイヌができた」というものでした。

しかしこの説明は筋が通っていません。氷河期オオカミを飼い慣らしたとしても、それは１代きりです。一方、キツネの家畜化実験でも分かるように、家畜化は何世代もの選択の過程を経て起こる現象です。また、家畜化されたキツネは遺伝子（DNA）レベルで野生のキツネと違うことが判明していますが、単なる飼い慣らしで遺伝子の変化は起きません。

現在のオオカミは肉食で、1回の食事で食べる肉の量は約9kgもあります。そして氷河期オオカミは現在のオオカミより体がさらに大きかった。氷河期オオカミを "飼い慣らした" とされる当時の人間は、狩猟採集の生活です。体の大きな肉食獣と、たとえば人間の子どもを野営地に残して狩りや採集に出かけるという生活は考えにくい。

以上のような考察を踏まえて著者は、氷河期オオカミがイヌになったプロセスを次のように推定しています。

なお、以下の引用では段落を変更したところがあります。また下線は原文にはありません。

氷河期に人間集団が定住するようになり、増えたゴミを野営地の外に捨てていたと思われる。こうした残り物には空腹のオオカミの食欲をそそるものが含まれていた。だがこれをあさることができたのは、人間を怖がらない最も友好的なオオカミだけだった。人間に攻撃性を示していたら殺されていただろう。 こうした友好的なオオカミは繁殖上で優位に立ち、仲間と一緒に食べ物をあさっていたので子育ても一緒に行ったと思われる。人間が意図的に選抜しなくても、友好的な形質が選択される過程が何世代も続いた末、この特殊な個体群の外見は変わり始めたのだろう。毛皮の色、耳、尾など、おそらくすべてが変わり始めた。これら奇妙な見た目のゴミをあさるオオカミに対して人間はますます寛容になり、彼らが人間の身振りを理解するユニークな能力をもっていることにすぐ気づいた。 人間の身振りや声に反応できる動物は、狩りのパートナーや護衛としてもとても便利だった。そのぬくもりと人懐っこさも有益だったため、人はこれらが焚き火の近くにやってくるのを徐々に許すようになった。人間が家畜のイヌを作り出したのではない。最も友好的なオオカミが自らを家畜化したのだ。 ブライアン・ヘア（Brian Hare） ヴァネッサ・ウッズ（Vanessa Woods） （米・デューク大学） 「優しくなければ生き残れない」 日経サイエンス 2020年11月号

この引用の最後のところ、「最も友好的なオオカミが自らを家畜化した」のが "自己家畜化" です。普通、家畜化というと、人間が野生動物（の子ども）を捕らえて育て、飼い慣らして家畜にすることを言います。そうではなくて「自然選択を通して起こる家畜化」が "自己家畜化" です。

この自己家畜化がヒトの進化の過程でも起こったという仮説が以下の話です。

---

なぜホモ・サピエンスが生き残ったのか

---

まず出発点は、なぜ現生人類（＝ホモ・サピエンス）だけが生き残り、繁栄できたかという疑問に答えようとすることです。「優秀だから生き残った」というような単純な話ではないようなのです。

私たちは現世の唯一の人類だが、少し前までは同類がいた。ホモ・サピエンスは約30万年前に出現して以来、少なくとも４種の人類と地球を共有してきた。 なぜ私たちが勝ち残ったのか、その理由はいまにしてみれば明白に思える。私たちホモ・サピエンスは最も優れたハンターであり、最も賢く、最も技術に精通していた。だが、これは手前勝手な見方に過ぎない。 他の人類のなかにはホモ・サピエンスよりも進んだ技術を持っていた例があり、より長い期間にわたって存続したものや（100万年間）、脳のサイズが同等以上だった人類がいた。 「同上」

「少なくとも４種の人類と地球を共有」とありますが、その４種を具体的に書くと、

◆	ホモ・エレクトス
◆	ホモ・ハイデルベルゲンシス（ハイデルベルク人）
◆	ホモ・ネアンデルターレンシス（ネアンデルタール人）
◆	ホモ・フロレシエンシス

となるでしょう。最後のフロレシエンシスは2000年代になってジャワ島で骨格が発見され、研究が進められている人類です。ホモ・サピエンスは少なくともこの４種と同時に生きていた時代がある。特にネアンデルタール人は、アフリカを出たホモ・サピエンスがヨーロッパで遭遇した人類です。

ネアンデルタール人は私たちよりも筋骨たくましく屈強だった。武器の扱いに長け、氷河期にあらゆる大型哺乳動物を狩っていた。さらに FOXP2 という遺伝子のタイプが私たちと同じだった。言葉を話すのに必要な精密に調整された運動に関与していると考えられている遺伝子だ。 またネアンデルタール人は高度に洗練された文化を持っていた。死者を埋葬し、病人や怪我人を介護し、体に顔料を塗り、貝殻や羽や骨でできた装飾品で身を飾っていた。 ヨーロッパに最初に到達したホモ・サピエンスは、寒冷な気候にうまく適応したネアンデルタール人の比較的大きな集団と遭遇した。後に氷河が発達すると現世人類はこれを逃れて去ったが、ネアンデルタール人はとどまって繁栄した。 「同上」

著者は、10万年前に戻ってどの人類種が今後生き延びるかを考えたら、ホモ・サピエンスよりもネアンデルタール人の方が有望に思えただろうと書いています。

ホモ・サピエンスは、ヒトに最も近縁の霊長類であるチンパンジーやボノボに比べて、遺伝的変異が少ないという事実があります。これは、ホモ・サピエンスの個体数がある時期に深刻なレベルにまで細ったことをうかがわせます。著者は「絶滅寸前に陥った」と書いています。

ではなぜ、最も屈強でもなく、最も賢くもなく、絶滅寸前にまで陥った（と推測される）ホモ・サピエンスが（＝ホモ・サピエンスだけが）生き残れたのでしょうか。

---

ヒトに生じた自己家畜化

---

なぜホモ・サピエンスだけが生き残れたのか、それは一言で言うとホモ・サピエンスが「協力の達人」だったことによります。

私たちホモ・サピエンスを他の人類と比べると、最も友好的な種であったことがわかる。私たちが繁栄できたのは、ある種の認知的スーパーパワーのおかげだった。「協力的コミュニケーション」と呼ばれる一種独特の温和な気質である。 私たちは見知らぬ人とも一緒に働ける協力の達人だ。初対面の人と共通の目標について意志疎通し、協力して目標を達成する。このスーパーパワーはまだ歩行も会話もできない赤ん坊のうちの発達し、社会的・文化的に高度な世界への入り口となっている。他者と心を通わせ、代々伝えられてきた知識を受け継ぐことを可能にしている。高度な言語も含め、あらゆる形の文化と学習の基礎となっている。 「同上」

その「協力の達人」に向けてホモ・サピエンスを進化させたのが「自己家畜化」でした。

この友好性は「自己家畜化」を通じて進化した。家畜化は友好性に対する強い選択を伴う過程だ。ある動物が家畜化されると、互いにまるで無関係に思える多くの変化が起こる。「家畜化症候群」と呼ばれるこの一連の変化は、顔の形や歯の大きさ、身体各部や体毛の着色に現れるほか、ホルモンや繁殖周期、神経系も変化する。家畜化は人間が動物に対して行うことだと考えられているものの、自然選択を通じて起こることもある。それが自己家畜化だ。 「同上」

家畜化は友好性に対する強い選択を伴う過程であり、互いにまるで無関係に思える多くの変化が起こる ･･････。ここが自己家畜化仮説の核心です。それは冒頭にあげた「キツネの家畜化実験」で実証されている通りです。

ちなみにこの自己家畜化仮説は著者の２人と、ハーバード大学の人類学者・ランガム（Richard Wrangham）、デューク大学の心理学者・トマセロ（Michael Tomasello）の20年にわたる共同研究で作られたものです。ランガム博士は、いわゆる「料理仮説」を提唱した学者です（No.105 参照）。またトマセロ博士はヒトとチンパンジーの認知能力の違いの研究を先導してきた学者で、ヒトが "意図の共有" という能力を生まれながらに持っていること（＝協力上手）を証明しました。

---

自己家畜化を検証する

---

ホモ・サピエンスは自己家畜化のプロセスで友好的な性質を獲得したという仮説は、何らかの方法で検証できるのでしょうか。ここで思い出すのが、冒頭で振り返った「キツネの家畜化実験」です。あの実験ではキツネの２つのタイプの変化、つまり、

・	行動の変化（＝人なつっこくなる、人と意志疎通ができるようになる）
・	形態の変化（＝顔が丸くなる、頭蓋骨が短く幅広になる）

が同時に起こりました。人類の進化史を研究する上で、行動は化石に残りません。しかし頭蓋骨は化石に残ります。著者が注目したのは、行動を制御する神経ホルモンがヒトの骨格に影響を及ぼすという事実です。

思春期にテストステロンの量が多いほど眉上弓が太くなり、顔は長くなる。（もともと）男性は女性よりも眉上弓が厚く突出し、顔がわずかに長くなる傾向があるため、こうした特徴の顔は男性的だと言われる。 テストステロンはヒトの攻撃性の直接の原因でないが、テストステロンの濃度と他のホルモンとの相互作用が攻撃的な性格を調節しているのは確かだ。 旧石器時代を通じてヒトの眉上弓が低くなり、顔が短くなり、頭が小さくなったことは、人類学者によってたびたび言及されてきた。私たちは、そうした変化をたどれば、ヒトの行動と身体を同時に形作った生理的な変化が生じた時期を特定できることに気づいた。 「同上」

要するに、現在までに発見されているホモ・サピエンスの頭蓋骨の形状を調べることで、神経ホルモンの変化（従って行動の変化）を推定しようというわけです。

私たちは当時デューク大学にいたチャーチル（Steven Churchill）およびシエリ（Robert Cieri）とともに、8万年前を区分点として、それ以前のホモ・サピエンスは以降の後期更新世のヒトに比べて顔が長く眉上弓がずっと大きかったことを見いだした。8万年前よりも新しい頭蓋骨は、顔面から突き出た眉上弓の高さが平均で40%低く、頭蓋骨の長さは10%短く、幅は5%狭かった。 パターンにばらつきはあったもののこの変化は続き、後に狩猟採集民の顔はさらに優雅が見かけになった。この変化はテストステロンの減少を示している。 「同上」

さらに、テストステロンとは別の神経ホルモン、セロトニンが頭蓋骨に与える影響もあります。

脳が利用できるセロトニンを増やす薬が人を協力的にし、他者を傷つけようとする意志を抑えることが、倫理的ジレンマと協力を調べた社会科学の実験で示されている。 セロトニンは行動を変えるだけではない。発達初期にセロトニンにさらされると頭蓋骨の形も変化するようだ。妊娠中のマウスにSSRI（引用注：選択的セロトニン再取り込み阻害薬。脳が利用できるセロトニンを増やす。うつ病治療などに使われる）を投与したところ、生まれた子は鼻づらが短くて細く、頭蓋骨が球形になった。 ホモ・サピエンス以外の人類種はすべて、額が平らで低い位置にあり、頭蓋は分厚つかった。ネアンデルタール人の頭はラグビーボールのような形だった。風船のような頭蓋骨を持つのは私たちホモ・サピエンスだけで、人類学者はこの頭蓋形状を球形と呼んでいる。この形はホモ・サピエンスの進化の過程でセロトニンの利用可能性が増えた可能性を示している。 「同上」

ホモ・サピエンス（左）とネアンデルタール人（右）の頭蓋骨を比較した図。"球形" と "ラグビーボール" の違いがよく分かる（Wikipediaより）。

テストステロンとセロトニンといった神経ホルモンは、頭蓋骨の形状に変化を与えるだけでなく、行動に変化を及ぼします。

ホモ・サピエンスの家畜化のなかで、テストステロンとセロトニンの濃度が変わったのなら、別の分子も同様に変化しただろう。テストステロンが低下し、セロトニンが上昇すると、オキシトシンというホルモンが社会的結びつきに及ぼす効果が強まる。 オキシトシンは出産時に母親の体内で急激に増えて母乳の分泌を促し、母乳から赤ちゃんに移行する。親と赤ちゃんが目を合わせるとオキシトシンによる相互作用のループが生じ、互いに愛し愛されていると感じるようになる。蘭ライデン大学のデドルー（Carsten DeDreu）が金銭ゲームや社会ゲームの実験で被験者にオキシトシンを吸入してもらったところ、より協力的で共感しやすく、相手を信頼するようになる傾向が生じた。 「同上」

このような、仲間を識別して友好性を示す性質を獲得したホモ・サピエンスは、集団による高度な協力が可能になりました。これが文化や社会の発展につながり、進化の時間スケールからすると "瞬く間に" 世界を席巻しました。

---

攻撃性という逆説

---

しかし人類は、他者に対して友好性を示すと同時に、攻撃性を示して残酷にもなります。これはどうしてでしょうか。

有効性の基盤となる神経ホルモンの変化が、同時に恐ろしい暴力の下地になっている場合がある。オキシトシンは子育て行動に極めて重要だとみられ、"抱擁ホルモン" とも呼ばれている。だがむしろ "母熊" ホルモンと呼んだほうがよいだろう。わが子を生んだときに母親の全身に満ちあふれるのと同じオキシトシンが、その子が脅かされたときには母親の怒りの火に油をそそぐ。 自己家畜化によってヒトという人種が形作られるなかで、増大した友好性は新たな形の攻撃性をもたらすことにもなった。脳が発達する間に利用できるセロトニンが増え、オキシトシンが私たちの行動に及ぼす影響が強まった。集団のメンバーが互いに強く結びつくことが可能になり、その絆きずなは非常に強く、家族のように感じるようになった。 こうして新たに他者を気にかけるようになったが、同時に血縁関係のないそうした仲間を守るために暴力を使うのをいとわなくなった。人は進化によって他者をより強く愛するようになったが、その愛する人が脅かされたときの攻撃性も強まったのだ。 「同上」

---

協力する集団は変えられる

---

以上のような攻撃性は、仲間ではないと認識した他者に示されるものです。しかし人間は交流を通して、どの範囲が仲間なのかという認識を柔軟に変えることができます。

人間性に関してこうした進化上の逆説的な側面はあるものの、誰が自分の集団に属しているかの認識は柔軟に変えられるものだ。種としてのホモ・サピエンスは、集団の概念を数千人あるいは数百万人に拡張する能力をすでに示してきた。さらに拡大可能だろう。 集団間の対立の解消する最善の方法は、感じられている脅威を社会的交流を通じて和らげることだ。脅威の感覚がもとになって自分の集団内の他者を守ろうとするなら、集団どうしが接触して脅威を生じなければ、自分が属する集団が何であるかの定義を拡張できる。 集団間の対立の場合、考え方を変化させる可能性が最も高いのは行動の変化、人的接触という行動の変化だ。 「同上」

この最後のあたりの、集団間の人的交流の重要性が、著者が論文で最も言いたかったことです。

---

以上をまとめると、次のようになるでしょう。

◆	ホモ・サピエンスは、友好性をもつ個体ほど生き残りやすいという自然選択の過程を経験した。
◆	友好性により集団での協力が可能になり、これがホモ・サピエンスに大きなパワーを与え、地球上で生き残り、繁栄できた要因となった。
◆	個体の友好性は神経ホルモンの変化に起因するが、それは同時に頭蓋骨形状の変化をもたらす。化石資料を調べると、確かに想定される変化が起きている。
◆	このプロセスは野生動物の家畜化と本質的に同じである。ただし人間が家畜化したのではなく、自然選択による家畜化であり、それは「自己家畜化」と呼べる。
◆	集団内の他者に対する友好性を発揮する神経ホルモンは、同時に集団外の人間に対する攻撃性をもたらした。
◆	しかし人間は集団の定義を柔軟に変えることができる。集団間の対立を解消し、集団の定義を変えるのに最も有効なのは、人的接触をするという行動変化だ。

著者の考える「人間とは何かという問いに対する答え」がここに示されているのでした。付け加えると、この論文は日経サイエンスと提携関係にある Scientific American誌の2020年8月号に掲載されたものです。日経サイエンスの編集部も指摘していますが、この論文の掲載は、分断と差別と対立が続く社会に対するメッセージという意図があった。そういうことだと思います。

---

「キツネの家畜化実験」再考

---

実は、著者はロシアで行われているキツネの家畜化実験の現場を訪れて調査をしています。

私たちのチームがこれらのキツネを調べたところ、イヌと同様に人間の身振りから意図を読みとるのがうまいことがわかった。人を恐れず人にひかれるキツネを育てただけなのに、社会的知能の向上など、意図せぬその他の変化が生じた。 「同上」

「キツネの家畜化実験」では、「人に友好的」「知能が高い」「丸っこい顔（その他多数の形状変化）」の３つの変化がワンセットで起こりました。これが、ホモ・サピエンスの「自己家畜化仮説」の大きな傍証となったようです。

ロシアの遺伝学者、ベリャーエフの「キツネの家畜化実験」は「人が野生動物を飼い慣らして家畜にした経緯を知りたい」ということから始まりました。ベリャーエフは、人に従順な個体を選別・育種するという、たった一つの規準で家畜化はできるだろうと考えた。この洞察が非凡だったと思います。

彼が「キツネの家畜化実験」の意義について、どこまで見通していたのかは分かりません。しかし少々意外なことに、この実験はホモ・サピエンスが地球上で生き残って繁栄した理由（＝仮説）につながり、もっと大きく言うと「人間とは何か」という問いに答えるための材料にもなった。

家畜化実験のキツネの遺伝子は DNA レベルで詳しく分析されているようです。ということは、たとえばの例ですが、人間の自閉症の研究にも役立つかもしれない。「キツネの遺伝子を DNA レベルで詳しく分析する」などは、ベリャーエフが実験を始めた1958年には考えもできなかったことです。それが現在では可能になっている。

「キツネの家畜化実験」は、いわゆる基礎研究の一つです。何かに役に立つことを目的としたものではありません。しかし基礎を押さえることで、そこから発展や応用の道が開ける（ことがある）。基礎研究の意義を改めて思いました。

---

優しくなければ生き残れない

---

ここからは日経サイエンスの論文の題名に関した余談です。米・デューク大学の２人の論文の原題は、

　Survival of the Friendliest

で、「最も友好的な（friedlyな）ものが生き残る」という意味です。この題はもちろん、ダーウィンの進化論に関して言われる、

　Survival of the Fittest

つまり「最適者が生き残る（＝適者生存）」の "もじり" ないしは "パロディ" です。一方、日経サイエンス編集部が訳した日本語題名は、

　優しくなければ生き残れない

で、これはアメリカの小説に登場する有名な台詞せりふの "もじり" になっています。それは、レイモンド・チャンドラーの『プレイバック』の中の、私立探偵のフィリップ・マーロウの台詞で、マーロウの尾行対象の女性、ベティー・メイフィールドとの会話に出てきます。最も新しい村上春樹訳では、次のようになっています。

「これほど厳しい心を持った人が、どうしてこれほど優しくなれるのかしら？」、彼女は感心したように尋ねた。 「厳しい心を持たずに生きのびてはいけない。優しくなれないようなら、生きるに値しない」 私は彼女にコートを着せかけてやり、我々は車のあるところまで歩いた。 レイモンド・チャンドラー 村上 春樹 訳 「プレイバック」第25章 （早川書房 2016）

ちなみに、マーロウの台詞の原文は、

If I wasn't hard, I wouldn't be alive. If I couldn't be gentle, I wouldn't deserve to be alive.

レイモンド・チャンドラー 村上春樹 訳 「プレイバック」

です。この台詞には２つの文がありますが、最初の文の「生きのびてはいけない」の部分と、２番目の文の「優しくなれないようなら」の部分を切り取って合わせてしまったのが、論文の日本語題名ということになります。原題の "もじり" には "もじり" で訳すということでしょう。

村上春樹さんが『プレイバック』の「訳者あとがき」で書いていました。チャンドラーに関する英米の書籍を読んでいても、この台詞に関する記述は全く出てこないし、知り合いのアメリカ人に聞いてみても、誰もそんな台詞があるとは知らなかったと ･･････。これは日本でだけ有名な台詞のようです。

論文の原題はホモ・サピエンスの生き残りの要因を "friendly（友好的）" というキーワードで表現していますが、"優しい（gentle）" となると少々意味が違います。従って「優しくなければ生き残れない」というタイトルは原題を正確には伝えていません。翻訳としては不正確な訳、あるいは悪訳です。とはいうものの、このタイトルは「日本でしか有名でない、アメリカの小説の台詞のパロディ」になっていて、これはこれでピッタリという感じがしました。

---

---

タグ：村上春樹 レイモンド・チャンドラー オキシトシン セロトニン フィリップ・マーロウ 日経サイエンス ネアンデルタール人 ホモ・サピエンス テストステロン プレイバック 自己家畜化 ベリャーエフ

No.296 - まどわされない思考

このブログでは、我々の思考を誤らせる要因について何回か書きました。まず No.148「最適者の到来」と No.149「我々は直感に裏切られる」では、日常生活とは全くかけ離れた巨大な数は想像できないので、直感があてにならず、誤った判断をしてしまう例を書きました。組み合わせの数とか、分子の数とか、カジノにおけるゲーム（賭け）の勝率などです。No.293「"自由で機会均等" が格差を生む」も、膨大な回数の繰り返しが我々の直感に全く反する結果を招く例でしょう。

また、No.83-84「社会調査のウソ」では、現代において数限りなく実施されている社会調査は、その調査方法が杜撰だったり推定方法が誤っていると実態とはかけ離れた結論になることを見ました。この「社会調査のウソ」の一つが "偽りの因果関係" です。つまり、物事の間に相関関係があると即、それが因果関係だと判断してしまう誤りです。No.223「因果関係を見極める」ではその分析と、正しく因果関係を見極める方法を専門家の本から紹介しました。

さらに、No.290「科学が暴く "食べてはいけない" の嘘」は、食の安全性についての科学的根拠がない言説にまどわされてはいけないという話でした。

以上の「直感」「社会調査」「因果関係」「食べてはいけない」以外にも、我々を誤った思考に導きやすいものがいろいろとあります。特に今の社会はインターネットの発達もあって、人々をまどわす誤った主張や非論理的な説明に満ちているのが実態です。それらに惑わされないようにして現代社会を生きて行くには、どうすればよいのか ────。最近、このテーマに絞った本が出版されました。

『まどわされない思考』
　デヴィッド・ロバート・グライムス 著
　長谷川 圭 訳
　角川書店 2020

デヴィッド・グライムス 「まどわされない思考」 （角川書店 2020）

です（以下「本書」）。著者はアイルランド出身の物理学者、科学ジャーナリストで、英国とアイルランドで現代社会の各種の問題を科学的見地から解説しています。本書の副題は、

非論理的な社会を批判的思考で生き抜くために

で、批判的思考（＝クリティカル・シンキング）がテーマになっています。また本書の原題は、

　The Irrational Ape
　（＝ 非理性的なサル）

です。「人間は理性的なサル」という言い方がありますが、実態は感情に支配される非理性的なサルだという、自戒を込めた題名です。これを乗り越えるのが批判的思考（＝クリティカル・シンキング）というわけです。

本書は現代社会のさまざまな問題・課題を考える上で大いに参考になると思ったので、以下に内容の "さわり" を紹介します。

---

序章：批判的思考

---

本書の序章に、1950年代の中国の「大躍進政策」の一環として行われたスズメの駆除運動のことが書かれていました。当時の中国では、農業の近代化と国の躍進のために害虫・害獣の駆除が必須だと見なされていました。たとえば、蚊やネズミは疫病を広めていたからです。ちょっと長くなりますが、引用します。

以降の本書からの引用では段落を増やしたところがあります。また、漢数字を算用数字に改めたところや、ルビを追加したところもあります。下線は原文にはありません。

無害でおとなしいスズメは病気を広めたりはしないが、農家が育てる穀物を食べてしまうのだ。まるで労働者を食い物にするブルジョア（資本家）階級ではないか。権力者たちはスズメの中に政治の縮図を見たのである。スズメを「資本主義の公的動物」と決めつけたうえで、革命を空から妨害しようとすつこの外敵を根絶やしにするために、「打麻雀運動」が1958年に始まった（引用注：麻雀は中国語でスズメのこと）。 『北京人民日報』は「すべての人民が戦いに参加する必要がある ･･････ 我々も革命家たちの粘り強さを受け継がなければならない」と人々を鼓舞した。この呼びかけに民衆は熱烈に応じた。北京だけでも三百万人の人員がスズメの駆除に動員されたのである。スズメを撃ち落とすために、学生ライフル隊が組織され、巣はことごとく破壊され、卵は割られ、雛は殺された。騒音でスズメを追い払うために、鍋をたたく者もいた。着陸できないままずっと飛び続け、最後は力つきて空から落ちてくるスズメもたくさんいたそうだ。 おびえた小鳥は安全な場所を求めた。例えば北京のポーランド大使館。だが、大使館には彼らを難民として受け入れるつもりはなかったようだ。大使館も太鼓をたたくボランティア市民で取り囲まれたため、スズメたちはゆっくりと羽休めをすることができなかった。太鼓の音が鳴り続いた。二日後、死んだスズメを取り除くために、大使館員がシャベルを使わなけれればならなかったほどだ。一年以内におよそ十億羽のスズメが殺されたと言われている。実質的に、中国ではスズメが絶滅したと言えるだろう。 しかし、この破壊行為の発案者はスズメの大切な役割について何ひとつ考えを巡らせていなかったようだ。解剖してみたところ、スズメの主食は穀物ではなく昆虫だということがわかった。だが、これは予想できたことだ。中国を代表する鳥類学者である郑作新（引用注：Zheng Zuohin, 1906-1998）がすでに、スズメが害虫の駆除に欠かせない存在であると警告していたのだから。 これを批判と理解した毛沢東は郑作新を「反動的権威」と決めつけ、彼を再教育したうえで重労働に課した。1959年になって、党はようやく現実に屈したのだが、時すでに遅しだった。スズメはイナゴにとって唯一の天敵なのだが、そのスズメがいなくなったことで、イナゴの数が爆発的に増えたのである。中国全土で、イナゴは誰にも邪魔されずに作物を食い荒らした。 この大失態により、中国は180度の方向転換を余儀なくされる。ソ連からスズメを輸入したのである。しかし、作物はすでに取り返しがつかないほど大きな損害を受けていた。そこに大躍進政策のほかの失政が重なって、状況はさらに悪化していった。この近視眼的政策がもたらしたのが1958年から1962年まで続いた「中国大飢饉」だ。この悲劇によって、1500万から4500万の罪のない人々が命を落としたと言われている。 デヴィッド・ロバート・グライムス 『まどわされない思考』 p.12 長谷川 圭 訳（角川書店 2020）

これは「浅はかな考えで行動すると恐ろしい結果になる」ことの（極端な）例です。特に、中国を代表する鳥類学者の警告に耳をかさなかったのが、「批判的思考がないと起こる最悪の事例」になっています。

---

この「打麻雀運動」のくだりを読んで思ったのですが、これは「カリスマ独裁者が支配する共産党独裁政権で起こった特殊な出来事」なのでしょうか。そうとも言えないと思います。

現在日本で最も深刻な生態系被害をもたらしている外来動物はマングースです。マングースは毒ヘビのハブを退治するために、動物学の権威であった東大教授の提唱で1910年（明治43年）に沖縄本島に持ち込まれました。そして1979年には奄美大島にも導入されました。

しかし1980年代になって研究者がマングースの胃の内容物や糞を分析した結果、ハブを食べている個体はほとんどいないことが分かりました（この経緯は中国のスズメとそっくりです）。代わりに沖縄本島ではヤンバルクイナ、奄美大島ではアマミノクロウサギなどの沖縄の固有種（この２種は天然記念物で、かつ絶滅危惧種）が犠牲になっていることが分かったのです。マングースもバカではありません。命がけで毒ヘビを襲うより、飛べない鳥を食べた方がラクというものです。加えて、マングースは昼間に活動し、ハブは夜行性です。そもそもマングースとハブが自然界で出会うチャンスは少ないのです。

環境省は2000年からマングースの駆除をはじめました。これにかかる費用は年間数億円の規模です。マングースの個体数は減ってきたようですが、現在までに完全駆除できたわけはありません。これからも多額の予算が投下され続けるわけです。

この経緯は、スズメの駆除が一因となって飢饉に陥り、あわててスズメを外国から輸入した中国とは逆のパターンです。しかし「浅はかな考えで行動すると、とんでもないことになる」ことは共通しています。しかも、マングースの導入を提唱したのが最高学府のれっきとした動物学者というところが、中国よりも "浅はか" かもしれない。「本当に自然界でマングースがハブを補食するのか」という批判的思考をする学者や官僚が少しでもいたら、こうはならなかったでしょう。

---

本書に戻って、著者が「打麻雀運動」を例に出したのは、批判的に考えることの重要性を指摘したかったからでした。

人の知性は確かに間違いを犯すこともあるが、同時にその誤りから学ぶというユニークな才能も備えている。どんな場面で間違えやすいかを知ることができれば、誤った考え方をしないで済む。 眉唾ものの話やあからさまな嘘が作り出す騒音 ─── 打麻雀運動で鍋をたたく音の現代版 ─── に取り囲まれた生活の中でも正しい決断を下したいと願うなら、私たちは誤った考え方が生じやすい場面を知り、騒音から意味あるシグナルを切り離す方法を学ばなくてはならない。難しいことのように思えるかもしれないが、私たちには強力な武器がある。批判的に考える能力だ。 『まどわされない思考』 p.16

この引用部分が本書のテーマになっています。「誤った考え方が生じやすい場面を知り、批判的に考える能力をつける」というところです。さらに著者は、そのときに重要な点をあげています。

◆	思考の道筋を、いつも、最後まで、論理的にたどること。
◆	エビデンス、つまり明らかな事実を頼りにすること。
◆	自分の信念に対して、他人の信念と同じぐらいに厳しい疑いの目を向けること。
◆	間違った考えや信念を、それがどれだけ心地よいものであっても、捨てる覚悟を持つこと。
◆	導き出した結論が気に入るかどうか、自分の世界観に合っているかより、その結論がエビデンスと論理によって導き出されたものかどうかを重視すること。

これで明らかなように、批判的思考は自分の考えに対して批判的に考えることも含みます。

現代は特に「批判的に考える」ことが重要です。その理由は、新聞・テレビ・ラジオといった従来メディアを凌駕するインターネットの発達、特にソーシャル・メディアの浸透です。ここでは玉石混淆、真実から嘘までのあらゆる情報が飛び交っていて、しかも情報を拡散させるのが極めて容易です。著者は「ソーシャル・メディアで共有されている記事の 59% が記事を読んでもいない人によって拡散されていると言われる」と書いていますが、いかにもありそうな話です。要するに、何らかの知的作業を行うことは一切なしに（もちろん批判的思考など全くなしに）情報が飛び交っている。

著者は「オンラインでいちばん共有されやすいのは強い感情」だとも言っています。これは米国科学アカデミーが2017年に行った調査でも裏付けられたそうです。怒り、恐怖、嫌悪、感情的表現に溢れた情報ほど共有されやすい。このことが、デマ、虚言、フェイク、偽ニュースの拡散に一役買っています。

ある大規模調査の結果が2018年に『サイエンス』誌で発表された。その調査では現代社会がいかに分断されているかを調べるために、2006年から2017年のあいだに激しい議論の対象となった12万6千件のニュース記事を分析したのだが、その結果を見て、おもわずハッとした。どの評価基準を用いても、デマとうわさが真実を完全に覆い隠し、どの話題でも虚言が支配的だったのだ。 「情報のあらゆるカテゴリーにおいて虚言は真実よりも圧倒的に遠く、速く、深く、そして広く拡散する。その効果はテロリズム、自然災害、科学、都市伝説、金融情報などよりも政治に関する偽ニュースではっきりしていた」。 この調査でもまた、コンテンツは感情的なものほど広く共有されることがわかった。そして偽りの物語は人々に嫌悪感、恐怖、あるいは直接的な怒りをわざと呼び起こすためにつくられていたのである。 『まどわされない思考』 p.19

偽りの物語は、いちど広まると簡単には訂正できません。長く人々に意識に残ります。これをインターネットの "利点" と見なして、プロパガンダ目的で偽ニュースを大量に流したのが、2016年の米国大統領選挙でした。そこには外国勢力もからんでいたことが明らかになりました。

偽りの物語が長く人々の意識に残るのは、心理学者が「真理の錯誤効果」と呼んでいるものが一因です。

ヒトラーは狡猾だっただけでなく優れた演説者でもあった。そして心理学者が「真理の錯誤効果」と呼ぶ現象に直感的に気づいていた。ある情報に何度もさらされると、人々はそれを真実だと信じやすくなるのである。 このことに気づいたのはヒトラーが最初だったわけではない。ナポレオン・ボナパルトは「話術において本当に重要なことはたった一つしかない。すなわち、繰り返しだ」と言ったとされている。 間違った話を何度も聞くと、人々は答えがわかっていない問題だけでなく、正確な答えを自分で知っている場合でも作り話のほうを信じてしまうことが、研究を通じて明らかにされている。 『まどわされない思考』 p.21

著者は、「いかに知能が優れていようとも、人間は感情的な動物に過ぎない。私たちは理性のないサル。疑わしい結論を信じ込み、軽率な行動を起こすことが多い」と書いています。だからこそ、本書のテーマである「批判的思考」が重要なのです。

本書は序章のあとに第１部から第６部までの構成になっています。以降、それぞれのセクションのさわりを紹介します。

---

第１部：形式的誤謬

---

本書の第１部は「理性の欠如」というタイトルがついていますが「形式的誤謬ごびゅう」を扱っています。主張の論理構造が誤っていたり矛盾している例です。これを意図的に行うのが「詭弁」です。何点か紹介します。

後件肯定の誤謬と陰謀論

「後件肯定」とは論理学の用語で、日常生活では使いませんが、別に難しいことではありません。後件肯定の誤謬とは、

前提１	：	P は Q である。
前提２	：	Q である。
結論	：	従って、P である。

とする形式的誤謬です。「P は Q である」の P が「前件」、Q が「後件」です。紛らわしいのは「後件肯定」における結論が、結論だけをとると正しいことがあることです。

前提１	：	すべての人間は死ぬ。
前提２	：	ソクラテスは死んだ。
結論	：	従って、ソクラテスは人間だった。

の結論は正しい。しかし人間のところを犬に置き換えると誤った結論になります。

前提１	：	すべての犬は死ぬ。
前提２	：	ソクラテスは死んだ。
結論	：	従って、ソクラテスは犬だった。

著者は、世の中で広まっている「陰謀論」の根幹にはこの「後件肯定」があり「よこしまな論証があたかも正当であるかのような幻想を作り出す」と指摘しています。陰謀論とは「世の中で起こった大きな事件や事故、出来事が、実は隠れた勢力が裏で引き起こした陰謀である」という論ですが、その例として著者は「9.11事件」を取り上げています。

2001年9月11日、アメリカでイスラム過激派によって４機の旅客機が同時にハイジャックされました。まずアメリカン航空11便が、ニューヨークのツイン・タワーの北棟、93階と99階のあいだに時速790kmのスピードで突入しました。その数分後、ユナイテッド航空175便が南棟の77階と85階のあいだに時速960kmで突っ込んだ。この攻撃によりツインタワーは激しい炎に包まれ、タワーそのものが崩壊し、世界中の人々を愕然とさせました。

別の場所では、アメリカン航空77便のハイジャック犯が旅客機もろとも国防総省に突入しました。またユナイテッド航空93便では勇敢な乗客たちがハイジャック犯に反撃し、自らの命を投げうって目的地に到達する前に飛行機を墜落に導きました。この飛行機の攻撃の目的地はワシントンの政治中枢だと言われています。

このアメリカ史上最悪のテロによって2996人の命が失われました。世界で最も強大な国家の中枢に攻撃を仕掛けるという大胆さに世界は動揺し、ツインタワーが崩れ落ちるイメージが人々の意識に刻み込まれた。しかしツインタワー崩壊の煙が収まらない時から「陰謀論」が広まり始めたのです。

しかし、まだ煙が収まっていないころから、陰謀を疑う声がすでにささやかれていた。残虐行為の余波のなか、簡単な答えが見つからない。その空白を埋めるように陰謀論が広まったのである。暗い憶測が盛んにささやかれ、すべてを網羅する手の込んだ物語が生まれた。多くの人が、ジェット燃料が燃えたぐらいで鋼鉄の梁（はり）が溶けることはないと主張した。ツインタワーは計画的に爆破されたのだと言う者もいた。 また、個人の先入観によって、事件の "真犯人" の正体についてもさまざまなバージョンが語られた。国内の政治的な流れを変えるために、攻撃は単純に黙認されていたと主張する者もいたほどだ。米国政府が秘密裏に行った作戦だ、あるいはモサドの仕業だという声も聞かれた。 『まどわされない思考』 p.41

この事件後、インターネット上では陰謀論が大流行します。ビデオも大量にアップされました。「9.11テロの真実を求める運動」は "トゥルーサー" 運動と呼ばれ、次第に一般の人々に浸透していきます。これらの陰謀論には共通点がありました。それは「公式の説明は信用できない」という態度です。

この "陰謀論の火" に油を注いだのが、2003年のブッシュ政権のイラク侵攻でした。9.11テロを起こしたアルカイダとイラクのフセイン政権を結びつける証拠が何もない状況の中で、ブッシュ政権はイラクが大量破壊兵器を保有しているという "話" をもとにイラクに侵攻したのです。この「大量破壊兵器の保有」は、後に全くの捏造であることが分かりました。こういったブッシュ政権の不誠実な態度が「9.11テロ陰謀論」に拍車をかけたのです。

しかし、この種の陰謀論は簡単に論破できると著者は書いています。その例として「ジェット燃料が燃えたぐらいで鋼鉄の梁はりが溶けることはない」「人為的な爆発がタワーを崩壊させた」という主張を考えてみましょう。

今もよく聞かれる流言を例にみてみよう。ジェット燃料には鉄骨を溶かす力がない、というのは真実だ。ジェット燃料の大部分は灯油でできていて、灯油はおよそ300度で燃えるのだが、スチールの融点はおよそ1510度なのだから。 9.11 トゥルーサーはこのちっぽけな真実に狂信的にしがみつくが、この態度こそが、彼らが力学の基本を完全に誤解している事実を明らかにしている。というのも、スチールは熱にさらされると急速に抗張力（引っ張り強さ）を失うのだ。590度で強度が通常の50%にまで下がる。当時のツインタワー内の温度では、いつもの10%程度の強度しかなかったと考えられる。 地獄のような猛熱にさらされて、建物は単純に弱っていた。しかも構造そのものが大規模に破壊されていたため、床が落ち、それが下のフロアを破壊し、それが下の階へと連続して続く、俗に「パンケーキ効果」と呼ばれる現象が生じたのである。鉄骨は溶けなくても、単に強度を失うだけでタワーは崩れるのだ。このことはエンジニアや専門家が何度も繰り返し証明している。 連続する崩壊により大量の煙と空気が生じ、下の階に向けて順番に窓が砕け散った。燃えさかる灯油が階段やシャフトを流れ落ち、炎の塊がマンハッタンのスカイラインに噴出したものだから、「制御された爆発」がタワーを破壊したという憶測に火がついたのだろう。しかしながら、人の手による解体は下から上に行われるの普通で、その逆ではない。いずれにしても、そのようなシナリオを実行するには、誰にも見つからずに何トンもの爆発物を建物のなかに運び込まなければならなかったはずだ。 批判的なレンズを通してみると、9.11 トゥルーサー運動の信仰の柱は粉々に砕け散ったと言える。連邦緊急事態管理局、米国標準技術局、『ポピュラー・メカニクス』誌など、数多くの組織や機関がツインタワーの大惨事を包括的に調査し、陰謀論者のほぼすべての主張を覆している。9.11 委員会の調べでは、モハメド・アタが攻撃のリーダーで、ハイジャック犯の全員がビン・ラディンのアルカイダのメンバーだった。加えて委員会は、サダム・フセインとイラクは 9.11 にまったく関係していないと結論づけた。侵攻の口実として両者の関与を主張していた政治家たちは当惑したことだろう。 『まどわされない思考』 p.43

しかし 9.11トゥルーサー運動はその後も続き、本書の執筆時点でアメリカ人のおよそ 15% が 9.11 は「内部の者による工作」だったと考え、国民の半数は事件後の歴代政権が事件の真相を隠蔽していると信じているそうです。事件後10数年が経過してもそのような考えが消えないのはどうしてでしょうか。

著者はその大きな理由が「後件肯定」にあると指摘しています。「後件肯定」は陰謀論者がナンセンスを物語に仕立てる常套手段です。つまり陰謀論者は、

前提１	：	隠蔽工作がある場合、公式声明は我々の見解を否定するだろう。
前提２	：	公式声明は我々の主張を誤りだと証明した。
結論	：	従って、隠蔽工作があった。

という主張をします。これは「ソクラテスは犬だった」式の論理で、こじつけであることが明白です。しかしこのこじつけにより、陰謀論には証拠が欠けているという明白な事実でさえ、彼らの主張を裏付けるような印象を作り出すわけです。このこじつけに騙される人がいるのが、陰謀論が未だに消えない根幹の理由です。

媒概念不周延の誤謬

媒概念不周延とは論理学の難しい用語ですが、この用語が重要なわけではありません。用語の説明は後に回します。この誤謬を使った詭弁はよくあり、著書はそれを「（携帯電話などに使われる）無線電波がある種の癌を誘発する」という論で説明しています。

携帯電話の使用と脳腫瘍（膠芽腫こうがしゅや髄膜種ずいまくしゅなど）のリスクについては各国で疫学調査が行われましたが、今まで関係が見つかったことがありません。また他の腫瘍との関係が示されたこともありません。そもそも、1990年頃の携帯電話の普及率はほぼゼロでしたが、現在ではほぼ100%になっています。そして1990年代以降に脳腫瘍（ないしは他の腫瘍）が激増したことはないのです。しかしインターネット上には携帯電話の電波が癌を引き起こすという主張をするサイトが多数あります。

携帯電話に使われる無線電波は電磁波（Electromagnetic Wave）の一種ですが、電磁波を波長の短い方から（従ってエネルギーの強いものから）順に並べると以下のようになります。nm はナノ・メートル（10^-9メートル）です。

・	放射線（アルファ線やガンマ線やX線など）：～ 10nm
・	紫外線：10nm ～ 380nm
・	可視光：380nm ～ 760nm
・	赤外線：760nm ～ 1mm
・	電波（マイクロ波）：1mm ～ 1m
・	電波（短波、中波、長波など）：1m ～

電磁波の一部（放射線）は分子の化学結合を破り、原子から電子を弾はじき飛ばすほどのエネルギーを持っています。従って生体のDNAを傷つけ、結果として癌を引き起こすほどの力を秘めている。逆に、このことを利用して癌細胞を死滅させる医療に使われています（癌の放射線治療）。

しかし携帯電話に使われる無線はマイクロ波であり、波長は1mm～1m程度です。電磁波のエネルギーでみると、最もエネルギーの小さい可視光（700nm程度の赤色光）でさえ、最もエネルギーの大きい携帯電話用マイクロ波（波長 1mm程度）の1430倍ものエネルギーがあります。マイクロ波が癌を誘発するなら赤色光も癌を誘発するはずですが、そんなことはないのです。

「無線電波＝癌のリスク」論者がわざわざ持ち出すのは、放射（Radiation）という単語が入った「電磁放射 Electromagnetic Radiation」という言葉です。ここでの Radiation は "媒体や空間を介したエネルギーの伝播" という意味ですが、単に Radiation と言うとアルファ線やX線などの放射線をも意味する。放射線は癌を誘発するリスクがあるので、そこがややこしいというか、言葉が曖昧なところです。この電磁放射という言葉を使って次のような論法が行われます。

前提１	：	すべての無線波は電磁放射である。
前提２	：	一部の電磁放射は癌を誘発する。
結論	：	従って、無線波は癌を誘発する。

これは典型的な「媒概念不周延の誤謬」です。媒概念とは前提にはあるが結論にはない概念のことで、上の論法では "電磁放射" がそれにあたります。また「周延」とは、概念 XXX について

すべての XXX は ･･････ である
すべての XXX は ･･････ でない

というように、XXX に属するものすべてについての命題が規定されていることです。それがされていない場合が「不周延」です。上の論法では「電磁放射」という媒概念が不周延なので「媒概念不周延の誤謬」となります。

上にように書いてみると論理的な誤りが明白ですが、演説などでは言葉をあやつって悪用されます。これは政治の世界でもよくあり、たとえば「共産主義者は増税を支持している。私の政敵は増税を支持している。従って、私の政敵は共産主義者だ」といった論法です。

生存者バイアス

生き残ったもの（残存しているもの）には、生き残っているということに起因する "偏り" があります。これが「生存者バイアス」です。

顕著な例を第二次世界大戦に見つけることができる。当時は致命的な高度で頻繁に空中戦が繰り広げられ、両陣営ともに多くの犠牲者を出していた。犠牲を減らすために、海軍分析センター（CNA）は戦闘機の弱点を特定することを目指して、帰還した穴だらけの機体を調査した。 被弾した機体から得たデータをつぶさに調べた分析官は、被害の広がりや場所をマッピングしてみた。機体の全域に被弾の跡が見られたのだが、不思議なことにいくつかの部位 ─── エンジンやコックピット ─── では大きな傷跡が見つからなかった。コックピットまわりのダメージを示すデータが少ないため、エンジニアはコックピット以外の部分を強化することを決めた。 しかし、エイブラハム・ウォルドという統計学者が、データが欠落している事実こそが重要であると気づき、まったく違うストーリーを語ったのだ。実際は、エンジンやコックピットにダメージを受けた戦闘機は炎に包まれて墜落したため、分析できるほどのデータが残っていなかったのだ。ウォルドの洞察が、CNAがそれまで苦労して積み重ねてきた仕事を真っ向から否定し、まったく違う結論にたどり着いたのだった。 『まどわされない思考』 p.77

この半世紀ほどにおける癌の発生率の増加も「生存者バイアス」と言えるでしょう。癌の増加を大気中の化学物質の増加や食品添加物に関連づける言説がありますが、それは違います。癌の発生リスクは加齢とともに増加します。従って高齢になるまで "生き残った" 人たちには癌の発生リスクが高いという "バイアス" が存在する。医療が進歩し、感染症で死ぬ人が少なくなり、世の中が高齢化すると癌の発生率は高くなるのが当然です。

チェリーピッキングの誤謬

エビデンスの中から自分に都合のよいものだけを選び、その他のものは排除ないしは無視することを "チェリーピッキング" と呼びます。チェリーとは "さくらんぼ" のことですが、熟れたさくらんぼを選別して選ぶところからこの名前があります。

よく健康食品の販売コマーシャルに「お客様の声」があります。「これを食べ出してから（飲み出してから）元気になりました」という "声" ですが、それ自体はユーザの意見として嘘ではないのでしょう。しかし「健康状態は変わらない」「悪くなった」という声は採用されません。良かったという声だけをチェリーピッキングしてコマーシャルを打っているわけです。

代替医療というのがあります。現代の医学では治療法として認められていない民間療法や、あやしげな療法を言いますが、人間の体は複雑なので、そのような代替医療で治癒したように見えることはあるわけです。たまたまなのかも知れないし、プラセボ効果かもしれないし、人間の免疫機構が病気に勝ったのかも知れない。代替医療の推進者は、こういう例だけをチェリーピッキングして宣伝をします。

著者は、チェリーピッキングの典型例が霊能者だと言っています。たとえば、犯罪に使われた物品をもとに犯罪詳細を言い当てるといった例です。これは確率的に "当たる" ことがある。その当たった例だけをチェリーピッキングすると "霊能" があるように見せかけられます。

気候変動は起こっていないとする否定論もチェリーピッキングです。科学者の出した膨大なデータは気候変動を示していますが、中には（地域や測定項目によっては）起こっていないとするデータもある。そういったデータにしがみついているのが否定論者です。

ビジネスに成功した人をとりあげて、成功の要因をあげるのもチェリーピッキングに近いでしょう。同じようにやって成功しなかった多数の人がいると想定できるからです。

---

第２部：非形式的誤謬

---

「純粋で単純な真実？」と題された第２部は非形式的誤謬を扱っています。

権威に訴える論証

著者は、世の中で非常に権威のある人が言っているから正しいと考えてしまう傾向、ないしは権威者がその権威を背景に論じることを「権威に訴える論証」と呼んでいます。これは典型的な非形式的誤謬です。

「ビタミンCをとれば風邪の予防になる」という噂を聞いた人は多いはずですが、この噂のもとをたどると米国のライナス・ポーリングに行き当たります。ポーリングは量子化学の権威で、1954年のノーベル化学賞に輝きました。また、核兵器に対する反対運動を主導したことで1962年にノーベル平和賞が授けられています。ノーベル賞を個人で２回受賞したのは数人いて、有名なのはキュリー夫人です（物理学賞と化学賞）。しかし化学賞と平和賞という異分野で受賞したのはポーリングだけです。

ポーリングは1960年代の講演で「科学の進歩を見届けるためにあと25年は生きたい」と発言ましたが、その聴衆の中のアーウィン・ストーンというい人物がいました。この人物はポーリングに手紙を書き、１日3000ミリグラムのビタミンCを活力の源として推奨しました。ここから話は変な方向に進み出します。

疑い深い人ならそのようなアドバイスをあやしげな、あるいはくだらないとみなして相手にしなかったかもしれない。しかし、ポーリングはストーンの助言に従うことにした。そしてその後すぐに、エネルギーが吹き込まれ、以前よりも風邪をひきにくくなった気がする、と報告したのである。夢中になったポーリングは、それから数年をかけて１日に１万8000ミリグラムという驚異的な量にたどりついた。熱烈なビタミンC信者になったといえるだろう。 1970年、ポーリングはこのテーマに関する初の大作『Vitamine C and the Common Cold（ライナス・ポーリングのビタミンCとかぜ、インフルエンザ）』を執筆し、ビタミンの大量摂取の素晴らしさを絶賛した。この本はベストセラーになった。一夜にして、風邪を予防できると信じた人々は大量のビタミンCを買うようになった。一部の地域では、年間の販売数が十倍にも増え、生産が追いつかなくなったほどだ。ビタミンCが病気の煩わしさを防いでくれるという安心のメッセージがアメリカから世界へと伝わっていった。何しろ、ノーベル賞を２度も受賞した男のアドバイスなのだから。 だが、ポーリングの熱心な布教活動には、確かな根拠が欠けていたようだ。ほんの少しの逸話は別として、ビタミンCの大量摂取に明らかな利点があることを確実に示す証拠が、単純に存在しないのである。 『まどわされない思考』 p.88

ポーリングはその後、ビタミンCの大量摂取は癌や蛇の毒、エイズまでに利く万能薬と主張し出したようです。

ビタミンCは体に必須なので（しかも体内で合成できない）、不足するとまずいことがいろいろ起こることは想定できます（ビタミンC欠乏症の代表は壊血病）。免疫力が低下して風邪をひきやすくなるかもしれない。しかし、１日の必要量（成人男性で100mg程度。厚生労働省の推奨量）を遙かに超える量を摂取しても排泄されるだけです。大量摂取による重篤な副作用はないようですが、重度の膨満感や下痢が起きやすくなることはあるようです。

ポーリングの例は、ある分野に精通しているからといって他の分野でも精通していたり知識があるわけではないことを示しています。ノーベル賞を２度もとった "権威" で判断してはいけないのです。

単一原因の誤謬

人間は、原因と結果がはっきりしている単純な物語を好みます。このことが起因して "問題を単純化する誤り" を犯しやすい。その一つが「単一原因の誤謬」です。これは物事の原因を一つに決めてしまう誤りです。

多くの事象は複数の原因や要因によって成立しています。物事をあまりに単純化することは何の役にもたちません。しかし政治やメディアの議論では、うんざりするほど「単一原因の誤謬」があるのが現状です。

誤った二分法

「誤った二分法」も "問題を単純化する誤り" の一つです。他にもたくさんの選択肢があるにもかかわらず、２つの極端な項目しか選択の対象にしない。これは扇動政治家が好んで用いる論法です。「我々の提案に完全に同意しないのなら、君は敵だ」という論法です。

上の方の引用で9.11事件の後に巻き起こった陰謀論のことを書きましたが、その9.11のあとの米国議会の合同会議で、ジョージ・ブッシュ大統領は世界の国家に警告を発しました。「我々とともにあるか、それともテロリストとともにあるか」。これは典型的な「誤った二分法」です。

「誤った二分法」を使うと２極化が避けられません。また過激主義を助長します。建設的な議論を封じ、実用的な解決策を台無しにします。これはソーシャルメディアでも顕著です。著者は「数多くのニュアンスを含む複雑な話題が、正反対の解釈だけを許す２つの対立項にまで単純化されている」と書いています。

前後即因果の誤謬

「前後即因果の誤謬」とは「一つの事象のあとにもう一つの事象が続いたという事実だけにもとづいて両者間の因果関係を認めてしまう飛躍した考えた方」を言います。著者はこれを幼児の予防接種と自閉症の関係で説明しています。

1998年、ウェイクフィールド（引用注：イギリス人の胃腸科医）を筆頭とした共同執筆陣が高名な医学誌『ランセット』で自閉症を発症した12人の子供たちに関する論文を発表し、自閉症に関連する腸内症状のパターンを発見したと主張した。彼らはそれを「自閉症的腸炎」と名付けた一方で、論文の議論セクションの奥深くで、もしかすると麻疹のワクチン接種が関係しているのかもしれない、と示唆した。ただし、これは裏付けとなるデータがなかったので、ただの憶測あるいは仮定と呼ぶにふさわしい主張だった。普通なら、そのような薄っぺらな推測は根拠がないと否定されただろう。 ところがウェイクフィールドは異例の手段に出る ─── 記者会見を開いたのだ。学者として地道な研究をすることなく、ウェイクフィールドは通称MMRこと "麻疹・おたふく風邪・風疹ワクチン" が自閉症に関連している証拠を見つけたと発表し、この三種混合ワクチンは安全ではないと主張した。この主張が、増えつつある自閉症に対する人々の不安をあおったのである。 『まどわされない思考』 p.110

これをきっかけに報道機関は大々的にこの話題を取り上げ、イギリス中が騒動になりました。これは大きな犠牲を生みました。イギリスのみならず西ヨーロッパにおける予防接種の接種率が大幅に低下し、麻疹などへの感染率が上昇したのです。

しかしこの論文にはデータの改竄があることが判明し、『ランセット』は論文を撤回し、ウェイクフィールドは医師免許を剥奪されました。「自閉症的腸炎」は、ウェイクフィールドが捏造したエビデンスだけに裏付けられた作り話だったのです

ちなみに日本における３種混合ワクチンとは「ジフテリア・百日咳・破傷風ワクチン」であり、MMR（麻疹・おたふく風邪・風疹ワクチン）は「新・３種混合」と呼ばれたことがありました。ただしMMRは副作用の問題から（もちろん自閉症ではない軽度の副作用）、日本では接種が中断されています。

しかしこの騒動の後遺症は大きく、いまだに多くの人はMMRが自閉症の原因だと信じていると言います。著者はその原因が「前後即因果の誤謬」にあると指摘しています。

すべての証拠が詐欺を示しているにもかかわらず、いまだに数多くの人がウェイクフィールドを支持し、MMR が子供たちの自閉症の原因だと信じている。彼らがそう信じるようになったいちばんの理由は、その時間差はまちまちでも、とにかくワクチン接種のあとに子供たちが自閉症の兆候を示したことにある。これは「前後即因果の誤謬」の恐ろしく極端な例といえるだろう。 確かに、この誤謬は単純なので魅力的だが、結論が純粋に間違っているのである。ワクチン接種は自閉症の発症率の上昇と何ら関係がない。発症率が上がった本当の理由は、自閉症の診断基準が緩和されたことにあると考えて間違いないだろう。また、ワクチン接種のあとに自閉症が発症するという事実も驚きに値しない。自閉症の症状は幼児期に現れるものであり、主要な兆候であるコミュニケーション障害が明らかになるのは２歳から３歳ぐらい、予防接種を受けてまもない時期なのだ。しかし、今回の件では、人々が原因と結果を誤って結びつけた主張を信用し、パニックが広がってしまった。 『まどわされない思考』 p.114

MMRにかかわらず、ワクチン反対運動やワクチン接種率の低下はゆゆしき問題です。WHOは2019年に初めて、全世界の健康に対する脅威のトップ10の中にワクチン接種への抵抗を入れたそうです。

本質に訴える論証

白人至上主義という思想をもつ人たちがいます。彼らは「白人に共通する本質的な性格があると仮定する誤り」を犯しています。このように「本質的な何かがある」との仮定のもとに主張することを著書は「本質に訴える論証」と呼んでいます。白人については、著者は次のように書いています。

白い肌は典型的なヨーロッパ人種あるいはアーリア人種が有する特徴だ。しかし、白い肌は複雑な期限をもつとはいえ、つい最近起こった比較的単純な突然変異に過ぎない。 およそ4万年前にアフリカからやってきてヨーロッパに定住した最初の現世人類は肌の色が黒かった。日光が強い緯度で生活するのには、暗い肌のほうが適してうたからだ。8500年前もまだ、中央ヨーロッパでは黒っぽい肌が普通だった。大陸の北部では、自然淘汰がすでに始まり、明るい肌が増えていった。 スウェーデンのムータラにある移籍発掘現場で見つかった7700年前の人体を調べたところ、肌の色素を減らして明るい色にする SLC24A5 および SLC45A2 遺伝子が、加えて青い瞳と明るい髪になる HERC2/OCA2 遺伝子が見つかったのである。どれも光が少ない環境でもビタミンDの生成を最大限に確保するのに適した突然変異だ。 『まどわされない思考』 p.128

白い肌はヨーロッパ大陸の最北部で始まり、ヨーロッパ大陸全体に爆発的に増えたのは5800年前に過ぎません。「白色人種」はフィクションです。白色人種に本質的な何かがあるとの仮定にたった論証は単純に誤っています。

余談になりますが、フランスでは赤ちゃんや子どもにビタミンD入りのシロップを定期的に飲ませることが常識だと人から聞きました。我々日本人ではあまり考えられませんが、ビタミンDを獲得することは彼らにとっては切実な問題なのです。

この「本質に訴える論証」も、さまざまなところで聞かれます。「真の日本人にそのようなことをする人はいない」というような言い方も、その一つでしょう。

自然に訴える論証

証拠もあげずに「･･････ が自然だ」「･･････ は不自然だ」と決めつけ、そこから論を展開するのが「自然に訴える論証」です。著者はこれを同性愛の例で説明しています。つまり「同姓愛は不自然、異性愛が自然」との前提から出発する論です。実際にカトリック教会では同性愛が極めて不自然な状態と見なされ「自然に反する罪」とされています。この考えは正しいのでしょうか。

自然界をざっと見渡しただけでも、この考えが間違っていることがはっきりとわかる。 動物界では同性愛は多く見られる現象で、キリン、ゾウ、イルカ、果ては人間を含む霊長類にいたるまで1500種の動物種で確認されているのだ。その多くは排他的ではない、つまり異性との性交も行われるのだが、なかには同性愛だけを行う動物カップルも存在する。よく知られている例を挙げると、イギリス国内の雄ヒツジの8パーセントがほかの雄としか交尾せず、雌に興味を示さない。 自然界の "性癖" は人間に関係ない、などということはありえない。なぜなら、私たちが自分自身をいかに高く評価しようとも、人間も動物界の一部なのだから。唯一の違いは、私たちにはそのことを認識できる前頭前野が備わっていることだけだ。 『まどわされない思考』 p.136

藁人形論法

「藁人形論法」とは、相手の主張の代わりになる何か（＝藁人形。ストローマン）を設定し、それを攻撃して主張そのものを論破したかのような印象を与える言説です。

ダーウィンが進化論を発表したとき、イギリスで進化論を攻撃するのに使われたのが「藁人形論法」です。攻撃論者は「進化論は変化した猿を人間の起源とする説」だと言いふらし、ダーウィンの主張を歪めた「藁人形」を作って攻撃しました。もちろんダーウィンはそんなことは言っていません。現代風に言うと、人間と霊長類の共通の祖先から、突然変異と自然選択の繰り返しで段々と進化して人間ができたわけです。

---

第３部：思考の罠

---

第３部「思考の罠」では、我々が陥りやすい思考の落とし穴について述べられています。そのうち「確証バイアス」と「認知的不協和」について紹介します。

確証バイアス

「自分がもとからもっている信念や世界観に一致する情報ばかりを集めたり組み立てたりして、反する情報は軽視する傾向」を「確証バイアス」と言います。

日本でもよく災害時の避難で「確証バイアス」が話題になります。自分は災害にあわないという "根拠のない思い込み" をしている人は、まだ避難しなくても大丈夫ということにつながる情報だけを採用し、危険が間近に迫っていることを裏付ける情報を軽視して、結果として災害死してしまう。そういったときに使います。

この「確証バイアス」は、次の「認知的不協和」と密接な関係があります。

認知的不協和

心理学でいう「認知的不協和とその解消」については、No.129「音楽を愛でるサル（２）」で、イソップ寓話 "キツネとブドウ" をあげて説明しました。飢えたキツネが実ったブドウをみつけ、取ろうと飛び上がるがどうしても取れない。とうとうキツネは「あのブドウは酸っぱくて食えない」と言って立ち去ったという寓話です。「食べたい」のに「取れない」という "不協和" を、「あのブドウは酸っぱい」との "負け惜しみ" で現実を否定して "解消" したわけです。

本書ではこの認知的不協和とその解消を、次のように説明しています。

相反する情報に直面したとき、私たちはその不快感を押さえようとする。その際、先入観の方が間違っていた、あるいは不完全だったのかもしれないと ─── 理想的な科学者のように ─── 考えて、新たなエビデンスに照らし合わせて自分の見方を再検討することができるだろう。 しかしながら、イデオロギー的傾向を変えるのは認知的にもとても大変な作業になる。だから簡単な道を選んで、自分の信念を守るために現実のほうを否定してしまうのだ。 『まどわされない思考』 p.170

この認知的不協和の例として、本書は「気候変動の否定論」をあげています。保守的な考えをもち、自由主義市場を強く信じる政治家や有権者ほど気候変動を否定する傾向が強いのです。なぜでしょうか。

自由主義市場をよしとする人々にとって、気候変動は信念に大きく矛盾する概念だ。人が気候変動を引き起こしているという説を受け入れてしまえば、それを抑制する行動を起こさなければならなくなる。しかし、自由を愛する者たちの多くにとって、規制という名の悪魔はとうてい受け入れられる存在ではない。 信じるか否定するかにかかわらず、気候変動は誰にでも影響する。つまり、天然資源を無制限に使いつづけることは、他人の財産権を侵害する行為と呼べる。不法侵入と同じようなものだ。したがって、財産権という幻想はもろくも崩れ去ってしまう。 このジレンマに気づいたとき、自由市場主義者の一部は認知的不協和を解消するために、自分の理念を見直したほうがいいかもしれないと考える代わりに、気候が変動しているという事実そのものを否定する手段を選んだのである。 『まどわされない思考』 p.178

---

第４部：確率・統計の誤謬

---

第４部は「嘘、大嘘、そして統計」と題されています。この題はアメリカの文豪、マーク・トウェインの著述で広まったもので、「嘘には三種類ある。嘘、まっかな嘘、そして統計」という警句です。

相関関係は因果関係ではない

相関関係は因果関係ではないことは、このブログでもNo.83-84「社会調査のウソ」、No.223「因果関係を見極める」で取り上げました。本書でもこの話題がありますが、端的に示すために、

アイスクリームの売り上げと溺死件数には明白な相関関係がある

と書いてあります。なるほど、これは分かりやすい例です。アイスクリームが売れると、そのことが原因で溺死事故が増える（＝因果関係がある）とは誰も考えません。もちろんこれは「高温の晴れた日」が隠れた変数（＝潜伏変数。交絡変数という言い方もある）になっていて、この変数が「アイスクリームの売り上げ」および「溺死件数」の２つと因果関係にあり、そのことで２つの間に相関関係が発生するわけです。

シンプソンのパラドックス

ある集団の統計と、その集団を部分に分割したときの統計は、矛盾する関係になることがあります。これを「シンプソンのパラドックス」と呼んでいます。

1973年、カリフォルニア大学バークレー校が性的差別で訴えられた。見たところ、証拠も十分に思えた。同有名大学に志願した男性のうち 44% が入学許可を得たのだが、女性志願者で入学できたのは 35% に過ぎなかったのである。 こんなに差があるのはおかしい。入学プロセスで女性が差別されているに違いない。この主張のもと、差別の存在を暴いて、是正を求めるために大学を訴えたのである。 しかしその後の調査により、奇妙な事実が浮かび上がった。入学データを分析したところ、「ほとんどの学部において、小さいながらも明らかに有意な偏りがあり、女性が優遇されていた」事実が見つかったのである。 なぜ、対立する二つの見解が生じたのであろうか。各学部で女性の方が男性より受け入れやすいのだとしたら、なぜそれが最初の統計に反映されていないのだろう？ このパラドックスの原因は、入学データをもう少し詳しく見ると明らかになる。そのなかに、"入学のパーセンテージ統計" に直接現れないパターンが隠れているのだ。男性は平均的に、工学部などの入学許可率の高い、つまり競争の少ない学部に志願する傾向があった。その一方で女性は英語学部のような、優等生が集中する競争率の極めて高い学部に志願することが多かったのである。 『まどわされない思考』 p.257

本書には数字の例が書いていないので、仮想的に作ってみます。いま、ある大学があって工学部と英語学部の２学部しかないとします。各学部の定員と男女別受験者数・合格者数を仮定して作ったのが次の表です。

シンプソンのパラドックス

		工学部	英語学部	全学
定員		1000	100	1100
男子	受験生	3000	625	3625
	合格者	930	50	980
	合格率	31%	8%	27%
女子	受験生	200	500	700
	合格者	70	50	120
	合格率	35%	10%	17%
計	受験生	3200	1125	4325
	合格者	1000	100	1100
	合格率	31%	9%	25%

工学部と英語学部とも女子の方が合格率が高いのに、全学では圧倒的に男子の合格率が高いことになります。一瞬、間違っているのではと疑ってしまいますが、計算は正確です。人数が少ない女子受験生が合格率の低い英語学部に集中すると、こういう結果になってもおかしくないのです。

感度と特異度

本書には（偶然にもタイムリーな話題として）感染症の検査にかかわる統計・確率の話が出てきます。

ある感染症にかかっている人が検査で陽性と判断される確率を、その検査の「感度」と呼びます。また、感染症にかかっていない人が検査で「陰性」と判断される確率を、その検査の「特異度」と呼びます。

もちろん感度も特異度も100%が望ましいのですが、そうはなりません。つまり、検査で「陽性」と判断された人が実は感染していないということが起きる（＝疑陽性）。その反対に、検査で陰性と判断された人が実は感染している（＝疑陰性）ということも起こります。

検査で「陽性」と判断された人が、真に感染症にかかっている確率を「真陽性率」と呼びます。

エイズの検査（HIVウイルスのキャリアかどうかの検査）は感度も特異度も高いことで知られています。今、感度も特異度も 99.99% とします。実際はもう少し低いようですが、真陽性率の意味を明確にするためにこの値とします。つまりエイズ検査では 99.99% の高い精度で、その人がHIVウイルスに感染しているかどうかが（感染していても、していなくても）判定できるとします。

この仮定のもとで、真陽性率が 50%、つまりHIV陽性と判定された人が真にHIVに感染している確率が 50%ということが起こり得えます。それは検査した集団の感染率が非常に低い場合です。10,000人に１人が感染している例で表を作ってみると次のようになります。

1万人のうち1人が感染している場合

	検査人数	陽性判定	陰性判定
感染者	1	1	0
非感染者	9999	1	9998
合計	10000	2	9998

真陽性率 ＝ 1/2 ＝ 50% です。一方、感染率の高い集団の検査は様子が違ってきます。

1万人のうち150人が感染している場合

	検査人数	陽性判定	陰性判定
感染者	150	150	0
非感染者	9850	1	9849
合計	10000	151	9849

真陽性率は 150/151 ＝ 99.34% になります。

---

ここで本書にはありませんが、新型コロナウイルスのPCR検査ではどうなるかを見てみます。新型コロナウイルスのPCR検査の感度と特異度は正確にはわからないの現状です。正確に知るためにはPCR検査以外の方法で感染者・非感染者を正確に判別し、その人たち多数のPCR検査をして調べる必要があります。しかし「新型」なのでPCR検査以上に正確に判定する手段がありません。また感染してからの時間経緯とともに感度が変わってくるということもあります。政府の新型コロナウイルス感染症対策分科会は、

・感度 70%
・特異度 99.9%

と推定しています（日本経済新聞 2020年9月4日による）。これをとりあえずの値として「集団の感染率によって真陽性率がどう変化するか」を計算してみたのが次のグラフです。

新型コロナウイルスのPCR検査の真陽性率

横軸は検査した集団の感染率。縦軸は陽性と判定された人が真に感染している確率（真陽性率）。感染率 0.14% の集団のPCR検査を実施すると真陽性率は50%である。感染率が 1.27% の集団になって真陽性率が 90% になる。PCR検査の感度は 70%、特異度は 99.9% とした。

このグラフから明らかなように、感染率0.14%の集団（1万人に14人の感染者）のPCR検査を実施すると真陽性率は50%です。つまり陽性と出ても感染しているかしていないかは全く不明です。感染率が1.27%の集団（1万人に127人の感染者）になって初めて真陽性率が90%になります。

新型コロナウイルスのPCR検査について専門家の多くの意見は「増やすべき。ただし増やすやりかたは慎重に」というものだと思います。その裏には上記のような感度・特異度の問題があるわけです。

---

第５部：メディアが人々を惑わす

---

「世界のニュース」と題されている第５部は、メディアが人々を惑わしている例です。この中ｋら「偽りのバランス」を紹介します。

偽りのバランス

「対立する見解を、それぞれの見解を裏付ける証拠に大きな違いがあるにもかかわらず、同等に扱う」ことを、本書では「偽りのバランス」と呼んでいます。これは報道機関が犯す典型的なあやまちです。著者によると、2016年の米国の大統領選挙（ドナルド・トランプ 対 ヒラリー・クリントン）では、トランプ陣営からの嘘やフェイク、根拠のない決めつけが圧倒的に多かったにもかかわらず、同等に扱ったのがその例です。

「偽りのバランス」の科学版も考えられます。喫煙が肺癌を引き起こすというデータは膨大にありますが、喫煙が肺癌を引き起こさないというデータはわずかしかありあません。この両者を対等に扱う報道やTV番組はおかしいのです。

気候変動もそうです。気候変動が起こっていることを示すデータは膨大にありますが、起こっていないことを示すデータはわずかです。この両者を対等に扱うべきではない。本書には、MITの科学ジャーナリズム・ナイト・センターの所長を務めるボイス・レンズバーガー（Boyce Rensberger）の意見として「バランスのとれた科学報道とは、議論の両見解を等しく重いものとして扱うことを意味していない。証拠のバランスに応じて、重みを配分することを意味している」と書かれています。全くその通りでしょう。

---

第６部：疑似科学

---

「暗闇に立つろうそく」と題された第６章は「疑似科学」を扱っています。たとえば次のような例です。

『ネイチャー』は世界で最も権威のある学術雑誌として知られる。この由緒正しい雑誌の神聖なページを埋める論文は、科学界の注目を浴びることになる。 1988年、フランス人免疫学者が発した驚くべき主張が、学術界を超えて大反響を呼んだ。ジャック・パンヴェニストが、人の抗体をその存在が完全に消えてなくなるほど薄く希釈したにもかかわらず、その溶液をしっかりと振ると免疫反応をみせた、と発表したのである。パンヴェニストにとって、それは水がかつて自分に含まれていた物質を何らかの形で記憶していることを意味していた。彼自身の言葉を借りると、「車の鍵で川の水をかき回したあと、数マイル下流で数滴の水を採取して、それを使って車を起動する」ような話だ。 一部の人はこの現象を「水の記憶」と呼んだが、実際にはすでに昔から名前が付けられていた。「ホメオパシー」だ。 『まどわされない思考』 p.366

ホメオパシーはドイツ人医師ザムエル・ハーネマンが1807年に提唱したもので、"治療薬" を極端に薄めます。100倍の希釈を10数回から30回繰り返して "治療" に使います。100倍の希釈を30回も繰り返すと、もともとの "治療薬" の分子は１つも残らないことは明白なのですが、「水が記憶している」とするわけです。「ただの水」なので副作用はありませんが、プラセボ（偽薬）以上の効果はありません。

このような200年近く前の亡霊が、抗体の免疫反応という新たな装いで登場したわけです。このような論文をなぜ『ネイチャー』ともあろう雑誌が掲載したのか、その経緯と撤回の顛末が本書に書かれていますが、それは省略します。

---

この「溶液をしっかりと振ると免疫反応をみせた」というとことで、2014年に起こった「STAP細胞事件」を連想しました。分化が終わった細胞に熱や酸などの刺激を加えると再び分化する能力が獲得されたと、理化学研究所の研究者などが発表したものです。これは発表者でも再現実験ができず、第３者の調査委員会は実験室におけるES細胞の混入によるものと結論づけました。

これは科学者が意図的に、あるいは誤って作り出した疑似科学と呼べると思いますが、もっと一般的には、健康にかかわる商品である「マイナスイオンを発生させる家電商品」や「ゲルマニウムを使った健康器具」も、科学を装った疑似科学でしょう。

---

著者は、インターネット時代になり、一時廃れていた疑似科学が復活してきていると警告しています。たとえば、日本では行われていませんが、水道水にフッ素を混ぜるのは安全で虫歯予防に効果があることが確立してきましたが、インターネット時代になって反フッ素運動が復活し、癌や鬱病などの副作用があるとの主張がなされるようになりました。これらは一見、科学の装いをまっとっているので注意が必要です。

---

終わりに

---

本書のまとめである「終わりに」のセクションから２つの点を紹介します。一つはディベート（討論）の問題点です。

人間社会はこれまでずっと、何が真実かを決める方法として討論ディベートを採用してきた。しかし、討論では最も理にかなった主張ではなく、雄弁に語られる不正な主張が勝つことも多い。意見が対立しているときは、言葉巧みな人や、人々の心に火を付けるのがうまい者が、明確な推論を行う人を打ち負かす。 討論そのものが誤った二分法に陥り、本来さまざまだったはずの意見を偽りの二極対立にまでそぎ落とし、私たちにそのどちらかで決断を迫ることもまれではない。現実はもっと複雑であるはずなのに。 この二極化により、考えを変えたり、熟考の末に妥協点を見つけたりするのは不可能になる。あまりに頻繁に討論をしたせいで人はさらに分裂し、多くの知を得ることができなくなっている。 『まどわされない思考』 p.445

著者も指摘していますが、ディベートの問題点には「偽りのバランス」もあります。本来まったく重さの違う２つの見解が、討論の場では同じ価値をもつものとして扱われるという弊害です。

上の引用で思い出すのは高等教育などで行われるディベートの実習訓練で、本人の意志とは無関係にグループを賛成派と反対派に分け、それぞれの立場からディベートをするというやり方です。こういった訓練を何回も受けた人は、二分法でディベートを行うことに違和感がなくなり、たとえそれが「偽りの二分法」であっても知らず知らずのあいだに許容してしまうのでしょう。

最後に引用するのは、本書の序章に書かれていたことと同様の主旨が「人格を決めるのは考える能力」という言い方で再度強調されているところです。

私たちの自我は価値観や信念と深く結びついているので見落としがちだが、私たちの根幹をなすのは、私たちの考えそのものではないのである。人格を決めるのは信念ではなく、考える能力なのだ。 人間は間違える生き物。だが同時に、間違いを正す能力にも恵まれている。恥ずべきは、間違えることではなく、過ちを正そうとしない態度のほうだ。新しい情報に直面したとき、必要ならば間違ってる信念を捨てて、信実を ─── たとえそれが不快なものであっても ─── 受け入れる能力を身につけなければならない。 『まどわされない思考』 p.444

「人格を決めるのは信念ではなく、考える能力」というのは良い言葉だと思います。信念も重要だが、それ以上に考える能力、という言い方もありだと思います。このあたりが本書の結論でしょう。

---

本書は、まどわされやすいパターンを分類・列記し、それに名前をつけています。「確証バイアス」や「誤った二分法」などです。世の中で公式に使われる用語もあれば、著者が名付けた言葉もあります。この「名前をつける」ということが重要だと思いました。

人間は事物や概念に「名前をつけて」自己に取り込みます。名前をつけることで、それを引き出し、応用できます。「いま自分は、自分の信念にマッチした都合のよい情報だけを拾い上げているのではないだろうか」と考えるより「確証バイアスでないか」と考える方が、思考方法としては効率的で有効性が高い。「確証バイアス」という言葉とその意味を知ってしまえば、その言葉を使って考えることができます。テレビの討論番組をみるときにも「あれは "誤った二分法" じゃないか」と批判的に考えることができます。

本書のテーマである「批判的思考」ができるようになるためには、このあたりが大切であり、そこが本書の価値だと思いました。

---

---

タグ：感度 因果関係 相関関係 マングース 確証バイアス 新型コロナウイルス 認知的不協和 PCR検査 まどわされない思考 デヴィッド・グライムス 打麻雀運動 後件肯定 媒概念不周延 生存者バイアス チェリーピッキング 特異度 シンプソンのパラドックス 郑作新

No.294 - 鳥が恐竜の子孫という直感

No.210「鳥は "奇妙な恐竜"」で、鳥が恐竜の子孫であることが定説となった経緯を日経サイエンスの論文から紹介しました。特に、1990年代以降に発見された「羽毛恐竜」の化石が決定打になったという話でした。

その「鳥は恐竜の子孫」に関係した話を、歌人で情報科学者（東京大学教授）の坂井修一氏が日本経済新聞に連載中のコラム、"うたごころは科学する" に書かれていました。坂井氏の奥様のことなのですが、興味深い内容だったのでそのコラムを引用して感想を書きたいと思います。

---

見ればわかる

---

"うたごころは科学する" 見れば分かる 坂井修一 私の妻は文学部出身。科学や技術にはそれほど詳しくない。オーディオ装置のリモコンを使いこなせないし、パソコンやスマホでSNSするのも上手とは言えない。 でも、不思議な直感力をもっている。 40年前に彼女とつきあい始めたころ、井の頭公園で泳いでいる鴨かもを見て、「鳥は恐竜の直系の子孫である」と強く主張したのだ。 これは今では定説となっているが、当時はそうでなかった。少なくとも、私は知らなかった。彼女も、むろん、学説として知っていたわけではない。でも、彼女は直感していた。犬がオオカミの親戚であるように、猫がライオンの親戚であるように、鳥は恐竜の進化形なのだと。 駝鳥だちょうや海鵜うみうを見ると、まあそれもありかなと思うが、彼女は公園の鴨や鳩はとを見てもそう感じるのだそうだ。そのときは文学部らしい感性だなと思ったが、後に本当に鳥は恐竜だという証拠がたくさん見つかって、あらためて彼女の直感力に感心（？）した。 最近、このことを思い出して妻に「鳥は恐竜の子孫って、どうしてわかったの？」と尋ねたところ、「あたりまえじゃない。見ればわかるのよ」と答えが返ってきた。 見ればわかるのよ、と言われても、彼女が確信した理由はさっぱりわからない。でも、それ以上の説明を求めても、「見ればわかる」以上の言葉はないのだった。 DNAや化石の類似性からこうした進化を推理するならわかる。私自身も、そうした論理を構築することで、どうにか研究者としての面目を保っているから。でも、「見ればわかる」だけで何かを言うことには慣れていない。帰納と演繹えんえきを何度も繰り返して確認してからでないと、不安で前に進めないのだ。 鳥 ＝ 恐竜ばかりではない。妻の直感は、生活のさまざまな場面で使われている。そして、知らないうちに、私もこれに助けられているらしい。 どこでどう使われているのか？　それは、ヒ・ミ・ツ、なのだそうだ。 （歌人・情報科学者） 日本経済新聞 2020年8月2日

40年前に「鳥は恐竜の子孫」と直感した坂井氏の奥様は、歌人の米川千嘉子さんです。コラムには名前が書いていないので、以下「彼女」と記述します。

40年前というと1980年です。坂井氏は1958年生まれで、彼女は1歳年下ということなので、二人とも20～22歳頃の話です。ということは、２人は東京の大学の大学生です。２人の学生が東京で知り合い、井の頭公園にデートに行く。いかにもありそうな情景です。井の頭公園は現在でも定番のデート・スポットなので、おそらく40年前もそうだったのでしょう。

よくありそうな情景には違いないが、そのデートの場で彼女が「池で泳いでいる鴨を見て、鳥は恐竜の直系の子孫であると強く主張」したのは、確かにちょっと変わっています。デートの場でどんな会話をしようと全くかまわないのですが、「鳥は恐竜の直系の子孫」という話題は、井の頭公園での男女の語らいとしては大変に斬新です。デート相手の女性にそんな主張を強くされたとしたら、男性としては一瞬、たじろぐでしょう。

しかも、その理由は「見ればわかる」ということのようなのです。これは一般的な意味での "理由" になっていません。男性としては一層不安になる。まして坂井氏は科学者（をめざす学生）です。帰納と演繹えんえきを繰り返して確認してからでないと不安、とコラムにある通りです。「見ればわかる」というのでは "帰納" の部分がゼロです。

そこで、今となっては科学的に全く正しい「鳥は恐竜の直系の子孫」という説を、1980年の時点でなぜ彼女が強く主張できたのか、その理由を何点か推測してみたいと思います。

---

鳥が恐竜の子孫という直感の理由

---

推測の１番目は歴史的経緯です。No.210「鳥は "奇妙な恐竜"」に書いたように、"鳥は恐竜の子孫ではないか" という考えは、実は19世紀半ばからありました。その契機になったのは1860年代にドイツで発見された、いわゆる「始祖鳥」の化石です。イギリスの高名な生物学者ハクスリーはこの化石が小型肉食恐竜に似ていることに気づき、鳥は恐竜の子孫という説を発表しました。当時、この説を支持する学者もいたようですが、多くの学者は反対しました。その後、議論は行ったり来たりの状態でした。

この説に決着がついたのは、1960年代以降に鳥類と酷似した恐竜化石が発見されたことであり、特に決定的だったのが1990年代以降の "羽毛付き恐竜化石" の発見でした。羽毛の化石は普通は残らないのですが、奇跡的な条件で化石になったものが中国で発見されたのです。

この経緯からすると「始祖鳥」の化石発見から100数十年の間、「鳥は恐竜の子孫説」が潜在していたことになります。つまり、これは大変に由緒ある説なのです。従って本などに書かれていた可能性が高い。ひょっとして「始祖鳥」の復元図とともに「鳥は恐竜の子孫説」を紹介した文章があったかもしれません。

井の頭公園で「鳥は恐竜の子孫」と主張した彼女も、そういった記述にどこかで触れ、それに惹かれ、そのことが潜在意識として残り、その潜在意識がデートの場で鴨を見てひょっと浮かび上がった。そういう可能性があると思うのです。これが第１の推測です。

---

第２の推測は鳥の骨格です。坂井氏は「駝鳥だちょうや海鵜うみうを見ると、まあそれもありかなと思うが、彼女は公園の鴨や鳩を見てもそう感じるのだそうだ」と書いています。「鴨や鳩を見ても恐竜の子孫だと感じる」のがポイントですが、その理由は骨格ではないでしょうか。

まず、恐竜の骨格標本は子供の時代に多くの人が見たことがあると思います。恐竜の実物の（ないしは実物大レプリカの）骨格標本は、全国の博物館の超人気アイテムです。小学校高学年以上の子供であれば、その恐竜の姿に心を踊らせるのは当然でしょう。たとえ実物やレプリカを見たことがなくても、恐竜の骨格の写真は雑誌を始めとする各種メディアにあるので、それを見たことが無いという人はまずいないと思います。

一方、鴨や鳩の骨格標本を見る機会はあまりないと思いますが、博物館にはあります。彼女は、鴨か鳩の骨格標本をどこかで見たのではないでしょうか。実物を見たことがないにしても、写真とかイラストで見たのではと思います。ごく一般的な鳩の写真と、鳥の解剖学的イラストを掲げます。イラストは No.210「鳥は "奇妙な恐竜"」の図を再掲したものです。

飛行中の鳩

（Wikimedia Commoms）

	鳥類の解剖学的特徴 翼、長い前肢、短い尾骨、竜骨、貫流式の肺、叉骨（さこつ）、大きな脳など、鳥類は他の現世動物にはない特徴がある。これら特徴のおかげで鳥類は飛行できる。 （日経サイエンス 2017年6月号より）

解剖学的イラストを見て気づくのは、鳥の首の骨が異様に長いことです。羽とか胸のあたりとか足とか、そういう骨は想像どおりだが、首の骨は鳩の外見からは想像しにくい。鳥の頸椎けいつい（首の骨）は、11～25個もあります（種類によって違う）。人間を含む哺乳類は、普通は７個です。キリンでも７個です。それに対して鳥は多い。

フクロウは首を270度回転することができますが（1回転できるというのは誤解）、こんなことは哺乳類では絶対に無理です。なぜフクロウが可能かというと、頸椎が多いからです（14個）。従って少しづつ回転させると270度になる。フクロウは外見上は首長に見えないのですが、骨格からみるとそうなのです。上の画像の鳩もそうです。外形からは首が長いように見えないが、頸椎は13個あって、首の骨格はひょろっと長い。

もちろん、外見上、明らかに首長だと見える鶴とか鵜う、鷺さぎ、ダチョウの頸椎は長いのですが、一見そうは見えない鳩とか鴨も意外に長いのです。そしてこの鳥の骨格（頸椎）の姿は暗黙に、恐竜の中で首の長い種類（草食の４つ足の恐竜。専門的には竜脚類）の骨格を連想させないでしょうか。

どこかで見た鳥の骨格標本（ないしは骨格のイラスト図）が、子供のころに親しんだ竜脚類の骨格と無意識下で結びつき、それが井の頭公園でのデートで鴨を見たときにフッと浮かび上がった。これが第２の推測です。

---

第３の推測は人間の潜在意識です。往年の名監督、アルフレッド・ヒッチコック（1899-1980）の映画に『鳥』（1963）がありました。あらゆる種類の鳥が人間を襲い出すというパニック映画（かつホラー映画）です。大挙して部屋に進入してきた鳥に襲われて人が血まみれになるなど、衝撃的なシーンがいろいろありました。

ヒッチコック「鳥」（1963）

主人公（ティッピ・ヘドレン）は大量の鳥が小学校の周りに集まっているのを見て子供たちを避難させるが、その途中で鳥の大群に襲われる。

これはイギリスの作家、ダフネ・デュ・モーリア（1907-1989。原音に近く "ダフニ・デュ・モーリエ" とも書かれる）の短編小説、"The Birds"（1952）が原作です。ダフネ・デュ・モーリアは畑で農夫がカモメに襲われるのを見て小説のインスピレーションを得たそうですが（Wikipedia による）、なぜそのことが小説を書く契機になったのでしょうか。また、ヒッチコックはなぜ映画化しようと考えたのでしょうか。なぜ、鳥が人間を襲うという小説や映画が "ホラー" として成立するのでしょうか。

ある説を読んだことがあります。いつだったか、誰の説だったか全く忘れましたが、哺乳類と恐竜の関係です。哺乳類の起源は恐竜と同程度に古いことが知られています。そして地球上で恐竜が全盛期のとき、哺乳類は体も小さく、恐竜から隠れるように "ひっそりと" 暮らしていた。肉食恐竜などはまさに哺乳類の恐れの対象だった。そして6500万年前に非鳥型恐竜が滅びた後も鳥型恐竜（＝鳥）は生き残り、その飛行能力で世界中に広がった。そして哺乳類に刷り込まれていた "恐竜への恐れ" は、その恐れの対象が鳥へと引き継がれた。哺乳類の一種であるヒトも、無意識下でその遙か昔の感情がある。だから映画『鳥』がホラーとして成り立つ ───。

この説がまじめなものなのか、ジョークなのか、あるいは鳥が恐竜の子孫という最新の知識をひけらかしただけのものなのか、それは分かりません。科学的には大いにクエスチョンがつく説でしょう。しかし鳩やカラスが "本能的に" 猛禽類（鷹など）を恐れるということもあるので、これはこれで興味深い。そして人間の隠された潜在意識として鳥への恐れがあるのなら、鳥と恐竜を同一視する潜在意識もまたあると思うのです。それが、ある時、あるタイミングで、ある人の意識上にフッと浮上する。これが井の頭公園で池を泳ぐ鴨を見たときの彼女だった ───。これが第３の推測です。

---

何らかの類似性を直感できる能力

---

以上の歴史的経緯、骨格、潜在意識の３つは、科学的知識なしに「鳥が恐竜の子孫」と直感できた理由を推測したものです。もちろん当たっているかどうかは分かりません。ただ思うのですが、このような説明より、彼女は「歴史的経緯・骨格・潜在意識」などとは全く関係なく、

恐竜と井の頭公園の鴨との間に何らかの意味での類似性を感じ取り、鳥が恐竜の子孫と直感して、確信した

と考えた方が、より本質に迫っているのかもしれません。坂井氏は彼女が、

・	いわゆる文系人間であり
・	リモコンが使いこなせず
・	パソコンやスマホでのSNSも得意ではない

と強調することで彼女の意外な直感力に感心していますが、文系人間どうのこうのは全く関係ないと思います。それは理系人間的な偏見です。つまり、

まったく違うと思える２つのモノや概念の間に何らかの意味での類似性を直感したり、相互に連想を働かせることは、文学や芸術における創造、サイエンスや工学分野での発見・発明、ビジネスにおける問題解決プロセスの導出などにおいて、とても重要なこと

だと思うのです。いわゆる "ひらめき" や "フッと浮かぶアイデア" です。あるいは、"突然思い付いた着想" や "発想の不連続的な飛躍" です。

文学の世界（小説、戯曲、詩、短歌など）で多用される "比喩" もその一つでしょう。一見、何の関係もなさそうなモノを本体を表す比喩表現として使う。それは作者が論理的に考えたものでないはずです。論理的に考えたものがあるかもしれないが、そういう比喩はおもしろくない。やはり直感で出てきたものにこそ意外性があって、価値がある。読者としても読んだときにはエッと思うが、よくよく考えてみると "当たっている" と思えるし、あるいは最後までその比喩表現の理由は不明だとしても（変な喩たとえだな！）そこに作者の感性を感じる。論理的な説明はできないけれど、文章に作者独特のムードが漂い、読者としてはそれに浸る。そういうことって、文学作品にはあると思うのです。

サイエンスに目を向けると「ニュートンがリンゴが木から落ちるのを見て万有引力を発見した」という有名な話があります。後世の作り話だと思いますが、作り話だとしてもよくできています。ニュートンの時代、重力はすでに知られていました。しかし「リンゴが地表に落ちる」ことと「惑星が太陽に引かれる」（ないしは月が地球に引かれる）ことという、全く関係がなさそうな事象が相似形だと気づいたとき、重力を越えた「万有引力」に発想が至るわけです。科学におけるインスピレーションの典型例を一つの寓話に仕立てたものだと思います。

要するに、何らかの抽象化をすれば２つのモノや概念が「同一の構造をしている」とか「そのモノや概念を成り立たせている基本のところが同型である、同一のフォルムである」というのは、文系・理系を問わず発想や創造の源泉の一つだと思います。

---

こういった発想や "ひらめき" は、根を詰めて解決策を探っている真っ最中には浮かびません。文章表現を絞り出しながらモノを書いているときにも出てこない。出てきたとしても斬新さがなく、面白味のないものになってしまうでしょう。なぜなら考えているフレームが決まっていて、フレームを越えた飛躍ができないからです。こうだからこうなるという論理的な文章や推論ならそれでよいが、それは "ひらめき" ではない。

発想や "ひらめき" は、解決策を探っている中でいったん頭を休め、ボーッとしている時に現れるとよく言われます。中国の古典に「三上さんじょう」という言葉があります。文章を練るのに適した場所が、馬に乗っているとき（馬上）、寝床に入っているとき（枕上）、厠（便所）にいるとき（厠上しじょう）とするものですが、これは文章だけのことではないでしょう。散歩やそぞろ歩きの時に科学的発見のアイデアが浮かんだという話もよく聞きます。

最新の脳科学によると、人間はボーッとしているときにも脳が活発に活動していて、さまざまな記憶の断片をつなぎ合わせています。例えば、解決策を模索している問題に、あるとき（意外な時に）フッとアイデアがひらめくのは、脳が同一構造の過去の問題とその解決策をもとに、無意識下にアイデアを提示したのではと思います。ボーッとしているときに脳は「異質なモノ」や「かけ離れた記憶」の間にリンクをつけ、そのリンクがアイデアや直感やひらめきになるのでしょう。

ちょっと脱線しますが、こういった脳の働きに関連して「デジャヴュ」（＝デジャヴ、既視感）を思いだしました。デジャヴュは「一度も体験したことがないのに、すでにどこかで体験したように感じる現象」のことです。視覚だけでなく聴覚、触覚などについても言うので「既知感」と言うことあります。

個人的には視覚のデジャヴュ経験は記憶にないのですが、聴覚（＝音楽）なら時々あります。その一つの例ですが、No.262「ヴュイユマンのカンティレーヌ」で、ヴュイユマン作曲の「カンティレーヌ」というピアノ曲を初めて聴いたとき、これはシューマンの曲に違いないと思ったが、しかしそれはシューマン作曲「謝肉祭」への連想だったという自己分析を書きました。「カンティレーヌ」と「謝肉祭」はかなり違った雰囲気の曲（そもそも拍子が違う）ですが、無意識に２つの曲の間に何らかのリンクがついたのだと思います。

本題に戻ります。ボーッとしているときに脳は「異質なモノ」の間にリンクをつけるのだとすると、井の頭公園の池で泳ぐ鴨を見て「鳥は恐竜の直系の子孫である」と直感した彼女は、その直感を別の機会に得たはずです。デートの時に "ボーッとしている" とは考えにくいからです。坂井氏のコラムから推測すると、彼女が１人で公園で鴨か鳩を "ボーッと" 眺めているときに突然ひらめいた。以降、公園で鴨や鳩を見るたびにそれを思い出す。井の頭公園でのデートで鴨を見たときもそうだった、ということでしょう。

理由は分からないが「鳥が恐竜の子孫」と直感し、確信できるのは人間の素晴らしいところだと思います。彼女の場合は "たまたま" 科学的に正しいことだったが、"科学的には間違っている" ことでもかまいません。その人にとっての直感はそうなのだし、小説家であればダフネ・デュ・モーリアのように、鳥が人間を襲い始めるというホラー小説を書けるかもしれません。

井の頭公園でのデートの最中に「鳥が恐竜の子孫だと、見ればわかった」坂井氏の奥様は、現在の人工知能（AI）の枠組みでは及ばない人間の価値を具現化していた、そのように思えました。

---

---

タグ：鳥 デジャヴュ 井の頭公園 恐竜 ダフネ・デュ・モーリア 既視感 始祖鳥 アルフレッド・ヒチコック 坂井修一 米川千嘉子

No.293 - "自由で機会均等" が格差を生む

今回は、日経サイエンス 2020年9月号に掲載された論文「数理が語る格差拡大のメカニズム」の内容を紹介するのが目的です。この論文は、自由主義経済においては公平でフェアな取引きを繰り返すと必然的に格差が拡大することを数理モデルで論証したものです。

なぜこの論文を取り上げるかというと、No.165「データの見えざる手（１）」で紹介した "玉の移動シミュレーション" と本質的に同じことを言っているからです。そこでまず、No.165のシミュレーションを復習してから本題に入りたいと思います。

---

コインの移動シミュレーション

---

No.165は、矢野和男・著「データのみえざる手」（草思社 2014）の内容の一部を紹介したものでした。この中に出てきたシミュレーションをここで再掲します。ただし本質をより明確にするため、シミュレーションの初期設定を変え、またシミュレーションの実行は繰り返し回数を変えて３種類にします。No.165では「玉」と書きましたが、本題につなげるために「コイン」とします（同じことです）。

まず 30 × 30 = 900 のセルを用意し、これらのセルに初期状態としてコインをそれぞれ 80 割り当てます。従って割り当てるコインの総数は、

　80 × 900 = 72,000

セルの色分け

です。900 とか 80 という数字は、No.165「データの見えざる手（１）」に合わせるためにそうしただけで、他意はありません。今回は別の数でもかまわないのですが、シミュレーション・プログラムをそのまま再利用するために、この値とします（ただし「データの見えざる手」ではこの値が実世界上の意味を持っていました。No.165 参照）。

以下、シミュレーションの各段階のセルの状態を図示するため、セルが保有するコインの数に応じてセルを色分け表示します。色分けのルールは、コインが初期値の80のセルを赤（ピュアな赤）とし、コインが少なくなるにつれて白っぽい赤になり、コインの数が50未満だと真っ白とします。逆にコインの数が80より増えるとセルの色は黒っぽくなり、コインの数が110以上になる真っ黒とします。色分けの凡例を示したのが左の「セルの色分け」図です。

シミュレーションの進展によってセルのコインの数は変化しますが、この色の塗り方では、平均値 = 80 の ±30 の範囲が赤のグラディエーションで、それ以下では白、それ以上は黒になります。この色塗りの閾値はNo.165での説明の都合上で決めた値で、他の値でもかまいません。

初期状態では各セルに均等に 80 のコインを割り当てるので、それを図示すると全部のセルが同じ色（ピュアな赤）で表示されます。

初期状態

初期状態では30×30のセルにそれぞれ80のコインを割り当てる。

シミュレーションの進め方

シミュレーションは以下のように進めます。

①	２つの異なるセルをランダムに選ぶ。
②	選ばれた２つのセルについて、一方のセルからもう一方のセルにコインを１枚移す。つまり一方のセルのコインを１だけ増やし、他方を１だけ減らす。このとき、どちらからどちらへコインを移すかはランダムに決める。２つのセルのその時のコインの数は全く考慮しない。
③	ただし、移動元となったセルのコインの数がゼロだった場合は何もしない。

以上の ① ② ③ を多数繰り返します。今回の繰り返し回数は10万回、100万回、1000万回の３種とします。コインは単に移動するだけなので、セルがもつコインの平均値は初期値である80のままで変わりません。

---

この「移動の繰り返しシミュレーション」で各セルのコインの数はどのように変化するでしょうか。おそらくほとんどの人は次のようの推論するのではないでしょうか。

①	１回の移動で選ばれるセルの数は2で、全体の 1/450 である。従って、たとえば10万回繰り返すとすると、一つのセルに注目した場合、100,000 / 450 = 約220回、移動の対象なるに違いない。もちろんランダムに選択するので220回ということはなく、180回からもしれないし、250回かもしれない。しかし極端なこと（数回しか選ばれないとか、１万回選ばれるとか）は起こらないはずだ。
②	選ばれた各回において、セルが移動元となるか（コインが - 1）、移動先となるか（コインが + 1）は全くランダムに決まる。その時のセルのコイン数は全く考慮されない。従ってこれを220回程度繰り返すと、初期値の80に近い値になるだろう。各セルのコイン数は、80を中心として、せいぜい 50 ～ 110 程度（例えば）に収まるのではないか。
③	この状況は、移動回数が100万回になっても、1000万回になっても変わらないはずだ。すべてはランダムに決まっているのだから。

これはいかにも理性的というか、真っ当な推論であり、妥当な予想だと思います。しかし実際に移動シミュレーションを行ってみるとこの予想は大きくはずれ、全く違った様相になります。それが次です。

移動回数：10万回

移動シミュレーションを10万回行う試行をして、その結果を凡例に従って色分け表示したのが次の図です。この結果では、全体のおよそ95%のセル（859のセル）のコイン数が50～109の範囲に収まっています。従ってほとんどが赤のグラディエーションで塗られています。一方、白のセル（コイン数が50未満）は17個、黒のセル（コイン数が110以上）は24個です。最も少ないセルのコイン数は40で、最も多いセルのコイン数は130です。

この10万回の移動シミュレーションの結果は、ほぼ予想どおりと言っていいでしょう。

移動回数：10万回

およそ95%のセルのコイン数が50～109の範囲（赤のグラディエーションの範囲）に収まっている。それ以下のセル（白）は17、それ以上のセル（黒）は24である。

もちろん乱数を使ってシミュレーションをしているので、毎回まったく同じ結果になるわけではありません。しかし10万回のシミュレーションを何度繰り返しても、ほぼ類似の結果になります。

移動回数：100万回

シミュレーションを 100万回繰り返すと様相がかなり違ってきます（次図）。

移動回数：100万回

コイン数が50～109のセルが全体の半分以下になった。それ以上とそれ以下がほぼ同数あり「格差」が広がることがわかる。最大のコイン数は平均の3倍以上で、コイン数ゼロのセルも現れた。

このシミュレーションでは

コイン数が110以上のセル	231
コイン数が50～109のセル	423
コイン数が49以下のセル	246
セルの最大コイン数	249
セルの最小コイン数	0（４セル）

です。10万回のシミュレーションではコイン数：50～109のセルがほどんどでしたが、100万回になるとそれは全体（900）の約半分になります。それ以上とそれ以下がほぼ同数あり、「格差」が広がっていることがわかります。また最多のコインを持っているセルのコインの数は平均（＝80）の約３倍です。さらに、コインが無くなるセルが出現しました（４つのセル）。

移動回数：1000万回

移動の繰り返しが1000万回になると「格差」はもっと激しくなります（次図）。

移動回数：1000万回

格差がさらに広がる。白（コイン数49以下）のセルは400を越し、コインは「裕福な」セルに集中していく。

このシミュレーションでは

コイン数が110以上のセル	247
コイン数が50～109のセル	247
コイン数が49以下のセル	406
セルの最大コイン数	382
セルの最小コイン数	0（12セル）

でした。コイン数が110以上のセル（裕福なセル）の数（247）は 100万回のシミュレーションの場合（231）より増えますが、大して変わりません。しかし最大コイン数が 382であるように、コインは裕福なセルに集中してきます。これと相対応して、コイン数49以下のセル（貧しいセル）が増えていきます。結果の色分け表示を見ても全体が白っぽく表示されるようになります。

900のセルが「裕福」「中間」「貧困」に分かれましたが、どのセルがどの層にいくかはシミュレーションをするたびに異なります。あくまで偶然にそうなった、ないしは、たまたまそうなったということなのです。

---

ローレンツ曲線とジニ係数

---

以下、移動回数が1000万回の場合で考えます。各セルを「人」、コインを「その人が保有している資産」と考えると、

・	初期状態では各人は平等だったが（資産は全員80）
・	資産の移動を1000万回繰り返すと、資産格差が生まれた（最も少ない人は 0、最も多い人は382）

と見なせるわけです。ここで、この集団の格差の状況を１つの数値で表すことを考えます。このために昔から使われるのがローレンツ曲線とジニ係数です。ローレンツ曲線は、

0 ≦ x ≦ 1
0 ≦ y ≦ 1

の２次元 x-y平面に描かれます。まず900のセル（人）を、保有するコイン（資産）の数で小さい人から大きい人まで昇順に並べます。

ローレンツ曲線の x 軸は「累積人数比率（総人数を母数とする割合）」です。つまり x = 0.5 とは、資産の少ない方から数えて全体（900）の半分（450）までの人々を表します。

ローレンツ曲線の y 軸とは「累積資産比率」で、累積人数比率の人々が持つ資産総計の、全体（72,000）を母数とする割合です。

初期状態は各人は平等（資産は全員80）なので、この時のローレンツ曲線は (0, 0) と (1, 1) を結ぶ45°の直線になります。しかし格差が広がるにつれて、ローレンツ曲線は (0, 0) から始まってわずかずつ上昇し、最後は尻上がりに (1, 1) に至る曲線となります。上の 1000万回の移動シミュレーションの結果のローレンツ曲線を描いたのが次の図です。この図には初期状態の斜め45°の直線（点線）も描いてあります。

ローレンツ曲線 シミュレーション回数：10,000,000 ジニ係数＝0.49

この図で「斜め45°の直線」と「ローレンツ曲線」で囲まれた半月状の形の面積を考えてみると、格差がない状態では面積＝0、資産を一人が独占している状態では面積＝0.5 となります。この面積の２倍が「ジニ係数」で、格差が全くない場合は 0、一人が資産を独占している場合は 1 です。上の例の1000万回の移動シミュレーションの場合、

ジニ係数＝0.49

となりました。シミュレーションは乱数（正確に言うとパソコンで作り出す疑似乱数）をもとに計算しているので、1000万回の試行を何回かやるとジニ係数も変化します。しかし必ず 0.5付近の値になります。ちなみに10万回と100万回も含めてジニ係数をリストすると、

移動回数	ジニ係数
100,000	0.11
1,000,000	0.31
10,000,000	0.49

となりました。シミュレーションの回数が増えるに従って格差が拡大します。

---

以上のシミュレーションは何らかの意味があるのでしょうか。それとも単なるコンピュータを使った "遊び" でしょうか。

「データの見えざる手」において著者の矢野和男氏は次のように書いています。

（このシミュレーションは）自給自足で生きていた人間が、経済取引をはじめることで、貧富の差が現れたことの素朴なモデルになっていると思われる。 矢野和男「データのみえざる手」 （草思社 2014）

セルを人、コインを資産とすると、このシミュレーションは２人の間で経済取引をするときの最も素朴なモデルになっています。経済取引とはモノやサービスの売買です。商品の販売や購入がそうだし、労働サービスを提供してその対価としての給料を得るのも経済取引です。株券の売買や、先物取引のような「売買する権利の売買」も経済取引です。

今の自由主義経済では、経済取引は自由に行ってよいわけです。もちろん独占禁止法とか最低賃金法があって「不当な利益」はあげられないようになっている。その各種の規制やルールの範囲内で、どんなモノやサービスをどんな価格で売買するかは自由です。

しかしモノやサービスの売買では、損をする人と得をする人が発生します。つまりモノやサービスがその時にもっている "真の価値" 以上の値段で買うと損になり、真の価値以下の価格で買うと得になります。損か得かは売買をする２人で逆転します。この「損得の発生」は「資産が２人の間で移動した」と考えられるわけです。ここでの「資産」は「保有しているモノとお金の価値合計」ぐらいに考えておきます。Ａさんが100円の価値のものを110円でＢさんに打ったとすると、10円の資産がＢさんからＡさんに移動したと考えるわけです。

大切なところは、ＡさんとＢさんのどちらが損をするか得をするかは分からないいことです。特に取引の前に損得は分からない。なぜなら、モノやサービスの "真の価値" を知り得ないからです。従って損得はランダムに（確率的に）決まる。これは上のシミュレーションにおいてコインの移動方向をランダムに（確率的に）決めたことに相当します。

以上が、このシミュレーションが「自由な経済取引の素朴なモデル」になっている理由です。このモデルでは取引を重ねるほど格差が増大します。矢野氏の著書の名前である「データの見えざる手」は、もちろんアダム・スミスの「神の見えざる手」の "もじり" ですが、これは言い得て妙という感じがします。「見えざる手」論は、自由な市場が価格変動を調節して資源の最適配分に導くという主張ですが、実はこの「神の手」は取引の繰り返しによって格差を生み出すことに役だっているようなのです。

公正で機会均等な取引が格差を生む ────。このことを経済学の論文として明らかにした雑誌記事を次に紹介します。前置きが長くなりましたが、ここからが本題です。

---

数理が語る格差拡大のメカニズム

---

日経サイエンス 2020年9月号

これ以降、日経サイエンス 2020年9月号に掲載された論文「数理が語る格差拡大のメカニズム」の内容を紹介します。この論文は、タフツ大学（米国・マサチューセッツ州）のブルース・ボゴシアン教授が執筆したものです。ボゴシアン教授は数学者で、論文の内容を一言で要約すると、

自由主義経済においては、公平でフェアな取引きを繰り返すと必然的に格差が拡大する

ことを数理モデルで論証したものです。論文ではまず、世界の様々な国で富の不平等が拡大していることが語られます。

以下の引用では段落を増やした（減らした）ところがあります。また下線は原文にはありません。

米国だけでなく、ロシアやインド、ブラジルなど様々な国で富の不平等が危機的なスピードで拡大している。投資銀行のクレディ・スイスによると、2008年の金融危機の時点で世界人口の最富裕層の1%が全世界の家計資産の42.5%を保有していたものが、2018年には47.2%に高まった。 別の言い方をすると、2010年には世界人口の貧しいほうから半分、約35億人を逢わせた資産総額と同党の富が388人によって保有されていた。この数字は現在では26人になっていると非営利組織オックスファムは推計している。家計調査で資産を集計しているほぼすべての国の統計が、富の集中がいっそう進んでいることを示している。 ブルース・ボゴシアン（タフツ大学） 「数理が語る格差拡大のメカニズム」 （日経サイエンス 2020年9月号）

このような富（資産）の集中がどうして起こるのか、それを数理モデルで解析しようするのがボゴシアン教授の目的です。

---

資産の分布とエージェントモデル

---

まず前提として資産とは何かですが、論文ではその定義が書いてありません（自明のこととしてあります）。従って一般的な理解で言いますと、これは個人が保有している資産（家計資産）のことです（法人や企業の資産ではない）。またその資産の内容は、金融資産（現金や株券・債権など）に非金融資産（不動産や貴金属などで換金可能なもの）を加え、そこから負債（借金）を引いたものです。従って資産はマイナスになり得ることに注意しましょう。ボゴシアン教授の数理モデルにもそれが出てきます。

資産の分布をモデル化する出発点は「エージェントベースの資産分布モデル」です。エージェントとは商取引を行う「主体」のことで、２人のエージェントが行う商取引がモデルのベースです。つまり２人のエージェントが自由意志で、互いに納得した価格で財貨を交換する。たとえば「商品を買う」「労働の対価として賃金を得る」などです。このエージェント同士が行う商取引を膨大に積み重ねた結果として社会全体の資産分布が決まるというのが、今回の数理モデルです。

この「自由意志で、互いに納得した価格で財貨を交換」するモデルは、現代社会において公正でフェアだと考えられています。また上に引用した「神の見えざる手」論のように、需要と供給をバランスを調整して安定した経済体系を作るとされていて、いかにも "自然な" モデルです。しかし、実はそこに格差を生み出すメカニズムが潜んでいるというのが、以下の論です。

---

ヤードセールモデル

---

2002年、インドのサハ核物理学研究所のチャクラボルティ（Aanirban Chakraborti）は、上記のエージェントモデルの一種である「ヤードセールモデル」を導入しました。ボゴシアン教授はこのモデルを出発点にしています。

「ヤードセール」とは、家の庭（yard）で行う不要品販売セールのことです。このモデルは「不要品販売セールにみられる１対１取引きの特徴」があるのでこの名前がつきました。次のようなモデルです。

◆	１対１取引を行う片方が "間違う" ことによって、資産が移動すると考える。
◆	取引した品物の価格が、その品物の価値と一致しているなら資産の移動は起こらない。
◆	しかし買い手が払いすぎたり（＝買い手が間違う）、売り手の受領額が品物の価値より少ない（＝売り手が間違う）場合は、売り手と買い手の間で資産（Δw）の移動が起こる。
◆	資産の移動（Δw）がどの方向に発生するか（買い手が間違うか、売り手が間違うか）は、ランダムに（＝コイン投げで表が出るか裏が出るか）決まる。
◆	破産したいと望む人はいない。従って、資産の移動（Δw）は貧しい方の人が保有している資産の一部にとどまるとする。たとえば、貧しい方の人が保有している資産の20%がΔwと仮定する。

ヤードセールモデル

売り手が庭で不要品を販売している。タイプライターに $11 の値がついているが、買い手は $10 でどうかと交渉した。両者の自由意志での合意の上で、$10 で取引が成立した。買い手は $1 得をしたと思い、売り手は $1 損をしたと思っているが、果たして本当にそうなのかは分からない。日経サイエンス 2020年9月号より。

このモデルはいかにも妥当に思えます。つまり「売り手・買い手のどちらに資産が移動するかはランダムにきまる。かつ資産の移動量（Δw）は貧しい方の人の資産の一部」というところは、実際の経済生活を通じてほとんどの人が経験してきたことであり、また自分に課している制限だと考えられるからです。

このヤードセールモデルによる取引を、例えば1000人の集団で行います。各人が最初に持っている資産は完全に同額です。ここからランダムに選ばれた２人が取引をします。これを何100万回、何億回と繰り返すシミュレーションをしたらどうなるか。

ここで、Δwを「貧しい方の人が保有している資産の20%」とする必然性はありません（明らかに20%は過大です）。数字は問題ではなく、2%でも何%でもよい。数字が少なくなるとシミュレーションの収束に時間がかかるだけで結果は同じだからです。それどころか、次のような「ヤードセールモデルの変種」でもよい。つまり、

・	貧しい人が損をする場合は自己資産の17%の損
・	貧しい人が得をする場合は自己資産の20%の得

とするわけです。つまり貧しい人が相対的に少し有利になる設定です。しかしこの設定でも結果は変わりません。論文から引用します。

ヤードセールモデルの変種であるこの経済系のシミュレーションは驚くべき結果に至る。多数回の商取引の後には、１人の主体が実質的に富を独占する「寡頭支配」になり、他の999人にはほとんと何も残らない。 これは人々が最初に持っていた資産の額には無関係だ。すべてのコイン投げが完全に公正であっても（引用注：資産の移動方向が確率0.5でランダムに決まっても、という意味）こうなる。貧しいほうの主体が個々の取引でプラスの結果を期待でき、金持ちの主体が損失を被ることがあってもこうなる。 「同上」

論文にはありませんが、このシミュレーションを実際にやってみました。基礎数値は「データの見えざる手」のものを採用します。

①	集団は900人とする。初期状態では各人が80の資産を持つ。
②	ランダムに選ばれた２人が商取引を行う。この結果として２人の間で資産が移動する。移動の方向はランダムに（確率0.5で）決まる。
③	「貧しい人」から「金持ちの人」へと資産が移動する場合は「貧しい人の資産の17%」が移動する。逆に「金持ちの人」から「貧しい人」へと資産が移動する場合は「貧しい人の資産の20%」が移動する（＝ヤードセールモデルの変種）。
④	この商取引を1000万回繰り返す。

このシミュレーションのローレンツ曲線とジニ係数が次の図です。きわめて極端な格差が生まれていることが分かります。

「ヤードセールモデルの変種」 シミュレーション回数：10,000,000 ジニ係数＝0.984

このシミュレーションでは、人口の1%が全資産の74%を占め、人口の2%が全資産の89%を独占した。シミュレーション回数をさらに増やすと独占者が出現し、ジニ係数は 1 に近づく。オリジナルの「ヤードセールモデル」ではもっと急速に 1 に近づく。

このシミュレーションを1000万回ではなくもっと多数繰り返していくと、資産が一人に集中する「寡頭支配」になります。論文に「他の999人にはほとんと何も残らない」と書いてあるのは、このシミュレーションではどの人も資産がゼロになることはないからです。しかし999人はゼロに極めて近い値になる。つまり「ほとんと何も残らない」のです。

ちなみに上のシミュレーションを1000万回で止めたのは、あまりやると極端な独占が進み、ローレンツ曲線が曲線らしくなくなるからでした。

---

論文に戻って、ボゴシアン教授の論を続けます。

この経済系を構成する主体の誰もが独占者になりうる。実際、当初の保有資産が全員同じなら、独占者になる確率も同じだ。その意味では機会均等である。だが、独占者になるのは１人だけであり、他の人は商取引を重ねるほど、その資産の平均値がゼロに向かって減っていく。そして貧しい人ほど資産の減少が急速に進む。踏んだり蹴ったりだ。 全員が同額の保有資産でスタートし対称的に扱われてもこの結果になるという点が、とりわけ驚きだ。この種の現象を物理学者は「対称性の破れ」と呼んでいる。最初のコイン投げによってある主体から別の主体へおカネが移動し、両者の間に不均衡が生じる。そして資産に差が生じると、それがいかに微小であっても、以降の商取引では貧しい主体から裕福な主体へと富がわずかな一滴づつ体系的に移動して不平等が拡大し、系は寡頭集中の状態に至る。 「同上」

"この種の現象を物理学者は「対称性の破れ」と呼んでいる" とありますが、日経サイエンスでは「対称性の破れ」を "相転移" の例で解説しています。たとえば磁石ですが、なぜ磁力が発生するかというと磁石の中の分子が極小の磁石となっていて、その磁力の向き（N極とS極）が揃っているからです。

ところが温度を上げて特定の温度（＝キュリー温度）に達すると、突然、磁力がなくなります。キュリー温度以上では極小磁石の向きがバラバラになるからです。このバラバラになった状態では、どの方向から観察しても性質が同じなので「対称性がある」と表現されます。

逆に、キュリー温度以上から徐々に温度を下げると、キュリー温度のところで突如「対称性の破れ」が発生し、極小磁石は同じ向きに整列し、方向によって違う物理性質を示します。つまり磁石になります。

ボゴシアン教授の説明は続きます。

経済がそもそもこのように不平等であるなら、最も貧しい主体の資産が最も早く減るだろう。その資産はどこに行くか？　それより貧しい主体は存在しないのだから、裕福な主体に移動するに決まっている。２番目に貧しい人も、状況は大して変わらない。 結局、この経済系を構成する人々は最も裕福な一人を除いて、自分の資産が指数関数的に減少するのを目にする。私たちタフツ大学のチームと、仏パンテオン・ソルボンヌ大学のショロ（Christophe Chorro）はそれぞれ2015年に発表した別の論文で、チャクラボルティのシミュレーションが明らかにした結果に数学的な証明を与えた。ヤードセールモデルは富を貧者から富める者へ容赦なく移動させるのだ。 「同上」

引用の最後のところにあるヤードセールモデルは、オリジナルのものです。つまり商取引で移動する資産は移動方向に関わらす同じ（例えば、貧しい主体の20%）というモデルです。一方、上のシミュレーション例は貧者が少しだけ有利な「ヤードセールモデルの変種」でした。もちろん「ヤードセールモデルの変種」よりも「ヤードセールモデル」の方が富の集中は急速に進みます。以下の議論は、オリジナルのヤードセールモデルに基づきます。

---

再分配パラメータの導入

---

ヤードセールモデルが社会の資産の偏在を表現しているというのではありません。このモデルではシミュレーションが進むにつれて資産が１人に独占されますが、現実社会はそうなっていないからです。

そこで「再分配パラメータ」を導入します。これは、各主体が取引を行うごとに、各主体の資産を社会全体の資産の平均値に少しだけ近づけるものです。これをコントールするパラメータを χ（カイ。ギリシャ文字）とし、

　再分配　＝
　（資産の平均値 ー 取引主体の資産）× χ

だけの資産を各主体にプラスします。従って、平均値以下の主体の資産は増額され、平均値以上の主体の資産は減額されることになります。これは裕福な人に富裕税を課し、それを貧しい人に配分するということに相当します。

この単純な改変によって富の分布が安定化し、寡頭集中が起こらなくなることがわかった。そして驚くべきことに、この改変モデルは1889 ～ 2016年の米国と欧州諸国の資産分布の経験的データと誤差2%未満で一致した。 実世界の様々な税金や補助金をこの種のモデルに個別に組み込むのは煩雑すぎて無理だろうが、パラメータ χ はそれ一つでこれらの効果を包含しているようだ。 「同上」

---

資産バイアス・パラメータの導入

---

ここまでの議論では、取引において資産が移動する方向は全くランダム（確率でいうと 0.5 / 0.5）としていました。しかし現実の社会では、富裕層が低金利融資や専門家による財産形成のアドバイスといった経済的恩恵を受けているのに対し、貧しい人々は高金利の借金をしたり最適価格の品を探す時間的余裕がないなど、経済的には不利な状況にあります。

そこでこの状況を模擬するために「資産バイアスパラメータ」の ζ（ゼータ。ギリシャ文字）を導入します。そして

　資産バイアス　＝
　（取引主体の資産差額 / 資産の平均額）× ζ

とし、資産バイアスの確率だけ裕福な者が有利になるようにします（取引主体の資産差額は絶対値）。論文には詳細が書いてありませんが、たとえば

　裕福な者が得をする確率　＝
　　　　0.5 ＋ 資産バイアス / 2
　貧しい者が得をする確率　＝
　　　　0.5 － 資産バイアス / 2

とすれば、ちょうど資産バイアスだけの確率差がつくことになります。この定義の資産バイアスは１以上になる可能性があります。たとえば ζ を0.05 とすると、取引主体の資産差額が集団の資産の平均額の20倍あるとちょうど1になります。こうなると必ず裕福なものが得をすることになる。従って実際のシミュレーションでは資産バイアスが 1 以下になるような、何らかの調整が必要なはずです。

ともかく、再分配パラメータに加えて資産バイアスパラメータを考慮したモデルの解析結果が次です。

この比較的単純な改良は富裕層を有利にしている様々なバイアスの近似として働き、モデルと実際の資産分布の富裕層部分がさらによく一致するようになった。 また、この資産バイアスを加味したことで、富の部分的な寡頭集中を再現できるようになった（同時に部分的集中を数学的に正確に定義できた）。資産獲得による優位性の影響が富の再分配の効果を上回った場合（より正確にいえば ζ が χ を上回った場合）は常に、社会全体の富の有限部分、総資産の（1 - χ/ζ）倍が、ごくごく少数の人に集中する。 ヤードセールモデルに２つのパラメータ χ と ζ を導入して得られたこの拡張モデルは、1989 ～ 2016年の米国と欧州諸国の資産分布の経験的データと誤差 1 ～ 2% で一致する。 「同上」

著者によると、ζ が χ を下回った場合は寡頭集中のない安定的な状態に落ち着くそうです。

ちなみに「米国と欧州諸国の資産分布の経験的データと誤差 x% で一致」という表現についてですが、χ や ζ といったパラメータを国ごとにどのように設定すれば資産分布の経験的データを最もよく表現できるかをサーベイし、その結果の最適値のときの誤差が x% という意味です。

---

マイナス資産の導入

---

さらにモデルの改良は続きます。これまでのモデルではシミュレーションをいくら繰り返しても資産がマイナスになることはありません。もちろん寡頭集中が起こったりすると多数の人の資産がゼロに近づくのですが、原理上マイナスにはなりません。

しかし実社会では資産がマイナスということが起こります。保有している現金や不動産などの額より負債額が多ければ資産はマイナスだからです。しかし資産がマイナスであっても商取引は可能であり、社会では実際に行われています。

この状況をモデル化するために、新たなパラメータ κ（カッパ。ギリシャ文字）を導入し、最大マイナス資産（＝Ｓ）を次の式で計算します。

　最大マイナス資産（Ｓ）＝
　　　　　資産の平均額 × κ

そして、拡張ヤードセールモデル（χ と ζ を入れたモデル）による取引をする前に、２つの取引主体の資産に Ｓ を加え、取引が終わったあとに２つの取引主体の資産から Ｓ を引くという操作をします。この操作によって、集団の中で最も資産が少ない人の資産額が －Ｓ となります。

いままで出てきた３つのパラメータ、χ と ζ と κ を導入したモデルが最終のもので、著者はこれを数学者らしく「アフィン型資産モデル（AWM）」と呼んでいます。

この "アフィン" という用語ですが、「アフィン変換」が大学の数学で出てきます。これは、乗法（幾何イメージは拡大・縮小）と加法（幾何イメージは平行移動）の両方を含んだ変換を言います。著者のモデルは取引主体の保有資産から決まる量に（乗法的に）依存したやりとりと、集団の平均資産から決まる量に（加法的に）依存したやりとりの両方があります。それを "アフィン" という用語で表しています。

このモデルは過去30年にわたる米国の資産分布の経験的データと 0.17% 足らずのズレで一致する。2010年の欧州諸国の資産分布データとの乖離は 0.5% あるいは 0.33% 未満だ。 「同上」