本文へ移動
LIFEMAKERS.COM — 自立型ライフの実践知カタログ
LifeMakersVOL. 2026-07
解説・分析備えとレジリエンスLIFE INFRASTRUCTURE REVIEW

Deep Dive｜量子計算とPQC移行時計——「50万未満」「2029年」を誤読しない

量子攻撃の資源見積もり「50万未満」とGoogleのPQC移行目標「2029年」は、異なる二つの時計です。

14分
量子計算の資源見積もりとPQC移行期限を別の時計として示す図

この記事でわかること

  • 50万未満という数字は、特定条件で楕円曲線暗号を攻撃する将来装置の物理量子ビット資源見積もりです。
  • 2029年はQ-Day予測ではなく、長い移行期間を先に確保するためにGoogleが置いたPQC移行目標です。

「50万未満の量子ビットでBitcoinの暗号を破れる」

「Googleは2029年を期限にした」

この二つを続けて読むと、2029年に50万量子ビット級の装置が完成し、Bitcoinが破られる——という物語ができあがる。

だが、それは二つの異なる時計を一つに重ねた誤読だ。

「50万未満」は、量子攻撃回路を特定のハードウェア条件へ写像した資源見積もりである。「2029年」は、Googleが自社と業界の移行を前倒しするために置いたPQC移行目標である。どちらも、暗号解読可能な量子コンピュータ、すなわちCRQCが2029年に完成するという予測ではない。

それでも、この二つを切り離して終わりにはできない。資源見積もりが小さくなるほど、移行へ使える安全余裕は短く見える。移行には技術選定だけでなく、棚卸し、互換性検証、鍵の更新、ユーザー移動、標準化、ガバナンスが必要だからだ。

1｜「50万未満」は何を数えているのか

2026年3月に公開され、4月に改訂されたwhitepaperは、Google Quantum AI、UC Berkeley、Ethereum Foundation、Stanford Universityの研究者が共同執筆した。

対象は、BitcoinやEthereumの署名に使われる楕円曲線secp256k1上の256-bit Elliptic Curve Discrete Logarithm Problem、略してECDLPである。十分に大きく、誤り訂正された量子コンピュータがShorのアルゴリズムを実行できれば、公開鍵から秘密鍵を導出できる可能性がある。

研究チームが示した回路は二つある。

  • 1,200 logical qubits以下、90 million Toffoli gates以下
  • 1,450 logical qubits以下、70 million Toffoli gates以下

さらに、これを超伝導量子ビット、物理エラー率10^-3、平面的な接続性、surface code系の誤り訂正などの仮定へ写像すると、「50万未満のphysical qubits」で実行できると見積もった。

制御系の反応時間を10 microseconds、Toffoli gateあたりのoverheadを50%と置くと、全回路の実行時間は約18分または23分。攻撃対象に依存しない前半を事前計算して待機できると仮定したon-spend攻撃では、公開鍵を得てから約9分または12分という計算になる。

ここで最も重要なのは、すべての数字に条件が付いていることだ。

これは実機によるBitcoin攻撃の実証ではない。現在、50万物理量子ビットの誤り訂正済み装置が稼働しているという発表でもない。攻撃回路、誤り訂正、物理エラー率、接続性、制御速度を組み合わせた将来装置の資源モデルである。

2｜physical qubitとlogical qubitは同じではない

physical qubitは、実際の量子プロセッサ上にある物理的な量子ビットだ。現実のqubitはノイズやエラーを持つ。

logical qubitは、多数のphysical qubitsと誤り訂正を組み合わせ、計算中の情報を安定して保持する論理的な単位である。一つのlogical qubitを作るために必要なphysical qubitsの数は、装置のエラー率、誤り訂正方式、必要な計算精度によって変わる。

したがって「logical qubitsが1,200なら、1,200qubitの量子コンピュータで攻撃できる」わけではない。逆に「50万physical qubits」という数字も、どの方式の装置にもそのまま当てはまる普遍的な閾値ではない。

この研究の新しさは、論理回路のqubit数とgate数を削り、誤り訂正後の物理資源見積もりを従来研究より大きく下げた点にある。攻撃装置の完成時期を確定したのではなく、ゴールまでに必要と考えられる資源の見積もりを更新したのだ。

量子リスクは、ハードウェアだけの時計ではない。アルゴリズムと誤り訂正が改善すれば、同じハードウェアでも「必要な側」の数字が下がる。

3｜Bitcoinのどこが対象になるのか

この攻撃が狙うのは、BitcoinのProof-of-WorkやSHA-256そのものではない。対象はsecp256k1を基盤とするデジタル署名だ。

量子攻撃で秘密鍵を導出するには、攻撃対象の公開鍵が見えている必要がある。このためBitcoinでは、scriptやアドレスの使われ方によってリスク面が異なる。

P2PKやP2TRのように公開鍵をlocking scriptへ直接置く形式は、資産が動いていない間もat-rest攻撃の対象になり得る。P2PKHやP2WPKHのように未使用の公開鍵をhashの後ろへ隠す形式は、公開鍵が露出していない間のat-rest攻撃を避けられる。

しかし、資産を使うときには署名検証のため公開鍵を示す必要がある。公開mempoolで送金が確定するまでの時間に秘密鍵を導出できるほど速いCRQCがあれば、on-spend攻撃面が生まれる。アドレス再利用や、別の場所で同じ公開鍵を露出することも条件を変える。

つまり「Bitcoin全体が一瞬で解読される」という単純な話ではない。同じ台帳の中でも、公開鍵の露出状態、script type、資産の移動履歴によって攻撃可能性が違う。

そして、量子安全な署名方式を追加すれば即座に解決するわけでもない。鍵と署名は一般に大きくなり、検証、帯域、ブロックスペースへ影響する。wallet、custody、hardware、node、取引所、ユーザーが新しいアドレスへ移る必要があり、失われた鍵や休眠資産をどう扱うかという合意形成も残る。

4｜なぜ脅威到来前に移行しなければならないのか

PQC移行では、量子コンピュータの完成日より「移行に何年かかるか」が先に効いてくる。

whitepaperは、BitcoinでPQCが採用された後も、保有者が古いアドレスから新しい量子安全アドレスへ資産を移す必要があると指摘する。現在の処理速度で、仮にネットワークが資産移行だけを処理しても数か月かかり得る。現実には通常取引と並走し、長期間動かない資産もある。

企業システムではさらに範囲が広い。TLS、PKI、SSH、code signing、secure boot、HSM、API認証、端末、バックアップ、長寿命の組み込み機器。どこでどの公開鍵暗号を使っているか把握できなければ、置き換える順番も決められない。

暗号化データには「store now, decrypt later」の問題もある。攻撃者が現在の暗号文を保存し、将来CRQCを得てから復号するなら、機密保持期間の長いデータは今日から影響を受ける。デジタル署名への攻撃は将来の実行能力を待つとしても、認証基盤や署名検証の移行準備は先に始めなければならない。

量子リスクへの対応は、警報が鳴ってからpatchを当てる種類の仕事ではない。暗号はシステムの深部へ埋め込まれ、移行には調達周期とガバナンス周期がある。

5｜「2029年」の本当の意味

Googleは2026年3月25日、PQC移行のtimelineを2029年へ置くと発表した。

これは「2029年に量子コンピュータが既存暗号を破る」と予測したものではない。量子ハードウェア、量子誤り訂正、暗号攻撃資源見積もりの進展を踏まえ、自社の認証サービスを含む移行を優先し、業界へも前倒しを促すための野心的な目標だ。

年限は組織ごとに異なる。

NISTは2024年8月、鍵確立に使うML-KEMを定めるFIPS 203、デジタル署名のML-DSAを定めるFIPS 204、hash-based署名のSLH-DSAを定めるFIPS 205を公開した。標準という出発点はすでにある。

米国では2026年6月の大統領令により、high-value assetsの一定用途について2030年・2031年までの移行が示された。英国NCSCは、2028年までに暗号資産のfull discoveryと初期計画、2031年までに高優先度の初期移行、2035年までに全体移行という目安を置いている。

Googleの2029年、米政府の2030年・2031年、英国の2028年・2031年・2035年。これらは互いに矛盾するQ-Day予測ではない。対象システム、機密期間、リスク許容度、調達・規制環境が異なる移行計画だ。

6｜組織が今やるべき暗号棚卸し

CRQCの到来年を当てることはできない。しかし、移行準備には具体的な着手点がある。

  1. 公開鍵暗号を使う場所を発見する TLS、VPN、PKI、SSH、code signing、HSM、API、wallet、backup、firmwareを一覧化する。
  2. データと署名の寿命を分ける 何年間秘密である必要があるか、署名を何年間検証し続ける必要があるかを記録する。
  3. 自社実装と依存先を分ける cloud、library、device、certificate authority、custodian、取引所など、移行時期を自社で決められない依存先を洗い出す。
  4. hybrid構成を小さく試す 古典暗号とPQCを併用し、鍵・署名サイズ、latency、bandwidth、logging、rollbackを測る。
  5. crypto agilityを設計する 一度選んだ方式を永久に固定せず、algorithm、key、certificate、policyを交換できる境界を作る。
  6. blockchainでは資産移行まで試算する 公開鍵露出、address reuse、custody、休眠資産、署名検証コスト、合意形成を含める。
  7. 年次計画へ組み込む 量子研究を眺めるだけでなく、予算、調達、製品roadmap、監査項目へ期限を置く。

NIST標準が出たことは重要だが、標準をダウンロードすることと、システムが移行することは同じではない。PQCは暗号ライブラリの更新であると同時に、資産管理と組織設計の更新でもある。

7｜読むべきは一つの終末時計ではなく、三つの時計

量子リスクには、少なくとも三つの時計がある。

一つ目は、攻撃に必要な資源がどこまで下がったかを測る「科学の時計」。

二つ目は、自分たちの暗号を発見し、置き換え、検証するまでの「移行の時計」。

三つ目は、標準、製品、規制、プロトコル、ユーザーが新方式へ動く「採用の時計」だ。

「50万未満」は一つ目の時計に属する。「2029年」はGoogleが二つ目と三つ目を前へ動かすために置いた目標だ。

科学の時計がQ-Dayの日付を教えてくれるまで待ってはいけない。移行の時計の方が長く、しかも自分で動かし始めなければ進まないからだ。

必要なのは「2029年に終わる」という恐怖ではない。「2029年を待たず、移行に必要な時間を今から確保する」という読み方である。

参考・出典

透明性メモ

本稿は2026年7月22日JST時点の公開一次資料に基づく。arXiv:2603.28846v2は公開whitepaper／preprintであり、実機による攻撃実証やCRQCの完成時期を示すものではない。「50万未満」は特定の超伝導・誤り訂正・制御条件に基づくphysical qubitsの資源見積もり。「2029年」はGoogleのPQC移行目標であり、Q-Dayの予測ではない。Bitcoinの具体的な移行方式、休眠資産の扱い、合意形成は確定していない。

本稿は技術・サイバーセキュリティ上の一般情報であり、投資助言または個別システムへの法的・技術的保証ではない。

あなたの暮らしで、最初に試せることは何でしょうか。