フランスの量子コンピューター企業Alice & Bobは2026年10月29日、RSA-2048の鍵に使われる2048ビットの整数を素因数分解するには、22,593個の物理猫量子ビットが必要で、計算の成功までに平均3.14日かかるという見積もりを公表した。量子ビットの配置から誤り訂正の各周期で実行する操作まで、量子計算に必要な工程を具体化した設計評価である。
ただし、これは量子コンピューターによるRSA-2048の解読に成功したという報告ではない。計算に用いる装置の誤り率などに一定の条件を設けた理論上の見積もりであり、特にビット反転を極めて低い水準に抑える必要がある。物理量子ビットは装置を構成する個々の量子ビットを指し、複数の物理量子ビットを組み合わせて誤りから情報を保護する単位が論理量子ビットだ。今回示された物理量子ビット数と、それを使って実際に計算できる装置が存在するかどうかは、区別して考える必要がある。
3.14日は1回の計算時間ではない
見積もりの根拠となったのは、Axel Pappalardo、Dahmun Goudarziら10人による論文「Shor’s algorithm compiled on cat qubits: 22 593 qubits for RSA-2048 in 3.14 days」だ。2026年10月28日にIACR Cryptology ePrint Archiveで公開されたPaper 2026/2665で、現時点では査読前のプレプリントである。実機で計算を行った研究ではなく、量子回路の操作数と仮定したノイズモデルを基に、RSA-2048の素因数分解に必要な計算資源を算出したものだ。
基準となる設計では、1,433個の論理量子ビットを構成するために、22,593個の物理猫量子ビットが必要になる。この数には、データを保持する量子ビットだけでなく、補助的な操作や情報の転送経路、計算に必要な資源状態の準備に使う量子ビットも含まれる。研究チームはRSA-2048の素因数分解に必要な処理を詳細に検討したものの、実機で素因数分解を実行したわけではない。
また、3.14日という数字は、1回の計算にかかる時間ではない。基準設計では、1回の試行に7.84時間、成功までの期待試行回数を9.60回と見積もり、期待総時間を75.3時間、約3.14日と算出している。つまり、成功するまで繰り返し試行する場合の平均的な所要時間であり、3.14日以内に必ず成功することを意味しない。
この試算は、誤り訂正の周期が1マイクロ秒、復号処理と古典制御の応答時間が10マイクロ秒という装置を前提としている。回路レベルの位相反転誤り率はpZ=0.0005（0.05%）とし、ビット反転は無視している。論文では、物理猫量子ビット数を21,188個に減らす代わりに、期待総時間が8.08日となる設計も検討した。いずれも想定した誤り率や動作速度を満たす装置が必要であり、量子ビットの数だけを既存の量子プロセッサーと比較しても、実際の計算能力は判断できない。
誤りの偏りを生かした量子ビット配置と演算設計
量子コンピューターで長時間の計算を実行するには、量子情報に生じる誤りを訂正しながら演算を続ける必要がある。猫量子ビットは、超伝導共振器内の位相が異なる量子状態を利用して情報を保持する方式だ。この方式では、理論上、共振器内の平均光子数を増やすと、0と1を取り違えるビット反転誤りを指数関数的に減らせる一方、量子状態の相対位相が反転する位相反転誤りは線形に増加する。研究チームは、この誤りの偏りを利用し、主に位相反転を訂正する量子計算システムを設計した。
設計の中心となるのは、低密度パリティ検査（LDPC）に基づく「LDPC猫符号」だ。複数の物理量子ビットに情報を分散させ、誤りを検出するための測定結果を基に訂正を行う。装置は2層構造を想定しており、上層にはデータを高密度に保持する量子ビットを配置し、下層にはデータへのアクセスや演算を補助する量子ビットを設ける。下層は情報の転送や、演算に必要な資源状態の準備も担当する。
研究チームは、素因数分解で重要となる加算回路についても設計を見直した。量子状態の準備や一部の操作を、古典制御側の復号処理が完了するまでの待ち時間と並行して進めることで、待機による時間の損失を減らしている。必要な量子ビット数だけでなく、各操作をどこで、どの順序で実行するかまで考慮した点が今回の特徴だ。ただし、すべての工程を同じ精度で評価したわけではなく、一部の位相操作については概略的な計数にとどまっている。
論文では、LDPC猫符号に加えて、反復猫符号を使った設計も比較している。反復猫符号による設計は49,649個の物理猫量子ビットで期待総時間2.67日、LDPC猫符号による基準設計は22,593個で3.14日だった。LDPC猫符号を採用すると必要な量子ビット数は約2.2分の1になる一方、計算時間は長くなる。これは同じ研究で設定した条件の下での設計比較であり、実機によって量子ビット数の削減効果が確認されたわけではない。
他の研究と比較する場合も、装置に関する前提条件の違いに注意が必要だ。例えば、Craig Gidneyが2025年に発表したRSA-2048の資源見積もりでは、100万個未満の物理量子ビットを使い、1週間未満で素因数分解できると試算している。こちらは物理ゲートの誤り率を一律0.1%とし、表面符号と2次元格子状の量子ビット配置を前提としたものだ。猫量子ビットに特有の偏ったノイズを利用する今回の設計とは条件が異なるため、必要な量子ビット数を単純に比較して、性能の優劣を判断することはできない。
ビット反転を無視するには約100年の反転時間が必要
今回の基準設計で最も厳しい条件の一つが、ビット反転の抑制だ。論文では、RSA-2048の素因数分解においてビット反転を無視するための目安として、物理量子ビット1個あたり約101年の反転時間を挙げている。これは装置を100年間連続運転するという意味ではなく、個々の量子ビットでビット反転が起こるまでの平均時間を示す。計算に使うチップ全体で、平均10回の試行につきビット反転を1回未満に抑えることを目安とした数値である。
しかも、約101年という条件を満たせば、ビット反転の影響が完全になくなるわけではない。論文によると、この条件でもビット反転によって実行時間が約11%増加する。したがって、ビット反転を無視して算出した3.14日を、実際の所要時間が確実に収まる値として扱うことはできない。影響をさらに小さくするには、反転時間をいっそう延ばす必要があるうえ、演算中だけでなく、測定や初期化を含む多量子ビットチップ全体で誤りを抑えなければならない。
一方、論文が参照した先行研究の実験値は、この要求水準から大きく離れている。単一猫量子ビットを対象とした実験では、量子制御を伴う系の静止時におけるビット反転時間として、平均光子数11.3で15秒、スクイーズ猫状態では平均光子数4.1で22秒が報告されている。これらは今回の研究で新たに測定した結果ではなく、同一条件での比較実験でもない。単一の量子ビットが静止しているときの耐性を、大規模な装置が演算中に維持できる耐性と同一視することはできず、反転時間をどこまで延ばせるかについては、論文でも不確実性が残るとしている。
こうした問題に対処するため、研究チームはビット反転を追加で訂正する「エレベーター符号」も検討した。LDPC猫符号に追加の誤り訂正を組み合わせる場合、概算では必要な物理猫量子ビット数が22,593個から44,850個へ増えるものの、要求される反転時間は101年から1.3時間まで短縮できる。ただし、44,850個という数字は、計算全体に必要な回路や操作を詳細に設計して算出したものではない。量子メモリを対象としたシミュレーション結果から、比例関係を仮定して外挿した概算値である。
外挿の根拠となったビット反転シミュレーションでは、符号距離9、11、13、15について、それぞれ100万回の試行が行われた。ビット反転が発生する確率を表すpXの検証範囲は、10⁻⁶より大きく、5×10⁻⁵より小さい値だった。しかし、RSA-2048の設計に適用したpX=10⁻¹¹と符号距離17および21は、いずれも実際にシミュレーションした範囲の外にある。したがって、追加訂正によって反転時間の要求を1.3時間まで緩和できるという結果は、未検証の条件への外挿に依存している。
さらに、追加符号を適用した論理ゲートの一式や、補助状態の準備、情報転送の具体的な構成も完成していない。研究チーム自身も論文の付録で、これらの見積もりが今後の検証を要する仮定に依存していると認めている。ビット反転に対する要求を緩和する方法は示されたものの、素因数分解に必要なすべての操作を実行できる設計として成立するかは、まだ確認されていない。
6〜12量子ビットの実証機と大規模設計の隔たり
今回の設計を実際の計算能力につなげるには、想定した誤り率や演算手順を実機で検証する必要がある。Alice & Bobは2026年10月20日、フランスの量子コンピューター開発計画「PROQCIMA」に向けた実証機として、6量子ビットのチップ2台と12量子ビットのチップ1台を発表した。同社は、3個のデータ量子ビットからなる距離3の反復符号を複数の誤り訂正周期にわたって動作させ、ビット反転に対する保護を維持するCNOT操作などを報告している。補助量子ビットの測定と初期化、非クリフォード操作も実証の対象となった。
ただし、同社によれば、現時点で論理誤り率は誤り訂正の閾値を下回っていない。閾値以下に抑えるために必要な改善については、実機から得られたデータを使ったデジタルツインのシミュレーションで評価している。これらは企業が公表した実機の成果であり、独立した査読によって確認された結果ではない。また、今回のRSA-2048に関する資源見積もりを第三者が再現した結果や、実機によるRSA-2048の素因数分解を検証した結果も示されていない。
今回の研究と実証機の開発状況を整理すると、基準設計の22,593個、追加訂正を組み込んだ場合の概算44,850個、実証機の6〜12個という3つの段階に分かれる。それぞれ前提条件と検証の進み具合が異なり、単純に量子ビット数だけを比較できるものではない。
| 段階 | 物理猫量子ビット数 | 前提と検証状況 | 残る課題 |
|---|---|---|---|
| 基準設計 | 22,593個 | 2026年10月の論文によるRSA-2048の資源見積もり。pZ=0.0005とし、ビット反転を無視 | 計算中に想定した誤り率を維持できるか、実機での検証が必要 |
| 追加訂正の概算 | 44,850個 | 同論文の量子メモリモデルに基づく比例外挿 | シミュレーション範囲外の条件と、未設計の論理操作の検証 |
| 実証機 | 6個が2台、12個が1台 | 2026年10月20日の会社発表による実機の成果 | 論理誤り率が閾値以下に達していない |
この比較から分かるのは、今回の研究が示した大規模設計と、実機で確認されている技術の間には、依然として大きな隔たりがあるということだ。特に重要なのは、演算中のビット反転を十分に抑えられるか、量子ビットを増やしても論理誤り率を低減できるかという点である。さらに、論文で仮定した条件が実測データによって裏付けられるかどうかが、今回の資源見積もりの実現可能性を評価するうえで重要になる。
耐量子暗号への移行は解読機の完成を待てない
今回の研究は、RSA-2048を解読できる量子コンピューターがいつ完成するかを予測したものではない。それでも、現在の公開鍵暗号を利用する組織にとって、量子コンピューターの実用化を待ってから対策を始めればよいというわけではない。現在収集された暗号文が将来の量子コンピューターによって解読される「Harvest Now, Decrypt Later（今収集して、後で解読する）」という脅威があるためだ。長期間にわたって機密性を維持する必要がある情報については、解読能力を持つ量子コンピューターが登場する前から、耐量子暗号への移行を検討する必要がある。
米国立標準技術研究所（NIST）は2026年10月27日、耐量子暗号への移行指針「NISTIR 8547」の最終版を案内した。NISTはすでに2024年8月に耐量子暗号の標準規格を公開しており、特に長期間の機密保持が必要なデータを守る鍵確立方式から、優先的に移行する方針を示している。移行にあたっては、現在の暗号方式が使われているシステムやサプライチェーンを把握し、更新に必要な期間を考慮することが求められる。
NISTが示した主要な目標は、米連邦システム全体で2035年までに移行を進めることだ。特に重要度の高い資産や影響の大きいシステムについては、鍵確立方式を2030年、デジタル署名を2031年と、用途に応じて異なる目標時期を設定している。これらは世界中の民間組織に一律に適用される期限ではなく、今回のAlice & Bobの研究を受けて変更されたものでもない。
耐量子暗号への移行を計画する際には、保護すべきデータの機密保持期間、現在の暗号方式が組み込まれている製品や取引先、システムの更新に要する時間を把握することが重要になる。一方、量子コンピューターの開発では、今回の論文が仮定した誤り率を実機が演算中にも維持できるか、追加の誤り訂正を計算全体に適用できるかが今後の焦点となる。22,593個という見積もりがRSA-2048の解読能力を持つ実機の開発につながるかどうかは、こうした技術的な条件を実証できるかにかかっている。
