はじめに
Z408が数日で解けたのに対し、1969年11月に送られた340文字暗号「Z340」は、2020年まで約51年間、広く受け入れられる解読に到達しなかった。[1][4] 同じ犯人を名乗る人物が、似た記号を使って作った暗号なのに、なぜ難易度がここまで違ったのか。
2020年に解読したDavid Oranchak、Sam Blake、Jarl Van Eyckeのチームが後にまとめた技術論文によれば、Z340は単純なhomophonic substitutionだけではなく、文字位置を組み替えるtranspositionと組み合わされていた。[1] つまり、解読者は「どの記号がどの文字か」だけでなく、「そもそも何番目の記号を次に読むのか」も同時に推定しなければならなかった。
この二層構造は探索空間を大きくする。しかもZ340には、通常の格子暗号として見たときに意味のある局所パターンが壊れやすい構造があり、多数の誤解読を生んだ。2020年の突破は一発のひらめきではなく、転置パターン候補を大量生成し、homophonic substitution solverで評価し、人間が言語として妥当な結果を検証する反復工程だった。[1][2]
本記事では、Z340を「51年間誰にも解けなかった神秘の暗号」として扱わない。問題を、格子、転置、置換、探索、fitness evaluation、検証というアルゴリズムへ分解する。
CASE BRIEFING
- Z340は1969年11月にSan Francisco Chronicleへ送られた340文字暗号[1][4]
- FBIを含む多数の専門家・アマチュアが長年解析したが、確立した解は得られなかった[1]
- 2020年、David Oranchak、Sam Blake、Jarl Van Eyckeが解読[1][2][3]
- 解法の核心はtranspositionとhomophonic substitutionの組み合わせ[1]
- 大量の転置候補生成とAZdecrypt等による候補評価が重要だった[1][2]
- FBIは2020年の解読を検証し、事件自体は当時なお継続中と説明した[3]
- 解読文は犯人の実名を明らかにしなかった[1][3]
THE QUESTION
Z340がZ408より桁違いに長く残った理由と、2020年の突破口は何だったのか。
最大の差は、平文の順序を崩す転置が加わったことにある。置換だけなら文字対応を探せばよいが、転置があると隣接関係そのものが失われる。正しい読み順を仮定しない限り、言語統計を使うsolverも正しいスコアを出しにくい。
CASE PATH
Article04でZ408のhomophonic substitutionを理解した。本記事ではその知識を前提に、Z340の追加レイヤーであるtranspositionと計算探索を扱う。次のArticle06では暗号から離れ、指紋・筆跡・DNAなど「人物を特定するための物証」が何を示したかを検証する。
目次
- Z340はどんな形の暗号だったのか
- Z408の鍵がそのまま通用しなかった
- transpositionが何を壊すのか
- 51年間の「解読案」が確定しなかった理由
- 2020年チームの探索戦略
- AZdecryptとhill climbing
- 転置パターンをどう見つけたのか
- 解読結果をどう検証したのか
- 「解けた」と「犯人が分かった」は別
- Z13・Z32が別の難しさを持つ理由
1. Z340はどんな形の暗号だったのか
Z340は340個の記号からなり、一般に17列×20行の格子として知られる。[1] 見た目はZ408と似ており、英字、反転文字、幾何学記号など複数種類の記号が並ぶ。送付時点で、捜査側も当然Z408との関連を考えた。
しかし、Z408のように上から左→右へ読み、その各記号を平文文字へ置換するだけでは、意味のある英語が得られなかった。[1] FBIも1969年の段階でZ408の鍵を適用したり、線形・route transpositionを含む複数の方法を試したが、解読には至らなかったことが後の公開資料から分かる。[1]
この時点で問題は二つに分かれる。第一に、Z340が本当に意味のある平文を持つのか。第二に、持つならどんな変換が施されているのか。暗号文だけを見て方式を推定する場合、方式候補の自由度そのものが探索空間になる。
暗号が長ければ統計解析に有利というZ408の特徴はZ340にもある。しかし、隣接する記号が平文でも隣接するという前提が崩れると、n-gramや単語パターンの手掛かりが弱くなる。長さだけでは解決できない。
2. Z408の鍵がそのまま通用しなかった
Z408が解けた直後の暗号なので、最初に試すのは既知の置換対応をZ340へ適用することだ。実際、当時もそのアプローチが試されたが、意味のある平文にはならなかった。[1]
ここで重要なのは、「同じ記号を使っているから同じ鍵」とは限らないことだ。暗号作成者は、同じ記号へ別の平文文字を割り当てることも、新しい記号を追加することもできる。さらに転置があるなら、置換が部分的に正しくても出力順序が崩れているため、文章として見えない。
FBIの当時分析は、Z408鍵の適用だけでなく、転置との組み合わせやさまざまな読み方向、crib候補も検討したと技術論文に整理されている。[1] それでも正解へ届かなかった。これは「当時の捜査が暗号を理解していなかった」ことを意味しない。むしろ、正解方式に近い種類の仮説まで探索していたが、具体的な転置パラメータと置換を同時に当てる組み合わせ問題が大きかったことを示す。
51年という結果だけを見て「簡単な方法を誰も試さなかった」と評するのは後知恵である。方式候補が多数ある状況では、正しい方式を含んでいても、そのパラメータを十分な粒度で探索できなければ正解は現れない。
3. transpositionが何を壊すのか
置換暗号は文字の「値」を変える。Aが△、Eが○になるような変換である。一方、transposition cipherは文字の「位置」を変える。平文自体の文字は同じでも、読む順番を入れ替える。[1]
たとえば `THISISASECRET` を4列の格子へ書き、列順を入れ替えて読み出せば、同じ文字集合なのに元の単語境界は消える。そこへさらにhomophonic substitutionをかければ、「位置」と「値」の両方が隠される。
Z340で難しいのはこの相互作用である。置換solverは通常、候補鍵を変化させながら、復号結果に英語らしいn-gramがどれだけ出るかをfitnessとして評価する。しかし入力順序が間違っていれば、正しい置換鍵でもTHやINGのような連接が現れず、fitnessが上がらない。
逆にtransposition探索側も、置換が未知のままでは「この読み順が正しい」と直接評価しにくい。したがって、ある転置候補を作る→その候補に対して置換solverを走らせる→得られた最高スコアを転置候補の評価値とする、という二重探索が必要になる。
探索空間は乗算的に膨らむ。転置候補がN通り、置換鍵の探索がM規模なら、概念的にはN×Mの問題になる。実際にはヒューリスティクスで削減するが、Z408より難しい理由がここにある。
4. 51年間の「解読案」が確定しなかった理由
Z340には長年、多数の「解読した」という主張が存在した。[1] なぜ正解でない案でも、それらしく見える文章を作れるのか。
一つは自由度の高い変換を許すと、後から意味のある語を作りやすいからだ。行を逆にする、斜めに読む、一定間隔で飛ばす、文字をアナグラムする、記号を複数の平文文字へ都合よく割り当てる、といった規則を結果に合わせて追加すれば、偶然の語句を増やせる。
科学的な暗号解読では、結果だけでなく方法の拘束力が必要になる。鍵や転置規則が暗号文全体へ一貫して適用できるか、例外が少ないか、別の文章を同じ手法で同程度に作れてしまわないか、独立した研究者が再現できるかを確認する。[1]
特に「容疑者の名前が出た」という主張は注意が必要である。名前を先に知っていて、それを得るために読み順や置換を調整すれば、短い一致は作れる。暗号全体の長い自然文を、少数の明示的規則で復元することとは証拠力が違う。
Oranchakらの論文は、過去の複数のclaimed solutionが十分な一意性・再現性を示していないことを検討している。[1] 2020年解法が受け入れられた理由は、単に文章が「意味深」だったからではなく、構造的に暗号全体へ適用でき、独立検証されたからである。
5. 2020年チームの探索戦略
解読チームは、David Oranchakが長年蓄積してきたZ340解析、Sam Blakeの数学・計算的探索、Jarl Van Eyckeのhomophonic substitution solver AZdecryptを組み合わせた。[1][2]
出発点は、「通常の行読みではない」という仮説を、具体的なtransposition候補へ落とすことだった。Blakeは格子の読み取り規則を変化させ、多数の候補暗号列を生成した。各候補をVan EyckeのAZdecryptへ渡し、英語らしさが高い復号を返す転置を探す。[1][2]
ここでのポイントは、人間が340文字を一つずつ眺めて「斜めに読めそう」と勘だけで選んだのではないことだ。候補生成を自動化し、機械的に大量評価した。人間は探索空間の設計と、上位候補に現れた言語パターンの解釈を担当する。
ある候補で意味のある断片が現れると、その規則周辺をさらに詳しく探索できる。完全にランダムな全排列340!を試すことは不可能だが、「格子を一定のstepで斜めに読む」「特定区画ごとに方向を変える」といった構造仮説に制約すれば、計算可能な候補集合へ落とせる。
これは一般的な探索アルゴリズムと同じである。全状態空間を総当たりするのではなく、問題固有の制約とヒューリスティクスで有望領域へ集中する。
6. AZdecryptとhill climbing
AZdecryptはhomophonic substitution cipherを解くための専用ソフトで、候補置換鍵を少しずつ変えながら、復号結果の言語fitnessを改善する。[1][2] 論文では、この種のsolverがhill climbingのような最適化手法を使うことが説明されている。[1]
概念的には次の処理である。
- ランダムまたは推定した置換鍵を用意する。
- 暗号文を復号する。
- 出力に英語のn-gramがどれくらい現れるかをスコア化する。
- 鍵の一部を変更する。
- スコアが改善した候補を残す。
- これを多数回繰り返す。
単純なhill climbingは局所最適に捕まりやすいため、実用solverでは多くのrestartや確率的変化を組み合わせる。重要なのは、人間が全鍵を試す代わりに、言語統計を目的関数として探索させる点である。
Z340では、正しいtransposition候補に近づいたときだけ、このsolverが明確に英語らしい高スコアを出す。つまりAZdecryptは置換を解くだけでなく、間接的に「この転置仮説は有望か」を判定するセンサーにもなった。
この構造は機械学習のモデル選択にも似ている。前処理仮説が違えば同じsolverの性能が大きく変わるため、前処理パラメータを外側ループで探索し、内側ループで復号fitnessを計算する。
7. 転置パターンをどう見つけたのか
最終解は、Z340全体を単一の単純routeで読むものではなかった。[1] 論文では暗号を複数セクションに分け、主部分で規則的な斜め方向の読み取りに相当する転置が使われ、別部分では異なる処理が必要だったことが説明されている。
特に知られているのが「一定の横stepを伴う斜め読み」に近い構造である。17列の格子上で、行を進めながら列位置をずらして読むと、元の平文順に近い列が復元される。格子端ではwrapするため、見た目上は斜めの経路になる。[1][2]
ここで「斜めに読めば解ける」とだけ覚えると不正確である。どの区画へどの転置を適用するか、転置後の記号列へどのhomophonic keyを適用するか、作成時の異常・エラーをどう扱うかが一体となって初めて長い平文が得られる。
解読チームは、意味のある断片を見つけた後にも、偶然ではないかを確認するため変換規則を精査した。正しい解なら局所的な単語だけでなく、長い文章が継続し、文脈が一貫する。また、暗号内の不自然な箇所が「作成時の転置ミス」として説明可能になる。[1]
このように、最終解法は「キー1個」ではなく、暗号作成手順の逆工程モデルである。だからこそ再現可能性が高い。
8. 解読結果をどう検証したのか
暗号解読の検証では、意味のある英文が得られたことだけでは不足する。まず同じ転置・置換規則を使って暗号文の大部分が説明できる必要がある。次に、他の独立研究者が同じ入力から同じ平文へ到達できる必要がある。
2020年チームは解読結果をFBIへ提出し、FBIは解読の妥当性を確認したことが報じられた。[3] Washington Postなどの報道も、FBIの確認と事件が当時なお継続中であるとの説明を伝えている。[3]
さらに技術面では、Oranchakらが方法を公開し、後に詳細論文として歴史的探索と解法を説明した。[1] これにより、第三者が「同じ規則で本当に復号できるか」を検証できる。これは、方法が非公開で「私だけが読める」と主張するclaimed solutionとの大きな違いである。
解読文の内容も既知の事件通信文脈と整合するが、ここは検証の補助であって主証拠ではない。意味が事件に合うから正しいのではなく、暗号学的変換が一貫し、その結果として文脈にも合うことが重要である。
9. 「解けた」と「犯人が分かった」は別
Z340解読のニュースは世界的に報じられたが、犯人名は現れなかった。[1][3] この点はZ408と同じである。暗号が長年未解決だったため、「そこに身元が隠されている」という期待が膨らんでいたが、暗号文が持つ情報量と、読者が期待する情報は別である。
暗号学が保証するのは、正しい鍵・方式で平文を復元すること。平文が挑発や自己表現だけなら、復号しても捜査上の一意識別情報は増えない。Z340の技術的成功を事件解決と混同すると、暗号研究の成果も捜査の現状も誤解する。
一方、解読が無意味だったわけでもない。長年の偽解読を排除し、「この340文字に容疑者Xの名前が埋め込まれている」といった説の多くを再評価できるようになった。また、書き手がどの程度の暗号構造を実際に使ったかという技術的事実が確定した。
さらに、解読方法が公開されたことで、Zodiac暗号研究全体に「何をsolutionと呼ぶか」という検証基準が強く意識されるようになった。再現可能な鍵、暗号全体への適用、独立検証、一意性という基準である。
10. Z13・Z32が別の難しさを持つ理由
Z340が解けた後も、Z13やZ32と呼ばれる短い暗号には広く受け入れられる一意解がない。[1] ここで「Z340より短いのだから簡単」と考えるのは逆である。
暗号文が短すぎると、統計的な情報量が不足する。13文字しかなければ、複数の鍵・複数の平文が同じ暗号文に適合しうる。特に方式が未知なら自由度が大きく、意味のある名前やフレーズを後付けで作ることが容易になる。[1]
暗号理論では、暗号文長が十分でないと一意な鍵を決定できない問題をunicity distanceの観点で考える。方式や鍵空間によって必要長は変わるが、短文ほど「それらしい解」が多数共存しやすいという直感は重要である。
したがって、Z13に特定容疑者の名前が読めたという主張は、単に文字が一致しただけでは足りない。同じ方式で他の候補名を多数生成できないこと、鍵が独立して正当化できること、別資料が同じ鍵を支持することなどが必要になる。
Z340は長かったから難しかったのではなく、転置を含む方式が未知だったから難しかった。Z13は短いから簡単なのではなく、一意解を証明する情報が少ないため別の意味で難しい。この違いを押さえると、「まだ暗号が残っている＝犯人名が眠っている」という単純な期待から距離を取れる。
11. 探索空間を数で考える
Z340の難しさを直感的に理解するには、全排列を考えるとよい。340文字の読み順を完全に自由に入れ替えるなら候補は340!通りで、総当たりは現実的でない。もちろん実際の解読はそんな無制約探索をしていない。格子構造、一定step、区画分割、既知のhomophonic性といった仮説で候補空間を強く制約した。[1][2]
重要なのは、制約が「正解を含む程度に広く、計算できる程度に狭い」必要があることだ。狭すぎれば正解方式を除外し、広すぎれば計算時間と偽陽性が爆発する。Sam Blake側の候補生成とAZdecrypt側のfitness評価は、この外側探索と内側最適化を分担した。[1][2]
この設計は工学的なparameter sweepに近い。転置パラメータを総当たり的に変え、各候補に同じsolverを適用し、結果スコアを比較する。上位候補だけを人間が読むため、340文字を手作業で試すより探索範囲を桁違いに広げられる。
12. 正解判定を「意味が通る」以上にする
暗号解読で最も危険なのは、結果の文章がもっともらしいから正解だと思うことだ。十分に自由な変換を許せば、人名や意味深な文を後付けで作れる。Z340の正解判定では、少なくとも四つの条件が重要になる。[1]
第一にglobal coverage。暗号の一部ではなく大部分を同じ規則で説明できること。第二にlow exception count。都合の悪い文字だけ別規則へ逃がさないこと。第三にreproducibility。別人が同じ入力と規則から同じ平文を得られること。第四にindependent confirmation。解読者本人以外が妥当性を確認すること。[1][3]
2020年解法はこの条件を満たし、FBIの確認も得た。[3] だから「数ある解読案の一つ」から抜け出した。短いZ13のように一意性が不足する暗号では、この同じ基準を満たすのが難しい。
この判定基準は容疑者説にもそのまま使える。結果が魅力的かではなく、規則が事前に明示され、全データへ適用でき、独立検証に耐えるかを見る。暗号と未解決事件研究は、意外に同じ方法論上の問題を持っている。
13. 2020年解読の強さは「一つの英文」ではなく工程にある
Z340について重要なのは、最終的な英文だけを読むことではない。解読チームが、転置候補の生成、AZdecryptによるhomophonic substitution探索、language fitnessによる評価、人間による候補確認という複数段階を組み合わせ、手順を外部へ説明できる形で残した点にある。[1][2]
もし結果だけが「意味の通る文章」だったなら、51年間に現れた多数の解読案と区別しにくい。強さを与えたのは、暗号文全体に対する規則性、少ない例外、同じ処理から同じ結果へ戻れる再現性、そしてFBIによる確認である。[1][3]
ここでcomputer-assistedであることと、computer-onlyであることも分けたい。探索空間を広く走査しスコア付けするのはコンピュータが得意だが、どのtransposition familyを試すか、出力に規則的な誤りがないか、既知の言語特徴と整合するかを判断するには人間の仮説形成が関与した。[1][2] 「AIが勝手に解いた」といった表現では工程を正しく表せない。
14. 誤りを含む暗号をどう扱うか
手作業で作られた暗号では、作成者の書き間違い、転記ミス、規則適用のずれが起こり得る。solverが完全一致だけを要求すると、数文字の誤りで正しいモデル全体を捨ててしまう。一方、例外を無制限に許すと、誤ったモデルでも意味のある文へ近づけられる。
したがって必要なのは、error budgetを限定することである。大部分が同一規則で説明でき、少数の例外だけが局所的に残るなら、モデルは強い。逆に、文章を成立させるたびに別の読み替えや文字補完が必要なら、自由度が高すぎる。[1]
この考え方は短いZ13・Z32でさらに重要になる。文字数が短いほど、異なる鍵や読み方が偶然もっともらしい語を作る確率が上がり、正解の一意性を証明しにくい。長文Z340で成功した計算手法をそのまま短文へ適用しても、同じ確度の結論にはならない。
つまり2020年の成果が示したのは「すべてのゾディアック暗号が解けるようになった」ことではない。十分なデータ量、適切な仮説空間、再現可能な評価手順が揃った暗号では、長期未解決でも状態を変えられるということである。
結論
Z340が51年間残った最大の技術的理由は、homophonic substitutionにtranspositionが重なり、文字対応と読み順を同時に解かなければならなかったことにある。[1] 2020年の解読は、転置候補の大量生成、AZdecryptによる置換探索、言語fitness評価、人間による構造検証を組み合わせた計算的cryptanalysisだった。[1][2]
成功が評価されたのは、意味のある文章が出たからだけではない。同じ変換規則を暗号全体に適用でき、方法が公開され、FBIも解読を確認したからである。[1][3] 一方、平文は犯人名を明かさず、事件そのものの身元特定は残った。
ここから捜査の中心は再び物理世界へ戻る。暗号をすべて読めても氏名がなければ、人物を識別するには指紋、筆跡、DNA、目撃証言など別種の証拠が必要だ。次の記事では、それらの証拠がどこまで候補を絞り、どこで限界に達したのかを比較する。
FACT CHECK｜出典・参考資料
- David Oranchak; Sam Blake; Jarl Van Eycke — 「The Solution of the Zodiac Killer’s 340-Character Cipher」
- 日付: 2024-03-26
- 種別: TECHNICAL_AUTHOR_PAPER / PRIMARY_TECHNICAL_ACCOUNT
- URL: https://arxiv.org/abs/2403.17350
- Source ID: SRC082-S06
- Sam Blake / Wolfram Research — 「The Solution of the Zodiac Killer’s 340-Character Cipher」
- 日付: 2021-03-24
- 種別: TECHNICAL_AUTHOR_ACCOUNT / PRIMARY_TECHNICAL_ACCOUNT
- URL: https://blog.wolfram.com/2021/03/24/the-solution-of-the-zodiac-killers-340-character-cipher/
- Source ID: SRC082-S07
- The Washington Post — 「The Zodiac Killer sent a cipher 51 years ago. A team of amateur code-breakers just cracked it.」
- 日付: 2020-12-11
- 種別: MAJOR_NEWS / SECONDARY
- URL: https://www.washingtonpost.com/crime-law/2020/12/11/zodiac-killer-340-cypher-solved/
- Source ID: SRC082-S08
- San Francisco Chronicle — 「Zodiac Killer: The history of S.F.’s most infamous serial killer」
- 日付: 2023-10-22
- 種別: MAJOR_NEWS_SYNTHESIS / SECONDARY
- URL: https://www.sfchronicle.com/sf/article/zodiac-killer-18436725.php
- Source ID: SRC082-S05
RCF検証ノート
本記事はZ340解読チーム自身の技術論文を最優先し、Sam BlakeのWolfram技術解説、FBI確認を報じたWashington Post、Chronicleの事件史で補強した。解読方式は「斜め読み」だけへ単純化せず、転置候補生成とhomophonic substitution solverの二重探索として説明した。Z13/Z32については特定の民間解読を採用せず、短文暗号の一意性問題を明示した。Z340の平文は著作権上・編集上の必要もないため長文転載していない。
最終確認：2026年9月20日
END ARTICLE — CASE082-05
NEXT FILE｜次の記事
- NextArticleID: `CASE082-06`
- NextArticleTitle: 指紋・筆跡・DNAは何を示したのか｜物証の強さと限界
- NextFileQuestion: 指紋・筆跡・DNAは犯人特定にどこまで近づいたのか。
- NextFileReason: 暗号解読と身元特定を分離し、人物比較に使われた法科学証拠の識別力を評価するため。
RELATED FILES
- CASE082内の関連記事は、本文の役割が重複しないようArticle Design Matrixに基づいて接続する。