はじめに
1969年7月31日に3紙へ分割して送られた408文字の暗号は、現在「Z408」と呼ばれている。円、三角、十字、アルファベットを変形したような多数の記号が並び、一見すると通常の換字暗号より複雑に見える。しかし、公開からほどなくして、California州SalinasのDonald HardenとBettye Harden夫妻が実用的な解読へ到達した。[1][2][3]
重要なのは、夫妻が「犯人の秘密を知っていた」わけでも、大規模な計算機を使ったわけでもないことだ。Z408には、英語の文字頻度を隠すため一つの平文文字に複数の暗号記号を割り当てる同音置換（homophonic substitution）が使われていたが、言語パターンを完全には消せていなかった。[3] 夫妻は、犯人が書きそうな語句を仮定し、反復する記号列と照合し、少しずつ対応表を広げた。
本記事では、暗号文そのものを再掲して神秘性を強調するのではなく、「単純置換と何が違うのか」「なぜ人間のパターン認識で突破できたのか」「解読できてもなぜ犯人名が分からなかったのか」を、再現可能な暗号学の考え方として整理する。
CASE BRIEFING
- Z408は3つに分割され、1969年7月31日に3紙へ送られた[1]
- Donald HardenとBettye Hardenが短期間で主要部分を解読した[1][2]
- 構造の中心はhomophonic substitutionで、一つの平文文字へ複数記号を割り当てる[3]
- FBI資料にもHarden解読を検討した記録が残る[4]
- 解読文は犯人の身元を明らかにしなかった[2]
- 末尾18記号は、主要平文とは別に確定した一意解が得られていない[3]
THE QUESTION
Z408はなぜ多数の記号を使っていたのに、比較的短期間で解けたのか。
答えは、記号数を増やして頻度分析を難しくしても、平文の言語構造と暗号作成時の規則性までは消えなかったからである。暗号の難しさは「記号が珍しいか」ではなく、鍵空間、変換規則、平文の冗長性、運用上のミスがどう組み合わさるかで決まる。
CASE PATH
Article03では暗号を通信戦術の一部として見た。Article04はZ408だけを対象に、同音置換とHarden夫妻の解読原理を扱う。次のArticle05では、同じ事件の暗号でもZ340がなぜ51年間残ったのかを、転置層と計算探索の観点から比較する。
目次
- 単純換字暗号ならどう解くか
- 同音置換が頻度分析を崩す仕組み
- Z408の記号体系に残った弱点
- Harden夫妻の仮説形成
- cribと反復パターン
- 対応表を広げる工程
- 作成者のミスと暗号強度
- 解読文が身元を明かさなかった理由
- 末尾18記号を「解けたこと」にしない
- Z408からZ340へ
1. 単純換字暗号ならどう解くか
古典的な単一換字暗号では、たとえば平文AをQ、BをM、CをXというように、一つの文字を常に一つの別記号へ置き換える。この方式では、鍵を知らない読者にも統計的な痕跡が残る。英語ならE、T、A、Oなどは頻出し、TH、HE、INGのような連接も偏る。長い暗号文ほど、記号頻度と反復パターンから候補を狭めやすい。
Z408の作成者は、この弱点をある程度理解していたと考えられる。一つの英字に一つの記号だけを対応させず、頻出文字へ複数の暗号記号を与えることで頻度を分散させた。[3] たとえば平文のEが非常に多くても、Eを表す暗号記号を数種類に振り分ければ、暗号文側では単一記号が突出しにくくなる。
ただし、これは「頻度を完全に消す」仕組みではない。どの記号群が同じ平文文字を表すかという隠れた関係があり、暗号作成者が規則的に記号を選べば別の周期性が生まれる。さらに、単語の長さ、同じ文字の連続、反復句、文法は残る。平文が自然言語である限り、冗長性をゼロにするのは難しい。
つまりZ408の第一の教訓は、暗号記号の種類が多いことと、暗号学的に強いことは同義ではないという点だ。見た目の複雑さと解析耐性を分けて考える必要がある。
2. 同音置換が頻度分析を崩す仕組み
homophonic substitutionでは、同じ平文文字に複数の暗号記号を割り当てる。名称の「homophonic」は、異なる表記が同じ音・値へ収束するイメージに近い。暗号学的には、平文の高頻度文字を複数記号へ分散することで、単純な頻度順位を平坦化する方法である。[3]
例として、平文Eに○、△、□、＋の4記号を割り当て、出現するたび順番あるいは一定規則で使うとする。Eが全平文の12%を占めても、各記号の頻度は3%前後に分かれる。攻撃者が「一番多い記号はEだ」と置く単純戦略は効きにくくなる。
しかし、記号選択に周期があると別の手掛かりが現れる。○→△→□→＋→○のような循環が一定していれば、暗号文中の位置関係を追うことで「これら4記号は同じ平文文字の候補ではないか」と推定できる。Z408の技術資料では、複数の平文文字に対するhomophone cyclesが観察されており、一部は終盤で崩れるものの、規則性が残ったと分析されている。[3]
さらに、すべての文字へ同じ数のhomophoneを割り当てるわけではない。頻出文字には複数、低頻度文字には少数という設計なら、暗号記号の出現構造に平文頻度の影が残る。暗号が人手で作られている場合、完全なランダム選択を長文で維持することも難しい。
したがって同音置換は、単純換字より解析を難しくするが、適切に設計・運用しなければ「複雑そうな置換」に留まる。Z408はまさに、人間が作る古典暗号の強さと弱さが同時に見える例である。
3. Z408の記号体系に残った弱点
Z408には多種類の記号が使われた。[3] それでも解けた理由を一つに縮めることはできない。複数の弱点が重なった。
第一に、暗号文が408文字と比較的長い。統計的な解析はサンプルが長いほど有利になる。短い13文字暗号のような場合、同じ平文候補を満たす鍵が多数存在し、一意性を示しにくい。408文字あれば、仮説を全体へ展開したとき、正しい鍵は多くの位置で自然な英語を作り、誤った鍵は途中で破綻しやすい。
第二に、英語らしい反復が残る。特に同一文字が続く単語や、頻出する語形は有力な手掛かりになる。[3] Harden夫妻は、犯人が殺人について書いているという文脈から平文候補を立て、その候補が記号反復と整合するかを試したとされる。[1][3]
第三に、homophoneの選び方に規則性がある。完全なランダム化ではなく、一定の循環が多く観察される。[3] これは作成側には便利だが、解析側にも情報を与える。
第四に、作成者自身の転記・運用ミスがある。記号を取り違えたり、一つの暗号記号に本来とは異なる対応を混ぜたりした箇所が技術資料で指摘されている。[3] ミスは解析を一時的に難しくするが、全体鍵が見えた後には「ここだけ規則から外れる」と局所化できる。暗号全体を安全にする種類の複雑さとは違う。
4. Harden夫妻の仮説形成
FBI資料に収録された1969年8月の記録は、Donald G. Hardenが暗号を解いたとの新聞記事がFBI Laboratoryへ送られたことを示す。[4] Chronicleの後年資料もDonaldとBettye Harden夫妻による解読を記録している。[1]
夫妻の方法でよく語られるポイントは、暗号文を意味のない記号列として見るのではなく、「この書き手は何を書きそうか」という仮説を置いたことだ。犯罪通信という文脈から、殺人や自己言及に関係する語句を予想する。これは暗号解読でいうcrib、つまり平文の一部に対する推測として機能する。
ここで重要なのは、cribが当たれば終わりではない点だ。正しい仮説なら、対応する記号→平文文字のマッピングを別の位置にも適用したとき、次の単語が自然に現れる。誤った仮説なら、数文字先で矛盾する。長文暗号ではこの検証を大量に行える。
たとえば、ある反復記号パターンを「KILL」のように同一文字を含む単語候補へ当てると、2つのL位置に現れる暗号記号がどう関係するかを観察できる。同音置換ではLが必ず同じ記号ではないため単純一致はしないが、複数記号が同じLへ収束するという仮説を作れる。[3]
夫妻の成功は「犯人心理を読んだ超能力」ではなく、文脈仮説を暗号文全体で検証し、対応表を反復的に拡張した点にある。これは現代のconstraint solvingにも通じる考え方である。
5. cribと反復パターン
暗号解析でcribを使うときの最大のリスクは、読みたい言葉を無理に当てはめることだ。短い暗号では特に、候補語を置けば何らかの鍵を作れてしまう。しかしZ408では長さが検証力を与えた。
正しい候補語を仮定すると、そこから得た対応が別の数十・数百位置でも英語の単語を生む。さらに文法、語順、意味が連続して整合する必要がある。局所的に4〜5文字が読めるだけでは不十分で、全体に同じ鍵体系を適用して長い自然言語が復元されることが重要だ。
homophonic substitutionでは「暗号記号Aは平文E」のような一対一だけでなく、「A、B、CはいずれもE」のような多対一関係を構築する。復号側から見ると、複数記号を一つの文字へまとめるクラスタリングに近い。正しいクラスタが見つかると、見かけ上ばらばらだった記号列が急に同じ単語パターンへ収束する。
Z408では一部のhomophoneが循環的に使用されていたため、このクラスタ推定を補助する情報があった。[3] ただし、すべてが厳密な周期ではない。終盤ではパターンが崩れ、転記ミスもある。したがって「一定周期を見つければ機械的に全部解ける」という単純なアルゴリズムではない。
この意味で、Harden夫妻の作業は、手計算による探索と人間の言語モデルを組み合わせたものと考えられる。現代ならコンピューターがスコアリングする「この復号結果は英語らしいか」を、人間の読解能力で評価していた。
6. 対応表を広げる工程
一度いくつかの語が読めると、既知の平文文字を周辺へ伝播できる。たとえば単語の一部が `_H_` と読めれば、文脈からTHE、THIS、WHENなど候補が生まれる。候補を置くと新しい暗号記号の意味が増え、別の箇所が読める。これを繰り返す。
技術的には、暗号文位置をC_i、平文位置をP_iとし、鍵Kが `K(C_i)=P_i` を満たすと考える。単純置換ならKはほぼ一対一だが、homophonic substitutionでは複数のCが同じPへ写る。復号作業は、矛盾なく自然言語を作るKを探す制約充足問題になる。
ここで「同じ暗号記号が二つの異なる平文文字になる」箇所が現れると、通常は仮説ミスか転記ミスを疑う。Z408には作成者側の例外や転記誤りと考えられる箇所があるため、完全な一貫性を要求すると逆に解けない。[3] 暗号解析では、ノイズを許容しつつ全体適合度を見る必要がある。
対応表が十分に埋まると、残る未知記号も周辺文脈からほぼ決まる。最終的に長い平文が得られ、その内容が送信者の既知の通信スタイルや事件文脈と整合したため、解読は警察・FBI側でも有効なものとして扱われた。[4]
この工程は、後のZ340解読にも共通する。「一つの華麗な鍵」を当てたのではなく、仮説を作り、復号品質を評価し、矛盾を局所化し、別候補と比較する反復プロセスである。
7. 作成者のミスと暗号強度
暗号文にミスがあると「だから解けなかった」と考えがちだが、ミスの効果は二方向に働く。規則から外れる文字は解析を妨害する一方、作成手順そのものを推測する手掛かりにもなる。
Z408では、Harden解読と後の詳細分析を比較すると、暗号作成者が類似記号を混同した可能性や、通常の対応から外れる位置が確認されている。[3] 手作業で408文字を変換し、三分割して清書するなら、転記エラーが入ること自体は不自然ではない。
安全な暗号設計の観点では、「解読者を困らせるため意図的に誤りを入れた」と推測する必要はない。エラーが意図的か偶発的かを区別できない場合、結果として観測される不整合だけを記録すればよい。
また、頻出文字のhomophoneを循環的に選ぶ運用は、鍵を覚えやすくする代わりに規則性を漏らす。暗号方式が理論上持つ安全性と、実際の使い方による安全性は別である。これは現代暗号でも同じで、強いアルゴリズムでもnonce再利用や弱い鍵生成で安全性を失う。
Z408は古典暗号なので現代暗号と直接比較すべきではないが、「方式」「鍵」「運用」を分離して考える教材としては非常に分かりやすい。
8. 解読文が身元を明かさなかった理由
暗号が解けたニュースは大きな進展だったが、FBIの歴史資料が示すように、解読後も犯人の身元は不明のままだった。[2] 平文には殺人に関する自己表現が含まれるものの、実名、住所、勤務先のように一意の人物へ結び付く識別子はなかった。
この点は「暗号を解けば事件が解決する」という期待を修正する。暗号学は、隠されたメッセージを復元する技術であって、元のメッセージに存在しない情報を生成する技術ではない。復号が100%正しくても、平文に身元が書かれていなければ犯人名は得られない。
さらに、暗号文の作者が殺人実行者だと強く考えられても、暗号の文体だけから一人の人物へ絞るのは難しい。語彙、スペル、思想的表現は候補比較の補助情報にはなるが、一意識別子ではない。
このためZ408の成果は、「犯人を特定した」ではなく、「通信者が隠した長文の主要内容と暗号方式を明らかにした」と評価するのが正確である。その成果は大きいが、捜査のゴールとは別である。
9. 末尾18記号を「解けたこと」にしない
Z408の主要部分は広く受け入れられた平文へ復号されているが、末尾18記号には問題が残る。[3] 様々な解釈が提案されてきたものの、同じ確度で確立した一意解として扱うことはできない。
短い暗号列では、候補平文と鍵の組み合わせが多数存在しうる。特に、方式そのものが不明、スペルミスやnull symbolの可能性がある、作成者が別規則へ切り替えたかもしれない、といった自由度があると、後付け解釈が非常に容易になる。
たとえば18文字の中から人名らしい列を作る解釈が出ても、その鍵を独立資料で検証できなければ「可能な読み方」の一つに留まる。候補が多い空間で一つの意味ある語句を見つけることは、統計的には驚くほど難しくない。
したがって本CASEでは、Z408を「主要平文は解読済み、末尾18記号は確立した一意解なし」と記録する。未解決部分を利用して特定容疑者の名前を逆算する説は、別の独立証拠がなければ採用しない。
10. Z408からZ340へ
Z408が短期間で解けた後、1969年11月に送られた340文字暗号、いわゆるZ340は同じようには崩れなかった。[1] ここで作成者が「Z408の弱点を修正した」と意図まで断定することはできないが、暗号構造としては明確な違いがあった。
Z340も同音置換を含むが、平文の文字順をそのまま記号へ置き換えただけではない。2020年の解読によって、転置、つまり文字位置の並べ替えが組み合わされていることが示された。これにより、Z408で有効だった「隣接する記号から英語単語を推測する」方法が直接は使えなくなる。
暗号解析の難しさは、未知パラメータの数が増えるほど急激に上がる。置換鍵だけなら「どの記号がどの文字か」を探せばよい。転置が加わると、「どの位置をどの順で読むか」も同時に探す必要がある。誤った転置では、正しい置換があっても言語パターンが現れない。
Z408とZ340を比較すると、前者の解読は後者への単純な鍵流用ではなかったことが分かる。次の記事では、2020年の解読チームがどのように探索空間を絞り、コンピューターと専用ソフトを使って転置＋同音置換の二層を崩したかを追う。
11. 手計算で理解する最小モデル
Z408の原理を理解するには、実際の記号を全部使わなくてもよい。平文 `MEETME` を考え、Mには△と□、Eには○・＋・◇、Tには×を割り当てる。暗号化側がhomophoneを順番に選ぶと、同じEでも毎回別記号になり、表面上の頻度は散る。
しかし平文には `ME` が繰り返されるため、暗号側にも「M系記号の後にE系記号が来る」という関係が複数回現れる。長文ならこうした局所関係が大量に残る。さらに`LL`のような重複文字では、異なる二記号が同じ平文文字へ対応する可能性を推定できる。[3]
解読側は、候補語を置いて得た対応表を別位置へ適用し、自然な英語が増えるかを確認する。正しい仮説なら制約が連鎖して未知記号が減り、誤った仮説なら矛盾が増える。これはSudokuの候補消去に近い。ただし暗号側の転記ミスがあるため、完全一致だけでなく少数の例外を許容する必要がある。[3]
このミニモデルから、Harden夫妻の解読を「頻度分析だけ」「単語を勘で当てただけ」のどちらにも単純化できないことが分かる。文脈仮説、反復、homophone group、全体整合性を往復して鍵を成長させる作業だった。
12. 現代暗号と比較すると何が違うか
Z408は歴史的に興味深いが、AESのような現代暗号と「どちらが難しいか」を同じ尺度で比較するのは適切ではない。現代暗号は鍵を知らない攻撃者がアルゴリズムを知っている前提で、巨大な鍵空間と数学的構造に安全性を置く。一方Z408は、方式自体を隠すこと、自然言語の変換、手作業の記号運用が中心である。
古典暗号では、平文の統計が暗号文へ漏れやすい。homophonic substitutionはその漏洩を減らすが、完全には消さない。[3] さらに手作業では真の乱数を使った記号選択が難しく、周期やミスが追加情報を漏らす。
この違いを理解すると、「51年解けなかったZ340は軍事級暗号だった」といった表現も避けられる。解読期間は暗号強度だけでなく、方式が未知だったこと、専用solverや計算資源、正しい探索仮説がいつ揃ったかに左右される。
Z408は、見た目の複雑さより情報漏洩を見るという暗号解析の基本を示す。Z340は次の記事で、その漏洩を転置によってさらに隠すと探索問題がどう変わるかを示す。
13. Z408解読を「再現可能」と呼べる条件
暗号解読では、結果の英文が自然だから正しいのではない。正解と呼ぶには、同じciphertextから同じ規則を使って、別の人もほぼ同じplaintextへ到達できることが重要である。Z408はこの再現性を比較的説明しやすい暗号である。[1][3]
第一に、記号と平文文字の対応表を明示できる。homophonic substitutionなので一つの平文文字に複数記号が対応するが、対応自体は表として保存できる。第二に、その表を一部だけでなく408文字全体へ適用できる。特定の単語を出すために位置ごとに別ルールを作る必要がない。[3]
第三に、例外が局所化されている。作成・転記上の誤りと考えられる箇所や末尾18記号の未確定部分は残るが、それを理由に本文全体の規則を毎回変更する必要はない。[2][3] 正しいモデルは、多数の文字を少数の規則で説明し、説明できない部分を明示的に残す。
この考え方は、後年ネット上に現れる「別解」との比較にも使える。別解が成立するために大量のアナグラム、位置ごとの例外、読み順変更、任意の文字補完を必要とするなら、自由度が高すぎる。自由度が高いモデルはどんな結論にも近づけられるため、予測力・検証力が弱い。
14. 解読と作者同定を別問題として扱う
Z408が比較的早期に解けたことは、事件捜査上の大きな情報獲得だった。しかし解読成功と作者同定は同じ問題ではない。暗号解析が与えるのは、主に通信内容と作成方式の特徴であり、実名識別子が平文に入っていなければ人物同定までは進まない。[1][2]
さらに、暗号の作り方から職業や教育歴を推測する場合も、識別力に限界がある。homophonic substitutionを作れる人は一人ではなく、一般向け暗号書やパズル文化から学ぶこともできる。難しい暗号を作れることは、特定の軍歴・職種・学校歴を一意に示さない。
したがって暗号記事の役割は、「犯人像を当てる」ことではなく、何が技術的に分かり、何が分からなかったかを切り分けることにある。Z408は方式と平文の多くを明らかにしたが、identity fieldは空欄のままだった。この構造が、次のZ340でも繰り返される。
結論
Z408は、多数の記号を使う同音置換暗号だったが、408文字という長さ、自然言語の冗長性、反復パターン、homophone選択の規則性、作成・転記上の例外が解析側へ情報を残した。[3] Harden夫妻は文脈から平文候補を立て、得られた対応を全体へ展開して検証することで主要平文へ到達した。[1][4]
解読成功は重要だったが、平文に実名がなかったため身元特定には至らなかった。[2] また末尾18記号を含む未確定部分を、後世の容疑者名に合わせて「解読済み」と扱うべきではない。[3]
Z408の教訓は、暗号の見た目ではなく構造を見ることだ。次のZ340では、その構造がさらに一段複雑になる。同音置換の上に転置が重なり、正しい読み順そのものを探す必要が生じた。それが、51年という解読期間の主要な技術的背景になる。
FACT CHECK｜出典・参考資料
- San Francisco Chronicle — 「Zodiac Killer: The history of S.F.’s most infamous serial killer」
- 日付: 2023-10-22
- 種別: MAJOR_NEWS_SYNTHESIS / SECONDARY
- URL: https://www.sfchronicle.com/sf/article/zodiac-killer-18436725.php
- Source ID: SRC082-S05
- Federal Bureau of Investigation — 「The Zodiac Killer」
- 日付: 2007-03-02
- 種別: OFFICIAL_GOVERNMENT_HISTORY / SECONDARY_OFFICIAL
- URL: https://archives.fbi.gov/archives/news/stories/2007/march/zodiac_030207
- Source ID: SRC082-S02
- David Oranchak / Zodiac Killer Ciphers — 「Solved 408-character cipher / Harden key materials」
- 日付: NOT_CAPTURED
- 種別: TECHNICAL_SPECIALIST_ARCHIVE / SECONDARY_TECHNICAL_WITH_PRIMARY_REPRODUCTIONS
- URL: https://zodiackillerciphers.com/wiki/index.php?title=Solved_408-character_cipher
- Source ID: SRC082-S15
- Federal Bureau of Investigation — 「The Zodiac Killer — FBI Vault」
- 日付: NOT_CAPTURED
- 種別: OFFICIAL_PRIMARY_ARCHIVE / PRIMARY_ARCHIVE
- URL: https://vault.fbi.gov/The%20Zodiac%20Killer
- Source ID: SRC082-S01
RCF検証ノート
本記事はChronicleとFBIの事件資料でZ408の送付・Harden解読・身元非開示を確認し、暗号構造の説明にはDavid Oranchakが維持するZodiac Killer CiphersのHarden key／homophone分析を技術補助資料として使用した。暗号の具体的平文を長く転載せず、方式と解読原理を中心にした。末尾18記号は「未解読」と単純断定せず、確立した一意解がない状態として扱った。作成者の意図や暗号専門教育歴は推測していない。
最終確認：2026年9月20日
END ARTICLE — CASE082-04
NEXT FILE｜次の記事
- NextArticleID: `CASE082-05`
- NextArticleTitle: Z340はなぜ51年間解けなかったのか｜2020年解読のアルゴリズム
- NextFileQuestion: Z340がZ408より長く未解読だった理由と、2020年の突破口は何だったのか。
- NextFileReason: Z408との構造差を、転置・探索空間・計算支援の観点から連続して理解するため。
RELATED FILES
- CASE082内の関連記事は、本文の役割が重複しないようArticle Design Matrixに基づいて接続する。