OpenID Connectのstateとnonceについて

Question

OpenID Connectには、nonceとstateがありますが、nonceがあればstateは不要なように思えます。
stateはcsrf対策、nonceはリプレイアタック対策用途である旨の記載がopenid-connect-core-1_0に記載ありますが、nonceがあればcsrf対策もできるのではないでしょうか？

以下記事を読むと、stateの仕組みが先にあり、あとからnonceの仕組みを追加したように読み取れます。何か過去の事情等が背景にあるのでしょうか？

　http://oauth.jp/blog/2016/07/27/https-full-url-leaks/