ビットコインのブロック・チェーン設計 — ヘッダー、マークルツリー、チェーン選択

はじめに

本ページは設計文書シリーズの L1 #3 — ブロック・チェーン設計 である。ブロック・チェーン層を扱う。トランザクションがブロックにバッチされる方法、ブロックがチェーンにリンクされる方法、ノードが権威あるチェーン先端を選択する方法を解説する。

トランザクション設計ページは個々のトランザクション — 入力、出力、スクリプト、署名 — を扱った。本ページはそこから 1 段上がり、それらのトランザクションを永続的かつ全体的に順序付ける構造を扱う。

3 つの問いで素材を整理する:

1. ブロックとは何か? タイムスタンプ付きのコンテナであり、一連のトランザクションを単一のプルーフ・オブ・ワークの封印の下にコミットする。
2. チェーンとは何か? 各ブロックが前のブロックのハッシュを参照するブロックの連鎖であり、追記専用台帳を形成する。
3. どのチェーンが勝つか? 累積プルーフ・オブ・ワークが最大のチェーン — ブロック数が最多のチェーンではない。

サトシ時代の実装（v0.1、2009 年 1 月）と現行の Bitcoin Core（v27 以降基準）で挙動が異なる場合は、両方を記す。

1. ブロック構造

ブロックは 2 つの部分で構成される。ブロックを要約するコンパクトな 80 バイトのヘッダーと、ブロックに含まれるすべてのトランザクションを収めるトランザクションリストである。チェーンレベルの検証にはヘッダーのみが必要で、内容レベルの検証には完全なトランザクションリストが必要となる。

ブロックの構造

ヘッダーフィールドの詳細

ブロックバージョンの進化

2. マークルツリー

ブロックヘッダーのマークルルートは、ブロック内の全トランザクションに対する暗号学的コミットメントである。二分ハッシュツリーとして構築される。リーフノードがトランザクションのハッシュであり、各内部ノードは 2 つの子を連結した SHA-256d ハッシュである。

マークルツリーの構築

奇数ノード規則。 ツリーの各レベルでノード数が奇数の場合、最後のノードが複製されてペアを形成する。これによりツリーは常に完全二分木となる。

マークルツリーの意義

SegWit 証人コミットメント

現行の Bitcoin Core（v27 以降基準）は第 2 のマークルツリーを追加する。証人マークルツリーであり、そのルートはコインベーストランザクションの OP_RETURN 出力 (BIP 141) 内にコミットされる。これは主マークルルートが除外する証人データ（署名、スクリプト）をコミットする。サトシの v0.1 には証人の概念がなく、単一のマークルツリーが署名を含む完全に直列化されたトランザクションをコミットしていた。

3. チェーン構造

ブロックチェーンはブロックの単方向連結リストであり、各ブロックのヘッダーに前のブロックヘッダーの SHA-256d ハッシュが含まれる。このハッシュの連鎖が台帳を追記専用にする。いかなる過去のブロックを変更してもそのハッシュが変わり、次のブロックからのリンクが切れ、チェーン先端までのすべての後続ブロックに波及する。

ブロックの連鎖

ハッシュの連鎖による不変性。 各ヘッダーハッシュは prevBlockHash を含むヘッダー全 80 バイトに対して計算される。ブロック 2 のトランザクションリスト内の 1 バイトを変更すると、ブロック 2 のマークルルートが変わり、ブロック 2 のヘッダーハッシュが変わり、ブロック 3 の prevBlockHash が無効になり、以降同様に連鎖する。過去のブロックを改ざんする攻撃者は、そのブロックとすべての後続ブロックのプルーフ・オブ・ワークをやり直さなければならない — 指数関数的に増大するコスト。

フォークのシナリオ

4. チェーン選択規則

ビットコインのチェーン選択規則は最大作業量チェーン規則である。ノードが認識しているすべての有効なチェーンの中から、累積プルーフ・オブ・ワークが最大のチェーンに従う。これは一般に — 不正確に —「最長チェーン規則」と呼ばれる。チェーンの長さ（ブロック数）とチェーンの作業量は同一ではない。難易度がブロック間で調整される場合、同じ高さの 2 つのチェーンが異なる総作業量を持ちうる。プロトコルは高さではなく作業量で選択する。

チェーン選択の判定プロセス

チェーン選択とフォーク解決の比較

「最大ブロック数」ではなく「最大作業量」である理由。 難易度ターゲットは 2,016 ブロックごとに調整される。攻撃者が低い難易度でブロックを生成した場合（例: 難易度調整が反映される前の少数派フォーク上で）、それらのブロックのブロック当たりのプルーフ・オブ・ワーク寄与は少ない。ブロック数は少ないがブロック当たりの難易度が高いチェーンがより多くの総作業量を持つ可能性があり、プロトコルはそれを正しく選択する。Bitcoin Core はこれを nChainWork（各ブロックの作業量寄与を累積する 256 ビット整数）として追跡する。

5. ブロックサイズと重量

サトシの v0.1 には明示的なブロックサイズ上限がなかった。2010 年に 1 MB の最大ブロックサイズが追加された（当初はスパム対策として）。SegWit (BIP 141、2017 年 8 月有効化) はバイトサイズの上限を証人データにディスカウントを適用する重量システムに置き換え、後方互換性を保ちつつ最大ブロック容量を実質的に引き上げた。

従来のサイズと SegWit 重量の比較

サトシ時代と v27 以降基準の比較。

6. コインベーストランザクション

各ブロックの最初のトランザクションはコインベーストランザクションであり、新しいビットコインを作成する唯一のトランザクション型である。以前の UTXO を参照する入力を持たず、代わりにヌルの前トランザクションハッシュと任意のデータフィールドを持つ単一の入力がある。

構造:

• 入力: ヌル prevout（32 バイトのゼロ + インデックス 0xFFFFFFFF）、加えて coinbase データフィールド（2〜100 バイト）。マイナーはここに任意のデータを書き込める。BIP 34 以降、先頭バイトにブロック高を符号化することが必須。
• 出力: ブロック報酬（新規発行分 + 手数料）をマイナーの選択したアドレスに分配する 1 つ以上の出力。

ブロック報酬スケジュール:

新規発行分は 210,000 ブロックごと（約 4 年ごと）に半減し、漸近的にゼロに近づく。総供給量は 20,999,999.9769 BTC（一般に 2,100 万枚に丸められる）を上限とする。

コインベース成熟。 コインベース出力はその上に 100 ブロックが採掘されるまで支払いに使用できない。この規則はチェーン再編成によりコインベースが無効化され、下流のトランザクションが有効な入力を失う事態から保護する。

注目すべきコインベースデータ。 サトシはジェネシスブロックのコインベースにテキスト The Times 03/Jan/2009 Chancellor on brink of second bailout for banks を埋め込んだ — タイムズ紙の見出しへの参照であり、タイムスタンプの証明と、ビットコインが迂回するように設計された金融システムに対する声明、その両方として機能する。

7. 二時代比較

8. 本ページの範囲

本ページはブロック・チェーン層を独立して扱う。以下のトピックは本ページの範囲外であり、設計文書シリーズ内のそれぞれのドメインページで扱う:

• トランザクション構造と UTXO モデル — 各ブロック内のトランザクションがどのように構築、検証、連鎖されるか。トランザクション設計ページで扱う。
• マイニングとプルーフ・オブ・ワーク — 有効なブロックを生成するハッシュパズル、難易度調整アルゴリズム、ブロックテンプレート構築。
• チェーン選択を超えた合意規則 — ソフトフォーク有効化メカニズム (BIP 9、BIP 8)、合意形成とポリシーの境界、ブロック有効性規則の全体。
• ネットワーク層のブロック中継 — inv、getdata、headers、block、cmpctblock メッセージが P2P ネットワーク上でブロックを伝播させる仕組み。
• ストレージとチェーン状態 — 検証済みブロックのディスクへの永続化方法（ブロックファイル、取消データ）と UTXO 集合の LevelDB での管理方法。
• SPV クライアントの実装 — 軽量ウォレットによるマークル証明の実用的な使用（本ページはマークルツリー構造を記述する。SPV プロトコル自体はネットワーク層のトピック）。