ビットコインの合意形成設計 — プルーフ・オブ・ワーク、難易度調整、フォーク処理

はじめに

本ページは設計文書シリーズの L1 #4 — コンセンサス設計 である。ブロック・チェーン設計ページの直接の後続である。前ページがデータ構造 — ヘッダー、マークルツリー、ハッシュの連鎖 — を記述したのに対し、本ページはどのチェーンが有効でどのチェーン先端が勝つかを決定する規則を記述する。

合意形成は、ビットコインにおいて中央集権的な権威に代わるものである。すべてのフルノードがすべてのブロックを同一の決定論的規則集に対して独立に評価する。信頼に基づいてブロックを受理することはなく、他のノードの判断に委ねることもない。その結果、数千の機械が調整、投票、リーダー選出なしに単一の取引履歴に収束するシステムが実現する。

本ページは 5 つの領域を扱う。ブロック生成を計算上高コストにするプルーフ・オブ・ワークパズル、ブロック頻度を調節する難易度調整、合法なブロックを定義する検証規則、競合するチェーンを解決するフォーク処理ロジック、承認の安全性を定量化するファイナリティモデル。

サトシ時代の実装（v0.1、2009 年 1 月）と現行の Bitcoin Core（v27 以降基準）で挙動が異なる場合は、両方を記す。

1. プルーフ・オブ・ワーク

プルーフ・オブ・ワークはブロック生成を計算上高コストにするメカニズムである。マイナーは 80 バイトのブロックヘッダーの SHA-256d ハッシュがネットワーク全体のターゲット値を下回るようなナンス（およびその他の可変ヘッダーフィールド）を見つけなければならない。SHA-256 は一方向関数であるため、既知の唯一の戦略は総当たり反復である。

マイニングループ

二重 SHA-256 (SHA-256d) 演算は SHA-256 を 2 回連続で適用する: SHA-256(SHA-256(header))。サトシは単一パスの SHA-256 に固有の長さ拡張攻撃を緩和するためにこの構成を選んだ。

プルーフ・オブ・ワークのパラメーター

2. 難易度調整

ビットコインはブロック間の平均間隔を 10 分に目標設定する。ネットワーク全体のハッシュレートは変動するため — 新しいマイナーの参入、旧ハードウェアの退役、エネルギーコストの変化 — プロトコルは 2,016 ブロックごと（約 2 週間ごと）にターゲット値を調整する。

再ターゲットサイクル

調整パラメーター

サトシ時代のバグ

元の難易度調整コードには 2 つの既知の問題があり、修正にはハードフォークが必要なため合意規則として残存している:

• 一つ違い誤差。 再ターゲット計算はブロック N（ウィンドウの最初のブロック）とブロック N+2,015（最後のブロック）のタイムスタンプを使用し、2,016 ではなく 2,015 の間隔を測定する。したがって実際の再ターゲットウィンドウは意図より 1 ブロック短い。10 分の目標では、これは約 0.05% の系統的偏りを生む。

• 時間歪曲脆弱性。 調整アルゴリズムは 2 つのブロック（ウィンドウの最初と最後）のタイムスタンプのみを検査するため、過半数のハッシュレートを持つマイナーは各ウィンドウの最後のブロックのタイムスタンプを操作してチェーンを実際より遅く見せかけ、目標レートより速くブロックを生成しながら徐々に難易度を下げることができる。この攻撃は正直な多数派に対しては理論的だが、持続的に 50% 超を占める攻撃者には実行可能になる。修正（「時間歪曲攻撃緩和」）は Great Consensus Cleanup で提案されているが、まだ有効化されていない。

3. ブロック検証規則

ノードが新規ブロックを受信すると、ローカルチェーン状態に受理する前に決定論的な一連の検査を適用する。すべての検査に合格しなければならず、1 つでも失敗するとブロック全体が拒否される。

検証判定ツリー

検証項目

4. フォーク種別と処理

フォークは 2 つ以上のブロックが同じ親を共有するたびに発生する — チェーンが競合する分岐に分裂する。フォークは 3 つの異なる原因から生じ、それぞれ異なる特性と解決メカニズムを持つ。

フォーク比較

注目すべきフォーク

チェーン選択規則

ノードが競合するチェーン先端に遭遇した場合、最大作業量チェーン — 累積プルーフ・オブ・ワークが最大のチェーン（内部的に nChainWork として追跡）を選択する。これは一般に不正確にも「最長チェーン」と称される。実際には、難易度の高いブロックを持つ短いチェーンが難易度の低いブロックを持つ長いチェーンよりも多くの総作業量を持ちうる。最大作業量規則は、最大の計算エネルギー支出に裏付けられたチェーンが勝利することを保証する。

5. 合意規則の進化

ビットコインの合意規則は静的ではない。すべての参加者の同時的な調整を必要とせずにネットワークが新規則を採用できるよう、慎重に段階的な有効化メカニズムを通じて進化する。

有効化メカニズムの沿革

有効化パラメーターの比較

6. ファイナリティモデル

ビットコインは確率的ファイナリティを提供し、絶対的ファイナリティは提供しない。承認済みトランザクションは後続のブロックごとに覆すのが指数関数的に困難になるが、有限の承認数では数学的に覆しを不可能にすることはない。

承認深度と攻撃成功確率

以下の表はホワイトペーパー第 11 節の分析を再現し、ネットワークハッシュレートの一定割合を持つ攻撃者が、トランザクションが一定の承認深度に達した後に正直なチェーンに追いつき追い越す確率を示す。

6 承認（約 1 時間）の時点で、ネットワークハッシュレートの 10% を制御する攻撃者がトランザクションを覆す確率は 0.02% である。30% の攻撃者に対しては、同じ深度でも覆し確率は依然 6.8% であり、高額トランザクションがより多くの承認を待つ理由である。

ビットコインに絶対的ファイナリティがない理由

Tendermint や HotStuff のようなビザンチン障害耐性 (BFT) 合意システムでは、検証者の過半数（通常 2/3）がブロックに署名すると確定とみなされる。その時点以降、プロトコルの安全性保証に違反しなければブロックを覆すことはできない。

ビットコインの設計は根本的に異なるトレードオフを行う:

ビットコインが確率的ファイナリティを選んだのは、それが開放的で許可不要の参加者集合 — システムを検閲耐性にする決定的特性 — を可能にするためである。閉鎖的メンバーシップの BFT システムは即時ファイナリティを提供できるが、参加者が誰かを知ることが前提となり、ビットコインが排除するように設計された信頼の前提を、再び持ち込むことになる。

7. 二時代比較

8. 本ページの範囲

本ページは合意形成層を独立して扱う。以下のトピックは本ページの範囲外であり、設計文書シリーズ内のそれぞれのドメインページで扱う:

• ブロックデータ構造 — ヘッダー形式、マークルツリー構築、コインベース配置。ブロック・チェーン設計ページで扱う。
• マイニング経済学 — ブロックテンプレート構築、手数料市場の動態、プールプロトコル、発行計画。マイニング報酬枯渇分析が手数料のみのセキュリティ予算への長期的移行を検討する。
• トランザクション検証の詳細 — UTXO 照合、スクリプト評価、署名検証。トランザクション設計ページで扱う。
• ネットワーク層のブロック伝播 — ブロックが P2P ネットワーク上を伝播する仕組み、コンパクトブロック中継 (BIP 152)、エクリプス/シビル耐性。
• セキュリティモデル — 51% 攻撃の経済学、利己的マイニング、完全な脅威モデル。L2 セキュリティモデル深掘りに委ねる。