Reflections on Perfect Randomness
サイコロは物理で決まる。疑似乱数は種で決まる。では何にも決まっていないものはあるのか。 量子コンピュータ、放射性崩壊、CPUの熱、疑似乱数——「ランダム」と呼ばれる10種類を、 同じ4本の物差しで採点して並べました。1位は、装置を作った本人にも次の値が分からないことを 定理で保証できる唯一の方式です。
順位をつける前に、言葉を分けておきます。「完全な乱数」と言うとき、人は次のどれかを指しています。
ラプラスは1814年に、宇宙の全粒子の位置と速度を知る知性は未来を完全に予言できると書きました。 その世界では 3 は存在せず、あらゆる「ランダム」は 1 か 2、つまり知らないだけです。 ベルが1964年に示したのは、量子力学の予測が正しい限り、その知性は存在できないということでした。 測定の結果を隠れた変数で先に決めておく理論は、実験と食い違う。だからランキングの背骨はここにあります。 「知らないだけ」と「決まっていない」を分けられるか。
各方式を 0〜5 で採点します。合計ではなく、上の軸ほど重い辞書式の順序で並べました。
tier · 定理で保証 · NIST Randomness Beacon ほか
装置を作った相手が敵でも、出力が予測不能だったことをベルの不等式の破れから証明できる。現時点で唯一、「決まっていなかった」を第三者に示せる方式。
仕組み離れた2か所でもつれた粒子を測り、測定の向きをその場で選ぶ。結果の相関がベルの不等式を破れば、その結果は測る前に決まっていなかったことが定理として従う。装置の中身を知らなくてよいので「装置非依存（device-independent）」と呼ぶ。2010年にイオンで42ビット、2018年にNISTが抜け穴なしの実験で1024ビットを証明した。
弱点遅い（2018年の実験は約10分で1024ビット）。「測定の向きの選択が自由だった」という前提がいる——つまり乱数を証明するのに、少量の乱数がいる。得られるのは無からの生成ではなく「乱数の拡張」。超光速の信号がないことも前提。
使いどころ公開の抽選や規格の乱数ビーコン。個人が日常で使うものではない。
tier · 証明つき（計算量の仮定） · Quantinuum H2 / 2025
量子コンピュータに古典では真似できない問題を解かせ、その出力を古典スパコンで検算する。予測不能を証明する方式の2番手。ただし証明は「古典コンピュータには解けない」という仮定に乗っている。
仕組み検証者がランダムな量子回路を送り、量子コンピュータは数秒以内に答えを返す。古典コンピュータではその時間内に「本物らしい」答えを作れないので、返ってきた答えには本物の量子測定が含まれている——これを Aaronson らが理論化し、2025年に56量子ビットのイオントラップ機で7万ビット余りを証明した。検算には1.1エクサFLOPS分の古典計算を使った。
弱点検算にスパコンがいる。証明の土台は物理法則ではなく「古典には無理」という計算量の仮定。回路を送る側にも乱数がいる点は1位と同じ。
tier · 量子、ただし装置を信じる · HotBits ほか
ひとつの原子核がいつ崩壊するかは、量子力学のなかでもっとも古くから知られた「決まっていない」出来事。ただし、出力を受け取った側は線源も検出器も確かめられない。
仕組みα崩壊は核の中の粒子がトンネル効果で壁を抜ける現象、β崩壊は弱い相互作用による変換。どちらも「次の1個がいつ」は確率しか言えない。ガイガー計数管で崩壊の時刻を測り、連続する2つの間隔を比べて長ければ1・短ければ0、という形で1ビットずつ取り出す（HotBits の方式）。
ウラン238半減期44.7億年。地球の年齢と同じだけ待ってやっと半分が崩壊する原子が、ある瞬間に、誰にも分からない理由で壊れる。1グラムあたり毎秒約12,000回。α線は紙1枚で止まるので、検出器は線源に密着させる。
カリウム40半減期12.5億年。天然カリウムの0.012%がこれで、人の体には約4,000ベクレル、バナナ1本に約15ベクレル入っている。89%がβ線を出してカルシウム40に、11%が電子捕獲でアルゴン40になり、後者は1.46 MeV のγ線を出す。γ線は体を抜けるので、理屈の上では自分の体を乱数源にできる。ただし計数率が低い。
アメリシウム241愛好家が実際に使うのは、煙感知器（電離式）に入っているこれ。半減期432年、1個あたり約37キロベクレル。放射線量は微量だが、乱数源としては十分な計数率がある。
弱点崩壊そのものは誰にも操作できないが、線源を疑似乱数に差し替えても受け取る側には分からない。検出器の不感時間（デッドタイム）が短い間隔を落とし、偏りを生む。計数率が低いので毎秒数十〜数百ビット程度。
tier · 量子、ただし装置を信じる · ID Quantique Quantis / ANU QRNG
光子1個が半透鏡でどちらに行くか、あるいは何もない空間（真空）の電場のゆらぎを測る。量子であることは放射性崩壊と同じ格だが、古典的なノイズが混ざるぶんだけ下。速さでは圧勝。
仕組み①光子を1個ずつ半透鏡に当て、透過か反射かで 0/1（Quantis、毎秒数Mビット）。②レーザーと真空をホモダイン検出器で干渉させ、真空の量子ゆらぎを電圧として読む（ANU、毎秒数Gビット）。②は市販の乱数サービスで最も多く使われている。
弱点①は検出器の残響（アフターパルス）が前後のビットを相関させる。②は電子回路の熱雑音が量子ゆらぎに重なるので、「どこまでが量子か」を測って、その分だけを抽出器で取り出す必要がある。装置を信じる点は3位と同じ。
tier · 量子、ただし装置と運営を信じる · IBM Quantum ほか
量子ビットを重ね合わせにして測る。出来事の格は上の2つと同じ量子測定だが、読み出し誤差が数%あり、クラウドの向こうで本当に実機が動いたかを確かめる手段がない。
仕組み|0⟩ にアダマールゲートをかけて (|0⟩+|1⟩)/√2 にし、測る。理想なら 0 と 1 が正確に半々。これを数千回繰り返してビット列を得る。
弱点現在の機械は読み出し誤差が 1〜数%あり、日によって偏りが変わるので、そのまま使わず抽出器（ハッシュ）を通す。何よりAPIの向こう側が疑似乱数でも、受け取る側には区別がつかない。2位の方式はまさにこの問題を解くために作られた。
正直な注記このサイトの量子ルーレットや量子抽選もこの方式です。そこで公開している「封印」は、運営が結果を見てから選ぶことを防ぐ仕掛けであって、源が本物の量子だったことの証明ではありません。源への信頼はIBMに預けています。
tier · 物理、ただし古典 · Intel DRNG / AMD / ARM TRNG
回路の中の熱で揺れる電子を、どちらに倒れるか分からない不安定な回路で読む。実用上は誰にも読めないが、物理としては「知らないだけ」の側にあり、しかも作ったメーカーを信じるしかない。
仕組みIntel の DRNG は、2つの安定点をもつ回路をわざと中間状態に置き、熱雑音でどちらに倒れるかを読む。毎秒約3Gビットの生ビットを AES で調整して出す。熱雑音（ジョンソン・ナイキスト雑音）は電子の熱運動で、古典物理では決定論的なカオスとして記述される——底の底では量子だが、モデルとしては「速すぎて追えない」に近い。
弱点チップの中身は見えない。2013年、NSA の介入報道を受けて Linux は RDRAND を唯一の源にせず他の源と混ぜる方針をとった。2019年には AMD の一部CPUで RDRAND が常に同じ値を返す不具合が見つかり、起動に失敗するシステムが出た。「ハードウェア乱数」と「信じられる乱数」は別物。
tier · 物理、ただし薄い · OS のエントロピープール
温度センサーの下位ビット、キー入力やディスク割り込みの時刻の端数。ゆらぎはあるが1回あたりの情報が少なく、負荷や環境で偏る。単独の乱数源ではなく「種」の材料。
仕組みLinux の /dev/random は、割り込みが来た時刻のナノ秒の端数などを集めてプールに混ぜ、その全体をハッシュして出す。温度センサーも同じ扱いで、値そのものではなく最下位ビットの揺れだけを拾う。
弱点温度は秒単位でしか変わらず、同じ機械にアクセスできる相手には推定できる。起動直後の組み込み機器で「まだプールが溜まっていない」まま鍵を作り、同じ鍵が世界中で見つかった事例（2012年の RSA 鍵の大規模調査）はこの弱さの帰結。
tier · 決定論、ただし計算では読めない
種から完全に決まっている。しかし種を知らない相手が次を当てるには、暗号を破るのと同じ計算がいる。日常で「乱数」と呼ばれるものの実務上の本命。
仕組み6位・7位で集めた種を、暗号（ストリーム暗号やハッシュ）で引き延ばす。種が256ビットあれば、出力をいくら眺めても種は逆算できない——ChaCha20 が破られない限り。
弱点種が漏れれば、あるいは種が偏っていれば、すべて読める。「内部を知る相手」は定義上、種も知っているので満点にはならない。それでもパスワード・暗号鍵・セッションIDにはこれで足りるし、量子乱数に替えても安全性は上がらない（弱点は源ではなく、鍵の保管にある）。
tier · 決定論、読める
統計検定には通る。しかし出力を数百個見れば内部状態が丸ごと復元できて、以後の値を全部当てられる。シミュレーションとゲームのためのもの。
仕組みメルセンヌ・ツイスタ（MT19937）は 624 個の32ビット整数を状態にもち、周期は 219937−1。Python の random、旧 Ruby、多くのゲームエンジンが採用。V8（Chrome・Node）の Math.random は xorshift128+。
弱点MT19937 は連続する624個の出力から状態を完全に復元できる。xorshift128+ は数個の出力から制約ソルバで種を解ける。「乱数っぽい」と「読めない」は別の性質。
tier · 決定論、すぐ読める
xn+1 = (a·xn + c) mod m。出力を2つ見れば次が分かる。1950年代の方式で、いまも教科書と古いライブラリに残っている。
弱点Java の java.util.Random は48ビットの線形合同法で、連続する2つの出力から種が決まる。下位ビットは周期が短く、「偶数・奇数」が交互に出る実装すらある。1960年代の RANDU は3つ組を空間に打つと15枚の平面に乗ることで有名。
| # | 方式 | 自由 | 敵対 | 検証 | 信頼 | 速さの目安 |
|---|---|---|---|---|---|---|
| 01 | ベル検定（装置非依存） | 5 | 5 | 5 | 5 | 数百ビット/分 |
| 02 | ランダム回路サンプリング | 5 | 5 | 4 | 4 | 数万ビット/回・検算にスパコン |
| 03 | 放射性崩壊 | 5 | 4 | 1 | 2 | 数十〜数百ビット/秒 |
| 04 | 光の量子乱数 | 4 | 4 | 1 | 2 | Mビット〜Gビット/秒 |
| 05 | 量子コンピュータ 1量子ビット | 4 | 3 | 1 | 1 | 数千ビット/ジョブ |
| 06 | CPU の熱雑音（RDRAND） | 3 | 3 | 0 | 1 | Gビット/秒 |
| 07 | CPU 温度・タイミング | 2 | 1 | 0 | 2 | 数ビット/イベント |
| 08 | 暗号学的疑似乱数 | 0 | 4 | 0 | 3 | Gビット/秒 |
| 09 | 一般の疑似乱数 | 0 | 1 | 0 | 3 | Gビット/秒 |
| 10 | 線形合同法 | 0 | 0 | 0 | 3 | Gビット/秒 |
3位と4位、4位と5位の差は「量子かどうか」ではなく、古典的なノイズと信じる相手がどれだけ混ざるかの差です。物理の格としては 3〜5位はすべて同じ量子測定で、ウランもカリウム40もそこでは並びます。速さで選ぶなら順位は逆転します。
使うのは CHSH 不等式です。2か所（A と B）でそれぞれ2種類の測定の向き（a, a′ と b, b′）を選び、結果を ±1 で記録して相関 E を取ります。
証明の芯は「結果が測る前に決まっていた」と仮定すると S が 2 を超えられない、という数学です。だから S が 2 を超えた瞬間、結果は何によっても先に決まっていなかったことが従います。装置の設計を知る必要がないのは、この議論が装置の中身にいっさい触れていないからです。しかも定量的です。相手が次の結果を当てられる確率は、S だけから上から抑えられます。
2010年の最初の実験は、1 m 離れた2つのイッテルビウムイオンで、約1か月かけて42ビット。2018年のNISTは、約185 m 離れた2つの検出器で光子対を毎秒数万組測り、10分間で5,500万回の試行から1,024ビットを、一様分布からのずれ 10−12 以下で証明しました。
「抜け穴なし」と呼ばれるのは、次の3つを同時に塞いだからです。
生のビットはそのままでは一様ではないので、最後に Trevisan の抽出器で均一化します。ここにも短い種の乱数がいる。だから正確な呼び名は「乱数の拡張（または増幅）」で、無からの生成ではありません。
Aaronson と Hung が2023年に定式化した手順は、対話の形をしています。
議論はこうです。古典コンピュータがこの採点で高得点を取るには、回路を受け取ってから分布を計算しなければならず、それには制限時間より桁違いに長い時間がかかる（と仮定する）。だから時間内に高得点の答えが返ってきたなら、その答えは古典的な計算の産物ではなく、実際の量子測定を含んでいる——そして量子測定は予測できない。得点と応答時間から、含まれている乱数の下限（最小エントロピー）が計算できます。
2025年の実験（Liu ら、Nature）は、Quantinuum の56量子ビットのイオントラップ機 H2-1 にインターネット越しに回路を送り、返ってきた答えを Frontier・Summit・Perlmutter・Polaris の4台のスパコン、合計 1.1 エクサFLOPS で採点して、71,313 ビットの乱数を証明しました。量子コンピュータの「実用的な優位」を主張した最初の例のひとつです。
ベル検定と違う点を整理すると：
それでも、量子コンピュータのクラウドの向こう側を確かめられる唯一の方法です。5位の弱点——「APIの向こうが疑似乱数でも分からない」——は、この手順でだけ解けます。
ウラン238は天然ウランの 99.27% を占め、半減期 44.68 億年。地殻には平均 2.7 ppm、海水には 3.3 ppb、人の体にも約 90 マイクログラム入っています。α線（主に 4.20 MeV）を出してトリウム234になり、そこから14段の崩壊系列（α 8回、β 6回）を経て、約45億年かけて鉛206に落ち着きます。
なぜ壊れるのかを1928年に説明したのがガモフです。α粒子（陽子2個＋中性子2個）は核の中で強い力に閉じ込められていて、外へ出るにはクーロン障壁——高さ約 25〜30 MeV の壁——を越えなければならない。ところがα粒子の持つエネルギーは 4.2 MeV しかない。古典物理では永遠に出られない。量子力学では、粒子は壁の向こうにわずかに染み出しており、壁にぶつかるたびに小さな確率で壁を通り抜ける（トンネル効果）。
この式の美しいところは、抜ける確率が壁の高さと厚さに指数関数的に効くことです。α粒子のエネルギーが少し高いだけで半減期は桁違いに縮む——ポロニウム212（8.8 MeV）は 0.3 マイクロ秒、ウラン238（4.2 MeV）は 45 億年。エネルギーが2倍で半減期が 1023 倍違う。これをガイガー・ヌッタルの法則と呼び、24桁にわたって一本の直線に乗ります。
そして「いつ壊れるか」です。トンネル効果は毎回の衝突で独立に起きるので、崩壊の時刻は指数分布に従い、これは無記憶です。45億年生き延びたウラン原子が次の1秒に壊れる確率は、いま生まれたばかりのウラン原子とまったく同じ。原子は年をとらない。内部に「あと何秒」を数える時計があれば古い原子ほど壊れやすくなるはずで、それは観測と合いません。だから「決まっていない」の根拠は、時計が見つからないことではなく、時計があれば統計が変わるのに変わらないことです。
ただし正直に書くと、単独の原子の崩壊にはベル検定に当たるものがありません。1位の方式が「隠れた変数があれば不等式が破れない」という定理で決着させるのに対し、崩壊の非決定性は量子力学が正しいという理論への信頼に乗っています。それが3位である理由の半分です（残り半分は線源と検出器を信じる必要）。
実際に乱数を取る手順も書いておきます。
ウラン238自身は α線が紙で止まるうえ計数率が低いので、実際の乱数源にはあまり使われません。HotBits はクリプトン85、のちにセシウム137を使いました。愛好家は煙感知器のアメリシウム241か、ウランガラス・ウラン鉱石の標本（合法に買える）を使います。ウランは放射能より重金属としての化学毒性のほうが先に問題になるので、粉を吸ったり口に入れたりしないこと。
1位の方式にも前提があります。「測定の向きを自由に選んだ」ことです。もし宇宙の初期条件が、実験者の選択と粒子の状態をあらかじめ揃えていたなら（超決定論）、ベルの不等式の破れは何も証明しません。この抜け穴は実験で塞げないので、物理学者は「選択に使う乱数が少しでも本物なら、出力はもっと本物」という拡張の形で主張します。無から乱数を作る方式は、いまのところありません。
もうひとつ。ある特定のビット列が「乱数である」ことは、原理的に証明できません。コルモゴロフ複雑性——その列を出力する最短のプログラムの長さ——は計算不能で、チャイティンは「この列は圧縮できない」と証明できる列の長さに上限があることを示しました。だから乱数の証明はつねに列ではなく手続きについての証明です。1位が証明しているのも「この1024ビット」ではなく「この1024ビットを作った過程」です。
そして実務では、順位よりも大切なことがあります。抽選やランダム化割り付けで人が疑うのは「源が量子だったか」ではなく「運営が結果を見てから差し替えたのではないか」です。それを防ぐのは源の質ではなく、先に封をしてハッシュを公開する手続きです。8位の疑似乱数に手続きをつけた抽選は、5位の量子乱数に手続きをつけない抽選より、はるかに信じられます。