Extending Double-Entry to Physical Mass
For five hundred years, double-entry bookkeeping has made monetary value verifiable: every debit has its credit, and symmetry exposes error. For physical matter, the books have only ever closed on one side. Inflows are tracked at the resolution of the modern supply chain; outflows are aggregated into unidentified mass and compressed into a single line item — disposal cost. This paper argues that the consequence of this asymmetry is not primarily a problem of measurement but of time: unidentified matter defaults to incineration or landfill, terminals that consign it from the economic timescale to one that exceeds it by orders of magnitude. It then argues that the constraint that produced the asymmetry — a trust layer resting on human testimony, audited at a cost that keeps verification partial — is now lifting, through the convergence of direct physical observation, autonomous interpretation, and tamper-evident record substrates. It proposes the Resource Ledger: five principles forming a chain in which each closes the failure mode the previous one leaves open — paired entries extended to physical mass; observation as the origin of every entry; autonomous reconciliation; a verification premium, paid by newly structural sovereign demand, that makes coordinated misrepresentation unprofitable; and a compliance surface that pays the first node back before any network exists. The paper closes by naming four open problems — classification, aligned interest, tolerance, and cold start — as the research program that follows.
Every transaction has two sides. This principle — double-entry bookkeeping — has been the foundation of monetary accounting for five hundred years. Every debit has its credit, every revenue its matching expense, every asset its offsetting liability and equity. This symmetry is what detects error, exposes fraud, and renders the whole of economic activity legible. Without it, the modern financial economy could not exist.
The same principle has been applied to physical mass in the academy — as the material balance of chemical engineering, as material flow analysis. But it has never been adopted as an operational standard of account. The flow of physical resources is recorded with a striking asymmetry. Inflows are captured at the resolution a supply chain provides. Outflows, apart from regulated streams such as hazardous waste, are barely recorded in structured form at all. Within one and the same accounting system, incoming matter is tracked by item, by lot, by quantity. Supply-chain management, refined over decades, produced one of the most precise industrial information systems humanity has ever built. Outgoing matter is aggregated into mass whose kind has been lost — cubic meters of volume, counts of bags and containers, mixtures whose composition can no longer be told apart. At the level of the books, this aggregated mass is compressed further still, into a single line item: disposal cost. There is an industrial information system on the inflow side. There is nothing of comparable order on the outflow side.
Luca Pacioli codified double-entry bookkeeping in 1494. In that year, money moved onto two-sided books. Matter never made the move. Matter is still managed on the bookkeeping that money graduated from five hundred years ago.
The consequence of this asymmetry is not, in the first instance, a problem of measurement. It is a problem of time. When matter leaves the books unidentified, it cannot be routed to reuse, recovery, or recycling. Its default destination is incineration or landfill. These do not make matter disappear; they are terminals that consign it from humanity's economic timescale to one that vastly exceeds it. Matter that could have re-entered circulation within a few years is instead dispatched onto a return cycle measured in centuries or millennia.
This temporal deferral has functioned, across decades of accumulated industrial activity, not as a side effect but as a structural mechanism — the mechanism by which civilization has converted renewable cycles into irreversible depletion. Its scale has been measured. Of the roughly 106 billion tonnes of materials entering the global economy each year, only 6.9 percent is secondary material — recycled or reused; the remaining 93 percent is virgin, newly mined, felled, or extracted. And the share keeps falling: it stood at 9.1 percent in 2018. The absolute quantity recycled is growing. But the economy's total intake of materials grows faster, so the ratio retreats. The growth of the mass returning to the books is not keeping pace with the growth of the mass leaving them. The visible symptoms — the scarcity of resources, the accumulation of waste, the fact that as of 2025 seven of the nine planetary boundaries have been transgressed — are what this mechanism produces. Three variables determine whether a circular economy is possible: the rate of consumption, the stock retained within the economy, and the time of return. The first two have been partially tracked. The third has never been treated as an operational variable of account.
The turn began outside of technology. In the late 2020s, the political standing of physical resources changed structurally. What had been treated as an environmental matter — governed by voluntary effort, by ESG disclosure frameworks, by the moral authority of sustainability — was redefined as a question of economic sovereignty. Beginning in 2023, a major exporting nation progressively tightened controls on the outflow of critical minerals. Gallium, germanium, graphite, antimony, tungsten, a set of medium and heavy rare earths, and the processing technology for rare earths and lithium batteries came under restriction in turn. Materials that had been traded as commodities became instruments of strategic power. The waste materials present within a nation's own borders, until then managed as a cost, were reappraised as a domestic source of supply. The urban accumulation of metals, plastics, and organics was no longer a waste stream to be processed at the lowest price. It was a strategic stock, and its accurate inventory became a matter of national concern. And an inventory demands verification. There is no resource sovereignty over unobserved mass. A stockpile that cannot be verified is not a stockpile.
The institutional response began with frameworks. The Global Circularity Protocol, launched at COP30 in November 2025 by the World Business Council for Sustainable Development and the One Planet Network (hosted by UNEP), is the first voluntary, science-based, globally harmonized framework for companies to measure, manage, and communicate their circular performance. The European Union's Digital Product Passport begins its phased rollout across 2026 and 2027 under the Ecodesign for Sustainable Products Regulation, in force since July 2024; its underlying DPP Registry is to stand up by July 2026, and the first product-level passport to be mandated is the battery passport, applying from February 2027 under the EU Battery Regulation. Each requires disclosure, at the level of the product, of material composition, origin, and end-of-life pathway. ISO/IEC Joint Technical Committee 5 was established in 2026 to develop global standards for the Digital Product Passport. GS1 Digital Link, identifier-resolution protocols, and sector-specific data ontologies have begun to converge toward a common basis for exchanging material information across organizations and jurisdictions.
Every one of these frameworks rests on a shared premise: that information about physical matter — its composition, its movement, its destination — can be trusted. Yet none of them builds the foundation of that trust. What they specify is which information, in which format, by whom, and when it is disclosed. How the physical truth beneath it is to be observed, recorded, and verified — independently of the party disclosing it — they do not specify. The present structure is a layer of structured disclosure laid over a base of self-declaration and audited assertion. The base itself remains what it has always been: human testimony about physical reality. However refined, the frameworks of the 2020s operate without the trust layer they tacitly presuppose.
The technical question, five centuries in the asking, was never how to apply double-entry to physical mass. It was how to make information about physical mass trustworthy in the first place. Double-entry rests on the premise that what is recorded reflects what occurred. For monetary transactions, that premise could be secured by institutional design. Banks, courts, accounting firms, and statutory audit formed a dense chain of mutual verification, closing the distance until a recorded figure was very nearly synonymous with the transaction behind it. For physical mass, no equivalent chain existed. Matter moves through trucks, gates, and machines. Its movement is attested by humans. Verification is performed after the fact, by other humans, on a sample — so it is infrequent, and beyond that point it does not pencil out. Since the manifest was invented, this structure has not changed. A human attests; a human audits; the cost of verification is high enough that verification is always partial.
No country has demonstrated both the reach and the limits of this structure at greater scale than Japan. Japan universalized its industrial-waste manifest in the 1990s and has operated it for more than three decades: a paired-entry system of testimony, in which generator and processor issue and return matching slips for every consignment, at roughly seventy million manifests a year — one of the largest ledgers of matter ever run. Its operation has shown two things. The first is a limit of scope. The manifest covers only industrial waste consigned to third parties. The burnable waste that leaves offices and shops every day — commercial general waste, some twelve million tonnes a year — sits outside the national paired entries, apart from the separate control slips and reduction plans some municipalities impose. And the industrial side has a gap of the same shape. A manifest comes into being only at the moment matter is consigned to a third party; what a generator treats within its own premises involves no consignment, and so has no ledger. Of the roughly 370 million tonnes of industrial waste generated annually, the consigned share that reaches the manifest is about 160 million — less than half. This ledger records only transfers. Transformations and retentions go unobserved. The second is a limit of method. Even inside the ledger, the system succeeded in defining a chain of responsibility, yet mixtures of ambiguous kind continued to cross markets and borders under changed names, and beneath transactions that closed lawfully on paper, the actual destination of matter went unasked. Thirty years of operation established that paired entries are necessary but not sufficient. As long as both sides are testimony, symmetry merely replicates the lie symmetrically.
The change of the late 2020s was not a single technology but the simultaneous availability of three components, whose combination dissolves the dependence on human testimony. The first is direct physical observation: weighing systems integrated into collection and haulage vehicles, image recognition that identifies material composition without a purpose-trained model, sensor networks deployable at the cost of consumer electronics. The second is autonomous interpretation: agentic AI that resolves the ambiguity of observational data, detects discrepancies between declared and observed values, and can act on those discrepancies without a human in the loop, within rules defined in advance. The third is a record substrate that is tamper-evident and controlled by no single party — such that no participant can rewrite a recorded observation after the fact. This property may be realized by a distributed ledger, but is not limited to one; the requirement is functional, not technological, and several distinct approaches now meet it at industrial throughput and cost. None of the three resolves the trust problem alone. A sensor without autonomous interpretation still produces data requiring human review. Interpretation atop a record that is not tamper-evident can only produce conclusions its custodian may overturn. A record without direct observation merely formalizes the human testimony that was the source of the problem to begin with. The convergence of the three is what constitutes the change.
The dissolution of human testimony does not happen at once. It proceeds in stages, as the trust layer matures. In the present configuration, sensors perform direct observation, but human review remains in the loop for the edge cases that exceed what current models can interpret. As models improve, and as accumulated observation trains against the long tail of physical reality, that loop contracts. Human involvement moves from confirming individual judgments to designing the rules by which judgments are made, and to handling the disputes those rules cannot resolve. The endpoint is not the elimination of human judgment but the relocation of it — from inside every transaction to outside the system as a whole. The Resource Ledger is built for this trajectory, not for any single point along it.
What this convergence makes possible for the first time is to apply double-entry to physical mass at the resolution and continuity the principle demands: to observe inflows and outflows directly, to record them on a substrate no single party controls, and to reconcile them through an autonomous process that converges on physical fact without depending on any single testimony. The asymmetry named at the outset — the precision of inflow records and the loss of outflow detail — was not born of anyone's negligence or a flaw of design. Human testimony and audit, the only machinery of trust then available, could support records only up to that resolution. Outflow records are coarse because that was the ceiling. That ceiling is now being raised.
What is proposed here is not new in its conception. More than twenty years ago, William McDonough and Michael Braungart, in Cradle to Cradle and the subsequent work on Intelligent Materials Pooling, set out the operating logic of an economy in which materials circulate through shared pools — an economy in which multiple parties deposit, withdraw, and replenish, across defined periods of use. That vision was specified at the level of design principle and business architecture. What could not be specified then, and what the vision required, was the operational foundation to make such pools trustworthy at scale: the means by which a deposit is verified, a withdrawal is recorded, and a discrepancy between declared and observed values is resolved without dependence on any single party. What is proposed here is that foundation. The Resource Ledger is the protocol layer the material pool has been waiting for.
The five principles that follow are not parallel requirements. They are a chain. Each principle closes the failure mode that the one before it cannot. With five, the chain closes.
The first principle is the extension of double-entry to physical mass. Every transaction on the ledger records the movement of matter as paired entries: an outflow from one node and an inflow to another, equal in mass, equal in composition, equal in time. When the entries do not balance, the transaction is incomplete, and it remains unsettled until the discrepancy is resolved. This is not double-entry itself. It carries into material flow the principle of verification that double-entry brought to accounting — the mechanism by which symmetry exposes error. The idea of material balance has long existed in chemical engineering; the core of the proposal here is to recast it not as a method of after-the-fact analysis but as a continuous verification protocol that operates on every transaction.
The governing identity is conservation. For any node in the network, over any defined period, the matter that entered equals the matter that left plus the change in matter retained within it. Inflow equals outflow plus the change in stock. The identity holds because mass is conserved. The ledger does not impose this constraint; it records it. What the ledger adds is the requirement that the identity be reconciled at the level of identifiable matter rather than aggregated mass, and that the reconciliation occur continuously rather than after the fact.
The identity requires two boundaries to be defined: a temporal boundary and a material boundary. The temporal boundary sets the period over which inflow, outflow, and change in stock are reconciled — an hour, a day, a year, chosen by the implementation. The change in stock over the period is the difference between the stock balance at the period's end and at its start; matter present before the period begins is treated as an opening condition and is not counted as flow. The material boundary defines what counts as retained within the node — inventory, matter embodied in fixed assets, matter contained in long-lived products. Both boundaries are chosen by the implementation, but within a boundary once defined, the identity holds exactly. Unless the boundary is defined, the principle cannot be applied. Once it is defined, at whatever scale, the conservation equation is exact.
Three categories of entry suffice to describe any flow. A transfer records matter moving from one node to another; both nodes make an entry, in opposite directions. A transformation records matter changing form within a node; the entry pairs input matter with output matter and any residue. A retention records matter remaining within a node across a period; the entry persists until that matter is transferred or transformed. Every physical movement, every chemical change, every accumulation into stock can be expressed as a combination of these three.
What everyday language calls consumption is, on this ledger, a species of transformation. Combustion does not erase matter: fuel is transformed into flue gas and ash, and food into biomass, breath, and residue. Matter used as energy still goes somewhere as mass. Conservation is never broken; what breaks is tracking. An implementation, in defining its material boundary, therefore also chooses how releases to air and water are handled — entered as outflows to an environmental node within the boundary, or recorded as exits across it, at which point tracking ends. Either way, an exit is entered as an exit. The only thing this ledger does not contain is silent disappearance.
But the limit of what symmetry guarantees must be stated precisely. In double-entry, what symmetry exposes is error. It does not expose lies. A fabricated transaction balances perfectly. This is what the accounting of money spent five hundred years learning, and it is why the chain of banks and audits was built outside the books. Paired entries are a grammar of verification, not a guarantee of truth. The next principle exists because of this gap.
The second principle is that entries on the ledger are generated from physical reality itself, not from a declaration about reality. Every transfer, transformation, and retention is observed, at the place and moment it occurs, by an instrument whose role is to register a material fact. The observation is not the basis for an entry made by someone; the observation is the entry. No human testimony intervenes between the physical event and its record.
This is a structural inversion of the trust layer. Under the conventional structure, the source of the entry is a declaration — made by a party with an interest in what the declaration says — and that declaration, if it is verified at all, is verified by another party. The Resource Ledger inverts this. The source is the observation; a declaration, where one exists, is confirmed against the observation. Where the two diverge, the observation prevails. The chain of testimony, refined over five hundred years but always constrained by the cost of verification, is replaced by a chain of observation whose cost falls year over year.
For this principle to function, one condition is required: independence must reside in the chain of observation, not in any single instrument. Self-weighing by the party generating an outflow is, on its own, instrumented testimony. It becomes an observation when it is cross-checked against the independent weighing of the next party in the flow — the receiver, the hauler, the processor — each registering the same physical event from a different position of interest. Independence is not a property of a sensor; it is a property of the network that several sensors compose in series. Any single observation carries sensor error, sampling error, variation in composition and moisture. A single observation captures not the truth but an estimate with a tolerance. It is the linking and mutual cross-checking of several independent observations that makes the estimate converge on physical fact.
It should be said that in most present implementations, observation is hybrid: the mass is registered by an instrument, while the choice of material class and the confirmation of the record remain in human hands. What the principle demands is not full automation from day one. It is that the center of gravity of the entry keep moving, without reversal, from declaration to observation.
But this cross-checking opens a new question. "From a different position of interest," it was just said. In the flow of matter, do the interests really differ? That question is the subject of the next principle.
The third principle is that discrepancies on the ledger are resolved without recourse to an external authority. When linked observations of the same physical event diverge beyond tolerance, the resolution is made by a mechanism internal to the system. No regulator, no auditor, no court is summoned. According to rules defined in advance, the ledger either proceeds or it does not.
Three conditions make this possible. The first is the structural condition already established: observation is generated from a chain of parties, and no single party controls the recorded outcome. The second is that each party in the chain holds an economic interest in the accuracy of its own observation. A party whose observations persistently diverge from others bears a cost; a party whose observations persistently agree earns trust. Cost and trust are substantive: they govern access to future transactions and the terms on which counterparties will engage. The third is that the resolution rules themselves are unalterable by the parties they govern. The logic of how a discrepancy is evaluated, how trust is updated, whether an entry is confirmed or held, is written to a substrate that no participant in the flow can alter alone. Without this, the rules become a new site of testimony, and the inversion is undone at the level of the protocol.
But the limit of this mechanism must be confronted directly. Reconciliation in finance works adversarially because the payer's interest opposes the payee's. The service chain of matter is not built that way. The generator pays; the hauler and the processor are its contractors. There are structural moments in which every party in the chain profits when matter disappears at the lowest cost. Here the interests do not oppose; they align. The alignment is simple. Proper treatment costs real money. Take the fee for proper treatment, route the matter somewhere cheaper — a relabeled category, improper storage, a dump — and the difference is surplus. The generator prefers the lower quote and, once it has paid, has no incentive to confirm where the matter actually went. The mechanism described above detects instrument error and fraud by a single party. Against a coordinated misrepresentation — the whole chain agreeing on the same number — cross-checking is powerless. When everyone tells the same lie, the books balance perfectly. This failure mode cannot be closed by verification technology. It is closed by the next principle.
What this leaves to humans is not the work of testimony but the work of design. And at the center of that design is a problem not of observation but of classification. Measuring matter has become comparatively easy. What is hard is defining what the measured thing is. Contaminated resin, a mixture of several polymers, packaging with food residue attached, a composite. Real matter does not come with clean boundaries of kind. The "identifiable matter" the ledger records does not exist self-evidently; it is constituted by an ontology of classification. How that ontology is defined, how matter with ambiguous boundaries is handled, how new materials are placed within an existing scheme — this cannot be solved by observation technology alone. It requires a system of classification and the collaboration of humans and machines that operate it. The role of human testimony, dense at the level of the transaction, is not eliminated but relocated to the level of the system as a whole. Inside the system, ledger entries are generated and confirmed without human intervention. Outside it, humans define the conditions under which the system runs.
The fourth principle concerns what breaks a coordinated lie. It is not verification. It is demand.
Bitcoin's miners behave honestly not because its participants are virtuous, but because the block reward makes honesty the most profitable strategy. Security comes not from morality but from a budget. In the Resource Ledger, the reward is the premium that verified matter earns over matter that carries only testimony. Matter whose observations are recorded directly on the ledger offers verifiable composition, traceable origin, auditable destination. Matter not so recorded offers testimony instead — the very form of evidence the substrate was designed to replace. The price difference between the two — the verification premium — is this ledger's security budget. When the premium for being verified exceeds the surplus a chain can capture by conspiring to make matter disappear cheaply, and only then, honest observation becomes the dominant strategy.
The payer of this premium did not exist before, but it is now taking its seat — the turn described in Part II created it. Export controls put a price on matter of proven provenance. The Digital Product Passport is converting verifiable material information into a condition of market access, and regulations that create statutory demand for certified secondary material itself — the EU's Packaging and Packaging Waste Regulation, with its mandated recycled content, and ReFuelEU Aviation, with its blending obligations for sustainable fuel — are already in force. End buyers under Scope 3 obligations are committing budgets at scale to certified secondary materials. Moral demand was optional and has left the stage; sovereign demand is structural and does not leave. That the ledger's honesty stands on this demand is no fragility of the design — it is the same architecture by which Bitcoin's security stands on the economic value of the block reward.
Once the demand is seated, propagation requires no persuasion. It proceeds by the gravitational pull of the mass already recorded on the substrate. When enough physical mass is recorded that the cost of staying outside exceeds the cost of connecting, every party that transacts with a connected node faces a structural choice: connect to the substrate, or lose access to that node's flows. The connected counterparty is preferred for the same reason a signed contract is preferred to a verbal promise: the cost of verification is lower, the risk of dispute is lower, the speed of settlement is higher. In time, a party not connected to the substrate is not rejected. It is simply no longer chosen. The threshold is not a function of belief, of ideology, of environmental concern. It is a function of mass.
Here, one precedent teaches the requirement of substrate neutrality. That no single party may control the substrate is not idealism. Maersk loaded one of the world's largest volumes of shipping onto TradeLens, the platform it built with IBM; in 2023, it shut down. The official reason given was that full industry collaboration had not been achieved. Rival carriers never connected their flows to a substrate controlled by a competitor. Mass generates gravity, but when the substrate is owned by one of the participants, the same mass turns to repulsion. Neutrality is a survival condition, drawn from the lesson of consortium substrates that stopped one after another.
Yet gravity is a function of mass. Then when the mass is zero, the gravity is zero. Why does the first node connect? Answering that question is the work of the final principle.
The answer lies outside the network. The first node does not connect for the network's sake. It connects to be paid back — alone, from day one.
The fifth principle is compatibility with the existing institutional frameworks that govern physical matter. The Resource Ledger does not seek to replace the manifests, reports, certificates, and disclosure documents that existing law and standards require. It generates them. Material information recorded at the substrate level is emitted, on demand, in the formats specified by regulators, certification bodies, and existing protocols. The substrate operates by its own logic — direct observation, paired entries, autonomous reconciliation. The presentation surface operates by the logic of whatever framework reads it. The two are designed to be independent, so that the protocol can serve any framework without being subordinate to any.
The consequence is that much of compliance ceases to be a separate activity. Reporting to the authorities remains for as long as the institutions require it — but its preparation stops being the assembly of a declaration and becomes an emission from the substrate. Once the substrate is written, it can be emitted into any required format without an additional declaration. And between private parties who share the ledger, the round-trip of reporting itself becomes unnecessary. The parties who read the report — regulators, auditors, certification bodies — receive it in the form they are accustomed to. They need not understand the substrate that generated it. Existing frameworks continue to operate; they simply become consumers of a more trustworthy source of information than the one they were designed to read. No replacement is demanded, and none is necessary. What changes is the quality of the information the existing frameworks receive.
And this compatibility is more than a courtesy of interoperation: it is the protocol's cold-start engine. The preparation of manifests, the filing of regulatory reports, the assembly of disclosures — administrative burdens that exist today disappear at the single connected node, without waiting for a network to form. The first node's reason to connect lies not in the ledger's future but in that node's own income statement, today. The network's value rises afterward, with the mass recorded on it.
These five are not a parallel list but a single chain. Symmetry exposes error. Observation removes testimony from the entry. Reconciliation detects instrument error and the fraud of a single party. Demand makes coordinated lies unprofitable. The compliance surface gives the first node a reason to connect on a day when no network exists. Each principle closes the failure mode the one before it leaves open, and with five, the chain closes. The claim of this paper is that these are the necessary minimum and the permissible maximum: with fewer, the material pool conceived twenty years ago cannot operate at scale; with more, the protocol intrudes on choices that belong to those who implement it. That claim itself stands open to the work and criticism that follow. What is specified here is the logic by which material flows can be recorded, verified, and settled without recourse to the trust layer that has constrained such systems for five hundred years. What is not specified is the form any particular implementation must take: the protocol is one, and the implementations will not be.
This paper closes by stating what is not solved. Before this ledger can operate at scale, four problems must be solved.
First, the Classification Problem. Who defines what the measured thing is, and how? The "identifiable matter" the ledger records is an artifact constituted by an ontology of classification; real matter has no clean boundaries of kind. The design of the ontology, the adjudication of boundary cases, the placement of new materials — none of this yields to observation technology; it requires a classification scheme and its governance. The deepest difficulty of the circular economy lies not in the precision of measurement but in this classification.
Second, the Aligned-Interest Problem. In the service chain of matter, unlike in finance, there are structural moments when the parties' interests align rather than oppose. When the whole chain agrees on the same lie, cross-checking is powerless. This paper has given a structural answer — honesty becomes dominant when the verification premium exceeds the surplus of collusion (Principle 4). But the quantitative condition under which that inequality holds at every node has not been established.
Third, the Tolerance Problem. Every observation carries sensor error, sampling error, and variation in moisture and composition. Widen the tolerance to avoid false alarms, and the power of verification itself is lost. The signal-to-noise condition under which reconciliation is meaningful has not been established. This problem dictates where the ledger begins. The signal of verification exceeds the noise first in materials of high value density and stable category. Critical minerals, battery materials, electronic waste — the domain long called the urban mine is the precise intersection of where sovereign demand already exists and where the signal-to-noise ratio already works. The ledger begins there, and descends toward mixed waste as the cost of observation falls.
Fourth, the Cold-Start Problem. Before a network exists, who connects first? This paper has given a structural answer — the compliance surface pays the single node back from day one (Principle 5). But the condition under which single-node value exceeds the cost of connection depends on jurisdiction and industry, and its demonstration is still to come.
To two of these problems — aligned interest and cold start — this paper has given structural answers. Two — classification and tolerance — remain open and pass to the work that follows. The four are set out here by the paper itself because they are at once the pressure points of its argument and the path along which the research now proceeds.
What has been proposed is an extension. The principle of double-entry, applied for five hundred years to monetary value, is now applied to physical mass. An outflow from one node is an inflow to another, equal in mass, equal in composition. It is recorded by observation rather than testimony, and kept honest not by authority but by the value of being verified.
The asymmetry named at the outset — inflows identified, outflows lost — was not born of anyone's will or neglect. It was the ceiling on what records a trust layer resting on human testimony could support, audited at a cost so high that verification could only ever be partial. That ceiling is now being raised. When matter is observed at the site of its movement, and that observation is reconciled without a central authority, outflow becomes as legible as inflow. The ledger closes on both sides.
The consequence is measured in time. Identified matter can be returned to use. Identified matter need not be consigned to a timescale that dwarfs the human economy by orders of magnitude. As the ledger extends into every domain through which matter moves, the return cycle of matter contracts toward the timescale of the economy that uses it. The symptoms of the present asymmetry — depletion, accumulation, the transgression of planetary boundaries — are, at root, the symptoms of matter kept to one side of the books.
Mass has always been conserved. What leaves is always somewhere. Matter had two sides from the beginning. The record is only now catching up to its symmetry.
Further work is planned to follow this paper: a specification defining the entry schema, the reconciliation rules, and the tolerance model in an open form; and an evidence paper answering the Tolerance Problem in numbers, with reconciliation data from a running implementation.
Hiroki Omura — 2026. This is a working paper, offered openly for citation and comment.
This appendix sketches the formal core to be defined in the specification work that follows.
Entry. An entry on the ledger is the tuple
e = (n_from, n_to, t, c, m, o, i)
where n_from and n_to are the origin and destination nodes, t the time of observation, c the material class under the classification ontology, m the mass, o the identifier of the observation, and i the identifier of the instrument that generated it. A transformation entry sets n_from = n_to and pairs a set of input classes with a set of output classes, residue included. A retention entry is expressed as the stock balance S_n(c, t) of node n in class c.
Conservation identity. For any node n, material class c, and period [t₀, t₁]:
Σ inflow(n, c) − Σ outflow(n, c) = S_n(c, t₁) − S_n(c, t₀) ± τ(c)
where τ(c) is the class-specific tolerance, defined as the composition of moisture, sampling, and instrument error. The design of τ is the Tolerance Problem itself (Part IV), and is to be calibrated against operating data in the work that follows.
State machine. An entry has three states:
pending → confirmed | disputed
An entry is confirmed when its pair reconciles within τ(c). When the pair does not arrive within its window, or the divergence exceeds τ(c), the entry moves to disputed and does not settle until the source of the divergence is identified. Each party's trust value is updated as a function of its agreement history and is reflected in its future terms of trade. The form of the trust-update function is left to the specification.
複式簿記を物質へ拡張する
The Resource Ledger: Extending Double-Entry to Physical Mass
複式簿記は500年にわたり、貨幣的価値を検証可能にしてきた。あらゆる借方に貸方が対応し、対称性が誤りを露呈させる。だが物理的な物質については、帳簿は片側しか閉じていない。インフローは現代のサプライチェーンの解像度で追跡される一方、アウトフローは種別を失った質量へと集約され、会計上は「処分費」という一行に圧縮される。本稿は、この非対称の帰結が第一義的には測定ではなく時間の問題であることを論じる。識別されない物質は焼却か埋立に流れ、人類の経済的時間軸を桁違いに超える時間軸へと委ねられる。次に、この非対称を生んだ制約、すなわち人間の証言に依拠し検証を常に部分的にとどめてきた高コストの信頼層が、直接観測・自律的解釈・改ざん検知可能な記録基盤の収束によって、いま解除されつつあることを示す。そのうえで資源台帳を提案する。五つの原理が連鎖をなし、各原理が前の原理の残す失敗モードを塞ぐ。すなわち、物理的質量への複式簿記の拡張、観測を記入の起点とすること、自律的整合、新たに構造化した主権的需要が支払う検証プレミアムによって協調した虚偽を不採算にすること、そしてネットワークが存在しない初日に最初のノードへ回収を与える適合層である。本稿は、分類・整列利害・許容・冷始動という四つの未解決の問題を、続く研究プログラムとして名指して閉じる。
あらゆる取引は二つの側面を持つ。複式簿記というこの原理は、500年にわたって貨幣的価値の会計の基盤であり続けてきた。借方には貸方が、収益には対応する費用が、資産には負債と資本が対応する。この対称性こそが、誤りを検出し、不正を露呈させ、経済活動の全体像を可視化する仕組みである。この対称性なしに、現代の金融経済は成立しえない。
この原理は物理的質量に対しても、化学工学の物質収支やマテリアルフロー分析として、学術領域では展開されてきた。しかし運用レベルの会計標準としては、いまだ適用されていない。物理資源の流れは、際立った非対称性をもって記帳されている。インフローには、サプライチェーンが提供する解像度で記録が存在する。アウトフローでは、有害廃棄物などの規制対象を除き、構造化された記録は乏しい。同一の会計システムの中で、投入される物質は品目別、ロット別、数量別に追跡される。数十年にわたって洗練されてきたサプライチェーン管理は、人類が構築した最も精緻な産業情報システムの一つを生み出した。しかし排出される物質は、立方メートル単位の体積、袋やコンテナの個数、もはや組成を判別できない混合物として、種別が失われた塊に集約される。会計のレベルでは、この集約された質量はさらに「処分費」という単一の勘定項目へと圧縮される。動脈側には産業情報システムが整備されている。静脈側には、それに匹敵する体系が存在しない。
ルカ・パチョーリが複式簿記を体系化したのは、1494年である。貨幣はその年、複式の帳簿へと移行した。物質は、いまだに移行していない。物質は、貨幣が500年前に卒業した簿記の上で、管理され続けている。
この非対称の帰結は、第一義的には測定の問題ではない。時間の問題である。物質が識別されないまま帳簿の外に出るとき、それは再使用、再資源化、リサイクルの経路に乗ることができない。デフォルトの行き先は焼却または埋立となる。これらは物質を消滅させるのではなく、人類の経済的時間軸から、それをはるかに上回る時間軸へと委ねる終点である。本来数年のうちに再循環できたはずの物質が、数百年から数千年単位の回帰サイクルへと送られる。
この時間的委譲は、数十年にわたる産業活動の蓄積として、副作用ではなく構造的な仕組みとして機能してきた。文明が再生可能な循環を、不可逆な枯渇に変換してきた仕組みである。その規模は測定されている。世界経済に年間投入される物質は、およそ1,060億トン。そのうち再生資源が占めるのはわずか6.9%であり、残る93%はバージン資源、すなわち新たに採掘され、伐採され、採取された物質である。しかもこの比率は、2018年の9.1%から低下し続けている。リサイクルされる量そのものは、増えている。だが、経済全体の資源投入がそれを上回る速度で増えるため、割合としては後退する。帳簿の片側から出ていく質量の増加に、戻ってくる質量の増加が、追いついていない。可視化される症状、すなわち資源の希少化、廃棄物の蓄積、2025年時点で九つの惑星境界のうち七つが超過されている事実は、この仕組みが引き起こしたものである。循環経済の成立を決定する変数は、三つある。消費の速度、経済内に保持されるストック、そして回帰の時間である。前二者は部分的に追跡されてきた。後者は、運用レベルの会計変数として扱われてこなかった。
転換は、技術の外側から始まった。2020年代後半、物理資源の政治的位置づけが構造的に変化した。それまで環境問題として扱われてきたもの、すなわち自主的な取り組み、ESG開示の枠組み、サステナビリティという道徳的権威によって統治されてきたものが、経済主権の問いとして再定義された。ある主要輸出国が2023年以降、クリティカルミネラルの流出規制を段階的に強化した。ガリウム、ゲルマニウム、黒鉛、アンチモン、タングステン、そして中・重希土類の一群、さらに希土類やリチウム電池の加工技術が、順次その対象となった。商品として取引されてきた物質が、戦略的力の手段へと転じた。各国の国内に存在する廃棄物質は、それまでコストとして管理されてきたが、国内供給源として再評価された。金属、プラスチック、有機物の都市的な蓄積は、もはや最低価格で処理されるべき廃棄物の流れではなかった。それらは戦略的ストックであり、その正確な棚卸しが国家的関心事となった。そして棚卸しは、検証を要求する。観測されない質量の上に、資源主権は成立しない。検証できない備蓄は、備蓄ではない。
制度的応答は、枠組みから始まった。2025年11月の COP30 で World Business Council for Sustainable Development と One Planet Network（UNEP がホスト）が発表した Global Circularity Protocol は、企業が循環性を測定・管理・発信するための、世界初の自主的かつ科学的根拠に基づく国際整合フレームワークである。欧州連合の Digital Product Passport は、2024年7月に施行された Ecodesign for Sustainable Products Regulation のもとで2026年から2027年にかけて段階的に導入が始まる。その基盤となる DPP レジストリは2026年7月までに整備され、製品単位で最初に義務化されるのは、EU 電池規則に基づき2027年2月から適用されるバッテリーパスポートである。いずれも、製品レベルでの材料構成、原産地、エンドオブライフ経路の開示を求める。ISO/IEC Joint Technical Committee 5 は2026年に設立され、デジタル製品パスポートのグローバル標準を策定する。GS1 Digital Link、識別子解決プロトコル、セクター別のデータオントロジーは、組織と司法管轄を超えた物質情報交換の共通基盤へと収束し始めた。
これらの枠組みのいずれも、共通の前提に立っている。物理物質に関する情報、その組成、移動、行き先が、信頼できるものとなりうる、という前提である。しかし、いずれの枠組みも、その信頼の基盤そのものを構築していない。それらが規定するのは、何の情報を、どのフォーマットで、誰が、いつ開示するか、である。その下にある物理的真実を、開示主体から独立に、どう観測し、記録し、検証するかは、規定されていない。現状の構造は、自己申告と監査による主張を基層として、その上に構造化された開示の層を載せたものである。基層そのものは、変わらず、物理的現実に対する人間の証言である。2020年代の枠組みは、いかに精緻であろうとも、それらが暗黙に前提とする信頼層なしに稼働している。
500年にわたる技術的な問いは、複式簿記をどう物理的質量に適用するか、ではなかった。物理的質量に関する情報を、そもそもどうすれば信頼できるものにできるか、であった。複式簿記の原理は、記録されたものが、起きたことを反映している、という前提に立つ。貨幣的取引については、この前提を制度設計によって担保することができた。銀行、裁判所、会計事務所、法定監査が、相互検証の連鎖を密に形成し、記録された数値が、その背後の取引とほぼ同義になるところまで近づけた。物理的質量については、これに相当する連鎖が存在しなかった。物質は、トラック、ゲート、機械を通じて移動する。その移動は、人間によって証言される。検証は、別の人間が事後的に、サンプル抽出で行うため、検証の頻度は低く、それ以上はコスト的に成立しなかった。マニフェストが発明されて以来、この構造は変わっていない。人間が証言し、人間が監査する。検証コストが高すぎて、検証は常に部分的にしか行えない。
この構造の到達点と限界を、日本ほど大きな規模で実証してきた国はない。日本は1990年代にマニフェスト制度を全面化し、排出事業者と処理業者が対になって交付・返送する証言型の対記入システムを、30年以上にわたり、年間およそ7,000万件という世界最大級の規模で運用してきた。その運転が示したことは、二つある。第一は、対象の限界である。この帳簿が覆うのは、第三者へ委託される産業廃棄物に限られる。事業所から日々出ていく可燃ごみ（事業系一般廃棄物、年間およそ1,200万トン）は、一部の自治体が独自の管理票や減量計画を課す例外を除き、国の制度としての対記入の外にある。そして産業廃棄物の側にも、同じ形の穴がある。マニフェストが発生するのは、物質が第三者へ委託される瞬間だけであり、排出事業者が自らの敷地内で処理する分には、委託が存在せず、したがって帳簿も存在しない。総排出量約3.7億トンのうち、マニフェストに載る委託分は約1.6億トンで、半分に満たない。この帳簿は、移送しか記帳しないのである。変換と保持は、観測されないまま残る。第二は、方式の限界である。帳簿の内側でさえ、制度は責任の連鎖を定義することには成功したが、種別の曖昧な混合物は名称を変えて商流と国境を渡り、帳簿上は適法に閉じた取引の下で、物質の実際の行き先は問われないままに残った。30年の運転が実証したのは、対の記入が必要条件であって、十分条件ではないことである。両側が証言である限り、対称性は嘘を対称に複製するだけである。
2020年代後半に起きた変化は、単一の技術ではなく、三つの構成要素が同時に利用可能になったことである。これらが結合することで、人間の証言への依存が解消される。第一は、物理的な直接観測である。収集運搬車両に統合された計量システム、訓練済みモデルを必要とせず物質構成を識別できる画像認識、コンシューマー・エレクトロニクスのコストで展開可能なセンサーネットワーク。第二は、自律的な解釈である。観測データの曖昧性を解決し、申告値と観測値の不整合を検知し、その不整合に対して、事前に定められたルールの範囲でならば人間の介在なしに作動できるエージェンティックAI。第三は、改ざんが検知可能で、単一の主体が支配しない記録基盤である。記録された観測を、いかなる当事者も事後に書き換えられないこと。この性質は分散台帳によって実現しうるが、それに限られるわけではなく、要件は技術ではなく機能の側にある。産業規模のスループットとコストでこれを満たす選択肢が、複数の系統で実用段階に入っている。これら三つの構成要素は、いずれか単独では信頼問題を解消しない。自律的な解釈なしのセンサーは、依然として人間のレビューを要するデータを生成する。改ざん検知不能な記録の上での解釈は、その記録管理者によって覆されうる結論しか生成できない。直接観測なしの記録は、もとの問題の源泉である人間の証言を、形式化するに過ぎない。三つの収束こそが、変化を構成する。
人間の証言の解消は、一度には起こらない。信頼層が成熟するに従い、段階的に進行する。現在の構成では、センサーが直接観測を行うが、現行モデルの解釈範囲を超えるエッジケースについては、人間のレビューがループに残る。モデルが改善され、蓄積された観測データが物理的現実のロングテールに対する訓練を進めるに従い、このループは縮小する。人間の関与は、個々の判断を確認することから、判断が行われるルールを設計し、ルールが解決できない紛争を処理することへと移行する。終点は、人間の判断の排除ではなく、その配置の変更である。すべての取引の内側から、システム全体の外側へ移る。資源台帳は、この軌跡のために構築されるものであり、その上の単一の地点のために構築されるものではない。
この収束が初めて可能にするのは、原理が要求する解像度と連続性において、複式簿記を物理的質量に適用することである。インフローとアウトフローを直接観測し、いずれの主体も単独では支配できない基層に記録し、いかなる単一の証言にも依存せず物理的事実へと収束する自律的プロセスによって整合させることが、可能になる。本稿の冒頭で述べた非対称、すなわちインフロー記録の精度とアウトフロー詳細の喪失は、誰かの怠慢や設計の誤りが生んだものではない。人間の証言と監査という、それまで利用可能だった唯一の信頼の仕組みでは、あの解像度までしか記録を支えられなかった。アウトフローの記録が粗いのは、そこが上限だったからである。その上限が、いま、引き上げられつつある。
ここで提示する提案は、その構想において新しいものではない。20年以上前、William McDonough と Michael Braungart は、Cradle to Cradle と、それに続く Intelligent Materials Pooling の研究において、物質が共有のプールを通じて循環する経済の動作論理を明示した。複数の主体が、定められた使用期間を経て、預け、引き出し、補充する経済である。この構想は、設計原理とビジネス・アーキテクチャのレベルで規定された。当時規定できなかったもの、そしてこの構想が要求していたものは、こうしたプールを規模を伴って信頼できるものとするための運用基盤であった。すなわち、預入が検証され、引出が記帳され、申告値と観測値の不整合が、いかなる単一主体への依存もなく解決される、その手段である。ここで提示する提案は、その基盤である。資源台帳は、物質プールという概念が、待ってきたプロトコル層である。
以下の五つの原理は、並列の要件ではない。連鎖である。各原理は、その前の原理が塞ぎきれずに残す失敗モードを塞ぐ。五つで、連鎖は閉じる。
第一の原理は、複式簿記の物理的質量への拡張である。台帳上のすべての取引は、物質の移動を対の記入として記録する。あるノードからのアウトフローと、別のノードへのインフローが、質量において等しく、組成において等しく、時間において等しい。記入が均衡しない場合、その取引は不完全であり、不整合が解決されるまで未決済として残る。これは複式簿記そのものではない。複式簿記が会計にもたらした検証原理、すなわち対称性によって誤りが露呈する仕組みを、物質フローに持ち込むものである。物質収支の考え方は化学工学に古くから存在するが、それを事後の分析手法としてではなく、取引のたびに作動する連続的な検証プロトコルとして再構成する点が、ここでの提案の核心である。
基本的な恒等式は保存則である。ネットワーク上の任意のノードについて、任意の定められた期間において、入った物質は、出た物質と、内部に保持された物質の変化分の合計に等しい。インフローはアウトフローとストック変化の合計に等しい。この恒等式が成立するのは、質量が保存されるからである。台帳がこの制約を課すのではなく、それを記録するのである。台帳が加えるのは、この恒等式が、集約された質量ではなく識別可能な物質のレベルで整合されること、そしてその整合が事後的にではなく連続的に行われること、という要件である。
恒等式の成立には、二つの境界の定義が必要である。時間境界と物質境界である。時間境界は、インフロー、アウトフロー、ストック変化が整合される期間を定める。1時間、1日、1年、実装に応じて選択される。期間内のストック変化は、期間終点と期間始点におけるストック残高の差であり、期間開始前から存在する物質は、開始条件として扱われ、フローには含まれない。物質境界は、ノード内部に保持されるものとして何を数えるかを定める。在庫、固定資産に組み込まれた物質、長期使用される製品に含まれる物質である。両境界は実装に応じて選択されるが、いったん定められた境界の中で、恒等式は厳密に成立する。境界が定義されない限り、原理は適用できない。境界が定義されれば、どの規模を選んでも、保存方程式は厳密である。
あらゆるフローを記述するのに、三つのカテゴリの記入で十分である。移送は、物質があるノードから別のノードへ移動することを記録する。両ノードが、互いに反対方向で記入する。変換は、物質がノード内部で形を変えることを記録する。記入は、入力物質と出力物質、およびあらゆる残渣を対として組む。保持は、物質が期間を通じてノード内に留まることを記録する。記入は、その物質が移動または変換するまで持続する。あらゆる物理的移動、あらゆる化学変化、あらゆるストックへの蓄積は、これら三つの組み合わせとして表現できる。
消費という日常の語は、この台帳の上では変換の一種である。燃焼は物質を消さない。燃料は排ガスと灰に変換され、食品は生体と呼気と残渣に変換される。エネルギーとして使われた物質も、質量としてはどこかへ移る。保存則は破れない。破れるのは追跡である。したがって実装は、物質境界を定めるとき、大気や水域への放散をどう扱うかを併せて選択する。境界内の環境ノードへのアウトフローとして記帳するか、境界外への退出として記録した上で追跡を打ち切るか、である。いずれの場合も、退出は退出として記帳される。この台帳に存在しないのは、無言の消失だけである。
ただし、対称性が保証するものの限界を、ここで正確に述べておく。複式簿記において、対称性が暴くのは誤りである。嘘は暴かない。架空の取引は、完璧に均衡する。貨幣の会計が500年かけて学んだのはこのことであり、銀行と監査の連鎖が帳簿の外側に築かれたのは、このためである。対の記入は検証の文法であって、真実の保証ではない。次の原理が存在するのは、この欠落のためである。
第二の原理は、台帳上の記入が、現実についての申告からではなく、物理的現実そのものから生成されることである。あらゆる移送、変換、保持は、それが起きる場所と時点において、物質的事実を登録する役割を持つ機器によって観測される。観測は、誰かによってなされた記入の根拠ではない。観測そのものが記入である。物理的な事象とその記録の間に、人間の証言は介在しない。
これは、信頼層の構造的な反転である。従来の構造では、記入の源は申告であった。その申告内容に利害を持つ主体がなす申告が源であり、その申告が、検証されるとすれば、別の主体によって検証される。資源台帳は、これを反転させる。源は観測であり、申告があれば、それは観測に照らして確認される。両者が乖離する場合、観測が優先される。500年かけて精緻化されてきた、しかし常に検証コストによって制約されてきた証言の連鎖は、年々コストが下がる観測の連鎖によって置き換えられる。
この原理が機能するためには、一つの条件が必要である。独立性は、単一の機器ではなく、観測の連鎖の中に存在しなければならない。アウトフローを生成する当事者による自己計量は、それ単独では、機器化された証言である。それが観測となるのは、フローの次の当事者、すなわち受領者、運搬者、処理者による独立した計量と照合されたときである。それぞれが、異なる利害の位置から、同じ物理的事象を登録する。独立性は、センサーの属性ではなく、複数のセンサーが連なって構成するネットワークの属性である。個々の観測は、センサー誤差、サンプリング誤差、組成や水分の変動を伴う。単一の観測が捉えるのは、真実ではなく、許容範囲を伴う推定値である。複数の独立した観測が連なり、相互に照合されることで、その推定が物理的事実へと収束していく。
なお、現在の実装の多くにおいて、観測は混成である。質量は機器が登録するが、品目の選択やデータの確定には、人間の手が残る。原理が要求するのは、初日からの完全な自動化ではない。記入の重心が、申告から観測へと、後戻りなく移り続けることである。
しかし、この照合は、新しい問いを開く。いま「異なる利害の位置から」と述べた。物質のフローにおいて、利害は本当に異なるのか。この問いが、次の原理の主題である。
第三の原理は、台帳上の不整合が、外部の権威に依拠せず解決されることである。同じ物理的事象についての連結された観測が、許容範囲を超えて乖離する場合、その解決は、システム内部のメカニズムによってなされる。規制当局も、監査人も、裁判所も呼び出されない。事前に定められたルールに従って、台帳は進行するか、進行しないかのいずれかである。
これを可能にする条件が三つある。第一は、既に確立された構造的条件である。観測は、複数の主体の連鎖から生成され、いかなる単一主体も、記録される結果を支配しえない。第二は、連鎖の中の各主体が、自身の観測の正確さに対して、経済的な利害を持つことである。観測が他者と継続的に食い違う主体は、コストを負う。継続的に一致する主体は、信頼を獲得する。コストと信頼は実体を伴う。それらは、将来の取引へのアクセスと、相手方が応じる条件を規定する。第三は、解決のルールそのものが、それが支配する当事者にとって改変不可能であることである。不整合がどう評価されるか、信頼がどう更新されるか、記入が確定または保留されるか、という論理は、フローの参加者がいかなる主体も単独で改変できない基層に書き込まれる。これがなければ、ルール自体が新たな証言の場となり、反転はプロトコルのレベルで取り消される。
しかし、この機構の限界を、正面から述べなければならない。金融における照合が敵対的に働くのは、支払う側と受け取る側の利害が対立しているからである。物質のサービス連鎖は、そうではない。排出者が支払い、運搬者と処理者はその受託者である。物質が最も安く消えることで、連鎖の全員が得をする局面が、構造的に存在する。ここでは利害は対立せず、整列する。整列の仕方は単純である。適正な処理には実費がかかる。適正処理の対価を受け取りながら、物質をより安い経路（名目の付け替え、不適正な保管、投棄）へ流せば、その差額はそのまま剰余となる。排出者は安い見積りを選好し、支払った後の実際の行き先を確かめる動機を持たない。上に述べた整合メカニズムは、機器の誤りと、単独の主体による不正を検出する。しかし、連鎖の全員が同じ数字に合意する協調した虚偽に対しては、照合は無力である。全員が同じ嘘をつくとき、帳簿は完璧に均衡する。この失敗モードは、検証の技術では塞げない。塞ぐのは、次の原理である。
これによって人間に残されるのは、証言の仕事ではなく、設計の仕事である。そして、その設計の中心にあるのは、観測ではなく分類の問題である。物質を測ることは、いまや比較的容易になった。難しいのは、測ったものが何であるかを定義することである。汚れた樹脂、複数のポリマーの混合物、食品残渣の付着した包装、複合材。現実の物質は、明確な種別の境界を持たない。台帳が記録する「識別可能な物質」は、自明に存在するのではなく、分類のオントロジーによって構成される。このオントロジーをどう定め、境界の曖昧な物質をどう扱い、新しい物質をどう既存の体系に位置づけるか。これは観測技術だけでは解けない。分類の体系と、それを運用する人間と機械の協働を要する。人間の証言の役割は、取引のレベルで密であったものが、排除されるのではなく、システム全体のレベルへと再配置される。システムの内側では、台帳の記入は人間の介在なしに生成され、確定する。システムの外側では、人間が、システムが稼働する条件を定める。
第四の原理は、協調した虚偽を破るものについてである。それは検証ではない。需要である。
Bitcoin のマイナーが正直に振る舞うのは、参加者が善良だからではない。ブロック報酬が、正直を最も収益的な戦略にしているからである。セキュリティは道徳からではなく、予算から生まれる。資源台帳における報酬は、検証済みの物質が、証言しか持たない物質に対して獲得するプレミアムである。観測が台帳上に直接記録された物質は、検証可能な組成、追跡可能な起源、監査可能な行き先を持つ。そのように記録されない物質は、代わりに証言を持つ。基層がまさに置き換えるために設計された、その形の証拠である。両者の間の価格差、すなわち検証プレミアムこそが、この台帳のセキュリティ予算である。連鎖の全員が共謀して物質を安く消すことで得られる剰余よりも、検証済みであることのプレミアムが大きいとき、そのときに限り、正直な観測は支配的戦略となる。
このプレミアムの支払い手は、かつて存在しなかったが、いまは着席しつつある。II章で述べた転換が、それを創出したからである。輸出規制は、出所の証明された物質に価格を付けた。Digital Product Passport は、検証可能な材料情報の提出を市場アクセスの条件に変えつつある。包装への再生材含有を義務づける EU の包装・包装廃棄物規則(PPWR)や、持続可能航空燃料の混合を義務づける ReFuelEU Aviation のように、認証された再生素材そのものに法定の需要を創出する規則も、既に施行の段階に入った。Scope 3 の算定義務を負う最終需要家は、認証された再生材の調達に、規模を伴う予算を割り当て始めている。任意であった道徳的需要は退場したが、構造に組み込まれた主権的需要は退場しない。台帳の正直さがこの需要の上に立つことは、設計の脆さを意味しない。Bitcoin のセキュリティがブロック報酬の経済価値の上に立つのと、同型の構造だからである。
需要が立てば、普及は説得を要しない。すでに台帳上に存在する質量の重力的引力によって進行する。基層に十分な物理的質量が記録され、外側にとどまるコストが接続するコストを超えた地点で、ネットワーク上のノードと取引する主体は、構造的な選択に直面する。基層に接続するか、そのノードのフローへのアクセスを失うか、である。接続された相手方は、署名された契約が口頭の約束より選好されるのと同じ理由で、選好される。検証のコストは低く、紛争のリスクは低く、決済の速度は高い。やがて、基層に接続されていない主体は、拒絶されるのではない。単に選ばれなくなるだけである。閾値は、信念、イデオロギー、環境への関心の関数ではない。それは、質量の関数である。
ここで、基層の中立性について、一つの先例から学んでおく必要がある。単一主体が支配しない、という要件は、理想主義ではない。Maersk は、世界最大級の海運物量を自社と IBM の構築した基盤 TradeLens に載せたが、2023年、それは停止した。公式に挙げられた理由は、業界全体の協調が達成されなかったこと、である。競合他社は、ライバルの支配する基層に自らのフローを接続しなかった。質量は引力を生むが、基層が単一の参加者に所有されているとき、同じ質量は斥力へと転じる。中立性は、相次いで停止したコンソーシアム型基層の教訓から導かれる、生存条件である。
しかし、重力は質量の関数である。ならば、質量がゼロのとき、引力もゼロである。最初のノードは、なぜ接続するのか。この問いに答えるのが、最後の原理である。
答えは、ネットワークの外にある。最初のノードは、ネットワークのために接続するのではない。単独で、初日から、回収するために接続する。
第五の原理は、物理的物質を統治する既存の制度的枠組みとの互換性である。資源台帳は、既存の法令や標準が要求するマニフェスト、報告書、認証書類、開示文書を、置き換えようとしない。それらを生成する。基層レベルで記録された物質情報は、規制当局、認証機関、既存のプロトコルが規定する形式で、要求に応じて出力される。基層は、直接観測、対の記入、自律的整合という、自らの論理によって動作する。提示層は、それを読み取るいかなる枠組みの論理によっても動作する。両層は独立であるよう設計されている。プロトコルが、いかなる枠組みにも従属することなく、いかなる枠組みにも奉仕できるようにするためである。
その帰結として、コンプライアンスの相当部分は、独立した活動ではなくなる。行政への報告は、制度が求める限り残る。しかしその作成は、申告を組み立てる作業ではなく、基層からの出力になる。基層が一度書き込まれれば、それは、追加の申告なしに、要求されるあらゆる形式に出力されうる。そして、台帳を共有する民間の当事者の間では、報告という往復そのものが不要になる。その報告を読む主体、すなわち規制当局、監査人、認証機関は、慣れ親しんだ形式で報告を受け取る。彼らは、それを生成した基層を理解する必要がない。既存の枠組みは稼働を続ける。それらは単に、本来読み取るために設計されていたものより信頼性の高い情報源の、消費者となる。置き換えは要求されず、必要でもない。変化するのは、既存の枠組みが受け取る情報の質である。
そして、この互換性は単なる相互運用の配慮ではなく、プロトコルの冷始動エンジンである。マニフェストの作成、行政報告、開示文書といった、現に存在する事務の負担が、接続した単独のノードにおいて、ネットワークの成立を待たずに消える。最初のノードが接続する理由は、台帳の未来にではなく、そのノードの今日の損益計算書にある。ネットワークの価値は、その後から、記録された質量とともに立ち上がる。
これら五つの原理は、並列の列挙ではなく、一つの連鎖である。対称性が、誤りを暴く。観測が、記入から証言を排除する。整合が、機器の誤りと単独の不正を検出する。需要が、協調した虚偽を不採算にする。適合層が、ネットワークの存在しない初日に、接続の理由を与える。各原理は、前の原理が残す失敗モードを塞ぎ、五つで連鎖は閉じる。本稿の主張は、これが必要な最小限であり、規定してよい最大限だ、ということである。これより少なければ、20年前に構想された物質プールは規模を伴って稼働しえず、これより多ければ、プロトコルは実装者に委ねられるべき選択にまで踏み込むことになる。この主張の当否そのものが、続く仕事と批判に開かれている。ここで規定したのは、物質フローが、500年にわたってそうしたシステムを制約してきた信頼層に依拠せず、記録され、検証され、決済されうる、その論理である。ここで規定していないのは、個々の実装が取るべき形である。プロトコルは一つであっても、実装は一つにはならない。
本稿は、解かれていないものを明記して閉じる。この台帳が規模を伴って稼働するまでに、解かれなければならない問題が四つある。
第一に、分類問題。 測られたものが何であるかを、誰が、どう定義するか。台帳が記録する「識別可能な物質」は、分類のオントロジーによって構成される人工物であり、現実の物質は種別の明確な境界を持たない。オントロジーの設計、境界事例の裁定、新素材の位置づけ。いずれも観測技術だけでは解けず、分類体系とそのガバナンスを要する。循環経済の最も深い困難は、計測の精度ではなく、この分類にある。
第二に、整列利害問題。 物質のサービス連鎖では、金融と異なり、当事者の利害が対立せず整列する局面が構造的に存在する。連鎖の全員が同じ嘘に合意するとき、照合は無力である。本稿は構造的な答えを与えた。検証プレミアムが共謀の剰余を上回るとき、正直は支配的戦略となる(原理4)。しかし、その不等式がすべてのノードで成立する定量的条件は、確立されていない。
第三に、許容問題。 個々の観測は、センサー誤差、サンプリング誤差、水分と組成の変動を伴う。誤検知を避けるために許容範囲を広げれば、検証力そのものが失われる。整合が意味を持つための信号対雑音比の条件は、確立されていない。この問題は、台帳がどこから始まるかを規定する。検証の信号が雑音を上回るのは、価値密度が高く、カテゴリが安定した物質からである。クリティカルミネラル、電池材料、電子機器廃棄物といった、都市鉱山と呼ばれてきた領域は、主権的需要が既に存在する場所と、信号対雑音比が成立する場所とが、正確に重なる交点である。台帳はここから始まり、観測コストの低下とともに、混合廃棄物へと降りていく。
第四に、冷始動問題。 ネットワークが存在する前に、誰が最初に接続するか。本稿は構造的な答えを与えた。適合層が、単独のノードに初日からの回収を与える(原理5)。しかし、単独ノードの価値が接続コストを上回る条件は法域と業種に依存し、その実証はこれからである。
二つの問題(整列利害・冷始動)には、本稿は構造的な答えを与えた。二つの問題(分類・許容)は開いたまま残り、本稿に続く仕事に引き継がれる。四つを本稿の側から先に示したのは、これらが本稿の主張の急所であると同時に、この領域の研究がこれから進む道筋そのものだからである。
提案したものは、一つの拡張である。500年にわたって貨幣的価値に適用されてきた複式簿記の原理が、いま、物理的質量に適用される。あるノードからのアウトフローは、別のノードへのインフローであり、質量において等しく、組成において等しい。それは、証言によってではなく観測によって記録され、権威によってではなく、検証済みであることの価値によって、正直に保たれる。
冒頭で述べた非対称、すなわちインフローは識別され、アウトフローは失われるという非対称は、誰かの意志や怠慢が生んだものではなかった。人間の証言に依拠し、常に部分的にしか検証されえないほど高いコストで監査されてきた信頼の仕組みが、支えることのできた記録の上限であった。その上限が、いま、引き上げられつつある。物質が、その移動の現場で観測され、その観測が中央の権威なしに整合されるとき、アウトフローはインフローと同じだけ可読になる。台帳が、両側で閉じる。
その帰結は、時間において測られる。識別された物質は、使用へと戻されうる。識別された物質は、人類の経済を桁違いに上回る時間軸へと委ねられる必要がない。物質が移動するあらゆる領域に台帳が広がるにつれ、物質の回帰サイクルは、それを使う経済の時間軸に向かって収縮する。現在の非対称から生じる症状、すなわち枯渇、蓄積、惑星境界の超過は、その根において、帳簿の片側にとどめられた物質の症状である。
質量はつねに保存されてきた。出ていくものは、必ずどこかにある。物質は、はじめから二つの側面を持っていた。記録が、ようやくその対称性に追いつく。
本稿には、続く仕事を予定している。ひとつは、記入のスキーマ、整合の規則、許容のモデルをオープンな仕様として規定する仕事。もうひとつは、稼働中の実装から得られる実整合データによって、許容問題に数字で答える仕事である。
大村 拓輝 — 2026年。本稿はワーキングペーパーであり、引用と批判に開かれている。
本付録は、続く仕様の仕事で規定される核となる最小の形式を、素描として示す。
記入。 台帳上の記入は、次のタプルとして定義される。
e = (n_from, n_to, t, c, m, o, i)
n_from / n_to は移動元・移動先のノード、t は観測時刻、c は分類オントロジー上の物質クラス、m は質量、o は観測の識別子、i は観測を生成した機器の識別子である。変換の記入は n_from = n_to とし、入力クラスと出力クラス(残渣を含む)の集合を対とする。保持の記入は、ノード n・クラス c のストック残高 S_n(c, t) として表現される。
保存恒等式。 任意のノード n、物質クラス c、期間 [t₀, t₁] について:
Σ inflow(n, c) − Σ outflow(n, c) = S_n(c, t₁) − S_n(c, t₀) ± τ(c)
τ(c) は物質クラスに固有の許容範囲であり、水分・サンプリング・機器誤差の合成として定義される。τ の設計は許容問題(IV章)そのものであり、続く運用データの仕事によって較正される。
状態機械。 記入は三つの状態を持つ。
未決 (pending) → 確定 (confirmed) | 係争 (disputed)
対の記入が τ(c) の範囲内で照合されたとき、記入は確定する。照合が期限内に成立しないか、乖離が τ(c) を超えるとき、記入は係争に移行し、乖離の源が特定されるまで決済されない。各主体の信頼値は、照合の一致履歴の関数として更新され、将来の取引条件に反映される。信頼更新関数の形は、仕様の仕事で規定する。