SCADAの冗長化と高可用性：ホットスタンバイ、RAID、24時間稼働

単一サーバー構成がライン停止リスクになる条件

SCADAサーバー1台は、パイロットライン、試験室、上位画面がなくても数時間運転できる現場には適しています。班がその画面で生産を回し、アラームで異常を先に見つけ、品質やエネルギーの帳票まで同じ筐体の履歴を読むようになると、単一構成は適さなくなります。

痛い故障は劇的なクラッシュばかりではありません。ディスク満杯、Windows更新のハング、電源ユニットの停止、NICの切断に、次のシフトがトレンドを開けないまで気づかない、という方が多い。問うべきはサーバーが壊れるかどうかではなく、無しで生産が何時間持つか、戻ったときに直近数分のデータが残っているかです。

• 空き時間のない連続生産：自動車・家電・食品のライン、プロセス装置、ユーティリティ設備は、再構築を待てない
• HMIが操作位置になっている：起動停止、レシピ投入、アラーム確認がその画面で行われ、機側パネルだけではない
• 履歴がランタイムと同じディスクにある：ディスク故障で、ライブ画面も品質・エネルギー帳票の根拠も同時に消える
• 通信ドライバがそのホストにしかない：PLC、OPC、ゲートウェイのセッションが筐体と一緒に切れ、予備PCを持ってきてもチャネル再構築まで現場が見えない
• 7×24だが夜勤が薄い：当番はアラーム確認はできても、午前2時にサーバーイメージを復元できない

上のうち2つ以上が当てはまるなら、単一サーバーはコスト削減ではありません。サーバー故障を生産停止として受け入れる、という黙認です。

ホットスタンバイとクラスタが揃えるべきもの

ライセンスをもう1本買い、隣にPCを置くだけではホットスタンバイではありません。切り替えが成立するには、オペレータが数秒後に必要とするものの使えるコピーが、すでに待機側にある必要があります。初回の実フェイルオーバーまで忘れられがちなのが4つ：リアルタイムDB、履歴DB、HMI工程、通信チャネルです。

当社の納入では、冗長クラスタとデュアル機ホットスタンバイを見積のチェック項目ではなくアーキテクチャの選択として扱います。どちらがアクティブか、状態のコピー方法、切り替え中にオペレータが見るものをペアで合意する。生存ノードの画面秒単位更新は、その画面のタグがまだポーリングされているときに限って意味があります。

• リアルタイムDB：現在値、アラーム状態、インタロック、メモリ上の設定値。待機側が数秒遅れているだけで、班はすでに誤った絵で操作する
• 履歴DB：トレンド、イベント、工程カーブ。ディスクのRAID1は第2ノード上のレプリカとは別物。切り替え後の履歴欠落は品質と監査の問題であり、ITだけの問題ではない
• HMI工程：画面、タグ結線、スクリプト、ユーザー権限、言語リソース。昨日の工程ファイルでランタイムが起きると、DBが新しくても絵は間違う
• 通信チャネル：PLCパス、OPC UA/DAセッション、ゲートウェイ、どのNICにバインドするか。チャネルがプライマリにしか無いと、待機側は空の工場で起動する

実務的な試験は、オペレータがトレンドを見ながらアラームを確認している最中にプライマリを抜くことです。待機側が同じタグ、同じアラーム一覧、直近の履歴を出せなければ、そのペアはまだ冗長システムではありません。

RAIDと、それが載っているサーバー

データベースディスクのRAID1が守るのは、ディスク1本の故障です。マザーボード故障、OSハング、ミラー両面のランサムウェア暗号化、一度も試験していないUPSは守れません。ディスク冗長とアプリケーション冗長は層が違います。提案書で両者を混ぜると、「RAIDは入れたのにラインは止まる」現場になります。

SCADAを載せるサーバーは、電源経路、冷却経路、ネットワーク経路も、現場が本当に求める可用性に合わせる必要があります。デュアルNICの価値は、産業ネットワークとオフィスネットワークを隔離することにあり、帯域を束ねることだけではありません。データベースRAID1、デュアル機ホットスタンバイ、冗長クラスタが同じ部屋にあっても、スイッチ1台、UPS1台、キャビネットファン1台を共有すれば同時に倒れます。

• データベースボリュームのRAID1：ディスク1本の故障で履歴ストアを落とさない。バックアップが読めることはリストア訓練で証明する
• 冗長電源と、銘板の数字ではなく実測したランタイムを持つUPS
• 用途を文書化したデュアルNIC：一面は産業ネットワーク、一面はオフィスまたはヒストリアン網。同じVLANに2本入れる構成ではない
• ペアの物理分離：1ラックに2台は1台より強い。2系統のUPSと2台のアクセススイッチに分ければ、単一キャビネット故障に耐える

層、冗長手段、検収で証明すべきこと

提案書の「冗長」は試験できません。下表は、プロジェクト経緯を知らない第三者が試験し、可か不可かを記録できるように書いてあります。3列目はベンダー既定値のコピーではなく、現場自身の数字——切り替え時間、履歴ギャップ、切り替え権限者——で埋めてください。

プロジェクトで用いるアーキテクチャ層の実践には、冗長クラスタ、デュアル機ホットスタンバイ、データベースRAID1、7×24稼働、画面秒単位更新があります。これらは検収項目であり、現場稼働率のパーセントではありません。3年分を履歴ストアへ移す判断はデータ層の別件であり、RAIDとレプリカ設計の横に書くものであって、それらの代替ではありません。

ネットワーク隔離と権限：可用性が求める範囲まで

オフィス網が産業網を溢れさせられる、あるいは侵害された1アカウントで両ノードを止められるなら、高可用性は一緒に崩れます。本稿はOTセキュリティの専論ではありません。以下はフェイルオーバー試験と工場監査で直接出る項目です。

大規模プロジェクトでは、産業ネットワークとオフィスネットワークの物理隔離とギガビット光ファイバーL3スイッチング、サーバーのデュアルNIC隔離、RAID1、段階別権限、ハイリスクファイルフィルタリングを実施してきました。権限、ロール、監査は現場のセキュリティ要件に合わせて構成します。関連設計とドキュメントはプロジェクト範囲で提供でき、工場監査、検収、第三者評価に協力します。具体的な結論はプロジェクト証拠に基づきます。

• 産業ネットワークとオフィスネットワークを隔離し、ブロードキャストストームやデスクトップ側マルウェアでSCADA両ノードが巻き込まれないようにする
• デュアルNICを用途でバインドする：プロセス通信は一面、オフィスまたはヒストリアン通信は他面。安易なブリッジはしない
• 書き込み権限、レシピ投入、エンジニアリングアクセスを指名ロールの後ろに置き、誰が何を変えたかの監査証跡を残す
• SCADAホストでハイリスクなファイル種別をフィルタする。USBのインストーラコピーは、両ノードに同じ不要ソフトが入るよくある経路です

現場にすでにOTセキュリティの枠組みがあるなら、SCADA冗長はその内側に置き、横に別系統を作らない。上表の検収試験は依然有効です。隔離はできていても切り替えできないペアは、まだ高可用システムではありません。