工場OTネットワークのVLAN分離を設計・導入するとき、スイッチにVLAN番号を設定するだけでは、設備間の通信を安全に制御できません。先にPLC、HMI、I/O、設備保全端末、履歴サーバーなどの実通信を把握し、どの設備を同じセルに置くか、どのセル間通信を許可するかを決めます。この記事では、タイ工場の既設ラインを止めずに進めるための現状調査、VLAN・IP・ルーティング設計、RFP、FAT/SAT、運用引継ぎを一つの手順として整理します。
最初に結論を示します。VLANはブロードキャストドメインを分けるための論理的な仕組みであり、それだけでセキュリティ境界が完成するわけではありません。 セル間やIT/OT間の通信を制御するには、L3ルーティング点、ACLまたはファイアウォール、許可通信表、ログ、変更管理を合わせて設計します。制御トラフィックの可用性と安全機能も同時に検証してください。ISA/IEC 62443-3-2はゾーンとコンジットを定義し、リスクを評価する枠組みを示しますが、「1 VLAN＝1ゾーン」と機械的に決める規格ではありません。ISA/IEC 62443-3-2のプレビュー
工場OTネットワークのVLAN分離で何を解決するか
古い工場ネットワークでは、複数ラインのPLC、HMI、エンジニアリング端末、プリンタ、カメラ、保全PCが同じL2ネットワークに接続されていることがあります。ネットワーク機器の交換や新しいIoT端末の追加を重ねた結果、どのポートに何が接続され、どの通信が必要かを誰も説明できない状態も珍しくありません。全設備を一度に分ける前に、対象を一つの設備セルまたは一つの生産ラインに絞ると、切替と復旧の手順を検証できます。
VLANを分ける第一の効果は、L2のブロードキャストや一部のマルチキャストの範囲を設計できることです。Rockwell AutomationとCiscoのCPwE設計ガイドは、機能、ライン、現場の特徴に応じてVLANを構成できること、異なるVLANの通信には別途ルーティングが必要であることを説明しています。CPwE Design and Implementation Guide ただし「VLANを増やせば性能が上がる」とは限りません。PLCとI/Oの周期通信、産業用マルチキャスト、時刻同期、装置探索の仕組みが境界をまたぐ場合、通信方式と機器仕様に応じた検証が必要です。
第二の効果は、アクセス制御を置く境界を明確にできることです。たとえば組立セルのPLCとHMIを同じ制御セルに置き、品質サーバーとの接続だけをL3境界経由にすれば、必要な通信を列挙して審査できます。ただしVLANを分けても、L3スイッチが全VLAN間を無制限にルーティングしていれば、通信制御の目的は達成できません。CISAのセグメンテーション資料も、OT/IT境界、DMZ、ファイアウォールで必要な接続を限定する考え方を示しています。CISA: Layering Network Security Through Segmentation
第三の効果は、障害時の切り分けです。セル別にポート、IP範囲、ゲートウェイ、接続先を定義しておけば、あるラインで通信異常が起きた際に、セル内のL2問題か、境界のルールか、上位サーバーかを追いやすくなります。ただし、VLANそのものが冗長化や可用性を保証することはありません。ループ防止、スイッチ冗長、電源、リング構成、設定バックアップは別設計です。詳しくは既公開の産業用イーサネットスイッチ選定と産業用ファイアウォール選定も参照してください。
導入前に作るべき現状台帳と通信マップ
最初の成果物はVLAN一覧ではありません。資産台帳、物理接続図、通信フロー表、停止影響の一覧です。現場確認では、設備名だけでなく、スイッチの型式とファームウェア、ポート番号、MACアドレス、IPアドレスとサブネット、PLC/HMIの役割、保全担当、停止可能時間を記録します。既設スイッチがマネージド型か、802.1Qタグ、ACL、ポートミラー、IGMP Snooping、ログ、設定バックアップに対応するかも確認します。図面と現物が違う場合は、現物のポート接続を優先して差分を残します。
通信調査は、稼働中のパッシブな観測を基本にします。短時間のキャプチャだけでは、夜間バッチ、週次バックアップ、定期校正、月末の帳票転送、保全ベンダーの遠隔接続を見落とします。少なくとも対象ラインの代表的な運転モード、段取り替え、設備停止と再起動、品質検査、保全作業のタイミングを含めて確認します。キャプチャを行うなら、SPANまたはTAPの配置とミラー容量を事前に検討し、制御機器への能動スキャンは機器メーカーと設備担当の許可を得た検証計画に入れます。NIST SP 800-82 Rev.3は、OT固有の性能・信頼性・安全の制約を考慮してセキュリティ対策を選ぶよう説明しています。NIST SP 800-82 Rev.3
通信フロー表には、送信元、宛先、方向、プロトコル、ポート、周期または発生条件、業務目的、停止時影響、承認者を一行ずつ残します。「PLCからサーバーへTCP通信」とだけ書くと、設定時に許可範囲が広くなります。サーバーの役割、どのPLC群から、どの機能で、どの時間帯に、どのアプリケーションが接続するかまで確認します。プロトコルが動的ポートやブロードキャスト探索を使う場合、仕様書とパケット観測の両方で確かめます。資産と通信の一覧は将来の変更審査にも使うため、初回導入だけの資料にしないことが重要です。
| 調査項目 | 現場で確認すること | 設計への反映 |
|---|---|---|
| 接続点 | スイッチ、物理ポート、配線先、接続機器 | アクセスポートとトランクポートの割当 |
| アドレス | IP、サブネット、ゲートウェイ、重複の有無 | VLAN別IP計画と移行順序 |
| 必要通信 | PLC–HMI、PLC–I/O、履歴、時刻、保全 | セル内通信と境界許可表 |
| 運転条件 | 通常、段取り、停止、復旧、保全 | FAT/SATの試験ケース |
| 安全・可用性 | 停止影響、フェイル動作、代替手順 | 切替時間帯、ロールバック条件 |
ゾーン、VLAN、サブネット、コンジットを分けて考える
設計会議で最も混同されやすい四つの言葉を分けます。ゾーンは似たセキュリティ要求を持つ資産のまとまり、コンジットはゾーン間に必要な通信の経路です。ISA/IEC 62443-3-2:2020のプレビューは、対象システムをゾーンとコンジットに分割し、それぞれのリスクと要求を文書化する範囲を示しています。VLANはL2上の論理的ブロードキャストドメイン、IPサブネットはL3アドレスの管理単位です。これらは対応させることが多いものの、概念は同じではありません。ISAの規格一覧
たとえば設備セルAにPLC、HMI、分散I/O、サーボを置き、セルBに別ラインの同種機器を置く場合、制御の密な周期通信をセル内に保持する設計が考えられます。上位の履歴サーバーやMESに実績を渡す通信はセル境界を通す。このとき「セルA＝VLAN 110、セルB＝VLAN 120、履歴サーバー＝VLAN 300」という割当は、ゾーン設計を実装する一つの方法です。しかしセルAの中に安全関連制御や保守用端末があるなら、要求が同じとは限りません。別の物理ネットワーク、別のゾーン、機器側のアクセス制御が必要かをリスク評価で決めます。
VLAN番号は設備の安全度を示すラベルではありません。「VLAN 110は高セキュリティ」という名称だけでポート設定と通信許可を決めると、設計変更に耐えません。各VLANには、対象設備、接続可能ポート、IP範囲、管理責任者、L3ゲートウェイ、許可先、禁止先、更新手順を対応づけます。トランクに不要なVLANを許さない、未使用ポートを無効化する、ネイティブVLANの扱いを標準化するなど、スイッチ設定の実装細部も設計書に落とします。機器ごとの機能差があるため、設定例を別メーカーへそのままコピーしないでください。
VLAN分離だけでは通信制御が完成しない理由
VLAN間の通信を許可するにはルーティングが必要です。ルーティング点に「すべて許可」があると、分離したL2ドメインの間をほぼ自由に行き来できます。反対に「すべて拒否」から始めると、PLCと上位システムの必要通信や保守経路が突然途切れます。そこで、実通信から許可表を作り、L3 ACLまたは産業用ファイアウォールで宛先とサービスを限定します。DPIや産業用プロトコル解釈が必要かは、機器・運用要件と製品の検証結果で決めます。ファイアウォールを買うこと自体が目的ではなく、境界で必要な通信を明示し、監視と変更承認を継続することが目的です。
同じVLAN内の端末間通信は、通常のL3境界を通りません。したがって同一セルに置く機器の選び方、機器認証、ポートセキュリティ、端末側設定も重要です。インターネットとOTを分けるだけでは、セル内の不要な横方向通信までは減りません。NISTやCISAが推奨する層を重ねた境界設計は、この誤解を防ぐ助けになります。可用性の高い制御通信はむやみに境界を増やさず、試験した経路に限定します。
通信許可表を作る手順と実例
通信許可表は「通信した実績があるもの」をすべて許す表ではありません。業務上必要なフローを設備オーナーと確認し、その通信を通す理由、方向、障害時の影響を記録します。資産台帳の不明端末からの通信は、調査対象として保留します。将来使うかもしれないという理由で、広いサブネット間の全ポート許可を初期設定に入れないことが大切です。製造停止に関わる変更は、設備ベンダー、制御設計、IT/OTセキュリティ、保全の四者で確認します。
| 送信元ゾーン | 宛先ゾーン | 用途例 | 設計判断 |
|---|---|---|---|
| セルA PLC/HMI | セルA I/O・ドライブ | 周期制御 | 原則としてセル内で保持し、機器仕様で検証 |
| セルA PLC | 履歴サーバー | 生産実績の収集 | 必要な宛先とサービスだけ境界で許可 |
| 保全端末 | セルA PLC | 承認済み保全 | 接続者、時間、経路、ログ、終了処理を規定 |
| IT業務網 | セルA PLC | 直接アクセス要求 | 原則として必要性を再検討し、代替経路を設計 |
| セルA | セルB | 設備間連携 | 制御要件と停止影響を個別に評価 |
表中の用途は設計例であり、すべての工場で許すべき通信を示すものではありません。実際のポート番号、方向、周期、マルチキャスト、フェイルオーバー時の経路は、機器仕様と現場観測に基づきます。履歴サーバーの接続も、PLCからプッシュする構成、サーバー側がポーリングする構成、ゲートウェイが中継する構成で許可方向が変わります。「何となく双方向」にせず、通信の開始側を記録してください。
ODVAのEtherNet/IPセキュリティ資料はVLANをトラフィック分離の技術として扱い、IGMP Snoopingなどの設定をネットワーク用途に合わせて検討するよう説明しています。ODVA: Securing EtherNet/IP Networks IGMPを有効にすれば万能という意味ではありません。産業用マルチキャスト、クエリア、スイッチの実装、トポロジーを組み合わせて実機試験する必要があります。PROFINETなど別のプロトコルでも、探索やリアルタイム通信の仕組みを事前に照合します。
VLAN・IPアドレス・スイッチ設定の設計ポイント
論理図では設備セル、上位OTサービス、保全接続、IT/OT境界を描き、それぞれのVLAN、サブネット、ゲートウェイを明記します。さらに物理図にスイッチ、アップリンク、ポート、配線番号、設置盤、電源系統を対応づけます。論理図だけでは「このPLCが実際は別ラインのスイッチに刺さっていた」という切替ミスを防げません。逆に物理図だけでは通信許可の目的を説明できません。二つを同じ資産IDで結びます。
既設機器の固定IPを変更するかどうかは、停止時間と復旧難易度に大きく影響します。同一サブネットを複数VLANに重複して配置すると通常のルーティングに問題が生じるため、重複IPやハードコードされた宛先を洗い出します。IP変更が必要なら、PLC、HMI、上位アプリケーション、DNS・NTP設定、バックアップ、保守手順への影響を一つずつ確認します。変更しない場合も、どの境界でルーティングまたは中継するかを明示します。切替前後で設備アドレスを比較できる一覧を用意します。
スイッチ側では、アクセスポートの所属VLAN、アップリンクのトランク許可VLAN、管理VLAN、未使用ポート、障害時のログ、コンフィグ保存を確認します。トランクを「all allowed」のままにすると、後から追加したVLANが意図せず設備域へ伸びることがあります。管理用インターフェースが現場端末から不要に見える構成も避けます。ただし設定変更の順序を間違えると管理経路を失います。現地コンソール、予備の設定、ロールバック時間を決めたうえで投入します。
工場では機器メーカーの制約も重要です。PLCとリモートI/Oを異なるVLANへ動かせるか、HMIの自動探索がL2に依存するか、ドライブ通信が特定のマルチキャスト挙動を要求するか、制御システムのサポート条件を確認します。Ciscoの産業自動化設計ガイドは、周期I/Oや産業用マルチキャストがセル内LAN/VLANにとどまる構成を説明しています。Cisco Industrial Automation Design and Implementation Guide ガイドの例は参考であり、利用中のPLC製品とネットワーク構成の認定条件は個別に確認します。
タイ工場で止めずに進める段階移行
既設ラインを一夜で全面移行する計画は、想定外の隠れた通信を見つけた際の復旧が難しくなります。最初の対象は、設備オーナーが明確で、保守時間を確保でき、通信フローが比較的単純な一つのセルにします。現状のスイッチ設定とPLC/HMIバックアップを取得し、現地で戻せる状態にします。各変更の前に、変更目的、対象ポート、作業者、停止範囲、開始・終了時刻、復旧条件、承認者を記録します。
実施順序の一例は、①資産・通信調査、②ラボまたは停止設備での試験、③上位境界の新設定準備、④一つのセルを切替、⑤機能・性能・保全試験、⑥監視期間、⑦次セルへの展開です。これはすべての設備に共通する固定手順ではありません。二重化した制御系や安全関連設備は、製品仕様と安全担当者の評価に従い別の移行計画を立てます。生産中の制御ネットワークに未承認のスキャンや一斉設定投入をしないでください。
切替中に異常を見つけた場合は、既定のロールバック条件に従います。「通信が切れたら戻す」だけでは曖昧です。たとえばPLC/HMI通信断、周期I/Oの許容外遅延、品質検査データ欠落、時刻同期不良、保全端末の復旧不能など、監視する項目と判断責任者を決めます。復旧後は元設定との差分を残し、原因が分かるまで次セルに進めません。製造設備側の安全停止やフェイルセーフ挙動は、ネットワーク改修だけで変更してよいものではありません。
現場を止めないための切替前チェック
切替直前には、PLCプログラムとHMI設定のバックアップ、スイッチのrunning/startup config、IP台帳、許可通信表、現行トポロジー、保守端末の接続手順、ロールバック手順を同じ版で凍結します。設定ファイルを保存しただけでは復旧できるとは限らないため、機器型式とファームウェアに適合する復元方法を確認します。変更窓の中に、切替、確認、戻しに必要な時間を含めます。設備責任者とIT/OT担当が同じ合否表を見るようにします。
タイ国内の複数拠点を統一設計にする場合でも、ラインの制御方式、設備ベンダー、現地保全能力、回線構成が異なります。共通化するのは命名規則、資産ID、通信表の様式、ログ保存、変更申請などです。VLAN番号やIP割当を全工場に無理に同一にすると既存の番号体系と衝突することがあります。地域拠点ごとのアドレス計画とリモート接続経路を調整し、現地で復旧可能な資料を残します。
RFPでベンダーへ渡す要求仕様
見積依頼では「OTネットワークをVLAN分離する」とだけ書くと、スイッチ設定工数だけを見積もられます。ベンダーに求める成果物を具体化してください。最低限、現状調査の範囲、対象設備とポート数、ゾーン・セル案、VLAN/IP計画、通信許可表、スイッチ・L3・ファイアウォール設定、移行計画、FAT/SAT、運用資料を明記します。現状調査が未完なら、調査フェーズと構築フェーズを分け、未確定通信による追加費用の条件を示します。
| RFP項目 | 指定例 | 受入時に見る証拠 |
|---|---|---|
| 調査範囲 | 対象セル、稼働モード、観測期間、現場立会い | 資産台帳と通信マップの差分記録 |
| 論理設計 | VLAN、サブネット、ゲートウェイ、ゾーン/コンジット | 論理図、IP表、許可通信表 |
| 機器・設定 | 既設機器適合、トランク制限、ACL/Firewall、ログ | 機器仕様と設定レビュー記録 |
| 可用性 | 切替時間、故障時動作、復旧経路 | 試験結果とロールバック手順 |
| 保守 | バックアップ、変更申請、ログ、権限 | 管理手順、責任分担、教育記録 |
費用は設備数だけで決まりません。既設スイッチがVLANに対応しない場合の交換、盤内電源、光ケーブルや配線、IP変更、PLC/HMI再設定、制御ベンダー立会い、停止枠、現地出張、FAT/SATの再試験、運用監視が変動要因です。初期導入費と、ライセンス・保守・ログ保存・定期変更を含む複数年の運用費を分けて比較します。数値を一律の相場として示せるテーマではないため、同じ範囲と受入条件でベンダーを比較することが有効です。
RFPには「VLAN設定だけを完了としない」という受入条件を入れます。運転モード別の必要通信が通ること、不要なセル間通信が遮断されること、拒否ログを追えること、管理アクセスが限定されること、設定バックアップから復旧できることを定義します。生産性能や安全に関わる指標は設備仕様と現場基準から決め、一般記事の数値を閾値として流用しません。設計上の例外は承認者、理由、期限、再評価日を記録します。
FAT・SATで確認する試験項目
FATではラボまたは工場出荷前の構成で、スイッチ設定、VLAN割当、トランク制限、ルーティング、ACL/Firewallルール、ログ、設定復元を確認します。PLC/HMIの実機または同等の試験機を使えるなら、設備プロトコルの正常通信を測ります。実機が用意できない項目は「未検証」と明示し、SATに持ち越します。合格結果を「pingが通った」だけで表すのは不十分です。アプリケーション通信、設備運転、保全作業、例外時の挙動まで確認します。
SATでは現地配線・現地IP・本番設定で、稼働モードごとの通信を確認します。PLCとHMIの表示・操作、I/Oの応答、履歴収集、レシピ転送、品質データ、NTP、エンジニアリング端末、アラーム通知、上位システム連携を対象にします。切替後の正常運転だけでなく、PLC再起動、スイッチ交換、上位接続断、保全端末の接続・切断など、採用した運用に関係する復旧動作も確認します。制御の周期や許容停止時間は製品と工程で異なり、試験前に設備オーナーが合否値を承認します。
負の試験も重要です。セルBの端末からセルAのPLCへ許可されていない接続が通らないこと、IT業務網から制御セルへの直接経路がないこと、未承認ポートが適切に無効化されていることを確認します。ただし本番の制御機器へ危険な負荷や攻撃に似た試験を無断でかけてはいけません。隔離した試験環境または安全に管理された方法で、設備への影響を合意してから実施します。ログには送信元、宛先、ルール、時刻が残り、運用者が追えるかも検収します。
よくある失敗と回避策
失敗1：通信マップなしでVLAN番号から決める。 PLC、HMI、I/O、サーバーのどの通信がL2内で必要か分からず、切替後に装置探索や履歴収集が止まります。対応は、現行通信の観測と設備メーカー仕様を先に確認し、必要通信を表にすることです。
失敗2：VLAN間を全許可のL3設定でつなぐ。 L2の範囲は分かれても、セル間の不要通信が残ります。対応は、ゾーン間の許可通信表とACL/Firewallを設計し、許可・拒否の両方を試験することです。VLANを安全境界そのものと呼ばないよう設計書の用語をそろえます。
失敗3：ブロードキャストとマルチキャストを同じ扱いにする。 産業用プロトコルや装置探索には異なる仕組みがあり、IGMP Snoopingの有無だけで問題は判断できません。対応は通信種類、クエリア、スイッチ機能、PLC/ドライブ仕様を照合し、実機で周期と復旧を測ることです。
失敗4：既設IPと現物配線を図面だけで判断する。 同じIPが別セルにあり、切替時に名前解決、ゲートウェイ、固定宛先が衝突する場合があります。対応は現物ポート調査、IP台帳更新、HMI・上位設定の照合、切替後の差分確認です。
失敗5：設定を導入業者しか戻せない。 夜間障害で現地保全が復旧できません。対応は権限を分けた設定バックアップ、復元演習、連絡先、構成図、変更履歴の引継ぎです。ログ監視の担当が空白にならないよう運用責任も決めます。
運用開始後に維持するもの
導入完了は、VLAN設定の投入日ではありません。設備の増設、PLC交換、保全端末の変更、上位システム移行のたびに、ポート割当、IP、許可通信、管理者、ログ、バックアップを更新する運用が必要です。例外ルールを期限なしで積み上げると、初期の分離設計が崩れます。変更申請には、なぜ必要か、どの通信を追加・削除するか、影響する設備、試験結果、戻し方を含めます。
運用指標には、通信遮断件数だけでなく、設備停止・誤警報・変更作業の差戻し、未所有のポート、期限切れ例外、設定バックアップの成功率を含めます。ただし数値目標は設備規模と監視体制に合わせて設定します。誤検知の多さだけで境界ルールを広げないことが大切です。拒否ログが出たら、必要通信の見落としか、不要通信か、機器異常かを設備担当と判断します。NISTのOTセキュリティガイドが強調する安全・信頼性の観点を、運用変更でも維持します。
資料の版にも注意します。この記事は2026年11月時点で、NIST SP 800-82 Rev.3の最終版、ISA/IEC 62443-3-2:2020の公開プレビュー、ISAの規格一覧、メーカー設計資料を参照しています。NISTはRev.4の初期公開草案も出していますが、草案を確定版の要求事項として扱っていません。適用する規格の版と調達先の製品仕様は、RFP時点で再確認してください。
まとめ：VLANと境界制御を一緒に設計する
工場OTネットワークのVLAN分離は、セルと通信の実態を可視化してから、VLAN・IP・ルーティング・ACL/ファイアウォールを一体で設計すると進めやすくなります。必要な制御通信を守り、不要なセル間通信を抑え、変更時に戻せることをFAT/SATで確かめます。最初の一セルを確実に検収し、運用台帳と変更管理まで引き継ぐことが、全工場展開の土台になります。
タイ工場で既設PLCや産業用スイッチを含むVLAN分離を検討中なら、対象ラインの構成図や困っている通信を整理する段階からお問い合わせいただけます。現状調査、許可通信表、段階移行、検収条件を一緒に具体化できます。
よくある質問
工場OTネットワークはVLANを分けるだけで安全になりますか？
いいえ。VLANはL2の論理分離です。セル間・IT/OT間にルーティングがあるなら、その境界で必要な通信だけを許可するACLやファイアウォール、管理アクセス、ログ、変更管理が必要です。同じVLAN内の端末間通信も別途評価します。
設備セルごとに必ず一つのVLANを作るべきですか？
必ずしもそうではありません。制御方式、通信量、管理責任、セキュリティ要求、物理構成、ベンダーのサポート条件を調べて決めます。一つのゾーンに複数VLANがある場合も、リスクの異なる資産を別ゾーンにする場合もあります。
既設PLCのIPアドレスは変更しなければなりませんか？
設計次第です。既設IPを保持できる構成もありますが、VLANとサブネットの対応、ルーティング、固定宛先、IP重複を確認します。IP変更はPLCだけでなく、HMI、履歴サーバー、保全ツール、バックアップ手順にも影響するため、切替表と戻し方を準備します。
VLAN分離のFAT/SATでは何を検収しますか？
許可通信の成立、不要通信の遮断、制御周期や設備運転への影響、復旧動作、ログ、設定バックアップ、現地保全の操作を確認します。合否値は機器と工程の仕様から決めます。ping疎通だけでは検収できません。
VLAN分離とファイアウォール選定はどちらを先に行いますか？
先に対象資産、ゾーン、必要な通信、停止影響を決めます。そのうえでVLANとL3境界を設計し、境界に必要なアクセス制御機能を選びます。製品選定から入ると、許可通信が不明なまま過大・過小な仕様になりやすくなります。
参考資料
- NIST SP 800-82 Rev.3, Guide to Operational Technology (OT) Security, final, 2023
- ANSI/ISA-62443-3-2:2020 公開プレビュー
- ISA/IEC 62443 Series of Standards, ISA
- CISA, Layering Network Security Through Segmentation
- Cisco, Networking and Security in Industrial Automation Environments Design and Implementation Guide
- Rockwell Automation / Cisco, Converged Plantwide Ethernet Design and Implementation Guide
- ODVA, Securing EtherNet/IP Networks
