三菱 PLC プログラムを既設設備から引き継ぐ目的は、ファイルを一つ受け取ることではありません。担当者やSIerが変わっても、正しいツールと権限で現状を照合し、安全に復旧できる証拠を残すことです。本稿では、タイ工場のMELSEC設備を第三者が復旧可能にする棚卸し、golden backup、restore test、責任分界、90日計画を解説します。
1. 三菱 PLC プログラム引継ぎは「更新」や「新規外注」と別の仕事
既設設備の引継ぎでは、最初に解く問いが異なります。PLC更新・リプレースは、旧CPUや周辺機器をいつ、何へ更新するかが中心です。PLCプログラム開発の外注は、新しい制御仕様をどう発注し、受け入れるかが中心です。本稿のテーマは、現在動いているMELSEC設備を、元担当者以外が再現・診断・復旧できる状態で受け取ることです。
納品フォルダにプロジェクトファイルがあっても、それだけで引継ぎ完了とはいえません。実機と同じ版か、PLC以外のHMI・モーション・サーボ設定が揃っているか、使用したエンジニアリングソフトの正確な版と言語は何か、ライセンスを合法的に再利用できるか、保持デバイスやレシピを復元すると何が変わるかを確認する必要があります。
| テーマ | 中心となる判断 | 本稿での扱い |
|---|---|---|
| PLC更新 | 旧機種を更新するか、互換性をどう確保するか | 更新判断に必要な現状証拠を整える |
| PLC ソフト 開発 外注 | 新規ロジックをどう仕様化・検収するか | 引継ぎ不足を補う外注範囲を明確にする |
| 既設プログラム引継ぎ | 第三者が現状を照合し、復旧できるか | 主対象。証跡と復元試験で判定する |
ゴールは「バックアップあり」ではなく、「承認された担当者が、指定環境で、指定時間内に、設備を安全な基準状態へ戻せる」です。
2. タイ工場のMELSEC引継ぎを始める前に設備を固定識別する
同じライン名でも、盤内のCPU、ベース、電源、I/O、ネットワーク、モーション、安全モジュールは改造で変わっていることがあります。最初の成果物はプログラムではなく、設備IDとハードウェア構成表です。盤番号、ライン、機械、製造番号、設置場所、オーナー部門を固定し、現物銘板とエンジニアリングプロジェクトの構成を照合します。
CPU型式だけでは不十分です。ベースユニット、電源、ローカル・リモートI/O、アナログ、高速カウンタ、位置決め、モーションCPU、ネットワーク、シリアル通信、安全CPU、SDカード、バッテリー、HMI、サーボアンプ、インバータの型式とファームウェアを別々に記録します。ファームウェアはモジュール単位で異なり、三菱電機のiQ-Rファームウェア情報でも、モジュールと更新内容に応じて必要なGX Works3バージョンが異なります。
| 棚卸し対象 | 必須記録 | 現物確認の例 |
|---|---|---|
| PLC CPU | シリーズ、完全型式、製造情報、ファームウェア | 前面表示、診断情報、盤図 |
| モジュール | スロット、型式、ファームウェア、局番 | 実装順、ラベル、オンライン構成 |
| ネットワーク | 種別、局、IP、経路、交換データ | 設定画面、スイッチ、接続図 |
| HMI | GOT型式、OS、画面データ、通信 | 実機情報、プロジェクト、転送設定 |
| モーション・サーボ | CPU/アンプ/軸、パラメータ、原点 | 構成、モータ、エンコーダ、軸表 |
| インバータ | 型式、容量、パラメータ、通信 | 前面、設定読出し、BOM |
| 安全 | 安全CPU・I/O、署名・検証状態、範囲 | 安全図面、検証記録、現物 |
現場写真は補助証拠として有効ですが、機密情報やネットワーク情報が写るため、アクセス制御された保管場所へ入れます。写真だけで型式や設定を推測せず、オンライン情報と購入・保全記録を突合します。
3. GX Works3・GX Works2・GX Developerの版と言語を確定する
「GX Worksが必要」という記述では復旧用PCを再現できません。GX Works3、GX Works2、GX Developerは対象世代とプロジェクト形式が異なります。さらに同じ製品名でも正確なバージョン、インストール媒体、更新履歴、OS、言語、必要コンポーネント、ドライバ、ライセンス方式を記録します。
三菱電機公式ページはGX Works3をMELSEC iQ-R/iQ-F向けのエンジニアリング環境として案内し、IEC 61131-3に沿ったプログラミングやライフサイクル全体の機能を示しています。しかし、公式ページに「GX Works3」とあることは、手元の全CPU・全ファームウェアで任意版が使えるという意味ではありません。実機構成とファームウェア一覧から必要版を確認し、検証済みのインストーラーと更新ファイルを正規に保管します。
| 項目 | 記録する内容 | 受入れ証拠 |
|---|---|---|
| エンジニアリングソフト | 製品名、完全バージョン、言語、更新 | About画面、インストール台帳 |
| OS | Edition、version、bit数、更新状態 | system information |
| ライセンス | 所有者、契約、数量、移行・再発行方法 | 購入記録、正規アカウント |
| 通信 | USB/Ethernet/serial driver、接続ケーブル | 実接続試験、予備ケーブル |
| 補助ツール | GOT、motion、servo、inverter、network | 各ツールの版とプロジェクト |
| マニュアル | 対象機種・版、言語、注記 | オフライン閲覧試験 |
ライセンスはインストーラーのコピーとは別に扱います。会社・拠点・端末・ユーザーの誰に権利があるか、故障PCからの移行や再発行は可能かを、契約と地域サポートで確認します。共有されていた不明なキーを引き継ぐのではなく、正規ライセンスへ整理します。
4. PLC・HMI・モーション・サーボ・インバータ・ネットワークを分ける
PLCプロジェクトを開けても、設備全体は復旧できません。GOT画面、モーション設定、サーボパラメータ、インバータ設定、ビジョン、産業PC、ロボット、ネットワークスイッチには別のソフトとバックアップがあります。引継ぎ台帳は資産単位でファイル、ツール、接続、所有者を持たせます。
安全CPUや安全ロジックは一般制御と同じ手順で変更してはいけません。安全署名、検証状態、リスクアセスメント、テスト記録、アクセス権を分離し、変更後に必要な再検証を安全担当と決めます。本稿はパスワード回避や保護解除の手順を扱いません。権限が不足する場合は、設備所有者、OEM、正規サポートの手続きへ戻します。
| 資産 | 主な内容 | 見落としやすい依存関係 |
|---|---|---|
| PLC | project、program、label、parameter、device | CPU/firmware、library、特殊module |
| GOT/HMI | screen、script、recipe、alarm、OS | font、言語、通信driver、ユーザー |
| Motion | 軸構成、motion program、parameter | servo firmware、原点、mechanical ratio |
| Servo | gain、filter、limit、motor data | tuning結果、absolute position |
| Inverter | parameter、通信、制御モード | モータ定格、端子割付、局番 |
| Network | station、IP、routing、cyclic data | switch設定、証明書、時刻同期 |
| Safety | safety program、parameter、validation | access、signature、再試験範囲 |
棚卸しの完了条件はファイル名が埋まることではありません。各資産について、どのツールで開けるか、オンラインの何と照合するか、どの試験で復元可能性を証明するかが記載されていることです。
5. Online照合はreadから始め、write前の差分を保存する
稼働中設備への接続は、承認、危険源、通信影響、運転モード、停止条件を確認して実施します。初回接続で転送や変換を行わず、まず読取り可能な範囲でCPU状態、エラー、時刻、構成、実行中プロジェクトとの照合結果を保存します。オンライン操作が設備動作へ影響し得る場合は、OEM手順と停止枠を優先します。
- 設備オーナー、製造、安全、保全、IT/OTの作業許可を得る。
- 型式・ファームウェア・ツール版・接続経路を確認する。
- 既存ローカルファイルを複製し、原本をread-only保管する。
- 実機から読出したスナップショットを別IDで保存する。
- offline compareまたは対応機能で差分を出力する。
- program、parameter、label/comment、device valueの差を区分する。
- 差分をOEM・SIer・工場で承認し、golden候補を決める。
- writeが必要なら別の変更作業としてリスクとbackoutを承認する。
「PCのファイルの方が新しいはず」「PLCから吸い上げたものが正しいはず」という推測は避けます。実機には現場改造が入っていてもコメントが欠ける場合があり、オフラインprojectには設計情報があっても最終変更が未反映の場合があります。goldenは差分と履歴で決めます。
| 差分類型 | 例 | 判定者 |
|---|---|---|
| 実行ロジック | ladder、ST、FB instance、task | 制御責任者、OEM/SIer |
| 構成・parameter | module、network、CPU、timer | 制御・ネットワーク担当 |
| 設計情報 | label、comment、library、document | 設計責任者 |
| 運転データ | recipe、retentive device、補正値 | 製造・品質・保全 |
| セキュリティ | user、role、通信許可、証明書 | 設備オーナー、IT/OT |
6. ラベル・コメント・FB・ライブラリもソースとして受け取る
実行できるバイナリだけでは、故障診断や安全な改造が困難です。グローバル・ローカルラベル、デバイスコメント、構造体、FB、ユーザーライブラリ、定数、テスト、設計メモ、クロスリファレンス、アラーム一覧をprojectと一緒に受け取ります。外部libraryは名称だけでなく版、入手先、ライセンス、改変有無を記録します。
コメントの言語も重要です。日本本社の日本語コメント、タイ現場の英語追記、OEM独自略号が混在する場合、重要インターロックと異常復旧の用語集を作ります。自動翻訳で原文を上書きせず、原文を保持して補助翻訳を追加します。
ソースが不足する場合、推測で再構築したファイルを原本と呼びません。「実機から読出した実行内容」「別版から復元した設計情報」「未確認の推定」を区分し、リスク台帳へ残します。
7. Golden backupは単一ZIPではなく復旧パッケージにする
golden backupは、誰かのデスクトップにある最新らしいフォルダではありません。設備ID、採取日時、採取元、承認者、hash、使用tool、対象hardware、復元手順、検証結果を持つ、変更管理下の基準パッケージです。日常snapshotと検証済みgoldenを分けます。
| 区分 | 具体例 | 復旧時の注意 |
|---|---|---|
| ソース | PLC/HMI/motionの編集可能project | library・参照先・変換状態を含む |
| バイナリ | 実行・転送用生成物がある場合 | sourceとの版対応を記録 |
| parameter | CPU、module、network、servo、inverter | writeで動作が変わる範囲を明示 |
| recipe | 品種、補正、閾値、HMI recipe | 品質承認と単位を確認 |
| 保持デバイス | retentive/latch値、counter、校正値 | 全値を無条件復元しない |
| 通信 | IP、station、routing、port、mapping | 機密区分と競合防止 |
| 時刻 | PLC/HMI/serverの同期源とtimezone | ログ順序・期限計算に影響 |
| 文書 | as-built、I/O、alarm、復旧手順、履歴 | 現物・projectとの対応を確認 |
保持値やrecipeには、生産数量、設備寿命、校正、位置、品質条件が含まれます。値ごとに「復元する」「初期化する」「製造・品質が承認して設定する」を分類します。
8. パスワードとアクセス権限は回避せず、安全に引き継ぐ
パスワード不明でも、回避・解除・不正アクセスを試してはいけません。設備所有者の承認、契約、OEMまたは正規サポートの本人・資産確認に従い、正当な回復経路を使います。解決できない場合は復旧不能リスクとして経営と生産計画へ上げます。
認証情報は平文Excel、メール、盤内の紙を避け、アクセス制御・監査可能なcredential vaultへ保存します。個人アカウントと緊急用を分け、所有者、承認者、有効期限、使用記録、退職・異動時の失効、定期確認を決めます。SIer共通アカウントを恒久的に残さず、保守接続は目的、期間、対象を限定します。
アクセス引継ぎはパスワード一覧だけではありません。復旧PC、ライセンス管理、PLC/HMI権限、VPN、踏み台、backup保管庫、鍵・証明書、support portalを含め、承認された別担当者が実際に到達できることを確認します。
9. NIST SP 1339に沿ってバックアップを変更管理へ組み込む
NIST SP 1339 “OT Backup Quick Start Guide”は2026年6月17日にFinalとして公表されました。同ガイドは、OT backupを単発コピーではなく変更管理へ統合し、定期的に作成・テストし、recovery exerciseの結果から見直す考え方を示します。
MELSEC設備では、program変更、module交換、firmware更新、recipe改訂、network変更の完了条件にbackup更新を入れます。変更ticketには変更前後snapshot、差分、承認、機能・安全確認、golden昇格可否、旧版へのbackoutを紐付けます。
NIST SP 800-82 Rev.3は2023年9月のFinalで、OT固有の性能、信頼性、安全を踏まえたセキュリティ指針です。Rev.4は2026年1月22日公開のInitial Preliminary Draft（非Final）であり、Rev.3 Finalと混同しません。標準を認証取得のように誇張せず、工場管理策の参照にします。
| Gate | 必須証拠 | NG例 |
|---|---|---|
| 変更前 | 現行golden、実機compare、backout | 現行版不明のままwrite |
| 変更中 | 作業者、時刻、対象、差分、許可 | 口頭指示だけで編集 |
| 変更後 | online compare、機能・安全試験 | 動いたので差分未保存 |
| Golden昇格 | 承認、hash、restore結果、保管 | 個人PCだけを最新版にする |
| 定期演習 | RTO実績、失敗、改善owner | コピー存在確認だけで完了 |
10. オフライン復元試験で開く・構成する・説明する
本番CPUへ書く前に、隔離した復旧PCでpackageを展開します。新担当者が手順書だけを使い、software起動、license確認、project open、library解決、compile/convert、構成表示、差分reportまで行います。ネット接続できない状況も想定し、必要manualと正規install素材をoffline利用できるか確認します。
三菱電機のe-Manual Viewerはmanual検索、bookmark、noteを統合し、manual・bookmark・noteを含むe-Manualデータを、別PCへの移行やPC復旧時のbackup用途としてexportできます。タブレットappの配布は2024年3月に終了しているため、現在はsupportされるWindows環境と正規manualを中心に設計します。地域・製品で条件が異なるため公式supportで確認します。
合格条件はファイルが開くことだけではありません。未解決libraryやwarningを一覧化できる、CPU/module構成が現物台帳と一致する、source/binary/parameterの対応版を説明できる、write対象とwriteしない運転値を区分できる、必要言語で手順を実行できる、結果と所要時間を残せることです。
11. 予備CPUまたは承認停止枠でrestore testを行う
offlineで開けても実機復元できるとは限りません。適合する予備CPU・moduleがあれば隔離構成へ復元し、起動、error、I/O、通信、保持値を検証します。予備機がなければ、riskとbackoutを承認した停止枠で、read・compare・可能な範囲の復旧演習を行います。
本番試験は出力が安全状態、機械エネルギー管理、重複IP防止、製造・安全立会いを条件にします。安全CPUは必要な検証を省略しません。SDカードは型式、容量、内容、write protect、予備、保管条件を記録し、唯一のbackupにしません。
以下は市場平均や保証値ではなく工程設計の仮想例です。
| 復旧工程 | 目標時間（仮想） | 実測時間（仮想） |
|---|---|---|
| 故障判断・作業許可 | 30分 | 35分 |
| 予備CPU・復旧PC準備 | 20分 | 25分 |
| ハード交換・構成確認 | 45分 | 50分 |
| project・parameter復元 | 30分 | 40分 |
| 通信・I/O・安全確認 | 45分 | 55分 |
| 無負荷・製品確認 | 50分 | 60分 |
| 合計 | 220分 | 265分 |
目標は30＋20＋45＋30＋45＋50＝220分、実測は35＋25＋50＋40＋55＋60＝265分、差は45分です。実際の目標は重要度、生産損失、予備品、要員、安全要求から工場が決めます。
12. SIer・OEM・工場の責任分界を復旧工程で決める
「保全がbackupを持つ」「SIerが来れば直せる」では夜間故障時に判断できません。故障検知から生産再開までを分け、RACIを決めます。OEM知財、SIer改造、工場が変更したrecipe・保持値も区分します。
| 復旧タスク | 工場 | SIer | OEM |
|---|---|---|---|
| 停止・LOTO・作業許可 | A/R | C | C |
| 故障切分け | R | R | C |
| golden選択 | A | R/C | C |
| CPU/module交換 | A/C | R | R/C |
| program/parameter復元 | A | R | R/C |
| 安全機能再検証 | A/R | R/C | C |
| 製品確認・生産再開 | A/R | C | I |
| 証跡更新 | A | R | C |
実契約・資格に合わせ、代理者、時間外連絡、remote支援承認、現地到着目標、必要log、費用、終了条件も決めます。三菱電機公式Technical Supportにはmanual、support、training、backup関連サービスがありますが、提供範囲は地域差があるためタイの窓口・契約を確認します。
13. IEC 62443-2-4・TIS 62443・IEC 60204-1を引継ぎへ使う
IEC 62443-2-4:2023はIACS service providerのsecurity program要求を扱います。TIS 62443 Part 2(4)-2568も同領域の一般規格として、仏暦2569年5月9日、つまり2026年5月9日に開始されています。全案件が自動適合する、SIerが認証済みと推定せず、適用範囲、契約要求、評価方法を決めます。
引継ぎでは、service providerのaccount管理、作業者認可、変更記録、remote接続、媒体、backup保護、incident連絡、要員交代時の失効を評価できます。方針文書だけでなく、今回設備で誰が何を実行し、どの証跡が残るか確認します。
IEC 60204-1:2016+A1:2021は機械の電気装置を扱い、stability dateは2027です。CPU復旧後の出力状態、非常停止、安全回路、再起動確認に関連しますが、適用版、タイ法令、顧客基準を安全専門家と確認します。
14. 90日で既設MELSEC設備を引き継ぐ
90日は全改造を終える約束ではなく、重要設備の現状を固定し、復旧可能性を証拠で判定し、不足を是正へ移す期間です。多数設備は停止影響、代替可否、部品供給、backup欠落で優先付けします。
| 期間 | 主作業 | Gate成果物 |
|---|---|---|
| 1〜15日 | 設備、責任者、hardware・tool棚卸し | asset register、アクセス課題、優先順位 |
| 16〜30日 | source収集、実機read、online compare | 差分台帳、欠落一覧、暫定snapshot |
| 31〜45日 | PLC/HMI/motion関連付け、権利確認 | 復旧package候補、license台帳 |
| 46〜60日 | offline open/compile、手順、教育 | offline test記録、改善事項 |
| 61〜75日 | 予備機または停止枠でrestore exercise | RTO実測、安全・通信確認 |
| 76〜90日 | 是正、golden承認、保管・定期運用 | signed golden、RACI、演習計画 |
1〜30日はwriteせず事実を固定します。31〜60日は元担当者でない技術者が復旧PCで全projectを開き、依存libraryとtoolを解決し、必要な日・タイ・英の手順を整えます。61〜90日はrestore exerciseで時間を測り、失敗を手順、予備品、権限、教育の改善へ反映します。
15. MELSEC引継ぎ作業を外注するRFPと検収
引継ぎ不足の補完を外注するなら、成果物を「backup取得」だけにしません。対象設備、許可、read/write条件、停止枠、資産別成果物、差分、offline test、restore test、教育、知財、security、未解決事項をRFPへ書きます。
見積は設備数だけでなくCPU世代、周辺資産、source欠落、権限、停止制約、言語、現物と図面の差で変わります。根拠のない市場価格は提示しません。固定価格を急ぐ前に短いdiscoveryで台帳とriskを確定する方法もあります。
- 全資産が台帳化され、unknownにownerと期限がある。
- 実機とgolden候補のcompare結果が保存・承認されている。
- 正規tool・license・権限で別担当者がprojectを開ける。
- source、parameter、recipe、保持値の復元方針が分かれている。
- 予備機または停止枠でrestoreし、時間と結果が記録されている。
- backout、安全確認、生産再開権限が明確である。
FAQ：三菱 PLC プログラム引継ぎの疑問
Q1. PLCからreadしたファイルだけで引継ぎできますか？
通常は不十分です。comment、label、library、HMI、motion、servo、network、recipe、保持値、tool環境が別管理の場合があります。read結果と設計原本をcompareし、設備全体のpackageを作ります。
Q2. GX Works3があれば全MELSECを扱えますか？
いいえ。series、CPU、firmware、project形式に応じてGX Works3、GX Works2、GX Developerなどが関係します。公式互換情報から正確な版を確定します。
Q3. パスワード不明なら解除してよいですか？
不正な回避を行ってはいけません。設備所有者、契約、OEM・正規supportの確認手続きに従います。本稿は回避方法を提供しません。
Q4. Golden backupは毎日上書きしてよいですか？
日常snapshotと承認goldenを分けます。compare、試験、承認、hash、restore結果が揃った版だけ昇格させます。
Q5. 予備CPUがなければrestore testはできませんか？
offline open/compile、構成照合、手順演習を先にできます。本番停止枠を使うなら安全、backout、生産計画を承認し、範囲を明記します。
Q6. 保持デバイスはすべて復元しますか？
いいえ。位置、校正、寿命、counter、品質条件を含むため、値ごとに復元、初期化、再設定を決めます。
Q7. タイ工場のMELSEC引継ぎ教育は英語だけで十分ですか？
配属者によります。安全操作、異常復旧、禁止事項はタイ語で理解できるかを実技で確認し、日本語・英語との用語対応も作ります。
Q8. 引継ぎ後すぐPLC更新を決めるべきですか？
まず現状、部品供給、復旧可能性、停止影響を証拠化し、維持、予備品、段階更新、全面更新を比較します。
まとめ：受け取るのは第三者が復旧できる証拠
既設MELSEC設備では、CPU・module・tool版からHMI、motion、servo、network、安全までを分けて棚卸しし、online compareで差分を固定します。source、parameter、recipe、保持値、権限を含むgolden packageを作り、別担当者のoffline testと予備機または停止枠のrestore exerciseまで通して復旧可能性を説明します。
既設ソースが分散している、SIerが変わる、復旧時間を測ったことがない段階でも、TOMAS TECHへのお問い合わせからご相談いただけます。writeを急がず、設備棚卸し、差分確認、復旧テスト計画を切り分けるところから支援します。
参考情報
- NIST SP 1339: OT Backup Quick Start Guide（2026年6月17日Final）
- NIST SP 800-82 Rev.3（2023年Final。Rev.4は2026年1月22日のInitial Preliminary Draftで非Final）
- Mitsubishi Electric: GX Works3
- Mitsubishi Electric: MELSEC iQ-R firmware updates
- Mitsubishi Electric: e-Manual Viewer
- Mitsubishi Electric: Technical Support
- IEC 62443-2-4:2023
- TISI: TIS 62443 Part 2(4)-2568（開始日：2026年5月9日）
- IEC 60204-1:2016+A1:2021（stability date 2027）
※オンライン接続、write、restore、安全機能検証は、設備所有者の承認、メーカー手順、法令、リスクアセスメントに従って実施してください。
