機械設計 #75：安全なリモート支援 — 接続できても操作してよいとは限らない

リモート支援は停止時間を減らす。同時に、現場の誰も気づかないまま機械を変更できる、便利な経路も作る。設計上の問いは「つながるか」ではなく、「その経路を通して誰が何をしてよいのか」、そして「あとに何の証拠が残るのか」である。

監視、診断、操作を分ける

ログを見る権利が、PLCを書き換える権利や動作指令を出す権利を伴ってはならない。三つの段階として扱い、それぞれに認可、機械側の表示、現場の条件を持たせる。

これらの取り決めは、要求仕様、アーキテクチャ、設定、試験項目のいずれかに記録する。PLCのコメントや一人の記憶の中にしかない決まりは、決まりとは言えない。

セッションには、依頼者、承認者、目的、期限、対応する管理番号が要る。共用アカウントや常時開いたトンネルは責任の所在を消してしまう。あとから、五人のうち誰が、なぜ変更したのかを誰も答えられなくなる。

実務上の帰結：

機械は、セッションの状態、接続している人、その人に許された操作を表示する必要がある。動作を生じうる操作はすべて、手順、ゾーン管理、機械のそばにいる人と調整して行う。回線の向こう側にいる人だけで決めてよいことではない。

実際の判定基準はこうである。機械のそばに立っている人が、パソコンを開かずに「いま誰かつながっているか、その人はこの軸を動かせるか」に答えられること。

パッケージ、チェックサム、署名、バックアップ、切り戻し、設定のベースラインは、変更の前にそろっていなければならない。リモートであることは検証の要求を下げない。ただ、「何かおかしい」と気づいたはずの人がその場にいなくなるだけである。

遠隔で変更する前に：

ログイン、指令、ファイル転送、変更、切断を記録する。そのうえで、重要な場合を試験する。セッション中の通信断、開いたセッションの認証情報が取り消された場合、意図的に接続を遮断した場合である。いずれの場合も、機械はあらかじめ決めた状態に至らなければならない。たまたまそうなった状態ではいけない。

この演習こそが、文書だけのリモートアクセス方針と、実証された方針とを分ける。

安全なリモート支援は、プロジェクトの最後に付け足すロジックではなく、アーキテクチャとライフサイクルの問題である。状態、識別、操作権限、データ、復旧のそれぞれに明確な取り決めがあれば、機械は運転しやすく、調査しやすく、変更しやすくなる。最初にプログラムを書いた人の記憶に頼らずに済む。