GoodWe、日本の産業用太陽光PCSからインターネット接続機能を外す

太陽光発電所の端で、最も意味のある変更は「ないもの」かもしれない。盤は変わらず低く唸る。パネル列から直流が入り、系統へ交流が出る。保守担当者は遠隔で運転状態を見られる。一般送配電事業者の指令があれば出力を下げることもできる。それでも、PCSの中にEthernet経由の会話はなく、パスワードを待つWi-Fi無線も、Bluetoothのペアリング画面も、便利な入口になり得るUSBもない。

GoodWe Japanが産業用パワーコンディショナ（PCS）のGT・SMTシリーズについて発表した日本向け構成は、そういう設計である。同社が挙げた外部インターフェースを搭載せず、現場通信をRS-485に限定する。日本のJC-STAR ★1適合ラベルを持つ第三者製データロガーがシリアル線から情報を集め、外部ネットワークへ接続し、遠隔監視と出力制御を担う。

したがって「インターネット接続機能を外す」という表現が正確なのはPCS本体の境界までだ。エアギャップではなく、発電所がインターネットから切り離されるわけでもない。GoodWeが変えたのは、インターネットをどこから信頼し始めるかである。すべてのPCSをネットワーク端末にせず、フィールドバスと外界の間に一つのゲートウェイを置く。

この違いは大きい。現代のPCSは電力変換装置であると同時に情報機器でもある。系統へ同期し、自らを保護し、発電状態を測り、遠隔指令に従う。通信があれば、売電収入を失う前に異常ストリングを見つけられる。だが同じ経路が、設定変更、発電停止、不適切に管理されたネットワークへの侵入路にもなる。GoodWeの答えは、保守車のクリップボードにも描けるほど単純だ。PCS側の入口を減らし、橋を一つにする。

GoodWeが実際に外したもの

発表文には少し異なる二つの書き方がある。冒頭ではTCP/IP、Wi-Fi、Bluetooth、USBなどの外部通信機能を非搭載とする。後半ではPCS本体にTCP/IP通信機能を搭載せず、現場側通信をRS-485に限定すると強調する。合わせて読めば意図は明快だ。PCSを通常のインターネット機器として直接アドレス可能にせず、無線とリムーバブル媒体を含む身近な保守経路も用意しない。

これらは同じ種類の技術ではない。TCP/IPは到達可能なネットワークを成立させるプロトコル群であり、Ethernetはそれを有線で運ぶ代表的な方式だが、発表はEthernet端子を別項目として列挙してはいない。Wi-FiとBluetoothは無線経路を増やす。USBは保守端末、設定、リムーバブル媒体の入口になり得る。取り除いたからファームウェアの欠陥がゼロになるわけではない。それでも、PCSへ届き、設定する経路を種類ごと消せる。

RS-485は性格が違う。1983年に定められた、平衡差動ドライバとレシーバの電気特性を示す規格である。電気ノイズに強く、長い配線上で複数機器を結べるため、工場、ビル制御、エネルギー設備の定番になった。だがこれは物理層であり、セキュリティ方式ではない。電圧で通信をどう表すかは定めても、送信者を認証し、内容を暗号化し、ロガーがPCS設定を変えてよいかを決めるものではない。

GoodWeはRS-485上で動くアプリケーションプロトコルを明らかにしていない。産業用エネルギー機器ではModbus RTUが広く使われるが、この構成もそうだと断定すれば推測になる。重要なのはコネクタの見た目ではなく、実際のレジスタマップ、書き込み権限、アドレス、異常時の挙動、制御ロジックである。

発電所には、なおインターネットへの道がある

まず電気を追う。太陽電池モジュールが直流を生み、GTまたはSMTがストリングの動作点を追い、系統に合う交流へ変換し、保護と制御を行う。次に情報を追う。各PCSの計測値がRS-485でロガーへ届く。ロガーは変換、保存、転送を行い、外部接続の先に監視サービス、運用者、出力制御システムがある。指令は逆方向にも流れる。

GoodWeが確認したという三つの機能は、これが読み取り専用メーターではなく実運用の構成であることを示す。データ取得、運転状態監視、そして遠隔出力制御だ。最後の項目が戻り道の存在を確定する。図がどのように描かれても、これは双方向のOT（制御・運用技術）である。ロガーはプロトコルとセキュリティの境界だが、一方向通信装置ではない。

これは製品設計によるネットワーク分離である。試運転後にサービスを無効化し忘れるより、そもそもインターフェースが存在しない方が強い場合がある。ただし分離構成の強さは橋の管理で決まる。ロガーは不要な通信を初期状態で拒否し、監視権限と管理権限を分け、遠隔利用者を認証し、更新鍵を守り、指令を記録し、正確な時刻を持ち、外部回線断では安全側に動く必要がある。

障害時の挙動も重要だ。ロガーが停止したら、発電は最後の安全な状態で続くのか。外部ネットワークを失っても、ローカル保護は独立して働くのか。回線復旧時、遅れていた指令は捨てられるのか再送されるのか。発表は機能互換を確認しているが、これらのシステム設計上の答えは示していない。

PCSがネットワーク機器になるまで

日本の太陽光の物語は、PCSにIPアドレスを付けられるより前に始まった。1973年の石油危機が輸入燃料への依存を露わにし、政府は1974年にサンシャイン計画を始めた。太陽を柱の一つとする、日本初の長期的・総合的な新エネルギー研究開発計画だった。当時の大問題は変換効率とコストである。半導体の表面で、どれだけ多くの太陽光を実用電力へ変えられるかが問われた。

太陽光設備が研究所から屋根と野原へ出ると、PCSは変動する直流源と厳格な交流系統の蝶番になった。初期の監視は現地にあった。表示灯、メーター、前面パネル、現場で回収するログである。RS-485は、ノイズの多い産業環境で複数機器が話す実用的な道を与えた。各PCSに完全なネットワーク機能を持たせなくても、一台のロガーが機器列へ順番に問い合わせられた。

やがて接続性そのものが商品価値になった。Ethernet、携帯モデム、Wi-Fiドングル、メーカーのクラウドにより、所有者は都市の事務所から前日の発電量を見て、拠点を比較し、警報を受け、現場へ車を出さず故障を診断できた。ファームウェアを更新し、アグリゲーターが分散電源をまとめ、スマートインバータが無言の変換箱から双方向の系統参加者へ変わった。

便益は本物だった。同時に設計の前提も変わった。10年以上働く機器が、ライブラリ、証明書、クラウドAPI、攻撃手法の方がはるかに速く変わる世界へ入った。所有権と責任は、パネル施工業者、EPC、O&M、資産所有者、PCSメーカー、ロガーベンダー、通信会社、クラウド運営者、送配電事業者へまたがる。脆弱性が出ても、全資産と更新権限を一社が把握しているとは限らない。

振り子が「話さない機械」へ戻ったのではない。遠隔監視と系統制御はなお有用で、場合によっては必要である。興味深い変化は、層をはっきり分ける方向だ。狭い現場通信だけを持つ電力変換装置、外部接続の責任を負うゲートウェイ、その先の管理サービス。古いシリアル線が選ばれるのはデータを拒むためではなく、データ経路を目で追えるようにするためだ。

2012年の太陽光ブームが更新期へ入る

トポロジーと同じくらい時期が重要である。福島第一原発事故後、原子力と輸入化石燃料に代わる電源が強く求められる中、日本は2012年7月にFITを導入した。初年度の事業用太陽光は1kWh当たり40円（税別）、20年間の買取だった。収入の見通しが銀行に説明しやすくなり、開発者、土地所有者、機器メーカーが驚く速さで市場へ入った。

2016年には制度対象の再エネ導入量が2012年の約2.5倍になった。一方、認定後に建設されない案件、系統制約、施工品質のばらつき、太陽光への偏重も生んだ。後の改正は価格を下げ、事業規律を強め、成熟した案件を市場連動のFIPへ移した。それでも物理的な遺産は残る。2010年代前半の機器、通信、事業前提で設計された発電所が全国にある。

その設備は今、14年分だけ年を取った。太陽電池モジュールは一般に20～30年発電する。パワーエレクトロニクスは同じ長さとは限らない。米エネルギー省はストリングインバータの一般的な寿命を10～15年とし、アレイの生涯中に交換が必要になる場合があると説明する。別の同省プログラムは電力変換機器の典型寿命を約10年とした。気候、負荷、部品品質、保守で個別差は大きいが、健在なパネル列に新しい電子の心臓が必要になる理由はここにある。

GoodWeは、単純交換ではなくリパワリングの市場と呼ぶ。同社発表は国内累積導入量を約80GWとする。IEA PVPSはDC容量を用い、市場範囲も異なる推計で、2024年末に約100GWdcとしている。二つを直接比較すべきではない。どちらにせよ、更新のやり方が積み重なれば産業政策に等しい規模だ。信頼性、サイバー露出、運営費を次の10年へ持ち越す判断になる。

リパワリングは制約から始まる。モジュールとDC配線は既にある。ストリングの方位、電流、劣化はそろわない。変圧器、開閉設備、保護設定、土地契約、接続条件、FIT認定が変更範囲を決める。新しいPCSは電気的な枠だけでなく制度上の枠にも収まらなければならない。

リパワリングは信頼性とサイバーリスクを同時に変える

GoodWeは、老朽化したセントラル型PCSを分散型ストリングPCSへ置き換える。GT・SMTの提案は、複数の最大電力点追従（MPPT）、高入力電流・高短絡電流への対応、既設設備に合わせる電圧選択を強調する。方位、日射、状態が異なるストリングを別々に追従すれば、利用できる発電量を引き出しやすい。組み合わせが適合すれば、DC配線の大改修を避けられる可能性もある。

分散化は故障範囲も変える。大きなセントラルPCSが一台止まれば、広い発電ブロックを失う。小型PCSを複数にすれば、一台の故障は接続ストリングだけに限定しやすい。交換機は軽く、モジュール化もしやすい。一方、機器、端子、屋外シール、管理アドレスは増える。台数だけで信頼性は生まれない。予備品、作業動線、熱、施工、監視、故障機を素早く特定できる保守体制で決まる。

サイバー面の対比が面白い。分散PCSを一台ずつIP接続すれば、多数のネットワーク端末が生まれる。GoodWeの構成は電力変換装置の数を保ちながら、各PCSのIP接続をなくし、外部通信をロガーへ集める。電気的な故障範囲は分け、サイバーの信頼点は集中する。ゲートウェイを重要機器として設計・運用するなら、合理的な交換になり得る。

遠隔出力制御は、単にケーブルを抜けない理由を示す。日本の送配電事業者は、供給が需要を上回るときや送電線の運用容量を超える恐れがあるとき、再エネ出力を抑制する。2026年にも電力広域的運営推進機関（OCCTO）は各地の出力抑制を検証している。東京電力パワーグリッドは、オンライン制御では専用回線またはインターネットで制御情報を取得し、オフラインでは電話・メールに基づき手動操作すると説明する。高い太陽光比率の系統を均衡させる仕組みに通信が組み込まれている。

ゆえにセキュリティは、有用な機能を不可能にすることではない。正当な制御を保ちながら、不正な制御を難しくし、見えるようにし、復旧可能にする。狭い内部経路、明確なゲートウェイ、インターネット対策を集める一地点。GoodWeの分離が約束するのはこの構造であり、制御内容の公開証拠はこれからである。

監視箱が重要インフラになった日

インバータの一段外側にある機器から、太陽光業界はすでに警告を受けている。日本のコンテックが製造するSolarView Compactは太陽光発電の監視装置だ。バージョン6.00に影響するコマンド注入脆弱性CVE-2022-29303は、深刻度9.8の「Critical」と評価された。米サイバーセキュリティ・社会基盤安全保障庁は2023年7月、現実の攻撃で悪用された脆弱性一覧へ追加した。机上の可能性ではなかった。

SolarViewはGoodWe構成の匿名ロガーではなく、この脆弱性がGoodWeを示すものでもない。教訓は設計にある。PCSをインターネットから外しても、橋が自動的に安全になるわけではない。監視機器はコンピューターである。通信を解析し、認証情報を保存し、Web画面を出し、更新を受け、多数の現場機器へ話す権限を持つ。侵害されたゲートウェイは、悪意を現場の言葉へ翻訳し得る。

ForescoutのVedere Labsは2025年、Sungrow、Growatt、SMAの製品群から新たに46件の脆弱性を報告した。GoodWeはこの3社に含まれない。民間セキュリティ研究チームは、過去3年間に公開済みの太陽光関連93件も調べ、80％をHighまたはCriticalと分類した。責任ある開示の後、新規指摘分は各社が修正したとしている。

この数字は全メーカーの国勢調査ではなく、脆弱性が即座に系統攻撃を意味するわけでもない。それでも、規模によって脅威モデルが変わる理由は見える。家庭の一機器の欠陥は一世帯を困らせる。多数設備に共通するクラウドやゲートウェイの欠陥は、同時操作を可能にし得る。多くの機器が同時に出力を変える可能性が、組み込み機器の問題を電力システムの問題へ変える。

日本の政策も同じ方向へ動く。経産省のERABサイバーセキュリティガイドラインは2017年に始まり、アグリゲーション、ゲートウェイを介さない接続、IoT脅威の変化を受け2025年5月に3.0版となった。同年6月には、電力制御システムのサプライチェーン・セキュリティ対策の手引きを公表し、仕様確認と機器管理を重視した。調達、資産台帳、ベンダー支援、日常運用は技術防御と切り離せない、という政策メッセージである。

JC-STARの一つ星が意味すること

JC-STARは、接続製品が定められたセキュリティ要件へ適合することを可視化する日本の制度である。経産省が2024年8月に方針を示し、情報処理推進機構（IPA）が2025年3月に★1申請を受け付け、同年5月に最初のラベルを付与した。基礎要件はETSI EN 303 645やNISTIR 8425などの国際的な基準と調和し、認証、更新、脆弱性対応、データ保護を調達者が共通言語で確認できるようにする。

★1では、ベンダー自身が共通基礎要件に照らして製品を評価し、チェックリストを提出する。IPAがラベルを付与し、疑義があれば検査、監視、取り消しを行える。独立試験機関による認証ではなく、自己適合宣言方式だ。IPAは、重要度の高い製品カテゴリーを対象とする★3、★4で第三者評価を使う。★2も★1と同じくベンダー自己宣言である。

だから★1に意味がないわけではない。公開された基礎要件、登録製品情報、セキュリティ連絡先、更新方針がそろえば、価格と通信互換だけで箱を選ぶ調達より前進する。ラベルは原則2年間有効で、製品情報ページには有効状態、セキュリティ情報、問い合わせ先がある。所有者は型番と登録番号を資産台帳へ入れ、有効性を確認できる。

ただしIPAは限界も明記する。ラベルがあっても完全・完璧なセキュリティを保証しない。★1は特定の製品とバージョンに付くのであり、周囲の全構成に付くのではない。施工者が初期パスワードを変えたか、ファイアウォールが正しいか、クラウドIDに強い認証があるか、深夜2時に遠隔接続を止める担当が決まっているかは示さない。

GoodWe発表では、最初の確認すら一般にはできない。ロガーメーカー、型番、JC-STAR登録番号がないからだ。導入を検討する所有者は、これらに加え、IPA登録の現状、支援期間、更新方式、脆弱性開示方針、互換性試験の結果を求めるべきである。「JC-STAR適合ロガーと連携」はよい出発点だが、部品表ではない。

新しい要所――ロガーを守る

集中は防御を可能にし、同時に故障の重みを増す。何十台ものIP端末より、一台のゲートウェイの方が台帳化、更新、監視、ファイアウォール配置をしやすい。だが攻撃者――あるいは誤った指令を出した正規運用者――が一地点から多数PCSへ届く単一障害点にもなる。周囲に層を作らなければならない。

最初はIDと最小権限である。監視アカウントに自動的に制御権を与えない。ベンダー保守は永続する共有パスワードではなく、承認された時間制限アクセスを使う。管理操作は、多要素認証を備える管理ネットワークまたは安全な踏み台から行う。証明書と鍵には更新、失効、必要に応じたハードウェア保護が要る。

次にシリアル側を絞る。ゲートウェイが許す機器アドレスと機能を必要最小限にする。通常運転がテレメトリー読み取りと限定的な出力設定だけなら、保護パラメータの変更は遮断するか、別の保守状態を要求する。速度制限と妥当性確認で、設備群全体の急変を防ぐ。認証済みロガーから来た指令でも、範囲外ならローカル制御が拒否すべきだ。

最後は証拠を作る。誰が、どのサービスから、どのPCSへ、旧値と新値をいくつに変えたかを記録する。時刻を同期する。侵入者が唯一の記録を消せないよう、ログの写しをロガー外へ送る。通信断と発電故障を別の警報にする。バックアップには設定だけでなく、交換機を不要なサービスを開けず復旧させる知識も含める。

製品セキュリティを星印やポート数だけに還元できない理由がここにある。米エネルギー省の分散電源ベースラインや国立研究所のDER Cybersecurity Frameworkも、ガバナンス、技術管理、物理セキュリティを一つの姿勢として扱う。安全な発電所は、何を所有し、誰が変更でき、異常をどう知り、人が対応する間どう安全に続けるかを理解している。

入口を減らし、責任を見えるようにする

GoodWeの発表が注目に値するのは、ガバナンスの問題にハードウェアとシステム構成で答えた点だ。存在しないインターフェースは、忘れられた設定で公開されない。ルーティング可能な機能を持たないPCSは、通常のネットワーク端末と同じIP更新・ファイアウォール管理を必要としない。一台のゲートウェイは、所有者が方針と証拠を集める自然な地点になる。

同時に、魅力的な誇張を退けなければならない。「PCSにインターネットがない」は「サイバーリスクがない」ではない。PCSはファームウェアを動かし、シリアルデータを受け、技術者が保守機器を接続する。ロガーは外部システムへ届き、その権限は発電所全体へ及ぶかもしれない。遠く離れていても、クラウド、ID、通信回線、O&MのPC、人の承認経路はセキュリティ境界の内側にある。

したがって所有者は、構成を完全な制御経路として評価すべきだ。GoodWeとロガーベンダーに、試験済みの正確な組み合わせを求める。両製品とサポート終了日を契約へ入れる。誰が何を更新し、重大な欠陥を何日で扱い、サポート終了時の費用を誰が負担し、インシデント中に発電所をどう運転するかを決める。商業受入前に隔離とローカル運転を試験し、大きな更新後に訓練を繰り返す。

リパワリング時は経済的にも有利だ。すでに技術者が現場に入り、図面を開き、保護協調を見直し、資本予算が承認されている。データフローを記録し、ロガーを分離し、個人IDを設定し、障害時挙動を立会確認する追加費用は、後から不明な設備を調査して改修するより小さい。セキュリティを恐怖の後付け商品ではなく、品質保証へ組み込める。

長い歴史で見ると、RS-485の二本線には有益な皮肉がある。1983年生まれの通信規格が、2012年のFITで増え、2026年のクラウドで管理される設備群の境界を作っている。古い線だから安全なのではない。価値は「読めること」だ。「インターネットはどこで終わるのか」という問いに答えられる。

よく運営された発電所なら、その答えは図面、ファイアウォール、資産台帳、ロガーのラベル、アカウント一覧、試験報告、対応計画に見える。PCSは本来の精密な物理仕事――太陽光を系統同期した電流へ変えること――に集中する。危険を伴う接続仕事はゲートウェイが、意図を持ち監視下で担う。GoodWeは機械から四つの入口を外した。この設計の本当の評価は、日本の所有者が残る一つをどれだけ慎重に守るかで決まる。