何が公開されたのか
2025年6月10日、IDTA（Industrial Digital Twin Association）は、AAS（Asset Administration Shell）仕様バンドルにPart 4「Security」を追加公開しました。IDTA自身が「産業デジタル化のマイルストーン」と位置づけたリリースで、中身の柱は次の2点です。
- きめ細かなアクセス制御モデル。可視性とアクセス権を、個別のプロパティ単位からサブモデル（Submodel）全体までの粒度で制御できます。1つのAASの中で「この項目は誰にでも見せる」「この項目は特定の相手だけ」「この項目は非公開」を仕様の枠内で表現できるということです。
- レジストリ／リポジトリ両レベルの認可ルール。AASの所在を引くレジストリと、AAS本体を保管するリポジトリの両方に対して認可ルールを定義でき、「存在を知られること」と「中身を読まれること」を分けて統制できます。
同時に、AAS仕様バンドルの全パートが初めてバージョン管理された検索可能なHTMLドキュメントとして提供されるようになりました。仕様の参照性という地味な改善ですが、実装者にとっては大きな前進です。
なぜセキュリティ仕様が「最後のピース」だったのか
AASの基本構造（メタモデル、API、データ仕様、パッケージ形式）は先行して整備されており、Catena-Xやデジタルプロダクトパスポート（DPP）は、企業間でやり取りするデータの器としてAASを前提にしてきました。詳しくはAASとRAMI 4.0の解説記事をご覧ください。
しかし企業間共有の実運用では、技術形式より先に開示範囲の交渉が壁になります。カーボンフットプリントは顧客に開示する義務があっても、その算出根拠となる工程データや歩留りは競争情報です。この線引きを実装ごとの作り込みに委ねている限り、共有基盤は広がりません。Part 4は、この線引きを標準の語彙で宣言・実施できるようにするものです。
IEC 62443との分担──守る対象が違う
「OTセキュリティならIEC 62443があるのでは」という疑問は自然ですが、両者は守る対象が異なります。
| 観点 | IEC 62443 | AAS Part 4 |
|---|---|---|
| 守る対象 | 制御システム・ネットワーク（インフラ） | AASとして表現されたデータオブジェクト |
| 主な単位 | ゾーンとコンジット、セキュリティレベル | サブモデル・プロパティ単位の可視性とアクセス権 |
| 主な適用場面 | 工場内・OT環境の防御 | 企業間でデジタルツイン・製品データを共有する場面 |
| 関係 | 併用が前提（土台としてのインフラ防御） | 併用が前提（土台の上のデータ開示統制） |
つまり、IEC 62443が「侵入させない・止めない」ための標準だとすれば、AAS Part 4は「意図して外に出すデータの範囲を統制する」ための標準です。企業間データ共有では、後者の欠落こそが実務の障壁でした。MES環境全体の防御はMES／OTセキュリティの基礎で別途扱っています。
MES側の設計に何を要求するか
AASのサブモデルを埋める製造データ──ロット系譜、品質記録、工程パラメータ、カーボンフットプリントの元数値──の発生源はMESです。Part 4の登場によって、MES側には次の準備が求められます。
- データ項目に「開示クラス」を持たせる。アクセス制御をプロパティ粒度でかけられるようになった以上、出力する側も項目ごとに「公開／顧客開示／社内限」の区分を定義しておく必要があります。この区分は情シスだけでは決められず、営業・知財・製造の合意事項です。
- エクスポートの粒度を製品・ロット単位に揃える。AASは資産単位の器なので、MESからの出力も「製品1個・ロット1つに紐づく形」で切り出せることが前提になります。
- 認可の運用主体を決める。レジストリ／リポジトリの認可ルールを誰が設定・変更・監査するのか。データ共有基盤の運用設計に、この役割を明示的に入れておきます。
判断のタイムライン──急ぐ企業と、待てる企業
欧州の完成車メーカー・大手ティア1と直接取引があり、Catena-X経由のデータ提供やDPP対応が既に話題に上っている企業は、開示クラスの整理とMESエクスポート設計を2026年内に始めるのが妥当です。仕様と規制の両輪（Part 4公開、DPPの適用スケジュール進行）が揃い、要求が来てからでは間に合わない工程──社内の開示合意形成──が最も時間を食うためです。
一方、当面欧州向けの共有要求が見込まれない企業にとって、Part 4対応そのものは急務ではありません。ただし、データ項目に開示クラスを付けるという考え方は、共有相手が国内の親会社・取引先であっても有効な整理です。将来の共有要求に備えた「後悔しない準備」として、マスタ設計・帳票設計の際に開示区分の欄を1つ設けておくことをお勧めします。
Part 4はAASを使うすべての企業に必須ですか？
必須ではありません。社内利用に閉じたAAS（設備管理のデータ構造化など）であれば、従来どおりPart 1〜3の範囲で実装できます。Part 4が効いてくるのは、企業の境界を越えてAASを共有する場面です。ただし、後から共有に広げる可能性があるなら、データ項目の開示区分だけは先に整理しておくと移行が楽になります。
アクセス制御は既存のID基盤（Entra ID等）と別に作るのですか？
Part 4が定義するのは「AASのどの部分に誰がアクセスできるか」というルールのモデルであり、利用者の認証そのものは既存のアイデンティティ基盤と組み合わせて実装するのが自然です。実装製品がどの認証方式・どのID連携に対応するかは製品側の設計に依存するため、選定時の確認事項になります。
仕様書はどこで読めますか？
IDTAの仕様ポータルで公開されており、2025年6月のリリース以降、全パートがバージョン管理された検索可能なHTML形式で提供されています。Part 4を読む前に、Part 1（メタモデル）でサブモデルの構造を把握しておくと理解が早くなります。
