航空機製造と船舶市場におけるIEC 62443-4-2認証製品の要求事例を解説します。航空機製造分野では、知的財産保護とサプライチェーン強靭化のため、認証が欧米OEMやTier 1の入札で必須要件化。船舶分野では、IACS UR E26/E27規則への最短適合ルートとして、4-2認証製品の指定が急増し、実質的な義務要件となっています。
IEC62443-4-2製品仕様を要求しているビジネス案件事例を市場別に拾ってみました。
＜航空機製造市場での事例＞
航空機製造（エアロスペース）分野において、IEC 62443-4-2 認証（またはそれに準拠したコンポーネント）の要求は、機体そのものの保安よりも、「製造ラインの知的財産（設計データ）保護」と「サプライチェーンを通じたランサムウェア攻撃の防止」を目的として急速に広がっています。
航空機メーカー（OEM）とその製造工場における具体的な事例と動向を解説します。
1. エアバス（Airbus）：欧州市場
エアバスは、欧州のサイバーレジリエンス法（CRA）やNIS2指令の影響を直接受ける立場にあり、スマート工場（Factory of the Future）化において最も厳格な基準をサプライヤーに課しています。
- 要求事例:
エアバスの主要生産拠点（仏トゥールーズ、独ハンブルク等）の製造実行システム（MES）やロボット制御ネットワークにおいて、IEC 62443 に基づく「セキュリティコンポーネント」の採用が標準化されています。 - 製品指定:
ネットワークインフラには Cisco（シスコ） や Siemens（シーメンス） の IEC 62443-4-2 認証済みスイッチが指定されるケースが多く、これによって工場内のゾーン分割（セグメンテーション）の信頼性を担保しています。
2. ボーイング（Boeing）：米国市場
ボーイングは、米国の「重要製造セクター」の代表格として、CISA（米サイバーセキュリティ・インフラセキュリティ局）のガイドラインを遵守しています。
- 要求事例:
ボーイングのサプライヤー向けセキュリティ要件において、製造装置（工作機械や自動積層装置）の制御盤内に組み込まれる通信デバイスに対し、IEC 62443-4-2 またはそれに類する米国の連邦標準（NIST SP 800-82等）への適合を求める動きがあります。 - 製品指定:
Rockwell Automation の 4-2 認証済みコントローラ（ControlLogix等）が、ボーイングの組立ラインにおける標準制御プラットフォームの一つとして採用されています。
3. エンブラエル（Embraer）：ブラジル市場
ブラジルの航空機大手エンブラエルも、グローバルな輸出を前提としているため、欧米の基準に準拠した工場運営を行っています。
- 要求事例:
航空機構造部材の加工工場において、産業用IoT（IIoT）を活用した予兆保全を導入する際、エッジデバイスに対して IEC 62443-4-2 認証、またはそれと同等の「ハードウェアベースのセキュリティ機能（TPM搭載等）」を要求しています。
4. 航空製造工場における具体的な要求ポイント
航空機メーカーが工場内のコンポーネント（PLC、センサー、スイッチ）に 4-2 認証を求める理由は、以下の3つの「航空業界特有のリスク」への対策です。
- 知的財産（IP）の窃取防止:
最新のステルス技術や燃費向上技術の設計データが、工場のOTネットワーク経由で流出するのを防ぐ（認証デバイスによるアクセス制御）。 - 品質偽装の防止:
制御システムの改ざんにより、部品の加工精度データが偽装されるリスクを排除する（通信の整合性確保）。 - サプライチェーンの強靭化:
下請けの加工会社（Tier 1/2）の工場がサイバー攻撃で停止すると、機体全体の納入遅延に直結するため、ティアサプライヤーに対しても認証製品の使用を推奨・義務化。
5. 採用されている代表的な認証製品例
- 産業用通信:
Moxa EDS-4000/G4000（全ポート IEC 62443-4-2 認証）。 - コントローラ:
Siemens SIMATIC S7-1500、Rockwell ControlLogix 5580。 - エッジデバイス:
Eurotech ReliaGATE（ハード・ソフト共に認証取得）。
航空機産業のサプライチェーンにおけるTier 1（一次サプライヤー）の導入条件と、日本国内の航空宇宙関連工場での現状について詳述します。
1. 航空機Tier 1サプライヤーにおける導入条件
スピリット・エアロシステムズ（Spirit AeroSystems）やサフラン（Safran）といった世界大手のTier 1企業では、OEM（ボーイングやエアバス）からの厳しいセキュリティ要求を背景に、自社の工場設備に対して以下のような条件を課しています。
- 「セキュア・バイ・デザイン」の証明:
新規の製造ラインを構築する際、設備に組み込まれるPLCや通信ゲートウェイに対し、IEC 62443-4-2 認証を取得していること、または同等のセキュリティ要件（ポート制限、暗号化通信、認証機能など）を備えていることが、RFQ（見積依頼書）の必須要件に含まれる事例が増えています。 - 脆弱性管理（SBOM）の提出:
4-2認証取得製品を指定する理由の一つに、ソフトウェア部品表（SBOM）の管理があります。認証済み製品を提供するベンダー（SiemensやRockwell等）は、脆弱性情報の提供体制（IEC 62443-4-1準拠）が整っているため、Tier 1側は自社工場のリスク管理を容易に行えるメリットがあります。 - デジタル・スレッドの保護:
設計データから加工までを一貫して管理する「デジタル・スレッド」において、工作機械（CNC）と上位システム（MES/ERP）を繋ぐ通信機器に対し、データの改ざんを防ぐための認証済みゲートウェイの使用が義務付けられるケースがあります。
2. 日本国内の航空宇宙関連工場での採用状況
日本国内（三菱重工業、川崎重工業、SUBARUなどの航空宇宙部門）においても、グローバルプロジェクトへの参画を維持するため、IEC 62443をベースとした取り組みが加速しています。
- 防衛装備庁の「新サイバーセキュリティ基準」との連携:
日本の防衛・航空宇宙産業では、防衛装備庁が導入したNIST SP 800-171相当の基準が重要視されています。これに基づき、工場のOTネットワークを保護する際、IEC 62443-4-2 認証済みの産業用スイッチ（MoxaやCisco等）を導入してネットワークの隔離（セグメンテーション）を行う動きが主流です。 - 国内ベンダーの認証取得と採用:
- 横河電機:
国内の航空・宇宙関連の試験設備やプラントにおいて、IEC 62443-4-1認証に基づいたセキュアな開発プロセスで製造されたコントローラを提案・導入しています。 - 三菱電機:
自社のPLC 「MELSEC iQ-Rシリーズ」 で IEC 62443-4-2 認証を取得しており、国内の工作機械メーカーや航空機部品工場のライン更新時に、認証済み製品としての採用を働きかけています。
- 横河電機:
- 課題と現状:
日本の工場では、既存のレガシー設備（認証前の古いPLC等）が多く残っているため、まずはネットワークの「出口」に IEC 62443-4-2 認証済みの産業用ファイアウォールやゲートウェイを設置し、古い設備を「後付けで保護」する（バーチャルパッチ等）手法が多く採用されています。
まとめ：航空製造における市場の潮流
航空機産業では「製品の安全（安全性認証）」と「工場の安全（IEC 62443）」がセットで語られるようになっています。特に日本企業がボーイングやエアバスの次世代機プロジェクト（水素航空機や空飛ぶクルマ等）に参画する場合、4-2認証済み製品を用いたセキュアな製造環境の構築は、技術力と並ぶ大きな競争力となります。
航空機産業の入札（特にボーイングやエアバスといったOEM、あるいは三菱重工などのTier 1が発行するRFQ）において、IEC 62443-4-2認証がどのようにスコアリングや選定に影響するか、実務的な観点から詳述します。
現在は「あれば望ましい」から、「ないとリスク審査で大幅減点、あるいは失格」という段階に移行しつつあります。
1. 入札における「足切り要件（Gate-keeping）」としての機能
航空機製造の入札プロセスには、技術審査の前に「リスクアセスメント（サプライヤー・リスク評価）」があります。
- コンプライアンス適合:
OEMはNIS2指令やCRA（欧州）などの法的規制を遵守する義務があります。4-2認証を保有するコンポーネントを提案することは、「法的要件を自動的に満たしている」というエビデンスになり、法務・コンプライアンス審査を即座にパスできます。 - 認証がない場合:
自社で独自のセキュリティ評価レポートを作成し、OEMの担当者と数週間にわたる質疑応答（Q&A）を行う必要が生じます。このプロセス自体が「高リスク・高コストなサプライヤー」と見なされる要因になります。
2. 技術スコアリングにおける具体的な加点ポイント
技術評価シートにおいて、以下の項目で加点、または高評価（High Confidence）が得られます。
- セキュア・バイ・デザインの客観的証明（＋15〜20%のスコア向上）:
「セキュリティに配慮しています」という主観的な記述ではなく、「SL（Security Level）2を取得済み」と記載することで、客観的な技術力が認められます。特に航空機部品の加工精度を左右する工作機械や制御システムにおいて、改ざん防止（Integrity）の証明として高く評価されます。 - ライフサイクルコストの低減:
4-2認証取得製品は、4-1（セキュア開発ライフサイクル）に基づき脆弱性パッチが提供されることが保証されています。OEM側にとっては、「将来的な脆弱性対応コストをサプライヤーが負担してくれる」と判断され、TCO（総保有コスト）の評価が上がります。
3. サイバー保険およびファイナンスへの影響
実務上、大規模プロジェクトではサプライヤーにサイバー保険への加入を求めるケースが増えています。
- 保険料と受注額:
認証製品をベースに構築された製造ラインは、保険料率が低く設定される傾向にあります。これにより、サプライヤーは見積価格（価格競争力）を維持しつつ、自社の利益率を確保しやすくなります。
4. 実際の入札仕様書（RFQ）で見られる表現例
航空機メーカーの仕様書には、以下のような「強い推奨（事実上の義務）」表現が見られます。
"The supplier shall demonstrate that the Industrial Automation and Control Systems (IACS) components comply with IEC 62443-4-2 or equivalent international standards. Preference will be given to products with independent third-party certification (e.g., ISASecure, TÜV)."（サプライヤーは、制御システムコンポーネントがIEC 62443-4-2に準拠していることを示すこと。第三者認証を取得している製品を優先する。）
結論：日本企業にとっての戦略的意味
日本の工作機械メーカーやSIerが航空機産業で受注を勝ち取るためには、4-2認証を「単なる技術仕様」ではなく、「営業上のクロージング・ツール」として使うことが有効です。
- 先行者利益:
競合他社（海外ベンダー）が認証取得済み製品で攻勢をかける中、日本製品が「準拠（自己宣言）」に留まると、評価スコアで競り負けるリスクがあります。 - 差別化:
特に「SL2」以上の取得は、高度なサイバー攻撃への耐性を示すため、軍用機関連や次世代旅客機（eVTOL等）のプロジェクトで強力なアピールポイントになります。
＜船舶市場での事例＞
船舶市場（海事分野）では、国際海事機関（IMO）のサイバーリスク管理に関する義務化（2021年施行）や、国際船級協会連合（IACS）が策定した新規則（UR E26/E27）により、IEC 62443-4-2 認証製品の採用や指定が「努力目標」から「実質的な必須要件」へと急激に変化しています。
以下に、船用計装・搭載システムにおける具体的な採用指定事例とトレンドをまとめます。
1. IACS UR E27による「認証製品」の実質的義務化
2024年7月1日以降に建造契約が結ばれる船舶には、IACSの共通規則 UR E27（船内システムおよび機器のサイバーレジリエンス）が適用されます。
- 内容:
船内の各機器（計装・制御装置）に対し、セキュリティ要件を求めています。 - IEC 62443の影響:
UR E27の要件は IEC 62443-4-2 と非常に親和性が高く、多くの船級協会（NK、DNV、ABS等）は、「IEC 62443-4-2 認証を取得していれば、UR E27の技術要件を満たしている」と見なす運用を行っています。 - 事例:
日本の造船所や船主が新造船をオーダーする際、メーカー（メーカーの計装・自動化システム）に対し、「UR E27適合の証明（＝4-2認証製品の採用）」をスペックシートに記載するケースが一般化しています。
2. 統合監視制御システム（IAS/AMS）での採用事例
船舶の「頭脳」にあたる統合監視制御システム（IAS）において、認証製品の指定が進んでいます。
- 事例:
横河電機や古野電気、あるいはノルウェーの Kongsberg（コングスベルグ）。 - 具体的指定:
- 北欧やシンガポールの船主が発注するLNG船や次世代燃料船のプロジェクトでは、IASを構成するPLC（プログラマブルロジックコントローラ）や産業用スイッチに対し、IEC 62443-4-2 認証を個別に要求する事例があります。
- 特に、Moxa（モクサ）の船級認証済みスイッチなどは、IEC 62443-4-2も併せて取得しているため、多くの海事SIerによって「標準指定製品」として採用されています。
3. 日本船級協会（NK）等の「サイバーセキュリティ型式承認」
日本国内のメーカーが、船舶市場での競争力を維持するために認証を取得し、指定を受ける事例です。
- 事例:
寺崎電気産業（Terasaki）など。 - 内容:
配電盤や監視システムにおいて、NK（日本船級協会）のサイバーセキュリティ要件（IEC 62443ベース）に基づく型式承認を取得しています。 - 効果:
船主や造船所が「サイバー表記（Cyber Security Notation）」を取得しようとする際、これら認証済みの計装機器を採用することで、船全体の認証取得プロセスが大幅に簡略化されるため、選定時に強力なアドバンテージとなります。
4. 特定の船種（自動運航船・遠隔監視船）での要求
- 事例:
日本が進める「MEGURI2040（自動運航船プロジェクト）」など。 - 内容:
陸上から船を遠隔監視・操作する場合、通信のゲートウェイやエンドポイント機器に対し、IEC 62443-4-2（SL2以上） 相当の強固な認証機能が要求されます。 - 理由:
船外と繋がるポイントがサイバー攻撃の最大の脆弱点となるため、第三者認証による技術的裏付けが受注の前提条件となります。
5. 採用指定が加速している具体的製品カテゴリ
- 通信ゲートウェイ:
船内LANと衛星通信（VSAT等）を繋ぐ境界機器。 - PLC/リモートI/O:
エンジン監視やバラスト制御に使用される計装コンポーネント。 - 航海機器:
ECDIS（電子海図）や雷達。
船舶・造船市場では、2024年7月以降に建造契約が締結される新造船に対し、IACS（国際船級協会連合）の共通規則「UR E26」および「UR E27」が強制適用となったことが、最大の転換点となっています。
これにより、造船発注案件の仕様書（Spec）において、IEC 62443-4-2認証製品を事実上、または直接的に指定する事例が急増しています。具体的な事例を整理します。
1. 欧州・アジアのLNG運搬船および次世代燃料船（アンモニア/水素）
高付加価値な特殊船のプロジェクトでは、船主（オーナー）が資産保護のために極めて高いサイバーレジリエンスを要求します。
- 事例:
ノルウェーの Equinor やカタールの QatarEnergy が関与する大型LNG船建造プロジェクト。 - 指定の形態:
造船所（韓国のHD現代重工やサムスン重工等）に対し、船内ネットワークの主要コンポーネントについて「IEC 62443-4-2 SL2以上」の取得製品を搭載するよう条件付けています。 - 対象機器:
統合監視制御システム（IAS）、パワーマネジメントシステム（PMS）。コングスベルグ（Kongsberg）などの大手SIerは、これに応えるために自社システム構成品の4-2認証取得を標準化しています。
2. 日本の自動運航船・遠隔監視船プロジェクト
日本が進める自動運航船の実証および商用化案件では、陸上との通信が発生するため、境界防御が厳格に指定されます。
- 事例:
日本財団の「MEGURI2040」プロジェクトに関連する新造船案件。 - 指定の形態:
船陸間通信を行うサイバーゲートウェイやエッジコンピューティングデバイスに対し、IEC 62443-4-2 認証（または同等の型式承認）の保持が要件化されています。 - 採用製品:
Moxa（モクサ）の船級認証済みスイッチ（EDS-4000/G4000シリーズ）などは、IEC62443-4-2認証を武器に、日本国内の主要造船所（今治造船、ジャパン マリンユナイテッド等）が手掛ける高度なネットワーク案件で指定採用されています。
3. 海上風力発電支援船（SOV/WTIV）
欧州を中心に、洋上風力発電所に供給する電力を制御するシステムと連動する船舶では、電力インフラと同等のセキュリティが求められます。
- 事例:
オランダやデンマークのエネルギー企業が発注する支援船。 - 指定の形態:
船内の制御盤内に組み込まれるPLCやリモートI/Oに対し、IEC 62443-4-2 への適合証明が求められます。 - 採用製品:
Schneider Electric（シュナイダーエレクトリック）やSiemens（シーメンス）の認証済みPLCが、これらの船級符号（Cyber Secure Notation）取得を前提とした案件で指名されています。
4. なぜ「4-2 認証」が指定されるのか（実務的な背景）
造船発注案件で「4-2 認証」が指定される理由は、IACS UR E27への適合を証明する「最短ルート」だからです。
- UR E27適合の簡略化:
船級協会（NK, DNV, ABS等）の検査官に対し、個々の機器のセキュリティ機能を説明する代わりに、「4-2 認証の証明書」を提示するだけで技術要件の審査がパスできます。 - 責任の明確化:
万が一サイバー事故が発生した際、造船所やSIerは「第三者認証を受けた製品を使用していた」ことで、設計上の注意義務を果たしていたという法的根拠（デューデリジェンス）になります。
結論
現在、新造船の入札・設計段階において、「IACS UR E26/E27 準拠」＝「主要機器は IEC 62443-4-2 認証製品（または同等品）を採用」という図式が完全に定着しています。
船級協会の認証リストの入手方法と、国内主要メーカーの最新動向について詳述します。
1. 船級協会が発行する「認証済み製品リスト」の入手方法
各船級協会は、サイバーセキュリティ基準（IEC 62443ベース）に適合した製品のデータベースを公開しており、ここから「指定製品」を探すのが実務上の定石です。
- DNV (ノルウェー・ドイツ船級協会):
- 入手先:
DNV Approval Finder - 探し方:
検索窓に「Cyber Security」または「IEC 62443」と入力。DNVは「Cyber Secure」というクラス表記の型式承認（Type Approval）を発行しており、認証を取得した製品（Moxa、Kongsberg、Wärtsilä等）がリストアップされます。
- 入手先:
- NK (日本船級協会):
- NKのウェブサイト内「型式承認等承認品目録」から確認可能です。
- サイバーセキュリティ関連:
NKは独自に「サイバーセキュリティ型式承認」制度を設けており、IEC 62443-4-2の要件に基づき審査された製品が掲載されています。
- ABS (アメリカ船級協会):
- 「ABS Type Approval Database」にて、「Cyber-Safety」と検索。ABSは「CS1（基本）」〜「CS3（高度）」のレベル分けで認証を行っており、特定のコンポーネントがどのレベルの4-2要件を満たしているか確認できます。
2. 国内船用計装メーカーの最新対応状況
寺崎電気産業や西芝電機などの国内大手は、2024年7月施行の IACS UR E26/E27 への完全対応に向けて、製品の「サイバーセキュリティ型式承認」取得を加速させています。
- 寺崎電気産業 (Terasaki):
- 状況:
配電盤や集中監視制御システム（AMS）において、早くからNKのサイバーセキュリティ型式承認を取得しています。 - 特徴:
自社製品を「セキュリティコンポーネント」としてパッケージ化しており、造船所がUR E26/E27対応を行う際の負担を軽減するソリューション（Terasaki Cyber Security Solution）を提案しています。
- 状況:
- 西芝電機 (Nishishiba):
- 状況:
発電・配電システムや電気推進システムのデジタル化に伴い、制御ネットワークの堅牢化を進めています。 - 特徴:
東芝グループの知見を活かし、IEC 62443-4-1（開発プロセス）に準じた設計体制を構築。自社製の監視システム「N-COMPSAS」などにおいて、サイバーレジリエンスを高めた仕様での供給を開始しています。
- 状況:
- JRCS:
- 状況:
デジタルソリューション「JRCS Digital Innovation」において、DNVやNKからのサイバーセキュリティ認証取得を積極的に推進。 - 特徴:
自動運航を見据えた遠隔監視システムにおいて、通信経路の保護（4-2の通信機密性・整合性要件）を強化した製品を展開しています。
- 状況:
3. 造船所・設計担当者が注目する「実務上のポイント」
現在、国内の設計現場では、以下の組み合わせが「UR E27対応の黄金律」となりつつあります。
- 計装・監視システム:
寺崎やJRCSなどの「NK/DNV型式承認済みシステム」を採用。 - ネットワークインフラ:
MoxaやCiscoなどの「IEC 62443-4-2 第三者認証済みスイッチ」をバックボーンに指定。 - 接続機器:
センサーやアクチュエータなどの末端機器は、上位の認証済みゲートウェイで保護（バーチャル隔離）することで、未認証機器の混在を許容する設計。
