読み取り専用OPC-UA：PLCに触れない状態監視

予知保全プロジェクトを最も早く頓挫させる方法は、OTセキュリティチームにPLCへの書き込みアクセスが必要だと伝えることです。新しいツールがセットポイントを変更したり、出力を強制したり、アクチュエーターコマンドを発行したりできる瞬間、それは監視システムではなく制御システムのリスクになります — そしてパイロットの代わりに数ヶ月のセキュリティレビューが始まります。

よりクリーンな方法があります：読み取り専用OPC-UA。必要なタグをサブスクライブし、値を一切書き戻しません。制御システムは以前まったく同じように動作し、パッシブなオブザーバーが追加されるだけです。

読み取り専用が実際に防ぐこと

OPC-UAはリクエスト/レスポンスとサブスクリプションプロトコルです。クライアントは読み取り・書き込み・メソッド呼び出しができます。「読み取り専用の機械監視」とは、クライアントが厳密なサブセットに制限されることを意味します：

サブスクライブと読み取りのみ。 クライアントは必要なタグ（振動・温度・圧力・電流・RPM）に対してモニタリングアイテムサブスクリプションを開き、値の更新を受け取ります。Writeサービスコールは一切発行しません。
メソッド呼び出しなし。 機械の動作を変更する可能性のあるPLCメソッドを呼び出しません。
アクチュエーターパスなし。 モデルの出力を制御システムの書き込みにマッピングするコードパスは — 一切 — 存在しません。

これはアーキテクチャ上の特性であり、誰かが切り替えることを期待する設定トグルではありません。監視エージェントはコードベースに書き込み能力がまったく存在しないべきです。監査人が「このツールがラインに対してできる最悪のことは何か？」と尋ねたとき、答えは「すでに読み取りを許可されている値を読む」であるべきです。

Prevlyのエッジエージェントはこの方針で意図的に構築されています。OPC-UAタグに読み取り専用でサブスクライブし、テレメトリをオンプレミスパイプラインにプッシュします。取り込みパスのどこにもwrite_tag・メソッド呼び出し・アクチュエーターコマンドは存在しません — そしてそれは仮定ではなく検証済みです。

ITセキュリティレビューを早期に通過できる理由

IEC 62443のようなOTセキュリティフレームワークは、制御システムとのすべてのインタラクションを制限・記録することを中心に構築されています。読み取り専用の監視エージェントは、レビュアーが最も重視するフレームワークの部分にクリーンにマッピングされます：

| 懸念事項 | 読み取り専用OPC-UAの回答 | |---|---| | プロセスを変更できるか？ | 書き込みパスが存在しない。 | | PLCを妨害できるか？ | サブスクリプションはパッシブで、OPC-UAサーバーが更新レートを制御する。 | | 必要なネットワークアクセスは？ | OPC-UAエンドポイント（通常TCPポート4840）への単一のインバウンドサブスクリプション。インターネットエグレス不要。 | | 侵害された場合の爆発半径は？ | 攻撃者はヒストリアンがすでに公開しているタグ値への読み取りアクセスを得るだけ — 制御権は得られない。 | | 機械の状態を変更できる認証情報があるか？ | 監視用の認証情報はサーバー上で読み取り専用にスコープされている。 |

書き込みアクセスやクラウドへの往復が必要なツールと比較してみてください：それらの行すべてが発見事項・補完的なコントロール・または「来四半期に戻ってきてください」になります。

読み取り専用は低品質を意味しない

エンジニアはパッシブ監視が粗く遅いデータを意味すると思い込むことがあります。そうではありません。OPC-UAサブスクリプションを通じて取得できます：

スペクトルと軸受周波数分析のための高レート振動チャンネル（X/Y/Z軸）。
クロスセンサー相関のためのプロセス変数（温度・圧力・流量・電流・電圧）。
コンテキストのための機械状態とRPM — モデルが「停止中」と「異常」の違いを認識できるよう。

これは実際の状態監視を実現するのに十分です：ローリングウィンドウ特徴量・FFT・トレンド検出、そして異常検知・残余耐用寿命予測・故障分類のMLモデル。モデルの品質はセンサーの品質とサンプリングレートによって制限されます — 書き込みではなく読み取りを選んだという事実によって制限されるのではありません。

多層防御のレイヤリング

読み取り専用OPC-UAは一つの層です。適切に設計された監視展開は、他の層と組み合わせます：

プロトコルレベルの読み取り専用 — 書き込みサービスコールなし。
認証情報レベルの読み取り専用 — OPC-UAサーバーは監視アカウントに読み取りスコープのみを付与。
ネットワークレベルの読み取り専用 — エージェントは監視セグメントに配置。ファイアウォールルールはサブスクリプションを許可し、制御セグメントへの戻りパスは許可しない。
アウトバウンドエグレスなし — オンプレミス展開では、エージェントはインターネットに接続する必要がまったくない。

多層防御とは、一つの層が誤設定されたとしても、他の層が書き込みを防止することを意味します。これが、疑うことを学んだセキュリティチームから「はい」を得るための姿勢です。

監視ベンダーに確認すべき質問

エージェントはコード内に書き込み能力が存在しますか、たとえ未使用でも？（「読み取り専用に設定されています」は「書き込みできません」より弱い答えです。）
必要なネットワークパスは正確に何ですか？ インバウンドサブスクリプションのみ、それとも制御ネットワークへの戻りパスがありますか？
機能するためにインターネットエグレスが必要ですか？
OPC-UAサーバー上でどの認証情報スコープが必要ですか？
監査人が必要とするデータフロー図を提示できますか？

状態監視がラインのリスクを低減するためのものであれば、それを監視するツールが新たに触れる方法を追加すべきではありません。

Prevlyは読み取り専用OPC-UAで機械データを取り込みます — パッシブなサブスクリプション・PLCへの書き込みパスなし・インターネットエグレス不要 — IEC 62443 SL-1レベルに整合したオンプレミス展開の一部として。アーキテクチャを見るまたは技術的なウォークスルーをリクエストしてください。