2015/2/2

事業中断リスクに対する耐性設計について（株）ヒルベット・ソリューション
小山 隆
１．はじめに製品・サービスを市場に中断なく提供し続けることは、企業の存続・発展のための根幹となる条件ですが、このための投資は、対象が広範囲で、かつ、複雑なため、費用対効果を見極めることがとても難しくなります。これに対応するための一般的な設計方法としては、リスクベースの設計方法が用いられていますが、ここでは、これとは別のプロダクトベースの設計方法を一般の製造業をモデルにした仮想的な企業を対象に実施し、その効用を検証してみたいと思います。

２．耐性設計市場に製品・サービスを供給するための事業とその事業で使用する資産（社会インフラ、外部サービス、施設・設備、人、装置、情報、部品・材料、製品等）を対象に、ハザードリスク（事故・故障、自然災害等）に対して、被災しにくい、および、被災しても早急な復旧が可能なシステムを設計することで、リスクベースやプロダクトベース等の設計方法があります。
・リスクベース設計
事業で使用する資産に対して、そ の資産 が遭遇する脅威とそれらに対する脆弱性、およびその資産が被災した場合の影響度を明確にし、脆弱性を低減するような設計を行います。
・プロダクトベース設計
事業で使用する資産 に対して、その資産が一定期間機能停止した場合における製品・サービスの供給量の減少率を最小化するような設計を行い ます。

３．耐性設計における依存関係分析の重要性
耐性設計においては、各資産間の依存関係分析が重要になってきますが、資源間の依存関係は、どのようなものを考えておけばよいでしょうか？これは、どのレベルまで被災時の状況を分析したいかで、かなり変わってきますが、まずは以下の表に示すレベルぐらいから始めるのがよいように思います。
社会インフラ地域（県もしくは市レベル）

人

交通機関、道路、通信網、作業施設

外部サービス

交通機関、道路、通信網

装置

電力、保守業者、設置施設

通信経路

通信網、社内 LAN、ルーター

ソフトウェアコンピューター、保守業者

データ（サーバー側）

処理プロセス、サーバー

データ（クライアント側）

クライアント PC、通信経路、データ（サーバー側）

製品・部品等

処理プロセス、保管施設

処理プロセス

外部サービス、人、装置、ソフトウェア、データ、製品・部品等

例えば、外部サービスとして保守業者を考えると、修理依頼をするための通信網、修理に来るための交通機関や道路といった具合です。また装置では、装置を動かすための電力や修理のための保守業者、および装置が設置されている施設といった具合です。ここで装置が依存している資産を辿っていくと、電力、保守業者、設置施設、および保守業者が依存している交通機関、道路、通信網などとなって、例えば道路が通行停止になっても、間接的に装置に影響を及ぼすことになります。
実際の分析は、各資産間の依存関係を順方向、逆方向に一つ一つ辿っていくので、資産数が増大していくと手作業ではかなり難しくなりますが、これらを処理するソフトウェアがありますので、予め資産間の依存関係を登録しておけば、さまざまな被災シナリオが簡単に可視化できます。

４．対象モデル
ここでは、製造を中心としたモデルと製造から販売までを中心とした２つのモデルを対象に分析を実施します。
図１－１には、分析の対象となる仮想企業のモデルを示します。本社と A 工場は東京都にあり、B 工場は栃木県にあります。また、基幹サーバーは、栃木県にあるデーターセンターに設置しています。部品供給業者は、茨城県、神奈川県、千葉県にあり、茨城県と千葉県の業者は、部品 Aを A 工場と B 工場に別々に供給し、神奈川県の業者は、部品 B を A 工場と B 工場の双方に提供しています。各工場のラインは２系統あり、部品 A と部品 B を組立て、製品にし、これを検査、出荷するという流れになっています。各業務で使用するデーターは、データーセンターに設置してある ERP で一括管理しています。ERP のアプリケーション本体は AP サーバー上で稼働し、データーは DB サーバー上に保存されています。また DB サーバー上のデーターは DISK1 と DISK2に分散保管（ミラーリング）されています。
部品業者１は、A 工場に１日に２単位ずつ、１日の時間をかけて部品 A を搬入します。部品業者
２は、A 工場に１日に２単位ずつ、１日の時間をかけて部品 B を搬入し、B 工場に１日に４単位ずつ、１日の時間をかけて部品 B を搬入します。部品業者３は、B 工場に１日に４単位ずつ、１日の時間をかけて部品 B を搬入します。A 工場に２系統ある製造ラインは、各々、部品 A と部品 B を１日に１単位ずつ取り込み、３日かけて１単位の製品を製造します。検査ラインも２系統あり、各々１日１単位ずつ、１日かけて検査を実施します。そしてこれらを１日２単位ずつ出荷します。B工場に２系統ある製造ラインは、各々、部品 A と部品 B を１日に２単位ずつ取り込み、３日かけて２単位の製品を製造します。検査ラインも２系統あり、各々１日２単位ずつ、１日かけて検査を実施します。そしてこれらを１日４単位ずつ出荷します。
図１－２には、分析の対象となるもう一つの仮想企業のモデルを示します。本社は東京都に、A工場は埼玉県に、B 工場は栃木県にあります。基幹サーバーは、栃木県にあるデーターセンターに設置しています。物流拠点１は千葉県に、物流拠点２は茨城県にあります。販売店は各県に１店舗ずつあります。各業務で使用するデーターは、データーセンターに設置してある ERP で一括管理しています。ERP のアプリケーション本体は AP サーバー上で稼働し、データーは DB サーバー上に保存されています。また DB サーバー上のデーターは DISK1 と DISK2 に分散保管（ミラーリング）されています。
A 工場からは製品 A が、物流拠点１に、１日に５単位ずつ、１日の時間をかけて配送され、物流拠点２に、１日４単位ずつ、１日の時間をかけて配送されます。B 工場からは製品 B が、物流拠点１に、１日に５単位ずつ、１日の時間をかけて配送され、物流拠点２に、１日４単位ずつ、１日の時間をかけて配送されます。物流拠点１からは製品 A と B が、販売店１と３に、１日２単位ずつ、１日の時間をかけて配送され、販売店２に、１日１単位ずつ、１日の時間をかけて配送されます。
物流拠点２からは製品 A と B が、販売店４と６に、１日１単位ずつ、１日の時間をかけて配送され、販売店５に、１日２単位ずつ、１日の時間をかけて配送されます。また、各物流拠点には、製品A、B ともに１００単位ずつの初期在庫があります。

４．被災シナリオ
図１－１の仮想企業に対しては、被災シナリオは、以下に示す１８ケースを設定しています。
（１）東京の電力が１１日目から５日間機能停止（２）栃木の電力が１１日目から５日間機能停止（３）東京の道路が１１日目から５日間機能停止（４）栃木の道路が１１日目から５日間機能停止（５）茨城の道路が１１日目から５日間機能停止（６）埼玉の道路が１１日目から５日間機能停止（７）神奈川の道路が１１日目から５日間機能停止（８）千葉の道路が１１日目から５日間機能停止（９）データセンターの LAN が１１日目から５日間機能停止（１０）A 工場の LAN が１１日目から５日間機能停止（１１）B 工場の LAN が１１日目から５日間機能停止（１２）AP サーバーが１１日目から５日間機能停止（１３）DB サーバーが１１日目から５日間機能停止（１４）DISK1 が１１日目から５日間機能停止（１５）A 工場の製造措置１が１１日目から５日間機能停止（１６）A 工場の検査措置１が１１日目から５日間機能停止（１７）B 工場の製造措置１が１１日目から５日間機能停止（１８）B 工場の検査措置１が１１日目から５日間機能停止
図１－２の仮想企業に対しては、被災シナリオは、以下に示す１７ケースを設定しています。
（１）東京の電力が１１日目から５日間機能停止（２）栃木の電力が１１日目から５日間機能停止（３）茨城の電力が１１日目から５日間機能停止（４）埼玉の電力が１１日目から５日間機能停止（５）神奈川の電力が１１日目から５日間機能停止（６）千葉の電力が１１日目から５日間機能停止（７）東京の道路が１１日目から５日間機能停止（８）栃木の道路が１１日目から５日間機能停止（９）茨城の道路が１１日目から５日間機能停止

（１０）埼玉の道路が１１日目から５日間機能停止（１１）神奈川の道路が１１日目から５日間機能停止（１２）千葉の道路が１１日目から５日間機能停止（１３）データセンタの LAN が１１日目から５日間機能停止（１４）A 工場の LAN が１１日目から５日間機能停止（１５）B 工場の LAN が１１日目から５日間機能停止（１６）物流拠点１の LAN が１１日目から５日間機能停止（１７）物流拠点２の LAN が１１日目から５日間機能停止
５．シミュレーション結果
図２－１には、図１－１の仮想企業に対して、上記被災シナリオを想定したシミュレーション結果を示します。各画面には、各拠点における部品、製品在庫や一部のデーターの１０日目から２９日目までの遷移状況を示します。図３－１には、図２－１の製品（運送業者１）と製品（運送業者２）、すなわち、A 工場と B 工場の各被災シナリオにおける２５日目の累積出荷量と平常時の累積出荷量との差を示します。
図２－２には、図１－２の仮想企業に対して、上記被災シナリオを想定したシミュレーション結果を示します。各画面には、各拠点における製品や一部のデーターの１０日目から２９日目までの遷移状況を示します。図３－２には、図２－２の製品 A と B の各被災シナリオにおける２５日目の累積供給量と平常時の累積供給量との差を示します。

６．結果の検討
図２－１および図３－１のシミュレーション結果を見ると、データセンターの DISK1 が停止しても出荷量の減少はありませんが、これは DISK をミラーリングしていることによります。C や E に見られるように工場の LAN や所在地の電力や道路が停止して操業もしくは出荷ができなくなると停止期間分の出荷量が減少します。また B や D に見られるように各工場に 2 台ある装置のうち 1 台が停止すると、工場の生産量が半減し、この分出荷量が減少しますが、工場全体が停止している時の減少量には比例していません。これは、A 工場では 2 単位、B 工場では 4 単位ごとに出荷しているので、出荷量を確保するのに 1 日遅れが生じるためです。C や E や F に見られるように部品供給業者の所在地の電力や道路が停止して出荷ができなくなると停止期間分の出荷量が減少します。ただ F の場合は、神奈川に所在地のある部品供給業者が両方の向上に部品を供給しているため、結果的にすべての出荷が停止してしまいます。この他にすべての出荷が停止する場合は、データセンターにある LAN や AP サーバ、DB サーバ、および電力が停止して、結果的に全拠点の業務に影響を及ぼす場合と納入先の道路が不通になり、納入できない場合があります。これらの結果から、ここで分析の対象とした企業では、データセンター、部品 B を供給している業者、および納入先に対する対策喫緊の検討課題となることがわかります。
図２－２および図３－２のシミュレーション結果を見ると、A 工場と B 工場の LAN が停止しても供給量の減少はありませんが、実際は工場の機能が停止し、工場からの出荷が停止されます。ただ物流拠点に製品在庫があるので、販売店には影響が出ません。これに対して物流拠点が機能停止になると D や E のようにかなりの影響をうけます。機能停止の原因は、電力や道路だけでな
く、LAN の停止でも同様の影響が出ます。B と C に関しては、販売店がある地域の電力や道路が機能停止して、各販売店に対する供給や販売店の業務が停止するための影響です。影響が一番大きいのは、F の栃木の電力とデータセンターの LAN が停止することですが、これはデータセンターにある各拠点からのデータの更新や参照ができなくなるため、各拠点すべての業務に影響が出るためです。ちなみにデータセンターのある栃木県には B 工場もありますが、A でみたようにこの影響はありません。これらの結果から、ここで分析の対象とした企業では、データセンターについての対策が喫緊の検討課題となることがわかります。

７．まとめ
前述のシミュレーション結果で見たように、プロダクトベース設計は、投資対効果が明確になるので、耐性設計におけるより実効性のある成果が期待できます。なおプロダクトベース設計においては、個々の対象を一定期間停止させるだけでなく、個々の対象が全損した場合の復旧時間と復旧コストを前提に設計することも可能なため、個々の対象を組み合わせることで、大規模災害に対する耐性設計にも利用することができます。図１－１．分析対象モデル

図１－２．分析対象モデル

図２－１． シミュレーション結果
平常時（１）東京の電力（２）栃木の電力（３）東京の道路（４）栃木の道路（５）茨城の道路（６）埼玉の道路（７）神奈川の道路

（８）千葉の道路（９）データセンターの LAN（１０）A 工場の LAN（１１）B 工場の LAN（１２）AP サーバー

（１３）DB サーバー

（１４）DISK1（１５）A 工場の製造措置１

（１６）A 工場の検査措置１（１８）B 工場の検査措置１（１７）B 工場の製造措置１図２． シミュレーション結果
平常時

１．東京の電力

２．栃木の電力

３．茨城の電力

４．埼玉の電力

５．神奈川の電力

６．千葉の電力

７．東京の道路

８．栃木の道路

９．茨城の道路

１０．埼玉の道路

１１．神奈川の道路

１２．千葉の道路

１３．データセンタの LAN

１４．A 工場の LAN

１５．B 工場の LAN

１６．物流拠点１の LAN

１７．物流拠点２の LAN

図３－１． 各被災シナリオにおける平常時の累積出荷量との比較

図３－２． 各被災シナリオにおける平常時の累積供給量との比較