制御権の連鎖が新たな攻撃面に
分散型エネルギーリソース（DER）とは、需要地に近い太陽光発電、蓄電池、EV・充放電器、空調、給湯器などの小規模な電源・需要設備です。
これらをクラウド、API、HEMS・BEMS、PCS・BMS・EMSで束ね、需給調整や電力取引に使う仕組みがVリソースアグリゲーションです。
このシステムは、需要家側のリソースアグリゲーター、その上位のアグリゲーションコーディネーター、機器メーカーのクラウド、小売・送配電事業者がそれぞれ重層的につながることです。安全上の境界は、もはやオンサイトかオフサイトかではなく、「誰が、どの認証情報と通信経路を通じて、何台を同時制御できるか」に移っています。
普及とともに「一台の脆弱性」が系統リスクへ
IEAは、2025～2030年に世界の再エネ容量が約4600GW増え、その約8割を大規模・分散型太陽光が占めると予測しています。EV、家庭用蓄電池、スマート家電も増え、個々には小さい機器が集約されることで発電所並みの制御量を持ち始めました。日本では2024年5月、太陽光発電向け遠隔監視機器約800台が侵害され、インターネットバンキングの不正送金の踏み台に使われました。系統事故には至りませんでしたが、弱いパスワード、更新されないファームウェア、公開された遠隔接続口が、同時停止・一斉充放電、DDoS、ランサムウェア、需要家の在宅情報流出へ発展し得ることを示しています。
JC-STARは共通物差し、ただし万能ではない
日本は2025年5月、ERABサイバーセキュリティガイドラインをVer.3.0へ改定し、物理ゲートウェイを介さないクラウド制御、末端IoT機器、取得データの漏えいまで対象を広げました。IPAのJC-STARは2025年3月に始まり、★1をIoT製品共通の最低基準、★3・★4を第三者評価型としています。太陽光・蓄電池では特別高圧・高圧を2027年4月、低圧を同年10月から、新規の系統接続申込みで通信機能を持つPCS、BMS、EMSなどに★1取得を求める方針です。賛成論は、調達者が最低水準を比較でき、サプライチェーン責任を明確にできる点を評価します。一方、★1は自己適合宣言でDER固有の全脅威を覆わず、海外メーカーの対応遅れ、機種減少、審査・設計変更コストを懸念する声もあります。EUは電力分野のサイバー・ネットワークコードとサイバーレジリエンス法で事業者と製品ライフサイクルの双方を規律し、米国はDOE・NARUCが配電系統、DER所有者、運用者、アグリゲーター向けのリスクベース基準を整備しています。
必要なのは最高仕様ではなく、影響度に応じた防御
今後は、ラベル取得の有無だけでなく、制御可能容量、同時接続台数、系統影響、通信経路、クラウド所在、再委託先、更新保証期間を案件ごとに評価する必要があります。家庭用一台と数百MWを束ねる系統用蓄電池群に同じ統制を課せば過剰コストとなり、逆に大規模集約を★1だけで済ませれば不十分です。発電・蓄電事業者は、調達時にSBOM、脆弱性通知、パッチ期限、多要素認証、ネットワーク分離、ログ保存、手動運転への切替、事故時の責任分界を契約へ落とし込むべきです。最適解は「規制を満たすこと」ではなく、単一障害が何台へ波及し、何MWの変動を起こすかを定量化し、その影響に比例して対策費を配分することです。
【参考】資源エネルギー庁「電力分野のサイバーセキュリティについて」
【参考】経済産業省「ERABサイバーセキュリティガイドラインVer.3.0改定」
【参考】IPA「セキュリティ要件適合評価及びラベリング制度（JC-STAR）」
【参考】IEA「Unlocking the Potential of Distributed Energy Resources」
【参考】米国エネルギー省「Cybersecurity Baselines for Electric Distribution Systems and DER」
【参考】欧州委員会「電力分野のサイバー・ネットワークコード」
【参考】欧州委員会「Cyber Resilience Act」