AI × FA ダイジェスト THURSDAY

2026年10月22日

制御設計・フィールド業務・AIニュースの動きを、ひとつに。

THIS ISSUE08TOPICS / 全文無料
制御設計03フィールド業務03AIニュース02
A

制御設計

3 TOPICS
TOPIC 01制御設計

三菱電機、フィジカルAIでヒューマノイドとCNC工作機械を連携させる加工システムを開発

三菱電機は2026年10月21日、フィジカルAIを介してヒューマノイドロボットとCNC工作機械がシームレスに連携する加工システムを開発したと発表した。同社は「業界で初めて」としつつ、注記で「2026年10月21日現在、当社調べ。ヒューマノイドロボット連携を前提としたNCシステムとして」と範囲を限定している。システムは、①オペレーターから自然言語で作業指示を受けて解析し、あらかじめ登録されている作業タスク一覧から必要なタスクを組み合わせてタスクプランを自動生成する「AI加工タスクプランナー」、②フィジカルAIを搭載し自然言語で操作情報をやり取りしながら連携して加工を実行するCNC工作機械、③一般的なヒューマノイドロボットの3要素で構成される。

概要の続きを読む+

AI加工タスクプランナーとCNCには、同社のAI技術Maisartを使用して新たに開発したフィジカルAIを搭載するとしている。これにより、従来オペレーターが担ってきた段取りや清掃、完成品の取り出し、搬送、検査、トラブル対応などの工作機械に関する作業をヒューマノイドロボットに置き換えることが可能になり、加工現場の省人化に貢献すると説明する。発表では、人の身体的特徴を前提とした作業を従来の産業用ロボットで代替しようとすると、導入するロボットに合わせて生産ラインへの設備投資が必要になる点、またCNC工作機械と接続して互いの状況を把握し適切に連携するにはロボットごとに個別の通信機能や制御シーケンスを開発する必要があった点を、導入のハードルとして挙げている。今回のシステムはロボットの機種に依存せず柔軟に連携でき、高度なシステムインテグレーションを行うことなく加工システムを実現してシステム導入までの期間を大幅に短縮できるとする。実用化は2030年を目指し、今後さらなる機能高度化と実証実験を進める方針で、2026年10月26日から東京ビッグサイトで開催される「JIMTOF2026 第33回日本国際工作機械見本市」でデモンストレーションを展示する(MONOistは会期を同年10月26〜31日と記載)。

情報源
PR TIMES(三菱電機プレスリリース) (2026/10/21) / 出典を読む / MONOist (2026/10/22) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

「自然言語の指示からタスクプランを自動生成し、機械と人(ロボット)に作業を割り振る」という構造は、2030年の実用化を待たずに今の設計業務へ写せます。最初の一歩は、自分が担当している装置1台について、オペレーターが口で言う作業指示(段取り替え、治具交換、清掃、ワーク取り出し、異常復旧)を20〜30個の「作業タスク一覧」として書き出すこと。Excelかスプレッドシートで、タスク名・前提条件・必要な入出力・完了判定の4列だけで十分です。次の段階として、その一覧をGeminiやChatGPTの無料枠に貼り、「このタスク一覧から、段取り替えのプランを順序付きで組み立てて」と頼んで、抜けている前提条件やインターロックを洗い出させます。タスクプランナーが自動生成する前に、人間がタスク定義の粒度と完了判定を決めておかないと、どんなAIを載せても動かないからです。この段階のコストはゼロで、既存のGX Works3プロジェクトと装置仕様書があればできます。注意点は2つ。1つは、今回の発表が2030年実用化を目指す開発段階であり、JIMTOFで見られるのはデモンストレーションだという点。すぐ買える製品として客先に説明しないこと。もう1つは、段取りや清掃の自動化を検討するときに「ロボットに合わせた設備投資が要るかどうか」を最初に見積もること。発表自体がそこを導入ハードルとして挙げているので、客先への提案でも同じ順番で話すと説得力が出ます。JIMTOFに行くなら、タスク一覧を印刷して持って行き、自分の装置のタスクがどこまで割り振れるかを担当者に直接ぶつけるのが一番安い学び方です。

TOPIC 02制御設計

GX Works3のコンパイル後命令をGX Simulator3との比較で観測する

GX Works3でラベルやFBを使って書いたプログラムが、コンパイル後にどのような命令へ変換されるのかを、GX Simulator3との照合機能で観測した記事が公開された。手順は、STやFBでプログラムを書いてコンパイルし、GX Simulator3へ転送して実行したうえで、GX Works3とGX Simulator3でプログラムの比較を行い、プログラムファイル・FBファイル・FUNファイルを見るというもの。結果として、普段のラダーでは見かけないLFBCALL、FUNCALLといった命令が現れ、LV:xxがローカルラベルの領域を表す表示であることが示されている。FBでは入力値をインスタンスのラベル領域に書き込んでLFBCALLで本体を呼び出し、演算後に出力ラベルの値を読み出す。

概要の続きを読む+

FUNでは入力値をTMP領域に書き込んでFUNCALLで本体を呼び出し、戻ってきたらTMP領域から出力値を読み出す。インスタンスの有無による差として、FBはタイマー、カウンター、パルス、自己保持を利用でき演算結果を記憶できる一方、FUNにはインスタンスがなくFUN内のローカルラベルの値は次の呼び出しには保持されないと説明する。FBのマクロ型とサブルーチン型の切り替えも実機で確認しており、サブルーチン型ではFBFILEにFB本体を格納して呼び出し、マクロ型では呼び出し元に同じロジックが埋め込まれ、FBFILEから対象FBのロジックが消えていた。選択の指針として、同じFBを何か所も呼び出す場合はサブルーチン型が本体を共用できプログラムメモリを節約しやすい点、MX-Rの場合はサブルーチン型しか選べない点、マクロ型でFB外から引数ラベルを直接参照すると意図した値を読めない場合がある点(FB外で値を使う場合は引数に接続した実デバイスやラベルを参照する)が挙げられている。STについては、GX Works2ではSTの分岐やループをポインタを使ったジャンプで制御していたため分岐やループを多く書くと大量のポインタを消費していたが、今回のiQ-Rの結果ではIFやWHILEなどに対応する命令が使われており、分岐やループごとにポインタを消費しないため気にせず書けると述べる。記事がコンパイル結果から挙げた命令には、STPUSH、STPOP、_TMALLOC、_TMFREE、FBRET、IF/THEN/ELSIF/ELSE/ENDIF、CASE/CASEOF/CASEIF/CASETHEN/CASEELSE/ENDCASE、STFOR/FORBY/FORTO/FORDO/ENDFOR、WHILE/WHILEDO/ENDWHILE、REPEAT/UNTIL/ENDREPEAT、EXITが含まれる。この例ではRETURNの部分だけがポインタを使い、CJ GLP0でFB末尾の終了処理へジャンプしていた。インスタンスの内容や配置はSH-081225「MELSEC iQ-R プログラミングマニュアル(プログラム設計編)」に詳しく書かれているとしている。

情報源
Qiita(fa_yoshinobu) (2026/10/21) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

これは今日そのまま真似できる検証手順です。最初の一歩は、GX Works3で「IN1 + IN2 = OUT3」程度の最小FBと最小FUNを1つずつ作り、MAINから呼ぶだけのプロジェクトを新規作成して、GX Simulator3へ転送してプログラム比較をかけること。実機もワークも要らず、手元のGX Works3とGX Simulator3だけで30分で終わります。次の段階は、自分が普段使い回しているFB(タイマー入りの搬送FB、自己保持入りの起動FB、アラーム集約FBなど)を同じ手順でマクロ型とサブルーチン型の両方でコンパイルし、プログラムメモリの消費差を実測して自社の標準をどちらにするか決めること。MX-Rを使う案件があるならサブルーチン型しか選べないので、標準FBをマクロ型前提で作っていると移植時に効くはずです。3つ目として、ST記述を避けている現場なら、分岐・ループを含むSTを1つコンパイルして「iQ-Rではポインタを消費しない」ことを自分の目で確認し、その画面キャプチャを社内の設計標準レビューに持ち込むと、STの採用判断が感情論から離れます。コストはゼロ(既に持っているツールの機能)、難易度は低めですが、注意点が2つ。1つは、記事の確認はiQ-R(とMX-Rへの言及)での結果なので、FX5系や旧Qシリーズで同じ命令が出るとは限らないこと。自分が使う機種で必ず取り直してください。もう1つは、マクロ型でFB外から引数ラベルを直接参照している既存プログラムが社内にないか棚卸しすること。記事は「意図した値を読めない場合がある」としており、動いているように見える回路が条件次第で化ける類の話なので、見つけたら引数に接続した実デバイスやラベルを参照する形へ直す判断材料になります。

TOPIC 03制御設計

「全軸サーボReadyなのに一個目だけ位置がずれる」— 多軸設備の復帰条件をPLCで分ける

多軸設備の自動復帰で「全軸サーボReadyなのに、再開すると最初の一個だけ位置がずれる」という復帰不良を取り上げたX投稿が、日本時間10月21日07:34に投稿された。投稿は、原点も異常も正常で手動では各軸が動くのに、自動再開するとカッタとコンベアの位相だけが合わないという症状を挙げ、原因を軸の異常ではなく「停止中に失った工程状態」に置いている。投稿はパナソニックのGM5について、例えば0.5msの高精度軸と2msの汎用軸を一台で同期管理できると述べ、軸をまとめやすくなる一方で復帰条件を「全軸Ready」だけにすると停止中に失った工程状態は戻らないと指摘する。包装機の例として確認すべき項目を4つ挙げている。

概要の続きを読む+

停止直前の主軸・従軸位置と位相差、外部エンコーダの連続性、フィルム上の製品位置、電子カムを再開する工程ステップである。これらを持たずに再始動すると、サーボは正常でも、前の製品を基準にしたカム位相と現在の材料位置が食い違い、タイマを延ばしても直らないとする。逆に停止時の位相と工程状態が残っていれば、その場から低速で再同期できるのか、材料を排出して基準を取り直すべきかをPLCで分けられ、復帰失敗も「軸異常」ではなく「基準喪失」「位相差過大」「材料位置不明」まで絞り込めると述べる。投稿は、多軸化で先に決めたいのは何軸動かせるかより、止まった瞬間の何を残せば同じ製品へ戻れるかだと結んでいる。

情報源
X(@shin_debug_ai) (2026/10/21) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

手元の案件で明日できるのは、担当装置1台の「停止時に残すデータ」の棚卸しです。GX Works3のデバイスコメント一覧をCSVで出し、停止時点の主軸位置・従軸位置・位相差・外部エンコーダ値・材料位置・工程ステップ番号に相当するラベルが「存在するか」「停電保持(ラッチ)になっているか」の2列を足すだけ。ラッチ設定を見れば、どれが再起動で消えるかがその場で分かります。次の段階は、消えるものが見つかったら保持すべきものだけをラッチ領域へ移し、復帰処理を「軸異常」の一本勝負から、投稿が挙げる3分類(基準喪失/位相差過大/材料位置不明)に沿ったアラーム分岐へ書き換えること。既存の復帰ルーチンに判定3つとアラーム3つを足す規模なので、1装置あたり半日から1日の工数です。3つ目として、復帰方法そのものを「低速で再同期」と「材料を排出して基準を取り直す」の2系統に分け、どちらを選ぶかの条件(位相差のしきい値、材料検出の有無)を設計書に数値で書いておくと、現場の人が勘で再起動するのを止められます。コストはプログラム工数だけでゼロ円、ただしハードを触らない範囲に限ります。注意点は3つ。1つ目、これは個人のX投稿であって機種マニュアルではないので、GM5や自分が使うモーションコントローラの同期周期・保持仕様は必ずメーカーの資料で裏を取ること。2つ目、ラッチ領域を増やすとバッテリやオプションカセットの仕様に影響するので、保持方式を確認してから増やすこと(軸Bのトピック1と同じ論点です)。3つ目、復帰条件を細分化すると復旧が遅くなる方向にも働くため、「毎回全初期化」と「扉閉だけで再開」の中間に落とす設計意図を現場と合意してから入れてください。

B

フィールド業務

3 TOPICS
TOPIC 04フィールド業務

MELSEC-Qの生産中止スケジュールと、現行iQ-F/iQ-R機種の故障診断ポイント

三菱電機の旧世代MELSECの生産終了スケジュールと、現行4機種の故障診断を整理した記事が公開された。記事によれば、2026年9月に三菱電機はテクニカルニュース「FA-D-0495-A」を発行し、MELSEC-Qシリーズの広範な製品を対象とする生産中止を告知した。対象にはCPUだけでなく、電源ユニット、入出力ユニット、ネットワークユニット、ベースユニットなどが含まれる。主なスケジュールは、2028年12月1日に受注生産へ移行、2029年9月30日に受注締切、2029年12月31日に生産中止、2036年12月31日に原則として修理対応終了。ただし使用部品の入手状況によって生産中止が前倒しされる可能性があり、修理対応期間中でも必要な部品がなくなれば修理できない場合があるとする。

概要の続きを読む+

一部のAnyWire関連ユニットは修理期限が異なる。さらに2026年10月30日に生産中止となるQCPU(例としてQ03UDCPUやQ06UDHCPU)も存在し、こちらは2026年9月30日に受注が締め切られ、修理対応終了予定日は2033年10月31日である。つまり同じMELSEC-Qでも2033年まで修理できる機種と2036年まで対応予定の機種があり、一括して「Qシリーズは2036年まで大丈夫」と考えるのは危険だと記事は述べる。2029年末に生産中止となる対象には、以前は一部QCPUの代替候補として推奨されていたQ03UDVCPUやQ06UDVCPUも含まれる。MELSEC-Lシリーズは2027年10月の生産中止が発表され修理対応は2034年10月まで、MELSEC-FシリーズではFX3Gが2026年12月31日、FX3Uが2028年9月30日の生産中止が案内されている。一方、記事が取り上げるFX5U-32MR/ES、FX5UC-32MT/D、R04CPU、R08CPUは、いずれも2026年10月22日時点で三菱電機が販売中と案内している製品で、R04CPUとR08CPUは旧QCPUからの置き換え候補としてメーカーが推奨している(Q03UDCPUの代替候補にR04CPU、Q06UDHCPUの代替候補にR08CPU)。機種別の確認点として、FX5U-32MR/ESはリレー接点の摩耗と溶着(記事は三菱電機のハードウェアマニュアルが示す20VAの誘導性負荷に対する標準寿命50万回という目安を引く)、FX5UC-32MT/Dは出力端子ごとの最大負荷電流の違い(Y0〜Y3は1点当たり0.3A、Y4以降は1点当たり0.1A、8点単位のコモン当たり合計にも制限)、R04CPU(プログラム容量40Kステップ)とR08CPU(80Kステップ)はREADYランプ消灯時にCPUの重度異常だけでなく電源ユニットの異常やユニットの装着状態・構成の不整合も疑うこと、バッテリーレスオプションカセットNZ1BLCは対応するラッチデータをバッテリなしで保持できるが時計データは保持できないことが挙げられている。記事はまた、受注締切・生産中止・修理対応終了・セキュリティサポート終了は必ずしも一致しないと区別を促し、GX Works2からGX Works3へのプロジェクト変換機能はあるがすべてのプログラムが無修正で動作するとは限らないと注意している。

情報源
note(FA・産業機械 生産管理 Thomas Red) (2026/10/22) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

客先工場を回る立場なら、これは今週の訪問から使える棚卸しネタです。最初の一歩は、担当している客先設備のPLC型式を1枚のスプレッドシートに落とすこと。列は「設備名/CPU型式/電源・入出力・ネットワークユニット型式/設置年/予備品在庫数」の5つで始め、CPUだけでなくユニットまで型式を拾うのが肝です(告知の対象がユニットまで及ぶため)。次の段階として、その表に「受注締切日/生産中止日/修理対応終了日」の3列を足し、三菱電機のテクニカルニュース(記事が挙げるFA-D-0495-A)と型式別の最新告知で埋めます。ここで、同じQシリーズでも2033年と2036年で修理期限が分かれる点を型式単位で書き分けておくと、客先への説明が一気に具体的になります。3つ目として、記事が示す5つの対応(型式棚卸し/終了期限確認/プログラムとパラメータの保管/予備品数量の見直し/段階的な更新計画)のうち、プログラムの保管を最優先で片付けるのがおすすめです。PLCが故障した後ではプログラムを正常に読み出せない場合があるという指摘は、現場で一番痛い失敗につながります。ソースプロジェクト、パラメータ、コメント、通信設定、デバイス割付をセットで、適切なアクセス管理のもとに保管してください。コスト感は、棚卸しと保管は自分の工数だけでゼロ円。部分更新はCPU単体交換で済まない可能性があり、ベースユニット・入出力・ネットワーク・プログラムまで適合性を調べる前提なので、見積もりは「機器代+検証工数」で立てます。注意点として、GX Works3のプロジェクト変換が通ったことを更新完了と見なさないこと。記事も「プログラム変換の成功は、設備更新の成功を意味しない」としており、安全回路、異常停止、インターロック、復電後の動作は実機または適切な検証環境で確認し、切り戻し手順を用意してから当日を迎えるべきです。また、記事が挙げる「1時間100万円の機会損失」は説明のための仮定として示された数字なので、客先に出すときは自分の担当ラインの実数に置き換えてください。

TOPIC 05フィールド業務

テクノアがJIMTOF2026で、手書き・FAX・PDF帳票のAIデータ化と生産管理データのMCP連携を参考出展

テクノアは2026年10月16日、2026年10月26日(月)から31日(土)まで東京ビッグサイトで開催される「JIMTOF2026 第33回日本国際工作機械見本市」に出展し、現在開発中の4つの新ソリューションを参考出展として初めて一般公開すると発表した。公開するのは、生産管理システム『TECHS』との連携でも単体でも活用できる「新生産スケジューラ」、手書き・FAX・PDFの帳票をAIが読み取ってデータ化する「AI入力支援ツール」、外部システムやツールとつなぐ「TECHS-S NOA API連携」、生成AIから生産管理データを活用できる「TECHS-BK MCP(Model Context Protocol)連携」の4つ。

概要の続きを読む+

AI入力支援ツールは、画像やPDFの注文書・作業指示書・検査票などをアップロードすると、得意先名・品番・数量・納期など必要な項目をAIが読み取ってデータに変換するクラウドサービスで、読み取った内容は画面上で確認・修正してから生産管理システムなどに取り込める。帳票ごとの読み取り設定を保存しておけば次回から同じ手順で処理でき、読み取った帳票をデータベース化して検索・活用することもできるとする。MCP連携は、AIエージェント向けの共通規格MCPに対応し、生成AIから『TECHS-BK』のデータを直接参照できるようにするもので、例として「直近1年の受注傾向は?」と生成AIとの対話で社内データを自動集計・分析できるようになると説明している。API連携は、外部のシステムやツールから『TECHS-S NOA』のデータを直接検索・抽出・登録できるようにし、CSVの出力・取り込みや画面を見ながらの転記といった手作業を減らす狙い。新生産スケジューラはブラウザ上で動作し、複数人での同時編集に対応し、画面を上下に分割して日付の異なるスケジュールを並べて編集したり、現在の計画を保ったまま別の計画案をシミュレーションしたりできるとしている。ブースでは開発中の新ソリューションのデモ画面・実演を公開し、会場で得た意見を今後の製品開発に反映するという。プレスリリースは、参考出展ソリューションの名称、仕様および提供時期が開発状況により変更となる場合があると注記している。ブース番号はS3009(南3ホール)、同展は完全登録制で入場料は当日3,000円/前売1,000円(税込、学生は学生証提示で無料)。

情報源
PR TIMES(株式会社テクノアプレスリリース) (2026/10/16) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

客先の現場帳票がFAXと手書きで回っているなら、JIMTOFは「製品を買う場」ではなく「自社の帳票でどこまで読めるか試す場」として使えます。最初の一歩は、来週の会期前に自分が扱っている帳票を3種類(得意先ごとに様式が違う注文書、作業指示書、検査票)選び、個人情報と取引単価を黒塗りしたPDFを用意してブースへ持ち込むこと。読み取り精度の話は、カタログのサンプル帳票ではなく自社の様式で見ないと意味がありません。並行して今日できるのは、同じPDFをGeminiやChatGPTの無料枠に貼って「得意先名・品番・数量・納期をJSONで抜いて」と頼み、どの項目で外すかを把握しておくこと。これをやっておくと、ブースで「ここが読めるか」と具体的に聞けます。次の段階は、読み取った後の受け取り方を決めることです。AI入力支援ツールは読み取り結果を画面で確認・修正してから取り込む流れなので、確認する人と修正の判断基準(数量と納期は必ず原本照合、品番は候補提示でよい、など)を自分の運用に落として書いておくと、導入検討がそのまま運用設計になります。MCP連携については、生産管理データを生成AIから参照できるという方向だけ押さえ、まず自社で「生成AIに聞きたい社内データの質問を10個」書き出すのが安い準備です。コスト感は、帳票の持ち込みと無料枠の試行はゼロ円、入場は前売1,000円(当日3,000円)。注意点を2つ。1つは、4つとも開発中の参考出展であり、名称・仕様・提供時期が変更される場合があるとリリース自身が注記している点。客先に「来月から使える」と伝えないこと。もう1つは、帳票をクラウドサービスへ上げる話なので、客先の図面番号・単価・取引先名を含む帳票を試用に出す前に、情報の持ち出し可否を必ず書面で確認してから動いてください。

TOPIC 06フィールド業務

GASでスプレッドシートをPDF化し、Gmailの「下書き」に添付して人が最後に確認する

スプレッドシートをPDFにしてGmailの「下書き」に添付するところまでをGoogle Apps Scriptで行う方法を解説した記事が2026年10月21日に公開された。記事は、GASには`MailApp.sendEmail()`のようにすぐ送る書き方もあるが、請求書のように取引先に送る書類は宛先や金額を取り違えると困るため、`GmailApp.createDraft()`を使ってメールをGmailの「下書き」に入れるだけにし、PDFの作成と添付をGASにまかせて最後の確認と送信だけを人が行う形を勧めている。`createDraft()`の4つ目の引数に`attachments`を指定するとファイルを添付できる。

概要の続きを読む+

方法Aはスプレッドシート全体をPDFにする最短の書き方で、`SpreadsheetApp.flush()`で直前の書き込みを反映させたうえで`ss.getAs('application/pdf')`を使い、すべてのシートがPDFに入る。方法Bは特定のシートだけをPDFにしたい場合で、スプレッドシートのエクスポート用URL(`/export?format=pdf&gid=<シートID>&size=A4&portrait=true&gridlines=false`)を`UrlFetchApp.fetch`で取得し、ヘッダーに`Authorization: 'Bearer ' + ScriptApp.getOAuthToken()`を付ける。用紙サイズ、向き、枠線もURLで指定できるが、このエクスポート用URLはGoogleの公式リファレンスには載っていない書き方で、将来仕様が変わる可能性があると注意している。添付ファイル名でつまずきやすい点として、2026年10月21日にテスト用スプレッドシートで各パターン1回ずつ確認した結果が示されている。方法Bで`setName()`を付けないと添付名が「export.pdf」になる、スプレッドシート名が「請求書_2026.10.21」のときに`getAs()`を使うと「請求書_2026.10.pdf」になり日付の「.21」が消える(`getAs()`が名前の最後の「.」から後ろを拡張子とみなして「.pdf」に置き換えるため)、`setName('請求書')`のように拡張子を付けないと添付名も「請求書」のままでGmailが「.pdf」を自動で足してはくれない、の3つである。また宛先を空(`''`)にしても下書きは作れたことを同日に確認したとしている。

情報源
Zenn(VoidRoom) (2026/10/21) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

月次の報告書や点検記録をスプレッドシートで作って、PDFにして、メールに添付して送る作業が残っているなら、今日の夕方30分で片付く話です。最初の一歩は、既にある報告書スプレッドシートを開き、「拡張機能」→「Apps Script」から方法Bのコードを貼って、`getSheetByName()`に報告書シートの名前、`setName()`に`'点検記録_' + today + '.pdf'`を入れて実行すること。初回だけGmailとスプレッドシートへのアクセス許可画面が出ます。下書きが1通できたら、Gmailの画面で添付PDFを開いて、枠線や用紙向きが報告書として読めるかを確認してください(`size`と`portrait`と`gridlines`はURLで変えられます)。次の段階は、宛先を空のままにしてテンプレート化し、「月次点検記録の下書きを作る」ボタンをスプレッドシート上のメニューに足すこと。宛先をGmailの画面で入れる運用にすれば、誤送信の芽をひとつ減らせます。3つ目として、客先ごとにシートを分けている場合は、シート名の配列をループして下書きを客先分まとめて作る形に広げられます。コストはゼロ円(Workspaceでも個人のGoogleアカウントでも動く範囲)、難易度はGAS初体験でも1時間以内です。注意点は3つ。1つ目、`createDraft()`は送信しないという前提を崩さないこと。自動送信に変えた瞬間に、宛先と金額の取り違えがそのまま客先へ出ます。2つ目、ファイル名に「.」を含めないこと。記事の確認どおり「請求書_2026.10.21」は「請求書_2026.10.pdf」に化けるので、日付は「20261021」か「2026-10-21」の形にし、`setName()`で「.pdf」まで明示します。3つ目、方法Bのエクスポート用URLは公式リファレンスに載っていない書き方なので、業務の定常処理に組み込むなら、動かなくなったときに方法A(全シートPDF)へ切り替えられるようコードを両方残しておくのが安全です。

C

AIニュース

2 TOPICS
TOPIC 07AIニュース

PHPに未認証リモートコード実行につながる重大脆弱性2件、8.5.12/8.4.27/8.3.36/8.2.35が緊急リリース

The PHP Foundationは2026年10月21日、PHP 8.5.12、8.4.27、8.3.36、8.2.35がリリースされたことを公表した。これらは、条件が揃うと未認証の攻撃者がPHPを動かしているサーバー上でコードを実行できる重大な脆弱性2件を修正するもので、PHPを運用しているなら直ちに更新することが不可欠だとしている。1件目はCVE-2026-109618(GHSA-w8hw-w9fx-j79w)で、OOM(メモリ不足)による破壊を介したRCE。リクエストがPHPの`memory_limit`にちょうど悪いタイミングで到達すると、部分的に初期化された内部データが残り、後からそれを有効なものとして扱ってメモリを破壊する。

概要の続きを読む+

Apacheでmod_phpを使う構成では、アプリケーションコードが動く前に未認証のリクエストでこれを発生させられ、既定設定で完全なリモートコード実行が実証された。PHP-FPMでも、アプリケーションレベルのコードパス経由でリモートコード実行が確認されている。2件目はCVE-2026-109619(GHSA-6wmf-4rv5-p3rp)で、古い状態(stale state)を介したRCE。悪いタイミングで致命的エラーが起きると、内部状態が前のリクエストに属していたメモリを指したまま残り、同じワーカーが処理する後続のリクエストがその解放済みメモリを使う可能性がある。use-after-freeとワーカーのクラッシュが確認され、報告者はApacheでmod_phpを使う実際のアプリケーションに対するリモートコード実行を実証した。2件はいずれも、ほぼすべてのリクエストが通るメモリ管理とエラー処理の部分にあり、それが深刻さの理由であると同時に、互換性の破壊や性能低下、サードパーティ拡張への影響を避けながら修正することを難しくしたと説明している。協調的開示は目標リリース日の2日前まで順調だったが、10月20日15:00 UTC頃に2つのCVE IDがオンラインのフォーラムやソーシャルメディアで流通し始めた(誤ったリリース時刻と、誤ったCVSSスコア10.0が付いていた。実際のスコアは9.2で、技術的詳細は漏れていない)。PHPプロジェクトは事前告知を前倒しして同日19:30 UTCに公開し、リリースを10月22日14:00 UTCから10月21日14:00 UTCへ移した。さらに、報告元のセキュリティ企業Califが誤ってPoCの動画を公開し、削除された動画のコピーが流通した。10月21日07:41 UTCには、協調リリースの6時間以上前にChainguardが一方的にエンバーゴを破り、修正を含むビルド済みイメージを公開した。PHPセキュリティチームはリーク後に出現したPoCを監視・検査したが、リリースと公開開示の時点で機能する exploit は確認しなかったとしている。

情報源
The PHP Foundation (2026/10/21) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

制御設計が本業でも、PHPは身近に動いています。最初の一歩は、自分と客先に紐づくPHPの棚卸しを1枚にすること。自社サイトやブログ(WordPressなど)、社内に残っている古いWeb帳票や工数集計ツール、客先に納めた装置のWeb UIやデータ収集サーバーが対象です。「どこで動いているか/PHPの版/更新するのは誰か」の3列で十分。レンタルサーバーや客先のIT部門が更新主体のものは、自分で上げられないので依頼先を書いておきます。次の段階は、修正が入っているのは8.5.12、8.4.27、8.3.36、8.2.35という具体的な版だと押さえ、自分の環境がその版以上になっているかを確認すること。系列が同じでも、たとえば8.3系なら8.3.36に達していなければ対象です。「8.3に上げたから安心」で止めないのがポイントになります。3つ目として、装置側に載っているWeb UIは要注意です。Apacheでmod_phpを使っている構成は、既定設定で未認証リクエストから完全なRCEが実証されたと明記されています。自分が納めた盤内PCやデータ収集サーバーがこの構成なら、更新の目処が立つまでの間だけでも、工場内ネットワークからの到達範囲を絞る(担当PCのIPだけ許可する等)運用側の手当てを客先と相談してください。コストは棚卸しと確認だけならゼロ円、レンタルサーバーの版切り替えも多くは管理画面の操作で済みます。注意点は2つ。1つ目、更新作業そのものを客先の稼働中サーバーで即時に強行しないこと。切り戻し手順と停止可能な時間帯を押さえてから当てます。2つ目、流通しているCVSSスコア10.0という数字は誤りで実際は9.2だと公表されている点。社内へ注意喚起を出すときは、SNSで見た数字ではなく公式の記述を引いてください。

TOPIC 08AIニュース

eMudhra中間CA証明書8件の秘密鍵が侵害、信頼ストアを束ねるソフトの更新が必要

Simon Willison氏のリンクブログが2026年10月20日、eMudhraの中間CA侵害を取り上げた。引用されたリンク先の記述によれば、eMudhraの中間CA証明書8件の秘密鍵が侵害された。これらはMozilla、Microsoft、Apple、Chromeの各ルートプログラムが信頼するルート証明書、および多くの下流の信頼ストアへチェーンしており、信頼された証明書の一覧を同梱しているソフトウェアはすべて更新が必要だとしている。リンク先のサイトはGitHubリポジトリを通じてソフトウェアの更新状況を追跡している。具体的な対応として、Linuxディストリビューションは`ca-certificates`パッケージを更新する必要があるとされ、Python関連では、更新された証明書リストを含むuv 0.13.4、pip 26.2.2、certifi 2026.10.19がリリースされたことが挙げられている。

概要の続きを読む+

Willison氏自身は、この件を「very, very bad news(非常に、非常に悪いニュース)」と評している。

情報源
Simon Willison's Weblog (2026/10/20) / 出典を読む
+TAKE IT TO THE FIELD現場での活用アイデア

「証明書の一覧を同梱しているソフトはすべて更新」という条件は、FAの現場PCにかなり刺さります。最初の一歩は、自分が触るPython環境を上げることです。手元の開発PCと、客先に置いたデータ収集用PCで`pip`を26.2.2以上、`certifi`を2026.10.19以上、`uv`を使っているなら0.13.4以上にする。1台あたり数分で、コストはゼロ円です。次の段階は、Linuxで動いているエッジPCやゲートウェイの`ca-certificates`パッケージ更新。ここは再起動やサービス再起動を伴うことがあるので、稼働中のラインに入れる前に停止可能な時間帯を押さえてください。3つ目として、更新主体が自分にないものを洗い出します。装置メーカーが固めたファームウェア、HMI、クラウド連携ユニットなどは、自分では証明書ストアを触れません。該当する機器をリストにして、メーカーへ「この件の対応予定」を問い合わせる段取りまで作っておくと、客先から聞かれたときに即答できます。コスト感は、PCの更新は無料、機器のファーム更新はメーカー対応待ちで費用が発生する場合があります。注意点を3つ。1つ目、この記事はリンクブログであり、個別ソフトの対応状況はリンク先サイトが追跡している情報です。自分の環境の対応可否は、使っているソフトやディストリビューションの公式告知で確認してください。2つ目、証明書ストアの更新は「通信が通らなくなる」方向の障害を起こしえます。客先の装置が外部へHTTPS通信している構成なら、更新後に疎通確認をセットで組んでください。3つ目、侵害されたのは中間CAの秘密鍵であって、記事は8件という件数とチェーン先のルートプログラムを示しているだけです。「あらゆる証明書が危ない」と拡大して社内へ伝えないほうが、対応が散らずに済みます。

← 過去の記事一覧に戻る