DePIN機器の交換・廃棄の手順｜新旧両方に報酬が出る事故の防ぎ方

ある運営会社が、参加者の設置した機器でサービスを提供し、その働きに応じてトークンで報酬を払うDePINを運用しています。機器は現場で壊れ、交換され、いずれ廃棄されます。

この交換の場面では、次のような事故が起こり得ます。修理中の機器に、報酬が出続けていた。交換した新しい機器が、古い機器の履歴をそのまま引き継いでいた。付け替えのあいだ、新旧の両方に報酬が出ていた。前の2つは、機器の状態を「稼働中」という1つの印だけで管理していると起こります。3つ目は、旧機器と新機器の報酬の区切りが決まっていないと起こります。

そこで、新しい機器を登録する前に、古い機器の報酬、鍵、まだ確定していないデータを片付けます。また、状態を1つの印にまとめないよう、現場で機器を付け替える作業と、台帳の上で機器を止める・廃止する手続きは、別のものとして扱います。そして、残った精算、データの消去、返送・廃棄を誰が担うかまで決めておきます。

以下では、この運営会社が、故障の検知から交換、データの消去、再利用・廃棄までを組み立てる流れで見ていきます。需要の検証から本番運用までの開発工程の全体はDePINネットワークの作り方にまとめています。ここではそのうち「本番運用」を詳しく扱います。

この記事でわかること

• 機器を3つの台帳で管理する理由と、「止める」と「廃止する」の違い
• 故障の検知から交換完了までの8つの手順
• 返送前の鍵とデータの処理、関係者の受け持ち、PoCで試す障害

機器を3つの台帳で管理するのは、なぜか

DePINでは、機器がオンラインであることと、サービスの品質を満たして報酬の対象になることは同じではありません。だから、モノ・鍵・お金を別々の台帳で持ちます。

• モノの台帳（資産台帳）：製造番号、型式、設置場所、所有者、保守契約
• 鍵の台帳（論理的な機器台帳）：機器ID、公開鍵、ファームウェア、登録状態
• お金の台帳（検証・報酬台帳）：サービス提供単位、判定のバージョン、保留額・確定額

3つを1つの「稼働中」の印にまとめると、冒頭の事故のうち前の2つが起きます。それぞれの台帳で持つ情報と、変更してよい人は次のとおりです。

機器があるかどうかの一覧だけでは、交換を決めることも、接続を止めることもできません。だから台帳には、そのために必要な情報まで持たせます。

米国のNISTIR 8259Aも、IoT機器の中核的な能力として次の4つを挙げています（NIST IoT Device Cybersecurity Capabilities Catalog）。

• 機器を論理的・物理的に一意に識別できる
• 設定の変更を、認められた人に限れる
• ソフトウェアを安全に更新できる
• 機器のサイバーセキュリティの状態を報告できる

「止める」と「廃止する」は、どう違うか

要点は、止める（隔離）は調査のあとで元に戻せ、廃止は戻せないことです。廃止した機器IDは、二度と有効にしません。

正常か異常かの2つだけでは、通信断、保守中、侵害の疑い、交換待ち、輸送中、データ消去済みを見分けられません。少なくとも次の7つの状態を用意し、誰がどの証拠で状態を進めるかを決めます。

復旧した機器を再利用する場合も、古い鍵や、前の運用者の権限は戻しません。新しい登録申請と受け入れ試験を通します。各状態でサービスを提供できるか、どんな条件で状態が進むかは、後半の「実装する人向けの詳細」にまとめています。

状態を見張る能力は、NISTも挙げています。NISTのCybersecurity State Awarenessは、期待した状態から外れた事象を見つけて監視し、監査に必要な状態の情報を残す能力を示しています（NIST: Cybersecurity State Awareness）。

故障の検知から交換完了まで、何をどの順でするか

付け替えのあいだに新旧の両方へ報酬が出る事故は、どこで区切るかが決まっていないと起きます。そこで交換では、機器を付け替えるだけでなく、どの時刻までが旧機器の報酬で、どこからが新機器かを1つの時刻で区切ります。サービス、機器ID、報酬の3つを、同じ時刻で切り替えるのです。

そのため、現地の作業と台帳の更新を、1つの交換の処理番号で結び付けます。更新の途中でタイムアウトしても、処理そのものは済んでいることがあります。結果を確かめないまま同じ処理をやり直すと、新旧の機器を二重に登録しかねません。

1. 検知・受付：監視のアラート、運用者の申告、顧客の苦情を問い合わせ票（チケット）として記録する。対象の資産IDと機器IDを確定する。
2. 被害を広げない処置：リスクが高ければ機器を隔離し、接続の認証情報を失効させ、未確定のサービス提供単位を保留にする。ただの通信断なら、現地で確かめる前に侵害と決めつけない。
3. 診断：電源、通信、センサー、ファームウェア、鍵・証明書、設置環境を順に確かめる。遠隔での復旧か現地での交換か、それぞれの期限を決める。
4. 交換の準備：新しい機器には、別の機器IDと鍵を発行する。旧機器の秘密鍵やウォレットは複製しない。必要な設定は、署名とバージョンを確かめたテンプレートから作り直す。機器の鍵をどこで作るか、リモート構成証明（機器のソフトが改変されていないことを外から確かめる仕組み）の作り方はDePIN機器のIDとリモートアテステーション設計で扱います。
5. 現地での交換：作業者、時刻、位置、新旧の物理的な識別子、封印の状態、写真などを作業票に記録する。個人情報や詳しい位置は、公開の台帳に載せない。
6. 受け入れ試験：署名、ファームウェア、時刻、位置、テレメトリー（遠隔測定データ）、IDの重複、サービスの品質を確かめる。新しい機器だけを稼働中にする。
7. 精算の区切り：旧機器が最後に受理されたイベントと、新機器の最初のイベントを確定する。両方が重なる時間帯は、自動では計上しない。保留していた分は、当時の判定のバージョンで計算し直す。
8. 旧機器の回収：輸送中のchain of custody（誰から誰へ引き渡したかの記録）を残す。そのあと修理、部品の回収、再利用、廃棄に分かれる。

交換のあいだもサービスを止められない場合、新旧の両方に報酬を払い、あとで相殺したくなります。けれども、このやり方は資金不足や異議申立てを増やします。そこで、予備の機器を先に受け入れ試験しておきます。そして、同じ場所・時間のサービス提供単位を、どちらか一方だけに割り当てる規則を用意します。報酬の保留・確定と異議申立ての流れはDePINのデータ品質と報酬不正対策で詳しく説明しています。

返送する前に、鍵とデータをどう処理するか

工場出荷時の設定に戻しても、すべてが消えるとは限りません。消え残るおそれがあるのは、次のものです。

• 機器に保存されたデータ、セキュアエレメント内の鍵
• ゲートウェイのトークン、クラウド上の機器登録
• バックアップ

欧州の規格ETSI EN 303 645は、IoT機器の持ち主が変わる場合や廃棄する場合を想定しています。そして、利用者データを簡単に消せる機能、関連サービスから削除する手段、手順と完了の確認を求めています（ETSI EN 303 645 V3.1.3, 5.11）。

記憶媒体の処理のしかたは、データの機密度、媒体の種類、機器が正常に起動するか、再利用するかで選びます。NIST SP 800-88 Rev. 2は、メディアサニタイゼーション（媒体上のデータを復元困難にする処理）を扱う文書です。想定される労力では対象のデータにアクセスできない状態にする処理と位置付け、組織としての消去計画と検証を扱っています（NIST SP 800-88 Rev. 2）。具体的な消去の方式は、媒体メーカーの仕様と、自社のセキュリティ方針で決めます。

回収した機器の行き先ごとに、機器IDと鍵、データの扱いを決めておきます。

それぞれ、完了したと言える証拠も決めておきます。

• 再配置：消去の検証、受け入れ試験のやり直し
• 修理：引渡しの記録、修理報告、返却時の突き合わせ
• 部品取り：部品番号と処理の結果
• 再資源化・廃棄：回収先、重量・個数、処理証明、例外

ブロックチェーンには、何を記録するか

チェーン上の記録で分かるのは、誰が署名したか、いつ登録したか、履歴が改ざんされていないかです。機器の状態をブロックチェーンに書いても、現物が本当に回収・破壊されたことまでは保証できません。現物の確認は、作業者、物流の記録、処理事業者の証拠に頼ります。

チェーンに記録する候補は、複数の組織で同じ基準で確かめたい状態と、その証拠の要約に絞ります。

1つの会社が資産、保守、報酬をすべて確定し、外部の運用者が共有の状態を自分で確かめる必要がないとします。その場合は、通常の資産データベース、PKI、監査ログで十分です。DePIN全体で機器ID、証明、精算をどの順で作るかはDePINネットワークの作り方で整理しています。

誰が何を受け持つかを、障害の前に決める

関係者は多岐にわたります。プロトコルの運営者、機器の所有者、設置した運用者、保守会社、メーカー、物流・処理事業者です。検知、隔離、現地対応、費用、報酬、データ消去の受け持ちを、障害が起きる前に契約と運用手順書に書いておきます。「分散型だから各運用者の責任」とだけ決めても、利用者へのサービスを復旧させる責任はなくなりません。

• プロトコル運営者：登録台帳、報酬の停止、異議申立て、緊急時の方針、監査できる判定の履歴を管理する。
• 資産所有者：資産台帳、保険・保証、再配置・廃棄の判断、処理の記録の保存に責任を持つ。
• 設置運用者：設置の条件、日常の点検、最初の切り分け、現地への立ち入り、事故報告のSLA（サービス水準合意）を守る。
• 保守会社・メーカー：部品、ファームウェアの提供、修理の範囲、脆弱性の通知、サポート終了日をはっきり示す。
• 処理事業者：適用される許認可・契約の範囲に従い、回収から再資源化・最終処分までの記録を返す。

参考になるのが、IPAの「IIoT機器ライフサイクル管理構築手引き」です。工場のIIoT機器を対象に、導入から廃棄までの段階ごとのチェック要件と、関係部門の役割の連携を整理しています。導入・廃棄のチェックシートも付いています（IPA：IIoT機器ライフサイクル管理構築手引き）。DePINでも、同じ段階別の表を関係者ごとに持たせると、抜けを見つけやすくなります。

日本での廃棄のしかたは、機器、排出する人、地域、契約によって変わります。経済産業省は、家電4品目以外の多くが小型家電リサイクル法の対象になり得る一方、回収する品目・方法は自治体によって異なると案内しています（経済産業省：家電リサイクル制度FAQ）。事業で使う機器や電池を含む機器は、所在地、品目、排出のしかたに応じて、処理事業者と環境管理の担当者で処理の方法を決めます。決めた結果は、資産台帳の処分先に残します。

PoCでは、何を試すか

正常に動くことだけを確かめたPoC（概念実証）では、本番の交換費、停止時間、二重の報酬、回収できない機器を見積もれません。少なくとも次の障害をわざと起こし、台帳と実物が一致するかを確かめます。

測る指標は、次のとおりです。

• 平均検知時間、隔離までの時間、交換完了までの時間
• 初回で直った率、再訪率、交換1件当たりの総費用、回収率
• 台帳の不一致、二重報酬の件数、消去の検証の失敗

交換率が上がるほど供給する台数が増える事業では、原価の見方にも注意が要ります。機器の価格だけでなく、現地作業、物流、予備の在庫、サポート、回収・処理の費用を、サービス提供単位の原価に含めます。単位原価と粗利の出し方はDePINの需要と単位採算の設計を参照してください。

まだ広げない方がよいのは、どんなときか

次のどれかに当てはまるなら、誰でも参加できる機器登録やオンチェーン化を急がない方が安全です。

• 機器の所在を追えない、遠隔で失効させられない
• 交換後の報酬の区切りを決められない
• メーカーのサポートが終わったあと、安全に更新する手段がない、処分の方法を確かめられない

まずは限られた運用者と通常のデータベースで、運用を回せるようにします。第三者どうしで状態や精算を一緒に確かめる必要がはっきりしてから、ブロックチェーンを使う範囲を広げます。

実装する人向けの詳細

ここからは、運営会社で台帳と状態管理を実際に組む担当者の話です。

台帳ごとの主キー

状態ごとのサービス提供と、状態が進む条件

QUARANTINEDは調査中の元に戻せる状態、RETIREDは同じ機器IDを再び有効にしない終わりの状態です。

交換の処理番号

現地作業とAPIの更新は、共通のreplacement_operation_idで結びます。タイムアウトしたら、この番号で結果を照会してから次の操作を決めます。照会せずに再実行はしません。

XTELAができること

私たちは、物理資産・機器ID・検証精算の3つの台帳とACTIVEからDISPOSEDまでの状態遷移を、貴社の機器と運用体制に合わせて設計し、replacement_operation_idで現地作業と報酬境界を結ぶ交換の流れを実装します。通信断、交換APIのタイムアウト、旧機器の遅延データといった障害をPoCで実際に起こし、台帳と実物が一致するかを一緒に確かめます。ご相談はお問い合わせからどうぞ。

参考資料

• IPA：IIoT機器ライフサイクル管理構築手引き（2026年9月24日確認）
• NIST: IoT Device Cybersecurity Capabilities Catalog（2026年9月24日確認）
• NIST: Cybersecurity State Awareness（2026年9月24日確認）
• NIST SP 800-88 Rev. 2: Guidelines for Media Sanitization（2026年9月24日確認）
• ETSI EN 303 645 V3.1.3: Cyber Security for Consumer Internet of Things（2026年9月24日確認）
• 経済産業省：小型家電リサイクル法（2026年8月12日確認）
• 経済産業省：家電リサイクル制度FAQ（2026年8月12日確認）

資料の確認日と注意

セキュリティ仕様は2026年9月24日、国内のリサイクル制度は2026年8月12日に確認しました。技術・運用設計の一般情報であり、廃棄物処理、個人情報、契約、会計・税務の個別判断を示すものではありません。導入時点の一次資料を確認し、必要に応じて各分野の専門家と確認してください。