トヨタは「データベース管理」の何を間違えた？　あの工場停止の原因

トヨタ自動車の部品発注システムにエラーが生じ、同社の国内全工場が一時稼働を停止する事態に陥った。原因はデータベース管理にあったとみられる。エラーを招いた要因を考察する。

公開 2023年11月15日 07時03分

著者

Antony Adshead

[TechTarget]

印刷する連載新着通知を受け取る

　2023年8月29日、トヨタ自動車の部品発注システムにエラーが発生し、一時は同社の国内全14工場が稼働停止する状況に陥った。30日に各工場は順次稼働を再開したものの、およそ1日半全工場における製造が停止したことで、かなりの損失が出たことは間違いない。

　トヨタ自動車の発表によると、事態が発生した原因はサイバー攻撃ではなく、部品発注処理を担うサーバ複数台のうち一部が利用できなくなったことにあるという。部品発注システムは、トヨタ動車の必要なものを必要な時に必要な量だけ生産し、完成品や部品の在庫を減らす「ジャストインタイム方式」の要だ。

　今回発生したシステムエラーの背景には、データベース管理における基礎的な点が見逃されてしまった可能性が見えてくる。その詳細を考察しつつ、何が原因となる可能性があるのかを解説する。

工場停止を引き起こしたシステムエラーの原因とは？

併せて読みたいお薦め記事

システム運用に関する記事

　2023年8月27日、トヨタ自動車は部品発注システムの定期メンテナンスを実施し、データベースを整理するために、累積していたデータの削除と整理を実施した。その後、データベースサーバのディスク領域不足（作業に必要なストレージ容量が不足すること）によりエラーが発生し、部品発注システムが停止した。DR（災害対策）用サーバも本番用サーバと同じ仕組みで稼働していたため、同様のエラーが発生した。

　今回の事態の原因は、トヨタ自動車がデータベースのキャパシティープランニング（必要なストレージ容量を見積もり、利用可能な状態を維持する手法）に失敗したことだと考えられる。基本的に、データベースは最初の構成時に設定したサイズを維持する。行を削除してもその行が割り当てられていた領域は削除されず、未使用マークが付くだけだ。これは、大幅なデータベースの縮小や拡大によってストレージニーズに突然対応できなくなる事態を避けるためだ。トヨタ自動車はデータベースのデータを削除したが、データベースファイルのサイズは小さくならなかった可能性がある。データベース管理者にとって、基本的にデータベースサイズは初期より縮小できないというのは不文律であり、注意が必要だ。

　他にもデータベース管理においては、基本的なリスク対策として以下のような点が見落される傾向にある。こうした事態がトヨタ自動車において発生していたかどうかは不明だ。

バックアップファイルや一時ファイルをバックアップ元のストレージと同じドライブに配置していた
システムのデータベースストレージをDAS（直接接続型ストレージ）に配置していた
- 重要なデータベースを配置するのに適しているのは、データ読み書きのパフォーマンスに優れたSAN（ストレージエリアネットワーク）だ。

　後編は、データベースのキャパシティープラニングの難しさについて解説する。