「事務所」扱いで居住エリアを侵食する巨大「工場」——データセンターはなぜ都市計画の失敗なのか

1. 住宅地に現れる「窓のない壁」
千葉県印西市では、マンションの目の前に高さ52mのデータセンターが計画され、住民が建築確認取り消しを求めて提訴した。

印西市長も「現行の国のルールでは対応が難しい」「データセンターも現状はオフィスと同様の扱いとなり、規制が難しいのが実態」と問題提起している。

正直なところ、これは一自治体の問題ではない。むしろ、国全体の制度設計の問題なのである。

2. 問題の核心：都市計画法・建築基準法に「データセンター」が存在しない
各所から指摘があるように、データセンターは現在の都市計画制度が想定する住居・商業・工業の3分類に当てはまらない新しい用途の建築物であり、自治体は対応に苦慮している。

法制度上は「事務所」(あるいは「倉庫」)として建築確認が下りるため、住居系地域でも規模次第で建ってしまう。工場には立地制限があるのに、重油などを備蓄し、そこでまさに価値を「生産」する実態が工場に近い施設が「事務所」としてすり抜ける構造的な穴がある。

3. 海外比較：ゾーニングで制御するのが国際標準
米国では大規模データセンターの立地は自治体のゾーニング審査でコントロールされる。英国でも事務所からデータセンターへの用途変更には原則 planning permission が必要とされており、日本のように「事務所だからOK」とはならない。

都市計画の制度設計として、データセンターを独立した土地利用カテゴリーとして扱う方向に世界は動いている。

4. 日本の現在地：自治体が地区計画で穴を塞ぎ始めた
国交省は「地方公共団体におけるデータセンターの地域共生に向けたまちづくり手法（地区計画等）の取組の現状把握」を進めている段階で、国全体での用途区分見直しには消極的だ。一方で印西市は、商業地域にデータセンターが建つのを防ぐため、地区計画の変更に踏み切った。地区計画は都市計画審議会の議決と公開手続きが必要で、住民合意形成のプロセスが組み込まれている点が特徴だ。ただし、印西市長が「地権者との合意形成」を課題に挙げている通り、地区計画は万能ではない。

やはり、都市計画制度での位置づけは不可欠なのである。

5. 提言：問うべきは「用途区分の空白」
データセンターを都市施設として位置づけて規制すべきか、それとも新たな用途区分を建築基準法に創設すべきか。

「各都市に必須の施設とは言い難い」として都市施設扱いには慎重な立場を示す専門家もおり、代替的に地区計画の活用を提案する意見もある。いずれにせよ、「事務所」という法的虚構を放置したままでは、同じ問題が全国で繰り返される。都市計画の根幹に関わる問いとして、国が正面から向き合うべき段階に来ている。

データセンターは工場に近い環境負荷（電力消費・排熱・騒音）を持つが、伝統的な都市施設（ごみ処理場や下水道等）のように公共性が明確でないため、国による一律の規制や都市施設扱いには慎重論もある、という整理になる。

そして、実態と乖離した「事務所」というきわめて日本的な法的虚構を放置するのはきわめて無責任である。

AIが見つけたPHPの弱点、問われるのは「公開の順番」だった？ (長いです)

2026年10月21日、ウェブサイトの構築などに広く使われているプログラミング言語「PHP」で、深刻な脆弱性（セキュリティ上の弱点）2件を修正する更新プログラムが公開された。悪用されれば、攻撃者が認証なしで、外部からサーバー上で任意のプログラムを実行できるおそれがある。深刻度は、いずれもCVSS v4.0で9.2という高い評価だった。*

公開に先立ち、開発側とIPA（情報処理推進機構）が事前に準備を促す注意喚起を行い、サービスのメンテナンス入りを公表した事業者も報じられた。

ここで考えたいのは、単に「危険な脆弱性が見つかった」という話ではない。脆弱性の情報を、誰に、いつ、どこまで知らせるべきなのか。攻撃者が動き出す前に、防御する側へ準備時間を渡せたのか。AIが脆弱性の発見を支援する時代には、この問いがますます重要になる。

1．AIが見つけた弱点は、誰にとっての武器なのか

今回の脆弱性は、AIを活用した調査が発見に関わったと報じられている。Wizは、複数のAIモデルを使った調査で発見したと公表し、別の研究者も8月のソースコード監査にAIモデルを使ったと伝えられている。

脆弱性の発見そのものは、悪いことではない。弱点が見つからなければ、開発者は修正できない。研究者が問題を見つけ、開発者が修正し、利用者が更新する。この循環が、インターネットの安全を支えてきた。

しかし、発見にかかる時間が短くなるなら、攻撃者が情報を理解し、悪用するまでの時間も短くなる可能性がある。守る側だけがAIを使うわけではない。

もちろん、今回の脆弱性がAIで発見されたことと、攻撃者がAIで実際に攻撃したことは別の話だ。そこは区別しなければならない。それでも、発見から悪用までの時間が短くなりうる時代に、従来と同じ情報公開の手順でよいのか、という問題は残る。

2．開発者は、公開前に予告していた

PHPの開発チームは10月20日（協定世界時）、翌21日14時（日本時間23時）にセキュリティ更新を公開すると事前に告知した。公開と同時に、詳細も明らかにする方針だった。一方で、詳細が先に出回ったり、悪用が確認されたりした場合は、予定を早める可能性があるとも示していた。

IPAも10月21日、修正プログラムの公開に備えて準備を促す注意喚起を出した。この時点では、今回の脆弱性を悪用した攻撃は確認していないとしていた。すでに被害が広がっていると断定したのではなく、公開されたら速やかに適用できるよう備えを呼びかけたのである。

この判断には難しさがある。詳細を伏せれば、攻撃者に手の内を知られずに済むが、運用する側は準備ができない。広く公表すれば、世界中の管理者が対策を進められる一方、攻撃者にも同じ情報が届く。

しかも今回は、公開前に技術情報が先に広まったと報じられている。セキュリティ企業が公開前に再現を報告し、公開後には攻撃の試みも伝えられた。予告は準備時間を生んだが、同時に探索の的にもなった可能性がある。

情報を隠せば守れるとは限らない。公開すれば守れるというわけでもない。問題は、どの順番で情報を共有し、誰にどれだけの準備時間を与えるかである。

3．先に止めるべきか、先に知らせるべきか

報道によれば、今回の脆弱性は8月19日にWizが最初に発見し、9月21日にPHPのセキュリティチームが報告を受けて、修正の作業に入った。公開までに約2か月、開発者と研究者の間で調整が行われていたことになる。公開前の限定的な情報共有は、すでに存在していた。

そこで問うべきは、次の点だと考える。この枠組みは、予告から公開までの短い期間や情報漏えいに耐えられたのか。影響を受ける事業者への共有や、修正が間に合わないシステムへの暫定措置を、どこまで事前に設計できるのか。

ひとつの考え方として、次のような段階的な対応がありうる。

• 第1段階：公開前に、対応する側へ準備時間を渡す。開発者やセキュリティ機関に加え、影響の大きいサービス提供者などへ、必要な範囲で情報を共有する。
• 第2段階：修正が間に合わない場合の措置を決める。外部から攻撃される危険が高いシステムは、アクセス制限や一時停止、隔離を検討する。すべてを一律に止めるのではなく、危険性と停止の影響を比較して判断する。
• 第3段階：修正プログラムと詳細情報を公開する。利用者は速やかに更新し、必要に応じて攻撃の痕跡も確認する。

今回の対応が必ずこの順番であるべきだった、と断定するものではない。脆弱性の性質や修正の準備状況、漏えいの危険によって、最適な順序は変わる。ただ、検討すべき原則はある。攻撃者に情報が渡る時点と、防御側が対策を始められる時点との間に、できるだけ大きな差をつくることである。

4．なぜ、社会全体のサービスが止まるのか

PHPは、ウェブサイトやウェブサービスを動かすために広く使われている。Wizは、過去10年に出たすべてのPHPバージョン（5.4以降）が、少なくとも一方の欠陥の影響を受けると述べている。ウェブリクエストを処理するPHPの実行環境は広く対象になり、とくにApacheのmod_phpでは危険が高いとの分析もある。（なお、PHPが全ウェブサイトの7割で使われているという数字は、Wizの主張である。）

もっとも、実際にどの程度の危険があるかは、実行環境や構成によって異なる。それでも、影響を受けるシステムが広く分布していれば、一つの技術上の問題が、社会のさまざまなサービスに波及する。

ニコニコやpixivなど、PHPの緊急パッチに対応するためメンテナンスに入ったサービスも報じられた。ウェブサイトの裏側では、ログイン、予約、問い合わせ、データの処理など、多くの機能が動いている。画面が違っていても、共通の技術に依存していることがある。

そのため、サービスの一時停止は、単なる技術担当者の判断では済まない。停止によって守られるものがある一方、停止そのものにも社会的なコストがある。だからこそ、「危険なら止めればよい」で終わらせるわけにはいかない。どの程度の危険なら止めるのか。誰が判断するのか。代替手段はあるのか。停止で困る人にどう説明し、どう支援するのか。こうした問いは、システムの運用だけでなく、組織の危機管理の問題でもある。

5．防御側は、攻撃側より速く動けるのか

公開後、開発側やセキュリティ機関は、速やかに更新を適用するよう呼びかけた。IPAは、サポートが終了した古いPHPを使い続けるサイトが見受けられるとも指摘し、攻撃者がごく短時間で悪用に動く可能性に触れている。

また、暫定的な対策にも限りがある。窓の杜によれば、公開前の調査で、ある機能を無効にするだけでは対策にならないことが判明した。結局のところ、修正プログラムの適用が基本になる。

ここで大事なのは、脆弱性を発見する速度だけではない。

• 発見する速度：弱点をどれだけ早く見つけられるか。
• 知らせる速度：影響を受ける組織へ、どれだけ早く正確に伝えられるか。
• 直す速度：修正を適用し、被害が起きない状態にできるか。

この三つがそろわなければ、防御は成立しない。AIによって発見が速くなっても、利用しているシステムを把握できていない、更新の担当者が決まっていない、古い環境から移行できない、といった事情があれば、対策は進まない。AI時代のセキュリティ対策とは、AIを導入することだけではない。発見された問題に、組織と社会が対応できる仕組みを整えることでもある。

6．サービスを止めることは正解か。それとも最後の手段か

危険が大きく、修正も間に合わず、ほかに有効な対策がない。そうした状況なら、被害が発生する前にサービスを一時停止する判断には合理性がある。一方、停止の影響が大きいサービスでは、アクセス制限や隔離など、ほかの方法を選べる場合もある。

必要なのは、止めた組織を一律に称賛したり批判したりすることではない。判断の根拠が明確だったか、利用者への説明があったか、代替策を検討したか、復旧までの計画があったか、という点が重要だろう。そのために、少なくとも三つの備えが必要だ。

第一に、自分たちのシステムがどの技術やサービスに依存しているかを把握しておくこと。第二に、重大な脆弱性が見つかった際、誰が更新や一時停止を判断するのかを事前に決めておくこと。第三に、開発者、セキュリティ機関、サービス提供者の間で、公開前にどこまで情報を共有できるか、ルールを整えること。こうした準備は、脆弱性が公表されてから始めるのでは遅い。
なお、今回、この「誰が止める判断をするのか」という問いに、一つの実例が加わった。10月21日午後10時前、高市早苗首相が自身のXで「今夜に対応して頂きたい大至急のお願い」と呼びかけ、修正パッチを速やかに適用できる準備をするよう求めた。パッチが適用できない場合は、ウェブサイト等の一時停止も有効策の一つだと明言した。修正版が公開される約1時間前のことである。
技術的な詳細は、開発元や専門機関が出していた。首相の投稿が果たしたのは、その情報を、技術担当者の外にいる経営層や管理者へ届ける役割である。エンジニアからも、経営層にリスクが伝わるとの評価が出た。停止は業務への影響が大きく、現場だけでは決めにくい。そこへ「停止も有効な選択肢」と公的に示されたことは、判断を後押しする材料になりうる。
ただし、この投稿が実際にどれだけ対応を早めたのかは、現時点では測れない。評価できるのは、情報を届ける経路が一つ増えたという点までである。次に問われるのは、こうした呼びかけを個人の発信に頼らず、制度としてどう組み込むかだろう。

少なくとも、今回の総理の判断を私は高く評価している。
「高市さん、ナイストス！！！」

7．これは「サイバー戦争」なのか

私が確認した範囲では、今回、国家が関与する攻撃があったとの直接的な証拠は報じられていない。その意味で、文字どおりの戦争と呼ぶのは正確ではない(戦争かもしれないが、そうとは断言できないということ)。

それでも、私たちの生活や経済を支えるサービスが、共通の技術上の弱点によって一斉に影響を受けうる。その危険を考えれば、これは社会の安全をどう守るかという問題だ。そして、AIはこの問題の時間軸を変えようとしている。

今回の件から、すべてのサービスを止めるべきだったと結論づけることはできない。情報公開を遅らせればよかった、と単純に言うこともできない。しかし、問いは残る。脆弱性が公表されるとき、防御する側には、攻撃者より先に動くための時間と仕組みが用意されているのか。

脆弱性を見つける技術だけでは、社会は守れない。見つかった弱点を、誰が、いつ知り、どのように対処するのか。そのルールまで設計して初めて、技術を社会の安全につなげられる。次の「PHP」が来る前に、私たちはその仕組みを決めておく必要がある。

*最高の深刻度区分である「Critical（緊急）」に分類

「ねるとん紅鯨団」でわかる高校入試のDA ― なぜ作戦を考えなくてよくなるのか

noteに高校入試のDAについて書きましたが、わかりにくい、というご意見がありましたので、中高年のために「ねるとん」による説明の部分を膨らませてみました。

さて、昔、フジテレビ系列で『ねるとん紅鯨団』というお見合い番組がありました。

(AIにより生成)

独身男女数人ずつが団体で旅行やイベントに行き、最後に告白タイムがある。男性が一斉に「付き合ってください」と女性の前に走る。人気の女性の前には3人、4人と男性が並ぶ。女性はその中から1人を選ぶ。選ばれなかった男性は、その場で失恋が確定する。

あの番組があれだけ盛り上がった理由は、純粋な「好き」という気持ちだけではマッチングが決まらないからです。

本当はA子さんが好きだ。でもA子さんは絶対にモテる。自分が行ってもフラれるかもしれない。だったら確実に自分を選んでくれそうなB子さんに行った方がいいのではないか。でも、B子さんに行ったら、A子さんへの未練が残る。相手の気持ちを探り、ライバルの動きを読み、自分の告白先を決める。あの番組は、恋愛というより高度な情報戦で、それが番組の人気の源だったように思います。

女性もまた、意中の男性からの告白を得るために工夫を凝らしました。

今の都道府県の公立高校入試も、構造はあれとそっくりです。単願制。1校しか出せない。本当は日比谷高校に行きたい。でも落ちたらあまり行きたくない併願校に行くしかない。だったら最初から○○高校に下げて「利確」した方がいいのではないか。受験生は学力を上げることと同じくらい、「どこに出願するか」という作戦に脳のリソースを奪われています。

まさに、ねるとんの情報戦です。

ここでDA、受入保留アルゴリズムを「ねるとん」に導入してみます。

ルールはこう変えます。

男女全員が、事前に「本当に付き合いたい人」を第1希望、第2希望、第3希望……と正直に紙に書いて提出する。

コンピュータがまず、全員の第1希望同士を突き合わせる。A子さんに3人の男性から告白が来たら、A子さんはその中で一番好きな1人を「とりあえずキープ」し、残り2人を振る。

振られた2人は、自動的に自分の第2希望の女性のところに回される。そこでまた、女性がキープしている人と新しく来た人を比べて、より好きな方をキープする。

これを誰も振られなくなるまで繰り返す。

これがDAです。

この方式のすごいところは、作戦を考える意味が完全になくなることです。A子さんが人気だからといって、最初からB子さんを第1希望に書いても得をしない。なぜなら、A子さんにフラれても、あなたの第2希望であるB子さんへの告白の権利は完全に保証されているからです。正直に「第1希望はA子さん、第2希望はB子さん」と書いた方が、絶対に損をしない。これを経済学では「耐戦略性」と呼びます。

もし『ねるとん紅鯨団』がこの方式だったらどうなったでしょう。番組は一瞬で終わります。全員が一斉に紙を出し、コンピュータが0.001秒でカップルを発表する。駆け引きも、散々迷った末に走る緊張感も、失恋のドラマもない。

まあ、番組としては最悪です。盛り上がる要素が一切ないからです。

しかし、高校入試は盛り上がらなくていいのです。

DAが導入されれば、受験生は「受かりそうかどうか」を一切気にせず、本当に行きたい高校を第1希望に書けます。日比谷がダメだったら、自動的にその他の都立が検討される。コンピュータが、あなたの希望順位の中で「合格できる最も上位の高校」を探してきてくれる。

制度設計次第ではここに国立や私立を混ぜることもできるでしょう。

『ねるとん』では作戦こそがエンターテインメントでした。でも入試における作戦は、ただの不公平です。お金があって私立で併願校を確保できる子は強気な作戦が取れるけれど、公立一本の子は安全策を取らざるを得ない。DAは、この情報戦を終わらせて、受験を純粋に「学力と、あなたが本当に行きたい場所」の勝負に戻してくれる。

まさに、盛り上がらない、誰も取り残さないのがDAなのです。

熊本支援のフェーズは人的支援メインに

千葉の水害が心配だが、熊本の震災では、水などの生き残りのリソースの支援から、中期的な人的リソースの支援へとフェーズが変わっているとのこと。一方で、支援する側の自治体の意識もまちまちである。なかには被災地に行きたい、という職員がいて、しかもわがまちは人的支援に名乗りを上げていない、というケースは多い。
基本的に派遣費用は特別交付税で支弁される。特に行政保健師さんでぜひとも行きたい、という場合は、とりあえず勤務先に相談されたら、と思う。首長サイドからすると、自分のところにそんな熱心な職員がいる、と把握できていないケースもあるのである。まさに、情報格差が行きたい職員と首長側で生じているのであり、そういうわけで派遣費用も手続きをしっかりやれば国費なので、ぜひ、ご検討されたい。

「稼ぐ大学論」が的はずれな理由

会社だとものを売ったり、そもそも開発したり、作ったりするための仕組みが最適化されているわけで、それでも赤字になったり黒字になったりするわけである。
大学は、確かに研究はしているが、稼ぐためのノウハウがあるわけではなく、もともと稼ぐための研究をしているわけではない。
仕事をして、目に見える形して、利益を生み、そこから組織を回しつつ、いくばくかの食い扶持を得ると言うことの意味を役人が理解する事は絶望的に難しい。
私の場合で言うと、出版の流通の仕組みを知っていて、本ができるまでに使う資材や、企画の進め方、間接部門の規模感など、一通りの事は理解しているけれど、じゃぁ、出版社を新たにやって稼いでみろ、お前、と言われると稼げないと思う(既存の出版社ならできるし稼ぐ自信はありますけどw)。
もちろん、大学がすべての経費を大学の稼ぎで賄うなんて事は想定していないわけだが、そもそも百万円の純利益を稼ぐということの労力やかかる元手を理解している公務員は副業をやっているか、実家が商売をやっている人だろう。当然、少数派である。

モノやサービスを売ってちゃんと回すのは難しい。

私学や医療は補助金があるし、参入規制もそこそこ強い。

しかし、普通の商売はそうではない。
稼ぐ大学とか「ばかだなぁ」としか言いようがないのである。
たまたま儲かった、というのと恒常的に稼ぐことの違いを誰か教えてやってくれ、というのが私の個人の感想です。