トヨタ：樹脂部品サプライヤー1社へのハッキングで国内全14工場が1日停止

2022年2月28日、トヨタは翌日に「国内全14工場の28ラインの稼働を停止する」と発表し、理由として「国内サプライヤーでのシステム障害」を挙げた。同社の広報担当者は、この1日の停止で約1万3000台の生産に影響が出ると述べた。これは国内月間生産量のおよそ5%に当たる。

該当するサプライヤーは樹脂部品メーカーの小島産業で、日本経済新聞はサイバー攻撃の疑いがあったと報じた。当時、トヨタはこれを確認しなかった。セキュリティ専門家はロイターに対し、この出来事は脆弱な小規模企業1社が世界最大の自動車メーカーを停止させ得ることを示したと語った。また、世界的な半導体不足の中でトヨタがすでに生産目標を引き下げていた時期に発生した。

この停止は、トヨタの代名詞であるジャストインタイム方式の内部にあるトレードオフを露呈した。在庫を意図的に薄く保つため、サプライヤー1社が停止するだけでも吸収する緩衝がなかった。トヨタは丸1日の停止後に工場を再稼働させ、この出来事は一連のサプライヤーショックの一つとなった。2016年の愛知製鋼の爆発と並び、朝日新聞のアナリストは後に、リーン方式の脆弱性は予測可能で再発性がある証拠としてこれを挙げた。

国内14工場の全28ラインが1日停止。約1万3000台の生産が失われ、これはその月の日本国内生産量のおよそ5%に当たる。

ジャストインタイム生産は部品の緩衝在庫をほとんど持たないため、サプライヤー1社のシステムが停止すると、組立は頼るものがなくなり、全ラインが一斉に止まった。

影響の広がりは、供給網の中で最も小さい当事者から生じた。一次請けの巨大企業ではなく、樹脂部品の下請け1社が、世界最大の自動車メーカーを停止させるのに十分だった。

トヨタ自身の依存関係の把握も、同社を露出させた。朝日新聞が同様のショックについて後日報じたところでは、重要な単一ソース部品については「代替サプライヤーがほとんどない」状態だった。

この事件は、半導体不足がすでにトヨタの生産計画を圧迫していた時期に発生し、打撃を吸収し得た余裕を奪っていた。

ジャストインタイムは、すべての環が安全である場合にのみ機能する。最小のサプライヤーのセキュリティがあなたの生産ラインである。最も弱いノードを、それがあなたを監査する前に監査せよ。

トヨタは1日の損失の後、全14工場を復旧させ、サプライヤーネットワークに施設の脆弱性点検を求めた。同社は将来の停止を防ぐ措置を約束したが、朝日新聞の2023年の報道では、中央発條の爆発（8工場の13ラインが約10日間停止）について、ジャストインタイムの脆弱性は残っていると論じられ、トヨタ幹部も重要部品については代替サプライヤーがほとんどないことを認めた。小島産業への攻撃は、サプライチェーンのサイバーリスク研究における定番の引用例となった。