
電子記録の長期保存が困難な理由
われわれは日々膨大な量のデジタルデータを生み出し続けている。写真、文書、動画、業務記録など、あらゆる情報が電子化される時代である。しかし、これらのデータを30年、50年という長期にわたって確実に保存することは、想像以上に困難な課題である。しかもGxP領域では「30年」は比喩ではなく、法令が実際に要求する保存期間である。GMP省令第30条は、特定生物由来医薬品に係る製品の文書及び記録について「有効期間に三十年を加算した期間」の保管を求めている。本稿では、電子記録の長期保存を阻む三つの障壁を技術的に整理したうえで、規制対象記録の場合に何が上乗せされるのかを、ER/ES指針・21 CFR Part 11・QMS省令・GMP省令の条文に即して解説する。
なぜ「長期保存」が規制上の論点になるのか
電子記録の長期保存は、一般のIT記事では「思い出の写真をどう残すか」という文脈で語られることが多い。しかし製薬・医療機器の品質保証/CSV担当者にとって、これは法令上の義務を履行できるかどうかという問題である。まず、規制側が何を要求しているのかを確認しておく。
ER/ES指針の三要件――「保存性」とは何か
厚生労働省の「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」(平成17年4月1日 薬食発第0401022号。いわゆるER/ES指針)は、別紙 第3章において電磁的記録の要件を三つに整理している。
| 要件 | 該当箇所 | 要求の骨子 |
|---|---|---|
| 真正性 | 3.1.1 | 電磁的記録が完全、正確であり、かつ信頼できるとともに、作成・変更・削除の責任の所在が明確であること |
| 見読性 | 3.1.2 | 電磁的記録の内容を人が読める形式で出力できること |
| 保存性 | 3.1.3 | 保存期間内において、真正性及び見読性が確保された状態で電磁的記録が保存できること |
三要件は並列ではない。「保存性」は、真正性と見読性を保存期間の全期間にわたって維持し続けることを求める要件である。つまり本稿が扱う技術的な障壁は、そのまま ER/ES指針 3.1.3 への不適合に直結する。
保存期間内において、真正性及び見読性が確保された状態で電磁的記録が保存できること。
(1) 電磁的記録媒体の管理等、保存性を確保するための手順が文書化されており、適切に実施されていること。
(2) 保存された電磁的記録を他の電磁的記録媒体や方式に移行する場合には、移行された後の電磁的記録についても真正性、見読性及び保存性が確保されていること。
――厚生労働省 薬食発第0401022号 別紙 第3章 3.1.3
注目すべきは (2) である。指針はメディア移行(マイグレーション)が起きることを前提として書かれており、移行後の記録についても三要件の確保を求めている。すなわち、後述する「定期的なマイグレーション」は単なる技術的ベストプラクティスではなく、規制上の要求事項に組み込まれた行為である。マイグレーションの考え方は「マイグレーションアプローチとは」で、その対概念は「タイムカプセルアプローチとは」で詳しく扱っている。
21 CFR Part 11 §11.10(c)――「保存期間を通じて」
米国 FDA の 21 CFR Part 11 も同じ問題を扱っている。閉鎖系システムの管理策を列挙した §11.10 のうち、長期保存に直結するのは (c) である。
(記録の保護。記録保存期間を通じて、正確かつ速やかに記録を検索・取り出しできるようにすること。)
――21 CFR §11.10(c)(訳は趣旨)
関連して押さえておくべき規定が二つある。
- §11.10(b)――当局による査察・照査・複写に供しうる、人が読める形式と電子形式の双方で、正確かつ完全な複製を作成できること。「テープは残っているがドライブがない」状態は、この要求を満たさない。
- §11.10(e)――監査証跡は「対象となる電子記録に要求される期間と少なくとも同じ期間」保持し、当局の照査・複写に供しうること。長期保存の対象は本体データだけではないという点が明文化されている。
法定保存期間――何を、いつから、何年
「30年、50年」という数字は誇張ではない。QMS省令(医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令)とGMP省令(医薬品及び医薬部外品の製造管理及び品質管理の基準に関する省令)の保存期間を条文どおりに整理すると次のようになる。
| 根拠条文 | 対象 | 保管期間 | 起算点 |
|---|---|---|---|
| QMS省令 第68条第1号 | 特定保守管理医療機器に係る製品の記録 | 15年間(有効期間+1年が15年より長い場合はその期間) | 記録の作成の日 |
| QMS省令 第68条第2号 | それ以外の医療機器等に係る製品の記録 | 5年間(有効期間+1年が5年より長い場合はその期間) | 記録の作成の日 |
| QMS省令 第68条 柱書 | 教育訓練に係る記録 | 5年間 | 記録の作成の日 |
| QMS省令 第67条 | 品質管理監督文書(又はその写し) | 第68条と同じ区分の期間(教育訓練に係るものは5年間) | 当該文書の廃止の日 |
| QMS省令 第79条 | 厚生労働大臣が指定する生物由来医療機器等に係る製品の記録 | 厚生労働大臣が指定する期間 | ― |
| GMP省令 第20条第1項第3号 | 第2章に規定する文書及び記録 | 5年間(有効期間+1年が5年より長い場合は、教育訓練記録を除きその期間) | 作成の日(手順書等は使用しなくなった日) |
| GMP省令 第22条第1号 | リテスト日が設定された原薬たる医薬品 | ロットのリテスト日までの期間、又は当該ロットの出荷完了日から3年間のいずれか長い期間 | 同上 |
| GMP省令 第30条第1号 | 特定生物由来医薬品/人の血液を原材料とする生物由来医薬品 | 有効期間+30年 | 同上 |
| GMP省令 第30条第2号 | 生物由来医薬品/細胞組織医薬品(前号を除く) | 有効期間+10年 | 同上 |
| GMP省令 第31条 | 厚生労働大臣が指定する生物由来医薬品 | 厚生労働大臣が指定する期間 | ― |
起算点を取り違えると保存期間が足りなくなる
- 記録は「作成の日」から起算する(QMS省令第68条、GMP省令第20条第1項第3号)。
- 品質管理監督文書は「当該文書の廃止の日」から起算する(QMS省令第67条)。10年間運用した手順書は、廃止時点から改めて期間が走る。
- 手順書等は「使用しなくなった日」から起算する(GMP省令第20条第1項第3号括弧書き)。
- 有効期間の長い製品では「有効期間+1年」が基本年数を超えるため、製品ごとに期間が変わる。一律の削除ポリシーを組むと過小保存になる。
GMP省令第30条第1号の「有効期間+30年」は、本稿の主題そのものである。ある製品の有効期間が3年であれば、その製造記録は33年間、読み出せる状態で保たなければならない。この期間に、後述するメディア・装置・ソフトウェアの世代交代が何度も起きる。
第一の障壁:メディアの経年劣化
電子記録を保存する物理的な媒体は、時間とともに必ず劣化する。これは避けられない物理現象である。ただし「何年もつか」を語るときは、誰が・どの母集団で・どの測定条件で得た数字なのかを必ず併記しなければならない。それを欠いた「寿命◯年」という数字は、実務では役に立たない。
ハードディスク(HDD)
HDDには磁性体の劣化に加え、軸受や潤滑剤、ヘッドといった機械部品の摩耗・固着という故障要因がある。よく「HDDの寿命は3年から5年」と言われるが、この数字の出所を特定できる公開データは見あたらない。
比較的よく知られた大規模データについては、クラウドストレージ事業者 Backblaze 社が自社データセンタの稼働ドライブについて四半期ごと・年次で故障率統計(Drive Stats)を公開している。同社の2025年年次レポートでは、30機種・344,196台を対象として年換算故障率(AFR)1.36%(2024年は1.55%)、運用開始からの通算AFRは1.30%と報告されている。この水準は「3〜5年で必ず壊れる」というイメージとは相当に異なる。
AFRの数字をそのまま「保管寿命」と読んではいけない
- この統計はデータセンタで常時通電・常時監視され、異常兆候があれば交換される運用下の稼働ドライブを母集団としている。
- 棚に置かれ、何年も通電されないアーカイブ用HDDはまったく別の条件である。潤滑剤の移動やヘッドの固着、そして誰もエラーを検出していないという点が問題になる。
- メーカーが公表するMTBFやAFRは「寿命(life expectancy)」ではない。同一条件下の故障率であって、個体が何年もつかを保証する数値ではない。
したがって実務上の結論はこうである。HDDは「常時通電し、定期的に読み出し検証を行い、故障したら交換する」運用と一体でなければアーカイブ媒体として成立しない。2010年に保存したディスクを2026年に取り出して初めて電源を入れる、という使い方は、保存戦略とは呼べない。
光学メディア(CD-R/DVD-R/BD-R)
光学ディスクも例外ではない。記録層の色素や反射層の化学変化に加え、保存環境(高温・高湿・直射日光)によって劣化が加速する。
ここで重要なのは、光学メディアの寿命推定には国際規格に定められた試験方法が存在するという点である。
- ISO/IEC 10995:2011――記録可能/書換可能光ディスクに保存された情報の取り出し可能性(retrievability)の期待寿命を推定するための加速劣化試験方法。
- ISO/IEC 16963:2017――長期データ保存用の光ディスクについて、同じく加速劣化試験による寿命推定方法を定める規格。推定は、記録データの寿命が対数正規分布に従うという理論的仮定に基づく。
つまりメーカーが示す「◯年」は、特定の温湿度条件で加速試験を行い、統計モデルを仮定して外挿した推定値であって、その年数まで読めることを保証するものではない。染料の種類(フタロシアニン等)や反射層に金を用いたアーカイブグレード製品が、一般の安価な製品より良好な結果を示すこと自体は各社が公表しているが、本稿では第三者試験に基づく確定値として特定の年数を記載しない。実務では、規格に基づく試験結果を提示できる製品を選び、暗所・低温低湿で保管し、そのうえで定期的な読み出し検証を前提にするのが正しい構えである。
フラッシュメモリ(USBメモリ/SSD)
USBメモリやSSDなどのフラッシュメモリは、セルに蓄えた電荷によってデータを記録している。この電荷は時間とともに失われるため、無通電状態での保持期間には限界がある。
この点は業界標準として明文化されている。半導体の標準化団体 JEDEC の SSD 耐久性試験規格 JESD218「Solid-State Drive (SSD) Requirements and Endurance Test Method」(2010年9月公表)は、寿命末期(規定の書換回数を使い切った状態)における無通電データ保持要件を、用途区分ごとに次のように定めている。
| 区分 | 使用時の想定条件 | 無通電データ保持要件 |
|---|---|---|
| クライアント用 | 40℃・1日8時間 | 30℃で1年 |
| エンタープライズ用 | 55℃・24時間連続 | 40℃で3か月 |
「エンタープライズ用のほうが短い」のはなぜか
- 温度条件が違う。保持温度が高いほど電荷は速く失われるため、40℃で3か月という条件は30℃で1年より厳しい環境を想定している。
- これは「寿命末期における最低保証」であって、新品のSSDが3か月で消えるという意味ではない。逆に言えば、温度条件を書かずに「SSDは◯年もつ/もたない」と述べても意味がない。
- いずれにせよ、この数字はアーカイブ媒体として要求される年数のオーダーに遠く及ばない。フラッシュメモリは長期保存媒体ではない。
実務上は、定期的な通電と読み出し検証が緩和策になるが、それは「マイグレーションを続ける」ということと同義である。
磁気テープ(LTO)
文書や映像のアーカイブにおいて、LTO(Linear Tape-Open)磁気テープは有力な選択肢の一つである。GB当たりのコストがHDDやSSDより安価で、オフラインで物理的に保管できるためランサムウェア対策の観点でも評価されている。
LTOコンソーシアム(lto.org)は、テープについて「最大30年(up to 30 years)にわたってデータを安全に保護しうる」と説明している。ただしこれは規格化団体自身による公称値であり、第三者による長期実測ではない。また保管条件について、同コンソーシアムの FAQ は「温度・湿度・磁界について、カートリッジに付属する情報スリーブに記載された仕様の範囲内で維持する必要がある」としており、全世代・全ベンダ共通の単一の温湿度値を示しているわけではない。保管条件を併記しない「30年」という数字には意味がないという点は、本稿の主題そのものである。
メディア別・長期保存の比較
| メディア | 想定寿命とその根拠 | 保管条件 | 実務上の注意 |
|---|---|---|---|
| HDD | 公称寿命の定義自体が存在しない。稼働機の年換算故障率はBackblaze社の2025年統計(30機種・344,196台)で1.36% | 常時通電・常時監視の運用が前提 | 無通電で棚置きした場合の寿命を示す公開データがない。読み出し検証と交換運用が必須 |
| SSD/USBメモリ | JEDEC JESD218の無通電保持要件:クライアント用30℃で1年、エンタープライズ用40℃で3か月(いずれも寿命末期の最低保証) | 低温であるほど保持期間は延びる | 長期保存媒体として設計されていない。一次アーカイブに使わない |
| 光学ディスク(CD-R/DVD-R/BD-R) | ISO/IEC 10995/ISO/IEC 16963の加速劣化試験による推定値をメーカーが公表 | 暗所・低温低湿。直射日光と高温高湿を避ける | 推定は統計分布を仮定した外挿値。製品ごとの品質差が大きい |
| LTO磁気テープ | LTOコンソーシアムが「最大30年」と公称(同団体自身による値) | カートリッジ同梱のスリーブに記載された温度・湿度・磁界の仕様に従う。縦置き保管が推奨される | 媒体より先に読み取り装置が失われる(後述の世代互換を参照) |
| クラウドストレージ | 事業者が背後で継続的にメディア更新を行うため、媒体寿命の概念が利用者から見えない | 契約と運用は事業者側 | 事業継続・契約継続がリスク。永続保存の保証ではない |
第二の障壁:読み取り装置の陳腐化
記録メディアが無事であっても、それを読み取る装置が入手できなければ意味がない。技術の進化は速く、かつての標準的な記録媒体が「過去の遺物」となる速度は驚くほど早い。ER/ES指針の「見読性」も、21 CFR §11.10(b) の「正確かつ完全な複製を作成できること」も、読み取り装置が存在して初めて満たされる要件である。
消えゆくドライブたち
1990年代に標準的だったフロッピーディスクは、今や読み取り装置を見つけることすら困難である。2026年現在、新しいパソコンにはCD/DVDドライブすら搭載されていないモデルが増えている。10年後、現在主流のUSB Type-AポートやSDカードスロットは残っているだろうか。
具体例:業務記録の危機
ある企業では、2000年代初頭に光磁気ディスク(MO)に保存された重要な設計図面が、2020年代に入って読み取れなくなるという事態に直面した。MOドライブを製造していたメーカーはすでに撤退しており、中古市場で高額な装置を探すしかなかった。幸いにも装置を入手できたが、これは例外的な幸運であった。
インターフェースの変遷
IDE、SCSI、FireWire、eSATAなど、かつては最先端だった接続規格が次々と姿を消している。30年前のデータを保存したドライブを現代のコンピュータに接続する手段そのものが失われつつある。媒体・ドライブ・インターフェース・ドライバ・OSという連鎖のうち、どれか一つが切れれば記録は読めない。
LTOの世代互換――「装置の陳腐化」の教科書的な例
「30年もつ」とされるLTOテープこそ、この障壁を最も分かりやすく示している。LTOコンソーシアムが公表する世代互換の仕様は、世代が進むにつれて明確に狭まっている。
| 世代 | 読み出し | 書き込み |
|---|---|---|
| LTO-1〜LTO-7 | 2世代前まで | 1世代前まで |
| LTO-8 | LTO-7(LTO-7 Type M を含む)とLTO-8のみ | 同左 |
| LTO-9 | LTO-8とLTO-9のみ | 同左 |
| LTO-10 | LTO-10のみ(後方互換なし) | LTO-10のみ |
媒体寿命30年、装置互換2世代という非対称
- LTOの新世代はおおむね数年おきに登場する。媒体が30年もっても、その媒体を読めるドライブは30年入手できない。
- LTO-10は後方互換を持たない。過去のLTO資産を読むには、旧世代のドライブを保守込みで維持し続けるか、新世代へ書き写す(マイグレーション)しかない。
- 「テープに焼いて金庫に入れた」で終わらせる運用は、ER/ES指針の見読性・保存性を将来にわたって満たせない。ドライブの保守契約と交換部品の確保まで含めて保存計画である。
なお容量については、LTOコンソーシアムはLTO-10について「単一カートリッジに最大100TB(圧縮率2.5:1の場合)」、ロードマップ上は第14世代で圧縮後913TBまでの拡大を計画していると説明している。改訂前の本記事にあった「最新世代では12TBから600TB」という記載は、世代と圧縮条件の対応が不明確であったため、上記の一次情報の表現に置き換えた。
第三の障壁:ソフトウェアとファイル形式の互換性喪失
記録メディアと読み取り装置が揃っていても、ファイルが開けなければデータは死んだも同然である。
独自フォーマットの危険性
特定のソフトウェアでのみ開けるファイル形式は、そのソフトウェアが消滅すると読めなくなる。2000年代に人気だったワープロソフトの独自形式で保存された文書が、現在では開けなくなっている例は枚挙にいとまがない。
具体例を挙げると、かつて日本で広く使われていた一太郎のファイル形式は、最新版の一太郎がなければ正しく表示できない場合がある。ましてや販売終了となったソフトウェアの形式は、ほぼ絶望的である。GxP領域では、この問題は分析機器の専用データ形式(クロマトグラムの生データ等)としてより深刻な形で現れる。装置ベンダのソフトウェアが供給されなくなれば、生データは開けない。
OSの進化による断絶
オペレーティングシステム(OS)の進化も大きな障壁となる。ただし「Windows 95時代のソフトウェアは現代のWindows 11では動作しない」と一括りにするのは正確ではない。16ビットアプリケーションと32ビットアプリケーションでは事情が異なる。
- 16ビットアプリケーション――64ビット版Windowsは16ビットアプリケーションの実行環境(NTVDM)を備えない。Windows 11には32ビット版が存在しないため、16ビットアプリケーションは動作しない。32ビットのインストーラを持たない古い製品は、インストールの段階で失敗する。
- 32ビットアプリケーション――64ビット版Windowsは32ビットアプリケーションを実行できる。当時の32ビットアプリケーションが今も動作することはあり得る。ただし、専用デバイスドライバや廃止されたAPI、16ビットのインストーラに依存している場合は動作しないこともあり得る。
- Macintosh――PowerPC時代のアプリケーションは、PowerPCバイナリの変換機構が現行のmacOSに存在しないため、Apple Silicon搭載Macでは起動できない。
いずれにせよ、実行環境が失われれば、その環境でしか読めないデータも失われるという構図は変わらない。GxPシステムでこの状態に陥ったものが、いわゆるレガシーシステムである(「レガシーシステムとは」参照)。
文字コードの変遷
日本語特有の問題として、文字コードの変遷がある。Shift_JIS、EUC-JP、UTF-8 など、時代によって主流の文字コードが変わってきた。古いシステムで保存されたテキストファイルを現代のソフトウェアで開くと、文字化けが発生することがある。これは2026年の今でも時折遭遇する問題である。
「ShiftJIS」ではなく「Shift_JIS」――そして Shift_JIS と windows-31J は別物である
- IANA の文字集合レジストリに登録された正式名称は Shift_JIS(MIBenum 17、別名 MS_Kanji/csShiftJIS)である。アンダースコアのない「ShiftJIS」は正式表記ではない。
- 登録上の Shift_JIS が対象とする符号化文字集合は JIS X 0201 と JIS X 0208 である。一方、Windows で長く使われてきた実装はwindows-31J(いわゆるCP932)として別途登録されており、NEC特殊文字・IBM拡張文字などの機種依存文字を含む。同じ「シフトJIS」と呼ばれていても、変換表が一致しない。
- その典型が波ダッシュ問題である。全角チルダに見える文字が、実装によって U+301C(波ダッシュ)にも U+FF5E(全角チルダ)にも変換される。往復変換で文字が入れ替わり、元のファイルと突き合わせないと気付けない。
- 丸数字、ローマ数字、単位記号(㎎、㎥)、外字は、移行時に消える・置き換わる代表格である。製品名や試験項目名にこれらが含まれていると、マイグレーション後に記録の同一性が崩れる。
したがって文字コードの移行は、単なる技術作業ではなく真正性の検証を伴う作業である。ER/ES指針 3.1.3(2) が移行後の真正性確保を求めているのは、まさにこうした事態を想定してのことである。
規制対象記録の場合、何が上乗せされるか
ここまでは、一般のデジタルデータにも共通する技術的障壁である。GxP領域の電子記録には、これに加えて次の要求が上乗せされる。「データが読める」だけでは足りないという点が、一般のIT議論との決定的な違いである。
1. 監査証跡も同じ期間、同じ品質で保存する
21 CFR §11.10(e) は、監査証跡を「対象となる電子記録に要求される期間と少なくとも同じ期間」保持し、当局の照査・複写に供しうる状態に置くことを求めている。本体データだけをアーカイブし、監査証跡をシステム側に置き去りにする移行は、この要求を満たさない。監査証跡が当局調査でどう見られるかは「ER/ES指針査察のいま――電磁的記録・電子署名は当局調査でどう見られるか」で詳述している。
2. メタデータを記録本体と一体で保存する
試験結果の数値だけを取り出して保存しても、それがいつ・誰が・どの装置で・どの条件で取得したものかが失われれば、記録としての意味をなさない。データとメタデータは一体で保存する必要がある(「メタデータとは何か」「データインテグリティ保証の3要素」参照)。PDFに印刷して保存すれば済む、という発想はここで破綻する。
3. 保存期間の起算点を記録種別ごとに定義する
前掲の表のとおり、記録は「作成の日」、品質管理監督文書は「廃止の日」、GMPの手順書等は「使用しなくなった日」から起算する。さらに有効期間に連動する製品もある。アーカイブシステムには、記録ごとの保存期限を機械的に判定できるだけのメタデータ(記録種別・製品・有効期間・文書の廃止日)を持たせておかなければならない。QMS省令第9条第2項は、記録の識別・保管・セキュリティ確保・完全性の確保・検索・保管期間及び廃棄についての管理方法に関する手順を文書化することを求めている。
4. マイグレーション自体を検証し、記録を残す
ER/ES指針 3.1.3(2) は、移行後の電磁的記録についても真正性・見読性・保存性の確保を求めている。移行は「コピーが成功した」で終わらない。件数の一致、チェックサム、サンプル抽出による突合、文字コード変換の検証、監査証跡の引き継ぎ確認までを計画し、実施し、記録として残す必要がある。
厚生労働省の「医薬品・医薬部外品製造販売業者等におけるコンピュータ化システム適正管理ガイドライン」(平成22年10月21日 薬食監麻発第1021011号)も同趣旨である。同ガイドラインは第8章「コンピュータシステムの廃棄」において、廃棄計画書にデータの移行に関する事項とセキュリティに関する事項を記載し、ハードウェア・ソフトウェア・データ・文書類の具体的な廃棄方法を定めることを求め(8.1)、廃棄記録の作成を求めている(8.2)。また第6.5章はバックアップ及びリストアの実施と、その記録の作成・保管を求めている。システムを止めるときこそ、記録の長期保存が試される。
5. 読み取り環境そのものを維持義務の対象と考える
QMS省令第9条第4項は、記録について「読みやすく容易に内容を把握することができ、かつ、検索することができるようにしなければならない」と定める。21 CFR §11.10(b)(c) も同様に、保存期間を通じた正確かつ速やかな検索・取り出しと、人が読める形式での複製作成を求めている。
これらは、単に媒体を保管する義務ではない。「その記録を、いま、読み出して当局に提示できる状態」を維持する義務である。旧世代のLTOドライブ、旧バージョンの分析機器ソフトウェア、旧OSの仮想化環境をどう維持するのか。あるいは維持せずに新環境へ移すのか。この選択が、タイムカプセルアプローチとマイグレーションアプローチの分岐点である。
査察で聞かれる質問(想定)
- その電子記録の法定保存期間は何年か。起算点はいつか。根拠条文は。
- 保存期間を通じて見読性を維持するための手順は文書化されているか(ER/ES指針 3.1.3(1))。
- 過去にメディアまたは方式の移行を行ったか。移行後の真正性・見読性をどう検証したか。その記録はあるか(同 3.1.3(2))。
- 監査証跡は本体記録と同じ期間保持されているか。移行時に引き継がれたか(21 CFR §11.10(e))。
- いま、10年前の記録をこの場で読み出して提示できるか。
長期保存を実現するための実践的アプローチ
アプローチ1:定期的なマイグレーション
最も確実な方法は、定期的にデータを新しいメディアに移行することである。ER/ES指針 3.1.3(2) が移行を前提に書かれている以上、これは規制上も筋の通った選択である。
3-2-1ルールの実践
データ保存の基本原則として「3-2-1ルール」がある。米国の US-CERT/CISA が公開する解説文書「Data Backup Options」(Carnegie Mellon University が US-CERT 向けに作成、2012年)が、次のとおり明示的に定義している。
- 3 ― 3つのコピーを保持する重要なファイルは、正本1つとバックアップ2つの計3コピーを持つ。
- 2 ― 2種類の異なるメディアに保存する異なる種類のハザードに備えるため、2つの異なる媒体種別に置く(例:ディスクとテープ、ディスクとクラウド)。
- 1 ― 1つは別の場所に保管する1コピーは自宅・自社の建物の外に置く(災害対策)。
マイグレーションサイクルの設定
5年に一度、あるいは新しいストレージ技術が普及したタイミングで、全データを新しいメディアに移行する計画を立てる。これは手間がかかるが、30年後も確実にデータにアクセスできる可能性を高める。
ただし現実には、この定期的なマイグレーションを実施できている組織は限られている。経済産業省の「DXレポート ~ITシステム「2025年の崖」の克服とDXの本格的な展開~」(デジタルトランスフォーメーションに向けた研究会、平成30年〔2018年〕9月7日。PDF)は、外部調査を引用して次のように指摘している。
| 指摘 | 調査主体・調査名・時点 |
|---|---|
| 約8割の企業が「レガシーシステム」を抱えており、約7割が「レガシーシステム」が自社のデジタル化の足かせになっていると回答 | 一般社団法人日本情報システム・ユーザー協会(JUAS)「デジタル化の進展に対する意識調査」(平成29年=2017年)。DXレポート本文はこれを「JUASによる2017年度の調査」と説明している |
| 我が国企業のIT関連予算の80%は現行ビジネスの維持・運営(ラン・ザ・ビジネス)に割り当てられている。さらに、ラン・ザ・ビジネス予算が90%以上を占める企業も40%を超えている | JUAS「企業IT動向調査報告書 2017」 |
ここでいう「レガシーシステム」は、同レポートにおいて「技術面の老朽化、システムの肥大化・複雑化、ブラックボックス化等の問題があり、その結果として経営・事業戦略上の足かせ、高コスト構造の原因となっているシステム」と定義されている。稼働年数による定義ではない点に注意されたい。いずれにせよ、IT関連予算の大半が現行システムの維持・運営に固定されている状況では、新規のマイグレーション投資に振り向ける余力が乏しいという構図である。
なお、同レポート(サマリー)に現れる「システムの維持管理費が高額化し、IT予算の9割以上に」という記述は、既存システムの課題を解決できなかった場合に生じうる将来の帰結として示されたシナリオであり、現状値ではない。改訂前の本記事および本改訂の初稿ではこれを現状値と混同していたため、削除した。
自動化されたマイグレーション機能もほぼ存在せず、継続的な人的リソースと予算の確保が前提となる点は変わらない。
アプローチ2:長期保存に適したメディアの選択
メディアの選択は、保存期間と用途によって慎重に行う必要がある。
LTO磁気テープ
大容量かつ長期のアーカイブでは、LTO磁気テープが有力な選択肢である。GB当たりのコストが安価で、オフラインで物理的に保管できるためセキュリティ面でも優れている。ただし専用ドライブが必要であり、初期投資とランニングコストに加えて、前述の世代互換の制約に対応するための更新計画を織り込む必要がある。企業のデータアーカイブや放送局の映像保存など、大容量かつ長期保存が求められる用途に適する。
高品質光学メディアの選択
光学メディアを使用する場合、製品の品質選定が極めて重要である。ISO/IEC 10995 または ISO/IEC 16963 に基づく試験結果を提示できるアーカイブグレード製品を選び、暗所で適切な温度・湿度のもとに保管することが必須である。個人の重要な記録や小規模な文書保存には現実的な選択肢となるが、推定寿命はあくまで加速試験からの外挿値であり、定期的な読み出し検証を省略してよい理由にはならない。
標準的なファイル形式の採用
独自形式ではなく、広く普及した標準的なファイル形式を使用することが重要である。
| 種別 | 推奨 | 避けたいもの | 備考 |
|---|---|---|---|
| 文書 | PDF/A(ISO 19005シリーズ)、ODF | ワープロソフトの独自形式 | PDF/Aは長期保存を目的として策定された国際規格。多くの公的機関で採用されている |
| 画像 | JPEG、PNG | カメラベンダのRAW形式 | RAWは各社独自仕様であり、将来的に開けなくなるリスクがある |
| 動画 | MP4コンテナ(H.264/H.265) | 独自形式、普及していない最新コーデック | 広く普及したコンテナとコーデックの組み合わせを選ぶ |
| 表形式データ | CSV(文字コードを明示)、XML | 表計算ソフトのマクロ付き独自形式 | CSVは文字コードと区切り文字の取り決めを併せて記録する |
PDF/A は、文書管理分野の長期保存用電子文書ファイル形式として ISO 19005 シリーズに規定されている。パート構成は次のとおりである。
| 規格 | 通称 | 基礎とするPDF |
|---|---|---|
| ISO 19005-1:2005 | PDF/A-1 | PDF 1.4 |
| ISO 19005-2:2011 | PDF/A-2 | ISO 32000-1(PDF 1.7) |
| ISO 19005-3:2012 | PDF/A-3 | ISO 32000-1(PDF 1.7)+埋め込みファイルのサポート |
| ISO 19005-4:2020 | PDF/A-4 | ISO 32000-2(PDF 2.0) |
アプローチ3:クラウドストレージの活用
個人や組織でメディアの管理を続けることの負担を軽減する手段として、クラウドストレージがある。
クラウドのメリット
大手クラウドサービス事業者は、バックエンドで定期的にデータを新しいストレージに移行している。利用者は意識することなく、常に最新の技術でデータが保護される。また、物理的な災害からもデータを守ることができる。本稿で述べた「メディアの劣化」と「読み取り装置の陳腐化」の2つの障壁を、事業者側に肩代わりさせられる点が最大の利点である。
注意点と限界
ただし、クラウドサービスも永続的ではない。サービスが終了する可能性や、料金体系の変更リスクも考慮する必要がある。利用規約上、永続的な保存を保証するものではなく、企業の買収やサービス廃止により突然アクセスを失うケースも発生している。重要なデータは、クラウドと物理メディアの両方で保管することが望ましい。クラウドを唯一の保存先とすることは避けるべきである。
GxP文脈では、さらに次の点を契約と品質取決めで押さえる必要がある。
- サービス終了時のデータ返還の方法・形式・期限(エクジットプラン)
- 当局査察時のアクセス提供と、監査証跡の取り出し可否
- データの保管場所(国・地域)と、法定保存期間中の可用性
- 供給者管理としての事業者の評価と定期的な再評価
▲【動画】データインテグリティの誤解と要点 第1章 なぜデータインテグリティが重要か(株式会社イーコンプライアンス)
組織における長期保存戦略
誰が長期保存の責任を負うのか
長期保存は、システム部門だけでも品質保証部門だけでも完結しない。保存対象の特定と保存期間の決定は品質保証・薬事の領域であり、媒体と装置の維持はIT・エンジニアリングの領域であり、予算の確保は経営の領域だからである。責任の所在があいまいなまま「誰かがやっているはず」で放置されるのが、この分野の典型的な失敗である。
担うべき役割
- 保存対象データの選定と分類(法定保存対象か、社内保存対象か、廃棄対象か)
- 記録種別ごとの保存期間と起算点の定義
- 適切なファイル形式への変換と、変換の検証
- 定期的なメディアマイグレーション計画の立案・実施・記録
- メタデータの管理と検索システムの構築
- 読み取り環境(ドライブ、ソフトウェア、仮想化環境)の維持または移行の判断
- 保存期間満了後の廃棄手順の実施と記録(QMS省令第9条第2項)
コストと価値のバランス
全てのデータを永久保存することは現実的ではない。保存コストと、そのデータの将来的な価値を天秤にかけ、優先順位をつける必要がある。GxP領域では、これに「法令が要求する最低限」という動かせない下限が加わる。
保存期限の設定
業務記録は法定保存期間、歴史的価値のある資料は永久保存、一時的なデータは短期保存というように、データの性質に応じた保存戦略を立てる。過小保存が法令違反であるのと同様に、過剰保存もリスクである――保存し続ける限り、そのデータは開示請求・査察・訴訟の対象になりうるうえ、真正性の維持コストが発生し続ける。保存期間満了後の廃棄までを手順に含めることが、QMS省令第9条第2項の要求でもある。
今後の展望と技術動向
ガラスストレージ――研究段階の技術である
ガラス媒体への記録技術(Microsoft Research の Project Silica)は、理論上は数千年規模のデータ保存が可能とされ、長期保存の解決策となる可能性がある研究テーマとして注目されている。2026年2月には、同社の研究部門が高価な溶融石英ではなく一般的なホウケイ酸ガラスを用いる手法や並列高速書き込みに関する成果を公表している。
「実用技術」として読まないこと
- Project Silica は研究プロジェクトである。2026年8月時点で、製品としての提供時期・価格・商用パートナーはいずれも公表されていない。
- 書き込み速度が実用上の制約として残っており、1枚のガラス媒体を埋めるのに長時間を要すると報告されている。
- したがって、現時点で選択できる保存手段ではない。法定保存期間の設計を、この技術の実用化を前提に組んではならない。
ブロックチェーン技術の応用
データの改ざん防止と真正性の証明に、ブロックチェーン技術を活用する取り組みが進んでいる。記録の信頼性を長期にわたって保証する補助的な手段として期待されている。
ただし、ブロックチェーンはデータの真正性(ハッシュの一致)を証明できても、元データそのものの存続を保証するものではない点に注意が必要である。ハッシュだけが残り、対応する記録本体が読めなくなれば、証明できるのは「失われた記録が改ざんされていなかったこと」にすぎない。あくまで他の保存手段と組み合わせて活用すべき技術である。
標準化の進展
国際標準化機構(ISO)と国際電気標準会議(IEC)は、長期デジタル保存のための規格を継続的に整備している。本稿で挙げたもののほか、光ディスクからのデータ移行方法そのものを定めた規格も存在する。
- ISO/IEC 16963:2017――長期データ保存用光ディスクの寿命推定のための試験方法
- ISO/IEC 10995:2011――光メディアのアーカイブ寿命推定のための試験方法
- ISO/IEC 29121:2018――長期データ保存用光ディスクのためのデータ移行方法
- ISO 19005シリーズ――長期保存用電子文書ファイル形式(PDF/A)
ISO/IEC 29121 の存在自体が示唆的である。国際標準の側でも、長期保存は「置いておくこと」ではなく「移し続けること」として設計されている。
まとめ
電子記録の長期保存が困難な理由は、メディアの物理的劣化、読み取り装置の陳腐化、ソフトウェアの互換性喪失という三つの障壁に集約される。これらは技術の進化に伴う必然的な課題である。
重要なのは、これらの課題を正しく認識し、適切な対策を講じることである。定期的なマイグレーション、長期保存に適したメディアの選択、標準的なファイル形式の採用、クラウドと物理メディアの併用など、複数の手段を組み合わせることで、長期保存の実現可能性は大きく高まる。
ただし、30年や50年という超長期保存を実現するには、3世代から6世代にわたるメディア更新が必要であり、自動化された解決策は存在しない。継続的な人的リソース、予算の確保、組織的なコミットメントが前提となる。多くの組織がレガシーシステムの維持に追われ、新規のマイグレーション投資に回せない現実も直視する必要がある。
そしてGxP領域においては、これは「できれば残しておきたい」という話ではない。GMP省令第30条が求める「有効期間+30年」、QMS省令第68条が求める「15年間または有効期間+1年」は、いずれも法令上の義務である。ER/ES指針は保存期間を通じた真正性と見読性の確保を求め、21 CFR §11.10(c) は保存期間を通じた正確かつ速やかな取り出しを求めている。技術的な障壁は、そのまま規制不適合のリスクである。
2026年のいま作成するデータは、30年後の2056年にも価値を持つかもしれない。未来の自分や後世の人々がそのデータにアクセスできるよう、実現可能な範囲で適切な保存戦略を実践していくことが求められる。デジタル時代における記録の保存は、技術的な挑戦であると同時に、われわれの文化と知識を未来に継承する重要な営みなのである。完璧な解決策は存在しないが、できる限りの対策を講じることで、少しでも多くの記録を未来に残していく努力が必要である。
まとめ――5つのポイント
- 「保存性」は真正性・見読性を保存期間中ずっと維持する要件であるER/ES指針 別紙 第3章 3.1.3 は「保存期間内において、真正性及び見読性が確保された状態で電磁的記録が保存できること」を求める。技術的な障壁は、そのまま指針への不適合になる。
- 法定保存期間は「30年」が実在するGMP省令第30条第1号は特定生物由来医薬品について「有効期間+30年」、QMS省令第68条第1号は特定保守管理医療機器について15年間の保管を求める。起算点は記録が「作成の日」、品質管理監督文書は「廃止の日」である。
- 「寿命◯年」は調査主体・母集団・測定条件とセットでなければ意味がないJEDEC JESD218の無通電保持要件は温度条件込みで規定され、光ディスクの寿命は ISO/IEC 10995/16963 の加速試験からの外挿値であり、LTOの「30年」はコンソーシアム自身の公称値である。
- 媒体より先に読み取り装置が失われるLTO-8/LTO-9は1世代前までしか読めず、LTO-10は後方互換を持たない。「テープに焼いて金庫へ」は保存計画ではない。ドライブの保守と更新計画まで含めて初めて計画になる。
- 移行は検証し、記録に残すER/ES指針 3.1.3(2) は移行後の三要件確保を求め、コンピュータ化システム適正管理ガイドライン8.1はシステム廃棄計画書に「データの移行に関する事項」の記載を求める。監査証跡とメタデータの引き継ぎまでが移行の範囲である(21 CFR §11.10(e))。
関連記事
- タイムカプセルアプローチとは――旧環境をそのまま凍結保存する方式の考え方と限界
- マイグレーションアプローチとは――新環境へ移し替える方式の考え方と検証
- レガシーシステムとは――読み取り環境が失われつつあるシステムの扱い
- メタデータとは何か――データ本体と一体で保存すべき情報
- データインテグリティ保証の3要素
- ER/ES指針査察のいま――電磁的記録・電子署名は当局調査でどう見られるか
- 「GMP施行通知」から改正GMP省令へ ― 2026年版アップデート
参考・出典(一次情報源)
- 厚生労働省「医薬品等の承認又は許可等に係る申請等における電磁的記録及び電子署名の利用について」(平成17年4月1日 薬食発第0401022号/ER/ES指針。別紙 第3章 3.1.1〜3.1.3)
- 厚生労働省「医薬品・医薬部外品製造販売業者等におけるコンピュータ化システム適正管理ガイドラインについて」(平成22年10月21日 薬食監麻発第1021011号。第6.5章、第8章、第9章)
- e-Gov 法令検索「医療機器及び体外診断用医薬品の製造管理及び品質管理の基準に関する省令」(QMS省令。第9条、第67条、第68条、第79条)
- e-Gov 法令検索「医薬品及び医薬部外品の製造管理及び品質管理の基準に関する省令」(GMP省令。第20条、第22条、第30条、第31条)
- eCFR「21 CFR Part 11 – Electronic Records; Electronic Signatures」(§11.10(b)(c)(e))
- CISA/US-CERT「Data Backup Options」(Carnegie Mellon University 作成、2012年。3-2-1ルールの定義とその出所)
- 経済産業省「DXレポート ~ITシステム「2025年の崖」の克服とDXの本格的な展開~(本文)」(デジタルトランスフォーメーションに向けた研究会、平成30年〔2018年〕9月7日/PDF。掲載元は経済産業省「産業界のデジタルトランスフォーメーション(DX)」。サマリー版はこちら)。本文中の数値は、同レポートが引用する 一般社団法人日本情報システム・ユーザー協会(JUAS)「デジタル化の進展に対する意識調査」(平成29年)および同「企業IT動向調査報告書 2017」に由来する
- ISO「ISO 19005-1:2005」/「ISO 19005-2:2011」/「ISO 19005-3:2012」/「ISO 19005-4:2020」(Document management — Electronic document file format for long-term preservation/PDF/A)
- ISO「ISO/IEC 10995:2011」(Test method for the estimation of the archival lifetime of optical media)
- ISO「ISO/IEC 16963:2017」(Test method for the estimation of lifetime of optical disks for long-term data storage)
- ISO「ISO/IEC 29121:2018」(Data migration method for optical disks for long-term data storage)
- IANA「Character Set Registration – Shift_JIS」(正式名称 Shift_JIS、MIBenum 17、別名 MS_Kanji/csShiftJIS)
- JEDEC「Solid State Drives」(JESD218「Solid-State Drive (SSD) Requirements and Endurance Test Method」2010年9月公表、2025年5月に改訂版公表。無通電データ保持要件:クライアント用30℃で1年、エンタープライズ用40℃で3か月。規格本体は有償頒布のため逐語引用していない)
- LTO Consortium「The benefits of LTO Ultrium tape technology」/「LTO Generation Compatibility」/「FAQs about LTO」
- Backblaze, Inc.「Backblaze Drive Stats for 2025」(30機種・344,196台を対象、2025年の年換算故障率1.36%、通算1.30%。同社が自社データセンタの稼働ドライブについて公開している統計であり、公的機関の調査ではないため本稿ではリンクを付していない)
- Microsoft Research「Project Silica’s advances in glass storage technology」(2026年2月公表の研究成果。研究段階であり、製品提供時期・価格は公表されていない)