なぜソフトウェア基盤を公開するのか
ドクトリン
2025年5月、演習ヘッジホッグはエストニア最大級の軍事演習の一つとして、16,000人を超える人員を集めました。公式の目的は即応性と同盟統合の検証でした。事後に報じられた一場面は、別の教訓を異例なほど明確に示しました。
対戦部隊として行動した約10名のウクライナ無人機運用者が、報道によれば約半日で装甲車両17両の模擬撃破と、およそ30件のその他の攻撃を達成したとされています。より広い対戦部隊は、演習シナリオ内で2個大隊を戦闘不能にしたと報じられました [1][2]。
これは演習であり、実戦ではありません。模擬損失は戦場の損失ではなく、関係したすべての同盟部隊への判決へ引き伸ばすべきではありません。価値はアーキテクチャにあります。有能な装備を所有することと、持続的センサー、分散運用者、圧縮された意思決定周期が形づくる戦場向けにその装備を組織することの間のギャップを示したのです。
欧州に不足しているのは、ミッションアプリケーション、センサー、プラットフォームではありません。不足しているのは、それらを連携させ、妨害下でも生き残り、プログラムごとに基盤を作り直さずに変更できる共通の戦術システム層です。Penrose Tacticalはその層を公開します。本稿では、理由、公開範囲、非公開の範囲、そして顧客が実際に購入するものを説明します。
教訓は無人機だけの話ではなかった
無人機が結果を可視化しました。より深い問題はアプリケーションの下にあります。集中した指揮所は発見され、特性を把握され、打撃され得ます。分散部隊はしたがって、指揮、感知、意思決定支援を車両、無人システム、遠隔センサー、徒歩部隊へ分散させなければなりません。
その部隊の各ノードは、単独でも有用であり続けなければなりません。非専門家が操作できなければなりません。想定したネットワークが消えても動き続け、リンクが戻ればより広いフリートへ再合流できなければなりません。
この要件はレジリエンスの意味を変えます。レジリエンスとは、障害後に復旧するサーバーではありません。ネットワークの一部が使えなくても、生産・判断・行動を続けるフリートです。
電磁環境は、これを設計上の好み以上のものにします。2023年のRUSI研究は、当時の戦争段階でウクライナの無人航空機損失を月およそ10,000機と見積もり、電子戦が損耗に大きく寄与したとしています [3]。バルト地域では、民間航空と海上航法でもGNSS妨害およびスプーフィングの持続的増加が見られます。欧州当局はいま、代替航法、監視、非常時手順を必要な防護として扱っています [5]。
戦術システムはしたがって、送信しない時機を知らなければなりません。有線ベアラがあればそれを優先し、無線沈黙が必要な間は情報を蓄積し、政策が許すときに制御されたバーストで送り、その間ずっと完全に使用可能でなければなりません。通信放射管制を、過負荷の運用者が正しい手順を正しい瞬間に思い出すことだけに依存させてはなりません。それはシステムの性質でなければなりません。
途絶は運用条件である
2025年7月、グローバルな衛星サービス障害が、ウクライナ軍の通信と一部の無人機運用をおよそ2時間半にわたって中断しました。ウクライナの上級指揮官は、通信手段の多様化を公に求めました [4]。
この事象は、衛星通信が無効だと示したのではありません。衛星通信は卓越した運用価値を提供してきました。示したのは、ミッション下のシステムが常に存在すると仮定すれば、いかに価値の高いベアラでも単一依存になり得るということです。
同じ原則は起動時にも当てはまります。ライセンスサーバーに到達できない、署名が期限切れ、更新が中断された、といった理由で起動を拒否する装備は、狭い管理上の意味では安全でも、任務には使えません。正しい応答は、故障を隠すことでも、静かにセキュリティを弱めることでもありません。ノードは明示的な劣化姿勢で起動し、劣化した理由を記録し、政策が求める範囲を制限し、安全に使い続けられる能力を保持すべきです。
これは中核の設計信念の一つです。劣化運用は、受入直前に足す例外経路ではありません。戦術的可用性を設計すべき通常条件です。
戦場の時計と産業の時計は分離した
第二の構造的断絶は速度です。措置、対抗措置、再対抗措置の周期は圧縮されました。2023年初頭には1か月かかっていた対抗イノベーションが、いまは2〜3日で現れます。搭乗員は、妥当性を保つためだけに組み込みソフトウェアを4〜6週ごとに更新すると述べています [6]。
従来のプログラム周期は、このリズム向けに設計されていません。技術的には小さな改修でも、独自統合作業、新たなハードウェア依存、別の垂直認定周期を引き起こし得ます。チームは、あらゆる動きを高価にするアーキテクチャの中で、より速く動くよう求められます。
だからこそ、アーキテクチャを機能一覧の長さではなく、変更コストで判断します。
サプライチェーンも同じ点を強めます。戦術システムは、内部の商用部品が入手可能な期間よりもはるかに長く就役し続けます。アプリケーションソフトウェアが特定のプロセッサ、アクセラレーター、ボード系列に縛られれば、部品陳腐化はソフトウェア書き換えとプログラムリスクになります。ハードウェア抽象化層はその方程式を変えます。ターゲット交換は、アプリケーションスタックの再構築ではなく、範囲の限られた統合作業になります。
速い適応は、技術チームへ恒常的な緊急を求めることでは達成されません。あらゆる変更が波及するアーキテクチャ上の理由を取り除くことで達成されます。
欧州は同じ見えない層に支払い続けている
戦術ソフトウェア市場は3層で読めます。
第一は、アプリケーションの下にあるシステム基盤です。検証済みブート、ソフトウェア隔離、ハードウェアインターフェース、アイデンティティ、暗号、耐性のある転送、交換形式、更新、フリート管理を担います。
第二はミッション層です。状況認識、センサー活用、自律、兵站、意思決定支援など、運用価値を生むアプリケーションを含みます。
第三はプログラム統合です。製品を特定のプラットフォーム、保証枠組み、運用者、支援モデルへつなぎます。
欧州産業は第二層と第三層に富んでいます。繰り返される問題は基盤にあります。共有製品が前提とされないため、同じ技術的下地がベンダーとプログラムによって作り直されます。相互運用性は、システムがすでに異なるデータモデル、セキュリティ境界、更新機構を持った後に、交渉された作業パッケージとして到着します。
その層は誰の本業でもありません。ベンダーごとに一度、プログラムごとに一度、再認定のたびにまた一度、支払われます。顧客は最終的に、各再実装、各ゲートウェイ、各再認定の費用を負担します。しかしこの作業は、契約を勝ち取るミッションアプリケーションをほとんど差別化しません。
汎用オープンソースは必要の一部を覆います。カーネル、オーケストレータ、ハイパーバイザはすでに存在します。民生エコシステムが組み立て済み製品として出荷しないのは、防衛制約の組み合わせです。端から端までの検証済みブート、オフラインで署名・失効できるモジュール、放射規律、遠隔インフラなしでも有用な運用、ポスト量子保護へ移行できる暗号姿勢。各レンガはどこかにあります。それらの制約向けに組み立て、試験し、文書化した基盤こそ、共有欧州製品として欠けてきました。
結論は直接です。相互運用性は、調達後に足すプロジェクトではなく、基盤の性質であるべきです。
AGELAIOSはその欠落層を占める
ウクライナにはDeltaがあります。米国にはLatticeがあります。われわれは欧州の相互運用層を提供します。この文は市場上の位置づけであり、運用上等価の主張ではありません。ミッションアプリケーションと組み込み計算機の間には、欧州でいま誰も共有製品として売っていないオペレーティングシステム基盤があります。それでも、2つの装備が互いを理解するか、更新を安全にプッシュできるか、リンクが落ちてもノードが有用であり続けるかを決めるのは、その層です。
AGELAIOSは別の指揮アプリケーションではありません。公開を前提に設計され、ミッションアプリケーションをホストするために作られた、その基盤です。
目的は、すべての戦術製品が自ら組み立てざるを得ない共有の技術規律を提供することです。完全ディストリビューションは、ミッションアプリケーション前でおよそ200 MBに収まるよう設計されています。最小コアはRustで書かれています。アプリケーションと第三者モジュールは宣言された区画で実行され、リソースとケイパビリティは既定継承ではなく政策によって付与されます。
オペレーティングシステムは、署名済みで識別されたイメージを中心に設計されています。ハードウェアが信頼の根を提供する場合、ブートを検証・計測し、実行中のものを把握できます。提供しない場合、姿勢は名目として提示せず、明示的に下げて記録します。
データバスは、ノードが実際に見つけられるベアラ、Ethernet、Wi-Fi、シリアルリンク、組み込みバス、低帯域無線を横断します。ノードは分離中も情報を蓄積し続け、再接続後に運用状況図を突き合わせます。喪失するとフリートが止まる必須中央サーバーはありません。
通信放射姿勢、ハードウェア抽象化、ソフトウェア隔離、戦術交換形式は一体です。運用結果がすべてに依存するからです。残存ベアラで通信できない安全なモジュールは有用ではありません。制御されない送信で部隊を露出する耐性ネットワークは生存できません。利用可能な計算機向けに書き換えねばならない相互運用アプリケーションは、必要な速度では配備できません。
基盤はこれらの制約が出会う場所です。それを公開することは、その出会いの場を一つのプログラム以上が使えるようにする方法です。
コード公開は産業上の決定である
問いは妥当であり、実務はその一部にすでに答えています。就役中のほぼすべてのシステムは、すでに相当量のオープンソフトウェアを抱えています。カーネル、セキュリティ層、ドライバ、プロトコル、トランスコーダ、コンパイラです。読めるソースの存在が阻害要因なら、AGELAIOS以前に就役システムを阻んでいたはずです。
われわれはAGELAIOS Standard EditionをApache 2.0ライセンスのオープンソースとして公開します [8]。その選択は、ソース公開がシステムを安全にするという主張ではありません。精査、再利用、継続の条件を作ります。
運用インスタンスのセキュリティは、メカニズムの秘匿ではなく、秘密の保護に置かねばなりません。本格的な攻撃者は公開ソースではなく、就役中のバイナリを狙います。クローズドコードは国家級の敵対者から持続的アクセスを奪いません。主に奪うのは、防御者、監査者、同盟国の検証能力です。ソースへのアクセスは、顧客、パートナー、評価者が、自らのアプリケーションとフリートを委ねる前に基盤を調べることを可能にします。
第二の理由は速度です。露出した基盤は速く動かなければなりません。生成AIが脆弱性の発見と悪用を数時間で可能にする時代です。エコシステムのフィードバックと共通ツールから切り離されたクローズド開発は、攻撃されるより遅く修正されます。基盤を多数の当事者の常時精査下に置くことは、見つかる欠陥の数を増やし、修正までの時間を短くします。
第三の理由は商業的継続です。実績あるオープンライセンスは、知的財産と特許許諾を事前に整理し、監査を容易にし、供給者消失から顧客を守るために必要な別途取り決めを取り除きます。Penrose Tacticalが消失しても、基盤へのアクセスは一緒に消えません。コード公開は、買い手が得られる最良の継続保証です。
ソースは共通です。運用上の秘密は共通ではありません。秘密鍵、フリートデータ、周波数計画、配備トポロジー、ミッション構成は各運用者固有であり、公開基盤の外にあります。
この区別は商業上重要です。われわれは顧客にブラックボックスへのアクセス購入を求めていません。検査できる基盤のまわりで、説明責任のある産業実装を買うよう求めています。
2つのエディション、1つの基盤
公開基盤は運用システムの一部にすぎません。就役は、ソースコードだけでは担えない産業責任を生みます。
Standard Editionは検査可能なコアです。オペレーティングシステムのレシピとビルドチェーン、安定したアプリケーションおよびバイナリインターフェース、モジュール作成・公開用開発キット、x86-64およびARM64エミュレータ、広く使われる計算機向けスターターキット、メッセージバス、メッシュ、通信放射姿勢、ノード発見、商用級暗号、従来型の検証済みブート、ハードウェア抽象化、相互運用プロトコルを含むよう設計されています。実装文書は、プログラム契約を待たずにチームが基盤を移植し、最初のモジュールを作れるよう書かれています。
Program Editionはその同じコアの上に構築されます。運用就役が求めるものを加えます。認定・認証済みビルド、ML-DSAおよびML-KEMによる就役中のポスト量子暗号 [7]、A/Bインストール付き産業級の検証・計測ブート、フリート鍵インフラ、アイデンティティ連携と連立統制、ロールベースアクセス、署名済みソフトウェア部品表、産業プロビジョニング、長期サポート、就役中可観測性、認証済みモジュールストア、ミッション再生、在庫管理です。
チームは、プログラムが就役に入るとすぐにStandard EditionからProgram Editionへ移ります。同じ基盤、同じインターフェース、同じ標準です。顧客が支払うのは、汎用配管を独自境界の裏で再創造することではありません。自らのエンジニアが差別化能力に集中したまま、基盤をプログラム向けに適合させ、証拠化し、支援することです。
このモデルは、パートナーに始めやすい経路と、就役へ入る責任ある経路を与えます。公的買い手にはより良い主権の形も与えます。ソース、インスタンス、秘密の制御を保ちつつ、実際に必要な保証と支援を購入できます。
証拠は規模に先行しなければならない
2026年8月20日付の凍結製品ドシエに記録されているとおり、AGELAIOS参照プログラムは、参照リポジトリで2,800件超の自動テスト合格、ビット単位で再現可能なビルドを持つ9本の継続的インテグレーションチェーン、774件の統制仕様、ASD S1000D標準に沿い製品ベースラインに対して維持される429ページの図示ユーザー文書を報告しています。ドシエは成熟度をTRL 6から7の間と評価し、エミュレータと商用機器で実証しています。
これらの数値は、その日付の参照ベースラインを記述します。すべてのターゲットプラットフォーム、ベアラ、国家保証プロファイルがすでに認定済みだと証明するものではありません。認定は、定義された構成と意図された用途に属します。
ベースラインが提供するのは、規律ある出発点です。再現可能ビルドとは、第三者がソースからバイナリを再構築し、ハッシュを含め全く同じ結果を得ることを意味します。署名済みソフトウェア部品表は構成を露出します。自動キャンペーンは、モジュール隔離、ロールバック、劣化運用などの定義済み挙動を試験します。規格登録は、対応済み、整合、部分的、計画中、宣言された逸脱を区別します。それらの異なる状態を、包括的な適合主張へは変えません。
それが、AGELAIOSの評価の仕方です。要件を検査する。試験を再生する。ハードウェアターゲットを変える。モジュールを壊す。リンクを中断する。暗号政策に異議を唱える。戦術基盤は、観察可能な挙動によって信頼を得るべきです。
秘密保持契約なしの3段階
標準の価値は、それを使う主体の数にしかありません。コアが公開されているのは、誰でも試し、自らのハードウェアへ移植し、適合するかを自ら判断できるようにするためです。事前合意なし、秘密保持契約なし、予約なしです。
提案する経路は、製品冊子に書かれたものです。
- 公開ディストリビューションを取り、x86-64またはARM64のエミュレータでデモンストレーションを実行する。特定ハードウェアは不要です。手順はエミュレータ文書にあります。
- 基盤を自らのターゲットへ移植し、文書から最初のモジュールを書く。
- 結果を実用途と突き合わせる。その後に初めて、プログラムの話をすべきです。
信頼するしかない基盤は、基盤ではありません。検証こそが製品です。
存在理由
Penrose Tacticalが存在する理由は、欧州が、閉鎖的で垂直統合されたソフトウェアスタックから継承した時間割ではなく、運用環境が課す時間割で適応する必要があるからです。
欧州は、国家プログラムや産業競争の価値を消さずに、共通の戦術基盤を就役させられるとわれわれは考えます。むしろ、共有システム層はその競争を上へ移します。より良いセンサー、より良い自律、より良いインターフェース、より良い運用アプリケーションへです。
野心は、無人機、徘徊兵器、車両、ロボット、徒歩部隊、大型プラットフォームを横断する、オープンで相互運用可能、連立対応の欧州標準の確立を助けることです。われわれは、耐環境組み込みシステム、防衛プログラム遂行、公共調達、仕様から検証までの生成AIの規律ある利用の経験を持ち込みます。
主張は、AGELAIOSがすでにすべての統合問題を解いたということではありません。欧州が、同じ基盤問題をプログラムごとに独自発見として扱うのを止めるべきだということです。
戦場はすでに、次世代戦術システムが耐えねばならないものを示しています。われわれの仕事は、それらの要件を最初のアーキテクチャ判断から利用可能にし、ビルドごと、ターゲットごと、フリートごとに証明することです。コードは準備できています。試し、検証してください。
参考文献
- Estonian Defence Forces, “The Estonian Defence Forces have concluded their largest exercise of the year, Hedgehog 25”, 23 May 2025, https://mil.ee/en/news/the-estonian-defence-forces-have-concluded-their-largest-exercise-of-the-year-hedgehog-25/
- Militarnyi, “Ukrainian Drone Operators Defeated NATO Combat Group During Joint Exercises”, 2026, https://militarnyi.com/en/news/ukrainian-drone-operators-defeated-nato-combat-group-during-joint-exercises/
- Jack Watling and Nick Reynolds, Royal United Services Institute, “Meatgrinder: Russian Tactics in the Second Year of Its Invasion of Ukraine”, 19 May 2023, https://www.rusi.org/explore-our-research/publications/special-resources/meatgrinder-russian-tactics-second-year-its-invasion-ukraine
- Reuters, “Ukraine says Starlink’s global outage hit its military communications”, 25 July 2025, https://www.reuters.com/business/media-telecom/ukraine-says-starlinks-global-outage-hit-its-military-communications-2025-07-25/
- Council of the European Union, “Call for common actions in response to Global Satellite Navigation Systems jamming and spoofing threats”, 26 May 2025, https://data.consilium.europa.eu/doc/document/ST-9198-2025-INIT/en/pdf
- Penrose Tactical, AGELAIOS product booklet, revision 20260820, 20 August 2026, citing published analyses of adaptation cycles in Ukraine, 2025 and 2026.
- National Institute of Standards and Technology, “FIPS 203 Module-Lattice-Based Key-Encapsulation Mechanism Standard” and “FIPS 204 Module-Lattice-Based Digital Signature Standard”, 2024, https://csrc.nist.gov/pubs/fips/203/final and https://csrc.nist.gov/pubs/fips/204/final
- Apache Software Foundation, “Apache License, Version 2.0”, 2004, https://www.apache.org/licenses/LICENSE-2.0