Blog
2024年3月26日
自動車電装とはE/E(Electrical&Electronic)、自動車の電気及び電子装備のことを示します。各種モーターやセンサー、制御装置、操作スイッチ、ブラックボックス、カメラを含む電気系部品や装備がこれに該当します。SDVの本格化により、自動車電装分野は業界内でもこれから伸びる産業として注目されています。そしてE/Eアーキテクチャとは、自動車内部の様々な装置を管理するために搭載されている各種制御機やケーブルなどの設計構造として定義されています。つまり、車両に搭載されているE/E装置をつなぐシステムのことを意味します。今回は、E/Eアーキテクチャの発展プロセスについて取り上げながら、次世代E/Eアーキテクチャが今後どのように変化していくかについて解説します。 分散型アーキテクチャ（Distributed Architecture）とは 昔の車は、ただ移動するための手段に過ぎませんでした。車両に搭載されるコンピューティング要素と言っても、モーターの制御を含む車両動作関連のECU（Electronic Control Unit）程度であり、この時の自動車は動力機関や安全性などによって車両の性能が決定されました。当時は、車両に搭載されるECUの数が少なかったため、一つの機能を提供する低い性能のECUを複数搭載することで、車両製造のコストを下げるとともに、エンジン制御、ブレーキ制御など、機能ごとに最適化されたECUを配備することができました。 しかし、自動車の電子化に伴い、自動車の快適性や利便性を向上させるための様々な機能が搭載されるようになりました。例えば、運転者に情報や娯楽を提供するインフォテイメント機能や温熱シートなどが開発され、これらの機能を実行するECUが必要となり、自動車メーカーは必要とされるECUを追加し続けることで車両アーキテクチャを構成していきました。 出典：ECUの平均搭載数の増加推移 上のグラフを見ると、自動車の機能が複雑になるにつれて車両に搭載されるECUの数がますます増えているのがわかります。実際、高級車の場合には100個以上のECUが搭載されるともいわれています。このように複数のECUを用途に応じて車内各所に配置したアーキテクチャを「分散型アーキテクチャ（Distributed Architecture）」といいます。 図１．分散型アーキテクチャ 出展：https://www.hyundai-kefico.com/en/future-tech/modular-architecture/content.do 分散型アーキテクチャでは図1のように、車両全体において、複数のECUが配置されている構成となっているのがわかります。 ECUの配置における基準は特になく、機能が追加されるたびにその機能を提供するECUを搭載していくため、このような複雑な構成を見せています。 分散型アーキテクチャの問題点としては、必要に応じてECUを搭載していくため、重複した機能を持つECUも存在すれば、不要な機能がそのまま残っている場合もあるということが挙げられます。こうなると、特定機能をアップデートする際には、当該機能と関連しているECUがどこに配置されているのかを見つけ出し、機能をいちいち比較しなければなりません。このアーキテクチャは車両機能の拡張性に限界があり、用途も限定的ということから、後述するドメイン型やゾーン型アーキテクチャへの移行が求められるようになりました。 ドメイン型アーキテクチャ（Domain Architecture）とは 従来の分散型アーキテクチャの課題を解決するために新しく提示されたのが「ドメイン型アーキテクチャ（Domain Architecture）」です。 図２．ドメイン型アーキテクチャ 出典：https://www.hyundai-kefico.com/en/future-tech/modular-architecture/content.do ドメイン型アーキテクチャでは、自動車の機能に基づいて、複数の関連機能が一つのドメインコントロールに統合されます。一般的にパワートレイン系、ボディ系、シャシ系、インフォテイメント系といった複数の機能単位（ドメイン）で分類されます。これらのドメインの制御を1つのユニットで統合することで、異なるサブシステム間の通信とデータ交換を最適化する、ドメイン制御ユニット（DCU）による集中型アーキテクチャが可能になります。ドメイン型アーキテクチャは、分散型アーキテクチャと比べ機能アップデートが容易になることから、現在多くの車両で採用されています。しかし、自動運転の到来が加速している現在、ドメインにフォーカスした従来のアーキテクチャは限界を迎えつつあります。その理由としては、2つほどが挙げられます。 1つ目に、自動運転技術の発展に伴い、車両に搭載すべき装置が爆発的に増加していることです。自動運転機能を実装するための装置は増える一方で、その装置が機能単位で縛られることによって物理的な限界が生じるようになりました。例えば、特定のドメインを管理するDCUが車両後部に配置されているとしましょう。そして、このドメインに属する装置が車両の前部に搭載されているとしたら、機能単位で分類するドメイン型アーキテクチャでは、どうしても前部の装置と後部のDCUをつなぐためのケーブルが必要になります。このようなケースが多くなると、車両のケーブルの重量と長さが耐えられないほど増えてしまいます。実際、車両ケーブルの重量および長さは車両の単価、燃費、重量に影響を与えるため、自動車設計時に非常に重要な要素となります。 2つ目に、自動運転を可能にするためには、自動車に搭載されている全ての装置間の情報共有が必須であるということです。ドメイン型アーキテクチャでは、車両装置を機能に基づいて分類しているため、機能のアップデートには最適であるものの、他のドメインに属している装置との情報共有に問題が発生する恐れがあります。 […]
2024年3月13日
自動運転車、CASEを実現するための技術が高度化するにつれて、車両に搭載されるECUもさらに高度化しています。 それに伴い、ソフトウェアも複雑化しており、ソフトウェアによるエラーやバグも多く発生している状況です。そのため、高度化された技術水準に合わせて徹底した検証が必要になります。 しかし、複雑なソフトウェアが搭載されたECUを実際の駆動環境と同じ環境を構築してテストすることは多くのリソースが必要になるため、簡単にできることではありません。この課題を解決するために、仮想環境でテストを行う「HILS」への関心が高まっています。今回は、HILSとは何か、どのように活用できるのかについて詳しく解説します。 HILSとは？ HILS(Hardware in the Loop Simulation)とは、開発された製品の機能を検証するテスト方法であり、製品の駆動環境と同じ条件を仮想環境で構築し、シミュレーションを通じて製品がまともに機能するかどうかを検証する方法です。複雑に構成されたソフトウェアやECUをテストするために、実際の車両レベルのテスト環境を構成しなくても安全性を検証できる効率的な方法です。電気装置・機械装置の代わりに仮想環境にモデル化した制御対象（プラントモデル）とテスト対象（ECU）を連結させ、製品が実際の環境と同じ条件で機能するかどうかをシミュレーションで検証できます。 HILS導入の背景 一つの機能を提供するためには多くのECUが連携して作動する必要があります。例えば、車両の自動温度調節機能を提供するためには、温度・エアコン・窓・ヒーターなどを担当するECUが連携する必要があります。これより複雑な機能を提供するためには、たくさんのECUの連携が必要になります。したがって、車両に何らかの機能を追加する際には、その機能に直接または間接的に関連するECUのソフトウェアテストと検証が必要です。ソフトウェアの欠陥は製品開発段階で検証することが難しく、それで発生する問題も予測できない場合も多いため、徹底的なテストがさらに重要なことになります。また、新たな機能を車両でテストすることはとても危険なことですので、試験用車両や模型車両を製作してテストすることが一般的でした。しかし、組込みソフトウェアの増加や搭載されるECUの数が急激に増加したため、テスト環境の構築に使われるリソースが増えてしまいました。 これらの課題（ソフトウェア検証の難しさ、リソースの最適化、ECU開発の効率化）を解決するためにHILSテストが活用されるようになりました。 HILSのメリット HILSの重要な目的は開発コストを抑え、開発期間を短縮することです。テスト車両を製作しなくても、仮想環境に作成しておいた制御対象を用いてECUのソフトウェアテストができるため、資金と時間を要するテスト車両の製作数を減らし、テストベンチで過ごす時間を大幅に削減できます。これは自動車のテストである断線、センサーの故障、車両衝突などの危険な試験を行う場合にもメリットとなります。また、制御アルゴリズムの開発において、制御対象となる実際の部品が存在しないなどの場合にも効果的です。 時間やスペースの制約がなく、必要なときにいつでもテストを行うことができるのもメリットです。 HILSテストの環境について HILSは、実際のECUを組み合わせてプロトタイプを製作する代わりに、シミュレーションを通じてテストを行います。このため、HILSテスト環境は1)Test Input Generator、2)ターゲットECU、3)HILSで構成されます。Test Input Generatorはテストのための入力値を生成して入力する役割を担い、これにFuzzerなどの入力器が含まれます。ターゲットECUは機能をテストしたい対象ECUを意味します。HILSは実際の車両の環境を数学的にモデル化したもので、実機のアクチュエータを接続してテストすることもできます。 上の図は、AutocryptのHILSテスト環境です。HILSに対象ECUを接続した状態で、Fuzzerを利用してテスト入力値を注入すると、HILSを通じて出力値を受け取ることでターゲットECUのテスト過程を確認できます。このように対象ECUの機能に関連するすべてのECUを実際に構成しなくてもHILS環境でシミュレーションできます。 […]
2024年2月21日
近年、自動車のリコールが世界的規模に拡大されています。2023年12月、アメリカでテスラ（※1）が高度運転支援システムの「オートパイロット」の機能に潜在的リスクが発見されたとして、過去最多の200万台の大規模リコールを発表しました。また2023年2月、トヨタ自動車（※2）は衝突被害軽減ブレーキが作動しない恐れがあるとして、約19万台のリコールを国土交通省に報告しました。これらのリコールの特徴は、ソフトウェアの不具合で発生したリコールという点です。 自動車の機能をソフトウェアが左右するといっても過言ではない時代になっています。自動車が走るコンピュータに変化するにつれて、リコールの傾向も変化しています。ソフトウェア更新で対応可能になり、売店に入庫したりディーラーに連絡することなく、ユーザが自分で対応可能になっていることから、これまでのハードウェアの不具合による自動車のリコールとは明らかに違います。今回は、自動車リコール制度というものを説明しながら、SDV技術の発展で発生するソフトウェアリコールについて詳しく掘り下げていきたいと思います。 ※1出典： https://www3.nhk.or.jp/news/html/20231214/k10014287821000.html ※2出典： https://toyota.jp/recall/2023/0216_2.html 自動車のリコールの変化 自動車のリコール制度は自動車の設計・製作上の不具合による事故や、故障、公害の未然防止を図るため、自動車メーカー等が不具合のあった型式の自動車に対して改善措置を行う制度です。（※3） ※3出典：政府広報オンライン：https://www.gov-online.go.jp/useful/article/201202/1.html 自動車安全基準の不具合が見つかったら自動車メーカが自主的にリコールを行う場合もあれば、国土交通省（アメリカの場合は米道路交通安全局（NHTSA））のような交通安全をつかさどる機関からの命令によるリコールが実施される場合もあります。もともとは、ハードウェアの問題によるリコールが多かったです。矢野経済研究所が調査したレポート（※4）によると、2020年の世界のリコールの比率はハードウェアのリコールが60％で、ソフトウェアのリコールが40％程度でした。それが、ソフトウェア中心のSDVへ進むにつれ、2025年にはソフトウェアのリコールが60～70％まで拡大し、ハードウェアを上回ることが予測されています。 実際、テスラのリコールの90％以上はソフトウェアのアップデートで簡単に処理できるという調査結果もあります。 ※4出典： 「2020年版 車載用ソフトウェア市場分析 VOL.1 分析編 ～CASEで変わるクルマの開発・製造とソフトウェア市場2030年予測～」 ソフトウェアリコールの流れ ソフトウェアのリコールは、OTA（Over the Air）によるソフトウェア更新と同様で、無線ネットワークによるソフトウェアやファームウェアアップデートでリコールを実施できます。OTAによるソフトウェア更新を可能にするためには、自動車に4Gや5G、またはWi-Fiのような通信方式に対応するTCU（テレマティクスコントロールユニット）や、走行データや車両データを保存するメモリーが組み込まなければなりません。ソフトウェアリコールの際、自動車メーカーはクラウド基盤サーバーからソフトウェアパッチを車両に配布し、車両はそのパッチを自動的にダウンロードおよびインストールを行います。そしてパッチが正常にインストールされると、車両はOEMのバックエンドに更新状況を報告し、ソフトウェアリコールの一連の作業は終了になります。 ソフトウェアリコールのメリット OTA技術によるソフトウェア更新は自動車メーカーと車両の所有者の両方に効率性と便利さをもたらしています。ソフトウェア更新で車載システムのエラーが簡単に修正できるため、自動車メーカーはリコール作業を担当していた自動車ディーラーにおけるメンテナンスと人件費の削減ができ、車両の所有者は販売店やディーラーに連絡することなく自らリコール対応できるので費用や時間を軽減できます。 解決すべきソフトウェアリコールの課題 […]
2024年2月8日
これからの自動車はスマートフォンやパソコンと同様に、車両の内部に搭載された通信機器によって車と車、クルマとデバイス、クルマとインフラなどがネットワークを介して連結されると予測されています。外部接続に対応する自動車は完全なる自動運転が可能になり、社会的には交通事故の減少、渋滞の緩和、運転手不足の解消などのメリットがあり、人には運転操作から解放されて自由に過ごすことが可能になるメリットがあります。多くのメリットを持つCASE時代のクルマを開発するために、最も重要だと言われているのがソフトウェアです。世界の自動車産業の潮流と同じく、日本の自動車産業もソフトウェアに対する姿勢が変わりつつあります。その姿勢が確認できたところは、2024年1月24日~26日、東京ビッグサイトで「第16回 オートモーティブワールド」-クルマの先端技術展でした。 日本を代表する産業の1つとして言われている自動車産業に関する先端技術分野の世界最大の展示会であるため、世界中から注目を集めました。また、今回の展示会でソフトウェアデファインドビークル（以下SDV）に焦点を当てたSDV EXPOが初開催されるなど、最新動向も反映した展示会でした。その結果、出展社数は前回より300社が増えた約1,700社が出展、来場者数も約7.8万人に上りました。弊社も世界最大級の展示会に出展し、国際法規を守りながら安全なクルマ作りに必要なサイバーセキュリティ技術やセキュリティテストツールを紹介することができました。 では、これからの自動車産業において最も重要になると予測されているSDVに必要なサイバーセキュリティを紹介した現場をお届けしたいと思います。 高まるサイバーセキュリティの重要性 SDVにとって最も重要なのはソフトウェアですが、それに次いで同様に重要な分野があります。それはサイバーセキュリティです。UNECE WP29で採択された国際法規「UN-R155」により、自動車メーカーは車両のライフサイクル全体をカバーするサイバーセキュリティを構築する（CSMS）必要があり、開発されたソフトウェアが安全であるかを検証することが求められています。そのため、ファジングテストを利用したソフトウェアやECUの脆弱性検知、OSS管理ツールを利用したSBOM作成などが業界で広く使用されています。日本の自動車業界では、このような分析ツールやサービスの導入があまり進んでいないのが現状です。当ブースにご来場いただいた自動車業界に携わっている多くの方々も組み込みソフトウェアの脆弱性検知やサイバー攻撃を防御する対策に関する悩みを抱えていました。 最近のソフトウェア開発にはOSSも多く使われているため、脆弱性だけでなく、ライセンスに違反があるかどうかを確認することも重要になっています。しかし、ソフトウェアに使用されたOSSをライセンス違反まで管理することは難しく、適用されたセキュリティの安全性を検証することも相当な時間が必要な作業です。弊社の「AutoCrypt Security Analyzer」と「AutoCrypt Security Fuzzer」はこのような現場の悩み・課題を解決するために開発されたセキュリティテストツールです。自動化された管理機能を提供していますので、効率的なセキュリティ検証環境の構築をサポートします。 SDVフォーラムに登壇し、サイバーセキュリティと国際法規について解説 今回の展示会では、ただサービスやソリューションを紹介するだけではなく、SDVフォーラムに登壇してSDVに必要なサイバーセキュリティと国際法規に関するセミナーを行いました。主催者側から準備してくれました50席が満席になり、セミナーの後半には通路に立ってセミナーを聞いている方もいましたので、日本もSDVへの関心が高まっている一方で、自動車セキュリティや国際法規に関する多くの懸念を抱えている企業様がまだ多いと実感しました。 上記にも述べましたが、SDVもUN-R155の影響を受けるため、適切なセキュリティ対策を構築する必要があります。弊社は車種に合わせてサイバーセキュリティを企画、構築、テスト及び検証など、国際法規が求めている要件を満たすために必要なサービスを一気通貫で提供しているため、企業様のニーズに応じたサイバーセキュリティを構築することが可能です。車両ライフサイクル全体にわたる必要なサイバーセキュリティ構築ソリューションはこちらをご覧ください。 最後に インタネットを介して繋がっているコネクティッド・カー、いつでも車のソフトウェアをOTA（Over The Air）でアップデートできるSDV、常にあらゆるものと通信を行っているため便利だと言えますが、その分ハッカーから狙われやすくなります。サイバー脅威からクルマを守るために必要なセキュリティ対策は、今まで述べてきた脆弱性の検知・管理するツールだけでなく、持続的に自動車のセキュリティ状況を把握できるシステム（車両SoC）や車両ネットワークへ侵入する不正アクセスを検知・遮断する（IDSとIPS）セキュリティ対策など、考慮すべきポイントがたくさんがあります。セキュリティ対策の構築に慣れていない企業様は「どこからサイバーセキュリティを適用すればいいか、構築したセキュリティが国際法規の基準を満たしているか不安」という不安や悩みを抱えていると思われます。 弊社は2007年から17年間、自動車のサイバーセキュリティを研究・開発してきた弊社はSDVに必要なサービスも提供しています。脆弱性検知・管理するツール以外にも、車載ネットワーク・ECUへの侵入監視・防止システム「AutoCrypt IDS」、 セキュアなV2X通信をサポートするソリューション「AutoCrypt V2X-EE」、PKI基盤のセキュリティ証明書管理システム「AutoCrypt V2X-PKI」など、車両に必要なサイバーセキュリティは全てそろっており、お悩み事や不安なことを解消できるサービスやコンサルティングを提供できる豊富な経験を持っています。 幸いなことに、初めての出展にもかかわらず、多くの方々が弊社のブースに立ち寄り、自動車のサイバーセキュリティに関心を示しました。来場客の中ではOEM、サプライヤー企業様が多かったので、サイバーセキュリティに対する認識が高まっていると実感しました。第16回 […]
2024年1月23日
自動運転では、運転に必要な「認知」「判断」「操作」のプロセスを、運転者ではなくシステムが全て代替して行います。安全かつ高度な自動運転を実現するために、システムは、１）自動運転車に搭載されたセンサーによるデータ収集、２）通信ネットワークによる周辺のデータ収集３）サーバとの通信によるデータ通信などで、安全に運転するために必要な各種情報を取得（認知）し、その情報をもとに総合的な判断しなければなりません。 カメラやLiDAR、レーダーなどのセンサーのみに頼ってしまうと、センサーに不具合が発生しているのに、システムがそれに気づかずにそのまま運転してしまい、大きな交通事故につながってしまうリスクが高まります。したがって、自動運転の高度化及び普及のためには、V2X（Vehicle to Everything）及びサーバとの通信を活用した情報共有は必須です。 道路を走る自動車は位置、速度などの情報を含むV2Xメッセージを周辺車両及び交通インフラに送信します。受信する側の自動車は、センサーから得られる情報と受信されたV2Xメッセージを組み合わせ、すでに存在する環境のマッピングを充実させたり、追加情報を拡張しながら、周辺の環境を明確に認知することができます。このように、V2X通信に参加しているエンティティの間で共有できる情報を増やすことで、交通事故のリスクを最小限に抑え、自動運転を更に高度化することができるでしょう。これが「協調型自動運転」の真の目的です。 出展：AUTONOMOUS GROUND VEHICLE SECURITY GUIDE: Transportation Systems Sector 誤まった情報拡散のリスク 前述通り、より高度な自動運転を実現させるためには、単一の情報から判断するのではなく、センサーによるデータ情報と周囲の車両やインフラから収集した様々なデータを組み合わせて周辺の状況を判断しなければなりません。 V2X通信では、PKIベースのセキュリティ証明書システム（SCMS：Security Credential Management System）を実装することで、信頼できるシステムから発行された証明書であることを検証し、その証明書を持っている車両の信頼性を保証するという仕組みを取っています。つまり、SCMSを通じてV2Xメッセージの整合性と機密性を保証する仕組みを取っているため、非常に信頼性の高い通信が可能であるといえます。 しかし、そもそもV2Xメッセージに含まれている情報が誤った情報であったらどうなるのでしょうか。システムの信頼性は確保されていても、車両がサイバー攻撃を受けたり、不具合を起こして間違った情報を送信してしまう可能性もあります。 信頼できると判断した車両から受信した情報が誤った情報であった場合、V2X通信に関わる全てのエンティティに大きな混乱を招くことになります。例えば、ある車両に搭載されているGPSセンサーが不具合を起こし、間違った位置情報が周辺の車両に送信されてしまえば、大きな事故につながる可能性も十分あります。 問題は、これだけにとどまりません。C-ITS（協調型高度道路交通システム）では車両における各種情報を個人情報として分類しており、匿名証明書を使って通信することでプライバシー保護を実現する仕組みとなっています。また、同じ証明証を長期にわたって使用することを禁止し、証明書の有効期限を短くすることで、車両の特定及び追跡を防止します。攻撃者が匿名性の高いC-ITSの仕組みを逆手にとって攻撃してくると、追跡が不可能になるため、交通システム全体に深刻な問題を引き起こすことになります。 V2X通信における異常行動の検知プロセス このように、V2X通信において、間違った情報を共有することを「異常行動（Misbehavior）」と言います。異常行動には、大きく2種類に分類できます。 […]
2024年1月8日
V字モデルについてご存知でしょうか。主にソフトウェアの開発やテストにおいて用いられる一般的な手法として知られていますが、近年自動車に搭載されるソフトウェアが増加しており、自動車開発の際ソフトウェアの開発プロセスの一つであるV字モデルの採用が加速しています。今回は、ソフトウェアプロセスの一つである「V字モデル」についてご紹介します。 ソフトウェアプロセスとは？ ソフトウェアがますます複雑になり、 開発期間や工数がかかり費用も増加する反面、ソフトウェアの品質における信頼性が低下するという状態を「ソフトウェア危機」と呼びます。「ソフトウェア危機」という言葉は、NATO（北大西洋条約機構）科学委員会主催の「NATOソフトウェアエンジニアリング・カンファレンス」で、ミュンヘン工科大学教授のフリードリッヒ・L・バウアー（Friedrich Ludwig Bauer）によって初めて使われたもので、このソフトウェア危機を克服するために、登場下概念が「ソフトウェアプロセス」です。 ソフトウェアプロセスとは、ソフトウェアの欠陥が原因で発生しうる事故を減らし、ソフトウェアの危機を回避を実現できるソフトウェアエンジニアリング手法の一つです。ソフトウェアシステムの開発に必要な活動や関連情報を段階別に分けて、ソフトウェアの開発、配布、運用のそれぞれのプロセスで実施すべき活動を定義したもので、ソフトウェアプロセスに沿って開発することになれば、修正や再開発の可能性が減ることになることから、ソフトウェアの開発時によく採用されています。 （ソフトウェアプロセス: https://www.itmedia.co.jp/im/articles/1109/09/news135.html） V字モデルとは？ (出典：V字モデル、ウィキペディア) V字モデルとは、システム開発の開始から終了までのプロセスのことで、ウォーターフォールモデル（要求定義‐ソフトウェア設計‐ソフトウェア実装‐テスト‐メンテナンス）の進化版ともいわれ、アルファベットV字のように見えることからV字モデルといわれます。 V字モデルの左側は「開発工程」で、V字の下の方へ工程が進み、ソースコードの作成まで済んだら開発工程は終了になります。その後、V字の右側であるテスト工程に移動していきます。V字モデルでは、ソフトウェア開発の各段階において、その上位の成果物や情報を文書化しながらプロセスを進めていきます。 (出典：ASPICE公式HP) 自動車エンジニアリング分野で広く採用される開発プロセス評価モデルである「A-SPICE」は、 典型的なV字開発モデルに基づいています。要求定義（左側）と受け入れテスト（右側）、基本設計（左側）と結合テスト（右側）、詳細設計（左側）と単体テスト（右側）がそれぞれ対応します。つまり開発工程に対応しテスト工程が決められており、実施するテストの内容が明確になります。要求定義の内容を受け入れテストで、基本設計の内容を結合テストで、詳細設計の内容を単体テストでそれぞれ確認でき、各テストで開発工程で実施した内容が正しく実装できているかを検証することができます。その上、V字モデルは、ソフトウェアの開発初期の段階からテスト計画が同時に作成されるため、迅速にプロセスを経ることができ、順次開発成果物を検証・確認することでエラーを減らし、ソフトウェアの品質向上にもつながります。 （出展: https://www.autocrypt.jp/sdv/） WP29の参照先となるISO/SAE 21434では、OEMやサプライヤー向けに製品開発サイクルでV字モデルを適用させる形で高度のセキュリティを実装し、持続的なサイバーセキュリティを実現することを要求しています。アウトクリプトは、車載ソフトウェアの品質向上を実現するために、このV字モデルに基づいてCSMSコンサルティングを行っております。ソフトウェアプロセスの各段階に必要とされる製品やソリューション、テストなどを提供し、車両型式認証に求められるコンプライアンス遵守をサポートします。 アウトクリプトが提供するCSMSコンサルティングの詳細は、こちらのページからご覧いただけます。 https://www.autocrypt.jp/sdv/ 原文: […]
2023年11月7日
近年の自動車産業において、UN-R155とISO/SAE 21434の理解は欠かすことはできません。しかしこれらの重要性を認識していても、UN-R155とISO/SAE 21434の違いや関係を明確には説明ができない、という場合が多いのではないでしょうか。本記事ではUN-R155とISO/SAE 21434の関係とISO/SAE 21434に従った自動車開発について説明していきます。 WP29の登場とUN-R155について UN-R155はWP29が定めた法的規制となるため、UN-R155とWP29、それぞれの用語についての理解は欠かせません。 まずWP29（World Forum for the harmonization of vehicle regulations）は、日本語では自動車基準世界調和フォーラムと呼ばれている組織です。国際連合欧州経済委員会（UNECE）の下部組織であり、自動車の安全基準などを国際的に調和させる役割を担っています。WP29の主な活動としては「1958年協定」と「1998年協定」がありますが、日本は貿易などで国際化する必要性から、それぞれの協定に1998年から加入しています。次にUN-R155は自動車のサイバーセキュリティについての要求事項が記載されている、WP29が定めた法的基準となります。CSMSだけでなく、適切な開発体制、プロセスで製品開発が行われたことが確認できるようなドキュメントの必要性についても言及されています。 ISO/SAE 21434について ではISO/SAE 21434とはどのような国際標準規格なのでしょうか。ISO/SAE 21434では主にはCSMS構築など、自動車のサイバーセキュリティに関連する要求事項が明記されています。代表的なものとしては以下のような内容が明記されています。 リスク管理手法：リスク管理を行うために必要な手法が定義されています。 開発プロセス：開発のみならず企画から必要なサイバーセキュリティ活動の要件が定義されています。 生産、運用、廃棄：製品の生産から運用、そして廃棄までに必要なサイバーセキュリティ活動の要件が定義されています。 サイバーセキュリティ管理：ライフサイクルに関するサイバーセキュリティ管理の要件、組織全体のルールなどが定義されています。 […]
2023年10月18日
自動車のサイバーセキュリティに関するソフトウェアは、開発の段階だけでなく、その後安全に更新していくことも重要な課題となります。では自動車のサイバーセキュリティとしてはどのような基準に沿ってソフトウェアの更新を考える必要があるのでしょうか。本記事ではSUMSの重要性について紹介していきます。 SUMS(Software Update Management System）とは何か？ SUMS（Software Update Management System）とは、World Forum for the harmonization of vehicle regulations（WP.29）にて策定されたUN-R156に含まれる国際的な法規となります。SUMSでは自動車のソフトウェア更新をセキュアに実施するための要件が仕様として提示されています。内容としてはソフトウェアの更新が失敗した際の車両の安全性や、法規に関連した文書の管理、エビデンスの作成など様々です。スマートフォンやパソコンではソフトウェアやシステムの更新が失敗した場合、そのことが影響してデバイスそのものが動作しなくなる場合があります。同じことが自動車の車載ソフトウェアで起きた場合、大きな事故につながってしまうリスクがあります。このため自動車ではスマートフォンやパソコン以上にソフトウェアの更新が失敗した場合の安全を確保することは重要です。ソフトウェア更新は大まかにプログラムの入手（ダウンロード）、展開、インストールのどこで失敗しているのかによって、車両そのものに与える影響が異なります。単純にプログラムの入手の問題であれば車両への影響はそこまで大きくはないことが予想できます。しかしインストールの処理の途中で起きた問題なら、車両などシステムへの動作も懸念しなければなりません。トラブルシューティングも複雑になりがちです。このためソフトウェアの更新についてはある程度どこでどのような失敗があれば、どのような影響があるのかを評価し、安全性を確保することが必要となります。このような安全な更新のプロセス、エビデンスを残すことも求められているのです。 ソフトウェア更新が安全に行われないことで起きる問題 ではSUMSで要求されているような事項を満たすことができず、ソフトウェアが安全に更新されなければどのような問題が起きるのでしょうか。このことを理解するためにはアップデートシステムへの攻撃にはどのようなものがあるのかを知る必要があります。それは通信やソフトウェアの脆弱性をつく攻撃や、悪意のあるアップデートのインストールなどです。このような攻撃が成功したら、遠隔操作によるロック解除や個人情報の流出など、ビジネスインパクトが大きな出来事に結びついてしまう可能性があります。通常ソフトウェアのバージョンアップ/更新では、機能の追加/更新だけでなく、発見された脆弱性や既知となった問題への修正が含まれます。仮に既知の問題や脆弱性の対策ができなければ、そういった状態は攻撃者にとって恰好の的となります。 次に近年の車載ソフトウェアには、オープンソースソフトウェア（OSS)が利用されていることが少なくありません。オープンソースソフトウェアは無償で利用できるため、コストを抑えながら開発効率を高めるメリットはあります。しかしソースコードが公開された状態であるため、攻撃コードが開発されて実際に攻撃されてしまうリスクがあります。そしてオープンソースソフトウェア自体の脆弱性が公開されることもあるため、脆弱性情報の収集と影響評価を正しく行わなければ、ソフトウェアの安全性を脅かす要因にもなりかねません。 またソフトウェアを正常に更新することができず、追加機能をユーザに提供できなければ、品質低下や機会損失につながるリスクがあります。このためSUMSに従いソフトウェアを安全に更新するための体制を整えることは、自動車メーカーや関連する企業にとっても重要度が高いテーマだといえるでしょう。 SUMSで要求されている内容 では次にSUMS（Software Update […]
2023年10月2日
これからの自動車は組み込みソフトウェア、高度化されたECUによってインタネット、他の車両との通信、リアルタイムで交通情報の受信などの機能が可能になると予測されています。あらゆるものと繋がっている自動車は利便性が高いものの、侵入経路として利用される可能性もあるので、適切なサイバーセキュリティ対策を講じておく必要があります。したがって、自動車のサイバーセキュリティは製造/開発段階での実装が必要なのは当然だと言えます。しかし、製造/開発段階での実装では不十分です。サイバー攻撃は時間の経過により新しい手法が生まれているため、変化していく脅威に対応するためには、持続的なセキュリティアップデートが必要になります。そこで、本記事では出荷後のサイバーセキュリティ対策の要となるvSOC、PSIRTの重要性について詳しく解説します。 出荷後の自動車にサイバーセキュリティは必要？ サイバーセキュリティ法規として「UN-R155」がありますが、これは車両のサイバーセキュリティに関する国連規制です。国連欧州経済委員会/UNECEの下部組織であるWP.29/World Forum for harmonization of vehicle regulations party 29によって採択されていますが、日本もこの法規制への対応を決定しており準拠するための法規制が進められています。いつからUN-R155が適用されるかというと、それでは段階的に行われることが決まっています。それは以下のとおりです。 ・2022年7月 OTA対応の新型車 ・2024年1月 OTA未対応の新型車 ・2024年7月 OTA対応の継続生産車 ・2026年5月 OTA未対応の継続生産者 OTAとはインターネット回線を経由してソフトウェアをアップデートする技術ですが、この技術に対応しているかどうか、そして新型車なのか以前から生産されていた継続生産車なのかどうかによって適用時期が異なります。WP.29で採択されたもう一つの法規「UN-R156」はソフトウェアアップデートに関する法規となります。そして国土交通省が公開している文書でも、これらへの対応のため、規制の改正を行っていくことが明文化されています。 4-3．サイバーセキュリティ及びプログラム等改変システムに係る基準（UN-R155 及び UN-R156）https://www.mlit.go.jp/common/001373651.pdf また国際標準規格「ISO／SAE 21434」では、自動車において必要となるサイバーセキュリティ管理・活動などが要求事項として規定されています。自動車出荷後の運用だけでなく廃車に至るまで、自動車のライフサイクル全体がサイバーセキュリティ観点で要求されているのです。他に車載ソフトウェアの開発プロセスのフレームワークを定めたものとしては、Automotive SPICEがありますが、これは車載ソフトウェアの品質確保目的としており、ISO/IEC 15504に準拠したプロセスモデルとなります。このように関連する規制を見ていくと自動車のサイバーセキュリティ対策は国際的及び国内の法規制から見ても、開発段階だけでなく出荷後も対策することが必要となっているのです。 UN-R155、ISO/SAE […]
