自動車業界は、タイヤを交換するだけでなく、その中核を変革しています。私たちは、機械を製造する時代から、継続的なソフトウェアアップデート、クラウド統合、AI主導のインテリジェンスに依存する、コネクテッドなデジタルエコシステムを構築する時代へと移行しています。ソフトウェア・デファインド・ビークル（SDV）はマーケティング用語のように聞こえるかもしれませんが、従来の自動車アーキテクチャの技術的限界に対する実用的な対応策となっています。この変化が加速するにつれて、SDVのサイバーセキュリティは後回しの検討事項から、信頼の基盤へと変わっていきます。
この新たな現実において、SDVのサイバーセキュリティと機能安全は密接に結びついています。現代の車両は、分散型コンピュータシステムにますます似てきています。大量のセンサーデータを処理し、クラウドプラットフォームと通信し、リアルタイムで意思決定を行います。この複雑さが高まるにつれて、セキュリティに対する期待も高まります。ノートパソコンのソフトウェアバグは単なる厄介な問題ですが、車両のソフトウェア欠陥は身体的傷害を引き起こし、さらには生命を脅かすことさえあります。この変化により、安全性、セキュリティ、およびAIの動作を別々の分野ではなく、相互に関連する責任として扱うエンジニアリングアプローチが求められます。
SDVにおけるサイバーセキュリティの脅威と課題
ソフトウェア・デファインド・ビークル（SDV）は、技術的に高度でありながら、まったく新しい種類のSDVサイバー脅威にさらされる環境で運用されています。車両が「走るサーバー」となるにつれて、攻撃対象となる領域が劇的に拡大します。コネクティビティモジュール、モバイルアプリ、ワイヤレスアップデート、車載ネットワーク、クラウドサービスがすべて潜在的な侵入ポイントとなり得るのです。つまり、ソフトウェア・デファインド・ビークルのセキュリティは、コンプライアンスのためだけでなく、ドライバーを保護し、SDVエコシステム全体に対する信頼を維持するためにも、今やエンジニアリングにおける最重要課題となっています。
リスクは理論的なものではなく、現実的なものです。テレマティクスユニット、キーレスエントリーシステム、インフォテインメントプラットフォームに対するサイバー攻撃により、脆弱性が車両のさまざまなドメインにどのように波及するかが明らかになっています。攻撃者はもはや物理的なアクセスを必要とせず、脆弱性をリモートで悪用できるようになりました。SDVは、スプーフィング、改ざん、サービス拒否攻撃、安全上重要な機能への不正アクセスなど、より広範かつよりダイナミックな脅威に直面しています。
このような環境では、SDVのセキュリティを確保するには、露呈した脆弱性に対する事後対応的なアプローチだけでは不十分です。障害モードを予測し、その影響を制限するアーキテクチャ、プロセス、ガバナンスの設計が求められます。自動車メーカーは、継続的なソフトウェアデリバリーを支援しながら、実際の条件下でパフォーマンス、セキュリティ、信頼性のバランスを取る必要があります。課題は、攻撃を防止することだけでなく、侵害されたシステムが物理的な損害を引き起こすことがないようにすることでもあります。これまでの安全性の概念とSDVのセキュリティだけではもはや不十分であり、信頼を構築する必要があります。
これにより、次のような重要な疑問が生じます。安全性、セキュリティ、およびAIロジックが1台の車両内で融合する際、エンジニアはこの信頼をどのように構築するのでしょうか？
混乱の解消：ゾーンアーキテクチャへの移行
数十年にわたり、OEMは単に別の電子ボックスを追加することで、新しい機能を追加してきました。シートヒーターのようなシンプルな機能であっても、追加のECU、追加の配線、そしてそれを管理するためのさらなる独立したサブシステムが必要でした。この「もう1つボックスを追加する」という考え方が長年にわたって続いた結果、数百ものコントローラーと数キロにもおよぶワイヤハーネスを備えた車両が誕生しました。その結果、レガシーITシステムのような状態になります。つまり、機能はしますが、限界まで負荷がかかっているのです。
この従来の設計アプローチには、主に4つの制約が生じました。
- 物理的な複雑さ：配線が過剰であるため、製造が困難になり、車両の重量が増加し、スケーラビリティが制限されます。
- データサイロ：システムが独立して動作するため、効率的なデータフローと連携した意思決定が妨げられます。
- 柔軟性の欠如：車両が工場を出ると、これらのシステムの更新やアップグレードは極めて高額になります。
- コストの上昇：追加のコントローラーと配線により、開発コストと部品表コストが大幅に増加します。
これらの障壁を克服するため、業界はゾーンアーキテクチャへの移行を進めています。機能を多数の弱いコントローラーに分散させるのではなく、ロジックと演算能力を、ゾーンゲートウェイによってサポートされる複数のハイパフォーマンスコンピューターに統合します。これにより、電気設計が簡素化され、ハードウェアの冗長性が軽減され、車両のライフサイクルを通じてソフトウェアをはるかに容易に進化させることが可能になります。
車両のゾーンアーキテクチャの例
ゾーンアーキテクチャは、単なる物理的な再編成ではありません。これは、ソフトウェア・デファインド・ビークル（SDV）を保護するために必要な基盤を形成し、自動車メーカーがアップデートを効率化し、一貫したサイバーセキュリティポリシーを適用し、ドメインを横断してよりインテリジェントにデータを管理できるようにします。また、高度なSDVサイバーセキュリティの専門知識を、孤立したモジュールに分散させるのではなく、一貫して適用できる環境も構築されます。
中央集約化のパラドックス
中央集約化はエンジニアリングを効率化しますが、新たな懸念をもたらします。すなわち、コンピューティングユニットの数が少なくなり、より強力になることで、潜在的な単一障害点が生じる可能性があるのです。中央コントローラーに重大な障害が発生した場合、車両の大部分に影響が及ぶ可能性があります。このことから、考え方の転換が必要になります。すなわち、安全性とセキュリティの間の壁を取り払わなければなりません。
サイバーセキュリティの専門家と機能安全のエンジニアは、これまで多くの場合、独立して作業してきましたが、現在、ソフトウェア・デファインド・ビークルを保護するためには、密接な連携が求められています。1つのインシデントが、安全性とセキュリティの両方に同時に影響を及ぼす可能性があります。GPSスプーフィング攻撃を例に考えてみましょう。
- セキュリティの観点からは、データの整合性が損なわれます。
- 安全性の観点からは、車両の位置情報の誤りを引き起こす物理的な危険となり、衝突事故につながる可能性があります。
この問題に対処するため、業界では現在、TARA（脅威分析およびリスクアセスメント、ISO/SAE 21434）とHARA（ハザード分析およびリスクアセスメント、ISO 26262）を組み合わせています。ASIL（自動車安全インテグリティレベル）要件は、GPS信号の暗号化認証の実施や、IMUおよび独立したソースを使用した冗長性の強化など、サイバーセキュリティ対策にますます影響を及ぼしています。
今日、私たちは単に「これはハッキングされる可能性があるか？」と問うだけではありません。私たちはこう問いかけます。「これがハッキングされた場合、実際に損害を引き起こす可能性があるか？」 SDVにおいて、ファイアウォールはデータを保護するだけでなく、人命をも守っています。この違いが示すのは、SDVのセキュリティが今や安全を実現するための基盤となっている理由であり、また、堅牢なAIサイバーセキュリティなしに安全を達成できない理由です。
AIのブラックボックスを制御する
そして、人工知能があります。AIによってさらに複雑になります。予測可能なルールベースのソフトウェアとは異なり、AIモデルは確率に基づいて動作します。これらは予想されるシナリオにはうまく対応しますが、特に状況に人間の行動が関与する場合、学習領域外では失敗する可能性があります。そして、これがまさに普通の人の行動なのです。本質的に予測不可能であり、AIシステムが常に予期できるものではありません。この予測不可能性が、認証を困難にしています。
ここで登場するのが、AIベースの機能を管理するための指針を提供する新しいISO/PAS 8800規格です。この規格では、以下の点が強調されています。
- 代表性と品質を確保するための、トレーニングデータの厳格な評価。
- 自動化機能が安全に動作できるタイミングと場所を記述した、明確に定義された運用設計領域（ODD）。
- AIシステムが不確実になった場合に制御を引き継ぐ、決定論的フォールバックアルゴリズムなどのアーキテクチャ上の安全対策。
このアプローチでは、AIが安全であるためには完璧である必要がないという点を認識しています。むしろ、AIを特定の条件下で故障する可能性のあるコンポーネントと見なし、介入可能なシステムを設計することで安全性は確保されます。運転の教習員が運転免許取得中の生徒の隣に座っている状況を想像してみてください。生徒が運転しますが、教習員は別のブレーキペダルを備えており、生徒が危険な動きをすればハンドルを握ります。目標は、自動化された意思決定が常に透明性を保ち、制御可能であり、あらゆる運転シナリオにおいて安全要件に合致していることを確実にすることです。
多層防御：実践的なセキュリティ戦略
完璧なソフトウェアはなく、故障の可能性がないハードウェアプラットフォームもありません。これを踏まえると、私たちはどうすれば安心して眠れるのでしょうか？こうした現実を緩和するため、SDVは複数の保護層を適用する多層防御戦略を採用しています。この多層アプローチにより、たとえ1つのコンポーネントが侵害されたとしても、追加の制御により攻撃者が影響を拡大できないようにします。私たちは、次のような複数の水密区画を備えた潜水艦のように自動車を設計しています。
- 仮想化：タイプ1ハイパーバイザーは、安全上重要な機能（ブレーキなど）と重要でないアプリケーション（インフォテインメントなど）が同じコンピューティングプラットフォームを共有している場合でも、それらを分離することで「干渉からの自由」を実現します。
- ネットワーク保護：ゾーンゲートウェイは内部ファイアウォールとして機能し、ディープパケットインスペクション（DPI）を使用して、攻撃が車両内で横方向に拡散するのを阻止します。
- システムレベルのレジリエンス：車両がL3+の自動運転へと進化するにつれて、フェイルセーフ戦略だけではもはや不十分です。代わりに、フェイルオペレーショナル設計が必要となります。つまり、内部に障害が発生した後でも、システムが安全に動作を継続しなければなりません。これには多くの場合、異なるハードウェアパス上で実行される異なるソフトウェア実装による、異種冗長性が含まれます。
これらの対策を組み合わせることで、ソフトウェア・デファインド・ビークル（SDV）のセキュリティを強化し、脆弱性の影響を抑制することができます。信頼性は、すべてのリスクを排除することによってではなく、個々の障害が連鎖的に大惨事につながらないようにすることによって達成されます。
結論
ソフトウェア・デファインド・ビークルへの移行により、自動車エンジニアリングのあり方が変わりつつあります。これは単なるダッシュボードのアップデートをはるかに超えるものです。機能安全、SDVサイバーセキュリティ、AIガバナンス、継続的なソフトウェアデリバリーを1つの統一された戦略に統合することが求められます。アーキテクチャを強化し、SDVのサイバーセキュリティの脅威に対処し、システムのレジリエンスを高めることで、自動車メーカーはライフサイクル全体を通じてより安全で、よりセキュアで、より信頼性の高い車両を製造できます。
業界が進化し続ける中、焦点は明確なままです。すなわち、透明性の高いエンジニアリング、強固なサイバーセキュリティ、そしてすべてのレイヤーで安全を最優先する設計哲学を通じて信頼を獲得する車両を構築することです。安全性、セキュリティ、およびインテリジェントシステムを効果的に組み合わせることで、よりスマートな自動車を構築するだけでなく、すべての走行において私たちが寄せる信頼に値する車両を構築することができるのです。
