【ルネサス技術コラム】いまさら聞けない機能安全・セキュリティ（SoC編）車載システム開発で押さえておきたい基礎知識
自動車開発で「機能安全」と「セキュリティ」が重要になっている理由
近年、自動車は単なる移動手段ではなく、クラウドやネットワークと接続する「コネクテッドカー」へと進化しています。その一方で、サイバー攻撃への対策も欠かせないものとなりました。
さらに、欧州では「UN-R155」により、適切なセキュリティ対策が行われていない車両は販売できないルールが導入されています。現在では、セキュリティ対策を行うことが、安全な車両開発の前提となっています。
こうした背景から、自動運転やAI技術の普及によって高度化・複雑化する車載システムでは、「安全に設計すること」と「攻撃から守ること」の両方を考慮した開発が求められています。
今回は、機能安全・セキュリティの基本的な考え方とともに、ルネサスの車載向けSoC「R-Car Gen4」の機能や各種サポートについて紹介します。
車載システム開発を支えるR-Car Gen4
「R-Car Gen4」は、ルネサスの車載向けSoCシリーズの中核となる製品です。
高性能なマルチコアCPUやGPU、画像処理やAI推論向けアクセラレータ、高速ネットワーク、多様なI/Oを備えています。
また、前世代と比べて安全診断機能やセキュリティ機能が強化されており、機能安全・セキュリティを考慮した車載システムの設計・開発を支援する各種機能が搭載されています。
「機能安全」とは故障しても安全を確保するための考え方
機能安全とは、「故障は起こる」という前提に立ち、故障が発生しても人に危険を及ぼさないよう、安全な状態へ移行させる考え方です。
例えば、道路と線路を立体交差にして接触そのものをなくす考え方は「本質安全」です。一方、踏切に警報機や遮断機を設け、安全を確保する考え方が「機能安全」にあたります。
自動車でも同様に、飛び出しや出会い頭の事故を車両だけで完全になくすことは難しいため、車載カメラや画像認識と連携した自動ブレーキなど、さまざまな機能を組み合わせて安全性を確保しています。
ISO26262とASILが機能安全設計の基本
車載システムの機能安全では、国際規格「ISO26262」に沿った開発が行われます。
ISO26262では、安全度水準を示す指標として「ASIL（Automotive Safety Integrity Level）」が定義されています。
まず車両レベルで危険分析（HARA）を実施し、安全目標とASILを決定します。ASILはAからDまでの4段階で、Dが最も厳しい安全要求となります。
また、安全要求をハードウェアとソフトウェアへ適切に割り当て、設計・実装・検証を通じてトレーサビリティを維持することが重要です。設計段階ごとの試験やドキュメントを残すことが、機能安全認証に向けた重要な要素となります。
機能安全設計はV字モデルで進める
機能安全設計では、「V字モデル」と呼ばれる設計フローが一般的に用いられます。
まず危険分析を行い、安全目標（Safety Goal）を設定します。その後、安全要求をハードウェアとソフトウェアへ分配し、それぞれ設計・実装を進めます。
実装後は、単体テスト、結合テスト、最終検証を段階的に実施し、最初に定めた安全目標を満たしていることを確認します。
機能安全は開発の後半で追加するものではなく、企画・設計の初期段階から検討することが重要です。
R-Car Gen4が備える機能安全機能
R-Car Gen4は、ASIL Dをターゲットとした各種ハードウェア機能とソフトウェア支援を提供しています。
ハードウェアでは、ECCによるメモリエラーの検出・訂正、Power-On Self Test（POST）による自己診断、冗長構成（Hardware Redundancy）、IPMMUによるアクセス保護など、多数のSafety Mechanisms（安全機構）を搭載しています。
また、ソフトウェア面でも、安全対応ドライバや診断ライブラリなどを提供しており、ハードウェアとソフトウェアの両面から機能安全設計を支援します。
こうした機能を適切に活用することで、車載システムに求められる高い安全性の確保に貢献します。
コネクテッドカー時代に欠かせないセキュリティ対策
機能安全が「故障への備え」であるのに対し、セキュリティは「意図的な攻撃への備え」です。
近年の自動車は、クラウドとの接続やOTA（Over-The-Air）によるソフトウェア更新など、外部ネットワークとの接続が一般的になりました。そのため、サイバー攻撃によって車両が影響を受けるリスクが高まっています。
セキュリティ上の問題は情報漏えいだけでなく、安全にも直結する課題となっています。
車載セキュリティにも国際ルールがある
車載セキュリティにも、機能安全と同様に国際的なルールがあります。
代表的なものが、国連法規の「UN-R155」と、国際規格の「ISO/SAE 21434」です。
UN-R155は、自動車メーカーに対してサイバーセキュリティマネジメントシステム（CSMS）の構築を求める法規です。一方、ISO/SAE 21434は、その実現に向けた具体的な開発プロセスや手法を示した国際規格となっています。
車載システムの開発では、車両のライフサイクル全体を通じてセキュリティを確保することが求められています。
EVITAが示すセキュリティ設計の考え方
セキュリティ設計の指針として紹介されたのが、「EVITA」です。
EVITAは、自動車のサイバーセキュリティに関するガイドラインで、求められるセキュリティレベルに応じて「Full」「Medium」「Light」の3つのグレードが定義されています。
最も高いレベルとなる「EVITA Full」は、多くの通信が集中するゲートウェイなど、システム全体の信頼性に関わる部分を対象としています。
ルネサスのR-Carシリーズは、このEVITA Fullのユースケースを想定した製品となっており、車載システムに求められる高いセキュリティ要件に対応しています。
HSMとSHEが高度なセキュリティを支える
セキュリティ技術として「HSM（Hardware Security Module）」と「SHE（Secure Hardware Extensions）」もあります。
SHEは鍵管理を中心とした軽量なセキュリティ機能であるのに対し、HSMはより高度な暗号処理や鍵管理に対応できるハードウェアモジュールです。
必要とされるセキュリティレベルに応じて使い分けられますが、EVITA Fullへの対応にはHSMが必要となります。
R-Carシリーズでは、こうした高度なセキュリティ機能を備えることで、車載システムのセキュリティ対策を支援しています。
ルネサスでは、用途に応じた車載向け製品を提供しています。
R-Car（SoC）は、自動運転や高度な車載システム向けに設計されており、HSMを搭載し、EVITA Fullを想定したセキュリティ機能を備えています。
また、RH850（MCU）はEVITA Medium、RL78/F24・RL78/F23（MCU）はEVITA Lightを想定しており、用途に応じて適切なセキュリティレベルを選択できる製品ラインアップとなっています。
さらにR-Car Gen4では、Root of Trust（RoT）を起点としたChain of Trustによるセキュアブート、HSMや暗号アクセラレータ、セキュアストレージなどのセキュリティ機能を搭載し、安全なシステム構築を支援します。
まとめ
自動車の高機能化・コネクテッド化が進む現在、機能安全とセキュリティは切り離して考えることのできない重要な要素となっています。
機能安全では、故障が発生しても安全を確保するための設計が求められ、セキュリティでは外部からの攻撃に備えるための対策が必要です。
ルネサスのR-Car Gen4は、機能安全・セキュリティの両面で各種ハードウェア機能やソフトウェア支援、サポートプログラムを提供しており、車載システム開発を支援します。
これからの車載システム開発では、企画・設計の初期段階から機能安全とセキュリティの両方を考慮し、適切な設計・検証を進めることが重要です。