SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

SCDLのセキュリティサブワーキングの取り組み
名古屋大学 大学院情報学研究科
附属組込みシステム研究センター
倉地 亮

1SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

自己紹介■ 倉地 亮 (くらち りょう)• 博士(情報科学)• 所属: 名古屋大学大学院 情報学研究科
附属組込みシステム研究センター 特任准教授■ 現所属にて何をしているのか？
• リアルタイムネットワークのスケジューリング解析手法• 車載制御システムの設計技術•〃のセキュリティ強化技術■ 学外での活動• 自動車技術会 サイバーセキュリティ講座委員会 委員長• 自動車技術会 教育会議 委員• SCDL セキュリティサブワーキング 座長• J-Auto-ISAC 学術会員
• 電子情報通信学会 情報セキュリティ研究会(ISEC) 専門委員
• SIP 自動走行システムの社会的影響に関する検討委員会 委員• モビリティイノベーション連絡会議 個人会員
• Trusted Computing Group (TCG) Invited Expert• AUTOSAR WP-SEC, FT-ST member など

2

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

アジェンダ■ 1. セキュリティサブワーキングの活動紹介• 研究背景• 活動概要• 現状の成果物■ 2. セーフティとサイバーセキュリティのエンジニアリングの課題• 課題1. 前提となる専門性/知識の違い• 課題2. セーフティとセキュリティの開発プロセスの統合/連携■ 3. 現在の議論• 議論1. 機能安全とサイバーセキュリティの連携プロセス• 議論2. Concept Phaseで取り扱うべき抽象度(粒度)3SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

背景．自動車のサイバーセキュリティ強化が要求■ 研究者らにより自動車のセキュリティ上の脅威が指摘■ 実際に販売される車両にもセキュリティ強化技術が適用されつつある■ 現在では一部車両の型式認証にサイバーセキュリティ強化が必須

https://spectrum.ieee.org/jeep-hacking-101

脅威事例（2010～）

適用されつつある技術の例1. メッセージ認証
AUTOSAR version R21-11 Requirements on
Module Secure Onboard Communication

国際基準 UN-R155（サイバーセキュリティ)適用されつつある技術の例2. 侵入検知システム

国際基準 UN-R156（ソフトウェアップデート)

セキュリティ強化(2019～)

国際基準と法制度化（2022～） 4

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

背景．自動車のサイバーセキュリティ強化が要求■ 2016年1月にSAEからCybersecurity Guidebook for Cyber-Physicalvehicle Systems (J3061)が発行■ 2021年8月にISO/SAE 21434正式発行■ 2021年7月 Automotive SPICE for Cybersecurityが発行

https://www.iso.org/standard/70918.html

https://vdachina.com.cn/upload/default/20210316/4b7fa0169a65d1812962b169f2464969.pdf

脅威をどのように扱うか論証していくことが重要になっている

5

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

1. セキュリティサブワーキングの活動紹介■ 背景• 機能安全でのSCDLの活用は進められている• 一方で，「サイバーセキュリティでSCDLは活用できるか？」という課題が存在

サイバーセキュリティの専門家は実装の話ばかりで嚙み合わない

機能安全の専門家

機能安全の専門家に相談しても話が難しい

サイバーセキュリティの専門家

うまく連携するにはどうしたら良いか（＝SCDLが役に立たないか）

6

SCN-SG Safety Concept Notation Study Group

1. セキュリティサブワーキングの活動紹介

Safety Concept Description Language■ 活動目的• SCDLの成果物をサイバーセキュリティ適用について検討を進めている■ 活動概要• 昨年度の成果であるSAFECOMP2020の論文を基に，セキュリティエンジニアリ
ングにおけるSCDLの課題点を洗い出すため，脅威分析を実施中• 現状でも色々な課題が出てきており，SCDLを活用しセーフティとセキュリティの違いや課題点について整理中■ 活動体制• 月1回のWeb会議で実施(次回 12/21(水) 13:00～)

7

SCN-SG Safety Concept Notation Study Group

1. セキュリティサブワーキングの活動紹介

Safety Concept Description Language■ 参加者(2021年9月10日時点): 38人(昨年，今年度共に増加傾向)（一財）日本自動車研究所（株）アトリエ（株）今仙電機製作所
ＤＮＶ ＧＬビジネス・アシュアランス・ジャパン（株）
おおた開発効率化プロジェクト
おがたコンサルティング
オムロン（株）ガイオ・テクノロジー（株）（株）アドヴィックス（株）構造計画研究所（株）三菱総合研究所
産業技術総合研究所スズキ（株）
住友電気工業（株）
名古屋大学
日本大学
ベクター・ジャパン（株）
マレリ（株）
三菱電機（株）
仙台高等専門学校
ＤＮＶ ＧＬビジネス・アシュアランス・ジャパン（株）（株）チェンジビジョン

ガイオ・テクノロジー（株）（株）シーエーブイテクノロジーズ

伊藤 寛
福田 和良
水口 大知
山内 保尚
小澤 弘正
小笠原 豊和
緒方 健
廣部 直樹
田中 伸明
河野 文昭
太田 洋二郎
市村 健太朗
東道 徹也
石黒 正揮
三科 雄介
寶木 和夫
村松 稔久
左近 透
倉地 亮
松野 裕
中村 伸彦
佐々木 喜好
友永 一生
岡本 圭史
高田 聖
山下 修平
平野 薫
松並 勝
岩永 寿来
猪狩 秀夫
岡田 利一
小野 嘉翔
三宮 雅人
肥田野 文之大西 建児
光山 栄太
荻野（Web担当）
田口 研治

8

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

2. セーフティとサイバーセキュリティのエンジニアリングの課題■ 課題1. 前提となる専門性/知識/アプローチの違い• 機能安全 : 安全工学
• サイバーセキュリティ : 情報セキュリティ，暗号数学，暗号実装➡ 機能安全とサイバーセキュリティの専門家の連携方法が必要■ 課題2. セーフティとセキュリティの開発プロセスの統合/連携• 開発プロセスの連携についても議論が存在• ただし，従来の議論は理想的な人員や体制，開発期間に応じた理想的なモデル➡ 現実的なモデルを検討する必要あり

以降では，上記課題2点についてそれぞれ概説する

9

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

2. セーフティとサイバーセキュリティのエンジニアリングの課題■ 課題1. 前提となる専門性/知識/アプローチの違い■ 1. 機能安全• 機能的な工夫（安全を確保する機能）により極力安全を確保• 信頼性が重視➡ 安全性を確保するための機能を実装■ 2. 情報セキュリティ• 情報の機密性，完全性および可用性の維持• さらに真正性，責任追跡性，否認防止，信頼性などの特性の維持を含める• 機密性(Confidentiality)― アクセスに認可された者だけが情報にアクセスできること• 完全性(Integrity)― 情報及び処理方法が正確であること及び完全であること• 可用性(Ａｖａｉｌａｂｉｌｉｔｙ)― 認可された利用者が，必要なときに情報及び関連する資産にアクセスできること➡ システムの弱い点(≒脆弱性)を保護する機能を実装
2つの異なる分野の専門家が開発時にすり合わせる必要性あり

10

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

2. セーフティとサイバーセキュリティのエンジニアリングの課題■ 課題1. 前提となる専門性/知識/アプローチの違い• 機能安全の文化: 保証ケースを重視― 上流から保証ケースを決定したい• サイバーセキュリティの文化: ベストプラクティスの文化― 動作検証/テストにより脆弱性がないことを保証したい― Security by design(近年，上流設計から考慮することも重要視されている)

機能安全

Product Development: System Level
System/Feature Testing

System Design

Integration &Testing

Test Phase Verification

Product Development: Software Level
Verification to SW
Cybersecurity Reqs

Specification of SWReqs.
SW Architectural
DesignDesign Phase
Verification
SW Testing / Test
Phase Verification

SW Unit Design &Implementation

SW Integration &Cybersecurity Testing
SW UnitTesting11

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

2. セーフティとサイバーセキュリティのエンジニアリングの課題■ 専門性の違い/考え方のギャップをどのように埋めるか？
➡ “知識/経験が重要”➡ お互いを知ることが大切．そして，擦り合わせも必要■ 機能安全とサイバーセキュリティの重要度は対等

サイバーセキュリティの専門家は実装の話ばかりで嚙み合わない

互いに良い連携方法を探してみることが重要

機能安全の専門家に相談しても話が難しい➡ 機能安全を知る必要がある➡ サイバーセキュリティを知る必要がある

サイバーセキュリティを理解

機能安全を理解

機能安全の専門家

サイバーセキュリティの専門家

セキュリティSWGでは機能安全の専門家が脅威分析を実施

12

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

2. セーフティとサイバーセキュリティのエンジニアリングの課題■ 課題2. セーフティとセキュリティの開発プロセスの統合/連携• セーフティクリティカルシステムはサイバーセキュリティクリティカルシステムとして扱われる• 一方，エンジニアリングプロセスは，両者をうまくテーラリングすることが必要

Cybersecurity-Critical
Systems

保護資産がセーフティ
ゴール
SystemSafetyEngineering
Process
Elements

SafetyCritical
Systems
保護資産がセーフティゴール以外(例えば，プライバシー，設計情報など)

SystemCybersecurity
Engineering
Process
Elements

SAE J3061より出典

2つの異なる分野の専門家が開発時にすり合わせる必要性あり

13

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

2. セーフティとサイバーセキュリティのエンジニアリングの課題■ 課題2. セーフティとセキュリティの開発プロセスの統合/連携■ 1. 機能安全（ISO26262）• Hazard Analysis and Risk Assessment (HARA) を実施― Safety Goals, Functional Safety Concept が導出■ 2.サイバーセキュリティ(ISO/SAE 21434)• Threat Analysis and Risk Assessment (TARA) を実施― Cybersecurity Goals, Cybersecurity Concept が導出
サイバーセキュリティ
機能安全
Item definition

TARAHARA
Safety Goal

※一部，流用可能？

Cybersecurity Goal

Functional Safety Concept※一部，流用可能？

Cybersecurity Concept

Safety Measure※一部，競合？

Cybersecurity Measure

14

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

2. セーフティとサイバーセキュリティのエンジニアリングの課題■ 開発プロセスの統合/連携をどのように進めるか？
➡ 前提の違いを理解する
SafetyFinancial

OperationalPrivacy

機能安全◎
(詳細化)

△(範囲外)△(範囲外)

×(対象範囲外)

サイバーセキュリティ△〇(詳細化は困難) (対象範囲)〇(対象範囲)〇(対象範囲)➡ 成果物の相互活用が重要
機能安全プロセスの成果物をサイバーセキュリティでも利用してみる（逆の場合も同様）

SCDLがコミュニケーションツールになるのではないかと仮説

15

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

セキュリティSWGにおける過去の成果■ 事例1. 機能安全の成果物を利用し脅威分析を実施➡ 評価対象システムとして“（安全機構が入った）スマホでパーク“を使用➡ 安全機構はセキュリティ強化策として有効か？
■ 結論• 安全機構が役に立つ場合もあるが，セキュリティ強化策がないと不十分― 攻撃者がなりすまし/多重故障を引き起こし安全ゴールを侵害可能■ 取り組み• セキュリティ強化策の導出• 安全分析へのフィードバック①安全分析を実施②機能安全の成果物③脅威分析を実施

16

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

現在の議論■ 議論1. 機能安全とサイバーセキュリティの連携プロセス• 安全機構（セキュリティ強化策）への影響や干渉がないか？

■ 議論2. Concept Phaseで取り扱うべき抽象度(粒度)• SCDLの記法も拡張が必要か？

①安全分析
を実施

②機能安全の成果物⑤機能安全へフィードバック③脅威分析を実施④強化策を決定

図1. 強化策を導入した場合の事例

セキュリティ要求が安全要求に影響を与える可能性がある

17

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

議論1. 機能安全とサイバーセキュリティの連携プロセス■ 機能安全（ISO26262）側から提供される成果物• セーフティゴール，機能安全コンセプト，セーフティメジャー

■ サイバーセキュリティ(ISO/SAE 21434）側から提供される成果物• サイバーセキュリティゴール，サイバーセキュリティコンセプト，サイバーセキュリティメジャ
サイバーセキュリティ(ISO/SAE 21434)

機能安全（ISO26262）
Item definition

TARA

HARA
Safety Goal

※一部，流用可能？

Cybersecurity Goal

Functional Safety Concept※一部，流用可能？

Cybersecurity Concept

Safety Measure※一部，競合？

Cybersecurity Measure

どういう連携方法が考えられるか
ユースケースを定義しよう

HARA: Hazard Analysis and Risk assessment
TARA: Threat Analysis and Risk assessment

18

SCN-SG Safety Concept Notation Study Group

Safety Concept Description Language

議論2. Concept Phaseで取り扱うべき抽象度(粒度)■ 抽象的に議論したい機能安全 vs 具体的に議論したいサイバーセキュリティ• 落としどころが必要ではないか？
• 適切な抽象度を議論中― 脅威や強化策の抽象度を議論
表1. Concept Phaseで取り扱うべき抽象度(粒度)分類
論理的高い（抽象的）システムの抽象度

具体的抽象度機能安全のConceptPhase

サイバーセキュリティのConcept
Phase

サービス，機能〇〇

システム/サブシステム〇〇

デバイス/ECU

×△(※1)

コンポーネント×△(※1)

インタフェース

×

△(※1)

プロトコル

×

△(※1)

低い（具体的）(※1) 脆弱性やCountermeasureと関連どういう抽象度で取り込むか？

脅威分析（＝セキュリティの性質）

・脆弱性
・攻撃方法・強化技術
多層防御➡ Defense in depth

脆弱性（＝機器に）

19

SCN-SG Safety Concept Notation Study Group

3. 最後にSafety Concept Description Language■ セキュリティSWGでは，SCDLのサイバーセキュリティでの活用法を検討■ 脅威分析事例を通じて，安全分析と比較し違いの明確化を議論中➡ 自動車のサイバーセキュリティにおけるベストプラクティスを目指す■ 皆様へのお願い事項• 是非，セキュリティに興味がある方はセキュリティSWGにもご参加下さい．
• たまに顔を出す程度のオブザーバ参加も歓迎いたします

本内容に関するお問い合わせはどうぞお気軽に．

scdlsec@scn-sg.com
20