講 演 1
⾞両制御における情報セキュリティに関する研究
主席研究員

新国 哲也

－33－

車両制御における情報セキュリティに関する研究

自動車安全研究部 主席研究員 新国 哲也

平成30年度 講演会

1

本日の内容

1. 研究の背景
2. 研究目的
3. 研究方法
4. 結果と考察
5. 国連（UNECE）・WP29の状況
6. まとめ平成30年度 講演会

2－35－

1. 研究の背景
 自動運転技術は普及段階に入りつつある 車両のコネクティビティは高まる方向にある

Over The Air

ソフトのアップデートにも通信を活用

制御に係る複雑かつ大量な情報を記録し活用したい（事故分析にも役立つ）
外部通信
自動制御操作
平成30年度 講演会

3

自動車審査や検査も新たな対応が必要となる
これまでの審査・検査対象
ECE R3 反射器

ハードウェアが主体的

ECE R6 方向指示器
ECE R16 シートベルト
ECE R13H ブレーキ

審査・検査対象の＜将来像＞
ECE R3 反射器
ECE R6 方向指示器

従来の対象

ECE R16 シートベルト
ECE R13H ブレーキ“情報”が重要な要素となる
平成30年度 講演会

4－36－2. 研究目的

自動運転技術の進展などを考慮し、車両制御の電子情報に関するセキュリティと将来的な自動車審査に係る課題を整理する
１．実車の制御情報に関する調査⇒現状把握
２．情報の管理（EDR、DSSAD）に係る要件の検討
EDR： Event Data Recorder
DSSAD:Data Storage System for Automated Driving＋ 国際基準調和への対応
平成30年度 講演会

5

3. 研究方法

１．実車の制御情報に関する調査⇒現状把握

運転支援機能の制御情報に関する調査
実車を使い操舵などを中心に、国土交通省と協力してリスクに関連する調査を実施中

平成30年度 講演会

6－37－

２．情報の管理に係る要件の検討
衝突試験で使用した車両のエアバッグECUに記録されたEDRによるデータを取得

試験車の場合、プリクラッシュデータにはAccelerator Pedal, Percentage of Engine Throttle (%)
Engine RPM (RPM), Motor RPM (RPM)
Service Brake, Brake Oil Pressure (Mpa)
Longitudinal Acceleration , VSC Sensor (m/sec^2)
Steering Input (degrees)
Shift Position, Sequential Shift Range
Cruise Control Status, Drive Mode、等が記録される

衝突安全班による実車試験の結果を用い、EDRデータと実測データの比較検証を行った
平成30年度 講演会

7

4. 結果と考察
課題：車両制御の高度化に伴うデータ量の増大
従来車両のエアバッグECUのEDRでは、容量は1k ｂyte程度

フロリダでのテスラの事故によるケーススタディ
フロリダでのテスラの事故で当局であるNTSB(National Transportation Safety Board）
が検証したデータ量は、70k ｂyte程度（「参考」に概要を記載）

情報記録容量の大幅な増大が必要
NTSBレポート及びテスラHPより

平成30年度 講演会

8－38－課題：自動車用マイクロプロセッサチップのハードウェア的制約
自動車用チップ
クロック周波数 32 MHz

Intel Core i7の冷却装置の例
クロック周波数 1GHz以上
自動車では、様々な制約からチップのみを特別に手当てするような冷却装置は用いられていない
PCに比べ非常に過酷な環境でチップが使用されている自動車の使用環境での耐性や信頼性を考慮して、車載チップの計算能力は相当制限されたものになっている“COOLING MASTERについて” – TITANホームページより

平成30年度 講演会

9

車載レベルのプロセッサの計算能力に関する調査結果
RSA暗号(鍵の長さ256 byte)※を70k byteのデータに対し実施した際の処理時間を計測した
同プロセッサでの作動限界

 60 MHｚ以上では周波数に対して処理時間の短縮が鈍くなる（頭打ち） 処理時間の大幅な短縮にはハードウェア自体を変更する必要がある※RSA暗号は総務省及び経済産業省により示された「電子政府における調達のために参照すべき暗号のリスト（CRYPTREC暗号リスト）」の「守秘」のための暗号に指定されている
平成30年度 講演会

10－39－自動運転技術の進展などを考慮し、車両制御の電子情報に関するセキュリティと将来的な自動車審査に係る課題を整理した
 自動運転に係る情報の管理には、現状の車両に比べ高い容量や処理速度が要求される（EDRのケースでは、レベル2でも現状に対し70倍程度以上の情報量）
 セキュリティなどの要点整理が必要⇒WP29でも議論が開始された
 ハードウェア上の制約も考慮する必要がある

平成30年度 講演会

11

5. 国連（UNECE）・WP29の状況

国連（UNECE）・WP29における自動車セキュリティ関連の活動状況について

平成30年度 講演会

12－40－

WP29-ITS/ADのセキュリティ・タスクフォースについて
設立の背景：
自動車の車両制御等に係る重要情報を不正利用されないようにすることが重要であり、グローバル化が進む自動車において国際的な対応が不可欠である
ITS/AD（自動運転分科会）に、車両制御情報の新たにTask Force on Cyber 不正防止が必要
security and OTA(Over TheAir) が設立され、2016年12月より活動を開始した

SafetyPrivacy

平成30年度 講演会

13

WP29におけるセキュリティタスクフォース

国際連合（ＵＮ）
欧州経済委員会（ＥＣＥ）
ITS-AD
⾃動運転分科会

⾃動⾞基準調和世界フォーラム（ＷＰ２９）

ＧＲＰＥ
排出ガ
ス・エネ
ルギー

ＧＲＥ
灯火器

ＧＲＢ
騒音

ＧＲＲＦ
ブレーキと⾛⾏装置

ＧＲＳＰ
衝突安全

ＧＲＳＧ
安全一般

セキュリティ
タスクフォース

平成30年度 講演会

14－41－

WP29-ITS/ADのセキュリティ・タスクフォースについて
タスクフォースの構成

活動期間:

2016年12月～2018年６月

共同議長:

ダーレン・ハンドレー氏(英国運輸省)新国哲也 (交通研)

セクレタリ:

ジェンス・シェンケンバーガー氏(OICA/Hyundai)

参加者:

協定加盟国（EC、ドイツ、オランダ、フランス、韓国、中国、米国など）
非政府組織(国際電気通信連合、国際自動車工業連合会、欧州自動車部品工業会など)
平成30年度 講演会
15

セキュリティ・タスクフォースの課題

セキュリティ・タスクフォースの主課題は下記の2点
1. Vehicle Security
2. Software Update(OTAを含む)

これらに関して、WP29で対応すべき方策(基準化案)をまとめ、ITS/ADに提案文書を提出する
平成30年度 講演会

16－42－

セキュリティ・タスクフォース 議論のポイント
Vehicle Security
技術的な対応策の検討
SafetyPrivacy

車両制御情報の狙い：
不正防止が必要想定される脅威に対し車両システムへの影響を低減するための緩和策（mitigation）
をWP29において共有する方策：
1. セキュアな車両システム構築するための原則(Principle)と緩和策（mitigation）をまとめ、共有する
２．実効性のある、横断的なセキュリティ基準化案を示す
平成30年度 講演会

17

セキュリティ・タスクフォースの提案内容（抜粋）
メーカはSecurity Principleを守ること

メーカは自社のシステムに関するリスクを分析し対策を取ること

リスク分析や対策に関して文書化すること
当局は、同文書によりメーカが適切な対策を実施していることを確
平成30年度 講演会
認すること
18
－43－

Software Updates
OTA(Over The Air)について

平成30年度 講演会

19

Software Update(OTA)について
無線によるSoftware Updateが可能になると…
従来は、ユーザーがディーラーなどに車を持ち込んでupdateを実施していたが、無線を使えばその必要はなくなる⇒サービスキャンペーンやリコールの実施率が上がると期待される
一方で、安全性に影響するなどの課題はないのか？
⇒過去のサービスキャンペーンやリコールを調査
Software Updateが実施されたケースで技術者による手作業が必要であったケースを抽出した
平成30年度 講演会

20
－44－

Software Update(OTA)について
いくつかのケースでは、ソフトウェアだけでなくハードウェアの点検・交換や、アクチュエータの学習作業などを行っている。

自動車では、スマートフォンなどとは異なり、OTAの利用が適さない場合がある⇒提案文書に反映済み

平成30年度 講演会

21

6. まとめ 車両の制御に係る情報の管理は、将来的な自動車審査・検査に係る課題であり、調査・研究を実施している
 セキュリティは WP29において重要なアイテムとして位置づけられ、議論が行われている WP29において国際的な連携が図れるよう提案内容のまとめに貢献する

平成30年度 講演会

22－45－

参考 フロリダでのテスラの事故によるケーススタディについて


出典：NTSB(National Transportation Safety Board）による “TECHNICAL RECONSTRUCTION GROUPCHAIRMAN’S FACTUAL REPORT”/ Williston, FL / NTSB Number: HWY16FH018
同レポートに言及のあった、当該車両のパラメータとサンプリング時間、記録時間は下記の通り
1.
2.
3.
4.
5.
6.
7.
8.



ACCの車速設定値
車速
ステアリング角度
エアバッグ作動ステータス
ブレーキランプスイッチ
フォルト・コード
モータトルクデマンド
ブレーキ指示値

サンプリング時間：100ms
記録時間：2分程度

以上の情報と、下記の仮定の条件から、同レポートで調査対象となったデータの必要記録容量を試算した

1

パラメータ

仮定した必要 byte（タイムスタンプとの合計値）

ACCの車速設定値

2 (9)

2

車速2 (9)3

ステアリング角度

2 (9)4エアバッグ作動ステータス

1 (8)

5

ブレーキランプスイッチ

1 (8)

6

フォルト・コード1 (8)7モータトルクデマンド

2 (9)

8

ブレーキ指示値2 (9)• タイムスタンプは、当該ECUが発行し、各パラメータと１対１で対応する• タイムスタンプは、年（西暦下２桁）、月、日、時、分、秒、1/100秒のデータで構成し、7byteとする• サンプル数は１パラメータ当たり1000個で試算する
必要記録容量の試算値は69 byte ×1000 個 ≒ 70k byte

平成30年度 講演会

23－46－