－217－－1－

付録1：図3.2-1 保証全体像

名称

図式要素

STRIDE

STAMP/STPA-sec

STAMP/STPA

Context : C_1

説明

主張や説明が達成できることを示す論拠．

を示す．

まだ具体化できていない主張や説明であることを示す．

主張や説明が必要となる理由としての外部情報

す．下位の主張や説明に分解される．

主張の達成を導くために必要となる説明を示や説明に分かれる．

システムが達成すべき性質を示す．下位の主張識別したHCF一覧

Evidence：E_1

妥当である

るハザード要因の洗い出しはセーフティとセキュリティ観点によ

Goal：G_2※以降GSNの表記はこの凡例に準ずるものとする．

証跡

未定義要素

コンテキスト(前提)

戦略(説明)

ゴール(主張)凡例※図表番号は本文の見出し番号に準ずる．

ティを統一

ASIL基準でセーフティセキュリ

Context : C_2

プロセス毎に確認する

Strategy：S_1

設計は妥当である

Evidence：E_3
対策内容妥当性確認の

GSN

対策

アシュアランスケース

HCFのASIL分析結果とGoal：G_4
対策内容は妥当である

Context : C_3

Evidence：E_2

スク分析は妥当である点によるハザード要因のリ

セーフティとセキュリティ観

Goal：G_3「自動運転」に対するセーフティ&セキュリティ

Goal：G_1

付録2：図3.2-2

コントロールストラクチャに対するCAごとのガイドワードの割り当て

コントローラと制御対象プロセスを示したコントロールループ図と，割り当てたガイドワードを示す．
(1)～(11)がHCF導出のためのガイドワードを示す． （内容はHCFの表を参照）
ここでは部品の劣化を対象外として，「(4)コンポーネントの不具合．経年による変化」の割り当ては省略している．
STRIDEは該当箇所が多いため，コントロールループ図には記載していない．

CA1のガイドワードの割り当て(1)
CA1 ブレーキを踏む

運転手

CA2のガイドワードの割り当て
自動運転不能警告
自動運転解除報告(7)(8)(2)(3)(5)(6)

ブレーキペダル

CA3 自動運転解除指示

人工知能
モジュール

CA2 減速指示
ブレーキシステム

CA1 ブレーキを踏む

クラウド

ローカル
ダイナミックマップ

車体

CA4 減速制御

(11)
自動車

車速

車体

CA4 減速制御

自動車

車速
外部環境

(9),(10),(11)は他のCAで確認するため，ここでは省略

ブレーキペダルへのフィードバックがないため，(5),(6)はなし

CA3のガイドワードの割り当て
CA1のガイドワードの割り当て

CA4のガイドワードの割り当て

(10)

運転手

(1)
(2)(3)

ブレーキペダル

自動運転不能警告(1)
自動運転解除報告

CA2 減速指示
ブレーキ
システム

(9)

(11)

車体

CA4 減速制御

車速

運転手

ペダル

(1)

CA3 自動運転解除指示

CA4 減速制御

センシング
モジュール

車速

(10)

図の凡例
クラウド

コントロー
ラ
制御対象
プロセス

自動車

車速

ローカル
ダイナミックマップ

車速，外部環境情報

(11)

自動車

外部環境

ブレーキシステムへのフィードバックがないため，(5),(6)はなし
自動車

車速

センシング
モジュール

CA5 速度制御

ローカル

人工知能
モジュール

クラウド

センシング
(1)
ダイナミックマップ
モジュール
CA5 速度制御

外部環境

運転手
コントローラ=運転手

車体

CA2 減速指示(7)(8)

制御対象プロセス=自動車 と考えると(9) →クラウド(1)(1) ローカル
CA3 自動運転解除指示
ブレーキ
人工知能 (2)(3)(10) →自動車への外乱
ダイナミックマップ
ペダル
モジュール
CA2 減速指示 (11) →なし(9)(5)(6) 車速，外部環境情報となるが、他で見るので、省略する(7)(8)(11)クラウド

CA4 減速制御

CA5 速度制御

自動運転不能警告
自動運転解除報告

自動運転不能警告
自動運転解除報告

車速，外部環境情報
車体

自動車

CA5のガイドワードの割り当て

ブレーキ
システム

運転手

CA3 自動運転解除指示

人工知能
ブレーキ
(2)(3)(9)
モジュール
システム

CA2 減速指示

ブレーキペダルへのフィードバックがないため，(5),(6)はなし
車体
CA4 減速制御

(10)

ブレーキ
(5)(6)

車速，外部環境情報

ブレーキ
外部環境
システム

CA1 ブレーキを踏む

自動運転不能警告
自動運転解除報告(9) ローカル(2)(3)
ダイナミックマップ

ブレーキ
センシング
モジュール
ペダル

CA5 速度制御

CA1 ブレーキを踏む

クラウド

CA1 ブレーキを踏む

CA3 自動運転解除指示
人工知能(7)(8)(7)(8)
モジュール

ローカル
ダイナミックマップ

センシング
モジュール

外部環境

CA1 ブレーキを踏む

クラウド

車速，外部環境情報(9)
CA5 速度制御

ブレーキ
システム

(10)

人工知能
モジュール

CA2 減速指示(7)(8)

車速，外部環境情報

CA3 自動運転解除指示

ブレーキ
ペダル

(2)(3)

センシング
モジュール

CA5 速度制御

運転手(1)

自動運転不能警告
自動運転解除報告

外部環境

－218－
－2－

－219－－3－

Not Providing

UCAの抽出結果
Providing causes hazard

Too early / Too late

Stop too soon / Applying too long

運転手のブレーキを踏む時間が長すぎる場合，特に問題なし(UCA5-N) 障害物を検知した際に人工知能モジュール (UCA5-P) 障害物を検知した際に人工知能モジュールから速度制御（減速）が与えられない場合，外部環 から誤った速度制御(小さすぎる減速)がある場合，外境と衝突する
部環境と衝突する(SC1-1)違反(SC1-1)違反CA5 速度制御

速度制御(減速)が早すぎる場合，特に問題なし

速度制御(減速)が長すぎる場合，特に問題なし(UCA5-T) 障害物を検知した際に人工知能モジュール (UCA4-S) 障害物を検知した際に人工知能モジュールからの速度制御(減速)が遅すぎる場合，外部環境と衝 からの速度制御(減速)が短すぎる場合，外部環境と衝突する
突する(SC1-1)違反(SC1-1)違反(UCA4-N) ブレーキペダルからの減速指示，または人 (UCA4-P) ブレーキペダルからの減速指示，または人 (UCA4-T) ブレーキペダルからの減速指示，または人工 (UCA4-S) ブレーキペダルからの減速指示，または人
工知能モジュールからの速度制御を受けたのに，車体へ 工知能モジュールからの速度制御を受けた際に，車体へ 知能モジュールからの速度制御を受けた際に， 車体へ 工知能モジュールからの速度制御を受けた際に， 車体
減速制御を行わないと，外部環境と衝突するの減速制御が想定よりも弱いと外部環境と衝突する
減速制御が遅れた場合，外部環境と衝突するへ減速制御の適用が想定よりも短い場合，外部環境と(SC1-1)違反(SC1-1)違反(SC1-1)違反
衝突する(SC1-1)違反
減速制御が想定よりも強い場合は問題なし
減速制御が早すぎる場合，特に問題なし
減速制御の適用が長過ぎる場合，特に問題なし

CA4 減速制御(UCA3-T) 運転手が手動運転に切り替えたにもかかわ (UCA3-S)
らず，自動運転の解除が遅れ，自動運転が継続し， N/A
指示が競合して外部環境と衝突する
自動運転停止命令はあるか無いかの物なので，長すぎ(SC1-1)違反
る/短すぎる適用はなし
自動運転の早すぎる解除はProviding causes
hazardに該当する(UCA2-T) 運転手がブレーキペダルを踏んだタイミングに (UCA2-S) 運転手がブレーキペダルを踏み続けているの
対し減速指示が遅すぎる場合，外部環境と衝突する に減速指示の解除が早すぎる場合，外部環境と衝突する(SC1-1)違反(SC1-1)違反
ブレーキペダルが弱く踏まれているのに減速指示が大きい ブレーキペダルが踏まれたタイミングに対し減速指示が早ブレーキペダルが離されたのに減速指示が長すぎる場場合およびブレーキペダルが踏まれていないのに減速指 すぎる場合，特に問題なし
合，特に問題なし
示を出す場合，特に問題なし(UCA2-N) 運転手がブレーキペダルを踏んでいるのに減 (UCA2-P) 運転手がブレーキペダルを強く踏んでいるのに減速指示が小さいと，外部環境と衝突する
速指示を出さないと，外部環境と衝突する(SC1-1)違反(SC1-2)違反CA3 自動運転解除指 (UCA3-N) 運転手が手動運転に切り替えたにもかかわ (UCA3-P) 運転手が自動運転を解除していないにもか
示
らず自動運転が継続し，指示が競合して外部環境と衝 かわらず，自動運転が解除され，外部環境と衝突する
突する(SC1-2)違反(SC1-1)違反CA2 減速指示

運転手のブレーキが早すぎる場合，特に問題なし

CA1 運転手がブレーキ (UCA1-N) 運転手がブレーキを踏まないと危険回避が (UCA1-P) 運転手が誤った力加減でブレーキ操作を行 (UCA1-T) 運転手のブレーキが遅すぎる場合，危険回 (UCA1-S) 運転手がブレーキを踏む時間が短すぎる場を踏む
できず，外部環境と衝突する
うと，減速が弱く外部環境と衝突する
避ができず，外部環境と衝突する
合，危険回避ができず外部環境と衝突する(SC1-2)違反(SC1-1)違反(SC1-1)違反(SC1-1)違反

コントロールアクション

付録3：表3.2-1

－220－－4－-

・自動運転解 ・運転手がブレーキを踏む時 除報告がブレー
間が短すぎる キを踏んだが，人工知能モ
ジュールへの他の割り込み処理が優先され直ぐに鳴り止むUCA1-S
運転手がブレーキ
を踏む時間が短すぎる場合，危険回避ができず
外部環境と衝突する(SC1-1)違反(5)～(8)で太字で示したガイドワードはSTPA-Secのもの

-

-

-

・自動運転不 ・人工知能モ ・運転手のブ
能警告と自動 ジュールに処理 レーキ操作が運転解除報告 が集中して高 遅れるが同時に鳴る 負荷状態になり自動運転不能警告が遅れて鳴る--・運転手がブ
レーキを弱く踏む・悪天候など外 UCA1-T
運転手のブレーキ 部環境が悪く，運転手のが遅すぎる場合，危険回避が 危険察知が遅できず，外部環 れる境と衝突する(SC1-1)違反

UCA1-P
運転手が誤った
力加減でブレーキ操作を行うと，減速が弱く外部環境と衝突する(SC1-1)違反(7)操作の遅れ
部分的・悪い形状のオペ
レーション

・人工知能モ ジュールで異常を検知したが内部判定ロジックの誤りで自動運転不能警告が報知されない(5)悪い形状・ (6)部分的な
不適切なフィー 情報・不正確
ドバック，ある な情報の供
いはフィードバッ 給，または情報の欠如，測クの喪失，フィードバックの 定の不正確性，フィード遅れ
バックの遅れ・運転手が危 険を察知したが自動運転を過信して，ブレー
キを踏まない(1)コントロール (2)不適切なコ (3)不整合，
入力や外部情 ントロールアルゴ 不完全，または不正確なプ報の誤りや喪 リズム
ロセスモデル，
失不適切な操作・悪天候など外 UCA1-N
運転手がブレーキ 部環境が悪を踏まないと危険 く，運転手が回避ができず， 危険察知しな
外部環境と衝突 いする(SC1-2)違反

UCAx

付録4：表3.2-2：HCFの抽出結果 - UCA1に対するHCF
HCF

-

-

-

-

-

-

-

-

-

-

-

-

-

・クラウドからの 情報を改ざんし人工知能モ
ジュールに自動運転継続可能であると誤認識
させる

-

-

-

-

-

-

-

・人工知能モ ジュールに高負荷を与え自動運転不能警告を遅らせる-

・人工知能モ ジュールに高負荷を与え自動運転不能警告を報知できない(E)
ElevationofPrivilege
権限の昇格(4)コンポーネントの不具合．経年による変化，(12)アクチュエータの動作が不十分，(13)センサの動作が不十分

-

-

-

-

(D)
(I)
(R)
Repudiat Informat Denial ofServiceion
ionDisclosur サービス不能
否認
e
情報の暴
露

コンポーネント間相互作用に注目したいため，故障や経年変化は対象外とし，以下を表から除外している

-

-

-

・ブレーキペダル の遊びと認知する値が大きすぎて，ブレーキが弱い--

・ブレーキペダル の遊びと認知する値が大きすぎて，ブレーキを踏んだと認識しない(T)(8)悪い形状・ (9)コント (10)未確 (11)システ (S)不適切または ロールアク 認，または ムにハザー Spoofing Tampering
ションの衝 範囲外の ドを引き起 identity 改ざん
無効なコント
こすプロセ なりすまし突，プロセ 障害
ロールアクショス入力ン，コントロー ス入力のルアクションの喪 喪失または誤り
失－221－－5－--

UCA2-S
運転手がブレーキペダルを踏み続けているのに減速指示の解除が早すぎる場
合，外部環境と衝突する(SC1-1)違反(5)～(8)で太字で示したガイドワードはSTPA-Secのもの

・ブレーキペダルの欠陥により減速
指示の解除が早すぎる--

・ブレーキペダルの ・ブレーキペダルの 欠陥により減速 踏込を減速指示
指示が遅いに変換する処理が遅い-

・ブレーキペダルの 踏込具合と減速指示の強弱が感覚的に一致しないUCA2-P
運転手がブレーキペダルを強く踏んでいるのに減速指示が小さいと，外部環境と衝突する(SC1-1)違反-

UCA2-T
運転手がブレーキペダルを踏んだタイミングに対し減速指示が遅すぎる場合，外部環境と衝突する(SC1-1)違反

-

-

-

-

-

-

-

-

-

(5)悪い形状・不適 (6)部分的な情報・ (7)操作の (8)悪い形状・不適
切または無効なコント
切なフィードバック， 不正確な情報の供 遅れ
あるいはフィードバック 給，または情報の 部分的・ ロールアクション，コンの喪失，フィードバッ 欠如，測定の不正 悪い形状 トロールアクションの喪
クの遅れ
確性，フィードバック のオペレー 失
ションの遅れ

・ブレーキペダルの 遊びと認知する値が大きすぎて，ブレーキを踏んだと認識しない(1)コント (2)不適切なコン (3)不整合，不ロール入力 トロールアルゴリズ 完全，または不や外部情 ム正確なプロセスモ
報の誤りや
デル，不適切な喪失
操作

UCA2-N
運転手がブレーキペダルを踏んでいるのに減速指示を出さないと，外部環境と衝突する(SC1-2)違反

UCAx

付録5：表3.2-3：HCFの抽出結果 - UCA2に対するHCF

-

-

-

-

-

-

-

-

-

-

-

-

-

-

・人工知能経由で侵入された攻撃者によりブレーキペダルからの指示アルゴリズムを改
ざんされ減速指示の継続限界時間が設定される

・掌握された人工知能モジュールによりブレーキシステムにDoS攻撃がしかけられていると，減速指示の適応が遅延する
・人工知能経由で侵入された攻撃者によりブレーキペダルからの指示アルゴリズムを改
ざんされ一時停止等の不要な処理を組み込まれる

・人工知能経由で侵入された攻撃者によりブレーキペダルからの指示アルゴリズムを改
ざんされ異なる指示にされる・ブレーキシステムを機能停止されると，ブレーキペダルの減速指示が受け付けられない・掌握された人工知能モジュールによりブレーキシステムにDoS攻撃がしかけられていると，減速指示が受け付けられない・人工知能経由で侵入された攻撃者によりブレーキペダルからの指示アルゴリズムを改
ざんされ指示無しにされる(D)(E)
Denial of Elevation of Privilege
Service 権限の昇格
サービス不能(4)コンポーネントの不具合．経年による変化，(12)アクチュエータの動作が不十分，(13)センサの動作が不十分-

・ブレーキペダルの 減速指示による
減速中に人工知
能モジュールの速度制御が衝突し，ブレーキペダ
ルの減速指示が
解除される

-

-

-

(R)
(I)
Repudiat Informationion
Disclosure
否認
情報の暴露

コンポーネント間相互作用に注目したいため，故障や経年変化は対象外とし，以下を表から除外している-

・人工知能モジュールの速度制
御とブレーキペダ
ルの減速指示の優先順位判断が遅れ，ブレーキペ
ダルの減速指示
適用が遅くなる-・人工知能モジュールの速度制
御と合算されてしまい，中途半端な減速制御となる---・人工知能モジュールの速度制御と衝突し，ブレーキペダルの減速指示がブレーキシステムに適用さ
れない

-

(T)
Tampering
改ざんHCF(9)コントロールア (10)未確 (11)システ (S)クションの衝突， 認，または ムにハザー Spoofing
プロセス入力の喪 範囲外の ドを引き起 identity
失または誤り障害
こすプロセ なりすましス入力

－222－－6－

UCA3-Tの(7)のHCFはSTPA-Secから導出したもの(5)～(8)で太字で示したガイドワードはSTPA-Secのもの

-

-

-

UCA3-S
N/A--

・ブレーキシステムの欠陥 ・ブレーキペダルの踏み込 により，ブレーキペダル踏 みを自動運転解除指示
み込み時の自動運転解 に変換する処理が遅い
除指示が遅れる・ブレーキペダルからの誤っ
UCA3-T
運転手が手動運転に た入力情報で，自動運切り替えたにもかかわら 転解除指示が遅れる
ず，自動運転の解除が遅れ，自動運転が継続し，指示が競合して外部環境と衝突する(SC1-1)違反---

・ブレーキシステムの欠陥 により，ブレーキペダル踏
み込みが無くても自動運
転解除指示がある

・ブレーキペダルからの誤った入力情報で，意図しない自動運転解除指示
がある

-

-

・ブレーキシステムの欠陥 により，ブレーキペダル踏
み込み時に自動運転解除を指示しない・ブレーキが踏まれているのにブレーキの遊びと認知する値が大きすぎて，ブレーキを踏んだと認識しな
いUCA3-P
運転手が自動運転を解除していないにもかかわらず，自動運転が解除され，外部環境と衝突する(SC1-2)違反

HCF-

・人工知能モジュールに 大量の入力情報(DoS攻撃)がある中で，自動運転解除指示が送出さ
れる

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

(R)
(T)
Tampering Repudiatio
n
改ざん
否認

-

-

-

-

(E)
Elevation of Privilege
権限の昇格

・ブレーキペダルを掌握して，自動運転中に，故意に自動運転停止命令を送出する
・人工知能モジュールを掌握して，指示がなくても勝手に自動運転解除指示を受け付ける--

・自動運転解除をしようと ・ブレーキペダルを掌握ししたときに，人工知能モ て，手動運転に切り替え
ジュールにDoS攻撃を仕 る際に，自動運転解除
掛け，自動運転停止命 の指示を故意に遅らせる
・人工知能モジュールを掌
令の受信が遅れる
握して，ブレーキペダルから送信された自動運転解除指示の受付を遅らす-

・自動運転解除指示をし ・ブレーキペダルを掌握しようとしたときに，人工知 て，手動運転に切り替え能モジュールにDoS攻撃 る際にも，自動運転解を仕掛け，自動運転停 除指示を送出しない
止命令の受信ができない ・人工知能モジュールを掌握して，ブレーキペダルから送信された自動運転解除指示を受け付けない(D)(I)
Informatio Denial of Service
サービス不能nDisclosure
情報の暴露(4)コンポーネントの不具合．経年による変化，(12)アクチュエータの動作が不十分，(13)センサの動作が不十分

-

-

-

-

(11)システム (S)にハザードを Spoofing
引き起こすプ identity
なりすまし
ロセス入力

コンポーネント間相互作用に注目したいため，故障や経年変化は対象外とし，以下を表から除外している

-

-

-

-

-

-

-

-

-

(9)コントロー (10)未確(8)悪い形(6)部分的な (7)操作の遅れ(1)コントロール入力や外 (2)不適切なコントロール (3)不整合，不完全， (5)悪い形
部情報の誤りや喪失
アルゴリズムまたは不正確なプロセスモ 状・不適切な 情報・不正 部分的・悪い形状のオペ 状・不適切ま ルアクションの 認，またはたは無効なコ 衝突，プロセ 範囲外の障確な情報の レーション
フィードバッデル，不適切な操作
ントロールアク ス入力の喪 害
ク，あるいは 供給，またション，コント 失または誤り
フィードバック は情報の欠ロールアクショ
如，測定の
の喪失，
ンの喪失
フィードバック 不正確性，フィードバックの遅れの遅れ

・ブレーキペダルからの誤っ
UCA3-N
運転手が手動運転に た入力情報で，自動運切り替えたにもかかわら 転解除指示が喪失するず自動運転が継続し，指示が競合して外部環境と衝突する(SC1-1)違反

UCAx

付録6：表3.2-4：HCFの抽出結果 - UCA3に対するHCF

－223－－7－-

UCA4-S・ブレーキペダルからの誤った入力情 ・ブレーキペダルからの減速指示により，車 ブレーキペダルからの減 報により，想定よりも早く減速制御 体への減速制御を行っている際に，ブレー
速指示，または人工知 を解除する
キシステムの欠陥により，想定よりも早く減能モジュールからの速度 ・人工知能モジュールからの誤った 速制御を解除する
制御を受けた際に， 車 入力情報により，想定よりも早く減 ・人工知能モジュールからの減速指示によ
体へ減速制御の適用が 速制御を解除する
り，車体への減速制御を行っている際
想定よりも短い場合，に，ブレーキシステムの欠陥により，想定
外部環境と衝突するよりも早く減速制御を解除する(SC1-1)違反
-

-

-

-

(5)～(8)で太字で示したガイドワードはSTPA-Secのもの--

UCA4-P・ブレーキペダルからの誤った入力情 ・ブレーキペダルからの減速指示を車体へ ブレーキペダルからの減 報により，想定よりも弱い値で車 の減速制御に変換する際に，ブレーキシ
速指示，または人工知 体への減速制御となる
ステムの欠陥により，想定よりも弱い値と能モジュールからの速度 ・人工知能モジュールからの誤った なる制御を受けた際に，車 入力情報により，想定よりも弱い ・人工知能モジュールからの減速指示を車体への減速制御が想定 値で車体への減速制御となる体への減速制御に変換する際に，ブレーよりも弱いと外部環境とキシステムの欠陥により，想定よりも弱い
衝突する
値となる
(SC1-1)違反

UCA4-T・ブレーキペダルからの減速指示が ・ブレーキペダルからの減速指示を，車体 ブレーキペダルからの減 遅く，車体へ減速制御が遅れるへの減速制御に変換する際に，ブレーキ
速指示，または人工知 ・人工知能モジュールからの速度制 システムの欠陥により，車体への通知が遅能モジュールからの速度 御が遅く，車体へ減速制御が遅れ くなる制御を受けた際に， 車 る・人工知能モジュールからの減速指示を，体へ減速制御が遅れた
車体への減速制御に変換する際に，ブ場合，外部環境と衝突
レーキシステムの欠陥により，車体への通する
知が遅くなる(SC1-1)違反-

・ブレーキペダルからの誤った入力情 ・ブレーキシステムの欠陥により，ブレーキ 報で，減速指示が喪失する
ペダルからの減速指示を車体への減速制
・人工知能モジュールからの誤った 御に変換できない
入力情報で，速度制御が喪失す ・ブレーキシステムの欠陥により，人工知る
能モジュールからの速度制御を車体への減速制御に変換できない

UCA4-N
ブレーキペダルからの減
速指示，または人工知
能モジュールからの速度制御を受けたのに，車体へ減速制御を行わな
いと，外部環境と衝突する(SC1-1)違反

HCF

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

-

(T)
(R)
Tampering Repudiatio
改ざん
n
否認

-

-

-

-

(E)
Elevation of Privilege
権限の昇格

-

-

-

・ブレーキシステム掌握すること
で，車体への減速制御解除を早めに行う

・ブレーキシステム掌握すること
で，車体への減速制御を遅れて行う・ブレーキシステム掌握すること
で，車体への減速制御を想定よりも弱く行う

・（人工知能掌握により）・ブレーキシステム掌握すること
人工知能からブレーキシステム で，車体への減速制御を行わへDoS攻撃を行い，ブレーキシ ない
ステムをダウンさせる(I)(D)
Informatio Denial of Servicen
サービス不能Disclosure
情報の暴露(4)コンポーネントの不具合．経年による変化，(12)アクチュエータの動作が不十分，(13)センサの動作が不十分

-

-

-

-

(S)
Spoofing
identity
なりすましコンポーネント間相互作用に注目したいため，故障や経年変化は対象外とし，以下を表から除外している・ブレーキペダルからの減速指示 と，人工知能からの速度制御の衝突により，車体の減速制御を想定外に解除する・ブレーキペダルからの減速指示 と，人工知能からの速度制御の衝突により，車体の減速制
御が遅れる

・ブレーキペダルと人工知能モ
ジュールから同時に減速指示を受けた際に，人工知能の速度制御を優先してしまい，ブレー
キペダルの想定よりも車体への減速制御が弱くなる

・ブレーキシステムから車体への ・ブレーキペダルからの減速指示 減速制御が欠陥により伝わら と，人工知能からの速度制御
ず，車体の減速制御が失われ の衝突により，車体の減速制る御が与えられない(3)不整合， (5)悪い形(6)部分的な (7)操作の遅 (8)悪い形状・不適切または無 (9)コントロールアクションの衝(10)未確(11)システム
不完全，ま 状・不適切な 情報・不正確 れ効なコントロールアクション，コン 突，プロセス入力の喪失または 認，または範 にハザードをたは不正確な フィードバッ
な情報の供 部分的・悪い トロールアクションの喪失
誤り
囲外の障害 引き起こすプ
プロセスモデ ク，あるいは 給，または情 形状のオペ
ロセス入力
ル，不適切 フィードバック 報の欠如， レーション
な操作
の喪失，
測定の不正
フィードバック 確性，フィーの遅れ
ドバックの遅れ(1)コントロール入力や外部情報の (2)不適切なコントロールアルゴリズム
誤りや喪失

UCAx

付録7：表3.2-5：HCFの抽出結果 - UCA4に対するHCF

－224－
－8－

HCF

-

-

・悪意のある第三者がク ラウドからの情報を改ざんし，外部環境を誤検知した結果，速度制御が遅い

・悪意のある第三者がク ラウドからの情報を改ざんし，外部環境を誤検知した結果，速度制御
が短すぎる

-

・悪意のある第三者がク ラウドの情報を改ざん
し，外部環境を誤検知した結果，誤った速度制御となる

・悪意のある第三者がDoS攻撃などによって人工知能を不能としたため，速度制御が短すぎる--

・悪意のある第三者がDoS攻撃などによって人工知能を不能としたため，速度制御が与えら
れない

(D)
(I)
Informatio Denial of Service
サービス不能nDisclosure
情報の暴露

-

(R)
Repudiation
否認・悪意のある第三者がク ラウドの情報を改ざん
し，外部環境を誤検知した結果，速度制御が与えられない(T)
Tampering
改ざん

・悪意のある第三者が人工知能の制御を掌握（権限の昇格）し，ブ
レーキシステムへの減速
指示を短くする

・悪意のある第三者が人工知能の制御を掌握（権限の昇格）し，ブ
レーキシステムへの減速
指示を遅くする

・悪意のある第三者が人工知能の制御を掌握（権限の昇格）し，ブ
レーキシステムへの減速制御を小さくする

・悪意のある第三者が人工知能の制御を掌握（権限の昇格）し，ブ
レーキシステムへの減速制御を実施させない(E)
Elevation ofPrivilege
権限の昇格(4)コンポーネントの不具合．経年による変化，(12)アクチュエータの動作が不十分，(13)センサの動作が不十分-(S)
Spoofing
identity
なりすましコンポーネント間相互作用に注目したいため，故障や経年変化は対象外とし，以下を表から除外している-

・人工知能の欠陥（= プログラムバグ）があり，
人工知能モジュールからの速度制御が短すぎる

・センシングモジュールの ・ローカルダイナミックマッ 誤りがあり，人工知能モ プに誤りがあり，人工知
ジュールが正しい計算が 能モジュールが正しい計できず，速度制御が短 算ができず，速度制御
が短すぎる
すぎる

・自動運転解除の指示 ・人工知能の欠陥（= UCA5-S
障害物を検知した際に 誤り（解除すべきでない プログラムバグ）があり，
人工知能モジュールから
人工知能モジュールから ときに解除の指示がきの速度制御(減速)が短 た）があり，人工知能 の速度制御が短すぎる
すぎる場合，外部環境 の指示と衝突した結果，速度制御が短いと衝突する(SC1-1)違反(5)～(8)で太字で示したガイドワードはSTPA-Secのもの-

・人工知能の欠陥（= プログラムバグ）があり，
人工知能モジュールからの速度制御が遅い

・センシングモジュールの ・ローカルダイナミックマッ 誤りがあり，人工知能モ プに誤りがあり，人工知
ジュールが正しい計算が 能モジュールが正しい計できず，速度制御が遅 算ができず，速度制御が遅い
い・自動運転解除の指示 ・人工知能の欠陥（= UCA5-T
障害物を検知した際に 誤り（解除すべきでない プログラムバグ）があり，
人工知能モジュールから
人工知能モジュールから ときに解除の指示がきの速度制御(減速)が遅 た）があり，人工知能 の速度制御が遅い
すぎる場合，外部環境 の指示と衝突した結果，速度制御が遅いと衝突する(SC1-1)違反---

・人工知能の欠陥（= プログラムバグ）があり，
人工知能モジュールから誤った速度制御となる・センシングモジュールの ・ローカルダイナミックマッ 誤りがあり，人工知能モ プに誤りがあり，人工知
ジュールが正しい計算が 能モジュールが正しい計
できず，誤った速度制 算ができず，誤った速度
制御となる
御となる

・人工知能の欠陥（= プログラムバグ）があり，
人工知能モジュールから誤った速度制御となる

UCA5-P
障害物を検知した際に人工知能モジュールから誤った速度制御(小さすぎる減速)がある場合，外部環境と衝突する(SC1-1)違反-

・人工知能の欠陥（= ・自動運転解除の指示 プログラムバグ）があり， 誤り（解除すべきでない
人工知能モジュールから ときに解除の指示がき
速度制御が与えられな た）があり，人工知能の指示と衝突した結い果，速度制御が与えられない・センシングモジュールの ・ローカルダイナミックマッ 誤りがあり，人工知能モ プに誤りがあり，人工知
ジュールが正しい計算が 能モジュールが正しい計できず，速度制御がで 算ができず，速度制御ができなかった
きなかった・自動運転解除の指示 ・人工知能の欠陥（= 誤り（解除すべきでない プログラムバグ）があり，
人工知能モジュールからときに解除の指示がきた）があり，人工知能 速度制御が与えられないの指示と衝突した結果，速度制御が与えられない

UCA5-N
障害物を検知した際に人工知能モジュールから
速度制御（減速）が与えられない場合，外部環境と衝突する(SC1-1)違反(11)システム(7)操作の遅 (8)悪い形状・不適切ま (9)コントロールアクション (10)未確
たは無効なコントロール の衝突，プロセス入力の 認，または範 にハザードをれ
囲外の障害 引き起こすプ
部分的・悪い アクション，コントロール 喪失または誤り
ロセス入力
形状のオペ アクションの喪失
レーション(1)コントロール入力や (2)不適切なコントロー
外部情報の誤りや喪失 ルアルゴリズム

UCAx(3)不整合， (5)悪い形状・不適切な (6)部分的な情報・不不完全，ま フィードバック，あるいは 正確な情報の供給，または不正確な フィードバックの喪失， たは情報の欠如，測定の不正確性，フィードプロセスモデ フィードバックの遅れ
バックの遅れル，不適切な操作

付録8：表3.2-6：HCFの抽出結果 - UCA5に対するHCF付録9：表3.2-7：ハザードに至るシナリオ (抜粋)#

ハザードシナリオ

UCA1-Nに至るハザードシナリオ
1-N1

悪天候など外部環境が悪く運転手が危険察知をできず，ブレーキを踏まない

1-N2

運転手が外部環境から危険を察知したが，自動運転を過信してブレーキを踏まない

1-N3

人工知能モジュールで異常を検知したが，内部ロジックの誤りで自動運転不能警告が鳴らず，運転手が自らブレーキを踏まない

1-N4

運転手がブレーキを踏んだがブレーキペダルの遊びと認知する値が大きすぎて，ブレーキを踏んだと認識しない

1-N5

クラウドからの情報を改ざんし，人工知能モジュールに自動運転の継続が可能であると誤認識させると，自動運転不能警告が鳴らず，運転手が自らブレーキを踏まない

1-N6

人工知能モジュールに高負荷を与えると，自動運転不能警告が鳴らず，運転手が自らブレーキを踏まない

UCA1-Pに至るハザードシナリオ
1-P1

運転手が危険を察知した際，自動運転を過信してブレーキを踏む力が弱くなった

1-P2

運転手がブレーキを踏んだがブレーキペダルの遊びと認知する値が大きすぎて，ブレーキが弱く伝わった

UCA1-Tに至るハザードシナリオ
1-T1

悪天候など外部環境が悪く，運転手が危険を察知するのが遅れブレーキを踏むのが遅れた

1-T2

人工知能モジュールからの警告と報告が同時に鳴り，運転手が一瞬戸惑い，ブレーキを踏むのが遅れた

1-T3

人工知能モジュールに異常が発生したが，処理が集中して高負荷になり自動運転不能警告が遅れて鳴ったため，ブレーキを踏むのが遅れた

1-T4

運転手が外部環境から危険を察知したが，自動運転を過信してブレーキを踏むのが遅れた

1-T5

悪意のある第三者が人工知能モジュールに高負荷を与え自動運転不能警告が遅れたため，ブレーキを踏むのが遅れた

UCA1-Sに至るハザードシナリオ
1-S1

運転手が外部環境の危険を察知してブレーキを踏んだが，自動車を過信してブレーキを踏む時間が短すぎた

1-S2

運転手が外部環境からの危険察知や自動運転解除報告を受けてブレーキを踏んだ際，自動運転解除報告が鳴ったが，人工知能モジュー
ルへの他の割り込み処理が優先され直ぐに鳴りやんだため，ブレーキを踏む時間が短くなった#

ハザードシナリオ

UCA2-Nに至るハザードシナリオ
2-N1

ブレーキペダルの遊びと認知する値が大きすぎて，ブレーキを踏んだと認識せず，ブレーキペダルから減速指示が出ない

2-N2

人工知能モジュールの速度制御と衝突し，ブレーキペダルの減速指示がブレーキシステムに伝わらない

2-N3

ブレーキペダルからの指示アルゴリズムを改ざんされ減速指示を無しにされる

2-N4

ブレーキシステムにDoS攻撃がしかけられていると，減速指示が受け付けられない

2-N5

ブレーキシステムを機能停止されると，ブレーキペダルの減速指示が受け付けられない

UCA2-Pに至るハザードシナリオ
2-P1

ブレーキペダルの踏込具合と減速指示の強弱が感覚的に不一致で，ブレーキペダルの減速指示が小さくなる

2-P2

人工知能モジュールの速度制御と合算されてしまい，ブレーキシステムが受ける減速指示が中途半端な値となる

2-P3

ブレーキペダルからの指示アルゴリズムを改ざんされ意図しない減速指示となる

UCA2-Tに至るハザードシナリオ
2-T1

ブレーキペダルの欠陥により減速指示の伝達が遅れる

2-T2

ブレーキペダルの踏込を減速指示に変換する処理が遅く，減速指示が遅れる

2-T3

人工知能モジュールの速度制御とブレーキペダルの減速指示の優先順位判断が遅れ，ブレーキペダルの減速指示が遅くなる

2-T4

ブレーキペダルからの指示アルゴリズムの改ざんにより一時停止等の不要な処理を組み込まれ，減速指示が遅れる

2-T5

ブレーキシステムにDoS攻撃がしかけられていると，減速指示の適応が遅延する

UCA2-Sに至るハザードシナリオ
2-S1

ブレーキペダルの欠陥により減速指示の継続が解除される

2-S2

ブレーキペダルの減速指示による減速中に人工知能モジュールの速度制御が衝突し，ブレーキペダルの減速指示が解除される

2-S3

ブレーキペダルからの指示アルゴリズムの改ざんにより減速指示の継続限界時間が設定され，減速指示が短くなる※UCA3～UCA5のハザードシナリオは省略

－225－
－9－

付録10：図3.2-3：GSNによるUCAの整理結果
Goal：G_1「自動運転の衝突回避」に対する洗い出しは妥当である
Context : C_1
衝突を回避するための手段
・ブレーキ

Strategy：S_1

・ハンドル

衝突回避の手段によって分け・アクセル

Goal：G_2

Goal：G_3

Goal：G_4

ブレーキ操作をする

ハンドル操作をする

アクセル操作をする

Strategy：S_2

Context : C_2「ブレーキ操作をする」に関するハザー

機能安全ASIL決定表

ドを過酷度クラスによって分ける

Goal：G_5

Goal：G_6

Goal：G_7

S3 生命を脅かす傷害(生存S2 重度および生命を脅かす傷害

S1 軽度および中程度の傷害がはっきりしない)

Strategy：S_3

Context : C_3(H1-2)ブレーキがかからない.

・運転手という,ハザードをUCAが示す振・人工知能

る舞いにより分ける(生存の可能性がある)

Strategy：S_4

Context : C_4(H1-1) 自動車が，ブレーキをかけて・運転手

も，外部環境の前で停止できない.

・人工知能という,ハザードをUCAが示す振る舞いにより分ける

Goal：G_8

Goal：G_9

Goal：G_10

Goal：G_11

Goal：G_12

Goal：G_13

ブレーキをかけない

ブレーキがかからない

ブレーキをかけるのがブレーキをかけたのに,減速制御が弱い

減速制御が短い遅れる

かかるのが遅れる

Evidence：E_1

Evidence：E_2

Evidence：E_3

Evidence：E_4

Evidence：E_5

Evidence：E_6

表：UCAの抽出

表：UCAの抽出

表：UCAの抽出

UCA2-N

表：UCAの抽出

表：UCAの抽出

UCA1-N

表：UCAの抽出

UCA1-T

UCA3-N

UCA1-P

UCA1-S

UCA5-N

UCA2-T

UCA5-T

UCA3-T

UCA2-P

UCA2-S

UCA4-T

UCA3-P

UCA4-S

UCA4-P

UCA5-S

UCA4-N

UCA5-P－226－－10－

付録11：表3.2-8：ASIL 評価指標と決定値ルール
評価指標

過酷度クラス

発生頻度クラス

回避可能性クラス

S0（低）

傷害なし

S1

軽度および中程度の障害

S2

重度および生命を脅かす障害（生存の可能性がある）

S3（高）生命を脅かす傷害（生存がはっきりしない）

E0（低）

可能性なし

E1

可能性が非常に低い

E2

可能性が低いE3

可能性が中程度

E4（高）可能性が高いC0（可能）

一般的に回避可能

C1

容易に回避可能C2

通常は回避可能C3（不可能）回避困難または回避不可※ＡＳＩＬ決定値のルール
過酷度クラス，発生頻度クラス，回避可能性クラスの数字部分を点数（例：S2であれば2点）とし，各クラスの合計により以下のようにASIL決定値を定める
ASIL決定値ルール
6点以下

QM（Quality Management）

7点

ASIL_A

8点

ASIL_B

9点

ASIL_C

10点

ASIL_D－227－－11－

－228－
－12－

対象

該当する
UCA

ブレーキペダル－

ブレーキシステム

人工知能モジュールからの誤った入力情報で，速度制御が喪失する

ブレーキシステムの欠陥により，ブレーキペダルからの減速指示を車体への減速制御に変換できない

ブレーキシステムの欠陥により，人工知能モジュールからの速度制御を車体への減速制御に変換できない

ブレーキシステムから車体への減速制御が欠陥により伝わらず，車体の減速制御が失われる

ブレーキペダルからの減速指示と，人工知能からの速度制御の衝突により，車体の減速制御が与えられない

33

34

35

ブレーキペダルからの誤った入力情報で，減速指示が喪失する

32

－車体間

UCA4-N3130

ブレーキペダルの踏み込みを自動運転解除指示に変換する処理が遅い

29

ブレーキペダルからの誤った入力情報で，自動運転解除指示が遅れる

ブレーキシステムの欠陥により，ブレーキペダル踏み込みが無くても自動運転解除指示がある

ブレーキシステムの欠陥により，ブレーキペダル踏み込み時の自動運転解除指示が遅れる

UCA3-T

ブレーキペダルからの誤った入力情報で，意図しない自動運転解除指示がある

28

27

26

UCA3-P

ブレーキが踏まれているのにブレーキの遊びと認知する値が大きすぎて，ブレーキを踏んだと認識しない

ル間

24

25

ブレーキシステムの欠陥により，ブレーキペダル踏み込み時に自動運転解除を指示しない

人工知能モジュー23

ブレーキペダルからの誤った入力情報で，自動運転解除指示が喪失する

ブレーキペダルの減速指示による減速中に人工知能モジュールの速度制御が衝突し，ブレーキペダルの減速指示が解除される

ブレーキペダルの欠陥により減速指示の解除が早すぎる

ブレーキペダル－UCA3-N

UCA2-S

22

21

20

人工知能モジュールの速度制御とブレーキペダルの減速指示の優先順位判断が遅れ，ブレーキペダルの減速指示適用が遅くなる

ブレーキペダルの欠陥により減速指示が遅い

人工知能モジュールの速度制御と合算されてしまい，中途半端な減速制御となるブレーキペダルの踏込具合と減速指示の強弱が感覚的に一致しない

19

UCA2-T

UCA2-P

人工知能モジュールの速度制御と衝突し，ブレーキペダルの減速指示がブレーキシステムに適用されない

ブレーキペダルの遊びと認知する値が大きすぎて，ブレーキを踏んだと認識しない

ブレーキペダルの踏込を減速指示に変換する処理が遅い

間

ブレーキシステム

UCA2-N

自動運転解除報告がブレーキを踏んだが，人工知能モジュールへの他の割り込み処理が優先され直ぐに鳴り止む

運転手がブレーキを踏む時間が短すぎる

18

17

16

15

14

13

12

UCA1-S

運転手のブレーキ操作が遅れる

10

11

人工知能モジュールに処理が集中して高負荷状態になり自動運転不能警告が遅れて鳴る

9

悪天候など外部環境が悪く，運転手の危険察知が遅れる

ブレーキペダルの遊びと認知する値が大きすぎて，ブレーキが弱い

自動運転不能警告と自動運転解除報告が同時に鳴る

UCA1-T

8

7

6

運転手がブレーキを弱く踏む

ブレーキペダルの遊びと認知する値が大きすぎて，ブレーキを踏んだと認識しない

5

人工知能モジュールで異常を検知したが内部判定ロジックの誤りで自動運転不能警告が報知されない

UCA1-P

悪天候など外部環境が悪く，運転手が危険察知しない

運転手が危険を察知したが自動運転を過信して，ブレーキを踏まない

HCF

4

自動車が外部環境 運転手－ブレーキペ UCA1-N(歩行者/他の車/周 ダル間辺物)と衝突/接触する

アクシデント

3

2

1

項番

※表サイズの関係で2ページに分割して記載．(1/2)

付録12：表3.2-9：ASIL 分析結果と対策（セーフティ）-1

S3

S3

S3

S3

S3

S3

S2

S2

S2

S2

S2

S3

S2

S3

S2

S2

S2

S2

S2

S2

S3

S2

S3

S2

S2

S2

S2

S2

S2

S2

S3

S3

S3

S3

S3

過酷度
クラス
E2

E1

E1

E1

E1

E2

E2

E2

E2

E2

E2

E2

E2

E1

E1

E1

E2

E1

E2

E2

E1

E2

E1

E2

E1

E2

E2

E1

E2

E2

E1

E2

E2

E1

E4

C2

C2

C2

C2

C2

C2

C2

C2

C2

C1

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C1

C3

C2

C2

C2

C2

C2

C2

C2

C2

C1

C2

C2

C2

C2

回避可能性
クラス

評価指標
発生頻度
クラス

QM

QM

QM

QM

ASIL_A

ASIL_A

QM

QM

QM

QM

QM

ASIL_A

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

ASIL_A

QM

QM

QM

QM

QM

QM

QM

QM

ASIL_AQM

ASIL_C

ASIL_A

ＡＳＩＬ
決定値

-

○

○

○

○

サイドブレーキを使用した緊急停止機能を追
加する

○

○

○

○

○

-

○

○

○

○

○

○

○

○

○

○

-

○

○

○

○

○

○

○

○

-

○

サイドブレーキを使用した緊急停止機能を追加する

ユーザビリティ評価を実施し，適切な遊び量に調整する

ユーザビリティ評価を実施し，適切な遊び量に調整する

ユーザビリティ評価を実施し，適切な遊び量に調整する-

運転手の注意レベルを監視する

残存リスク

運転手の注意レベルを監視する
定期的に音声による注意喚起

対策内容

－229－－13－

人工知能モジュー

UCA5-P

人工知能の欠陥（=プログラムバグ）があり，人工知能モジュールからの速度制御が遅い

65

人工知能の欠陥（=プログラムバグ）があり，人工知能モジュールからの速度制御が短すぎる

センシングモジュールの誤りがあり，人工知能モジュールが正しい計算ができず，速度制御が短すぎる

ローカルダイナミックマップに誤りがあり，人工知能モジュールが正しい計算ができず，速度制御が短すぎる

人工知能の欠陥（=プログラムバグ）があり，人工知能モジュールからの速度制御が短すぎる

67

68

69

70

自動運転解除の指示誤り（解除すべきでないときに解除の指示がきた）があり，人工知能の指示と衝突した結果，速度制御が短い

ローカルダイナミックマップに誤りがあり，人工知能モジュールが正しい計算ができず，速度制御が遅い

64

UCA5-S

センシングモジュールの誤りがあり，人工知能モジュールが正しい計算ができず，速度制御が遅い

63

66

人工知能の欠陥（=プログラムバグ）があり，人工知能モジュールからの速度制御が遅い

62

自動運転解除の指示誤り（解除すべきでないときに解除の指示がきた）があり，人工知能の指示と衝突した結果，速度制御が遅い

人工知能の欠陥（=プログラムバグ）があり，人工知能モジュールから誤った速度制御となる

60

UCA5-T

ローカルダイナミックマップに誤りがあり，人工知能モジュールが正しい計算ができず，誤った速度制御となる

59

61

センシングモジュールの誤りがあり，人工知能モジュールが正しい計算ができず，誤った速度制御となる

58

人工知能の欠陥（=プログラムバグ）があり，人工知能モジュールから誤った速度制御となる

すべきでないときに解除の指示がきた）があり，人工知能の指示と衝突した結果，速度制御が与えられない56

57

人工知能の欠陥（=プログラムバグ）があり，人工知能モジュールから速度制御が与えられない55

センシングモジュールの誤りがあり，人工知能モジュールが正しい計算ができず，速度制御ができなかった

人工知能の欠陥（=プログラムバグ）があり，人工知能モジュールから速度制御が与えられない

ローカルダイナミックマップに誤りがあり，人工知能モジュールが正しい計算ができず，速度制御ができなかった

テム間

ル－ブレーキシス

自動運転解除の指示誤り（解除すべきでないときに解除の指示がきた）があり，人工知能の指示と衝突した結果，速度制御が与え
られない

54

53

52

51

UCA5-N

49

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

S2

人工知能モジュールからの減速指示により，車体への減速制御を行っている際に，ブレーキシステムの欠陥により，想定よりも早く減速制御を解除する

ブレーキペダルからの減速指示と，人工知能からの速度制御の衝突により，車体の減速制御を想定外に解除する

S2

ブレーキペダルからの減速指示により，車体への減速制御を行っている際に，ブレーキシステムの欠陥により，想定よりも早く減速制御を解除する

48

50

S2

S2

人工知能モジュールからの誤った入力情報により，想定よりも早く減速制御を解除する

ブレーキペダルからの誤った入力情報により，想定よりも早く減速制御を解除する

47

UCA4-S

ブレーキペダルからの減速指示と，人工知能からの速度制御の衝突により，車体の減速制御が遅れる

45

46

S2

人工知能モジュールからの減速指示を，車体への減速制御に変換する際に，ブレーキシステムの欠陥により，車体への通知が遅く
なる

44
S2

S2

ブレーキペダルからの減速指示を，車体への減速制御に変換する際に，ブレーキシステムの欠陥により，車体への通知が遅くなる

43

S2

人工知能モジュールからの速度制御が遅く，車体へ減速制御が遅れる

42

S2

S2

40

ブレーキペダルからの減速指示が遅く，車体へ減速制御が遅れる

ブレーキペダルと人工知能モジュールから同時に減速指示を受けた際に，人工知能の速度制御を優先してしまい，ブレーキペダルの想定よりも車体への減速制御が弱くなる

39

UCA4-T

S2

人工知能モジュールからの減速指示を車体への減速制御に変換する際に，ブレーキシステムの欠陥により，想定よりも弱い値とな
る

41

S2

ブレーキペダルからの減速指示を車体への減速制御に変換する際に，ブレーキシステムの欠陥により，想定よりも弱い値となる

過酷度
クラス
S2

HCF
S2

UCA4-P

該当する
UCA

人工知能モジュールからの誤った入力情報により，想定よりも弱い値で車体への減速制御となる

対象ブレーキペダルからの誤った入力情報により，想定よりも弱い値で車体への減速制御となるアクシデント36 自動車が外部環境 ブレーキシステム(歩行者/他の車/周37 辺物)と衝突/接触す －車体間
る
38

項番

※表サイズの関係で2ページに分割して記載．(2/2)

付録12：表3.2-9：ASIL 分析結果と対策（セーフティ）-2

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E2

E2

E2

E2

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E2

E2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

回避可能性
クラス

評価指標
発生頻度
クラス

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

ＡＳＩＬ
決定値

対策内容

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

残存
リスク

－230－
－14－

対象

該当する
UCA

悪意のある第三者が人工知能の制御を掌握（権限の昇格）し，ブレーキシステムへの減速指示を短くする

34

悪意のある第三者がクラウドからの情報を改ざんし，外部環境を誤検知した結果，速度制御が短すぎる

悪意のある第三者が人工知能の制御を掌握（権限の昇格）し，ブレーキシステムへの減速指示を遅くする

悪意のある第三者がクラウドからの情報を改ざんし，外部環境を誤検知した結果，速度制御が遅い

悪意のある第三者がDoS攻撃などによって人工知能を不能としたため，速度制御が短すぎる

UCA5-S

UCA5-T

悪意のある第三者が人工知能の制御を掌握（権限の昇格）し，ブレーキシステムへの減速制御を小さくする

悪意のある第三者がクラウドの情報を改ざんし，外部環境を誤検知した結果，誤った速度制御となる

悪意のある第三者が人工知能の制御を掌握（権限の昇格）し，ブレーキシステムへの減速制御を実施させない

悪意のある第三者がDoS攻撃などによって人工知能を不能としたため，速度制御が与えられない

33

32

31

30

29

28

27

UCA5-P

人工知能モジュール UCA5-N－ブレーキシステム
間

25

26

ブレーキシステム掌握することで，車体への減速制御解除を早めに行う

UCA4-S

24

悪意のある第三者がクラウドの情報を改ざんし，外部環境を誤検知した結果，速度制御が与えられない

レーキシステム掌握することで，車体への減速制御を遅れて行う

UCA4-T23

ブレーキシステム掌握することで，車体への減速制御を行わない

ブレーキシステム掌握することで，車体への減速制御を想定よりも弱く行う

UCA4-P22

21（人工知能掌握により）人工知能からブレーキシステムへDoS攻撃を行い，ブレーキシステムをダウンさせる

人工知能モジュールに大量の入力情報(DoS攻撃)がある中で，自動運転解除指示が送出される

19

20

人工知能モジュールを掌握して，ブレーキペダルから送信された自動運転解除指示の受付を遅らす

18

自動運転解除をしようとしたときに，人工知能モジュールにDoS攻撃を仕掛け，自動運転停止命令の受信が遅れる

人工知能モジュールを掌握して，指示がなくても勝手に自動運転解除指示を受け付ける

ブレーキペダルを掌握して，自動運転中に，故意に自動運転停止命令を送出する

ブレーキペダルを掌握して，手動運転に切り替える際に，自動運転解除の指示を故意に遅らせる

ブレーキシステム－ UCA4-N
車体間

UCA3-T

UCA3-P

17

16

15

14

人工知能モジュールを掌握して，ブレーキペダルから送信された自動運転解除指示を受け付けない

13

自動運転解除指示をしようとしたときに，人工知能モジュールにDoS攻撃を仕掛け，自動運転停止命令の受信ができない

ブレーキペダルを掌握して，手動運転に切り替える際にも，自動運転解除指示を送出しない

ブレーキペダル－人 CA3-N
工知能モジュール間

12

11

S2

S2

S2

S2

S2

S2

S2

S3

S3

S3

S3

S3

S3

S3

S3

S2

S2

S2

S2

S3

S3

S3

S3

S3

S2

S2

10

人工知能経由で侵入された攻撃者によりブレーキペダルからの指示アルゴリズムを改ざんされ減速指示の継続限界時間が設定される

人工知能経由で侵入された攻撃者によりブレーキペダルからの指示アルゴリズムを改ざんされ一時停止等の不要な処理を組み込まれる

UCA2-SS2

掌握された人工知能モジュールによりブレーキシステムにDoS攻撃がしかけられていると，減速指示の適応が遅延する

9

UCA2-T

8

S3

人工知能経由で侵入された攻撃者によりブレーキペダルからの指示アルゴリズムを改ざんされ異なる指示にされる

UCA2-P

S3

S3

S3

S2

S3

S2

過酷度
クラス

7

人工知能経由で侵入された攻撃者によりブレーキペダルからの指示アルゴリズムを改ざんされ指示無しにされる

6

ブレーキシステムを機能停止されると，ブレーキペダルの減速指示が受け付けられない

人工知能モジュールに高負荷を与え自動運転不能警告を遅らせる

人工知能モジュールに高負荷を与え自動運転不能警告を報知できない

クラウドからの情報を改ざんし人工知能モジュールに自動運転継続可能であると誤認識させるHCF掌握された人工知能モジュールによりブレーキシステムにDoS攻撃がしかけられていると，減速指示が受け付けられない

自動車が外部環境 運転手－ブレーキペ UCA1-N(歩行者/他の車/周 ダル間辺物)と衝突/接触する
UCA1-T
ブレーキペダル－ブ UCA2-N
レーキシステム間

アクシデント

5

4

3

2

1

項番

付録13：表3.2-10：ASIL 分析結果と対策（セキュリティ）

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E1

E2

E1

E1

E1

E1

E1

E1

E1

E2

E1

E1

E1

E1

E1

E1

E1

E2

E2

E1

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

C3

C2

C2

C2

C2

C2

C2

C2

C1

C2

C2

C2

C2

C2

C2

C2

C2

C2

C2

回避可能性
クラス

評価指標
発生頻度
クラス

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

ASIL_A

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

QM

ASIL_A

QM

ＡＳＩＬ
決定値

DoS対策を実施する

DoS対策を実施する

対策内容

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

-

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

○

-

○

残存
リスク

付録14：図3.2-4：ブレーキをかけないハザードのGSN

Goal：G_8_1

Context : C_5「ブレーキをかけない」に対する対策内

UCA1-N容が妥当である

UCA5-N

Strategy：S_5
UCA毎に,対策内容を確認する

Context : C_6
HCFのASIL分析結果と対策

ASIL_A以上

Context : C_7
一部対策を抜粋
その他対策は「HCFのASIL分
析結果と対策」を参照

Goal：G_9

Goal：G_10

UCA1-Nの対策が妥当である

UCA5-Nの対策が妥当である

Strategy：S_6
ASILで選択したHCF毎に,対策を確認する

Goal：G_11「定期的に音声による注意喚起する」
対策内容が妥当である

Evidence：E_7
インスペクションによるレビュー実施結果－231－－15－