RAS AIASIL-B認証のストレージデバイスを買ったら、安全分析は終わりなのか
01要約
02記事が伝えていることと、伝えていないこと
ドイツのエレクトロニクス専門誌all-electronicsは11月5日の記事で、SDVにおけるゾーンアーキテクチャ、OTA、V2Xによって、ストレージが安全とセキュリティの重なる部品になりつつあると論じました。例として挙げられたSilicon Motionの車載SSDコントローラーは、AEC-Q100、ISO 26262 ASIL-B、ASPICE CL3の認証を取得していると紹介されています。
ここで3つの点に留意してください。記事は、同社の資料に基づいていると自ら明記しています。2023年の製品発表で私たちが確認できた表現は「ASPICE compliance」までで、認証書の原本は確認していません。記事は故障率や具体的な安全メカニズムを示しておらず、ISO 21434については認証ではなく適合と記載しています。
それでも、この記事には役立つ用語が1つあります。SEooC（Safety Element out of Context）、つまり特定の車両を想定せずに開発された安全エレメントです。
03部品の認証が引き渡すものと、残すもの
サプライヤーは、使用条件を想定してSEooC部品を開発します。その前提条件は安全マニュアルに記載され、インテグレーターに引き渡されます。前提条件が自社の車両で成り立たなければ、部品の安全論拠をそのまま再利用することはできません。
| 認証書が示すもの | 車両側に残る問い |
|---|---|
| サプライヤーの開発プロセスと安全メカニズムが、目標レベルに対して評価されている | この部品に依存する安全目標のASILはいくつか |
| 定められた温度、電源、使用条件の下での動作が裏付けられている | 自社の実装位置、電源供給、書き込み量はその範囲内に収まっているか |
| 部品が内部の故障を診断できる | 車両はその結果を受け取り、安全に反応するか |
| 保存データが暗号化される | 鍵は誰が管理し、正規の経路を通じた改ざんは誰が防ぐのか |
では、架空の例題でこれらの問いを追ってみましょう。
04例題：1つのコントローラーを共有するセントラルコンピューティングSSD
この構成は教育用に作成したものです。セントラルコンピューターに搭載された1台のSSDを、運転支援、インフォテインメント、OTAの各仮想マシンが共有します。コントローラーはASIL-B認証品と仮定します。運転支援はSSDから地図データを読み出し、ホストのソフトウェアがチェックサムで完全性をチェックします。
以下の等級、スコア、故障率はすべて説明のための仮定値です。実製品の値ではありません。
HARA：部品のレベルは安全目標のレベルではない
| 誤動作 | ハザーダスイベント | S | E | C | ASIL |
|---|---|---|---|---|---|
| 古いまたは誤った地図データを正常なデータとして提供 | 高速道路での運転支援中、古い地図により車線を逸脱 | S3 | E4 | C2 | C |
| 必要なときに地図データを提供しない | 高速道路での運転支援が警告なしにオフになる | S2 | E4 | C2 | B |
1つ目の安全目標はASIL Cで、コントローラーはASIL-Bです。そこで設計チームはASILデコンポジションを選びます。SSD側をASIL B(C)、ホストの完全性チェックをASIL A(C)とする方法です。表の上では、レベルのつじつまは合います。しかし、ASILデコンポジションには条件があります。分解したエレメント同士が十分に独立していなければなりません。
FTA：「独立」した2つのエレメントが1つのコントローラーに結び付いていた
完全性チェックに使うチェックサムを、地図データと同じSSDに保存したとしましょう。NANDエラーでデータだけが壊れた場合は、チェックサムで検出できます。しかし、コントローラーがブロックの以前のバージョンを返すと、データとチェックサムがそろって古い値に戻ります。両者は互いに一致するため、チェックを通過してしまいます。チェックプログラムが正常でも、結果は変わりません。
T0の構造には3つのカットセットがあります。
| カットセット | 次数 | 意味 |
|---|---|---|
| コントローラーのファームウェアが以前のバージョンのブロックを返す | 1次 | この1つの故障で頂上事象が発生 |
| コントローラー内部のマッピングテーブルエラー | 1次 | この1つの故障で頂上事象が発生 |
| NANDデータエラー + ホスト完全性チェックの故障 | 2次 | 設計者が意図した二重構造 |
ASILデコンポジションの表には2次のケースしか現れません。1次の2件は、FTAを描いて初めて見えてきます。
対策：基準値をコントローラーの外に移す
署名付きの基準値とバージョン番号を、別のセキュアストアに保管します。これで、コントローラーが古いブロックを返しても、別ストアの値と一致しないため拒否されます。
| 構造 | 1次カットセット | 2次カットセット |
|---|---|---|
| T0 基準値を同じSSDに保存 | 2 | 1 |
| T1 基準値を別のストアに保存 | 0 | 3 |
部品はそのままで、変わったのは車両側の構造だけです。故障率は仮定値なので、本稿では計算値ではなくカットセットの構造を比較します。
FMEA：サプライヤーの前提条件を崩す原因は車両側にある
| 故障原因 | 故障モード | 故障影響 | S | O | D | AP |
|---|---|---|---|---|---|---|
| 実装位置の温度がサプライヤーの前提とする範囲を超える | データ保持性が低下し、訂正不能エラーが増加 | 運転支援が誤った地図データを使用 | 9 | 4 | 6 | H |
| OTA書き込み中の電源断時にホールドアップ時間が不足 | メタデータの破損により保存イメージが読めない | アップデート後に一部の車両機能が起動しない | 7 | 5 | 7 | H |
| ログ書き込み量がサプライヤーの前提値を超える | 書き込み耐久性が尽き、ドライブが読み取り専用に切り替わる | アップデート後に一部の車両機能が起動しない | 7 | 6 | 6 | H |
この3つの原因には、いずれも部品の認証書では答えられません。部品の温度グレードを確認しても、実際の実装位置を測定するまでは何も分からず、SOP後にOTAで機能が追加されれば、書き込み量も当初の計算からずれていきます。だからこそ、試験計画を部品単体から実車条件へ移す必要があります。
TARA：AES-256が防ぐものと防げないもの
| 脅威 | 攻撃ポテンシャル合計 | 実現可能性 | 影響度 | リスクレベル | 対応決定 |
|---|---|---|---|---|---|
| SSDを取り外してNANDを直接読み出す | 42 | Very Low | Major | 1 | 保有 |
| 侵害されたインフォテインメントVMが共有経路を通じて地図データを改ざん | 18 | Medium | Severe | 4 | 低減 |
| 1台の車両から共用鍵を抽出し、同一車種のデータを復号 | 22 | Low | Major | 2 | 低減 |
保存データの暗号化が直接防ぐのは、1つ目の脅威です。2つ目は正規の権限で書き込みを要求するため、暗号化に関係なく通過します。3つ目は暗号強度ではなく鍵管理の問題です。そのため、最もリスクの高い脅威への対策は「VMごとの保存領域の分離と使用前の署名検証」になります。この署名検証は、FTAで見つけた基準値の分離と同じ設計につながります。ここでは、安全分析とセキュリティ分析が同じ対策を指し示しています。
05部品の認証書を受け取ったら確認すべき5つのこと
| 確認事項 | 確認先 | 例題で分かったこと |
|---|---|---|
| 認証書原本に記載された対象製品、ファームウェアバージョン、範囲、および認証なのか適合の主張なのか | 認証書、サプライヤー資料 | 資料によって「certified（認証）」と「compliant（準拠）」の表現が混在 |
| 部品に依存する安全目標のASIL | HARA | 部品はASIL-B、安全目標はASIL C |
| 分解したエレメントが共有するリソース | FTAの共通原因 | 1つのコントローラーから1次カットセット2件 |
| 安全マニュアルの前提条件と自社設計とのギャップ | FMEAの故障原因 | 温度、ホールドアップ時間、書き込み量 |
| 暗号化の範囲、鍵管理、共有経路のアクセス制御 | TARA | 暗号化が防ぐ脅威は3件中1件 |
06VisualProでの実施方法と限界
VisualProでは、HARA、FTA、DFMEA、TARAを1つのプロジェクトで扱えます。今回の例題も1つのプロジェクトに4つのモジュールとして入力し、ASIL、AP、リスクレベル、カットセットはツールが算出しました。
VisualProがすべてを代替するわけではありません。実際の故障率は、サプライヤーの資料と試験から得る必要があります。認証書が有効かどうか、ASILデコンポジションの根拠となる独立性が十分かどうかの判断は、エンジニアとアセッサーが担うものです。本例題では部品レベルのFMEDAは扱っていません。
07よくある質問
Q1ASIL-B認証部品は、ASIL CやDの機能に使えますか？
使える場合があります。代表的な方法がASILデコンポジションです。ただし、分解したエレメント同士が十分に独立している必要があります。共有リソースがあると、本例題のようにFTAで単一故障点が生じることがあるため、まずそれを確認してください。
Q2SEooC認証部品の場合、自社でまだ何をする必要がありますか？
安全マニュアルの前提条件を、自社車両の条件と1つずつ照合します。成り立たない前提条件があれば、設計を変更するか、サプライヤーと調整します。部品の診断結果を車両の安全な反応につなげることも、インテグレーターの役割です。
Q3ストレージデバイスをAES-256で暗号化すれば、TARAでリスクは下がりますか？
記憶媒体を取り外して読み出す脅威には効果があります。正規の経路を通じた改ざんや共用鍵の漏えいは、別途評価する必要があります。脅威ごとに攻撃経路を分けてみると、暗号化が実際にどこまで効くかが分かります。
参考資料
· all-electronics、「Speicher wird zum Sicherheitsfaktor」（2026-11-05） — 記事を読む
· Silicon Motion、2023年8月の製品発表 — 資料を見る
· Intertek、「Exploring Safety Elements out of Context」（2026-01-15） — 資料を見る
· Renesas、ISO 26262のSEooCソフトウェアへの適用 — 資料を見る
· ISO 26262 Road vehicles — Functional safety — ISOページ