ALMDO-178Cはセキュリティを扱わない
VisualPro Tech Brief
DO-178Cはセキュリティを扱わない
DO-326Aが耐空性要件となった今
耐空性セキュリティ | 安全・セキュリティ統合認証 | 業界動向ブリーフ
DO-326A / ED-202ADO-356ADO-355DO-178CARP4754A
01概要（TL;DR）— 意図的に残された空白
航空機搭載ソフトウェア認証の基準であるDO-178C（欧州ではED-12C）と、システム開発ガイドラインであるARP4754Aは、安全を扱います。しかしこれらの規格は、サイバーセキュリティを意図的に適用範囲外としていました。ランダム故障や開発エラーを対象とした枠組みであり、悪意ある行為者を想定したものではなかったのです。
その空白を埋めるのが、DO-326A/ED-202A、すなわち耐空性セキュリティプロセス仕様（Airworthiness Security Process Specification）です。FAAとEASAはこれを耐空性認証における許容される適合方法（AMC）として採用し、航空機、回転翼航空機、エンジン、プロペラの認証において事実上の必須要件となりました。
注目すべきは、これが「サイバー版DO-178」ではないという点です。出典はこの略称を明確に否定し、DO-326AをARP-4754Aに対するサイバーアドオンであり、部分的には「サイバー版ARP-4761」や「サイバー版DO-178C」に相当するものと説明しています。従来の安全規格の上に、人為的故障（man-made failure）に対する新たな防御層を加えるものです。
耐空性セキュリティは耐空性安全の姉妹である — 同じプロセスと原則が適用される。
02なぜ今か — 航空における安全・セキュリティ統合を押し上げる3つの変化
1規制が確定した — 特別要件から標準要件へ規制の確定
FAAは2005年のボーイング787認証を皮切りに、約20件のサイバーセキュリティ特別要件（special condition）を個別に適用し、2017年2月にはポリシーステートメントPS-AIR-21.16-02でこの運用を正式化しました。AC 119-1（2015年）、AC 20-140C（2016年）、AC 120-76D（2017年）を経て、EASAは航空機、回転翼航空機、エンジン、プロペラ全般にわたる正式なAMCとしてこれらの規格を提案し、FAAもアドバイザリーサーキュラーの発行と14 CFR Parts 21/23/25/27/29/33/35の改正を予告しました。案件ごとに対応していた領域が、標準要件として定着したのです。
2e-Enabled航空機が攻撃対象領域を生み出した攻撃対象領域
DO-326Aは、TCP/IPベースのe-enabledシステムを保護対象としています。衛星通信、機内サーバーやWi-Fiに接続されたイーサネットルーター、携帯端末・ノートPC・タブレット、そしてVHF/AM、デジタルVHFデータリンク、ACARS、無線ブリッジといった地上ネットワークです。保護は単一の層で完結するものではなく、アクセスポイント、伝送データ、システム、サブシステム、そしてコードそのものまで、複数の抽象化レベルで求められます。
3安全とセキュリティは同じプロセスの骨格で動くプロセスの対称性
DO-326Aのセキュリティリスク評価は、安全の機能ハザード評価（FHA）と並行して実施され、脅威レベルと重大度の判定は設計保証レベル（DAL）の割り当てと同様の役割を果たします。出典は「セキュリティは、長年にわたり安全確保のために行われてきたことと多くの部分で重なる」と述べています。セーフティクリティカルな開発の経験を持つチームにとってセキュリティ統合が直感的に感じられるのはそのためであり、2つの分析を1つのツールの中で結び付ける必要がある理由でもあります。
03DO-326Aは7つのステップに集約される
耐空性セキュリティプロセス
| ステップ | 内容 | 成果物 |
|---|---|---|
| 1. 認証のセキュリティ側面に関する計画 | リスク評価、保証レベルの割り当て、セキュリティ要求の抽出を計画 | PSecAC |
| 2. スコープの設定 | 保護が必要な論理的・物理的資産を特定 | 資産リスト、セキュリティ境界 |
| 3. セキュリティリスク評価 | 脅威レベルと重大度を判定 | 脅威シナリオ、リスク等級 |
| 4. 判断ゲート | リスクに緩和の証拠が必要かを評価 | 緩和判断の根拠 |
| 5. セキュリティ保護の実装 | 上位要求を、設計を方向付ける下位仕様に分解 | セキュリティ要求の階層 |
| 6. 検証および妥当性確認 | 実装した保護の有効性を試験 | テストケースと結果 |
| 7. 認証証拠の取りまとめ | すべての証拠をサマリーに集約 | PSecACサマリー |
3つの文書、3つの役割
| 文書 | タイトル | 役割 |
|---|---|---|
| DO-326A / ED-202A | 耐空性セキュリティプロセス仕様 | プロセスの骨格 — 何を行うべきか |
| DO-356A / ED-203A | 耐空性セキュリティの手法と考慮事項 | 段階ごとの要求とリスク評価の詳細 — どのように行うか |
| DO-355 / ED-204 | 継続的耐空性のための情報セキュリティガイダンス | 運用・整備 — 就航後 |
注記 DO-326Aはプロセスを規定し、DO-356Aは方法論の詳細を、DO-355は就航後の運用セキュリティを扱います。認証計画では、成果物を3つの文書のうち適切な文書に対応させて配置する必要があります。
04安全プロセスとセキュリティプロセスは並行して進む
2つのプロセスは、名前が違うだけで、同じ場所で同じ作業を行います。
| セキュリティ活動（DO-326A） | 対応する安全プロセス | 共有されるもの |
|---|---|---|
| PSecAC計画の策定 | PSAC（DO-178C認証ソフトウェア計画） | 認証計画の位置付けと役割 |
| 資産の特定とスコープ設定 | システムおよびアイテムの定義 | 同一のアーキテクチャモデル |
| セキュリティリスク評価 | FHA（機能ハザード評価） | リスクの特定と分類の手順 |
| 脅威レベルと重大度の判定 | DALの割り当て | 保証レベルによる厳格さの設定 |
| セキュリティ要求の分解 | 安全要求の分解 | 要求の階層と設計への割り当て |
| 保護有効性のVV | 検証と試験 | 要求とテストのトレーサビリティ |
| PSecACサマリー | 適合性証拠パッケージ | 審査対応の根拠 |
Vモデル上ではこう位置付けられます 左側（要求フェーズ）では、ステップ2のスコープ特定とステップ3の予備的セキュリティリスク評価が行われ、要求はPLM、ALM、または要求管理ツールに取り込まれ、そこで分解されてトレーサビリティが確立されます。右側（検証フェーズ）では、ステップ5で保護を実装し、ステップ6でその有効性を確認します。その結果は認証証拠としてPSecAC文書に反映されます。
そして、ここから問題が始まります。安全要求は安全ツールに、セキュリティ要求はセキュリティツールに、アーキテクチャはまた別の場所にあると、同じアーキテクチャを2回モデリングすることになり、どちらの分析も相手に届きません。これが、セキュリティに起因する安全上のハザードが見落とされる典型的な経路です。
そして、ここから問題が始まります。安全要求は安全ツールに、セキュリティ要求はセキュリティツールに、アーキテクチャはまた別の場所にあると、同じアーキテクチャを2回モデリングすることになり、どちらの分析も相手に届きません。これが、セキュリティに起因する安全上のハザードが見落とされる典型的な経路です。
05VisualProはどのように支援するか
1つの構造ツリー、5つの分析構造の共有
FMEA、FTA、HARA、TARA、STPAが同じシステム構造データベースを共有します。DO-326Aのステップ2で特定した資産と、安全分析で用いるアイテム定義が同じツリー上に置かれるため、セキュリティリスク評価と機能ハザード評価が1つのモデルを参照します。
分析間トレーサビリティ（デジタルスレッド）中核的価値
セキュリティ脅威、対策、セキュリティ要求、検証項目が単一のデータベースで連携し、安全目標、FTAの頂上事象、故障モード、安全要求も同様に連携します。設計変更や新たな脅威は連携した分析全体に反映され、認証審査が求める生きたトレーサビリティが維持されます。
規格に準拠した成果物認証証拠
ISO/SAE 21434 TARA、ISO 26262 HARA（ASIL）、AIAG-VDA FMEA、FTAを標準様式で作成し、韓国語と英語のレポートを出力します。すべての脅威・リスク項目が分析上の根拠を伴っているため、PSecACサマリーに盛り込む証拠を分析データベースから直接まとめることができます。
MCPベースのAIエージェント連携AI連携
FMEA、FTA、HARA、TARA、STPAに対応するMCP（Model Context Protocol）により、ClaudeなどのAIエージェントがVisualProと直接通信します。脅威・ハザード候補の特定からスコアリング案の作成までを対話形式で行い、分析者は検証と判断に集中できます。
06よくある質問（FAQ）
Q1DO-326Aは軍用機にも適用されますか？
いいえ。軍用機は現時点でDO-326Aの適用範囲外であり、認証義務はFAAおよびEASAの監督下にある民間航空に適用されます。軍用システムの安全・セキュリティの論証は、MIL-STD-882Eのシステム安全や、韓国ではK-RMFといった別の枠組みに従います。民間と軍用のプログラムを1つの要件セットで説明するのは事実に反するため、事業領域に応じて適用する枠組みを使い分ける必要があります。
Q2すでにDO-178Cに対応しています。DO-326Aでどの程度負担が増えますか？
プロセスの骨格は大部分が共通です。PSecACはPSACと同じ位置付けにあり、セキュリティリスク評価はFHAと並行し、要求の分解やV&Vの構造も対応しています。本当の負担は新しい手法を学ぶことではなく、資産と脅威の観点を加え、その結果を既存の安全分析・要求・試験とトレーサブルに結び付けることです。2つの枠組みを別々のツールで運用すると、この連携コストが急増します。
Q3自動車分野のISO/SAE 21434の経験は航空に活かせますか？
中核となる考え方は活かせます。資産の特定、脅威シナリオの導出、リスク評価、対策の導出、トレーサビリティの確保という流れは、TARAとDO-326Aに共通しています。異なるのは、用語（脅威の格付け体系、PSecACの成果物）、規制当局（FAAとEASA）、そして継続的耐空性の段階を扱うDO-355の存在です。新しい方法論というより、新しい認証の枠組みを学ぶことに近いと言えます。
07今すぐ始めましょう（次のステップ）
航空分野では、安全とセキュリティはすでに1つの認証フローの中にあります。2つの分析を別々のツールやファイルに分けておくと、両者のつながりを証明しなければならない時点でコストが発生します。自動車、防衛、ロボット、半導体のプログラムで実績のあるVisualProで、安全とセキュリティを1つの構造上で結び付ける認証準備を始めましょう。
安全とセキュリティを1つの構造上で結び付ける — VisualProによる航空認証準備。
出典 — Military Embedded Systems, “Incorporating DO-326A security airworthiness into the software development life cycle”; Aviation Today, “How DO-326/ED-202 is becoming mandatory airworthiness”（規制のスケジュールは公開時点のもの）