**********************************************************************
セッション: SWEST19/ESS2017 合同基調講演
テーマ：Connected Vehicle Platformにおける北米技術動向と、日本の大学生・若手技術者への期待
講師：佐藤 洋介（DENSO International America, INC., North America Research Center, Electronics Platform(e–PF)）
日時：2017/8/24 13:20-14:40
参加人数：約200名
**********************************************************************
アジェンダ
□導入
□Over-the-Air（OTA）
□質疑応答①
□Cyber Security
□Connected Vehicle Platform
□全体まとめ
□おわりに
□質疑応答②
-----------------------------------------------------------------------
□導入
■自己紹介
アメリカ・TOYOTA connectedへ出向
Connected Vehicle Platformを開発
学生時代はUML，Design pattern，Java VMなど
DENSO入社後AUTOSARに関わり始める
■本日の趣旨
デジタルトランスフォーメーションによるビッグデータ分析技術のブレークスルー
キーワード：常時接続，所有から利用へ，自動化・知能化，ユーザーエクスペリエンス
□Over-the-Air（OTA）
■Scope
①通信量削減およびセキュリティの担保
②信頼性
■DHS SOTA（Uptane）
ミシガン大学を中心としたプロジェクトにより定められた規格
特徴
・ユースケース，failure model，threat modelを定義
・アップデートフレームワークの定義
・アーキテクチャ：プライマリECUとセカンダリECUの2つから成る
・設計思想：threat modelをどう防ぐか
考察
・ECUへの影響
より大きなストレージ・パワーが必要
ECU再配置の加速
・リファレンス情報として
要件定義やテストケース構築の有用な情報ソース
threatは時代とともに変化→常にアンテナを張ることが必要
■実際のUptane活動に関して
ワークショップはLED-Campのような雰囲気
活発な議論を通して，より良い仕様を検討する
クラウドを活用してリアルタイムにやりとり
□質疑応答①
＜質問1＞
Flashという言葉の意味は？
＜回答＞
ファイルシステム（POSIX）が搭載されていないECUのことを指す．
＜質問2＞
OTAで書き換えるECUのプログラムの範囲は？
＜回答＞
Uptaneに関しては，末端のドメインコントロールECUまでを想定している．
CANやEthernetを導入したとしても，更新に時間がかかってしまうため．
より内部のECUに関しても，書き換え自体は技術的に可能．
□Cyber Security
■SAE J3061
自動車のサイバーセキュリティについてのガイドライン
・モチベーション
①既存のものは車載を前提にしていないため利用しづらい
②用語が各OEM間で統一されていない→共通言語化
③既存の規格をもとにして作る（ISO 26262）
■ISO 26262との比較
・ISO 26262を知っていれば理解しやすい
- ISO 26262におけるSafety GoalをSAE J3061でのSecurity Goalに
・リスクアセスメントはSAE J3061に固有
■事例
Safety Goalが定義された状態を前提とする
脅威はハザードと同一：意図しない急加速が起きないように
セキュア状態は安全状態と同一：ブレーキオーバライド，最高速度オーバライド
ポイント：暗号化，機器認証により盗聴，改ざん，なりすましから車を守る
■セキュリティ・アーキテクチャの考え方
IT業界で一般的な「多層防御」を自動車にも適用している
■セキュリティ・アーキテクチャ実現のための要素技術
組込み機器に特徴的な「セキュア〜〜」の技術
攻撃検知を車にも適用できないかが議論の対象
■Connected Vehicle Platformのセキュリティ機能
膨大な車両情報を侵入検知に活用する
・Signatureベース
- 異常パターンをプロファイル化してマッチ判定
- パターンマッチしないと検知できない
・Anomalyベース
- 正常パターンを学習，逸脱を判断
- 未知の攻撃を検知できるが，継続学習が必要
- 誤検出が多く，その原因も特定しづらい
・Stateful Protocolベース
- 状態モデルとして正常状態を定義，逸脱を判断
- 未知の攻撃も検知可能だが，膨大な計算機パワーが必要
- 状態モデルの定義自体が難しい
■考察
ISO 26262との一貫性も考慮している点は注目に値する
プライバシーに関する面が定義されていない点が課題
技術面：アルゴリズムの評価フレームワークはまだ手薄
□Connected Vehicle Platform
■BMW Series7に関するムービー
・自動入出庫のデモ
・ナビのモーションセンサで音量を自動調整
・スマホでシートを操作
BMW：電子プラットフォームを毎年更新している
■Amazon AWSから見るIoT PFの仕組み
ポイント
・デバイス認証
・メッセージブローカー：ストリーム処理
・デバイスシャドウ：通信遮蔽時にも車の外のサービスからは車が動作しているように見える
■Connected Vehicle Platform実現への技術要件
①Vehicle To Cloud通信におけるQoS制御
・デバイスの世界とサービスの世界を適切に連携させる
- 適切なプロトコルの見極め
- 通信が不安定な状態での各種制御
②車両からの大量センサ情報のリアルタイム処理
・サーバアーキテクチャが主流に
- MasterノードはSlaveノードの管理
- データの処理はSlaveノード側で
・サーバの仮想化が重要
- ネットワーク，サーバ，ストレージの仮想化
- 物理的なサーバ構成はリージョンごとに配置を考えなければならない
■関連する北米標準化動向
自動車メーカー以外も参加している
・SMARTDEVICELINK
- フォードが立ち上げ，他のOEMを巻き込んでコンソーシアムに
・AUTOMOTIVE GRADE LINUX
- トヨタが注力
□全体まとめ
・ポイント：常時接続，所有から利用へ，自動化・知能化，ユーザーエクスペリエンス
・ビッグデータ分析などの受け皿としてのConnected Vehicle Platform
・オープンな規格定義によるエコシステムの構築
・セキュリティとコンプライアンス
・IoTインフラとの融合
□おわりに
・SWESTで鍛えられたこと
- 様々なバックグラウンドの技術者との議論，自分の立ち位置の確認
- 企画運営によるファシリテーション技術向上
- 実行委員会への参加による社外人脈の構築
・今後のキャリアパスを意識して取り組んでほしいこと
- 英語力向上
- 設計力・抽象化能力向上
設計力：多くの解決策から最適なものを選択する
抽象化：本質的な情報を引き出し，それ以外を捨てる判断力
□質疑応答②
＜質問3＞
機能安全とサイバーセキュリティの対比について，サイバーセキュリティは自動車安全と対比して議論すべきでは？
＜回答＞
そうだと思います．
＜質問4＞
threat modelについて
自動車のハードウェアは交換できないが，車外の計算パワーは上がる．
時の流れにより，計算パワー不足が起こったらどうする？
セキュリティ問題から車両を使用禁止する？
＜回答＞
いい質問だが答えるのが難しい．
車は将来的に個人所有の車と複数人でシェアされる車に分かれる．
個人所有の車に関しては，趣味性が高いものとなるためケアしなくて良い．
シェアする車に関しては，ハードウェアの拡張性の担保が重要となる．
飛行機のようにボードごと交換することになるか．