マサチューセッツ州の修理権改正案は自動車業界にどんな影響を与えるか：修理する権利とコネクテッドカー（1）（2/2 ページ）

[岡デニス健五，MONOist]

新しい修理権が示す意味

　2020年の修理権の改正案が与える影響について、自動車メーカー、一般の修理工場、車両所有者の観点から以下に説明する。

• 自動車メーカー
  • 2022年モデルから、マサチューセッツ州でテレマティクスシステムを備えた車両を販売する自動車メーカーは、車両所有者と一般の修理工場がモバイルベースのアプリケーションを介しての診断データにアクセスできるオープンプラットフォームを提供する必要がある
• 一般の修理工場
  • 以前は車両の物理的な診断ポート経由のデータにしかアクセスできなかった一般の修理工場は、自動車メーカーがテレマティクスユニット経由で収集する車両の診断、修理およびメンテナンスに関連するデータにもアクセスが可能になる
• 車両所有者
  • 車両の所有者は、モバイルベースのアプリケーションを介してプラットフォームにアクセスでき、一般の修理工場が車両に関する診断データにアクセスする承認を与える。この診断データは、車両の所有者が合意した期間限定でメンテナンス、診断や修理のために一般修理工場がアクセスできる

　提案されている2020年修理権改正案は現在マサチューセッツ州のみが対象であるが、2013年の修理権法と同様に、ある時点で50州全ての国家基準として採用される可能性が高いと考えられる。自動車メーカーが、ある州の車両所有者と一般修理工場が車両からのテレマティクスデータにアクセスするためのプラットフォームを構築することになった場合、他の州の車両所有者と一般修理工場も構築されるインフラストラクチャとプラットフォームにアクセスを望むのは当然であろう。

図2：2013年と比較した2020年の修理権の診断データへの追加アクセス（クリックして拡大） 出典：シノプシス

自動車業界が直面する課題

　幾つかの注目すべき課題について解説する。提案されたタイムラインでは2022年モデルが対象だ。一般の修理工場や車両所有者が診断データにアクセスするのに必要なオープンプラットフォームを、自動車メーカーが設計、開発、テストおよびデプロイするための時間はあまりない。このプラットフォームを開発するには、自動車メーカーが適切な計画とリソースを用意することが不可欠である。

　また、改正案は概括的であり、特定の機能に関する技術要件や、オープンプラットフォームの開発、テスト、メンテナンス、運用方法などに関する要件には触れていないことに注目することも重要だ。このオープンプラットフォームにはセンシティブな情報が含まれる可能性があり、サイバー攻撃のうまみのあるターゲットになりかねない。そのため、プラットフォームを担当する自動車メーカーと組織は、適切なサイバーセキュリティ対策およびセキュアなソフトウェア開発を検討する必要がある。

　例えば、車両の所有者がモバイルアプリケーションを介してプラットフォームに対して認証する方法や、初期プロビジョニングがどのようになるかは明確ではない。また、ある修理工場が特定の車両に関連する診断データへアクセスする場合の承認がどのようになるかも、まだはっきりしていない。さらに、診断データをセキュアに送信するための通信チャネルを確立する方法は定義されていない。

　加えて、プラットフォームにどのようなセキュアなソフトウェア開発手順が必要になるかについても記載されていない。攻撃者がプラットフォームを悪用する脆弱（ぜいじゃく）性のリスクを軽減するには、自動車メーカーが適切なセキュリティ要件を定義し、セキュアな設計を実行し、コーディング規約を含めたソフトウェア開発のベストプラクティスに従い、侵入テストを含むセキュリティテストを実行することなどのセキュリティ活動が重要だ。プラットフォームに対する新しい脅威と攻撃を監視する方法や、運用とメンテナンスの一環として適切なアップデートを実行する方法を検討することも重要だ。車両所有者が使用するモバイルアプリケーションでのセキュリティ機能の実装とセキュアな開発プロセスに関しても、自動車メーカーが開発するプラットフォームと同様にサイバーセキュリティを検討する必要がある。

図3：オープンプラットフォームとモバイルアプリケーションに関連する課題（クリックして拡大） 出典：シノプシス

まとめ

　この記事は、修理権に関する背景に触れ、幾つかの課題について述べた。2013年の修理権法では自動車メーカーは、自動車を修理できるように、診断ポートを介して一般の修理工場に診断データへのアクセスを提供することをすでに義務付けている。

　2020年の修理権改正案は、2013年の修理権法の拡張版であり、車両の所有者と一般の修理工場は、テレマティクスユニットを介して車両から収集された診断データへのアクセスを可能にする案である。この改正案は概括的なものであり、認証や承認などのセキュリティ機能の設計と実装、ソフトウェア開発プロセスに関するセキュリティ活動はまだ明確になっていない。これらの課題とさらなる懸念については、次回の記事で詳しく説明する。

著者プロフィール

岡 デニス 健五

日本シノプシス合同会社のソフトウェアインテグリティグループにてプリンシパルオートモーティブセキュリティストラテジストとしてセキュリティソリューション業務に従事。2006年より車載セキュリティを専門としている。

過去にはスウェーデンでボルボの自動車セキュリティ研究を始め、リモート診断やOTA（over-the-air）アップデートを専門としていた。前職のBoschグループでは国内とグローバルの顧客対応に従事。日本とAPACのエンジニアリング及びコンサルティングマネージャーとして特に車載セキュリティの部署（ESCRYPT）の設立に協力し貢献した。

現在、日本シノプシスでは自動車セキュリティのソリューション、主にソフトウェア開発ライフサイクルとサプライチェーンに特化したソリューションを提供しており、60以上の執筆を手掛け、世界中で講演も多数行っている。