KCU GEN2 における Infineon TC387QP の機能安全・セキュリティ基礎

概要

Infineon AURIX TC387QP は、一部の KCU GEN2 ハードウェアで採用しているメインプロセッサです。Infineon の公開情報では、300 MHz の TriCore コアを 4 個搭載し、そのうち 2 個がロックステップコアです。また、同部品は ISO 26262 準拠、ASIL-D／SIL-3 対応として分類されています。

これは MCU 部品レベルの能力です。KCU GEN2、顧客 ECU、または車両システム全体が ASIL-D 認証済みであることを意味しません。最終的なシステム ASIL は、Item Definition、HARA、Safety Goals、ハードウェア／ソフトウェア安全アーキテクチャ、検証結果、Safety Case に基づいて決定します。

部品能力とシステム責任の区分

レベル	記載できる内容	直接推定できない内容
MCU 部品	Infineon 公開の ISO 26262 分類、ASIL-D／SIL-3 対応、ロックステップ、メモリ保護機能。	KCU GEN2 全体が ASIL-D 認証済みであること。
コントローラープラットフォーム	MCU の機構を監視、故障反応、パーティション、診断の設計に利用できること。	すべてのハードウェア版・ソフトウェア構成が同一の安全度を持つこと。
顧客システム	プロジェクトの Safety Goals に基づく設計、解析、統合、検証。	HARA、検証証跡、Safety Case を伴わない製品認証。

TC387QP の主なハードウェア能力

• 演算コア：300 MHz の TriCore コアを 4 個搭載。Infineon 公開仕様ではロックステップコアは 2 個です。
• 機能安全機構：ロックステップ、ECC、メモリ保護、監視、Watchdog などを安全アーキテクチャのハードウェア基盤として利用できます。
• セキュリティハードウェア：保護された鍵管理、暗号サービス、セキュアブート構成を支援できます。実際の能力はデバイス派生品、ライセンスソフトウェア、プロジェクト設定に依存します。
• メモリ：Infineon 公開値は Program Memory 10 MB、Cache を含む SRAM 1,376 KB です。
• 車載通信：CAN、LIN などの車載周辺機能を備えます。KCU から利用できる実インターフェース数はハードウェア版と回路図に基づきます。

KCU GEN2 プロジェクトでの適用

TC387QP の機構は次の工程に利用できますが、各項目をプロジェクトの安全計画に基づいて設計・検証する必要があります。

• ロックステップコアで安全関連の監視機能または制御機能を実行する。
• MPU、OS Application、アクセス権設定により安全関連機能と QM 機能を分離する。
• ECC、Watchdog、クロック／電圧監視を組み合わせて故障検出・反応を設計する。
• セキュリティハードウェアをセキュアブート、鍵管理、SecOC、ISO 15118 PnC に利用する。
• 診断イベント、故障反応、縮退動作、テスト証跡を安全要求へトレースする。

プロジェクトで必要な入力

入力	目的
Item Definition と HARA	ASIL-D を先に仮定せず、Safety Goals と ASIL を導出する。
Technical Safety Concept	安全機構、故障許容時間、安全状態を定義する。
MCU Safety Manual と統合制約	メーカー前提、診断カバレッジ、起動試験、使用条件を確認する。
ソフトウェアパーティションと資源計画	コア、メモリ、周辺機能、時間、権限の境界を定義する。
検証計画と Safety Case	安全要求、実装、試験、残留リスクを監査可能な証跡で結ぶ。
Cybersecurity Concept	TARA により資産、脅威、鍵ライフサイクル、安全更新要件を定義する。

KopherBit の支援範囲

KopherBit はプロジェクト契約と安全計画に基づき、KCU GEN2 プラットフォーム統合、AUTOSAR Classic ソフトウェア、Bootloader、診断、機能安全工程を支援します。成果物には安全要求、パーティション設計、安全機構、検証仕様、トレーサビリティデータなどが含まれ得ます。実際の納入範囲はプロジェクト開始時に合意します。

よくある質問

TC387QP は ISO 26262 ASIL-D に対応していますか？

Infineon の公開製品情報では、TC387QP は ISO 26262 準拠、ASIL-D／SIL-3 対応として分類されています。これは MCU 部品の能力であり、同部品を採用するだけで KCU GEN2 や車両システムが ASIL-D 認証製品になるわけではありません。

ロックステップだけでアプリケーションの安全性を確保できますか？

できません。ロックステップは特定のプロセッサ故障検出に役立ちますが、Safety Manual、故障反応、独立監視、適切なソフトウェア設計、テストカバレッジ、システムレベル検証と組み合わせる必要があります。

セキュリティハードウェアとソフトウェア暗号ライブラリの違いは何ですか？

セキュリティハードウェアは、鍵の分離、ハードウェアアクセラレーション、信頼の基点を提供できます。実際の安全性は、鍵ライフサイクル、アクセス権、起動チェーン、更新工程、脅威分析全体に依存します。

セキュアブートによる起動時間の増加はどの程度ですか？

イメージ容量、署名アルゴリズム、ハードウェアアクセラレーション、ストレージインターフェース、検証方式に依存します。固定値を保証せず、対象ハードウェア上で測定します。

TC387QP は AUTOSAR Adaptive に適していますか？

TC387QP は主に AUTOSAR Classic 型のリアルタイム制御に使用します。POSIX、Linux、QNX などの Adaptive 環境が必要な場合は、通常、高性能 SoC を別途評価し、SOME/IP などで Classic ECU と統合します。

メーカー資料

• Infineon TC387QP product page
• Infineon AURIX TC3xx documentation