自動車業界の案件で気をつけたい規制とセキュリティのルール｜UN-R155/R156・特定改造等の許可・機能安全

自動車業界の案件で押さえておきたいルールは、国連WP29のサイバーセキュリティとソフトウェアアップデートの規則（UN-R155/R156）を取り込んだ国の保安基準、通信でソフトを書き換えるときの「特定改造等」の許可、そして機能安全の規格の3つです。どれもメーカーなどが国に対して負う仕組みや、開発の進め方を決める規格で、フリーランスには取引先の開発の手順やルールを通じて表れます。

大事なのは、条文を覚えることより、取引先の手順が「なぜそうなっているか」を知り、迷ったときに自分で決めずに確かめることです。この記事では、2026年10月時点で国土交通省の公式資料とe-Gov法令検索で確認できた内容をもとに整理します。個別の判断が必要な場合は、取引先の担当部門や専門家にご相談ください。

サイバーセキュリティとソフト更新：UN-R155/R156と国の保安基準

国連の規則が国内の基準に取り込まれた経緯

国土交通省の資料によると、日本は自動車の安全基準などの国際的な整合を図るため、国連の車両の基準に関する協定に1998年（平成10年）に加入し、この協定にもとづく規則（協定規則）を段階的に採用しています。国連の自動車基準調和世界フォーラム（WP29）で、サイバーセキュリティシステムに係る協定規則（第155号）と、プログラム等改変システムに係る協定規則（第156号）が採択されました。一般にUN-R155、UN-R156と呼ばれるものです。

これを受けて国土交通省は、2020年12月25日に保安基準などを改正しました。それまで自動運行装置を備えるクルマに適用していたサイバーセキュリティとソフトウェアアップデートの基準を、それ以外のクルマにも適用するという内容です。適用の時期は次のとおりと発表されています。

2026年10月時点では、表の時期はいずれも過ぎています。

基準が求めていること

国土交通省の資料は、国際基準の主な要件を次のように説明しています。

• サイバーセキュリティとソフトウェアアップデートの適切さを担保するための業務管理システムを確保すること
• サイバーセキュリティについて、車両のリスクアセスメント（リスクの特定・分析・評価）と、リスクへの適切な対処・管理を行い、対策の有効性を検証するための適切で十分な試験を行うこと
• 危険・無効なソフト更新の防止や、更新できることの事前確認など、ソフト更新の適切な実施を確保すること

国内の条文では、道路運送車両の保安基準第17条の2第3項が、自動車（一部の車両を除く）の電気装置は、サイバーセキュリティを確保できるものとして告示で定める基準に適合しなければならないと定めています。同条第4項は、電気装置に組み込まれたプログラム等の改変（書き換え）を確かに行えるものとして、告示で定める基準に適合しなければならないという趣旨を定めています。第4項は、二輪自動車や三輪自動車などを対象から除いています。

二輪自動車などへの広がり

2025年1月10日の改正では、UN-R155の改訂を受けて、サイバーセキュリティの規制の対象に二輪自動車、側車付二輪自動車、三輪自動車が加えられました。適用時期は、新型車が2029年7月1日、継続生産車が2031年7月1日とされています。二輪車の開発に関わる案件では、この適用時期を前提に準備が進められていることがあります。

通信でソフトを書き換える：特定改造等の許可

道路運送車両法第99条の3

クルマのソフトを通信で書き換えることには、法律上の許可の仕組みもあります。道路運送車両法第99条の3は、自動運行装置その他の装置に組み込まれたプログラム等を改変してクルマを改造する行為のうち、プログラム等が適切でなければクルマが保安基準に適合しなくなるおそれがあるものとして国土交通省令で定めるものを、電気通信回線を使うなどの方法で行う場合（改造のためのプログラム等を使用者などに提供する場合を含む）を「特定改造等」とし、あらかじめ国土交通大臣の許可を受けなければならないと定めています。

許可の基準は、申請者が特定改造等を適確に行う能力と体制を持つこと、改変後のクルマが保安基準に適合することです。許可を受けた者は、能力と体制を維持し、プログラム等の適切な管理と確実な改変などのために国土交通省令で定める事項を守らなければなりません。

国土交通省の2020年の改正では、この許可の基準に、UN-R155に定めるサイバーセキュリティを確保するための業務管理システムの要件に適合することが加えられました。2025年1月の改正では、許可の対象に二輪自動車などを加えるとともに、プログラム等の管理と確実な改変のための業務管理システムの要件と、サイバーセキュリティのための業務管理システムの要件を個別に審査し、それぞれ能力基準適合証明書を交付する形に改められています。

フリーランスの作業にどう表れるか

これらの基準や許可は、メーカーなどが国に対して負うものです。ただし、取引先がこの仕組みに沿って業務管理システムを作っていると、作業のルールとして次のような形で表れることがあります。

• ソフトの変更は、決められた申請・レビュー・承認の手順を通さないと取り込めない
• どの版のソフトがどの車両に配信されたかを追えるよう、構成管理のルールが細かい
• ソフトの署名や配信に使う鍵、試験用の車両や装置へのアクセスが限られた人に絞られている
• セキュリティの弱点に関する情報は、決められた窓口と手順でしか扱えない
• 自分が見つけた弱点の情報も、チームの外や個人の環境に持ち出してはいけない

コネクテッドのクラウドやソフト配信の基盤の案件は、一般的なWebの開発と同じ技術を使うことが多い一方で、このような手順の中で動くことになります。案件の種類ごとの違いは自動車業界のIT案件の記事で整理しています。

安全に関わるソフト：機能安全とSOTIF

規格の考え方

安全に関わるソフトの開発では、機能安全の規格に沿った進め方が求められることがあります。国土交通省の「自動運転移動サービス社会実装・事業化の手引き」は、用語を次のように説明しています。

国の自動運転のガイドラインでの位置づけ

国土交通省の「自動運転車の安全確保に関するガイドライン」（2024年6月策定、2025年9月改訂の第2版）は、レベル4の自動運転を行う一定の自動運転車を対象としたものです。安全性の評価の方法として、自動運行装置の不具合や故障に対応する観点で、ISO 26262やISO 21448などにもとづく機能安全の確保を行ったうえで、リスクシナリオの安全性を評価することが考えられる、と示しています。

規格に沿うかどうか、どの段階の要求を満たすかは、取引先の製品や契約で決まります。フリーランスとしては、安全に関わるソフトでは、要求と試験の対応づけ、レビューの記録、変更の影響の分析などの作業が、手順として細かく求められることを知っておくと、戸惑いが少なくなります。業務知識としての学び方は業務知識の記事、スキルシートでの書き方はスキルシートの記事で扱います。

情報の扱い：秘密と利用者の情報

自動車業界の案件で扱う情報には、発表前の車種や機能、仕様書、試験や不具合の記録など、取引先にとって重い秘密が多く含まれます。営業秘密の考え方や、技術情報を海外とやり取りするときの注意は、製造業と共通なので製造業の規制の記事をご覧ください。契約上の秘密の範囲は秘密保持契約の記事で整理しています。

コネクテッドや販売・アフターサービスの案件では、クルマの利用者やお客さまの情報を扱うことがあります。業務で個人情報を扱うときの契約と注意点は個人情報の委託の記事で解説しています。

3つのルールを実務に落とすチェックリスト

参画の前後で、次の点を確かめておくと安心です。

1. 取引先の規程を読む：情報セキュリティの規程、開発拠点への入場と機器の持ち込みのルール。取引先の規程に従う必要があるかの考え方は取引先の規程の記事で整理しています
2. 変更の手順を確かめる：ソフトの変更の申請・レビュー・承認の流れと、構成管理のルール
3. 作業の端末と環境を確かめる：貸与PCを使うか、試験の装置や車両にどこから接続してよいか。貸与PCの注意点は貸与PCの記事をご覧ください
4. 弱点や不具合の報告先を確かめる：誰に、どの手順で報告するか
5. 終了時の扱いを確かめる：資料・データの返還や廃棄の方法と、実績として話してよい範囲

よくある質問

UN-R155/R156の基準は、フリーランスにも守る義務がありますか？

保安基準や特定改造等の許可は、クルマやメーカーなどについて定められたもので、外部の作業者に直接の義務を定めたものではありません。ただし、取引先がこの基準に沿って業務管理の手順を決めている場合、契約や取引先の規程を通じて、その手順に従うことが求められます。どの手順が適用されるかは、取引先にご確認ください。

コネクテッドのクラウドの開発でも、自動車の基準は関係しますか？

クラウド側でも、クルマへのソフトの配信や、クルマとの通信に関わる部分は、サイバーセキュリティやソフト更新の業務管理の範囲に含まれることがあります。担当する部分がどこまで関わるかは取引先の判断によるため、参画時に確かめておくとよいでしょう。

機能安全の資格や研修を受けていないと、安全に関わる案件には入れませんか？

案件によって求められる条件は違います。規格に沿った開発の経験を条件にする案件もあれば、手順に沿って試験や記録を担う役割で参画できる案件もあります。案件の説明で、求められる経験と役割を確かめてください。