LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

仕様が固まったと思ったら、セキュリティの見直しが入る。規格への対応を進めていると、今度は接続する機器が増える——。組込み機器やIoT（モノのインターネット）の製品開発では、こうした変更の重なりが起こりがちです。要件の変化とは、製品やサービスに求められる機能や性能、守るべき条件が、開発の途中や製品の世代ごとに変わっていくことを指します。

どの要件がどのくらいの割合で変化しているかが分かれば、社内で抱える作業と外部に任せる作業を分ける手がかりになります。ただし万能ではなく、調査の順位がそのまま自社の案件に当てはまるわけではありません。本記事では、組込み/IoTの開発体制を考える担当者に向けて、IPA（情報処理推進機構）の調査で変化が多かった項目、回答の強さの違い、従業員数による違い、そして変更が重なるときの進め方を整理します。

要件の変化とは

要件の変化には、使う技術そのものが複雑になるもの、守るべき規格やセキュリティの条件が増えるもの、製品の使われ方が広がるものなど、性質の違うものが含まれます。IPAの「2022年度組込み/IoTに関する動向調査」は、この変化を14の項目に分けて企業に尋ねています。調査は2022年11月から12月に行われ、結果は2023年6月12日に発行されました。^*1

取り上げるのは、製品やサービスに関わる要件の変化を聞いた設問Q18です。Q18の回答数はN＝1,110で、ユーザー企業、メーカー企業、サブシステム提供企業、サービス提供企業、その他の5区分が集計の対象です。^*3 ユーザー企業は組込み/IoTの製品を利用して調達する側、メーカー企業は製品を開発して提供する側を指します。サブシステム提供企業は部品やサブシステム（製品の一部になる装置）を、サービス提供企業は受託開発や教育研修、運用などのサービスを提供する側です。

回答は、14の項目それぞれについて、当てはまる、やや当てはまる、あまり当てはまらない、当てはまらない、どちらともいえないの5段階から選ぶ形です。^*3 本記事では、「当てはまる」と「やや当てはまる」を合わせた割合を、その項目で変化が起きている企業の割合として見ていきます。1社がいくつの項目に当てはまると答えてもよいので、14項目を足し合わせても100％にはなりません。

どの項目で変化が多いのか

全体で最も多かったのは適用技術の複雑化・高度化で66.6％、次いでセキュリティ／プライバシー保護の強化が66.3％でした。^*2 3番目以降は、安全性の向上（機能安全への対応等）が58.8％、高速性／低遅延性の強化が52.3％、利用形態・利用方法の多様化が50.8％と続きます。ここまでの5項目は、いずれも回答企業の半数を超えています。機能安全は、機器が故障しても危険な状態にならないよう、設計の段階で備えておく考え方です。

中位には、「部品の増加、プラットフォームの増加」が48.3％、つながる対象の増加が47.4％、対応すべき規格等の増加が43.8％、運用時データの収集・活用拡大が42.4％、市場投入までの時間短縮が40.4％と並びます。^*2 下位は、開発・製造データの企業間共有への対応・強化が36.7％、出荷後・運用中の更新の迅速化（OTAなど）が34.1％、仕向地・出荷先の拡大が29.5％、システムオブシステムズへの対応・強化が24.8％でした。

OTAは、通信回線を使って、出荷した製品のソフトウェアを遠隔で更新する仕組みです。システムオブシステムズは、それぞれ独立して動く複数のシステムをつなぎ、一つの大きな仕組みとして動かすことを指します。仕向地は、製品を出荷して販売する国や地域のことです。中位の項目にあるプラットフォームは、製品の土台になる基盤を指します。

最も多い項目と最も少ない項目では、66.6％と24.8％で2倍を超える差があります。ただ、項目ごとに回答した企業の数も1,046から1,073まで少しずつ違うため、隣り合う項目の小さな差にはこだわらず、上位・中位・下位のまとまりとして見るほうが、社内の話し合いには使いやすいでしょう。組込みやファームウェアの開発そのものを外部に委託する場合の進め方は、「組込み/ファームウェア開発の外注」で扱っています。

「当てはまる」と「やや」の違い

上位2つの内訳を見ると、回答の形が少し違います。適用技術の複雑化・高度化は、当てはまるが27.2％、やや当てはまるが39.4％でした。セキュリティ／プライバシー保護の強化は、当てはまるが30.1％、やや当てはまるが36.2％です。^*2 合計では適用技術が0.3ポイント上ですが、「当てはまる」だけで並べると、セキュリティが2.9ポイント上に来ます。

合計で並べるか「当てはまる」だけで並べるかで順位が入れ替わるので、この2つはどちらが上とは決めず、同じくらい多い変化として扱うのが妥当です。回答数も1,073と1,072で、ほぼ同じでした。^*2 社内で優先順位を話し合うときに「1位は適用技術」と決めてしまうと、同じくらい多く挙がっているセキュリティの見直しが後回しになりかねません。

14の項目すべてに共通する形もあります。どの項目でも、「やや当てはまる」の割合が「当てはまる」を上回っていました。^*2 差が大きいのは中位から下位の項目で、たとえば対応すべき規格等の増加は、当てはまるが11.7％、やや当てはまるが32.1％と、3倍近くになります。

この分布からは、強く困っている変化が1つあるというより、小さな変化がいくつも同時に起きている様子がうかがえます。なお、当てはまるとやや当てはまるを分ける基準は回答者の判断に任されているため、この差から変化の深刻さまでは比べられません。

従業員数による違い

Q18には、従業員数で20人以下、21人から100人、101人以上の3つの層に分けた集計も載っています。^*2 上位の項目を見ると、適用技術の複雑化・高度化は順に64.5％、64.8％、71.8％、セキュリティ／プライバシー保護の強化は61.0％、65.6％、74.0％で、どちらも101人以上の層が最も高くなっています。層ごとの回答数は、20人以下が376から391、21人から100人が370から387、101人以上が296から303でした。

層による差が最も大きいのは安全性の向上で、51.7％、56.3％、71.0％と、最も高い層と最も低い層の差は19.3ポイントありました。^*2 ほかにも、市場投入までの時間短縮が13.9ポイント、運用時データの収集・活用拡大が13.3ポイント、セキュリティが13.0ポイントと、10ポイントを超える差が出ています。14項目のうち12項目で、101人以上の層が3つの層の中で最も高い割合でした。

例外の一つは高速性／低遅延性の強化で、52.6％、51.7％、52.5％と、差は0.9ポイントしかありません。もう一つは開発・製造データの企業間共有への対応・強化で、この2項目では101人以上の層が最も高くなっていません。^*2

3つの層は別々の企業の集まりで、同じ企業が規模を大きくしたときの変化を追ったものではありません。層によって値が違う理由も尋ねられていません。機能安全やセキュリティの規格、認証で何が動いているかは、「IoT機器のセキュリティ規制」で整理しています。

変更が重なるときはどう進めるのか

小さな変化がいくつも同時に起きるとき、困るのは作業の量そのものより、判断する人の時間が先に足りなくなることです。仕様をどう変えるか、変更を受け入れるかを決められる社員は限られており、その社員が決めるまで、変更の作業に手を付けられません。そこで、次の4つの順で整理しておくと進めやすくなります。

• いま届いている変更を、Q18の14項目のどれに当たるかで分類する
• 分類した変更を、設計の判断が要るものと、作業量が多いものに分ける
• 作業量が多い変更は、期間を決めて外部に委託する
• 判断が要る変更に、社員の時間を充てる

最初に14項目を使うのは、案件ごとにばらばらな呼び方をそろえるためです。「A社向けの暗号化対応」と「B製品の脆弱性（セキュリティ上の弱点）対応」が、どちらもセキュリティ／プライバシー保護の強化に当たると分かれば、同じ担当者が続けて判断できます。一覧にしておけば、どの項目の変更がいくつ重なっているかも見えます。

次の切り分けでは、仕様をどう変えるか、変更を受け入れるかどうかといった決定は、判断が要る変更に分類します。決まった仕様に沿って実装し、テストで確かめる作業は、作業量が多い変更に分類します。判断は製品の事情を知る社員でないと難しい一方、実装と検証は、手順が決まっていれば社外の人にも任せられます。

委託するときに期間を決めるのは、変更の量が時期によって増えたり減ったりするためです。変更が落ち着けば、委託する作業も減らせます。フリーランスを含む業務委託なら、変更の量に合わせて人数を増やしたり減らしたりしやすくなります。工程ごとにどこまで社外に委託しているかの分布は「工程別の内製化」で、必要な人数の決め方は「要員計画に必要な4つの数字と決める順番」で扱っています。

つまずきやすい点

一つ目は、上位の1項目だけに担当者を集めてしまうことです。どの項目も「やや当てはまる」が中心でした。1つの項目に人を集中させても、ほかの項目の変更が並行して届くので、判断を待っている変更は減りません。

二つ目は、判断まで社外に委ねてしまうことです。仕様を変えるかどうかの決定を委託先に任せると、製品全体の方針と合わない変更が入りやすくなります。委託するのは決まった仕様を形にする作業にとどめ、変更を受け入れるかどうかは社内で決めます。

三つ目は、調査の順位を自社の順位と取り違えることです。調査の割合は組込み/IoTの分野全体のもので、自社の製品で多い変化が同じ順に並ぶとは言えません。最初の手順で自社の変更を14項目に分類してみると、どの項目に作業が集まっているかを自社の件数で確かめられます。

外部に委託するときに確認しておきたい点

委託する作業は、項目名と作業名と期間で書き出しておきます。「セキュリティ／プライバシー保護の強化に当たる変更について、決まった仕様に沿った実装と結合テスト（部品をつないだ動作確認）を来月末まで」——このくらいまで書けていれば、委託先も必要な人数と経験を見積もれます。

もう一つは、判断する社員と作業する委託先とのやり取りの手順です。仕様について疑問が出たとき、誰に聞き、いつまでに答えが返るのかを決めておかないと、作業が判断待ちで止まります。変更が重なる時期ほど、この取り決めがあるかどうかで進み方が変わります。

まとめ：要件の変化で確かめておきたい3つの点

要件の変化が重なる開発を進めるうえで、確かめておきたい点は3つに整理できます。第一に、上位の適用技術の複雑化・高度化とセキュリティ／プライバシー保護の強化を、どちらが上とも決めずに同じくらい多い変化として扱うこと。第二に、どの項目も「やや当てはまる」が中心で、小さな変化がいくつも同時に起きると見込んでおくこと。第三に、変更を判断が要るものと作業量が多いものに分け、作業量が多い側を期間を決めて外部に委託することです。この3点を踏まえておけば、「どの変更も急ぎではないのに、全部が止まっている」という事態を避けやすくなります。変更の切り分けや人数の見積もりに迷いがあれば、外部の手を借りるのも一つの選択肢です。

よくある質問

出典

1. *1　参考：IPA「2022年度組込み/IoT産業の動向把握等に関する調査」（https://www.ipa.go.jp/digital/software-survey/kumikomi/kumikomi-iot2022.html）。出典：IPA。発行日（2023年6月12日、2023年7月25日一部改版）、調査期間（2022年11月〜12月）、配布数7,864件・回答数1,214件、回答者を参照（2026年9月確認）
2. *2　参考：IPA「組込み/IoTに関する動向調査」調査結果（PowerPoint）（https://www.ipa.go.jp/digital/software-survey/kumikomi/ps6vr7000001tewn-att/kumikomi-iot2022.pptx）。出典：IPA。Q18の比率と回答数（グラフのデータ値）を参照。上位2区分の合計はデータ値から計算し、図表を作成（編集・加工）（2026年9月確認）
3. *3　参考：IPA「組込み/IoTに関する動向調査」調査結果（https://www.ipa.go.jp/digital/software-survey/kumikomi/ps6vr7000001tewn-att/kumikomi-iot2022.pdf）。出典：IPA。Q18の設問文、集計対象の5区分、N、5段階の選択肢、従業員数別の3層を参照（2026年9月確認）
4. *4　参考：IPA「アンケート調査票」（https://www.ipa.go.jp/digital/software-survey/kumikomi/ps6vr7000001tewn-att/kumikomi-iot2022-chousahyou.xlsx）。出典：IPA。Q18の14の項目の並びと選択肢を参照（2026年9月確認）

Tweet