検証の階層（MIL/SIL/PIL/HIL/VIL）とは — 自動運転検証の全体像
自動運転システムの検証は、単一の手法では完結しない。モデル・ソフトウェア・チップ・実機・実車の各レベルで異なる手法が必要で、それらを階層的に統合して初めて安全を論証できる。本記事は、MIL→SIL→PIL→HIL→VILという5段階の検証階層の役割、AI時代に検証コストの重心がどこへ移るのか、認証でどう位置づけられるのかを整理する。結論を先に言えば、検証は「SILに投資し、HIL/VILを最小化する」方向へ収束しつつあるが、最高水準の認証の最終証拠としての実機検証は当面残る。
検証階層とは何か
検証階層とは、抽象度の異なる5段階（モデル・ソフト・チップ・実機・実車）で検証手法を使い分け、統合して安全を論証する枠組みである。これは機能安全（ISO 26262）のV字モデルの具体的な実装にあたる。
5段階の役割
各段階は、検証する対象と「現実への近さ」が異なる。
| 段階 | 検証対象 | 役割 |
|---|---|---|
| MIL（モデル） | 数学モデル・アルゴリズム | 概念的な正しさ・安定性を最初期に検証 |
| SIL（ソフト） | コンパイル済みソフト（仮想環境） | 実機なしで大規模・並列に検証 |
| PIL（チップ） | 実チップ上のソフト | プロセッサ固有の実行特性を検証 |
| HIL（実機） | 実機ECU/SoCを接続 | 物理的な応答遅延・最悪実行時間を検証 |
| VIL（実車） | 実車＋仮想交通環境 | 車両ダイナミクスを含む最終統合検証 |
開発の早い段階（MIL/SIL）でバグを見つけるほど修正コストが小さい——この「早期に寄せる（シフトレフト）」発想が、検証戦略の基本になる。
SILがクラウドで効く——AI時代の検証の中心
5段階のうち、AI時代に最も重要性が増しているのがSIL（ソフトウェアレベルの検証）である。コンパイル済みソフトを仮想環境で実行するため、実機に依存せず、クラウド上で大規模に並列実行できる。1台の実機ベンチで1日にこなせるテストを、クラウドのSIL環境では桁違いに並列実行できる。膨大なパラメータを持つAIモデルの、数百万に及ぶシナリオ検証には、このクラウドSILが不可欠だ。実機チップの量産開始前にSILで検証を終えておくことは、調達遅延などのスケジュールリスクの低減にもつながる。
SILの中身——仮想ECUの5段階
SILで動かすソフトは一様ではない。どこまでを量産と同じコードで動かすかによって、仮想ECU（vECU）は Level 0〜4 の段階に分けられる（業界団体 prostep ivip の推奨文書、2025年5月）。Level 0 は制御モデルだけ、Level 3 はハードウェアに依存しない量産の基盤ソフトまで含み、Level 4 は実機向けにコンパイルした量産バイナリを命令セットシミュレータでそのまま動かす。一般に、段階が上がるほど実機に近い挙動を確かめられる一方、シミュレータの作り込みと実行時間の負担が増える。
クラウドでの並列化の効果は、テスト同士の依存関係で決まる。2026年10月の自動車技術会で Hyundai Autoever が報告した例では、Level 4 の仮想ECUで4,632件のテストを並列実行するにあたり、テストを3つに分けた。他に依存しない試験が76.3%、特定の状態を前提とする試験が16.2%、実行順序を守る必要があり並列化できない試験が7.4%だった。順序を守る試験は専用の環境で順番に流すしかないため、この割合が大きいほど並列化の効果は頭打ちになる。
仮想ECUには、実機ではできない試験ができるという利点もある。同社の別の報告では、ASIL-B の駆動制御を対象にした故障注入730件のうち、メモリのビット反転や基盤ソフト内部の異常など378件（51.8%）が、仮想ECUでしか実施できなかった（出典：自動車技術会 2026年秋季大会 講演予稿、文献番号20266074・20266075）。ただし、仮想ECUで得た結果を安全の証拠に使うには、検証ツールとしての信頼性を別に論証する必要がある。
チップ・実機・実車——現実に近づける段階
PIL以降は、仮想環境では捉えられない現実の要素を検証する。PILでは実チップ上で、プロセッサ固有の演算精度やタイミングを検証する。とくにAI推論モデルを軽量化（量子化）した後の精度検証は、チップ固有の演算に依存するため、PILが欠かせない。HILは実機を接続し、物理的な応答遅延や最悪実行時間を含めて検証する、最高水準の機能安全認証の最終ベンチだ。自動緊急ブレーキの応答時間、ドライバー監視の精度、安全停止動作（最小リスク状態（MRC）への移行）といった安全クリティカルな要件は、HIL上の実時間検証なしには認証の証拠と認められない。VILは実車に仮想の交通環境を重ね、車両ダイナミクスを含む最も現実に近い検証を行う。
認証での位置づけとAI時代のコスト構造
ADAS/自動運転の検証コストは、AIの台頭で構造が変わりつつある。従来のルールベースではコードの網羅率がテストの十分性を示したが、膨大なパラメータを持つAIモデルには網羅率の概念が適用できない。そこで業界は「SIL段階での大規模なシナリオベース検証」へ投資を集中させている。生成AIで合成シナリオを作り、クラウドSILで大量に並列検証し、統計的に安全性を評価する——この流れが中心になりつつある（詳しくはシナリオベース検証）。シミュレーション結果を認証の証拠として使う枠組み（仮想ホモロゲーション）も整備されつつある。
ただし、最高水準の認証の最終証拠としての実機検証（HIL）と、型式認証で求められる実車検証（VIL）の役割は当面残る。検証は「SIL主体＋HIL最終検証＋VIL型式試験」という三層構成へ収束していくと見られる。
まとめ：検証は「SILに寄せ、実機を最小化」へ
検証階層の要点は、5段階を役割で使い分け、AI時代にはSILへ投資を集中させつつ、最高水準の認証の最終証拠として実機検証を残すことにある。自社で具体化する際の論点は次のあたりだ。
- どの検証をSILに寄せ、どこから実機（PIL/HIL/VIL）に移すか。
- AIモデルの軽量化後の精度を、チップ上でどう検証するか。
- シミュレーション検証を、認証の証拠としてどう位置づけるか。
機能安全のV字モデルはISO 26262と機能安全・ASILの構造を、シナリオの体系化はシナリオベース検証を、シミュレーション認証は仮想ホモロゲーションをあわせて参照してほしい。自社の検証基盤に即した階層設計は個別性が高く、具体化の段階では外部の視点を入れると論点整理が速い。