10月1日、Semiconductor Engineeringが「The Hidden Challenges of Edge AI Design」と題した記事を公開した。自動車・産業・医療など組み込み領域へのAI実装が加速する中、エッジAIチップの設計チームは「見かけの性能指標」に惑わされながら、AIモデルの進化速度とシリコン開発サイクルの根本的なギャップに直面している。この記事では、メモリ帯域・セキュリティ・ツールチェーン分断など、設計現場が抱える構造的問題が多角的に論じられている。

NPU TOPSは「見かけの数字」に過ぎない

エッジAI設計で最初に直面する落とし穴は、NPUのピークTOPS（毎秒テラ演算数：1秒あたり1兆回の演算を行う能力を示す単位）を最重要指標として追いかけてしまうことだ。

Efficient ComputerのCTO・共同創業者Graham Gobieski氏は、この問題を率直に指摘する。

「アーキテクトや設計者は、実際には誰も達成していない理論上の高いTOPS数を掲げることに終始している。現実の多くのワークロード（センサーフュージョンや自律制御など）では、アプリケーションの大部分はSoC上の汎用コアで動いており、そのコアは非効率だ。インテリジェントなアプリケーションを実現する本当の機会は、より速いNPUではなく、残りの80%のアプリケーションをAI部分と同じくらい効率化することにある。」

CadenceのGeorge Wall氏も同様の問題を指摘する。メモリ帯域が不十分だと演算ユニットはデータ待ちで止まり、どれだけ演算性能が高くても意味がない。 しかも設計者は、3〜5年後にユーザーがどんなネットワークを動かすかを知る術がない。

最大の構造問題：シリコンサイクルとモデル進化のギャップ

記事の核心はここにある。AIモデルの更新サイクルとシリコンの開発・量産サイクルの間には、埋めがたい時間的ギャップが存在する。

RambusのPaul Karazuba氏はこう述べる。

「チップ設計サイクルは、そのチップを搭載した製品のリリースよりも1年以上早く始まる。その間に、エッジアプリケーションが使うモデルも、利用可能なメモリも、電力要件も変わっていく。これが設計者に対して、変化する要件に適応できるチップを作ることへの注力を迫る。」

Siemens EDAのNiranjan Sitapure氏も、「AIモデルはシリコン開発サイクルより速く進化する。新しいアーキテクチャ、演算子、生成AIワークロードが継続的に登場し、ハードウェアプラットフォームへの適応圧力となっている」と補足する。

この問題への対応として、各社はいくつかのアプローチを取っている。

• ヘテロジニアスコンピュート（CPU・GPU・NPUといった異なる種類の演算ユニットを目的に応じて組み合わせ、役割を再定義して連携させる設計手法）
• プログラマブルなデータパス（新しい活性化関数やデータ型への対応）
• 拡張可能なメモリ設計（モデルサイズの増大に備える）
• セキュアなフィールドアップデート（OTA）機能

Imagination TechnologiesのRob Fisher氏は業界のトレンドをこう表現する。「CPUはより並列処理をこなそうとGPU的になり、NPUはより柔軟になろうとGPU的になりつつある。今は今日の性能を最後の一滴まで絞り出すよりも、将来に対してヘッジをかけようとする顧客が増えている。」

セキュリティは後付けでは成立しない

エッジAI特有の攻撃経路は広い。モデル、データ、暗号鍵、ファームウェア、推論パイプライン——これらすべてが標的になりうる。SynopsysのDana Neustadter氏は、セキュアなプラットフォームを持つことと、セキュアなアプリケーションを持つことは別物だと強調する。

セキュアブート・アテステーション・暗号化通信・トラステッド実行環境（TEE：OSや他のアプリケーションから隔離された、改ざん耐性のある安全な実行領域）があっても、アプリケーション層で以下の対策が別途必要だ。

• 認可制御：承認済みのユーザーとサービスだけが機密操作を実行できるようにする
• データ保護：ライフサイクル全体を通じて機密情報を適切に扱う
• 出力検証：AI結果が判断や物理動作を起こす前に検証する
• APIとクラウドセキュリティ：接続サービスの保護
• モデルとコンポーネントの保証：サードパーティ製モデルやプラグインの事前検証

典型的な誤解として挙げられているのが「セキュアなハードウェア上で動くAIの出力は信頼できる」という思い込みだ。廊下が空であるとモデルが報告しても、ソフトウェアが追加確認なしにその結果を受け入れれば、移動ロボットが障害物に衝突する。「AIは意思決定への入力を提供する。最終判断の唯一の根拠であってはならない」とNeustadter氏は述べる。

オープンソースモデルのサプライチェーンリスクも見落とされがちだ。隠れたバックドアを含むモデルは、セキュアなハードウェア上でも実行されてしまう。対策としてはプロベナンス（モデルや構成要素の出所・来歴を追跡可能な形で記録・検証すること）の確認、サプライヤーの評価、信頼できるリポジトリの使用、ソフトウェアBOM（SBOM：ソフトウェアを構成するコンポーネントの一覧表。サプライチェーンの透明性確保に使われる）の維持が挙げられている。

規制面では、EU Cyber Resilience Act（デジタル要素を持つ製品に対してサイバーセキュリティ要件を課すEU規制）およびEU AI Act（リスクレベルに応じてAIシステムの要件を定めるEU規制）への準拠が設計チームに新たな課題を与えている点も指摘されている。

ツールチェーンの分断という隠れたコスト

もう一つ記事が重点的に論じる問題が、NPU・CPU・DSPへのアプリケーション分割によるツールチェーン分断だ。

各プロセッサブロックの強みを活かすためにワークロードを分割する設計は理にかなって見えるが、実態はそう単純ではない。NPU向けの推論フレームワーク、CPU向けのRTOS・コンパイラ環境、DSP向けの専用ツールは、それぞれ異なるベンダーが提供しており、互いに統合されていないことが多い。設計チームは各ツールチェーンを個別に習得しなければならず、そのコストはブロック間のデータ移動オーバーヘッドとあわせて、分割設計で得られる演算効率の利益を容易に相殺してしまう。

Gobieski氏はさらに根本的な問題も挙げる。「インテリジェンスはデバイス上に収まらなければならない。これはつまり、アプリケーションコードが動く前に、ニューラルネットワークをオンデバイスのメモリに押し込む大量のエンジニアリングが必要だということだ。」

このツールチェーン分断の問題は、シリコンサイクルのギャップと表裏一体でもある。新しいモデルアーキテクチャへの対応が必要になるたびに、複数のツールチェーンにまたがる再検証コストが発生するからだ。ハードウェアの柔軟性だけでなく、ソフトウェアスタック全体の統合性が、エッジAI設計の競争力を左右するという点は、TOPSのような単一指標では見えてこない。

詳細はThe Hidden Challenges of Edge AI Designを参照していただきたい。