JP2024051325A - 車両用攻撃分析装置、攻撃分析システム、攻撃分析方法、及び攻撃分析プログラム - Google Patents

Abstract

【課題】電子制御システムに対する攻撃・異常関係情報の生成に必要な情報を収集し、攻撃・異常関係情報を効率的に生成する。【解決手段】車両用攻撃分析装置１１は、車両の構成に関する情報のうち車両が有する情報である車両構成基本情報を記憶する記憶部１１１、車両が有していない情報である車両構成追加情報を受信する受信部１１２、車両構成基本情報及び車両構成追加情報からなる車両構成情報を第１及び第２の車両構成情報に分類する車両構成情報分類部１１５、第１の車両構成情報を外部装置に送信する送信部１１３、第２の車両構成情報に基づき第２の攻撃・異常関係情報を生成する攻撃・異常関係情報生成部１１６、第１及び第２の攻撃・異常関係情報を結合して攻撃・異常関係情報を生成する攻撃・異常関係情報結合部１１７及び攻撃を推定する攻撃推定部１１８を備える。受信部はまた、外部装置で生成した第１の攻撃・異常関係情報を受信する。【選択図】図４

Description

本発明は、主に自動車をはじめとする車両に搭載された電子制御システムに対する攻撃を分析する装置であって、車両用攻撃分析装置、攻撃分析システム、攻撃分析方法、及び攻撃分析プログラムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両が不正アクセスといったサイバー攻撃を受ける可能性が増加している。そのため、車両に対するサイバー攻撃を分析して、その対応策を構築することが必要とされている。

車両に発生した異常を検知して、検知した異常に基づいてサイバー攻撃を分析する手法として、様々なものがある。例えば、特許文献１には、検知した異常データを収集するとともに、異常が検出された項目の組み合わせと、攻撃毎に予め特定された異常検出パターンとを照合して、異常に対応する攻撃の種類を特定することが記載されている。

特開２０２０－１２３３０７号公報

ここで、本発明者は、以下の課題を見出した。
特許文献１のような既存の攻撃特定手法においては、検知した異常データと異常検出パターンとを照合するが、異常検出パターンは、車両の製造メーカや車種、年式により異なっている。また、同じ年式の車種でもディーラーオプションや仕向け地の相違、さらにはＥＣＵの交換やソフトウェアのアップデートの結果異なることがある。これらの多種多様な異常検出パターンを自動的に生成・管理するようにできれば、異常検出パターンの生成及び管理の工数が劇的に削減できることが期待される。

そこで、本発明は、攻撃・異常関係情報の生成に必要な情報を収集し、攻撃・異常関係情報を効率的に生成する車両用攻撃分析装置等を実現することを目的とする。

本開示の車両用攻撃分析装置（１１）は、車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置であって、
前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶する記憶部（１１１）と、
前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信する受信部（１１２）と、
前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類する車両構成情報分類部（１１５）と、
前記第１の車両構成情報を外部装置（３１）に送信する送信部（１１３）と、
前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成する攻撃・異常関係情報生成部（１１６）と、
前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報を前記外部装置から受信する前記受信部（１１２）と、
前記第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報を結合して攻撃・異常関係情報を生成する攻撃・異常関係情報結合部（１１７）と、
前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する攻撃推定部（１１８）と、
を備える。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、本開示の車両用攻撃分析装置等は、攻撃・異常関係情報の生成に必要な情報を収集し、攻撃・異常関係情報を効率的に生成することが可能となる。

各実施形態の車両用攻撃分析装置と電子制御システムＳ及びその他の装置の関係を説明する説明図 各実施形態の電子制御システムの構成を説明する説明図 各実施形態の攻撃・異常関係テーブルを説明する説明図 実施形態１の車両用攻撃分析装置１１の構成例を示すブロック図 実施形態１の車両用攻撃分析装置１１の攻撃・異常関係情報結合部の動作例１を説明する説明図 実施形態１の車両用攻撃分析装置１１の攻撃・異常関係情報結合部の動作例２を説明する説明図 実施形態１のＳＯＣサーバ３１の構成例を示すブロック図 実施形態１の攻撃分析システム１の動作を説明するフロー図 実施形態１の変形例の車両用攻撃分析装置１１の構成例を示すブロック図 実施形態１の変形例のＳＯＣサーバ３１の構成例を示すブロック図 実施形態１の変形例の攻撃分析システム１の動作を説明するフロー図 実施形態２の車両用攻撃分析装置１２の構成例を示すブロック図 実施形態２のＳＯＣサーバ３２の構成例を示すブロック図 実施形態２の攻撃分析システム２の動作を説明するフロー図 実施形態３の車両用攻撃分析装置１３の構成例を示すブロック図 実施形態３のＳＯＣサーバ３３の構成例を示すブロック図 実施形態３の攻撃分析システム３の動作を説明するフロー図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせてもよい。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．各実施形態の前提となる構成
（１）車両用攻撃分析装置と電子制御システムＳ及びその他の装置との関係
図１は、各実施形態の車両用攻撃分析装置と電子制御システムＳ及びその他の装置の関係を説明する図である。図１に示すように、各実施形態の車両用攻撃分析装置１１（１２、１３）及び電子制御システムＳは「車両」に「搭載」されている。ここでは、車両用攻撃分析装置１１（１２、１３）は電子制御システムＳとは別の装置として記載しているが、車両用攻撃分析装置１１（１２、１３）は電子制御システムＳに含まれる一つの装置としてもよい。
ここで、
「車両」とは、例えば、自動車、自動二輪車、自転車を含み、またこれらに限らない。
「搭載」される、とは、車両に直接固定されている場合の他、車両に固定されていないが車両と共に移動する場合も含む。例えば、車両に乗った人が所持している場合、車両に載置された積荷に搭載されている場合、が挙げられる。

車両用攻撃分析装置１１（１２、１３）は、電子制御システムＳに対するサイバー攻撃を分析する装置である。具体的には、電子制御システムＳを構成する複数の電子制御装置（以下、ＥＣＵ（Electronic Control Unit）と称する）に設けられたセキュリティセンサが生成したセキュリティログを取得してサイバー攻撃を分析する装置である。

図２は、電子制御システムＳの構成例を示す図である。電子制御システムＳは、複数のＥＣＵ２０から構成されている。図２は５つのＥＣＵ（ＥＣＵ２０ａ～ＥＣＵ２０ｅ）を例示しているが、当然のことながら、電子制御システムＳは任意の数のＥＣＵから構成される。以後の説明では、単数又は複数の電子制御装置全体を包括して説明する場合はＥＣＵ２０や各ＥＣＵ２０、個々の電子制御装置を特定して説明する場合はＥＣＵ２０ａ、ＥＣＵ２０ｂ、ＥＣＵ２０ｃ、・・・のように記載している。

図２の電子制御システムＳにおいては、ＥＣＵ２０ａ、ＥＣＵ２０ｃ、ＥＣＵ２０ｄ、及びＥＣＵ２０ｅにセキュリティセンサが搭載されている。これに対し、ＥＣＵ２０ｂにはセキュリティセンサが搭載されていない。このように、電子制御システムＳを構成する複数のＥＣＵ２０にセキュリティセンサが搭載されていればよく、必ずしも全てのＥＣＵ２０にセキュリティセンサが搭載されている必要はない。

電子制御システムＳは任意のＥＣＵで構成することができる。例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。また、ＥＣＵ同士が並列ではなく、マスタとスレーブとに分類されていてもよい。また、電子制御システムＳに、電子制御装置同士を接続するゲートウェイ機能を有するモビリティコンピュータ（ＭＣ）や外部との通信を行う外部通信ＥＣＵを設けてもよい。例えば、ＥＣＵ２０ａを外部通信ＥＣＵ、ＥＣＵ２０ｃをＭＣとしてもよい。
さらに、ＥＣＵ２０は、物理的に独立したＥＣＵである場合の他、仮想的に実現された仮想ＥＣＵ（あるいは、仮想マシンと呼ぶこともある。）であってもよい。

図１及び図２の場合、車両用攻撃分析装置１１（１２、１３）と電子制御システムＳを構成する各ＥＣＵ２０とは、例えばＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった車載通信ネットワークを介して接続されている。あるいは、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、有線無線を問わず任意の通信方式を用いて接続されてもよい。接続とは、データのやり取りが可能な状態をいい、異なるハードウェアが有線又は無線の通信ネットワークを介して接続されている場合はもちろん、同一のハードウェア上で実現された仮想マシン同士が仮想的に接続されている場合も含む。

ＳＯＣ（Security Operation Center）サーバ３１（３２、３３）（「外部装置」に対応）は、車両の外部でサイバー攻撃の検出や分析を行う装置であり、例えば車両に搭載した電子制御システムＳからセキュリティログを受信してサイバー攻撃を分析する。サイバー攻撃を分析するという点では、車両用攻撃分析装置１１（１２、１３）と同じ機能を有しているが、複数の車両からのセキュリティログを豊富なハードウェアリソースを用いて分析することができるので複雑かつ大量の分析を統計的に行うという分析態様に適している。ただし、ＳＯＣサーバ３１（３２、３３）は車両から見て遠隔地にあるので、リアルタイムで個別の車両におけるサイバー攻撃を検出するためには、車両に設けられた車両用攻撃分析装置１１（１２、１３）で分析を行う方が適している。

ＯＥＭセンタサーバ４０は、例えば車両メーカや部品メーカが自社で製造販売した車両や部品の情報を管理・保存する装置である。情報の詳細については実施形態１で説明する。

車両用攻撃分析装置１１（１２、１３）及び電子制御システムＳと、ＳＯＣサーバ３１
（３２、３３）及びＯＥＭセンタサーバ４０とは、無線通信方式又は／及び有線通信方式を用いて通信ネッワークを介して接続されている。
無線通信方式の例として、例えば、ＩＥＥＥ８０２．１１（Ｗｉ－Ｆｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等が挙げられる。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。
有線通信方式の例として、例えば、イーサネット（登録商標）等のＬＡＮ（Local Area Network）やインターネット、光回線、固定電話回線を用いることができる。車両が駐車場に駐車されていたり、修理工場に収容されている場合は、無線通信方式に代えて、有線通信方式を用いることができる。

この他、無線通信回線と有線通信回線とを組み合わせた通信回線であってもよい。例えば、車両用攻撃分析装置１１（１２、１３）とセルラーシステムにおける基地局装置との間は４Ｇ等の無線通信方式で、基地局装置とＳＯＣサーバ３１（３２、３３）若しくはＯＥＭセンタサーバ４０との間は通信事業者の基幹回線やインターネット等の有線通信方式で、それぞれ接続されてもよい。基幹回線とインターネットとの接点にはゲートウェイ装置を設けてもよい。
また、ＳＯＣサーバ３１（３２、３３）とＯＥＭセンタサーバ４０との間もインターネットをはじめ任意の回線を用いて通信を行うことが可能である。

なお、各実施形態において、車両用攻撃分析装置１１（１２、１３）とＳＯＣサーバ３１（３２、３３）とを合わせて、攻撃分析システム１（２、３）とする。

（２）攻撃・異常関係テーブル
図３を用いて、各実施形態で用いる攻撃・異常関係テーブルを説明する。
攻撃・異常関係テーブル（「攻撃・異常関係情報」に相当）は、電子制御システムＳが受けることが想定される攻撃の種別等を示す攻撃情報と、攻撃を受けた場合に電子制御システムＳにおいて発生することが予測される異常を示す予測異常情報、及び、予測される異常が発生する電子制御システムＳ内の位置を示す予測異常位置情報との対応関係を示すテーブルである。

図３は、攻撃・異常関係テーブルの一例を示す図である。図３に示す攻撃・異常関係テーブルでは、サイバー攻撃の種別（攻撃Ａ～Ｘ）毎に、電子制御システムＳがサイバー攻撃を受けた場合に生じる異常（予測異常情報に対応）と、異常が発生するＥＣＵの種別（予測異常位置情報に対応）を示している。サイバー攻撃を受けた場合、複数のＥＣＵで複数の異常が発生することが想定される。したがって、攻撃・異常関係テーブルは、攻撃を受けた場合に生じる複数の異常と、異常が発生したＥＣＵとの組み合わせを示すものであることが好ましい。なお、図３に示す例では、攻撃情報として、サイバー攻撃の種別（攻撃Ａ～Ｘ）に加え、当該サイバー攻撃を受けた場合に想定される攻撃の起点位置及び攻撃の対象位置を含んでいる。

例えば、攻撃種別が攻撃Ａであるサイバー攻撃を受けた場合、電子制御システムＳでは、外部通信ＥＣＵにおいて、異常Ａ、異常Ｃ、及び異常Ｄの異常が発生することが予測される。また、攻撃Ａの攻撃起点位置は電子制御システムＳの外部であり、攻撃対象位置は外部通信ＥＣＵである。なお、攻撃起点位置は、電子制御システムＳ内部の位置である場合の他、電子制御システムＳの外部である場合が想定される。攻撃起点位置が電子制御システムＳの外部であるとは、車外からサイバー攻撃を受けている場合である。

図３の攻撃・異常関係テーブルはデータ形式がテーブル状となっているが、任意の形式のデータベースであればよい。また、攻撃・異常関係テーブルの名称は任意である。例えば攻撃・異常関係テーブルは、パターンマッチングテーブル（ＰＭＴ）や、異常検出パターンと呼ばれることもある。

攻撃・異常関係テーブルは、電子制御システムＳを構成するＥＣＵの配置、ＥＣＵの接続関係（ネットワークトポロジともいう。）、ＥＣＵに設けられているセキュリティセンサの配置に基づき、ある攻撃があった場合にどのＥＣＵのどのセキュリティセンサがどの順に異常を検知するかのシミュレーションを行うことで、異常発生のパターンを作成・生成することができる。さらに、セキュリティセンサの監視対象やそのルールに関する情報に基づいてもよい。
もっとも攻撃・異常関係テーブルの作成・生成はこの方法に限られない。例えばＡＩや機械学習を用いてもよい。また、過去の攻撃におけるセキュリティセンサの異常発生パターンを用いて生成してもよい。

また、電子制御システムＳを構成するＥＣＵの配置、ＥＣＵの接続関係、ＥＣＵに設けられているセキュリティセンサの配置は、車両の構成に関する情報と紐づけることができる。したがって、これらが紐づけられたデータベースを用いることにより、車両の構成に関する情報を取得できれば、ＥＣＵの配置や接続関係等を介して異常発生のパターンを作成することができる。

２．実施形態１
（１）車両用攻撃分析装置１１の構成
図４は、本実施形態における車両用攻撃分析装置１１の構成を示すブロック図である。車両用攻撃分析装置１１は、記憶部１１１、受信部１１２、送信部１１３、制御部１１４を備える。また、制御部１１４は、車両構成情報分類部１１５、攻撃・異常関係情報生成部１１６、攻撃・異常関係情報結合部１１７、及び攻撃推定部１１８を実現している。

記憶部１１１は、「車両の構成」に関する情報のうち車両用攻撃分析装置１１を搭載する車両が有する情報である車両構成基本情報を記憶する。
ここで、「車両の構成」とは、車両全体に関係する構成の他、車両に搭載された機器や部品に関係する構成を含む。また、有体物だけでなく、プログラムやネットワーク等の無体物も含む。

車両構成基本情報として、以下の例が挙げられる。
車両全体に関係する情報として、車種、車両のモデル、年式、仕向け地等が挙げられる。
車両に搭載された電子制御システムＳに関係する情報として、ＥＣＵ等のハードウェアの種別やバージョン、インストールされているソフトウェア（ミドルウェアを含む）の種別やバージョン、セキュリティセンサの種別やバージョン、が挙げられる。その他、ネットワークトポロジ、セキュリティセンサの配置や仕様、が挙げられる。

さらに、車両構成基本情報として、ある攻撃に対して電子制御システムＳが構成される各ＥＣＵに搭載されたセキュリティセンサのうちどのセキュリティセンサが異常を検知するかを示す発火ルールを有していてもよい。あるいは、車両構成基本情報として、攻撃種別と攻撃経路を示す情報を有していてもよい。これらの情報を有していれば、シミュレーションを行うことなく攻撃・異常関係テーブルを生成することができる。

車両構成基本情報が記憶部１１１に記憶されるタイミングとしては、車両の出荷時の他、ディーラーオプション装着時、部品の修理交換時、ソフトウェアアップデート時、が挙げられる。車両の出荷時には、車両が出荷された際に有するオリジナルの構成を示す情報が記憶される。その後、オリジナルの構成に別の構成を追加、あるいはオリジナルの構成を別の構成に変更した際に、追加又は変更した構成に関する情報が記憶される。すなわち、車両構成基本情報は、車両の出荷から現在に至るまでの情報が反映されている。

記憶部１１１は、ＲＯＭ、フラッシュメモリ、ハードディスク（ＨＤＤ）等の不揮発性メモリであっても、ＤＲＡＭ、ＳＲＡＭ等の揮発性メモリであってもよい。不揮発性メモリに記憶している車両構成基本情報を読み出して揮発性メモリに展開してもよく、この場合はいずれも本実施形態の記憶部１１１に相当する。

受信部１１２は、「車両の構成」に関する情報のうち車両用攻撃分析装置１１を搭載する車両が有していない情報である車両構成追加情報を受信する。

車両構成追加情報の送信元は任意の装置であるが、信頼できる機器であることが望ましい。例えば、受信部１１２は、機器認証を用いて認証した装置若しくは認証された装置から車両構成追加情報を受信する。機器認証に代えて、受信する情報毎にメッセージ認証等を用いてもよい。
このような送信元の例として、ＳＯＣサーバ３１やＯＥＭセンタサーバ４０が挙げられる。

車両構成追加情報の例は、車両構成基本情報で挙げた例と同じである。車両構成基本情報として挙げた情報、例えばハードウェアの種別やバージョン、インストールされたソフトウェアの種別やバージョンが車両構成基本情報として記憶部１１１に記憶されていない場合は、これらの情報のリクエストをＳＯＣサーバ３１やＯＥＭセンタサーバ４０に送信し、これらから送信された情報を車両構成追加情報として受信する。受信した車両構成追加情報も記憶部１１１に記憶してもよい。

その他、車両構成追加情報の例として、車両の出荷後にメーカ側等で更新又は変更されたソフトウェアの情報、車両の出荷後にメーカ側等で追加された機器やハードウェアの種別、バージョン、又は接続先の情報、が挙げられる。

ある車両構成情報を、車両構成基本情報として車両の記憶部１１１に記憶しているか、それとも車両構成基本情報として車両の記憶部１１１に記憶はせず、ＯＥＭセンタサーバ４０等から車両構成追加情報として受信するかは、車両の製造者等が独自のルールに基づいて定めればよい。例えば、情報漏洩による被害が大きい情報や車両の製造者等が秘匿したい情報は、ＯＥＭセンタサーバ４０等で一元管理するようにしてもよい。
なお、「車両の構成」に関する情報を車両構成情報とする。車両構成情報は、車両構成基本情報と車両構成追加情報の両方を含む。

受信部１１２は、図４では１つのブロックで記載しているが、使用可能な通信方式に対応して複数の受信部として構成してもよい。

なお、受信部１１２は、車両構成追加情報の他、第１の攻撃・異常関係テーブルを外部装置から受信するが、これは後に説明する。

車両構成情報分類部１１５は、車両構成基本情報及び車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類する。第１の車両構成情報はＳＯＣサーバ３１に送信する車両構成情報であり、ＳＯＣサーバ３１で後述の攻撃・異常関係テーブルを生成するために用いられる。第２の車両構成情報は、ＳＯＣサーバ３１に送信せず車両自身で後述の攻撃・異常関係テーブルを生成するために用いられる。車両構成情報は、車両のプロファイルとも呼ばれる。

第１の車両構成情報に分類するか第２の車両構成情報に分類するかの基準としては様々な例が挙げられる。例えば、車両構成情報の情報セキュリティレベルが「所定のレベル」「よりも」低い場合は第１の車両構成情報に分類し、車両構成情報の情報セキュリティレベルが「所定のレベル」「よりも」高い場合は第２の車両構成情報に分類する。セキュリティレベルが高いものはなるべく通信機器を介して他の装置に送信せず車両内部で処理することにより、情報漏洩が発生した際の損害をなるべく抑えることができる。
ここで、
「所定のレベル」とは、レベルが一定の場合の他、条件によってレベルが変動してもよい。
「よりも」とは、情報のセキュリティレベルが所定のレベルと同じである場合を包含する場合、同じである場合を包含しない場合、のいずれもであってもよい。前者は算術記号では「≧」又は［≦］、後者は「＞」又は［＜］と記載される。

この他、攻撃・異常関係テーブルを生成するための演算量が多い車両構成情報は第１の車両構成情報に分類し、攻撃・異常関係テーブルを生成するための演算量が少ない車両構成情報は第２の車両構成情報に分類してもよい。これにより、より演算量の多い車両構成情報はＳＯＣサーバ３１で処理することにより、車両内部のリソースの使用を最小限に抑えるとともに、より早く攻撃・異常関係テーブルを生成することができる。
あるいは、プライバシーに関係しない情報は第１の車両構成情報に、プライバシーに関係する情報は第２の車両構成情報に分類してもよい。法規上や契約上外部装置に送信することができない情報は第２の車両構成情報に分類してもよい。
その他、車両の出荷後にメーカ側等で更新又は変更されたソフトウェアの情報、車両の出荷後にメーカ側等で追加された機器やハードウェアの種別、バージョン、又は接続先の情報、は、ＳＯＣサーバ３１側で攻撃・異常関係テーブルを生成するために必要な情報を持っていることが想定されるので、第１の車両情報に分類してもよい。

なお、車両構成情報のうち、第１の車両構成情報及び第２の車両構成情報のいずれにも含まれない情報があってもよい。
また、このような情報は、第２の車両構成情報に分類してもよい。この場合は、第２の車両構成情報は、車両構成情報のうち第１の車両構成情報を除いた残部である。

送信部１１３は、第１の車両構成情報をＳＯＣサーバ３１（「外部装置」に相当）に送信する。本実施形態では外部装置の例としてＳＯＣサーバ３１を挙げているが、その他の装置であってもよい。
なお、送信部１１３も、図４では１つのブロックで記載しているが、使用可能な通信方式に対応して複数の送信部として構成してもよい。

攻撃・異常関係情報生成部１１６は、第２の車両構成情報に「基づき」、電子制御システムＳが受ける攻撃を示す攻撃情報と、攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、予測される異常が発生する電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係テーブル（「第２の攻撃・異常関係情報」に相当）を生成する。攻撃・異常関係テーブルの内容及び生成方法は１．（２）で説明した通りである。
ここで、「基づき」とは、第２の車両構成情報の全部に基づく場合の他、少なくとも一部に基づく場合も含む。

これに対応して、ＳＯＣサーバ３１では、送信部１１３から送信された第１の車両構成情報に「基づき」、第１の攻撃・異常関係テーブル（「第１の攻撃・異常関係情報」に相当）を生成する。
そして、受信部１１２は、第１の攻撃・異常関係テーブルをＳＯＣサーバ３１から受信する。
ここで、「基づき」とは、第１の車両構成情報の全部に基づく場合の他、少なくとも一部に基づく場合も含む。

第１の攻撃・異常関係テーブルは、送信部１１３から送信された第１の車両構成情報に加え、電子制御システムＳを搭載している車両が有しておらずかつＳＯＣサーバ３１が有している第３の車両構成情報に基づき生成されたものであってもよい。すなわち、第１の攻撃・異常関係テーブルには、第１の車両構成情報に基づき生成されたテーブルに加え、第３の車両構成情報に基づき生成されたテーブルを含んでいてもよい。
さらに、第１の攻撃・異常関係テーブルには、ＳＯＣサーバ３１が有している車両構成情報以外の情報に基づき生成されたテーブルを含んでいてもよい。例えば、複数の車両から受信したセキュリティログに基づき統計的に求めた異常発生パターンを第１の攻撃・異常関係テーブルに含めてもよい。

攻撃・異常関係情報結合部１１７は、受信部１１２でＳＯＣサーバ３１から受信した第１の攻撃・異常関係テーブルと、攻撃・異常関係情報生成部１１６で生成した第２の攻撃・異常関係テーブルを結合して攻撃・異常関係テーブル（「攻撃・異常関係情報」に相当）を生成する。生成した攻撃・異常関係テーブルは、記憶部１１１に記憶してもよい。

図５及び図６を用いて、第１の攻撃・異常関係テーブルと第２の攻撃・異常関係テーブルとを結合して攻撃・異常関係テーブルを生成する様子を説明する。

図５において、（ａ）の部分は第２の攻撃・異常関係テーブル、（ｂ）の部分は第１の攻撃・異常関係テーブルであり、（ａ）と（ｂ）を結合して攻撃・異常関係テーブルとしている。例えば、車両の出荷時に車両がデフォルトで持っていた攻撃・異常関係テーブル部分を第２の攻撃・異常関係テーブルとして車両が複製等の手段で生成し、車両の出荷後新たに追加された車両構成情報を用いて生成する必要のある部分は第１の攻撃・異常関係テーブルとしてもよい。第１の攻撃・異常関係テーブルには、ＳＯＣサーバ３１が統計的に求めた異常発生パターンが含まれていてもよい。

これにより、新たに生成する攻撃・異常関係テーブルの部分はハードウェアリソースが豊富なＳＯＣサーバ３１で生成し、デフォルトで持っていた部分は処理の負担の軽い車両で生成することにより、攻撃・異常関係テーブルの生成を複数の装置で分担することができ、その結果攻撃・異常関係テーブルを効率よく生成することができる。

図６において、（ａ）の部分は第２の攻撃・異常関係テーブル、（ｂ）の部分は第１の攻撃・異常関係テーブルであり、（ａ）と（ｂ）を結合して攻撃・異常関係テーブルとしている。すなわち、図５の場合は行で分かれているのに対し、図６の場合は列で分かれている点が異なる。例えば、ディーラーオプション等、当該車両に特有のＥＣＵに関係するテーブルを第２の攻撃・異常関係テーブルとして車両が生成し、車両メーカ独自の情報で機密性が高いＥＣＵに関係するテーブルを第１の攻撃・異常関係テーブルとしてＳＯＣサーバ３１が生成してもよい。

これにより、機密性が高い情報に基づくテーブルの生成は一括してＳＯＣサーバ３１が行うことにより、情報漏洩のリスクを下げることができる。

攻撃推定部１１８は、攻撃・異常関係情報結合部１１７で生成した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する。すなわち、攻撃推定部１１８は、電子制御システムＳの各ＥＣＵのセキュリティセンサが生成したセキュリティログで示されたる異常発生パターンと攻撃・異常関係テーブルのそれとを比較し、所定のマッチング度（％）以上であれば、攻撃・異常関係テーブルの攻撃情報で特定する攻撃があったと推定する。

なお、攻撃・異常関係テーブルは、車両用攻撃分析装置１１で用いる他、ＳＯＣサーバ３１でも用いるようにしてもよい。そのために、送信部１１３は、攻撃・異常関係情報結合部１１７で生成した攻撃・異常関係テーブルをＳＯＣサーバ３１に送信してもよい。

（２）ＳＯＣサーバ３１の構成
図７は、本実施形態におけるＳＯＣサーバ３１の構成を示すブロック図である。ＳＯＣサーバ３１は、記憶部３１１、受信部３１２、送信部３１３、制御部３１４を備える。また、制御部３１４は、攻撃・異常関係情報生成部３１６、及び攻撃推定部３１８を実現している。

受信部３１２は、車両用攻撃分析装置１１から送信された第１の車両構成情報を受信する。

攻撃・異常関係情報生成部３１６は、受信部３１２で受信した第１の車両構成情報に基づき、第１の攻撃・異常関係テーブルを生成する。攻撃・異常関係情報生成部３１６の構成及び機能は、攻撃・異常関係情報生成部１１６と同じであるので、攻撃・異常関係情報生成部１１６の説明を引用する。

送信部３１３は、攻撃・異常関係情報生成部３１６で生成した第１の攻撃・異常関係テーブルを車両用攻撃分析装置１１に送信する。

なお、受信部３１２は、車両用攻撃分析装置１１から送信された攻撃・異常関係テーブルを受信し、記憶部３１１に記憶するとともに、攻撃推定部３１８における攻撃推定に用いてもよい。攻撃推定部３１８の構成及び機能は、攻撃推定部１１８と基本的には同じであるので、攻撃推定部１１８の説明を引用する。

（３）攻撃分析システム１の構成
図１で説明した通り、図４の車両用攻撃分析装置１１と図７のＳＯＣサーバ３１とを合わせて、攻撃分析システム１としている。以下、変形例やその他の実施形態においても同様である。

（４）攻撃分析システム１の動作
次に、図８を参照して、攻撃分析システム１の動作を説明する。図８は、攻撃分析システム１で実行される攻撃分析方法を示すだけでなく、攻撃分析システム１を構成する車両用攻撃分析装置１１及びＳＯＣサーバ３１それぞれの動作である攻撃分析方法を示すものであり、さらには車両用攻撃分析装置１１及びＳＯＣサーバ３１それぞれで実行可能な攻撃分析プログラムの処理手順を示すものでもある。そして、これらの処理は、図８に示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。以下、変形例やその他の実施形態のフロー図においても同様である。

車両用攻撃分析装置１１の記憶部１１１は、車両の構成に関する情報のうち車両用攻撃分析装置１１を搭載する車両が有する情報である車両構成基本情報を記憶する（Ｓ１１１）。
受信部１１２は、車両の構成に関する情報のうち車両用攻撃分析装置１１を搭載する車両が有していない情報である車両構成追加情報を受信する（Ｓ１１２）。
車両構成情報分類部１１５は、車両構成基本情報及び車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類する（Ｓ１１３）。
送信部１１３は、Ｓ１１３で分類した第１の車両構成情報をＳＯＣサーバ３１に送信する（Ｓ１１４）。
攻撃・異常関係情報生成部１１６は、Ｓ１１３で分類した第２の車両構成情報に基づき、電子制御システムＳが受ける攻撃を示す攻撃情報と、攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、予測される異常が発生する電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係テーブルを生成する（Ｓ１１５）。

ＳＯＣサーバ３１の受信部３１２は、車両用攻撃分析装置１１からＳ１１４で送信された第１の車両構成情報を受信する（Ｓ３１１）。
攻撃・異常関係情報生成部３１６は、Ｓ３１１で受信した第１の車両構成情報に基づき、第１の攻撃・異常関係テーブルを生成する（Ｓ３１２）。
送信部３１３は、Ｓ３１２で生成した第１の攻撃・異常関係テーブルを車両用攻撃分析装置１１に送信する（Ｓ３１３）。

車両用攻撃分析装置１１の受信部１１２は、ＳＯＣサーバ３１からＳ３１３で送信された第１の攻撃・異常関係テーブルを受信する（Ｓ１１６）。
攻撃・異常関係情報結合部１１７は、Ｓ１１６で受信した第１の攻撃・異常関係テーブルと、Ｓ１１５で生成した第２の攻撃・異常関係テーブルを結合して攻撃・異常関係テーブルを生成する（Ｓ１１７）。
送信部１１３は、Ｓ１１７で生成した攻撃・異常関係テーブルをＳＯＣサーバ３１に送信する（Ｓ１１８）。
攻撃推定部１１８は、Ｓ１１７で生成した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する（Ｓ１１９）。

ＳＯＣサーバ３１の受信部３１２は、車両用攻撃分析装置１１からＳ１１７で送信された攻撃・異常関係テーブルを受信する（Ｓ３１４）。
攻撃推定部３１８は、Ｓ３１４で受信した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する（Ｓ３１５）。

（５）小括
以上、本実施形態によれば、車両が有していない車両構成追加情報を受信して攻撃・異常関係テーブルを生成するものであり、攻撃・異常関係テーブルを生成するときに車両が車両構成追加情報を取得すればよいので、車両構成追加情報を車両の出荷時から車両が持っている場合に比べ、個々の車両から車両構成追加情報が漏洩するリスクを低減することができる。つまり、車両構成追加情報をＳＯＣサーバ３１やＯＥＭセンタサーバ４０等で一元管理することができ、車両構成追加情報が漏洩するリスクを低減することができる。
また、本実施形態によれば、車両構成情報を車両用攻撃分析装置とＳＯＣサーバ３１に振り分けてそれぞれで攻撃・異常関係テーブルのパーツを生成するので、攻撃・異常関係テーブルを効率よく生成することができる。

２．実施形態１の変形例
実施形態１は、第１の攻撃・異常関係テーブルと第２の攻撃・異常関係テーブルを車両用攻撃分析装置１１で結合して攻撃・異常関係テーブルを生成した。
本変形例では、第１の攻撃・異常関係テーブルと第２の攻撃・異常関係テーブルをＳＯＣサーバ３１で結合して攻撃・異常関係テーブルを生成する。

（１）車両用攻撃分析装置１１の構成
図９は、本変形例における車両用攻撃分析装置１１の構成を示すブロック図である。車両用攻撃分析装置１１は、記憶部１１１、受信部１１２、送信部１１３、制御部１１４を備える。また、制御部１１４は、車両構成情報分類部１１５、攻撃・異常関係情報生成部１１６、及び攻撃推定部１１８を実現している。本変形例の車両用攻撃分析装置１１では、実施形態１における攻撃異常関係情報結合部１１７は有していない。
以下、本変形例の特有の構成及び機能のみ説明し、実施形態１と共通の構成及び機能は図４の説明を引用し説明を省略する。

送信部１１３は、第１の車両構成情報に加え、攻撃異常関係情報生成部１１６で生成した第２の攻撃・異常関係テーブルを、ＳＯＣサーバ３１に送信する。送信するタイミングは第１の車両構成情報の送信と同時でもよいし、同時でなくてもよい。

受信部１１２は、第１の車両構成情報に基づきＳＯＣサーバ３１が生成した第１の攻撃・異常関係テーブルと、送信部１１３から送信した第２の攻撃・異常関係テーブルとをＳＯＣサーバ３１が結合して生成した攻撃・異常関係テーブルを、ＳＯＣサーバ３１から受信する。

攻撃推定部１１８は、受信部１１２で受信した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する。

（２）ＳＯＣサーバ３１の構成
図１０は、本変形例におけるＳＯＣサーバ３１の構成を示すブロック図である。ＳＯＣサーバ３１は、記憶部３１１、受信部３１２、送信部３１３、制御部３１４を備える。また、制御部３１４は、攻撃・異常関係情報生成部３１６、攻撃・異常関係情報結合部３１７、及び攻撃推定部３１８を実現している。本変形例のＳＯＣサーバ３１では、実施形態１のＳＯＣサーバ３１の構成に加えて、攻撃・異常関係情報結合部３１７を備えている。
以下、本変形例の特有の構成及び機能のみ説明し、実施形態１と共通の構成及び機能は図７の説明を引用し説明を省略する。

受信部３１２は、第１の車両構成情報に加え、第２の攻撃・異常関係テーブルを車両用攻撃分析装置１１から受信する。受信するタイミングは第１の車両構成情報の受信と同時でもよいし、同時でなくてもよい。

攻撃・異常関係情報生成部３１６は、受信部３１２で受信した第１の車両構成情報に基づき、第１の攻撃・異常関係テーブルを生成する。

攻撃・異常関係情報結合部３１７は、受信部３１２で受信した第２の攻撃・異常関係テーブルと、攻撃・異常関係情報生成部３１６で生成した第１の攻撃・異常関係テーブルを結合して攻撃・異常関係テーブルを生成する。

送信部３１３は、攻撃・異常関係情報生成部３１６で生成した第１の攻撃・異常関係テーブルを車両用攻撃分析装置１１に送信する。

（３）攻撃分析システム１の動作
次に、図１１を参照して、攻撃分析システム１の動作を説明する。実施形態１と同じステップは同じステップ番号を付与している。

車両用攻撃分析装置１１の記憶部１１１は、車両の構成に関する情報のうち車両用攻撃分析装置１１を搭載する車両が有する情報である車両構成基本情報を記憶する（Ｓ１１１）。
受信部１１２は、車両の構成に関する情報のうち車両用攻撃分析装置１１を搭載する車両が有していない情報である車両構成追加情報を受信する（Ｓ１１２）。
車両構成情報分類部１１５は、車両構成基本情報及び車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類する（Ｓ１１３）。
送信部１１３は、Ｓ１１３で分類した第１の車両構成情報をＳＯＣサーバ３１に送信する（Ｓ１１４）。
攻撃・異常関係情報生成部１１６は、Ｓ１１３で分類した第２の車両構成情報に基づき、電子制御システムＳが受ける攻撃を示す攻撃情報と、攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、予測される異常が発生する電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係テーブルを生成する（Ｓ１１５）。
送信部１１３は、Ｓ１１５で生成した第２の攻撃・異常関係テーブルをＳＯＣサーバ３１に送信する（Ｓ１５１）。

ＳＯＣサーバ３１の受信部３１２は、Ｓ１１４で送信された第１の車両構成情報を車両用攻撃分析装置１１から受信する（Ｓ３１１）。
攻撃・異常関係情報生成部３１６は、Ｓ３１１で受信した第１の車両構成情報に基づき、第１の攻撃・異常関係テーブルを生成する（Ｓ３１２）。
受信部３１２は、Ｓ１５１で送信された第２の攻撃・異常関係テーブルを車両用攻撃分析装置１１から受信する（Ｓ３５１）。
攻撃・異常関係情報結合部３１７は、Ｓ３１２で生成した第１の攻撃・異常関係テーブルと、Ｓ３５１で受信した第２の攻撃・異常関係テーブルを結合して攻撃・異常関係テーブルを生成する（Ｓ３５２）。
送信部３１３は、Ｓ３５２で生成した攻撃・異常関係テーブルを車両用攻撃分析装置１１に送信する（Ｓ３５３）。
攻撃推定部３１８は、Ｓ３５２で生成した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する（Ｓ３１５）。

車両用攻撃分析装置１１の受信部１１２は、ＳＯＣサーバ３１からＳ３５３で送信された攻撃・異常関係テーブルを受信する（Ｓ１５２）。
攻撃推定部１１８は、Ｓ１５２で受信した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する（Ｓ１１９）。

（４）小括
以上、本実施形態によれば、車両が有していない車両構成追加情報を受信して攻撃・異常関係テーブルを生成するものであり、攻撃・異常関係テーブルを生成するときに車両が車両構成追加情報を取得すればよいので、車両構成追加情報を車両の出荷時から車両が持っている場合に比べ、個々の車両から車両構成追加情報が漏洩するリスクを低減することができる。つまり、車両構成追加情報をＳＯＣサーバ３１やＯＥＭセンタサーバ４０等で一元管理することができ、車両構成追加情報が漏洩するリスクを低減することができる。
また、本実施形態によれば、車両構成情報を車両用攻撃分析装置とＳＯＣサーバ３１に振り分けてそれぞれで攻撃・異常関係テーブルのパーツを生成するので、攻撃・異常関係テーブルを効率よく生成することができる。

３．実施形態２
実施形態１や実施形態１の変形例は、車両用攻撃分析装置１１とＳＯＣサーバ３１とが共同して攻撃・異常関係テーブルを生成した。
本実施形態では、車両用攻撃分析装置１２が単独で攻撃・異常関係テーブルを生成する。

（１）車両用攻撃分析装置１２の構成
図１２は、本実施形態における車両用攻撃分析装置１２の構成を示すブロック図である。車両用攻撃分析装置１２は、記憶部１２１、受信部１２２、送信部１２３、制御部１２４を備える。また、制御部１２４は、攻撃・異常関係情報生成部１２６、及び攻撃推定部１２８を実現している。
以下、本実施形態の特有の構成及び機能のみ説明し、実施形態１と共通の構成及び機能は図４の説明を引用し説明を省略する。図１２において、図４と対応するブロックは下２桁を図４と同じ番号としているので、このルールに従って図４及びこれに対応する説明を図１２の説明と読み替えて引用する。

記憶部１２１は、車両の構成に関する情報のうち車両用攻撃分析装置１２を搭載する車両が有する情報である車両構成基本情報を記憶する。

受信部１２２は、車両の構成に関する情報のうち車両用攻撃分析装置１２を搭載する車両が有していない情報である車両構成追加情報を受信する。

攻撃・異常関係情報生成部１２６は、車両構成基本情報及び車両構成追加情報に基づき、電子制御システムＳが受ける攻撃を示す攻撃情報と、攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、予測される異常が発生する電子制御システムＳ内の位置を示す予測異常位置情報と、の対応関係を示す攻撃・異常関係テーブル（「攻撃・異常関係情報」に相当）を生成する。攻撃・異常関係テーブルの内容及び生成方法は１．（２）で説明した通りである。

送信部１２３は、攻撃・異常関係情報生成部１２６で生成した攻撃・異常関係テーブルをＳＯＣサーバ３２に送信する。

攻撃推定部１２８は、攻撃・異常関係情報生成部１２６で生成した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する。

（２）ＳＯＣサーバ３２の構成
図１３は、本実施形態におけるＳＯＣサーバ３２の構成を示すブロック図である。ＳＯＣサーバ３２は、記憶部３２１、受信部３２２、送信部３２３、制御部３２４を備える。また、制御部３２４は、攻撃推定部３２８を実現している。
以下、本実施形態の特有の構成及び機能のみ説明し、実施形態１と共通の構成及び機能は図７の説明を引用し説明を省略する。図１３において、図７と対応するブロックは下２桁を図７と同じ番号としているので、このルールに従って図７及びこれに対応する説明を図１３の説明と読み替えて引用する。

受信部３２２は、車両用攻撃分析装置１２から送信された攻撃・異常関係テーブルを受信する。

攻撃推定部３２８は、受信部３２２で受信した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する。

（３）攻撃分析システム２の動作
次に、図１４を参照して、攻撃分析システム２の動作を説明する。

車両用攻撃分析装置１２の記憶部１２１は、車両の構成に関する情報のうち車両用攻撃分析装置１２を搭載する車両が有する情報である車両構成基本情報を記憶する（Ｓ１２１）。
受信部１２２は、車両の構成に関する情報のうち車両用攻撃分析装置１２を搭載する車両が有していない情報である車両構成追加情報を受信する（Ｓ１２２）。
攻撃・異常関係情報生成部１２６は、Ｓ１２１で記憶した車両構成基本情報及びＳ１２２で受信した車両構成追加情報に基づき、電子制御システムＳが受ける攻撃を示す攻撃情報と、攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、予測される異常が発生する電子制御システムＳ内の位置を示す予測異常位置情報と、の対応関係を示す攻撃・異常関係テーブルを生成する（Ｓ１２３）。
送信部１２３は、Ｓ１２３で生成した攻撃・異常関係テーブルをＳＯＣサーバ３２に送信する。
攻撃推定部１２８は、Ｓ１２３で生成した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する（Ｓ１２５）。

ＳＯＣサーバ３２の受信部３２２は、車両用攻撃分析装置１２からＳ１２４で送信された攻撃・異常関係テーブルを受信する（Ｓ３２１）。
攻撃推定部３２８は、Ｓ３２１で受信した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する（Ｓ３２２）。

（４）小括
以上、本実施形態によれば、車両が有していない車両構成追加情報を受信して攻撃・異常関係テーブルを生成するものであり、攻撃・異常関係テーブルを生成するときに車両が車両構成追加情報を取得すればよいので、車両構成追加情報を車両の出荷時から車両が持っている場合に比べ、個々の車両から車両構成追加情報が漏洩するリスクを低減することができる。つまり、車両構成追加情報をＳＯＣサーバ３２やＯＥＭセンタサーバ４０等で一元管理することができ、車両構成追加情報が漏洩するリスクを低減することができる。
また、本実施形態によれば、車両用攻撃分析装置１２で攻撃・異常関係テーブルを生成するので、攻撃・異常関係テーブルの生成を自己完結することができる。

４．実施形態３
実施形態２では、車両用攻撃分析装置１２が単独で攻撃・異常関係テーブルを生成した。
本実施形態では、ＳＯＣサーバ３３が単独で攻撃・異常関係テーブルを生成する。

（１）車両用攻撃分析装置１３の構成
図１５は、本実施形態における車両用攻撃分析装置１３の構成を示すブロック図である。車両用攻撃分析装置１３は、記憶部１３１、受信部１３２、送信部１３３、制御部１３４を備える。また、制御部１３４は、攻撃推定部１３８を実現している。
以下、本実施形態の特有の構成及び機能のみ説明し、実施形態１と共通の構成及び機能は図４の説明を引用し説明を省略する。図１５において、図４と対応するブロックは下２桁を図４と同じ番号としているので、このルールに従って図４及びこれに対応する説明を図１５の説明と読み替えて引用する。

記憶部１３１は、車両の構成に関する情報のうち車両用攻撃分析装置１３を搭載する車両が有する情報である車両構成基本情報を記憶する。

受信部１３２は、車両の構成に関する情報のうち車両用攻撃分析装置１３を搭載する車両が有していない情報である車両構成追加情報を受信する。

送信部１３３は、車両構成基本情報及び車両構成追加情報をＳＯＣサーバ３３に送信する。

受信部１３２は、車両構成基本情報及び車両構成追加情報に基づきＳＯＣサーバ３３が生成した攻撃・異常関係テーブルを、ＳＯＣサーバ３３から受信する。

攻撃推定部１３８は、受信部１３２で受信した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する。

（２）ＳＯＣサーバ３３の構成
図１６は、本実施形態におけるＳＯＣサーバ３３の構成を示すブロック図である。ＳＯＣサーバ３３は、記憶部３３１、受信部３３２、送信部３３３、制御部３３４を備える。また、制御部３３４は、攻撃・異常関係情報生成部３３６、及び攻撃推定部３２８を実現している。
以下、本実施形態の特有の構成及び機能のみ説明し、実施形態１と共通の構成及び機能は図７の説明を引用し説明を省略する。図１６において、図７と対応するブロックは下２桁を図７と同じ番号としているので、このルールに従って図７及びこれに対応する説明を図１６の説明と読み替えて引用する。

受信部３３２は、車両用攻撃分析装置１３から送信された車両構成基本情報及び車両構成追加情報を受信する。

攻撃・異常関係情報生成部３３６は、車両構成基本情報及び車両構成追加情報に基づき、電子制御システムＳが受ける攻撃を示す攻撃情報と、攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、予測される異常が発生する電子制御システムＳ内の位置を示す予測異常位置情報と、の対応関係を示す攻撃・異常関係テーブルを生成する。攻撃・異常関係テーブルの内容及び生成方法は１．（２）で説明した通りである。

送信部３３３は、攻撃・異常関係情報生成部３３６で生成した攻撃・異常関係テーブルを車両用攻撃分析装置１３に送信する。

攻撃推定部３３８は、攻撃・異常関係情報生成部３３６で生成した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する。

（３）攻撃分析システム２の動作
次に、図１７を参照して、攻撃分析システム２の動作を説明する。

車両用攻撃分析装置１３の記憶部１３１は、車両の構成に関する情報のうち車両用攻撃分析装置１３を搭載する車両が有する情報である車両構成基本情報を記憶する（Ｓ１３１）。
受信部１３２は、車両の構成に関する情報のうち車両用攻撃分析装置１３を搭載する車両が有していない情報である車両構成追加情報を受信する（Ｓ１３２）。
送信部１３３は、Ｓ１３１で記憶した車両構成基本情報及びＳ１３２で受信した車両構成追加情報をＳＯＣサーバ３３に送信する（Ｓ１３３）．

ＳＯＣサーバ３３の受信部３３２は、車両用攻撃分析装置１３からＳ１３３で送信された車両構成基本情報及び車両構成追加情報を受信する（Ｓ３３１）。
攻撃・異常関係情報生成部３３６は、Ｓ３３１で受信した車両構成基本情報及び車両構成追加情報に基づき、電子制御システムＳが受ける攻撃を示す攻撃情報と、攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、予測される異常が発生する電子制御システムＳ内の位置を示す予測異常位置情報と、の対応関係を示す攻撃・異常関係テーブルを生成する（Ｓ３３２）。
送信部３３３は、Ｓ３３２で生成した攻撃・異常関係テーブルを車両用攻撃分析装置１３に送信する。
攻撃推定部３３８は、Ｓ３３２で生成した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する（Ｓ３２２）。

車両用攻撃分析装置１３の受信部１３２は、ＳＯＣサーバ３３からＳ３３３で送信された攻撃・異常関係テーブルを受信する（Ｓ１３４）。
攻撃推定部１３８は、Ｓ１３４で受信した攻撃・異常関係テーブルを用いて電子制御システムＳが受けた攻撃を推定する（Ｓ１３５）。

（４）小括
以上、本実施形態によれば、車両が有していない車両構成追加情報を受信して攻撃・異常関係テーブルを生成するものであり、攻撃・異常関係テーブルを生成するときに車両が車両構成追加情報を取得すればよいので、車両構成追加情報を車両の出荷時から車両が持っている場合に比べ、個々の車両から車両構成追加情報が漏洩するリスクを低減することができる。つまり、車両構成追加情報をＳＯＣサーバ３３やＯＥＭセンタサーバ４０等で一元管理することができ、車両構成追加情報が漏洩するリスクを低減することができる。
また、本実施形態によれば、ＳＯＣサーバ３３で攻撃・異常関係テーブルを生成するので、豊富なハードウェアリソースを用いて攻撃・異常関係テーブルを生成することができる。

５．その他
実施形態１及び３において、車両用攻撃分析装置１１（１３）は車両構成追加情報を受信することにより取得しているが、ＳＯＣサーバ３１（３３）から車両構成追加情報を受信する場合は、改めて同じ情報をＳＯＣサーバ３１（３３）に送信しなくてもよい。
また、各実施形態において攻撃・異常関係テーブルを生成するタイミングは、車両の出荷時や、車両の構成が変化した時、車両で用いるソフトウェアのバージョンアップがあった時、あるいはＳＯＣサーバ３１（３２、３３）等で新たなパターンを追加する必要が生じた時、などであってもよい。

６．総括
以上、本発明の各実施形態における車両用攻撃分析装置等の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される車両用攻撃分析装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。

また、本発明の車両用攻撃分析装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また車両用攻撃分析装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明の外部装置は、特にサーバ側で用いられることにより、各種サービスの提供を目的とするために用いられることが想定される。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の車両用攻撃分析装置は、主として自動車に搭載された電子制御システムが受けたサイバー攻撃を分析する装置を対象としているが、自動車に搭載されない通常のシステムに対する攻撃を分析する装置を対象としてもよい。

１１，１２，１３ 車両用攻撃分析装置、１１１ 記憶部、１１２ 受信部、１１３ 送信部、１１４ 制御部、１１５ 車両構成情報分類部、１１６ 攻撃・異常関係情報生成部、１１７ 攻撃・異常関係情報結合部、１１８ 攻撃推定部、３１，３２，３３ ＳＯＣサーバ、４０ ＯＥＭセンタサーバ、１，２，３ 攻撃分析システム

Claims (15)

1. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置であって、
   前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶する記憶部（１１１）と、
   前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信する受信部（１１２）と、
   前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類する車両構成情報分類部（１１５）と、
   前記第１の車両構成情報を外部装置（３１）に送信する送信部（１１３）と、
   前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成する攻撃・異常関係情報生成部（１１６）と、
   前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報を前記外部装置から受信する前記受信部（１１２）と、
   前記第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報を結合して攻撃・異常関係情報を生成する攻撃・異常関係情報結合部（１１７）と、
   前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する攻撃推定部（１１８）と、を備える、
   車両用攻撃分析装置（１１）。
2. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置であって、
   前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶する記憶部（１１１）と、
   前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信する受信部（１１２）と、
   前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類する車両構成情報分類部（１１５）と、
   前記第１の車両構成情報を外部装置（３１）に送信する送信部（１１３）と、
   前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成する攻撃・異常関係情報生成部（１１６）と、
   前記第２の攻撃・異常関係情報を前記外部装置に送信する前記送信部（１１３）と、
   前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報とを結合して生成した攻撃・異常関係情報を前記外部装置から受信する前記受信部（１１２）と、
   前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する攻撃推定部（１１８）と、を備える、
   車両用攻撃分析装置（１１）。
3. 前記車両構成追加情報は、機器認証を用いて認証した装置若しくは認証された装置から受信する、
   請求項１又は２記載の車両用攻撃分析装置。
4. 前記第１の車両構成情報は、情報のセキュリティレベルが所定のレベルよりも低い、
   請求項１又は２記載の車両用攻撃分析装置。
5. 前記第２の車両構成情報は、情報のセキュリティレベルが所定のレベルよりも高い、
   請求項１又は２記載の車両用攻撃分析装置。
6. 前記外部装置は、前記第１の車両構成情報に加え、前記車両が有しておらずかつ前記外部装置が有している第３の車両構成情報に基づき前記第１の攻撃・異常関係情報を生成する、
   請求項１又は２記載の車両用攻撃分析装置。
7. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置であって、
   前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶する記憶部（１２１）と、
   前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信する受信部（１２２）と、
   前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す攻撃・異常関係情報を生成する攻撃・異常関係情報生成部（１２６）と、
   前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する攻撃推定部（１２８）と、を備える、
   車両用攻撃分析装置（１２）。
8. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置であって、
   前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶する記憶部（１３１）と、
   前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信する受信部（１３２）と、
   前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を外部装置（３３）に送信する送信部（１３３）と、
   前記車両構成情報に基づき前記外部装置で生成した、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す攻撃・異常関係情報を前記外部装置から受信する前記受信部（１３２）と、
   前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する攻撃推定部（１３８）と、を備える、
   車両用攻撃分析装置（１３）。
9. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置、及び外部装置からなる攻撃分析システムであって、
   前記車両用攻撃分析装置（１１）は、
   前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶する記憶部（１１１）と、
   前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信する受信部（１１２）と、
   前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類する車両構成情報分類部（１１５）と、
   前記第１の車両構成情報を外部装置に送信する送信部（１１３）と、
   前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成する攻撃・異常関係情報生成部（１１６）と、
   前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報を前記外部装置から受信する前記受信部（１１２）と、
   前記第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報を結合して攻撃・異常関係情報を生成する攻撃・異常関係情報結合部（１１７）と、
   前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する攻撃推定部（１１８）と、を備え、
   前記外部装置（３１）は、
   前記第１の車両構成情報を受信する受信部（３１２）と、
   前記第１の車両構成情報に基づき、前記第１の攻撃・異常関係情報を生成する攻撃・異常関係情報生成部（３１６）と、
   前記第１の攻撃・異常関係情報を前記車両用攻撃分析装置に送信する送信部（３１３）と、を備える、
   攻撃分析システム（１）。
10. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置、及び外部装置からなる攻撃分析システムであって、
    前記車載攻撃分析装置（１１）は、
    前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶する記憶部（１１１）と、
    前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信する受信部（１１２）と、
    前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類する車両構成情報分類部（１１５）と、
    前記第１の車両構成情報を外部装置に送信する送信部（１１３）と、
    前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成する攻撃・異常関係情報生成部（１１６）と、
    前記第２の攻撃・異常関係情報を前記外部装置に送信する前記送信部（１１３）と、
    前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報とを結合して生成した攻撃・異常関係情報を前記外部装置から受信する前記受信部（１１２）と、
    前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する攻撃推定部（１１８）と、を備え、
    前記外部装置（３１）は、
    前記第１の車両構成情報を受信する受信部（３１２）と、
    前記第１の車両構成情報に基づき、前記第１の攻撃・異常関係情報を生成する攻撃・異常関係情報生成部（３１６）と、
    前記第２の攻撃・異常関係情報を前記車両用攻撃分析装置から受信する前記受信部（３１２）と、
    前記第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報を結合して攻撃・異常関係情報を生成する攻撃・異常関係情報結合部（３１７）と、
    前記攻撃・異常関係情報を前記車両用攻撃分析装置に送信する送信部（３１３）と、を備える、
    攻撃分析システム（１）。
11. 前記外部装置は、さらに、前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する攻撃推定部（３１８）、を備える、
    請求項９又は１０記載の攻撃分析システム。
12. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置で実行する攻撃分析方法であって、
    前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶し（Ｓ１１１）、
    前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信し（Ｓ１１２）、
    前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類し（Ｓ１１３）、
    前記第１の車両構成情報を外部装置に送信し（Ｓ１１４）、
    前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成し（Ｓ１１５）、
    前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報を前記外部装置から受信し（Ｓ１１６）、
    前記第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報を結合して攻撃・異常関係情報を生成し（Ｓ１１７）、
    前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する（Ｓ１１９）、
    攻撃分析方法。
13. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置で実行する攻撃分析方法であって、
    前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶し（Ｓ１１１）、
    前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信し（Ｓ１１２）、
    前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類し（Ｓ１１３）、
    前記第１の車両構成情報を外部装置に送信し（Ｓ１１４）、
    前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成し（Ｓ１１５）、
    前記第２の攻撃・異常関係情報を前記外部装置に送信し（Ｓ１５１）、
    前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報とを結合して生成した攻撃・異常関係情報を前記外部装置から受信し（Ｓ１５２）、
    前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する（Ｓ１１９）、
    攻撃分析方法。
14. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置で実行可能な攻撃分析プログラムであって、
    前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶し（Ｓ１１１）、
    前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信し（Ｓ１１２）、
    前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類し（Ｓ１１３）、
    前記第１の車両構成情報を外部装置に送信し（Ｓ１１４）、
    前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成し（Ｓ１１５）、
    前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報を前記外部装置から受信し（Ｓ１１６）、
    前記第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報を結合して攻撃・異常関係情報を生成し（Ｓ１１７）、
    前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する（Ｓ１１９）、
    攻撃分析プログラム。
15. 車両に搭載される電子制御システムに対する攻撃を分析する車両用攻撃分析装置で実行可能な攻撃分析プログラムであって、
    前記車両の構成に関する情報のうち前記車両が有する情報である車両構成基本情報を記憶し（Ｓ１１１）、
    前記車両の構成に関する情報のうち前記車両が有していない情報である車両構成追加情報を受信し（Ｓ１１２）、
    前記車両構成基本情報及び前記車両構成追加情報からなる車両構成情報を第１の車両構成情報及び第２の車両構成情報に分類し（Ｓ１１３）、
    前記第１の車両構成情報を外部装置に送信し（Ｓ１１４）、
    前記第２の車両構成情報に基づき、前記電子制御システムが受ける攻撃を示す攻撃情報と、前記攻撃を受けた場合に発生することが予測される異常を示す予測異常情報と、前記予測される異常が発生する前記電子制御システム内の位置を示す予測異常位置情報と、の対応関係を示す第２の攻撃・異常関係情報を生成し（Ｓ１１５）、
    前記第２の攻撃・異常関係情報を前記外部装置に送信し（Ｓ１５１）、
    前記第１の車両構成情報に基づき前記外部装置で生成した第１の攻撃・異常関係情報と前記第２の攻撃・異常関係情報とを結合して生成した攻撃・異常関係情報を前記外部装置から受信し（Ｓ１５２）、
    前記攻撃・異常関係情報を用いて前記電子制御システムが受けた攻撃を推定する（Ｓ１１９）、
    攻撃分析プログラム。