JP7359002B2 - サイバー攻撃分析支援装置 - Google Patents

Description

本発明は、サイバー攻撃を分析して問題解決を支援する装置であって、主に車両をはじめとする移動体に対するサイバー攻撃の分析及び支援を行うサイバー攻撃分析支援装置、サイバー攻撃分析支援方法、及びサイバー攻撃分析支援プログラムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両がサイバー攻撃を受ける可能性が増加している。

車両に対するサイバー攻撃は、サイバー攻撃により車両のコントロールを失うと人身に影響を及ぼす事故が発生する危険性が高いので、これを事前に予防すべく事案の分析が重要になる。

例えば、特許文献１には、サイバー攻撃の内容をユーザにわかりやすく提示するため、サイバー攻撃の攻撃者、攻撃手口、検知指標、観測事象、インシデント、対処措置、攻撃対象について情報の登録を受け付けるとともに、これらを表示する際に、代表するノードの配下のノードとして結線された状態で表示することが記載されている。

特開２０１８－３２３５５号公報

ここで、本発明者は、以下の課題を見出した。
車両に対するサイバー攻撃に対しては、車両のユーザであるドライバは自動車メーカーや自動車販売店に対して修理や対応の依頼を行うことが想定される。その際、ドライバはサイバー攻撃によって自ら体験した事象を報告することが考えられる。

しかしながら、サイバー攻撃分析支援システムでサイバー攻撃の検知情報を収集したとしても、どの攻撃がドライバの経験したサイバー攻撃と結びついているかを特定することは困難である。つまり、サイバー攻撃分析支援システム側では、サイバー攻撃に関するイベント情報をはじめ、問題事象が発生した原因のデータは保存されている。しかし、問題事象の再現自体が困難なので、ドライバがどのような体験をしたかという報告と問題事象が発生した原因とを結びつけることが難しい。

本発明は、サイバー攻撃に関する検知情報から、ユーザが体験したと推測される問題事象の再現を行うことを目的とする。

本開示のサイバー攻撃分析支援装置（１００）は、
通信ネットワークを介して端末装置（２００）から送信された検知情報が入力される入力部（１０１）と、
前記端末装置を構成する構成装置が受信する信号、及び前記構成装置と当該構成装置が有するユーザインターフェースとの関係、が記述された設計情報を記憶する記憶部（１０２）と、
前記検知情報に基づきサイバー攻撃の対象である攻撃対象構成装置又は攻撃対象信号を特定するとともに、前記設計情報を参照してサイバー攻撃の影響により前記端末装置のユーザが体験したと推測される事象である抽象的体験情報を生成する制御部（１０３）と、
前記抽象的体験情報を出力する出力部（１０４）と、を有する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、サイバー攻撃に関する検知情報から、ユーザが体験したと推測される問題事象の再現を行うことができる。

本開示の実施形態１及び実施形態２のサイバー攻撃分析支援装置と端末装置との関係を示す説明図 本開示の実施形態１のサイバー攻撃分析支援装置の構成例を示すブロック図 本開示の実施形態１のサイバー攻撃分析支援装置の記憶部に記憶された設計情報を示す説明図 本開示の実施形態１の端末装置の構成例を示すブロック図 本開示の実施形態１のサイバー攻撃分析支援装置の動作を説明するフローチャート 本開示の実施形態２のサイバー攻撃分析支援装置の構成例を示すブロック図 本開示の実施形態２のサイバー攻撃分析支援装置の記憶部に記憶された状態情報を示す説明図 本開示の実施形態２のサイバー攻撃分析支援装置の動作を説明するフローチャート 本開示の実施形態３のサイバー攻撃分析支援装置の構成例を示すブロック図 本開示の各実施形態で出力した抽象的体験情報及び具体的体験情報の利用方法を説明する説明図

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせても良い。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．実施形態１
（１）サイバー攻撃分析支援装置と端末装置の関係
図１を用いて、本実施形態のサイバー攻撃分析支援装置と端末装置の関係について、まず説明する。

サイバー攻撃分析支援装置１００（「サイバー攻撃分析支援装置」に相当）は、通信ネットワーク１０（「通信ネットワーク」に相当）を介して、車両に搭載された端末装置２００（「端末装置」に相当）と接続されている。端末装置２００は、本実施形態では、複数の電子制御装置（ＥＣＵ（Electric Control Unit）、以下ＥＣＵと略する。）が車載ネットワークで接続された車載電子制御システムを想定しているが、これに限定されるものではない。

ここで、「サイバー攻撃分析支援装置」とは、サイバー攻撃をはじめとする外部からの攻撃を分析する装置であれば足りる。例えば一般的にサーバ装置、監視装置、支援装置と呼ばれるものが相当し、具体的には各種サーバ装置、ワークステーション、パーソナルコンピュータ（ＰＣ）、が挙げられるが、電子制御装置（ＥＣＵ）、半導体回路素子、スマートフォン、携帯電話等であってもよい。
「通信ネットワーク」とは、無線通信ネットワークの他、有線通信ネットワークであってもよい。また、これらを組み合わせてもよい。
「端末装置」とは、当該サイバー攻撃分析支援装置と接続される装置をいい、例えば、一般的に、電子制御システム、車載コンピュータ、車載ネットワークシステムと呼ばれるものが相当するが、電子制御装置（ＥＣＵ）、半導体回路素子、パーソナルコンピュータ（ＰＣ）、スマートフォン、携帯電話等もこれに含まれる。

通信ネットワークは、無線通信方式の場合、例えば、ＩＥＥＥ８０２．１１（ＷｉＦｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等を用いることができる。あるいは、ＤＳＲＣ(Dedicated Short Range Communication)を用いることができる。
通信ネットワークは、有線通信方式の場合、例えば、ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。
無線通信ネットワークは、無線通信方式と有線通信方式とを組み合わせてもよい。例えば、端末装置２００とセルラーシステムにおける基地局装置との間は無線通信方式で、基地局装置とサイバー攻撃分析支援装置１００との間は、通信事業者の基幹回線やインターネット等の有線通信方式で、それぞれ接続されてもよい。

（２）サイバー攻撃分析支援装置の構成
図２を用いて、本実施形態のサイバー攻撃分析支援装置１００の構成について説明する。
サイバー攻撃分析支援装置１００は、入力部１０１、記憶部１０２、制御部１０３、及び出力部１０４を有する。

入力部１０１は、通信ネットワークを介して、端末装置２００から送信された「検知情報」が入力される。本実施形態の場合、端末装置２００を構成する各ＥＣＵ（「構成装置」に相当）が生成したイベントログに基づき、端末装置２００がこのイベントログを分析して検知情報を生成している。検知情報は、本実施形態の場合、攻撃対象となったＥＣＵを示す攻撃対象ＥＣＵ、又は攻撃対象となった信号を示す攻撃対象信号を含む。この他、攻撃対象信号をさらに詳細に特定し、攻撃対象パケット、攻撃対象ファイル、攻撃対象コンテンツ、攻撃対象プロセスを含めるようにしてもよい。
検知情報のその他の例は、後述の各実施形態の変形例で説明する。

ここで、「検知情報」とは、サイバー攻撃やそれを構成又は前提とする、個々のイベント又は異常を検知したことを示す情報であれば足り、例えばＣＡＮデータ、イベントログ、異常検知信号などが含まれる。
「構成装置」とは、端末装置を構成する装置であって、端末装置の機能の全部または一部を担う装置をいう。構成装置は、通常複数から構成されるが、単数であってもよい。例えば、端末装置が電子制御システムである場合、構成装置は個々の電子制御装置（ＥＣＵ）が相当する。

記憶部１０２は、端末装置２００を構成する各ＥＣＵが受信する信号、及び各ＥＣＵと当該ＥＣＵが有するユーザインターフェース（ＵＩ）との関係が記述された設計情報を記憶する。

図３は、本実施形態の設計情報の具体例を示したものである。
設計情報には、端末装置２００を構成する各ＥＣＵの名称と各ＥＣＵが受信又は送信する信号名とが対応づけられて記憶されている。例えば、車両の前面パネルの表示を制御するメータＥＣＵは、ドアの開閉状態を示すドア開閉状態情報、クルーズコントロール機能をＯＮ／ＯＦＦするためのスイッチの状態を示すクルーズコントロールＳＷ情報、エアコンの温度設定を示すエアコン温度情報を受信することが記述されている。電動パワーステアリングを制御するＥＰＳ（Electric Power steering System）ＥＣＵは、クルーズコントロールＳＷ情報を受信する。車載ネットワークの情報伝達を制御するＣＧＷ（Central GateWay）は、図３によれば信号の送受信は行っていない。車両を構成する車体の制御を行う車体ＥＣＵは、ドア開閉情報を送信する。

設計情報には、さらに端末装置２００を構成する各ＥＣＵと、各ＥＣＵに関係する車両のＵＩとが対応づけられて記憶されている。例えば、メータＥＣＵは、各種情報の表示を制御するＥＣＵであるから、画像表示部が対応付けられている。ＥＰＳＥＣＵは、ドライバが操作するステアリングを制御するＥＣＵであることから、操作入力部が対応付けられている。ＣＧＷはドライバに対する表示やドライバの操作とは関係ないので対応づけられているＵＩはない。車体ＥＣＵも同様の理由で対応付けられているＵＩはない。

ＵＩの例として、画像表示部や操作入力部の他、音声出力部や音声入力部が挙げられ、少なくともこれらの１つであれば足りる。画像表示部の例として、液晶ディスプレイやヘッドアップディスプレイが挙げられる。操作入力部の例として、タッチパネル、各種ボタンやダイヤルの他、アクセル、ブレーキ、クラッチ、ステアリング、パーキングブレーキ、シフトレバー、等が挙げられる。音声出力部の例として、スピーカーやヘッドセットが挙げられる。音声入力部の例として、マイクが挙げられる。設計情報に記述されるＵＩは、このような具体的又は詳細なＵＩを特定するものであってもよい。

設計情報は、車両毎に固有に設計される場合が多い。この場合は、検知情報に車両の種類やメーカーを特定する情報を含めることにより、サイバー攻撃分析支援装置１００の側で車両の種類に応じた適切な設計情報を参照することができる。

制御部１０３は、入力部１０１から入力された検知情報に「基づき」、サイバー攻撃の対象である攻撃対象ＥＣＵ（「攻撃対象構成装置」に相当）又は攻撃対象信号を特定する。本実施形態の場合は、検知信号中に攻撃対象ＥＣＵ又は攻撃対象信号を示す情報を含めているので、検知信号からこれらの情報を抽出すればよい。検知情報がその他の情報、例えば各ＥＣＵのイベントログの場合は、サイバー攻撃分析支援装置１００側でイベントログの分析を行い、攻撃対象ＥＣＵ又は攻撃対象信号を特定する。サイバー攻撃分析支援装置１００で分析を行う例については、後述の各実施形態の変形例で説明する。

ここで、「基づき」とは、検知情報を分析した結果を用いる場合の他、検知情報に含まれている情報を抽出して用いる場合も含む。

そして、制御部１０３は、設計情報を参照して、サイバー攻撃の影響により端末装置２００のユーザである車両のドライバが体験したと推測される事象である抽象的体験情報を「生成する」。

ここで、「生成する」とは、新たに生成する場合の他、予め記憶部に記憶している情報を選択し読み出す場合も含む。

例えば、入力部１０１に入力された検知信号中に攻撃対象ＥＣＵがメータＥＣＵであるという情報が含まれていたとする。制御部１０３は、図３の設計情報を参照することにより、メータＥＣＵが画像表示部に対応付けられていることが分かる。そこで、制御部１０３は、メータＥＣＵに対する攻撃により画像表示部に影響が出た可能性があるので、『メータパネルの表示に影響が出た可能性があります。』との内容を有する抽象的体験情報を生成する。

抽象的体験情報とは、攻撃対象ＥＣＵとＵＩの種類から特定される限度の事象であり、後述の具体的体験情報が詳細な事象であるのに対し、具体的体験情報よりも概略的な事象を示す情報である。

抽象的体験情報は、攻撃対象ＥＣＵとＵＩの種類の組み合わせに対応して、又はＵＩに対応して、記憶部１０２に予め生成して保存したものを読み出してもよい。もちろん、抽象的体験情報も含めて設計情報としてもよい。あるいは、人工知能（ＡＩ）や機械学習に基づき、制御部１０３が自ら新たに抽象的体験情報を生成してもよい。

抽象的体験情報の例として、以下のものが挙げられる。
画像表示部に影響が出た可能性がある場合、画像表示部に対応して、『表示に影響が出た可能性があります。』との抽象的体験情報を生成する。また、攻撃対象ＥＣＵと画像表示部の組み合わせに対応して、『＊＊＊の表示に影響が出た可能性があります。』との抽象的体験情報を生成する。『＊＊＊』は攻撃対象ＥＣＵから特定される情報で、例えばメータＥＣＵの場合は『メータパネル』、ヘッドアップディスプレイＥＣＵの場合は『ヘッドアップディスプレイ』とすることができる。

操作入力部に影響が出た可能性がある場合、操作入力部に対応して、『操作状況に影響が出た可能性があります。』との抽象的体験情報を生成する。また、攻撃対象ＥＣＵと操作入力部の組み合わせに対応して、『＊＊＊の操作に影響が出た可能性があります。』との抽象的体験情報を生成する。『＊＊＊』は攻撃対象ＥＣＵから特定される情報で、例えばＥＰＳＥＣＵの場合は『パワーステアリング』、ナビゲーションシステムを制御するカーナビゲーションＥＣＵの場合は、『ナビゲーションシステムへの入力』とすることができる。

音声出力部に影響が出た可能性がある場合、音声出力部に対応して、『音声に影響が出た可能性があります。』との抽象的体験情報を生成する。また、攻撃対象ＥＣＵと音声出力部の組み合わせに対応して、『＊＊＊の音声に影響が出た可能性があります。』との抽象的体験情報を生成する。『＊＊＊』は攻撃対象ＥＣＵから特定される情報で、例えばカーナビゲーションＥＣＵの場合は『案内』とすることができる。

音声入力部に影響が出た可能性がある場合、音声入力部に対応して、『音声入力の結果に影響が出た可能性があります。』との抽象的体験情報を生成する。また、攻撃対象ＥＣＵと音声入力部の組み合わせに対応して、『＊＊＊の音声入力の結果に影響が出た可能性があります。』との抽象的体験情報を生成する。『＊＊＊』は攻撃対象ＥＣＵから特定される情報で、例えばカーナビゲーションＥＣＵの場合は『目的地情報』とすることができる。

これらは、攻撃対象ＥＣＵが特定される場合の例であるが、攻撃対象信号が特定される場合であっても同様である。例えば、入力部１０１に入力された検知信号中に攻撃対象信号がクルーズコントロールＳＷ情報であるという情報が含まれていたとする。制御部１０３は、図３の設計情報を参照することにより、クルーズコントロールＳＷ情報を受信するＥＣＵがメータＥＣＵ及びＥＰＳＥＣＵに対応付けられていることが分かる。そこで、制御部１０３は、メータＥＣＵを介して画像表示部に影響が出た可能性があるので、『メータ表示に影響が出た可能性があります。』との内容を有する抽象的体験情報を生成する。また、制御部１０３は、ＥＰＳＥＣＵを介して操作入力部に影響が出た可能性があるので、『パワーステアリングの操作に影響が出た可能性があります。』との内容を有する抽象的体験情報を生成する。

出力部１０４は、制御部１０３で生成した抽象的体験情報を出力する。出力先は、例えばディスプレイやプリンタ、ハードディスク等の外部記憶装置、他のサーバやパーソナルコンピュータ（ＰＣ）とすることができる。あるいは、端末装置２００や端末装置２００を搭載する車両に対して送信してもよい。

サイバー攻撃分析支援装置１００は、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図２に記載の各機能ブロックの機能を発揮させるように構成することができる。後述の図４で示される端末装置２００や、他の実施形態のサイバー攻撃分析支援装置においても同様である。
もちろん、サイバー攻撃分析支援装置１００、又は端末装置２００を、ＬＳＩ等の専用のハードウェアで実現してもよい。

（３）端末装置の構成
図４を用いて、本実施形態の端末装置２００の構成について説明する。
端末装置２００は、電子制御装置（「構成装置」に相当）として、メータＥＣＵ２０１、ＥＰＳＥＣＵ２０２、車体ＥＣＵ２０３、ＣＧＷ２０４、通信ＥＣＵ２０５を有する。

これらのＥＣＵ同士は車載ネットワークで接続されており、例えば、ＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いることができる。

端末装置２００は、本実施形態では「移動体」である車両に「搭載されている」。もっとも、端末装置２００は、必ずしも移動体に搭載されている必要はなく、固定物に搭載されていてもよい。

ここで、「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
「搭載されている」とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

メータＥＣＵ２０１は、車両の前面パネルの表示を制御する。ＥＰＳＥＣＵ２０２は、電動パワーステアリングを制御する。車体ＥＣＵ２０３は、車体の制御を行う。そして、それぞれのＥＣＵは、それぞれのＥＣＵの機能に応じたデータを送信する。例えば、車載ネットワークにＣＡＮを用いている場合、ＣＡＮのフォーマットに即したＣＡＮデータを送信する。本実施形態ではＣＡＮデータを例に挙げているが、これは一例であり、任意のデータ形式を採ることができる。
また、各ＥＣＵはＣＡＮデータを分析し、イベントログを生成して送信する。イベントログは、例えば各ＥＣＵがＣＡＮデータに基づき各ＥＣＵで異常を検出された場合に生成されるセキュリティイベントログが挙げられる。

その他、端末装置２００は任意のＥＣＵで構成することができる。例えば、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が挙げられる。また、ＥＣＵ同士が並列ではなく、マスターとスレーブとに分類されていてもよい。

ＣＧＷ２０４は、各ＥＣＵからイベントログを収集するイベントログ収集部２０６、及びイベントログから検知情報を生成する検知情報生成部２０７を有する。

イベントログ収集部２０６は、メータＥＣＵ２０１、ＥＰＳＥＣＵ２０２、及び車体ＥＣＵ２０３からイベントログを収集する。そして、収集したイベントログは、検知情報生成部２０７に出力される。

検知情報生成部２０７は、イベントログ収集部２０６から入力されたイベントログに基づき、検知情報を生成する。例えば、異常を検知したＥＣＵを攻撃対象ＥＣＵとし、また異常が検知された信号を異常検知信号とする検知情報を生成する。

通信ＥＣＵ２０５は、検知情報生成部２０７で生成した検知情報を、通信ネットワーク１０を介してサイバー攻撃分析支援装置１００に送信する。検知情報を送信するタイミングは、車両側が定期的かつ自発的に送信してもよいし、サイバー攻撃分析支援装置１００からのリクエストに応じて送信してもよい。サイバー攻撃分析支援装置１００からのリクエストのタイミングは、定期的又はサイバー攻撃を検知した時のいずれでもよい。

本実施形態では、イベントログ収集部２０６及び検知情報生成部２０７を、ＣＧＷ２０４に設ける例を挙げているが、これらをＣＧＷ２０４以外のＥＣＵに設けるようにしてもよい。例えば、専用の検知情報生成用ＥＣＵや、通信ＥＣＵ２０５に設けるようにしてもよい。

（４）サイバー攻撃分析支援装置の動作
図５のフローチャートを用いて、サイバー攻撃分析支援装置１００の動作を説明する。
なお、以下の動作は、サイバー攻撃分析支援装置１００におけるサイバー攻撃分析支援方法を示すだけでなく、サイバー攻撃分析支援装置１００で実行されるサイバー攻撃分析支援プログラムの処理手順を示すものである。
そして、これらの処理は、図５で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。
以上、本実施形態だけでなく、他の実施形態や変形例においても同様である。

サイバー攻撃分析支援装置１００の入力部１０１に、通信ネットワークを介して端末装置２００から送信された検知情報が入力される（Ｓ１０１）。例えば、本実施形態において、検知情報は、攻撃対象信号がクルーズコントロールＳＷ情報であるという情報が含まれているとする。

制御部１０３は、設計情報を記憶部１０２から読み出す（Ｓ１０２）。

制御部１０３は、Ｓ１０１で入力された検知情報に基づき、サイバー攻撃の対象である攻撃対象構成装置又は攻撃対象信号を特定するとともに、設計情報を参照してサイバー攻撃の影響により端末装置２００のユーザが体験したと推測される事象である抽象的体験情報を生成する（Ｓ１０３）。本実施形態では、検知情報から攻撃対象信号としてクルーズコントロールＳＷ情報を抽出する。そして、Ｓ１０２で読み出した図３の設計情報を参照し、クルーズコントロールＳＷ情報が受信されるＥＣＵがメータＥＣＵ及びＥＰＳＥＣＵであると特定し、これらに対応付けられているＵＩが画像表示部及び操作入力部であると特定する。そして、画像表示部に対応して、『メータ表示に影響が出た可能性があります。』との内容を有する抽象的体験情報を生成する。また操作入力部に対応して、『パワーステアリングの操作に影響が出た可能性があります。』との内容を有する抽象的体験情報を生成する。

出力部１０４は、Ｓ１０３で生成した抽象的体験情報を出力する（Ｓ１０４）。

（５）小括
以上、本実施形態のサイバー攻撃分析支援装置１００、及び当該装置で実行される方法及びプログラムによれば、構成装置と当該構成装置が有するＵＩとの関係が記述された設計情報を用いることにより、ユーザが体験したと推測される問題事象の再現を行うことができる。

２．実施形態２
（１）サイバー攻撃分析支援装置の構成
実施形態１では、サイバー攻撃分析支援装置１００は、設計情報を参照して抽象的体験情報を生成、出力した。本実施形態では、さらに状態情報を参照して具体的体験情報を生成、出力する例を示す。
なお、本実施形態においても、サイバー攻撃分析支援装置と端末装置の全体の関係は図１で示されるものと同様である。また、実施形態１で説明したものと同じ構成、機能、データは、実施形態１の説明を引用する。

図６を用いて、本実施形態の本実施形態のサイバー攻撃分析支援装置１２０の構成について説明する。
サイバー攻撃分析支援装置１００は、入力部１２１、記憶部１２２、制御部１２３、及び出力部１２４を有する。

入力部１２１には、検知情報の他、さらに端末装置２００から送信された「検知時刻」が入力される。検知時刻は、検知情報が検知された時刻をいう。検知情報は、実施形態１で説明したものと同じである。端末装置２００の検知情報生成部２０７は、イベントログに基づき、異常が検知された時刻を検知時刻として生成する。

ここで、「検知時刻」とは、絶対時刻の他、基準時からカウントするタイマーの値や、順序を示すカウンターの値であってもよい。

記憶部１２２は、設計情報に加えて、特定の時刻における信号の内容を示す状態情報を記憶する。

図７は、本実施形態の設計情報の具体例を示したものである。
状態情報には、端末装置２００を構成する各ＥＣＵが受信又は送信する信号の具体的な内容が、それぞれのイベントが発生した時刻と対応づけられて記憶されている。例えば、１２月１７日１７時２０分３１秒に発生したイベント番号１のイベントでは、ドア開閉状態情報はドアが開いているという内容であるＯＮが、クルーズコントロールＳＷ情報はクルーズコントロール機能を動作させるという内容であるＯＮが、エアコン温度情報はエアコンの設定温度が摂氏３０度であるという３０が、それぞれ記憶されている。

状態情報は、端末装置２００の車載ネットワークにＣＡＮが用いられている場合、ＣＡＮフォーマットに即したＣＡＮデータをそのまま用いることができる。すなわち、入力部１２１には、検知情報として、又は検知情報とは別に、端末装置２００から送信された状態情報が入力される。

状態情報に含めることができる信号の他の例として、走行状態信号（高速走行、低速走行、停止）、電源状態信号（ＡＣＣ ＯＮ／ＯＦＦ、ＩＧ ＯＮ／ＯＦＦ、ＲＥＡＤＹ ＯＮ／ＯＦＦ）、シフト状態信号（Ｐ／Ｄ／Ｂ／Ｎ／Ｒ）、車体スイッチ状態信号（ブロア風量、Ａ／Ｃ ＯＮ／ＯＦＦ、温度、各ドア 開／閉）、ライト状態信号（ライト ＯＦＦ／Ｌｏ／Ｈｉ、フロント・リアフォグ ＯＮ／ＯＦＦ）が挙げられる。その他、交差点での信号待ち状態を示す信号、ＡＣＣ作動信号、レーンキープアシスト信号、プリクラッシュセーフティ信号、などを含めてもよい。

制御部１２３は、実施形態１と同様、入力部１２１から入力された検知情報に「基づき」、サイバー攻撃の対象である攻撃対象信号を特定する。本実施形態の場合も、検知信号中に攻撃対象信号を示す情報を含めているので、検知信号から攻撃対象信号を抽出すればよい。

そして、制御部１２３は、図７の状態情報及び入力部１２１に入力された検知時刻を参照して、サイバー攻撃の影響により端末装置２００のユーザである車両のドライバが体験したと推測される具体的な事象である具体的体験情報を生成する。
本実施形態の場合、制御部１２３は、具体的体験情報に加え、実施形態１で説明した抽象的体験情報を生成してもよい。

例えば、入力部１２１に入力された検知信号中に攻撃対象信号がエアコン温度情報であるという情報が含まれていたとする。制御部１２３は、図７の設計情報のうち検知時刻に対応するイベント時刻の信号の内容を参照することにより、エアコン温度情報は摂氏３０度であることが分かる。そこで、制御部１２３は、『エアコン温度表示が３０℃になっている可能性があります。』との内容を有する具体的体験情報を生成する。

具体的体験情報とは、各信号の内容から特定される事象であり、前述の抽象的体験情報よりもより具体的な事象である。

具体的体験情報も、各信号の種類に対応して、記憶部１２２に予め生成して保存したものを読み出してもよい。もちろん、具体的体験情報も含めて状態情報としてもよい。あるいは、人工知能（ＡＩ）や機械学習に基づき、制御部１２３が自ら新たに具体的体験情報を生成してもよい。

具体的体験情報の例として、以下のものが挙げられる。
ドア開閉状態情報が攻撃対象となった場合、状態情報からドア開閉状態情報の内容を読み出して、『ドアが開いていると表示された可能性があります。』との具体的体験情報を生成する。また、クルーズコントロールＳＷ情報が攻撃対象となった場合、状態情報からクルーズコントロールＳＷ情報の内容を読み出して、『クルーズコントロール機能がＯＮであると表示された可能性があります。』との具体的体験情報を生成する。エアコン温度情報が攻撃対象となった場合、状態情報からエアコン温度情報の内容を読み出して、『エアコン温度表示が＊＊＊℃になっている可能性があります。』との具体的体験情報を生成する。『＊＊＊』はエアコン温度情報の内容で、図７の場合は３０である。

出力部１２４は、制御部１２３で生成した具体的体験情報を出力する。本実施形態では、出力部１２４は、制御部１２３が抽象的体験情報を生成した場合は、具体的体験情報に加えて抽象的体験情報も出力してもよい。すなわち、出力部１２４は、抽象的体験情報に加えて、又は抽象的体験情報に代えて、具体的体験情報を出力する。出力先は、実施形態１と同様である。

（２）サイバー攻撃分析支援装置の動作
図８のフローチャートを用いて、サイバー攻撃分析支援装置１２０の動作を説明する。

サイバー攻撃分析支援装置１２０の入力部１２１に、通信ネットワークを介して端末装置２００から送信された検知情報及び検知時刻が入力される（Ｓ１２１）。例えば、本実施形態において、検知情報には、攻撃対象信号がエアコン温度情報であるという情報が含まれているとする。

制御部１２３は、設計情報を記憶部１２２から読み出す（Ｓ１２２）。

制御部１２３は、Ｓ１２１で入力された検知情報に基づき、サイバー攻撃の対象である攻撃対象構成装置又は攻撃対象信号を特定するとともに、設計情報を参照してサイバー攻撃の影響により端末装置２００のユーザが体験したと推測される事象である抽象的体験情報を生成する（Ｓ１２３）。本実施形態では、検知情報から攻撃対象信号としてエアコン温度情報を抽出する。そして、Ｓ１２２で読み出した図３の設計情報を参照し、エアコン温度情報が受信されるＥＣＵがメータＥＣＵであると特定し、これらに対応付けられているＵＩが画像表示部であると特定する。そして、画像表示部に対応して、『メータ表示に影響が出た可能性があります。』との内容を有する抽象的体験情報を生成する。あるいは画像表示部及びエアコン温度情報に対応して、『エアコン温度表示に影響が出た可能性があります。』との内容を有する抽象的体験情報を生成する。

制御部１２３は、状態情報を記憶部１２２から読み出す（Ｓ１２４）。

制御部１２３は、Ｓ１２１で入力された検知情報に基づき、サイバー攻撃の対象である攻撃対象信号を特定するとともに、状態情報及び検知時刻を参照してサイバー攻撃の影響により端末装置２００のユーザが体験したと推測される具体的な事象である具体的体験情報を生成する（Ｓ１２５）。本実施形態では、検知情報から攻撃対象信号としてエアコン温度情報を抽出する。そして、Ｓ１２４で読み出した図７の状態情報、及びＳ１２１で入力された検知時刻を参照し、エアコン温度情報が摂氏３０度であると特定する。そして、『エアコン温度表示が３０℃になっている可能性があります』との内容を有する具体的体験情報を生成する。

出力部１０４は、Ｓ１２３で生成した抽象的体験情報、及びＳ１２５で生成した具体的体験情報を出力する（Ｓ１２６）。

なお、上述の例では、抽象的体験情報と具体的体験情報の両方を出力する場合を説明したが、具体的体験情報のみを出力してもよい。この場合は、Ｓ１２２及びＳ１２３は不要である。

また、これらの処理は、図８で示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。例えばＳ１２３及びＳ１２４は、順序を入れ替えてもよい。また、Ｓ１２２とＳ１２４は同時に実行してもよい。

（３）小括
本実施形態では、状態情報を用いることにより、抽象的体験情報よりも具体的な情報である具体的体験情報を出力するので、ユーザが体験したと推測される問題事象の再現をより具体的に行うことができる。

３．実施形態３
（１）サイバー攻撃分析支援装置の構成
実施形態１及び実施形態２では、図１に示すように、端末装置２００が車両に搭載され、サイバー攻撃分析支援装置は車両の外に設けられていた。
本実施形態では、同一の車両に、端末装置２００だけでなく、サイバー攻撃分析支援装置１４０も搭載されている例を示す。

図９を用いて、本実施形態のサイバー攻撃分析支援装置１４０と端末装置２００との関係を説明する。
サイバー攻撃分析支援装置１４０は、端末装置２００と同一の移動体である車両に搭載されている。ここで、サイバー攻撃分析支援装置１４０は、実施形態１のサイバー攻撃分析支援装置１００、又は実施形態２のサイバー攻撃分析支援装置１２０のいずれでもよい。

サイバー攻撃分析支援装置１４０と端末装置２００は、例えば、ＣＡＮ、ＬＩＮといった通信方式の他、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、任意の通信方式を用いて接続されている。

特に、ＣＡＮやＬＩＮのような車載ネットワークを用いる場合は、サイバー攻撃分析支援装置１４０は、端末装置２００の１つの構成装置としてのＥＣＵと把握することができる。

なお、サイバー攻撃分析支援装置１４０の出力部１０４又は出力部１２４は、車両外のサーバ装置等に抽象的体験情報や具体的体験情報を出力してもよい。

（２）小括
本実施形態では、サイバー攻撃分析支援装置を端末装置と同一の車両に搭載することにより、同一車両内で処理を完結することができ、通信ネットワークに対する負荷を軽減することができる。

４．各実施形態の変形例
本実施形態では、端末装置２００から実施形態１～３の何れかのサイバー攻撃分析支援装置（以下、代表してサイバー攻撃分析支援装置１００とする。）に送信される検知情報のバリエーションを中心に説明する。

（１）検知情報がＣＡＮデータの場合
端末装置２００からサイバー攻撃分析支援装置１００に送信される検知情報は、端末装置２００を構成する各ＥＣＵが定期又は不定期に送信するＣＡＮデータであってもよい。

この変形例の場合、端末装置２００のイベントログ収集部２０６は、各ＥＣＵからＣＡＮデータを収集し、検知情報生成部２０７に出力する。検知情報生成部２０７は、イベントログ収集部２０６から入力されたＣＡＮデータをそのまま通信ＥＣＵ２０５に出力する。通信ＥＣＵ２０５は、ＣＡＮデータを検知情報として、通信ネットワーク１０を介してサイバー攻撃分析支援装置１００に送信する。つまり、この場合、各ＥＣＵでイベントログを生成する必要はない。

サイバー攻撃分析支援装置１００の制御部１０３は、入力部１０１に入力された検知情報であるＣＡＮデータを、例えば統計的に分析することにより、攻撃対象ＥＣＵ又は攻撃対象信号を特定する。
なお、ＣＡＮデータを統計的に分析することにより、まず中間生成物であるイベントログを生成し、次にイベントログの分析を行うことにより、攻撃対象ＥＣＵや攻撃対象信号を特定してもよい。

なお、この変形例の場合、検知情報と状態情報は一致するので、検知情報であるＣＡＮデータのみを端末装置２００からサイバー攻撃分析支援装置１００に送信するだけで足り、状態情報を別途送信する必要はない。

（２）検知情報がイベントログの場合
端末装置２００からサイバー攻撃分析支援装置１００に送信される検知情報は、端末装置２００を構成する各ＥＣＵが生成するイベントログであってもよい。

この変形例の場合、端末装置２００のイベントログ収集部２０６は、各ＥＣＵで生成されたイベントログを収集し、検知情報生成部２０７に出力する。検知情報生成部２０７は、イベントログ収集部２０６から入力されたイベントログをそのまま通信ＥＣＵ２０５に出力する。通信ＥＣＵ２０５は、イベントログを検知情報として、通信ネットワーク１０を介してサイバー攻撃分析支援装置１００に送信する。イベントログは、例えば、ＥＣＵ名―イベント内容―エラー情報―イベント時刻、からなるデータ列であるが、これらの情報全てを有する必要はなく、またこれら以外の情報が含まれていてもよい。

サイバー攻撃分析支援装置１００の制御部１０３は、入力部１０１に入力された検知情報であるイベントログを、例えば統計的に分析することにより、攻撃対象ＥＣＵ又は攻撃対象信号を特定する。

なお、この変形例の場合、検知情報と状態情報は一致しないので、別途状態情報であるＣＡＮデータを端末装置２００からサイバー攻撃分析支援装置１００に送信する。

（３）検知情報が分析結果の場合
端末装置２００からサイバー攻撃分析支援装置１００に送信される検知情報は、端末装置２００を構成する各ＥＣＵが生成するイベントログの分析を行なった結果である、攻撃対象ＥＣＵ及び攻撃対象信号を特定する情報であってもよい。この変形例は、実施形態１及び実施形態２で説明した例と同じである。

この変形例の場合、端末装置２００のイベントログ収集部２０６は、各ＥＣＵで生成されたイベントログを収集し、検知情報生成部２０７に出力する。検知情報生成部２０７は、イベントログ収集部２０６から入力されたイベントログを分析し、攻撃対象ＥＣＵ及び攻撃対象信号を特定する情報を生成し、これを検知信号として通信ＥＣＵ２０５に出力する。通信ＥＣＵ２０５は、検知情報を、通信ネットワーク１０を介してサイバー攻撃分析支援装置１００に送信する。

サイバー攻撃分析支援装置１００の制御部１０３は、入力部１０１に入力された検知情報から、攻撃対象ＥＣＵ又は攻撃対象信号を抽出し、攻撃対象ＥＣＵ又は攻撃対象信号を特定する。

なお、この変形例の場合も、検知情報と状態情報は一致しないので、別途状態情報であるＣＡＮデータを端末装置２００からサイバー攻撃分析支援装置１００に送信する。

（４）攻撃対象ＥＣＵ又は攻撃対象信号を特定する具体例
イベントログから攻撃対象ＥＣＵを特定する方法の一例を説明する。
端末装置２００のＥＣＵはセキュリティセンサを備え、セキュリティセンサがセキュリティ異常を検出して、イベントログを生成する。イベントログの例として、ＥＣＵ名―イベント内容―エラー情報―イベント時刻、を含むデータ列を生成する。各ＥＣＵがイベントログを生成した時点で、イベントログを生成したＥＣＵが攻撃対象ＥＣＵとなっている可能性がある。ただし、故障等、サイバー攻撃以外の原因でセキュリティセンサが動作してイベントログを生成する可能性もある。そこで、イベントログが生成された原因が故障かサイバー攻撃かを特定するため、イベントログが生成された時刻と同時刻の診断情報を確認する。イベントログを生成したＥＣＵの診断情報がない場合は、故障でなくサイバー攻撃によってイベントログが生成された可能性が高いので、イベントログを生成したＥＣＵを攻撃対象ＥＣＵとする。イベントログを生成したＥＣＵの診断情報がある場合は、故障によってイベントログが生成された可能性が高いので、イベントログを生成したＥＣＵは攻撃対象ＥＣＵとは特定されない。

イベントログから攻撃対象信号を特定する方法の一例を説明する。
例えば、端末装置２００のＣＧＷ２０４がネットワーク型ＩＤＳ（Intrusion Detection System）を備える場合、ＣＧＷ２０４がセキュリティ異常を検知し、イベントログを生成する。イベントログの例として、信号名―イベント内容―エラー情報―イベント時刻、を含むデータ列を生成する。そして、イベントログに含まれている信号名を攻撃対象信号と特定する。

なお、攻撃対象ＥＣＵの特定や攻撃対象信号の特定は、サイバー攻撃分析支援装置１００で行う場合は制御部１０３で、端末装置２００で行う場合は検知情報生成部２０７で行う。例えば上述の（１）及び（２）の場合は制御部１０３、上述の（３）の場合は検知情報生成部２０７が特定する。

（５）小括
以上、これらの変形例によれば、ＣＡＮデータから攻撃対象ＥＣＵ又は攻撃対象信号の特定までの処理を、端末装置２００側で行うか、サイバー攻撃分析支援装置１００側で行うかを適宜振り分けることができ、ネットワーク負荷と端末装置２００の負荷とのバランスを調整することができる。

５．抽象的体験情報及び具体的体験情報の利用
抽象的体験情報及び具体的体験情報の利用方法について、図１０を用いて説明する。

図１０（ａ）は、自動車メーカーや自動車販売店のドライバからの苦情を基に作成されたレポートである。レポートには、車両を特定するＶＩＮの他に、ドライバから聞き取りにより取得した、サイバー攻撃が発生した状況が記載されている。具体的には、サイバー攻撃が発生した日時である現象発生日時やサイバー攻撃と思われる現象がドライバの体験として記載されている。

図１０（ｂ）は、各実施形態のサイバー攻撃分析支援装置の出力である。出力には、車両を特定するＶＩＮの他に、現象発生日時、サイバー攻撃イベント情報、並びに抽象的体験情報及び具体的体験情報が含まれている。現象発生日時としては、例えば検知時刻を出力すればよい。サイバー攻撃イベント情報は問題事象が発生した原因を示すものであり、例えばＣＡＮデータやイベントログが出力される。

図１０（ａ）のレポートと図１０（ｂ）の出力を比較すると、ＶＩＮは一致し、現象発生日時はあいまいながら一致する場合が多い。また、ドライバの体験はドライバの五感で取得した主観的な情報であるのに対し、サイバー攻撃イベント情報は機器が取得した客観的な情報であるので、紐づけが困難である。

しかし、図１０（ｂ）の出力で、抽象的体験情報及び具体的体験情報を含めることにより、抽象的体験情報及び具体的体験情報はドライバの体験に基づく主観的な情報と同種の情報であるので、抽象的体験情報及び具体的体験情報とドライバの体験との紐付が容易となる。そして、抽象的体験情報及び具体的体験情報を介して、ドライバの体験とサイバー攻撃イベント情報との紐付が可能になる。これにより、ドライバからの苦情の原因となったサイバー攻撃を特定し、これを分析することが可能になる。

３．総括
以上、本発明の各実施形態におけるサイバー攻撃分析支援装置等の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される車両用の端末装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の端末装置も含むものである。

各実施形態では、各実施形態に開示の端末装置を車両に搭載する前提で説明したが、歩行者が所持する前提としてもよい。

また、本発明のサイバー攻撃分析支援装置、及び端末装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

またサイバー攻撃分析支援装置や端末装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明のサイバー攻撃分析支援装置は、各種サービスの提供を目的とするために用いられることが想定される。かかるサービスの提供に伴い、本発明のサイバー攻撃分析支援装置が使用され、本発明の方法が使用され、又は／及び本発明のプログラムが実行されることになる。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明のサイバー攻撃分析支援装置は、主として自動車に搭載される端末装置と接続することを前提として説明したが、自動車に搭載されない通常のコンピュータと接続するようにしてもよい。
また、携帯電話やタブレット、ゲーム機等、様々な用途に用いられる装置を端末装置にすることが可能である。

１００ サイバー攻撃分析支援装置、１０１ 入力部、１０２ 記憶部、１０３ 制御部、１０４ 出力部、２００ 端末装置

Claims (8)

1. 通信ネットワークを介して端末装置（２００）から送信された検知情報が入力される入力部（１０１）と、
   前記端末装置を構成する構成装置が受信する信号、及び前記構成装置と当該構成装置が有するユーザインターフェースとの関係、が記述された設計情報を記憶する記憶部（１０２）と、
   前記検知情報に基づきサイバー攻撃の対象である攻撃対象構成装置又は攻撃対象信号を特定するとともに、前記設計情報を参照してサイバー攻撃の影響により前記端末装置のユーザが体験したと推測される事象である抽象的体験情報を生成する制御部（１０３）と、
   前記抽象的体験情報を出力する出力部（１０４）と、を有する
   サイバー攻撃分析支援装置（１００）。
2. 前記ユーザインターフェースは、画像表示部、操作入力部、音声出力部、又は音声入力部、の少なくとも１つである、
   請求項１記載のサイバー攻撃分析支援装置。
3. 前記入力部には、さらに検知時刻が入力され、
   前記記憶部（１２２）は、さらに特定の時刻における前記信号の内容を示す状態情報を記憶し、
   前記制御部（１２３）は、前記検知情報に基づきサイバー攻撃の対象である攻撃対象信号を特定するとともに、前記状態情報及び前記検知時刻を参照してサイバー攻撃の影響により前記端末装置のユーザが体験したと推測される具体的な事象である具体的体験情報を生成し、
   前記出力部は、前記抽象的体験情報に加えて、又は前記抽象的体験情報に代えて、前記具体的体験情報を出力する、
   請求項１記載のサイバー攻撃分析支援装置（１２０）。
4. 前記入力部には、さらに前記端末装置から送信された前記状態情報が入力される、
   請求項３記載のサイバー攻撃分析支援装置。
5. 前記端末装置は、移動体に搭載されている、
   請求項１乃至４記載のサイバー攻撃分析支援装置。
6. 当該サイバー攻撃分析支援装置は、前記端末装置と同一の前記移動体に搭載されている、
   請求項５記載のサイバー攻撃分析支援装置（１４０）。
7. 通信ネットワークを介して端末装置から送信された検知情報が入力され（Ｓ１０１）、
   前記端末装置を構成する構成装置が受信する信号、及び前記構成装置と当該構成装置が有するユーザインターフェースとの関係、が記述された設計情報を記憶部から読み出し（Ｓ１０２）、
   前記検知情報に基づきサイバー攻撃の対象である攻撃対象構成装置又は攻撃対象信号を特定するとともに、前記設計情報を参照してサイバー攻撃の影響により前記端末装置のユーザが体験したと推測される事象である抽象的体験情報を生成し（Ｓ１０３）、
   前記抽象的体験情報を出力する（Ｓ１０４）、
   サイバー攻撃分析支援方法。
8. サイバー攻撃分析支援装置で実行可能なサイバー攻撃分析支援プログラムであって、
   通信ネットワークを介して端末装置から送信された検知情報が入力され（Ｓ１０１）、
   前記端末装置を構成する構成装置が受信する信号、及び前記構成装置と当該構成装置が有するユーザインターフェースとの関係、が記述された設計情報を記憶部から読み出し（Ｓ１０２）、
   前記検知情報に基づきサイバー攻撃の対象である攻撃対象構成装置又は攻撃対象信号を特定するとともに、前記設計情報を参照してサイバー攻撃の影響により前記端末装置のユーザが体験したと推測される事象である抽象的体験情報を生成し（Ｓ１０３）、
   前記抽象的体験情報を出力する（Ｓ１０４）、
   ことを含む処理を前記サイバー攻撃分析支援装置に実行させる、サイバー攻撃分析支援プログラム。