JP7509091B2 - 攻撃分析装置、攻撃分析方法、及び攻撃分析プログラム - Google Patents

Description

本発明は、主に自動車をはじめとする移動体に搭載された電子制御システムに対する攻撃を分析する装置であって、攻撃分析装置、攻撃分析方法、及び攻撃分析プログラムに関する。

近年、車車間通信や路車間通信のようなＶ２Ｘをはじめ、運転支援や自動運転制御を行う技術が注目されている。これに伴い、車両が通信機能を備えるようになり、いわゆる車両のコネクティッド化が進んでいる。この結果、車両が不正アクセスといったサイバー攻撃を受ける可能性が増加している。そのため、車両に対するサイバー攻撃を分析して、その対応策を構築することが必要とされている。

車両に発生した異常を検知して、検知した異常に基づいてサイバー攻撃を分析する手法として、様々なものがある。例えば、特許文献１には、検知した異常データを収集するとともに、異常が検出された項目の組み合わせと、攻撃毎に予め特定された異常検出パターンとを照合して、異常に対応する攻撃の種類を特定することが記載されている。

特開２０２０－１２３３０７号公報

ここで、本発明者は、以下の課題を見出した。
車両に搭載される電子制御システムに対しサイバー攻撃を受けた場合、電子制御システムを構成するセキュリティセンサで生成されたセキュリティログに基づき、攻撃経路の推定を行うことができる。しかし、セキュリティログの情報だけを用いる場合、攻撃経路の推定の精度には限界がある。

そこで、本発明は、電子制御システムに対するサイバー攻撃を受けた場合に、より高い精度で攻撃経路の推定を行う攻撃分析装置等を実現することを目的とする。

本開示の攻撃分析装置（１００）は、
電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
前記電子制御装置で発生した故障を示す故障情報を取得する故障情報取得部（１０２）と、
前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）と、
前記攻撃経路を示す攻撃情報を出力する攻撃情報出力部（１０６）と、を有する。

なお、特許請求の範囲、及び本項に記載した発明の構成要件に付した括弧内の番号は、本発明と後述の実施形態との対応関係を示すものであり、本発明を限定する趣旨ではない。

上述のような構成により、本開示の攻撃分析装置は、電子制御システムに対するサイバー攻撃を受けた場合に、より高い精度で攻撃経路の推定を行うことが可能となる。

実施形態１の攻撃分析装置の配置を説明する説明図 実施形態１の電子制御システムの構成例を説明するブロック図 実施形態１の攻撃分析装置の構成例を示すブロック図 実施形態１の攻撃分析装置の予測テーブル保存部に保存された予測テーブルを説明する説明図 実施形態１の実施例１における信頼度算出部の信頼度算出方法を説明する説明図 実施形態１の実施例１における信頼度算出部の信頼度算出方法を説明する説明図 実施形態１の攻撃分析装置の動作を示すフローチャート 実施形態２の攻撃分析装置の構成例を示すブロック図 実施形態２におけるフラグ付与部のフラグ付与方法を説明する説明図 実施形態２の攻撃分析装置の動作を示すフローチャート

以下、本発明の実施形態について、図面を参照して説明する。

なお、本発明とは、特許請求の範囲又は課題を解決するための手段の項に記載された発明を意味するものであり、以下の実施形態に限定されるものではない。また、少なくともかぎ括弧内の語句は、特許請求の範囲又は課題を解決するための手段の項に記載された語句を意味し、同じく以下の実施形態に限定されるものではない。

特許請求の範囲の従属項に記載の構成及び方法は、特許請求の範囲の独立項に記載の発明において任意の構成及び方法である。従属項に記載の構成及び方法に対応する実施形態の構成及び方法、並びに特許請求の範囲に記載がなく実施形態のみに記載の構成及び方法は、本発明において任意の構成及び方法である。特許請求の範囲の記載が実施形態の記載よりも広い場合における実施形態に記載の構成及び方法も、本発明の構成及び方法の例示であるという意味で、本発明において任意の構成及び方法である。いずれの場合も、特許請求の範囲の独立項に記載することで、本発明の必須の構成及び方法となる。

実施形態に記載した効果は、本発明の例示としての実施形態の構成を有する場合の効果であり、必ずしも本発明が有する効果ではない。

複数の実施形態がある場合、各実施形態に開示の構成は各実施形態のみで閉じるものではなく、実施形態をまたいで組み合わせることが可能である。例えば一の実施形態に開示の構成を、他の実施形態に組み合わせても良い。また、複数の実施形態それぞれに開示の構成を集めて組み合わせてもよい。

発明が解決しようとする課題に記載した課題は公知の課題ではなく、本発明者が独自に知見したものであり、本発明の構成及び方法と共に発明の進歩性を肯定する事実である。

１．第１の実施形態
（１）攻撃分析装置１００と電子制御システムＳの配置
図１は、本実施形態の攻撃分析装置１００の配置を説明する図である。攻撃分析装置１００は、電子制御システムＳに対するサイバー攻撃を検知し、電子制御システムＳが受けたサイバー攻撃の攻撃経路を推定する。攻撃分析装置１００は、電子制御システムＳから必要な情報を取得することができる任意の配置をとりうる。
以下、サイバー攻撃を、攻撃と略して記載する。また、攻撃により影響を受ける電子制御システムＳ側からの視点に基づき、攻撃を異常と記載することがある。

例えば、図１（ａ）に示すように、電子制御システムＳ及び攻撃分析装置１００が、「移動体」である車両に「搭載」される場合と、図１（ｂ）に示すように、電子制御システムＳは「移動体」である車両に「搭載」され、攻撃分析装置１００は、車両の外部に設置されたサーバ装置で実現する場合と、が想定される。

ここで、
「移動体」とは、移動可能な物体をいい、移動速度は任意である。また移動体が停止している場合も当然含む。例えば、自動車、自動二輪車、自転車、歩行者、船舶、航空機、及びこれらに搭載される物を含み、またこれらに限らない。
「搭載」される、とは、移動体に直接固定されている場合の他、移動体に固定されていないが移動体と共に移動する場合も含む。例えば、移動体に乗った人が所持している場合、移動体に載置された積荷に搭載されている場合、が挙げられる。

図１（ａ）の場合、攻撃分析装置１００と電子制御システムＳとは、例えばＣＡＮ（Controller Area Network）、ＬＩＮ（Local Interconnect Network）といった車載ネットワークで接続されている。あるいは、Ｅｔｈｅｒｎｅｔ（登録商標）やＷｉ－Ｆｉ（登録商標）、Ｂｌｕｅｔｏｏｔｈ（登録商標）等、有線無線を問わず任意の通信方式を用いて接続することができる。別の例として、電子制御システムＳを構成する電子制御装置の少なくとも一つに攻撃分析装置１００の機能を内蔵することもできる。

図１（ａ）の場合、攻撃分析装置１００は、電子制御システムＳが攻撃を受けると遅滞なく、サイバー攻撃を分析することができ、ひいてはサイバー攻撃に対する対応を迅速に行うことが可能である。

図１（ｂ）の場合、攻撃分析装置１００と電子制御システムＳとは、例えば、ＩＥＥＥ８０２．１１（Ｗｉ－Ｆｉ（登録商標））やＩＥＥＥ８０２．１６（ＷｉＭＡＸ（登録商標））、Ｗ－ＣＤＭＡ（Wideband Code Division Multiple Access）、ＨＳＰＡ（High Speed Packet Access）、ＬＴＥ（Long Term Evolution）、ＬＴＥ－Ａ（Long Term Evolution Advanced）、４Ｇ、５Ｇ等の無線通信方式からなる通信手段を用いて接続することができる。あるいは、ＤＳＲＣ（Dedicated Short Range Communication）を用いることができる。
車両が駐車場に駐車されていたり、修理工場に収容されている場合は、無線通信方式に代えて、有線通信方式を用いることができる。例えば、ＬＡＮ（Local Area Network）やインターネット、固定電話回線を用いることができる。

図１（ｂ）の場合、サーバ装置は、車両に搭載された電子制御システムＳが攻撃を受けると、無線通信ネットワークを介して、電子制御システムＳを構成する電子制御装置に搭載されたセキュリティセンサで生成されたセキュリティログを車両から受信する。そのため、攻撃分析装置１００が車両に搭載される場合と比較して、攻撃を分析し分析結果を車両にフィードバックするまでに時間を要する反面、車両側の処理負荷を軽減することが可能である。また、サーバ装置の豊富なリソースを用いることができるので、複雑かつ大量の演算を実行することが可能である。

その他の配置として、以下の例が考えられる。
電子制御システムＳが車両に搭載されず、静止体に搭載されていてもよい。
また、電子制御システムＳと攻撃分析装置１００が異なる車両に搭載され、直接又は基地局等を介して間接的に通信を行うようにしてもよい。

（２）電子制御システムＳの構成
（ａ）全体構成
図２は、電子制御システムＳの構成例を説明する図である。電子制御システムＳは、ＴＣＵ１１、ＩＶＩ１２、ＣＧＷ１３、ＥＣＵ１４、ＥＣＵ１５、ＥＣＵ１６、ＥＣＵ１７を有する。

ＴＣＵ１１（Telematics Control Unit）は、通信機能を有する電子制御装置（ＥＣＵ：Electric Control Unit）であり、外部の情報蓄積サーバやインターネットを介した通信を行うことにより、情報の送受信を行う。ＴＣＵ１１は電子制御システムＳの外部と通信を行うことで、外部からの攻撃の入り口となりうることから、エントリーポイントと呼ばれる。

ＩＶＩ１２（In-Vehicle Infotainment system）は、情報と娯楽を提供する機能を有するＥＣＵであるが、ＴＣＵ１１と同様通信機能を有し、外部の情報蓄積サーバやインターネットを介した通信を行うことにより、情報の送受信を行う。ＩＶＩ１２も電子制御システムＳの外部と通信を行うので、外部からの攻撃の入り口となりうることから、エントリーポイントと呼ばれる。

ＣＧＷ１３（Central GateWay）は、主にゲートウェイ（ＧＷ）機能を有する。例えば、ＴＣＵ１１やＩＶＩ１２で受信した情報を、ＣＡＮやＬＩＮをはじめとする車載ネットワークや、イーサネット（ＥＴＨ）等の通信ネットワークを介して接続されたＥＣＵ１４～１７に転送する。また、ＥＣＵ１４～１７から送信された情報を、ＴＣＵ１１やＩＶＩ１２に転送する。
ＣＧＷ１３には、ゲートウェイ機能以外の機能を搭載することもできる。
また、後述の攻撃分析装置１００を、ＣＧＷ１３の機能として搭載することもできる。

ＥＣＵ１４～１７は、ＣＧＷ１３とネットワークを介して接続されるＥＣＵである。図２では、ＥＣＵ１４及びＥＣＵ１５はイーサネットを介して接続されている。ＥＣＵ１６及びＥＣＵ１７は車載ネットワークであるＣＡＮを介して接続されている。ＥＣＵ１４～ＥＣＵ１７は、車両の各機能を実現する任意のＥＣＵであるが、エンジン、ハンドル、ブレーキ等の制御を行う駆動系電子制御装置、メータやパワーウインドウ等の制御を行う車体系電子制御装置、ナビゲーション装置等の情報系電子制御装置、あるいは、障害物や歩行者との衝突を防止するための制御を行う安全制御系電子制御装置が例として挙げられる。

以下の説明では、上述のＴＣＵ１１、ＩＶＩ１２、ＣＧＷ１３、ＥＣＵ１４、ＥＣＵ１５、ＥＣＵ１６、ＥＣＵ１７の固有の特徴に着目しない場合は、それぞれを各ＥＣＵ、あるいは単にＥＣＵと呼ぶ。

（ｂ）多層防御と層
多くの電子制御システムＳでは、攻撃に対するセキュリティ性を高めるために多層防御が採用されている。多層防御によれば、攻撃に対する対策としてセキュリティ機能を階層的・多層的に設けることで、攻撃を受けた場合に一の対策（すなわち、一層目）が突破されても、次の対策（すなわち、二層目）が攻撃を防御することができるため、電子制御システムの防御力を高めることができる。そのため、多層防御を採用した電子制御システムＳでは、セキュリティレベルが異なる複数の層が存在することとなる。そこで、電子制御システムＳをセキュリティレベルに応じて複数の層に分割し、各ＥＣＵをそれぞれいずれかの層に分類する。

図２に示す電子制御システムＳは三層の防御層を有する。この例では、ＴＣＵ１１及びＩＶＩ１２が第一層に属し、ＣＧＷ１３が第二層に属し、ＥＣＵ１４～１７が第三層に属している。
ＴＣＵ１１及びＩＶＩ１２は外部との通信機能を有するＥＣＵであり、これらのＥＣＵには車両外部から車両内部に入ってくるデータを監視するセキュリティ機能が搭載されている。このようなセキュリティ機能を有するＥＣＵによって監視される領域を第一層としている。
ＣＧＷ１３は、例えば、車両外部に接続されるＥＣＵへのネットワークと車両制御を行うＥＣＵへのネットワークとの間で通信されるデータを監視するセキュリティ機能が搭載された、ゲートウェイ機能を有するＥＣＵである。ＣＧＷ１３は、ＴＣＵ１１及びＩＶＩ１２とは異なるセキュリティ対策を行うものであり、ＣＧＷ１３によって監視される領域は、ＴＣＵ１１及びＩＶＩ１２によって防御される領域である第一層とは異なるセキュリティレベルを有する領域といえる。そこで、ＣＧＷ１３によって監視される領域を第二層としている。
ＥＣＵ１４～１７は、ＣＧＷ１３のセキュリティ機能を通過したデータのみが通信され、第二層とは異なるセキュリティレベルを有する領域といえる。そこで、ＥＣＵ１４～１７が属している領域を第三層としている。

なお、図２の電子制御装置システムＳは三層の防御層を有しているが、四層以上の防御層を設けてもよい。例えば、サブゲートウェイＥＣＵを介して接続されているＥＣＵを第四層としてもよい。

また、本実施例で説明した階層はエントリーポイントを始点とした物理的な階層であるが、この全部または一部に代えて機能的な階層を用いてもよい。例えば、ＥＣＵ間でマスタースレーブ関係が設定されている場合が挙げられる。

（ｃ）セキュリティセンサ
電子制御システムＳを構成する各ＥＣＵには、ＥＣＵ内部やＥＣＵが接続されたネットワークを監視する単数又は複数のセキュリティセンサが搭載される。セキュリティセンサがＥＣＵ内部又はネットワークに発生した異常を検知すると、セキュリティログを生成・出力する。セキュリティログには、セキュリティセンサが異常を検知したことを示す異常検知信号が含まれる。

セキュリティセンサの例としては、ファイアウォール、プロキシ、ＣＡＮ－ＩＤＳ、ＣＡＮフィルタ、ＴＬＳ、ＭＡＣ検証、ファイルアクセス監視、セキュアブート、セキュアリプロ、ＣＦＩ、サンドボックス、認証などが挙げられる。

なお、セキュリティログには、異常検知信号の他、セキュリティセンサが検知した異常が発生した位置を示す異常位置情報、電子制御システムＳを特定する識別情報、セキュリティセンサが搭載されたＥＣＵを特定する識別情報、異常を検知したセキュリティセンサの識別情報、異常を検知した時刻、異常を検知した回数、異常を検知した順番、異常の検知前に受信したデータの内容やＩＰアドレス（送信元及び送信先）の情報、等を含んでもよい。

（ｄ）故障診断装置
電子制御システムＳを構成する各ＥＣＵにはさらに、各ＥＣＵで発生した故障を検知する故障診断装置が搭載される。上述したセキュリティセンサが、車や車載システムのセキュリティ性に着目して異常を検知するものであるのに対し、故障診断装置は、セキュリティ性によらずにＥＣＵ自体及びＥＣＵに搭載されたソフトウェアに発生した不具合を検知するものである。そのため、セキュリティセンサは、セキュリティの観点では異常であると判断されない不具合を検知しない可能性があるが、故障診断装置はセキュリティソフトでは検知されなかった不具合も検知できることがある。

故障診断装置は、例えば、車載診断装置（ＯＢＤ：On-Board Diagnostics）である。ＯＢＤが故障を検知すると、検知した故障に応じてＤＴＣ（Diagnostic Trouble Code）と呼ばれる故障コードを記録する。ＯＢＤは例えば、予め設定された上限又は下限値を超えたデータ値が入出力されたこと、通信途絶が発生したこと、ＥＣＵのメモリ読出しが正常に行われなかったこと等を検知して、これらの故障に対応する故障コードを記録する。

本実施形態では、各ＥＣＵは、後述する攻撃分析装置１００から故障情報を要求する要求信号を受信すると、ＥＣＵで発生した故障を示す故障情報を攻撃分析装置１００に送信する。もっとも、ＥＣＵは、故障診断装置がＥＣＵで発生した故障を検知すると直ちに、故障情報を攻撃分析装置１００に送信してもよい。

各ＥＣＵは、故障診断装置が記録した故障コードをそのまま故障情報として送信してもよく、あるいは故障が発生したことを示す情報を故障情報として送信してもよい。

（３）攻撃分析装置１００の構成
図３を参照して、本実施形態の攻撃分析装置１００を説明する。攻撃分析装置１００は、前述の電子制御システムＳに対する攻撃を検知し、分析する装置である。攻撃分析装置１００は、セキュリティログ取得部１０１、故障情報取得部１０２、予測テーブル保存部１０３、攻撃経路推定部１０４、要求信号送信部１０５、及び攻撃情報出力部１０６を有する。また、攻撃経路推定部１０４は、予測攻撃経路候補選択部１０７及び信頼度算出部１０８からなる。

攻撃分析装置１００は、車両に設ける場合、電子制御システムＳに車載ネットワークで接続して設けるようにしてもよい。あるいは、電子制御システムＳの内部に設けるようにしてもよい。例えば、ＣＧＷ１３やＴＣＵ１１の一機能として設けるようにしてもよい。

攻撃分析装置１００は、汎用のＣＰＵ（Central Processing Unit）、ＲＡＭ等の揮発性メモリ、ＲＯＭ、フラッシュメモリ、又はハードディスク等の不揮発性メモリ、各種インターフェース、及びこれらを接続する内部バスで構成することができる。そして、これらのハードウェア上でソフトウェアを実行することにより、図３に記載の各機能ブロックの機能を発揮させるように構成することができる。
もちろん、攻撃分析装置１００を、ＬＳＩ等の専用のハードウェアで実現してもよい。

攻撃分析装置１００は、本実施形態では半完成品としての電子制御装置（ＥＣＵ（Electric Control Unit）、以下ＥＣＵと略する。）の形態を想定しているが、これに限らない。例えば、部品の形態としては、半導体回路や半導体モジュール、半完成品の形態としては、電子制御装置、電子制御ユニット、システムボード、完成品の形態としては、サーバ、ワークステーション、パーソナルコンピュータ（ＰＣ）、タブレット、スマートフォン、携帯電話、ナビゲーションシステムが挙げられる。
なお、攻撃分析装置１００は、単一のＥＣＵの他、複数のＥＣＵで構成されてもよい。

セキュリティログ取得部１０１は、電子制御システムＳを構成するＥＣＵに搭載された「セキュリティセンサ」で生成されるとともにセキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得する。例えば、図１（ａ）の配置の場合は、電子制御システムＳのＴＣＵ１１、ＣＧＷ１３、又はＥＣＵ１４～１７等に搭載されたセキュリティセンサが車載ネットワークに出力したセキュリティログを、車載ネットワークに接続されたセキュリティログ取得部１０１で受信することにより取得する。図１（ｂ）の配置の場合は、電子制御システムＳのＴＣＵ１１、ＣＧＷ１３、又はＥＣＵ１４～１７等に搭載されたセキュリティセンサが車載ネットワークに出力し、ＴＣＵ１１から無線通信を用いて送信されたセキュリティログを、インターネット等のネットワークに接続されたセキュリティログ取得部１０１で受信することにより取得する。

ここで、「セキュリティセンサ」とは、電子制御システムを構成する電子制御装置（ＥＣＵ）やネットワークを監視し、セキュリティイベント発生時にセキュリティログを出力する機能をいい、実現手段は問わない。

故障情報取得部１０２は、電子制御システムＳを構成するＥＣＵに搭載された故障診断装置が検知した「故障」を示す故障情報を取得する。例えば、図１（ａ）の配置の場合は、電子制御システムＳのＴＣＵ１１、ＣＧＷ１３、又はＥＣＵ１４～１７等に搭載された故障診断装置が車載ネットワークに出力した故障情報を、車載ネットワークに接続された故障情報取得部１０２で受信することにより取得する。図１（ｂ）の配置の場合は、電子制御システムＳのＴＣＵ１１、ＣＧＷ１３、又はＥＣＵ１４～１７等に搭載された故障診断装置が車載ネットワークに出力し、ＴＣＵ１１から無線通信を用いて送信された故障情報を、インターネット等のネットワークに接続された故障情報取得部１０２で受信することにより取得する。

ここで、「故障」とは、ハードウェアに発生した物理的な不具合はもちろん、ハードウェアに搭載されたソフトウェアに発生した不具合も含む。

なお、セキュリティログ取得部１０１と故障情報取得部１０２は、１つの取得部で実現してもよい。

予測テーブル保存部１０３は、電子制御システムＳにおける予測攻撃起点、予測攻撃対象、及び予測攻撃起点から予測攻撃対象までの間に経由するＥＣＵである関連ＥＣＵで特定される予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存している。予測テーブルは、パターンマッチングテーブル、あるいはマッチングテーブルと呼ばれることもある。

図４は、予測テーブルの一例を示す図である。図４の予測テーブルは、予測攻撃起点から予測攻撃対象に対する攻撃があった場合に、各ＥＣＵに搭載されたどのセキュリティセンサが異常を検知するかどうかを関係付けたものである。図４では、１が異常を検知している状態、０が異常を検知していない状態を表している。すなわち、図４の予測攻撃起点、予測攻撃対象、及び関連ＥＣＵが「予測攻撃経路」に相当し、各セキュリティセンサの０又は１が「予測異常検知信号」に相当している。
例えば、事象Ｅ１は、予測攻撃起点を外部、予測攻撃対象をＣＧＷ１３とする予測攻撃経路である場合に、ＴＣＵ１１のセキュリティセンサＡ、Ｂが異常を検知すること、すなわち予測異常検知信号を出力することを示している。事象Ｅ２及び事象Ｅ３も同様のルールで予測攻撃経路と予測異常検知信号とが関連付けられている。

なお、本実施形態では、予測攻撃経路は、予測攻撃起点、予測攻撃対象、及び関連ＥＣＵで定められているが、関連ＥＣＵは予測攻撃起点及び予測攻撃対象から特定することが可能であるため、予測攻撃経路は予測攻撃起点と予測攻撃対象とによって定められてもよい。あるいは、予測攻撃経路は、予め設定された識別情報で定められてもよい。この場合、攻撃分析装置１００は、予測テーブルとは別に、識別情報と、予測攻撃起点、予測攻撃対象及び関連ＥＣＵとが関連付けられたテーブルを有する。

本実施形態では、ＴＣＵ１１、ＣＧＷ１３、及びＥＣＵ１４のセキュリティセンサの予測異常検知信号のパターンを用いているが、その他の各ＥＣＵに搭載されたセキュリティセンサの予測異常検知信号のパターンも用いるようにしてもよい。

図３に戻り、攻撃経路推定部１０４は、予測テーブルを用いて、セキュリティログに含まれる異常検知信号及び故障情報から、電子制御システムが受けた攻撃の攻撃経路を推定する。

望ましくは、攻撃経路推定部１０４は、予測攻撃経路候補選択部１０７を有する。
さらに望ましくは、攻撃経路推定部１０４は、信頼度算出部１０８を有する。

本実施形態の攻撃経路推定部１０４は主に、攻撃経路の推定として２つの処理を行う。１つ目は、予測攻撃経路候補選択部１０７による予測攻撃経路候補の選択である。２つ目は、信頼度算出部１０８による、１つ目の処理で選択された予測攻撃経路候補の信頼度の算出である。これらの２つの処理はいずれも攻撃経路の推定に含まれる。これらの処理は、その間に他の処理を挟んで実行されてもよく、時間的に連続して行われてもよい。

予測攻撃経路候補選択部１０７は、予測テーブルを用いて、異常検知信号と予測異常検知信号とを比較することにより予測攻撃経路から予測攻撃経路候補を選択する。
信頼度算出部１０８は、故障情報を用いて、予測攻撃経路候補の確からしさを示す「信頼度」を求める。

ここで、「信頼度」とは、確からしさの程度を示すものであれば足り、数値で示される場合の他、規格化された値や、記号や集合で示される場合も含む。

要求信号送信部１０５は、予測攻撃経路候補選択部１０７が選択した予測攻撃経路候補の経路に含まれるＥＣＵに対して、故障情報の送信を要求する要求信号を送信する。

要求信号によって要求された場合にのみ、各ＥＣＵが故障情報を送信する構成とすることにより、故障情報が送受信される機会は電子制御システムに対する攻撃が発生したタイミングに限定される。さらに、攻撃に関連する可能性があるＥＣＵに対してのみ要求信号を送信することで、攻撃されていないＥＣＵの故障情報は送受信されないことになる。そのため、故障情報の送受信によって生じるネットワークの負荷を抑制することができる。

攻撃情報出力部１０６は、攻撃経路推定部１０４で推定した攻撃経路を示す攻撃情報を出力する。
望ましくは、攻撃情報出力部１０５は、予測攻撃経路候補選択部１０７で選択した予測攻撃経路候補を推定した攻撃経路として、攻撃情報を出力する。
さらに望ましくは、攻撃情報出力部１０５は、予測攻撃経路候補選択部１０７で選択した予測攻撃経路候補及び信頼度算出部１０８で求めた信頼度を推定した攻撃経路として、攻撃情報を出力する。

なお、本実施形態では、予測攻撃経路候補選択部１０７で選択された予測攻撃経路候補の全てを攻撃経路として攻撃情報出力部１０６から出力しているが、予測攻撃経路候補の一部のみを攻撃経路として出力してもよい。例えば、信頼度の高い方から３番目までの予測攻撃経路候補を攻撃経路として出力してもよい。

以下に、実施例として、具体的な攻撃経路推定部１０４の推定方法及び攻撃情報出力部１０６が出力する攻撃情報の内容を、図５及び図６を用いて説明する。図５及び図６は、図４の予測テーブルを用いた予測攻撃経路候補の選択方法及び信頼度の算出方法を説明する図である。

（ａ）実施例１
本実施例は、予測テーブルから求めた信頼度を、故障情報を用いて補正する例である。以下、図５を用いてその処理を説明する。

ＴＣＵ１１のセキュリティセンサＡが異常検知信号を出力し、セキュリティログ取得部１０１がこの異常検知信号を受信したとする。このとき、予測攻撃経路候補選択部１０７は、予測テーブルの中から、セキュリティセンサＡが予測異常検知信号を検出する事象を、異常検知信号と予測異常検知信号とを比較することにより選択する。図５の場合、セキュリティセンサＡが予測異常検知信号を検出する事象は、事象Ｅ１、Ｅ２、及びＥ３であるから、事象Ｅ１、Ｅ２、及びＥ３を予測攻撃経路候補として選択する。

要求信号送信部１０５は、事象Ｅ１、Ｅ２、及びＥ３の予測攻撃経路候補に含まれるＥＣＵに対して、故障情報を要求する要求信号を送信する。図５の例では、ＴＣＵ１１、ＣＧＷ１３、及びＥＣＵ１４に対して要求信号を送信する。一例として、要求信号に対してＣＧＷ１３が故障情報を出力し、故障情報取得部１０２がこの故障情報を受信したとする。

信頼度算出部１０８は、予測攻撃経路候補選択部１０７で選択した予測攻撃経路候補の信頼度を求める。例えば、信頼度算出部１０８は、各予測攻撃経路候補の異常検知信号と予測異常検知信号の割合を考慮して信頼度を求める。例えば、今回の事例では、セキュリティセンサＡのみが異常検知信号を出力している。そして、異常検知信号が出力されたＥＣＵと同一ＥＣＵの予測異常検知信号が、事象Ｅ１、Ｅ２では、セキュリティセンサＡ、Ｂの２つであるのに対し、事象Ｅ３では、セキュリティセンサＡのみであり、事象Ｅ３に相当する攻撃が行われた可能性の方が高いと考えられる。そこで、事象Ｅ１、Ｅ２の信頼度よりも事象Ｅ３の信頼度の方が高くなるように信頼度を求める。図５の例では、一例として、事象Ｅ１、Ｅ２の信頼度を０．５とし、事象Ｅ３の信頼度を０．６としているが、この数字は一例にすぎず、任意の数値又演算式を以って算出することができる。なお、上述した信頼度の算出例では、異常検知信号が出力されたＥＣＵと同一のＥＣＵの予測異常検知信号のみを考慮して信頼度を算出しているが、異常検知信号が出力されていないＥＣＵの予測異常検知信号も考慮して信頼度を求めてもよい。

さらに、ＣＧＷ１３で故障が発生したことを示す故障情報を取得しているため、信頼度算出部１０８は、故障が発生したＥＣＵであるＣＧＷ１３が経路に含まれる予測攻撃経路候補の信頼度を上げる処理を行う。図５の場合、予測攻撃起点から予測攻撃対象までの間にＣＧＷ１３が含まれる予測攻撃経路候補は、事象Ｅ２、Ｅ３であるので、事象Ｅ２、Ｅ３の信頼度に予め定めた値、本実施例ではαを加え、これを新たな信頼度とする。αは、定数でもよいし、条件により変化する変数でもよい。

攻撃情報出力部１０６は、攻撃情報として、予測攻撃経路候補である事象Ｅ１、Ｅ２及びＥ３を出力する。この際、事象Ｅ１、Ｅ２、Ｅ３の信頼度を攻撃経路として攻撃情報を出力してもよい。

次に、図６を用いて、複数のＥＣＵで故障が発生し、これらのＥＣＵそれぞれから故障情報を取得した場合に、信頼度を求める例を説明する。この例では、ＣＧＷ１３に加えて、ＥＣＵ１４においても故障が発生しているとする。

この場合、図５の例と同様、ＣＧＷ１３が経路に含まれる予測攻撃経路候補の信頼度を上げる処理を行うべく、事象Ｅ２、Ｅ３の信頼度にαを加える。さらに、ＥＣＵ１４が経路に含まれる予測攻撃経路候補の信頼度を上げる処理を行う。この例では、予測攻撃起点から予測攻撃対象までの間にＥＣＵ１４が含まれる予測攻撃経路候補は、事象Ｅ３のみであるため、事象Ｅ３の信頼度に更にβを加える処理を行う。なお、複数のＥＣＵで故障が発生したときに信頼度に加算される値（α、β）は同じ値であってもよく、ＥＣＵ毎に異なる値が定められていてもよい。

なお、本実施例の説明では、まず故障情報を用いずに信頼度を求め、次に故障情報を用いて信頼度の補正を行っているが、これをまとめて信頼度を求めるようにしてもよい。後述の実施例も同様である。

本実施例によれば、従来の異常検知信号に加えて故障情報を用いて信頼度を求めているので、攻撃経路推定部１０４の推定の精度を上げることができる。

（ｂ）実施例２
本実施例は、故障情報が示す故障の内容に応じて、信頼度を求める例である。

実施例１と同様、ＴＣＵ１１のセキュリティセンサＡが異常検知信号を出力し、セキュリティログ取得部１０１がこの異常検知信号を受信したとする。また、ＣＧＷ１３の故障診断装置がＣＧＷ１３で発生した故障を検知して故障情報を出力し、故障情報取得部１０２がこの故障情報を受信したとする。

ここで、故障情報が示す故障が、経年劣化によって発生するハードウェアの故障である場合や、通信途絶の故障が発生した原因が通信相手のＥＣＵによるものである場合、これらの故障は攻撃によって発生したものではない可能性が高い。このように、故障情報が示す故障が、攻撃によって発生したものではないことが明らかな場合は、信頼度演算部１０８は、故障情報を用いて信頼度にαを加える処理を行わない。つまり、この場合には、図５、６に示す信頼度（０．５、０．６）が、それぞれの予測攻撃経路候補の信頼度となる。あるいは、これらの信頼度の値から予め定めた値を減算して、新たな信頼度としてもよい。

別の例として、故障情報が示す故障の内容に応じて、信頼度に加える値を変化させてもよい。実施例１では、故障が発生したＥＣＵが経路に含まれる予測攻撃経路候補に予め定めた値（α）を加えて新たな信頼度を求めたが、このαの値が故障の内容に応じて様々な値に変化する。

例えば、故障情報が示す故障の内容が、攻撃によって生じる可能性が高い故障である場合には、信頼度に加算する値を高い値に設定して信頼度を求める。一方、故障の内容が攻撃によって生じる可能性が低い故障である場合には、信頼度に加算する値を低い値に設定して信頼度を求める。

本実施例によれば、従来の異常検知信号に加えて、故障情報が示す故障の内容に応じて信頼度を求めているので、攻撃経路推定部１０４の推定の精度を上げることができる。

（４）攻撃分析装置１００の動作
図７を参照して、攻撃分析装置１００の動作を説明する。図７は、攻撃分析装置１００で実行される攻撃分析方法を示すだけでなく、攻撃分析装置１００で実行可能な攻撃分析プログラムの処理手順を示すものでもある。そして、これらの処理は、図７に示した順序には限定されない。すなわち、あるステップでその前段のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。以下、第２の実施形態における図１０も同様である。

攻撃分析装置１００は、電子制御システムＳにおける予測攻撃起点及び予測攻撃対象で特定される予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有している。

電子制御システムＳを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得する（Ｓ１０１）。

予測テーブルを予測テーブル保存部１０３から読み出し、Ｓ１０１で取得したセキュリティログに含まれる異常検知信号から電子制御システムＳが受けた攻撃の攻撃経路を推定する、第１の攻撃経路の推定を行う（Ｓ１０２）。具体的には、予測テーブルに保存されている予測攻撃経路の中から予測攻撃経路候補を選択する。

Ｓ１０２で選択した予測攻撃経路候補に含まれるＥＣＵに対して、故障情報を要求する要求信号を送信する（Ｓ１０３）。そして、Ｓ１０３で送信した要求信号に対して各ＥＣＵから送信された故障情報を取得する（Ｓ１０４）。なお、各ＥＣＵに搭載された故障診断装置が故障を検知していない場合、各ＥＣＵからは故障情報が送信されずに、Ｓ１０４が行われない場合もある。

第２の攻撃経路の推定として信頼度を算出する（Ｓ１０５）。ここで、Ｓ１０４で故障情報を取得している場合、信頼度算出部１０８は故障情報を用いて信頼度を算出する。これに対し、Ｓ１０４で故障情報が取得されていない場合、信頼度算出部１０８は、故障情報を用いずに信頼度を算出する。

Ｓ１０２で選択した予測攻撃経路候補及びＳ１０５で算出した信頼度を推定した攻撃経路として、攻撃情報を出力する（Ｓ１０６）。

なお、図７では、各ＥＣＵが要求信号を受信した場合に限り故障情報を送信する場合を例に挙げて説明しているため、２つの攻撃経路の推定（Ｓ１０２、Ｓ１０５）が行われている。しかしながら、ＥＣＵが故障を検知すると直ちに故障情報を送信する構成では、要求信号を送信することなく、攻撃分析装置１００内のメモリから故障情報を取得することができる。そのため、攻撃分析装置１００は例えば、セキュリティログを取得（Ｓ１０１）した後、メモリから故障情報を取得（Ｓ１０４）して、その後に、Ｓ１０２及びＳ１０５の攻撃経路の推定をまとめて実施することができる。

また、本実施形態では、Ｓ１０５の第２の攻撃経路の推定で信頼度を算出する例を挙げて説明したが、Ｓ１０２の第１の攻撃経路の推定において信頼度を算出し、Ｓ１０５の第２の攻撃経路の推定において、Ｓ１０２で算出した信頼度から故障情報を用いて新たな信頼度を求める処理を行ってもよい。

（５）小括
以上、本実施形態の攻撃分析装置１００によれば、電子制御システムＳがサイバー攻撃を受けた場合に、電子制御システムＳを構成する電子制御装置から出力された故障情報を用いて、推定した攻撃経路の信頼度を求めている。故障情報は、セキュリティセンサによって検知されなかった故障を示している可能性があるため、故障情報を攻撃経路の信頼性の評価に用いることにより、従来の異常検知信号のみを用いた場合に比べ、より正確に攻撃経路を推定することができる。
また、故障情報は、攻撃による被害状況の推定にも用いることができる。例えば、攻撃により、セキュリティセンサでは検知されていない故障が発生しているという状況や、攻撃によりＥＣＵが攻撃者に操作されているという状況を推定することができる。

２．第２の実施形態
第２の実施形態は、故障情報を用いて信頼度を求める代わりに、予測攻撃経路候補にフラグを付与する。以下、第１の実施形態と共通する構成の説明は省略し、第１の実施形態との相違点を中心に説明する。

（１）攻撃分析装置２００の構成
図８は、本実施形態の攻撃分析装置２００を示している。図８に示すように、第１の実施形態とは異なり、本実施形態の攻撃経路推定部１０４はフラグ付与部２０１を有する。

フラグ付与部２０１は、故障情報取得部１０２が故障情報を取得すると、予測攻撃経路候補選択部１０７が選択した予測攻撃経路候補のうち、故障情報が示す故障が発生したＥＣＵが経路に含まれる予測攻撃経路候補に故障フラグを付与する。

図９を用いて、予測攻撃経路候補に故障フラグを付与する方法を説明する。第１の実施形態の実施例１、２と同様、ＣＧＷ１３の故障診断装置がＣＧＷ１３で発生した故障を検知して故障情報を出力し、故障情報取得部１０２がこの故障情報を受信したとする。この場合、ＣＧＷ１３が経路に含まれる予測攻撃経路候補である事象Ｅ２、Ｅ３に故障フラグを付与する。図９では、１は故障フラグが付与された状態、０は故障フラグが付与されていない状態を表している。

図９では、それぞれの予測攻撃経路候補に対して１つの故障フラグが付与される例を示しているが、１つの予測攻撃経路候補に対して複数の故障フラグが付与されてもよい。例えば、ＣＧＷ１３及びＥＣＵ１４で故障が発生し、これらのＥＣＵそれぞれから出力された故障情報を取得した場合、ＣＧＷ１３が経路に含まれる予測攻撃経路候補に１つの故障フラグが、ＥＣＵ１４が経路に含まれる予測攻撃経路候補に１つの故障フラグが、それぞれ付与される。この場合、ＣＧＷ１３及びＥＣＵ１４が経路に含まれる予測攻撃経路候補である事象Ｅ３には、２つの故障フラグが付与されることになる。

攻撃情報出力部１０６は、予測攻撃経路候補及び故障フラグを攻撃経路として攻撃情報を出力する。なお、攻撃情報出力部１０６は、信頼度を攻撃経路として加えた攻撃情報を出力してもよい。

なお、本実施形態では、故障フラグを付与する場合には故障情報を用いて信頼度を演算しない構成を説明した。しかしながら、本実施形態においても、信頼度算出部１０８は、故障情報を用いて信頼度を求める処理を行ってもよい。

本実施形態では、故障フラグが付与されているか否かにかかわらず、予測攻撃経路候補を攻撃経路として攻撃情報出力部１０６から出力しているが、故障フラグが付与された予測攻撃経路候補のみを攻撃経路として出力してもよい。

（２）攻撃分析装置２００の動作
図１０に示すＳ１０１～Ｓ１０６の処理は、第１の実施形態の図７と同様である。ただし、上述したとおり、Ｓ１０５における第２の攻撃経路の推定では、第１の実施形態と同様に故障情報を用いて信頼度を算出してもよく、あるいは、故障情報を用いずに信頼度を算出してもよい。

さらに、第２の実施形態では、Ｓ１０４で故障情報を取得すると、故障情報が示す故障が発生したＥＣＵが経路に含まれる予測攻撃経路候補に故障フラグを付与する（Ｓ２０１）。

そして、Ｓ１０２で選択した予測攻撃経路候補、Ｓ１０５で算出した信頼度、及びＳ２０１で付与された故障フラグを攻撃経路として、攻撃情報を出力する（Ｓ１０６）。

（３）小括
以上、本実施形態の攻撃分析装置２００によれば、電子制御システムＳがサイバー攻撃を受けた場合に、予測攻撃経路候補に含まれるＥＣＵに故障が発生したことを示す故障フラグを出力することにより、攻撃のより詳細な分析が攻撃分析装置２００の下流で実行される場合に、攻撃経路のみを提供する場合に比べ、詳細分析に有用な情報を提供することができる。

３．総括
以上、本発明の各実施形態における攻撃分析装置等の特徴について説明した。

各実施形態で使用した用語は例示であるので、同義の用語、あるいは同義の機能を含む用語に置き換えてもよい。

実施形態の説明に用いたブロック図は、装置の構成を機能毎に分類及び整理したものである。それぞれの機能を示すブロックは、ハードウェア又はソフトウェアの任意の組み合わせで実現される。また、機能を示したものであることから、かかるブロック図は方法の発明、及び当該方法を実現するプログラムの発明の開示としても把握できるものである。

各実施形態に記載した処理、フロー、及び方法として把握できる機能ブロック、については、一のステップでその前段の他のステップの結果を利用する関係にある等の制約がない限り、順序を入れ替えてもよい。

各実施形態、及び特許請求の範囲で使用する、第１、第２、乃至、第Ｎ（Ｎは整数）、の用語は、同種の２以上の構成や方法を区別するために使用しており、順序や優劣を限定するものではない。

各実施形態は、車両に搭載される電子制御システムに対する攻撃を分析するための車両用攻撃分析装置を前提としているが、本発明は、特許請求の範囲で特に限定する場合を除き、車両用以外の専用又は汎用の装置も含むものである。

また、本発明の攻撃分析装置の形態の例として、以下のものが挙げられる。
部品の形態として、半導体素子、電子回路、モジュール、マイクロコンピュータが挙げられる。
半完成品の形態として、電子制御装置（ＥＣＵ（Electric Control Unit））、システムボードが挙げられる。
完成品の形態として、携帯電話、スマートフォン、タブレット、パーソナルコンピュータ（ＰＣ）、ワークステーション、サーバが挙げられる。
その他、通信機能を有するデバイス等を含み、例えばビデオカメラ、スチルカメラ、カーナビゲーションシステムが挙げられる。

また攻撃分析装置に、アンテナや通信用インターフェースなど、必要な機能を追加してもよい。

本発明の攻撃分析装置は、特にサーバ側で用いられることにより、各種サービスの提供を目的とするために用いられることが想定される。かかるサービスの提供に伴い、本発明の攻撃分析装置が使用され、本発明の方法が使用され、又は／及び本発明のプログラムが実行されることになる。

加えて、本発明は、各実施形態で説明した構成及び機能を有する専用のハードウェアで実現できるだけでなく、メモリやハードディスク等の記録媒体に記録した本発明を実現するためのプログラム、及びこれを実行可能な専用又は汎用ＣＰＵ及びメモリ等を有する汎用のハードウェアとの組み合わせとしても実現できる。

専用や汎用のハードウェアの非遷移的実体的記録媒体（例えば、外部記憶装置（ハードディスク、ＵＳＢメモリ、ＣＤ／ＢＤ等）、又は内部記憶装置（ＲＡＭ、ＲＯＭ等））に格納されるプログラムは、記録媒体を介して、あるいは記録媒体を介さずにサーバから通信回線を経由して、専用又は汎用のハードウェアに提供することもできる。これにより、プログラムのアップグレードを通じて常に最新の機能を提供することができる。

本発明の攻撃分析装置は、主として自動車に搭載された電子制御システムが受けたサイバー攻撃を分析する装置を対象としているが、自動車に搭載されない通常のシステムに対する攻撃を分析する装置を対象としてもよい。

１００，２００ 攻撃分析装置、１０１ セキュリティログ取得部、１０２ 故障情報取得部、１０３ 予測テーブル保存部、１０４ 攻撃経路推定部、１０５ 要求信号送信部、１０６ 攻撃情報出力部、１０７ 予測攻撃経路候補選択部、１０８ 信頼度算出部、２０１ フラグ付与部

Claims (18)

1. 電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
   前記電子制御装置で発生した故障を示す故障情報を取得する故障情報取得部（１０２）と、
   前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
   前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）であって、
   前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択する予測攻撃経路候補選択部（１０７）と、
   前記故障情報を用いて前記予測攻撃経路候補の確からしさを示す信頼度を求めるとともに、前記故障が発生した前記電子制御装置が経路に含まれる前記予測攻撃経路候補の信頼度を上げる処理を行う、信頼度算出部（１０８）と、を有する前記攻撃経路推定部と、
   前記予測攻撃経路候補及び前記信頼度を前記攻撃経路として示す攻撃情報を出力する攻撃情報出力部（１０６）と、を有する、
   攻撃分析装置（１００、２００）。
2. 電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
   前記電子制御装置で発生した故障を示す故障情報を取得する故障情報取得部（１０２）と、
   前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
   前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）であって、
   前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択する予測攻撃経路候補選択部（１０７）と、
   前記故障情報が示す前記故障の内容に応じて、前記故障が発生した前記電子制御装置が経路に含まれる前記予測攻撃経路候補の確からしさを示す信頼度を求める信頼度算出部（１０８）と、を有する前記攻撃経路推定部と、
   前記予測攻撃経路候補及び前記信頼度を前記攻撃経路として示す攻撃情報を出力する攻撃情報出力部（１０６）と、を有する、
   攻撃分析装置（１００、２００）。
3. 電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
   前記電子制御装置で発生した故障を示す故障情報を取得する故障情報取得部（１０２）と、
   前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
   前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）であって、
   前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択する予測攻撃経路候補選択部（１０７）と、
   前記予測攻撃経路候補のうち、前記故障が発生した前記電子制御装置が経路に含まれる予測攻撃経路候補にフラグを付与するフラグ付与部（２０１）と、を有する前記攻撃経路推定部と、
   前記予測攻撃経路候補及び前記フラグを前記攻撃経路として示す攻撃情報を出力する攻撃情報出力部（１０６）と、を有する、
   攻撃分析装置（２００）。
4. 電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
   前記電子制御装置で発生した故障を示す故障情報を取得する故障情報取得部（１０２）と、
   前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
   前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）であって、
   前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択する予測攻撃経路候補選択部（１０７）、を有する前記攻撃経路推定部と、
   前記予測攻撃経路候補に含まれる電子制御装置に対して、前記故障情報を要求する要求信号を送信する要求信号送信部（１０５）と、
   前記予測攻撃経路候補を前記攻撃経路として示す攻撃情報を出力する攻撃情報出力部（１０６）と、を有し、
   前記故障情報取得部は、前記要求信号の送信先である前記電子制御装置から前記故障情報を取得する、
   攻撃分析装置（１００、２００）。
5. 電子制御システムを構成する電子制御装置に搭載されたセキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得するセキュリティログ取得部（１０１）と、
   前記電子制御装置で発生した故障を示す故障情報を取得する故障情報取得部（１０２）と、
   前記電子制御システムにおける予測攻撃経路と、前記セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）と、
   前記予測テーブルを用いて、前記セキュリティログに含まれる前記異常検知信号及び前記故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部（１０４）であって、
   前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択する予測攻撃経路候補選択部（１０７）と、
   前記異常検知信号と前記予測異常検知信号とを比較することにより、前記予測攻撃経路候補の確からしさを示す信頼度を求めるとともに、前記故障情報を用いて前記信頼度を補正する、信頼度算出部（１０８）と、を有する、前記攻撃経路推定部と、
   前記予測攻撃経路候補及び前記信頼度を前記攻撃経路として示す攻撃情報を出力する攻撃情報出力部（１０６）と、を有する、
   攻撃分析装置（１００、２００）。
6. 前記予測攻撃経路は、予測攻撃起点、予測攻撃対象、及び前記予測攻撃起点から前記予測攻撃対象の間に経由する電子制御装置で特定される、
   請求項１～５のいずれかに記載の攻撃分析装置。
7. 前記電子制御システム及び当該攻撃分析装置は、移動体に搭載されている、
   請求項１～６のいずれかに記載の攻撃分析装置。
8. 前記電子制御システムは、移動体に搭載されており、
   当該攻撃分析装置は、前記移動体の外部に設置されたサーバ装置である、
   請求項１～６のいずれかに記載の攻撃分析装置。
9. 攻撃分析装置で実行される攻撃分析方法であって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
   当該攻撃分析方法は、
   前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
   前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
   前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
   前記故障情報を用いて前記予測攻撃経路候補の確からしさを示す信頼度を求めるとともに、前記故障が発生した前記電子制御装置が経路に含まれる前記予測攻撃経路候補の信頼度を上げる処理を行い（Ｓ１０５）、
   前記予測攻撃経路候補及び前記信頼度を攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
   攻撃分析方法。
10. 攻撃分析装置で実行される攻撃分析方法であって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析方法は、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
    前記故障情報が示す前記故障の内容に応じて、前記故障が発生した前記電子制御装置が経路に含まれる前記予測攻撃経路候補の確からしさを示す信頼度を求め（Ｓ１０５）、
    前記予測攻撃経路候補及び前記信頼度を攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    攻撃分析方法。
11. 攻撃分析装置で実行される攻撃分析方法であって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析方法は、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
    前記予測攻撃経路候補のうち、前記故障が発生した前記電子制御装置が経路に含まれる予測攻撃経路候補にフラグを付与し（Ｓ２０１）、
    前記予測攻撃経路候補及び前記フラグを攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    攻撃分析方法。
12. 攻撃分析装置で実行される攻撃分析方法であって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析方法は、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記セキュリティログに含まれる前記異常検知信号及び故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部において、前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記予測攻撃経路候補に含まれる電子制御装置に対して、前記故障情報を要求する要求信号を送信し（Ｓ１０３）、
    前記要求信号の送信先である前記電子制御装置から、前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
    前記予測攻撃経路候補を攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    攻撃分析方法。
13. 攻撃分析装置で実行される攻撃分析方法であって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析方法は、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
    前記異常検知信号と前記予測異常検知信号とを比較することにより、前記予測攻撃経路候補の確からしさを示す信頼度を求めるとともに、前記故障情報を用いて前記信頼度を補正し（Ｓ１０５）、
    前記予測攻撃経路候補及び前記信頼度を攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    攻撃分析方法。
14. 攻撃分析装置で実行可能な攻撃分析プログラムであって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析プログラムは、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
    前記故障情報を用いて前記予測攻撃経路候補の確からしさを示す信頼度を求めるとともに、前記故障が発生した前記電子制御装置が経路に含まれる前記予測攻撃経路候補の信頼度を上げる処理を行い（Ｓ１０５）、
    前記予測攻撃経路候補及び前記信頼度を攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    処理を前記攻撃分析装置に実行させる攻撃分析プログラム。
15. 攻撃分析装置で実行可能な攻撃分析プログラムであって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析プログラムは、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
    前記故障情報が示す前記故障の内容に応じて、前記故障が発生した前記電子制御装置が経路に含まれる前記予測攻撃経路候補の確からしさを示す信頼度を求め（Ｓ１０５）、
    前記予測攻撃経路候補及び前記信頼度を攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    処理を前記攻撃分析装置に実行させる攻撃分析プログラム。
16. 攻撃分析装置で実行可能な攻撃分析プログラムであって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析プログラムは、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
    前記予測テーブルを読み出し、前記セキュリティログに含まれる前記異常検知信号及び前記故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定し（Ｓ１０２、Ｓ１０５）、
    前記予測攻撃経路候補のうち、前記故障が発生した前記電子制御装置が経路に含まれる予測攻撃経路候補にフラグを付与し（Ｓ２０１）、
    前記予測攻撃経路候補及び前記フラグを攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    処理を前記攻撃分析装置に実行させる攻撃分析プログラム。
17. 攻撃分析装置で実行可能な攻撃分析プログラムであって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析プログラムは、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記セキュリティログに含まれる前記異常検知信号及び故障情報から、前記電子制御システムが受けた攻撃の攻撃経路を推定する攻撃経路推定部において、前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記予測攻撃経路候補に含まれる電子制御装置に対して、前記故障情報を要求する要求信号を送信し（Ｓ１０３）、
    前記要求信号の送信先である前記電子制御装置から、前記電子制御装置で発生した故障を示す前記故障情報を取得し（Ｓ１０４）、
    前記予測攻撃経路候補を攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    処理を前記攻撃分析装置に実行させる攻撃分析プログラム。
18. 攻撃分析装置で実行可能な攻撃分析プログラムであって、前記攻撃分析装置は、電子制御システムにおける予測攻撃経路と、セキュリティセンサで生成されることが予測される予測異常検知信号との対応関係を示す予測テーブルを保存する予測テーブル保存部（１０３）を有し、
    当該攻撃分析プログラムは、
    前記電子制御システムを構成する電子制御装置に搭載された前記セキュリティセンサで生成されるとともに前記セキュリティセンサが異常を検知したことを示す異常検知信号を含むセキュリティログを取得し（Ｓ１０１）、
    前記予測テーブルを用いて、前記異常検知信号と前記予測異常検知信号とを比較することにより前記予測攻撃経路から予測攻撃経路候補を選択し（Ｓ１０２）、
    前記電子制御装置で発生した故障を示す故障情報を取得し（Ｓ１０４）、
    前記異常検知信号と前記予測異常検知信号とを比較することにより、前記予測攻撃経路候補の確からしさを示す信頼度を求めるとともに、前記故障情報を用いて前記信頼度を補正し（Ｓ１０５）、
    前記予測攻撃経路候補及び前記信頼度を攻撃経路として示す攻撃情報を出力する（Ｓ１０６）、
    処理を前記攻撃分析装置に実行させる攻撃分析プログラム。