# 図のキャプション（日本語）

## fig01_attack_paths.svg
製造から運用までの攻撃経路。攻撃者は製造工程・開発工程・更新配信サーバーと署名鍵・メーカーのクラウド制御面・通信経路・管理者アカウント・現場ネットワークのどこからでも現場設備に到達できる。JC-STAR★1 が評価するのは右端の製品機能だけで、それ以外の到達点は評価の対象外（IPA 回答 2026年7月26日）。

## fig02_origin_vs_attack_path.svg
製造国・開発国・クラウド所在地・攻撃者所在地・運用国は別々の場所にあり得る。製造国の確認（青の点線）で分かるのは左の二列だけで、侵入（赤）は第三国のクラウド、侵害済みの踏み台、正規の管理アカウントを経由して右の運用システムへ届く。製造国の製品や企業を経由する必要はない。

## fig03_audit_scope_vs_operation.svg
製造・開発・納入・設置・運用・更新の段階を横軸に置く。製造・開発工程の審査（青）が見るのは左の二段階とある時点の製品機能だけで、設備寿命 15〜20 年の大半を占める運用・更新段階（赤）にクラウド制御面・管理者アカウント・通信経路・公開後の脆弱性・更新配信・保守端末という攻撃面が残る。

## fig04_cert_vs_boundary_models.svg
左の製品認証中心モデルでは信頼境界が製品一台ごとにあり、クラウドと更新配信が全台に直結するため、そこが共通障害点になる。右の境界防護中心モデルでは信頼境界がサイト境界に移り、クラウドからの指令は境界で検証される。共通障害点は境界装置の型式に移るので、型式を分け段階更新する必要がある。どちらにも共通障害点はあり、問題はそれが何台に直結しているかである。

## fig05_boundary_protected_der.svg
複数メーカーのクラウドと充電管理システム（CSMS）からの通信は、サイト境界の装置で宛先・プロトコル・ファンクションコード・頻度を検証される。内側のローカル EMS が出力の床と通信断時の既定動作を保ち、A 社 PCS・B 社 PCS・C 社蓄電池・OCPP 充電器を同じ境界が守る。系統運用者の指令経路（青）はメーカー保守経路（赤）と分ける。各機器でこの構成が組めるかは第7章の公開仕様の表を参照。

## fig06_blast_radius.svg
フリート 10,000 MW・一つのクラウド制御面の占有率 25%・境界装置の実効率 ρ=0.9 という仮定での、侵害 1 件で同時に動く容量の上限。A ではクラウド 1 件で 2,500 MW、B では境界が働かない 1 割分の 250 MW。B 固有の共通原因（境界装置型式の脆弱性）は、全サイト同一型式なら上限がフリート全体に達し、5 型式に分けると 2,000 MW。値は `data/assumptions.csv` を変えると変わる。

## fig07_cost_comparison.svg
サイト規模 4 区分での 1 kW あたり年間費用（対数軸）。A は認証費用の価格転嫁と、同型式交換が「軽微な変更」でなくなる場合の交換遅延の逸失電力。B は境界装置の年割りと運用費。低圧では B が A より 1〜2 桁高く、特別高圧では同程度になる。費用側の入力は有効期間 2 年（IPA 公表値）を除きすべて仮定値で、申請手数料（kind=to-confirm）は公表値で置き換える。費用の安さは防御の到達範囲とは別の軸である（第8章）。