(57)【特許請求の範囲】
【請求項１】
内部データの変更が可能な複数の電子制御装置が相互通信可能に車両用ネットワークに接続されてなる車両用ネットワークシステムであって、
前記複数の電子制御装置のうちの特定の電子制御装置は、該特定の電子制御装置自身に保持されている内部データに基づき生成された第１の検証データが分割されて複数の電子制御装置に分配保持されている分割データが回収され、かつ結合されて作成された第２の検証データと、該特定の電子制御装置自身にその都度の時点で保持されている内部データに基づき生成された第３の検証データとを比較することに基づいて、該特定の電子制御装置自身に保持されている内部データの改ざんの有無を自身で判定するとともに、前記第１の検証データが複数に分割された分割データを保持し、通信により変更可能な内部データが変更されるとき、前記保持している分割データを当該特定の電子制御装置とは異なる他の電子制御装置に退避させる
ことを特徴とする車両用ネットワークシステム。
【請求項２】
前記比較される前記第２の検証データ及び前記第３の検証データの保持が前記特定の電子制御装置によって行われる
請求項１に記載の車両用ネットワークシステム。
【請求項３】
少なくとも前記第１の検証データ及び前記第３の検証データの生成が前記特定の電子制御装置によって行われる
請求項１又は２に記載の車両用ネットワークシステム。
【請求項４】
前記第１の検証データが複数に分割された分割データの前記複数の電子制御装置への分配が前記特定の電子制御装置によって行われる
請求項１〜３のいずれか一項に記載の車両用ネットワークシステム。
【請求項５】
前記特定の電子制御装置は、前記内部データが変更された後、前記退避させた分割データを元に戻す
請求項１〜４のいずれか一項に記載の車両用ネットワークシステム。
【請求項６】
内部データの変更が可能な複数の電子制御装置が相互通信可能に車両用ネットワークに接続されてなる車両用ネットワークシステムに用いられる車両用情報処理方法であって、
前記複数の電子制御装置のうちの特定の電子制御装置が、
その特定の電子制御装置に保持されている内部データに基づき第１の検証データを予め生成するとともに、この生成した第１の検証データを複数の分割データに分割して複数の電子制御装置にそれら分割データを分配し、保持させる工程と、
前記分割データを回収するとともに、該回収した複数の分割データを結合して第２の検証データを生成する工程と、
前記特定の電子制御装置自身にその都度の時点で保持されている内部データに基づき第３の検証データを生成する工程と、
前記第２の検証データと前記第３の検証データとの比較に基づいて、前記特定の電子制御装置自身に保持されている内部データの改ざんの有無を該特定の電子制御装置自身で判定する工程と、
前記第１の検証データを分割した分割データを保持する工程と、
通信により変更可能な内部データが変更されるとき、前記保持している分割データを当該特定の電子制御装置とは異なる他の電子制御装置に予め退避させる工程と、を実行する
ことを特徴とする車両用情報処理方法。
【請求項７】
前記比較する前記第２の検証データ及び前記第３の検証データの保持を、前記特定の電子制御装置によって行う
請求項６に記載の車両用情報処理方法。
【請求項８】
少なくとも前記第１の検証データ及び前記第３の検証データの生成を、前記特定の電子制御装置によって行う
請求項６又は７に記載の車両用情報処理方法。
【請求項９】
前記第１の検証データを分割した分割データの前記複数の電子制御装置への分配を、前記特定の電子制御装置によって行う
請求項６〜８のいずれか一項に記載の車両用情報処理方法。
【請求項１０】
前記内部データが変更された後、前記特定の電子制御装置に前記退避させた分割データを戻す工程をさらに備える
請求項６〜９のいずれか一項に記載の車両用情報処理方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に搭載された複数の電子制御装置が互いにネットワーク接続されて情報の送受信を行う車両用ネットワークシステム、及び同ネットワークシステムを用いる車両用情報処理方法に関する。
【背景技術】
【０００２】
周知のように、車両に搭載された複数の電子制御装置（ＥＣＵ）にあっては、それぞれが車両のネットワークに接続されることによって、それらＥＣＵの有する情報（車両情報）を相互に送受信可能とする車両用ネットワークシステムを構成している。
【０００３】
そして、このような車両用ネットワークシステムにネットワーク接続されているＥＣＵは、そのプログラムの保守や更新にかかる作業が、当該車両のネットワークに外部接続されるテスタ等の保守装置を介して行われることが多い。つまり、車両のネットワークに接続された保守装置を通じてＥＣＵのプログラムが書き換えによる更新、いわゆるリプログラミング（リプロ）されるようになる。
【０００４】
その一方、ネットワーク接続されているＥＣＵは、ネットワークを介してそのプログラム内容が改ざんされるおそれが否定できない。すなわち、こうしたＥＣＵのプログラムは、例えばネットワークに不正に接続された保守装置により不正にリプログラミングが実行されることによって改ざんされたり、何らかの手段によるネットワークに対する不正なアクセスによって改ざんされたりするおそれがある。そこで従来は、車両のネットワークに接続されているＥＣＵのプログラムが改ざんされていないか検出するシステムなども提案されており、その一例が特許文献１に記載されている。
【０００５】
特許文献１に記載のシステムには、車両用ネットワーク（車両内の通信ライン）に複数のＥＣＵと１つのゲートウェイとが各々相互通信可能に接続されている。これら各ＥＣＵは、イグニッションスイッチ（以下、ＩＧ）のオフに伴い、自装置に内蔵されているデータのハッシュ値をゲートウェイへ送信する。これを受けたゲートウェイは、送信された各ＥＣＵのハッシュ値を比較用データとしてＥＥＰＲＯＭに記憶する。一方、ＩＧがオンされて動作を開始した各ＥＣＵは、自装置に内蔵されているデータのハッシュ値をゲートウェイへ送信する。これによりゲートウェイは、各ＥＣＵについて、送信されたハッシュ値と、上記ＥＥＰＲＯＭ内に記憶されている対応する比較用データとを比較する。そして、ゲートウェイは、送信されたハッシュ値と対応する比較用データとが不一致の場合、そのＥＣＵのデータが改ざんされていると判定する。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２００５−２４２８７１号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
特許文献１に記載のシステムによればこのように、ネットワークに接続されたＥＣＵのデータ（プログラム）改ざんの有無がゲートウェイを通じて判定されるようになる。また近年、車両用ネットワークシステムであれ、そのセキュリティのより一層の向上が求められており、上述のようなデータ改ざんの有無を判定する装置や各ＥＣＵとしても、それ自身に対する改ざんへの耐性、いわゆる耐タンパ性を有することが望まれるようになってきている。そのため、それら装置に耐タンパ性のあるメモリを採用することなども検討されているが、このようなメモリを採用するとなると、車両用ネットワークシステムとしても、リプログラミング等をはじめとするデータの取り扱いが煩雑化されるとともに、高価なメモリを用いることによるコストアップも避けられない。
【０００８】
本発明は、このような実情に鑑みなされたものであり、その目的は、コストアップ等を招くことなく、車両用ネットワークに接続された電子制御装置における内部データの改ざんの有無を容易に、しかも高いセキュリティのもとに判定することができる車両用ネットワークシステム、及び同ネットワークシステムを用いる車両用情報処理方法を提供することにある。
【課題を解決するための手段】
【０００９】
以下、上記課題を解決するための手段及びその作用効果を記載する。
上記課題を解決するため、請求項１に記載の発明は、内部データの変更が可能な複数の電子制御装置が相互通信可能に車両用ネットワークに接続されてなる車両用ネットワークシステムであって、前記複数の電子制御装置のうちの特定の電子制御装置は、該特定の電子制御装置自身に保持されている内部データに基づき生成された第１の検証データが分割されて複数の電子制御装置に分配保持されている分割データが回収され、かつ結合されて作成された第２の検証データと、該特定の電子制御装置自身にその都度の時点で保持されている内部データに基づき生成された第３の検証データとを比較することに基づいて、該特定の電子制御装置自身に保持されている内部データの改ざんの有無を自身で判定するとともに、前記第１の検証データが複数に分割された分割データを保持し、通信により変更
可能な内部データが変更されるとき、前記保持している分割データを当該特定の電子制御装置とは異なる他の電子制御装置に退避させることを要旨とする。
【００１０】
上記課題を解決するため、請求項６に記載の発明は、内部データの変更が可能な複数の電子制御装置が相互通信可能に車両用ネットワークに接続されてなる車両用ネットワークシステムに用いられる車両用情報処理方法であって、前記複数の電子制御装置のうちの特定の電子制御装置が、その特定の電子制御装置に保持されている内部データに基づき第１の検証データを予め生成するとともに、この生成した第１の検証データを複数の分割データに分割して複数の電子制御装置にそれら分割データを分配し、保持させる工程と、前記分割データを回収するとともに、該回収した複数の分割データを結合して第２の検証データを生成する工程と、前記特定の電子制御装置自身にその都度の時点で保持されている内部データに基づき第３の検証データを生成する工程と、前記第２の検証データと前記第３の検証データとの比較に基づいて、前記特定の電子制御装置自身に保持されている内部データの改ざんの有無を該特定の電子制御装置自身で判定する工程と、前記第１の検証データを分割した分割データを保持する工程と、通信により変更可能な内部データが変更されるとき、前記保持している分割データを当該特定の電子制御装置とは異なる他の電子制御装置に予め退避させる工程と、を実行することを要旨とする。
【００１１】
このような構成もしくは方法によれば、特定の電子制御装置の内部データの改ざんの有無が第２の検証データと第３の検証データとの比較に基づいて判定されるようになる。第２の検証データは、複数の電子制御装置に分割配布された複数の分割データから作成されるため、それら複数の分割データが個々に改ざんされるおそれが小さくなっている。すなわち、複数の分割データの改ざんを難しくしていることから、複数の分割データから作成される第２の検証データのセキュリティが高く維持される。また、この構成であれば、従来と同等の電子制御装置を用いたシステムであっても、内部データの改ざんの有無を従来よりも高いセキュリティのもとで判断できるようになる。このように、セキュリティを向上させた第２の検証データと、第３の検証データとを比較することで、コストアップ等を招くことなく、車両用ネットワークに接続された電子制御装置内の内部データの改ざんの有無を容易に、しかも高いセキュリティのもとに判定することができるようになる。
【００１２】
また、特定の電子制御装置の内部データが更新、いわゆるリプログラミングされたような場合であれ、その更新された内部データに対する改ざんの有無の判定を可能である。すなわち、更新された内部データに基づいて生成された第１の検証データを複数の電子制御装置に分配保持させることで、第２の検証データと第３の検証データとの比較を行うことができる。
また、このような構成もしくは方法によれば、特定の電子制御装置にそれ自身の分割データを保持することができることはもとより、例えば、他の電子制御装置の分割データであっても保持することもできる。これにより、車両用ネットワークシステムを改ざん有無の判定に幅広く対応させることができるようになる。
さらに、このような構成もしくは方法によれば、内部データの変更、いわゆるリプログラミングに先立って、特定の電子制御装置に保持されている分割データが他の電子制御装置に退避されるため、分割データが特定の電子制御装置のリプログラミングによっても維持される。すなわち、車両用ネットワークシステムでは、リプログラミング後であれ、退避された分割データの利用が可能になる。例えば、退避させた分割データが、他の電子制御装置から配布された分割データであるとすれば、他の電子制御装置は特定の電子制御装置がリプログラミングされたとしても退避された分割データに基づいて、その改ざん判定が可能ともなる。これにより、車両ネットワークシステムの構成自由度が向上するようになる。
【００１５】
さらに、このような構成もしくは方法によれば、改ざんを判定したい特定の電子制御装置自身にて改ざんの有無が判定される。つまり、改ざんの有無の判定対象となる電子制御装置と、改ざんの有無を判定する電子制御装置とが同一の特定の電子制御装置になるため、改ざんの有無に対応した処理などを特定の電子制御装置にて速やかに行なえるようにもなる。
【００１６】
請求項２に記載の発明は、請求項１に記載の車両用ネットワークシステムにおいて、前記比較される前記第２の検証データ及び前記第３の検証データの保持が前記特定の電子制御装置によって行われることを要旨とする。
【００１７】
請求項７に記載の発明は、請求項６に記載の車両用情報処理方法において、前記比較する前記第２の検証データ及び前記第３の検証データの保持を、前記特定の電子制御装置によって行うことを要旨とする。
【００１８】
このような構成もしくは方法によれば、特定の電子制御装置の改ざんの有無を判定するとき、判定対象の特定の電子制御装置から第２の検証データ及び第３の検証データを取得することができるため、それら第２の検証データ及び第３の検証データの取得が容易になる。
【００１９】
請求項３に記載の発明は、請求項１又は２に記載の車両用ネットワークシステムにおいて、少なくとも前記第１の検証データ及び前記第３の検証データの生成が前記特定の電子制御装置によって行われることを要旨とする。
【００２０】
請求項８に記載の発明は、請求項６又は７に記載の車両用情報処理方法において、少なくとも前記第１の検証データ及び前記第３の検証データの生成を、前記特定の電子制御装置によって行うことを要旨とする。
【００２１】
このような構成もしくは方法によれば、第１の検証データ及び第３の検証データがその生成の基となる内部データを有する特定の電子制御装置にて生成されるため、それら第１の検証データや第３の検証データの生成が容易になる。また、内部データに応じた第１の検証データや第３の検証データの生成が、当該内部データを有する特定の電子制御装置によって確実、かつ、適切に行える。これにより、改ざんの有無の判定が好適に行われるようになる。
【００２２】
請求項４に記載の発明は、請求項１〜３のいずれか一項に記載の車両用ネットワークシステムにおいて、前記第１の検証データが複数に分割された分割データの前記複数の電子制御装置への分配が前記特定の電子制御装置によって行われることを要旨とする。
【００２３】
請求項９に記載の発明は、請求項６〜８のいずれか一項に記載の車両用情報処理方法において、前記第１の検証データを分割した分割データの前記複数の電子制御装置への分配を、前記特定の電子制御装置によって行うことを要旨とする。
【００２４】
このような構成もしくは方法によれば、複数の分割データが特定の電子制御装置により分割配布されることから、改ざん判定に必要となる複数の分割データを特定の電子制御装置自身により回収できるようにもなる。また、特定の電子制御装置が、内部データの変更に応じて適宜、分割データを配布することができるようになるなど、分割データの配布の柔軟性が向上する。これにより、改ざんの有無の判定が好適に行われるようになる。
【００３１】
請求項５に記載の発明は、請求項１〜４のいずれか一項に記載の車両用ネットワークシステムにおいて、前記特定の電子制御装置は、前記内部データが変更された後、前記退避させた分割データを元に戻すことを要旨とする。
【００３２】
請求項１０に記載の発明は、請求項６〜９のいずれか一項に記載の車両用情報処理方法において、前記内部データが変更された後、前記特定の電子制御装置に前記退避させた分割データを戻す工程をさらに備えることを要旨とする。
【００３３】
このような構成もしくは方法によれば、分割データが元の状態に戻されるため、当該分割データをリプログラミング前後で同様に、改ざん判定などに用いられるようにすることができるようになる。これにより、改ざん判定に対する利便性が向上する。このとき元に戻した分割データが、他の電子制御装置から配布された分割データであるとすれば、他の電子制御装置は特定の電子制御装置がリプログラミングされたとしてもその改ざん判定が可能となる。これにより、車両ネットワークシステムの構成自由度が向上するようになる。
【図面の簡単な説明】
【００３４】
【図１】本発明に係る車両用ネットワークシステムを具体化した第１の実施形態について、その概略構成を示すブロック図。
【図２】同実施形態の車両用ネットワークシステムにおける改ざん判定の処理手順を示すフローチャート。
【図３】本発明に係る車両用ネットワークシステムを具体化した第２の実施形態について、その概略構成を示すブロック図。
【図４】同実施形態の車両用ネットワークシステムにおいて、リプログラミングが生じた場合でも改ざん判定を維持できるようにした処理についての手順を示すフローチャート。
【図５】本発明に係る車両用ネットワークシステムを具体化した第３の実施形態について、その概略構成を示すブロック図。
【図６】同実施形態における分割データについて模式的に示す模式図。
【図７】同実施形態における分割データの回収を模式的に示す模式図。
【図８】本発明に係る車両用ネットワークシステムを具体化した他の実施形態について、その分割データの必要性の確認を模式的に示す模式図。
【図９】本発明に係る車両用ネットワークシステムを具体化したその他の実施形態について、その分割データを模式的に示す模式図。
【発明を実施するための形態】
【００３５】
（第１の実施形態）
本発明にかかる車両用ネットワークシステムを具体化した第１の実施形態について、図１及び図２に従って説明する。
【００３６】
車両１０には、車両用ネットワークシステムが設けられている。車両用ネットワークシステムには、第１〜８の電子制御装置（ＥＣＵ）１１〜１８と、それら第１〜８のＥＣＵ１１〜１８を相互通信可能にするように接続させるネットワーク１９とが設けられている。
【００３７】
ネットワーク１９は、ＣＡＮ（Ｃｏｎｔｒｏｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）などの車両ネットワーク等から構成されており、そこに接続される第１〜８のＥＣＵ１１〜１８の各々を、当該ネットワーク１９を介する相互の情報通信を可能にさせている。つまり、第１〜８のＥＣＵ１１〜１８にはそれぞれ、ネットワーク１９を介しての相互通信を可能とさせるため、当該ネットワーク１９の通信プロトコルに対応した通信信号の送受が可能な送信部及び受信部（図示略）が設けられている。そして、第１〜８のＥＣＵ１１〜１８は、各種制御データなどを、送信部からネットワーク１９に送信したり、逆に、受信部がネットワーク１９から受信したりするようになっている。
【００３８】
第１〜８のＥＣＵ１１〜１８はそれぞれ、車両１０の各種制御に用いられる制御装置であって、例えば、駆動系や、走行系や、車体系や、情報機器系等を制御対象としているＥＣＵである。例えば、駆動系を制御対象とするＥＣＵとしては、エンジン用ＥＣＵが挙げられ、走行系を制御対象とするＥＣＵとしては、ステアリング用ＥＣＵやブレーキ用ＥＣＵが挙げられ、車体系を制御対象とするＥＣＵとしては、ライト用ＥＣＵやウィンドウ用ＥＣＵが挙げられ、情報機器系を制御対象とするＥＣＵとしては、カーナビゲーション用ＥＣＵが挙げられる。
【００３９】
こうした第１〜８のＥＣＵ１１〜１８はそれぞれ、演算装置や記憶装置を有するマイクロコンピュータを含み構成されている。すなわち、各第１〜８のＥＣＵ１１〜１８には、制御用プログラムの演算処理を実行する演算装置（ＣＰＵ）と、その制御に必要な制御用プログラムやデータなどが記憶された読み出し専用メモリ（ＲＯＭ）と、ＣＰＵの演算結果が一時的に記憶される揮発性メモリ（ＲＡＭ）とが設けられている。これにより、各第１〜８のＥＣＵ１１〜１８は、記憶装置に保持されている制御用プログラム等が演算装置に読み込まれ、実行処理されることで、制御対象の制御を行なう。このとき、第１〜８のＥＣＵ１１〜１８は、各制御に必要なデータをネットワーク１９を介して相互に授受するようにしている。
【００４０】
また、本実施形態の、特定の電子制御装置としての第１のＥＣＵ１１には、制御に必要な制御用プログラムやデータなどが記憶されるメモリとしてさらに、不揮発性のメモリ（ＥＥＰＲＯＭ）が設けられている。すなわち、第１のＥＣＵ１１は、ＥＥＰＲＯＭに保持されている制御用プログラム等も演算装置に読み込まれ、実行処理されることで、制御対象の制御を行なう。ＥＥＰＲＯＭに保持されている制御用プログラム等は、それを書き換えることにより更新する、いわゆるリプログラミング（リプロ）することができるようになっている。これにより、第１のＥＣＵ１１は、ディーラなどで正規のリプログラミングを行われることにより、ＥＥＰＲＯＭに保持されている制御用プログラム等を最新の状態に更新されるようになっている。
【００４１】
なお、リプログラミングは、ネットワーク１９に接続されるテスタ等の図示しない保守装置が当該ネットワーク１９を介して第１のＥＣＵ１１に通信可能に接続すると、所定の手順に基づいて新たなソフトウェアがその保守装置を通じて第１のＥＣＵ１１のＥＥＰＲＯＭに書き込まれることによって実行される。一方、第１のＥＣＵ１１は、そのＥＥＰＲＯＭのデータ内容が変更可能であるため、不正な保守装置により不正なリプログラミングが実行されたり、何らかの手段によるネットワーク１９を介した不正なアクセスやウィルスなどによってプログラムの一部が書き換えられたりする、いわゆる改ざんされるおそれが否定できない。そこで、本実施形態では、第１のＥＣＵ１１の内部データが改ざんされたか否かを判定するようにする。
【００４２】
第１のＥＣＵ１１には、制御用プログラムの実行処理に基づいて、算出部１１１、結合部１１２及び検証部１１３がそれぞれ設けられるとともに、第３の検証データとしての都度のチェック値ＣＶの保持領域と第２の検証データとしての結合データＵＶの保持領域とがそれぞれ確保される。
【００４３】
算出部１１１は、第１のＥＣＵ１１の現在の内部データに対応する都度のチェック値を、ＥＥＰＲＯＭに記憶されている制御用プログラム等に基づきハッシュ値として算出する。つまり、算出部１１１では、上記内部データのハッシュ値が予め定められたハッシュ関数に基づいて内部データの改ざんの有無を判定する都度のチェック値ＣＶとして算出される。ハッシュ関数は、内部データから予め定められた疑似乱数（ハッシュ値、メッセージダイジェスト）を生成する。なお理論上、同一のハッシュ値を持つ異なる内部データ（例えば、改ざんされた内部データ）を作成することは極めて困難であることから、ハッシュ関数により作成されたハッシュ値は、作成時点（現時点）における内部データに唯一対応する値であることが保証される。
【００４４】
結合部１１２は、第２のＥＣＵ１２及び第４〜７のＥＣＵ１４〜１７にそれぞれ保持されている各分割データＡ〜Ｅをそれぞれ収集し、それら収集した分割データＡ〜Ｅを結合する。なお分割データＡ〜Ｅは、上記分割データＡ〜Ｅが作成された時点の内部データに対応する第１の検証データとしての当初データＦＶが５つに分割されて生成されたものであり、分割された順番と、分割データＡ〜Ｅのアルファベットの順とが一致しているものとする。このとき当初データは、算出部１１１が都度のチェック値ＣＶを算出するのと同一のハッシュ関数を用いて算出されている、つまり分割データＡ〜Ｅが作成された時点の内部データに基づきハッシュ関数により求められたハッシュ値からなる。これにより、結合部１１２では、各分割データＡ〜Ｅが結合されることにより、当初データＦＶに対応する結合データＵＶが生成される。
【００４５】
さらに、結合部１１２には、各分割データＡ〜ＥがそれぞれどのＥＣＵに配布されたのかを記憶させた順番リストが設けられている。つまり、順番リストには、分割データＡは第５のＥＣＵ１５に配布され、分割データＢは第６のＥＣＵ１６に配布され、分割データＣは第２のＥＣＵ１２に配布され、分割データＤは第４のＥＣＵ１４に配布され、分割データＥは第７のＥＣＵ１７に配布されていることが記憶されている。これにより、結合部１１２は、分割データＡ〜Ｅを順番リストに従って各ＥＣＵからアルファベットの順番に回収するとともに、回収した順番に従って分割データＡ〜Ｅを結合することにより結合データＵＶを作成する。
【００４６】
検証部１１３は、算出部１１１にて生成された現時点（都度）のチェック値ＣＶと、結合部１１２にて生成した結合データＵＶとを比較することに基づいて、内部データの改ざんの有無を判断する。つまり、検証部１１３では、都度のチェック値ＣＶと結合データＵＶとが一致する場合、内部データは改ざんされていないと判断する一方、都度のチェック値ＣＶと結合データＵＶとが一致しない場合、内部データが改ざんされていると判断する。
【００４７】
第２〜８のＥＣＵ１２〜１８には、それらの制御用プログラムの実行処理に基づいて分割データを管理する機能が設けられるとともに、当該分割データを管理する機能によってＥＥＰＲＯＭなどの不揮発性メモリに分割データの保持領域（１２１，１４１，１５１，１６１，１７１など）がそれぞれ必要に応じて確保される。そして、本実施形態では、第２のＥＣＵ１２の分割データの保持領域１２１には分割データＣが保持され、第４のＥＣＵ１４の分割データの保持領域１４１には分割データＤが保持され、第５のＥＣＵ１５の分割データの保持領域１５１には分割データＡが保持されている。また、第６のＥＣＵ１６の分割データの保持領域１６１には分割データＢが保持され、第７のＥＣＵ１７の分割データの保持領域１７１には分割データＥが保持されている。なお、これらの分割データＡ〜Ｅは、各分割データの保持領域（１２１，１４１，１５１，１６１，１７１）に予め登録されているものとする。ここでは、第３のＥＣＵ１３及び第８のＥＣＵ１８には分割データが保持されていないが、それら第３のＥＣＵ１３及び第８のＥＣＵ１８にも、他のＥＣＵに代えて、もしくは、他のＥＣＵとともに分割データを保持させてもよい。
【００４８】
第２〜８のＥＣＵ１２〜１８には、分割データの管理機能として、登録機能、送信機能、削除機能の各機能が設けられている。送信機能は、第２〜８のＥＣＵ１２〜１８等が第１のＥＣＵ１１から分割データを回収する旨の指示を受けると、指示した第１のＥＣＵ１１に対応付けられた分割データを各保持領域から取得して、第１のＥＣＵ１１に対して送信する。登録機能は、第２〜８のＥＣＵ１２〜１８が第１のＥＣＵ１１から分割データを登録する旨の指示を受けると、指示した第１のＥＣＵ１１に対応付けて分割データを各保持領域に保持する。削除機能は、第２〜８のＥＣＵ１２〜１８が第１のＥＣＵ１１から分割データを削除する旨の指示を受けると、指示した第１のＥＣＵ１１に対応付けて保持されている分割データを各保持領域から削除する。
【００４９】
（作用）
次に、改ざんの有無の判定処理について、図２を参照して説明する。なお、第１のＥＣＵ１１では、車両１０のイグニッションがオンされたときなどに改ざんの有無を判定するようになっている。
【００５０】
図２に示すように、改ざんの有無の判定処理が開始されると、第１のＥＣＵ１１は、結合部１１２により分割データＡ〜Ｅをそれらの保持された各ＥＣＵから順に回収（収集）する（図２のステップＳ１０）とともに、それら回収したチェック値を結合して結合データを作成する（図２のステップＳ１１）。つまり、第１のＥＣＵ１１は、第５のＥＣＵ１５から分割データＡを、第６のＥＣＵ１６から分割データＢを、第２のＥＣＵ１２から分割データＣを、第４のＥＣＵ１４から分割データＤを、第７のＥＣＵ１７から分割データＥをそれぞれ回収するとともに、それら回収した分割データＡ〜Ｅを当該順番で結合して結合データを作成する。
【００５１】
次に、第１のＥＣＵ１１は、検証部１１３により、算出部１１１により算出されたチェック値ＣＶと、結合部１１２により作成した結合データＵＶとが一致するか否かを判断する（図２のステップＳ１２）。そして、都度のチェック値ＣＶと結合データＵＶとが一致すると判断された場合（図２のステップＳ１２でＹＥＳ）、第１のＥＣＵ１１は、第１のＥＣＵ１１の内部データが改ざんされていない、すなわち、第１のＥＣＵ１１の状態は正常であると判断する。そして、この判断結果をメモリなどに設定して改ざんの有無の判定処理を終了する。
【００５２】
一方、都度のチェック値ＣＶと結合データＵＶとが一致しないと判断された場合（図２のステップＳ１２でＮＯ）、第１のＥＣＵ１１は、第１のＥＣＵ１１の内部データが改ざんされていると判断する。そして、この判断結果をメモリなどに設定して改ざんの有無の判定処理を終了する。
【００５３】
この判断結果により、第１のＥＣＵ１１は、内部データの改ざんの有無を認識して、改ざんされている場合、他のＥＣＵへの警告の通知や、自身の処理を中止するなどの対応を実行することができる。なおこれら、改ざんに対応する必要最小限の機能を、ＲＯＭに保持されているため内容を変更できない制御用プログラムの処理に基づき実行するようにすれば、第１のＥＣＵ１１は、内部データの改ざんに対してより適切に対応できるようにもなる。
【００５４】
以上説明したように、本実施形態の車両用ネットワークシステムによれば、以下に列記するような効果が得られるようになる。
（１）第１のＥＣＵ１１の内部データの改ざんの有無を結合データＵＶと都度のチェック値ＣＶとの比較に基づいて判定するようにした。結合データＵＶは、第２，４〜７のＥＣＵ１２，１４〜１７に分割配布された複数の分割データＡ〜Ｅから作成されるため、それら複数の分割データＡ〜Ｅが個々に改ざんされるおそれが小さくなっている。すなわち、複数の分割データＡ〜Ｅの改ざんを難しくしていることから、複数の分割データＡ〜Ｅから作成される結合データＵＶのセキュリティが高く維持される。また、この構成であれば、従来と同等のＥＣＵを用いたシステムであっても、それらＥＣＵの内部データの改ざんの有無を従来よりも高いセキュリティのもとで判断できるようになる。このように、セキュリティを向上させた結合データＵＶと、都度のチェック値ＣＶとを比較することで、コストアップ等を招くことなく、車両用ネットワークに接続されたＥＣＵ内の内部データの改ざんの有無を容易に、しかも高いセキュリティのもとに判定することができるようになる。
【００５５】
また、第１のＥＣＵ１１の内部データが更新、いわゆるリプログラミングされたような場合であれ、その更新された内部データに対する改ざんの有無の判定を可能である。すなわち、更新された内部データに基づいて生成された当初データＦＶを分割した分割データを複数の電子制御装置に分配保持させることで、結合データＵＶと都度のチェック値ＣＶとの比較を行うことができる。
【００５６】
（２）内部データの改ざんを判定したい第１のＥＣＵ１１自身にて改ざんの有無が判定する。つまり、改ざんの有無の判定対象となるＥＣＵと、改ざんの有無を判定するＥＣＵとが同一の第１のＥＣＵ１１であるため、改ざんの有無に対応した処理などを第１のＥＣＵ１１にて速やかに行なえるようにもなる。
【００５７】
（３）第１のＥＣＵ１１の改ざんの有無を判定するとき、判定対象の第１のＥＣＵ１１から結合データＵＶ及び都度のチェック値ＣＶを取得することができるため、それら結合データＵＶ及び都度のチェック値ＣＶの取得が容易になる。
【００５８】
（第２の実施形態）
本発明にかかる車両用ネットワークシステムを具体化した第２の実施形態について、図３及び図４に従って説明する。
【００５９】
本実施形態は、その構成にリプロ装置２０を設けたこと、及び第１のＥＣＵ１１に代えて第１１のＥＣＵ２１を設けたことが上記第１の実施形態の構成と相違するものの、その他の構成については同様である。このことから、本実施形態では上記相違点を中心に説明し、説明の便宜上、第１の実施形態と同様の構成については同様の符号を付しその詳細な説明を割愛する。
【００６０】
本実施形態では、第１の実施形態の第１のＥＣＵ１１に代えて、特定の電子制御装置としての第１１のＥＣＵ２１が設けられている。第１１のＥＣＵ２１は、第１のＥＣＵ１１と同様に、ネットワーク１９の通信プロトコルに対応した通信信号の送受が可能な送信部及び受信部（図示略）が設けられている。また、第１１のＥＣＵ２１には、第１のＥＣＵ１１の算出部１１１と同様の算出部２１１と、第１のＥＣＵ１１の結合部１１２と同様の結合部２１２と、第１のＥＣＵ１１の検証部１１３と同様の検証部２１３とがそれぞれ設けられるとともに、都度のチェック値ＣＶの保持領域と結合データＵＶの保持領域とがそれぞれ確保されている。
【００６１】
さらに、第１１のＥＣＵ２１には、配布部２１４と、リプロ対応部２１５と、管理部２１６とが設けられている。
配布部２１４は、算出部２１１に都度のチェック値ＣＶを算出させるのと同一の方法で算出させた第１１のＥＣＵ２１の内部データのハッシュ値からなる当初データＦＶを５分割して分割データＡ〜Ｅを生成するとともに、当該生成した分割データＡ〜Ｅを所定の順番で他のＥＣＵに配布する（配布機能）。なお、本実施形態では、所定の順番は、順番リストに予め設定されている順番であって、順番リストには、配布先として１番目が第５のＥＣＵ１５、同２番目が第６のＥＣＵ、同３番目が第２のＥＣＵ１２、同４番目が第４のＥＣＵ１４、同５番目が第７のＥＣＵ１７に設定されている。
【００６２】
リプロ対応部２１５は、第１１のＥＣＵ２１のＥＥＰＲＯＭに保持されている制御用プログラムがネットワーク１９を介してリプロ装置２０を通じてリプログラミングされる前後に所定の処理、例えば、改ざん有無の判定処理に関連するデータを他のＥＣＵに退避させる処理や、退避させたデータを元に戻したりする処理等を実行する。
【００６３】
リプロ対応部２１５は、リプログラミングが実行される前、上記順番リストや、自身や他のＥＣＵから配布された分割データなど改ざん有無の判定処理に用いられるデータをリプログラミングされない他のＥＣＵ、例えば第４のＥＣＵ１４に退避データ１４３として一時退避させる。また、リプロ対応部２１５は、リプログラミングされた後、一時退避させたデータを他のＥＣＵから、例えば一時退避させた退避データ１４３を第４のＥＣＵ１４から回収する。そして、リプロ対応部２１５は、回収した退避データ１４３に含まれている各データをリプログラミング前の状態に戻す、いわゆる元に戻す。例えば、リプロ対応部２１５は、回収したデータに他のＥＣＵの分割データが含まれていた場合、その分割データを他のＥＣＵからの求めに応じて送信可能な態様にて保持する。また、リプロ対応部２１５は、回収したデータに自身のチェック値ＣＶや順番リストが含まれていた場合、それらを自身で利用可能な態様にて保持する。また、リプロ対応部２１５は、リプログラミングが終了すると、リプログラミング前の当初データＦＶに基づいて生成し、配布していた古い分割データＡ〜Ｅを削除するため、それら古い分割データＡ〜Ｅを保持している各ＥＣＵへ削除を指示する。このとき、削除を指示するＥＣＵを順番リストに基づいて特定してもよい。これにより、リプログラミングにより不要となった古い分割データが、それらの配布先の各ＥＣＵに蓄積されることを防いでいる。
【００６４】
管理部２１６は、配布された分割データを管理するのもであって、第１の実施形態の第２のＥＣＵ１２等の分割データの管理機能と同様の機能を有し、登録機能、送信機能、削除機能の各機能が設けられている。つまり、送信機能は、自身もしくは他のＥＣＵからの分割データの送信要求に応じて、当該ＥＣＵに対応する分割データがある場合、該ＥＣＵに対応する分割データを送信する。登録機能は、自身もしくは他のＥＣＵからの分割データの登録要求に応じて、当該ＥＣＵから受けた分割データを該ＥＣＵに関連付けてその保持領域に登録する。削除機能は、自身もしくは他のＥＣＵからの分割データの削除要求に応じて、当該ＥＣＵに関連付けられている分割データをその保持領域から削除する。すなわち、第１１のＥＣＵ２１は、自身から配布された分割データはもとより、他のＥＣＵから配布された分割データであっても維持管理することができる。なお、第１１のＥＣＵ２１では、分割データや順番リストもＥＰＰＲＯＭに記憶されることもあるが、分割データや順番リストは改ざんの有無を判断する対象とする第１１のＥＣＵ２１の内部データには含まれない。つまり、算出部２１１は、分割データや順番リストが含まれないように、当初データＦＶや都度のチェック値ＣＶを算出する。
【００６５】
リプロ装置２０は、ネットワーク１９を介して通信可能に接続される第１１のＥＣＵ２１のＥＥＰＲＯＭに保持されている制御用プログラム等を書き換えにより更新する、いわ
ゆるリプログラミングするための装置である。第１１のＥＣＵ２１は、カーディーラなどでリプロ装置２０を通じて実行される正規のリプログラミングにより、制御用プログラムやデータが最新の状態に更新されるようになっている。詳述すると、リプロ装置２０は、ネットワーク１９に接続されることで該ネットワーク１９を介して第１１のＥＣＵ２１に通信可能に接続されるようになると、そこに保持されている新たな制御用プログラムを所定の手順に基づいて第１１のＥＣＵ２１のＥＥＰＲＯＭに書き込む。
【００６６】
一方、リプログラミングが可能である第１１のＥＣＵ２１は、そのＥＥＰＲＯＭのデータ内容が変更可能であるため、不正に実行されたリプログラミングや、何らかの手段によってネットワーク１９を介してなされる不正なアクセスや操作によって書き換えられる、いわゆる改ざんされるおそれが否定できない。そこで、本実施形態では、第１１のＥＣＵ２１の内部データが改ざんされたか否かを判定するようにしている。
【００６７】
（作用）
次に、リプログラミングに対する対応について、図４を参照して説明する。第１１のＥＣＵ２１では、リプログラミングが実行される前後に渡ってリプログラミングに対する対応が行われる。
【００６８】
リプロ装置２０がネットワーク１９に接続されて第１１のＥＣＵ２１に対するリプログラミングの実行が準備されると、第１１のＥＣＵ２１はリプログラミングに対する対応を開始する。まず、第１１のＥＣＵ２１は、リプログラミングに先立ち、リプロ対応部２１５により、改ざん有無の判定処理に用いられるデータからなる退避データ１４３を第４のＥＣＵ１４に一時退避させるデータ退避を実行する（図４のステップＳ２０）。データ退避が終了すると、第１１のＥＣＵ２１はリプログラミングを実行される（図４のステップＳ２１）。
【００６９】
そのリプログラミングが終了されると、第１１のＥＣＵ２１は、リプロ対応部２１５により第４のＥＣＵ１４に退避させた退避データ１４３を回収する（図４のステップＳ２２）。そしてリプロ対応部２１５は、回収されたデータに含まれている順番リストに基づいてリプログラミング前に配布された古い分割データＡ〜Ｅをそれらが配布されている第２，４〜７のＥＣＵ１２，１４〜１７から削除する（図４のステップＳ２３）。また、リプロ対応部２１５は、リプログラミングされた第１１のＥＣＵ２１の内部データに基づいて算出部２１１に新たな当初データＦＶを算出させて当該当初データＦＶを分割して新たな５つの分割データＡ〜Ｅを生成し、それら新たな分割データＡ〜Ｅを順番リストに基づいて配布する（図４のステップＳ２４）。
【００７０】
このように、リプログラミングに対応することによって、リプログラミングの前後にかかわらず、車両用ネットワークシステムにおいて第１１のＥＣＵ２１は、その内部データの改ざんの有無を判断することができる。
【００７１】
以上説明したように、本実施形態の車両用ネットワークシステムによれば、上記第１の実施形態にて記載した（１）〜（３）の効果に加えて、以下に列記するような効果が得られるようになる。
【００７２】
（４）当初データＦＶ及び都度のチェック値ＣＶがその生成の基となる内部データを有する第１１のＥＣＵ２１にて生成されるため、それら当初データＦＶや都度のチェック値ＣＶの生成が容易になる。また、内部データに応じた当初データＦＶや都度のチェック値ＣＶの生成が、当該内部データを有する第１１のＥＣＵ２１によって確実、かつ、適切に行える。これにより、改ざんの有無の判定が好適に行われるようになる。
【００７３】
（５）複数の分割データＡ〜Ｅが第１１のＥＣＵ２１により分割配布されることから、改ざん判定に必要となる複数の分割データＡ〜Ｅを第１１のＥＣＵ２１自身により回収できる。また、第１１のＥＣＵ２１が、内部データの変更に応じて適宜、分割データＡ〜Ｅを配布することができるようになるなど、分割データＡ〜Ｅの配布の柔軟性が向上する。これにより、改ざんの有無の判定が好適に行われるようになる。
【００７４】
（６）第１１のＥＣＵ２１にそれ自身の分割データを保持することができることはもとより、例えば、他のＥＣＵの分割データであっても保持することもできる。これにより、車両用ネットワークシステムを改ざん有無の判定に幅広く対応させることができるようになる。
【００７５】
（７）内部データの変更、いわゆるリプログラミングに先立って、第１１のＥＣＵ２１に保持されている分割データがあれば、それが他のＥＣＵに退避されるため、分割データが第１１のＥＣＵ２１のリプログラミングによっても維持される。すなわち、車両用ネットワークシステムでは、リプログラミング後であれ、退避された分割データの利用が可能になる。例えば、退避させた分割データが、他のＥＣＵから配布された分割データであるとすれば、他のＥＣＵは特定の電子制御装置がリプログラミングされたとしても退避された分割データに基づいて、その改ざん判定が可能ともなる。これにより、車両ネットワークシステムの構成自由度が向上するようになる。
【００７６】
（８）回収された分割データが元の状態に戻されるため、当該分割データをリプログラミング前後で同様に、改ざん判定などに用いることができるようになる。これにより、改ざん判定に対する利便性が向上する。このとき元に戻した分割データが、他のＥＣＵから配布された分割データであるとすれば、他のＥＣＵは第１１のＥＣＵ２１がリプログラミングされたとしてもその改ざん判定が可能となる。これにより、車両ネットワークシステムの構成自由度が向上するようになる。
【００７７】
（第３の実施形態）
本発明にかかる車両用ネットワークシステムを具体化した第３の実施形態について、図５〜図７に従って説明する。
【００７８】
本実施形態は、配布部３１４が設けられている構成が上記第１の実施形態の構成と相違するものの、その他の構成については同様であることから、以下ではその相違点を中心に説明し、説明の便宜上、上記第１の実施形態と同様の構成については同様の符号を付しその詳細な説明を割愛する。
【００７９】
配布部３１４は、上記第２の実施形態の第１１のＥＣＵ２１の配布部２１４と同様の機能を有するものであって、算出部１１１に算出させた第１のＥＣＵ１１の内部データに対応する当初データＦＶを３分割して分割データ１〜３を生成する。分割データ１〜３は、図６に示すように、第１のＥＣＵ１１の内部データに基づき算出されたハッシュ値からなる当初データＦＶを固定長で３つに分割して生成されている。なお、３つの分割データ１〜３は、他のＥＣＵへの配布時には、それらが第１のＥＣＵ１１に対応する分割データであることを示すＩＤ、例えば第１のＥＣＵ１１のネットワーク上での識別番号がそれぞれ付与される。
【００８０】
また、配布部３１４は、生成した分割データ１〜３をラウンドロビン方式で他のＥＣＵに配布する。すなわち、分割データ１〜３がその順番で第２〜８のＥＣＵ１２〜１８の順に配布される。第２〜８のＥＣＵ１２〜１８の順番は、各ＥＣＵに付与されるネットワーク上の識別番号の大小などにより定まるが、ここでは、第２〜８で示す順番と同じ順番に識別されるものとしている。また、本実施形態では、自身である第１のＥＣＵ１１を配布先から除外するようにしているが、配布先に含めるようにしてもよい。さらに、配布部３１４には、分割データ１〜３をそれぞれ２回配布することが設定されている。そのため、配布部３１４は、分割データ１〜３を、その順番で２回、各ＥＣＵに分配する。具体的には、最初の配布で、分割データ１が第２のＥＣＵ１２に、分割データ２が第３のＥＣＵ１３に、分割データ３が第４のＥＣＵ１４にそれぞれ配布される。続く二回目の配布で、分割データ１が第５のＥＣＵ１５に、分割データ２が第６のＥＣＵ１６に、分割データ３が第７のＥＣＵ１７にそれぞれ配布される。このように分割データ１〜３が２回配布されると、分割データの配布が終了される。
【００８１】
すなわち、配布部３１４は、ＩＤ付きの分割データ１を第２のＥＣＵ１２の保持領域１２２に保持させ、ＩＤ付きの分割データ２を第３のＥＣＵ１３の保持領域１３２に保持させ、ＩＤ付きの分割データ３を第４のＥＣＵ１４の保持領域１４２に保持させる。また、配布部３１４は、ＩＤ付きの分割データ１を第５のＥＣＵ１５の保持領域１５２に保持させ、ＩＤ付きの分割データ２を第６のＥＣＵ１６の保持領域１６２に保持させ、ＩＤ付きの分割データ３を第７のＥＣＵ１７の保持領域１７２に保持させる。
【００８２】
このように各分割データ１〜３が２つのＥＣＵに保持されることによって、この車両用ネットワークシステムでは、各分割データ１〜３の保持に冗長性を持たせている。
（作用）
次に、この冗長性について、図７を参照して説明する。
【００８３】
図７に示すように、第２のＥＣＵ１２に何らかの不都合が生じるなどして、第１のＥＣＵ１１が第２のＥＣＵ１２と通信できなくなったとすると、第１のＥＣＵ１１の結合部１１２は、第２のＥＣＵ１２に保持されている分割データ１を回収できなくなる。このように、分割データ１が回収できなくなると、第１のＥＣＵ１１は、第１のＥＣＵ１１の内部データの改ざんの有無を判定することができなくなってしまう。そこで、このような場合、第１のＥＣＵ１１は、もう一つの分割データ１を第５のＥＣＵ１５から回収するようにするとともに、分割データ２を第６のＥＣＵ１６から、分割データ３を第７のＥＣＵ１７からそれぞれ回収するようにする。これにより、分割データ１を保持している第２のＥＣＵ１２が通信不能になったとしても、第１のＥＣＵ１１は、その内部データの改ざんの有無を判断できるようになっている。なお、分割データ１〜３が第５〜７のＥＣＵ１５〜１７にも配布されていることは、順番リストを参照することにより知ることができる。
【００８４】
以上説明したように、本実施形態の車両用ネットワークシステムによれば、上記第１の実施形態にて記載した（１）〜（３）の効果に加えて、以下に列記するような効果が得られるようになる。
【００８５】
（９）車両用ネットワークシステム内に、第１のＥＣＵ１１の分割データ１〜３がそれぞれ２つずつ配布されているため、たとえ第２〜７のＥＣＵ１２〜１７のうち１つが第１のＥＣＵ１１と通信できなくなったとしても、分割データが回収できるため、改ざん判定をすることができるようになる。これにより、車両用ネットワークシステムとしても信頼性を向上させることができるようにもなる。
【００８６】
（その他の実施形態）
なお上記各実施形態は、以下の態様で実施することもできる。
・上記各実施形態では、ネットワーク１９はＣＡＮ（Ｃｏｎｔｒｏｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）から構成されている場合について例示した。しかしこれに限らず、ネットワークは、接続されているＥＣＵ等の相互通信（ネットワーク通信）を可能とするものであれば、イーサーネット（登録商標）や、フレックスレイ（登録商標）や、ＩＥＥＥ１３９４（ＦｉｒｅＷｉｒｅ（登録商標））などその他のネットワークから構成されていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【００８７】
・上記第２の実施形態では、第１１のＥＣＵ２１が他のＥＣＵである第２〜７のＥＣＵ１２〜１７に保持された分割データ１〜３を削除する場合について例示した。しかしこれに限らず、分割データを保持している他のＥＣＵが、該保持している分割データの必要性を判断して、必要性がないと判断したとき当該保持している分割データを削除するようにしてもよい。例えば、図８に示すように、第５のＥＣＵ１５に、分割データの管理機能として、分割データ１の必要性を該分割データ１に対応する第１のＥＣＵ１１に問い合わせ、その問い合わせに対する回答に応じて分割データ１の維持又は削除を行う必要性確認機能を設けるようにしてもよい。すなわち、第５のＥＣＵ１５は、分割データ１の必要性について第１のＥＣＵ１１に問い合わせをして、その第１のＥＣＵ１１から肯定的な回答を得た場合、当該分割データ１を引き続き保持する。その一方、第５のＥＣＵ１５は、同問い合わせに対して第１のＥＣＵ１１から否定的な回答を得た場合や、第１のＥＣＵ１１からの応答がないことが所定の回数続くような場合、当該分割データ１を削除する。これにより、第５のＥＣＵ１５に不必要な分割データが蓄積してしまうことが防止されるようになる。なお、このような必要性確認機能は、分割データを保持するＥＣＵ等であれば、どのようなＥＣＵ等に設けてもよい。これにより、車両用ネットワークシステムの機能が適切に維持されるようになる。
【００８８】
・上記第３の実施形態では、当初データＦＶを固定長で３つに分割することにより分割データ１〜３を生成する場合について例示した。しかしこれに限らず、当初データを可変長で３つに分割することにより複数の分割データを生成するようにしてもよい。例えば、図９に示すように、当初データＦＶを少なくとも２種類以上の長さ（データ長）を有するように分割することで、少なくとも２種類以上の長さからなる分割データ１Ａ、分割データ２Ａ及び分割データ３Ａを生成する。このとき分割する長さ（データ長）は、予め設定しておいてもよいし、その都度乱数などを用いて算出するようにしてもよい。このように分割データのデータ長を変化させると、分割データの改ざんが一層難しくなるため、当該分割データを用いた改ざん判定がより高いセキュリティで行えるようになる。これにより、車両用ネットワークシステムのセキュリティがより向上されるようになる。
【００８９】
・上記第２の実施形態では、リプログラミングはネットワーク１９に接続されたリプロ装置２０により行われる場合について例示した。しかしこれに限らず、リプログラミングは、有線のみならず、無線によってネットワークに接続された装置により行われてもよい。また、この装置としては、テスタ等の小型の装置であっても、センタなどに設置された大型の装置であってもよい。これにより、車両用ネットワークシステムの設計の自由度の向上が図られるようになる。
【００９０】
・上記第２の実施形態では、当初データＦＶを５分割する場合について、上記第３の実施形態では、当初データＦＶを３分割する場合についてそれぞれ例示した。しかしこれに限らず、当初データを分割する数は、５や３より多くても、もしくは、５や３よりも少なくてもよい。これにより、車両用ネットワークシステムの設計の自由度の向上が図られるようになる。
【００９１】
・上記第３の実施形態では、分割データをラウンドロビン方式で各ＥＣＵに配布する場合について例示したが、これに限らず、改ざん判定を行うときに回収できるようになっているのであれば、分割データは、他の配布アルゴリズムやランダムな方法など他の配布方法によって配布されてもよい。これにより、車両用ネットワークシステムの設計の自由度の向上が図られるようになる。
【００９２】
・ところで上記第３の実施形態のように、第１のＥＣＵ１１は、第２のＥＣＵ１２との通信ができなくなった場合、第３〜８のＥＣＵ１３〜１８を対象として、分割データを再配布するようにしてもよい。このようにすることで、分割データの冗長性を維持することができるようになる。
【００９３】
・上記各実施形態では、回収した分割データを回収順に結合する場合について例示したが、これに限らず、分割データに順番を識別可能な情報を付加しておくことで、回収順に関わらず正しく結合するようにしてもよい。これにより、車両用ネットワークシステムの設計の自由度の向上が図られるようになる。
【００９４】
・上記各実施形態では、改ざん判定の対象である第１のＥＣＵ１１又は第１１のＥＣＵ２１には自身の当初データに基づく分割データを保持しない場合について例示した。しかし、これに限らず、第１のＥＣＵ（又は第１１のＥＣＵ）など改ざん判定の対象であるＥＣＵに分割データの一部を保持させてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【００９５】
・上記各実施形態では、第２のＥＣＵ１２や第４〜７のＥＣＵ１４〜１７には、それぞれ分割データが１つだけ保持される場合について例示した。しかしこれに限らず、各ＥＣＵには、複数の分割データが保持されていてもよい。このとき、複数の分割データとしては、対応するＥＣＵを識別可能であれば、複数のＥＣＵの分割データを保持することができる。また、分割データの順番を識別可能であれば１つのＥＣＵに対しても複数の分割データを保持することができる。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【００９６】
・上記第２の実施形態では、第１１のＥＣＵ２１に配布部２１４が設けられる場合について例示した。しかしこれに限らず、配布部が第１１のＥＣＵ以外のＥＣＵに設けられていてもよい。つまり、配布部は、第１１のＥＣＵの当初データを取得でき、かつ、分割データを他のＥＣＵに配布可能であればどこに設けられていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【００９７】
・上記各実施形態では、第１のＥＣＵ１１又は第１１のＥＣＵ２１に都度（現時点）のチェック値ＣＶが保持される場合について例示したが、これに限らず、都度のチェック値ＣＶは改ざん判定の際、取得することができるのであれば、第１のＥＣＵ（又は、第１１のＥＣＵ）以外の他のＥＣＵなどに保持されていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【００９８】
・上記各実施形態では、第１のＥＣＵ１１に算出部１１１、結合部１１２及び検証部１１３が設けられる場合、又は、第１１のＥＣＵ２１に算出部２１１、結合部２１２、検証部２１３が設けられる場合について例示した。しかしこれに限らず、算出部、結合部及び検証部の少なくとも１つが第１のＥＣＵ（又は、第１１のＥＣＵ）以外のＥＣＵに設けられていてもよい。つまり、算出部は、第１のＥＣＵ（又は、第１１のＥＣＵ）の内部データを取得できればどこに設けられていてもよく、結合部は、分割データが回収できるのであればどこに設けられていてもよく、検証部は、改ざん判定の対象とするＥＣＵの都度のチェック値と結合データとを得ることができればどこに設けられていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【００９９】
・上記各実施形態では、当初データＦＶ及びチェック値ＣＶがハッシュ値である場合について例示したが、これに限らず、改ざん判定の対象とするＥＣＵの内部データの同一性判断を可能にする値であれば、チェックサムなど、ハッシュ関数とは異なるアルゴリズムにより求められた値であっても、チェック値として採用してもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【０１００】
・上記各実施形態では、内部データの改ざん判定を、当該第１のＥＣＵ１１もしくは第１１のＥＣＵ２１にて行う場合について例示した。しかしこれに限らず、改ざん判定の対象とするＥＣＵ等のチェック値及び結合データをネットワークを介して取得できるのであれば、それら取得したチェック値及び結合データに基づいて、ゲートウェイ装置などを含む他のＥＣＵがその対象ＥＣＵ等の内部データの改ざん判定を行ってもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【０１０１】
・上記各実施形態では、第１のＥＣＵ１１又は第１１のＥＣＵ２１と、第２〜８のＥＣＵ１２〜１８との構成が異なる場合について例示した。しかしこれに限らず、第２〜８のＥＣＵは、その構成が第１のＥＣＵや第１１のＥＣＵと同じ構成であってもよい。第２〜８のＥＣＵを第１のＥＣＵなどと同様の構成にすれば、第２〜８のＥＣＵでも内部データの改ざん判定が行えるようになる。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【０１０２】
・上記各実施形態では、車両用ネットワークシステムが車両１０に搭載されている場合について例示したが、これに限らず、車両用ネットワークシステムの一部が車両外に設けられていてもよい。すなわち、無線通信で必要な速度が確保されるようであれば、システムの一部のＥＣＵが車両外に設けられていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。
【符号の説明】
【０１０３】
１０…車両、１１〜１８…第１〜第８のＥＣＵ（電子制御装置）、１９…ネットワーク、２０…リプロ装置、２１…第１１のＥＣＵ、１１１…算出部、１１２…結合部、１１３…検証部、１２１，１２２，１３２，１４１，１４２，１５１，１５２，１６１，１６２，１７１，１７２…保持領域、１４３…退避データ、２１１…算出部、２１２…結合部、２１３…検証部、２１４…配布部、２１５…リプロ対応部、２１６…管理部、３１４…配布部。
【図１】
0005641244.tif 000002
【図２】
0005641244.tif 000003
【図３】
0005641244.tif 000004
【図４】
0005641244.tif 000005
【図５】
0005641244.tif 000006
【図６】
0005641244.tif 000007
【図７】
0005641244.tif 000008
【図８】
0005641244.tif 000009
【図９】
0005641244.tif 000010