(57)【要約】【課題】中継装置の負荷を抑制しつつ、外部装置から書換え対象までのアクセス経路が正規経路であることを確認可能な車載電子制御装置、車載電子制御装置を備える車載電子制御システム、及び中継装置を提供する。【解決手段】書換え可能なＲＯＭ２５を有する書換えノード２０に対して外部装置７０，８０の認証を要求するフレームを認証要求フレームとして、外部装置７０，８０から車両ネットワークへ送出され、中継ノード３０，４０，５０により中継された認証要求フレーム、及び中継ノード３０，４０，５０により車両ネットワークへ送出された認証要求フレームの中継経路に関する経路情報を、受信するように構成された受信部と、受信部により受信された経路情報を用いて、外部装置７０，８０から自装置までのアクセス経路が、車両ネットワークを介した正規の書換え経路となっているかを確認するように構成された確認部と、を備える。【選択図】図１
2018093370.tif 000002
【特許請求の範囲】
【請求項１】
車両ネットワークを構成し、書換え可能なメモリ（２５）を有する車載電子制御装置で（２０）あって、
自装置に対して前記車両ネットワーク外の外部装置（７０，８０）の認証を要求するフレームを認証要求フレームとして、前記外部装置から前記車両ネットワークへ送出され、前記車両ネットワークを構成する中継装置（３０，４０，５０）により中継された前記認証要求フレームと、前記中継装置により前記車両ネットワークへ付与された前記認証要求フレームの中継経路に関する経路情報と、を受信するように構成された受信部（Ｓ２１０）と、
前記受信部により受信された前記経路情報を用いて、前記外部装置から前記自装置までのアクセス経路が、前記車両ネットワークを介した正規の書換え経路である正規経路となっているかを確認するように構成された確認部（Ｓ２２０）と、を備える、車載電子制御装置。
【請求項２】
前記自装置に通信線で直接接続されており、且つ前記受信部により受信される前記認証要求フレームの発信元である前記中継装置を直前装置として、
前記経路情報は、前記直前装置に割り当てられた管理番号、及び前記中継経路において前記中継装置が前記認証要求フレームを中継した順序を示す順序情報のうちの少なくとも一方である、請求項１に記載の車載電子制御装置。
【請求項３】
前記自装置に通信線で直接接続されており、且つ前記受信部により受信される前記認証要求フレームの発信元である前記中継装置を直前装置として、
前記確認部による前記正規経路となっているかの確認の後に、前記直前装置の認証を実施するように構成された認証部（Ｓ２３０〜Ｓ２６０）を更に備える、請求項１又は２に記載の車載電子制御装置。
【請求項４】
前記経路情報は、前記認証要求フレームにデータの一部として付加される、請求項１〜３のいずれか１項に記載の車載電子制御装置。
【請求項５】
前記経路情報は暗号化されており、
前記確認部は、前記受信部で受信された前記経路情報を復号し、復号化した前記経路情報を用いるように構成されている、請求項１〜４のいずれか１項に記載の車載電子制御装置。
【請求項６】
前記経路情報には、前記中継経路上の前記中継装置に割り当てられた管理番号が含まれており、
複数種類の前記外部装置のそれぞれから前記自装置までの複数の前記正規経路のそれぞれに対応付けて、前記正規経路に含まれる前記中継装置の前記管理番号が記憶されている番号データベースを更に備え、
前記確認部は、前記経路情報に含まれた前記管理番号と、前記番号データベースに記憶されている前記管理番号とを照合して、前記アクセス経路が前記正規経路となっているかを確認するように構成されている、請求項１〜５のいずれか１項に記載の車載電子制御装置。
【請求項７】
前記受信部は、更に、前記外部装置から前記車両ネットワークへ送出され、前記中継装置により中継された、前記メモリの書換え処理用の複数の処理要求フレームと、前記中継装置により前記車両ネットワークへ付与された前記複数の処理要求フレームのうちの少なくとも一つの前記経路情報と、を受信するように構成されており、
前記確認部は、前記受信部により前記経路情報が受信される都度、受信された前記経路情報を用いて、前記アクセス経路が前記正規経路となっているかを確認するように構成されている、請求項１〜６のいずれか１項に記載の車載電子制御装置。
【請求項８】
前記車両ネットワークを介さずに前記外部装置と前記自装置とを直接接続して、前記外部装置から前記メモリを書換え可能な単品書換えモードと、前記外部装置から前記自装置へ前記正規経路でアクセスすることを条件として、前記メモリを書換え可能なシステム書換えモードと、が設定されており、
前記メモリには、前記単品書換えモード及び前記システム書換えモードのうちの一方を有効状態とするフラグが記憶されており、
前記メモリに記憶されているフラグは、前記システム書換えモードが有効状態で、前記外部装置から前記正規経路を介して前記フラグの変更が要求されたことを条件として、前記システム書換えモードの有効状態から前記単品書換えモードの有効状態へ変更される、請求項１〜７のいずれか１項に記載の車載電子制御装置。
【請求項９】
請求項１〜８のいずれか１項に記載の車載電子制御装置と、前記車載電子制御装置とともに前記車両ネットワークを構成する前記中継装置と、を備える車載電子制御システムであって、
前記車両ネットワークを構成する装置を構成装置として、前記構成装置のそれぞれには、管理番号が割り当てられており、
前記管理番号は、対応する前記構成装置の書換え可能なメモリに記憶されており、前記外部装置から書換え可能になっている、車載電子制御システム。
【請求項１０】
前記中継装置は、
前記外部装置から当該中継装置に対して認証を要求するフレームを中継認証フレームとして、前記中継認証フレームと、前記車載電子制御装置に対する前記認証要求フレームと、を受信するように構成された中継部（Ｓ１００）と、
前記中継部により、前記中継認証フレームが受信されるよりも前に、前記認証要求フレームが受信された場合に、前記外部装置の認証を否定する否定応答を前記外部装置へ送信するように構成された否定部（Ｓ１０〜Ｓ３０）と、を備える、請求項９に記載の車載電子制御システム。
【請求項１１】
前記構成装置には、前記車両ネットワーク上の前記構成装置のそれぞれを識別する識別番号が予め割り当てられており、
前記管理番号として前記識別番号を用いる、請求項９又は１０に記載の車載電子制御システム。
【請求項１２】
車両ネットワークを構成し且つ前記車両ネットワーク外の外部装置によるメモリの書換え対象である装置を対象装置として、前記外部装置から前記車両ネットワークへ送出されたフレームを受信して、前記対象装置へ中継するように構成された中継部（Ｓ１００）と、
前記中継部により前記フレームが中継される際に、前記フレームの中継経路に関する経路情報を前記車両ネットワークへ送出するように構成された経路付与部（Ｓ９０）と、を備える中継装置。
【請求項１３】
前記対象装置に対して前記外部装置の認証を要求するフレームを認証要求フレームとし、自装置に対して前記外部装置の認証を要求するフレームを中継認証フレームとして、
前記中継部は、前記認証要求フレームと、前記中継認証フレームと、を受信するように構成されており、
前記中継部により、前記中継認証フレームが受信されるよりも前に、前記認証要求フレームが受信された場合に、前記外部装置の認証を否定する否定応答を前記外部装置へ送信するように構成された否定部（Ｓ１０〜Ｓ３０）と、を備える、請求項１２に記載の中継装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、車両ネットワークを構成する車載電子制御装置、車載電子制御装置を備える車載電子制御システム、及び車両ネットワークを構成する中継装置に関する。
【背景技術】
【０００２】
近年、車両ネットワークを介してＥＣＵと外部装置とが通信を行うことで、ＥＣＵの検査やＥＣＵのプログラムの書換えを行う車両が流通している。このような車両では、車両ネットワークに不正ツールが接続され、不正ツールによりＥＣＵが不正改造されるおそれがあった。よって、ＥＣＵの不正改造を抑制するため、特許文献１に記載の車両ネットワークのように、ＥＣＵのデータの不正な書換えを監視する技術が提案されている。
【０００３】
特許文献１に記載の車両ネットワークは、ＥＣＵと外部装置との間の通信の中継を行う中継装置を備え、中継装置が、ＥＣＵのリプログラム用フレームが車両ネットワークに送出されたことを検出するとともに、そのフレームが、自装置により送出されたものか否か判定している。そして、中継装置は、自装置が送出していないフレームを、不正ツールから送出されたものとみなして対処している。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１３−１５００５９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
上記車両ネットワークでは、中継装置が、中継装置を介する複数の通信経路に送出されたフレームを常時監視する必要があるため、中継装置の処理負荷が高くなり、本来の中継処理の遅延や中継漏れが生じるおそれがある。
【０００６】
本開示の一局面は、上記実情に鑑みてなされたものであり、中継装置の負荷を抑制しつつ、外部装置から書換え対象までのアクセス経路が正規経路であることを確認可能な車載電子制御装置、車載電子制御装置を備える車載電子制御システム、及び中継装置を提供することを目的とする。
【課題を解決するための手段】
【０００７】
本開示の一局面は、車両ネットワークを構成し、書換え可能なメモリ（２５）を有する車載電子制御装置で（２０）あって、受信部と、確認部と、を備える。受信部は、自装置に対して車両ネットワーク外の外部装置（７０，８０）の認証を要求するフレームを認証要求フレームとして、外部装置から車両ネットワークへ送出され、車両ネットワークを構成する中継装置（３０，４０，５０）により中継された認証要求フレームと、中継装置により車両ネットワークへ付与された認証要求フレームの中継経路に関する経路情報と、を受信するように構成されている。確認部は、受信部により受信された経路情報を用いて、外部装置から自装置までのアクセス経路が、車両ネットワークを介した正規の書換え経路である正規経路となっているかを確認するように構成されている。
【０００８】
本開示の一局面によれば、中継装置により、外部装置から自装置までのフレームの経路情報が車両ネットワークへ付与され、自装置により経路情報が受信される。そして、自装置により、受信した経路情報を用いて、外部装置から自装置までのアクセス経路が正規経路であるか確認される。すなわち、中継装置は経路情報を付与するだけであり、正規経路の確認は書換え対象である車載電子制御装置自身が行う。よって、中継装置の負荷を抑制しつつ、外部装置から書換え対象までのアクセス経路が正規経路であることを確認することができる。
【０００９】
また、本開示の他の一局面は、中継装置であって、中継部と、経路付与部と、を備える。中継部は、車両ネットワークを構成し且つ車両ネットワーク外の外部装置によるメモリの書換え対象である装置を対象装置として、外部装置から車両ネットワークへ送出されたフレームを受信して、対象装置へ中継するように構成されている。経路付与部は、中継部によりフレームが中継される際に、フレームの中継経路に関する経路情報を車両ネットワークへ付与するように構成されている。
【００１０】
本開示の他の一局面によれば、フレームが中継される際に、フレームの中継経路に関する経路情報が車両ネットワークへ付与される。これにより、対象装置は、経路情報を受信して、外部装置から対象装置までのアクセス経路が正規経路であるか確認できる。また、中継装置は、経路情報をネットワークへ付与するだけであるため、中継するフレームのアクセス経路を常時監視する場合と比べて、中継装置の負荷を抑制することができる。
【００１１】
なお、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。
【図面の簡単な説明】
【００１２】
【図１】車載電子制御システムの概略構成を示す図である。
【図２】車載電子制御装置のメモリ内に記憶されている情報を示す図である。
【図３】データベースに記憶されている書換え種別ごとの正規経路及び正規経路に含まれる中継ノードの管理番号を示す図である。
【図４】外部装置から書換え対象ノードへ認証を要求する処理の流れを示すシーケンス図である。
【図５】認証要求フレームのデータ内容を示す図である。
【図６】中継ノードによる書換え対象ノードに対する認証要求フレームを中継する処理手順を示すフローチャートである。
【図７】書換え対象ノードによる外部装置を認証する処理手順を示すフローチャートである。
【発明を実施するための形態】
【００１３】
以下、図面を参照しながら、発明を実施するための形態を説明する。
＜１．構成＞
＜１−１．システムの全体構成＞
まず、本実施形態に係る車載電子制御システム１０の全体構成について、図１を参照して説明する。車載電子制御システム１０は、Ａ−ＥＣＵ２０、Ｂ−ＥＣＵ３０、ＤＣＭ−ＥＣＵ４０、及びＣ−ＧＷ５０を備える。Ａ−ＥＣＵ２０、Ｂ−ＥＣＵ３０、ＤＣＭ−ＥＣＵ４０、及びＣ−ＣＷ５０は、ＣＡＮ及びEthernet規格の通信線で接続されて車両ネットワークを構成する構成装置、すなわち車両ネットワークのノードである。なお、ＣＡＮ及びEthernetは登録商標である。
【００１４】
Ａ−ＥＣＵ２０は、エンジンやブレーキなどの車両に搭載された制御対象の制御を行う電子制御装置である。Ａ−ＥＣＵ２０は、ＣＰＵ２３、ＲＡＭ２４、ＲＯＭ２５、及びデータ送受信部２２を備えたマイクロコンピュータ２１（以下、マイコン２１）を主体として構成されている。Ａ−ＥＣＵ２０には、車両ネットワーク上で各ノードを管理するための番号であるノード管理番号として、「０×０６」が割り当てられている。
【００１５】
ＣＰＵ２３は、演算装置であり、ＲＡＭ２４は、ＣＰＵ２３の演算結果等を一時記憶するための揮発性メモリである。ＲＯＭ２５は、書換え可能な記憶領域を有する不揮発性メモリであり、例えば、ＥＥＰＲＯＭである。ＲＯＭ２５には、ＣＰＵ２３により実行されるプログラムが記憶される。データ送受信部２２は、車両ネットワークを構成する各装置との間で、通信線を介してデータの送受信を行う。なお、ＲＯＭ２５の構成の詳細については後述する。
【００１６】
Ｂ−ＥＣＵ３０は、Ａ−ＥＣＵ２０と異なる制御対象を制御する電子御装置であり、Ａ−ＥＣＵ２０と同様にマイクロコンピュータを主体として構成されている。Ｂ−ＥＣＵ３０には、ノード管理番号として、「０×０５」が割り当てられている。
【００１７】
ＤＣＭ−ＥＣＵ４０は、車載通信モジュールを制御対象とする電子制御装置であり、Ａ−ＥＣＵ２０と同様にマイクロコンピュータを主体として構成されている。車載通信モジュールは、車両ネットワーク外の外部装置と無線接続して、データの送受信を行う通信機器である。ＤＣＭ−ＥＣＵ４０には、ノード管理番号として、「０×０３」が割り当てられている。なお、車両ネットワークには、Ａ−ＥＣＵ２０、Ｂ−ＥＣＵ３０、ＤＣＭ−ＥＣＵ４０以外にも、制御対象の異なる各種ＥＣＵが含まれている。
【００１８】
また、ＤＣＭ−ＥＣＵ４０は、車載通信モジュールを介して、外部装置であるセンタ８０と無線接続してデータの送受信を行う。センタ８０は、車両のユーザが、ディーラに車両を持ち込むことなく、車両ネットワーク上のノードに記憶されているプログラムをアップデートできるように設置されている。センタ８０は、車両ネットワークのノードに記憶されているプログラムのアップデートが必要になったときに、車両ネットワークを介して、当該ノードへ新しいプログラムを送信して書き換える。また、外部ノードであるセンタ８０にも、ノード管理番号として、「０×０１」が割り当てられている。
【００１９】
Ｃ−ＧＷ５０は、セントラルゲートウェイであり、ＣＡＮ規格のネットワークとEthernet規格のネットワークを相互に接続し、車両ネットワーク全体の高速データ通信を実現する機器である。Ｃ−ＣＷ５０には、ノード管理番号として、「０×０４」が割り当てられている。
【００２０】
また、Ｃ−ＣＷ５０は、車両に搭載された外部装置である診断装置７０と、ＣＡＮ及びEthernet規格の通信線で有線接続され、診断装置７０と車両ネットワークの各ノードとの間のデータの送受信を中継する。診断装置７０は、各ノードから制御対象に関するデータを受信して、車両の診断を行うとともに、診断結果に応じて、車両ネットワークのノードに記憶されているデータを書換える装置である。外部装置である診断装置７０にも、ノード管理番号として、「０×０２」が割り当てられている。
【００２１】
本実施形態では、Ａ−ＥＣＵ２０は、メモリの書換え対象である書換えノードであり、特許請求の範囲の車載電子制御装置及び対象装置に相当し、ＲＯＭ２５が書換え可能なメモリに相当する。Ａ−ＥＣＵ２０は、ソフトウェア又はハードウェアを用いた手法により、受信部、確認部、及び認証部の機能を実現する。また、Ｂ−ＥＣＵ３０、ＤＣＭ−ＥＣＵ４０、Ｃ−ＧＷ５０は、外部装置から車両ネットワークへ送出されたフレームを受信して、Ａ−ＥＣＵ２０へ中継する中継ノードであり、特許請求の範囲の中継装置に相当する。Ｂ−ＥＣＵ３０、ＤＣＭ−ＥＣＵ４０、Ｃ−ＧＷ５０は、ソフトウェア又はハードウェアを用いた手法により、中継部、経路付与部、及び否定部の機能を実現する。なお、Ａ−ＥＣＵ２０が中継ノードになり、Ｂ−ＥＣＵ３０やＤＣＭ−ＥＣＵ４０が書換えノードになることもある。車両ネットワークを構成する各ＥＣＵは、中継ノードと書換えノードのどちらにもなり得る。
【００２２】
＜１−２．書換えノードのＲＯＭの構成＞
次に、Ａ−ＥＣＵ２０のＲＯＭ２５の構成について、図２及び図３を参照して説明する。ＲＯＭ２５は、書換え可能な記憶領域に、制御プログラム、モード変更フラグ、自ノードのノード管理番号、番号ＤＢの情報が記憶されている。ＤＢはデータベースの略である。
【００２３】
制御プログラムは、ＣＰＵ２３に実行されることにより、Ａ−ＥＣＵ２０の制御対象を制御するプログラムである。各種ＥＣＵには、それぞれ、各制御対象を制御する制御プログラムが記憶されている。また、自ノードのノード管理番号は、車両ネットワークの各ノードの書換え可能なメモリに記憶されており、外部装置から書換え可能になっている。つまり、車両ネットワークにノードを追加したり、ノードを減らしたりした場合に、各ノードにノード管理番号を新たに割り当てることができるようになっている。
【００２４】
モード変更フラグは、ＲＯＭ２５のデータを書き換える２つの書換えモードのうちの一方を有効状態とするフラグである。書換えモードには、システム書換えモードと、単品書換えモードとがある。モード変更フラグがオフの場合には、システム書換えモードが有効状態となり、オンの場合には、単品書換えモードが有効状態となる。
【００２５】
システム書換えモードは、外部装置からＡ−ＥＣＵ２０へ正規経路でアクセスすることを条件として、外部装置からＲＯＭ２５を書換え可能なモードである。正規経路は、外部装置からＡ−ＥＣＵ２０までの車両ネットワークを介した正規の書換え経路である。つまり、システム書換えモードでは、外部装置から、どの中継ノードをどういう順序で通って、Ａ−ＥＣＵ２０までデータを送信するか予め設定されている。そして、システム書換えモードでは、外部装置からＡ−ＥＣＵ２０へデータを送信する経路が正規経路と異なる場合には、外部装置からＲＯＭ２５を書換えできないようになっている。これにより、Ａ−ＥＣＵ２０に不正ツールが直接接続され、不正ツールから車両ネットワークを介さずにＡ−ＥＣＵ２０に直接アクセスされても、ＲＯＭ２５の不正な書換えが抑制される。
【００２６】
一方、単品書換えモードは、車両ネットワークを介さずに外部装置とＡ−ＥＣＵ２０とを直接接続して、外部装置からＲＯＭ２５を書換え可能なモードである。通常、Ａ−ＥＣＵ２０の不正改造を回避するため、システム書換えモードが有効状態にされ、単品書換えモードは無効状態にされる。しかしながら、車両ネットワークからＡ−ＥＣＵ２０を取り外して、Ａ−ＥＣＵ２０を単品で回収し、工場等でＲＯＭ２５を書換えたい場合がある。そのような場合に、システム書換えモードしかないと、工場等でＲＯＭ２５を書換えることができない。
【００２７】
そこで、システム書換えモードに加えて、単品書換えモードを設けておき、Ａ−ＥＣＵ２０を単品で書換える必要がある場合に限って、単品書換えモードを有効状態にする。ただし、モード変更フラグのオフからオンへの書換えは、システム書換えモードが有効状態で、外部装置から正規経路を介してＡ−ＥＣＵ２０へフラグの変更が要求された場合に限って、可能になっている。つまり、Ａ−ＥＣＵ２０に直接接続された不正ツールが、モード変更フラグをオフからオンに不正に変更して、ＲＯＭ２５を不正に書換えることができないようになっている。
【００２８】
番号ＤＢには、書換え種別に応じた正規経路、第１の鍵情報、第２の鍵情報が記憶されている。詳しくは、図３に示すように、番号ＤＢには、書換え管理番号ごとに、書換え種別、外部装置から書換えノードまでの正規経路、正規経路のノード管理番号、第１の鍵情報、及び第２の鍵情報が記憶されている。番号ＤＢの情報も、外部装置から書換え可能になっている。
【００２９】
書換え種別は、外部装置から車両ネットワークへの接続が無線か、Ethernetを用いた有線か、ＣＡＮを用いた有線かを示す。外部装置から書換えノードまでの正規経路は、書換え種別ごとの正規経路である。また、正規経路のノード管理番号は、外部装置側を上流として、正規経路の上流から下流へ中継する順番に示された、正規経路の各ノードのノード管理番号である。
【００３０】
第１の鍵情報は、外部装置の認証を行う際に用いる鍵情報である。また、第２の鍵情報は、直前ノードの認証を行う際に用いる鍵情報である。ここで、所定のノードに対する直前ノードは、所定のノードに通信線で直接接続されており、所定のノードにより受信されるフレームの発信元となるノードである。また、所定のノードに対する直後ノードは、所定のノードに通信線で直接接続されており、所定のノードが発信元となるフレームを受信するノードである。本実施形態では、Ｂ−ＥＣＵ３０、Ｃ−ＧＷ５０のいずれかが、Ａ−ＥＣＵ２０の直前ノードになる。なお、直前ノードが直前装置に相当する。
【００３１】
また、Ｂ−ＥＣＵ３０、ＤＣＭ−ＥＣＵ４０、及びＣ−ＧＷ５０にも、書換え種別ごとに、外部装置から自ノードまでの中継経路、中継経路に含まれるノードの管理番号、第１の鍵情報、及び第２の鍵情報が記憶された中継ノード用の番号ＤＢを備える。車両ネットワークの各ノードは、自ノードが書換えノードになったときに用いる書換えノード用の番号ＤＢと、自ノードが中継ノードになった時に用いる中継ノード用の番号ＤＢの両方を備える。
【００３２】
＜２．処理＞
＜２−１．認証シーケンス＞
次に、書換え対象ノードが外部装置を認証する際の処理の流れについて、図４のシーケンス図を参照して説明する。ここでは、中継ノードが１つで且つモード変更フラグがオフの場合について説明する。すなわち、書換え対象ノードとしてＡ−ＥＣＵ２０、外部装置として診断装置７０、中継ノードとしてＣ−ＧＷ５０を想定している。
【００３３】
まず、Ａ１では、外部装置が、中継ノードへ、中継ノードに対して外部装置の認証を要求する認証要求フレームＲ１、及び外部装置のノード管理番号を送信する。通常、認証要求フレームＲ１は、フレームのすべてのデータ領域を使っていない。よって、ノード管理番号は、認証要求フレームＲ１の空いているデータ領域に、データの一部として付与されて送信される。なお、認証要求フレームＲ１が中継認証フレームに相当する。
【００３４】
次にＡ２では、中継ノードが、受信した外部装置のノード管理番号と、中継ノード用の番号ＤＢとを照合して、直前ノードのノード管理番号が番号ＤＢの情報と一致することを確認する。つまり、中継ノードは、外部装置から自ノードまでのアクセス経路が正規経路であるか確認する。
【００３５】
続いて、Ａ３では、中継ノードが外部装置へＳＥＥＤを送信する。続いて、Ａ４では、外部装置が、暗号化アルゴリズムにより受信したＳＥＥＤを暗号化してＫＥＹを生成し、生成したＫＥＹを中継ノードへ送信する。続いて、Ａ５では、中継ノードが、外部装置の認証を行う。詳しくは、中継ノードが、外部装置と同じ暗号化アルゴリズムによりＳＥＥＤを暗号化して認証ＫＥＹを生成し、生成した認証ＫＥＹと受信したＫＥＹとを照合する。続いて、Ａ６では、中継ノードが、認証ＫＥＹと受信したＫＥＹとが合致したことにより、認証完了の応答を外部装置へ送信する。
【００３６】
次に、Ａ７では、外部装置が、中継ノードへ、書換えノードに対して外部装置の認証を要求する認証要求フレームＲ２に、外部装置のノード管理番号を付与して送信する。外部装置のノード管理番号は、認証要求フレームＲ２のデータの一部として付与される。
【００３７】
続いて、Ａ８では、中継ノードが、受信した認証要求フレームＲ２に、自ノードのノード管理番号を付与する。中継ノードのノード管理番号は、認証要求フレームＲ２に、データの一部として付与される。これにより、図５に示すように、認証要求フレームＲ２のデータには、書換え管理番号、外部ノードのノード管理番号、及び認証要求フレームＲ２が通った中継ノードのノード管理番号が含まれる。
【００３８】
認証要求フレームＲ２が複数の中継ノードを通過する場合には、認証要求フレームＲ２が中継ノードを通る都度、中継ノード２、中継ノード３…と、ノード管理番号が順次追加される。認証要求フレームＲ２に含まれるノード管理番号及びその順序が、外部装置から書換えノードまでの中継経路に関する経路情報となる。この経路情報は、外部に経路情報が漏れないように暗号化されている。つまり、外部装置及び中継ノードは、認証要求フレームＲ２に暗号化したノード管理番号を付与している。
【００３９】
そして、Ａ９では、中継ノードが、自ノードのノード管理番号を付与した認証要求フレームＲ２を書換えノードへ送信する。
次に、Ａ１０では、書換えノードが、認証要求フレームＲ２に含まれている経路情報を復号化し、復号化した経路情報とＲＯＭ２５の番号ＤＢとを照合して、外部装置から自ノードまでのアクセス経路が正規経路であることを確認する。詳しくは、書換えノードは、直前ノードのノード管理番号、及び中継ノードが認証要求フレームＲ２を中継した順序の少なくとも一方が、番号ＤＢの情報と一致しているかを確認し、合っていれば正規経路であると判定する。
【００４０】
続いて、Ａ１１では、書換えノードが、正規経路であることを確認したことにより、直前ノードである中継ノードへ、中継ノードに対するＳＥＥＤを送信する。続いて、Ａ１２では、中継ノードが、受信したＳＥＥＤからＫＥＹを生成して、生成したＫＥＹを書換えノードへ送信する。続いて、Ａ１３では、書換えノードが、生成した認証ＫＥＹと受信したＫＥＹとを照合して、直前ノードである中継ノードの認証を行う。続いて、Ａ１４では、書換えノードが、認証ＫＥＹと受信したＫＥＹとが合致したことにより、認証完了の応答を中継ノードへ送信する。
【００４１】
続いて、Ａ１５では、書換えノードが、中継ノードへ、外部装置に対するＳＥＥＤを送信する。続いて、Ａ１６では、中継ノードが、受信した外部装置に対するＳＥＥＤを、外部装置へ中継する。続いて、Ａ１７では、外部装置が、受信したＳＥＥＤから書換えノード宛てのＫＥＹを生成し、生成したＫＥＹを中継ノードへ送信する。続いて、Ａ１８では、中継ノードが、受信した書換えノード宛てのＫＥＹを、書換えノードへ中継する。
【００４２】
続いて、Ａ１９では、書換えノードが、生成した認証ＫＥＹと受信したＫＥＹとを照合して、外部装置の認証を行う。続いて、Ａ２０では、書換えノードが、認証ＫＥＹと受信したＫＥＹとが合致したことにより、外部装置に対する認証完了の応答を、中継ノードへ送信する。続いて、Ａ２１では、中継ノードが、受信した外部装置に対する認証完了の応答を、外部装置へ中継する。
【００４３】
この後、外部装置から書換えノードへ、書換え処理用の複数の処理要求フレームが順次送信される。複数の処理要求フレームは、書換え対象であるデータの消去を要求する消去要求フレームや、消去後のメモリ領域にデータの書込みを要求する書込み要求フレームである。
【００４４】
なお、中継ノードが複数ある場合は、中継ノード同士のフレームのやり取りが増えるが、中継ノード同士のやり取りは、中継ノードと書換え対象ノードとのフレームのやり取りと同じである。例えば、中継ノードが２個であった場合、図４のシーケンス図において、書換え対象ノードが中継ノードになり、その下流に書換え対象ノードが増える。そして、認証要求フレームＲ２は下流側の中継ノードに対する認証要求フレームになり、書換えノードに対する認証要求フレームＲ３は、Ａ２１の後、外部装置から中継ノードへ送信される。そして、認証要求フレームＲ３に、２つの中継ノードのノード管理番号が付与されて、書換え対象ノードに送信される。書換え対象ノードは、ノード管理番号の確認、直前ノードの認証、及び外部装置の認証を行う。
【００４５】
＜２−２．認証要求フレームの中継処理＞
次に、中継ノードが実行する、書換えノードに対する認証要求フレームＲ２の中継処理の処理手順について、図６のフローチャートを参照して説明する。ここでは、中継ノードが１つの場合における中継処理の処理手順について説明する。
【００４６】
まず、Ｓ１０では、自ノード宛ての認証要求フレームＲ１を受信したか否か判定する。Ｓ１０において、認証要求フレームＲ１を受信していない場合は、否定判定をしてＳ２０へ進む。Ｓ２０では、自ノードよりも下流側のノード（以下、配下ノード）宛ての認証要求フレームＲ２を受信したか否か判定する。ここでは、配下ノードは書換えノードである。Ｓ２０において、認証要求フレームＲ２を受信していない場合は、否定判定をしてＳ１０に戻る。一方、Ｓ２０において、認証要求フレームＲ２を受信している場合、すなわち、自ノードが外部装置を認証する前に、外部装置から配下ノードに対して認証要求フレームＲ２が送信された場合には、予め決められている手順と異なり、不正ツールからアクセスされている可能性がある。よって、Ｓ３０に進み、認証を拒否する否定応答を外部装置へ送信する。
【００４７】
また、Ｓ１０において、認証要求フレームＲ１を受信している場合は、肯定判定をしてＳ４０へ進む。Ｓ４０では、外部装置のノード管理番号を確認し、中継用の番号ＤＢの情報と一致しているか否か判定する。Ｓ４０において、一致していない場合は、否定判定をしてＳ３０に進み、否定応答を外部装置へ送信する。一方、Ｓ４０において、一致している場合は、肯定判定をしてＳ５０に進む。Ｓ５０では、外部装置へＳＥＥＤを送信し、外部装置からＫＥＹを受信して、外部装置の認証を行う。
【００４８】
続いて、Ｓ６０では、外部装置の認証を完了したか否か判定する。Ｓ６０において、外部装置を認証できていない場合は、否定判定をしてＳ３０に進み、否定応答を外部装置へ送信する。一方、Ｓ６０において、外部装置を認証できている場合は、肯定判定をしてＳ７０に進み、認証完了の応答を外部装置へ送信する。
【００４９】
続いて、Ｓ８０では、配下ノード宛ての認証要求フレームＲ２を受信したか否か判定する。Ｓ８０において、認証要求フレームＲ２を受信していない場合は、否定判定をして受信するまで待機する。一方、Ｓ８０において、認証要求フレームＲ２を受信している場合は、肯定判定をしてＳ９０へ進む。
【００５０】
Ｓ９０では、認証要求フレームＲ２に自ノードのノード管理番号を付与する。続いて、Ｓ１００では、ノード管理番号を付与した認証要求フレームＲ２を配下ノードへ中継する。
【００５１】
続いて、Ｓ１１０では、配下ノードから自ノードに対するＳＥＥＤを受信し、ＫＥＹを生成して、生成したＫＥＹを配下ノードへ送信する。
続いて、Ｓ１２０では、配下ノードから自ノードに対する認証完了の応答を受信したか否か判定する。Ｓ１２０において、認証完了の応答を受信していない場合は、否定判定をして受信するまで待機する。一方、Ｓ１２０において、認証完了の応答を受信している場合は、肯定判定をしてＳ１３０へ進む。
【００５２】
Ｓ１３０では、配下ノードから外部装置に対するＳＥＥＤを受信して外部装置へ中継するとともに、外部装置から配下ノードに対するＫＥＹを受信して配下ノードへ中継する。
続いて、Ｓ１４０では、配下ノードから外部装置に対する認証完了の応答を受信したか否か判定する。Ｓ１４０において、認証完了の応答を受信していない場合は、否定判定をして受信するまで待機する。一方、Ｓ１４０において、認証完了の応答を受信している場合は、認証完了の応答を外部装置へ中継する。以上で本処理を終了する。
【００５３】
以上説明したように、中継ノードは、外部装置から自ノードまでのアクセス経路が正規経路であることを確認して、外部装置の認証を行うとともに、自ノードの直後ノードから認証を受け、配下ノードと外部装置との間のフレームのやり取りを中継する。ここで、中継ノードが複数存在する場合、最上流の中継ノードは、Ｓ１５０の処理を実行した後、Ｓ８０〜Ｓ１００及びＳ１３０〜Ｓ１５０の処理、つまりフレームの中継を繰り返し実行すればよい。下流側の中継ノードの処理については後述する。
【００５４】
なお、本実施形態では、Ｓ１０〜Ｓ３０の処理を実行することにより実現される機能が、否定部に相当し、Ｓ９０の処理を実行することにより実現される機能が経路付与部に相当する。また、Ｓ１００の処理を実行することにより実現される機能が中継部に相当する。
【００５５】
＜２−３．外部装置の認証処理＞
次に、書換えノードが実行する、外部装置の認証処理の処理手順について、図７を参照して説明する。
【００５６】
まず、Ｓ２００では、自ノード宛ての認証要求フレームＲ２を受信したか否か判定する。Ｓ２００において、認証要求フレームＲ２を受信していない場合は、否定判定をして受信するまで待機する。Ｓ２００において、認証要求フレームＲ２を受信している場合は、肯定判定をしてＳ２１０へ進む。
【００５７】
Ｓ２１０では、変更モードフラグがオンか否か判定する。Ｓ２１０において、変更モードフラグがオンの場合、すなわち単品書換えモードが有効状態の場合、肯定判定をし、正規経路の確認を飛ばしてＳ２７０へ進む。一方、Ｓ２１０において、変更モードフラグがオフの場合、すなわちシステム書換えモードが有効状態の場合、否定判定をしてＳ２２０へ進む。
【００５８】
Ｓ２２０では、直前ノードのノード管理番号及び中継ノードの順序の少なくとも一方が、番号ＤＢの情報と一致しているかを確認して、外部装置から自ノードまでのアクセス経路が正規経路か否か判定する。Ｓ２２０において、正規経路でないと判定した場合はＳ２３０へ進み、否定応答を直前ノードへ送信する。一方、Ｓ２２０において、正規経路であると判定した場合はＳ２４０へ進む。
【００５９】
Ｓ２４０では、直前ノードへＳＥＥＤを送信し、直前ノードからＫＥＹを受信して、直前ノードの認証を行う。続いて、Ｓ２５０では、直前ノードの認証を完了したか否か判定する。Ｓ２５０において、直前ノードを認証できていない場合は、否定判定をしてＳ２３０へ進み、否定応答を直前ノードへ送信する。一方、Ｓ２５０において、直前ノードを認証できている場合は、肯定判定をしてＳ２６０へ進み、認証完了の応答を直前ノードへ送信する。
【００６０】
続いて、Ｓ２７０では、外部装置に対するＳＥＥＤを直前ノードへ送信し、直前ノードから外部装置で生成されたＫＥＹを受信して、外部装置の認証を行う。
続いて、Ｓ２８０では、外部装置の認証を完了したか否か判定する。Ｓ２８０において、外部装置を認証できていない場合は、認証できるまで待機する。一方、Ｓ２８０において、外部装置を認証できている場合は、肯定判定をしてＳ２９０に進み、外部装置に対する認証完了の応答を直前ノードへ送信する。以上で本処理を終了する。
【００６１】
以上説明したように、書換えノードは、外部装置から自ノードまでのアクセス経路が正規経路であることを確認して、直前ノードの認証を行った後、外部装置の認証を行う。ここで、中継装置が複数存在する場合は、下流側の中継ノードは、Ｓ１０〜Ｓ３０の処理を実行した後、Ｓ２２０〜Ｓ２９０の処理を実行し、その後、Ｓ８０〜Ｓ１５０の処理を実行すればよい。
【００６２】
なお、本実施形態において、Ｓ２００の処理を実行することにより実現される機能が受信部に相当し、Ｓ２２０の処理を実行することにより実現される機能が確認部に相当する。また、Ｓ２３０〜Ｓ２６０の処理を実行することにより実現される機能が認証部に相当する。
【００６３】
＜３．効果＞
以上詳述した第１実施形態によれば、以下の効果が得られる。
（１）中継ノードにより、外部装置から書換えノードまでのフレームの経路情報が車両ネットワークへ付与され、書換えノードにより経路情報が受信される。そして、書換えノードにより、受信された経路情報を用いて、外部装置から書換えノードまでのアクセス経路が正規経路であるか確認される。すなわち、中継ノードは経路情報を付与するだけであり、アクセス経路が正規経路であることの確認は書換えノード自身が行う。よって、中継ノードの負荷を抑制しつつ、外部装置から正規経路でアクセスされていることを確認することができる。
【００６４】
（２）書換えノードの直前ノードの管理番号、及び中継ノードによる認証要求フレームの中継順序情報のうちの少なくとも一方を用いれば、外部装置から書換えノードへのアクセス経路が正規経路かを確認することができる。
【００６５】
（３）書換えノードが、アクセス経路が正規経路であることを確認した後に、直前ノードの個別認証を実施し、直前ノードが正規の中継ノードであることを確認することで、書換えノードに対するアクセスの信頼性をより高くすることができる。
【００６６】
（４）認証要求フレームにデータの一部として経路情報を付加することにより、経路情報のために専用のフレームを設ける必要がない。ひいては、外部装置のシーケンスを変更する必要がない。
【００６７】
（５）書換え種別に応じて、複数の正規経路が存在する場合にも、各正規経路に対応したノード管理番号が記憶されている番号ＤＢを備えていることにより、番号ＤＢと経路情報とを照合して、アクセス経路が正規経路であるかを確認することができる。
【００６８】
（６）システム書換えモードだけでなく、単品書換えモードが設定されていることにより、単品書換えモードを有効状態にすると、Ａ−ＥＣＵ２０を車両ネットワークから取り外して単品で回収した場合でも、Ａ−ＥＣＵ２０のＲＯＭ２５を書換えることができる。また、外部装置から正規経路でアクセスされている場合に限って、システム書換えモードの有効状態から単品書換えモードの有効状態へ、モード変更フラグが変更される。これにより、不正なアクセスで単品書換えモードが有効状態にされることを抑制でき、ひいては、ＲＯＭ２５の不正な書換えを抑制できる。
【００６９】
（７）各ノードのノード管理番号が書換え可能となっているため、拡張性や柔軟性に優れた車載電子制御システム１０を構築することができる。
（８）中継ノードにより、自ノードに対して外部装置の認証を要求する認証要求フレームＲ１が受信される前に、書換えノードに対する認証要求フレームＲ２が受信された場合には、正規の手順と異なるため、中継ノードから外部装置へ認証を否定する否定応答が送信される。これにより、正規の手順と異なる不正なアクセスを検知して拒否することができる。
【００７０】
（他の実施形態）
以上、本発明を実施するための形態について説明したが、本発明は上述の実施形態に限定されることなく、種々変形して実施することができる。
【００７１】
（ａ）上記実施形態では、書換えノードに対する外部装置の認証要求フレームＲ２に経路情報が付与されたが、外部装置の認証後に、外部装置から書換えノードに対して送信される複数の処理要求フレームの少なくとも一つにも、経路情報を付与してもよい。これにより、書換えノードは、認証要求時だけでなく、書換え処理中の消去要求時や書込み要求時にも、経路情報受信する都度、外部装置から自ノードまでのアクセス経路が正規経路であるかを確認することができる。ひいては、外部装置の認識後に不正なアクセスを受けても、不正なアクセスを検知して、不正な書換えを抑制することができる。
【００７２】
（ｂ）各ノードに割り当てられているノード管理番号として、車両ネットワーク上において各ノード及び外部装置を識別するために、各ノード及び外部装置に予め割り当てられている識別番号、例えばＣＡＮ通信用の識別番号を用いてもよい。このようにすれば、ノード管理番号を別途割り当てる必要がない。
【００７３】
（ｃ）上記実施形態のように、中継ノードも、外部装置から自ノードまでのアクセス経路が正規経路であるか確認する方が好ましいが、中継ノードは正規経路の確認をしなくてもよい。少なくとも書換えノードが正規経路の確認をすればよい。
【００７４】
（ｄ）書換えモードとして、システム書換えモードと単品書換えモードの両方ある方が好ましいが、単品書換えモードはなくてもよい。この場合、モード変更フラグはＲＯＭ２５に記憶されていなくてよい。
【００７５】
（ｅ）ノード管理番号は、認証要求フレームＲ１，Ｒ２のデータの一部として付加することが好ましいが、認証要求フレームとは別に、ノード管理番号を送信する専用フレームを設けて、ノード管理番号を送信してもよい。
【００７６】
（ｆ）上記実施形態における１つの構成要素が有する複数の機能を、複数の構成要素によって実現したり、１つの構成要素が有する１つの機能を、複数の構成要素によって実現したりしてもよい。また、複数の構成要素が有する複数の機能を、１つの構成要素によって実現したり、複数の構成要素によって実現される１つの機能を、１つの構成要素によって実現したりしてもよい。また、上記実施形態の構成の一部を省略してもよい。また、上記実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加又は置換してもよい。なお、特許請求の範囲に記載した文言のみによって特定される技術思想に含まれるあらゆる態様が本発明の実施形態である。
【００７７】
（ｇ）上述した車載電子制御装置、車載電子制御システム、及び中継装置の他、車載電子制御装置又は中継装置としてコンピュータを機能させるためのプログラム、このプログラムを記録した半導体メモリ等の非遷移的実態的記録媒体など、種々の形態で本発明を実現することもできる。
【符号の説明】
【００７８】
１０…車載電子制御システム、２０…Ａ−ＥＣＵ、２５…ＲＯＭ、３０…Ｂ−ＥＣＵ、４０…ＤＣＭ−ＥＣＵ、５０…Ｃ−ＧＷ、７０…診断装置、８０…センタ。
【図１】
2018093370.tif 000003
【図２】
2018093370.tif 000004
【図３】
2018093370.tif 000005
【図４】
2018093370.tif 000006
【図５】
2018093370.tif 000007
【図６】
2018093370.tif 000008
【図７】
2018093370.tif 000009