(57)【要約】【課題】通信による認証の信頼度をより高めることができる。【解決手段】被認証装置は、受信するチャレンジコードに基づき生成するレスポンスコードに基づいて、認証装置からの認証を受ける被認証装置であって、レスポンスコードを送信した後の期間からなる所定期間内に、前記認証装置との認証を行う回数が所定回数を越える場合に、前記認証装置との前記認証を制限する制限処理を行う制御部を備える。【選択図】図７
2018107668.tif 000002
【特許請求の範囲】
【請求項１】
受信するチャレンジコードに基づき生成するレスポンスコードに基づいて、認証装置からの認証を受ける被認証装置であって、
レスポンスコードを送信した後の期間からなる所定期間内に、前記認証装置との認証を行う回数が所定回数を越える場合に、前記認証装置との前記認証を制限する制限処理を行う制御部
を備える被認証装置。
【請求項２】
前記制御部は、
前記所定期間内に、前記チャレンジコードの送信を前記認証装置に要求するリクエスト信号を送信する回数が前記所定回数を超える場合に、前記制限処理を行う、
請求項１に記載の被認証装置。
【請求項３】
前記制御部は、
前記所定期間内に、前記チャレンジコードを受信する回数が前記所定回数を超える場合に、前記制限処理を行う、
請求項１に記載の被認証装置。
【請求項４】
前記制御部は、
前記所定期間内に、前記レスポンスコードを送信する回数が前記所定回数を超える場合に、前記制限処理を行う、
請求項１に記載の被認証装置。
【請求項５】
前記制御部は、
前記所定期間内に、認証処理再開事象の発生回数が前記所定回数を超える場合に、前記制限処理を行う、
請求項１に記載の被認証装置。
【請求項６】
前記制御部は、
前記認証装置から、未認証の装置からの信号を受信した旨の信号を受信したことを、前記認証処理再開事象とする、
請求項５に記載の被認証装置。
【請求項７】
前記制御部は、
所定期間を超えて前記認証装置からの信号を受信しないことを、前記認証処理再開事象とする、
請求項５に記載の被認証装置。
【請求項８】
前記制御部は、
前記認証装置から、前記認証装置との通信を切断することを示す信号を受信したことを、前記認証処理再開事象とする、
請求項５に記載の被認証装置。
【請求項９】
前記制御部は、
前記制限処理の実施に合せて、所定のフェイルセーフ処理を行う、
請求項１から請求項８の何れか１項に記載の被認証装置。
【請求項１０】
前記所定期間は、前記認証装置との前記認証が完了した後の期間からなる、
請求項１から請求項９の何れか１項に記載の被認証装置。
【請求項１１】
前記制限処理は、前記認証装置との通信を遮断する処理である、
請求項１から１０の何れか１項に記載の被認証装置。
【請求項１２】
前記制限処理は、前記認証処理再開事象が発生しても、前記認証を行わないこととする処理である、
請求項５から８の何れか１項に記載の被認証装置。
【請求項１３】
前記制限処理は、前記認証処理再開事象が発生しても、前記チャレンジコードを要求するリクエストコードを送信しないこととする処理である、
請求項５から８の何れか１項に記載の被認証装置。
【請求項１４】
前記制限処理は、前記認証装置から前記チャレンジコードを受信しても、前記レスポンスコードを送信しないこととする処理である、
請求項１から１３の何れか１項に記載の被認証装置。
【請求項１５】
前記制限処理は、前記認証装置から受信する前記チャレンジコードに対応する前記レスポンスコードとは異なるコードを、前記レスポンスコードとして送信する処理である、
請求項１から１３の何れか１項に記載の被認証装置。
【請求項１６】
請求項１から請求項１５の何れか１項に記載の被認証装置と、
前記被認証装置を認証する認証装置と、
を備える通信システム。
【請求項１７】
受信するチャレンジコードに基づき生成するレスポンスコードに基づいて、認証装置からの認証を受ける通信方法であって、
レスポンスコードを送信した後の期間からなる所定期間内に、前記認証装置との認証を行う回数が所定回数を越える場合に、前記認証装置との前記認証を制限するステップ
を含む通信方法。
【請求項１８】
受信するチャレンジコードに基づき生成するレスポンスコードに基づいて、認証装置からの認証を受ける被認証装置のコンピュータに、
レスポンスコードを送信した後の期間からなる所定期間内に、前記認証装置との認証を再び行う回数が所定回数を越える場合に、前記認証装置との前記認証を制限するステップ
を実行させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、被認証装置、通信システム、通信方法、及びプログラムに関する。
【背景技術】
【０００２】
従来、通信装置の認証を行う通信システムが知られている。このような通信システムにおいて、チャレンジコードと、当該チャレンジコードをもとに生成されるレスポンスコードとを利用した認証処理が行われている。例えば、第１通信装置（被認証装置）が、第２通信装置（認証装置）に対してリクエスト信号を送信する。第２通信装置は、リクエスト信号に基づいてチャレンジコートを送信する。第１通信装置は、上記のチャレンジコードに基づいたレスポンスコードを生成して、上記のレスポンスコードを第２通信装置宛てに送信する。第２通信装置は、当該チャレンジコードと、当該チャレンジコードをもとに生成されるレスポンスコードとに基づいて、上記のリクエスト信号を送信した第１通信装置（被認証装置）に対する認証処理を行う。
【０００３】
第１通信装置と第２通信装置が通信するネットワークにおいて、第１通信装置と第２通信装置の双方の装置とは異なる偽装通信装置が、第２通信装置を偽装して、第１通信装置からリクエスト信号を送信させて、このリクエスト信号に応じてチャレンジコードを送信し、チャレンジコードに対するレスポンスコードを取得する行為が想定される。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１５−０６３８７５号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、更に、偽装通信装置が上記を繰り返し実施することにより、チャレンジコードに対するレスポンスコードの規則性を解読することが可能になる。上記のような偽装通信装置が存在する場合には、認証の信頼度が低下することがある。
本発明は、このような事情を考慮してなされたものであり、通信による認証の信頼度をより高めることができる被認証装置、通信システム、通信方法、及びプログラムを提供することを目的の一つとする。
【課題を解決するための手段】
【０００６】
請求項１記載の発明は、受信するチャレンジコード（ＳＥＥＤ）に基づき生成するレスポンスコード（ＫＥＹ２）に基づいて、認証装置からの認証を受ける被認証装置（５０、６０）であって、レスポンスコードを送信した後の期間からなる所定期間（ｔ１）内に、前記認証装置との認証を行う回数（ｋ）が所定回数（ｋ１）を越える場合に、前記認証装置との前記認証を制限する制限処理を行う制御部（５１）を備える被認証装置である。
【０００７】
また、請求項２記載の発明における前記制御部は、前記所定期間内に、前記チャレンジコードの送信を前記認証装置に要求するリクエスト信号（ＳＥＥＤ要求）を送信する回数が前記所定回数を超える場合に、前記制限処理を行う。
【０００８】
また、請求項３記載の発明における前記制御部は、前記所定期間内に、前記チャレンジコードを受信する回数が前記所定回数を超える場合に、前記制限処理を行う。
【０００９】
また、請求項４記載の発明における前記制御部は、前記所定期間内に、前記レスポンスコードを送信する回数が前記所定回数を超える場合に、前記制限処理を行う。
【００１０】
また、請求項５記載の発明における前記制御部は、前記所定期間内に、認証処理再開事象の発生回数が前記所定回数を超える場合に、前記制限処理を行う。
【００１１】
また、請求項６記載の発明における前記制御部は、前記認証装置から、未認証の装置からの信号を受信したことを、証処理再開事象とする。
【００１２】
また、請求項７記載の発明における前記制御部は、所定期間を超えて前記認証装置からの信号を受信しないことを、前記認証処理再開事象とする。
【００１３】
また、請求項８記載の発明における前記制御部は、前記認証装置から、前記認証装置との通信を切断することを示す信号を受信したことを、前記認証処理再開事象とする。
【００１４】
また、請求項９記載の発明における前記制御部は、前記制限処理の実施に合せて、所定のフェイルセーフ処理を行う。
【００１５】
また、請求項１０記載の発明における前記所定期間は、前記認証装置との前記認証が完了した後の期間からなる。
【００１６】
また、請求項１１記載の発明における前記制限処理は、前記認証装置との通信を遮断する処理である。
【００１７】
また、請求項１２記載の発明における前記制限処理は、前記認証処理再開事象が発生しても、前記認証を行わないこととする処理である。
【００１８】
また、請求項１３記載の発明における前記制限処理は、前記認証処理再開事象が発生しても、前記チャレンジコードを要求するリクエストコードを送信しないこととする処理である。
【００１９】
また、請求項１４記載の発明における前記制限処理は、前記認証装置から前記チャレンジコードを受信しても、前記レスポンスコードを送信しないこととする処理である。
【００２０】
また、請求項１５記載の発明における前記制限処理は、前記認証装置から受信する前記チャレンジコードに対応する前記レスポンスコードとは異なるコードを、前記レスポンスコードとして送信する処理である。
【００２１】
また、請求項１６記載の発明の通信システム（１）は、上記発明の何れかに記載の被認証装置（５０、６０）と、前記被認証装置を認証する認証装置（ＥＣＵ１０）と、を備える。
【００２２】
また、請求項１７記載の発明は、受信するチャレンジコードに基づき生成するレスポンスコードに基づいて、認証装置からの認証を受ける通信方法であって、レスポンスコードを送信した後の期間からなる所定期間内に、前記認証装置との認証を再び行う回数が所定回数を越える場合に、前記認証装置との前記認証を制限するステップを含む通信方法である。
【００２３】
また、請求項１８記載の発明のプログラムは、受信するチャレンジコードに基づき生成するレスポンスコードに基づいて、認証装置からの認証を受ける被認証装置のコンピュータに、レスポンスコードを送信した後の期間からなる所定期間内に、前記認証装置との認証を再び行う回数が所定回数を越える場合に、前記認証装置との前記認証を制限するステップを実行させるためのプログラムである。
【発明の効果】
【００２４】
請求項１から請求項１８に記載の発明によれば、受信するチャレンジコードに基づき生成するレスポンスコードに基づいて、認証装置からの認証を受ける被認証装置であって、レスポンスコードを送信した後の期間からなる所定期間内に、前記認証装置との認証を行う回数が所定回数を越える場合に、前記認証装置との前記認証を制限する制限処理を行う制御部を備える被認証装置、通信システム、通信方法、及びプログラムを提供することができる。
【図面の簡単な説明】
【００２５】
【図１】第１の実施形態の通信システム１の構成を示す図である。
【図２Ａ】本実施形態のＥＣＵ１０のハードウエア構成を示す図である。
【図２Ｂ】本実施形態のＥＣＵ１０の機能構成を示す図である。
【図３Ａ】本実施形態の外部装置５０のハードウエア構成を示す図である。
【図３Ｂ】本実施形態の外部装置５０の機能構成を示す図である。
【図４】本実施形態の典型的な通信手順を示す図である。
【図５】比較例の外部装置５０の認証要求処理の概要について示すための状態遷移図である。
【図６】本実施形態のＥＣＵ２０が実行する妨害の手順を示す図である。
【図７】本実施形態に係る通信を開始するための認証処理のフローチャートである。
【図８】本実施形態に係る通信を開始するための認証処理のフローチャートである。
【発明を実施するための形態】
【００２６】
以下、図面を参照し、本発明の通信装置、通信システム、通信方法、及びプログラムの実施形態について説明する。
【００２７】
（第１の実施形態）
図１は、本実施形態の通信システム１の構成を示す図である。通信システム１は、例えば車両に搭載される。通信システム１は、少なくとも車両内にネットワークＮＷを構成する。ネットワークＮＷでは、例えば、バス２を介してＣＡＮ（Controller Area Network）プロトコル、ＩＥＥＥ８０２．３などの通信方式に基づく通信が行われる。
【００２８】
通信システム１は、バス２に接続されたＥＣＵ１０−１からＥＣＵ１０−３を備える。以下、ＥＣＵ１０−１からＥＣＵ１０−３を区別しない場合は、単にＥＣＵ１０と表記する。ＥＣＵ１０−１からＥＣＵ１０−３等の装置は、共通のバス２に接続されたものとして説明するが、不図示の中継装置等により互いに通信可能に接続された異なるバスに接続されていてもよい。
【００２９】
ＥＣＵ１０は、例えばエンジンを制御するエンジンＥＣＵや、シートベルトを制御するシートベルトＥＣＵ等である。ＥＣＵ１０は、自装置が所属するネットワークＮＷに送信されたフレームを受信する。以下、ネットワークＮＷに送信される各フレームのことをフレームＦという。フレームＦは、それぞれに附された識別子（以下、ＩＤという。）により識別される。ＥＣＵ１０は、自ＥＣＵ１０に係るフレームＦを識別するＩＤ（以下、登録ＩＤという）を記憶部１２（図２Ｂ）に格納しておく。ＥＣＵ１０は、フレームＦを受信する際には、受信したフレームＦに附されたＩＤ（以下、受信ＩＤという）を参照して、登録ＩＤと同じ値の受信ＩＤが附されたフレームＦを抽出して取得する。ＥＣＵ１０は、通信をする際に通信相手の認証処理を実施する。
【００３０】
ネットワークＮＷには、検証装置等の外部装置５０を接続する端子であるＤＬＣを設けた通信装置３が設けられている。車両の点検時等に通信装置３に接続される検証装置等は、外部装置５０の一例である。検証装置は、バス２に接続されたＥＣＵ１０と通信して、通信システム１の状態を検査・検証する。車両の点検時等を除けば、通信装置３に検証装置等を接続することなく、通信システム１を機能させることができる。
【００３１】
以下の説明におけるＥＣＵ２０は、例えば、悪意を持ったプログラムに汚染され、正当な認証処理を実施するＥＣＵ１０を偽装する。例えば、ＥＣＵ２０は、ＥＣＵ１０と同様のハードウエア構成を有する。例えば、ＥＣＵ２０は、悪意を持ったプログラムを実行するＥＣＵ１０−１である。
【００３２】
図２Ａは、本実施形態のＥＣＵ１０（ＥＣＵ２０）のハードウエア構成を示す図である。ＥＣＵ１０は、ＣＰＵ１０Ａと、ＲＡＭ（Random Access Memory）、レジスタ等の揮発性記憶装置１０Ｂと、ＲＯＭ（Read Only Memory）、ＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）、ＨＤＤ（Hard Disk Drive）の不揮発性記憶装置１０Ｃと、無線通信インタフェース１０Ｄと、入出力装置１０Ｅと、通信インタフェース１０Ｆなどを含むコンピュータである。なお、ＥＣＵ１０は、その種類又は用途により、無線通信インタフェース１０Ｄと入出力装置１０Ｅの何れか又は両方を含まない場合がある。
【００３３】
図２Ｂは、本実施形態のＥＣＵ１０（ＥＣＵ２０）の機能構成を示す図である。ＥＣＵ１０は、制御部１１と、記憶部１２と、通信制御部１３と、コード生成部１４とを含む。例えば、制御部１１と通信制御部１３とコード生成部１４は、ＣＰＵ１０Ａ等のプロセッサがプログラムを実行することにより実現される。
【００３４】
制御部１１は、通信制御部１３とコード生成部１４とを含む各部を制御する。例えば、制御部１１は、外部装置５０等からの通信要求を受け付けるとともに、外部装置５０等からの通信要求に応じて当該外部装置５０等の認証処理を実施する。以下、制御部１１による認証処理を中心に説明する。
【００３５】
記憶部１２は、揮発性記憶装置１０Ｂと、不揮発性記憶装置１０Ｃとによって実現される。記憶部１２は、アプリケーションプログラム、通信制御プログラム等のプログラムと、上記のプログラムの実行により参照される各種情報とを格納する。各種情報には、コード生成部１４により生成されて値が決定されたチャレンジコード（以下、ＳＥＥＤという。）、上記のＳＥＥＤに基づいたレスポンスコード（以下、ＫＥＹ１という。）などが含まれる。上記のＳＥＥＤは、コードＤＢに追加され、コードＤＢとして記憶部１２に格納される。上記のＫＥＹ１は、ＳＥＥＤの値をキーに参照可能なキーＤＢとして記憶部１２に格納される。
【００３６】
通信制御部１３は、通信インタフェース１０Ｆを介した外部の装置との通信を制御する。通信インタフェース１０Ｆは、ＥＣＵ１０をバス２に接続するインタフェースである。通信制御部１３が通信インタフェース１０Ｆを制御することにより、制御部１１が要求する他の装置との通信を可能にする。通信制御部１３は、通信インタフェース１０Ｆからの通知を受け、他の装置からの通信要求を制御部１１に通知する。制御部１１における認証処理などにより、他の装置からの通信要求に対する可否が判断される。
【００３７】
コード生成部１４は、外部装置５０等からの認証処理に対する要求に応じて、所定の規則又は乱数に基づいてＳＥＥＤを定める。
【００３８】
図３Ａは、本実施形態の外部装置５０のハードウエア構成を示す図である。外部装置５０は、ＣＰＵ５０Ａと、ＲＡＭ、レジスタ等の揮発性記憶装置５０Ｂと、ＲＯＭ、ＥＥＰＲＯＭ、ＨＤＤの不揮発性記憶装置５０Ｃと、入出力装置５０Ｅと、通信インタフェース５０Ｆなどを含むコンピュータである。
【００３９】
図３Ｂは、本実施形態の外部装置５０の機能構成を示す図である。外部装置５０は、制御部５１と、記憶部５２と、通信制御部５３とを含む。例えば、制御部１１と通信制御部１３は、ＣＰＵ５０Ａ等のプロセッサがプログラムを実行することにより実現される。
【００４０】
制御部５１は、通信制御部５３を含む各部を制御する。例えば、制御部５１は、ＥＣＵ１０等に通信要求を送り、ＥＣＵ１０等からの応答に応じて当該ＥＣＵ１０等に認証処理を実施させる。制御部５１は、ＥＣＵ１０等との通信の状況を検出し、その結果を入出力装置５０Ｅに出力する。上記の通信の状況には、ＥＣＵ１０等による認証結果、ＥＣＵ１０等の正当性の検出結果等が含まれる。
【００４１】
以下、制御部５１による認証処理に関する処理を中心に説明する。認証処理に関する処理には、ＥＣＵ１０等に対する認証要求、不正な処理をする装置等との通信を規制する処理などの処理が含まれる。ＥＣＵ１０等に対する認証要求として、制御部５１は、ＥＣＵ１０等に対して認証要求を送信し、ＥＣＵ１０等から受信したＳＥＥＤに基づいたレスポンスコード（以下、ＫＥＹ２という。）を生成し、ＫＥＹ２をＥＣＵ１０等に対して送信する。不正な通信処理をする装置等との通信を規制する処理として、制御部５１は、不正な通信処理を検出し、その通信を遮断して、外部装置５０を安全な状態に導く。その詳細については後述する。
【００４２】
記憶部５２は、揮発性記憶装置５０Ｂと、不揮発性記憶装置５０Ｃとによって実現される。記憶部５２は、アプリケーションプログラム、通信制御プログラム等のプログラムと、上記のプログラムの実行により参照される各種情報とを格納する。各種情報には、制御部５１がＥＣＵ１０等から受信したＳＥＥＤ等が含まれる。上記のＳＥＥＤは、コードＤＢに追加され、コードＤＢとして記憶部５２に格納される。
【００４３】
通信制御部５３は、通信インタフェース５０Ｆを介した外部の装置との通信を制御する。通信インタフェース５０Ｆは、外部装置５０を、通信装置３を介してバス２に接続するインタフェースである。通信制御部５３が通信インタフェース５０Ｆを制御することにより、制御部５１が要求する他の装置との通信を可能にする。通信制御部５３は、通信インタフェース５０Ｆからの通知を受け、ＳＥＥＤなどＥＣＵ１０等からの信号を制御部５１に通知する。
【００４４】
図４は、本実施形態の典型的な通信手順を示す図である。ＥＣＵ１０は、通信相手の認証処理を実施することで、通信相手を制限する。同図に示す通信手順は、通信相手の認証処理に係る典型的な一例を示すものである。
【００４５】
例えば、外部装置５０（被認証装置）は、ＳＥＥＤ要求（リクエスト信号）を送信する。ＥＣＵ１０は、ＳＥＥＤ要求を受信する（Ｍ３１）。
【００４６】
ＥＣＵ１０（制御部１１）は、受信したＳＥＥＤ要求に基づいてＳＥＥＤを、コード生成部１４により生成し、送信する（Ｍ３２）。ＥＣＵ１０（制御部１１）は、当該ＳＥＥＤに対応するＫＥＹ１を、記憶部１２のキーＤＢから取得する。なお、制御部１１は、上記に代えて、所定の演算式に基づいてＫＥＹ１を算出してもよい。
【００４７】
外部装置５０は、ＳＥＥＤを受信して、当該ＳＥＥＤをもとにレスポンスコード（以下、ＫＥＹ２という。）を生成し、送信する。ＥＣＵ１０（制御部１１）は、外部装置５０が送信したＫＥＹ２を受信する（Ｍ３３）。
【００４８】
ＥＣＵ１０（制御部１１）は、当該ＳＥＥＤに対応するＫＥＹ１と、受信したＫＥＹ２とに基づいて認証処理を実施して、その結果を通知する（Ｍ３４）。具体的には、ＥＣＵ１０（制御部１１）は、ＫＥＹ１とＫＥＹ２とが同一のコードを示す場合に、外部装置５０（被認証装置）が正規な装置であるものと判定し、その結果すなわち外部装置５０（被認証装置）が正規な装置であるとの認証が得られたことを通知する。
【００４９】
以上が、通信相手の認証処理の典型的な一例である。なお、以下の説明で、ＫＥＹ１とＫＥＹ２を区別することなく総じて表す場合には、単にＫＥＹということがある。
【００５０】
図５は、比較例の外部装置５０の認証要求処理の概要について示すための状態遷移図である。同図に示す認証要求処理には、不正な通信処理に対応する処理等が含まれない。
【００５１】
制御部５１は、認証を開始する前の待機状態（ＳＴ０）にある際に、ユーザーからの操作を検出する等によって、その制御状態を、認証を開始する状態（ＳＴ１：認証開始）に遷移させる。
制御部５１は、認証開始状態（ＳＴ１）にある際に、ＳＥＥＤ要求を送信（要求送信）することにより、その制御状態を、ＳＥＥＤの通知を待機する処理を実行する状態（以下、ＳＥＥＤ待機処理状態という。）（ＳＴ２：ＳＥＥＤ待機）に遷移させる。
【００５２】
制御部５１は、ＳＥＥＤ待機処理状態（ＳＴ２）にある際に、ＳＥＥＤを受信することにより、その制御状態をレスポンスコード生成状態（ＳＴ３：ＲＥＳ生成）に遷移させる。制御部５１は、レスポンスコード生成状態においてＫＥＹ２を生成する。
【００５３】
制御部５１は、レスポンスコード生成状態（ＳＴ３：ＲＥＳ生成）にある際に、ＫＥＹ２を送信（ＫＥＹ送信）することにより、ＳＥＥＤを送信した装置（ＥＣＵ１０等）に認証処理を実施させて、その制御状態を、認証処理の完了通知を待機する制御状態（以下、認証完了待機状態という。）（ＳＴ４：認証完了待機）に遷移させる。
【００５４】
制御部５１は、認証処理の完了通知を受け付けることにより、その制御状態を認証が得られた状況下での通信状態（ＳＴ５：認証後通信）に遷移させる。これをもとに例えば、ＥＣＵ１０から外部装置５０に対して、認証が得られた装置に対してのみしか送信されない信号が送信される。
【００５５】
制御部５１は、認証後通信状態（ＳＴ５）にある際に、通信が終了することにより、その制御状態を認証開始状態（ＳＴ１）に遷移させる。
【００５６】
なお、制御部５１は、レスポンスコードを送信した後の認証完了待機状態（ＳＴ４）、認証後通信状態（ＳＴ５）の各状態にある際に、通信エラーの検出、通信エラーの通知の受信、通信終了通知の受信（通信終了受信）等をすることによっても、制御状態を認証開始状態（ＳＴ１）に遷移させる。
【００５７】
図６は、本実施形態のＥＣＵ２０が実行する妨害の手順を示す図である。同図に示す手順は、外部装置５０がＥＣＵ２０に対して認証処理を要求した場合の一例を示すものである。
【００５８】
例えば、ＥＣＵ２０は、外部装置５０が前述の図５に示す認証完了待機状態（ＳＴ４）、認証後通信状態（ＳＴ５）の制御状態にある場合に、故意に外部装置５０との通信を終了させたり、通信エラーを発生させたりする。この例として、ＥＣＵ２０が、外部装置５０との認証処理をレスポンスコード受信後に途中終了させてその旨を通知すること、受信したレスポンスコードが正当なものとして認証されなかった旨（認証クリア失敗）を通知すること、認証が得られた状況下での通信を確立させた後に再び認証を得るよう促す通知をすること（Ｍ３０Ｓ−１）、ＥＣＵ２０が、レスポンスコードに基づく認証の結果を通知しないことにより外部装置５０に通信エラーを判定させること、認証が得られた状況下での通信を確立させた後に外部装置５０に対して信号を送信しないことにより、外部装置５０に通信エラーを判定させること、といったものが考えられる。
外部装置５０は、上記の例のＥＣＵ２０からの通知や通信エラーの判定のような「認証処理再開事象」が生じたことに応じて、認証開始状態（ＳＴ１）になる（図５）。その後、外部装置５０（被認証装置）は、認証が得られた状況下での通信を確立するために、すなわち認証後通信状態（ＳＴ５）になるために、新たにＳＥＥＤ要求を送信する（Ｍ３１−１）。ＥＣＵ２０は、ＳＥＥＤ要求を受信する（Ｍ３１−１）。
【００５９】
ＥＣＵ２０は、受信したＳＥＥＤ要求に応じて決定したＳＥＥＤを送信する（Ｍ３２Ｓ−１）。
【００６０】
外部装置５０は、ＳＥＥＤを受信して、当該ＳＥＥＤをもとにレスポンスコード（以下、ＫＥＹ２という。）を生成し、それを送信する。ＥＣＵ２０は、外部装置５０が送信したＫＥＹ２を受信する（Ｍ３３Ｓ−１）。
【００６１】
ＥＣＵ２０は、当該ＳＥＥＤに対応するＫＥＹとして、受信したＫＥＹ２を取得して記憶部に格納する。ＥＣＵ２０は、上記のような通知や、認証処理の結果や信号を送信しないといった振る舞いを行う（Ｍ３０Ｓ−２）。
【００６２】
外部装置５０は、ＥＣＵ２０からの通知を受信したことやエラー判定したことに基づき、再び通信を確立するように機能する。外部装置５０は、先にＭ３１−１において送信したＳＥＥＤ要求の送信を繰り返す（Ｍ３１−２）。
【００６３】
以下、外部装置５０とＥＣＵ２０によって同様の状態遷移が繰り返される。その結果、ＥＣＵ２０は、自身が送信したＳＥＥＤに対応するＫＥＹ２の複数の組み合わせを獲得することができる。これによって、ＥＣＵ２０は、自身がＫＥＹ１を生成することができなくても、ＳＥＥＤに対応するＫＥＹ２の複数の組み合わせをもとにして、関係性を推測し、ＫＥＹ１を生成することが可能になる。
【００６４】
ＥＣＵ２０は、以上の手順等の方法により、その認証処理を偽装しＳＥＥＤとＫＥＹの関係性を推測する。これに対し、実施形態の外部装置５０は、ＥＣＵ２０による認証処理の偽装に対して好ましい対応措置を実施する。以下、その処理について説明する。
【００６５】
図７は、本実施形態に係る通信を開始するための認証処理のフローチャートである。
【００６６】
制御部５１は、ユーザー操作など、待機状態（ＳＴ０（図５））から認証処理を開始する認証開始状態への状態遷移のトリガーがあるかを判定する（ＳＡ１）。なお、状態遷移のトリガーとしては、ユーザー操作のほか、外部装置５０とＥＣＵ１０（２０）とが物理的に有線接続されたことなど周知の方法とすることができる。
【００６７】
上記トリガーとしてのユーザー操作が検出された場合、制御部５１は、所定の事象（認証処理再開事象）の検出回数ｋを０に初期化し（ＳＡ２）、認証開始状態（ＳＴ１（図５））に制御状態を遷移させる（ＳＡ３）。
【００６８】
次に、制御部５１は、所定の事象の検出回数ｋに１を加算する（ＳＡ１１）。
次に、制御部５１は、経過時間ｔが所定期間ｔ１を超えているか否かを判定する（ＳＡ１２）。例えば、実施形態における経過時間ｔとは、初回のレスポンスコードを送信してからの経過期間ｔのことである。以下の説明では、それを単に「経過時間ｔ」という。なお、レスポンスコードを送信する処理は後段の処理である。
【００６９】
次に、経過時間ｔが所定期間ｔ１を超えている場合には、経過時間ｔを０にして計時を終了し、所定の事象の検出回数ｋを０に初期化する（ＳＡ１３）。
【００７０】
ＳＡ１２の判定の結果、経過時間ｔが所定期間ｔ１内の場合、又は、ＳＡ１３の処理を終えた後に、制御部５１は、所定の事象の検出回数ｋが所定回数ｋ１以上か否かを判定する（ＳＡ１４）。
【００７１】
所定の事象の検出回数ｋが所定回数ｋ１以上の場合、制御部５１は、制限処理を実施するための制限フラグを立てる（ＳＡ１５）。制御部５１は、制限フラグを立てることで、後段の処理において制限処理を実施させる。例えば、制御部５１は、所定の事象が発生した回数（発生回数）、つまり、所定の事象（認証処理再開事象）を検出した回数ｋが所定回数ｋ１を超える場合にその制限処理を行うようにしてもよい。
【００７２】
ＳＡ１４の判定の結果、所定の事象の検出回数ｋが所定回数ｋ１未満の場合、又は、ＳＡ１５の処理を終えた後に、制御部５１は、リクエストコード（ＳＥＥＤ要求）を送信して（ＳＡ１６）、ＳＥＥＤ待機状態（ＳＴ２（図５））に制御状態を遷移させる（ＳＡ１７）。なお、制御部５１は、制限フラグが立っている場合には、制限処理により、ＥＣＵ１０（２０）との通信を遮断する。例えば、制御部５１は、以下に続く認証のための処理を行わないようにしてもよく、又は、上記のリクエストコード（ＳＥＥＤ要求）の送信を制限してもよい。
【００７３】
次に、制御部５１は、ＳＥＥＤ待機状態（ＳＴ２）において、ＳＥＥＤを受信したか否かを判定し（ＳＡ２１）、ＳＥＥＤを受信するまで待機する。
制御部５１は、ＳＥＥＤを受信した場合、レスポンスコード生成状態（ＳＴ３）に制御状態を遷移させる（ＳＡ２２）。
【００７４】
次に、制御部５１は、レスポンスコード生成状態（ＳＴ３（図５））において、レスポンスコードであるＫＥＹ２を送信する（ＳＡ３１）。なお、制御部５１は、制限フラグが立っている場合には、制限処理により、レスポンスコード（ＫＥＹ２）の送信を制限してもよい。或いは、制御部５１は、制限フラグが立っている場合には、制限処理により、正規のレスポンスコード（ＫＥＹ２）とは異なるコードを、レスポンスコードとして送信してもよい。
【００７５】
次に、制御部５１は、経過時間ｔの計時処理を開始しているか否かを判定する（ＳＡ３２）。経過時間ｔの計時処理を開始していない場合、制御部５１は、経過時間ｔの計時処理を開始する（ＳＡ３３）。
【００７６】
ＳＡ３２の判定の結果、経過時間ｔの計時処理を開始している場合、又は、ＳＡ３３の処理を終えた後に、図８に示すように、制御部５１は、認証完了待機状態（ＳＴ４（図５））に制御状態を遷移させる（ＳＡ３４）。
【００７７】
次に、制御部５１は、認証完了待機状態（ＳＴ４）において、認証完了待機状態に遷移してからの経過時間Ｔが所定の回答時間Ｔ２以内（Ｔ≦Ｔ２）である間に、認証完了通知（結果）を受領したか否かを判定する（ＳＡ４１）。認証完了通知（結果）を受領するまでに認証完了待機状態に遷移してからの経過時間Ｔが所定の回答時間Ｔ２を超える場合、すなわち認証完了待機状態に遷移してからＴ２が経過するまでに認証完了通知（結果）を受領できない場合に、制御部５１は、所定の事象（認証処理再開事象）の発生を検出し、ＳＡ３に処理を進める。
【００７８】
認証完了待機状態に遷移してからの経過時間Ｔが所定の回答時間Ｔ２を超える前に認証完了通知（結果）を受領した場合、制御部５１は、認証処理の結果すなわちＥＣＵ２０によって正規な装置であるとの認証が得られたか否か（認証をクリアしたか否か）を判定する（ＳＡ４２）。上記の認証をクリアしなかった場合、制御部５１は、所定の事象（認証処理再開事象）の発生を検出し、ＳＡ３に処理を進める。
【００７９】
認証をクリアした場合、制御部５１は、認証が得られた状況下での通信状態（認証後通信状態（ＳＴ５（図５）））に制御状態を遷移させる（ＳＡ４３）。
【００８０】
次に、制御部５１は、認証後通信状態（ＳＴ５）において、経過時間ｔが所定期間ｔ１を超えているか否かを判定する（ＳＡ５１）。
【００８１】
次に、経過時間ｔが所定期間ｔ１を超えている場合には、経過時間ｔを０にして計時を終了し、所定の事象の検出回数ｋを０に初期化する（ＳＡ５２）。
【００８２】
ＳＡ５１の判定の結果、経過時間ｔが所定期間ｔ１以下の場合、又は、ＳＡ５２の処理を終えた後に、制御部５１は、通信遮断などの認証再開要因が発生したか否かを判定する（ＳＡ５３）。認証再開要因が発生しない場合には、制御部５１は、ＳＡ５１からの処理を繰り返す。
【００８３】
上記の所定の事象（認証処理再開事象）が発生した場合には、制御部５１は、ＳＡ３に処理を進める。
【００８４】
なお、制御部５１は、利用者の操作の終了、又は、予め規定された処理の終了をもって図に示す一連の処理を終えてもよい。
【００８５】
外部装置５０は、上記の処理により、不正な処理を実施するＥＣＵ２０のような装置の存在を検出する。
【００８６】
（制限処理について）
制限処理について説明する。上記のＳＡ１５において制限処理が起動されることにより、制御部５１は、例えば、下記の第１から第４の制限処理の何れかを実行することにより、ＥＣＵ２０における認証処理の実行を制限する。
【００８７】
第１の制限処理は、ＥＣＵ２０等の対象の認証装置との通信を、制御部５１が遮断する処理（通信切断処理）である。
第２の制限処理は、制御部５１がＥＣＵ２０からの通知を受信または通信エラーを検出するなどの認証処理再開事象を検出しても、対象のＥＣＵ２０等に対して認証を要求しないこと、つまり、対象のＥＣＵ２０等に対してリクエストコード（ＳＥＥＤ要求）を送信しないこととする処理（送信待機処理）である。
第３の制限処理は、制御部５１がＥＣＵ２０等の対象の認証装置からチャレンジコード（ＳＥＥＤ）を受信しても、それに対するレスポンスコード（ＫＥＹ２）を送信しないこととする処理（送信待機処理）である。
第４の制限処理は、制御部５１がＥＣＵ２０等の対象の認証装置から受信するＳＥＥＤに対応するＫＥＹ２とは異なるコードを、そのＫＥＹ２として送信する処理（偽装応答処理）である。例えば、ＳＥＥＤに対応するＫＥＹ２とは異なるコードとは、予め定められた所定のコードであってもよく、生成した乱数に基づいたものでもよく、既に対象の認証装置宛に送信したＫＥＹ２のうちから選択したＫＥＹ２であってもよい。
【００８８】
（制限処理の実施に至る条件について）
次に、実施形態における制限処理の実施に至る条件について説明する。
【００８９】
制御部５１は、レスポンスコードを送信した後の期間からなる所定期間ｔ１内に、下記するように、ＥＣＵ２０等の認証装置との認証を制限する処理を実施する。制御部５１は、所定期間ｔ１内に、ＳＥＥＤの送信をＥＣＵ２０等の認証装置に要求するＳＥＥＤ要求を送信する回数ｋが所定回数ｋ１を超える場合に、その制御状態を制限処理状態（ＳＴ６（図５））に遷移させて、上記の制限処理を行うようにしてもよい。その結果、所定回数ｋ１回を超えてＳＥＥＤ要求が外部装置５０から送信されることがなくなる。
【００９０】
制御部５１は、制限処理状態に遷移した後に、その状態を保持して、例えば、対象装置のＥＣＵ２０との通信を遮断する。制御部５１は、初期化処理などが実行されるまで、その状態を保持しておき、初期化処理により、その制御状態を待機状態（ＳＴ０）に遷移させる。
【００９１】
（制限処理に付帯する処理について）
次に、制限処理に付帯する処理について説明する。
制御部５１は、制限処理の実施に合せて、所定のフェイルセーフ処理を行うようにしてもよい。所定のフェイルセーフ処理は、制限処理を実施していることの表示を外部装置５０に表示する処理、外部装置５０が制限処理を実施していることを他の装置に通知する処理等を含む。制御部５１は、所定のフェイルセーフ処理を実施することにより、その通信による認証の信頼度をより高めることができる。
【００９２】
また、制御部５１は、レスポンスコードを送信した後の期間からなる所定期間としてｔ１を定める。制御部５１は、上記の例のように、レスポンスコードを送信したことを起点として上記の所定時間ｔ１を定めてもよく、また、認証装置との認証完了を起点として、上記の所定期間ｔ１を定めてもよい。
【００９３】
以上に示した実施形態によれば、外部装置５０は、受信するＳＥＥＤに基づき生成するＫＥＹ２に基づいて、ＥＣＵ２０等の認証装置からの認証を受ける被認証装置である。外部装置５０の制御部５１は、ＫＥＹ２を送信した後の期間からなる所定期間内に、ＥＣＵ２０等の認証装置との認証を行う回数が所定回数を越える場合に、ＥＣＵ２０等の認証装置との認証を制限する制限処理を行う。これにより、外部装置５０は、通信による認証の信頼度をより高めることができる。
【００９４】
なお、上記の認証処理再開事象を下記のように定義してもよい。
例えば、制御部５１は、ＥＣＵ２０等の認証装置から、未認証の装置からの信号を認証装置又は他のＥＣＵ１０が受信した旨の信号を、他のＥＣＵ１０から受信した場合に認証処理再開事象と判定してもよい。
【００９５】
また、例えば、制御部５１は、所定期間を超えてＥＣＵ１０等の認証装置からの信号を受信しない場合に、認証処理再開事象と判定してもよい。
【００９６】
また、例えば、制御部５１は、ＥＣＵ２０等の認証装置から通信を切断することを示す切断信号を受信した場合に、認証処理再開事象と判定してもよい。
【００９７】
上記の通り、本変形例によれば、第１の実施形態と同様の効果を奏することの他に、認証処理再開事象として扱う条件を判定の条件にすることができ、判定の自由度を高めることができる。
【００９８】
（第１の実施形態の変形例その１）
第１の実施形態の変形例その１について説明する。本変形例では、制限処理を始動するための前述のＳＡ１１からＳＡ１５と同様の処理を、認証開始状態（ＳＴ１）に遷移させた（ＳＡ３）後に実施することに代えて、リクエストコード（ＳＥＥＤ要求）を送信した（ＳＡ１６）後に実施する。
【００９９】
例えば、制御部５１は、ユーザー操作の検出（ＳＡ１）などにより、所定の事象の検出回数ｋを０に初期化した後（ＳＡ２）、待機状態（ＳＴ０（図５））から認証処理を開始する認証開始状態（ＳＴ１（図５））に制御状態を遷移させる（ＳＡ３）。
【０１００】
次に、制御部５１は、リクエストコードを送信する（ＳＡ１６）。その後、制御部５１は、ＳＡ１１からＳＡ１５の処理を実施する。次に、制御部５１は、ＳＥＥＤ待機状態（ＳＴ２（図５））に制御状態を遷移させる（ＳＡ１７）。ＳＡ１７以降の処理は、前述の実施形態と同様である。
【０１０１】
本変形例によれば、実施形態と同様の効果を奏することの他、リクエストコード（ＳＥＥＤ要求）を送信した（ＳＡ１６）後に、制限処理を始動するための処理を実施する。これにより、制限処理を始動するための処理を、実施形態と異なる手順で実施することができる。
【０１０２】
（第１の実施形態の変形例その２）
第１の実施形態の変形例その２について説明する。本変形例では、制限処理を始動するための前述のＳＡ１１からＳＡ１５と同様の処理を実施する手順を、認証開始状態（ＳＴ１）に遷移させた（ＳＡ３）後に実施することに代えて、ＳＡ３１の処理の後に実施する。
【０１０３】
例えば、制御部５１は、ユーザー操作の検出（ＳＡ１）などにより、所定の事象の検出回数ｋを０に初期化した後（ＳＡ２）、待機状態（ＳＴ０（図５））から認証処理を開始する認証開始状態（ＳＴ１（図５））に制御状態を遷移させる（ＳＡ３）。
【０１０４】
次に、制御部５１は、リクエストコードを送信し（ＳＡ１６）、ＳＥＥＤ待機状態（ＳＴ２（図５））に制御状態を遷移させる（ＳＡ１７）。その後、制御部５１は、実施形態と同様にＳＡ２１からＳＡ２２までの処理を実施する。次に、制御部５１は、レスポンスコードであるＫＥＹ２を送信する（ＳＡ３１）。
【０１０５】
その後、制御部５１は、ＳＡ１１からＳＡ１５の処理を実施する。
次に、制御部５１は、経過時間ｔの計時処理を開始しているか否かを判定する（ＳＡ３２）。なお、ＳＡ３２以降の処理は、前述の実施形態と同様である。
【０１０６】
本変形例によれば、実施形態と同様の効果を奏することの他、レスポンスコード（ＫＥＹ２）を送信する処理（ＳＡ３１）の後に、制限処理を始動するための処理を実施する。これにより、制限処理を始動するための処理を、実施形態と異なる手順で実施することができる。
【０１０７】
（第１の実施形態の変形例その３）
第１の実施形態の変形例その３について説明する。本変形例では、制限処理を始動するための前述のＳＡ１１からＳＡ１５と同様の処理を実施する手順を、認証開始状態（ＳＴ１）に遷移させた（ＳＡ３）後に実施することに代えて、ＳＥＥＤを受信した処理（ＳＡ２１）の後に実施する。
【０１０８】
例えば、制御部５１は、ユーザー操作の検出（ＳＡ１）などにより、所定の事象の検出回数ｋを０に初期化した後（ＳＡ２）、待機状態（ＳＴ０（図５））から認証処理を開始する認証開始状態（ＳＴ１（図５））に制御状態を遷移させる（ＳＡ３）。
【０１０９】
次に、制御部５１は、リクエストコードを送信し（ＳＡ１６）、ＳＥＥＤ待機状態（ＳＴ２（図５））に制御状態を遷移させる（ＳＡ１７）。
【０１１０】
次に、制御部５１は、ＳＥＥＤ待機状態（ＳＴ２）において、ＳＥＥＤを受信したか否かを判定し（ＳＡ２１）、ＳＥＥＤを受信するまで待機する。
制御部５１は、ＳＥＥＤを受信した場合、制御部５１は、ＳＡ１１からＳＡ１５の処理を実施する。
ＳＡ２２以降の処理は、前述の実施形態と同様である。
【０１１１】
本変形例によれば、実施形態と同様の効果を奏することの他、ＳＥＥＤを受信した処理（ＳＡ２１）の後に、制限処理を始動するための処理を実施する。これにより、制限処理を始動するための処理を、実施形態と異なる手順で実施することができる。
【０１１２】
（第１の実施形態の変形例その４）
第１の実施形態の変形例その４について説明する。本変形例では、前述のＳＡ３３における計時開始のきっかけを、レスポンス信号を送信したこと（ＳＡ３１）に代えて、認証後通信状態（ＳＴ５）に遷移したこと（ＳＡ４３）にする。すなわち、第１の実施形態では、レスポンスコードを送信した後の期間からなる期間ｔを、初回のレスポンスコードを送信してからの経過時間ｔとしたが、この変形例では、例えば、レスポンスコードを送信した後の期間からなる期間ｔを、認証後通信状態（ＳＴ５）に遷移した後の経過時間ｔとするものである。このような変形例により、認証に対する合否を下し、認証が得られた状況下での通信が開始される状況を作り出すときのように、ＥＣＵ２０等がより一層に正当な認証装置であるかのように偽装している場合であっても、適切に対処することができる。
【０１１３】
例えば、制御部５１は、レスポンスコード生成状態（ＳＴ３（図５））において、レスポンスコードであるＫＥＹ２を送信し（ＳＡ３１）、認証完了待機状態（ＳＴ４（図５））に制御状態を遷移させる（ＳＡ３４）。
【０１１４】
次に、制御部５１は、認証完了待機状態（ＳＴ４）におけるＳＡ４１からＳＡ４２の処理を経て、ＳＡ４２において認証をクリアしたと判定した場合、制御部５１は、認証が得られた状況下での通信状態（認証後通信状態（ＳＴ５（図５）））に制御状態を遷移させる（ＳＡ４３）。
【０１１５】
次に、制御部５１は、経過時間ｔの計時処理を開始しているか否かを判定する（ＳＡ３２）。経過時間ｔの計時処理を開始していない場合、制御部５１は、経過時間ｔの計時処理を開始する（ＳＡ３３）。
【０１１６】
ＳＡ３２の判定の結果、経過時間ｔの計時処理を開始している場合、又は、ＳＡ３３の処理を終えた後に、制御部５１は、経過時間ｔが所定期間ｔ１を超えているか否かを判定する（ＳＡ５１）。ＳＡ５２以降の処理は、前述の実施形態と同様である。
【０１１７】
本変形例によれば、実施形態と同様の効果を奏することの他、ＳＥＥＤを受信した処理（ＳＡ２１）の後に、制限処理を始動するための処理を実施する。これにより、制限処理を始動するための処理を、実施形態と異なる手順で実施することができる。
【０１１８】
（第１の実施形態の変形例その５）
第１の実施形態の変形例その５について説明する。本変形例では、前述のＳＡ３３の計時開始のきっかけを、レスポンス信号を送信したこと（ＳＡ３１）に代えて、認証処理再開事象が生じたことにする。本変形例における「認証処理再開事象が生じたこと」とは、例えば、下記の場合を含む。
（１）ＳＡ４１の判定において、認証完了待機状態に遷移してからの経過時間Ｔが所定の回答時間Ｔ２を超える場合。
（２）ＳＡ４２の判定において、認証処理により認証完了通知が正当なものでない（上記の認証をクリアしなかった）場合。
（３）ＳＡ５３の判定において、通信遮断などの認証再開要因が発生した場合。
【０１１９】
例えば、上記の何れかの認証処理再開事象が生じた場合、制御部５１は、経過時間ｔの計時処理を開始しているか否かを判定する（ＳＡ３２）。経過時間ｔの計時処理を開始していない場合、制御部５１は、経過時間ｔの計時処理を開始する（ＳＡ３３）。例えば、変形例における経過時間ｔとは、認証処理再開事象が生じた後の経過時間である。
【０１２０】
ＳＡ３２の判定の結果、経過時間ｔの計時処理を開始している場合、又は、ＳＡ３３の処理を終えた後に、制御部５１は、ＳＡ３に処理を進める。
【０１２１】
本変形例によれば、実施形態と同様の効果を奏することの他、前述のＳＡ３３の計時開始のきっかけを、認証処理再開事象が生じたことにすることにより、計時開始のきっかけを、実施形態と異なる手順で実施することができる。
【０１２２】
（第１の実施形態の変形例その６）
第１の実施形態の変形例その６について説明する。本変形例では、前述の認証処理再開事象が生じた場合に、認証開始状態（ＳＴ１）へ遷移させることに代えて、待機状態（ＳＴ０）へ遷移させてもよい。その場合のフェイルセーフ処理として、ＳＡ１において「操作あり」と判定された場合でも、認証開始状態（ＳＴ１）へ遷移させないように制御してもよい。
【０１２３】
本変形例によれば、実施形態と同様の効果を奏することの他、前述の認証処理再開事象が生じた場合に、待機状態（ＳＴ０）から処理を再開することができ、実施形態と異なる手順で実施することができる。
【０１２４】
（第２の実施形態）
次に、第２の実施形態について説明する。第１の実施形態では、バス２を通信回線として利用する有線通信の事例について説明した。これに代えて、本実施形態では、無線通信の事例について説明する。前述の実施形態との相違点を中心に説明する。
【０１２５】
図１に示す通信システム１は、例えば車両に搭載され、無線により通信可能な領域を有するネットワークＮＷを車両内に形成する。例えば、その通信方式は、ＩＥＥＥ８０２．１１、Ｂｌｕｅｔｏｏｔｈ（登録商標）などである。
【０１２６】
通信システム１が有するＥＣＵには、少なくとも無線通信インタフェース１０Ｄを有し、無線通信を可能とするＥＣＵ１０−１が含まれる。無線通信を可能とするＥＣＵ１０−１は、さらに他のＥＣＵ１０とともに、共通するバス２に接続されていてもよい。
【０１２７】
端末装置６０は、スマートホン等の携帯端末である。端末装置６０は、コンピュータを含み、アプリケーションソフト、ＯＳ等のプログラムをコンピュータに実行させることによって、ＥＣＵ１０−１との無線通信機能を実現する。
【０１２８】
なお、端末装置６０は、ＥＣＵ１０−１に代えて、ＥＣＵ１０−１と同様のＥＣＵ２０との無線通信を可能とする。ＥＣＵ２０は、第１の実施形態と同様に、悪意のあるプログラム等の実行により認証処理を偽装する。端末装置６０は、ＥＣＵ２０において悪意のあるプログラム等が実行され、不当な通信手順でＳＥＥＤが送信された場合を検出する。
【０１２９】
これに対し端末装置６０は、前述した第１の実施形態に示した手法により、不当な通信手順で送信されるＳＥＥＤに対して、所定のフェイルセーフ処理を実施するように構成してもよい。
【０１３０】
さらに、端末装置６０は、下記する処理を組み合わせて所定のフェイルセーフ処理を実施してもよい。
【０１３１】
例えば、端末装置６０は、ＥＣＵ１０等との通信における受信信号強度に基づいて、上記の検出回数ｋの閾値（所定回数ｋ１）を調整する。
【０１３２】
無線通信では、受信信号強度が低下すると、混信、マルチパス、雑音などの影響を受けて、パケットを正常に受信できない確率が増加する。つまり、受信信号強度が低下すると、再送が必要とされる確率が高くなる。
【０１３３】
そこで、本実施形態の端末装置６０は、検出した信号の受信信号強度が所定値より弱い場合には、上記の所定回数ｋ１の値を、通信量が所定値より弱い場合の値より大きな値に調整する。
【０１３４】
上記の実施形態によれば、第１の実施形態と同様の効果を奏することの他に、制御部１１は、通信状態に応じて、判定条件を定める回数ｋ１の値を変更する。例えば、制御部１１は、無線通信の受信信号強度ＲＳＩが閾値ＴＨより弱い場合には、前述の所定回数ｋ１を、受信信号強度ＲＳＩが閾値ＴＨより強い場合の値より大きな値ｋ２にすることにより、通信による認証の信頼度をより高めることができる。
【０１３５】
以上説明した少なくとも一つの実施形態によれば、外部装置５０は、受信するＳＥＥＤに基づき生成するＫＥＹ２に基づいて、ＥＣＵ１０等（認証装置）からの認証を受ける。外部装置５０は、レスポンスコードを送信した後の期間からなる所定期間内に所定期間内に、ＥＣＵ１０等との認証を行う回数ｋが所定回数ｋ１を越える場合に、ＥＣＵ１０等との認証を制限する制限処理を行う制御部を備えることにより、通信による認証の信頼度をより高めることができる。
【０１３６】
以上、本発明を実施するための形態について実施形態を用いて説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々の変形及び置換を加えることができる。
例えば、上記の各実施形態に示した技術を、適宜組み合わせて実施してもよい。
【符号の説明】
【０１３７】
１‥通信システム、２…バス、３…通信装置、１０、１０−１、１０−２、１０−３、２０…ＥＣＵ（認証装置）、１１、５１…制御部、１２、５２…記憶部、１３、５３…通信制御部、５０…外部装置（被認証装置）、６０…端末装置（被認証装置）、ＮＷ…ネットワーク
【図１】
2018107668.tif 000003
【図２Ａ】
2018107668.tif 000004
【図２Ｂ】
2018107668.tif 000005
【図３Ａ】
2018107668.tif 000006
【図３Ｂ】
2018107668.tif 000007
【図４】
2018107668.tif 000008
【図５】
2018107668.tif 000009
【図６】
2018107668.tif 000010
【図７】
2018107668.tif 000011
【図８】
2018107668.tif 000012