(57)【要約】【課題】従来技術とは異なる手法で、送信元ノードが正常な認証対象データを作成できない状態にあることを判定可能なネットワークシステムを提供すること。【解決手段】ネットワークシステム１において、送信元装置２Ａは、認証対象データを送信先装置２Ｂ，２Ｃ，２Ｄへと送信する。送信先装置２Ｂ，２Ｃ，２Ｄは、認証に成功したか否かを示す認証結果データを送信元装置２Ａへと送信する。送信元装置２Ａは、認証結果データに基づいて、送信元装置２Ａにおいて適正な認証対象データを作成可能か否かを判断する。【選択図】図１
2019140615.tif 000002
【特許請求の範囲】
【請求項１】
第一ネットワーク（１Ａ）のノードとして機能し、かつ、前記第一ネットワークとは独立に構築される第二ネットワーク（１Ｂ）のノードとしても機能するように構成された複数の電子装置（２Ａ，２Ｂ，２Ｃ，２Ｄ）を含み、
前記複数の電子装置のうちの少なくとも一つの電子装置（２Ａ）は、送信元装置として機能可能に構成され、
前記複数の電子装置のうちの少なくとも二つの電子装置（２Ｂ，２Ｃ，２Ｄ）は、送信先装置として機能可能に構成され、
前記送信元装置は、送信対象とされる送信対象データに基づいて認証処理の対象とされる認証対象データを作成し（Ｓ１３０，Ｓ５３０）、当該認証対象データを前記第一ネットワーク経由で少なくとも二つの前記送信先装置へと送信するように構成され（Ｓ１４０，Ｓ５４０）、
前記少なくとも二つの送信先装置は、前記送信元装置から前記認証対象データを受信した場合に、前記認証対象データに対する認証処理を実行し（Ｓ３５０）、前記認証処理において認証に成功したか否かを示す認証結果データを、前記第二ネットワーク経由で前記送信元装置へと送信するように構成され（Ｓ３６０）、
前記送信元装置は、前記少なくとも二つの送信先装置それぞれから前記認証結果データを受信した場合に、前記認証結果データに基づいて、前記送信元装置において適正な前記認証対象データを作成可能か否かを判断する判断処理を実行するように構成されている（Ｓ２３０−Ｓ２５０）
ネットワークシステム。
【請求項２】
請求項１に記載のネットワークシステムであって、
前記送信元装置は、前記判断処理を実行した際、前記少なくとも二つの送信先装置それぞれから受信した前記認証結果データの全てが、認証に失敗したことを示している場合に、前記送信元装置において適正な前記認証対象データを作成不能と判断するように構成されている（Ｓ２３０，Ｓ２４０）
ネットワークシステム。
【請求項３】
請求項１又は請求項２に記載のネットワークシステムであって、
前記複数の電子装置のうちの少なくとも一つの電子装置（２Ｂ）は、代行装置として機能可能に構成され、
前記送信元装置は、前記判断処理において、前記送信元装置において適正な前記認証対象データを作成不能と判断された場合に、当該判断後は、前記送信対象データを前記第二ネットワーク経由で前記代行装置へと送信するように構成され（Ｓ１５０，Ｓ１６０）、
前記代行装置は、前記送信元装置から前記送信対象データを受信した場合に、前記送信対象データに基づいて前記認証対象データを作成し（Ｓ３３０）、当該認証対象データを前記第一ネットワーク経由で少なくとも二つの前記送信先装置（２Ｃ，２Ｄ）へと送信するように構成されている（Ｓ３４０）
ネットワークシステム。
【請求項４】
請求項１から請求項３までのいずれか一項に記載のネットワークシステムであって、
前記送信元装置は、前記判断処理において、前記送信元装置において適正な前記認証対象データを作成不能と判断された場合に、当該判断後は、前記認証対象データの送信頻度を第一の頻度から当該第一の頻度よりも低い第二の頻度へと低下させるように構成されている（Ｓ５５０−Ｓ５８０）
ネットワークシステム。
【請求項５】
請求項４に記載のネットワークシステムであって、
前記送信元装置は、前記認証対象データの送信頻度を低下させた後、前記判断処理において、前記送信元装置において適正な前記認証対象データを作成可能と判断された場合に、当該判断後は、前記認証対象データの送信頻度を前記第一の頻度へと復帰させるように構成されている（Ｓ５１０−Ｓ５４０）
ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本開示は、ネットワークシステムに関する。
【背景技術】
【０００２】
データの暗号化、復号、認証等を実行するように構成された情報処理装置が提案されている（例えば、特許文献１参照。）。特許文献１に記載の情報処理装置は、セキュリティ処理ＣＰＵが故障した場合でも、セキュリティ処理ＣＰＵに代わって、汎用処理ＣＰＵが、データの暗号化、復号、認証等を実行するように構成されている。
【先行技術文献】
【特許文献】
【０００３】
【特許文献１】特開２０１５−１１９３５７号公報
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ネットワーク経由で送信元ノードから送信先ノードへデータを送信する際には、例えばメッセージ認証等を利用することにより、データの改ざんを検知可能とすることができる。メッセージ認証を実施する場合、送信元ノード及び送信先ノードは、双方が共通鍵を記憶している。送信元ノードでは、送信対象とされる送信対象データに対し、共通鍵を用いて暗号化を施すことにより、暗号化データを作成する。そして、送信対象データと暗号化データとを含む認証対象データを、ネットワーク経由で送信元ノードから送信先ノードへと送信する。
【０００５】
送信先ノードでは、認証対象データに対する認証処理を実行する。認証処理では、認証対象データ中に含まれる送信対象データに対し、共通鍵を用いて暗号化を施し、暗号化データを作成する。送信先ノードで作成された暗号化データと、認証対象データ中に含まれる暗号化データとを比較し、両者が一致すれば認証が成立し、データが改ざんされていないことを確認できることになる。
【０００６】
ただし、例えば送信元ノードの故障等が原因で、送信元ノードにおいて不正な認証対象データが作成されたような場合、そのような不正な認証対象データが送信元ノードから送信先ノードへ送信されると、送信先ノードでは認証に失敗するおそれがある。ここで、例えば上記特許文献１に記載の技術を利用すれば、送信元ノードの故障を検出できる可能性がある。
【０００７】
しかし、特許文献１に記載の技術を利用する場合、送信元ノードには、専用の故障監視装置等が内蔵されることになる。そのため、同様な故障監視装置等が内蔵されていない場合に比べ、送信元ノードの構成は複雑化し、送信元ノード内における各種制御も複雑化する。
【０００８】
本開示の一局面においては、従来技術とは異なる手法で、送信元ノードが正常な認証対象データを作成できない状態にあることを判定可能なネットワークシステムを提供することが望ましい。
【課題を解決するための手段】
【０００９】
本開示の一態様は、ネットワークシステム（１）である。当該ネットワークシステムは、複数の電子装置（２Ａ，２Ｂ，２Ｃ，２Ｄ）を含む。複数の電子装置は、第一ネットワーク（１Ａ）のノードとして機能し、かつ、第一ネットワークとは独立に構築される第二ネットワーク（１Ｂ）のノードとしても機能するように構成される。複数の電子装置のうちの少なくとも一つの電子装置（２Ａ）は、送信元装置として機能可能に構成される。複数の電子装置のうちの少なくとも二つの電子装置（２Ｂ，２Ｃ，２Ｄ）は、送信先装置として機能可能に構成される。
【００１０】
送信元装置は、送信対象とされる送信対象データに基づいて認証処理の対象とされる認証対象データを作成し（Ｓ１３０，Ｓ５３０）、当該認証対象データを第一ネットワーク経由で少なくとも二つの送信先装置へと送信するように構成される（Ｓ１４０，Ｓ５４０）。少なくとも二つの送信先装置は、送信元装置から認証対象データを受信した場合に、認証対象データに対する認証処理を実行する（Ｓ３５０）。少なくとも二つの送信先装置は、認証処理において認証に成功したか否かを示す認証結果データを、第二ネットワーク経由で送信元装置へと送信するように構成される（Ｓ３６０）。送信元装置は、少なくとも二つの送信先装置それぞれから認証結果データを受信した場合に、認証結果データに基づいて、送信元装置において適正な認証対象データを作成可能か否かを判断する判断処理を実行するように構成されている（Ｓ２３０−Ｓ２５０）。
【００１１】
このように構成されたネットワークシステムによれば、送信元装置は、少なくとも二つの送信先装置それぞれから認証結果データを受信して判断処理を実行し、送信元装置において適正な認証対象データを作成可能か否かを判断する。そのため、送信元装置が故障検出のために専用の構成を内蔵していなくても、適正な認証対象データを作成可能か否かを判断することができる。したがって、送信元装置が適正な認証対象データを作成できないと判断された場合には、例えば認証対象データの作成及び送信を中止する等、当該場合に対応したフェイルセーフ処理等を実行することができる。また、上記判断処理を実行する際には、少なくとも二つの送信先装置それぞれから認証結果データを受信する。したがって、単一の送信先装置から認証結果データを受信する場合に比べ、判断処理において信頼性の高い判断を行うことができる。
【００１２】
なお、この欄及び特許請求の範囲に記載した括弧内の符号は、後述する実施形態において一態様として例示する具体的な構成との対応関係を理解しやすくするために記載したものである。当該記載は、本開示の技術的範囲が後述する実施形態と同一な範囲に限定されることを意味する記載ではない。
【図面の簡単な説明】
【００１３】
【図１】図１はネットワークシステムを示す説明図である。
【図２】図２はＥＣＵを示す説明図である。
【図３】図３はＥＣＵ間において伝送されるデータの構造を示す説明図である。
【図４】図４は送信元ＥＣＵにおいてデータ送信時に実行される処理のフローチャートである。
【図５】図５は送信元ＥＣＵにおいてデータ受信時に実行される処理のフローチャートである。
【図６】図６は代行ＥＣＵにおいて実行される処理のフローチャートである。
【図７】図７は送信先ＥＣＵにおいて実行される処理のフローチャートである。
【図８】図８は送信元ＥＣＵにおいて認証対象データの送信頻度を変更する場合に対応するフローチャートである。
【発明を実施するための形態】
【００１４】
次に、上述のネットワークシステムについて、例示的な実施形態を挙げて説明する。
（１）第一実施形態
［ネットワークシステムの構成］
図１に示すネットワークシステム１は、例えば自動車に搭載される車載ネットワークシステムである。ネットワークシステム１は、複数のＥＣＵ２Ａ，２Ｂ，２Ｃ，２Ｄ，３Ａ，３Ｂ，３Ｃ，３Ｄ，３Ｅ，３Ｆ，３Ｇ，３Ｈ、ＣＧＷ４、複数のグローバルバス５Ａ，５Ｂ，５Ｃ及びローカルバス６等を有する。ＥＣＵは「Electronic Control Unit」の略称である。ＣＧＷは「Central Gateway」の略称である。
【００１５】
ＥＣＵ３Ａ，３Ｂ，２Ａ，２Ｂは、グローバルバス５Ａに接続されている。ＥＣＵ２Ｃ，２Ｄ，３Ｃ，３Ｄは、グローバルバス５Ｂに接続されている。ＥＣＵ３Ｅ，３Ｆ，３Ｇ，３Ｈは、グローバルバス５Ｃに接続されている。各グローバルバス５Ａ〜５Ｃには、例えば、機能的に同系統に分類されるＥＣＵが接続されている。一例を挙げれば、例えば、グローバルバス５Ａにはボデー系ＥＣＵが接続される。グローバルバス５Ｂには制御系ＥＣＵが接続される。グローバルバス５Ｃには情報系ＥＣＵが接続される。
【００１６】
グローバルバス５Ａ〜５Ｃは、ＣＧＷ４を介して相互に接続されている。これらの構成により、ＥＣＵ２Ａ〜２Ｄ，ＥＣＵ３Ａ〜３Ｈ、ＣＧＷ４及びグローバルバス５Ａ〜５Ｃは、第一ネットワーク１Ａを構成している。ＥＣＵ２Ａ〜２Ｄは、ローカルバス６に接続されている。これにより、ＥＣＵ２Ａ〜２Ｄ及びローカルバス６は、第二ネットワーク１Ｂを構成している。すなわち、ＥＣＵ２Ａ〜２Ｄは、第一ネットワーク１Ａのノードとして機能するように構成され、かつ、第二ネットワーク１Ｂのノードとしても機能するように構成されている。このように構成されたＥＣＵ２Ａ〜２Ｄが、本開示でいう電子装置に相当する。
【００１７】
第一ネットワーク１Ａ及び第二ネットワーク１Ｂでは、各ネットワークを構成するノードに対してブロードキャスト通信によってデータが伝送される。ただし、第一ネットワーク１Ａと第二ネットワーク１Ｂは、互いに独立したネットワークである。そのため、例えば、第一ネットワーク１Ａにおいてデータが伝送された場合でも、そのデータが第二ネットワーク１Ｂへと伝送されることはない。同様に、第二ネットワーク１Ｂにおいてデータが伝送された場合でも、そのデータが第一ネットワーク１Ａへと伝送されることはない。
【００１８】
ＣＧＷ４は、グローバルバス５Ａ〜５Ｃの間に介在して、いずれか一つのグローバルバスから残りのグローバルバスへデータを中継する。また、ＣＧＷ４は、外部通信路７に接続可能に構成され、外部通信路７とグローバルバス５Ａ〜５Ｃとの間でデータを中継する。これにより、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、第一ネットワーク１Ａ経由で図示しない外部機器と通信可能となっている。第二ネットワーク１Ｂには、外部通信路に接続可能なノードが設けられていない。そのため、第二ネットワーク１Ｂのノードが第二ネットワーク１Ｂ経由で外部機器と通信することはできない。
【００１９】
外部通信路７は、無線通信路及び有線通信路のうちの少なくとも一方であればよい。また、外部通信路７は、単一の機器と接続可能な通信路及び複数の機器と接続可能な通信路のうちの少なくとも一方であればよい。複数の機器と接続可能な通信路としては、例えば複数の機器がノードとして含まれる外部ネットワークに接続可能な通信路であればよい。外部通信路７は、全部が専用線で構成されていてもよいし、一部が公衆回線で構成されていてもよい。
【００２０】
本実施形態では上記三つのグローバルバス５Ａ〜５Ｃを例示してあるが、グローバルバスの数は任意である。例えば、グローバルバスの数は、二つ以下又は四つ以上であってもよい。本実施形態では上記十二個のＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈを例示してあるが、ＥＣＵの数は任意である。例えば、ＥＣＵの数は、十一個以下又は十三個以上であってもよい。本実施形態では上記ＥＣＵ２Ａ〜２Ｄがローカルバス６に接続されている例を示したが、ＥＣＵ３Ａ〜３Ｈのうちの少なくとも一つがローカルバス６に接続されていてもよい。あるいは、ＥＣＵ３Ａ〜３Ｈのうちの少なくとも一つがローカルバス６とは別のローカルバスに接続されていてもよい。
【００２１】
［ＥＣＵの構成］
次に、ＥＣＵの内部構成について説明する。以下の説明では、図２に示すＥＣＵ２Ａを例に挙げる。ただし、本実施形態において、ＥＣＵ２Ｂ，２Ｃ，２Ｄは、ＥＣＵ２Ａと同様に構成される。また、本実施形態において、ＥＣＵ３Ａ〜３Ｈは、第二ネットワーク１Ｂに接続されていない点で、ＥＣＵ２Ａとは相違するが、その他の点はＥＣＵ２Ａと同様に構成される。
【００２２】
ＥＣＵ２Ａは、図２に示すように、ＣＰＵ１１、ＲＡＭ１２、フラッシュメモリ１３、第一通信部１６及び第二通信部１７等を有する。第一通信部１６は、グローバルバス５Ａに接続するためのネットワークインターフェースである。第二通信部１７は、ローカルバス６に接続するためのネットワークインターフェースである。ＥＣＵ２Ａ〜２Ｄの各種機能は、ＣＰＵ１１が非遷移的実体的記録媒体に格納されたプログラムに従って各種処理を実行することにより実現される。この例では、フラッシュメモリ１３が、非遷移的実体的記録媒体に該当する。
【００２３】
ＣＰＵ１１がプログラムに従って各種処理を実行する際には、フラッシュメモリ１３に格納されたプログラムをＲＡＭ１２によって構成されるメインメモリにロードするように構成されていてもよい。この場合、ＣＰＵ１１は、メインメモリに格納されたプログラムに従って各種処理を実行する。ＣＰＵ１１がプログラムに従って各種処理を実行することにより、プログラムに対応する方法が実行され、ＥＣＵ２Ａ〜２Ｄが備える各種機能が実現される。ただし、ＥＣＵ２Ａ〜２Ｄが備える各種機能を実現する手法はソフトウェアに限るものではなく、機能の一部又は全部を、ディジタル回路やアナログ回路等を組み合わせたハードウェアを用いて実現してもよい。
【００２４】
ＲＡＭ１２及びフラッシュメモリ１３には、各種記憶領域が確保される。本実施形態に関連する主要な記憶領域として、フラッシュメモリ１３には、共通鍵記憶部１３Ａが確保される。共通鍵記憶部１３Ａには、後述する処理の中で、受信データに対するメッセージ認証を実行する際に使用する共通鍵が記憶されている。
【００２５】
［認証処理の概要］
第一ネットワーク１Ａのノードは、外部通信路７経由で到来するデータを受信することができる。そのため、例えば外部通信路７に接続された不正な外部機器から悪意のある不正なデータが伝送され得ることも想定して、そのような不正なデータに対して適切な対処をすることが重要となる。また、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈにおいてプログラムの改ざんが行われた場合、あるいは不正なＥＣＵへの換装が行われた場合にも、そのような不正なＥＣＵから伝送される不正なデータに対し、適切な対処をすることが重要である。
【００２６】
そこで、本実施形態のネットワークシステム１において、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、第一ネットワーク１Ａ経由でデータを受信した際に認証処理を実行し、データの正当性を確認する。本実施形態において、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、メッセージ認証によってデータの正当性を確認する。図３に示すように、第一ネットワーク１Ａにおいて伝送されるデータＤ１には、ＩＤ、送信対象データ及び暗号化データ等が含まれる。なお、データＤ１には、これら以外の制御コードやデータ等も含まれるが、本処理には関連しないので説明を省略する。
【００２７】
ＩＤは、データの種別を示す情報、データの内容を示す情報、送信元のノードを示す情報、送信先のノードを示す情報及び通信時の優先度を示す情報等、様々な情報を含み得る識別子である。送信元のノードからブロードキャスト通信によって第一ネットワーク１Ａへと送出されるデータＤ１は、第一ネットワーク１Ａにおける送信元ノード以外のノード全てにおいて受信される。データＤ１を受信したノードは、データＤ１中に含まれるＩＤに基づいて、処理対象とすべきデータか否かを判断することができる。
【００２８】
送信対象データは、送信元ノードが送信先ノードへ送信しようとしたデータの実体部分である。暗号化データは、第一ネットワーク１Ａのノードが共通に使用する共通鍵を使って、所定の暗号化方式により送信対象データを暗号化したデータである。共通鍵は、上述の共通鍵記憶部１３Ａに記憶されている。データＤ１中に含まれる暗号化データは、データＤ１を送信する送信元ノードにおいて、共通鍵を使って送信対象データを暗号化し、その暗号化済みのデータの一部を抽出したものである。暗号化済みのデータの一部を抽出するのはデータ量を削減するためである。データ量の削減が不要であれば、暗号化済みのデータの全部を暗号化データとして利用してもよい。
【００２９】
以上のようなデータＤ１を受信したノードにおいて、メッセージ認証を実施する際には、データＤ１中に含まれる送信対象データを取り出し、取り出した送信対象データを送信元ノードと同様の手順で暗号化し、その暗号化済みのデータの一部を抽出する。このようにして受信側ノードで生成される暗号化データは、送信元ノードと同じ共通鍵を使って生成されるので、通常は、データＤ１中に含まれる暗号化データと一致する。
【００３０】
しかし、送信対象データが伝送途中で改ざんされた場合やデータ化けした場合には、受信側ノードで生成される暗号化データとデータＤ１中に含まれる暗号化データとが不一致となる。あるいは、共通鍵を知らない不正なノードがデータを送信した場合には、適正な暗号化データを生成できないため、受信側ノードで生成される暗号化データとデータＤ１中に含まれる暗号化データとが不一致となる。したがって、受信側ノードでは、受信側ノードで生成される暗号化データとデータＤ１中に含まれる暗号化データが一致する場合には、認証が成立したと判断する。一方、受信側ノードで生成される暗号化データとデータＤ１中に含まれる暗号化データとが不一致となった場合には、認証に失敗したと判断する。
【００３１】
また、本実施形態のネットワークシステム１において、ＥＣＵ２Ａ〜２Ｄは、第二ネットワーク１Ｂ経由でデータを伝送することができる。ただし、第二ネットワーク１Ｂは、第一ネットワーク１Ａとは異なり、第二ネットワーク１Ｂの外部とは隔離されたネットワークとなっている。そのため、第一ネットワーク１Ａとは異なり、少なくとも第二ネットワーク１Ｂの外部から不正なデータが伝送されてくることはない。
【００３２】
そこで、ＥＣＵ２Ａ〜２Ｄは、第二ネットワーク１Ｂ経由でデータを受信した際には、第一ネットワーク１Ａの場合とは異なり、認証処理を実行しない。そのため、第二ネットワーク１Ｂにおいて伝送されるデータＤ２は、図３に示すように、ＩＤ及び送信対象データ等が含まれるものの、暗号化データは含まれないデータとされている。
【００３３】
［送信元ノードの故障判定と代行装置による代行の仕組み］
以下、ＥＣＵ２Ａが送信元ノードとなる場合を例に挙げて、ＥＣＵ２Ａ〜２Ｄにおいて実行される処理について説明する。また、以下の説明では、上述の認証処理の対象とされるデータＤ１のことを認証対象データと称する。ＥＣＵ２Ａが送信元ノードとなって、認証対象データを第一ネットワーク１Ａ経由で送信する場合、ＥＣＵ２Ｂ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈ等は、認証対象データを受信する。
【００３４】
ＥＣＵ２Ｂ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、認証対象データ中のＩＤに基づいて、自身が認証対象データの送信先とされているか否かを判断する。ＥＣＵ２Ｂ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、自身が送信先となっている場合、上述の認証処理を実行する。ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、認証に成功した場合、認証成功以降の処理において認証対象データ中に含まれる送信対象データを利用する。具体例を挙げれば、例えば、送信対象データを変数として用いた演算処理、送信対象データに基づく制御、送信対象データに応じて判断が分かれる分岐処理等が実行される。
【００３５】
一方、ＥＣＵ２Ｂ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、認証に失敗した場合には、認証対象データを利用せずに破棄するか、利用するとしても限定的な利用に留める。認証対象データを破棄するか限定的に利用するかは、認証対象データの内容、各ＥＣＵの機能や重要度等によっても変わり得る。ただし、各ＥＣＵにおいて認証に失敗した場合に、各ＥＣＵにおいて認証対象データそのものをどのように扱うかは本開示の要部ではないので、これ以上の説明は省略する。
【００３６】
ＥＣＵ２Ｂ〜２Ｄは、認証処理の実行後に、認証が成立したか否かの結果を示す認証結果データを、第二ネットワーク１Ｂ経由でＥＣＵ２Ａに対して送信する。ＥＣＵ２Ａは、認証結果データを受信し、認証結果データに基づいて判断処理を実行する。判断処理では、ＥＣＵ２Ａにおいて適正な認証対象データを作成可能か否かが判断される。本実施形態においては、ＥＣＵ２Ｂ〜２Ｄの全てにおいて認証に失敗した場合に、ＥＣＵ２Ａが適正な認証対象データを作成できなかったことに認証失敗の原因があると推定し、ＥＣＵ２Ａが適正な認証対象データを作成不能であると判断する。
【００３７】
判断処理において、ＥＣＵ２Ａが適正な認証対象データを作成不能であると判断された場合、ＥＣＵ２Ａは、ＥＣＵ２Ｂ〜２Ｄのいずれかを代行装置として、代行装置に対してデータ送信の代行を依頼する。以下、ＥＣＵ２Ａが、ＥＣＵ２Ｂを代行装置として選定した場合を例に挙げて説明を続ける。ＥＣＵ２Ｂが代行装置となる場合、ＥＣＵ２Ａは、本来であればＥＣＵ２Ａが送信すべき送信対象データを、第二ネットワーク１Ｂ経由でＥＣＵ２Ｂへと送信する。
【００３８】
ＥＣＵ２Ｂは、ＥＣＵ２Ａから受信した送信対象データに基づいて認証対象データを作成する。具体的には、ＥＣＵ２Ａから受信した送信対象データを暗号化して暗号化データを作成し、ＥＣＵ２Ａから受信した送信対象データとＥＣＵ２Ｂにおいて作成した暗号化データとを含む認証対象データを作成する。ＥＣＵ２Ｂにおいて作成された認証対象データは、ＥＣＵ２Ｂから第一ネットワーク１Ａ経由でＥＣＵ２Ｂ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈへと送信される。
【００３９】
すなわち、本来であればＥＣＵ２Ａから送信すべき認証対象データが、ＥＣＵ２Ｂから送信されることになる。したがって、例えば、ＥＣＵ２Ａにおいてデータの暗号化を実行するために必要となるハードウェア又はソフトウェアに故障等の問題が生じていたとしても、ＥＣＵ２Ｂにおいて適正な認証対象データが作成される。よって、ＥＣＵ２Ｃ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈでは、適正な認証対象データを利用することができる。
【００４０】
［ＥＣＵにおいて実行される処理の詳細］
次に、ＥＣＵ２Ａ〜２Ｄそれぞれにおいて実行される処理について、図４〜図７に示すフローチャートに基づいて説明する。送信元ノードとなるＥＣＵ２Ａでは、図４及び図５に示す処理が実行される。送信先ノード及び代行装置となるＥＣＵ２Ｂでは、図６に示す処理が実行される。送信先ノードとなるＥＣＵ２Ｃ，２Ｄでは、図７に示す処理が実行される。
【００４１】
以下の説明では、送信元ノードとなるＥＣＵ２Ａのことを送信元ＥＣＵ２Ａとも称する。また、代行装置となるＥＣＵ２Ｂのことを代行ＥＣＵ２Ｂとも称する。また、送信先ノードとなるＥＣＵ２Ｂ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈのことを送信先ＥＣＵ２Ｂ〜２Ｄ及び送信先ＥＣＵ３Ａ〜３Ｈとも称する。送信元ＥＣＵ２Ａは、本開示でいう送信元装置に相当する。代行ＥＣＵ２Ｂは、本開示でいう代行装置に相当する。送信先ＥＣＵ２Ｂ〜２Ｄは、本開示でいう送信先装置に相当する。
【００４２】
まず、ＥＣＵ２Ａにおいて実行される処理について説明する。ＥＣＵ２Ａは、図４に示すように、Ｓ１１０において、送信元ＥＣＵ２Ａの鍵状態を判定する。Ｓ１１０でいう鍵状態としては、共通鍵記憶部１３Ａから正しい共通鍵を読み取れる状態と、正しい共通鍵を読み取れない状態とを考え得る。以下の説明では、共通鍵記憶部１３Ａから正しい共通鍵を読み取れる状態にあることを、鍵状態が正常と表現する。また、共通鍵記憶部１３Ａから正しい共通鍵を読み取れない状態にあることを、鍵状態が異常と表現する。共通鍵記憶部１３Ａから正しい共通鍵を読み取れない状態にある場合、その具体的な理由としては、例えばフラッシュメモリ１３の故障や、外来ノイズ等に起因する一過性の障害など、様々な理由を考え得る。
【００４３】
Ｓ１１０において、送信元ＥＣＵ２Ａの鍵状態が正常か異常かの判定を行う際には、後から詳述するＳ２４０又はＳ２５０での判定結果が参照される。ただし、Ｓ２４０又はＳ２５０での判定が一度もなされていない場合は、ＥＣＵ２Ａの鍵状態が正常と判定すればよい。Ｓ１１０での判定の結果、送信元ＥＣＵ２Ａの鍵状態が正常であった場合は、Ｓ１２０においてＹＥＳと判断されて、Ｓ１３０へと進む。Ｓ１３０では、ＥＣＵ２Ａは、送信対象データに基づいて認証対象データを作成する。そして、ＥＣＵ２Ａは、Ｓ１４０において、グローバルバス５Ａ経由で送信先ＥＣＵ２Ｂ〜２Ｄ及び送信先ＥＣＵ３Ａ〜３Ｈへ認証対象データを送信する。Ｓ１４０を終えたら、図４に示す処理を終了する。
【００４４】
一方、Ｓ１１０での判定の結果、送信元ＥＣＵ２Ａの鍵状態が異常であった場合は、Ｓ１２０においてＮＯと判断されて、Ｓ１５０へと進む。ＥＣＵ２Ａは、Ｓ１５０において、ローカルバス６経由で代行ＥＣＵ２Ｂへ代行要求を送信する。そして、ＥＣＵ２Ａは、Ｓ１６０において、ローカルバス６経由で代行ＥＣＵ２Ｂへ送信対象データを送信する。ＥＣＵ２Ａは、Ｓ１６０を終えたら、図４に示す処理を終了する。
【００４５】
ＥＣＵ２Ａにおいて、図４に示す処理が実行されている際に、ＥＣＵ２Ｂでは、図６に示す処理が実行される。ＥＣＵ２Ｂにおいて図６に示す処理が開始されると、ＥＣＵ２Ｂは、Ｓ３１０において、代行要求があるか否かを判断する。代行要求は、上述のＳ１５０においてＥＣＵ２ＡからＥＣＵ２Ｂへと送信される要求である。代行要求がある場合は、Ｓ３１０においてＹＥＳと判断されてＳ３２０へと進む。
【００４６】
ＥＣＵ２Ｂは、Ｓ３２０において、ローカルバス６経由で送信元ＥＣＵ２Ａから送信対象データを受信する。Ｓ３２０で受信する送信対象データは、上述のＳ１６０においてＥＣＵ２ＡからＥＣＵ２Ｂへと送信されるデータである。続いて、ＥＣＵ２Ｂは、Ｓ３３０において、送信対象データに基づいて認証対象データを作成する。そして、ＥＣＵ２Ｂは、Ｓ３４０において、グローバルバス５Ａ経由で送信先ＥＣＵ２Ｃ，２Ｄへ認証対象データを送信する。Ｓ３４０を終えたら、ＥＣＵ２Ｂは、図６に示す処理を終了する。
【００４７】
一方、代行要求がない場合は、Ｓ３１０においてＮＯと判断されてＳ３５０へと進む。ＥＣＵ２Ｂは、Ｓ３５０において、グローバルバス５Ａ経由で送信元ＥＣＵ２Ａから認証対象データを受信し、認証処理を実行する。Ｓ３５０で受信する認証対象データは、上述のＳ１４０においてＥＣＵ２ＡからＥＣＵ２Ｂへと送信されるデータである。ＥＣＵ２Ｂは、認証処理を実行した結果、認証が成立すれば、認証対象データ中に含まれる送信対象データを取り出し、以降の処理又は制御で利用する。続いて、ＥＣＵ２Ｂは、Ｓ３６０において、ローカルバス６経由で送信元ＥＣＵ２Ａへ認証結果データを送信する。Ｓ３６０を終えたら、図６に示す処理を終了する。
【００４８】
ＥＣＵ２Ａにおいて、図４に示す処理が実行されている際に、ＥＣＵ２Ｃ，２Ｄでは、図７に示す処理が実行される。あるいは、ＥＣＵ２Ｂにおいて、図６に示す処理が実行されている際に、ＥＣＵ２Ｃ，２Ｄでは、図７に示す処理が実行される。ＥＣＵ２Ｃ，２Ｄにおいて図７に示す処理が開始されると、ＥＣＵ２Ｃ，２Ｄは、Ｓ４１０において、グローバルバス５Ｂ経由で送信元ＥＣＵ２Ａ又は代行ＥＣＵ２Ｂから認証対象データを受信し、認証処理を実行する。Ｓ４１０で受信する認証対象データは、上述のＳ１４０においてＥＣＵ２ＡからＥＣＵ２Ｃ，２Ｄへと送信されるデータ、又は上述のＳ３４０においてＥＣＵ２ＢからＥＣＵ２Ｃ，２Ｄへと送信されるデータである。
【００４９】
ＥＣＵ２Ｃ，２Ｄは、認証処理を実行した結果、認証が成立すれば、認証対象データ中に含まれる送信対象データを取り出し、以降の処理又は制御で利用する。続いて、ＥＣＵ２Ｃ，２Ｄは、Ｓ４２０において、ローカルバス６経由で送信元ＥＣＵ２Ａへ認証結果データを送信する。Ｓ４２０を終えたら、ＥＣＵ２Ｃ，２Ｄは、図７に示す処理を終了する。なお、本実施形態において、ＥＣＵ２Ｃ，２Ｄは、送信元ＥＣＵ２Ａ又は代行ＥＣＵ２Ｂのいずれから認証対象データを受信したのかを切り分けることはしない。そのため、認証結果データは、常にＥＣＵ２Ｃ，２ＤからＥＣＵ２Ａへと送信される。ただし、代行ＥＣＵ２Ｂが認証対象データを送信している状況下では、ＥＣＵ２Ａは認証結果データを無視する。よって、ＥＣＵ２Ｃ，２Ｄが認証結果データを送信しても、ＥＣＵ２Ａでの処理には何の影響もない。
【００５０】
ＥＣＵ２Ｂにおいて図６に示す処理が実行され、ＥＣＵ２Ｃ，２Ｄにおいて図７に示す処理が実行される際、ＥＣＵ２Ａでは、図５に示す処理が実行される。ＥＣＵ２Ａにおいて図５に示す処理が開始されると、ＥＣＵ２Ａは、Ｓ２１０において、送信元ＥＣＵ２Ａが認証対象データを送信しているか否かを判断する。ＥＣＵ２Ａが上述のＳ１４０を実行している場合、Ｓ２１０においてＹＥＳと判断されてＳ２２０へと進む。
【００５１】
ＥＣＵ２Ａは、Ｓ２２０において、ローカルバス６に接続された全ての送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄからローカルバス６経由で認証結果データを受信する。Ｓ２２０で受信する認証結果データは、上述のＳ３６０及びＳ４２０においてＥＣＵ２Ｂ，２Ｃ，２ＤからＥＣＵ２Ａへと送信されるデータである。続いて、ＥＣＵ２Ａは、Ｓ２３０において、全ての送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄにおいて認証に失敗したか否かを判断する。ここで、送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄにおける認証結果の組み合わせとしては、下記表１に挙げるような組み合わせを考え得る。
【００５２】
【表１】
2019140615.tif 000003
【００５３】
多くの場合、送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄでは認証が成立するので、この場合、送信元ＥＣＵ２Ａ及び送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄは全て正常と見なすことができる。一方、送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄのうち、いずれか一つの送信先ＥＣＵで認証が成立しない場合は、その認証が成立しない送信先ＥＣＵにおいて鍵異常等の障害が発生している可能性が高いと推定できる。
【００５４】
送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄのうち、二つの送信先ＥＣＵで認証が成立しない場合は、送信元ＥＣＵ２Ａから二つの送信先ＥＣＵに至る伝送経路上で何らかの異常が発生している可能性が高いと推定できる。なお、二つの送信先ＥＣＵにおいて同時に鍵異常等の障害が発生している可能性もあるが、複数の障害が同時に発生する確率が低いことを考慮すれば、伝送経路上で障害が発生している可能性は相応に高いと考えられる。
【００５５】
送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄの全てで認証が成立しない場合は、送信元ＥＣＵ２Ａにおいて鍵異常等の障害が発生している可能性が高いと推定できる。なお、全ての送信先ＥＣＵにおいて同時に障害が発生している可能性もあるが、複数の障害が同時に発生する確率が低いことを考慮すれば、送信元ＥＣＵ２Ａにおいて障害が発生している可能性は相応に高いと考えられる。
【００５６】
そこで、全ての送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄにおいて認証に失敗している場合に、Ｓ２３０ではＹＥＳと判断されてＳ２４０へと進む。ＥＣＵ２Ａは、Ｓ２４０において、送信元ＥＣＵ２Ａの鍵状態を異常と判定する。Ｓ２４０を終えたら、ＥＣＵ２Ａは、図５に示す処理を終了する。一方、送信先ＥＣＵ２Ｂ，２Ｃ，２Ｄのうち、少なくとも一つのＥＣＵで認証に成功している場合に、Ｓ２３０ではＮＯと判断されてＳ２５０へと進む。ＥＣＵ２Ａは、Ｓ２５０において、送信元ＥＣＵ２Ａの鍵状態を正常と判定する。Ｓ２５０を終えたら、ＥＣＵ２Ａは、図５に示す処理を終了する。Ｓ２４０又はＳ２５０での判定結果は、既に説明した通り、図４のＳ１１０において、送信元ＥＣＵ２Ａの鍵状態が正常か異常かの判定を行う際には、後から詳述するＳ２４０又はＳ２５０での判定結果が参照される。
【００５７】
［効果］
上記ネットワークシステム１によれば、送信元ＥＣＵ２Ａは、三つの送信先ＥＣＵ２Ｂ〜２Ｄから認証結果データを受信してＳ２３０〜Ｓ２５０の判断処理を実行し、送信元ＥＣＵ２Ａにおいて適正な認証対象データを作成可能か否かを判断する。そのため、送信元ＥＣＵ２Ａが故障検出のために専用の構成を内蔵していなくても、適正な認証対象データを作成可能か否かを判断することができる。したがって、送信元ＥＣＵ２Ａが適正な認証対象データを作成できないと判断された場合には、例えば送信元ＥＣＵ２Ａでは認証対象データの作成及び送信を中止する等、当該場合に対応したフェイルセーフ処理等を実行することができる。
【００５８】
また、送信元ＥＣＵ２Ａが上記判断処理を実行する際には、三つの送信先ＥＣＵ２Ｂ〜２Ｄから認証結果データを受信する。したがって、単一の送信先ＥＣＵから認証結果データを受信する場合に比べ、判断処理において信頼性の高い判断を行うことができる。また、本実施形態の場合、送信元ＥＣＵ２Ａは、三つの送信先ＥＣＵ２Ｂ〜２Ｄそれぞれから受信した認証結果データの全てが認証に失敗したことを示している場合に、送信元ＥＣＵ２Ａにおいて適正な認証対象データを作成不能と判断する。したがって、少なくとも一つの送信先ＥＣＵにおいて認証に成功している場合に、送信元ＥＣＵ２Ａには問題がないと適切に判断することができる。
【００５９】
また、本実施形態の場合、送信元ＥＣＵ２Ａにおいて適正な認証対象データを作成不能と判断された場合に、当該判断後は、代行ＥＣＵ２Ｂにおいて認証対象データを作成し、認証対象データを他の送信先ＥＣＵ２Ｃ，２Ｄへと送信する。したがって、送信元ＥＣＵ２Ａでは認証対象データの送信が中止されるにもかかわらず、送信先ＥＣＵ２Ｃ，２Ｄでは代行ＥＣＵ２Ｂから送信される認証対象データを受信して、認証対象データに応じた処理や制御を実行することができる。
【００６０】
（２）第二実施形態
次に、第二実施形態について説明する。なお、第二実施形態は、第一実施形態で例示した構成の一部を変更しただけなので、第一実施形態との相違点を中心に詳述し、第一実施形態と同様な部分に関しては、その詳細な説明を省略する。
【００６１】
［ＥＣＵにおいて実行される処理の詳細］
第一実施形態において、送信元ＥＣＵ２Ａは、図４に示す処理を実行するように構成されていたが、第二実施形態においては、送信元ＥＣＵ２Ａが、図４に示す処理の代わりに、図８に示す処理を実行するように構成されている。以下、図８に示す処理について説明する。
【００６２】
ＥＣＵ２Ａは、図８に示すように、Ｓ５１０において、送信元ＥＣＵ２Ａの鍵状態を判定する。Ｓ５１０は、図４のＳ１１０と同等な処理ステップであり、図５のＳ２４０又はＳ２５０での判定結果が参照される点も、第一実施形態と同様である。
【００６３】
Ｓ５１０での判定の結果、送信元ＥＣＵ２Ａの鍵状態が正常であった場合は、Ｓ５２０においてＹＥＳと判断されて、Ｓ５３０へと進む。Ｓ５３０では、ＥＣＵ２Ａは、送信対象データに基づいて認証対象データを作成する。そして、ＥＣＵ２Ａは、Ｓ５４０において、グローバルバス５Ａ経由で送信先ＥＣＵ２Ｂ〜２Ｄ及び送信先ＥＣＵ３Ａ〜３Ｈへ認証対象データを送信する。Ｓ５４０を終えたら、図８に示す処理を終了する。
【００６４】
一方、Ｓ５１０での判定の結果、送信元ＥＣＵ２Ａの鍵状態が異常であった場合は、Ｓ５２０においてＮＯと判断されて、Ｓ５５０へと進む。ＥＣＵ２Ａは、Ｓ５５０において、前回の鍵状態の判定から所定以上の時間が経過したか否かを判断する。Ｓ５５０では、最後にＳ２４０又はＳ２５０が実行されてから所定以上の時間（例えば１０分以上。）が経過したか否かが判断される。
【００６５】
Ｓ５５０において、前回の鍵状態の判定から所定以上の時間が経過していない場合はＮＯと判断されて、Ｓ５６０へと進む。ＥＣＵ２Ａは、Ｓ５６０において、ローカルバス６経由で代行ＥＣＵ２Ｂへ代行要求を送信する。そして、ＥＣＵ２Ａは、Ｓ５７０において、ローカルバス６経由で代行ＥＣＵ２Ｂへ送信対象データを送信する。ＥＣＵ２Ａは、Ｓ５７０を終えたら、図８に示す処理を終了する。
【００６６】
Ｓ５５０において、前回の鍵状態の判定から所定以上の時間が経過している場合はＹＥＳと判断されて、Ｓ５８０へと進む。ＥＣＵ２Ａは、Ｓ５８０において、ローカルバス６経由で代行ＥＣＵ２Ｂへ代行停止要求を送信する。これにより、代行ＥＣＵ２Ｂでは、図６のＳ３１０においてＮＯと判断されるようになり、ＥＣＵ２Ｂは、代行ＥＣＵとしての機能を停止する。Ｓ５８０を終えたらＳ５３０へと進む。
【００６７】
これにより、ＥＣＵ２Ａは、上述の通り、送信対象データに基づいて認証対象データを作成する。そして、ＥＣＵ２Ａは、Ｓ５４０において、グローバルバス５Ａ経由で送信先ＥＣＵ２Ｂ〜２Ｄ及び送信先ＥＣＵ３Ａ〜３Ｈへ認証対象データを送信する。Ｓ５４０を終えたら、図８に示す処理を終了する。Ｓ５８０を経てＳ５３０及びＳ５４０へと進んだ場合、少なくとも一回はＥＣＵ２Ａから送信先ＥＣＵ２Ｂ〜２Ｄ及び送信先ＥＣＵ３Ａ〜３Ｈへグローバルバス５Ａ経由で認証対象データが送信される。
【００６８】
この場合、送信先ＥＣＵ２Ｂ〜２Ｄから送信元ＥＣＵ２Ａへは認証結果データが伝送される。送信先ＥＣＵ２Ｂ〜２Ｄから送信元ＥＣＵ２Ａへ認証結果データが伝送された場合、ＥＣＵ２Ａは、図５に示す処理により、送信元ＥＣＵ２Ａの鍵状態を判定する。その判定の結果、鍵状態が正常であれば、図８に示す処理では、Ｓ５１０→Ｓ５２０→Ｓ５３０→Ｓ５４０の順序で処理が進行する。すなわち、ＥＣＵ２Ａは、自ら認証対象データを送信する状態に復帰する。
【００６９】
一方、図５に示す処理による判定の結果、鍵状態が異常であれば、図８に示す処理では、Ｓ５１０→Ｓ５２０→Ｓ５５０の順序で処理が進行する。そして、Ｓ５５０では、前回の鍵状態の判定から所定以上の時間が経過している場合にのみ、Ｓ５５０→Ｓ５８０→Ｓ５３０→Ｓ５４０の順序で処理が進行し、それ以外の場合はＳ５５０→Ｓ５６０→Ｓ５７０の順序で処理が進行する。したがって、鍵状態が異常な場合は、鍵状態が正常な場合に比べ、Ｓ５３０及びＳ５４０を実行する頻度が低下する。
【００７０】
［効果］
以上説明したような第二実施形態の構成であっても、第一実施形態と同様の作用、効果を奏し、送信元ＥＣＵ２Ａが故障検出のために専用の構成を内蔵していなくても、適正な認証対象データを作成可能か否かを判断することができる。したがって、送信元ＥＣＵ２Ａが適正な認証対象データを作成できないと判断された場合には、例えば送信元ＥＣＵ２Ａでは認証対象データの作成及び送信を中止する等、当該場合に対応したフェイルセーフ処理等を実行することができる。
【００７１】
また、第二実施形態の場合、送信元ＥＣＵ２Ａは、送信元ＥＣＵ２Ａにおいて適正な認証対象データを作成不能と判断された場合に、当該判断後は、Ｓ５５０によってＳ５３０及びＳ５４０の実行頻度を低下させる。これにより、認証対象データの送信頻度を第一の頻度から当該第一の頻度よりも低い第二の頻度へと低下させる。したがって、送信元ＥＣＵ２Ａにおいて適正な認証対象データを作成不能と判断された場合には、認証対象データの送信頻度が低下するので、ネットワークにかかる負荷を低減することができる。
【００７２】
また、第二実施形態の場合、上述のように認証対象データの送信頻度を低下させた後、改めて送信元ＥＣＵ２Ａにおいて適正な認証対象データを作成可能と判断された場合には、Ｓ５２０からＳ５３０へと進むことにより、認証対象データの送信頻度を第一の頻度へと復帰させる。したがって、例えば一時的な問題が原因となって認証対象データの送信頻度を低下させたとしても、その後、一時的な問題が解消すれば認証対象データの送信頻度を元通りに戻すことができる。
【００７３】
（３）他の実施形態
以上、ネットワークシステムについて、例示的な実施形態を挙げて説明したが、上述の実施形態は本開示の一態様として例示されるものにすぎない。すなわち、本開示は、上述の例示的な実施形態に限定されるものではなく、本開示の技術的思想を逸脱しない範囲内において、様々な形態で実施することができる。
【００７４】
例えば、上記実施形態では、ＥＣＵ２Ａが適正な認証対象データを作成不能となる原因として、ＥＣＵ２Ａにおいて、フラッシュメモリ１３の共通鍵記憶部１３Ａから正しい共通鍵を読み取れない、という状態にある場合を想定していたが、当該原因は一例として例示する原因にすぎない。すなわち、他の原因によってＥＣＵ２Ａが適正な認証対象データを作成不能となる場合であっても、本開示の構成を適用することが可能である。
【００７５】
また、上記実施形態では、送信元ＥＣＵ２Ａの鍵状態が異常な場合に、ＥＣＵ２Ｂに対して認証対象データの代行送信を要求するように構成してあったが、送信元ＥＣＵ２Ａが認証対象データの代行送信を要求するか否かは任意である。例えば、送信元ＥＣＵ２Ａの鍵状態が異常な場合に、送信元ＥＣＵ２Ａが、フェイルセーフ処理として、単に認証対象データの送信を中止するように構成してもよい。
【００７６】
また、上記実施形態では、ＥＣＵ２Ａが送信元ＥＣＵとして機能し、ＥＣＵ２Ｂが代行ＥＣＵとして機能する例を示したが、ＥＣＵ２Ａ〜２Ｄはいずれが送信元ＥＣＵとなってもよい。また、ＥＣＵ２Ａ〜２Ｄのうち、送信元ＥＣＵ以外のＥＣＵは、いずれが代行ＥＣＵとなってもよい。さらに、ＥＣＵ３Ａ〜３Ｈがローカルバス６に接続されていてもよく、その場合は、ＥＣＵ３Ａ〜３Ｈが送信元ＥＣＵ又は代行ＥＣＵとして機能してもよい。
【００７７】
また、上記実施形態では、メッセージ認証による認証処理を実施する例を示したが、メッセージ認証以外の方式で認証を行ってもよいし、メッセージ認証とメッセージ認証以外の方式とを併用してもよい。例えば、上記実施形態では、送信対象データと暗号化データとを伝送し、受信側において送信対象データを暗号化して、その暗号化されたデータと暗号化データとを比較して認証成立か否かを判断していたが、他の認証手順を採用することもできる。一例を挙げれば、例えば、送信対象データと暗号化データとを伝送し、受信側において暗号化データを復号して、その復号されたデータと送信対象データとを比較して認証成立か否かを判断してもよい。
【００７８】
また、上記実施形態では、単一のＣＧＷ４によって複数のグローバルバス５Ａ，５Ｂ，５Ｃを相互に接続していたが、複数のグローバルバス５Ａ，５Ｂ，５Ｃを相互に接続可能に構成されていれば、複数のゲートウェイを採用してもよい。例えば、第一のゲートウェイでグローバルバス５Ａとグローバルバス５Ｂとを接続し、第二のゲートウェイでグローバルバス５Ｂとグローバルバス５Ｃとを接続することにより、グローバルバス５Ａとグローバルバス５Ｃは、二つのゲートウェイ及びグローバルバス５Ｂを介して通信可能に構成されていてもよい。
【００７９】
以上の他、上記各実施形態における一つの構成要素によって実現していた機能を、複数の構成要素によって実現するように構成してもよい。また、複数の構成要素によって実現していた機能を一つの構成要素によって実現するように構成してもよい。また、上記各実施形態の構成の一部を省略してもよい。また、上記各実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加、置換等してもよい。なお、特許請求の範囲に記載の文言から特定される技術思想に含まれる全ての態様が本開示の実施形態に該当する。
【００８０】
また、上述したネットワークシステムの他、本開示のネットワークシステムを構成可能な電子装置、本開示のネットワークシステムを備えた車両、本開示でいう電子装置としてコンピュータを機能させるためのプログラム、このプログラムを記録した記録媒体など、種々の形態で本開示を実現することもできる。
【００８１】
（４）補足
なお、以上説明した例示的な実施形態から明らかなように、本開示のネットワークシステムは、更に以下に挙げるような構成を備えていてもよい。
【００８２】
まず、本開示のネットワークシステムにおいて、送信元装置は、判断処理を実行した際、少なくとも二つの送信先装置それぞれから受信した認証結果データの全てが、認証に失敗したことを示している場合に、送信元装置において適正な認証対象データを作成不能と判断するように構成されていてもよい（Ｓ２３０，Ｓ２４０）。
【００８３】
このように構成されたネットワークシステムによれば、少なくとも一つの送信先装置において認証に成功している場合に、送信元装置には問題がないと適切に判断することができる。
【００８４】
また、本開示のネットワークシステムにおいて、複数の電子装置のうちの少なくとも一つの電子装置（２Ｂ）は、代行装置として機能可能に構成されてもよい。この場合、送信元装置は、判断処理において、送信元装置において適正な認証対象データを作成不能と判断された場合に、当該判断後は、送信対象データを第二ネットワーク経由で代行装置へと送信するように構成されているとよい（Ｓ１５０，Ｓ１６０）。また、代行装置は、送信元装置から送信対象データを受信した場合に、送信対象データに基づいて認証対象データを作成し（Ｓ３３０）、当該認証対象データを第一ネットワーク経由で少なくとも二つの送信先装置（２Ｃ，２Ｄ）へと送信するように構成されているとよい（Ｓ３４０）。
【００８５】
このように構成されたネットワークシステムによれば、判断処理において、送信元装置において適正な認証対象データを作成不能と判断された場合に、当該判断後は、代行装置が、認証対象データを作成し、当該認証対象データを送信先装置へと送信する。したがって、送信元装置では認証対象データの送信が中止されるにもかかわらず、送信先装置では代行装置から送信される認証対象データを受信して、認証対象データに応じた処理等を実行することができる。
【００８６】
また、本開示のネットワークシステムにおいて、送信元装置は、判断処理において、送信元装置において適正な認証対象データを作成不能と判断された場合に、当該判断後は、認証対象データの送信頻度を第一の頻度から当該第一の頻度よりも低い第二の頻度へと低下させるように構成されていてもよい（Ｓ５５０−Ｓ５８０）。
【００８７】
このように構成されたネットワークシステムによれば、送信元装置において適正な認証対象データを作成不能と判断された場合に、認証対象データの送信頻度が低下する。したがって、ネットワークにかかる負荷を低減することができる。
【００８８】
また、本開示のネットワークシステムにおいて、送信元装置は、認証対象データの送信頻度を低下させた後、判断処理において、送信元装置において適正な認証対象データを作成可能と判断された場合に、当該判断後は、認証対象データの送信頻度を第一の頻度へと復帰させるように構成されていてもよい（Ｓ５１０−Ｓ５４０）。
【００８９】
このように構成されたネットワークシステムによれば、送信元装置が認証対象データの送信頻度を低下させた場合でも、その後、送信元装置において適正な認証対象データを作成可能との判断がなされれば、認証対象データの送信頻度を第一の頻度へと復帰させる。したがって、例えば一時的な問題が原因となって認証対象データの送信頻度を低下させたとしても、その後、一時的な問題が解消すれば認証対象データの送信頻度を元通りに戻すことができる。
【符号の説明】
【００９０】
１…ネットワークシステム、１Ａ…第一ネットワーク、１Ｂ…第二ネットワーク、２Ａ，２Ｂ，２Ｃ，２Ｄ，３Ａ，３Ｂ，３Ｃ，３Ｄ，３Ｅ，３Ｆ，３Ｇ，３Ｈ…ＥＣＵ、５Ａ，５Ｂ，５Ｃ…グローバルバス、６…ローカルバス、７…外部通信路、１１…ＣＰＵ、１２…ＲＡＭ、１３…フラッシュメモリ、１３Ａ…共通鍵記憶部、１６…第一通信部、１７…第二通信部。
【図１】
2019140615.tif 000004
【図２】
2019140615.tif 000005
【図３】
2019140615.tif 000006
【図４】
2019140615.tif 000007
【図５】
2019140615.tif 000008
【図６】
2019140615.tif 000009
【図７】
2019140615.tif 000010
【図８】
2019140615.tif 000011