(57)【特許請求の範囲】
【請求項１】
車載装置（３０）と通信を行うための車外装置（６０）と、
車両に搭載され、前記車外装置と前記車載装置との間で行われる通信を中継する中継装置（１０）と、
を備え、
前記車外装置は、
車両の走行距離計（２４）に表示されている走行距離情報を入力する入力手段（Ｓ２０５）と、
前記入力手段により入力された前記走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する生成手段（Ｓ２０９）と、
前記生成手段により生成された前記認証情報を前記中継装置へ送信する送信手段（Ｓ２１０）と、を備え、
前記中継装置は、
前記走行距離情報を管理する装置（２０）から前記走行距離情報を取得する取得手段（Ｓ１０７）と、
前記車外装置から送信される前記認証情報を受信する受信手段（Ｓ１１２）と、
前記受信手段により受信された前記認証情報が、前記取得手段により取得された前記走行距離情報に基づき前記演算により生成された情報であると判定した場合に、前記車外装置と前記車載装置との間で行われる特定の通信に対する規制を解除する規制解除手段（Ｓ１１５）と、を備える
ことを特徴とする通信システム。
【請求項２】
請求項１に記載の通信システムであって、
前記走行距離計は、車両のイグニッションスイッチがオンの状態において前記走行距離情報を表示する
ことを特徴とする通信システム。
【請求項３】
請求項１又は請求項２に記載の通信システムであって、
前記生成手段は、前記走行距離情報と、前記走行距離情報が同一であっても異なり得る付加情報と、に基づき、前記演算を行うことにより前記認証情報を生成する
ことを特徴とする通信システム。
【請求項４】
請求項３に記載の通信システムであって、
前記付加情報は、同一の前記走行距離情報に基づき前記認証情報を生成した回数を示す情報である
ことを特徴とする通信システム。
【請求項５】
請求項１から請求項４までのいずれか１項に記載の通信システムであって、
前記中継装置は、前記規制解除手段により前記特定の通信に対する規制が解除された後、所定の終了条件が成立したと判定した時点で、前記特定の通信を規制する規制手段（Ｓ１１９）を更に備える
ことを特徴とする通信システム。
【請求項６】
請求項５に記載の通信システムであって、
前記終了条件には、前記特定の通信の実行可能時間を制限するための条件が含まれる
ことを特徴とする通信システム。
【請求項７】
請求項５又は請求項６に記載の通信システムであって、
前記終了条件には、車両のイグニッションスイッチがオフの状態の場合に前記特定の通信を規制するための条件が含まれる
ことを特徴とする通信システム。
【請求項８】
請求項５から請求項７までのいずれか１項に記載の通信システムであって、
前記終了条件には、前記車外装置から前記特定の通信の終了が通知された後に前記特定の通信を規制するための条件が含まれる
ことを特徴とする通信システム。
【請求項９】
車両に搭載され、車外装置と車載装置との間で行われる通信を中継する中継装置であって、
車両の走行距離計に表示される走行距離情報を管理する装置から、前記走行距離情報を取得する取得手段と、
前記車外装置から認証情報を受信する受信手段と、
前記受信手段により受信された前記認証情報が、前記取得手段により取得された前記走行距離情報に基づき、あらかじめ決められた演算を行うことにより生成された情報であると判定した場合に、前記車外装置と前記車載装置との間で行われる特定の通信に対する規制を解除する規制解除手段と、
を備えることを特徴とする中継装置。
【請求項１０】
車両に搭載された中継装置を介して車載装置と通信を行うための車外装置であって、
車両の走行距離計に表示されている走行距離情報を入力する入力手段と、
前記入力手段により入力された前記走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する生成手段と、
前記生成手段により生成された前記認証情報を前記中継装置へ送信する送信手段と、
を備えることを特徴とする車外装置。
【請求項１１】
車載装置と通信を行うための車外装置と、
車両に搭載され、前記車外装置と前記車載装置との間で行われる通信を中継する中継装置と、
の間での通信方法であって、
前記車外装置が、車両の走行距離計に表示されている走行距離情報を入力する入力ステップ（Ｓ２０５）と、
前記車外装置が、前記入力ステップで入力した前記走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する生成ステップ（Ｓ２０９）と、
前記車外装置が、前記生成ステップで生成した前記認証情報を前記中継装置へ送信する送信ステップ（Ｓ２１０）と、
前記中継装置が、前記走行距離情報を管理する装置から前記走行距離情報を取得する取得ステップ（Ｓ１０７）と、
前記中継装置が、前記車外装置から受信した前記認証情報が、前記取得ステップで取得した前記走行距離情報に基づき前記演算により生成された情報であると判定した場合に、前記車外装置と前記車載装置との間で行われる特定の通信に対する規制を解除する規制解除ステップ（Ｓ１１５）と、
を備えることを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車外装置と車載装置との間で通信を行うための技術に関する。
【背景技術】
【０００２】
近年、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御装置（ＥＣＵ）の数も増加傾向にある。このため、複数のＥＣＵによってネットワーク（車内ＬＡＮ）が構築され、ＥＣＵ相互間での連携動作や情報の共有化を実現している。
【０００３】
また、車両には、外部ツール（車外装置）を接続するためのコネクタが設けられ、外部ツールをコネクタに接続してＥＣＵと通信を行うことで、車両状態の診断などを行うことができるようになっている。ただし、外部ツールを用いて実施することのできる操作には、セキュリティ関連情報の設定及び解除や、プログラムの書換処理（リプログラミング）など、正規の作業者以外の者が実施すべきでない操作も含まれている。
【０００４】
そこで、外部ツールに認証機能を持たせ、特定の操作を実施する際にはパスワードの入力を要求することで、非正規の作業者によって特定の操作が実施されることを防止する技術が提案されている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平９−２５０９７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１に記載の認証機能は、外部ツール内で完結しているものであるため、不正な外部ツールが使用された場合に対応できないという問題があった。すなわち、車両に設けられるコネクタ自体は規格化されたものであるため、コネクタの規格を満たしていれば、不正な外部ツールであっても接続して各種操作を実行することが可能である。このため、認証機能を持たない不正な外部ツールをコネクタに接続して、ネットワーク上の通信内容をモニタすることは容易であり、その通信内容からセキュリティ関連の情報が入手されたり、リプログラミングが実施されたりする可能性があった。
【０００７】
本発明は、こうした問題にかんがみてなされたものであり、不正な車外装置を用いて特定の通信が行われることを抑制するための技術を提供することを目的としている。
【課題を解決するための手段】
【０００８】
本発明の通信システムは、車載装置（３０）と通信を行うための車外装置（６０）と、車両に搭載され、車外装置と車載装置との間で行われる通信を中継する中継装置（１０）と、を備える。
【０００９】
車外装置は、入力手段（Ｓ２０５）、生成手段（Ｓ２０９）及び送信手段（Ｓ２１０）を備える。入力手段は、車両の走行距離計（２４）に表示されている走行距離情報を入力する。また、生成手段は、入力手段により入力された走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する。そして、送信手段は、生成手段により生成された認証情報を中継装置へ送信する。
【００１０】
一方、中継装置は、取得手段（Ｓ１０７）、受信手段（Ｓ１１２）及び規制解除手段（Ｓ１１５）を備える。取得手段は、走行距離情報を管理する装置（２０）から走行距離情報を取得する。また、受信手段は、車外装置から送信される認証情報を受信する。そして、規制解除手段は、受信手段により受信された認証情報が、取得手段により取得された走行距離情報に基づきあらかじめ決められた演算により生成された情報であると判定した場合に、車外装置と車載装置との間で行われる特定の通信に対する規制を解除する。
【００１１】
このような通信システムによれば、中継装置が、車外装置から送信される認証情報に基づいて、車外装置と車載装置との間で行われる特定の通信に対する規制を解除するようにしているため、不正な車外装置を用いて特定の通信が行われることを抑制することができる。特に、車両の走行距離情報に基づきあらかじめ決められた演算により認証情報が生成されるため、固定の情報に基づき認証情報が生成される構成と比較して、セキュリティ性を高くすることができる。
【００１２】
なお、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。
【図面の簡単な説明】
【００１３】
【図１】通信システムの構成を示すブロック図である。
【図２】中継処理のフローチャートである。
【図３】通信処理のフローチャートである。
【発明を実施するための形態】
【００１４】
以下、本発明が適用された実施形態について、図面を用いて説明する。
［１．全体構成］
図１に示す通信システムは、車両に搭載された車載システム１と、車載システム１を構成する電子制御装置（ＥＣＵ）と通信を行うための外部ツール（外部診断装置）６０と、を備える。
【００１５】
車載システム１は、車両の内部における各部に設置（搭載）された複数のＥＣＵとして、ゲートウェイＥＣＵ（以下「ＧＷ−ＥＣＵ」という。）１０と、メータＥＣＵ２０と、種々の機能を有する他の複数のＥＣＵ３０と、を備える。ＧＷ−ＥＣＵ１０、メータＥＣＵ２０及び他のＥＣＵ３０は、共用通信線（多重通信線）であるバス４０に接続されてネットワーク（車内ＬＡＮ）を構築し、バス４０を介してＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）プロトコルに従った相互通信を行う。
【００１６】
ＧＷ−ＥＣＵ１０は、外部ツール６０を接続するためのデータリンクコネクタ（以下、単に「コネクタ」という。）５０と、バス４０と、を中継する通信経路４１上に設置されている。つまり、車載システム１において、ＧＷ−ＥＣＵ１０は、外部ツール６０と直接通信を行い、ＥＣＵ３０は、ＧＷ−ＥＣＵ１０を介して外部ツール６０と通信を行う。換言すれば、外部ツール６０は、ＥＣＵ３０に直接接続されるのではなく、ＧＷ−ＥＣＵ１０を介して接続され、ＧＷ−ＥＣＵ１０は、外部ツール６０とＥＣＵ３０との間で行われる通信を中継する中継装置として機能する。
【００１７】
具体的には、ＧＷ−ＥＣＵ１０は、ＣＰＵ１１と、フラッシュメモリ１２と、ＬＡＮ通信部１３と、車外通信部１４と、を備える。ＣＰＵ１１は、フラッシュメモリ１２等に記憶されたプログラムに従い処理を実行する。なお、本実施形態の車載システム１では、車両のイグニッションスイッチがオフの状態でもＧＷ−ＥＣＵ１０に電源が供給され、ＣＰＵ１１が処理を実行できるように構成されている。また、ＣＰＵ１１は、車両のイグニッションスイッチがオンの状態であるかオフの状態であるかを検出可能に構成されている。
【００１８】
フラッシュメモリ１２は、電気的に記憶内容の書換えが可能な不揮発性の記憶装置である。フラッシュメモリ１２には、外部ツール６０を認証するためのワンタイムパスワードの生成に用いられる演算式が秘密情報として記憶されている。
【００１９】
ＬＡＮ通信部１３は、バス４０を介してメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。また、車外通信部１４は、通信経路４１及びコネクタ５０を介して外部ツール６０と通信を行うためのインタフェースである。
【００２０】
メータＥＣＵ２０は、車両の各車輪に取り付けられた車輪速センサから出力されるパルス信号をカウント・積算することで、車両の走行距離を算出・積算する。そして、メータＥＣＵ２０は、積算した走行距離である積算走行距離を、車両の室内においてユーザが視認できるように配置されたオドメータ表示部２４に表示する。オドメータ表示部２４は、電子表示式の表示器（例えばＬＣＤ）であり、イグニッションスイッチがオフの状態では積算走行距離が表示されず、イグニッションがオンの状態で積算走行距離が表示される。
【００２１】
具体的には、メータＥＣＵ２０は、ＣＰＵ２１と、フラッシュメモリ２２と、ＬＡＮ通信部２３と、を備える。ＣＰＵ２１は、フラッシュメモリ２２等に記憶されたプログラムに従い処理を実行する。フラッシュメモリ２２には、最新の（現時点の）積算走行距離が記憶され、車両の走行に伴い更新される。ＬＡＮ通信部２３は、バス４０を介してＧＷ−ＥＣＵ１０や他のＥＣＵ３０と通信を行うためのインタフェースである。
【００２２】
各ＥＣＵ３０は、ＣＰＵ３１と、フラッシュメモリ３２と、ＬＡＮ通信部３３と、を備える。ＣＰＵ３１は、フラッシュメモリ３２等に記憶されたプログラムに従い処理を実行する。フラッシュメモリ３２には、各種機能を実現するための処理をＣＰＵ３１に実行させるためのプログラムが記憶されている。ＬＡＮ通信部３３は、バス４０を介してＧＷ−ＥＣＵ１０やメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。
【００２３】
外部ツール６０は、コネクタ５０に接続された状態で、車両の内部に設置されたＥＣＵ３０を介した車両状態の診断、データの読み出し、ＥＣＵ３０の機能による制御部品の制御、ＥＣＵ３０に記憶されているプログラムの書換処理であるリプログラミングなどを行う機能を有した装置である。
【００２４】
具体的には、外部ツール６０は、制御部６１と、記憶部６２と、通信部６３と、操作部６４と、を備える。制御部６１は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備え、各種処理を実行する。記憶部６２には、ＧＷ−ＥＣＵ１０に記憶されている演算式と同じ演算式が秘密情報として記憶されている。通信部６３は、コネクタ５０を介してＧＷ−ＥＣＵ１０やメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。操作部６４は、各種情報をユーザが視認できるように表示するとともに、ユーザからの外部操作による情報を入力するユーザインタフェースである。なお、外部ツール６０は、汎用のパーソナルコンピュータやスマートフォン（多機能型携帯電話機）などを用いて構成してもよい。
【００２５】
［２．処理］
次に、本実施形態の通信システムで実行される処理（通信方法）について説明する。まず、ＧＷ−ＥＣＵ１０のＣＰＵ１１が実行する中継処理について、図２のフローチャートを用いて説明する。ＣＰＵ１１は、まずＳ１０１で、外部ツール６０がコネクタ５０に接続されているか否かを判定し、接続されていると判定すると（Ｓ１０１：ＹＥＳ）、処理をＳ１０２へ移行させる。なお、外部ツール６０がコネクタ５０に接続されているか否かは、例えば、接続を検出するためのセンサ等をコネクタ５０に設けて判定してもよく、また、車外通信部１４を介した信号の送受信に基づき判定してもよい。
【００２６】
Ｓ１０２で、ＣＰＵ１１は、車両のイグニッションスイッチがオンの状態であるか否かを判定し、オンの状態であると判定した場合には（Ｓ１０２：ＹＥＳ）、処理をＳ１０３へ移行させる。Ｓ１０３で、ＣＰＵ１１は、外部ツール６０から通信が終了したことの通知（後述するＳ２１５で送信される通知）を受信したか否かを判定し、その通知を受信していないと判定した場合には（Ｓ１０３：ＮＯ）、処理をＳ１０４へ移行させる。
【００２７】
Ｓ１０４で、ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信であるか否かを判定する。本実施形態では、外部ツール６０とＥＣＵ３０との間で行われる通信が、セキュリティレベルに応じて通常通信とセキュリティ通信とにあらかじめ分類されている。例えば、イモビライザ制御を行うＥＣＵ３０に記憶された認証コードが読み出されたり書き換えられたりすると、イモビライザによる盗難防止機能が無効となり車両が盗難されてしまう可能性がある。このように、高いセキュリティ性が要求される通信（換言すれば、不正な外部ツールが用いられないようにする必要性の高い通信）は、セキュリティ通信に分類される。一方、例えば通常の診断のように、低いセキュリティ性でも問題のない通信（換言すれば、不正な外部ツールが用いられないようにする必要性の低い通信）は、通常通信に分類される。
【００２８】
ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信でない（通常通信である）と判定した場合には（Ｓ１０４：ＮＯ）、処理をＳ１０５へ移行させる。そして、Ｓ１０５で、ＣＰＵ１１は、外部ツール６０とＥＣＵ３０との間で行われる通常通信を中継する通常中継処理を実行する。なお、ＣＰＵ１１は、通常中継処理を開始した後に、処理をＳ１０１へ移行させる。つまり、Ｓ１０１〜Ｓ１０５の処理が、これらの判定結果が変化しない間は繰り返され、その間は通常中継処理（通常通信）が継続される。
【００２９】
一方、ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信であると判定した場合には（Ｓ１０４：ＹＥＳ）、処理をＳ１０６へ移行させる。そして、Ｓ１０６で、ＣＰＵ１１は、セキュリティ通信の規制が解除されているか否かを判定する。なお、図２の中継処理の開始時には、セキュリティ通信が規制（禁止）されており、後述するＳ１１５でその規制が解除される。
【００３０】
ＣＰＵ１１は、セキュリティ通信の規制が解除されていない（セキュリティ通信が規制されている）と判定した場合には（Ｓ１０６：ＮＯ）、処理をＳ１０７へ移行させ、オドメータ表示部２４に表示されている最新の（現時点の）積算走行距離を、バス４０を介してメータＥＣＵ２０から取得する。
【００３１】
続いて、ＣＰＵ１１は、Ｓ１０８で、今回取得した積算走行距離が、前回取得した積算走行距離（後述するＳ１１６で記憶される値）と同じ値であるか否かを判定する。なお、前回取得した積算走行距離が記憶されていない場合には、前回と同じ値でないと判定する。
【００３２】
そして、ＣＰＵ１１は、今回取得した積算走行距離が前回と同じ値でないと判定した場合には（Ｓ１０８：ＮＯ）、処理をＳ１０９へ移行させ、同一の積算走行距離を取得した回数のカウント値（以下「回数値Ｃ１」という。）を初期値（例えば１）にリセットする。一方、ＣＰＵ１１は、今回取得した積算走行距離が前回と同じ値であると判定した場合には（Ｓ１０８：ＹＥＳ）、処理をＳ１１０へ移行させ、回数値Ｃ１をカウントアップ（１を加算）する。
【００３３】
続いて、ＣＰＵ１１は、Ｓ１１１で、最新の積算走行距離及び回数値Ｃ１をパラメータとして、フラッシュメモリ１２に記憶されている演算式に従った演算を行うことにより、ワンタイムパスワードを生成する。
【００３４】
続いて、ＣＰＵ１１は、Ｓ１１２で、外部ツール６０に対してワンタイムパスワードの送信を要求し、外部ツール６０からワンタイムパスワードを受信する。なお、前述のとおり、正規の外部ツール６０には、ＧＷ−ＥＣＵ１０に記憶されている演算式と同じ演算式が秘密情報として記憶されている。そして、後述するように、外部ツール６０では、オドメータ表示部２４に表示されている最新の積算走行距離を用いてワンタイムパスワード（ＧＷ−ＥＣＵ１０で生成したものと同じワンタイムパスワード）が生成され、ＧＷ−ＥＣＵ１０へ送信される。
【００３５】
続いて、ＣＰＵ１１は、Ｓ１１３で、外部ツール６０から受信したワンタイムパスワードと、Ｓ１１１で生成したワンタイムパスワードと、を照合する。そして、ＣＰＵ１１は、Ｓ１１４で、照合によりワンタイムパスワードが一致したか否かを判定し、その照合結果を外部ツール６０へ送信する。具体的には、ＣＰＵ１１は、ワンタイムパスワードが一致しないと判定した場合には（Ｓ１１４：ＮＯ）、セキュリティ通信の規制を解除せずに処理をＳ１０１へ移行させる。つまり、外部ツール６０が、演算式の記憶されていない不正な（非正規の）外部ツールである場合には、セキュリティ通信を行うことができない。なお、外部ツール６０からワンタイムパスワードが受信できない場合にも、ワンタイムパスワードが一致しないと判定する。
【００３６】
一方、ＣＰＵ１１は、照合の結果、ワンタイムパスワードが一致したと判定した場合には（Ｓ１１４：ＹＥＳ）、処理をＳ１１５へ移行させ、セキュリティ通信の規制を解除する。続いて、ＣＰＵ１１は、Ｓ１１６で、今回取得した積算走行距離をフラッシュメモリ１２に記憶させる。その後、ＣＰＵ１１は、処理をＳ１０１へ移行させる。
【００３７】
セキュリティ通信の規制が解除された後のＳ１０６では、ＣＰＵ１１は、セキュリティ通信の規制が解除されていると判定し（Ｓ１０６：ＹＥＳ）、処理をＳ１１７へ移行させる。Ｓ１１７で、ＣＰＵ１１は、セキュリティ通信の規制が解除された後の経過時間が制限時間内（例えば１０分以内）であるか否かを判定し、制限時間内であると判定した場合には（Ｓ１１７：ＹＥＳ）、処理をＳ１１８へ移行させる。そして、Ｓ１１８で、ＣＰＵ１１は、外部ツール６０とＥＣＵ３０との間で行われるセキュリティ通信を中継する特定中継処理を実行する。なお、ＣＰＵ１１は、特定中継処理を開始した後に、処理をＳ１０１へ移行させる。つまり、Ｓ１０１〜Ｓ１０４，Ｓ１０６，Ｓ１１７，Ｓ１１８の処理が、これらの判定結果が変化しない間は繰り返され、その間は特定中継処理（セキュリティ通信）が継続される。
【００３８】
そして、ＣＰＵ１１は、Ｓ１０２で車両のイグニッションスイッチがオンの状態でないと判定した場合や（Ｓ１０２：ＮＯ）、Ｓ１０３で外部ツール６０から通信が終了したことの通知を受信したと判定した場合に（Ｓ１０３：ＹＥＳ）、処理をＳ１１９へ移行させる。また、ＣＰＵ１１は、Ｓ１１７でセキュリティ通信の規制が解除された後の経過時間が制限時間内でない（制限時間を超えた）と判定した場合にも（Ｓ１１７：ＮＯ）、処理をＳ１１９へ移行させる。
【００３９】
Ｓ１１９で、ＣＰＵ１１は、セキュリティ通信を規制する処理を行う。具体的には、セキュリティ通信が規制されていた場合にはその規制が維持され、セキュリティ通信の規制が解除されていた場合には、その解除がリセットされ、規制状態に戻される。その後、ＣＰＵ１１は、処理をＳ１０１へ移行させる。なお、通常中継処理（通常通信）又は特定中継処理（セキュリティ通信）が継続されていた場合には、この段階で終了する。
【００４０】
次に、外部ツール６０がコネクタ５０に接続されたことを契機に、外部ツール６０の制御部６１が実行する通信処理について、図３のフローチャートを用いて説明する。制御部６１は、まずＳ２０１で、ＥＣＵ３０とセキュリティ通信を行うか否か（通常通信を行うか）を判定する。なお、外部ツール６０を用いてどのような操作が実施されるかは外部ツール６０のユーザ（作業者）によって決められることであり、Ｓ２０１では、ユーザによる操作や設定内容に基づき、ユーザが実施しようとする操作がセキュリティ通信及び通常通信のいずれに分類されるものであるかを判定する。
【００４１】
制御部６１は、セキュリティ通信を行わない（通常通信を行う）と判定した場合には（Ｓ２０１：ＮＯ）、処理をＳ２０２へ移行させ、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０と通常通信を行う。通常通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。
【００４２】
一方、制御部６１は、ＥＣＵ３０とセキュリティ通信を行うと判定した場合には（Ｓ２０１：ＹＥＳ）、処理をＳ２０３へ移行させ、セキュリティ通信の規制が解除されているか否かを判定する。
【００４３】
制御部６１は、セキュリティ通信の規制が解除されていない（セキュリティ通信が規制されている）と判定した場合には（Ｓ２０３：ＮＯ）、処理をＳ２０４へ移行させ、ＧＷ−ＥＣＵ１０からのワンタイムパスワードの送信要求を受信する。
【００４４】
続いて、制御部６１は、Ｓ２０５で、オドメータ表示部２４に表示されている最新の積算走行距離を入力する。具体的には、外部ツール６０のユーザに積算走行距離の入力操作をメッセージ表示等により促す。ユーザは、イグニッションがオンの状態でオドメータ表示部２４に表示される最新の積算走行距離を確認して、外部ツール６０に入力する。
【００４５】
続いて、制御部６１は、Ｓ２０６で、今回入力された積算走行距離が、前回入力された積算走行距離（後述するＳ２１２で記憶される値）と同じ値であるか否かを判定する。なお、前回入力された積算走行距離が記憶されていない場合には、前回と同じ値でないと判定する。
【００４６】
そして、制御部６１は、今回入力された積算走行距離が前回と同じ値でないと判定した場合には（Ｓ２０６：ＮＯ）、処理をＳ２０７へ移行させ、同一の積算走行距離を取得した回数のカウント値（以下「回数値Ｃ２」という。）を初期値（例えば１）にリセットする。一方、制御部６１は、今回入力された積算走行距離が前回と同じ値であると判定した場合には（Ｓ２０６：ＹＥＳ）、処理をＳ２０８へ移行させ、回数値Ｃ２をカウントアップ（１を加算）する。
【００４７】
続いて、制御部６１は、Ｓ２０９で、最新の積算走行距離及び回数値Ｃ２をパラメータとして、記憶部６２に記憶されている演算式に従った演算を行うことにより、ワンタイムパスワードを生成する。
【００４８】
続いて、制御部６１は、Ｓ２１０で、生成したパスワードをＧＷ−ＥＣＵ１０へ送信して照合を要求し、照合結果を受信する。そして、制御部６１は、受信した照合結果が、ワンタイムパスワードが一致しないという結果の場合には（Ｓ２１１：ＮＯ）、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。
【００４９】
一方、制御部６１は、受信した照合結果が、ワンタイムパスワードが一致するという結果の場合には（Ｓ２１１：ＹＥＳ）、処理をＳ２１２へ移行させ、今回入力された積算走行距離を記憶部６２に記憶させる。続いて、制御部６１は、Ｓ２１３で、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０とセキュリティ通信を行う。セキュリティ通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。
【００５０】
また、制御部６１は、前述したＳ２０３で、セキュリティ通信の規制が解除されていると判定した場合には（Ｓ２０３：ＹＥＳ）、処理をＳ２１４へ移行させ、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０とセキュリティ通信を行う。セキュリティ通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。
【００５１】
［３．効果］
以上説明したように、本実施形態の通信システムでは、ＧＷ−ＥＣＵ１０が、外部ツール６０から送信されるワンタイムパスワードに基づいて、外部ツール６０とＥＣＵ３０との間で行われるセキュリティ通信に対する規制を解除する。通常、ワンタイムパスワードを生成するためには、共通のキー情報が必要となるが、本実施形態では、車両の固有情報であってユーザが外部から確認することのできる情報である積算走行距離（オドメータの情報）を、キー情報として利用する。具体的には、積算走行距離に基づき、あらかじめ決められた演算式に従った演算を行うことにより、ワンタイムパスワードが生成される。積算走行距離は、車両の走行に伴い値が更新される（増加する）ため、固定の情報に基づきワンタイムパスワードを生成する場合と比較して、セキュリティ性を高めることができる。特に、積算走行距離は、単調増加し、過去と同じ値を取らないため、過去に生成されたパスワートを用いた認証を防止することができる。
【００５２】
なお、時刻を用いてワンタイムパスワードを生成することも可能ではあるが、ＧＷ−ＥＣＵ１０及び外部ツール６０のいずれもバッテリによる時刻保持が基本となるため、ワンタイムパスワードを生成する時点で正しい時刻を保持していない可能性がある。これに対し、積算走行距離は、車両が停止している状態では更新されないため、ＧＷ−ＥＣＵ１０と外部ツール６０とで共有すべき情報にずれを生じにくくすることができる。
【００５３】
したがって、本実施形態の通信システムによれば、不正な外部ツールを用いてセキュリティ通信が行われることを抑制することができる。その結果、例えば、イモビライザ制御を行うＥＣＵへの不正アクセスにより、イモビライザによる盗難防止機能を無効化するといった不正行為を抑制することができる。
【００５４】
また、オドメータ表示部２４には、車両のイグニッションスイッチがオンの状態において積算走行距離が表示される。このため、外部ツール６０でワンタイムパスワードを生成するためには、イグニッションスイッチをオンの状態にしてオドメータ表示部２４に表示された積算走行距離を確認する必要がある。したがって、イグニッションスイッチがオフの状態においても積算走行距離が表示される構成と比較して、不正なユーザによる外部ツール６０の使用を抑制することができる。
【００５５】
また、ワンタイムパスワードは、積算走行距離及び回数値に基づき生成されるため、積算走行距離が同一値の状態で複数回通信を行うような場合にも、値を毎回異ならせることができる。特に、同一の積算走行距離に基づきワンタイムパスワードを生成した回数を示す回数値を用いるため、ＧＷ−ＥＣＵ１０と外部ツール６０とで通信を行うことなく同一の回数値を共有することができる。
【００５６】
また、ＧＷ−ＥＣＵ１０（ＣＰＵ１１）は、セキュリティ通信に対する規制を解除した後、所定の終了条件が成立したと判定した時点で、セキュリティ通信を規制する。このため、正規の外部ツール６０が用いられた後、セキュリティ通信に対する規制が解除されたままの状態で、不正な外部ツールによるセキュリティ通信が行われてしまうことを抑制することができる。
【００５７】
特に、セキュリティ通信の終了条件には、セキュリティ通信の実行可能時間を制限するための条件が含まれる。このため、外部ツール６０から送信されるべき終了通知（通信が終了したことの通知）が、何らかの理由で受信できない状況においても、セキュリティ通信が規制された状態に戻すことができる。
【００５８】
また、セキュリティ通信の終了条件には、車両のイグニッションスイッチがオフの状態の場合にセキュリティ通信を規制するための条件が含まれる。つまり、イグニッションスイッチをオンの状態にすることが、セキュリティ通信の規制を解除するための１つの条件となる。このため、イグニッションスイッチの状態に関係なくセキュリティ通信の規制を解除する構成と比較して、セキュリティ性を高くすることができる。
【００５９】
また、セキュリティ通信の終了条件には、外部ツール６０からセキュリティ通信の終了が通知された後にセキュリティ通信を規制するための条件が含まれる。このため、外部ツール６０で行うべき通信が終了した時点で、セキュリティ通信が規制された状態に直ちに戻すことができる。
【００６０】
また、本実施形態の通信システムでは、外部ツール６０とＥＣＵ３０との間で行われる通信を、通常通信とセキュリティ通信とに大別し、通常通信については通信の規制を解除することなく行うことができるようにしている。このため、すべての通信について通信の規制を解除しなければならない構成と比較して、低いセキュリティ性で問題のない通信が開始されるまでの時間を短くすることができる。
【００６１】
なお、本実施形態では、ＧＷ−ＥＣＵ１０が中継装置の一例に相当し、Ｓ１０７が取得手段としての処理（取得ステップ）の一例に相当し、Ｓ１１２が受信手段としての処理の一例に相当し、Ｓ１１５が規制解除手段としての処理（規制解除ステップ）の一例に相当、Ｓ１１９が規制手段としての処理の一例に相当する。また、外部ツール６０が車外装置の一例に相当し、Ｓ２０５が入力手段としての処理（入力ステップ）の一例に相当し、Ｓ２０９が生成手段としての処理（生成ステップ）の一例に相当し、Ｓ２１０が送信手段としての処理（送信ステップ）の一例に相当する。また、メータＥＣＵ２０が走行距離情報を管理する装置の一例に相当し、オドメータ表示部２４が走行距離計の一例に相当し、積算走行距離が走行距離情報の一例に相当する。また、ワンタイムパスワードが認証情報の一例に相当し、演算式に従った演算があらかじめ決められた演算の一例に相当し、回数値が付加情報の一例に相当し、セキュリティ通信が特定の通信の一例に相当する。また、ＥＣＵ３０が車載装置の一例に相当する。
【００６２】
［４．他の実施形態］
以上、本発明の実施形態について説明したが、本発明は、上記実施形態に限定されることなく、種々の形態を採り得ることは言うまでもない。
【００６３】
上記実施形態では、ＧＷ−ＥＣＵ１０及び外部ツール６０の両方でワンタイムパスワードを生成し、これらが一致するか否かをＧＷ−ＥＣＵ１０が判定する構成を例示したが、これに限定されるものではない。例えば、ＧＷ−ＥＣＵ１０が、外部ツール６０で生成されたワンタイムパスワードに対して、外部ツール６０で用いられた演算式と逆の演算を行うことにより積算走行距離（及び回数値）を算出し、算出した値が正しいか否かを判定してもよい。
【符号の説明】
【００６４】
１…車載システム、１０…ＧＷ−ＥＣＵ、１１…ＣＰＵ、２０…メータＥＣＵ、２４…オドメータ表示部、３０…ＥＣＵ、４０…バス、５０…コネクタ、６０…外部ツール、６１…制御部
【図１】
0005664579.tif 000002
【図２】
0005664579.tif 000003
【図３】
0005664579.tif 000004