(57)【特許請求の範囲】
【請求項１】
複数の車載装置（１１）を同一の通信路（１２）に接続してなる車載ネットワーク（１０）と、前記車載装置との間でデータ通信を行うことで所定の作業を実施する外部装置（２０）とを備え、前記車載ネットワークが前記外部装置を接続するための中継装置（１４）を有する中継システムであって、
前記外部装置に接続して使用され、前記車載ネットワークを搭載する車両に対応付けられた識別コードを記憶するキー装置（４０）から前記識別コードを読み取るキー検出装置（３０）と、
前記キー検出装置の認証を行う認証装置（５０）と、
を備え、
前記外部装置は、前記認証装置を用いて前記キー検出装置の認証を行い（２６，Ｓ１１０）、該装置の認証に成功すると前記キー検出装置を介して取得した前記識別コードによる作業者の認証を前記中継装置に対して要求し（２６，Ｓ１２０〜Ｓ１４０）、該作業者の認証に成功すると、セキュリティを要する特定作業の実施を許可し（２６，Ｓ１５０〜Ｓ１６０）、
前記中継装置は、前記外部装置から認証を要求された前記識別コードが予め登録された正規のものであることを確認すると、前記特定作業の実施に関わるセキュリティ通信を許可する（１４３，Ｓ４００，Ｓ４２０〜Ｓ４５０）ことを特徴とする中継システム。
【請求項２】
複数の車載装置を同一の通信路に接続してなる車載ネットワークに接続して使用され、前記車載装置との間でデータ通信を行うことで所定の作業を実施する外部装置であって、
前記車載ネットワークへの接続に使用する第１インタフェース手段（２１）と、
車両に対応付けられた識別コードを記憶するキー装置から前記識別コードを読み取るキー検出装置の接続に使用する第２インタフェース手段（２４）と、
前記第２インタフェース手段に接続された前記キー検出装置を対象装置として、予め指定された認証装置を利用して前記対象装置の認証を行う装置認証手段（２６，Ｓ１１０）と、
前記装置認証手段により前記対象装置の認証に成功した場合、前記第１インタフェース手段に接続された前記車載ネットワークを対象システム、前記対象装置を介して取得した前記識別コードを対象コードとして、前記対象コードによる作業者の認証を前記対象システムに対して要求する作業者認証要求手段（２６，Ｓ１２０〜Ｓ１４０）と、
前記作業者認証要求手段の要求に対する前記対象システムからの応答により、前記作業者の認証に成功したことが確認されると、セキュリティを要する特定作業の実施を許可する特定作業許可手段（１４３，Ｓ４００，Ｓ４２０〜Ｓ４５０）と、
を備えることを特徴とする外部装置。
【請求項３】
前記装置認証手段は、前記キー検出装置を識別するための情報を少なくとも含んだ登録情報が前記キー検出装置毎に登録されるデータベースを用いて認証を行う認証サーバ（５０）を前記認証装置として用い、前記対象装置に関する情報である対象装置情報を前記認証サーバに提供して前記登録情報と照合させることで、該認証サーバから認証結果を取得することを特徴とする請求項２に記載の外部装置。
【請求項４】
自装置の現在位置を表す位置情報を取得する位置取得手段（２６，Ｓ２２０）を備え、
前記対象装置情報には、前記位置取得手段によって取得された位置情報が含まれ、
前記データベースの登録情報には、前記キー検出装置の使用を許可する場所の位置情報が含まれていることを特徴とする請求項３に記載の外部装置。
【請求項５】
前記位置取得手段は、前記対象システムから取得することを特徴とする請求項４に記載の外部装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の車載装置を同一の通信路に接続してなる通信ネットワークに、外部装置を接続するための中継装置を備えた中継システムに関する。
【背景技術】
【０００２】
従来、車載装置である電子制御装置（Electronic Control Unit ；以下、ＥＣＵとも称する。）の診断を行う際には、修理工場等に用意されている故障診断装置等の外部装置が利用されている。この種の故障診断装置は、通常、修理工場等に入庫した車両に備えられたコネクタに有線接続され、これにより、故障診断装置が車載ネットワーク経由でＥＣＵと通信可能になり、修理担当者が故障診断装置を直接操作することで、ＥＣＵから各種情報を取得したりＥＣＵ内のデータを更新したりする。
【０００３】
また、特許文献１には、この種の故障診断装置に修理担当者に対する認証機能を持たせることで、セキュリティを要する特定作業に関する項目を適格ではない操作者が不用意に実施することを防ぐ技術が開示されている。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開平９−２５０９７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
しかしながら、特許文献１に開示されているような従来技術では、故障診断装置側に備えられた認証機能によってセキュリティを確保することが考慮されているのみであり、ＥＣＵに対する不正なアクセスを防止するための車両側のセキュリティ対策については考慮されていない。そのため、ＥＣＵに対する不正なアクセスを目的とする外部装置が車両側のコネクタに接続され、この外部装置が車載ネットワーク経由でＥＣＵと通信可能となることで、セキュリティに関する重要な作業が不正に実施されるおそれがある。
【０００６】
例えば、外部装置によって車両盗難を防止するためのイモビライザ制御を行うＥＣＵに不正にアクセスされ、認証コードを読出されたり別の認証コードに書換えられたりするといった具合に、車両の不正利用や盗難につながる重要な情報が不正に入手されたり改竄されてしまうという問題があった。
【０００７】
本発明は、上記問題を解決するために、不正な作業者により車載ネットワークに接続された外部装置による車載装置へのアクセスを防止するための技術を提供することを目的としている。
【課題を解決するための手段】
【０００８】
請求項１に記載の中継システムでは、複数の車載装置を同一の通信路に接続してなる車載ネットワークに対して、車載装置との間でデータ通信を行うことで所定の作業を実施する外部装置が、車載ネットワークを構成する中継装置を介して接続される。
【０００９】
また、中継システムは、外部装置に接続して使用され、車載ネットワークを搭載する車両に対応付けられた識別コードを記憶するキー装置から、その識別コードを読み取るキー検出装置と、キー検出装置の認証を行う認証装置を備えている。
【００１０】
そして、外部装置は、認証装置を用いてキー検出装置の認証を行い、装置の認証に成功すると、そのキー検出装置を介して取得した識別コードによる作業者の認証を中継装置に対して要求し、その作業者の認証に成功すると、セキュリティを要する特定作業の実施を許可する。
【００１１】
一方、中継装置は、外部装置から認証を要求された識別コードが予め登録された正規のものであることを確認すると、特定作業の実施に関わるセキュリティ通信を許可する。
このように構成された本発明の中継システムでは、正規のキー検出装置を使用し、且つ正規のキー装置を所持する正規の作業者のみが、セキュリティ通信を利用する特定作業を実施することができるため、正規品ではない不正な装置により、特定作業を行う権限のない不正な作業者によって不正に特定作業が実施されてしまうことを防止することができる。
【００１２】
請求項２に記載の外部装置は、車載ネットワークへの接続に使用する第１インタフェース手段と、車両に対応付けられた識別コードを記憶するキー装置から、前記識別コードを読み取るキー検出装置を接続するための第２インタフェース手段を備えている。
【００１３】
そして、装置認証手段は、第２インタフェース手段に接続されたキー検出装置を対象装置として、その対象装置の認証を行う。装置認証手段により対象装置の認証に成功した場合、作業者認証要求手段が、第１インタフェース手段に接続された車載ネットワークを対象システム、対象装置を介して取得した識別コードを対象コードとして、対象コードによる作業者の認証を対象システムに対して要求する。作業者認証要求手段の要求に対する前記対象システムからの応答により、作業者の認証に成功したことを確認すると、特定作業許可手段が、セキュリティを要する特定作業の実施を許可する。
【００１４】
このように構成された本発明の外部装置は、請求項１に記載の中継システムを構成する外部装置として好適に用いることができる。
なお、本発明の外部装置において、装置認証手段は、例えば請求項３に記載のように、キー検出装置を識別するための情報を少なくとも含んだ登録情報がキー検出装置毎に登録されるデータベースを用いて認証を行う認証サーバを認証装置として用い、対象装置に関する情報である対象装置情報を認証サーバに提供して登録情報と照合させることにより、認証サーバから認証結果を取得するように構成されていてもよい。
【００１５】
更に、本発明の外部装置は、請求項４に記載のように、位置取得手段が、自装置の現在位置（即ち、外部装置を用いた作業を実施する場所、ひいてはキー検出装置が使用される場所）を表す位置情報を取得し、この位置情報を対象装置情報に含ませるように構成されていてもよい。但し、認証サーバが利用するデータベースの登録情報には、キー検出装置の使用が許可される場所につての位置情報が含まれているものとする。
【００１６】
この場合、盗難される等したキー検出装置が不正使用されたとしても、データベースに登録された正規の作業場所以外で使用されるのであれば、セキュリティ通信が許可されることがないため、不正に特定作業が実施されることを防止することができる。
【００１７】
なお、位置取得手段は、外部装置又はキー検出装置にＧＰＳ（Global Positioning System ）を利用して位置情報等を取得する機能（以下「ＧＰＳ機能」という）が搭載されている場合は、このＧＰＳ機能を利用するように構成されていてもよいが、請求項５に記載のように、対象システムから位置情報を取得するように構成されていてもよい。
【００１８】
つまり、車載ネットワークを介して車両に搭載されたＧＰＳ機能を利用すれば、外部装置やキー検出装置の構成を簡略化することができる。
【図面の簡単な説明】
【００２２】
【図１】第１実施形態の中継システムの全体構成を示すブロック図である。
【図２】故障診断テスタが実行するセキュリティ解除処理の内容を示すフローチャートである。
【図３】キー検出認証処理の詳細を示すフローチャートである。
【図４】ゲートウェイ側処理の処理内容を示すフローチャートである。
【図５】故障診断テスタによりセキュリティ通信を利用する特定作業を実施する際の通信の手順を示すシーケンス図である。
【図６】第２実施形態の中継システムの全体構成を示すブロック図である。
【図７】ゲートウェイ側処理の処理内容を示すフローチャートである。
【発明を実施するための形態】
【００２３】
以下に本発明の実施形態を図面と共に説明する。
［第１実施形態］
第１実施形態について説明する。
【００２４】
＜全体構成＞
本発明が適用された中継システム１は、図１に示すように、車両に搭載された車載ネットワーク１０と、車載ネットワーク１０に接続して使用され、所定の作業を実施する外部装置２０と、外部装置２０に接続して使用され、イモビキー４０に記憶されている識別コード（以下「キーＩＤコード」という）読み取るキー検出装置３０と、外部装置２０とはインターネット等の公共通信ネットワークを介して接続され、キー検出装置３０の認証を行う認証装置としての車両メーカサーバ５０とを備えている。
【００２５】
＜車載ネットワーク＞
車載ネットワーク１０は、車両の各部に設置された車載装置である複数の電子制御ユニット（ＥＣＵ）１１と、ＥＣＵ１１を相互に接続する通信路である基幹バス１２と、外部装置２０を接続するための車両側コネクタ１３と、車両側コネクタ１３から基幹バス１２に至る通信経路に設けられた中継装置であるゲートウェイＥＣＵ１４とを備えている。
【００２６】
ＥＣＵ１１の中には、イモビキー４０から読み取ったキーＩＤコードと車両に登録されている識別コード（以下「登録キーＩＤコード」という）とを照合し、両者が一致した場合にエンジンを始動させるイモビライザとしての機能を有するもの（以下「イモビＥＣＵ１１ａ」という）、及びＧＰＳ機能を有するもの（以下「ナビＥＣＵ１１ｂ」という）が少なくとも存在する。
【００２７】
ゲートウェイＥＣＵ１４は、車両側コネクタ１３に接続された外部装置２０との通信を実行するツール側通信部１４１と、基幹バス１２を介してＥＣＵ１１との通信を実行するバス側通信部１４２と、ツール側通信部１４１及びバス側通信部１４２を介して送受信される通信フレームを相互に中継する処理を実行する中継制御部１４３とを備えている。
【００２８】
ツール側通信部１４１及びバス側通信部１４２は、いずれも、ＣＡＮトランシーバやＣＡＮコントローラ等によって構成された周知のものである。
中継制御部１４３は、ＣＰＵ，ＲＯＭ，ＲＡＭ等からなる周知のマイクロコンピュータからなり、後述するゲートウェイ側処理を少なくとも実行するように構成されている。
【００２９】
なお、車載ネットワーク１０において使用される通信フレームには、外部装置２０を介して、予め定められた正規の作業者だけに許可された特定作業を実施する際に用いる指定フレームと、任意の作業者に許可された通常作業（特定作業以外の作業）を実施する際に用いる通常フレームとが存在する。但し、指定フレームと通常フレームとは、通信フレームに搭載されたデータの種類を識別するために通信フレームに付与される識別データによって区別される。また、特定作業は、例えば、イモビキーの解除／登録、ＥＣＵプログラムの書換（リプログ）、各種制御で取得される学習値の初期化、スマートキーの登録などがある。
【００３０】
以下では、指定フレームで行う通信をセキュリティ通信、通常フレームで行う通信を通常通信ともいう。
＜車両メーカサーバ＞
車両メーカサーバ５０は、車載ネットワーク１０を搭載する車両のメーカが認める正規のキー検出装置３０に関する情報を登録したデータベースを有し、公共通信ネットワーク等を介して外部装置２０から提供される情報（以下「対象装置情報」という）を、データベースに登録された情報（以下「登録情報」という）と照合することによって、対象装置情報によって特定されるキー検出装置３０の認証を行う。
【００３１】
なお、登録情報には、キー検出装置３０に付与された識別コード（以下「装置ＩＤコード」という）、キー検出装置３０の使用が許可される場所の位置情報、キー検出装置３０の有効期限に関する期限情報が少なくとも含まれている。
【００３２】
つまり、車両メーカサーバ５０は、対象装置情報に示された装置ＩＤコード，位置情報と一致する登録情報が存在し、且つ、その登録情報に関連付けられた有効情報により有効期限内であることが確認された場合は、認証に成功した旨の認証結果を返送し、それ以外の場合は、認証に失敗した旨の認証結果を返送する。
【００３３】
＜キー検出装置＞
キー検出装置３０は、イモビキー４０から識別コード（以下「キーＩＤコード」という）を読み取って外部装置２０に提供すると共に、外部装置２０からの要求に応じて、自身に付与された装置ＩＤコードを提供するように構成されている。
【００３４】
＜外部装置＞
外部装置２０は、車載ネットワーク１０の車両側コネクタ１３に接続されるツール側コネクタ２１と、ツール側コネクタ２１を介して車載ネットワーク１０を構成するＥＣＵ１１やゲートウェイＥＣＵ１４との通信を実行する車両通信部２２と、公共通信ネットワークを介して車両メーカサーバ５０との通信を実行するネットワーク通信部２３と、キー検出装置３０を接続するためのキー検出装置ＩＦ部２４と、当該外部装置２０の操作者が操作を入力したり、車両通信部２２やネットワーク通信部２３を介して取得した情報を操作者に提示したりするための入出力部２５と、入出力部２５から入力される各種指令に従って、ＥＣＵ１１との通信を利用する各種作業（通常作業，特定作業）を実施するための処理を実行する処理制御部２６とを備えている。
【００３５】
車両通信部２２は、ゲートウェイＥＣＵ１４のツール側通信部１４１やバス側通信部１４２と同様に構成されたものであり、ネットワーク通信部２３は、ＴＣＰ／ＩＰを実現するトランシーバやコントローラ等によって構成された周知のものである。
【００３６】
処理制御部２６は、ＣＰＵ，ＲＯＭ，ＲＡＭ等からなる周知のマイクロコンピュータからなり、入出力部２５を介して入力される指令に従って通常作業や特定作業を実施するための処理を実行する他、特定作業を実施する際には、セキュリティを解除して指定フレームを用いた通信（セキュリティ通信）を可能とするセキュリティ解除処理を実行する。
【００３７】
＜セキュリティ解除処理＞
ここで処理制御部２６のＣＰＵが実行するセキュリティ解除処理の内容を、図２，３に示すフローチャートに沿って説明する。
【００３８】
本処理は、ツール側コネクタ２１が車両側コネクタ１３に接続され、キー検出装置ＩＦ部２４にキー検出装置３０が接続された状態の時に、入出力部２５を介して特定作業の実施を要求する指令が入力されると起動する。
【００３９】
本処理が起動すると、まず、キー検出装置ＩＦ部２４に接続されたキー検出装置３０を認証する装置認証処理を実行する（Ｓ１１０）。
この装置認証処理では、図３に示すように、まず、キー検出装置３０から装置ＩＤコードを取得し（Ｓ２１０）、続けて現在位置の位置情報を取得する（Ｓ２２０）。ここでは、車両通信部２２を介した通常通信により、ナビＥＣＵ１１ｂに対して情報を要求することで取得する。
【００４０】
次に、Ｓ２１０で取得した装置ＩＤコード及びＳ２２０で取得した現在位置の位置情報からなる対象装置情報を、ネットワーク通信部２３を介して車両メーカサーバ５０に対して送信することにより、装置ＩＤコードで特定されるキー検出装置３０の認証を要求する（Ｓ２３０）。その後、車両メーカサーバ５０から認証結果の応答を受信するまで待機し（Ｓ２４０）、応答を受信すると本処理を終了する。
【００４１】
図２に戻り、Ｓ１１０での処理により得られた車両メーカサーバ５０からの応答により、認証に成功したか否かを判断し（Ｓ１２０）、認証に成功したのであれば、キー検出装置３０によってイモビキー４０のキーＩＤコードが取得されるまで待機する（Ｓ１３０）。キーＩＤコードが取得されると、車両通信部２２を介して車載ネットワーク１０（ゲートウェイＥＣＵ１４）に対して、取得したキーＩＤコードを送信することで、作業者の認証を要求する（Ｓ１４０）。その後、車載ネットワーク１０からの応答を受信するまで待機し、受信した応答の内容から作業者の認証に成功したか否かを判断する（Ｓ１５０）。
【００４２】
作業者の認証に成功した場合は、入出力部２５を介して特定作業の実施（即ち、セキュリティ通信）を許可する旨の報知を行い（Ｓ１６０）、予め設定された終了条件が成立するまで待機する（Ｓ１７０）。この終了条件には、特定作業の終了、入出力部２５からの終了指示の入力、車載ネットワーク１０からの終了通知の受信、一定時間の経過等があり、これらのうち一つを採用してもよいし複数を採用してもよい。
【００４３】
終了条件が成立すると、車載ネットワーク１０に対して、セキュリティ通信を終了させる旨の通知（但し、車載ネットワーク１０から終了通知を受信した場合は省略可）を行って（Ｓ１８０）、本処理を終了する。
【００４４】
一方、先のＳ１２０で装置の認証に失敗するか、又は先のＳ１５０で作業者の認証に失敗した場合は、入出力部２５を介して特定作業の実施（セキュリティ通信）を許可しない旨の報知を行って（Ｓ１９０）本処理を終了する。
【００４５】
つまり、外部装置２０に接続されたキー検出装置３０の認証に成功し、且つ、そのキー検出装置３０によって検出されたイモビキー４０から読み取ったキーＩＤコードに基づく作業者の認証に成功すると、外部装置２０は、セキュリティ通信を利用する特定作業の実施が許可された状態となる。
【００４６】
＜ゲートウェイ側処理＞
次に、ゲートウェイＥＣＵ１４の中継制御部１４３を構成するＣＰＵが実行するゲートウェイ側処理の内容を、図４に示すフローチャートに沿って説明する。なお、本処理は、イグニッションスイッチがオンされると起動し、オフされるまでの間動作し続ける。
【００４７】
本処理が起動すると、まず、セキュリティの状態を、セキュリティ通信が禁止された状態（セキュリティ設定状態）に初期化する（Ｓ３１０）。
そして、セキュリティの状態が、セキュリティ通信が許可されたが状態（セキュリティ解除状態）であるか否かを判断し（Ｓ３２０）、セキュリティ解除状態であれば、セキュリティ通信を終了させる終了条件が成立しているか否かを判断する（Ｓ３３０）。
【００４８】
終了条件が成立している場合は、セキュリティの状態をセキュリティ設定状態にすると共に、セキュリティ通信を終了させることを知らせるための終了通知を外部装置２０に送信して（Ｓ３４０）、次ステップに進む。一方、Ｓ３２０にて、セキュリティの状態がセキュリティ解除状態ではないと判断するか、又はＳ３３０にて終了条件が成立していないと判断した場合は、Ｓ３４０を実行することなく次ステップに進む。
【００４９】
次ステップでは、ツール側通信部１４１又はバス側通信部１４２のいずれかで通信フレームを受信したか否かを判断し（Ｓ３５０）、通信フレームを受信していなければＳ３２０に戻り、通信フレームを受信していれば、その受信した通信フレームはセキュリティ通信で使用される指定フレームであるか否かを判断する（Ｓ３６０）。
【００５０】
受信した通信フレームが指定フレームであれば、セキュリティの状態がセキュリティ解除状態であるか否かを判断し（Ｓ３７０）、セキュリティ解除状態であれば、その受信した指定フレームの中継を行い（Ｓ３８０）、セキュリティ解除状態でなければ、その受信した指定フレームを破棄して（Ｓ３９０）、いずれもＳ３２０に戻る。
【００５１】
先のＳ３６０にて受信した通信フレームは指定フレームではないと判断した場合、即ち、受信した通信フレームが通常フレームであった場合、その通常フレームは、作業者の認証（キーＩＤコードの照合）を要求するものであるか否かを判断し（Ｓ４００）、通常フレームが作業者の認証を要求するものでなければ、受信した通常フレームの中継を行って（Ｓ４１０）、Ｓ３２０に戻る。
【００５２】
一方、Ｓ４００にて受信した通常フレームは作業者の認証を要求するものであると判断した場合、受信した通常フレームに示されているキーＩＤコードの照合をイモビＥＣＵ１１ａに対して要求し（Ｓ４２０）、イモビＥＣＵ１１ａから得られる応答によって、外部装置２０から受信したキーＩＤコード（照合対象コード）が車両に登録されているキーＩＤコード（登録コード）と一致しているか否かを判断する（Ｓ４３０）。
【００５３】
そして、照合対象コードと登録コードとが一致していると判断した場合は、セキュリティの状態をセキュリティ解除状態に設定後（Ｓ４４０）次ステップに進み、一方、照合対象コードと登録コードとが不一致であると判断した場合は、Ｓ４４０を実行することなく、即ち、セキュリティの状態をセキュリティ設定状態に保持したまま次ステップに進む。
【００５４】
次ステップでは、Ｓ４３０での判断結果に従い、一致の場合は作業者の認証に成功した旨を、不一致の場合は作業者の認証に失敗した旨を表す作業者認証結果通知を外部装置２０に対して送信して（Ｓ４５０）、Ｓ３２０に戻る。
【００５５】
＜動作＞
外部装置２０を用いて特定作業を実施する際に、中継システム１を構成する各装置間で行われる通信の手順を、図５に示すシーケンス図に沿って説明する。但し、ツール側コネクタ２１は車両側コネクタ１３に接続され、キー検出装置ＩＦ部２４にはキー検出装置３０が接続されているものとする。
【００５６】
外部装置２０にて特定作業を実施する（セキュリティ通信を使用する）旨の指令が入力されると、外部装置２０は、キー検出装置３０に対して装置ＩＤコードを要求する。これに対して外部装置２０は、装置ＩＤコードを返送する。
【００５７】
次に、外部装置２０は、ナビＥＣＵ１１ｂに対して位置情報を要求する通信フレーム（通常フレーム）を送信する。これに対して、ナビＥＣＵ１１ｂは、車両の現在位置を示した通信フレーム（通常フレーム）を外部装置２０に対して返送する。
【００５８】
更に、外部装置２０は、キー検出装置３０から取得した装置ＩＤコード、及びナビＥＣＵ１１ｂから取得した位置情報を対象装置情報として、装置ＩＤコードにより特定されるキー検出装置３０の認証を車両メーカサーバ５０に対して要求する。これに対して、車両メーカサーバ５０は、外部装置２０に対して認証結果を返送する。
【００５９】
認証結果により、装置の認証に成功したことが確認されると、外部装置２０は、キー検出装置３０に対してキーＩＤコードを要求する。するとキー検出装置３０は、イモビキー４０が検出されるまで待機し、検出したイモビキー４０から読み取ったキーＩＤコードを外部装置２０に返送する。
【００６０】
そして、外部装置２０は、キー検出装置３０から取得したキーＩＤコードによって特定される作業者（イモビキーの所有者）の認証を要求する通信フレーム（通常フレーム）をゲートウェイＥＣＵ１４に対して送信する。これに対してゲートウェイＥＣＵ１４は、イモビＥＣＵ１１ａに対してキーＩＤコードの照合を要求し、その照合結果（作業者の認証結果）を外部装置２０に返送する。このとき、照合結果が一致（認証に成功）であれば、セキュリティ通信が可能となるようにセキュリティの状態をセキュリティ解除状態に設定する。
【００６１】
照合結果を受信した外部装置２０は、作業者認証の結果を報知し、作業者の認証に成功している場合は、セキュリティ通信を用いた特定作業の実施を許可する。
＜効果＞
以上説明したように、中継システム１において、外部装置２０は、車両メーカサーバ５０を用いてキー検出装置３０の認証を行い、装置の認証に成功すると、キー検出装置３０を介してイモビキー４０から取得したキーＩＤコードによる作業者の認証をゲートウェイＥＣＵ１４に要求し、作業者の認証にも成功した場合に限り、セキュリティ通信を使用した特定作業の実施が可能となる。
【００６２】
このように、中継システム１によれば、車両メーカサーバ５０に登録された正規のキー検出装置３０を使用し、且つ車両に登録された正規のイモビキー４０を所持する正規の作業者に対してのみ、特定作業の実施が許可されるため、正規品ではない不正なキー検出装置３０が用いられたり、特定作業を行う権限のない不正な作業者によって不正に特定作業が実施されたりすることを防止することができる。
【００６３】
また、中継システム１において、車両メーカサーバ５０のデータベースに登録される登録情報には、装置ＩＤコードの他に、キー検出装置３０の使用が許可される場所についての位置情報が含まれており、装置の認証の際には、キー検出装置３０から提供される現在位置を示す位置情報とも照合するようにされている。
【００６４】
従って、中継システム１によれば、盗難される等した正規のキー検出装置３０が不正使用されたとしても、データベースに登録された正規の作業場所以外では、セキュリティ通信が許可されないため、不正に特定作業が実施されることを防止することができる。
【００６５】
更に、登録情報には、有効期限についての情報が含まれているため、仮に、特定作業が不正に実施されるようなことがあっても、登録情報が更新されない限り、有効期限が経過した時点で、特定作業の不正実施を確実に阻止することができる。
【００６６】
＜変形例＞
本実施形態では、中継機能専用のゲートウェイＥＣＵ１４を備える例を示したが、既存のＥＣＵに中継機能を持たせたものをゲートウェイＥＣＵ１４として用いてもよい。
【００６７】
本実施形態では、キー検出装置３０の認証に使用する対象装置情報として、装置ＩＤコード及び現在位置情報を用いているが、入出力部２５を介して作業者にユーザＩＤを入力され、このユーザＩＤを装置ＩＤコードや現在位置情報と共に、或いは、これらのうち少なくとも一方の代わりに用いるようにしてもよい。
【００６８】
本実施形態では、キー検出装置３０の認証に、車両メーカサーバ５０を用いているが、車両メーカがキー検出装置３０の正規ユーザに配布するドングルを用い、外部装置２０にドングルが接続されている場合に限り、キー検出装置３０の使用が許可されるように構成してもよい。
【００６９】
本実施形態では、外部装置２０は、現在位置情報を車載ネットワーク１０のナビＥＣＵ１１ｂから取得しているが、ＧＰＳ機能を外部装置２０又はキー検出装置３０に設けることで、現在位置情報を外部装置２０内で取得したり、キー検出装置３０から取得したりするようにしてもよい。
【００７０】
本実施形態では、キー装置としてイモビキー４０を用いているが、これに限らず、スマートキーやワイヤレスキーなど、車両に登録して使用されるキーであればよい。
［第２実施形態］
次に第２実施形態について説明する。
【００７１】
＜全体構成＞
本実施形態の中継システム２は、図６に示すように、車両に搭載された車載ネットワーク６０と、車載ネットワーク６０に接続して使用され、所定の作業を実施する外部装置７０とを備えている。
【００７２】
＜車載ネットワーク＞
車載ネットワーク６０は、第１実施形態における車載ネットワーク１０とは、ゲートウェイＥＣＵ１５の構成が異なっているだけであるため、同一の構成については同一の符号を付して説明を省略し、ゲートウェイＥＣＵ１５を中心に説明する。
【００７３】
ゲートウェイＥＣＵ１５は、ゲートウェイＥＣＵ１４のツール側通信部１４１，バス側通信部１４２、中継制御部１４３と同様に構成されたツール側通信部１５１，バス側通信部１５２、中継制御部１５３に加えて外部装置７０を用いた特定作業の実施が許可された場所の位置情報を登録する許可作業位置データベース１５４を備えている。
【００７４】
＜外部装置＞
外部装置７０は、第１実施形態における外部装置２０から、ネットワーク通信部２３及びキー検出ＩＦ部２４を省略した構成を有しており、即ち、ツール側コネクタ２１、車両通信部２２、入出力部２５、処理制御部２６を備えている。
【００７５】
そして、処理制御部２６は、入出力部２５を介して入力される指令に従って通常フレームが使用される通常作業や指定フレームが使用される特定作業を実施するための処理を実行する。但し、外部装置２０の場合とは異なり、特定作業を実施する場合に、セキュリティ解除処理を実行することなく、いきなり指定フレームによる送信を開始する。
【００７６】
＜ゲートウェイ側処理＞
次に、ゲートウェイＥＣＵ１５の中継制御部１５３を構成するＣＰＵが実行するゲートウェイ側処理の内容を、図７に示すフローチャートに沿って説明する。なお、本処理は、図４に示したゲートウェイ側処理とは、Ｓ３１０〜Ｓ３６０については同様であり、それ以降の処理が異なるだけであるため、その異なる部分を中心に説明する。
【００７７】
即ち、受信した通信フレームが指定フレームではなく、通常フレームであった場合（Ｓ３６０：ＮＯ）、受信した通常フレームの中継を行って（Ｓ４１０）、Ｓ３２０に戻る。一方、受信した通信フレームが指定フレームであった場合（Ｓ３６０：ＹＥＳ）、セキュリティの状態がセキュリティ解除状態であるか否かを判断し（Ｓ３７０）、セキュリティ解除状態であれば、その受信した指定フレームの中継を行って（Ｓ３８０）、Ｓ３２０に戻る。
【００７８】
Ｓ３７０にて、セキュリティの状態がセキュリティ解錠状態ではないと判断した場合は、ナビＥＣＵ１１ｂから車両の現在位置を表す現在位置情報を取得し（Ｓ５００）、その取得した現在位置情報が許可作業位置データベース１５４の記憶された登録位置情報と一致するか否かを判断する（Ｓ５１０）。
【００７９】
現在位置情報と登録位置情報とが一致した場合は、セキュリティの状態をセキュリティ解除状態に設定し（Ｓ５２０）、受信した指定フレームの中継を行って（Ｓ３８０）、Ｓ３２０に戻る。一方、現在位置情報と登録位置情報とが一致しなかった場合は、セキュリティ状態をセキュリティ設定状態に保持したまま、受信した指定フレームを破棄して（Ｓ５３０）、Ｓ３２０に戻る。
【００８０】
＜効果＞
以上説明したように、中継システム２において、外部装置７０は、特定作業を実施する際に指定フレームを送信する。一方、この指定フレームを受信したゲートウェイＥＣＵ１５は、車両の現在位置情報をナビＥＣＵ１１ｂから取得し、その現在位置情報が許可作業位置データベース１５４に記憶された登録位置情報と一致した場合に、受信した指定フレームを中継すると共に、終了条件が成立するまでの間、指定フレームを使用したセキュリティ通信（即ち、特定作業の実施）を許可するようにされている。
【００８１】
従って、中継システム２によれば、許可作業位置データベース１５４に登録された正規の作業場所以外では、セキュリティ通信が許可されないため、不正に特定作業が実施されることを防止することができる。
【００８２】
＜変形例＞
本実施形態では、セキュリティ通信を許可するか否かの判断に、現在位置情報だけで判断するようにされているが、第１実施形態の場合と同様に、外部装置７０から、キー検出装置３０を介して取得したキーＩＤコードや、入出力部２５を介して入力されたユーザＩＤなどを送信させ、現在位置情報に加えて、外部装置７０から受信したキーＩＤコードやユーザＩＤを照合することによって判断するようにしてもよい。更に、キー検出装置３０を使用する場合は、第１実施形態の場合と同様に、車両メーカサーバ５０やドングルを用いてキー検出装置３０の認証を行うようにしてもよい。
【００８３】
本実施形態では、ゲートウェイＥＣＵ１５は、現在位置情報を車載ネットワーク１０のナビＥＣＵ１１ｂから取得しているが、ＧＰＳ機能を外部装置７０又は外部装置７０に接続する装置（キー検出装置３０等）に設けることで、外部装置７０から送信させるようにしてもよい。
【００８４】
［他の実施形態］
以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において様々な態様にて実施することが可能である。
【００８５】
例えば、上記実施形態では、ナビＥＣＵ１１ｂ（又は外部装置２０やキー検出装置３０）が有するＧＰＳ機能を利用して現在位置情報を取得するものを例示したが、例えば、車載データ通信モジュール（ＤＣＭ：Data Communication Module ）や携帯電話等を利用して、現在位置情報を取得するようにしてもよい。
【符号の説明】
【００８６】
１，２…中継システム  １０，６０…車載ネットワーク  １１…電子制御装置（ＥＣＵ）  １２…基幹バス  １３…車両側コネクタ  １４，１５…ゲートウェイＥＣＵ  ２０，６０…外部装置  ２１…ツール側コネクタ  ２２…車両通信部  ２３…ネットワーク通信部  ２４…キー検出装置ＩＦ部  ２５…入出力部  ２６…処理制御部  ３０…キー検出装置  ４０…イモビキー  ５０…車両メーカサーバ  ７０…外部装置  １４１，１５１…ツール側通信部  １４２，１５２…バス側通信部  １４３，１５３…中継制御部  １５４…許可作業位置データベース
【図１】
0005678907.tif 000002
【図２】
0005678907.tif 000003
【図３】
0005678907.tif 000004
【図４】
0005678907.tif 000005
【図５】
0005678907.tif 000006
【図６】
0005678907.tif 000007
【図７】
0005678907.tif 000008