(57)【特許請求の範囲】
【請求項１】
車載装置（２０）と通信を行うための車外装置（５０）と、
車両に搭載され、前記車外装置と前記車載装置との間で行われる通信を中継する中継装置（１０）と、
を備え、
前記中継装置は、
プログラムに従い処理を実行する実行手段（１１）と、
前記車外装置と前記車載装置との間で行われる通信を中継する中継処理を前記実行手段に実行させるための通信プログラム（１２０）を記憶する車載記憶手段（１２）と、を備え、
前記通信プログラムには、前記車外装置と前記車載装置との間で行われる特定の通信を中継する特定中継処理を前記実行手段に実行させるための特定通信プログラム（１２１）が含まれ、
前記車載記憶手段は、前記特定通信プログラムを、前記特定中継処理の実行に必要な部分が欠落した状態で記憶し、
前記車外装置は、
前記車載記憶手段に記憶された前記特定通信プログラムの欠落部分を補う補完プログラム（５２０）を記憶する車外記憶手段（５２）と、
前記補完プログラムを前記中継装置へ送信する送信手段（５３）と、を備え、
前記実行手段は、前記車外装置から受信した前記補完プログラムにより前記欠落部分が補われた前記特定通信プログラムに従い、前記特定中継処理を実行する
ことを特徴とする通信システム。
【請求項２】
請求項１に記載の通信システムであって、
前記実行手段は、前記特定中継処理の実行を開始した後、所定の終了条件が成立したと判定した時点で、前記特定通信プログラムを前記欠落部分が補われる前の状態に戻すための処理を行う
ことを特徴とする通信システム。
【請求項３】
請求項２に記載の通信システムであって、
前記終了条件には、前記特定中継処理の実行可能時間を制限するための条件が含まれる
ことを特徴とする通信システム。
【請求項４】
請求項２又は請求項３に記載の通信システムであって、
前記終了条件には、車両のイグニッションスイッチがオフ状態の場合に前記特定中継処理を禁止するための条件が含まれる
ことを特徴とする通信システム。
【請求項５】
請求項２から請求項４までのいずれか１項に記載の通信システムであって、
前記終了条件には、前記車外装置から前記特定の通信の終了が通知された後に前記特定中継処理を禁止するための条件が含まれる
ことを特徴とする通信システム。
【請求項６】
請求項１から請求項５までのいずれか１項に記載の通信システムであって、
前記車外記憶手段は、前記補完プログラムを暗号化した状態で記憶する
ことを特徴とする通信システム。
【請求項７】
車両に搭載され、車外装置と車載装置との間で行われる通信を中継する中継装置であって、
プログラムに従い処理を実行する実行手段と、
前記車外装置と前記車載装置との間で行われる通信を中継する中継処理を前記実行手段に実行させるための通信プログラムを記憶する車載記憶手段と、
を備え、
前記通信プログラムには、前記車外装置と前記車載装置との間で行われる特定の通信を中継する特定中継処理を前記実行手段に実行させるための特定通信プログラムが含まれ、
前記車載記憶手段は、前記特定通信プログラムを、前記特定中継処理の実行に必要な部分が欠落した状態で記憶し、
前記実行手段は、
前記車載記憶手段に記憶された前記特定通信プログラムの欠落部分を補うために前記車外装置に記憶された補完プログラムを前記車外装置から受信し、前記補完プログラムにより前記欠落部分が補われた前記特定通信プログラムに従い、前記特定中継処理を実行する
ことを特徴とする中継装置。
【請求項８】
車両に搭載された中継装置を介して車載装置と通信を行うための車外装置であって、
前記中継装置へデータを送信する送信手段を備え、
前記中継装置は、
プログラムに従い処理を実行する実行手段と、
前記車外装置と前記車載装置との間で行われる通信を中継する中継処理を前記実行手段に実行させるための通信プログラムを記憶する車載記憶手段と、を備え、
前記通信プログラムには、前記車外装置と前記車載装置との間で行われる特定の通信を中継する特定中継処理を前記実行手段に実行させるための特定通信プログラムが含まれ、
前記車載記憶手段は、前記特定通信プログラムを、前記特定中継処理の実行に必要な部分が欠落した状態で記憶し、
前記車外装置は、前記特定通信プログラムの欠落部分を補う補完プログラムを記憶する車外記憶手段を備え、
前記送信手段は、前記補完プログラムを前記中継装置へ送信し、前記補完プログラムにより前記欠落部分が補われた前記特定通信プログラムに従った前記特定中継処理を、前記実行手段に実行させる
ことを特徴とする車外装置。
【請求項９】
車載装置と通信を行うための車外装置と、
車両に搭載され、前記車外装置と前記車載装置との間で行われる通信を中継する中継装置と、
の間での通信方法であって、
前記車外装置が、前記車外装置と前記車載装置との間で行われる通信を中継する中継処理を前記中継装置に実行させるために前記中継装置に記憶された通信プログラムに含まれ、前記車外装置と前記車載装置との間で行われる特定の通信を中継する特定中継処理を前記中継装置に実行させるための特定通信プログラムであって、前記特定中継処理の実行に必要な部分が欠落した状態で前記中継装置に記憶された前記特定通信プログラム、の欠落部分を補うために前記車外装置に記憶された補完プログラムを、前記中継装置へ送信する送信ステップ（Ｓ２０４）と、
前記中継装置が、前記車外装置から受信した前記補完プログラムを用いて、前記特定通信プログラムの前記欠落部分を補う補完ステップ（Ｓ１１０）と、
前記中継装置が、前記補完ステップで前記欠落部分が補われた前記特定通信プログラムに従い、前記特定中継処理を実行する実行ステップ（Ｓ１１２）と、
を備えることを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車外装置と車載装置との間で通信を行うための技術に関する。
【背景技術】
【０００２】
近年、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御装置（ＥＣＵ）の数も増加傾向にある。このため、複数のＥＣＵによってネットワーク（車内ＬＡＮ）が構築され、ＥＣＵ相互間での連携動作や情報の共有化を実現している。
【０００３】
また、車両には、外部ツール（車外装置）を接続するためのコネクタが設けられ、外部ツールをコネクタに接続してＥＣＵと通信を行うことで、車両状態の診断などを行うことができるようになっている。ただし、外部ツールを用いて実施することのできる操作には、セキュリティ関連情報の設定及び解除や、プログラムの書換処理（リプログラミング）など、正規の作業者以外の者が実施すべきでない操作も含まれている。
【０００４】
そこで、外部ツールに認証機能を持たせ、特定の操作を実施する際にはパスワードの入力を要求することで、非正規の作業者によって特定の操作が実施されることを防止する技術が提案されている（特許文献１参照）。
【先行技術文献】
【特許文献】
【０００５】
【特許文献１】特開平９−２５０９７０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００６】
しかしながら、特許文献１に記載の認証機能は、外部ツール内で完結しているものであるため、不正な外部ツールが使用された場合に対応できないという問題があった。すなわち、車両に設けられるコネクタ自体は規格化されたものであるため、コネクタの規格を満たしていれば、不正な外部ツールであっても接続して各種操作を実行することが可能である。このため、認証機能を持たない不正な外部ツールをコネクタに接続して、ネットワーク上の通信内容をモニタすることは容易であり、その通信内容からセキュリティ関連の情報が入手されたり、リプログラミングが実施されたりする可能性があった。
【０００７】
本発明は、こうした問題にかんがみてなされたものであり、不正な車外装置を用いて特定の通信が行われることを抑制するための技術を提供することを目的としている。
【課題を解決するための手段】
【０００８】
本発明の通信システムは、車載装置（２０）と通信を行うための車外装置（５０）と、車両に搭載され、車外装置と車載装置との間で行われる通信を中継する中継装置（１０）と、を備える。中継装置は、実行手段（１１）及び車載記憶手段（１２）を備える。実行手段は、プログラムに従い処理を実行する。また、車載記憶手段は、車外装置と車載装置との間で行われる特定の通信を中継する特定中継処理を実行手段に実行させるための通信プログラム（１２１）を、特定中継処理の実行に必要な部分が欠落した状態で記憶する。一方、車外装置は、送信手段（５３）を備える。送信手段は、車載記憶手段に記憶された通信プログラムの欠落部分を補う補完プログラム（５２０）を、中継装置へ送信する。そして、中継装置の実行手段は、車外装置から受信した補完プログラムにより欠落部分が補われた通信プログラムに従い、特定中継処理を実行する。
【０００９】
中継装置に記憶されている通信プログラムは、特定中継処理の実行に必要な部分が欠落した状態のものであり、中継装置は、車外装置から補完プログラムを受信することで、特定中継処理を実行可能な状態となる。つまり、車外装置は、中継装置に対して補完プログラムを送信しなければ、車載装置と特定の通信を行うことができない。このため、不正な車外装置を用いて特定の通信が行われてしまうことを抑制することができる。特に、本発明の通信システムでは、補完プログラムを取得していない状態の中継装置は、特定中継処理の実行が可能な状態でそれを禁止するのではなく、特定処理の実行が不可能な状態となっている。したがって、この通信システムによれば、パスワードなどによる認証結果に応じて中継装置が特定中継処理を許可するような構成と比較して、特定の通信が不正に行われてしまうことを抑制する効果を高くすることができる。
【００１０】
なお、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。
【図面の簡単な説明】
【００１１】
【図１】通信システムの構成を示すブロック図である。
【図２】中継処理のフローチャートである。
【図３】通信処理のフローチャートである。
【発明を実施するための形態】
【００１２】
以下、本発明が適用された実施形態について、図面を用いて説明する。
［１．全体構成］
図１に示す通信システムは、車両に搭載された車載システム１と、車載システム１を構成する電子制御装置（ＥＣＵ）と通信を行うための外部ツール（外部診断装置）５０と、を備える。
【００１３】
車載システム１は、車両の内部における各部に設置（搭載）された複数のＥＣＵとして、ゲートウェイＥＣＵ（以下「ＧＷ−ＥＣＵ」という。）１０と、種々の機能を有する他の複数のＥＣＵ２０と、を備える。ＧＷ−ＥＣＵ１０及び他のＥＣＵ２０は、共用通信線（多重通信線）であるバス３０に接続されてネットワーク（車内ＬＡＮ）を構築し、バス３０を介してＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）プロトコルに従った相互通信を行う。
【００１４】
ＧＷ−ＥＣＵ１０は、外部ツール５０を接続するためのデータリンクコネクタ（以下、単に「コネクタ」という。）４０と、バス３０と、を中継する通信経路３１上に設置されている。つまり、車載システム１において、ＧＷ−ＥＣＵ１０は、外部ツール５０と直接通信を行い、ＥＣＵ２０は、ＧＷ−ＥＣＵ１０を介して外部ツール５０と通信を行う。換言すれば、外部ツール５０は、ＥＣＵ２０に直接接続されるのではなく、ＧＷ−ＥＣＵ１０を介して接続され、ＧＷ−ＥＣＵ１０は、外部ツール５０とＥＣＵ２０との間で行われる通信を中継する中継装置として機能する。
【００１５】
具体的には、ＧＷ−ＥＣＵ１０は、ＣＰＵ１１と、フラッシュメモリ１２と、ＬＡＮ通信部１３と、車外通信部１４と、を備える。ＣＰＵ１１は、フラッシュメモリ１２等に記憶されたプログラムに従い処理を実行する。なお、本実施形態の車載システム１では、車両のイグニッションスイッチがオフ状態でもＧＷ−ＥＣＵ１０に電源が供給され、ＣＰＵ１１が処理を実行できるように構成されている。また、ＣＰＵ１１は、車両のイグニッションスイッチがオン状態であるかオフ状態であるかを検出可能に構成されている。
【００１６】
フラッシュメモリ１２は、電気的に記憶内容の書換えが可能な不揮発性の記憶装置である。フラッシュメモリ１２には、外部ツール５０とＥＣＵ２０との間で行われる通信を中継する中継処理をＣＰＵ１１に実行させるためのプログラムである通信用アプリケーション（以下、単に「通信用アプリ」という。）１２０が記憶されている。通信用アプリ１２０には、外部ツール５０とＥＣＵ２０との間で行われるセキュリティ通信を中継する特定中継処理をＣＰＵ１１に実行させるためのプログラムであるセキュリティ通信専用のアプリケーション（以下「セキュリティ通信専用アプリ」という。）１２１が含まれている。ただし、セキュリティ通信専用アプリ１２１は、特定中継処理の実行に必要な部分（後述する補完アプリ５２０に対応する部分）が欠落した不完全な状態で記憶されている。
【００１７】
ＬＡＮ通信部１３は、バス３０を介して他のＥＣＵ２０と通信を行うためのインタフェースである。また、車外通信部１４は、通信経路３１及びコネクタ４０を介して外部ツール５０と通信を行うためのインタフェースである。
【００１８】
各ＥＣＵ２０は、ＣＰＵ２１と、フラッシュメモリ２２と、ＬＡＮ通信部２３と、を備える。ＣＰＵ２１は、フラッシュメモリ２２等に記憶されたプログラムに従い処理を実行する。フラッシュメモリ２２には、各種機能を実現するための処理をＣＰＵ２１に実行させるためのプログラムが記憶されている。ＬＡＮ通信部２３は、バス３０を介してＧＷ−ＥＣＵ１０や他のＥＣＵ２０と通信を行うためのインタフェースである。
【００１９】
外部ツール５０は、コネクタ４０に接続された状態で、車両の内部に設置されたＥＣＵ２０を介した車両状態の診断、データの読み出し、ＥＣＵ２０の機能による制御部品の制御、ＧＷ−ＥＣＵ１０やＥＣＵ２０に記憶されているプログラムの書換処理であるリプログラミング（以下、単に「リプロ」という。）などを行う機能を有した装置である。
【００２０】
具体的には、外部ツール５０は、制御部５１と、記憶部５２と、通信部５３と、を備える。制御部５１は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備え、各種処理を実行する。記憶部５２には、ＧＷ−ＥＣＵ１０に記憶されている不完全な状態のセキュリティ通信専用アプリ１２１の欠落部分を補う補完アプリ５２０が、暗号化された状態で記憶されている。つまり、外部ツール５０とＥＣＵ２０との間で行われるセキュリティ通信を中継するためのアプリケーションが、ＧＷ−ＥＣＵ１０と外部ツール５０とに分離して保存されている。通信部５３は、コネクタ４０を介してＧＷ−ＥＣＵ１０やＥＣＵ２０と通信を行うためのインタフェースである。なお、外部ツール５０は、汎用のパーソナルコンピュータやスマートフォン（多機能型携帯電話機）などを用いて構成してもよい。
【００２１】
［２．処理］
次に、本実施形態の通信システムで実行される処理（通信方法）について説明する。まず、ＧＷ−ＥＣＵ１０のＣＰＵ１１が実行する中継処理について、図２のフローチャートを用いて説明する。ＣＰＵ１１は、まずＳ１０１で、外部ツール５０がコネクタ４０に接続されているか否かを判定し、接続されていると判定すると（Ｓ１０１：ＹＥＳ）、処理をＳ１０２へ移行させる。なお、外部ツール５０がコネクタ４０に接続されているか否かは、例えば、接続を検出するためのセンサ等をコネクタ４０に設けて判定してもよく、また、車外通信部１４を介した信号の送受信に基づき判定してもよい。
【００２２】
Ｓ１０２で、ＣＰＵ１１は、車両のイグニッションスイッチがオン状態であるか否かを判定し、オン状態であると判定した場合には（Ｓ１０２：ＹＥＳ）、処理をＳ１０３へ移行させる。Ｓ１０３で、ＣＰＵ１１は、外部ツール５０から通信が終了したことの通知（後述するＳ２０６で送信される通知）を受信したか否かを判定し、その通知を受信していないと判定した場合には（Ｓ１０３：ＮＯ）、処理をＳ１０４へ移行させる。
【００２３】
Ｓ１０４で、ＣＰＵ１１は、外部ツール５０の要求する通信がセキュリティ通信であるか否かを判定する。本実施形態では、外部ツール５０とＥＣＵ２０との間で行われる通信が、セキュリティレベルに応じて通常通信とセキュリティ通信とにあらかじめ分類されている。例えば、イモビライザ制御を行うＥＣＵ２０に記憶された認証コードが読み出されたり書き換えられたりすると、イモビライザによる盗難防止機能が無効となり車両が盗難されてしまう可能性がある。このように、高いセキュリティ性が要求される通信（換言すれば、不正な外部ツールが用いられないようにする必要性の高い通信）は、セキュリティ通信に分類される。一方、例えば通常の診断のように、低いセキュリティ性でも問題のない通信（換言すれば、不正な外部ツールが用いられないようにする必要性の低い通信）は、通常通信に分類される。
【００２４】
ＣＰＵ１１は、外部ツール５０の要求する通信がセキュリティ通信でない（通常通信である）と判定した場合には（Ｓ１０４：ＮＯ）、処理をＳ１０５へ移行させる。そして、Ｓ１０５で、ＣＰＵ１１は、外部ツール５０とＥＣＵ２０との間で行われる通常通信を中継する通常中継処理を実行する。この通常中継処理には、セキュリティ通信専用アプリ１２１は不要である。なお、ＣＰＵ１１は、通常中継処理を開始した後に、処理をＳ１０１へ移行させる。つまり、Ｓ１０１〜Ｓ１０５の処理が、これらの判定結果が変化しない間は繰り返され、その間は通常中継処理（通常通信）が継続される。
【００２５】
そして、ＣＰＵ１１は、Ｓ１０２で車両のイグニッションスイッチがオン状態でないと判定した場合や（Ｓ１０２：ＮＯ）、Ｓ１０３で外部ツール５０から通信が終了したことの通知を受信したと判定した場合に（Ｓ１０３：ＹＥＳ）、処理をＳ１０６へ移行させる。
【００２６】
Ｓ１０６で、ＣＰＵ１１は、通信用アプリ１２０がリプロを実施された状態であるか否かを判定する。通信用アプリ１２０のリプロは、後述するように、セキュリティ通信を行う場合に実施され、通常通信を行う場合には実施されない。ＣＰＵ１１は、通信用アプリ１２０がリプロを実施された状態でないと判定すると（Ｓ１０６：ＮＯ）、そのまま処理をＳ１０１へ移行させる。なお、この段階で、通常中継処理（通常通信）が終了する。
【００２７】
一方、ＣＰＵ１１は、外部ツール５０の要求する通信がセキュリティ通信であると判定した場合には（Ｓ１０４：ＹＥＳ）、処理をＳ１０７へ移行させる。そして、Ｓ１０７で、ＣＰＵ１１は、通信用アプリ１２０がリプロを実施された状態であるか否かを判定する。
【００２８】
ＣＰＵ１１は、通信用アプリ１２０がリプロを実施された状態でないと判定した場合には（Ｓ１０７：ＮＯ）、処理をＳ１０８に移行させ、通信用アプリ１２０のリプロを外部ツール５０に要求する。ここで、通信用アプリ１２０のリプロとは、不完全な状態のセキュリティ通信専用アプリ１２１の欠落部分を補い、完全な状態にするためのプログラムの書換処理である。つまり、通信用アプリ１２０のリプロの要求とは、換言すれば、補完アプリ５２０の送信要求である。
【００２９】
続いて、ＣＰＵ１１は、Ｓ１０９で、通信用アプリ１２０のリプロが可能であるか否かを判定する。具体的には、外部ツール５０から補完アプリ５２０が送信されない場合には、通信用アプリ１２０のリプロが可能でないと判定して（Ｓ１０９：ＮＯ）、処理をＳ１０１へ移行させる。つまり、外部ツール５０が、補完アプリ５２０を有していない不正な（非正規の）外部ツールである場合には、セキュリティ通信を行うことができない。
【００３０】
一方、ＣＰＵ１１は、外部ツール５０から補完アプリ５２０が送信された場合には、通信用アプリ１２０のリプロが可能であると判定して（Ｓ１０９：ＹＥＳ）、処理をＳ１１０へ移行させて、通信用アプリ１２０のリプロを実施する。具体的には、外部ツール５０から受信した補完アプリ５２０を用いて、不完全な状態のセキュリティ通信専用アプリ１２１の欠落部分を補い、完全な状態のセキュリティ通信専用アプリ１２１を構成する。本実施形態では、補完アプリ５２０が暗号化されたままの状態で外部ツール５０からＧＷ−ＥＣＵ１０へ送信される。このため、ＣＰＵ１１は、外部ツール５０から受信した補完アプリ５２０を復号した後、通信用アプリ１２０のリプロを実施する。その後、ＣＰＵ１１は、処理をＳ１０１へ移行させる。
【００３１】
通信用アプリ１２０のリプロが実施された後のＳ１０７では、ＣＰＵ１１は、通信用アプリ１２０がリプロを実施された状態であると判定し（Ｓ１０７：ＹＥＳ）、処理をＳ１１１に移行させる。Ｓ１１１で、ＣＰＵ１１は、リプロが実施された後の経過時間が制限時間内（例えば１０分以内）であるか否かを判定し、制限時間内であると判定した場合には（Ｓ１１１：ＹＥＳ）、処理をＳ１１２へ移行させる。そして、Ｓ１１２で、ＣＰＵ１１は、外部ツール５０とＥＣＵ２０との間で行われるセキュリティ通信を中継する特定中継処理を実行する。セキュリティ通信専用アプリ１２１は、この特定中継処理をＣＰＵ１１に実行させるためのプログラムである。なお、ＣＰＵ１１は、特定中継処理を開始した後に、処理をＳ１０１へ移行させる。つまり、Ｓ１０１〜Ｓ１０４，Ｓ１０７，Ｓ１１１，Ｓ１１２の処理が、これらの判定結果が変化しない間は繰り返され、その間は特定中継処理（セキュリティ通信）が継続される。
【００３２】
そして、ＣＰＵ１１は、Ｓ１０２で車両のイグニッションスイッチがオン状態でないと判定した場合や（Ｓ１０２：ＮＯ）、Ｓ１０３で外部ツール５０から通信が終了したことの通知を受信したと判定した場合に（Ｓ１０３：ＹＥＳ）、処理をＳ１０６へ移行させる。Ｓ１０６で、ＣＰＵ１１は、通信用アプリ１２０がリプロを実施された状態であるか否かを判定し、リプロを実施された状態であると判定すると（Ｓ１０６：ＹＥＳ）、処理をＳ１１３へ移行させる。
【００３３】
また、ＣＰＵ１１は、Ｓ１１１でリプロが実施された後の経過時間が制限時間内でない（制限時間を超えた）と判定した場合にも（Ｓ１１１：ＮＯ）、処理をＳ１１３へ移行させる。
【００３４】
Ｓ１１３で、ＣＰＵ１１は、外部ツール５０から受信した補完アプリ５２０を除去し、通信用アプリ１２０をリプロを実施する前の状態（セキュリティ通信専用アプリ１２１における特定中継処理の実行に必要な部分が欠落した不完全な状態）に戻す処理を行う。具体的には、前述したＳ１１０で、リプロを実施する前の不完全な状態の通信用アプリ１２０をそのまま残しつつ、新たに完全な状態の通信用アプリ１２０を生成した場合には、その完全な状態の通信用アプリ１２０を削除する。一方、前述したＳ１１０で、リプロを実施する前の不完全な状態の通信用アプリ１２０自体を書き換える形で、完全な状態の通信用アプリ１２０を生成した場合には、その完全な状態の通信用アプリ１２０を再度書き換えて（リプロを実施して）、不完全な状態の通信用アプリ１２０に戻す。その後、ＣＰＵ１１は、処理をＳ１０１へ移行させる。なお、この段階で、特定中継処理（セキュリティ通信）が終了する。
【００３５】
次に、外部ツール５０がコネクタ４０に接続されたことを契機に、外部ツール５０の制御部５１が実行する通信処理について、図３のフローチャートを用いて説明する。制御部５１は、まずＳ２０１で、ＥＣＵ２０とセキュリティ通信を行うか否か（通常通信を行うか）を判定する。なお、外部ツール５０を用いてどのような操作が実施されるかは外部ツール５０のユーザ（作業者）によって決められることであり、Ｓ２０１では、ユーザによる操作や設定内容に基づき、ユーザが実施しようとする操作がセキュリティ通信及び通常通信のいずれに分類されるものであるかを判定する。
【００３６】
制御部５１は、セキュリティ通信を行わない（通常通信を行う）と判定した場合には（Ｓ２０１：ＮＯ）、処理をＳ２０２へ移行させ、ＧＷ−ＥＣＵ１０を介してＥＣＵ２０と通常通信を行う。通常通信が終了すると、制御部５１は、処理をＳ２０６へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。
【００３７】
一方、制御部５１は、ＥＣＵ２０とセキュリティ通信を行うと判定した場合には（Ｓ２０１：ＹＥＳ）、処理をＳ２０３へ移行させ、ＧＷ−ＥＣＵ１０に対してセキュリティ通信を要求する。これにより、前述したように（Ｓ１０８）、ＧＷ−ＥＣＵ１０から通信用アプリ１２０のリプロが要求される。ＧＷ−ＥＣＵ１０から通信用アプリ１２０のリプロが要求されると、制御部５１は、処理をＳ２０４へ移行させ、通信用アプリ１２０のリプロのための処理を行う。具体的には、ＧＷ−ＥＣＵ１０へ補完アプリ５２０を送信して、ＧＷ−ＥＣＵ１０に通信用アプリ１２０のリプロを実施させる。
【００３８】
通信用アプリ１２０のリプロがＧＷ−ＥＣＵ１０で実施された後、制御部５１は、処理をＳ２０５へ移行させ、ＧＷ−ＥＣＵ１０を介してＥＣＵ２０とセキュリティ通信を行う。セキュリティ通信が終了すると、制御部５１は、処理をＳ２０６へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。
【００３９】
［３．効果］
以上説明したように、ＧＷ−ＥＣＵ１０は、外部ツール５０から補完アプリ５２０を受信して通信用アプリ１２０のリプロを実施することで、特定中継処理を実行可能な状態となる。つまり、外部ツール５０は、ＧＷ−ＥＣＵ１０に対して補完アプリ５２０を送信しなければ、ＥＣＵ２０とセキュリティ通信を行うことができない。このため、不正な外部ツールを用いてセキュリティ通信が行われてしまうことを抑制することができる。なお、セキュリティ通信専用アプリ１２１から欠落させるプログラムのサイズ（換言すれば、補完アプリ５２０のサイズ）は、特に限定されないが、できるだけ小さくすることで、通信用アプリ１２０のリプロに要する時間を短くすることができる。
【００４０】
特に、本実施形態の通信システムでは、補完アプリ５２０を取得していない状態のＧＷ−ＥＣＵ１０は、特定中継処理の実行が可能な状態でそれを禁止するのではなく、特定処理の実行が不可能な状態となっている。したがって、この通信システムによれば、パスワードなどによる認証結果に応じてＧＷ−ＥＣＵ１０が特定中継処理を許可するような構成と比較して、セキュリティ通信が不正に行われてしまうことを抑制する効果を高くすることができる。しかも、不正な外部ツールの作成を困難にすることができる。その結果、例えば、イモビライザ制御を行うＥＣＵへの不正アクセスにより、イモビライザによる盗難防止機能を無効化するといった不正行為を抑制することができる。
【００４１】
また、ＧＷ−ＥＣＵ１０（ＣＰＵ１１）は、特定中継処理の実行を開始した後、所定の終了条件が成立したと判定した時点で、セキュリティ通信専用アプリ１２１を欠落部分が補われる前の状態に戻して、特定中継処理（セキュリティ通信）を終了する処理を行う。このため、正規の外部ツール５０が用いられた後、ＧＷ−ＥＣＵ１０に残存した完全な状態のセキュリティ通信専用アプリ１２１を利用して、不正な外部ツールによるセキュリティ通信が行われてしまうことを抑制することができる。
【００４２】
特に、セキュリティ通信の終了条件には、特定中継処理の実行可能時間を制限するための条件が含まれる。このため、外部ツール５０から送信されるべき通信が終了したことの通知が何らかの理由で受信できない状況においても、セキュリティ通信を行うことのできない状態に戻すことができる。
【００４３】
また、セキュリティ通信の終了条件には、車両のイグニッションスイッチがオフ状態の場合に特定中継処理を禁止するための条件が含まれる。つまり、イグニッションスイッチをオン状態にすることが通信を許可するための１つの条件となるため、イグニッションスイッチの状態に関係なく通信を許可する構成と比較して、セキュリティ性を高くすることができる。
【００４４】
また、セキュリティ通信の終了条件には、外部ツール５０からセキュリティ通信の終了が通知された後に特定中継処理を禁止するための条件が含まれる。このため、外部ツール５０で行うべき通信が終了した時点で、直ちにセキュリティ通信を行うことのできない状態に戻すことができる。
【００４５】
一方、外部ツール５０は、補完アプリ５２０を暗号化した状態で記憶する記憶部５２を備えるため、暗号化せずに記憶する構成と比較して、補完アプリ５２０をセキュリティ性の高い状態で管理することができる。
【００４６】
また、本実施形態の通信システムでは、外部ツール５０とＥＣＵ２０との間で行われる通信を、通常通信とセキュリティ通信とに大別し、通常通信については通信用アプリ１２０のリプロを実施することなく行うことができるようにしている。このため、すべての通信について通信用アプリ１２０のリプロを実施する構成と比較して、低いセキュリティ性で問題のない通信が開始されるまでの時間を短くすることができる。
【００４７】
なお、本実施形態では、ＧＷ−ＥＣＵ１０が中継装置の一例に相当し、ＣＰＵ１１が実行手段の一例に相当し、フラッシュメモリ１２が車載記憶手段の一例に相当し、セキュリティ通信専用アプリ１２１が通信プログラムの一例に相当する。また、Ｓ１１０が補完ステップの一例に相当し、Ｓ１１２が実行ステップの一例に相当し、Ｓ２０４が送信ステップの一例に相当する。また、外部ツール５０が車外装置の一例に相当し、記憶部５２が車外記憶手段の一例に相当し、補完アプリ５２０が補完プログラムの一例に相当し、通信部５３が送信手段の一例に相当する。また、ＥＣＵ２０が車載装置の一例に相当し、セキュリティ通信が特定の通信の一例に相当する。
【００４８】
［４．他の実施形態］
以上、本発明の実施形態について説明したが、本発明は、上記実施形態に限定されることなく、種々の形態を採り得ることは言うまでもない。
【００４９】
上記実施形態では、補完アプリ５２０が外部ツール５０の記憶部５２に記憶された構成を例示したが、これに限定されるものではない。例えば、外部ツール５０以外の場所（他の装置や他の記憶媒体など）に補完アプリ５２０が記憶され、外部ツール５０がその場所から補完アプリ５２０を取得して１０へ送信するようにしてもよい。具体的には、例えば、外部ツール５０により読み取り可能なＳＤカードやメモリースティック（登録商標）等の不揮発性の可搬型記憶媒体に補完アプリ５２０を記憶させてもよい。また例えば、外部ツール５０とコネクタ４０とを接続する中間ケーブルに記憶媒体を設け、その記憶媒体に補完アプリ５２０を記憶させてもよい。
【符号の説明】
【００５０】
１…車載システム、１０…ＧＷ−ＥＣＵ、１１…ＣＰＵ、１２…フラッシュメモリ、２０…ＥＣＵ、５０…外部ツール、５３…通信部、１２１…セキュリティ通信専用アプリ、５２０…補完アプリ
【図１】
0005790551.tif 000002
【図２】
0005790551.tif 000003
【図３】
0005790551.tif 000004