(57)【要約】【課題】  車両内における暗号通信のセキュリティレベルの低下を防止する。【解決手段】  自動車に搭載された複数の電子制御装置（ＥＣＵ）１０（１），１０（２），…からなる通信システムにおいて、自動車のイグニッションスイッチがオンされると、センターノードとしてのＥＣＵ１０（１）が、暗号通信に用いるセッション鍵を、他のＥＣＵ１０（２），１０（３），…へ送信する。一方、バックアップノードとしてのＥＣＵ１０（２）は、イグニッションスイッチがオンしてから一定時間が経過してもセッション鍵が送信されない場合に、ＥＣＵ１０（１）に問い合わせを行う。そして、この問い合わせの結果、ＥＣＵ１０（１）がセッション鍵を送信することのできない状態であると判断すると、ＥＣＵ１０（２）が、ＥＣＵ１０（１）に代わってセッション鍵を送信する。【選択図】  図１
2005203882.tif 000002
【特許請求の範囲】
【請求項１】
車両に搭載された複数の通信装置間で暗号鍵を用いた暗号通信を行う通信システムであって、
前記暗号鍵を変更するための所定の鍵変更タイミングごとに、前記暗号通信に用いる新たな暗号鍵を他の通信装置へ送信する鍵送信処理を行う鍵送信用通信装置と、
該鍵送信用通信装置が前記鍵送信処理を行うことのできる状態であるか否かを判断し、該鍵送信処理を行うことのできる状態でないと判断した場合には、前記鍵送信用通信装置の代わりに前記鍵送信処理を行う予備用通信装置と、
を備えたことを特徴とする通信システム。
【請求項２】
請求項１に記載の通信システムにおいて、
前記予備用通信装置は、前記鍵変更タイミングから所定の待機時間が経過しても前記暗号鍵が送信されない場合に、前記鍵送信用通信装置が前記鍵送信処理を行うことのできる状態でないと判断すること、
を特徴とする通信システム。
【請求項３】
請求項１に記載の通信システムにおいて、
前記予備用通信装置は、前記鍵変更タイミングから所定の待機時間が経過しても前記暗号鍵が送信されない場合に、前記鍵送信用通信装置に対して問い合わせ処理を行い、この問い合わせ処理により、前記鍵送信用通信装置が前記鍵送信処理を行うことのできる状態であるか否かを判断すること、
を特徴とする通信システム。
【請求項４】
請求項２又は請求項３に記載の通信システムにおいて、
前記予備用通信装置を複数備え、各予備用通信装置は、前記待機時間として、それぞれ異なる長さの待機時間を用いること、
を特徴とする通信システム。
【請求項５】
請求項１ないし請求項４のいずれか１項に記載の通信システムにおいて、
前記鍵送信用通信装置は、車両制御用の処理を行う通信装置を流用したものであること、
を特徴とする通信システム。
【請求項６】
請求項１ないし請求項４のいずれか１項に記載の通信システムにおいて、
前記鍵送信用通信装置は、前記鍵送信処理を行うための専用の通信装置であること、
を特徴とする通信システム。
【請求項７】
請求項１ないし請求項６のいずれか１項に記載の通信システムにおいて、
前記予備用通信装置は、車両制御用の処理を行う通信装置を流用したものであること、
を特徴とする通信システム。
【請求項８】
請求項１ないし請求項６のいずれか１項に記載の通信システムにおいて、
前記予備用通信装置は、前記鍵送信用通信装置の代わりに前記鍵送信処理を行うための専用の通信装置であること、
を特徴とする通信システム。
【請求項９】
請求項１ないし請求項８のいずれか１項に記載の通信システムにおいて、
前記鍵変更タイミングは、前記車両のイグニッションスイッチがオンされたタイミングであること、
を特徴とする通信システム。
【請求項１０】
請求項１ないし請求項９のいずれか１項に記載の通信システムにおいて、
前記鍵送信用通信装置は、前記暗号鍵とともに、送信データの種類を表す種類情報を送信するように構成されており、
前記予備用通信装置は、前記暗号鍵とともに、前記鍵送信用通信装置が前記暗号鍵とともに送信する前記種類情報と同一の種類情報を送信するように構成されていること、
を特徴とする通信システム。
【請求項１１】
請求項１ないし請求項９のいずれか１項に記載の通信システムにおいて、
前記鍵送信用通信装置は、前記暗号鍵とともに、送信データの種類を表す種類情報を送信するように構成されており、
前記予備用通信装置は、前記暗号鍵とともに、前記鍵送信用通信装置が前記暗号鍵とともに送信する前記種類情報とは異なる種類情報を送信するように構成されていること、
を特徴とする通信システム。
【請求項１２】
請求項１ないし請求項１１のいずれか１項に記載の通信システムにおいて、
前記鍵送信用通信装置は、前記鍵送信処理として、前記車両に搭載された複数の通信装置で共有する該車両に固有の秘密鍵を用いて前記暗号鍵を暗号化して他の通信装置へ送信する処理を行い、該他の通信装置は、受信した暗号鍵を前記秘密鍵を用いて復号化すること、
を特徴とする通信システム。
【請求項１３】
車両に搭載された複数の通信装置間で行われる暗号通信に用いられる暗号鍵を、１つの通信装置から他の通信装置へ送信するための鍵送信方法であって、
前記暗号鍵を変更するための所定の鍵変更タイミングとなった時点で、あらかじめ決められた鍵送信用通信装置が、前記暗号通信に用いる新たな暗号鍵を他の通信装置へ送信する鍵送信処理を行い、前記鍵変更タイミングから所定の待機時間が経過しても前記暗号鍵が送信されない場合に、あらかじめ決められた予備用通信装置が、前記鍵送信用通信装置の代わりに前記鍵送信処理を行うこと、
を特徴とする鍵送信方法。
【請求項１４】
車両に搭載された複数の通信装置間で行われる暗号通信に用いられる暗号鍵を、１つの通信装置から他の通信装置へ送信するための鍵送信方法であって、
前記暗号鍵を変更するための所定の鍵変更タイミングとなった時点で、あらかじめ決められた鍵送信用通信装置が、前記暗号通信に用いる新たな暗号鍵を他の通信装置へ送信する鍵送信処理を行い、前記鍵変更タイミングから所定の待機時間が経過しても前記暗号鍵が送信されない場合に、あらかじめ決められた予備用通信装置が、前記鍵送信用通信装置に対して問い合わせ処理を行うとともに、この問い合わせ処理により、前記鍵送信用通信装置が前記鍵送信処理を行うことのできる状態でないと判断した場合に、前記鍵送信用通信装置の代わりに前記鍵送信処理を行うこと、
を特徴とする鍵送信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、車両に搭載された複数の通信装置間で行われる暗号通信に関するものである。
【背景技術】
【０００２】
従来、通信データの盗聴や改ざん等を防止するための技術として、送信側と受信側とで暗号鍵を共有し、送信側が、その暗号鍵を用いてデータを暗号化して送信し、受信側が、受信したデータをその暗号鍵を用いて復号化する暗号通信が知られている。
【０００３】
例えば、センタ装置が、あらかじめ記憶している複数の暗号鍵の中から乱数に従い１つの暗号鍵をランダムに選択して端末装置へ送信することにより、その暗号鍵を用いて通信データの暗号化を行うようにしたものがある（例えば、特許文献１参照。）。
【特許文献１】特開平５−３７５２３号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ところで、例えば自動車においては、自動車の各部を制御する複数の電子制御装置が通信バスを介して通信を行うようになっている。今後は、エンジン制御に関するデータ等の重要なデータについても通信すると予想されることから、自動車内においても暗号通信を行う必要性が高い。暗号通信のセキュリティレベルの低下を防ぐためには、特開平５−３７５２３と同様鍵を変化させる手法を取り入れるのが一般的である。特に自動車では、高い安全性を要求されることから、確実に鍵を変更できる仕組みを作る必要があるが、従来の方法では、センタ装置が、何かしらの原因で動かない場合は、鍵を変更することが出来ず、セキュリティレベルが低下する恐れがある。
【０００５】
本発明は、こうした問題にかんがみてなされたものであり、車両内における暗号通信のセキュリティレベルの低下を防止することを目的としている。
【課題を解決するための手段】
【０００６】
上記目的を達成するためになされた請求項１に記載の通信システムは、車両に搭載された複数の通信装置間で暗号鍵を用いた暗号通信を行うためのものである。そして、本通信システムでは、鍵送信用通信装置が、暗号鍵を変更するための所定の鍵変更タイミングごとに、暗号通信に用いる新たな暗号鍵を他の通信装置へ送信する鍵送信処理を行う。一方、予備用通信装置が、鍵送信用通信装置が鍵送信処理を行うことのできる状態であるか否かを判断し、鍵送信処理を行うことのできる状態でないと判断した場合には、鍵送信用通信装置の代わりに鍵送信処理を行う。
【０００７】
このように、本通信システムでは、車両内の通信装置間で暗号通信を行うようにしているため、車両制御用のデータの盗聴や改ざん等を防止することができる。また、本通信システムでは、所定の鍵変更タイミングごとに暗号鍵を変更するようにしているため、セキュリティレベルを高くすることができる。特に、本通信システムでは、予備用通信装置が設けられているため、仮に鍵送信用通信装置が鍵送信処理を行うことのできない状態になったとしても、暗号通信のセキュリティレベルが低下してしまうことを防ぐことができる。
【０００８】
ところで、鍵送信用通信装置が鍵送信処理を行うことのできる状態であるか否かは、
例えば、請求項２又は３のように判断するとよい。
すなわち、請求項２に記載の通信システムでは、上記請求項１の通信システムにおいて、予備用通信装置が、鍵変更タイミングから所定の待機時間が経過しても暗号鍵が送信されない場合に、鍵送信用通信装置が鍵送信処理を行うことのできる状態でないと判断する。この構成によれば、鍵送信用通信装置が鍵送信処理を行うことのできる状態であるか否かを容易に判断することができる。
【０００９】
一方、請求項３に記載の通信システムでは、上記請求項１の通信システムにおいて、予備用通信装置が、鍵変更タイミングから所定の待機時間が経過しても暗号鍵が送信されない場合に、鍵送信用通信装置に対して問い合わせ処理（例えば、正常であるか否かを確認できるような返答を求める処理）を行い、この問い合わせ処理により、鍵送信用通信装置が鍵送信処理を行うことのできる状態であるか否かを判断する。この構成によれば、鍵送信用通信装置が鍵送信処理を行うことのできる状態であるか否かを正確に判断することができる。
【００１０】
次に、請求項４に記載の通信システムは、上記請求項２又３の通信システムにおいて、予備用通信装置を複数備えている。すなわち、予備用通信装置が１つの場合、万が一、鍵送信用通信装置のみならず予備用通信装置も鍵送信処理を行うことのできない状態になったとすると、暗号鍵が変更されなくなり、セキュリティレベルが低下してしまう。そこで、１つの予備用通信装置が鍵送信処理を行うことができない状態となっても、他の予備用通信装置で鍵送信処理を行うことができるようにしているのである。このようにすることで、セキュリティレベルの低下をより確実に防止することができる。特に、本通信システムでは、予備用通信装置が、待機時間として、それぞれ異なる長さの待機時間を用いるように構成されているため、複数の予備用通信装置が同一の処理を同時に行ってしまうことを防ぐことができる。
【００１１】
ところで、鍵送信用通信装置は、例えば請求項５に記載のように、車両制御用の処理を行う通信装置（例えば、エンジンの制御を行う電子制御装置等）を流用したものであってもよく、また、例えば請求項６に記載のように、鍵送信処理を行うための専用の通信装置であってもよい。
【００１２】
同様に、予備用通信装置は、例えば請求項７に記載のように、車両制御用の処理を行う通信装置を流用したものであってもよく、また、例えば請求項８に記載のように、鍵送信用通信装置の代わりに鍵送信処理を行うための専用の通信装置であってもよい。
【００１３】
一方、暗号鍵を変更するための鍵変更タイミングは、例えば所定時間の経過ごとや所定時刻ごとにすることもできるが、例えば請求項９に記載のように、車両のイグニッションスイッチがオンされたタイミングにすれば、暗号鍵を適度に変更することができる。
【００１４】
次に、請求項１０に記載の通信システムでは、上記請求項１〜９のいずれかの通信システムにおいて、鍵送信用通信装置が、暗号鍵とともに、送信データの種類を表す種類情報を送信する。また、予備用通信装置が、暗号鍵とともに、鍵送信用通信装置が暗号鍵とともに送信する種類情報と同一の種類情報を送信する。
【００１５】
このため、本通信システムにおいては、鍵送信用通信装置及び予備用通信装置により送信される暗号鍵は、同一の種類情報とともに送信されることとなる。
したがって、本通信システムによれば、暗号鍵がいずれの通信装置により送信されたかに関係なく、暗号鍵を受信する側の処理を共通にすることができる。
【００１６】
一方、請求項１１に記載の通信システムでは、上記請求項１〜９のいずれかの通信システムにおいて、鍵送信用通信装置が、暗号鍵とともに、送信データの種類を表す種類情報を送信する。また、予備用通信装置が、暗号鍵とともに、鍵送信用通信装置が暗号鍵とともに送信する種類情報とは異なる種類情報を送信する。
【００１７】
このため、本通信システムにおいては、鍵送信用通信装置により送信される暗号鍵と、予備用通信装置により送信される暗号鍵とは、それぞれ異なる種類情報とともに送信されることとなる。
【００１８】
したがって、本通信システムによれば、仮に鍵送信用通信装置と予備用通信装置との両方から暗号鍵が送信された場合にも、受信側の通信装置において、それらの暗号鍵が異なる通信装置によって送信されたものであると判断することができる。この結果、例えば優先順位の高い通信装置からの暗号鍵を用いるといった処理を行うことができる。
【００１９】
次に、請求項１２に記載の通信システムでは、上記請求項１〜１１のいずれかの通信システムにおいて、鍵送信用通信装置が、鍵送信処理として、車両に搭載された複数の通信装置で共有するその車両に固有の秘密鍵を用いて暗号鍵を暗号化して他の通信装置へ送信する処理を行い、他の通信装置が、受信した暗号鍵を秘密鍵を用いて復号化する。この通信システムによれば、暗号鍵をそのまま送信しないため、暗号鍵が見破られてしまうことを防ぐことができる。そして特に、本通信システムでは、車両固有の秘密鍵を用いて暗号鍵の暗号化及び復号化を行うようにしているため、ある通信装置を他の車両に組み込んだ場合に、その通信装置が作動しないようにすることができる。この結果、通信装置の盗難を防止することができる。
【００２０】
次に、請求項１３に記載の鍵送信方法は、車両に搭載された複数の通信装置間で行われる暗号通信に用いられる暗号鍵を、１つの通信装置から他の通信装置へ送信するための方法である。そして、本鍵送信方法は、暗号鍵を変更するための所定の鍵変更タイミングとなった時点で、あらかじめ決められた鍵送信用通信装置が、暗号通信に用いる新たな暗号鍵を他の通信装置へ送信する鍵送信処理を行い、鍵変更タイミングから所定の待機時間が経過しても暗号鍵が送信されない場合に、あらかじめ決められた予備用通信装置が、鍵送信用通信装置の代わりに鍵送信処理を行うこと、を特徴としている。このため、本鍵送信方法によれば、上記請求項２の通信システムについて述べた効果と同様の効果を得ることができる。
【００２１】
一方、請求項１４に記載の鍵送信方法も、上記請求項１２の鍵送信方法と同様、車両に搭載された複数の通信装置間で行われる暗号通信に用いられる暗号鍵を、１つの通信装置から他の通信装置へ送信するための方法である。そして、本鍵送信方法は、暗号鍵を変更するための所定の鍵変更タイミングとなった時点で、あらかじめ決められた鍵送信用通信装置が、暗号通信に用いる新たな暗号鍵を他の通信装置へ送信する鍵送信処理を行い、鍵変更タイミングから所定の待機時間が経過しても暗号鍵が送信されない場合に、あらかじめ決められた予備用通信装置が、鍵送信用通信装置に対して問い合わせ処理を行うとともに、この問い合わせ処理により、鍵送信用通信装置が鍵送信処理を行うことのできる状態でないと判断した場合に、鍵送信用通信装置の代わりに鍵送信処理を行うこと、を特徴としている。このため、本鍵送信方法によれば、上記請求項３の通信システムについて述べた効果と同様の効果を得ることができる。
【発明を実施するための最良の形態】
【００２２】
以下、本発明が適用された実施形態について、図面を用いて説明する。
図１は、第１実施形態の通信システムの概略構成を表すブロック図である。
この通信システムでは、車両としての自動車に搭載され自動車の各部を制御する複数の電子制御装置（以下「ＥＣＵ」という。）１０（１），１０（２），…が、通信バス２を介してデータ通信可能に接続されている。ここで、各ＥＣＵ１０は、自動車の各部を制御するための制御処理や他のＥＣＵ１０と通信を行うための処理等を実行するＣＰＵ１１と、ＣＰＵ１１によって与えられる送信データを通信バス２へ出力するとともに、通信バス２上のデータをＣＰＵ１１に入力する通信ドライバ１２とを備えている。また、各ＥＣＵ１０は、自動車のイグニッションスイッチがオンされている間、図示しないバッテリから電力が供給されて作動する。なお、本通信システムにおいて、通信バス２を介して行うＥＣＵ１０間のデータ通信には、車載ネットワークで一般的に利用されているＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）プロトコルが用いられている。
【００２３】
一方、本通信システムにおいて、ＥＣＵ１０間のデータ通信は、暗号鍵を用いた暗号通信により行われる。すなわち、各ＥＣＵ１０は、送信すべきデータを暗号鍵により暗号化した上で送信し、受信したデータをその暗号鍵により復号化した上で認識する。そして、本通信システムを構成するＥＣＵ１０（１），１０（２），…は、暗号鍵を送信（配信）する機能の面から、暗号鍵の送信を行うセンターノードと、センターノードが暗号鍵を送信できない場合に暗号鍵の送信を行うバックアップノードと、暗号鍵の送信を全く行わないノーマルノードとに大別される。ここで、本第１実施形態の通信システムでは、ＥＣＵ１０（１）が、センターノードとして機能する。また、ＥＣＵ１０（２）が、バックアップノードとして機能する。そして、その他のＥＣＵ１０（３），１０（４），…が、ノーマルノードとして機能する。
【００２４】
次に、本通信システムにおける暗号通信用の暗号鍵の送信方法について説明する。
本通信システムを構成する各ＥＣＵ１０は、あらかじめ共通の秘密鍵（種鍵）Ａを記憶している。つまり、本通信システムのすべてのＥＣＵ１０（１），１０（２），…で、秘密鍵Ａを共有している。また、この秘密鍵Ａは、自動車ごとに固有の情報でもある。
【００２５】
そして、本通信システムでは、自動車のイグニッションスイッチがオンされたタイミング（本発明の鍵変更タイミングに相当する。）で、本通信システムにおいてセンターノードとして機能するＥＣＵ１０（１）が、秘密鍵Ａを元に、暗号通信用の暗号鍵としてのセッション鍵を生成する。さらに、ＥＣＵ１０（１）は、このセッション鍵を秘密鍵Ａを用いて暗号化し、この暗号化したセッション鍵のデータを、他のすべてのＥＣＵ１０（２），１０（３），…へ送信する。つまり、イグニッションスイッチがオンされることにより、ＥＣＵ１０（１）から他のＥＣＵ１０（２），１０（３），…へセッション鍵が送信されるようになっている。ここで、本通信システムにおいて送信される送信データには、そのデータの種類を表すＩＤ（ＣＡＮプロトコルで用いられるＩＤであり、本発明の種類情報に相当する。）が含まれており、ＥＣＵ１０（１）は、ＩＤを「１」（本通信システムでは、セッション鍵のデータであることを示す。）としてセッション鍵のデータを送信するようになっている。
【００２６】
一方、他の各ＥＣＵ１０は、ＥＣＵ１０（１）からのデータを受信すると、その受信したデータのＩＤが「１」であることから、そのデータがセッション鍵のデータであると判断する。そして、その受信したデータを、秘密鍵Ａを用いて復号化することにより、セッション鍵を取得（認識）する。こうして、本通信システムを構成するＥＣＵ１０（１），１０（２），…で、セッション鍵が共有される。そして、各ＥＣＵ１０は、このセッション鍵を用いて送信データの暗号化及び受信データの復号化を行う。これにより、暗号通信が実現される。
【００２７】
また、本通信システムにおいて、セッション鍵は、自動車のイグニッションスイッチがオンされるごとにＥＣＵ１０（１）で生成され、他のＥＣＵ１０（２），１０（３），…へ送信される。つまり、イグニッションスイッチがオンされるごとに、暗号通信に用いるセッション鍵を新たなセッション鍵に変更するようになっている。このようにセッション鍵を変更することで、高いセキュリティレベルを維持することができる。
【００２８】
ところで、センターノードとして機能するＥＣＵ１０（１）が、何らかの異常等によりセッション鍵の送信を行うことができなくなった場合に、セッション鍵が変更されなくなるとすると、セキュリティレベルが著しく低下してしまう。
【００２９】
そこで、本通信システムでは、センターノードとしてのＥＣＵ１０（１）がセッション鍵の送信を行うことができなくなった場合には、バックアップノードとしてのＥＣＵ１０（２）が、ＥＣＵ１０（１）の代わりにセッション鍵の送信を行うようになっている。具体的には、イグニッションスイッチがオンしてからあらかじめ決められた一定時間（本発明の待機時間に相当する。）Ｔが経過してもＥＣＵ１０（１）によるセッション鍵の送信が行われない場合に、ＥＣＵ１０（２）がＥＣＵ１０（１）に対して問い合わせを行う。この問い合わせにより、ＥＣＵ１０（１）がセッション鍵の送信を行うことのできない異常状態であることを確認すると、ＥＣＵ１０（２）が、ＥＣＵ１０（１）に代わってセッション鍵の送信を行う。
【００３０】
次に、上述した暗号鍵の送信方法を実現するために、センターノードとしてのＥＣＵ１０（１）と、バックアップノードとしてのＥＣＵ１０（２）とのそれぞれが行う処理について説明する。
【００３１】
まず、ＥＣＵ１０（１）のＣＰＵ１１（１）により実行されるセンターノード処理について、図２のフローチャートを用いて説明する。なお、本センターノード処理は、当該ＥＣＵ１０（１）の作動開始時（つまり、自動車のイグニッションスイッチがオンされた時）に開始される。
【００３２】
このセンターノード処理が開始されると、まずＳ１１０で、秘密鍵Ａを元に新たなセッション鍵を生成する。
続いて、Ｓ１２０では、Ｓ１１０で生成したセッション鍵を、通信ドライバ１２（１）を介して他のＥＣＵ１０（２），１０（３），…へ送信する。具体的には、生成したセッション鍵を秘密鍵Ａを用いて暗号化し、その暗号化したデータを、ＩＤを「１」として送信する。その後、本センターノード処理を終了する。なお、このＳ１２０の処理が、本発明の鍵送信処理に相当する。
【００３３】
次に、ＥＣＵ１０（２）のＣＰＵ１１（２）により実行されるバックアップノード処理について、図３のフローチャートを用いて説明する。なお、本バックアップノード処理は、当該ＥＣＵ１０（２）の作動開始時（つまり、上記センターノード処理（図２）と同様、自動車のイグニッションスイッチがオンされた時）に開始される。
【００３４】
このバックアップノード処理が開始されると、まずＳ２１０で、ＥＣＵ１０（２）において計時を行うために用いるタイマをリセットする。
続いて、Ｓ２２０では、通信ドライバ１２（２）を介してセッション鍵のデータを受信したか否かを判定する。ここで、受信したデータがセッション鍵のデータであるか否かは、そのデータのＩＤが「１」であるか否かにより判断する。
【００３５】
そして、Ｓ２２０で、セッション鍵のデータを受信したと判定した場合には、本バックアップノード処理を終了する。
一方、Ｓ２２０で、セッション鍵のデータを受信していないと判定した場合には、Ｓ２３０へ移行し、タイマの計時時間が一定時間Ｔを経過したか否かを判定する。ここで、一定時間Ｔは、ＥＣＵ１０（２）があらかじめ記憶している値である。
【００３６】
そして、Ｓ２３０で、タイマの計時時間が一定時間Ｔを経過していないと判定した場合には、Ｓ２２０へ戻る。
一方、Ｓ２３０で、タイマの計時時間が一定時間Ｔを経過したと判定した場合には、Ｓ２４０へ移行し、センターノードとしてのＥＣＵ１０（１）に対し、セッション鍵の送信処理を行うことのできない状態であるか否かを問い合わせる。つまり、イグニッションスイッチがオンされてから一定時間Ｔが経過するまでの間にセッション鍵の送信が行われない場合には、直接問い合わせを行うのである。なお、このＳ２４０の処理が、本発明の問い合わせ処理に相当する。
【００３７】
続いて、Ｓ２５０では、Ｓ２４０で問い合わせた結果に基づき、ＥＣＵ１０（１）がセッション鍵の送信処理を行うことのできない状態であるか否かを判定する。
そして、Ｓ２５０で、ＥＣＵ１０（１）がセッション鍵の送信処理を行うことのできない状態でないと判定した場合（例えば、問い合わせに対する何らかの反応があった場合）には、Ｓ２１０へ戻る。つまり、再び一定時間Ｔの間待機するようになっている。
【００３８】
一方、Ｓ２５０で、ＥＣＵ１０（１）がセッション鍵の送信処理を行うことのできない状態であると判定した場合（例えば、問い合わせに対して何の反応もない場合）には、Ｓ２６０へ移行し、秘密鍵Ａを元に新たなセッション鍵を生成する。さらに、Ｓ２７０へ移行し、Ｓ２６０で生成したセッション鍵を、通信ドライバ１２（２）を介して他のＥＣＵ１０へ送信する。具体的には、生成したセッション鍵を秘密鍵Ａを用いて暗号化し、その暗号化したデータを、ＥＣＵ１０（１）と同様、ＩＤを「１」として送信する。その後、本バックアップノード処理を終了する。つまり、ＥＣＵ１０（１）がセッション鍵を送信することのできる状態でないと判断した場合には（Ｓ２５０：ＹＥＳ）、ＥＣＵ１０（１）が行うべき上記センターノード処理（図２）で行われる処理（Ｓ１１０，Ｓ１２０）と同様の処理（Ｓ２６０，Ｓ２７０）を行うようになっている。
【００３９】
なお、本第１実施形態の通信システムでは、各ＥＣＵ１０が、本発明の通信装置に相当し、センターノードとしてのＥＣＵ１０（１）が、本発明の鍵送信用通信装置に相当し、バックアップノードとしてのＥＣＵ１０（２）が、本発明の予備用通信装置に相当する。
【００４０】
以上説明したように、本第１実施形態の通信システムによれば、下記（ａ）〜（ｆ）の効果を得ることができる。
（ａ）本通信システムでは、車両内のＥＣＵ１０間で暗号通信を行うため、車両制御用のデータの盗聴や改ざん等を防止することができる。また、本通信システムでは、イグニッションスイッチがオンするごとにセッション鍵を変更するようにしているため、セキュリティレベルを高くすることができる。特に、本通信システムでは、バックアップノードとしてのＥＣＵ１０（２）の存在により、仮にセンターノードとしてのＥＣＵ１０（１）がセッション鍵の送信を行うことのできない状態となったとしても、暗号通信のセキュリティレベルが低下してしまうことを防ぐことができる。この結果、自動車内でセキュリティレベルの高い暗号通信を実現することができる。
【００４１】
（ｂ）また、本通信システムでは、バックアップノードとしてのＥＣＵ１０（２）が、イグニッションスイッチがオンしてからあらかじめ決められた一定時間Ｔが経過してもＥＣＵ１０（１）によるセッション鍵の送信が行われない場合に、ＥＣＵ１０（１）に対して問い合わせを行い、この問い合わせにより、ＥＣＵ１０（１）がセッション鍵の送信を行うことのできない異常状態であることを確認した場合に、ＥＣＵ１０（１）に代わってセッション鍵の送信を行う。このため、本通信システムによれば、ＥＣＵ１０（１）がセッション鍵を送信することのできる状態であるか否かを正確に判断することができる。
【００４２】
（ｃ）さらに、本通信システムでは、車両制御用の処理を行うＥＣＵ１０（１）をセンターノードとして流用し、同じく車両制御用の処理を行うＥＣＵ１０（２）をバックアップノードとして流用している。このため、本通信システムによれば、専用のセンターノードやバックアップノードを設ける場合に比べ、低コストで構成することができる。
【００４３】
（ｄ）加えて、本通信システムでは、イグニッションスイッチがオンされるごとにセッション鍵を変更するようにしているため、セッション鍵を適度に変更することができる。
（ｅ）一方、本通信システムでは、ＥＣＵ１０（２）が、セッション鍵を送信する際のＩＤとして、ＥＣＵ１０（１）がセッション鍵を送信する際のＩＤと同じＩＤを用いている。このため、本通信システムによれば、他のＥＣＵ１０が、ＥＣＵ１０（２）からのセッション鍵を、ＥＣＵ１０（１）からのセッション鍵に対する処理と同じ処理で受信することができる。
【００４４】
（ｆ）また、本通信システムでは、秘密鍵Ａを用いてセッション鍵の暗号化及び復号化を行うようにしているため、セッション鍵が見破られてしまうことを防ぐことができる。特に、秘密鍵Ａは車両に固有の情報でもあるため、ＥＣＵ１０を他の自動車に搭載しても暗号通信が行えないこととなる。この結果、ＥＣＵ１０の盗難を防ぐことができる。
【００４５】
なお、上記第１実施形態の通信システムでは、バックアップノードとしてのＥＣＵ１０（２）が、セッション鍵を送信する際のＩＤとして、センターノードとしてのＥＣＵ１０（１）がセッション鍵を送信する際のＩＤと同じＩＤを用いるようにしているが、これに限ったものではなく、異なるＩＤを用いるようにしてもよい。このようにすれば、セッション鍵を受信する側のＥＣＵ１０は、セッション鍵の送信元のＥＣＵ１０を把握することができる。このため、仮に、ＥＣＵ１０（２）が、ＥＣＵ１０（１）が正常であるにもかかわらず異常であると誤判断すること等により、ＥＣＵ１０（１）とＥＣＵ１０（２）との両方からセッション鍵が送信されてきたとしても、受信側のＥＣＵ１０において、優先度の高い方（例えばＥＣＵ１０（１））からのセッション鍵を用いるといった対処をすることができる。
【００４６】
次に、第２実施形態の通信システムについて説明する。
本第２実施形態の通信システムは、上記第１実施形態の通信システムと比較すると、バックアップノードとしてのＥＣＵ１０（２）によるセッション鍵の送信方法が異なる。そこで、この相違点について説明する。
【００４７】
本第２実施形態の通信システムでは、イグニッションスイッチがオンしてからあらかじめ決められた一定時間（本発明の待機時間に相当する。）Ｔが経過してもＥＣＵ１０（１）によるセッション鍵の送信が行われない場合に、ＥＣＵ１０（２）が、ＥＣＵ１０（１）に代わってセッション鍵の送信を行う。つまり、本第２実施形態の通信システムでは、上記第１実施形態の通信システムのような問い合わせを行わない。
【００４８】
また、本第２実施形態の通信システムでは、ＥＣＵ１０（２）が、セッション鍵（具体的には、セッション鍵を秘密鍵Ａを用いて暗号化したデータ）を、ＩＤを「２」として送信する。つまり、ＥＣＵ１０（１）がセッション鍵を送信する際のＩＤと異なるＩＤを用いるようになっている。なお、本通信システムでは、ＩＤが「１」，「２」のいずれであっても、セッション鍵のデータであることを示す。
【００４９】
ここで、上記第１実施形態のバックアップノード処理（図３）に代えて実行される図４のバックアップノード処理について説明する。なお、図４のバックアップノード処理は、上記第１実施形態のバックアップノード処理（図３）と比較すると、Ｓ２４０及びＳ２５０の処理を行わない点が異なる。その他、同一内容の処理については、同一の符号を付しているため、詳細な説明は省略する。
【００５０】
図４のバックアップノード処理が開始されると、まずＳ２１０で、タイマをリセットする。
続いて、Ｓ２２０では、セッション鍵のデータを受信したか否かを判定する。
【００５１】
そして、Ｓ２２０で、セッション鍵のデータを受信したと判定した場合には、本バックアップノード処理を終了する。
一方、Ｓ２２０で、セッション鍵のデータを受信していないと判定した場合には、Ｓ２３０へ移行し、タイマの計時時間が一定時間Ｔを経過したか否かを判定する。
【００５２】
そして、Ｓ２３０で、タイマの計時時間が一定時間Ｔを経過していないと判定した場合には、Ｓ２２０へ戻る。
一方、Ｓ２３０で、タイマの計時時間が一定時間Ｔを経過したと判定した場合には、Ｓ２６０へ移行し、秘密鍵Ａを元に新たなセッション鍵を生成する。さらに、Ｓ２７０へ移行し、Ｓ２６０で生成したセッション鍵を他のＥＣＵ１０へ送信する。その後、本バックアップノード処理を終了する。なお、本バックアップノード処理のＳ２６０では、生成したセッション鍵を秘密鍵Ａを用いて暗号化し、その暗号化したデータを、ＩＤを「２」として送信する。
【００５３】
以上説明したように、本第２実施形態の通信システムによれば、上記第１実施形態の（ａ），（ｃ），（ｄ），（ｆ）の効果を得ることができる。
また、本通信システムでは、バックアップノードとしてのＥＣＵ１０（２）が、イグニッションスイッチがオンしてからあらかじめ決められた一定時間Ｔが経過してもＥＣＵ１０（１）によるセッション鍵の送信が行われない場合に、ＥＣＵ１０（１）に代わってセッション鍵の送信を行う。このため、本通信システムによれば、ＥＣＵ１０（１）がセッション鍵を送信することのできる状態であるか否かを容易に判断することができる。
【００５４】
さらに、本通信システムでは、ＥＣＵ１０（２）が、セッション鍵を送信する際のＩＤとして、ＥＣＵ１０（１）がセッション鍵を送信する際のＩＤと異なるＩＤを用いている。このため、本通信システムによれば、仮に、ＥＣＵ１０（２）が、ＥＣＵ１０（１）が正常であるにもかかわらず異常であると誤判断すること等により、ＥＣＵ１０（１）とＥＣＵ１０（２）との両方からセッション鍵が送信されてきたとしても、受信側のＥＣＵ１０において、優先度の高い方（例えばＥＣＵ１０（１））からのセッション鍵を用いるといった対処をすることができる。
【００５５】
以上、本発明の一実施形態について説明したが、本発明は、種々の形態を採り得ることは言うまでもない。
例えば、上記各実施形態の通信システムでは、バックアップノードを１つ設けているが、これに限ったものではなく、バックアップノードを複数設けてもよい。すなわち、バックアップノードが１つの場合、万が一、センターノードのみならずバックアップノードもセッション鍵の送信を行うことのできない状態になったとすると、セッション鍵が変更されなくなり、セキュリティレベルが低下してしまう。そこで、１つのバックアップノードがセッション鍵の送信を行うことができない状態となっても、他のバックアップノードでセッション鍵の送信を行うことができるようにするのである。このようにすることで、セキュリティレベルの低下をより確実に防止することができる。ここで、各バックアップノードが待機する上記一定時間Ｔは、それぞれ異なる長さとしておくことが好ましい。このようにすれば、複数のバックアップノードからセッション鍵が一度に送信されてしまうことを防ぐことができる。
【００５６】
また、上記各実施形態では、センターノードとして車両制御用の処理を行うＥＣＵ１０（１）を流用し、バックアップノードとして同じく車両制御用の処理を行うＥＣＵ１０（２）を流用しているが、これに限ったものではなく、例えば、センターノードやバックアップノードとして専用の装置を用いてもよい。
【図面の簡単な説明】
【００５７】
【図１】実施形態の通信システムの概略構成を表すブロック図である。
【図２】センターノード処理のフローチャートである。
【図３】第１実施形態のバックアップノード処理のフローチャートである。
【図４】第２実施形態のバックアップノード処理のフローチャートである。
【符号の説明】
【００５８】
２…通信バス、１０…ＥＣＵ、１１…ＣＰＵ、１２…通信ドライバ
【図１】
2005203882.tif 000003
【図２】
2005203882.tif 000004
【図３】
2005203882.tif 000005
【図４】
2005203882.tif 000006