"内部データの変更が可能な複数の電子制御装置が相互通信可能に車両用ネットワークに接続されてなる車両用ネットワークシステムであって、特定の電子制御装置に保持されている内部データに基づき生成された第1の検証データが分割されて複数の電子制御装置に分配保持されている分割データが回収され、かつ結合されて作成された第2の検証データと、前記特定の電子制御装置にその都度の時点で保持されている内部データに基づき生成された第3の検証データとを比較することに基づいて、前記特定の電子制御装置に保持されている内部データの改ざんの有無を判定することを特徴とする車両用ネットワークシステム。前記第2の検証データと前記第3の検証データとの比較が前記特定の電子制御装置によっておこなわれる請求項1に記載の車両用ネットワークシステム。前記比較される前記第2の検証データ及び前記第3の検証データの保持が前記特定の電子制御装置によって行われる請求項1又は2に記載の車両用ネットワークシステム。少なくとも前記第1の検証データ及び前記第3の検証データの生成が前記特定の電子制御装置によって行われる請求項1~3のいずれか一項に記載の車両用ネットワークシステム。前記第1の検証データが複数に分割された分割データの前記複数の電子制御装置への分配が前記特定の電子制御装置によって行われる請求項1~4のいずれか一項に記載の車両用ネットワークシステム。前記第1の検証データが複数に分割された分割データの保持が前記特定の電子制御装置に対しても行われる請求項1~5のいずれか一項に記載の車両用ネットワークシステム。前記特定の電子制御装置は、その内部データが通信により変更可能になっており、前記内部データが変更されるとき、前記保持されている分割データを当該特定の電子制御装置とは異なる他の電子制御装置に退避させる請求項6に記載の車両用ネットワークシステム。前記特定の電子制御装置は、前記内部データが変更された後、前記退避させた分割データを元に戻す請求項7に記載の車両用ネットワークシステム。内部データの変更が可能な複数の電子制御装置が相互通信可能に車両用ネットワークに接続されてなる車両用ネットワークシステムに用いられる車両用情報処理方法であって、特定の電子制御装置に保持されている内部データに基づき第1の検証データを予め生成するとともに、この生成した第1の検証データを複数の分割データに分割して複数の電子制御装置にそれら分割データを分配し、保持させる工程と、前記分割データを回収するとともに、該回収した複数の分割データを結合して第2の検証データを生成する工程と、前記特定の電子制御装置にその都度の時点で保持されている内部データに基づき第3の検証データを生成する工程と、前記第2の検証データと前記第3の検証データとの比較に基づいて、前記特定の電子制御装置に保持されている内部データの改ざんの有無を判定する工程と、を備えることを特徴とする車両用情報処理方法。前記第2の検証データと前記第3の検証データとの比較を、前記特定の電子制御装置を通じて実行する請求項9に記載の車両用情報処理方法。前記比較する前記第2の検証データ及び前記第3の検証データの保持を、前記特定の電子制御装置によって行う請求項9又は10に記載の車両用情報処理方法。少なくとも前記第1の検証データ及び前記第3の検証データの生成を、前記特定の電子制御装置によって行う請求項9~11のいずれか一項に記載の車両用情報処理方法。前記第1の検証データを分割した分割データの前記複数の電子制御装置への分配を、前記特定の電子制御装置によって行う請求項9~12のいずれか一項に記載の車両用情報処理方法。前記第1の検証データを分割した分割データを前記特定の電子制御装置に対しても保持させる請求項9~13のいずれか一項に記載の車両用情報処理方法。前記特定の電子制御装置は、その内部データが通信により変更可能になっており、前記内部データが変更されるとき、前記保持している分割データを当該特定の電子制御装置とは異なる他の電子制御装置に予め退避させる工程をさらに備える請求項14に記載の車両用情報処理方法。前記内部データが変更された後、前記特定の電子制御装置に前記退避させた分割データを戻す工程をさらに備える請求項15に記載の車両用情報処理方法。特許文献1に記載のシステムによればこのように、ネットワークに接続されたECUのデータプログラム改ざんの有無がゲートウェイを通じて判定されるようになる。また近年、車両用ネットワークシステムであれ、そのセキュリティのより一層の向上が求められており、上述のようなデータ改ざんの有無を判定する装置や各ECUとしても、それ自身に対する改ざんへの耐性、いわゆる耐タンパ性を有することが望まれるようになってきている。そのため、それら装置に耐タンパ性のあるメモリを採用することなども検討されているが、このようなメモリを採用するとなると、車両用ネットワークシステムとしても、リプログラミング等をはじめとするデータの取り扱いが煩雑化されるとともに、高価なメモリを用いることによるコストアップも避けられない。本発明は、このような実情に鑑みなされたものであり、その目的は、コストアップ等を招くことなく、車両用ネットワークに接続された電子制御装置における内部データの改ざんの有無を容易に、しかも高いセキュリティのもとに判定することができる車両用ネットワークシステム、及び同ネットワークシステムを用いる車両用情報処理方法を提供することにある。以下、上記課題を解決するための手段及びその作用効果を記載する。上記課題を解決するため、請求項1に記載の発明は、内部データの変更が可能な複数の電子制御装置が相互通信可能に車両用ネットワークに接続されてなる車両用ネットワークシステムであって、特定の電子制御装置に保持されている内部データに基づき生成された第1の検証データが分割されて複数の電子制御装置に分配保持されている分割データが回収され、かつ結合されて作成された第2の検証データと、前記特定の電子制御装置にその都度の時点で保持されている内部データに基づき生成された第3の検証データとを比較することに基づいて、前記特定の電子制御装置に保持されている内部データの改ざんの有無を判定することを要旨とする。上記課題を解決するため、請求項9に記載の発明は、内部データの変更が可能な複数の電子制御装置が相互通信可能に車両用ネットワークに接続されてなる車両用ネットワークシステムに用いられる車両用情報処理方法であって、特定の電子制御装置に保持されている内部データに基づき第1の検証データを予め生成するとともに、この生成した第1の検証データを複数の分割データに分割して複数の電子制御装置にそれら分割データを分配し、保持させる工程と、前記分割データを回収するとともに、該回収した複数の分割データを結合して第2の検証データを生成する工程と、前記特定の電子制御装置にその都度の時点で保持されている内部データに基づき第3の検証データを生成する工程と、前記第2の検証データと前記第3の検証データとの比較に基づいて、前記特定の電子制御装置に保持されている内部データの改ざんの有無を判定する工程と、を備えることを要旨とする。このような構成もしくは方法によれば、特定の電子制御装置の内部データの改ざんの有無が第2の検証データと第3の検証データとの比較に基づいて判定されるようになる。第2の検証データは、複数の電子制御装置に分割配布された複数の分割データから作成されるため、それら複数の分割データが個々に改ざんされるおそれが小さくなっている。すなわち、複数の分割データの改ざんを難しくしていることから、複数の分割データから作成される第2の検証データのセキュリティが高く維持される。また、この構成であれば、従来と同等の電子制御装置を用いたシステムであっても、内部データの改ざんの有無を従来よりも高いセキュリティのもとで判断できるようになる。このように、セキュリティを向上させた第2の検証データと、第3の検証データとを比較することで、コストアップ等を招くことなく、車両用ネットワークに接続された電子制御装置内の内部データの改ざんの有無を容易に、しかも高いセキュリティのもとに判定することができるようになる。また、特定の電子制御装置の内部データが更新、いわゆるリプログラミングされたような場合であれ、その更新された内部データに対する改ざんの有無の判定を可能である。すなわち、更新された内部データに基づいて生成された第1の検証データを複数の電子制御装置に分配保持させることで、第2の検証データと第3の検証データとの比較を行うことができる。請求項2に記載の発明は、請求項1に記載の車両用ネットワークシステムにおいて、前記第2の検証データと前記第3の検証データとの比較が前記特定の電子制御装置によっておこなわれることを要旨とする。請求項10に記載の発明は、請求項9に記載の車両用情報処理方法において、前記第2の検証データと前記第3の検証データとの比較を、前記特定の電子制御装置を通じて実行することを要旨とする。このような構成もしくは方法によれば、改ざんを判定したい特定の電子制御装置自身にて改ざんの有無が判定される。つまり、改ざんの有無の判定対象となる電子制御装置と、改ざんの有無を判定する電子制御装置とが同一の特定の電子制御装置になるため、改ざんの有無に対応した処理などを特定の電子制御装置にて速やかに行なえるようにもなる。請求項3に記載の発明は、請求項1又は2に記載の車両用ネットワークシステムにおいて、前記比較される前記第2の検証データ及び前記第3の検証データの保持が前記特定の電子制御装置によって行われることを要旨とする。請求項11に記載の発明は、請求項9又は10に記載の車両用情報処理方法において、前記比較する前記第2の検証データ及び前記第3の検証データの保持を、前記特定の電子制御装置によって行うことを要旨とする。このような構成もしくは方法によれば、特定の電子制御装置の改ざんの有無を判定するとき、判定対象の特定の電子制御装置から第2の検証データ及び第3の検証データを取得することができるため、それら第2の検証データ及び第3の検証データの取得が容易になる。請求項4に記載の発明は、請求項1~3のいずれか一項に記載の車両用ネットワークシステムにおいて、少なくとも前記第1の検証データ及び前記第3の検証データの生成が前記特定の電子制御装置によって行われることを要旨とする。請求項12に記載の発明は、請求項9~11のいずれか一項に記載の車両用情報処理方法において、少なくとも前記第1の検証データ及び前記第3の検証データの生成を、前記特定の電子制御装置によって行うことを要旨とする。このような構成もしくは方法によれば、第1の検証データ及び第3の検証データがその生成の基となる内部データを有する特定の電子制御装置にて生成されるため、それら第1の検証データや第3の検証データの生成が容易になる。また、内部データに応じた第1の検証データや第3の検証データの生成が、当該内部データを有する特定の電子制御装置によって確実、かつ、適切に行える。これにより、改ざんの有無の判定が好適に行われるようになる。請求項5に記載の発明は、請求項1~4のいずれか一項に記載の車両用ネットワークシステムにおいて、前記第1の検証データが複数に分割された分割データの前記複数の電子制御装置への分配が前記特定の電子制御装置によって行われることを要旨とする。請求項13に記載の発明は、請求項9~12のいずれか一項に記載の車両用情報処理方法において、前記第1の検証データを分割した分割データの前記複数の電子制御装置への分配を、前記特定の電子制御装置によって行うことを要旨とする。このような構成もしくは方法によれば、複数の分割データが特定の電子制御装置により分割配布されることから、改ざん判定に必要となる複数の分割データを特定の電子制御装置自身により回収できるようにもなる。また、特定の電子制御装置が、内部データの変更に応じて適宜、分割データを配布することができるようになるなど、分割データの配布の柔軟性が向上する。これにより、改ざんの有無の判定が好適に行われるようになる。請求項6に記載の発明は、請求項1~5のいずれか一項に記載の車両用ネットワークシステムにおいて、前記第1の検証データが複数に分割された分割データの保持が前記特定の電子制御装置に対しても行われることを要旨とする。請求項14に記載の発明は、請求項9~13のいずれか一項に記載の車両用情報処理方法において、前記第1の検証データを分割した分割データを前記特定の電子制御装置に対しても保持させることを要旨とする。このような構成もしくは方法によれば、特定の電子制御装置にそれ自身の分割データを保持することができることはもとより、例えば、他の電子制御装置の分割データであっても保持することもできる。これにより、車両用ネットワークシステムを改ざん有無の判定に幅広く対応させることができるようになる。請求項7に記載の発明は、請求項6に記載の車両用ネットワークシステムにおいて、前記特定の電子制御装置は、その内部データが通信により変更可能になっており、前記内部データが変更されるとき、前記保持されている分割データを当該特定の電子制御装置とは異なる他の電子制御装置に退避させることを要旨とする。請求項15に記載の発明は、請求項14に記載の車両用情報処理方法において、前記特定の電子制御装置は、その内部データが通信により変更可能になっており、前記内部データが変更されるとき、前記保持している分割データを当該特定の電子制御装置とは異なる他の電子制御装置に予め退避させる工程をさらに備えることを要旨とする。このような構成もしくは方法によれば、内部データの変更、いわゆるリプログラミングに先立って、特定の電子制御装置に保持されている分割データが他の電子制御装置に退避されるため、分割データが特定の電子制御装置のリプログラミングによっても維持される。すなわち、車両用ネットワークシステムでは、リプログラミング後であれ、退避された分割データの利用が可能になる。例えば、退避させた分割データが、他の電子制御装置から配布された分割データであるとすれば、他の電子制御装置は特定の電子制御装置がリプログラミングされたとしても退避された分割データに基づいて、その改ざん判定が可能ともなる。これにより、車両ネットワークシステムの構成自由度が向上するようになる。請求項8に記載の発明は、請求項7に記載の車両用ネットワークシステムにおいて、前記特定の電子制御装置は、前記内部データが変更された後、前記退避させた分割データを元に戻すことを要旨とする。請求項16に記載の発明は、請求項15に記載の車両用情報処理方法において、前記内部データが変更された後、前記特定の電子制御装置に前記退避させた分割データを戻す工程をさらに備えることを要旨とする。このような構成もしくは方法によれば、分割データが元の状態に戻されるため、当該分割データをリプログラミング前後で同様に、改ざん判定などに用いられるようにすることができるようになる。これにより、改ざん判定に対する利便性が向上する。このとき元に戻した分割データが、他の電子制御装置から配布された分割データであるとすれば、他の電子制御装置は特定の電子制御装置がリプログラミングされたとしてもその改ざん判定が可能となる。これにより、車両ネットワークシステムの構成自由度が向上するようになる。第1の実施形態本発明にかかる車両用ネットワークシステムを具体化した第1の実施形態について、図1及び図2に従って説明する。車両10には、車両用ネットワークシステムが設けられている。車両用ネットワークシステムには、第1~8の電子制御装置ECU11~18と、それら第1~8のECU11~18を相互通信可能にするように接続させるネットワーク19とが設けられている。ネットワーク19は、CANControlAreaNetworkなどの車両ネットワーク等から構成されており、そこに接続される第1~8のECU11~18の各々を、当該ネットワーク19を介する相互の情報通信を可能にさせている。つまり、第1~8のECU11~18にはそれぞれ、ネットワーク19を介しての相互通信を可能とさせるため、当該ネットワーク19の通信プロトコルに対応した通信信号の送受が可能な送信部及び受信部図示略が設けられている。そして、第1~8のECU11~18は、各種制御データなどを、送信部からネットワーク19に送信したり、逆に、受信部がネットワーク19から受信したりするようになっている。第1~8のECU11~18はそれぞれ、車両10の各種制御に用いられる制御装置であって、例えば、駆動系や、走行系や、車体系や、情報機器系等を制御対象としているECUである。例えば、駆動系を制御対象とするECUとしては、エンジン用ECUが挙げられ、走行系を制御対象とするECUとしては、ステアリング用ECUやブレーキ用ECUが挙げられ、車体系を制御するECUとしては、ライト用ECUやウィンドウ用ECUが挙げられ、情報機器系を制御対象とするECUとしては、カーナビゲーション用ECUが挙げられる。こうした第1~8のECU11~18はそれぞれ、演算装置や記憶装置を有するマイクロコンピュータを含み構成されている。すなわち、各第1~8のECU11~18には、制御用プログラムの演算処理を実行する演算装置CPUと、その制御に必要な制御用プログラムやデータなどが記憶された読み出し専用メモリROMと、CPUの演算結果が一時的に記憶される揮発性メモリRAMとが設けられている。これにより、各第1~8のECU11~18は、記憶装置に保持されている制御用プログラム等が演算装置に読み込まれ、実行処理されることで、制御対象の制御を行なう。このとき、第1~8のECU11~18は、各制御に必要なデータをネットワーク19を介して相互に授受するようにしている。また、本実施形態の、特定の電子制御装置としての第1のECU11には、制御に必要な制御用プログラムやデータなどが記憶されるメモリとしてさらに、不揮発性のメモリEEPROMが設けられている。すなわち、第1のECU11は、EEPROMに保持されている制御用プログラム等も演算装置に読み込まれ、実行処理されることで、制御対象の制御を行なう。EEPROMに保持されている制御用プログラム等は、それを書き換えることにより更新する、いわゆるリプログラミングリプロすることができるようになっている。これにより、第1のECU11は、ディーラなどで正規のリプログラミングを行われることにより、EEPROMに保持されている制御用プログラム等を最新の状態に更新されるようになっている。なお、リプログラミングは、ネットワーク19に接続されるテスタ等の図示しない保守装置が当該ネットワーク19を介して第1のECU11に通信可能に接続すると、所定の手順に基づいて新たなソフトウェアがその保守装置を通じて第1のECU11のEEPROMに書き込まれることによって実行される。一方、第1のECU11は、そのEEPROMのデータ内容が変更可能であるため、不正な保守装置により不正なリプログラミングが実行されたり、何らかの手段によるネットワーク19を介した不正なアクセスやウィルスなどによってプログラムの一部が書き換えられたりする、いわゆる改ざんされるおそれが否定できない。そこで、本実施形態では、第1のECU11の内部データが改ざんされたか否かを判定するようにする。第1のECU11には、制御用プログラムの実行処理に基づいて、算出部111、結合部112及び検証部113がそれぞれ設けられるとともに、第3の検証データとしての都度のチェック値CVの保持領域と第2の検証データとしての結合データUVの保持領域とがそれぞれ確保される。算出部111は、第1のECU11の現在の内部データに対応する都度のチェック値を、EEPROMに記憶されている制御用プログラム等に基づきハッシュ値として算出する。つまり、算出部111では、上記内部データのハッシュ値が予め定められたハッシュ関数に基づいて内部データの改ざんの有無を判定する都度のチェック値CVとして算出される。ハッシュ関数は、内部データから予め定められた疑似乱数ハッシュ値、メッセージダイジェストを生成する。なお理論上、同一のハッシュ値を持つ異なる内部データ例えば、改ざんされた内部データを作成することは極めて困難であることから、ハッシュ関数により作成されたハッシュ値は、作成時点現時点における内部データに唯一対応する値であることが保証される。結合部112は、第2のECU12及び第4~7のECU14~17にそれぞれ保持されている各分割データA~Eをそれぞれ収集し、それら収集した分割データA~Eを結合する。なお分割データA~Eは、上記分割データA~Eが作成された時点の内部データに対応する第1の検証データとしての当初データFVが5つに分割されて生成されたものであり、分割された順番と、分割データA~Eのアルファベットの順とが一致しているものとする。このとき当初データは、算出部111が都度のチェック値CVを算出するのと同一のハッシュ関数を用いて算出されている、つまり分割データA~Eが作成された時点の内部データに基づきハッシュ関数により求められたハッシュ値からなる。これにより、結合部112では、各分割データA~Eが結合されることにより、当初データFVに対応する結合データUVが生成される。さらに、結合部112には、各分割データA~EがそれぞれどのECUに配布されたのかを記憶させた順番リストが設けられている。つまり、順番リストには、分割データAは第5のECU15に配布され、分割データBは第6のECU16に配布され、分割データCは第2のECU12に配布され、分割データDは第4のECU14に配布され、分割データEは第7のECU17に配布されていることが記憶されている。これにより、結合部112は、分割データA~Eを順番リストに従って各ECUからアルファベットの順番に回収するとともに、回収した順番に従って分割データA~Eを結合することにより結合データUVを作成する。検証部113は、算出部111にて生成された現時点都度のチェック値CVと、結合部112にて生成した結合データUVとを比較することに基づいて、内部データの改ざんの有無を判断する。つまり、検証部113では、都度のチェック値CVと結合データUVとが一致する場合、内部データは改ざんされていないと判断する一方、都度のチェック値CVと結合データUVとが一致しない場合、内部データが改ざんされていると判断する。第2~8のECU12~18には、それらの制御用プログラムの実行処理に基づいて分割データを管理する機能が設けられるとともに、当該分割データを管理する機能によってEEPROMなどの不揮発性メモリに分割データの保持領域121,141,151,161,171などがそれぞれ必要に応じて確保される。そして、本実施形態では、第2のECU12の分割データの保持領域121には分割データCが保持され、第4のECU14の分割データの保持領域141には分割データDが保持され、第5のECU15の分割データの保持領域151には分割データAが保持されている。また、第6のECU16の分割データの保持領域161には分割データBが保持され、第7のECU17の分割データの保持領域171には分割データEが保持されている。なお、これらの分割データA~Eは、各分割データの保持領域121,141,151,161,171に予め登録されているものとする。ここでは、第3のECU13及び第8のECU18には分割データが保持されていないが、それら第3のECU13及び第8のECU18にも、他のECUに代えて、もしくは、他のECUとともに分割データを保持させてもよい。第2~8のECU12~18には、分割データの管理機能として、登録機能、送信機能、削除機能の各機能が設けられている。送信機能は、第2~8のECU12~18等が第1のECU11から分割データを回収する旨の指示を受けると、指示した第1のECU11に対応付けられた分割データを各保持領域から取得して、第1のECU11に対して送信する。登録機能は、第2~8のECU12~18が第1のECU11から分割データを登録する旨の指示を受けると、指示した第1のECU11に対応付けて分割データを各保持領域に保持する。削除機能は、第2~8のECU12~18が第1のECU11から分割データを削除する旨の指示を受けると、指示した第1のECU11に対応付けて保持されている分割データを各保持領域から削除する。作用次に、改ざんの有無の判定処理について、図2を参照して説明する。なお、第1のECU11では、車両10のイグニッションがオンされたときなどに改ざんの有無を判定するようになっている。図2に示すように、改ざんの有無の判定処理が開始されると、第1のECU11は、結合部112により分割データA~Eをそれらの保持された各ECUから順に回収収集する図2のステップS10とともに、それら回収したチェック値を結合して結合データを作成する図2のステップS11。つまり、第1のECU11は、第5のECU15から分割データAを、第6のECU16から分割データBを、第2のECU12から分割データCを、第4のECU14から分割データDを、第7のECU17から分割データEをそれぞれ回収するとともに、それら回収した分割データA~Eを当該順番で結合して結合データを作成する。次に、第1のECU11は、検証部113により、算出部111により算出されたチェック値CVと、結合部112により作成した結合データUVとが一致するか否かを判断する図2のステップS12。そして、都度のチェック値CVと結合データUVとが一致すると判断された場合図2のステップS12でYES、第1のECU11は、第1のECU11の内部データが改ざんされていない、すなわち、第1のECU11の状態は正常であると判断する。そして、この判断結果をメモリなどに設定して改ざんの有無の判定処理を終了する。一方、都度のチェック値CVと結合データUVとが一致しないと判断された場合図2のステップS12でNO、第1のECU11は、第1のECU11の内部データが改ざんされていると判断する。そして、この判断結果をメモリなどに設定して改ざんの有無の判定処理を終了する。この判断結果により、第1のECU11は、内部データの改ざんの有無を認識して、改ざんされている場合、他のECUへの警告の通知や、自身の処理を中止するなどの対応を実行することができる。なおこれら、改ざんに対応する必要最小限の機能を、ROMに保持されているため内容を変更できない制御用プログラムの処理に基づき実行するようにすれば、第1のECU11は、内部データの改ざんに対してより適切に対応できるようにもなる。以上説明したように、本実施形態の車両用ネットワークシステムによれば、以下に列記するような効果が得られるようになる。1第1のECU11の内部データの改ざんの有無を結合データUVと都度のチェック値CVとの比較に基づいて判定するようにした。結合データUVは、第2,4~7のECU12,14~17に分割配布された複数の分割データA~Eから作成されるため、それら複数の分割データA~Eが個々に改ざんされるおそれが小さくなっている。すなわち、複数の分割データA~Eの改ざんを難しくしていることから、複数の分割データA~Eから作成される結合データUVのセキュリティが高く維持される。また、この構成であれば、従来と同等のECUを用いたシステムであっても、それらECUの内部データの改ざんの有無を従来よりも高いセキュリティのもとで判断できるようになる。このように、セキュリティを向上させた結合データUVと、都度のチェック値CVとを比較することで、コストアップ等を招くことなく、車両用ネットワークに接続されたECU内の内部データの改ざんの有無を容易に、しかも高いセキュリティのもとに判定することができるようになる。また、第1のECU11の内部データが更新、いわゆるリプログラミングされたような場合であれ、その更新された内部データに対する改ざんの有無の判定を可能である。すなわち、更新された内部データに基づいて生成された当初データFVを分割した分割データを複数の電子制御装置に分配保持させることで、結合データUVと都度のチェック値CVとの比較を行うことができる。2内部データの改ざんを判定したい第1のECU11自身にて改ざんの有無が判定する。つまり、改ざんの有無の判定対象となるECUと、改ざんの有無を判定するECUとが同一の第1のECU11であるため、改ざんの有無に対応した処理などを第1のECU11にて速やかに行なえるようにもなる。3第1のECU11の改ざんの有無を判定するとき、判定対象の第1のECU11から結合データUV及び都度のチェック値CVを取得することができるため、それら結合データUV及び都度のチェック値CVの取得が容易になる。第2の実施形態本発明にかかる車両用ネットワークシステムを具体化した第2の実施形態について、図3及び図4に従って説明する。本実施形態は、その構成にリプロ装置20を設けたこと、及び第1のECU11に代えて第11のECU21を設けたことが上記第1の実施形態の構成と相違するものの、その他の構成については同様である。このことから、本実施形態では上記相違点を中心に説明し、説明の便宜上、第1の実施形態と同様の構成については同様の符号を付しその詳細な説明を割愛する。本実施形態では、第1の実施形態の第1のECU11に代えて、特定の電子制御装置としての第11のECU21が設けられている。第11のECU21は、第1のECU11と同様に、ネットワーク19の通信プロトコルに対応した通信信号の送受が可能な送信部及び受信部図示略が設けられている。また、第11のECU21には、第1のECU11の算出部111と同様の算出部211と、第1のECU11の結合部112と同様の結合部212と、第1のECU11の検証部113と同様の検証部213とがそれぞれ設けられるとともに、都度のチェック値CVの保持領域と結合データUVの保持領域とがそれぞれ確保されている。さらに、第11のECU21には、配布部214と、リプロ対応部215と、管理部216とが設けられている。配布部214は、算出部211に都度のチェック値CVを算出させるのと同一の方法で算出させた第11のECU21の内部データのハッシュ値からなる当初データFVを5分割して分割データA~Eを生成するとともに、当該生成した分割データA~Eを所定の順番で他のECUに配布する配布機能。なお、本実施形態では、所定の順番は、順番リストに予め設定されている順番であって、順番リストには、配布先として1番目が第5のECU15、同2番目が第6のECU、同3番目が第2のECU12、同4番目が第4のECU14、同5番目が第7のECU17に設定されている。リプロ対応部215は、第11のECU21のEEPROMに保持されている制御用プログラムがネットワーク19を介してリプロ装置20を通じてリプログラミングされる前後に所定の処理、例えば、改ざん有無の判定処理に関連するデータを他のECUに退避させる処理や、退避させたデータを元に戻したりする処理等を実行する。リプロ対応部215は、リプログラミングが実行される前、上記順番リストや、自身や他のECUから配布された分割データなど改ざん有無の判定処理に用いられるデータをリプログラミングされない他のECU、例えば第4のECU14に退避データ143として一時退避させる。また、リプロ対応部215は、リプログラミングされた後、一時退避させたデータを他のECUから、例えば一時退避させた退避データ143を第4のECU14から回収する。そして、リプロ対応部215は、回収した退避データ143に含まれている各データをリプログラミング前の状態に戻す、いわゆる元に戻す。例えば、リプロ対応部215は、回収したデータに他のECUの分割データが含まれていた場合、その分割データを他のECUからの求めに応じて送信可能な態様にて保持する。また、リプロ対応部215は、回収したデータに自身のチェック値CVや順番リストが含まれていた場合、それらを自身で利用可能な態様にて保持する。また、リプロ対応部215は、リプログラミングが終了すると、リプログラミング前の当初データFVに基づいて生成し、配布していた古い分割データA~Eを削除するため、それら古い分割データA~Eを保持している各ECUへ削除を指示する。このとき、削除を指示するECUを順番リストに基づいて特定さしてもよい。これにより、リプログラミングにより不要となった古い分割データが、それらの配布先の各ECUに蓄積されることを防いでいる。管理部216は、配布された分割データを管理するのもであって、第1の実施形態の第2のECU12等の分割データの管理機能と同様の機能を有し、登録機能、送信機能、削除機能の各機能が設けられている。つまり、送信機能は、自身もしくは他のECUからの分割データの送信要求に応じて、当該ECUに対応する分割データがある場合、該ECUに対応する分割データを送信する。登録機能は、自身もしくは他のECUからの分割データの登録要求に応じて、当該ECUから受けた分割データを該ECUに関連付けてその保持領域に登録する。削除機能は、自身もしくは他のECUからの分割データの削除要求に応じて、当該ECUに関連付けられている分割データをその保持領域から削除する。すなわち、第11のECU21は、自身から配布された分割データはもとより、他のECUから配布された分割データであっても維持管理することができる。なお、第11のECU21では、分割データや順番リストもEPPROMに記憶されることもあるが、分割データや順番リストは改ざんの有無を判断する対象とする第11のECU21の内部データには含まれない。つまり、算出部211は、分割データや順番リストが含まれないように、当初データFVや都度のチェック値CVを算出する。リプロ装置20は、ネットワーク19を介して通信可能に接続される第11のECU21のEEPROMに保持されている制御用プログラム等を書き換えにより更新する、いわゆるリプログラミングするための装置である。第11のECU21は、カーディーラなどでリプロ装置20を通じて実行される正規のリプログラミングにより、制御用プログラムやデータが最新の状態に更新されるようになっている。詳述すると、リプロ装置20は、ネットワーク19に接続されることで該ネットワーク19を介して第1のECU11に通信可能に接続されるようになると、そこに保持されている新たな制御用プログラムを所定の手順に基づいて第11のECU21のEEPROMに書き込む。一方、リプログラミングが可能である第11のECU21は、そのEEPROMのデータ内容が変更可能であるため、不正に実行されたリプログラミングや、何らかの手段によってネットワーク19を介してなされる不正なアクセスや操作によって書き換えられる、いわゆる改ざんされるおそれが否定できない。そこで、本実施形態では、第11のECU21の内部データが改ざんされたか否かを判定するようにしている。作用次に、リプログラミングに対する対応について、図4を参照して説明する。第11のECU21では、リプログラミングが実行される前後に渡ってリプログラミングに対する対応が行われる。リプロ装置20がネットワーク19に接続されて第11のECU21に対するリプログラミングの実行が準備されると、第11のECU21はリプログラミングに対する対応を開始する。まず、第11のECU21は、リプログラミングに先立ち、リプロ対応部215により、改ざん有無の判定処理に用いられるデータからなる退避データ143を第4のECU14に一時退避させるデータ退避を実行する図4のステップS20。データ退避が終了すると、第11のECU21はリプログラミングを実行される図4のステップS21。そのリプログラミングが終了されると、第11のECU21は、リプロ対応部215により第4のECU14に退避させた退避データ143を回収する図4のステップS22。そしてリプロ対応部215は、回収されたデータに含まれている順番リストに基づいてリプログラミング前に配布された古い分割データA~Eをそれらが配布されている第2,4~7のECU12,14~17から削除する図4のステップS23。また、リプロ対応部215は、リプログラミングされた第11のECU21の内部データに基づいて算出部211に新たな当初データFVを算出させて当該当初データFVを分割して新たな5つの分割データA~Eを生成し、それら新たな分割データA~Eを順番リストに基づいて配布する図4のステップS24。このように、リプログラミングに対応することによって、リプログラミングの前後にかかわらず、車両用ネットワークシステムにおいて第11のECU21は、その内部データの改ざんの有無を判断することができる。以上説明したように、本実施形態の車両用ネットワークシステムによれば、上記第1の実施形態にて記載した1~3の効果に加えて、以下に列記するような効果が得られるようになる。4当初データFV及び都度のチェック値CVがその生成の基となる内部データを有する第11のECU21にて生成されるため、それら当初データFVや都度のチェック値CVの生成が容易になる。また、内部データに応じた当初データFVや都度のチェック値CVの生成が、当該内部データを有する第11のECU21によって確実、かつ、適切に行える。これにより、改ざんの有無の判定が好適に行われるようになる。5複数の分割データA~Eが第11のECU21により分割配布されることから、改ざん判定に必要となる複数の分割データA~Eを第11のECU21自身により回収できる。また、第11のECU21が、内部データの変更に応じて適宜、分割データA~Eを配布することができるようになるなど、分割データA~Eの配布の柔軟性が向上する。これにより、改ざんの有無の判定が好適に行われるようになる。6第11のECU21にそれ自身の分割データを保持することができることはもとより、例えば、他のECUの分割データであっても保持することもできる。これにより、車両用ネットワークシステムを改ざん有無の判定に幅広く対応させることができるようになる。7内部データの変更、いわゆるリプログラミングに先立って、第11のECU21に保持されている分割データがあれば、それが他のECUに退避されるため、分割データが第11のECU21のリプログラミングによっても維持される。すなわち、車両用ネットワークシステムでは、リプログラミング後であれ、退避された分割データの利用が可能になる。例えば、退避させた分割データが、他のECUから配布された分割データであるとすれば、他のECUは特定の電子制御装置がリプログラミングされたとしても退避された分割データに基づいて、その改ざん判定が可能ともなる。これにより、車両ネットワークシステムの構成自由度が向上するようになる。8回収された分割データが元の状態に戻されるため、当該分割データをリプログラミング前後で同様に、改ざん判定などに用いることができるようになる。これにより、改ざん判定に対する利便性が向上する。このとき元に戻した分割データが、他のECUから配布された分割データであるとすれば、他のECUは第11のECU21がリプログラミングされたとしてもその改ざん判定が可能となる。これにより、車両ネットワークシステムの構成自由度が向上するようになる。第3の実施形態本発明にかかる車両用ネットワークシステムを具体化した第3の実施形態について、図5~図7に従って説明する。本実施形態は、配布部314が設けられている構成が上記第1の実施形態の構成と相違するものの、その他の構成については同様であることから、以下ではその相違点を中心に説明し、説明の便宜上、上記第1の実施形態と同様の構成については同様の符号を付しその詳細な説明を割愛する。配布部314は、上記第2の実施形態の第11のECU21の配布部214と同様の機能を有するものであって、算出部111に算出させた第1のECU11の内部データに対応する当初データFVを3分割して分割データ1~3を生成する。分割データ1~3は、図6に示すように、第1のECU11の内部データに基づき算出されたハッシュ値からなる当初データFVを固定長で3つに分割して生成されている。なお、3つの分割データ1~3は、他のECUへの配布時には、それらが第1のECU11に対応する分割データであることを示すID、例えば第1のECU11のネットワーク上での識別番号がそれぞれ付与される。また、配布部314は、生成した分割データ1~3をラウンドロビン方式で他のECUに配布する。すなわち、分割データ1~3がその順番で第2~8のECU12~18の順に配布される。第2~8のECU12~18の順番は、各ECUに付与されるネットワーク上の識別番号の大小などにより定まるが、ここでは、第2~8で示す順番と同じ順番に識別されるものとしている。また、本実施形態では、自身である第1のECU11を配布先から除外するようにしているが、配布先に含めるようにしてもよい。さらに、配布部314には、分割データ1~3をそれぞれ2回配布することが設定されている。そのため、配布部314は、分割データ1~3を、その順番で2回、各ECUに分配する。具体的には、最初の配布で、分割データ1が第2のECU12に、分割データ2が第3のECU13に、分割データ3が第4のECU14にそれぞれ配布される。続く二回目の配布で、分割データ1が第5のECU15に、分割データ2が第6のECU16に、分割データ3が第7のECU17にそれぞれ配布される。このように分割データ1~3が2回配布されると、分割データの配布が終了される。すなわち、配布部314は、ID付きの分割データ1を第2のECU12の保持領域122に保持させ、ID付きの分割データ2を第3のECU13の保持領域132に保持させ、ID付きの分割データ3を第4のECU14の保持領域142に保持させる。また、配布部314は、ID付きの分割データ1を第5のECU15の保持領域152に保持させ、ID付きの分割データ2を第6のECU16の保持領域162に保持させ、ID付きの分割データ3を第7のECU17の保持領域172に保持させる。このように各分割データ1~3が2つのECUに保持されることによって、この車両用ネットワークシステムでは、各分割データ1~3の保持に冗長性を持たせている。作用次に、この冗長性について、図7を参照して説明する。図7に示すように、第2のECU12に何らかの不都合が生じるなどして、第1のECU11が第2のECU12と通信できなくなったとすると、第1のECU11の結合部112は、第2のECU12に保持されている分割データ1を回収できなくなる。このように、分割データ1が回収できなくなると、第1のECU11は、第1のECU11の内部データの改ざんの有無を判定することができなくなってしまう。そこで、このような場合、第1のECU11は、もう一つの分割データ1を第5のECU15から回収するようにするとともに、分割データ2を第6のECU16から、分割データ3を第7のECU17からそれぞれ回収するようにする。これにより、分割データ1を保持している第2のECU12が通信不能になったとしても、第1のECU11は、その内部データの改ざんの有無を判断できるようになっている。なお、分割データ1~3が第5~7のECU15~17にも配布されていることは、順番リストを参照することにより知ることができる。以上説明したように、本実施形態の車両用ネットワークシステムによれば、上記第1の実施形態にて記載した1~3の効果に加えて、以下に列記するような効果が得られるようになる。9車両用ネットワークシステム内に、第1のECU11の分割データ1~3がそれぞれ2つずつ配布されているため、たとえ第2~7のECU12~17のうち1つが第1のECU11と通信できなくなったとしても、分割データが回収できるため、改ざん判定をすることができるようになる。これにより、車両用ネットワークシステムとしても信頼性を向上させることができるようにもなる。その他の実施形態なお上記各実施形態は、以下の態様で実施することもできる。上記各実施形態では、ネットワーク19はCANControlAreaNetworkから構成されている場合について例示した。しかしこれに限らず、ネットワークは、接続されているECU等の相互通信ネットワーク通信を可能とするものであれば、イーサーネット登録商標や、フレックスレイ登録商標や、IEEE1394FireWire登録商標などその他のネットワークから構成されていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記第2の実施形態では、第11のECU21が他のECUである第2~7のECU12~17に保持された分割データ1~3を削除する場合について例示した。しかしこれに限らず、分割データを保持している他のECUが、該保持している分割データの必要性を判断して、必要性がないと判断したとき当該保持している分割データを削除するようにしてもよい。例えば、図8に示すように、第5のECU15に、分割データの管理機能として、分割データ1の必要性を該分割データ1に対応する第1のECU11に問い合わせ、その問い合わせに対する回答に応じて分割データ1の維持又は削除を行う必要性確認機能を設けるようにしてもよい。すなわち、第5のECU15は、分割データ1の必要性について第1のECU11に問い合わせをして、その第1のECU11から肯定的な回答を得た場合、当該分割データ1を引き続き保持する。その一方、第5のECU15は、同問い合わせに対して第1のECU11から否定的な回答を得た場合や、第1のECU11からの応答がないことが所定の回数続くような場合、当該分割データ1を削除する。これにより、第5のECU15に不必要な分割データが蓄積してしまうことが防止されるようになる。なお、このような必要性確認機能は、分割データを保持するECU等であれば、どのようなECU等に設けてもよい。これにより、車両用ネットワークシステムの機能が適切に維持されるようになる。上記第3の実施形態では、当初データFVを固定長で3つに分割することにより分割データ1~3を生成する場合について例示した。しかしこれに限らず、当初データを可変長で3つに分割することにより複数の分割データを生成するようにしてもよい。例えば、図9に示すように、当初データFVを少なくとも2種類以上の長さデータ長を有するように分割することで、少なくとも2種類以上の長さからなる分割データ1A、分割データ2A及び分割データ3Aを生成する。このとき分割する長さデータ長は、予め設定しておいてもよいし、その都度乱数などを用いて算出するようにしてもよい。このように分割データのデータ長を変化させると、分割データの改ざんが一層難しくなるため、当該分割データを用いた改ざん判定がより高いセキュリティで行えるようになる。これにより、車両用ネットワークシステムのセキュリティがより向上されるようになる。上記第2の実施形態では、リプログラミングはネットワーク19に接続されたリプロ装置20により行われる場合について例示した。しかしこれに限らず、リプログラミングは、有線のみならず、無線によってネットワークに接続された装置により行われてもよい。また、この装置としては、テスタ等の小型の装置であっても、センタなどに設置された大型の装置であってもよい。これにより、車両用ネットワークシステムの設計の自由度の向上が図られるようになる。上記第2の実施形態では、当初データFVを5分割する場合について、上記第3の実施形態では、当初データFVを3分割する場合についてそれぞれ例示した。しかしこれに限らず、当初データを分割する数は、5や3より多くても、もしくは、5や3よりも少なくてもよい。これにより、車両用ネットワークシステムの設計の自由度の向上が図られるようになる。上記第3の実施形態では、分割データをラウンドロビン方式で各ECUに配布する場合について例示したが、これに限らず、改ざん判定を行うときに回収できるようになっているのであれば、分割データは、他の配布アルゴリズムやランダムな方法など他の配布方法によって配布されてもよい。これにより、車両用ネットワークシステムの設計の自由度の向上が図られるようになる。ところで上記第3の実施形態のように、第1のECU11は、第2のECU12との通信ができなくなった場合、第3~8のECU13~18を対象として、分割データを再配布するようにしてもよい。このようにすることで、分割データの冗長性を維持することができるようになる。上記各実施形態では、回収した分割データを回収順に結合する場合について例示したが、これに限らず、分割データに順番を識別可能な情報を付加しておくことで、回収順に変わらず正しく結合するようにしてもよい。これにより、車両用ネットワークシステムの設計の自由度の向上が図られるようになる。上記各実施形態では、改ざん判定の対象である第1のECU11又は第11のECU21には自身の当初データに基づく分割データを保持しない場合について例示した。しかし、これに限らず、第1のECU又は第11のECUなど改ざん判定の対象であるECUに分割データの一部を保持させてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記各実施形態では、第2のECU12や第4~7のECU14~17には、それぞれ分割データが1つだけ保持される場合について例示した。しかしこれに限らず、各ECUには、複数の分割データが保持されていてもよい。このとき、複数の分割データとしては、対応するECUを識別可能であれば、複数のECUの分割データを保持することができる。また、分割データの順番を識別可能であれば1つのECUに対しても複数の分割データを保持することができる。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記第2の実施形態では、第11のECU21に配布部214が設けられる場合について例示した。しかしこれに限らず、配布部が第11のECU以外のECUに設けられていてもよい。つまり、配布部は、第11のECUの当初データを取得でき、かつ、分割データを他のECUに配布可能であればどこに設けられていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記各実施形態では、第1のECU11又は第11のECU21に都度現時点のチェック値CVが保持される場合について例示したが、これに限らず、都度のチェック値CVは改ざん判定の際、取得することができるのであれば、第1のECU又は、第11のECU以外の他のECUなどに保持されていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記各実施形態では、第1のECU11に算出部111、結合部112及び検証部113が設けられる場合、又は、第11のECU21に算出部211、結合部212、検証部213が設けられる場合について例示した。しかしこれに限らず、算出部、結合部及び検証部の少なくとも1つが第1のECU又は、第11のECU以外のECUに設けられていてもよい。つまり、算出部は、第1のECU又は、第11のECUの内部データを取得できればどこに設けられていてもよく、結合部は、分割データが回収できるのであればどこに設けられていてもよく、検証部は、改ざん判定の対象とするECUの都度のチェック値と結合データとを得ることができればどこに設けられていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記各実施形態では、当初データFV及びチェック値CVがハッシュ値である場合について例示したが、これに限らず、改ざん判定の対象とするECUの内部データの同一性判断を可能にする値であれば、チェックサムなど、ハッシュ関数とは異なるアルゴリズムにより求められた値であっても、チェック値として採用してもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記各実施形態では、内部データの改ざん判定を、当該第1のECU11もしくは第11のECU21にて行う場合について例示した。しかしこれに限らず、改ざん判定の対象とするECU等のチェック値及び結合データをネットワークを介して取得できるのであれば、それら取得したチェック値及び結合データに基づいて、ゲートウェイ装置などを含む他のECUがその対象ECU等の内部データの改ざん判定を行ってもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記各実施形態では、第1のECU11又は第11のECU21と、第2~8のECU12~18との構成が異なる場合について例示した。しかしこれに限らず、第2~8のECUは、その構成が第1のECUや第11のECUと同じ構成であってもよい。第2~8のECUを第1のECUなどと同様の構成にすれば、第2~8のECUでも内部データの改ざん判定が行えるようになる。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。上記各実施形態では、車両用ネットワークシステムが車両10に搭載されている場合について例示したが、これに限らず、車両用ネットワークシステムの一部が車両外に設けられていてもよい。すなわち、無線通信で必要な速度が確保されるようであれば、システムの一部のECUが車両外に設けられていてもよい。これにより、車両用ネットワークシステムの構成の自由度の向上が図られるようになる。"