"記憶内容が書き換え可能な不揮発性メモリに記憶されているソフトウェアに従って制御対象を制御する第1の制御ユニットと、該第1の制御ユニットとは別の第2の制御ユニットとの、少なくとも2つの制御ユニットが、車両に設けられている通信線を介して通信可能に接続され、前記通信線には、少なくとも前記第1の制御ユニットの前記不揮発性メモリに記憶されているソフトウェアを書き換えるための外部装置である書換ツールが、着脱可能になっている車載通信システムであって、前記第1の制御ユニットと前記第2の制御ユニットとの各々は、互いに特定の関係を有する接続確認用データが記憶されたデータ記憶手段を備えており、前記第1の制御ユニットは、前記書換ツールからの書換開始通知を受けると、該書換ツールとの間で所定の書換許可用通信を行う処理を含む書換許可用処理を行い、該書換許可用処理が完了した後に、前記不揮発性メモリ内のソフトウェアを前記書換ツールから送信されてくるソフトウェアに書き換える書換処理を行うようになっており、更に、前記第1の制御ユニットは、前記書換開始通知を受けてから前記書換処理が開始されるまでの間に、前記第2の制御ユニットと通信して、該第2の制御ユニットの前記データ記憶手段に記憶されている接続確認用データを取得し、その第2の制御ユニットから取得した接続確認用データである他ユニット接続確認用データと、当該第1の制御ユニットの前記データ記憶手段に記憶されている接続確認用データである自ユニット接続確認用データとが、前記特定の関係を有しているか否かを判定する判定手段と、前記判定手段が動作したにも拘わらず、該判定手段により前記他ユニット接続確認用データと前記自ユニット接続確認用データとが前記特定の関係を有していると判定されない場合には、当該第1の制御ユニットにおいて前記書換処理が行われるのを禁止する書換禁止手段と、を備えていること、を特徴とする車載通信システム。請求項1に記載の車載通信システムにおいて、前記書換許可用処理は、所定の順序で行われる複数の処理からなり、前記判定手段は、前記書換許可用処理をなす複数の各処理が終了する毎に動作すること、を特徴とする車載通信システム。請求項1又は請求項2に記載の車載通信システムにおいて、前記第1の制御ユニットは、前記書換開始通知を受けると、当該第1の制御ユニットの前記データ記憶手段に記憶されている接続確認用データを前記書換ツールへ送信し、前記書換処理が終了した後に、前記書換ツールから送信されて来る新たな接続確認用データを、当該第1の制御ユニットの前記データ記憶手段に更新記憶するようになっており、前記書換ツールは、前記第1の制御ユニットから送信されてきた接続確認用データを、所定のロジックで更新すると共に、その更新した接続確認用データを、前記第1の制御ユニットにて前記書換処理が終了した後に、前記新たな接続確認用データとして前記第1の制御ユニットへ送信するようになっており、前記第2の制御ユニットは、前記第1の制御ユニットにて前記書換処理が終了した後に、当該第2の制御ユニットの前記データ記憶手段に記憶されている接続確認用データを、前記新たな接続確認用データと前記特定の関係を有するデータに更新すること、を特徴とする車載通信システム。請求項3に記載の車載通信システムにおいて、前記第1の制御ユニットの前記判定手段は、当該第1の制御ユニットが前記制御対象を制御する通常制御期間中においても動作すること、を特徴とする車載通信システム。請求項4に記載の車載通信システムにおいて、前記第1の制御ユニットは、前記通常制御期間中において、前記判定手段により前記他ユニット接続確認用データと前記自ユニット接続確認用データとが前記特定の関係を有していないと判定された場合に、当該第1の制御ユニットから前記制御対象を制御するための所定の信号が出力されるのを禁止する出力禁止手段を備えていること、を特徴とする車載通信システム。請求項1ないし請求項5の何れか1項に記載の車載通信システムにおいて、前記第2の制御ユニットは、前記通信線へ前記書換開始通知が出力されたことを検知すると、前記書換ツールと前記第1の制御ユニットとの間の通信内容を監視して、その通信内容が前記書換許可用通信とは異なるものであるか否かを判定すること、を特徴とする車載通信システム。請求項6に記載の車載通信システムにおいて、前記第2の制御ユニットは、前記書換ツールと前記第1の制御ユニットとの間の通信内容が前記書換許可用通信とは異なるものであると判定した場合には、前記書換ツールと前記第1の制御ユニットとの間の通信を妨害するための通信妨害用データを、前記通信線に出力すること、を特徴とする車載通信システム。請求項7に記載の車載通信システムにおいて、前記通信妨害用データは、前記書換ツールと前記第1の制御ユニットとの間の通信で使用される通信データよりも優先度が高い通信データであること、を特徴とする車載通信システム。記憶内容が書き換え可能な不揮発性メモリに記憶されているソフトウェアに従って制御対象を制御すると共に、車両に設けられている通信線を介して他のユニットと通信可能に接続され、更に、前記通信線に着脱可能な外部装置である書換ツールからの書換開始通知を受けると、該書換ツールとの間で所定の書換許可用通信を行う処理を含む書換許可用処理を行い、該書換許可用処理が完了した後に、前記不揮発性メモリ内のソフトウェアを前記書換ツールから送信されてくるソフトウェアに書き換える書換処理を行う制御ユニットにおいて、前記他のユニットに記憶されている接続確認用データと特定の関係を有する接続確認用データが記憶されたデータ記憶手段と、前記書換開始通知を受けてから前記書換処理が開始されるまでの間に、前記他のユニットと通信して、該他のユニットに記憶されている接続確認用データを取得し、その取得した接続確認用データである他ユニット接続確認用データと、当該制御ユニットの前記データ記憶手段に記憶されている接続確認用データである自ユニット接続確認用データとが、前記特定の関係を有しているか否かを判定する判定手段と、前記判定手段が動作したにも拘わらず、該判定手段により前記他ユニット接続確認用データと前記自ユニット接続確認用データとが前記特定の関係を有していると判定されない場合には、当該制御ユニットにおいて前記書換処理が行われるのを禁止する書換禁止手段と、を備えていることを特徴とする制御ユニット。請求項9に記載の制御ユニットにおいて、前記書換許可用処理は、所定の順序で行われる複数の処理からなり、前記判定手段は、前記書換許可用処理をなす複数の各処理が終了する毎に動作すること、を特徴とする制御ユニット。請求項9又は請求項10に記載の制御ユニットにおいて、前記書換開始通知を受けると、前記データ記憶手段に記憶されている接続確認用データを前記書換ツールへ送信し、前記書換処理が終了した後に、前記書換ツールから送信されて来る新たな接続確認用データを、前記データ記憶手段に更新記憶すること、を特徴とする制御ユニット。請求項11に記載の制御ユニットにおいて、前記判定手段は、当該制御ユニットが前記制御対象を制御する通常制御期間中においても動作すること、を特徴とする制御ユニット。請求項12に記載の制御ユニットにおいて、前記通常制御期間中において、前記判定手段により前記他ユニット接続確認用データと前記自ユニット接続確認用データとが前記特定の関係を有していないと判定された場合に、当該制御ユニットから前記制御対象を制御するための所定の信号が出力されるのを禁止する出力禁止手段を備えていること、を特徴とする制御ユニット。ところで、オンボード書き換えが可能な制御ユニットによれば、市場への供給後に制御内容を変更したい場合に、制御ソフトを書き換えることで容易に対応することができる反面、何者かによって制御ソフトが不正に書き換えられる即ち、正規の書換ツールを用いることなく書き換えられる可能性もある。そして、制御ソフトの不正書き換えを防止する手法としては、例えば特許文献1の技術を流用することが考えられる。つまり、制御ユニットは書換ツールから取得する識別番号と自身の識別番号とを照合して両方の識別番号が一致していなければ書換処理の実行を禁止する、という構成を採ることが考えられる。尚、一般に、このような照合の思想は、上記書換許可用通信に適用されている。しかしながら、制御ソフトを不正に書き換えようとする者以下、不正行為者というが、制御ユニットと書換ツールとの間で行われる書換許可用通信の手順及び内容を解析して、正規の書換ツールと同じように機能する装置を作成してしまう可能性もゼロではない。但し、そのような解析の作業は、車両から制御ユニットを取り外し、単体状態となった制御ユニットの通信用端子に計測機器を接続して実施されることが予想される。制御ユニットが車両に搭載された状態であって他の車載制御ユニットと通信可能な状態においては、ただでさえ作業性が悪い上に、書換ツールとの通信内容を解析しようとする際の推定要素が増えるため、その解析が格段に難しくなると考えられるからである。本発明は、このような点に着目しており、制御ユニットのソフトウェアが不正に書き換えられることの防止効果が高い車載通信システムと、その車載通信システムを構成する制御ユニットとを、提供することを目的としている。請求項1の車載通信システムでは、記憶内容が書き換え可能な不揮発性メモリ書換可能不揮発性メモリに記憶されているソフトウェアに従って制御対象を制御する第1の制御ユニットと、該第1の制御ユニットとは別の第2の制御ユニットとの、少なくとも2つの制御ユニットが、車両に設けられている通信線を介して通信可能に接続されている。また、通信線には、少なくとも第1の制御ユニットの不揮発性メモリに記憶されているソフトウェアを書き換えるための外部装置である書換ツールが、着脱可能になっている。そして、この車載通信システムにおいて、第1の制御ユニットと第2の制御ユニットとの各々は、互いに特定の関係を有する接続確認用データが記憶されたデータ記憶手段を備えている。また、第1の制御ユニットは、書換ツールからの書換開始通知を受けると、該書換ツールとの間で所定の書換許可用通信を行う処理を含む書換許可用処理を行い、該書換許可用処理が完了した後に、不揮発性メモリ内のソフトウェアを書換ツールから送信されてくるソフトウェアに書き換える書換処理を行うようになっている。そして更に、第1の制御ユニットは、判定手段と書換禁止手段とを備えている。それらのうち、判定手段は、当該第1の制御ユニットが書換開始通知を受けてから書換処理が開始されるまでの間に、第2の制御ユニットと通信して、該第2の制御ユニットのデータ記憶手段に記憶されている接続確認用データを取得し、その第2の制御ユニットから取得した接続確認用データである他ユニット接続確認用データと、当該第1の制御ユニットのデータ記憶手段に記憶されている接続確認用データである自ユニット接続確認用データとが、前記特定の関係を有しているか否かを判定する。そして、書換禁止手段は、判定手段が動作したにも拘わらず、該判定手段により他ユニット接続確認用データと自ユニット接続確認用データとが前記特定の関係を有していると判定されない場合には、当該第1の制御ユニットにおいて書換処理が行われるのを禁止する。尚、特許請求の範囲において、ソフトウェアとは、制御対象を制御するための制御プログラムに限らず、その制御プログラムの処理によって参照される制御データのことも含んでいる。そして、書換処理によって書き換えられる不揮発性メモリ内のソフトウェアとしては、制御プログラムと制御データとの一方であっても良いし、両方であっても良く、また、制御プログラムの一部又は制御データの一部でも良い。このような請求項1の車載通信システムによれば、第1の制御ユニットが上記判定手段及び書換禁止手段を備えているため、その第1の制御ユニットのソフトウェア不揮発メモリ内のソフトウェアは、該第1の制御ユニットが他の第2の制御ユニットと共に車両の通信線に接続されている状態、即ち、車両に搭載されている状態でしか書き換えることができない。その状態でないと、判定手段が動作しても、該判定手段は、第2の制御ユニットから接続確認用データ他ユニット接続確認用データを取得することができないため、他ユニット接続確認用データと自ユニット接続確認用データとが特定の関係を有していると判定せず、書換処理が禁止されるからである。このため、第1の制御ユニットのソフトウェアを不正に書き換えようとする不正行為者が、その第1の制御ユニットを車両から取り外し、単体状態となった制御ユニットの通信用端子通信線と接続される端子に、試行錯誤しながら信号を与えることで、ソフトウェアを書き換えようとしても、そのような不正な書き換えを防止することができる。また仮に、第1の制御ユニットが車両に搭載されている状態で、不正行為者が、その第1の制御ユニットのソフトウェアを書き換えようとしても、第1の制御ユニットは、書換ツールだけでなく第2の制御ユニットとも通信することで、書換処理を行う状態に移行するため、その移行条件の全てを不正行為者が見つけ出すのは非常に困難になると考えられる。以上のことから、請求項1の車載通信システムによれば、制御ユニット第1の制御ユニットのソフトウェアが不正に書き換えられることの防止効果を高めることができる。次に、請求項2の車載通信システムでは、請求項1の車載通信システムにおいて、前記書換許可用処理は、所定の順序で行われる複数の処理からなり、判定手段は、その書換許可用処理をなす複数の各処理が終了する毎に動作する。この構成によれば、第1の制御ユニットが書換開始通知を受けてから書換処理を開始するまでの間に、第1の制御ユニットにおいては、判定手段が複数回動作することとなり、そのため、第2の制御ユニットとの接続確認接続確認用データを用いた認証が複数回行われることとなる。よって、第1の制御ユニットのソフトウェアが不正に書き換えられることの防止効果を一層高めることができる。例えば、不正行為者が、車両に第1の制御ユニットが搭載されている状態で、その第1の制御ユニットのソフトウェアを書き換えようとし始め、試行錯誤している途中で、第1の制御ユニット又は第2の制御ユニットを車両の通信線から外したとしても、その後に判定手段が動作することで、書換禁止手段により第1の制御ユニットのソフトウェアを書換不能とすることができる。次に、請求項3の車載通信システムでは、請求項1,2の車載通信システムにおいて、第1の制御ユニットは、書換ツールからの書換開始通知を受けると、当該第1の制御ユニットのデータ記憶手段に記憶されている接続確認用データを書換ツールへ送信し、前記書換処理が終了した後に、書換ツールから送信されて来る新たな接続確認用データを、当該第1の制御ユニットのデータ記憶手段に更新記憶するようになっている。そして、書換ツールは、第1の制御ユニットから送信されてきた接続確認用データを、所定のロジックで更新すると共に、その更新した接続確認用データを、第1の制御ユニットにて前記書換処理が終了した後に、前記新たな接続確認用データとして第1の制御ユニットへ送信するようになっている。更に、第2の制御ユニットは、第1の制御ユニットにて前記書換処理が終了した後に、当該第2の制御ユニットのデータ記憶手段に記憶されている接続確認用データを、前記新たな接続確認用データと前記特定の関係を有するデータに更新するようになっている。つまり、第1の制御ユニットで記憶される接続確認用データは、書換ツールによって更新し、第2の制御ユニットで記憶される接続確認用データは、第2の制御ユニット自身によって更新するようになっている。このような請求項3の車載通信システムによれば、万一、第1及び第2の制御ユニットが車両の通信線に接続されている状態で、第1の制御ユニットのソフトウェアが正規の書換ツールではない外部装置以下、非正規外部装置というによって不正に書き換えられたとしても、第1の制御ユニットで記憶される接続確認用データは、正しく更新されることがなく、第2の制御ユニットで記憶される更新後の接続確認用データとは特定の関係を有さないものとなる。よって、第1及び第2の制御ユニットが車両の通信線に接続されている状態で、不正行為者が、再び第1の制御ユニットのソフトウェアを書き換えようとしても、判定手段は、他ユニット接続確認用データと自ユニット接続確認用データとが特定の関係を有していないと判定することとなり、そのような2回目以降の不正書き換えを阻止することができる。次に、請求項4の車載通信システムでは、請求項3の車載通信システムにおいて、第1の制御ユニットの判定手段は、当該第1の制御ユニットが制御対象を制御する通常制御期間中においても動作するようになっている。そして、この構成によれば、万一、第1の制御ユニットのソフトウェアが非正規外部装置によって不正に書き換えられたとしても、その後、第1の制御ユニットが起動されて通常制御期間中に判定手段が動作すれば、判定手段は、他ユニット接続確認用データと自ユニット接続確認用データとが特定の関係を有していないと判定することとなる。よって、その通常制御期間中に動作する判定手段により、ソフトウェアの不正書き換えがあったことを検知することができる。そして、ソフトウェアの不正書き換えを検知した場合には、何等かの対策処理を行うことができるようになる。その対策処理としては、例えば、ソフトウェアの不正書き換えがあったことを示す履歴を記憶する処理や、警告灯を点灯させる処理が考えられる。それらの処理は、カーディーラにおける車両整備者等にソフトウェアの不正書き換えがあったことを知らせるための処理である。また、他の対策処理として、請求項5に記載のような処理を行うように構成しても良い。即ち、請求項5の車載通信システムでは、請求項4の車載通信システムにおいて、第1の制御ユニットは、出力禁止手段を備えている。そして、その出力禁止手段は、通常制御期間中において、判定手段により他ユニット接続確認用データと自ユニット接続確認用データとが特定の関係を有していないと判定された場合に、当該第1の制御ユニットから制御対象を制御するための所定の信号が出力されるのを禁止する。この構成によれば、第1の制御ユニットは、ソフトウェアが不正に書き換えられると、制御対象を制御するための信号を出力しなくなるため、実質的に機能しなくなる。このため、ソフトウェアを不正に書き換えること自体が意味をなさなくなり、その結果、ソフトウェアの不正書き換え防止効果を更に高めることができる。次に、請求項6の車載通信システムでは、請求項1~5の車載通信システムにおいて、第2の制御ユニットは、前記通信線へ書換開始通知が出力されたことを検知すると、書換ツールと第1の制御ユニットとの間の通信内容を監視して、その通信内容が前記書換許可用通信とは異なるものであるか否かを判定する。この構成によれば、第1及び第2の制御ユニットが車両の通信線に接続されている状態で、不正行為者が、第1の制御ユニットのソフトウェアを非正規外部装置によって不正に書き換えようとした場合に、そのことを第2の制御ユニットが検知して何等かの対策処理を行うことができるようになる。非正規外部装置が用いられた場合、第1の制御ユニットとの正しい書換許可用通信が最初から完全に実現されるとは考えられないからである。尚、第2の制御ユニットが行う対策処理としては、例えば、第1の制御ユニットのソフトウェアが不正に書き換えられようとしたことを示す履歴を記憶する処理や、警告灯を点灯させる処理が考えられる。それらの処理は、カーディーラにおける整備者等に対して、第1の制御ユニットのソフトウェアが不正に書き換えられた可能性があることを知らせるための処理である。また、第2の制御ユニットは、請求項7に記載のような対策処理を行うように構成しても良い。即ち、請求項7の車載通信システムでは、請求項6の車載通信システムにおいて、第2の制御ユニットは、書換ツールと第1の制御ユニットとの間の通信内容が前記書換許可用通信とは異なるものであると判定した場合には、書換ツールと第1の制御ユニットとの間の通信を妨害するための通信妨害用データを、通信線に出力する。尚、この場合、第1の制御ユニットと通信しようとしている書換ツールは、実際には、非正規外部装置であるということになる。そして、このように構成すれば、第1の制御ユニットのソフトウェアが実際に書き換えられてしまうことの防止効果を一層高めることができる。不正行為者の立場から見ると、非正規外部装置から第1の制御ユニットへ試行錯誤して種々の信号を送信しようとしても、その不正な通信自体が妨害されて、ソフトウェアの書き換えに至ることができなくなるからである。また、もし不正行為者が、第2の制御ユニットから通信妨害用データが出ていることに気付いて、その第2の制御ユニットを通信線から外したならば、第1の制御ユニットにおいては、前述した判定手段及び書換禁止手段の機能により、書換処理の実施が禁止されるため、やはりソフトウェアの不正書き換えを阻止することができる。尚、請求項8に記載のように、通信妨害用データとしては、書換ツールと第1の制御ユニットとの間の通信で使用される通信データよりも優先度が高い通信データであれば良い。また、その通信妨害用データは、可能な限り短い周期で送信することが好ましい。通信妨害用データが通信線を占有する時間が長くなるため、通信妨害効果を大きくすることができるからである。また、第2の制御ユニットは、通信妨害用データを一定時間だけ送信するように構成することもできるが、書換ツールと第1の制御ユニットとの間の通信内容が書換許可用通信とは異なるものであると一旦判定したなら、動作用電源が遮断されて動作を停止するまで、通信妨害用データを送信し続けるように構成することもできる。そして、後者の方が、通信妨害効果が高く好ましいと言える。一方、請求項9の制御ユニットによれば、請求項1の車載通信システムにおける第1の制御ユニットとして使用することでき、請求項10の制御ユニットによれば、請求項2の車載通信システムにおける第1の制御ユニットとして使用することでき、請求項11の制御ユニットによれば、請求項3の車載通信システムにおける第1の制御ユニットとして使用することできる。そして、請求項12の制御ユニットによれば、請求項4の車載通信システムにおける第1の制御ユニットとして使用することでき、請求項13の制御ユニットによれば、請求項5の車載通信システムにおける第1の制御ユニットとして使用することできる。以下に、本発明が適用された実施形態の車載通信システムについて説明する。図1に示すように、本実施形態の車載通信システム1は、車両のエンジンを制御する電子制御ユニット以下、エンジンECUという11と、車両の走行状態に応じたエンジンの目標出力や自動変速機の目標変速状態など、車両の動力に関する目標の制御状態を決定する電子制御ユニット以下、車両統合ECUという12と、車両の上記自動変速機を制御する電子制御ユニット以下、トランスミッションECUという13と、車両盗難を防止するためのイモビライザ制御を行う電子制御ユニット以下、イモビライザECUという14と、車両のメータを制御する電子制御ユニット以下、メータECUという15と、を備えている。そして、各ECU11~15は、車両に配設されている通信線17を介して互いにデータ通信可能に接続されている。また、通信線17には、外部装置車両外部の装置を当該通信線17に着脱可能とするためのコネクタ18が設けられている。そして、そのコネクタ18には、ECU11~15のうちの何れかの制御ソフト制御プログラム及び制御データからなるソフトウェアを書き換える際に、制御ソフト書き換え用の外部装置である書換ツール19が取り付けられる。尚、本実施形態では、ECU11~15のうち、エンジンECU11だけが制御ソフトのオンボード書き換えが可能となっているものとして説明する。このため、書換ツール19は、エンジンECU11の制御ソフトを書き換える場合に、コネクタ18を介して通信線17に接続される。ここで、エンジンECU11は、処理動作の中枢部であるマイコン21と、記憶内容が書き換え可能な不揮発性メモリ本実施形態ではフラッシュメモリ22と、通信線17に接続されている他のECUと通信するための通信回路23とを備えている。また、フラッシュメモリ22には、記憶内容の書き換えが許可された2つの記憶領域22a,22bが設けられている。一方の記憶領域22aには、エンジンを制御するための制御ソフト制御プログラム及び制御データが記憶されており、他方の記憶領域22bには、通信線17に当該ECU11及び車両統合ECU12が接続されていることを確認するための接続確認用データが記憶されている。そして、エンジンECU11では、マイコン21がフラッシュメモリ22内の制御ソフトを実行詳しくは、制御ソフトのうちの制御プログラムを実行することで、その制御ソフトに従いエンジンを制御する。例えば、マイコン21は、車両統合ECU12から通信線17を介して送信されてくる目標出力が実現されるように、エンジンを制御する。また、車両統合ECU12も、処理動作の中枢部であるマイコン25と、記憶内容が書き換え可能な不揮発性メモリ本実施形態ではフラッシュメモリ26と、通信線17に接続されている他のECUと通信するための通信回路27とを備えている。そして、フラッシュメモリ26において、記憶内容の書き換えが許可されている所定記憶領域には、エンジンECU11のフラッシュメモリ22に記憶されている接続確認用データと特定の関係を有する接続確認用データが記憶されている。尚、本実施形態において、その特定の関係とは、同じという関係である。そして、車両統合ECU12では、マイコン25が、例えば当該マイコン25に内蔵されているROM内の制御ソフトを実行詳しくは、制御ソフトのうちの制御プログラムを実行することで、エンジンの目標出力や自動変速機の目標変速状態などを決定して、目標出力をエンジンECU11へ送信したり、目標変速状態をトランスミッションECU13へ送信したりする動力制御処理を行う。また、図示を省略しているが、トランスミッションECU13、イモビライザECU14及びメータECU15の各々も、マイコンや通信回路を備えている。そして、その各ECU13~15においても、マイコンが、そのECUに設けられている通信回路及び上記通信線17を介して、他のECUと通信することにより情報をやりとりして、各自の制御対象を制御するための処理を行う。例えば、トランスミッションECU13のマイコンは、車両統合ECU12から通信線17を介して送信されてくる目標変速状態が実現されるように、自動変速機トランスミッションを制御する。尚、本実施形態において、ECU11~15は、車両がイグニッションオンの状態車両におけるイグニッション系の電源ラインにバッテリ電圧が供給される状態になると動作用電源が供給されて起動する詳しくは、そのECU11~15のマイコンが起動する。一方、書換ツール19は、処理動作の中枢部であるマイコン31や通信回路33や操作部35を備えている。そして、書換ツール19では、当該書換ツール19の使用者通常は、エンジンECU11の制御ソフトを書き換える作業者が操作部35に対して所定の操作を行うと、マイコン31が、エンジンECU11の制御ソフトを書き換えるための制御ソフト書換用処理を行う。また、書換ツール19には、エンジンECU11へ送信する制御ソフト即ち、書き換えるべき新たな制御ソフトが記憶された所定形状の記憶媒体37が装着されるようになっている。尚、記憶媒体37としては、例えばカード型のメモリカードやUSBメモリ等が考えられる。次に、エンジンECU11の制御ソフトを書き換える際に、そのエンジンECU11と車両統合ECU12と書換ツール19との各々で実行される処理について説明する。エンジンECU11の制御ソフトを書き換える作業者が、書換ツール19を車両の通信線17に接続し、その後、操作部35に対して所定の操作を行うと、書換ツール19は、通信線17に書換開始通知を送信する。そして、エンジンECU11では、フラッシュメモリ22内の制御ソフトに従いエンジンの制御を行う通常制御期間中において、書換ツール19からの書換開始通知を受信すると、マイコン21が、図2の書換開始通知応答処理を実行する。図2に示すように、エンジンECU11のマイコン21は、書換開始通知応答処理の実行を開始すると、まずS110にて、現在の制御ソフトを当該ECU11に適合しない制御ソフトに書き換えてしまうことを防止するための品番確認用処理を行う。具体的には、まず、書換ツール19から品番要求が送信されてくるため、その品番要求を受信したなら、書換ツール19へ当該ECU11の品番を送信する。すると、書換ツール19では、記憶媒体37に記憶されている制御ソフトのうち、当該ECU11の品番に適合する制御ソフトが、書き換えるべき新たな制御ソフトとして選択される。尚、エンジンECU11において、当該ECU11の品番は、例えば、フラッシュメモリ22の記憶領域のうちで記憶内容の書き換えが許可されていない書換不能領域、又はマイコン21内のROMに記憶されている。次に、S120にて、他ユニット本実施形態では車両統合ECU12の接続確認用データと当該ECU11の接続確認用データとが一致しているか否かを確認するための一致確認処理を行う。具体的には、まず、車両統合ECU12へ、接続確認用データを要求するためのデータ要求を送信する。そして、車両統合ECU12は、そのデータ要求を受信したなら、フラッシュメモリ26に記憶されている接続確認用データをエンジンECU11へ送信するため、当該ECU11のマイコン21は、車両統合ECU12からの接続確認用データを受信して、その受信した車両統合ECU12の接続確認用データと、当該ECU11の接続確認用データ即ち、フラッシュメモリ22の記憶領域22bに記憶されている接続確認用データとが一致しているか否かを判定する。そして、次のS125にて、S120での一致確認処理による判定結果が一致であるか否かを判定し、一致ではないと判定した場合には、そのまま当該書換開始通知応答処理を終了する。この場合には、エンジンの制御が引き続き行われることとなる。尚、S125では、一致確認処理により、車両統合ECU12の接続確認用データと当該ECU11の接続確認用データとが一致していない不一致であると判定された場合、あるいは、車両統合ECU12から接続確認用データが送信されてこなかった場合に、一致確認処理による判定結果が一致ではないと判定される。そして、このことは、後述するS155,S175,S195,S200及び図3におけるS315の各々についても同様である。一方、上記S125にて、S120での一致確認処理による判定結果が一致であると判定した場合には、S130に進む。S130では、接続確認用データを書換ツール19によって更新してもらうために、フラッシュメモリ22に記憶されている接続確認用データを書換ツール19へ送信する。次にS140にて、実行対象のプログラムを切り替える。つまり、本実施形態において、このS140と上記S110~S130の処理は、フラッシュメモリ22の記憶領域22aに書き換え対象の制御ソフトの一部として記憶されている所定のプログラムによって行われるため、このS140にて、フラッシュメモリ22の書換不能領域又はマイコン21内のROMに記憶されている書換処理用プログラムへジャンプし、以後は、その書換処理用プログラムを実行することで、後述するS150以降の処理を行う。そして、S140に続くS150では、上記S120と同じ一致確認処理を行う。そして更に、次のS155にて、上記S125と同様に、S150での一致確認処理による判定結果が一致であるか否かを判定し、一致ではないと判定した場合には、後述する最後のS240へ移行するが、一致であると判定した場合には、S160に進む。S160では、他のECU12~15に対して、故障診断停止の要求と、通信停止の要求とを送信する。すると、他のECU12~15は、各ECU11~15が正常に動作しているか否かを監視するための故障診断処理を停止すると共に、通常制御期間中に行っている相互通信を停止することとなる。このような処置をとるのは、今からエンジンECU11が制御ソフトを書き換える状態になり、正常に動作しなくなるからである。次にS170にて、上記S120と同じ一致確認処理を行う。そして更に、次のS175にて、上記S125と同様に、S170での一致確認処理による判定結果が一致であるか否かを判定し、一致ではないと判定した場合には、最後のS240へ移行するが、一致であると判定した場合には、S180に進む。S180では、通信相手が正規の書換ツール19であるかを確認するためのセキュリティ確認用処理を行う。具体的には、書換ツール19と所定規則の暗号通信を何度か行い、その暗号通信が全て正常に完了したならば、通信相手が正規の書換ツール19であると判断して、S190に進む。尚、図2では図示を省略しているが、上記S180にて、書換ツール19との暗号通信セキュリティ確認用処理を正常に完了できなければ、以後の処理を中断して、最後のS240へ移行する。S190では、上記S120と同じ一致確認処理を行う。そして更に、次のS195にて、上記S125と同様に、S190での一致確認処理による判定結果が一致であるか否かを判定し、一致ではないと判定した場合には、最後のS240へ移行するが、一致であると判定した場合には、S200に進む。そして、S200では、書換ツール19に制御ソフトの要求を送信する。すると、書換ツール19から、書き換えるべき新たな制御ソフトが送信されてくるため、フラッシュメモリ22の記憶領域22aに記憶されている制御ソフトを書換ツール19から送信されてくる新たな制御ソフトに書き換える書換処理を行う。具体的には、記憶領域22a内のデータを消去し、その消去した記憶領域22aに、書換ツール19から受信した制御ソフト詳しくは、制御ソフトを構成するデジタルデータを書き込む。尚、書き換えられる制御ソフトとしては、制御プログラムと制御データとの一方であっても、両方であっても良く、制御プログラムの一部又は制御データの一部であっても良い。また、図2では図示を省略しているが、S200では、書換処理と並行して、マルチタスクのかたちで、上記S120と同じ一致確認処理と、その一致確認処理による判定結果が一致であるか否かを判定する処理とを、繰り返し実行し、一致確認処理による判定結果が一致ではないと判定した場合には、書換処理を中断して、最後のS240へ移行する。そして、S200の書換処理により、書換ツール19からの制御ソフトを全てフラッシュメモリ22の記憶領域22aに書き込んだならば、S210に進み、制御ソフトの書き込みが正常に完了したか否かを確認するためのメモリチェックを行う。具体的には、フラッシュメモリ22の記憶領域22aに書き込んだ制御ソフトと、書換ツール19から受信してマイコン21内のRAM図示省略に一時的に保存している制御ソフトとを比較ベリファイする。そして、S210でのメモリチェックがNGならば、例えばS200の処理をやり直すが、S210でのメモリチェックがOKならば、S220に進んで、書き換え後の制御ソフトが当該ECU11に適合する制御ソフトであることを再確認するための品番再確認用処理を行う。具体的には、まず、書換ツール19へ当該ECU11の品番を送信する。すると、書換ツール19では、当該ECU11から受信した品番と、当該ECU11へ送信した制御ソフトに適合するECUの品番とが一致しているか否かを判定し、その判定結果を示す品番確認情報を当該ECU11へ返送する。このため、マイコン21は、書換ツール19から送信されてきた品番確認情報が品番一致を示していれば、品番再確認用処理が終了したとして、S230に進む。尚、図2では図示を省略しているが、書換ツール19からの品番確認情報が品番不一致を示していた場合には、そのまま最後のS240へ移行する。また、この場合、書換ツール19では、使用者に対して品番間違いの発生即ち、ECU11に不適合な制御ソフトを書き込んでしまったことを報知するための処理が行われる。S230では、書換ツール19から送信されてくる更新後の接続確認用データを受信し、その受信した接続確認用データを、フラッシュメモリ22の記憶領域22bに更新記憶する。つまり、記憶領域22bに記憶されている旧来の接続確認用データを消去し、その消去後の記憶領域22bに、書換ツール19から受信した接続確認用データを書き込む。尚、書換ツール19は、当該ECU11から上記S130で送信された接続確認用データを受信すると共に、その受信した接続確認用データを所定のロジックで更新し、その更新した接続確認用データを、当該ECU11へ送信するようになっている。そして、S230での更新記憶処理を終えたら、最後のS240に進む。S240では、書換終了後処理として、当該マイコン21を再起動させるための処理を行う。尚、マイコン21を再起動させるための処理としては、当該マイコン21のリセット端子のレベルをリセットがかかる方のアクティブレベルにする処理が考えられる。また、本実施形態において、マイコン21は、リセット状態から起動すると、制御ソフトを成す制御プログラムの先頭から実行するようになっているため、マイコン21を再起動させるための処理としては、プログラムの実行先アドレスを制御プログラムの先頭アドレスにジャンプさせる処理でも良い。このため、S230からS240に進んだ場合であって、フラッシュメモリ22内の制御ソフトが、正規の書換ツール19によって当該ECU11に適合する制御ソフトに正常に書き換えられた場合には、S240の処理により、その書き換えられた新たな制御ソフトを成す制御プログラムの実行が開始されることとなる。次に、図3は、エンジンECU11のマイコン21が、通常制御期間中フラッシュメモリ22内の制御ソフトに従いエンジンの制御を行う期間中に実行する通常モード時処理を表すフローチャートである。尚、この通常モード時処理は、フラッシュメモリ22内の制御ソフトの一部を成す所定のプログラムによる処理であり、例えば一定時間毎に実行される。図3に示すように、エンジンECU11のマイコン21が通常モード時処理の実行を開始すると、まずS310にて、図2のS120と同じ一致確認処理を行う。そして、次のS315にて、図2のS125と同様に、S310での一致確認処理による判定結果が一致であるか否かを判定し、一致であると判定した場合即ち、車両統合ECU12の接続確認用データと当該ECU11の接続確認用データとが一致していると判定した場合には、そのまま当該通常モード時処理を終了する。よって、この場合には、フラッシュメモリ22内の制御ソフトに基づく通常制御が実施されることとなる。一方、上記S315にて、S310での一致確認処理による判定結果が一致ではないと判定した場合即ち、車両統合ECU12の接続確認用データと当該ECU11の接続確認用データとが一致していないと判定した場合、あるいは、車両統合ECU12から接続確認用データが送信されてこなかった場合には、S320に進む。そして、S320では、当該ECU11から制御対象としてのエンジンを制御するための所定の信号が出力されるのを禁止する出力禁止処理を行う。出力を禁止する所定の信号としては、例えば、エンジンに燃料を噴射するインジェクタを開弁動作させるための噴射指令信号や、エンジンのプラグに火花を発生させるための点火指令信号が考えられる。そして、出力禁止処理としては、それらの信号を出力するための処理が実行されるのを禁止したり、それらの信号を出力するための出力回路への電源を遮断したりする処理が考えられる。そして更に、続くS330にて、制御ソフトの不正書き換えがあったことを示す履歴をフラッシュメモリ22の所定領域に記憶する処理や、警告灯を点灯させる警告処理を行う。これらの処理は、カーディーラにおける車両整備者等に対して制御ソフトの不正書き換えがあったことを知らせるための処理である。そして、このS330の処理を終えた後、当該通常モード時処理を終了する。次に、図4は、書換ツール19のマイコン31が実行する制御ソフト書換用処理を表すフローチャートである。尚、この制御ソフト書換用処理は、書換ツール19の使用者が操作部35に対して所定の操作を行うと実行される。そして、図4に示すように、書換ツール19のマイコン31が制御ソフト書換用処理の実行を開始すると、まずS410にて、通信線17へ書換開始通知を送信する。すると、前述したように、その書換開始通知を受信したエンジンECU11では、マイコン21が、図2の書換開始通知応答処理を実行することとなる。次に、書換ツール19のマイコン31は、S420にて、前述した品番確認用処理を行う。即ち、まず、エンジンECU11へ品番要求を送信し、その品番要求に対してエンジンECU11から送信されてくる該ECU11の品番を受信する。そして、記憶媒体37に記憶されている制御ソフトのうち、ECU11の品番に適合する制御ソフトを、書き換えるべき新たな制御ソフトとして選択する。そして、次のS430にて、エンジンECU11から図2のS130の処理によって送信されてくる接続確認用データを受信して記憶しておく。次に、S440にて、前述したセキュリティ確認用処理を行う。即ち、エンジンECU11と所定規則の暗号通信を何度か行う。そして、その暗号通信が全て正常に完了したなら、S450に進み、エンジンECU11との間で制御ソフト書換用通信を行う。具体的には、エンジンECU11から前述した制御ソフトの要求が送信されてくるのを待ち、制御ソフトの要求が送信されてきたなら、上記S420で選択した制御ソフトを、エンジンECU11へ所定単位量ずつ送信する。すると、その制御ソフトは、エンジンECU11において、図2のS200の書換処理により、フラッシュメモリ22の記憶領域22aに書き込まれることとなる。そして、制御ソフト書換用通信が全て正常に完了したなら、次のS460にて、前述した品番再確認用処理を行う。即ち、エンジンECU11から図2のS220の処理によって送信されてくる品番を受信し、その受信した品番と、S450でエンジンECU11へ送信した制御ソフトに適合するECUの品番とが一致しているか否かを判定する。そして、その判定結果を示す品番確認情報をエンジンECU11へ送信する。次に、S470にて、制御ソフトの書き換えが正常に終了したか否かを判定する。そして、制御ソフトの書き換えが正常に終了しなかったと判定した場合には、そのまま当該制御ソフト書換用処理を終了するが、制御ソフトの書き換えが正常に終了したと判定した場合には、S480に進む。尚、上記S460の品番再確認用処理にて、エンジンECU11から受信した品番と、エンジンECU11へ送信した制御ソフトに適合するECUの品番とが一致していると判定した場合には、制御ソフトの書き換えが正常に終了したと判定することとなる。S480では、上記S430でエンジンECU11から受信した接続確認用データを所定のロジックで更新する。その更新ロジックとしては、例えば、受信した接続確認用データに、定数aを加えるといったロジックや、定数bを乗ずるといったロジックが考えられる。そして、次のS490にて、その更新した接続確認用データを、エンジンECU11へ送信する。すると、前述したように、エンジンECU11では、その書換ツール19から送信される接続確認用データが、フラッシュメモリ22の記憶領域22bに更新記憶されることとなる。そして、続くS495にて、制御ソフトの書き換えが完了したことを示す書換完了通知を通信線17に送信し、その後、当該制御ソフト書換用処理を終了する。尚、エンジンECU11のマイコン21は、図2の書換開始通知応答処理において、S230の処理を行った後、書換ツール19からの上記書換完了通知を受信したなら、S240へ進むようになっていても良い。次に、図5は、車両統合ECU12のマイコン25が実行する接続確認応答処理を表すフローチャートである。尚、この接続確認応答処理は、例えば一定時間毎に実行される。図5に示すように、車両統合ECU12のマイコン25が接続確認応答処理の実行を開始すると、まずS510にて、エンジンECU11からの前述したデータ要求接続確認用データを要求するためのデータ要求を受信したか否かを判定する。そして、データ要求を受信していなければ、そのまま当該接続確認応答処理を終了するが、データ要求を受信したならば、S520に進む。S520では、フラッシュメモリ26に記憶されている接続確認用データ即ち、当該ECU12の接続確認用データをエンジンECU11へ送信する。そして、その後、当該接続確認応答処理を終了する。尚、S520でエンジンECU11へ送信される接続確認用データは、エンジンECU11においては、前述した図2のS120,S150,S170,S190,S200及び図3のS310における一致確認処理の各々に用いられる。次に、図6は、車両統合ECU12のマイコン25が実行する書換シーケンス監視処理を表すフローチャートである。車両統合ECU12では、書換ツール19からの前述した書換開始通知を受信すると換言すれば、書換ツール19から通信線17へ書換開始通知が出力されたことを検知すると、マイコン25が、図6の書換シーケンス監視処理を実行する。そして、図6に示すように、マイコン25は、書換シーケンス監視処理の実行を開始すると、S610にて、通信線17に伝送される通信信号を継続的にモニタして、書換ツール19とエンジンECU11との間の通信内容詳しくは、双方でやり取りされる信号の内容及び順序である書換シーケンスを監視し、その書換シーケンスが正しいOKか正しくないNGかを判定チェックする。つまり、車両統合ECU12のマイコン25には、少なくとも、エンジンECU11における図2のS110,S180の各処理と書換ツール19における図4のS420,S440の各処理とによって行われるエンジンECU11と書換ツール19との間の通信の内容やり取りされる信号の内容及び順序が、書換許可用通信の内容として記憶されている。そして、マイコン25は、書換ツール19とエンジンECU11との間の通信内容が、書換許可用通信の内容と一致しているか否かを判定する。具体的には、下記1,2の内容を順次チェックしていく。1エンジンECU11と書換ツール19との間で品番確認用処理による通信が正しい内容及び順序で実施されたか否か。即ち、書換ツール19からエンジンECU11へ品番要求としての信号が送信され、その後、エンジンECU11から書換ツール19へECU11の品番を示す信号が送信されたか否か。2エンジンECU11と書換ツール19との間でセキュリティ確認用処理による暗号通信が正しい内容及び順序で正しい回数だけ実施されたか否か。尚、S610でのチェック内容としては、更に、上記1と2との間で、エンジンECU11から、図2のS130とS160との各々で送信されるはずの信号が送信されたか否か、ということもチェックしても良い。また、上記2の後に、エンジンECU11から書換ツール19へ制御ソフトの要求としての信号が送信されたか否かと、その後に、書換ツール19からエンジンECU11へ、制御ソフトと考えられるデータが前述の所定単位量ずつ送信されたか否か、ということもチェックしても良い。そして、このS610にて、書換シーケンスが正しくないNGと判定した時点で、S620に移行し、書換妨害用通信を開始する。その書換妨害用通信としては、具体的には、書換ツール19とエンジンECU11との間の通信を妨害するための通信妨害用データを、通信線17に出力する。また、その通信妨害用データは、書換ツール19とエンジンECU11との間の通信で使用される通信データよりも優先度が高い通信データである。例えば、車載通信システム1における通信プロトコルが、車両で一般的に使用されるCANであるとすると、通信データに付与されるIDいわゆるCAN-IDによって、その通信データの優先度即ち、衝突した際に生き残る優先順位が決まるため、書換ツール19とエンジンECU11との間の通信で使用される通信データのIDよりも優先度が高いIDを付した通信データを、通信妨害用データとして通信線17に送出する。このため、S610にて書換シーケンスが正しくないNGと判定した場合には、書換ツール19とエンジンECU11との間の通信が妨害され、延いては、書換ツール19によるエンジンECU11の制御ソフトの書き換えが妨害されることとなる。このように妨害するのは、エンジンECU11と通信しようとしている外部装置が、実際には正規の書換ツール19ではなく、何者かが正規の書換ツール19ではない外部装置非正規外部装置を使ってエンジンECU11の制御ソフトを不正に書き換えようとしていると考えられるからである。そして、このことから、通信妨害用データは、可能な限り短い周期で送信することが好ましく、例えば、本実施形態では連続で送信する。通信妨害効果、延いては、制御ソフトの不正な書き換えを防止する効果を、大きくすることができるからである。また、通信妨害用データは、一定時間だけ送信するように構成することもできるが、本実施形態では、S610にて書換シーケンスが正しくないと一旦判定したなら、車両がイグニッションオフの状態になって当該車両統合ECU12への動作用電源が遮断されるまで、通信妨害用データを送信し続けるようになっている。この方が、通信妨害効果が高く好ましい。そして、車両統合ECU12のマイコン25は、次のS630にて、エンジンECU11の制御ソフトが不正に書き換えられようとしたことを示す不正行為履歴をフラッシュメモリ26の所定領域に記憶する処理を行うと共に、警告灯を点灯させる警告処理を行う。これらの処理は、カーディーラにおける車両整備者等に対して、エンジンECU11の制御ソフトが不正に書き換えられた可能性があることを知らせるための処理である。そして、その後、当該書換シーケンス監視処理を終了する。一方、上記S610にて、書換シーケンスが正しくないと判定しなかった場合には、S640にて、エンジンECU11の制御ソフトの書き換えが正常に終了するまで待ち、制御ソフトの書き換えが正常に終了したなら、S650に進む。尚、S640では、書換ツール19から通信線17へ前述の書換完了通知が出力されたか否かを監視し、書換完了通知が出力されたなら、エンジンECU11の制御ソフトの書き換えが正常に終了したと判定する。そして、S650では、フラッシュメモリ26に記憶されている接続確認用データを、書換ツール19において図4のS480でエンジンECU11の接続確認用データを更新するのに用いられるロジック更新規則と同じロジック同じ規則で更新する。そして、その後、当該書換シーケンス監視処理を終了する。一方、図7に、前述した図2,図4~図6の各処理によるエンジンECU11と車両統合ECU12と書換ツール19との動作の相互関係を示しておく。以上のような本実施形態の車載通信システム1において、エンジンECU11では、書換開始通知を受けてから制御ソフトを書き換える書換処理S200を開始するまでの間に、他のユニットである車両統合ECU12から接続確認用データを取得して、その取得した車両統合ECU12の接続確認用データと当該エンジンECU11の接続確認用データとが一致しているか否かを判定する一致確認処理を行いS120,S150,S170,S190、その一致確認処理による判定結果が一致にならなければ、書換処理S200が行われるのを禁止しているS125:NO,S155:NO,S175:NO,S195:NO。このため、エンジンECU11の制御ソフトは、エンジンECU11が車両統合ECU12と共に車両の通信線17に接続されている状態、即ち、車両に搭載されている状態でしか書き換えることができない。その状態でないと、エンジンECU11は車両統合ECU12から接続確認用データを取得することができず、一致確認処理による判定結果が一致にならないからである。よって、エンジンECU11の制御ソフトを不正に書き換えようとする不正行為者が、そのエンジンECU11を車両から取り外し、単体状態となったECU11の通信用端子通信線17と接続される端子に、試行錯誤しながら信号を与えることで、制御ソフトを書き換えようとしても、そのような不正な書き換えを防止することができる。また仮に、エンジンECU11が車両に搭載されている状態で、不正行為者が、そのエンジンECU11の制御ソフトを書き換えようとしても、エンジンECU11は、書換ツール19だけでなく車両統合ECU12とも通信することで、書換処理を行う状態に移行するため、その移行条件の全てを不正行為者が見つけ出すのは非常に困難になると考えられる。以上のことから、本実施形態の車載通信システム1によれば、エンジンECU11の制御ソフトが不正に書き換えられることの防止効果を高めることができる。また、エンジンECU11では、書換開始通知を受けてから書換処理を開始するまでの間に、少なくとも、図2におけるS110、S140、S160、S180の複数の各処理からなる書換許可用処理を行うようになっているが、その各処理が終了する段階毎に、図2におけるS120,S150,S170,S190の各々で一致確認処理を行い、その何れかの一致確認処理による判定結果が一致にならなければ、書換処理が行われるのを禁止している。このため、エンジンECU11の制御ソフトが不正に書き換えられることの防止効果を一層高めることができる。例えば、不正行為者が、車両にエンジンECU11が搭載されている状態で、そのエンジンECU11の制御ソフトを書き換えようとし始め、試行錯誤している途中で、エンジンECU11又は車両統合ECU12を通信線17から外したとしても、図2におけるS120,S150,S170,S190の何れかの一致確認処理が行われることで、エンジンECU11の制御ソフトを書換不能とすることができる。また更に、本実施形態において、エンジンECU11は、書換ツール19からの書換開始通知を受けると、当該ECU11のフラッシュメモリ22詳しくは記憶領域22bに記憶されている接続確認用データを書換ツール19へ送信しS130、書換処理が終了した後に、書換ツール19から送信されて来る新たな接続確認用データを、フラッシュメモリ22に更新記憶するようになっているS230。このため、書換ツール19は、エンジンECU11から送信されてきた接続確認用データを、所定のロジックで更新すると共に、その更新した接続確認用データを、エンジンECU11にて書換処理が終了した後に、新たな接続確認用データとしてエンジンECU11へ送信するようになっているS480,S490。また、車両統合ECU12は、エンジンECU11にて書換処理が終了した後に、当該ECU12のフラッシュメモリ26に記憶されている接続確認用データを、書換ツール19による更新ロジックと同じロジックで更新するようになっているS650。つまり、エンジンECU11で記憶される接続確認用データは、書換ツール19によって更新し、車両統合ECU12で記憶される接続確認用データは、車両統合ECU12自身によって更新するようになっている。このようになっているため、万一、エンジンECU11及び車両統合ECU12が車両の通信線17に接続されている状態で、エンジンECU11の制御ソフトが非正規外部装置によって不正に書き換えられたとしても、エンジンECU11で記憶される接続確認用データは、正しく更新されることがなく、車両統合ECU12で記憶される更新後の接続確認用データとは一致しないものとなる。よって、エンジンECU11及び車両統合ECU12が車両の通信線17に接続されている状態で、不正行為者が、再びエンジンECU11の制御ソフトを書き換えようとしても、エンジンECU11における前述の一致確認処理による判定結果が一致にはならないこととなり、そのような2回目以降の不正書き換えを阻止することができる。そして更に、エンジンECU11では、通常制御期間中においても、図3のS310にて、一致確認処理を行うため、万一、制御ソフトが非正規外部装置によって不正に書き換えられたとしても、その後、エンジンECU11が起動されて通常制御期間中に図3のS310にて一致確認処理が行われれば、その一致確認処理による判定結果は、一致ではなくなり不一致となり、制御ソフトの不正書き換えがあったことを検知することができる。特に、エンジンECU11では、図3のS310での一致確認処理による判定結果が一致でない場合S315:NOであって、制御ソフトの不正書き換えを検知した場合には、エンジンを制御するための信号が出力されるのを禁止する出力禁止処理S320を行うため、制御ソフトを不正に書き換えること自体が意味をなさなくなり、延いては、制御ソフトの不正書き換え防止効果を更に高めることができる。エンジンECU11は、制御ソフトが不正に書き換えられると、エンジンを制御するという役割において実質的に機能しなくなるからである。また、本実施形態において、車両統合ECU12は、通信線17へ書換開始通知が出力されたことを検知すると、図6の書換シーケンス監視処理におけるS610にて、書換ツール19とエンジンECU11との間の通信による書換シーケンスが正しいか否かを判定するチェック処理を行うため、何者かが非正規外部装置を使ってエンジンECU11の制御ソフトを不正に書き換えようとした場合に、そのことを検知することができる。そして、車両統合ECU12は、図6のS610にて書換シーケンスが正しくないと判定すると、通信妨害用データを通信線17に出力する書換妨害用通信S620を行うため、エンジンECU11の制御ソフトが実際に書き換えられてしまうことの防止効果を一層高めることができる。不正行為者が、非正規外部装置からエンジンECU11へ試行錯誤して種々の信号を送信しようとしても、その不正な通信自体が妨害されて、制御ソフトの書き換えに至ることができなくなるからである。また、もし不正行為者が、車両統合ECU12から通信妨害用データが出ていることに気付いて、その車両統合ECU12を通信線17から外したならば、エンジンECU11においては、前述した一致確認処理による判定結果が一致にならないことで書換処理の実施が禁止されるため、やはり制御ソフトの不正書き換えを阻止することができる。一方、エンジンECU11と車両統合ECU12との何れかを、故障等の理由で交換する場合には、交換後の新たなECUと他方のECUとが、同じ接続確認用データを記憶している状態にしておく必要がある。その対策としては以下の手法が考えられる。まず、ECU11,12の製造時において、フラッシュメモリ22,26の特定領域あるいは書き換え不能なROMの特定領域に、接続確認用データの初期値を記憶しておく。また、その初期値は、車両の機種毎に同じデータとなるように管理する。そして、ECU11,12は、書換ツール19あるいは他の専用ツールと所定の認証通信を行った後、その書換ツール19あるいは専用ツールからの記憶値初期化要求を受けると、上記特定領域に記憶されている接続確認用データの初期値を、実際の処理に用いる接続確認用データとして記憶するように構成しておく。つまり、エンジンECU11であれば、上記特定領域からフラッシュメモリ22の記憶領域22bに接続確認用データの初期値をコピーするようにし、車両統合ECU12であれば、上記特定領域からフラッシュメモリ26の所定記憶領域に接続確認用データの初期値をコピーするようにしておく。このため、エンジンECU11と車両統合ECU12との何れかを交換した場合には、書換ツール19あるいは専用ツールにより、ECU11,12の各々に対して、上記認証通信を行った後、記憶値初期化要求を送信すれば、ECU11,12の各々における接続確認用データを同じ初期値にすることができる。また例えば、他の手法として、書換ツール19あるいは専用ツールにより、交換していない方のECUから接続確認用データを読み出して、その読み出した接続確認用データを、交換した方のECUに記憶させる、という手法を採っても良い。尚、上記実施形態では、エンジンECU11が第1の制御ユニットに相当し、車両統合ECU12が第2の制御ユニットに相当しており、エンジンECU11においては、フラッシュメモリ22更に詳しくは記憶領域22bが、接続確認用データを記憶するデータ記憶手段に相当し、車両統合ECU12においては、フラッシュメモリ26が、接続確認用データを記憶するデータ記憶手段に相当している。このため、エンジンECU11のフラッシュメモリ22に記憶されている接続確認用データが、自ユニット接続確認用データに相当し、車両統合ECU12のフラッシュメモリ26に記憶されている接続確認用データが、他ユニット接続確認用データに相当する。そして、エンジンECU11においては、図2のS120,S150,S170,S190の各々と、図3のS310とで行われる一致確認処理が、判定手段としての処理に相当し、図2のS125,S155,S175,S195の各処理が、書換禁止手段に相当し、図3のS315及びS320の処理が、出力禁止手段としての処理に相当している。以上、本発明の一実施形態について説明したが、本発明はこうした実施形態に何等限定されるものではなく、本発明の要旨を逸脱しない範囲において、種々なる態様で実施し得ることは勿論である。例えば、上記実施形態では、エンジンECU11側で記憶される接続確認用データと、車両統合ECU12側で記憶される接続確認用データとの関係を、同じという関係にしていたが、データ値の差が所定数であるといった具合に、他の関係を持つようにしても良い。また、書き換え対象の制御ソフトが記憶される書換可能不揮発性メモリは、フラッシュメモリ以外の種類のメモリであっても良い。また、エンジンECU11において、接続確認用データを記憶するメモリは、書き換え対象の制御ソフトが記憶されるメモリとは物理的に別体のメモリであっても良い。また、車載通信システムを構成する各ECUは、上記実施形態のものに限らず、他の役割を持つECUであっても良い。"