"車載システムとの通信に用いられる外部ツールであって自身の秘密鍵であるツール秘密鍵を記憶する前記外部ツールに関する情報として、前記ツール秘密鍵と対をなす公開鍵であるツール公開鍵及びそのツール公開鍵の識別情報である鍵識別情報を対応付けて記憶するサーバと、前記サーバと通信するための通信手段を備える車載システムと、を備える車両用通信システムに用いられる前記車載システムであって、前記外部ツールから通信接続を要求された場合に、要求元の前記外部ツールについての前記鍵識別情報を前記サーバへ送信し、その鍵識別情報に対応付けられた前記ツール公開鍵を前記サーバから取得するツール鍵取得手段と、通信接続の要求元の前記外部ツールとの間で、前記ツール鍵取得手段により取得された前記ツール公開鍵を用いた暗号通信を行う通信制御手段と、を備えることを特徴とする車載システム。請求項1に記載の車載システムであって、前記通信制御手段は、前記外部ツールとの間で前記ツール公開鍵を用いた公開鍵暗号方式の暗号通信を行い、共通鍵暗号方式の暗号通信を行うための共通鍵を共有することを特徴とする車載システム。請求項2に記載の車載システムであって、前記共通鍵を更新する更新手段を更に備えることを特徴とする車載システム。請求項3に記載の車載システムであって、前記更新手段は、前記外部ツールと前記車載システムとの間での前記共通鍵暗号方式の暗号通信が完了するごとに、前記共通鍵を更新することを特徴とする車載システム。請求項3又は請求項4に記載の車載システムであって、前記更新手段は、更新後の前記共通鍵を、車両情報に基づいて生成することを特徴とする車載システム。請求項1から請求項5までのいずれか1項に記載の車載システムであって、前記車載システムは、前記外部ツールと直接通信を行う第1の電子制御装置と、前記外部ツールと前記第1の電子制御装置を介して通信を行う第2の電子制御装置と、を備え、前記第1の電子制御装置が、前記ツール鍵取得手段及び前記通信制御手段を備えることを特徴とする車載システム。請求項1から請求項6までのいずれか1項に記載の車載システムであって、前記車載システムは、自身の秘密鍵である車両秘密鍵を記憶する記憶手段を更に備え、前記ツール鍵取得手段は、前記外部ツールとの間で、前記車両秘密鍵と対をなす公開鍵である車両公開鍵を用いた公開鍵暗号方式の暗号通信を行い、前記外部ツールからその外部ツールについての鍵識別情報を取得するツール情報取得手段を備えることを特徴とする車載システム。請求項7に記載の車載システムであって、前記車両秘密鍵及び前記車両公開鍵を生成する車両鍵生成手段と、前記車両鍵生成手段により生成された前記車両秘密鍵を前記記憶手段に記憶させる記憶制御手段と、前記車両鍵生成手段により生成された前記車両公開鍵を前記サーバへ送信する車両鍵送信手段と、を更に備えることを特徴とする車載システム。車載システムとの通信に用いられる外部ツールと、前記車載システムと、が通信を行うための通信方法であって、前記外部ツールが、自身の公開鍵であるツール公開鍵の識別情報である鍵識別情報を、前記車載システムへ送信するツール情報送信ステップと、前記車載システムが、前記ツール公開鍵と、そのツール公開鍵の鍵識別情報と、を対応付けて記憶するサーバへ、前記ツール情報送信ステップで受信した前記鍵識別情報を送信するツール情報転送ステップと、前記サーバが、前記ツール情報転送ステップで受信した前記鍵識別情報に対応付けられた前記ツール公開鍵を、前記鍵識別情報の送信元の前記車載システムへ送信するツール鍵送信ステップと、前記車載システムが、前記ツール鍵送信ステップで受信した前記ツール公開鍵を用いて暗号化した共通鍵を前記外部ツールへ送信する共通鍵送信ステップと、前記外部ツールが、前記ツール鍵送信ステップで受信した暗号化された前記共通鍵を、自身のツール公開鍵と対をなす秘密鍵であるツール秘密鍵で複合化し、前記共通鍵を用いて前記車載システムと暗号通信を行う暗号通信ステップと、を備えることを特徴とする通信方法。請求項9に記載の通信方法であって、前記車載システムが、前記暗号通信の完了後に前記共通鍵を更新する更新ステップを更に備えるを備えることを特徴とする通信方法。請求項9又は請求項10に記載の通信方法であって、前記外部ツールが、自身の前記ツール秘密鍵及び前記ツール公開鍵を生成するツール鍵生成ステップと、前記外部ツールが、前記ツール鍵生成ステップで生成した前記ツール公開鍵と、自身を特定する情報であるツール特定情報と、を前記サーバへ送信するツール鍵登録ステップと、前記サーバが、前記ツール鍵登録ステップで受信した前記ツール特定情報に基づき、前記ツール特定情報の送信元の前記外部ツールが正規の外部ツールであるかを判定する判定ステップと、前記サーバが、前記判定ステップで、前記ツール特定情報の送信元の前記外部ツールが正規の外部ツールであると判定した場合、前記ツール鍵登録ステップで受信した前記ツール公開鍵と、そのツール公開鍵に割り当てた前記鍵識別情報と、を対応付けて記憶するツール鍵記憶ステップと、前記サーバが、前記判定ステップで、前記ツール特定情報の送信元の前記外部ツールが正規の外部ツールであると判定した場合、その送信元の前記外部ツールへ前記鍵識別情報を送信するツール情報通知ステップと、を備えることを特徴とする通信方法。請求項9から請求項11までのいずれか1項に記載の通信方法であって、前記ツール情報送信ステップでは、前記外部ツールが、前記車載システムの秘密鍵である車両秘密鍵と対をなす公開鍵である車両公開鍵を用いて暗号化した前記鍵識別情報を、前記車載システムへ送信し、前記ツール情報転送ステップでは、前記車載システムが、前記ツール情報送信ステップで受信した暗号化された前記鍵識別情報を、自身の前記車両秘密鍵を用いて複合化し、複合化した前記鍵識別情報を前記サーバへ送信することを特徴とする通信方法。請求項12に記載の通信方法であって、前記車載システムが、自身の前記車両秘密鍵及び前記車両公開鍵を生成する車両鍵生成ステップと、前記車載システムが、前記車両鍵生成ステップで生成した前記車両公開鍵と、自身を特定する情報である車両特定情報と、を前記サーバへ送信する車両鍵登録ステップと、前記サーバが、前記車両鍵登録ステップで受信した前記車両公開鍵及び前記車両特定情報を対応付けて記憶する車両鍵記憶ステップと、前記外部ツールが、前記車両特定情報を前記サーバへ送信する車両情報送信ステップと、前記サーバが、前記車両情報送信ステップで受信した前記車両特定情報に対応付けられた前記車両公開鍵を、前記車両特定情報の送信元の前記外部ツールへ送信する車両鍵送信ステップと、を備えることを特徴とする通信方法。ところで、前述した車載システムでは、不正な外部ツールを用いた不正行為例えば、ECUプログラムの不正な書換えなどが行われる懸念があった。本発明は、こうした懸念にかんがみてなされたものであり、不正な外部ツールによる車載システムへの通信接続を抑制するための技術を提供することを目的としている。請求項1に記載の車載システムは、外部ツールに関する情報を記憶するサーバと、サーバと通信するための通信手段を備える車載システムと、を備える車両用通信システムに用いられる。外部ツールは、車載システムとの通信に用いられるものであり、自身の秘密鍵であるツール秘密鍵を記憶する。そして、サーバは、外部ツールに関する情報として、ツール秘密鍵と対をなす公開鍵であるツール公開鍵及びそのツール公開鍵の識別情報である鍵識別情報を対応付けて記憶する。車載システムでは、外部ツールから通信接続を要求された場合に、ツール鍵取得手段が、要求元の外部ツールについての鍵識別情報をサーバへ送信し、その鍵識別情報に対応付けられたツール公開鍵をサーバから取得する。そして、通信制御手段が、通信接続の要求元の外部ツールとの間で、ツール鍵取得手段により取得されたツール公開鍵を用いた暗号通信を行う。このような車載システムによれば、サーバに記憶登録されたツール公開鍵を用いて外部ツールと暗号通信を行うため、暗号通信の対象となる外部ツールを、そのツール公開鍵と対をなすツール秘密鍵を記憶する外部ツールに制限することができる。すなわち、ツール公開鍵がサーバに記憶登録されていない外部ツールでは、サーバに記憶登録されているツール公開鍵の識別情報を仮に盗用したとしても、ツール秘密鍵を入手できない限り、そのツール公開鍵を用いた暗号通信を行うことができない。このため、ツール公開鍵をサーバに登録することのできる外部ツールを、正規の外部ツールに制限することで、不正な外部ツールによる車載システムへの通信接続を抑制することができる。具体的には、例えば請求項2に記載のように、通信制御手段は、外部ツールとの間でツール公開鍵を用いた公開鍵暗号方式の暗号通信を行い、共通鍵暗号方式の暗号通信を行うための共通鍵を共有するようにしてもよい。このようにすれば、共通鍵を共有した後には、公開鍵暗号方式の暗号通信に代えて、処理負荷の低い共通鍵暗号方式の暗号通信を行うことができる。この場合、例えば請求項3に記載のように、更新手段が、共通鍵を更新するようにしてもよい。このようにすれば、共通鍵を更新しない構成と比較して、セキュリティ性を高くすることができる。具体的には、例えば請求項4に記載のように、更新手段は、外部ツールと車載システムとの間での共通鍵暗号方式の暗号通信が完了するごとに、共通鍵を更新するようにしてもよい。このようにすれば、外部ツールと車載システムとの間で共通鍵暗号方式の暗号通信を行うごとに、異なる共通鍵が用いられるため、セキュリティ性を特に高くすることができる。また、例えば請求項5に記載のように、更新手段は、更新後の共通鍵を、車両情報に基づいて生成するようにしてもよい。このようにすれば、車両情報に応じて共通鍵を変化させることができる。ところで、車載システムが複数の電子制御装置を備え、個々の電子制御装置が外部ツールの通信対象となり得る場合、各電子制御装置がツール鍵取得手段及び通信制御手段を備えてもよいが、例えば請求項6に記載のようにしてもよい。すなわち、請求項6に記載の車載システムは、外部ツールと直接通信を行う第1の電子制御装置と、外部ツールと第1の電子制御装置を介して通信を行う第2の電子制御装置とを備える。そして、第1の電子制御装置が、ツール鍵取得手段及び通信制御手段を備える。このような車載システムによれば、各電子制御装置がツール鍵取得手段及び通信制御手段を備える構成と比較して、複数の電子制御装置による機能の重複を抑制することができる。一方、例えば請求項7に記載の車載システムでは、記憶手段が、車載システムの秘密鍵である車両秘密鍵を記憶する。そして、ツール鍵取得手段は、外部ツールとの間で、車両秘密鍵と対をなす公開鍵である車両公開鍵を用いた公開鍵暗号方式の暗号通信を行い、外部ツールからその外部ツールについての鍵識別情報を取得するツール情報取得手段を備える。このような車載システムによれば、外部ツールについての鍵識別情報をセキュアな状態で取得することができる。具体的には、例えば請求項8に記載のように、車両鍵生成手段が、車両秘密鍵及び車両公開鍵を生成し、記憶制御手段が、車両鍵生成手段により生成された車両秘密鍵を記憶手段に記憶させ、車両鍵送信手段が、車両鍵生成手段により生成された車両公開鍵をサーバへ送信するようにしてもよい。このような車載システムによれば、車両秘密鍵を車載システム以外の装置が生成する構成と比較して、車両秘密鍵をセキュアな状態で記憶することができる。しかも、車両公開鍵をサーバへ送信することで、外部ツールへの車両公開鍵の提供を行いやすくすることができる。次に、請求項9に記載の通信方法は、車載システムとの通信に用いられる外部ツールと、車載システムと、が通信を行うための通信方法である。この通信方法では、外部ツールが、自身の公開鍵であるツール公開鍵の識別情報である鍵識別情報を、車載システムへ送信するツール情報送信ステップ。そして、車載システムが、ツール公開鍵と、そのツール公開鍵の鍵識別情報と、を対応付けて記憶するサーバへ、ツール情報送信ステップで受信した鍵識別情報をサーバへ送信するツール情報転送ステップ。サーバは、ツール情報転送ステップで受信した鍵識別情報に対応付けられたツール公開鍵を、鍵識別情報の送信元の車載システムへ送信するツール鍵送信ステップ。そして、車載システムが、ツール鍵送信ステップで受信したツール公開鍵を用いて暗号化した共通鍵を外部ツールへ送信する共通鍵送信ステップ。そして、外部ツールが、ツール鍵送信ステップで受信した暗号化された共通鍵を、自身のツール公開鍵と対をなす秘密鍵であるツール秘密鍵で複合化し、共通鍵を用いて車載システムと暗号通信を行う暗号通信ステップ。このような通信方法によれば、車載システムが、サーバに記憶登録されたツール公開鍵を用いて暗号化した共通鍵を外部ツールへ送信して、共通鍵を共有する。このため、車載システムは、共通鍵を用いた暗号通信を行う対象となる外部ツールを、そのツール公開鍵と対をなすツール秘密鍵を記憶する外部ツールに制限することができる。すなわち、ツール公開鍵がサーバに記憶登録されていない外部ツールでは、サーバに記憶登録されているツール公開鍵の識別情報を仮に盗用したとしても、ツール秘密鍵を入手できない限り、そのツール公開鍵を用いた暗号通信暗号化された共通鍵の複合化を行うことができず、共通鍵を用いた暗号通信を行うことができない。このため、ツール公開鍵をサーバに登録することのできる外部ツールを、正規の外部ツールに制限することで、不正な外部ツールによる車載システムへの通信接続を抑制することができる。加えて、共通鍵を共有した後には、公開鍵暗号方式の暗号通信に代えて、処理負荷の低い共通鍵暗号方式の暗号通信を行うことができる。さらに、請求項10に記載のように、車載システムが、暗号通信の完了後に共通鍵を更新してもよい更新ステップ。このようにすれば、共通鍵を更新しない構成と比較して、セキュリティ性を高くすることができる。一方、請求項11に記載の通信方法では、外部ツールが、自身のツール秘密鍵及びツール公開鍵を生成しツール鍵生成ステップ、生成したツール公開鍵と、自身を特定する情報であるツール特定情報と、をサーバへ送信するツール鍵登録ステップ。そして、サーバが、ツール鍵登録ステップで受信したツール特定情報に基づき、ツール特定情報の送信元の外部ツールが正規の外部ツールであるかを判定する判定ステップ。この判定ステップで、ツール特定情報の送信元の外部ツールが正規の外部ツールであると判定した場合、サーバは、ツール鍵登録ステップで受信したツール公開鍵と、そのツール公開鍵に割り当てた鍵識別情報と、を対応付けて記憶するツール鍵記憶ステップ。また、サーバは、判定ステップで、ツール特定情報の送信元の外部ツールが正規の外部ツールであると判定した場合、その送信元の外部ツールへ鍵識別情報を送信するツール情報通知ステップ。このような通信方法によれば、正規の外部ツールの公開鍵がサーバに記憶登録され、鍵識別情報が付与されるようにすることができ、不正な外部ツールの公開鍵がサーバに記憶登録されにくくすることができる。また、請求項12に記載の通信方法では、ツール情報送信ステップにおいて、外部ツールが、車載システムの秘密鍵である車両秘密鍵と対をなす公開鍵である車両公開鍵を用いて暗号化した鍵識別情報を、車載システムへ送信する。そして、ツール情報転送ステップにおいて、車載システムが、ツール情報送信ステップで受信した暗号化された鍵識別情報を、自身の車両秘密鍵を用いて複合化し、複合化した鍵識別情報をサーバへ送信する。このような通信方法によれば、外部ツールについての鍵識別情報を、外部ツールから車載システムへセキュアな状態で送信することができる。具体的には、請求項13に記載の通信方法では、車載システムが、自身の車両秘密鍵及び車両公開鍵を生成し車両鍵生成ステップ、生成した車両公開鍵と、自身を特定する情報である車両特定情報と、をサーバへ送信する車両鍵登録ステップ。そして、サーバが、車両鍵登録ステップで受信した車両公開鍵及び車両特定情報を対応付けて記憶する車両鍵記憶ステップ。また、外部ツールが、車両特定情報をサーバへ送信し車両情報送信ステップ、サーバが、車両情報送信ステップで受信した車両特定情報に対応付けられた車両公開鍵を、車両特定情報の送信元の外部ツールへ送信する車両鍵送信ステップ。このような通信方法によれば、外部ツールは、車載システムの公開鍵をサーバから取得することができる。以下、本発明が適用された実施形態について、図面を用いて説明する。[1.全体構成]図1は、実施形態の車両用通信システムの構成を示すブロック図である。この車両用通信システムは、車両に搭載された車載システム1と、車載システム1との通信に用いられる外部ツール2と、複数の車両車載システム1に関する情報及び複数の外部ツール2に関する情報を記憶管理するセンタサーバ3とを備える。車載システム1は、車両の内部における各部に設置された複数の電子制御装置ECUとして、ゲートウェイECU以下GW-ECUという。11と、CAN-BT-ECU12と、種々の機能を有する他の複数のECU13とを備える。GW-ECU11、CAN-BT-ECU12及び他のECU13は、共用通信線多重通信線であるバス14に接続されて車内LANを構築し、バス14を介してCANControllerAreaNetworkプロトコルに従った相互通信を行う。また、車載システム1は、GW-ECU11と専用通信線15を介して接続された車載無線機DCM:DataCommunicationModule16を備える。GW-ECU11は、外部ツール2を車両の外部から接続するためのデータリンクコネクタ以下コネクタという。17とバス14とを中継する位置外部ツール2とECU13とを接続するための通信経路上に設置されている。つまり、車載システム1において、GW-ECU11は、外部ツール2と直接通信を行い、ECU13は、GW-ECU11を介して外部ツール2と通信を行う。換言すれば、外部ツール2は、ECU13に直接接続されるのではなく、GW-ECU11を介して接続され、GW-ECU11は、外部ツール2とECU13との通信を中継する中継装置として機能する。具体的には、GW-ECU11は、CPU111と、電気的に記憶内容の書換えが可能な不揮発性メモリであるフラッシュメモリ112とを備える。フラッシュメモリ112には、車載システム1の鍵データとして、秘密鍵Svと、秘密鍵Svと対をなす公開鍵Pvと、車両内部で共通鍵暗号方式の暗号通信に用いられる共通鍵Cとが記憶される。秘密鍵Svは、秘密情報として管理される。公開鍵Pvは、後述するように、センタ3に登録され、外部ツール2へ提供可能な状態で管理される。共通鍵Cは、CAN-BT-ECU12及び他の各ECU13にも記憶され、送信データの暗号化及び受信データの複合化に用いられる。CAN-BT-ECU12は、バス14を介してCANプロトコルに従った通信を行う機能と、Bluetooth登録商標規格に従った近距離無線通信を行う機能とを有している。なお、前述したように、CAN-BT-ECU12には、GW-ECU11の共通鍵Cと同一の共通鍵Cが記憶される。各ECU13には、各種機能を実現するためのソフトウェアのプログラムが記憶される。また、前述したように、各ECU13には、GW-ECU11の共通鍵Cと同一の共通鍵Cが記憶される。車載無線機16は、携帯電話網やインターネット通信網を介した通信各地に配置された携帯電話基地局等を介した広域無線通信を行うためのものである。車載システム1は、車載無線機16を備えることにより、センタ3との間で、遠距離での無線通信が可能となっている。外部ツール2は、コネクタ17に接続された状態で、車両の内部に設置されたECU13を介した車両状態の診断、データの読み出し、ECU13の機能による制御部品の制御、ECU13に記憶されているプログラムの書換処理リプログラミングなどを行う機能を有した装置である。具体的には、外部ツール2は、制御部21と、記憶部22と、通信部23とを備える。記憶部22には、外部ツール2の鍵データとして、秘密鍵Stと、秘密鍵Stと対をなす公開鍵Ptとが記憶される。秘密鍵Stは、秘密情報として管理される。公開鍵Ptは、後述するように、センタ3に登録され、車載システム1へ提供可能な状態で管理される。また、通信部23は、コネクタ17を介して車載システム1のGW-ECU11との間で有線通信を行う機能と、携帯電話網やインターネット通信網を介してセンタ3との間で無線通信を行う機能とを有している。センタ3は、車載システム1に対する外部ツール2の接続を管理する団体例えば車両メーカや国家機関等によって管理されるサーバであり、車載システム1の公開鍵Pv及び外部ツール2の公開鍵Ptを記憶管理する機能を有する。具体的には、センタ3は、制御部31と、記憶部32と、通信部33とを備える。記憶部32には、複数の外部ツール2の公開鍵Pt1,Pt2,...,PtMを管理するためのツールリストと、複数の車載システム1の公開鍵Pv1,Pv2,...,PvNを管理するための車両リストとが記憶される。ツールリストにおいて、公開鍵Ptは、その公開鍵PtのID鍵識別情報及び外部ツール2を特定するための情報であるツール特定情報例えばツール本体のシリアル番号、使用者の情報氏名、生年月日、住所、電話番号等などと対応付けて記憶される。同様に、車両リストにおいて、公開鍵Pvは、車両車載システム1を特定するための情報である車両特定情報例えば車両登録番号や製造番号などと対応付けて記憶される。また、通信部33は、携帯電話網やインターネット通信網を介して車載システム1及び外部ツール2との間で無線通信を行う機能を有している。[2.処理の概要]次に、本実施形態の車両用通信システムで実行される処理の流れ通信方法について、図2を用いて説明する。なお、図2に示すステップ番号S11,S12,...は、後述する図3~図8に示すフローチャートのステップ番号に対応する。1秘密鍵及び公開鍵の準備と外部ツール認証車載システム1では、GW-ECU11が、本実施形態の車両用通信システムにおいてあらかじめ決められている公開鍵暗号方式に従い、秘密鍵Sv及び公開鍵Pvを生成して、自身の記憶部フラッシュメモリ112に保存するS51,S52。なお、公開鍵暗号方式としては、公知の暗号方式例えばRSAを用いることができる。また、GW-ECU11は、生成した公開鍵Pv及び車両特定情報をセンタ3へ送信し、公開鍵Pvの登録を要求するS53。センタ3は、車載システム1から受信した公開鍵Pv及び車両特定情報を対応付けて、車両リストに登録記憶するS31,S32。なお、公開鍵Pvを登録する時期は、例えば車両の工場出荷前としてもよい。ただし、その場合にも、ECUの交換やユーザの変更などの理由で、事後的に工場出荷後に公開鍵Pvを登録更新できるようにしてもよい。また、車載システム1では、GW-ECU11が、共通鍵Cを生成し、生成した共通鍵Cを車両内部の他のECUCAN-BT-ECU12及びECU13へ送信するS54。これにより、車載システム1を構成するECUGW-ECU11、CAN-BT-ECU12及びECU13で共通鍵Cが共有され、共通鍵Cを用いた共通鍵暗号方式の暗号通信が行われる。一方、外部ツール2も、GW-ECU11と同じ公開鍵暗号方式に従い、秘密鍵St及び公開鍵Ptを生成して、自身の記憶部22に保存するS11,S12。また、外部ツール2は、生成した公開鍵Ptと、ツール特定情報と、をセンタ3へ送信し、公開鍵Ptの登録を要求するS13。センタ3は、外部ツール2から受信した公開鍵PtのIDを生成し、公開鍵Pt、ID及びツール特定情報を対応付けて、ツールリストに登録記憶するとともにS33~S35、公開鍵PtのIDを外部ツール2へ通知するS36,S37。外部ツール2は、公開鍵PtのIDをセンタ3から受信すると、そのIDを自身の記憶部22に保存するS14,S15。なお、この段階で、外部ツール2は、センタ3から正規の外部ツール正規ツールであると認証されたことになる。2秘密鍵及び公開鍵を用いた暗号通信共通鍵の享受認証済みの外部ツール2センタ3から公開鍵PtのIDを取得済みの外部ツール2は、車両車載システム1に接続して通信を行う場合に、まず、接続対象の車両の車両特定情報をセンタ3へ送信し、その車両についての公開鍵Pvを要求するS21。センタ3は、外部ツール2から車両特定情報を受信すると、その車両特定情報と対応付けて車両リストに記憶されている公開鍵Pv接続対象の車両についての公開鍵Pvを、その外部ツール2へ送信するS41~S44。外部ツール2は、接続対象の車両についての公開鍵Pvを受信すると、その公開鍵Pvで自身の公開鍵PtのIDを暗号化し、コネクタ17を介してGW-ECU11へ送信することで、通信接続を要求するS22,S23。GW-ECU11は、外部ツール2から通信接続を要求され、暗号データ暗号化されたIDを受信すると、受信した暗号データを自身の秘密鍵Svを用いて復号化して、要求元の外部ツール2の公開鍵PtのIDを得るS61,S62。そして、そのIDをセンタ3へ送信し、そのIDに対応付けられた公開鍵Pt外部ツール2の公開鍵Ptを要求するS63。センタ3は、車載システム1から受信したIDに対応付けられた公開鍵Ptを、その車載システム1へ送信するS45,S46。GW-ECU11は、センタ3から公開鍵Ptを受信取得すると、その公開鍵Ptで共通鍵Cを暗号化し、コネクタ17を介して、通信接続の要求元の外部ツール2へ送信するS64,S65。つまり、車載システム1は、外部ツール2との間で、公開鍵Ptを用いた公開鍵暗号方式の暗号通信を行う。外部ツール2は、GW-ECU11から暗号データ暗号化された共通鍵Cを受信すると、自身の秘密鍵Stを用いて復号化して、共通鍵Cを得るS24,S25。3共通鍵暗号通信共通鍵Cを得た外部ツール2は、ECU13へ送信すべきデータを、その共通鍵Cを用いて暗号化して、GW-ECU11へ送信するS26。GW-ECU11は、外部ツール2から暗号化されたデータを受信すると、そのまま対象のECU13へ送信中継するS66。ECU13は、GW-ECU11を介して暗号化されたデータを受信すると、共通鍵Cを用いて復号化する。ECU13から外部ツール2へデータを送信する場合にも同様に、ECU13が、送信すべきデータを共通鍵Cを用いて暗号化して送信し、外部ツール2が、受信したデータを共通鍵Cを用いて復号化するS26。このように、外部ツール2とECU13とが、GW-ECU11を介して、共通鍵Cを用いた共通鍵暗号方式の暗号通信を行う。その後、外部ツール2とECU13との間での通信の完了後、GW-ECU11は、新たな共通鍵Cを生成し、生成した共通鍵Cを車両内部の他のECUCAN-BT-ECU12及びECU13へ送信することで、共通鍵Cを更新古い共通鍵Cを消去するS67。以降は、新たな共通鍵C外部ツール2が有していない共通鍵Cを用いた暗号通信が行われる。一方、外部ツール2は、使用済みの共通鍵Cを消去するS27。[3.具体的処理手順]次に、車載システム1GW-ECU11、外部ツール2及びセンタ3のそれぞれで実行される具体的処理手順について説明する。1外部ツール2で実行される処理図3は、外部ツール2を正規ツールとしてセンタ3に認証させるために、外部ツール2の制御部21が実行するツール登録処理のフローチャートである。制御部21は、まず、あらかじめ決められている公開鍵暗号方式に従い、秘密鍵St及び公開鍵Ptを生成するS11。そして、制御部21は、生成した秘密鍵Stを当該外部ツール2内記憶部22に保存するS12。また、制御部21は、生成した公開鍵Ptと、当該外部ツール2のツール特定情報とを、センタ3へ送信し、登録を要求するS13。なお、S12,S13の処理は、この順序に限定されるものではなく、例えば逆の順序で実行してもよい。続いて、制御部21は、公開鍵PtのIDをセンタ3から受信しS14、受信したIDを当該外部ツール2内記憶部22に保存してS15、図3のツール登録処理を終了する。このようなツール登録処理により、外部ツール2は、センタ3により正規ツールとして認証される。一方、図4は、外部ツール2を用いて車両に搭載されたECU13と通信例えば、車両状態の診断やプログラムの書換処理のための通信を行うために、外部ツール2の制御部21が実行するツール通信処理のフローチャートである。制御部21は、まず、通信対象の車両の車両特定情報をセンタ3へ送信しS21、通信対象の車両についての公開鍵Pvをセンタ3から取得するS22。続いて、制御部21は、自身の公開鍵PtのIDを、センタ3から取得した公開鍵Pv通信対象の車両についての公開鍵Pvを用いて暗号化し、コネクタ17を介して車載システム1GW-ECU11へ送信することで、通信接続を要求するS23。そして、制御部21は、当該外部ツール2の公開鍵Ptを用いて暗号化された共通鍵Cを車載システム1GW-ECU11から受信しS24、自身の秘密鍵Stを用いて復号化して、共通鍵Cを得るS25。続いて、制御部21は、共通鍵Cを用いてECU13と暗号通信を行うS26。具体的には、ECU13へ送信すべきデータを、共通鍵Cを用いて暗号化し、GW-ECU11を介してECU13へ送信するとともに、GW-ECU11を介してECU13から受信した暗号データを、共通鍵Cを用いて復号化する。その後、制御部21は、ECU13との通信が完了すると、共通鍵Cを破棄してS27、図4のツール通信処理を終了する。2センタ3で実行される処理図5は、車載システム1の公開鍵Pv及び外部ツール2の公開鍵Ptを管理するために、センタ3の制御部31が実行する鍵登録管理処理のフローチャートである。制御部31は、まず、車載システム1から公開鍵Pvの登録を要求されたか否かを判定するS31。そして、制御部31は、公開鍵Pvの登録を要求されたと判定するとS31:YES、車載システム1から受信した公開鍵Pv及び車両特定情報を対応付けて車両リストに登録管理するS32。また、制御部31は、外部ツール2から公開鍵Ptの登録を要求されたか否かを判定するS33。そして、制御部31は、公開鍵Ptの登録を要求されたと判定するとS33:YES、外部ツール2から受信したツール特定情報に基づいて、送信元の外部ツール2が正規ツールであるか否かを判定するS34。具体的には、例えば、外部ツール2から受信したツール特定情報に含まれるシリアル番号が、車両メーカなどによって指定されている正規ツールのシリアル番号であるか否かを判定する。そして、制御部31は、送信元の外部ツール2が正規ツールでないと判定するとS34:NO、送信元の外部ツール2に対して、認証が失敗した旨のエラー通知を行うS35。一方、制御部31は、送信元の外部ツール2が正規ツールであると判定するとS34:YES、その外部ツール2から受信した公開鍵PtのIDを生成し、公開鍵Pt、ID及びツール特定情報を対応付けて、ツールリストに登録管理するS36。そして、制御部31は、公開鍵PtのIDを外部ツール2へ送信するS37。図5に示す鍵登録管理処理では、以上の処理S31~S37が繰り返される。一方、図6は、車載システム1の公開鍵Pv及び外部ツール2の公開鍵Ptを外部車載システム1や外部ツール2へ配信するために、センタ3の制御部31が実行する鍵配信処理のフローチャートである。制御部31は、まず、外部ツール2から車載システム1の公開鍵Pvの送信を要求されたか否かを判定するS41。そして、制御部31は、公開鍵Pvの送信を要求されたと判定するとS41:YES、外部ツール2から受信したIDに基づいて、送信元の外部ツール2が認証済みの外部ツール2センタ3にIDが登録されている外部ツール2であるか否かを判定するS42。そして、制御部31は、送信元の外部ツール2が認証済みの外部ツール2でないと判定するとS42:NO、送信元の外部ツール2に対して、認証が失敗した旨のエラー通知を行うS43。一方、制御部31は、送信元の外部ツール2が認証済みの外部ツール2であると判定するとS42:YES、その外部ツール2から受信した車両特定情報に対応付けられた公開鍵Pvを、要求元の外部ツール2へ送信するS44。続いて、制御部31は、車載システム1から外部ツール2の公開鍵Ptの送信を要求されたか否かを判定するS45。そして、制御部31は、公開鍵Ptの送信を要求されたと判定するとS45:YES、車載システム1から受信したIDに対応付けられた公開鍵Ptを、要求元の車載システム1へ送信するS46。図6に示す鍵配信処理では、以上の処理S41~S46が繰り返される。3車載システム1GW-ECU11で実行される処理図7は、車載システム1の公開鍵Pvをセンタ3に登録させるために、GW-ECU11のCPU111が実行する車両登録処理のフローチャートである。CPU111は、まず、あらかじめ決められている公開鍵暗号方式に従い、秘密鍵Sv及び公開鍵Pvを生成するS51。そして、CPU111は、生成した秘密鍵Svを当該GW-ECU11内フラッシュメモリ112に保存するS52。また、CPU111は、生成した公開鍵Pvと、車両車載システム1の車両特定情報とを、センタ3へ送信し、登録を要求するS53。なお、S52,S53の処理は、この順序に限定されるものではなく、例えば逆の順序で実行してもよい。続いて、CPU111は、共通鍵Cを生成し、生成した共通鍵Cを車両内部の他のECUCAN-BT-ECU12及びECU13へ送信してS54、図7の車両登録処理を終了する。一方、図8は、コネクタ17に接続された状態の外部ツール2とECU13との通信を中継するために、GW-ECU11のCPU111が実行する車両通信処理のフローチャートである。CPU111は、まず、外部ツール2から通信接続の要求を受けS61、外部ツール2から受信した暗号データ車載システム1の公開鍵Pvを用いて暗号化された外部ツール2の公開鍵PtのIDを、自身の秘密鍵Svを用いて復号化して、公開鍵PtのIDを得るS62。続いて、CPU111は、公開鍵PtのIDをセンタ3へ送信して、そのIDに対応付けられた公開鍵Pt通信接続の要求元である外部ツール2の公開鍵Ptの送信を要求するS63。そして、CPU111は、センタ3から公開鍵Ptを受信しS64、その公開鍵Ptを用いて共通鍵Cを暗号化して、外部ツール2へ送信するS65。続いて、CPU111は、共通鍵Cを用いた外部ツール2とECU13との通信を中継するS66。その後、CPU111は、外部ツール2とECU13との通信が完了すると、新しい共通鍵Cを生成して共通鍵Cを更新するS67。ここで、共通鍵Cは、車両情報例えば燃料残量、走行距離、エンジン回転数など、値の変化する情報に基づいて生成される。そして、CPU111は、生成した共通鍵Cを車両内部の他のECUCAN-BT-ECU12及びECU13へ送信して共通鍵Cを更新させS67、図8の車両通信処理を終了する。[4.効果]以上説明したように、本実施形態の車両用通信システムでは、車載システム1GW-ECU11が、センタ3に登録された公開鍵Ptを用いて外部ツール2と暗号通信を行う。具体的には、公開鍵Ptを用いて暗号化した共通鍵Cを外部ツール2へ送信して、共通鍵Cを共有する。このため、車載システム1GW-ECU11は、公開鍵Ptを用いた暗号通信の対象となる外部ツール2ひいては、共通鍵Cを用いた暗号通信を行う対象となる外部ツール2を、その公開鍵Ptと対をなす秘密鍵Stを記憶する外部ツール2に制限することができる。すなわち、公開鍵Ptがセンタ3に登録されていない外部ツール2では、センタ3に登録されている公開鍵PtのIDを仮に盗用したとしても、秘密鍵Stを入手できない限り、公開鍵Ptを用いた暗号通信暗号化された共通鍵Cの復号化を行うことができず、共通鍵Cを用いた暗号通信を行うことができない。このため、公開鍵Ptをセンタ3に登録することのできる外部ツール2を、正規ツールに制限することで、不正な外部ツールによる車載システム1への通信接続を抑制することができる。加えて、共通鍵Cを共有した後には、公開鍵暗号方式の暗号通信に代えて、処理負荷の低い共通鍵暗号方式の暗号通信を行うため、車載システム1における処理負荷を低減することができる。また、車載システム1GW-ECU11は、外部ツール2との共通鍵暗号方式の暗号通信が完了するごとに、共通鍵Cを更新するS67。このため、外部ツール2との間で共通鍵暗号方式の暗号通信を行うごとに、異なる共通鍵Cが用いられることとなり、共通鍵Cを更新しない構成と比較して、セキュリティ性を高くすることができる。特に、更新後の共通鍵Cを、車両情報に基づいて生成するようにしているため、車両情報に応じて予測が困難な形で共通鍵Cを変化させることができる。また、車載システム1では、外部ツール2と直接通信を行うGW-ECU11が、外部ツール2からECU13を対象とする通信接続を要求された場合に、要求元の外部ツール2の公開鍵Ptをセンタ3から取得しS63,S64、その公開鍵Ptを用いた暗号通信を行うS65。つまり、ECU13を対象とする外部ツール2からの通信接続の要求を許可するか否かを決定するための処理を、GW-ECUが代表して行う。このため、通信対象となった各ECU13がこうした処理を実行する構成と比較して、複数のECU13による機能の重複を抑制することができ、車載システム1の低コスト化を図ることができる。また、車載システム1GW-ECU11は、外部ツール2との間で、公開鍵Pvを用いた公開鍵暗号方式の暗号通信を行い、外部ツール2から公開鍵PtのIDを取得するためS62、外部ツール2の公開鍵PtのIDをセキュアな状態で取得することができる。また、車載システム1GW-ECU11は、自身で秘密鍵Sv及び公開鍵Pvを生成しS51、秘密鍵Svをフラッシュメモリ112に記憶するとともにS52、公開鍵Pvをセンタ3へ送信するS53。このため、秘密鍵Svを車載システム1GW-ECU11以外の装置が生成する構成と比較して、生成後に秘密鍵Svを受け渡す必要がない分、秘密鍵Svの機密性を高くすることができる。しかも、公開鍵Pvをセンタ3へ送信することで、外部ツール2への公開鍵Pvの提供を行いやすくすることができる。一方、外部ツール2も、自身で秘密鍵St及び公開鍵Ptを生成しS11、秘密鍵Stを記憶部22に記憶するとともにS12、公開鍵Ptをセンタ3へ送信するためS13、秘密鍵Stを外部ツール2以外の装置が生成する構成と比較して、秘密鍵Stの機密性を高くすることができる。しかも、センタ3は、公開鍵Ptの送信元の外部ツール2が正規ツールであるかを判定しS34、正規ツールであると判定した場合に、公開鍵Pt及びIDを対応付けて記憶するためS36、不正な外部ツールの公開鍵がセンタ3に登録されにくくすることができる。また、外部ツール2が、車載システム1の秘密鍵Svと対をなす公開鍵Pvを用いて暗号化した公開鍵PtのIDを、車載システム1へ送信するようにしているためS23、公開鍵PtのIDをセキュアな状態で送信することができる。また、外部ツール2が、車両特定情報をセンタ3へ送信しS21、センタ3が、S21で受信した車両特定情報に対応付けられた公開鍵Pvを、車両特定情報の送信元の外部ツール2へ送信するようにしているためS44、外部ツール2は、接続対象の車載システム1の公開鍵Pvをセンタ3から容易に取得することができる。なお、車載システム1が車載システムの一例に相当し、GW-ECU11が第1の電子制御装置に相当し、フラッシュメモリ112が記憶手段の一例に相当し、ECU13が第2の電子制御装置に相当し、車載無線機16が通信手段の一例に相当する。また、外部ツール2が外部ツールの一例に相当し、センタ3がサーバの一例に相当する。また、秘密鍵Svが車両秘密鍵の一例に相当し、公開鍵Pvが車両公開鍵の一例に相当し、秘密鍵Stがツール秘密鍵の一例に相当し、公開鍵Ptがツール公開鍵の一例に相当し、共通鍵Cが共通鍵の一例に相当する。また、S11がツール鍵生成ステップの一例に相当し、S13がツール鍵登録ステップの一例に相当し、S21が車両情報送信ステップの一例に相当し、S23がツール情報送信ステップの一例に相当し、S25,S26が暗号通信ステップの一例に相当する。また、S32が車両鍵記憶ステップの一例に相当し、S34が判定ステップの一例に相当し、S36がツール鍵記憶ステップの一例に相当する。また、S37がツール情報通知ステップの一例に相当し、S44が車両鍵送信ステップの一例に相当し、S46がツール鍵送信ステップの一例に相当する。また、S51が車両鍵生成手段としての処理及び車両鍵生成ステップの一例に相当し、S52が記憶制御手段としての処理の一例に相当し、S53が車両鍵送信手段としての処理及び車両鍵登録ステップの一例に相当する。また、S62~S64がツール鍵取得手段としての処理の一例に相当し、特に、S62がツール情報取得手段としての処理の一例に相当する。また、S63がツール情報転送ステップの一例に相当し、S65が通信制御手段としての処理及び共通鍵送信ステップの一例に相当し、S67が更新手段としての処理及び更新ステップの一例に相当する。[5.他の実施形態]以上、本発明の実施形態について説明したが、本発明は、上記実施形態に限定されることなく、種々の形態を採り得ることは言うまでもない。1上記実施形態では、GW-ECU11が、自身で秘密鍵Sv及び公開鍵Pvを生成し、秘密鍵Svをフラッシュメモリ112に記憶する構成を例示したがS51,S52、これに限定されるものではない。例えば、他の装置例えばパーソナルコンピュータやウェブサーバ等で生成した秘密鍵Svをフラッシュメモリ112に記憶するようにしてもよい。この場合の秘密鍵Svの受け渡しは、自動で行われるようにしてもよく、手動操作者による操作で行われるようにしてもよい。2同様に、上記実施形態では、外部ツール2が、自身で秘密鍵St及び公開鍵Ptを生成し、秘密鍵Stを記憶部22に記憶する構成を例示したがS11,S12、これに限定されるものではない。例えば、他の装置例えばパーソナルコンピュータやウェブサーバ等で生成した秘密鍵Stを記憶部22に記憶するようにしてもよい。この場合の秘密鍵Stの受け渡しは、自動で行われるようにしてもよく、手動操作者による操作で行われるようにしてもよい。3上記実施形態では、携帯電話網やインターネット通信網を介してセンタ3との間で無線通信を行う機能とを有した外部ツール2を例示したが、これに限定されるものではなく、こうした無線通信機能を有しない構成としてもよい。この場合、外部ツール2とセンタ3との情報の受け渡しは、外部ツール2のユーザを介して、例えば郵送や、他の通信装置を用いた通信などにより実現可能である。4上記実施形態では、車載システム1において車両内部で共通鍵Cを用いた共通鍵暗号方式の暗号通信が行われる構成を例示したが、これに限定されるものではなく、車両内部では暗号通信を行わないようにしてもよい。5上記実施形態では、センタ3が、車載システム1の公開鍵Pvの送信を外部ツール2から要求された場合にS41、その外部ツール2が認証済みの外部ツール2であると判定したことを条件として公開鍵Pvを送信するようにしているがS42:YES,S44、これに限定されるものではなく、このような判定を行わずに公開鍵Pvを送信するようにしてもよい。仮に、不正な外部ツールが車載システム1の公開鍵Pvを入手したとしても、センタ3に登録されている公開鍵Ptと対をなす秘密鍵Stを入手できない限り、車載システム1との間で公開鍵Ptを用いた暗号通信を行うことができないため、セキュリティ性は確保される。6上記実施形態では、GW-ECU11が、外部ツール2から通信接続を要求された場合に、要求元の外部ツール2の公開鍵Ptをセンタ3から取得しS63,S64、その公開鍵Ptを用いた暗号通信を行うようにしているがS65、これに限定されるものではない。例えば、過去に通信を行ったことがあるなどの理由で、要求元の外部ツール2の公開鍵Ptを既に記憶している場合には、センタ3からの取得を省略してもよい。特に、前回の通信と同一の共通鍵Cを用いることで、外部ツール2への共通鍵Cの送信についても省略してもよい。7上記実施形態では、コネクタ17を介して車載システム1と有線通信を行う構成の外部ツール2を例示したが、これに限定されるものではない。例えば、CAN-BT-ECU12と近距離無線通信を行う機能を有した外部ツールを用いてもよい。この場合にも、上記実施形態と同様の処理を行うことができる。"