外部装置と通信可能な統括ユニットと、前記統括ユニットに通信回線を介して接続される複数の個別ユニットとを備え、前記統括ユニットおよび前記複数の個別ユニットと前記外部装置との間の通信動作を管理する通信管理装置であって、各前記個別ユニットは、前記外部装置に送信すべき情報を、予め定める加工ルールに従って加工する加工部と、前記加工部によって加工された情報を、前記通信回線を介して前記統括ユニットに送信する個別側内部通信部とを備え、前記統括ユニットは、各前記個別ユニットの前記個別側内部通信部から送信される情報を、前記通信回線を介して受信する統括側内部通信部と、前記統括側内部通信部によって受信された情報を、予め定めるチェックルールに従って加工し、加工された情報を検査して、前記情報の異常の有無を検出する検出部と、前記統括側内部通信部によって受信された情報を暗号化する暗号化部と、前記暗号化部によって暗号化された情報を、前記外部装置に送信する外部通信部とを備えることを特徴とする通信管理装置。前記予め定める加工ルールは、前記情報の加工を行う加工タイミングと、前記情報の加工箇所と、前記情報の加工量とを含み、前記予め定めるチェックルールは、前記加工された情報の検査を行うチェックタイミングと、前記検査のための前記情報の加工箇所と、前記検査のための前記情報の加工量とを含み、前記加工ルールの前記加工タイミング、前記加工箇所および前記加工量、ならびに前記チェックルールの前記チェックタイミング、前記加工箇所および前記加工量は、前記統括ユニットを識別する統括ユニット識別子と、前記情報の送信元の前記個別ユニットを識別する個別ユニット識別子とに基づいて定められることを特徴とする請求項1に記載の通信管理装置。前記予め定める加工ルールおよび前記予め定めるチェックルールは、前記統括ユニット識別子と前記情報の送信元の前記個別ユニット識別子とに基づいて定められる更新タイミングで更新されることを特徴とする請求項2に記載の通信管理装置。前記統括ユニットは、前記検出部によって前記情報に異常があることが検出された場合に、前記情報に異常があることを通報する通報部を備えることを特徴とする請求項1~3のいずれか1つに記載の通信管理装置。車両に搭載され、前記車両の外部に設けられる前記外部装置と前記統括ユニットおよび前記複数の個別ユニットとの間の通信動作を管理することを特徴とする請求項1~4のいずれか1つに記載の通信管理装置。前記車両は、充放電可能に構成され、前記複数の個別ユニットは、次のユニットすなわち、前記車両に対する課金を監視し、前記課金に関する課金情報を前記外部装置との間で送受信する課金監視用個別ユニット、前記車両と電力網とが接続される電力需給システムを管理し、前記車両に関する車両情報を前記外部装置との間で送受信する車両システム用個別ユニット、および前記車両の充放電状態を管理し、前記車両で充放電される電力量に関する充放電電力量情報を前記外部装置との間で送受信する充放電管理用個別ユニットのうちの少なくとも1つを含むことを特徴とする請求項5に記載の通信管理装置。前述の特許文献1に開示される技術では、送信すべきデータを暗号化するための暗号化手段を車載装置に設けることが必要である。EV内には、車載装置として、機能が異なる複数の電子制御ユニットElectronicControlUnit;略称:ECUが設けられ、各ECUと車外装置との間で、データの送受が行われる。たとえば、課金を監視するECUが設けられ、料金データの送受が行われる。またEVシステムを管理するEV-ECUが設けられ、車両データの送受が行われる。またバッテリの状態を管理するECUが設けられ、充放電電力量データの送受が行われる。EV内に設けられるECUは、いずれも、製品コストを低減するために、必要最小限の演算処理能力を有するマイクロコンピュータ略称:マイコンのみを搭載するように構成されている。このようなECUに、演算負荷が比較的大きい前述の暗号化手段として機能するマイコンを更に搭載すると、ECUの製品コストが増加してしまう。したがって、全てのECUに暗号化手段を搭載することは困難であるという問題がある。この問題を解決するためには、たとえば、車内通信ネットワークと車外通信ネットワークとの間に、車載ゲートウェイECUを設けて、この車載ゲートウェイECUによって、車外に送信される送信データを暗号化することが考えられる。しかし、車載ゲートウェイECUを設けても、悪意のあるユーザが、車内通信ネットワークに直接、不正にアクセスすることを防ぐことはできないので、車内通信ネットワークで改ざんされたデータが外部装置に送信されることを防ぐことはできない。本発明の目的は、外部装置との通信における情報の漏えいおよび改ざんなどを防止するとともに、装置内部で改ざんなどの異常が生じた情報が外部装置に送信されることを防止することが可能な通信管理装置を提供することである。本発明の通信管理装置は、外部装置と通信可能な統括ユニットと、前記統括ユニットに通信回線を介して接続される複数の個別ユニットとを備え、前記統括ユニットおよび前記複数の個別ユニットと前記外部装置との間の通信動作を管理する通信管理装置であって、各前記個別ユニットは、前記外部装置に送信すべき情報を、予め定める加工ルールに従って加工する加工部と、前記加工部によって加工された情報を、前記通信回線を介して前記統括ユニットに送信する個別側内部通信部とを備え、前記統括ユニットは、各前記個別ユニットの前記個別側内部通信部から送信される情報を、前記通信回線を介して受信する統括側内部通信部と、前記統括側内部通信部によって受信された情報を、予め定めるチェックルールに従って加工し、加工された情報を検査して、前記情報の異常の有無を検出する検出部と、前記統括側内部通信部によって受信された情報を暗号化する暗号化部と、前記暗号化部によって暗号化された情報を、前記外部装置に送信する外部通信部とを備えることを特徴とする。本発明の通信管理装置によれば、外部装置に送信すべき情報は、各個別ユニットの加工部によって、予め定める加工ルールに従って加工され、個別側内部通信部によって通信回線を介して統括ユニットに送信され、統括ユニットの統括側内部通信部によって受信される。統括側内部通信部で受信された情報は、統括ユニットの検出部によって、予め定めるチェックルールに従って加工されて検査され、異常の有無が検出される。また統括側内部通信部で受信された情報は、統括ユニットの暗号化部によって暗号化され、外部通信部によって外部装置に送信される。前述のように外部装置との通信を行う統括ユニットが、暗号化部を備えるので、外部装置との通信を第三者に傍受された場合の情報の漏えいおよび改ざんなどを防止することができる。また個別ユニットの加工部によって、予め定める加工ルールに従って情報が加工されて統括ユニットに送信され、統括ユニットの検出部によって、予め定めるチェックルールに従って加工されて検査され、情報の異常の有無が検出される。したがって、たとえば第三者によって通信管理装置の内部が直接、不正にアクセスされ、情報が改ざんされるなどして情報に異常が生じた場合に、情報に異常が生じたことを検出することができる。また、異常が検出された情報を外部通信部が外部装置に送信しないようにすることによって、改ざんなどの異常が生じた情報が外部装置に送信されることを防止することができる。図1は、本発明の実施の一形態である通信管理装置1の構成を示すブロック図である。通信管理装置1は、電動車両100に搭載される。電動車両100は、本実施の形態ではハイブリッド自動車であり、通信管理装置1とともに、発電部50、エンジン51およびバッテリ52を備える。発電部50は、エンジン51によって電力、具体的には直流電力を発電する。発電部50は、発電した直流電力をバッテリ52に与える。発電部50は、たとえばジェネレータによって実現される。バッテリ52は、電力を充放電可能に構成される。具体的には、バッテリ52は、エンジン51によって発電部50で発電される電力を蓄積可能に構成される。バッテリ52には、エンジン51によって発電部50で発電された電力、具体的には直流電力が与えられる。これによって、バッテリ52が充電される。電動車両100は、ハイブリッド自動車に限らず、電気自動車であってもよい。電動車両EV100は、不図示の次世代電力網であるスマートグリッドと接続され、EVシステムを構成する。EVシステムは、電力需給システムに相当する。EVシステムは、電動車両100とともに、電動車両100の外部に設けられるインフラストラクチャ以下車外インフラという場合がある40を含む。車外インフラ40は、通信装置を有しており、通信管理装置1との間で通信可能である。車外インフラ40は、外部装置に相当する。車外インフラ40は、たとえば、充電スタンドまたはエネルギーマネジメントシステムEnergyManagementSystem;略称:EMSといった、スマートグリッドに用いられる設備である。充電スタンドは、EV用の給電装置を備える充電施設である。EMSは、商用電源系統から電動車両への電力の供給、および電動車両から住宅またはビルなどの商用電源系統側への電力の供給、ならびにその他の電力の供給たとえば太陽光発電装置からの電力の供給などを監視して、電力の需給の平準化を実現するシステムである。通信管理装置1は、電動車両100と車外インフラ40との間の通信動作を管理する。電動車両100と車外インフラ40との間の通信動作とは、たとえば、電動車両100から車外インフラ40への情報の送信動作、および車外インフラ40から電動車両100への情報の送信動作などである。通信管理装置1は、図1に示すように、充放電制御ECU10、複数の個別ECU20および車内LAN30を備えて構成される。充放電制御ECU10と、各個別ECU20とは、車内LAN30によって接続されており、互いに通信可能に構成されている。充放電制御ECU10は、統括ユニットに相当する。個別ECU20は、個別ユニットに相当する。車内LAN30は、通信回線に相当する。本実施の形態では、通信管理装置1が、複数の個別ECU20として、3つの個別ECU20を備える場合を説明するが、個別ECU20の数は、これに限定されない。以下の説明において、特定の個別ECUを示す場合には、個別ECUを示す参照符号20に添え字a、b、cを付して、第1個別ECU20a、第2個別ECU20b、第3個別ECU20cという。不特定の個別ECUを示す場合には、参照符号20の添え字a、b、cを省略して、個別ECU20という。充放電制御ECU10は、車外インフラ40と通信可能に構成される。充放電制御ECU10は、電動車両100のバッテリ52を充電したり、バッテリ52に充電された電力を車外インフラ40に放電したりするために、車外インフラ40との通信を行う。充放電制御ECU10は、車外インフラ40との通信によって、たとえば、車外インフラ40の状態に関する情報を取得する。充放電制御ECU10は、取得した車外インフラ40の状態に関する情報と、自装置が搭載される電動車両100の状態に関する情報とに基づいて、電動車両100のバッテリ52の充電動作を行うか、または車外インフラ40への放電動作を行うかなどの充放電動作の内容を決定する。充放電制御ECU10は、決定した充放電動作の内容に従って、車内LAN30を介して、充放電動作に必要な複数の個別ECU20に制御指示を与える。これによって、充放電制御ECU10は、個別ECU20を制御する。複数の個別ECU20は、それぞれ、車内LAN30を介して充放電制御ECU10に接続される。複数の個別ECU20は、異なる機能を有しており、課金監視用個別ユニット、車両システム用個別ユニット、および充放電管理用個別ユニットの少なくとも1つを含む。課金監視用個別ユニットは、電動車両100に対する課金を監視するECUであり、課金に関する情報である課金情報、具体的には課金情報を表す料金データを車外インフラ40との間で送受信する。車両システム用個別ユニットは、EVシステムを管理するEV-ECUであり、電動車両100に関する車両情報、具体的には車両情報を表す車両データを車外インフラ40との間で送受信する。充放電管理用個別ユニットは、電動車両100の充放電状態、具体的にはバッテリ52の状態を管理するECUであり、電動車両100で充放電される電力量に関する充放電電力量情報、具体的には充放電電力量情報を表す充放電電力量データを車外インフラ40との間で送受信する。充放電制御ECU10は、車外通信部11、暗号化部12、検出部13、制御側車内LAN通信部14および制御側記憶部15を備える。車外通信部11は、外部通信部に相当する。また車外通信部11は、通報部に相当する。制御側車内LAN通信部14は、統括側内部通信部に相当する。車外通信部11は、車外インフラ40との通信を行う。車外通信部11は、たとえば、電動車両100の充放電のために、不図示のコネクタを介して、車外インフラ40との間で通信を行う。車外通信部11は、車外インフラ40との間で、充放電の電力量、電動車両100の出発予定時間または充電完了予定時間、およびバッテリ52の残量などの情報、具体的には、これらの情報を表すデータを送受信する。ここで、データとは、情報を表す数値のことをいう。車外通信部11と車外インフラ40との間で行われる通信の通信方式としては、電力線通信PowerLineCommunication;略称:PLC、もしくは日本国内の規格であるCHAdeMO急速充放電規格で使用されるコントローラエリアネットワークControllerAreaNetwork;略称:CANといった有線通信方式、または、無線LANもしくはWi-Fiなどの無線通信方式などが用いられる。暗号化部12は、車外インフラ40との通信で送受信される情報、具体的にはデータを暗号化する。具体的に述べると、暗号化部12は、データを暗号文に暗号化するデータ暗号化標準DataEncryptionStandard;略称:DESアルゴリズムなどを用いて、たとえば、電動車両100から車外インフラ40に送信すべき情報を表すデータ以下送信データという場合がある、具体的には送信データを含むメッセージを暗号化する。DESは公知技術であり、文書化されているという利点を有している。DESは、プライベートキーシステムであり、このプライベートキーが秘密にされている限りは高度に安全確実である。DESは、その暗号文出力の可逆性、すなわち暗号文が同一のプライベートキーを用いることによって元のメッセージに平文化され得るという更なる利点を有している。本発明の構成および動作に直接関係しないので明示しないが、DESでは、車外インフラ40から受信した、暗号化されたデータを復号化することも可能である。本実施の形態では、暗号化部12における暗号化方式としてDESを用いる場合について述べているが、暗号化部12における暗号化方式は、DESに限定されるものではない。暗号化部12における暗号化方式としては、DES以外に、共通鍵暗号方式または公開鍵暗号方式などを用いてもよい。検出部13は、車内LAN30で通信される情報、具体的には前記情報を表すデータ以下車内LAN通信データという場合があるの異常の有無を検出する。より詳細には、検出部13は、車内LAN通信データを含むメッセージの異常の有無を検出する。情報、データおよびメッセージの異常とは、たとえば改ざんなどである。制御側車内LAN通信部14は、車内LAN30を介して、個別ECU20との通信を行う。制御側記憶部15は、後述するチェックルールの定義、およびチェックルールの作成に用いる充放電制御ECU10の識別子および各個別ECU20の識別子を記憶する。車内LAN30としては、CANが使用される。車内LAN30は、CANに限定されるものではなく、シリアル通信、フレックスレイFlexRayなど、標準化された自動車の通信を使用するものであればよい。各個別ECU20は、メッセージ加工部21、個別側車内LAN通信部22および個別側記憶部23を備える。メッセージ加工部21は、加工部に相当する。個別側車内LAN通信部22は、個別側内部通信部に相当する。個別側車内LAN通信部22は、車内LAN30を介して、充放電制御ECU10の制御側車内LAN通信部14と接続される。個別側車内LAN通信部22は、車内LAN30を介して、充放電制御ECU10、具体的には制御側車内LAN通信部14と通信を行う。本実施の形態では、車内LAN30を介して、複数の個別ECU20の個別側車内LAN通信部22が、それぞれ、予め定める周期、たとえば100ms毎に、データを充放電制御ECU10に送信するものとする。メッセージ加工部21は、車外インフラ40に送信すべき情報を表すデータを個別側記憶部23から取得し、取得したデータを含むメッセージを、予め定める加工ルール以下メッセージ加工ルールという場合があるに従って加工する。メッセージを加工することは、メッセージに含まれるデータを加工することに相当する。個別側記憶部23は、電動車両100の発電部50およびバッテリ52などから取得される充放電の電力量およびバッテリ52の残量などの情報を記憶する。また個別側記憶部23は、使用者によって予め定められる電動車両100の出発予定時間を記憶する。また個別側記憶部23は、前述の加工ルールの定義と、加工ルールの作成に用いる自ECU20の識別子および充放電制御ECU10の識別子とを記憶する。たとえば、第1個別ECU20aの個別側記憶部23は、自ECUである第1個別ECU20aの識別子と、充放電制御ECU10の識別子とを記憶する。同様に、第2個別ECU20bの個別側記憶部23は、自ECUである第2個別ECU20bの識別子と、充放電制御ECU10の識別子とを記憶する。また第3個別ECU20cの個別側記憶部23は、自ECUである第3個別ECU20cの識別子と、充放電制御ECU10の識別子とを記憶する。本実施の形態では、充放電制御ECU10の識別子を1とし、第1個別ECU20aの識別子を2とし、第2個別ECU20bの識別子を3とし、第3個別ECU20cの識別子を4とする。次に、車内LAN30を介して充放電制御ECU10に送信されるメッセージを加工する方法と、メッセージの異常、たとえば第三者による不正な改ざんを検出する方法とについて説明する。メッセージを加工する方法は、各個別ECU20のメッセージ加工部21によって行われる。メッセージの異常を検出する方法は、充放電制御ECU10の検出部13によって行われる。表1~表3に、従来技術において車内LAN通信で授受されるデータの一例を示す。表1は、個別ECU20が送信する送信データの一例を示す。表1では、具体例として、第1個別ECU20aが送信する送信データの一例を示す。周期番号Nは、個別ECU20が、予め定める周期でデータを送信するときの送信順序を表す。以下の説明では、周期番号を周期No.という場合がある。たとえば、予め定める周期が100msである場合、最初の送信タイミングを周期No.1、100ms後の送信タイミングを周期No.2、200ms後の送信タイミングを周期No.3、300ms後の送信タイミングを周期No.4、と表す。送信データは、個別ECU20が送信する送信データの内容を示す。送信データは、個別ECU20が車外インフラ40に報告する値である報告値と、報告値の内容の整合をチェックするために使用するチェックサムとを含む。報告値は、たとえば、電動車両100がスマートグリッドに放電する放電電力量の値である。表1では、16進数で表した報告値と、2進数で表した報告値と、16進数で表したチェックサムの値とを示す。たとえば、16進数で表した報告値が0x2Aである場合のチェックサムの値は、2進数で表した報告値00101010の上位バイト0010を16進数で表した値0x02と、2進数で表した報告値00101010の下位バイト1010を16進数で表した値0x0Aとを加算することによって得られる。したがって、16進数で表した報告値が0x2Aである場合のチェックサムの値は、表1に示すように、16進数の表記で0x0Cとなる。表1では、送信データとともに、チェックサムの計算に用いられる計算用データと、チェックサムの計算式とを示す。計算用データは、2進数で表した報告値の上位バイトおよび下位バイトである。表2は、表1に示す送信データを改ざんしたデータ以下改ざんデータという場合があるの一例を示す。表2に示す改ざんデータは、たとえば、車内LAN30で伝送される送信データを第三者が解析して不正に改ざんしたデータである。表1に示す報告値が、たとえば前述の放電電力量の値である場合、表2に示す改ざんデータの報告値は、改ざんされた放電電力量の値である。表2では、改ざんデータとして、表1に示す送信データの各値にオフセット量として、5を加算したデータを示す。以下の説明では、送信データの各値にオフセット量として5を加算することを、送信データを5オフセットするという場合がある。表2では、改ざんされたデータとともに、チェックサムを5オフセットするときの計算式を示す。表2に示すように、5オフセットされたチェックサムの値は、元のチェックサムである表1に示すチェックサムの値に、オフセット量として5を加算した値となっている。表2において、たとえば、第1個別ECU20aが、周期No.1のタイミングで送信した送信データのうち、放電電力量を16進数で表した報告値は、表1に示す16進数で表した報告値0x2Aに、オフセット量として5を加算した値0x2Fとなっている。表2に示すチェックサムの値も同様に、表1に示す周期No.1の元のチェックサムの値0x0Cに、オフセット量として5、16進数の表記で0x05が加算された値0x11となっている。周期No.2~No.4についても同様に、表2に示す報告値およびチェックサムの値は、表1に示す報告値およびチェックサムの値に、それぞれオフセット量5が加算された値となっている。表3は、充放電制御ECU10が第1個別ECU20aから受信したデータ以下受信データという場合があるの一例を示す。表3に示す受信データは、第1個別ECU20aから送信された表1に示す送信データを、充放電制御ECU10で受信した受信データである。表3に示す受信データは、16進数で表した報告値と、2進数で表した報告値と、16進数で表したチェックサムの値とを含む。表3では、受信データとともに、従来技術においてチェックサムを用いてチェックするときに用いる計算用データとチェックサムの計算式とを示す。表3において、たとえば、充放電制御ECU10が、周期No.1のタイミングで受信した受信データのうち、放電電力量を表す報告値は、16進数の表記で0x2Fである。この16進数で表した報告値0x2Fからチェックサムを計算すると、上位バイトを16進数で表した値0x02と、下位バイトを16進数で表した値0x0Fとを加算した値0x11となる。計算によって得られたチェックサムの値0x11は、受信データに含まれるチェックサムの値0x11と等しい。したがって、充放電制御ECU10の検出部13は、メッセージの異常はないと判断する。検出部13は、周期No.2以降も同様に受信データの報告値からチェックサムを計算し、計算によって得られたチェックサムの値と、受信データに含まれるチェックサムの値とを比較することによって、メッセージの異常の有無を判断する。ここでは、表3に示すように、計算によって得られたチェックサムの値と、受信データとして受信されたチェックサムの値とは等しいので、検出部13は、メッセージの異常がないことを確認する。このように、従来技術の車内LAN通信におけるメッセージの確認方法では、表2に示すようにチェックサムの値まで改ざんされると、検出部13は、メッセージの異常がないと判断するので、表2に示す不正な放電電力量の改ざんを検出することはできない。したがって、充放電制御ECU10が、個別ECU20から受信した受信データをDESなどの暗号化部12で暗号化して、車外インフラ40に送信するようにしても、不正に改ざんされたデータをそのまま、車外インフラ40に送信してしまうことになる。表4~表6に、本実施の形態において車内LAN通信で授受されるデータの一例を示す。表4~表6では、一例として、充放電制御ECU10の識別子を1とし、第1個別ECU20aの識別子を2として作成されたメッセージ加工ルールおよびチェックルールを適用した場合のデータを示す。ここで、予め定めるメッセージ加工ルールについて説明する。予め定めるメッセージ加工ルールは、充放電制御ECU10の識別子と、送信元の個別ECU20の識別子とを用いて、メッセージの加工タイミング、加工箇所および加工量を定めたものである。換言すれば、メッセージ加工ルールは、メッセージの加工タイミング、加工箇所および加工量を含む。メッセージの加工タイミングは、本実施の形態では周期で表される。メッセージは、情報を表すデータを含むので、メッセージの加工タイミングは、情報の加工を行う加工タイミングに相当し、メッセージの加工箇所は、情報の加工箇所に相当し、メッセージの加工量は、情報の加工量に相当する。本実施の形態では、充放電制御ECU10の識別子と、送信元の個別ECU20の識別子とを用いて、メッセージ加工ルールを構成する要素であるメッセージの加工タイミング、加工箇所および加工量を次のように定義する。メッセージの加工タイミング周期は、送信元の個別ECU20の識別子と充放電制御ECU10の識別子との和とする。メッセージの加工箇所は、送信元の個別ECU20の識別子と充放電制御ECU10の識別子との和とする。メッセージの加工量は、充放電制御ECU10の識別子とする。たとえば、送信元の個別ECU20を第1個別ECU20aとし、充放電制御ECU10の識別子を1とし、第1個別ECU20aの識別子を2とした場合、メッセージの加工タイミング周期は、第1個別ECU20aの識別子2と充放電制御ECU10の識別子1との和となる。メッセージの加工箇所は、第1個別ECU20aの識別子2と充放電制御ECU10の識別子1との和となる。メッセージの加工量は、充放電制御ECU10の識別子1となる。このように送信元の個別ECU20を第1個別ECU20aとし、充放電制御ECU10の識別子を1とし、第1個別ECU20aの識別子を2とした場合のメッセージの加工タイミング、加工箇所および加工量を式で表すと、以下のようになる。メッセージの加工タイミング周期=第1個別ECU20aの識別子充放電制御ECU10の識別子=21=3周期メッセージの加工箇所=第1個別ECU20aの識別子充放電制御ECU10の識別子=21=3ビット目メッセージの加工量=充放電制御ECU10の識別子=1ビット加工以上の定義に従って、メッセージ加工ルールが作成される。本実施の形態では、通信の周期が3周期ごとに、データの3ビット目を、1ビット加工するというメッセージ加工ルールになる。ここで、1ビット加工するとは、1ビット反転することをいう。このようにして作成されたメッセージ加工ルールに従って加工されたデータを用いて、メッセージのチェックサムが計算される。すなわち、3周期目の3ビット目を1ビット反転させた値で、チェックサムが計算される。計算によって得られたチェックサムの値と、加工前の報告値とが、送信データとして送信される。すなわち本実施の形態では、送信データの報告値そのものは加工せずに、チェックサムのみを加工している。表4は、本実施の形態において個別ECU20が送信する送信データの一例を示す。表4では、具体例として、第1個別ECU20aが送信する送信データの一例を示す。表4では、表1と同様に、送信データと、計算用データと、チェックサムの計算式とを示す。表4においても、表1と同様に、送信データは、16進数で表した報告値と、2進数で表した報告値と、16進数で表したチェックサムの値とを含む。表4に示す報告値は、表1に示す報告値と同様に、たとえば放電電力量の値である。表4において、計算用データは、予め定めるメッセージ加工ルールによる加工後の報告値と、加工後の報告値のうち、2進数で表した報告値の上位バイトおよび下位バイトとを含む。表4に示す送信データに含まれる報告値は、表1に示す送信データに含まれる報告値と同一であるが、表4に示す送信データに含まれる一部のチェックサム、具体的には周期No.3のチェックサムの値は、表1に示すチェックサムの値と異なっている。表4に示すように、周期No.3の報告値は、16進数の表記で0x25である。本実施の形態では、送信元である第1個別ECU20aは、メッセージ加工部21によって、前述のメッセージ加工ルールに従い、表4において太枠で示すように、周期No.3の2進数で表した報告値00100101の3ビット目を反転させる加工を行う。この加工後の報告値を2進数で表すと、上位バイトは加工前と同じ0010であるが、下位バイトは0001となる。この加工後の報告値を16進数で表した値0x21を用いて、周期No.3のチェックサムが計算される。計算によって得られる周期No.3のチェックサムの値は、表4において太枠で示すように、加工後の16進数で表した報告値0x21の上位バイト0x02と下位バイト0x01とを加算した値0x03となる。メッセージ加工部21は、周期No.3から3周期ごとに、すなわち周期No.6、No.9、No.12、で、周期No.3の場合と同様に、加工した報告値を用いてチェックサムを計算することによって、チェックサムを加工する。このようにして加工されたチェックサムを送信データとして含むメッセージ以下加工されたメッセージという場合があるが、車内LAN13を介して、第1個別ECU20aから充放電制御ECU10に送信される。表5は、表4に示す送信データを改ざんした改ざんデータの一例を示す。表5に示す改ざんデータは、表2と同様に、たとえば、車内LAN30で伝送される送信データを第三者が解析して不正に改ざんしたデータである。表4に示す報告値が、たとえば前述の放電電力量の値である場合、表5に示す改ざんデータの報告値は、改ざんされた放電電力量の値である。表5では、改ざんデータとして、表4に示す送信データを5オフセットしたデータ、すなわち表4に示す各値にオフセット量として5を加算したデータを示す。表5では、改ざんされたデータとともに、チェックサムを5オフセットするときの計算式を示す。表5に示すように、5オフセットされたチェックサムの値は、元のチェックサムである表4に示すチェックサムの値に、オフセット量として5を加算した値となっている。たとえば、表5において太枠で示すように、第1個別ECU20aが、周期No.3のタイミングで送信した送信データのうち、放電電力量を16進数で表した報告値は、表4に示す16進数で表した報告値0x25に、オフセット量として5を加算した値0x2Aとなっている。表5に示すチェックサムの値も同様に、表4に示す周期No.3の元のチェックサムの値0x03に、オフセット量として5、16進数の表記で0x05が加算された値0x08となっている。周期No.2~No.4についても同様に、表5に示す報告値およびチェックサムの値は、表4に示す報告値およびチェックサムの値に、それぞれオフセット量として5を加算した値となっている。表5とは異なるが、チェックサムの値は、改ざんされた報告値から計算し直される場合もある。たとえば、周期No.3のチェックサムの値は、改ざんされた周期No.3の16進数で表した報告値0x2Aの上位バイト0x02と下位バイト0x0Aとを加算した値0x0Cに改ざんされる場合もある。表6は、充放電制御ECU10が第1個別ECU20aから受信した受信データの一例を示す。表6に示す受信データは、第1個別ECU20aから送信された表4に示す送信データを、充放電制御ECU10で受信した受信データである。表6に示す受信データは、表3に示す受信データと同様に、16進数で表した報告値と、2進数で表した報告値と、16進数で表したチェックサムの値とを含む。表6では、表3と同様に、受信データとともに、チェックサムの計算に用いられる計算用データと、チェックサムの計算式とを示す。表6において、計算用データは、予め定めるチェックルールによる加工後の報告値と、加工後の報告値のうち、2進数で表した報告値の上位バイトおよび下位バイトとを含む。表6に示す受信データに含まれる報告値は、表3に示す受信データに含まれる報告値と同一であるが、表6に示す受信データに含まれる一部のチェックサム、具体的には周期No.3のチェックサムの値は、表3に示すチェックサムの値と異なっている。表6において、たとえば、充放電制御ECU10が、周期No.3のタイミングで受信した受信データのうち、放電電力量を16進数で表した報告値は、0x2Aである。充放電制御ECU10の検出部13は、この16進数で表した報告値0x2Aを、予め定めるチェックルールに従って加工し、加工された報告値を用いてチェックサムを計算する。本実施の形態では、予め定めるチェックルールは、前述の予め定める加工ルールと同一であり、通信の周期が3周期ごとに、データの3ビット目を、1ビット加工反転するである。このチェックルールに従って加工したデータを用いて、検出部13によってチェックサムが計算される。具体的には、検出部13は、表6において太枠で示すように、受信データのうち、周期No.3の16進数で表した報告値0x2Aを2進数で表した値00101010の3ビット目を反転させる加工を行う。この加工後の報告値を2進数で表すと、上位バイトは加工前と同じ0010であるが、下位バイトは1110となる。この加工後の報告値を16進数で表した値0x2Eを用いて、周期No.3のチェックサムが計算される。計算によって得られる周期No.3のチェックサムの値は、加工後の16進数で表した報告値の上位バイト0x02と下位バイト0x0Eとを加算した値0x10となる。計算によって得られた周期No.3のチェックサムの値0x10は、受信データに含まれるチェックサムの値0x08と整合しない。また、計算によって得られた周期No.3のチェックサムの値0x10は、前述のように改ざんされた周期No.3の16進数で表した報告値0x2Aを用いて計算されたチェックサムの値0x0Cとも整合しない。したがって、検出部13は、メッセージに異常が発生したと判断する。これによって検出部13は、たとえば、予め定めるメッセージ加工ルールを知らない第三者によって、何らかのデータの改ざんが行われたことを検出することができる。このように、本実施の形態における検出部13によるメッセージの確認方法によれば、表5に示す不正なデータの改ざん、たとえば放電電力量の改ざんを検出することができる。したがって、充放電制御ECU10が、不正に改ざんされたデータをそのまま、DESなどの暗号化部12で暗号化して、車外インフラ40に送信してしまうことを未然に防ぐことができる。次に、電動車両100における通信管理装置1の動作について、図1および表4~表6を参照しつつ、図2および図3に示すフローチャートを用いて説明する。図2は、個別ECU20におけるメッセージの送信処理に関する処理手順を示すフローチャートである。図2に示す各処理は、個別ECU20のメッセージ加工部21および個別車内LAN通信部22によって実行される。個別ECU20に、不図示の電源から電力が供給されると、図2のフローチャートに示す処理が開始され、ステップS1に移行する。ステップS1において、個別ECU20のメッセージ加工部21は、自ECUの車内LAN通信における通信の周期を表す周期番号Nを0にリセットし、ステップS2に移行する。ステップS2において、メッセージ加工部21は、個別側記憶部23から、自ECUの識別子と、充放電制御ECU10の識別子と、メッセージ加工ルールの定義とを読出し、ステップS3に移行する。メッセージ加工ルールの定義は、たとえば前述のように、個別ECU20の識別子と充放電制御ECU10の識別子とをパラメータとする式で表される。ステップS3において、メッセージ加工部21は、読出した自ECUおよび充放電制御ECU10の識別子と、メッセージ加工ルールの定義とを用いて、メッセージ加工ルールを作成する。具体的には、メッセージ加工部21は、読出した自ECUおよび充放電制御ECU10の識別子と、メッセージ加工ルールの定義とを用いて、メッセージ加工ルールを構成する要素、具体的にはメッセージ加工タイミング、メッセージ加工箇所およびメッセージ加工量を演算する。このようにしてメッセージ加工ルールを作成すると、ステップS4に移行する。ステップS4において、メッセージ加工部21は、自ECUの車内LAN通信における通信の周期を表す周期番号Nに1加えて、ステップS5に移行する。ステップS5において、メッセージ加工部21は、周期番号Nの表す送信タイミングが、ステップS3で作成したメッセージ加工ルールにおけるメッセージ加工タイミングと一致するか否かを判断する。メッセージ加工部21は、周期番号Nの表す送信タイミングがメッセージ加工タイミングと一致すると判断した場合は、ステップS6に移行し、一致しないと判断した場合は、ステップS7に移行する。ステップS6において、メッセージ加工部21は、ステップS3で作成したメッセージ加工ルールに従って、個別側記憶部23に記憶されている報告値を含む、送信すべきメッセージを加工し、個別側車内LAN通信部22に与える。このようにしてメッセージの加工を行うと、ステップS7に移行する。ステップS6のメッセージを加工する処理を経てステップS7に移行された場合、ステップS7において、車内LAN通信部22は、ステップS6で加工されたメッセージを、車内LAN30を介して、充放電制御ECU10に送信する。ステップS6のメッセージを加工する処理を経ずに、ステップS5からステップS7に移行された場合、ステップS7において、車内LAN通信部22は、個別側記憶部23に記憶されている報告値を含むメッセージを、車内LAN30を介して、充放電制御ECU10に送信する。メッセージを充放電制御ECU10に送信すると、ステップS8に移行する。ステップS8において、メッセージ加工部21は、自ECUの電源のオフOFFが指示されたか否か、すなわち電源をオフする指示が入力されたか否かを判断する。メッセージ加工部21は、電源のオフが指示されていないと判断した場合は、ステップS4に戻って前述の処理を繰返し行う。メッセージ加工部21は、電源のオフが指示されたと判断した場合は、全ての処理手順を終了する。このようにして、個別ECU20の電源がオフOFFになるまで、ステップS4~ステップS7の処理が繰返し行われる。図3は、充放電制御ECU10における送信メッセージの異常の有無のチェック処理に関する処理手順を示すフローチャートである。図3に示す各処理は、充放電制御ECU10の車外通信部11、暗号化部12、検出部13および制御側車内LAN通信部14によって実行される。充放電制御ECU10に、不図示の電源から電力が供給されると、図3のフローチャートに示す処理が開始され、ステップS11に移行する。ステップS11において、充放電制御ECU10の検出部13は、自ECUの車内LAN通信における通信の周期を表す周期番号Nを0にリセットし、ステップS12に移行する。ステップS12において、検出部13は、制御側記憶部15から、自ECUの識別子と、通信相手の個別ECU20の識別子と、メッセージのチェックルール以下メッセージチェックルールという場合があるの定義とを読出し、ステップS13に移行する。本実施の形態では、チェックルールは、加工ルールと同一である。ステップS13において、検出部13は、読出した自ECUおよび個別ECU20の識別子と、メッセージチェックルールの定義とを用いて、メッセージチェックルールを作成する。具体的には、検出部13は、読出した自ECUおよび個別ECU20の識別子と、メッセージチェックルールの定義とを用いて、メッセージチェックルールを構成する要素、具体的にはメッセージチェックタイミングと、検査のためのメッセージの加工箇所および加工量とを演算する。このようにしてメッセージチェックルールを作成すると、ステップS14に移行する。ステップS14において、検出部13は、自ECUの車内LAN通信における通信の周期を表す周期番号Nに1を加えて、ステップS15に移行する。ステップS15において、検出部13は、制御側車内LAN通信部14が個別ECU20からのメッセージを受信したか否かを判断する。検出部13が、個別ECU20からのメッセージを受信したと判断した場合は、ステップS16に移行し、受信していないと判断した場合は、受信するまで待機する。ステップS16において、検出部13は、周期番号Nの表す送信タイミングが、ステップS13で作成したメッセージチェックルールにおけるメッセージチェックタイミングと一致するか否かを判断する。検出部13は、周期番号Nの表す送信タイミングがメッセージチェックタイミングと一致すると判断した場合は、ステップS17に移行し、一致しないと判断した場合は、ステップS18に移行する。ステップS17において、検出部13は、個別ECU20から受信したメッセージを、ステップS13で作成したメッセージチェックルールに従って加工し、ステップS18に移行する。ステップS17のメッセージを加工する処理を経てステップS18に移行された場合、ステップS18において、検出部13は、チェックサムを確認するなどのメッセージ異常検出方法を用いて、加工されたメッセージの異常の有無をチェックする。ステップS17のメッセージを加工する処理を経ずに、ステップS16からステップS18に移行された場合、ステップS18において、検出部13は、チェックサムを確認するなどのメッセージ異常検出方法を用いて、個別ECU20から受信したメッセージの異常の有無をチェックする。検出部13は、メッセージの異常の有無をチェックすると、ステップS19に移行する。ステップS19において、検出部13は、ステップS18のメッセージの異常の有無のチェックの結果、異常があるか否かを判断する。検出部13は、異常がないと判断した場合は、ステップS20に移行し、異常があると判断した場合は、ステップS21に移行する。メッセージに異常がないと判断された場合、検出部13によって、メッセージが暗号化部12に与えられる。ステップS20において、暗号化部12は、与えられたメッセージを暗号化して、ステップS21に移行する。ステップS21において、車外通信部11は、ステップS20で暗号化されたメッセージを車外インフラ40に送信し、ステップS23に移行する。ステップS22において、検出部13は、メッセージの異常時処理を行い、ステップS23に移行する。メッセージの異常時処理とは、たとえば不図示のスピーカなどの出力装置から警報音を出力することによって、メッセージに異常があることをユーザに通知する処理、またはメッセージに異常がある旨の情報を車外インフラ40に送信する処理である。ステップS23において、検出部13は、自ECUの電源のオフOFFが指示されたか否かを判断する。検出部13は、電源のオフが指示されていないと判断した場合は、ステップS14に戻って前述の処理を繰返し行う。検出部13は、電源のオフが指示されたと判断した場合は、全ての処理手順を終了する。このようにして、充放電制御ECU10の電源がオフOFFになるまで、ステップS14~ステップS22の処理が繰返し行われる。以上のように本実施の形態の通信管理装置1によれば、外部装置である車外インフラ40との通信以下外部通信という場合があるを行う充放電制御ECU10が、外部通信のためのデータを暗号化する手段である暗号化部12を備えるので、車外インフラ40との通信を第三者に傍受された場合の情報の漏えいおよび改ざんなどを防止することができる。また、個別ECU20は、充放電制御ECU10を介して車外インフラ40と通信するので、暗号化を行う暗号化部12は、車外インフラ40との通信を行う充放電制御ECU10のみに搭載されればよい。したがって、電動車両100に搭載される全てのECUが、負荷の大きい暗号化部12を搭載する必要がなくなる。また、車内LANを介して通信する個別ECU20と充放電制御ECU10とは、個別ECU20において、予め定める加工ルールに従ってメッセージを加工して充放電制御ECU10に送信し、充放電制御ECU10において、受信したメッセージを、予め定めるチェックルールに従って加工して検査し、メッセージの改ざんなどの異常の有無を検出する。これによって、たとえば第三者によって通信管理装置1の内部が直接、不正にアクセスされ、情報が改ざんされるなどして情報に異常が生じた場合に、情報に異常が生じたことを検出することができる。また、異常が検出された情報を車外通信部11が車外インフラ40に送信しないようにすることによって、改ざんなどの異常が生じた情報が車外インフラ40に送信されることを防止することができる。具体的には、車内LAN30内で伝送される情報が直接改ざんされた場合に、改ざんの事実を検出することができる。また、改ざんされた情報を車外通信部11から送信しないようにすることによって、改ざんされた情報が外部に漏えいすることを防止することができる。前述の予め定める加工ルールは、メッセージの加工タイミング、加工箇所および加工量を含み、これらは、送受信を行う各ECUの識別子、すなわち充放電制御ECU10の識別子と送信元の個別ECU20の識別子とに基づいて定められる。同様に、前述の予め定めるチェックルールは、メッセージのチェックタイミングと、検査のための加工箇所および加工量とを含み、これらは、充放電制御ECU10の識別子と送信元の個別ECU20の識別子とに基づいて定められる。これによって、加工ルールおよびチェックルールを簡単な内容にすることができるので、充放電制御ECU10および個別ECU20における演算負荷を過度に増加させることなく、メッセージ加工部21および検出部13を搭載することができる。したがって、製品コストの増加を防ぐことができる。また本実施の形態では、報告値の2進数での値を加工ルールおよびチェックルールで加工するので、簡単な内容の同一のルールを、加工ルールおよびチェックルールとして用いることができる。したがって、充放電制御ECU10および個別ECU20における演算負荷を過度に増加させることなく、メッセージ加工部21および検出部13を搭載することができるので、製品コストの増加を防ぐことができる。以上に述べた本実施の形態の通信管理装置1は、電動車両100に搭載され、車外インフラ40と充放電制御ECU10および個別ECU20との間の通信動作を管理する、電動車両の通信管理装置として好適に用いられる。個別ECU20は、前述のように、課金監視用個別ユニット、EVシステム用個別ユニットおよび充放電管理用個別ユニットのうちの少なくとも1つを含む。以上に述べた本実施の形態では、メッセージ加工ルールおよびメッセージチェックルールは、一度設定されると、個別ECU20および充放電制御ECU10の電源がオフOFFになるまで同じルールのままで繰返し用いられる。これに限定されず、本発明の他の実施の形態では、充放電制御ECU10の識別子と、充放電制御ECU10と車内LAN30を介して通信を行う個別ECU20の識別子とを用いて、メッセージ加工ルールおよびメッセージチェックルールを作成し直すタイミングをさらに定めて、特定の周期で、メッセージ加工ルールおよびメッセージチェックルールを作成し直してもよい。これによって、第三者によってメッセージ加工ルールおよびメッセージチェックルールが解析されることを、より確実に防止することができる。このように、予め定めるメッセージ加工ルールおよびメッセージチェックルールは、送受信を行う各ECU、すなわち個別ECU20および充放電制御ECU10の識別子を基にした演算結果から得られる更新タイミングで更新される。これによって、メッセージの加工内容を解析されにくくすることができるので、第三者による改ざんなどの脅威を回避しやすくすることができる。また本実施の形態では、図3に示すステップS19において、検出部13によって、メッセージに異常があることが検出された場合、ステップS22の異常時処理において、たとえば通報部として機能する車外通信部11によって、メッセージに異常があることが通報される。具体的には、異常時処理として、警報、運転者への通知、または車外インフラ40への通報が行われる。これによって、メッセージの異常を検出したタイミングで迅速に、メッセージに異常があることを利用者に通知することができる。具体的に述べると、本実施の形態では、外部通信を行う充放電制御ECU10は、メッセージの異常たとえば改ざんを検出した場合に、通報する手段として、車外通信部11を備える。これによって、たとえば、不正アクセスによる改ざんおよび漏えいを、利用者または車外インフラ40などに通知することができる。したがって、改ざんなどの不正に対する対策を迅速に講じることができる。なお本発明は、その発明の範囲内において、実施の形態を適宜、変形、省略することが可能である。たとえば前述の実施の形態では、通信管理装置1は、電動車両100に搭載されて用いられるが、これに限定されない。たとえば、通信管理装置1は、太陽光発電装置などの発電装置を備え、電力の需給が可能な住宅であるスマートハウスの通信管理装置として用いられてもよい。このように通信管理装置1が、スマートハウスの通信管理装置として用いられる場合でも、本実施の形態と同様の効果を得ることができる。