"第1のネットワークに接続され、ソフトウェアまたはデータのうち少なくともいずれかの情報が外部より書き換え可能な組込み機器と、前記第1のネットワークと通信接続可能な第2のネットワークに接続され、前記組込み機器の情報の書き換えを予め定められた管理者が許可するか否かを示す承認情報を有するサーバとを備え、前記組込み機器は、前記情報への書き換え要求を受けた場合、当該情報の書き換えが許可されているか否かを確認するための承認確認要求を送出し、前記サーバは、当該承認確認要求への結果を応答し、前記組込み機器は、許可を示す承認確認応答を受け取った場合にのみ、前記情報の書き換えを許可することを特徴とする組込み機器保守システム。サーバは、第3のネットワークを介して通信接続を行う通信端末と組込み機器との関係を示すデータベースを備え、承認確認要求を受け取った場合、当該データベースに基づいて、前記承認確認要求を送出した組込み機器に対応した通信端末を特定し、当該特定した通信端末からの情報に基づいて前記組込み機器の承認情報を更新することを特徴とする請求項1記載の組込み機器保守システム。組込み機器は車両用機器であり、第1のネットワークは車載ネットワークであることを特徴とする請求項1または請求項2記載の組込み機器保守システム。組込み機器はFAFactoryAutomation機器であり、第1のネットワークはFA機器間ネットワークであることを特徴とする請求項1または請求項2記載の組込み機器保守システム。第1のネットワークと第2のネットワークを相互に接続する通信ゲートウェイ装置とを備え、前記通信ゲートウェイ装置は、組込み機器からの承認確認要求をサーバ宛に送信すると共に、当該サーバからの承認確認応答を前記組込み機器に転送することを特徴とする請求項1から請求項4のうちのいずれか1項記載の組込み機器保守システム。組込み機器は通信ゲートウェイ装置との間で機器認証を行う機器側認証手段を備えると共に、前記通信ゲートウェイ装置は前記組込み機器との間で機器認証を行うゲートウェイ側認証手段を備え、前記機器側認証手段は、前記ゲートウェイ側認証手段との機器認証の結果、正当な通信ゲートウェイ装置であることを認証した場合にのみ、前記組込み機器における書き換えを許可することを特徴とする請求項5記載の組込み機器保守システム。通信ゲートウェイ装置は、自身に固有のIDを有すると共に、ゲートウェイ側認証手段は、当該IDを秘密鍵で暗号化して暗号化IDを生成し、機器側認証手段は、前記通信ゲートウェイ装置のIDとゲートウェイ側認証手段の公開鍵とを保存し、機器認証時、前記ゲートウェイ側認証手段から受け取った暗号化IDを前記公開鍵で復号し、前記通信ゲートウェイ装置が正当か否かを認証することを特徴とする請求項6記載の組込み機器保守システム。機器側認証手段は、組込み機器側の公開鍵と乱数とをゲートウェイ側認証手段に送付し、ゲートウェイ側認証手段は、受け取った乱数と暗号化IDを、前記組込み機器側の公開鍵で暗号化して前記機器側認証手段に送付し、前記機器側認証手段は、受け取った乱数と暗号化IDを自身の秘密鍵で復号し、さらに復号した暗号化IDを前記ゲートウェイ側認証手段の公開鍵で復号して、復号した乱数とIDとを、前記ゲートウェイ側認証手段に送付した乱数と保存しているIDと照合することにより、認証を行うことを特徴とする請求項7記載の組込み機器保守システム。データベースは、組込み機器と、当該組込み機器における書き換えを禁止しているかまたは一定の期間のみ許可しているかを示す情報を保持することを特徴とする請求項2記載の組込み機器保守システム。サーバは特定した通信端末に対して通信接続要求を行い、当該通信端末は、当該サーバからの通信接続要求を受けた場合に前記サーバに通信接続を行うことを特徴とする請求項2記載の組込み機器保守システム。サーバは特定した通信端末に対して当該サーバのURLを記載したメールを送信し、前記通信端末は、前記URLにアクセスすることにより前記サーバに通信接続を行うことを特徴とする請求項10記載の組込み機器保守システム。しかしながら、上記従来の特許文献1,2に記載されているような技術では、遠隔からの書き換え指令は防止することはできるが、直接盗難にあった車や、機器を直接操作する人物に対しては書き換えを防止することはできなかった。また、特許文献3に記載されているような技術では、装置や動作させるための情報ごと盗難にあった場合には対処できないという問題があった。さらに、特許文献4に記載されているような技術では、携帯電話でIDコードを更新するだけであるため、実際の書き換えが実行されようとした場合は、所有者の認証といったことは行われず、書き換えを防止することは困難であった。この発明は上記のような課題を解決するためになされたもので、組込み機器における不正なソフトウェアやデータの書き換えを防止し、セキュリティを向上させることのできる組込み機器保守システムを得ることを目的とする。この発明に係る組込み機器保守システムは、第1のネットワークに接続され、ソフトウェアまたはデータのうち少なくともいずれかの情報が外部より書き換え可能な組込み機器と、第1のネットワークと通信接続可能な第2のネットワークに接続され、組込み機器の情報の書き換えを予め定められた管理者が許可するか否かを示す承認情報を有するサーバとを備え、組込み機器は、情報への書き換え要求を受けた場合、情報の書き換えが許可されているか否かを確認するための承認確認要求を送出し、サーバは、承認確認要求への結果を応答し、組込み機器は、許可を示す承認確認応答を受け取った場合にのみ、情報の書き換えを許可するようにしたものである。この発明の組込み機器保守システムは、組込み機器の情報の書き換えを予め定められた管理者が許可するか否かを示す承認情報を有するサーバを備え、組込み機器は、情報への書き換え要求を受けた場合、承認確認要求を送出し、サーバは、承認確認要求への結果を応答し、組込み機器は、許可を示す承認確認応答を受け取った場合にのみ、情報の書き換えを許可するようにしたので、組込み機器における不正なソフトウェアやデータの書き換えを防止し、セキュリティを向上させることができる。実施の形態1.図1は、この発明の実施の形態1による組込み機器保守システムを示す構成図である。図1に示す組込み機器保守システムは、車両内機器100、第2のネットワーク200、サーバ300、第3のネットワーク400、携帯電話500を備えている。車両内機器100としては、複数の組込み機器101が車載ネットワーク102に接続され、また、車載ネットワーク102には、通信ゲートウェイ装置通信GW装置103とメンテナンス機器104が接続されている。組込み機器101は、ECUElectronicControlUnit:電子制御ユニットといったマイコンを中心とするユニットであり、車両内に複数存在する。車載ネットワーク102は、車両内で種々の機器を相互に接続するための第1のネットワークである。通信ゲートウェイ装置103は、第2のネットワーク200に対して車載ネットワーク102を接続するためのゲートウェイである。メンテナンス機器104は、車両内機器100におけるソフトウェアやデータを書き換えるための機器である。第2のネットワーク200は、携帯電話網やDSRCDedicatedShortRangeCommunications:狭域通信、無線LANなどのネットワークであり、サーバ300と車両内機器100とを通信接続するネットワークである。サーバ300は、第2のネットワーク200に接続され、組込み機器101群の情報の書き換えを予め定められた管理者が許可するか否かを示す承認情報を格納する関連データベース301を有している。この関連データベース301は、図2に示すように、車体番号と所有者の情報とを管理する為のデータベースである。ここで車体番号はナンバープレートの情報でも良く、また、VINと呼ばれる車両固有の情報でも一意に車両を特定できるものであればどのようなものであっても良い。通信GW番号は、通信ゲートウェイ装置103のネットワークアドレスにあたるものでも良く、第2のネットワーク200として携帯電話網を用いるものであればその電話番号と機器固有の情報の組み合わせであっても良い。所有者情報は、車両所有者の名前や法人の名称である。メールアドレスは承認すべき管理者が使用する携帯電話やパソコンといった通信端末のメールアドレスであり、暗証番号は所有者本人しか知らない数桁の数字や記号の列である。承認日時は、その車両における組込み機器101の情報の書き換えを許可しているか否かを示すと共に、その承認日時を示すものである。また、有効期限とは、承認した日時から何日間許可するか、または許可する期限の日時といった情報である。第3のネットワーク400は携帯電話網といったネットワークであり、携帯電話500とサーバ300とを通信接続するためのネットワークである。また、携帯電話500は、車両の所有者といった、組込み機器101群の情報の書き換えを許可または禁止する予め定められた管理者が使用する通信端末である。尚、所有者が使用する通信端末としては携帯電話500以外にパソコン等であってもよい。次に、実施の形態1の組込み機器保守システムの動作について説明する。図3は、メンテナンス機器104と組込み機器101と通信ゲートウェイ装置103の動作を示すフローチャートである。ステップST11は、自動車やFA機器のメンテナンスポートに装置を接続したり、メンテナンスポートの端末に何らかの手段にて更新用のデータを入力し、そこから各種ECUなどの組込み機器101に対してソフトウェアやデータの書き換え要求を行うステップである。このステップでは対象とする組込み機器101を指定してその対象となる機器に対して書き換えの要求を行う。書き換え対象となる組込み機器101に関しては、予めIDなどで指定可能であり、ネットワークも車載ネットワーク102やFA機器のネットワークなどIDのような機器を一意に指定する情報でアクセスが可能である。ステップST11で組込み機器101に対して書き換え要求を送った後、メンテナンス機器104ではその可否の応答待ちのフェーズステップST12に入る。ステップST12の応答待ちにおいて、一定時間待った後応答がなかったり、未確認であるという応答が返ってきた場合には、書き換え処理は終了する。ステップST21で、メンテナンス機器104から書き換えの要求を受け取った組込み機器101は、ステップST22で、その書き換えの承認が所有者から出ているかどうかを確認するために通信ゲートウェイ装置103に対して承認確認要求を行う。なお、組込み機器101が図4に示すような確認日時を示すデータを保持するようにし、一定時間内に既に同じ機器に対して承認確認を行う場合は、この記憶データを確認した上で承認があったものと考えてステップST24以降の処理を行うようにしても良い。ステップST22で通信ゲートウェイ装置103に対して承認確認要求を行った後、組込み機器101は、ステップST23で通信ゲートウェイ装置103からの応答を待つ。このステップST23の応答待ちでも一定時間以上に応答を待った場合は承認されていないものとして、あるいは未承認の応答を得た場合はステップST25で未承認であるという応答をメンテナンス機器104に返して終了する。通信ゲートウェイ装置103は、ステップST31において、組込み機器101からの承認確認要求を受け付けると、ステップST32で、その書き換えの承認が所有者から出ているかどうかを確認するためにサーバ300に対して承認確認要求を行う後述する図6参照。なお、通信ゲートウェイ装置103が図5に示すような対象組込み機器IDと承認日時の組のデータを不揮発性のメモリに記憶するようにし、既に、過去一定時間内に承認していた場合はそのままステップST35に移行するようにしてもよい。通信ゲートウェイ装置103は、ステップST32でサーバ300に対して承認確認要求を送出した後はサーバ300からの応答待ちを行うステップST33。ステップST33において、サーバ300からの応答が一定時間以内に返らなかったり、ステップST34において未承認の応答が返ってきた場合は、ステップST35で未承認応答を返す。ステップST34において、確認の応答が返ってきた場合には、ステップST35で承認された旨の応答を返し、終了する。また、対象組込み機器IDと承認日時の組を図5に示すような形で保存し、終了する。ステップST24において、通信ゲートウェイ装置103からの承認確認応答を受け取った組込み機器101は、その日時情報を記録し、メンテナンス機器104に対してステップST25で承認確認応答を返すと同時に、書き換えるための書き換えアドレスとその内容といった情報を要求する。メンテナンス機器104は、ステップST13で承認を確認した後、要求されたデータを組込み機器101に対してステップST14で送信する。組込み機器101は、ステップST26で書き換えるためのデータを受け取り、自身のソフトウェアやデータを書き換える。次に、サーバ300側の動作について説明する。図6は、通信ゲートウェイ装置103とサーバ300と携帯電話500との動作を示すフローチャートである。通信ゲートウェイ装置103は第2のネットワーク200を介してサーバ300に承認確認要求を行うステップST32。サーバ300は、ステップST41で承認確認を受け付けると、関連データベース301にアクセスし、車体番号の情報や所有者の情報を取り出すステップST42、ST43。その結果、書き換えが許可されており、かつ、承認日時が有効期限内であった場合はステップST44、そのままステップST47に移行して承認確認応答を行う。一方、ステップST44において、未承認書き換え禁止であったり、承認されていても有効期限を過ぎていた場合は、該当する所有者の携帯電話500あるいはパソコンのメールアドレス宛にメール送信を行うステップST45。なお、未承認の状態とは、例えば、関連データベース301において承認日時の情報が無かったり、または有効期限の情報が無いといった状態である。あるいは、例えば書き換え禁止の欄を設けて、明示的に書き換え禁止というフラグを付与するといった手法でも実現することができる。また、一定期間の許可とは有効期限を記載することにより期限を明示するという方法で実現できる。所有者は、携帯電話500でサーバ300からのメールを受信するとステップST51、その内容に基づいてサーバアクセスを行うステップST52。メールの内容は、所有者に対して対象機器のソフトウェアやデータの書き換えを行うが承認するかというようなもので、メールにURLなどを貼り付け、携帯電話500あるいはパソコンから特定のURLへアクセスする手法や、ユーザ名とIDを入れさせるなどといった手法でサーバアクセスを行う。これにより、サーバ300側では承認処理が行われステップST46、関連データベース301における承認日時等を更新する。その後は、ステップST47において承認確認応答を通信ゲートウェイ装置103宛に送信する。以上説明したように、実施の形態1の組込み機器保守システムによれば、第1のネットワークに接続され、ソフトウェアまたはデータのうち少なくともいずれかの情報が外部より書き換え可能な組込み機器と、第1のネットワークと通信接続可能な第2のネットワークに接続され、組込み機器の情報の書き換えを予め定められた管理者が許可するか否かを示す承認情報を有するサーバとを備え、組込み機器は、情報への書き換え要求を受けた場合、情報の書き換えが許可されているか否かを確認するための承認確認要求を送出し、サーバは、承認確認要求への結果を応答し、組込み機器は、許可を示す承認確認応答を受け取った場合にのみ、情報の書き換えを許可するようにしたので、組込み機器における不正なソフトウェアやデータの書き換えを防止し、セキュリティを向上させることができる。また、実施の形態1の組込み機器保守システムによれば、サーバは、第3のネットワークを介して通信接続を行う通信端末と組込み機器との関係を示すデータベースを備え、承認確認要求を受け取った場合、データベースに基づいて、承認確認要求を送出した組込み機器に対応した通信端末を特定し、特定した通信端末からの情報に基づいて組込み機器の承認情報を更新するようにしたので、よりセキュリティを向上させることができる。また、実施の形態1の組込み機器保守システムによれば、組込み機器は車両用機器であり、第1のネットワークは車載ネットワークとしたので、不正に車両の情報が書き換えられてしまう行為を防止することができる。また、実施の形態1の組込み機器保守システムによれば、組込み機器はFA機器であり、第1のネットワークはFA機器間ネットワークとしたので、FA機器の情報が不正に書き換えられてしまう行為を防止することができる。また、実施の形態1の組込み機器保守システムによれば、第1のネットワークと第2のネットワークを相互に接続する通信ゲートウェイ装置とを備え、通信ゲートウェイ装置は、組込み機器からの承認確認要求をサーバ宛に送信すると共に、サーバからの承認確認応答を組込み機器に転送するようにしたので、組込み機器とサーバ間の通信を確実に行うことができる。また、実施の形態1の組込み機器保守システムによれば、データベースは、組込み機器と、組込み機器における書き換えを禁止しているかまたは一定の期間のみ許可しているかを示す情報を保持するようにしたので、よりセキュリティを向上させることができる。また、実施の形態1の組込み機器保守システムによれば、サーバは特定した通信端末に対して通信接続要求を行い、通信端末は、サーバからの通信接続要求を受けた場合にサーバに通信接続を行うようにしたので、特定した通信端末のみがサーバに通信接続することができるため、よりセキュリティを向上させることができる。また、実施の形態1の組込み機器保守システムによれば、サーバは特定した通信端末に対してサーバのURLを記載したメールを送信し、通信端末は、URLにアクセスすることによりサーバに通信接続を行うようにしたので、特定した通信端末のみがサーバに通信接続することができるため、よりセキュリティを向上させることができる。実施の形態2.次に、組込み機器101と通信ゲートウェイ装置103との間で機器認証を行うようにした例を実施の形態2として説明する。実施の形態2における機器認証とは、書き換えの際に別の通信ゲートウェイ装置を付けて、別のサーバで認証したかのように見せかけるものを防ぐもので、組込み機器側で通信ゲートウェイ装置固有の情報を保持しておき、特定の通信ゲートウェイ装置以外が接続されることを防ぐものである。実施の形態2の組込み機器保守システムの図面上の構成は実施の形態1と同様であるため、図1を用いて説明する。実施の形態2における組込み機器101および通信ゲートウェイ装置103は、それぞれ機器側認証手段とゲートウェイ側認証手段とを備えている。これら機器側認証手段とゲートウェイ側認証手段は、組込み機器101と通信ゲートウェイ装置103との間で機器認証を行うための手段である。その他の構成は実施の形態1と同様である。図7は、実施の形態2における機器側認証手段とゲートウェイ側認証手段の動作を示すフローチャートである。先ず、機器側認証手段におけるステップST61~ST62、ゲートウェイ側認証手段におけるステップST71~ST73は、出荷前に工場の環境で行うものである。即ち、通信ゲートウェイ装置103ごとに秘密鍵と公開鍵を予め生成しておく。ステップST61では対応する通信ゲートウェイ装置103のIDを保存する。また、ステップST62では対応する通信ゲートウェイ装置103側の公開鍵を保存しておく。一方、通信ゲートウェイ装置103のゲートウェイ認証手段では、ステップST71においてIDを付与し、このIDが機器側認証手段のステップST61で保存されるIDである。また、ステップST72では装置ごとの秘密鍵でIDを暗号化する。次に、ステップST73でIDを削除し、通信ゲートウェイ装置103のIDとしては秘密鍵で暗号化したIDのみの状態にする。出荷後、ソフトウェアなどの書き換え要求を受けた場合は、機器側認証手段が機器の認証を行い、ステップST63で認証要求を送出する。このとき、機器側認証手段で組込み機器101の公開鍵、秘密鍵のペアを生成する。また、乱数も生成し、この乱数と公開鍵を通信ゲートウェイ装置103のゲートウェイ認証手段に送付する。ゲートウェイ側認証手段では、ステップST74でその要求を受付け、ステップST75で通信ゲートウェイ装置103側の秘密鍵で暗号化済みのIDを受け取った公開鍵で乱数と共に暗号化し、認証を要求した組込み機器101側に返す。機器側認証手段では、ステップST64で、組込み機器101の公開鍵で暗号化された乱数と、通信ゲートウェイ装置103の秘密鍵で暗号化したIDを受け取り、ステップST65において、ステップST63で生成した秘密鍵を利用して復号し、さらにステップST62で保存した公開鍵を利用してIDを復号する。次に、復号したIDとステップST61で保存したIDの情報と同じかどうかを確認する。また、ステップST66において、乱数も同じであるかどうかを確認し、IDと乱数とが共に同じであれば認証されたことになり、違えば認証失敗とする。このように、一般的なセキュリティの世界での秘密鍵、公開鍵の暗号化の技術を利用することにより機器認証を実現することができる。以上説明したように、実施の形態2の組込み機器保守システムによれば、組込み機器は通信ゲートウェイ装置との間で機器認証を行う機器側認証手段を備えると共に、通信ゲートウェイ装置は組込み機器との間で機器認証を行うゲートウェイ側認証手段を備え、機器側認証手段は、ゲートウェイ側認証手段との機器認証の結果、正当な通信ゲートウェイ装置であることを認証した場合にのみ、組込み機器における書き換えを許可するようにしたので、車両やFA機器など組込み機器でネットワークを構成するような機器が盗難されたとしても不正に使用されるのを防止することができ、車両やFA機器の盗難防止に寄与することができる。また、実施の形態2の組込み機器保守システムによれば、通信ゲートウェイ装置は、自身に固有のIDを有すると共に、ゲートウェイ側認証手段は、IDを秘密鍵で暗号化して暗号化IDを生成し、機器側認証手段は、通信ゲートウェイ装置のIDとゲートウェイ側認証手段の公開鍵とを保存し、機器認証時、ゲートウェイ側認証手段から受け取った暗号化IDを公開鍵で復号し、通信ゲートウェイ装置が正当か否かを認証するようにしたので、一般的なセキュリティの世界での秘密鍵、公開鍵の暗号化の技術を利用することにより機器認証を実現することができる。また、実施の形態2の組込み機器保守システムによれば、機器側認証手段は、組込み機器側の公開鍵と乱数とをゲートウェイ側認証手段に送付し、ゲートウェイ側認証手段は、受け取った乱数と暗号化IDを、組込み機器側の公開鍵で暗号化して機器側認証手段に送付し、機器側認証手段は、受け取った乱数と暗号化IDを自身の秘密鍵で復号し、さらに復号した暗号化IDをゲートウェイ側認証手段の公開鍵で復号して、復号した乱数とIDとを、ゲートウェイ側認証手段に送付した乱数と保存しているIDと照合することにより、認証を行うようにしたので、より確実に機器認証を行うことができる。なお、本願発明はその発明の範囲内において、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。"