ECUが接続されたネットワークと、前記ECUの診断を行う診断装置が接続されるネットワークとの間にゲートウェイ装置を備えた車載ネットワークシステムであって、前記ECUは、前記診断装置から前記ゲートウェイ装置を介して特定サービスの設定状態を初期状態とする初期セッションから前記特定サービスの設定状態を初期状態と異なる特定状態とする特定セッションへの移行要求を受信すると、初期セッションから特定セッションへ遷移し、前記ゲートウェイ装置を介して前記診断装置へ前記特定セッションへの移行要求の受信に応じたセッション応答を送信するとともに、特定セッションへ遷移した状態で、前記セッション応答の受信に応じて前記診断装置から前記ゲートウェイ装置を介して前記特定サービスの設定状態を前記特定状態に移行させる状態移行要求を受信すると前記特定サービスの設定状態が前記特定状態に移行し、初期セッションから特定セッションへ遷移してから規定時間が経過して特定セッションから初期セッションへ遷移すると前記特定サービスの設定状態が初期状態に戻るようになっており、前記ゲートウェイ装置は、前記診断装置から前記ECUに対する初期セッションから特定セッションへのセッション移行要求を受信してからの経過時間を計時する第1のタイマと、前記第1のタイマにより計時された経過時間に基づいて前記診断装置が認識している前記ECUのセッション状態を推定し、当該ECUのセッション状態を記憶媒体に記憶させるセッション状態記憶手段と、前記記憶媒体に記憶されたセッション状態に基づいて前記診断装置が認識している前記ECUのセッション状態が特定セッションであることを判定した場合、前記ECUが特定セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するセッション状態維持要求を前記ECUへ送出するセッション維持要求送出手段と、を備えたことを特徴とする車載ネットワークシステム。前記ゲートウェイ装置は、前記セッション状態維持要求を前記ECUへ送出してからの時間を計時する第2のタイマを備え、前記セッション状態記憶手段は、前記第2のタイマを用いてセッション状態維持要求を定期的に送出することを特徴とする請求項1に記載の車載ネットワークシステム。前記セッション維持要求送出手段は、前記記憶媒体に記憶されたセッション状態に基づいて前記診断装置が認識している前記ECUのセッション状態が初期セッションに遷移したことを判定した場合、前記セッション状態維持要求の送出を停止することを特徴とする請求項1または2に記載の車載ネットワークシステム。前記特定サービスの設定状態は、セキュリティ設定状態であり、前記初期状態はセキュリティロック状態であり、前記特定状態はセキュリティ解除状態であることを特徴とする請求項1ないし3のいずれか1つに記載の車載ネットワークシステム。上記した診断サービスを行うようなシステムでは、特定サービスの設定状態を変更して各種診断を行うことが可能となっている。例えば、一般整備業用、正規ディーラー用、工場用、開発者用といったように個別にセキュリティ設定を行うことが可能となっており、個別にセキュリティ設定を解除して診断を行うことが可能となっている。このようなシステムでは、通信プロトコルに規定された手順に従ってセキュリティロックを解除して診断を行うことができるようになっている。例えば、CAN通信におけるダイアグ通信では、診断ツールがECUへセキュリティロック状態を維持する初期セッションからセキュリティロック解除状態を維持する診断セッションへのセッション移行要求を送信すると、このECUは初期セッションから診断セッションへと遷移し、このECUから診断ツールへセッション移行要求のセッション応答肯定応答が送信された後、診断ツールがECUへセキュリティロック解除要求を送信し、セキュリティアンロックが成立すると、ECUはセキュリティ解除状態となるようになっている。また、このようなシステムでは、セキュリティロック解除状態がいつまでも継続するとセキュリティ性が低下してしまうため、予め定められたセッションタイムアウト時間例えば、5秒が経過すると、ECUがセキュリティロック解除状態を維持するセッションからセキュリティロック状態を維持するセッションへと移行して、セキュリティロック状態に戻るようになっている。このように、CAN通信におけるダイアグ通信では、規定時間が経過すると、セキュリティ設定、ドアロック設定等、特定サービスの設定状態を初期状態に戻すようになっており、各種設定を初期状態に戻す際の時間の管理はセッションにより行われるようになっている。ネットワーク構成が簡素な場合、上記した手順でECUのセキュリティを解除して、ECUの診断を問題なく行うことが可能であった。ところが、近年、車載装置のサービスの多様化、高度化に伴い、CAN、LIN、FlexRay、KWP2000等の多様の通信プロトコルに対応したECUが車両に搭載されるようになってきている。このような通信プロトコルの異なるECU間は、ゲートウェイ装置を介してネットワーク接続されるようになっている。このため、診断ツールとECUの間に複数のゲートウェイ装置が配置されるようになってきている。このような複雑化したネットワーク構成ではデータ中継の遅延が大きくなるため、上記したシステムのような構成では、例えば、診断ツールがECUへセッション移行要求を送信し、このECUから診断ツールへセッション移行要求の肯定応答が送信された後、診断ツールがECUへセキュリティロック解除要求を送信する前に、ECUがセッションタイムアウトとなり初期セッションに戻ってしまい、ECUの診断ができなくなってしまうといった問題が発生する。本発明は上記問題に鑑みたもので、ネットワーク構成が複雑であっても、特定サービスの設定状態を変更した状態でECUの診断を行うことを可能とすることを目的とする。上記目的を達成するため、請求項1に記載の発明は、ECUが接続されたネットワークと、ECUの診断を行う診断装置が接続されるネットワークとの間にゲートウェイ装置を備えた車載ネットワークシステムであって、ECUは、診断装置からゲートウェイ装置を介して特定サービスの設定状態を初期状態とする初期セッションから特定サービスの設定状態を初期状態と異なる特定状態とする特定セッションへの移行要求を受信すると、初期セッションから特定セッションへ遷移し、ゲートウェイ装置を介して診断装置へ特定セッションへの移行要求の受信に応じたセッション応答を送信するとともに、特定セッションへ遷移した状態で、セッション応答の受信に応じて診断装置からゲートウェイ装置を介して特定サービスの設定状態を特定状態に移行させる状態移行要求を受信すると特定サービスの設定状態が特定状態に移行し、初期セッションから特定セッションへ遷移してから規定時間が経過して特定セッションから初期セッションへ遷移すると特定サービスの設定状態が初期状態に戻るようになっており、ゲートウェイ装置は、診断装置からECUに対する初期セッションから特定セッションへのセッション移行要求を受信してからの経過時間を計時する第1のタイマと、第1のタイマにより計時された経過時間に基づいて診断装置が認識しているECUのセッション状態を推定し、当該ECUのセッション状態を記憶媒体に記憶させるセッション状態記憶手段と、記憶媒体に記憶されたセッション状態に基づいて診断装置が認識しているECUのセッション状態が特定セッションであることを判定した場合、ECUが特定セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するセッション状態維持要求をECUへ送出するセッション維持要求送出手段と、を備えたことを特徴としている。このような構成によれば、ゲートウェイ装置は、診断装置からECUに対する初期セッションから特定セッションへのセッション移行要求を受信してからの経過時間を計時する第1のタイマと、第1のタイマにより計時された経過時間に基づいて診断装置が認識しているECUのセッション状態を推定し、当該ECUのセッション状態を記憶媒体に記憶させるセッション状態記憶手段と、記憶媒体に記憶されたセッション状態に基づいて診断装置が認識しているECUのセッション状態が特定セッションであることを判定した場合、ECUが特定セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するセッション状態維持要求をECUへ送出するので、ネットワーク構成が複雑であっても、特定サービスの設定状態を変更した状態でECUの診断を行うことを可能とすることができる。また、請求項2に記載の発明は、ゲートウェイ装置は、セッション状態維持要求をECUへ送出してからの時間を計時する第2のタイマを備え、セッション状態記憶手段は、第2のタイマを用いてセッション状態維持要求を定期的に送出することを特徴としている。このような構成によれば、第2のタイマを用いてセッション状態維持要求が定期的に送出されるので、特定サービスの設定状態を変更した状態で安定的にECUの診断を行うことができる。また、請求項3に記載の発明は、セッション維持要求送出手段は、記憶媒体に記憶されたセッション状態に基づいて診断装置が認識しているECUのセッション状態が初期セッションに遷移したことを判定した場合、セッション状態維持要求の送出を停止することを特徴としている。このような構成によれば、記憶媒体に記憶されたセッション状態に基づいて診断装置が認識しているECUのセッション状態が初期セッションに遷移したことを判定した場合、セッション状態維持要求の送出が停止されるので、特定サービスの設定状態を変更した状態がいつまでも継続してしまうといったことを防止することができる。なお、請求項4に記載の発明のように、特定サービスの設定状態を、セキュリティ設定状態とし、初期状態をセキュリティロック状態とし、特定状態をセキュリティ解除状態とすることができる。本発明の一実施形態に係る車載ネットワークシステムの構成を図1に示す。本車載ネットワークシステムは、ゲートウェイ装置1a、1b、ECU3a、3b、4a、4b、5a、5bおよびバスA、B、Cにより構成されている。バスAには、ECU3a、3bが接続され、バスBには、ECU4a、4bが接続され、バスCには、ECU5a、5bが接続されている。ゲートウェイ装置1aは、バスAとバスBの間に配置され、ゲートウェイ装置1bは、バスBとバスCの間に配置されている。また、本実施形態では、バスA、バスBに接続されたネットワークの通信プロトコルはCAN通信プロトコル、バスCに接続されたネットワークの通信プロトコルはFlexRay通信プロトコルとなっている。ゲートウェイ装置1a、1bのブロック構成を図2に示す。図に示すように、ゲートウェイ装置1a、1bは、それぞれ、CPU100、ROM101、RAM102、LANコントローラ103、104を備えている。CPU100は、ROM101に記憶されたプログラムに従って各種処理を実施する。ゲートウェイ装置1aとゲートウェイ装置1bは同一構成となっている。LANコントローラ103、104は、各バスA~Cの各通信プロトコルに規定されたデータフォーマットに従ってデータの送受信を行う。ゲートウェイ装置1aは、バスAのネットワークとバスBのネットワーク間のデータの中継を行い、ゲートウェイ装置1bは、バスBのネットワークとバスCのネットワーク間のデータの中継を行う。診断ツール2は、各ECUから故障診断等のための各種情報を収集するもので、バスAに接続されている。診断ツール2は、通信プロトコルに規定された手順に従って各ECU3a、3b、4a、4b、5a、5bのセキュリティ設定を解除して診断を行うことができるようになっている。例えば、ECU5aのセキュリティを解除して診断を行う場合、診断ツール2は、ECU5aへセキュリティロックを維持する初期セッションからセキュリティを解除する診断セッションへのセッション移行要求を送信し、このECU5aから診断ツール2へセッション移行要求のセッション応答肯定応答が送信され、このセッション応答を受信した後、ECU5aへセキュリティ解除要求制限解除要求に相当するを送信し、ECU5aがセキュリティ解除状態となった後にECU5aの診断を行うようになっている。なお、初期セッション、診断セッション等の各セッションは、国際標準化機構ISOによって策定されたOSI参照モデルの7階層の1つであるセッション層で規定されたセッションを意味する。セッションには、初期セッション、診断セッションの他に、プログラミングセッション、拡張診断セッション等がある。本車載ネットワークシステムでは、セキュリティロック解除状態がいつまでも継続するとセキュリティ性が低下してしまうため、各ECU4a、4b、5a、5bは、通信プロトコルに規定された規定時間例えば、5秒が経過すると、セキュリティを解除する診断セッションからセキュリティロックを維持する初期セッションへと移行して、セキュリティロック状態に戻るようになっている。具体的には、診断ツール2は、制御対象のECUが初期セッションから診断セッションへ遷移してからの時間を計測するセッションクライアントタイマを有し、このセッションクライアントタイマに計測時間が規定時間を超えると、制御対象のECUが診断セッションへ戻ったものとして処理を行う。一方、各ECU3a、3b、4a、4b、5a、5bは、セッション状態を管理するセッションサーバタイマを有し、このセッションサーバタイマを用いて規定時間が経過したことを認識すると、初期セッションへ遷移してセキュリティロック状態に戻るようになっている。このように、本車載ネットワークシステムでは、規定時間が経過すると、セキュリティ設定、ドアロック設定等、各種設定を初期状態に戻すようになっており、各種設定を初期状態に戻す際の時間の管理はセッションにより行われるようになっている。ところで、ネットワーク構成の複雑化により、診断ツール2と制御対象のECUとの間のデータ中継に遅延が生じると、診断ツール2からの要求に応じて制御対象のECUが初期セッションから診断セッションに遷移しても、診断を行う前に、規定時間が経過して制御対象のECUが診断セッションから初期セッションへ遷移してしまい、正常に診断を行うことができなくなるといった状況が発生する。そこで、本実施形態におけるゲートウェイ装置1a、1bは、制御対象のECUに対する初期セッションから特定セッションへのセッション移行要求を受信してからの経過時間を計時するセッションタイマAと、制御対象のECUが特定セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するためのセッションタイマBを有し、セッションタイマAにより計時された経過時間に基づいて診断装置が認識している制御対象のECUのセッション状態を推定し、当該制御対象のECUのセッション状態をRAMに記憶させるとともに、RAMに記憶されたセッション状態に基づいて診断装置が認識している制御対象のECUのセッション状態が特定セッションであることを判定した場合、セッションタイマBを用いて制御対象のECUが特定セッションから初期セッションへ遷移しないように定期的に特定セッションの状態維持を指示する。図3に、ゲートウェイ装置1aにより管理されるセッション状態の様子を示す。ゲートウェイ装置1aは、診断ツール2とゲートウェイ装置1a図中、ゲートウェイ装置をGWと記すとの間のセッションを管理するためのセッションタイマAを有し、このセッションタイマAを用いて、診断ツール2が認識している制御対象のECUのセッション状態を推定する。具体的には、診断ツール2からの診断セッションへの移行要求を受信すると、診断ツール2が認識している制御対象のECUのセッション状態を初期セッションA-1から診断セッションA-2へと遷移させ、セッションタイマAがタイムアウトした場合、あるいは、診断ツール2からの初期セッションへの移行要求を受信した場合、診断ツール2が認識している制御対象のECUのセッション状態を診断セッションA-2から初期セッションA-1へと遷移させる。また、ゲートウェイ装置1aは、セッションタイマAを用いて推定される診断ツール2が認識している制御対象のECUのセッション状態と、実際の制御対象のECUのセッション状態を一致させるためのセッションタイマBを有し、このセッションタイマBを用いて、診断ツール2が認識している制御対象のECUのセッション状態と、実際の制御対象のECUのセッション状態を同期させる。具体的には、セッションタイマBを用いて、制御対象のECUが初期セッションB-1から診断セッションB-2へ遷移してからの経過時間を計測し、例えば、ネットワーク構成の複雑化により診断ツール2から制御対象のECUへセキュリティ解除要求を送信する前に、制御対象のECUが診断セッションから初期セッションへ遷移してしまい、診断ツール2が認識している制御対象のECUのセッション状態と、実際の制御対象のECUのセッション状態が不一致とならないように、セッションタイマBがセッションタイムアウトする度に診断ツール2に代わって状態維持要求を定期送信する。なお、セッションタイマBがセッションタイムアウトする時間は、EUCが診断セッションから初期セッションへ戻る規定時間よりも短い時間に設定されている。このため、セッションタイマ2がセッションタイムアウトする度に診断ツール2に代わって状態維持要求が送信される限り、EUCは診断セッションを維持し、初期セッションに戻ることはない。図4~図6に、ゲートウェイ装置1aのフローチャートを示す。次に、診断ツール2がECU4aの診断を行う場合を例に、ゲートウェイ装置1aの処理について説明する。ゲートウェイ装置1aは、図4に示す処理を周期的に実施する。ここでは、ECU4aは初期セッションとなっており、セキュリティロック状態となっているものとする。まず、診断ツール2からのセッション要求メッセージを受信したか否かを判定するS100。ここで、セッション要求メッセージが受信されない場合、S100の判定を繰り返し実施する。また、セッション要求メッセージが受信されると、S100の判定はYESとなり、次に、セッション要求メッセージをECU4aへ中継するS102。なお、ECU4aは、このセッション要求メッセージを受信すると、このセッション要求メッセージが診断セッションへの移行を要求するものであるか、初期セッションへの移行を要求するものあるかを判定し、診断セッションへの移行を要求するものであると判定した場合、初期セッションから診断セッションへ移行し、初期セッションへの移行を要求するものあると判定した場合、初期セッションの状態を維持する。ゲートウェイ装置1aは、次に、フローCを起動するS104。図6に、フローCを示す。このフローCは、セッション要求メッセージをECU4aへ中継し、このセッション要求メッセージの受信に応答してECU4aから送信されるセッション応答を診断ツール2へ中継する処理である。なお、このフローCの詳細については後で説明する。次に、受信したセッション要求メッセージが移行要求診断セッションへの移行要求であるか、デフォルト要求初期セッションへの移行要求であるかを判定するS106。ここで、受信したセッション要求メッセージがデフォルト要求初期セッションへの移行要求となっている場合、次に、診断ツール2が認識しているECU4aのセッション状態をA-1状態初期セッションに遷移させるS107。具体的には、診断ツールのセッション状態をA-1状態初期セッションとしてRAMに記憶させ、S100へ戻る。また、受信したセッション要求メッセージが移行要求診断セッションへの移行要求となっている場合には、次に、診断ツール2が認識しているECU4aのセッション状態をA-2状態診断セッションに遷移させるS108。具体的には、診断ツール2が認識しているECU4aのセッション状態をA-2状態診断セッションとしてRAMに記憶させ、次に、フローチャートBを起動するS110。図5に、フローBを示す。このフローBは、診断装置が認識しているECU4aのセッション状態を推定し、当該診断装置が認識しているECU4aのセッション状態が特定セッションであることを判定した場合、制御対象のECUが特定セッションから初期セッションへ遷移しないように診断ツールに代わって特定セッションの状態維持を指示する処理である。このフローBの詳細についても後で説明する。次に、セッションタイマAにより計時を開始するS112。すなわち、セッションタイマAにより、診断ツール2が認識しているECU4aのセッション状態をA-2状態診断セッションになってからの時間を計時する。次に、診断ツール2から状態維持要求メッセージがあるか否かを判定するS114。ここで、診断ツール2から状態維持要求メッセージが受信された場合、S114の判定はYESとなり、次に、セッションタイマAをリロードするとともに、A-2状態診断セッションを継続しS120、S114へ戻る。ここで、リロードとは、タイマのカウント値をリセットして、カウントを再開することを意味する。また、診断ツール2から状態維持要求メッセージが受信されない場合、S114の判定はNOとなり、次に、セッションタイマAがタイムアウトしたか否かを判定するS116。具体的には、セッションタイマAの計測時間が規定時間例えば、5秒を超えたか否かを判定する。ここで、セッションタイマAの計測時間が規定時間を超えてない場合、S116の判定はNOとなり、S114の判定へ戻る。また、セッションタイマAの計測時間が規定時間を超えた場合、S116の判定はYESとなり、診断ツール2が認識しているECU4aのセッション状態をA-2状態診断セッションからA-1状態初期セッションへ遷移させS118、S100へ戻る。次に、図5に従って、フローBについて説明する。図4におけるS110において、フローBの起動が指示されると、フローBが開始される。まず、制御対象のECUのセッション状態を初期セッションB-1から診断セッションB-2へ遷移させるS200。具体的には、制御対象のECUのセッション状態を診断セッションB-2としてRAMに記憶させる。次に、セッションタイマBの計時を開始しS202、次に、診断ツール2が認識している制御対象のECUのセッション状態が初期セッションA-1か否かを判定するS204。ここで、診断ツール2が認識している制御対象のECUのセッション状態が診断セッションA-2となっている場合、S204の判定はNOとなり、次に、セッションタイマBがタイムアウトしたか否かを判定するS206。ここで、セッションタイマBがタイムアウトしてない場合、S206の判定はNOとなり、S204の判定へ戻る。また、セッションタイマBがタイムアウトすると、S206の判定はYESとなり、制御対象のECU4aに対し、診断セッションの維持を指示するセッション状態維持要求を送信しS208、セッションタイマBをリロードしS210、S204へ戻る。また、診断ツール2が認識している制御対象のECUのセッション状態が初期セッションA-1となっている場合、制御対象のECUのセッション状態についても診断セッションB-2から初期セッションB-1へ遷移させるS212。このように、診断ツール2が認識している制御対象のECUのセッション状態と、制御対象のECUのセッション状態とが同期するようになっている。次に、図6に従って、フローCについて説明する。図4におけるS104において、フローCの起動が指示されると、フローCが開始される。まず、P2タイマの計時を開始するS300。このP2タイマは、診断ツール2よる送信されたセッション要求メッセージを制御対象のECUへ中継してから、このセッション要求メッセージに受信に応じて制御対象のECUより送信されるセッション応答を受信するまでに時間が規定時間内か否かを判定するためのタイマである。次に、ECU4aからセッション応答メッセージを受信したか否かを判定するS302。ここで、ECU4aからセッション応答メッセージを受信してない場合、次に、P2タイマがタイムアウトしたか否かを判定するS312。具体的には、P2タイマが規定時間を超過したか否かを判定する。ここで、P2タイマが規定時間を超過していない場合、S312の判定はNOとなり、S302へ戻る。また、P2タイマが規定時間を超過する前に、ECU4aからセッション応答メッセージを受信すると、S302の判定はYESとなり、次に、セッション応答メッセージが肯定応答であるか、否定応答であるかを判定するS304。ここで、セッション応答メッセージが肯定応答の場合、応答メッセージを診断ツール2へ中継し、本処理を終了する。また、セッション応答メッセージが否定応答の場合、応答メッセージを診断ツール2へ中継しS308、フローBを終了させS310、本処理を終了する。また、ECU4aからセッション応答メッセージを受信することなく、P2タイマがタイムアウトした場合、S312の判定はYESとなり、フローBを終了させS310、本処理を終了する。図7に、診断ツール2からECU4aへ要求メッセージが送信された場合の診断ツール2、ゲートウェイ装置1a、ECU4a間の信号の流れを示す。次に、図7を参照して、要求メッセージが送信された場合の診断ツール2、ゲートウェイ装置1a、ECU4a間の信号の流れについて説明する。診断ツール2からECU4aに対して診断セッションへのセッション移行要求が送信されると、ゲートウェイ装置1aは、このセッション移行要求をECU4aへ中継するとともに、セッションタイマAの計時と、セッションタイマBの計時を開始する。このセッション移行要求を受信したECU4aは、初期セッションから診断セッションへと遷移するとともに、セッション応答を診断ツール2へと送信する。ゲートウェイ装置1aは、このセッション応答を診断ツール2へ中継するとともに、セッションタイマBがタイムアウトすると、ECU4aに対し、診断ツール2に代わって診断セッションの維持を指示するセッション状態維持要求を送信する。ECU4aは、このセッション状態維持要求を受信すると診断セッションを維持する。診断ツール2は、セッション応答を受信すると、次に、セキュリティアクセス要求およびセキュリティキーを、順次、ECU4aに対して送信する。ゲートウェイ装置1aは、セキュリティアクセス要求およびセキュリティキーをECU4aに中継する。ECU4aは、診断セッションで、セキュリティアクセス要求およびセキュリティキーを受信し、セキュリティアンロックが成立すると、セキュリティ解除状態となる。また、ゲートウェイ装置1aからECU4aに対し、セッションタイマBがタイムアウトする度に、診断セッションの維持を指示するセッション状態維持要求が定期送信される。診断ツール2は、ECU4aがセキュリティ解除状態となった状態で、各種診断を行うことが可能となる。なお、この図7では、診断ツール2から送信された状態維持要求がゲートウェイ装置1aによりECUへ中継されないようになっているが、診断ツール2から送信された状態維持要求がECUへ中継されるようにしてもよい。上記した構成によれば、ECUは、診断装置からゲートウェイ装置を介してセキュリティ設定状態特定サービスの設定状態に相当するをセキュリティロック状態初期状態に相当するとする初期セッションからセキュリティ設定状態をセキュリティ解除状態特定状態に相当するとする特定セッションへの移行要求を受信すると、初期セッションから特定セッションへ遷移し、ゲートウェイ装置を介して診断装置へ特定セッションへの移行要求の受信に応じたセッション応答を送信するとともに、特定セッションへ遷移した状態で、セッション応答の受信に応じて診断装置からゲートウェイ装置を介してセキュリティ設定状態をセキュリティロック状態に移行させる状態移行要求を受信するとセキュリティ設定状態がセキュリティ解除状態に移行し、初期セッションから特定セッションへ遷移してから規定時間が経過して特定セッションから初期セッションへ遷移するとセキュリティ設定状態がセキュリティロック状態に戻るようになっており、ゲートウェイ装置は、診断ツールからECUに対する初期セッションから診断セッションへのセッション移行要求を受信してからの経過時間を計時するセッションタイマAと、セッションタイマAにより計時された経過時間に基づいて診断ツールが認識しているECUのセッション状態を推定し、当該ECUのセッション状態をRAMに記憶させるセッション状態記憶手段と、RAMに記憶されたセッション状態に基づいて診断ツールが認識しているECUのセッション状態が診断セッションであることを判定した場合、ECUが診断セッションから初期セッションへ遷移しないように特定セッションの状態維持を指示するセッション状態維持要求をECUへ送出するので、ネットワーク構成が複雑でデータ中継の遅延が大きくても、特定サービスの設定状態を変更した状態でECUの診断を行うことを可能とすることができる。また、セッションタイマBを用いてセッション状態維持要求が定期的に送出されるので、特定サービスの設定状態を変更した状態で安定的にECUの診断を行うことができる。また、RAMに記憶されたセッション状態に基づいて診断ツールが認識しているECUのセッション状態が初期セッションに遷移したことを判定した場合、セッション状態維持要求の送出が停止されるので、セキュリティロック解除状態特定サービスの設定状態を変更した状態がいつまでも継続してセキュリティ性が低下してしまうといったことを防止することができる。なお、本発明は上記実施形態に限定されるものではなく、本発明の趣旨に基づいて種々なる形態で実施することができる。例えば、上記実施形態では、通信バスA~Cの通信プロトコルとして、CAN通信プロトコルおよびFlexRay通信プロトコルを適用した例を示したが、これらの通信プロトコルに限定されるものではない。また、上記実施形態では、特定サービスの設定状態を変更する例として、セキュリティロックを解除する例を示したが、このような例に限定されるものではなく、例えば、ユーザの利用範囲の設定を変更する場合、センサの出力設定あるいはアクチュエータの制御設定を変更する場合等、各種サービスの設定状態を変更する場合に適用することができる。また、上記実施形態では、診断ツール2から制御対象のECUへセキュリティロックを維持する初期セッションからセキュリティを解除する診断セッションへの移行要求を送信する例を示したが、セキュリティを解除するセッションとしては、診断セッションに限定されるものではなく、例えば、プログラミングセッション、拡張診断セッション等とすることもできる。なお、上記実施形態における構成と特許請求の範囲の構成との対応関係について説明すると、RAM102が記憶媒体に相当し、セッションタイマAが第1のタイマに相当し、セッション状態記憶手段に相当し、S112~S118がセッション状態記憶手段に相当し、S202~S210がセッション維持要求送出手段に相当し、セッションタイマBが第2のタイマに相当する。