JP5664579B2 - 通信システム、中継装置、車外装置及び通信方法 - Google Patents

Description

本発明は、車外装置と車載装置との間で通信を行うための技術に関する。

近年、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御装置（ＥＣＵ）の数も増加傾向にある。このため、複数のＥＣＵによってネットワーク（車内ＬＡＮ）が構築され、ＥＣＵ相互間での連携動作や情報の共有化を実現している。

また、車両には、外部ツール（車外装置）を接続するためのコネクタが設けられ、外部ツールをコネクタに接続してＥＣＵと通信を行うことで、車両状態の診断などを行うことができるようになっている。ただし、外部ツールを用いて実施することのできる操作には、セキュリティ関連情報の設定及び解除や、プログラムの書換処理（リプログラミング）など、正規の作業者以外の者が実施すべきでない操作も含まれている。

そこで、外部ツールに認証機能を持たせ、特定の操作を実施する際にはパスワードの入力を要求することで、非正規の作業者によって特定の操作が実施されることを防止する技術が提案されている（特許文献１参照）。

特開平９−２５０９７０号公報

しかしながら、特許文献１に記載の認証機能は、外部ツール内で完結しているものであるため、不正な外部ツールが使用された場合に対応できないという問題があった。すなわち、車両に設けられるコネクタ自体は規格化されたものであるため、コネクタの規格を満たしていれば、不正な外部ツールであっても接続して各種操作を実行することが可能である。このため、認証機能を持たない不正な外部ツールをコネクタに接続して、ネットワーク上の通信内容をモニタすることは容易であり、その通信内容からセキュリティ関連の情報が入手されたり、リプログラミングが実施されたりする可能性があった。

本発明は、こうした問題にかんがみてなされたものであり、不正な車外装置を用いて特定の通信が行われることを抑制するための技術を提供することを目的としている。

本発明の通信システムは、車載装置（３０）と通信を行うための車外装置（６０）と、車両に搭載され、車外装置と車載装置との間で行われる通信を中継する中継装置（１０）と、を備える。

車外装置は、入力手段（Ｓ２０５）、生成手段（Ｓ２０９）及び送信手段（Ｓ２１０）を備える。入力手段は、車両の走行距離計（２４）に表示されている走行距離情報を入力する。また、生成手段は、入力手段により入力された走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する。そして、送信手段は、生成手段により生成された認証情報を中継装置へ送信する。

一方、中継装置は、取得手段（Ｓ１０７）、受信手段（Ｓ１１２）及び規制解除手段（Ｓ１１５）を備える。取得手段は、走行距離情報を管理する装置（２０）から走行距離情報を取得する。また、受信手段は、車外装置から送信される認証情報を受信する。そして、規制解除手段は、受信手段により受信された認証情報が、取得手段により取得された走行距離情報に基づきあらかじめ決められた演算により生成された情報であると判定した場合に、車外装置と車載装置との間で行われる特定の通信に対する規制を解除する。

このような通信システムによれば、中継装置が、車外装置から送信される認証情報に基づいて、車外装置と車載装置との間で行われる特定の通信に対する規制を解除するようにしているため、不正な車外装置を用いて特定の通信が行われることを抑制することができる。特に、車両の走行距離情報に基づきあらかじめ決められた演算により認証情報が生成されるため、固定の情報に基づき認証情報が生成される構成と比較して、セキュリティ性を高くすることができる。

なお、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。

通信システムの構成を示すブロック図である。 中継処理のフローチャートである。 通信処理のフローチャートである。

以下、本発明が適用された実施形態について、図面を用いて説明する。
［１．全体構成］
図１に示す通信システムは、車両に搭載された車載システム１と、車載システム１を構成する電子制御装置（ＥＣＵ）と通信を行うための外部ツール（外部診断装置）６０と、を備える。

車載システム１は、車両の内部における各部に設置（搭載）された複数のＥＣＵとして、ゲートウェイＥＣＵ（以下「ＧＷ−ＥＣＵ」という。）１０と、メータＥＣＵ２０と、種々の機能を有する他の複数のＥＣＵ３０と、を備える。ＧＷ−ＥＣＵ１０、メータＥＣＵ２０及び他のＥＣＵ３０は、共用通信線（多重通信線）であるバス４０に接続されてネットワーク（車内ＬＡＮ）を構築し、バス４０を介してＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）プロトコルに従った相互通信を行う。

ＧＷ−ＥＣＵ１０は、外部ツール６０を接続するためのデータリンクコネクタ（以下、単に「コネクタ」という。）５０と、バス４０と、を中継する通信経路４１上に設置されている。つまり、車載システム１において、ＧＷ−ＥＣＵ１０は、外部ツール６０と直接通信を行い、ＥＣＵ３０は、ＧＷ−ＥＣＵ１０を介して外部ツール６０と通信を行う。換言すれば、外部ツール６０は、ＥＣＵ３０に直接接続されるのではなく、ＧＷ−ＥＣＵ１０を介して接続され、ＧＷ−ＥＣＵ１０は、外部ツール６０とＥＣＵ３０との間で行われる通信を中継する中継装置として機能する。

具体的には、ＧＷ−ＥＣＵ１０は、ＣＰＵ１１と、フラッシュメモリ１２と、ＬＡＮ通信部１３と、車外通信部１４と、を備える。ＣＰＵ１１は、フラッシュメモリ１２等に記憶されたプログラムに従い処理を実行する。なお、本実施形態の車載システム１では、車両のイグニッションスイッチがオフの状態でもＧＷ−ＥＣＵ１０に電源が供給され、ＣＰＵ１１が処理を実行できるように構成されている。また、ＣＰＵ１１は、車両のイグニッションスイッチがオンの状態であるかオフの状態であるかを検出可能に構成されている。

フラッシュメモリ１２は、電気的に記憶内容の書換えが可能な不揮発性の記憶装置である。フラッシュメモリ１２には、外部ツール６０を認証するためのワンタイムパスワードの生成に用いられる演算式が秘密情報として記憶されている。

ＬＡＮ通信部１３は、バス４０を介してメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。また、車外通信部１４は、通信経路４１及びコネクタ５０を介して外部ツール６０と通信を行うためのインタフェースである。

メータＥＣＵ２０は、車両の各車輪に取り付けられた車輪速センサから出力されるパルス信号をカウント・積算することで、車両の走行距離を算出・積算する。そして、メータＥＣＵ２０は、積算した走行距離である積算走行距離を、車両の室内においてユーザが視認できるように配置されたオドメータ表示部２４に表示する。オドメータ表示部２４は、電子表示式の表示器（例えばＬＣＤ）であり、イグニッションスイッチがオフの状態では積算走行距離が表示されず、イグニッションがオンの状態で積算走行距離が表示される。

具体的には、メータＥＣＵ２０は、ＣＰＵ２１と、フラッシュメモリ２２と、ＬＡＮ通信部２３と、を備える。ＣＰＵ２１は、フラッシュメモリ２２等に記憶されたプログラムに従い処理を実行する。フラッシュメモリ２２には、最新の（現時点の）積算走行距離が記憶され、車両の走行に伴い更新される。ＬＡＮ通信部２３は、バス４０を介してＧＷ−ＥＣＵ１０や他のＥＣＵ３０と通信を行うためのインタフェースである。

各ＥＣＵ３０は、ＣＰＵ３１と、フラッシュメモリ３２と、ＬＡＮ通信部３３と、を備える。ＣＰＵ３１は、フラッシュメモリ３２等に記憶されたプログラムに従い処理を実行する。フラッシュメモリ３２には、各種機能を実現するための処理をＣＰＵ３１に実行させるためのプログラムが記憶されている。ＬＡＮ通信部３３は、バス４０を介してＧＷ−ＥＣＵ１０やメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。

外部ツール６０は、コネクタ５０に接続された状態で、車両の内部に設置されたＥＣＵ３０を介した車両状態の診断、データの読み出し、ＥＣＵ３０の機能による制御部品の制御、ＥＣＵ３０に記憶されているプログラムの書換処理であるリプログラミングなどを行う機能を有した装置である。

具体的には、外部ツール６０は、制御部６１と、記憶部６２と、通信部６３と、操作部６４と、を備える。制御部６１は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備え、各種処理を実行する。記憶部６２には、ＧＷ−ＥＣＵ１０に記憶されている演算式と同じ演算式が秘密情報として記憶されている。通信部６３は、コネクタ５０を介してＧＷ−ＥＣＵ１０やメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。操作部６４は、各種情報をユーザが視認できるように表示するとともに、ユーザからの外部操作による情報を入力するユーザインタフェースである。なお、外部ツール６０は、汎用のパーソナルコンピュータやスマートフォン（多機能型携帯電話機）などを用いて構成してもよい。

［２．処理］
次に、本実施形態の通信システムで実行される処理（通信方法）について説明する。まず、ＧＷ−ＥＣＵ１０のＣＰＵ１１が実行する中継処理について、図２のフローチャートを用いて説明する。ＣＰＵ１１は、まずＳ１０１で、外部ツール６０がコネクタ５０に接続されているか否かを判定し、接続されていると判定すると（Ｓ１０１：ＹＥＳ）、処理をＳ１０２へ移行させる。なお、外部ツール６０がコネクタ５０に接続されているか否かは、例えば、接続を検出するためのセンサ等をコネクタ５０に設けて判定してもよく、また、車外通信部１４を介した信号の送受信に基づき判定してもよい。

Ｓ１０２で、ＣＰＵ１１は、車両のイグニッションスイッチがオンの状態であるか否かを判定し、オンの状態であると判定した場合には（Ｓ１０２：ＹＥＳ）、処理をＳ１０３へ移行させる。Ｓ１０３で、ＣＰＵ１１は、外部ツール６０から通信が終了したことの通知（後述するＳ２１５で送信される通知）を受信したか否かを判定し、その通知を受信していないと判定した場合には（Ｓ１０３：ＮＯ）、処理をＳ１０４へ移行させる。

Ｓ１０４で、ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信であるか否かを判定する。本実施形態では、外部ツール６０とＥＣＵ３０との間で行われる通信が、セキュリティレベルに応じて通常通信とセキュリティ通信とにあらかじめ分類されている。例えば、イモビライザ制御を行うＥＣＵ３０に記憶された認証コードが読み出されたり書き換えられたりすると、イモビライザによる盗難防止機能が無効となり車両が盗難されてしまう可能性がある。このように、高いセキュリティ性が要求される通信（換言すれば、不正な外部ツールが用いられないようにする必要性の高い通信）は、セキュリティ通信に分類される。一方、例えば通常の診断のように、低いセキュリティ性でも問題のない通信（換言すれば、不正な外部ツールが用いられないようにする必要性の低い通信）は、通常通信に分類される。

ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信でない（通常通信である）と判定した場合には（Ｓ１０４：ＮＯ）、処理をＳ１０５へ移行させる。そして、Ｓ１０５で、ＣＰＵ１１は、外部ツール６０とＥＣＵ３０との間で行われる通常通信を中継する通常中継処理を実行する。なお、ＣＰＵ１１は、通常中継処理を開始した後に、処理をＳ１０１へ移行させる。つまり、Ｓ１０１〜Ｓ１０５の処理が、これらの判定結果が変化しない間は繰り返され、その間は通常中継処理（通常通信）が継続される。

一方、ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信であると判定した場合には（Ｓ１０４：ＹＥＳ）、処理をＳ１０６へ移行させる。そして、Ｓ１０６で、ＣＰＵ１１は、セキュリティ通信の規制が解除されているか否かを判定する。なお、図２の中継処理の開始時には、セキュリティ通信が規制（禁止）されており、後述するＳ１１５でその規制が解除される。

ＣＰＵ１１は、セキュリティ通信の規制が解除されていない（セキュリティ通信が規制されている）と判定した場合には（Ｓ１０６：ＮＯ）、処理をＳ１０７へ移行させ、オドメータ表示部２４に表示されている最新の（現時点の）積算走行距離を、バス４０を介してメータＥＣＵ２０から取得する。

続いて、ＣＰＵ１１は、Ｓ１０８で、今回取得した積算走行距離が、前回取得した積算走行距離（後述するＳ１１６で記憶される値）と同じ値であるか否かを判定する。なお、前回取得した積算走行距離が記憶されていない場合には、前回と同じ値でないと判定する。

そして、ＣＰＵ１１は、今回取得した積算走行距離が前回と同じ値でないと判定した場合には（Ｓ１０８：ＮＯ）、処理をＳ１０９へ移行させ、同一の積算走行距離を取得した回数のカウント値（以下「回数値Ｃ１」という。）を初期値（例えば１）にリセットする。一方、ＣＰＵ１１は、今回取得した積算走行距離が前回と同じ値であると判定した場合には（Ｓ１０８：ＹＥＳ）、処理をＳ１１０へ移行させ、回数値Ｃ１をカウントアップ（１を加算）する。

続いて、ＣＰＵ１１は、Ｓ１１１で、最新の積算走行距離及び回数値Ｃ１をパラメータとして、フラッシュメモリ１２に記憶されている演算式に従った演算を行うことにより、ワンタイムパスワードを生成する。

続いて、ＣＰＵ１１は、Ｓ１１２で、外部ツール６０に対してワンタイムパスワードの送信を要求し、外部ツール６０からワンタイムパスワードを受信する。なお、前述のとおり、正規の外部ツール６０には、ＧＷ−ＥＣＵ１０に記憶されている演算式と同じ演算式が秘密情報として記憶されている。そして、後述するように、外部ツール６０では、オドメータ表示部２４に表示されている最新の積算走行距離を用いてワンタイムパスワード（ＧＷ−ＥＣＵ１０で生成したものと同じワンタイムパスワード）が生成され、ＧＷ−ＥＣＵ１０へ送信される。

続いて、ＣＰＵ１１は、Ｓ１１３で、外部ツール６０から受信したワンタイムパスワードと、Ｓ１１１で生成したワンタイムパスワードと、を照合する。そして、ＣＰＵ１１は、Ｓ１１４で、照合によりワンタイムパスワードが一致したか否かを判定し、その照合結果を外部ツール６０へ送信する。具体的には、ＣＰＵ１１は、ワンタイムパスワードが一致しないと判定した場合には（Ｓ１１４：ＮＯ）、セキュリティ通信の規制を解除せずに処理をＳ１０１へ移行させる。つまり、外部ツール６０が、演算式の記憶されていない不正な（非正規の）外部ツールである場合には、セキュリティ通信を行うことができない。なお、外部ツール６０からワンタイムパスワードが受信できない場合にも、ワンタイムパスワードが一致しないと判定する。

一方、ＣＰＵ１１は、照合の結果、ワンタイムパスワードが一致したと判定した場合には（Ｓ１１４：ＹＥＳ）、処理をＳ１１５へ移行させ、セキュリティ通信の規制を解除する。続いて、ＣＰＵ１１は、Ｓ１１６で、今回取得した積算走行距離をフラッシュメモリ１２に記憶させる。その後、ＣＰＵ１１は、処理をＳ１０１へ移行させる。

セキュリティ通信の規制が解除された後のＳ１０６では、ＣＰＵ１１は、セキュリティ通信の規制が解除されていると判定し（Ｓ１０６：ＹＥＳ）、処理をＳ１１７へ移行させる。Ｓ１１７で、ＣＰＵ１１は、セキュリティ通信の規制が解除された後の経過時間が制限時間内（例えば１０分以内）であるか否かを判定し、制限時間内であると判定した場合には（Ｓ１１７：ＹＥＳ）、処理をＳ１１８へ移行させる。そして、Ｓ１１８で、ＣＰＵ１１は、外部ツール６０とＥＣＵ３０との間で行われるセキュリティ通信を中継する特定中継処理を実行する。なお、ＣＰＵ１１は、特定中継処理を開始した後に、処理をＳ１０１へ移行させる。つまり、Ｓ１０１〜Ｓ１０４，Ｓ１０６，Ｓ１１７，Ｓ１１８の処理が、これらの判定結果が変化しない間は繰り返され、その間は特定中継処理（セキュリティ通信）が継続される。

そして、ＣＰＵ１１は、Ｓ１０２で車両のイグニッションスイッチがオンの状態でないと判定した場合や（Ｓ１０２：ＮＯ）、Ｓ１０３で外部ツール６０から通信が終了したことの通知を受信したと判定した場合に（Ｓ１０３：ＹＥＳ）、処理をＳ１１９へ移行させる。また、ＣＰＵ１１は、Ｓ１１７でセキュリティ通信の規制が解除された後の経過時間が制限時間内でない（制限時間を超えた）と判定した場合にも（Ｓ１１７：ＮＯ）、処理をＳ１１９へ移行させる。

Ｓ１１９で、ＣＰＵ１１は、セキュリティ通信を規制する処理を行う。具体的には、セキュリティ通信が規制されていた場合にはその規制が維持され、セキュリティ通信の規制が解除されていた場合には、その解除がリセットされ、規制状態に戻される。その後、ＣＰＵ１１は、処理をＳ１０１へ移行させる。なお、通常中継処理（通常通信）又は特定中継処理（セキュリティ通信）が継続されていた場合には、この段階で終了する。

次に、外部ツール６０がコネクタ５０に接続されたことを契機に、外部ツール６０の制御部６１が実行する通信処理について、図３のフローチャートを用いて説明する。制御部６１は、まずＳ２０１で、ＥＣＵ３０とセキュリティ通信を行うか否か（通常通信を行うか）を判定する。なお、外部ツール６０を用いてどのような操作が実施されるかは外部ツール６０のユーザ（作業者）によって決められることであり、Ｓ２０１では、ユーザによる操作や設定内容に基づき、ユーザが実施しようとする操作がセキュリティ通信及び通常通信のいずれに分類されるものであるかを判定する。

制御部６１は、セキュリティ通信を行わない（通常通信を行う）と判定した場合には（Ｓ２０１：ＮＯ）、処理をＳ２０２へ移行させ、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０と通常通信を行う。通常通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。

一方、制御部６１は、ＥＣＵ３０とセキュリティ通信を行うと判定した場合には（Ｓ２０１：ＹＥＳ）、処理をＳ２０３へ移行させ、セキュリティ通信の規制が解除されているか否かを判定する。

制御部６１は、セキュリティ通信の規制が解除されていない（セキュリティ通信が規制されている）と判定した場合には（Ｓ２０３：ＮＯ）、処理をＳ２０４へ移行させ、ＧＷ−ＥＣＵ１０からのワンタイムパスワードの送信要求を受信する。

続いて、制御部６１は、Ｓ２０５で、オドメータ表示部２４に表示されている最新の積算走行距離を入力する。具体的には、外部ツール６０のユーザに積算走行距離の入力操作をメッセージ表示等により促す。ユーザは、イグニッションがオンの状態でオドメータ表示部２４に表示される最新の積算走行距離を確認して、外部ツール６０に入力する。

続いて、制御部６１は、Ｓ２０６で、今回入力された積算走行距離が、前回入力された積算走行距離（後述するＳ２１２で記憶される値）と同じ値であるか否かを判定する。なお、前回入力された積算走行距離が記憶されていない場合には、前回と同じ値でないと判定する。

そして、制御部６１は、今回入力された積算走行距離が前回と同じ値でないと判定した場合には（Ｓ２０６：ＮＯ）、処理をＳ２０７へ移行させ、同一の積算走行距離を取得した回数のカウント値（以下「回数値Ｃ２」という。）を初期値（例えば１）にリセットする。一方、制御部６１は、今回入力された積算走行距離が前回と同じ値であると判定した場合には（Ｓ２０６：ＹＥＳ）、処理をＳ２０８へ移行させ、回数値Ｃ２をカウントアップ（１を加算）する。

続いて、制御部６１は、Ｓ２０９で、最新の積算走行距離及び回数値Ｃ２をパラメータとして、記憶部６２に記憶されている演算式に従った演算を行うことにより、ワンタイムパスワードを生成する。

続いて、制御部６１は、Ｓ２１０で、生成したパスワードをＧＷ−ＥＣＵ１０へ送信して照合を要求し、照合結果を受信する。そして、制御部６１は、受信した照合結果が、ワンタイムパスワードが一致しないという結果の場合には（Ｓ２１１：ＮＯ）、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。

一方、制御部６１は、受信した照合結果が、ワンタイムパスワードが一致するという結果の場合には（Ｓ２１１：ＹＥＳ）、処理をＳ２１２へ移行させ、今回入力された積算走行距離を記憶部６２に記憶させる。続いて、制御部６１は、Ｓ２１３で、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０とセキュリティ通信を行う。セキュリティ通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。

また、制御部６１は、前述したＳ２０３で、セキュリティ通信の規制が解除されていると判定した場合には（Ｓ２０３：ＹＥＳ）、処理をＳ２１４へ移行させ、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０とセキュリティ通信を行う。セキュリティ通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。

［３．効果］
以上説明したように、本実施形態の通信システムでは、ＧＷ−ＥＣＵ１０が、外部ツール６０から送信されるワンタイムパスワードに基づいて、外部ツール６０とＥＣＵ３０との間で行われるセキュリティ通信に対する規制を解除する。通常、ワンタイムパスワードを生成するためには、共通のキー情報が必要となるが、本実施形態では、車両の固有情報であってユーザが外部から確認することのできる情報である積算走行距離（オドメータの情報）を、キー情報として利用する。具体的には、積算走行距離に基づき、あらかじめ決められた演算式に従った演算を行うことにより、ワンタイムパスワードが生成される。積算走行距離は、車両の走行に伴い値が更新される（増加する）ため、固定の情報に基づきワンタイムパスワードを生成する場合と比較して、セキュリティ性を高めることができる。特に、積算走行距離は、単調増加し、過去と同じ値を取らないため、過去に生成されたパスワートを用いた認証を防止することができる。

なお、時刻を用いてワンタイムパスワードを生成することも可能ではあるが、ＧＷ−ＥＣＵ１０及び外部ツール６０のいずれもバッテリによる時刻保持が基本となるため、ワンタイムパスワードを生成する時点で正しい時刻を保持していない可能性がある。これに対し、積算走行距離は、車両が停止している状態では更新されないため、ＧＷ−ＥＣＵ１０と外部ツール６０とで共有すべき情報にずれを生じにくくすることができる。

したがって、本実施形態の通信システムによれば、不正な外部ツールを用いてセキュリティ通信が行われることを抑制することができる。その結果、例えば、イモビライザ制御を行うＥＣＵへの不正アクセスにより、イモビライザによる盗難防止機能を無効化するといった不正行為を抑制することができる。

また、オドメータ表示部２４には、車両のイグニッションスイッチがオンの状態において積算走行距離が表示される。このため、外部ツール６０でワンタイムパスワードを生成するためには、イグニッションスイッチをオンの状態にしてオドメータ表示部２４に表示された積算走行距離を確認する必要がある。したがって、イグニッションスイッチがオフの状態においても積算走行距離が表示される構成と比較して、不正なユーザによる外部ツール６０の使用を抑制することができる。

また、ワンタイムパスワードは、積算走行距離及び回数値に基づき生成されるため、積算走行距離が同一値の状態で複数回通信を行うような場合にも、値を毎回異ならせることができる。特に、同一の積算走行距離に基づきワンタイムパスワードを生成した回数を示す回数値を用いるため、ＧＷ−ＥＣＵ１０と外部ツール６０とで通信を行うことなく同一の回数値を共有することができる。

また、ＧＷ−ＥＣＵ１０（ＣＰＵ１１）は、セキュリティ通信に対する規制を解除した後、所定の終了条件が成立したと判定した時点で、セキュリティ通信を規制する。このため、正規の外部ツール６０が用いられた後、セキュリティ通信に対する規制が解除されたままの状態で、不正な外部ツールによるセキュリティ通信が行われてしまうことを抑制することができる。

特に、セキュリティ通信の終了条件には、セキュリティ通信の実行可能時間を制限するための条件が含まれる。このため、外部ツール６０から送信されるべき終了通知（通信が終了したことの通知）が、何らかの理由で受信できない状況においても、セキュリティ通信が規制された状態に戻すことができる。

また、セキュリティ通信の終了条件には、車両のイグニッションスイッチがオフの状態の場合にセキュリティ通信を規制するための条件が含まれる。つまり、イグニッションスイッチをオンの状態にすることが、セキュリティ通信の規制を解除するための１つの条件となる。このため、イグニッションスイッチの状態に関係なくセキュリティ通信の規制を解除する構成と比較して、セキュリティ性を高くすることができる。

また、セキュリティ通信の終了条件には、外部ツール６０からセキュリティ通信の終了が通知された後にセキュリティ通信を規制するための条件が含まれる。このため、外部ツール６０で行うべき通信が終了した時点で、セキュリティ通信が規制された状態に直ちに戻すことができる。

また、本実施形態の通信システムでは、外部ツール６０とＥＣＵ３０との間で行われる通信を、通常通信とセキュリティ通信とに大別し、通常通信については通信の規制を解除することなく行うことができるようにしている。このため、すべての通信について通信の規制を解除しなければならない構成と比較して、低いセキュリティ性で問題のない通信が開始されるまでの時間を短くすることができる。

なお、本実施形態では、ＧＷ−ＥＣＵ１０が中継装置の一例に相当し、Ｓ１０７が取得手段としての処理（取得ステップ）の一例に相当し、Ｓ１１２が受信手段としての処理の一例に相当し、Ｓ１１５が規制解除手段としての処理（規制解除ステップ）の一例に相当、Ｓ１１９が規制手段としての処理の一例に相当する。また、外部ツール６０が車外装置の一例に相当し、Ｓ２０５が入力手段としての処理（入力ステップ）の一例に相当し、Ｓ２０９が生成手段としての処理（生成ステップ）の一例に相当し、Ｓ２１０が送信手段としての処理（送信ステップ）の一例に相当する。また、メータＥＣＵ２０が走行距離情報を管理する装置の一例に相当し、オドメータ表示部２４が走行距離計の一例に相当し、積算走行距離が走行距離情報の一例に相当する。また、ワンタイムパスワードが認証情報の一例に相当し、演算式に従った演算があらかじめ決められた演算の一例に相当し、回数値が付加情報の一例に相当し、セキュリティ通信が特定の通信の一例に相当する。また、ＥＣＵ３０が車載装置の一例に相当する。

［４．他の実施形態］
以上、本発明の実施形態について説明したが、本発明は、上記実施形態に限定されることなく、種々の形態を採り得ることは言うまでもない。

上記実施形態では、ＧＷ−ＥＣＵ１０及び外部ツール６０の両方でワンタイムパスワードを生成し、これらが一致するか否かをＧＷ−ＥＣＵ１０が判定する構成を例示したが、これに限定されるものではない。例えば、ＧＷ−ＥＣＵ１０が、外部ツール６０で生成されたワンタイムパスワードに対して、外部ツール６０で用いられた演算式と逆の演算を行うことにより積算走行距離（及び回数値）を算出し、算出した値が正しいか否かを判定してもよい。

１…車載システム、１０…ＧＷ−ＥＣＵ、１１…ＣＰＵ、２０…メータＥＣＵ、２４…オドメータ表示部、３０…ＥＣＵ、４０…バス、５０…コネクタ、６０…外部ツール、６１…制御部

Claims (11)

1. 車載装置（３０）と通信を行うための車外装置（６０）と、
   車両に搭載され、前記車外装置と前記車載装置との間で行われる通信を中継する中継装置（１０）と、
   を備え、
   前記車外装置は、
   車両の走行距離計（２４）に表示されている走行距離情報を入力する入力手段（Ｓ２０５）と、
   前記入力手段により入力された前記走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する生成手段（Ｓ２０９）と、
   前記生成手段により生成された前記認証情報を前記中継装置へ送信する送信手段（Ｓ２１０）と、を備え、
   前記中継装置は、
   前記走行距離情報を管理する装置（２０）から前記走行距離情報を取得する取得手段（Ｓ１０７）と、
   前記車外装置から送信される前記認証情報を受信する受信手段（Ｓ１１２）と、
   前記受信手段により受信された前記認証情報が、前記取得手段により取得された前記走行距離情報に基づき前記演算により生成された情報であると判定した場合に、前記車外装置と前記車載装置との間で行われる特定の通信に対する規制を解除する規制解除手段（Ｓ１１５）と、を備える
   ことを特徴とする通信システム。
2. 請求項１に記載の通信システムであって、
   前記走行距離計は、車両のイグニッションスイッチがオンの状態において前記走行距離情報を表示する
   ことを特徴とする通信システム。
3. 請求項１又は請求項２に記載の通信システムであって、
   前記生成手段は、前記走行距離情報と、前記走行距離情報が同一であっても異なり得る付加情報と、に基づき、前記演算を行うことにより前記認証情報を生成する
   ことを特徴とする通信システム。
4. 請求項３に記載の通信システムであって、
   前記付加情報は、同一の前記走行距離情報に基づき前記認証情報を生成した回数を示す情報である
   ことを特徴とする通信システム。
5. 請求項１から請求項４までのいずれか１項に記載の通信システムであって、
   前記中継装置は、前記規制解除手段により前記特定の通信に対する規制が解除された後、所定の終了条件が成立したと判定した時点で、前記特定の通信を規制する規制手段（Ｓ１１９）を更に備える
   ことを特徴とする通信システム。
6. 請求項５に記載の通信システムであって、
   前記終了条件には、前記特定の通信の実行可能時間を制限するための条件が含まれる
   ことを特徴とする通信システム。
7. 請求項５又は請求項６に記載の通信システムであって、
   前記終了条件には、車両のイグニッションスイッチがオフの状態の場合に前記特定の通信を規制するための条件が含まれる
   ことを特徴とする通信システム。
8. 請求項５から請求項７までのいずれか１項に記載の通信システムであって、
   前記終了条件には、前記車外装置から前記特定の通信の終了が通知された後に前記特定の通信を規制するための条件が含まれる
   ことを特徴とする通信システム。
9. 車両に搭載され、車外装置と車載装置との間で行われる通信を中継する中継装置であって、
   車両の走行距離計に表示される走行距離情報を管理する装置から、前記走行距離情報を取得する取得手段と、
   前記車外装置から認証情報を受信する受信手段と、
   前記受信手段により受信された前記認証情報が、前記取得手段により取得された前記走行距離情報に基づき、あらかじめ決められた演算を行うことにより生成された情報であると判定した場合に、前記車外装置と前記車載装置との間で行われる特定の通信に対する規制を解除する規制解除手段と、
   を備えることを特徴とする中継装置。
10. 車両に搭載された中継装置を介して車載装置と通信を行うための車外装置であって、
    車両の走行距離計に表示されている走行距離情報を入力する入力手段と、
    前記入力手段により入力された前記走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する生成手段と、
    前記生成手段により生成された前記認証情報を前記中継装置へ送信する送信手段と、
    を備えることを特徴とする車外装置。
11. 車載装置と通信を行うための車外装置と、
    車両に搭載され、前記車外装置と前記車載装置との間で行われる通信を中継する中継装置と、
    の間での通信方法であって、
    前記車外装置が、車両の走行距離計に表示されている走行距離情報を入力する入力ステップ（Ｓ２０５）と、
    前記車外装置が、前記入力ステップで入力した前記走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する生成ステップ（Ｓ２０９）と、
    前記車外装置が、前記生成ステップで生成した前記認証情報を前記中継装置へ送信する送信ステップ（Ｓ２１０）と、
    前記中継装置が、前記走行距離情報を管理する装置から前記走行距離情報を取得する取得ステップ（Ｓ１０７）と、
    前記中継装置が、前記車外装置から受信した前記認証情報が、前記取得ステップで取得した前記走行距離情報に基づき前記演算により生成された情報であると判定した場合に、前記車外装置と前記車載装置との間で行われる特定の通信に対する規制を解除する規制解除ステップ（Ｓ１１５）と、
    を備えることを特徴とする通信方法。

Images