JP6390398B2

JP6390398B2 - In-vehicle network system

Info

Publication number: JP6390398B2
Application number: JP2014250497A
Authority: JP
Inventors: 岸　弘行; 弘行岸
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2014-12-11
Filing date: 2014-12-11
Publication date: 2018-09-19
Anticipated expiration: 2034-12-11
Also published as: JP2016112909A

Description

本発明は、車載ネットワークシステムに関する。 The present invention relates to an in-vehicle network system.

従来、特許文献１に記載の車載ネットワークシステムがある。特許文献１に記載の車載ネットワークシステムは、各種電子制御装置（ＥＣＵ： Electronic Control Unit）が接続される複数のネットワークと、複数のネットワーク間の通信を中継するゲートウェイ制御装置とを備えている。 Conventionally, there is an in-vehicle network system described in Patent Document 1. The in-vehicle network system described in Patent Literature 1 includes a plurality of networks to which various electronic control units (ECUs) are connected, and a gateway control device that relays communication between the plurality of networks.

特許第５３７５９０５号公報Japanese Patent No. 5375905

ところで、ＥＣＵは、一般に、ＲＯＭ（Read Only Memory）に記憶されたプログラムデータに基づいて各種制御を行う。ＲＯＭに格納されたプログラムデータは、例えばバージョンアップや機能追加等のために、書き換えが必要な場合がある。ＲＯＭの書き換えは、例えば車両の外部からゲートウェイ制御装置を介して外部ツールを接続し、当該外部ツールによりＲＯＭに記憶されたプログラムデータを書き換えることで行われる。 By the way, the ECU generally performs various controls based on program data stored in a ROM (Read Only Memory). The program data stored in the ROM may need to be rewritten, for example, for version upgrade or function addition. The rewriting of the ROM is performed, for example, by connecting an external tool from the outside of the vehicle via the gateway control device and rewriting the program data stored in the ROM by the external tool.

ここで、ゲートウェイ制御装置には、ＲＯＭの書き換えが行われるＥＣＵ以外にも様々なＥＣＵが接続されている。以下では、便宜上、ＲＯＭの書き換えが行われるＥＣＵを「書き換え対象ＥＣＵ」と称し、それ以外のＥＣＵを「書き換え対象外ＥＣＵ」と称する。外部ツールから送信されるプログラムデータをゲートウェイ制御装置を介して書き換え対象ＥＣＵに送信している間、ゲートウェイ制御装置が書き換え対象外ＥＣＵの通信を中継すると、ゲートウェイ制御装置と書き換え対象ＥＣＵとの間の通信速度が低下し、プログラムデータの書き換え完了時間が遅延するおそれがある。 Here, various ECUs are connected to the gateway control device in addition to the ECU in which the ROM is rewritten. Hereinafter, for the sake of convenience, the ECU in which the ROM is rewritten is referred to as “rewrite target ECU”, and the other ECUs are referred to as “non-rewrite ECU”. While the program data transmitted from the external tool is being transmitted to the rewrite target ECU via the gateway control device, when the gateway control device relays the communication of the non-rewrite target ECU, between the gateway control device and the rewrite target ECU. There is a possibility that the communication speed is lowered and the program data rewrite completion time is delayed.

また、ゲートウェイ制御装置が通信の中継処理以外に所定の車両制御を併せて実行するものである場合、その制御処理の実行分だけゲートウェイ制御装置の中継処理が遅延する。これに起因してゲートウェイ制御装置と書き換え対象ＥＣＵとの間の通信速度が低下すると、同様にプログラムデータの書き換え完了時間が遅延するおそれがある。 Further, when the gateway control device executes predetermined vehicle control in addition to the communication relay processing, the gateway control device relay processing is delayed by the amount of execution of the control processing. If the communication speed between the gateway control device and the rewrite target ECU decreases due to this, the program data rewrite completion time may similarly be delayed.

本発明は、こうした実情に鑑みてなされたものであり、その目的は、ゲートウェイ制御装置に接続された電子制御装置のプログラムデータの書き換え速度を向上させることのできる車載ネットワークシステムを提供することにある。 The present invention has been made in view of such circumstances, and an object thereof is to provide an in-vehicle network system capable of improving the rewrite speed of program data of an electronic control device connected to a gateway control device. .

上記課題を解決する車載ネットワークシステム（１）では、電子制御装置（２０，３０）が接続されるネットワーク（ＮＷ１）と、外部ツール（４０）が接続されるネットワーク（ＮＷ２）とがゲートウェイ制御装置（１０）を介して接続されている。外部ツールは、ゲートウェイ制御装置を介した電子制御装置との通信に基づいて電子制御装置のプログラムデータの書き換えを行う。ゲートウェイ制御装置は、電子制御装置のプログラムデータの書き換えの際に外部ツールと電子制御装置との間で通信される特定の信号の中継に基づいて、プログラムデータの書き換えに関連する通信を優先するように通信の中継を制限する書き換え専用状態に移行する。電子制御装置は、プログラムデータの書き換えに先立ち、外部ツールとの通信に基づいて当該外部ツールの認証を行い、当該認証が成立することを条件にセキュリティを解除して、当該セキュリティが解除されていることを条件にプログラムデータの書き換えが許可される書き換え許可状態への移行が可能となるとともに、外部ツールとの通信に基づいてセキュリティを解除した際に、その旨を示すセキュリティ解除信号を外部ツールにゲートウェイ制御装置を介して送信する。外部ツールは、電子制御装置から送信されるセキュリティ解除信号を受信した際に、書き換え許可状態への移行を要求する移行要求信号を電子制御装置にゲートウェイ制御装置を介して送信する。特定の信号は、セキュリティ解除信号である。
また、上記課題を解決する車載ネットワークシステム（１）では、電子制御装置（２０，３０）が接続されるネットワーク（ＮＷ１）と、外部ツール（４０）が接続されるネットワーク（ＮＷ２）とがゲートウェイ制御装置（１０）を介して接続されている。外部ツールは、ゲートウェイ制御装置を介した電子制御装置との通信に基づいて電子制御装置のプログラムデータの書き換えを行う。ゲートウェイ制御装置は、電子制御装置のプログラムデータの書き換えの際に外部ツールと電子制御装置との間で通信される特定の信号の中継に基づいて、プログラムデータの書き換えに関連する通信を優先するように通信の中継を制限する書き換え専用状態に移行する。電子制御装置は、プログラムデータの書き換えに先立ち、外部ツールとの通信に基づいて当該外部ツールの認証を行い、当該認証が成立することを条件にセキュリティを解除して、当該セキュリティが解除されていることを条件にプログラムデータの書き換えが許可される書き換え許可状態への移行が可能となるとともに、外部ツールとの通信に基づいてセキュリティを解除した際に、その旨を示すセキュリティ解除信号を外部ツールにゲートウェイ制御装置を介して送信する。外部ツールは、電子制御装置から送信されるセキュリティ解除信号を受信した際に、書き換え許可状態への移行を要求する移行要求信号を電子制御装置にゲートウェイ制御装置を介して送信する。特定の信号は、移行要求信号である。 In the in-vehicle network system (1) that solves the above problem, the network (NW1) to which the electronic control device (20, 30) is connected and the network (NW2) to which the external tool (40) is connected are the gateway control device ( 10). The external tool rewrites the program data of the electronic control device based on communication with the electronic control device via the gateway control device. The gateway control device gives priority to the communication related to the rewriting of the program data based on the relay of a specific signal communicated between the external tool and the electronic control device when rewriting the program data of the electronic control device. Transition to a rewrite-only state that restricts relaying of communications. Prior to rewriting the program data, the electronic control device authenticates the external tool based on communication with the external tool, releases the security on the condition that the authentication is established, and the security is released. It is possible to shift to a rewrite-permitted state where program data can be rewritten on the condition that a security release signal indicating that is released to the external tool when security is released based on communication with the external tool. Transmit via the gateway controller. When the external tool receives the security release signal transmitted from the electronic control device, the external tool transmits a transition request signal requesting the transition to the rewrite permission state to the electronic control device via the gateway control device. The specific signal is a security release signal.
In the in-vehicle network system (1) that solves the above problem, the network (NW1) to which the electronic control unit (20, 30) is connected and the network (NW2) to which the external tool (40) is connected are gateway-controlled. It is connected via a device (10). The external tool rewrites the program data of the electronic control device based on communication with the electronic control device via the gateway control device. The gateway control device gives priority to the communication related to the rewriting of the program data based on the relay of a specific signal communicated between the external tool and the electronic control device when rewriting the program data of the electronic control device. Transition to a rewrite-only state that restricts relaying of communications. Prior to rewriting the program data, the electronic control device authenticates the external tool based on communication with the external tool, releases the security on the condition that the authentication is established, and the security is released. It is possible to shift to a rewrite-permitted state where program data can be rewritten on the condition that a security release signal indicating that is released to the external tool when security is released based on communication with the external tool. Transmit via the gateway controller. When the external tool receives the security release signal transmitted from the electronic control device, the external tool transmits a transition request signal requesting the transition to the rewrite permission state to the electronic control device via the gateway control device. The specific signal is a transition request signal.

この構成によれば、電子制御装置のプログラムデータの書き換えの際に外部ツールと電子制御装置との間で通信が行われると、当該通信に用いられる特定の信号に基づいてゲートウェイ制御装置が自動的に書き換え専用状態に移行する。すなわち、ゲートウェイ制御装置は、プログラムデータの書き換えに関連する通信を優先するように通信の中継を制限する状態に自動的に移行する。そのため、電子制御装置のプログラムデータの書き換え速度を向上させることができる。 According to this configuration, when communication is performed between the external tool and the electronic control device when the program data of the electronic control device is rewritten, the gateway control device is automatically set based on the specific signal used for the communication. Move to the rewrite-only state. That is, the gateway control device automatically shifts to a state in which communication relay is restricted so that communication related to rewriting of program data is given priority. Therefore, the rewriting speed of the program data of the electronic control device can be improved.

本発明によれば、ゲートウェイ制御装置に接続された電子制御装置のプログラムデータの書き換え速度を向上させることができる。 According to the present invention, the rewriting speed of program data of the electronic control device connected to the gateway control device can be improved.

車載ネットワークシステムの一実施形態についてその概略構成を示すブロック図。The block diagram which shows the schematic structure about one Embodiment of a vehicle-mounted network system. 実施形態の車載ネットワークシステムについてそのゲートウェイＥＣＵの概略構成を模式的に示す図。The figure which shows typically schematic structure of the gateway ECU about the vehicle-mounted network system of embodiment. 実施形態の車載ネットワークシステムについて外部ツール、ゲートウェイＥＣＵ、書き換え対象ＥＣＵ、及び書き換え対象外ＥＣＵの動作例の一部を示すシーケンスチャート。The sequence chart which shows a part of operation example of external tool, gateway ECU, rewriting object ECU, and non-rewriting object ECU about the vehicle-mounted network system of embodiment. 実施形態の車載ネットワークシステムについて外部ツール、ゲートウェイＥＣＵ、書き換え対象ＥＣＵ、及び書き換え対象外ＥＣＵの動作例の一部を示すシーケンスチャート。The sequence chart which shows a part of operation example of external tool, gateway ECU, rewriting object ECU, and non-rewriting object ECU about the vehicle-mounted network system of embodiment. 実施形態の車載ネットワークシステムについてゲートウェイＥＣＵにより実行される処理の手順を示すフローチャート。The flowchart which shows the procedure of the process performed by gateway ECU about the vehicle-mounted network system of embodiment. 車載ネットワークシステムの変形例について外部ツール、ゲートウェイＥＣＵ、書き換え対象ＥＣＵ、及び書き換え対象外ＥＣＵの動作例の一部を示すシーケンスチャート。The sequence chart which shows a part of operation example of external tool, gateway ECU, rewriting object ECU, and non-rewriting object ECU about the modification of a vehicle-mounted network system. 車載ネットワークシステムの他の変形例についてゲートウェイＥＣＵにより実行される処理の手順を示すフローチャート。The flowchart which shows the procedure of the process performed by gateway ECU about the other modification of a vehicle-mounted network system. 車載ネットワークシステムの他の変形例についてゲートウェイＥＣＵにより実行される処理の手順を示すフローチャート。The flowchart which shows the procedure of the process performed by gateway ECU about the other modification of a vehicle-mounted network system.

以下、車載ネットワークシステムの一実施形態について説明する。はじめに、図１を参照して、本実施形態の車載ネットワークシステムの概要について説明する。 Hereinafter, an embodiment of the in-vehicle network system will be described. First, with reference to FIG. 1, the outline | summary of the vehicle-mounted network system of this embodiment is demonstrated.

図１に示されるように、本実施形態の車載ネットワークシステム１は車両Ｃに搭載されている。車載ネットワークシステム１は、ゲートウェイ制御装置（ゲートウェイＥＣＵ）１０と、複数の電子制御装置（ＥＣＵ）２０，３０とを有している。 As shown in FIG. 1, the in-vehicle network system 1 of this embodiment is mounted on a vehicle C. The in-vehicle network system 1 includes a gateway control device (gateway ECU) 10 and a plurality of electronic control devices (ECU) 20 and 30.

ＥＣＵ２０，３０は、車両Ｃに搭載された各種ＥＣＵ、例えば車載エンジンの駆動を制御するエンジンＥＣＵや、自動変速機の駆動を制御するトランスミッションＥＣＵ等を示す。また、ＥＣＵ２０，３０には、ゲートウェイＥＣＵ１０とは別のゲートウェイＥＣＵも含まれる。ＥＣＵ２０，３０は、マイクロコンピュータを中心に構成されており、ＣＰＵ（中央演算処理装置）２１，３１やＲＡＭ（Random Access Memory）２２，３２、ＲＯＭ（Read Only Memory）２３，３３等をそれぞれ有している。ＣＰＵ２１，３１は、ＲＯＭ２２，３２に記憶されたプログラムデータＰａ，Ｐｂに基づいて各種制御処理をそれぞれ実行する。ＥＣＵ２０，３０はバスＢ１を介して通信可能に接続されている。 The ECUs 20 and 30 indicate various ECUs mounted on the vehicle C, for example, an engine ECU that controls driving of an in-vehicle engine, a transmission ECU that controls driving of an automatic transmission, and the like. Further, the ECUs 20 and 30 include a gateway ECU different from the gateway ECU 10. The ECUs 20 and 30 are configured around a microcomputer, and have CPUs (Central Processing Units) 21 and 31, RAMs (Random Access Memory) 22 and 32, ROMs (Read Only Memory) 23 and 33, respectively. ing. The CPUs 21 and 31 execute various control processes based on the program data Pa and Pb stored in the ROMs 22 and 32, respectively. The ECUs 20 and 30 are communicably connected via the bus B1.

ゲートウェイＥＣＵ１０はバスＢ１を介してＥＣＵ２０，３０に接続されている。また、ゲートウェイＥＣＵ１０はバスＢ２を介して外部端子Ｔ１に接続されている。外部端子Ｔ１には、接続端子Ｔ２を介して外部ツール４０が接続される。ゲートウェイＥＣＵ１０は、バスＢ１により構成されるネットワークＮＷ１と、バスＢ２により構成されるネットワークＮＷ２との間の通信を中継する。また、ゲートウェイＥＣＵ１０は、バスＢ２と、バスＢ２とは別の図示しない車両内のバスとの間の通信を中継する。なお、ゲートウェイＥＣＵ１０は、通信を中継する機能に限らず、例えば車両ドアのロック／アンロック制御やヘッドライトの点灯制御等の車両制御を併せて実行するものであってもよい。 The gateway ECU 10 is connected to the ECUs 20 and 30 via the bus B1. The gateway ECU 10 is connected to the external terminal T1 via the bus B2. The external tool 40 is connected to the external terminal T1 via the connection terminal T2. The gateway ECU 10 relays communication between the network NW1 configured by the bus B1 and the network NW2 configured by the bus B2. Further, the gateway ECU 10 relays communication between the bus B2 and a bus in the vehicle (not shown) different from the bus B2. The gateway ECU 10 is not limited to the function of relaying communication, and may execute vehicle control such as vehicle door lock / unlock control and headlight lighting control, for example.

外部ツール４０は、ゲートウェイＥＣＵ１０及びＥＣＵ２０，３０のバージョンアップや機能追加等のために、それらのプログラムデータを書き換えるための装置である。外部ツール４０は、作業者により手動で操作される。外部ツール４０は、例えばバスＢ２、ゲートウェイＥＣＵ１０、及びバスＢ１を介してＥＣＵ２０，３０に新たなプログラムデータを送信することにより、各ＥＣＵ２０，３０のプログラムデータＰａ，Ｐｂを書き換える。なお、プログラムデータＰａ，Ｐｂの書き換えは、車両が使用されていない状態でディーラや工場等で行われる。 The external tool 40 is a device for rewriting program data for upgrading the version of the gateway ECU 10 and the ECUs 20 and 30 and adding functions. The external tool 40 is manually operated by an operator. The external tool 40 rewrites the program data Pa, Pb of each ECU 20, 30 by transmitting new program data to the ECU 20, 30 via, for example, the bus B2, the gateway ECU 10, and the bus B1. Note that the program data Pa and Pb are rewritten at a dealer, a factory, or the like when the vehicle is not being used.

本実施形態では、外部ツール４０によるプログラムデータの書き換えがＥＣＵ２０を対象として行われる場合について例示する。すなわち、本実施形態では、ＥＣＵ２０が「書き換え対象ＥＣＵ」となっており、ＥＣＵ２１が「書き換え対象外ＥＣＵ」となっている。 In this embodiment, the case where rewriting of the program data by the external tool 40 is performed for the ECU 20 is illustrated. That is, in the present embodiment, the ECU 20 is a “rewrite target ECU”, and the ECU 21 is a “non-rewrite ECU”.

次に、図２を参照して、ゲートウェイＥＣＵ１０の構成について詳しく説明する。
ゲートウェイＥＣＵ１０は、マイクロコンピュータを中心に構成されており、図２に示されるように、ＣＰＵ１１と、ＲＡＭ１２と、ＲＯＭ１３とを備えている。 Next, the configuration of the gateway ECU 10 will be described in detail with reference to FIG.
The gateway ECU 10 is configured around a microcomputer, and includes a CPU 11, a RAM 12, and a ROM 13, as shown in FIG.

ＲＡＭ１２には、ＣＰＵ１１の演算途中のデータや演算結果等が一時的に記憶される。
ＲＯＭ１３には、通常制御用プログラムデータＰ１と、書き換え専用プログラムデータＰ２とが記憶されている。 The RAM 12 temporarily stores data, calculation results, and the like during the calculation by the CPU 11.
The ROM 13 stores normal control program data P1 and rewrite-only program data P2.

通常制御用プログラムデータＰ１は、ゲートウェイＥＣＵ１０により通常行われる制御プログラムであり、例えばバスＢ１とバスＢ２との間でプロトコル変換を行うためのプログラムデータや、バスＢ２と図示しない社内の他のバスとの間でプロトコル変換を行うためのプログラムデータ等が含まれている。また、ゲートウェイＥＣＵ１０が、例えば車両ドアのロック／アンロック制御やヘッドライトの点灯制御等を併せて実行する場合には、それらの制御用プログラムデータも通常制御用プログラムデータＰ１に含まれている。 The normal control program data P1 is a control program that is normally performed by the gateway ECU 10. For example, program data for performing protocol conversion between the bus B1 and the bus B2, and bus B2 and other internal buses not shown in the figure. Program data and the like for performing protocol conversion between them are included. Further, when the gateway ECU 10 executes, for example, vehicle door lock / unlock control and headlight lighting control, the control program data is also included in the normal control program data P1.

書き換え専用プログラムデータＰ２は、プログラムデータの書き換えに関連する通信を優先するように通信の中継に制限を設ける処理を実行するためのプログラムデータである。 The rewrite-only program data P2 is program data for executing processing for limiting communication relay so that communication related to rewriting of program data is prioritized.

ＣＰＵ１１は、ＲＯＭ１３に記憶された通常制御用プログラムデータＰ１に基づいて、ゲートウェイＥＣＵ１０により行われる通常制御を実行する。また、ＣＰＵ１１は、外部端子Ｔ１に外部ツール４０が接続された際、外部ツール４０からの要求に応じて、ＲＯＭ１３に記憶された書き換え専用プログラムデータＰ２を実行する。これにより、ＣＰＵ１１は、プログラムデータの書き換えに関連する通信を優先する状態になる。 The CPU 11 executes normal control performed by the gateway ECU 10 based on the normal control program data P1 stored in the ROM 13. Further, when the external tool 40 is connected to the external terminal T1, the CPU 11 executes the rewrite-only program data P2 stored in the ROM 13 in response to a request from the external tool 40. As a result, the CPU 11 is in a state of giving priority to communication related to rewriting of program data.

次に、図３を参照して、外部ツール４０による書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換え手順について詳しく説明する。なお、図３に示される処理は、例えば車両が使用されていない状態で工場やディーラにおいて作業者が外部ツール４０を操作することにより行われる。また、図３に示されるプログラムデータＰａの書き換え手順としては、例えばＵＤＳ（ＩＳＯ１４２２９）に準拠した手順を採用することができる。 Next, with reference to FIG. 3, the rewriting procedure of the program data Pa of the rewriting target ECU 20 by the external tool 40 will be described in detail. Note that the process shown in FIG. 3 is performed, for example, when an operator operates the external tool 40 in a factory or a dealer in a state where the vehicle is not used. As a rewrite procedure of the program data Pa shown in FIG. 3, for example, a procedure based on UDS (ISO 14229) can be adopted.

図３に示されるように、外部ツール４０は、まず、ゲートウェイＥＣＵ１０を介して各ＥＣＵ２０，３０に非通常状態移行要求信号を送信する（ステップＳ１００）。ゲートウェイＥＣＵ１０は、非通常状態移行要求信号を中継すると（ステップＳ２００）、通常状態（ Default Session）から非通常状態（Non-Default Session）に移行する（ステップＳ２０１）。各ＥＣＵ２０，３０は、非通常状態移行要求信号を受信すると（ステップＳ３００，Ｓ４００）、通常状態から非通常状態に移行する（ステップＳ３０１，Ｓ４０１）。なお、通常状態とは、各ＥＣＵ１０，２０，３０がそれぞれの役割に応じた通常の制御を行う状態である。非通常状態とは、外部ツール４０からの要求に応じて通常実行できない特殊な操作が可能となる状態である。各ＥＣＵ１０，２０，３０が非通常状態に移行することにより、例えば異常検出を禁止させたり、通信を停止させる等の特殊な操作が可能となる。 As shown in FIG. 3, the external tool 40 first transmits an abnormal state transition request signal to each ECU 20, 30 via the gateway ECU 10 (step S100). When the gateway ECU 10 relays the non-normal state transition request signal (step S200), the gateway ECU 10 shifts from the normal state (Default Session) to the non-normal state (Non-Default Session) (step S201). When each of the ECUs 20 and 30 receives the non-normal state transition request signal (steps S300 and S400), the ECU 20 and 30 transition from the normal state to the non-normal state (steps S301 and S401). Note that the normal state is a state in which the ECUs 10, 20, and 30 perform normal control according to their roles. The non-normal state is a state in which a special operation that cannot be normally performed in response to a request from the external tool 40 is possible. When each of the ECUs 10, 20, and 30 shifts to the non-normal state, for example, a special operation such as prohibiting abnormality detection or stopping communication becomes possible.

また、各ＥＣＵ１０，２０，３０は、非通常状態に移行した際、何らかの信号を所定の時間受信できないことを条件に、あるいは通常状態移行要求信号を受信することを条件に通常状態に復帰する。以下では、便宜上、この所定の時間を「復帰設定時間」と称する。本実施形態では、復帰設定時間よりも短い周期で各ＥＣＵ１０，２０，３０に何らかの信号を送信することにより、各ＥＣＵ１０，２０，３０を非通常状態に維持させることが可能となっている。 In addition, each ECU 10, 20, 30 returns to the normal state on the condition that some signal cannot be received for a predetermined time when it shifts to the non-normal state, or on the condition that the normal state shift request signal is received. Hereinafter, for the sake of convenience, this predetermined time is referred to as “return set time”. In this embodiment, each ECU 10, 20, 30 can be maintained in an abnormal state by transmitting some signal to each ECU 10, 20, 30 at a cycle shorter than the return set time.

外部ツール４０は、各ＥＣＵ１０，２０，３０を非通常状態に移行させた後、ゲートウェイＥＣＵ１０を介して各ＥＣＵ２０，３０にダイアグマスク要求信号を送信する（ステップＳ１０１）。ゲートウェイＥＣＵ１０は、ダイアグマスク要求信号を中継すると（ステップＳ２０２）、ダイアグマスク状態に移行する（ステップＳ２０３）。各ＥＣＵ２０，３０は、ダイアグマスク要求信号を受信すると（ステップＳ３０２，Ｓ４０２）、ダイアグマスク状態に移行する（ステップＳ３０３，Ｓ４０３）。ダイアグマスク状態とは、非通常状態において選択可能な一状態であり、異常検出機能が無効化された状態を示す。各ＥＣＵ１０，２０，３０がダイアグマスク状態になることにより、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に書き換え対象ＥＣＵ２０とそれ以外のＥＣＵ１０，３０との間の通信が途絶えたとしても、それを理由に各ＥＣＵ１０，２０，３０が異常検出を行うことを回避できる。 The external tool 40 transmits a diagnostic mask request signal to each ECU 20, 30 via the gateway ECU 10 after shifting each ECU 10, 20, 30 to the non-normal state (step S101). When the gateway ECU 10 relays the diagnosis mask request signal (step S202), the gateway ECU 10 shifts to a diagnosis mask state (step S203). When each of the ECUs 20 and 30 receives the diagnosis mask request signal (steps S302 and S402), the ECUs 20 and 30 shift to the diagnosis mask state (steps S303 and S403). The diagnostic mask state is a state that can be selected in the non-normal state, and indicates a state in which the abnormality detection function is invalidated. Even if communication between the rewrite target ECU 20 and the other ECUs 10 and 30 is interrupted when the program data Pa of the rewrite target ECU 20 is rewritten by the diagnosis mask state of each ECU 10, 20, 30, For this reason, it is possible to avoid that each ECU 10, 20, 30 detects an abnormality.

外部ツール４０は、各ＥＣＵ１０，２０，３０をダイアグマスク状態に移行させた後、ゲートウェイＥＣＵ１０を介して各ＥＣＵ２０，３０に送信停止要求信号を送信する（ステップＳ１０２）。各ＥＣＵ２０，３０は、送信停止要求信号を受信すると（ステップＳ３０４，Ｓ４０４）、送信停止状態に移行する（ステップＳ３０５，Ｓ４０５）。送信停止状態とは、非通常状態において選択可能な一状態であり、プログラムデータＰａの書き換えに関連する通信を除き、他のＥＣＵへの信号の送信が停止された状態を示す。各ＥＣＵ２０，３０が送信停止状態になることにより、プログラムデータＰａの書き換えに関連する通信が優先されるため、結果的に外部ツール４０と書き換え対象ＥＣＵ２０との間の通信速度を向上させることができる。よって、プログラムデータＰａの書き換え速度を向上させることができる。 The external tool 40 transmits each ECU 10, 20, 30 to the diagnosis mask state, and then transmits a transmission stop request signal to each ECU 20, 30 via the gateway ECU 10 (step S102). When each of the ECUs 20 and 30 receives the transmission stop request signal (steps S304 and S404), it shifts to a transmission stop state (steps S305 and S405). The transmission stop state is a state that can be selected in the non-normal state, and indicates a state in which transmission of signals to other ECUs is stopped except for communication related to rewriting of program data Pa. Since each ECU 20 and 30 is in a transmission stop state, communication related to rewriting of the program data Pa is prioritized, and as a result, the communication speed between the external tool 40 and the rewriting target ECU 20 can be improved. . Therefore, the rewriting speed of the program data Pa can be improved.

外部ツール４０は、各ＥＣＵ２０，３０を送信停止状態に移行させた後、書き換え対象ＥＣＵ２０のセキュリティを解除する。具体的には、外部ツール４０は、まず、ゲートウェイＥＣＵ１０を介して書き換え対象ＥＣＵ２０にシード要求信号を送信する（ステップＳ１０３）。書き換え対象ＥＣＵ２０は、シード要求信号を受信すると（ステップＳ３０６）、ランダムな文字列からなるシードを生成するとともに（ステップＳ３０７）、生成したシードを含むシード応答信号を外部ツール４０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ３０８）。 The external tool 40 releases the security of the rewriting target ECU 20 after shifting the ECUs 20 and 30 to the transmission stop state. Specifically, the external tool 40 first transmits a seed request signal to the rewriting target ECU 20 via the gateway ECU 10 (step S103). When receiving the seed request signal (step S306), the rewrite target ECU 20 generates a seed consisting of a random character string (step S307), and sends a seed response signal including the generated seed to the external tool 40 via the gateway ECU 10. Transmit (step S308).

外部ツール４０は、書き換え対象ＥＣＵ２０から送信されるシード応答信号を受信すると（ステップＳ１０４）、当該シード応答信号に含まれるシードに基づいて暗号鍵を生成するとともに（ステップＳ１０５）、生成した暗号鍵を含む暗号鍵応答信号を書き換え対象ＥＣＵ２０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ１０６）。書き換え対象ＥＣＵ２０は、外部ツール４０にシード応答信号を送信した後（ステップＳ３０８）、当該シードに基づいて暗号鍵を生成する（ステップＳ３０９）。そして、書き換え対象ＥＣＵ２０は、外部ツール４０から送信される暗号鍵応答信号を受信すると（ステップＳ３１０）、自らが生成した暗号鍵と、暗号鍵応答信号に含まれる暗号鍵とを照合することにより、外部ツール４０の認証を行う（ステップＳ３１１）。書き換え対象ＥＣＵ２０は、それらの暗号鍵が互いに一致する場合には、外部ツール４０の認証が成立したと判断し（ステップＳ３１２：ＹＥＳ）、セキュリティを解除するとともに（ステップＳ３１３）、その旨を示すセキュリティ解除信号を外部ツール４０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ３１４）。 When the external tool 40 receives the seed response signal transmitted from the rewrite target ECU 20 (step S104), the external tool 40 generates an encryption key based on the seed included in the seed response signal (step S105), and generates the generated encryption key. The encryption key response signal including this is transmitted to the rewrite target ECU 20 via the gateway ECU 10 (step S106). The rewrite target ECU 20 transmits a seed response signal to the external tool 40 (step S308), and then generates an encryption key based on the seed (step S309). Then, when the rewrite target ECU 20 receives the encryption key response signal transmitted from the external tool 40 (step S310), the rewrite target ECU 20 collates the encryption key generated by itself with the encryption key included in the encryption key response signal. The external tool 40 is authenticated (step S311). If the encryption keys coincide with each other, the rewrite target ECU 20 determines that the authentication of the external tool 40 has been established (step S312: YES), releases the security (step S313), and indicates the security indicating that. A release signal is transmitted to the external tool 40 via the gateway ECU 10 (step S314).

ゲートウェイＥＣＵ１０は、セキュリティ解除信号を中継すると（ステップＳ２０５）、書き換え専用状態に移行する（ステップＳ２０６）。具体的には、ゲートウェイＥＣＵ１０は、実行プログラムを通常制御用プログラムデータＰ１から書き換え専用プログラムデータＰ２に切り替えることにより、書き換え専用状態に移行する。これにより、ゲートウェイＥＣＵ１０は、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えに関連する通信を優先する状態となる。 When the gateway ECU 10 relays the security release signal (step S205), the gateway ECU 10 shifts to a rewrite-only state (step S206). Specifically, the gateway ECU 10 shifts to the rewrite-only state by switching the execution program from the normal control program data P1 to the rewrite-only program data P2. Thereby, gateway ECU10 will be in the state which gives priority to the communication relevant to rewriting of program data Pa of rewriting object ECU20.

外部ツール４０は、書き換え対象ＥＣＵ２０から送信されるセキュリティ解除信号を受信すると（ステップＳ１０７）、図４に示されるように書き換え許可状態移行要求信号を書き換え対象ＥＣＵ２０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ１０８）。書き換え対象ＥＣＵ２０は、セキュリティが解除されている状態で書き換え許可状態移行要求信号を受信すると（ステップＳ３１５）、書き換え許可状態（ Programing Session）に移行する（ステップＳ３１６）。書き換え許可状態とは、非通常状態において選択可能な一状態であり、ゲートウェイＥＣＵ１０のＲＯＭ１３に記憶されたデータを書き換えることの可能な状態である。書き換え対象ＥＣＵ２０は、書き換え許可状態に移行した後、その旨を示す移行完了信号を外部ツール４０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ３１７）。 When the external tool 40 receives the security release signal transmitted from the rewrite target ECU 20 (step S107), the external tool 40 transmits a rewrite permission state transition request signal to the rewrite target ECU 20 via the gateway ECU 10 as shown in FIG. 4 (step S107). S108). When the rewrite target ECU 20 receives a rewrite permission state transition request signal in a state where security is released (step S315), the rewrite target ECU 20 transitions to a rewrite permission state (programming session) (step S316). The rewrite permission state is a state that can be selected in the non-normal state, and is a state in which data stored in the ROM 13 of the gateway ECU 10 can be rewritten. The rewrite target ECU 20 transmits a transition completion signal indicating that to the external tool 40 via the gateway ECU 10 after shifting to the rewrite permission state (step S317).

外部ツール４０は、移行完了信号を受信すると（ステップＳ１０９）、プログラムデータＰａの書き換え要求信号を書き換え対象ＥＣＵ２０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ１１０）。書き換え対象ＥＣＵ２０は、プログラムデータＰａの書き換え要求信号を受信すると（ステップＳ３１８）、当該信号に基づいて、ＲＯＭ１３に記憶されたプログラムデータＰａの書き換えを行う（ステップＳ３１９）。なお、図示は割愛するが、外部ツール４０は、プログラムデータＰａの書き換えを行っている期間、ゲートウェイＥＣＵ１０と双方向通信を行うことにより、新たなプログラムデータＰａがＲＯＭ１３に正しく書き込まれているか否かを検証する、いわゆるベリファイ等を行う。 When receiving the transition completion signal (step S109), the external tool 40 transmits a rewrite request signal for the program data Pa to the rewrite target ECU 20 via the gateway ECU 10 (step S110). When the rewrite target ECU 20 receives a rewrite request signal for the program data Pa (step S318), the rewrite target ECU 20 rewrites the program data Pa stored in the ROM 13 based on the signal (step S319). Although illustration is omitted, the external tool 40 performs two-way communication with the gateway ECU 10 while the program data Pa is being rewritten, so that whether or not the new program data Pa is correctly written in the ROM 13. So-called verify or the like is performed.

また、外部ツール４０は、所定の周期で通信継続信号を書き換え対象ＥＣＵ２０及び書き換え対象外ＥＣＵ３０にゲートウェイＥＣＵ１０を介して継続的に送信することにより（ステップＳ１１１）、各ＥＣＵ１０，２０，３０の状態を維持する。本実施形態では、外部ツール４０から書き換え対象ＥＣＵ２０へのプログラムデータＰａの書き換え要求信号の送信と、外部ツール４０から各ＥＣＵ１０，２０，３０への通信継続信号の送信とが、プログラムデータＰａの書き換えに関連する通信となっている。 Further, the external tool 40 continuously transmits a communication continuation signal to the rewrite target ECU 20 and the non-rewrite target ECU 30 via the gateway ECU 10 at a predetermined cycle (step S111), thereby changing the state of each ECU 10, 20, 30. maintain. In the present embodiment, transmission of a rewrite request signal for program data Pa from the external tool 40 to the rewrite target ECU 20 and transmission of a communication continuation signal from the external tool 40 to each of the ECUs 10, 20, and 30 It has become communication related to.

外部ツール４０は、プログラムデータＰａの書き換えが行われている期間、ステップＳ１１０，Ｓ１１１の処理を繰り返し実行する。外部ツール４０は、プログラムデータＰａの書き換えが完了すると、通常状態移行要求信号を各ＥＣＵ２０，３０にゲートウェイＥＣＵ１０を介して送信する（ステップＳ１１２）。ゲートウェイＥＣＵ１０は、通常状態移行要求信号を中継すると（ステップＳ２０７）、通常状態に移行する（ステップＳ２０８）。各ＥＣＵ２０，３０は、通常状態移行要求信号を受信すると（ステップＳ３２０，Ｓ４０６）、通常状態に移行する（ステップＳ３２１，Ｓ４０７）。 The external tool 40 repeatedly executes the processes of steps S110 and S111 while the program data Pa is being rewritten. When the rewriting of the program data Pa is completed, the external tool 40 transmits a normal state transition request signal to each ECU 20, 30 via the gateway ECU 10 (step S112). When the gateway ECU 10 relays the normal state transition request signal (step S207), the gateway ECU 10 transitions to the normal state (step S208). When each of the ECUs 20 and 30 receives the normal state transition request signal (steps S320 and S406), the ECUs 20 and 30 transition to the normal state (steps S321 and S407).

次に、ゲートウェイＥＣＵ１０の動作について図５を参照して総括する。なお、ゲートウェイＥＣＵ１０は、非通常状態に移行した際に図５に示される動作を所定の周期で繰り返し実行する。 Next, the operation of the gateway ECU 10 will be summarized with reference to FIG. Note that the gateway ECU 10 repeatedly executes the operation shown in FIG. 5 at a predetermined cycle when the gateway ECU 10 shifts to the non-normal state.

図５に示されるように、ゲートウェイＥＣＵ１０は、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に外部ツール４０と書き換え対象ＥＣＵ２０との間で通信される特定の信号を中継したか否かを判断する（ステップＳ１）。本実施形態では、特定の信号としてセキュリティ解除信号が用いられている。ゲートウェイＥＣＵ１０は、セキュリティ解除信号を中継していない場合には（ステップＳ１：ＮＯ）、この処理を終了する。 As shown in FIG. 5, the gateway ECU 10 determines whether or not a specific signal communicated between the external tool 40 and the rewrite target ECU 20 is relayed when the program data Pa of the rewrite target ECU 20 is rewritten. (Step S1). In this embodiment, a security cancellation signal is used as the specific signal. Gateway ECU10 complete | finishes this process, when the security cancellation | release signal is not relayed (step S1: NO).

ゲートウェイＥＣＵ１０は、セキュリティ解除信号を中継した場合には（ステップＳ１：ＹＥＳ）、書き換え専用状態に移行する（ステップＳ２）。書き換え専用状態に移行したゲートウェイＥＣＵ１０は、通常状態移行要求信号を中継したか否かを判断する（ステップＳ３）。ゲートウェイＥＣＵ１０は、通常状態移行要求信号を中継していない場合には（ステップＳ３：ＮＯ）、信号の未受信時間が復帰設定時間以内であるか否かを判断する（ステップＳ４）。ゲートウェイＥＣＵ１０は、信号の未受信時間が復帰設定時間以内である場合には（ステップＳ４：ＹＥＳ）、ステップＳ３の判断処理に戻る。 When the gateway ECU 10 relays the security release signal (step S1: YES), the gateway ECU 10 shifts to a rewrite-only state (step S2). The gateway ECU 10 that has transitioned to the rewrite-only state determines whether or not the normal state transition request signal has been relayed (step S3). When the normal state transition request signal is not relayed (step S3: NO), the gateway ECU 10 determines whether or not the signal non-reception time is within the set recovery time (step S4). The gateway ECU 10 returns to the determination process in step S3 when the signal non-reception time is within the set recovery time (step S4: YES).

ゲートウェイＥＣＵ１０は、通常状態移行要求信号を中継した場合（ステップＳ３：ＹＥＳ）、あるいは信号の未受信時間が復帰設定時間を超えた場合には（ステップＳ４：ＮＯ）、通常状態に移行する（ステップＳ５）。 When the gateway ECU 10 relays the normal state transition request signal (step S3: YES), or when the signal non-reception time exceeds the return set time (step S4: NO), the gateway ECU 10 transitions to the normal state (step S4). S5).

以上説明した本実施形態の車載ネットワークシステム１によれば、以下の（１）及び（２）に示される作用及び効果を得ることができる。 According to the in-vehicle network system 1 of the present embodiment described above, the operations and effects shown in the following (1) and (2) can be obtained.

（１）書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に当該ＥＣＵ２０から外部ツール４０に送信されるセキュリティ解除信号をゲートウェイＥＣＵ１０が中継すると、ゲートウェイＥＣＵ１０が自動的に書き換え専用状態に移行する。すなわち、ゲートウェイＥＣＵ１０は、プログラムデータＰａの書き換えに関連する通信を優先させる状態に自動的に移行する。そのため、書き換え対象ＥＣＵ２０のプログラムデータの書き換え速度を向上させることができる。 (1) When the gateway ECU 10 relays a security release signal transmitted from the ECU 20 to the external tool 40 when the program data Pa of the rewrite target ECU 20 is rewritten, the gateway ECU 10 automatically shifts to a rewrite-only state. That is, the gateway ECU 10 automatically shifts to a state in which communication related to rewriting of the program data Pa is prioritized. Therefore, the rewriting speed of the program data of the rewriting target ECU 20 can be improved.

なお、本実施形態では、車両が使用されていない状態で工場やディーラにおいて書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えが行われることを前提としている。車両が使用されていない状態であるが故に、プログラムデータＰａの書き換えに関連する通信にゲートウェイＥＣＵ１０を専念させることが可能となる。 In the present embodiment, it is assumed that the program data Pa of the rewriting target ECU 20 is rewritten at a factory or dealer in a state where the vehicle is not used. Since the vehicle is not being used, the gateway ECU 10 can be dedicated to communication related to rewriting of the program data Pa.

（２）接続端子Ｔ２に不正な外部ツールが接続されたような場合、当該不正な外部ツールから書き換え対象ＥＣＵ２０に送信される信号に基づいてゲートウェイＥＣＵ１０が書き換え専用状態に移行するようなことがあると、意図せずにゲートウェイＥＣＵ１０の中継機能が無効化されるおそれがあるため、セキュリティの面で好ましくない。この点、本実施形態のように、ゲートウェイＥＣＵ１０が書き換え専用状態に移行する際のトリガとなる特定の信号として、セキュリティ解除信号を採用すれば、書き換え対象ＥＣＵ２０の認証結果に基づいてゲートウェイＥＣＵ１０を書き換え専用状態に移行させることができるため、セキュリティ性を向上させることができる。 (2) When an unauthorized external tool is connected to the connection terminal T2, the gateway ECU 10 may shift to a rewrite-only state based on a signal transmitted from the unauthorized external tool to the rewrite target ECU 20. Since the relay function of the gateway ECU 10 may be invalidated unintentionally, it is not preferable in terms of security. In this regard, as in this embodiment, if the security release signal is employed as a specific signal that triggers when the gateway ECU 10 shifts to the rewrite-only state, the gateway ECU 10 is rewritten based on the authentication result of the rewrite target ECU 20. Since it is possible to shift to a dedicated state, security can be improved.

なお、上記実施形態は、以下の形態にて実施することもできる。
・図６に示されるように、ゲートウェイＥＣＵ１０は、外部ツール４０から送信される書き換え許可状態移行要求信号の中継に基づいて（ステップＳ２１０）、書き換え専用状態に移行してもよい（ステップＳ２１１）。すなわち、図６に示されるステップＳ１の処理の特定の信号として書き換え許可状態移行要求信号を採用してもよい。このような構成であっても、上記の（１）に記載の作用及び効果を得ることができる。また、外部ツール４０は、セキュリティ解除信号に基づいて書き換え許可状態移行要求信号を送信する、換言すれば書き換え対象ＥＣＵ２０により外部ツール４０の認証が成立した場合に限って書き換え許可状態移行要求信号を送信する。したがって、上記（２）に記載の作用及び効果を得ることもできる。同様に、特定の信号として移行完了信号を採用した場合でも、上記の（１）及び（２）に記載の作用及び効果を得ることができる。 In addition, the said embodiment can also be implemented with the following forms.
As shown in FIG. 6, the gateway ECU 10 may shift to the rewrite-only state based on the relay of the rewrite permission state shift request signal transmitted from the external tool 40 (step S210). That is, the rewrite permission state transition request signal may be adopted as the specific signal in the process of step S1 shown in FIG. Even if it is such a structure, the effect | action and effect as described in said (1) can be acquired. The external tool 40 transmits a rewrite permission state transition request signal based on the security release signal. In other words, the external tool 40 transmits the rewrite permission state transition request signal only when the rewriting target ECU 20 authenticates the external tool 40. To do. Therefore, the operation and effect described in (2) above can also be obtained. Similarly, even when the transition completion signal is adopted as the specific signal, the operations and effects described in (1) and (2) above can be obtained.

・ゲートウェイＥＣＵ１０は、特定の信号として、非通常状態移行要求信号、ダイアグマスク要求信号、送信停止要求信号、シード要求信号、シード応答信号、暗号鍵応答信号等を採用してもよい。要は、ゲートウェイＥＣＵ１０は、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に外部ツール４０と書き換え対象ＥＣＵ２０との間で通信される特定の信号の中継に基づいて書き換え専用状態に移行するものであればよい。 The gateway ECU 10 may adopt an abnormal state transition request signal, a diagnosis mask request signal, a transmission stop request signal, a seed request signal, a seed response signal, an encryption key response signal, or the like as a specific signal. The point is that the gateway ECU 10 shifts to a rewrite-only state based on relay of a specific signal communicated between the external tool 40 and the rewrite target ECU 20 when rewriting the program data Pa of the rewrite target ECU 20. That's fine.

・図７に示されるように、ゲートウェイＥＣＵ１０は、図５に示されるステップＳ１の判断処理に代えて、予め定められた特定の複数の信号を中継したか否かを判断する処理を行ってもよい（ステップＳ６）。すなわち、ゲートウェイＥＣＵ１０は、予め定められた特定の複数の信号を中継することを条件に（ステップＳ６：ＹＥＳ）、書き換え専用状態に移行する（ステップＳ２）。特定の複数の信号としては、書き換え対象ＥＣＵ２０のプログラムデータＰａの書き換えの際に外部ツール４０と書き換え対象ＥＣＵ２０との間で通信される複数の信号が該当する。例えば、セキュリティ解除信号及び書き換え許可状態移行要求信号を採用することができる。このような構成によれば、不正な外部ツールを用いた不正操作をより回避し易くなるため、セキュリティ性を更に向上させることができる。 As shown in FIG. 7, the gateway ECU 10 may perform a process of determining whether or not a plurality of predetermined signals are relayed in place of the determination process of step S1 shown in FIG. Good (step S6). That is, the gateway ECU 10 shifts to a rewrite-only state (step S2) on condition that a plurality of predetermined signals are relayed (step S6: YES). The plurality of specific signals correspond to a plurality of signals communicated between the external tool 40 and the rewrite target ECU 20 when the program data Pa of the rewrite target ECU 20 is rewritten. For example, a security release signal and a rewrite permission state transition request signal can be employed. According to such a configuration, since it becomes easier to avoid an unauthorized operation using an unauthorized external tool, the security can be further improved.

・図８に示されるように、ゲートウェイＥＣＵ１０は、図７に示されるステップＳ６の判断処理に代えて、特定の複数の信号を予め定められた順序で中継したか否かを判断する処理を行ってもよい（ステップＳ７）。すなわち、ゲートウェイＥＣＵ１０は、特定の複数の信号を予め定められた順序で中継することを条件に（ステップＳ７：ＹＥＳ）、書き換え専用状態に移行する（ステップＳ２）。例えば、ゲートウェイＥＣＵ１０は、セキュリティ解除信号を中継した後に、書き換え許可状態移行要求信号を中継することに基づいてステップＳ７の判断処理を肯定判断する。このような構成によれば、不正な外部ツールを用いた不正操作をより的確に回避することができるため、セキュリティ性を一層向上させることができる。 As shown in FIG. 8, the gateway ECU 10 performs a process of determining whether or not a plurality of specific signals are relayed in a predetermined order instead of the determination process of step S6 shown in FIG. (Step S7). That is, the gateway ECU 10 shifts to a rewrite-only state on condition that a plurality of specific signals are relayed in a predetermined order (step S7: YES) (step S2). For example, after relaying the security release signal, the gateway ECU 10 affirms the determination process in step S7 based on relaying the rewrite permission state transition request signal. According to such a configuration, since an unauthorized operation using an unauthorized external tool can be more accurately avoided, security can be further improved.

・ゲートウェイＥＣＵ１０の書き換え専用状態は、プログラムデータの書き換えに関連する通信のみを中継するように通信の中継を制限する状態であってもよい。すなわち、ゲートウェイＥＣＵ１０は、書き換え専用状態に移行した際、書き換え対象ＥＣＵ２０へのプログラムデータＰａの書き換え要求信号の中継、及び各ＥＣＵ１０，２０，３０への通信継続信号の中継のみを行う状態になってもよい。 The rewrite-only state of the gateway ECU 10 may be a state in which relaying of communication is limited so as to relay only communication related to rewriting of program data. That is, when the gateway ECU 10 shifts to the rewrite-only state, the gateway ECU 10 is in a state of only relaying the rewrite request signal of the program data Pa to the rewrite target ECU 20 and relaying the communication continuation signal to each ECU 10, 20, 30. Also good.

・本発明は上記の具体例に限定されるものではない。すなわち、上記の具体例に、当業者が適宜設計変更を加えたものも、本発明の特徴を備えている限り、本発明の範囲に包含される。例えば、前述した各具体例が備える各要素及びその配置や条件等は、例示したものに限定されるわけではなく適宜変更することができる。また、前述した実施形態が備える各要素は、技術的に可能な限りにおいて組み合わせることができ、これらを組み合わせたものも本発明の特徴を含む限り本発明の範囲に包含される。 -This invention is not limited to said specific example. That is, the above-described specific examples that are appropriately modified by those skilled in the art are also included in the scope of the present invention as long as they have the characteristics of the present invention. For example, the elements included in each of the specific examples described above, their arrangement, conditions, and the like are not limited to those illustrated, and can be changed as appropriate. Moreover, each element with which embodiment mentioned above is provided can be combined as long as it is technically possible, and the combination of these is also included in the scope of the present invention as long as it includes the features of the present invention.

１：車載ネットワークシステム
１０：ゲートウェイＥＣＵ（ゲートウェイ制御装置）
２０，３０：ＥＣＵ（電子制御装置）
４０：外部ツール
ＮＷ１，ＮＷ２：ネットワーク 1: In-vehicle network system 10: Gateway ECU (gateway control device)
20, 30: ECU (electronic control unit)
40: External tool NW1, NW2: Network

Claims

In-vehicle network system (1) in which a network (NW1) to which the electronic control device (20, 30) is connected and a network (NW2) to which the external tool (40) is connected are connected via the gateway control device (10). ) And
The external tool rewrites the program data of the electronic control device based on communication with the electronic control device via the gateway control device,
The gateway control device is related to rewriting of the program data based on relay of a specific signal communicated between the external tool and the electronic control device when rewriting the program data of the electronic control device. Shift to a rewrite-only state that restricts relaying of communication so that communication is prioritized ,
The electronic control device
Prior to rewriting the program data, the external tool is authenticated based on communication with the external tool, the security is released on the condition that the authentication is established, and the security is released. It is possible to shift to a rewrite permission state in which rewriting of the program data is permitted,
When releasing the security based on communication with the external tool, a security release signal indicating that is transmitted to the external tool via the gateway control device,
The external tool is
When the security release signal transmitted from the electronic control device is received, a transition request signal for requesting transition to the rewrite permission state is transmitted to the electronic control device via the gateway control device,
The specific signal is:
An in-vehicle network system characterized by being the security release signal .

In-vehicle network system (1) in which a network (NW1) to which the electronic control device (20, 30) is connected and a network (NW2) to which the external tool (40) is connected are connected via the gateway control device (10). ) And
The external tool rewrites the program data of the electronic control device based on communication with the electronic control device via the gateway control device,
The gateway control device is related to rewriting of the program data based on relay of a specific signal communicated between the external tool and the electronic control device when rewriting the program data of the electronic control device. Shift to a rewrite-only state that restricts relaying of communication so that communication is prioritized,
The electronic control device
Prior to rewriting the program data, the external tool is authenticated based on communication with the external tool, the security is released on the condition that the authentication is established, and the security is released. It is possible to shift to a rewrite permission state in which rewriting of the program data is permitted,
When releasing the security based on communication with the external tool, a security release signal indicating that is transmitted to the external tool via the gateway control device,
The external tool is
When the security release signal transmitted from the electronic control device is received, a transition request signal for requesting transition to the rewrite permission state is transmitted to the electronic control device via the gateway control device,
The specific signal, the car mounting network systems that wherein a transition request signal.

The gateway control device shifts to the rewrite-only state based on relaying a plurality of predetermined specific signals communicated between the external tool and the electronic control device. Item 3. The in-vehicle network system according to Item 1 or 2 .

The in-vehicle network system according to claim 3 , wherein the gateway control device shifts to the rewrite-only state based on relaying the plurality of signals in a predetermined order.