JP2018173721A - 車載通信システム、車両制御装置、通信管理装置 - Google Patents

Abstract

【課題】車両制御装置の不正なリプログラミングを防止する。
【解決手段】車載通信システム１０１は、バス４Ａ、４Ｂのネットワークに接続されて車載機器４０を制御する複数のローカルＥＣＵ２（車両制御装置）と、外部との通信口であるＯＢＤIIポート５と、車両に対する不正行為を検出する不正行為検出センサ３とを有する。各ローカルＥＣＵ２には、リプロ受信部２３ａとリプロ制御部２１ａとが備わっている。リプロ受信部２３ａは、ＯＢＤIIポート５に接続されたリプロ装置５０からリプロ要求信号とリプロデータとを受信し、これらに基づいて、対象のローカルＥＣＵ２のソフトウェアプログラムを書き換えるリプログラミングが実行される。不正行為検出センサ３により不正行為が検出された場合は、リプロ制御部２１ａがリプログラミングの実行を禁止する。
【選択図】図３

Description

本発明は、車両のネットワークに接続された車両制御装置のソフトウェアプログラムを書き換えるリプログラミング機能を有した車載通信システムに関する。

たとえば自動四輪車や自動二輪車などの車両には、複数の車両制御装置が搭載されている。車両制御装置は、ＥＣＵ（Electronic Control Unit）から構成されている。各車両制御装置は、ＣＡＮ（Controller Area Network）やＬＩＮ（Local Interconnect Network）などの、車両に構築されたネットワークの所定のノードに接続されている。各車両制御装置は、制御対象の車載機器の制御などに必要な情報を、他の車両制御装置に対して送受信する。そして、車両制御装置同士は相互に通信することにより、協調動作する。

車両のネットワークには、車両制御装置間の通信を管理する通信管理装置が接続されている場合もある。通信管理装置も、各車両制御装置と通信を行う。

また、車両に複数のネットワークが構築されている場合、通信管理装置を複数のネットワークに接続して、異なるネットワークにそれぞれ接続された車両制御装置間の通信を、通信管理装置を経由させることにより実現することもある。具体的には、異なるネットワークにそれぞれ接続された車両制御装置間の通信時に、通信管理装置は、一方のネットワーク上の車両制御装置から受信した情報をフィルタリング処理して、該情報を他方のネットワーク上の車両制御装置に転送したり、または該情報を除外（非送信）したりする。また、一方のネットワークと他方のネットワークとで通信プロトコルが異なる場合は、これらのネットワークを跨る車両制御装置間の通信時に、情報の通信プロトコルが通信管理装置により変換処理される。

そのような通信管理装置によるフィルタリング処理および／または通信プロトコル変換処理は、まとめてゲートウェイ処理と呼ばれている。通信管理装置もＥＣＵから構成されている。通信管理装置は、ゲートウェイ装置やゲートウェイＥＣＵや通信管理ＥＣＵなどと呼ばれている。これに対して、車両制御装置は、ローカル装置やローカルＥＣＵなどと呼ばれている。

車両から車両制御装置を取り外すことなく、車両制御装置のソフトウェアプログラムを書き換えるリプログラミング機能を有した車載通信システムがある（以下では便宜上、「リプログラミング」を「リプロ」と略記することもある）。具体的には、車両のネットワーク、車両制御装置、または通信管理装置に、外部との通信口である通信ポートを設ける。そして、通信ポートにリプログラミング用の外部装置を接続して、該外部装置により車両制御装置へリプログラミングの要求信号やデータを送信し、車両制御装置のリプログラミングを実行する。

しかし、不正行為の意図を持った者（以下、「不正者」という。）が不正な装置を通信ポートに接続して、該不正な装置により車両制御装置へ不正なリプログラミングの要求信号やデータを送信し、車両制御装置を不正にリプログラミングするという問題がある。車両制御装置が不正にリプログラミングされると、車両制御装置や車両が誤動作して、盗難などの危険を招いてしまう。

それに対して、特許文献１では、車両制御装置が、書換指令を受信すると、該要求信号の配信元の書換実施局に対して、要求信号が正当であるか否かの問い合わせを行う。書換実施局は、当該問い合わせに応じて、自身の書換指令の配信履歴を検索し、その有無を車両制御装置に回答する。車両制御装置は、当該回答に基づいて、書換指令が正当であるか否かを判断し、正当でないと判断すると、書換指令に基づくリプログラミングの実行を禁止する。

また、特許文献２では、ＧＷ（ゲートウェイ）−ＥＣＵが、正規のＯＢＤII（On Board Diagnosis second generation）ポートを介してリプログラミングのデータを受信した場合は、該データを対象のＥＣＵに転送する。対して、不正な装置がＯＢＤIIポートを介さずに、車両のネットワークに不正なリプログラミングのデータを送出し、該データをネットワークを介してＧＷ−ＥＣＵが受信した場合は、ＧＷ−ＥＣＵが該データの受信を無効にするための強制コマンドを対象のＥＣＵに送信する。

また、特許文献３では、ＧＷ−ＥＣＵが、通信ポートを介してリプログラミングの要求信号を受信すると、該要求信号に含まれている識別コードと、予め登録された登録コードとを照合する。そして、両コードが一致すれば、当該要求信号を対象の車両制御装置に転送し、両コードが不一致であれば、所定の期間だけ要求信号の転送を禁止する。

特開２００８−２７６６６３号公報 特開２０１３−１４１９４７号公報 特開２０１３−１４１９４８号公報

従来、たとえば、不正者が不正な装置により、リプログラミングの要求信号の配信履歴が有ることなどを示す偽の情報を、車両制御装置に送信した場合には、車両制御装置の不正なリプログラミングを防ぐことができなかった。また、不正者が不正な装置をＯＢＤIIポートなどの正規の通信ポートに接続した場合にも、車両制御装置の不正なリプログラミングを防ぐことができなかった。さらに、正規のリプログラミングの要求信号に含まれている認証コードなどの認証情報が、不正者により盗み読まれて、該認証情報が不正な要求信号に含められた場合にも、車両制御装置の不正なリプログラミングを防ぐことができなかった。

本発明の課題は、車両制御装置の不正なリプログラミングを防止することである。

本発明による車載通信システムは、車両のネットワークに接続されて互いに通信を行い、制御対象の車載機器を制御する複数の車両制御装置と、外部との通信口である通信ポートと、通信ポートに接続された外部装置からリプログラミングの要求信号とデータとを受信するリプロ受信部とを備える。リプロ受信部により受信した要求信号とデータとに基づいて、複数の車両制御装置のうち対象の車両制御装置のソフトウェアプログラムを書き換えるリプログラミングが実行される。そして、車両に対する不正行為を検出する不正行為検出部と、不正行為検出部により不正行為が検出された場合に、リプログラミングの実行を禁止するリプロ制御部とがさらに設けられる。

また、本発明の車両制御装置は、車両のネットワークに複数接続されて互いに通信を行い、制御対象の車載機器を制御する車両制御装置であって、外部との通信口である通信ポートに接続された外部装置から、リプログラミングの要求信号とデータとを受信するリプロ受信部を備え、リプロ受信部により受信した要求信号とデータとに基づいて、自身のソフトウェアプログラムを書き換えるリプログラミングを実行する。そして、車両に設けられた不正行為検出部により車両に対する不正行為が検出された場合に、リプログラミングの実行を禁止するリプロ制御部がさらに設けられる。

また、本発明の通信管理装置は、車両のネットワークに接続されて、該ネットワークに複数接続された車両制御装置と通信を行い、いずれかの車両制御装置から受信した信号を他の車両制御装置へ転送し、車両制御装置間の通信を管理する通信管理装置であって、外部との通信口である通信ポートに接続された外部装置から、車両制御装置のソフトウェアプログラムを書き換えるリプログラミングを実行するための要求信号とデータとを受信するリプロ受信部を備え、リプロ受信部により受信した要求信号とデータとを車両制御装置へ転送する。そして、車両に設けられた不正行為検出部により車両に対する不正行為が検出された場合に、リプログラミングの実行を禁止するために、リプロ受信部により受信した要求信号とデータとを、車両制御装置へ転送せずに破棄する。

本発明によると、不正行為検出部により車両に対する不正行為が検出された場合に、車両制御装置のリプログラミングが実行されなくなる。このため、たとえば、不正者が車両に侵入しようとして、車両に対して不正行為を行ったときに、該不正行為が不正行為検出部により検出される。そして、不正者が不正な装置を通信ポートに接続して、該不正な装置により正規のリプログラミングの要求信号やデータを真似た不正なリプログラミングの要求信号やデータを送信しても、車両制御装置のリプログラミングが実行されないので、車両制御装置の不正なリプログラミングを防止することができる。

本発明では、上記車載通信システムにおいて、リプロ受信部により受信した要求信号に含まれる認証情報に基づいて認証を行うリプロ認証部をさらに備えていてもよい。リプロ認証部による認証が成功しなかった場合に、リプロ制御部は、リプログラミングの実行を禁止し、不正行為検出部により不正行為が検出されずに、リプロ認証部による認証が成功した場合に、リプロ制御部は、リプログラミングの実行を許可する。

また、本発明では、上記車載通信システムにおいて、通信ポートは、ネットワークまたは各車両制御装置に接続され、リプロ受信部、リプロ制御部、およびリプロ認証部は、各車両制御装置に設けられ、不正行為検出部は、複数の車両制御装置のうち特定の車両制御装置に接続されてもよい。また、特定の車両制御装置は、不正行為検出部により不正行為が検出されると、内部の記憶部に不正検出フラグをセットするとともに、不正行為が検出されたことを示す不正検出通知を、ネットワークを介して他の車両制御装置に送信し、他の車両制御装置は、不正検出通知を受信すると、内部の記憶部に不正検出フラグをセットしてもよい。そして、各車両制御装置は、リプロ受信部により要求信号を受信したときに、不正検出フラグがセットされていれば、またはリプロ認証部による認証が成功しなければ、リプロ制御部によりリプログラミングの実行を禁止し、不正検出フラグがセットされておらず、リプロ認証部による認証が成功すれば、リプロ制御部によりリプログラミングの実行を許可し、リプロ受信部により受信した要求信号とデータとに基づいて、リプログラミングを実行してもよい。

また、本発明では、上記車載通信システムにおいて、ネットワークに接続されて各車両制御装置と通信を行い、いずれかの車両制御装置から受信した信号を他の車両制御装置へ転送し、車両制御装置間の通信を管理する通信管理装置をさらに備え、通信ポートは、通信管理装置に接続され、リプロ受信部は、通信管理装置と各車両制御装置に設けられ、リプロ制御部とリプロ認証部とは、各車両制御装置に設けられ、不正行為検出部は、複数の車両制御装置のうち特定の車両制御装置に接続されてもよい。また、特定の車両制御装置は、不正行為検出部により不正行為が検出されると、不正行為が検出されたことを示す不正検出通知を、ネットワークを介して通信管理装置に送信し、通信管理装置は、不正検出通知を受信すると、内部の記憶部に不正検出フラグをセットしてもよい。そして、通信管理装置は、リプロ受信部により要求信号を受信したときに、不正検出フラグがセットされていれば、リプロ受信部により受信した要求信号とデータとを破棄し、不正検出フラグがセットされていなければ、リプロ受信部により受信した要求信号とデータとをネットワークを介して車両制御装置に転送してもよい。車両制御装置は、通信管理装置から要求信号をリプロ受信部により受信したときに、リプロ認証部による認証が成功しなければ、リプロ制御部によりリプログラミングの実行を禁止し、リプロ認証部による認証が成功すれば、リプロ制御部によりリプログラミングの実行を許可して、リプロ受信部により受信した要求信号とデータとに基づいて、リプログラミングを実行してもよい。

また、本発明では、上記車載通信システムにおいて、車両の電源は、車両に設けられた電源スイッチの操作または車両に登録された電子キーの信号に基づいてオフからオンに切り替わり、車両の電源のオン・オフ状態を検出する電源検出部をさらに備え、電源検出部により車両の電源のオフ状態が検出されているときは、リプロ受信部が無効化され、電源検出部により車両の電源のオン状態が検出されているときは、リプロ受信部が有効化されてもよい。

また、本発明では、上記車載通信システムにおいて、不正行為検出部は、車両の盗難のおそれがある車両に対する不正行為を検出してもよい。

さらに、本発明では、上記車載通信システムにおいて、セットされた不正検出フラグは、所定の解除条件の成立により自動的にクリアされてもよい。

本発明によれば、車両制御装置の不正なリプログラミングを防止することができる。

本発明の第１実施形態による車載通信システムの構成図である。 図１の車載通信システムのリプログラミング時の構成図である。 図１のローカルＥＣＵの構成図である。 図１の車載通信システムの不正行為検出時の動作を示したフローチャートである。 図１の車載通信システムのリプログラミング時の動作を示した図である。 本発明の第２実施形態による車載通信システムの構成図である。 図６の車載通信システムのリプログラミング時の構成図である。 図６のゲートウェイＥＣＵとローカルＥＣＵの構成図である。 図６の車載通信システムの不正行為検出時の動作を示したフローチャートである。 図６の車載通信システムのリプログラミング時の動作を示した図である。 本発明の第３実施形態による車載通信システムの構成図である。 図１１の車載通信システムのリプログラミング時の構成図である。 図１１のローカルＥＣＵの構成図である。

以下、本発明の実施形態につき、図面を参照しながら説明する。各図において、同一の部分または対応する部分には、同一符号を付してある。

まず、第１実施形態の車載通信システム１０１の構成を、図１および図２を参照しながら説明する。

図１は、車載通信システム１０１の構成図である。車載通信システム１０１は、たとえば自動四輪車から成る車両３１に搭載されている。車載通信システム１０１には、複数のローカルＥＣＵ２_（１）〜ＥＣＵ２_（７）、不正行為検出センサ３、およびＯＢＤII（On Board Diagnosis second generation）ポート５が備わっている。以下では、ローカルＥＣＵ２_（１）〜ＥＣＵ２_（７）を、まとめてローカルＥＣＵ２と表記する。

車両３１には、ＣＡＮ（controller area network）やＬＩＮ（Local Interconnect Network）などのバス型のネットワークが複数構築されている。各バス４Ａ、４Ｂのネットワークには、複数のローカルＥＣＵ２が接続されている。

たとえば、図１では、バス４Ａのネットワークに設けられた各所定の接続ノードには、ローカルＥＣＵ２_（１）〜ＥＣＵ２_（３）がそれぞれ接続されている。また、バス４Ｂのネットワークに設けられた各所定の接続ノードには、ローカルＥＣＵ２_（４）〜ＥＣＵ２_（７）がそれぞれ接続されている。

各ローカルＥＣＵ２は、車両３１の各部を制御する。詳しくは、ローカルＥＣＵ２_（２）〜ＥＣＵ２_（７）は、車両３１に搭載されたエアバック、エアコン、ブレーキ、変速機、エンジン、パワーステアリング装置などの制御対象の車載機器ごとに割り当てられており、該車載機器の動作を制御する。

ローカルＥＣＵ２_（１）は、たとえばＢＣＭ（Body Control Module）から成り、車両３１に搭載されたその他の車載機器の動作を制御する。また、ローカルＥＣＵ２_（１）は、たとえば、車両３１の電源状態、セキュリティ状態、およびドアの施解錠状態などを監視し、車両３１に登録された携帯機６０（図３）と無線で通信する。

ローカルＥＣＵ２_（１）には、不正行為検出センサ３が接続されている。不正行為検出センサ３は、たとえば、車両３１の傾斜を検知する傾斜センサから成り、車両３１の盗難のおそれがある車両３１に対する不正行為を検出する。

具体的には、たとえば、車両３１が停止状態（エンジンなどの走行駆動源も停止状態）にあるときに、不正者が車両３１に侵入しようとして、ドアロックを無理やり解除するなどの車両３１に対する不正行為を行うと、車両３１が揺れる。すると、不正行為検出センサ３が車両３１の傾斜を検知することにより、車両３１に対する不正行為を検出し、該検出結果を特定のローカルＥＣＵ２_（１）に出力する。

各ローカルＥＣＵ２は通信を行い、車載機器の動作の制御などに必要な情報を、他のローカルＥＣＵ２に対して送受信する。また、ローカルＥＣＵ２同士は相互に通信することにより、協調動作する。ローカルＥＣＵ２は、本発明の「車両制御装置」の一例である。また、ローカルＥＣＵ２_（１）は、本発明の「特定の車両制御装置」の一例である。不正行為検知センサ３は、本発明の「不正行為検出部」の一例である。

バス４Ａ、４Ｂには、ＯＢＤIIポート５が接続されている。ＯＢＤIIポート５は、外部との通信口である。ＯＢＤIIポート５には、図示しない故障診断装置や図２に示すリプロ装置５０などの外部装置が、コネクタやケーブルを介して接続される。ＯＢＤIIポート５に外部装置を接続することにより、外部装置とローカルＥＣＵ２とがバス４Ａ、４Ｂのネットワークを経由して通信可能となる。具体的には、たとえば、故障診断装置がバス４Ａ、４Ｂのネットワークを経由して、各ローカルＥＣＵ２と通信し、ローカルＥＣＵ２から車載機器の故障診断情報を取得することができる。ＯＢＤIIポート５は、本発明の「通信ポート」の一例である。

図２は、車載通信システム１０１のリプログラミング時の構成図である。図２に示すリプロ装置５０は、各ローカルＥＣＵ２のソフトウェアプログラムを書き換えるリプログラミングを実行するための正規の装置である。リプロ装置５０をＯＢＤIIポート５に接続することにより、リプロ装置５０とローカルＥＣＵ２とが、ＯＢＤIIポート５とバス４Ａ、４Ｂのネットワークを経由して通信可能となる。

リプロ装置５０は、リプログラミングの要求信号とデータを、ＯＢＤIIポート５から各バス４Ａ、４Ｂ上に送信する。以下、リプログラミングの要求信号をリプロ要求信号と表記し、リプログラミングのデータをリプロデータと表記する。

各ローカルＥＣＵ２は、接続されているバス４Ａ、４Ｂに送信されて来るリプロ要求信号とリプロデータとを受信する。そして、リプロ要求信号に含まれる情報に基づいて、自身がリプログラミングの対象であるか否かを判断する。自身がリプログラミングの対象であると判断したローカルＥＣＵ２は、受信したリプロ要求信号とリプロデータとに基づいて、リプログラミングを実行する。

図２では、代表的に、リプロ装置５０からローカルＥＣＵ２_（１）へのリプログラミング経路を矢印で示している。

次に、車載通信システム１０１のローカルＥＣＵ２の構成を、図３を参照しながら説明する。

図３は、車載通信システム１０１のローカルＥＣＵ２の構成図である。図３では、ローカルＥＣＵ２_（１）と、その他のローカルＥＣＵ２_（２）〜ＥＣＵ２_（７）の構成を分けて示している。

各ローカルＥＣＵ２には、制御部２１、記憶部２２、ネットワーク用通信部２３、および車載機器用インタフェイス２４が備わっている。これらの構成に加えて、ローカルＥＣＵ２_（１）には、携帯機用通信部２５が備わっている。

制御部２１は、ＣＰＵとメモリなどから構成されている。制御部２１は、制御対象の車載機器４０の動作を制御する。各ローカルＥＣＵ２が制御する車載機器４０は、１つの場合もあるし、複数の場合もある。

各ローカルＥＣＵ２の制御部２１には、リプロ制御部２１ａ、リプロ認証部２１ｂ、および電源検出部２１ｄが備わっている。これらの構成に加えて、ローカルＥＣＵ２_（１）には、電源認証部２１ｃとエントリ認証部２１ｅとが備わっている。

記憶部２２は、不揮発性のメモリから構成されている。記憶部２２には、各バス４Ａ、４Ｂのネットワークに関する情報や、記憶部２２を備えたローカルＥＣＵ２が動作するためのソフトウェアプログラムと情報などが、予め記憶されている。記憶部２２に記憶されたソフトウェアプログラムは、制御対象の車載機器４０の制御などに必要なものであって、リプロ装置５０により書き換えることが可能である。制御部２１は、記憶部２２に対して情報を読み出したり、情報を記憶させたりする。また、制御部２１は、記憶部２２に記憶されたソフトウェアプログラムを、リプロ装置５０から受信したリプロ要求信号とリプロデータに基づいて書き換えるリプログラミングを実行する。

記憶部２２の所定の記憶領域には、車両３１に対する不正行為があったことを記録するための不正検出フラグ２２ｆが設けられている。不正検出フラグ２２ｆは、制御部２１によりセットされたり、クリアされたりする。

ネットワーク用通信部２３は、バス４Ａまたはバス４Ｂのネットワークで通信するための回路から成る。各ローカルＥＣＵ２の制御部２１は、ネットワーク用通信部２３によりバス４Ａ、４Ｂのネットワークを介して、他のローカルＥＣＵ２に対して信号など（データと情報も含む）を送受信する。また、制御部２１は、ＯＢＤIIポート５に接続された外部装置と、ＯＢＤIIポート５とバス４Ａ、４Ｂのネットワークとを介して、ネットワーク用通信部２３により信号などを送受信する。

ネットワーク用通信部２３には、リプロ受信部２３ａが設けられている。制御部２１は、図２に示したようにＯＢＤIIポート５に接続されたリプロ装置５０から、ＯＢＤIIポート５とバス４Ａ、４Ｂのネットワークとを介して、リプロ受信部２３ａによりリプロ要求信号とリプロデータとを受信する。また、制御部２１は、ネットワーク用通信部２３によりバス４Ａ、４ＢのネットワークとＯＢＤIIポート５とを介して、リプロ装置５０に対し信号などを送信することも可能である。

車載機器用インタフェイス２４は、制御対象の車載機器４０と通信するための回路から成る。ローカルＥＣＵ２_（１）の車載機器用インタフェイス２４には、車載機器４０の他に、不正行為検出センサ３と電源スイッチ４１も接続されている。ローカルＥＣＵ２_（１）は、不正行為検出センサ３の検出結果と、電源スイッチ４１の操作に応じた出力信号を、車載機器用インタフェイス２４により受信する。不正行為検出センサ３と電源スイッチ４１も車載機器の１つである。

ローカルＥＣＵ２_（１）の携帯機用通信部２５は、車両３１に登録された携帯機６０と無線で通信するための回路から成る。携帯機６０は、本発明の「電子キー」の一例である。

各ローカルＥＣＵ２の制御部２１において、リプロ制御部２１ａは、記憶部２２に記憶されたソフトウェアプログラムのリプログラミングの実行を許可または禁止する。リプロ認証部２１ｂは、リプロ受信部２３ａにより受信したリプロ要求信号に含まれる認証情報に基づいて認証を行う。具体的には、リプロ認証部２１ｂは、リプロ要求信号に含まれる認証コードと、予め登録された登録コードとを照合し、両コードが一致すると、認証が成功したと判断する。また、リプロ認証部２１ｂは、認証コードと登録コードとが一致しなければ、認証が成功しなかったと判断する。

電源検出部２１ｄは、車両３１の図示しない電源ライン上にあるリレーの動作状態に基づいて、車両３１の電源のオン・オフ状態を検出する。具体的には、車両３１のＡＣＣ（アクセサリ）電源ライン上には、ＡＣＣ用リレーが設けられ、ＡＣＣ用リレーがオン・オフすることにより、ＡＣＣ電源ラインが接続・切断されて、ＡＣＣ電源がオン・オフする。また、車両３１のＩＧ（イグニッション）電源ライン上には、ＩＧ用リレーが設けられ、ＩＧ用リレーがオン・オフすることにより、ＩＧ電源ラインが接続・切断されて、ＩＧ電源がオン・オフする。電源検出部２１ｄは、ＡＣＣ用リレーやＩＧ用リレーのオン・オフ状態を監視して、車両３１のＡＣＣ電源やＩＧ電源のオン・オフ状態を検出する。ＡＣＣ用リレーやＩＧ用リレーのオン・オフの切り替えは、ローカルＥＣＵ２_（１）の制御部２１が制御する。

ローカルＥＣＵ２_（１）の制御部２１に設けられた電源認証部２１ｃは、車両３１のＡＣＣ電源やＩＧ電源をオンするための認証を行う。車両３１のＡＣＣ電源やＩＧ電源は、車両３１の車室内に設けられた電源スイッチ４１のオン操作や、車両３１に登録された携帯機６０からの電源オン信号に基づいて、オフからオンに切り替わる。

たとえば、携帯機６０が車両３１の車室内にある状態で、車室内に設けられた電源スイッチ４１がＡＣＣオン操作またはＩＧオン操作されたときに、ローカルＥＣＵ２_（１）の制御部２１が携帯機用通信部２５により携帯機６０と通信を行う。そして、携帯機用通信部２５により携帯機６０から受信した信号に含まれる認証情報に基づいて、電源認証部２１ｃが認証を行う。

このとき、電源認証部２１ｃは、携帯機６０から受信した信号に含まれる携帯機のＩＤ（認証情報）と、予め登録された登録ＩＤとを照合し、両ＩＤが一致すると、認証が成功したと判断する。この場合、ローカルＥＣＵ２_（１）の制御部２１が、前述したＡＣＣ用リレーやＩＧ用リレーをオフからオンに切り替えて、車両３１のＡＣＣ電源やＩＧ電源をオンする。また、電源認証部２１ｃは、携帯機のＩＤと登録ＩＤとが一致しなければ、認証が成功しなかったと判断する。この場合、前述したＡＣＣ用リレーやＩＧ用リレーはオフ状態のままとなり、車両３１のＡＣＣ電源やＩＧ電源もオフ状態のままとなる。

また、たとえば、携帯機６０が車両３１の車室外にある状態で、携帯機６０から送信された電源オン信号をローカルＥＣＵ２_（１）の携帯機用通信部２５により受信したときにも、電源認証部２１ｃは、該電源オン信号に含まれる携帯機６０のＩＤと登録ＩＤとに基づいて、上記のように認証を行う。そして、電源認証部２１ｃによる認証結果に基づいて、上記のようにローカルＥＣＵ２_（１）の制御部２１が、車両３１のＡＣＣ電源やＩＧ電源のオン・オフ状態を制御する。

ローカルＥＣＵ２_（１）の制御部２１に設けられたエントリ認証部２１ｅは、使用者が車両３１にエントリ（接近または接触など）したときに、携帯機６０の認証を行う。具体的には、たとえば、車両３１のドアが施錠された状態で、車両３１に設けられた図示しないパッシブリクエストスイッチが操作されたときに、ローカルＥＣＵ２_（１）の制御部２１が携帯機用通信部２５により携帯機６０と通信を行う。そして、携帯機用通信部２５により携帯機６０から受信した信号に含まれる認証情報に基づいて、エントリ認証部２１ｅが認証を行う。

このとき、エントリ認証部２１ｅは、携帯機６０から受信した信号に含まれる当該携帯機のＩＤと、予め登録された登録ＩＤとを照合し、両ＩＤが一致すると、認証が成功したと判断する。この場合、ローカルＥＣＵ２_（１）の制御部２１が、図示しないドアロック装置を制御して、車両３１のドアを解錠する。また、エントリ認証部２１ｅは、携帯機６０のＩＤと登録ＩＤとが一致しなければ、認証が成功しなかったと判断する。この場合、車両３１のドアは施錠されたままとなる。

また、たとえば、車両３１のドアが施錠された状態で、携帯機６０からのリクエスト信号を携帯機用通信部２５により受信したときにも、エントリ認証部２１ｅは、リクエスト信号に含まれる携帯機６０のＩＤと登録ＩＤとに基づいて、上記のように携帯機６０の認証を行う。そして、エントリ認証部２１ｅによる認証結果に基づいて、上記のようにローカルＥＣＵ２_（１）の制御部２１が、車両３１のドアの施解錠を制御する。

携帯機６０は、車両３１の正当な使用者が携帯するので、電源認証部２１ｃやエントリ認証部２１ｅによる認証が成功した場合は、正当な使用者が車両３１を使用しようとしていると判断できる。対して、電源認証部２１ｃやエントリ認証部２１ｅによる認証が成功しなかった場合は、携帯機６０を携帯していない不正者が車両３１を不正に使用しようとしていると判断できる。

次に、車載通信システム１０１の不正行為検出時の動作を、図４を参照しながら説明する。

図４は、車載通信システム１０１の不正行為検出時の動作を示したフローチャートである。各処理は、不正行為検出センサ３またはローカルＥＣＵ２が実行する。

まず、特定のローカルＥＣＵ２_（１）の制御部２１が、不正行為検出センサ３の出力を監視する（図４のステップＳ１）。たとえば、不正者が車両３１に侵入しようとして、車両３１に対して不正行為を行った場合、不正行為検出センサ３が車両３１に対する不正行為を検出し、該検出結果を示す信号をローカルＥＣＵ２_（１）に出力する。この出力信号を車載機器用インタフェイス２４により受信すると、特定のローカルＥＣＵ２_（１）の制御部２１は、不正行為検出センサ３により車両３１に対する不正行為が検出されたと判断する（図４のステップＳ２：ＹＥＳ）。

そして、特定のローカルＥＣＵ２_（１）において、制御部２１が、記憶部２２に不正検出フラグ２２ｆをセットする（図４のステップＳ３）。また、制御部２１は、不正行為が検出されたことを示す不正検出通知を、ネットワーク用通信部２３によりバス４Ａ、４Ｂのネットワークを介して、他のローカルＥＣＵ２に送信する（図４のステップＳ４）。

他のローカルＥＣＵ２では、バス４Ａ、４Ｂのネットワークを介して、ネットワーク用通信部２３により不正検出通知を受信すると（図４のステップＳ５）、制御部２１が、記憶部２２に不正検出フラグ２２ｆをセットする（図４のステップＳ６）。

一方、不正者による不正行為が車両３１に対して行わなければ、不正行為検出センサ３が、不正行為を検出せず、ローカルＥＣＵ２_（１）に対して不正行為を検出したことを示す信号を出力することはない。このため、当該出力信号を不正行為検出センサ３から受信しなければ、特定のローカルＥＣＵ２_（１）の制御部２１は、不正行為検出センサ３により車両３１に対する不正行為が検出されていないと判断する（図４のステップＳ２：ＮＯ）。

この場合、特定のローカルＥＣＵ２_（１）において、制御部２１が、所定の不正行為解除条件が成立したか否かを確認する（図４のステップＳ７）。

不正行為解除条件としては、たとえば、不正行為検出センサ３により不正行為を検出してから、一定時間が経過したこと、電源認証部２１ｃやエントリ認証部２１ｅによる認証が成功したこと、またはＯＢＤIIポート５に接続された外部装置から送信された所定の解除コマンドを受信したことなどが考えられる。これら以外の条件を、不正行為解除条件として設定してもよい。

不正行為解除条件が成立した場合（図４のステップＳ７：ＹＥＳ）、特定のローカルＥＣＵ２_（１）の制御部２１が、記憶部２２の不正検出フラグ２２ｆをクリアする（図４のステップＳ８）。また、当該制御部２１は、不正解除通知をネットワーク用通信部２３によりバス４Ａ、４Ｂのネットワークを介して、他のローカルＥＣＵ２に送信する（図４のステップＳ９）。

他のローカルＥＣＵ２では、バス４Ａ、４Ｂのネットワークを介して、ネットワーク用通信部２３により不正解除通知を受信すると（図４のステップＳ１０）、制御部２１が、記憶部２２の不正検出フラグ２２ｆをクリアする（図４のステップＳ１１）。

次に、車載通信システム１０１のリプログラミング時の動作を、図５を参照しながら説明する。

図５は、車載通信システム１０１のリプログラミング時の動作を示したフローチャートである。各処理は、ローカルＥＣＵ２が実行する。

たとえば、車両３１の保守員などの正当な使用者が、ＯＢＤIIポート５にリプロ装置５０を接続し、電源スイッチ４１または携帯機６０により車両３１の電源（ＡＣＣ電源またはＩＧ電源）をオンする。そして、正当な使用者が、リプロ装置５０により、対象のローカルＥＣＵ２をリプログラミングするためのリプロ要求信号またはリプロデータを送信する。

上記のような正規の作業が行われた場合は、各ローカルＥＣＵ２において、電源検出部２１ｄが車両３１の電源のオン状態を検出するので（図５のステップＳ２１：ＹＥＳ）、制御部２１が、リプロ受信部２３ａを有効化する（図５のステップＳ２２）。これにより、リプロ装置５０から送信されたリプロ要求信号とリプロデータが、ＯＢＤIIポート５とバス４Ａ、４Ｂのネットワークとを介して、リプロ受信部２３ａにより受信されて、以降の処理で有効に使用される。

一方、不正者が不正な装置をＯＢＤIIポート５に接続し、車両３１の電源がオフ状態のまま、不正者が不正な装置により不正なリプロ要求信号またはリプロデータを送信したとする。この場合、各ローカルＥＣＵ２において、電源検出部２１ｄが車両３１の電源のオフ状態を検出するので（図５のステップＳ２１：ＮＯ）、制御部２１が、リプロ受信部２３ａを無効化する（図５のステップＳ２３）。これにより、不正な装置から送信された不正なリプロ要求信号とリプロデータが、ＯＢＤIIポート５とバス４Ａ、４Ｂのネットワークとを介して各ローカルＥＣＵ２に送信されて来ても、リプロ受信部２３ａにより受信が拒否される。または、不正なリプロ要求信号とリプロデータとが一旦リプロ受信部２３ａにより受信された後、制御部２１が、これらを無効な信号およびデータとして破棄してもよい。

図５のステップＳ２２の後、リプロ受信部２３ａによりリプロ要求信号が受信されると（図５のステップＳ２４：ＹＥＳ）、各ローカルＥＣＵ２の制御部２１は、記憶部２２に不正検出フラグ２２ｆがセットされているか否かを確認する（図５のステップＳ２５）。

記憶部２２に不正検出フラグ２２ｆがセットされている場合は（図５のステップＳ２５：ＹＥＳ）、リプロ制御部２１ａが、リプログラミングの実行を禁止し（図５のステップＳ３０）、制御部２１が、リプロ受信部２３ａにより受信したリプロ要求信号とリプロデータとを破棄する（図５のステップＳ３１）。これにより、事前に不正行為検出センサ３により車両３１に対する不正行為が検出された場合には、ローカルＥＣＵ２においてリプログラミングが実行されることはない。

また、記憶部２２に不正検出フラグ２２ｆがセットされていない場合には（図５のステップＳ２５：ＮＯ）、制御部２１は、リプロ要求信号に基づいて、自身の属するローカルＥＣＵ２がリプログラミング対象であるか否かを判断する（図５のステップＳ２６）。

制御部２１は、リプログラミング対象でないと判断した場合（図５のステップＳ２６：ＮＯ）、リプロ受信部２３ａにより受信したリプロ要求信号とリプロデータとを破棄する（図５のステップＳ３１）。これにより、リプログラミング対象でないローカルＥＣＵ２において、リプログラミングが実行されることはない。

対して、制御部２１がリプログラミング対象であると判断した場合（図５のステップＳ２６：ＹＥＳ）、リプロ認証部２１ｂがリプロ要求信号に含まれる認証コードに基づいて認証を行う。

図５のステップＳ２４で受信したリプロ要求信号が、正規のリプロ装置５０から送信された正当な信号であれば、前述したようにリプロ認証部２１ｂによる認証が成功する（図５のステップＳ２７：ＹＥＳ）。この場合、リプロ制御部２１ａがリプログラミングの実行を許可し（図５のステップＳ２８）、制御部２１が、リプロ受信部２３ａにより受信したリプロ要求信号とリプロデータとに基づいて、リプログラミングを実行する（図５のステップＳ２９）。これにより、リプログラミング対象のローカルＥＣＵ２において、リプログラミングが正当に実行される。

対して、図５のステップＳ２４で受信したリプロ要求信号が、不正な装置から送信された不正な信号であれば、前述したようにリプロ認証部２１ｂによる認証が成功しない（図５のステップＳ２７：ＮＯ）。この場合、リプロ制御部２１ａが、リプログラミングの実行を禁止し（図５のステップＳ３０）、制御部２１が、リプロ受信部２３ａにより受信したリプロ要求信号とリプロデータとを破棄する（図５のステップＳ３１）。これにより、ローカルＥＣＵ２において、不正なリプロ要求信号などに基づいて、リプログラミングが実行されることはない。

上述した第１実施形態によると、不正行為検出センサ３により車両３１に対する不正行為が検出された場合には、ローカルＥＣＵ２のリプログラミングの実行が禁止される。このため、たとえば、不正者が車両３１に侵入しようとして、車両３１に対して不正行為を行ったときに、該不正行為が不正行為検出センサ３により検出される。そして、不正者が不正な装置をＯＢＤIIポート５に接続して、該不正な装置により正規のリプログラミングの要求信号やデータを真似た不正なリプログラミングの要求信号やデータを送信しても、ローカルＥＣＵ２のリプログラミングの実行が禁止されている。このため、ローカルＥＣＵ２において不正なリプログラミングが実行されることはなく、該不正なリプログラミングを防止することができる。

また、上述した第１実施形態では、リプロ受信部２３ａにより受信したリプロ要求信号に含まれる認証コードに基づいて、リプロ認証部２１ｂが認証を行う。そして、リプロ認証部２１ｂによる認証が成功しなかった場合に、リプロ制御部２１ａによりリプログラミングの実行を禁止する。また、リプロ認証部２１ｂによる認証が成功し、かつ不正行為検出センサ３により不正行為が検出されなかった場合には、リプロ制御部２１ａによりリプログラミングの実行が許可される。このため、正規のリプロ装置５０からＯＢＤIIポート５と４Ａ、４Ｂのネットワークを介して、正当なリプロ要求信号をローカルＥＣＵ２が受信した場合にのみ、対象のローカルＥＣＵ２のリプログラミングを正常に実行することができる。

また、上述した第１実施形態では、不正行為検出センサ３により不正行為が検出されると、特定のローカルＥＣＵ_（１）が、内部の記憶部２２に不正検出フラグ２２ｆをセットするとともに、バス４Ａ、４Ｂのネットワークを介して他のローカルＥＣＵ２_（２）〜２_（７）へ不正検出通知を送信する。他のローカルＥＣＵ２_（２）〜２_（７）は、不正検出通知を受信すると、内部の記憶部２２に不正検出フラグ２２ｆをセットする。このため、車両３１に対して不正行為が行われたことを、バス４Ａ、４Ｂのネットワーク上の全てのローカルＥＣＵ２が把握して、当該不正行為を記録することができる。

そして、各ローカルＥＣＵ２において、リプロ受信部２３ａによりリプロ要求信号を受信したときに、不正検出フラグ２２ｆがセットされていること、またはリプロ認証部２１ｂによる認証が成功しないことを確認して、リプログラミングの実行が禁止されるので、不正なリプログラミングを防止することができる。また、各ローカルＥＣＵ２において、不正検出フラグ２２ｆがセットされていないことと、リプロ認証部２１ｂによる認証が成功したこととを確認すると、リプログラミングの実行が許可される。そして、対象のローカルＥＣＵ２において、リプロ受信部２３ａにより受信したリプロ要求信号およびリプロデータに基づいて、リプログラミングが実行されるので、リプログラミングを正当に行うことができる。

また、上述した第１実施形態では、各ローカルＥＣＵ２において、電源スイッチ４１の操作または携帯機６０からの信号に基づいて、電源認証部２１ｃにより認証を行い、該認証が成功した場合にのみ、車両３１の電源がオンされる。そして、電源検出部２１ｄにより車両３１の電源のオン状態を検出しているときにのみ、リプロ受信部２３ａが有効化される。このため、車両３１の正当な使用者が、車両３１の電源を正当にオンさせた後、ＯＢＤIIポート５に接続したリプロ装置５０によりリプロ要求信号とリプロデータとを送信すると、ローカルＥＣＵ２において、リプロ受信部２３ａによりリプロ要求信号とリプロデータとが有効に受信される。そして、該リプロ要求信号とリプロデータとに基づいて、対象のローカルＥＣＵ２のリプログラミングを正当に実行することができる。また、不正者により正当に車両３１の電源がオンされる可能性は低いので、車両３１の電源がオフの状態で、不正者がＯＢＤIIポート５に接続した不正な装置により送信した不正なリプロ要求信号とリプロデータを、各ローカルＥＣＵ２で無効化し、ローカルＥＣＵ２の不正なリプログラミングを防止することができる。

また、上述した第１実施形態では、不正行為検出センサ３は、車両３１の盗難のおそれがある車両３１に対する不正行為を検出する。このため、各ローカルＥＣＵ２において、リプロ要求信号などを受信する前に、車両３１の盗難のおそれがある不正行為を不正行為検出センサ３により検出して、リプログラミングの実行を禁止し、不正なリプログラミングをより効果的に防止することができる。

さらに、上述した第１実施形態では、各ローカルＥＣＵ２において、セットされた不正検出フラグ２２ｆが、所定の解除条件の成立により自動的にクリアされる。このため、不正行為検出センサ３により不正行為が検出された後、車両３１の正当な使用者がリプロ装置５０により対象のローカルＥＣＵ２をリプログラミングする場合に、対象のローカルＥＣＵ２において、リプロ装置５０からの正当なリプロ要求信号とリプロデータを受信し、該リプロ要求信号とリプロデータとに基づいて、リプログラミングを正当に実行することができる。

なお、他の例として、たとえば保守員がリプロ装置５０を操作することにより、セットされた不正検出フラグ２２ｆを手動でクリアしてもよい。

次に、第２実施形態の車載通信システム１０２の構成を、図６および図７を参照しながら説明する。

図６は、車載通信システム１０２の構成図である。車載通信システム１０２は、たとえば自動四輪車から成る車両３２に搭載されている。車載通信システム１０２には、ゲートウェイＥＣＵ１、複数のローカルＥＣＵ２_（１）〜ＥＣＵ２_（７）、不正行為検出センサ３、およびＯＢＤIIポート５が備わっている。

各ローカルＥＣＵ２は、図６に示すように、車両３２に構築された複数のバス４Ａ、４Ｂのネットワークに接続されている。また、各ローカルＥＣＵ２は、第１実施形態と同様に、車載機器の動作を制御する。

バス４Ａ、４Ｂのネットワークには、単一で共通のゲートウェイＥＣＵ１が接続されている。ゲートウェイＥＣＵ１は、各バス４Ａ、４Ｂの所定の接続ノードに接続されている。ゲートウェイＥＣＵ１は、ローカルＥＣＵ２間の通信を管理する。ゲートウェイＥＣＵ１による通信の管理は、同一ネットワーク内に限らず、異なるネットワーク間でも行われる。

ゲートウェイＥＣＵ１は、バス４Ａ、４Ｂのネットワークを介して、各ローカルＥＣＵ２と通信を行い、各ローカルＥＣＵ２に対して情報を送受信する。同一ネットワークにそれぞれ接続されたローカルＥＣＵ２間の通信時に、いずれかのローカルＥＣＵ２から送信された情報が、直接他のローカルＥＣＵ２で受信される場合と、ゲートウェイＥＣＵ１を経由して、他のローカルＥＣＵ２で受信される場合とがある。異なるネットワークにそれぞれ接続されたローカルＥＣＵ２間の通信時には、いずれかのローカルＥＣＵ２から送信された情報が、ゲートウェイＥＣＵ１を経由して、他のローカルＥＣＵ２で受信される。つまり、ローカルＥＣＵ２間の通信は、直接またはゲートウェイＥＣＵ１を介して可能になっている。

ゲートウェイＥＣＵ１を介したローカルＥＣＵ２間の通信時に、ゲートウェイＥＣＵ１は、いずれかのローカルＥＣＵ２から受信した情報をフィルタリング処理して、該情報を他のローカルＥＣＵ２に対して転送したり、または該情報を除外（非送信および破棄）したりする。

同一のネットワークに接続された複数のローカルＥＣＵ２の通信プロトコルは同一であるが、異なるネットワークに接続された複数のローカルＥＣＵ２の通信プロトコルは、同一である場合と、異なっている場合とがある。異なるネットワークに接続された複数のローカルＥＣＵ２の通信プロトコルが異なっている場合は、該ローカルＥＣＵ２間の通信時に、ゲートウェイＥＣＵ１により通信プロトコルが変換処理される。

上記のようなゲートウェイＥＣＵ１によるフィルタリング処理および／または通信プロトコル変換処理は、まとめてゲートウェイ処理と呼ばれている。ゲートウェイＥＣＵ１は、本発明の「通信管理装置」の一例である。

不正行為検出センサ３は、第１実施形態と同様に、特定のローカルＥＣＵ２_（１）に接続されている。ＯＢＤIIポート５は、バス４Ａ、４Ｂのネットワークではなく、ゲートウェイＥＣＵ１に接続されている。

図７は、車載通信システム１０２のリプログラミング時の構成図である。リプロ装置５０をＯＢＤIIポート５に接続することにより、リプロ装置５０とゲートウェイＥＣＵ１とが、ＯＢＤIIポート５を経由して通信可能となる。また、リプロ装置５０とローカルＥＣＵ２とが、ＯＢＤIIポート５、ゲートウェイＥＣＵ１、およびバス４Ａ、４Ｂのネットワークを経由して通信可能となる。

リプロ装置５０は、リプロ要求信号とリプロデータを、ＯＢＤIIポート５を介してゲートウェイＥＣＵ１に送信する。ゲートウェイＥＣＵ１は、リプロ要求信号とリプロデータを受信すると、これらをバス４Ａ、４Ｂのネットワークを介して各ローカルＥＣＵ２に転送する。このとき、ゲートウェイＥＣＵ１において、リプロ要求信号とリプロデータとに対してゲートウェイ処理を行ってもよい。

各ローカルＥＣＵ２は、バス４Ａ、４Ｂのネットワークを介してリプロ要求信号とリプロデータとを受信する。そして、リプロ要求信号に含まれる情報に基づいて、自身がリプログラミングの対象であるか否かを判断する。自身がリプログラミングの対象であると判断したローカルＥＣＵ２は、受信したリプロ要求信号とリプロデータとに基づいて、リプログラミングを実行する。

図７では、代表的に、リプロ装置５０からローカルＥＣＵ２_（５）へのリプログラミング経路を矢印で示している。

次に、車載通信システム１０２のゲートウェイＥＣＵ１とローカルＥＣＵ２の構成を、図８を参照しながら説明する。

図８は、車載通信システム１０２のゲートウェイＥＣＵ１とローカルＥＣＵ２の構成図である。なお、図８では、ローカルＥＣＵ２_（２）〜２_（６）の図示を省略しているが、ローカルＥＣＵ２_（２）〜２_（６）の構成は、ローカルＥＣＵ２_（７）の構成と同様である。

ゲートウェイＥＣＵ１には、制御部１１、記憶部１２、ネットワーク用通信部１３、およびＯＢＤIIインタフェイス１４が備わっている。

制御部１１は、ＣＰＵとメモリなどから構成されている。制御部１１には、ゲートウェイ部１１ａと電源検出部１１ｄが備わっている。

記憶部１２は、不揮発性のメモリから構成されている。記憶部１２には、各バス４Ａ、４Ｂのネットワークに関する情報や、各バス４Ａ、４Ｂのネットワーク接続された各ローカルＥＣＵ２のＩＤ（識別情報）、およびゲートウェイＥＣＵ１のＩＤなどが、予め記憶されている。制御部１１は、記憶部１２に対して情報を読み出したり、情報を記憶させたりする。

記憶部１２の所定の記憶領域には、車両３２に対する不正行為があったことを記録するための不正検出フラグ１２ｆが設けられている。不正検出フラグ１２ｆは、制御部１１によりセットされたり、クリアされたりする。

ネットワーク用通信部１３は、バス４Ａまたはバス４Ｂのネットワークで通信するための回路から成る。制御部１１は、ネットワーク用通信部１３によりバス４Ａ、４Ｂのネットワークを介して、各ローカルＥＣＵ２に対して信号など（データと情報も含む）を送受信する。また、制御部１１は、ネットワーク用通信部１３によりバス４Ａ、４Ｂのネットワークを介して、いずれかのローカルＥＣＵ２から受信した信号などを、他のローカルＥＣＵ２へ転送する。

制御部１１のゲートウェイ部１１ａは、ゲートウェイＥＣＵ１を経由したローカルＥＣＵ２間の通信時に、ネットワーク用通信部１３によりいずれかのローカルＥＣＵ２から受信した信号などに対してゲートウェイ処理を行う。

詳しくは、ゲートウェイ部１１ａは、ネットワーク用通信部１３によりいずれかのローカルＥＣＵ２から受信した信号などをフィルタリング処理して、該信号などを他のローカルＥＣＵ２に送信するか否かを判断する。そして、ゲートウェイ部１１ａは、いずれかのローカルＥＣＵ２から受信した信号などを送信すると判断した場合、該信号などをネットワーク用通信部１３により他のローカルＥＣＵ２に送信する（転送処理）。また、ゲートウェイ部１１ａは、いずれかのローカルＥＣＵ２から受信した情報を送信しないと判断した場合、該情報を他のローカルＥＣＵ２に送信せずに、破棄する（除外処理）。

また、通信プロトコルが異なるローカルＥＣＵ２間の通信時に、ゲートウェイ部１１ａは、ネットワーク用通信部１３によりいずれかのローカルＥＣＵ２から受信した信号などの通信プロトコルを、他のローカルＥＣＵ２が受信可能な通信プロトコルに変換する（通信プロトコル変換処理）。

ＯＢＤIIインタフェイス１４は、ＯＢＤIIポート５を介して、外部装置と通信するための回路から成る。ＯＢＤIIインタフェイス１４には、リプロ受信部１４ａが設けられている。

制御部１１は、ＯＢＤIIポート５に接続されたリプロ装置５０から、ＯＢＤIIポート５を介して、リプロ受信部１４ａによりリプロ要求信号とリプロデータとを受信する。また、制御部１１は、ＯＢＤIIポート５に接続されたリプロ装置５０に対して、ＯＢＤIIポート５を介して、ＯＢＤIIインタフェイス１４により信号などを送信することも可能である。

さらに、制御部１１は、リプロ受信部１４ａにより受信したリプロ要求信号とリプロデータとを、ネットワーク用通信部１３によりバス４Ａ、４Ｂのネットワークを介して、ローカルＥＣＵ２へ転送する。この際、ゲートウェイ部１１ａが、リプロ受信部１４ａにより受信したリプロ要求信号とリプロデータとに対してゲートウェイ処理を行ってもよい。

制御部１１の電源検出部１１ｄは、車両３２の図示しない電源ライン上にあるリレーの動作状態に基づいて、車両３２の電源のオン・オフ状態を検出する。または、いずれかのローカルＥＣＵ２の電源検出部２１ｄの検出結果を、該ローカルＥＣＵ２からバス４Ａ、４Ｂのネットワークを介して、ネットワーク用通信部１３により受信することにより、電源検出部１１ｄが車両３２の電源のオン・オフ状態を検出してもよい。

図８のローカルＥＣＵ２の構成は、記憶部２２に不正検出フラグが設けられていないこと以外は、第１実施形態の構成（図３）と同様である。このため、たとえば、車両３２の電源は、電源スイッチ４１のオン操作または携帯機６０からの電源オン信号に応じて、ローカルＥＣＵ２_（１）の電源認証部２１ｃが携帯機６０のＩＤの認証に成功した場合に、オフからオンに切り替わる。

次に、車載通信システム１０２の不正行為検出時の動作を、図９を参照しながら説明する。

図９は、車載通信システム１０２の不正行為検出時の動作を示したフローチャートである。各処理は、不正行為検出センサ３、ゲートウェイＥＣＵ１、または特定のローカルＥＣＵ２_（１）が実行する。

まず、特定のローカルＥＣＵ２_（１）において、制御部２１が不正行為検出センサ３の出力を監視する（図９のステップＳ１）。不正行為検出センサ３は、車両３２に対する不正行為を検出すると、該検出結果を示す信号をローカルＥＣＵ２_（１）に出力する。当該出力信号がローカルＥＣＵ２_（１）の車載機器用インタフェイス２４により受信されると、制御部２１が、不正行為検出センサ３により車両３２に対する不正行為が検出されたと判断する（図９のステップＳ２：ＹＥＳ）。

そして、特定のローカルＥＣＵ２_（１）の制御部２１は、不正行為が検出されたことを示す不正検出通知を、ネットワーク用通信部２３によりバス４Ａ、４Ｂのネットワークを介して、ゲートウェイＥＣＵ１に送信する（図９のステップＳ４ａ）。

ゲートウェイＥＣＵ１では、バス４Ａ、４Ｂのネットワークを介して、ネットワーク用通信部１３により不正検出通知を受信すると（図９のステップＳ５ａ）、制御部１１が、記憶部１２に不正検出フラグ１２ｆをセットする（図９のステップＳ６ａ）。

一方、特定のローカルＥＣＵ２_（１）において、制御部２１が、不正行為検出センサ３により車両３１に対する不正行為が検出されていないと判断すると（図９のステップＳ２：ＮＯ）、次に制御部２１は、所定の不正行為解除条件が成立したか否かを確認する（図９のステップＳ７）。

そして、不正行為解除条件が成立した場合（図９のステップＳ７：ＹＥＳ）、特定のローカルＥＣＵ２_（１）の制御部２１は、ネットワーク用通信部２３によりバス４Ａ、４Ｂのネットワークを介して、不正解除通知をゲートウェイＥＣＵ１に送信する（図９のステップＳ９ａ）。

ゲートウェイＥＣＵ１では、バス４Ａ、４Ｂのネットワークを介して、ネットワーク用通信部１３により不正解除通知を受信すると（図９のステップＳ１０ａ）、制御部１１が、記憶部１２の不正検出フラグ１２ｆをクリアする（図９のステップＳ１１ａ）。

次に、車載通信システム１０２のリプログラミング時の動作を、図１０を参照しながら説明する。

図１０は、車載通信システム１０２のリプログラミング時の動作を示したフローチャートである。各処理は、ゲートウェイＥＣＵ１またはローカルＥＣＵ２が実行する。

ゲートウェイＥＣＵ１において、電源検出部１１ｄが車両３２の電源のオン状態を検出した場合は（図１０のステップＳ２１ａ：ＹＥＳ）、制御部１１が、リプロ受信部１４ａを有効化する（図１０のステップＳ２２ａ）。また、電源検出部１１ｄが車両３２の電源のオフ状態を検出した場合は（図１０のステップＳ２１ａ：ＮＯ）、制御部１１が、リプロ受信部１４ａを無効化する（図１０のステップＳ２３ａ）。

図１０のステップＳ２２ａの後、ゲートウェイＥＣＵ１において、リプロ受信部１４ａによりリプロ要求信号が受信されると（図１０のステップＳ２４ａ：ＹＥＳ）、制御部１１は、記憶部１２に不正検出フラグ１２ｆがセットされているか否かを確認する（図１０のステップＳ２５ａ）。

記憶部１２に不正検出フラグ１２ｆがセットされている場合には（図１０のステップＳ２５ａ：ＹＥＳ）、制御部１１が、リプロ受信部１４ａにより受信したリプロ要求信号とリプロデータとを、ローカルＥＣＵ２に転送せずに破棄する（図１０のステップＳ３２）。これにより、事前に不正行為検出センサ３により車両３２に対する不正行為が検出された場合には、ローカルＥＣＵ２においてリプログラミングが実行されることはない。

また、記憶部１２に不正検出フラグ１２ｆがセットされていない場合には（図１０のステップＳ２５ａ：ＮＯ）、制御部１１は、リプロ受信部１４ａにより受信したリプロ要求信号とリプロデータとを、ネットワーク用通信部１３によりバス４Ａ、４Ｂのネットワークを介して、各ローカルＥＣＵ２に転送する（図１０のステップＳ２５ｂ）。

各ローカルＥＣＵ２では、バス４Ａ、４Ｂのネットワークを介して、ネットワーク用通信部２３のリプロ受信部２３ａによりリプロ要求信号を受信する（図１０のステップＳ２５ｃ）。すると、制御部２１が、リプロ要求信号に基づいて、自身の属するローカルＥＣＵ２がリプログラミング対象であるか否かを判断する（図１０のステップＳ２６）。

制御部２１は、リプログラミング対象でないと判断した場合（図１０のステップＳ２６：ＮＯ）、リプロ受信部２３ａにより受信したリプロ要求信号とリプロデータとを破棄する（図１０のステップＳ３１）。また、制御部２１がリプログラミング対象であると判断した場合（図１０のステップＳ２６：ＹＥＳ）、リプロ認証部２１ｂがリプロ要求信号に含まれる認証コードに基づいて認証を行う。

リプロ認証部２１ｂによる認証が成功した場合（図１０のステップＳ２７：ＹＥＳ）、リプロ制御部２１ａがリプログラミングの実行を許可する（図１０のステップＳ２８）。そして、制御部２１が、リプロ受信部２３ａにより受信したリプロ要求信号とリプロデータとに基づいて、リプログラミングを実行する（図１０のステップＳ２９）。

対して、リプロ認証部２１ｂによる認証が成功しなかった場合（図１０のステップＳ２７：ＮＯ）。リプロ制御部２１ａが、リプログラミングの実行を禁止する（図１０のステップＳ３０）。そして、制御部２１が、リプロ受信部２３ａにより受信したリプロ要求信号とリプロデータとを破棄する（図１０のステップＳ３１）。これにより、ローカルＥＣＵ２において、不正なリプロ要求信号などに基づいて、リプログラミングが実行されることはない。

上述した第２実施形態によると、不正行為検出センサ３により車両３２に対する不正行為が検出された場合に、ゲートウェイＥＣＵ１がリプロ受信部１４ａにより受信したリプロ要求信号とリプロデータを破棄するので、ローカルＥＣＵ２のリプログラミングが実行されなくなる。このため、たとえば、不正者が車両３２に侵入しようとして、車両３２に対して不正行為を行ったときに、該不正行為が不正行為検出センサ３により検出される。そして、不正者が不正な装置をＯＢＤIIポート５に接続して、該不正な装置により不正なリプログラミングの要求信号やデータを送信しても、ローカルＥＣＵ２のリプログラミングが実行されないので、ローカルＥＣＵ２の不正なリプログラミングを防止することができる。

また、上述した第２実施形態では、不正行為検出センサ３により不正行為が検出されると、特定のローカルＥＣＵ_（１）が、バス４Ａ、４Ｂのネットワークを介してゲートウェイＥＣＵ１へ不正検出通知を送信する。ゲートウェイＥＣＵ１は、不正検出通知を受信すると、内部の記憶部１２に不正検出フラグ１２ｆをセットする。このため、車両３２に対して不正行為が行われたことを、ゲートウェイＥＣＵ１が把握して、当該不正行為を記録することができる。

また、ゲートウェイＥＣＵ１において、リプロ要求信号を受信したときに、不正検出フラグ１２ｆがセットされていれば、リプロ受信部１４ａにより受信したリプロ要求信号とリプロデータとを破棄するので、ローカルＥＣＵ２の不正なリプログラミングを防止することができる。対して、不正検出フラグ１２ｆがセットされていなければ、リプロ受信部１４ａにより受信したリプロ要求信号とリプロデータとを、バス４Ａ、４Ｂのネットワークを介してローカルＥＣＵ２に転送することができる。

そして、ローカルＥＣＵ２において、ゲートウェイＥＣＵ１からリプロ要求信号を受信したときに、リプロ認証部２１ｂによる認証が成功しなければ、リプロ制御部２１ａによりリプログラミングの実行を禁止するので、不正なリプロ要求信号に基づく、不正なリプログラミングを防止することができる。また、リプロ認証部２１ｂによる認証が成功すれば、リプロ制御部２１ａによりリプログラミングの実行が許可される。そして、対象のローカルＥＣＵ２において、ゲートウェイＥＣＵ１から転送されたリプロ要求信号およびリプロデータに基づいて、リプログラミングが実行されるので、リプログラミングを正当に行うことができる。

また、上述した第２実施形態では、ローカルＥＣＵ２_（１）の電源認証部２１ｃにより携帯機６０のＩＤの認証が成功した場合にのみ、車両３２の電源がオンされる。そして、ゲートウェイＥＣＵ１において、電源検出部１１ｄにより車両３２の電源のオン状態を検出しているときにのみ、リプロ受信部１４ａが有効化される。このため、たとえば、不正者により正当に車両３２の電源がオンされる可能性は低いので、車両３２の電源がオフの状態で、不正者がＯＢＤIIポート５に接続した不正な装置により送信した不正なリプロ要求信号とリプロデータを、ゲートウェイＥＣＵ１で無効化し、ローカルＥＣＵ２の不正なリプログラミングを防止することができる。

次に、第３実施形態の車載通信システム１０３の構成を、図１１および図１２を参照しながら説明する。

図１１は、車載通信システム１０３の構成図である。車載通信システム１０３は、たとえば自動二輪車から成る車両３３に搭載されている。車載通信システム１０３には、複数のローカルＥＣＵ２_（１１）〜ＥＣＵ２_（１５）、不正行為検出センサ３、および複数の外部通信ポート７が備わっている。以下では、ローカルＥＣＵ２_（１１）〜ＥＣＵ２_（１５）を、まとめてローカルＥＣＵ２と表記する。

各ローカルＥＣＵ２は、車両３３に構築されたバス４Ｃのネットワークに接続されている。詳しくは、バス４Ｃのネットワークに設けられた各所定の接続ノードに、ローカルＥＣＵ２がそれぞれ接続されている。

各ローカルＥＣＵ２は、車両３３の各部を制御する。詳しくは、ローカルＥＣＵ２_（１２）〜ＥＣＵ２_（１５）は、車両３３に搭載されたナビゲーション装置、ブレーキ、変速機、エンジンなどの制御対象の車載機器ごとに割り当てられており、該車載機器の動作を制御する。

ローカルＥＣＵ２_（１１）は、車両３３に搭載されたエントリシステムを構成する装置の動作を制御する。ローカルＥＣＵ２_（１１）は、たとえば、車両３３の電源状態やセキュリティ状態を監視し、車両３３に登録された携帯機６０（図１３）と無線で通信する。ローカルＥＣＵ２_（１１）には、不正行為検出センサ３が接続されている。

各ローカルＥＣＵ２には、外部通信ポート７がそれぞれ設けられている。外部通信ポート７は、外部との通信口であって、コネクタなどから構成されている。外部通信ポート７には、図示しない故障診断装置や図１２に示すリプロ装置５０などの外部装置が、コネクタやケーブルを介して接続される。外部通信ポート７に外部装置を接続することにより、外部装置とローカルＥＣＵ２とが外部通信ポート７を介して通信可能となる。

ローカルＥＣＵ２は、本発明の「車両制御装置」の一例である。また、ローカルＥＣＵ２_（１１）は、本発明の「特定の車両制御装置」の一例である。外部通信ポート７は、本発明の「通信ポート」の一例である。

図１２は、車載通信システム１０３のリプログラミング時の構成図である。いずれかの外部通信ポート７にリプロ装置５０を接続することにより、該外部通信ポート７が設けられたローカルＥＣＵ２とリプロ装置５０とが、電気的に接続された状態となり、外部通信ポート７を介して通信可能となる。

リプロ装置５０は、リプロ要求信号とリプロデータを、外部通信ポート７を介して、接続先のローカルＥＣＵ２へ送信する。リプロ装置５０からリプロ要求信号とリプロデータとを受信したローカルＥＣＵ２は、該リプロ要求信号とリプロデータとに基づいて、リプログラミングを実行する。

図１２では、リプロ装置５０から各ローカルＥＣＵ２に対するリプログラミング経路を、それぞれ矢印で示している。なお、図１２では、リプロ装置５０をローカルＥＣＵ２に対応させて複数台示しているが、リプロ装置５０の台数は、１台でもよいし２台以上でもよい。但し、リプロ装置５０を複数台設けた場合は、２つ以上のローカルＥＣＵ２のリプログラミングを同時に実行することができる。

次に、車載通信システム１０３のローカルＥＣＵ２の構成を、図１３を参照しながら説明する。

図１３は、車載通信システム１０３のローカルＥＣＵ２の構成図である。図１３では、ローカルＥＣＵ２_（１１）と、その他のローカルＥＣＵ２_（１２）〜ＥＣＵ２_（１５）の構成を分けて示している。

各ローカルＥＣＵ２には、制御部２１、記憶部２２、ネットワーク用通信部２３、車載機器用インタフェイス２４、および外部インタフェイス２７が備わっている。これらの構成に加えて、ローカルＥＣＵ２_（１１）には、携帯機用通信部２５が備わっている。

各ローカルＥＣＵ２の制御部２１には、リプロ制御部２１ａ、リプロ認証部２１ｂ、および電源検出部２１ｄが備わっている。これらの構成に加えて、ローカルＥＣＵ２_（１１）には、電源認証部２１ｃとエントリ認証部２１ｅとが備わっている。

記憶部２２には、バス４Ｃのネットワークに関する情報や、記憶部２２を備えたローカルＥＣＵ２が動作するためのソフトウェアプログラムと情報などが、予め記憶されている。記憶部２２に記憶されたソフトウェアプログラムは、制御対象の車載機器４０の制御などに必要なものであって、リプロ装置５０により書き換えることが可能である。記憶部２２の所定の記憶領域には、不正検出フラグ２２ｆが設けられている。

ネットワーク用通信部２３は、バス４Ｃのネットワークで通信するための回路から成る。各ローカルＥＣＵ２の制御部２１は、ネットワーク用通信部２３によりバス４Ｃのネットワークを介して、他のローカルＥＣＵ２に対して信号などを送受信する。

車載機器用インタフェイス２４は、制御対象の車載機器４０と通信するための回路から成る。ローカルＥＣＵ２_（１１）の車載機器用インタフェイス２４には、車載機器４０の他に、不正行為検出センサ３と電源スイッチ４１も接続されている。ローカルＥＣＵ２_（１１）は、不正行為検出センサ３の検出結果と、電源スイッチ４１の操作に応じた出力信号を、車載機器用インタフェイス２４により受信する。

外部インタフェイス２７は、リプロ装置５０などの外部装置と通信するための回路から成る。外部インタフェイス２７には、外部通信ポート７とリプロ受信部２７ａとが設けられている。制御部２１は、図１２に示したように外部通信ポート７に接続されたリプロ装置５０から、外部通信ポート７を介して、リプロ受信部２７ａによりリプロ要求信号とリプロデータとを受信する。また、制御部２１は、ネットワーク用通信部２３により外部通信ポート７を介して、リプロ装置５０に対し信号などを送信することも可能である。

ローカルＥＣＵ２_（１１）の携帯機用通信部２５は、車両３３に登録された携帯機６０と無線で通信するための回路から成る。

各ローカルＥＣＵ２の制御部２１において、リプロ制御部２１ａは、記憶部２２に記憶されたソフトウェアプログラムのリプログラミングの実行を許可または禁止する。リプロ認証部２１ｂは、リプロ受信部２７ａにより受信したリプロ要求信号に含まれる認証コードに基づいて認証を行う。電源検出部２１ｄは、車両３３の図示しない電源ライン上にあるリレーの動作状態に基づいて、車両３３の電源のオン・オフ状態を検出する。車両３３の電源のオン・オフの切り替えは、ローカルＥＣＵ２_（１１）の制御部２１が制御する。

ローカルＥＣＵ２_（１１）の制御部２１に設けられた電源認証部２１ｃは、車両３３の電源をオンするための認証を行う。電源スイッチ４１のオン操作または携帯機６０からの電源オン信号に応じて、電源認証部２１ｃが認証を行い、該認証が成功すると、車両３３の電源がオフからオンに切り替わる。

ローカルＥＣＵ２_（１１）の制御部２１に設けられたエントリ認証部２１ｅは、使用者が車両３３にエントリ（接近または接触）したときに、携帯機６０の認証を行う。具体的には、ローカルＥＣＵ２_（１１）の制御部２１が携帯機用通信部２５により携帯機６０と通信を行って、携帯機用通信部２５により携帯機６０から受信した信号に含まれる認証情報（ＩＤ）に基づいて、エントリ認証部２１ｅが認証を行う。エントリ認証部２１ｅによる認証が成功すると、たとえば車両３３の照明類が点灯したり、エンジンが始動したりする。

携帯機６０は、車両３３の正当な使用者が携帯するので、電源認証部２１ｃやエントリ認証部２１ｅによる認証が成功した場合は、正当な使用者が車両３３を使用しようとしていると判断できる。対して、電源認証部２１ｃやエントリ認証部２１ｅによる認証が成功しなかった場合は、携帯機６０を携帯していない不正者が車両３３を不正に使用しようとしていると判断できる。

次に、車載通信システム１０３の動作を説明する。

車載通信システム１０３の不正行為検出時の動作は、図４に示した第１実施形態の動作と同様である。

すなわち、不正行為検出センサ３により車両３３に対する不正行為が検出されると、特定のローカルＥＣＵ２_（１１）が、記憶部２２に不正検出フラグ２２ｆをセットし、不正検出通知をネットワーク用通信部２３により他のローカルＥＣＵ２に送信する。他のローカルＥＣＵ２は、ネットワーク用通信部２３により不正検出通知を受信すると、記憶部２２に不正検出フラグ２２ｆをセットする。

対して、不正行為検出センサ３により車両３３に対する不正行為が検出されなければ、特定のローカルＥＣＵ２_（１１）が、不正行為解除条件の成否を確認する。そして、不正行為解除条件が成立していれば、不正検出フラグ２２ｆをクリアし、不正解除通知をネットワーク用通信部２３により他のローカルＥＣＵ２に送信する。他のローカルＥＣＵ２は、ネットワーク用通信部２３により不正解除通知を受信すると、不正検出フラグ２２ｆをクリアする。

車載通信システム１０３のリプログラミング時の動作は、図５に示した第１実施形態の動作と同様である。

すなわち、各ローカルＥＣＵ２において、電源検出部２１ｄが車両３３の電源のオン状態を検出しているときは、リプロ受信部２７ａが有効化される。対して、電源検出部２１ｄが車両３３の電源のオフ状態を検出しているときは、リプロ受信部２７ａが無効化される。

有効化されているリプロ受信部２７ａによりリプロ要求信号が受信されたときに、記憶部２２に不正検出フラグ２２ｆがセットされていれば、リプロ制御部２１ａによりプログラミングの実行が禁止され、リプロ受信部２７ａにより受信したリプロ要求信号とリプロデータとが破棄される。対して、不正検出フラグ２２ｆがセットされていなければ、リプロ要求信号に基づいて、リプログラミング対象のローカルＥＣＵ２であるか否かが判断される。このとき、リプログラミング対象でないと判断したローカルＥＣＵ２においては、リプロ受信部２７ａにより受信されたリプロ要求信号とリプロデータとが破棄される。

対して、リプログラミング対象であると判断したローカルＥＣＵ２においては、リプロ要求信号に基づいてリプロ認証部２１ｂにより認証が行われる。このリプロ認証部２１ｂによる認証が成功すると、リプロ制御部２１ａによりリプログラミングの実行が許可される。このため、リプログラミング対象のローカルＥＣＵ２において、リプロ受信部２７ａにより受信されたリプロ要求信号とリプロデータとに基づいて、リプログラミングが実行される。

一方、リプログラミング対象のローカルＥＣＵ２において、リプロ認証部２１ｂによる認証が成功しなければ、リプロ制御部２１ａによりリプログラミングの実行が禁止される。そして、リプロ受信部２７ａにより受信されたリプロ要求信号とリプロデータとが破棄される。

上述した第３実施形態によると、不正者が車両３３に対して不正行為を行ったときに、該不正行為が不正行為検出センサ３により検出されて、ローカルＥＣＵ２のリプログラミングの実行が禁止される。このため、その後、不正者が不正な装置を外部通信ポート７に接続して、該不正な装置により不正なリプログラミングの要求信号やデータを送信しても、ローカルＥＣＵ２においてリプログラミングが実行されることはなく、該不正なリプログラミングを防止することができる。

また、上述した第３実施形態では、不正行為検出センサ３により不正行為が検出されると、特定のローカルＥＣＵ_（１１）が、記憶部２２に不正検出フラグ２２ｆをセットするとともに、バス４Ｃのネットワークを介して他のローカルＥＣＵ２_（１２）〜２_（１５）へ不正検出通知を送信する。他のローカルＥＣＵ２_（１２）〜２_（１５）は、不正検出通知を受信すると、記憶部２２に不正検出フラグ２２ｆをセットする。このため、車両３３に対して不正行為が行われたことを、バス４Ｃのネットワーク上の全てのローカルＥＣＵ２が把握して、当該不正行為を記録することができる。

そして、各ローカルＥＣＵ２において、リプロ受信部２７ａによりリプロ要求信号を受信したときに、不正検出フラグ２２ｆがセットされていれば、またはリプロ認証部２１ｂによる認証が成功しなければ、リプログラミングの実行が禁止され、不正なリプログラミングを防止することができる。また、不正検出フラグ２２ｆがセットされておらず、リプロ認証部２１ｂによる認証が成功した場合には、リプログラミングの実行が許可され、対象のローカルＥＣＵ２において、リプロ受信部２７ａにより受信したリプロ要求信号およびリプロデータに基づいて、リプログラミングを正当に実行することができる。

本発明は、上述した以外にも種々の実施形態を採用することができる。たとえば、以上の実施形態では、傾斜センサから成る不正行為検出センサ３を、不正行為検出部として用いた例を示したが、本発明はこれのみに限定されるものではない。これ以外に、たとえば、車両のドアやハンドルのロックが無理やり解除されたことを検出可能なドアロック装置やハンドルロック装置や警報装置や他のセンサなどを、不正行為検出部として用いてもよい。また、たとえば、携帯機６０を認証できない不正なエントリを検出可能な通信回路などを、不正行為検出部として用いてもよい。つまり、不正行為検出部は、車両に対する不正者の不正行為を検出可能な装置、回路、センサなどであればよい。

また、以上の実施形態では、不正検出センサ３を特定のローカルＥＣＵ２に接続した例を示したが、本発明はこれのみに限定されるものではない。不正検出センサ３のような不正検出部は、複数のローカルＥＣＵ２に接続してもよいし、ゲートウェイＥＣＵ１に接続してもよいし、ネットワーク上の既存のドメインに接続してもよい。

また、以上の実施形態では、リプロ制御部２１ａやリプロ認証部２１ｂをローカルＥＣＵ２に設けた例を示したが、本発明はこれのみに限定されるものではない。リプロ制御部やリプロ認証部は、ゲートウェイＥＣＵ１に設けてもよい。この場合、ゲートウェイＥＣＵ１から各ローカルＥＣＵ２に、リプロ制御部の制御データ（リプログラミングの禁止や許可の指令）やリプロ認証部の認証結果を送信すればよい。

また、図５や図１０に示した実施形態では、不正検出フラグの有無を確認してから、リプログラミング対象の判断を行い、この後リプロ要求信号に基づく認証を行った例を示したが、本発明はこれのみに限定されるものではない。不正検出フラグ有無の確認、リプログラミング対象の判断、およびリプロ要求信号に基づく認証の各処理の実行順は、適宜設定すればよい。

また、第１実施形態では、リプロ装置５０が、バス４Ａ、４Ｂのネットワークに接続された全ローカルＥＣＵ２が受信可能なように、リプロ要求信号とリプロデータとを送信した例を示した。また、第２実施形態では、ゲートウェイＥＣＵ１が、バス４Ａ、４Ｂのネットワークに接続された全ローカルＥＣＵ２が受信可能なように、リプロ要求信号とリプロデータとを転送した例を示した。然るに、本発明はこれらのみに限定されるものではない。たとえば、送信元のリプロ装置やゲートウェイＥＣＵが送信するリプロ要求信号やリプロデータに、送信先（宛先）のローカルＥＣＵまたはネットワークを示すデータ（ＩＤやポートやバスなどの識別情報）を含めてもよい。そして、リプロ要求信号やリプロデータを受信したローカルＥＣＵが、それらに含まれる送信先のデータに基づいて、自身宛のリプロ要求信号やリプロデータであるか否かを判断してもよい。また、リプロ要求信号やリプロデータを受信したゲートウェイＥＣＵが、リプロ要求信号やリプロデータに送信先のデータに基づいて、送信先のローカルＥＣＵまたはネットワークだけに情報を転送してもよい。

また、以上の実施形態では、車両制御装置としてローカルＥＣＵ２を用い、通信管理装置としてゲートウェイＥＣＵ１を用いた例を示したが、本発明はこれのみに限定されるものではない。その他の通信可能な装置を通信管理装置や車両制御装置として用いてもよい。

さらに、以上の実施形態では、自動四輪車または自動二輪車から成る車両３１〜３３に搭載される車載通信システム１０１〜１０３に、本発明を適用した例を挙げた。然るに、たとえば大型自動車などの他の車両に搭載される車載通信システムに対しても、本発明は適用が可能である。

１ ゲートウェイＥＣＵ（通信管理装置）
２、２_（１）〜２_（７）、２_（１１）〜２_（１５） ローカルＥＣＵ（車両制御装置）
３ 不正行為検出センサ（不正行為検出部）
５ ＯＢＤIIポート（通信ポート）
７ 外部通信ポート（通信ポート）
１１ｄ、２１ｄ 電源検出部
１２、２２ 記憶部
１２ｆ、２２ｆ 不正検出フラグ
１４ａ、２３ａ、２７ａ リプロ受信部
２１ａ リプロ制御部
２１ｂ リプロ認証部
３１、３２、３３ 車両
４０ 車載機器
４１ 電源スイッチ
５０ リプロ装置（外部装置）
６０ 携帯機（電子キー）
１０１、１０２、１０３ 車載通信システム

Claims (10)

1. 車両のネットワークに接続されて互いに通信を行い、制御対象の車載機器を制御する複数の車両制御装置と、
   外部との通信口である通信ポートと、
   前記通信ポートに接続された外部装置からリプログラミングの要求信号とデータとを受信するリプロ受信部と、を備え、
   前記リプロ受信部により受信した前記要求信号と前記データとに基づいて、前記複数の車両制御装置のうち対象の車両制御装置のソフトウェアプログラムを書き換えるリプログラミングが実行される車載通信システムにおいて、
   前記車両に対する不正行為を検出する不正行為検出部と、
   前記不正行為検出部により前記不正行為が検出された場合に、前記リプログラミングの実行を禁止するリプロ制御部と、をさらに備えた、ことを特徴とする車載通信システム。
2. 請求項１に記載の車載通信システムにおいて、
   前記リプロ受信部により受信した前記要求信号に含まれる認証情報に基づいて認証を行うリプロ認証部をさらに備え、
   前記リプロ認証部による認証が成功しなかった場合に、前記リプロ制御部は、前記リプログラミングの実行を禁止し、
   前記不正行為検出部により前記不正行為が検出されずに、前記リプロ認証部による認証が成功した場合に、前記リプロ制御部は、前記リプログラミングの実行を許可する、ことを特徴とする車載通信システム。
3. 請求項２に記載の車載通信システムにおいて、
   前記通信ポートは、前記ネットワークまたは前記各車両制御装置に接続され、
   前記リプロ受信部、前記リプロ制御部、および前記リプロ認証部は、前記各車両制御装置に設けられ、
   前記不正行為検出部は、前記複数の車両制御装置のうち特定の車両制御装置に接続され、
   前記特定の車両制御装置は、前記不正行為検出部により前記不正行為が検出されると、内部の記憶部に不正検出フラグをセットするとともに、前記不正行為が検出されたことを示す不正検出通知を、前記ネットワークを介して他の前記車両制御装置に送信し、
   前記他の車両制御装置は、前記不正検出通知を受信すると、内部の記憶部に不正検出フラグをセットし、
   前記各車両制御装置は、
   前記リプロ受信部により前記要求信号を受信したときに、
   前記不正検出フラグがセットされていれば、または前記リプロ認証部による認証が成功しなければ、前記リプロ制御部により前記リプログラミングの実行を禁止し、
   前記不正検出フラグがセットされておらず、前記リプロ認証部による認証が成功すれば、前記リプロ制御部により前記リプログラミングの実行を許可し、前記リプロ受信部により受信した前記要求信号と前記データとに基づいて、前記リプログラミングを実行する、ことを特徴とする車載通信システム。
4. 請求項２に記載の車載通信システムにおいて、
   前記ネットワークに接続されて前記各車両制御装置と通信を行い、いずれかの前記車両制御装置から受信した信号を他の前記車両制御装置へ転送し、前記車両制御装置間の通信を管理する通信管理装置をさらに備え、
   前記通信ポートは、前記通信管理装置に接続され、
   前記リプロ受信部は、前記通信管理装置と前記各車両制御装置に設けられ、
   前記リプロ制御部と前記リプロ認証部とは、前記各車両制御装置に設けられ、
   前記不正行為検出部は、前記複数の車両制御装置のうち特定の車両制御装置に接続され、
   前記特定の車両制御装置は、前記不正行為検出部により前記不正行為が検出されると、前記不正行為が検出されたことを示す不正検出通知を、前記ネットワークを介して前記通信管理装置に送信し、
   前記通信管理装置は、
   前記不正検出通知を受信すると、内部の記憶部に不正検出フラグをセットし、
   前記リプロ受信部により前記要求信号を受信したときに、
   前記不正検出フラグがセットされていれば、前記リプロ受信部により受信した前記要求信号と前記データとを破棄し、
   前記不正検出フラグがセットされていなければ、前記リプロ受信部により受信した前記要求信号と前記データとを前記ネットワークを介して前記車両制御装置に転送し、
   前記車両制御装置は、
   前記通信管理装置から前記要求信号を前記リプロ受信部により受信したときに、
   前記リプロ認証部による認証が成功しなければ、前記リプロ制御部により前記リプログラミングの実行を禁止し、
   前記リプロ認証部による認証が成功すれば、前記リプロ制御部により前記リプログラミングの実行を許可して、前記リプロ受信部により受信した前記要求信号と前記データとに基づいて、前記リプログラミングを実行する、ことを特徴とする車載通信システム。
5. 請求項１ないし請求項４のいずれかに記載の車載通信システムにおいて、
   前記車両の電源は、前記車両に設けられた電源スイッチの操作または前記車両に登録された電子キーの信号に基づいてオフからオンに切り替わり、
   前記車両の電源のオン・オフ状態を検出する電源検出部をさらに備え、
   前記電源検出部により前記車両の電源のオフ状態が検出されているときは、前記リプロ受信部が無効化され、
   前記電源検出部により前記車両の電源のオン状態が検出されているときは、前記リプロ受信部が有効化される、ことを特徴とする車載通信システム。
6. 請求項１ないし請求項５のいずれかに記載の車載通信システムにおいて、
   前記不正行為検出部は、前記車両の盗難のおそれがある前記車両に対する不正行為を検出する、ことを特徴とする車載通信システム。
7. 請求項１ないし請求項６のいずれかに記載の車載通信システムにおいて、
   前記セットされた不正検出フラグは、所定の解除条件の成立により自動的にクリアされる、ことを特徴とする車載通信システム。
8. 車両のネットワークに複数接続されて互いに通信を行い、制御対象の車載機器を制御する車両制御装置であって、
   外部との通信口である通信ポートに接続された外部装置から、リプログラミングの要求信号とデータとを受信するリプロ受信部を備え、
   前記リプロ受信部により受信した前記要求信号と前記データとに基づいて、自身のソフトウェアプログラムを書き換えるリプログラミングを実行する車両制御装置において、
   前記車両に設けられた不正行為検出部により前記車両に対する不正行為が検出された場合に、前記リプログラミングの実行を禁止するリプロ制御部をさらに備えた、ことを特徴とする車両制御装置。
9. 請求項８に記載の車両制御装置において、
   前記リプロ受信部により受信した前記要求信号に含まれる認証情報に基づいて認証を行うリプロ認証部をさらに備え、
   前記不正行為検出部は、複数の車両制御装置のうち特定の車両制御装置に接続され、
   前記特定の車両制御装置は、前記不正行為検出部により前記不正行為が検出されると、内部の記憶部に不正検出フラグをセットするとともに、前記不正行為が検出されたことを示す不正検出通知を、前記ネットワークを介して他の車両制御装置に送信し、
   前記他の車両制御装置は、前記不正検出通知を受信すると、内部の記憶部に不正検出フラグをセットし、
   前記各車両制御装置は、
   前記リプロ受信部により前記要求信号を受信したときに、
   前記不正検出フラグがセットされていれば、または前記リプロ認証部による認証が成功しなければ、前記リプロ制御部により前記リプログラミングの実行を禁止し、
   前記不正検出フラグがセットされておらず、前記リプロ認証部による認証が成功すれば、前記リプロ制御部により前記リプログラミングの実行を許可して、前記リプロ受信部により受信した前記要求信号と前記データとに基づいて、前記リプログラミングを実行する、ことを特徴とする車両制御装置。
10. 車両のネットワークに接続されて、該ネットワークに複数接続された車両制御装置と通信を行い、いずれかの前記車両制御装置から受信した信号を他の前記車両制御装置へ転送し、前記車両制御装置間の通信を管理する通信管理装置であって、
    外部との通信口である通信ポートに接続された外部装置から、前記車両制御装置のソフトウェアプログラムを書き換えるリプログラミングを実行するための要求信号とデータとを受信するリプロ受信部を備え、
    前記リプロ受信部により受信した前記要求信号と前記データとを前記車両制御装置へ転送する通信管理装置において、
    前記車両に設けられた不正行為検出部により前記車両に対する不正行為が検出された場合に、前記リプログラミングの実行を禁止するために、前記リプロ受信部により受信した前記要求信号と前記データとを、前記車両制御装置へ転送せずに破棄する、ことを特徴とする通信管理装置。

Images