JP2019125837A - ネットワークシステム - Google Patents

Abstract

【課題】データの認証に失敗した際にも別の手法でデータの認証を実行可能なネットワークシステムを提供する。【解決手段】ネットワークシステム１において、依頼元装置２Ｂは外部通信路からＣＧＷ（Ｃｅｎｔｒａｌ Ｇａｔｅｗａｙ）および第一ネットワーク１Ａ経由で受信した第一データに対する認証処理を実行し、データの正当性を確認する。認証に失敗した場合には、外部とは隔離された第二ネットワーク１Ｂ経由で依頼先装置２Ｃに第一データに依頼先装置のＩＤを付加した第二データを送信し認証処理の代行を依頼する。依頼先装置２Ｃは、第二データに含まれる第一データに対する認証処理を実行し、認証に成功した場合には、認証に成功した第一データの内容を含む第三データを第二ネットワーク１Ｂ経由で依頼元装置２Ｂに対して送信する。【選択図】図１

Description

本開示は、ネットワークシステムに関する。

セキュリティ処理ＣＰＵが故障した場合でも、セキュリティ処理ＣＰＵに代わって、汎用処理ＣＰＵが、データの暗号化、復号、認証等を実行するように構成された情報処理装置が提案されている（例えば、特許文献１参照。）。

特開２０１５−１１９３５７号公報

しかし、上記特許文献１に記載の情報処理装置では、暗号ハードウェアにおいてセキュリティ処理ＣＰＵ以外の箇所が故障した場合には、データの認証等を実行できなくなるおそれがある。一例を挙げれば、例えば上記特許文献１に記載の情報処理装置において、セキュア記憶装置が故障した場合には、汎用処理ＣＰＵからセキュア記憶装置へのアクセスでエラーが発生し、汎用処理ＣＰＵではデータの認証等を実行できなくなるおそれがある。

本開示の一局面においては、データの認証に失敗した際に上記従来技術とは別の手法でデータの認証を実行可能なネットワークシステムを提供することが望ましい。

本開示の一態様は、ネットワークシステムである。当該ネットワークシステムは、第一ネットワーク（１Ａ）のノードとして機能し、かつ、第一ネットワークとは独立に構築される第二ネットワーク（１Ｂ）のノードとしても機能するように構成された複数の電子装置（２Ａ，２Ｂ，２Ｃ，２Ｄ）を含む。複数の電子装置は、第一ネットワーク及び第二ネットワークの外部にある外部機器とは、第一ネットワーク経由で通信可能に構成される。

複数の電子装置のうちの少なくとも一つの電子装置は、依頼元装置（２Ｂ）として機能可能に構成される。また、複数の電子装置のうちの少なくとも一つの電子装置は、依頼先装置（２Ａ，２Ｃ）として機能可能に構成される。複数の電子装置のうちの一つの電子装置が依頼元装置として機能する際に、依頼元装置とは別の少なくとも一つの電子装置が依頼先装置として機能可能に構成される。

依頼元装置は、第一ネットワーク経由で依頼元装置宛てに伝送されるデータを第一データとして、第一データを受信した場合に、第一データに対する認証処理を実行する（Ｓ１２０，Ｓ２１０−Ｓ２５０）。依頼元装置は、認証に成功した場合には、当該認証成功以降の処理において第一データを利用する（Ｓ１４０）。依頼元装置は、認証に失敗した場合には、第二ネットワーク経由で依頼元装置から依頼先装置宛てに伝送されるデータを第二データとして、第二データを依頼先装置へと送信する（Ｓ１５０，Ｓ１６０，Ｓ１６２）。

依頼先装置は、第二データの受信後は、第一ネットワーク経由で依頼元装置宛てに第一データが伝送されるたびに（Ｓ５１４，Ｓ５１６，Ｓ５２０）、第一データを受信して第一データに対する認証処理を実行する（Ｓ５４０）。依頼先装置は、認証に成功した場合には、認証に成功した第一データの内容を含む第三データを第二ネットワーク経由で依頼元装置に対して送信する（Ｓ５５０，Ｓ５６０）。依頼元装置は、第三データを受信した場合に、第三データに含まれる第一データを利用する（Ｓ４５０，Ｓ７１５，Ｓ７２５，Ｓ７３５，Ｓ６７０）。

このように構成されたネットワークシステムによれば、依頼元装置において第一データの認証に失敗した場合でも、依頼先装置において第一データの認証に成功すれば、依頼元装置は第三データに含まれる第一データを利用することができる。したがって、例えば、依頼元装置において認証処理を実行するために必要となるハードウェア又はソフトウェアに故障等の問題が生じていたとしても、依頼元装置は認証済みの第一データを利用することができる。

また、依頼先装置は、第二データの受信後は、第一ネットワーク経由で依頼元装置宛てに第一データが伝送されるたびに、第一データを受信して第一データに対する認証処理を実行して、第三データを依頼元装置へ送信する。したがって、依頼元装置では、第一データを受信するたびに依頼先装置に対して第二データを送信しなくても、依頼先装置から第三データを継続的に受信することができる。よって、依頼元装置が第一データを受信するたびに依頼先装置へ第二データを送信するように構成されている場合に比べ、依頼元装置にかかる負荷を軽減することができる。また、第二データの送信頻度が低下する分だけ、ネットワークにかかる負荷も低減することができる。

上述の第一データ、第二データ、第三データ及び第四データは、各データともに一回の伝送単位で伝送されるデータであってもよいし、複数回の伝送単位に分割されて順次伝送されるデータであってもよい。複数回の伝送単位に分割されて順次伝送される場合は、送信側から受信側へ一単位分のデータは伝送されるたびに、受信側から送信側へデータの一単位分のデータ受信を完了した旨を示すデータが伝送されてもよい。すなわち、第一データ、第二データ、第三データ又は第四データの送信開始から送信完了までの間に、他のデータの伝送が行われてもよい。

なお、この欄及び特許請求の範囲に記載した括弧内の符号は、後述する実施形態において一態様として例示する具体的な構成との対応関係を理解しやすくするために記載したものである。当該記載は、本開示の技術的範囲が後述する実施形態と同一な範囲に限定されることを意味する記載ではない。

ネットワークシステムを示す説明図である。 ＥＣＵを示す説明図である。 ネットワークにおいて伝送されるデータの構造を示す説明図である。 第一実施形態において依頼元装置となるＥＣＵがグローバルバスからデータを受信した際に実行する処理のフローチャートである。 第一実施形態及び第二実施形態におけるメッセージ認証処理のフローチャートである。 第一実施形態及び第二実施形態において依頼先装置となるＥＣＵがローカルバスからデータを受信した際に実行する処理のフローチャートである。 第一実施形態及び第二実施形態において依頼先装置となるＥＣＵがグローバルバスからデータを受信した際に実行する処理のフローチャートである。 第一実施形態において依頼元装置となるＥＣＵがローカルバスからデータを受信した際に実行する処理のフローチャートである。 第二実施形態において依頼元装置となるＥＣＵがグローバルバスからデータを受信した際に実行する処理のフローチャートである。 第二実施形態において依頼元装置となるＥＣＵがローカルバスからデータを受信した際に実行する処理のフローチャートである。 第二実施形態における原因特定処理のフローチャートである。

次に、上述のネットワークシステムについて、例示的な実施形態を挙げて説明する。
（１）第一実施形態
［ネットワークシステムの構成］
図１に示すネットワークシステム１は、例えば自動車に搭載される車載ネットワークシステムである。ネットワークシステム１は、複数のＥＣＵ２Ａ，２Ｂ，２Ｃ，２Ｄ，３Ａ，３Ｂ，３Ｃ，３Ｄ，３Ｅ，３Ｆ，３Ｇ，３Ｈ、ＣＧＷ４、複数のグローバルバス５Ａ，５Ｂ，５Ｃ及びローカルバス６等を有する。ＥＣＵは「Electronic Control Unit」の略称である。ＣＧＷは「Central Gateway」の略称である。

ＥＣＵ３Ａ，３Ｂ，２Ａ，２Ｂは、グローバルバス５Ａに接続されている。ＥＣＵ２Ｃ，２Ｄ，３Ｃ，３Ｄは、グローバルバス５Ｂに接続されている。ＥＣＵ３Ｅ，３Ｆ，３Ｇ，３Ｈは、グローバルバス５Ｃに接続されている。各グローバルバス５Ａ〜５Ｃには、例えば、機能的に同系統に分類されるＥＣＵが接続されている。一例を挙げれば、例えば、グローバルバス５Ａにはボデー系ＥＣＵが接続される。グローバルバス５Ｂには制御系ＥＣＵが接続される。グローバルバス５Ｃには情報系ＥＣＵが接続される。

グローバルバス５Ａ〜５Ｃは、ＣＧＷ４を介して相互に接続されている。これらの構成により、ＥＣＵ２Ａ〜２Ｄ，ＥＣＵ３Ａ〜３Ｈ、ＣＧＷ４及びグローバルバス５Ａ〜５Ｃは、第一ネットワーク１Ａを構成している。ＥＣＵ２Ａ〜２Ｄは、ローカルバス６に接続されている。これにより、ＥＣＵ２Ａ〜２Ｄ及びローカルバス６は、第二ネットワーク１Ｂを構成している。すなわち、ＥＣＵ２Ａ〜２Ｄは、第一ネットワーク１Ａのノードとして機能するように構成され、かつ、第二ネットワーク１Ｂのノードとしても機能するように構成されている。このように構成されたＥＣＵ２Ａ〜２Ｄが、本開示でいう電子装置に相当する。

第一ネットワーク１Ａ及び第二ネットワーク１Ｂでは、各ネットワークを構成するノードに対してブロードキャスト通信によってデータが伝送される。ただし、第一ネットワーク１Ａと第二ネットワーク１Ｂは、互いに独立したネットワークである。そのため、例えば、第一ネットワーク１Ａにおいてデータが伝送された場合でも、そのデータが第二ネットワーク１Ｂへと伝送されることはない。同様に、第二ネットワーク１Ｂにおいてデータが伝送された場合でも、そのデータが第一ネットワーク１Ａへと伝送されることはない。

ＣＧＷ４は、グローバルバス５Ａ〜５Ｃの間に介在して、いずれか一つのグローバルバスから残りのグローバルバスへデータを中継する。また、ＣＧＷ４は、外部通信路７に接続可能に構成され、外部通信路７とグローバルバス５Ａ〜５Ｃとの間でデータを中継する。これにより、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、第一ネットワーク１Ａ経由で図示しない外部機器と通信可能となっている。第二ネットワーク１Ｂには、外部通信路に接続可能なノードが設けられていない。そのため、第二ネットワーク１Ｂのノードが第二ネットワーク１Ｂ経由で外部機器と通信することはできない。

外部通信路７は、無線通信路及び有線通信路のうちの少なくとも一方であればよい。また、外部通信路７は、単一の機器と接続可能な通信路及び複数の機器と接続可能な通信路のうちの少なくとも一方であればよい。複数の機器と接続可能な通信路としては、例えば複数の機器がノードとして含まれる外部ネットワークに接続可能な通信路であればよい。外部通信路７は、全部が専用線で構成されていてもよいし、一部が公衆回線で構成されていてもよい。

本実施形態では上記三つのグローバルバス５Ａ〜５Ｃを例示してあるが、グローバルバスの数は任意である。例えば、グローバルバスの数は、二つ以下又は四つ以上であってもよい。本実施形態では上記十二個のＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈを例示してあるが、ＥＣＵ数は任意である。例えば、ＥＣＵの数は、十一個以下又は十三個以上であってもよい。本実施形態では上記ＥＣＵ２Ａ〜２Ｄがローカルバス６に接続されている例を示したが、ＥＣＵ３Ａ〜３Ｈのうちの少なくとも一つがローカルバス６に接続されていてもよい。あるいは、ＥＣＵ３Ａ〜３Ｈのうちの少なくとも一つがローカルバス６とは別のローカルバスに接続されていてもよい。

［ＥＣＵの構成］
次に、ＥＣＵの内部構成について説明する。以下の説明では、図２に示すＥＣＵ２Ｂを例に挙げる。ただし、本実施形態において、ＥＣＵ２Ａ，２Ｃ，２Ｄは、ＥＣＵ２Ｂと同様に構成される。また、本実施形態において、ＥＣＵ３Ａ〜３Ｈは、第二ネットワーク１Ｂに接続されていない点で、ＥＣＵ２Ｂとは相違するが、その他の点はＥＣＵ２Ｂと同様に構成される。

ＥＣＵ２Ｂは、図２に示すように、ＣＰＵ１１、ＲＡＭ１２、フラッシュメモリ１３、第一通信部１６及び第二通信部１７等を有する。第一通信部１６は、グローバルバス５Ａに接続するためのネットワークインターフェースである。第二通信部１７は、ローカルバス６に接続するためのネットワークインターフェースである。ＥＣＵ２Ａ〜２Ｄの各種機能は、ＣＰＵ１１が非遷移的実体的記録媒体に格納されたプログラムに従って各種処理を実行することにより実現される。この例では、フラッシュメモリ１３が、非遷移的実体的記録媒体に該当する。

ＣＰＵ１１がプログラムに従って各種処理を実行する際には、フラッシュメモリ１３に格納されたプログラムをＲＡＭ１２によって構成されるメインメモリにロードするように構成されていてもよい。この場合、ＣＰＵ１１は、メインメモリに格納されたプログラムに従って各種処理を実行する。ＣＰＵ１１がプログラムに従って各種処理を実行することにより、プログラムに対応する方法が実行され、ＥＣＵ２Ａ〜２Ｄが備える各種機能が実現される。ただし、ＥＣＵ２Ａ〜２Ｄが備える各種機能を実現する手法はソフトウェアに限るものではなく、機能の一部又は全部を、ディジタル回路やアナログ回路等を組み合わせたハードウェアを用いて実現してもよい。

ＲＡＭ１２及びフラッシュメモリ１３には、各種記憶領域が確保される。本実施形態に関連する主要な記憶領域としては、ＲＡＭ１２には受信データバッファ１２Ａが確保される。フラッシュメモリ１３には、共通鍵記憶部１３Ａ、ＣＶＮ記憶部１３Ｂ及びダイアグ記憶部１３Ｃが確保される。受信データバッファ１２Ａは、第一ネットワーク１Ａ経由で受信したデータを一時的に蓄積するためのバッファである。

受信データバッファ１２Ａには受信したデータが順次格納され、格納領域が満杯になった場合には、最も古いデータが格納されている領域に新しいデータが上書きで格納される。受信データバッファ１２Ａのサイズは、第一ネットワーク１Ａ経由で受信するデータ量が最大となる状況を考慮して、少なくとも一定期間分（例えば２０ミリ秒分。）のデータについては確実に蓄積できる程度のサイズが確保される。

共通鍵記憶部１３Ａには、後述する処理の中で、受信データに対するメッセージ認証を実行する際に使用する共通鍵が記憶されている。ＣＶＮ記憶部１３Ｂには、後述する処理の中で、データの送信元が正当な依頼先装置か否かを確認する際に必要となるＣＶＮのリストが記憶されている。ＣＶＮは「Calibration Verification Numbers」の略称である。ＣＶＮは、ＥＣＵに実装されたソフトウェア等に基づいて生成される照合用コードである。

車両に搭載されるＥＣＵには、ＣＶＮの生成及び出力を行う機能を実装することが法令等によって義務づけられている。車両に搭載される複数のＥＣＵがＣＶＮを生成すると、ＥＣＵごとに異なるＣＶＮが生成される。本実施形態においては、ＥＣＵ２Ａ〜２Ｄにおいて生成、出力されるＣＶＮが、車両生産時に収集、リスト化されて、ＣＶＮ記憶部１３Ｂに記憶されている。

ＥＣＵに実装されたソフトウェアが更新された場合、あるいはＥＣＵに実装されたソフトウェアが改ざんされた場合には、ＥＣＵにおいて生成されるＣＶＮが変化する。したがって、車両生産時にＣＶＮ記憶部１３Ｂに記憶されたＣＶＮと、ＥＣＵから出力されたＣＶＮとを比較して、その比較結果が一致しなければ、ＣＶＮを出力したＥＣＵの換装ないしはソフトウェアの改ざん等があったのではないかと疑うことができる。ＥＣＵに実装されたソフトウェアが正当に更新される場合には、その更新後のＥＣＵから出力されるＣＶＮでＣＶＮ記憶部１３Ｂに記憶されているＣＶＮを更新すればよい。

ダイアグ記憶部１３Ｃには、ＥＣＵ２Ｂにおいて故障等が検知された際に、その故障原因に対応するダイアグコードが記憶される。ダイアグ記憶部１３Ｃには、ダイアグコードに加えて、故障原因の特定を行う上で有用な各種情報が記憶されてもよい。どのような情報を記憶するかは、例えば、ダイアグコードに応じて取り決められた情報を記憶してもよいし、ダイアグコードとは無関係に取り決められた情報を記憶してもよい。

［認証処理の概要］
第一ネットワーク１Ａのノードは、外部通信路７経由で到来するデータを受信することができる。そのため、例えば外部通信路７に接続された不正な外部機器から悪意のある不正なデータが伝送され得ることも想定して、そのような不正なデータに対して適切な対処をすることが重要となる。また、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈにおいてプログラムの改ざんが行われた場合、あるいは不正なＥＣＵへの換装が行われた場合にも、そのような不正なＥＣＵから伝送される不正なデータに対し、適切な対処をすることが重要である。

そこで、本実施形態のネットワークシステム１において、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、第一ネットワーク１Ａ経由でデータを受信した際に認証処理を実行し、データの正当性を確認する。本実施形態において、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、メッセージ認証によってデータの正当性を確認する。図３に示すように、第一ネットワーク１Ａにおいて伝送されるデータＤ１には、ＩＤ、通常データ及び暗号データ等が含まれる。なお、データＤ１には、これら以外の制御コードやデータ等も含まれるが、本処理には関連しないので説明を省略する。

ＩＤは、データの種別を示す情報、データの内容を示す情報、送信元のノードを示す情報、送信先のノードを示す情報及び通信時の優先度を示す情報等、様々な情報を含み得る識別子である。送信元のノードからブロードキャスト通信によって第一ネットワーク１Ａへと送出されるデータＤ１は、第一ネットワーク１Ａにおける送信元ノード以外のノード全てにおいて受信される。データＤ１を受信したノードは、データＤ１中に含まれるＩＤに基づいて、処理対象とすべきデータか否かを判断することができる。

通常データは、送信元ノードが送信先ノードへ送信しようとしたデータの実体部分である。暗号データは、第一ネットワーク１Ａのノードが共通に使用する共通鍵を使って、所定の暗号化方式により通常データを暗号化したデータである。共通鍵は、上述の共通鍵記憶部１３Ａに記憶されている。データＤ１中に含まれる暗号データは、データＤ１を送信する送信元ノードにおいて、共通鍵を使って通常データを暗号化し、その暗号化済みのデータの一部を抽出したものである。暗号化済みのデータの一部を抽出するのはデータ量を削減するためである。データ量の削減が不要であれば、暗号化済みのデータの全部を暗号データとして利用してもよい。

以上のようなデータＤ１を受信したノードにおいて、メッセージ認証を実施する際には、データＤ１中に含まれる通常データを取り出し、取り出した通常データを送信元ノードと同様の手順で暗号化し、その暗号化済みのデータの一部を抽出する。このようにして受信側ノードで生成される暗号データは、送信元ノードと同じ共通鍵を使って生成されるので、通常は、データＤ１中に含まれる暗号データと一致する。

しかし、通常データが伝送途中で改ざんされた場合やデータ化けした場合には、受信側ノードで生成される暗号データとデータＤ１中に含まれる暗号データとが不一致となる。あるいは、共通鍵を知らない不正なノードがデータを送信した場合には、適正な暗号データを生成できないため、受信側ノードで生成される暗号データとデータＤ１中に含まれる暗号データとが不一致となる。したがって、受信側ノードでは、受信側ノードで生成される暗号データとデータＤ１中に含まれる暗号データが一致する場合には、認証が成立したと判断する。一方、受信側ノードで生成される暗号データとデータＤ１中に含まれる暗号データとが不一致となった場合には、認証に失敗したと判断する。

また、本実施形態のネットワークシステム１において、ＥＣＵ２Ａ〜２Ｄは、第二ネットワーク１Ｂ経由でデータを伝送することができる。ただし、第二ネットワーク１Ｂは、第一ネットワーク１Ａとは異なり、第二ネットワーク１Ｂの外部とは隔離されたネットワークとなっている。そのため、第一ネットワーク１Ａとは異なり、少なくとも第二ネットワーク１Ｂの外部から不正なデータが伝送されてくることはない。

そこで、ＥＣＵ２Ａ〜２Ｄは、第二ネットワーク１Ｂ経由でデータを受信した際には、第一ネットワーク１Ａの場合とは異なり、認証処理を実行しない。そのため、第二ネットワーク１Ｂにおいて伝送されるデータＤ２は、図３に示すように、ＩＤ及び通常データ等が含まれるものの、暗号データは含まれないデータとされている。

［認証代行の仕組み］
上述の認証処理において認証に成功した場合、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈは、当該認証成功以降の処理において上述のデータＤ１を利用する。具体例を挙げれば、例えば、データＤ１中から通常データが取り出され、その通常データを変数として用いた演算処理、通常データに基づく制御、通常データに応じて判断が分かれる分岐処理等が実行される。

一方、ＥＣＵ２Ａ〜２Ｄ及びＥＣＵ３Ａ〜３Ｈのうち、ＥＣＵ２Ａ〜２Ｄは、いずれかが上述の認証処理において認証に失敗した場合に、他のＥＣＵに認証の代行を依頼する。これは、データＤ１が不正なために認証に失敗したのではなく、認証処理を実行するＥＣＵの故障等が原因で認証に失敗した可能性もあるからである。認証に失敗したＥＣＵは、認証に失敗したことを契機として依頼元装置となる。

ここでは、ＥＣＵ２Ｂが認証処理において認証に失敗して依頼元装置となる場合を想定して説明を続ける。依頼元装置となったＥＣＵ２Ｂは、ＥＣＵ２Ａ，２Ｃ，２Ｄ（すなわち、依頼元装置以外のＥＣＵ。）の中から依頼先装置を選定する。ここでは、ＥＣＵ２ＢがＥＣＵ２Ｃを依頼先装置として選定した場合を想定して説明を続ける。依頼元装置となるＥＣＵ２Ｂは、依頼先装置として選定されたＥＣＵ２Ｃへ第二ネットワーク１Ｂ経由でデータを送信することにより、認証処理の代行を依頼する。

以下の説明においては、依頼元装置において第一ネットワーク１Ａ経由で受信して、その認証に失敗したデータＤ１のことを第一データと称する。また、認証処理の代行を依頼するため、依頼元装置から第二ネットワーク１Ｂ経由で依頼先装置へと伝送するデータのことを第二データと称する。本実施形態の場合、第二データであること、及びどのＥＣＵが依頼先装置として選定されたのかは、第二データ中のＩＤによって示される。

具体的には、第二データであることを示すＩＤとしては、依頼先装置として選定され得るＥＣＵ２Ａ〜２Ｄそれぞれに対応付けられた複数のＩＤが用意されている。ＥＣＵ２Ｃへ認証処理の代行を依頼する際には、ＥＣＵ２Ｃに対応するＩＤを選択し、そのＩＤを含む第二データをブロードキャスト通信により第二ネットワーク１Ｂへと送出する。

ＥＣＵ２Ｃでは、第二データを受信した際、そのデータ中に含まれるＩＤに基づいてＥＣＵ２Ｃが依頼先装置に選定されたことを認識し、それを契機にして依頼先装置としての処理を実行する。なお、ＥＣＵ２Ａ，２Ｄにおいても、ＥＣＵ２Ｂから送信された第二データを受信する。ただし、そのデータ中に含まれるＩＤに基づいてＥＣＵ２Ａ，２Ｄでの対処が必要なデータではないと判断できるので、その判断以降の処理は実行しない。

依頼先装置となるＥＣＵ２Ｃでは、第一データに対してメッセージ認証による認証処理を実行する。本実施形態において、ＥＣＵ２Ｃは、上述のような受信データバッファ１２Ａを有し、第一ネットワーク１Ａ経由で受信したデータを一定期間分だけ受信データバッファ１２Ａに蓄積している。そのため、ＥＣＵ２Ｃが第二データを受信した際、ＥＣＵ２Ｃは、第二データ中に含まれる情報に基づいて、対象となる第一データを受信データバッファ１２Ａの中から探し出し、第一データに対する認証処理を実行する。なお、上述のような受信データバッファ１２Ａを使う代わりに、ＥＣＵ２ＢからＥＣＵ２Ｃへ第一データが提供されてもよい。

依頼先装置であるＥＣＵ２Ｃにおいて第一データに対する認証に成功した場合、ＥＣＵ２Ｃは、認証に成功した第一データの内容を含む第三データを第二ネットワーク１Ｂ経由でＥＣＵ２Ｂに対して送信する。第三データであることは、第三データ中のＩＤによって示される。依頼元装置であるＥＣＵ２Ｂでは、第三データを受信したことにより、依頼先装置での認証に成功したことを認識することができる。そこで、ＥＣＵ２Ｂでは、第三データを受信した場合、ＥＣＵ２Ｂは第三データに含まれる第一データを利用して、所期の処理を実行することができる。

したがって、このように構成されたネットワークシステム１によれば、ＥＣＵ２Ｂにおいて第一データの認証に失敗した場合でも、ＥＣＵ２Ｃにおいて第一データの認証に成功すれば、ＥＣＵ２Ｂは第三データに含まれる第一データを利用することができる。よって、例えば、ＥＣＵ２Ｂにおいて認証処理を実行するために必要となるハードウェア又はソフトウェアに故障等の問題が生じていたとしても、ＥＣＵ２Ｂは認証済みの第一データを利用することができる。

［依頼元装置及び依頼先装置において実行される処理の詳細］
次に、上述の依頼元装置及び依頼先装置において実行される処理について、図４〜図８に示すフローチャートに基づいて説明する。上述の依頼元装置となるＥＣＵでは、図４，図５及び図８に示す処理が実行される。また、依頼先装置となるＥＣＵでは、図５，図６及び図７に示す処理が実行される。ここでは、先に挙げた例と同様に、ＥＣＵ２Ｂが依頼元装置となり、ＥＣＵ２Ｃが依頼先装置として選定される場合を想定して説明を続ける。

ＥＣＵ２Ｂは、図４に示すように、Ｓ１１０において、グローバルバス５Ａからデータを受信する。続いて、ＥＣＵ２Ｂは、Ｓ１１２において、グローバルバス５Ａから受信したデータが第一データか否かを判断する。第一データは、ＥＣＵ２Ｂ，２Ｃ以外のＥＣＵがブロードキャスト通信によって第一ネットワーク１Ａへと送信したデータである。ここでは、一例として、ＥＣＵ３Ｈが第一データを送信したものとして、以降の説明を続ける。ＥＣＵ３Ｈが第一データを送信した場合、第一データは第一ネットワーク１ＡにおいてＥＣＵ３Ｈ以外のノード全てに届く。第一データを受信したノードは、第一データ中に含まれるＩＤに基づいて、処理対象とすべきデータか否か等を判断する。また、本実施形態の場合、少なくともＥＣＵ２Ａ〜２Ｄにおいては、第一データを受信したら、第一データを受信データバッファ１２Ａに格納する。

Ｓ１１０において受信したデータが第一データ以外のデータであった場合は、Ｓ１１２においてＮＯと判断され、Ｓ１１４へと進む。Ｓ１１４において、ＥＣＵ２Ｂは、第一データ以外の受信データに対応する処理を実行する。Ｓ１１４において実行される処理としては、ＥＣＵ２Ｂの機能に応じた様々な処理を考え得るが、当該処理そのものは本実施形態における要部ではないので、これ以上の説明は省略する。Ｓ１１４の実行後は図４に示す処理を終了する。

Ｓ１１０において受信したデータが第一データであった場合は、Ｓ１１２においてＹＥＳと判断され、Ｓ１１６へと進む。Ｓ１１６において、ＥＣＵ２Ｂは、代行依頼済みフラグがオフか否かを判断する。代行依頼済みフラグは、初期値がオフにされていて、後述する処理の中でＥＣＵ２Ｂが他のＥＣＵに対して認証の代行を依頼すると、後述するＳ１７０においてオンにされるフラグである。ここでは、代行依頼済みフラグが初期値（すなわち、オフ。）になっているものとして説明を続ける。

代行依頼済みフラグがオフとなっている場合は、Ｓ１１６においてＹＥＳと判断され、Ｓ１２０へと進む。Ｓ１２０において、ＥＣＵ２Ｂは、メッセージ認証処理を実行する。このメッセージ認証処理の詳細を図５に示す。メッセージ認証処理を開始すると、ＥＣＵ２Ｂは、図５に示すように、Ｓ２１０において、処理対象となるデータに含まれる通常データと暗号データを取り出す。ここでいう処理対象となるデータは、Ｓ１１０において受信した第一データである。

続いて、ＥＣＵ２Ｂは、Ｓ２２０において、通常データを共通鍵で暗号化し、暗号データを生成する。ここで暗号化されるデータは、Ｓ２１０において処理対象となるデータから取り出された通常データである。続いて、ＥＣＵ２Ｂは、Ｓ２３０において、受信した暗号データと生成したデータが一致するか否かを判断する。受信した暗号データと生成したデータが一致する場合は、Ｓ２３０においてＹＥＳと判断され、Ｓ２４０へと進む。

Ｓ２４０へ進んだ場合は、ＥＣＵ２Ｂにおいて認証が成立したことになり、図５に示す処理を終了して、図４のＳ１３０へと進む。一方、受信した暗号データと生成したデータが一致しない場合は、Ｓ２３０においてＮＯと判断され、Ｓ２５０へと進む。Ｓ２５０へ進んだ場合は、ＥＣＵ２Ｂにおいて認証に失敗したことになり、図５に示す処理を終了して、図４のＳ１３０へと進む。

ＥＣＵ２Ｂは、Ｓ１３０において、認証が成立したか否かを判断する。上述のＳ２４０において認証が成立している場合は、Ｓ１３０においてＹＥＳと判断され、Ｓ１４０へと進む。ＥＣＵ２Ｂは、Ｓ１４０において、第一データに含まれる通常データを取り出して、以降の処理で利用する。ここでいう「以降の処理」としては、ＥＣＵ２Ｂの機能に応じた様々な処理を考え得るが、当該処理そのものは本実施形態における要部ではないので、これ以上の説明は省略する。Ｓ１４０の実行後は図４に示す処理を終了する。

一方、上述のＳ２５０において認証に失敗している場合には、Ｓ１３０においてＮＯと判断され、Ｓ１５０へと進む。ＥＣＵ２Ｂは、Ｓ１５０において、第一データに含まれるＩＤを取り出して他の部分は破棄する。続いて、ＥＣＵ２Ｂは、Ｓ１６０において、取り出したＩＤを含む第二データを作成し、一つの依頼先装置に対して認証代行依頼をするためのＩＤを第二データに設定し、第二データをローカルバス６へ送信する。

本実施形態においては、上述の通り、ＥＣＵ２Ｃが依頼先装置として選定される場合を想定している。そのため、Ｓ１６０では、ＥＣＵ２Ｃに対して認証代行依頼をするためのＩＤを第二データに設定する。認証代行依頼をするためのＩＤとしては、依頼先装置となり得るＥＣＵごとに異なる複数のＩＤがあらかじめ用意されている。Ｓ１６０を終えたら、続いて、ＥＣＵ２Ｂは、Ｓ１７０において、代行依頼済みフラグをオンにする。代行依頼済みフラグは、Ｓ１６０においてＥＣＵ２ＢがＥＣＵ２Ｃに対して認証の代行を依頼した場合に、Ｓ１７０においてオンとなる。Ｓ１７０の実行後は図４に示す処理を終了する。

図４に示す処理は、ＥＣＵ２Ｂがグローバルバス５Ａからデータを受信するたびに、ＥＣＵ２Ｂにおいて実行される。図４に示す処理が複数回にわたって実行される中で、ＥＣＵ２Ｂが、Ｓ１６０においてＥＣＵ２Ｃに対して認証の代行を依頼し、Ｓ１７０において代行依頼済みフラグがオンにされた場合、次に図４に示す処理が実行される際にはＳ１１６においてＮＯと判断される。この場合、ＥＣＵ２Ｂは、Ｓ１８０において、受信データを破棄する。

詳しくは後述するが、ＥＣＵ２Ｂが、Ｓ１６０においてＥＣＵ２Ｃに対して認証の代行を依頼した場合、以降、ＥＣＵ２Ｂは、ＥＣＵ２Ｃから第一データの内容を含む第三データを受け取るようになる。そのため、代行依頼済みフラグがオン（すなわち、Ｓ１１６においてＮＯ。）の場合、グローバルバス５Ａから受信した第一データは、ＥＣＵ２Ｂにとって不要なデータとなるので、Ｓ１８０では、受信した第一データを破棄する。Ｓ１８０を終えたら図４に示す処理を終了する。

ＥＣＵ２Ｂにおいて上述のような処理が実行されている際、ＥＣＵ２Ｃでは図６及び図７に示す処理が実行される。図６に示す処理は、ＥＣＵ２Ｃがローカルバス６からデータを受信する際にＥＣＵ２Ｃにおいて実行される処理である。図７に示す処理は、ＥＣＵ２Ｃがグローバルバス５Ｂからデータを受信する際にＥＣＵ２Ｃにおいて実行される処理である。まず、図６に示す処理について説明する。

ＥＣＵ２Ｃは、図６に示すように、Ｓ３１０において、ローカルバス６からデータを受信する。続いて、ＥＣＵ２Ｃは、Ｓ３２０において、上記Ｓ３１０で受信したデータがＥＣＵ２Ｃ宛ての第二データか否かを判断する。ここで、第二データであること、及びＥＣＵ２Ｃ宛てであることは、受信データ中に含まれるＩＤに基づいて判断することができる。ＥＣＵ２Ｂにおいて上述のＳ１６０が実行された場合、第二データはブロードキャスト通信によって第二ネットワーク１Ｂへと送信される。そのため、第二データは第二ネットワーク１ＢにおいてＥＣＵ２Ｂ以外のノード全てに届く。

ＥＣＵ２ＣにおいてＥＣＵ２Ｃ宛ての第二データを受信した場合、ＥＣＵ２Ｃでは、Ｓ３２０においてＹＥＳと判断されて、Ｓ３２５へと進む。Ｓ３２５において、ＥＣＵ２Ｃは、代行継続フラグをオンにする。続いて、ＥＣＵ２Ｃは、Ｓ３３０において、処理対象となる第一データを受信データバッファ１２Ａから取得する。上述の通り、ＥＣＵ２ＢがＳ１６０で第二データを作成する際には、第一データから取り出されたＩＤを含む第二データが作成される。そこで、Ｓ３３０では、ＥＣＵ２Ｃは、第二データ中に含まれている「第一データから取り出されたＩＤ」と一致するＩＤを持つデータを、受信データバッファ１２Ａから探し出し、そのデータを処理対象となる第一データとして取得する。

続いて、ＥＣＵ２Ｃは、Ｓ３４０において、受信データバッファ１２Ａから探し出された第一データに対し、メッセージ認証処理を実行する。このメッセージ認証処理は、図５に示した処理となる。ただし、図５に示した処理については既に詳細を説明したので、重ねての説明は省略する。Ｓ３４０においてメッセージ認証処理を実行する場合、図５のＳ２１０における「処理対象となるデータ」は、Ｓ３３０において受信データバッファ１２Ａから探し出された第一データである。

続いて、ＥＣＵ２Ｃは、Ｓ３５０において、認証が成立したか否かを判断する。Ｓ３４０で認証が成立している場合は、Ｓ３５０においてＹＥＳと判断され、Ｓ３６０へと進む。ＥＣＵ２Ｂは、Ｓ３６０において、第一データに含まれる通常データを取り出して、その通常データを含む第三データを作成し、第三データにＣＶＮを付加して、ローカルバス６へ送信する。第三データであることは、第三データ中に含まれるＩＤによって示すことができる。

第三データに付加されるＣＶＮは、ＥＣＵ２Ｃにおいて生成されるＣＶＮである。Ｓ３６０の実行後は図６に示す処理を終了する。一方、Ｓ３４０で認証に失敗している場合には、Ｓ３５０においてＮＯと判断され、Ｓ３７０へと進む。ＥＣＵ２Ｂは、Ｓ３７０において、認証失敗を示す第四データをローカルバス６へ送信する。第四データであることは、第四データ中に含まれるＩＤによって示すことができる。Ｓ３７０の実行後は図６に示す処理を終了する。

ＥＣＵ２Ｃにおいて上述のＳ３６０が実行された場合、第三データはブロードキャスト通信によって第二ネットワーク１Ｂへと送信される。そのため、ＥＣＵ２Ｃから送信される第三データは、第二ネットワーク１ＢにおいてＥＣＵ２Ｃ以外のノード全てに届く。ＥＣＵ２Ｃにおいて上述のＳ３７０が実行された場合、第四データはブロードキャスト通信によって第二ネットワーク１Ｂへと送信される。そのため、ＥＣＵ２Ｃから送信される第四データは、第二ネットワーク１ＢにおいてＥＣＵ２Ｃ以外のノード全てに届く。

上述のＳ３２０において第二データではなかった場合は、Ｓ３２０においてＮＯと判断され、その場合、ＥＣＵ２Ｃは、Ｓ３８０において、通常のローカルバスからのデータ受信に対応する処理を実行する。Ｓ３８０において実行される処理としては、ＥＣＵ２Ｃの機能に応じた様々な処理を考え得るが、当該処理そのものは本実施形態における要部ではないので、これ以上の説明は省略する。Ｓ３８０の実行後は図６に示す処理を終了する。

次に、図７に示す処理について説明する。ＥＣＵ２Ｃは、図７に示すように、Ｓ５１０において、グローバルバス５Ｂからデータを受信する。続いて、ＥＣＵ２Ｃは、Ｓ５１２において、受信データを受信データバッファ１２Ａに保存する。Ｓ５１２が実行されることにより、既に説明した通り、受信データバッファ１２Ａには、最新の一定期間を対象にして第一ネットワーク１Ａ経由で受信したデータが蓄積される。

続いて、ＥＣＵ２Ｃは、Ｓ５１４において、受信データが他のＥＣＵ宛てか否かを判断する。受信データが他のＥＣＵ宛てであった場合は、Ｓ５１４においてＹＥＳと判断され、ＥＣＵ２Ｃは、Ｓ５１６において、代行継続フラグがオンとなっているか否かを判断する。代行継続フラグがオンとなっている場合は、Ｓ５１６においてＹＥＳと判断され、ＥＣＵ２Ｃは、Ｓ５２０において、処理対象となる第一データか否かを判断する。

ＥＣＵ２Ｂが認証代行の依頼元装置、ＥＣＵ２Ｃが認証代行の依頼先装置となる場合、グローバルバス５Ｂから受信するデータのうち、ＥＣＵ２Ｂ宛てかつ認証が必要なデータが、Ｓ５２０でいう処理対象となる第一データに該当する。Ｓ５１０においてＥＣＵ２Ｃによって受信されたデータがＥＣＵ２Ｂ宛てのデータである場合、Ｓ５１４ではＹＥＳと判断される。

また、先に説明したＳ３２５において、代行継続フラグがオンとされた場合、Ｓ５１６ではＹＥＳと判断される。そして、Ｓ５１０においてＥＣＵ２Ｃによって受信されたデータが、処理対象となる第一データである場合、Ｓ５２０ではＹＥＳと判断されて、Ｓ５４０へと進む。ＥＣＵ２Ｃは、Ｓ５４０において、Ｓ５１０においてＥＣＵ２Ｃによって受信された第一データに対し、メッセージ認証処理を実行する。

このメッセージ認証処理は、図５に示した処理となる。ただし、図５に示した処理については既に詳細を説明したので、重ねての説明は省略する。Ｓ５４０においてメッセージ認証処理を実行する場合、図５のＳ２１０における「処理対象となるデータ」は、Ｓ５１０においてＥＣＵ２Ｃによって受信された第一データである。続いて、ＥＣＵ２Ｃは、Ｓ５５０において、認証が成立したか否かを判断する。

Ｓ５４０で認証が成立している場合は、Ｓ５５０においてＹＥＳと判断され、Ｓ５６０へと進む。ＥＣＵ２Ｂは、Ｓ５６０において、第一データに含まれる通常データを取り出して、その通常データを含む第三データを作成し、第三データにＣＶＮを付加して、ローカルバス６へ送信する。第三データであることは、第三データ中に含まれるＩＤによって示すことができる。Ｓ５６０は、先に説明したＳ３６０と同様の処理ステップである。Ｓ５６０の実行後は図７に示す処理を終了する。

一方、Ｓ５４０で認証に失敗している場合には、Ｓ５５０においてＮＯと判断され、Ｓ５７０へと進む。ＥＣＵ２Ｂは、Ｓ５７０において、認証失敗を示す第四データをローカルバス６へ送信する。Ｓ５７０は、先に説明したＳ３７０と同様の処理ステップである。Ｓ５７０の実行後は図７に示す処理を終了する。上述のＳ５１６において代行継続フラグがオンでない場合（すなわち、オフである場合。）は、Ｓ５１６においてＮＯと判断される。この場合は、他のＥＣＵから認証の代行を依頼されていない場合なので、Ｓ５７５において、受信データを破棄する。Ｓ５７５の実行後は図７に示す処理を終了する。

また、上述のＳ５２０において、処理対象となる第一データではなかった場合は、Ｓ５２０においてＮＯと判断される。この場合は、他のＥＣＵから認証の代行を依頼されている場合ではあるものの、処理対象となる第一データではないので、Ｓ５７５において、受信データを破棄する。Ｓ５７５の実行後は図７に示す処理を終了する。上述のＳ５１４において、受信データが他のＥＣＵ宛てではない場合（すなわち、ＥＣＵ２Ｃ宛てのデータである場合。）は、Ｓ５１４においてＮＯと判断され、その場合、ＥＣＵ２Ｃは、Ｓ５８０において、受信データに対応する処理を実行する。Ｓ５８０において実行される処理としては、ＥＣＵ２Ｃの機能に応じた様々な処理を考え得るが、当該処理そのものは本実施形態における要部ではないので、これ以上の説明は省略する。Ｓ５８０の実行後は図７に示す処理を終了する。

ＥＣＵ２Ｃにおいて上述のような処理が実行されている際、ＥＣＵ２Ｂでは図８に示す処理が実行される。ＥＣＵ２Ｂは、図８に示すように、Ｓ４１０において、ローカルバス６からデータを受信する。続いて、ＥＣＵ２Ｃは、Ｓ４２０において、上記Ｓ４１０で受信したデータが第三データか否かを判断する。ここで、第三データであることは、受信データ中に含まれるＩＤに基づいて判断することができる。ＥＣＵ２Ｃにおいて上述のＳ３６０又はＳ５６０が実行された場合、第三データはブロードキャスト通信によって第二ネットワーク１Ｂへと送信される。そのため、第三データは第二ネットワーク１ＢにおいてＥＣＵ２Ｃ以外のノード全てに届く。

上述のＳ４２０において第三データであった場合は、Ｓ４２０においてＹＥＳと判断される。その場合、ＥＣＵ２Ｂは、Ｓ４２５において、なりすまし確認ＯＫフラグがオフか否かを判断する。なりすまし確認ＯＫフラグは、初期値がオフにされていて、後述するＳ４３０，Ｓ４４０においてなりすまし確認が適正に実行されると、後述するＳ４４５においてオンにされるフラグである。ここでは、なりすまし確認ＯＫフラグが初期値（すなわち、オフ。）になっているものとして説明を続ける。

なりすまし確認ＯＫフラグがオフになっている場合、Ｓ４２５においてＹＥＳと判断される。その場合、ＥＣＵ２Ｂは、Ｓ４３０及びＳ４４０を実行することにより、第三データに対するなりすまし確認を実施する。具体的には、ＥＣＵ２Ｂは、Ｓ４３０において、第三データに付加されたＣＶＮを取り出す。そして、Ｓ４４０において、ＣＶＮが適正か否かを判断する。Ｓ４４０では、受信した第三データから取り出されたＣＶＮと、ＣＶＮ記憶部１３Ｂに記憶されたＣＶＮとを比較する。ＣＶＮ記憶部１３Ｂには、ＥＣＵ２Ａ〜２Ｄにおいて生成、出力されたＣＶＮが記憶されているので、Ｓ４４０では、ＥＣＵ２Ｃに対応するＣＶＮが比較対象として選択される。

この比較の結果、両者が一致すれば、ＣＶＮは適正であり、Ｓ４４０においてＹＥＳと判断され、Ｓ４４５へと進む。Ｓ４４５へ進んだ場合、なりすまし確認が適正に実行されたことになり、ＥＣＵ２Ｂは、なりすまし確認ＯＫフラグをオンにする。そして、ＥＣＵ２Ｂは、Ｓ４５０において、第三データに含まれる通常データを取り出して、以降の処理で利用する。ここでいう「以降の処理」としては、ＥＣＵ２Ｂの機能に応じた様々な処理を考え得るが、当該処理そのものは本実施形態における要部ではないので、これ以上の説明は省略する。Ｓ４５０の実行後は図８に示す処理を終了する。

一方、上述のＳ４４０において、比較結果が一致しなければ、受信した第三データから取り出されたＣＶＮが不適正である可能性が高い。この場合、ＥＣＵ２Ｃ以外のノードがＥＣＵ２Ｃになりすまして第三データを送信している可能性がある。あるいは、ＥＣＵ２Ｃのソフトウェアが改ざんされている可能性や、ＥＣＵ２Ｃが換装されている可能性もある。よって、このような状況下では、第三データを受信したとしても、第三データそのものの信頼性が低い。

そこで、上述のＳ４４０における比較結果が一致しなければ、ＣＶＮが不適正であり、Ｓ４４０においてＮＯと判断され、Ｓ４６０へと進む。Ｓ４６０において、ＥＣＵ２Ｂは、受信した第三データを破棄して、フェイルセーフデータを以降の処理で利用する。フェイルセーフデータは、ＥＣＵ２Ｂが受信する第一データや第三データに問題があって使用できない場合に、代替使用されるデータである。

このようなフェイルセーフデータは、例えばフラッシュメモリ１３にあらかじめ記憶されていればよい。あるいは、第一データを過去に一定期間以上の長期にわたって受信できていた場合は、その平均値、最大値、あるいは最小値等を経時的に算出し、いつでもフェイルセーフデータとして利用できるように準備しておいてもよい。どのようなかたちでフェイルセーフデータを用意するかは、ＥＣＵ２Ｂによる制御対象の挙動なども考慮して最適化されていればよい。Ｓ４６０の実行後は図８に示す処理を終了する。

図８に示す処理は、ＥＣＵ２Ｂがローカルバス６からデータを受信するたびに、ＥＣＵ２Ｂにおいて実行される。その際、Ｓ４３０−Ｓ４４５の処理ステップは、一回実行されていれば、以降は、毎回実行しなくても第三データは信頼できるものと考えられる。そこで、なりすまし確認ＯＫフラグがオフではない場合（すなわち、オンである場合。）は、Ｓ４２５においてはＮＯと判断され、Ｓ４３０−Ｓ４４５を実行することなく、Ｓ４５０へと進む。これにより、Ｓ４３０−Ｓ４４５を実行しない分だけ、ＥＣＵ２Ｂにかかる負荷を軽減することができる。

また、上述のＳ４２０において、上記Ｓ４１０で受信したデータが第三データではなかった場合は、Ｓ４２０においてＮＯと判断され、その場合、ＥＣＵ２Ｂは、Ｓ４７０において、上記Ｓ４１０で受信したデータが第四データか否かを判断する。ここで、第四データであることは、受信データ中に含まれるＩＤに基づいて判断することができる。第四データであった場合は、Ｓ４７０においてＹＥＳと判断され、上述のＳ４６０へと進む。Ｓ４６０については既に説明したので、重ねての説明は省略する。Ｓ４６０の実行後は図８に示す処理を終了する。

上述のＳ４７０において第四データではなかった場合は、Ｓ４７０においてＮＯと判断され、その場合、ＥＣＵ２Ｂは、Ｓ４８０において、第三データ及び第四データ以外の受信データに対応する処理を実行する。Ｓ４８０において実行される処理としては、ＥＣＵ２Ｂの機能に応じた様々な処理を考え得るが、当該処理そのものは本実施形態における要部ではないので、これ以上の説明は省略する。Ｓ４８０の実行後は図８に示す処理を終了する。

［効果］
以上説明した通り、上記ネットワークシステム１によれば、ＥＣＵ２Ｂにおいて第一データの認証に失敗した場合でも、依頼先装置となるＥＣＵ２Ｃにおいて第一データの認証に成功すれば、依頼元装置となるＥＣＵ２Ｂは第三データに含まれる第一データを利用することができる。したがって、例えば、ＥＣＵ２Ｂにおいて認証処理を実行するために必要となるハードウェア又はソフトウェアに故障等の問題が生じていたとしても、ＥＣＵ２Ｂは認証済みの第一データを利用することができる。

また、本実施形態の場合、ＥＣＵ２Ｂは、第三データに含まれるＣＶＮに基づいてＥＣＵ２Ｃが信頼可能か否かを確認し、ＥＣＵ２Ｃが信頼可能な場合に、第三データに含まれる第一データの内容に応じた処理を実行する。したがって、ＥＣＵ２Ｃが信頼可能か否かを確認することなく、第三データに含まれる第一データの内容に応じた処理を実行する場合に比べ、システムの信頼性を向上させることができる。また、ＥＣＵ２Ｃにおいて生成されるＣＶＮを知らない装置が、ＥＣＵ２Ｃになりすまして第三データを送信するのを防ぐことができる。

さらに、本実施形態の場合、依頼先装置であるＥＣＵ２Ｃは、第二データの受信後は、第一ネットワーク１Ａ経由で依頼元装置であるＥＣＵ２Ｂ宛てに第一データが伝送されるたびに、Ｓ５１４−Ｓ５６０を実行し、第三データをＥＣＵ２Ｂへ送信する。したがって、ＥＣＵ２Ｂでは、第一データを受信するたびにＥＣＵ２Ｃに対して第二データを送信しなくても、ＥＣＵ２Ｃから第三データを継続的に受信することができる。よって、ＥＣＵ２Ｂが第一データを受信するたびにＥＣＵ２Ｃへ第二データを送信するように構成されている場合に比べ、ＥＣＵ２Ｂにかかる負荷を軽減することができる。また、第二データの送信頻度が低下する分だけ、第二ネットワーク１Ｂにかかる負荷も低減することができる。

（２）第二実施形態
次に、第二実施形態について説明する。なお、第二実施形態は、第一実施形態で例示した構成の一部を変更しただけなので、第一実施形態との相違点を中心に詳述し、第一実施形態と同様な部分に関しては、その詳細な説明を省略する。また、第一実施形態と同等な構成に対しては、第一実施形態と同じ符号を付す。

上述の第一実施形態においては、依頼元装置となるＥＣＵ２Ｂが、依頼先装置として一つのＥＣＵ２Ｃを選定して、メッセージ認証の代行を依頼する例を示したが、第二実施形態においては、依頼元装置が複数の依頼先装置を選定する例について説明する。ここでは、ＥＣＵ２Ｂが依頼元装置となり、ＥＣＵ２ＢがＥＣＵ２Ａを第一依頼先装置として選定し、ＥＣＵ２Ｃを第二依頼先装置として選定する場合を想定して説明を続ける。

ＥＣＵ２Ａは、ＥＣＵ２Ｂと同じグローバルバス５Ａに接続されている。ＥＣＵ２Ｃは、ＥＣＵ２Ｂとは異なるグローバルバス５Ｂに接続されている。ＥＣＵ２Ａ，２Ｃにおいて実行される処理は、上述の第一実施形態においてＥＣＵ２Ｃが実行していた処理と同様の処理となる。よって、第二実施形態では、ＥＣＵ２Ａ，２Ｃにおいて実行される処理についての説明を省略する。以下、ＥＣＵ２Ｂにおいて実行される処理について説明する。

［依頼元装置において実行される処理の詳細］
図９に示す処理は、ＥＣＵ２Ｂがグローバルバス５Ａからデータを受信する際にＥＣＵ２Ｂにおいて実行される処理である。図９に示す処理は、第一実施形態では図４に示した処理と類似の処理である。ただし、図４に示す処理に含まれていたＳ１６０は、図９に示す処理ではＳ１６２に変更されている。また、図９に示す処理には、図４に示す処理には存在しないＳ１９０，Ｓ１９２が含まれている。

より詳しく説明すると、図４に示すＳ１６０では、一つの依頼先装置であるＥＣＵ２Ｃに対して認証代行依頼をするためのＩＤを第二データに設定する。これに対し、図９に示すＳ１６２では複数の依頼先装置であるＥＣＵ２Ａ，２Ｃに対して認証代行依頼をするためのＩＤを第二データに設定する。ＥＣＵ２Ａ，２Ｃは、それぞれが図６に示す処理を実行する。その際、ＥＣＵ２Ａ，２Ｃは、それぞれがＳ３１０において第二データを受信し、Ｓ３６０において第三データを送信、又はＳ３７０において第四データを送信する。

また、図９のＳ１７０において代行依頼済みフラグがオンにされた場合、次に図９に示す処理が実行される際にはＳ１１６においてＮＯと判断される。この場合、ＥＣＵ２Ｂは、Ｓ１８０において、受信データを破棄する。これは、詳しくは後述するが、ＥＣＵ２Ｂが、Ｓ１６２においてＥＣＵ２Ａ，２Ｃに対して認証の代行を依頼した場合、以降、ＥＣＵ２Ｂは、多くの場合、ＥＣＵ２Ａ又はＥＣＵ２Ｃから第一データの内容を含む第三データを受け取るようになるからである。この点は第一実施形態と同様である。

ただし、第二実施形態の場合、これも詳しくは後述するが、後述するＳ７４７へと進んだ場合に限り、代行継続装置が該当無しとなり、この場合、ＥＣＵ２Ｂは、ＥＣＵ２Ａ及びＥＣＵ２Ｃのどちらからも第一データを受け取ることができない。そこで、この場合は、Ｓ１９０においてＹＥＳと判断され、ＥＣＵ２Ｂは、Ｓ１９２において、フェイルセーフデータを以降の処理で利用する。フェイルセーフデータについては、第一実施形態のＳ４６０で説明したので、ここでの説明は省略する。また、ここでいう「以降の処理」としては、ＥＣＵ２Ｂの機能に応じた様々な処理を考え得るが、当該処理そのものは本実施形態における要部ではないので、これ以上の説明は省略する。

ＥＣＵ２Ｂでは、ローカルバス６からデータを受信する際に、図１０に示す処理が実行される。ＥＣＵ２Ｂは、図１０に示すように、Ｓ６１０において、ローカルバス６からデータを受信する。Ｓ６１０では、ＥＣＵ２Ａ，２ＣがＳ３６０において送信した第三データ、ＥＣＵ２Ａ，２ＣがＳ３７０において送信した第四データ、又は第三データ及び第四データ以外のデータを受信し得る。

ＥＣＵ２Ｂは、Ｓ６２０において、ローカルバス６から受信したデータが第三データ又は第四データであるか否かを判断する。第三データ又は第四データであることは、受信データ中に含まれるＩＤに基づいて判断することができる。Ｓ６１０において第三データ及び第四データ以外のデータを受信した場合、Ｓ６２０ではＮＯと判断され、ＥＣＵ２Ｂは、Ｓ６３０において、第三データ及び第四データ以外の受信データに対応する処理を実行する。この場合に実行される処理としては、ＥＣＵ２Ｂの機能に応じた様々な処理を考え得る。ただし、当該処理そのものは本実施形態における要部ではないので、図１０には、第三データ又は第四データを受信する場合の処理だけを抜粋して図示する。

Ｓ６１０において第三データ又は第四データを受信した場合、Ｓ６２０ではＹＥＳと判断され、ＥＣＵ２Ｂは、Ｓ６４０において、代行継続装置は未決定か否かを判断する。詳しくは後述するが、後述するＳ６５０が実行されると、代行継続装置は、ＥＣＵ２Ａ又はＥＣＵ２Ｃのいずれかに決定される場合がある。ただし、図１０に示す処理の初回実行時には、まだＳ６５０が実行されていないので、代行継続装置は未決定となっている。ここではＳ６５０が実行されていない場合を想定して、以降の説明を続ける。

代行継続装置が未決定の場合、Ｓ６４０ではＹＥＳと判断され、ＥＣＵ２Ｂは、原因特定処理を実行する。原因特定処理は、詳しくは図１１に示すような処理となる。図１１に示す処理を開始すると、ＥＣＵ２Ｃは、Ｓ７０３において、第一依頼先装置であるＥＣＵ２Ａにおいて認証が成立したか否かを判断する。Ｓ７０３では、ＥＣＵ２Ａから第三データを受信していれば認証成立と判断し、ＥＣＵ２Ａから第四データを受信していれば認証失敗と判断する。

ＥＣＵ２Ａにおいて認証が成立した場合、Ｓ７０３ではＹＥＳと判断され、ＥＣＵ２Ｃは、Ｓ７０５において、第二依頼先装置であるＥＣＵ２Ｃにおいて認証が成立したか否かを判断する。Ｓ７０５では、ＥＣＵ２Ｃから第三データを受信していれば認証成立と判断し、ＥＣＵ２Ｃから第四データを受信していれば認証失敗と判断する。ＥＣＵ２Ａにおいて認証に失敗した場合、Ｓ７０３ではＮＯと判断され、ＥＣＵ２Ｃは、Ｓ７０７において、第二依頼先装置であるＥＣＵ２Ｃにおいて認証が成立したか否かを判断する。Ｓ７０７では、ＥＣＵ２Ｃから第三データを受信していれば認証成立と判断し、ＥＣＵ２Ｃから第四データを受信していれば認証失敗と判断する。

Ｓ７０３において認証成立と判断され、かつＳ７０５において認証成立と判断された場合、ＥＣＵ２Ｂ以外では障害が発生していないと考えられる。この場合、ＥＣＵ２Ｂは、Ｓ７１１において、ＥＣＵ２Ｂにおいて認証失敗となった原因は、依頼元装置であるＥＣＵ２Ｂの鍵故障にあると推定する。すなわち、ＥＣＵ２Ｂにおいて共通鍵記憶部１３Ａから適正な共通鍵を読み出すことができず、メッセージ認証処理を適正に実行することができない状況にあると推定する。

続いて、ＥＣＵ２Ｂは、Ｓ７１３において、Ｓ７１１で推定した原因に対応するダイアグコードと故障原因の特定を行う上で有用な各種情報を、ダイアグ記憶部１３Ｃに記憶する。続いて、ＥＣＵ２Ｂは、Ｓ７１５において、第一依頼先装置であるＥＣＵ２Ａから受信した第三データに含まれる通常データを取り出して、以降の処理で利用する。ここでいう「以降の処理」の説明は、Ｓ１９２と同様の理由で省略する。

Ｓ７１５へ進む場合、ＥＣＵ２Ａ，２Ｃは、双方とも認証が成立している。よって、Ｓ７１５では、第二依頼先装置であるＥＣＵ２Ｃから受信した第三データに含まれる通常データを取り出して、以降の処理で利用しても問題はない。続いて、ＥＣＵ２Ｂは、Ｓ７１７において、代行継続装置を第一依頼先装置であるＥＣＵ２Ａに決定する。Ｓ７１７へ進む場合、ＥＣＵ２Ａ，２Ｃは、双方とも認証が成立しているので、代行継続装置を第二依頼先装置であるＥＣＵ２Ｃに決定しても問題はない。Ｓ７１７の実行後は図１１に示す処理を終了する。

Ｓ７０３において認証成立と判断され、かつＳ７０５において認証失敗と判断された場合、ＥＣＵ２Ｂと同じグローバルバス５Ａに接続されたＥＣＵ２Ａにおいて認証成立となったことになる。また、ＥＣＵ２Ｂとは異なるグローバルバス５Ｂに接続されたＥＣＵ２Ｃにおいて認証失敗となったことになる。この場合、ＥＣＵ２Ｂは、Ｓ７２１において、グローバルバス５Ａには問題がなく、ＥＣＵ２Ｂにおいて認証失敗となった原因は、依頼元装置であるＥＣＵ２Ｂの鍵故障にあると推定する。これに加えて、ＥＣＵ２Ｂにおいて認証失敗となった原因は、グローバルバス５Ｂにおけるデータ改ざん又はデータ化けが発生している可能性があると推定する。

続いて、ＥＣＵ２Ｂは、Ｓ７２３において、Ｓ７２１で推定した原因に対応するダイアグコードと故障原因の特定を行う上で有用な各種情報を、ダイアグ記憶部１３Ｃに記憶する。続いて、ＥＣＵ２Ｂは、Ｓ７２５において、第一依頼先装置であるＥＣＵ２Ａから受信した第三データに含まれる通常データを取り出して、以降の処理で利用する。ここでいう「以降の処理」の説明は、Ｓ１９２と同様の理由で省略する。続いて、ＥＣＵ２Ｂは、Ｓ７２７において、代行継続装置を第一依頼先装置であるＥＣＵ２Ａに決定する。Ｓ７２７の実行後は図１１に示す処理を終了する。

Ｓ７０３において認証失敗と判断され、かつＳ７０７において認証成立と判断された場合、同じグローバルバス５Ａに接続されたＥＣＵ２Ａ，２Ｂにおいて同時に障害が発生していることになる。この場合、ＥＣＵ２Ｂは、Ｓ７３１において、ＥＣＵ２Ｂにおいて認証失敗となった原因は、グローバルバス５Ａにおけるデータ改ざん又はデータ化けが発生している可能性があると推定する。

続いて、ＥＣＵ２Ｂは、Ｓ７３３において、Ｓ７３１で推定した原因に対応するダイアグコードと故障原因の特定を行う上で有用な各種情報を、ダイアグ記憶部１３Ｃに記憶する。続いて、ＥＣＵ２Ｂは、Ｓ７３５において、第二依頼先装置であるＥＣＵ２Ｃから受信した第三データに含まれる通常データを取り出して、以降の処理で利用する。ここでいう「以降の処理」の説明は、Ｓ１９２と同様の理由で省略する。続いて、ＥＣＵ２Ｂは、Ｓ７３７において、代行継続装置を第二依頼先装置であるＥＣＵ２Ｃに決定する。Ｓ７３７の実行後は図１１に示す処理を終了する。

Ｓ７０３において認証失敗と判断され、かつＳ７０７において認証失敗と判断された場合、ＥＣＵ２Ａ，２Ｂ，２Ｃの全てにおいて認証に失敗していることになる。この場合、個々のＥＣＵ２Ａ，２Ｂ，２Ｃにおいて同時に障害が発生している可能性は低いので、ＥＣＵ２Ｂは、Ｓ７４１において、ＥＣＵ２Ｂにおいて認証失敗となった原因は、第一データの送信元装置であるＥＣＵ３Ｈにおける鍵故障、又はＥＣＵ３Ｈになりすました機器がデータ送信を行った可能性があると推定する。

続いて、ＥＣＵ２Ｂは、Ｓ７４３において、Ｓ７４１で推定した原因に対応するダイアグコードと故障原因の特定を行う上で有用な各種情報を、ダイアグ記憶部１３Ｃに記憶する。続いて、ＥＣＵ２Ｂは、Ｓ７４５において、受信した第三データを破棄して、フェイルセーフデータを以降の処理で利用する。ここでいう「以降の処理」の説明は、Ｓ１９２と同様の理由で省略する。フェイルセーフデータは、ＥＣＵ２Ｂが受信する第一データや第三データに問題があって使用できない場合に、代替使用されるデータである。

フェイルセーフデータは、例えばフラッシュメモリ１３にあらかじめ記憶されていればよい。あるいは、第一データを過去に一定期間以上の長期にわたって受信できていた場合は、その平均値、最大値、あるいは最小値等を経時的に算出し、いつでもフェイルセーフデータとして利用できるように準備しておいてもよい。どのようなかたちでフェイルセーフデータを用意するかは、ＥＣＵ２Ｂによる制御対象の挙動なども考慮して最適化されていればよい。続いて、ＥＣＵ２Ｂは、Ｓ７４７において、代行継続装置を該当無しに決定する。Ｓ７４７の実行後は図１１に示す処理を終了する。以上のようにして図１１に示す処理を終了すると、図１０におけるＳ６５０を終えたことになるので、ＥＣＵ２Ｂは、図１０に示す処理を終了する。

図１０に示す処理は、ＥＣＵ２Ｂがローカルバス６からデータを受信するたびに実行される。上述の通り、図１０に示す処理の初回実行時には、Ｓ６５０が実行されていないが、図１０に示す処理の２回目以降の実行時には、Ｓ６５０が実行され、代行継続装置は、ＥＣＵ２Ａ又はＥＣＵ２Ｃのいずれかに決定されている場合がある。代行継続装置が決定されている場合、Ｓ６４０ではＮＯと判断され、ＥＣＵ２Ｂは、Ｓ６６０において、代行継続装置からの受信データか否かを判断する。

ＥＣＵ２Ａ及びＥＣＵ２Ｃは、図７に示す処理を実行し、Ｓ５６０で第三データを送信する。Ｓ６６０では、代行継続装置に決定されたＥＣＵ２Ａ又はＥＣＵ２Ｃから送信された第三データである場合にＹＥＳと判断され、その場合、ＥＣＵ２Ｂは、Ｓ６７０において、代行継続装置からの受信データに含まれる通常データを取り出して、以降の処理で利用する。ここでいう「以降の処理」の説明は、Ｓ１９２と同様の理由で省略する。Ｓ６７０の実行後は図１０に示す処理を終了する。

一方、Ｓ６６０では、代行継続装置に決定されたＥＣＵ２Ａ又はＥＣＵ２Ｃから送信された第三データではない場合にＮＯと判断され、その場合、ＥＣＵ２Ｂは、Ｓ６８０において、受信データを破棄する。例えば、ＥＣＵ２Ａが代行継続装置に決定されている場合、ＥＣＵ２Ｃは代行継続装置ではないので、ＥＣＵ２Ｃから送信された第三データは、Ｓ６８０において破棄される。また、ＥＣＵ２Ｃが代行継続装置に決定されている場合、ＥＣＵ２Ａは代行継続装置ではないので、ＥＣＵ２Ａから送信された第三データは、Ｓ６８０において破棄される。すなわち、Ｓ６６０−Ｓ６８０の処理ステップにより、代行継続装置からの受信データ以外はフィルタリングされる。Ｓ６８０の実行後は図１０に示す処理を終了する。

［効果］
以上説明した通り、上記ネットワークシステム１によれば、ＥＣＵ２Ｂにおいて第一データの認証に失敗した場合でも、第一依頼先装置又は第二依頼先装置となるＥＣＵ２Ａ，２Ｃのいずれかにおいて第一データの認証に成功すれば、依頼元装置となるＥＣＵ２Ｂは第三データに含まれる第一データを利用することができる。したがって、例えば、ＥＣＵ２Ｂにおいて認証処理を実行するために必要となるハードウェア又はソフトウェアに故障等の問題が生じていたとしても、ＥＣＵ２Ｂは認証済みの第一データを利用することができる。

また、依頼元装置となるＥＣＵ２Ｂにおいて第一データの認証に失敗した場合には、認証に失敗した原因が推定されて、その推定結果が故障情報として保存される。したがって、利用者は故障情報を参照して、容易に故障原因を特定でき、故障に対処することができる。

さらに、本実施形態の場合、依頼先装置であるＥＣＵ２Ｃは、第二データの受信後は、第一ネットワーク１Ａ経由で依頼元装置であるＥＣＵ２Ｂ宛てに第一データが伝送されるたびに、Ｓ５１４−Ｓ５６０を実行し、第三データをＥＣＵ２Ｂへ送信する。したがって、ＥＣＵ２Ｂでは、第一データを受信するたびにＥＣＵ２Ｃに対して第二データを送信しなくても、ＥＣＵ２Ｃから第三データを継続的に受信することができる。よって、ＥＣＵ２Ｂが第一データを受信するたびにＥＣＵ２Ｃへ第二データを送信するように構成されている場合に比べ、ＥＣＵ２Ｂにかかる負荷を軽減することができる。また、第二データの送信頻度が低下する分だけ、第二ネットワーク１Ｂにかかる負荷も低減することができる。

（３）他の実施形態
以上、ネットワークシステムについて、例示的な実施形態を挙げて説明したが、上述の実施形態は本開示の一態様として例示されるものにすぎない。すなわち、本開示は、上述の例示的な実施形態に限定されるものではなく、本開示の技術的思想を逸脱しない範囲内において、様々な形態で実施することができる。

例えば、上記第二実施形態では、ＥＣＵ２Ｂが依頼元装置となり、ＥＣＵ２Ａが第一依頼先装置となり、ＥＣＵ２Ｃが第二依頼先装置となる例を示したが、ＥＣＵ２Ａ〜２Ｄはいずれが依頼元装置となってもよい。また、ＥＣＵ２Ａ〜２Ｄのうち、依頼元装置以外のＥＣＵは、依頼元装置と同じグローバルバスに接続されたＥＣＵであれば、第一依頼先装置となり得る。また、依頼元装置と異なるグローバルバスに接続されたＥＣＵであれば、第二依頼先装置となり得る。さらに、ＥＣＵ３Ａ〜３Ｈがローカルバス６に接続されていてもよく、その場合は、ＥＣＵ３Ａ〜３Ｈが依頼元装置、第一依頼先装置又は第二依頼先装置となってもよい。

また、上記実施形態では、メッセージ認証による認証処理を実施する例を示したが、メッセージ認証以外の方式で認証を行ってもよいし、メッセージ認証とメッセージ認証以外の方式とを併用してもよい。例えば、上記実施形態では、通常データと暗号データとを伝送し、受信側において通常データを暗号化して、その暗号化されたデータと暗号データとを比較して認証成立か否かを判断していたが、他の認証手順を採用することもできる。一例を挙げれば、例えば、通常データと暗号データとを伝送し、受信側において暗号データを復号して、その復号されたデータと通常データとを比較して認証成立か否かを判断してもよい。

また、上記第一実施形態では、第三データを送信する際にＣＶＮを送信することにより、受信側で第三データの送信元が適正なノードか否かを確認するようにしていたが、第三データの送信元が適正なノードか否かを確認できるような固有値を送信できれば、その固有値がＣＶＮであるか否かは任意である。さらに、上記第一実施形態で例示した仕組み以外に、第三データの送信元が適正なノードか否かを確認可能な仕組みを別途備えている場合には、上記実施形態で例示した適正なノードか否かを確認する仕組みを省略してもよい。あるいは、第三データの送信元が適正なノードであると十分に信頼できる場合についても、上記実施形態で例示した適正なノードか否かを確認する仕組みを省略してもよい。

また、上記第一実施形態では、第三データの送信元が適正なノードか否かを一度確認したら、二回目以降は確認を省略する例を示したが、二回目以降も同様な確認を省略することなく実施してもよい。

また、上記第二実施形態では、Ｓ７１３，Ｓ７２３，Ｓ７３３，Ｓ７４３において、ダイアグコード等の故障情報をダイアグ記憶部１３Ｃに記憶する例を示したが、このような不揮発性記憶領域に故障情報を保存する以外に、故障情報を所定の出力先へ出力してもよい。例えば、車両に搭載されたディスプレイや警告灯等の表示装置に故障情報を出力してもよい。

あるいは、車両に搭載された無線通信装置に故障情報を出力してもよい。この場合、無線通信装置は更に無線通信によって故障情報を送信し、その故障情報を受信する受信装置において故障情報の保存又は出力を行うことができる。このような受信装置は、車両の利用者が所持する無線通信端末（例えば、スマートフォンやパーソナルコンピュータ。）であってもよいし、顧客の車両の状態を自動車ディーラ等で管理している場合は、自動車ディーラ等に設置される管理装置として構成されたものであってもよい。このような管理装置を設ければ、顧客の車両において発生した故障に関する情報を容易に自動車ディーラ等で把握することができる。

また、上記第二実施形態では、複数の依頼先装置の中から一つの代行継続装置を決定して、以降は、一つの代行継続装置から第三データを受け取る例を示したが、複数の依頼先装置から並列に第三データが伝送されてくるのであれば、最も早く第三データを送信した依頼先装置から、当該第三データを受信するようにしてもよい。すなわち、一つの代行継続装置以外の依頼先装置についてもフィルタリングせず、複数の依頼先装置を適宜利用するように構成してもよい。

また、上記実施形態では、単一のＣＧＷ４によって複数のグローバルバス５Ａ，５Ｂ，５Ｃを相互に接続していたが、複数のグローバルバス５Ａ，５Ｂ，５Ｃを相互に接続可能に構成されていれば、複数のゲートウェイを採用してもよい。例えば、第一のゲートウェイでグローバルバス５Ａとグローバルバス５Ｂとを接続し、第二のゲートウェイでグローバルバス５Ｂとグローバルバス５Ｃとを接続することにより、グローバルバス５Ａとグローバルバス５Ｃは、二つのゲートウェイ及びグローバルバス５Ｂを介して通信可能に構成されていてもよい。

以上の他、上記各実施形態における一つの構成要素によって実現していた機能を、複数の構成要素によって実現するように構成してもよい。また、複数の構成要素によって実現していた機能を一つの構成要素によって実現するように構成してもよい。また、上記各実施形態の構成の一部を省略してもよい。また、上記各実施形態の構成の少なくとも一部を、他の上記実施形態の構成に対して付加、置換等してもよい。なお、特許請求の範囲に記載の文言から特定される技術思想に含まれる全ての態様が本開示の実施形態に該当する。

また、上述したネットワークシステムの他、本開示のネットワークシステムを構成可能な電子装置、本開示のネットワークシステムを備えた車両、本開示でいう電子装置としてコンピュータを機能させるためのプログラム、このプログラムを記録した記録媒体など、種々の形態で本開示を実現することもできる。

（４）補足
以上説明した例示的な実施形態から明らかなように、本開示のネットワークシステムは、更に以下に挙げるような構成を備えていてもよい。

まず、本開示のネットワークシステムにおいて、依頼元装置は、第三データを受信した場合に、第三データに含まれる情報に基づいて依頼先装置が信頼可能か否かを確認し（Ｓ４３０，Ｓ４４０）、依頼先装置が信頼可能な場合に、第三データに含まれる第一データを利用するように構成されていてもよい（Ｓ４５０）。

このように構成されたネットワークシステムによれば、依頼元装置は、依頼先装置が信頼可能な場合に、第三データに含まれる第一データの内容に応じた処理を実行する。したがって、依頼先装置が信頼可能か否かを確認することなく、第三データに含まれる第一データの内容に応じた処理を実行する場合に比べ、システムの信頼性を向上させることができる。

また、本開示のネットワークシステムにおいて、依頼元装置は、第三データに含まれる情報に基づいて依頼先装置が信頼可能であることを確認できたら、以降は、依頼先装置が信頼可能か否かの確認を行う処理ステップを省略するように構成されていてもよい（Ｓ４２５，Ｓ４４５）。

このように構成されたネットワークシステムによれば、依頼元装置は、依頼先装置が信頼可能であると確認できた場合、依頼先装置の信頼性を再確認することはない。したがって、依頼元装置が第三データを受信するたびに依頼先装置の信頼性を再確認するように構成されている場合に比べ、依頼元装置において実行される処理を簡素化し、依頼元装置にかかる負荷を軽減することができる。

また、本開示のネットワークシステムは、少なくとも一つの依頼先装置として、複数の依頼先装置（２Ａ，２Ｃ）を含んでもよい。依頼元装置は、認証処理で認証に失敗した場合に、第二データを複数の依頼先装置へと送信するように構成されてもよい。複数の依頼先装置は、それぞれが認証処理で認証に成功した場合に、第三データを第二ネットワーク経由で依頼元装置に対して送信するように構成されてもよい。依頼元装置は、複数の依頼先装置のいずれかから第三データを受信した場合に、第三データに含まれる第一データを利用するように構成されていてもよい。

このように構成されたネットワークシステムによれば、依頼元装置は、複数の依頼先装置から第三データを受信することができる。したがって、依頼元装置が単一の依頼先装置から第三データを受信するように構成されている場合に比べ、依頼元装置が第三データを適切に受信できる可能性を高めることができ、システムの信頼性を向上させることができる。

また、本開示のネットワークシステムにおいて、複数の依頼先装置は、それぞれが認証処理で認証に失敗した場合に、認証に失敗したことを示す第四データを第二ネットワーク経由で依頼元装置に対して送信するように構成されてもよい（Ｓ３７０）。依頼元装置は、複数の依頼先装置それぞれから第三データ又は第四データを受信して、複数の依頼先装置それぞれが認証に成功したか否かを特定し、当該特定した結果に基づいて、代行継続装置を複数の依頼先装置のうちのいずれか一つに決定し（Ｓ６５０，Ｓ７０３−Ｓ７４７）、代行継続装置から第三データを受信した場合に、第三データに含まれる第一データを利用するように構成されていてもよい（Ｓ６４０，Ｓ６６０，Ｓ６７０）。

このように構成されたネットワークシステムによれば、依頼元装置は、複数の依頼先装置それぞれにおける認証結果も考慮して、より信頼性が高いと期待できる依頼先装置を代行継続装置として選定し、以降は、代行継続装置から第三データを受信する。したがって、複数の依頼先装置の中に認証に失敗する装置が含まれていたとしても、そのような装置を除外して第三データを受け取ることができ、システムの信頼性を向上させることができる。

１…ネットワークシステム、１Ａ…第一ネットワーク、１Ｂ…第二ネットワーク、２Ａ，２Ｂ，２Ｃ，２Ｄ，３Ａ，３Ｂ，３Ｃ，３Ｄ，３Ｅ，３Ｆ，３Ｇ，３Ｈ…ＥＣＵ、５Ａ，５Ｂ，５Ｃ…グローバルバス、６…ローカルバス、７…外部通信路、１１…ＣＰＵ、１２…ＲＡＭ、１２Ａ…受信データバッファ、１３…フラッシュメモリ、１３Ａ…共通鍵記憶部、１３Ｂ…ＣＶＮ記憶部、１３Ｃ…ダイアグ記憶部、１６…第一通信部、１７…第二通信部。

Claims (5)

1. 第一ネットワーク（１Ａ）のノードとして機能し、かつ、前記第一ネットワークとは独立に構築される第二ネットワーク（１Ｂ）のノードとしても機能するように構成された複数の電子装置（２Ａ，２Ｂ，２Ｃ，２Ｄ）を含み、
   前記複数の電子装置は、前記第一ネットワーク及び前記第二ネットワークの外部にある外部機器とは、前記第一ネットワーク経由で通信可能に構成され、
   前記複数の電子装置のうちの少なくとも一つの電子装置は、依頼元装置（２Ｂ）として機能可能に構成され、
   前記複数の電子装置のうちの少なくとも一つの電子装置は、依頼先装置（２Ａ，２Ｃ）として機能可能に構成され、
   前記複数の電子装置のうちの一つの電子装置が前記依頼元装置として機能する際に、前記依頼元装置とは別の少なくとも一つの電子装置が前記依頼先装置として機能可能に構成され、
   前記依頼元装置は、前記第一ネットワーク経由で前記依頼元装置宛てに伝送されるデータを第一データとして、前記第一データを受信した場合に、前記第一データに対する認証処理を実行し（Ｓ１２０，Ｓ２１０−Ｓ２５０）、認証に成功した場合には、当該認証成功以降の処理において前記第一データを利用し（Ｓ１４０）、認証に失敗した場合には、前記第二ネットワーク経由で前記依頼元装置から前記依頼先装置宛てに伝送されるデータを第二データとして、前記第二データを前記依頼先装置へと送信するように構成され（Ｓ１５０，Ｓ１６０，Ｓ１６２）、
   前記依頼先装置は、前記第二データの受信後は、前記第一ネットワーク経由で前記依頼元装置宛てに前記第一データが伝送されるたびに（Ｓ５１４，Ｓ５１６，Ｓ５２０）、前記第一データを受信して前記第一データに対する認証処理を実行し（Ｓ５４０）、認証に成功した場合には、認証に成功した前記第一データの内容を含む第三データを前記第二ネットワーク経由で前記依頼元装置に対して送信するように構成され（Ｓ５５０，Ｓ５６０）、
   前記依頼元装置は、前記第三データを受信した場合に、前記第三データに含まれる前記第一データを利用するように構成されている（Ｓ４５０，Ｓ７１５，Ｓ７２５，Ｓ７３５，Ｓ６７０）
   ネットワークシステム。
2. 請求項１に記載のネットワークシステムであって、
   前記依頼元装置は、前記第三データを受信した場合に、前記第三データに含まれる情報に基づいて前記依頼先装置が信頼可能か否かを確認し（Ｓ４３０，Ｓ４４０）、前記依頼先装置が信頼可能な場合に、前記第三データに含まれる前記第一データを利用するように構成されている（Ｓ４５０）
   ネットワークシステム。
3. 請求項２に記載のネットワークシステムであって、
   前記依頼元装置は、前記第三データに含まれる情報に基づいて前記依頼先装置が信頼可能であることを確認できたら、以降は、前記依頼先装置が信頼可能か否かの確認を行う処理ステップを省略するように構成されている（Ｓ４２５，Ｓ４４５）
   ネットワークシステム。
4. 請求項１から請求項３までのいずれか一項に記載のネットワークシステムであって、
   前記少なくとも一つの依頼先装置として、複数の依頼先装置（２Ａ，２Ｃ）を含み、
   前記依頼元装置は、前記認証処理で認証に失敗した場合に、前記第二データを前記複数の依頼先装置へと送信するように構成され、
   前記複数の依頼先装置は、それぞれが前記認証処理で認証に成功した場合に、前記第三データを前記第二ネットワーク経由で前記依頼元装置に対して送信するように構成され、
   前記依頼元装置は、前記複数の依頼先装置のいずれかから前記第三データを受信した場合に、前記第三データに含まれる前記第一データを利用するように構成されている
   ネットワークシステム。
5. 請求項４に記載のネットワークシステムであって、
   前記複数の依頼先装置は、それぞれが前記認証処理で認証に失敗した場合に、認証に失敗したことを示す第四データを前記第二ネットワーク経由で前記依頼元装置に対して送信するように構成され（Ｓ３７０）、
   前記依頼元装置は、前記複数の依頼先装置それぞれから前記第三データ又は前記第四データを受信して、前記複数の依頼先装置それぞれが認証に成功したか否かを特定し、当該特定した結果に基づいて、代行継続装置を前記複数の依頼先装置のうちのいずれか一つに決定し（Ｓ６５０，Ｓ７０３−Ｓ７４７）、前記代行継続装置から前記第三データを受信した場合に、前記第三データに含まれる前記第一データを利用するように構成されている（Ｓ６４０，Ｓ６６０，Ｓ６７０）
   ネットワークシステム。

Images