JP5664579B2

JP5664579B2 - COMMUNICATION SYSTEM, RELAY DEVICE, EXTERNAL DEVICE, AND COMMUNICATION METHOD

Info

Publication number: JP5664579B2
Application number: JP2012057559A
Authority: JP
Inventors: 康黒岩
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2012-03-14
Filing date: 2012-03-14
Publication date: 2015-02-04
Anticipated expiration: 2032-03-14
Also published as: JP2013192091A

Description

本発明は、車外装置と車載装置との間で通信を行うための技術に関する。 The present invention relates to a technique for performing communication between an external device and an in-vehicle device.

近年、車両では、電子制御化の進歩に伴い、エンジンやブレーキ等といった各種の車両構成品が電子部品を介して制御され、これら電子部品に接続された電子制御装置（ＥＣＵ）の数も増加傾向にある。このため、複数のＥＣＵによってネットワーク（車内ＬＡＮ）が構築され、ＥＣＵ相互間での連携動作や情報の共有化を実現している。 In recent years, with the advancement of electronic control in vehicles, various vehicle components such as engines and brakes are controlled via electronic components, and the number of electronic control units (ECUs) connected to these electronic components is also increasing. It is in. For this reason, a network (in-vehicle LAN) is constructed by a plurality of ECUs, and cooperative operation and information sharing between the ECUs is realized.

また、車両には、外部ツール（車外装置）を接続するためのコネクタが設けられ、外部ツールをコネクタに接続してＥＣＵと通信を行うことで、車両状態の診断などを行うことができるようになっている。ただし、外部ツールを用いて実施することのできる操作には、セキュリティ関連情報の設定及び解除や、プログラムの書換処理（リプログラミング）など、正規の作業者以外の者が実施すべきでない操作も含まれている。 Further, the vehicle is provided with a connector for connecting an external tool (external device), and the vehicle condition can be diagnosed by connecting the external tool to the connector and communicating with the ECU. It has become. However, operations that can be performed using external tools include operations that should not be performed by persons other than authorized workers, such as setting and canceling security-related information and program rewriting (reprogramming). It is.

そこで、外部ツールに認証機能を持たせ、特定の操作を実施する際にはパスワードの入力を要求することで、非正規の作業者によって特定の操作が実施されることを防止する技術が提案されている（特許文献１参照）。 Therefore, a technique has been proposed to prevent an unauthorized person from performing a specific operation by providing an external tool with an authentication function and requesting a password when performing a specific operation. (See Patent Document 1).

特開平９−２５０９７０号公報JP-A-9-250970

しかしながら、特許文献１に記載の認証機能は、外部ツール内で完結しているものであるため、不正な外部ツールが使用された場合に対応できないという問題があった。すなわち、車両に設けられるコネクタ自体は規格化されたものであるため、コネクタの規格を満たしていれば、不正な外部ツールであっても接続して各種操作を実行することが可能である。このため、認証機能を持たない不正な外部ツールをコネクタに接続して、ネットワーク上の通信内容をモニタすることは容易であり、その通信内容からセキュリティ関連の情報が入手されたり、リプログラミングが実施されたりする可能性があった。 However, since the authentication function described in Patent Document 1 is completed within the external tool, there is a problem that it cannot be handled when an unauthorized external tool is used. That is, since the connector itself provided in the vehicle is standardized, even if it is an unauthorized external tool, various operations can be performed if the connector standard is satisfied. For this reason, it is easy to connect an unauthorized external tool that does not have an authentication function to the connector and monitor the communication content on the network. Security-related information can be obtained from the communication content, and reprogramming is performed. There was a possibility of being.

本発明は、こうした問題にかんがみてなされたものであり、不正な車外装置を用いて特定の通信が行われることを抑制するための技術を提供することを目的としている。 The present invention has been made in view of these problems, and an object of the present invention is to provide a technique for suppressing specific communication from being performed using an unauthorized outside device.

本発明の通信システムは、車載装置（３０）と通信を行うための車外装置（６０）と、車両に搭載され、車外装置と車載装置との間で行われる通信を中継する中継装置（１０）と、を備える。 The communication system of the present invention includes an on-vehicle device (60) for communicating with the on-vehicle device (30), and a relay device (10) mounted on the vehicle and relaying communication between the on-vehicle device and the on-vehicle device. And comprising.

車外装置は、入力手段（Ｓ２０５）、生成手段（Ｓ２０９）及び送信手段（Ｓ２１０）を備える。入力手段は、車両の走行距離計（２４）に表示されている走行距離情報を入力する。また、生成手段は、入力手段により入力された走行距離情報に基づき、あらかじめ決められた演算を行うことにより認証情報を生成する。そして、送信手段は、生成手段により生成された認証情報を中継装置へ送信する。 The vehicle exterior device includes input means (S205), generation means (S209), and transmission means (S210). The input means inputs mileage information displayed on the odometer (24) of the vehicle. The generation unit generates authentication information by performing a predetermined calculation based on the travel distance information input by the input unit. Then, the transmission means transmits the authentication information generated by the generation means to the relay device.

一方、中継装置は、取得手段（Ｓ１０７）、受信手段（Ｓ１１２）及び規制解除手段（Ｓ１１５）を備える。取得手段は、走行距離情報を管理する装置（２０）から走行距離情報を取得する。また、受信手段は、車外装置から送信される認証情報を受信する。そして、規制解除手段は、受信手段により受信された認証情報が、取得手段により取得された走行距離情報に基づきあらかじめ決められた演算により生成された情報であると判定した場合に、車外装置と車載装置との間で行われる特定の通信に対する規制を解除する。 On the other hand, the relay device includes an acquisition unit (S107), a reception unit (S112), and a restriction release unit (S115). The acquisition means acquires travel distance information from the device (20) that manages travel distance information. The receiving means receives the authentication information transmitted from the external device. When the restriction release unit determines that the authentication information received by the receiving unit is information generated by a predetermined calculation based on the travel distance information acquired by the acquiring unit, The restriction | limiting with respect to the specific communication performed between apparatuses is cancelled | released.

このような通信システムによれば、中継装置が、車外装置から送信される認証情報に基づいて、車外装置と車載装置との間で行われる特定の通信に対する規制を解除するようにしているため、不正な車外装置を用いて特定の通信が行われることを抑制することができる。特に、車両の走行距離情報に基づきあらかじめ決められた演算により認証情報が生成されるため、固定の情報に基づき認証情報が生成される構成と比較して、セキュリティ性を高くすることができる。 According to such a communication system, the relay device cancels the restriction on the specific communication performed between the outside device and the in-vehicle device based on the authentication information transmitted from the outside device. It is possible to prevent specific communication from being performed using an unauthorized outside device. In particular, since the authentication information is generated by a predetermined calculation based on the travel distance information of the vehicle, the security can be enhanced as compared with the configuration in which the authentication information is generated based on the fixed information.

なお、この欄及び特許請求の範囲に記載した括弧内の符号は、一つの態様として後述する実施形態に記載の具体的手段との対応関係を示すものであって、本発明の技術的範囲を限定するものではない。 In addition, the code | symbol in the parenthesis described in this column and a claim shows the correspondence with the specific means as described in embodiment mentioned later as one aspect, Comprising: The technical scope of this invention is shown. It is not limited.

通信システムの構成を示すブロック図である。It is a block diagram which shows the structure of a communication system. 中継処理のフローチャートである。It is a flowchart of a relay process. 通信処理のフローチャートである。It is a flowchart of a communication process.

以下、本発明が適用された実施形態について、図面を用いて説明する。
［１．全体構成］
図１に示す通信システムは、車両に搭載された車載システム１と、車載システム１を構成する電子制御装置（ＥＣＵ）と通信を行うための外部ツール（外部診断装置）６０と、を備える。 Embodiments to which the present invention is applied will be described below with reference to the drawings.
[1. overall structure]
The communication system shown in FIG. 1 includes an in-vehicle system 1 mounted on a vehicle, and an external tool (external diagnostic device) 60 for communicating with an electronic control unit (ECU) constituting the in-vehicle system 1.

車載システム１は、車両の内部における各部に設置（搭載）された複数のＥＣＵとして、ゲートウェイＥＣＵ（以下「ＧＷ−ＥＣＵ」という。）１０と、メータＥＣＵ２０と、種々の機能を有する他の複数のＥＣＵ３０と、を備える。ＧＷ−ＥＣＵ１０、メータＥＣＵ２０及び他のＥＣＵ３０は、共用通信線（多重通信線）であるバス４０に接続されてネットワーク（車内ＬＡＮ）を構築し、バス４０を介してＣＡＮ（ＣｏｎｔｒｏｌｌｅｒＡｒｅａＮｅｔｗｏｒｋ）プロトコルに従った相互通信を行う。 The in-vehicle system 1 includes a gateway ECU (hereinafter referred to as “GW-ECU”) 10, a meter ECU 20, and a plurality of other ECUs having various functions as a plurality of ECUs installed (mounted) in each part inside the vehicle. ECU30. The GW-ECU 10, the meter ECU 20, and the other ECU 30 are connected to a bus 40, which is a shared communication line (multiplex communication line), to construct a network (in-vehicle LAN), and to the CAN (Controller Area Network) protocol via the bus 40. Follow the mutual communication.

ＧＷ−ＥＣＵ１０は、外部ツール６０を接続するためのデータリンクコネクタ（以下、単に「コネクタ」という。）５０と、バス４０と、を中継する通信経路４１上に設置されている。つまり、車載システム１において、ＧＷ−ＥＣＵ１０は、外部ツール６０と直接通信を行い、ＥＣＵ３０は、ＧＷ−ＥＣＵ１０を介して外部ツール６０と通信を行う。換言すれば、外部ツール６０は、ＥＣＵ３０に直接接続されるのではなく、ＧＷ−ＥＣＵ１０を介して接続され、ＧＷ−ＥＣＵ１０は、外部ツール６０とＥＣＵ３０との間で行われる通信を中継する中継装置として機能する。 The GW-ECU 10 is installed on a communication path 41 that relays a data link connector (hereinafter simply referred to as “connector”) 50 for connecting an external tool 60 and a bus 40. That is, in the in-vehicle system 1, the GW-ECU 10 communicates directly with the external tool 60, and the ECU 30 communicates with the external tool 60 via the GW-ECU 10. In other words, the external tool 60 is not directly connected to the ECU 30, but is connected via the GW-ECU 10, and the GW-ECU 10 relays communication performed between the external tool 60 and the ECU 30. Function as.

具体的には、ＧＷ−ＥＣＵ１０は、ＣＰＵ１１と、フラッシュメモリ１２と、ＬＡＮ通信部１３と、車外通信部１４と、を備える。ＣＰＵ１１は、フラッシュメモリ１２等に記憶されたプログラムに従い処理を実行する。なお、本実施形態の車載システム１では、車両のイグニッションスイッチがオフの状態でもＧＷ−ＥＣＵ１０に電源が供給され、ＣＰＵ１１が処理を実行できるように構成されている。また、ＣＰＵ１１は、車両のイグニッションスイッチがオンの状態であるかオフの状態であるかを検出可能に構成されている。 Specifically, the GW-ECU 10 includes a CPU 11, a flash memory 12, a LAN communication unit 13, and an external communication unit 14. The CPU 11 executes processing according to a program stored in the flash memory 12 or the like. Note that the in-vehicle system 1 according to the present embodiment is configured such that power is supplied to the GW-ECU 10 even when the ignition switch of the vehicle is off, and the CPU 11 can execute processing. Further, the CPU 11 is configured to be able to detect whether the ignition switch of the vehicle is on or off.

フラッシュメモリ１２は、電気的に記憶内容の書換えが可能な不揮発性の記憶装置である。フラッシュメモリ１２には、外部ツール６０を認証するためのワンタイムパスワードの生成に用いられる演算式が秘密情報として記憶されている。 The flash memory 12 is a nonvolatile storage device that can electrically rewrite stored contents. In the flash memory 12, an arithmetic expression used to generate a one-time password for authenticating the external tool 60 is stored as secret information.

ＬＡＮ通信部１３は、バス４０を介してメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。また、車外通信部１４は、通信経路４１及びコネクタ５０を介して外部ツール６０と通信を行うためのインタフェースである。 The LAN communication unit 13 is an interface for communicating with the meter ECU 20 and other ECUs 30 via the bus 40. The vehicle exterior communication unit 14 is an interface for communicating with the external tool 60 via the communication path 41 and the connector 50.

メータＥＣＵ２０は、車両の各車輪に取り付けられた車輪速センサから出力されるパルス信号をカウント・積算することで、車両の走行距離を算出・積算する。そして、メータＥＣＵ２０は、積算した走行距離である積算走行距離を、車両の室内においてユーザが視認できるように配置されたオドメータ表示部２４に表示する。オドメータ表示部２４は、電子表示式の表示器（例えばＬＣＤ）であり、イグニッションスイッチがオフの状態では積算走行距離が表示されず、イグニッションがオンの状態で積算走行距離が表示される。 The meter ECU 20 calculates and integrates the travel distance of the vehicle by counting and integrating pulse signals output from wheel speed sensors attached to the wheels of the vehicle. Then, the meter ECU 20 displays the accumulated travel distance, which is the accumulated travel distance, on an odometer display unit 24 arranged so that the user can visually recognize the interior of the vehicle. The odometer display unit 24 is an electronic display type display (for example, LCD), and the accumulated travel distance is not displayed when the ignition switch is off, and the accumulated travel distance is displayed when the ignition is on.

具体的には、メータＥＣＵ２０は、ＣＰＵ２１と、フラッシュメモリ２２と、ＬＡＮ通信部２３と、を備える。ＣＰＵ２１は、フラッシュメモリ２２等に記憶されたプログラムに従い処理を実行する。フラッシュメモリ２２には、最新の（現時点の）積算走行距離が記憶され、車両の走行に伴い更新される。ＬＡＮ通信部２３は、バス４０を介してＧＷ−ＥＣＵ１０や他のＥＣＵ３０と通信を行うためのインタフェースである。 Specifically, the meter ECU 20 includes a CPU 21, a flash memory 22, and a LAN communication unit 23. The CPU 21 executes processing according to a program stored in the flash memory 22 or the like. The flash memory 22 stores the latest (current) accumulated travel distance and is updated as the vehicle travels. The LAN communication unit 23 is an interface for communicating with the GW-ECU 10 and other ECUs 30 via the bus 40.

各ＥＣＵ３０は、ＣＰＵ３１と、フラッシュメモリ３２と、ＬＡＮ通信部３３と、を備える。ＣＰＵ３１は、フラッシュメモリ３２等に記憶されたプログラムに従い処理を実行する。フラッシュメモリ３２には、各種機能を実現するための処理をＣＰＵ３１に実行させるためのプログラムが記憶されている。ＬＡＮ通信部３３は、バス４０を介してＧＷ−ＥＣＵ１０やメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。 Each ECU 30 includes a CPU 31, a flash memory 32, and a LAN communication unit 33. The CPU 31 executes processing according to a program stored in the flash memory 32 or the like. The flash memory 32 stores a program for causing the CPU 31 to execute processing for realizing various functions. The LAN communication unit 33 is an interface for communicating with the GW-ECU 10, the meter ECU 20, and other ECUs 30 via the bus 40.

外部ツール６０は、コネクタ５０に接続された状態で、車両の内部に設置されたＥＣＵ３０を介した車両状態の診断、データの読み出し、ＥＣＵ３０の機能による制御部品の制御、ＥＣＵ３０に記憶されているプログラムの書換処理であるリプログラミングなどを行う機能を有した装置である。 The external tool 60 is connected to the connector 50, diagnoses the vehicle state via the ECU 30 installed in the vehicle, reads out data, controls the control components by the functions of the ECU 30, and stores the program stored in the ECU 30. This is a device having a function of performing reprogramming or the like as the rewriting process.

具体的には、外部ツール６０は、制御部６１と、記憶部６２と、通信部６３と、操作部６４と、を備える。制御部６１は、ＣＰＵ、ＲＯＭ、ＲＡＭ等を備え、各種処理を実行する。記憶部６２には、ＧＷ−ＥＣＵ１０に記憶されている演算式と同じ演算式が秘密情報として記憶されている。通信部６３は、コネクタ５０を介してＧＷ−ＥＣＵ１０やメータＥＣＵ２０や他のＥＣＵ３０と通信を行うためのインタフェースである。操作部６４は、各種情報をユーザが視認できるように表示するとともに、ユーザからの外部操作による情報を入力するユーザインタフェースである。なお、外部ツール６０は、汎用のパーソナルコンピュータやスマートフォン（多機能型携帯電話機）などを用いて構成してもよい。 Specifically, the external tool 60 includes a control unit 61, a storage unit 62, a communication unit 63, and an operation unit 64. The control unit 61 includes a CPU, a ROM, a RAM, and the like, and executes various processes. In the storage unit 62, the same arithmetic expression as that stored in the GW-ECU 10 is stored as secret information. The communication unit 63 is an interface for communicating with the GW-ECU 10, the meter ECU 20, and other ECUs 30 via the connector 50. The operation unit 64 is a user interface that displays various types of information so that the user can visually recognize the information and inputs information by an external operation from the user. The external tool 60 may be configured using a general-purpose personal computer, a smartphone (multifunctional mobile phone), or the like.

［２．処理］
次に、本実施形態の通信システムで実行される処理（通信方法）について説明する。まず、ＧＷ−ＥＣＵ１０のＣＰＵ１１が実行する中継処理について、図２のフローチャートを用いて説明する。ＣＰＵ１１は、まずＳ１０１で、外部ツール６０がコネクタ５０に接続されているか否かを判定し、接続されていると判定すると（Ｓ１０１：ＹＥＳ）、処理をＳ１０２へ移行させる。なお、外部ツール６０がコネクタ５０に接続されているか否かは、例えば、接続を検出するためのセンサ等をコネクタ５０に設けて判定してもよく、また、車外通信部１４を介した信号の送受信に基づき判定してもよい。 [2. processing]
Next, processing (communication method) executed in the communication system of the present embodiment will be described. First, relay processing executed by the CPU 11 of the GW-ECU 10 will be described with reference to the flowchart of FIG. First, in S101, the CPU 11 determines whether or not the external tool 60 is connected to the connector 50. If the CPU 11 determines that the external tool 60 is connected (S101: YES), the process proceeds to S102. Whether or not the external tool 60 is connected to the connector 50 may be determined, for example, by providing a sensor or the like for detecting the connection to the connector 50, and the signal transmitted via the vehicle exterior communication unit 14 may be determined. You may determine based on transmission / reception.

Ｓ１０２で、ＣＰＵ１１は、車両のイグニッションスイッチがオンの状態であるか否かを判定し、オンの状態であると判定した場合には（Ｓ１０２：ＹＥＳ）、処理をＳ１０３へ移行させる。Ｓ１０３で、ＣＰＵ１１は、外部ツール６０から通信が終了したことの通知（後述するＳ２１５で送信される通知）を受信したか否かを判定し、その通知を受信していないと判定した場合には（Ｓ１０３：ＮＯ）、処理をＳ１０４へ移行させる。 In S102, the CPU 11 determines whether or not the ignition switch of the vehicle is on. If it is determined that the vehicle is on (S102: YES), the process proceeds to S103. In S103, the CPU 11 determines whether or not a communication end notification (notification transmitted in S215 to be described later) has been received from the external tool 60, and determines that the notification has not been received. (S103: NO), the process proceeds to S104.

Ｓ１０４で、ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信であるか否かを判定する。本実施形態では、外部ツール６０とＥＣＵ３０との間で行われる通信が、セキュリティレベルに応じて通常通信とセキュリティ通信とにあらかじめ分類されている。例えば、イモビライザ制御を行うＥＣＵ３０に記憶された認証コードが読み出されたり書き換えられたりすると、イモビライザによる盗難防止機能が無効となり車両が盗難されてしまう可能性がある。このように、高いセキュリティ性が要求される通信（換言すれば、不正な外部ツールが用いられないようにする必要性の高い通信）は、セキュリティ通信に分類される。一方、例えば通常の診断のように、低いセキュリティ性でも問題のない通信（換言すれば、不正な外部ツールが用いられないようにする必要性の低い通信）は、通常通信に分類される。 In S104, the CPU 11 determines whether the communication requested by the external tool 60 is security communication. In this embodiment, the communication performed between the external tool 60 and the ECU 30 is classified in advance into normal communication and security communication according to the security level. For example, if an authentication code stored in the ECU 30 that performs immobilizer control is read or rewritten, the anti-theft function by the immobilizer may become invalid and the vehicle may be stolen. In this way, communication that requires high security (in other words, communication that is highly necessary to prevent unauthorized external tools from being used) is classified as security communication. On the other hand, communication that has no problem even with low security (in other words, communication that is less necessary to prevent unauthorized external tools from being used), such as normal diagnosis, is classified as normal communication.

ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信でない（通常通信である）と判定した場合には（Ｓ１０４：ＮＯ）、処理をＳ１０５へ移行させる。そして、Ｓ１０５で、ＣＰＵ１１は、外部ツール６０とＥＣＵ３０との間で行われる通常通信を中継する通常中継処理を実行する。なお、ＣＰＵ１１は、通常中継処理を開始した後に、処理をＳ１０１へ移行させる。つまり、Ｓ１０１〜Ｓ１０５の処理が、これらの判定結果が変化しない間は繰り返され、その間は通常中継処理（通常通信）が継続される。 When determining that the communication requested by the external tool 60 is not security communication (normal communication) (S104: NO), the CPU 11 shifts the processing to S105. In step S 105, the CPU 11 executes normal relay processing that relays normal communication performed between the external tool 60 and the ECU 30. The CPU 11 shifts the process to S101 after starting the normal relay process. That is, the processing of S101 to S105 is repeated while these determination results do not change, and normal relay processing (normal communication) is continued during that time.

一方、ＣＰＵ１１は、外部ツール６０の要求する通信がセキュリティ通信であると判定した場合には（Ｓ１０４：ＹＥＳ）、処理をＳ１０６へ移行させる。そして、Ｓ１０６で、ＣＰＵ１１は、セキュリティ通信の規制が解除されているか否かを判定する。なお、図２の中継処理の開始時には、セキュリティ通信が規制（禁止）されており、後述するＳ１１５でその規制が解除される。 On the other hand, if the CPU 11 determines that the communication requested by the external tool 60 is security communication (S104: YES), the CPU 11 shifts the processing to S106. In step S 106, the CPU 11 determines whether the restriction on security communication is released. At the start of the relay process in FIG. 2, security communication is restricted (prohibited), and the restriction is released in S115 described later.

ＣＰＵ１１は、セキュリティ通信の規制が解除されていない（セキュリティ通信が規制されている）と判定した場合には（Ｓ１０６：ＮＯ）、処理をＳ１０７へ移行させ、オドメータ表示部２４に表示されている最新の（現時点の）積算走行距離を、バス４０を介してメータＥＣＵ２０から取得する。 If the CPU 11 determines that the restriction of security communication has not been released (security communication is restricted) (S106: NO), the CPU 11 moves the process to S107 and displays the latest information displayed on the odometer display unit 24. (Current) accumulated travel distance is acquired from the meter ECU 20 via the bus 40.

続いて、ＣＰＵ１１は、Ｓ１０８で、今回取得した積算走行距離が、前回取得した積算走行距離（後述するＳ１１６で記憶される値）と同じ値であるか否かを判定する。なお、前回取得した積算走行距離が記憶されていない場合には、前回と同じ値でないと判定する。 Subsequently, in S108, the CPU 11 determines whether or not the accumulated travel distance acquired this time is the same value as the accumulated travel distance acquired last time (the value stored in S116 described later). In addition, when the accumulated travel distance acquired last time is not stored, it is determined that it is not the same value as the previous time.

そして、ＣＰＵ１１は、今回取得した積算走行距離が前回と同じ値でないと判定した場合には（Ｓ１０８：ＮＯ）、処理をＳ１０９へ移行させ、同一の積算走行距離を取得した回数のカウント値（以下「回数値Ｃ１」という。）を初期値（例えば１）にリセットする。一方、ＣＰＵ１１は、今回取得した積算走行距離が前回と同じ値であると判定した場合には（Ｓ１０８：ＹＥＳ）、処理をＳ１１０へ移行させ、回数値Ｃ１をカウントアップ（１を加算）する。 If the CPU 11 determines that the accumulated travel distance acquired this time is not the same value as the previous time (S108: NO), the CPU 11 shifts the process to S109 and counts the number of times the same accumulated travel distance has been acquired (hereinafter referred to as “the accumulated travel distance”). The “count value C1” is reset to an initial value (for example, 1). On the other hand, when the CPU 11 determines that the accumulated travel distance acquired this time is the same value as the previous time (S108: YES), the CPU 11 shifts the processing to S110 and counts up the count value C1 (adds 1).

続いて、ＣＰＵ１１は、Ｓ１１１で、最新の積算走行距離及び回数値Ｃ１をパラメータとして、フラッシュメモリ１２に記憶されている演算式に従った演算を行うことにより、ワンタイムパスワードを生成する。 Subsequently, in S111, the CPU 11 generates a one-time password by performing a calculation according to the calculation formula stored in the flash memory 12 using the latest accumulated travel distance and the count value C1 as parameters.

続いて、ＣＰＵ１１は、Ｓ１１２で、外部ツール６０に対してワンタイムパスワードの送信を要求し、外部ツール６０からワンタイムパスワードを受信する。なお、前述のとおり、正規の外部ツール６０には、ＧＷ−ＥＣＵ１０に記憶されている演算式と同じ演算式が秘密情報として記憶されている。そして、後述するように、外部ツール６０では、オドメータ表示部２４に表示されている最新の積算走行距離を用いてワンタイムパスワード（ＧＷ−ＥＣＵ１０で生成したものと同じワンタイムパスワード）が生成され、ＧＷ−ＥＣＵ１０へ送信される。 Subsequently, in S 112, the CPU 11 requests the external tool 60 to transmit a one-time password, and receives the one-time password from the external tool 60. As described above, in the regular external tool 60, the same arithmetic expression as that stored in the GW-ECU 10 is stored as secret information. As will be described later, in the external tool 60, a one-time password (the same one-time password as that generated by the GW-ECU 10) is generated using the latest accumulated travel distance displayed on the odometer display unit 24, It is transmitted to the GW-ECU 10.

続いて、ＣＰＵ１１は、Ｓ１１３で、外部ツール６０から受信したワンタイムパスワードと、Ｓ１１１で生成したワンタイムパスワードと、を照合する。そして、ＣＰＵ１１は、Ｓ１１４で、照合によりワンタイムパスワードが一致したか否かを判定し、その照合結果を外部ツール６０へ送信する。具体的には、ＣＰＵ１１は、ワンタイムパスワードが一致しないと判定した場合には（Ｓ１１４：ＮＯ）、セキュリティ通信の規制を解除せずに処理をＳ１０１へ移行させる。つまり、外部ツール６０が、演算式の記憶されていない不正な（非正規の）外部ツールである場合には、セキュリティ通信を行うことができない。なお、外部ツール６０からワンタイムパスワードが受信できない場合にも、ワンタイムパスワードが一致しないと判定する。 Subsequently, in S113, the CPU 11 collates the one-time password received from the external tool 60 with the one-time password generated in S111. In step S 114, the CPU 11 determines whether or not the one-time passwords are matched by the verification, and transmits the verification result to the external tool 60. Specifically, if the CPU 11 determines that the one-time passwords do not match (S114: NO), the CPU 11 shifts the processing to S101 without releasing the restriction of the security communication. That is, when the external tool 60 is an unauthorized (non-regular) external tool that does not store an arithmetic expression, security communication cannot be performed. Note that even when the one-time password cannot be received from the external tool 60, it is determined that the one-time password does not match.

一方、ＣＰＵ１１は、照合の結果、ワンタイムパスワードが一致したと判定した場合には（Ｓ１１４：ＹＥＳ）、処理をＳ１１５へ移行させ、セキュリティ通信の規制を解除する。続いて、ＣＰＵ１１は、Ｓ１１６で、今回取得した積算走行距離をフラッシュメモリ１２に記憶させる。その後、ＣＰＵ１１は、処理をＳ１０１へ移行させる。 On the other hand, if the CPU 11 determines that the one-time passwords match as a result of the collation (S114: YES), the CPU 11 shifts the process to S115 and cancels the restriction of the security communication. Subsequently, the CPU 11 stores the accumulated travel distance acquired this time in the flash memory 12 in S116. Thereafter, the CPU 11 shifts the process to S101.

セキュリティ通信の規制が解除された後のＳ１０６では、ＣＰＵ１１は、セキュリティ通信の規制が解除されていると判定し（Ｓ１０６：ＹＥＳ）、処理をＳ１１７へ移行させる。Ｓ１１７で、ＣＰＵ１１は、セキュリティ通信の規制が解除された後の経過時間が制限時間内（例えば１０分以内）であるか否かを判定し、制限時間内であると判定した場合には（Ｓ１１７：ＹＥＳ）、処理をＳ１１８へ移行させる。そして、Ｓ１１８で、ＣＰＵ１１は、外部ツール６０とＥＣＵ３０との間で行われるセキュリティ通信を中継する特定中継処理を実行する。なお、ＣＰＵ１１は、特定中継処理を開始した後に、処理をＳ１０１へ移行させる。つまり、Ｓ１０１〜Ｓ１０４，Ｓ１０６，Ｓ１１７，Ｓ１１８の処理が、これらの判定結果が変化しない間は繰り返され、その間は特定中継処理（セキュリティ通信）が継続される。 In S106 after the restriction of the security communication is released, the CPU 11 determines that the restriction of the security communication is released (S106: YES), and shifts the process to S117. In S117, the CPU 11 determines whether or not the elapsed time after the restriction of security communication is released is within the time limit (for example, within 10 minutes), and if it is determined that it is within the time limit (S117). : YES), the process proceeds to S118. In step S 118, the CPU 11 executes specific relay processing for relaying security communication performed between the external tool 60 and the ECU 30. The CPU 11 shifts the process to S101 after starting the specific relay process. That is, the processes of S101 to S104, S106, S117, and S118 are repeated while these determination results do not change, and the specific relay process (security communication) is continued during that period.

そして、ＣＰＵ１１は、Ｓ１０２で車両のイグニッションスイッチがオンの状態でないと判定した場合や（Ｓ１０２：ＮＯ）、Ｓ１０３で外部ツール６０から通信が終了したことの通知を受信したと判定した場合に（Ｓ１０３：ＹＥＳ）、処理をＳ１１９へ移行させる。また、ＣＰＵ１１は、Ｓ１１７でセキュリティ通信の規制が解除された後の経過時間が制限時間内でない（制限時間を超えた）と判定した場合にも（Ｓ１１７：ＮＯ）、処理をＳ１１９へ移行させる。 When the CPU 11 determines in S102 that the ignition switch of the vehicle is not turned on (S102: NO), or when it is determined in S103 that a notification that the communication has been completed is received from the external tool 60 (S103). : YES), the process proceeds to S119. In addition, when the CPU 11 determines that the elapsed time after the restriction of the security communication is released in S117 is not within the time limit (exceeds the time limit) (S117: NO), the CPU 11 shifts the process to S119.

Ｓ１１９で、ＣＰＵ１１は、セキュリティ通信を規制する処理を行う。具体的には、セキュリティ通信が規制されていた場合にはその規制が維持され、セキュリティ通信の規制が解除されていた場合には、その解除がリセットされ、規制状態に戻される。その後、ＣＰＵ１１は、処理をＳ１０１へ移行させる。なお、通常中継処理（通常通信）又は特定中継処理（セキュリティ通信）が継続されていた場合には、この段階で終了する。 In S119, the CPU 11 performs a process of restricting security communication. Specifically, when security communication is restricted, the restriction is maintained, and when the restriction of security communication is released, the release is reset and returned to the restricted state. Thereafter, the CPU 11 shifts the process to S101. If normal relay processing (normal communication) or specific relay processing (security communication) is continued, the process ends at this stage.

次に、外部ツール６０がコネクタ５０に接続されたことを契機に、外部ツール６０の制御部６１が実行する通信処理について、図３のフローチャートを用いて説明する。制御部６１は、まずＳ２０１で、ＥＣＵ３０とセキュリティ通信を行うか否か（通常通信を行うか）を判定する。なお、外部ツール６０を用いてどのような操作が実施されるかは外部ツール６０のユーザ（作業者）によって決められることであり、Ｓ２０１では、ユーザによる操作や設定内容に基づき、ユーザが実施しようとする操作がセキュリティ通信及び通常通信のいずれに分類されるものであるかを判定する。 Next, communication processing executed by the control unit 61 of the external tool 60 when the external tool 60 is connected to the connector 50 will be described with reference to the flowchart of FIG. First, in S201, the control unit 61 determines whether to perform security communication with the ECU 30 (whether to perform normal communication). Note that what operation is performed using the external tool 60 is determined by the user (operator) of the external tool 60. In S201, the user is to perform the operation based on the user's operation and setting contents. It is determined whether the operation to be classified into security communication or normal communication.

制御部６１は、セキュリティ通信を行わない（通常通信を行う）と判定した場合には（Ｓ２０１：ＮＯ）、処理をＳ２０２へ移行させ、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０と通常通信を行う。通常通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。 When it is determined that security communication is not performed (normal communication is performed) (S201: NO), the control unit 61 shifts the process to S202, and performs normal communication with the ECU 30 via the GW-ECU 10. When the normal communication ends, the control unit 61 shifts the process to S215 and transmits a notification that the communication is ended to the GW-ECU 10. Then, the communication process in FIG. 3 ends.

一方、制御部６１は、ＥＣＵ３０とセキュリティ通信を行うと判定した場合には（Ｓ２０１：ＹＥＳ）、処理をＳ２０３へ移行させ、セキュリティ通信の規制が解除されているか否かを判定する。 On the other hand, when it is determined that the security communication is performed with the ECU 30 (S201: YES), the control unit 61 shifts the process to S203 and determines whether or not the restriction of the security communication is released.

制御部６１は、セキュリティ通信の規制が解除されていない（セキュリティ通信が規制されている）と判定した場合には（Ｓ２０３：ＮＯ）、処理をＳ２０４へ移行させ、ＧＷ−ＥＣＵ１０からのワンタイムパスワードの送信要求を受信する。 When it is determined that the restriction of security communication has not been released (security communication is restricted) (S203: NO), the control unit 61 shifts the process to S204, and the one-time password from the GW-ECU 10 The request to send is received.

続いて、制御部６１は、Ｓ２０５で、オドメータ表示部２４に表示されている最新の積算走行距離を入力する。具体的には、外部ツール６０のユーザに積算走行距離の入力操作をメッセージ表示等により促す。ユーザは、イグニッションがオンの状態でオドメータ表示部２４に表示される最新の積算走行距離を確認して、外部ツール６０に入力する。 Subsequently, the control unit 61 inputs the latest accumulated traveling distance displayed on the odometer display unit 24 in S205. Specifically, the user of the external tool 60 is prompted to input the accumulated travel distance by displaying a message or the like. The user confirms the latest accumulated travel distance displayed on the odometer display unit 24 with the ignition turned on, and inputs it to the external tool 60.

続いて、制御部６１は、Ｓ２０６で、今回入力された積算走行距離が、前回入力された積算走行距離（後述するＳ２１２で記憶される値）と同じ値であるか否かを判定する。なお、前回入力された積算走行距離が記憶されていない場合には、前回と同じ値でないと判定する。 Subsequently, in S206, the control unit 61 determines whether or not the cumulative travel distance input this time is the same value as the cumulative travel distance input last time (the value stored in S212 described later). In addition, when the integrated travel distance input last time is not stored, it is determined that the value is not the same as the previous value.

そして、制御部６１は、今回入力された積算走行距離が前回と同じ値でないと判定した場合には（Ｓ２０６：ＮＯ）、処理をＳ２０７へ移行させ、同一の積算走行距離を取得した回数のカウント値（以下「回数値Ｃ２」という。）を初期値（例えば１）にリセットする。一方、制御部６１は、今回入力された積算走行距離が前回と同じ値であると判定した場合には（Ｓ２０６：ＹＥＳ）、処理をＳ２０８へ移行させ、回数値Ｃ２をカウントアップ（１を加算）する。 If the controller 61 determines that the cumulative travel distance input this time is not the same value as the previous time (S206: NO), the process proceeds to S207, and the number of times the same cumulative travel distance is acquired is counted. A value (hereinafter referred to as “number value C2”) is reset to an initial value (for example, 1). On the other hand, if the controller 61 determines that the cumulative travel distance input this time is the same value as the previous time (S206: YES), the control unit 61 proceeds to S208 and counts up the count value C2 (add 1). )

続いて、制御部６１は、Ｓ２０９で、最新の積算走行距離及び回数値Ｃ２をパラメータとして、記憶部６２に記憶されている演算式に従った演算を行うことにより、ワンタイムパスワードを生成する。 Subsequently, in step S209, the control unit 61 generates a one-time password by performing a calculation according to the calculation formula stored in the storage unit 62 using the latest accumulated travel distance and the count value C2 as parameters.

続いて、制御部６１は、Ｓ２１０で、生成したパスワードをＧＷ−ＥＣＵ１０へ送信して照合を要求し、照合結果を受信する。そして、制御部６１は、受信した照合結果が、ワンタイムパスワードが一致しないという結果の場合には（Ｓ２１１：ＮＯ）、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。 Subsequently, in S210, the control unit 61 transmits the generated password to the GW-ECU 10, requests verification, and receives the verification result. If the received verification result is that the one-time passwords do not match (S211: NO), the control unit 61 shifts the process to S215, and notifies the GW-ECU 10 that the communication has ended. Send. Then, the communication process in FIG. 3 ends.

一方、制御部６１は、受信した照合結果が、ワンタイムパスワードが一致するという結果の場合には（Ｓ２１１：ＹＥＳ）、処理をＳ２１２へ移行させ、今回入力された積算走行距離を記憶部６２に記憶させる。続いて、制御部６１は、Ｓ２１３で、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０とセキュリティ通信を行う。セキュリティ通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。 On the other hand, if the received collation result is that the one-time passwords match (S211: YES), the control unit 61 shifts the process to S212, and stores the total travel distance input this time in the storage unit 62. Remember. Subsequently, the control unit 61 performs security communication with the ECU 30 via the GW-ECU 10 in S213. When the security communication ends, the control unit 61 shifts the process to S215 and transmits a notification that the communication is ended to the GW-ECU 10. Then, the communication process in FIG. 3 ends.

また、制御部６１は、前述したＳ２０３で、セキュリティ通信の規制が解除されていると判定した場合には（Ｓ２０３：ＹＥＳ）、処理をＳ２１４へ移行させ、ＧＷ−ＥＣＵ１０を介してＥＣＵ３０とセキュリティ通信を行う。セキュリティ通信が終了すると、制御部６１は、処理をＳ２１５へ移行させ、通信が終了したことの通知をＧＷ−ＥＣＵ１０へ送信する。そして、図３の通信処理を終了する。 If the control unit 61 determines in S203 described above that the restriction on security communication has been released (S203: YES), the control unit 61 shifts the process to S214, and performs security communication with the ECU 30 via the GW-ECU 10. I do. When the security communication ends, the control unit 61 shifts the process to S215 and transmits a notification that the communication is ended to the GW-ECU 10. Then, the communication process in FIG. 3 ends.

［３．効果］
以上説明したように、本実施形態の通信システムでは、ＧＷ−ＥＣＵ１０が、外部ツール６０から送信されるワンタイムパスワードに基づいて、外部ツール６０とＥＣＵ３０との間で行われるセキュリティ通信に対する規制を解除する。通常、ワンタイムパスワードを生成するためには、共通のキー情報が必要となるが、本実施形態では、車両の固有情報であってユーザが外部から確認することのできる情報である積算走行距離（オドメータの情報）を、キー情報として利用する。具体的には、積算走行距離に基づき、あらかじめ決められた演算式に従った演算を行うことにより、ワンタイムパスワードが生成される。積算走行距離は、車両の走行に伴い値が更新される（増加する）ため、固定の情報に基づきワンタイムパスワードを生成する場合と比較して、セキュリティ性を高めることができる。特に、積算走行距離は、単調増加し、過去と同じ値を取らないため、過去に生成されたパスワートを用いた認証を防止することができる。 [3. effect]
As described above, in the communication system according to the present embodiment, the GW-ECU 10 cancels the restriction on the security communication performed between the external tool 60 and the ECU 30 based on the one-time password transmitted from the external tool 60. To do. Usually, in order to generate a one-time password, common key information is required. However, in this embodiment, an integrated travel distance (information that is unique to the vehicle and can be confirmed from the outside by the user) Odometer information) is used as key information. Specifically, a one-time password is generated by performing a calculation according to a predetermined calculation formula based on the accumulated travel distance. Since the value of the accumulated travel distance is updated (increases) as the vehicle travels, security can be improved compared to the case where a one-time password is generated based on fixed information. In particular, since the accumulated travel distance increases monotonously and does not take the same value as the past, authentication using passwords generated in the past can be prevented.

なお、時刻を用いてワンタイムパスワードを生成することも可能ではあるが、ＧＷ−ＥＣＵ１０及び外部ツール６０のいずれもバッテリによる時刻保持が基本となるため、ワンタイムパスワードを生成する時点で正しい時刻を保持していない可能性がある。これに対し、積算走行距離は、車両が停止している状態では更新されないため、ＧＷ−ＥＣＵ１０と外部ツール６０とで共有すべき情報にずれを生じにくくすることができる。 Although it is possible to generate a one-time password using the time, since both the GW-ECU 10 and the external tool 60 basically hold the time using a battery, the correct time is generated when the one-time password is generated. It may not be retained. On the other hand, since the cumulative travel distance is not updated when the vehicle is stopped, it is possible to make it difficult for information to be shared between the GW-ECU 10 and the external tool 60 to be shifted.

したがって、本実施形態の通信システムによれば、不正な外部ツールを用いてセキュリティ通信が行われることを抑制することができる。その結果、例えば、イモビライザ制御を行うＥＣＵへの不正アクセスにより、イモビライザによる盗難防止機能を無効化するといった不正行為を抑制することができる。 Therefore, according to the communication system of the present embodiment, it is possible to prevent security communication from being performed using an unauthorized external tool. As a result, for example, an illegal act of invalidating a theft prevention function by the immobilizer can be suppressed by an unauthorized access to the ECU that performs immobilizer control.

また、オドメータ表示部２４には、車両のイグニッションスイッチがオンの状態において積算走行距離が表示される。このため、外部ツール６０でワンタイムパスワードを生成するためには、イグニッションスイッチをオンの状態にしてオドメータ表示部２４に表示された積算走行距離を確認する必要がある。したがって、イグニッションスイッチがオフの状態においても積算走行距離が表示される構成と比較して、不正なユーザによる外部ツール６０の使用を抑制することができる。 The odometer display unit 24 displays the accumulated travel distance in a state where the ignition switch of the vehicle is on. For this reason, in order to generate a one-time password by the external tool 60, it is necessary to check the integrated travel distance displayed on the odometer display unit 24 with the ignition switch turned on. Therefore, it is possible to suppress the use of the external tool 60 by an unauthorized user as compared with the configuration in which the accumulated travel distance is displayed even when the ignition switch is off.

また、ワンタイムパスワードは、積算走行距離及び回数値に基づき生成されるため、積算走行距離が同一値の状態で複数回通信を行うような場合にも、値を毎回異ならせることができる。特に、同一の積算走行距離に基づきワンタイムパスワードを生成した回数を示す回数値を用いるため、ＧＷ−ＥＣＵ１０と外部ツール６０とで通信を行うことなく同一の回数値を共有することができる。 In addition, since the one-time password is generated based on the accumulated travel distance and the number of times, the value can be varied every time even when communication is performed a plurality of times while the accumulated travel distance is the same value. In particular, since the number value indicating the number of times the one-time password has been generated based on the same accumulated travel distance is used, the same number value can be shared without communication between the GW-ECU 10 and the external tool 60.

また、ＧＷ−ＥＣＵ１０（ＣＰＵ１１）は、セキュリティ通信に対する規制を解除した後、所定の終了条件が成立したと判定した時点で、セキュリティ通信を規制する。このため、正規の外部ツール６０が用いられた後、セキュリティ通信に対する規制が解除されたままの状態で、不正な外部ツールによるセキュリティ通信が行われてしまうことを抑制することができる。 Further, the GW-ECU 10 (CPU 11) restricts the security communication when it is determined that a predetermined termination condition is satisfied after releasing the restriction on the security communication. For this reason, after the legitimate external tool 60 is used, it is possible to prevent the security communication by an unauthorized external tool from being performed in a state where the restriction on the security communication is released.

特に、セキュリティ通信の終了条件には、セキュリティ通信の実行可能時間を制限するための条件が含まれる。このため、外部ツール６０から送信されるべき終了通知（通信が終了したことの通知）が、何らかの理由で受信できない状況においても、セキュリティ通信が規制された状態に戻すことができる。 In particular, the condition for terminating security communication includes a condition for limiting the executable time of security communication. For this reason, it is possible to return to a state in which security communication is restricted even in a situation where an end notification to be transmitted from the external tool 60 (notification that communication has ended) cannot be received for some reason.

また、セキュリティ通信の終了条件には、車両のイグニッションスイッチがオフの状態の場合にセキュリティ通信を規制するための条件が含まれる。つまり、イグニッションスイッチをオンの状態にすることが、セキュリティ通信の規制を解除するための１つの条件となる。このため、イグニッションスイッチの状態に関係なくセキュリティ通信の規制を解除する構成と比較して、セキュリティ性を高くすることができる。 In addition, the security communication end condition includes a condition for restricting the security communication when the ignition switch of the vehicle is off. That is, turning on the ignition switch is one condition for releasing the restriction of security communication. For this reason, compared with the structure which cancels | regulates the restriction | limiting of security communication irrespective of the state of an ignition switch, security can be made high.

また、セキュリティ通信の終了条件には、外部ツール６０からセキュリティ通信の終了が通知された後にセキュリティ通信を規制するための条件が含まれる。このため、外部ツール６０で行うべき通信が終了した時点で、セキュリティ通信が規制された状態に直ちに戻すことができる。 The security communication end condition includes a condition for restricting the security communication after the external tool 60 is notified of the end of the security communication. For this reason, when the communication to be performed by the external tool 60 is completed, it is possible to immediately return to the state where the security communication is restricted.

また、本実施形態の通信システムでは、外部ツール６０とＥＣＵ３０との間で行われる通信を、通常通信とセキュリティ通信とに大別し、通常通信については通信の規制を解除することなく行うことができるようにしている。このため、すべての通信について通信の規制を解除しなければならない構成と比較して、低いセキュリティ性で問題のない通信が開始されるまでの時間を短くすることができる。 In the communication system according to the present embodiment, communication performed between the external tool 60 and the ECU 30 is broadly classified into normal communication and security communication, and the normal communication can be performed without releasing the communication restriction. I can do it. For this reason, compared with the structure which must cancel | release the restriction | limiting of communication about all the communication, time until communication without a problem with low security can be shortened.

なお、本実施形態では、ＧＷ−ＥＣＵ１０が中継装置の一例に相当し、Ｓ１０７が取得手段としての処理（取得ステップ）の一例に相当し、Ｓ１１２が受信手段としての処理の一例に相当し、Ｓ１１５が規制解除手段としての処理（規制解除ステップ）の一例に相当、Ｓ１１９が規制手段としての処理の一例に相当する。また、外部ツール６０が車外装置の一例に相当し、Ｓ２０５が入力手段としての処理（入力ステップ）の一例に相当し、Ｓ２０９が生成手段としての処理（生成ステップ）の一例に相当し、Ｓ２１０が送信手段としての処理（送信ステップ）の一例に相当する。また、メータＥＣＵ２０が走行距離情報を管理する装置の一例に相当し、オドメータ表示部２４が走行距離計の一例に相当し、積算走行距離が走行距離情報の一例に相当する。また、ワンタイムパスワードが認証情報の一例に相当し、演算式に従った演算があらかじめ決められた演算の一例に相当し、回数値が付加情報の一例に相当し、セキュリティ通信が特定の通信の一例に相当する。また、ＥＣＵ３０が車載装置の一例に相当する。 In the present embodiment, the GW-ECU 10 corresponds to an example of a relay device, S107 corresponds to an example of a process (acquisition step) as an acquisition unit, S112 corresponds to an example of a process as a reception unit, and S115 Corresponds to an example of a process (regulation release step) as a restriction release means, and S119 corresponds to an example of a process as a restriction means. The external tool 60 corresponds to an example of an external device, S205 corresponds to an example of processing (input step) as an input unit, S209 corresponds to an example of processing (generation step) as a generation unit, and S210 This corresponds to an example of processing (transmission step) as transmission means. The meter ECU 20 corresponds to an example of a device that manages travel distance information, the odometer display unit 24 corresponds to an example of a travel distance meter, and the integrated travel distance corresponds to an example of travel distance information. Also, the one-time password corresponds to an example of authentication information, the calculation according to the calculation formula corresponds to an example of a predetermined calculation, the count value corresponds to an example of additional information, and the security communication is a specific communication. It corresponds to an example. The ECU 30 corresponds to an example of an in-vehicle device.

［４．他の実施形態］
以上、本発明の実施形態について説明したが、本発明は、上記実施形態に限定されることなく、種々の形態を採り得ることは言うまでもない。 [4. Other Embodiments]
As mentioned above, although embodiment of this invention was described, it cannot be overemphasized that this invention can take a various form, without being limited to the said embodiment.

上記実施形態では、ＧＷ−ＥＣＵ１０及び外部ツール６０の両方でワンタイムパスワードを生成し、これらが一致するか否かをＧＷ−ＥＣＵ１０が判定する構成を例示したが、これに限定されるものではない。例えば、ＧＷ−ＥＣＵ１０が、外部ツール６０で生成されたワンタイムパスワードに対して、外部ツール６０で用いられた演算式と逆の演算を行うことにより積算走行距離（及び回数値）を算出し、算出した値が正しいか否かを判定してもよい。 In the above-described embodiment, the one-time password is generated by both the GW-ECU 10 and the external tool 60, and the GW-ECU 10 determines whether or not they match, but the present invention is not limited to this. . For example, the GW-ECU 10 calculates the total travel distance (and the number of times) by performing a calculation opposite to the calculation formula used in the external tool 60 for the one-time password generated by the external tool 60. It may be determined whether the calculated value is correct.

１…車載システム、１０…ＧＷ−ＥＣＵ、１１…ＣＰＵ、２０…メータＥＣＵ、２４…オドメータ表示部、３０…ＥＣＵ、４０…バス、５０…コネクタ、６０…外部ツール、６１…制御部 DESCRIPTION OF SYMBOLS 1 ... In-vehicle system, 10 ... GW-ECU, 11 ... CPU, 20 ... Meter ECU, 24 ... Odometer display part, 30 ... ECU, 40 ... Bus, 50 ... Connector, 60 ... External tool, 61 ... Control part

Claims

An external device (60) for communicating with the in-vehicle device (30);
A relay device (10) that is mounted on a vehicle and relays communication performed between the external device and the in-vehicle device;
With
The outside device is
Input means (S205) for inputting mileage information displayed on the odometer (24) of the vehicle;
Generation means (S209) for generating authentication information by performing a predetermined calculation based on the travel distance information input by the input means;
Transmission means (S210) for transmitting the authentication information generated by the generation means to the relay device,
The relay device is
Acquisition means (S107) for acquiring the travel distance information from the device (20) for managing the travel distance information;
Receiving means (S112) for receiving the authentication information transmitted from the vehicle exterior device;
When it is determined that the authentication information received by the receiving unit is information generated by the calculation based on the travel distance information acquired by the acquiring unit, between the outside device and the in-vehicle device. And a restriction releasing means (S115) for releasing restriction on specific communication performed in step (S115).

The communication system according to claim 1,
The said odometer displays the said mileage information in the state in which the ignition switch of a vehicle is ON. The communication system characterized by the above-mentioned.

The communication system according to claim 1 or 2,
The generation unit generates the authentication information by performing the calculation based on the travel distance information and additional information that may be different even if the travel distance information is the same.

A communication system according to claim 3,
The communication system, wherein the additional information is information indicating the number of times the authentication information is generated based on the same travel distance information.

The communication system according to any one of claims 1 to 4, wherein
The relay device further includes a restriction unit (S119) that restricts the specific communication when it is determined that a predetermined termination condition is satisfied after the restriction on the specific communication is released by the restriction release unit. A communication system characterized by the above.

The communication system according to claim 5, wherein
The termination condition includes a condition for limiting an executable time of the specific communication.

The communication system according to claim 5 or 6,
The communication system according to claim 1, wherein the termination condition includes a condition for restricting the specific communication when the ignition switch of the vehicle is in an off state.

The communication system according to any one of claims 5 to 7,
The end condition includes a condition for restricting the specific communication after the end of the specific communication is notified from the external device.

A relay device that is mounted on a vehicle and relays communication performed between an external device and an in-vehicle device,
An acquisition means for acquiring the travel distance information from a device that manages travel distance information displayed on the odometer of the vehicle;
Receiving means for receiving authentication information from the vehicle exterior device;
When it is determined that the authentication information received by the receiving unit is information generated by performing a predetermined calculation based on the travel distance information acquired by the acquiring unit, the external device And a restriction release means for releasing restriction on specific communication performed between the vehicle-mounted device and the vehicle-mounted device,
A relay device comprising:

An external device for communicating with an in-vehicle device via a relay device mounted on a vehicle,
Input means for inputting mileage information displayed on the odometer of the vehicle;
Generating means for generating authentication information by performing a predetermined calculation based on the travel distance information input by the input means;
Transmitting means for transmitting the authentication information generated by the generating means to the relay device;
A vehicle exterior device comprising:

An external device for communicating with the in-vehicle device;
A relay device that is mounted on a vehicle and relays communication performed between the external device and the in-vehicle device;
A communication method between
An input step (S205) in which the outside device inputs mileage information displayed on the odometer of the vehicle;
A generation step (S209) in which the vehicle exterior device generates authentication information by performing a predetermined calculation based on the travel distance information input in the input step;
A transmission step (S210) in which the outside device transmits the authentication information generated in the generation step to the relay device;
An acquisition step (S107) in which the relay device acquires the travel distance information from a device that manages the travel distance information;
When the relay device determines that the authentication information received from the outside device is information generated by the calculation based on the travel distance information obtained in the obtaining step, the outside device and the in-vehicle device A deregulation step (S115) for deregulating a specific communication performed between
A communication method comprising: