JP5772609B2 - 車両通信システム - Google Patents

Description

本発明は、外部からのソフトウェア書き換えが可能な車両通信システムに関する。

近年、自動車の排出ガスに係る各種検出値が環境基準を満たしているかどうかを車載機器によって診断し、診断結果を故障診断ツール等の外部装置に表示できるように、外部装置との間でデータ通信を行うためのインターフェース（ＯＢＤ−IIポート）を、運転席の近くに装備することが義務付けられている（図５参照）。

ＯＢＤ−IIポートは、上記のように、本来、排出ガス規制に関する診断機能を提供するインターフェースであったが、車両の電子制御技術の進歩や電子制御装置（ＥＣＵ）の増加等に伴って様々な機能の追加に対応するものとなっている。具体的には、ＡＢＳやエアバッグのようなセーフティ機能に関する故障診断、車載ソフトウェアの不具合を修正するためのＥＣＵ上のソフトウェア書き換え、スマートキーを紛失したときの鍵のＩＤを初期化するためのソフトウェア書き換え等が必要なときに、それぞれ対応する外部装置に接続されるようになっている。

このようなＯＢＤ−IIポートの汎用的な使われ方は、利便性を有する一方、悪意をもった使用者（攻撃者）によって、ＥＣＵ上のソフトウェア書き換えといったソフトウェア攻撃が容易に行えるという脆弱性を有し、例えばスマートキーの鍵のＩＤを照合（認証）するＥＣＵ（イモビライザー）を書き換えられた場合には、車両の盗難被害に直結するため、被害の深刻度が高くなる。

これに対し、正規に使用される外部装置（正規ツール）を識別するためのコードを予め決めておき、外部装置から受信したコードが正規のものであるか否かを判定し、これに認証できた場合に限り、ソフトウェアの書き換えを行い、認証できない場合には、ソフトウェアの書き換えを中止する処理をＥＣＵに実行させる従来技術がある（例えば、特許文献１参照）。

特開平７−３１１６０３号公報

しかしながら、上記従来技術では、図６に示すように、不正に使用される外部装置（不正ツール）から短時間の間に、ソフトウェア書き換えを行うためのリプログリクエストを、各々に異なるコードがランダムに挿入された状態で次々に受けると、数あるリプログリクエストのなかからたまたま正規のコードが認証されてしまい、対象となるＥＣＵのソフトウェア書き換え（リプログラミング）が実行される被害に対処できない問題があった。

本発明は、上記問題点を解決するためになされたものであり、車両の電子制御装置に対する外部からの不正なソフトウェア書き換えを抑止することを目的とする。

上記目的を達成するためになされた発明である請求項１に記載の車両通信システムは、複数の電子制御装置がローカルエリアネットワークにそれぞれ接続されてなるシステムである。

本発明の車両通信システムでは、複数の電子制御装置のうち対象となる少なくとも一つの電子制御装置を対象制御装置とし、要求受信手段が、外部装置との間でデータ通信を行うための通信ポートを介して、対象制御装置上のソフトウェア書き換えを行うためのリプログラム要求を受信する。

そして、要求転送手段は、要求受信手段を介して受信したリプログラム要求に含まれている識別コードが、予め登録された登録コードと一致する場合に、そのリプログラム要求を対象制御装置にローカルエリアネットワークを介して送信する。一方、転送停止手段は、要求受信手段を介して受信したリプログラム要求に含まれている識別コードと登録コードとが不一致である場合、要求転送手段によるリプログラム要求の送信を予め設定された停止期間だけ禁止するように構成した。

このように構成された車両通信システムでは、不正ツールから短時間の間にリプログラム要求を、各々に異なる識別コードがランダムに挿入された状態で次々に受信した場合であっても、正規のものでない識別コードを含むリプログラム要求を受信する毎に所定期間のあいだ対象制御装置へのリプログラム要求の転送が禁止される。

よって、本発明の車両通信システムによれば、対象制御装置へのリプログラム要求の転送が禁止された期間のあいだに、たまたま正規の識別コードが挿入されたリプログラム要求を受信した場合であっても、そのリプログラム要求が転送されずに済むので、少なくとも攻撃者に時間をかけさせ、且つ正規のものとして認証してしまう確率を下げることができる。これにより、車両の電子制御装置に対する外部からの不正なソフトウェア書き換えを抑止することができる。

なお、通信ポートは、例えばＯＢＤ−IIポートのように外部装置と通信可能に有線接続されるポートであってもよいし、アンテナのように外部装置と通信可能に無線接続されるポートであってもよいし、あるいは、これらのポートに接続された電子制御装置（ＥＣＵ）を通信ポートとみなすこともできる。

また、対象制御装置は、例えばイモビライザーのように盗難防止に関わるＥＣＵであってもよいし、車両制御を行うＥＣＵや、ボデー制御を行うＥＣＵ、音響・画像・通信に関するＥＣＵであってもよい。

ところで、停止期間は、長く設定するほど不正なソフトウェア書き換えを抑止することができる一方、例えば誤作動等により正規ツールから誤った識別コードを含むリプログラム要求が車両通信システムに送られてしまうと、長い時間のあいだ、正規ツールから正しい識別コードを含むリプログラム要求を再送できなくなるという不便な側面も有する。

これに対して、本発明の車両通信システムでは、停止期間を対象制御装置毎に予め設定しておくことができる。
つまり、想定し得る被害の深刻度に応じて長い停止期間を個別に用意することで、不正ツールからの攻撃に対する抑止力と、正規ツールを用いる場合の利便性との調和をＥＣＵ毎に図ることが可能となり、より実情に沿った形態で外部からの不正なソフトウェア書き換えを抑止することができる。

また、本発明を構成する各手段は、上記通信ポートに接続されたものであれば車両通信システムにおけるいずれのＥＣＵに備えられてもよい。例えば、対象制御装置として採用され得る上記ＥＣＵのいずれかに備えられてもよいし、これら以外のＥＣＵに備えられてもよい。

さらに言えば、本発明を構成する各手段が備えられるＥＣＵは、車両通信システムのネットワーク構成に応じて決められてもよい。例えば、車両通信システムが一つ以上の電子制御装置がそれぞれ接続されてなる複数のローカルエリアネットワークを備える構成では、請求項２に記載のように、本発明を構成する各手段（要求受信手段、要求転送手段、転送停止手段）は、これら複数のローカルエリアネットワーク間のデータ通信を仲介するゲートウェイ装置に備えられてもよい。

このように構成された車両通信システムでは、上記各手段を備えるゲートウェイ装置が全てのローカルエリアネットワークに接続されているため、既存のネットワーク構成に大幅な設計変更を加えることなく、対象制御装置として採用され得る全てのＥＣＵについて、不正ツールによるソフトウェア書き換え（リプログラミング）から効率よく守ることができる。

車両通信システムの構成例を示すブロック図である。 ゲートウェイ装置の構成例を示すブロック図である。 ゲートウェイ装置が実行する処理の手順例を示すフローチャートである。 車両通信システムの動作例を示すチャート図である。 本発明の課題を説明するための第１の説明図である。 本発明の課題を説明するための第２の説明図である。 停止期間の詳細を説明するためのチャート図である。

以下に、本発明が適用された実施形態の車両通信システムとしての車両制御システムについて説明する。
［全体構成］
本実施形態の車両制御システム１は、図１に示すように、車両制御を行う電子制御装置（ＥＣＵ）が接続される制御系の車載ローカルエリアネットワーク（ＬＡＮ）３ａと、ボデー制御を行うＥＣＵが接続されるボデー系の車載ＬＡＮ３ｂと、音響，画像，通信に関するＥＣＵが接続されるＡＶＣ系の車載ＬＡＮ３ｃと、盗難防止に関わるＥＣＵが接続されるイモビ系の車載ＬＡＮ３ｄと、これら車載ＬＡＮ３ａ〜３ｄを相互に接続して車載ＬＡＮ３ａ〜３ｄ間の通信を仲介するゲートウェイＥＣＵ５とを備えている。なお、以下では、車載ＬＡＮ３ａ〜３ｄを総称する場合に車載ＬＡＮ３と記すものとする。

そして、制御系の車載ＬＡＮ３ａには、エンジンの始動・停止や、燃料噴射量，点火時期の制御を行うエンジンＥＣＵ６が少なくとも接続され、ボデー系の車載ＬＡＮ３ｂには、ドアの施錠，開錠を制御するドアロックＥＣＵ７が少なくとも接続され、イモビ系の車載ＬＡＮ３ｄには、ユーザが携帯する携帯機２０との間で無線通信を行い、盗難防止のための認証処理等を行う認証ＥＣＵ８が少なくとも接続されている。

なお、携帯機２０は、実行すべき車両制御（例えばドアの施錠・開錠）を選択するための複数の選択キーと、携帯機２０に予め割り当てられた鍵ＩＤを記憶するメモリと、認証ＥＣＵ８に無線信号を送信する通信機と、選択キーが操作されると、メモリに記憶された鍵ＩＤを、操作された選択キーに対応するコマンドに付加して通信機に送信させる制御回路とを備える。さらに、携帯機２０の制御回路は、車両制御システム１から後述する送信要求を受信すると、メモリに記憶された鍵ＩＤを通信機に送信させるようにも構成されている。

また、各ＥＣＵ５〜８は、いずれもＣＰＵ及びメモリを含む周知のマイクロコンピュータ（以下「マイコン」と略す）を中心に構成され、車載ＬＡＮ３を介して通信を行う通信回路を少なくとも備えている。

そして、エンジンＥＣＵ６のＣＰＵは、車載ＬＡＮ３を介してエンジンの始動を指示するコマンド（始動コマンド）を受信すると、スタータ３６を駆動してエンジンを始動する制御を少なくとも実行し、ドアロックＥＣＵ７のＣＰＵは、車載ＬＡＮ３を介してドアの施錠又は開錠を指示するコマンド（施錠・開錠コマンド）を受信すると、ドアロックモータ３７を駆動してドアを施錠又は開錠する制御を少なくとも実行するように構成されている。

また、認証ＥＣＵ８のメモリには、携帯機２０に割り当てられた鍵ＩＤと同じものが照合ＩＤとして記憶されているとともに、この照合ＩＤを初期化するために必要なコードとして予め割り当てられた登録コードが記憶されている。

そして、認証ＥＣＵ８のＣＰＵは、携帯機２０からの無線信号（具体的には鍵ＩＤが付加されたコマンド）を、通信機３８を介して受信すると、その受信信号に含まれている鍵ＩＤと、メモリに記憶された照合ＩＤとが一致するか否かを判断し、両者のＩＤが一致する場合に限り、そのコマンドに応じたＥＣＵ（始動コマンドであればエンジンＥＣＵ６、施錠・開錠コマンドであればドアロックＥＣＵ７）にコマンドを転送するユーザ認証処理を実行する。

なお、認証ＥＣＵ８のＣＰＵは、車両に設けられたエンジンスタートボタン（非図示）の押下を検知すると、通信機３８を介して外部に送信要求を送信し、これに応答する携帯機２０から通信機３８を介して受信した鍵ＩＤと、メモリに記憶された照合ＩＤとが一致すれば、始動コマンドをエンジンＥＣＵ６に車載ＬＡＮ３を介して送信するようにもなっている。

さらに、認証ＥＣＵ８のＣＰＵは、ゲートウェイＥＣＵ５から車載ＬＡＮ３を介して、メモリに記憶された照合ＩＤを初期化するためのリプログラム要求（本明細書では「リプログリクエスト」とも称する）を受信すると、その受信したリプログリクエストに含まれている識別コードと、メモリに記憶された登録コードとが一致するか否かを判断し、一致する場合に限り、メモリに記憶された照合ＩＤを初期化するように構成されている。なお、照合ＩＤが初期化されると、その後に通信機３８を介して最初に受信した鍵ＩＤが照合ＩＤとしてメモリに登録されるものとする。

［ゲートウェイＥＣＵ］
ゲートウェイＥＣＵ５は、図２に示すように、マイコン３０と、車載ＬＡＮ３を介して車内のＥＣＵ６〜８との間でデータ通信を行う通信回路（以下「車内用通信回路」と称する）１１に加えて、ＯＢＤ−IIポート４を介して外部装置との間でデータ通信を行う通信回路（以下「車外用通信回路」という）２１を備える。

なお、ＯＢＤ−IIポート４は、前述のように、車両の運転席の近く（ハンドル周辺）に設置されるコネクタであり、車両の排出ガスに係る診断や車両機能の故障診断に加えて、ソフトウェアの不具合や鍵ＩＤ（ひいては照合ＩＤ）の初期化等に係るソフトウェア書き換え等が必要なときに、それぞれ対応する各種の外部装置に接続される通信ポートである。

車内用通信回路１１は、車載ＬＡＮ３を介してＥＣＵ６〜８に送信するための各種データが蓄積される送信バッファ１３と、車載ＬＡＮ３を介してＥＣＵ６〜８から受信した各種データが蓄積される受信バッファ１５と、車載ＬＡＮ３の各々のプロトコルに従ってデータ通信を行うための各種制御を行う車内用通信制御ＩＣ１７とを備える。

車内用通信制御ＩＣ１７は、マイコン３０から受け取った各種データを送信バッファ１３に記憶させるとともに、送信バッファ１３に蓄積された各種データの送信順を設定したり、他のＥＣＵ６〜８との間で車載ＬＡＮ３の通信線１０の使用権に関する調停を行うとともに、受信バッファ１５に蓄積された各種データを適宜マイコン３０に受け渡したりする。

一方、車外用通信回路２１は、ＯＢＤ−IIポート４を介して外部装置に送信するための各種データが蓄積される送信バッファ２３と、ＯＢＤ−IIポート４を介して外部装置から受信した各種データが蓄積される受信バッファ２５と、マイコン３０から受け取った各種データを送信バッファ２３に記憶させて順に外部装置に送信するとともに、受信バッファ２５に蓄積された各種データを順にマイコン３０に受け渡す車外用通信制御ＩＣ２７とを備える。

マイコン３０のメモリには、認証ＥＣＵ８のメモリに記憶された登録コードと同じものが記憶されている。そして、マイコン３０のＣＰＵは、車内用通信回路１１を制御して車載ＬＡＮ３ａ〜３ｄ間の通信を仲介する車内ゲートウェイ処理を行うとともに、メモリに記憶されたプログラムに基づいて以下の車外ゲートウェイ処理を実行するように構成されている。

［車外ゲートウェイ処理］
次に、車外ゲートウェイ処理の手順を図３のフローチャートに沿って説明する。なお、本実施形態の車外ゲートウェイ処理は、ＯＢＤ−IIポート４に外部装置が接続されると開始し、ＯＢＤ−IIポート４と外部装置とが非接続状態になると終了するようにされている。

本処理が開始されると、まず、Ｓ１１０では、外部装置から車外用通信回路２１を介して（つまり、ＯＢＤ−IIポート４経由の）リプログリクエストを受信したか否かを判断し、ここで肯定的に判断した場合には、Ｓ１２０に移行し、一方、否定的に判断した場合には、リプログリクエストを受信するまで待機する。

なお、本実施形態のリプログリクエストは、前述のように認証ＥＣＵ８のメモリに記憶された照合ＩＤを初期化するためのものの他、制御系の車載ＬＡＮ３ａに接続されたＥＣＵ（制御系ＥＣＵ）や、ボデー系の車載ＬＡＮ３ｂに接続されたＥＣＵ（ボデー系ＥＣＵ）、ＡＶＣ系の車載ＬＡＮ３ｃに接続されたＥＣＵ（ＡＶＣ系ＥＣＵ）、イモビ系の車載ＬＡＮ３ｄに接続されたＥＣＵ（イモビ系ＥＣＵ）、ゲートウェイＥＣＵ５等のソフトウェア書き換え等もあり得る。このため、リプログリクエストには、前述の識別コードの他、ソフトウェア書き換えの対象となるＥＣＵ（対象ＥＣＵ）を指定するための情報も含まれている。

Ｓ１２０では、後述するＳ１６０にて開始された停止期間が継続しているか否かを判断し、ここで肯定的に判断した場合には、Ｓ１８０に移行し、一方、否定的に判断した場合、つまり停止期間が終了している場合か停止期間がＳ１６０にて開始されていない場合には、Ｓ１３０に移行する。

Ｓ１３０では、Ｓ１１０にて受信したリプログリクエストのなかから識別コードを抽出し、続くＳ１４０では、Ｓ１３０にて抽出した識別コードが、マイコン３０のメモリに記憶された登録コードと一致するか否かを判断し、ここで肯定的に判断した場合には、Ｓ１５０に移行し、一方、否定的に判断した場合には、Ｓ１６０に移行する。

Ｓ１５０では、識別コードと登録コードとが一致することから、ＯＢＤ−IIポート４に接続された外部装置が正規のもの（正規ツール）であるとみなすことができるため、Ｓ１１０にて受信したリプログリクエストを車載ＬＡＮ３へ転送する処理（要求転送処理）を実行する。具体的には、Ｓ１１０にて受信したリプログリクエストのなかから対象ＥＣＵを指定するための情報を抽出し、当該リプログリクエスト車載ＬＡＮ３を介してその対象ＥＣＵに送信する。

例えば、対象ＥＣＵが認証ＥＣＵ８である場合には、リプログリクエストが認証ＥＣＵ８に転送されると、認証ＥＣＵ８のＣＰＵは、再び識別コードと登録コードとが一致するか否かを判定し、一致すればメモリに記憶された照合ＩＤを初期化する等のリプログラミングを行うことになる。

よって、正規のものでない外部装置（不正ツール）からたまたま登録コードと一致する識別コードを含むリプログリクエストを受信してしまうと、上記のように照合ＩＤが初期化されてしまい、即ち、攻撃者が所持する偽の携帯機から受信した鍵ＩＤに照合ＩＤが書き換えられてしまい、その結果、偽の携帯機によって、例えばエンジンが始動され、車両の盗難に遭うリスクが生じる。

このため、Ｓ１４０にて識別コードと登録コードとが不一致であると判断した場合には、Ｓ１５０における要求転送処理の実行を所定期間のあいだ禁止する。具体的には、Ｓ１６０では、この要求転送処理の実行を禁止するために予め設定された停止期間をセットし、続くＳ１７０では、Ｓ１６０にてセットされた停止期間のカウントを開始する。

なお、停止期間は、図７に示すように、対象ＥＣＵ毎に設定されており、本実施形態では、ボデー系ＥＣＵに対する停止期間が最も短く、イモビ系ＥＣＵに対する停止期間が最も長く設定されている。

そして、続くＳ１８０では、Ｓ１７０にてカウントを開始した停止期間が満了したか否かを判断し、ここで肯定判断した場合には、Ｓ１１０に戻り、一方、否定判断した場合には、Ｓ１９０に移行する。なお、Ｓ１９０では、Ｓ１６０にてセットした停止期間を解除し、Ｓ１１０に戻る。

［動作］
このように構成された車両制御システム１では、図４（ａ）に示すように、正規ツールからＯＢＤ−IIポート４を介して正常なリプログリクエストを受信すると、ゲートウェイＥＣＵ（ＧＷ−ＥＣＵ）５が実行する車外ゲートウェイ処理によって認証が成功し、正常なリプログリクエストが対象ＥＣＵに転送される。

そして、正常なリプログラムリクエストをゲートウェイＥＣＵ５から受信した対象ＥＣＵが、自身のメモリに記憶されたプログラムやデータを書き換えるリプログラミング（例えば認証ＥＣＵ８であれば照合ＩＤの初期化等）を行い、そのリプログラミングが正常に行われたことを表す応答信号（正常応答）を、ゲートウェイＥＣＵ５を介して正規ツールに返信する。

一方、図４（ｂ）に示すように、不正ツールからＯＢＤ−IIポート４を介して不正なリプログリクエストを受信すると、ゲートウェイＥＣＵ（ＧＷ−ＥＣＵ）５が実行する車外ゲートウェイ処理によって認証不可となり、これによりリプログリクエストの対象ＥＣＵへの転送が所定の停止期間のあいだ禁止される。

これにより、停止期間のあいだに、不正ツールから各々に異なる識別コードがランダムに挿入された（総当りによる）リプログリクエストを次々と受信し、そのなかにたまたま登録コードと同じコードとしての正規の識別コードを含むリプログリクエストが混入している場合であっても、このような不正ツールからのリプログリクエストが対象ＥＣＵに転送されずに済むことになる。

また、停止期間が解除された後に、不正ツールから最初に送られてくるリプログリクエストの識別コードが登録コードと一致しない限り、再び停止期間がセットされ、同様に不正ツールからの総当りによるリプログリクエストから、対象ＥＣＵが守られることになる。

［効果］
以上説明したように、本実施形態の車両制御システム１では、外部装置から不正なリプログリクエストを受信する毎に、不正ツールが複数のリプログリクエストを送信してくる期間よりも長い停止期間がセットされるため、不正ツールから送られてくる正規の識別コードを含むリプログリクエストを認証してしまう確率を下げることができる。

従って、本実施形態の車両制御システム１によれば、不正ツールを使用する攻撃者がソフトウェア書き換えを試みなければならない時間を増やすことが可能となり、その結果、攻撃者にそのような試みを諦めさせることに繋がり、これにより、車両の電子制御装置に対する外部からの不正なソフトウェア書き換えを抑止することができる。

また、車両制御システム１では、イモビ系ＥＣＵに対する停止期間が最も長くセットされるため、不正ツールによって認証ＥＣＵ８のメモリに記憶された照合ＩＤが初期化されてしまう確率を比較的大きく下げることができ、これにより車両の盗難に対する抑止力を高めることができる。

さらには、車両制御システム１では、ゲートウェイＥＣＵ５だけでなく、対象ＥＣＵ（例えば認証ＥＣＵ８）もリプログリクエストに含まれる識別コードと登録コードとが一致するか否かを判定する処理を行うため、ゲートウェイＥＣＵ５が誤判定して不正なリプログリクエストを転送してしまった場合であっても、対象ＥＣＵへの不正なリプログラミングを防止することができる。

なお、本実施形態において、ＯＢＤ−IIポート４が通信ポート、車外用通信回路２１およびＳ１１０の処理を実行するマイコン３０が要求受信手段、車内用通信回路１１およびＳ１３０〜Ｓ１５０の処理を実行するマイコン３０が要求転送手段、Ｓ１２０〜Ｓ１４０およびＳ１６０〜Ｓ１９０の処理を実行するマイコン３０が転送停止手段の各一例にそれぞれ相当する。

［他の実施形態］
以上、本発明の実施形態について説明したが、本発明は上記実施形態に限定されるものではなく、本発明の要旨を逸脱しない範囲において、様々な態様にて実施することが可能である。

例えば、上記実施形態の車両制御システム１では、通信ポートの一例としてＯＢＤ−IIポート４を挙げたが、ＯＢＤ−IIポート４のように有線接続されるものに限らず、例えば通信機３８のように無線接続されるものであってもよい。

また、上記実施形態の車両制御システム１では、要求受信手段、要求転送手段および転送停止手段を備える構成要素の一例としてゲートウェイＥＣＵ５を挙げたが、これに限定されるものではなく、例えば通信機３８に接続された認証ＥＣＵ８であってもよいし、上記以外の通信ポートと他のＥＣＵとの間の通信を仲介する他のＥＣＵであってもよい。

また、上記実施形態の車両制御システム１では、ボデー系ＥＣＵに対する停止期間が最も短く、イモビ系ＥＣＵに対する停止期間が最も長く設定されているが、これらに限定されるものではなく、停止期間は、想定される被害の深刻度に応じて設定されていればよい。さらに言えば、停止期間は、車載ＬＡＮ３に接続されたＥＣＵ毎により細分化して設定されてもよい。

１…車両制御システム、３ａ…制御系車載ＬＡＮ、３ｂ…ボデー系車載ＬＡＮ、３ｃ…ＡＶＣ系車載ＬＡＮ、３ｄ…イモビ系車載ＬＡＮ４…ＯＢＤ−IIポート、５…ゲートウェイＥＣＵ、６…エンジンＥＣＵ、７…ドアロックＥＣＵ、８…認証ＥＣＵ、１１…車内用通信回路、２０…携帯機、２１…車外用通信回路、３０…マイコン、３６…スタータ、３７…ドアロックモータ、３８…通信機。

Claims (2)

1. 複数の電子制御装置がローカルエリアネットワークにそれぞれ接続されてなる車両通信システムであって、
   前記複数の電子制御装置のうち対象となる少なくとも一つの電子制御装置を対象制御装置とし、外部装置との間でデータ通信を行うための通信ポートを介して、該対象制御装置上のソフトウェア書き換えを行うためのリプログラム要求を受信する要求受信手段と、
   前記要求受信手段を介して受信したリプログラム要求に含まれている識別コードが、予め登録された登録コードと一致する場合に、該リプログラム要求を前記対象制御装置に前記ローカルエリアネットワークを介して送信する要求転送手段と、
   前記要求受信手段を介して受信したリプログラム要求に含まれている識別コードと前記登録コードとが不一致である場合、前記要求転送手段による該リプログラム要求の送信を予め設定された停止期間だけ禁止する転送停止手段と、
   を備え、
   前記停止期間は、前記対象制御装置毎に設定されていることを特徴とする車両通信システム。
2. 一つ以上の電子制御装置がそれぞれ接続される複数のローカルエリアネットワークと、
   これら複数のローカルエリアネットワーク間のデータ通信を仲介するゲートウェイ装置と、
   を備えた車両通信システムであって、
   前記複数の電子制御装置のうち対象となる少なくとも一つの電子制御装置を対象制御装置とし、
   前記ゲートウェイ装置は、
   外部装置との間でデータ通信を行うための通信ポートを介して、該対象制御装置上のソフトウェア書き換えを行うためのリプログラム要求を受信する要求受信手段と、
   前記要求受信手段を介して受信したリプログラム要求に含まれている識別コードが、予め登録された登録コードと一致する場合に、該リプログラム要求を前記対象制御装置に前記ローカルエリアネットワークを介して送信する要求転送手段と、
   前記要求受信手段を介して受信したリプログラム要求に含まれている識別コードと前記登録コードとが不一致である場合、前記要求転送手段による該リプログラム要求の送信を予め設定された停止期間だけ禁止する転送停止手段と、
   を備え、
   前記停止期間は、前記対象制御装置毎に設定されていることを特徴とする車両通信システム。