JP5900007B2

JP5900007B2 - 車両用データ通信認証システム及び車両用ゲートウェイ装置

Info

Publication number: JP5900007B2
Application number: JP2012033945A
Authority: JP
Inventors: 英智内藤; 充啓夏目; 雄三原田; 正一郎花井
Original assignee: Denso Corp
Current assignee: Denso Corp
Priority date: 2012-02-20
Filing date: 2012-02-20
Publication date: 2016-04-06
Anticipated expiration: 2032-02-20
Also published as: JP2013171378A

Description

本発明は、ＥＣＵ（電子制御ユニット）が接続されているバスに外部ツールを接続可能な車両用データ通信認証システム、車両用データ通信認証システムに外部ツールとＥＣＵとを切分けるように接続される車両用ゲートウェイ装置に関する。

従来より、ＥＣＵ（Electronic Control Unit、電子制御ユニット）が接続されているバスに外部ツールを接続し、その外部ツールを操作することで、ＥＣＵにアクセスすることが可能となる構成が開示されている。ＥＣＵにアクセスすることで、ＥＣＵの制御プログラムを書換えたり、ＥＣＵからデータを読出したりする等が可能となる（例えば特許文献１参照）。

特開２００４−１９２２７７号公報

ところで、外部ツールとバスとの間の接続インタフェースやデータ通信方式の仕様は公開されている。そのため、正規の作業者が正規な外部ツールをバスに接続することのみならず、悪意を持った第三者が不正な外部ツールをバスに接続することが懸念されている。不正な外部ツールがバスに接続されると、ＥＣＵの制御プログラムが不正に書換えられたり、ＥＣＵから不正にデータが読出されたりする等（所謂成りすましが行われること）の被害を受けることが懸念される。そもそも外部ツールとＥＣＵとの間で規定されているデータ通信方式であるＣＡＮ（Controller Area Network）通信では、データフレームを同報する方式であることから、盗聴や解析が容易であるという事情がある。更に、データを格納するデータフィールド、データフレームの種別を識別する識別子フィールド、ＣＲＣ（cyclic redundancy check）チェックを格納するＣＲＣフィールド等が規定されている一方、データフレームの発信元（発アドレス）を識別するソースフィールド、データフレームを認証する認証フィールドが規定されていないという事情もある。このような事情から、不正な外部ツールがバスに接続されたことに対する防御対策が望まれている。

本発明は、上記した事情に鑑みてなされたものであり、その目的は、ＥＣＵが接続されているバスに不正な外部ツールが接続された場合であっても、不正な外部ツールが接続されたことによる被害を抑制することができ、セキュリティ性を高めることができる車両用データ通信認証システム及び車両用ゲートウェイ装置を提供することにある。

請求項１に記載した車両用データ通信認証システムによれば、外部ツールに対して認証を行い、外部ツールに対して行った認証結果が正であると判定すると、バスに接続されている外部ツールが正規な外部ツールであると特定し、認証状態を設定し、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する。よって、正規な外部ツールからアクセス対象のＥＣＵへのアクセスを許可することができる。一方、外部ツールに対して行った認証結果が否であると判定すると、バスに接続されている外部ツールが不正な外部ツールであると特定し、認証状態を設定することなく、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を拒否する。よって、不正な外部ツールからアクセス対象のＥＣＵへのアクセスを拒否することができる。これにより、不正な外部ツールが接続されたことによる被害を抑制することができ、セキュリティ性を高めることができる。

又、認証状態を維持する期間、即ち、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する期間を、アクセス対象のＥＣＵから認証状態維持要求信号が入力されている期間に設定する。よって、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する期間を管理することができる。これにより、データ通信を許可する期間を不要に継続することを未然に回避することができる等、セキュリティ性をより一層高めることができる。

請求項１０に記載した車両用データ通信認証システムによれば、外部ツールに対して認証を直接的に行えない場合であっても、車両状態に対して認証を行うことで外部ツールに対して認証を間接的に行う。即ち、正規な外部ツールがバスに接続されている状況では車両状態が正常であると見做し、一方、不正な外部ツールがバスに接続されている状況では車両状態が異常であると見做し、車両状態に対して認証を行う。車両状態に対して行った認証結果が正であると判定すると、バスに接続されている外部ツールが正規な外部ツールであると特定し、認証状態を設定し、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する。よって、正規な外部ツールからアクセス対象のＥＣＵへのアクセスを許可することができる。一方、車両状態に対して行った認証結果が否であると判定すると、バスに接続されている外部ツールが不正な外部ツールであると特定し、認証状態を設定することなく、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を拒否する。よって、不正な外部ツールからアクセス対象のＥＣＵへのアクセスを拒否することができる。これにより、不正な外部ツールが接続されたことによる被害を抑制することができ、セキュリティ性を高めることができる。

又、この場合も、認証状態を維持する期間、即ち、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する期間を、アクセス対象のＥＣＵから認証状態維持要求信号が入力されている期間に設定する。よって、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する期間を管理することができる。これにより、データ通信を許可する期間を不要に継続することを未然に回避することができる等、セキュリティ性をより一層高めることができる。

請求項１７に記載した車両用ゲートウェイ装置によれば、上記した請求項１に記載したものと同様の作用効果を得ることができる。即ち、不正な外部ツールが接続されたことによる被害を抑制することができ、セキュリティ性を高めることができる。又、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する期間を管理することができ、データ通信を許可する期間を不要に継続することを未然に回避することができる等、セキュリティ性をより一層高めることができる。更に、この場合は、外部ツールに対する認証、認証状態の設定、認証状態の維持を車両用ゲートウェイ装置で一括して行うので、車両用ゲートウェイ装置を追加（増設）することで実現することができ、既存のシステムの変更を極力抑えつつ実現することができる。

請求項２０に記載した車両用ゲートウェイ装置によれば、上記した請求項１０に記載したものと同様の作用効果を得ることができる。即ち、不正な外部ツールが接続されたことによる被害を抑制することができ、セキュリティ性を高めることができる。又、外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する期間を管理することができ、データ通信を許可する期間を不要に継続することを未然に回避することができる等、セキュリティ性をより一層高めることができる。更に、この場合も、外部ツールに対する認証、認証状態の設定、認証状態の維持を車両用ゲートウェイ装置で一括して行うので、車両用ゲートウェイ装置を追加（増設）することで実現することができ、既存のシステムの変更を極力抑えつつ実現することができる。

本発明の第１の実施形態を示す機能ブロック図シーケンス図図２相当図図２相当図図２相当図図２相当図図２相当図図２相当図図２相当図本発明の第２の実施形態を示す図１相当図図２相当図本発明の第３の実施形態を示す図１相当図図２相当図本発明の第４の実施形態を示す図１相当図図２相当図本発明の第５の実施形態を示す図１相当図図２相当図本発明の第６の実施形態を示す図１相当図図２相当図本発明の第７の実施形態を示す図２相当図本発明の第８の実施形態を示す図２相当図本発明の第９の実施形態を示す図２相当図本発明の第１０の実施形態を示す図２相当図

以下、本発明の第１の実施形態について、図１乃至図９を参照して説明する。図１に示すように、車両用データ通信認証システム１において、車両用ゲートウェイ装置２は、複数（図１では２個の）のＥＣＵ（Electronic Control Unit、電子制御ユニット）３及びＥＣＵ４と、作業者が操作可能な外部ツール（操作機器）５を切分ける（分断する）ようにバス６に接続されている。ここでは、車両用ゲートウェイ装置２から見てＥＣＵ３及びＥＣＵ４側のバス６、即ち、車両用ゲートウェイ装置２とＥＣＵ３及びＥＣＵ４との間でデータを伝送するバス６をＥＣＵ側バス６ａと称する。又、車両用ゲートウェイ装置２から見て外部ツール５側のバス６、即ち、車両用ゲートウェイ装置２と外部ツール５との間でデータを伝送するバス６を外部ツール側バス６ｂと称する。

ＥＣＵ３及びＥＣＵ４は、例えばエンジンの動作を制御するエンジンＥＣＵ、ドアロック機構の動作を制御するドアロックＥＣＵ、ナビゲーションの動作を制御するナビゲーションＥＣＵ、メーター動作を制御するメーターＥＣＵ等の周知のＥＣＵである。ＥＣＵの個数は３個以上であっても良いし、１個のみであっても良い。外部ツール側バス６ｂには外部ツール５を着脱可能なコネクタ７が設けられており、外部ツール５は、コネクタ７に装着されることで外部ツール側バス６ｂに接続され、車両用ゲートウェイ装置２との間でのデータ通信が可能となる。

バス６はデータ通信方式としてＣＡＮ（Controller Area Network）通信が採用されている。ＣＡＮ通信では、データを格納するデータフィールド、データフレームの種別を識別する識別子フィールド、ＣＲＣ（cyclic redundancy check）チェックを格納するＣＲＣフィールド等が規定されているが、データフレームの発信元（発アドレス）を識別するソースフィールド、データフレームを認証する認証フィールドが規定されていない。

車両用ゲートウェイ装置２は、制御部２ａと、ＥＣＵ側バス通信部２ｂと、外部ツール側バス通信部２ｃと、認証部２ｄ（第１の認証手段、第２の認証手段に相当）と、認証制御部２ｅ（第１の認証制御手段、第２の認証制御手段に相当）と、通信制御部２ｆ（第１の通信制御手段、第２の通信制御手段に相当）と、フィルタリング部２ｇと、認証維持部２ｈ（第１の認証維持手段、第２の認証維持手段に相当）とを有する。

制御部２ａは、マイクロコンピュータを有して構成されており、マイクロコンピュータが制御プログラムを実行することで、ＥＣＵ側バス通信部２ｂ、外部ツール側バス通信部２ｃ、認証部２ｄ、認証制御部２ｅ、通信制御部２ｆ、フィルタリング部２ｇ、認証維持部２ｈの動作を制御する。ＥＣＵ側バス通信部２ｂは、ＥＣＵ側バス６ａに接続されており、ＥＣＵ３及びＥＣＵ４との間でデータの送受信動作を制御する。外部ツール側バス通信部２ｃは、外部ツール側バス６ｂに接続されており、コネクタ７に外部ツール５が接続されている状態で、その外部ツール５との間でデータの送受信動作を制御する。

認証部２ｄは、コネクタ７に外部ツール５が接続されている状態で、その外部ツール５に対して認証を行う（認証の手順については後述する）。認証制御部２ｅは、認証部２ｄが外部ツール５に対して行った認証結果に基づいて、外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を許可するか拒否するかを設定する。即ち、認証制御部２ｅは、外部ツール５に対して行った認証結果が正であると判定すると、認証状態を設定し、外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を許可する。一方、認証制御部２ｅは、外部ツール５に対して行った認証結果が否であると判定すると、認証状態を設定することなく、外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を拒否する。

通信制御部２ｆは、認証部２ｄが外部ツール５に対して行った認証結果に拘らず、外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を許可するか拒否するかを設定する。通信制御部２ｆは、車両用データ通信では一部のデータ通信を常に許可する必要があるので、外部からの認証状態が設定されていない期間、即ち、外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を拒否する期間において特定のデータ（例えば後述する法規メッセージ）については例外的に外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を許可する。フィルタリング部２ｇは、認証制御部２ｅ又は通信制御部２ｆが外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を拒否している状態で、特定のデータ通信のみを例外的に許可する。認証維持部２ｈは、認証制御部２ｅが認証状態を設定すると、その設定した認証状態、即ち、外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を許可する期間を維持する。

尚、制御部２ａは、外部ツール５から外部ツール側バス通信部２ｃにより受信した平文のコマンドを暗号化して暗文のコマンドに書換える暗号化機能、ＥＣＵ３やＥＣＵ４からＥＣＵ側バス通信部２ｂにより受信した暗文のコマンドを復号化して平文のコマンドに書換える復号化機能を有する。ここでいう暗号化及び復号化とは、公開鍵により暗号化して秘密鍵により復号化する公開鍵暗号方式や、共通鍵により暗号化及び復号化する共通鍵暗号方式等の周知の方式である。

ＥＣＵ３は、制御部３ａと、バス通信部３ｂと、車両状態入力部３ｃとを有する。制御部３ａは、マイクロコンピュータを有して構成されており、マイクロコンピュータが制御プログラムを実行することで、バス通信部３ｂ、車両状態入力部３ｃの動作を制御する。バス通信部３ｂは、ＥＣＵ側バス６ａに接続されており、車両用ゲートウェイ装置２との間でデータの送受信動作を制御する。車両状態入力部３ｃは、外部（各種センサ、別のＥＣＵ、無線機等）から車両状態を入力する。車両状態入力部３ｃが入力する車両状態は、例えばイモビライザの状態（施錠状態又は解除状態）、イグニッション（ＩＧ）スイッチの状態（オン状態又はオフ状態）、ドアの状態（開状態又は閉状態）等である。

ＥＣＵ４は、制御部４ａと、バス通信部４ｂとを有する。制御部４ａは、マイクロコンピュータを有して構成されており、マイクロコンピュータが制御プログラムを実行することで、バス通信部４ｂの動作を制御する。バス通信部４ｂは、ＥＣＵ側バス６ａに接続されており、車両用ゲートウェイ装置２との間でデータの送受信動作を制御する。

尚、ＥＣＵ３やＥＣＵ４は、例えばエンジンＥＣＵであれば、上記した機能ブロックの他にエンジンの動作を制御する機能ブロック（図示せず）を有し、ドアロックＥＣＵであれば、上記した機能ブロックの他にドアロック機構の動作を制御する機能ブロック（図示せず）を有する。ＥＣＵ３やＥＣＵ４は、エンジンＥＣＵやドアロックＥＣＵ以外のＥＣＵであっても同様である。又、ＥＣＵ３とＥＣＵ４との双方が外部から車両状態を入力する構成であっても良い。

外部ツール５は、制御部５ａと、バス通信部５ｂと、入出力インタフェース（ＩＦ）部５ｃとを有する。制御部５ａは、マイクロコンピュータを有して構成されており、マイクロコンピュータが制御プログラムを実行することで、バス通信部５ｂ、入出力ＩＦ部５ｃの動作を制御する。バス通信部５ｂは、外部ツール側バス６ｂに接続されており、車両用ゲートウェイ装置２との間でデータの送受信動作を制御する。入出力ＩＦ部５ｃは、外部ツール５を操作する作業者からの操作入力を受付けたりデータを表示して通知したりする機能を有する。

即ち、作業者は、外部ツール５をコネクタ７に接続し、外部ツール５にて操作入力を行うことで、アクセス対象のＥＣＵの制御プログラムを書換えたり、アクセス対象のＥＣＵからデータを読出したりすることが可能である。尚、外部ツール５は、アクセス対象のＥＣＵの制御プログラムを書換えたり、アクセス対象のＥＣＵからデータを読出したりする専用の機器に限らず、それらの機能を有する携帯電話機や携帯情報端等であっても良い。

次に、上記した構成の作用について、図２乃至図９を参照して説明する。ここでは、ＥＣＵ４がアクセス対象のＥＣＵであり、外部ツール５からアクセス対象のＥＣＵ４へデータ要求コマンドが送信されることで、アクセス対象のＥＣＵ４の制御プログラムが書換えられたりアクセス対象のＥＣＵ４からデータが読出されたりする場合を説明する。

外部ツール５において、制御部５ａは、外部ツール５がコネクタ７に接続されたと判定すると、認証シード要求コマンドをバス通信部５ｂから車両用ゲートウェイ装置２へ送信させる。車両用ゲートウェイ装置２において、制御部２ａは、外部ツール５から認証シード要求コマンドを外部ツール側バス通信部２ｃにより受信したと判定すると、認証シードを生成し（ステップＢ１）、その生成した認証シードを外部ツール側バス通信部２ｃから外部ツール５へ送信させる。認証シードは、後述する認証コードを生成する際に使用される情報であり、乱数で表記される。

外部ツール５において、制御部５ａは、車両用ゲートウェイ装置２から認証シードをバス通信部５ｂにより受信したと判定すると、その認証シードに基づいて（認証シードと関連付けて）認証コードを生成し（ステップＡ１）、その生成した認証コードをバス通信部５ｂから車両用ゲートウェイ装置２へ送信させる。認証コードは、上記した認証シードと同様に乱数で表記される。尚、以上は、外部ツール５が認証シードを保有しない場合を説明したが、外部ツール５が自らで認証シードを保有していれば、外部ツール５が自らで保有している認証シードに基づいて認証コードを生成し、その生成した認証コードをバス通信部５ｂから車両用ゲートウェイ装置２へ送信させても良い。

車両用ゲートウェイ装置２において、制御部２ａは、外部ツール５から認証コードを外部ツール側バス通信部２ｃにより受信したと判定すると、これよりも先に外部ツール５へ送信させた認証シードと、外部ツール５から受信した認証コードとを照合し、外部ツール５に対する認証結果の正否を判定する（ステップＢ２）。

即ち、正規の作業者が正規な外部ツールをコネクタ７に接続した場合であれば、車両用ゲートウェイ装置２から受信した認証シードに基づいて認証コードを正しく生成し、その正しく生成した認証コードを車両用ゲートウェイ装置２へ送信する機能を搭載しているので、認証シードと認証コードとが対応し、外部ツール５に対する認証結果が正となる。

一方、悪意を持った第三者が不正な外部ツールをコネクタ７に接続した場合であれば、車両用ゲートウェイ装置２から受信した認証シードに基づいて認証コードを正しく生成する機能を搭載していないので、認証コードを正しく生成することが不可能であったり、認証コードを車両用ゲートウェイ装置２へ送信することが不可能であったり、誤った認証コードを車両用ゲートウェイ装置２へ送信したりし、認証シードと認証コードとが対応することなく、外部ツール５に対する認証結果が否となる。

車両用ゲートウェイ装置２において、制御部２ａは、外部ツール５に対する認証結果が正であり、正規な外部ツールであると判定すると（ステップＢ３：ＹＥＳ）、認証結果が正であることを示す認証結果正応答コマンドを外部ツール側バス通信部２ｃから外部ツール５へ送信させ、外部ツール５に対する認証結果が正である認証状態を設定する（ステップＢ４）。制御部２ａは、認証状態を設定している期間では、これ以降に外部ツール５からのデータ要求コマンドの受信を許可し（データ通信を許可する）、一方、認証状態を設定していない期間では、これ以降に外部ツール５からのデータ要求コマンドの受信を拒否する（データ通信を拒否する）。

外部ツール５において、制御部５ａは、車両用ゲートウェイ装置２から認証結果正応答コマンドをバス通信部５ｂにより受信したと判定した後に、例えば作業者からの操作入力を受付けると、その操作入力に応じてデータ要求コマンドをバス通信部５ｂから車両用ゲートウェイ装置２へ送信させる。この場合、外部ツール５から車両用ゲートウェイ装置２へ送信されるデータ要求コマンドには、データ要求コマンドの送信先であるアクセス対象のＥＣＵ４を特定可能な情報が含まれている。

車両用ゲートウェイ装置２において、制御部２ａは、外部ツール５からデータ要求コマンドを外部ツール側バス通信部２ｃにより受信したと判定すると、その受信したデータ要求コマンドを解析し、外部ツール５に対する認証を行う必要があるか否か判定する（ステップＢ５）。具体的には、制御部２ａは、データ要求コマンドが法規メッセージ（法規コマンド）であるか非法規メッセージ（非法規コマンド）であるかを判定することで、外部ツール５に対する認証を行う必要があるか否か判定する。法規メッセージとは外部ツール５からの要求に対して応答することが必須であるメッセージであり、例えばエンジン系に関するデータを要求するメッセージ等である。一方、非法規メッセージとは外部ツール５からの要求に対して応答することが必須でないメッセージである。尚、データ要求コマンドが法規メッセージであるか非法規メッセージであるかを判定することは、データ要求コマンドの送信先であるアクセス対象のＥＣＵ４が法規ＥＣＵであるか非法規ＥＣＵであるかを判定することでもある。

制御部２ａは、データ要求コマンドが非法規メッセージであると判定し、外部ツール５に対する認証を行う必要があると判定すると（ステップＢ５：ＹＥＳ）、これよりも先に行った外部ツール５に対する認証結果の正否を判定する（ステップＢ６）。制御部２ａは、これよりも先に行った外部ツール５に対して行った認証結果が正であると判定すると（ステップＢ６：ＹＥＳ）、データ要求コマンドを暗号化する必要があるか否か判定する（ステップＢ７）。具体的には、制御部２ａは、この場合も、データ要求コマンドが法規メッセージであるか非法規メッセージであるかを判定することで、データ要求コマンドを暗号化する必要があるか否かを判定する。

制御部２ａは、データ要求コマンドが非法規メッセージであると判定し、データ要求コマンドを暗号化する必要があると判定すると（ステップＢ７：ＹＥＳ）、データ要求コマンドを暗号化し（ステップＢ８）、暗号化したデータ要求コマンドをＥＣＵ側バス通信部２ｂからアクセス対象のＥＣＵ４へ送信させる。一方、制御部２ａは、データ要求コマンドが法規メッセージであると判定し、データ要求コマンドを暗号化する必要がないと判定すると（ステップＢ７：ＮＯ）、データ要求コマンドを暗号化することなく、そのままのデータ要求コマンドをＥＣＵ側バス通信部２ｂからアクセス対象のＥＣＵ４へ送信させる。

アクセス対象のＥＣＵ４において、制御部４ａは、車両用ゲートウェイ装置２からデータ要求コマンドをバス通信部４ｂにより受信したと判定すると、その受信したデータ要求コマンドを復号化する必要があるか否か判定する（ステップＣ１）。具体的には、制御部４ａは、車両用ゲートウェイ装置２から受信したデータ要求コマンドが暗号化されていると判定すると、データ要求コマンドを復号化する必要があると判定し（ステップＣ１：ＹＥＳ）、データ要求コマンドを復号化し（ステップＣ２）、データ要求コマンドの内容に応じたデータ処理を行う（制御プログラムを書換えたりデータを読出したりする）（ステップＣ３）。一方、制御部４ａは、車両用ゲートウェイ装置２から受信したデータ要求コマンドが暗号化されていないと判定すると、データ要求コマンドを復号化する必要がないと判定し（ステップＣ１：ＮＯ）、データ要求コマンドの内容に応じたデータ処理を行う（ステップＣ３）。

次いで、制御部４ａは、データ処理を完了すると、データ処理を完了したことを示すデータ応答コマンドを暗号化する必要があるか否かを判定する（ステップＣ４）。この場合、制御部４ａは、例えば車両用ゲートウェイ装置２から受信したデータ要求コマンドが暗号化されていた場合には、データ応答コマンドを暗号化する必要があると判定する。一方、制御部４ａは、車両用ゲートウェイ装置２から受信したデータ要求コマンドが暗号化されていなかった場合には、データ応答コマンドを暗号化する必要がないと判定する。又、制御部４ａは、データ応答コマンドの重要度を予め規定しておくことで、車両用ゲートウェイ装置２から受信したデータ要求コマンドが暗号化されていたか否かに関係なくデータ応答コマンドの重要度に応じて暗号化する必要があるか否かを判定しても良い。

制御部４ａは、データ応答コマンドを暗号化する必要があると判定すると（ステップＣ４：ＹＥＳ）、データ応答コマンドを暗号化し（ステップＣ５）、暗号化したデータ応答コマンドをバス通信部４ｂから車両用ゲートウェイ装置２へ送信させる。一方、制御部４ａは、データ応答コマンドを暗号化する必要がないと判定すると（ステップＣ４：ＮＯ）、データ応答コマンドを暗号化することなく、そのままのデータ応答コマンドをバス通信部４ｂから車両用ゲートウェイ装置２へ送信させる。

車両用ゲートウェイ装置２において、制御部２ａは、アクセス対象のＥＣＵ４からデータ応答コマンドをＥＣＵ側バス通信部２ｂにより受信したと判定すると、その受信したデータ応答コマンドを復号化する必要があるか否か判定する（ステップＢ９）。具体的には、制御部２ａは、アクセス対象のＥＣＵ４から受信したデータ応答コマンドが暗号化されていると判定すると、データ応答コマンドを復号化する必要があると判定し（ステップＢ９：ＹＥＳ）、暗号化されているデータ応答コマンドを復号化し（ステップＢ１０）、復号化したデータ応答コマンドを外部ツール側通信部２ｃから外部ツール５へ送信させる。一方、制御部２ａは、アクセス対象のＥＣＵ４から受信したデータ応答コマンドが暗号化されていないと判定すると、データ応答コマンドを復号化する必要がないと判定し（ステップＢ９：ＮＯ）、そのままのデータ応答コマンドを外部ツール側通信部２ｃから外部ツール５へ送信させる。

上記したように、車両用ゲートウェイ装置２において、制御部２ａは、外部ツール５が接続されると、その外部ツール５に対して認証を行い、外部ツール５に対して行った認証結果が正であると判定すると（ステップＢ３：ＹＥＳ）、コネクタ７に接続された外部ツール５が正規な外部ツールであると特定し、図２に示すように、認証状態を設定する（ステップＢ４）。そして、制御部２ａは、これ以降に外部ツール５からデータ要求コマンドが法規メッセージであるか非法規メッセージであるかに拘らず、そのデータ要求コマンドの受信を許可する（データ通信を許可する）。

一方、制御部２ａは、外部ツール５に対して行った認証結果が否であると判定すると（ステップＢ３：ＮＯ）、コネクタ７に接続された外部ツール５が不正な外部ツールであると特定し、図４に示すように、認証状態を設定しない。そして、制御部２ａは、これ以降に外部ツール５からデータ要求コマンドが認証を必要とする非法規メッセージであると判定すると、これよりも先に行った認証結果が否であり、認証状態を設定していないことから、そのデータ要求コマンドを破棄し、そのデータ要求コマンドの受信を拒否する（ステップＢ１１）（データ通信を拒否する）。この場合、データ要求コマンドの受信を拒否することとは、データ要求コマンドを破棄しなくとも、データ要求コマンドを無効とする（データ要求コマンドの内容に応じた処理を行わない）ことも含む。

尚、以上は、車両用ゲートウェイ装置２が外部ツール５から受信したデータ要求コマンドを必要に応じて暗号化する場合を説明したが、外部ツール５が自らでデータ要求コマンドを暗号化する機能を有することで、外部ツール５が自らでデータ要求コマンドを必要に応じて暗号化しても良い。

さて、制御部２ａは、上記したように、認証結果が正であると判定すると、外部ツール５からのデータ要求コマンドの受信を許可する認証状態を設定するが、その認証状態を維持する期間を以下に示すように管理する。

（１）認証状態を設定した時点から所定時間が経過するまでの期間
（２）外部から認証状態維持要求信号が入力されている期間
（３）車両状態が所定条件を満たしている期間
（４）バス６が通信状態中の期間
のうち何れかを判定し、認証状態を維持する期間を管理する。

以下、これら（１）〜（４）について順次説明する。
（１）認証状態を設定した時点から所定時間が経過するまでの期間
車両用ゲートウェイ装置２において、制御部２ａは、図５に示すように、認証状態を設定した後に（ステップＢ４）、所定時間を計時する認証維持タイマをスタートし（ステップＢ１２）、認証維持タイマがタイムアップしたか否かを監視する（ステップＢ１３）。そして、制御部２ａは、認証維持タイマがタイムアップしたと判定すると（ステップＢ１３：ＹＥＳ）、認証状態を解除する（ステップＢ１４）。この場合は、車両用ゲートウェイ装置２が単独で認証状態を維持する期間を管理する。尚、認証維持タイマが計時する所定時間は、製造時に設定される初期値でも良いし、外部ツール５を操作する作業者からの操作入力により設定される設定値であっても良い。

（２）外部から認証状態維持要求信号が入力されている期間
車両用ゲートウェイ装置２において、制御部２ａは、図６に示すように、認証状態を設定した後に（ステップＢ４）、外部ツール５から認証状態維持要求コマンドを外部ツール側バス通信部２ｃにより受信したと判定している期間では認証状態を維持し、外部ツール５から認証状態解除要求コマンドを外部ツール側バス通信部２ｃにより受信したと判定すると、認証状態を解除する（ステップＢ１４）。この場合は、外部ツール５が主導となって認証状態を維持する期間を管理する。

又、車両用ゲートウェイ装置２において、制御部２ａは、図７に示すように、認証状態を設定した後に（ステップＢ４）、認証状態設定通知コマンドをＥＣＵ側バス通信部２ｂからアクセス対象のＥＣＵ４へ送信させることで、アクセス対象のＥＣＵ４から認証状態維持要求コマンドを送信させ、アクセス対象のＥＣＵ４から認証状態維持要求コマンドをＥＣＵ側バス通信部２ｂにより受信したと判定している期間では認証状態を維持し、アクセス対象のＥＣＵ４から認証状態解除要求コマンドをＥＣＵ側バス通信部２ｂにより受信したと判定すると、認証状態を解除する（ステップＢ１４）。この場合は、アクセス対象のＥＣＵ４が主導となって認証状態を維持する期間を管理する。尚、外部ツール５やアクセス対象のＥＣＵ４が認証状態維持要求コマンドを車両用ゲートウェイ装置２へ定期的に送信する所定時間は、製造時に設定される初期値でも良いし、外部ツール５を操作する作業者からの操作入力により設定される設定値であっても良い。

（３）車両状態が所定条件を満たしている期間
車両用ゲートウェイ装置２において、制御部２ａは、図８に示すように、認証状態を設定した後に（ステップＢ４）、ＥＣＵ３から車両状態をＥＣＵ側バス通信部２ｂにより受信することで、車両状態が所定条件を満たしているか否かを判定する（ステップＢ１５）。具体的には、制御部２ａは、例えばイモビライザが解除状態であること、イグニッションスイッチがオフであること、ドアが閉鎖状態であることのうち何れかの条件を満たしていると、車両状態が所定条件を満たしていると判定し（ステップＢ１５：ＹＥＳ）、車両状態が所定条件を満たしていると判定している期間では認証状態を維持する。一方、制御部２ａは、車両状態が所定条件を満たさなくなったと判定すると（ステップＢ１５：ＮＯ）、認証状態を解除する（ステップＢ１４）。この場合は、車両用ゲートウェイ装置２が車両状態に依存して認証状態を維持する期間を管理する。

（４）バス６が通信状態中の期間
車両用ゲートウェイ装置２において、制御部２ａは、図９に示すように、認証状態を設定した後に（ステップＢ４）、バス６が通信状態中であるか否かを判定する（ステップＢ１６）。具体的には、制御部２ａは、ＥＣＵ側バス通信部２ｂ及び外部ツール側バス通信部２ｄの何れかが通信状態中であると判定すると、バス６が通信状態中であると判定し（ステップＢ１６：ＹＥＳ）、バス６が通信状態中であると判定している期間では認証状態を維持し、バス６が通信状態中でなくなったと判定すると（ステップＢ１６：ＮＯ）、認証状態を解除する（ステップＢ１４）。この場合は、車両用ゲートウェイ装置２がバス６の通信状態に依存して認証状態を維持する期間を管理する。

以上に説明したように第１の実施形態によれば、外部ツール５とＥＣＵ３及びＥＣＵ４とを切分けるように車両用ゲートウェイ装置２がバス６に接続され、車両用ゲートウェイ装置２において、外部ツール５が接続されると、その外部ツール５に対して認証を行い、外部ツール５に対して行った認証結果が正であると判定すると、認証状態を設定し、これ以降に外部ツール５からデータ要求コマンドが認証を必要とする非法規メッセージであるか否かに拘らず、そのデータ要求コマンドの受信を許可し、一方、外部ツール５に対して行った認証結果が否であると判定すると、認証状態を設定することなく、これ以降に外部ツール５からデータ要求コマンドが認証を必要とする非法規メッセージであると判定すると、そのデータ要求コマンドの受信を拒否するようにした。

これにより、不正な外部ツールがバス６に接続された場合であっても、不正な外部ツールが接続されたことによる被害を抑制することができ、セキュリティ性を高めることができる。この場合、外部ツール５とＥＣＵ３及びＥＣＵ４との間で規定されているデータ通信方式の仕様を変更する必要はない。又、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができ、セキュリティ性をより一層高めることができる。又、外部ツール５に対する認証、認証状態の設定及び認証状態の維持を車両用ゲートウェイ装置２で一括して行うことで、車両用ゲートウェイ装置２を追加（増設）することで実現することができ、既存のシステムの変更を極力抑えつつ実現することができる。

又、外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を拒否する期間において特定のデータ（例えば法規メッセージ）については例外的に外部ツール５とアクセス対象のＥＣＵとの間でのデータ通信を許可するようにした。これにより、不正な外部ツールが接続されたことによる被害を抑制することができつつ、特定のデータのデータ通信が阻害されることを回避することができる。

（第２の実施形態）
次に、本発明の第２の実施形態について、図１０及び図１１を参照して説明する。尚、上記した第１の実施形態と同一部分については説明を省略し、異なる部分について説明する。第１の実施形態は、外部ツール５に対する認証、認証状態の設定及び認証状態の維持を車両用ゲートウェイ装置２で行う構成であるが、第２の実施形態は、何れかのＥＣＵに認証機能を持たせることで、認証用のＥＣＵを設定し、外部ツール５に対する認証を認証用のＥＣＵで行い、認証状態の設定及び認証状態の維持を車両用ゲートウェイ装置２で行う構成である。

即ち、車両用データ通信認証システム１１において、認証用のＥＣＵ３は、認証部３ｄを有する。認証部３ｄは、第１の実施形態で説明した車両用ゲートウェイ装置２の認証部２ｄの代わりに設けられており、認証部２ｄと同等の機能を有する。

認証用のＥＣＵ３において、制御部３ａは、外部ツール５から認証シード要求コマンドを車両用ゲートウェイ装置２を介してバス通信部３ｂにより受信したと判定すると、第１の実施形態で説明した車両用ゲートウェイ装置２が行うステップＢ１乃至Ｂ３に相当するステップＤ１乃至Ｄ３を行い、外部ツール５に対して行った認証結果が正であると判定すると（ステップＤ３：ＹＥＳ）、認証結果が正であることを示す認証結果正応答コマンドをバス通信部３ｂから車両用ゲートウェイ装置２へ送信させる。

車両用ゲートウェイ装置２において、制御部２ａは、認証用のＥＣＵ３から認証結果正応答コマンドをＥＣＵ側バス通信部２ｂにより受信したと判定すると、認証結果正応答コマンドを外部ツール側バス通信部２ｃから外部ツール５へ送信させ、第１の実施形態で説明したステップＢ４、Ｂ１２乃至Ｂ１４を行う。即ち、認証用のＥＣＵ３において、外部ツール５に対する認証を行い、車両用ゲートウェイ装置２において、認証状態を設定し、認証状態を設定した時点から所定時間が経過するまでの期間に限り認証状態を維持する。尚、以上は、認証状態を設定した時点から所定時間が経過するまでの期間に限り認証状態を維持する場合を説明したが、第１の実施形態と同様に、例えば外部ツール５や認証用のＥＣＵ３等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第２の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。又、外部ツール５に対する認証を認証用のＥＣＵ３で行い、認証状態の設定及び認証状態の維持を車両用ゲートウェイ装置２で行うことで、外部ツール５に対する認証、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３と車両用ゲートウェイ装置２とで分散して行うことができる。

（第３の実施形態）
次に、本発明の第３の実施形態について、図１２及び図１３を参照して説明する。第３の実施形態は、車両用ゲートウェイ装置２がバス６に接続されていない構成であり、外部ツール５に対する認証、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３で行う構成である。

即ち、車両用データ通信認証システム３１において、認証用のＥＣＵ３は、認証部３ｄと、認証制御部３ｅと、通信制御部３ｆと、フィルタリング部３ｇと、認証維持部３ｈとを有する。認証部３ｄ、認証制御部３ｅ、通信制御部３ｆ、フィルタリング部３ｇ、認証維持部３ｈは、第１の実施形態で説明した認証部２ｄ、認証制御部２ｅ、通信制御部２ｆ、フィルタリング部２ｇ、認証維持部２ｈと同等の機能を有する。

認証用のＥＣＵ３において、制御部３ａは、外部ツール５から認証シード要求コマンドをバス通信部３ｂにより受信したと判定すると、第１の実施形態で説明した車両用ゲートウェイ装置２が行うステップＢ１乃至Ｂ３に相当するステップＤ１乃至Ｄ３を行い、外部ツール５に対して行った認証結果が正であると判定すると（ステップＤ３：ＹＥＳ）、認証結果が正であることを示す認証結果正応答コマンドをバス通信部３ｂから外部ツール５へ送信させ、第１の実施形態で説明した車両用ゲートウェイ装置２が行うステップＢ４、Ｂ１２乃至Ｂ１４に相当するステップＤ４乃至Ｄ７を行う。この場合も、第１の実施形態と同様に、例えば外部ツール５やアクセス対象のＥＣＵ４等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第３の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。又、外部ツール５に対する認証、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３で行うことで、車両用ゲートウェイ装置２を不要とすることができる。又、アクセス対象のＥＣＵ４が認証制御部４ｄと認証維持部４ｇとを有することで、外部ツール５に対する認証を認証用のＥＣＵ３で行い、認証状態の設定及び認証状態の維持をアクセス対象のＥＣＵ４で行うようにしても良い。即ち、外部ツール５に対する認証、認証状態の設定及び認証状態の維持を複数のＥＣＵで分散して行っても良い。

（第４の実施形態）
次に、本発明の第４の実施形態について、図１４及び図１５を参照して説明する。第４の実施形態は、車両用ゲートウェイ装置２がバス６に接続されていない構成であり、外部ツール５に対する認証、認証状態の設定及び認証状態の維持をアクセス対象のＥＣＵ４で行う構成である。

即ち、車両用データ通信認証システム４１において、アクセス対象のＥＣＵ４は、認証部４ｃと、認証制御部４ｄと、通信制御部４ｅと、フィルタリング部４ｆと、認証維持部４ｈとを有する。認証部４ｃ、認証制御部４ｄ、通信制御部４ｅ、フィルタリング部４ｆ、認証維持部４ｈは、第１の実施形態で説明した認証部２ｄ、認証制御部２ｅ、通信制御部２ｆ、フィルタリング部２ｇ、認証維持部２ｈと同等の機能を有する。

アクセス対象のＥＣＵ４において、制御部４ａは、外部ツール５から認証シード要求コマンドをバス通信部４ｂにより受信したと判定すると、第３の実施形態で説明した認証用のＥＣＵ３が行うステップＤ１乃至Ｄ７に相当するステップＣ６乃至Ｃ１２を行う。この場合も、第１の実施形態と同様に、例えば外部ツール５や認証用のＥＣＵ３等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第４の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。又、外部ツール５に対する認証、認証状態の設定及び認証状態の維持をアクセス対象のＥＣＵ４で行うことで、車両用ゲートウェイ装置２を不要とすることができる。又、認証用のＥＣＵ３が認証制御部３ｅと認証維持部３ｈとを有することで、外部ツール５に対する認証をアクセス対象のＥＣＵ４で行い、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３で行うようにしても良い。即ち、この場合も、外部ツール５に対する認証、認証状態の設定及び認証状態の維持を複数のＥＣＵで分散して行っても良い。

（第５の実施形態）
次に、本発明の第５の実施形態について、図１６及び図１７を参照して説明する。第５の実施形態は、ＥＣＵ側バス６ａに通信装置８が接続され、外部ツール５及び通信装置８と例えば広域通信網を介して通信可能にセンター（サーバ）７が設けられ、外部ツール５に対する認証をセンター７で行い、認証状態の設定及び認証状態の維持を車両用ゲートウェイ装置２で行う構成である。

即ち、車両用データ通信認証システム４１において、センター７は、認証部７ａを有する。認証部７ａは、第１の実施形態で説明した車両用ゲートウェイ装置２の認証部２ｄの代わりに設けられており、第１の実施形態で説明した認証部２ｄと同等の機能を有する。

センター７は、外部ツール５から認証シード要求コマンドを受信したと判定すると、第１の実施形態で説明した車両用ゲートウェイ装置２が行うステップＢ１乃至Ｂ３に相当するステップＥ１乃至Ｅ３を行い、外部ツール５に対して行った認証結果が正であると判定すると（ステップＥ３：ＹＥＳ）、認証結果が正であることを示す認証結果正応答コマンドを外部ツール５及び通信装置８へ送信させる。

車両用ゲートウェイ装置２において、制御部２ａは、センター７から認証結果正応答コマンドを通信装置８により受信し、通信装置８から認証結果正応答コマンドを受信したと判定すると、第１の実施形態で説明したステップＢ４、Ｂ１２乃至Ｂ１４を行う。この場合も、第１の実施形態と同様に、例えば外部ツール５やアクセス対象のＥＣＵ４等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第５の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。又、外部ツール５に対する認証をセンター７で行い、認証状態の設定及び認証状態の維持を車両用ゲートウェイ装置２で行うことで、外部ツール５に対する認証、認証状態の設定及び認証状態の維持をセンター７と車両用ゲートウェイ装置２とで分散して行うことができる。又、外部ツール５に対する認証を車両用データ通信認証システム４１の外部であるセンター７で行うことで、例えば認証シードを逐一更新することでセキュリティが強固な認証を行うことができ、セキュリティ性をより一層高めることができる。

（第６の実施形態）
次に、本発明の第６の実施形態について、図１８及び図１９を参照して説明する。第６の実施形態は、バス６に通信装置８が接続され、外部ツール５及び通信装置８と通信可能にセンター（サーバ）７が設けられ、外部ツール５に対する認証をセンター７で行い、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３で行う構成である。

認証用のＥＣＵ３において、制御部３ａは、センター７から認証結果正応答コマンドを通信装置８により受信し、通信装置８から認証結果正応答コマンドを受信したと判定すると、第２の実施形態で説明したステップＤ４乃至Ｄ７を行う。この場合も、第１の実施形態と同様に、例えば外部ツール５やアクセス対象のＥＣＵ４等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第６の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。又、外部ツール５に対する認証をセンター７で行い、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３で行うことで、外部ツール５に対する認証、認証状態の設定及び認証状態の維持をセンター７と認証用のＥＣＵ３とで分散して行うことができる。又、外部ツール５に対する車両用データ通信認証システム５１の外部であるセンター７で行うことで、例えば認証シードを逐一更新することでセキュリティが強固な認証を行うことができ、セキュリティ性をより一層高めることができる。

（第７の実施形態）
次に、本発明の第７の実施形態について、図２０を参照して説明する。第７の実施形態は、外部ツール５に対する認証を直接的に行えない場合であっても、車両状態に対する認証を行うことで、外部ツール５に対する認証を間接的に行う構成である。第７の実施形態は、第１の実施形態と同様の機能ブロックで実現する（図１）。

車両用ゲートウェイ装置２において、制御部２ａは、ＥＣＵ３から車両状態をＥＣＵ側バス通信部２ｂにより受信することで、車両状態を特定し（ステップＢ１７）、車両状態が所定条件を満たしているか否かを判定することで、車両状態に対して認証を行い、車両状態に対して行った認証結果の正否を判定する（ステップＢ１８）。具体的には、制御部２ａは、例えばイモビライザが解除状態であること、イグニッションスイッチがオフであること、ドアが閉鎖状態であることのうち何れかの条件を満たしているか否かを判定する。

即ち、正規の作業者が正規な外部ツールをコネクタ７に接続した場合であれば、例えばイモビライザが解除状態であり、イグニッションスイッチがオフであり、ドアが閉鎖状態である等の正常な状態であり、車両状態に対する認証結果が正となる。一方、悪意を持った第三者が不正な外部ツールをコネクタ７に接続した場合であれば、例えばイモビライザが解除状態でなく、イグニッションスイッチがオフでなく、ドアが閉鎖状態でない等の異常な状態であり、車両状態に対する認証結果が否となる。

車両用ゲートウェイ装置２において、制御部２ａは、車両状態に対して行った認証結果が正であると判定すると（ステップＢ１９：ＹＥＳ）、認証結果が正であることを示す認証結果正応答コマンドを外部ツール側バス通信部２ｃから外部ツール５へ送信させ、車両状態に対する認証結果が正である認証状態を設定する（ステップＢ４）。制御部２ａは、認証状態を設定している期間では、これ以降に外部ツール５からデータ要求コマンドの受信を許可し（データ通信を許可する）、一方、認証状態を設定していない期間では、これ以降に外部ツール５からデータ要求コマンドの受信を拒否する（データ通信を拒否する）。

制御部２ａは、このようにして認証状態を設定すると（ステップＢ４）、第１の実施形態で説明したステップＢ１２乃至Ｂ１４を行う。この場合も、第１の実施形態と同様に、例えば外部ツール５やアクセス対象のＥＣＵ４等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第７の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。又、車両状態に対する認証、認証状態の設定及び認証状態の維持を車両用ゲートウェイ装置２で一括して行うことで、車両用ゲートウェイ装置２を追加（増設）することで実現することができ、既存のシステムの変更を極力抑えつつ実現することができる。

（第８の実施形態）
次に、本発明の第８の実施形態について、図２１を参照して説明する。第８の実施形態は、車両状態に対する認証を認証用のＥＣＵで行い、認証状態の設定及び認証状態の維持を車両用ゲートウェイ装置２で行う構成である。第８の実施形態は、第２の実施形態と同様の機能ブロックで実現する（図１０）。

認証用のＥＣＵ３において、制御部３ａは、外部から車両状態を入力することで、車両状態を特定し（ステップＤ８）、車両状態が所定条件を満たしているか否かを判定することで、車両状態に対して認証を行い、車両状態に対して行った認証結果の正否を判定する（ステップＤ９）。制御部３ａは、車両状態に対して行った認証結果が正であると判定すると（ステップＤ１０：ＹＥＳ）、認証結果が正であることを示す認証結果正応答コマンドをバス通信部３ｂから車両用ゲートウェイ装置２へ送信させる。

車両用ゲートウェイ装置２において、制御部２ａは、認証用のＥＣＵ３から認証結果正応答コマンドをＥＣＵ側バス通信部２ｂにより受信したと判定すると、認証結果正応答コマンドを外部ツール側バス通信部２ｃから外部ツール５へ送信させ、第１の実施形態で説明したステップＢ４、Ｂ１２乃至Ｂ１４を行う。即ち、認証用のＥＣＵ３において、車両状態に対する認証を行い、車両用ゲートウェイ装置２において、認証状態を設定し、認証状態を設定した時点から所定時間が経過するまでの期間に限り認証状態を維持する。この場合も、第１の実施形態と同様に、例えば外部ツール５や認証用のＥＣＵ３等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第８の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。

（第９の実施形態）
次に、本発明の第９の実施形態について、図２２を参照して説明する。第９の実施形態は、車両状態に対する認証、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３で行う構成である。第９の実施形態は、第３の実施形態と同様の機能ブロックで実現する（図１２）。

認証用のＥＣＵ３において、制御部３ａは、外部から車両状態を入力することで、第７の実施形態で説明したステップＤ８乃至Ｄ１０を行い、車両状態に対して行った認証結果が正であると判定すると（ステップＤ１０：ＹＥＳ）、認証結果が正であることを示す認証結果正応答コマンドをバス通信部３ｂから外部ツール５へ送信させ、第３の実施形態で説明したステップＤ４乃至Ｄ７を行う。この場合も、第１の実施形態と同様に、例えば外部ツール５やアクセス対象のＥＣＵ４等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第９の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。又、車両状態に対する認証、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３で行うことで、車両用ゲートウェイ装置２を不要とすることができる。又、アクセス対象のＥＣＵ４が認証制御部４ｄと認証維持部４ｇとを有することで、車両状態に対する認証を認証用のＥＣＵ３で行い、認証状態の設定及び認証状態の維持をアクセス対象のＥＣＵ４で行うようにしても良い。即ち、車両状態に対する認証、認証状態の設定及び認証状態の維持を複数のＥＣＵで分散して行っても良い。

（第１０の実施形態）
次に、本発明の第１０の実施形態について、図２３を参照して説明する。第１０の実施形態は、車両状態に対する認証、認証状態の設定及び認証状態の維持をアクセス対象のＥＣＵ４で行う構成である。第１０の実施形態は、第４の実施形態と同様の機能ブロックで実現する（図１４）。

アクセス対象のＥＣＵ４において、制御部４ａは、ＥＣＵ３から車両状態をバス通信部４ｂにより受信することで、車両状態を特定し（ステップＣ１３）、車両状態が所定条件を満たしているか否かを判定することで、車両状態に対して認証を行い、車両状態に対して行った認証結果の正否を判定し（ステップＣ１４）、車両状態に対して行った認証結果が正であると判定すると（ステップＣ１４：ＹＥＳ）、認証結果が正であることを示す認証結果正応答コマンドをバス通信部４ｂから外部ツール５へ送信させ、第４の実施形態で説明したステップＣ９至Ｃ１２を行う。この場合も、第１の実施形態と同様に、例えば外部ツール５や認証用のＥＣＵ３等の外部から認証状態維持要求信号が入力されている期間、車両状態が所定条件を満たしている期間、バス６が通信状態中の期間に限り認証状態を維持するようにしても良い。

以上に説明したように第１０の実施形態によれば、第１の実施形態と同様に、認証状態を維持する期間を管理することで、例えば外部ツール５の接続が解除された後に、外部ツール５とアクセス対象のＥＣＵ４との間でのデータ通信を許可する期間が不要に継続することを未然に回避することができる。又、車両状態に対する認証、認証状態の設定及び認証状態の維持をアクセス対象のＥＣＵ４で行うことで、車両用ゲートウェイ装置２を不要とすることができる。又、認証用のＥＣＵ３が認証制御部３ｅと認証維持部３ｈとを有することで、車両状態に対する認証をアクセス対象のＥＣＵ４で行い、認証状態の設定及び認証状態の維持を認証用のＥＣＵ３で行うようにしても良い。即ち、この場合も、車両状態に対する認証、認証状態の設定及び認証状態の維持を複数のＥＣＵで分散して行っても良い。

（その他の実施形態）
本発明は、上記した実施形態にのみ限定されるものではなく、以下のように変形又は拡張することができる。
外部ツール５に対して行った認証結果が正であり且つ車両状態に対して行った認証結果が正であることを条件として、認証状態を設定するようにしても良い。
認証の対象とする車両状態は、イモビライザの状態（施錠状態又は解除状態）、イグニッションスイッチの状態（オン状態又はオフ状態）、ドアの状態（開状態又は閉状態）等に限らず、正規の作業者が正規な外部ツールを接続したか悪意を持った第三者が不正な外部ツールを接続したかを判定し得る状態であれば、他の状態を採用しても良い。又、これらを単独で判定しても良いし、複数を組み合わせて判定しても良い。
車両用ゲートウェイ装置２のフィルタリング部２ｇ、認証用のＥＣＵ３のフィルタリング部３ｇ、アクセス対象のＥＣＵ４のフィルタリング部４ｈが省略される構成でも良い。

図面中、１は車両用データ通信認証システム、２は車両用ゲートウェイ装置、２ｄは認証部（第１の認証手段、第２の認証手段）、２ｅは認証制御部（第１の認証制御手段、第２の認証制御手段）、２ｆは通信制御部（第１の通信制御手段、第２の通信制御手段）、
２ｈは認証維持部（第１の認証維持手段、第２の認証維持手段）、３、４はＥＣＵ、５は外部ツール、６はバスである。

Claims

ＥＣＵ（３，４）が接続されているバス（６）に外部ツール（５）を接続可能な車両用データ通信認証システムにおいて、
前記バスに接続されている外部ツールに対して認証を行う第１の認証手段（２ｄ）と、
前記第１の認証手段が前記外部ツールに対して行った認証結果の正否を判定し、その認証結果が正であると判定すると、認証状態を設定し、前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可し、その認証結果が否であると判定すると、認証状態を設定することなく、前記外部ツールと前記アクセス対象のＥＣＵとの間でのデータ通信を拒否する第１の認証制御手段（２ｅ）と、
前記第１の認証制御手段が認証状態を設定した後に、前記アクセス対象のＥＣＵから認証状態維持要求信号が前記第１の認証制御手段に入力されている期間において認証状態を維持する第１の認証維持手段（２ｈ）と、を備えたことを特徴とする車両用データ通信認証システム。
ＥＣＵ（３，４）が接続されているバス（６）に外部ツール（５）を接続可能な車両用データ通信認証システムにおいて、
前記バスに接続されている外部ツールに対して認証を行う第１の認証手段（２ｄ）と、
前記第１の認証手段が前記外部ツールに対して行った認証結果の正否を判定し、その認証結果が正であると判定すると、認証状態を設定し、前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可し、その認証結果が否であると判定すると、認証状態を設定することなく、前記外部ツールと前記アクセス対象のＥＣＵとの間でのデータ通信を拒否する第１の認証制御手段（２ｅ）と、
前記第１の認証制御手段が認証状態を設定した後に、車両状態が所定条件を満たしていることとしてイモビライザが解除状態である期間において認証状態を維持する第１の認証維持手段（２ｈ）と、を備えたことを特徴とする車両用データ通信認証システム。
請求項１又は２に記載した車両用データ通信認証システムにおいて、
前記外部ツールと前記ＥＣＵとを切分けるように車両用ゲートウェイ装置（２）が設けられ、
前記第１の認証手段、前記第１の認証制御手段及び前記第１の認証維持手段が前記車両用ゲートウェイ装置に設けられていることを特徴とする車両用データ通信認証システム。
請求項１又は２に記載した車両用データ通信認証システムにおいて、
前記外部ツールと前記ＥＣＵとを切分けるように車両用ゲートウェイ装置が設けられると共に、前記アクセス対象のＥＣＵとは別に認証用のＥＣＵが設けられ、
前記第１の認証手段が前記認証用のＥＣＵに設けられ、
前記第１の認証制御手段及び前記第１の認証維持手段が前記車両用ゲートウェイ装置に設けられていることを特徴とする車両用データ通信認証システム。
請求項１又は２に記載した車両用データ通信認証システムにおいて、
前記アクセス対象のＥＣＵとは別に認証用のＥＣＵが設けられ、
前記第１の認証手段が前記認証用のＥＣＵに設けられ、
前記第１の認証制御手段及び前記第１の認証維持手段が前記アクセス対象のＥＣＵと前記認証用のＥＣＵとを含む各ＥＣＵに設けられていることを特徴とする車両用データ通信認証システム。
請求項１又は２に記載した車両用データ通信認証システムにおいて、
前記アクセス対象のＥＣＵとは別に認証用のＥＣＵが設けられ、
前記第１の認証手段、前記第１の認証制御手段及び前記第１の認証維持手段が前記アクセス対象のＥＣＵと前記認証用のＥＣＵとを含む各ＥＣＵに設けられていることを特徴とする車両用データ通信認証システム。
請求項１又は２に記載した車両用データ通信認証システムにおいて、
前記外部ツールと通信可能にセンターが設けられると共に、前記外部ツールと前記ＥＣＵとを切分けるように車両用ゲートウェイ装置が設けられ、
前記第１の認証手段が前記センターに設けられ、
前記第１の認証制御手段及び前記第１の認証維持手段が前記車両用ゲートウェイ装置に設けられていることを特徴とする車両用データ通信認証システム。
請求項１又は２に記載した車両用データ通信認証システムにおいて、
前記外部ツールと通信可能にセンターが設けられると共に、前記アクセス対象のＥＣＵとは別に認証用のＥＣＵが設けられ、
前記第１の認証手段が前記センターに設けられ、
前記第１の認証制御手段及び前記第１の認証維持手段が前記認証用のＥＣＵに設けられていることを特徴とする車両用データ通信認証システム。
請求項１から８の何れか一項に記載した車両用データ通信認証システムにおいて、
前記第１の認証制御手段が認証状態を設定していない状態において、特定のデータに限り前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する第１の通信制御手段（２ｆ）を備えたことを特徴とする車両用データ通信認証システム。
ＥＣＵ（３，４）が接続されているバス（６）に外部ツール（５）を接続可能な車両用データ通信認証システムにおいて、
車両状態に対して認証を行う第２の認証手段（２ｄ）と、
前記第２の認証手段が車両状態に対して行った認証結果の正否を判定し、その認証結果が正であると判定すると、認証状態を設定し、前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可し、その認証結果が否であると判定すると、認証状態を設定することなく、前記外部ツールと前記アクセス対象のＥＣＵとの間でのデータ通信を拒否する第２の認証制御手段（２ｅ）と、
前記第２の認証制御手段が認証状態を設定した後に、前記アクセス対象のＥＣＵから認証状態維持要求信号が前記第１の認証制御手段に入力されている期間において認証状態を維持する第２の認証維持手段（２ｈ）と、を備えたことを特徴とする車両用データ通信認証システム。
ＥＣＵ（３，４）が接続されているバス（６）に外部ツール（５）を接続可能な車両用データ通信認証システムにおいて、
車両状態に対して認証を行う第２の認証手段（２ｄ）と、
前記第２の認証手段が車両状態に対して行った認証結果の正否を判定し、その認証結果が正であると判定すると、認証状態を設定し、前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可し、その認証結果が否であると判定すると、認証状態を設定することなく、前記外部ツールと前記アクセス対象のＥＣＵとの間でのデータ通信を拒否する第２の認証制御手段（２ｅ）と、
前記第２の認証制御手段が認証状態を設定した後に、車両状態が所定条件を満たしていることとしてイモビライザが解除状態である期間において認証状態を維持する第２の認証維持手段（２ｈ）と、を備えたことを特徴とする車両用データ通信認証システム。
請求項１０又は１１に記載した車両用データ通信認証システムにおいて、
前記外部ツールと前記ＥＣＵとを切分けるように車両用ゲートウェイ装置（２）が設けられ、
前記第２の認証手段、前記第２の認証制御手段及び前記第２の認証維持手段が前記車両用ゲートウェイ装置に設けられていることを特徴とする車両用データ通信認証システム。
請求項１０又は１１に記載した車両用データ通信認証システムにおいて、
前記外部ツールと前記ＥＣＵとを切分けるように車両用ゲートウェイ装置が設けられると共に、前記アクセス対象のＥＣＵとは別に認証用のＥＣＵが設けられ、
前記第２の認証手段が前記認証用のＥＣＵに設けられ、
前記第２の認証制御手段及び前記第２の認証維持手段が前記車両用ゲートウェイ装置に設けられていることを特徴とする車両用データ通信認証システム。
請求項１０又は１１に記載した車両用データ通信認証システムにおいて、
前記アクセス対象のＥＣＵとは別に認証用のＥＣＵが設けられ、
前記第２の認証手段が前記認証用のＥＣＵに設けられ、
前記第２の認証制御手段及び前記第２の認証維持手段が前記アクセス対象のＥＣＵと前記認証用のＥＣＵとを含む各ＥＣＵに設けられていることを特徴とする車両用データ通信認証システム。
請求項１０又は１１に記載した車両用データ通信認証システムにおいて、
前記アクセス対象のＥＣＵとは別に認証用のＥＣＵが設けられ、
前記第２の認証手段、前記第２の認証制御手段及び前記第２の認証維持手段が前記アクセス対象のＥＣＵと前記認証用のＥＣＵとを含む各ＥＣＵに設けられていることを特徴とする車両用データ通信認証システム。
請求項１０から１５の何れか一項に記載した車両用データ通信認証システムにおいて、
前記第２の認証制御手段が認証状態を設定していない状態において、特定のデータに限り前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する第２の通信制御手段（２ｆ）を備えたことを特徴とする車両用データ通信認証システム。
ＥＣＵ（３，４）が接続されているバス（６）に外部ツール（５）を接続可能な車両用データ通信認証システムにて前記外部ツールと前記ＥＣＵとを切分けるように接続される車両用ゲートウェイ装置において、
前記バスに接続されている外部ツールに対して認証を行う第１の認証手段（２ｄ）と、
前記第１の認証手段が前記外部ツールに対して行った認証結果の正否を判定し、その認証結果が正であると判定すると、認証状態を設定し、前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可し、その認証結果が否であると判定すると、認証状態を設定することなく、前記外部ツールと前記アクセス対象のＥＣＵとの間でのデータ通信を拒否する第１の認証制御手段（２ｅ）と、
前記第１の認証制御手段が認証状態を設定した後に、前記アクセス対象のＥＣＵから認証状態維持要求信号が前記第１の認証制御手段に入力されている期間において認証状態を維持する第１の認証維持手段（２ｈ）と、を備えたことを特徴とする車両用ゲートウェイ装置。
ＥＣＵ（３，４）が接続されているバス（６）に外部ツール（５）を接続可能な車両用データ通信認証システムにて前記外部ツールと前記ＥＣＵとを切分けるように接続される車両用ゲートウェイ装置において、
前記バスに接続されている外部ツールに対して認証を行う第１の認証手段（２ｄ）と、
前記第１の認証手段が前記外部ツールに対して行った認証結果の正否を判定し、その認証結果が正であると判定すると、認証状態を設定し、前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可し、その認証結果が否であると判定すると、認証状態を設定することなく、前記外部ツールと前記アクセス対象のＥＣＵとの間でのデータ通信を拒否する第１の認証制御手段（２ｅ）と、
前記第１の認証制御手段が認証状態を設定した後に、車両状態が所定条件を満たしていることとしてイモビライザが解除状態である期間において認証状態を維持する第１の認証維持手段（２ｈ）と、を備えたことを特徴とする車両用ゲートウェイ装置。
請求項１７又は１８に記載した車両用ゲートウェイ装置において、
前記第１の認証制御手段が認証状態を設定していない状態において、特定のデータに限り前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する第１の通信制御手段（２ｆ）を備えたことを特徴とする車両用ゲートウェイ装置。
ＥＣＵ（３，４）が接続されているバス（６）に外部ツール（５）を接続可能な車両用データ通信認証システムにて前記外部ツールと前記ＥＣＵとを切分けるように接続される車両用ゲートウェイ装置において、
車両状態に対して認証を行う第２の認証手段（２ｄ）と、
前記第２の認証手段が車両状態に対して行った認証結果の正否を判定し、その認証結果が正であると判定すると、認証状態を設定し、前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可し、その認証結果が否であると判定すると、認証状態を設定することなく、前記外部ツールと前記アクセス対象のＥＣＵとの間でのデータ通信を拒否する第２の認証制御手段（２ｅ）と、
前記第２の認証制御手段が認証状態を設定した後に、前記アクセス対象のＥＣＵから認証状態維持要求信号が前記第１の認証制御手段に入力されている期間において認証状態を維持する第２の認証維持手段（２ｈ）と、を備えたことを特徴とする車両用ゲートウェイ装置。
ＥＣＵ（３，４）が接続されているバス（６）に外部ツール（５）を接続可能な車両用データ通信認証システムにて前記外部ツールと前記ＥＣＵとを切分けるように接続される車両用ゲートウェイ装置において、
車両状態に対して認証を行う第２の認証手段（２ｄ）と、
前記第２の認証手段が車両状態に対して行った認証結果の正否を判定し、その認証結果が正であると判定すると、認証状態を設定し、前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可し、その認証結果が否であると判定すると、認証状態を設定することなく、前記外部ツールと前記アクセス対象のＥＣＵとの間でのデータ通信を拒否する第２の認証制御手段（２ｅ）と、
前記第２の認証制御手段が認証状態を設定した後に、車両状態が所定条件を満たしていることとしてイモビライザが解除状態である期間において認証状態を維持する第２の認証維持手段（２ｈ）と、を備えたことを特徴とする車両用ゲートウェイ装置。
請求項２０又は２１に記載した車両用ゲートウェイ装置において、
前記第２の認証制御手段が認証状態を設定していない状態において、特定のデータに限り前記外部ツールとアクセス対象のＥＣＵとの間でのデータ通信を許可する第２の通信制御手段（２ｆ）を備えたことを特徴とする車両用ゲートウェイ装置。