JP6394650B2 - 認証システム、故障診断ツール、車載通信システム及び認証方法 - Google Patents

Description

本発明は、車載通信システムと故障診断ツールとの間の通信を適切に認証する技術に関する。

車載通信システムは、自動車に対する様々な制御に利用される。しかしながら、近年、車載通信システムの脆弱性がしばしば指摘されている。特許文献１は、従来の車載通信システムが抱える脆弱性を克服するための技術を開示する。

特許文献１の開示技術は、車載通信システム内での通信の脆弱性の改善に貢献する。しかしながら、特許文献１の開示技術は、車載通信システムに接続される外部機器を用いた不正アクセスを防止することには不向きである。

特許文献２は、外部機器として用いられる故障診断テスタを開示する。故障診断テスタは、所定の処理（たとえば、ＥＣＵからのデータの読み出し、ＥＣＵへのデータの書き込みや特定のアクチュエータに所定の動作をさせるためのＥＣＵの制御）の実行を車載通信システムに要求する要求信号を生成する。要求信号は、故障診断テスタから車載通信システムへ送信される。車載通信システムは、要求信号に応じて、所定の動作を実行する。

特開２０１３−９８７１９号公報 特開２００６−２２４８９２号公報

従来の車載通信システムは、適切な故障診断テスタが車載通信システムに接続されているか否かを認証する認証処理を実行することもある。従来の認証処理は、故障診断テスタと車載通信システムとの間の通信の開始時に実行される。しかしながら、不正に取り付けられた外部装置から不正な信号が、故障診断テスタの認証後に車載通信システムへ送られるならば、従来の車載通信システムは、不正アクセスに曝されることになる。

本発明は、車載通信システムと故障診断ツールとの間の通信を適切に認証する信頼性高い技術を提供することを目的とする。

本発明の一局面に係る認証システムは、外部機器が接続される接続ポートを有する車載通信システムと、前記車載通信システムとの通信を認証する認証処理を前記車載通信システムに要求する認証要求信号を、前記車載通信システムへ繰り返し送信する送信部を有し、且つ、前記接続ポートに接続される故障診断ツールと、を備える。前記車載通信システムは、前記認証要求信号の受信の度に、前記認証処理を実行する認証部と、前記認証要求信号を受信する受信部と、を含む。前記故障診断ツールは、（ｉ）前記認証要求信号と、前記認証処理の後に所定の処理の実行を前記車載通信システムに要求する処理要求信号と、を、生成する信号生成部と、（ｉｉ）前記認証要求信号として第１信号が送信されてから前記認証要求信号として第２信号が送信されるまでの期間において、前記処理要求信号が前記車載通信システムにいくつ送られたかを表す第１カウント値を生成する第１カウント部と、を含む。前記信号生成部は、前記第１カウント値を表す情報を前記認証要求信号に組み込む。前記車載通信システムは、前記受信部が、前記処理要求信号を前記外部機器から前記接続ポートを通じていくつ受け取ったかを表す第２カウント値を生成する第２カウント部を含む。前記認証部は、前記第１カウント値が前記第２カウント値に一致することを条件として前記通信を許可する。

上記構成によれば、故障診断ツールの送信部は、車載通信システムとの通信を認証する認証処理を車載通信システムに要求する認証要求信号を、車載通信システムへ繰り返し送信し、且つ、車載通信システムの認証部は、認証要求信号の受信の度に、認証処理を実行するので、認証処理は、従来技術よりも高い頻度で実行される。したがって、認証システムは、不正アクセスを信頼性高く防止し、車載通信システムと故障診断ツールとの間の通信を適切に認証することができる。故障診断ツールが生成する第１カウント値は、故障診断ツールが実際に送信した処理要求信号の数を表す。車載通信システムの第２カウント値は、受信部が実際に受信した処理要求信号の数を表す。車載通信システムの認証部は、第１カウント値が第２カウント値に一致することを条件として、認証処理の実行を許可するので、認証システムは、車載通信システムと故障診断ツールとの間の通信を適切に認証することができる。

上記構成に関して前記受信部が、前記認証要求信号を所定期間受信しないならば、前記認証部は、前記通信を拒否してもよい。

上記構成によれば、受信部が、認証要求信号を所定期間受信しないならば、認証部は、通信を拒否するので、認証システムは、認証要求信号を繰り返し送信する機能を有さない不正な外部機器から車載通信システムへのアクセスを適切に防止することができる。

上記構成に関して、前記信号生成部は、前記第１信号と前記第２信号とに加えて、前記第２信号の後に前記送信部から前記認証要求信号として送信される第３信号を生成してもよい。前記第２信号の送信時刻と前記第３信号の送信時刻との間の送信間隔は、前記第１信号の送信時刻と前記第２信号の送信時刻との間の送信間隔に一致してもよい。

上記構成によれば、第２信号の送信時刻と第３信号の送信時刻との間の送信間隔は、第１信号の送信時刻と第２信号の送信時刻との間の送信間隔に一致するので、認証要求信号の生成処理は、簡素化される。

上記構成に関して、前記信号生成部は、前記第１信号と前記第２信号とに加えて、前記第２信号の後に前記送信部から前記認証要求信号として送信される第３信号を生成してもよい。前記第２信号の送信時刻と前記第３信号の送信時刻との間の送信間隔は、前記第１信号の送信時刻と前記第２信号の送信時刻との間の送信間隔とは異なってもよい。

上記構成によれば、第２信号の送信時刻と第３信号の送信時刻との間の送信間隔は、第１信号の送信時刻と第２信号の送信時刻との間の送信間隔とは異なるので、故障診断ツールになりすまそうとする不正な外部機器は製造されにくい。

上記構成に関して、前記信号生成部は、前記認証要求信号を符号化する符号化部を含み、前記車載通信システムは、前記符号化された認証要求信号を復号する復号部を含んでもよい。

上記構成によれば、認証処理は、符号化された認証要求信号に応じて実行されるので、認証システムは、車載通信システムと故障診断ツールとの間の通信を適切に認証することができる。

上記構成に関して、前記符号化部は、メッセージ認証符号とセッション鍵を用いて、前記認証要求信号を符号化してもよい。前記復号部は、前記セッション鍵を用いて、前記認証要求信号を復号してもよい。

上記構成によれば、車載通信システムの復号部は、認証要求信号の符号化に用いられたセッション鍵を用いて、認証要求信号を復号するので、認証システムは、セッション鍵を共有しない外部機器から車載通信システムへの不正アクセスを高い信頼性を以て防止することができる。

本発明の他の局面に係る故障診断ツールは、認証要求信号に応じて故障診断ツールとの通信を認証処理を実行するとともに前記認証処理の後に受信した処理要求信号に応じて所定の処理を実行する車載通信システムの接続ポートに接続される。故障診断ツールは前記認証要求信号と前記処理要求信号とを生成する信号生成部と、前記認証要求信号を前記車載通信システムへ繰り返し送信するとともに前記認証要求信号の後に前記処理要求信号を送信する送信部と、前記認証要求信号として第１信号が送信されてから前記第１信号の次に前記認証要求信号として第２信号が送信されるまでの期間において、前記処理要求信号が前記車載通信システムにいくつ送られたかを表す第１カウント値を生成する第１カウント部と、を備える。前記信号生成部は、前記第１カウント値を表す情報を前記認証要求信号に組み込む。前記車載通信システムは前記認証要求信号を所定期間受信しないならば前記通信を拒否する。前記車載通信システムは、前記車載通信システムが前記処理要求信号をいくつ受け取ったかをカウントし得られた第２カウント値を前記認証要求信号に組み込まれた前記第１カウント値と比較し、前記第１カウント値が前記第２カウント値に一致することを条件として前記通信を許可する。

上記構成によれば、故障診断ツールの送信部は、車載通信システムとの通信を認証する認証処理を車載通信システムに要求する認証要求信号を、車載通信システムへ繰り返し送信するので、故障診断ツールは、認証処理を繰り返し受けることとなる。したがって、故障診断ツールになりすまそうとする不正な外部機器から車載通信システムへの不正アクセスは、信頼性高く防止される。信号生成部は、第１カウント値を表す情報を認証要求信号に組み込むので、車載通信システムは、故障診断ツールが実際に送信した処理要求信号の数を認識することができる。

本発明の更に他の局面に係る車載通信システムは、外部機器が接続される接続ポートを有する。車載通信システムは、前記故障診断ツールと前記車載通信システムとの間の通信を認証する認証処理を前記車載通信システムに要求する認証要求信号を繰り返し受信するとともに前記認証処理の後に所定の処理の実行を前記車載通信システムに要求する処理要求信号を受信する受信部と、前記処理要求信号を前記故障診断ツールから前記接続ポートを通じていくつ受け取ったかを表す第２カウント値を生成する第２カウント部と、前記認証要求信号の受信の度に、前記認証処理を実行する認証部と、を備える。前記認証要求信号は、前記認証要求信号として送信された第１信号と前記第１信号の次に前記認証要求信号として送信された第２信号との間に前記処理要求信号がいくつ存在するかを表す第１カウント値に関する情報を含む。前記認証部は、前記第１カウント値が前記第２カウント値に一致することを条件として前記通信を許可する。

上記構成によれば、車載通信システムの認証部は、認証要求信号の受信の度に、認証処理を実行するか否かを決定するので、認証処理は、従来技術よりも高い頻度で実行される。したがって、車載通信システムは、故障診断ツールになりすまそうとする不正な外部機器からの不正アクセスを、信頼性高く防止することができる。認証要求信号は、第１カウント値を表す情報を含むので、車載通信システムは、故障診断ツールが実際に送信した処理要求信号の数を認識することができる。車載通信システムの第２カウント値は、受信部が実際に受信した処理要求信号の数を表す。車載通信システムの認証部は、第１カウント値が第２カウント値に一致することを条件として、認証処理の実行を許可するので、車載通信システムは、車載通信システムと故障診断ツールとの間の通信を適切に認証することができる。

上記構成に関して、前記受信部が、前記認証要求信号を所定期間受信しないならば、前記認証部は、前記通信を拒否してもよい。

上記構成によれば、受信部が、認証要求信号を所定期間受信しないならば、認証部は、通信を拒否するので、認証要求信号を繰り返し送信する機能を有さない不正な外部機器から車載通信システムへのアクセスは、適切に防止される。

本発明の更に他の局面に係る認証方法は、車載通信システムの接続ポートに接続された故障診断ツールを認証することができる。認証方法は、前記故障診断ツールと前記車載通信システムとの間での通信を認証する認証処理を要求する認証要求信号を前記故障診断ツールが前記車載通信システムへ繰り返し送信する段階と、前記認証要求信号の受信の度に前記車載通信システムが前記認証処理を実行する段階と、前記故障診断ツールが前記認証処理の後に所定の処理の実行を前記車載通信システムに要求する処理要求信号を送信するとともに前記処理要求信号を前記車載通信システムが受信する段階と、を備える。前記故障診断ツールが前記認証要求信号を繰り返し送信する段階は、前記認証要求信号として送信された第１信号と前記第１信号の次に前記認証要求信号として送信された第２信号との間に前記処理要求信号がいくつ存在するかを表す第１カウント値に関する情報を前記故障診断ツールが前記認証要求信号に組み込むことを含む。前記車載通信システムが前記認証処理を実行する段階が実行する段階は、前記車載通信システムが、前記処理要求信号を前記故障診断ツールから前記接続ポートを通じていくつ受け取ったかを表す第２カウント値と前記認証要求信号に組み込まれた前記情報が表す第１カウント値とを比較し、前記第１カウント値が前記第２カウント値に一致することを条件として前記通信を許可することを含む。

上記構成によれば、故障診断ツールと車載通信システムとの間での通信の認証する認証処理を要求する認証要求信号は、故障診断ツールから車載通信システムへ繰り返し送信され、且つ、認証処理は、認証要求信号の受信の度に実行されるので、認証処理は、従来技術よりも高い頻度で実行される。したがって、不正アクセスは、信頼性高く防止される。故障診断ツールが生成する第１カウント値は、故障診断ツールが実際に送信した処理要求信号の数を表す。車載通信システムの第２カウント値は、受信部が実際に受信した処理要求信号の数を表す。車載通信システムの認証部は、第１カウント値が第２カウント値に一致することを条件として、認証処理の実行を許可するので、認証システムは、車載通信システムと故障診断ツールとの間の通信を適切に認証することができる。

上記構成に関して、前記認証処理を実行する前記段階は、所定期間において、前記故障診断ツールから前記車載通信システムへの送信が不存在であるならば、前記認証処理を拒否することを含んでもよい。

上記構成によれば、認証処理を実行する段階は、所定期間において、故障診断ツールから車載通信システムへの送信が不存在であるならば、通信を拒否するので、認証要求信号を繰り返し送信する機能を有さない不正な外部機器から車載通信システムへのアクセスは、適切に防止される。

上述の技術は、車載通信システムと故障診断ツールとの間の通信を適切に認証することに貢献する。

第１実施形態の認証システムの例示的な機能構成を表す概念的なブロック図である。 図１に示される認証システムに用いられる認証要求信号の生成処理を表す概略的なフローチャートである。 図１に示される認証システムが実行する例示的な認証処理の概略的なフローチャートである。 第２実施形態の認証システムの概略的なブロック図である。 第３実施形態の認証システムの例示的な機能構成を表す概念的なブロック図である。 図５に示される認証システムの故障診断ツールの動作を表す概略的なフローチャートである。 図６に示される動作において実行される診断処理の概略的なフローチャートである。 図６に示される動作において実行される認証処理の概略的なフローチャートである。 図５に示される認証システムの車載通信システムの動作を表す概略的なフローチャートである。 図９に示される動作において実行される診断処理の概略的なフローチャートである。 図９に示される動作において実行される認証処理の概略的なフローチャートである。 故障診断ツールと車載通信システムとの間の通信を表す概略的なタイムチャートである。 第４実施形態の認証システムの概略的なブロック図である。 図１３に示される認証システムの故障診断ツール及び車載通信システムの間の通信を表す概略的なタイムチャートである。 第５実施形態の認証システムの例示的な機能構成を表す概念的なブロック図である。 認証要求信号の送信間隔を変動させる処理を表すフローチャートである（第６実施形態）。

＜第１実施形態＞
故障診断ツールと車載通信システムとの間の認証処理が繰り返し行われるならば、認証処理後に車載通信システムに取り付けられた不正な外部機器や認証処理後に車載通信システムに不正な信号を出力する外部機器から車載通信システムへの不正なアクセスは、信頼性高く防止される。第１実施形態において、認証処理を繰り返し実行する認証システムが説明される。

図１は、第１実施形態の認証システム１００の例示的な機能構成を表す概念的なブロック図である。図１を参照して、認証システム１００が説明される。

認証システム１００は、故障診断ツール２００と車載通信システム（以下、「通信システム３００」と称される）とを備える。故障診断ツール２００は、通信システム３００とデータを通信し、車両（図示せず）の故障を診断する。例えば、故障診断ツール２００は、通信システム３００からデータを読み出し、読み出されたデータを解析してもよい。必要に応じて、故障診断ツール２００は、通信システム３００にデータを書き込んでもよい。通信システム３００は、車両の制御を司る。通信システム３００は、既知のコントローラエリアネットワーク（ＣＡＮ：Ｃｏｎｔｒｏｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）の技術に基づいて構築されてもよい。

故障診断ツール２００は、信号生成部２１０と、通信部２２０と、復号部２３０と、を含む。信号生成部２１０及び復号部２３０は、故障診断ツール２００に内蔵されたＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）であってもよい。通信部２２０は、通信システム３００への接続に用いられる接続ポートや接続ケーブルであってもよい。

信号生成部２１０は、故障診断ツール２００と通信システム３００との間の通信の認証を通信システム３００に要求するための認証要求信号ＣＲＳを生成する。認証要求信号ＣＲＳは、通信部２２０へ伝達される。

通信部２２０は、送信部２２１と受信部２２２とを含む。送信部２２１は、信号生成部２１０から認証要求信号ＣＲＳを受け取る。認証要求信号ＣＲＳは、送信部２２１から繰り返し送信される。認証要求信号ＣＲＳの送信間隔は、一定であってもよいし、不定であってもよい。

受信部２２２及び復号部２３０は、故障診断ツール２００と通信システム３００との間の通信の認証のための認証処理に用いられる。受信部２２２は、所定のデータを表す符号化信号を通信システム３００から受け取る。符号化信号は、受信部２２２から復号部２３０へ伝達される。復号部２３０は、符号化信号を復号し、符号化信号に含まれるデータを信号生成部２１０へ伝達する。

信号生成部２１０は、復号部２３０から受け取ったデータを表す受領通知信号を生成する。受領通知信号は、信号生成部２１０から送信部２２１へ伝達される。送信部２２１は、受領通知信号を、通信システム３００へ送信する。

通信システム３００は、接続ポート３１０と、通信部３２０と、計時部３３０と、認証部３４０と、を含む。故障診断ツール２００や他の外部機器は、接続ポート３１０に物理的に接続される。接続ポート３１０は、一般的なＯＢＤ−ＩＩポートであってもよい。

接続ポート３１０は、第１ポート３１１と第２ポート３１２とを含む。第１ポート３１１は、故障診断ツール２００から通信システム３００への信号伝達に用いられる。第２ポート３１２は、通信システム３００から故障診断ツール２００への信号伝達に用いられる。

第１ポート３１１は、認証要求信号ＣＲＳを送信部２２１から繰り返し受け取る。故障診断ツール２００と通信システム３００との間の通信の認証処理中に、第１ポート３１１は、受領通知信号を送信部２２１から受け取る。認証要求信号ＣＲＳ及び受領通知信号は、第１ポート３１１から通信部３２０へ伝達される。

通信部３２０は、受信部３２１と送信部３２２とを含む。受信部３２１は、認証要求信号ＣＲＳを、第１ポート３１１を通じて繰り返し受け取る。故障診断ツール２００と通信システム３００との間の通信の認証処理中に、受信部３２１は、受領通知信号を、第１ポート３１１を通じて受け取る。認証要求信号ＣＲＳが、第１ポート３１１から受信部３２１へ伝達されると、受信部３２１は、認証部３４０に認証要求信号ＣＲＳを伝達する。

認証部３４０は、認証要求信号ＣＲＳの受信の度に、所定の認証処理を実行する。たとえば、認証部３４０は、乱数データから選択された数値を表すデータを含む符号化信号を生成してもよい。符号化信号は、その後、認証部３４０から送信部３２２へ伝達される。送信部３２２は、符号化信号を、第２ポート３１２を通じて、故障診断ツール２００の受信部２２２へ出力する。符号化信号は、受信部２２２から復号部２３０へ伝達される。復号部２３０は、符号化信号を復号する。符号化信号が含むデータは、復号部２３０から信号生成部２１０へ伝達される。

信号生成部２１０は、データの伝達に応じて、符号化信号が含むデータを表す受領通知信号を生成する。受領通知信号は、信号生成部２１０から送信部２２１へ伝達される。受領通知信号は、その後、第１ポート３１１を通じて、送信部２２１から通信システム３００の受信部３２１へ出力される。受信部３２１は、受領通知信号を、認証部３４０へ伝達する。認証部３４０は、受領通知信号に含まれるデータを参照する。受領通知信号に含まれるデータが表す数値が、認証部３４０が符号化信号として出力した数値に一致するならば、認証部３４０は、故障診断ツール２００と通信システム３００との間の通信を許可するリスポンス信号を生成する。受領通知信号に含まれるデータが表す数値が、認証部３４０が符号化信号として出力した数値に一致しないならば、認証部３４０は、故障診断ツール２００と通信システム３００との間の通信を拒否するリスポンス信号を生成する。これらのリスポンス信号は、送信部３２２及び第２ポート３１２を通じて、故障診断ツール２００の受信部２２２へ出力される。

本実施形態において、故障診断ツール２００と通信システム３００との間の通信の認証処理は、乱数データが用いられる。代替的に、他の既知の認証処理技術が、故障診断ツール２００と通信システム３００との間の通信の認証処理に用いられてもよい。本実施形態の原理は、特定の認証処理に限定されない。

故障診断ツール２００と通信システム３００との間の通信を許可するリスポンス信号は、認証部３４０から計時部３３０へも出力される。計時部３３０は、リスポンス信号に応じて、計時を開始する。この結果、計時値は、計時部３３０のリスポンス信号の受信の度にゼロから増大する。計時値が所定の閾値を超えると、計時部３３０は、トリガ信号を生成する。トリガ信号は、計時部３３０から認証部３４０へ出力される。認証部３４０は、トリガ信号に応じて、故障診断ツール２００と通信システム３００との間の以後の通信を拒否する。本実施形態において、所定期間は、計時部３３０が設定する閾値によって定められた期間によって例示される。

図２は、認証要求信号ＣＲＳの生成処理を表す概略的なフローチャートである。図１及び図２を参照して、認証要求信号ＣＲＳの生成処理が説明される。

（ステップＳ１１０）
故障診断ツール２００は、接続ポート３１０への接続を待つ。故障診断ツール２００が接続ポート３１０に接続されると、ステップＳ１２０が実行される。

（ステップＳ１２０）
信号生成部２１０は、計時を開始する。この結果、計時値「Ｔ１」は、ゼロから増加する。計時の開始の後、ステップＳ１３０が実行される。

（ステップＳ１３０）
信号生成部２１０は、認証要求信号ＣＲＳを生成する。認証要求信号ＣＲＳは、信号生成部２１０から送信部２２１へ伝達される。その後、ステップＳ１４０が実行される。

（ステップＳ１４０）
送信部２２１は、認証要求信号ＣＲＳを、第１ポート３１１へ出力する。その後、ステップＳ１５０が実行される。

（ステップＳ１５０）
信号生成部２１０は、計時値「Ｔ１」が、閾値「ＴＨ１」を超えるのを待つ。閾値「ＴＨ１」は、一定であってもよいし、認証要求信号ＣＲＳの度に変更されてもよい。図１は、認証要求信号ＣＲＳの送信時刻「ｔ１」，「ｔ２」，「ｔ３」（「ｔ１」＜「ｔ２」＜「ｔ３」）を示す。閾値「ＴＨ１」が、一定であるならば、送信時刻「ｔ２」から送信時刻「ｔ３」までの間隔は、送信時刻「ｔ１」から送信時刻「ｔ２」までの間隔に略等しい。閾値「ＴＨ１」が、認証要求信号ＣＲＳの度に変更されるならば、送信時刻「ｔ２」から送信時刻「ｔ３」までの間隔は、送信時刻「ｔ１」から送信時刻「ｔ２」までの間隔とは相違する。本実施形態において、第１信号は、送信時刻「ｔ１」において送信部２２１から第１ポート３１１へ出力される認証要求信号ＣＲＳによって例示される。第２信号は、送信時刻「ｔ２」において送信部２２１から第１ポート３１１へ出力される認証要求信号ＣＲＳによって例示される。第３信号は、送信時刻「ｔ３」において送信部２２１から第１ポート３１１へ出力される認証要求信号ＣＲＳによって例示される。計時値「Ｔ１」が、閾値「ＴＨ１」を超えると、ステップＳ１６０が実行される。

（ステップＳ１６０）
故障診断ツール２００と接続ポート３１０との間の接続が解除されるならば、認証要求信号ＣＲＳの処理は終了する。他の場合には、ステップＳ１２０が実行される。

図３は、例示的な認証処理の概略的なフローチャートである。図１及び図３を参照して、認証処理が説明される。

（ステップＳ２０５）
計時部３３０は、計時値「Ｔ２」をゼロに設定する。その後、ステップＳ２１０が実行される。

（ステップＳ２１０）
受信部３２１は、認証要求信号ＣＲＳを待つ。受信部３２１が、認証要求信号ＣＲＳを、第１ポート３１１を通じて受信するならば、認証要求信号ＣＲＳは、受信部３２１から認証部３４０へ伝達される。その後、ステップＳ２１５が実行される。他の場合には、ステップＳ２５５が実行される。

（ステップＳ２１５）
認証部３４０は、所定のデータを含む信号を生成する。認証部３４０は、生成された信号を符号化し、符号化信号を生成する。符号化信号は、認証部３４０から送信部３２２へ伝達される。その後、ステップＳ２２０が実行される。

（ステップＳ２２０）
符号化信号は、第２ポート３１２を通じて、送信部３２２から受信部２２２へ伝達される。受信部２２２は、その後、符号化信号を、復号部２３０へ伝達する。その後、ステップＳ２２５が実行される。

（ステップＳ２２５）
復号部２３０は、符号化信号を復号する。符号化信号に含まれるデータは、その後、復号部２３０から信号生成部２１０へ伝達される。その後、ステップＳ２３０が実行される。

（ステップＳ２３０）
信号生成部２１０は、復号部２３０から受け取ったデータを含む受領通知信号を生成する。受領通知信号は、信号生成部２１０から送信部２２１へ伝達される。その後、ステップＳ２３５が実行される。

（ステップＳ２３５）
受領通知信号は、第１ポート３１１を通じて、故障診断ツール２００の送信部２２１から通信システム３００の受信部３２１へ伝達される。受信部３２１は、受領通知信号を、認証部３４０へ伝達する。その後、ステップＳ２４０が実行される。

（ステップＳ２４０）
認証部３４０は、受領通知信号が含むデータが、符号化信号に組み込まれたデータと一致するか否かを判定する。受領通知信号が含むデータが、符号化信号に組み込まれたデータと一致するならば、ステップＳ２４５が実行される。故障診断ツール２００になりすます外部機器の多くは、符号化信号を復号できない。したがって、故障診断ツール２００になりすます外部機器の多くは、符号化信号に組み込まれたデータと一致するデータを受領通知信号に含ませることはできない。この場合、受領通知信号が含むデータが、符号化信号に組み込まれたデータと一致しないので、ステップＳ２６０が実行される。

（ステップＳ２４５）
認証部３４０は、故障診断ツール２００と通信システム３００との間の通信を許可するリスポンス信号を生成する。リスポンス信号は、認証部３４０から送信部３２２と計時部３３０とに伝達される。認証部３４０から送信部３２２へ伝達されたリスポンス信号は、第２ポート３１２を通じて、通信システム３００の送信部３２２から故障診断ツール２００の受信部２２２へ送信される。故障診断ツール２００は、故障診断ツール２００と通信システム３００との間の通信を許可するリスポンス信号に応じて、所定の動作を行う。たとえば、故障診断ツール２００は、リスポンス信号に応じて、故障診断ツール２００と通信システム３００との間の通信が許可されたことを表す画像（図示せず）を表示してもよい。本実施形態の原理は、故障診断ツール２００と通信システム３００との間の通信を許可するリスポンス信号に応じた故障診断ツール２００の特定の動作に限定されない。認証部３４０から計時部３３０へのリスポンス信号の伝達の後、ステップＳ２５０が実行される。

（ステップＳ２５０）
計時部３３０は、計時を開始する。この結果、計時値「Ｔ２」は、ゼロから増大する。その後、ステップＳ２１０が実行される。

（ステップＳ２５５）
計時部３３０は、計時値「Ｔ２」が、閾値「ＴＨ２」を超えているか否かを判定する。計時値「Ｔ２」が、閾値「ＴＨ２」を超えているならば、計時部３３０は、トリガ信号を生成する。トリガ信号は、計時部３３０から認証部３４０へ伝達される。その後、ステップＳ２６０が実行される。計時値「Ｔ２」が、閾値「ＴＨ２」を超えていないならば、ステップＳ２１０が実行される。

（ステップＳ２６０）
認証部３４０は、故障診断ツール２００と通信システム３００との間の通信を拒否するリスポンス信号を生成する。リスポンス信号は、認証部３４０から送信部３２２に伝達される。リスポンス信号は、その後、第２ポート３１２を通じて、通信システム３００の送信部３２２から故障診断ツール２００の受信部２２２へ送信される。

ステップＳ２５５からステップＳ２６０への処理は、最初の認証処理が成功裏に終えられても、その後の認証処理は失敗することを意味する。したがって、使用者が、正規の故障診断ツール２００を用いて最初の認証処理を成功させ、その後、不正な外部機器を接続ポート３１０に接続しても、不正な外部機器と通信システム３００との間での通信は中断されることとなる。

＜第２実施形態＞
第１実施形態に関連して説明された認証システムは、接続ポートに事後的に接続された外部機器から車載通信システムへの不正アクセスを信頼性高く防止することができる。第２実施形態において、事後的に接続された外部機器から車載通信システムへの不正アクセスに対する防止技術が説明される。

図４は、第２実施形態の認証システム１００Ａの概略的なブロック図である。図１、図３及び図４を参照して、認証システム１００Ａが説明される。

認証システム１００Ａは、故障診断ツール２００Ａと車載通信システム（以下、「通信システム３００Ａ」と称される）とを備える。故障診断ツール２００Ａは、図１を参照して説明された故障診断ツール２００に対応する。故障診断ツール２００に関する説明は、故障診断ツール２００Ａに援用される。

通信システム３００Ａは、接続ポート３１０Ａと、ゲートウェイＥＣＵ３０１と、６つのＥＣＵ３０２，３０３，３０４，３０５，３０６，３０７と、３つのバス３５１，３５２，３５３と、を含む。接続ポート３１０Ａは、図１を参照して説明された接続ポート３１０に対応する。接続ポート３１０に関する説明は、接続ポート３１０Ａに援用される。

ゲートウェイＥＣＵ３０１は、図１を参照して説明された通信部３２０と、計時部３３０と、認証部３４０と、を含む。通信部３２０は、ゲートウェイＥＣＵ３０１のトランシーバであってもよい。計時部３３０及び認証部３４０は、ゲートウェイＥＣＵ３０１のＣＰＵであってもよい。通信部３２０、計時部３３０及び認証部３４０に関する説明は、ゲートウェイＥＣＵ３０１に援用される。

バス３５１は、ゲートウェイＥＣＵ３０１を接続ポート３１０Ａに通信可能に接続する。故障診断ツール２００Ａが、接続ポート３１０Ａに接続されると、ゲートウェイＥＣＵ３０１は、バス３５１及び接続ポート３１０Ａを通じて、故障診断ツール２００Ａと通信することができる。

バス３５２，３５３は、ゲートウェイＥＣＵ３０１から延びる。ＥＣＵ３０２，３０３，３０４は、バス３５２に接続される。ＥＣＵ３０５，３０６，３０７は、バス３５３に接続される。例えば、ＥＣＵ３０２，３０３，３０４は、バス３５２を通じて、制御データを交換し、エンジンを制御してもよい。ＥＣＵ３０５，３０６，３０７は、バス３５３を通じて、制御データを交換し、ブレーキを制御してもよい。ＥＣＵ３０２，３０３，３０４，３０５，３０６，３０７及びバス３５２，３５３は、既知のコントローラエリアネットワークの技術に基づいて構築されてもよい。

第１実施形態に関連して説明された如く、故障診断ツール２００Ａが、認証要求信号を通信システム３００Ａへ出力すると、ゲートウェイＥＣＵ３０１は、所定の認証処理を行い、故障診断ツール２００Ａと通信システム３００Ａとの間の通信を許可する（図３のステップＳ２４５を参照）。図４は、不正な外部機器２０１を示す。使用者は、故障診断ツール２００Ａを接続ポート３１０Ａから取り外し、外部機器２０１を接続ポート３１０Ａに接続することもある。

外部機器２０１が、認証要求信号を出力する機能を有さないならば、あるいは、外部機器２０１が、ゲートウェイＥＣＵ３０１を騙すほど精緻な認証要求信号を出力できないならば、図３を参照して説明されたステップＳ２５５において、計時値「Ｔ２」は、閾値「ＴＨ２」を超えることとなる。したがって、ゲートウェイＥＣＵ３０１は、外部機器２０１からの不正アクセスを強制的に中断させることができる。

＜第３実施形態＞
第１実施形態の認証システムに関し、故障診断ツールが、車載通信システムから送信された信号を復号できるならば、故障診断ツールと車載通信システムとの間の通信は、許可される。代替的に、或いは、追加的に、故障診断ツールから車載通信システムへ送信された信号の数が、故障診断ツールと車載通信システムとの間の通信の許否の判断基準として用いられてもよい。第３実施形態において、故障診断ツールから車載通信システムへ送信された信号の数を、故障診断ツールと車載通信システムとの間の通信の許否の判断基準として用いる認証システムが説明される。

図５は、第３実施形態の認証システム１００Ｂの例示的な機能構成を表す概念的なブロック図である。図２乃至図５を参照して、認証システム１００Ｂが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。

認証システム１００Ｂは、故障診断ツール２００Ｂと車載通信システム（以下、「通信システム３００Ｂ」と称される）とを備える。故障診断ツール２００Ｂは、通信システム３００Ｂとデータを通信し、車両（図示せず）の故障を診断する。例えば、故障診断ツール２００Ｂは、通信システム３００Ｂからデータを読み出し、読み出されたデータを解析してもよい。必要に応じて、故障診断ツール２００Ｂは、通信システム３００Ｂにデータを書き込んでもよい。通信システム３００Ｂは、車両の制御を司る。通信システム３００Ｂは、既知のコントローラエリアネットワークの技術に基づいて構築されてもよい。

故障診断ツール２００Ｂは、信号生成部２１０Ｂと、通信部２２０Ｂと、第１カウント部２４０と、診断処理部２５０と、を含む。信号生成部２１０Ｂは、通信システム３００Ｂへ出力される信号を生成する。信号は、信号生成部２１０Ｂから通信部２２０Ｂへ伝達される。信号生成部２１０Ｂから通信部２２０Ｂへ伝達された信号は、その後、通信部２２０Ｂから通信システム３００Ｂへ送信される。通信部２２０Ｂは、通信システム３００Ｂへ信号を送信するだけでなく、通信システム３００Ｂから信号を受信する。診断処理部２５０は、通信システム３００Ｂから受け取った信号に応じて、所定の診断処理を実行する。信号生成部２１０Ｂ、第１カウント部２４０及び診断処理部２５０は、故障診断ツール２００ＢのＣＰＵであってもよい。通信部２２０Ｂは、通信システム３００Ｂへの接続に用いられる接続ポートや接続ケーブルであってもよい。

信号生成部２１０Ｂは、第１信号生成部２１１と第２信号生成部２１２とを含む。第１信号生成部２１１は、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信の認証に用いられる認証要求信号を生成する。第２信号生成部２１２は、故障診断に利用される処理を通信システム３００Ｂに要求する処理要求信号を、診断処理部２５０の制御下で生成する。たとえば、処理要求信号は、通信システム３００Ｂに組み込まれた特定のＥＣＵ（たとえば、ＥＣＵ３０２（図４を参照））が保持するデータの読み出しを要求してもよい。あるいは、処理要求信号は、通信システム３００Ｂに組み込まれた特定のＥＣＵへのデータの書き込みを要求してもよい。本実施形態の原理は、処理要求信号が要求する特定の処理内容に限定されない。

処理要求信号は、第２信号生成部２１２から通信部２２０Ｂ及び第１カウント部２４０へ伝達される。通信部２２０Ｂへ伝達された処理要求信号は、その後、通信部２２０Ｂから通信システム３００Ｂへ送信される。第１カウント部２４０は、処理要求信号に応じて、第１カウント値を増大させる。

第１信号生成部２１１は、閾値「ＴＨ１」（図２を参照）によって定められた時間間隔で、認証要求信号を生成する。第１信号生成部２１１が、認証要求信号を生成するとき、第１カウント部２４０の第１カウント値は、第１信号生成部２１１によって参照される。第１カウント値が、第１カウント部２４０から第１信号生成部２１１へ読み出されると、第１カウント部２４０は、第１カウント値をゼロに設定する。第１信号生成部２１１は、第１カウント値を表すメッセージを含む認証要求信号を生成する。認証要求信号は、その後、第１信号生成部２１１から通信部２２０Ｂへ伝達される。

通信部２２０Ｂは、送信部２２１Ｂと受信部２２２Ｂとを含む。送信部２２１Ｂは、認証要求信号を、第１信号生成部２１１から受け取る。その後、送信部２２１Ｂは、認証要求信号を、通信システム３００Ｂへ送信する。送信部２２１Ｂは、処理要求信号を、第２信号生成部２１２から受け取る。その後、送信部２２１Ｂは、処理要求信号を、通信システム３００Ｂへ送信する。受信部２２２Ｂは、通信システム３００Ｂからリスポンス信号を受け取る。リスポンス信号は、その後、受信部２２２Ｂから診断処理部２５０へ伝達される。

第１実施形態と同様に、通信システム３００Ｂは、計時部３３０を含む。第１実施形態の説明は、計時部３３０に援用される。

通信システム３００Ｂは、接続ポート３１０Ｂと、通信部３２０Ｂと、認証部３４０Ｂと、第２カウント部３５０と、要求処理部３６０と、を含む。故障診断ツール２００Ｂや他の外部機器は、接続ポート３１０Ｂに物理的に接続される。接続ポート３１０Ｂは、一般的なＯＢＤ−ＩＩポートであってもよい。

接続ポート３１０Ｂは、第１ポート３１１Ｂと第２ポート３１２Ｂとを含む。第１ポート３１１Ｂは、故障診断ツール２００Ｂの送信部２２１Ｂから認証要求信号及び処理要求信号を受け取る。証要求信号及び処理要求信号は、第１ポート３１１Ｂから通信部３２０Ｂへ伝達される。第２ポート３１２Ｂは、通信部３２０Ｂからリスポンス信号を受け取る。リスポンス信号は、その後、第２ポート３１２Ｂから故障診断ツール２００Ｂの受信部２２２Ｂへ出力される。

通信部３２０Ｂは、受信部３２１Ｂと送信部３２２Ｂとを含む。受信部３２１Ｂは、認証要求信号及び処理要求信号を、第１ポート３１１Ｂを通じて受け取る。認証要求信号が、第１ポート３１１Ｂから受信部３２１Ｂへ伝達されるならば、受信部３２１Ｂは、認証要求信号を、認証部３４０Ｂへ伝達する。処理要求信号が、第１ポート３１１Ｂから受信部３２１Ｂへ伝達されるならば、受信部３２１Ｂは、処理要求信号を、第２カウント部３５０及び要求処理部３６０へ伝達する。

要求処理部３６０は、処理要求信号に応じて、処理要求信号によって要求される処理を実行する。要求処理部３６０は、処理要求信号の受信又は処理要求信号によって要求される処理の完了に応じてリスポンス信号を生成する。要求処理部３６０は、処理要求信号によって要求されたデータをリスポンス信号に含めてもよい。リスポンス信号は、要求処理部３６０から送信部３２２Ｂへ伝達される。第２カウント部３５０は、処理要求信号に応じて、第２カウント値を増大させる。

認証部３４０Ｂは、認証要求信号の受信の度に、第２カウント部３５０から第２カウント値を読み出す。認証部３４０Ｂが、第２カウント値を、第２カウント部３５０から読み出すと、第２カウント部３５０は、第２カウント値をゼロに設定する。認証部３４０Ｂは、その後、認証要求信号によって表される第１カウント値が、第２カウント値に一致するか否かを判定する。第１カウント値が、第２カウント値に一致するならば、認証部３４０Ｂは、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信を許可するリスポンス信号を生成する。この場合、リスポンス信号は、認証部３４０Ｂから送信部３２２Ｂと計時部３３０とに伝達される。計時部３３０は、リスポンス信号に応じて計時値「Ｔ２」をゼロに設定する。第１カウント値が、第２カウント値に一致しないならば、認証部３４０Ｂは、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信を拒否するリスポンス信号を生成する。この場合、リスポンス信号は、認証部３４０Ｂから送信部３２２Ｂへ伝達される。

上述の如く、送信部３２２Ｂは、リスポンス信号を、認証部３４０Ｂ及び要求処理部３６０から受け取る。これらのリスポンス信号は、第２ポート３１２Ｂ及び受信部２２２Ｂを通じて、送信部３２２Ｂから診断処理部２５０へ伝達される。診断処理部２５０が、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信を許可するリスポンス信号を受け取るならば、診断処理部２５０は、車両（図示せず）の故障を診断するための診断処理を開始又は再開する。診断処理部２５０が、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信を拒否するリスポンス信号を受け取るならば、車両の故障を診断するための診断処理を中断する処理（たとえば、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信が無効化されたことを表す画像を表示する処理）を実行する。要求処理部３６０によって生成されたリスポンス信号が、診断処理部２５０へ伝達されるならば、診断処理部２５０は、リスポンス信号に含まれるデータを用いて、診断処理を実行してもよい。

図６は、故障診断ツール２００Ｂの動作を表す概略的なフローチャートである。図５及び図６を参照して、故障診断ツール２００Ｂの動作が説明される。

（ステップＳ３１０）
故障診断ツール２００Ｂは、接続ポート３１０Ｂへの接続を待つ。故障診断ツール２００Ｂが接続ポート３１０Ｂに接続されると、ステップＳ３２０が実行される。

（ステップＳ３２０）
第１カウント部２４０は、第１カウント値「ＣＴ１」をゼロに設定する。その後、ステップＳ３３０が実行される。

（ステップＳ３３０）
故障診断ツール２００Ｂは、通信システム３００Ｂと協働して、認証処理を実行する。認証処理が、成功裏に終えるならば（すなわち、認証部３４０Ｂが、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信を許可するならば）、ステップＳ３４０が実行される。認証処理が、失敗に終わるならば（すなわち、認証部３４０Ｂが、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信を拒否するならば）、故障診断ツール２００Ｂの動作は終了する。

（ステップＳ３４０）
故障診断ツール２００Ｂは、故障診断のための診断処理を実行する。診断処理の継続が必要とされるならば、ステップＳ３３０が実行される。診断処理が完了するならば、故障診断ツール２００Ｂの動作は終了する。

図７は、診断処理（図６のステップＳ３４０）の概略的なフローチャートである。図５乃至図７を参照して、診断処理が説明される。

（ステップＳ３４１）
第１信号生成部２１１は、計時を開始する。この結果、計時値「Ｔ１」は、ゼロから増加する。計時の開始の後、ステップＳ３４２が実行される。

（ステップＳ３４２）
第２信号生成部２１２は、診断処理部２５０の制御下で、処理要求信号を生成する。処理要求信号は、第２信号生成部２１２から第１カウント部２４０と送信部２２１Ｂとに伝達される。送信部２２１Ｂへ伝達された処理要求信号は、その後、通信システム３００Ｂへ送信される。処理要求信号の生成及び伝達の後、ステップＳ３４３が実行される。

（ステップＳ３４３）
第１カウント部２４０は、処理要求信号に応じて、第１カウント値「ＣＴ１」を「１」だけ増大させる。第１カウント値「ＣＴ１」の変更の後、ステップＳ３４４が実行される。

（ステップＳ３４４）
診断処理部２５０は、故障診断のために必要とされる処理全てが完了したか否かを判定する。故障診断のために必要とされる処理全てが完了しているならば、故障診断ツール２００Ｂの動作は終了する。故障診断のために必要とされる処理全てが完了していないならば、ステップＳ３４５が実行される。

（ステップＳ３４５）
第１信号生成部２１１は、計時値「Ｔ１」が閾値「ＴＨ１」を超えているか否かを判定する。計時値「Ｔ１」が、閾値「ＴＨ１」を超えているならば、認証処理（ステップＳ３３０）が実行される。計時値「Ｔ１」が、閾値「ＴＨ１」を超えていないならば、ステップＳ３４２が実行される。

図８は、認証処理（図６のステップＳ３３０）の概略的なフローチャートである。図５、図６及び図８を参照して、診断処理が説明される。

（ステップＳ３３１）
第１信号生成部２１１は、第１カウント部２４０から第１カウント値「ＣＴ１」を読み出す。その後、ステップＳ３３２が実行される。

（ステップＳ３３２）
第１カウント部２４０は、第１カウント値「ＣＴ１」をゼロに設定する。その後、ステップＳ３３３が実行される。

（ステップＳ３３３）
第１信号生成部２１１は、ステップＳ３３１において、第１カウント部２４０から読み出した第１カウント値「ＣＴ１」を示すメッセージを含む認証要求信号を生成する。認証要求信号は、第１信号生成部２１１から送信部２２１Ｂへ伝達される。その後、認証要求信号は、送信部２２１Ｂから通信システム３００Ｂへ送信される。認証要求信号の送信の後、ステップＳ３３４が実行される。

（ステップＳ３３４）
通信システム３００Ｂへの認証要求信号の送信の結果、受信部２２２Ｂは、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信の許否を表すリスポンス信号を受信する。受信部２２２Ｂが受信したリスポンス信号が、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信の許可を表すならば、診断処理（ステップＳ３４０）が実行される。他の場合には、故障診断ツール２００Ｂの動作は終了する。

図９は、通信システム３００Ｂの動作を表す概略的なフローチャートである。図５、図８及び図９を参照して、通信システム３００Ｂの動作が説明される。

（ステップＳ４１０）
通信システム３００Ｂは、接続ポート３１０Ｂへの故障診断ツール２００Ｂの接続を待つ。故障診断ツール２００Ｂが接続ポート３１０Ｂに接続されると、ステップＳ４２０が実行される。

（ステップＳ４２０）
第２カウント部３５０は、第２カウント値「ＣＴ２」をゼロに設定する。計時部３３０は、計時値「Ｔ２」をゼロに設定する。その後、ステップＳ４３０が実行される。

（ステップＳ４３０）
計時部３３０は、計時値「Ｔ２」を、閾値「ＴＨ２」と比較する。計時値「Ｔ２」が、閾値「ＴＨ２」よりも大きいならば、ステップＳ４４０が実行される。他の場合には、ステップＳ４６０が実行される。

（ステップＳ４４０）
計時部３３０は、トリガ信号を生成する。トリガ信号は、計時部３３０から認証部３４０Ｂへ伝達される。その後、ステップＳ４５０が実行される。

（ステップＳ４５０）
認証部３４０Ｂは、トリガ信号に応じて、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信の拒否を表すリスポンス信号を生成する。リスポンス信号は、認証部３４０Ｂから送信部３２２Ｂへ伝達される。その後、リスポンス信号は、第２ポート３１２Ｂ及び故障診断ツール２００Ｂの受信部２２２Ｂを通じて、故障診断ツール２００Ｂの診断処理部２５０へ伝達される。この結果、図８を参照して説明されたステップＳ３３４の実行の後、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信は中断される。

（ステップＳ４６０）
受信部３２１Ｂは、故障診断ツール２００Ｂからの信号の受信を待つ。受信部３２１Ｂが、信号を、故障診断ツール２００Ｂから受信すると、ステップＳ４７０が実行される。他の場合には、ステップＳ４３０が実行される。

（ステップＳ４７０）
受信部３２１Ｂは、故障診断ツール２００Ｂからの信号が、処理要求信号であるか否かを判定する。故障診断ツール２００Ｂからの信号が、処理要求信号であるならば、ステップＳ４８０が実行される。他の場合には、ステップＳ４９０が実行される。

（ステップＳ４８０）
通信システム３００Ｂは、故障診断のための診断処理を実行する。

（ステップＳ４９０）
通信システム３００Ｂは、認証処理を実行する。

図１０は、診断処理（図９のステップＳ４８０）の概略的なフローチャートである。図５、図９及び図１０を参照して、診断処理が説明される。

（ステップＳ４８１）
処理要求信号は、受信部３２１Ｂから第２カウント部３５０及び要求処理部３６０へ伝達される。その後、ステップＳ４８２が実行される。

（ステップＳ４８２）
第２カウント部３５０は、処理要求信号に応じて、第２カウント値「ＣＴ２」を「１」だけ増大させる。第２カウント値「ＣＴ２」の変更の後、ステップＳ４８３が実行される。

（ステップＳ４８３）
要求処理部３６０は、処理要求信号によって要求される所定の処理を実行し、リスポンス信号を生成する。リスポンス信号は、診断処理部２５０のその後の診断処理に利用されるデータを含んでもよい。代替的に、リスポンス信号は、処理要求信号によって要求された処理の完了を表すメッセージを含んでもよい。更に代替的に、リスポンス信号は、処理要求信号の受信を表すメッセージを含んでもよい。本実施形態の原理は、リスポンス信号が表す特定の内容に限定されない。ステップＳ４５３の後、ステップＳ４６０（図９を参照）が実行される。

図１１は、認証処理（図９のステップＳ４９０）の概略的なフローチャートである。図５、図８、図９及び図１１を参照して、認証処理が説明される。

（ステップＳ４９１）
認証要求信号は、受信部３２１Ｂから認証部３４０Ｂへ伝達される。その後、ステップＳ４９２が実行される。

（ステップＳ４９２）
認証部３４０Ｂは、認証要求信号に応じて、第２カウント部３５０から第２カウント値「ＣＴ２」を読み出す。その後、ステップＳ４９３が実行される。

（ステップＳ４９３）
第２カウント部３５０は、第２カウント値「ＣＴ２」をゼロに設定する。その後、ステップＳ４９４が実行される。

（ステップＳ４９４）
認証部３４０Ｂは、認証要求信号が表す第１カウント値「ＣＴ１」を、ステップＳ４９２において読み出された第２カウント値「ＣＴ２」と比較する。第１カウント値「ＣＴ１」が、第２カウント値「ＣＴ２」と一致するならば、ステップＳ４９５が実行される。他の場合には、ステップＳ４９７が実行される。

（ステップＳ４９５）
認証部３４０Ｂは、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信の許可を表すリスポンス信号を生成する。リスポンス信号は、認証部３４０Ｂから送信部３２２Ｂ及び計時部３３０へ伝達される。送信部３２２Ｂへ伝達されたリスポンス信号は、その後、第２ポート３１２Ｂ及び故障診断ツール２００Ｂの受信部２２２Ｂを通じて、故障診断ツール２００Ｂの診断処理部２５０へ伝達される。リスポンス信号の伝達の後、ステップＳ４９６が実行される。

（ステップＳ４９６）
計時部３３０は、計時を開始する。この結果、計時値「ＣＴ２」は、ゼロから増大する。その後、ステップＳ４６０（図９を参照）が、実行される。

（ステップＳ４９７）
認証部３４０Ｂは、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信の拒否を表すリスポンス信号を生成する。リスポンス信号は、認証部３４０Ｂから送信部３２２Ｂへ伝達される。その後、リスポンス信号は、第２ポート３１２Ｂ及び故障診断ツール２００Ｂの受信部２２２Ｂを通じて、故障診断ツール２００Ｂの診断処理部２５０へ伝達される。この結果、図８を参照して説明されたステップＳ３３４の実行の後、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信は中断される。

図１２は、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信を表す概略的なタイムチャートである。図７及び図１２を参照して、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信が説明される。

図１２は、ｎ回目の認証処理及び（ｎ＋１）回目の認証処理を示す（ｎは、自然数）。ｎ回目の認証処理において、認証要求信号ＣＲ１が、故障診断ツール２００Ｂから通信システム３００Ｂへ送信される。通信システム３００Ｂは、認証要求信号ＣＲ１に応じて、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信の許可を表すリスポンス信号ＲＡ１を生成する。リスポンス信号ＲＡ１は、通信システム３００Ｂから故障診断ツール２００Ｂへ伝達される。（ｎ＋１）回目の認証処理において、認証要求信号ＣＲ２が、故障診断ツール２００Ｂから通信システム３００Ｂへ送信される。認証要求信号ＣＲ１，ＣＲ２の送信間隔は、図７を参照して説明された閾値「ＴＨ１」によって定められる期間に略等しい。本実施形態において、第１信号は、認証要求信号ＣＲ１によって例示される。第２信号は、認証要求信号ＣＲ２によって例示される。第１信号が送信されてから第２信号が送信されるまでの期間は、閾値「ＴＨ１」によって定められる期間によって例示される。

図１２は、ｎ回目の認証処理と（ｎ＋１）回目の認証処理との間で実行される診断処理中における故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信を示す。

故障診断ツール２００Ｂは、リスポンス信号ＲＡ１に応じて、診断処理を開始又は再開する。故障診断ツール２００Ｂは、診断処理を実行するために、３つの処理要求信号ＰＲを生成する。３つの処理要求信号ＰＲは、故障診断ツール２００Ｂから通信システム３００Ｂへ順次送信される。通信システム３００Ｂは、３つの処理要求信号ＰＲそれぞれに応じて、リスポンス信号ＲＰを故障診断ツール２００Ｂへ返す。

第１カウント値「ＣＴ１」は、故障診断ツール２００Ｂから通信システム３００Ｂへの処理要求信号ＰＲの送信の度に「１」ずつ増加する。第２カウント値「ＣＴ２」は、通信システム３００Ｂが、処理要求信号ＰＲを受信する度に、「１」ずつ増加する。

（ｎ＋１）回目の認証処理において故障診断ツール２００Ｂから通信システム３００Ｂへ送信される認証要求信号ＣＲ２は、第１カウント値「ＣＴ１」が「３」であることを表すメッセージを含む。このとき、通信システム３００Ｂは、第２カウント値「ＣＴ２」が「３」であることを表すデータを保持している。第１カウント値「ＣＴ１」及び第２カウント値「ＣＴ２」はともに「３」であるので、故障診断ツール２００Ｂと通信システム３００Ｂとの間の通信の許可を表すリスポンス信号ＲＡ２が、通信システム３００Ｂから故障診断ツール２００Ｂへ伝達される。

＜第４実施形態＞
第３実施形態に関連して説明された認証システムは、故障診断ツールと接続ポートとの間に介挿された外部機器から車載通信システムへの不正アクセスを信頼性高く防止することができる。第４実施形態において、故障診断ツールと接続ポートとの間に介挿された外部機器から車載通信システムへの不正アクセスに対する防止技術が説明される。

図１３は、第４実施形態の認証システム１００Ｃの概略的なブロック図である。図５及び図１３を参照して、認証システム１００Ｃが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。

認証システム１００Ｃは、故障診断ツール２００Ｃと車載通信システム（以下、「通信システム３００Ｃ」と称される）とを備える。故障診断ツール２００Ｃは、図５を参照して説明された故障診断ツール２００Ｂに対応する。故障診断ツール２００Ｂに関する説明は、故障診断ツール２００Ｃに援用される。

第２実施形態と同様に、通信システム３００Ｃは、６つのＥＣＵ３０２，３０３，３０４，３０５，３０６，３０７と、３つのバス３５１，３５２，３５３と、を含む。第２実施形態の説明は、これらの要素に援用される。

通信システム３００Ｃは、接続ポート３１０Ｃと、ゲートウェイＥＣＵ３０１Ｃと、を更に含む。接続ポート３１０Ｃは、図５を参照して説明された接続ポート３１０Ｂに対応する。接続ポート３１０Ｂに関する説明は、接続ポート３１０Ｃに援用される。

ゲートウェイＥＣＵ３０１Ｃは、図５を参照して説明された通信部３２０Ｂと、計時部３３０と、認証部３４０Ｂと、第２カウント部３５０と、要求処理部３６０と、を含む。通信部３２０Ｂは、ゲートウェイＥＣＵ３０１Ｃのトランシーバであってもよい。計時部３３０、認証部３４０Ｂ、第２カウント部３５０及び要求処理部３６０は、ゲートウェイＥＣＵ３０１ＣのＣＰＵであってもよい。計時部３３０、認証部３４０Ｂ、第２カウント部３５０及び要求処理部３６０に関する説明は、ゲートウェイＥＣＵ３０１Ｃに援用される。

図１３は、不正な外部機器２０１Ｃを示す。外部機器２０１Ｃは、故障診断ツール２００Ｃと接続ポート３１０Ｃとに接続されている。外部機器２０１Ｃは、故障診断ツール２００Ｃが出力した信号の通過を許容する。したがって、認証要求信号は、故障診断ツール２００Ｃから通信システム３００Ｃへ繰り返し伝達される。

外部機器２０１Ｃは、不正な処理要求信号を生成する。不正な処理要求信号は、外部機器２０１Ｃから通信システム３００Ｃへ伝達される。

図１４は、故障診断ツール２００Ｃと通信システム３００Ｃとの間の通信を表す概略的なタイムチャートである。図１１乃至図１４を参照して、故障診断ツール２００Ｃと通信システム３００Ｃとの間の通信が説明される。

図１２と同様に、図１４は、ｎ回目の認証処理と、（ｎ＋１）回目の認証処理と、診断処理と、２つの認証要求信号ＣＲ１，ＣＲ２と、３つの処理要求信号ＰＲと、リスポンス信号ＲＡ１と、３つのリスポンス信号ＲＰと、を示す。第３実施形態の説明は、これらに援用される。

第１カウント値「ＣＴ１」は、故障診断ツール２００Ｃから通信システム３００Ｃへの処理要求信号ＰＲの送信の度に「１」ずつ増加する。したがって、（ｎ＋１）回目の認証処理の実行時において、故障診断ツール２００Ｃは、「３」の値の第１カウント値「ＣＴ１」のデータを保持している。

外部機器２０１Ｃは、診断処理の間に、２つの処理要求信号ＰＳを、通信システム３００Ｃへ送信する。２つの処理要求信号ＰＳは、不正な信号である。通信システム３００Ｃは、これらの処理要求信号ＰＳを、正規の信号要求信号（すなわち、故障診断ツール２００Ｃから送信された処理要求信号ＰＲ）と誤認し得る。

図１４に示される如く、通信システム３００Ｃは、合計５つの処理要求信号ＰＲ，ＰＳを受け取る。この結果、（ｎ＋１）回目の認証処理の実行時において、故障診断ツール２００Ｃは、「５」の値の第２カウント値「ＣＴ２」のデータを保持している。

通信システム３００Ｃは、図１１を参照して説明されたステップＳ４９４を実行する。第１カウント値「ＣＴ１」（＝３）は、第２カウント値「ＣＴ２」（＝５）に一致しないので、通信システム３００Ｃは、その後、ステップＳ４９７を実行する。したがって、（ｎ＋１）回目の認証処理において、故障診断ツール２００Ｃと通信システム３００Ｃとの間の通信の拒否を表すリスポンス信号ＲＲが、通信システム３００Ｃから故障診断ツール２００Ｃへ送信される。この結果、外部機器２０１Ｃの不正アクセスは、強制的に中断されることとなる。

＜第５実施形態＞
故障診断ツールは、認証要求信号を符号化してもよい。車載通信システムは、認証要求信号の符号化に用いられたセッション鍵を用いて、認証要求信号を復号してもよい。この場合、不正な外部機器からのアクセスは、更に困難になる。第５実施形態において、認証要求信号を符号化及び復号する認証システムが説明される。

図１５は、第５実施形態の認証システム１００Ｄの例示的な機能構成を表す概念的なブロック図である。図９及び図１５を参照して、認証システム１００Ｄが説明される。上述の実施形態の説明は、上述の実施形態と同一の符号が付された要素に援用される。

認証システム１００Ｄは、故障診断ツール２００Ｄと車載通信システム（以下、「通信システム３００Ｄ」と称される）とを備える。故障診断ツール２００Ｄは、通信システム３００Ｄとデータを通信し、車両（図示せず）の故障を診断する。例えば、故障診断ツール２００Ｄは、通信システム３００Ｄからデータを読み出し、読み出されたデータを解析してもよい。必要に応じて、故障診断ツール２００Ｄは、通信システム３００Ｄにデータを書き込んでもよい。通信システム３００Ｄは、車両の制御を司る。通信システム３００Ｄは、既知のコントローラエリアネットワークの技術に基づいて構築されてもよい。

第３実施形態と同様に、故障診断ツール２００Ｄは、通信部２２０Ｂと、第１カウント部２４０と、診断処理部２５０と、を含む。第３実施形態の説明は、これらの要素に援用される。

故障診断ツール２００Ｄは、信号生成部２１０Ｄを更に含む。第３実施形態と同様に、信号生成部２１０Ｄは、第１信号生成部２１１と第２信号生成部２１２とを含む。第３実施形態の説明は、これらの要素に援用される。

信号生成部２１０Ｄは、符号化部２１３を更に含む。符号化部２１３は、第１信号生成部２１１によって生成された認証要求信号を符号化する。たとえば、認証要求信号は、メッセージ認証符号（ＭＡＣ：Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）と所定のセッション鍵を用いて、符号化される。代替的に、他の符号化技術が、認証要求信号の符号化に用いられてもよい。本実施形態の原理は、特定の符号化技術に限定されない。

符号化された認証要求信号は、符号化部２１３から送信部２２１Ｂへ伝達される。送信部２２１Ｂは、符号化された認証要求信号を、通信システム３００Ｄへ送信される。

第３実施形態と同様に、通信システム３００Ｄは、接続ポート３１０Ｂと、通信部３２０Ｂと、計時部３３０と、認証部３４０Ｂと、第２カウント部３５０と、要求処理部３６０と、を含む。第３実施形態の説明は、これらの要素に援用される。

通信システム３００Ｄは、復号部３７０を更に含む。復号部３７０は、符号化された認証要求信号を、第１ポート３１１Ｂ及び受信部３２１Ｂを通じて、故障診断ツール２００Ｄの送信部２２１Ｂから受け取る。図９を参照して説明されたステップＳ４７０において、受信部３２１Ｂが受け取った信号が符号化されているならば、受信部３２１Ｂは、信号が、認証要求信号であると判断してもよい。一方、受信部３２１Ｂが受け取った信号が符号化されていないならば、受信部３２１Ｂは、信号が、処理要求信号であると判断してもよい。

復号部３７０は、認証要求信号の符号化に用いられたセッション鍵と同一のセッション鍵を用いて、認証要求信号を復号する。復号された認証要求信号は、復号部３７０から認証部３４０Ｂへ伝達される。

＜第６実施形態＞
上述の実施形態に関連して説明された認証要求信号の送信間隔は、一定であってもよいし、不定であってもよい。認証要求信号の送信間隔が一定でないならば、不正アクセスを実行する外部機器の設計は、更に困難になる。第６実施形態において、認証要求信号の送信間隔を変動させる例示的な生成処理が説明される。

図１６は、閾値「ＴＨ１」（図７を参照）を変動させる処理を表すフローチャートである。図７、図９及び図１６を参照して、認証要求信号の送信間隔を変動させる技術が説明される。

図１６に示される処理は、図７のステップＳ３４５において実行される。

（ステップＳ５１０）
第１信号生成部２１１は、所定の値「ＴＨ」にランダム関数から得られた値を加算し、閾値「ＴＨ１」を設定する。値「ＴＨ」は、一定である。第１信号生成部２１１は、ランダム関数に代えて、他の関数から得られた値を用いて、閾値「ＴＨ１」を設定してもよい。例えば、計時値「Ｔ１」を変数とする関数は、閾値「ＴＨ１」を設定するために好適に利用可能である。閾値「ＴＨ１」の設定の後、ステップＳ５２０が実行される。

（ステップＳ５２０）
第１信号生成部２１１は、閾値「ＴＨ１」が、閾値「ＴＨ２」（図９を参照）よりも小さいか否かを判定する。閾値「ＴＨ１」が、閾値「ＴＨ２」よりも小さいならば、ステップＳ５３０が実行される。他の場合には、ステップＳ５１０が実行される。

（ステップＳ５３０）
第１信号生成部２１１は、閾値「ＴＨ１」を計時値「Ｔ１」と比較する。

上述の様々な実施形態の原理は、車両に対する要求に適合するように、組み合わされてもよい。上述の様々な実施形態のうち１つに関連して説明された様々な特徴のうち一部が、他のもう１つの実施形態に関連して説明された認証システムに適用されてもよい。

上述の実施形態の原理は、様々な車両の故障診断に好適に利用される。

１００・・・・・・・・・・・・・・・・・・・・認証システム
１００Ａ〜１００Ｄ・・・・・・・・・・・・・・認証システム
２００・・・・・・・・・・・・・・・・・・・・故障診断ツール
２００Ａ〜２００Ｄ・・・・・・・・・・・・・・故障診断ツール
２０１，２０１Ｃ・・・・・・・・・・・・・・・外部機器
２１０，２１０Ｂ，２１０Ｄ・・・・・・・・・・信号生成部
２１３・・・・・・・・・・・・・・・・・・・・符号化部
２２１，２２１Ｂ・・・・・・・・・・・・・・・送信部
２４０・・・・・・・・・・・・・・・・・・・・第１カウント部
３００・・・・・・・・・・・・・・・・・・・・通信システム
３００Ａ〜３００Ｄ・・・・・・・・・・・・・・通信システム
３１０，３１０Ａ，３１０Ｂ，３１０Ｃ・・・・・接続ポート
３２１，３２１Ｂ・・・・・・・・・・・・・・・受信部
３４０，３４０Ｂ・・・・・・・・・・・・・・・認証部
３５０・・・・・・・・・・・・・・・・・・・・第２カウント部
３７０・・・・・・・・・・・・・・・・・・・・復号部
ＣＲ１，ＣＲ２，ＣＲＳ・・・・・・・・・・・・認証要求信号
ＣＴ１・・・・・・・・・・・・・・・・・・・・第１カウント値
ＣＴ２・・・・・・・・・・・・・・・・・・・・第２カウント値
ＰＲ・・・・・・・・・・・・・・・・・・・・・処理要求信号

Claims (11)

1. 外部機器が接続される接続ポートを有する車載通信システムと、
   前記車載通信システムとの通信を認証する認証処理を前記車載通信システムに要求する認証要求信号を、前記車載通信システムへ繰り返し送信する送信部を有し、且つ、前記接続ポートに接続される故障診断ツールと、を備え、
   前記車載通信システムは、前記認証要求信号の受信の度に、前記認証処理を実行する認証部と、前記認証要求信号を受信する受信部と、を含み、
   前記故障診断ツールは（ｉ）前記認証要求信号と前記認証処理の後に所定の処理の実行を前記車載通信システムに要求する処理要求信号とを生成する信号生成部と、（ｉｉ）前記認証要求信号として第１信号が送信されてから前記第１信号の次に前記認証要求信号として第２信号が送信されるまでの期間において、前記処理要求信号が前記車載通信システムにいくつ送られたかを表す第１カウント値を生成する第１カウント部と、を含み、
   前記信号生成部は、前記第１カウント値を表す情報を前記認証要求信号に組み込み、
   前記車載通信システムは、前記受信部が前記処理要求信号を前記外部機器から前記接続ポートを通じていくつ受け取ったかを表す第２カウント値を生成する第２カウント部を含み、
   前記認証部は、前記第１カウント値が前記第２カウント値に一致することを条件として前記通信を許可する
   認証システム。
2. 前記受信部が、前記認証要求信号を所定期間受信しないならば、前記認証部は、前記通信を拒否する
   請求項１に記載の認証システム。
3. 前記信号生成部は、前記認証要求信号を符号化する符号化部を含み、
   前記車載通信システムは、前記符号化された認証要求信号を復号する復号部を含む
   請求項１又は２に記載の認証システム。
4. 前記信号生成部は、前記第１信号と前記第２信号とに加えて、前記第２信号の後に前記送信部から前記認証要求信号として送信される第３信号を生成し、
   前記第２信号の送信時刻と前記第３信号の送信時刻との間の送信間隔は、前記第１信号の送信時刻と前記第２信号の前記送信時刻との間の送信間隔に一致する
   請求項１乃至３のいずれか１項に記載の認証システム。
5. 前記信号生成部は、前記第１信号と前記第２信号とに加えて、前記第２信号の後に前記送信部から前記認証要求信号として送信される第３信号を生成し、
   前記第２信号の送信時刻と前記第３信号の送信時刻との間の送信間隔は、前記第１信号の送信時刻と前記第２信号の前記送信時刻との間の送信間隔とは異なる
   請求項１乃至３のいずれか１項に記載の認証システム。
6. 前記符号化部は、メッセージ認証符号とセッション鍵を用いて、前記認証要求信号を符号化し、
   前記復号部は、前記セッション鍵を用いて、前記認証要求信号を復号する
   請求項３に記載の認証システム。
7. 認証要求信号に応じて故障診断ツールとの通信を認証処理を実行するとともに前記認証処理の後に受信した処理要求信号に応じて所定の処理を実行する車載通信システムの接続ポートに接続される故障診断ツールであって、
   前記認証要求信号と前記処理要求信号とを生成する信号生成部と、
   前記認証要求信号を前記車載通信システムへ繰り返し送信するとともに前記認証要求信号の後に前記処理要求信号を送信する送信部と、
   前記認証要求信号として第１信号が送信されてから前記第１信号の次に前記認証要求信号として第２信号が送信されるまでの期間において、前記処理要求信号が前記車載通信システムにいくつ送られたかを表す第１カウント値を生成する第１カウント部と、を備え、
   前記信号生成部は、前記第１カウント値を表す情報を前記認証要求信号に組み込み、
   前記車載通信システムは前記認証要求信号を所定期間受信しないならば前記通信を拒否し、
   前記車載通信システムは、前記車載通信システムが前記処理要求信号をいくつ受け取ったかをカウントし得られた第２カウント値を前記認証要求信号に組み込まれた前記第１カウント値と比較し、前記第１カウント値が前記第２カウント値に一致することを条件として前記通信を許可する
   故障診断ツール。
8. 故障診断ツールが接続される接続ポートを有する車載通信システムであって、
   前記故障診断ツールと前記車載通信システムとの間の通信を認証する認証処理を前記車載通信システムに要求する認証要求信号を繰り返し受信するとともに前記認証処理の後に所定の処理の実行を前記車載通信システムに要求する処理要求信号を受信する受信部と、
   前記処理要求信号を前記故障診断ツールから前記接続ポートを通じていくつ受け取ったかを表す第２カウント値を生成する第２カウント部と、
   前記認証要求信号の受信の度に前記認証処理を実行する認証部と、を備え、
   前記認証要求信号は、前記認証要求信号として送信された第１信号と前記第１信号の次に前記認証要求信号として送信された第２信号との間に前記処理要求信号がいくつ存在するかを表す第１カウント値に関する情報を含み、
   前記認証部は、前記第１カウント値が前記第２カウント値に一致することを条件として前記通信を許可する
   車載通信システム。
9. 前記受信部が前記認証要求信号を所定期間受信しないならば、前記認証部は前記通信を拒否する
   請求項８に記載の車載通信システム。
10. 車載通信システムの接続ポートに接続された故障診断ツールを認証する認証方法であって、
    前記故障診断ツールと前記車載通信システムとの間での通信を認証する認証処理を要求する認証要求信号を前記故障診断ツールが前記車載通信システムへ繰り返し送信する段階と、
    前記認証要求信号の受信の度に前記車載通信システムが前記認証処理を実行する段階と、
    前記故障診断ツールが前記認証処理の後に所定の処理の実行を前記車載通信システムに要求する処理要求信号を送信するとともに前記処理要求信号を前記車載通信システムが受信する段階と、を備え、
    前記故障診断ツールが前記認証要求信号を繰り返し送信する前記段階は、前記認証要求信号として送信された第１信号と前記第１信号の次に前記認証要求信号として送信された第２信号との間に前記処理要求信号がいくつ存在するかを表す第１カウント値に関する情報を前記故障診断ツールが前記認証要求信号に組み込むことを含み、
    前記車載通信システムが前記認証処理を実行する前記段階は、前記車載通信システムが、前記処理要求信号を前記故障診断ツールから前記接続ポートを通じていくつ受け取ったかを表す第２カウント値と前記認証要求信号に組み込まれた前記情報が表す第１カウント値とを比較し、前記第１カウント値が前記第２カウント値に一致することを条件として前記通信を許可することを含む
    認証方法。
11. 前記車載通信システムが前記認証処理を実行する前記段階は、所定期間において、前記故障診断ツールから前記車載通信システムへの送信が不存在であるならば、前記通信を拒否することを含む
    請求項１０に記載の認証方法。

Images