複数の車載制御装置の間でデータの通信が行われる車両ネットワークにあってその通信データの監視を行う車両ネットワーク監視装置であって、前記車両ネットワークで用いられる通信プロトコルを運用する上で規定されたデータの通信形式の監視を通じて不正データを検知する監視部を備えることを特徴とする車両ネットワーク監視装置。前記監視部は、前記不正データを検知したとき、該検知した不正データの前記車両ネットワーク内への侵入に起因する前記複数の車載制御装置の不正動作を抑止する抑止処理を実行する請求項1に記載の車両ネットワーク監視装置。前記監視部は、前記抑止処理として、前記複数の車載制御装置に対して警告情報を送信する処理、及び前記データの中継用として前記車両ネットワークに設けられたゲートウェイに対して前記検知した不正データのルーティングを禁止する禁止情報を送信する処理の少なくとも1つの処理を行う請求項2に記載の車両ネットワーク監視装置。前記複数の車載制御装置は、前記警告情報を受信したとき、前記検知された不正データに基づく動作を禁止する処理を行い、前記ゲートウェイは、前記禁止情報を受信したとき、当該ゲートウェイが有するルーティングテーブルを変更する処理を行う請求項3に記載の車両ネットワーク監視装置。前記監視部及び前記複数の車載制御装置は、特定の演算コードを予め保有し、前記監視部は、前記警告情報を送信する処理として、前記警告情報をメッセージコードとして作成するとともに、該作成したメッセージコードに前記演算コードを用いた演算処理を施して変換した変換コードを前記複数の車載制御装置に送信する処理を行い、前記複数の車載制御装置は、前記監視部から受信した変換コードを当該車載制御装置が保有する演算コードを用いて前記変換コードを前記メッセージコードに復元する処理を行う請求項3または4に記載の車両ネットワーク監視装置。前記監視部は、正常時における通信形式として予め規定された規定の通信形式とは異なる通信形式のデータを検知したとき、該検知したデータを不正データとして特定する請求項1~5のいずれか一項に記載の車両ネットワーク監視装置。前記監視部は、前記データの通信形式として前記車両ネットワークに送信されるデータの周期を監視し、周期異常の検知を通じて前記不正データを検知する請求項1~6のいずれか一項に記載の車両ネットワーク監視装置。前記監視部は、前記車載制御装置に対してデータを要求するトリガ信号の応答として前記車載制御装置から送信される応答信号の送信回数を前記データの通信形式として監視し、前記トリガ信号の受信後から次のトリガ信号を受信するまでの期間に同一の応答信号を複数受信したとき、複数受信した応答信号の一部を不正データとして検知する請求項1~7のいずれか一項に記載の車両ネットワーク監視装置。前記監視部は、エラーの検出に基づき前記車載制御装置が送信するエラーフレームの送信回数を前記データの通信形式として監視し、該監視するエラーフレームの送信回数が規定の送信回数を超えたことをもって、前記車両ネットワークに不正データが送信されている旨検知する請求項1~8のいずれか一項に記載の車両ネットワーク監視装置。前記車両ネットワークがコントロールエリアネットワークであり、前記監視部は、前記車載制御装置によるデータの送信及び受信が不可能になるバスオフ状態に遷移したことを検知し、該検知したバスオフ状態の認識を通じて前記車両ネットワークに不正データが送信されている旨検知する処理の少なくとも1つの処理を行う請求項1~9のいずれか一項に記載の車両ネットワーク監視装置。前記監視部は、監視用の車載制御装置として前記車両ネットワークに設けられてなる請求項1~10のいずれか一項に記載の車両ネットワーク監視装置。前記車両ネットワークは、該車両ネットワークを構成する通信線が一つのゲートウェイに集約して接続されたネットワークからなり、前記監視部は、この通信線が集約して接続されたゲートウェイに設けられてなる請求項1~11のいずれか一項に記載の車両ネットワーク監視装置。前記車両ネットワークが、車両に搭載された車両駆動系の制御を行う駆動制御系の車載制御装置が接続された制御系ネットワークからなり、前記監視部は、前記制御系ネットワークに送信される不正データを検知する請求項1~12のいずれか一項に記載の車両ネットワーク監視装置。ところで、侵入検知のうち、不正検出による侵入検知手法では、未登録の不正データによる攻撃に対しては対応できず、また異常検出による侵入検知手法では、車両内のCAN信号で行う方法が確立されていない。そして、上記特許文献1に記載のシステムにしろ、内部ネットワークB30内に不正データが取り込まれることを抑止するためにはおとりネットワークB40、おとり誘導部B3、フィルタリング処理部B5、及び侵入検知部B4等といった各構成要素が必要となり、セキュリティーを維持する上で構成が複雑とならざるを得ない。すなわち、同システムを車両に搭載することは実現性に乏しい。本発明は、このような実情に鑑みてなされたものであり、その目的は、特に複雑な構成を要することなく車両ネットワークに取り込まれるデータの監視を通じて、車両ネットワークのセキュリティーを高く維持することのできる車両ネットワーク監視装置を提供することにある。以下、上記課題を解決するための手段及びその作用効果について記載する。請求項1に記載の発明は、複数の車載制御装置の間でデータの通信が行われる車両ネットワークにあってその通信データの監視を行う車両ネットワーク監視装置であって、前記車両ネットワークで用いられる通信プロトコルを運用する上で規定されたデータの通信形式の監視を通じて不正データを検知する監視部を備えることを要旨とする。通常、車両ネットワークに接続された車載制御装置は、同車両ネットワークの通信プロトコル上で予め規定された通信形式でデータの送受信を行う。このため、この通信形式に従っていないデータが車両ネットワークに送信されたときには、車両ネットワーク内に不正データが送信されていたり、この不正データを車載制御装置が受信したこと等に起因して同車載制御装置が異常な状態になっている可能性が高い。そこで、上記構成によるように、上記データの通信形式を上記監視部に監視させる。このため、監視部は、車両ネットワークに送信されるデータの通信形式を監視するだけで、車両ネットワーク内に不正データが送信されていることを検知することができる。これにより、特に複雑な構成を要することなく車両ネットワークのセキュリティーを高く維持することが可能となる。請求項2に記載の発明は、請求項1に記載の車両ネットワーク監視装置において、前記監視部は、前記不正データを検知したとき、該検知した不正データの前記車両ネットワーク内への侵入に起因する前記複数の車載制御装置の不正動作を抑止する抑止処理を実行することを要旨とする。上記不正データとして想定されるデータには、同データを受信した車載制御装置に予めインストールされているプログラム等を書き換えるものが存在する。そして、こうしたデータにより、車載制御装置に予めインストールされているプログラム等が書き換えられると、車載制御装置は、同車載制御装置に規定された正常な動作以外の不正動作を行う可能性がある。この点、上記構成によれば、たとえ車両ネットワークに不正データが侵入したとしても、上記抑止処理が実行されることによって、不正データを受信した車載制御装置が不正動作を行うことが抑止される。これにより、不正データの侵入後においても、その影響を最小限に抑制して各車載制御装置の正常な動作を担保することが可能となる。また、これにより、不正データの送信元となる不正な制御装置等が車両ネットワーク内に組み込まれたとしても、同制御装置等を車両ネットワークから物理的に取り外さずとも、同不正な制御装置等が送信する不正データが各車載制御装置や車両ネットワークに及ぼす影響を抑止することが可能となる。請求項3に記載の発明は、請求項2に記載の車両ネットワーク監視装置において、前記監視部は、前記抑止処理として、前記複数の車載制御装置に対して警告情報を送信する処理、及び前記データの中継用として前記車両ネットワークに設けられたゲートウェイに対して前記検知した不正データのルーティングを禁止する禁止情報を送信する処理の少なくとも1つの処理を行うことを要旨とする。上記構成によれば、上記監視部による抑止処理の一つとして、複数の車載制御装置に対して警告情報を送信する処理が実行される。これにより、この警告情報を受信した各車載制御装置に対して不正データの存在を認知させることが可能となり、車両ネットワーク上に送信されている不正データの影響を抑止し得る各種処理を各車載制御装置に行わせることが可能となる。また、上記構成によれば、上記監視部による抑止処理の一つとして、車両ネットワーク内に設けられたゲートウェイによる不正データのルーティングを禁止する処理が行われる。このため、不正データが当該ゲートウェイを経由しようとしても、ゲートウェイが不正データのルーティングを禁止することにより、この不正データが各車載制御装置に送信されない。これにより、不正データがゲートウェイを経由する途中で遮断されることとなり、このゲートウェイを介して不正データが拡散することが抑止される。請求項4に記載の発明は、請求項3に記載の車両ネットワーク監視装置において、前記複数の車載制御装置は、前記警告情報を受信したとき、前記検知された不正データに基づく動作を禁止する処理を行い、前記ゲートウェイは、前記禁止情報を受信したとき、当該ゲートウェイが有するルーティングテーブルを変更する処理を行うことを要旨とする。上記構成によれば、各車載制御装置は、例えば不正データの侵入や不正データの送信元等を示す警告情報を監視部から受信すると、例えば、受信した不正データの実行を禁止する処理等、不正データに基づく動作を禁止する処理を行う。これにより、車両ネットワーク内に不正データが送信されたとしても、この不正データが車載制御装置の動作に影響を及ぼすことを抑止できる。また、上記構成によれば、不正データの侵入が検知されると、ゲートウェイは、自身が有するルーティングテーブルを変更する処理を行う。これにより、ルーティングテーブルの変更を通じて、不正データが拡散することが抑止され、ゲートウェイに接続された車両ネットワークのセキュリティーを高く維持することが可能となる。請求項5に記載の発明は、請求項3または4に記載の車両ネットワーク監視装置において、前記監視部及び前記複数の車載制御装置は、特定の演算コードを予め保有し、前記監視部は、前記警告情報を送信する処理として、前記警告情報をメッセージコードとして作成するとともに、該作成したメッセージコードに前記演算コードを用いた演算処理を施して変換した変換コードを前記複数の車載制御装置に送信する処理を行い、前記複数の車載制御装置は、前記監視部から受信した変換コードを当該車載制御装置が保有する演算コードを用いて前記変換コードを前記メッセージコードに復元する処理を行うことを要旨とする。上記構成によれば、不正データの侵入を各車載制御装置に警告するための警告情報が上記監視部及び各車載制御装置、すなわち、正当な装置のみが保有する演算コードによって秘匿化される。そして、この秘匿化された警告情報変換コードが、各車載制御装置に送信されると、各車載制御装置は、自身が保有する演算コードを用いて変換コードを、解読可能な状態に復元することが可能となる。一方、たとえば車両ネットワークに不正に組み込まれた不正な制御装置は、演算コードを保有していないために警告情報の内容を認識することができず、自身の存在が各車載制御装置に認知されていることを把握することができない。よって、不正な制御装置が、自身の存在が各車載制御装置に認知されたことを検知して正当な車載制御装置になりすますことが抑止される。これにより、不正データや同不正データの送信源となる制御装置の存在が一旦検知されて以降は、これら検知された不正データや同不正データの送信源となる制御装置を安定して監視することが促進される。請求項6に記載の発明は、請求項1~5のいずれか一項に記載の車両ネットワーク監視装置において、前記監視部は、正常時における通信形式として予め規定された規定の通信形式とは異なる通信形式のデータを検知したとき、該検知したデータを不正データとして特定することを要旨とする。車両ネットワークでは、通常、送信され得る通信形式が規定されており、この規定された通信形式とは異なる通信形式のデータが車両ネットワークに送信されたときには、同データが車両ネットワークに本来送信されることのない不正なデータである蓋然性が高い。そこで、上記構成によるように、規定の通信形式とは異なる通信形式のデータが車両ネットワークに送信されたことをもって不正データを検知することとすれば、監視部は、既知の通信形式を把握するだけで不正データを検知することが可能となる。すなわち、監視部は、不正データが未知のデータであっても、車両ネットワークに不正なデータが送信されたことを検知することが可能となる。請求項7に記載の発明は、請求項1~6のいずれか一項に記載の車両ネットワーク監視装置において、前記監視部は、前記データの通信形式として前記車両ネットワークに送信されるデータの周期を監視し、周期異常の検知を通じて前記不正データを検知することを要旨とする。例えば、車両ネットワークとして一般に採用されるコントロールエリアネットワークCAN等にあっては、上記通信データを構成する送信フレームデータの周期が規定されている。よって、例えば、この規定された周期とは異なる周期のもとにデータが車両ネットワークに送信されたときは、このデータが、車両ネットワーク内の規定を知り得ない不正な制御装置等によって送信されたデータである可能性が高い。そこで、上記構成によれば、データの通信形式としてデータの送信周期を監視するだけで不正データを検知することが可能となる。これにより、車両ネットワークに侵入した不正データをより容易かつ的確に検知することが可能となる。請求項8に記載の発明は、請求項1~7のいずれか一項に記載の車両ネットワーク監視装置において、前記監視部は、前記車載制御装置に対してデータを要求するトリガ信号の応答として前記車載制御装置から送信される応答信号の送信回数を前記データの通信形式として監視し、前記トリガ信号の受信後から次のトリガ信号を受信するまでの期間に同一の応答信号を複数受信したとき、複数受信した応答信号の一部を不正データとして検知することを要旨とする。例えば、不正データを送信する不正な制御装置等が、車両ネットワーク内に組み込まれたり、外部ネットワークを介して車両ネットワークにアクセス可能になったときには、予め車両ネットワーク内に組み込まれている正規の車載制御装置のみならず、不正な制御装置等も上記トリガ信号に応答することが想定される。そして、正規な車載制御装置とともに制御装置等が上記トリガ信号に応答すると、車両ネットワークには、一つのトリガ信号に対して複数の応答信号が送信される。そこで、上記構成によるように、上記監視部により、トリガ信号に対する応答信号を監視することとすれば、この応答信号の送信回数をカウントするだけで、車両ネットワーク内に不正データが送信されているか否かを検知することが可能となる。これにより、不正データの検知をより容易かつ的確に行うことが可能となる。請求項9に記載の発明は、請求項1~8のいずれか一項に記載の車両ネットワーク監視装置において、前記監視部は、エラーの検出に基づき前記車載制御装置が送信するエラーフレームの送信回数を前記データの通信形式として監視し、該監視するエラーフレームの送信回数が規定の送信回数を超えたことをもって、前記車両ネットワークに不正データが送信されている旨検知することを要旨とする。上記車載制御装置には通常、例えば、各車載制御装置が送信するデータの衝突に反応してエラーフレームを送信する機能が設けられている。そして、データの衝突の発生頻度が所定の頻度未満で安定する傾向にあることから、エラーフレームの送信回数は、所定の回数未満になる傾向にある。そこで、上記構成によるように、例えば、通常想定され得るエラーフレームの送信回数を上記規定の送信回数として設定し、この設定した送信回数を超えるエラーフレームが送信されたことをもって不正データの侵入を検知する。このため、監視部は、各車載制御装置から送信されるエラーフレームの送信回数を監視するだけで車両ネットワークに不正データが送信されているか否かを検知することが可能となる。また、通常、車載制御装置には、所定回数以上のエラーフレームを送信すると、異常が発生したとしてバスオフ状態に遷移する機能が設けられている。この点、上記構成によれば、車載制御装置がバスオフ状態に遷移するエラーフレームの送信回数として設定されている回数よりも少ない回数を不正データ検知用のエラーフレームの送信回数として設定することで、車載制御装置がバスオフ状態に遷移する以前に不正データを検知することが可能となる。そして、この検知した結果に対する各種処置を行うことで、不正データを受信した車載制御装置がバスオフ状態に遷移することを抑制することが可能となり、各車載制御装置の通信状態を好適に維持することが可能ともなる。請求項10に記載の発明は、請求項1~9のいずれか一項に記載の車両ネットワーク監視装置において、前記車両ネットワークがコントロールエリアネットワークであり、前記監視部は、前記車載制御装置によるデータの送信及び受信が不可能になるバスオフ状態に遷移したことを検知し、該検知したバスオフ状態の認識を通じて前記車両ネットワークに不正データが送信されている旨検知する処理の少なくとも1つの処理を行うことを要旨とする。上記コントロールエリアネットワークCANにあっては、車載制御装置が、自身が不正動作していることを検知したとき、その影響が他の車載制御装置に波及することを抑止すべく、他の車載制御装置との通信を停止するバスオフ機能が設けられている。よって、車載制御装置がバスオフしたときには、同車載制御装置が不正データを受信したことに基づいて不正動作している可能性が高い。この点、上記構成によれば、車載制御装置がバスオフ状態に遷移したことに基づいて、車両ネットワークに不正データが送信されていることが検知される。このため、監視部は、車載制御装置がバスオフ状態に遷移し、同車載制御装置との通信が不可能になっている旨と併せて、車両ネットワークに不正データが送信されている旨を検知することが可能となる。これにより、監視部は、各車載制御装置との通信状態を監視するだけで、車両ネットワークに不正データが送信されているか否かを検知することが可能となる。なお、上記請求項7~請求項10にかかる各検知態様を組み合わせて不正データの検知を行うことで、複数の観点から不正データを検知することが可能となる。これにより、車両ネットワーク内に不正データが送信されているか否かを様々な見地から監視することが可能となり、上記車両ネットワーク監視装置としての信頼性が好適に高められるようになる。請求項11に記載の発明は、請求項1~10のいずれか一項に記載の車両ネットワーク監視装置において、前記監視部は、監視用の車載制御装置として前記車両ネットワークに設けられてなることを要旨とする。上記構成によれば、本来、車両ネットワークに接続される車載制御装置の一部を監視用の車載制御装置として機能させることで、同車両ネットワークの監視を通じてそのセキュリティーを維持することが可能となる。これにより、車両ネットワークを監視するための装置を別途に設ける必要もなく、車両ネットワークに接続される汎用性の高い車載制御装置を用いて車両ネットワークの監視を実現することが可能となる。請求項12に記載の発明は、請求項1~11のいずれか一項に記載の車両ネットワーク監視装置において、前記車両ネットワークは、該車両ネットワークを構成する通信線が一つのゲートウェイに集約して接続されたネットワークからなり、前記監視部は、この通信線が集約して接続されたゲートウェイに設けられてなることを要旨とする。上記構成によれば、通信線が集約されるゲートウェイに上記監視部を設けることで、監視部は、車両ネットワーク全体の通信状況を監視することが可能となる。このため、一つの監視部によって、車両ネットワーク全体のセキュリティーを一括して管理することが可能となり、より簡易な構成のもとに車両ネットワークのセキュリティーを維持することが可能となる。請求項13に記載の発明は、請求項1~12のいずれか一項に記載の車両ネットワーク監視装置において、前記車両ネットワークが、車両に搭載された車両駆動系の制御を行う駆動制御系の車載制御装置が接続された制御系ネットワークからなり、前記監視部は、前記制御系ネットワークに送信される不正データを検知することを要旨とする。上記制御系ネットワークには、例えば、エンジンやブレーキ、ステアリング等といった車両の駆動状態を担う駆動制御系の車載制御装置が接続されており、そのセキュリティーを維持する必要性が特に強い。この点、上記構成によれば、上記監視部によって制御系ネットワークが監視されることで、必要最小限の構成により制御系ネットワークのセキュリティーを担保することが可能となる。以下、本発明にかかる車両ネットワーク監視装置を具体化した一実施の形態について図1~図8を参照して説明する。なお、本実施の形態の車両ネットワーク監視装置は、車両ネットワークとして車両に搭載されたコントロールエリアネットワークCANに送信されるデータの監視を通じて、同ネットワークを監視するものである。また、CANにより構成される車両ネットワークでは、その通信プロトコルに従ったデータ通信が行われる。図1に示すように、本実施の形態の車両ネットワーク監視装置が適用される車両100には、エンジンやブレーキ、ステアリング等の各種車両駆動系の機器を電子的に制御する車載制御装置ECU11~13が搭載されている。各車載制御装置11~13は、CANバスを構成する通信線10に接続されることにより、制御系ネットワークを構成する。また、車両100には、エアコンや車両100の各種状態を表示するメータ等のボディ系の機器を制御する車載制御装置21~23が搭載されている。各車載制御装置21~23は、通信線20に接続されることにより、ボディ系ネットワークを構成する。さらに、車両100には、例えば現在地から目的地までの経路案内等を行うカーナビゲーションシステムをはじめとする各種情報系の車載制御装置31~33が搭載されている。各車載制御装置31~33は、通信線30に接続されることにより、情報系ネットワークを構成する。また、制御系ネットワークを構成する通信線10とボディ系ネットワークを構成する通信線20との間には、各ネットワーク間のデータ通信を中継するゲートウェイ41が接続されている。同様に、ボディ系ネットワークを構成する通信線20と情報系ネットワークを構成する通信線30との間には、各ネットワーク間のデータ通信を中継するゲートウェイ42が接続されている。ゲートウェイ41及び42は、中継するデータの送信先が予め登録されたルーティングテーブル41a及び42aを保有している。そして、こうしたゲートウェイ41及び42を介して各車載制御装置11~13、21~23、及び31~33の間で、各ネットワークの通信プロトコルを運用する上で規定されたデータの通信形式に従ったデータ通信が行われる。これにより、例えば上記カーナビゲーションシステムでは、エンジン制御装置やブレーキ制御装置等の各種車載制御装置から取得される車両操作に関する情報に基づいてドライバに対する各種表示支援などが行われるようになる。また、本実施の形態では、各ネットワークの間に、各ネットワークで送信されるデータを監視する監視用の車載制御装置監視ECU50が設けられている。監視用の車載制御装置50には、通信線10から延設された通信線10a、通信線20から延設された通信線20a、及び通信線30から延設された通信線30aが接続されている。これにより、監視用の車載制御装置50は、各通信線10~30を介して各ネットワークで行われるデータ通信の状況を監視することが可能となっている。また、本実施の形態の監視用の車載制御装置50は、特定の監視ポリシー、各車載制御装置11~13、21~23、及び31~33のエラー状況をカウントするエラーカウンタを有する。同様に、本実施の形態の監視用の車載制御装置50は、各車載制御装置11~13、21~23、及び31~33に予め割り当てられたIDが登録されたIDテーブルを有する。さらに、本実施の形態の監視用の車載制御装置50は、例えば、ネットワーク上に送信されるデータ内容をログデータとして記録するロギング機能を有している。そして、監視用の車載制御装置50は、各車載制御装置11~13、21~23、及び31~33の間でデータ通信が行われるとき、同データ通信が各ネットワークに予め規定されたデータの通信形式に従った通信であるかを監視する。そして、監視用の車載制御装置50は、この監視結果に基づき、予め規定されたデータの通信形式とは異なる通信形式のデータが各ネットワークに送信されていると検知したとき、各ネットワークに本来送信されることのない不正データがネットワークに不正に送信されている旨検知する。すなわち、監視用の車載制御装置50は、例えば、通信線20に不正に取り付けられた不正な制御装置不正ECU60が、各車載制御装置11~13、21~23、及び31~33が送信する正規のデータとは異なる不正データを送信している旨検知する。なお、不正な制御装置60が送信する不正データは、例えば、各車載制御装置11~13、21~23、及び31~33に予め組み込まれたプログラムを書き換えることにより、各車載制御装置11~13、21~23、及び31~33に不正な動作を行わせるデータである。そして、各車載制御装置11~13、21~23、及び31~33のプログラムが書き換えられたときには、各車載制御装置11~13、21~23、及び31~33は、上記規定された通信形式とは異なる通信形式のデータを送信する。よって、監視用の車載制御装置50は、該異なる通信形式のデータを各車載制御装置11~13、21~23、及び31~33から受信したときには、自身が監視するネットワーク内に不正なデータが送信されている旨検知する。なお、不正な制御装置60が送信する不正データには、例えば、各車載制御装置11~13、21~23、及び31~33が送信する正規のデータに近似するなりすましデータが存在する。そして、本実施の形態の監視用の車載制御装置50は、不正データを検知したとき、該検知した不正データのネットワーク内への侵入に起因する車載制御装置11~13、21~23、及び31~33の不正動作を抑止する抑止処理を実行する。なお、本実施の形態の監視用の車載制御装置50は、抑止処理として、各車載制御装置11~13、21~23、及び31~33に対して警告情報を送信する処理、及びゲートウェイ41及び42による不正データのルーティングを禁止する禁止情報を各ゲートウェイ41及び42に対して送信する処理を行う。次に、本実施の形態の監視用の車載制御装置50による不正データの検知態様を図2~図5を参照して説明する。なお、図2~図5は、監視用の車載制御装置50が有する上記監視ポリシーに基づき監視される監視態様を示したものである。図2aに示すように、各車載制御装置11~13、21~23、及び31~33は、データの送信に際しては、上記規定された通信形式に従い、例えば最小で約12msの周期で通信データが分割されたデータフレームDaを送信する。なお、こうしたデータフレームDaには、データ内容や送信ノードを示す識別子であるIDが付与されている。また、このIDにより、通信調整の優先順位が決定される。そして、IDの異なるデータフレームが同時にネットワーク上に送信されたときは、IDの値が小さいデータフレームが優先して送信されることとなる。一方、図2aに示すように、ネットワークに事後的に取り付けられた制御装置60は、予め規定された通信形式を把握できず、上記規定された通信形式とは異なる周期約6msのもとに不正なデータフレームDsを送信する。また、例えば、不正な制御装置60が送信した不正データにより各車載制御装置11~13、21~23、及び31~33に予め組み込まれたプログラムが書き換えられたときにも、各車載制御装置11~13、21~23、及び31~33が、上記規定された通信形式とは異なる周期約6msのもとに不正なデータフレームDsを送信する。そこで、本実施の形態の監視用の車載制御装置50は、上記規定された周期約12ms未満の周期のデータフレームが自身の監視するネットワーク上に送信されたときは、ネットワーク上に不正データが送信されていることを検知する。また、監視用の車載制御装置50は、この不正データの送信源が不正な制御装置60であることを、例えば、不正データ不正なデータフレームDsに付されているIDに基づき特定する。また、図3aに示すように、各車載制御装置11~13、21~23、及び31~33は、各種データの通信に際し、自身の必要とするデータを要求するトリガ信号を示す第1のデータフレームDt1を送信する。すると、このデータフレームDtを受信した特定の車載制御装置から、要求されたデータを示すデータフレームDr1がトリガ信号に応答する応答信号として送信される。そして、上記規定された通信形式のもとでは、こうしたトリガ信号と応答信号とが交互にネットワークに送信される。これにより、ネットワークには、第1のデータフレームDt1、同データフレームDt1に応答するデータフレームDr1、第2のデータフレームDt2...といった態様で各データフレームが送信される。一方、図3bに示すように、ネットワークに事後的に取り付けられた制御装置60は、データの送信が自身に対して要求されていないにも拘わらず、第1のデータフレームDt1に応答してデータフレームDrsを送信する。このため、一旦、第1のデータフレームDt1が送信されると、不正なデータフレームDrsと正規のデータフレームDr1とがネットワークに送信される。この結果、一つのトリガ信号に対して複数の応答信号が送信されることとなる。そこで、本実施の形態の監視用の車載制御装置50は、一つのトリガ信号第1のデータフレームDt1に応答する態様で複数の応答信号が送信されたときには、この複数の応答信号のうちの一部の信号が不正な制御装置60から送信された信号であることを検知する。また一方、図4aに示すように、各車載制御装置11~13、21~23、及び31~33には、例えば、自身が送信したデータフレームが他の車載制御装置が送信したデータフレームと衝突したことを検知したとき、エラーフレームDeを送信する機能が設けられている。そして通常、各車載制御装置11~13、21~23、及び31~33が正常に動作している状態において送信されるエラーフレームDeの送信回数は、例えば約150回以内になる傾向にある。このため、図4bに示すように、通常想定される頻度よりも高い頻度でエラーフレームDeが送信されるときは、ネットワーク上に不正データが送信されたり、同不正データによりプログラムが書き換えられた車載制御装置によって、或る車載制御装置がエラーフレームDeを送信した可能性が高い。また、通常想定される頻度よりも高い頻度でエラーフレームDeが送信されるときは、このエラーフレームDeが不正な制御装置60によって送信されたデータフレームである可能性が高い。そこで、本実施の形態の監視用の車載制御装置50は、ネットワーク上に送信されるエラーフレームDeの送信回数が通常想定され得る送信回数を超えたときは、このエラーフレームDeが不正データの存在に起因して発生したものであると検知する。ここで、図5aに示すように、各車載制御装置11~13、21~23、及び31~33は、CANの仕様に基づくデータ通信に際し、通信線10~30の電位であるバスレベルを0及び1に変化させることによってデータ通信を行う。また、各車載制御装置11~13、21~23、及び31~33には、自身が送信したデータがネットワーク上に送信されているか否かを監視する機能が設けられている。この機能により、各車載制御装置11~13、21~23、及び31~33は、自身が送信したデータ、すなわちバスレベルと、各通信線10~30のバスレベルとが一致しているかを監視する。そして、図5bに示すように、不正な制御装置60が車載制御装置11になりすまして同車載制御装置11が送信するデータに近似するデータを送信したとする。また、タイミングt1において、車載制御装置11が送信したデータと不正な制御装置60が送信したデータとが相違するために、車載制御装置11が指示したバスレベルと各通信線10~30のバスレベルとの相違が発生したとする。そして、車載制御装置11がビットエラーの発生を認知すると、同車載制御装置11は、例えば、データの送信エラーが発生した旨を示すエラー情報を監視用の車載制御装置50に送信する。監視用の車載制御装置50は、エラー情報を受信すると、自身が管理するエラーカウンタに例えば8を加算する。逆に、監視用の車載制御装置50は、データの送信に成功したことを検知したとき、カウントしたエラーカウンタから3を減算する。なお、こうしたエラーカウンタは、例えば各車載制御装置11~13、21~23、及び31~33毎にカウントされる。そして、各車載制御装置11~13、21~23、及び31~33は、このようにしてカウントされるエラーカウンタの数が例えば255を超えたとき、異常が発生したとして、各通信線10~30を介したデータ通信を禁止するバスオフ状態に遷移する。そこで、本実施の形態の監視用の車載制御装置50は、各車載制御装置11~13、21~23、及び31~33がバスオフ状態に遷移したことを検知したとき、車載制御装置11~13、21~23、及び31~33になりすました不正な制御装置60がネットワーク上にデータを送信している旨検知する。次に、本実施の形態の監視用の車載制御装置50による警告情報の送信態様を図6を参照して説明する。図6aに示すように、本実施の形態では、車両100に正規に搭載された各車載制御装置11~13、21~23、及び31~33、各ゲートウェイ41及び42、並びに監視用の車載制御装置50は、例えば53ビットの特定の演算コードXを保有している。この演算コードXは、車両100の出荷時やディーラーでの車両100の診断時等に保有されるものである。これに対し、不正な制御装置60は、不正な手段により車両100に事後的に取り付けられることから、演算コードXを保有していない。そして、本実施の形態の監視用の車載制御装置50は、こうした監視ポリシーに基づき不正データを検知すると、同不正データのデータフレームに付与されているIDをもとに同不正データの送信源である不正な制御装置60を特定する。次いで、監視用の車載制御装置50は、この特定した不正な制御装置60が送信する不正データの利用を、各車載制御装置11~13、21~23、及び31~33に禁止させる内容のメッセージコードYを作成する。このメッセージコードYは、例えば、53ビットのデータとして作成される。本実施の形態では、メッセージコードYは、抑止処理の解除条件が満たされるまでの間、各車載制御装置11~13、21~23、及び31~33に不正な制御装置60が送信するデータの利用を禁止させる内容となっている。なお、抑止処理の解除条件としては、例えば、所定時間が経過すること、及びイグニッションキーがオンとされることが規定されている。そして、本実施の形態では、各解除条件のうち、いずれかの条件が満たされることを条件として抑止処理が解除される。そして、監視用の車載制御装置50は、図6bに示すように、同監視用の車載制御装置50が予め保有する演算コードXとメッセージコードYとを例えばXOR演算することによって変換コードZを作成する。監視用の車載制御装置50は、この作成した変換コードZと例えば11ビットで示される特定した不正な制御装置60のIDとを、データフレームのデータフィールドに書き込む。そして、監視用の車載制御装置50は、このデータフレームに自身のIDを付して、同データフレームをネットワーク上に送信する。なお、この警告情報を示すデータフレームに付されるIDは、警告情報を示すデータを他のデータよりも優先して各車載制御装置11~13、21~23、及び31~33に送信すべく、各車載制御装置11~13、21~23、及び31~33がデータフレームに付するIDよりも小さい値のIDとなっている。各車載制御装置11~13、21~23、及び31~33は、監視用の車載制御装置50が送信したデータフレームを受信すると、データフィールドに書き込まれた変換コードZと自身が保有する演算コードXとを例えばXOR演算することにより、メッセージコードYを復元する。そして、各車載制御装置11~13、21~23、及び31~33は、メッセージコードYの指示内容に従って、不正な制御装置60から送信される不正データ不正なデータフレームの利用を禁止する処理を行う。一方、不正な制御装置60は、監視用の車載制御装置50から送信されたデータフレームを取得したとしても、演算コードXを保有していないために、メッセージコードYを解読することができない。よって、不正な制御装置60は、自身の存在が検知されていることを察知することができない。これにより、監視用の車載制御装置50による警告情報メッセージコードYの送信後、不正な制御装置60が自身の存在が検知されたことを察知してなりすまし等を行うことが抑制される。次に、本実施の形態の監視用の車載制御装置50によるネットワークの監視手順及び不正データの抑制手順を図7を参照して説明する。図7に示すように、例えば車両100のイグニッションキーがオンとされると、監視用の車載制御装置50がネットワークの監視を開始するステップS100。次いで、監視用の車載制御装置50は、自身が保有する監視ポリシーに基づきネットワーク上に不正データが送信されていないかを監視する。すなわち、監視用の車載制御装置50は、ネットワーク上に送信されるデータフレームの送信周期が予め規定された最小周期未満であるか否かを監視するステップS101。また、監視用の車載制御装置50は、一つのトリガ信号に対して複数の応答信号が送信されているか否かを監視するステップS102。また一方、監視用の車載制御装置50は、各車載制御装置11~13、21~23、及び31~33が送信するエラーフレームの送信回数が異常発生の基準となる異常回数例えば150回を超えているか否かを監視するステップS103。さらに、監視用の車載制御装置50は、各車載制御装置11~13、21~23、及び31~33のうち、バスオフ状態に遷移した車載制御装置が存在するか否かを監視するステップS104。そして、この監視の結果、該当する周期、応答信号、エラーフレーム、及び車載制御装置のいずれもが存在しないとき、監視用の車載制御装置50は、ネットワークに不正データが送信されていないと判断するステップS105。すなわち、監視用の車載制御装置50は、ネットワークのセキュリティーが維持され、同ネットワーク及び各車載制御装置11~13、21~23、及び31~33が正常に機能している旨判断する。他方、上記監視の結果、該当する周期、応答信号、エラーフレーム、及び車載制御装置のいずれかが存在するとき、監視用の車載制御装置50は、ネットワーク上に不正データが送信されていると判断するステップS106。すなわち、監視用の車載制御装置50は、同監視結果に基づいて、ネットワーク上に不正データが送信されており、ネットワーク内に不正な制御装置60が組み込まれている旨検知する。そして、監視用の車載制御装置50は、ネットワーク上に送信されている不正データを検知すると、同不正データに付与されているIDに基づいて不正な制御装置60を特定するステップS107。次いで、監視用の車載制御装置50は、抑止処理として、各車載制御装置11~13、21~23、及び31~33に警告情報を送信する処理を行うステップS108。また、監視用の車載制御装置50は、抑止処理として、同ゲートウェイ41及び42が保有するルーティングテーブル41a及び42aを変更するための禁止情報をゲートウェイ41及び42に送信する処理を行うステップS109。以下、本実施の形態の車両ネットワーク監視装置の作用を図8を参照して説明する。図8に示すように、例えば、車両100のイグニッションキーがオンとされると、監視用の車載制御装置50によるネットワークの監視が開始される。また、各種車両制御を行うべく、各車載制御装置11~13、21~23、及び31~33間で、データの授受が行われる。同様に、ネットワークを跨いだデータの授受が、ルーティングテーブル41a、42aを保有するゲートウェイ41、42を中継して行われる。ここで、ネットワーク内に不正に取り付けられたり外部のネットワークから不正アクセスする不正な制御装置60によって、通信線20を有するボディ系ネットワーク内に不正データが送信されたとする。このとき、監視用の車載制御装置50は、例えば、不正な制御装置60が送信した不正データを構成するデータフレームが、上記規定された最小周期約12ms未満の異常周期で送信されたことを検出すると、不正データがボディ系ネットワーク内に送信されており、同ボディ系ネットワーク内に不正な制御装置60が不正侵入していることを検知する。そして、監視用の車載制御装置50は、各車載制御装置11~13、21~23、及び31~33に対し、警告情報を示す変換コードZを送信する。変換コードZを受信した各車載制御装置11~13、21~23、及び31~33は、変換コードZを復元する。次いで、各車載制御装置11~13、21~23、及び31~33は、復元した警告情報に基づいて、不正な制御装置60が送信した不正データの利用を禁止する処理を行う。これにより、各車載制御装置11~13、21~23、及び31~33により不正データが利用されることによって、各車載制御装置11~13、21~23、及び31~33に予め組み込まれた正常なプログラムやデータ等が不正に書き換えられることが抑制される。また、不正データを検知した監視用の車載制御装置50は禁止情報をゲートウェイ41及び42送信することにより、ゲートウェイ41及び42に対し、同ゲートウェイ41及び42が保有するルーティングテーブル41a及び42aを変更する旨を依頼する。これにより、ゲートウェイ41及び42が保有するルーティングテーブル41a及び42aが、当該ゲートウェイ41及び42を経由しようとする不正データのルーティングを禁止するように変更される。この結果、ボディ系ネットワーク内に送信された不正データが、ゲートウェイ41及び42を中継して制御系ネットワークや情報系ネットワークに拡散することが抑止される。以上説明したように、本実施の形態にかかる車両ネットワーク監視装置によれば、以下の効果が得られるようになる。1車両ネットワーク内に、同車両ネットワークで用いられる通信プロトコルを運用する上で規定されたデータの通信形式の監視を通じて不正データを検知する監視用の車載制御装置50を設けた。このため、車両ネットワークに送信されるデータの通信形式を監視用の車載制御装置50に監視させるだけで、車両ネットワーク内に不正データが送信されていることを検知することができる。これにより、特に複雑な構成を要することなく車両ネットワークのセキュリティーを高く維持することが可能となる。2監視用の車載制御装置50が不正データを検知したとき、該検知した不正データの前記車両ネットワーク内への侵入に起因する車載制御装置11~13、21~23、及び31~33の不正動作を抑止する抑止処理を同監視用の車載制御装置50に実行させた。このため、たとえ車両ネットワークに不正データが侵入したとしても、上記抑止処理が実行されることによって、不正データを受信した車載制御装置11~13、21~23、及び31~33が不正動作を行うことが抑止される。これにより、不正データの侵入後においても、その影響を最小限に抑制して各車載制御装置11~13、21~23、及び31~33の正常な動作を担保することが可能となる。また、これにより、不正データの送信元となる不正な制御装置60が車両ネットワーク内に組み込まれたとしても、同不正な制御装置60を車両ネットワークから物理的に取り外さずとも、同不正な制御装置60が送信する不正データが各車載制御装置11~13、21~23、及び31~33や車両ネットワークに及ぼす影響を抑止することが可能となる。3上記抑止処理として、各車載制御装置11~13、21~23、及び31~33に対して警告情報を送信する処理、及びゲートウェイ41及び42に対して上記検知した不正データのルーティングを禁止する禁止情報を送信する処理を行うこととした。これにより、警告情報を受信した各車載制御装置11~13、21~23、及び31~33に対して不正データの存在を認知させることが可能となり、車両ネットワーク上に送信されている不正データの影響を抑止し得る各種処理を車載制御装置11~13、21~23、及び31~33に行わせることが可能となる。また、このため、不正データがゲートウェイ41及び42を経由しようとしても、ゲートウェイ41及び42が不正データのルーティングを禁止することにより、この不正データが各車載制御装置11~13、21~23、及び31~33に送信されない。これにより、不正データがゲートウェイ41及び42を経由する途中で遮断されることとなり、このゲートウェイ41及び42を介して不正データが拡散することが抑止される。4警告情報を受信した各車載制御装置11~13、21~23、及び31~33に対し、上記検知された不正データに基づく動作を禁止する処理を行わせた。これにより、車両ネットワーク内に不正データが送信されたとしても、この不正データが各車載制御装置11~13、21~23、及び31~33の動作に影響を及ぼすことを抑止できる。また、不正データが検知されたとき、ゲートウェイ41及び42に該ゲートウェイ41及び42が保有するルーティングテーブル41a及び42aを変更させる処理を行わせた。これにより、ルーティングテーブル41a及び42aの変更を通じて、不正データが拡散することが抑止され、ゲートウェイ41及び42を有した車両ネットワークのセキュリティーを高く維持することが可能となる。5各車載制御装置11~13、21~23、及び31~33、並びに監視用の車載制御装置50に、特定の演算コードXを予め保有させた。そして、監視用の車載制御装置50に、警告情報をメッセージコードYとして作成させた。また、監視用の車載制御装置50に、演算コードXを用いた演算処理により変換コードZに変換されたメッセージコードYを、車載制御装置11~13、21~23、及び31~33に対して送信させた。このため、不正な制御装置60が、自身の存在が各車載制御装置11~13、21~23、及び31~33等に認知されたことを検知して正当な車載制御装置になりすましをすることが抑止される。これにより、不正データや同不正データの送信源となる制御装置60の存在が一旦検知されて以降は、これら検知された不正データや制御装置を安定して監視することが促進される。6正常時における通信形式として予め規定された規定の通信形式とは異なる通信形式のデータを監視用の車載制御装置50が検知したとき、該検知したデータを不正データとして特定させた。このため、監視用の車載制御装置50は、既知の通信形式を把握するだけで、不正データを検知することが可能となる。これにより、監視用の車載制御装置50は、不正データが未知のデータであっても、車両ネットワークに不正なデータが送信されたことを検知することが可能となる。7上記データの通信形式として車両ネットワークに送信されるデータフレームの周期を監視用の車載制御装置50に監視させ、周期異常の検知を通じて不正データを検知させた。このため、監視用の車載制御装置50は、データの通信形式としてデータの送信周期を監視するだけで不正データを検知することが可能となる。これにより、車両ネットワークに侵入した不正データをより容易かつ的確に検知することが可能となる。8トリガ信号の応答として車載制御装置11~13、21~23、及び31~33から送信される応答信号の送信回数を、上記データの通信形式として監視用の車載制御装置50に監視させた。そして、トリガ信号の受信後から次のトリガ信号を受信するまでの期間に同一の応答信号が複数送信されたとき、同複数受信した応答信号の一部を不正データとして検知させた。このため、監視用の車載制御装置50は、応答信号の送信回数をカウントするだけで、車両ネットワーク内に不正データが送信されているか否かを検知することが可能となる。これにより、不正データの検知をより容易かつ的確に行うことが可能となる。9上記データの通信形式として、エラーの検出に基づき各車載制御装置11~13、21~23、及び31~33が送信するエラーフレームDeの送信回数を監視用の車載制御装置50に監視させた。そして、エラーフレームDeの送信回数が規定の送信回数を超えたことをもって、車両ネットワークに不正データが送信されている旨検知させた。このため、監視用の車載制御装置50は、各車載制御装置11~13、21~23、及び31~33から送信されるエラーフレームDeの送信回数を監視するだけで車両ネットワークに不正データが送信されているか否かを検知することが可能となる。また、不正データの検知の指標となるエラーフレームDeの送信回数例えば150回を、車載制御装置がバスオフ状態に遷移する基準として設定されたエラーフレームDeの送信回数255回よりも少なく設定した。これにより、監視用の車載制御装置50は、エラーフレームDeが過剰に送信されることに起因して各車載制御装置11~13、21~23、及び31~33がバスオフ状態に遷移する以前に不正データを検知することが可能となる。10車載制御装置11~13、21~23、及び31~33がバスオフ状態に遷移したとき、該検知したバスオフ状態の認識を通じて車両ネットワークに不正データが送信されている旨を監視用の車載制御装置50に検知させた。このため、監視用の車載制御装置50は、車載制御装置11~13、21~23、及び31~33がバスオフ状態に遷移し、同車載制御装置11~13、21~23、及び31~33との通信が不可能になっている旨と併せて、車両ネットワークに不正データが送信されている旨を検知することが可能となる。これにより、監視用の車載制御装置50は、各車載制御装置11~13、21~23、及び31~33との通信状態を監視するだけで、車両ネットワークに不正データが送信されているか否かを検知することが可能となる。11監視用の車載制御装置50による監視を、データフレームの周期、応答信号のカウント、エラーフレームDeの送信回数、及び各車載制御装置11~13、21~23、及び31~33のバスオフ状態に基づいて行った。これにより、監視用の車載制御装置50は、車両ネットワーク内に不正データが送信されているか否かを様々な見地から監視することが可能となり、上記車両ネットワーク監視装置としての信頼性が好適に高められるようになる。12上記監視部は、監視用の車載制御装置50として車両ネットワークに設ける構成とした。このため、本来、車両ネットワークに接続される車載制御装置の一部を監視用の車載制御装置50として機能させることで、同車両ネットワークの監視を通じてそのセキュリティーを維持することが可能となる。これにより、車両ネットワークを監視するための装置を別途に設ける必要もなく、本来、車両ネットワークに接続される汎用性の高い車載制御装置を用いて車両ネットワークの監視を実現することが可能となる。なお、上記実施の形態は、以下のような形態をもって実施することもできる。上記演算コードXを用いて警告情報を変換コードZに変換することとした。これに限らず、監視用の車載制御装置50、各車載制御装置11~13、21~23、及び31~33が送信する全てのデータを、上記演算コードXを用いて変換コードZに変換してもよい。そして、この変換コードを受信した各車載制御装置11~13、21~23、及び31~33が同変換コードZを自身が保有する演算コードXを用いて復元できたとき、同復元できたデータが正規の監視用の車載制御装置50や各車載制御装置11~13、21~23、及び31~33から送信された正規のデータとして判別させるようにしてもよい。そして、正規のデータとして判別されたデータのみの利用を、監視用の車載制御装置50や各車載制御装置11~13、21~23、及び31~33に許可させるようにしてもよい。これにより、監視用の車載制御装置50、並びに各車載制御装置11~13、21~23、及び31~33は、自身が保有する演算コードXを用いて復元できるか否かを基準として、受信したデータが正規のデータであるか否かを判別することが可能となる。上記演算コードXを用いた演算をXOR演算により行った。これに限らず、例えば、監視用の車載制御装置50、並びに正規の車載制御装置11~13、21~23、及び31~33のみが予め保有する共通鍵や秘密鍵等により警告情報を監視用の車載制御装置50にて暗号化させてもよい。そして、この暗号化された警告情報を各車載制御装置11~13、21~23、及び31~33に送信させるようにしてもよい。このように共通鍵や秘密鍵等を用いた手法でも、不正な制御装置60に自身の存在が検知されていることを察知させることなく、抑止処理を実行することが可能となる。上記抑止処理の解除条件として、所定時間が経過すること、及びイグニッションキーがオンとされたことのうち、いずれかの条件が満たされることを条件として抑止処理を解除させた。これに限らず、所定時間が経過し、かつ、イグニッションキーがオンとされたことを条件として抑止処理を解除させるようにしてもよい。この他、抑止処理の解除条件とは、不正データの送信が停止されたこと等が推測される条件であればよく、例えば、車両100の診断終了や各車載制御装置11~13、21~23、及び31~33等が初期化されたことを条件としてもよい。不正データとして、ボディ系ネットワークに不正に取り付けられた不正な制御装置60から送信されたデータを対象とした。この他、不正データとしては、外部のネットワークからの不正アクセスにより、車両ネットワーク内に不正送信されたデータであってもよい。このように、外部ネットワークから送信された不正データが車両ネットワークに侵入したとしても、上記監視用の車載制御装置50による監視を通じて同不正データを監視することは可能である。監視用の車載制御装置50に、監視するデータをロギングさせることとした。さらに、このロギングされるログデータを、新たな監視ポリシーの定義や、不正な制御装置60による攻撃のトレーサビリティ追跡性として利用させるようにしてもよい。新たな監視ポリシーの定義に際しては、例えば、異常周期の更新やエラーフレームの異常送信回数の更新等が行われる。上記監視部として、一つの監視用の車載制御装置50を車両ネットワーク内に設けることとした。これに限らず、2つ以上の監視用の車載制御装置50を車両ネットワーク内に設けるようにしてもよい。この構成ではさらに、制御系ネットワーク、ボディ系ネットワーク、及び情報系ネットワークの別に監視用の車載制御装置を設けることで、ネットワークを単位とした監視を専用の監視用の車載制御装置により個別に行わせることが可能となる。これにより、たとえ一つの監視用の車載制御装置のプログラムやデータ等が不正データにより書き換えられたとしても、他の監視用の車載制御装置により車両ネットワークのセキュリティーを好適に維持することが可能となる。よって、車両ネットワークの監視にかかるフォールトトレラントが維持されることとなる。監視用の車載制御装置50による監視を、制御系ネットワーク、ボディ系ネットワーク、及び情報系ネットワークの全てのネットワークを対象として行った。これに限らず、制御系ネットワークのみを監視用の車載制御装置50に監視させるようにしてもよい。この監視態様では、監視対象が車両100の制御に際して重要度の高い制御系ネットワークに限定されることで、監視用の車載制御装置50の監視負荷が最小限に抑制される。また、これにより、監視用の車載制御装置50による監視を、重要度の高い制御系ネットワークに注力させることが可能となる。またこの他、監視用の車載制御装置50による監視対象とは、制御系ネットワーク、ボディ系ネットワーク、及び情報系ネットワークのうち、いずれか一つのネットワークであってもよい。要は、車両100に搭載される車両ネットワークの一部または全部であれば、監視用の車載制御装置50の監視対象とすることが可能である。不正データの検知の指標となるエラーフレームDeの送信回数を、車載制御装置がバスオフ状態に遷移する基準として設定されたエラーフレームDeの送信回数よりも少なく設定した。これに限らず、例えば、不正データの検知の指標となるエラーフレームDeの送信回数を、車載制御装置がバスオフ状態に遷移する基準として設定されたエラーフレームDeの送信回数と同じ回数に設定してもよい。監視用の車載制御装置50による監視を、データフレームの周期、応答信号のカウント、エラーフレームDeの送信回数、及び各車載制御装置11~13、21~23、及び31~33のバスオフ状態の全てに基づいて行った。これに限らず。データフレームの周期、応答信号のカウント、エラーフレームDeの送信回数、及び各車載制御装置11~13、21~23、及び31~33のバスオフ状態の少なくとも一つに基づいて、監視用の車載制御装置50による監視を行うようにしてもよい。またこの他、ネットワークのプロトコルを運用する上で予め規定された通信形式に従ったデータ通信が行われているかを基準として、車載制御装置50による監視を行うようにしてもよい。上記警告情報を、演算コードXを用いて変換したメッセージコードYとして送信することとした。これに限らず、各車載制御装置11~13、21~23、及び31~33、並びに監視用の車載制御装置50に、特定の演算コードXを予め保有させない構成としてもよい。そして、平文の警告情報を、監視用の車載制御装置50から車載制御装置11~13、21~23、及び31~33等に送信させるようにしてもよい。この構成では、警告情報の送受信に際しての演算負荷が軽減されることとなる。なお、この構成であれ、一旦検知された不正データについては、各車載制御装置11~13、21~23、及び31~33に利用されることが抑止される。警告情報を受信した各車載制御装置11~13、21~23、及び31~33に対し、上記検知された不正データに基づく動作を禁止する処理を行わせた。また、不正データが検知されたとき、ゲートウェイ41及び42に該ゲートウェイ41及び42が保有するルーティングテーブル41a及び42aを変更させる処理を行わせた。これに限らず、例えば、検知された不正データについては、各車載制御装置11~13、21~23、及び31~33、並びにゲートウェイ41及び42に破棄させることとしてもよい。上記抑止処理として、警告情報を送信する処理、並びにゲートウェイ41及び42による不正データのルーティングを禁止させる処理を行った。これに限らず、抑止処理として、警告情報を送信する処理、並びにゲートウェイ41及び42による不正データのルーティングを禁止させる処理のいずれか一方の処理を行うようにしてもよい。またこの他、抑止処理として、ネットワーク内に不正データが送信されている旨を、ドライバ、車両100の状態が管理される管理センタ、及び車両100のディーラ等に報知する処理を行うようにしてもよい。監視用の車載制御装置50が不正データを検知したとき、抑止処理を同監視用の車載制御装置50に実行させた。これに限らず、監視用の車載制御装置50は、不正データの検知のみを行うこととしてもよい。また、例えば、監視用の車載制御装置50に不正データの検知のみを行わせ、この検知結果に基づき抑止処理を実行する装置を監視用の車載制御装置50と別体に設けてもよい。監視用の車載制御装置50に、エラーカウンタ、IDテーブル、及びロギング機能を設けた。これに限らず、監視用の車載制御装置50は、車両ネットワークに送信されるデータの通信形式を監視可能な構成であればよく、エラーカウンタ、IDテーブル、及びロギング機能を割愛することも可能である。監視用の車載制御装置50を、一つの車載制御装置として車両ネットワーク内に設けた。これに代えて、先の図1に対応する図として例えば図9に示すように、ゲートウェイ41α、42βに、監視用の車載制御装置50と同等の機能を有する監視部51を設ける構成としてもよい。この構成では、ゲートウェイ41α、42βと監視部51とが一体に構成されることにより、不正データの監視のための車載制御装置が不要となり、車両ネットワーク監視装置としてのさらなる簡略化を図ることが可能となる。また、これにより、監視部51が不正データを検知したときは、同監視部51が搭載されたゲートウェイ41α、42βによる不正データのルーティングを直接的に禁止することが可能となる。また、先の図1に対応する図として例えば図10に示すように、各ネットワークを構成する全ての通信線10~30に一つのゲートウェイ43を集約して接続させる構成としてもよい。そして、ゲートウェイ43に、監視部51を設ける構成としてもよい。この構成では、通信線10~30が集約されるゲートウェイ43に監視部51を設けることで、監視部51は、車両ネットワーク全体の通信状況を効率よく監視することが可能となる。このため、一つの監視部51によって、車両ネットワーク全体のセキュリティーを一括して管理することが可能となり、より簡易な構成のもとに車両ネットワークのセキュリティーを維持することが可能となる。この他、監視部51を、各車載制御装置11~13、21~23、及び31~33のうちの少なくとも1つの車載制御装置に設ける構成としてもよい。この構成であれ、不正データの監視のための車載制御装置が不要となり、車両ネットワーク監視装置としてのさらなる簡略化を図ることが可能となる。また、この構成では、車両100の制御を担う各車載制御装置11~13、21~23、及び31~33が単体で自身のセキュリティを担保することが可能となる。この他、監視部とは、車両ネットワークに送信されるデータの通信形式を監視可能な位置に設けられるものであればよく、その設置態様は適宜変更することが可能である。上記車両ネットワークとして、CANを対象とした。これに限らず、車両ネットワークとは、通信プロトコルを運用する上でデータの通信形式が規定されたものであればよく、例えば、フレックスレイ、IDB-1394、BEAN、CAN、LIN、AVC-LAN、MOST登録商標等であってもよい。