本公开涉及对流通于网络的异常的消息进行检测的安全对策技术。
背景技术：
：近年来，在汽车中的系统内，配置有许多被称为电子控制单元(ecu：electroniccontrolunit)的装置。连接这些ecu的网络被称为车载网络。车载网络存在许多通信标准。在其中最为主流的车载网络之一，存在由iso11898规定的can(controllerareanetwork：控制器局域网络)这一标准。在can中，通信路径是由两条电线构成的总线(网络总线)，与总线连接的ecu被称为节点。与总线连接的各节点收发被称为帧(frame)的消息。发送帧的发送节点通过在两条电线上施加电压，并使电线间产生电位差，从而发送被称为隐性(recessive)的“1”的值和被称为显性(dominant)的“0”的值。多个发送节点在完全相同的定时(timing)发送了隐性和显性的情况下，优先发送显性。接收节点在接收到的帧的格式(format)存在异常的情况下，发送被称为错误帧(errorframe)的帧。错误帧是通过连续地发送6比特(bit)的显性来向发送节点以及其他接收节点通知帧的异常的帧。另外，在can中不存在指示发送目的地和/或发送源的标识符，发送节点对每一帧附加id而进行发送，各接收节点仅接收预先确定的id的帧。另外，采用csma/ca(carriersensemultipleaccess/collisionavoidance：载波侦听多路访问/冲突避免)方式，在多个节点同时发送时基于id进行仲裁(调停)，优先发送id的值小的帧。关于can的车载网络系统，存在攻击者通过访问总线并发送不正常(不正当、非法)的帧从而不正常地控制ecu这样的威胁，安全对策正在被进行研究。例如专利文献1中记载了如下的异常检测的方法：当在网络中在规定的通信间隔内接收到具有同一标识符的第二条数据时，判断为产生了不正。现有技术文献专利文献1：日本特开2014-146868号公报技术实现要素：发明所要解决的问题然而，在专利文献1的方法中，当攻击者以与从正规ecu发送的包含正确数据的消息的周期同样的周期发送包含不正常的数据的消息、并在紧接着正规消息之前发送了不正常(不正规)的消息的情况下，无法适当地检测为是不正常的消息。在该方法中，会导致对于紧随其后的正规消息的发送判定为产生了不正。另外，在该方法中，针对使由正规ecu对正规消息的发送停止并取而代之地发送不正常的消息这样的攻击，无法检测到异常。于是，本公开提供在由攻击者向网络发送了不正常消息的情况下适当地进行异常检测的异常检测电子控制单元(异常检测ecu)。另外，提供在发送了不正常消息的情况下适当地进行异常检测的车载网络系统、以及用于适当地进行异常检测的异常检测方法。用于解决问题的技术方案为了解决上述问题，本公开的一个技术方案涉及的异常检测电子控制单元，是具备经由通信路径进行通信的多个电子控制单元的网络系统中的连接于所述通信路径的异常检测电子控制单元，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述异常检测电子控制单元具备接收部、判定部以及发送部，所述接收部从所述通信路径逐次接收第1种消息和第2种消息，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：该第1种消息的内容；在对该第1种消息的接收时由所述接收部最后接收到的第2种消息的内容；以及由所述接收部比该第1种消息更早地接收到的第1种消息的内容、和由所述接收部比所述最后接收到的第2种消息更早地接收到的第2种消息的内容中的某一内容，所述发送部根据所述判定部的所述判定的结果来进行发送。另外，为了解决上述问题，本公开的一个技术方案涉及的车载网络系统，是具备经由通信路径进行通信的多个电子控制单元的车载网络系统，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述车载网络系统具备连接于所述通信路径的异常检测电子控制单元，所述异常检测电子控制单元具备接收部以及判定部，所述接收部从所述通信路径逐次接收第1种消息和第2种消息，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：该第1种消息的内容；在对该第1种消息的接收时由所述接收部最后接收到的第2种消息的内容；以及由所述接收部比该第1种消息更早地接收到的第1种消息的内容、和由所述接收部比所述最后接收到的第2种消息更早地接收到的第2种消息的内容中的某一内容。另外，为了解决上述问题，本公开的一个技术方案涉及的异常检测方法，是具备经由通信路径进行通信的多个电子控制单元的网络系统中所使用的异常检测方法，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述异常检测方法包括接收步骤、判定步骤以及发送步骤，在所述接收步骤中，从所述通信路径逐次接收第1种消息和第2种消息，在所述判定步骤中，基于如下内容来判定通过所述接收步骤接收到的第1种消息是正常还是异常：该第1种消息的内容；在对该第1种消息的接收时通过所述接收步骤最后接收到的第2种消息的内容；以及通过所述接收步骤比该第1种消息更早地接收到的第1种消息的内容、和通过所述接收步骤比所述最后接收到的第2种消息更早地接收到的第2种消息的内容中的某一内容，在所述发送步骤中，根据所述判定步骤中的所述判定的结果来进行发送。发明效果根据本公开，能够适当地检测到流通于网络的不正常的消息。附图说明图1是表示实施方式1涉及的异常检测系统的整体结构的图。图2是表示实施方式1涉及的车载网络系统的构成的图。图3是表示实施方式1涉及的异常检测ecu的构成的图。图4是表示由can协议规定的数据帧的格式的图。图5是表示由can协议规定的错误帧的格式的图。图6是表示实施方式1涉及的速度控制ecu发送的数据帧的例子的图。图6a是表示速度控制ecu发送的数据帧中的速度控制信息的读取方法的一例的图。图7是表示实施方式1涉及的齿轮(gear)控制ecu发送的数据帧的例子的图。图7a是表示齿轮控制ecu发送的数据帧中的齿轮控制信息的读取方法的一例的图。图8是表示实施方式1涉及的异常检测ecu使用的规则的图。图9是表示实施方式1涉及的异常检测ecu的规则存储部所保持的规则表(ruletable)的具体例子的图(其一)。图10是表示实施方式1涉及的异常检测ecu的规则存储部所保持的规则表的具体例子的图(其二)。图11是表示实施方式1涉及的异常检测ecu的规则存储部所保持的规则表的具体例子的图(其三)。图12是表示实施方式1涉及的异常检测ecu的数据存储部所保持的数据表的一例的图。图13是表示实施方式1涉及的异常检测ecu所进行的异常判定处理的各模式下使用的数据的图。图14是表示实施方式1涉及的异常检测ecu等的没有异常的情况下的处理时序的一例的图。图15是表示实施方式1涉及的异常检测ecu的异常判定处理模式1有关的处理时序的一例的图。图16是表示实施方式1涉及的异常检测ecu的异常判定处理模式2有关的处理时序的一例的图。图17是表示实施方式1涉及的异常检测ecu的异常判定处理模式3有关的处理时序的一例的图。图18是表示由实施方式1涉及的异常检测ecu执行的处理的一例的流程图。图19是表示实施方式1涉及的异常检测ecu的数据保存处理的一例的流程图。图20是表示实施方式1涉及的异常检测ecu的异常判定处理模式1涉及的异常判定处理的一例的流程图。图21是表示实施方式1涉及的异常检测ecu的异常判定处理模式2涉及的异常判定处理的一例的流程图。图22是表示实施方式1涉及的异常检测ecu的异常判定处理模式3涉及的异常判定处理的一例的流程图。图23是表示实施方式1涉及的异常检测ecu的车辆保护处理的一例的流程图。图24是表示实施方式1涉及的异常检测ecu的车辆保护处理的另一例的流程图。图25是表示车辆的头单元(headunit)中的警告通知的一例的图。图26是表示实施方式2涉及的车载网络系统的构成的图。图27是表示实施方式2涉及的异常检测ecu的构成的图。图28是表示实施方式2涉及的方向盘(handle)控制指示ecu发送的数据帧的例子的图。图29是表示方向盘控制指示ecu发送的数据帧中的方向盘控制指示的读取方法的一例的图。图30是表示实施方式2涉及的方向盘控制ecu发送的数据帧的例子的图。图31是表示方向盘控制ecu发送的数据帧中的方向盘状态信息的读取方法的一例的图。图32是表示实施方式2涉及的异常检测ecu使用的规则的图。图33是表示实施方式2涉及的异常检测ecu的规则存储部所保持的规则表的具体例子的图。图34是表示实施方式2涉及的异常检测ecu的数据存储部所保持的数据表的一例的图。图35是表示实施方式2涉及的异常检测ecu等的没有异常的情况下的处理时序的一例的图。图36是表示实施方式2涉及的异常检测ecu的异常判定处理有关的处理时序的一例的图。图37是表示由实施方式2涉及的异常检测ecu执行的处理的一例的流程图。图38是表示实施方式2涉及的异常检测ecu的数据保存处理的一例的流程图。图39是表示实施方式2涉及的异常检测ecu的异常判定处理涉及的异常判定处理的一例的流程图。图40是表示实施方式2涉及的异常检测ecu的车辆保护处理的一例的流程图。图41是表示实施方式2涉及的异常检测ecu的车辆保护处理的另一例的流程图。具体实施方式本公开的一个技术方案涉及的异常检测电子控制单元，是具备经由通信路径进行通信的多个电子控制单元的网络系统中的连接于所述通信路径的异常检测电子控制单元，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述异常检测电子控制单元具备接收部、判定部以及发送部，所述接收部从所述通信路径逐次接收第1种消息和第2种消息，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：该第1种消息的内容；在对该第1种消息的接收时由所述接收部最后接收到的第2种消息的内容；以及由所述接收部比该第1种消息更早地接收到的第1种消息的内容、和由所述接收部比所述最后接收到的第2种消息更早地接收到的第2种消息的内容中的某一内容，所述发送部根据所述判定部的所述判定的结果来进行发送。第1种消息以及第2种消息在网络上按照预先确定的规则周期性地传输，作为各个消息的内容的逐次监视对象数据以及比较对象数据的各值根据消息被发送的时间，例如相互保持一定相关性地变化。因此，例如可以基于随着时间的经过而逐次发送的多个第2种消息的多个比较对象数据的值中表现的变化与该变化时的第1种消息的监视对象数据的值之间的关系等是否满足预先规定的正常时应该满足或者异常时应该满足的预定基准，进行适当的判定。如此，若确定并利用与比较对象数据相关的第2种消息以使得判定部能够利用监视对象数据与比较对象数据的相关性来判定监视对象数据是否异常，则异常检测电子控制单元能够适当地检测到由攻击者将监视对象数据设为不正常的内容并流通于网络的第1种消息是异常的。例如即使攻击者以与从网络系统中的正规的电子控制单元发送的周期同样的周期发送了不正常的第1种消息，也能够适当地检测到异常，能够确保网络的安全性。另外，也可以为，所述异常检测电子控制单元具有存储部，所述接收部将接收到的第1种消息和第2种消息各自的内容储存于所述存储部，所述判定部参照所述存储部来进行所述判定。由此，异常检测电子控制单元能够利用异常检测电子控制单元内的存储部，迅速地进行适当的判定。另外，也可以为，所述判定部在由所述接收部接收到第1种消息时，根据如下数据是否满足预定基准来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由所述接收部最后接收到的第2种消息所包含的第1比较对象数据；以及由所述接收部在该第1种消息的前一次接收到的第1种消息所包含的第2监视对象数据。由此，能够利用两个第1种消息的各监视对象数据的值、与第2种消息的比较对象数据的值具有一定的关系这一情况，适当地判定关于第1种消息的异常。另外，也可以为，所述判定部在由所述接收部接收到第1种消息时，根据如下数据是否满足预定基准来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由所述接收部最后接收到的第2种消息所包含的第1比较对象数据；以及由所述接收部在最后的前一次(倒数第二次)接收到的第2种消息所包含的第2比较对象数据。由此，能够利用第1种消息的监视对象数据的值、与两个第2种消息的各比较对象数据的值具有一定的关系这一情况，适当地判定关于第1种消息的异常。另外，也可以为，所述判定部在由所述接收部接收到第1种消息时，根据如下数据是否满足预定基准来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由所述接收部最后接收到的第2种消息所包含的第1比较对象数据；由所述接收部在该第1种消息的前一次接收到的第1种消息所包含的第2监视对象数据；以及由所述接收部在最后的前一次接收到的第2种消息所包含的第2比较对象数据。由此，能够利用两个第1种消息的各监视对象数据的值、与两个第2种消息的各比较对象数据的值具有一定的关系这一情况，适当地判定关于第1种消息的异常。另外，也可以为，所述判定部在由所述接收部接收到第1种消息时，根据如下数据是否满足预定基准来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由所述接收部最后接收到的第2种消息所包含的第1比较对象数据；以及由所述接收部在对该第1种消息的接收之前最后接收到的包含与所述第1监视对象数据不同的值的第2监视对象数据的第1种消息中的该第2监视对象数据。由此，能够利用随着时间的经过而逐次发送的多个第1种消息的监视对象数据的值的转变、与在该转变时所发送的第2种消息的比较对象数据的值之间具有一定的关系这一情况，适当地判定关于第1种消息的异常。另外，也可以为，所述判定部在由所述接收部接收到第1种消息时，根据如下数据是否满足预定基准来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由所述接收部最后接收到的第2种消息所包含的第1比较对象数据；以及由所述接收部在对所述最后接收到的第2种消息的接收之前最后接收到的包含与所述第1比较对象数据不同的值的第2比较对象数据的第2种消息中的该第2比较对象数据。由此，能够利用随着时间的经过而逐次发送的多个第2种消息的比较对象数据的值的转变、与在该转变时所发送的第1种消息的监视对象数据的值之间具有一定的关系这一情况，适当地判定关于第1种消息的异常。另外，也可以为，所述判定部在由所述接收部接收到第1种消息时，根据如下数据是否满足预定基准来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由所述接收部最后接收到的第2种消息所包含的第1比较对象数据；由所述接收部在对该第1种消息的接收之前最后接收到的包含与所述第1监视对象数据不同的值的第2监视对象数据的第1种消息中的该第2监视对象数据；以及由所述接收部在对所述最后接收到的第2种消息的接收之前最后接收到的包含与所述第1比较对象数据不同的值的第2比较对象数据的第2种消息中的该第2比较对象数据。由此，能够利用随着时间的经过而逐次发送的多个第1种消息的监视对象数据的值的转变、与在该转变时逐次所发送的多个第2种消息的比较对象数据的值的转变之间具有一定的关系这一情况，适当地判定关于第1种消息的异常。另外，也可以为，所述多个电子控制单元包括周期性地发送包含参照数据的第3种消息的电子控制单元，所述接收部还逐次接收第3种消息，所述判定部也基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：在对该第1种消息的接收时由所述接收部最后接收到的第3种消息的内容；以及由所述接收部比所述最后接收到的第3种消息更早地接收到的第3种消息的内容。由此，除了监视对象数据以及比较对象数据涉及的相关性之外，还使用与第3种消息的参照数据的关系，因此，通过预先适当地确定第3种消息，能够更适当地判定关于第1种消息的异常。另外，也可以为，所述多个电子控制单元包括周期性地发送包含参照数据的第3种消息的电子控制单元，所述接收部还逐次接收第3种消息，所述判定部进一步基于如下内容来判别由所述接收部接收到的第2种消息是否正常：该第2种消息的内容；在对该第2种消息的接收时由所述接收部最后接收到的第3种消息的内容；以及由所述接收部比该第2种消息更早地接收到的第2种消息的内容、和由所述接收部比所述最后接收到的第3种消息更早地接收到的第3种消息的内容中的某一内容，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：该第1种消息的内容；在对该第1种消息的接收时由所述接收部最后接收到并被判别为正常的第2种消息的内容；以及由所述接收部比该第1种消息更早地接收到的第1种消息的内容、和由所述接收部比所述最后接收到并被判别为正常的第2种消息更早地接收到并被判别为正常的第2种消息的内容中的某一内容。由此，使用基于比较对象数据与参照数据的相关性判别为正常的比较对象数据来进行关于监视对象数据的判定，因此能够进行更准确的判定。另外，也可以为，所述网络系统搭载于车辆，所述监视对象数据以及所述比较对象数据是为了所述车辆的控制所使用的数据，所述通信路径是所述车辆中的有线通信路径，所述多个电子控制单元遵循控制器局域网络协议即can协议或者以太网(ethernet)(注册商标)协议进行消息的授受(交换)。由此，能够检测对车载网络的攻击，能够确保车辆的安全性。另外，也可以为，所述判定部在由所述接收部接收第1种消息中的监视对象数据而接收到该第1种消息的最末尾的比特位之前，判定该第1种消息是正常还是异常，所述发送部在第1种消息由所述判定部判定为异常的情况下，在由所述接收部接收到该第1种消息的最末尾的比特位之前，向所述通信路径发送使该第1种消息无效的预定消息。由此，能够防御网络系统受到在网络上流通不正常的消息的攻击。另外，也可以为，所述通信路径是网络总线，所述多个电子控制单元遵循控制器局域网络协议即can协议进行帧的授受，所述第1种消息是预定值包含于id域(field)、监视对象数据包含于数据域的数据帧，所述第2种消息是与所述预定值不同的特定值包含于id域、比较对象数据包含于数据域的数据帧，所述发送部发送错误帧作为所述预定消息。由此，能够在车载网络中高效地使包含不正常的监视对象数据的数据帧无效。另外，也可以为，所述通信路径是网络总线，所述发送部在第1种消息由所述判定部判定为异常的情况下，向所述网络总线发送异常通知消息。由此，对其他电子控制单元通知异常。因此，收到异常通知的电子控制单元例如能够实施如抑制与正规的消息同样地处理不正规的消息等这样的安全对策。另外，本公开的一个技术方案涉及的车载网络系统，是具备经由通信路径进行通信的多个电子控制单元的车载网络系统，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述车载网络系统具备连接于所述通信路径的异常检测电子控制单元，所述异常检测电子控制单元具备接收部以及判定部，所述接收部从所述通信路径逐次接收第1种消息和第2种消息，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：该第1种消息的内容；在对该第1种消息的接收时由所述接收部最后接收到的第2种消息的内容；以及由所述接收部比该第1种消息更早地接收到的第1种消息的内容、和由所述接收部比所述最后接收到的第2种消息更早地接收到的第2种消息的内容中的某一内容。由此，能够适当地判定由攻击者将监视对象数据设为不正常的内容并流通于网络的第1种消息是异常的。因此，该车载网络系统能够进行对攻击的适当防御。另外，也可以为，所述车载网络系统还具备通知装置，所述通知装置在第1种消息由所述判定部判定为异常的情况下，向位于搭载该车载网络系统的第1车辆的外部的服务器或者该第1车辆以外的第2车辆通知异常。由此，当在某一车辆的车载网络系统中检测到异常的情况下，能够直接或者经由服务器向其他车辆通知异常。因此，能够在其他车辆中对攻击进行高效的防御。另外，服务器能够接收异常通知并对一辆或者多辆的各车辆指示安全对策。另外，也可以为，所述通知装置在第1种消息由所述判定部判定为异常的情况下，通过向与所述第1车辆为同一车型的所述第2车辆发送表示异常的信息来通知异常。另外，也可以为，所述通知装置在第1种消息由所述判定部判定为异常的情况下，通过向位于所述第1车辆周围的所述第2车辆发送表示异常的信息来通知异常。根据这些，能够防御由攻击者对同一车型的多个车辆的连续攻击、局部的对多个车辆的连续攻击等。本公开的一个技术方案涉及的异常检测方法，是具备经由通信路径进行通信的多个电子控制单元的网络系统中所使用的异常检测方法，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述异常检测方法包括接收步骤、判定步骤以及发送步骤，在所述接收步骤中，从所述通信路径逐次接收第1种消息和第2种消息，在所述判定步骤中，基于如下内容来判定通过所述接收步骤接收到的第1种消息是正常还是异常：该第1种消息的内容；在对该第1种消息的接收时通过所述接收步骤最后接收到的第2种消息的内容；以及通过所述接收步骤比该第1种消息更早地接收到的第1种消息的内容、和通过所述接收步骤比所述最后接收到的第2种消息更早地接收到的第2种消息的内容中的某一内容，在所述发送步骤中，根据所述判定步骤中的所述判定的结果来进行发送。由此，能够进行针对使包含不正常的监视对象数据的第1种消息流通于网络的攻击的适当防御。本公开的一个技术方案涉及的异常检测电子控制单元，是具备经由通信路径进行通信的多个电子控制单元的网络系统中的连接于所述通信路径的异常检测电子控制单元，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述异常检测电子控制单元具备接收部以及判定部，所述接收部从所述通信路径逐次接收第1种消息和第2种消息，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：该第1种消息的内容；以及在对该第1种消息的接收时由所述接收部最后接收到的第2种消息的内容。第1种消息以及第2种消息在网络上按照预先确定的规则周期性地传输，作为各个消息的内容的逐次监视对象数据以及比较对象数据的各值根据消息被发送的时间，例如相互保持一定相关性地变化。因此，例如可以基于随着时间的经过而逐次发送的多个第2种消息的多个比较对象数据的值中表现的变化与该变化时的第1种消息的监视对象数据的值之间的关系等是否满足预先规定的正常时应该满足或者异常时应该满足的预定基准，进行适当的判定。如此，若确定并利用与比较对象数据相关的第2种消息以使得判定部能够利用监视对象数据与比较对象数据的相关性来判定监视对象数据是否异常，则异常检测电子控制单元能够适当地检测到由攻击者将监视对象数据设为不正常的内容并流通于网络的第1种消息是异常的。例如即使攻击者以与从网络系统中的正规的电子控制单元发送的周期同样的周期发送了不正常的第1种消息，也能够适当地检测到异常，能够确保网络的安全性。另外，也可以为，所述第1种消息包含表示对控制车辆的行为的控制装置的指示的指示信息，所述第2种消息包含表示所述控制装置的状态的状态信息。由此，异常检测电子控制单元能够确保对车辆的行为的安全性。另外，也可以为，所述指示信息包含用于使方向盘旋转的指示信息，所述状态信息包含与方向盘的旋转关联的状态信息。由此，异常检测电子控制单元能够确保对与车辆的行为关联的方向盘的安全性。另外，也可以为，所述指示信息包含用于使速度减慢的指示信息，所述状态信息包含与速度关联的状态信息。由此，异常检测电子控制单元能够确保对与车辆的行为关联的减速的安全性。另外，也可以为，所述指示信息包含用于使速度加快的指示信息，所述状态信息包含与速度关联的状态信息。由此，异常检测电子控制单元能够确保对与车辆的行为关联的加速的安全性。另外，也可以为，所述异常检测电子控制单元具有存储部，所述接收部将接收到的第1种消息和第2种消息各自的内容储存于所述存储部，所述判定部参照所述存储部来进行所述判定。由此，异常检测电子控制单元能够利用异常检测电子控制单元内的存储部，迅速地进行适当的判定。另外，也可以为，所述判定部在由所述接收部接收到第1种消息时，根据如下数据是否满足预定基准来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；以及由所述接收部最后接收到的第2种消息所包含的第1比较对象数据。由此，能够利用第1种消息的各监视对象数据的值与第2种消息的比较对象数据的值具有一定的关系这一情况，适当地判定关于第1种消息的异常。另外，也可以为，所述多个电子控制单元包括周期性地发送包含参照数据的第3种消息的电子控制单元，所述接收部还逐次接收第3种消息，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：在对该第1种消息的接收时由所述接收部最后接收到的第3种消息的内容；以及由所述接收部比所述最后接收到的第3种消息更早地接收到的第3种消息的内容。由此，除了监视对象数据以及比较对象数据涉及的相关性之外，还使用与第3种消息的参照数据的关系，因此，通过预先适当地确定第3种消息，能够更适当地判定关于第1种消息的异常。另外，也可以为，所述多个电子控制单元包括周期性地发送包含参照数据的第3种消息的电子控制单元，所述接收部还逐次接收第3种消息，所述判定部进一步基于如下内容来判定由所述接收部接收到的第2种消息是否正常：该第2种消息的内容；以及在对该第2种消息的接收时由所述接收部最后接收到的第3种消息的内容，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：该第1种消息的内容；以及在对该第1种消息的接收时由所述接收部最后接收到并被判定为正常的第2种消息的内容。由此，使用基于比较对象数据与参照数据的相关性判定为正常的比较对象数据来进行关于监视对象数据的判定，因此能够进行更准确的判定。另外，也可以为，所述网络系统搭载于车辆，所述监视对象数据以及所述比较对象数据是为了所述车辆的控制所使用的数据，所述通信路径是所述车辆中的有线通信路径，所述多个电子控制单元遵循控制器局域网络协议即can协议或者以太网(ethernet)(注册商标)协议进行消息的授受。由此，能够检测对车载网络的攻击，能够确保车辆的安全性。另外，也可以为，所述判定部在由所述接收部接收第1种消息中的监视对象数据而接收到该第1种消息的最末尾的比特位之前，判定该第1种消息是正常还是异常，所述发送部在第1种消息由所述判定部判定为异常的情况下，在由所述接收部接收到该第1种消息的最末尾的比特位之前，向所述通信路径发送使该第1种消息无效的预定消息。由此，能够防御网络系统受到在网络上流通不正常的消息的攻击。另外，也可以为，所述通信路径是网络总线，所述多个电子控制单元遵循控制器局域网络协议即can协议进行帧的授受，所述第1种消息是预定值包含于id域、监视对象数据包含于数据域的数据帧，所述第2种消息是与所述预定值不同的特定值包含于id域、比较对象数据包含于数据域的数据帧，所述发送部发送错误帧作为所述预定消息。由此，能够在车载网络中高效地使包含不正常的监视对象数据的数据帧无效。另外，也可以为，所述通信路径是网络总线，所述发送部在第1种消息由所述判定部判定为异常的情况下，向所述网络总线发送异常通知消息。由此，对其他电子控制单元通知异常。因此，收到异常通知的电子控制单元例如能够实施如抑制与正规的消息同样地处理不正规的消息等这样的安全对策。另外，本公开的一个技术方案涉及的车载网络系统，是具备经由通信路径进行通信的多个电子控制单元的车载网络系统，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述车载网络系统具备连接于所述通信路径的异常检测电子控制单元，所述异常检测电子控制单元具备接收部以及判定部，所述接收部从所述通信路径逐次接收第1种消息和第2种消息，所述判定部基于如下内容来判定由所述接收部接收到的第1种消息是正常还是异常：该第1种消息的内容；以及在对该第1种消息的接收时由所述接收部最后接收到的第2种消息的内容。由此，能够适当地判定由攻击者将监视对象数据设为不正常的内容并流通于网络的第1种消息是异常的。因此，该车载网络系统能够进行对攻击的适当防御。另外，也可以为，所述车载网络系统还具备通知装置，所述通知装置在第1种消息由所述判定部判定为异常的情况下，向位于搭载该车载网络系统的第1车辆的外部的服务器或者该第1车辆以外的第2车辆通知异常。由此，当在某一车辆的车载网络系统中检测到异常的情况下，能够直接或者经由服务器向其他车辆通知异常。因此，能够在其他车辆中对攻击进行高效的防御。另外，服务器能够接收异常通知并对一辆或者多辆的各车辆指示安全对策。另外，也可以为，所述通知装置第1种消息由所述判定部判定为异常的情况下，通过向与所述第1车辆为同一车型的所述第2车辆发送表示异常的信息来通知异常。另外，也可以为，所述通知装置在第1种消息由所述判定部判定为异常的情况下，通过向位于所述第1车辆周围的所述第2车辆发送表示异常的信息来通知异常。根据这些，能够防御由攻击者对同一车型的多个车辆的连续攻击、局部的对多个车辆的连续攻击等。本公开的一个技术方案涉及的异常检测方法，是具备经由通信路径进行通信的多个电子控制单元的网络系统中所使用的异常检测方法，所述多个电子控制单元包括周期性地发送包含监视对象数据的第1种消息的电子控制单元和周期性地发送包含比较对象数据的第2种消息的电子控制单元，所述异常检测方法包括：从所述通信路径逐次接收第1种消息和第2种消息，基于如下内容来判定所述接收到的第1种消息是正常还是异常，如上内容为该第1种消息的内容以及在对该第1种消息的接收时最后接收到的第2种消息的内容。由此，能够进行针对使包含不正常的监视对象数据的第1种消息流通于网络的攻击的适当防御。此外，这些总括性的或者具体的技术方案既可以通过系统、方法、集成电路、计算机程序或者计算机可读取的cd-rom等记录介质来实现，也可以通过系统、方法、集成电路、计算机程序以及记录介质的任意组合来实现。以下，参照附图，对使用实施方式涉及的异常检测方法的包括异常检测ecu的车载网络系统进行说明。在此所示的实施方式均表示本公开的一个具体例子。因此，在以下实施方式中表示的数值、构成要素、构成要素的配置和连接方式、以及作为处理的要素的步骤和步骤的顺序等仅为一例而并非限定本公开。关于以下的实施方式中的构成要素中的未记载在独立权利要求中的构成要素，是能够任意附加的构成要素。另外，各附图为示意图，不一定是严格图示。(实施方式1)以下，作为本公开的实施方式1，使用附图来说明异常检测系统10，异常检测系统10包括搭载能够进行关于流通于车载网络的消息的异常的检测的车载网络系统的车辆、其他车辆以及服务器。[1.1异常检测系统10的整体结构]图1是表示异常检测系统10的整体结构的图。异常检测系统10是用于检测并应对汽车即多个车辆各自的异常的通信系统。如图1所示，异常检测系统10通过用外部网络300将搭载车载网络系统100的车辆200、其他车辆500和服务器400连接来构成。异常检测系统10可以构成为除了车辆200以及车辆500以外例如还包括大量车辆，但在图1中进行了省略。车辆200中的车载网络系统100是车辆内的通信系统，用于作为车辆200的电子控制部件等的各ecu通过车载网络进行为了车辆控制等所需的信息的授受。车辆200以外的车辆也与车辆200同样地搭载有车载网络系统。外部网络300是由无线或者有线的通信路径构成的通信网，例如可以包括互联网等广域网。车辆200具备在发生异常的情况下向外部通知异常的通知装置。通知装置例如可以实现为外部通信装置。作为具体例子，车辆200在车载网络系统100中具备包括与外部网络300进行通信的无线通信电路等的外部通信装置，当在车载网络中发生异常的情况下，向服务器400或者车辆500发送表示异常的信息，由此通知异常。服务器400是处理各车辆中发生的异常的信息的计算机。服务器400例如在从车辆200接收到表示异常的信息的情况下，将车辆200中发生了异常例如通过向车辆500发送表示异常的信息等来通知给车辆500。在服务器400中，也可以在从车辆200接收到表示异常的信息的情况下，基于该信息进行各种分析等并决定对于异常的应对方法等。[1.2车载网络系统100的构成]图2表示车载网络系统100的构成。车载网络系统100是遵循can协议进行通信的通信系统的一例，是搭载有控制装置、传感器、致动器、用户接口装置等各种设备的车辆200中的通信系统。车载网络系统100具备经由总线(网络总线)进行帧(也称为消息)有关的通信的多个ecu，使用异常检测方法。具体而言，如图2所示，车载网络系统100构成为包括总线150和连接于总线150的异常检测ecu110、齿轮控制ecu120、速度控制ecu130以及作为一种ecu的外部通信装置140。总线150是车载网络的有线通信路径，与各ecu连接。此外，在车载网络系统100中，除了异常检测ecu110、齿轮控制ecu120、速度控制ecu130以及外部通信装置140以外，还可以包含若干个ecu，但在此为了方便而主要着眼于图2示出的ecu进行说明。各ecu例如是包括处理器(微处理器)、存储器等的数字电路、模拟电路、通信电路等的装置。存储器是rom、ram等，能够存储由处理器执行的程序(计算机程序)。例如处理器按照程序进行工作，由此ecu实现各种功能。此外，计算机程序是为了实现预定功能而组合多个表示对处理器的指令的命令码而构成的。ecu能够与各种设备连接。各ecu能够遵循can协议经由总线150进行帧的授受。在ecu之间授受的帧有数据帧。数据帧例如可以包含如与车辆的状态有关的数据、对车辆指示控制的数据等这样的为了车辆控制而使用的数据等。异常检测ecu110是如下ecu：连接于总线150，接收流通于车载网络的总线150上的第1种消息、第2种消息等，判定第1种消息是正常还是异常，基于判定的结果进行预定的处理。异常检测ecu110将接收到的第1种消息以及第2种消息用于第1种消息是正常还是异常的判定。第1种消息是被确定为包含监视对象数据的、具有预定辨识信息(id)的消息。另外，第2种消息是被确定为包含比较对象数据的、具有与第1种消息不同的辨识信息(id)的消息。齿轮控制ecu120例如连接于作为变速机构的齿轮，以一定的周期发送与挡位(gearposition：排挡位置)有关的齿轮控制信息。速度控制ecu130例如连接于速度传感器，以一定的周期发送与车辆的速度有关的速度控制信息。外部通信装置140与外部网络300连接，具有将表示异常的信息等这样的与车辆200有关的信息向车辆200外部发送的功能。[1.3异常检测ecu110的构成]图3表示异常检测ecu110的构成。如该图所示，异常检测ecu110构成为包括判定部111、接收部112、发送部113、规则存储部114以及数据存储部115。图3示出的异常检测ecu110的各构成要素能够通过异常检测ecu110的存储器等存储介质、通信电路、执行存储器所储存的程序的处理器等来实现。判定部111使用接收部112正在接收的数据帧、数据存储部115所保持并逐次更新的数据表(参照图12)中的数据、以及规则存储部114所保持的规则表所示的规则(参照图8～图11)来进行异常判定处理，由此，判定正在接收的数据帧是正常还是异常。判定部111在判定为正在接收的数据帧异常的情况下，进行后述的车辆保护处理(参照图23、图24)。判定部111例如能够通过执行程序的处理器等来实现。接收部112在由车载网络系统100内的各ecu发送而出现在总线150上的消息(也就是说数据帧)是根据规则表的信息而具有监视对象数据的判定所需的辨识信息(id)的消息时，接收该消息。另外，接收部112进行数据保存处理(参照图19)，该处理是以使接收到的消息的内容包含于数据存储部115保持的数据表的方式更新该数据表的处理。接收部112能够由通信电路等实现。发送部113在判定部111的控制下，根据判定部111的判定的结果进行发送。发送部113在判定部111将正在接收的数据帧判定为异常的情况下，例如将使该数据帧无效的预定消息发送到总线150，作为该数据帧的发送阻止处理。预定消息例如是错误帧。另外例如，发送部113在判定部111判定为异常的情况下，为了使外部通信装置140向服务器400或者其他车辆500通知车辆200中的异常的发生，将具有预先确定为外部通信装置140进行接收的辨识信息(id)并包含表示异常的信息的消息发送到总线150。发送部113能够由通信电路等实现。存储部也就是说规则存储部114以及数据存储部115例如通过存储介质的一个区域来实现。规则存储部114保持关于监视对象数据与比较对象数据的关系的规则表。数据存储部115存储数据表，数据表对应于由接收部112接收到的消息的辨识信息(id)而包含作为包括监视对象数据或者比较对象数据的消息的内容的数据。[1.4数据帧格式]以下，对在遵循can协议的网络中使用的数据帧进行说明。图4是表示由can协议规定的数据帧的格式的图。在该图中，表示了由can协议规定的标准id格式的数据帧。数据帧由sof(startofframe：帧起始)、id域、rtr(remotetransmissionrequest：远程传输请求)、ide(identifierextension：标识符扩展)、预留位“r”、dlc(datalengthcode：数据长度码)、数据域、crc(cyclicredundancycheck：循环冗余校验)序列、crc定界符“del”、ack(acknowledgement：应答)间隙(slot)、ack定界符“del”以及eof(endofframe：帧结束)的各个域构成。sof由1比特的显性构成。总线空闲的状态成为隐性，因sof而变更为显性的情况成为帧的发送开始的通知。id域是由11比特构成的、储存表示数据的种类的值即id的域。在多个节点同时开始发送的情况下，为了通过该id域进行通信仲裁，设计成使id小的值的帧具有高优先级。rtr是用于标识数据帧和远程帧的值，在数据帧中由1比特的显性构成。ide和“r”二者都由1比特的显性构成。dlc由4比特构成，是表示数据域的长度的值。数据域是表示最大由64比特构成的要发送的数据的内容的值。数据域能够按每8个比特来调整长度。关于所发送的数据的规格，没在can协议中规定，而是在车载网络系统中设定。因此，成为取决于车型、制造者等的规格。crc序列由15比特构成。crc序列根据sof、id域、控制域以及数据域的发送值来算出。crc定界符是由1比特的隐性构成的、表示crc序列的结束的分隔符号。ack间隙由1比特构成。发送节点将ack间隙设为隐性来进行发送。接收节点如果到crc序列为止都正常地完成了接收，则将ack间隙设为显性来发送。由于显性优先于隐性，因而只要在发送后ack间隙为显性，发送节点就能够确认某个接收节点成功地进行了接收。ack定界符是由1比特的隐性构成的、表示ack的结束的分隔符号。eof由7比特的隐性构成，表示数据帧的结束。[1.5错误帧格式]图5是表示由can协议规定的错误帧的格式的图。错误帧构成为包括错误标志(主(primary))、错误标志(次(secondary))和错误定界符“del”。错误标志(主)用于向其他节点通知错误的产生。检测到错误的节点为了向其他节点通知错误的产生而连续发送6比特的显性。该发送违反can协议的位填充(bitstuffing)规则(也就是说不连续地发送6比特以上的相同值的规则)，会引起来自其他节点的错误帧(次)的发送。错误标志(次)由为了向其他节点通知错误的产生而使用的连续的6比特的显性构成。接收到错误标志(主)而检测到违反了位填充规则的全部节点会发送错误标志(次)。错误定界符“del”是8比特的连续的隐性，表示错误帧的结束。[1.6速度控制ecu130发送的数据帧]图6是表示速度控制ecu130发送的包含速度控制信息的数据帧的一例的图。在本例中，包含速度控制信息的数据帧具有作为预定值“0x01”的id，dlc所示的数据长度为2。该数据帧的数据域中的数据表示速度控制信息。速度控制信息涉及的数据的第1个字节(byte)表示车辆200是在前进还是在后退，第2个字节表示车辆200的速度。图6a示出了作为具体例子的速度控制信息的数据值所表示的意思来作为数据的读取结果。速度控制信息涉及的数据的第1个字节是0x00、第2个字节不是0x00，则意味着“正在前进”，如果第2个字节是0x00则意味着“处于停车期间”，第1个字节是0x10、第2个字节不是0x00，则意味着“正在后退”。图6中例示出的数据帧的数据为第1个字节是0x10、第2个字节是0x12，因此，异常检测ecu110将该数据帧的速度控制信息读作“正在后退”。[1.7齿轮控制ecu120发送的数据帧]图7是表示齿轮控制ecu120发送的包含齿轮控制信息的数据帧的一例的图。在本例中，包含齿轮控制信息的数据帧具有与包含速度控制信息的数据帧不同的值“0x02”的id，dlc所示的数据长度为1。该数据帧的数据域中的数据表示齿轮控制信息。齿轮控制信息涉及的1个字节的数据表示与车辆200的变速机构相关的当前的挡位。图7a示出了作为具体例子的齿轮控制信息的数据值所表示的意思来作为数据的读取结果。齿轮控制信息涉及的数据如果为0x00，则意味着作为用于驻车的挡位的“停车挡”，如果为0x01，则意味着并非前进也并非后退的“空挡”，如果为0x02，则意味着作为用于车辆前进的挡位的“前进挡(驱动挡)”，如果为0x03，则意味着作为用于车辆后退的挡位的“倒车挡”。例如图7中例示出的数据帧的数据的值为0x01，因此，异常检测ecu110将该数据帧的齿轮控制信息读作“空挡”。[1.8规则表的规则]图8是表示规则存储部114保持的规则表中所规定的规则的概念的图。将车载网络的总线150上流通的、作为具有预定值的id的消息的第1种消息中的特定的位串即数据的值设为值a，将作为具有与预定值不同的特定值的id的消息的第2种消息中的特定的位串即数据的值设为值b，对规则进行说明。在第1种消息与第2种消息分别被周期性地逐次发送的情况下，根据时间的经过，对于出现在总线150上的各消息所示的值a和值b这两个值，如果在正常状态下保持一定规则地产生值的变化，则可用迁移图来表示该值的转变(参照图8中央上段)。在该迁移图的例子中，值a取0或1作为具体值，值b取0、1或2作为具体值。规则表例如用两个矩阵表示了该迁移图。在图8的例子中，表示在值a为0的情况下，值b在0、1以及2的范围内不论怎样变化都是正常的。另外，表示在值a为1的情况下，仅在值b为0不变时、为1不变时、从1变化成2时、为2不变时和从2变化成1时中的某一方时是正常的，其他时候是异常的。如此，规则表表示成为基准的规则，所述基准用于至少基于具有某个id的消息所示的值、具有另一id的消息所示的值、和具有任一方id的消息所示的过去的值之间的相关性，判定消息是正常还是异常。此外，在此表示了使用相互具有不同的id的两种消息的每一个中的一个值的规则的例子，但这不过是规则的一例，例如使用相同的消息内的多个值，也同样能够规定规则。[1.9规则表的具体例子]图9、图10、图11表示规则存储部114所保持的规则表的例子。在这些例子中，设为监视对象数据是齿轮控制信息、比较对象数据是速度控制信息。即，监视对象数据包含于第1种消息的数据域、也就是说在id域包含预定值(在图6的例子中为“0x01”)的数据帧的数据域。另外，比较对象数据包含于第2种消息的数据域、也就是说在id域包含与预定值不同的特定值(在图7的例子中为“0x02”)的数据帧的数据域。图9表示关于齿轮控制信息变化的规则表的一例。本例的规则表表示了关于分别与车辆处于停车期间的情况以及车辆正在前进的情况相对的齿轮控制信息的变化的规则。具体而言，在规则表中，对于齿轮控制信息的过去状态和当前状态的每个组合，规定了是正常还是异常，关于不可能产生的组合，在图9的例子中设为了不适用(n/a)，但能够视为异常。此外，图9所示的当前的排挡(gear)状态对应于齿轮控制信息的最新的值即当前值、也就是说在异常检测ecu110中最后接收到的第1种消息的齿轮控制信息所示的值。最后接收到的第1种消息的齿轮控制信息例如是异常检测ecu110当前正在接收的第1种消息所包含的齿轮控制信息。另外，图9所示的过去的排挡状态对应于齿轮控制信息的过去值、例如在包含齿轮控制信息的当前值的第1种消息之前一次接收到的第1种消息的齿轮控制信息所示的值。异常检测ecu110按照该规则表，能够判定包含齿轮控制信息的消息是正常还是异常。例如当在根据流通于总线150的第2种消息所包含的速度控制信息能够识别出车辆的动作是正在前进的状态下，周期性地发送的第1种消息所包含的齿轮控制信息从表示“前进挡”的状态变化成了表示“倒车挡”的状态的情况下，基于图9的例子的规则表，异常检测ecu110会将包含齿轮控制信息的消息判定为异常。图10表示关于速度控制信息的变化的规则表的一例。本例的规则表表示了关于分别与车辆的挡位变成“前进挡”的情况以及车辆的挡位变成“倒车挡”的情况相对的速度控制信息的变化的规则。具体而言，在规则表中，对于速度控制信息的过去状态和当前状态的每个组合，规定了是正常还是异常，关于不可能产生的组合，在图10的例子中设为了不适用(n/a)，但能够视为异常。此外，图10所示的当前的车辆的动作涉及的状态对应于速度控制信息的最新的值即当前值、也就是说在异常检测ecu110中最后接收到的第2种消息的速度控制信息所示的值。另外，图10所示的过去的车辆的动作涉及的状态对应于速度控制信息的过去值、例如在包含速度控制信息的当前值的第2种消息之前一次接收到的第2种消息的速度控制信息所示的值。异常检测ecu110按照该规则表，能够判定包含齿轮控制信息的消息是正常还是异常。例如在被发送到总线150的第1种消息所包含的齿轮控制信息是表示“前进挡”的状态的情况下，如果处于识别出周期性地流通于总线150的第2种消息所包含的速度控制信息的过去值为在停车期间而当前值为正在后退的状态，那么基于图10的例子的规则表，异常检测ecu110会将包含齿轮控制信息的消息判定为异常。图11示出了关于齿轮控制信息的变化以及速度控制信息的变化的规则表的一例。本例的规则表表示了关于分别与车辆从处于停车期间变化成正在前进的情况以及车辆从正在后退变化成处于停车期间的情况相对的齿轮控制信息的变化的规则。具体而言，在与速度控制信息的每个变化对应的规则表中，对于齿轮控制信息的过去状态与当前状态的每个组合，规定了是正常还是异常，关于不可能产生的组合，在图11的例子中设为了不适用(n/a)，但能够视为异常。此外，与图9的情况同样地，图11所示的当前的排挡状态对应于齿轮控制信息的当前值。另外，与图9的情况同样地，图11所示的过去的排挡状态对应于齿轮控制信息的过去值。异常检测ecu110按照该规则表，能够判定包含齿轮控制信息的消息是正常还是异常。例如当在根据周期性地流通于总线150的第2种消息所包含的速度控制信息能够识别出车辆的动作从处于停车期间变化成了正在前进的状态下，周期性地发送的第1种消息所包含的齿轮控制信息从表示“前进挡”的状态变化成了表示“倒车挡”的状态的情况下，基于图11的例子的规则表，异常检测ecu110会将包含齿轮控制信息的消息判定为异常。[1.10数据表]图12表示数据存储部115所保持的数据表的一例。数据表是将第1种消息的监视对象数据和第2种消息的比较对象数据的每一个例如按消息的接收顺序进行了记录的表。该数据表通过在异常检测ecu110中进行数据保存处理(参照图19)来逐次更新。图12的例子的数据表含有作为第1种消息的监视对象数据的、齿轮控制信息的当前值和过去值，并含有作为第2种消息的比较对象数据的、速度控制信息的当前值和过去值。[1.11异常判定处理中使用的数据]图13是表示异常检测ecu110进行的异常判定处理的模式的图。图13所示的三个模式的每一个在异常判定处理中使用的数据是不同的。在异常判定处理模式1中，使用监视对象数据的当前值和过去值、以及比较对象数据的当前值这样三个值，进行如下判定：即根据这三个值是否满足预定基准，包含监视对象数据的消息是正常还是异常的判定。在该判定中，例如使用如下预定基准：在比较对象数据是当前值的状态下，针对监视对象数据发生了特定的变化或者没有发生变化，预先规定为正常或者异常。在异常判定处理模式2中，使用监视对象数据的当前值、以及比较对象数据的当前值和过去值这样三个值，进行如下判定：即根据这三个值是否满足预定基准，包含监视对象数据的消息是正常还是异常的判定。在该判定中，例如使用如下预定基准：在比较对象数据从过去值变化成当前值的状态下，针对监视对象数据当前为特定的值这一情况，预先规定为正常或者异常。在异常判定处理模式3中，使用监视对象数据的当前值和过去值、以及比较对象数据的当前值和过去值这样四个值，进行如下判定：即根据这四个值是否满足预定基准，包含监视对象数据的消息是正常还是异常的判定。在该判定中，例如使用如下预定基准：在比较对象数据从过去值变化成当前值的状态下，针对监视对象数据发生了特定的变化或者没有发生变化，预先规定为正常或者异常。[1.12异常检测ecu等的处理时序]以下，使用图14～图17，对车载网络系统100中的异常检测ecu110的工作进行说明。图14表示在流通于总线150的消息没有异常的情况下的异常检测ecu110等的处理时序的一例。在此，设异常检测ecu110使用图9示出的规则表来进行异常判定处理。速度控制ecu130向总线150发送包含速度控制信息“0x00、0x23”的消息(步骤s1001)。接收到该消息的异常检测ecu110根据该消息的速度控制信息读取到“正在前进”并保存于数据表(步骤s1002)。齿轮控制ecu120向总线150发送包含齿轮控制信息“0x02”的消息(步骤s1003)。接收到该消息的异常检测ecu110根据该消息的齿轮控制信息读取到“前进挡”并保存于数据表(步骤s1004)。接着，速度控制ecu130向总线150发送包含速度控制信息“0x00、0x00”的消息(步骤s1005)。接收到该消息的异常检测ecu110根据该消息的速度控制信息读取到“处于停车期间”并保存于数据表(步骤s1006)。另外，齿轮控制ecu120向总线150发送包含齿轮控制信息“0x03”的消息(步骤s1007)。接收到该消息的异常检测ecu110根据该消息的齿轮控制信息读取到“倒车挡”并保存于数据表(步骤s1008)。然后，异常检测ecu110对作为监视对象数据的齿轮控制信息的当前值“倒车挡”、作为监视对象数据的齿轮控制信息的过去值“前进挡”、作为比较对象数据的速度控制信息的当前值“处于停车期间”这三者，使用图9所示的规则表，判定为正常(步骤s1009)。图15表示在不正常的消息流通于总线150的情况下的异常检测ecu110等的处理时序的一例。在此，设异常检测ecu110使用图9示出的规则表来进行异常判定处理模式1涉及的异常判定处理。此外，不正常的消息例如能够在攻击者支配齿轮控制ecu120的状态下从齿轮控制ecu120进行发送。另外，攻击者例如能够使齿轮控制ecu120对正规消息的发送停止并取而代之发送不正常的消息。速度控制ecu130向总线150发送包含速度控制信息“0x00、0x23”的消息(步骤s2001)。接收到该消息的异常检测ecu110根据该消息的速度控制信息读取到“正在前进”并保存于数据表(步骤s2002)。齿轮控制ecu120向总线150发送包含齿轮控制信息“0x02”的消息(步骤s2003)。接收到该消息的异常检测ecu110根据该消息的齿轮控制信息读取到“前进挡”并保存于数据表(步骤s2004)。接着，速度控制ecu130向总线150发送包含速度控制信息“0x00、0x49”的消息(步骤s2005)。接收到该消息的异常检测ecu110根据该消息的速度控制信息读取到“正在前进”并保存于数据表(步骤s2006)。另外，齿轮控制ecu120向总线150发送包含齿轮控制信息“0x03”的消息(步骤s2007)。接收到该消息的异常检测ecu110根据该消息的齿轮控制信息读取到“倒车挡”并保存于数据表(步骤s2008)。然后，异常检测ecu110对作为监视对象数据的齿轮控制信息的当前值“倒车挡”、作为监视对象数据的齿轮控制信息的过去值“前进挡”、作为比较对象数据的速度控制信息的当前值“正在前进”这三者，使用图9所示的规则表，判定为异常(步骤s2009)。该判定例如在包含该监视对象数据的消息即数据帧的接收过程中在从总线150接收最末尾的比特位之前完成。接下来，由于判定为异常，因此作为车辆保护处理，异常检测ecu110进行包含作为监视对象数据的齿轮控制信息的消息的发送阻止处理(步骤s2010)。作为包含监视对象数据的消息的发送阻止处理，异常检测ecu110例如在包含该监视对象数据的消息即数据帧的接收过程中在从总线150接收最末尾的比特位之前，将错误帧发送到总线150。由于该错误帧，接收过程中的数据帧在总线150上被覆盖而变为无效，连接于总线150的各ecu无法完全地接收该原始的数据帧。另外，作为车辆保护处理，异常检测ecu110进而指示外部通信装置140进行向服务器400发送表示异常的信息的异常通知发送处理(步骤s2011)。该指示例如通过对总线150发送异常通知消息来进行，所述异常通知消息是具有预先确定为外部通信装置140进行接收的id并包含表示异常的信息的数据帧。图16表示在不正常的消息流通于总线150的情况下的异常检测ecu110等的处理时序的另一例。在此，设异常检测ecu110使用图10示出的规则表来进行异常判定处理模式2涉及的异常判定处理。速度控制ecu130向总线150发送包含速度控制信息“0x00、0x00”的消息(步骤s3001)。接收到该消息的异常检测ecu110根据该消息的速度控制信息读取到“处于停车期间”并保存于数据表(步骤s3002)。齿轮控制ecu120向总线150发送包含齿轮控制信息“0x02”的消息(步骤s3003)。接收到该消息的异常检测ecu110根据该消息的齿轮控制信息读取到“前进挡”并保存于数据表(步骤s3004)。接着，速度控制ecu130向总线150发送包含速度控制信息“0x10、0x45”的消息(步骤s3005)。接收到该消息的异常检测ecu110根据该消息的速度控制信息读取到“正在后退”并保存于数据表(步骤s3006)。另外，齿轮控制ecu120向总线150发送包含齿轮控制信息“0x02”的消息(步骤s3007)。接收到该消息的异常检测ecu110根据该消息的齿轮控制信息读取到“前进挡”并保存于数据表(步骤s3008)。然后，异常检测ecu110对作为监视对象数据的齿轮控制信息的当前值“前进挡”、作为比较对象数据的速度控制信息的当前值“正在后退”、作为比较对象数据的速度控制信息的过去值“处于停车期间”这三者，使用图10所示的规则表，判定为异常(步骤s3009)。接下来，由于判定为异常，因此作为车辆保护处理，异常检测ecu110进行包含作为监视对象数据的齿轮控制信息的消息的发送阻止处理(步骤s3010)。异常检测ecu110例如在包含该监视对象数据的消息即数据帧的接收过程中，作为发送阻止处理，将错误帧发送到总线150。另外，作为车辆保护处理，异常检测ecu110进而指示外部通信装置140进行向服务器400发送表示异常的信息的异常通知发送处理(步骤s3011)。图17表示在不正常的消息流通于总线150的情况下的异常检测ecu110等的处理时序的又一例。在此，设异常检测ecu110使用图11示出的规则表来进行异常判定处理模式3涉及的异常判定处理。速度控制ecu130向总线150发送包含速度控制信息“0x00、0x00”的消息(步骤s4001)。接收到该消息的异常检测ecu110根据该消息的速度控制信息读取到“处于停车期间”并保存于数据表(步骤s4002)。齿轮控制ecu120向总线150发送包含齿轮控制信息“0x02”的消息(步骤s4003)。接收到该消息的异常检测ecu110根据该消息的齿轮控制信息读取到“前进挡”并保存于数据表(步骤s4004)。接着，速度控制ecu130向总线150发送包含速度控制信息“0x00、0x45”的消息(步骤s4005)。接收到该消息的异常检测ecu110根据该消息的速度控制信息读取到“正在前进”并保存于数据表(步骤s4006)。另外，齿轮控制ecu120向总线150发送包含齿轮控制信息“0x03”的消息(步骤s4007)。接收到该消息的异常检测ecu110根据该消息的齿轮控制信息读取到“倒车挡”并保存于数据表(步骤s4008)。然后，异常检测ecu110对作为监视对象数据的齿轮控制信息的当前值“倒车挡”、作为监视对象数据的齿轮控制信息的过去值“前进挡”、作为比较对象数据的速度控制信息的当前值“正在前进”、作为比较对象数据的速度控制信息的过去值“处于停车期间”这四者，使用图11所示的规则表，判定为异常(步骤s4009)。接下来，由于判定为异常，因此作为车辆保护处理，异常检测ecu110进行包含作为监视对象数据的齿轮控制信息的消息的发送阻止处理(步骤s4010)。异常检测ecu110例如在包含该监视对象数据的消息即数据帧的接收过程中，作为发送阻止处理，将错误帧发送到总线150。另外，作为车辆保护处理，异常检测ecu110进而指示外部通信装置140进行向其他车辆500发送表示异常的信息的异常通知发送处理(步骤s4011)。由此，外部通信装置140向车辆500发送表示异常的信息。而且，车辆500在接收到表示异常的信息时，例如通过头单元进行警告通知，所述头单元是对仪表板等进行控制的一种ecu(步骤s4012)。在步骤s4012中，头单元例如对设置于仪表板的显示器的显示等进行控制，将该显示器的显示内容切换成用于向驾驶员通知异常的警告通知用显示。[1.13异常检测ecu中的处理]图18是表示由异常检测ecu110执行的处理的一例的流程图。以下，结合该图来对异常检测ecu110的工作进行说明。异常检测ecu110对流通于总线150的消息即数据帧的id域为止进行接收并确认id(步骤s100)。接着，异常检测ecu110判断确认了的id是否是预先规定为表示由规则存储部114保持的规则表中所示的监视对象数据或者比较对象数据的种类的id(步骤s110)，在判断是否定的情况下，将该接收过程中的数据帧废弃，并结束处理。当在步骤s110中判断是肯定的情况下，异常检测ecu110对总线150上所出现的数据帧的数据域为止进行接收(步骤s120)。在步骤s120中，不一定需要等到接收到数据域的全部比特位为止，也可以在接收到为了进行基于规则表的判定所需的比特位的值为止的时间点接着进行下面的处理。接着，异常检测ecu110通过数据保存处理(参照图19)，将正在接收的数据帧的数据域所示的信息记录到数据表中(步骤s130)。接下来，异常检测ecu110参照由规则存储部114保持的规则表，判断正在接收的消息是否是包含监视对象数据的数据帧(步骤s140)。而且，如果是包含监视对象数据的数据帧，则进行异常判定处理(参照图20～图22)，判定该正在接收的数据帧是正常的还是异常的(步骤s150)。异常检测ecu110在步骤s140中判断为不是包含监视对象数据的数据帧的情况下，结束处理。在步骤s150中的判定后，异常检测ecu110判断异常判定处理中的判定的结果是正常还是异常(步骤s160)，且仅在是异常的情况下，进行车辆保护处理(参照图23、图24)(步骤s170)。[1.14异常检测ecu110中的数据保存处理]图19是表示异常检测ecu110中的数据保存处理的一例的流程图。以下，结合该图来说明数据保存处理。异常检测ecu110将正在接收的数据帧的数据域所示的信息作为与该数据帧的id对应的、数据表的数据进行保存(步骤s121)。接着，异常检测ecu110判断作为在步骤s121中对信息进行了保存的结果，数据表的数据数量是否达到了一定数量以上(步骤s122)，且仅在达到了一定数量以上的情况下，将最旧的数据删除(步骤s123)。该一定数量例如是考虑到在异常判定处理中判定所用的数据而预先确定的数量，例如在保存当前值和一个过去值的情况下，一定数量成为3。[1.15异常检测ecu110中的异常判定处理]图20、图21、图22是表示异常检测ecu110中的异常判定处理的流程图，分别表示异常判定处理模式1涉及的异常判定处理、异常判定处理模式2涉及的异常判定处理、异常判定处理模式3涉及的异常判定处理。在由图20所示的异常判定处理模式1涉及的异常判定处理中，使用监视对象数据的当前值和过去值、以及比较对象数据的当前值这样三个值进行判定。此外，在图9的规则表中，与监视对象数据对应的比较对象数据仅为速度控制信息，但也可以存在多个比较对象数据。例如也可以将包含参照数据的第3种消息(也就是说具有与第1种消息以及第2种消息不同的id的数据帧)中的该参照数据当作第2个比较对象数据来处理。在图20中，表示了可以存在多个比较对象数据的情况下对应的异常判定处理的例子。以下，结合图20来说明异常判定处理模式1涉及的异常判定处理。首先，异常检测ecu110判断数据存储部115内的数据表中是否存在监视对象数据的过去值(步骤s141)。如果数据表中不存在监视对象数据的过去值，则异常检测ecu110结束异常判定处理。当数据表中存在监视对象数据的过去值的情况下，异常检测ecu110在数据表当中选择未判定的比较对象数据(步骤s142)。而且，异常检测ecu110为了判定比较对象数据为当前值也就是说最新的状态下的监视对象数据的变化，参照图9示出的规则表(步骤s143)。接着，异常检测ecu110基于规则表，判定监视对象数据的变化是否正常(步骤s144)，在判定是否定的情况下，判定为包含监视对象数据的数据帧异常，结束异常判定处理(步骤s147)。在步骤s144中，判断为监视对象数据的变化正常的情况下，异常检测ecu110判断是否对所有比较对象数据进行了步骤s144中的判定(步骤s145)。在尚未对所有比较对象数据进行判定的情况下，异常检测ecu110返回到步骤s142中的选择比较对象数据的处理。另外，在对所有比较对象数据进行了判定的情况下，异常检测ecu110判定为包含监视对象数据的数据帧正常，结束异常判定处理(步骤s146)。在由图21所示的异常判定处理模式2涉及的异常判定处理中，使用监视对象数据的当前值、以及比较对象数据的当前值和过去值这样三个值进行判定。此外，在图10的规则表中，与监视对象数据对应的比较对象数据仅为速度控制信息，但也可以存在多个比较对象数据。例如也可以将与总线150连接的某一个ecu周期性地发送的包含参照数据的第3种消息中的该参照数据当作第2个比较对象数据来处理。在图21中，表示了可以存在多个比较对象数据的情况下对应的异常判定处理的例子。以下，结合图21来说明异常判定处理模式2涉及的异常判定处理。此外，在该异常判定处理模式2涉及的异常判定处理中，对于与在图20中示出的异常判定处理模式1涉及的异常判定处理同样的处理步骤，在图21中也赋予相同的标号，并在此适当省略说明。首先，异常检测ecu110选择未判定的比较对象数据(步骤s142)。接着，异常检测ecu110判断数据表中是否存在比较对象数据的过去值(步骤s241)。如果数据表中不存在比较对象数据的过去值，则异常检测ecu110移至步骤s145中的判断。在步骤s241中，判断为数据表中存在比较对象数据的过去值的情况下，异常检测ecu110参照与接收到的监视对象数据对应的图10示出的规则表(步骤s242)。接着，异常检测ecu110基于规则表，判定比较对象数据的变化是否正常(步骤s243)，在判定是否定的情况下，判定为包含监视对象数据的数据帧异常，结束异常判定处理(步骤s147)。在步骤s243中，判断为比较对象数据的变化正常的情况下，异常检测ecu110判断是否对所有比较对象数据进行了步骤s243中的判定(步骤s145)。在尚未对所有比较对象数据进行判定的情况下，异常检测ecu110返回到步骤s142中的选择比较对象数据的处理。另外，在对所有比较对象数据进行了判定的情况下，异常检测ecu110判定为包含监视对象数据的数据帧正常，结束异常判定处理(步骤s146)。在由图22所示的异常判定处理模式3涉及的异常判定处理中，使用监视对象数据的当前值和过去值、以及比较对象数据的当前值和过去值这样四个值进行判定。此外，在图11的规则表中，与监视对象数据对应的比较对象数据仅为速度控制信息，但也可以存在多个比较对象数据。例如也可以将包含参照数据的第3种消息中的该参照数据当作第2个比较对象数据来处理。在图22中，表示了可以存在多个比较对象数据的情况下对应的异常判定处理的例子。以下，结合图22来说明异常判定处理模式3涉及的异常判定处理。此外，在该异常判定处理模式3涉及的异常判定处理中，对于与图20或者图21中示出的异常判定处理同样的处理步骤，在图22中也赋予相同的标号，并在此适当省略说明。首先，异常检测ecu110判断数据表中是否存在监视对象数据的过去值(步骤s141)。如果数据表中不存在监视对象数据的过去值，则异常检测ecu110结束异常判定处理。当数据表中存在监视对象数据的过去值的情况下，异常检测ecu110在数据表当中选择未判定的比较对象数据(步骤s142)。接着，异常检测ecu110判断数据表中是否存在比较对象数据的过去值(步骤s241)。如果数据表中不存在比较对象数据的过去值，则异常检测ecu110移至步骤s145中的判断。在步骤s241中，判断为数据表中存在比较对象数据的过去值的情况下，异常检测ecu110参照与比较对象数据的从过去值向当前值的变化、也就是说最新的比较对象数据的变化对应的图11示出的规则表(步骤s341)。接着，异常检测ecu110基于规则表，判定监视对象数据的变化是否正常(步骤s144)，在判定是否定的情况下，判定为包含监视对象数据的数据帧异常，结束异常判定处理(步骤s147)。在步骤s144中，判断为监视对象数据的变化正常的情况下，异常检测ecu110判断是否对所有比较对象数据进行了步骤s144中的判定(步骤s145)。在尚未对所有比较对象数据进行判定的情况下，异常检测ecu110返回到步骤s142中的选择比较对象数据的处理。另外，在对所有比较对象数据进行了判定的情况下，异常检测ecu110判定为包含监视对象数据的数据帧正常，结束异常判定处理(步骤s146)。[1.16异常检测ecu110中的车辆保护处理]图23以及图24分别表示由异常检测ecu110进行的车辆保护处理的例子。在图23的例子中，表示车辆保护处理通过阻止当前正在接收的消息的发送来确保车辆200的安全的例子。在本例中，异常检测ecu110发送使正在从总线150接收的包含监视对象数据的消息无效的预定消息(步骤s171)。具体而言，预定消息是错误帧。在图24的例子中，表示车辆保护处理使用外部通信装置140将车辆200中产生了异常通知给服务器400的例子。在本例中，异常检测ecu110指示外部通信装置140，由此，从外部通信装置140经由外部网络300将异常的发生通知给服务器400(步骤s172)。在步骤s172中，外部通信装置140也可以通过车辆间通信向位于车辆200周围的其他车辆发送表示异常的信息。外部通信装置140也可以使表示异常的信息包含关于车辆200的车辆辨识号码(vin：vehicleidentificationnumber，车架号)、底盘号码等而发送给服务器400。服务器400也可以从车辆200接收通知，并对其他车辆进行表示异常的信息的发送。服务器400例如也可以基于从车辆200通知的车辆辨识号码、底盘号码等，通过参照将它们与车型相关联的列表信息等，从而确定与车辆200为同一车型的车辆，并对该同一车型的车辆进行表示异常的信息的发送。此外，车型相同的车辆彼此例如为车载网络的构成大致相同。另外，同一车型的车辆例如是底盘号码中的类型(型号)(也就是说车辆类型)相同的车辆，或者例如是车辆辨识号码中的从开头到序列号之前为止的位数的值相同的车辆。另外，也可以为外部通信装置140对与车辆200为同一车型的车辆发送表示异常的信息。通过这些异常通知，可以使得在车辆200以外的车辆中也能够回避危险等。车辆保护处理既可以是将图23以及图24示出的各处理组合得到的处理，也可以是除此以外的处理。此外，车辆200可以具备通知装置，该通知装置在通过异常检测ecu110中的异常判定处理判定为发生了与消息相关的异常的情况下，向位于车辆200外部的服务器400、车辆500等通知异常。该车辆200中的通知装置的一例是外部通信装置140，但通知装置不限于具有通信功能的装置，也可以是通过发出光、声音等来引起周围的车辆注意的警报装置(例如进行紧急闪烁显示灯的点亮控制的装置、进行鸣响警笛的控制的装置等)。[1.17接收到异常的通知的车辆500中的警告通知]图25是表示车辆500的头单元中的警告通知的一例的图。在由车辆200的异常检测ecu110进行了对同一车型发送表示异常的信息作为车辆保护处理的情况下，车辆500直接或者经由服务器400来接收该信息。而且，车辆500利用头单元，例如将如图25所示的警告通知用显示显示在显示器中来作为警告通知。在图25的例子中，由于在与车辆500为相同车型的车辆中发生了异常因此建议驾驶员迅速停车的消息作为警告通知用显示而显示在显示器中。由此，能够将相对于对相同车型的攻击的损害防患于未然。此外，头单元中的警告通知除了警告通知用显示的向显示器的显示之外还可以用语音输出等其他方法来进行。[1.18实施方式1的效果]在本实施方式涉及的车载网络系统100中，即使攻击者以与从连接于车载网络的正规ecu发送的周期同样的周期发送了不正常的消息，也能够基于接收到的监视对象数据、比较对象数据的最新值即当前值、以及监视对象数据的过去值和比较对象数据的过去值中的至少一个来判定出消息异常。而且，车载网络系统100能够根据该判定结果来应对攻击。另外，在由包含车载网络系统100的多个车辆以及服务器构成的异常检测系统10中，通过车辆间的对异常的发生的通知，能够抑制攻击的影响。(实施方式2)接着，作为本公开的实施方式2，使用附图对如下异常检测系统进行说明，该异常检测系统包括搭载能够进行关于流通于车载网络的消息的异常的检测的车载网络系统的车辆、其他车辆以及服务器。[2.1异常检测系统的整体结构]关于本公开的实施方式2中的异常检测系统的构成，由于与在实施方式1中说明的异常检测系统10的构成是同样的，因而在此省略其说明。[2.2车载网络系统2600的构成]图26表示车载网络系统2600的构成。车载网络系统2600是遵循can协议进行通信的通信系统的一例，是搭载有控制装置、传感器、致动器、用户接口装置等各种设备的车辆200中的通信系统。车载网络系统2600具备经由总线(网络总线)进行帧(也称为消息)有关的通信的多个ecu，使用异常检测方法。具体而言，如图26所示，车载网络系统2600构成为包括总线2605和连接于总线2605的异常检测ecu2601、方向盘控制指示ecu2602、方向盘控制ecu2603以及作为一种ecu的外部通信装置2604。总线2605是车载网络的有线通信路径，与各ecu连接。此外，在车载网络系统2600中，除了异常检测ecu2601、方向盘控制指示ecu2602、方向盘控制ecu2603以及外部通信装置2604以外，还可以包含若干个ecu，但在此为了方便而主要着眼于图26示出的ecu进行说明。各ecu例如是包括处理器(微处理器)、存储器等的数字电路、模拟电路、通信电路等的装置。存储器是rom、ram等，能够存储由处理器执行的程序(计算机程序)。例如处理器按照程序进行工作，由此ecu实现各种功能。此外，计算机程序是为了实现预定功能而组合多个表示对处理器的指令的命令码而构成的。ecu能够与各种设备连接。各ecu能够遵循can协议经由总线2605进行帧的授受。在ecu之间授受的帧有数据帧。数据帧例如可以包含如与车辆的状态有关的数据、对车辆指示控制的数据等这样的为了车辆控制而使用的数据等。异常检测ecu2601是如下ecu：连接于总线2605，接收流通于车载网络的总线2605上的第1种消息、第2种消息等，判定第1种消息是正常还是异常，基于判定的结果进行预定的处理。异常检测ecu2601将接收到的第2种消息用于第1种消息是正常还是异常的判定。第1种消息是被确定为包含监视对象数据的、具有预定辨识信息(id)的消息。另外，第2种消息是被确定为包含比较对象数据的、具有与第1种消息不同的辨识信息(id)的消息。方向盘控制指示ecu2602例如在实现驻车辅助功能和/或车道保持功能等的伴随方向盘操作的高级驾驶员辅助系统(adas：advanceddriverassistancesystem)的情况下，以一定的周期发送与控制方向盘的指示(例如使方向盘旋转的角度等)有关的方向盘控制指示信息。方向盘控制ecu2603例如连接于方向盘，接收方向盘控制指示ecu2602所发送的方向盘控制指示信息，基于接收到的方向盘控制指示信息来控制方向盘，并且以一定的周期发送与方向盘的当前状态(例如方向盘旋转了多少度等)有关的方向盘状态信息。外部通信装置2604与外部网络300连接，具有将表示异常的信息等这样的与车辆200有关的信息向车辆200外部发送的功能。[2.3异常检测ecu2601的构成]图27表示异常检测ecu2601的构成。如该图所示，异常检测ecu2601构成为包括判定部2701、接收部2702、发送部2703、规则存储部2704以及数据存储部2705。图27示出的异常检测ecu2601的各构成要素能够通过异常检测ecu2601的存储器等存储介质、通信电路、执行存储器所储存的程序的处理器等来实现。判定部2701使用接收部2702正在接收的数据帧、数据存储部2705所保持并逐次更新的数据表中的数据(参照图34)、以及规则存储部2704所保持的规则表所示的规则(参照图33)来进行异常判定处理，由此，判定正在接收的数据帧是正常还是异常。判定部2701在判定为正在接收的数据帧异常的情况下，进行后述的车辆保护处理(参照图40、图41)。判定部2701例如能够通过执行程序的处理器等来实现。接收部2702在由车载网络系统2600内的各ecu发送而出现在总线2605上的消息(也就是说数据帧)是根据规则表的信息而具有监视对象数据的判定所需的辨识信息(id)的消息时，接收该消息。另外，接收部2702进行数据保存处理(参照图38)，该处理是以使接收到的消息的内容包含于数据存储部2705保持的数据表的方式更新该数据表的处理。接收部2702能够由通信电路等实现。发送部2703在判定部2701的控制下，根据判定部2701的判定的结果进行发送。发送部2703在判定部2701将正在接收的数据帧判定为异常的情况下，例如将使该数据帧无效的预定消息发送到总线2605，作为该数据帧的发送阻止处理。预定消息例如是错误帧。另外例如，发送部2703在判定部2701判定为异常的情况下，为了使外部通信装置2604向服务器400或者其他车辆500通知车辆200中的异常的发生，将具有预先确定为外部通信装置2604进行接收的辨识信息(id)并包含表示异常的信息的消息发送到总线2605。发送部2703能够由通信电路等实现。存储部也就是说规则存储部2704以及数据存储部2705例如通过存储介质的一个区域来实现。规则存储部2704保持关于监视对象数据与比较对象数据的关系的规则表。数据存储部2705存储数据表，数据表对应于由接收部2702接收到的消息的辨识信息(id)而包含作为包括监视对象数据或者比较对象数据的消息的内容的数据。[2.4数据帧格式]关于在遵循can协议的网络中使用的数据帧，与实施方式1是同样的，因而在此省略其说明。[2.5错误帧格式]关于由can协议规定的错误帧的格式，与实施方式1是同样的，因而在此省略其说明。[2.6方向盘控制指示ecu2602发送的数据帧]图28是表示方向盘控制指示ecu2602发送的包含方向盘控制指示信息的数据帧的一例的图。在本例中，包含方向盘控制指示信息的数据帧具有作为预定值“0x10”的id，dlc所示的数据长度为3。该数据帧的数据域中的数据表示方向盘控制指示信息。方向盘控制指示信息涉及的数据的第1个字节表示该方向盘控制指示有效还是无效，第2个字节到第3个字节表示方向盘的转向指示角(使方向盘旋转的角度的指示)。图29示出了作为具体例子的方向盘控制指示信息的数据值所表示的意思来作为数据的读取结果。在方向盘控制指示信息涉及的数据的第1个字节为0x01的情况下，意味着该方向盘控制指示信息有效，在为0x01以外的情况下，意味着该方向盘控制指示无效。在此，方向盘控制指示信息“有效”意味着，接收到该方向盘控制指示信息的方向盘控制ecu2603按照该方向盘控制指示信息来控制方向盘，“无效”意味着，方向盘控制ecu2603不按照该方向盘控制指示信息控制方向盘。再者，方向盘控制指示信息涉及的数据的第2个字节到第3个字节表示转向指示角。所谓转向指示角，表示使方向盘成为倾斜多少度的状态(换言之是使方向盘旋转到多少度)，在转向指示角为“向右方向45度”的情况下，意味着使方向盘转动到向右方向旋转了45度的状态，在“向左方向45度”的情况下，意味着使方向盘转动到向左方向旋转了45度的状态。在此，作为基准，将车辆在直行时的方向盘的角度设为0度。图29所例示的数据帧的数据为第1个字节是0x01、第2个字节到第3个字节是0x02、0xfd，因此，接收到该方向盘控制指示信息的异常检测ecu2601以及方向盘控制ecu2603将该数据帧的方向盘控制指示信息读作“控制指示有效”且“使方向盘向右方向旋转到45度”。在此，第2个字节到第3个字节所示的转向指示角为，将16进制记法转换成10进制记法，该转换出的值与“720”的差量成为使方向盘旋转时的目标角度。例如在转换出的值大于“720”的情况下意味着右方向的旋转，在小于的情况下意味着左方向的旋转。另外，转换出的值与“720”的差量值表示成为目标的方向盘角度。具体而言，在转换出的值为“765”的情况下，意味着使方向盘向右方向旋转到成为45度，在转换出的值为“675”的情况下，意味着使方向盘向左方向旋转到成为45度。[2.7方向盘控制ecu2603发送的数据帧]图30是表示方向盘控制ecu2603发送的包含方向盘状态信息的数据帧的一例的图。在本例中，包含方向盘状态信息的数据帧具有与包含方向盘控制指示信息的数据帧不同的值“0x20”的id，dlc所示的数据长度为2。该数据帧的数据域中的数据表示方向盘状态信息。方向盘状态信息涉及的数据的第1个字节到第2个字节表示方向盘的转向状态角(当前方向盘倾斜了多少度的状态)。图31示出了作为具体例子的方向盘状态信息的数据值所表示的意思来作为数据的读取结果。方向盘状态信息涉及的数据的第1个字节到第2个字节表示转向状态角。所谓转向状态角，表示当前的方向盘的旋转角(方向盘倾斜了多少度的状态)，在转向状态角为“向右方向40度”的情况下，意味着当前的方向盘的状态为向右方向倾斜了40度的状态，在为“向左方向40度”的情况下，意味着当前的方向盘的状态为向左方向倾斜了40度的状态。在此，作为基准，将车辆在直行时的方向盘的角度设为0度。图31所例示的数据帧的数据为第1个字节到第2个字节是0x02、0xf8，因此接收该方向盘状态信息的异常检测ecu2601、方向盘控制指示ecu2602将该数据帧的方向盘状态信息读作“当前的方向盘为向右方向倾斜了40度的状态”。在此，第1个字节到第2个字节所示的转向状态角为，将16进制记法转换成10进制记法，该转换出的值与“720”的差量成为当前的方向盘的倾斜程度。例如在转换出的值大于“720”的情况下意味着向右方向倾斜着，在小于的情况下意味着向左方向倾斜着。另外，该差量值表示方向盘倾斜着的角度。具体而言，在转换出的值为“760”的情况下，意味着当前的方向盘向右方向倾斜了40度，在转换出的值为“680”的情况下，意味着当前的方向盘向左方向倾斜了40度。[2.8规则表的规则]图32是表示规则存储部2704保持的规则表中所规定的规则的概念的图。将车载网络的总线2605上流通的、作为具有预定值的id的消息的第3种消息中的特定的位串即数据的值设为值c，将作为具有与预定值不同的特定值的id的消息的第4种消息中的特定的位串即数据的值设为值d，对规则进行说明。在第3种消息与第4种消息分别被周期性地逐次发送的情况下，根据时间的经过，对于出现在总线2605上的各消息所示的值c和值d这两个值，如果在正常状态下遵照一定规则产生值的变化，则将该值的差量值规定为规则。在此，将第3种消息的值c设为监视对象数据，将第4种消息的值d设为比较对象数据。在判定第3种消息是否正常的情况下，算出第3种消息所包含的监视对象数据(值c)与第4种消息所包含的比较对象数据(值d)的差量值，判定算出的差量值是否在预先确定的一定范围内，由此，判定第3种消息是否正常。[2.9规则表的具体例子]图33表示规则存储部2704保持的规则表的例子。在本例中，设为监视对象数据是方向盘控制指示信息、比较对象数据是方向盘状态信息。即，监视对象数据包含于方向盘控制指示信息的数据域、也就是说在id域包含预定值(在图33的例子中为“0x10”)的数据帧的数据域。另外，比较对象数据包含于方向盘状态信息的数据域、也就是说在id域包含与预定值不同的特定值(在图33的例子中为“0x20”)的数据帧的数据域。另外，此处的规则将“监视对象数据与比较对象数据的值的差量值在30以内的情况”设为正常。作为具体例子，表示异常检测ecu2601在接收到图28所示的方向盘控制指示信息和图30所示的方向盘状态信息的情况下的异常判定处理的一例。异常检测ecu2601接收到方向盘控制指示信息(图28)时，使用最后接收到的方向盘状态信息(图30)，进行该方向盘控制指示信息是否正常的判定。图28的例子中的监视对象数据为“0x02、0xfd”(用10进制记法为765)，图30的例子中的比较对象数据为“0x02、0xf8”(用10进制记法为760)，其差量值为“5”。由此，方向盘控制指示信息与方向盘状态信息的差量在由规则规定的“30”以内，异常检测ecu2601将接收到的方向盘控制指示信息判定为是正常的。[2.10数据表]图34表示数据存储部2705保持的数据表的一例。数据表是将第3种消息的监视对象数据和第4种消息的比较对象数据的每一个例如按消息的接收顺序进行了记录的表。该数据表通过在异常检测ecu2601中进行数据保存处理(参照图38)来逐次更新。图34的例子的数据表含有作为第3种消息的监视对象数据的、方向盘控制指示信息(id＝0x10)的当前值和过去值，并含有作为第4种消息的比较对象数据的、方向盘状态信息(id＝0x20)的当前值和过去值。[2.11异常检测ecu等的处理时序]以下，使用图35、图36，对车载网络系统2600中的异常检测ecu2601的工作进行说明。图35表示在流通于总线2605的消息没有异常的情况下的异常检测ecu2601等的处理时序的一例。在此，设异常检测ecu2601使用图33示出的规则表来进行异常判定处理。方向盘控制ecu2603向总线2605发送包含方向盘状态信息“0x02、0xf8”的消息(步骤s3501)。接收到该消息的异常检测ecu2601根据该消息的方向盘状态信息读取到“转向状态角”并保存于数据表(步骤s3502)。方向盘控制指示ecu2602向总线2605发送包含方向盘控制指示信息“0x01、0x02、0xfd”的消息(步骤s3503)。接收到该消息的异常检测ecu2601根据该消息的方向盘控制指示信息读取到“转向指示角”并保存于数据表(步骤s3504)。然后，异常检测ecu2601对作为监视对象数据的方向盘控制指示信息的当前值“转向指示角”、作为比较对象数据的方向盘状态信息的过去值“转向状态角”这二者，使用图33所示的规则表，判定为正常(步骤s3505)。在此，过去值指的是离当前最近的过去的值。换言之，在定期地接收值的情况下，在当前值为第m次接收时的值的情况下，过去值为第m-1次接收时的值。图36表示在不正常的消息流通于总线2605的情况下的异常检测ecu2601等的处理时序的一例。在此，设异常检测ecu2601使用图33示出的规则表来进行异常判定处理。此外，不正常的消息例如能够在攻击者支配方向盘控制指示ecu2602的状态下从方向盘控制指示ecu2602进行发送。另外，攻击者例如能够使方向盘控制指示ecu2602对正规消息的发送停止并取而代之发送不正常的消息。方向盘控制ecu2603向总线2605发送包含方向盘状态信息“0x02、0xf8”的消息(步骤s3601)。接收到该消息的异常检测ecu2601根据该消息的方向盘状态信息读取到“转向状态角”并保存于数据表(步骤s3602)。方向盘控制指示ecu2602向总线2605发送包含方向盘控制指示信息“0x01、0x03、0x20”的消息(步骤s3603)。接收到该消息的异常检测ecu2601根据该消息的方向盘控制指示信息读取到“转向指示角”并保存于数据表(步骤s3604)。然后，异常检测ecu2601对作为监视对象数据的方向盘控制指示信息的当前值“转向指示角”、作为比较对象数据的方向盘状态信息的过去值“转向状态角”这二者，使用图33所示的规则表，判定为异常(步骤s3605)。该判定例如在包含该监视对象数据的消息即数据帧的接收过程中在从总线2605接收最末尾的比特位之前完成。接下来，由于判定为异常，因此作为车辆保护处理，异常检测ecu2601进行包含作为监视对象数据的方向盘控制指示信息的消息的发送阻止处理(步骤s3606)。作为包含监视对象数据的消息的发送阻止处理，异常检测ecu2601例如在包含该监视对象数据的消息即数据帧的接收过程中在从总线2605接收最末尾的比特位之前，将错误帧发送到总线2605。由于该错误帧，接收过程中的数据帧在总线2605上被覆盖而变为无效，连接于总线2605的各ecu无法完全地接收该原始的数据帧。另外，作为车辆保护处理，异常检测ecu2601进而指示外部通信装置2604进行向服务器400发送表示异常的信息的异常通知发送处理(步骤s3607)。该指示例如通过对总线2605发送异常通知消息来进行，所述异常通知消息是具有预先确定为外部通信装置2604进行接收的id并包含表示异常的信息的数据帧。[2.12异常检测ecu中的处理]图37是表示由异常检测ecu2601执行的处理的一例的流程图。以下，结合该图来对异常检测ecu2601的工作进行说明。异常检测ecu2601对流通于总线2605的消息即数据帧的id域为止进行接收并确认id(步骤s3701)。接着，异常检测ecu2601判断确认了的id是否是预先规定为表示由规则存储部2704保持的规则表中所示的监视对象数据或者比较对象数据的种类的id(步骤s3702)，在判断是否定的情况下，将该接收过程中的数据帧废弃，并结束处理。当在步骤s3702中判断是肯定的情况下，异常检测ecu2601对总线2605上所出现的数据帧的数据域为止进行接收(步骤s3703)。在步骤s3703中，不一定需要等到接收到数据域的全部比特位为止，也可以在接收到为了进行基于规则表的判定所需的比特位的值为止的时间点接着进行下面的处理。接着，异常检测ecu2601通过数据保存处理(参照图38)，将正在接收的数据帧的数据域所示的信息记录到数据表中(步骤s3704)。接下来，异常检测ecu2601参照由规则存储部2704保持的规则表，判断正在接收的消息是否是包含监视对象数据的数据帧(步骤s3705)。而且，如果是包含监视对象数据的数据帧，则进行异常判定处理(参照图39)，判定该正在接收的数据帧是正常的还是异常的(步骤s3706)。异常检测ecu2601在步骤s3705中判断为不是包含监视对象数据的数据帧的情况下，结束处理。在步骤s3706中的判定后，异常检测ecu2601判断异常判定处理中的判定的结果是正常还是异常(步骤s3707)，且仅在是异常的情况下，进行车辆保护处理(参照图40、图41)(步骤s3708)。[2.13异常检测ecu2601中的数据保存处理]图38是表示异常检测ecu2601中的数据保存处理的一例的流程图。以下，结合该图来说明数据保存处理。异常检测ecu2601将正在接收的数据帧的数据域所示的信息作为与该数据帧的id对应的、数据表的数据进行保存(步骤s3801)。接着，异常检测ecu2601判断作为在步骤s3801中对信息进行了保存的结果，数据表的数据数量是否达到了一定数量以上(步骤s3802)，且仅在达到了一定数量以上的情况下，将最旧的数据删除(步骤s3803)。该一定数量例如是考虑到在异常判定处理中判定所用的数据而预先确定的数量，例如在保存当前值和两个过去值的情况下，一定数量成为4。[2.14异常检测ecu2601中的异常判定处理]图39是表示异常检测ecu2601中的异常判定处理的流程图。以下，结合该图来说明异常判定处理。在由图39所示的异常判定处理中，使用监视对象数据的当前值以及比较对象数据的过去值这样两个值进行判定。此外，在图33的规则表中，与监视对象数据对应的比较对象数据仅为方向盘状态信息，但也可以存在多个比较对象数据。例如也可以将包含参照数据的第5种消息(也就是说具有与第3种消息以及第4种消息不同的id的数据帧)中的该参照数据当作第2个比较对象数据来处理。在图39中，表示了可以存在多个比较对象数据的情况下对应的异常判定处理的例子。首先，异常检测ecu2601从数据存储部2705中的数据表中选择未判定的比较对象数据(步骤s3901)。而且，异常检测ecu2601从规则存储部2704中的规则表中读入(加载)与监视对象数据对应的规则表(图33示出的规则表)(步骤s3902)。接着，异常检测ecu2601基于规则表，判定监视对象数据的变化(与比较对象数据之间的差量值)是否正常(步骤s3903)，在判定是否定的情况下，判定为包含监视对象数据的数据帧异常，结束异常判定处理(步骤s3906)。在步骤s3903中，判断为监视对象数据的变化正常的情况下，异常检测ecu2601判断是否对所有比较对象数据进行了步骤s3903中的判定(步骤s3904)。在尚未对所有比较对象数据进行判定的情况下，异常检测ecu2601返回到步骤s3901中的选择比较对象数据的处理。另外，在对所有比较对象数据进行了判定的情况下，异常检测ecu2601判定为包含监视对象数据的数据帧正常，结束异常判定处理(步骤s3905)。[2.15异常检测ecu2601中的车辆保护处理]图40以及图41分别表示由异常检测ecu2601进行的车辆保护处理的例子。在图40的例子中，表示车辆保护处理通过阻止当前正在接收的消息的发送来确保车辆200的安全的例子。在本例中，异常检测ecu2601发送使正在从总线2605接收的包含监视对象数据的消息无效的预定消息(步骤s4001)。具体而言，预定消息是错误帧。在图41的例子中，表示车辆保护处理使用外部通信装置2604将车辆200中产生了异常通知给服务器400的例子。在本例中，异常检测ecu2601指示外部通信装置2604，由此，从外部通信装置2604经由外部网络300将异常的发生通知给服务器400(步骤s4101)。在步骤s4101中，外部通信装置2604也可以通过车辆间通信向位于车辆200周围的其他车辆发送表示异常的信息。外部通信装置2604也可以使表示异常的信息包含关于车辆200的车辆辨识号码(vin：vehicleidentificationnumber)、底盘号码等而发送给服务器400。服务器400也可以从车辆200接收通知，并对其他车辆进行表示异常的信息的发送。服务器400例如也可以基于从车辆200通知的车辆辨识号码、底盘号码等，通过参照将它们与车型相关联的列表信息等，从而确定与车辆200为同一车型的车辆，并对该同一车型的车辆进行表示异常的信息的发送。此外，车型相同的车辆彼此例如为车载网络的构成大致相同。另外，同一车型的车辆例如是底盘号码中的类型(也就是说车辆类型)相同的车辆，或者例如是车辆辨识号码中的从开头到序列号之前为止的位数的值相同的车辆。另外，也可以为外部通信装置2604对与车辆200为同一车型的车辆发送表示异常的信息。通过这些异常通知，可以使得在车辆200以外的车辆中也能够回避危险等。车辆保护处理既可以是将图40以及图41示出的各处理组合得到的处理，也可以是除此之外的处理。此外，车辆200可以具备通知装置，该通知装置在通过异常检测ecu2601中的异常判定处理判定为发生了与消息相关的异常的情况下，向位于车辆200外部的服务器400、车辆500等通知异常。该车辆200中的通知装置的一例是外部通信装置2604，但通知装置不限于具有通信功能的装置，也可以是通过发出光、声音等来引起周围的车辆注意的警报装置(例如进行紧急闪烁显示灯的点亮控制的装置、进行鸣响警笛的控制的装置等)。[2.16接收到异常的通知的车辆500中的警告通知]关于车辆500的头单元中的警告通知，与实施方式1是同样的，因而在此省略其说明。[2.17实施方式2的效果]在本实施方式涉及的车载网络系统2600中，即使攻击者以与从连接于车载网络的正规ecu发送的周期同样的周期发送了不正常的消息，也能够基于接收到的监视对象数据的当前值和比较对象数据的过去值来判定消息是否正常。而且，车载网络系统2600能够根据该判定结果来应对攻击。另外，在由包含车载网络系统2600的多个车辆以及服务器构成的异常检测系统10中，通过车辆间的对异常的发生的通知，能够抑制攻击的影响。(其他实施方式)如上所述，作为本公开涉及的技术的例示，说明了实施方式1。然而，本公开涉及的技术不限定于此，也能够适用于适当进行了变更、替换、附加、省略等的实施方式。例如，如下的变形例也包含在本公开的一个实施方式中。(1)在上述实施方式中，将判定部111(2701)、规则存储部114(2704)以及数据存储部115(2705)作为与用于多个ecu进行帧的授受的总线150(2605)连接的异常检测ecu110(2601)的构成要素进行了说明，但也可以作为其他的一个或者多个ecu的构成要素。上述的异常检测ecu110(2601)只要是在车载网络系统中连接于总线的ecu，无需是异常检测专用的ecu，也可以一并具有不同于异常检测以及应对的功能。另外，例如也可以使异常检测ecu110(2601)中的一个以上的构成要素移到其他ecu。不论哪个ecu进行异常检测ecu110(2601)中的异常判定处理、车辆保护处理等都可以。例如也可以为，接收数据帧并根据该数据帧的内容进行车辆的控制的ecu等具有与上述的异常检测ecu110(2601)同样的构成要素。另外，例如也可以使在由多条总线构成了车载网络的情况下的进行总线间的数据帧的转发的网关ecu包含异常检测ecu110(2601)的构成要素。由于网关ecu能够监视各总线的状态，因此这是有用的。在该包含异常检测ecu110(2601)的构成的网关ecu中，为了抑制车辆受到判定为异常的数据帧不正常地控制，除了利用错误帧使该异常的数据帧无效之外，还能够进行抑制判定为异常的数据帧的在总线间的转发等的处理。另外，也可以将上述异常检测ecu110(2601)的构成要素作为进行私钥管理的密钥管理主ecu的构成要素来包含。(2)在上述实施方式中，以标准id格式记述了can协议中的数据帧，但也可以是扩展id格式，作为数据帧的辨识信息的id也可以是扩展id格式下的扩展id等。(3)在上述实施方式中，表示了异常检测ecu110(2601)在数据表中保持接收到的数据的历史记录并将当前值和过去值用于异常判定处理中的判定的例子，但也可以保持更多的历史记录并用于判定。另外，也可以考虑预先确定的数据帧的发送周期，插补没有进行接收的时间的数据并保持在数据表等中。(4)在上述实施方式中，表示了数据存储部115(2705)将数据域的值作为接收到的数据帧的内容进行保持的例子，但也可以保持从数据域的内容中提取出的多个值，还可以进一步保持如接收时刻的其他信息。(5)在上述实施方式中，作为在异常判定处理中用于判定的规则，表示了与齿轮控制信息和速度控制信息的关系、也就是说挡位和车速的相关性有关的规则，但挡位、车速等不过是一例。判定所使用的规则也可以是规定由传感器获得的数据、和如表示控制指示的数据的其他任意的数据间的相关性作为判定基准的规则。监视对象数据或者比较对象数据除了车速、挡位等之外，例如还可以是车轮的旋转速度、偏航率(yawrate)、加速度、转向角、加速踏板开度、制动等级、发动机的转速、马达的转速、点火开关的状态、方向盘(转向盘)的转向转矩、前方障碍物的有无、后方障碍物的有无、到前方障碍物的距离、到后方障碍物的距离、左右车道标记的识别状态、到左右车道标记的距离等。另外，例如监视对象数据或者比较对象数据不限于表示车辆状态的数据，也可以是表示车辆的控制用的参数等的数据。例如在车辆具有作为高级驾驶员辅助系统(adas：advanceddriverassistancesystem)的一个功能的驻车辅助功能、且异常检测ecu110进行以驻车辅助功能为对象的异常检测的情况下，也可以将自动转向的消息内的数据作为监视对象数据，将车速、挡位等的数据作为比较对象数据。另外，在上述实施方式中，表示了如下例子：作为异常判定处理，异常检测ecu110基于在时间上具有前后关系地从总线150上接收到的同一种类的多个数据的变化等、与其他种类的数据的值的相关性，进行判定。除此之外，异常检测ecu110也可以进一步基于不同的种类的数据彼此的相关性，判定包含一个种类的数据的消息是否异常。在后退驻车时进行自动转向的驻车辅助功能中，由于安全方面的原因等而对进行自动转向时的后退速度设有上限。因此，例如异常检测ecu110能够在接收到的数据所示的车速超过了上限速度、接收到的数据所示的挡位并非“倒车挡”等情况下，当接收到包含自动转向的控制指示的数据的消息时，将该消息判定为异常。另外例如，在异常检测ecu110以作为adas的一个功能的车道维持辅助功能为对象进行异常检测的情况下，也可以将自动转向的控制指示涉及的消息内的数据作为监视对象数据，将表示车速、车辆左右的车道标记的识别状态、到左右的车道标记的距离等的数据作为比较对象数据。进行自动转向以使车辆不脱离车道的车道维持辅助功能由于安全方面的原因等而对进行自动转向时的前进速度设有下限。因此，例如异常检测ecu110能够在接收到的数据所示的车速没有达到下限速度、没能识别在掌握车辆行驶的车道方面所需的左右车道标记、车辆对于左右的车道标记均没有接近一定距离内等情况下，当接收到自动转向的消息时，将该消息判定为异常。另外例如，在异常检测ecu110以作为adas的一个功能的碰撞回避辅助功能涉及的自动紧急刹车为对象进行异常检测的情况下，也可以将自动制动的控制指示涉及的消息内的数据作为监视对象数据，将表示车速、障碍物的有无、到障碍物的距离等的数据作为比较对象数据。进行自动制动以使得回避与障碍物的碰撞或者缓和碰撞的影响的自动紧急刹车由于安全方面的原因等而对进行自动制动时的车速设有上限和/或下限。因此，例如异常检测ecu110能够在接收到的数据所示的车速没有落入上限到下限的范围内、不存在作为要回避或者缓和的碰撞的对象的障碍物、障碍物没有接近一定距离内等情况下，当接收到自动制动的消息时，将该消息判定为异常。另外例如，在异常检测ecu110以作为adas的一个功能的自动追踪行驶功能为对象进行异常检测的情况下，也可以将自动加减速的控制指示涉及的消息内的数据作为监视对象数据，将当前车速、目标车速、先行车辆(前车)的有无、到先行车辆的距离等作为比较对象数据。进行自动加减速以使得在以目标速度为上限的范围内保持与先行车辆的距离的自动追踪行驶功能由于安全方面的原因等而对进行自动加减速时的前进速度设有下限。因此，例如异常检测ecu110能够在如下等情况下将自动加减速涉及的消息判定为异常：当在接收到的数据所示的当前车速没有达到下限速度的状态下接收到指示自动加速或者自动减速的消息的情况下；当在不存在要追踪的先行车辆并且当前车速没有达到目标车速的状态下接收到指示自动减速的消息的情况下；当在到先行车辆的距离超过一定距离而远离并且当前车速没有达到目标车速的状态下接收到指示自动减速的消息的情况下；当在当前车速达到了目标车速的状态下接收到指示自动加速的消息的情况下；当在先行车辆于一定距离内接近了的状态下接收到指示自动加速的消息的情况下。(6)在上述实施方式中，表示了异常检测ecu110基于监视对象数据与比较对象数据的相关性来判定包含监视对象数据的消息是正常还是异常的例子，但也可以连锁地进行判定。例如异常检测ecu110也可以判定包含在监视对象数据涉及的消息的判定中使用的比较对象数据的消息是正常还是异常。例如在上述实施方式中，异常检测ecu110以速度控制信息是正确的为前提，判定了包含齿轮控制信息的消息是否异常，但考虑也存在速度控制信息不正确的可能性。于是，异常检测ecu110例如也可以基于速度控制信息与混合动力车中的驱动方式的信息的相关性，例如在由马达驱动着的状态下，判定为包含车速变化成时速50千米的速度控制信息的消息异常。另外，异常检测ecu110也可以进一步例如利用电池余量的减少量等来判定驱动方式的信息是否不正确。例如当在车载网络系统100中包括周期性地发送第3种消息的ecu的情况下，异常检测ecu110也可以如下进行变形，所述第3种消息包含与第1种消息所包含的监视对象数据以及第2种消息所包含的比较对象数据不同的种类的参照数据。接收部112还逐次接收第3种消息。判定部111进一步基于如下内容来判别由接收部112接收到的第2种消息是否正常：该第2种消息的内容；在该第2种消息的接收时由接收部112最后接收到的第3种消息的内容；以及由接收部112比该第2种消息更早地接收到的第2种消息的内容、和由接收部112比该最后接收到的第3种消息更早地接收到的第3种消息的内容中的某一个内容，判定部111基于如下内容来判定由接收部112接收到的第1种消息是正常还是异常：该第1种消息的内容；在该第1种消息的接收时由接收部112最后接收到并被判别为正常的第2种消息的内容；以及由接收部112比该第1种消息更早地接收到的第1种消息的内容、和由接收部112比该最后接收到并被判别为正常的第2种消息更早地接收到并被判别为正常的第2种消息的内容中的某一内容。如此进行基于作为第3种消息的内容的参照数据来判别在监视对象数据的判定中所使用的比较对象数据是正常还是异常等连锁的判定，能够进一步提高抵抗攻击的能力。因此，变得假若没有掌握各种数据间的相关性进行攻击则攻击不会成功，能够使攻击成本增加。另外例如，在由上述变形例(5)示出的异常检测ecu110以驻车辅助功能为对象进行异常检测的例子中，在进行用于后退驻车的自动转向之前，要停车，挡位向“倒车挡”改变，车辆在不超过上限速度的范围内后退。因此，也可以将车速等速度控制信息、挡位等齿轮控制信息、自动转向的控制指示等这样的各种消息内的数据的某一个在各自的时候当作监视对象数据和比较对象数据来处理，并判定是否按顺序满足在车辆处于停车期间挡位向“倒车挡”改变、在挡位为“倒车挡”的状态下车辆变为后退、车辆在后退期间不超过上限速度等，在没有按顺序满足的情况下，判定为自动转向涉及的消息异常。同样地，对于由上述变形例(5)示出的车道维持辅助功能、自动紧急刹车、自动追踪行驶功能的每一个，也都可以对在各自的自动控制进行之前必然产生的事象的时序，判定是否按顺序满足，在没有按顺序满足的情况下，将自动控制的消息判定为异常。(7)在上述实施方式中，异常检测ecu110的判定部111基于规则表来进行消息是正常还是异常的判定，但规则表不过是用于该判定的基准的一例，判定部111只要根据是否满足预先确定的预定基准来进行该判定即可。预定基准例如规定关于在时间上具有前后关系所接收到的包含同一种类的数据的多个消息各自的数据、和包括包含与该消息为不同种类的数据的消息的数据的数据组的相关性的条件。例如也可以为，判定部111在由接收部112接收到第1种消息时，根据如下数据是否满足预先确定的预定基准a来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由接收部112最后接收到的第2种消息所包含的第1比较对象数据；以及由接收部112在该第1种消息的前一次接收到的第1种消息所包含的第2监视对象数据。另外，例如也可以为，判定部111在由接收部112接收到第1种消息时，根据如下数据是否满足预先确定的预定基准b来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由接收部112最后接收到的第2种消息所包含的第1比较对象数据；以及由接收部112在最后的前一次接收到的第2种消息所包含的第2比较对象数据。另外，例如也可以为，判定部111在由接收部112接收到第1种消息时，根据如下数据是否满足预先确定的预定基准c来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由接收部112最后接收到的第2种消息所包含的第1比较对象数据；由接收部112在该第1种消息的前一次接收到的第1种消息所包含的第2监视对象数据；以及由接收部112在最后的前一次接收到的第2种消息所包含的第2比较对象数据。另外，判定部111也可以除了第2种消息之外还利用周期性地发送的第3种消息来进行包含监视对象数据的消息是正常还是异常的判定。例如判定部111进而也可以除了是否满足上述的预定基准a～c中的某一个之外，还基于如下内容来判定由接收部112接收到的第1种消息是正常还是异常：在该第1种消息的接收时由接收部112最后接收到的第3种消息的内容；以及由接收部112比该最后接收到的第3种消息更早地接收到的第3种消息的内容。(8)在上述实施方式中，表示了判定部111基于监视对象数据的当前值、比较对象数据的当前值、以及监视对象数据的前一次接收到的过去值和比较对象数据的前一次接收到的过去值中的至少一个来进行判定的例子，但也可以取代前一次接收到的过去值，而使用更早接收到的数据的值来进行判定。例如也可以为，判定部111在由接收部112接收到第1种消息时，根据如下数据是否满足预先确定的预定基准d来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由接收部112最后接收到的第2种消息所包含的第1比较对象数据；以及由接收部112在该第1种消息的接收之前最后接收到的包含与第1监视对象数据不同的值的第2监视对象数据的第1种消息中的该第2监视对象数据。另外，例如也可以为，判定部111在由接收部112接收到第1种消息时，根据如下数据是否满足预定基准e来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由接收部112最后接收到的第2种消息所包含的第1比较对象数据；以及由接收部112在该最后接收到的第2种消息的接收之前最后接收到的包含与第1比较对象数据不同的值的第2比较对象数据的第2种消息中的该第2比较对象数据。另外，例如也可以为，判定部111在由接收部112接收到第1种消息时，根据如下数据是否满足预定基准f来判定该第1种消息是正常还是异常：该第1种消息所包含的第1监视对象数据；由接收部112最后接收到的第2种消息所包含的第1比较对象数据；由接收部112在该第1种消息的接收之前最后接收到的包含与该第1监视对象数据不同的值的第2监视对象数据的第1种消息中的该第2监视对象数据；以及由接收部112在该最后接收到的第2种消息的接收之前最后接收到的包含与该第1比较对象数据不同的值的第2比较对象数据的第2种消息中的该第2比较对象数据。(9)在上述实施方式中，表示了异常检测ecu搭载于车辆且包含于进行用于车辆控制的通信的车载网络系统的例子，但也可以包含于用于车辆以外的控制对象的控制的网络系统。车辆以外的控制对象例如为机器人、航空器、船舶、机器等。(10)在上述实施方式中，在车载网络中遵循can协议进行数据帧的传输，但can协议可以作为包含在自动化系统中的嵌入系统等中使用的canopen、或ttcan(time-triggeredcan：时间触发can)、canfd(canwithflexibledatarate：灵活的数据速率)等派生的协议在内的广义的含义来对待。另外，车载网络也可以使用can协议以外的协议。作为进行包含与车辆的状态有关的信息的消息、对车辆指示控制的消息等的传输的车载网络的协议，例如也可以使用lin(localinterconnectnetwork：局域互联网)、most(注册商标)(mediaorientedsystemstransport)、flexray(注册商标)、ethernet(注册商标)等。另外，也可以将使用这些协议的网络作为子网络，组合多种协议涉及的子网络来构成车载网络。另外，ethernet(注册商标)协议可以作为包含ieee802.1涉及的ethernet(注册商标)avb(audiovideobridging：音视频桥接)或ieee802.1涉及的ethernet(注册商标)tsn(timesensitivenetworking：时间敏感网络)、ethernet(注册商标)/ip(industrialprotocol：工业协议)、ethercat(注册商标)(ethernet(注册商标)forcontrolautomationtechnology)等派生协议在内的广义的含义来对待。此外，车载网络的通信路径可以是由网络总线或其它电线、光纤等构成的有线通信路径，也可以是其它通信路径。(11)上述实施方式中示出的ecu等各装置也可以除了存储器、处理器等之外还具备硬盘单元、显示器单元、键盘、鼠标等。另外，外部通信装置140(2604)也可以是如下装置：不与总线150(2605)连接，而是通过通信路径与异常检测ecu110(2601)相连接，具备存储器、处理器、通信电路等。另外，上述实施方式中示出的ecu等各装置既可以由处理器执行存储于存储器的程序以软件方式来实现其各装置的功能，也可以不使用程序而通过专用的硬件(数字电路等)来实现其功能。另外，该各装置内的各构成要素的功能分担可以变更。另外，异常检测ecu110(2601)中的判定部111(2701)、接收部112(2702)、发送部113(2703)以及存储部(规则存储部114(2704)和数据存储部115(2705))分别能够例如实现为如判定电路、接收电路、发送电路、存储电路这样的集成电路。(12)构成上述实施方式中的各装置的构成要素的一部分或者全部也可以由1个系统lsi(largescaleintegration：大规模集成电路)构成。系统lsi是将多个结构部分集成在1个芯片上而制造出的超多功能lsi，具体而言，是构成为包括微处理器、rom、ram等的计算机系统。所述ram中记录有计算机程序。所述微处理器按照所述计算机程序进行工作，由此系统lsi达成其功能。另外，构成上述各装置的构成要素的各部既可以单独地单芯片化，也可以以包含一部分或全部的方式单芯片化。另外，虽然此处设为lsi，但根据集成度不同，也可以称为ic、lsi、超大lsi(superlsi)、特大lsi(ultralsi)。另外，集成电路化的方法不限于lsi，也可以通过专用电路或者通用处理器实现。也可以在lsi制造后利用可编程的fpga(fieldprogrammablegatearray：现场可编程门阵列)、可以对lsi内部的电路单元的连接和/或设定进行重构的可重构处理器(reconfigurableprocessor)。进而，随着半导体技术的进步或者派生的其他技术的出现，如果出现能够替代lsi的集成电路化的技术，当然也可以利用该技术进行功能块的集成化。也可能会存在适用生物技术等的可能性。(13)构成上述各装置的构成要素的一部分或全部也可以由能够装卸于各装置的ic卡或单体模块构成。所述ic卡或所述模块是由微处理器、rom、ram等构成的计算机系统。所述ic卡或所述模块也可以包括上述的超多功能lsi。微处理器按照计算机程序进行工作，由此所述ic卡或所述模块实现其功能。该ic卡或该模块可以具有防篡改性能。(14)作为本公开的一个技术方案，例如也可以是包括图14～图24(图35～图41)等所示的处理步骤的全部或者一部分的异常检测方法。例如，异常检测方法是具备经由车载网络的通信路径进行通信的多个ecu的车载网络系统中所使用的异常检测方法，所述多个ecu包括周期性地发送包含监视对象数据的第1种消息的ecu和周期性地发送包含比较对象数据的第2种消息的ecu，所述异常检测方法包括接收步骤、判定步骤以及发送步骤，在所述接收步骤中，从车载网络的通信路径逐次接收第1种消息和第2种消息(例如步骤s100、s120(s3701、s3703))，在所述判定步骤中，基于如下内容来判定通过接收步骤接收到的第1种消息是正常还是异常：该第1种消息的内容；在该第1种消息的接收时通过接收步骤最后接收到的第2种消息的内容；以及通过接收步骤比该第1种消息更早地接收到的第1种消息的内容、和通过接收步骤比该最后接收到的第2种消息更早地接收到的第2种消息的内容中的某一内容(例如步骤s150(s3706))，在所述发送步骤中，根据判定步骤的判定的结果来进行发送(例如步骤s171、s172(s4001、s4101))。在发送步骤中，例如可以进行对错误帧的发送、对表示异常的信息的向车外的发送等。另外，作为本公开的一个技术方案，也可以是通过计算机实现该方法的程序(计算机程序)，还可以是由所述计算机程序形成的数字信号。另外，作为本公开的一个技术方案，也可以将所述计算机程序或者所述数字信号记录于计算机可读取的记录介质例如软盘、硬盘、cd-rom、mo、dvd、dvd-rom、dvd-ram、bd(blu-ray(注册商标)disc)、半导体存储器等。另外，也可以是记录在这些记录介质中的所述数字信号。另外，作为本公开的一个技术方案，也可以将所述计算机程序或所述数字信号经由电通信线路、无线或有线通信线路、以互联网为代表的网络、数据广播等进行传输。另外，作为本公开的一个技术方案，也可以是具备微处理器和存储器的计算机系统，所述存储器记录有上述计算机程序，所述微处理器按照所述计算机程序进行工作。另外，也可以通过将所述程序或所述数字信号记录在所述记录介质中转移、或经由所述网络等将所述程序或所述数字信号进行转移，由此通过独立的其他的计算机系统来实施。(15)在上述实施方式中，将包含监视对象数据的信息设为方向盘控制指示信息，并将包含比较对象数据的信息设为方向盘状态信息进行了说明，但本公开不限定于该构成。也可以将包含监视对象数据的信息设为利用脚制动器(脚刹)和/或发动机制动器等使车辆的速度减慢的减速控制指示信息，将包含比较对象数据的信息设为车速信息、车轮的旋转速度信息、制动踏板的踩踏状况、发动机的转速和/或马达的转速等表示与车辆的速度关联的状态的信息。再者，也可以将包含监视对象数据的信息设为利用加速器等时车辆的速度加快的加速控制指示信息，将包含比较对象数据的信息设为车速信息、车轮的旋转速度信息、加速踏板的开度、发动机的转速和/或马达的转速等表示与车辆的速度关联的状态的信息。另外，当在车载网络系统100中包括周期性地发送第3种消息的ecu的情况下，异常检测ecu2601也可以如下进行变形，所述第3种消息包含与第1种消息所包含的监视对象数据以及第2种消息所包含的比较对象数据不同的种类的参照数据。接收部2702还逐次接收第3种消息。也可以为，判定部2701进一步基于如下内容来判定由接收部2702接收到的第2种消息是否正常：该第2种消息的内容；在该第2种消息的接收时由接收部2702最后接收到的第3种消息的内容；以及由接收部2702比该第2种消息更早地接收到的第2种消息的内容、和由接收部2702比该最后接收到的第3种消息更早地接收到的第3种消息的内容中的某一内容，判定部2701基于如下内容来判定由接收部2702接收到的第1种消息是正常还是异常：该第1种消息的内容；在该第1种消息的接收时由接收部2702最后接收到并被判定为正常的第2种消息的内容；以及由接收部2702比该第1种消息更早地接收到的第1种消息的内容、和由接收部2702比该最后接收到并被判定为正常的第2种消息更早地接收到并被判定为正常的第2种消息的内容中的某一内容。如此进行基于作为第3种消息的内容的参照数据来判定在监视对象数据的判定中所使用的比较对象数据是正常还是异常等连锁的判定，能够进一步提高抵抗攻击的能力。因此，变得假若没有掌握各种数据间的相关性进行攻击，则攻击不会成功，能够使攻击成本增加。(16)通过将上述实施方式及上述变形例中示出的各构成要素以及功能任意地进行组合而实现的方式也包含在本公开的范围内。产业上的可利用性本公开能够利用于包括车载网络的车载网络系统。标号说明10异常检测系统；100、2600车载网络系统；110、2601异常检测ecu；111、2701判定部；112、2702接收部；113、2703发送部；114、2704规则存储部；115、2705数据存储部；120齿轮控制ecu；130速度控制ecu；140、2604外部通信装置；150、2605总线；200、500车辆；300外部网络；400服务器；2602方向盘控制指示ecu；2603方向盘控制ecu。当前第1页12当前第1页12