▶ ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツングの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公表特許公報(A)
(11)【公表番号】
(43)【公表日】2022-12-26
(54)【発明の名称】コンピューティングデバイスの動作方法及び動作装置
(51)【国際特許分類】
G06F 21/74 20130101AFI20221219BHJP
G06F 9/50 20060101ALI20221219BHJP
【ＦＩ】
G06F21/74
G06F9/50 150C
G06F9/50 120Z
【審査請求】有
【予備審査請求】未請求
(21)【出願番号】P 2022523958
(86)(22)【出願日】2020-10-14
(85)【翻訳文提出日】2022-04-22
(86)【国際出願番号】 EP2020078884
(87)【国際公開番号】W WO2021078602
(87)【国際公開日】2021-04-29
(31)【優先権主張番号】102019216462.5
(32)【優先日】2019-10-25
(33)【優先権主張国・地域又は機関】DE
(81)【指定国・地域】
(71)【出願人】
【識別番号】390023711
【氏名又は名称】ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツング
【氏名又は名称原語表記】ＲＯＢＥＲＴ ＢＯＳＣＨ ＧＭＢＨ
【住所又は居所原語表記】Ｓｔｕｔｔｇａｒｔ， Ｇｅｒｍａｎｙ
(74)【代理人】
【識別番号】100114890
【弁理士】
【氏名又は名称】アインゼル・フェリックス＝ラインハルト
(74)【代理人】
【識別番号】100098501
【弁理士】
【氏名又は名称】森田 拓
(74)【代理人】
【識別番号】100116403
【弁理士】
【氏名又は名称】前川 純一
(74)【代理人】
【識別番号】100134315
【弁理士】
【氏名又は名称】永島 秀郎
(74)【代理人】
【識別番号】100162880
【弁理士】
【氏名又は名称】上島 類
(72)【発明者】
【氏名】ベネディクト アートゥア マクシミリアン マンスバート
(72)【発明者】
【氏名】マヌエル ヤウス
(72)【発明者】
【氏名】ラツヴァン フローリン アグリダン
(72)【発明者】
【氏名】ローラント シュテフェン
(57)【要約】
少なくとも１つの中央処理装置を有するコンピューティングデバイスの動作方法であって、コンピューティングデバイスによって実行可能な１つ又は複数のアプリケーションプログラムを少なくとも２つのゾーンのうちの１つのゾーンに割り当てるステップであって、これらのゾーンは、関連するアプリケーションプログラムを実行するために利用可能な、コンピューティングデバイスのリソースを特徴付ける、ステップと、自身に割り当てられているゾーンに応じて、複数のアプリケーションプログラムのうちの少なくとも１つのアプリケーションプログラムを実行するステップと、を含む方法に関する。
【特許請求の範囲】
【請求項1】
特に車両用の、特に自動車用の、特に組込システム及び／又は制御装置用の、少なくとも１つの中央処理装置（１０２ａ，１０２ｂ，１０２ｃ，…，１０２ｎ；Ｋ１，Ｋ２，Ｋ３，Ｋ４）を有するコンピューティングデバイス（１００；１００ａ；１００ｂ）の動作方法であって、前記コンピューティングデバイス（１００；１００ａ；１００ｂ）によって実行可能な１つ又は複数のアプリケーションプログラム（ＡＰ１，ＡＰ２）を少なくとも２つのゾーン（Ｚ１，Ｚ２）のうちの１つのゾーンに割り当てるステップ（２００）であって、前記ゾーン（Ｚ１，Ｚ２）は、関連するアプリケーションプログラム（ＡＰ１，ＡＰ２）を実行するために利用可能な、前記コンピューティングデバイス（１００；１００ａ；１００ｂ）のリソースを特徴付ける、ステップ（２００）と、
自身に割り当てられている前記ゾーン（Ｚ１，Ｚ２）に応じて、複数の前記アプリケーションプログラム（ＡＰ１，ＡＰ２）のうちの少なくとも１つのアプリケーションプログラムを実行するステップ（２１０）と、
を含む方法。
【請求項2】
前記コンピューティングデバイス（１００；１００ａ；１００ｂ）は、複数の中央処理装置（１０２ａ，１０２ｂ，１０２ｃ，…，１０２ｎ；Ｋ１，Ｋ２，Ｋ３，Ｋ４）を有しており、前記方法はさらに、
ａ）少なくとも１つの中央処理装置（１０２ａ，１０２ｂ）を厳密に１つのゾーンに割り当てるステップ（２２０）、及び／又は、
ｂ）少なくとも１つの中央処理装置（１０２ａ，１０２ｂ）を１つ以上のゾーン、特に２つのゾーン（Ｚ１，Ｚ２）に割り当てるステップ（２２２）
を含む、
請求項１に記載の方法。
【請求項3】
少なくとも１つのゾーン（Ｚ１，Ｚ２）に応じて、次の要素、即ち、ａ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する読取権、
ｂ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する書込権、
ｃ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する実行権
のうちの少なくとも１つの要素を制御するステップ（２３０）、特に制限するステップをさらに含む、
請求項１乃至２の少なくとも一項に記載の方法。
【請求項4】
前記読取権及び／又は前記書込権及び／又は前記実行権を制御するために、少なくとも一時的に、少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を使用するステップ（２３２；２３２’）をさらに含む、請求項３に記載の方法。
【請求項5】
少なくとも１つの中央処理装置（１０２ａ）に対して少なくとも１つの専用メモリ保護デバイス（Ｍ１）を提供するステップ（２３１）をさらに含み、特に複数の、好ましくはすべての中央処理装置（１０２ａ）に対してそれぞれ１つの専用メモリ保護デバイスを提供する、
請求項１乃至４の少なくとも一項に記載の方法。
【請求項6】
少なくとも１つの中央処理装置（１０２ａ）は、少なくとも一時的に第１の動作モードを取り（２４０）、特に前記少なくとも１つの中央処理装置（１０２ａ）は、前記第１の動作モードにおいて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データ（１０３６）の設定及び／又は書込（２４２）を行い、特に前記少なくとも１つの中央処理装置（１０２ａ）は、少なくとも一時的に第２の動作モードを取り（２４３）、前記少なくとも１つの中央処理装置（１０２ａ）は、前記第２の動作モードにおいて、前記少なくとも１つのメモリ保護デバイスに対する前記構成データ（１０３６）の書込及び／又は変更を行うことができない、
請求項１乃至５の少なくとも一項に記載の方法。
【請求項7】
前記少なくとも１つの中央処理装置（１０２ａ）は、イベント駆動方式で、特に少なくとも１つの割り込み要求に応じて、前記第１の動作モードを取る（２４０）、請求項６に記載の方法。
【請求項8】
前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）に対して構成データ（ＫＤ）の複数のセットを提供するステップ（２５０）をさらに含み、特に、前記構成データ（ＫＤ）の前記複数のセットのうちの少なくとも１つの第１のセットを前記少なくとも２つのゾーン（Ｚ１，Ｚ２）のうちの第１のゾーン（Ｚ１）に割り当て、
特に、前記構成データ（ＫＤ）の前記複数のセットのうちの少なくとも１つの第２のセットを前記少なくとも２つのゾーン（Ｚ１，Ｚ２）のうちの第２のゾーン（Ｚ２）に割り当てる（２５２）、
請求項４乃至７の少なくとも一項に記載の方法。
【請求項9】
前記アプリケーションプログラム（ＡＰ１）の第１のインスタンス（ＡＰ１＿Ｉ１）及び前記アプリケーションプログラム（ＡＰ１）の第２のインスタンス（ＡＰ１＿Ｉ２）を提供するステップ（２６０）と、前記アプリケーションプログラム（ＡＰ１）の前記第１のインスタンス（ＡＰ１＿Ｉ１）を前記少なくとも２つのゾーンのうちの第１のゾーン（Ｚ１）に割り当てるステップ（２６２）と、
前記アプリケーションプログラム（ＡＰ１）の前記第２のインスタンス（ＡＰ１＿Ｉ２）を前記少なくとも２つのゾーンのうちの第２のゾーン（Ｚ２）に割り当てるステップ（２６３）と、
をさらに含む、
請求項１乃至８の少なくとも一項に記載の方法。
【請求項10】
前記少なくとも２つのゾーン（Ｚ１，Ｚ２）に応じて前記コンピューティングデバイス（１００）に割り当てられているメモリの領域を分離するステップ（２７０）をさらに含み、前記コンピューティングデバイス（１００）に割り当てられている前記メモリは、次の要素、即ち、
ａ）特にメインメモリの形態のバッファメモリ、
ｂ）スタックメモリ、
ｃ）データメモリ、
ｄ）プログラムメモリ、
ｅ）レジスタメモリ
のうちの少なくとも１つの要素を有しており、
前記分離するステップ（２７０）のために少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を使用する（２７２）、
請求項１乃至９の少なくとも一項に記載の方法。
【請求項11】
バッファメモリ、特にメインメモリを介して、種々のゾーン（Ｚ１，Ｚ２）の間において第１のデータを交換するステップ（２８０）をさらに含み、特に、前記第１のゾーン（Ｚ１）と前記第２のゾーン（Ｚ２）との間における前記第１のデータの前記交換は、次のステップ、即ち、
前記第１のデータを、前記第１のゾーン（Ｚ１）に割り当てられている第１のバッファメモリ領域にコピーするステップ（２８２）と、
コピーされた前記第１のデータを検査するステップ（２８３）と、
特に前記検査するステップ（２８３）に応じて、前記第１のデータを、前記第１のゾーン（Ｚ１）に割り当てられている前記第１のバッファメモリ領域から、前記第２のゾーン（Ｚ２）に割り当てられている第２のバッファメモリ領域にコピーするステップ（２８４）と、
を含む、
請求項１乃至１０の少なくとも一項に記載の方法。
【請求項12】
前記少なくとも２つのゾーン（Ｚ１，Ｚ２）に応じて、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを分離するステップ（２９０）、特に、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるステップをさらに含む、請求項１乃至１１の少なくとも一項に記載の方法。
【請求項13】
ａ）異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のオペレーティングシステム（ＢＳ）、特に軽量組込オペレーティングシステムを使用するステップ（２９２）であって、特に前記コンピューティングデバイス（１００）のそれぞれ１つの中央処理装置（１０２ａ，１０２ｂ）に１つのオペレーティングシステム（ＢＳ）を割り当てる、ステップ（２９２）、及び／又は、ｂ）異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のスーパーバイザ（ＳＶ）、特に軽量組込スーパーバイザを使用するステップ（２９４）であって、特に前記コンピューティングデバイス（１００）のそれぞれ１つの中央処理装置（１０２ａ，１０２ｂ）に１つのスーパーバイザ（ＳＶ）を割り当てる、ステップ（２９４）
をさらに含む、
請求項１２に記載の方法。
【請求項14】
前記オペレーティングシステム（ＢＳ）及び／又は前記スーパーバイザ（ＳＶ）は、特に静的なタスクリストを使用して、事前に規定されたタスクに対して、好ましくは事前に規定されたタスクに対してのみ、計算時間リソースの割り当てを実行する、請求項１３に記載の方法。
【請求項15】
前記オペレーティングシステム（ＢＳ）及び／又は前記スーパーバイザ（ＳＶ）は、計算時間リソースの割り当てを、ａ）繰り返される、特に定期的に繰り返される割り込み要求に応じて、及び／又は、ｂ）イベント駆動方式の割り込み要求に応じて、実行し、特に、タスクは、少なくとも１つの割り込みルーチンによってアクティブ化される、
請求項１３に記載の方法。
【請求項16】
割り込みルーチンに入ると、特にハードウェア駆動方式で、少なくとも１つのメモリ保護デバイスに対する構成データ（１０３６）又は前記少なくとも１つのメモリ保護デバイスを変更する、請求項１乃至１５の少なくとも一項に記載の方法。
【請求項17】
特に前記オペレーティングシステム（ＢＳ）及び／又は前記スーパーバイザ（ＳＶ）を用いて、特に侵害の可能性があるかに関して、次の要素、即ち、ａ）第１のゾーン（Ｚ１）、
ｂ）前記第１のゾーン（Ｚ１）に割り当てられているアプリケーションプログラム、
ｃ）前記第１のゾーン（Ｚ１）に割り当てられている、アプリケーションプログラム（ＡＰ１）のインスタンス（ＡＰ１＿Ｉ１）、
のうちの少なくとも１つの要素を監視するステップ（３００）をさらに含み、
特に前記監視するステップ（３００）は、スタックメモリを評価するステップ（３０２）、及び／又は、プログラムカウンタを評価するステップ（３０４）を含み、
好ましくは、前記スタックメモリを評価する前記ステップ（３０２）及び／又は前記プログラムカウンタを評価する前記ステップ（３０４）を、前記アプリケーションプログラム（ＡＰ１）をアクティブ化するステップ及び／又は前記アプリケーションプログラム（ＡＰ１）の前記インスタンス（ＡＰ１＿Ｉ１）をアクティブ化するステップの前に行う、
請求項１３乃至１６の少なくとも一項に記載の方法。
【請求項18】
特に、前記監視するステップ（３００）が侵害の可能性を示す場合に、エラー応答を開始するステップ（３０５）をさらに含み、前記エラー応答（３０５）は、次の要素、即ち、
ａ）特に、前記第１のゾーン（Ｚ１）に割り当てられている前記中央処理装置の非アクティブ化（３０５ａ）及び／又は前記第１のゾーン（Ｚ１）に割り当てられている前記中央処理装置のリセット（３０５ｂ）及び／又はエラーモードへの移行（３０５ｃ）を用いた、前記第１のゾーン（Ｚ１）及び／又は前記第１のゾーン（Ｚ１）に割り当てられている前記中央処理装置の安全な状態への移行、
ｂ）エラーエントリ（ＦＥ）の生成（３０５ｄ）、及び／又は、
ｃ）あるエラーエントリ又は前記エラーエントリの、侵入検知システム、特にＩｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍへの転送（３０５ｅ）
のうちの少なくとも１つの要素を含む、
請求項１７に記載の方法。
【請求項19】
前記コンピューティングデバイス（１００）は、少なくとも一時的にコールドスタート（３１０）を実行し、特に前記コールドスタート（３１０）中に、データ及び／又はプログラムコードが不揮発性メモリ（１０３２）からロードされ、前記コンピューティングデバイス（１００）は、少なくとも一時的にウォームスタート（３１２）を実行し、特に前記ウォームスタート（３１２）中に、データ及び／又はプログラムコードが、少なくとも一時的に通電される揮発性メモリ（１０３０）からロードされ、
特に前記コールドスタート（３１０）中に、少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）若しくは前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を構成し（３１１）、及び／又は、特に前記ウォームスタート（３１２）中に、前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を構成する（３１３）、
請求項１乃至１８の少なくとも一項に記載の方法。
【請求項20】
専用メモリ保護デバイス（Ｍ１）が提供されている（２３１）中央処理装置（１０２ａ）のみが、前記専用メモリ保護デバイス（Ｍ１）を構成する（２３１ａ）、請求項５乃至１９の少なくとも一項に記載の方法。
【請求項21】
少なくとも１つのメモリ保護デバイスの動作を制御する構成データ（１０３６）の完全性及び／又は真正性、又は、前記構成データ（１０３６）を、特に、次の要素、即ち、ａ）前記少なくとも１つのメモリ保護デバイスの前記構成に使用可能なプログラムコードの検証（３２２）、
ｂ）前記構成データ（１０３６）の検証（３２４）、
ｃ）前記少なくとも１つのメモリ保護デバイスの前記構成に使用可能な、あるプログラムコード又は前記プログラムコードの永続化（３２６）、
ｄ）前記構成データ（１０３６）の永続化（３２８）、
のうちの少なくとも１つの要素を用いて検査するステップ（３２０）をさらに含む、
請求項１乃至２０の少なくとも一項に記載の方法。
【請求項22】
特に少なくとも１つの中央処理装置（１０２ａ）によって、少なくとも一時的に、セキュアブート方法を実行するステップ（３３０）、及び／又は、少なくとも一時的に、ランタイム中に改ざんを識別する方法を実行するステップ（３３２）をさらに含む、請求項１乃至２１の少なくとも一項に記載の方法。
【請求項23】
少なくとも１つのゾーン（Ｚ１）に応じて、次の要素、即ち、ａ）前記コンピューティングデバイス（１００）の内部インタフェース、特にソフトウェアインタフェース、
ｂ）前記コンピューティングデバイス（１００）の内部ハードウェアインタフェース及び／又は外部ハードウェアインタフェース、
ｃ）暗号化機能を実行するためのハードウェアセキュリティモジュール（ＨＳＭ）及び／又は暗号化モジュール、
ｄ）前記コンピューティングデバイス（１００）の周辺機器、特に少なくとも１つの周辺機器の特殊機能レジスタ、
ｅ）前記コンピューティングデバイス（１００）のターゲットシステム、特に制御装置の内部インタフェース、
ｆ）前記コンピューティングデバイス（１００）のターゲットシステム、特に制御装置の外部インタフェース、
ｇ）特に、ＩＳＯ／ＯＳＩレイヤモデルの少なくとも１つのレイヤ上の通信プロトコルに対するアドレス指定要素、
のうちの少なくとも１つの要素へのアプリケーションプログラム（ＡＰ１）によるアクセスを制御するステップ（３４０）をさらに含む、
請求項１乃至２２の少なくとも一項に記載の方法。
【請求項24】
次の要素、即ち、ａ）少なくとも１つの付加的な、特にまだ存在していないゾーンの導入（３５０）、
ｂ）第１の中央処理装置（１０２ａ）から、前記コンピューティングデバイスの少なくとも１つの他の中央処理装置（１０２ｂ）への機能性の移動（３５２）、
ｃ）特に前記コンピューティングデバイス（１００）内に統合されているメインメモリ（１０３０）を使用した、少なくとも２つのゾーン（Ｚ１，Ｚ２）間の通信の実行（３５４）、
ｄ）少なくとも１つの信頼できるゾーン（Ｚ２）の定義（３６０）、及び、任意選択的に、前記信頼できるゾーン（Ｚ２）に割り当てられている少なくとも１つのアプリケーションプログラムによる、少なくとも１つの他の、特に信頼できないゾーン（Ｚ１）の監視（３６２）
のうちの少なくとも１つの要素をさらに含む、
請求項１乃至２３の少なくとも一項に記載の方法。
【請求項25】
請求項１乃至２４の少なくとも一項に記載の方法を実施するための装置（１００；１００ａ；１００ｂ；１０００）。
【請求項26】
次の要素、即ち、ａ）少なくとも１つの中央処理装置（１００２ａ）を有するコンピューティングデバイス（１００２）、
ｂ）メモリデバイス（１００４）、
ｃ）データバス（１００６）、
ｄ）メモリ保護デバイス（１００２ａ’）、
ｅ）ハードウェアセキュリティモジュール（ＨＳＭ；ＨＳＭ’）
のうちの少なくとも１つの要素を有する、
請求項２５に記載の装置（１００；１００ａ；１００ｂ；１０００）。
【請求項27】
前記装置（１００；１００ａ；１００ｂ；１０００）は、特に単一のマイクロコントローラとして又は単一のシングルチップシステム（１）として構成されている、請求項２５乃至２６の少なくとも一項に記載の装置（１００；１００ａ；１００ｂ；１０００）。
【請求項28】
前記装置（１００；１００ａ；１００ｂ；１０００）は、１つの、特に共通の半導体基板（１００１）を有しており、特に共通の前記半導体基板（１００１）上に、次の要素、即ち、
ａ）少なくとも１つの中央処理装置（１００２ａ）を有する前記コンピューティングデバイス（１００２）、
ｂ）メモリデバイス（１００４）、
ｃ）データバス（１００６）、
ｄ）メモリ保護デバイス（１００２ａ’）、
ｅ）ハードウェアセキュリティモジュール（ＨＳＭ；ＨＳＭ’）
のうちの少なくとも１つの要素が配置されている、
請求項２６乃至２７の少なくとも一項に記載の装置（１００；１００ａ；１００ｂ；１０００）。
【請求項29】
請求項１乃至２４の少なくとも一項に記載の方法を実施するマイクロコントローラシステム（１）又はシングルチップシステム（１）であって、前記システム（１）は、特に単一の、請求項２５乃至２８までの少なくとも一項に記載の装置（１０００）を有する、
マイクロコントローラシステム（１）又はシングルチップシステム（１）。
【請求項30】
コンピュータ（１００２ａ）により実行されるときに、前記コンピュータ（１００２ａ）に、請求項１乃至２４の少なくとも一項に記載の方法を実施させるための命令（ＰＲＧ）を含むコンピュータ可読記憶媒体（ＳＭ）。
【請求項31】
コンピュータ（１００２ａ）によりプログラムが実行されるときに、前記コンピュータ（１００２ａ）に、請求項１乃至２４の少なくとも一項に記載の方法を実施させるための命令を含むコンピュータプログラム（ＰＲＧ）。
【請求項32】
請求項３１に記載のコンピュータプログラム（ＰＲＧ）を伝送するデータキャリア信号（ＤＳ）。
【請求項33】
次の要素、即ち、ａ）前記コンピューティングデバイス（１００）における、特に前記コンピューティングデバイス（１００）の中央処理装置（１０２ａ）内における信頼境界の提供（３７０）、
ｂ）前記コンピューティングデバイス（１００）及び／又は前記コンピューティングデバイス（１００）のコンポーネントのうちの１つのコンポーネントに対する侵入の侵入表面の低減（３７１）、
ｃ）メモリへのアクセス権の制限（３７２）、
ｄ）周辺機器へのアクセス権の制限（３７３）、
ｅ）計算リソースへのアクセス権の制限（３７４）、
ｆ）変造されたコンポーネントの影響の最小化（３７５）、
ｇ）特に車両用の、特に自動車用の制御装置の動作（３７６）、
ｈ）組込システム、特にモノのインタネットの組込システム、即ち、ＩｏＴシステムの動作（３７７）、
ｉ）特定用途向け集積回路即ちＡＳＩＣの動作（３７８）、
ｊ）変造されたゾーンの検出、
ｋ）特に侵害が検出された場合のエラー応答の開始
のうちの少なくとも１つの要素に対する、請求項１乃至２４の少なくとも一項に記載の方法の使用及び／又は請求項２５乃至２８の少なくとも一項に記載の装置（１００；１００ａ；１００ｂ；１０００）の使用及び／又は請求項２９に記載のシステム（１）の使用及び／又は請求項３１に記載のコンピュータプログラム（ＰＲＧ）の使用。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、少なくとも１つの中央処理装置（コンピューティングコア）を有するコンピューティングデバイスの動作方法に関する。
【0002】
本開示はさらに、そのような方法を実施するための装置に関する。
【0003】
発明の開示
好ましい実施形態は、特に車両用の、特に自動車用の、特に組込システム及び／又は制御装置用の、少なくとも１つの中央処理装置を有するコンピューティングデバイスの動作方法に関し、この方法は、次のステップ、即ち、
コンピューティングデバイスによって実行可能な１つ又は複数のアプリケーションプログラムを少なくとも２つのゾーンのうちの１つのゾーンに割り当てるステップであって、これらのゾーンは、関連するアプリケーションプログラムを実行するために利用可能な、コンピューティングデバイスのリソースを特徴付ける、ステップと、
自身に割り当てられているゾーンに応じて、複数のアプリケーションプログラムのうちの少なくとも１つのアプリケーションプログラムを実行するステップと、
を含む。これは有利には、アプリケーションプログラムの実行時の動作の柔軟性を損なうことなく、コンピューティングデバイスの動作のセキュリティを強化することを可能にする。
好ましい実施形態は、特に車両用の、特に自動車用の、特に組込システム及び／又は制御装置用の、少なくとも１つの中央処理装置を有するコンピューティングデバイスの動作方法に関し、この方法は、次のステップ、即ち、
コンピューティングデバイスによって実行可能な１つ又は複数のアプリケーションプログラムを少なくとも２つのゾーンのうちの１つのゾーンに割り当てるステップであって、これらのゾーンは、関連するアプリケーションプログラムを実行するために利用可能な、コンピューティングデバイスのリソースを特徴付ける、ステップと、
自身に割り当てられているゾーンに応じて、複数のアプリケーションプログラムのうちの少なくとも１つのアプリケーションプログラムを実行するステップと、
を含む。これは有利には、アプリケーションプログラムの実行時の動作の柔軟性を損なうことなく、コンピューティングデバイスの動作のセキュリティを強化することを可能にする。
【0004】
実施形態による方法は、特に好ましくは、コンピュータで実施される方法として設計されている。
【0005】
他の好ましい実施形態においては、２つのゾーン又は２つ以上のゾーンも設定されるものとしてよい。
【0006】
他の好ましい実施形態においては、ゾーンによって特徴付け可能な、コンピューティングデバイスのリソースは、次の要素、即ち、
ａ）メモリ、
ｂ）実行時間又は計算時間、
のうちの少なくとも１つの要素を有するものとするとよく、ここでは、特にリソースは、メモリを含む。
ａ）メモリ、
ｂ）実行時間又は計算時間、
のうちの少なくとも１つの要素を有するものとするとよく、ここでは、特にリソースは、メモリを含む。
【0007】
他の好ましい実施形態においては、コンピューティングデバイスが複数の中央処理装置を有することが想定されており、この方法はさらに、ａ）少なくとも１つの中央処理装置を厳密に１つのゾーンに割り当てるステップ、及び／又は、ｂ）少なくとも１つの中央処理装置を１つ以上のゾーン、特に２つのゾーンに割り当てるステップを含む。
【0008】
他の好ましい実施形態においては、この方法がさらに、少なくとも１つのゾーンに応じて、次の要素、即ち、
ａ）コンピューティングデバイスに割り当てられているメモリに対する読取権、
ｂ）コンピューティングデバイスに割り当てられているメモリに対する書込権、
ｃ）コンピューティングデバイスに割り当てられているメモリに対する実行権、
のうちの少なくとも１つの要素を制御するステップ、特に制限するステップを含むことが想定されている。
ａ）コンピューティングデバイスに割り当てられているメモリに対する読取権、
ｂ）コンピューティングデバイスに割り当てられているメモリに対する書込権、
ｃ）コンピューティングデバイスに割り当てられているメモリに対する実行権、
のうちの少なくとも１つの要素を制御するステップ、特に制限するステップを含むことが想定されている。
【0009】
他の好ましい実施形態においては、この方法がさらに、読取権及び／又は書込権及び／又は実行権を制御するために、少なくとも一時的に、少なくとも１つのメモリ保護デバイスを使用するステップを含むことが想定されている。
【0010】
他の好ましい実施形態においては、この方法がさらに、少なくとも１つの中央処理装置に対して少なくとも１つの専用メモリ保護デバイスを提供するステップを含むことが想定されており、ここでは、特に複数の、好ましくはすべての中央処理装置に対してそれぞれ１つの専用メモリ保護デバイスが提供される。
【0011】
他の好ましい実施形態においては、この方法はさらに、複数の中央処理装置に対して１つのメモリ保護デバイス、特に共通のメモリ保護デバイスを提供するステップを含むことが想定されている。
【0012】
他の好ましい実施形態においては、次のことが想定されている。即ち、少なくとも１つの中央処理装置は、少なくとも一時的に第１の動作モードを取り、特に少なくとも１つの中央処理装置は、第１の動作モードにおいて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データの設定及び／又は書込を行い、特に少なくとも１つの中央処理装置は、少なくとも一時的に第２の動作モードを取り、少なくとも１つの中央処理装置は、第２の動作モードにおいて、少なくとも１つのメモリ保護デバイスに対する構成データの書込及び／又は変更を行うことができない。
【0013】
他の好ましい実施形態においては、少なくとも１つの中央処理装置がイベント駆動方式で、特に少なくとも１つの割り込み要求（英語で、ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）に応じて、第１の動作モードを取ることが想定されている。
【0014】
他の好ましい実施形態においては、この方法がさらに、少なくとも１つのメモリ保護デバイスに対して構成データの複数のセットを提供するステップを含むことが想定されており、特に、構成データの複数のセットのうちの少なくとも１つの第１のセットが少なくとも２つのゾーンのうちの第１のゾーンに割り当てられ、構成データの複数のセットのうちの少なくとも１つの第２のセットが少なくとも２つのゾーンのうちの第２のゾーンに割り当てられる。
【0015】
他の好ましい実施形態においては、この方法がさらに、アプリケーションプログラムの第１のインスタンス及びアプリケーションプログラムの第２のインスタンスを提供するステップと、アプリケーションプログラムの第１のインスタンスを少なくとも２つのゾーンのうちの第１のゾーンに割り当てるステップと、アプリケーションプログラムの第２のインスタンスを少なくとも２つのゾーンのうちの第２のゾーンに割り当てるステップと、を含むことが想定されている。
【0016】
他の好ましい実施形態においては、この方法がさらに、少なくとも２つのゾーンに応じてコンピューティングデバイスに割り当てられているメモリの領域を分離するステップを含むことが想定されており、ここで、コンピューティングデバイスに割り当てられているメモリは、次の要素、即ち、
ａ）特にメインメモリの形態のバッファメモリ、
ｂ）スタックメモリ、
ｃ）データメモリ、
ｄ）プログラムメモリ、
ｅ）レジスタメモリ、
ｆ）ＯＴＰ（ワンタイムプログラマブル、１回だけプログラミングが可能な）メモリ
のうちの少なくとも１つの要素を有しており、この分離するステップのために少なくとも１つのメモリ保護デバイスが使用される。
ａ）特にメインメモリの形態のバッファメモリ、
ｂ）スタックメモリ、
ｃ）データメモリ、
ｄ）プログラムメモリ、
ｅ）レジスタメモリ、
ｆ）ＯＴＰ（ワンタイムプログラマブル、１回だけプログラミングが可能な）メモリ
のうちの少なくとも１つの要素を有しており、この分離するステップのために少なくとも１つのメモリ保護デバイスが使用される。
【0017】
他の好ましい実施形態においては、この方法がさらに、バッファメモリ、特にメインメモリを介して、種々のゾーンの間において第１のデータを交換するステップを含むことが想定されており、ここで、特に、第１のゾーンと第２のゾーンとの間における第１のデータの交換は、次のステップ、即ち、
第１のデータを、第１のゾーンに割り当てられている第１のバッファメモリ領域にコピーするステップと、
コピーされた第１のデータを検査するステップと、
特にこの検査するステップに応じて、第１のデータを、第１のゾーンに割り当てられている第１のバッファメモリ領域から、第２のゾーンに割り当てられている第２のバッファメモリ領域にコピーするステップと、
を含む。
第１のデータを、第１のゾーンに割り当てられている第１のバッファメモリ領域にコピーするステップと、
コピーされた第１のデータを検査するステップと、
特にこの検査するステップに応じて、第１のデータを、第１のゾーンに割り当てられている第１のバッファメモリ領域から、第２のゾーンに割り当てられている第２のバッファメモリ領域にコピーするステップと、
を含む。
【0018】
他の好ましい実施形態においては、この方法がさらに、少なくとも２つのゾーンに応じて、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを分離するステップ、特に、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるステップを含むことが想定されている。
【0019】
他の好ましい実施形態においては、この方法がさらに、次のステップ、即ち、
ａ）異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のオペレーティングシステム、特に軽量組込オペレーティングシステムを使用するステップであって、特にコンピューティングデバイスのそれぞれ１つの中央処理装置に１つのオペレーティングシステムを割り当てるステップ、及び／又は、
ｂ）特に、アプリケーションプログラム（アプリケーションプログラムのインスタンス）が異なるゾーンに割り当てられている場合に、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のスーパーバイザ、特に軽量組込スーパーバイザを使用するステップであって、特にコンピューティングデバイスのそれぞれ１つの中央処理装置に１つのスーパーバイザを割り当てるステップ
を含むことが想定されている。
ａ）異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のオペレーティングシステム、特に軽量組込オペレーティングシステムを使用するステップであって、特にコンピューティングデバイスのそれぞれ１つの中央処理装置に１つのオペレーティングシステムを割り当てるステップ、及び／又は、
ｂ）特に、アプリケーションプログラム（アプリケーションプログラムのインスタンス）が異なるゾーンに割り当てられている場合に、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のスーパーバイザ、特に軽量組込スーパーバイザを使用するステップであって、特にコンピューティングデバイスのそれぞれ１つの中央処理装置に１つのスーパーバイザを割り当てるステップ
を含むことが想定されている。
【0020】
他の好ましい実施形態においては、オペレーティングシステム及び／又はスーパーバイザが、特に静的なタスクリストを使用して、事前に規定されたタスクに対して、好ましくは事前に規定されたタスクに対してのみ、計算時間リソースの割り当てを実行することが想定されている。
【0021】
他の好ましい実施形態においては、オペレーティングシステム及び／又はスーパーバイザは、計算時間リソースの割り当てを、ａ）繰り返される、特に定期的に繰り返される割り込み要求に応じて、及び／又は、ｂ）イベント駆動方式の割り込み要求に応じて、実行することが想定されており、ここでは特に、タスクは、少なくとも１つの割り込みルーチンによってアクティブ化される。
【0022】
他の好ましい実施形態においては、割り込みルーチンに入ると、特にハードウェア駆動方式で、少なくとも１つのメモリ保護デバイスに対する構成データ又は少なくとも１つのメモリ保護デバイスが変更されることが想定されている。
【0023】
他の好ましい実施形態においては、この方法がさらに次のステップを含むことが想定されている。即ち、特にオペレーティングシステム及び／又はスーパーバイザを用いて、特に侵害の可能性があるかに関して、次の要素、即ち、
ａ）第１のゾーン、
ｂ）第１のゾーンに割り当てられているアプリケーションプログラム、
ｃ）第１のゾーンに割り当てられている、アプリケーションプログラムのインスタンス
のうちの少なくとも１つの要素を監視するステップを含むことが想定されており、特にこの監視するステップは、スタックメモリを評価するステップ及び／又はプログラムカウンタを評価するステップを含み、ここで、好ましくは、スタックメモリを評価するステップ及び／又はプログラムカウンタを評価するステップは、アプリケーションプログラムをアクティブ化するステップ及び／又はアプリケーションプログラムのインスタンスをアクティブ化するステップの前に行われる。他の好ましい実施形態においては、スーパーバイザの監視ルーチンは、特に信頼できるインスタンスによって、信頼できる動作モード（例えば「スーパーバイザモード」）において遂行又は実行される。
ａ）第１のゾーン、
ｂ）第１のゾーンに割り当てられているアプリケーションプログラム、
ｃ）第１のゾーンに割り当てられている、アプリケーションプログラムのインスタンス
のうちの少なくとも１つの要素を監視するステップを含むことが想定されており、特にこの監視するステップは、スタックメモリを評価するステップ及び／又はプログラムカウンタを評価するステップを含み、ここで、好ましくは、スタックメモリを評価するステップ及び／又はプログラムカウンタを評価するステップは、アプリケーションプログラムをアクティブ化するステップ及び／又はアプリケーションプログラムのインスタンスをアクティブ化するステップの前に行われる。他の好ましい実施形態においては、スーパーバイザの監視ルーチンは、特に信頼できるインスタンスによって、信頼できる動作モード（例えば「スーパーバイザモード」）において遂行又は実行される。
【0024】
他の好ましい実施形態においては、この方法がさらに、特に、監視するステップが侵害の可能性を示す場合に、エラー応答を開始するステップを含むことが想定されており、エラー応答は、次の要素、即ち、
ａ）特に、第１のゾーンに割り当てられている中央処理装置の非アクティブ化及び／又は第１のゾーンに割り当てられている中央処理装置のリセット（リセットの実行、再設定）及び／又はエラーモードへの移行を用いた、第１のゾーン及び／又は第１のゾーンに割り当てられている中央処理装置の安全な状態への移行、
ｂ）エラーエントリの生成、及び／又は、
ｃ）あるエラーエントリ又は上述のエラーエントリの、侵入検知システム、特にＩｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ（ＩＤＳ）への転送
のうちの少なくとも１つの要素を含む。他の好ましい実施形態においては、ＩＤＳは、例えば、コンピューティングデバイスの内部又は外部に配置されるものとしてよい。
ａ）特に、第１のゾーンに割り当てられている中央処理装置の非アクティブ化及び／又は第１のゾーンに割り当てられている中央処理装置のリセット（リセットの実行、再設定）及び／又はエラーモードへの移行を用いた、第１のゾーン及び／又は第１のゾーンに割り当てられている中央処理装置の安全な状態への移行、
ｂ）エラーエントリの生成、及び／又は、
ｃ）あるエラーエントリ又は上述のエラーエントリの、侵入検知システム、特にＩｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ（ＩＤＳ）への転送
のうちの少なくとも１つの要素を含む。他の好ましい実施形態においては、ＩＤＳは、例えば、コンピューティングデバイスの内部又は外部に配置されるものとしてよい。
【0025】
他の好ましい実施形態においては（図２Ｎを参照されたい）次のことが想定されている。即ち、コンピューティングデバイスは、少なくとも一時的にコールドスタートを実行し、特にコールドスタート中に、データ及び／又はプログラムコードが不揮発性メモリからロードされ、コンピューティングデバイスは、少なくとも一時的にウォームスタートを実行し、特にウォームスタート中に、データ及び／又はプログラムコードが、少なくとも一時的に通電される揮発性メモリからロードされ、特にコールドスタート中に、少なくとも１つのメモリ保護デバイスが構成され、及び／又は、特にウォームスタート中に、上述の少なくとも１つのメモリ保護デバイスが構成される。
【0026】
他の好ましい実施形態においては、専用メモリ保護デバイスが提供されている中央処理装置のみが、この専用メモリ保護デバイスを構成することが想定されている。
【0027】
他の好ましい実施形態においては、この方法がさらに、特に、次の要素、即ち、
ａ）少なくとも１つのメモリ保護デバイスの構成に使用可能なプログラムコードの検証、
ｂ）構成データの検証、
ｃ）少なくとも１つのメモリ保護デバイスの構成に使用可能な、あるプログラムコード又は上述のプログラムコードの永続化、
ｄ）構成データの永続化
のうちの少なくとも１つの要素を用いて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データの完全性及び／又は真正性、又は、当該構成データを検査するステップを含むことが想定されている。
ａ）少なくとも１つのメモリ保護デバイスの構成に使用可能なプログラムコードの検証、
ｂ）構成データの検証、
ｃ）少なくとも１つのメモリ保護デバイスの構成に使用可能な、あるプログラムコード又は上述のプログラムコードの永続化、
ｄ）構成データの永続化
のうちの少なくとも１つの要素を用いて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データの完全性及び／又は真正性、又は、当該構成データを検査するステップを含むことが想定されている。
【0028】
他の好ましい実施形態においては、この方法がさらに、特に少なくとも１つの中央処理装置によって、少なくとも一時的に、セキュアブート方法を実行するステップ及び／又は少なくとも一時的に、ランタイム中に改ざんを識別する方法を実行するステップを含むことが想定されている。
【0029】
他の好ましい実施形態においては、この方法がさらに、少なくとも１つのゾーンに応じて、次の要素、即ち、
ａ）コンピューティングデバイスの内部インタフェース、特にソフトウェアインタフェース、
ｂ）コンピューティングデバイスの内部ハードウェアインタフェース及び／又は外部ハードウェアインタフェース、
ｃ）暗号化機能を実行するためのハードウェアセキュリティモジュール及び／又は暗号化モジュール、
ｄ）コンピューティングデバイスの周辺機器、特に少なくとも１つの周辺機器の特殊機能レジスタ、
ｅ）コンピューティングデバイスのターゲットシステム、特に制御装置の内部インタフェース、
ｆ）コンピューティングデバイスのターゲットシステム、特に制御装置の外部インタフェース、
ｇ）特に、ＩＳＯ／ＯＳＩレイヤモデルの少なくとも１つのレイヤ上の通信プロトコルに対するアドレス指定要素、
のうちの少なくとも１つの要素へのアプリケーションプログラムによるアクセスを制御するステップを含むことが想定されている。
ａ）コンピューティングデバイスの内部インタフェース、特にソフトウェアインタフェース、
ｂ）コンピューティングデバイスの内部ハードウェアインタフェース及び／又は外部ハードウェアインタフェース、
ｃ）暗号化機能を実行するためのハードウェアセキュリティモジュール及び／又は暗号化モジュール、
ｄ）コンピューティングデバイスの周辺機器、特に少なくとも１つの周辺機器の特殊機能レジスタ、
ｅ）コンピューティングデバイスのターゲットシステム、特に制御装置の内部インタフェース、
ｆ）コンピューティングデバイスのターゲットシステム、特に制御装置の外部インタフェース、
ｇ）特に、ＩＳＯ／ＯＳＩレイヤモデルの少なくとも１つのレイヤ上の通信プロトコルに対するアドレス指定要素、
のうちの少なくとも１つの要素へのアプリケーションプログラムによるアクセスを制御するステップを含むことが想定されている。
【0030】
他の好ましい実施形態においては、この方法がさらに、次の要素、即ち、
ａ）少なくとも１つの付加的な、特にまだ存在していないゾーンの導入、
ｂ）第１の中央処理装置から、コンピューティングデバイスの少なくとも１つの他の中央処理装置への機能性の移動、
ｃ）特にコンピューティングデバイス内に統合されているメインメモリを使用した、少なくとも２つのゾーン間の通信の実行、
ｄ）少なくとも１つの信頼できるゾーンの定義及び任意選択的に、信頼できるゾーンに割り当てられている少なくとも１つのアプリケーションプログラムによる、少なくとも１つの他の、特に信頼できないゾーンの監視
のうちの少なくとも１つの要素を含むことが想定されている。他の好ましい実施形態においては、少なくとも１つの他の、特に信頼できないゾーンの監視は、例えばプログラムによって、例えば割り込みルーチン（ＩＳＲ 英語で、ｉｎｔｅｒｒｕｐｔ ｓｅｒｖｉｃｅ ｒｏｕｔｉｎｅ）によって、好ましくは「スーパーバイザモード」とも称され得る監視モードにおいて実行され得る。
ａ）少なくとも１つの付加的な、特にまだ存在していないゾーンの導入、
ｂ）第１の中央処理装置から、コンピューティングデバイスの少なくとも１つの他の中央処理装置への機能性の移動、
ｃ）特にコンピューティングデバイス内に統合されているメインメモリを使用した、少なくとも２つのゾーン間の通信の実行、
ｄ）少なくとも１つの信頼できるゾーンの定義及び任意選択的に、信頼できるゾーンに割り当てられている少なくとも１つのアプリケーションプログラムによる、少なくとも１つの他の、特に信頼できないゾーンの監視
のうちの少なくとも１つの要素を含むことが想定されている。他の好ましい実施形態においては、少なくとも１つの他の、特に信頼できないゾーンの監視は、例えばプログラムによって、例えば割り込みルーチン（ＩＳＲ 英語で、ｉｎｔｅｒｒｕｐｔ ｓｅｒｖｉｃｅ ｒｏｕｔｉｎｅ）によって、好ましくは「スーパーバイザモード」とも称され得る監視モードにおいて実行され得る。
【0031】
他の好ましい実施形態は、実施形態による方法を実施するための装置に関する。
【0032】
他の好ましい実施形態においては、この装置が、次の要素、即ち、
ａ）少なくとも１つの中央処理装置を有するコンピューティングデバイス、
ｂ）メモリデバイス、
ｃ）データバス、
ｄ）メモリ保護デバイス、
ｅ）ハードウェアセキュリティモジュール、
のうちの少なくとも１つの要素を有することが想定されている。
ａ）少なくとも１つの中央処理装置を有するコンピューティングデバイス、
ｂ）メモリデバイス、
ｃ）データバス、
ｄ）メモリ保護デバイス、
ｅ）ハードウェアセキュリティモジュール、
のうちの少なくとも１つの要素を有することが想定されている。
【0033】
他の好ましい実施形態においては、この装置が、マイクロコントローラとして、特に単一のマイクロコントローラとして、又は、シングルチップシステム（英語で、ＳｏＣ ｓｙｓｔｅｍ－ｏｎ－ｃｈｉｐ）として、特に単一のＳｏＣとして構成されていることが想定されている。
【0034】
他の好ましい実施形態においては、この装置が、１つの、特に共通の半導体基板を有することが想定されており、ここで、特に共通の半導体基板上に、次の要素、即ち、
ａ）少なくとも１つの中央処理装置を有するコンピューティングデバイス、
ｂ）メモリデバイス、
ｃ）データバス、
ｄ）メモリ保護デバイス、
ｅ）ハードウェアセキュリティモジュール
のうちの少なくとも１つの要素が配置されている。
ａ）少なくとも１つの中央処理装置を有するコンピューティングデバイス、
ｂ）メモリデバイス、
ｃ）データバス、
ｄ）メモリ保護デバイス、
ｅ）ハードウェアセキュリティモジュール
のうちの少なくとも１つの要素が配置されている。
【0035】
他の好ましい実施形態は、特にコンピュータプログラムの形態の命令を含むコンピュータ可読記憶媒体に関する。この命令は、コンピュータによって実行されるときに、コンピュータに、実施形態による方法を実施させるためのものである。
【0036】
他の好ましい実施形態は、命令を含むコンピュータプログラムに関する。この命令は、プログラムがコンピュータによって実行されるときに、コンピュータに、実施形態による方法を実施させるためのものである。
【0037】
他の好ましい実施形態は、実施形態によるコンピュータプログラムを伝送するデータキャリア信号に関する。
【0038】
他の好ましい実施形態は、次の要素、即ち、
ａ）コンピューティングデバイスにおける、特にコンピューティングデバイスの中央処理装置内における信頼境界の提供、
ｂ）コンピューティングデバイス及び／又はコンピューティングデバイスのコンポーネントのうちの１つのコンポーネントに対する侵入の侵入表面の低減、
ｃ）メモリへのアクセス権の制限、
ｄ）周辺機器へのアクセス権の制限、
ｅ）計算リソースへのアクセス権の制限、
ｆ）変造されたコンポーネントの影響の最小化、
ｇ）特に車両用の、特に自動車用の制御装置の動作、
ｈ）組込システム、特にモノのインタネットの組込システム、即ち、ＩｏＴシステムの動作、
ｉ）特定用途向け集積回路即ちＡＳＩＣの動作、
ｊ）変造されたゾーンの検出、
ｋ）特に侵害が検出された場合のエラー応答の開始
のうちの少なくとも１つの要素に対する、実施形態による方法の使用及び／又は実施形態による装置の使用及び／又は実施形態によるコンピュータプログラムの使用に関する。
ａ）コンピューティングデバイスにおける、特にコンピューティングデバイスの中央処理装置内における信頼境界の提供、
ｂ）コンピューティングデバイス及び／又はコンピューティングデバイスのコンポーネントのうちの１つのコンポーネントに対する侵入の侵入表面の低減、
ｃ）メモリへのアクセス権の制限、
ｄ）周辺機器へのアクセス権の制限、
ｅ）計算リソースへのアクセス権の制限、
ｆ）変造されたコンポーネントの影響の最小化、
ｇ）特に車両用の、特に自動車用の制御装置の動作、
ｈ）組込システム、特にモノのインタネットの組込システム、即ち、ＩｏＴシステムの動作、
ｉ）特定用途向け集積回路即ちＡＳＩＣの動作、
ｊ）変造されたゾーンの検出、
ｋ）特に侵害が検出された場合のエラー応答の開始
のうちの少なくとも１つの要素に対する、実施形態による方法の使用及び／又は実施形態による装置の使用及び／又は実施形態によるコンピュータプログラムの使用に関する。
【0039】
他の好ましい実施形態においては、実施形態による方法及び／又は装置は、制御装置において、例えば自動車用の制御装置において、特に自動車の内燃機関用の制御装置において使用されるものとしてよく、これは、例えば、次の用途、即ち、
ａ）制御装置の動作又は動作状態遷移の制御、
ｂ）制御装置及び／又は他のコンポーネント及び／又は例えば自動車の１つ又は複数の機能の有効化又は非有効化、
ｃ）エラーモード及び／又は緊急動作への切換、
ｄ）エラーメモリエントリの実行、
ｅ）外部ユニット及び／又はユーザへの動作状態の通知、
ｆ）アクチュエータの駆動制御
のうちの少なくとも１つの用途に対する使用である。
ａ）制御装置の動作又は動作状態遷移の制御、
ｂ）制御装置及び／又は他のコンポーネント及び／又は例えば自動車の１つ又は複数の機能の有効化又は非有効化、
ｃ）エラーモード及び／又は緊急動作への切換、
ｄ）エラーメモリエントリの実行、
ｅ）外部ユニット及び／又はユーザへの動作状態の通知、
ｆ）アクチュエータの駆動制御
のうちの少なくとも１つの用途に対する使用である。
【0040】
他の好ましい実施形態は、特に、メモリデバイス及び／又はメモリデバイスにアクセスするコンピューティングデバイスを第１の動作状態から第２の動作状態に切り換える前又は切り換える間又は切り換えた後に、メモリデバイスの少なくとも１つの部分領域を変更又は改ざんに関して検査するために、かつ、この検査に応じて、例えば自動車の内燃機関の制御装置の動作を制御するために、実施形態による方法及び／又は実施形態による装置及び／又は実施形態によるコンピュータプログラムを使用することに関する。
【0041】
本発明の他の特徴、適用の可能性及び利点は、図面に示されている、本発明の実施例の以下の説明から明らかになる。ここで、説明された又は図示されたすべての特徴は、特許請求の範囲におけるそれらの括り又はそれらの引用関係に関係なく、また、明細書又は図面におけるそれらの表現又は描写に関係なく、単独で又は任意の組合せにより、本発明の主題を形成する。
【図面の簡単な説明】
【0042】
【図1】好ましい実施形態によるコンピューティングデバイスの簡略化されたブロック図を概略的に示す図である。
【図2A】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2B】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2C】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2D】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2E】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2F】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2G】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2H】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2I】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2J】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2K】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2L】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2M】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2N】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2P】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2Q】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2R】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2S】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2T】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図2U】他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。
【図3】他の好ましい実施形態によるコンピューティングデバイスの簡略化されたブロック図を概略的に示す図である。
【図4】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図5】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図6】他の好ましい実施形態による割り込みルーチンの態様を概略的に示す図である。
【図7】他の好ましい実施形態による割り込みルーチンの態様を概略的に示す図である。
【図8】他の好ましい実施形態によるフローチャートを概略的に示す図である。
【図9】他の好ましい実施形態による割り込みルーチンの態様を示す図である。
【図10】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図11】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図12A】他の好ましい実施形態による割り込みルーチンの態様を概略的に示す図である。
【図12B】他の好ましい実施形態による割り込みルーチンの態様を概略的に示す図である。
【図13】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図14】他の好ましい実施形態によるフローチャートを概略的に示す図である。
【図15】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図16】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図17】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図18】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図19】他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。
【図20】他の好ましい実施形態によるフローチャートを概略的に示す図である。
【図21】他の好ましい実施形態によるフローチャートを概略的に示す図である。
【図22】他の好ましい実施形態による装置の簡略化されたブロック図を概略的に示す図である。
【図23】他の好ましい実施形態による構成データの簡略化されたブロック図を概略的に示す図である。
【発明を実施するための形態】
【0043】
図１は、好ましい実施形態によるコンピューティングデバイス１００の簡略化されたブロック図を概略的に示している。コンピューティングデバイス１００は、少なくとも１つの中央処理装置、ここでは例示的に４つの中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎを有しており、特に、例えば組込システム及び／又は制御装置のために、特に車両、特に自動車のために使用されるものとしてよい。
【0044】
好ましい実施形態は、次のステップ、即ち、
コンピューティングデバイス１００（図１）によって実行可能な１つ又は複数のアプリケーションプログラムＡＰ１，ＡＰ２を少なくとも２つのゾーンＺ１，Ｚ２のうちの１つのゾーンに割り当てるステップ２００であって、これらのゾーンＺ１，Ｚ２は、関連するアプリケーションプログラムＡＰ１，ＡＰ２を実行するために利用可能な、コンピューティングデバイス１００のリソースを特徴付ける、ステップ２００と、
自身に割り当てられているゾーンＺ１，Ｚ２に応じて、複数のアプリケーションプログラムＡＰ１，ＡＰ２のうちの少なくとも１つのアプリケーションプログラムを実行するステップ２１０と、
を含む、コンピューティングデバイス１００の動作方法に関する（図２Ａのフローチャートを参照されたい）。これは、有利には、アプリケーションプログラムＡＰ１，ＡＰ２の実行時の動作の柔軟性を損なうことなく、コンピューティングデバイス１００の動作の安全性を強化することを可能にする。
コンピューティングデバイス１００（図１）によって実行可能な１つ又は複数のアプリケーションプログラムＡＰ１，ＡＰ２を少なくとも２つのゾーンＺ１，Ｚ２のうちの１つのゾーンに割り当てるステップ２００であって、これらのゾーンＺ１，Ｚ２は、関連するアプリケーションプログラムＡＰ１，ＡＰ２を実行するために利用可能な、コンピューティングデバイス１００のリソースを特徴付ける、ステップ２００と、
自身に割り当てられているゾーンＺ１，Ｚ２に応じて、複数のアプリケーションプログラムＡＰ１，ＡＰ２のうちの少なくとも１つのアプリケーションプログラムを実行するステップ２１０と、
を含む、コンピューティングデバイス１００の動作方法に関する（図２Ａのフローチャートを参照されたい）。これは、有利には、アプリケーションプログラムＡＰ１，ＡＰ２の実行時の動作の柔軟性を損なうことなく、コンピューティングデバイス１００の動作の安全性を強化することを可能にする。
【0045】
他の好ましい実施形態においては、これによって、例えば、信頼境界（英語で、Ｔｒｕｓｔ Ｂｏｕｎｄａｒｉｅｓ）を、例えば、信頼できるインスタンス／ユニット／ドメインと信頼できないインスタンス／ユニット／ドメインとの間において定義することができる。このようにして、例えば、コンピューティングデバイスの第１のアプリケーションプログラムを、信頼できない第１のゾーン（英語で、ｎｏｎ－ｔｒｕｓｔｗｏｒｔｈｙ ｚｏｎｅ ＮＴＺ）に割り当てることができ、コンピューティングデバイスの第２のアプリケーションプログラムを、信頼できる第２のゾーン（英語で、ｔｒｕｓｔｗｏｒｔｈｙ ｚｏｎｅ ＴＺ）に割り当てることができる。
【0046】
他の好ましい実施形態においては、コンピューティングデバイス１００（図１）が複数の（例えば、例示的に図１に示されているように４つの）中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎを有することが想定されており、この方法はさらに（図２Ｂを参照されたい）、ａ）少なくとも１つの中央処理装置を厳密に１つのゾーンに割り当てるステップ２２０、及び／又は、ｂ）少なくとも１つの中央処理装置を１つ以上のゾーン、特に２つのゾーンに割り当てるステップ２２２を含む。
【0047】
他の好ましい実施形態においては、例えば、第１の中央処理装置１０２ａは、例えば信頼できないゾーンであり得る第１のゾーンＺ１に割り当てられ、第２の中央処理装置１０２ｂは、例えば信頼できるゾーンであり得る第２のゾーンＺ２に割り当てられる。
【0048】
他の好ましい実施形態においては、例えば、第３の中央処理装置１０２ｃは、第１のゾーンＺ１及び第２のゾーンＺ２の両方に割り当てられる（図１を参照されたい）。同様のことが、他の好ましい実施形態においては、コンピューティングデバイス１００の第４の中央処理装置１０２ｎにも当てはまる。
【0049】
他の好ましい実施形態においては、図１に示されたコンピューティングデバイス１００は、図１に詳細に示されていない他のコンポーネントも有し得るものであり、これは、例えば、１つ又は複数のメモリデバイス及び／又は周辺コンポーネントであり、これらは、図１において、見易くするために、破線で示された長方形１０３によって、まとめて暗黙的に示されている。参照符号１０４は、１つ又は複数のデータインタフェースを表している。
【0050】
図３は、他の好ましい実施形態によるコンピューティングデバイス１００ａの簡略化されたブロック図を概略的に示しており、これは、図１に示されたコンピューティングデバイス１００と同様に、４つの中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎを有する。同様に、図３には、メインメモリ（ＲＡＭ）１０３０、不揮発性メモリ１０３２（例えばフラッシュメモリ、特にフラッシュＥＥＰＲＯＭ）及びコンピューティングデバイス１００ａの、任意選択的に存在する特殊機能レジスタ１０３４が示されている。これらは、例えば、それらの周辺コンポーネントの動作を制御するために利用可能である。これらのコンポーネント１０２ａ，１０２ｂ，…，１０３４は、バスシステム１０１を介して互いに接続されている。
【0051】
他の好ましい実施形態においては（図２Ｃを参照されたい）、コンピューティングデバイス１００（図１），１００ａ（図３）の動作方法はさらに、次の要素、即ち、
ａ）コンピューティングデバイス１００，１００ａに割り当てられているメモリ１０３０，１０３２に対する読取権、
ｂ）コンピューティングデバイスに割り当てられているメモリ１０３０，１０３２に対する書込権、
ｃ）少なくとも１つのゾーンＺ１，Ｚ２に応じた、コンピューティングデバイスに割り当てられているメモリ１０３０，１０３２に対する実行権（遂行権）、
のうちの少なくとも１つの要素を制御するステップ２３０、特に制限するステップを含むことが想定されている。これによって、有利には、対応するゾーンＺ１，Ｚ２に割り当てられているアプリケーションプログラムＡＰ１，ＡＰ２（図１）のみが、上述の１つ又は複数のメモリ１０３０，１０３２にアクセスできることが保証される。例えば、これによって、他の好ましい実施形態においては、信頼できないゾーンのアプリケーションプログラムが１つ又は複数のメモリ１０３０，１０３２にアクセスすること（特に、例えば、信頼できないゾーンによる、信頼できるゾーンに割り当てられているメモリ領域１０３０，１０３２へのアクセス）を阻止することができる。これは場合によっては、信頼できないゾーンのアプリケーションプログラムによるメモリコンテンツの改ざんの可能性に関するリスクである。
ａ）コンピューティングデバイス１００，１００ａに割り当てられているメモリ１０３０，１０３２に対する読取権、
ｂ）コンピューティングデバイスに割り当てられているメモリ１０３０，１０３２に対する書込権、
ｃ）少なくとも１つのゾーンＺ１，Ｚ２に応じた、コンピューティングデバイスに割り当てられているメモリ１０３０，１０３２に対する実行権（遂行権）、
のうちの少なくとも１つの要素を制御するステップ２３０、特に制限するステップを含むことが想定されている。これによって、有利には、対応するゾーンＺ１，Ｚ２に割り当てられているアプリケーションプログラムＡＰ１，ＡＰ２（図１）のみが、上述の１つ又は複数のメモリ１０３０，１０３２にアクセスできることが保証される。例えば、これによって、他の好ましい実施形態においては、信頼できないゾーンのアプリケーションプログラムが１つ又は複数のメモリ１０３０，１０３２にアクセスすること（特に、例えば、信頼できないゾーンによる、信頼できるゾーンに割り当てられているメモリ領域１０３０，１０３２へのアクセス）を阻止することができる。これは場合によっては、信頼できないゾーンのアプリケーションプログラムによるメモリコンテンツの改ざんの可能性に関するリスクである。
【0052】
他の好ましい実施形態においては（図２Ｃを参照されたい）、この方法がさらに、少なくとも一時的に少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８（図３）を、読取権及び／又は書込権及び／又は実行権を制御するために使用するステップ２３２を含むことが想定されている。
【0053】
他の好ましい実施形態においては（図２Ｄを参照されたい）、この方法はさらに、少なくとも１つの中央処理装置１０２ａに少なくとも１つの専用メモリ保護デバイスＭ１を提供するステップ２３１を含むことが想定されており、ここでは、特に複数の、好ましくはすべての中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎに対してそれぞれ１つの専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４が提供される。他の好ましい実施形態においてはさらに、上述のアクセス権、特に読取権及び／又は書込権及び／又は実行権を制御するステップ２３０、特に制限するステップを実行するために、各（専用）メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４が使用されるものとしてよい（図２Ｄのステップ２３２’を参照されたい）。
【0054】
他の好ましい実施形態においては、使用するステップ２３２’（図２Ｄ）の前に、任意選択的な、メモリ保護デバイスを構成するステップ２３１ａが行われるものとしてよい。
【0055】
他の好ましい実施形態においては（図２Ｅを参照されたい）、次のことが想定されている。即ち、少なくとも１つの中央処理装置１０２ａが少なくとも一時的に第１の動作モードを取り（ステップ２４０を参照されたい）、特に少なくとも１つの中央処理装置１０２ａは第１の動作モードにおいて、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８の動作を制御する構成データ１０３６（図３）の設定及び／又は書込２４２を行い、特に少なくとも１つの中央処理装置１０２ａが少なくとも一時的に第２の動作モードを取り２４３、少なくとも１つの中央処理装置１０２ａは第２の動作モードにおいて、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データの書込及び／又は変更を行うことができない。
【0056】
他の好ましい実施形態においては、第１の動作モードは、「スーパーバイザモード」又は監視モードと称されることもある。従って、「スーパーバイザモード」又は監視モードは、好ましくは、関連する中央処理装置１０２ａが少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８の構成を実行することができる特権状態であり得る。
【0057】
他の好ましい実施形態においては、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データは、例えば特殊機能レジスタ（英語で、ｓｐｅｃｉａｌ ｆｕｎｃｔｉｏｎ ｒｅｇｉｓｔｅｒ ＳＦＲ）、特に構成レジスタ１０３６の形態で設けられるものとしてよく、これらは、場合によっては同様に、少なくとも一時的に、好ましくは、対応するメモリ保護デバイスＭ５＿６の制御下において、バスシステム１０１を介してアクセス可能である。言い換えれば、他の好ましい実施形態においては、例えば特殊機能レジスタ（ＳＦＲ）、特に構成レジスタ１０３６は、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８の構成データのために設けられるものとしてよい。
【0058】
他の好ましい実施形態においては（図２Ｅを参照されたい）、少なくとも１つの中央処理装置１０２ａがイベント駆動方式で、特に少なくとも１つの割り込み要求（英語で、ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）に応じて、第１の動作モードを取る２４０ことが想定されている。
【0059】
他の好ましい実施形態においては（図２Ｆを参照されたい）、この方法がさらに、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対して構成データＫＤの複数のセットを提供するステップ２５０を含むことが想定されており、特に、構成データＫＤの複数のセットのうちの少なくとも１つの第１のセットが少なくとも２つのゾーンのうちの第１のゾーンＺ１に割り当てられ、構成データＫＤの複数のセットのうちの少なくとも１つの第２のセットが少なくとも２つのゾーンのうちの第２のゾーンＺ２に割り当てられる（ステップ２５２を参照されたい）。
【0060】
他の好ましい実施形態においては、少なくとも１つの中央処理装置１０２ａが、専用のシステム状態の範囲において、例えば、開始サイクルの際に、及び／又は、特定のイベントの際に、例えば割り込みルーチン（英語で、Ｉｎｔｅｒｒｕｐｔ Ｓｅｒｖｉｃｅ Ｒｏｕｔｉｎｅ ＩＳＲ）に入った際に、スーパーバイザモードなどの特定の動作モードを取ることが想定されており、これは、例えば、ハードウェア駆動方式で行われるものとしてよい。
【0061】
他の好ましい実施形態においては、少なくとも１つのさらなる非特権動作モードが、１つ又は複数の、好ましくはすべての中央処理装置に対して設定されており（「非特権モード」）、これは、他の好ましい実施形態においては、「ユーザモード」とも称されることがある。ユーザモードでは、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データＫＤ １０３６は、好ましくは書込可能ではない。言い換えれば、他の好ましい実施形態においては、現在ユーザモードにある中央処理装置は、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データＫＤ １０３６の書込又は変更を行うことはできず、これに対して、現在スーパーバイザモードにある中央処理装置は、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データＫＤ １０３６の書込又は変更を行うことができる。
【0062】
他の好ましい実施形態においては、アプリケーションプログラムＡＰ１，ＡＰ２が、非特権モード、例えば、ユーザモードにおいて実行又は遂行されることが想定されている。
【0063】
他の好ましい実施形態においては、例えば、３つの動作モード又は動作状態又はモードが設定されるものとしてもよく、例えば、第１は、スーパーバイザモード、第２は、特に信頼できないゾーンに対する「ユーザモード１」、第３は、特に信頼できるゾーンに対する「ユーザモード２」である。
【0064】
他の好ましい実施形態においては、例えば、ユーザモード１において、静的な構成データＫＤ２がアクティブであるものとしてよく、例えば第１のアプリケーションプログラムＡＰ１が実行されている。
【0065】
他の好ましい実施形態においては、例えば、ユーザモード２において、静的な構成データＫＤ３がアクティブであるものとしてよく、例えば第２のアプリケーションプログラムＡＰ２が実行されている。
【0066】
他の好ましい実施形態においては、スーパーバイザモードにおいて、例えば、静的な構成データＫＤ１がアクティブであり、スーパーバイザモードは、例えば、静的な構成データＫＤ２と静的な構成データＫＤ３との間の切換に用いられる（任意選択的に、静的な構成データＫＤ２と静的な構成データＫＤ３との間の切換にのみ用いられる）。
【0067】
他の好ましい実施形態においては、ユーザモード１及びユーザモード２は、静的な構成データＫＤ１，ＫＤ２，ＫＤ３，ＫＤ４間の切換を行うことはできない。
【0068】
他の好ましい実施形態においては、例えば２つのモード（例えば、スーパーバイザモード及びユーザモード）（だけ）が設定されるものとしてもよい。従って、他の好ましい実施形態においては、例えば、スーパーバイザモードが信頼できるゾーンに割り当てられるものとしてよく、例えば、構成データＫＤ１と構成データＫＤ２との間の切換を行うことができ、また、場合によっては、例えば、第２のアプリケーションプログラムＡＰ２を実行することができる。
【0069】
他の好ましい実施形態においては、異なる動作モード又は動作状態（例えば、特権モード及び非特権モード、又は、スーパーバイザモード、ユーザモード）に対して、例えば、１つ又は複数のメモリ１０３０，１０３２に対する各動作モード固有の読取権及び／又は書込権及び／又は遂行権（実行権）が与えられ、これは、他の好ましい実施形態においては、例えば、異なる、構成データＫＤのセット（「構成データセット」）を設定することによって実現可能である。
【0070】
他の好ましい実施形態においては、動作モードと各アプリケーションプログラムとの異なる組合せに対して、動作モード固有及び／又はアプリケーション固有の読取権及び／又は書込権及び／又は遂行権が与えられ、これは、他の好ましい実施形態においては、例えば、同様に、異なる、構成データＫＤのセット（「構成データセット」）を設定することによって実現可能である。例えば、これによって、例えば、異なるアプリケーションプログラムＡＰ１，ＡＰ２（図１）のユーザモードに対して、それぞれ、関連するアプリケーションプログラムＡＰ１，ＡＰ２に適合した読取権及び／又は書込権及び／又は遂行権が与えられるものとしてよい。
【0071】
他の好ましい実施形態においては、例示的に挙げられた、１つ又は複数の、好ましくはすべてのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８が複数の構成データセットを有しており、これらは他の好ましい実施形態においては、好ましくは、異なるモード及びアプリケーションプログラムＡＰ１，ＡＰ２に効率的に割り当てられるものとしてよい。
【0072】
他の好ましい実施形態においては、例えば、特権モード又は非特権モード間の切換の際に（例えば、スーパーバイザモードからユーザモードへの切換、又は、ユーザモードからスーパーバイザモードへの切換の際に）、又は、アプリケーションプログラム間の切換の際に、特に非特権モードにおいて、効率的に、特にハードウェア駆動方式で、関連するモード又は動作モードの構成データセット間の切換が行われ得る。
【0073】
他の好ましい実施形態においては、コンピューティングデバイス１００，１００ａ（図３）は、例として、次の例示的に挙げられた構成の任意選択肢、即ち、
ａ）少なくとも１つの中央メモリ保護デバイス又はバスシステム１０１（図３）に割り当てられている少なくとも１つのメモリ保護デバイスＭ５＿１，…，Ｍ５＿８に対する、特に、静的な（変更不可能な）構成データセットと、
ｂ）専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４に対する、それぞれ４つの、特に静的な構成データセットであって、それぞれ４つの、専用メモリ保護デバイスに対する構成データセットを含み、他の好ましい実施形態においては、例えば、スーパーバイザモード用の１つの静的な構成データセットと、例えばアプリケーションプログラムＡＰ１，ＡＰ２用の、即ち、例えばユーザモード用の３つの静的な構成データセットとを含む、構成データセットと、
を含む。図２３は、合計４つの構成データセットＫＤ１，ＫＤ２，ＫＤ３，ＫＤ４を含む例示的な構成データＫＤ’を概略的に示している。
ａ）少なくとも１つの中央メモリ保護デバイス又はバスシステム１０１（図３）に割り当てられている少なくとも１つのメモリ保護デバイスＭ５＿１，…，Ｍ５＿８に対する、特に、静的な（変更不可能な）構成データセットと、
ｂ）専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４に対する、それぞれ４つの、特に静的な構成データセットであって、それぞれ４つの、専用メモリ保護デバイスに対する構成データセットを含み、他の好ましい実施形態においては、例えば、スーパーバイザモード用の１つの静的な構成データセットと、例えばアプリケーションプログラムＡＰ１，ＡＰ２用の、即ち、例えばユーザモード用の３つの静的な構成データセットとを含む、構成データセットと、
を含む。図２３は、合計４つの構成データセットＫＤ１，ＫＤ２，ＫＤ３，ＫＤ４を含む例示的な構成データＫＤ’を概略的に示している。
【0074】
他の好ましい実施形態においては、構成データは、例えば、どのメモリアドレスに対して、コンピューティングデバイスのコンポーネント、例えば中央処理装置が、読取及び／又は書込及び／又は実行のためにアクセスすることができるのかを定義している。他の好ましい実施形態においては、メモリ保護デバイスは、関連する中央処理装置によって現在実行されているアクセス（読取及び／又は書込及び／又は実行）を構成データの内容と比較し、例えば、一致する場合には、関連するアクセスを許可若しくは禁止するように、又は、そうでない場合には、その逆を行うように、構成されるものとしてよい。
【0075】
他の好ましい実施形態においては、専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４に対する、挙げられた、好ましくは静的な構成データセットは、例えば、ユーザモードの場合、実施形態によるゾーンＺ１，Ｚ２と相関し得る。
【0076】
他の好ましい実施形態においては、特にいわゆる「コア－ゾーン間分離」のケースにおいて、（例えば、同等の信頼レベルを有する）特定のゾーンＺ２のアプリケーションプログラムのみが、特定の中央処理装置１０２ａ（図１）で実行される。他の好ましい実施形態においては、特にそのような中央処理装置１０２ａ用の専用メモリ保護デバイスＭ１（図３）のケースにおいて、例えば２つの、特に静的な構成データセットのみが使用され、例えば、１つはスーパーバイザモード用であり、１つはユーザモードにおけるアプリケーションプログラム用である。特にユーザモードにおけるアプリケーションプログラム用の、場合によっては残存している、未使用の構成データセットが、他の好ましい実施形態においては、例えば、次のように構成されるものとしてよい。即ち、これらが、メモリ全体１０３０，１０３２への一般的な読取アクセス、書込アクセス及び遂行アクセスを阻止するように構成されるものとしてよく、これによって、セキュリティがさらに強化される。
【0077】
他の好ましい実施形態においては、特にいわゆる「コア－ゾーン内分離」のケースにおいて、例えば、それぞれ異なる信頼レベルを有する２つのゾーンＺ１，Ｚ２のアプリケーションプログラムが、特定の中央処理装置１０２ｃ（図１）上において実行される。ここでは、好ましくは、特にユーザモードに対して、第１のゾーンＺ１のアプリケーションプログラム及び第２のゾーンＺ２のアプリケーションプログラム用の２つの異なる静的な構成データセットが使用され、これと並んで、好ましくは、他の動作モード、例えばスーパーバイザモード用の他の静的な構成データセットが使用される。他の好ましい実施形態においては、中央処理装置１０２ｃは、スーパーバイザモードの動作モードにおいて、２つのゾーンＺ１，Ｚ２のための２つの静的な構成データセットを切り換えるように構成されている。従って、他の好ましい実施形態においては、中央処理装置１０２ｃは、スーパーバイザモードにおいて、例えば、第１のゾーンＺ１に割り当てられているアプリケーションプログラムＡＰ１が実行されるべき場合には、第１のゾーンＺ１に適合している構成データセットを自身の専用メモリ保護デバイスにおいてアクティブにし、例えば、第２のゾーンＺ２に割り当てられているアプリケーションプログラムＡＰ２が実行されるべき場合には、例えば、第２のゾーンＺ２に適合している構成データセットを自身の専用メモリ保護デバイスにおいてアクティブにする。特にユーザモードにおけるアプリケーションプログラム用の、場合によっては残存している、未使用の構成データセット（ここでは、４つの総数が例示的に挙げられる構成データセット）が、他の好ましい実施形態においては、例えば、次のように構成されるものとしてよい。即ち、これらが、メモリ全体１０３０，１０３２への一般的な読取アクセス、書込アクセス及び遂行アクセスを阻止するように構成されるものとしてよく、これによって、セキュリティがさらに強化される。
【0078】
他の好ましい実施形態においては（図２Ｇを参照されたい）、この方法がさらに、次のステップを含むことが想定されている。即ち、アプリケーションプログラムＡＰ１の第１のインスタンスＡＰ１＿Ｉ１及びアプリケーションプログラムＡＰ１の第２のインスタンスＡＰ１＿Ｉ２を提供するステップ２６０、アプリケーションプログラムＡＰ１の第１のインスタンスＡＰ１＿Ｉ１を少なくとも２つのゾーンのうちの第１のゾーンＺ１に割り当てるステップ２６２、アプリケーションプログラムＡＰ１の第２のインスタンスＡＰ＿Ｉ２を少なくとも２つのゾーンのうちの第２のゾーンＺ２に割り当てるステップ２６３を含むことが想定されている。これによって、有利には、アプリケーション又はアプリケーションプログラムＡＰ１が複数のゾーンＺ１，Ｚ２にわたって「延在している」用途を包含することができる。従って、他の好ましい実施形態においては、このアプリケーションプログラムＡＰ１に対して、ゾーンごとにそれぞれ１つのインスタンスＡＰ１＿Ｉ１，ＡＰ１＿Ｉ２が存在するものとしてよく、そのようなインスタンスは、他の好ましい実施形態においてはプロキシとも称され得る。
【0079】
他の好ましい実施形態においては、そのようなプロキシＡＰ１＿Ｉ２は、関連する他のゾーンＺ２に対して関連性のある（部分的な）機能性を包含することができる。他の好ましい実施形態においては、プロキシは、場合によっては、複数のサブコンポーネントも含むものとしてよい。
【0080】
他の好ましい実施形態においては、コンピューティングデバイス１００，１００ａは、例えば、次のシナリオを実行することができる：第１のアプリケーションプログラムＡＰ１が、例えば、信頼できない第１のゾーンＺ１からデータを受信し（例えば、インタネットからのリモートサービス要求（「離隔した場所からのサービス要求」））、（例えば、相応のサービス（「リモートサービス」）を実施するために）このデータを相応に、信頼できるゾーンＺ２内において処理する又は転送する場合、第１のゾーンＺ１内において、アプリケーションプログラムＡＰ１のＺ１プロキシＡＰ１＿Ｉ１によって、データの受信が行われ、ここでは、対応するＺ２プロキシＡＰ１＿Ｉ２が、例えば、次のステップを実行する。即ち、Ｚ２プロキシＡＰ１＿Ｉ２によって、特に初期状態において、信頼できないと分類されたデータのデータ検証ステップと、データ検証ステップが成功した場合における、（データ検証ステップ後に）信頼できると分類されたデータの第２のゾーンＺ２内における処理ステップ又は転送ステップとを実行する。
【0081】
他の好ましい実施形態においては（図２Ｈを参照されたい）、この方法がさらに、次のステップを含むことが想定されている。即ち、少なくとも２つのゾーンＺ１，Ｚ２に応じて、コンピューティングデバイス１００，１００ａに割り当てられているメモリ１０３０，１０３２の領域を分離するステップ２７０を含むことが想定されている。ここでは、コンピューティングデバイス１００，１００ａに割り当てられているメモリは、次の要素、即ち、
ａ）特にメインメモリの形態のバッファメモリ、
ｂ）スタックメモリ、
ｃ）データメモリ、
ｄ）プログラムメモリ、
ｅ）レジスタメモリ、
のうちの少なくとも１つの要素を有しており、ここでは、少なくとも１つのメモリ保護デバイスが、この分離するステップ２７０のために使用される（任意選択的なステップ２７２を参照されたい）。
ａ）特にメインメモリの形態のバッファメモリ、
ｂ）スタックメモリ、
ｃ）データメモリ、
ｄ）プログラムメモリ、
ｅ）レジスタメモリ、
のうちの少なくとも１つの要素を有しており、ここでは、少なくとも１つのメモリ保護デバイスが、この分離するステップ２７０のために使用される（任意選択的なステップ２７２を参照されたい）。
【0082】
他の好ましい実施形態においては（図２Ｉを参照されたい）、この方法がさらに、バッファメモリ、特にメインメモリを介して、種々のゾーンの間において第１のデータを交換するステップ２８０を含むことが想定されている。ここでは、特に第１のゾーンＺ１と第２のゾーンＺ２との間における第１のデータの交換は、次のステップ、即ち、
第１のデータを、第１のゾーンに割り当てられている第１のバッファメモリ領域にコピーするステップ２８２と、
コピーされた第１のデータを検査するステップ２８３と、
特にこの検査するステップに応じて、第１のデータを、第１のゾーンＺ１に割り当てられている第１のバッファメモリ領域から、第２のゾーンＺ２に割り当てられている第２のバッファメモリ領域にコピーするステップ２８４と、
を含む。
第１のデータを、第１のゾーンに割り当てられている第１のバッファメモリ領域にコピーするステップ２８２と、
コピーされた第１のデータを検査するステップ２８３と、
特にこの検査するステップに応じて、第１のデータを、第１のゾーンＺ１に割り当てられている第１のバッファメモリ領域から、第２のゾーンＺ２に割り当てられている第２のバッファメモリ領域にコピーするステップ２８４と、
を含む。
【0083】
図４は、他の好ましい実施形態による、コンピューティングデバイス１００，１００ａの態様の簡略化されたブロック図を概略的に示している。２つの中央処理装置１０２ａ，１０２ｂが示されており、これらは、既に上述したように、各ゾーンＺ１，Ｚ２に割り当てられている。メインメモリ１０３０（図３）の領域１０３０ａは、ここでは、特に異なるゾーンＺ１，Ｚ２又は関連する中央処理装置１０２ａ，１０２ｂ又はその上において実行可能なアプリケーションプログラム（アプリケーションプログラムのインスタンス）間のデータ交換のために、バッファメモリ又は「分割されたメインメモリ」として利用可能である。ここでは、第１の部分領域ＴＢ１は、第１のゾーンＺ１又は第２の中央処理装置１０２ｂに割り当てられており、第２の部分領域ＴＢ２は、第２のゾーンＺ２又は第１の中央処理装置１０２ａに割り当てられている。
【0084】
同様に、図４には、複数のプロキシＰＸＹが示されており、ここでは、例えば第１の数のプロキシ、即ち、Ｚ１－プロキシ １，Ｚ１－プロキシ ２，…，Ｚ１－プロキシ ｎが第１のゾーンＺ１に、即ち、ここでは中央処理装置１０２ｂに割り当てられており、例えば第２の数のプロキシ、即ち、Ｚ２－プロキシ １，Ｚ２－プロキシ ２，…，Ｚ２－プロキシ ｎが第２のゾーンＺ２に、即ち、ここでは中央処理装置１０２ａに割り当てられている。参照符号ＳＳＥによって、ここでは、複数のメモリ保護デバイス又はその機能的なコンポーネントが示されており、これらは、図４において象徴的に、部分領域ＴＢ１，ＴＢ２若しくはゾーンＺ１，Ｚ２の相互からの相応の分離、又は、部分領域ＴＢ１，ＴＢ２若しくはゾーンＺ１，Ｚ２同士の相応の分離を、好ましい実施形態による原理に対応して暗黙的に示している。
【0085】
他の好ましい実施形態においては、部分領域ＴＢ１，ＴＢ２の少なくとも１つの部分領域はそれ自体、異なる領域ＴＢ１ａ，ＴＢ１ｂ又はＴＢ２ａ，ＴＢ２ｂに細分化されるものとしてよく、ここでは例えば、領域ＴＢ１ａは、第１の部分領域ＴＢ１の信頼できない領域に相当し、領域ＴＢ１ｂは、第１の部分領域ＴＢ１の信頼できる領域に相当し、領域ＴＢ２ａは、第２の部分領域ＴＢ２の信頼できる領域に相当し、領域ＴＢ２ｂは、第２の部分領域ＴＢ２の信頼できない領域に相当する。他の好ましい実施形態においては、部分領域ＴＢ１，ＴＢ２又は異なる領域ＴＢ１ａ，ＴＢ１ｂ若しくはＴＢ２ａ，ＴＢ２ｂの分離は、少なくとも１つのメモリ保護デバイスによって設定されるものとしてよい。
【0086】
他の好ましい実施形態においては（図２Ｊを参照されたい）、この方法がさらに、少なくとも２つのゾーンＺ１，Ｚ２に応じて、異なるアプリケーションプログラムＡＰ１，ＡＰ２及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを分離するステップ２９０、特に、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるステップを含むことが想定されている。
【0087】
他の好ましい実施形態においては、この方法がさらに、次のステップを含むことが想定されている。即ち、異なるアプリケーションプログラムＡＰ１，ＡＰ２及び／又はアプリケーションプログラムのインスタンスＡＰ１＿Ｉ１，ＡＰ２＿Ｉ２に対する計算時間リソースの割り当てのために、組込システム用のオペレーティングシステムＢＳ、特に軽量組込オペレーティングシステムＢＳを使用するステップ２９２を含むことが想定されている。ここでは、特に、コンピューティングデバイス１００，１００ａのそれぞれ１つの中央処理装置に１つのオペレーティングシステムＢＳが割り当てられている（図４を参照されたい）。
【0088】
他の好ましい実施形態においては、この方法が、図２Ｊのステップ２９２に対して選択的に又は付加的に、さらに、次のステップを含むことが想定されている。即ち、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対する計算時間リソースの割り当てのために、組込システム用のスーパーバイザＳＶ（図５を参照されたい）、特に軽量組込スーパーバイザＳＶを使用するステップ２９４を含むことが想定されている。ここでは特に、コンピューティングデバイスのそれぞれ１つの中央処理装置１０２ｃ（図５）に１つのスーパーバイザＳＶが割り当てられている。
【0089】
他の好ましい実施形態においては、オペレーティングシステムＢＳ及び／又はスーパーバイザＳＶが、特に、静的な（変更不可能な）タスクリストを使用して、事前に規定されたタスク（アプリケーションプログラム及び／又はアプリケーションプログラムのインスタンス及び／又はその一部）に対して、好ましくは事前に規定されたタスクに対してのみ、計算時間リソースの割り当てを実行することが想定されている。言い換えれば、他の好ましい実施形態においては、事前に規定されたタスクのスケジューリングのみが可能であり、これはセキュリティをさらに強化する。
【0090】
他の好ましい実施形態においては、オペレーティングシステムＢＳ（図４）及び／又はスーパーバイザＳＶ（図５）が、計算時間リソースの割り当てを、ａ）繰り返される、特に定期的に繰り返される割り込み要求（例えば、タイマ割り込みのｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔｓ）に応じて、及び／又は、ｂ）イベント駆動方式の割り込み要求に応じて、実行することが想定されており、ここでは、特に、タスクは、少なくとも１つの割り込みルーチン（ｉｎｔｅｒｒｕｐｔ ｓｅｒｖｉｃｅ ｒｏｕｔｉｎｅ ＩＳＲ 割り込み要求の発生時に実行されるコンピュータプログラム）によってアクティブ化される。
【0091】
他の好ましい実施形態においては、割り込みルーチンに入ると、特にハードウェア駆動方式で、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，ＳＳＥに対する構成データが変更されることが想定されている。
【0092】
他の好ましい実施形態においては、軽量組込ＯＳ ＢＳ（図４）又は軽量組込スーパーバイザＳＶ（図５）は、例えば、周期的に又はイベントに基づいて実行される、（プロキシ）機能性（タスク）のコーディネート及び／又は調整を行うことができる（「スケジューリング」）。
【0093】
他の好ましい実施形態においては、軽量組込ＯＳ ＢＳ及び軽量組込スーパーバイザは、特に、次の特性のうちの少なくとも１つの特性を有する。
ａ）複雑性（コードの範囲、機能性、柔軟性など）を必要最小限に抑制することによる侵入表面の最小化。
ｂ）事前に規定されたタスク（静的なタスクリスト、動的なタスクリストは不可）のみのスケジューリング、例えば周期的な割り込み要求（ＩＲＱ）、例えばタイマＩＲＱ及び／又はｅｖｅｎｔ（イベント）に基づくＩＲＱ、例えばＲｘ（受信）ＩＲＱ、Ｔｘ（送信）ＩＲＱ、ＳＷ（ソフトウェア）ＩＲＱなどを伴うＩＳＲなどに基づくスケジューリングであり、タスクはＩＳＲによってアクティブ化される。
ｃ）ＩＳＲに入ると、好ましくは、スーパーバイザモードへのハードウェア駆動方式の切換が行われる：例えば、スーパーバイザモードに対する静的な構成データセットへの切換、静的な構成データセット間の切換（例えば、ユーザモードに対する）は、好ましくは、スーパーバイザモードにおいてのみ可能である。
ｄ）さらに好ましくは、タスクのアクティブ化の前に、スーパーバイザモードからユーザモードへの切換が行われ、ここでは、特に、タスク（例えば、アプリケーションプログラム（アプリケーションプログラムのインスタンス）の一部）がユーザモードにおいて実行され、さらに、特に、（静的な）構成データ間の切換は、ユーザモード又はタスクにおいて不可能である。
ｅ）有利には、他の好ましい実施形態においては、メモリ保護デバイスの静的な（場合によっては特に完全かつ真正でもある）構成によって、例えば、開始サイクル中に、次のことが既に暗黙的に可能にされている。即ち、メモリ保護デバイスの動的な再構成が、（例えば、軽量組込ＯＳ ＢＳ／スーパーバイザＳＶによって）スーパーバイザモードに対して設定されている割り込みルーチン（ＩＳＲ）を用いて行われることがないことが既に暗黙的に可能にされている。
ａ）複雑性（コードの範囲、機能性、柔軟性など）を必要最小限に抑制することによる侵入表面の最小化。
ｂ）事前に規定されたタスク（静的なタスクリスト、動的なタスクリストは不可）のみのスケジューリング、例えば周期的な割り込み要求（ＩＲＱ）、例えばタイマＩＲＱ及び／又はｅｖｅｎｔ（イベント）に基づくＩＲＱ、例えばＲｘ（受信）ＩＲＱ、Ｔｘ（送信）ＩＲＱ、ＳＷ（ソフトウェア）ＩＲＱなどを伴うＩＳＲなどに基づくスケジューリングであり、タスクはＩＳＲによってアクティブ化される。
ｃ）ＩＳＲに入ると、好ましくは、スーパーバイザモードへのハードウェア駆動方式の切換が行われる：例えば、スーパーバイザモードに対する静的な構成データセットへの切換、静的な構成データセット間の切換（例えば、ユーザモードに対する）は、好ましくは、スーパーバイザモードにおいてのみ可能である。
ｄ）さらに好ましくは、タスクのアクティブ化の前に、スーパーバイザモードからユーザモードへの切換が行われ、ここでは、特に、タスク（例えば、アプリケーションプログラム（アプリケーションプログラムのインスタンス）の一部）がユーザモードにおいて実行され、さらに、特に、（静的な）構成データ間の切換は、ユーザモード又はタスクにおいて不可能である。
ｅ）有利には、他の好ましい実施形態においては、メモリ保護デバイスの静的な（場合によっては特に完全かつ真正でもある）構成によって、例えば、開始サイクル中に、次のことが既に暗黙的に可能にされている。即ち、メモリ保護デバイスの動的な再構成が、（例えば、軽量組込ＯＳ ＢＳ／スーパーバイザＳＶによって）スーパーバイザモードに対して設定されている割り込みルーチン（ＩＳＲ）を用いて行われることがないことが既に暗黙的に可能にされている。
【0094】
他の好ましい実施形態においては（図２Ｋを参照されたい）、この方法がさらに、次のステップを含むことが想定されている。即ち、特にオペレーティングシステムＢＳ（図４）及び／又はスーパーバイザＳＶ（図５）を用いて、特に侵害の可能性があるかに関して、次の要素、即ち、
ａ）第１のゾーンＺ１、
ｂ）第１のゾーンＺ１に割り当てられているアプリケーションプログラムＡＰ１、
ｃ）第１のゾーンＺ１に割り当てられている、アプリケーションプログラムＡＰ１のインスタンスＡＰ１＿Ｉ１
のうちの少なくとも１つの要素を監視するステップ３００を含むことが想定されている。ここでは、特にこの監視するステップ３００は、スタックメモリ（「ｓｔａｃｋ」）を評価するステップ３０２（図２Ｋ）及び／又はプログラムカウンタ（「ｐｒｏｇｒａｍ ｃｏｕｎｔｅｒ」 ＰＣ）を評価するステップ３０４を含み、ここで、好ましくは、スタックメモリを評価するステップ３０２及び／又はプログラムカウンタを評価するステップ３０４は、アプリケーションプログラムをアクティブ化するステップ及び／又はアプリケーションプログラムのインスタンスをアクティブ化するステップの前に行われる。
ａ）第１のゾーンＺ１、
ｂ）第１のゾーンＺ１に割り当てられているアプリケーションプログラムＡＰ１、
ｃ）第１のゾーンＺ１に割り当てられている、アプリケーションプログラムＡＰ１のインスタンスＡＰ１＿Ｉ１
のうちの少なくとも１つの要素を監視するステップ３００を含むことが想定されている。ここでは、特にこの監視するステップ３００は、スタックメモリ（「ｓｔａｃｋ」）を評価するステップ３０２（図２Ｋ）及び／又はプログラムカウンタ（「ｐｒｏｇｒａｍ ｃｏｕｎｔｅｒ」 ＰＣ）を評価するステップ３０４を含み、ここで、好ましくは、スタックメモリを評価するステップ３０２及び／又はプログラムカウンタを評価するステップ３０４は、アプリケーションプログラムをアクティブ化するステップ及び／又はアプリケーションプログラムのインスタンスをアクティブ化するステップの前に行われる。
【0095】
他の好ましい実施形態においては（図２Ｌを参照されたい）、この方法がさらに、次のステップを含むことが想定されている。即ち、監視するステップ３００（上述の図２Ｋに関する記述を参照されたい）及び特に監視するステップ３００が侵害の可能性を示す場合に、この方法が、エラー応答を開始するステップ３０５を含むことが想定されている。
【0096】
他の好ましい実施形態においては（図２Ｍを参照されたい）、エラー応答又はエラー応答を開始するステップ３０５が、次の要素、即ち、
ａ）特に、第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂの非アクティブ化３０５ａ及び／又は第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂのリセット３０５ｂ及び／又はエラーモードへの移行３０５ｃを用いた、第１のゾーンＺ１及び／又は第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂ（図１）の安全な状態への移行、
ｂ）エラーエントリＦＥの生成３０５ｄ、及び／又は、
ｃ）あるエラーエントリ又は上述のエラーエントリの、侵入検知システム、特にＩｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍへの転送３０５ｅ
のうちの少なくとも１つの要素を含むことが想定されている。他の好ましい実施形態においては、ＩＤＳは、例えば、コンピューティングデバイス１００，１００ａの内部及び／又は外部に配置されるものとしてよい。
ａ）特に、第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂの非アクティブ化３０５ａ及び／又は第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂのリセット３０５ｂ及び／又はエラーモードへの移行３０５ｃを用いた、第１のゾーンＺ１及び／又は第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂ（図１）の安全な状態への移行、
ｂ）エラーエントリＦＥの生成３０５ｄ、及び／又は、
ｃ）あるエラーエントリ又は上述のエラーエントリの、侵入検知システム、特にＩｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍへの転送３０５ｅ
のうちの少なくとも１つの要素を含むことが想定されている。他の好ましい実施形態においては、ＩＤＳは、例えば、コンピューティングデバイス１００，１００ａの内部及び／又は外部に配置されるものとしてよい。
【0097】
他の好ましい実施形態においては、ＩＤＳが、例えば、分散された実装を有するものとしてもよく、ここでは、例えば第１の部分機能性（例えば、ＩＤＳセンサ及び場合によってはＩＤＳマスタなど）が、あるコンピューティングデバイス又は上述のコンピューティングデバイス又はコンピューティングデバイスの少なくとも１つの中央処理装置上において実装されており又は実行され、ここでは特に他の部分又は他の部分機能性が、任意選択的に、他の装置、例えばバックエンドにおいて実装されている。他の好ましい実施形態においては、バックエンドは、例えば、次の態様、即ち、
ａ）詳細な専門家分析、
ｂ）人工知能（ＡＩ）、
ｃ）機械学習（ＭＬ）など
のうちの少なくとも１つの態様を実装するように構成されるものとしてもよい。
ａ）詳細な専門家分析、
ｂ）人工知能（ＡＩ）、
ｃ）機械学習（ＭＬ）など
のうちの少なくとも１つの態様を実装するように構成されるものとしてもよい。
【0098】
他の好ましい実施形態においては（図２Ｎを参照されたい）、コンピューティングデバイス１００，１００ａが少なくとも一時的にコールドスタート３１０を実行することが想定されており、特にコールドスタート３１０中に、データ及び／又はプログラムコードが不揮発性メモリ１０３２（図３）からロードされ、コンピューティングデバイス１００，１００ａが少なくとも一時的にウォームスタート３１２（図２Ｎ）を実行し、ここでは、特にウォームスタート３１２中に、データ及び／又はプログラムコードが、少なくとも一時的に通電される揮発性メモリ１０３０（図３）からロードされ、特にコールドスタート３１０（図２Ｎ）中に、少なくとも１つのメモリ保護デバイス若しくは上述の少なくとも１つのメモリ保護デバイスが構成され（図２Ｎのステップ３１１を参照されたい）、及び／又は、特にウォームスタート３１２中に（特にウォームスタート３１２中にも）、上述の少なくとも１つのメモリ保護デバイスが構成される（図２Ｎのステップ３１３を参照されたい）。
【0099】
他の好ましい実施形態においては、専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４が提供されている（図２Ｄのステップ２３１を参照されたい）中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎのみが、この専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４を構成することが想定されている（図２Ｄのステップ２３１ａを参照されたい）。
【0100】
他の好ましい実施形態においては（図２Ｐを参照されたい）、この方法がさらに、特に、次の要素、即ち、
ａ）少なくとも１つのメモリ保護デバイスの構成に使用可能なプログラムコードの検証３２２、
ｂ）構成データの検証３２４、
ｃ）少なくとも１つのメモリ保護デバイスの構成に使用可能な、あるプログラムコード又は上述のプログラムコードの永続化３２６、
ｄ）構成データの永続化３２８
のうちの少なくとも１つの要素を用いて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データＫＤの完全性及び／又は真正性を検査するステップ３２０を含むことが想定されている。
ａ）少なくとも１つのメモリ保護デバイスの構成に使用可能なプログラムコードの検証３２２、
ｂ）構成データの検証３２４、
ｃ）少なくとも１つのメモリ保護デバイスの構成に使用可能な、あるプログラムコード又は上述のプログラムコードの永続化３２６、
ｄ）構成データの永続化３２８
のうちの少なくとも１つの要素を用いて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データＫＤの完全性及び／又は真正性を検査するステップ３２０を含むことが想定されている。
【0101】
他の好ましい実施形態においては、永続化３２６，３２８は、例えば、少なくとも１つのメモリ保護デバイスの構成に使用可能なプログラムコード又は構成データを、固定記憶装置、例えばＲＯＭ又はＯＴＰ（ワンタイムプログラマブル、１回だけプログラミング可能なメモリ）内に設定することを含むものとしてよい。
【0102】
他の好ましい実施形態においては（図２Ｑを参照されたい）、この方法がさらに、特に、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置によって、少なくとも一時的に、セキュアブート方法を実行するステップ３３０及び／又は少なくとも一時的に、ランタイム中に改ざんを識別する方法（ＲＴＭＤ ｒｕｎｔｉｍｅ ｍａｎｉｐｕｌａｔｉｏｎ ｄｅｔｅｃｔｉｏｎ）を実行するステップ３３２を含むことが想定されている。方法３３０，３３２は、例えば、メモリ１０３０，１０３２の少なくとも一部の実際に存在するメモリコンテンツを、設定可能な基準メモリコンテンツと比較することを含むものとしてよく、ここで、この比較は、例えば、ハッシュ値形成及び／又はＣＭＡＣ（ｃｉｐｈｅｒ－ｂａｓｅｄ ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ）方法の利用及び／又は署名、又は、署名されたハッシュ値の利用も含むものとしてよい。
【0103】
他の好ましい実施形態においては（図２Ｒを参照されたい）、この方法がさらに、少なくとも１つのゾーンＺ１，Ｚ２に応じて、次の要素、即ち、
ａ）コンピューティングデバイスの内部インタフェース、特にソフトウェアインタフェース、
ｂ）コンピューティングデバイスの内部ハードウェアインタフェース及び／又は外部ハードウェアインタフェース、
ｃ）暗号化機能を実行するためのハードウェアセキュリティモジュール及び／又は暗号化モジュール、
ｄ）コンピューティングデバイスの周辺機器、特に少なくとも１つの周辺機器の特殊機能レジスタ、
ｅ）コンピューティングデバイスのターゲットシステム、特に制御装置の内部インタフェース、
ｆ）コンピューティングデバイスのターゲットシステム、特に制御装置の外部インタフェース、
ｇ）特に、ＩＳＯ／ＯＳＩレイヤモデルの少なくとも１つのレイヤ上の通信プロトコルに対するアドレス指定要素
のうちの少なくとも１つの要素へのアプリケーションプログラムＡＰ１，ＡＰ２によるアクセスを制御するステップ３４０を含むことが想定されている。図２Ｒに示された任意選択的なステップ３４２は、例示的に、自身に割り当てられているゾーンにおける関連するアプリケーションプログラムの（さらなる）実行を暗黙的に示している。
ａ）コンピューティングデバイスの内部インタフェース、特にソフトウェアインタフェース、
ｂ）コンピューティングデバイスの内部ハードウェアインタフェース及び／又は外部ハードウェアインタフェース、
ｃ）暗号化機能を実行するためのハードウェアセキュリティモジュール及び／又は暗号化モジュール、
ｄ）コンピューティングデバイスの周辺機器、特に少なくとも１つの周辺機器の特殊機能レジスタ、
ｅ）コンピューティングデバイスのターゲットシステム、特に制御装置の内部インタフェース、
ｆ）コンピューティングデバイスのターゲットシステム、特に制御装置の外部インタフェース、
ｇ）特に、ＩＳＯ／ＯＳＩレイヤモデルの少なくとも１つのレイヤ上の通信プロトコルに対するアドレス指定要素
のうちの少なくとも１つの要素へのアプリケーションプログラムＡＰ１，ＡＰ２によるアクセスを制御するステップ３４０を含むことが想定されている。図２Ｒに示された任意選択的なステップ３４２は、例示的に、自身に割り当てられているゾーンにおける関連するアプリケーションプログラムの（さらなる）実行を暗黙的に示している。
【0104】
他の好ましい実施形態においては（図２Ｓを参照されたい）、この方法がさらに、次の要素、即ち、
ａ）少なくとも１つの付加的な、特にまだ存在していないゾーンの導入３５０、
ｂ）第１の中央処理装置１０２ａから、コンピューティングデバイス１００，１００ａの少なくとも１つの他の中央処理装置１０２ｂへの機能性の移動３５２、
ｃ）特にコンピューティングデバイス内に統合されているメインメモリを使用した、少なくとも２つのゾーン間の通信の実行３５４、
ｄ）少なくとも１つの信頼できるゾーンの定義３６０（図２Ｔを参照されたい）及び任意選択的に、信頼できるゾーンに割り当てられている少なくとも１つのアプリケーションプログラムによる、少なくとも１つの他の、特に信頼できないゾーンの監視３６２
のうちの少なくとも１つの要素を含むことが想定されている。
ａ）少なくとも１つの付加的な、特にまだ存在していないゾーンの導入３５０、
ｂ）第１の中央処理装置１０２ａから、コンピューティングデバイス１００，１００ａの少なくとも１つの他の中央処理装置１０２ｂへの機能性の移動３５２、
ｃ）特にコンピューティングデバイス内に統合されているメインメモリを使用した、少なくとも２つのゾーン間の通信の実行３５４、
ｄ）少なくとも１つの信頼できるゾーンの定義３６０（図２Ｔを参照されたい）及び任意選択的に、信頼できるゾーンに割り当てられている少なくとも１つのアプリケーションプログラムによる、少なくとも１つの他の、特に信頼できないゾーンの監視３６２
のうちの少なくとも１つの要素を含むことが想定されている。
【0105】
以下においては、図６乃至図２１を参照して、他の好ましい実施形態、態様及び実施形態による原理の利点を説明する。これらは、他の好ましい実施形態に従って、それぞれ個別に単独で、又は、上述した実施形態のうちの少なくとも１つの実施形態との相互の組合せにより、組み合わせることが可能である。
【0106】
図６は、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ１の態様を概略的に示している。図６における雷マークＩＲＱは、例えば周期的に（例えば、タイマモジュール（Ｔｉｍｅｒ）によって設定可能）及び／又はイベント駆動方式で（例えば、通信インタフェースへのメッセージの到着）生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、次の要素、即ち、
ｅ１）割り込み要求ＩＲＱによって割り込まれたタスク又はプログラムのコンテキストを、例えば、スタックメモリ上に少なくとも一時的に格納するステップ（例えば、ＲＡＭ１０３０の設定可能な領域内において定義されるものとしてよい）、
ｅ２）後に実行されるタスクを識別するステップ、
ｅ３）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ４）識別されたゾーンのタスクを復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ１が実行される。
ｅ１）割り込み要求ＩＲＱによって割り込まれたタスク又はプログラムのコンテキストを、例えば、スタックメモリ上に少なくとも一時的に格納するステップ（例えば、ＲＡＭ１０３０の設定可能な領域内において定義されるものとしてよい）、
ｅ２）後に実行されるタスクを識別するステップ、
ｅ３）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ４）識別されたゾーンのタスクを復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ１が実行される。
【0107】
【0108】
図７は、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ２の態様を概略的に示している。
【0109】
図７における雷マークＩＲＱ’は、例えば、周期的に（例えば、タイマモジュール（Ｔｉｍｅｒ）によって設定可能）及び／又はイベント駆動方式で（例えば、通信インタフェースへのメッセージの到着）生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、次の要素、即ち、
ｅ１’）割り込み要求ＩＲＱ’によって割り込まれたタスク又はプログラムのコンテキストを、例えばスタックメモリ上に少なくとも一時的に格納するステップ、
任意選択的にｅ５）例えばスタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ６）後に実行されるタスクを識別するステップ、
ｅ７）（例えば、先行するステップｅ６から）コンテキストを、識別されたゾーンへ切り換えるステップであり、ここでは、識別されたゾーンは、後に実行される識別されたタスクと関連付けられている（選択的に、他の好ましい実施形態においては、この切換は、例えばＣＡＮ ＩＤ，ＶＬＡＮ ＩＤ，ＭＡＣアドレスなどを用いて、例えばアドレスに基づいて行われるものとしてもよい）、ステップ、
ｅ８）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ９）後続のタスクのコンテキストを復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ２が実行される。
ｅ１’）割り込み要求ＩＲＱ’によって割り込まれたタスク又はプログラムのコンテキストを、例えばスタックメモリ上に少なくとも一時的に格納するステップ、
任意選択的にｅ５）例えばスタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ６）後に実行されるタスクを識別するステップ、
ｅ７）（例えば、先行するステップｅ６から）コンテキストを、識別されたゾーンへ切り換えるステップであり、ここでは、識別されたゾーンは、後に実行される識別されたタスクと関連付けられている（選択的に、他の好ましい実施形態においては、この切換は、例えばＣＡＮ ＩＤ，ＶＬＡＮ ＩＤ，ＭＡＣアドレスなどを用いて、例えばアドレスに基づいて行われるものとしてもよい）、ステップ、
ｅ８）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ９）後続のタスクのコンテキストを復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ２が実行される。
【0110】
【0111】
図８は、他の好ましい実施形態によるフローチャートを概略的に示しており、参照符号３１０’は、例示的に、コンピューティングデバイス１００，１００ａのコールドスタートの態様を示しており、ここでは参照符号３１２’は、例示的に、コンピューティングデバイス１００，１００ａのウォームスタートの態様を示している。例えば、コールドスタート３１０’では、ＲＡＭ１０３０（図３）の内容を検証するためのテストパターンは利用可能ではない。例えば、ウォームスタート３１２’では、ＲＡＭ１０３０（図３）の内容を検証するためのテストパターンが利用可能である。
【0112】
他の好ましい実施形態においては、少なくとも１回実行されるべきコールドスタートの範囲において、特にパワーダウンモードにおいて給電される揮発性メモリに、テストパターン又はパターンの書込を行うことができる。従って、上述の給電に基づいて、上述のテストパターン又はパターンは、それ自体が揮発性であるメモリ内に保存される。他の好ましい実施形態においては、この（ＲＡＭ）パターンは、システムステートマシン（例えば、システム状態を制御するために、他の好ましい実施形態において利用可能な状態機械）の少なくとも１つの開始サイクルの際に、特に各開始サイクルの際に検査され、特にテストパターンの存在に応じて、コールドスタート（例えば、（ＲＡＭ）パターンが存在していない場合）又はウォームスタート（例えば、（ＲＡＭ）パターンが存在する場合）が実行されるものとしてよい。
【0113】
従って、他の好ましい実施形態においては、パワーダウンモードにおいて給電される揮発性メモリの完全性及び真正性、又は、揮発性メモリに含まれている若しくは揮発性メモリ内に存在する揮発性メモリのデータ及び機能性（例えば、特に第１のゾーン及び／又は第２のゾーン及び／又はプログラムコードに対する中央処理装置１０２ｃ及び／又はメモリ保護デバイスの構成データ）の完全性及び真正性が、少なくとも１回強制的に実行されるべき、先行するコールドスタート（セキュアブート及び／又はＯＴＰメモリからの開始（上記を参照））の範囲において保証される。
【0114】
従って、他の好ましい実施形態においては、パワーダウンモードにおいて給電される揮発性メモリ内に存在するデータ及び機能性の無効な改ざん並びにＲＡＭパターンの無効な改ざんは、少なくとも一時的な給電中断、ひいてはパワーダウンモードにおいて給電される揮発性メモリ（ＲＡＭパターンなど）の消去を暗黙的に示す。他の好ましい実施形態においては、システムステートマシンは、それに応じて、開始サイクルの範囲において、ＲＡＭパターンの欠如に基づいて、特に自動的に、コールドスタート（セキュアブート及び／又はＯＴＰからの開始（上記を参照））をトリガすることとなる。これによって、パワーダウンモードにおいて給電される揮発性メモリ又は揮発性メモリのデータ及び機能性の完全性及び真正性が、揮発性メモリの利用又は実行前に保証される。
【0115】
他の好ましい実施形態においては、テストパターンが存在する場合、例えば、ウォームスタートの範囲において選択されたタイムクリティカルなＳＷインスタンスが、それらの実行前に検査されるのではなく（即ち、例えば、特にセキュアブートではなく）、場合によってはランタイムに／それらの実行後に、はじめて検査されることが想定されている。これによって、有利には、ウォームスタート時のタイムクリティカルなＳＷインスタンスの起動時間が短縮される。従って、他の好ましい実施形態においては、ウォームスタート中の完全性及び真正性は、有利には、テストパターンが利用可能であること（ひいては、先行するコールドスタート中の検査）によって、ウォームスタート中の明示的な検査がなくても暗黙的に保証される。他の好ましい実施形態においては、タイムクリティカルではないコンポーネントを、それらが遂行される前に、ウォームスタート中にも、（例えば、セキュアブートプロセスを用いて）明示的に検査することができる。
【0116】
ブロック１０２ａ＿１は、例示的に、コンピューティングデバイスの第１の中央処理装置１０２ａ（図３）を「ｒｏｏｔ ｏｆ ｔｒｕｓｔ」として、即ち、ＴＰＭ（ｔｒｕｓｔｅｄ ｐｌａｔｆｏｒｍ ｍｏｄｕｌｅ）又はハードウェアセキュリティモジュール（ＨＳＭ）に類似したハードウェアセキュリティ基準に匹敵するものとして表し、ブロック１０２ａ＿２は、中央処理装置１０２ａに関連付けられたブートマネージャ（他のシステムプログラム及び／又はアプリケーションプログラムのロード及び／又は実行を制御するシステムプログラム）を表す。ブロック１０２ａ＿３は、ゾーンＺ２及び中央処理装置１０２ａに関連付けられたプログラムコードの実行を表す。ブロック１１０は、ハードウェアセキュリティモジュールを表す。ブロック１１１は、中央処理装置１０２ｃに関連付けられたブートマネージャを表す。ブロック１１２は、ゾーンＺ１，Ｚ２及び中央処理装置１０２ｃに関連付けられたプログラムコードの実行を表す（これは、例示的に、既に数回上述したように、両方のゾーンＺ１，Ｚ２に割り当てられている）。ブロック１１３は、中央処理装置１０２ｂに関連付けられたブートマネージャを表す。ブロック１１４は、ゾーンＺ１及び中央処理装置１０２ｂに関連付けられたプログラムコードの実行を表す。ブロック１１５は、中央処理装置１０２ｎに関連付けられたブートマネージャを表す。ブロック１１６は、ゾーンＺ１，Ｚ２及び中央処理装置１０２ｎに関連付けられたプログラムコードの実行を表す。
【0117】
矢印ａ１は、ブートプロセス（例えば、完全に非アクティブ化された状態からのコンピューティングデバイス１００ａの起動）を表す。矢印ａ２は、少なくとも１つのメモリ保護デバイス、特に中央の、又は、バスシステム１０１（図３）に割り当てられているメモリ保護デバイスＭ５＿１，Ｍ５＿２，…，Ｍ５＿８の構成を表す。矢印ａ３は、中央処理装置１０２ｃのブートマネージャの開始を表す（ブロック１１１も参照されたい）。
【0118】
矢印ａ４は、中央処理装置１０２ｃ用の少なくとも１つの専用メモリ保護デバイスＭ３（図３）の構成を表す。矢印ａ５は、中央処理装置１０２ｃによるプログラムコードの実行１１２の開始を表す。矢印ａ６は、例えばＲＴＭＤの形態における、中央処理装置１０２ｃの任意選択的な検証を表す。
【0119】
矢印ａ７は同様に、コールドスタート３１０’のコンテキストにおける、中央処理装置１０２ｃの任意選択的な検証を表す。他の好ましい実施形態においては、任意選択的な検証ａ７は、例えば、ＣＭＡＣ及び／又は署名されたハッシュ値に基づく暗号化方法を用いて実行されるものとしてよい。矢印ａ８は、矢印ａ３と同様に、中央処理装置１０２ｃのブートマネージャの開始を表す（ブロック１１１も参照されたい）。矢印ａ９は、特に矢印ａ４と同様に、中央処理装置１０２ｃ用の少なくとも１つの専用メモリ保護デバイスＭ３（図３）の構成を表す。矢印ａ１０は、矢印ａ５と同様に、中央処理装置１０２ｃによるプログラムコードの実行１１２の開始を表す。
【0120】
矢印ａ１１は、複数の、好ましくはすべての中央処理装置１０２ａ，１０２ｂ，…，１０２ｎの任意選択的な検証を表す。矢印ａ１２は、中央処理装置１０２ｎのブートマネージャの開始を表す（ブロック１１５も参照されたい）。矢印ａ１３は、中央処理装置１０２ｎ用の少なくとも１つの専用メモリ保護デバイスの構成を表す。矢印ａ１４は、中央処理装置１０２ｎによるプログラムコードの実行１１６の開始を表す。
【0121】
矢印ａ１５は、中央処理装置１０２ｂのブートマネージャの開始を表す。矢印ａ１６は、中央処理装置１０２ｂ用の少なくとも１つの専用メモリ保護デバイスの構成を表す。矢印ａ１７は、中央処理装置１０２ｂによるプログラムコードの実行１１４の開始を表す。
【0122】
矢印ａ１８は、中央処理装置１０２ａのブートマネージャの開始を表す。矢印ａ１９は、中央処理装置１０２ａ用の少なくとも１つの専用メモリ保護デバイスの構成を表す。矢印ａ２０は、中央処理装置１０２ａによるプログラムコードの実行１０２ａ＿３の開始を表す。
【0123】
図９は、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ３の態様を概略的に示している。図９における雷マークＩＲＱ’’は、例えば、周期的に（例えば、タイマモジュール（Ｔｉｍｅｒ）によって設定可能）及び／又はソフトウェアに基づいて（例えば、アプリケーションプログラムによって呼び出されて）生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、次の要素、即ち、
ｅ１’）割り込み要求ＩＲＱ’’によって割り込まれたタスク又はプログラムのコンテキストを少なくとも一時的に格納するステップ、
任意選択的にｅ５’）例えば、スタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ１０）（例えば、好ましくは静的なタスクリストに応じて）次のタスクへコンテキストを切り換えるステップ、
ｅ１１）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ１２）識別されたゾーンのタスクを復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ３が実行される。
ｅ１’）割り込み要求ＩＲＱ’’によって割り込まれたタスク又はプログラムのコンテキストを少なくとも一時的に格納するステップ、
任意選択的にｅ５’）例えば、スタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ１０）（例えば、好ましくは静的なタスクリストに応じて）次のタスクへコンテキストを切り換えるステップ、
ｅ１１）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ１２）識別されたゾーンのタスクを復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ３が実行される。
【0124】
図１０は、オペレーティングシステムＢＳ及び／又はスーパーバイザＳＶ（図５と同様であり、図１０には示されていない）が割り当てられており、かつ、２つのゾーンＺ１，Ｚ２にも割り当てられている、他の好ましい実施形態による中央処理装置１０２ａを概略的に示している。中央処理装置１０２ａは、例えば、ネットワークスイッチのために、例えば、イーサネットデータパケットを送信及び／又は受信するために使用されるものとしてよい。アプリケーションプログラムの相応のインスタンスには、参照符号ＡＰ３＿Ｉ１（イーサネットパケットの受信、ゾーンＺ１における実行）、ＡＰ３＿Ｉ２（イーサネットパケットの受信、ゾーンＺ２における実行）、ＡＰ４＿Ｉ１（イーサネットパケットの送信、ゾーンＺ１における実行）、ＡＰ４＿Ｉ２（イーサネットパケットの送信、ゾーンＺ２における実行）が付されている。例えば、ネットワークスイッチの管理タスクを実行する他のアプリケーションプログラムは、信頼できると定義されている第２のゾーンＺ２においてのみ実行され、信頼できないと定義されている第１のゾーンＺ１では実行されない。中央処理装置１０２ａにはＲＡＭ１０３０が割り当てられており、これは、他の好ましい実施形態においては、例えば、図５と同様に、分割されるものとしてよい。任意選択的に、スイッチングエンジン（例えば、結合ネットワーク）及び／又はＴＣＡＭ（ｔｅｒｎａｒｙ ｃｏｎｔｅｎｔ－ａｄｒｅｓｓａｂｌｅ ｍｅｍｏｒｙ）モジュールが設定されている。
【0125】
図１１は、他の好ましい実施形態による２つの中央処理装置１０２ａ，１０２ｂを概略的に示しており、第１の中央処理装置１０２ａは第１のゾーンＺ１に割り当てられており、第２の中央処理装置１０２ｂは第２のゾーンＺ２に割り当てられている。２つの中央処理装置１０２ａ，１０２ｂにそれぞれ１つのオペレーティングシステムＢＳが割り当てられている。
【0126】
図１１においては、見易くするために、まとめて参照符号Ｉ１が付されている、種々のアプリケーションプログラムの第１のインスタンスは、第１のゾーンＺ１に割り当てられており、ひいては第１の中央処理装置１０２ａに割り当てられている。他の好ましい実施形態においては、これらの種々のアプリケーションプログラムは、例えば、次の要素、即ち、
ａ）特にディープパケットインスペクション ＤＰＩのための、データパケットの検査を実行するためのプログラム、
ｂ）診断のためのプログラム、
ｃ）特にＦＯＴＡ（ｆｉｒｍｗａｒｅ ｏｖｅｒ ｔｈｅ ａｉｒ）技術を用いた（例えば、図２２のデータインタフェース１００８を用いた）、アップデートを実行するためのプログラム、
ｄ）侵入検知及び侵入防止（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｐｒｅｖｅｎｔｉｏｎ）のためのプログラム
のうちの少なくとも１つの要素を含む。他の好ましい実施形態においては、第２の中央処理装置１０２ｂ及び第２のゾーンＺ２に、ここでは、第１のゾーンＺ１に関連して上述されたアプリケーションプログラムの相応の第２のインスタンスＩ２が割り当てられている。他の好ましい実施形態によれば、少なくとも１つのメモリ保護デバイスＳＳＥが、種々のゾーンの相応のアプリケーションプログラム又はインスタンスの読取権及び／又は書込権及び／又は実行権の制御ために使用可能である。例示的に図１１を参照して上述された構成によって、例えば、電子制御装置及び／又は組込システム及び／又はＩｏＴシステムなどのための、データパケットの検査のために、又は、侵入検知及び侵入防止のために、特に安全なシステムが効率的に提供され得る。ここでは、ゾーンＺ１，Ｚ２へのアプリケーションプログラムのインスタンスＩ１，Ｉ２の割り当てによって、特に有利には、例えば、実行（遂行）のための各コンテキストが、異なる信頼レベルで提供され得る。
ａ）特にディープパケットインスペクション ＤＰＩのための、データパケットの検査を実行するためのプログラム、
ｂ）診断のためのプログラム、
ｃ）特にＦＯＴＡ（ｆｉｒｍｗａｒｅ ｏｖｅｒ ｔｈｅ ａｉｒ）技術を用いた（例えば、図２２のデータインタフェース１００８を用いた）、アップデートを実行するためのプログラム、
ｄ）侵入検知及び侵入防止（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｐｒｅｖｅｎｔｉｏｎ）のためのプログラム
のうちの少なくとも１つの要素を含む。他の好ましい実施形態においては、第２の中央処理装置１０２ｂ及び第２のゾーンＺ２に、ここでは、第１のゾーンＺ１に関連して上述されたアプリケーションプログラムの相応の第２のインスタンスＩ２が割り当てられている。他の好ましい実施形態によれば、少なくとも１つのメモリ保護デバイスＳＳＥが、種々のゾーンの相応のアプリケーションプログラム又はインスタンスの読取権及び／又は書込権及び／又は実行権の制御ために使用可能である。例示的に図１１を参照して上述された構成によって、例えば、電子制御装置及び／又は組込システム及び／又はＩｏＴシステムなどのための、データパケットの検査のために、又は、侵入検知及び侵入防止のために、特に安全なシステムが効率的に提供され得る。ここでは、ゾーンＺ１，Ｚ２へのアプリケーションプログラムのインスタンスＩ１，Ｉ２の割り当てによって、特に有利には、例えば、実行（遂行）のための各コンテキストが、異なる信頼レベルで提供され得る。
【0127】
図１２Ａは、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ４の態様を概略的に示している。図１２Ａにおける雷マークＲｘは、例えばイベント駆動方式で、ここでは例示的に、メッセージ、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）メッセージの受信時に生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、次の要素、即ち、
ｅ２０）例えば、メッセージ又はプログラムの送信のために、割り込み要求Ｒｘによって割り込まれたタスク、特に送信タスク（「Ｔｘ ｔａｓｋ」）のコンテキストを少なくとも一時的に格納するステップ、
任意選択的にｅ２１）例えば、スタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ２２）受信したデータフレーム（例えば、上述の受信したＣＡＮメッセージの受信したデータフレーム）と関連付けられているゾーンを特定するステップ、
ｅ２３）コンテキストを、ステップｅ２２において特定されたゾーンへ切り換えるステップ、
ｅ２４）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ２５）メッセージ受信のための処理ルーチン（「Ｒｅｃｅｉｖｅ（Ｒｘ）ｈａｎｄｌｅｒ」）を呼び出すステップ、即ち、例えば受信したメッセージを処理するアプリケーションプログラム又はアプリケーションプログラムの一部を呼び出すステップ、
ｅ２６）識別されたゾーンのタスク（例えば、送信タスク）を復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ４が実行される。
ｅ２０）例えば、メッセージ又はプログラムの送信のために、割り込み要求Ｒｘによって割り込まれたタスク、特に送信タスク（「Ｔｘ ｔａｓｋ」）のコンテキストを少なくとも一時的に格納するステップ、
任意選択的にｅ２１）例えば、スタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ２２）受信したデータフレーム（例えば、上述の受信したＣＡＮメッセージの受信したデータフレーム）と関連付けられているゾーンを特定するステップ、
ｅ２３）コンテキストを、ステップｅ２２において特定されたゾーンへ切り換えるステップ、
ｅ２４）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ２５）メッセージ受信のための処理ルーチン（「Ｒｅｃｅｉｖｅ（Ｒｘ）ｈａｎｄｌｅｒ」）を呼び出すステップ、即ち、例えば受信したメッセージを処理するアプリケーションプログラム又はアプリケーションプログラムの一部を呼び出すステップ、
ｅ２６）識別されたゾーンのタスク（例えば、送信タスク）を復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ４が実行される。
【0128】
他の好ましい実施形態においては、送信タスク、即ち、メッセージを送信するためのタスク又はアプリケーションプログラム若しくはアプリケーションプログラムの一部が計画される（「スケジューリング」）。
【0129】
他の好ましい実施形態においては、メッセージの受信を特徴付ける割り込み要求（「ＲｘＩＲＱ」、ｒｅｃｅｉｖｅ ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）は、例えば、タイマ（Ｔｉｍｅｒ）及び／又はアプリケーションプログラム若しくはソフトウェアによって一般的にトリガされる他の割り込み要求よりも高い優先度で処理される。
【0130】
他の好ましい実施形態においては、同時に又は設定可能な第１の時間範囲内において、到来した割り込み要求に、例えば割り込み要求のソース（到来したメッセージ，タイマ，ソフトウェア）に応じて、及び／又は、１つ又は複数の別の基準又は他の基準に応じて優先順位が付けられる。他の好ましい実施形態においては、このような優先順位付けは、例えば、割り込み要求のための制御デバイス（英語で、ｉｎｔｅｒｒｕｐｔ ｃｏｎｔｒｏｌｌｅｒ）によって実行されるものとしてよい。
【0131】
他の好ましい実施形態においては、コンテキストの切換（例えば、図１２Ａのステップｅ２３を参照されたい）は、事前に規定することが可能な動作モード、特にスーパーバイザモードにおいてのみ行われ得る。
【0132】
例示的に図１２Ａを参照して上述された態様は、他の好ましい実施形態においては、例えば、軽量スーパーバイザ、特にＣＡＮ軽量スーパーバイザに対する到来したメッセージの処理を少なくとも一時的に制御するために利用されるものとしてよい。
【0133】
図１２Ｂは、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ５の態様を概略的に示している。図１２Ｂにおける雷マークＴＩＭ＿ＳＷは、例えば、タイマ又はアプリケーションプログラム若しくは一般的にソフトウェアによって生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、次の要素、即ち、
ｅ３０）例えば、メッセージ又はプログラムの送出のために、割り込み要求Ｒｘによって割り込まれたタスク、特に送信タスク（「Ｔｘ ｔａｓｋ」）のコンテキストを少なくとも一時的に格納するステップ、
任意選択的にｅ３１）例えば、スタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ３２）（例えば、特に静的なタスクリストによって）コンテキストを次の送信タスクへ切り換えるステップ、
ｅ３３）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ３４）識別されたゾーンのタスク（例えば、送信タスク）を復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ５が実行される。
ｅ３０）例えば、メッセージ又はプログラムの送出のために、割り込み要求Ｒｘによって割り込まれたタスク、特に送信タスク（「Ｔｘ ｔａｓｋ」）のコンテキストを少なくとも一時的に格納するステップ、
任意選択的にｅ３１）例えば、スタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ３２）（例えば、特に静的なタスクリストによって）コンテキストを次の送信タスクへ切り換えるステップ、
ｅ３３）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ３４）識別されたゾーンのタスク（例えば、送信タスク）を復元するステップ
のうちの少なくとも１つの要素を含む割り込みルーチンＩＳＲ５が実行される。
【0134】
【0135】
図１３は、他の好ましい実施形態によるコンピューティングデバイス１００ｂの態様の簡略化されたブロック図を概略的に示している。ここでは、コンピューティングデバイス１００ｂは、例示的に、４つの中央処理装置Ｋ１，Ｋ２，Ｋ３，Ｋ４を有しており、これらの中央処理装置のうちの第１の中央処理装置Ｋ１は、通信メッセージ、特にＣＡＮメッセージを処理するように構成されている。従って、他の好ましい実施形態においては、図１３の第１の中央処理装置Ｋ１は、「ＣＡＮコア」とも称され得る。他の中央処理装置Ｋ２，Ｋ３は、アプリケーションプログラム（場合によっては、アプリケーションプログラムの異なるインスタンス）を実行するために設けられており、従って、他の好ましい実施形態においては、「アプリケーションコア」又は英語で「Ａｐｐｌｉｃａｔｉｏｎ Ｃｏｒｅｓ」Ｋ２，Ｋ３とも称され得る。図１３の第４の中央処理装置Ｋ４は、イーサネット通信メッセージを処理するように構成されており、従って、他の好ましい実施形態においては、イーサネットコア又はＥＴＨコア又は英語で「ＥＴＨ Ｃｏｒｅ」Ｋ４とも称され得る。第１の中央処理装置Ｋ１には第１のスーパーバイザＳＶ１、特にＣＡＮ軽量スーパーバイザが割り当てられており、第４の中央処理装置Ｋ４には第２のスーパーバイザＳＶ２、特にＥＴＨ（イーサネット）軽量スーパーバイザが割り当てられている。
【0136】
他の好ましい実施形態においては、第１の中央処理装置Ｋ１は、２つのゾーンＺ１，Ｚ２に割り当てられている。他の好ましい実施形態においては、第４の中央処理装置Ｋ４も、２つのゾーンＺ１，Ｚ２に割り当てられている。
【0137】
他の好ましい実施形態においては、第１の中央処理装置Ｋ１に、ＣＡＮメッセージを送信及び／又は受信するためのアプリケーションプログラムが割り当てられており、図１３の参照符号Ｉ１は、このアプリケーションプログラムの第１のインスタンスを示し、第１のインスタンスＩ１は第１のゾーンＺ１に割り当てられており、ＣＡＮメッセージを受信するように構成されている。これとは異なり、参照符号Ｉ２は、このアプリケーションプログラムの第２のインスタンスを示し、第２のインスタンスＩ２は第２のゾーンＺ２に割り当てられており、ＣＡＮメッセージを受信するように構成されている。参照符号Ｉ３、Ｉ４は、ＣＡＮメッセージを送信又は受信するための相応のインスタンスを示し、これらは、それぞれ同様に、２つのゾーンＺ１，Ｚ２のうちの１つのゾーンに割り当てられている。
【0138】
他の好ましい実施形態においては、例示的に図１２Ａ，１２Ｂを参照して上述された割り込み要求Ｒｘ，ＴＩＭ＿ＳＷが、例えば、相応の割り込みルーチンＩＳＲ４（図１２Ａ）又はＩＳＲ５（図１２Ｂ）を実行することによって、第１の中央処理装置Ｋ１によって処理され得る。
【0139】
他の好ましい実施形態においては、第４の中央処理装置Ｋ４に、イーサネットメッセージを送信及び／又は受信するためのアプリケーションプログラムが割り当てられており、図１３の参照符号Ｉ１’は、このアプリケーションプログラムの第１のインスタンスを示し、第１のインスタンスＩ１’は第１のゾーンＺ１に割り当てられており、イーサネットメッセージを受信するように構成されている。これとは異なり、参照符号Ｉ２’は、このアプリケーションプログラムの第２のインスタンスを示し、第２のインスタンスＩ２’は第２のゾーンＺ２に割り当てられており、イーサネットメッセージを受信するように構成されている。参照符号Ｉ３’，Ｉ４’は、イーサネットメッセージを送信又は受信するための相応のインスタンスを示しており、これらはそれぞれ同様に、２つのゾーンＺ１，Ｚ２のうちの１つのゾーンに割り当てられている。
【0140】
他の好ましい実施形態においては、中央処理装置Ｋ１，Ｋ４内の２つのゾーンＺ１，Ｚ２の分離は、少なくとも１つのメモリ保護デバイスＳＳＥ１，ＳＳＥ４を用いて行われる。
【0141】
既に上述したように、２つのアプリケーションコアＫ２，Ｋ３は、アプリケーションプログラムを実行するように構成されており、アプリケーションプログラム又はアプリケーションプログラムの個々のインスタンスは、図１３において、関連するアプリケーションコアＫ２，Ｋ３内の長方形として暗黙的に示されているが、見易くするために詳細には図示されていない。他の好ましい実施形態においては、第２の中央処理装置Ｋ２は第２のゾーンＺ２に割り当てられており、第３の中央処理装置Ｋ３は第１のゾーンＺ１に割り当てられている。
【0142】
他の好ましい実施形態においては、コンピューティングデバイス１００ｂは、揮発性メモリ、特にメインメモリ（ＲＡＭ）１０３０ｂを有しており、揮発性メモリは、例えば、図４に示されているのと同様に、異なる領域に分割されており、これらの領域はそれぞれ、異なる中央処理装置Ｋ１，Ｋ２，Ｋ３，Ｋ４又はそれらのゾーンＺ１，Ｚ２に割り当てられている。
【0143】
例えば、図１３のコンピューティングデバイス１００ｂのメインメモリ１０３０ｂの第１の領域Ｂ１は、第１の中央処理装置Ｋ１に割り当てられており、ここで第１の部分領域Ｂ１＿１は第１のゾーンＺ１に割り当てられており、第２の部分領域Ｂ１＿２は第２のゾーンＺ２に割り当てられている。他の好ましい実施形態においては、相応の領域又は部分領域Ｂ４，Ｂ４＿１，Ｂ４＿２への同様の分割が、第４の中央処理装置Ｋ４に対しても可能である。
【0144】
他の好ましい実施形態においては、メインメモリ１０３０ｂの他の領域Ｂ２，Ｂ３を、例えば、アプリケーションコアＫ２，Ｋ３に割り当てることができる。他の好ましい実施形態においては、領域Ｂ２を、例えば、信頼できる領域Ｂ２’と信頼できない領域Ｂ２’’とにさらに分割することができる。同様のことが、他の好ましい実施形態においては、第３のアプリケーションコアＫ３にも当てはまる（参照符号Ｂ３’，Ｂ３’’を参照されたい）。
【0145】
他の好ましい実施形態においては、図１３において参照符号ＳＳＥ’によって集合的に示されている１つ又は複数のさらなるメモリ保護デバイスが設けられるものとしてよく、これによって、例えば、読取権及び／又は書込権及び／又は実行権に関する、好ましい実施形態による各分離を実現することができる。
【0146】
他の好ましい実施形態においては、図１３のコンピューティングデバイス１００ｂは、例えば、ゲートウェイ、即ち、ネットワーク結合要素の機能性を提供するものとしてよく、これは、例えば、ＣＡＮバス（ＣＡＮコアＫ１を参照されたい）をイーサネットネットワーク（ＥＴＨコア Ｋ４を参照されたい）と結合することができる。他の好ましい実施形態においては、例えば、第１の中央処理装置Ｋ１は、ＣＡＮメッセージ用のいわゆる高速ルーティングエンジンの機能を担うことができ、及び／又は、第４の中央処理装置Ｋ４は、イーサネットメッセージ用のいわゆる高速エンジンの機能を担うことができる。
【0147】
図１４は、例えば、メッセージ、特にＣＡＮメッセージの受信時の割り込み要求の処理を例示的に示す、他の好ましい実施形態によるフローチャートを概略的に示している。
【0148】
ブロックＩＳＲ６は、例えば、次の割り込み要求、即ち、
ａ）メッセージの受信（「Ｒｘ」）、
ｂ）タイマ（「Ｔｉｍｅｒ」）の通知、
ｃ）ソフトウェアを用いて生成された割り込み要求（「ＳＷ」）
のうちの少なくとも１つの割り込み要求の際に実行可能な割り込みルーチンを例示的に表している。ブロックＴ＿ＲＸ＿Ｚ１は、ゾーンＺ１に割り当てられており、メッセージの受信時（「Ｒｘ」）に実行されるタスク（例えば、アプリケーションプログラムの一部又はアプリケーションプログラムのインスタンス）を例示的に表している。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ１と比肩可能である。ブロックＴ＿ＲＸ＿Ｚ２は、ゾーンＺ２に割り当てられており、メッセージの受信時に実行されるタスクを例示的に表している。これは図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ２と比肩可能である。ブロックＴ＿ＴＸ＿Ｚ１は、ゾーンＺ１に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表している。これは図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ３と比肩可能である。ブロックＴ＿ＴＸ＿Ｚ２は、ゾーンＺ２に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表している。これは図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ４と比肩可能である。
ａ）メッセージの受信（「Ｒｘ」）、
ｂ）タイマ（「Ｔｉｍｅｒ」）の通知、
ｃ）ソフトウェアを用いて生成された割り込み要求（「ＳＷ」）
のうちの少なくとも１つの割り込み要求の際に実行可能な割り込みルーチンを例示的に表している。ブロックＴ＿ＲＸ＿Ｚ１は、ゾーンＺ１に割り当てられており、メッセージの受信時（「Ｒｘ」）に実行されるタスク（例えば、アプリケーションプログラムの一部又はアプリケーションプログラムのインスタンス）を例示的に表している。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ１と比肩可能である。ブロックＴ＿ＲＸ＿Ｚ２は、ゾーンＺ２に割り当てられており、メッセージの受信時に実行されるタスクを例示的に表している。これは図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ２と比肩可能である。ブロックＴ＿ＴＸ＿Ｚ１は、ゾーンＺ１に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表している。これは図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ３と比肩可能である。ブロックＴ＿ＴＸ＿Ｚ２は、ゾーンＺ２に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表している。これは図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ４と比肩可能である。
【0149】
矢印ａ３０は、（ＣＡＮ）メッセージの受信によってトリガされる割り込み要求を表し、これは、特に現在実行中のタスク（送信タスクＴ＿ＴＸ＿Ｚ２を参照されたい）の処理を中断する（矢印ａ３０’を参照されたい）。この結果、他の好ましい実施形態においては、受信機タスクＴ＿ＲＸ＿Ｚ１が、割り込みルーチンＩＳＲ６によって呼び出される（矢印ａ３１を参照されたい）。受信機タスクＴ＿ＲＸ＿Ｚ１の実行後、これは、好ましくはソフトウェア割り込み要求（Ｓｏｆｔｗａｒｅ－Ｉｎｔｅｒｒｕｐｔ）ａ３２によって、再び割り込みルーチンＩＳＲ６に分岐し、その後、これは、以前に中断された送信タスクＴ＿ＴＸ＿Ｚ２を続行する（矢印ａ３３を参照されたい）。タイマによって生成される割り込み要求（Ｔｉｍｅｒ ＩＲＱ）が発生するとａ３４、割り込みルーチンＩＳＲ６は送信タスクＴ＿ＴＸ＿Ｚ１を呼び出す（矢印ａ３５を参照されたい）。これによって、その前に実行されていた送信タスクＴ＿ＴＸ＿Ｚ２の割り込みａ３４’が発生する。
【0150】
図１４のダイヤグラム及び上述の説明から、実施形態による原理に従って、異なるゾーンＺ１，Ｚ２，…（他の好ましい実施形態においては、２つ以上のゾーンも可能である）に割り当て可能な、実施形態によるコンピューティングデバイスによって実行可能な異なるプログラム部分（タスク）が、どのように実行可能であるのかが明確に示され、又は、それらの実行が、オペレーティングシステムＢＳ及び／又はスーパーバイザＳＶの例えば構成要素であり得る、例えば割り込みルーチンＩＳＲ６によって、どのように制御可能であるのかが明確に示される。
【0151】
図１５は、他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示しており、ここでは、例示的なゾーン遷移ＺＴ、即ち、好ましい実施形態による第１のゾーンから、好ましい実施形態による第２のゾーンへのデータの伝送を対象として有する用途が例示的に示されている。
【0152】
ここで、図１５の第１の中央処理装置Ｋ１は、既に図１３を参照して上述されたＣＡＮコアＫ１に相当し、図１５の他の中央処理装置Ｋ２，Ｋ３は、図１３のアプリケーションコアＫ２，Ｋ３に相当する。同様のことがメインメモリ１０３０ｂの領域Ｂ１，Ｂ２，Ｂ３又はそれらの部分領域にも当てはまる。
【0153】
矢印Ａ１は、ＣＡＮメッセージの受信を表し、これは、第１の中央処理装置Ｋ１の相応のアプリケーションプログラムのインスタンスＩ１による処理をトリガする。第１のゾーンＺ１に割り当てられているインスタンスＩ１は、受信したＣＡＮメッセージのデータ又はそこから得られたデータを、メインメモリを介して、このようなデータを処理するためのアプリケーションプログラムのインスタンスＩ５に伝送する（矢印Ａ２を参照されたい）。インスタンスＩ５は第１のゾーンＺ１に割り当てられており、第３の中央処理装置Ｋ３によって実行可能である（矢印Ａ３を参照されたい）。図１５の参照符号Ｉ６は、データパケットの検査、特にディープパケットインスペクション ＤＰＩのためのアプリケーションプログラムのインスタンスを示す。これは、受信したデータをより詳細に検査し、さらに、メインメモリ１０３０ｂの部分領域Ｂ３’’に書込を行う（矢印Ａ５を参照されたい）。さらに、第２の中央処理装置Ｋ２で実行され、第２のゾーンＺ２に割り当てられているＤＰＩアプリケーションプログラムの他のインスタンスＩ６’が、部分領域Ｂ３’’からデータを読み取る。これは、既に上述されたゾーン遷移ＺＴに相当する（矢印Ａ６を参照されたい）。
【0154】
他の好ましい実施形態においては、（ＤＰＩの意味における）特に詳細なペイロード分析が、例えば、インスタンスＩ６’（「Ｚ２－ＤＰＩ－プロキシ」、即ち、ＤＰＩ方法を実行する、第２のゾーンＺ２に割り当てられているプロキシ）によって実行され、ここではインスタンスＩ６（「Ｚ１－ＤＰＩ－プロキシ」、即ち、ＤＰＩ方法を実行する、第１のゾーンＺ１に割り当てられているプロキシ）は、好ましくは、Ｂ３’’におけるデータのコピーを担当する。
【0155】
第２の中央処理装置Ｋ２によるデータの任意選択的なさらなる処理の後（矢印Ａ７を参照されたい）、データ又はそこから派生したデータは、インスタンスＩ５’によって、メインメモリ１０３０ｂのメモリ領域Ｂ１＿２に書き込まれ（矢印Ａ８を参照されたい）、ここから、インスタンスＩ４は、データを取り出し、例えば、再びＣＡＮバスに送出する（矢印Ａ１０を参照されたい）。インスタンスＩ４は、例えば、ＣＡＮメッセージを送信するように構成されており、第２のゾーンＺ２に割り当てられおり、ＣＡＮコアＫ１によって実行可能である。
【0156】
例示的に図１５を参照して上述されたシナリオは、次の用途、即ち、
ａ）ＣＡＮメッセージを使用した診断、
ｂ）ＣＡＮメッセージに適用されるＤＰＩ、
ｃ）プロキシ、例えば通信プロトコル及び／又は診断プロトコルなどに対するプロキシの形成、
ｄ）特にアプリケーションプログラムを取り入れた、例えば第１のＣＡＮバスから例えば第２のＣＡＮバスへのルーティング（これによって、例示的に、ルーティングされるＣＡＮメッセージ、特に分析及び／又は変更の処理が可能になる）
のうちの少なくとも１つの用途に対して使用可能である。
ａ）ＣＡＮメッセージを使用した診断、
ｂ）ＣＡＮメッセージに適用されるＤＰＩ、
ｃ）プロキシ、例えば通信プロトコル及び／又は診断プロトコルなどに対するプロキシの形成、
ｄ）特にアプリケーションプログラムを取り入れた、例えば第１のＣＡＮバスから例えば第２のＣＡＮバスへのルーティング（これによって、例示的に、ルーティングされるＣＡＮメッセージ、特に分析及び／又は変更の処理が可能になる）
のうちの少なくとも１つの用途に対して使用可能である。
【0157】
図１６は、図１３及び図１５の表示に基づいた、他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示しており、ここでは、例示的なゾーン遷移ＺＴ’、即ち、好ましい実施形態による第１のゾーンから、好ましい実施形態による第２のゾーンへのデータの伝送を対象として有する用途が例示的に示されている。図１５のシナリオとは異なり、図１６のシナリオにおけるゾーン遷移ＺＴ’は、矢印Ａ１１～Ａ２０に従って、イーサネットコアＫ４から始まってＣＡＮコアＫ１へと行われる。
【0158】
図１６から、イーサネットメッセージの受信Ａ１１の後に、相応のデータがメモリ領域Ｂ３’内に格納され（矢印Ａ１２）、このメモリ領域からデータが、第１のゾーンＺ１に割り当てられているアプリケーションコアＫ３によって読み込まれ（矢印Ａ１３）、処理され（矢印Ａ１４）、さらに、相応に処理されたデータが他のメモリ領域Ｂ３’’内に書き込まれる（矢印Ａ１５）ことが見て取れる。
【0159】
さらに、このデータは、第２のゾーンＺ２に割り当てられているアプリケーションコアＫ２によって読み込まれ（矢印Ａ１６を参照されたい）、処理され（矢印Ａ１７を参照されたい）、他のメモリ領域Ｂ１＿２内に書き込まれる（矢印Ａ１８を参照されたい）。さらに、データはＣＡＮコアＫ１によって、この他のメモリ領域Ｂ１＿２から読み込まれ（矢印Ａ１９）、インスタンスＩ４（ＣＡＮメッセージを送出するためのアプリケーションプログラムの一部）によって処理され、ＣＡＮバス（図示せず）に送出される（矢印Ａ２０を参照されたい）。
【0160】
図１７は、図１６と比肩可能な構成を例示的に示しており、この構成においては、到来したイーサネットメッセージが中央処理装置Ｋ４によって受信され（Ａ２１）、メインメモリ１０３０ｂ内にバッファされ（Ａ２２）、第１の中央処理装置Ｋ１のインスタンスＩ３を用いて読み取られ（Ａ２３）、ＣＡＮバスに送信される（Ａ２４）。
【0161】
図１８は、図１３及び図１５の表示に基づいた、他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示している。ここでは、ハードウェアセキュリティモジュールＨＳＭが使用される用途が例示的に示されている。ハードウェアセキュリティモジュールＨＳＭは、ここでは例示的に、特に第２の中央処理装置Ｋ２’も有するコンピューティングデバイス（図１８には示されておらず、例えば、図１の参照符号１００を参照されたい）に統合されており、暗号化機能を実行するように構成されている。他の好ましい実施形態においては、暗号化機能は、例えば、（秘密）鍵の格納及び／又はハッシュ値の形成及び／又は署名などを含むものとしてよい。
【0162】
他の好ましい実施形態においては、ハードウェアセキュリティモジュールＨＳＭは、好ましくは、コンピューティングデバイスと同一の半導体基板又はダイ（チップ）上に配置されている独立した（「ｏｎ－ｃｈｉｐ」）モジュールを表す。ハードウェアセキュリティモジュールＨＳＭは、好ましくは、固有の中央処理装置（図示されていない）を有しており、場合によっては固有のメモリなどを有する。
【0163】
他の好ましい実施形態においては、暗号スタックＫＳが設けられており、これは、コンピューティングデバイスの中央処理装置とハードウェアセキュリティモジュールＨＳＭとの間の通信に利用可能である。他の好ましい実施形態においては、特にセキュリティ上の理由から、この暗号スタックＫＳは、中央処理装置Ｋ２’上においてのみ実現されている。なぜなら、中央処理装置Ｋ２’は、ここでは例示的に、信頼できるゾーンＺ２にのみ割り当てられている、コンピューティングデバイスの単一の中央処理装置だからである。従って、他の好ましい実施形態においては、中央処理装置Ｋ２’は、「ｍｏｓｔ ｓｅｃｕｒｅ ｃｏｒｅ」、即ち、最も安全な中央処理装置とみなされ得る。矢印Ａ３１，Ａ３２，Ａ３３，Ａ３４，Ａ３５，Ａ３６は、例示的に次のステップを表している。即ち、イーサネットメッセージを受信するステップ（Ａ３１）、受信したメッセージを領域Ｂ３’内に格納するステップ（Ａ３２）、第３の中央処理装置Ｋ３のアプリケーションプログラムによってこのメッセージをロードするステップ（Ａ３３）、第３の中央処理装置Ｋ３によって、ロードされたメッセージを処理するステップ（Ａ３４）、処理時に得られたデータをメモリ領域Ｂ３’’内に書き込むステップ（Ａ３５）、第２の中央処理装置Ｋ２’上において実行可能なアプリケーションプログラムによって、メモリ領域Ｂ３’’から、書き込まれたデータをロードするステップ（Ａ３６）を表している。
【0164】
他の好ましい実施形態においては、第２の中央処理装置Ｋ２’は、特にハードウェアセキュリティモジュールＨＳＭも使用して、ロードされたデータを処理する（矢印Ａ３７を参照されたい）。処理Ａ３７は、例えば、データの暗号化を含み得る。さらに、処理されたデータＡ３８がメモリ領域Ｂ１＿２内に書き込まれる（Ａ３８）。その後、ＣＡＮコアＫ１のインスタンスによってメモリ領域Ｂ１＿２から、このデータがロードされ（Ａ３９）、ＣＡＮバスに送信される。
【0165】
図１９は、図１８の表示に基づいた、他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示しており、ここでは、例えば、特にＦＯＴＡ（ｆｉｒｍｗａｒｅ ｏｖｅｒ ｔｈｅ ａｉｒ）タイプのファームウェアアップデートが実行可能な用途が例示的に示されている。例えば、好ましい実施形態においては、データの受信は、イーサネット接続を介して、例えば第４の中央処理装置Ｋ４を用いて行われるものとしてよい（矢印Ａ４１を参照されたい）。受信プログラムのインスタンスＩ１’は、受信したデータをメモリ領域Ｂ３’内に書き込む（矢印Ａ４２を参照されたい）。アプリケーション中央処理装置Ｋ３上のアプリケーションプログラムのインスタンスは、メモリ領域Ｂ３’からデータをロードし（Ａ４３）、処理する（Ａ４４）。例えば第１のＦＯＴＡプロキシＩ７である他のインスタンスＩ７は、処理されたデータからＦＯＴＡプロセスに必要なデータを抽出し、抽出されたデータを、例えば、（特に第２のゾーンＺ２の観点から）信頼できないものとしてみなされているメモリ領域Ｂ３’’内に書き込む（Ａ４５）。例えば第２のＦＯＴＡプロキシであり、中央処理装置Ｋ２’’上において実行可能なアプリケーションプログラムのインスタンスＩ８は、メモリ領域Ｂ３’’からデータをロードする（矢印Ａ４６）。任意選択的に、次に、中央処理装置Ｋ２’’によって、ロードされたデータに対して暗号化方法が実行されるものとしてよく、これは、例えば、有利にはハードウェアセキュリティモジュールＨＳＭを利用するＣＭＡＣ形成である（矢印Ａ４７を参照されたい）。他の好ましい実施形態においては、任意選択的に処理されるデータ又はＣＭＡＣ値が外部メモリに格納されるものとしてよい（矢印Ａ４８を参照されたい）。このような格納は、他の好ましい実施形態においては、ＦＯＴＡプロキシＩ８によって制御される。
【0166】
他の好ましい実施形態においては、第２のゾーンＺ２は、メモリ領域Ｂ３’’に対する読取権のみを有しており、特に書込権及び／又は遂行権は有していない。このことは、他の好ましい実施形態において、例えば、例示的に図４，図５を参照して上述された構成においても相応に当てはまり得る。
【0167】
他の好ましい実施形態においては、例えば、少なくとも１つの中央処理装置若しくはコンピューティングデバイス全体及び／又は相応の制御装置に対する完全なメモリ画像（「ＥＣＵ 画像」）１０３３ａも、外部メモリ１０３３に一時的に格納されるものとしてよい。
【0168】
他の好ましい実施形態においては、第２の中央処理装置Ｋ２’’によって実行可能なアプリケーションプログラム又はその相応のインスタンスが、例えば、外部メモリ１０３３内に格納されているデータの内容を検査又は確認することができる。
【0169】
他の好ましい実施形態においては、例えば、外部メモリ１０３３内に含まれているデータの確認が成功した後に、相応のメモリ画像１０３３ａが１つ又は複数の外部装置（図示せず）に分配されるものとしてよく（矢印Ａ４９，Ａ５０，Ａ５１，Ａ５２を参照されたい）、これらは特に、例えばブロックごとに、外部メモリ１０３３ａからメインメモリ１０３０ｂのメモリ領域Ｂ１＿２へメモリ画像１０３３ａをコピーし（Ａ５０）、そこからインスタンスＩ４へコピーすること（例えば、ＣＡＮ送信タスク）を対象として有する。
【0170】
他の好ましい実施形態においては、この確認は、好ましくは、デジタル署名及び／又は署名されたハッシュ値に基づいて実行されるものとしてよい。例えば、他の好ましい実施形態においては、署名されたハッシュ値が各ＥＣＵ画像に対して存在するものとしてよい。他の好ましい実施形態においては、署名検証は、好ましくは、ハードウェアセキュリティモジュールＨＳＭを介して実行されるものとしてよい。
【0171】
他の好ましい実施形態においては、例えば、メモリ画像１０３３ａの分配又はコピー中にも、好ましくは同様にブロックごとに、関連するブロックの完全性及び／又は真正性を検査することを可能にするＣＭＡＣ値及び／又は他の値の検査が行われるものとしてよい。これは例えば、ハードウェアセキュリティモジュールＨＳＭによって任意選択的にサポートされて、例えば第２の中央処理装置Ｋ２’’上において実行されるアプリケーションプログラムの相応のインスタンスによって制御されて行われる。
【0172】
他の好ましい実施形態においては、例えば、ＣＭＡＣ値の形成及び検証は、特に、例えば、署名検証のための補足的な完全性保護及び真正性保護として機能し得る。他の好ましい実施形態においては、例えば、バッファＢ３’’からの個々のデータパケット又は各個々のデータパケットに、ＣＭＡＣ値又は切り捨てられた（「ｔｒｕｎｃａｔｅｄ」）ＣＭＡＣ値が設けられるものとしてよい。他の好ましい実施形態においては、これ又はこれらは、例えば、バッファＢ１＿２への伝送の前に検証され、これによって、特に、完全かつ真正のデータパケットのみがバッファＢ１＿２に到達することが保証される。他の好ましい実施形態においては、バッファごとのＣＭＡＣ生成及びＣＭＡＣ検証は任意選択的である。図２０，図２１は、例えば、メッセージ、特にＣＡＮメッセージの受信時の割り込み要求の処理を例示的に示す、他の好ましい実施形態による概略的なフローチャートを示している。
【0173】
ブロックＩＳＲ７は、例えば、メッセージの受信（「Ｒｘ」）を通知する（「ＲｘＩＳＲ」）割り込み要求時に実行可能な割り込みルーチンを例示的に表している。
【0174】
ブロックＩＳＲ８は、例えば、次の割り込み要求、即ち、
ａ）タイマ（「Ｔｉｍｅｒ」）の通知、
ｂ）ソフトウェアによって生成される割り込み要求（「ＳＷ ＩＳＲ」）
のうちの少なくとも１つの割り込み要求時に実行可能な割り込みルーチンを例示的に表している。
ａ）タイマ（「Ｔｉｍｅｒ」）の通知、
ｂ）ソフトウェアによって生成される割り込み要求（「ＳＷ ＩＳＲ」）
のうちの少なくとも１つの割り込み要求時に実行可能な割り込みルーチンを例示的に表している。
【0175】
ブロックＲＸ＿Ｈ＿Ｚ１は、ゾーンＺ１に割り当てられており、メッセージの受信（「Ｒｘ」）時に実行される受信ハンドラ（例えば、メッセージの受信を制御するアプリケーションプログラムの一部又はインスタンス）を例示的に表す。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ１と比肩可能である。
【0176】
ブロックＲＸ＿Ｈ＿Ｚ２は、ゾーンＺ２に割り当てられており、メッセージの受信（「Ｒｘ」）時に実行される受信ハンドラ（例えば、メッセージの受信を制御するアプリケーションプログラムの一部又はインスタンス）を例示的に表す。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ２と比肩可能である。
【0177】
ブロックＴ＿ＴＸ＿Ｚ１’は、ゾーンＺ１に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表す。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ３と比肩可能である。ブロックＴ＿ＴＸ＿Ｚ２’は、ゾーンＺ２に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表す。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ４と比肩可能である。
【0178】
矢印ａ４０は、（ＣＡＮ）メッセージの受信によってトリガされる割り込み要求を表し、これは、特に現在実行中のタスク（送信タスクＴ＿ＴＸ＿Ｚ２’を参照されたい）の処理を中断する（矢印ａ４０’を参照されたい）。この結果、他の好ましい実施形態においては、受信ハンドラＲＸ＿Ｈ＿Ｚ１が、割り込みルーチンＩＳＲ７によって呼び出される（矢印ａ４１を参照されたい）。受信ハンドラＲＸ＿Ｈ＿Ｚ１の実行後、これは（例えば、好ましくは、ソフトウェアを用いて生成された割り込み要求によって）割り込みルーチンＩＳＲ７に戻る（矢印ａ４２）。
【0179】
図２０の例においては、さらに、送信タスクＴ＿ＴＸ＿Ｚ１’が実行される（矢印ａ４３を参照されたい）。これは、他の好ましい実施形態においては、次のような特定の利点を有し得る。即ち、タスクＲＸ＿Ｈ＿Ｚ１によって、いずれにせよ、既に、第１のゾーンＺ１に対するメモリ保護デバイスの静的な構成（例えば、相応の構成データセット）がアクティブにされているという利点である。この静的な構成は、好ましくは送信タスクＴ＿ＴＸ＿Ｚ１’にも適用される。これによって、特にパフォーマンスの観点から、送信タスクＴ＿ＴＸ＿Ｚ１’を実行する前の、メモリ保護デバイスの関連する静的な構成の切換を省略することができる。
【0180】
タイマによって生成された割り込み要求（Ｔｉｍｅｒ ＩＲＱ）が発生すると（ａ４４）、割り込みルーチンＩＳＲ７は送信タスクＴ＿ＴＸ＿Ｚ２’を呼び出す（矢印ａ４５を参照されたい）。これによって、その前に実行されていた送信タスクＴ＿ＴＸ＿Ｚ１’の割り込み（ａ４４’）が発生する。ゾーンＺ２の静的な構成（例えば、相応の構成データセット）への切換が、好ましくは、送信タスクＴ＿ＴＸ＿Ｚ２’が実行される前に行われる。その後、このフローは、例えば、ソフトウェア割り込み（ａ４６）を用いて、割り込みルーチンＩＳＲ７に戻り、次に送信タスクＴ＿ＴＸ＿Ｚ１’が続行される（矢印ａ４７を参照されたい）。
【0181】
【0182】
以下においては、他の好ましい実施形態、態様及び実施形態による原理の利点を説明する。これらは、他の好ましい実施形態に従って、それぞれ個別に単独で、又は、上述した実施形態のうちの少なくとも１つの実施形態との相互の組合せにより、組み合わせることが可能である。
【0183】
他の好ましい実施形態においては、コンピューティングデバイスへの侵入表面を制限するための措置として、例えば、図４，図５のメモリ１０３０ａへのアクセス権の制限が利用可能であり、これによって、ゾーンごとのメモリ分離が、例えば、それ自体公知のメモリ保護デバイスのメカニズムを利用して可能になる。特に好ましくは、他の実施形態においては、ゾーンごとのメモリ分離を、以下において例示的に挙げるメモリ形式、即ち、例えば、信頼できるバッファメモリ（（例えば、共有ＲＡＭ１０３０における）信頼できるバッファ）の形態及び／又は信頼できないバッファメモリ（（例えば、共有ＲＡＭ１０３０における）信頼できないバッファ）の形態のバッファ（バッファメモリ）、スタック（スタックメモリ）、データメモリ（例えば、データフラッシュ ＥＥＰＲＯＭなど）、プログラムメモリ（例えば、プログラムフラッシュ ＲＯＭなど）、ＳＦＲ（特殊機能レジスタ）のもとで行うことができる。
【0184】
他の好ましい実施形態においては、種々のゾーンの間におけるデータ交換（「ゾーン内データ交換及び／又はゾーン間データ交換」）を、例えば、共有ＲＡＭ（分割されたメインメモリ，図４の参照符号１０３０ａを参照されたい）内に位置するバッファを介して実現することができる。
【0185】
他の好ましい実施形態においては、例えば、少なくともそれぞれ１つの信頼できるバッファ及び信頼できないバッファ（用途によってはバッファを省略することもできる）が、アプリケーションプログラムのインスタンスＩ１，Ｉ２，Ｉ３（「プロキシ」）ごとにかつゾーンごとに設けられるものとしてよい（例えば、図４の部分領域ＴＢ１ａ，ＴＢ１ｂを参照されたい）。
【0186】
他の好ましい実施形態においては、ゾーン内のデータ交換又はゾーン内通信が、特に、このゾーンの信頼できるバッファＴＢ２ａ（図４）を介してのみ行われる。
【0187】
他の好ましい実施形態においては、ゾーン間のデータ交換又はゾーン間通信は、好ましくは、共有ＲＡＭ１０３０ａに配置された信頼できないバッファＴＢ１ａを介して行われる。例えば、他の好ましい実施形態においては、データがゾーンＺ１からゾーンＺ２に転送される際に、データは、好ましくは、最初に、Ｚ１プロキシによって、関連するＺ１の信頼できないバッファにコピーされ、関連するＺ２プロキシによって、その有効性に関して内容が検証され、妥当又は正しい内容、信頼できるデータの場合は、Ｚ２プロキシからＺ２の信頼できるバッファにコピーされる。他の好ましい実施形態においては、Ｚ１の信頼できないバッファからＺ２の信頼できるバッファへのデータ検証が成功した後のコピープロセスが、ゾーン遷移と称される。他の好ましい実施形態においては、Ｚ２の信頼できるバッファに位置する検証済みの信頼できるデータは、Ｚ２内においてそれに応じて処理又は転送されるものとしてよく、即ち、他の好ましい実施形態においては、データ検証は、ゾーン遷移及び場合によってはデータ利用の前に行われる。
【0188】
実施形態によるコンピューティングデバイスの侵入表面を制限するためのさらなる措置は、他の好ましい実施形態によるランタイムへのアクセス権の制限であり、これは、他の好ましい実施形態においては、例えば、相応のオペレーティングシステムＢＳ又はスーパーバイザＳＶの制御下において行われるものとしてよい。
【0189】
他の好ましい実施形態においては、例えば、図４の例示的に上述した軽量組込オペレーティングシステムＢＳに対して、ベースとして、例えば、他の好ましい実施形態においては、（例えば、構成などを介して）その複雑性が最小化されているＡＵＴｏｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ ＡＲｃｈｉｔｅｃｔｕｒｅ （ＡＵＴＯＳＡＲ） ＢＳが機能する。
【0190】
他の好ましい実施形態においては、侵害された中央処理装置１０２ａ（図３）によって発生する特権昇格（例えば、軽量組込ＯＳ ＩＳＲにおけるスーパーバイザモードの誤用）の場合でさえ、無効なゾーン遷移、又は、Ｚ１によるＺ２メモリ若しくはＺ２ランタイムへの無効なアクセスは行われ得ない。なぜなら、これによって、軽量組込ＢＳの静的で大幅に削減された機能性（他の好ましい実施形態においては、特にスーパーバイザモードにおける部分的な機能性）が、スーパーバイザモードにおける特権の乱用を許可しないからである。
【0191】
他の好ましい実施形態においては、スーパーバイザモードにおいて実行されるＩＳＲ（割り込みルーチン）は、関連する中央処理装置の専用メモリ保護デバイスの静的な構成データセット間の切換のみを行うことができる→中央処理装置のスーパーバイザモード及びユーザモードに対する同一の静的な構成データセットは、他の好ましい実施形態においては、関連するゾーン、例えば第１のゾーンＺ１に割り当てられているメモリ及び／又はランタイムへのアクセスのみを可能にする。
【0192】
他の好ましい実施形態においては、スーパーバイザモードにおいて実行されるＩＳＲは、メモリ保護デバイスの動的な再構成を行うことができず、これは、特に、開始サイクル中の、例えば、コールドスタート中及び／又はウォームスタート中のメモリ保護デバイスの静的な、完全かつ真正の構成によって暗黙的に達成可能である。
【0193】
他の好ましい実施形態においては、例えば、第１のゾーンＺ１に割り当てられている、ユーザモードにおいて実行されるタスクは、特定の中央処理装置に対する専用メモリ保護デバイスの静的な構成データセット間の切換を行うことができない。なぜなら、他の好ましい実施形態においては、この切換は、スーパーバイザモードにおいてのみ可能だからである。
【0194】
他の好ましい実施形態においては、例えば、第１のゾーンＺ１に割り当てられている、ユーザモードにおいて実行されるタスクは、メモリ保護デバイスの動的な再構成を行うことができず、これは、有利には同様に、他の好ましい実施形態において設けられている、開始サイクル中の、即ち、例えば、コールドスタート中及び／又はウォームスタート中のメモリ保護デバイスの静的な、完全かつ真正の構成によって暗黙的に達成可能である。
【0195】
他の好ましい実施形態においては、スーパーバイザＳＶ、特に軽量組込スーパーバイザは、オペレーティングシステムＢＳ、特に軽量組込オペレーティングシステムに対して、追加の監視機能性を有するものとしてよい。好ましくは、コア－ゾーン内分離（図５）の場合、異なる信頼レベルを有する２つのゾーンＺ１及びＺ２のタスクＰＸＹは、専用中央処理装置１０２ｃ上において実行され、ここでは、好ましくは、Ｚ１タスク（第１のゾーンＺ１に割り当てられているタスク又はインスタンス）及びＺ２タスクに対する２つの異なる静的な構成データセットが、ユーザモードにおいて使用され、また、場合によっては、スーパーバイザモードに対する他の静的な構成データセットが使用され、これは例えば、Ｚ１タスク及びＺ２タスクに対する２つの静的な構成データセット間の切換を制御する。他の好ましい実施形態においては、場合によっては残存している、未使用の、ユーザモードにおけるタスクに対する静的な構成データセットは（例えば、コールドスタート中及び／又はウォームスタート中）、これが、例えば、メモリ全体への一般的な読取アクセス、書込アクセス及び遂行アクセスを阻止するように構成されるものとしてよく、これによって、セキュリティがさらに強化される。
【0196】
他の好ましい実施形態においては、スーパーバイザモードが、特にコア－ゾーン内分離のコンテキストにおいて、信頼できないゾーンＺ１の監視を制御することが想定されるものとしてよい（例えば、図２Ｍのフローを参照されたい）。
【0197】
他の好ましい実施形態においては、例えば、３つ以上のゾーンＺ１，Ｚ２，Ｚ３（図示せず）が設けられるものとしてよく、第１のゾーンＺ１は、例えば非常に信頼できるゾーン／機密性の高いゾーンであり、第２のゾーンＺ２は、例えば信頼できるゾーンであり、第３のゾーンＺ３は、例えば信頼できないゾーンである。
【0198】
他の好ましい実施形態においては、コンピューティングデバイスは、例えば、マイクロコントローラを有するものとしてよく、又は、相応の数の中央処理装置を備えたマイクロコントローラによって構成されるものとしてよい。
【0199】
本発明者らの調べによると、高度にネットワーク化された近年の車両の事情において、特に、多様な外部インタフェースが原因で、例えば、制御装置及び／又は組込システムのコンピューティングデバイス上の侵入表面が著しく増加している。特に、いわゆる遠隔侵入のリスク、即ち、例えばインタネットを介した、車両又はコンピューティングデバイスへの物理的なアクセスを伴わない侵害が存在する。好ましい実施形態による原理は、有利には、コンピューティングデバイスへのこのような遠隔侵入及び／又は他の侵入の効率的な軽減のために使用され得る。
【0200】
他の好ましい実施形態は、実施形態による方法を実行する装置１０００に関する（図２２の概略的なブロック図を参照されたい）。装置１０００は、少なくとも１つの中央処理装置１００２ａを備えたコンピューティングデバイス１００２を有しており、中央処理装置１００２ａには、任意選択的に、少なくとも１つのメモリ保護デバイス１００２ａ’が割り当てられるものとしてよい。
【0201】
装置１０００はさらに、メモリデバイス１００４を有しており、これは好ましくは揮発性メモリ１００４ａ、例えばメインメモリ（ＲＡＭ）及び／又は不揮発性メモリ１００４ｂ、例えばフラッシュＥＥＰＲＯＭ及び／又はＲＯＭ及び／又はＯＴＰメモリを有する。好ましくは、ＲＯＭ１００４ｂ内にコンピュータプログラムＰＲＧが格納されており、これは、プログラムＰＲＧがコンピュータ１００２によって実行されるときに、コンピュータ１００２に、実施形態による方法を実施させるための命令を含む。
【0202】
他の好ましい実施形態においては、装置１０００の動作のための構成データＣＦＧも、ＲＯＭ１００４ｂ内に格納されている。この構成データＣＦＧは、例えば、少なくとも１つのメモリ保護デバイス１００２ａ’のための１つ又は複数の構成データ（セット）ＫＤ、ＫＤ’，ＫＤ１，ＫＤ２，ＫＤ３，ＫＤ４も有することができる。
【0203】
他の好ましい実施形態においては、装置１０００が、コンピューティングデバイス１００２とメモリデバイス１００４との間のデータを交換することを可能にする少なくとも１つのデータバス１００６を有することが想定されている。
【0204】
他の好ましい実施形態は、コンピュータ１００２によって実行されるときに、コンピュータ１００２に、実施形態による方法を実施させるための、特にコンピュータプログラムＰＲＧの形態の命令を含むコンピュータ可読記憶媒体ＳＭに関する。
【0205】
他の好ましい実施形態は、実施形態によるコンピュータプログラムＰＲＧを伝送するデータキャリア信号ＤＳに関する。好ましくは、装置１０００は、データキャリア信号ＤＳを受信するための、好ましくは双方向のデータインタフェース１００８を有するものとしてよい。
【0206】
他の好ましい実施形態においては、コンピューティングデバイス１００２は、特に例示的に図１，図３を参照して上述されたように、コンピューティングデバイス１００，１００ａによる構成も有することができる。特に、他の好ましい実施形態においては、図２２による装置１０００の上述の中央処理装置又はある中央処理装置１００２ａが、実施形態による方法の少なくともいくつかのステップを少なくとも一時的に実行することも可能である。この点において、装置１０００は例示的に、実施形態による、コンピューティングデバイス１００，１００ａの可能なターゲットシステムとしても理解され得る。
【0207】
他の好ましい実施形態においては、装置１０００は、例えば、暗号化機能を実行するためのハードウェアセキュリティモジュールＨＳＭ’又は暗号化モジュールＨＳＭ’も有する。
【0208】
他の好ましい実施形態においては、装置１０００が、マイクロコントローラ（英語で、Ｍｉｃｒｏｃｏｎｔｒｏｌｌｅｒ若しくはＭｉｃｒｏｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ（ＭＣＵ））として、特に単一のマイクロコントローラ（ｓｉｎｇｌｅ ＭＣＵ）として、又は、シングルチップシステム（英語で、ＳｏＣ ｓｙｓｔｅｍ－ｏｎ－ｃｈｉｐ）として、特に単一のＳｏＣ（ｓｉｎｇｌｅ－ＳｏＣ）として構成されていることが想定されている。
【0209】
他の好ましい実施形態においては、装置１０００が、１つの、特に共通の半導体基板１００１（英語で、ｄｉｅ）を有することが想定されており、ここでは、この、特に共通の半導体基板１００１上に、次の要素、即ち、
ａ）少なくとも１つの中央処理装置を有するコンピューティングデバイス１００２、
ｂ）メモリデバイス１００４、
ｃ）データバス１００６、
ｄ）少なくとも１つのメモリ保護デバイス１００２ａ、
ｅ）（任意選択的な）ハードウェアセキュリティモジュールＨＳＭ’
のうちの少なくとも１つの要素が配置されている。
ａ）少なくとも１つの中央処理装置を有するコンピューティングデバイス１００２、
ｂ）メモリデバイス１００４、
ｃ）データバス１００６、
ｄ）少なくとも１つのメモリ保護デバイス１００２ａ、
ｅ）（任意選択的な）ハードウェアセキュリティモジュールＨＳＭ’
のうちの少なくとも１つの要素が配置されている。
【0210】
従って、好ましい実施形態による原理は、有利には、２つ以上のゾーンＺ１，Ｚ２への分離と同時に、シングルＭＣＵシステム１又はシングルＳｏＣシステム１の提供を可能にする。
【0211】
他の好ましい実施形態においては、種々のゾーンの間におけるデータ交換（「ゾーン内データ交換及び／又はゾーン間データ交換」）を、例えば、共有ＲＡＭ（分割されたメインメモリ，図４の参照符号１０３０ａを参照されたい）内に位置するバッファを介して実現することができ、ここでは、共有ＲＡＭは、有利には同様に、コンピューティングデバイス１００２又はその中央処理装置１００２ａ及び好ましくはシングルＳｏＣシステム１の他のコンポーネント１００６，ＨＳＭ’，１００２ａと同一の共通の半導体基板１００１上に配置されている。これによって、有利には、種々のゾーンＺ１，Ｚ２間の高性能（ＭＣＵ内部又はＳｏＣ内部のため）かつ確実な（ＭＣＵ内部又はＳｏＣ内部のため）通信チャネルが得られ、これは、他の好ましい実施形態においては、効率的にスケーリング可能でもある（例えば、場合によっては、他の（付加的な）ゾーンにおける複数のバッファ）。
【0212】
有利には、好ましい実施形態は、異なるゾーンＺ１，Ｚ２の「配置」、例えば信頼できるゾーン（ＴＺ）及び信頼できないゾーン（ＮＴＺ）の「配置」、及び／又は、同一の、好ましくはシングルＭＣＵシステム又はシングルＳｏＣシステム１上の異なるゾーンＺ１，Ｚ２のデータに関するデータ処理を可能にする。
【0213】
他の好ましい実施形態においては、実施形態による方法及び／又は装置１００，１００ａ，１０００は、制御装置において、例えば自動車用の制御装置において、特に自動車の内燃機関用の制御装置において使用されるものとしてよく、これは例えば、次の用途、即ち、
ａ）制御装置の動作又は動作状態遷移の制御、
ｂ）制御装置及び／又は他のコンポーネント及び／又は例えば自動車の１つ又は複数の機能の有効化又は非有効化、
ｃ）エラーモード及び／又は緊急動作への切換、
ｄ）エラーメモリエントリの実行、
ｅ）外部ユニット及び／又はユーザへの動作状態の通知、
ｆ）アクチュエータの駆動制御
のうちの少なくとも１つの用途に対する使用である。
ａ）制御装置の動作又は動作状態遷移の制御、
ｂ）制御装置及び／又は他のコンポーネント及び／又は例えば自動車の１つ又は複数の機能の有効化又は非有効化、
ｃ）エラーモード及び／又は緊急動作への切換、
ｄ）エラーメモリエントリの実行、
ｅ）外部ユニット及び／又はユーザへの動作状態の通知、
ｆ）アクチュエータの駆動制御
のうちの少なくとも１つの用途に対する使用である。
【0214】
他の好ましい実施形態は、特に、メモリデバイス及び／又はメモリデバイスにアクセスするコンピューティングデバイス１００，１００ａ，１００２を第１の動作状態から第２の動作状態に切り換える前又は切り換える間又は切り換えた後に、メモリデバイス１０３０，１０３２，１００４の少なくとも１つの部分領域を変更又は改ざんに関して検査するために、かつ、この検査に応じて、例えば自動車の内燃機関の制御装置の動作を制御するために、実施形態による方法及び／又は実施形態による装置１００，１００ａ，１０００及び／又は実施形態によるコンピュータプログラムＰＲＧを使用することに関する。
【0215】
他の好ましい実施形態（図２Ｕを参照されたい）は、次の要素、即ち、
ａ）コンピューティングデバイス１００，１００ａ（図１）における、特にコンピューティングデバイスの中央処理装置１０２ｃ内における信頼境界（「Ｔｒｕｓｔ Ｂｏｕｎｄａｒｉｅｓ」）の提供３７０、
ｂ）コンピューティングデバイス及び／又はコンピューティングデバイスのコンポーネントのうちの１つのコンポーネントに対する侵入の侵入表面の低減３７１（図２Ｕ）、
ｃ）メモリ１０３０，１０３２へのアクセス権の制限３７２、
ｄ）周辺機器１０３４（図３）へのアクセス権の制限３７３、
ｅ）（例えば、計算時間、中央処理装置のデータによって特徴付け可能な）計算リソースへのアクセス権の制限３７４（図２Ｕ）、
ｆ）変造されたコンポーネントの影響の最小化３７５、
ｇ）特に車両用の、特に自動車用の制御装置の動作３７６、
ｈ）組込システム、特にモノのインタネットの組込システム、即ち、ＩｏＴシステムの動作３７７、
ｉ）特定用途向け集積回路即ちＡＳＩＣの動作３７８
ｊ）変造されたゾーンの検出、
ｋ）特に侵害が検出された場合のエラー応答の開始
のうちの少なくとも１つの要素に対する、実施形態による方法の使用及び／又は実施形態による装置の使用及び／又は実施形態によるコンピュータプログラムの使用に関する。
ａ）コンピューティングデバイス１００，１００ａ（図１）における、特にコンピューティングデバイスの中央処理装置１０２ｃ内における信頼境界（「Ｔｒｕｓｔ Ｂｏｕｎｄａｒｉｅｓ」）の提供３７０、
ｂ）コンピューティングデバイス及び／又はコンピューティングデバイスのコンポーネントのうちの１つのコンポーネントに対する侵入の侵入表面の低減３７１（図２Ｕ）、
ｃ）メモリ１０３０，１０３２へのアクセス権の制限３７２、
ｄ）周辺機器１０３４（図３）へのアクセス権の制限３７３、
ｅ）（例えば、計算時間、中央処理装置のデータによって特徴付け可能な）計算リソースへのアクセス権の制限３７４（図２Ｕ）、
ｆ）変造されたコンポーネントの影響の最小化３７５、
ｇ）特に車両用の、特に自動車用の制御装置の動作３７６、
ｈ）組込システム、特にモノのインタネットの組込システム、即ち、ＩｏＴシステムの動作３７７、
ｉ）特定用途向け集積回路即ちＡＳＩＣの動作３７８
ｊ）変造されたゾーンの検出、
ｋ）特に侵害が検出された場合のエラー応答の開始
のうちの少なくとも１つの要素に対する、実施形態による方法の使用及び／又は実施形態による装置の使用及び／又は実施形態によるコンピュータプログラムの使用に関する。
【図1】
【図2A】
【図2B】
【図2C】
【図2D】
【図2E】
【図2F】
【図2G】
【図2H】
【図2I】
【図2J】
【図2K】
【図2L】
【図2M】
【図2N】
【図2P】
【図2Q】
【図2R】
【図2S】
【図2T】
【図2U】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12A】
【図12B】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【手続補正書】
【提出日】2022-05-25
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
車両用の組込システム及び／又は制御装置用の、少なくとも１つの中央処理装置（１０２ａ，１０２ｂ，１０２ｃ，…，１０２ｎ；Ｋ１，Ｋ２，Ｋ３，Ｋ４）を有するコンピューティングデバイス（１００；１００ａ；１００ｂ）の動作方法であって、前記コンピューティングデバイス（１００；１００ａ；１００ｂ）によって実行可能な１つ又は複数のアプリケーションプログラム（ＡＰ１，ＡＰ２）を少なくとも２つのゾーン（Ｚ１，Ｚ２）のうちの１つのゾーンに割り当てるステップ（２００）であって、前記ゾーン（Ｚ１，Ｚ２）は、関連するアプリケーションプログラム（ＡＰ１，ＡＰ２）を実行するために利用可能な、前記コンピューティングデバイス（１００；１００ａ；１００ｂ）のリソースを特徴付ける、ステップ（２００）と、
自身に割り当てられている前記ゾーン（Ｚ１，Ｚ２）に応じて、複数の前記アプリケーションプログラム（ＡＰ１，ＡＰ２）のうちの少なくとも１つのアプリケーションプログラムを実行するステップ（２１０）と、
を含み、
少なくとも１つのゾーン（Ｚ１，Ｚ２）に応じて、次の要素、即ち、
ａ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する読取権、
ｂ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する書込権、
ｃ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する実行権
のうちの少なくとも１つの要素を制御するステップ（２３０）、特に制限するステップをさらに含み、
前記読取権及び／又は前記書込権及び／又は前記実行権を制御するために、少なくとも一時的に、少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を使用するステップ（２３２；２３２’）をさらに含み、
前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）に対して構成データ（ＫＤ）の複数のセットを提供するステップ（２５０）をさらに含み、
前記構成データ（ＫＤ）の前記複数のセットのうちの少なくとも１つの第１のセットを前記少なくとも２つのゾーン（Ｚ１，Ｚ２）のうちの第１のゾーン（Ｚ１）に割り当て、
前記構成データ（ＫＤ）の前記複数のセットのうちの少なくとも１つの第２のセットを前記少なくとも２つのゾーン（Ｚ１，Ｚ２）のうちの第２のゾーン（Ｚ２）に割り当てる（２５２）、
方法。
【請求項2】
前記コンピューティングデバイス（１００；１００ａ；１００ｂ）は、複数の中央処理装置（１０２ａ，１０２ｂ，１０２ｃ，…，１０２ｎ；Ｋ１，Ｋ２，Ｋ３，Ｋ４）を有しており、前記方法はさらに、
ａ）少なくとも１つの中央処理装置（１０２ａ，１０２ｂ）を厳密に１つのゾーンに割り当てるステップ（２２０）、及び／又は、
ｂ）少なくとも１つの中央処理装置（１０２ａ，１０２ｂ）を１つ以上のゾーン、特に２つのゾーン（Ｚ１，Ｚ２）に割り当てるステップ（２２２）
を含む、
請求項１に記載の方法。
【請求項3】
少なくとも１つの中央処理装置（１０２ａ）に対して少なくとも１つの専用メモリ保護デバイス（Ｍ１）を提供するステップ（２３１）をさらに含み、特に複数の、好ましくはすべての中央処理装置（１０２ａ）に対してそれぞれ１つの専用メモリ保護デバイスを提供する、
請求項１又は２に記載の方法。
【請求項4】
少なくとも１つの中央処理装置（１０２ａ）は、少なくとも一時的に第１の動作モードを取り（２４０）、特に前記少なくとも１つの中央処理装置（１０２ａ）は、前記第１の動作モードにおいて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データ（１０３６）の設定及び／又は書込（２４２）を行い、特に前記少なくとも１つの中央処理装置（１０２ａ）は、少なくとも一時的に第２の動作モードを取り（２４３）、前記少なくとも１つの中央処理装置（１０２ａ）は、前記第２の動作モードにおいて、前記少なくとも１つのメモリ保護デバイスに対する前記構成データ（１０３６）の書込及び／又は変更を行うことができない、
請求項１乃至３のいずれか一項に記載の方法。
【請求項5】
前記少なくとも１つの中央処理装置（１０２ａ）は、イベント駆動方式で、特に少なくとも１つの割り込み要求に応じて、前記第１の動作モードを取る（２４０）、請求項４に記載の方法。
【請求項6】
前記アプリケーションプログラム（ＡＰ１）の第１のインスタンス（ＡＰ１＿Ｉ１）及び前記アプリケーションプログラム（ＡＰ１）の第２のインスタンス（ＡＰ１＿Ｉ２）を提供するステップ（２６０）と、前記アプリケーションプログラム（ＡＰ１）の前記第１のインスタンス（ＡＰ１＿Ｉ１）を前記少なくとも２つのゾーンのうちの第１のゾーン（Ｚ１）に割り当てるステップ（２６２）と、
前記アプリケーションプログラム（ＡＰ１）の前記第２のインスタンス（ＡＰ１＿Ｉ２）を前記少なくとも２つのゾーンのうちの第２のゾーン（Ｚ２）に割り当てるステップ（２６３）と、
をさらに含む、
請求項１乃至５のいずれか一項に記載の方法。
【請求項7】
前記少なくとも２つのゾーン（Ｚ１，Ｚ２）に応じて前記コンピューティングデバイス（１００）に割り当てられているメモリの領域を分離するステップ（２７０）をさらに含み、前記コンピューティングデバイス（１００）に割り当てられている前記メモリは、次の要素、即ち、
ａ）特にメインメモリの形態のバッファメモリ、
ｂ）スタックメモリ、
ｃ）データメモリ、
ｄ）プログラムメモリ、
ｅ）レジスタメモリ
のうちの少なくとも１つの要素を有しており、
前記分離するステップ（２７０）のために少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を使用する（２７２）、
請求項１乃至６のいずれか一項に記載の方法。
【請求項8】
バッファメモリ、特にメインメモリを介して、種々のゾーン（Ｚ１，Ｚ２）の間において第１のデータを交換するステップ（２８０）をさらに含み、特に、前記第１のゾーン（Ｚ１）と前記第２のゾーン（Ｚ２）との間における前記第１のデータの前記交換は、次のステップ、即ち、
前記第１のデータを、前記第１のゾーン（Ｚ１）に割り当てられている第１のバッファメモリ領域にコピーするステップ（２８２）と、
コピーされた前記第１のデータを検査するステップ（２８３）と、
特に前記検査するステップ（２８３）に応じて、前記第１のデータを、前記第１のゾーン（Ｚ１）に割り当てられている前記第１のバッファメモリ領域から、前記第２のゾーン（Ｚ２）に割り当てられている第２のバッファメモリ領域にコピーするステップ（２８４）と、
を含む、
請求項１乃至７のいずれか一項に記載の方法。
【請求項9】
前記少なくとも２つのゾーン（Ｚ１，Ｚ２）に応じて、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを分離するステップ（２９０）、特に、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるステップをさらに含む、請求項１乃至８のいずれか一項に記載の方法。
【請求項10】
ａ）異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のオペレーティングシステム（ＢＳ）、特に軽量組込オペレーティングシステムを使用するステップ（２９２）であって、特に前記コンピューティングデバイス（１００）のそれぞれ１つの中央処理装置（１０２ａ，１０２ｂ）に１つのオペレーティングシステム（ＢＳ）を割り当てる、ステップ（２９２）、及び／又は、ｂ）異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のスーパーバイザ（ＳＶ）、特に軽量組込スーパーバイザを使用するステップ（２９４）であって、特に前記コンピューティングデバイス（１００）のそれぞれ１つの中央処理装置（１０２ａ，１０２ｂ）に１つのスーパーバイザ（ＳＶ）を割り当てる、ステップ（２９４）
をさらに含む、
請求項９に記載の方法。
【請求項11】
前記オペレーティングシステム（ＢＳ）及び／又は前記スーパーバイザ（ＳＶ）は、特に静的なタスクリストを使用して、事前に規定されたタスクに対して、好ましくは事前に規定されたタスクに対してのみ、計算時間リソースの割り当てを実行する、請求項１０に記載の方法。
【請求項12】
前記オペレーティングシステム（ＢＳ）及び／又は前記スーパーバイザ（ＳＶ）は、計算時間リソースの割り当てを、ａ）繰り返される、特に定期的に繰り返される割り込み要求に応じて、及び／又は、ｂ）イベント駆動方式の割り込み要求に応じて、実行し、特に、タスクは、少なくとも１つの割り込みルーチンによってアクティブ化される、
請求項１０に記載の方法。
【請求項13】
割り込みルーチンに入ると、特にハードウェア駆動方式で、少なくとも１つのメモリ保護デバイスに対する構成データ（１０３６）又は前記少なくとも１つのメモリ保護デバイスを変更する、請求項１乃至１２のいずれか一項に記載の方法。
【請求項14】
特に前記オペレーティングシステム（ＢＳ）及び／又は前記スーパーバイザ（ＳＶ）を用いて、特に侵害の可能性があるかに関して、次の要素、即ち、ａ）第１のゾーン（Ｚ１）、
ｂ）前記第１のゾーン（Ｚ１）に割り当てられているアプリケーションプログラム、
ｃ）前記第１のゾーン（Ｚ１）に割り当てられている、アプリケーションプログラム（ＡＰ１）のインスタンス（ＡＰ１＿Ｉ１）、
のうちの少なくとも１つの要素を監視するステップ（３００）をさらに含み、
特に前記監視するステップ（３００）は、スタックメモリを評価するステップ（３０２）、及び／又は、プログラムカウンタを評価するステップ（３０４）を含み、
好ましくは、前記スタックメモリを評価する前記ステップ（３０２）及び／又は前記プログラムカウンタを評価する前記ステップ（３０４）を、前記アプリケーションプログラム（ＡＰ１）をアクティブ化するステップ及び／又は前記アプリケーションプログラム（ＡＰ１）の前記インスタンス（ＡＰ１＿Ｉ１）をアクティブ化するステップの前に行う、
請求項１０乃至１３のいずれか一項に記載の方法。
【請求項15】
特に、前記監視するステップ（３００）が侵害の可能性を示す場合に、エラー応答を開始するステップ（３０５）をさらに含み、前記エラー応答（３０５）は、次の要素、即ち、
ａ）特に、前記第１のゾーン（Ｚ１）に割り当てられている前記中央処理装置の非アクティブ化（３０５ａ）及び／又は前記第１のゾーン（Ｚ１）に割り当てられている前記中央処理装置のリセット（３０５ｂ）及び／又はエラーモードへの移行（３０５ｃ）を用いた、前記第１のゾーン（Ｚ１）及び／又は前記第１のゾーン（Ｚ１）に割り当てられている前記中央処理装置の安全な状態への移行、
ｂ）エラーエントリ（ＦＥ）の生成（３０５ｄ）、及び／又は、
ｃ）あるエラーエントリ又は前記エラーエントリの、侵入検知システム、特にＩｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍへの転送（３０５ｅ）
のうちの少なくとも１つの要素を含む、
請求項１４に記載の方法。
【請求項16】
前記コンピューティングデバイス（１００）は、少なくとも一時的にコールドスタート（３１０）を実行し、特に前記コールドスタート（３１０）中に、データ及び／又はプログラムコードが不揮発性メモリ（１０３２）からロードされ、前記コンピューティングデバイス（１００）は、少なくとも一時的にウォームスタート（３１２）を実行し、特に前記ウォームスタート（３１２）中に、データ及び／又はプログラムコードが、少なくとも一時的に通電される揮発性メモリ（１０３０）からロードされ、
特に前記コールドスタート（３１０）中に、少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）若しくは前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を構成し（３１１）、及び／又は、特に前記ウォームスタート（３１２）中に、前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を構成する（３１３）、
請求項１乃至１５のいずれか一項に記載の方法。
【請求項17】
専用メモリ保護デバイス（Ｍ１）が提供されている（２３１）中央処理装置（１０２ａ）のみが、前記専用メモリ保護デバイス（Ｍ１）を構成する（２３１ａ）、請求項３乃至１６のいずれか一項に記載の方法。
【請求項18】
少なくとも１つのメモリ保護デバイスの動作を制御する構成データ（１０３６）の完全性及び／又は真正性、又は、前記構成データ（１０３６）を、特に、次の要素、即ち、ａ）前記少なくとも１つのメモリ保護デバイスの前記構成に使用可能なプログラムコードの検証（３２２）、
ｂ）前記構成データ（１０３６）の検証（３２４）、
ｃ）前記少なくとも１つのメモリ保護デバイスの前記構成に使用可能な、あるプログラムコード又は前記プログラムコードの永続化（３２６）、
ｄ）前記構成データ（１０３６）の永続化（３２８）、
のうちの少なくとも１つの要素を用いて検査するステップ（３２０）をさらに含む、
請求項１乃至１７のいずれか一項に記載の方法。
【請求項19】
特に少なくとも１つの中央処理装置（１０２ａ）によって、少なくとも一時的に、セキュアブート方法を実行するステップ（３３０）、及び／又は、少なくとも一時的に、ランタイム中に改ざんを識別する方法を実行するステップ（３３２）をさらに含む、請求項１乃至１８のいずれか一項に記載の方法。
【請求項20】
少なくとも１つのゾーン（Ｚ１）に応じて、次の要素、即ち、ａ）前記コンピューティングデバイス（１００）の内部インタフェース、特にソフトウェアインタフェース、
ｂ）前記コンピューティングデバイス（１００）の内部ハードウェアインタフェース及び／又は外部ハードウェアインタフェース、
ｃ）暗号化機能を実行するためのハードウェアセキュリティモジュール（ＨＳＭ）及び／又は暗号化モジュール、
ｄ）前記コンピューティングデバイス（１００）の周辺機器、特に少なくとも１つの周辺機器の特殊機能レジスタ、
ｅ）前記コンピューティングデバイス（１００）のターゲットシステム、特に制御装置の内部インタフェース、
ｆ）前記コンピューティングデバイス（１００）のターゲットシステム、特に制御装置の外部インタフェース、
ｇ）特に、ＩＳＯ／ＯＳＩレイヤモデルの少なくとも１つのレイヤ上の通信プロトコルに対するアドレス指定要素、
のうちの少なくとも１つの要素へのアプリケーションプログラム（ＡＰ１）によるアクセスを制御するステップ（３４０）をさらに含む、
請求項１乃至１９のいずれか一項に記載の方法。
【請求項21】
次の要素、即ち、ａ）少なくとも１つの付加的な、特にまだ存在していないゾーンの導入（３５０）、
ｂ）第１の中央処理装置（１０２ａ）から、前記コンピューティングデバイスの少なくとも１つの他の中央処理装置（１０２ｂ）への機能性の移動（３５２）、
ｃ）特に前記コンピューティングデバイス（１００）内に統合されているメインメモリ（１０３０）を使用した、少なくとも２つのゾーン（Ｚ１，Ｚ２）間の通信の実行（３５４）、
ｄ）少なくとも１つの信頼できるゾーン（Ｚ２）の定義（３６０）、及び、任意選択的に、前記信頼できるゾーン（Ｚ２）に割り当てられている少なくとも１つのアプリケーションプログラムによる、少なくとも１つの他の、特に信頼できないゾーン（Ｚ１）の監視（３６２）
のうちの少なくとも１つの要素をさらに含む、
請求項１乃至２０のいずれか一項に記載の方法。
【請求項22】
請求項１乃至２１のいずれか一項に記載の方法を実施するための装置（１００；１００ａ；１００ｂ；１０００）。
【請求項23】
次の要素、即ち、ａ）少なくとも１つの中央処理装置（１００２ａ）を有するコンピューティングデバイス（１００２）、
ｂ）メモリデバイス（１００４）、
ｃ）データバス（１００６）、
ｄ）メモリ保護デバイス（１００２ａ’）、
ｅ）ハードウェアセキュリティモジュール（ＨＳＭ；ＨＳＭ’）
のうちの少なくとも１つの要素を有する、
請求項２２に記載の装置（１００；１００ａ；１００ｂ；１０００）。
【請求項24】
前記装置（１００；１００ａ；１００ｂ；１０００）は、特に単一のマイクロコントローラとして又は単一のシングルチップシステム（１）として構成されている、請求項２２乃至２３のいずれか一項に記載の装置（１００；１００ａ；１００ｂ；１０００）。
【請求項25】
前記装置（１００；１００ａ；１００ｂ；１０００）は、１つの、特に共通の半導体基板（１００１）を有しており、特に共通の前記半導体基板（１００１）上に、次の要素、即ち、
ａ）少なくとも１つの中央処理装置（１００２ａ）を有する前記コンピューティングデバイス（１００２）、
ｂ）メモリデバイス（１００４）、
ｃ）データバス（１００６）、
ｄ）メモリ保護デバイス（１００２ａ’）、
ｅ）ハードウェアセキュリティモジュール（ＨＳＭ；ＨＳＭ’）
のうちの少なくとも１つの要素が配置されている、
請求項２３又は２４に記載の装置（１００；１００ａ；１００ｂ；１０００）。
【請求項26】
請求項１乃至２１のいずれか一項に記載の方法を実施するマイクロコントローラシステム（１）又はシングルチップシステム（１）であって、前記システム（１）は、特に単一の、請求項２２乃至２５までのいずれか一項に記載の装置（１０００）を有する、
マイクロコントローラシステム（１）又はシングルチップシステム（１）。
【請求項27】
コンピュータ（１００２ａ）により実行されるときに、前記コンピュータ（１００２ａ）に、請求項１乃至２１のいずれか一項に記載の方法を実施させるための命令（ＰＲＧ）を含むコンピュータ可読記憶媒体（ＳＭ）。
【請求項28】
コンピュータ（１００２ａ）によりプログラムが実行されるときに、前記コンピュータ（１００２ａ）に、請求項１乃至２１のいずれか一項に記載の方法を実施させるための命令を含むコンピュータプログラム（ＰＲＧ）。
【請求項29】
次の要素、即ち、ａ）前記コンピューティングデバイス（１００）における、特に前記コンピューティングデバイス（１００）の中央処理装置（１０２ａ）内における信頼境界の提供（３７０）、
ｂ）前記コンピューティングデバイス（１００）及び／又は前記コンピューティングデバイス（１００）のコンポーネントのうちの１つのコンポーネントに対する侵入の侵入表面の低減（３７１）、
ｃ）メモリへのアクセス権の制限（３７２）、
ｄ）周辺機器へのアクセス権の制限（３７３）、
ｅ）計算リソースへのアクセス権の制限（３７４）、
ｆ）変造されたコンポーネントの影響の最小化（３７５）、
ｇ）特に車両用の、特に自動車用の制御装置の動作（３７６）、
ｈ）組込システム、特にモノのインタネットの組込システム、即ち、ＩｏＴシステムの動作（３７７）、
ｉ）特定用途向け集積回路即ちＡＳＩＣの動作（３７８）、
ｊ）変造されたゾーンの検出、
ｋ）特に侵害が検出された場合のエラー応答の開始
のうちの少なくとも１つの要素に対する、請求項１乃至２１のいずれか一項に記載の方法の使用及び／又は請求項２２乃至２５のいずれか一項に記載の装置（１００；１００ａ；１００ｂ；１０００）の使用及び／又は請求項２６に記載のシステム（１）の使用及び／又は請求項２８に記載のコンピュータプログラム（ＰＲＧ）の使用。
【国際調査報告】