特表 2023-519909 特に自動車におけるデータの異常を処理するための方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2023-05-15

(54)【発明の名称】特に自動車におけるデータの異常を処理するための方法

(51)【国際特許分類】

   H04L 43/04 20220101AFI20230508BHJP

   H04L 12/28 20060101ALI20230508BHJP

【ＦＩ】

H04L43/04

H04L12/28 100A

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2022558497

(86)(22)【出願日】2021-03-15

(85)【翻訳文提出日】2022-09-27

(86)【国際出願番号】 EP2021056545

(87)【国際公開番号】W WO2021197823

(87)【国際公開日】2021-10-07

(31)【優先権主張番号】102020204053.2

(32)【優先日】2020-03-28

(33)【優先権主張国・地域又は機関】DE

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ブルートゥース

(71)【出願人】

【識別番号】390023711

【氏名又は名称】ローベルト ボツシユ ゲゼルシヤフト ミツト ベシユレンクテル ハフツング

【氏名又は名称原語表記】ＲＯＢＥＲＴ ＢＯＳＣＨ ＧＭＢＨ

【住所又は居所原語表記】Ｓｔｕｔｔｇａｒｔ， Ｇｅｒｍａｎｙ

(74)【代理人】

【識別番号】100114890

【弁理士】

【氏名又は名称】アインゼル・フェリックス＝ラインハルト

(74)【代理人】

【識別番号】100098501

【弁理士】

【氏名又は名称】森田 拓

(74)【代理人】

【識別番号】100116403

【弁理士】

【氏名又は名称】前川 純一

(74)【代理人】

【識別番号】100134315

【弁理士】

【氏名又は名称】永島 秀郎

(74)【代理人】

【識別番号】100162880

【弁理士】

【氏名又は名称】上島 類

(72)【発明者】

【氏名】マヌエル ヤウス

(72)【発明者】

【氏名】ローラント シュテフェン

(72)【発明者】

【氏名】ムスタファ カルタール

【テーマコード（参考）】

5K033

【Ｆターム（参考）】

5K033AA05

5K033BA06

5K033EA06

(57)【要約】

特に自動車におけるデータの異常を処理するための方法が提案され、異常識別のための少なくとも１つのセンサ（２４，２６，２８）が、データ（２１１）を取得し、センサ（２４，２６，２８）は、取得されたデータ（２１１）を異常について検査し、異常が識別された場合、関連するデータ（２１１）に依存してイベント（２２０，２２１）が生成され、イベント（２２０，２２１）を継続処理するかどうか、特に、記憶するかどうか、及び／又は、少なくとも部分的に転送するかどうかが決定される。

【特許請求の範囲】

【請求項1】

特に自動車におけるデータの異常を処理するための方法であって、
異常識別のための少なくとも１つのセンサ（２４，２６，２８）が、データ（２１１）を取得し、
前記センサ（２４，２６，２８）は、前記取得されたデータ（２１１）を異常について検査し、異常が識別された場合、関連する前記データ（２１１）に依存してイベント（２２０，２２１）が生成され、
前記イベント（２２０，２２１）を継続処理するかどうか、特に、メモリ（２０８）に少なくとも部分的に記憶するかどうか、及び／又は、特に低減するかどうかをランダムに決定する、方法。

【請求項2】

乱数（２７３）及び／又は乱数（２７３）の領域（２７３．ｘ）、特に、車両固有及び／又は制御装置固有の乱数（２７３）を使用してランダムに決定する、請求項１に記載の方法。

【請求項3】

継続処理すべきイベント（２２０，２２１）は、少なくとも部分的にメモリ（２０６，２０８）に、特に、揮発性メモリ（２０６）若しくはバッファメモリ及び／又は不揮発性メモリ（２０８）に記憶される、請求項１又は２に記載の方法。

【請求項4】

前記継続処理すべきイベント（２２０，２２１）の選択は、前記メモリ（２０６）の充填状態（２２８）に依存して行われる、請求項１乃至３のいずれか一項に記載の方法。

【請求項5】

前記継続処理すべきイベント（２２０，２２１）は、前記イベント（２２０，２２１）の特定の数又はオフセット（２７１）からランダムに選択される、請求項１乃至４のいずれか一項に記載の方法。

【請求項6】

前記継続処理すべきイベント（２２０，２２１）がランダムに選択される前記イベント（２２０，２２１）の数又はオフセット（２７１）は、前記メモリ（２０６）の前記充填状態（２２８）に依存し、特に、前記メモリ（２０６）の前記充填状態（２２８）がより低い場合、前記継続処理すべきイベント（２２０，２２１）は少数のイベント（２２０，２２１）から選択される、請求項１乃至５のいずれか一項に記載の方法。

【請求項7】

前記メモリ（２０６）は、少なくとも２つのメモリ領域（２６７）を含み、当該メモリ領域に、それぞれ、記憶すべきイベント（２２０，２２１）がランダムに選択される前記イベント（２２０，２２１）の異なる数又はオフセット（２７１）が割り当てられる、請求項１乃至６のいずれか一項に記載の方法。

【請求項8】

前記乱数（２７３）の領域（２７３．１，２７３．２）は、前記メモリ（２０６）の前記充填状態（２２８）に依存して、及び／又は、前記記憶すべきイベント（２２０，２２１）が選択される前記イベント（２２０，２２１）の数又はオフセット（２７１）に依存して選択される、請求項１乃至７のいずれか一項に記載の方法。

【請求項9】

最初に前記乱数（２７３）の暫定的な領域（２７３．ｘ＿ｖ）が選択され、当該暫定的な領域（２７３．ｘ＿ｖ）に基づく乱数（２７３）が、関連するオフセット（２７１）と比較され、前記暫定的な領域（２７３．ｘ＿ｖ）に基づく前記乱数（２７３）が前記オフセット（２７１）よりも大きい限り、前記暫定的な領域（２７３．ｘ＿ｖ）は、特に上位ビットの削除により１区間だけ縮小され、乱数（２７３．ｘ）のための領域として使用される、請求項１乃至８のいずれか一項に記載の方法。

【請求項10】

前記暫定的な領域（２７３．ｘ＿ｖ）がその分だけ縮小された前記区間は、次の暫定的な領域（２７３．ｘ＋１＿ｖ）又は次の領域（２７３．ｘ＋１）の一部である、請求項１乃至９のいずれか一項に記載の方法。

【請求項11】

前記乱数（２７３）は、周期的に、及び／又は、例えば、リセット、起動、スリープモードへの移行などのシステム状態の移行のような特定のシステムイベントに依存して新たに生成される、請求項１乃至１０のいずれか一項に記載の方法。

【請求項12】

前記イベント（２２０，２２１）について、イベントタイプ（２１８）が求められ、先行するイベント（２２０，２２１）において既に事前に発生したイベントタイプ（２１８）を有するイベント（２２０，２２１）について、当該イベントを継続処理するかどうかがランダムに決定される、請求項１乃至１１のいずれか一項に記載の方法。

【請求項13】

異常識別のための複数のセンサ（２４，２６，２８）が設けられており、前記センサ（２４，２６，２８）は、それぞれ異なるデータソース（２５，２７，２９）、特に、通信システム及び／又はホスト（２９）若しくはマイクロコントローラからデータ（２１１）を取得し、前記センサ（２４，２６，２８）の各々は、前記取得されたデータ（２１１）を異常について検査し、異常が識別された場合、関連するデータ（２１１）に依存してイベント（２２０，２２１）が生成され、前記イベント（２２０，２２１）は、イベントマネージャ（３０）に転送される、請求項１乃至１２のいずれか一項に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、特に自動車におけるデータの異常を処理するための方法に関する。

【背景技術】

【0002】

従来技術
通信ネットワーク、特に自動車の通信ネットワークにおける異常を処理するための装置及び方法は、独国特許出願公開第１０２０１８２０９４０７号明細書から既に公知である。少なくとも１つの検出器が、通信ネットワーク内のデータストリームを分析し、当該少なくとも１つの検出器は、データストリームのデータパケットについての少なくとも１つのパラメータが目標値から逸脱した場合に、制御に基づく異常識別手法によって少なくとも１つの異常を識別し、当該少なくとも１つの検出器は、少なくとも１つの識別された異常に関する情報を、通信ネットワークを介して送信する。

【0003】

特に異常又はイベントが識別された場合のプロトコル、履歴、レポート（ロギング）の自動的な作成は、イベント発生率が高い場合、及び／又は、長期の攻撃の場合、対応するサービスへの過負荷や拒絶なしで行われるべきである。ロギング又は対応するイベントレポートのエントリは、真性であり、整数であり、利用可能であるべきである。可能である場合には、攻撃者にとって非決定論的な履歴が完全な（長期にわたる）攻撃に関して作成されるべきである。攻撃者による不正操作、特に削除は避けられるべきである。制御装置の外部においては、ロギングエントリは不正な解析から保護されるべきである。ロガーは、イベントレポートを、例えばインタフェースを介して外部ノードに確実に送信すべきである。外部ノードへの伝送が成功した後、イベントエントリは、ローカルに削除することができ、特に好適には受信インスタンスによって特に認証された確認の後で削除することができる。さらに、ロガーは、ネットワーク接続を示すいわゆるハートビート信号を送信すべきである。処理すべきロギングエントリの数を低減するためには、イベントの累積を可能にすべきである。

【0004】

通常の動作条件下においては、イベント（Ｅｖｅｎｔ）はまったく発生せず又はほとんど発生せず、例えば、１時間に１回の規模でしか発生しない。最悪の場合、攻撃者は、インタフェース、特にイーサネットインタフェースを介して完全な制御を手に入れることができる。例えば１００Ｍｂｉｔの完全な帯域幅の場合、攻撃者は、毎秒最大で１２８，０００のＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ、ネットワークプロトコル）フレームを送信することができる。そのようなフレームの各々は、場合によってはイベント（データストリーム内において識別された異常）をトリガすることもできる。そのような攻撃は、車両の寿命にわたる攻撃頻度で受け止められる。メモリ、特にフラッシュメモリのいわゆる書き込み周期の許容回数には制限があり、考慮が必要である。同様に、活性化された動作時間数にも制限がある。同様に、上位の外部データロガーの利用可能性にも制限がある。それゆえ、対応するロギングイベント又はイベントレポートを一時記憶しておく必要がある。少なくとも日に１回は、すべてのロギングエントリ又はイベントレポートを上位のデータロガーに転送できるようにすべきである。

【0005】

従来のＩＤＳシステムやＩＤＰＳシステム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ、侵入検知部、コンピュータネットワーク又は計算機インタフェースへの攻撃を自動的に識別するためのシステム、乃至、ＩＤＰＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、侵入の試みが識別された場合に、対応するデータは転送されず、ひいては侵入の試みが阻止される）については、多くの場合、決定論的な動作と、組み込まれたシステムの限られたリソースとが問題になる。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】独国特許出願公開第１０２０１８２０９４０７号明細書

【発明の概要】

【発明が解決しようとする課題】

【0007】

これに対して、異常識別のための改善された方法を提供することが望まれる。この課題は、独立請求項の特徴部分によって解決される。

【課題を解決するための手段】

【0008】

発明の開示
このことは、独立請求項の特徴部分に従った方法によって達成される。

【0009】

イベントを継続処理するかどうか、特にメモリに少なくとも部分的に記憶するかどうか、及び／又は、特に低減するかどうかをランダムに決定することによって、イベントの処理を、攻撃者にとって理解できない手法でさらに隠蔽することができるようになる。これにより、攻撃者にとって非決定論的な手法でイベントが選択される。これにより、イベントの低減が行われる。これにより、選択したイベントの継続処理が簡素化される。

【0010】

合目的的な発展形態においては、乱数及び／又は乱数の領域、特に、車両固有及び／又は制御装置固有の乱数を使用してランダムに決定することが想定される。これにより、異常低減の非決定論的な動作が保証される。ある車両において乱数が開示された場合であっても、取得した知識をさらなる車両に転用することはできない。車両フリートを超えて異なる乱数を使用することにより、車両ごとに異なるイベントが選択されることが保証される。このことは、フリート攻撃の場合、データの多様性が高められ、攻撃のより広範な評価や完全な再構築が可能になる。

【0011】

合目的的な発展形態においては、継続処理すべきイベントは、少なくとも部分的にメモリに、特に、揮発性メモリ若しくはバッファメモリ及び／又は不揮発性メモリに記憶されることが想定される。上位のユニットに対する接続が欠けている場合に、又は、他のシステム状態に変更された場合に、イベントを局所的に保護することができる。このことは、永続的なメモリによって行うことができる。

【0012】

合目的的な発展形態においては、継続処理すべきイベントの選択は、メモリの充填状態に依存して行われることが想定される。これにより、メモリの充填状態が低い場合、充填状態が高い場合よりも多くのイベントを選択することができる。これにより、メモリのオーバーフローが阻止される。その他に、攻撃の持続時間全体にわたった全体的眺望が保証される。これにより、例えば上位のインスタンスに対する接続又はデータレートに関する、システム制限又は一時的な制限を補償することができる。これは自己調整システムである。例えば、バッファの充填状態が再び低減した場合、再び多くのイベントが選択される。特に合目的的には、継続処理すべきイベントがランダムに選択されるイベントの数又はオフセットは、メモリの充填状態に依存し、特に、メモリの充填状態がより低い場合、記憶すべきイベントは、少数のイベントから選択されることが想定される。特に合目的的には、メモリは、少なくとも２つのメモリ領域を含み、当該メモリ領域に、それぞれ、記憶すべきイベントがランダムに選択されるイベントの異なる数又はオフセットが割り当てられることが想定される。

【0013】

合目的的な発展形態においては、継続処理すべきイベントのランダムな選択は、乱数の領域に依存して行われることが想定される。これにより、様々な領域にアクセスすることで、乱数を特に効率的にかつ長期間使用することができる。乱数のビットの消費は少ない。観察すべき乱数の領域は、バッファの充填状態に直接関係している。これにより、より簡素で効率的かつ迅速な処理機構が生じる。特に合目的的には、最初に乱数の暫定的な領域が選択され、当該暫定的な領域に基づく乱数が、関連するオフセットと比較され、当該暫定的な領域に基づく乱数がオフセットよりも大きい限り、当該暫定的な領域は、特に上位ビットの削除により１区間だけ縮小され、乱数のための領域として使用されることが想定される。このことは、特に簡素な手法で、乱数の最適な使用に貢献する。特に合目的的には、暫定的な領域がその分だけ縮小された区間は、次の暫定的な領域又は次の領域の一部であることが想定される。

【0014】

合目的的な発展形態においては、乱数は、周期的に、及び／又は、例えば、リセット、起動、スリープモードへの移行などのシステム状態の移行のような特定のシステムイベントに依存して新たに生成される。これにより、装置のセキュリティがさらに高められる。

【0015】

合目的的な発展形態においては、イベントについて、イベントタイプが求められ、先行するイベントにおいて既に事前に発生したイベントタイプを有するイベントについて、当該イベントを継続処理するかどうかがランダムに決定される。これにより、常に最初に発生したイベントが事前に確実に選択された後で、攻撃者にとって非決定論的な手法でイベントが選択される。

【0016】

合目的的な発展形態においては、異常識別のための複数のセンサが設けられており、これらのセンサは、それぞれ異なるデータソース、特に、通信システム及び／又はホスト若しくはマイクロコントローラからデータを取得し、この場合、これらのセンサの各々は、取得されたデータを異常について検査し、異常が識別された場合、関連するデータに依存してイベントが生成され、当該イベントは、イベントマネージャに転送されることが想定される。これにより、上位のレベルで異なるデータソースを評価し、イベントレポートの枠内において総括することができる。

【0017】

特に、継続処理すべき又は選択すべきイベントのランダムな選択により、決定論的でひいては攻撃者にとって予測可能な動作が省略される。同様に、例えば、転送すべき有効データ領域のランダムな選択によるランダム依存性の事前選択も、さらなるセキュリティに寄与することができる。イベントレポートの送信のためのデータ交換も、常に可変のサイズを備えることができる。それにより、攻撃者は、特にさらなる暗号化の場合、伝送されたデータの種類について推論することができなくなる。特に、継続処理すべきイベントの特定の選択又は優先度付けにより、大量のイベントが発生した場合のメモリのオーバーフローが、重要なイベントのロギング不能につながることが阻止される。特に、メモリの充填状態に依存した継続処理すべきイベントの選択により、このことは、特に効率的に達成することができる。特に好適には、メモリの充填状態が低い場合、高い充填状態の場合よりも多くのイベントが選択される。特に好適には、少なくとも１つの（特定のイベントタイプに関する）初めてのイベントが選択され、それにより、すべてのイベントタイプの発生に関する展望が可能になる。さらに、イベントカウンタを設けることは有利である。なぜなら、例えば発生したすべてのイベントの数及び／又はそれぞれの異なるイベントの数などの付加的情報を僅かなメモリコストで収集できるからである。さらに、イベントタイプを特定の優先度グループに割り当てることができ、それによって、より高い優先度グループのイベントが、より低い優先度グループのイベントよりも頻繁に選択されるようになる。

【0018】

さらなる好適な構成は、さらなる従属請求項並びに以下の明細書及び図面から明らかとなる。

【図面の簡単な説明】

【0019】

【図1】異常識別部の構成要素の概略図である。

【図2】受信されたデータ、そこから導出されたイベント、関連する選択されたイベントの構造及びイベントレポートの例示的な構造又は相互作用を示した図である。

【図3】イベントマネージャのより詳細な構造を示した図である。

【図4】継続処理すべきイベントを選択するためのフローチャートである。

【図5】カウンタ増分のためのフローチャートである。

【図6】不揮発性メモリに記憶させるためのフローチャートである。

【図7】記憶すべきイベントのランダムな選択についての概要図である。

【図8】図７で使用される特定の変数の割り当てを示した図である。

【図9】イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の様々な通信フローを示した図である。

【図10】イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の様々な通信フローを示した図である。

【図11】イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の様々な通信フローを示した図である。

【図12】イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の様々な通信フローを示した図である。

【図13】イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の様々な通信フローを示した図である。

【図14】イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の様々な通信フローを示した図である。

【発明を実施するための形態】

【0020】

以下の実施形態の態様に関連して、特にネットワークシステムのデータ２１１（例えば、通信システムのデータ又はシステムデータ）における実際の動作において様々な理由から発生し得る、正常な動作からの逸脱は、以下においては異常と称する。その原因には、例えば、以下のようなタイプ、即ち、欠陥があったり完全に故障したりしているセンサから供給された誤ったデータ又は完全に欠損したデータ、破損しているシステムの部品、外部だけでなく局所的又は物理的な攻撃（例えば、ハッカー攻撃など）によって不正操作されたシステムなどが考えられる。

【0021】

データ２１１における異常の識別は、いわゆる「Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍｓ」、ＩＤＳ又はＩＤＰＳを用いて実行される。ＩＤＳとは、以下においては、データ２１１を異常について監視するシステムを表す。この場合、例えば、データ２１１とは、例えばゲートウェイなどの制御装置２０が、異なる通信チャネル上において（例えばバスシステム２５などやインタネット２７を介して）通信する通信ネットワーク内のデータ接続であり得る。しかしながら、他のデータ２１１も、例えば、制御装置（若しくはその中に配置されたホスト２９若しくはマイクロコントローラ、又は、チップ内部のプロセッサ）内部のシステムデータも、このＩＤＳシステムによって異常について検査されるべきである。データ２１１の異常の検出は、適当なセンサ２４，２６，２８によって行われる。これらのセンサ２４，２６，２８は、データ２１１のそれぞれのソース（本実施例においてはバスシステム２５，２７又はホスト２９）に適合させられている。

【0022】

図１によれば、例えばゲートウェイ２０などの制御装置が、車両１８に配置されている。制御装置又はゲートウェイ２０は、プロセッサ、メモリ、ワーキングメモリ（例えばホストシステム２９の構成要素として）、及び、通信ネットワークを介した通信用インタフェースを含む。ゲートウェイ２０は、例えば、データ接続のための命令を処理する。通信により、データ２１１は、データパケットの形態で生じる。ホスト２９の動作時にもデータ２１１、例えばシステムデータが生じる。正常な状態においては、例えば、受信アドレス及び宛先アドレス、適正なプログラムフローの遵守（例えばホスト２９について）、タイムスタンプ、特定のデータパケットのデータ２１１の発生頻度又は周波数に関して、目標値が維持される。データパケットのデータ２１１は、特定のタスクを満たすために、より詳細には示されていない車両１８内のさらなる制御装置又は部品間において交換される。ゲートウェイ２０は、例えば、ＣＡＮバス２５、イーサネット接続２７、及び、制御装置２０又はゲートウェイの構成要素であるホストシステム２９へのデータ接続など、複数の通信システム又はインタフェースの結合に用いられる。しかしながら、他の通信システム（例えば、ＬＩＮ、ＣＡＮ－ＦＤなどのさらなる有線バスシステム又は無線ネットワーク（例えば、ＷＬＡＮ又はブルートゥース））も、データ交換の目的でゲートウェイ２０によって相互に結合することができる。一般に、制御装置における侵入識別部ＩＤＳ又は異常識別部は、すべてのデータ２１１（通信システムによって受信されたデータ２１１、及び、制御装置２０内部でホスト２９によって生成されたデータ２１１）を、対応する異常について監視するために用いられる。本実施例においては、例示的に、ゲートウェイ２０についてのＩＤＳ機能機構を説明する。しかしながら、説明した異常識別部又は侵入識別部ＩＤＳの機能性は、一般に、任意の各制御装置又は任意の各電子部品に実装することができる。特に、使用は、車両１８に限定されない。それどころか、任意の通信部品、例えばインタネット（ＩＯＴ；Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）内の通信モジュール又はネットワーク化された生産システムにおける通信モジュールは、説明した機能性を備えることができる。

【0023】

制御装置又はゲートウェイ２０などの通信部品は、少なくとも１つの異常識別部２２を含む。各通信システム２５，２７，２９のインタフェースを介して到来するデータ２１１は、それぞれいわゆる異常識別又は侵入識別のためのセンサ２４，２６，２８（略してＩＤＳセンサ）を介して案内される。そのため、ゲートウェイ２０内には、対応するセンサ２４，２６，２８が配置されている。そのようなセンサ２４，２６，２８は、取得されたデータ２１１が異常を示しているかどうかの識別に用いられる。この目的のために、これらのセンサ２４，２６，２８内には、異常の識別と分類とに用いられる対応するフィルタアルゴリズム又は制御セットが格納されている。センサ２４，２６，２８によって異常が特定されると、データ２１１の対応するデータパケットは、（試みられた侵入の）イベント２２０として分類される。一般に、これらのセンサ２４，２６，２８は、ソース２５，２７，２９に応じて異なる異常をイベント２２０として分類すること（各イベント２２０を特定のイベントタイプ２１８に割り当てること）ができ、識別することができる。それぞれのイベントタイプ２１８（データ２１１における異なるタイプの異常）に依存して、センサ２４，２６，２８は、特定のイベント依存性のメタデータ２１６を関連するイベント２２０として編成する。その他に、イベント依存性のメタデータ２１６は、異常データ２１１のデータ又はデータ構成要素も含み得る。そのように生成されたイベント２２０は、イベントマネージャ３０に転送される。これらのセンサ２４，２６，２８は、通常、異常が発生していない場合、通信システム（例えばバスシステム２５，２７）の関連データ２１１を特定アドレスに転送するように構成されている。センサ２４，２６，２８は、異常が識別された場合に、通信システム（例えばバスシステム２５，２７）の関連データ２１１が特定アドレスに転送されないように構成することもできる。代替的に、センサ２４，２６，２８は、イベント２２０を低減するために使用することも可能である（低減されたイベント又は事前低減されたイベント２２１）。この低減により、例えば、異常を含むデータ２１１又はデータパケットの有効データの一部のみを転送することによって、イベントマネージャ３０の負担を軽減させることができる。このことは、特に、イーサネット接続の際に発生するような大容量データの場合に利点となる。

【0024】

例えば、ＩＤＳ ＣＡＮセンサ２４は、ＣＡＮバス２５の場合の異常識別に使用され、ＩＤＳイーサネットセンサ２６は、イーサネットシステム２７の場合に、及び、ＩＤＳホストセンサ２８は、ホストシステム２９の場合に使用される。異なる通信経路及び異なる通信プロトコルに応じて、それぞれのソース又は異常ソースにおいて異常を検出し、場合によっては分類することができるさらなるＩＤＳセンサを設けることもできる。

【0025】

ＩＤＳ ＣＡＮセンサ２４は、例えば、無効なＣＡＮ－ＩＤ、無効なメッセージ頻度、無効なメッセージ長さなどの関連するイベントタイプ２１８の関連するイベント２２０を検出する。ＩＤＳイーサネットセンサ２６は、例えば、無効なアドレス又はＭＡＣアドレス、無効なメッセージ頻度、無効なメッセージ長さなどの関連するイベントタイプ２１８からイーサネット２７に関連するイベント２２０を検出する。ＩＤＳホストセンサ２８は、例えば、無効なコードの実行、プログラムの破損、ステープルカウンタなどの関連するイベントタイプ２１８からホストシステム２９に関連するイベント２２０を検出する。多くの場合、それぞれのイベントタイプ２１８は、イベント固有のＥＶＥＮＴ－ＩＤ又はイベントＩＤを備える。関連する一義的なイベントＩＤを有する異なるデータソースのための予め定められたイベントタイプ２１８が複数存在する。

【0026】

後続のさらなる異常は、イベント２２０として、さらなるイベントタイプ２１８のために考慮することができる。例えば、これらは、満充填のバッファメモリに基づくフレーム損失、フィルタ違反（ステートレス／ステートフル）、伝送レートの制限の活性化／非活性化、監視モードの活性化／非活性化、コンテキスト変更など、ファイアウォールに割り当てることができるイベント２２０又はイベントタイプ２１８である。ホストシステム２９に関連するさらなる異常も、例えば、高すぎるＣＰＵ負荷、メモリアクセス違反、コード実行時エラー、ＥＣＵリセット検出、不揮発性メモリ内のログエントリ破損、ロギングメモリのオーバーフロー、イベントの拒否、ＭＡＣアドレスポート変更など、関連するイベントタイプ２１８を有するイベント２２０として考慮することができる。

【0027】

イベントマネージャ３０は、到来するイベント２２０又はそれぞれのイベント２２０に含まれるイベント依存性のメタデータ２１５の継続処理に用いられる。特に、イベントマネージャ３０は、イベント２２０を集約し、フォーマット若しくは準備し、及び／又は、イベント２２０を優先度付け及び／又は低減及び／又は選択し、及び／又は、選択及び／又は低減されたイベント２２０，２２１を記憶若しくは永続化若しくは永続的に記憶するために用いられる。特に、イベントマネージャ３０は、どの到来するイベント２２０が継続処理されるべきかを決定する。到来するイベント２２０から選択されたものは、選択イベント２２６と称される。対応する選択は、可及的に非決定論的に行われるべきである。さらに、イベントマネージャ３０は、到来するイベント２２０又は選択イベント２２６にさらに特に好適にはさらなる汎用メタデータ２１７を備えさせる。これにより、異なるセンサ２４，２６，２８から伝送されたイベント２２０は、例えば、発生したイベントの数、関連するタイムスタンプ又は時間信号２２４などを汎用メタデータ２１７の枠内において追加することによって上位的に観察することが可能である。さらに、いわゆるイベントバーストの場合であっても、十分に多くの、証言力のあるイベント２２０を選択イベント２２６として記憶できることが保証される。

【0028】

イベントマネージャ３０は、侵入識別部又は異常識別部の通信アダプタ３２と信号を交換する。この通信アダプタ３２は、イベントマネージャ３０と、制御装置又はゲートウェイ２０の異常識別部２２の外部のさらなる部品３４，３６との間においてデータを交換するための通信手段として機能する。具体的には、通信アダプタ３２は、イベントマネージャ３０と、さらなるＩＤＳインスタンス３４（好適には車両１８の内部）及び／又はバックエンド３６（好適には車両１８の外部）との間においてデータを交換するためのインタフェースとして機能する。さらなるＩＤＳインスタンス３４は、任意選択的にのみ設けることもできる。

【0029】

セキュリティを高めるために、イベントマネージャ３０は、イベント２２０，２２１のランダム方式で攻撃者にとって非決定論的でかつ隠蔽された低減及び優先度付けを行うことができる。そのため、選択イベント２２６の不揮発的な記憶をランダム方式で攻撃者にとって非決定論的でかつ隠蔽されて行うことができる。ランダムに制御された選択は、例えば、特定の制御装置に対する個別の乱数２７３に基づくことができる。同様に、イベントマネージャ３０は、イベントカウンタ２０４のカウンタ状態２３１のランダム方式の記憶を行うことができる。イベントマネージャ３０は、イベント依存性のメタデータ２１６の他に、選択イベント２２６として追加される汎用メタデータ２１７のランダムな依存性の記憶も行う。

【0030】

通信アダプタ３２は、セキュリティを高めるために、他のＩＤＳインスタンス３４に対するイベントレポート２４２のランダム方式で攻撃者にとって非決定論的でかつ隠蔽されたアップロード又は送信を行うことができる。ランダムに制御されたアップロードは、例えば、特定の制御装置（又はゲートウェイ２０）に対する個別の乱数２７３に基づくことができる。そのため、特定のイベント２２０は、イベントレポート２４２の枠内において周期的にかつ暗号化されて伝送することができる。しかし、新たなイベント２２０が存在しない場合においても、いわゆるダミーイベントは、イベントレポート２４２のフォーマットで周期的に暗号化されて伝送することができる。このことは、通信アダプタ３２と、さらなるＩＤＳインスタンス３４又はバックエンド３６との間のデータ交換の盗聴セキュリティ又はランダム方式の隠蔽に用いられる。

【0031】

例示的に、図２に関連して、異常が識別された場合にセンサ２４，２６，２８からのデータ２１１がどのように継続処理され、イベントマネージャ３０にこれが通信アダプタ３２を介してイベントレポート２４２を送信するまで送信されるかが示される。

【0032】

例示的に、図２ａにおいては、データ２１１のデータパケットが、例えば、ネットワークフレーム（例えば、ＣＡＮ、イーサネット）においてどのように発生し得るかが示されている。データ２１１は、例えばソースアドレスと宛先アドレス（例えばＭＡＣａ，ＭＡＣｂ）とを含むヘッダ２１４を有する。その他に、データ２１１は、有効データ２１３を含む。

【0033】

以下においてより詳細に説明されるように、センサ２４，２６，２８は、イベントマネージャ３０に転送される有効データ領域２１９を任意選択的にランダムに選択することができる。センサ２４，２６，２８は、特定のイベントタイプ２１８（ｅｂｅｎｔ－ＩＤ又はイベントＩＤ、ＩＤ）に従った異常であることを特定する。それゆえ、センサ２４，２６，２８は、図２ｂに示されるように、イベント依存性のメタデータ２１６を生成する。イベントタイプ２１８（又はＩＤ）に応じて、イベント依存性のメタデータ２１６において異常の異なる情報が格納されるものとしてもよい。本実施例においては、イベント依存性のメタデータ２１６として、特に、ソースアドレスと宛先アドレス（ＭＡＣａ，ＭＡＣｂ）、イベントタイプ２１８、及び、選択された有効データ領域２１９が使用される。

【0034】

代替的に、イベント依存性の有効データ２１３も全体としてイベント２２０の枠内においてイベントマネージャ３０に転送することができる。

【0035】

代替的に、イベント２２０は、例えばソースとしてホスト２９が使用される場合、イベント依存性の有効データ２１３を含まないこともできる。この場合、イベントタイプ２１８は、例えば、満充填のバッファに基づくデータフレームの損失、観察モードの活性化又は非活性化、ＣＰＵの高すぎる負荷、不揮発性メモリ２０８の破損したエントリ、ロギングバッファのオーバーフロー、イベント低減の活性化などに対する情報などであり得る。

【0036】

さらに、異なるイベントタイプ２１８については、さらなるイベント依存性の情報が、イベント依存性のメタデータ２１６の枠内においてイベント２２０の構成要素であるものとしてもよい。イベントタイプ２１８「コンテキストの変更」の場合、イベント依存性のメタデータ２１６は、例えば、３２ビットのサイズの例えばコンテキストを含み得る。イベントタイプ２１８「メモリアクセス違反」又は「コード実行の際の違反」の場合、イベント依存性のメタデータ２１６は、例えば、アクセスされたアドレス（例えば３２ビット）、プログラムカウンタ（例えば３２ビット）、タスクＩＤ（例えば８ビット）を含み得る。イベントタイプ２１８「制御装置の検出されたリセット」の場合、イベント依存性のメタデータ２１６は、例えば、リセットの理由（例えば、８ビット）、例えば、ＰＯＲ（Ｐｏｉｎｔ ｏｆ Ｒｅｔｕｒｎ）、ソフトウェアリセット、例外などを含み得る。

【0037】

後続のイーサネット関連のイベント２２０は、イベント依存性のメタデータ２１６として、例えば、静的／状態依存性のフィルタ違反（特定の制御ＩＤ又は特定のイベントタイプ２１８（例えば１６ビット）についてのＩＤ、利用可能な場合イベント２２０を引き起こしたフィルタ制御ＩＤ、物理ポートアドレス、フレームが取得された物理ポートＩＤ、ソースアドレス（例えば、ＭＡＣアドレス、例えば４８ビット）、宛先アドレス（例えば、ＭＡＣアドレス、例えば４８ビット）、場合によってはソース又は宛先のＩＰアドレス、任意選択的にフレーム内に存在する場合のＵＤＰ／ＴＣＰポート（例えば１６ビット）の決定）などをロギングすることができる。代替的に、静的／状態依存性のフィルタ違反、例えば、制御ＩＤ、物理ポート、フレーム（バイト数）、記憶された受信フレームの特定のバイト数、選択された有効データ領域２１９（特定のバイト数）、オリジナルフレームのバイトの選択された有効データ領域２１９、有効データ領域２１９－インデックス（例えば１６ビット）、オリジナルフレーム内において選択された有効データ領域２１９の開始バイトなどもプロトコルすることができる。また、さらなるイーサネット関連のイベント、例えば、イベントタイプ２１８「伝送レート制限（活性化／非活性化）」についてはイベント２２０を引き起こしたフィルタ制御の関連ＩＤを有する制御ＩＤ、イベントタイプ２１８「コンテキストの変更」についてはコンテキスト（例えば３２ビット）、イベントタイプ２１８「アドレスホッピング」又は「ＭＡＣホッピング」については古いポート（当該アドレスに元来割り当てられていた物理ポートＩＤ）、新しいポート（当該アドレスが最近観測された物理ポートＩＤ）、アドレス、好適にはＭＡＣアドレスなどが、イベントマネージャ３０に伝送されるイベント２２０内に含まれるものとしてもよい。しかしながら、メタデータ２１６なしのイベントタイプ２１８、例えば、「満充填のバッファに基づくフレームの損失」なども発生する可能性がある。

【0038】

従って、イベント依存性の有効データ２１３の転送は、特に、関連するイベントタイプ２１８を有するデータ２１１のソースに依存する。メタデータ２１６は、イベント２２０又は低減されたイベント２２１として（センサ２４，２６，２８において伝送すべき有効データ領域２１９のランダムな依存性の選択又は低減に基づいて）イベントマネージャ３０に伝送される。

【0039】

イベントマネージャ３０が、このイベント２２０，２２１を、以下においてより詳細に説明するように継続処理のために選択すべきである場合には（選択イベント２２６）、イベント依存性のメタデータ２１６に対してさらに汎用メタデータ２１７が追加され、それによって、図２ｃに示されるメタデータ２１５が生じる。この汎用メタデータ２１７は、通常、イベントマネージャ３０において生成される。それらは、例えば、イベントカウンタ２０４の出力信号、即ち、現在のカウンタ状態２３１、グローバルイベント２２０の数又は現在のイベント２２０が関わるイベントタイプ２１８のイベントの数である。その他に、汎用メタデータ２１７は、例えば、このイベント２２０がいつ発生したかについての時間信号２２４を含み得る。その他に、メタデータ２１７は、イベント依存性のメタデータ２１６又は完全なメタデータ２１５がどの長さ２３２（データのサイズ）を有しているかについても含み得る。このことは、その後のバッファメモリ２０６のメモリ管理にとって利点となる。

【0040】

例示的に、以下の汎用メタデータ２１７が提案される。これは、例えば、イベントＩＤ（例えば８ビット）の枠内におけるイベントタイプ２１８であるものとしてもよい。このイベントタイプ２１８のイベントＩＤは、一義的であり、例えばＴＬＶ（ＴＬＶ：Ｔｙｐｅ－Ｌｅｎｇｔｈ－Ｖａｌｕｅ、タイプ長さ値）に基づく符号化を含み得る。この汎用メタデータ２１７は、例えば８ビットから１６ビットまでの間のサイズの長さ２３２を含む。データ（メタデータ２１５）のサイズは、バイトの長さ単位に従って最大で２５５バイトである。ここでも、ＴＬＶに基づく符号化を想定することができる。さらに、時間信号２２４、タイムスタンプ（例えば６４ビット）が含まれている。この時間２２４は、例えば、一義的なタイムスタンプを示すために、１９７０年１月１日などの基準時点以降に（ミリ秒単位で）経過した絶対時間値の形態で提供されている。さらに、汎用メタデータ２１７は、イベントタイプカウンタ２０４のカウンタ状態２３１又は出力値２３１（例えば３２ビット）及び／又はグローバル（イベント）カウンタ２０４のカウンタ状態２３１（例えば３２ビット）、各イベントタイプ２１８についてのイベントカウンタ２０４のすべてのカウンタ状態２３１の合計を含み得る。

【0041】

イベント依存性のメタデータ２１６は、それぞれのセンサ２４，２６，２８が形成したものとして取り込まれる。相応にセンサ２４，２６，２８によってもイベントマネージャ３０によっても形成されたメタデータ２１５を有するこのイベント２２０は、イベントマネージャ３０のバッファメモリ２０６に格納される。同様の手法で、さらに（以下においてより詳細に説明されるように）イベントマネージャ３０によって選択又は低減されたさらなるイベント２２６（図２ｄによる実施例においては例示的に２１５＿１，２１５＿８，２１５＿１９０で示される）も、バッファメモリ２０６に格納される。

【0042】

バッファメモリ２０６に格納された選択イベント２２６（図２ｄによる実施例においては例示的に２１５＿１，２１５＿８，２１５＿１９０（選択イベント２２６についての例においてはメタデータ２１５のイベントＮｏ．１、メタデータ２１５のイベントＮｏ．８、メタデータ２１５のイベントＮｏ．１９０）で示される）からは、ここでは、イベントレポート２４２が生成される。このレポートは、バッファメモリ２０６に格納された選択イベント２２６（本例においては２１５＿１，２１５＿８，２１５＿１９０）を含む。これらの選択イベント２２６には、各イベントレポート２４２に対して変更されたサイズ２５４（例えば、乱数、時間又はカウンタなど）が先行する。その他に、イベントレポート２４２は、認証情報２５６を含む。これに関して、この認証は、通信アダプタ３２又はイベントマネージャ３０と、イベントレポート２４２を受信するユニット（ＩＤＳインスタンス３４、バックエンド３６など）との間において行うことができる。このイベントレポート２４２は、固定長２５７を含む。この固定長２５７を達成するために、データ２５４，２１５＿１，２１５＿８，２１５＿１９０，２５６は、さらに、いわゆる充填データ２５５によって充填される。これらの充填データ２５５は、イベント関連の情報は含まない。伝送の前に、イベントレポート２４２の図示のデータには、図２ｄに示されているように暗号化２５８が施される。そのような暗号化２５８によって暗号化されたイベントレポート２４２は、通信アダプタ３２によって送信され、説明したように、さらなるＩＤＳインスタンス３４又はバックエンド３６によって復号化され認証される。

【0043】

ＩＤＳセンサ２４，２６，２８は、イベント２２０又は低減されたイベント２２１をイベントマネージャ３０に転送する。特に、イーサネットネットワークの場合、攻撃を試みたときに、メモリ２０６、特に、揮発性メモリ又はバッファメモリ２０６は、大量のデータ又はイベント依存性のメタデータ２１６を有する転送すべきイベント２２０が多数ある場合、もはやすべてのイベント２２０を非常に迅速に収容することができない。このことは、データ伝送レートが高いこと、又は伝送し得るデータ量が多いことによる。それゆえ、１つ又は複数のＩＤＳセンサ２４，２６，２８を、転送すべきイベント２２０の事前選択及び／又は特定の基準によるデータ低減（低減されたイベント２２１）に向けることは、既に理にかなっている可能性がある。これらの基準は、僅かな予測可能性によって優れているはずである。

【0044】

ＩＤＳセンサ２４，２６，２８の場合、特にＩＤＳイーサネットセンサ２６の場合、好適には、セキュリティを高めるために、特定の転送すべきイベント２２０の選択及び／又はイベントを低減されたイベント２２１に低減することは、ランダムに制御されて行われる。イーサネットフレームの特定のイベント２２０又はデータブロックの、ランダム又は任意の選択又は低減は、攻撃者にとって非決定論的でかつ隠蔽されて行われる。ランダムに制御された選択又は低減は、例えば、特定の制御装置にとって個別の乱数２７３に基づくことができる。同様の乱数２７３は、最も簡素なケースにおいては、他のランダム方式のシナリオにとっても、すべてのイベント２２０の低減又は優先度付けのためのイベントマネージャ３０における基準として、イベント２２０のランダムな依存性の記憶などに使用することができる。代替的に、対応する乱数も再度制御装置において新たに生成することができる。

【0045】

到来するメッセージ又はデータ２１１は、通常、対応するヘッダ情報２１４（例えば、特定のアドレスデータ）及び後続の有効データ２１３を有する。通常、異常評価のために必ずしも必要ではない多くのヘッダ情報が含まれている。本発明によれば、イベント依存性のメタデータ２１６の枠内において低減されたイベント２２１の構成要素として、絶対に必要な特定のアドレス成分のみ、例えば、ソースのアドレス（例えば、ＭＡＣアドレス、例えば４８ビット）、宛先のアドレス（例えば、ＭＡＣアドレス、例えば４８ビット）、及び、異常をもたらしたＩＤ－Ｎｏ．（イベントタイプ２１８）などが転送される。他の情報、例えば、場合によっては、そのような情報がフレームに含まれている場合、フレームが受信された物理ポート又はポートＩＤ、ソース又は宛先のＩＰアドレス、ソース又は宛先のＵＤＰ／ＴＣＰポートに対する情報は、イベント２２０において、伝送する必要はなく、又は、完全には伝送する必要がない。

【0046】

しかしながら、転送すべき又は選択された有効データ領域２１９は、既に図２ａ及び図２ｂに関連して説明したように、到来するデータ２１１の有効データ２１３からランダム方式で選択される。そのため、例えば、初期データのＮｏ．（伝送すべき有効データのメモリ領域の始端、例えばバイトＮｏ．ｘｙｚ）をランダム方式で固定することができる（例えば、その初期値がランダムに求められたデータ領域、例えば、当該イベント２２０についての有効データバイトＮｏ．５３８を伝送する）。選択された有効データ領域２１９のオフセット（伝送データの数、例えば１０バイト）は、固定で選択されるものとしてもよい。従って、Ｎｏ．５３８～５４７を有する有効データバイトが、最小限のアドレス情報（ソースアドレス、宛先アドレス）の他に、選択された有効データ領域２１９として、そのように低減されたイベント２２１の枠内においてイベントマネージャ３０に転送されることになる。代替的に、選択された有効データ領域２１９のオフセット（伝送された有効データの数）も、好適にはランダムに依存させて変更させることができる。好適には、選択された有効データ領域２１９、特に選択された有効データ領域２１９の始端又は終端領域は、乱数２７３に依存する。特に好適には、この乱数２７３は、制御装置又はゲートウェイ２０に依存する。特に好適には、乱数２７３は一義的であり、即ち、この特定の制御装置に対して１回だけ与えられる。

【0047】

ただし、任意選択的に、乱数２７３を更新することも可能である。これにより、以下のような利点が生じる。乱数の更新により、同様の攻撃シーケンス（イベント２２０のシーケンス）において、異なるイベント２２０がロギング又は選択される。このことは、攻撃がフリート全体に対してではなく、個々の制御装置／車両１８に対してのみ行われる場合にも当てはまり、以下のような想定／例が考えられる。即ち、
１．同様の攻撃シーケンス（イベント２２０のシーケンス）を複数回繰り返す。
２．攻撃シーケンス間において乱数２７３が更新される。
３．攻撃シーケンスの枠内においてすべてのイベント２２０をロギング又は選択することはできず（イベントバースト）、イベントレポート２４２のためのイベント低減が続く。
４．低減されたイベント２２１を有するイベントレポート２４２が、２つの攻撃シーケンスの間において上位のインスタンス３４，３６に完全に転送される。これにより、同様の攻撃シーケンスの複数回の繰り返しの後で、完全な攻撃シーケンスがイベントレポート２４２を介して再構築され得る。

【0048】

センサ２６は、好適には、乱数２７３の選択又は乱数２７３の様々な領域を、到来するデータ２１１のサイズ、特に到来する有効データ２１３のサイズに適合させることができる。有効データ２１３がより小さいデータ領域を有する場合、乱数２７３は、特定の低減された有効データ領域２１９の選択が、有効データ２１３の当該小さいデータ領域内にしか入らないようにも選択されなければならない。即ち、乱数２７３又は乱数２７３の観察領域は、それに応じて小さくなければならない。しかしながら、到来する有効データ２１３が非常に大きいデータ領域を有する場合、乱数２７３又は乱数２７３の観察領域は、特定の低減された有効データ領域２１９の選択が、有効データ２１３の当該大きいデータ領域も包含し得るように大きく選択されなければならない。即ち、乱数２７３は、それに応じて大きくなるような結果となる。

【0049】

乱数２７３が一義的にそれぞれの制御装置２０に対して与えられたことによって、さらなる制御装置の存在において、場合によっては、（同様にさらなる制御装置に到来し、そこで相応に装備されたセンサ２６を用いて同様に相応に検出されかつ転送された）完全なメッセージは、バックエンド３６における分析の際に、複数の制御装置の多くの低減されたイベント２２１との結び付けによって完全なデータ領域と組み合わせることができる。というのも、説明したような同様のセンサ機能を有する他の制御装置も、ここでは、複数の低減されたイベント２２１との結び付けの後で、様々な制御装置の部分領域又は選択された有効データ領域２１９に基づいて、（有効）データ領域２１３の大部分又は有効データ２１３の完全なデータ領域を包含し得る（他のランダムに選択された始端又は終端アドレスを有する）他の有効データ領域２１９をランダムに選択するからである。そのため、様々な制御装置により、低減されたイベント２２１又は有効データ領域２１９から、例えば、１つの制御装置からの（１つの選択された有効データ領域２１９の）部分データ領域５３８～５４７と、さらなる制御装置からの（さらなる選択された有効データ領域２１９の）部分データ領域５４８～５５７と、さらなる制御装置からの（さらなる選択された有効データ領域２１９の）部分データ領域５５８～５６７とを利用可能にさせ、それぞれの選択された有効データ領域２１９を例えば上位の制御装置又はバックエンド３６において再び完全な（有効）データ領域２１３に組み合わせることによって、イベント２２０を再構築することができる。このことは、特に、車両フリート全体に対するいわゆるブロードキャスト攻撃、又は、車両フリートの一部に対するいわゆるマルチキャスト攻撃の場合に当てはまる。

【0050】

転送された又は選択された有効データ領域２１９の開始及び／又は終了をランダムに求めることは、好適には、特定のイベント（周期的なもの、制御装置のスタートアップ、制御装置のリセット等）の後に新たに実施される。この目的のために、例えば、乱数２７３を新たに生成することができる。代替的に、乱数２７３の他の領域を、転送すべきデータ領域又は選択された有効データ領域２１９の開始及び／又は終了を生成するために使用することもできる。

【0051】

処理され低減されたイベント２２１は、センサ２６からイベントマネージャ３０に転送される。従って、イベントマネージャ３０は、このセンサ２６からこれらのネットフレームの完全なデータストリームを取得するのではなく、低減されたデータサイズを有する低減されたイベント２２１のみを取得する。転送すべきイベント２２１の低減は、ＩＤＳイーサネットセンサ２６に基づいて例示的に説明したが、原則的には、このことは、他のＩＤＳセンサ２４，２６，２８においても実現することができる。ただし、伝送レートの高いイーサネットフレームにおいては情報含有量の多さに基づいて、特に、そのようなイベント２２０は、バッファメモリ２０６の急速なオーバーフローにつながる。ＩＤＳ ＣＡＮセンサ２４の場合は、対応するデータ２１１が、いずれにせよ低いデータレートと少ないデータ量とで発生するので、ここでは、完全なイベント２２０が転送され、記憶され得る傾向にある。ただし、原則的には、そこでもデータを相応に説明したように低減することができる。

【0052】

従って、原則的には、センサ２４，２６，２８におけるイベント２２０を低減するための以下のステップが実行される。データ２１１をセンサ２４，２６，２８から受信し、及び／又は、データ２１１を異常が存在するかどうかについて評価する。異常が存在する場合、データ２１１を低減する。この低減は、アドレス領域若しくはヘッダ２１４及び／又はデータ領域若しくは有効データ２１３の低減によって行われる。アドレス領域２１４の低減は、宛先アドレス及び／又はソースアドレスの選択によって行うことができる。有効データ２１３の低減は、ランダムな依存性で行われる。有効データ２１３の低減は、有効データ２１３の部分領域の開始値及び／又は終了値のランダムな選択によってランダムな依存性で行われる。データ領域のオフセット（伝送されたデータの数）は、特定の値に固定される。低減されたイベント２２１は、イベントマネージャ３０に伝送される。低減されたイベント２２１は、低減されたアドレスデータ及び／又は低減若しくは選択された有効データ２１９を含む。乱数２７３の更新は、特定のシステム状態（周期的なもの、スタートアップ、リセットなど）に依存して行われる。代替的に、乱数２７３の更新は、ランダムに及び／又は時間制御されて行うこともできる。選択された有効データ領域２１９の開始又は終了領域を決定するための乱数２７３又は乱数２７３の領域は、受信されたデータ２１１の有効領域２１３のサイズに依存し得る。

【0053】

図３によれば、イベントマネージャ３０の構造がより正確に示されている。イベントマネージャ３０は、互いに相互作用する複数の機能ブロックを有している。センサ２４，２６，２８によって検出されたイベント２２０又は低減されたイベント２２１の各々は、ブロック２０２に到達する。ブロック２０２は、継続処理されるべき、到来するイベント２２０又は低減されたイベント２２１の選択に用いられる。特に、ブロック２０２は、イベント２２０，２２１の優先度付け及び低減に用いられる。

【0054】

各イベント２２０又は低減された各イベント２２１も同様に、イベント２２０，２２１のためのカウンタ２０４として用いられるブロック２０４に到達する。イベント２２０，２２１が発生した場合、対応するカウンタ、特にグローバルイベントカウンタ２０５が増分される。特に好適には、カウンタ２０４は、上記で対応するセンサ２４，２６，２８に関連して詳細に説明したように、異なるイベントタイプ２１８（ＩＤ１，ＩＤ２…ＩＤｎ）に対して異なるカウンタＺ１，Ｚ２…Ｚｎを有している。グローバルイベントカウンタ２０５は、ここでも、異なるイベントタイプ２１８（ＩＤ１，ＩＤ２…ＩＤｎ）に対するカウンタＺ１，Ｚ２…Ｚｎのすべてのカウンタ状態の合計を表す。ブロック２０４又はカウンタの出力信号２３１は、すべてのイベント２２０，２２１のカウンタ状態、即ち、それぞれのイベント依存性のカウンタＺ１，Ｚ２…Ｚｎ及びグローバルイベントカウンタ２０５のカウンタ状態を含む。ブロック２０４の対応する出力信号２３１は、イベント２２０の通信のためのブロック２１０に供給される。ブロック２０４は、カウンタ又はイベントカウンタ２０４，２０５に対するリセット要求を表すリセット信号２２２を受信するように構成されている。ブロック２０４は、ブロック２０２から、例えば「イベント低減活性化」などの低減ステータスのための信号２２５を取得する。ブロック２０２においては、例えば、低減された数の特定のイベント２２０，２２１のみが選択イベント２２６として継続処理される場合にのみイベント低減が活性化される。このことは、特に、例えば、いわゆるイベントバーストの枠内においてバッファメモリ２０６の充填状態２２８の増加を伴う多数のイベント２２０，２２１が到来する場合に当てはまる。この場合は、付加的なイベント２２０が、例えば、上述したようなイベントタイプ２１８「イベント低減活性化」を伴って生成されるべきである。従って、関連するイベントタイプ２１８を有するこのイベント２２０’に対しても、同様に、対応するカウンタ又はカウンタ状態が存在する。

【0055】

ブロック２０２によって処理されたイベントは、選択イベント２２６としてブロック２０６に到達し、このブロック２０６は、ブロック２０２によって供給された選択イベント２２６のためのメモリ又はバッファメモリとして用いられ、この目的のために対応するロジックを含む。対向的に、メモリ２０６は、充填状態又はメモリ占有率２２８をブロック２０２に返信する。メモリ２０６は、好適には揮発性メモリ、特にＲＡＭのバッファメモリである。その他に、時間信号２２４、特にグローバル時間信号２２４は、メモリ２０６又は選択イベント２２６をバッファリングするためのブロックに到達する。メモリ２０６は、イベントマネージャ３０の構成要素である。

【0056】

メモリ２０６に記憶又はバッファリングされた特定のイベント２３６は、選択イベント２２６又は記憶されたイベント２３６に依存してイベントレポート２４２の通信に用いられるブロック２１０に到達する。その上さらに、イベントの通信のためのブロック２１０は、イベントカウンタ２０４の出力信号２３１、例えば、それぞれのイベントタイプ２１８のためのカウンタＺ１，Ｚ２…Ｚｎのカウンタ状態及び／又はグローバルイベントカウンタ２０５のカウンタ状態を取得する。イベント、特にイベントレポート２４２の通信のためのブロック２１０は、暗号法モジュール２１２と信号２４４を交換する。この暗号法モジュールは、例えば、暗号化演算、証明演算及び認証演算、並びに、乱数生成などの暗号法演算を実施する。暗号法モジュール２１２を用いて、ブロック２１０の暗号化された通信を外部に向けて行うことができる。暗号法モジュール２１２は、特に、図２ｄに示される暗号化２５８を使用してイベントレポート２４２の暗号化を実施する。同様に、暗号法モジュール２１２は、認証情報２５６を使用してイベントレポート２４２の認証を実施することができる。これについても同様に図２ｄを参照されたい。ブロック２１０は、通信アダプタ３２及び／又はイベントマネージャ３０内に常駐するものとしてもよい。ブロック２１０は、対応するイベントレポート２４２を出力する。ブロック２１０は、メモリ２０６，２０８内に記憶された対応するイベント２３６を読み出す要求命令２４０を受信する。この要求命令２４０は、周期的に及び／又は明示的な要求に向けて行うことができる。その他に、ブロック２１０は、信号２３９（イベントリリース）をメモリ２０６に送信する。これにより、通常、記憶されたイベント２３６又は選択イベント２２６を含む関連するイベントレポート２４２の伝送が成功した後で、メモリ２０６又は２０８に、記憶されかつ継続通信されたイベント２３６，２２６が上書き又は削除されてもよいことが通知される。

【0057】

その他に、イベントマネージャ３０には、さらなるメモリ２０８、特に不揮発性メモリが設けられている。このさらなる特に不揮発性メモリ２０８には、バッファメモリ２０６に一時的に記憶された特定のイベント２３４及び／又はイベントカウンタ２０４のカウンタ状態が永続的に記憶される。この目的のために、メモリ２０８は、イベントカウンタ２０４及び／又はバッファメモリ２０６とデータを交換する。

【0058】

以下においては図４に基づいて、イベント２２０の優先度付け及び低減のためのブロック２０２の動作形態をより詳細に説明する。以下に説明する機構は、イベント２２０，２２１に対して補足的で有用（かつメモリ集約的）なメタデータ２１５が記憶されるべきかどうかを選択するために使用される。さらに一般化すれば、ブロック２０２は、イベントマネージャ３０に供給されたイベント２２０，２２１から、選択イベント２２６として継続処理すべきイベントを選択するために用いられる。取得されたイベント２２０，２２１の各イベントタイプ２１８について、この特定のイベントタイプ２１８の最初の発生であるかどうか、又は、このイベントタイプ２１８を有するイベント２２０が既にメモリ若しくはバッファ２０６に送信されたかどうかが、問い合わせ３０１で追従される。イベントタイプ２１８の最初の発生の場合、続いてブロック３０４が行われ、そこでは、それぞれのイベント２２０が選択イベント２２６としてバッファ２０６に伝送され、そこに記憶される。そうでない場合には、続いてブロック３０２が行われる。このステップ３０２においては、イベントタイプ２１８に関して既に発生したイベント２２０，２２１がそれにもかかわらず記憶されるべきかどうかについて特定の基準に従って決定される。このことは、例えば、イベント２２０，２２１のランダムな選択の後で、特に乱数２７３に基づいて行われる。このランダムな選択は、特に好適には、制御装置固有の又は車両固有の乱数２７３に基づくことができる。ランダムな選択については、最悪のケースの攻撃シナリオ（いわゆるイベントバーストを伴って長く続く攻撃）の場合、バッファメモリ２０６のオーバーフローを制限するために、知的アルゴリズムが使用されるべきである。他方では、完全な攻撃にわたって可及的に大きいスペクトルを把握するために、通常のシナリオにおける合理的な数の記憶されたイベント２３６又は選択イベント２２６又はログエントリが取得されるべきである。この目的のために、ステップ３０３においては、ステップ３０２において選択されたイベント２２０が記憶するための選択イベント２２６としてメモリ２０６に伝送される。

【0059】

即ち、ここでは、問い合わせ３０３により、ステップ３０２によるランダムな基準に従ってイベントが選択される限り、このイベント２２０，２２１も選択イベント２２６としてメモリ２０６に送信される（ステップ３０４）。そうでない場合には、このプログラムフローがメモリ２０６内へのこのイベント２２０，２２１の記憶なしで、又は、イベント２２０に対するさらなるメタデータ２１５の補足的な記憶なしで終了する。メモリ２０６が読み出され、ブロック２１０を介して通信された場合、イベントタイプ２１８の最初の発生の監視がリセットされる。イベント２２０，２２１が選択又は破棄されなかった場合、破棄された各イベント２２０，２２１について状態「イベント拒否」がトリガされる。特に好適には、この目的のために、選択されていないイベント２２０の数を検出するさらなるカウンタ２０４を設けることができる。

【0060】

付加的な優先度付けのために、イベント２２０，２２１は、任意選択的に、それぞれのイベントタイプ２１８に依存してグループ化され、各イベントタイプ２１８についてランダムなイベント低減のための固有のインスタンスを設けることができる。この優先度付けは、グループ形成によって補足的に達成することも可能である。このことは、イベントタイプ２１８が異なる優先度グループに割り当てられていることを意味する。最も高い優先度（Ｐｒｉｏ１）を有する優先度グループには、特定のイベントタイプ２１８（例えばＩＤ－Ｎｏ．ＩＤ１，ＩＤ６，ＩＤ１４，ＩＤ２３などを有するイベントタイプ２１８）が割り当てられ、次に低い優先度を有する優先度グループ（Ｐｒｉｏ２）には、関連するさらなるイベントタイプ２１８（例えばＩＤ－Ｎｏ．ＩＤ２，ＩＤ５，ＩＤ１２，ＩＤ２７などを有するイベントタイプ２１８）が割り当てられ、次に低い優先度を有する優先度グループ（Ｐｒｉｏ３）には、関連するさらなるイベントタイプ２１８（例えばＩＤ－Ｎｏ．ＩＤ３，ＩＤ９，ＩＤ１３，ＩＤ１９などを有するイベントタイプ２１８）などが割り当てられる。異なる優先度グループ（Ｐｒｉｏ１，Ｐｒｉｏ２，Ｐｒｉｏ３，…）については、異なる多数のイベント２２０が、平均して選択イベント２２６としてランダム方式で選択される（Ｎ１：（優先度グループ１（Ｐｒｉｏ１）に対する選択イベントの数、Ｎｘ：優先度グループｘ（Ｐｒｉｏ＿ｘ）に対する選択イベントの数）。高い優先度を有する優先度グループの場合、低い優先度を有する優先度グループの場合よりも平均して多くのイベント２２０がランダム方式で選択される（Ｎ１＞Ｎ２…）。このことは、例えば、領域Ｂ１，Ｂ２…Ｂｘ（関連する優先度グループＰｒｉｏ１，Ｐｒｉｏ２…Ｐｒｉｏ＿ｘを有する）、又は、イベント２２０が選択される数は、選択される数が小さいほど優先度が高くなる（Ｂ１＜Ｂ２…）ようにすることによって達成することができる。

【0061】

選択イベント２２６は、揮発性メモリ２０６に記憶される。ただし、選択イベント２２６は、即座に不揮発性メモリ２０８に記憶すべきではない。なぜなら、過度に頻繁な記憶は不揮発性メモリ２０８を損傷させかねないからである。選択イベント２２６を不揮発性メモリ２０８に記憶することは、例えば、図６に関連してより詳細に説明するようにランダム方式で行うことができる。

【0062】

メモリ２０６，２０８は、異なるサイズを有する選択イベント２２６を処理することができる。図７において、ここでは例示的にメモリ２０６が示されている。このメモリは、空きメモリ領域２５０及び充填メモリ領域２５２を含む。充填メモリ領域２５２には複数の選択イベント２２６が格納されている。これらのエントリ２２６は、それぞれ異なるサイズを有することができる。メモリ領域を非固定的に分割することにより、メモリスペースが最適に活用される。メモリ２０６が満充填の場合、新たな選択イベント２２６は破棄されるが、原則的には、以下に説明するように、メモリ２０６の満充填は、自己調整機構によって阻止される。そのため、メモリ２０６の非常に高い充填状態２２８の場合、平均して、メモリ２０６の低い充填状態２２８の場合よりもはるかに少ないイベント２２０がランダム方式で選択される。それにもかかわらず選択イベント２２６が満充填のバッファ２０６に基づいて破棄される場合、破棄されたイベント又はエントリの数を求めるために、新しいイベントタイプ２１８「ロギングバッファのオーバーフロー（メモリ２０６のオーバーフロー）」のためのイベントカウンタが実装される。このことは、図３に示されるように、例えば、メモリ２０６の状態２３０が、カウンタ２０４に通知されることによって行うことができ、代替的に再びさらなる選択イベント２２６がメモリ２０６の満充填に基づいて記憶できなくなったときにはいつでもこの信号２３０がパルスをカウンタ２０４に送信することによって行うことができる。

【0063】

すべての記憶されたイベント２３６又は選択イベント２２６が、例えば制御装置内の外部データロガーに対するイベントレポート２４２の枠内においてブロック２１０を介して正常に報告されるとただちに、バッファ２０６は、対応するイベント２２６の上書き又は削除のために解放される（信号２３９フリーイベント）。特にフラッシュメモリなどの不揮発性メモリ２０８へのイベント２３６の書き込みは、好適には、メモリ効率及び性能要件を保証するために、非ＡＵＴＯＳＡＲのメモリ機構を介してマッピングすることができる。しかしながら、標準的ＡＵＴＯＳＡＲのメモリ機構を使用することも可能である。

【0064】

図５に関連して、イベントカウンタ２０４をより詳細に説明する。各イベントタイプ２１８について、固有のカウンタＺ１，Ｚ２…Ｚｎがイベントカウンタ２０４の枠内において実装される。このイベントカウンタ２０４は、それぞれ値０で開始される。最初に、問い合わせ２６０で、カウンタ状態がまだ最大値よりも小さいかどうかが求められる。このことが当てはまる限り、ステップ２６２で、特定のイベントタイプ２１８のイベント２２０，２２１の発生の際に、カウンタＺ１，Ｚ２…Ｚｎがそれぞれのイベントタイプ２１８について増分される。そうでない場合は、カウンタ状態は、最大値で維持され、即ち、オーバーフローは発生しない。問い合わせでは、イベントカウンタ２０４をゼロにリセットすることが可能である。カウンタ２０４は、例えば、３２ビットカウンタとして実装することもできる。

【0065】

図６に従って、不揮発性メモリ２０８におけるイベントカウンタ２０４及び／又は特定の選択イベント２２６の不揮発性の記憶を説明する。データは、不揮発性メモリ２０８に規則的な時間間隔で記憶されるべきである。そのような時間間隔は、例えば、秒領域、分領域で存在し、時間領域まである。例えば、データの記憶は、３０分ごとに行われる。記憶に対する時点は、攻撃者にとって書き込み動作を予測できないようにするために、ランダムに選択されるべきである。記憶周期は、ランダムに制御されて、例えば、特定の間隔（例えば３０分以内など、ただし、例えば３０分間隔内の記憶の正確な時点はランダムに制御される）で行うことができる。ここでも、（記憶時点の決定のための）ランダム変数は、制御装置固有又は車両固有の乱数２７３に依存して生成又は選択することができる。

【0066】

代替的に、時間制御された記憶の瞬間は、乱数を基本的な時間間隔で乗算することにより、ランダムな依存性で選択することもできる。そのため、例えば、１５秒という特定の基本的な時間間隔である場合には、これに乱数２７３の例えば３ビットの乱数又は乱数領域が乗算される。乱数２７３自体は、周期的に及び／又はランダムに更新することができる。代替的に、乱数２７３は、例えば、生産時及び製造時において、制御装置固有又は車両固有に個別に与えることができる。代替的に、乱数２７３の特定の領域を選択し、それに基づいて、乱数２７３の領域に依存した係数を形成することもできる。

【0067】

新たな選択イベント２２６が発生し、不揮発性メモリ２０８への記憶が可能になるとただちに、これらの選択イベント２２６は、不揮発性に記憶される。その上さらに、選択イベント２２６（メモリ２０６内）及び／又は不揮発性メモリ２０８内のイベントカウンタ２０４の特定のカウンタ状態２３２などのさらなる情報の記憶は、制御装置の状態変更（これは攻撃者によって引き起こされるかもしれない）が、例えばリセット又は静止モードの要求による現在のＲＡＭ内容の損失（従って、バッファメモリ２０６の損失）まで停滞している場合に開始される。

【0068】

これらのデータは、それらの一部が破損していたとしても、再構築を行うことが可能であるように、冗長的な手法で記憶されるべきである。記憶されたデータの真性及び完全性は、不揮発性メモリ２０８からの読み出し後に検査又は保証されるべきである。好適には、不揮発性メモリ２０８は、信頼性のあるゾーンに配置されている。この場合、ＩＣ内部メモリは、信頼性のあるもの（Ｔｒｕｓｔｅｄ）として格付けされることに基づいている。この目的のために、標準的ＡＵＴＯＳＡＲ ＮＶＭ（Ｎｏｎ Ｖｏｌａｔｉｌｅ Ｍｅｍｏｒｙ）ハンドラーを使用することができる。

【0069】

図６においては、選択イベント２２６を不揮発性メモリ２０８に記憶するための状態グラフが例示的に示されている。状態２６４においては、不揮発性メモリ２０８へのデータの記憶は、基本的に、この状態２６４に達した場合に可能となる。状態２６６においては、不揮発性メモリ２０８への記憶は不可能である。状態２６４から状態２６６への変更は、記憶の実施後に行われる。記憶が可能になる状態２６４への復帰は、時間制御されて行われる。好適には、時間は、既に説明したようにランダムな依存性である。本システムは、制御装置がアイドル状態又はリセットを提供しない場合は、状態２６６（記憶なし）にとどまる。

【0070】

図７は、イベントマネージャ３０の部品のより正確な図面を示している。バッファメモリ又はメモリ２０６には、複数のイベント２２６が記憶され、充填メモリ領域２５２を形成している。例示的に、イベントＮｏ．２（２２６．２）、イベントＮｏ．４（２２６．４）、イベントＮｏ．８（２２６．８）、イベントＮｏ．１３（２２６．１３）、イベントＮｏ．２５（２２６．２５）、イベントＮｏ．３８（２２６．３８）、イベントＮｏ．７７（２２６．７７）及びイベントＮｏ．９７（２２６．９７）が選択イベント２２６としてバッファメモリ２０６に記憶されている。これらの選択イベント２２６は、以下において説明するように、一連の発生したイベント２２０（Ｎｏ．０～例えば２００）から特定の手順に従って選択され、バッファメモリ２０６に選択イベント２２６として記憶されたものである。

【0071】

バッファメモリ２０６の未充填の領域又は残存する領域は、空きメモリ領域２５０を形成する。

【0072】

図示のメモリ占有率の対応する充填状態２２８は、本実施例においては、最後に記憶された選択イベント２２６．９７によって形成される。バッファメモリ２０６のメモリ領域は、ここでは、０％乃至１００％の間において複数の領域２６７又は充填状態領域２６７に分割されている。本実施例においては、これらは、例えば１０個の（充填状態）領域２６７．１～２６７．１０である。本実施例においては、領域２６７は、常に同等の大きさで選択され、本実施例においては、これらは、１０％間隔である。本実施例においては、メモリ２０６は、特に、現在の領域２６７．４、即ち、完全なメモリ占有率の３０％乃至４０％の間にある第４の領域２６７．４を有する。

【0073】

機能ブロック２６８においては、メモリ２０６の現在の充填状態２２８が位置する現在のメモリ領域２６７．４が求められる。現在の充填状態領域２６７、本実施例においては第４領域に対する２６７．４が、ブロック２７０に到達する。

【0074】

ブロック２７０においては、次のイベントに対するオフセット２７１が求められる。このオフセット２７１は、何番目のイベント２２０から次にメモリ２０６に記憶すべきイベント２２６が選択されるべきかを示す。この、次に記憶すべきイベント２２６が特にランダムに選択されるべきイベント２２０の数（オフセット２７１）は、それぞれの充填状態２２８又は関連するメモリ領域２６７に依存する。低い充填状態２２８又はメモリ領域２６７の場合（メモリ２０６の充填状態２２８は比較的低い）、イベント２２０はより迅速に記憶され、即ち、オフセット２７１は、比較的僅かである。充填状態２２８又はメモリ領域２６７の増加とともに、オフセット２７１も増加し、即ち、より少ないイベント２２０が記憶され、又は、より大きい数（オフセット２７１）から１つのイベント２２０のみが選択される。これにより、メモリ２０６のオーバーフローを所期のように遅延させたり、阻止させたりすることができる。オフセット２７１内においては、次に記憶すべきイベント２２６のランダム方式の選択が行われる。オフセット２７１ごとに、常に１つのイベント２２０のみが（オフセット２７１内において）ランダム方式で選択又は記憶される。従って、メモリ２０６の充填状態２２８に依存したオフセットサイズの変化により、より多くの又はより少ないイベント２２０が、平均して、ランダム方式で選択又は記憶される。即ち、メモリ２０６の充填状態２２８が特定の領域２２７内にある限り、イベントマネージャ３０は、充填状態２２８が、変更された、通常は増加したオフセット２７１で次の領域２２７に到達するまで、常に同一の関連するオフセット２７１から選択すべきイベント２２６を選択する。

【0075】

下方の限界値又は上方の限界値によって定められるメモリ領域２６７を逸脱する場合、新しい領域についての次のオフセット２７１は、例えば、特定の係数又は除数だけ増加又は低減させることができる。

【0076】

例示的に、図８による表には、図７に示されているようなメモリ２０６の占有率に結び付く対応するシナリオが示されている。オフセット２７１は、例示的に以下に示されるように、異なる充填状態２２８又はメモリ領域２６７に対して選択することができる。そのため、例えば、０％乃至１０％の間のメモリ領域（２６７．１）の場合、オフセット２７１には２（０から２まで、即ち、選択は３つのイベント２２０から行われる）が割り当てられ、１０％乃至２０％の間のメモリ領域（２６７．２）の場合には８（０から８まで、即ち、選択は９つのイベント２２０から行われる）が割り当てられ、２０％乃至３０％の間のメモリ領域（２６７．３）については３２（０から３２まで、即ち、選択は３３のイベント２２０から行われる）が割り当てられ、及び、３０％乃至４０％の間のメモリ領域については１２８（０から１２８まで、即ち、選択は１２９のイベント２２０から行われる）などが割り当てられる。次のメモリ領域２６７に対するオフセット２７１の対応する拡大は、例えば、対応する係数（４）などによって行うことができる。メモリ領域２６７もオフセット値２７１も、自由に構成することができ、従って、それぞれの所望の状況、例えばメモリサイズなどに適合させることができる。

【0077】

図７の次のブロック２７２においては、ここで、次の記憶すべきイベント２２０が、充填状態２２８又はメモリ領域２６７に依存して（図７に例示的に示されるように乱数２７３に依存して）ランダムに選択されるべきである。この場合、オフセット２７１、即ち、それぞれの記憶すべきイベント２２０がランダムに選択されるべき、イベント２２０の数又は次の観察すべきイベント２２０の領域が、乱数２７３又は乱数２７３の対応する領域によって包含され得ることが保証されなければならない。それぞれのオフセット２７１に依存して、観察すべき乱数２７３の領域のサイズが選択される。乱数２７３が、例えば、図７に例示的に示されるようにビット符号化されている場合、例えば、２（０～２）のオフセット２７１に対して、最初に２ビットの暫定的なサイズの乱数２７３＿ｔｅｍｐの暫定的な領域が選択される。８（０～８）のオフセット２７１の場合、４ビットのサイズの乱数２７３．ｘ＿ｖの領域ｘが選択される。３２（０～３２）のオフセット２７１の場合、６ビットのサイズの乱数２７３＿ｖの暫定的な領域が選択される。１２８（０～１２８）のオフセット２７１の場合、８ビットのサイズの乱数２７３＿ｖの暫定的な領域が選択される。乱数２７３＿ｖの暫定的な領域は、図７の具体的な乱数２７３に対して例示的にそこに示された列４から取り出すことができる。その後、暫定的な領域２７３＿ｔｅｍｐ内に含まれる乱数２７３の区間が、次のメモリ領域２７６に対するオフセット２７１以下であるかどうかが検査される。このことが当てはまる場合、暫定的な領域２７３＿ｖも、乱数領域としての乱数２７３．ｘの区間として実際に使用される。列５の対応する問い合わせは、「真」で応答することができる。このような場合、乱数２７３．ｘ＿ｖの一時的な区間は、乱数２７３．ｘの選択された区間と一致する。このことが当てはまらない場合（列５の問い合わせが「偽」で応答する場合）、乱数２７３．ｘ＿ｖの暫定的な区間は縮小される。このことは、１ビットの削除、好適には最上位ビット（ＭＳＢ）の削除によって行うことができる。従って、この領域２７３．ｘに生じる乱数の値について、ここでは、この値が、次のメモリ領域２６７のためのオフセット２７１内にあることを保証することができるようになった。

【0078】

そのため、例えば、８（０～８）のオフセット２７１の場合、最初に、数８自体（現在のオフセット２７１のサイズ）も包含するために乱数２７３の４ビットが観察される（これについては図８のバッファエントリＮｏ．３，４，５の列参照）。関連する暫定的な乱数領域２７３．５＿ｖの４ビットサイズ値＜＝オフセット２７１、例えばイベントＮｏ．２５，２７３．５＝０ｂ０１１１＝７である場合には、この４ビット数は直接使用される。関連する問い合わせは、図８の列５に示される。条件が満たされているため、この結果は「真」である。

【0079】

関連する暫定的な乱数領域２７３．４＿ｖの４ビットサイズ値＞オフセット２７１、例えばイベントＮｏ．１３，２７３．４＝０ｂ１１００＝１２の場合、この４ビット数は直接使用されるのではなく、むしろＭＳＢ（乱数２７３．４の観察領域に対する最上位ビット）が切り捨てられ、この結果として３ビット数０ｂ１００＝４が使用される。切り捨てられたＭＳＢは破棄する必要はなく、むしろ次の観察すべき乱数２７３．５＿ｖの領域のＬＳＢ（最下位ビット）として受け入れられる。関連する条件（対応する乱数領域２７３．３＜＝オフセット２７１であるか）は、この場合、満たされない（列５の関連する結果「偽」）。この手順により、乱数２７３が完全に使用され、不必要に早く消費されないことが保証できるようになる。

【0080】

乱数領域２７３．ｘのサイズ（例えば、乱数２７３の領域に必要なビットの数）を求めるために、このサイズ（例えば、必要なビットの数）が、次のイベント２２０の関連するメモリ領域２６７のオフセット２７１のサイズを表すために十分かどうかを考慮する必要がある。

【0081】

即ち、図８による実施例の場合、行１によれば、２（０～２）のオフセット２７１の場合、２即ちイベントＮｏ．２（２２０．２、グローバルイベントカウンタ２８５は２）の選択された乱数２７３．１において（イベント２２０．０、２２０．１、Ｎｏ．０及びＮｏ．１を破棄した後）選択イベント２２６．２として選択される。行２によれば、次のオフセット領域２７１の場合（依然として０～２の場合）、このオフセット領域２７１に関してイベントＮｏ．１がランダムに選択される。このオフセット領域２７１のイベントＮｏ．０は、破棄されたが（３のグローバルカウンタ状態２８５に対応）、このオフセット領域２７１のイベント番号１は選択された（４のグローバルカウンタ状態２８５に対応し、選択イベント２２６．４が生じる）。次のオフセット領域２７１は、行３によれば、依然として２（０～２）にある。なぜならバッファ２０６の充填状態２６７が、依然として０％乃至１０％の間の領域２６７．１にあるからである。２７３．３に対する乱数は２であるので、このオフセット領域２７１のイベントＮｏ．０及び１の破棄後、イベントＮｏ．２が選択される（グローバルカウンタ状態２８５は８、選択イベントは２２６．８）。その後の充填状態２６７は、次の充填状態領域２６７．２にあるため、新しいオフセット２７１は、ここで８（０～８）に変更される。上記で説明したように、ここで、暫定的な乱数領域２７３．４＿ｖの次の４ビットが観察される。１２を伴う暫定的な乱数領域２７３．４＿ｖの関連する乱数は、現在のオフセット２７１のものよりも大きいので（列５の問い合わせ１２＜＝８は「偽」を生じる）、暫定的な乱数領域２７３．４＿ｖの最上位ビットは使用されず、むしろ選択された乱数領域２７３．４の枠内の下位３ビットのみが使用される（２進の１００、即ち、４）。従って、この新しい８（０～８）のオフセット領域２７１について、イベントＮｏ．０（グローバルカウンタ状態２８５は９である）～Ｎｏ．３は破棄され、イベント番号４（グローバルカウンタ状態２８５は、従って、１３）が選択イベント２２６．１３として選択される。例示的に、図８は、さらなる充填状態２６７に対する対応値を編成している。

【0082】

即ち、ブロック２７２においては、ここで、次のイベントとしてどのイベント２２０が選択イベント２２６として選択されるかがランダムな依存性で求められている。対応するブロック２８０は、ここで、新しいイベント２２０の発生を監視している（ブロック２８４）。事前に例えば、記憶されたイベント２２６．８（８のイベント）の後の次のイベント２２６．１３（１３のイベント）が記憶されるべきであることが確定されていた場合には、ブロック２８０は、イベントＮｏ．１３を待機し、即ち、次のイベントＮｏ．９～１２は破棄し、はじめてイベントＮｏ．１３を選択イベント２２６．１３としてメモリ２０６に記憶する。メタデータ２１５（イベント依存性のメタデータ２１６及び汎用メタデータ２１７）のデータサイズを有する新たな選択イベント２２６に依存して、メモリ２０６の新たな充填状態２２８が求められる。このことは、例えば、既にメタデータ２１５に含まれているような長さ２３２を使用して特に簡単に行うことができる。

【0083】

乱数２７３は、異なる制御装置又は車両１８について異なって選択することができる。そのため、乱数２７３は、例えば、生産時に１回、車両固有に又は制御装置固有に与えることができる。代替的に、乱数２７３は、内部で特定の規則自体に従って新たに生成することも可能である。新しい生成は、例えば、システム状態の移行時（起動時、リセット時、スリープモードへの移行時など）に、及び／又は、特定の時間の経過後に周期的に行うことも可能である。

【0084】

対応する情報から、ブロック２７２は、次のイベントヒット２７８を求める（ｎｅｘｔ ｅｖｅｎｔ ｈｉｔ「次のイベントヒット」）：次のオフセット２７１における次のイベントヒット２７８）。次のイベントヒット２７８は、ブロック２８０（ｔｈｒｏｗ ｔｈｅ ｄｉｃｅ「サイコロ投げ」）に到達し、ここでは、ランダム方式で供給されたイベント２２０が破棄される（イベント２２０はバッファメモリ２０６に記憶されない）、又は、バッファメモリ２０６に記憶する選択イベント２２６として選択される。選択が行われる限り（イベントヒット２８２、ｎｅｘｔ ｅｖｅｎｔ ｈｉｔ）、続いてブロック２８４が行われる。ブロック２８４は、各イベント２２０において呼び出される。しかしながら、ブロック２８４自体も、ブロック２８０を（各イベント２２０について）呼び出し、このブロックはイベント２２０が選択されるべきか否かについてブロック２８４に返事を与える。イベント２２０がブロック２８０によって選択された場合、ブロック２８４は、イベント２２０を選択イベント２２６としてメモリ２０６に記憶することをトリガする。

【0085】

ブロック２８４（ｏｎ ｅｖｅｎｔ「イベント時」）においては、選択イベント２２６としてバッファメモリ２０６の空き領域２５０へのその後の記憶のために選択されたイベント２２０の読み込みが行われる。ブロック２８４は、新たに到来する各イベント２２０，２２１において常に呼び出される。ブロック２８４は、到来するイベント２２０，２２１の可能な低減及び優先度付けを含むランダムな選択に用いられる。

【0086】

その上さらに、ブロック２８０におけるランダム方式の選択の他に、例えば既にＥＴＨセンサ２６とともに説明したようにイベント２２０のランダムな依存性の低減を行うことができる。そのため、特定のデータ領域（好適には固定されたデータ領域の始端又はデータ領域の終端）をランダムな依存性で選択することができる。同様に、特定の低減されたアドレスデータのみを記憶することもできる。

【0087】

同様に、イベント２２０が大量に発生した場合に、又は、一般に、（特定のソース、例えばイーサネットにおいて）センサ２４，２６，２８自体が、（他のソースからのイベント２２０も到来する）イベントマネージャ３０の負担軽減のために、イベント２２０を選択又は低減し、イベントマネージャ３０に類似した準プレフィルタリングを施すこともできる。センサ２４，２６，２８が、既に、個々のイベント２２０をイベントマネージャ３０に転送していない場合、これも同様に固有のイベントタイプ２１８として、イベントマネージャ３０に通信すべきである（イベントマネージャ３０における低減状態２２５に類似）。しかしながら、一般に、イベント２２０のイベント依存性の選択は、センサ２４，２６，２８自体において行われ、センサ２４，２６，２８のバッファメモリに格納することができる。対応するカウンタも、同様に、それぞれのイベントタイプ２１８についてのセンサ２４，２６，２８内に設けることができ、必要に応じてイベントマネージャ３０に伝送することができる。センサ２４，２６，２８による選択イベント２２６’も、上位のインスタンス３４及び／又はバックエンド３６への場合によって起こり得る転送のために、イベントマネージャ３０による要求に応じてイベントマネージャ３０に伝達することができる。イベントマネージャ３０に関連して説明したランダムな選択及び／又は優先度付けのための手順は、それでもなおセンサ２４，２６，２８において実行することが可能である。それにもかかわらず、それぞれのソースに対する特定のデータ２１１だけに限定されるものとしてもよく、即ち、センサ２４，２６，２８は、センサ固有のイベント２２０だけを選択することができる。

【0088】

通信アダプタ３２は、セキュリティを高めるために、他のＩＤＳインスタンス３４に対するイベントレポート２４２のランダム方式で攻撃者にとって非決定論的でかつ隠蔽された送信を想定することができる。

【0089】

既に図２ｄに関連して説明したように、バッファメモリ２０６に格納された選択イベント２２６からはイベントレポート２４２が生成される。このレポートは、バッファメモリ２０６に格納された選択イベント２２６を含む。これらの選択イベント２２６には、各イベントレポート２４２に対して変更されたサイズ２５４（例えば、乱数、時間又はカウンタなど）が先行している。その他に、イベントレポート２４２は、認証情報２５６を含む。これに関して、この認証は、通信アダプタ３２と、イベントレポート２４２を受信するユニット（ＩＤＳインスタンス３４、バックエンド３６など）との間において行うことができる。認証情報２５６は、例えば、イベントレポート２４２のデータの少なくとも一部から、好適にはイベントレポート２４２のすべてのデータ（もちろん形成すべき認証情報２５６は除く）から形成することができる。この目的のために、対応するアルゴリズムがイベントマネージャ３０に格納される。認証の目的のために、上位のユニット３４及び／又はバックエンド３６は、同様の手法で受信されたイベントレポート２４２の対応するデータから復号化により関連する認証情報２５６’を形成し、イベントレポート２４２で伝送されるように実際に受信された認証情報２５６と比較することができる。一致した場合は、真性に基づく。

【0090】

イベントレポート２４２は、固定長２５７を含む。この固定長２５７を達成するために、データ２５４，２１５＿１，２１５＿８，２１５＿１９０，２５６は、さらに、いわゆる充填データ２５５によって充填されている。これらの充填データ２５５は、イベント関連の情報を含まない。伝送の前に、イベントレポート２４２の図示のデータには、図２ｄに示されているように暗号化２５８が施される。そのような暗号化２５８によって暗号化されたイベントレポート２４２は、通信アダプタ３２によって送信され、説明したように、さらなるＩＤＳインスタンス３４又はバックエンド３６によって復号化され認証される。たとえ各イベントレポート２４２に対して変更されたサイズ２５４が例えば１ビットしか異なっていなくても、その後の暗号化２５８により、暗号化されたイベントレポート２４２は、先行のイベントレポート２４２とは（１ビットだけでなく）大きく異なることになる。

【0091】

そのため、特定のイベント２２０は、イベントレポート２４２の枠内において、周期的に暗号化されて（平文におけるイベントレポート２４２の一部として常時変化するサイズ２５４も、イベントレポート２４２の暗号化２５８も）伝送することができる。ただし、新たなイベント２２０が存在しない場合においても、（例えば充填データ２５５からなる）いわゆるダミーイベントを周期的に暗号化して伝送することができる。このことは、通信アダプタ３２と、さらなるＩＤＳインスタンス３４又はバックエンド３６との間のデータ交換の盗聴セキュリティ又はランダム方式の隠蔽に用いられる。

【0092】

以下においては、イベントマネージャ３０と、制御装置又はゲートウェイ２０内の通信アダプタ３２との間、及び、通信アダプタ３２と、車両１８内の少なくとも１つのさらなるＩＤＳインスタンス３４との間、及び、さらなるＩＤＳインスタンス３４と、バックエンド３６との間の通信フローが、図９乃至図１４に基づいて例示的に説明される。

【0093】

例えば、ゲートウェイ２０などの制御装置からさらなるＩＤＳインスタンス３４（例えば、車両１８内の中央イベントロガー）への通信においては、さらなるＩＤＳインスタンス３４又はイベントロガーが、未読のエントリ又はメモリ２０６に記憶されたイベント２３６又は選択イベント２２６を介して情報提供されることを保証すべきである。制御装置又はゲートウェイ２０は、好適には、いわゆるハートビート信号（通信参加者の適正な接続の検査のために使用できる周期的な信号）を介して、定期的な方式でイベントレポート２４２をさらなるＩＤＳインスタンス３４に送信すべきである。ハートビート信号（イベントレポート２４２を含む）は、暗号化されるべきであり、真性なものでなければならない。好適には、伝送される情報は、（場合によっては認証情報２５６を使用して）真性にかつ好適にはランダムに又は乱数２７３を使用して暗号化されて、制御装置又はゲートウェイ２０と、さらなるＩＤＳインスタンス３４との間において交換されるべきである。好適には、イベントレポート２４２は、固定長２５７を有するべきであり、暗号化されかつ認証されるべきである。暗号化された各イベントレポート２４２は、たとえ伝送された状態が変更されていなくても、先行するイベントレポート２４２とは異なるようにすべきである。

【0094】

その他に、さらなるＩＤＳインスタンス３４から制御装置又はゲートウェイ２０又は関連する通信アダプタ３２への通信は、以下の機能性によって優れているべきである。データロガー又はＩＤＳインスタンス３４は、特にメモリ又はバッファメモリ２０６のオーバーフローを阻止するために、可能な限り早くイベント２３６又は関連するイベントレポート２４２を読み込むべきである。イベントレポート２４２は、例えば要求に応じて、診断インタフェースを介して読み出せるようにすべきである。代替的に、イベントレポート２４２は、完全に周期的に送信することもできる。イベントレポート２４２は、たとえ新たな選択イベント２２６が新たなイベントレポート２４２の枠内において利用可能でないとしても、定期的な方式で好適には真性にかつ暗号化又は偽装されて通信又は読み出されるべきである。制御装置又はゲートウェイ２０は、固定長の、暗号化され認証された応答又はイベントレポート２４２で、読み出し要求２４０に応答すべきである。暗号化された各応答又はイベントレポート２４２は、たとえ内容が変更されていなくても、先行の応答又はイベントレポート２４２とは異なるようにすべきである。例示的に、このことは、既に説明したように常に変更されるサイズ２５４によって行われる。

【0095】

図９によれば、イベントマネージャ３０は、最初に第１の選択イベント２２６．１を選択し、続いて第２の選択イベント２２６．２を選択する。これらは、説明したようにイベントマネージャ３０によって処理される。即ち、これらの選択イベント２２６．１，２２６．２は、メモリ２０６に格納されている。通信アダプタ３２は、時間依存性の割り込み信号（タイマＩＲＱ）である信号４００を含む。好適には、この時間依存性の信号４００は、周期的に形成され、それによって、通信アダプタ３２から車両１８内のさらなるＩＤＳインスタンス３４へのイベントレポート２４２の伝送が周期的に開始される。しかしながら、たとえ新たなイベント２２６．１，２２６．２が存在しなくても、以下において説明するように、通信アダプタ３２からさらなるＩＤＳインスタンス３４には信号が（「通常の」イベントレポート２４２の形態で）送信される（信号４０６参照）。しかしながら、特に好適には、イベントレポート２４２の送信は、イベント２２０又は選択イベント２２６の取得に依存してトリガされるのではなく、むしろ周期的に（周期時間の時間経過によって）トリガされる。このことは、特に有利である。なぜなら、その後においてもさらなるＩＤＳインスタンス３４及び／又はバックエンド３６への伝送が常に周期的に、即ち、特定の時間の経過後に行われるからである。これにより、攻撃者にとってイベントマネージャ３０の動作又は異常識別の動作が不透明となる。攻撃者は、自身の攻撃が検出されたかどうか、何が検出されたか、異常識別のためのシステムがどのように動作するかを決して知ることはない。

【0096】

通信アダプタ３２は、信号４００（Ｔｉｍｅｒ Ｉｎｔｅｒｒｕｐｔ「タイマ割り込み」）を受信した後、イベントマネージャ３０からのイベントレポート２４２を要求する（信号４０２）。イベントマネージャ３０は、対応するイベントレポート２４２を生成し、このレポートには、事前の選択イベント２２６．１及び／又は２２６．２（それぞれの汎用メタデータ２１７及びイベント依存性のメタデータ２１６を伴う）並びに変更されたサイズ２５４が含まれる。さらに、対応する充填データ２５５が追加され、それによって、イベントレポート２４２の固定長２５７が達成される（さらに形成すべき認証情報２５６の長さの知識）。さらに、例えば、イベントマネージャ３０は、変更された情報２５４、選択イベント２２６．１，２２６．２及び充填データ２５５から、特定のアルゴリズムを使用して認証情報２５６を生成する。そのように形成された認証情報２５６は、イベントレポート２４２を完成させる。その後、イベントレポート２４２全体の暗号化が鍵２５８を用いて行われる。暗号化されたイベントレポート２４２は、信号４０４として通信アダプタ３２に到達する。（変更された情報２５４及び／又は鍵２５８を使用した）暗号化及び（認証情報２５６の形成による）認証は、対応するセキュリティ要件が満たされた場合、イベントマネージャ３０において、及び／又は、通信アダプタ３２において行うことができる。

【0097】

代替的に、通信アダプタ３２は、例えば、乱数２７３に依存してイベントレポート２４２を暗号化することができる。特に好適には、暗号化のために、例えばハッシュ化によって常に新たな乱数２７３が形成される。このことは、伝送されたメッセージ又は暗号化されたイベントレポート２４２の復号化をさらに複雑にする。場合によっては、通信アダプタ３２は、認証情報２５６を使用した認証、及び／又は、可変のサイズ２５４の追加、及び／又は、暗号化２５８を用いたイベントレポート２４２全体の最終的な暗号化を担う。

【0098】

対応する信号４０６は、新たな選択イベント２２６の発生による新たなイベントレポート２４２がイベントマネージャ３０から提供されない場合であっても、タイマ割り込み（信号４００）自体に基づいて送信される。次いで、イベントレポート２４２のデータフォーマットを有するダミーメッセージが使用され、乱数又は常に変更されるサイズ２５４によって（鍵２５８を使用して）暗号化され、さらなるＩＤＳインスタンス３４に伝送される。ダミーメッセージも、常に変更されるサイズ２５４又は新たな乱数によって常に暗号化され、そのため、新たな選択イベント２２６が発生しない場合においても、他の又は暗号化されたメッセージ（信号４０６）が常に周期的に伝送される。この周期的な伝送により、通信アダプタ３２と、さらなるＩＤＳインスタンス３４との間の適正な通信接続の機能を検査することができる。

【0099】

通信アダプタ３２によって送信されたメッセージ（信号４０６）がさらなるＩＤＳインスタンス３４によって取得された後、このさらなるＩＤＳインスタンス３４は、確認信号（４０８）を通信アダプタ３２に送信する。この確認信号４０８の取得後、通信アダプタ３２は、イベントマネージャ３０に対する一時記憶された、場合によっては低減された選択イベント２２６又は関連するイベントレポート２４２を削除又は再度上書きする要求を生成する（信号４１０）。

【0100】

代替的実施例においては、上位のインスタンス３４及び／又はバックエンド３６は、受信され暗号化されたイベントレポート２４２の真性を検査する。この目的のために、上位のインスタンス３４及び／又はバックエンド３６は、既知の鍵２５８を使用して受信されたメッセージ、詳細には暗号化されたイベントレポート２４２を復号化する。次いで、イベントレポート２４２は平文で利用可能である。認証情報２５６を形成するための（イベントマネージャ３０又は通信アダプタ３２による認証情報２５６の作成のためにも使用された）対応するアルゴリズムを使用してイベントレポート２４２は認証される。この目的のために、受信されかつ復号化されたイベントレポート２４２のすべてのデータ（認証情報２５６を除く）が再度用いられ、そこから対応する認証情報２５６’が形成される。その後、形成された認証情報２５６’と、イベントレポート２４２の枠内において受信された認証情報２５６との比較が行われる。一致した場合、受信されたイベントレポート２４２は、真性とみなされる。このバリエーションにおいては、認証に成功した後にのみ、より上位のレベル又はより下位のレベルのインスタンスとのさらなるデータ通信を行うことができる。本実施形態においては、認証に成功した場合にのみ、信号４０８（確認信号）が通信アダプタ３２に送信され、通信アダプタ３２は、ここでは、選択イベント２２６．１，２２６．２の上書きのためのリリース信号４１０をイベントマネージャ３０に送信する。

【0101】

好適には、応答又は確認信号４０８，４１６も固定長２５７’を有するべきである。好適には、確認信号４０８は、認証され、暗号化されるべきである。各応答又は確認信号４０８は、たとえ内容が変更されていなくても、上位のインスタンス３４及び／又はバックエンド３６によって異ならせるべきである。

【0102】

そのような確認信号４０８，４１６の一例は図９から見て取れる。確認信号４０８，４１６は、イベントレポート２４２と同様の構造である。確認信号４０８，４１６は、可変のサイズ２５４’を含む。この可変のサイズ２５４’は、新たに送信された確認信号４０８，４１６ごとに変化する。これらの可変のサイズ２５４’も、例えば、乱数、カウンタ、時間によって実現することができる。

【0103】

特に好適には、確認信号４０８，４１６の可変のサイズ２５４’は、そのときに伝送されたようなイベントレポート２４２の可変のサイズ２５４を使用することによって形成することができる。この目的のために、上位のインスタンス３４，３６は、受信されたイベントレポート２４２から可変のサイズ２５４を抽出し、確認信号４０８，４１６に挿入するように構成される。それにより、後続のステップにおいては、確認信号４０８，４１６の認証も、確認信号４０８，４１６の受信された可変のサイズ２５４’を、直前に送信されたイベントレポート２４２の可変のサイズ２５４と比較することによって行うことができる。一致した場合には、真性の確認信号４０８，４１６との推論がなされる。その他に、この可変のサイズ２５４’は、上位のインスタンス３４，３６において自身で生成する必要はない。それに対して、メモリ２０６の解放が追従し得る。

【0104】

さらに、確認信号４０８，４１６は、特定のデータ２５５’を例えば任意のパターンの形態で含む。さらに、確認信号４０８，４１６は、認証情報２５６’も含む。この認証情報２５６’もイベントレポート２４２と同様に再び、確認信号４０８，４１６の残余のデータ、詳細には可変のサイズ２５４’及びデータ２５５’を利用する特定のアルゴリズムを介して形成することができる。そのように形成された認証情報２５６’は、固定長２５７’を有する確認信号４０８，４１６を完成させる。次いで、暗号化が鍵２５８’を使用して行われる。任意選択的に、この暗号化２５８’は省略することもできる。

【0105】

受信されたインスタンス（例えば上位のインスタンス３４、バックエンド３６）及び／又は通信アダプタ３２又はイベントマネージャ３０は、ここでも、確認信号４０８，４１６を（鍵２５８’を使用して）認証のために復号化することができる。この目的のために、ここでも、受信されたデータ（可変サイズ２５４’、データ２５５’）から、対応する既知のアルゴリズムを使用した結果として生じる認証情報２５６’’が求められ、取得された認証情報２５６’と比較される。一致した場合は、真性に基づく。取得された認証情報２５６’が適正である限り、メモリ２０６を解放するための信号４１０が生成できる。認証情報２５６’が適正でない場合には、この信号４１０は生成できないはずなので、メモリ２０６に含まれる選択イベント２２６は（まだ）削除されない。

【0106】

さらなるＩＤＳインスタンス３４も、既に説明したように信号４００と同様に形成されるタイマ割り込み信号４１２を周期的に受信する。この割り込み信号４１２に基づいて、さらなるＩＤＳインスタンス３４は、ここでも暗号化されたメッセージを送信する（信号４１４）。このメッセージは、場合によっては、信号４０６を介して通信アダプタ３２の前から伝送されるようにイベントレポート２４２又は（さらなるイベントレポートを含めて）車両に関連するイベントレポートを含む。通信アダプタ３２の場合と同様に、メッセージは、さらなるＩＤＳインスタンス３４によって、特に、例えば、乱数２７３のように常時変化するサイズ２５４’によって暗号化される。例えば、新たな選択イベント２２６が発生しなかったために通信アダプタ３２がイベントレポート２４２を伝送しなかったとしたら、ここでもイベントレポート２４２と同一のデータフォーマットを有するダミーメッセージが使用されかつ暗号化され、バックエンド３６に伝送される（信号４１４）。バックエンド３６は、確認信号４１６及び／又はバッファメモリ２０６に一時記憶されたイベント２３６などの上書きのためのさらなる通知又は要求を、さらなるＩＤＳインスタンス３４に送信する。確認信号４１６は、上記で説明したように形成されるものとしてもよい。

【0107】

イベントリリースに関する信号４１０の取得後、イベントマネージャ３０は、さらに選択イベント２２６．３及び２２６．４を選択する。さらなるフローは、図１０から見て取ることができる。その間に、イベントマネージャ３０は、さらに１つのさらなるイベント２２６．５を選択する。新たに、タイマ割り込み（信号４２０）が、通信アダプタ３２に到達する。このアダプタは、ここで、ゲートウェイ２０についてのイベントレポート２４２を要求する（信号４２２）。イベントマネージャ３０は、選択イベント２２６．３，２２６．４，２２６．５に基づいて、イベントレポート２４２を通信アダプタ３２に送信する（信号４２４）。イベントレポート２４２の取得後、通信アダプタ３２は、乱数のような新たな可変のサイズ２５４によって暗号化されかつ認証されたイベントレポート２４２を、さらなるＩＤＳインスタンス３４に送信する（信号４２６）。この取得を、さらなるＩＤＳインスタンス３４は、確認信号４２８によって確認する。この確認信号４２８は、確認信号４０８（図９）に関連して説明したように形成されるものとしてもよい。確認信号４２８の取得後、通信アダプタ３２は、ここでもイベントマネージャ３０に対して、イベントレポート２４２の基礎となる選択イベント２２６．３，２２６．４，２２６．５を上書き又は削除する要求を送信する（信号４３０）。信号４２４の送信と信号４３０の受信との間においては、その間に、さらなる選択イベント２２６．６が選択される。ただし、この選択イベント２２６．６は、まだ上書きはされない。なぜなら、この選択イベント２２６．６は、既に通信アダプタ３２に伝送されたイベントレポート２４２の基礎となったものではまだなかったからである。その限りにおいては、この信号４３０は、選択イベント２２６．６の上書きに関するものではなく、むしろ最後のイベントレポート２４２の枠内において既に送信された選択イベント２２６．３，２２６．４，２２６．５のみの上書きに関するものである。

【0108】

ここでも、さらなるＩＤＳインスタンス３４において、既に説明したようにタイマ割り込みが発生する（信号４３２）。これにより、さらなるＩＤＳインスタンス３４は、信号４２６において新たに受信したイベントレポート２４２を暗号化してバックエンド３６に伝送することを引き起こす（信号４３４）。対応するメッセージ４３４の取得後、バックエンド３６は、さらなるＩＤＳインスタンス３４に送信される対応する確認信号４３６によって確認する。この確認信号４３６は、確認信号４０８又は４１６のように形成されるものとしてもよい。

【0109】

さらなるフローを図１１に示す。新たに、通信アダプタ３２のためのさらなるタイマ割り込みが発生する（信号４４０）。ここでは、通信アダプタ３２は、イベントマネージャ３０に対して、イベントレポート２４２の送信のための要求を送信する（信号４４２）。イベントマネージャ３０は、その間に選択イベント２２６．６を含むイベントレポート２４２を送信する（信号４４４）。通信アダプタ３２は、新たな可変のサイズ２５４を使用してイベントレポート２４２を暗号化し、この暗号化されたイベントレポート２４２をさらなるＩＤＳインスタンス３４に送信する（信号４４６）。これを取得した場合、さらなるＩＤＳインスタンス３４は、確認を送信し（信号４４８）、この信号を取得した場合、通信アダプタ３２は、イベントマネージャ３０に対して、既に伝送されたイベント２２６．６を上書き又はリリースする要求を送信する（信号４５０）。

【0110】

ここでも、さらなるＩＤＳインスタンス３４は、タイマ割り込みを受信する（信号４５２）。ここでは、暗号化されたイベントレポート２４２が、場合によっては、車両に関連するさらなるＩＤＳシステムのさらなるイベントレポートとともにバックエンド３６に伝送される。バックエンド３６は、さらなるＩＤＳインスタンス３４に対して確認信号及び／又は対応するイベントをリリース又は上書きするなどの要求を送信する（信号４５６）。

【0111】

図１２による例示的なシーケンスにおいては、最後のイベントレポート２４２の送信とタイマ割り込み（信号４６０）の新たな発生との間に、新たな選択イベント２２６は発生していない。タイマ割り込み４６０の取得後、通信アダプタ３２は、新たなイベントレポート２４２のための対応する要求信号４６２をイベントマネージャ３０に送信する。イベントマネージャ３０は、（新たな選択イベント２２６が発生したにもかかわらず）ダミー内容を有するイベントレポート２４２を生成し、次いで、これを通信アダプタ３２に送信する（信号４６４）。このダミー内容は、さらなるＩＤＳインスタンス３４によって、及び／又は、バックエンド３６によってそのようなものとして識別可能である。通信アダプタ３２は、ダミー内容を有する受信されたイベントレポート２４２を、新たに送信された可変のサイズ２５４を用いて暗号化し、この暗号化されかつ認証されたイベントレポート２４２をさらなるＩＤＳインスタンス３４に送信する（信号４６６）。この取得は、さらなるＩＤＳインスタンス３４によって確認される（信号４６８）。この信号を取得した場合、通信アダプタ３２は、新たに、イベントマネージャ３０に対して、最後の選択イベント２２６を上書きする要求信号を送信する（信号４７０）。このことは、この状況のように新たな選択イベント２２６が存在しない場合であっても行われる。

【0112】

新たに、さらなるＩＤＳインスタンス３４は、タイマ割り込みを取得する（信号４７２）。ここでは、さらなるＩＤＳインスタンス３４は、通信アダプタ３２から伝送され最後に取得した暗号化されたイベントレポート２４２を暗号化し、それを、場合によっては車両に関連するさらなるＩＤＳシステムからのさらなるイベントレポートとともにバックエンド３６に送信する。バックエンド３６は、確認信号４７６及び／又は基礎となるイベントのリリースのための要求などをさらなるＩＤＳインスタンス３４に送信する。

【0113】

図１３の通信シーケンスにおいては、通信アダプタ３２は、新たにタイマ割り込みを取得する（信号４８０）。このタイマ割り込み４８０は、特別な信号であり得る。そのため、通信アダプタ３２は、イベントマネージャ３０からの（通常のイベントレポート２４２のうちの１つではなく）イベント要約を要求する（信号４８２）。イベントマネージャ３０は、イベント要約を通信アダプタ３２に送信する（信号４８４）。イベント要約においては、例えば、様々なイベントタイプ２１８に対する様々なカウンタ状態２３１、又は、新たなイベントタイプの発生など、上位の情報を含めることができる。ここでも、通信アダプタ３２からのイベント要約は、乱数のような新たな可変のサイズ２５４によって暗号化され、さらなるＩＤＳインスタンス３４に伝送される（信号４８６）。ＩＤＳインスタンス３４が通信アダプタ３２からの暗号化されたイベント要約を取得するとただちに、さらなるＩＤＳインスタンス３４は、このイベント要約を特に好適には暗号化してバックエンド３６に転送する。本実施例においては、さらなるＩＤＳインスタンス３４とバックエンド３６との間の送信過程のために、通信過程を開始するためのタイマ割り込みは設けられていない。ただし、代替的に、ここでも、これは通常のイベントレポートの送信のように周期的に開始することができる。

【0114】

図１４の通信シーケンスにおいては、バックエンド３６は、イベントレポートのための要求をさらなるＩＤＳインスタンス３４に送信する（信号４９０）。さらなるＩＤＳインスタンス３４は、イベントレポートのための暗号化された要求を、例えば診断インタフェースを介して通信アダプタ３２に送信する（信号４９２）。この暗号化は、ここでも、例えば、特に暗号化ごとに変化する乱数のような可変のサイズ２５４’を介して行うことができる。要求４９２の取得後、通信アダプタ３２は、イベントレポート２４２のための問い合わせをイベントマネージャ３０に送信する（信号４９４）。対応する問い合わせ４９４の取得後、イベントマネージャ３０は、イベントレポート２４２を通信アダプタ３２に送信する（信号４９６）。通信アダプタ３２は、このイベントレポート２４２を、例えば、乱数のような新たな可変のサイズ２５４を介して暗号化し、それをさらなるＩＤＳインスタンス３４に送信する（信号４９８）。暗号化されたイベントレポート２４２の取得後、さらなるＩＤＳインスタンス３４は、このイベントレポート２４２をバックエンド３６に送信する。この取得をバックエンド３６はさらなるＩＤＳインスタンス３４に確認する（信号４９２）。この確認信号４９２の取得をさらなるＩＤＳインスタンス３４は通信アダプタ３２に確認する（信号４９４）。対応する信号４９４の取得後、通信アダプタ３２は、イベントマネージャ３０に対して、少なくとも最後のイベントレポート２４２の枠内において伝送されたイベント２２０をリリース又は上書きする対応する要求を送信する。

【0115】

記載された方法は、計算ユニット、コンピュータ又はコントローラ、特に車両１８の制御装置において実装されるものとしてもよい。同様に、本方法は、コンピュータ上において実行されるときに本方法を実施するために構成されたコンピュータプログラムの枠内において作成されるものとしてもよい。さらに、本コンピュータプログラムは、機械可読記憶媒体上に記憶されているものとしてもよい。それにもかかわらず、本プログラムは、例えば、「無線」ソフトウェアとして無線でインストールすることもできるし、診断インタフェースを介して有線でインストールすることもできる。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【手続補正書】

【提出日】2022-09-27

【手続補正1】

【補正対象書類名】図面

【補正対象項目名】図５

【補正方法】変更

【補正の内容】

【図5】

【国際調査報告】