JP2023510122A - インタフェースを備える装置およびインタフェースを備える装置の動作方法 - Google Patents

Abstract

装置（１００）の動作方法、すなわち自動車の制御機器の動作方法であって、装置（１００）は、外部ユニット（２００）とのデータ交換のための少なくとも１つのインタフェース（１２０）を有しており、かつ状態変数（ＺＶ）を不揮発性に格納するための少なくとも１つの第１のメモリ機器（１３０）を含んでおり、この方法（３００）は、次のステップ、すなわち、状態変数（ＺＶ）の評価（３１０）、およびこの評価（３１０）に応じた、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行（３６０）の制御のための、少なくとも１つのコンピュータプログラム（ＰＲＧ１）の実行および／または伝送のイネーブル化（３２０）または非イネーブル化（３３０）を含んでおり、この伝送はインタフェース（１２０）を介して、外部ユニット（２００）から行われ、状態変数（ＺＶ）の値は、装置（１００）の使用段階に割り当てられており、方法（３００）は、さらなるステップ、すなわち、装置（１００）の使用段階に応じた、かつ／または装置（１００）のある使用段階から装置（１００）のさらなる使用段階への移行に応じた、状態変数（ＺＶ）の値の変更（３８０）を含んでおり、状態変数（ＺＶ）の値の変更を、特に値を増加させることによって、かつ／または特に不可逆的に行う。

Description

従来技術
本開示は、外部ユニットとのデータ交換のためのインタフェースを有している装置の動作方法に関する。

本開示はさらに、外部ユニットとのデータ交換のためのインタフェースを備える装置に関する。

独国特許出願公開第１０２０１０００８８１６号明細書からすでにオンライン通信の方法が知られている。求められたセキュリティステータスに応じて、ワイヤレスデータトラフィックネットワークへのアクセスが規制される。

発明の開示
これに対して、独立請求項の特徴部分に記載された方法は、装置の使用の異なる使用領域に応じて、段階的なセキュリティコンセプトを、異なる使用段階に正確に合わせて実現することができ、その結果、マニピュレーションに対するセキュリティが強化されるという利点を有している。特に、インタフェースのアクティブ化、およびこれを介してコンピュータプログラム、すなわち検査ソフトウェアが実行されるか否かが、状態変数を使用して、各状況に合うように調整される。状態変数の値を、特に値を増加させることによって、かつ／または特に不可逆的に変更することができることによって、マニピュレーションが行われる可能性はさらに低くなる。

好適な発展形態では、装置は少なくとも２つまたは３つ、特に４つまたは５つの異なる使用段階を有しており、ここで各使用段階は特に各セキュリティ要件によって特徴付けられており、特に状態変数の少なくとも１つの第１の値は第１の使用段階、特に製造段階に割り当てられており、少なくとも１つのさらなる値、特に第２の値は、装置のさらなる、特に第２の使用段階、特に現場段階に割り当てられており、ここで装置のこのさらなる使用段階は、高いセキュリティ要件によって特徴付けられている。まさに、異なる使用段階において、装置は、異なる、マニピュレーションが行われる可能性にさらされている。製造段階では、マニピュレーションが行われる可能性はかなり制限されている。特に、ラインの最後で、製造が行われた後に装置を検査するために、検査ソフトウェアが特に迅速に実行され得る。これは、第１の使用段階において、証明を伴わずに、コンピュータプログラムの実行および／または伝送がイネーブル化されることによって特に有利に実現される。

特に有利には、さらなる使用段階において、コンピュータプログラムの実行および／または伝送はイネーブル化されない。装置は、たとえば、車両での動作中にのみ、制御機器の形で存在しており、したがって、そこで多数のマニピュレーションの試みにさらされる。セキュリティを強化するために、このようなクリチカルな使用段階では、インタフェースの非アクティブ化が設定されている。特に好適には、さらなる診断インタフェースがアクティブであり、さらなる診断インタフェースを介して、工場での通常の診断機能に加えて、場合によってはインタフェースの再アクティブ化が、高いセキュリティ要件の下で開始され得る。

好適な発展形態では、状態変数の第１の値と状態変数のさらなる値との間で、状態変数の任意選択的な第２の値が任意選択的な第２の使用段階、特に保管段階に割り当てられ、ここでこの任意選択的な第２の使用段階では、証明の後にのみ、コンピュータプログラムの実行および／または伝送がイネーブル化される。これによって、この状況での、マニピュレーションが行われる可能性が、製造段階と比較して高いことが考慮に入れられる。

好適な発展形態では、状態変数のさらなる別の値が、装置のさらなる別の使用段階、特に返品段階および／または分析段階に割り当てられており、ここで、装置のさらなる別の使用段階においては、コンピュータプログラムの実行および／または伝送は、特にバックエンドまたはトラストセンタなどのさらなる機器を介して、証明の後にのみ、イネーブル化される。まさに、各使用段階において異なるセキュリティ要件を伴う段階的なセキュリティコンセプトによって、さらなる攻撃を減らすことができる。

さらなる有利な実施形態では、コンピュータプログラムは有利には、装置の動作、特にシステム関連動作、特にハードウェアの検査、特にハードウェアの最終検査ならびに／または装置のデータ入力、特に少なくとも１つの機能および／または少なくとも構成の伝送を実行するように構成されている。たとえば、コンピュータプログラムが、アクティベーションソフトウェア、特に装置の機能をイネーブル化するための機能オンデマンドアクティベーションソフトウェアを実行するように構成されていてもよい。さらなる実施形態では、コンピュータプログラムは、アクティベーションソフトウェアまたはアクティベーションソフトウェアの一部を含んでいてもよい。

さらなる有利な実施形態では、装置は、特に自動車用、たとえば自動車の内燃機関用の制御機器（電子制御機器 ＥＣＵ）である。しかし、さらなる有利な実施形態では、実施形態に相応する原理の適用は、自動車領域もしくは制御機器の領域に制限されていない。

さらなる有利な実施形態では、第２のメモリ機器は、少なくとも１つの、特に装置によって実行可能なコンピュータプログラムを揮発性に格納するためのメモリ機器である。さらなる有利な実施形態では、第２のメモリ機器は、メインメモリ、ＲＡＭ、ランダムアクセスメモリである。まさに、ハードウェア／電源オフリセットが実行された後に、揮発性メモリの特徴的な動作に基づいてソフトウェアがＲＡＭから自動的に消去されるので、コンピュータプログラムがＲＡＭにロードされることによって、ソフトウェアがこの装置内に永続的に残ることはなくなる。永続的なメモリへの保存を省くことができる。コンピュータプログラムに対するメモリの予約、ひいてはメモリの浪費は行われない。相応するメモリ領域を、通常動作時に、他の機能のために使用することができる。したがって、この方法は、大容量の不揮発性メモリを備える装置にも、小容量の不揮発性メモリを備える装置にも使用可能である。

さらなる有利な実施形態では、第１のメモリ機器は、たとえばフラッシュメモリ、たとえばフラッシュＥＥＰＲＯＭもしくはＮＯＲフラッシュまたはＮＡＮＤフラッシュまたは不揮発性メインメモリ、ＮＶＲＡＭ、不揮発性ランダムアクセスメモリ、たとえばＦｅＲＡＭ、ＭＲＡＭ、ＰＣＲＡＭ、ＮＲＡＭである。

さらなる有利な実施形態では、第１のメモリ機器がワンタイムプログラマブル（ＯＴＰ）メモリを含んでいること、または第１のメモリ機器がワンタイムプログラマブル（ＯＴＰ）メモリの一部であることが設定されている。

さらなる有利な実施形態では、第１のメモリ機器がハードウェアセキュリティモジュール（ＨＳＭ）、特に暗号化モジュールを含んでいること、または第１のメモリ機器がハードウェアセキュリティモジュール（ＨＳＭ）、特に暗号化モジュールの一部であることが設定されている。ハードウェアセキュリティモジュールは、たとえば、暗号化方法もしくはアルゴリズム、あるいはそれらの少なくとも一部を実行するように構成されている。

さらなる有利な実施形態では、ハードウェアセキュリティモジュール（ＨＳＭ）が、状態変数を格納するための、保護された、特に別個のメモリを有していることが設定されている。

本発明のさらなる特徴、用途および利点は、図示されている、本発明の例示的な実施形態の以降の説明から明らかになる。ここで、説明されたまたは図示されたすべての特徴は、特許請求の範囲におけるそれらのまとめまたはそれらの引用関係ならびに明細書もしくは図面におけるそれらの表現もしくは図示に関係なく、それ自体で、または任意の組み合わせで、本発明の構成要件を成す。

有利な実施形態による装置の簡略化されたブロック図および外部ユニットを示す図である。 さらなる有利な実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 さらなる有利な実施形態による方法の一部の簡略化されたフローチャートを概略的に示す図である。 さらなる有利な実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 さらなる有利な実施形態による方法の一部の簡略化されたフローチャートを概略的に示す図である。 さらなる有利な実施形態による方法の一部の簡略化されたフローチャートを概略的に示す図である。

図１は、有利な実施形態による装置１００の簡略化されたブロック図を概略的に示している。装置１００は、有利には制御機器（電子制御機器 ＥＣＵ）である。

さらなる有利な実施形態では、装置１００は、特に自動車用、たとえば自動車の内燃機関用の制御機器として構成されていてもよい。しかし、さらなる有利な実施形態では、実施形態に相応する原理の適用は、自動車領域もしくは制御機器の領域に制限されていない。

装置１００は、有利には、少なくとも１つのコンピューティング機器１１０を有しており、少なくとも１つのコンピューティング機器１１０には、特に、少なくとも１つのコンピュータプログラムＰＲＧ１、ＰＲＧ２の少なくとも一時的な格納のために、特に、装置１００の動作の制御のために、たとえばメモリ機器１３０、１４０が割り当てられていてもよい。さらなる有利な実施形態では、メモリ機器１３０、１４０に、複数のコンピュータプログラムが格納されていてもよく、これはたとえば、ブートローダ、すなわち、装置もしくは装置１００のコンピューティング機器１１０のスタートプロセス、もしくは特にスタートプロセスの後のさらなるコンピュータプログラムＰＲＧ１、ＰＲＧ２の呼び出しを制御することができるコンピュータプログラムである。ならびに、メモリ機器１３０、１４０に、たとえば、装置１００のオペレーティングシステムおよび／またはアプリケーションプログラムであるさらなるコンピュータプログラムＰＲＧ１、ＰＲＧ２が格納されていてもよい。

さらなる有利な実施形態では、コンピューティング機器１１０は、要素であるマイクロプロセッサ、マイクロコントローラ、デジタル信号プロセッサ（ＤＳＰ）、プログラム可能なロジックモジュール（たとえば、ＦＰＧＡ、フィールドプログラマブルゲートアレイ）、ＡＳＩＣ（特定用途向け集積回路）、ハードウェア回路のうちの少なくとも１つの要素を有している。さらなる有利な実施形態では、それらの組み合わせも考えられる。

装置１００は、インタフェース１２０を有している。インタフェース１２０は、たとえば、好ましくは双方向の通信インタフェース（アドレスバスおよび／またはデータバスおよび／またはシリアル通信バスなど）であってもよく、これを介して、特に装置１００を検査するために、装置１００が外部ユニット２００とデータ交換のために接続され得る。外部ユニットは、たとえば、コンピュータ、特に検査コンピュータであり、これは、コンピューティングユニットと、コンピューティングユニットと接続されている少なくとも１つのメモリユニットとを有しており、このメモリユニットに、ソフトウェア、特に検査ソフトウェアが実行可能に格納されている。装置１００を検査するために、たとえば、Ｅｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査の一部として、特に装置１００の製造プロセスの最後で、インタフェース１２０を介して、コンピュータプログラムＰＲＧ１が、特に検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行を制御するために、外部ユニット２００から装置１００、特に装置１００のメモリ機器１４０に伝送される。検査ソフトウェアは、有利には製造中の、もしくはラインの最後でのハードウェア検査に使用されるが、返品分析にも使用され得る。

さらなる有利な実施形態では、インタフェース１２０が、特にユニバーサルな検査インタフェースおよび／または診断インタフェース、特にイーサネットインタフェースまたはＣＡＮインタフェースであることが設定されている。

有利には、インタフェース１２０を介して、検査、特に、装置１００のハードウェア検査および／またはソフトウェア検査が可能である。ここで、インタフェース１２０を介して、特に検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行時に、装置１００のハードウェアへのアクセスが可能である。インタフェース１２０を介したこのようなアクセスの潜在的な乱用を阻止するために、インタフェース１２０は適切な措置によって保護されるべきである。インタフェース１２０を保護するためのそのような措置の有利な実施形態を、図１～図６を参照して以降で説明する。

さらに、装置１００は、（インタフェース１２０の他に）診断インタフェース１５０を含んでいる。車両がたとえば工場で通常動作にあるときに、診断インタフェース１５０を介して、さらなる使用段階（現場段階）の間に通常の診断プロセスが実行され得る。診断インタフェース１５０と相互作用する対応する診断ソフトウェアは、特に検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行を制御する上記のコンピュータプログラムＰＲＧ１とは実質的に異なっている。診断インタフェース１５０の一部として実行される対応する診断ソフトウェアは、たとえば、不揮発性メモリ１３０内に固定して格納されていてもよい。

後述するように、現場段階において静止状態のインタフェース１２０の再アクティブ化が、診断インタフェース１５０を介して開始され得る。インタフェース１５０は、ロジックインタフェースであってもよく、すなわち、インタフェース１２０、１５０は、物理的には同じインタフェースを用いているが、異なるプロトコルを使用する。択一的に、これが、異なるポートを備える、物理的に異なるインタフェースであってもよい。

有利な実施形態では、装置１００は、状態変数ＺＶを不揮発性に格納するための少なくとも１つの第１のメモリ機器１３０と、少なくとも１つの、特に装置によって実行可能な、特に、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行を制御するためのコンピュータプログラムＰＲＧ１を格納するための少なくとも１つの第２のメモリ機器１４０とを含んでいる。

コンピュータプログラムＰＲＧ１を格納するための第２のメモリ機器１４０は、たとえば、コンピュータプログラムＰＲＧ１を揮発性に格納するためのメモリ機器であり、たとえば、メインメモリ、ＲＡＭ、ランダムアクセスメモリである。装置１００の検査の一部として、たとえば、Ｅｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査（ライン終端部での検査、製造後の検査）の一部として、特に装置１００の製造プロセスの最後に、インタフェース１２０を介して、コンピュータプログラムＰＲＧ１が、装置１００のメモリ機器１４０に伝送される。

さらなる有利な実施形態では、コンピュータプログラムＰＲＧ１は、特権的権利を含んでおり、特にコンピュータプログラムＰＲＧ１の実行時、特に検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行時に、装置１００のハードウェアへのアクセスならびに／または装置１００のメモリ機器の読み取りおよび／または書き込みが可能であり得る。これらの特権的権利の潜在的な乱用を阻止するために、コンピュータプログラムＰＲＧ１を実行後に、装置１００の第２のメモリ機器１４０から消去することが有利であり得る。

揮発性メモリの特徴的な動作に基づいて、コンピュータプログラムＰＲＧ１は、特にハードウェア、ハードウェア／電源オフリセットの実行時に、特に装置１００の供給電圧のシャットダウン時に、第２のメモリ機器１４０から消去される。すなわち、ハードウェア／電源オフリセットが実行されると、コンピュータプログラムＰＲＧ１が消去され、明示的な消去は不必要である。さらに、コンピュータプログラムＰＲＧ１は、揮発性メモリ内に置かれることによって、第１のメモリ機器１３０のメモリ、特に永続的な格納を必要としない。

コンピュータプログラムＰＲＧ１は、特に、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行、すなわち、ライン終端部での、すなわち装置１００の製造後の装置１００（たとえば、自動車の制御機器）の検査の実行を制御するためのコンピュータプログラムである。さらなる有利な実施形態では、コンピュータプログラムＰＲＧ１は、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェア、またはその一部も含むことができる。コンピュータプログラムＰＲＧ１は、有利には、装置１００の動作、特にシステム関連動作、特にハードウェアの検査、特にハードウェアの最終検査ならびに／または装置１００のデータ入力、特に少なくとも１つの機能および／または少なくとも１つの構成の伝送および／またはイネーブル化を実行するように構成されている。これによって、特に、製造の一部として、詳細なハードウェアの最終検査およびコンピュータプログラムＰＲＧ１を介した装置１００への製造関連データの書き込みが可能になる。完成し、完全にプログラムされ、コンピュータプログラムＰＲＧ１によって検査された装置１００は、製造段階に続いて、顧客（たとえば車両製造業者）に直接供給される（さらに、続いて現場段階に達する）、または保管庫に到達し（保管段階）、続いて顧客に供給される。コンピュータプログラムＰＲＧ１を介して提供される詳細なハードウェア検査などは、返品段階の一部における証明後の返品分析の一部として、またはセットされた第１の分析フラグＦＡ１において、再び実行され得る。乱用に対するセキュリティを強化するために、インタフェース１２０は、現場段階において永続的に非アクティブ化されるので、現場段階において、インタフェース１２０のみを介して装置１００にアクセスすることは不可能である。

さらなる有利な実施形態では、コンピュータプログラムＰＲＧ１は、有利には、状態変数ＺＶを変更するように構成されている。コンピュータプログラムＰＲＧ１は、有利には、コンピュータ可読命令を含んでおり、コンピュータ可読命令が装置１００によって、特に装置１００のコンピューティング機器１１０によって実行されると、状態変数ＺＶの変更が実行される。これに関しては、図６を参照した、後述の説明を参照されたい。

たとえば、ブートローダ内の到達パスもしくはインタフェース１２０のアドレス指定が消去されることによって、コンピュータプログラムＰＲＧ１は、インタフェース１２０を再プログラミングおよび／または非アクティブ化するためのプログラム部分も含むことができる。

コンピュータプログラムＰＲＧ１は、特にファイル、特にＨｅｘファイルとして、または連続して複数の、特にそれ自体実行可能なファイル、特にＨｅｘファイルとして第２のメモリ機器１４０に伝送されてもよく、ここで、用語「Ｈｅｘファイル」は機械読み取り可能なあらゆるコードフォームを含み得る。特に、１つの全体的なＨｅｘファイルとして、または複数の個別のＨｅｘファイルとしてのコンピュータプログラムＰＲＧ１の伝送を、有利には、第２のメモリ機器１４０の利用可能な格納場所に合うように調整することができる。

第１のメモリ機器１３０は、たとえばフラッシュメモリ、たとえばフラッシュＥＥＰＲＯＭもしくはＮＯＲフラッシュまたはＮＡＮＤフラッシュまたは不揮発性メインメモリ、ＮＶＲＡＭ、不揮発性ランダムアクセスメモリ、たとえばＦｅＲＡＭ、ＭＲＡＭ、ＰＣＲＡＭ、ＮＲＡＭである。有利には、装置１００は、特に状態変数ＺＶを評価するために、必要に応じて、第１のメモリ機器１３０から状態変数ＺＶを読み取ることができる。

装置１００、特に装置１００のコンピューティング機器１１０は、図を参照して以降で説明される方法３００を実施するように構成されている。

さらなる有利な実施形態は、装置１００の動作方法３００に関する。方法３００は、有利には、装置１００のスタートプロセスもしくはブートプロセスの一部として、かつ／または装置１００のスタートプロセスもしくはブートプロセスに続いて実施される。実施形態に即した方法３００は、次のステップ、すなわち状態変数ＺＶの評価３１０、および評価３１０に応じた、インタフェース１２０を介して、外部ユニット２００から第２のメモリ機器１４０へと行われる、特に、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行の制御のためのコンピュータプログラムＰＲＧ１の伝送のイネーブル化３２０または非イネーブル化３３０を含んでいる（図２の簡略化されたフローチャートも参照されたい）。伝送のイネーブル化３２０に続いて、有利には、コンピュータプログラムＰＲＧ１は、装置１００の第２のメモリ機器１４０に伝送され、続いて実行される（図２には図示されていない）。

コンピュータプログラムＰＲＧ１が実行された後、特にハードウェア／電源オフリセットの実行時に、特に装置１００の供給電圧のシャットダウン時に、コンピュータプログラムＰＲＧ１は第２のメモリ機器１４０から消去される。すなわち、コンピュータプログラムＰＲＧ１による格納場所の予約は、特に装置１００の検査の一部として、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査の一部として、一時的にのみ行われる。これに続いて、第２のメモリ機器１４０の対応する格納場所は、たとえば自動車内の制御機器としての、通常動作時の装置１００の使用時などに、装置１００のさらなる機能、アプリケーションの実行のために使用され得る。

さらなる有利な実施形態では、インタフェース１２０を介した外部ユニット２００から第２のメモリ機器１４０へのコンピュータプログラムＰＲＧ１の伝送のイネーブル化３２０または非イネーブル化３３０は、状態変数ＺＶに応じて行われる。

状態変数ＺＶ、特に状態変数ＺＶの値は、有利には、装置１００の状態、特に装置１００のライフサイクルの各段階を特徴付ける。

さらなる有利な実施形態では、状態変数ＺＶの値が装置１００の使用段階に割り当てられていることが設定されている。すなわち、インタフェース１２０を介した外部ユニット２００から第２のメモリ機器１４０へのコンピュータプログラムＰＲＧ１の伝送のイネーブル化３２０または非イネーブル化３３０は、装置１００の使用段階に応じて行われる。

有利な実施形態による装置１００の使用段階は、たとえば、製造段階（Ｔｉｅｒ１－製造）とも称される第１の使用段階、保管段階（保管庫）とも称される第２の使用段階、現場段階（ＯＥＭ製造／現場）とも称される第３の使用段階、返品段階（返品分析）とも称される第４の使用段階である。第１の使用段階では、装置１００が製造され、製造業者（Ｔｉｅｒ１）の下に存在する。この段階では、特に装置１００の製造プロセスに続いて、有利には装置１００の検査、たとえば、Ｅｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査もしくはライン終端部での検査が実行される。第２の使用段階では、装置１００は、少なくとも一時的に、特に製造業者の保管施設または外部の保管施設に保管される。この段階では、特に顧客、特にＯＥＭに引き渡す前に、有利には、装置１００の再度の検査、たとえばＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査が実行される。第３の使用段階では、装置１００は、顧客、特にＯＥＭの下でまたは現場において使用される。このような使用段階では、装置１００の検査、特にＥｏＬ検査は実行可能ではない。第４の使用段階では、装置１００は製造業者に戻され、製造業者の下で、たとえば返品分析の一部として（再度）検査される。

上記の使用段階の列挙は、有利な例示的な実施形態に関するものであり、単に例示的なものである。本発明の適用の範囲において、装置１００は、有利には、挙げられた使用段階および／またはさらなる使用段階の一部を含むことができる。

さらなる有利な実施形態では、状態変数ＺＶが、第３の使用段階、すなわち現場段階に割り当てられている値を有している場合、すなわち、状態変数ＺＶの評価３１０が、状態変数ＺＶが、第３の使用段階、すなわち現場段階に割り当てられている値を有していることを示す場合、インタフェース１２０を介した外部ユニット２００から第２のメモリ機器１４０へのコンピュータプログラムＰＲＧ１の伝送がイネーブル化されない３３０ことが設定されている。すなわち、以降ではＥｏＬアクセスとも称される、コンピュータプログラムＰＲＧ１を伝送するためのインタフェースを介したアクセスは、第３の使用段階、特に現場段階においては利用可能ではない。

さらなる有利な実施形態では、状態変数ＺＶが、第１の使用段階、特に製造段階に割り当てられている値を有している場合、すなわち、状態変数ＺＶの評価３１０が、状態変数ＺＶが、第１の使用段階、特に製造段階に割り当てられている値を有していることを示す場合、インタフェース１２０を介した外部ユニット２００から第２のメモリ機器１４０へのコンピュータプログラムＰＲＧ１の伝送がイネーブル化される３２０ことが設定されている。

状態変数ＺＶの評価３１０は、特に、状態変数ＺＶが、第３の使用段階、すなわち現場段階に割り当てられている値を有しているか否かの照会３１０ａを含むことができる（図３を参照されたい）。状態変数ＺＶが、第３の使用段階、すなわち現場段階に割り当てられている値を有している場合、インタフェース１２０を介した外部ユニット２００から第２のメモリ機器１４０へのコンピュータプログラムＰＲＧ１の伝送の非イネーブル化３３０が行われる。

有利には、非イネーブル化３３０に続く、装置１００のスタートプロセスもしくはブートプロセスの一部として、かつ／または装置１００のスタートプロセスもしくはブートプロセスに続いて、さらなる特に任意選択的なステップ３３０ａにおいて、特にアプリケーションプログラムを用いて装置１００をプログラミングするためのプログラミングクエリ、特に、再プログラミングクエリが存在しているか否かが照会されることが設定されている。次に、この照会３３０ａの結果に応じて、有利には、さらなる、特に任意選択的なステップ３３０ｂである、プログラミング、特に再プログラミングの実行、またはステップ３３０ｃであるアプリケーションの実行が実行される。

さらに、状態変数ＺＶの評価３１０は、特に、状態変数ＺＶが、第１の使用段階、すなわち製造段階に割り当てられている値を有しているか否かの照会３１０ｃを含むことができる。状態変数ＺＶが、第１の使用段階、すなわち製造段階に割り当てられている値を有している場合、インタフェース１２０を介した外部ユニット２００から第２のメモリ機器１４０へのコンピュータプログラムＰＲＧ１の伝送がイネーブル化３２０される。伝送のイネーブル化３２０に続いて、有利にはコンピュータプログラムＰＲＧ１が装置の第２のメモリ機器１４０に伝送され、実行される３６０。

有利には、コンピュータプログラムＰＲＧ１の伝送のイネーブル化３２０の前に、ステップ３２０ａにおいて、装置１００の検査、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査の実行のクエリが存在しているか否かがさらに照会され、装置１００の検査、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査の実行のクエリが存在している場合にはじめて、インタフェース１２０を介した外部ユニット２００から第２のメモリ機器１４０へのコンピュータプログラムＰＲＧ１の伝送がイネーブル化される３２０ことが設定されている。さらに、有利には、装置１００の検査、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査の実行のクエリが存在しているケースでないときに、さらなる、特に任意選択的なステップ３３０ａにおいて、特に、アプリケーションプログラムでの装置１００のプログラミングのためのプログラミングクエリ、特に再プログラミングクエリが存在しているか否かが照会されることが設定されていてもよい。次に、この照会３３０ａの結果に応じて、有利には、さらなる、特に任意選択的なステップ３３０ｂである、プログラミング、特に再プログラミングの実行、またはステップ３３０ｃであるアプリケーションの実行が実行される。

さらなる有利な実施形態では、装置１００が、少なくとも２つ、３つ、特に４つまたは５つの異なる使用段階を有していることが設定されており、ここでは各使用段階は、特に各セキュリティ要件によって特徴付けられており、特に状態変数ＺＶの少なくとも１つの第１の値は第１の段階に割り当てられており、ここで装置１００の第１の使用段階は低いセキュリティ要件によって特徴付けられており、少なくとも１つのさらなる、特に第２の値は、装置１００のさらなる、特に第２の使用段階に割り当てられており、ここで装置１００の、さらなる、特に第２の使用段階は高いセキュリティ要件によって特徴付けられている。使用段階は、有利には、上記の使用段階、すなわち、製造段階（Ｔｉｅｒ１－製造）とも称される第１の使用段階、保管段階（保管庫）とも称される第２の使用段階、現場段階（ＯＥＭ製造／現場）とも称される第３の使用段階および返品段階（返品分析）とも称される第４の使用段階である。

第１の使用段階はたとえば製造段階である。この段階では、装置は製造業者（Ｔｉｅｒ１）の「安全な」環境にある。したがって、有利には第１の使用段階は、低いセキュリティ要件によって特徴付けられている。装置１００の第１の使用段階（状態変数ＺＶは第１の値に対応する）では、コンピュータプログラムＰＲＧ１の実行および／または伝送は、証明（ステップ３４０を参照されたい）を伴わずに、イネーブル化される。コンピュータプログラムＰＲＧ１は、ブートローダ（ＦＢＬ、フラッシュブートローダ、揮発性または不揮発性のメモリ機器１４０、１３０にソフトウェアをロード／書き込むためのソフトウェアモジュール）によって第２のメモリ機器１４０にロードされ、そこから実行される。ハードウェア／電源オフリセットが実行された後、コンピュータプログラムＰＲＧ１は、揮発性の第２のメモリ機器１４０の特徴的な動作に基づいて、ＲＡＭから自動的に消去される。コンピュータプログラムＰＲＧ１のために、付加的な永続的なメモリ領域を取り置いておく必要はない。さらに、コンピュータプログラムＰＲＧ１は装置１００上に永続的には留まらないので、これによってセキュリティが強化される。したがって、インタフェース１２０は、特に初めての製造実行の範囲において、利用可能であるが、保護されていない。

任意選択的な第２の使用段階は、たとえば保管段階である。特に、装置１００は、第２の使用段階において、製造業者の安全な環境を離れている、またはいずれ離れるであろうことが設定されている。インタフェース１２０を介したアクセスの乱用を阻止するために、有利には、少なくとも、第２の使用段階に対して、インタフェース１２０の保護に対するより高いセキュリティ要件が有効である。したがって、有利には、少なくとも、任意選択的な第２の使用段階は、高い、特に第１の使用段階のセキュリティ要件と比較して高くされたセキュリティ要件によって特徴付けられている。装置１００の任意選択的な第２の使用段階（状態変数ＺＶは任意選択的な第２の値を取っている）において、コンピュータプログラムＰＲＧ１の実行および／または伝送は、証明（たとえば、後述のステップ３４０）の後にのみイネーブル化される。したがって、任意選択的な第２の使用段階では、インタフェース１２０は、原則的に利用可能であるが、証明の後でのみ利用可能である（暗号による保護）。

特に、装置１００の任意選択的な第２の使用段階において、特に、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行の制御のための、外部ユニット２００からインタフェース１２０を介して装置１００の第２のメモリ機器１４０へと行われるコンピュータプログラムＰＲＧ１の伝送のイネーブル化３２０ひいては特に装置１００のハードウェアへのアクセスが、外部ユニット２００および／または外部ユニット２００のユーザの成功した証明に結び付けられていることが設定されていてもよい。さらなるセキュリティ措置として、コンピュータプログラムＰＲＧ１の実行のイネーブル化が、コンピュータプログラムＰＲＧ１の成功した確認に結び付けられていてもよい。これについては、後に図５を参照して説明する。

さらに、状態変数ＺＶのさらなる、特に第３の値が、装置１００のさらなる、特に第３の使用段階に割り当てられていてもよく、ここでは少なくとも、さらなる、特に第３の使用段階が、高い、特に第１の使用段階のセキュリティ要件および／または特に第２の使用段階と比較して高くされたセキュリティ要件によって特徴付けられている。このさらなる、もしくは第３の使用段階は、たとえば現場段階である。この段階において、装置１００は、製造業者の「安全な」環境を離れており、ＯＥＭまたは現場のいずれかにある。特に、装置１００のさらなる、もしく第３の使用段階において、特に、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行を制御するための、コンピュータプログラムＰＲＧ１の、外部ユニット２００からインタフェース１２０を介した、装置１００の第２のメモリ機器１４０への伝送、ひいては特に装置１００のハードウェアへのアクセスがイネーブル化されないことが設定されている。このさらなる使用段階、特に現場段階において、診断インタフェース１５０は引き続き利用可能である。インタフェース１２０の再アクティブ化は、診断インタフェース１５０を介して開始された、成功した証明と関連して行われてもよい。

さらに、状態変数ＺＶのさらに別の、特に第４の値が、装置１００のさらに別の、特に第４の使用段階に割り当てられていてもよく、ここでは少なくとも、さらに別の、特に第４の使用段階は、高い、特に、少なくとも第１の使用段階のセキュリティ要件と比較して高くされたセキュリティ要件によって特徴付けられている。さらに別の、もしくは第４の使用段階は、たとえば、返品段階である。このような使用段階では、装置１００は製造業者の下に戻っており、製造業者の下で、たとえば、返品分析の一部として（再度）検査される。任意選択的な第２の使用段階との関連においてすでに言及されたように、特に、有利には、装置１００のさらに別の、もしくは第４の使用段階において、特に、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行を制御するための、コンピュータプログラムＰＲＧ１の、外部ユニット２００からインタフェース１２０を介した、装置１００の第２のメモリ機器１４０への伝送、ひいては特に装置１００のハードウェアへのアクセスが外部ユニット２００および／または外部ユニット２００のユーザの成功した証明に結び付けられていることが設定されていてもよい。さらに、コンピュータプログラムＰＲＧ１の実行のイネーブル化が、コンピュータプログラムＰＲＧ１の成功した確認に結び付けられていてもよい。これについても、図５を参照して後述する。したがって、説明したように、（現場段階では静止状態にされている）インタフェース１２０の再アクティブ化が、さらに別の、もしくは第４の使用段階、特に分析段階において行われ得る。状態変数ＺＶの対応するさらなる別の値は、不可逆的に、増加される。すなわち、このような変形では、前の段階（現場段階）への切り替えは不可能である。

択一的な例示的な実施形態では、（証明後の）インタフェース１２０の再アクティブ化は、最初に現場段階を離れることなく、第１の分析フラグＦＡのセットに付随して生じ得る。

説明された実施形態によれば、さらなる、もしくは第３の使用段階は、有利には、最も高いセキュリティ要件によって特徴付けられている。第１の使用段階は、有利には、最も低いセキュリティ要件によって特徴付けられている。任意選択的な第２の使用段階およびさらに別の、もしくは第４の使用段階のセキュリティ要件は、第１の使用段階のセキュリティ要件と、さらなる、もしくは第３の使用段階のセキュリティ要件との間にある。特に、使用段階２、３および４において、装置１００は、もはや製造業者の安全な環境に存在していない、または少なくとも一時的に、製造業者の安全な環境の外に存在していたので、不正アクセスを排除することはできない。

有利には、装置１００は、第３の使用段階である現場段階において、インタフェース１２０の最も高い保護レベルを有しており、すなわち、現場段階においては、ＥｏＬアクセスを利用することも再アクティブ化することも不可能である。第１の使用段階では、装置１００は、インタフェース１２０の、比較すると最も低い保護レベルを有しており、すなわちＥｏＬアクセスは、製造段階（Ｔｉｅｒ１－製造）とも称される第１の使用段階においては、さらなる証明プロセスを伴わずに、利用可能である。

有利には、装置１００のスタートプロセスもしくはブートプロセスの一部として、状態変数の評価３１０の際に、まずはステップ３１０ａにおいて、状態変数ＺＶが、さらなる、もしくは第３の使用段階、すなわち現場段階に割り当てられている値を有しているか否かが照会される（図３を参照されたい）。状態変数ＺＶが、さらなる、もしくは第３の使用段階、すなわち現場段階に割り当てられている値を有しているケースでないときには、ステップ３１０ｂにおいて、状態変数ＺＶが、任意選択的な第２の使用段階またはさらに別の、もしくは第４の使用段階に割り当てられている値を有しているか否かが照会される。状態変数ＺＶが、任意選択的な第２の使用段階またはさらに別の、もしくは第４の使用段階に割り当てられている値を有しているケースでないときには、ステップ３１０ｃにおいて、状態変数ＺＶが、第１の使用段階に割り当てられている値を有しているか否かが照会される。有利には、状態変数ＺＶの評価３１０の一部として、照会のためのステップ３１０ａ、３１０ｂ、３１０ｃが、最初に、インタフェース１２０の最も高い保護レベルを有する使用段階に割り当てられている値が照会され、最後に、インタフェース１２０の最も低い保護レベルを有する使用段階に割り当てられている値が照会される順序で行われる。したがって、有利には、特にグリッチ攻撃の範囲の乱用の場合、複数の障壁が克服されなければならない。

有利には、さらに、状態変数ＺＶの評価３１０、３１０ａ、３１０ｂ、３１０ｃが有効な値をもたらさない場合、特に状態変数ＺＶが、装置１００の使用段階に割り当てられている値を有していない場合、さらなる任意選択的なステップ３１０ｄが実行されることが設定されていてもよい。ここではステップ３１０ｄは、特に、エラーを検出する、および／または装置１００をエラーモードにすることを含んでいる。

さらなる有利な実施形態では、方法が、さらなるステップ３８０として、装置１００の使用段階に応じた、かつ／または装置１００のある使用段階から装置１００のさらなる使用段階への移行に応じた、状態変数ＺＶの値の変更を含んでいることが設定されており、ここでは、状態変数ＺＶの値の変更は、値を増加させることによって、特に不可逆的に行われる。すなわち、すでに実行された使用段階を、次の使用段階に移行した後、再度実行することはできない。有利には、状態変数ＺＶの変更３８０は、コンピュータプログラムＰＲＧ１の伝送およびコンピュータプログラムＰＲＧ１の少なくとも一部の伝送および実行３６０のイネーブル化３２０に続いて行われる。

さらなる有利な実施形態では、コンピュータプログラムＰＲＧ１は、有利には、状態変数ＺＶを変更する３８０ように構成されている。

状態変数ＺＶの値の変更３８０を、図６を参照して以降で説明する。図示の実施形態によれば、状態変数ＺＶは、初めは、第１の使用段階に割り当てられている値を有している。状態変数ＺＶの評価３１０の後、コンピュータプログラムＰＲＧ１の伝送がイネーブル化され３２０、コンピュータプログラムＰＲＧ１が第２のメモリ機器１４０に伝送された（図６には示されていない）。ステップ３６０において、コンピュータプログラムＰＲＧ１、特にコンピュータプログラムＰＲＧ１の少なくとも一部が、特に、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行３６０を制御するために実行される。コンピュータプログラムＰＲＧ１の実行は、有利には、ハードウェアの検査の実行３６０ａを含んでいる。図示の実施形態によれば、コンピュータプログラムＰＲＧ１の実行３６０はさらに、任意選択的なステップ３７０を含んでおり、これは、特に暗号によって、特に署名ベースのアプローチまたは鍵に関連する、チェックサムベースの、メッセージ認証コード、ＭＡＣとも称されるアプローチによって、装置１００のインタフェース１２０を保護するステップである。このステップは、特に、さらなる証明措置および／または確認措置（図４および図５を参照されたい）に関連して有利であることが証明され得る。

示された実施形態によれば、コンピュータプログラムＰＲＧ１の実行３６０は、状態変数ＺＶを変更する任意選択的なステップ３８０をさらに含んでいる。有利には、変更３８０は、状態変数の値を、後続の使用段階に割り当てられている値に変更することを含んでいてもよい。有利には、状態変数ＺＶの値は、後続の使用段階に割り当てられている値にのみ変更可能であり、先行する使用段階に割り当てられている値には変更不可能である。説明された実施形態では、状態変数ＺＶの値は、たとえば、第１の使用段階の値から第２の使用段階の値へ、第２の使用段階の値から第３の使用段階の値へ、かつ第３の使用段階の値から第４の使用段階の値へ変更され得る３８０。

有利には、状態変数ＺＶの値の変更３８０は、元に戻すことができないようにされ得る。

図６に示された実施形態では、状態変数ＺＶの値は、最初に、第１の使用段階の値から第２の使用段階である保管段階の値に変更される３８０ａ。続いて、装置１００が顧客に引き渡される場合、すなわち、保留されている後続の使用段階が第３の使用段階、すなわち現場段階である場合には、状態変数の値が、第２の使用段階の値から第３の使用段階の値に変更される３８０ｂ。さらなる有利な実施形態では、たとえば、装置１００が、製造後に、途中で保管されずに顧客に直接引き渡される場合には、状態変数ＺＶの値は、第１の使用段階の値から第３の使用段階、すなわち現場段階の値に変更され得る。

さらなる有利な実施形態では、第１のメモリ機器１３０（図１を参照されたい）が、ワンタイムプログラマブル（一度のプログラミングが可能な、ＯＴＰ）メモリを含んでいる、またはワンタイムプログラマブル（ＯＴＰ）メモリの一部であることが設定されている。有利にはＯＴＰメモリは、第１のメモリ機器１３０、特にフラッシュメモリにおいて、いわゆる「ＯＴＰエリア」として実装されている。このようなＯＴＰエリアは、特に追加のロジックによって変更から保護されている。有利には、追加の変数ＺＶおよび／または第１の分析フラグＦＡ１は、ＯＴＰメモリ内に格納されている。

さらなる有利な実施形態では、第１のメモリ機器１３０が、ハードウェアセキュリティモジュール（ＨＳＭ）、特に暗号化モジュールを含んでいる、またはハードウェアセキュリティモジュール（ＨＳＭ）、特に暗号化モジュールの一部であることが設定されている。ハードウェアセキュリティモジュールは、たとえば、暗号化方法もしくはアルゴリズム、または少なくともその一部を実行するように構成されている。さらなる有利な実施形態では、ハードウェアセキュリティモジュール（ＨＳＭ）が、状態変数ＺＶおよび／または第１の分析フラグＦＡ１を格納するための保護された、特に別個のメモリを有していることが設定されている。特に有利には、装置１００、特に、実施形態による方法を実行するように構成されている装置１００のコンピューティング機器１１０のみが、ハードウェアセキュリティモジュール内に格納されている状態変数ＺＶにアクセスすることができる。さらなる有利な実施形態では、ハードウェアセキュリティモジュールもしくは暗号化モジュールが、実施形態による方法、特にステップ３８０である、状態変数ＺＶの変更を少なくとも部分的または完全に実行することが設定されている。さらなる有利な実施形態では、ハードウェアセキュリティモジュールもしくは暗号化モジュールが、状態変数ＺＶを管理（特に、格納／または変更）および／または評価することが設定されている。さらなる有利な実施形態では、ハードウェアセキュリティモジュールもしくは暗号化モジュールは、状態変数の評価の結果をさらなるユニット、たとえば、コンピューティング機器１１０に出力するように構成されていることが設定されている。

さらなる実施形態では、ＥｏＬアクセス、すなわち、インタフェースを介したＥｏＬソフトウェアの伝送が完全に削除されることが設定されていてもよい。これは、例示的に、任意選択的なステップ３９０（図６を参照されたい）によって示されている。この場合、顧客に引き渡す前、すなわち、第３の使用段階である現場段階に移行する前に、ＥｏＬアクセスが削除される３９０。このような場合には、本発明の方法３００は、第１の使用段階または第１および第２の使用段階に対して実行され、コンピュータプログラムＰＲＧ１の実行の最後で、特にブートローダからの、対応するＥｏＬアクセスパスの消去が行われる。このような場合には、方法３００はもはや、コンピューティング機器１１０もしくは装置１００のスタートプロセスもしくはブートプロセスの一部において実行されない。これに相応して、ＥｏＬアクセスの再アクティブ化、ひいては再度のＥｏＬ検査の一部としての返品分析は排除されている。

さらなる有利な実施形態では、有利には、装置１００のインタフェース１２０が、任意選択的なステップ３７０において、特に暗号によって、特に署名ベースのアプローチまたは鍵に関連する、チェックサムベースの、メッセージ認証コード、ＭＡＣとも称されるアプローチによって保護されることが設定されている（図６を参照されたい）。これによって、特にコンピュータプログラムの伝送のための、インタフェース１２０を介した後のアクセスに対して、さらなる証明措置および／または確認措置が必要となる。保護３７０は、図４および図５を参照して以降で説明する、方法３００の実施形態との関連において、有利であることが証明され得る。

さらなる有利な実施形態では、方法３００が、外部ユニット２００および／または外部ユニット２００のユーザの証明３４０をさらに含んでいることが設定されている（図４を参照されたい）。ここでは、成功した証明３４０の後に、インタフェース１２０を介した、外部ユニット２００から第２のメモリ機器１４０への少なくとも１つのコンピュータプログラムＰＲＧ１の伝送のイネーブル化３２０が行われ、成功しなかった証明３４０の後に、インタフェース１２０を介した、外部ユニット２００から第２のメモリ機器１４０への少なくとも１つのコンピュータプログラムＰＲＧ１の伝送の非イネーブル化３３０が行われる。

さらなる有利な実施形態では、外部ユニット２００および／または外部ユニット２００のユーザの証明３４０は、署名ベースのアプローチまたは鍵に関連する、チェックサムベースのアプローチを使用して行われることが設定されている。

証明３４０が状態変数ＺＶの値とは無関係に実行されることが設定されていてもよい。

さらなる有利な実施形態では、有利には、証明３４０が状態変数ＺＶの値に応じて実行されることが設定されている。

さらなる有利な実施形態では、状態変数ＺＶがさらなる、特に第２または第４の値を有している場合に証明３４０が実行され、特に状態変数ＺＶが第１の値を有している場合に証明３４０が実行されないことが設定されている。

特に、状態変数ＺＶが、低いセキュリティ要件を有している、装置１００の使用段階、特に第１の使用段階に割り当てられている値を有している場合、証明３４０は実行されない。装置１００が、特に製造業者の下で、第１の使用段階にある場合、インタフェース１２０は、性能の理由もしくはサイクル時間の理由から、暗号によって保護されていない。すなわち、インタフェース１２０を介した、外部ユニット２００から装置１００の第２のメモリ機器１４０へのコンピュータプログラムＰＲＧ１の伝送のイネーブル化３２０は、さらなる証明プロセス３４０を伴わずに行われる（図４を参照されたい）。有利には、コンピュータプログラムＰＲＧ１の実行３６０の一部として、特に、ハードウェアの検査の実行３６０ａに続いて、ステップ３７０において、インタフェース１２０が、特に暗号によって保護される３７０（図６を参照されたい）。

有利には、証明３４０は、状態変数ＺＶが、装置１００の第２または第４の使用段階に割り当てられている値を有している場合に実行される。特に、証明３４０は、次のような使用段階に対して実行される。すなわち、その間に、装置１００が少なくとも一時的に製造業者の安全な環境の外にあるか、または外にあった使用段階、および／またはその前に、装置１００が少なくとも一時的に製造業者の安全な環境の外にあるか、または外にあった使用段階に対して実行される。

たとえば、第２の使用段階では、特に完成した、特に完全にプログラムされた装置１００を、特に製造業者の外部の、特に「自由にアクセスできる」保管庫に保管した後に、顧客に引き渡す前に、装置１００の再度の検査、特に、装置１００のＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）検査、特にハードウェアの検査、特にハードウェアの最終検査および／または装置１００のデータ入力が実行されるべきである。ここではインタフェース１２０は暗号によって保護されているので、証明プロセス３４０が必要である。

さらなる有利な実施形態では、方法が、伝送されたコンピュータプログラムＰＲＧ１の確認３５０をさらに含んでいることが設定されており、ここでは、伝送されたコンピュータプログラムＰＲＧ１の成功した確認３５０の後には、伝送されたコンピュータプログラムＰＲＧ１の少なくとも一部が装置１００によって実行され３６０ａ、コンピュータプログラムＰＲＧ１の成功しなかった確認３５０の後には、伝送されたコンピュータプログラムが実行されない３６０ｂ。

さらなる有利な実施形態では、伝送されたコンピュータプログラムＰＲＧ１の確認３５０は、署名ベースのアプローチまたは鍵に関連する、チェックサムベースのアプローチを使用して行われることが設定されている。

さらなる有利な実施形態では、外部ユニット２００および／または外部ユニット２００のユーザの証明３４０および／または伝送されたコンピュータプログラムＰＲＧ１の確認３５０は、少なくとも１つの暗号鍵、特に秘密鍵を使用して行われることが設定されている。

さらなる有利な実施形態では、外部ユニット２００および／または外部ユニット２００のユーザの証明３４０および／または伝送されたコンピュータプログラムＰＲＧ１の確認３５０は、特に乱数および／または疑似乱数を含んでいるチャレンジの生成、外部ユニットへのチャレンジの伝送および外部ユニットによる署名されたチャレンジの受け取りをさらに含んでいることが設定されている。

次に、図４および図５を参照して、外部ユニット２００および／または外部ユニット２００のユーザの証明３４０および／または伝送されたコンピュータプログラムＰＲＧ１の確認３５０を署名ベースのアプローチの場合について説明する。

装置１００に対する、外部ユニット２００および／または外部ユニット２００のユーザの証明は、特に、外部ユニット２００および／または外部ユニット２００のユーザによるセキュリティクエリの作成を含んでいる。セキュリティクエリの作成は、たとえば、（特に、インタフェース１２０が非アクティブ化されており、これに対して診断インタフェース１５０がアクティブ化されたままである、さらなる使用段階である現場段階において）診断インタフェース１５０を介して行われてもよい。次に、ステップ４００において、特に乱数および／または疑似乱数を含んでいるチャレンジが生成され、特に、作成されたセキュリティクエリへの応答として、外部ユニット２００に伝送される４１０。

さらなる実施形態では、チャレンジの生成４００が、ＨＳＭによって、または適切なソフトウェアを用いた生成によって行われることが設定されている。外部ユニット２００および／または外部ユニット２００のユーザは、特にプロジェクト固有の秘密鍵を用いて、このチャレンジに署名し、署名されたチャレンジを装置１００に伝送する。

ステップ４２０において、装置１００は、署名されたチャレンジを受け取る。ステップ４３０において、装置１００は、外部ユニット２００および／または外部ユニット２００のユーザの秘密鍵に合う、さらなる、特に公開されている鍵を使用して、受け取った、署名されたチャレンジを検証する。

検証４２０が成功した場合、すなわち、装置１００のさらなる鍵と外部ユニット２００および／または外部ユニット２００のユーザの秘密鍵とが相互に合う場合、コンピュータプログラムＰＲＧ１の伝送がイネーブル化される３２０。検証４２０が成功しなかった場合、伝送の非イネーブル化３３０が行われる。

示された実施形態では、方法が、伝送されたコンピュータプログラムＰＲＧ１の確認３５０をさらに含んでいることがさらに設定されており、ここではコンピュータプログラムＰＲＧ１の実行３６０ａは、成功した確認３５０の後にはじめて行われる。

さらなる有利な実施形態では、伝送されたコンピュータプログラムＰＲＧ１の確認３５０が、署名されたコンピュータプログラムＰＲＧ１の受け取り３５０ａをさらに含んでいることが設定されている。

このために、外部ユニット２００および／または外部ユニットのユーザはここでも、コンピュータプログラムＰＲＧ１に、特にプロジェクト固有の秘密鍵で署名し、署名されたコンピュータプログラムＰＲＧ１を装置１００に伝送する。装置１００は、署名されたコンピュータプログラムＰＲＧ１を受け取る３５０ａ。

ステップ４４０において、装置１００は、外部ユニット２００および／または外部ユニット２００のユーザの秘密鍵と合う、さらなる、特に公開されている鍵を使用して、受け取った、署名されたコンピュータプログラムＰＲＧ１を検証する。

検証４４０が成功した場合、すなわち、装置１００のさらなる鍵と外部ユニット２００および／または外部ユニット２００のユーザの秘密鍵とが相互に合う場合、コンピュータプログラムＰＲＧ１が実行される３６０ａ。検証４４０が成功しなかった場合、コンピュータプログラムは実行されない３６０ｂ。

コンピュータプログラムＰＲＧ１の実行３６０ａの一部として、特にハードウェアの検査が首尾よく実行された後、状態変数の値は、第２の使用段階の値から第３の使用段階の値へ変更される３８０（図６を参照されたい）。

さらなる有利な実施形態では、状態変数ＺＶがさらに別の、もしくは第４の値を有している場合に外部ユニットの証明３４０およびコンピュータプログラムの確認３５０が実行され、状態変数ＺＶがさらなる、もしくは第３の値を有している場合に外部ユニットの証明３４０およびコンピュータプログラムの確認３５０が実行されないことが設定されている。

示された実施形態では、さらなる、もしくは第３の使用段階では、インタフェース１２０を介したＥｏＬアクセスを利用することも再アクティブ化することも不可能である。したがって、状態変数ＺＶがさらなる、もしくは第３の値を有している場合、証明３４０は実行されない。

さらに、任意選択的な第２の使用段階に関連して、図５に示された方法のステップが、さらに別の、もしくは第４の使用段階に対して、同様に実行されてもよい。

さらなる有利な実施形態は、特にコンピュータプログラムＰＲＧ２の形態の命令を含んでいるコンピュータ可読記憶媒体ＳＭに関しており、この命令は、コンピュータによって実行されると、コンピュータに、実施形態に相応する方法３００を実施させる。

さらなる有利な実施形態では、記憶媒体が、装置１００の第１のメモリ機器１３０を含んでいる、または装置１００の第１のメモリ機器１３０の一部であることが設定されている（図１を参照されたい）。

さらなる有利な実施形態はコンピュータプログラムＰＲＧ２に関しており、これはコンピュータ可読命令を含んでおり、このコンピュータ可読命令がコンピュータによって、特に装置１００のコンピューティング機器１１０によって実行されると、実施形態に相応する方法３００または方法３００のステップが実行される。

さらなる有利な実施形態は、装置１００によって実行可能なコンピュータプログラムＰＲＧ１の伝送のため、特に、装置１００の状態変数ＺＶに応じた、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行の制御のための、装置１００のインタフェース１２０のイネーブル化または非イネーブル化のための、実施形態に相応する方法３００および／または実施形態に相応する装置１００および／または実施形態に相応するコンピュータプログラムＰＲＧ２の使用に関しており、ここでは、状態変数ＺＶの値は装置１００の使用段階に割り当てられている。

さらなる有利な実施形態は、装置１００によって実行可能な、装置１００のインタフェース１２０を介して伝送されるコンピュータプログラムＰＲＧ１のイネーブル化または非イネーブル化のための、実施形態に相応する方法３００および／または実施形態に相応する装置１００および／または実施形態に相応するコンピュータプログラムＰＲＧ２の使用に関している。

さらなる択一的な構成では、特に、さらなる使用段階もしくは現場段階において非アクティブ化されているインタフェース１２０の再アクティブ化のために、特定のユーザの証明が必要とされ得る。このユーザは、たとえば、スマートカードなどの相応する証明を介して、たとえば鍵管理システム（Ｋｅｙ Ｍａｎａｇｅｍｅｎｔ Ｓｅｒｖｅｒ ＫＭＳ）もしくは公開鍵基盤（Ｐｕｂｌｉｃ Ｋｅｙ Ｉｎｆｒａｓｔｒｕｃｔｕｒｅ ＰＫＩ）に対して、自身の証明を行うことができる。これは、有利には、さらなる外部機器を介して行われる。証明が成功した後、たとえば、インタフェース１２０の再アクティブ化のための対応するクエリが、診断インタフェース１５０を介して作成されてもよい。しかし、前もって、ユーザが自分自身を認可されたものとして示すことができなかった場合、診断インタフェース１５０を介したインタフェース１２０の再アクティブ化のためのそのようなクエリは許可されない。インタフェース１２０の再アクティブ化のためのさらなる証明は、すでに上で説明したように行われる。

説明した方法は、特に、異なる使用段階における、自動車の（装置１００である）制御機器の確実かつ柔軟な管理のために使用される。しかし使用は、これに制限されていない。

Claims (16)

1. 装置（１００）の動作方法、すなわち自動車の制御機器の動作方法であって、
   前記装置（１００）は、外部ユニット（２００）とのデータ交換のための少なくとも１つのインタフェース（１２０）を有しており、かつ状態変数（ＺＶ）を不揮発性に格納するための少なくとも１つの第１のメモリ機器（１３０）を含んでおり、
   前記方法（３００）は、
   前記状態変数（ＺＶ）の評価（３１０）、および前記評価（３１０）に応じた、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行（３６０）の制御のための、少なくとも１つのコンピュータプログラム（ＰＲＧ１）の実行および／または伝送のイネーブル化（３２０）または非イネーブル化（３３０）を含んでおり、前記伝送は前記インタフェース（１２０）を介して、前記外部ユニット（２００）から行われ、
   前記状態変数（ＺＶ）の値は、前記装置（１００）の使用段階に割り当てられており、
   前記方法（３００）は、前記装置（１００）の使用段階に応じた、かつ／または前記装置（１００）のある使用段階から前記装置（１００）のさらなる使用段階への移行に応じた、前記状態変数（ＺＶ）の値の変更（３８０）というさらなるステップを含んでおり、
   前記状態変数（ＺＶ）の値の前記変更を、特に値を増加させることによって、かつ／または特に不可逆的に行う、
   方法。
2. 前記装置（１００）は少なくとも２つまたは３つ、特に４つまたは５つの異なる使用段階を有しており、
   各使用段階は特に各セキュリティ要件によって特徴付けられており、
   特に前記状態変数（ＺＶ）の少なくとも１つの第１の値は第１の使用段階、特に製造段階に割り当てられており、前記装置（１００）の前記第１の使用段階は低いセキュリティ要件によって特徴付けられており、またはセキュリティ要件によって特徴付けられておらず、
   少なくとも１つのさらなる、特に第３の値は、前記装置（１００）のさらなる、特に第３の使用段階、特に現場段階に割り当てられており、前記装置（１００）の前記さらなる、特に第３の使用段階は高いセキュリティ要件によって特徴付けられている、請求項１記載の方法。
3. 前記状態変数（ＺＶ）の第１の値は前記装置（１００）の第１の使用段階に割り当てられており、
   前記装置（１００）の前記第１の使用段階では、証明（３４０）を伴わずに、前記コンピュータプログラム（ＰＲＧ１）の実行および／または伝送をイネーブル化する、請求項１から２までの少なくとも１項記載の方法。
4. 前記状態変数（ＺＶ）のさらなる値は前記装置（１００）のさらなる使用段階、特に現場段階に割り当てられており、
   前記装置（１００）の前記さらなる使用段階では、前記コンピュータプログラム（ＰＲＧ１）の実行および／または伝送をイネーブル化せず、かつ／または前記インタフェース（１２０）は利用不可能であり、かつ／または再アクティブ化不可能であり、かつ／または前記インタフェース（１２０）への相応するアクセスパスを特にブートローダから消去する、請求項１から３までの少なくとも１項記載の方法。
5. 前記装置（１００）は少なくとも１つの、特に前記インタフェース（１２０）とは異なる診断インタフェース（１５０）を有しており、前記診断インタフェース（１５０）を介して、前記インタフェース（１２０）の再アクティブ化が開始され得る、請求項１から４までのいずれか１項記載の方法。
6. 前記状態変数（ＺＶ）の前記第１の値と前記状態変数（ＺＶ）の前記さらなる値との間で、前記状態変数（ＺＶ）の任意選択的な第２の値が前記装置（１００）の任意選択的な第２の使用段階、特に保管段階に割り当てられており、
   前記装置（１００）の前記任意選択的な第２の使用段階では、証明（３４０）の後にのみ、前記コンピュータプログラム（ＰＲＧ１）の実行および／または伝送をイネーブル化する、請求項１から５までの少なくとも１項記載の方法。
7. 前記状態変数（ＺＶ）の前記任意選択的な第２の値への切り替えを伴わない、前記状態変数（ＺＶ）の前記第１の値の、前記状態変数（ＺＶ）の前記さらなる値への直接的な切り替えによって、前記任意選択的な第２の値への前記状態変数（ＺＶ）の変更が可能ではなくなる、請求項１から６までの少なくとも１項記載の方法。
8. 前記状態変数（ＺＶ）のさらなる別の値が前記装置（１００）のさらなる別の使用段階、特に返品段階および／または分析段階に割り当てられており、
   前記装置（１００）の前記さらなる別の使用段階では、前記コンピュータプログラム（ＰＲＧ１）の実行および／または伝送を、特に、バックエンド、トラストセンタなどのさらなる外部機器を介して、証明（３４０）の後にのみ、イネーブル化する、請求項１から７までの少なくとも１項記載の方法。
9. 前記方法は、特に暗号による、前記装置（１００）の前記インタフェース（１２０）の保護（３７０）をさらに有している、請求項１から８までの少なくとも１項記載の方法。
10. 前記方法（３００）は、前記外部ユニット（２００）および／または前記外部ユニット（２００）のユーザの証明（３４０）をさらに有しており、
    成功した証明（３４０）の後に、前記インタフェース（１２０）を介した、前記外部ユニット（２００）から第２のメモリ機器（１４０）への前記少なくとも１つのコンピュータプログラム（ＰＲＧ１）の前記伝送の前記イネーブル化（３２０）を行い、成功しなかった証明（３４０）の後に、前記インタフェース（１２０）を介した、前記外部ユニット（２００）から前記第２のメモリ機器（１４０）への前記少なくとも１つのコンピュータプログラム（ＰＲＧ１）の前記伝送の前記非イネーブル化（３３０）を行う、請求項１から９までの少なくとも１項記載の方法（３００）。
11. 前記証明（３４０）を前記状態変数（ＺＶ）の値に応じて実行し、
    特に、前記状態変数（ＺＶ）が前記さらなる値、特に第３の値、または前記さらなる別の値、特に第４の値を有している場合に前記証明（３４０）を実行し、特に、前記状態変数（ＺＶ）が前記第１の値を有している場合に前記証明（３４０）を実行しない、請求項１から１０までの少なくとも１項記載の方法（３００）。
12. 前記方法は、伝送された前記コンピュータプログラム（ＰＲＧ１）の確認（３５０）をさらに含んでおり、
    前記伝送されたコンピュータプログラム（ＰＲＧ１）の成功した確認（３５０）の後には、前記伝送されたコンピュータプログラム（ＰＲＧ１）を前記装置（１００）によって実行し（３６０ａ）、前記コンピュータプログラム（ＰＲＧ１）の成功しなかった確認（３５０）の後には、前記伝送されたコンピュータプログラム（ＰＲＧ１）を実行しない（３６０ｂ）、請求項１から１１までの少なくとも１項記載の方法（３００）。
13. 装置（１００）であって、前記装置（１００）は外部ユニット（２００）とのデータ交換のためのインタフェース（１２０）と、状態変数（ＺＶ）を不揮発性に格納するための少なくとも１つの第１のメモリ機器（１３０）と、特に前記装置（１００）によって実行可能な、検査ソフトウェア、特にＥｎｄ ｏｆ Ｌｉｎｅ（ＥｏＬ）ソフトウェアの実行（３６０）の制御のための少なくとも１つのコンピュータプログラム（ＰＲＧ１）を格納するための少なくとも１つの第２のメモリ機器（１４０）とを備えており、
    前記装置（１００）は、請求項１から１２までの少なくとも１項記載の前記方法（３００）を実施するように構成されている、
    装置（１００）。
14. 前記第１のメモリ機器（１３０）はワンタイムプログラマブル（ＯＴＰ）メモリを含んでいる、または前記第１のメモリ機器（１３０）はワンタイムプログラマブル（ＯＴＰ）メモリの一部であり、かつ／または前記第１のメモリ機器（１３０）はハードウェアセキュリティモジュール（ＨＳＭ）、特に暗号化モジュールを含んでいる、または前記第１のメモリ機器（１３０）はハードウェアセキュリティモジュール（ＨＳＭ）、特に暗号化モジュールの一部である、請求項１３記載の装置（１００）。
15. 特にコンピュータプログラム（ＰＲＧ２）の形態の命令を含んでいるコンピュータ可読記憶媒体（ＳＭ）であって、
    前記命令は、請求項１３から１４までの少なくとも１項記載のコンピュータによって実行されると、前記コンピュータに、請求項１から１２までの少なくとも１項記載の方法（３００）を実施させる、
    コンピュータ可読記憶媒体（ＳＭ）。
16. コンピュータプログラム（ＰＲＧ２）であって、
    前記コンピュータプログラム（ＰＲＧ２）はコンピュータ可読命令を含んでおり、前記コンピュータ可読命令がコンピュータによって、特にコンピュータのコンピューティング機器によって、特に、請求項１３から１４までの少なくとも１項記載の装置（１００）のコンピューティング機器（１１０）によって実行されると、請求項１から１２までの少なくとも１項記載の方法が実施される、
    コンピュータプログラム（ＰＲＧ２）。

Images