JP7392157B2 - コンピューティングデバイスの動作方法及び動作装置 - Google Patents

Description

本開示は、少なくとも１つの中央処理装置（コンピューティングコア）を有するコンピューティングデバイスの動作方法に関する。

本開示はさらに、そのような方法を実施するための装置に関する。

発明の開示
高度にネットワーク化された近年の車両の関連においては、特に、多様な外部インタフェースが原因で、制御装置及び／又は組込システムなどのコンピューティングデバイス上の侵入表面が著しく増加している。特に、いわゆる遠隔侵入のリスク、即ち、例えばインタネットを介した、車両又はコンピューティングデバイスへの物理的なアクセスを伴わない侵害のリスクが存在している。好ましい実施形態による原理は、有利には、コンピューティングデバイスへのこのような遠隔侵入及び／又は他の侵入の効率的な阻止のために使用され得る。

本発明によれば、侵入の可能性は、特に、異なるゾーン、即ち、各プログラムが割り当てられる少なくとも１つの信頼できるゾーン及び少なくとも１つの信頼できないゾーンを設定することによって低減される。これらの異なるゾーン間のデータ交換は、異なる権限（読取権、書込権ではあるが、実行権ではない）を有する異なるバッファメモリ領域を設定することによって改善される。信頼できないゾーンから信頼できるゾーンへのデータの移行は、まだ信頼されないゾーンにあるデータの確認が行われてはじめて行われる。これによって、改ざんされる可能性がさらに制限される。特に、データ交換のために、特定のバッファメモリ領域へのアクセス権を制御するメモリ保護デバイスを使用することによって、特に、例えば、返送アドレスが誤っている場合のプログラミングの誤りによる悪用ケース、バッファオーバーフロー／バッファアンダーフローなどの場合の不正な上書きを最小限に抑制することができる。ゾーンの分離は、インタフェース、メモリ又はランタイムにも適用され、これによって、悪用される可能性がさらに低減される。さらに、この概念によって、変造されたゾーンの影響がさらに低減される。この概念は、マルチコアソリューションが１つしかない場合に既に実現される。この概念は、容易に拡張可能であり、即ち、セキュリティアーキテクチャに応じて、さらに他のゾーンを容易にこれに追加することができる。

合理的な発展形態においては、異なるゾーン間のデータ交換は、以下のステップ、即ち、第１のゾーンに割り当てられている第１のバッファメモリ領域にデータをコピーするステップと、コピーされたデータを検査又は確認し、この検査又は確認に応じて、第１のゾーンに割り当てられている第１のバッファメモリ領域から、第２のゾーンに割り当てられている第２のバッファメモリ領域にデータをコピーするステップと、を含む。

特に、到来したデータを確認することによって、セキュリティをさらに強化することができる。改ざんに対する高い安全性のもとで、バッファメモリを備えた、この選択された概念に基づいて、データ交換速度を上げることができる。さらに、これに加えて、信頼できるゾーンを監視するための監視メカニズムを用いることによって、この概念は、信頼できないゾーンの監視も可能にする。特に好ましくは、データは、第１のバッファメモリ領域から交換用バッファメモリ領域に書き込まれる。特に合理的には、交換用バッファメモリ領域内に存在するデータは、読取のためのアクセスに関連して、特に他のプログラムによって検査され、データの検査が成功すると、このデータは、交換用バッファメモリ領域から第２のバッファメモリ領域にコピーされる。これによって、ゾーンを明確に分離することができるため、変造されたデータが、信頼できるゾーンに到達することはない。各バッファメモリ領域又は交換用バッファメモリ領域内のデータへの実行のためのアクセスを阻止することによって、セキュリティがさらに強化される。従って、データは検証後にのみ使用することができる。これによって、セキュリティがさらに強化される。

特に合理的には、特に車両、特に自動車用の、特に組込システム及び／又は制御装置用の、少なくとも１つの中央処理装置を有するコンピューティングデバイスの動作方法が想定されており、この方法は、以下のステップ、即ち、
コンピューティングデバイスによって実行可能な１つ又は複数のプログラム、特にアプリケーションプログラム又はサブプログラムを少なくとも２つのゾーンのうちの１つのゾーンに割り当てるステップであって、これらのゾーンは、関連するアプリケーションプログラムを実行するために利用可能な、コンピューティングデバイスのリソースを特徴付ける、ステップと、
任意選択的に、自身に割り当てられているゾーンに応じて、複数のプログラム、特にアプリケーション又はサブプログラムのうちの少なくとも１つを実行するステップと、
を含み、この方法はさらに、
異なるプログラム、特にアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるためにスーパーバイザを使用するステップを含み、スーパーバイザ及び／又はスーパーバイザに対応する機能性は、少なくとも部分的に、少なくとも２つのゾーンから独立しているスーパーバイザインスタンスによって実現される。

本発明の他の特徴、適用の可能性及び利点は、図面に示されている、本発明の実施例の以下の説明から明らかになる。ここで、説明された又は図示されたすべての特徴は、特許請求の範囲におけるそれらの括り又はそれらの引用関係に関係なく、また、明細書又は図面におけるそれらの表現又は描写に関係なく、単独で又は任意の組合せにより、本発明の主題を形成する。

好ましい実施形態によるコンピューティングデバイスの簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態による方法の簡略化されたフローチャートを概略的に示す図である。 他の好ましい実施形態によるコンピューティングデバイスの簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による割り込みルーチンの態様を概略的に示す図である。 他の好ましい実施形態による割り込みルーチンの態様を概略的に示す図である。 他の好ましい実施形態によるフローチャートを概略的に示す図である。 他の好ましい実施形態による割り込みルーチンの態様を示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による割り込みルーチンの態様を概略的に示す図である。 他の好ましい実施形態による割り込みルーチンの態様を概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態によるフローチャートを概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態によるフローチャートを概略的に示す図である。 他の好ましい実施形態によるフローチャートを概略的に示す図である。 他の好ましい実施形態による装置の簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による構成データの簡略化されたブロック図を概略的に示す図である。 他の好ましい実施形態による簡略化されたブロック図を概略的に示す図である。 自動車内の装置の接続の簡略化されたブロック図を示す図である。

図１は、好ましい実施形態によるコンピューティングデバイス１００の簡略化されたブロック図を概略的に示している。コンピューティングデバイス１００は、少なくとも１つの中央処理装置、ここでは例示的に４つの中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎを有しており、特に、例えば組込システム及び／又は制御装置のために、特に車両、特に自動車のために使用されるものとしてよい。

好ましい実施形態は、以下のステップ、即ち、
１つ又は複数の、コンピューティングデバイス１００（図１）によって実行可能なプログラム、特にアプリケーションプログラムＡＰ１，ＡＰ２及び／又はサブプログラム及び／又はプロキシ及び／又はインスタンスを少なくとも２つのゾーンＺ１，Ｚ２のうちの１つのゾーンに割り当てるステップ２００であって、これらのゾーンＺ１，Ｚ２は、関連するプログラム、特にアプリケーションプログラムＡＰ１，ＡＰ２及び／又はサブプログラム及び／又はプロキシ及び／又はアプリケーションプログラムＡＰ１，ＡＰ２のインスタンスを実行するために利用可能な、コンピューティングデバイス１００のリソースを特徴付ける、ステップ２００と、
任意選択的に、自身に割り当てられているゾーンＺ１，Ｚ２に応じて、複数のプログラム、特にアプリケーションプログラムＡＰ１，ＡＰ２及び／又はサブプログラム及び／又はプロキシ及び／又はインスタンスのうちの少なくとも１つを実行するステップ２１０と、を含む、コンピューティングデバイス１００の動作方法に関する（図２Ａのフローチャートを参照されたい）。
この方法は、任意選択的にさらに、
異なるプログラム、特にアプリケーションプログラムＡＰ１，ＡＰ２及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるためにスーパーバイザＳＶを使用するステップ２１２を含み、
スーパーバイザＳＶ及び／又は特にスーパーバイザＳＶに対応する機能性は、少なくとも部分的に、少なくとも２つのゾーンＺ１，Ｚ２から独立しているスーパーバイザインスタンスＳＶＩ（図１）を用いて実現される。これは、有利には、プログラム、特にアプリケーションプログラムＡＰ１、ＡＰ２、サブプログラム、プロキシ、インスタンスなどの実行時の動作の柔軟性を損なうことなく、コンピューティングデバイス１００の動作のセキュリティを強化することを可能にする。

他の好ましい実施形態においては、これによって、例えば、信頼境界（英語で、Ｔｒｕｓｔ Ｂｏｕｎｄａｒｉｅｓ）を、例えば、信頼できるインスタンス／ユニット／ドメインと信頼できないインスタンス／ユニット／ドメインとの間において定義することができる。このようにして、例えば、コンピューティングデバイスの第１のプログラム、特にアプリケーションプログラム及び／又はサブプログラム及び／又はプロキシ及び／又はインスタンスを、信頼できない第１のゾーン（英語で、ｎｏｎ－ｔｒｕｓｔｗｏｒｔｈｙ ｚｏｎｅ ＮＴＺ）に割り当てることができ、コンピューティングデバイスの第２のプログラム、特にアプリケーションプログラム及び／又はサブプログラム及び／又はプロキシ及び／又はインスタンスを、信頼できる第２のゾーン（英語で、ｔｒｕｓｔｗｏｒｔｈｙ ｚｏｎｅ ＴＺ）に割り当てることができる。

他の好ましい実施形態においては、コンピューティングデバイス１００（図１）が複数の（例えば、例示的に図１に示されているように４つの）中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎを有することが想定されており、この方法はさらに（図２Ｂを参照されたい）、ａ）少なくとも１つの中央処理装置を厳密に１つのゾーンに割り当てるステップ２２０、及び／又は、ｂ）少なくとも１つの中央処理装置を１つ以上のゾーン、特に２つのゾーンに割り当てるステップ２２２、ｃ）少なくとも１つの中央処理装置をスーパーバイザインスタンスＳＶＩとして使用するステップ２２４、特に、少なくとも１つの中央処理装置を専用のスーパーバイザインスタンスＳＶＩとして使用するステップ、ｄ）少なくとも１つのハードウェアセキュリティモジュールＨＳＭ及び／又はトラステッドプラットフォームモジュールＴＰＭをスーパーバイザインスタンスＳＶＩとして使用するステップ２２５を含む。

他の好ましい実施形態においては、例えば、第１の中央処理装置１０２ａは、例えば信頼できないゾーンであり得る第１のゾーンＺ１に割り当てられ、第２の中央処理装置１０２ｂは、例えば信頼できるゾーンであり得る第２のゾーンＺ２に割り当てられる。

他の好ましい実施形態においては、例えば、第３の中央処理装置１０２ｃは、第１のゾーンＺ１及び第２のゾーンＺ２の両方に割り当てられる（図１を参照されたい）。同様のことが、他の好ましい実施形態においては、コンピューティングデバイス１００の第４の中央処理装置１０２ｎにも当てはまる。

他の好ましい実施形態においては、図１に示されたコンピューティングデバイス１００は、図１に詳細に示されていない他のコンポーネントも有し得るものであり、これは、例えば、１つ又は複数のメモリデバイス及び／又は周辺コンポーネントであり、これらは図１において、見易くするために、破線により示された長方形１０３によって、まとめて暗黙的に示されている。参照符号１０４は、１つ又は複数のデータインタフェースを表している。

信頼できないゾーンＺ１は、接続ゾーン４００（図２５を参照されたい）にある自動車のコンポーネント／制御装置を含む。ここでは、データは、例えば、無線インタフェース４１０を介して（例えば、移動無線，ＷＬＡＮ，Ｂｌｕｅｔｏｏｔｈなどを用いて）、又は、付随するインタフェースポート４２６を備えた診断インタフェース（ＯＢＤ）などの有線インタフェース４１２（物理的な接続で容易にアクセス可能）を介して、交換されるものとしてよい。接続ゾーン４００において、可能なコンポーネントとして、例えば、いわゆるコネクティビティコントロールユニット又は車両外部ネットワーキング用のデバイス４２０，インフォテインメント４２２，マルチメディアユニット４２４などが想定されている。この接続ゾーン４００には、一方では車外のデバイスとのデータ交換を特徴とし、他方では自動車の走行のために絶対に必要なセキュリティ関連機能を含まない自動車の機能が配置されている。特に、これらは安全分類が低いコンポーネントであり、例えば、自動車におけるセキュリティ関連システムのＩＳＯ規格であるＩＳＯ２６２６２に準拠したＡＳＩＬ分類ＱＭ又はＡＳＩＬ－Ａである。

自動車の走行のために絶対に必要な、このようなセキュリティ関連機能は、セキュリティゾーン４４０に配置されている。この機能的なセキュリティゾーン４４０は、特に乗員及び環境を保護するのに役立つ。セキュリティゾーン４４０には、機能的なセキュリティに関して高い要求を有するすべてのコンポーネント／制御装置（エンジン制御部、ステアリング、ブレーキなど）が含まれる。信頼できるゾーンＺ２から到来するすべてのデータは、好ましくは、さらなるインプット確認なく、信頼できるものとして直接評価される。例として、セキュリティゾーン４４０のコンポーネントは、エンジン制御部４４２、ブレーキシステム４４４、ステアリング４４６などであり得る。セキュリティゾーン４４０のコンポーネントに対する安全要求が増加している。これは、ＩＳＯ規格ＩＳ０２６２６２において分類されているような安全要求であり、ＩＳ０２６２６２に準拠した安全分類においてＡＳＩＬ－ＢからＡＳＩＬ－Ｄまでである。

制御ゾーン４３０は、特にセキュリティゾーン４４０と接続ゾーン４００との間のデータ交換のための連結部分として設定されている。制御ゾーン４３０は、説明された機能が実現されているゲートウェイ４３２によって実現される。制御ゾーン４３０は、接続ゾーン４００とセキュリティゾーン４４０との間の通信の所期の監視によって特徴付けられる。ここには特に、メモリ保護デバイスＳＳＥ又はスーパーバイザＳＶによる、付随するデータ交換及び監視メカニズムを備えた、信頼できるゾーンＺ２と信頼できないゾーンＺ１との間のゾーン分離が配置されている。接続ゾーン４００と機能的なセキュリティゾーン４４０との間には、相応の相互作用が発生する。

特に好ましくは、インタフェース４１０，４１２，リソース，ランタイム及び特権は、ゾーン（セキュリティ関連ゾーンＺ２、非セキュリティ関連ゾーンＺ１）に従って分割される。インタフェース４１０，４１２は、物理的に別個のバスシステム又は論理的な診断インタフェースであり得る。リソースには、メモリ１０３０，１０３０ａ，プログラムメモリ，データメモリ、及び、データバッファ又はバッファメモリが含まれる。ランタイムには、個別のタスク又は個別の通信プロキシ若しくはインスタンス（例えば、ゾーンＺ１，Ｚ２に従ったプロトコルの分割に関連するサブプログラム；これらのプロキシ若しくはサブプログラムは、通信フローにのみ使用される）の設定が含まれる。さらに、プログラムとして、個別のアプリケーションプロキシ又はインスタンス（例えば、コネクテッドサービス、リモートドアロック解除（Ｒｅｍｏｔｅ Ｄｏｏｒ Ｕｎｌｏｃｋ）、遠隔操作を介した駐車（Ｒｅｍｏｔｅ Ｐａｒｋｉｎｇ）のための、データを変更する、若しくは、このデータにアクセスしてアプリケーションプログラムを実行するサブプログラム）が設定されるものとしてよい。特権には、例えば、特権動作モードが含まれる。従って、例えば、メモリ保護デバイスＳＳＥに対する構成データを介して実現され得るように、例えば第１のゾーンＺ１に対して、特別なモードが設定されるものとしてよい。さらに、同様に、例えば、メモリ保護デバイスＳＳＥに対する構成データを介して実現され得るように、第２のゾーンＺ２に対して、特別なモードが設定されるものとしてよい。さらに、スーパーバイザ又はスーパーバイザインスタンスＳＶＩは、同様に、メモリ保護デバイスＳＳＥに対する構成データを介して表されて、２つのゾーンＺ１，Ｚ２に対する上述のモード間の切換のために設定されるものとしてよい。ここでは、メモリ保護デバイスＳＳＥの１回限りの静的なかつ真正の構成が行われる。このための基本的な手法については、以下において詳細に説明する。

他の好ましい実施形態においては、スーパーバイザインスタンスＳＶＩは、例えば、、（専用の）中央処理装置及び／又はハードウェアセキュリティモジュールＨＳＭ及び／又はトラステッドプラットフォームモジュールＴＰＭによって形成されるものとしてよく、又は、スーパーバイザインスタンスＳＶＩの機能性が、これらの要素のうちの少なくとも１つの要素を用いて実現されるものとしてよい。

図３は、他の好ましい実施形態によるコンピューティングデバイス１００ａの簡略化されたブロック図を概略的に示しており、これは、図１に示されたコンピューティングデバイス１００と同様に、４つの中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎを有する。同様に、図３には、コンピューティングデバイス１００ａのメインメモリ（ＲＡＭ）１０３０、不揮発性メモリ１０３２（例えば、フラッシュメモリ、特にフラッシュＥＥＰＲＯＭ）、及び、任意選択的に存在している特殊機能レジスタ１０３４が示されている。これらは、例えば、それらの周辺コンポーネントの動作を制御するために利用可能である。これらのコンポーネント１０２ａ，１０２ｂ，…，１０３４は、バスシステム１０１を介して互いに接続されている。

他の好ましい実施形態においては（図２Ｃを参照されたい）、コンピューティングデバイス１００（図１），１００ａ（図３）の動作方法がさらに、以下の要素、即ち、
ａ）コンピューティングデバイス１００，１００ａに割り当てられているメモリ１０３０，１０３２に対する読取権、
ｂ）コンピューティングデバイスに割り当てられているメモリ１０３０，１０３２に対する書込権、
ｃ）コンピューティングデバイスに割り当てられているメモリ１０３０，１０３２に対する実行権（遂行権）
のうちの少なくとも１つの要素を、少なくとも１つのゾーンＺ１，Ｚ２に応じて制御するステップ２３０、特に制限するステップを含むことが想定されている。これによって、有利には、対応するゾーンＺ１，Ｚ２に割り当てられているプログラム、特にアプリケーションプログラムＡＰ１，ＡＰ２（図１）、サブプログラムなどのみが、上述の１つ又は複数のメモリ１０３０，１０３２にアクセスし得ることが保証される。例えば、これによって、他の好ましい実施形態においては、信頼できないゾーンのプログラム、特にアプリケーションプログラム、サブプログラム、プロキシが１つ又は複数のメモリ１０３０，１０３２にアクセスすること（特に、例えば、信頼できないゾーンによる、信頼できるゾーンに割り当てられているメモリ領域１０３０，１０３２へのアクセス）を阻止することができる。これは、場合によっては、信頼できないゾーンのプログラムによるメモリコンテンツの改ざんの可能性に関するリスクである。

他の好ましい実施形態においては（図２Ｃを参照されたい）、この方法がさらに、少なくとも一時的に、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８（図３）を、読取権及び／又は書込権及び／又は実行権を制御するために使用するステップ２３２を含むことが想定されている。

他の好ましい実施形態においては（図２Ｄを参照されたい）、この方法がさらに、少なくとも１つの中央処理装置１０２ａに少なくとも１つの専用メモリ保護デバイスＭ１を提供するステップ２３１を含むことが想定されており、ここでは、特に複数の、好ましくはすべての中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎに対してそれぞれ１つの専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４が提供される。他の好ましい実施形態においては、さらに、上述のアクセス権、特に読取権及び／又は書込権及び／又は実行権を制御するステップ２３０、特に制限するステップを実行するために、各（専用）メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４が使用されるものとしてよい（図２Ｄのステップ２３２’を参照されたい）。

他の好ましい実施形態においては、使用するステップ２３２’（図２Ｄ）の前に、任意選択的な、メモリ保護デバイスを構成するステップ２３１ａが行われるものとしてよい。

他の好ましい実施形態においては（図２Ｅを参照されたい）、次のことが想定されている。即ち、少なくとも１つの中央処理装置１０２ａが、少なくとも一時的に第１の動作モードを取り（ステップ２４０を参照されたい）、特に少なくとも１つの中央処理装置１０２ａは、第１の動作モードにおいて、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８の動作を制御する構成データ１０３６（図３）の設定及び／又は書込２４２を行い、特に少なくとも１つの中央処理装置１０２ａが、少なくとも一時的に第２の動作モードを取り２４３、少なくとも１つの中央処理装置１０２ａは、第２の動作モードにおいて、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データの書込及び／又は変更を行うことができない。

他の好ましい実施形態においては、第１の動作モードは、「スーパーバイザモード」又は監視モードと称されることもある。従って、「スーパーバイザモード」又は監視モードは、好ましくは、関連する中央処理装置１０２ａが少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８の構成を実行することができる特権状態であり得る。

他の好ましい実施形態においては、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データは、例えば、特殊機能レジスタ（英語で、ｓｐｅｃｉａｌ ｆｕｎｃｔｉｏｎ ｒｅｇｉｓｔｅｒ ＳＦＲ）、特に構成レジスタ１０３６の形態において設けられるものとしてよく、これらは、場合によっては同様に、少なくとも一時的に、好ましくは対応するメモリ保護デバイスＭ５＿６の制御下において、バスシステム１０１を介してアクセス可能である。言い換えれば、他の好ましい実施形態においては、例えば、特殊機能レジスタ（ＳＦＲ）、特に構成レジスタ１０３６は、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８の構成データのために設けられるものとしてよい。

他の好ましい実施形態においては（図２Ｅを参照されたい）、少なくとも１つの中央処理装置１０２ａがイベント駆動方式により、特に少なくとも１つの割り込み要求（英語で、ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）に応じて、第１の動作モードを取る２４０ことが想定されている。

他の好ましい実施形態においては（図２Ｆを参照されたい）、この方法がさらに、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対して構成データＫＤの複数のセットを提供するステップ２５０を含むことが想定されており、特に、構成データＫＤの複数のセットのうちの少なくとも１つの第１のセットが、少なくとも２つのゾーンのうちの第１のゾーンＺ１に割り当てられ、構成データＫＤの複数のセットのうちの少なくとも１つの第２のセットが、少なくとも２つのゾーンのうちの第２のゾーンＺ２に割り当てられる（ステップ２５２を参照されたい）。

他の好ましい実施形態においては、少なくとも１つの中央処理装置１０２ａが、専用のシステム状態の範囲において、例えば、開始サイクルの際に及び／又は特定のイベントの際に、例えば割り込みルーチン（英語で、Ｉｎｔｅｒｒｕｐｔ Ｓｅｒｖｉｃｅ Ｒｏｕｔｉｎｅ ＩＳＲ）に入った際に、スーパーバイザモードなどの特定の動作モードを取ることが想定されており、これは、例えば、ハードウェア駆動方式により行われるものとしてよい。

他の好ましい実施形態においては、少なくとも１つのさらなる非特権動作モードが、１つ又は複数の、好ましくはすべての中央処理装置に対して設定されており（「非特権モード」）、これは、他の好ましい実施形態においては、「ユーザモード」とも称されることがある。ユーザモードにおいては、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データＫＤ １０３６は、好ましくは書込可能ではない。言い換えれば、他の好ましい実施形態においては、現在ユーザモードにある中央処理装置は、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データＫＤ １０３６の書込又は変更を行うことはできず、これに対して、現在スーパーバイザモードにある中央処理装置は、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８に対する構成データＫＤ １０３６の書込又は変更を行うことができる。

他の好ましい実施形態においては、アプリケーションプログラムＡＰ１，ＡＰ２が、非特権モード、例えばユーザモードにおいて実行又は遂行されることが想定されている。

他の好ましい実施形態においては、例えば、３つの動作モード又は動作状態又はモードが設定されるものとしてもよく、例えば、第１は、スーパーバイザモード、第２は、特に信頼できないゾーンに対する「ユーザモード１」、第３は、特に信頼できるゾーンに対する「ユーザモード２」である。

他の好ましい実施形態においては、例えば、ユーザモード１において、静的な構成データＫＤ２がアクティブであるものとしてよく、例えば第１のアプリケーションプログラムＡＰ１が実行されている。

他の好ましい実施形態においては、例えば、ユーザモード２において、静的な構成データＫＤ３がアクティブであるものとしてよく、例えば第２のアプリケーションプログラムＡＰ２が実行されている。

他の好ましい実施形態においては、スーパーバイザモードにおいて、例えば、静的な構成データＫＤ１がアクティブであり、スーパーバイザモードは、例えば、静的な構成データＫＤ２と静的な構成データＫＤ３との間の切換に用いられる（任意選択的に、静的な構成データＫＤ２と静的な構成データＫＤ３との間の切換にのみ用いられる）。

他の好ましい実施形態においては、ユーザモード１及びユーザモード２は、静的な構成データＫＤ１，ＫＤ２，ＫＤ３，ＫＤ４間の切換を行うことはできない。

他の好ましい実施形態においては、例えば２つのモード（例えば、スーパーバイザモード及びユーザモード）（だけ）が設定されるものとしてもよい。従って、他の好ましい実施形態においては、例えば、スーパーバイザモードが信頼できるゾーンに割り当てられるものとしてよく、例えば、構成データＫＤ１と構成データＫＤ２との間の切換を行うことができ、また、場合によっては、例えば、第２のアプリケーションプログラムＡＰ２を実行することができる。

他の好ましい実施形態においては、異なる動作モード又は動作状態（例えば、特権モード及び非特権モード、又は、スーパーバイザモード、ユーザモード）に対して、例えば、１つ又は複数のメモリ１０３０，１０３２に対する各動作モード固有の読取権及び／又は書込権及び／又は遂行権（実行権）が与えられ、これは、他の好ましい実施形態においては、例えば、異なる、構成データＫＤのセット（「構成データセット」）を設定することによって実現可能である。

他の好ましい実施形態においては、動作モードと各アプリケーションプログラムとの異なる組合せに対して、動作モード固有及び／又はアプリケーション固有の読取権及び／又は書込権及び／又は遂行権が与えられ、これは、他の好ましい実施形態においては、例えば、同様に、異なる、構成データＫＤのセット（「構成データセット」）を設定することによって実現可能である。例えば、これによって、例えば、異なるアプリケーションプログラムＡＰ１，ＡＰ２（図１）のユーザモードに対して、それぞれ、関連するアプリケーションプログラムＡＰ１，ＡＰ２に適合する読取権及び／又は書込権及び／又は遂行権が与えられるものとしてよい。

他の好ましい実施形態においては、例示的に挙げられた、１つ又は複数の、好ましくはすべてのメモリ保護デバイスＭ１，Ｍ２，…，Ｍ５＿８が複数の構成データセットを含み、これらは他の好ましい実施形態においては、好ましくは、異なるモード及びアプリケーションプログラムＡＰ１，ＡＰ２に効率的に割り当てられるものとしてよい。

他の好ましい実施形態においては、例えば、特権モード又は非特権モード間の切換の際に（例えば、スーパーバイザモードからユーザモードへの切換、又は、ユーザモードからスーパーバイザモードへの切換の際に）、又は、アプリケーションプログラム間の切換の際に、特に非特権モードにおいて、効率的に、特にハードウェア駆動方式により、関連するモード又は動作モードの構成データセット間の切換が行われ得る。

他の好ましい実施形態においては、コンピューティングデバイス１００，１００ａ（図３）は、例として、以下の例示的に挙げられた構成オプション、即ち、
ａ）少なくとも１つの中央メモリ保護デバイス又はバスシステム１０１（図３）に割り当てられている少なくとも１つのメモリ保護デバイスＭ５＿１，…，Ｍ５＿８に対する、特に、静的な（変更不可能な）構成データセットと、
ｂ）専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４に対する、それぞれ４つの、特に静的な構成データセットであって、これらはそれぞれ４つの、専用メモリ保護デバイスに対する構成データセットを含み、他の好ましい実施形態においては、例えば、スーパーバイザモード用の１つの静的な構成データセットと、例えば、アプリケーションプログラムＡＰ１，ＡＰ２用の、即ち、例えばユーザモード用の３つの静的な構成データセットとを含む、構成データセットと、
を含む。図２３は、合計４つの構成データセットＫＤ１，ＫＤ２，ＫＤ３，ＫＤ４を含む例示的な構成データＫＤ’を概略的に示している。

他の好ましい実施形態においては、構成データは、例えば、いずれのメモリアドレスに対して、コンピューティングデバイスのコンポーネント、例えば中央処理装置が、読取及び／又は書込及び／又は実行のためにアクセスすることができるのかを定義している。他の好ましい実施形態においては、メモリ保護デバイスは、関連する中央処理装置によって現在実行されているアクセス（読取及び／又は書込及び／又は実行）を構成データの内容と比較し、例えば、一致する場合には、関連するアクセスを許可若しくは禁止するように、又は、そうでない場合には、その逆を行うように、構成されるものとしてよい。

他の好ましい実施形態においては、専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４に対する、挙げられた、好ましくは静的な構成データセットは、例えば、ユーザモードの場合、実施形態によるゾーンＺ１，Ｚ２と相関し得る。

他の好ましい実施形態においては、特にいわゆる「コア－ゾーン間分離」のケースにおいて、（例えば、同等の信頼レベルを有する）特定のゾーンＺ２のアプリケーションプログラムのみが、特定の中央処理装置１０２ａ（図１）において実行される。他の好ましい実施形態においては、特にそのような中央処理装置１０２ａ用の専用メモリ保護デバイスＭ１（図３）のケースにおいて、例えば２つの、特に静的な構成データセットのみが使用され、例えば、１つはスーパーバイザモード用であり、１つはユーザモードにおけるアプリケーションプログラム用である。特にユーザモードにおけるアプリケーションプログラム用の、場合によっては残存している、未使用の構成データセットが、他の好ましい実施形態においては、例えば、次のように構成されるものとしてよい。即ち、これらが、メモリ全体１０３０，１０３２への一般的な読取アクセス、書込アクセス及び遂行アクセスを阻止するように構成されるものとしてよく、これによって、セキュリティがさらに強化される。

他の好ましい実施形態においては、特にいわゆる「コア－ゾーン内分離」のケースにおいて、例えば、それぞれ異なる信頼レベルを有する２つのゾーンＺ１，Ｚ２のアプリケーションプログラムが、特定の中央処理装置１０２ｃ（図１）上において実行される。ここでは、好ましくは、特にユーザモードに対して、第１のゾーンＺ１のプログラム又はアプリケーションプログラム、及び、第２のゾーンＺ２のプログラム又はアプリケーションプログラム用の２つの異なる静的な構成データセットが使用され、これと並んで、好ましくは、他の動作モード、例えばスーパーバイザモード用の他の静的な構成データセットが使用される。他の好ましい実施形態においては、中央処理装置１０２ｃは、スーパーバイザモードの動作モードにおいて、２つのゾーンＺ１，Ｚ２のための２つの静的な構成データセットを切り換えるように構成されている。従って、他の好ましい実施形態においては、中央処理装置１０２ｃは、スーパーバイザモードにおいて、例えば、第１のゾーンＺ１に割り当てられているプログラム、特にアプリケーションプログラムＡＰ１又はサブプログラム又はインスタンスが実行されるべき場合には、第１のゾーンＺ１に適合する構成データセットを自身の専用メモリ保護デバイスにおいてアクティブにし、例えば、第２のゾーンＺ２に割り当てられているプログラム、特にアプリケーションプログラムＡＰ２又はサブプログラム又はインスタンスが実行されるべき場合には、例えば、第２のゾーンＺ２に適合する構成データセットを自身の専用メモリ保護デバイスにおいてアクティブにする。特にユーザモードにおけるプログラム用の、場合によっては残存している、未使用の構成データセット（ここでは、４つの総数が例示的に挙げられる構成データセット）が、他の好ましい実施形態においては、例えば、次のように構成されるものとしてよい。即ち、これらが、メモリ全体１０３０，１０３２への一般的な読取アクセス、書込アクセス及び遂行アクセスを阻止するように構成されるものとしてよく、これによって、セキュリティがさらに強化される。

他の好ましい実施形態においては（図２Ｇを参照されたい）、この方法がさらに、以下のステップを含むことが想定されている。即ち、アプリケーションプログラムＡＰ１の第１のインスタンスＡＰ１＿Ｉ１（又はサブプログラム、プロキシ）及びアプリケーションプログラムＡＰ１の第２のインスタンスＡＰ１＿Ｉ２（又はサブプログラム、プロキシ）を提供するステップ２６０と、アプリケーションプログラムＡＰ１の第１のインスタンスＡＰ１＿Ｉ１を少なくとも２つのゾーンのうちの第１のゾーンＺ１に割り当てるステップ２６２と、アプリケーションプログラムＡＰ１の第２のインスタンスＡＰ１＿Ｉ２を少なくとも２つのゾーンのうちの第２のゾーンＺ２に割り当てるステップ２６３と、を含むことが想定されている。これによって、有利には、アプリケーション又はアプリケーションプログラムＡＰ１が複数のゾーンＺ１，Ｚ２にわたって「延在する」用途を包含することができる。従って、他の好ましい実施形態においては、このアプリケーションプログラムＡＰ１に対して、ゾーンごとにそれぞれ１つのインスタンスＡＰ１＿Ｉ１，ＡＰ１＿Ｉ２が存在するものとしてよく、そのようなインスタンスは、他の好ましい実施形態においては、プロキシとも称され得る。プロキシ、インスタンス、サブプログラムなどとして、一般に、例えば、データを要求する又はデータを生成するアプリケーションプログラム、及び、データ処理に使用される通信プログラムなどのプログラムが理解され得る。

他の好ましい実施形態においては、そのようなプロキシＡＰ１＿Ｉ２は、関連する他のゾーンＺ２に対して関連性のある（部分的な）機能性を担保することができる。他の好ましい実施形態においては、プロキシは、場合によっては、複数のサブコンポーネントも含むものとしてよい。

他の好ましい実施形態においては、コンピューティングデバイス１００，１００ａは、例えば、次のシナリオを実行することができる：第１のプログラム、特にアプリケーションプログラムＡＰ１、サブプログラムが、例えば、信頼できない第１のゾーンＺ１からデータを受信し（例えば、インタネットからのリモートサービス要求（「離隔した場所からのサービス要求」））、（例えば、対応するサービス（「リモートサービス」）を実施するために）このデータを相応に、信頼できるゾーンＺ２内において処理又は転送する場合、第１のゾーンＺ１内において、アプリケーションプログラムＡＰ１のＺ１プロキシＡＰ１＿Ｉ１によって、データの受信が行われ、ここでは、対応するＺ２プロキシＡＰ１＿Ｉ２が、例えば、以下のステップを実行する。即ち、Ｚ２プロキシＡＰ１＿Ｉ２によって、特に初期状態において、信頼できないと分類されたデータのデータ検証ステップ、及び、データ検証ステップが成功した場合における、そこで（データ検証ステップ後に）信頼できると分類されたデータの第２のゾーンＺ２内における処理ステップ又は転送ステップを実行する。

他の好ましい実施形態においては（図２Ｈを参照されたい）、この方法がさらに、以下のステップを含むことが想定されている。即ち、少なくとも２つのゾーンＺ１，Ｚ２に応じて、コンピューティングデバイス１００，１００ａに割り当てられているメモリ１０３０，１０３２の領域を分離するステップ２７０を含むことが想定されている。ここでは、コンピューティングデバイス１００，１００ａに割り当てられているメモリは、以下の要素、即ち、
ａ）特にメインメモリの形態のバッファメモリ、
ｂ）スタックメモリ、
ｃ）データメモリ、
ｄ）プログラムメモリ、
ｅ）レジスタメモリ
のうちの少なくとも１つの要素を有しており、ここでは、少なくとも１つのメモリ保護デバイスが、この分離するステップ２７０のために使用される（任意選択的なステップ２７２を参照されたい）。

他の好ましい実施形態においては（図２Ｉを参照されたい）、この方法がさらに、バッファメモリ、特にメインメモリを介して、種々のゾーンの間において第１のデータを交換するステップ２８０を含むことが想定されている。ここでは、特に、第１のゾーンＺ１と第２のゾーンＺ２との間における第１のデータの交換は、以下のステップ、即ち、
第１のデータを、第１のゾーンに割り当てられている第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３にコピーするステップ２８２と、
コピーされた第１のデータを検査するステップ２８３と、
特にこの検査するステップに応じて、第１のデータを、第１のゾーンＺ１に割り当てられている第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３から、第２のゾーンＺ２に割り当てられている第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２にコピーするステップ２８４と、
を含む。特に好ましくは、データ交換は、交換用バッファメモリ領域ＴＢ１Ａ（ゾーン１ Ｚ１からゾーン２ Ｚ２へのデータ交換用）又は交換用バッファ領域ＴＢ２ｂ（ゾーン２ Ｚ２からゾーン１ Ｚ１へのデータ交換用）を介して行われる。

図４は、他の好ましい実施形態による、コンピューティングデバイス１００，１００ａの態様の簡略化されたブロック図を概略的に示している。２つの中央処理装置１０２ａ，１０２ｂが示されており、これらは、既に上述したように、各ゾーンＺ１，Ｚ２に割り当てられている。メインメモリ１０３０（図３）の領域１０３０ａは、ここでは、特に異なるゾーンＺ１，Ｚ２又は関連する中央処理装置１０２ａ，１０２ｂ若しくは中央処理装置１０２ａ，１０２ｂ上において実行可能なアプリケーションプログラム（アプリケーションプログラムのインスタンス）間のデータ交換のために、バッファメモリ（若しくは、後述するバッファメモリ領域（第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３；第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２；交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”））又は「分割されたメインメモリ」として利用可能である。ここでは、第１の部分領域ＴＢ１は、第１のゾーンＺ１又は第２の中央処理装置１０２ｂに割り当てられており、第２の部分領域ＴＢ２は、第２のゾーンＺ２又は第１の中央処理装置１０２ａに割り当てられている。

同様に、図４には、複数のプロキシＰＸＹが示されており、ここでは、例えば第１の数のプロキシ、即ち、Ｚ１－プロキシ １，Ｚ１－プロキシ ２，…，Ｚ１－プロキシ ｎが第１のゾーンＺ１に、即ち、ここでは中央処理装置１０２ｂに割り当てられており、例えば第２の数のプロキシ、即ち、Ｚ２－プロキシ １，Ｚ２－プロキシ ２，…，Ｚ２－プロキシ ｎが第２のゾーンＺ２に、即ち、ここでは中央処理装置１０２ａに割り当てられている。参照符号ＳＳＥによって、ここでは、複数のメモリ保護デバイスＳＳＥ又はその機能的なコンポーネントが示されており、これらは、図４において象徴的に、部分領域ＴＢ１，ＴＢ２若しくはゾーンＺ１，Ｚ２の相互からの相応の分離、又は、部分領域ＴＢ１，ＴＢ２若しくはゾーンＺ１，Ｚ２同士の相応の分離を、好ましい実施形態による原理に対応して暗黙的に示している。

図によって異なる参照符号が付されている異なるバッファメモリ領域：第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３；第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２；交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”がデータ交換に使用される。

例えば、第１のゾーンＺ１（送信ゾーン）から、信頼できる第２のゾーンＺ２（受信ゾーン）に安全な様式でデータを転送するために、メモリ１０３０，１０３２の異なるバッファメモリ領域が設定されている。

例えば、第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３’は、第１のゾーン又は送信ゾーンＺ１のために設定されている。送信ゾーン又は第１のゾーンＺ１又は信頼できないゾーンＺ１に割り当てられている第１のプログラム、特にアプリケーションプログラムＡＰ１、サブプログラムなどは、メモリ保護デバイスＳＳＥを介して実現される、次のアクセス権を有しており、即ち、読取のためのアクセス権、書込のためのアクセス権を有しており、実行のためのアクセス権は有していない。受信ゾーン又は第２のゾーンＺ２又は信頼できるゾーンＺ２に割り当てられている第２のプログラム、特にアプリケーションプログラムＡＰ２、サブプログラムなどは、メモリ保護デバイスＳＳＥを介して実現される、第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３’へのアクセス権を有しておらず、即ち、読取のためのアクセス権も書込のためのアクセス権も実行のためのアクセス権も有していない。

第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２は、第２のゾーン又は受信ゾーンＺ２のために設定されている。受信ゾーン又は第２のゾーンＺ２又は信頼できるゾーンＺ２に割り当てられている第２のプログラム、特にアプリケーションプログラムＡＰ２、サブプログラムなどは、メモリ保護デバイスＳＳＥを介して実現される、次のアクセス権を有しており、即ち、読取のためのアクセス権、書込のためのアクセス権を有しており、実行のためのアクセス権は有していない。送信ゾーン又は第１のゾーンＺ１又は付随する第１のプログラムは、メモリ保護デバイスＳＳＥを介して実現されるアクセス権を有しておらず、即ち、読取のためのアクセス権も書込のためのアクセス権も実行のためのアクセス権も有していない。

交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”は、送信ゾーン又は第１のゾーンＺ１から受信ゾーン又は第２のゾーンＺ２へのデータ交換のために設定されている。送信ゾーン又は第１のゾーンＺ１又は第１のプログラムは、交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”に対して、メモリ保護デバイスＳＳＥを介して実現される、次のアクセス権を有しており、即ち、書込のためのアクセス権を有する。受信ゾーン又は第２のゾーンＺ２又は第２のプログラムは、交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”に対して、メモリ保護デバイスＳＳＥを介して実現される、次のアクセス権を有しており、即ち、読取のためのアクセス権を有する。

送信ゾーンＺ１と受信ゾーンＺ２との間のデータ交換、及び、受信ゾーンＺ２における利用又は転送に対しては、次の手順が発生する。はじめに、送信ゾーンＺ１の第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３’から、データが、交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”に書き込まれる。次に、このデータが、受信ゾーンＺ２によって、交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”への読取のためのアクセスごとに確認される（有効性の検査）。このデータが有効である場合、このデータは、受信ゾーンＺ２によって信頼できると評価され、受信ゾーンＺ２の第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２にコピーされる。信頼できるデータのさらなる利用及び転送が、受信ゾーンＺ２内の受信ゾーンＺ２の第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２から開始して行われる。

説明された方法は、信頼できないゾーンＺ１から信頼できるゾーンＺ２へのデータ交換に必ず使用される。他の方向（信頼できるゾーンＺ２から信頼できないゾーンＺ１へのデータ交換）においては、この手法は任意選択的である。説明された安全な方法による、信頼できるゾーンＺ２から信頼できないゾーンＺ１へのデータ交換のために、さらに、任意選択的な他の交換用バッファメモリＴＢ２ｂ，Ｂ１＿１が設定されており、信頼できるゾーンＺ２のプログラムはこの交換用バッファメモリに対して、書込のためのアクセスのみを有しており、受信ゾーンＺ１は読取ためのアクセスのみを有する。それ以外、この交換方法は、説明された通りに実施される。

既に説明したように、バッファメモリ（第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３；第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２；交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）への（読取権、書込権、実行権に関する）アクセス権の管理はメモリ保護デバイスＳＳＥによって行われる。３つのバッファタイプ（第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３’；第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２；交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）すべてについて、各ゾーンＺ１，Ｚ２に対する実行権が阻止されるべきである。メモリ保護デバイスＳＳＥの構成、ひいては各バッファタイプへのアクセス権及びゾーンＺ１，Ｚ２の割り当ては、静的かつ真正に、ブートプロセス時に行われる。これは、ランタイム時に、又は、ブート後の最初の構成後に構成を変更することができないことを意味している。

複数のバッファのうちの１つのバッファ（第１のバッファメモリ領域ＴＢ１ｂ，Ｂ３’；第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２；交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）への各アクセスは、常にメモリ保護デバイスＳＳＥを介して行われる。これは、ゾーンＺ１，Ｚ２による、それぞれの無効なアクセス要求が、メモリ保護デバイスＳＳＥによって阻止されることを意味する（例えばバッファオーバーフロー（いわゆるｂｕｆｆｅｒ－ｏｖｅｒｆｌｏｗ）時の、例えば、第１のゾーンＺ１による、第２のゾーンＺ２の第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２への書込アクセス）。

他の好ましい実施形態においては（図２Ｊを参照されたい）、この方法がさらに、少なくとも２つのゾーンＺ１，Ｚ２に応じて、異なるアプリケーションプログラムＡＰ１，ＡＰ２及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを分離するステップ２９０、特に、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるステップを含むことが想定されている。

他の好ましい実施形態においては、この方法がさらに、以下のステップを含むことが想定されている。即ち、異なるアプリケーションプログラムＡＰ１，ＡＰ２及び／又はアプリケーションプログラムのインスタンスＡＰ１＿Ｉ１，ＡＰ２＿Ｉ２に対する計算時間リソースの割り当てのために、組込システム用のオペレーティングシステムＢＳ、特に軽量組込オペレーティングシステムＢＳを使用するステップ２９２を含むことが想定されている。ここでは特に、コンピューティングデバイス１００，１００ａのそれぞれ１つの中央処理装置に１つのオペレーティングシステムＢＳが割り当てられている（図４を参照されたい）。

他の好ましい実施形態においては、この方法が、図２Ｊのステップ２９２に対して選択的に又は付加的に、さらに、以下のステップを含むことが想定されている。即ち、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対する計算時間リソースの割り当てのために、組込システム用のスーパーバイザＳＶ（図５を参照されたい）、特に軽量組込スーパーバイザＳＶを使用するステップ２９４を含むことが想定されている。ここでは特に、コンピューティングデバイスのそれぞれ１つの中央処理装置１０２ｃ（図５）に１つのスーパーバイザＳＶが割り当てられている。

他の好ましい実施形態においては、オペレーティングシステムＢＳ及び／又はスーパーバイザＳＶが、特に、静的な（変更不可能な）タスクリストを使用して、事前に規定されたタスク（アプリケーションプログラム及び／又はアプリケーションプログラムのインスタンス及び／又はその一部）に対して、好ましくは事前に規定されたタスクに対してのみ、計算時間リソースの割り当てを実行することが想定されている。言い換えれば、他の好ましい実施形態においては、事前に規定されたタスクのスケジューリングのみが可能であり、これはセキュリティをさらに強化する。

他の好ましい実施形態においては、オペレーティングシステムＢＳ（図４）及び／又はスーパーバイザＳＶ（図５）が、計算時間リソースの割り当てを、ａ）繰り返される、特に定期的に繰り返される割り込み要求（例えば、タイマ割り込みのｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔｓ）に応じて、及び／又は、ｂ）イベント駆動方式の割り込み要求に応じて、実行することが想定されており、ここでは特に、タスクは、少なくとも１つの割り込みルーチン（ｉｎｔｅｒｒｕｐｔ ｓｅｒｖｉｃｅ ｒｏｕｔｉｎｅ ＩＳＲ 割り込み要求の発生時に実行されるコンピュータプログラム）によってアクティブ化される。

他の好ましい実施形態においては、割り込みルーチンに入ると、特にハードウェア駆動方式により、少なくとも１つのメモリ保護デバイスＭ１，Ｍ２，…，ＳＳＥに対する構成データが変更されることが想定されている。

他の好ましい実施形態においては、軽量組込ＯＳ ＢＳ（図４）又は軽量組込スーパーバイザＳＶ（図５）は、例えば、周期的に又はイベントに基づいて実行される、（プロキシ）機能性（タスク）をコーディネートする及び／又は調整することができる（「スケジューリング」）。

他の好ましい実施形態においては、軽量組込ＯＳ ＢＳ及び軽量組込スーパーバイザは、特に、次の特性のうちの少なくとも１つの特性を有する。
ａ）複雑性（コードの範囲、機能性、柔軟性など）を必要最小限に抑制することによる侵入表面の最小化
ｂ）事前に規定されたタスク（静的なタスクリスト、動的なタスクリストは不可）のみのスケジューリング、例えば周期的な割り込み要求（ＩＲＱ）、例えばタイマＩＲＱ及び／又はｅｖｅｎｔ（イベント）に基づくＩＲＱ、例えばＲｘ（受信）ＩＲＱ、Ｔｘ（送信）ＩＲＱ、ＳＷ（ソフトウェア）ＩＲＱなどを伴うＩＳＲなどに基づくスケジューリングであり、ここで、タスクは、ＩＳＲによってアクティブ化される。
ｃ）ＩＳＲに入ると、好ましくは、スーパーバイザモードへのハードウェア駆動方式の切換が行われる。例えば、スーパーバイザモードに対する静的な構成データセットへの切換、静的な構成データセット間の切換（例えば、ユーザモードに対する）は、好ましくは、スーパーバイザモードにおいてのみ可能である。
ｄ）さらに好ましくは、タスクのアクティブ化の前に、スーパーバイザモードからユーザモードへの切換が行われ、ここでは、特にタスク（例えば、アプリケーションプログラム（アプリケーションプログラムのインスタンス）の一部）がユーザモードにおいて実行され、ここではさらに、特に、（静的な）構成データ間の切換は、ユーザモード又はタスクにおいて不可能である。
ｅ）有利には、他の好ましい実施形態においては、メモリ保護デバイスの静的な（場合によっては、特に完全かつ真正でもある）構成によって、例えば、開始サイクル中に、次のことが既に暗黙的に可能にされている。即ち、メモリ保護デバイスの動的な再構成が、（例えば、軽量組込ＯＳ ＢＳ／スーパーバイザＳＶによって）スーパーバイザモードに対して設定されている割り込みルーチン（ＩＳＲ）を用いて行われることがないことが既に暗黙的に可能にされている。

他の好ましい実施形態においては（図２Ｋを参照されたい）、この方法がさらに、以下のステップを含むことが想定されている。即ち、特にオペレーティングシステムＢＳ（図４）及び／又はスーパーバイザＳＶ（図５）を用いて、特に侵害の可能性があるかに関して、以下の要素、即ち、
ａ）第１のゾーンＺ１、
ｂ）第１のゾーンＺ１に割り当てられているアプリケーションプログラムＡＰ１、
ｃ）第１のゾーンＺ１に割り当てられている、アプリケーションプログラムＡＰ１のインスタンスＡＰ１＿Ｉ１
のうちの少なくとも１つの要素を監視するステップ３００を含むことが想定されている。ここでは特に、この監視するステップ３００は、スタックメモリ（「ｓｔａｃｋ」）を評価するステップ３０２（図２Ｋ）及び／又はプログラムカウンタ（「ｐｒｏｇｒａｍ ｃｏｕｎｔｅｒ」 ＰＣ）を評価するステップ３０４を含み、ここで、好ましくは、スタックメモリを評価するステップ３０２及び／又はプログラムカウンタを評価するステップ３０４は、アプリケーションプログラムをアクティブ化するステップ及び／又はアプリケーションプログラムのインスタンスをアクティブ化するステップの前に行われる。

他の好ましい実施形態においては（図２Ｌを参照されたい）、この方法がさらに、以下のステップを含むことが想定されている。即ち、この方法がさらに、監視するステップ３００（上述の図２Ｋに関する記述を参照されたい）を含むことが想定されており、特に監視するステップ３００が、侵害の可能性を示す場合にエラー応答を開始するステップ３０５を含むことが想定されている。

他の好ましい実施形態においては（図２Ｍを参照されたい）、エラー応答又はエラー応答を開始するステップ３０５が、以下の要素、即ち、
ａ）特に、第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂの非アクティブ化３０５ａ及び／又は第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂのリセット３０５ｂ及び／又はエラーモードへの移行３０５ｃを用いた、第１のゾーンＺ１及び／又は第１のゾーンＺ１に割り当てられている中央処理装置１０２ｂ（図１）の安全な状態への移行、
ｂ）エラーエントリＦＥの生成３０５ｄ、及び／又は、
ｃ）あるエラーエントリ又は上述のエラーエントリの、侵入検知システム、特にＩｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍへの転送３０５ｅ
のうちの少なくとも１つの要素を有することが想定されている。他の好ましい実施形態においては、ＩＤＳは、例えば、コンピューティングデバイス１００，１００ａの内部及び／又は外部に配置されるものとしてよい。

他の好ましい実施形態においては、ＩＤＳが、例えば、分散された実装を有するものとしてもよく、ここでは、例えば、第１の部分機能性（例えば、ＩＤＳセンサ及び場合によってはＩＤＳマスタなど）が、あるコンピューティングデバイス又は上述のコンピューティングデバイス又はコンピューティングデバイスの少なくとも１つの中央処理装置上において実装されており又は実行され、特に他の部分又は他の部分機能性が、任意選択的に、他の装置、例えばバックエンドにおいて実装されている。他の好ましい実施形態においては、バックエンドは、例えば、次の態様、即ち、
ａ）詳細な専門家分析、
ｂ）人工知能（ＡＩ）、
ｃ）機械学習（ＭＬ）など
のうちの少なくとも１つの態様を実装するように構成されるものとしてもよい。

他の好ましい実施形態においては（図２Ｎを参照されたい）、コンピューティングデバイス１００，１００ａが少なくとも一時的にコールドスタート３１０を実行することが想定されており、特にコールドスタート３１０中に、データ及び／又はプログラムコードが不揮発性メモリ１０３２（図３）からロードされ、コンピューティングデバイス１００，１００ａが少なくとも一時的にウォームスタート３１２（図２Ｎ）を実行し、ここでは、特にウォームスタート３１２中に、データ及び／又はプログラムコードが、少なくとも一時的に通電される揮発性メモリ１０３０（図３）からロードされ、特にコールドスタート３１０（図２Ｎ）中に、少なくとも１つのメモリ保護デバイス又は上述の少なくとも１つのメモリ保護デバイスが構成され（図２Ｎのステップ３１１を参照されたい）、及び／又は、特にウォームスタート３１２中に（特にウォームスタート３１２中にも）、上述の少なくとも１つのメモリ保護デバイスが構成される（図２Ｎのステップ３１３を参照されたい）。

他の好ましい実施形態においては、専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４が提供されている（図２Ｄのステップ２３１を参照されたい）中央処理装置１０２ａ，１０２ｂ，１０２ｃ，１０２ｎのみが、この専用メモリ保護デバイスＭ１，Ｍ２，Ｍ３，Ｍ４を構成することが想定されている（図２Ｄのステップ２３１ａを参照されたい）。

他の好ましい実施形態においては（図２Ｏ（数字「２」、文字「Ｏ」）を参照されたい）、この方法がさらに、異なるアプリケーションプログラムに対して計算時間リソースを割り当てるステップ２１２ａ及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるステップ２１２ｂを含むことが想定されており、スーパーバイザＳＶ及び／又はスーパーバイザＳＶに対応する機能性が、スーパーバイザインスタンスＳＶＩ（図１）によって少なくとも部分的に実現されている。

他の好ましい実施形態においては（図２Ｐを参照されたい）、この方法がさらに、特に、以下の要素、即ち、
ａ）少なくとも１つのメモリ保護デバイスの構成に使用可能なプログラムコードの検証３２２、
ｂ）構成データの検証３２４、
ｃ）少なくとも１つのメモリ保護デバイスの構成に使用可能な、あるプログラムコード又は上述のプログラムコードの永続化３２６、
ｄ）構成データの永続化３２８
のうちの少なくとも１つの要素を用いて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データＫＤの完全性及び／又は真正性を検査するステップ３２０を含むことが想定されている。

他の好ましい実施形態においては、永続化３２６，３２８は、例えば、少なくとも１つのメモリ保護デバイスの構成に使用可能なプログラムコード又は構成データを、固定記憶装置、例えば、ＲＯＭ又はＯＴＰ（ワンタイムプログラマブル、１回だけプログラミング可能なメモリ）内に設定することを含むものとしてよい。

他の好ましい実施形態においては（図２Ｑを参照されたい）、この方法がさらに、特に、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置によって、少なくとも一時的に、セキュアブート方法を実行するステップ３３０及び／又は少なくとも一時的に、ランタイム中に改ざんを識別する方法（ＲＴＭＤ ｒｕｎｔｉｍｅ ｍａｎｉｐｕｌａｔｉｏｎ ｄｅｔｅｃｔｉｏｎ）を実行するステップ３３２を含むことが想定されている。方法３３０，３３２は、例えば、メモリ１０３０，１０３２の少なくとも一部の実際に存在しているメモリコンテンツを、設定可能な基準メモリコンテンツと比較することを有するものとしてよく、ここで、この比較は、例えば、ハッシュ値形成及び／又はＣＭＡＣ（ｃｉｐｈｅｒ－ｂａｓｅｄ ｍｅｓｓａｇｅ ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｃｏｄｅ）方法の利用及び／又は署名、又は、署名されたハッシュ値の利用も有するものとしてよい。

他の好ましい実施形態においては（図２Ｒを参照されたい）、この方法がさらに、少なくとも１つのゾーンＺ１，Ｚ２に応じて、以下の要素、即ち、
ａ）コンピューティングデバイスの内部インタフェース、特にソフトウェアインタフェース、
ｂ）コンピューティングデバイスの内部ハードウェアインタフェース及び／又は外部ハードウェアインタフェース、
ｃ）暗号化機能を実行するためのハードウェアセキュリティモジュール及び／又は暗号化モジュール、
ｄ）コンピューティングデバイスの周辺機器、特に少なくとも１つの周辺機器の特殊機能レジスタ、
ｅ）コンピューティングデバイスのターゲットシステム、特に制御装置の内部インタフェース、
ｆ）コンピューティングデバイスのターゲットシステム、特に制御装置の外部インタフェース、
ｇ）特に、ＩＳＯ／ＯＳＩレイヤモデルの少なくとも１つのレイヤ上の通信プロトコルに対するアドレス指定要素
のうちの少なくとも１つの要素へのプログラム又はアプリケーションプログラムＡＰ１，ＡＰ２によるアクセスを制御するステップ３４０を含むことが想定されている。図２Ｒに示された任意選択的なステップ３４２は、例示的に、自身に割り当てられているゾーンにおける関連するアプリケーションプログラムの（さらなる）実行を暗黙的に示している。

他の好ましい実施形態においては（図２Ｓを参照されたい）、この方法がさらに、以下の要素、即ち、
ａ）少なくとも１つの付加的な、特にまだ存在していないゾーンの導入３５０、
ｂ）第１の中央処理装置１０２ａから、コンピューティングデバイス１００，１００ａの少なくとも１つの他の中央処理装置１０２ｂへの機能性の移動３５２、
ｃ）特にコンピューティングデバイス内に統合されているメインメモリを使用した、少なくとも２つのゾーン間の通信の実行３５４、
ｄ）少なくとも１つの信頼できるゾーンの定義３６０（図２Ｔを参照されたい）及び任意選択的に、信頼できるゾーンに割り当てられている少なくとも１つのアプリケーションプログラムによる、少なくとも１つの他の、特に信頼できないゾーンの監視３６２
のうちの少なくとも１つの要素を有することが想定されている。

以下においては、図６乃至図２１を参照して、他の好ましい実施形態、態様及び実施形態による原理の利点を説明する。これらは、他の好ましい実施形態に従って、それぞれ個別に単独で、又は、上述した実施形態のうちの少なくとも１つの実施形態との相互の組合せにより、組合せ可能である。

図６は、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ１の態様を概略的に示している。図６における雷マークＩＲＱは、例えば、周期的に（例えば、タイマモジュール（Ｔｉｍｅｒ）によって設定可能）及び／又はイベント駆動方式により（例えば、通信インタフェースへのメッセージの到着）生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、以下の要素、即ち、
ｅ１）割り込み要求ＩＲＱによって割り込まれたタスク又はプログラムのコンテキストを、例えば、スタックメモリ上に少なくとも一時的に格納するステップ（例えば、ＲＡＭ１０３０の設定可能な領域内において定義されるものとしてよい）、
ｅ２）後に実行されるタスクを識別するステップ、
ｅ３）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ４）識別されたゾーンのタスクを復元するステップ
のうちの少なくとも１つの要素を有する割り込みルーチンＩＳＲ１が実行される。

他の好ましい実施形態においては、図６による割り込みルーチンＩＳＲ１は、特にコア－ゾーン間分離の場合に、例示的に、オペレーティングシステムＢＳ（図４）によって使用され得る。

図７は、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ２の態様を概略的に示している。

図７における雷マークＩＲＱ’は、例えば、周期的に（例えば、タイマモジュール（Ｔｉｍｅｒ）によって設定可能）及び／又はイベント駆動方式により（例えば、通信インタフェースへのメッセージの到着）生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、以下の要素、即ち、
ｅ１’）割り込み要求ＩＲＱ’によって割り込まれたタスク又はプログラムのコンテキストを、例えば、スタックメモリ上に少なくとも一時的に格納するステップ、
任意選択的にｅ５）例えばスタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）、
ｅ６）後に実行されるタスクを識別するステップ、
ｅ７）（例えば、先行するステップｅ６から）コンテキストを、識別されたゾーンへ切り換えるステップであり、ここでは、識別されたゾーンは、後に実行される識別されたタスクと関連付けられている（選択的に、他の好ましい実施形態においては、この切換は、例えば、ＣＡＮ ＩＤ，ＶＬＡＮ ＩＤ，ＭＡＣアドレスなどを用いて、例えばアドレスに基づいて行われるものとしてもよい）、ステップ、
ｅ８）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップ、
ｅ９）後続のタスクのコンテキストを復元するステップ
のうちの少なくとも１つの要素を有する割り込みルーチンＩＳＲ２が実行される。

他の好ましい実施形態においては、図７による割り込みルーチンＩＳＲ２は、特に、コア－ゾーン内分離の場合に、例示的に、スーパーバイザＳＶ（図５）によって使用され得る。

図８は、他の好ましい実施形態によるフローチャートを概略的に示しており、参照符号３１０’は、例示的に、コンピューティングデバイス１００，１００ａのコールドスタートの態様を示しており、ここでは参照符号３１２’は、例示的に、コンピューティングデバイス１００，１００ａのウォームスタートの態様を示している。例えば、コールドスタート３１０’においては、ＲＡＭ１０３０（図３）の内容を検証するためのテストパターンは利用可能ではない。例えば、ウォームスタート３１２’においては、ＲＡＭ１０３０（図３）の内容を検証するためのテストパターンが利用可能である。

他の好ましい実施形態においては、少なくとも１回実行されるべきコールドスタートの範囲において、特にパワーダウンモードにおいて給電される揮発性メモリに、テストパターン又はパターンの書込を行うことができる。従って、上述の給電に基づいて、上述のテストパターン又はパターンは、それ自体が揮発性であるメモリ内に保存される。他の好ましい実施形態においては、この（ＲＡＭ）パターンは、システムステートマシン（例えば、システム状態を制御するために、他の好ましい実施形態において利用可能な状態機械）の少なくとも１つの開始サイクルの際に、特に各開始サイクルの際に検査され、特にテストパターンの存在に応じて、コールドスタート（例えば、（ＲＡＭ）パターンが存在していない場合）又はウォームスタート（例えば、（ＲＡＭ）パターンが存在している場合）が実行されるものとしてよい。

従って、他の好ましい実施形態においては、パワーダウンモードにおいて給電される揮発性メモリの完全性及び真正性、又は、揮発性メモリに含まれている若しくは揮発性メモリ内に存在している揮発性メモリのデータ及び機能性（例えば、特に第１のゾーン及び／又は第２のゾーン及び／又はプログラムコードに対する中央処理装置１０２ｃ及び／又はメモリ保護デバイスの構成データ）の完全性及び真正性が、少なくとも１回強制的に実行されるべき、先行するコールドスタート（セキュアブート及び／又はＯＴＰメモリからの開始（上記を参照））の範囲において保証される。

従って、他の好ましい実施形態においては、パワーダウンモードにおいて給電される揮発性メモリ内に存在しているデータ及び機能性の無効な改ざん並びにＲＡＭパターンの無効な改ざんは、少なくとも一時的な給電中断、ひいてはパワーダウンモードにおいて給電される揮発性メモリ（ＲＡＭパターンなど）の消去を暗黙的に示す。他の好ましい実施形態においては、システムステートマシンは、それに応じて、開始サイクルの範囲において、ＲＡＭパターンの欠如に基づいて、特に自動的に、コールドスタート（セキュアブート及び／又はＯＴＰからの開始（上記を参照））をトリガすることとなる。これによって、パワーダウンモードにおいて給電される揮発性メモリ又は揮発性メモリのデータ及び機能性の完全性及び真正性が、揮発性メモリの利用又は実行前に保証されている。

他の好ましい実施形態においては、テストパターンが存在する場合、例えば、ウォームスタートの範囲において選択されたタイムクリティカルなＳＷインスタンスが、それらの実行前に検査されるのではなく（即ち、例えば、特にセキュアブートではなく）、場合によってはランタイムに／それらの実行後に、はじめて検査されることが想定されている。これによって、有利には、ウォームスタート時のタイムクリティカルなＳＷインスタンスの起動時間が短縮される。従って、他の好ましい実施形態においては、ウォームスタート中の完全性及び真正性は、有利には、テストパターンが利用可能であること（ひいては先行するコールドスタート中の検査）によって、ウォームスタート中の明示的な検査がなくても暗黙的に保証される。他の好ましい実施形態においては、タイムクリティカルではないコンポーネントを、それらが遂行される前に、ウォームスタート中にも、（例えば、セキュアブートプロセスを用いて）明示的に検査することができる。

ブロック１０２ａ＿１は、例示的に、コンピューティングデバイスの第１の中央処理装置１０２ａ（図３）を「ｒｏｏｔ ｏｆ ｔｒｕｓｔ」として、即ち、ＴＰＭ（ｔｒｕｓｔｅｄ ｐｌａｔｆｏｒｍ ｍｏｄｕｌｅ）又はハードウェアセキュリティモジュール（ＨＳＭ）に類似したハードウェアセキュリティ基準に匹敵するものとして表し、ブロック１０２ａ＿２は、中央処理装置１０２ａに関連付けられたブートマネージャ（他のシステムプログラム及び／又はアプリケーションプログラムのロード及び／又は実行を制御するシステムプログラム）を表す。ブロック１０２ａ＿３は、ゾーンＺ２及び中央処理装置１０２ａに関連付けられたプログラムコードの実行を表す。ブロック１１０は、ハードウェアセキュリティモジュールを表す。ブロック１１１は、中央処理装置１０２ｃに関連付けられたブートマネージャを表す。ブロック１１２は、ゾーンＺ１，Ｚ２及び中央処理装置１０２ｃに関連付けられたプログラムコードの実行を表す（これは、例示的に、既に数回上述したように、両方のゾーンＺ１，Ｚ２に割り当てられている）。ブロック１１３は、中央処理装置１０２ｂに関連付けられたブートマネージャを表す。ブロック１１４は、ゾーンＺ１及び中央処理装置１０２ｂに関連付けられたプログラムコードの実行を表す。ブロック１１５は、中央処理装置１０２ｎに関連付けられたブートマネージャを表す。ブロック１１６は、ゾーンＺ１，Ｚ２及び中央処理装置１０２ｎに関連付けられたプログラムコードの実行を表す。

矢印ａ１は、ブートプロセス（例えば、完全に非アクティブ化された状態からのコンピューティングデバイス１００ａの起動）を表す。矢印ａ２は、少なくとも１つのメモリ保護デバイス、特に中央の、又は、バスシステム１０１（図３）に割り当てられているメモリ保護デバイスＭ５＿１，Ｍ５＿２，…，Ｍ５＿８の構成を表す。矢印ａ３は、中央処理装置１０２ｃのブートマネージャの開始を表す（ブロック１１１も参照されたい）。

矢印ａ４は、中央処理装置１０２ｃ用の少なくとも１つの専用メモリ保護デバイスＭ３（図３）の構成を表す。矢印ａ５は、中央処理装置１０２ｃによるプログラムコードの実行１１２の開始を表す。矢印ａ６は、例えば、ＲＴＭＤの形態における、中央処理装置１０２ｃの任意選択的な検証を表す。他の好ましい実施形態においては、メモリ保護デバイスＭ３の構成データの任意選択的な検証が、特に暗号化方法を用いて、例えば、ＣＭＡＣ及び／又は署名されたハッシュ値に基づいて行われ得る。

矢印ａ７は同様に、コールドスタート３１０’の状況における、中央処理装置１０２ｃの任意選択的な検証を表す。他の好ましい実施形態においては、任意選択的な検証ａ７は、例えば、ＣＭＡＣ及び／又は署名されたハッシュ値に基づく暗号化方法を用いて実行されるものとしてよい。矢印ａ８は、矢印ａ３と同様に、中央処理装置１０２ｃのブートマネージャの開始を表す（ブロック１１１も参照されたい）。矢印ａ９は、特に矢印ａ４と同様に、中央処理装置１０２ｃ用の少なくとも１つの専用メモリ保護デバイスＭ３（図３）の構成を表す。矢印ａ１０は、矢印ａ５と同様に、中央処理装置１０２ｃによるプログラムコードの実行１１２の開始を表す。

矢印ａ１１は、複数の、好ましくはすべての中央処理装置１０２ａ，１０２ｂ，…，１０２ｎの任意選択的な検証を表す。矢印ａ１２は、中央処理装置１０２ｎのブートマネージャの開始を表す（ブロック１１５も参照されたい）。矢印ａ１３は、中央処理装置１０２ｎ用の少なくとも１つの専用メモリ保護デバイスの構成を表す。矢印ａ１４は、中央処理装置１０２ｎによるプログラムコードの実行１１６の開始を表す。

矢印ａ１５は、中央処理装置１０２ｂのブートマネージャの開始を表す。矢印ａ１６は、中央処理装置１０２ｂ用の少なくとも１つの専用メモリ保護デバイスの構成を表す。矢印ａ１７は、中央処理装置１０２ｂによるプログラムコードの実行１１４の開始を表す。

矢印ａ１８は、中央処理装置１０２ａのブートマネージャの開始を表す。矢印ａ１９は、中央処理装置１０２ａ用の少なくとも１つの専用メモリ保護デバイスの構成を表す。矢印ａ２０は、中央処理装置１０２ａによるプログラムコードの実行１０２ａ＿３の開始を表す。

図９は、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ３の態様を概略的に示している。図９における雷マークＩＲＱ”は、例えば、周期的に（例えば、タイマモジュール（Ｔｉｍｅｒ）によって設定可能）及び／又はソフトウェアに基づいて（例えば、アプリケーションプログラムによって呼び出されて）生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、以下の要素、即ち、
ｅ１’）割り込み要求ＩＲＱ”によって割り込まれたタスク又はプログラムのコンテキストを少なくとも一時的に格納するステップと、
任意選択的にｅ５’）例えばスタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）と、
ｅ１０）（例えば、好ましくは静的なタスクリストに応じて）次のタスクへコンテキストを切り換えるステップと、
ｅ１１）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップと、
ｅ１２）識別されたゾーンのタスクを復元するステップと、
のうちの少なくとも１つの要素を有する割り込みルーチンＩＳＲ３が実行される。

図１０は、オペレーティングシステムＢＳ及び／又はスーパーバイザＳＶ（図５と同様であり、図１０には示されていない）が割り当てられており、かつ、２つのゾーンＺ１，Ｚ２にも割り当てられている、他の好ましい実施形態による中央処理装置１０２ａを概略的に示している。中央処理装置１０２ａは、例えば、ネットワークスイッチのために、例えば、イーサネットデータパケットを送信及び／又は受信するために使用されるものとしてよい。アプリケーションプログラムの相応のインスタンスには、参照符号ＡＰ３＿Ｉ１（イーサネットパケットの受信、ゾーンＺ１における実行）、ＡＰ３＿Ｉ２（イーサネットパケットの受信、ゾーンＺ２における実行）、ＡＰ４＿Ｉ１（イーサネットパケットの送信、ゾーンＺ１における実行）、ＡＰ４＿Ｉ２（イーサネットパケットの送信、ゾーンＺ２における実行）が付されている。例えば、ネットワークスイッチの管理タスクを実行する他のアプリケーションプログラムは、信頼できると定義されている第２のゾーンＺ２においてのみ実行され、信頼できないと定義されている第１のゾーンＺ１では実行されない。中央処理装置１０２ａにはＲＡＭ１０３０が割り当てられており、これは、他の好ましい実施形態においては、例えば、図５と同様に、分割されるものとしてよい。任意選択的に、スイッチングエンジン（例えば、結合ネットワーク）及び／又はＴＣＡＭ（ｔｅｒｎａｒｙ ｃｏｎｔｅｎｔ－ａｄｒｅｓｓａｂｌｅ ｍｅｍｏｒｙ）モジュールが設定されている。

図１１は、他の好ましい実施形態による２つの中央処理装置１０２ａ，１０２ｂを概略的に示しており、第１の中央処理装置１０２ａは、第１のゾーンＺ１に割り当てられており、第２の中央処理装置１０２ｂは、第２のゾーンＺ２に割り当てられている。２つの中央処理装置１０２ａ，１０２ｂにそれぞれ１つのオペレーティングシステムＢＳが割り当てられている。

図１１においては、見易くするために、まとめて参照符号Ｉ１が付されている、種々のアプリケーションプログラムの第１のインスタンスは、第１のゾーンＺ１に割り当てられており、ひいては第１の中央処理装置１０２ａに割り当てられている。他の好ましい実施形態においては、これらの種々のアプリケーションプログラムは、例えば、以下の要素、即ち、
ａ）特にディープパケットインスペクション ＤＰＩのための、データパケットの検査を実行するためのプログラム、
ｂ）診断のためのプログラム、
ｃ）特にＦＯＴＡ（ｆｉｒｍｗａｒｅ ｏｖｅｒ ｔｈｅ ａｉｒ）技術を用いた（例えば、図２２のデータインタフェース１００８を用いた）、アップデートを実行するためのプログラム、
ｄ）侵入検知及び侵入防止（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ ａｎｄ Ｐｒｅｖｅｎｔｉｏｎ）のためのプログラム
のうちの少なくとも１つの要素を有する。他の好ましい実施形態においては、第２の中央処理装置１０２ｂ及び第２のゾーンＺ２に、ここでは、第１のゾーンＺ１に関連して上述されたアプリケーションプログラムの相応の第２のインスタンスＩ２が割り当てられている。他の好ましい実施形態によれば、少なくとも１つのメモリ保護デバイスＳＳＥが、種々のゾーンの相応のアプリケーションプログラム若しくはインスタンスの読取権及び／又は書込権及び／又は実行権の制御ために使用可能である。例示的に図１１を参照して上述された構成によって、例えば、電子制御装置及び／又は組込システム及び／又はＩｏＴシステムなどのための、データパケットの検査のために、又は、侵入検知及び侵入防止のために、特に安全なシステムが効率的に提供され得る。ここでは、ゾーンＺ１，Ｚ２へのアプリケーションプログラムのインスタンスＩ１，Ｉ２の割り当てによって、特に有利には、例えば、実行（遂行）のための各コンテキストが、異なる信頼レベルで提供され得る。

図１２Ａは、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ４の態様を概略的に示している。図１２Ａにおける雷マークＲｘは、例えば、イベント駆動方式により、ここでは例示的に、メッセージ、例えばＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ Ａｒｅａ Ｎｅｔｗｏｒｋ）メッセージの受信時に生成され得る、割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、以下の要素、即ち、
ｅ２０）例えば、メッセージ又はプログラムの送信のために、割り込み要求Ｒｘによって割り込まれたタスク、特に送信タスク（「Ｔｘ ｔａｓｋ」）のコンテキストを少なくとも一時的に格納するステップと、
任意選択的にｅ２１）例えばスタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）と、
ｅ２２）受信したデータフレーム（例えば、上述の受信したＣＡＮメッセージの受信したデータフレーム）と関連付けられているゾーンを特定するステップと、
ｅ２３）コンテキストを、ステップｅ２２において特定されたゾーンへ切り換えるステップと、
ｅ２４）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップと、
ｅ２５）メッセージ受信のための処理ルーチン（「Ｒｅｃｅｉｖｅ（Ｒｘ）ｈａｎｄｌｅｒ」）を呼び出すステップ、即ち、例えば、受信したメッセージを処理するアプリケーションプログラム又はアプリケーションプログラムの一部を呼び出すステップと、
ｅ２６）識別されたゾーンのタスク（例えば、送信タスク）を復元するステップと、
のうちの少なくとも１つの要素を有する割り込みルーチンＩＳＲ４が実行される。

他の好ましい実施形態においては、送信タスク、即ち、メッセージを送信するためのタスク又はアプリケーションプログラム若しくはアプリケーションプログラムの一部が計画される（「スケジューリング」）。

他の好ましい実施形態においては、メッセージの受信を特徴付ける割り込み要求（「ＲｘＩＲＱ」、ｒｅｃｅｉｖｅ ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）は、例えば、タイマ（Ｔｉｍｅｒ）及び／又はアプリケーションプログラム若しくはソフトウェアによって一般的にトリガされる他の割り込み要求よりも高い優先度により処理される。

他の好ましい実施形態においては、同時に、又は、設定可能な第１の時間範囲内において、到来した割り込み要求に、例えば、割り込み要求のソース（到来したメッセージ、タイマ、ソフトウェア）に応じて及び／又は１つ又は複数の別の基準又は他の基準に応じて、優先順位が付けられる。他の好ましい実施形態においては、このような優先順位付けは、例えば、割り込み要求のための制御デバイス（英語で、ｉｎｔｅｒｒｕｐｔ ｃｏｎｔｒｏｌｌｅｒ）によって実行されるものとしてよい。

他の好ましい実施形態においては、コンテキストの切換（例えば、図１２Ａのステップｅ２３を参照されたい）は、事前に規定することが可能な動作モード、特にスーパーバイザモードにおいてのみ行われ得る。

例示的に図１２Ａを参照して上述された態様は、他の好ましい実施形態においては、例えば、軽量スーパーバイザ、特にＣＡＮ軽量スーパーバイザに対する到来したメッセージの処理を少なくとも一時的に制御するために利用されるものとしてよい。

図１２Ｂは、例えば、コンピューティングデバイス１００，１００ａの少なくとも１つの中央処理装置１０２ａ，１０２ｂ，…によって少なくとも一時的に実行可能である、他の好ましい実施形態による割り込みルーチンＩＳＲ５の態様を概略的に示している。図１２Ｂにおける雷マークＴＩＭ＿ＳＷは、例えば、タイマ又はアプリケーションプログラム又は一般的にソフトウェアによって生成され得る割り込み要求（ｉｎｔｅｒｒｕｐｔ ｒｅｑｕｅｓｔ）の発生を表す。従って、他の好ましい実施形態においては、以下の要素、即ち、
ｅ３０）例えば、メッセージ又はプログラムの送出のために、割り込み要求Ｒｘによって割り込まれたタスク、特に送信タスク（「Ｔｘ ｔａｓｋ」）のコンテキストを少なくとも一時的に格納するステップと、
任意選択的にｅ３１）例えばスタックメモリの評価を実行するステップ（例えば、図２Ｋのステップ３０２を参照されたい）及び／又はプログラムカウンタの評価を実行するステップ（例えば、図２Ｋのステップ３０４を参照されたい）と、
ｅ３２）（例えば、特に静的なタスクリストによって）、コンテキストを次の送信タスクへ切り換えるステップと、
ｅ３３）現在の動作モード、例えばスーパーバイザモードから他の動作モード、例えばユーザモードへ切り換えるステップと、
ｅ３４）識別されたゾーンのタスク（例えば、送信タスク）を復元するステップと、
のうちの少なくとも１つの要素を有する割り込みルーチンＩＳＲ５が実行される。

例示的に図１２Ａを参照して上述された、これらのさらなる態様は、他の好ましい実施形態においては、図１２Ｂによる割り込みルーチンＩＳＲ５に対して、相応に当てはまる。

図１３は、他の好ましい実施形態によるコンピューティングデバイス１００ｂの態様の簡略化されたブロック図を概略的に示している。ここでは、コンピューティングデバイス１００ｂは、例示的に、４つの中央処理装置Ｋ１，Ｋ２，Ｋ３，Ｋ４を有しており、これらの中央処理装置のうちの第１の中央処理装置Ｋ１は、通信メッセージ、特にＣＡＮメッセージを処理するように構成されている。従って、他の好ましい実施形態においては、図１３の第１の中央処理装置Ｋ１は、「ＣＡＮコア」とも称され得る。他の中央処理装置Ｋ２，Ｋ３は、アプリケーションプログラム（場合によっては、アプリケーションプログラムの異なるインスタンス）を実行するために設けられており、従って、他の好ましい実施形態においては、「アプリケーションコア」又は英語で「Ａｐｐｌｉｃａｔｉｏｎ Ｃｏｒｅｓ」Ｋ２，Ｋ３とも称され得る。図１３の第４の中央処理装置Ｋ４は、イーサネット通信メッセージを処理するように構成されており、従って、他の好ましい実施形態においては、イーサネットコア又はＥＴＨコア又は英語で「ＥＴＨ Ｃｏｒｅ」Ｋ４とも称され得る。第１の中央処理装置Ｋ１には第１のスーパーバイザＳＶ１、特にＣＡＮ軽量スーパーバイザが割り当てられており、第４の中央処理装置Ｋ４には第２のスーパーバイザＳＶ２、特にＥＴＨ（イーサネット）軽量スーパーバイザが割り当てられている。

他の好ましい実施形態においては、第１の中央処理装置Ｋ１は、２つのゾーンＺ１，Ｚ２に割り当てられている。他の好ましい実施形態においては、第４の中央処理装置Ｋ４も、２つのゾーンＺ１，Ｚ２に割り当てられている。

他の好ましい実施形態においては、第１の中央処理装置Ｋ１に、ＣＡＮメッセージを送信及び／又は受信するためのアプリケーションプログラムが割り当てられており、図１３の参照符号Ｉ１は、このアプリケーションプログラムの第１のインスタンス（又はプログラム又はサブプログラム又はプロキシ）を示し、第１のインスタンスＩ１は、第１のゾーンＺ１に割り当てられており、ＣＡＮメッセージを受信するように構成されている。これとは異なり、参照符号Ｉ２は、このアプリケーションプログラムの第２のインスタンス（又はプログラム又はサブプログラム又はプロキシ）を示し、第２のインスタンスＩ２は、第２のゾーンＺ２に割り当てられており、ＣＡＮメッセージを受信するように構成されている。参照符号Ｉ３，Ｉ４は、ＣＡＮメッセージを送信又は受信するための相応のインスタンス（又はプログラム又はサブプログラム又はプロキシ）を示し、これらは、それぞれ同様に、２つのゾーンＺ１，Ｚ２のうちの１つのゾーンに割り当てられている。

他の好ましい実施形態においては、例示的に図１２Ａ，１２Ｂを参照して上述された割り込み要求Ｒｘ，ＴＩＭ＿ＳＷが、例えば、相応の割り込みルーチンＩＳＲ４（図１２Ａ）又はＩＳＲ５（図１２Ｂ）を実行することによって、第１の中央処理装置Ｋ１によって処理され得る。

他の好ましい実施形態においては、第４の中央処理装置Ｋ４に、イーサネットメッセージを送信及び／又は受信するためのアプリケーションプログラムが割り当てられており、図１３の参照符号Ｉ１’は、このアプリケーションプログラムの第１のインスタンス（又はプログラム又はサブプログラム又はプロキシ）を示し、第１のインスタンスＩ１’は、第１のゾーンＺ１に割り当てられており、イーサネットメッセージを受信するように構成されている。これとは異なり、参照符号Ｉ２’は、このアプリケーションプログラムの第２のインスタンス（又はプログラム又はサブプログラム又はプロキシ）を示し、第２のインスタンスＩ２’は、第２のゾーンＺ２に割り当てられており、イーサネットメッセージを受信するように構成されている。参照符号Ｉ３’，Ｉ４’は、イーサネットメッセージを送信又は受信するための相応のインスタンス（又はプログラム又はサブプログラム又はプロキシ）を示しており、これらは、それぞれ同様に、２つのゾーンＺ１，Ｚ２のうちの１つのゾーンに割り当てられている。

他の好ましい実施形態においては、中央処理装置Ｋ１，Ｋ４内の２つのゾーンＺ１，Ｚ２の分離は、少なくとも１つのメモリ保護デバイスＳＳＥ１，ＳＳＥ４を用いて行われる。

既に上述したように、２つのアプリケーションコアＫ２，Ｋ３は、アプリケーションプログラムを実行するように構成されており、アプリケーションプログラム又はアプリケーションプログラムの個々のインスタンス（又はプログラム又はサブプログラム又はプロキシ）は、図１３において、関連するアプリケーションコアＫ２，Ｋ３内の長方形として暗黙的に示されているが、見易くするために詳細には図示されていない。他の好ましい実施形態においては、第２の中央処理装置Ｋ２は、第２のゾーンＺ２に割り当てられており、第３の中央処理装置Ｋ３は、第１のゾーンＺ１に割り当てられている。

他の好ましい実施形態においては、コンピューティングデバイス１００ｂは、揮発性メモリ、特にメインメモリ（ＲＡＭ）１０３０ｂを有しており、揮発性メモリは、例えば、図４に示されているのと同様に、異なる領域、特に異なるバッファメモリ領域に分割されており、これらの領域はそれぞれ、異なる中央処理装置Ｋ１，Ｋ２，Ｋ３，Ｋ４又はそれらのゾーンＺ１，Ｚ２に割り当てられている。

例えば、図１３のコンピューティングデバイス１００ｂのメインメモリ１０３０ｂの第１の領域Ｂ１は、第１の中央処理装置Ｋ１に割り当てられており、ここで、第１の部分領域Ｂ１＿１は、第１のゾーンＺ１に割り当てられており、第２の部分領域Ｂ１＿２は、第２のゾーンＺ２に割り当てられている。他の好ましい実施形態においては、相応の領域又は部分領域Ｂ４，Ｂ４＿１，Ｂ４＿２への同様の分割が、第４の中央処理装置Ｋ４に対しても可能である。

他の好ましい実施形態においては、メインメモリ１０３０ｂの他の領域Ｂ２，Ｂ３を、例えば、アプリケーションコアＫ２，Ｋ３に割り当てることができる。他の好ましい実施形態においては、領域Ｂ２を、例えば、信頼できる領域Ｂ２’と信頼できない領域Ｂ２”とにさらに分割することができる。同様のことが、他の好ましい実施形態においては、第３のアプリケーションコアＫ３にも当てはまる（参照符号Ｂ３’，Ｂ３”を参照されたい）。

他の好ましい実施形態においては、図１３において参照符号ＳＳＥ’によって集合的に示されている１つ又は複数のさらなるメモリ保護デバイスが設けられるものとしてよく、これによって、例えば、読取権及び／又は書込権及び／又は実行権に関する、好ましい実施形態による各分離を実現することができる。

他の好ましい実施形態においては、図１３のコンピューティングデバイス１００ｂは、例えば、ゲートウェイ４３２、即ち、ネットワーク結合要素の機能性を提供するものとしてよく、これは、例えば、ＣＡＮバス（ＣＡＮコア Ｋ１を参照されたい）をイーサネットネットワーク（ＥＴＨコア Ｋ４を参照されたい）と結合することができる。他の好ましい実施形態においては、例えば、第１の中央処理装置Ｋ１は、ＣＡＮメッセージ用のいわゆる高速ルーティングエンジンの機能を担うことができ、及び／又は、第４の中央処理装置Ｋ４は、イーサネットメッセージ用のいわゆる高速エンジンの機能を担うことができる。

図１４は、例えば、メッセージ、特にＣＡＮメッセージの受信時の割り込み要求の処理を例示的に示す、他の好ましい実施形態によるフローチャートを概略的に示している。

ブロックＩＳＲ６は、例えば、次の割り込み要求、即ち、
ａ）メッセージの受信（「Ｒｘ」）、
ｂ）タイマ（「Ｔｉｍｅｒ」）の通知、
ｃ）ソフトウェアを用いて生成された割り込み要求（「ＳＷ」）
のうちの少なくとも１つの割り込み要求の際に実行可能な割り込みルーチンを例示的に表している。ブロックＴ＿ＲＸ＿Ｚ１は、ゾーンＺ１に割り当てられており、メッセージの受信時（「Ｒｘ」）に実行されるタスク（例えば、アプリケーションプログラムの一部又はアプリケーションプログラムのインスタンス）を例示的に表している。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ１と比肩可能である。ブロックＴ＿ＲＸ＿Ｚ２は、ゾーンＺ２に割り当てられており、メッセージの受信時に実行されるタスクを例示的に表している。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ２と比肩可能である。ブロックＴ＿ＴＸ＿Ｚ１は、ゾーンＺ１に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表している。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ３と比肩可能である。ブロックＴ＿ＴＸ＿Ｚ２は、ゾーンＺ２に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表している。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ４と比肩可能である。

矢印ａ３０は、（ＣＡＮ）メッセージの受信によってトリガされる割り込み要求を表し、これは、特に現在実行中のタスク（送信タスクＴ＿ＴＸ＿Ｚ２を参照されたい）の処理を中断する（矢印ａ３０’を参照されたい）。この結果、他の好ましい実施形態においては、受信機タスクＴ＿ＲＸ＿Ｚ１が、割り込みルーチンＩＳＲ６によって呼び出される（矢印ａ３１を参照されたい）。受信機タスクＴ＿ＲＸ＿Ｚ１の実行後、これは、好ましくはソフトウェア割り込み要求（Ｓｏｆｔｗａｒｅ－Ｉｎｔｅｒｒｕｐｔ）ａ３２によって、再び割り込みルーチンＩＳＲ６に分岐し、その後、これは、以前に中断された送信タスクＴ＿ＴＸ＿Ｚ２を続行する（矢印ａ３３を参照されたい）。タイマによって生成される割り込み要求（Ｔｉｍｅｒ ＩＲＱ）が発生するとａ３４、割り込みルーチンＩＳＲ６は送信タスクＴ＿ＴＸ＿Ｚ１を呼び出す（矢印ａ３５を参照されたい）。これによって、その前に実行されていた送信タスクＴ＿ＴＸ＿Ｚ２の割り込みａ３４’が発生する。

図１４のダイヤグラム及び上述の説明から、実施形態による原理に従って異なるゾーンＺ１，Ｚ２，…（他の好ましい実施形態においては、２つ以上のゾーンも可能である）に割り当て可能な、実施形態によるコンピューティングデバイスによって実行可能な異なるプログラム部分（タスク）が、どのように実行可能であるのかが明確に示され、又は、それらの実行が、例えば、オペレーティングシステムＢＳ及び／又はスーパーバイザＳＶの一部であり得る、例えば割り込みルーチンＩＳＲ６によってどのように制御可能であるのかが明確に示される。

図１５は、他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示しており、ここでは、例示的なゾーン遷移ＺＴ、即ち、好ましい実施形態による第１のゾーンから、好ましい実施形態による第２のゾーンへのデータの伝送を対象として含む用途が例示的に示されている。

ここで、図１５の第１の中央処理装置Ｋ１は、既に図１３を参照して上述されたＣＡＮコアＫ１に相当し、図１５の他の中央処理装置Ｋ２，Ｋ３は、図１３のアプリケーションコアＫ２，Ｋ３に相当する。同様のことが、メインメモリ１０３０ｂの領域Ｂ１，Ｂ２，Ｂ３又はそれらの部分領域にも当てはまる。

矢印Ａ１は、ＣＡＮメッセージの受信を表し、これは、第１の中央処理装置Ｋ１の相応のアプリケーションプログラムのインスタンスＩ１（又はプログラム又はサブプログラム又はプロキシ）による処理をトリガする。第１のゾーンＺ１に割り当てられているインスタンスＩ１は、受信したＣＡＮメッセージのデータ又はそこから得られたデータを、メインメモリを介して（特に他の交換用バッファメモリ領域Ｂ３”を介して）、このようなデータを処理するためのアプリケーションプログラムのインスタンスＩ５（又はプログラム又はサブプログラム又はプロキシ）に伝送する（矢印Ａ２を参照されたい）。インスタンスＩ５は、第１のゾーンＺ１に割り当てられており、第３の中央処理装置Ｋ３によって実行可能である（矢印Ａ３を参照されたい）。図１５の参照符号Ｉ６は、データパケットの検査、特にディープパケットインスペクション ＤＰＩのためのアプリケーションプログラムのインスタンスを示す。これは、受信したデータ（このデータは、交換用バッファメモリ領域Ｂ３”内に位置する）をより詳細に検査し、さらに、メインメモリ１０３０ｂの部分領域Ｂ３”に書き込む（矢印Ａ５を参照されたい）。さらに、第２の中央処理装置Ｋ２により実行され、第２のゾーンＺ２に割り当てられているＤＰＩアプリケーションプログラムの他のインスタンスＩ６’が、部分領域Ｂ３”からデータを読み取る。これは、既に上述されたゾーン遷移ＺＴに相当する（矢印Ａ６を参照されたい）。

他の好ましい実施形態においては、（ＤＰＩの意味における）特に詳細なペイロード分析が、例えば、インスタンスＩ６’（「Ｚ２－ＤＰＩ－プロキシ」、即ち、ＤＰＩ方法を実行する、第２のゾーンＺ２に割り当てられているプロキシ）によって実行され、ここではインスタンスＩ６（「Ｚ１－ＤＰＩ－プロキシ」、即ち、ＤＰＩ方法を実行する、第１のゾーンＺ１に割り当てられているプロキシ）は、好ましくは、Ｂ３”におけるデータのコピーを担当する。

第２の中央処理装置Ｋ２によるデータの任意選択的なさらなる処理の後（矢印Ａ７を参照されたい）、データ又はそこから派生したデータは、インスタンスＩ５’によって、メインメモリ１０３０ｂのメモリ領域Ｂ１＿２（第２のバッファメモリ領域）に書き込まれ（矢印Ａ８を参照されたい）、ここから、インスタンスＩ４は、データを取り出し、例えば、再びＣＡＮバスに送出する（矢印Ａ１０を参照されたい）。インスタンスＩ４は、例えば、ＣＡＮメッセージを送信するように構成されており、第２のゾーンＺ２に割り当てられており、ＣＡＮコアＫ１によって実行可能である。

例示的に図１５を参照して上述されたシナリオは、次の用途、即ち、
ａ）ＣＡＮメッセージを使用した診断、
ｂ）ＣＡＮメッセージに適用されるＤＰＩ、
ｃ）プロキシ、例えば、通信プロトコル及び／又は診断プロトコルなどに対するプロキシの形成、
ｄ）特にアプリケーションプログラムを取り入れた、例えば第１のＣＡＮバスから例えば第２のＣＡＮバスへのルーティング（これによって、例示的に、ルーティングされるＣＡＮメッセージ、特に分析及び／又は変更の処理が可能になる）
のうちの少なくとも１つの用途に対して使用可能である。

図１６は、図１３及び図１５の表示に基づいた、他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示しており、ここでは、例示的なゾーン遷移ＺＴ’、即ち、好ましい実施形態による第１のゾーンＺ１から、好ましい実施形態による第２のゾーンＺ２へのデータの伝送を対象として含む用途が例示的に示されている。図１５のシナリオとは異なり、図１６のシナリオにおけるゾーン遷移ＺＴ’は、矢印Ａ１１乃至Ａ２０に従って、イーサネットコアＫ４から始まってＣＡＮコアＫ１へと行われる。

図１６から、イーサネットメッセージの受信Ａ１１の後に、相応のデータがメモリ領域又は第１のバッファメモリ領域Ｂ３’内に格納され（矢印Ａ１２）、このメモリ領域からデータが、第１のゾーンＺ１に割り当てられているアプリケーションコアＫ３によって読み込まれ（矢印Ａ１３）、処理され（矢印Ａ１４）、さらに、相応に処理されたデータが、他のメモリ領域又は交換用バッファメモリ領域Ｂ３”内に書き込まれる（矢印Ａ１５）ことが見て取れる。

さらに、このデータは、第２のゾーンＺ２に割り当てられているアプリケーションコアＫ２によって読み込まれ（矢印Ａ１６を参照されたい）、処理され（矢印Ａ１７を参照されたい）、他のメモリ領域又は第２のバッファメモリ領域Ｂ１＿２内に書き込まれる（矢印Ａ１８を参照されたい）。さらに、データは、ＣＡＮコアＫ１によって、この第２のメモリ領域Ｂ１＿２から読み込まれ（矢印Ａ１９）、インスタンスＩ４（ＣＡＮメッセージを送出するためのアプリケーションプログラムの一部）によって処理され、ＣＡＮバス（図示せず）に送出される（矢印Ａ２０を参照されたい）。

図１７は、図１６と比肩可能な構成を例示的に示しており、この構成においては、到来したイーサネットメッセージが中央処理装置Ｋ４によって受信され（Ａ２１）、メインメモリ１０３０ｂ内にバッファされ（Ａ２２）、第１の中央処理装置Ｋ１のインスタンスＩ３を用いて読み取られ（Ａ２３）、ＣＡＮバスに送信される（Ａ２４）。

図１８は、図１３及び図１５の表示に基づいた、他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示している。ここでは、ハードウェアセキュリティモジュールＨＳＭが使用される用途が例示的に示されている。ハードウェアセキュリティモジュールＨＳＭは、ここでは例示的に、特に第２の中央処理装置Ｋ２’も有するコンピューティングデバイス（図１８には示されていない、例えば、図１の参照符号１００を参照されたい）に統合されており、暗号化機能を実行するように構成されている。他の好ましい実施形態においては、暗号化機能は、例えば、（秘密）鍵の格納及び／又はハッシュ値の形成及び／又は署名などを有するものとしてよい。

他の好ましい実施形態においては、ハードウェアセキュリティモジュールＨＳＭは、好ましくは、コンピューティングデバイスと同一の半導体基板又はダイ（チップ）上に配置されている独立した（「ｏｎ－ｃｈｉｐ」）モジュールを表す。ハードウェアセキュリティモジュールＨＳＭは、好ましくは、固有の中央処理装置（図示されていない）、及び、場合によっては固有のメモリなどを有する。

他の好ましい実施形態においては、暗号スタックＫＳが設けられており、これは、コンピューティングデバイスの中央処理装置とハードウェアセキュリティモジュールＨＳＭとの間の通信に利用可能である。他の好ましい実施形態においては、特にセキュリティ上の理由から、この暗号スタックＫＳは、中央処理装置Ｋ２’上においてのみ実現されている。なぜなら、中央処理装置Ｋ２’は、ここでは例示的に、信頼できるゾーンＺ２にのみ割り当てられている、コンピューティングデバイスの単一の中央処理装置だからである。従って、他の好ましい実施形態においては、中央処理装置Ｋ２’は、「ｍｏｓｔ ｓｅｃｕｒｅ ｃｏｒｅ」、即ち、最も安全な中央処理装置とみなされ得る。矢印Ａ３１，Ａ３２，Ａ３３，Ａ３４，Ａ３５，Ａ３６は、例示的に以下のステップを表している。即ち、イーサネットメッセージを受信するステップ（Ａ３１）と、受信したメッセージを第１のバッファメモリ領域Ｂ３’内に格納するステップ（Ａ３２）と、第３の中央処理装置Ｋ３のアプリケーションプログラムによってこのメッセージをロードするステップ（Ａ３３）と、第３の中央処理装置Ｋ３によって、ロードされたメッセージを処理するステップ（Ａ３４）と、処理時に得られたデータを交換用バッファメモリ領域Ｂ３”内に書き込むステップ（Ａ３５）と、第２の中央処理装置Ｋ２’上において実行可能なプログラム又はアプリケーションプログラムによって、交換用バッファメモリ領域Ｂ３”から、書き込まれたデータをロードするステップ（Ａ３６）と、を表している。

他の好ましい実施形態においては、第２の中央処理装置Ｋ２’は、特にハードウェアセキュリティモジュールＨＳＭも使用して、ロードされたデータを処理する（矢印Ａ３７を参照されたい）。処理Ａ３７は、例えば、データの暗号化を含み得る。さらに、処理されたデータＡ３８が第２のバッファメモリ領域Ｂ１＿２内に書き込まれる（Ａ３８）。その後、ＣＡＮコアＫ１のインスタンスによって第２のバッファメモリ領域Ｂ１＿２から、このデータがロードされ（Ａ３９）、ＣＡＮバスに送信される。

図１９は、図１８の表示に基づいた、他の好ましい実施形態による態様の簡略化されたブロック図を概略的に示しており、ここでは、例えば、特にＦＯＴＡ（ｆｉｒｍｗａｒｅ ｏｖｅｒ ｔｈｅ ａｉｒ）タイプのファームウェアアップデートが実行可能な用途が例示的に示されている。例えば、好ましい実施形態においては、データの受信は、イーサネット接続を介して、例えば第４の中央処理装置Ｋ４を用いて行われるものとしてよい（矢印Ａ４１を参照されたい）。受信プログラムのインスタンスＩ１’は、受信したデータを第１のメモリ領域Ｂ３’内に書き込む（矢印Ａ４２を参照されたい）。アプリケーション中央処理装置Ｋ３上のアプリケーションプログラムのインスタンスは、第１のバッファメモリ領域Ｂ３’からデータをロードし（Ａ４３）、処理する（Ａ４４）。例えば、第１のＦＯＴＡプロキシＩ７である他のインスタンスＩ７は、処理されたデータからＦＯＴＡプロセスに必要なデータを抽出し、抽出されたデータを、例えば、（特に第２のゾーンＺ２の観点から）信頼できないものとしてみなされている交換用バッファメモリ領域Ｂ３”内に書き込む（Ａ４５）。例えば第２のＦＯＴＡプロキシであり、中央処理装置Ｋ２”上において実行可能なアプリケーションプログラムのインスタンスＩ８は、交換用バッファメモリ領域Ｂ３”からデータをロードする（矢印Ａ４６）。任意選択的に、次に、中央処理装置Ｋ２”によって、ロードされたデータに対して暗号化方法が実行されるものとしてよく、これは、例えば、有利にはハードウェアセキュリティモジュールＨＳＭを利用するＣＭＡＣ形成である（矢印Ａ４７を参照されたい）。他の好ましい実施形態においては、任意選択的に処理されるデータ又はＣＭＡＣ値が外部メモリに格納されるものとしてよい（矢印Ａ４８を参照されたい）。このような格納は、他の好ましい実施形態においては、ＦＯＴＡプロキシＩ８によって制御される。

他の好ましい実施形態においては、第２のゾーンＺ２は、交換用バッファメモリ領域Ｂ３”に対する読取権のみを有しており、特に書込権及び／又は遂行権は有していない。このことは、他の好ましい実施形態において、例えば、例示的に図４，図５を参照して上述された構成においても相応に当てはまり得る。

他の好ましい実施形態においては、例えば、少なくとも１つの中央処理装置又はコンピューティングデバイス全体及び／又は相応の制御装置に対する完全なメモリ画像（「ＥＣＵ 画像」）１０３３ａも、外部メモリ１０３３に一時的に格納されるものとしてよい。

他の好ましい実施形態においては、第２の中央処理装置Ｋ２”によって実行可能なアプリケーションプログラム又はその相応のインスタンスが、例えば、外部メモリ１０３３内に格納されているデータの内容を検査又は確認することができる。

他の好ましい実施形態においては、例えば、外部メモリ１０３３内に含まれているデータの確認が成功した後に、相応のメモリ画像１０３３ａが１つ又は複数の外部装置（図示せず）に分配されるものとしてよく（矢印Ａ４９，Ａ５０，Ａ５１，Ａ５２を参照されたい）、これらは特に、例えばブロックごとに、外部メモリ１０３３ａからメインメモリ１０３０ｂの第２のバッファメモリ領域Ｂ１＿２へメモリ画像１０３３ａをコピーし（Ａ５０）、そこからインスタンスＩ４へコピーすること（例えば、ＣＡＮ送信タスク）を対象として含む。

他の好ましい実施形態においては、この確認は、好ましくは、デジタル署名及び／又は署名されたハッシュ値に基づいて実行されるものとしてよい。例えば、他の好ましい実施形態においては、署名されたハッシュ値が各ＥＣＵ画像に対して存在するものとしてよい。他の好ましい実施形態においては、署名検証は、好ましくは、ハードウェアセキュリティモジュールＨＳＭを介して実行されるものとしてよい。

他の好ましい実施形態においては、例えば、メモリ画像１０３３ａの分配又はコピー中にも、好ましくは同様にブロックごとに、関連するブロックの完全性及び／又は真正性を検査することを可能にするＣＭＡＣ値及び／又は他の値の検査が行われるものとしてよい。これは、例えば、ハードウェアセキュリティモジュールＨＳＭによって任意選択的にサポートされて、例えば第２の中央処理装置Ｋ２”上において実行されるアプリケーションプログラムの相応のインスタンスによって制御されて行われる。

他の好ましい実施形態においては、例えば、ＣＭＡＣ値の形成及び検証は、特に、例えば、署名検証のための補足的な完全性保護及び真正性保護として機能し得る。他の好ましい実施形態においては、例えば、交換用バッファメモリ領域Ｂ３”からの個々のデータパケット又は各個々のデータパケットに、ＣＭＡＣ値又は切り捨てられた（「ｔｒｕｎｃａｔｅｄ」）ＣＭＡＣ値が設けられるものとしてよい。他の好ましい実施形態においては、これ又はこれらは、例えば、第２のバッファメモリ領域Ｂ１＿２への伝送の前に検証され、これによって、特に、完全かつ真正のデータパケットのみが第２のバッファメモリ領域Ｂ１＿２に到達することが保証される。他の好ましい実施形態においては、バッファごとのＣＭＡＣ生成及びＣＭＡＣ検証は任意選択的である。図２０，図２１は、例えば、メッセージ、特にＣＡＮメッセージの受信時の割り込み要求の処理を例示的に示す、他の好ましい実施形態による概略的なフローチャートを示している。

ブロックＩＳＲ７は、例えば、メッセージの受信（「Ｒｘ」）を通知する（「ＲｘＩＳＲ」）割り込み要求時に実行可能な割り込みルーチンを例示的に表している。

ブロックＩＳＲ８は、例えば、次の割り込み要求、即ち、
ａ）タイマ（「Ｔｉｍｅｒ」）の通知、
ｂ）ソフトウェアによって生成される割り込み要求（「ＳＷ ＩＳＲ」）
のうちの少なくとも１つの割り込み要求時に実行可能な割り込みルーチンを例示的に表している。

ブロックＲＸ＿Ｈ＿Ｚ１は、ゾーンＺ１に割り当てられており、メッセージの受信（「Ｒｘ」）時に実行される受信ハンドラ（例えば、メッセージの受信を制御するアプリケーションプログラムの一部又はインスタンス）を例示的に表す。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ１と比肩可能である。

ブロックＲＸ＿Ｈ＿Ｚ２は、ゾーンＺ２に割り当てられており、メッセージの受信（「Ｒｘ」）時に実行される受信ハンドラ（例えば、メッセージの受信を制御するアプリケーションプログラムの一部又はインスタンス）を例示的に表す。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ２と比肩可能である。

ブロックＴ＿ＴＸ＿Ｚ１’は、ゾーンＺ１に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表す。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ３と比肩可能である。ブロックＴ＿ＴＸ＿Ｚ２’は、ゾーンＺ２に割り当てられており、メッセージの送信時に実行されるタスクを例示的に表す。これは、図１３のコンピューティングデバイス１００ｂの第１の中央処理装置Ｋ１のインスタンスＩ４と比肩可能である。

矢印ａ４０は、（ＣＡＮ）メッセージの受信によってトリガされる割り込み要求を表し、これは、特に現在実行中のタスク（送信タスクＴ＿ＴＸ＿Ｚ２’を参照されたい）の処理を中断する（矢印ａ４０’を参照されたい）。この結果、他の好ましい実施形態においては、受信ハンドラＲＸ＿Ｈ＿Ｚ１が、割り込みルーチンＩＳＲ７によって呼び出される（矢印ａ４１を参照されたい）。受信ハンドラＲＸ＿Ｈ＿Ｚ１の実行後、これは（例えば、好ましくは、ソフトウェアを用いて生成された割り込み要求によって）割り込みルーチンＩＳＲ７に戻る（矢印ａ４２）。

図２０の例においては、さらに、送信タスクＴ＿ＴＸ＿Ｚ１’が実行される（矢印ａ４３を参照されたい）。これは、他の好ましい実施形態においては、次のような特定の利点を有し得る。即ち、タスクＲＸ＿Ｈ＿Ｚ１によって、いずれにせよ、既に、第１のゾーンＺ１に対するメモリ保護デバイスの静的な構成（例えば、相応の構成データセット）がアクティブにされているという利点である。この静的な構成は、好ましくは送信タスクＴ＿ＴＸ＿Ｚ１’にも適用される。これによって、特にパフォーマンスの観点から、送信タスクＴ＿ＴＸ＿Ｚ１’を実行する前の、メモリ保護デバイスの関連する静的な構成の切換を省略することができる。

タイマによって生成された割り込み要求（Ｔｉｍｅｒ ＩＲＱ）が発生すると（ａ４４）、割り込みルーチンＩＳＲ７は送信タスクＴ＿ＴＸ＿Ｚ２’を呼び出す（矢印ａ４５を参照されたい）。これによって、その前に実行されていた送信タスクＴ＿ＴＸ＿Ｚ１’の割り込み（ａ４４’）が発生する。ゾーンＺ２の静的な構成（例えば、相応の構成データセット）への切換が、好ましくは、送信タスクＴ＿ＴＸ＿Ｚ２’が実行される前に行われる。その後、このフローは、例えば、ソフトウェア割り込み（ａ４６）を用いて、割り込みルーチンＩＳＲ７に戻り、次に送信タスクＴ＿ＴＸ＿Ｚ１’が続行される（矢印ａ４７を参照されたい）。

他の好ましい実施形態においては、図２０，図２１による割り込みルーチンＩＳＲ７は、例えば、図１２Ａによる構成ＩＳＲ４と比肩可能又は同一の構成を有するものとしてよい。

以下においては、他の好ましい実施形態、態様及び実施形態による原理の利点を説明する。これらは、他の好ましい実施形態に従って、それぞれ個別に単独で、又は、上述した実施形態のうちの少なくとも１つの実施形態との相互の組合せにより、組合せ可能である。

他の好ましい実施形態においては、コンピューティングデバイスへの侵入表面を制限するための措置として、例えば、図４，図５のメモリ１０３０ａへのアクセス権の制限が利用可能であり、これによって、ゾーンごとのメモリ分離が、例えば、それ自体公知のメモリ保護デバイスのメカニズムを利用して可能になる。特に好ましくは、他の実施形態においては、ゾーンごとのメモリ分離を、以下において例示的に挙げるメモリ形式、即ち、例えば、信頼できるバッファメモリ（（例えば、共有ＲＡＭ１０３０における）信頼できるバッファ）の形態及び／又は信頼できないバッファメモリ（（例えば、共有ＲＡＭ１０３０における）信頼できないバッファ）の形態のバッファ（バッファメモリ）、スタック（スタックメモリ）、データメモリ（例えば、データフラッシュ ＥＥＰＲＯＭなど）、プログラムメモリ（例えば、プログラムフラッシュ ＲＯＭなど）、ＳＦＲ（特殊機能レジスタ）のもとで行うことができる。

他の好ましい実施形態においては、種々のゾーンの間におけるデータ交換（「ゾーン内データ交換及び／又はゾーン間データ交換」）を、例えば、共有ＲＡＭ（分割されたメインメモリ，図４の参照符号１０３０ａを参照されたい）内に位置するバッファを介して実現することができる。

他の好ましい実施形態においては、例えば、少なくともそれぞれ１つの信頼できるバッファ及び信頼できないバッファ（用途によっては、バッファを省略することもできる）又はバッファメモリ領域が、アプリケーションプログラムのインスタンスＩ１，Ｉ２，Ｉ３（「プロキシ」）ごとにかつゾーンごとに設けられるものとしてよい（例えば、図４の部分領域ＴＢ１ａ，ＴＢ１ｂを参照されたい）。

他の好ましい実施形態においては、ゾーン内のデータ交換又はゾーン内通信が、特に、このゾーンの信頼できる又は第２のバッファメモリ領域ＴＢ２ａ（図４）を介してのみ行われる。

他の好ましい実施形態においては、ゾーン間のデータ交換又はゾーン間通信は、好ましくは、共有ＲＡＭ１０３０ａに配置された信頼できないバッファ又は交換用バッファメモリ領域ＴＢ１ａを介して行われる。例えば、他の好ましい実施形態においては、データがゾーンＺ１からゾーンＺ２に転送される際に、データは、好ましくは、最初に、Ｚ１プロキシによって、関連するＺ１の信頼できないバッファ又は交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ”にコピーされ、関連するＺ２プロキシによって、その有効性に関して内容が検証され、妥当又は正しい内容、信頼できるデータの場合は、Ｚ２プロキシからＺ２の信頼できるバッファ又は第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２にコピーされる。他の好ましい実施形態においては、Ｚ１の信頼できないバッファ又は交換用バッファメモリ領域ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”からＺ２の信頼できるバッファ又は第２のバッファメモリ領域ＴＢ２ａ，Ｂ１＿２へのデータ検証が成功した後のコピープロセスが、ゾーン遷移と称される。他の好ましい実施形態においては、Ｚ２の信頼できるバッファに位置する検証済みの信頼できるデータは、Ｚ２内においてそれに応じて処理又は転送されるものとしてよく、即ち、他の好ましい実施形態においては、データ検証は、ゾーン遷移及び場合によってはデータ利用の前に行われる。

実施形態によるコンピューティングデバイスの侵入表面を制限するためのさらなる措置は、他の好ましい実施形態によるランタイムへのアクセス権の制限であり、これは、他の好ましい実施形態においては、例えば、相応のオペレーティングシステムＢＳ又はスーパーバイザＳＶの制御下において行われるものとしてよい。

他の好ましい実施形態においては、例えば、図４の例示的に上述した軽量組込オペレーティングシステムＢＳに対して、基礎として、例えば、他の好ましい実施形態においては、（例えば、構成などを介して）その複雑性が最小化されているＡＵＴｏｍｏｔｉｖｅ Ｏｐｅｎ Ｓｙｓｔｅｍ ＡＲｃｈｉｔｅｃｔｕｒｅ （ＡＵＴＯＳＡＲ） ＢＳが機能する。

他の好ましい実施形態においては、侵害された中央処理装置１０２ａ（図３）によって発生する特権昇格（例えば、軽量組込ＯＳ ＩＳＲにおけるスーパーバイザモードの誤用）の場合でさえ、無効なゾーン遷移又はＺ１によるＺ２メモリ若しくはＺ２ランタイムへの無効なアクセスは行われ得ない。なぜなら、これによって、軽量組込ＢＳの静的で大幅に削減された機能性（他の好ましい実施形態においては、特にスーパーバイザモードにおける部分的な機能性）が、スーパーバイザモードにおける特権の乱用を許可しないからである。

他の好ましい実施形態においては、スーパーバイザモードにおいて実行されるＩＳＲ（割り込みルーチン）は、関連する中央処理装置の専用メモリ保護デバイスの静的な構成データセット間の切換のみを行うことができる→中央処理装置のスーパーバイザモード及びユーザモードに対する同一の静的な構成データセットは、他の好ましい実施形態においては、関連するゾーン、例えば、第１のゾーンＺ１に割り当てられているメモリ及び／又はランタイムへのアクセスのみを可能にする。

他の好ましい実施形態においては、スーパーバイザモードにおいて実行されるＩＳＲは、メモリ保護デバイスの動的な再構成を行うことができず、これは、特に、開始サイクル中の、例えば、コールドスタート中及び／又はウォームスタート中のメモリ保護デバイスの静的な、完全かつ真正の構成によって暗黙的に達成可能である。

他の好ましい実施形態においては、例えば、第１のゾーンＺ１に割り当てられている、ユーザモードにおいて実行されるタスクは、特定の中央処理装置に対する専用メモリ保護デバイスの静的な構成データセット間の切換を行うことができない。なぜなら、他の好ましい実施形態においては、この切換は、スーパーバイザモードにおいてのみ可能だからである。

他の好ましい実施形態においては、例えば、第１のゾーンＺ１に割り当てられている、ユーザモードにおいて実行されるタスクは、メモリ保護デバイスの動的な再構成を行うことができず、これは、有利には同様に、他の好ましい実施形態において設けられている、開始サイクル中の、即ち、例えば、コールドスタート中及び／又はウォームスタート中のメモリ保護デバイスの静的な、完全かつ真正の構成によって暗黙的に達成可能である。

他の好ましい実施形態においては、スーパーバイザＳＶ、特に軽量組込スーパーバイザは、オペレーティングシステムＢＳ、特に軽量組込オペレーティングシステムに対して、追加の監視機能性を有するものとしてよい。好ましくは、コア－ゾーン内分離（図５）の場合、異なる信頼レベルを有する２つのゾーンＺ１及びＺ２のタスクＰＸＹは、専用中央処理装置１０２ｃ上において実行され、ここでは、好ましくは、Ｚ１タスク（第１のゾーンＺ１に割り当てられているタスク又はインスタンス）及びＺ２タスクに対する２つの異なる静的な構成データセットが、ユーザモードにおいて使用され、並びに、場合によってはスーパーバイザモードに対する他の静的な構成データセットが使用され、これは、例えば、Ｚ１タスク及びＺ２タスクに対する２つの静的な構成データセット間の切換を制御する。他の好ましい実施形態においては、場合によっては残存している、未使用の、ユーザモードにおけるタスクに対する静的な構成データセットは（例えば、コールドスタート中に及び／又はウォームスタート中に）、これが、例えば、メモリ全体への一般的な読取アクセス、書込アクセス及び遂行アクセスを阻止するように構成されるものとしてよく、これによって、セキュリティがさらに強化される。

他の好ましい実施形態においては、スーパーバイザモードが、特にコア－ゾーン内分離の状況において、信頼できないゾーンＺ１の監視を制御することが想定されるものとしてよい（例えば、図２Ｍのフローを参照されたい）。

他の好ましい実施形態においては、例えば、３つ以上のゾーンＺ１，Ｚ２，Ｚ３（図示せず）が設けられるものとしてよく、第１のゾーンＺ１は、例えば非常に信頼できるゾーン／機密性の高いゾーンであり、第２のゾーンＺ２は、例えば信頼できるゾーンであり、第３のゾーンＺ３は、例えば信頼できないゾーンである。

他の好ましい実施形態においては、コンピューティングデバイスは、例えば、マイクロコントローラを有するものとしてよく、又は、相応の数の中央処理装置を備えたマイクロコントローラによって構成されるものとしてよい。

他の好ましい実施形態は、実施形態による方法を実行する装置１０００に関する（図２２の概略的なブロック図を参照されたい）。装置１０００は、少なくとも１つの中央処理装置１００２ａを備えたコンピューティングデバイス１００２を有しており、中央処理装置１００２ａには、任意選択的に、少なくとも１つのメモリ保護デバイス１００２ａ’が割り当てられるものとしてよい。

装置１０００はさらに、メモリデバイス１００４を有しており、これは、好ましくは揮発性メモリ１００４ａ、例えば、メインメモリ（ＲＡＭ）及び／又は不揮発性メモリ１００４ｂ、例えばフラッシュＥＥＰＲＯＭ及び／又はＲＯＭ及び／又はＯＴＰメモリを有する。好ましくは、ＲＯＭ１００４ｂ内にコンピュータプログラムＰＲＧが格納されており、これは、プログラムＰＲＧがコンピュータ１００２によって実行されるときに、コンピュータ１００２に、実施形態による方法を実施させるための命令を含む。

他の好ましい実施形態においては、装置１０００の動作のための構成データＣＦＧも、ＲＯＭ１００４ｂ内に格納されている。この構成データＣＦＧは、例えば、少なくとも１つのメモリ保護デバイス１００２ａ’のための１つ又は複数の構成データ（セット）ＫＤ、ＫＤ’，ＫＤ１，ＫＤ２，ＫＤ３，ＫＤ４も含み得る。

他の好ましい実施形態においては、装置１０００が、コンピューティングデバイス１００２とメモリデバイス１００４との間のデータを交換することを可能にする少なくとも１つのデータバス１００６を有することが想定されている。

他の好ましい実施形態は、コンピュータ１００２によって実行されるときに、コンピュータ１００２に、実施形態による方法を実施させるための、特にコンピュータプログラムＰＲＧの形態の命令を含むコンピュータ可読記憶媒体ＳＭに関する。

他の好ましい実施形態は、実施形態によるコンピュータプログラムＰＲＧを伝送するデータキャリア信号ＤＳに関する。好ましくは、装置１０００は、データキャリア信号ＤＳを受信するための、好ましくは双方向のデータインタフェース１００８を有するものとしてよい。

他の好ましい実施形態においては、コンピューティングデバイス１００２は、特に例示的に図１，図３を参照して上述されたように、コンピューティングデバイス１００，１００ａによる構成も含み得る。特に、他の好ましい実施形態においては、図２２による装置１０００の上述の中央処理装置又はある中央処理装置１００２ａが、実施形態による方法の少なくともいくつかのステップを少なくとも一時的に実行することも可能である。この点において、装置１０００は例示的に、実施形態による、コンピューティングデバイス１００，１００ａの可能なターゲットシステムとしても理解され得る。

他の好ましい実施形態においては、装置１０００は、例えば、暗号化機能を実行するためのハードウェアセキュリティモジュールＨＳＭ’又は暗号化モジュールＨＳＭ’も有する。他の好ましい実施形態においては、ハードウェアセキュリティモジュールＨＳＭ’がスーパーバイザインスタンスＳＶＩとして使用可能である。

他の好ましい実施形態においては、装置１０００が、マイクロコントローラ（英語で、Ｍｉｃｒｏｃｏｎｔｒｏｌｌｅｒ若しくはＭｉｃｒｏｃｏｎｔｒｏｌｌｅｒ Ｕｎｉｔ（ＭＣＵ））として、特に、単一のマイクロコントローラ（ｓｉｎｇｌｅ ＭＣＵ）として、又は、シングルチップシステム（英語で、ＳｏＣ ｓｙｓｔｅｍ－ｏｎ－ｃｈｉｐ）として、特に単一のＳｏＣ（ｓｉｎｇｌｅ－ＳｏＣ）として、構成されていることが想定されている。

他の好ましい実施形態においては、装置１０００が、１つの、特に共通の半導体基板１００１（英語で、ｄｉｅ）を有することが想定されており、ここでは、この、特に共通の半導体基板１００１上に、以下の要素、即ち、
ａ）少なくとも１つの中央処理装置を有するコンピューティングデバイス１００２、
ｂ）メモリデバイス１００４、
ｃ）データバス１００６、
ｄ）少なくとも１つのメモリ保護デバイス１００２ａ、
ｅ）（任意選択的な）ハードウェアセキュリティモジュールＨＳＭ’
のうちの少なくとも１つの要素が配置されている。

従って、好ましい実施形態による原理は、有利には、２つ以上のゾーンＺ１，Ｚ２への分離と同時に、シングルＭＣＵシステム１又はシングルＳｏＣシステム１の提供を可能にする。

他の好ましい実施形態においては、種々のゾーンの間におけるデータ交換（「ゾーン内データ交換及び／又はゾーン間データ交換」）を、例えば、共有ＲＡＭ（分割されたメインメモリ，図４の参照符号１０３０ａを参照されたい）内に位置するバッファ（バッファメモリ領域，交換用バッファメモリ領域）を介して実現することができ、ここでは、共有ＲＡＭは、有利には同様に、コンピューティングデバイス１００２又はその中央処理装置１００２ａ、及び、好ましくはシングルＳｏＣシステム１の他のコンポーネント１００６，ＨＳＭ’，１００２ａと同一の共通の半導体基板１００１上に配置されている。これによって、有利は、種々のゾーンＺ１，Ｚ２間の高性能（ＭＣＵ内部又はＳｏＣ内部のため）かつ確実な（ＭＣＵ内部又はＳｏＣ内部のため）通信チャネルが得られ、これは、他の好ましい実施形態においては、効率的にスケーリング可能でもある（例えば、場合によっては、他の（付加的な）ゾーンにおける複数のバッファ）。

有利には、好ましい実施形態は、異なるゾーンＺ１，Ｚ２の「配置」、例えば、信頼できるゾーン（ＴＺ）及び信頼できないゾーン（ＮＴＺ）の「配置」、及び／又は、同一の、好ましくはシングルＭＣＵシステム若しくはシングルＳｏＣシステム１上の異なるゾーンＺ１，Ｚ２のデータに関するデータ処理を可能にする。

他の好ましい実施形態においては、実施形態による方法及び／又は装置１００，１００ａ，１０００は、制御装置において、例えば、自動車用の制御装置において、特に自動車の内燃機関用の制御装置において使用されるものとしてよく、これは、例えば、次の用途、即ち、
ａ）制御装置の動作又は動作状態遷移の制御、
ｂ）制御装置及び／又は他のコンポーネント及び／又は例えば自動車の１つ又は複数の機能の有効化又は非有効化、
ｃ）エラーモード及び／又は緊急動作への切換、
ｄ）エラーメモリエントリの実行、
ｅ）外部ユニット及び／又はユーザへの動作状態の通知、
ｆ）アクチュエータの駆動制御
のうちの少なくとも１つの用途に対する使用である。

他の好ましい実施形態は、特に、メモリデバイス及び／又はメモリデバイスにアクセスするコンピューティングデバイス１００，１００ａ，１００２を第１の動作状態から第２の動作状態に切り換える前又は切り換える間又は切り換えた後に、メモリデバイス１０３０，１０３２，１００４の少なくとも１つの部分領域を変更又は改ざんに関して検査するために、かつ、この検査に応じて、例えば、自動車の内燃機関の制御装置の動作を制御するために、実施形態による方法及び／又は実施形態による装置１００，１００ａ，１０００及び／又は実施形態によるコンピュータプログラムＰＲＧを使用することに関する。

他の好ましい実施形態（図２Ｕを参照されたい）は、以下の要素、即ち、
ａ）コンピューティングデバイス１００，１００ａ（図１）における、特にコンピューティングデバイスの中央処理装置１０２ｃ内における信頼境界（「Ｔｒｕｓｔ Ｂｏｕｎｄａｒｉｅｓ」）の提供３７０、
ｂ）コンピューティングデバイス及び／又はコンピューティングデバイスのコンポーネントのうちの１つのコンポーネントに対する侵入の侵入表面の低減３７１（図２Ｕ）
ｃ）メモリ１０３０，１０３２へのアクセス権の制限３７２、
ｄ）周辺機器１０３４（図３）へのアクセス権の制限３７３、
ｅ）（例えば、計算時間、中央処理装置のデータによって特徴付け可能な）計算リソースへのアクセス権の制限３７４（図２Ｕ）、
ｆ）変造されたコンポーネントの影響の最小化３７５、
ｇ）特に車両、特に自動車用の制御装置の動作３７６、
ｈ）組込システム、特にモノのインタネットの組込システム、即ち、ＩｏＴシステムの動作３７７、
ｉ）特定用途向け集積回路、即ち、ＡＳＩＣの動作３７８
のうちの少なくとも１つの要素に対する、実施形態による方法の使用及び／又は実施形態による装置の使用及び／又は実施形態によるコンピュータプログラムの使用に関する。

他の好ましい実施形態（図２Ｖを参照されたい）においては、この方法は、さらに、ａ）スーパーバイザインスタンスＳＶＩを用いて一次スーパーバイザプロキシＳＶＩ－ｐｒｉを提供するステップ３８０、ｂ）少なくとも１つの二次スーパーバイザプロキシＳＶＩ－ｓｅｋ－１，ＳＶＩ－ｓｅｋ－２を提供するステップ３８２を含み、ここでは特に、少なくとも１つの二次スーパーバイザプロキシＳＶＩ－ｓｅｋ－１，ＳＶＩ－ｓｅｋ－２は、少なくとも１つの中央処理装置１０２ａ，１０２ｂ，１０２ｃ，…，１０２ｎ；Ｋ１，Ｋ２，Ｋ３，Ｋ４に割り当てられており、及び／又は、少なくとも１つのゾーンＺ１，Ｚ２に割り当てられている（例示的な詳細は、以下の図２４を参照されたい）。

さらに好ましくは、一次スーパーバイザプロキシＳＶＩ－ｐｒｉは、オンチップトラストアンカ（ＴＡ）を用いて実現及び／又は実装され得る。

他の好ましい実施形態（図２Ｗを参照されたい）においては、この方法はさらに、ａ）スーパーバイザＳＶに第１の数の機能性ＦＵＮ－１を提供するステップ３８５、ｂ）特に動的に、第１の数の機能性ＦＵＮ－１の少なくとも１つのスーパーバイザ機能性ＳＦ－１を一次スーパーバイザプロキシＳＶＩ－ｐｒｉ及び／又は少なくとも１つの二次スーパーバイザプロキシＳＶＩ－ｓｅｋ－１に割り当てるステップ３８６を含み、ここでは特に、割り当てるステップ３８６は、以下の要素、即ち、
Ａ）コンピューティングデバイス１００；１００ａ；１００ｂの動作パラメータ、
Ｂ）コンピューティングデバイス１００；１００ａ；１００ｂの動作モード、
Ｃ）コンピューティングデバイス１００：１００ａ：１００ｂの用途
のうちの少なくとも１つの要素に応じて実行される。

図２４は、他の好ましい実施形態によるコンピューティングデバイス１００ｃの簡略化されたブロック図を概略的に示している。コンピューティングデバイス１００ｃは、１つ又は複数の中央処理装置を有しており、これらは、ここでは、参照符号ＫＸによって集合的に示されている。中央処理装置ＫＸに２つのゾーンＺ１，Ｚ２が割り当てられており、これら２つのゾーンＺ１，Ｚ２に、これまでに何回か例示的に説明したように、１つ又は複数のプロキシであるＺ１－プロキシ １，…，Ｚ１－プロキシ ｎ，Ｚ２－プロキシ １，…，Ｚ２－プロキシ ｎが割り当てられるものとしてよい。

コンピューティングデバイス１００ｃには、他の好ましい実施形態によれば、少なくとも２つのゾーンＺ１，Ｚ２から独立しているスーパーバイザインスタンスＳＶＩが設定されている。任意選択的に、１つ又は複数の（「独自の」）ゾーンＺ３，Ｚ４がスーパーバイザインスタンスＳＶＩに割り当てられるものとしてもよく、ゾーンＺ３，Ｚ４は同様に、好ましくは、少なくとも２つのゾーンＺ１，Ｚ２から独立している。これら２つのゾーンＺ３，Ｚ４には、例示的に、少なくとも一時的に１つ又は複数のプロキシであるＺ３－プロキシ １，…，Ｚ３－プロキシ ｎ，Ｚ４－プロキシ １，…，Ｚ４－プロキシ ｎが割り当てられており、他の好ましい実施形態によれば、ゾーンＺ３，Ｚ４ごとのプロキシの数が（任意選択的にゾーンＺ１，Ｚ２ごとのプロキシの数も）異なるものとしてもよい。

好ましくは、例えば、コンピューティングデバイス１００ｃの少なくとも１つの（専用の）中央処理装置を、スーパーバイザインスタンスＳＶＩとして使用することができる。選択的に又は付加的に、他の好ましい実施形態においては、少なくとも１つのハードウェアセキュリティモジュールＨＳＭ及び／又はトラステッドプラットフォームモジュールＴＰＭを、スーパーバイザインスタンスＳＶＩとして使用することができる。

他の好ましい実施形態においては、スーパーバイザインスタンスＳＶＩと中央処理装置ＫＸとの間のデータ交換ＤＥは、例えば、１つ又は複数のメモリ領域を使用して、特に１つ又は複数の特殊機能レジスタメモリ（英語で、ｓｐｅｃｉａｌ ｆｕｎｃｔｉｏｎ ｒｅｇｉｓｔｅｒ（ｓ））などのレジスタメモリを使用して行うことができる。例えば、他の好ましい実施形態においては、第１のレジスタメモリ又はレジスタメモリの第１のグループＳＦＲ１が、スーパーバイザインスタンスＳＶＩから中央処理装置ＫＸ（「ホスト中央処理装置」）にデータを伝送するために設定されている。例えば、他の好ましい実施形態においては、中央処理装置ＫＸからスーパーバイザインスタンスＳＶＩにデータを伝送するために、第２のレジスタメモリ又はレジスタメモリの第２のグループＳＦＲ２が設定されている。

例えば、他の好ましい実施形態においては、ワーキングメモリＳＲ（「共有ＲＡＭ」）が、一次スーパーバイザプロキシＳＶＩ－ｐｒｉ及び二次スーパーバイザプロキシＳＶＩ－ｓｅｋ－１による共通のアクセスのために設定されている。

１つ又は複数のレジスタメモリＳＦＲ２は、好ましくは、ホスト側において（即ち、複数の中央処理装置ＫＸのうちの少なくとも１つの中央処理装置によって）読取可能及び／又は書込可能であるが、好ましくは、スーパーバイザインスタンスＳＶＩの観点からのみ読取可能である。他の好ましい実施形態においては、ＳＦＲ２のホスト側書込（即ち、複数の中央処理装置ＫＸのうちの少なくとも１つの中央処理装置による１つ又は複数のレジスタメモリの書込）は、例えば、スーパーバイザインスタンスＳＶＩの側における割り込み要求ＩＲＱをもたらす。

１つ又は複数のレジスタメモリＳＦＲ１は、好ましくはスーパーバイザインスタンス側において、読取可能及び／又は書込可能であるが、中央処理装置ＫＸの観点からのみ読取可能である。さらに好ましくは、スーパーバイザインスタンス側のレジスタメモリＳＦＲ１の書込は、ホスト側ＫＸにおける割り込み要求ＩＲＱをもたらす。

他の好ましい実施形態においては、ホスト側における、ホスト側ＫＸの割り込み要求ＩＲＱの生成に対して任意選択的に、１つ又は複数のレジスタメモリＳＦＲ１がポーリングされるものとしてよく、特に周期的に照会されるものとしてよい。

他の好ましい実施形態に即して、両方の側に対して、特に双方向において読取可能かつ書込可能な共有ＲＡＭ ＳＲは、他の好ましい実施形態に即して、必要に応じて、２つのスーパーバイザプロキシＳＶＩ－ｐｒｉ，ＳＶＩ－ｓｅｋ－１との間の補足的なデータ交換又はパラメータ交換に用いられるものとしてよい。

他の好ましい実施形態においては、共有ＲＡＭ ＳＲは、複数の領域（「サブ領域」）に分割されるものとしてよく、これらの領域は、ａ）双方向に読取可能かつ書込可能であり、及び／又は、ｂ）トラストアンカＴＡによって（特にトラストアンカＴＡによってのみ）書込可能でありかつホストＫＸによって読取可能であり、及び／又は、ｃ）ホストＫＸによって（特にホストＫＸによってのみ）書込可能であり及び／又はトラストアンカＴＡによって読取可能である。

他の好ましい実施形態においては、共有ＲＡＭ ＳＲは、任意選択的に、中央処理装置ごとに（他の好ましい実施形態によれば、少なくとも、複数の中央処理装置のいくつかに対して）それぞれ１つのメイン領域に分割されるものとしてよい。他の好ましい実施形態においては、上述の３つのサブ領域ａ），ｂ），ｃ）のうちの少なくとも１つ、好ましくはいくつか又は３つすべてが、このメイン領域又はこれらのメイン領域内に設定されるものとしてよい。他の好ましい実施形態によれば、この１つのメイン領域又はこれらの複数のメイン領域は、同様に、各メモリ保護デバイス（ＭＰＵ）によって互いに分離されているので、例えば、第１の中央処理装置は、（例えば、第２の中央処理装置とトラストアンカＴＡ、ＳＶＩとの間のデータ交換のために）第２の中央処理装置の交換領域に書き込むことができない。

他の好ましい実施形態においては、データは、中央処理装置ＫＸとスーパーバイザインスタンスＳＶＩとの間において、例えば、プログラム制御されて、及び／又は、（例えば、割り込み要求ＩＲＱを用いて）イベント駆動方式により、伝送され得る。

他の好ましい実施形態においては、コンピューティングデバイス１００ｃの種々のコンポーネントの異なるリソース領域、特にメモリ領域を互いに分離するために、１つ又は複数のメモリ保護デバイスＭＰＵ’が設定されるものとしてよい。

他の好ましい実施形態においては、スーパーバイザインスタンスＳＶＩは、特に特別に、コンピューティングデバイス１００ｃの信頼できるインスタンス、好ましくは、いわゆるオンチップトラストアンカ（ＴＡ）を特徴付け又は表し又は形成する。他の好ましい実施形態によれば、ＴＡは、最高の信頼レベルを有するコンピューティングデバイス１００ｃのインスタンスを表し、これは、他の好ましい実施形態によれば、例えば、信頼モデルの「信頼の基点」（Ｒｏｏｔ－ｏｆ－Ｔｒｕｓｔ）として利用可能である。

他の好ましい実施形態によれば、既に述べたように、専用の中央処理装置、又は、好ましくは、利用可能な場合、専用のセキュリティモジュール／暗号化モジュール、例えば、ハードウェアセキュリティモジュール（ＨＳＭ）、トラステッドプラットフォームモジュール（ＴＰＭ）などが、ＴＡとして機能することができる。

従って、他の好ましい実施形態によれば、いわゆる「Ｔｒｕｓｔ－Ａｎｃｈｏｒ （ＴＡ）－ｅｎｆｏｒｃｅｄ ｓｅｃｕｒｅ Ｚｏｎｅ Ｓｕｐｅｒｖｉｓｉｏｎ（トラストアンカ（ＴＡ）によるセキュアゾーンの監視）」アプローチが実現可能であり、ここでは図２４に従って、例示的にそれぞれ１つの二次スーパーバイザプロキシＳＶＩ－ｓｅｋ－１が、１つ又は複数の監視されるべき中央処理装置ＫＸ上に設定されており、一次スーパーバイザプロキシＳＶＩ－ｐｒｉが、図示の例においてはＨＳＭの形態で、監視を行うＴＡ ＳＶＩ上に設定されている。

他の好ましい実施形態によれば、ＴＡ ＳＶＩは、ＲＡＭなどの揮発性メモリ１００４ａ（図２２）、読取専用メモリ（ＲＯＭ）などの不揮発性メモリ１００４ｂ又はフラッシュ、ワンタイムプログラマブル（ＯＴＰ）メモリに、好ましくは制限されずにアクセスし、特殊機能レジスタＳＦＲ１，ＳＦＲ２（図２５）は、特に、場合によっては存在している、コンピューティングデバイス１００ｃの特殊機能レジスタにもアクセスする。

好ましい実施形態による原理は、他の好ましい実施形態に従って、例えば、上述したコア－ゾーン内分離及びコア－ゾーン間分離の両方について、特に信頼できないゾーン及び信頼できる（ホスト）ゾーンＺ１及びＺ２の構成及び／又は監視のために使用される。

他の好ましい実施形態によれば、例えば、例として以下において挙げられるスーパーバイザ機能性は、特に用途に応じて、さらに特に任意に、「ホストプロキシ」ＳＶＩ－ｓｅｋ－１と一次スーパーバイザプロキシＳＶＩ－ｐｒｉとの間においてシフトされるものとしてよい。ここでは特に、一次スーパーバイザプロキシＳＶＩ－ｐｒｉの側に実現されているスーパーバイザ機能性が向上することによって、セキュリティの特に大幅な強化がもたらされる。
１．侵害の可能性に関するゾーンＺ１（任意選択的にゾーンＺ２）の監視及び／又はゾーンＺ１（及び／又はゾーンＺ２）の侵害の可能性の検出は、好ましくは、例えば、特に各ゾーンＺ１，Ｚ２に割り当てられているタスクのタスクアクティブ化の前の、ゾーン１（及び／又はゾーンＺ２）のスタック（スタックメモリ）及び／又はプログラムカウンタの監視によって行われるものとしてよく、コード遂行前の侵害の識別が行われ、この監視は、他の好ましい実施形態においては、任意選択的に、暗号に関する完全性検証及び／又は真正性検証を介して、例えば、ホスト－Ｚ１（及びホスト－Ｚ２）のスタック及び／又はプログラムカウンタの、例えば、ハッシュ、メッセージ認証コード（ＭＡＣ）などを介して行われるものとしてよい。
２．侵害が検出された場合、他の好ましい実施形態に従って、少なくとも１つの代替反応又はエラー反応が開始される。これは、例えば、
・ゾーンＺ１（及び／又はゾーンＺ２）の、（例えば、電源オフ／オン－リセットを介した）安全な、特に完全な状態又はエラーモードへの移行、
・ログ（又はログファイル又はエラーメモリ）エントリの生成
である。他の好ましい実施形態においては、少なくとも一時的に、安全な及び／又は暗号化されたログエントリが、特に、好ましくはスーパーバイザインスタンスＳＶＩ（図２４を参照されたい）の任意選択的な専用かつ排他的なメモリＳＬ内に格納される。

他の好ましい実施形態においては、以下の要素、即ち、
ａ）例えば、ログエントリを少なくとも１つの外部インスタンス（図示せず）、例えば侵入検知システム（ＩＤＳ）に転送するための真正の及び／又は暗号化された通信チャネルの構築、
ｂ）特にゾーンＺ１，Ｚ２の、周期的に又はイベントに基づいて実行されるタスクのコーディネート及び／又は調整（例えば、スケジューリング（リソース計画）を含む）、
ｃ）専用かつ排他的なＴＡメモリＳＬ（図２４）における好ましくは静的なホストタスクリストの確実な格納及び／又は処理、
ｄ）例えば、ゾーンＺ１及び／又はゾーンＺ２タスクに対するホストＭＰＵ－ＳＦＲにおける静的構成データセット（「ＭＰＵセット」）間の切換
のうちの少なくとも１つの要素が想定されている。

他の好ましい実施形態においては、スーパーバイザ機能性は、完全に、ＴＡ ＳＶＩ（図２４）に移動させられるものとしてよく、特に、特権モード（スーパーバイザモード）は、（スーパーバイザ機能性を実現しない）中央処理装置から完全に又は少なくとも部分的に除去されるものとしてよい。

好ましい実施形態は、少なくとも一時的に及び／又は部分的に、次の作用、即ち、
１．ホスト側のスーパーバイザ機能性の最小化、侵入表面の低減（例えば、変造された（ホスト）ゾーンＺ１から始まって）、
２．（ホスト）ゾーンＺ１及び／又は（任意選択的に）Ｚ２の、特にこれらのゾーンＺ１，Ｚ２に対して自立（独立）しているＴＡインスタンスＳＶＩに関する監視の外注化、監視からの（ホスト）ゾーンの分離、
３．例えば、監視と暗号プリミティブとが同一のインスタンス（ＴＡ ＳＶＩ又はＨＳＭ）上に実現されていることによる、監視のシンプルで安全かつ高性能な暗号拡張、（例えば、ゾーンＺ１，Ｚ２の）スタック及びプログラムカウンタの暗号に関する完全性検証及び／又は真正性検証、安全な専用かつ排他的なＴＡメモリＳＬにおけるログエントリの暗号化された格納、例えば、ＩＤＳである外部インスタンスへのログエントリの転送のための真正の及び／又は暗号化された通信チャネルの構築、
４．ＴＡメモリＳＬにおける静的なホストタスクリストの確実な格納（完全性保護及び／又は真正性保護）、
５．ＴＡ側のスーパーバイザプロキシにおけるホストＭＰＵ－ＳＦＲにおける静的なＭＰＵセットの切換のための機能性の中央化、ホスト側における切換のための機能性の取り消し、ホスト側の特権昇格が無効な場合においても切換不可能
のうちの少なくともいくつの作用を可能にする。

他の好ましい実施形態に即して、ＴＡ ＳＶＩが特に専用のメモリ保護ユニット（ＭＰＵ）を有する場合、他の好ましい実施形態に即して、追加の信頼境界又はゾーンＺ３，Ｚ４の、ＴＡ ＳＶＩへの導入が行われ得る。ＴＡ側のゾーンＺ３，Ｚ４は、好ましくは、ホスト側のゾーンＺ１、Ｚ２よりも相応に高い信頼レベルと相関することができる。図２４に例示的に視覚化された例示的な信頼モデルは、低下していく信頼レベルにおける次のゾーンアーキテクチャ、即ち、
・ＴＡ側：ゾーンＺ４（例えば、最高の信頼レベル）
・ＴＡ側：ゾーンＺ３
・ホスト側：ゾーンＺ２
・ホスト側：ゾーンＺ１（例えば、最低の信頼レベル）
に基づいている。

他の好ましい実施形態においては、完全な及び／又は真正のホストＭＰＵ構成が、例えば、セキュアブートメカニズムの範囲において、同様にＴＡ ＳＶＩによって、実行されるものとしてよく、又は、少なくとも一時的に制御されるものとしてよい。

Claims (21)

1. 車両の制御装置用の、少なくとも１つの中央処理装置（１０２ａ，１０２ｂ，１０２ｃ，…，１０２ｎ；Ｋ１，Ｋ２，Ｋ３，Ｋ４；ＫＸ）を有するコンピューティングデバイスの動作方法であって、
   前記コンピューティングデバイス（１００；１００ａ；１００ｂ；１００ｃ）は、接続ゾーン（４００）とセキュリティゾーン（４４０）との間のデータ交換を制御するように構成されており、
   前記セキュリティゾーン（４４０）は、前記車両の少なくとも１つのコンポーネント（４４２，４４４，４４６）を含み、前記車両の走行に必要であり、かつ、高いセキュリティ関連性を有しており、
   前記接続ゾーン（４００）は、前記車両の少なくとも１つのコンポーネント（４２０，４２２，４２４，４２６）を含み、前記コンポーネントの動作は、前記車両の外側における通信を必要とするが、前記車両の走行に必要ではなく、高いセキュリティ関連性を有しておらず、
   前記コンピューティングデバイス（１００；１００ａ；１００ｂ；１００ｃ）によって実行可能な少なくとも１つの第１のプログラム（ＡＰ１）又はサブプログラムは、信頼できないゾーン（Ｚ１）に割り当てられ、少なくとも１つの第２のプログラム（ＡＰ２）又はサブプログラムは、信頼できるゾーン（Ｚ２）に割り当てられ、
   前記接続ゾーン（４００）の前記コンポーネント（４２０，４２２，４２４，４２６）は、前記信頼できないゾーン（Ｚ１）に割り当てられ、前記セキュリティゾーン（４４０）の前記コンポーネント（４４２，４４４，４４６）は、前記信頼できるゾーン（Ｚ２）に割り当てられ、
   前記コンピューティングデバイス（１００；１００ａ；１００ｂ；１００ｃ）は、少なくとも１つのメモリ（１０３０，１０３２）を含み、前記メモリ（１０３０，１０３２）は、少なくとも１つの第１のバッファメモリ領域（ＴＢ１ｂ，Ｂ３’）を有しており、前記第１のバッファメモリ領域（ＴＢ１ｂ，Ｂ３’）には、前記信頼できないゾーン（Ｚ１）に割り当てられている前記第１のプログラム（ＡＰ１）だけが、読取及び／又は書込のためだけにアクセスし、前記メモリ（１０３０，１０３２）は、少なくとも１つの第２のバッファメモリ領域（ＴＢ２ａ，Ｂ１＿２）を有しており、前記第２のバッファメモリ領域（ＴＢ２ａ，Ｂ１＿２）には、前記信頼できるゾーン（Ｚ２）に割り当てられている前記第２のプログラム（ＡＰ２）だけが、読取及び／又は書込のためだけにアクセスし、前記メモリ（１０３０，１０３２）は、少なくとも１つの交換用バッファメモリ領域（ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）を有しており、前記交換用バッファメモリ領域（ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）は、前記信頼できないゾーン（Ｚ１）の前記第１のプログラム（ＡＰ１）に、書込のためのアクセスだけを許可し、前記信頼できるゾーン（Ｚ２）の前記第２のプログラム（ＡＰ２）に、読取のためのアクセスだけを許可する、方法において、
   種々のゾーン（Ｚ１，Ｚ２）の間におけるデータの交換（２８０）は、
   前記データを、前記信頼できないゾーン（Ｚ１）に割り当てられている前記第１のバッファメモリ領域（ＴＢ１ｂ，Ｂ３’）にコピーするステップ（２８２）と、
   コピーされた前記データを検査するステップ（２８３）と、
   前記検査するステップ（２８３）に応じて、前記データを、前記信頼できないゾーン（Ｚ１）に割り当てられている前記第１のバッファメモリ領域（ＴＢ１ｂ，Ｂ３’）から、前記信頼できるゾーン（Ｚ２）に割り当てられている前記第２のバッファメモリ領域（ＴＢ２ａ，Ｂ１＿２）にコピーするステップ（２８４）と、
   を含む、方法。
2. データは、前記第１のバッファメモリ領域（ＴＢ１ｂ，Ｂ３’）から前記交換用バッファメモリ領域（ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）に書き込まれる、請求項１に記載の方法。
3. 前記交換用バッファメモリ領域（ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）内に存在する前記データは、読取のためのアクセスに関連して検査され、前記データの検査（２８３）が成功すると、前記データは、前記交換用バッファメモリ領域（ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）から前記第２のバッファメモリ領域（ＴＢ２ａ，Ｂ１＿２）にコピーされる、請求項１又は２に記載の方法。
4. 前記第１のバッファメモリ領域（ＴＢ１ｂ，Ｂ３’）及び／又は前記第２のバッファメモリ領域及び／又は前記交換用バッファメモリ領域（ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）内の前記データへの実行のためのアクセスは、阻止される、請求項１乃至３のいずれか一項に記載の方法。
5. 前記データの利用及び転送は、前記第２のバッファメモリ領域（ＴＢ２ａ，Ｂ１＿２）から開始して行われる、請求項１乃至４のいずれか一項に記載の方法。
6. 前記メモリ（１０３０，１０３２）及び／又は前記第１のバッファメモリ領域（ＴＢ１ｂ，Ｂ３’）及び／又は前記第２のバッファメモリ領域（ＴＢ２ａ，Ｂ１＿２）及び／又は前記交換用バッファメモリ領域（ＴＢ１ａ，ＴＢ２ｂ，Ｂ３”）へのアクセス権は、メモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）によって行われる、請求項１乃至５のいずれか一項に記載の方法。
7. 少なくとも１つのゾーン（Ｚ１，Ｚ２）に応じて、以下の要素、即ち、
   ａ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する読取権、
   ｂ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する書込権、
   ｃ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ）に割り当てられているメモリ（１０３０，１０３２）に対する実行権
   のうちの少なくとも１つの要素を前記読取権及び／又は前記書込権及び／又は前記実行権を制御するために、少なくとも一時的に、少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）を使用すること（２３２；２３２’）によって制御するステップ（２３０）をさらに含む、請求項１乃至６のいずれか一項に記載の方法。
8. 少なくとも１つの中央処理装置（１０２ａ）は、少なくとも一時的に第１の動作モードを取り（２４０）、前記少なくとも１つの中央処理装置（１０２ａ）は、前記第１の動作モードにおいて、少なくとも１つのメモリ保護デバイスの動作を制御する構成データ（１０３６）の設定及び／又は書込（２４２）を行い、
   前記少なくとも１つの中央処理装置（１０２ａ）は、少なくとも一時的に第２の動作モードを取り（２４３）、前記少なくとも１つの中央処理装置（１０２ａ）は、前記第２の動作モードにおいて、前記少なくとも１つのメモリ保護デバイスに対する前記構成データ（１０３６）の書込及び／又は変更を行うことができない、請求項７に記載の方法。
9. 前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）に対して構成データ（ＫＤ）の複数のセットを提供するステップ（２５０）をさらに含み、
   前記構成データ（ＫＤ）の前記複数のセットのうちの少なくとも１つの第１のセットは、前記少なくとも２つのゾーン（Ｚ１，Ｚ２）のうちの信頼できないゾーン（Ｚ１）に、前記構成データ（ＫＤ）の前記複数のセットのうちの少なくとも１つの第２のセットは、前記少なくとも２つのゾーン（Ｚ１，Ｚ２）のうちの信頼できるゾーン（Ｚ２）に、割り当てられる（２５２）、請求項７乃至８のいずれか一項に記載の方法。
10. 前記メモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）の構成データ（ＫＤ）は、静的及び／又は真正に構成され、従って、前記構成データ（ＫＤ）の変更は、動作中には可能ではなく、前記コンピューティングデバイス（１００；１００ａ；１００ｂ）の再スタート後に可能である、請求項７乃至９のいずれか一項に記載の方法。
11. 第１のプログラムとして第１のインスタンス（ＡＰ１＿Ｉ１）が使用され、第２のプログラムとして第２のインスタンス（ＡＰ１＿Ｉ２）が使用されることをさらに含み、
    前記第１のプログラム（ＡＰ１）の前記第１のインスタンス（ＡＰ１＿Ｉ１）及び前記第１のプログラム（ＡＰ１）の前記第２のインスタンス（ＡＰ１＿Ｉ２）を提供するステップ（２６０）と、
    前記第１のプログラム（ＡＰ１）の前記第１のインスタンス（ＡＰ１＿Ｉ１）を前記少なくとも２つのゾーンのうちの信頼できないゾーン（Ｚ１）に割り当てるステップ（２６２）と、
    前記第１のプログラム（ＡＰ１）の前記第２のインスタンス（ＡＰ１＿Ｉ２）を前記少なくとも２つのゾーンのうちの信頼できるゾーン（Ｚ２）に割り当てるステップ（２６３）と、
    をさらに含む、請求項１乃至１０のいずれか一項に記載の方法。
12. 前記少なくとも２つのゾーン（Ｚ１，Ｚ２）に応じて、異なるプログラム又はアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを分離するステップ（２９０）をさらに含む、請求項１乃至１１のいずれか一項に記載の方法。
13. ａ）異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のオペレーティングシステム（ＢＳ）を使用するステップ（２９２）であって、前記コンピューティングデバイス（１００）のそれぞれ１つの中央処理装置（１０２ａ，１０２ｂ）に１つのオペレーティングシステム（ＢＳ）を割り当てる、ステップ（２９２）、及び／又は、
    ｂ）異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てるために、組込システム用のスーパーバイザ（ＳＶ）を使用するステップ（２９４）であって、前記コンピューティングデバイス（１００）のそれぞれ１つの中央処理装置（１０２ａ，１０２ｂ）に１つのスーパーバイザ（ＳＶ）を割り当てる、ステップ（２９４）
    をさらに含む、請求項１２に記載の方法。
14. 前記コンピューティングデバイス（１００）は、少なくとも一時的にコールドスタート（３１０）を実行し、前記コールドスタート（３１０）中に、データ及び／又はプログラムコードが不揮発性メモリ（１０３２）からロードされ、
    前記コンピューティングデバイス（１００）は、少なくとも一時的にウォームスタート（３１２）を実行し、前記ウォームスタート（３１２）中に、データ及び／又はプログラムコードが、少なくとも一時的に通電される揮発性メモリ（１０３０）からロードされ、
    前記コールドスタート（３１０）中に、少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）又は前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）が構成され（３１１）、及び／又は、前記ウォームスタート（３１２）中に、前記少なくとも１つのメモリ保護デバイス（Ｍ１，Ｍ２，Ｍ３，Ｍ４，Ｍ５＿１，Ｍ５＿２，Ｍ５＿３，Ｍ５＿４，Ｍ５＿５，Ｍ５＿６，Ｍ５＿７，Ｍ５＿８）が構成される（３１３）、請求項１乃至１３のいずれか一項に記載の方法。
15. 以下の要素、即ち、
    ａ）少なくとも１つの付加的なゾーンの導入（３５０）、
    ｂ）第１の中央処理装置（１０２ａ）から、前記コンピューティングデバイスの少なくとも１つの他の中央処理装置（１０２ｂ）への機能性の移動（３５２）、
    ｃ）メインメモリ（１０３０）を使用した、少なくとも２つのゾーン（Ｚ１，Ｚ２）間の通信の実行（３５４）、
    ｄ）少なくとも１つの信頼できるゾーン（Ｚ２）の定義（３６０）、及び、任意選択的に、前記信頼できるゾーン（Ｚ２）に割り当てられている少なくとも１つのアプリケーションプログラムによる、少なくとも１つの他のゾーン（Ｚ１）の監視（３６２）
    のうちの少なくとも１つの要素をさらに含む、請求項１乃至１４のいずれか一項に記載の方法。
16. 異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスに対して計算時間リソースを割り当てる（２１２ａ）ためにスーパーバイザ（ＳＶ）を使用するステップ（２１２；２９４）をさらに含み、
    前記スーパーバイザ（ＳＶ）及び／又は前記スーパーバイザ（ＳＶ）に対応する機能性は、少なくとも部分的にスーパーバイザインスタンス（ＳＶＩ）によって実現され、前記スーパーバイザインスタンス（ＳＶＩ）は、前記少なくとも２つのゾーン（Ｚ１，Ｚ２）から独立している、請求項１乃至１５のいずれか一項に記載の方法。
17. 前記コンピューティングデバイス（１００；１００ａ；１００ｂ；１００ｃ）は、複数の中央処理装置（１０２ａ，１０２ｂ，１０２ｃ，…，１０２ｎ；Ｋ１，Ｋ２，Ｋ３，Ｋ４）を有しており、
    前記方法はさらに、ａ）少なくとも１つの中央処理装置（１０２ａ，１０２ｂ）を厳密に１つのゾーンに割り当てるステップ（２２０）、及び／又は、ｂ）少なくとも１つの中央処理装置（１０２ａ，１０２ｂ）を１つ以上のゾーンに割り当てるステップ（２２２）、ｃ）少なくとも１つの中央処理装置をスーパーバイザインスタンス（ＳＶＩ）として使用するステップ（２２４）、ｄ）少なくとも１つのハードウェアセキュリティモジュール（ＨＳＭ）及び／又はトラステッドプラットフォームモジュール（ＴＰＭ）をスーパーバイザインスタンス（ＳＶＩ）として使用するステップ（２２５）を含む、請求項１６に記載の方法。
18. 前記方法はさらに、ａ）前記スーパーバイザインスタンス（ＳＶＩ）を用いて一次スーパーバイザプロキシ（ＳＶＩ－ｐｒｉ）を提供するステップ（３８０）と、ｂ）少なくとも１つの二次スーパーバイザプロキシ（ＳＶＩ－ｓｅｋ－１，ＳＶＩ－ｓｅｋ－２）を提供するステップ（３８２）とを含み、
    前記少なくとも１つの二次スーパーバイザプロキシ（ＳＶＩ－ｓｅｋ－１，ＳＶＩ－ｓｅｋ－２）は、少なくとも１つの中央処理装置（１０２ａ，１０２ｂ，１０２ｃ，…，１０２ｎ；Ｋ１，Ｋ２，Ｋ３，Ｋ４）及び／又は前記少なくとも１つのゾーン（Ｚ１，Ｚ２）に割り当てられる、請求項１７に記載の方法。
19. 前記方法は、さらに、ａ）前記スーパーバイザ（ＳＶ）に対する第１の数の機能性（ＦＵＮ－１）を提供するステップ（３８５）と、ｂ）前記第１の数の機能性（ＦＵＮ－１）の少なくとも１つのスーパーバイザ機能性（ＳＦ－１）を前記一次スーパーバイザプロキシ（ＳＶＩ－ｐｒｉ）及び／又は前記少なくとも１つの二次スーパーバイザプロキシ（ＳＶＩ－ｓｅｋ－１）に割り当てるステップ（３８６）とを含み、
    前記割り当てるステップ（３８６）を、以下の要素、即ち、
    Ａ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ；１００ｃ）の動作パラメータ、
    Ｂ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ；１００ｃ）の動作モード、
    Ｃ）前記コンピューティングデバイス（１００；１００ａ；１００ｂ；１００ｃ）の用途
    のうちの少なくとも１つの要素に応じて実行する、請求項１８に記載の方法。
20. 前記第１の数の機能性（ＦＵＮ－１）及び／又は前記少なくとも１つのスーパーバイザ機能性（ＳＦ－１）は、以下の要素、即ち、
    ａ）侵害の可能性に関する少なくとも１つのゾーン（Ｚ１，Ｚ２）の監視、
    ｂ）少なくとも１つのゾーン（Ｚ１，Ｚ２）の侵害の検出、
    ｃ）少なくとも１つのゾーン（Ｚ１，Ｚ２）に関連付けられている少なくとも１つのスタックメモリの監視、
    ｄ）関連する前記ゾーン（Ｚ１，Ｚ２）のタスクのアクティブ化の前に実行される、少なくとも１つのゾーン（Ｚ１，Ｚ２）に関連付けられている少なくとも１つのプログラムカウンタの監視、
    ｅ）実行可能なプログラムコードの実行前の侵害の識別、
    ｆ）あるスタックメモリ又は前記スタックメモリの、ある監視若しくは前記監視のための、及び／又は、あるプログラムカウンタ若しくは前記プログラムカウンタの、ある監視若しくは前記監視のための、以下の要素、即ち、
    ｆ１）ハッシュ値の形成、
    ｆ２）メッセージ認証コード（ＭＡＣ）の形成
    のうちの少なくとも１つの要素を含む、少なくとも１つの方法の使用
    のうちの少なくとも１つの要素を含む、請求項１９に記載の方法。
21. 請求項１乃至２０のいずれか一項に記載の方法を実施するための装置（１００；１００ａ；１００ｂ；１０００）であって、
    前記装置（１００；１００ａ；１００ｂ；１０００）は、単一のマイクロコントローラとして又は単一のシングルチップシステム（１）として構成されており、及び／又は、前記装置（１００；１００ａ；１００ｂ；１０００）は、１つの半導体基板（１００１）を有しており、
    前記半導体基板（１００１）上に、以下の要素、即ち、
    ａ）少なくとも１つの中央処理装置（１００２ａ）を有する前記コンピューティングデバイス（１００２）、
    ｂ）メモリデバイス（１００４）、
    ｃ）データバス（１００６）、
    ｄ）メモリ保護デバイス（１００２ａ’）、
    ｅ）ハードウェアセキュリティモジュール（ＨＳＭ；ＨＳＭ’）
    のうちの少なくとも１つの要素が配置されている、
    装置（１００；１００ａ；１００ｂ；１０００）。

Images