JP7467670B2 - 特に自動車におけるデータの異常を処理するための方法 - Google Patents

Description

本発明は、特に自動車におけるデータの異常を処理するための方法に関する。

従来技術
通信ネットワーク、特に自動車の通信ネットワークにおける異常を処理するための装置及び方法は、独国特許出願公開第１０２０１８２０９４０７号明細書から既に公知である。少なくとも１つの検出器が、通信ネットワーク内のデータストリームを分析し、当該少なくとも１つの検出器は、データストリームのデータパケットについての少なくとも１つのパラメータが目標値から逸脱した場合に、制御に基づく異常識別手法によって少なくとも１つの異常を識別し、当該少なくとも１つの検出器は、少なくとも１つの識別された異常に関する情報を、通信ネットワークを介して送信する。

特に異常又はイベントが識別された場合のプロトコル、履歴、レポート（ロギング）の自動的な作成は、イベント発生率が高い場合、及び／又は、長期の攻撃の場合、対応するサービスへの過負荷や拒絶なしで行われるべきである。ロギング又は対応するイベントレポートのエントリは、真性であり、整数であり、利用可能であるべきである。可能である場合には、攻撃者にとって非決定論的な履歴が完全な（長期にわたる）攻撃に関して作成されるべきである。攻撃者による不正操作、特に削除は避けられるべきである。制御装置の外部においては、ロギングエントリは不正な解析から保護されるべきである。ロガーは、イベントレポートを、例えばインタフェースを介して外部ノードに確実に送信すべきである。外部ノードへの伝送が成功した後、イベントエントリは、ローカルに削除することができ、特に好適には受信インスタンスによって特に認証された確認の後で削除することができる。さらに、ロガーは、ネットワーク接続を示すいわゆるハートビート信号を送信すべきである。処理すべきロギングエントリの数を低減するためには、イベントの累積を可能にすべきである。

通常の動作条件下においては、イベント（Ｅｖｅｎｔ）はまったく発生せず又はほとんど発生せず、例えば、１時間に１回の規模でしか発生しない。最悪の場合、攻撃者は、インタフェース、特にイーサネットインタフェースを介して完全な制御を手に入れることができる。例えば１００Ｍｂｉｔの完全な帯域幅の場合、攻撃者は、毎秒最大で１２８，０００のＵＤＰ（Ｕｓｅｒ Ｄａｔａｇｒａｍ Ｐｒｏｔｏｃｏｌ、ネットワークプロトコル）フレームを送信することができる。そのようなフレームの各々は、場合によってはイベント（データストリーム内において識別された異常）をトリガすることもできる。そのような攻撃は、車両の寿命にわたる攻撃頻度で受け止められる。メモリ、特にフラッシュメモリのいわゆる書き込み周期の許容回数には制限があり、考慮が必要である。同様に、活性化された動作時間数にも制限がある。同様に、上位の外部データロガーの利用可能性にも制限がある。それゆえ、対応するロギングイベント又はイベントレポートを一時記憶しておく必要がある。少なくとも日に１回は、すべてのロギングエントリ又はイベントレポートを上位のデータロガーに転送できるようにすべきである。

従来のＩＤＳシステムやＩＤＰＳシステム（Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ、侵入検知部、コンピュータネットワーク又は計算機インタフェースへの攻撃を自動的に識別するためのシステム、乃至、ＩＤＰＳ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｐｒｅｖｅｎｔｉｏｎ Ｓｙｓｔｅｍ、侵入の試みが識別された場合に、対応するデータは転送されず、ひいては侵入の試みが阻止される）については、多くの場合、決定論的な動作と、組み込まれたシステムの限られたリソースとが問題になる。

独国特許出願公開第１０２０１８２０９４０７号明細書

これに対して、異常識別のための改善された方法を提供することが望まれる。この課題は、独立請求項の特徴部分によって解決される。

発明の開示
このことは、独立請求項に記載の方法によって達成される。

少なくとも１つの信頼できるゾーンと１つの信頼できないゾーンとが設けられ、少なくとも１つのセンサとイベントマネージャとが信頼できるゾーンに割り当てられていることにより、２段階のセキュリティ構想を用いて不正操作保護をさらに高めることができるようになる。特に、信頼できるインスタンスとしてセンサ及び／又はイベントマネージャを、信頼できるゾーン内に配置することは、機密データへのアクセスの可能性と不正操作の可能性とをより困難にする。

合目的的な発展形態においては、少なくとも１つの通信アダプタが、イベントマネージャと同一のゾーン内に配置され、通信アダプタは、イベントマネージャによって少なくとも部分的に作成されたイベントレポートの通信に用いられることが想定される。これにより、通信アダプタは、他のゾーンへのデータ転送の検査を行うことができ、一方、通信アダプタは、セキュリティに関連するゾーン内においてはイベントマネージャ及び／又はセンサと通信することができる。

合目的的な発展形態においては、通信アダプタは、信頼できないゾーンにも割り当てられることが想定される。この部分を介して、通常、信頼できないインスタンスを示す上位のＩＤＳインスタンスとの通信が行われる。

合目的的な発展形態においては、信頼できるゾーン内のセンサは、信頼できないゾーン内に配置されたセンサからの少なくともデータ、特にデフラグされたデータを含み、信頼できるゾーン内のセンサは、取得されたデータを異常について検査し、異常が存在する場合、１つのイベントを生成し、及び／又は、信頼できないゾーン内のセンサは、取得されたデータを異常について検査し、異常が存在する場合、１つのイベントを生成することが想定される。これにより、イベントマネージャにおける継続処理のために絶対に必要になるデータのみが信頼できるゾーンに到達する。これにより、不正操作の可能性がさらに低減される。

合目的的な発展形態においては、イベントレポートの送信は、信頼できるゾーン内の通信アダプタが、信頼できないゾーン内の通信アダプタがアクセス及び送信可能である信頼できないゾーンのメモリに、イベントレポートをもたらすことによって行われることが想定される。このようにして、一方のゾーンから他方のゾーンへの安全なデータ転送を保証することができる。

合目的的な発展形態においては、イベントレポートは、各イベントレポートについて変化する少なくとも１つのサイズ及び／又は少なくとも１つの認証情報を含み、及び／又は、暗号化によって暗号化されることが想定される。これにより、上位のインスタンスは、真正のデータであるかどうかを検査することができる。特に、合目的的には、この目的のために、認証情報が、イベントレポートに含まれるさらなる情報によって形成されることが想定される。

合目的的な発展形態においては、信頼できるゾーンに割り当てられたセキュリティモジュールは、各イベントレポートについて変化するサイズ及び／又は認証情報及び／又は暗号化を提供することが想定される。これにより、上位のインスタンスとの安全で真正かつ信頼性の高い接続を形成することができる。

合目的的な発展形態においては、イベントレポートの送信後、確認信号が受信され、該確認信号は、信頼できないゾーンの通信アダプタによって受信され、信頼できるゾーンの通信アダプタに転送されることが想定される。確認信号を介して、イベントレポートの送信の適正な完了を確認することができ、例えば、メモリを空にするなどのさらなる手段を開始させることができる。

合目的的な発展形態においては、確認信号は、各確認信号について変化する少なくとも１つのサイズ及び／又は少なくとも特定のデータ若しくはパターン及び／又は少なくとも１つの認証情報及び／又は少なくとも１つの一定の長さを含み、及び／又は、暗号化を用いて暗号化されることが想定される。可変のサイズにより、特に暗号化後の確認信号は、常に攻撃者にとって著しく異なって見え、解釈不能である。付加的な可変の信号により、更新が保証される。なぜなら、古いイベントレポートにさかのぼることができなくなるからである。認証情報は、確認信号が真の上位のインスタンスから来たものであり、攻撃者によって生成されたものではないことを保証する。それにより、局所的なイベントレポートを信用して削除することができる。

合目的的な発展形態においては、信頼できるゾーンの通信アダプタは、受信された確認信号を、セキュリティに関連するゾーンに配置されたセキュリティモジュールを使用して復号化及び／又は認証することが想定される。信頼できるゾーンにおけるさらなる検査により、通信のセキュリティがさらに向上する。特に、合目的的には、この目的のために、受信された確認信号は、送信されたイベントレポートの可変のサイズが、確認信号に含まれているかどうかを検査することによって復号化及び／又は認証されることが想定される。従って、確認信号のために新たな可変のサイズを生成する必要もなく、むしろ、特に合目的的には、特に、イベントレポートの枠内においてともに送信された、信頼できるゾーン内のセキュリティモジュールによって生成された可変のサイズを、確認信号のために使用することもできる。

合目的的な発展形態においては、一方のゾーンから他方のゾーンへのデータの伝送の際に、センサは、使用前にデータを検査し、特にイベントが発生したかどうかを検査し、及び／又は、イベントが検出されなかった場合に、データが使用のために他方のゾーンにおいてリリースされることが想定される。これにより、不正操作の可能性がさらに低減される。特に、合目的的には、この目的のために、イベントが発生した場合、データは、他方のゾーンに転送されず、及び／又は、センサは、イベントをイベントマネージャに転送することが想定される。

合目的的な発展形態においては、イベントマネージャ及び／又は信頼できるゾーンの通信アダプタ及び／又は信頼できるゾーンのセンサ及び／又はセキュリティモジュールは、計算機コア上に実装されていることが想定される。これにより、すべてのセキュリティに関連する機能を１つの計算機コア上に実装することができ、このことは、セキュリティをさらに高める。

合目的的な発展形態においては、少なくとも１つの計算デバイスに、少なくとも２つのゾーンのうちの一方に対して特定の実行可能なアプリケーションプログラムが割り当てられ、ここで、ゾーンは、該当するアプリケーションプログラムの実行に使用可能である計算デバイスのリソースを特徴付け、任意選択的に、アプリケーションプログラムのうちの少なくとも１つが、自身に割り当てられたゾーンに依存して実行される。前述したこれらのゾーンと機能との割り当てにより、セキュリティに関連する機能のみが信頼できるゾーンにおいて実行されることを保証することができる。このことは、好適には、方法ステップが以下のステップ、即ち、様々なゾーン間において、バッファメモリ、特にメインメモリを介して第１のデータを交換するステップを含むことによって行うこともできる。この場合、特に、第１のゾーンと第２のゾーンとの間において第１のデータを交換するステップは、ｄ１）第１のデータを、第１のゾーンに割り当てられた第１のバッファメモリ領域にコピーするステップと、ｄ２）コピーされた第１のデータを検査するステップと、特に、該検査に依存して、ｄ３）第１のデータを、第１のゾーンに割り当てられた第１のバッファメモリ領域から第２のゾーンに割り当てられた第２のバッファメモリ領域にコピーするステップと、を含む。これにより、複数のゾーン間において安全なデータ交換が好適に経過することが保証される。

さらなる好適な構成は、以下の明細書及び図面から明らかとなる。

侵入検知部の部品の概略図である。 受信されたデータ、そこから導出されたイベントの例示的な構造又は相互作用、関連する選択されたイベントの構造及びイベントレポートを示した図である。 さらなる好適な実施形態による態様の簡素化された概略的ブロック図である。 さらなる好適な実施形態による態様の簡素化された概略的ブロック図である。 イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の異なる通信フローを示した図である。 イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の異なる通信フローを示した図である。 イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の異なる通信フローを示した図である。 イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の異なる通信フローを示した図である。 イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の異なる通信フローを示した図である。 イベントマネージャ、通信アダプタ、さらなるＩＤＳインスタンス及びバックエンド間の異なる通信フローを示した図である。

以下の実施形態の態様に関連して、特にネットワークシステムのデータ２１１（例えば、通信システムのデータ又はシステムデータ）における実際の動作において様々な理由から発生し得る、正常な動作からの逸脱は、以下においては異常と称する。その原因には、例えば、以下のようなタイプ、即ち、欠陥があったり完全に故障したりしているセンサから供給された誤ったデータ又は完全に欠損したデータ、破損しているシステムの部品、外部だけでなく局所的又は物理的な攻撃（例えば、ハッカー攻撃など）によって不正操作されたシステムなどが考えられる。

データ２１１における異常の識別は、いわゆる「Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍｓ」、ＩＤＳ又はＩＤＰＳを用いて実行される。ＩＤＳとは、以下においては、データ２１１を異常について監視するシステムを表す。この場合、例えば、データ２１１とは、例えばゲートウェイなどの制御装置２０が、異なる通信チャネル上において（例えばバスシステム２５などやインタネット２７を介して）通信する通信ネットワーク内のデータ接続であり得る。しかしながら、他のデータ２１１も、例えば、制御装置（若しくはその中に配置されたホスト２９若しくはマイクロコントローラ、又は、チップ内部のプロセッサ）内部のシステムデータも、このＩＤＳシステムによって異常について検査されるべきである。データ２１１の異常の検出は、適当なセンサ２４，２６，２８によって行われる。これらのセンサ２４，２６，２８は、データ２１１のそれぞれのソース（本実施例においてはバスシステム２５，２７又はホスト２９）に適合させられている。

図１によれば、例えばゲートウェイ２０などの制御装置が、車両１８に配置されている。制御装置又はゲートウェイ２０は、プロセッサ、メモリ、ワーキングメモリ（例えばホストシステム２９の構成要素として）、及び、通信ネットワークを介した通信用インタフェースを含む。ゲートウェイ２０は、例えば、データ接続のための命令を処理する。通信により、データ２１１は、データパケットの形態で生じる。ホスト２９の動作時にもデータ２１１、例えばシステムデータが生じる。正常な状態においては、例えば、受信アドレス及び宛先アドレス、適正なプログラムフローの遵守（例えばホスト２９について）、タイムスタンプ、特定のデータパケットのデータ２１１の発生頻度又は周波数に関して、目標値が維持される。データパケットのデータ２１１は、特定のタスクを満たすために、より詳細には示されていない車両１８内のさらなる制御装置又は部品間において交換される。ゲートウェイ２０は、例えば、ＣＡＮバス２５、イーサネット接続２７、及び、制御装置２０又はゲートウェイの構成要素であるホストシステム２９へのデータ接続など、複数の通信システム又はインタフェースの結合に用いられる。しかしながら、他の通信システム（例えば、ＬＩＮ、ＣＡＮ－ＦＤなどのさらなる有線バスシステム又は無線ネットワーク（例えば、ＷＬＡＮ又はブルートゥース））も、データ交換の目的でゲートウェイ２０によって相互に結合することができる。一般に、制御装置における侵入識別部ＩＤＳ又は異常識別部は、すべてのデータ２１１（通信システムによって受信されたデータ２１１、及び、制御装置２０内部でホスト２９によって生成されたデータ２１１）を、対応する異常について監視するために用いられる。本実施例においては、例示的に、ゲートウェイ２０についてのＩＤＳ機能機構を説明する。しかしながら、説明した異常識別部又は侵入識別部ＩＤＳの機能性は、一般に、任意の各制御装置又は任意の各電子部品に実装することができる。特に、使用は、車両１８に限定されない。それどころか、任意の通信部品、例えばインタネット（ＩＯＴ；Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）内の通信モジュール又はネットワーク化された生産システムにおける通信モジュールは、説明した機能性を備えることができる。

制御装置又はゲートウェイ２０などの通信部品は、少なくとも１つの異常検知部２２を含む。この異常検知部２２は、少なくとも１つの信頼できないゾーンＺ１にわたって、及び、少なくとも１つの信頼できるゾーンＺ２にわたって延在している。特に、通信アダプタ３２は、信頼できるゾーンＺ２内にも信頼できないゾーンＺ１内にも存在している。少なくとも１つのセンサ２４，２６，２８は、信頼できるゾーンＺ２内に存在している。イベントマネージャ３０も、信頼できるゾーン内に存在している。

各通信システム２５，２７，２９のインタフェースを介して到来するデータ２１１は、それぞれいわゆる異常識別又は侵入識別のためのセンサ２４，２６，２８（略してＩＤＳセンサ）を介して案内される。そのため、ゲートウェイ２０内には、対応するセンサ２４，２６，２８が配置されている。そのようなセンサ２４，２６，２８は、取得されたデータ２１１が異常を示しているかどうかの識別に用いられる。この目的のために、これらのセンサ２４，２６，２８内には、異常の識別と分類とに用いられる対応するフィルタアルゴリズム又は制御セットが格納されている。センサ２４，２６，２８によって異常が特定されると、データ２１１の対応するデータパケットは、（試みられた侵入の）イベント２２０として分類される。一般に、これらのセンサ２４，２６，２８は、ソース２５，２７，２９に応じて異なる異常をイベント２２０として分類すること（各イベント２２０を特定のイベントタイプ２１８に割り当てること）ができ、識別することができる。それぞれのイベントタイプ２１８（データ２１１における異なるタイプの異常）に依存して、センサ２４，２６，２８は、特定のイベント依存性のメタデータ２１６を関連するイベント２２０として編成する。その他に、イベント依存性のメタデータ２１６は、異常データ２１１のデータ又はデータ構成要素も含み得る。そのように生成されたイベント２２０は、イベントマネージャ３０に転送される。これらのセンサ２４，２６，２８は、通常、異常が発生していない場合、通信システム（例えばバスシステム２５，２７）の関連データ２１１を特定アドレスに転送するように構成されている。センサ２４，２６，２８は、異常が識別された場合に、通信システム（例えばバスシステム２５，２７）の関連データ２１１が特定アドレスに転送されないように構成することもできる。代替的に、センサ２４，２６，２８は、イベント２２０を低減するために使用することも可能である（低減されたイベント又は事前低減されたイベント２２１）。この低減により、例えば、異常を含むデータ２１１又はデータパケットの有効データの一部のみを転送することによって、イベントマネージャ３０の負担を軽減させることができる。このことは、特に、イーサネット接続の際に発生するような大容量データの場合に利点となる。

例えば、ＩＤＳ ＣＡＮセンサ２４は、ＣＡＮバス２５の場合の異常識別に使用され、ＩＤＳイーサネットセンサ２６は、イーサネットシステム２７の場合に、及び、ＩＤＳホストセンサ２８は、ホストシステム２９の場合に使用される。異なる通信経路及び異なる通信プロトコルに応じて、それぞれのソース又は異常ソースにおいて異常を検出し、場合によっては分類することができるさらなるＩＤＳセンサを設けることもできる。

ＩＤＳ ＣＡＮセンサ２４は、例えば、無効なＣＡＮ－ＩＤ、無効なメッセージ頻度、無効なメッセージ長さなどの関連するイベントタイプ２１８の関連するイベント２２０を検出する。ＩＤＳイーサネットセンサ２６は、例えば、無効なアドレス又はＭＡＣアドレス、無効なメッセージ頻度、無効なメッセージ長さなどの関連するイベントタイプ２１８からイーサネット２７に関連するイベント２２０を検出する。ＩＤＳホストセンサ２８は、例えば、無効なコードの実行、プログラムの破損、ステープルカウンタなどの関連するイベントタイプ２１８からホストシステム２９に関連するイベント２２０を検出する。少なくとも１つのセンサ２４，２６，２８は、信頼できるゾーンＺ２内に配置されている。

後続のさらなる異常は、イベント２２０として、さらなるイベントタイプ２１８のために考慮することができる。例えば、これらは、満充填のバッファメモリに基づくフレーム損失、フィルタ違反（ステートレス／ステートフル）、伝送レートの制限の活性化／非活性化、監視モードの活性化／非活性化、コンテキスト変更など、ファイアウォールに割り当てることができるイベント２２０又はイベントタイプ２１８である。ホストシステム２９に関連するさらなる異常も、例えば、高すぎるＣＰＵ負荷、メモリアクセス違反、コード実行時エラー、ＥＣＵリセット検出、不揮発性メモリ内のログエントリ破損、ロギングメモリのオーバーフロー、イベントの拒否、ＭＡＣアドレスポート変更など、関連するイベントタイプ２１８を有するイベント２２０として考慮することができる。

イベントマネージャ３０は、到来するイベント２２０又はそれぞれのイベント２２０に含まれるイベント依存性のメタデータ２１５の継続処理に用いられる。特に、イベントマネージャ３０は、イベント２２０を集約し、フォーマット若しくは準備し、及び／又は、イベント２２０を優先度付け及び／又は低減及び／又は選択し、及び／又は、選択及び／又は低減されたイベント２２０，２２１を記憶若しくは永続化若しくは永続的に記憶するために用いられる。特に、イベントマネージャ３０は、どの到来するイベント２２０が継続処理されるべきかを決定する。到来するイベント２２０から選択されたものは、選択イベント２２６と称される。対応する選択は、可及的に非決定論的に行われるべきである。さらに、イベントマネージャ３０は、到来するイベント２２０又は選択イベント２２６にさらに特に好適にはさらなる汎用メタデータ２１７を備えさせる。これにより、異なるセンサ２４，２６，２８から伝送されたイベント２２０は、例えば、発生したイベントの数、関連するタイムスタンプ又は時間信号２２４などを汎用メタデータ２１７の枠内において追加することによって上位的に観察することが可能である。さらに、いわゆるイベントバーストの場合であっても、十分に多くの、証言力のあるイベント２２０を選択イベント２２６として記憶できることが保証される。イベントマネージャ３０は、信頼できるゾーンＺ２内に配置されている。

イベントマネージャ３０は、侵入識別部又は異常識別部の通信アダプタ３２と信号を交換する。この通信アダプタ３２は、イベントマネージャ３０と、制御装置又はゲートウェイ２０の異常識別部２２の外部のさらなる部品３４，３６との間においてデータを交換するための通信手段として機能する。具体的には、通信アダプタ３２は、イベントマネージャ３０と、さらなるＩＤＳインスタンス３４（好適には車両１８の内部）及び／又はバックエンド３６（好適には車両１８の外部）との間においてデータを交換するためのインタフェースとして機能する。さらなるＩＤＳインスタンス３４は、任意選択的にのみ設けることもできる。通信アダプタ３２は、２つのゾーンＺ１，Ｚ２内に配置されている。

セキュリティを高めるために、イベントマネージャ３０は、イベント２２０，２２１のランダム方式で攻撃者にとって非決定論的でかつ隠蔽された低減及び優先度付けを行うことができる。そのため、選択イベント２２６の不揮発的な記憶をランダム方式で攻撃者にとって非決定論的でかつ隠蔽されて行うことができる。ランダムに制御された選択は、例えば、特定の制御装置に対する個別の乱数２７３に基づくことができる。同様に、イベントマネージャ３０は、イベントカウンタ２０４のカウンタ状態２３１のランダム方式の記憶を行うことができる。イベントマネージャ３０は、イベント依存性のメタデータ２１６の他に、選択イベント２２６として追加される汎用メタデータ２１７のランダムな依存性の記憶も行う。

通信アダプタ３２は、セキュリティを高めるために、他のＩＤＳインスタンス３４に対するイベントレポート２４２のランダム方式で攻撃者にとって非決定論的でかつ隠蔽されたアップロード又は送信を行うことができる。ランダムに制御されたアップロードは、例えば、特定の制御装置（又はゲートウェイ２０）に対する個別の乱数２７３に基づくことができる。そのため、特定のイベント２２０は、イベントレポート２４２の枠内において周期的にかつ暗号化されて伝送することができる。しかし、新たなイベント２２０が存在しない場合においても、いわゆるダミーイベントは、イベントレポート２４２のフォーマットで周期的に暗号化されて伝送することができる。このことは、通信アダプタ３２と、さらなるＩＤＳインスタンス３４又はバックエンド３６との間のデータ交換の盗聴セキュリティ又はランダム方式の隠蔽に用いられる。

処理されかつ低減されたイベント２２１は、センサ２６からイベントマネージャ３０に転送される。従って、イベントマネージャ３０は、このセンサ２６からこれらのネットフレームの完全なデータストリームを取得するのではなく、低減されたデータサイズを有する低減されたイベント２２１のみを取得する。転送すべきイベント２２１の低減は、ＩＤＳイーサネットセンサ２６に基づいて例示的に説明した。ただし、原理的には、このことは、他のＩＤＳセンサ２４，２６，２８において実現できる。しかしながら、高い伝送レートを有するイーサネットフレームにおいては情報量が多いため、特にそのようなイベント２２０は、バッファメモリ２０６の急速なオーバーフローにつながりかねない。ＩＤＳ ＣＡＮセンサ２４においては、対応するデータ２１１がいずれにせよ低いデータレートとより少ないデータ量で発生するので、ここでは、傾向的に完全なイベント２２０が転送されかつ記憶され得る。

例示的に、図２に関連して、異常が識別された場合にセンサ２４，２６，２８からのデータ２１１がどのように継続処理され、イベントマネージャ３０にこれが通信アダプタ３２を介してイベントレポート２４２を送信するまで送信されるかが示される。

例示的に、図２ａにおいては、データ２１１のデータパケットが、例えば、ネットワークフレーム（例えば、ＣＡＮ、イーサネット）においてどのように発生し得るかが示されている。データ２１１は、例えばソースアドレスと宛先アドレス（例えばＭＡＣａ，ＭＡＣｂ）とを含むヘッダ２１４を有する。その他に、データ２１１は、有効データ２１３を含む。

以下においてより詳細に説明されるように、センサ２４，２６，２８は、イベントマネージャ３０に転送される有効データ領域２１９を任意選択的にランダムに選択することができる。センサ２４，２６，２８は、特定のイベントタイプ２１８（ｅｂｅｎｔ－ＩＤ又はイベントＩＤ、ＩＤ）に従った異常であることを特定する。それゆえ、センサ２４，２６，２８は、図２ｂに示されるように、イベント依存性のメタデータ２１６を生成する。イベントタイプ２１８（又はＩＤ）に応じて、イベント依存性のメタデータ２１６において異常の異なる情報が格納されるものとしてもよい。本実施例においては、イベント依存性のメタデータ２１６として、特に、ソースアドレスと宛先アドレス（ＭＡＣａ，ＭＡＣｂ）、イベントタイプ２１８、及び、選択された有効データ領域２１９が使用される。

代替的に、イベント依存性の有効データ２１３も全体としてイベント２２０の枠内においてイベントマネージャ３０に転送することができる。

代替的に、イベント２２０は、例えばソースとしてホスト２９が使用される場合、イベント依存性の有効データ２１３を含まないこともできる。この場合、イベントタイプ２１８は、例えば、満充填のバッファに基づくデータフレームの損失、観察モードの活性化又は非活性化、ＣＰＵの高すぎる負荷、不揮発性メモリ２０８の破損したエントリ、ロギングバッファのオーバーフロー、イベント低減の活性化などに対する情報などであり得る。

さらに、異なるイベントタイプ２１８については、さらなるイベント依存性の情報が、イベント依存性のメタデータ２１６の枠内においてイベント２２０の構成要素であるものとしてもよい。イベントタイプ２１８「コンテキストの変更」の場合、イベント依存性のメタデータ２１６は、例えば、３２ビットのサイズの例えばコンテキストを含み得る。イベントタイプ２１８「メモリアクセス違反」又は「コード実行の際の違反」の場合、イベント依存性のメタデータ２１６は、例えば、アクセスされたアドレス（例えば３２ビット）、プログラムカウンタ（例えば３２ビット）、タスクＩＤ（例えば８ビット）を含み得る。イベントタイプ２１８「制御装置の検出されたリセット」の場合、イベント依存性のメタデータ２１６は、例えば、リセットの理由（例えば、８ビット）、例えば、ＰＯＲ（Ｐｏｉｎｔ ｏｆ Ｒｅｔｕｒｎ）、ソフトウェアリセット、例外などを含み得る。

後続のイーサネット関連のイベント２２０は、イベント依存性のメタデータ２１６として、例えば、静的／状態依存性のフィルタ違反（特定の制御ＩＤ又は特定のイベントタイプ２１８（例えば１６ビット）についてのＩＤ、利用可能な場合イベント２２０を引き起こしたフィルタ制御ＩＤ、物理ポートアドレス、フレームが取得された物理ポートＩＤ、ソースアドレス（例えば、ＭＡＣアドレス、例えば４８ビット）、宛先アドレス（例えば、ＭＡＣアドレス、例えば４８ビット）、場合によってはソース又は宛先のＩＰアドレス、任意選択的にフレーム内に存在する場合のＵＤＰ／ＴＣＰポート（例えば１６ビット）の決定）などをロギングすることができる。代替的に、静的／状態依存性のフィルタ違反、例えば、制御ＩＤ、物理ポート、フレーム（バイト数）、記憶された受信フレームの特定のバイト数、選択された有効データ領域２１９（特定のバイト数）、オリジナルフレームのバイトの選択された有効データ領域２１９、有効データ領域２１９－インデックス（例えば１６ビット）、オリジナルフレーム内において選択された有効データ領域２１９の開始バイトなどもプロトコルすることができる。また、さらなるイーサネット関連のイベント、例えば、イベントタイプ２１８「伝送レート制限（活性化／非活性化）」についてはイベント２２０を引き起こしたフィルタ制御の関連ＩＤを有する制御ＩＤ、イベントタイプ２１８「コンテキストの変更」についてはコンテキスト（例えば３２ビット）、イベントタイプ２１８「アドレスホッピング」又は「ＭＡＣホッピング」については古いポート（当該アドレスに元来割り当てられていた物理ポートＩＤ）、新しいポート（当該アドレスが最近観測された物理ポートＩＤ）、アドレス、好適にはＭＡＣアドレスなどが、イベントマネージャ３０に伝送されるイベント２２０内に含まれるものとしてもよい。しかしながら、メタデータ２１６なしのイベントタイプ２１８、例えば、「満充填のバッファに基づくフレームの損失」なども発生する可能性がある。

従って、イベント依存性の有効データ２１３の転送は、特に、関連するイベントタイプ２１８を有するデータ２１１のソースに依存する。メタデータ２１６は、イベント２２０又は低減されたイベント２２１として（センサ２４，２６，２８において伝送すべき有効データ領域２１９のランダムな依存性の選択又は低減に基づいて）イベントマネージャ３０に伝送される。

イベントマネージャ３０が、このイベント２２０，２２１を、以下においてより詳細に説明するように継続処理のために選択すべきである場合には（選択イベント２２６）、イベント依存性のメタデータ２１６に対してさらに汎用メタデータ２１７が追加され、それによって、図２ｃに示されるメタデータ２１５が生じる。この汎用メタデータ２１７は、通常、イベントマネージャ３０において生成される。それらは、例えば、イベントカウンタ２０４の出力信号、即ち、現在のカウンタ状態２３１、グローバルイベント２２０の数又は現在のイベント２２０が関わるイベントタイプ２１８のイベントの数である。その他に、汎用メタデータ２１７は、例えば、このイベント２２０がいつ発生したかについての時間信号２２４を含み得る。その他に、メタデータ２１７は、イベント依存性のメタデータ２１６又は完全なメタデータ２１５がどの長さ２３２（データのサイズ）を有しているかについても含み得る。このことは、その後のバッファメモリ２０６のメモリ管理にとって利点となる。

例示的に、以下の汎用メタデータ２１７が提案される。これは、例えば、イベントＩＤ（例えば８ビット）の枠内におけるイベントタイプ２１８であるものとしてもよい。このイベントタイプ２１８のイベントＩＤは、一義的であり、例えばＴＬＶ（ＴＬＶ：Ｔｙｐｅ－Ｌｅｎｇｔｈ－Ｖａｌｕｅ、タイプ長さ値）に基づく符号化を含み得る。この汎用メタデータ２１７は、例えば８ビットから１６ビットまでの間のサイズの長さ２３２を含む。データ（メタデータ２１５）のサイズは、バイトの長さ単位に従って最大で２５５バイトである。ここでも、ＴＬＶに基づく符号化を想定することができる。さらに、時間信号２２４、タイムスタンプ（例えば６４ビット）が含まれている。この時間２２４は、例えば、一義的なタイムスタンプを示すために、１９７０年１月１日などの基準時点以降に（ミリ秒単位で）経過した絶対時間値の形態で提供されている。さらに、汎用メタデータ２１７は、イベントタイプカウンタ２０４のカウンタ状態２３１又は出力値２３１（例えば３２ビット）及び／又はグローバル（イベント）カウンタ２０４のカウンタ状態２３１（例えば３２ビット）、各イベントタイプ２１８についてのイベントカウンタ２０４のすべてのカウンタ状態２３１の合計を含み得る。

イベント依存性のメタデータ２１６は、それぞれのセンサ２４，２６，２８が形成したものとして取り込まれる。相応にセンサ２４，２６，２８によってもイベントマネージャ３０によっても形成されたメタデータ２１５を有するこのイベント２２０は、イベントマネージャ３０のバッファメモリ２０６に格納される。同様の手法で、さらに（以下においてより詳細に説明されるように）イベントマネージャ３０によって選択又は低減されたさらなるイベント２２６（図２ｄによる実施例においては例示的に２１５＿１，２１５＿８，２１５＿１９０で示される）も、バッファメモリ２０６に格納される。

バッファメモリ２０６に格納された選択イベント２２６（図２ｄによる実施例においては例示的に２１５＿１，２１５＿８，２１５＿１９０（選択イベント２２６についての例においてはメタデータ２１５のイベントＮｏ．１、メタデータ２１５のイベントＮｏ．８、メタデータ２１５のイベントＮｏ．１９０）で示される）からは、ここでは、イベントレポート２４２が生成される。このレポートは、バッファメモリ２０６に格納された選択イベント２２６（本例においては２１５＿１，２１５＿８，２１５＿１９０）を含む。これらの選択イベント２２６には、各イベントレポート２４２に対して変更されたサイズ２５４（例えば、乱数、時間又はカウンタなど）が先行する。その他に、イベントレポート２４２は、認証情報２５６を含む。これに関して、この認証は、通信アダプタ３２又はイベントマネージャ３０と、イベントレポート２４２を受信するユニット（ＩＤＳインスタンス３４、バックエンド３６など）との間において行うことができる。このイベントレポート２４２は、固定長２５７を含む。この固定長２５７を達成するために、データ２５４，２１５＿１，２１５＿８，２１５＿１９０，２５６は、さらに、いわゆる充填データ２５５によって充填される。これらの充填データ２５５は、イベント関連の情報は含まない。伝送の前に、イベントレポート２４２の図示のデータには、図２ｄに示されているように暗号化２５８が施される。そのような暗号化２５８によって暗号化されたイベントレポート２４２は、通信アダプタ３２によって送信され、説明したように、さらなるＩＤＳインスタンス３４又はバックエンド３６によって復号化され認証される。

図３は、さらなる好適な実施形態によるスイッチＳＷＴ４８の計算コア１０２ａを概略的に示し、このコアは、オペレーティングシステムＢＳ及び／又はスーパーバイザＳＶを含み、それ自体２つのゾーンＺ１，Ｚ２に割り当てられている。

異常識別部２２は、特定のアプリケーションが、信頼できないゾーンＺ１と、信頼できるゾーンＺ２とに割り当てられる２ゾーン構想に基づいている。異常識別部２２は、特に、例えば組み込みシステム及び／又は制御装置、特に車両用、特に自動車用に使用することができる。

好適な実施形態は、異常識別部２２に割り当てられた計算デバイスを動作させるための方法に関するものであり、本方法は、以下のステップ、即ち、計算デバイスによって実行可能な１つ又は複数のアプリケーションプログラムＡＰ１，ＡＰ２を、少なくとも２つのゾーンＺ１，Ｚ２のうちの１つに割り当てるステップであって、この場合、ゾーンＺ１，Ｚ２は、計算デバイスのリソースを特徴付け、リソースは該当するアプリケーションプログラムＡＰ１，ＡＰ２の１つを実行するために使用可能であるステップと、アプリケーションプログラムＡＰ１，ＡＰ２のうちの少なくとも１つを、自身に割り当てられたゾーンＺ１，Ｚ２に依存して、任意選択的に実行するステップとを含み、この場合、本方法は、代替的に、以下のステップ、即ち、異なるアプリケーションプログラム及び／又はアプリケーションプログラムのインスタンスのための計算時間リソースの割り当てのためにスーパーバイザＳＶを使用するステップをさらに含み、ここで、スーパーバイザＳＶ及び／又はスーパーバイザＳＶに対応する機能は、少なくとも２つのゾーンＺ１，Ｚ２に依存しないスーパーバイザインスタンスＳＶＩを用いて少なくとも部分的に実現されている。さらなる好適な実施形態においては、これによって、例えば、信頼できるインスタンス／ユニット／ドメインと、信頼できないインスタンス／ユニット／ドメインとの間において、例えば、信頼境界（Ｔｒｕｓｔ Ｂｏｕｎｄａｒｉｅｓ）を定義することができる。このようにして、例えば、計算デバイス用の第１のアプリケーションプログラムを、信頼できない第１のゾーンＺ１（ｎｏｎ－ｔｒｕｓｔｗｏｒｔｈｙ ｚｏｎｅ，ＮＴ）に割り当て、計算デバイス用の第２のアプリケーションプログラムを、信頼できる第２のゾーンＺ２（ｔｒｕｓｔｗｏｒｔｈｙ ｚｏｎｅ，（Ｔ）Ｚ）に割り当てることができる。さらなる好適な実施形態においては、スーパーバイザインスタンスＳＶＩは、例えば、（専用の）計算コア及び／又はハードウェアセキュリティモジュールＨＳＭ及び／又はトラステッドプラットフォームモジュールＴＰＭによって形成されるものとしてもよく、又は、スーパーバイザインスタンスＳＶＩの機能は、これらの要素の少なくとも１つを用いて実現することができる。

さらなる好適な実施形態においては、計算デバイスを動作させるための方法が、以下の要素、即ち、ａ）計算デバイスに割り当てられたメモリに対する読み取り権利、ｂ）計算デバイスに割り当てられたメモリに対する書き込み権利、ｃ）少なくとも１つのゾーンＺ１，Ｚ２に依存した、計算デバイスに割り当てられたメモリに対する実行権利（「遂行権利」）のうちの少なくとも１つを制御する、特に制限するステップをさらに含むことが想定される。これにより、好適には、対応するゾーンＺ１，Ｚ２に割り当てられたアプリケーションプログラムＡＰのみが、１つ又は前述した複数のメモリへのアクセスを受け取ることが保証される。例えば、これにより、さらなる好適な実施形態においては、信頼できないゾーンＺ１のアプリケーションプログラムが、１つ又は複数のメモリにアクセスすること（特に、例えば、信頼できるゾーンＺ２に割り当てられたメモリ領域への信頼できないゾーンＺ１によるアクセスなど）を阻止することができ、このことは、場合によっては、信頼できないゾーンＺ１のアプリケーションプログラムによるメモリ内容の不正操作の可能性に関するリスクを表す。

さらなる好適な実施形態においては、計算デバイスは、例えば、以下のシナリオを実行することができる。即ち、第１のアプリケーションプログラムＡＰ１が、例えば、信頼できない第１のゾーンＺ１からデータ（例えば、インタネットからのリモートサービス要求（「離れた場所からのサービス問い合わせ」））を受信し、これらのデータを、例えば対応するサービス（「Ｒｅｍｏｔｅ Ｓｅｒｖｉｃｅ」）の実行のために、信頼できるゾーンＺ２内において相応に処理又は転送すべき場合、第１のゾーンＺ１内においてアプリケーションプログラムＡＰ１のＺ１－プロキシＡＰ１＿Ｉ１によってデータの受信が行われ、ここで、対応するＺ２－プロキシ＿Ｉ２は、例えば以下のステップ、即ち、Ｚ２－プロキシ＿Ｉ２によって、特にデフォルト方式で、信頼できないものと格付けされたデータのデータ検証、及び、（データ検証に成功した場合の）ここでの（データ検証後の）信頼できると格付けされたデータを第２のゾーンＺ２内において処理又は転送するステップを実行する。さらなる好適な実施形態においては、本方法は、以下のステップ、即ち、様々なゾーン間において、バッファメモリ、特にメインメモリを介して第１のデータを交換するステップをさらに含むことが想定され、ここで、特に、第１のゾーンＺ１と第２のゾーンＺ２との間において第１のデータを交換するステップは、以下のステップ、即ち、第１のデータを、第１のゾーンに割り当てられた第１のバッファメモリ領域にコピーするステップと、コピーされた第１のデータを検査するステップと、特に、当該検査に依存して、第１のデータを、第１のゾーンＺ１に割り当てられた第１のバッファメモリ領域から第２のゾーンＺ２に割り当てられた第２のバッファメモリ領域にコピーするステップとを含む。これらの簡単に概説された２ゾーン構想の機能は、以下において説明するように、ここでは異常識別部２２のために実装される。

図３による計算コア１０２ａは、例えば、イーサネットデータパケットを送信及び／又は受信するために、例えば、ネットワークスイッチのために使用することができる。アプリケーションプログラムＡＰの対応するインスタンスは、参照符号Ｉ１（イーサネットパケットの受信、ゾーンＺ１内における実行）、Ｉ２（イーサネットパケットの受信、ゾーンＺ２内における実行）、Ｉ３（イーサネットパケットの送信、ゾーンＺ１内における実行）、Ｉ４（イーサネットパケットの送信、ゾーンＺ２内における実行）によって特徴付けられている。例えば、ネットワークスイッチ４８のための管理タスクを実行するさらなるアプリケーションプログラムＡＰ５は、信頼できるものと定義された第２のゾーンＺ２内においてのみ実行され、信頼できないものと定義された第１のゾーンＺ１内においては実行されない。さらに、イーサネットセンサ３８は、信頼できないものと定義された第１のゾーンＺ１内に配置されている。さらなるイーサネットセンサ４０は、信頼できるものと定義された第２のゾーンＺ２内に配置されている。その他に、ホストセンサ４２は、信頼できないものと定義された第１のゾーンＺ１内に配置されている。信頼できないゾーンＺ１のホストセンサ４３は、任意選択的に設けられるものとしてもよい。ホストセンサ４５は、信頼できるものと定義された第２のゾーンＺ２内に配置されている。即ち、用途ケースに応じて、センサは、信頼できるゾーンＺ２及び／又は信頼できないゾーンＺ１に配置することができる。

計算コア１０２ａにはＲＡＭ１０３０が割り当てられおり、このＲＡＭは、さらなる好適な実施形態においては分割されるものとしてもよい。任意選択的に、スイッチングエンジン（例えば結合ネットワーク）及び／又はＴＣＡＭ（ｔｅｒｎａｒｙ ｃｏｎｔｅｎｔ－ａｄｒｅｓｓａｂｌｅ ｍｅｍｏｒｙ）モジュール又はＡＣＬ（Ａｃｃｅｓｓ－Ｃｏｎｔｒｏｌ－Ｌｉｓｔ）モジュールが設けられている。スイッチングエンジンＳＥ又はＴＣＡＭ／ＡＣＬモジュールは、ハードウェアモジュール４２である。ＴＣＡＭ／ＡＣＬモジュール内においては、対応するフィルタ規則を構成することができ、そのため、ＴＣＡＭ／ＡＣＬモジュールは、異常を検出するためのセンサとして使用される。このハードウェアモジュール４２内の相応に構成されたフィルタ規則は、説明されたセンサ２４，２６，２８のフィルタ規則に対応する。このフィルタ規則によって異常が検出された場合、イベント２２０を生成することができ、及び／又は、異常を阻止することができる。イベント２２０が生成された場合、割り込みは、ハードウェアモジュール４２によってトリガすることができ、これによって、異常がイベント２２０としてソフトウェア側でロギングできるようになる。同様のことは、メインコントローラ上のＣＡＮハードウェアトランシーバーにも当てはまり、ここでは、センサのフィルタ規則をハードウェアで構成することができる。

さらに割り込み４４が示されており、これは、例えば、上述のように、ソフトウェア的に、ハードウェア的に、又は、タイマによってトリガすることができる。上記の部品は、電子ユニット４８又はスイッチの構成要素である。電子ユニット４８又はスイッチの外部には、計算ユニット１００ｂ（メインコントローラ）が設けられており、これは、通信チャネル５２を介して電子ユニット４８又はスイッチとデータを交換する。さらに、計算ユニット１００ｂは、他のＩＤＳインスタンス３４と通信することができる。この通信は、例えば、ＣＡＮを介して、計算ユニット１００ｂから他のＩＤＳインスタンス３４へ行うことができ、又は、計算ユニット１００ｂからスイッチ４８を介して他のＩＤＳインスタンス３４へ行うことができる。電子ユニット４８は、ここでも、イーサネットイベント２２０をスイッチＳＷＴ４８から計算ユニット１００ｂに送信する。

信頼できないゾーンＺ１から信頼できるゾーンＺ２へのゾーン間通信は、信頼できるゾーンＺ２のＥＴＨセンサ４０を介して、及び／又は、ハードウェアフィルタ規則によって実現されるセンサ４２を介して、及び／又は、信頼できないゾーンＺ１のＥＴＨセンサ４０によって、及び／又は、信頼できるゾーンＺ２のホストセンサ４５によって制御される。

ゾーン間通信又はＺ１からＺ２へのゾーン移行がスイッチ４８上において行われる場合、信頼できるゾーンＺ２で必要とされる必要最低限のデータのみが、２つのゾーンＺ１及びＺ２間において伝送される。

それゆえ、信頼できないゾーンＺ１内においては、既に、プロトコルのデフラグは、必要最低限で行われており、デフラグの枠内において同様に（異常の検出のための）妥当性検査も既に実施されている。このことは、Ｚ１イーサネットセンサ３８を介して行われる。

必要最低限のデータが、信頼できないゾーンＺ１から信頼できるゾーンＺ２に伝送された後、必要最低限のデータは、Ｚ２イーサネットセンサ４０によって妥当性検査される。各コンテキストの変更／Ｚ１タスク及びＺ２タスクの切り替え前に、付加的にＢＳ又はＳＶのホストセンサ４３，４５を介して、無効なゾーン移行及び／又はプログラムフローの変更が行われなかったかどうかが検査される（例えば、スタック上のリターンアドレスの検査によって）。

異常が検出されなかった場合、信頼できるゾーンＺ２のＥＴＨセンサ４０は、信頼できるゾーンＺ２内のデータの使用をリリースする。これらのデータは、信頼できるデータとして格付けされる（Ｔｒｕｓｔｅｄ Ｄａｔａ）。異常が検出された場合、ＥＴＨセンサ４０は、データを破棄し、及び／又は、イベント２２０を生成する。その他に、ＥＴＨセンサ４０は、異常又は関連するイベント２２０を、信頼できるゾーンＺ２の計算ユニット１００ｂ又は信頼できるゾーンＺ２の関連するイベントマネージャ３０に通信する。ＥＴＨセンサ４０のセンサロジックは信頼できるゾーンＺ２内にある。なぜなら、イベントは、信頼できるインスタンスによって評価されなければならないからである。

ゾーンＺ１，Ｚ２内の通信又は信頼できるゾーンＺ２から信頼できないゾーンＺ１への通信は、信頼できないゾーンＺ１用のＥＴＨセンサ３８を任意選択的に使用して行うことができる。さらに、これらのセンサは、Ｚ２からＺ１へのゾーン間通信及びゾーン内通信に対して任意選択的であり、場合によっては、低減したセンサセットをこの目的のために使用することも可能である（例えば、性能に与える影響が少ないデフォルトセンサなど）。

スイッチ４８ＳＷＴは、信頼できないゾーンＺ１の計算ユニット１００ｂの通信を、通信アダプタ３２を介してさらなるＩＤＳインスタンス３４に転送する。通信アダプタ３２は、計算ユニット１００ｂ内に存在している。通信アダプタは、イベントマネージャ３０からイベントレポート２４２を周期的に問い合わせ、それをさらなるＩＤＳインスタンス３４に通信する。さらなるＩＤＳインスタンス３４への通信がイーサネットを介して行われる場合には（これは好適な変形形態である）、この通信は、メインマイクロコントローラ又は計算ユニット１００ｂの通信アダプタ３２からスイッチ４８を介してさらなるＩＤＳインスタンス３４へ行われることとなる。

図４は、さらなる好適な実施形態による計算デバイス１００ｂの態様の簡素化されたブロック図を概略的に示す。計算デバイス１００ｂは、本発明によれば、例示的に４つの計算コアＫ１，Ｋ２，Ｋ３，Ｋ４を有し、それらのうちの第１の計算コアＫ１は、通信メッセージ、特にＣＡＮメッセージを処理するように構成されている。それゆえ、さらなる好適な実施形態においては、この第１の計算コアＫ１は、「ＣＡＮコア」と称することもできる。さらなる計算コアＫ２，Ｋ３は、アプリケーションプログラム（場合によっては異なるインスタンス）を実行するために設けられており、それゆえ、さらなる好適な実施形態においては「アプリケーションコア」又は英語表記「Ａｐｐｌｉｃａｔｉｏｎ Ｃｏｒｅｓ」Ｋ２，Ｋ３と称することもできる。第４の計算コアＫ４は、イーサネット通信メッセージを処理するように構成されており、それゆえ、さらなる好適な実施形態においては、イーサネットコア又はＥＴＨコア又は英語表記「ＥＴＨ Ｃｏｒｅ」Ｋ４と称することもできる。第１の計算コアＫ１には、第１のスーパーバイザＳＶ１、特にＣＡＮ軽量スーパーバイザが割り当てられ、第４の計算コアＫ４には、第２のスーパーバイザＳＶ２、特にＥＴＨ（イーサネット）軽量スーパーバイザが割り当てられている。

さらなる好適な実施形態においては、第１の計算コアＫ１は、２つのゾーンＺ１，Ｚ２に割り当てられている。さらなる好適な実施形態においては、第４の計算コアＫ４も２つのゾーンＺ１，Ｚ２に割り当てられている。

さらなる好適な実施形態においては、第１の計算コアＫ１には、ＣＡＮメッセージの送信及び／又は受信のためのアプリケーションプログラムＡＰが割り当てられ、この場合、参照符号Ｉ１は、このアプリケーションプログラムの第１のインスタンスを表し、この第１のインスタンスＩ１は、第１のゾーンＺ１に割り当てられ、ＣＡＮメッセージを受信するように構成されている。これに対して、参照符号Ｉ２は、このアプリケーションプログラムの第２のインスタンスを表し、この第２のインスタンスは第２のゾーンＺ２に割り当てられ、ＣＡＮメッセージを受信するように構成されている。参照符号Ｉ３，Ｉ４は、ＣＡＮメッセージを送信するための対応するインスタンスを表し、これらのインスタンスもそれぞれ同様に、２つのゾーンＺ１，Ｚ２のうちの１つに割り当てられている。さらに、計算コアＫ１は、信頼できるゾーンＺ２内に配置されたＣＡＮセンサ６０を含み得る。任意選択的に、計算コアＫ１内には、信頼できないゾーンＺ１内のＣＡＮセンサ６２を設けるものとしてもよい。

さらなる好適な実施形態においては、割り込み要求Ｒｘ、タイマ、ＳＷを、第１の計算コアＫ１によって、例えば対応する割り込みルーチンの実行によって処理することができる。

さらなる好適な実施形態においては、第４の計算コアＫ４には、イーサネットメッセージを送信及び／又は受信するためのアプリケーションプログラムが割り当てられ、この場合、参照符号Ｉ１は、このアプリケーションプログラムの第１のインスタンスを表し、この第１のインスタンスＩ１は、第１のゾーンＺ１に割り当てられ、イーサネットメッセージを受信するように構成されている。これに対して、参照符号Ｉ２は、このアプリケーションプログラムの第２のインスタンスを表し、この第２のインスタンスは第２のゾーンＺ２に割り当てられ、イーサネットメッセージを受信するように構成されている。参照符号Ｉ３，Ｉ４は、イーサネットメッセージを送信するための対応するインスタンスを表し、これらのインスタンスもそれぞれ同様に、２つのゾーンＺ１，Ｚ２のうちの１つに割り当てられている。

さらなる好適な実施形態においては、計算コアＫ１，Ｋ４内の２つのゾーンＺ１，Ｚ２の分離は、それぞれ少なくとも１つのメモリ保護デバイスＳＳＥ１，ＳＳＥ４を使用して行われる。

既に上述したように、２つのアプリケーションコアＫ２，Ｋ３は、アプリケーションプログラムを実行するように構成されており、これらのアプリケーションプログラム又はそれらの個々のインスタンスは、該当するアプリケーションコアＫ２，Ｋ３内において矩形として示されている。さらなる好適な実施形態においては、第２の計算コアＫ２は、第２のゾーンＺ２に割り当てられており、第３の計算コアＫ３は、第１のゾーンＺ１に割り当てられている。計算コアＫ２内には、例示的に、ＤＰＩセンサ６４（より詳細なペイロード分析のためのディープパッケージインスペクション）、イベントマネージャ３０、通信アダプタ３２、プロキシ７０、ＢＳＷスタック７２（ＢＳＷ：Ｂａｓｉｓ Ｓｏｆｔｗａｒｅ）、Ｖ－ＣＡＮ７４（バーチャルＣＡＮ）及びＶ－ＥＴＨ７６（バーチャルイーサネット）が設けられている。計算コアＫ３内には、例示的に、ＤＰＩセンサ８４、通信アダプタ３２、プロキシ９０、ＢＳＷスタック９２、Ｖ－ＣＡＮ９４及びＶ－ＥＴＨ９６が設けられている。既に説明したように、通信アダプタ３２は、信頼できるゾーンＺ２にも、信頼できないゾーンＺ１にも存在している。

さらなる好適な実施形態においては、計算デバイス１００ｂは、揮発性メモリ、特にメインメモリ（ＲＡＭ）１０３０ｂを有し、これは例えば、図４による描写で比較可能に異なる領域に分割され、これらの領域は、それぞれ異なる計算コアＫ１，Ｋ２，Ｋ３，Ｋ４又はそれらのゾーンＺ１，Ｚ２に割り当てられている。

例えば、図４による計算デバイス１００ｂのメインメモリ１０３０ｂの第１の領域Ｂ１は、第１の計算コアＫ１に割り当てられ、この場合、第１の部分領域Ｂ１＿１は、第１のゾーンＺ１に割り当てられ、第２の部分領域Ｂ１＿２は、第２のゾーンＺ２に割り当てられている。第１の部分領域Ｂ１＿１は、ここでも、信頼できる領域と信頼できない領域とに分割され、メモリ保護デバイスＳＳＥによって分離されている。第２の部分領域Ｂ１＿２は、ここでも、少なくとも１つの信頼できる領域と信頼できない領域とに分割され、ここでもメモリ保護デバイスＳＳＥによって分離されている。対応する領域又は部分領域Ｂ４，Ｂ４＿１，Ｂ４＿２への比較可能な分割は、さらなる好適な実施形態においては、第４の計算コアＫ４についても可能である。第１の部分領域Ｂ４＿１は、ここでも、信頼できる領域Ｔｂ１ｂと信頼できない領域Ｔｂ１ａとに分割され、メモリ保護デバイスＳＳＥによって分離されている。第２のサブ領域Ｂ４＿２は、ここでも、少なくとも１つの信頼できる領域Ｔｂ２ａと信頼できない領域Ｔｂ２ｂとに分割され、ここでもメモリ保護デバイスＳＳＥによって分離されている。

メインメモリ１０３０ｂのさらなる領域Ｂ２，Ｂ３は、さらなる好適な実施形態においては、例えば、アプリケーションコアＫ２，Ｋ３に割り当て可能である。さらなる好適な実施形態においては、例えば、領域Ｂ２は、信頼できる領域Ｔと信頼できない領域ＮＴとにさらに分割可能である。さらなる好適な実施形態においては、第３のアプリケーションコアＫ３についても比較可能に当てはまる。

さらなる好適な実施形態においては、参照符号ＳＳＥ’によって集団的に表されている１つ又は複数のさらなるメモリ保護デバイスが、例えば読み取り権利及び／又は書き込み権利及び／又は実行権利に関して好適な実施形態によるそれぞれの分離を実現するために設けられるものとしてもよい。

さらなる好適な実施形態においては、計算デバイス１００ｂは、例えば、ゲートウェイの機能、即ち、例えばＣＡＮバス（ＣＡＮコアＫ１参照）をイーサネットネットワーク（ＥＴＨコアＫ４参照）に結合することができるネットワーク結合要素の機能を提供することができる。さらなる好適な実施形態においては、例えば、第１の計算コアＫ１は、ＣＡＮメッセージのためのいわゆる高速ルーティングエンジンの機能を担うことができ、及び／又は、第４の計算コアＫ４は、イーサネットメッセージのためのいわゆる高速エンジンの機能を担うことができる。

ＳＷＴ４８スイッチ、特にイーサネットスイッチは、イーサネットイベントをイーサネット通信の処理を受け持っている計算コアＫ４に伝送する。その他に、計算コアＫ４は、他のＩＤＳインスタンス３４と通信する。

ゾーン間の通信、詳細には信頼できないゾーンＺ１から信頼できるゾーンＺ２への通信においては、信頼できないゾーンＺ１のプロキシ９０からゾーンＺ１の信頼できない領域内の分離されたバッファメモリにデータを押し出すことができる。信頼できるゾーンＺ２に割り当てられたセンサ６０は、信頼できるゾーンＺ２内における使用の前にこのデータを検証する。異常が検出されない限り、信頼できるゾーンＺ２のセンサ６０は、信頼できるゾーンＺ２に対するこれらのデータの使用をリリースする（Ｔｒｕｓｔｅｄ Ｄａｔａ）。異常又は予期しないイベントが検出される限り、信頼できるゾーンＺ２に割り当てられたセンサ６０はこれらのデータを破棄する。その他に、信頼できるゾーンＺ２に割り当てられたセンサ６０は、検出された異常をイベント２２０として信頼できるゾーンＺ２のイベントマネージャに通信する。センサ６０のロジックは、信頼できるゾーンＺ２内に配置されている。なぜなら、対応するイベントは、信頼できるインスタンスによって評価されなければならないからである。さらに、信頼できるゾーンＺ２と信頼できないゾーンＺ１との間において通信を行うことができる。その他に、信頼できるゾーンＺ２から信頼できないゾーンＺ１への通信も容易に行うことができる。さらなるセンサ６２を任意選択的に設けることができる。

信頼できないゾーンＺ１から信頼できるゾーンＺ２への通信は、既に説明したように、信頼できないゾーンＺ１内及び信頼できるゾーンＺ２内のセンサによって監視することもできる。デフラグ後にもはや存在しなくなったデータ、又は、信頼できるゾーンＺ２内において不要となったデータは、信頼できないゾーンＺ１内に配置されたセンサ３８，６２によって監視される。次いで、信頼できるゾーンＺ２内に配置されたセンサ４０，６０は、デフラグ後に（必要最低限のデータが）信頼できないゾーンＺ１から信頼できるゾーンＺ２に伝送されるデータを監視する。既に、信頼できないゾーンＺ１のセンサ３８，６２によって何かが検出されている場合、同様に、信頼できないゾーンＺ１内に配置されたセンサ３８，６２及び信頼できるゾーンＺ２内に配置されたイベントマネージャ３０からの通信が例えば生成されたイベント２２０の枠内において可能でなければならない。

信頼できるゾーンＺ２のイベントマネージャ３０は、到来するイベント２２０を、集約し、低減し、優先度付けし、フォーマットし、又は、永続化する。イベントマネージャ６６は、信頼できるゾーンＺ２内に配置されている。なぜなら、イベントは、信頼できるインスタンス（Ｔｒｕｓｔｅｄ Ｉｎｓｔａｎｚ）によって処理され、優先度付けされ、記憶されなければならないからである。

通信アダプタ３２は、部分的に、信頼できるゾーンＺ２内に配置されている。通信アダプタ３２は、同様に信頼できるゾーンＺ２内に配置されたイベントマネージャ３０との通信を制御している。その他に、通信アダプタ３２は、上位のＩＤＳインスタンス３４に対する安全で認証された機密チャネルを保証するために、ＨＳＭ（Ｈａｒｄｗａｒｅ Ｓｅｃｕｒｉｔｙ Ｍｏｄｕｌ、これは、認証及び／又は暗号化に用いることができる）との通信を担っている。通信アダプタ３２は、部分的に、信頼できるゾーンＺ２内に配置されている。なぜなら、同様に、通信アダプタは、例えば信頼できるゾーンＺ２のイベントマネージャ３０又はＨＳＭなどの信頼できるインスタンスとも通信しなければならないからである。

通信アダプタ３２は、スイッチＳＷＴ４８を介して、例えばインフォテインメントなどの他のＩＤＳインスタンス３４に対する通信を担うべきである。この通信アダプタは、信頼できないインスタンス（インフォテインメント，ＣＣＵ）と通信するため、部分的に、信頼できないゾーンＺ１に配置されている。

例示的に、イベントレポート２４２が周期的に上位のインスタンス３４に送信される通信フローを説明する。この目的のために、信頼できるゾーンＺ２からの通信アダプタ３２は、信頼できるゾーンＺ２内のイベントマネージャ３０に、バッファメモリ２０６内において選択されたイベント２２６を図２に関連して例示的に説明したように利用可能にするように問い合わせする。イベントレポート２４２には、暗号化及び／又は認証に関する特定の特に信頼できる情報、特に可変のサイズ２５４及び／又は認証情報２５６及び／又は暗号化部２５８が含まれる。これらの値は、既に上記でＨＳＭ（ハードウェアセキュリティモジュール）として説明したセキュリティモジュール７３によって提供することができる。このセキュリティモジュール７３は、例示的にいわゆるＢＳＷスタック７２内に収容されて、例えば、対応する乱数２７３又はそのような乱数の区間を可変のサイズ２５４として供給する。信頼できるゾーンＺ２のイベントマネージャ３０及び／又は通信アダプタ３２は、イベントレポート２４２の枠内においてこの可変のサイズ２５４を担っている。イベントレポート２４２は、平文で再びセキュリティモジュール７３に到達し、このセキュリティモジュールは鍵２５８による暗号化を行い、信頼できるゾーンＺ２の通信アダプタ３２に提供する。そのように暗号化されたイベントレポート２４２は、ここで、通信アダプタ３２を介して、もはや信頼できない領域Ｚ１に、即ち、コアＫ３に到達する。それに応じて、イベントレポート２４２は、ゾーンＢ３のバッファに書き込まれる。例示的に、イベントレポート２４２は、対応する矢印によって示され、既に説明したように、イーサネットコアＫ４を介して上位のインスタンス３４に通信することができる。この目的のために、イベントレポート２４２は、領域Ｂ３のメモリからメモリ領域Ｂ４＿１に転送され、即ち、ここでは、イーサネットコアＫ４内にある。さらなる通信は、Ｋ４から送信過程Ｉ３を介して、例えば、イーサネットスイッチ４８などを介して、イーサネットを介して接続された上位のインスタンス３４に対して行われる。

後続の通信フローは、（以下において図５乃至図１０に関連してより詳細に説明するように）上位のインスタンス３４によって生成された確認信号４０８，４１６の受信を記述する。対応する確認信号４０８，４１６は、イーサネットスイッチ４８を介してイーサネットコアＫ４に到達し、そこでは、信頼できないゾーンＺ１に到達する。信頼できないゾーンＺ１に存在する通信アダプタ３２の部分を介して、データは、最初に領域Ｂ３に、そこでは信頼できない領域ＮＴにバッファリングされる。そこに分離されたデータへのアクセスを、信頼できるゾーンＺ２の通信アダプタ３２は有している。この信頼できるゾーンＺ２の通信アダプタ３２は、暗号化されたデータを識別する。復号化は、ここでは、信頼できるゾーンＺ２の通信アダプタ３２がデータを復号化のためにセキュリティモジュール７３に送信することによって、又は、対応するセキュリティモジュール７３にデータへのアクセスを割り当てることによって行われる。続いて、セキュリティモジュール７３によって復号化された信号は、平文で再び、信頼できるゾーンＺ２の通信アダプタ３２に戻される。次いで、通信アダプタ３２は、例えば、可変のサイズ２５４’及び／又は認証情報２５６’などのさらなるセキュリティに関連する情報が、確認信号４０８，４１６の構成要素であることを識別する（図５参照）。特に好適な変形形態においては、確認信号４０８，４１６の可変のサイズ２５４’は、上位のインスタンス３４によって、可変のサイズ２５４が、最後のイベントレポート２４２によって伝送され（同様にセキュリティモジュール７３によって生成され）確認信号４０８，４１６のための可変のサイズ２５４’として使用されるように形成されている。従って、セキュリティモジュール７３は、確認信号４０８，４１６の可変のサイズ２５４’が、特に最後のイベントレポート２４２の可変のサイズ２５４と一致するかどうかの対応する検査を実施する。このことが当てはまる場合、確認信号４０８，４１６のための対応するリリース情報を生成することができる。信頼できるゾーンＺ２の通信アダプタ３２は、この関係において、例えば、信号４１０をイベントマネージャ３０に送信し、最後のイベントレポート２４２の枠内において伝送されたバッファメモリ２０６内のイベント２２６を削除する。さらに、付加的に、対応する認証情報２５６’は、説明したように、受信した確認信号４０８，４１６の検証又は認証のためにも使用することができる。

以下においては、イベントマネージャ３０と、制御装置又はゲートウェイ２０内の通信アダプタ３２との間、及び、通信アダプタ３２と、車両１８内の少なくとも１つのさらなるＩＤＳインスタンス３４との間、及び、さらなるＩＤＳインスタンス３４と、バックエンド３６との間の通信フローが、図５乃至図１０に基づいて例示的に説明される。

例えば、ゲートウェイ２０などの制御装置からさらなるＩＤＳインスタンス３４（例えば、車両１８内の中央イベントロガー）への通信においては、さらなるＩＤＳインスタンス３４又はイベントロガーが、未読のエントリ又はメモリ２０６に記憶されたイベント２３６又は選択イベント２２６を介して情報提供されることを保証すべきである。制御装置又はゲートウェイ２０は、好適には、いわゆるハートビート信号（通信参加者の適正な接続の検査のために使用できる周期的な信号）を介して、定期的な方式でイベントレポート２４２をさらなるＩＤＳインスタンス３４に送信すべきである。ハートビート信号（イベントレポート２４２を含む）は、暗号化されるべきであり、真性なものでなければならない。好適には、伝送される情報は、（場合によっては認証情報２５６を使用して）真性にかつ好適にはランダムに又は乱数２７３を使用して暗号化されて、制御装置又はゲートウェイ２０と、さらなるＩＤＳインスタンス３４との間において交換されるべきである。好適には、イベントレポート２４２は、固定長２５７を有するべきであり、暗号化されかつ認証されるべきである。暗号化された各イベントレポート２４２は、たとえ伝送された状態が変更されていなくても、先行するイベントレポート２４２とは異なるようにすべきである。

その他に、さらなるＩＤＳインスタンス３４から制御装置又はゲートウェイ２０又は関連する通信アダプタ３２への通信は、以下の機能性によって優れているべきである。データロガー又はＩＤＳインスタンス３４は、特にメモリ又はバッファメモリ２０６のオーバーフローを阻止するために、可能な限り早くイベント２３６又は関連するイベントレポート２４２を読み込むべきである。イベントレポート２４２は、例えば要求に応じて、診断インタフェースを介して読み出せるようにすべきである。代替的に、イベントレポート２４２は、完全に周期的に送信することもできる。イベントレポート２４２は、たとえ新たな選択イベント２２６が新たなイベントレポート２４２の枠内において利用可能でないとしても、定期的な方式で好適には真性にかつ暗号化又は偽装されて通信又は読み出されるべきである。制御装置又はゲートウェイ２０は、固定長の、暗号化され認証された応答又はイベントレポート２４２で、読み出し要求２４０に応答すべきである。暗号化された各応答又はイベントレポート２４２は、たとえ内容が変更されていなくても、先行の応答又はイベントレポート２４２とは異なるようにすべきである。例示的に、このことは、既に説明したように常に変更されるサイズ２５４によって行われる。

図５によれば、信頼できるゾーンＺ２内に配置されたイベントマネージャ３０は、最初に第１の選択イベント２２６．１を選択し、続いて第２の選択イベント２２６．２を選択する。これらは、説明したようにイベントマネージャ３０によって処理される。即ち、これらの選択イベント２２６．１，２２６．２は、メモリ２０６に格納されている。信頼できるゾーンＺ２内に存在する通信アダプタ３２の部分は、時間依存性の割り込み信号（タイマＩＲＱ）である信号４００を含む。好適には、この時間依存性の信号４００は、周期的に形成され、それによって、通信アダプタ３２から車両１８内のさらなるＩＤＳインスタンス３４へのイベントレポート２４２の送信が周期的に開始される。しかしながら、たとえ新たなイベント２２６．１，２２６．２が存在しなくても、以下において説明するように、通信アダプタ３２からさらなるＩＤＳインスタンス３４には信号が（「通常の」イベントレポート２４２の形態で）送信される（信号４０６参照）。しかしながら、特に好適には、イベントレポート２４２の送信は、イベント２２０又は選択イベント２２６の取得に依存してトリガされるのではなく、むしろ周期的に（周期時間の時間経過によって）トリガされる。このことは、特に有利である。なぜなら、その後においてもさらなるＩＤＳインスタンス３４及び／又はバックエンド３６への伝送が常に周期的に、即ち、特定の時間の経過後に行われるからである。これにより、攻撃者にとってイベントマネージャ３０の動作又は異常識別の動作が不透明となる。攻撃者は、自身の攻撃が検出されたかどうか、何が検出されたか、異常識別のためのシステムがどのように動作するかを決して知ることはない。

信頼できるゾーンＺ２内に存在する通信アダプタ３２の部分は、信号４００（Ｔｉｍｅｒ Ｉｎｔｅｒｒｕｐｔ「タイマ割り込み」）を受信した後、イベントマネージャ３０からのイベントレポート２４２を要求する（信号４０２）。イベントマネージャ３０は、対応するイベントレポート２４２を生成し、このレポートには、事前の選択イベント２２６．１及び／又は２２６．２（それぞれの汎用メタデータ２１７及びイベント依存性のメタデータ２１６を伴う）並びに変更されたサイズ２５４が含まれる。さらに、対応する充填データ２５５が追加され、それによって、イベントレポート２４２の固定長２５７が達成される（さらに形成すべき認証情報２５６の長さの知識）。さらに、例えば、イベントマネージャ３０は、変更された情報２５４、選択イベント２２６．１，２２６．２及び充填データ２５５から、特定のアルゴリズムを使用して認証情報２５６を生成する。そのように形成された認証情報２５６は、イベントレポート２４２を完成させる。その後、イベントレポート２４２全体の暗号化が鍵２５８を用いて行われる。暗号化されたイベントレポート２４２は、信号４０４として信頼できるゾーンＺ２内に存在する通信アダプタ３２の部分に到達する。（変更された情報２５４及び／又は鍵２５８を使用した）暗号化及び（認証情報２５６の形成による）認証は、対応するセキュリティ要件が満たされた場合、イベントマネージャ３０において、及び／又は、通信アダプタ３２において、又は、既に説明したように（同様に信頼できるゾーンＺ２内に配置された）セキュリティモジュール７３を使用して、行うことができる。

代替的に、通信アダプタ３２及び／又はセキュリティモジュール７３は、例えば、乱数２７３に依存してイベントレポート２４２を暗号化することができる。特に好適には、暗号化のために、例えばハッシュ化によって常に新たな乱数２７３が形成される。このことは、伝送されたメッセージ又は暗号化されたイベントレポート２４２の復号化をさらに複雑にする。場合によっては、通信アダプタ３２は、認証情報２５６を使用した認証、及び／又は、可変のサイズ２５４の追加、及び／又は、暗号化２５８を用いたイベントレポート２４２全体の最終的な暗号化を担う。

対応する信号４０６は、新たな選択イベント２２６の発生による新たなイベントレポート２４２がイベントマネージャ３０から提供されない場合であっても、タイマ割り込み（信号４００）自体に基づいて送信される。次いで、イベントレポート２４２のデータフォーマットを有するダミーメッセージが使用され、乱数又は常に変更されるサイズ２５４によって（鍵２５８を使用して）暗号化され、さらなるＩＤＳインスタンス３４に伝送される。ダミーメッセージも、常に変更されるサイズ２５４又は新たな乱数によって常に暗号化され、そのため、新たな選択イベント２２６が発生しない場合においても、他の又は暗号化されたメッセージ（信号４０６）が常に周期的に伝送される。この周期的な伝送により、通信アダプタ３２と、さらなるＩＤＳインスタンス３４との間の適正な通信接続の機能を検査することができる。既に説明したように、イベントレポート２４２の送信は、信頼できないゾーンＺ１内に配置された通信アダプタ３２の部分を介して行われる。

通信アダプタ３２によって送信されたメッセージ（信号４０６）がさらなるＩＤＳインスタンス３４によって取得された後、このさらなるＩＤＳインスタンス３４は、確認信号（４０８）を通信アダプタ３２、特に、信頼できないゾーンＺ１内に配置された通信アダプタ３２の部分に送信する。さらなる手順は、既に図４に関連してより詳細に説明した。この確認信号４０８の取得後、信頼できるゾーンＺ２内に配置された通信アダプタ３２の部分は、イベントマネージャ３０に対する一時記憶された、場合によっては低減された選択イベント２２６又は関連するイベントレポート２４２を削除又は再度上書きする要求を生成する（信号４１０）。

代替的実施例においては、上位のインスタンス３４及び／又はバックエンド３６は、受信され暗号化されたイベントレポート２４２の真性を検査する。この目的のために、上位のインスタンス３４及び／又はバックエンド３６は、既知の鍵２５８を使用して受信されたメッセージ、詳細には暗号化されたイベントレポート２４２を復号化する。次いで、イベントレポート２４２は平文で利用可能である。認証情報２５６を形成するための（イベントマネージャ３０又は通信アダプタ３２による認証情報２５６の作成のためにも使用された）対応するアルゴリズムを使用してイベントレポート２４２は認証される。この目的のために、受信されかつ復号化されたイベントレポート２４２のすべてのデータ（認証情報２５６を除く）が再度用いられ、そこから対応する認証情報２５６’が形成される。その後、形成された認証情報２５６’と、イベントレポート２４２の枠内において受信された認証情報２５６との比較が行われる。一致した場合、受信されたイベントレポート２４２は、真性とみなされる。このバリエーションにおいては、認証に成功した後にのみ、より上位のレベル又はより下位のレベルのインスタンスとのさらなるデータ通信を行うことができる。本実施形態においては、認証に成功した場合にのみ、信号４０８（確認信号）が通信アダプタ３２に送信され、通信アダプタ３２は、ここで、選択イベント２２６．１，２２６．２の上書きのためのリリース信号４１０をイベントマネージャ３０に送信する。

好適には、応答又は確認信号４０８，４１６も固定長２５７’を有するべきである。好適には、確認信号４０８は、認証され、暗号化されるべきである。各応答又は確認信号４０８は、たとえ内容が変更されていなくても、上位のインスタンス３４及び／又はバックエンド３６によって異ならせるべきである。

そのような確認信号４０８，４１６の一例は図９から見て取れる。確認信号４０８，４１６は、イベントレポート２４２と同様の構造である。確認信号４０８，４１６は、可変のサイズ２５４’を含む。この可変のサイズ２５４’は、新たに送信された確認信号４０８，４１６ごとに変化する。これらの可変のサイズ２５４’も、例えば、乱数、カウンタ、時間によって実現することができる。

特に好適には、確認信号４０８，４１６の可変のサイズ２５４’は、直前に伝送され、場合によってはセキュリティモジュール７３によって生成されたようなイベントレポート２４２の可変のサイズ２５４を使用することによって形成することができる。この目的のために、上位のインスタンス３４，３６は、受信されたイベントレポート２４２から可変のサイズ２５４を抽出し、確認信号４０８，４１６に挿入するように構成される。それにより、後続のステップにおいては、確認信号４０８，４１６の認証も、確認信号４０８，４１６の受信された可変のサイズ２５４’を、直前に送信されたイベントレポート２４２の可変のサイズ２５４と比較することによって行うことができる。一致した場合には、真性の確認信号４０８，４１６との推論がなされる。その他に、この可変のサイズ２５４’は、上位のインスタンス３４，３６において自身で生成する必要はない。それに対して、メモリ２０６の解放が追従し得る。

さらに、確認信号４０８，４１６は、特定のデータ２５５’を例えば任意のパターンの形態で含む。さらに、確認信号４０８，４１６は、認証情報２５６’も含む。この認証情報２５６’もイベントレポート２４２と同様に再び、確認信号４０８，４１６の残余のデータ、詳細には可変のサイズ２５４’及びデータ２５５’を利用する特定のアルゴリズムを介して形成することができる。そのように形成された認証情報２５６’は、固定長２５７’を有する確認信号４０８，４１６を完成させる。次いで、暗号化が鍵２５８’を使用して行われる。任意選択的に、この暗号化２５８’は省略することもできる。

受信されたインスタンス（例えば上位のインスタンス３４、バックエンド３６）及び／又は通信アダプタ３２又はイベントマネージャ３０は、ここでも、確認信号４０８，４１６を（鍵２５８’を使用して）復号化しかつ認証することができる。この目的のために、ここでも、受信されたデータ（可変のサイズ２５４’、データ２５５’）から、対応する既知のアルゴリズムを使用した結果として生じる認証情報２５６’’が求められ、取得された認証情報２５６’と比較される。一致した場合は、真性に基づく。取得された認証情報２５６’が適正である限り、メモリ２０６を解放するための信号４１０が生成できる。認証情報２５６’が適正でない場合には、この信号４１０は生成できないはずなので、メモリ２０６に含まれる選択イベント２２６は（まだ）削除されない。

さらなるＩＤＳインスタンス３４も、既に説明したように信号４００と同様に形成されるタイマ割り込み信号４１２を周期的に受信する。この割り込み信号４１２に基づいて、さらなるＩＤＳインスタンス３４は、ここでも暗号化されたメッセージを送信する（信号４１４）。このメッセージは、場合によっては、信号４０６を介して通信アダプタ３２の前から伝送されるようにイベントレポート２４２又は（さらなるイベントレポートを含めて）車両に関連するイベントレポートを含む。通信アダプタ３２の場合と同様に、メッセージは、さらなるＩＤＳインスタンス３４によって、特に、例えば、乱数２７３のように常時変化するサイズ２５４’によって暗号化される。例えば、新たな選択イベント２２６が発生しなかったために通信アダプタ３２がイベントレポート２４２を伝送しなかったとしたら、ここでもイベントレポート２４２と同一のデータフォーマットを有するダミーメッセージが使用されかつ暗号化され、バックエンド３６に伝送される（信号４１４）。バックエンド３６は、確認信号４１６及び／又はバッファメモリ２０６に一時記憶されたイベント２３６などの上書きのためのさらなる通知又は要求を、さらなるＩＤＳインスタンス３４に送信する。確認信号４１６は、上記で説明したように形成されるものとしてもよい。

イベントリリースに関する信号４１０の取得後、イベントマネージャ３０は、さらに選択イベント２２６．３及び２２６．４を選択する。さらなるフローは、図６から見て取ることができる。その間に、イベントマネージャ３０は、さらに１つのさらなるイベント２２６．５を選択する。新たに、タイマ割り込み（信号４２０）が、通信アダプタ３２に到達する。このアダプタは、ここで、ゲートウェイ２０についてのイベントレポート２４２を要求する（信号４２２）。イベントマネージャ３０は、選択イベント２２６．３，２２６．４，２２６．５に基づいて、イベントレポート２４２を通信アダプタ３２に送信する（信号４２４）。イベントレポート２４２の取得後、通信アダプタ３２は、乱数のような新たな可変のサイズ２５４によって暗号化されかつ認証されたイベントレポート２４２を、さらなるＩＤＳインスタンス３４に送信する（信号４２６）。この取得を、さらなるＩＤＳインスタンス３４は、確認信号４２８によって確認する。この確認信号４２８は、確認信号４０８（図５）に関連して説明したように形成されるものとしてもよい。確認信号４２８の取得後、通信アダプタ３２は、ここでもイベントマネージャ３０に対して、イベントレポート２４２の基礎となる選択イベント２２６．３，２２６．４，２２６．５を上書き又は削除する要求を送信する（信号４３０）。信号４２４の送信と信号４３０の受信との間においては、その間に、さらなる選択イベント２２６．６が選択される。ただし、この選択イベント２２６．６は、まだ上書きはされない。なぜなら、この選択イベント２２６．６は、既に通信アダプタ３２に伝送されたイベントレポート２４２の基礎となったものではまだなかったからである。その限りにおいては、この信号４３０は、選択イベント２２６．６の上書きに関するものではなく、むしろ最後のイベントレポート２４２の枠内において既に伝送された選択イベント２２６．３，２２６．４，２２６．５のみの上書きに関するものである。

ここでも、さらなるＩＤＳインスタンス３４において、既に説明したようにタイマ割り込みが発生する（信号４３２）。これにより、さらなるＩＤＳインスタンス３４は、信号４２６において新たに受信したイベントレポート２４２を暗号化してバックエンド３６に伝送することを引き起こす（信号４３４）。対応するメッセージ４３４の取得後、バックエンド３６は、さらなるＩＤＳインスタンス３４に送信される対応する確認信号４３６によって確認する。この確認信号４３６は、確認信号４０８又は４１６のように形成されるものとしてもよい。

さらなるフローを図７に示す。新たに、通信アダプタ３２のためのさらなるタイマ割り込みが発生する（信号４４０）。ここでは、通信アダプタ３２は、信頼できるゾーンＺ２からイベントマネージャ３０に対して、イベントレポート２４２の送信のための要求を送信する（信号４４２）。イベントマネージャ３０は、その間に選択イベント２２６．６を含むイベントレポート２４２を送信する（信号４４４）。通信アダプタ３２は、新たな可変のサイズ２５４を使用して、場合によってはセキュリティモジュール７３を使用して、イベントレポート２４２を暗号化し、この暗号化されたイベントレポート２４２を、信頼できないゾーンＺ１内に存在する通信アダプタ３２の部分を介してさらなるＩＤＳインスタンス３４に送信する（信号４４６）。これを取得した場合、さらなるＩＤＳインスタンス３４は、確認を送信し（信号４４８）、この信号を取得した場合、通信アダプタ３２は、イベントマネージャ３０に対して、既に伝送されたイベント２２６．６を上書き又はリリースする要求を送信する（信号４５０）。

ここでも、さらなるＩＤＳインスタンス３４は、タイマ割り込みを受信する（信号４５２）。ここでは、暗号化されたイベントレポート２４２が、場合によっては、車両に関連するさらなるＩＤＳシステムのさらなるイベントレポートとともにバックエンド３６に伝送される。バックエンド３６は、さらなるＩＤＳインスタンス３４に対して確認信号及び／又は対応するイベントをリリース又は上書きするなどの要求を送信する（信号４５６）。

図８による例示的なフローにおいては、最後のイベントレポート２４２の送信とタイマ割り込み（信号４６０）の新たな発生との間に、新たな選択イベント２２６は発生していない。タイマ割り込み４６０の取得後、通信アダプタ３２は、信頼できるゾーンＺ２から新たなイベントレポート２４２のための対応する要求信号４６２をイベントマネージャ３０に送信する。イベントマネージャ３０は、（新たな選択イベント２２６が発生したにもかかわらず）ダミー内容を有するイベントレポート２４２を生成し、次いで、これを通信アダプタ３２に送信する（信号４６４）。このダミー内容は、さらなるＩＤＳインスタンス３４によって、及び／又は、バックエンド３６によってそのようなものとして識別可能である。通信アダプタ３２は、信頼できるゾーンＺ２内において、場合によってはセキュリティモジュール７３を使用してダミー内容を有する受信されたイベントレポート２４２を、新たな可変のサイズ２５４を用いて暗号化し、この暗号化されかつ認証されたイベントレポート２４２をさらなるＩＤＳインスタンス３４に伝送かつ送信する（信号４６６）。この伝送は、ここでも、信頼できないゾーンＺ１から行われる。この取得は、さらなるＩＤＳインスタンス３４によって確認される（信号４６８）。この信号を取得した場合、通信アダプタ３２は、新たに、イベントマネージャ３０に対して、最後の選択イベント２２６を上書きする要求信号を送信する（信号４７０）。このことは、この状況のように新たな選択イベント２２６が存在しない場合であっても行われる。

新たに、さらなるＩＤＳインスタンス３４は、タイマ割り込みを取得する（信号４７２）。ここでは、さらなるＩＤＳインスタンス３４は、通信アダプタ３２から伝送され最後に取得した暗号化されたイベントレポート２４２を暗号化し、それを、場合によっては車両に関連するさらなるＩＤＳシステムからのさらなるイベントレポートとともにバックエンド３６に送信する。バックエンド３６は、確認信号４７６及び／又は基礎となるイベントのリリースのための要求などをさらなるＩＤＳインスタンス３４に送信する。

図９の通信フローにおいては、通信アダプタ３２は、新たにタイマ割り込みを取得する（信号４８０）。このタイマ割り込み４８０は、特別な信号であり得る。そのため、通信アダプタ３２は、イベントマネージャ３０からの（通常のイベントレポート２４２のうちの１つではなく）イベント要約を要求する（信号４８２）。イベントマネージャ３０は、イベント要約を通信アダプタ３２に送信する（信号４８４）。このことは、ここでも信頼できるゾーンＺ２内において行われる。イベント要約においては、例えば、様々なイベントタイプ２１８に対する様々なカウンタ状態２３１、又は、新たなイベントタイプの発生など上位の情報を含めることができる。ここでも、通信アダプタ３２からのイベント要約は、乱数のような新たな可変のサイズ２５４によって、場合によってはセキュリティモジュール７３を使用して、信頼できるゾーンＺ２内において暗号化され、さらなるＩＤＳインスタンス３４に伝送される（信号４８６）。この伝送は、ここでも信頼できないゾーンＺ１から行われる。ＩＤＳインスタンス３４が通信アダプタ３２からの暗号化されたイベント要約を取得するとただちに、さらなるＩＤＳインスタンス３４は、このイベント要約を特に好適には暗号化してバックエンド３６に転送する。本実施例においては、さらなるＩＤＳインスタンス３４とバックエンド３６との間の送信過程のために、通信過程を開始するためのタイマ割り込みは設けられていない。ただし、代替的に、ここでも、これは通常のイベントレポートの送信のように周期的に開始することができる。

図１０の通信フローにおいては、バックエンド３６は、イベントレポートのための要求をさらなるＩＤＳインスタンス３４に送信する（信号４９０）。さらなるＩＤＳインスタンス３４は、イベントレポートのための暗号化された要求を、例えば診断インタフェースを介して通信アダプタ３２に送信する（信号４９２）。この暗号化は、ここでも、例えば、特に暗号化ごとに変化する乱数のような可変のサイズ２５４’を介して行うことができる。要求４９２の取得後、セキュリティに関連するゾーンＺ２内の通信アダプタ３２は、イベントレポート２４２のための問い合わせをイベントマネージャ３０に送信する（信号４９４）。対応する問い合わせ４９４の取得後、イベントマネージャ３０は、イベントレポート２４２を通信アダプタ３２に送信する（信号４９６）。通信アダプタ３２は、このイベントレポート２４２を、例えば、乱数のような新たな可変のサイズ２５４を介して、場合によってはセキュリティモジュール７３を使用して暗号化し、これをセキュリティに関連しないゾーンＺ１からさらなるＩＤＳインスタンス３４に送信する（信号４９８）。暗号化されたイベントレポート２４２の取得後、さらなるＩＤＳインスタンス３４は、このイベントレポート２４２をバックエンド３６に送信する。この取得をバックエンド３６はさらなるＩＤＳインスタンス３４に確認する（信号４９２）。この確認信号４９２の取得をさらなるＩＤＳインスタンス３４は通信アダプタ３２に確認する（信号４９４）。対応する信号４９４の取得後、通信アダプタ３２は、イベントマネージャ３０に対して、少なくとも最後のイベントレポート２４２の枠内において伝送されたイベント２２０をリリース又は上書きする対応する要求を送信する。

記載された方法は、計算ユニット、コンピュータ又はコントローラ、特に車両１８の制御装置において実装されるものとしてもよい。同様に、本方法は、コンピュータ上において実行されるときに本方法を実施するために構成されたコンピュータプログラムの枠内において作成されるものとしてもよい。さらに、本コンピュータプログラムは、機械可読記憶媒体上に記憶されているものとしてもよい。それにもかかわらず、本プログラムは、例えば、「無線」ソフトウェアとして無線でインストールすることもできるし、診断インタフェースを介して有線でインストールすることもできる。

Claims (16)

1. 異常識別のための少なくとも１つのセンサ（２４，２６，２８）と、イベントマネージャ（３０）とを備え、かつ、少なくとも１つの信頼できるゾーン（Ｚ２）と、少なくとも１つの信頼できないゾーン（Ｚ１）とが設けられている自動車におけるデータの異常を処理するための方法であって、
   前記異常識別のための少なくとも１つのセンサ（２４，２６，２８）が、データ（２１１）を取得し、
   前記異常識別のための少なくとも１つのセンサ（２４，２６，２８）は、前記取得されたデータ（２１１）を異常について検査し、異常が識別された場合、関連するデータ（２１１）に依存してイベント（２２０，２２１）が生成され、前記イベントマネージャ（３０）に転送される、方法において、
   前記異常識別のための少なくとも１つのセンサ（２４，２６，２８）及び／又は前記イベントマネージャ（３０）が、前記信頼できるゾーン（Ｚ２）に割り当てられており、
   通信アダプタ（３２）が、前記イベントマネージャ（３０）と同一のゾーン（Ｚ２）内に配置され、前記通信アダプタ（３２）は、前記イベントマネージャ（３０）によって少なくとも部分的に作成されたイベントレポート（２４２）の通信に用いられる、
   ことを特徴とする、方法。
2. 前記通信アダプタ（３２）は、前記信頼できないゾーン（Ｚ１）にも割り当てられる、請求項１に記載の方法。
3. 前記信頼できるゾーン（Ｚ２）内の前記異常識別のための少なくとも１つのセンサ（２４，２６，２８）は、前記信頼できないゾーン（Ｚ１）内に配置されたセンサ（３８，６２）からの少なくともデータ（２１１）、特にデフラグされたデータを含み、前記信頼できるゾーン（Ｚ２）内の前記異常識別のための少なくとも１つのセンサ（２４，２６，２８）は、前記取得されたデータ（２１１）を異常について検査し、前記取得されたデータ（２１１）に異常が存在する場合、１つのイベント（２２０）を生成し、及び／又は、前記信頼できないゾーン（Ｚ１）内の前記センサ（３８，６２）は、デフラグ後にもはや存在しなくなったデータ、又は、前記信頼できるゾーン（Ｚ２）内において不要となったデータを異常について検査し、当該データに異常が存在する場合、１つのイベント（２２０）を生成する、請求項１又は２に記載の方法。
4. 前記イベントレポート（２４２）の送信は、前記信頼できるゾーン（Ｚ２）内の前記通信アダプタ（３２）が、前記信頼できないゾーン（Ｚ１）内の前記通信アダプタ（３２）がアクセス及び送信可能である前記信頼できないゾーン（Ｚ１）のメモリに、前記イベントレポート（２４２）をもたらすことによって行われる、請求項２に記載の方法。
5. 前記イベントレポート（２４２）は、各イベントレポート（２４２）について変化する少なくとも１つのサイズ（２５４）及び／又は少なくとも１つの認証情報（２５６）を含み、及び／又は、暗号化（２５８）によって暗号化される、請求項４に記載の方法。
6. 前記信頼できるゾーン（Ｚ２）に割り当てられたセキュリティモジュール（７３）は、前記各イベントレポート（２４２）について変化するサイズ（２５４）及び／又は認証情報（２５６）及び／又は暗号化（２５８）を提供する、請求項５に記載の方法。
7. 前記イベントレポート（２４２）の送信後、確認信号（４０８，４１６）が受信され、前記確認信号（４０８，４１６）は、前記信頼できないゾーン（Ｚ１）の前記通信アダプタ（３２）によって受信され、前記信頼できるゾーン（Ｚ２）の前記通信アダプタ（３２）に転送される、請求項６に記載の方法。
8. 前記確認信号（４０８，４１６）は、各確認信号（４０８，４１６）について変化する少なくとも１つのサイズ（２５４’）及び／又は少なくとも特定のデータ若しくはパターン（２５５’）及び／又は少なくとも１つの認証情報（２５６’）及び／又は少なくとも１つの一定の長さ（２５７’）を含み、及び／又は、暗号化（２５８’）を用いて暗号化される、請求項７に記載の方法。
9. 前記信頼できるゾーン（Ｚ２）の前記通信アダプタ（３２）は、前記受信された確認信号（４０８，４１６）を、前記信頼できるゾーン（Ｚ２）に配置されたセキュリティモジュール（７３）を使用して復号化及び／又は認証する、請求項７又は８に記載の方法。
10. 前記受信された確認信号（４０８，４１６）は、送信されたイベントレポート（２４２）の可変のサイズ（２５４）が、前記確認信号（４０８，４１６）に含まれているかどうかを検査することによって復号化及び／又は認証される、請求項７乃至９のいずれか一項に記載の方法。
11. 一方のゾーン（Ｚ１）から他方のゾーン（Ｚ２）へのデータの伝送の際に、前記異常識別のための少なくとも１つのセンサ（２４，２６，２８）は、使用前にデータを検査し、特にイベント（２２０）が発生したかどうかを検査し、及び／又は、イベント（２２０）が検出されなかった場合に、前記データが使用のために前記他方のゾーン（Ｚ２）においてリリースされる、請求項１乃至１０のいずれか一項に記載の方法。
12. イベント（２２０）が発生した場合、データは、前記他方のゾーン（Ｚ２）に転送されず、及び／又は、前記異常識別のための少なくとも１つのセンサ（２４，２６，２８）は、前記イベント（２２０）を前記イベントマネージャ（３０）に転送する、請求項１１に記載の方法。
13. 前記イベントマネージャ（３０）及び／又は前記信頼できるゾーン（Ｚ２）の前記通信アダプタ（３２）及び／又は前記信頼できるゾーン（Ｚ２）の前記異常識別のための少なくとも１つのセンサ（２４，２６，２８）及び／又は前記セキュリティモジュール（７３）は、計算機コア（Ｋ２）上に実装されている、請求項９に記載の方法。
14. 少なくとも１つの計算デバイス（１０２ａ；１００ｂ）に、前記信頼できないゾーン（Ｚ１）及び前記信頼できるゾーン（Ｚ２）のうちの一方に対して特定の実行可能なアプリケーションプログラム（ＡＰ）が割り当てられ、前記ゾーン（Ｚ１，Ｚ２）は、該当するアプリケーションプログラム（ＡＰ）の実行に使用可能である前記計算デバイス（１０２ａ；１００ｂ）のリソースを特徴付け、前記アプリケーションプログラム（ＡＰ）のうちの少なくとも１つが、自身に割り当てられたゾーン（Ｚ１，Ｚ２）に依存して実行される、請求項１乃至１３のいずれか一項に記載の方法。
15. 前記方法は、少なくとも１つの計算デバイス（１０２ａ；１００ｂ）が、様々なゾーン（Ｚ１，Ｚ２）間において、バッファメモリ、特にメインメモリを介して第１のデータを交換するステップをさらに含み、特に第１のゾーン（Ｚ１）と第２のゾーン（Ｚ２）との間において前記第１のデータを交換するステップは、ｄ１）前記第１のデータを、前記第１のゾーン（Ｚ１）に割り当てられた第１のバッファメモリ領域にコピーするステップと、ｄ２）コピーされた前記第１のデータを検査するステップと、特に、前記検査に依存して、ｄ３）前記第１のデータを、前記第１のゾーン（Ｚ１）に割り当てられた前記第１のバッファメモリ領域から前記第２のゾーン（Ｚ２）に割り当てられた第２のバッファメモリ領域にコピーするステップと、を含む、請求項１乃至１４のいずれか一項に記載の方法。
16. 請求項１乃至１５のいずれか１項に記載の方法を実施するための装置。

Images