(57)【要約】      （修正有）【課題】プロセッサユニットとセキュリティプロセッサユニットと備えるシステムオンチップを有する制御装置を駆動する方法を提供する。【解決手段】プロセッサユニット１１０とセキュリティプロセッサユニット１２０とを備えるシステムオンチップ１００を有する制御装置１５０を駆動する方法であって、プロセッサユニットとセキュリティプロセッサユニットとはそれぞれ、少なくとも１つのプロセッサコア１１１、１１２、１１３及び１２１を備える。プロセッサユニットは、セキュリティプロセッサユニットに、安全性に関わるプロセスを実行するよう命じる。セキュリティプロセッサユニット内で実行される安全性に関わるプロセスには、プロセッサユニット又はセキュリティプロセッサユニットによって、優先度が１つずつ割り当てられ、安全性に関わるプロセス（は、セキュリティプロセッサユニット内で、各優先度に従って実行される。【選択図】図１
2016091554.tif 000002
【特許請求の範囲】
【請求項１】
プロセッサユニット（１１０）とセキュリティプロセッサユニット（１２０）とを備えるシステムオンチップ（１００）を有する制御装置（１５）を駆動する方法であって、
−前記プロセッサユニット（１１０）と前記セキュリティプロセッサユニット（１２０）とはそれぞれ、少なくとも１つのプロセッサコア（１１１、１１２、１１３；１２１）を備え、
−前記プロセッサユニット（１１０）は、前記セキュリティプロセッサユニット（１２０）に、安全性に関わるプロセス（２１０、２２０、２３０、２４０）を実行するよう命じ、
−前記セキュリティプロセッサユニット（１２０）内で実行される前記安全性に関わるプロセス（２１０、２２０、２３０、２４０）には、前記プロセッサユニット（１１０）又は前記セキュリティプロセッサユニット（１２０）によって、優先度が１つずつ割り当てられ、
−前記安全性に関わるプロセス（２１０、２２０、２３０、２４０）は、前記セキュリティプロセッサユニット（１２０）内で、各前記優先度に従って実行される、方法。
【請求項２】
−前記セキュリティプロセッサユニット（１２０）内で、第１の優先度を有する第１の安全性に関わるプロセス（２１０）が実行されている場合に、さらに、前記プロセッサユニット（１１０）が、前記セキュリティプロセッサユニット（１２０）に、前記第１の優先度よりも高い第２の優先度を有する第２の安全性に関わるプロセス（２２０）を実行するよう命じる場合には、
−前記セキュリティプロセッサユニット内での前記第１の安全性に関わるプロセス（２１０）の実行が中断され、
−前記第２の安全性に関わるプロセス（２１０）が、前記セキュリティプロセッサユニット（１２０）内で実行され、
−前記第２の安全性に関わるプロセス（２２０）の実行後に、前記第１の安全性に関わるプロセス（２１０）の実行が、前記セキュリティプロセッサユニット（１２０）内で続けられる、請求項１に記載の方法。
【請求項３】
前記第１の安全性に関わるプロセス（２１０）の実行が前記セキュリティプロセッサユニット（１２０）内で中断される場合には、当該実行の直近の進捗が記録され、前記第２の安全性に関わるプロセス（２２０）の実行後に、前記第１の安全性に関わるプロセス（２１０）の実行が、前記セキュリティプロセッサユニット（１２０）内で、記録されている前記直近の進捗から先に進められる、請求項２に記載の方法。
【請求項４】
前記第１の安全性に関わるプロセス（２１０）の実行は、前記セキュリティプロセッサユニット（１２０）内で、前記プロセッサユニットにより介入されることなく、自動的に、前記記録されている直近の進捗から先に続けられる、請求項３に記載の方法。
【請求項５】
前記セキュリティプロセッサユニット（１２０）内では、実時間で実行すべき安全性に関わるプロセス（２１０、２２０、２４０）が、実時間条件が満たされるように実行される、請求項１〜４のいずれか１項に記載の方法。
【請求項６】
実時間で実行すべき安全性に関わるプロセス（２１０、２２０、２４０）には、実時間で実行すべきではない安全性に関わるプロセス（２３０）よりも高い優先度が割り当てられる、請求項５に記載の方法。
【請求項７】
前記セキュリティプロセッサユニット（１２０）内では、実時間処理が可能なオペレーティングシステムが実行される、請求項１〜６のいずれか１項に記載の方法。
【請求項８】
請求項１〜７のいずれか１項に記載の方法を実行するよう構成された演算ユニット（１５０）。
【請求項９】
演算ユニット（１５０）上で実行される場合に、前記演算ユニット（１５０）に請求項１〜７のいずれか１項に記載の方法を実行させるコンピュータプログラム。
【請求項１０】
請求項９に記載のコンピュータプログラムが格納された機械読み取り可能な記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プロセッサユニットとセキュリティプロセッサユニットと備えるシステムオンチップを有する制御装置を駆動する方法、並びに、このような方法を実行するための演算ユニット及びコンピュータプログラムに関する。
【背景技術】
【０００２】
システムオンチップ（ＳｏＣ：Ｓｙｓｔｅｍ  ｏｎ  ａ  Ｃｈｉｐ、ワンチップシステム）は、対応するシステムの複数の機能が１つのチップ（ダイ）に組み込まれた集積回路（ＩＣ）である。このようなＳｏＣは、プロセッサユニット（ＰＳ：プロセッサシステム部）を備えうる。このようなプロセッサユニットは、目的に適ったプロセッサ又はプロセッサコア又はマルチコアプロセッサを備えうる。マルチコアプロセッサは、複数（少なくとも２つ）のプロセッサコアを備える。１つのプロセッサコアは、タスク、プログラム、演算命令等を実行するための本来の電子計算機である算術論理演算ユニット（ＡＬＵ）と、さらに、ローカルメモリと、を備えることが多い。
【０００３】
プロセッサユニットに加えて、ＳｏＣは、いわゆるハードウェアセキュリティモジュール（ＨＳＭ：Ｈａｒｄｗａｒｅ  Ｓｅｃｕｒｉｔｙ  Ｍｏｄｕｌｅ）も備えうる。従来のプロセッサユニットと同じように、このＨＳＭも、１つ以上のプロセッサコアと、ローカルメモリ（ＲＯＭ、ＲＡＭ、フラッシュ（Ｆｌａｓｈ）、ＥＥＰＲＯＭ）と、を備えうる。従って、ＨＳＭは、プロセッサユニットの物理的リソースに依存しない固有の物理的リソース（プロセッサコア、ローカルメモリ等）を有する。ＨＳＭのリソースは、ハードウェアレベルで、特にプロセッサユニットのリソースに対して守られうる。
【０００４】
ＨＳＭは、特にプロセッサユニットによる操作又は攻撃から守られた、隔離された安全な環境であり、従って、安全性に関わるプロセス又は演算のために特に利用することが可能である。このような安全性に関わるプロセス又は暗号化プロセスの間には、例えば署名、暗号等の安全性に関わるデータが処理及び／又は作成されうる。
【発明の概要】
【発明が解決しようとする課題】
【０００５】
プロセッサユニット及びＨＳＭを備えたこのようなＳｏＣを、制御装置、特に、例えばエンジン制御装置のような、車両の制御装置に組み込むことが有益であることが分かっている。しかしながら、従来のＨＳＭは、このような制御装置内での使用のために適していないことが多く、自動車分野に該当する（安全性）要求及び（安全性）規格が遵守されることを保証することが出来ない。
【０００６】
例えば、制御装置内では、特定のプロセス、特に安全性に関わるプロセスが実時間条件を満たすこと、即ち、安全性に関わるプロセスの結果が所定の時間間隔内に計算されることが保証され、特定の時間制限以内に上記結果が出ることが要求される可能性がある。しかしながら、従来のＨＳＭによっては、安全性に関わるプロセスが実時間条件を満たすことを大抵保証しえないことが多い。
【０００７】
従って、プロセッサユニットとハードウェアセキュリティモジュールとを備えるシステムオンチップを、制御装置、特に車両の制御装置に実装する可能性を提供することが望まれている。
【課題を解決するための手段】
【０００８】
本発明に基づいて、請求項１に記載の特徴を備えた制御装置を駆動する方法が提案される。有利な構成は、従属請求項及び以下の明細書の記載の主題である。
【０００９】
制御装置は特に、車両の制御装置として、例えばエンジン制御装置として構成される。制御装置は、プロセッサユニットとセキュリティプロセサユニットとを備えるシステムオンチップ（ＳｏＣ）を備え、プロセッサユニットとセキュリティプロセサユニットとはそれぞれ、少なくとも１つのプロセッサコアを備える。プロセッサユニットとセキュリティプロセッサユニットとはそれぞれ、特に、電圧変化、クロック変化、及び温度変化から守る保護の仕組みを備える。
【００１０】
さらに、プロセッサユニットとセキュリティプロセッサユニットとはそれぞれ、特にローカルメモリ、例えば、フラッシュメモリ、ＲＯＭメモリ、ＲＡＭメモリ、及び／又は、ＥＥＰＲＯＭメモリを備える。代替的又は追加的に、特に、プロセッサユニットとセキュリティプロセッサユニットとが共有するローカルメモリも設けられてもよい。この場合には、特にメモリのセキュリティ対策が設けられ、例えば、メモリ保護ユニット（ＭＰＵ：Ｍｅｍｏｒｙ  Ｐｒｏｔｅｃｔｉｏｎ  Ｕｎｉｔ）が設けられる。このようなメモリのセキュリティ対策は、上記の共有メモリへのアクセスを管理し、操作や攻撃から当該共有メモリを守る。特に、このようなメモリのセキュリティ対策によって、共有メモリ内でのプロセッサユニット及びセキュリティプロセッサユニットのためのメモリ領域の隔離が実現される。
【００１１】
セキュリティプロセッサユニットは、特に、ハードウェアセキュリティモジュール（ＨＳＭ：Ｈａｒｄｗａｒｅ  Ｓｅｃｕｒｉｔｙ  Ｍｏｄｕｌｅ）として構成される。セキュリティプロセッサユニットとプロセッサユニットとは、特に互いに依存せず、固有の物理的リソース（プロセッサコア、ローカルメモリ等）を有する。セキュリティプロセッサユニットは、特にハードウェアレベルで守られており、操作や攻撃から守られ又は少なくとも操作や攻撃を困難にする安全な環境である。
【００１２】
プロセッサユニットは、セキュリティプロセッサユニットに対いて、安全性に関わるプロセスを実行するよう命じうる。プロセッサユニットとセキュリティプロセッサユニットとは、特に通信システムを介して、例えば、目的に合ったバス又は共有メモリ又は通信レジスタ又はこれらの組み合わせを介して通信接続されている。
【００１３】
安全性に関わるプロセス又は暗号化プロセスとは、特に、例えば、ある演算のために必要な秘密鍵のような、全体として若しくは部分的にＳｏＣから出るべきではなく又は第三者に届くべきではない安全性に関わるデータが処理及び／又は生成されるプロセスとして理解されるものとする。このような安全性に関わるプロセスとして、例えば、以下のプロセス又は演算のうちの１つ以上、即ち、署名の生成及び／又は検査、データの暗号化及び／又は復号、ハッシュ（Ｈａｓｈ）アルゴリズムの適用、コード及び／又はパスワードの生成、メッセージ、制御命令、及び／又は制御値の認証及び／又は検証、安全性に関わるデータの格納、のうちの１つ以上が見なされる。
【００１４】
本発明に基づいて、セキュリティプロセッサユニット内で実行される安全性に関わるプロセスには、優先度が１つずつ割り当てられ、安全性に関わるプロセスは、セキュリティプロセッサユニット内で、各優先度に従って実行される。特に、プロセッサユニットがセキュリティプロセッサユニットに安全性に関わるプロセスを実行するよう命じる場合には、プロセッサユニット自身が、安全性に関わる対応するプロセスに、その都度の優先度を割り当てる。セキュリティプロセッサユニットが、実行される安全性に関わるプロセスに、その都度の優先度を割り当てるということも構想可能である。
【００１５】
特に、プロセッサユニットの個々のプロセッサコアは、セキュリティプロセッサユニットに、安全性に関わる対応するプロセスを実行するよう命ずる。例えば、プロセッサユニットの各プロセッサコア内で実行されるオペレーティングシステムは、セキュリティプロセッサユニットに対して、対応して命ずることが可能である。プロセッサユニットの個々のプロセッサコア内では、（特に安全性に関わらない）プロセス又は演算又はアプリケーションも実行されうる。上記の安全性に関わるプロセスが、セキュリティプロセッサユニットに、対応して直接的に命ずるということも構想されうる。
【００１６】
特に、セキュリティプロセッサユニット内では、様々な安全性に関わるプロセスがそれに従って実行されるスケジュール又は順序が作成されうる（「スケジューリング」（Ｓｃｈｅｄｕｌｉｎｇ））。特に、安全性に関わるプロセスは、各優先度に従って降順に実行される。優先度が高い安全性に関わるプロセスは、特に最初に実行され、優先度が低い安全性に関わるプロセスは、特に最後に実行される。
【発明の効果】
【００１７】
本発明によって、処理すべき安全性に関わるプロセスをフレキシブルに計画することが可能となる。本発明によって、その処理が非常に重要であり可能な限り迅速に行うべき関連する安全性に関わるプロセスが、その処理を緊急に可能な限り迅速に行うべきではない副次的に重要な安全性に関わるプロセスと、区別されうる。
【００１８】
特に、本発明によって、セキュリティプロセッサユニットは、安全性に関わるプロセスを、命令が出された順序で行う必要はない。副次的に重要で、優先度が低い安全性に関わるプロセスの前に、優先度が高く関連する安全性に関わるプロセスを実行することが可能である。特に、セキュリティプロセッサユニットは、その都度、安全性に関わるプロセスを１つだけ実行し、複数の安全性に関わるプロセスを同時に実行しない。本発明によって、セキュリティプロセッサユニットのリソースを有効に利用し、その重要性及び関連性に従って安全性に関わるプロセスを処理することが可能となる。
【００１９】
従来のハードウェアセキュリティモジュールも、複数のプロセスを同時に実行することは出来ない。従来のハードウェアセキュリティモジュールでは、場合によっては、新しい処理を開始出来るようになる前に、現在ＨＳＭ内で実行されているプロセスが終了するまで待機することが必要となる可能性がある。新しい処理を開始出来るようになる前に、現在実行中のプロセスに従って場合によっては比較的長く時間が掛かり、例えば数秒掛かる可能性がある。従って、場合によっては、安全性に関わる重要なプロセスを実行出来るようになる前に、最初に数秒待機する必要がある。
【００２０】
本発明によって、従来のハードウェアセキュリティモジュールのこのような問題が解消される。その実行が非常に重要であり可能な限り迅速に実行すべき関連する安全性に関わるプロセスには、その都度、高い又は最高位の優先度が割り当てられる。当該安全性に関わるプロセスは、セキュリティプロセッサユニット内で、最初に、可能な限り迅速に実行される。従って、緊急に必要となる安全性に関わるデータが、可能な限り迅速に作成又は処理されることが保証されうる。
【００２１】
有利に数多くの様々な優先度又は様々な優先レベルが構想されうる。より多くの様々な優先度が、安全性に関わるプロセスに付与されるほど、様々な安全性に関わるプロセスの関連性を、より良好に区別することが可能である。
【００２２】
本発明によって、特に、自動車分野に該当する（安全性）要求及び（安全性）規格が遵守されることが保証されうる。特に、本発明によって、セキュリティプロセッサユニットの実時間処理能力が可能となる。従って、本発明は、車両の制御装置、例えばエンジン制御装置に特に適している。本発明によって、制御装置への攻撃及び操作を防止することが可能である。車両の制御装置の場合、特に、「ノウ・ハウの保護」を保証することが可能であり、例えば、チップチューニングの際のような、制御装置ソフトウェア上での操作が阻止される。
【００２３】
特に、安全性に関わるプロセスの間に、車両の駆動制御及び駆動のために必要なデータ、例えば、特別な駆動制御命令、技術的データ、制御値及び特性値が処理及び／又は作成される。上記の命令及び値は、製造業者によって、数年に渡る開発プロセスにおいて、高い研究コストを掛けて、コストが掛かる長期の一連のテストにより定められ又は最適されることが多い。従って、「ノウ・ハウの保護」を保証するために、第三者、即ち攻撃者が上記データを読み出せないことが、製造者の意図するところである。
【００２４】
「チップチューニング」の間に、攻撃者は、性能向上をもたらすために、実行される安全性に関わるプロセスを操作し、その際に、制御装置の制御パラメータを変更しようと試みる。このことにより、部品の損傷及び環境汚染が引き起こされる可能性があり、自動車の設計（駆動部、ブレーキ装置）全体に害が及ぶ可能性があるため、人的被害さえ引き起こされる可能性がある。
【００２５】
有利に、優先度が高い安全性に関わるプロセスのために、優先度が低い安全性に関わるプロセスを中断して、後に再び続行することが可能である。セキュリティプロセッサユニットは、処理すべき安全性に関わるプロセスの、作成された実行プラン又は作成された順序に必ずしも厳格には拘束されない。上記実行プラン又は上記順序は特に常時変更が可能であり、個々の安全性に関わるプロセスは、実行プラン又は順序において、必要に応じてフレキシブルに新たに分割されうる。
【００２６】
セキュリティプロセッサユニット内で、第１の優先度を有する第１の安全性に関わるプロセスが実行されている場合に、さらに、プロセッサユニットがセキュリティプロセッサユニットに、第１の優先度よりも高い第２の優先度を有する第２の安全性に関わるプロセスを実行するよう命ずる場合には、セキュリティプロセッサユニット内での第１の安全性に関わるプロセスの実行が、好適に中断又は一時停止され、第２の安全性に関わるプロセスが、セキュリティプロセッサユニット内で実行される。
【００２７】
このことは特に、より優先度が高い安全性に関わるプロセスを呼び出せという対応する命令をセキュリティプロセッサユニットが獲得し次第、自動的に起こりうる。有利に、第１の安全性に関わるプロセスの実行の直近の進捗が、例えば、セキュリティプロセッサユニットのローカルメモリ（ＲＡＭ、フラッシュ、ＥＥＰＲＯＭ）に記録され、及び（完全に）格納される。
【００２８】
第２の安全性に関わるプロセスの実行後に、好適に、第１の安全性に関わるプロセスの実行がセキュリティプロセッサユニット内で続けられる。当該実行は、有利に、記録されている直近の進捗に直接続いて先に進められる。従って、第１の安全性に関わるプロセスのデータは何も失われず、実行を改めて最初から開始する必要がない。好適に、第１の安全性に関わるプロセスの実行は、プロセッサユニットの更なる情報を必要とすることなく、自動的に続けられる。
【００２９】
第２の安全性に関わるプロセスの実行中に、第１の安全性に関わるプロセスよりも優先度が高いが第２の安全性に関わるプロセスよりは低い優先度が割り当てられた１つ以上の更なる別の安全性に関わるプロセスの実行が命ぜられた場合には、第２の安全性に関わるプロセスの実行後に、上記の更なる別のプロセスが好適に先に実行され、第１の安全性に関わるプロセスは、引き続き中断又は一時停止されたままとなる。
【００３０】
有利に、セキュリティプロセッサユニットは実時間処理能力を有する。実時間で実行すべき安全性に関わるプロセスは、セキュリティプロセッサユニット内で、実時間条件が満たされるように実行される。この実時間条件は、特に、ドイツ工業規格ＤＩＮ４４３００で定義されている。上記安全性に関わるプロセスは、セキュリティプロセッサユニットによって、定められた所定の時間間隔内に完全に実行されることが保証される。上記安全性に関わるプロセスの結果は、上記定められた時間間隔内に計算されることが保証され、従って、特定の制限時間が経過する前に上記結果が出される。さらに、上記安全性に関わるプロセスは決定論的に起こり、又は、当該プロセスは予測可能である。
【００３１】
セキュリティプロセッサユニット内では、実時間で実行すべきこのような安全性に関わるプロセスの他に、実時間条件を満たすべきではない安全性に関わるプロセスも実行されうる。実時間で実行すべき安全性に関わるプロセスには、好適に、実時間では実行されない安全性に関わるプロセスよりも高い優先度が割り当てられる。
【００３２】
特に、セキュリティプロセッサユニットの実時間処理能力は、優先度が高い安全性に関わるプロセスのために優先度が低い安全性に関わるプロセスを中断して後に再び続行するという可能性によって保証される。従って、現在実行中の安全性に関わる副次的なプロセスを、実時間条件を満たす必要がある安全性に関わるプロセスのために中断することが可能である。特に、実時間で実行すべき安全性に関わるプロセスには、当該安全性に関わるプロセスをそれ以内に実行すべき各時間間隔に従って、優先度が割り当てられる。
【００３３】
好適に、セキュリティプロセッサユニット内では、実時間処理が可能なオペレーティングシステムが実行される。このような実時間処理が可能なオペレーティングシステムによって、算術演算（例えば、プロセス、タスク、アプリケーション等）が、対応する実時間条件が満たされるように実行される。特に、実時間処理が可能なオペレーティングシステムは、ドイツ工業規格ＤＩＮ４４３００に従って定められた実時間条件を満たす。従って特に、発生したデータ又は実行すべき安全性に関わるプロセスを処理するためのプログラムが、当該処理の結果が所定の期間内に利用可能であるように、いつでも実行できる状態にある。上記データは、利用ケースに従って、時間的にランダムに分散して又は予め定められた時点に発生する可能性がある。
【００３４】
本発明に係る演算ユニット、例えば、システムオンチップ又は車両の制御装置は、特にプログラム技術的に、本発明に係る方法を実行するように構成される。
【００３５】
特に、実行監視する制御装置が更なる別のタスクのために利用される場合、従っていずれにせよ当該制御装置が存在する場合には、ソフトウェアの形態による本方法の実現も、低コストであるため有利である。コンピュータプログラムを提供するための適切なデータ担体は、特に、フロッピーディスク、ハードディスク、フラッシュメモリ、ＥＥＰＲＯＭ、ＣＤ−ＲＯＭ、ＤＶＤ等である。コンピュータネットワーク（インタネット、イントラネット等）を介したプログラムのダウンロードも可能である。
【００３６】
本発明の更なる別の利点及び構成は、以下の明細書の記載及び添付の図面から明らかとなろう。
【００３７】
先に挙げた及び以下で詳細に解説される特徴は、各示される組み合わせのみならず他の組み合わせにおいても、又は、単独でも、本発明の範囲を逸脱することなく利用されうる。
【００３８】
本発明は、実施例を用いて図面に概略的に示され、以下では、図面を参照しながら詳細に記載される。
【図面の簡単な説明】
【００３９】
【図１】本発明に係る制御装置の好適な構成を概略的に示す。
【図２】本発明に係る方法の好適な実施形態を、時間−優先度グラフとして概略的に示す。
【図３】本発明に係る方法の好適な実施形態を、時間−優先度グラフとして概略的に示す。
【発明を実施するための形態】
【００４０】
図１では、本発明に係る制御装置の好適な構成が概略的に示されおり、符号１５０が付されている。制御装置１５０は、例えば、車両の内燃機関のエンジン制御を実行する車両のエンジン制御装置として構成される。
【００４１】
制御装置１５０は、システムオンチップ（ＳｏＣ：Ｓｙｓｔｅｍ  ｏｎ  ａ  Ｃｈｉｐ）１００を有する。ＳｏＣ１００は、プロセッサユニット１１０と、セキュリティプロセッサユニット１２０と、を備える。
【００４２】
プロセッサユニット１１０は、３つのプロセッサコア１１１、１１２、及び１１３を有するマルチコアプロセッサを備える。各プロセッサコア１１１、１１２、又は１１３には、それぞれ、例えばフラッシュメモリであるローカルメモリ１１４、１１５、又は１１６が割り当てられる。セキュリティプロセッサユニット１２０は、プロセッサコア１２１と、ＲＡＭメモリ１２２及びＲＯＭメモリ１２３を有するローカルメモリと、を備える。
【００４３】
代替的に、セキュリティプロセッサユニット１２０とプロセッサユニット１１０との共有のローカルメモリ（例えば、ＲＡＭ、ＥＥＰＲＯＭ、フラッシュ）も設けられてもよく、及び、当該共有メモリへのアクセスを管理するメモリセキュリティ対策（例えば、メモリ保護ユニット）も設けられてもよい。
【００４４】
プロセッサユニット１１０とセキュリティプロセッサユニット１２０とは、２つの互いに独立した個別のプロセッサユニットである。セキュリティプロセッサユニット１２０は、ハードウェアレベルで保護され、操作や攻撃に対して守られている。セキュリティプロセッサユニット１２０内では、実時間処理が可能なオペレーティングシステムが実行される。プロセッサユニット１１０とセキュリティプロセッサユニット１２０とは、バス１１７を介して互いに通信接続されている。
【００４５】
プロセッサユニット１１０のプロセッサコア１１１、１１２、１１３内では、様々なアプリケーションが実行されうる。当該アプリケーションの実行の間に、場合によっては、車両の駆動制御及び駆動のために必要な安全性に関わるデータ、例えば特別な駆動制御命令、技術的データ、制御値又は特性値が作成及び／又は処理される必要がある。
【００４６】
これら安全性に関わるデータは、制御装置１５０から出てはならず、第三者の手に渡るべきではない。さらに、これら安全性に関わるデータのうちの特別なデータが実時間で作成されることが保証される必要がある。この目的のために、制御装置１５０は、本発明に係る方法の好適な実施形態を実行するよう構成される。
【００４７】
本発明に係る方法の過程において、プロセッサユニット１１０のプロセッサコア１１１、１１２、１１３内で実行される各アプリケーションであって、安全性に関わるデータを作成又は処理すべき上記各アプリケーションが、セキュリティプロセッサユニット１２０に対して、安全性に関わる特定のプロセスを実行するよう命じる。その際に、上記アプリケーションによって、安全性に関わるプロセスに、優先度が１つずつ割り当てられる。セキュリティプロセッサユニット１２０は、各優先度に従って様々な安全性に関わるプロセスを実行する。この安全性に関わるプロセスの間に、セキュリティプロセッサユニット１２０において、安全性に関わる各データが作成又は処理される。
【００４８】
本発明に係る方法の好適な実施形態が、図２及び図３を用いて記載される。図２及び図３には時間−優先度グラフが１つずつ概略的に示されている。縦座標には、様々な安全性に関わるプロセスに割り当てることが可能な優先度「Ｐ」が示されている。横座標には、時間「ｔ」が刻まれている。優先度が割り当てられ、セキュリティプロセッサユニット１２０内で特定の時点間に実行される安全性に関わるプロセスは、時間−優先度グラフでは、棒グラフの縦棒として示されている。
【００４９】
以下では、本発明に関る方法の好適な実施形態の第１の例が、図２を用いて記載される。
【００５０】
第１の時点ｔ１に、第１のプロセッサコア１１１内で実行される第１のアプリケーションが、セキュリティプロセッサユニット１２０に対して、第１の安全性に関わるプロセス２１０を実行するよう命ずる。この第１の安全性に関わるプロセス２１０の間には、車両の更なる別の制御装置からエンジン制御装置１５０へと送信されたメッセージの検証、又は、当該メッセージの認証コードの検査が実行される。この第１のプロセス２１０は、実時間で実行すべきではない。第１のアプリケーションは、この第１のプロセス２１０に対して、第１の優先度、例えば中程度の優先度「５」を割り当てる。
【００５１】
セキュリティプロセッサユニット１２０は、第１の時点ｔ１に、この第１のプロセス２１０を実行し始める。第１のプロセス２１０が未だ終了していない第２の時点ｔ２に、プロセッサコア１１２内で実行される第２のアプリケーションが、セキュリティプロセッサユニット１２０に、第２の安全性に関わるプロセス２２０を実行するよう命ずる。
【００５２】
この第２の安全性に関わるプロセス２２０の間には、燃料噴射量と、内燃機関の混合気の配合と、が決定されるべきである。この第２のプロセス２２０は、車両のエラーの無い駆動のために大きな意味を持つ重要なプロセスである。この第２のプロセス２２０は、実時間で実行すべきである。第２のアプリケーションによって、この第２のプロセス２２０に、第２の比較的高い優先度、例えば優先度「１０」が割り当てられる。
【００５３】
この第２の優先度は第１の優先度よりも高いため、セキュリティプロセッサユニット１２０は、時点ｔ２に、第１のプロセス２１０の実行を中断し、その代わりに第２のプロセス２２０を実行する。第１のプロセス２１０の進捗はセキュリティプロセッサユニット１２０に格納される。
【００５４】
第３の時点ｔ３に、第２のプロセス２２０の実行が終了する。第３の時点ｔ３に、セキュリティプロセッサユニット１２０は、第１のプロセス２１０の実行を、時点ｔ２に中断されたところから再開して先に進める。第４の時点ｔ４に、第１のプロセス２１０の実行が終了する。
【００５５】
以下では、本発明に係る方法の好適な実施形態の第２の例が、図３を用いて記載される。
【００５６】
第５の時点ｔ５に、プロセッサコア１１１内で実行される第３のアプリケーションが、セキュリティプロセッサユニット１２０に、第３の安全に関わるプロセス２３０を実行するよう命ずる。この第３の安全性に関わるプロセス２３０の間には、チップチューニングについての検査が実行されるべきであり、即ち、制御装置１５０の制御パラメータが、性能向上をもたらすために変更されたかどうかがについての検査が実行されるべきである。この検査は、実時間で実行すべきではない。第３のアプリケーションによって、この第３のプロセス２３０に、第３の比較的低い優先度、例えば優先度「１」を割り当てる。
【００５７】
セキュリティプロセッサユニット１２０は、第５の時点ｔ５に、第３のプロセス２３０を実行し始める。第３のプロセス２３０が未だ終了していない第６の時点ｔ６に、第２のアプリケーションは、セキュリティプロセッサユニット１２０に、燃料噴射量と、内燃機関のための混合気の配合と、を改めて決定するために、第２の安全性に関わるプロセス２２０を実行するよう新たに命ずる。第２のアプリケーションによって、第２のプロセス２２０に、第２の高い優先度、例えば優先度「１０」が新たに割り当てられる。
【００５８】
第２の優先度は第３の優先度よりも高いため、セキュリティプロセッサユニット１２０は、第６の時点ｔ６に、第３のプロセス２３０の実行を中断し、その代わりに第２のプロセス２２０を実行する。第３のプロセス２３０の進捗は、セキュリティプロセッサユニット１２０によって格納される。
【００５９】
第７の時点ｔ７に、第１のアプリケーションは、セキュリティプロセッサユニット１２０に、第４の安全性に関わるプロセス２４０を実行するよう命ずる。この第４の安全性に関わるプロセス２４０の間には、車両の更なる別の制御装置に伝達されるデータが暗号化され、認証コードが付けられるべきである。この第４のプロセス２４０は、実時間で実行すべきではない。第１のアプリケーションによって、この第４のプロセス２４０に対して、第４の優先度、例えば優先度「５」が割り当てられる。
【００６０】
この第４の優先度は第２の優先度よりも低いため、セキュリティプロセッサユニット１２０は、時点ｔ７に、第２のプロセス２２０の実行を中断しない。
【００６１】
第８の時点ｔ８に、第２のプロセス２２０の実行が終了する。第４の優先度は第３のプロセス２３０の第３の優先度よりも高いため、セキュリティプロセッサユニット１２０は、時点ｔ８に、第３のプロセス２３０の実行を続けず、その代わりに第４のプロセス２４０の実行を開始する。
【００６２】
第９の時点ｔ９に、第４のプロセス２４０の実行が終了する。第９の時点ｔ９に、セキュリティプロセッサユニット１２０は、第３のプロセス２３０の実行を、時点ｔ６に中断されたところから再開して先に進める。第１０の時点ｔ１０に、第３のプロセス２３０の実行が終了する。
【図１】
2016091554.tif 000003
【図２】
2016091554.tif 000004
【図３】
2016091554.tif 000005