CN103500316A - 用于具有不同执行模式的处理装置的系统和方法 - Google Patents

Abstract

本发明提供了用于具有不同执行模式的处理装置的系统和方法，根据本发明的实施方式，操作一系统的方法包括在第一操作模式中进行操作从而不允许访问地址范围、接收优先权中断（PI）信号，以及该方法还包括在第二操作模式中进行操作以响应于接收到该PI信号允许访问该地址范围。

Description

用于具有不同执行模式的处理装置的系统和方法

本申请要求于2012年5月14日提交的标题为“System and Method forProcessing Device with Privileged Execution Mode（用于具有特许执行模式的处理装置的系统和方法）”的美国临时申请第61/646,722号的优先权，其全部内容结合于此作为参考。

技术领域

本发明一般涉及电子装置，并且更特别地，涉及用于具有不同执行模式的处理装置的系统和方法。

背景技术

智能仪表通常是一种以小时或更少时间的间隔记录资源消耗并且将该信息至少每日通信返回至公用设施用于监控和记账的电气仪表。智能仪表在该仪表和中心系统之间启用双向通信，并可以收集数据用于远程报告。由于这种先进的计量基础结构不同于传统的自动仪表读取（AMR），因为其启用与该仪表的双向通信。

在微控制器系统中，在某些情况下存在具有高于普通用户处理的特定特权（例如，对某些硬件特征或对某些存储器位置的独占访问）的处理引擎或实例的需要。在智能计量中，例如，这样的执行模式可以用来主管信任安全和/或测量模块。

与鉴定的或信任的模块一起，非信任或非鉴定的应用可以由仪表制造商或公共设施公司提供。可替换地，用户可以下载应用软件从而分析、监控并使用在智能仪表生成的数据。然而，需要非信任应用程序从而不有意或无意地干扰信任模块。例如，用户必须没有对信任模块操作的控制。

该问题可以通过使用包括存储器保护电路的特征丰富的微处理器（例如ARM Cortex M3）来解决。附加的存储器保护单元支持带有对某些资源的多级访问特权的不同执行模式。使用特征丰富的微处理器通常意味着更大的硅面积、更多功耗以及在制造和操作中的更高成本。

发明内容

根据本发明的实施方式，操作系统的方法包含在第一操作模式中操作以不允许访问地址范围、接收优先权中断（PI）信号，以及在第二操作模式中操作以响应于接收到该PI信号允许访问该地址范围。

根据本发明的实施方式，一种系统包含处理器与耦接至该处理器的控制单元。该系统被配置为在第一操作模式中操作以不允许访问地址范围、接收优先权中断（PI）信号，以及在第二操作模式中操作以响应于接收到该PI信号允许访问该地址范围。

根据本发明的实施方式，一种装置包含用于在第一操作模式中操作以不允许访问地址范围的装置、用于接收优先权中断（PI）信号的装置，以及用于在第二操作模式中操作以响应于接收到该PI信号允许访问该地址范围的装置。

附图说明

为本发明及其优点的更完整理解，现在结合附图参考以下的描述，在该附图中：

图1示出了根据本发明实施方式的系统；

包括图2A至图2C的图2示出了在根据本发明的实施方式的系统中执行的操作，其中，图2A和图2C示出了操作步骤，而图2B示出了在不同的操作模式期间可访问的地址范围的示例；

图3示出了根据本发明各种实施方式的改变对不同地址范围的访问的不同方式；

图4示出了根据本发明可替换实施方式的系统；

包括图5A至图5C的图5示出了根据本发明各种实施方式的系统，该系统包括提供正常和特许操作模式的多种不同类型的存储器；

图6示出了根据本发明实施方式的通过系统控制单元直接控制的系统；

图7示出了根据本发明可替换实施方式的通过系统控制单元间接控制的系统；

图8广泛示出了在本发明各种实施方式中的智能仪表内的操作；以及

图9示出了根据在上文描述的本发明实施方式的智能仪表。

在不同附图中的对应数字和符号一般指的是对应部件，除以其他方式表明之外。绘制附图是为了清晰图解实施方式的相关方面，而并非必需按比例绘制。

具体实施方式

在下面详细讨论各种实施方式的进行和使用。然而，应认识到本发明提供可以在广泛多种情境下体现的许多可应用发明概念。讨论的实施方式仅是说明做出并使用本发明的少数方式，并且不限制本发明的保护范围。

在各种实施方式中，本发明描述可在多种操作模式中操作，由此向不同应用提供不同等级访问的计算系统。在各种实施方式中在下面描述的计算系统可以是在一个实施方式中的智能仪表的部分。然而，在各种实施方式中，在各种实施方式中在下面描述的计算系统也可以是任何其他类型的电子装置的部分，该电子装置包括智能电话、平板计算机、计算机、膝上计算机、自动调温器、感测装置、能量转换器和发电机，以及其他电子装置。

图1示出了根据本发明实施方式的计算系统。

系统100包括微控制器单元（MCU）10、第一外围装置（PER1）20、控制单元30和受保护地址范围40。MCU10包括优先权中断（PI）用于从第一外围装置20接收中断。

在一个或多个实施方式中，优先权中断（PI）是除复位之外的最高优先权例外。在一个或多个实施方式中，优先权中断（PI）可以为不可屏蔽中断（NMI）。NMI被永久使能并且具有固定优先权。

可替换地，优先权中断可以包含设定到最高优先级的一般中断（IRQ）。例如，在IRQ中的一个诸如IRQ[0]可以被配置为具有最高优先权时，NMI可以被设定为无效。在各种实施方式中，优先权中断（PI）可以通过任何其他的例外而不被屏蔽或被防止，并且由除复位之外的任何例外被预占。即，优先权中断是在复位之后的最高优先权功能中断。

在一个或多个实施方式中，第一外围装置20可以生成优先权中断，因此MCU10可以执行特许操作。例如，在每个周期性时间间隔之后，第一外围装置20可以具有已生成的可能需要进一步处理的某个量的原始数据。在一个情况下，一旦数据有效，系统100可以执行特许操作。第一外围装置20可以触发进入特许操作模式，该模式用数据可以被损坏或更改的方式可以既不被中断也不被干扰。因此，在特许操作模式期间，系统100可以执行免于用户影响的操作并在安全的无篡改位置中存储已计算的数据。

在可替换实施方式中，可以使用其他来源（例如使用独立于用户控制的计时器、外部事件）和/或通过非特许操作模式（例如通过用户代码服务请求或直接通过输入装置）来生成优先权中断。

如在各种实施方式中描述的那样，系统100被配置为在在正常操作模式（用于正常用户的操作模式）中操作，并在是高优先权模式的特许操作模式中操作。例如，在特许操作模式期间，系统100仅执行特定操作。特许操作模式是比用户可以用一些保护（例如通过提供系统密码）访问的系统管理模式或系统模式更高优先权的模式。即，如在各种实施方式中描述，正常操作模式可以包括用户操作模式和系统管理模式。

在各种实施方式中，可以实施多于一个优先权模式。例如，在一个实施方式中，系统可以被配置为在第一操作模式、第二操作模式和第三操作模式中操作。例如，第一操作模式可以被配置为具有在第二操作模式之前的最高优先权，而第三操作模式可以被配置为具有最低优先权。

MCU10可以电耦接至外围装置，例如第一外围装置20。在各种实施方式中，第一外围装置20可以包含诸如电压传感器、电流传感器、包括热传感器、流速传感器的其他功率传感器的传感器。可替换地，第一外围装置20可以包含到传感器的前端电路并可以包括耦接至模拟传感器的输出端的模数转换器。在一个或多个实施方式中，第一外围装置20也可以包括其他类型的装置，例如显示器、输入装置和其他装置。

如图所示，第一外围装置20耦接至MCU10的PI。在一个实施方式中，第一外围装置20的中断（IRQ）可以为中断。MCU10使用总线连接通过总线矩阵35耦接至第一外围装置20。

第一外围装置20还耦接至控制单元30。在各种实施方式中，第一外围装置20的输出端耦接至控制单元30。在一个或多个实施方式中，第一外围装置20的输出端还耦接至MCU10的PI。

控制单元30的输出端耦接至受保护地址范围40。受保护地址范围是系统100的存储器的区域或地址范围，在正常操作模式中，用户不可访问该受保护地址范围。在一个实施方式中受保护地址范围可以是在第一外围装置20中存储原始数据的寄存器。在一个或多个实施方式中，受保护地址范围可以具有有待在特许操作模式中执行的微码、在外围装置中存储测量数据的随机存取存储器或寄存器、加密密钥、配置寄存器和其他地址范围。在特许操作模式中，系统100可访问受保护地址范围40。

MCU10直接通过不同连接（例如总线）耦接至受保护地址范围40，或可以通过控制单元30耦接。

控制单元30具有改变对受保护地址范围40的访问的能力。例如，控制单元30可以在正常操作模式期间撤回对MCU10的访问，并在特许作模式期间提供对MCU10的访问。在各种实施方式中访问可以是读访问、写访问或读写访问。

在各种实施方式中，控制单元30可以为分离单元或可以是系统的现有部件的一部分。例如，在一个实施方式中，控制单元30可以在系统控制单元内形成。在可替换实施方式中，控制单元30可以形成在存储器内。在进一步的实施方式中，控制单元30可以为总线电路的一部分。

现在使用图2连同图1描述根据本发明实施方式的系统100的操作。

包括图2A至图2C的图2示出了根据本发明实施方式的在系统中执行的操作，其中，图2A和图2C示出了操作步骤，而图2B示出了在不同的操作模式期间可访问的地址范围。

在正常操作模式期间，MCU10没有对受保护地址范围40的访问（方框110）。在特许操作模式期间向MCU10授予对受保护地址范围40的访问。

在各种实施方式中，系统100可以由第一外围装置20切换到特许操作模式。

第一外围装置20将优先权中断（PI）信号例如NMI信号传输到控制单元30（方框120）。控制单元30一经接收到PI信号就改变对系统100的地址范围的访问（方框130）。在一个或多个实施方式中，控制单元30在接收PI信号之后立即使能对系统100的地址范围的访问。在一个或多个实施方式中，控制单元30可以在接收到PI信号之后改变系统100的存储器映射。控制单元30可以使用不同技术来使能/禁止对受保护地址范围的访问。

源自第一外围装置20的PI信号也在MCU10处被接收（方框120）。MCU10执行源自受保护存储器位置的微码并具有由控制单元30使能的对安全地址范围的访问（方框140）。存储器位置可以是到只读存储器的固定指针，或到非易失性存储器或随机存取存储器的函数指针。在各种实施方式中，该指针自身与其指向的位置受保护并因此不可由任何用户代码改变。

一接收到PI信号，MCU10就立即跳转到PI向量。此外，可以必须随后使用通过PI向量可访问的PI服务例行程序将正在执行的正常操作模式的操作悬挂。例如，在PI服务例行程序的随后执行期间，MCU10可以将当前操作情境存入存储器的一部分。接下来，MCU10生成与PI的跳转地址关联的存储器地址。在一个实施方式中，PI具有硬连线的跳转地址，以使每当接收PI信号时MCU10向与该特别中断向量关联的存储器位置执行子例行程序呼叫。例如，在一个实施方式中，中断向量可以含有指向子例行程序呼叫（微码）的存储器地址。因此，每当PI信号声明时，MCU10执行源自特别存储器地址的微码。微码可以在一个或多个实施方式中位于只读存储器、随机存取存储器、非易失性存储器和/或外围寄存器中，并且不可由任何用户代码改变。

因此，与PI的跳转地址关联的微码总是在PI信号声明时执行。

在微码的执行期间，系统100可以访问存储器的其他部分，该其他部分可以包括用户在正常操作模式中可访问的存储器，以及用户在正常操作模式中可访问的其他地址范围。

例如，微码可以导致使用原始数据计算测量数据（在下面描述的图8、图9）。该测量数据可以然后存储在用户可读访问但不可写访问的存储器的一部分中。这确保用户不可以损坏存储在系统100中的已测量数据，但具有对数据的访问从而执行进一步处理。

图2B示出了根据本发明的实施方式的在正常和特许操作模式期间MCU10可访问的存储器空间中的示意改变。

图2B是具有多种不同类型存储器的计算系统的示意图。作为图解，系统100的MCU10可以具有对在不同的存储器地址块的多个存储器的访问。仅作为图解，第一组存储器地址可以映射到多个只读存储器（ROM）。只读存储器（ROM1、ROM2、ROM3、ROM4等）可以是分离的存储器部件，或可以从单个存储器划分成不同的存储器块。相似地，存储器可以包括随机存取存储器（RAM1、RAM2、RAM3、RAM4等）、多个外围装置（RER1、RER2、RER3、RER4等），以及多个非易失性存储器例如闪存存储器（FLASH1、FLASH2、FLASH3、FLASH4等）。

如图2B所示，在正常操作模式（模式1）期间，仅存储器部件的一部分对用户可访问。例如，如果MCU10尝试访问与需要特许访问的地址范围关联的存储器地址（例如地址2000），那么可能生成错误消息例如总线错误，或访问可以刚好在没有错误通告的情况下失败。在此情况下，写操作刚好不执行，或读操作返回无效数据（例如零或一些预定字）。

接下来，如在图2B中图解，在从正常操作模式（模式1）切换到特许操作模式（模式2）之后，存储器映射包括全部存储器部件。即，例如，如果MCU10尝试访问与需要特许访问的地址范围关联的存储器地址（例如地址2000），则MCU10需要访问该存储器（例如ROM3）。

图2C进一步详细示出了根据本发明的实施方式的在系统中执行的操作。

参考图2C，系统100的操作可以分成至少三种类型的操作模式。在加电之后，系统执行启动操作（方框210）。接下来，系统在正常操作模式下操作（方框220），直到接收信号从而进入特许操作模式（方框230）。最终，系统可以在特许操作模式中操作，此后其可以返回到正常操作模式。

在初始起动操作（启动）期间，系统100被配置为阻止对受保护地址范围的访问（方框211）。例如，启动过程可以改变在正常操作模式期间观察的存储器映射（图2B）。这可以由在图1中示出的控制单元30执行，在一个或多个实施方式中该控制单元30可以为系统控制单元或可配置总线矩阵。

接下来，系统进入正常操作模式（方框220）。在优先权中断信号接收之后，系统进入特许操作模式（方框230）。

在接收优先权中断（PI）信号之后，在系统中的控制单元30使能对先前在正常操作模式下不可访问的地址范围的访问（方框231）。在各种实施方式中，可以使用硬件或软件改变对地址范围的访问。

接下来，MCU10可以访问位于和MCU10的PI的中断向量关联的存储器地址中的微码。在一些实施方式中，其上存储中断向量代码的存储器位置在特许操作模式之外不可读取。相反，在其他实施方式中，位于中断向量指向的存储器中的代码可以在正常操作模式中可读。然而，在各种实施方式中，中断向量自身或其指向的存储器位置不可以在特许操作模式之外改变。MCU10可以执行可以从传感器取得原始数据的该微码。微码可以访问存储原始数据的第一外围装置并读取该原始数据（方框234）。微码可以执行计算从而计算已测量数据（方框235）。微码的准确度可以由中心管理机构例如政府管理机构监控或以其他方式调节。

在执行计算之后，已计算测量数据（以及其他相关数据）可以存储在可由用户在正常操作模式中访问的位置（方框236）。

在存储全部有用数据之后，系统100必须离开特许操作模式并恢复从正常操作模式保存的情境。然而，在离开特许操作模式之前，仅在特许操作模式中可访问的地址范围必须停用，因此用户不可以在随后的正常操作模式中具有相同水平的访问。因此，控制单元30（例如图1）可以停用对仅在特许操作模式中可访问的地址范围的访问（方框237）。再次，该停用可以由清除PI信号（方框238）的软件或由硬件或由该两者的组合执行。

例如，在图1中，MCU10可以生成源自中断的返回（RTI），其可以在第一外围装置20接收（例如通过总线），其可以向控制单元30清除先前声明的PI信号。关于接收清除信号，控制单元30停用对先前启用的地址范围的访问。RTI也将MCU10恢复到在由PI中断之前执行的指令。因此，系统100切换回到正常操作模式。

图3示出了根据本发明的各种实施方式的改变对不同地址范围的访问的不同方法。

如在上面描述，控制单元30接收可以是优先权中断信号的操作模式信号，并调制对受保护存储器的访问。如果操作模式信号从第一值切换到第二值，表明从正常操作模式到优先权操作模式的改变，那么控制单元30允许对受保护存储器的访问。相反，如果操作模式信号从第二值切换到第一值，表明从优先权操作模式到正常操作模式的改变，那么控制单元30阻挡对受保护地址范围的访问。

在各种实施方式中，控制单元30可以在本发明的各种实施方式中以不同方式配置。在一个或多个实施方式中，控制单元30可以包括用于保持对系统操作模式的跟踪的寄存器。在一个情况下，控制对地址范围的访问的部件可以指代用于启用或停用对由该部件控制的地址范围的访问的在系统控制单元中的寄存器。

在可替换实施方式中，可配置总线矩阵可以用来在正常操作模式期间选择性阻挡对某些地址范围的访问（方框242）。可配置总线矩阵启用在特许操作模式期间对这些先前阻挡的地址范围的访问。

在进一步的可替换实施方式中，分立总线过滤器可以用来过滤访问（方框243）。这样的分立总线过滤器可以在正常操作模式中过滤（例如防止）对特别存储器位置的访问。可替换地，分立总线过滤器也可以基于访问或存储的数据的内容来约束访问。

在更另一实施方式中，可以通过控制到外围装置的时钟来控制访问（方框244）。例如，在一些外围装置的情况下，可以通过停用到外围装置的时钟来防止访问。例如，在一个实施方式中可以停用到加密装置的系统时钟。

在另一可替换实施方式中，可以由电源开关控制访问（方框245）。例如，系统控制单元可在正常操作模式中断电，并然后在特许操作模式期间供电。例如，这可以在其中仅特许操作模式具有对致动器或泵的访问的系统中使用。

图4示出了根据本发明的可替换实施方式的系统1000。

不同于图1的先前实施方式，在该实施方式中，优先权中断可以源于第一外围装置20（PER1）或可替换地可以源自用户、外部事件及其他。例如，MCU10可以基于用户优选或请求，例如源自在正常操作模式中执行的软件的请求，为优先权中断生成请求。在一个实施中，在系统控制单元50中的寄存器可以由随后触发优先权中断信号的用户软件修改。MCU10可以例如通过总线向系统控制单元50传输该请求。

系统控制单元50可以被配置为生成PI信号。因此，可以使用逻辑块例如OR块将源自系统控制单元50的该PI信号与源自第一外围装置20的PI信号组合。因此，当第一外围装置20声称PI信号或系统控制单元50声称PI信号时，PI信号在MCU10接收。

控制单元30可以从MCU10接收PI信号的信息，或从OR块直接接收PI信号（相似于先前实施方式）。控制单元30可以然后如先前描述启用或停用对地址范围的访问。控制单元30可以如关于图1至图3在先前实施方式中描述来配置。

进一步地，第一外围装置20也可以由MCU10通知，或可以从系统控制单元50或OR块直接通知，因此第一外围装置20可以在第一外围装置20内启用或停用对受保护地址范围的访问。当优先权中断源自用户并且不源自第一外围装置20时可以需要该启用或停用。

进一步地，在一些实施方式中，MCU10可以例如使用软件生成优先权中断，该优先权中断可以通信到控制单元30，请求控制单元30切换到特许操作模式。紧接着PI信号的接收，控制单元30如上面在各种实施方式中描述启用或停用访问。

包括图5A至图5C的图5示出了根据本发明的各种实施方式的系统100，该系统100包括提供正常和特许操作模式的多种不同类型的存储器。

该实施方式图解由生成优先权中断的装置例如第一外围装置20直接控制存储器空间。

参考图5A，系统100可以包括MCU10、第一外围装置20（PER1）、系统控制单元50、可配置总线310、RAM340、ROM350、第二外围装置360（PER2）和第三外围装置370（PER3）。

阴影区域图解在正常操作模式期间不可访问或部分可访问，以及仅在特许操作模式期间可访问的系统100的区域。因此，在正常操作模式期间，用户具有对第二外围装置360和对RAM340的一部分以及对ROM350的一部分的访问。相似地，外围装置（例如第三外围装置370）可以包括可以取决于操作模式启用或停用的配置和/或数据寄存器。

在正常操作模式期间，第一外围装置20可以向MCU10传输PI信号，该PI信号也可以在系统控制单元50和可配置总线310直接接收。紧接着PI信号的接收，可配置总线310启用对在正常操作模式期间先前不可访问的存储器区域的访问。如先前描述，可配置总线310可以改变系统100的存储器映射，由此启用对系统100的受保护地址范围的访问。相似地，在从中断信号或清除PI信号接收返回之后，可配置总线310可以改变系统100的存储器映射，以便使得不能访问系统100的受保护地址范围，例如RAM340、ROM350、第一外围装置20、系统控制单元50和第三外围装置370。

图5B示出了包括滤波器330的系统100的可替换实施方式。如图所示，滤波器330可以耦接在可配置总线310和第三外围装置370之间。滤波器330可以阻挡对第三外围装置370的全部或部分的访问。例如，滤波器330可以取决于请求的存储器地址或者被访问或写入的存储器地址的内容类型来阻挡访问。在一个或多个实施方式中，滤波器330可以是系统控制单元50的一部分。

在各种实施方式中，滤波器330可以基于访问所针对的地址范围，或写入可以含有的内容类型（数据），或该两者的组合来允许或禁止访问。例如，如果0x1234写入到偏移0x10，那么滤波器330可以禁止写访问，同时允许全部其他组合访问。可替换地，在另一例子中，仅当数据字的位31设定成1时，滤波器330可以允许对偏移0x10的写访问。

图5C示出了包括第四外围装置380（PER4）的系统100的另一可替换实施方式。不同于先前实施方式，第四外围装置380可以包括用于阻挡或允许访问的内部滤波器81，例如在图5B中的滤波器330。在图5C中描述的实施方式中，PI信号可以同时向MCU10、系统控制单元50、可配置总线310、滤波器330和第四外围装置380传输。

在图5中示出的实施方式可以与其他实施方式（例如在图4A中所示的实施方式）组合，因此，源自第一外围装置20或系统控制单元50的PI信号直接向全部单元提供，例如MCU10、系统控制单元50、可配置总线310、滤波器330和第四外围装置380。

图6示出了根据本发明实施方式的通过系统控制单元直接控制的系统100。

不同于先前实施方式，在该实施方式中，系统控制单元50响应于源自MCU10的优先权表明信号，提供操作模式信号（等效于在图5中的PI信号）。

与在先前实施方式中相同，第一外围装置20生成并向MCU10输出PI信号。MCU10通过优先权表明信号将大多数改变向系统控制单元50通信。在一个或多个实施方式中优先权表明信号可以通过可配置总线310通信。紧接着接收优先权表明信号，系统控制单元50从正常操作模式切换到特许操作模式（或反之亦然）。

在一个实施方式中，系统控制单元50包括寄存器（SC_REG）从而生成到例如可配置总线310的信号。在此情况下SC_REG仅在系统控制单元50接收PI信号之后可写入。随后，系统控制单元50可以向可配置总线310、滤波器330和/或第四外围装置380传输操作模式信号。

一经接收到操作模式信号，就可以取决于操作模式信号的值使能或禁止对受保护地址范围的访问。例如，如果在操作模式信号声称高，那么可配置总线310、滤波器330和/或第四外围装置380可以使能特许操作模式。相似地，如果在操作模式信号被断定为低，那么可配置总线310、滤波器330和/或第四外围装置380可以禁止特许操作模式。

在各种实施方式中，如在图6所示，因为当进入特许模式时系统控制单元50使能对其寄存器的访问，所以该系统控制单元50连接到第一外围装置20的IRQ。由于不自动地使资源可用，因此在特许操作模式期间执行的受信任代码必须具有对寄存器（SC_REG）的独占访问，以便使得特许操作模式的操作需要的资源可用。对寄存器（SC_REG）的访问可以通过可配置总线310执行。

图7示出了根据本发明可替换实施方式的通过系统控制单元间接控制的系统100。

不同于图6的实施方式，在该实施方式中，MCU10和系统控制单元50可以从第一外围装置20同时接收PI信号。关于PI信号的接收，系统控制单元50可以声称表明从正常操作模式到特许操作模式的优先权的改变的操作模式信号。可配置总线310、滤波器330和第四外围装置380的内部滤波器可以如在先前实施方式中描述使能/禁止访问。

图8示出了在本发明各种实施方式中的智能仪表内的使用在上面描述的系统的一般操作。

智能仪表装置通常是耦接至公共设施管线例如电力线，并且适于测量电力线的电压和电流的电子装置。代表电力线的电压和电流的数据可以然后处理从而确定功耗。代替电力线，智能仪表还可以耦接至其他类型的公共设施管线，例如气体管线、水管线或加热管线，并测量和存储各自的消耗。

功耗数据存储在可以随后原位读出的智能仪表的存储器中。可替换地，智能仪表可以具有将该智能仪表连接到通信网络的接口。公共设施提供商可以经网络读出存储器。测量的结果可以经远程信道发送到管理机构例如电力提供商。例如，累积测量结果如输送到住户的总能量可以在周期性间隔向管理机构传输。

相似地，用户可以读出至少一组基础数据例如总消耗、在一段时间的消耗、当前消耗，例如在任何时间的消耗。智能仪表因此可以包括例如显示器如LCD显示器，或适合从例如个人计算机、膝上计算机、智能电话、平板计算机等远程读出数据的任何类型的接口。例如，数据到读出装置的传输可以经接口如通用串行总线（USB）、无线局域网（LAN）或RS232完成。

因此，智能仪表完成若干任务。第一，例如在电力线的情况下，其从传感器如电气分路、电流线圈或霍尔传感器获取测量数据。使用模数转换器（ADC）将这些值数字化。第二，智能仪表将一般称为“原始数据”的测量数据处理成已测量数据。一组原始数据通常代表时间上的一个测量点。通常采样率按照kHz（例如2kHz、4kHz、8kHz、16kHz）变化。已测量数据可以代表能量的已消耗量，以及功率和能量供应的类型和时间。例如，该已测量数据可以向中心管理机构发送以便记账。

当向管理机构传输的数据用于记账时，其可以由用户操纵，以便向供应商表现较低消耗从而降低用户成本。因此必须强力保护计量装置免于篡改，尤其是免于表现过低消耗的错误数据的发送。因此，智能仪表的功能性可以如在下面使用图8更详细描述来划分。

特别地，智能仪表的操作可以分成三个广泛类别或阶段。在第一阶段中，如在图8中所示，数据首先在数据获取单元1中获取。这可以是在测量下与物理事件，例如在电表情况下的电流和电压直接接触的智能电表的一部分。数据获取可以输出测量的原始数据。原始数据可以是还没有由意味着处理原始数据以便接收任何种类的聚合数据的任何软件算法或任何硬件电路（例如按照数字信号处理）修改的数据。作为例子，在电表的情况下原始数据可以包含电流和电压。

接下来，测量单元2处理原始数据并生成测量数据。测量单元2的输出包含已测量数据例如能耗（kWh）和/或功率（kVA）。测量单元2从数据获取单元1接收原始数据，并进一步处理该原始数据。测量单元2也可以包括校准的方法，例如将已定义位大小的原始数据转换成示出与物理参数如电压（以伏特为单位测量）、电流（以安培为单位测量）、气流或水流（以m³为单位测量）的直接关系的任何其他种类的数据。测量单元2可以执行功耗的必需计算。测量单元2可以包括受信任存储装置4从而存储例如已测量数据，以及测量算法的中间结果。源自测量单元2的已测量数据也可以安全存储，因此用户不可以随后篡改该数据。另外，已测量数据可以在加密单元5中签名和/或加密。

测量数据可以在处理单元31中进一步处理从而生成另外数据例如已消耗能量的成本、使用数据例如统计数据、配置、通信、用户格式化或请求数据，以及其他数据。在处理单元3中的操作可以是用户配置的，向用户提供监控使用并执行其他计算的灵活性。然而，测量单元2的操作受约束。即，用户不可以改变或篡改测量单元2的操作和结果。

这需要使得公共设施公司或强制管理机构可以调节或约束测量单元2的操作。在测量单元2和处理单元3之间的该分离允许强制管理机构在不由在该智能仪表中执行的其他非关键计算得到重负的情况下，保证智能仪表的关键测量操作的准确度。

常规地，使用复杂微控制器在测量单元2和处理单元3之间实施这样的分离。这样的微处理器可以包括存储器保护单元，该存储器保护单元支持带有对某些资源的不同访问特许等级的不同执行模式。在这样的实施中，预分配定义访问控制类型的存储器区域，例如仅在特定访问模式或特许模式中允许对存储器的某些区域的访问。然而，这样的复杂微处理器设计显著提高系统的成本。因此，使用特征丰富的微处理器需要另外的硅面积、功耗与制造和操作成本。相反，使用如在图1至图7中描述的本发明的各种实施方式，在测量单元2和处理单元3之间的分离可以在低端微处理器中实施。

因此，在本发明的实施方式中在上面描述的系统100可以用来形成以成本高效的方式执行这些功能的智能仪表。在各种实施方式中，为防止篡改，使测量单元2安全以使用户和公共设施公司没有篡改已测量数据的能力。进一步地，用户和/或公共设施公司可以具有对处理单元3的访问，允许在智能仪表使用中的灵活性。然而，为约束智能仪表的成本，测量单元2和处理单元3集成在相同的系统100内，例如测量单元2可以仅在特许操作模式期间执行，而处理单元3可以在正常操作模式期间执行。

图9示出了根据在上面描述的本发明的实施方式的智能仪表。

智能仪表500可以耦接至是正在测量的公共设施（UBM）的公共设施输入端。在各种实施方式中公共设施输入端可以是电力线、气体管线、水管线及其他。

如在图9所示，智能仪表500可以包括多个传感器510，该多个传感器510可以包括用于感测电流的电流传感器511、用于感测电压的电压传感器512、用于感测气体流速和/或液体流速的流量传感器513、用于感测压力的压力传感器514，和/或用于感测热/温度的热传感器515。

多个传感器510输出由系统100接收的包含测量值的模拟测量值（模拟信号）。在各种实施方式中，系统100可以如关于图2至图8描述来实施。

如在各种实施方式中图解，系统100被配置为在用于执行受信任操作的受信任和特许模式中操作。同时，系统100还被配置为切换回到用于执行用户级（非受信任）操作的正常操作模式。因此，如在图9中图解，系统100包括受信任部分和非受信任部分。

参考图9，系统100可以另外包括模数转换器520、显示器530和通信装置540，如在下面进一步描述。例如，源自智能仪表500的测量数据可以在受信任（防篡改）显示器530中显示。

测量数据也可以使用通信装置（COMM）540向中心管理机构发送以便记账。在传输之前，可以使用对称或非对称密码算法，如先进加密标准（AES）、RSA算法或椭圆曲线密码体制（ECC）方法，将测量数据数字签名和/或加密。这些是用于签名和加密的众所周知的方法并且因此不详细解释。已知若干其他签名和加密方法以便保护数据。已签名测量数据可以然后使用通信装置540通过合适的有线或无线通信信道向中心管理机构发送。在一些实施方式中，被测量的公共设施输入端可以充当通信信道。

尽管本发明已参考图解实施方式描述，但本描述不旨在限制意义上进行解释。图解实施方式的各种修改和组合以及本发明的其他实施方式紧接着参考本描述对本领域技术人员明显。作为图解，在图1至图7中描述的实施方式可以相互组合。因此意图附加权利要求包括任何这样的修改或实施方式。

尽管本发明及其优点已详细描述，但应理解可以在不背离由附加权利要求定义的本发明的精神和保护范围的情况下在此做出各种改变、替换和更改。例如，在上面讨论的特征和功能中的许多可以在软件、硬件或固件或其组合中实施。

此外，本申请的保护范围不旨在限于在本说明书中描述的过程、机器、制造、物质组成、装置、方法或步骤的特别实施方式。本领域技术人员从本发明的披露容易认识到，现有的或以后发展的，执行与在此描述的对应实施方式基本相同的功能或实现与这些实施方式基本相同的结果的过程、机器、制造、物质组成、装置、方法或步骤可以根据本发明利用。因此，附加权利要求旨在其保护范围内包括这样的过程、机器、制造、物质组成、装置、方法或步骤。

Claims (33)

1.一种对系统进行操作的方法，所述方法包含：

在第一操作模式中操作以不允许访问地址范围；

接收优先权中断（PI）信号，以及

在第二操作模式中操作以响应于接收到所述PI信号来允许访问所述地址范围。

2.根据权利要求1所述的方法，其中，所述PI信号为不可屏蔽中断信号。

3.根据权利要求1所述的方法，还包含在所述第二操作模式期间执行来自所述地址范围的微码，其中，所述微码在所述第一操作模式中不可改变。

4.根据权利要求1所述的方法，还包含：

在所述第一操作模式中允许对所述地址范围中的第一存储器位置进行读访问但不允许写访问；以及

在所述第二操作模式中允许对所述第一存储器位置进行写访问。

5.根据权利要求1所述的方法，还包含：

在所述第一操作模式中禁止对所述地址范围中的所述第一存储器位置进行读访问和写访问；以及

在所述第二操作模式允许对所述第一存储器位置进行读访问和写访问。

6.根据权利要求1所述的方法，其中，所述地址范围包含外围配置寄存器、外围数据寄存器、只读存储器或随机存取存储器。

7.根据权利要求1所述的方法，其中，系统时钟在所述第二操作模式中被启用，并且在所述第一操作模式中被禁用。

8.根据权利要求1所述的方法，其中，致动器或泵的电源开关在所述第二操作模式中可访问，并且在所述第一操作模式中不可访问。

9.根据权利要求1所述的方法，其中，显示控制器、实时时钟、通信接口或耦接至模拟传感器的模数部件在所述第二操作模式中可访问，并且在所述第一操作模式中不可访问。

10.根据权利要求1所述的方法，其中，在所述第一操作模式中进行操作包括控制可配置总线矩阵生成第一存储器映射，所述第一存储器映射不包括所述地址范围，并且其中，在所述第二操作模式中进行操作包括控制所述可配置总线矩阵生成第二存储器映射，所述第二存储器映射包括所述地址范围。

11.根据权利要求10所述的方法，其中，控制所述可配置总线矩阵生成所述第二存储器映射包含：

由所述可配置总线矩阵接收操作模式信号；以及

由所述可配置总线矩阵响应于接收到所述操作模式信号生成所述第二存储器映射。

12.根据权利要求11所述的方法，其中，所述操作模式信号为所述PI信号。

13.根据权利要求10所述的方法，其中，控制所述可配置总线矩阵生成所述第二存储器映射包含：

由耦接至所述可配置总线矩阵的系统控制单元（SCU）接收操作模式信号；以及

由所述SCU响应于接收到所述操作模式信号来控制所述可配置总线矩阵生成所述第二存储器映射。

14.根据权利要求1所述的方法，其中，在所述第二操作模式中进行操作包含：

由滤波器单元接收操作模式信号；以及

由所述滤波器单元响应于接收到所述操作模式信号使能对所述地址范围的访问。

15.根据权利要求14所述的方法，其中，所述滤波器单元被配置为取决于所请求的所述地址范围或者正被访问或写入的所述地址范围的内容类型来阻挡访问。

16.根据权利要求1所述的方法，其中，所述PI由外围装置、计时器、用户输入、用户代码或基于外部事件被触发。

17.一种系统，包含：

处理器；以及

耦接至所述处理器的控制单元，所述系统被配置为：

在第一操作模式中进行操作以不允许访问地址范围；

接收优先权中断（PI）信号，以及

在第二操作模式中进行操作以响应于接收到所述PI信号允许访问所述地址范围。

18.根据权利要求17所述的系统，其中，所述PI信号为不可屏蔽中断信号。

19.根据权利要求17所述的系统，其中，所述系统被配置为在所述第二操作模式期间执行来自所述地址范围的微码，其中，所述微码在所述第一操作模式中不可改变。

20.根据权利要求17所述的系统，其中，所述系统被配置为：

在所述第一操作模式中允许对所述地址范围中的第一存储器位置进行读访问但不允许进行写访问；以及

在所述第二操作模式中允许对所述第一存储器位置进行写访问。

21.根据权利要求17所述的系统，其中，所述系统被配置为：

在所述第一操作模式中禁止对所述地址范围中的第一存储器位置读访问和写访问；以及

在所述第二操作模式中允许对所述第一存储器位置进行读访问和写访问。

22.根据权利要求17所述的系统，其中，所述地址范围包含外围配置寄存器、外围数据寄存器、只读存储器或随机存取存储器。

23.根据权利要求17所述的系统，其中，所述系统被配置为在所述第二操作模式中启用系统时钟，并且在所述第一操作模式中停用所述系统时钟。

24.根据权利要求17所述的系统，其中，所述系统被配置为在所述第二操作模式中提供对致动器或泵的电源开关的访问，并且在所述第一操作模式中不提供访问。

25.根据权利要求17所述的系统，其中，所述系统被配置为在所述第二操作模式中提供对显示控制器、实时时钟、通信接口或耦接至模拟传感器的模数部件的访问，并且在所述第一操作模式中不提供访问。

26.根据权利要求17所述的系统，其中，所述系统经进一步被配置为：

在所述第一操作模式中通过控制可配置总线矩阵进行操作以生成第一存储器映射，所述第一存储器映射不包括所述地址范围；以及

在所述第二操作模式中通过控制所述可配置总线矩阵进行操作以生成第二存储器映射，所述第二存储器映射包括所述地址范围。

27.根据权利要求26所述的系统，其中，所述控制单元包含所述可配置总线矩阵，并且其中，所述可配置总线矩阵被配置为：

接收操作模式信号；以及

响应于接收到所述操作模式信号生成所述第二存储器映射。

28.根据权利要求27所述的系统，其中，所述操作模式信号为所述PI信号。

29.根据权利要求26所述的系统，其中，所述控制单元为耦接至所述可配置总线矩阵的系统控制单元（SCU），并且其中，所述SCU被配置为：

接收操作模式信号；以及

响应于接收到所述操作模式信号，控制所述可配置总线矩阵生成所述第二存储器映射。

30.根据权利要求17所述的系统，其中，所述控制单元包含耦接至存储器的滤波器单元，其中，所述滤波器单元被配置为：

接收操作模式信号；以及

响应于接收到所述操作模式信号使能对所述地址范围的访问。

31.根据权利要求30所述的系统，其中，所述滤波器单元被进一步配置为根据所请求的所述地址范围或者正被访问或写入的所述地址范围的内容类型来阻挡访问。

32.根据权利要求17所述的系统，其中，所述系统被配置为由外围装置、计时器、用户输入、用户代码或基于外部事件触发所述优先权中断。

33.一种装置，包含：

用于在第一操作模式中操作以不允许访问地址范围的装置；

用于接收优先权中断（PI）信号的装置，以及

用于在第二操作模式中操作以响应于接收到所述PI信号允许访问所述地址范围的装置。

Images