CN104685509A - 用于控制链接的程序块的分开的运行的方法和控制设备 - Google Patents

Abstract

本申请涉及一种用于控制链接的程序块（20-24）的分开的运行的方法，所述程序块被构造用于尤其是在机动车中实施与安全性相关的系统的功能。该方法规定，在处理器（140）上实施程序块中的第一程序块（20），其中第一程序块（20）存在于存储器（130）的第一片段（10,110）中。处理器（140）访问存储器（130）。在实施第一程序块（20）期间，调用程序块中的第二程序块（22）。该第二程序块（22）存在于第二片段（12,112）中，该第二片段不同于存储器（130）的第一片段（10,110）。对存储器（130）的访问由存储器保护装置（150）监控，其中如果在由存储器保护装置（150）监控访问时确定出在实施第一程序块（20）期间调用第二程序块（22），则所述存储器保护装置触发异常。异常处理机（160）在出现异常时禁用第一片段（10,110）并且启用第二片段（12,112）用以实施。优选地也借助于异常和由此得出的禁用和启用由存储器保护装置（150）控制对数据的访问、尤其是写访问。此外，本发明涉及用于实施该方法的控制设备。

Description

用于控制链接的程序块的分开的运行的方法和控制设备

技术领域

本发明涉及借助于处理器对机动车中的与安全性相关的系统的控制并且尤其是涉及对链接的程序块的分开的运行的控制，利用所述程序块实施与安全性相关的系统的功能。

背景技术

已知借助于数据处理设备来实现与安全性相关的功能、尤其是发动机控制装置的功能，其中数据处理设备的处理器处理程序，所述程序能够在处理器上运行。因为有错误的功能对车辆的安全性有直接影响，所以在表示程序片段时应用安全措施。不同的程序片段也可以属于不同的安全等级，从而不同的程序片段或子程序被分配给不同的级别。规范ISO 26262对于机动车总共规定五种不同的分类，所述分类被称为ASIL A-D或QM。为了能够即使在处理器上运行时也能够保证每个程序片段的安全等级，需要不同安全分级的程序片段在运行期间不互相影响。

为了保证运行的这种分开，使用上级流程控制装置的明确的转换指令，或者作为最下面的系统层面的单独的过程（任务）被实施。根据另一已知方案，使用多个处理器内核，其中每个内核均被分配给确定的安全级别，使得仅确定的安全分级的子程序在确定的内核上运行并且不在其他内核上运行。这些方案是效率低的，因为所述方案需要附加的计算耗费或耗费的处理器架构。

发明内容

因此，本发明的任务是说明能够以高效的方式分开地实施不同安全分级的子程序所利用的行为方式。

该任务通过独立权利要求的主题来解决。其他有利方面从从属权利要求的特征得出。

代替仅根据任务、处理器内核或借助于通过上级的程序效率低地转换（如现有技术所建议的那样）不安全地分离，规定借助于存储器监控装置来分开链接的程序块的运行。要分开的程序块或数据被设置在存储器的最不同的片段中。在此情况下，在存储器中在所谓的片段中设置程序块，而在存储器的更特定地表示的数据片段中设置数据。通过在不同的片段中设置程序块或数据来实现分开，所述程序块或数据在其运行或访问方面应该被分开。存储器监控装置、尤其是存储器保护装置总是仅启用（freigeben）当前运行的片段或当前的数据片段，而其他片段或数据片段在访问方面被禁用（sperren）。尤其是由存储器监控装置仅阻止对数据的写访问，而读访问可能可以由存储器监控装置进行。在数据方面，因此禁用可以是写禁用。如果片段重叠地（abschnittsübergreifend）调用另一程序块或者数据片段重叠地访问数据，则存储器监控装置触发异常。根据该异常，属于新的被调用程序块的片段或数据片段被启用并且属于调用程序块的先前片段或数据片段被禁用。这里描述的机制因此基于存储器保护装置的使用，诸如检测实际上要分开的程序块或数据的重叠并且触发异常。根据该异常，异常处理机改变启用或禁用，使得可以访问或可以实施其他数据或程序块。异常处理机因此总是仅激活一种类型的程序块或数据，其方式是所涉及的片段或数据片段被启用，而其他的被禁用。为了在安全等级方面区分数据或程序块，数据或程序块根据其安全等级被存储在不同的数据片段或片段中。

程序块或数据到不同片段或数据片段的这种分开对于存储器监控装置用作区分特征，借助于所述存储器监控装置检测不同的安全等级。在实施和访问方面的分开通过基于所出现的异常启用和禁用来实现。

因此，公开一种用于控制链接的程序块的分开的运行的方法。其分开的运行被控制的程序块通过以下方式被链接，即在程序块的范围中调用程序块中的另一程序块。尤其是，在程序块内作为子程序、例如作为函数或作为规程（Prozedur）调用另一程序块，所述规程是调用程序块的部分而或者是中断。在作为函数调用功能块时，参数可以从调用程序块被转发给被调用程序块。程序块被称为调用程序块以及被称为被调用程序块，其中调用程序块也可以被称为第一程序块并且第二程序块可以被称为被调用程序块。然而最后提及的分配取决于调用的当前情形并且可能变化。调用程序块尤其是也可以调用多个程序块，使得根据该方法存在一个或多个第二程序块。此外，可以存在多个调用程序块，其调用一个或多个程序块，所述程序块可能是不同的。因此存在一个或多个第一程序块。

中断、也即Interrupt（中断）可以被看作是程序块或被看作是子程序（如这里所描述的）。如果被设置为中断的程序块或被设置为中断的子程序不被明确地调用而是通过另外的方式被实施或触发，则这也可能适用。

由第一程序块调用的程序块同样可以调用一个或多个其他程序块。因此，被调用的、调用的、第一和第二程序块的属性分别是取决于情形的并且对于一个调用的情形表示两个程序块之间的层级。对于另一调用的情形，（相对）层级可以是另外的层级，使得命名与此相应地也根据调用情形而变化。

程序块被构造用于在机动车中实施与安全性相关的系统的功能。尤其是，程序块被构造用于实施传动系区域中的功能或者传动系的功能或者其他特定于车辆的应用、诸如转向系统或车辆安全系统或乘客安全系统的功能，例如内燃机、用于牵引机动车的电动机、机动车的电气、机电或机械制动设备或者电气转向驱动装置的功能。其他功能涉及操作状态的光学或声学显示，所述操作状态是开头所述的功能的状态。

由程序块实施的这种功能此外例如是控制机动车内燃机的燃料量、空气量、燃料构象（Kraftstoffkonstellation）、喷射时刻和/或点火时刻。其他功能是被使用用于回收车辆的动能的电动机的再生时间和再生功率和/或被使用用于牵引的电动机的换向、尤其是换向时刻、激励电流强度和必要时在激励电流强度和施加在电动机处的电压之间的相位偏移。

该方法规定，在处理器上实施程序块中的第一程序块。进行实施的处理器可以具有一个或多个处理器内核。处理器优选地是微控制器，尤其是对于安全性关键的系统构造的微控制器、例如对于发动机控制构造的微控制器。如下面更详细示出的，进行实施的处理器尤其是包括存储器保护装置以及优选地还包括异常处理机。进行实施的处理器尤其是包括存储器或至少一个用于连接存储器的接口。

可以设置预先步骤，其可以被看作是该方法的开始。该预先步骤尤其是在起动这里所述的控制设备或方法期间被实施。该预先步骤规定，根据支持这里所述的行为方式的设定来配置存储器保护装置。尤其是，根据定义存储器的片段的设定、尤其是在访问权限方面来配置存储器保护装置。该预先步骤从而规定访问监控的配置并且尤其是规定片段和/或程序块的访问权限的配置。此外，在该预先步骤中可以定义，哪个程序块被存放在哪个片段中并且尤其是程序块或片段获得何种访问权限。在该预先步骤内也可以开始程序块或其中至少之一或者经由其中调用程序块的上级程序来开始。优选地在配置之后执行该开始。

由处理器实施的第一程序块存在于存储器的第一片段中。处理器访问存储器用于实施第一程序块。处理器在实施第一程序块时被给以权利来以读和写的方式访问第一片段。处理器在实施第一程序块时尤其是被给以权利来实施存在于第一片段内的程序。第一程序块此外配备有实施权利，所述实施权利允许通过处理器实施。

在实施第一程序块期间，调用所述程序块中的第二程序块。该调用例如可以在规程或函数调用范围内发生。就此而言，第二程序块可以被看作是第一程序块的子程序或中断。第二程序块处于存储器的第二片段中。第二片段不同于存储器的第一片段。存储器的不同片段不具有交叠。

对存储器的访问和尤其是在（开始）实施在那里所存储的程序的范围中对存储器的访问通过存储器保护装置监控。对访问进行监控的存储器保护装置尤其是处理器的一部分并且可以被构成为硬件。可替换地，存储器保护装置部分地被构成为软件，所述软件在处理器上或在连接到处理器上的存储器监控设备上运行。存储器保护装置尤其是可以是存储器接口的部分，所述存储器接口属于处理器或者集成在该处理器中。如果在由存储器保护装置监控访问时确定出在实施第一程序块（也即程序块中的第一程序块）期间访问第二片段，其中在所述第二片段中存在第二程序块（也即程序块中的第二程序块），则存储器保护装置触发异常。存储器保护装置因此监控对片段的访问，存储器被划分成所述片段。优选地在通过处理器实施范围中，尤其是读访问被称为访问。但是也可以将写访问或写和读访问称为访问。在一种优选的实施方式中，访问是通过处理器对存储器的访问用以实施在那里存在的程序块（子程序或函数）。访问因此可以对应于程序块的实施或程序块的实施的准备。

因为程序块被分布到不同的片段上，所以如果被调用程序块存在于与调用了该程序块的程序块不同的片段中，则可以通过监控来确定。

在出现异常时，异常处理机禁用存储器的第一片段。也可以存在被禁用的多个第一片段。禁用尤其是涉及所使用的访问类型，优选地涉及实施、也即涉及为了实施目的的读。异常处理机在出现异常时启用第二片段用于实施。启用涉及与禁用或访问（读、写）相同的活动并且尤其是涉及实施。

尤其是异常处理机启用第二片段用于读并且优选地也用于实施。由此，异常处理机改变其中存在可实施的程序块的片段以及不被启用用于实施的片段。

进行禁用或启用的异常处理机可以以硬件形式设置，尤其是作为处理器内的硬件或者作为连接到处理器上的硬件。异常处理机此外可以部分地或完全地以软件方式存在，所述软件在处理器上运行或者在处理器内的或在处理器外的具有至处理器的连接的异常处理设备上运行。实现存储器保护装置以及异常处理机、尤其是存储器监控设备或异常处理设备的硬件与处理器固定地连接并且尤其是直接与该处理器连接，以便避免无意的操纵。例如，存储器保护装置以及异常处理机由存储器管理单元（memory management unit（存储器管理单元）, MMU）设置，所述存储器管理单元优选地又是处理器的部分或者可以作为硬件设置，所述硬件被分配给处理器。

第二程序块可以在实施第一程序块期间由任务管理器调用。但是优选地，第二程序块由第一程序块的指令、尤其是由第一程序块的函数或规程调用来调用。

在第二程序块的实施结束时发生返回。返回尤其是通过第二程序块的返回指令或者通过表示第二程序块的指令的结束来触发。

通过返回，第二片段被禁用并且第一片段再次被启用。访问权限的这种变化可以通过另一异常来设置，所述另一异常由返回触发。可替换地，在实施结束时通过上级硬件或软件设置另一异常。异常处理机在出现该另一异常时或在执行该另一异常时禁用第二片段。此外，异常处理机在出现或在执行该另一异常时启用第一片段用于实施。通过禁用片段，防止处理器处理存在于所涉及的片段中的程序块。尤其是通过禁用片段来禁用对在该片段中的代码的实施。通过启用，处理器可以访问所涉及的片段用于实施。

根据本发明的另一方面，在实施第一或第二程序块期间调用至少一个另外的程序块。此外，如果另外的程序块被调用，则存储器保护装置触发异常。尤其是，如果调用程序块（也即第一或第二程序块）访问存储器的另一片段，其中另外的程序块也存在于所述另一片段中，则存储器保护装置触发异常。通过对未被启用的片段的这种访问由存储器保护装置触发异常。在出现该异常时，异常处理机禁用存储器的其中存在调用程序块的该片段。异常处理机在出现该异常时启用存储器的其中存在被调用程序块的该片段。在启用之后，被调用程序块由处理器实施。优选地在此情况下在所涉及的片段被启用之后立即开始实施。

由此可以定义多于两个的层级层面，所述层级层面不能互相交替地影响，因为仅存储器的一个片段被启用用于处理器的实施，而不是多个被启用。

根据另一方面，在第一程序块被实施时，对第二片段的访问连续地被禁用。访问在此情况下由存储器保护装置禁用。在第二程序块被实施时，对第一片段的访问连续地被禁用。这里，存储器保护装置也禁用对片段的访问。访问在此情况下尤其是是用于实施程序块的访问。最后，通过禁用由存储器保护装置阻止对存储器的被禁用片段的写访问。

这里所公开的方法的另一方面涉及对数据的访问权限，而与此相反地，先前的段落基本上涉及其中存在程序块的片段。优选的方法在硬件结构内被实施，在该硬件结构内，存储器的其中存储有程序块的片段与存储器的其中存在数据的片段分开。如果该分开未被设置，则先前的描述涉及其中不仅存在程序块、而且存在属于所述程序块的数据的片段。此外，针对关于程序块公开的内容也适用于数据并且反之亦然。

用于数据的第一数据片段被分配给第一程序块，所述数据由第一程序块存储和读取。用于数据的至少一个与第一片段不同的第二数据片段被分配给第二程序块（和每个另外的程序块），所述数据由第二程序块存储和读取。也可以将多个第一或多个第二数据片段分配给程序块。数据片段可以被设置在与其中存在程序块的片段相同的存储器中。根据一种特定的实施方式，设置不同的存储器，其中一个存储器仅包括程序块中的片段，并且与之不同的另一存储器仅包括数据片段。

存储器的逻辑组或区段被称为其中存储有程序块的片段以及被称为数据片段，所述逻辑组或区段尤其是映射到物理分段或页面。逻辑组或区段是具有可变大小的存储器片段；尤其是用于不同程序块（或者分段或组）的大小可以是不同的。

此外，数据片段的大小可以与其中存在程序块的片段的大小不同。此外，数据片段的位置可以与其中存在程序块的片段的位置不同。

如果通过由第一程序块调用第二程序块触发异常，则异常处理机禁用第一数据片段。如果通过由第二程序块调用第一程序块触发异常，则异常处理机禁用第二数据片段。此外，被分配给调用程序块的该数据片段被禁用。属于被调用程序块的该数据片段被启用。

根据本发明的另一方面，将与第二程序块不同的安全等级分配给第一程序块。分配给第一和第二数据片段的安全等级以相同的方式不同。安全等级优选地取决于标准ISO 26262。尤其是，程序块按照标准ISO 26262被构造。此外规定，程序块根据分类ASIL A-D或者QM被分级。第一和第二程序块在此情况下不同地被分级。

尤其是，在一个片段中总是仅有相同分级的程序块。数据片段也总是仅被分配给相同证明的一个或多个程序块。通过根据分级区分因此可以通过简单的存储器保护措施实现所涉及的程序块或数据的分开，以便彼此无影响地将程序块或数据和不同的安全级别分开。除了根据标准ISO 26262的示例性分级之外，可以将例如是校准数据或分配给只读存储器的与功能相关的数据或程序块与其他程序块或数据无影响地分开，这不适用于所述其他程序块或数据或者从而另一安全分类适用于所述其他程序块或数据。分级例如可以包括以下准则中的一个或多个：

（a）代码根据预先给定的开发过程被开发或不根据预先给定的开发过程被开发

（b）代码由开发商或制造商的预定义的组创建或不由开发商或制造商的预定义的组创建

（c）合理性检验在运行时间期间被实施或不在运行时间期间被实施

（d）数据检验在运行时间期间被实施或不在运行时间期间被实施

（e）代码和数据输入/输出在形式上被验证或不在形式上被验证，必要时借助于单指令运行

（f）代码由另外的装置检验或不由另外的装置检验

（g）受限制的指针使用或不受限制的指针使用

（h）代码在统计上被分析或不在统计上被分析

（i）用于代码的模型研究被执行或不被执行

（j）控制流程被监控或不被监控

（k）在模型和代码之间的相互均衡被执行或不被执行

（l）代码利用不同的软件设计来创建或不利用不同的软件设计来创建

（m）监控单元被设置或不被设置

（n）独立的并行冗余被设置或不被设置

（o）误差喷射测试被实施或不被实施

（p）资源使用测试被实施或不被实施

（q）校准数据的冗余性存储被设置或不被设置

（r）误差识别代码和/或误差校正代码存在或不存在。

根据另一方面，异常是所谓的中断或所谓的异常（Exception）、尤其是硬件中断或软件中断。此外，中断在处理器内或在处理器外被触发和/或被处理。中断可以是可屏蔽的或不可屏蔽的。

此外，作为特定的实施方式规定，当程序块调用具有另外的和尤其是较高的安全等级的程序块时被触发的异常以与当程序块调用具有另外的和尤其是较低的安全等级的程序块时被触发的异常不同的和尤其是更高的优先级被执行。异常处理机根据所述优先级执行异常。执行异常的优先级因此取决于被调用程序块的安全等级。被调用程序块的安全等级越低，借助于异常处理机由此触发的异常的优先级越低。该前述实施方式涉及特定情况，即存储器保护装置被设立用于执行多个异常并且此外被设置使得即使还未被执行的异常已经被触发，异常也可能出现或被触发。

此外，尤其是用于车辆或用于这里所述的其他应用的具有数据处理设备的控制设备被描述。数据处理设备包括存储器、处理器和存储器保护装置。控制设备适用于实现上面根据该方法所描述的功能。尤其是从而控制设备是变速箱控制装置、传动系控制装置（例如用于混合动力车辆）、用于内燃机的发动机控制设备、尤其是发动机控制单元（引擎控制单元，engine control unit, ECU）。存储器、处理器和存储器保护装置可以如在本方法的范围中所示地被实施。

存储器与处理器连接，使得处理器可以从存储器读取和调用程序块和/或数据并且存放在该存储器中。第一程序块以及第二程序块被存放在存储器的第一和第二片段中。存储器的第一和第二片段彼此不同。一个或多个第一程序块或一个或多个第二程序块被存放在所述片段中，其中第一程序块被存放在与第二程序块不同的片段中 。第一和至少一个第二程序块相互链接。尤其是，第一程序块包含对至少一个第二程序块的调用。

数据处理设备包括存储器保护装置，如果存放在片段中的第一片段中的第一程序块调用存放在第二片段中的第二程序块，则所述存储器保护装置的编程或所述存储器保护装置与存储器的连接促使存储器保护装置触发异常。为此如上面在本方法的范围中注意到的那样，存储器保护装置可以借助于硬件、软件或其组合来实现。数据处理设备此外具有异常处理机，所述异常处理机与存储器保护装置连接用于接收异常。异常处理机与存储器连接并且被设立用于在接收到异常时禁用在存储器的第一片段与处理器之间的逻辑连接。异常处理机此外被设立用于在接收到异常时启用在存储器的第二片段与处理器之间的逻辑连接用于在处理器上实施第二程序块。异常处理机也可以被构造为硬件、软件或其组合。

优选地，不仅异常处理机而且数据处理设备均是处理器的部分或者由硬件组件构造，所述硬件组件直接与处理器连接。

异常处理机尤其是可以被设立用于如上面根据该方法所示的那样禁用和启用在处理和存储器的数据片段之间的逻辑连接。

根据这里所公开的控制设备的另一方面，第一程序块具有与第二程序块不同的安全等级。尤其是，程序块按照标准ISO 26262构造。程序块此外按照分类ASIL A-D或QM被分级。第一和第二程序块不同地被分级。

在存储器中可以设置相同安全等级的多个程序块，如上面根据该方法所描述的。此外，程序块的多个调用可以处于存储在存储器中的第一程序块中和/或第二程序块中，所述程序块属于与所涉及的调用程序块不同的安全等级。

存储器保护装置也可以被称为存储器保护单元（memory protection unit）MPU。该存储器保护装置可以是存储器管理单元的部分，所述存储器管理单元也被称为MMU（memory management unit，存储器管理单元）。尤其是，存储器保护寄存器被设置，在所述存储器保护寄存器中存储定义存储器的片段或数据片段的界限的地址。为此，例如可以存储初始地址和偏移。存储器保护寄存器与存储器保护装置连接或者是存储器保护装置的部分。存储器保护寄存器因此定义在运行或访问方面彼此分开的片段，并且在调用或访问重叠时异常被触发。该异常导致激活的片段改变，也即导致被启用的片段改变。因此，异常也导致被禁用的片段改变。在存储器保护寄存器中所存储的数据可以通过链接程序定义，所述链接程序在产生程序块的范围中被实施。该链接程序或操作该链接程序所利用的控制信息定义片段并且从而实现本发明的主要部分。存储器保护寄存器可以具有用于特定保护模式的一个或多个地址区域。保护模式是只读启用、只写启用和尤其是被禁用的访问。为了定义其中存储有程序块的片段，可以使用与用于数据片段不同的子寄存器，其中子寄存器属于存储器保护寄存器。此外，可以设置子寄存器，在所述子寄存器中存储保护模式。尤其是，保护模式可以对于数据和程序块分开地被存储。

不必作为唯一的序列被存储在存储器中的逻辑连贯代码被称为程序块。更确切地说，只要存储器管理单元准备好用于实施程序块，程序块可以有形地被存储在存储器的多个不同的分片段中，所述存储器管理单元表示与唯一的程序块的逻辑关联。

所述一个或多个存储器或数据存储器可以是仅一次可写的存储器或多次可写的存储器。尤其是，存储器可以是只读存储器。所述一个或多个存储器尤其是硬件存储器，其优选地至少部分地集成到处理器中。处理器尤其可以是制造商Infineon（英飞凌）的Aurix系列的微控制器或者制造商Freescale（飞思卡尔）的系列MPC57xx的微控制器。

附图说明

图1示出存储器的象征性图示用于阐述其中所存储的程序块的按照本方法的处理变换；

图2示出这里公开的控制设备的实施方式的象征性图示。

具体实施方式

图1中所示的存储器被划分成三个片段10、12、14。在所述片段中存放程序块20、22、22’、24。在每个片段10-14中分别存放具有特定分级的程序块。

示例性地，片段10的所有程序块、也即程序块20被分配给第一安全等级，而片段12的程序块22、22’被分配给另一安全等级，并且片段14的程序块24又被分配给另外的与程序块20、22、22’不同的安全等级。首先实施程序块20，所述程序块可以被称为第一程序块或调用程序块。调用30处于程序块20内，利用所述调用30调用片段12的程序块22。调用30例如是函数调用，而程序块22实施该函数。通过调用30访问片段12，该片段不同于片段10。

通过调用由存储器保护装置（在图2中更详细地示出）触发异常。存储器保护装置监控在图1中所示的存储器，以便确定片段重叠的访问并且必要时如果在以下片段中实现访问，即该片段不对应于其中实施当前实施的程序（在具体情况下程序块20）的片段，则触发异常。

异常处理机（在图2中更详细地示出）检测该异常并且禁用该第一片段10。此外，异常处理机优选地与禁用同时地或在禁用之后启用片段12用于访问和尤其是用于通过处理器实施（在图2中更详细地示出）。

因为程序块22所处于的片段12被启用，所以该程序块被实施。程序块22因此可以被称为第二程序块或被调用程序块。

在第二程序块22的实施结束处有返回指令32，其同样可以被看作调用。调用32再次调用第一程序块20。在该情形中，第二程序块22是调用程序块并且程序块20是被调用程序块。存储器保护装置检测片段重叠的调用，触发异常，由此异常处理机禁用对在其中所存储的程序块的片段12的调用或实施，并且启用片段10和其中所存储的程序块20用于实施或用于访问。接着由处理器根据调用32的返回地址继续实施程序块20，所述调用32用作返回指令。

箭头40、42表明程序块20和22的运行以及顺序实施。箭头40表示，实施通过调用30转向程序块22。箭头42表示，在返回指令32之后继续实施程序块20，也即利用在程序块20内的在调用30之后跟随的代码。箭头40、42示出如何从一个片段的程序块被变换到另一片段的程序块。箭头40再现通过主程序调用子程序，其中主程序由程序块20表示并且子程序由程序块22表示。

其他可选的组件或方法步骤虚线示出。程序块20的调用30’对应于程序块20内的另一调用。该另一调用可以调用其他程序块（未示出）。

此外示出，程序块22作为子程序可以包括另外的子程序调用32’，该另外的子程序调用调用另一片段14中的另外的代码块24。箭头40’和42’再现要实施的程序块和从而为了实施被启用的片段的变换。通过箭头40’再现：片段12的启用变换到片段14，而片段12被禁用，并且片段14的禁用被取消。箭头42’再现在实施了程序块24之后如何返回到程序块22的调用32’。变换因此可以越过存储器的多于两个的片段被执行，其中变换按照本方法被执行。

图1的例子的第一变换通过箭头40再现，第二变换通过箭头40’再现，第三变换通过箭头42’再现，并且第四变换通过箭头42再现。箭头42、42’源出于返回指令，所述返回指令可以是程序块的部分或者如果所涉及的程序块被实施完成，则由实施控制装置实施。箭头40、40’源出于程序块的片段重叠的调用，并且是通过调用程序块（的开始）、也即通过规程调用或函数调用形成的变换。

示例性地，程序块22’示出，可以在同一个片段中设置多个程序块，也即程序块22和22’。如果程序块22调用程序块22’（未示出），则由存储器保护装置不触发异常，因为调用不是片段重叠的。

图2以象征性图示示出这里公开的控制设备100的实施方式。该控制设备100包括数据处理设备120。该数据处理设备120包括存储器130，其尤其是可以如在图1中的处理器那样构造。存储器130被划分成片段110、112和114，分别给所述片段分配不同的安全等级。尤其是，片段内的程序块配备有对于每个片段而言相同的安全等级，其中在不同的片段110-114中的程序块的安全等级是不同的。

数据处理设备120此外包括处理器140，所述处理器访问存储器。象征性表示访问的逻辑连接通过连接170、172（点划线地）示出。

控制设备的数据处理设备120此外包括存储器保护装置150。该存储器保护装置装备有存储器保护寄存器152，所述存储器保护寄存器定义存储器130的片段并且尤其是定义其界限。

存储器保护寄存器152也可以作为寄存器被设置在存储器保护装置150之外，优选地设置在数据处理设备内，所述寄存器与存储器保护装置150直接或间接连接。

数据处理设备120此外包括异常处理机160。基于不同的功能，组件140、150、160被表示为各个块，其中这些块至少可以部分地相互集成。尤其是，存储器保护装置和/或异常处理机可以集成到处理器140中。这也适用于存储器130。可替换地，该存储器130可以设置在处理器之外。

处理器140可以以读和写的方式访问存储器130。该访问经由存储器管理单元154实现，所述存储器管理单元同样可以集成在处理器130中。存储器管理单元154由此实现逻辑连接170、172，所述逻辑连接由相应的访问使用。可以看出，处理器170、172也访问存储器130的两个不同的片段110、112。如果存在逻辑连接170，则由存储器保护装置或由存储器管理单元154禁用处理器140对第二片段112的访问，使得逻辑连接172被禁用，其中存储器保护装置150位于所述存储器管理单元154中。

如根据图1所述的，如果现在第二片段112被启用并且第一片段110被禁用，例如通过如用图1中的附图标记30所示的调用，则逻辑连接170被去活或禁用并且逻辑连接172被启用。禁用和启用由存储器保护装置150或由存储器管理单元154执行。

如果在片段112中存储的程序块的实施处于结束，则实施返回，参见图1的箭头42。由此逻辑连接170被禁用和逻辑连接170被启用。在片段110中所存储的程序块的实施于是被继续。

禁用和启用借助于存储器保护装置150被执行，所述存储器保护装置根据存储器保护寄存器152识别出存储器130的片段110-114中的哪一个片段恰好被启用用于访问并且哪些不被启用。

如果对于第一片段110中的程序块访问第二片段112中的程序块，则存储器保护装置尤其是根据存储器保护寄存器152和其存储于其中的地址数据来识别这一点并且触发异常。这被转发给异常处理机160。

异常处理机160由此通过禁用第一逻辑连接170和启用第二逻辑连接172来禁用第一片段。禁用和启用通过异常处理机160的相应信号来实施，所述信号被转发给存储器管理单元154并且尤其是被转发给存储器保护装置150。

附图标记列表

10、12、14 存储器130的片段

20、22、22’、24 程序块

30、30’、32、32’尤其是存在于与被调用块不同的片段中的程序块的调用

40、40’、42、42’ 调用或返回指令

100 控制设备

120 数据处理设备

130 存储器

110、112、114 存储器130的片段

140 处理器

150 存储器保护装置

152 存储器保护寄存器

154 存储器管理单元

160 异常处理机

170、172 在处理器和存储器之间的逻辑连接，所述逻辑连接由存储器管理单元或由存储器保护装置禁用或启用。

Claims (10)

1.用于控制链接的程序块（20-24）的分开的运行的方法，所述程序块被构造用于优选地在机动车中实施与安全性相关的系统的功能，具有步骤：

在处理器（140）上实施程序块中的第一程序块（20），其中第一程序块（20）存在于存储器（130）的第一片段（10,110）中，并且处理器（140）访问存储器（130），其中在实施第一程序块（20）期间，调用程序块中的第二程序块（22），并且该第二程序块（22）存在于第二片段（12,112）中，该第二片段不同于存储器（130）的第一片段（10,110）；

通过存储器保护装置（150）监控对存储器（130）的访问，其中如果在由存储器保护装置（150）监控访问时确定出在实施第一程序块（20）期间调用程序块中的第二程序块（22），则所述存储器保护装置（150）触发异常；

其中异常处理机（160）在出现异常时禁用第一片段（10,110）并且启用第二片段（12,112）用以实施。

2.根据权利要求1所述的方法，其中在启用第二片段（12，112）之后实施第二程序块（22）并且在实施第二程序块（22）结束时发生返回（42），通过所述返回由异常处理机（160）禁用第二片段（12，112）并且由异常处理机（160）启用第一片段（10，11）用于实施并且尤其是通过返回触发另一异常，其中异常处理机（160）在出现该另一异常时禁用第二片段（12，112）并且启用第一片段（10，110）用于实施。

3.根据权利要求1或2所述的方法，其中在实施第一或第二程序块（20，22）期间调用至少一个另外的程序块（24），所述至少一个另外的程序块存在于存储器（130）的片段（14）中，该片段与第一和第二程序块（20，22）的片段（10，110，12，112）不同；如果该另外的程序块（24）被调用，则存储器保护装置（150）触发异常，异常处理机（160）在出现该异常时禁用存储器（30）的其中存在调用程序块（22）的该片段（12）并且启用存储器（130）的其中存在被调用程序块（24）的片段（14，114），并且被调用程序块（24）在启用之后由处理器（130）实施。

4.根据前述权利要求之一所述的方法，其中在第一程序块（20）被实施时，对第二片段（12，112）的访问连续地被禁用，并且在第二程序块（22）被实施时，对第一片段（10，110）的访问连续地被禁用。

5.根据前述权利要求之一所述的方法，其中用于数据的第一数据片段被分配给第一程序块，所述数据由第一程序块存储并且尤其是也被读取，以及用于数据的与第一数据片段不同的第二数据片段被分配给第二程序块，所述数据由第二程序块存储并且尤其是也被读取，其中如果通过由第一程序块调用第二程序块触发异常，则异常处理机禁用第一数据片段，并且如果通过由第二程序块调用第一程序块触发异常，则异常处理机禁用第二数据片段。

6.根据前述权利要求之一所述的方法，其中将与第二程序块（22）不同的安全等级分配给第一程序块（20），并且尤其是，程序块（20-24）按照标准ISO 26262被构造并且根据分类ASIL A-D或者QM被分级，其中第一和第二程序块（20，24）不同地被分级。

7.根据前述权利要求之一所述的方法，其中异常是中断或异常、尤其是硬件中断或软件中断，中断在处理器内或在处理器外被触发和/或被处理，中断可以是可屏蔽的或不可屏蔽的，或者中断对应于陷阱异常或故障异常。

8.根据前述权利要求之一所述的方法，其中当程序块（20）调用具有另外的和尤其是较高的安全等级的程序块（22）时被触发的异常由异常处理机（160）以与当程序块（20）调用具有另外的和尤其是较低的安全等级的程序块（22）时被触发的异常不同的和尤其是更高的优先级被执行。

9.尤其是用于车辆的控制设备（100），具有数据处理设备（120），所述数据处理设备（120）包括存储器（130）、处理器（140）和存储器保护装置（150），其中存储器（130）与处理器（140）连接并且第一以及至少一个第二程序块（20，22）存在于存储器（130）的彼此不同的第一和第二片段（10，110；12，112）中，其中第一和至少一个第二程序块（20，22）相互链接，并且此外具有编程或具有至存储器（130）的连接的存储器保护装置（150）被构成，如果存在于第一片段（110）中的第一程序块（20）调用存在于第二片段（112）中的第二程序块（22），则所述编程或所述连接促使存储器保护装置（150）触发异常；其中数据处理设备（120）此外具有异常处理机（160），所述异常处理机与存储器保护装置（150）连接用于接收异常，和

异常处理机（160）与存储器保护装置（150）连接并且由此被设立用于在接收到异常时禁用在存储器（130）的第一片段（10，110）与处理器（140）之间的逻辑连接（170）并且启用在存储器（130）的第二片段（12，112）与处理器（140）之间的逻辑连接（172）用于在处理器（140）上实施第二程序块（22）。

10.根据权利要求9所述的控制设备（100），其中第一程序块（20）具有与第二程序块（22）不同的安全等级，以及尤其是，程序块（22-24）按照标准ISO 26262构造并且根据分类ASIL A-D或QM被分级，其中第一和第二程序块（20；22）不同地被分级。