本發(fā)明總體涉及控制單元，在這些控制單元中實(shí)現(xiàn)被分配給不同安全等級(jí)的控制單元功能。該方法還涉及：根據(jù)取決于針對(duì)各個(gè)控制單元功能的功能診斷的診斷結(jié)果的啟用(freigaben)，來(lái)在控制單元中執(zhí)行控制單元功能。

背景技術(shù)：

1、如今，控制單元用于多種技術(shù)裝置，以便控制這些技術(shù)裝置。此類控制單元通常借助于微控制器來(lái)實(shí)現(xiàn)，通常采樣功能軟件來(lái)操作，該功能軟件通常具有多個(gè)功能模塊，這些功能模塊可以分別包含多個(gè)控制單元功能。此類控制單元功能例如可以包括操作系統(tǒng)的功能、內(nèi)存管理、車載診斷的中央功能、錯(cuò)誤內(nèi)存管理功能和用于實(shí)現(xiàn)控制單元任務(wù)的工作功能。控制單元功能通常相互關(guān)聯(lián)，以便完成控制和調(diào)節(jié)任務(wù)。

2、控制單元用于控制技術(shù)系統(tǒng)。根據(jù)該技術(shù)系統(tǒng)的應(yīng)用領(lǐng)域，各個(gè)控制單元功能的故障可能引起該技術(shù)系統(tǒng)的或多或少的關(guān)鍵行為，其會(huì)導(dǎo)致該技術(shù)系統(tǒng)的可用性降低或該技術(shù)系統(tǒng)變得無(wú)法使用，或者會(huì)損壞或毀壞該技術(shù)系統(tǒng)的部件。

3、因而規(guī)定：分別通過(guò)一個(gè)或多個(gè)診斷功能來(lái)監(jiān)控這些控制單元功能。通過(guò)診斷功能找出的錯(cuò)誤會(huì)導(dǎo)致對(duì)相對(duì)應(yīng)的錯(cuò)誤狀態(tài)(狀態(tài)變量)進(jìn)行設(shè)置，檢索該錯(cuò)誤狀態(tài)以用于啟用相對(duì)應(yīng)的控制單元功能的執(zhí)行。

4、借助于所謂的啟用管理器(功能禁用管理器(function?inhibition?manager，fim))，可以根據(jù)所識(shí)別出的錯(cuò)誤事件來(lái)協(xié)調(diào)各個(gè)控制單元的啟用和禁用。通常，這種功能禁用管理器利用禁用矩陣來(lái)工作，該禁用矩陣根據(jù)通過(guò)所分配的診斷功能識(shí)別出的錯(cuò)誤的錯(cuò)誤事件標(biāo)識(shí)符，來(lái)考慮借助于功能標(biāo)識(shí)符所標(biāo)識(shí)的控制單元功能，而且該禁用矩陣包含被分配給該控制單元功能的狀態(tài)變量，利用該狀態(tài)變量可以顯示所識(shí)別出的錯(cuò)誤。

5、例如在autosar“功能禁用管理器規(guī)范(specification?offunction?inhibitionmanager)”，autosar文件標(biāo)識(shí)第82號(hào)，版本r21-11中，描述了這種啟用管理器的行業(yè)標(biāo)準(zhǔn)。

技術(shù)實(shí)現(xiàn)思路

1、按照本發(fā)明，提供了一種按照權(quán)利要求1所述的用于操作啟用管理器來(lái)啟用具有不同安全等級(jí)的控制單元功能的方法和一種按照并列獨(dú)立權(quán)利要求所述的相對(duì)應(yīng)的設(shè)備。

2、其它的設(shè)計(jì)方案在從屬權(quán)利要求中說(shuō)明。

3、按照第一方面，提供了一種用于操作啟用管理器來(lái)啟用技術(shù)系統(tǒng)的控制單元中的不同安全等級(jí)的控制單元功能的方法，該方法具有如下步驟：

4、-執(zhí)行該控制單元中的診斷功能，其中，該診斷功能分配有安全等級(jí)；

5、-根據(jù)由相應(yīng)的診斷功能對(duì)錯(cuò)誤事件或功能能力的識(shí)別，調(diào)整在狀態(tài)變量存儲(chǔ)區(qū)中的所分配的狀態(tài)變量，該狀態(tài)變量存儲(chǔ)區(qū)被分配給該診斷功能的該安全等級(jí)；

6、-根據(jù)一個(gè)或多個(gè)所分配的狀態(tài)變量，執(zhí)行被分配給特定安全等級(jí)的控制單元功能，其中，只考慮存儲(chǔ)在如下?tīng)顟B(tài)變量存儲(chǔ)區(qū)中的狀態(tài)變量，這些狀態(tài)變量存儲(chǔ)區(qū)被分配給該控制單元功能的該安全等級(jí)或者更高安全等級(jí)。

7、在啟用管理器(功能禁用管理器)中，在診斷功能被分配給的錯(cuò)誤事件標(biāo)識(shí)符與功能標(biāo)識(shí)符之間發(fā)生關(guān)聯(lián)。在此，通過(guò)錯(cuò)誤事件標(biāo)識(shí)符所表征的錯(cuò)誤事件會(huì)引起狀態(tài)變量的增量或設(shè)置，該狀態(tài)變量被分配給功能標(biāo)識(shí)符并且借此被分配給特定的控制單元功能。以這種方式在借助于診斷功能來(lái)識(shí)別錯(cuò)誤時(shí)，可以通過(guò)相對(duì)應(yīng)的功能標(biāo)識(shí)符來(lái)影響一個(gè)或多個(gè)控制單元功能的啟用。

8、因此，如果通過(guò)特定的事件標(biāo)識(shí)符指示識(shí)別出錯(cuò)誤，則相對(duì)應(yīng)地調(diào)整依據(jù)禁用矩陣所分配的功能標(biāo)識(shí)符的狀態(tài)變量。

9、然而，在上述實(shí)現(xiàn)中，所有診斷功能和控制單元功能都必須具有相同的完整性，即，被分配給相同的安全等級(jí)，或者對(duì)于汽車領(lǐng)域，被分配給相同的asil等級(jí)(iso?26262)。相同的完整性意味著：與控制單元功能相關(guān)的所有診斷功能都可以訪問(wèn)相同的狀態(tài)變量存儲(chǔ)區(qū)并且直接交換信息。

10、然而，安全等級(jí)規(guī)定：特定安全等級(jí)的診斷功能無(wú)法利用寫訪問(wèn)來(lái)訪問(wèn)更高安全等級(jí)的狀態(tài)變量存儲(chǔ)區(qū)。相比之下，控制單元功能可以對(duì)所有安全等級(jí)的存儲(chǔ)區(qū)進(jìn)行讀訪問(wèn)。在此，必須確保：已引起識(shí)別出錯(cuò)誤的具有較低安全等級(jí)的診斷功能無(wú)法阻止具有更高安全等級(jí)的控制單元功能的執(zhí)行。

11、為此，上述方法規(guī)定：根據(jù)診斷功能的結(jié)果，在考慮其安全等級(jí)以及啟用管理器的情況下，執(zhí)行控制單元功能的啟用。為此，該啟用管理器(提前)針對(duì)每個(gè)安全等級(jí)具有狀態(tài)變量存儲(chǔ)區(qū)，以便存儲(chǔ)這些控制單元功能的狀態(tài)變量。這些狀態(tài)變量分別被分配給特定的控制單元功能，通過(guò)功能標(biāo)識(shí)符來(lái)表示，而且這些狀態(tài)變量在診斷消息中被調(diào)整，前提是寄存了診斷功能與功能標(biāo)識(shí)符的相對(duì)應(yīng)的分配。這些狀態(tài)變量可以被設(shè)計(jì)為錯(cuò)誤計(jì)數(shù)器。在后一種情況下，在所分配的錯(cuò)誤函數(shù)發(fā)生錯(cuò)誤時(shí)，可以使?fàn)顟B(tài)變量增量，而且在存在特定標(biāo)準(zhǔn)的情況下，在發(fā)現(xiàn)沒(méi)有錯(cuò)誤時(shí)，可以相對(duì)應(yīng)地使?fàn)顟B(tài)變量減量。

12、每個(gè)診斷功能都分配有安全等級(jí)。相對(duì)應(yīng)地，每個(gè)診斷功能都會(huì)針對(duì)其有關(guān)的安全等級(jí)來(lái)調(diào)整功能標(biāo)識(shí)符的狀態(tài)變量。例如，如果發(fā)現(xiàn)了錯(cuò)誤事件或者在發(fā)現(xiàn)錯(cuò)誤事件之后發(fā)現(xiàn)了功能沒(méi)有錯(cuò)誤，則可以進(jìn)行調(diào)整。在識(shí)別出錯(cuò)誤時(shí)，使?fàn)顟B(tài)變量相對(duì)應(yīng)地增量，而且在同一診斷功能識(shí)別出功能正常時(shí)，如果該狀態(tài)變量的值大于零，則使該狀態(tài)變量相對(duì)應(yīng)地減量。

13、在執(zhí)行控制單元功能時(shí)，始終根據(jù)其所分配的安全等級(jí)來(lái)檢查其啟用。依據(jù)一個(gè)或多個(gè)通過(guò)分配矩陣所分配的狀態(tài)變量來(lái)進(jìn)行該啟用。如果待執(zhí)行的控制單元功能的安全等級(jí)的一個(gè)或多個(gè)狀態(tài)變量表明識(shí)別出錯(cuò)誤，則禁用該控制單元功能的執(zhí)行。由于該一個(gè)或多個(gè)狀態(tài)變量以不同的安全等級(jí)被存儲(chǔ)，所以需要檢查被分配給該控制單元功能的、與該控制單元功能的安全等級(jí)和更高安全等級(jí)相對(duì)應(yīng)的所有狀態(tài)變量。相對(duì)應(yīng)地，在執(zhí)行該控制單元功能之前，檢索被分配給控制單元功能的相同或更高安全等級(jí)的相對(duì)應(yīng)的狀態(tài)變量，以便確定相關(guān)的控制單元功能的啟用。此外，相對(duì)應(yīng)的較低安全等級(jí)的狀態(tài)變量被忽略不計(jì)，使得即使識(shí)別出錯(cuò)誤，較低安全等級(jí)的診斷功能也無(wú)法阻止更高安全等級(jí)的控制單元功能。以這種方式，可以確?？刂茊卧δ艿膯⒂玫耐暾浴Ｒ虼?，診斷功能的錯(cuò)誤事件只能影響被分配給相同安全等級(jí)或較低安全等級(jí)的控制單元功能的啟用。

14、可以規(guī)定：通過(guò)評(píng)估診斷功能和控制單元功能的程序代碼和配置文件，自動(dòng)化地分析調(diào)用上下文，以用于將這些診斷功能和控制單元功能正確地分配給相應(yīng)的安全等級(jí)，其中，尤其是對(duì)該程序代碼進(jìn)行解析，并且檢查一個(gè)或多個(gè)指定的配置文件，以確定診斷功能或控制單元功能在哪個(gè)調(diào)用容器中分別調(diào)用針對(duì)特定安全等級(jí)的特定接口。

15、此外，可以通過(guò)對(duì)狀態(tài)變量存儲(chǔ)區(qū)中的被分配給控制單元功能的狀態(tài)變量的讀訪問(wèn)的掩碼(maskierung)，來(lái)考慮這些狀態(tài)變量存儲(chǔ)區(qū)。

16、此外，借助于分配矩陣，可以將診斷功能分配給相對(duì)應(yīng)的狀態(tài)變量，并且將狀態(tài)變量分配給控制單元功能。由此，能夠通過(guò)簡(jiǎn)單的校準(zhǔn)(甚至在控制單元的操作期間)來(lái)靈活調(diào)整診斷功能和控制單元功能的分配，而無(wú)需重新編譯控制單元軟件或者診斷功能的軟件。

17、由于在所有不同的安全等級(jí)都提供狀態(tài)變量，因此能夠簡(jiǎn)單地通過(guò)校準(zhǔn)來(lái)調(diào)整診斷功能到控制單元功能的分配。不需要對(duì)整個(gè)程序的重新配置和集成。