1. 从寄存器手册到实战TMS320F280013x内存安全与可靠性设计全解析在嵌入式系统尤其是像TI C2000系列这样面向实时控制、电机驱动和数字电源的微控制器领域系统的健壮性Robustness和安全性Security是产品能否成功量产、稳定运行的关键。我们常常把目光聚焦在算法优化、中断响应时间上却容易忽视一个更底层、更基础的防线内存的硬件级保护与错误管理。想象一下在工业变频器运行中一段关键的控制参数被异常改写或者在新能源汽车的BMS电池管理系统里因宇宙射线导致的存储器位翻转未被及时纠正这些都可能引发灾难性后果。TMS320F280013x作为C2000家族的新成员其内存子系统配备了相当完备的硬件保护与检错纠错机制。这些功能并非空中楼阁而是通过两组关键的寄存器——MEM_CFG_REGS内存配置寄存器和MEMORY_ERROR_REGS内存错误寄存器——暴露给开发者进行精细控制的。官方技术参考手册TRM给出了寄存器的位域定义但这只是“地图”。真正的挑战在于如何将这些寄存器位Bits转化为保障系统安全的“护城河”与“消防系统”。本文将结合我多年的电机控制项目实战经验深入剖析这两组寄存器的设计哲学、实操配置流程以及避坑指南让你不仅知道每个位是干什么的更明白在什么场景下、以何种顺序去配置它们才能真正构筑起可靠的内存安全体系。2. 内存配置寄存器MEM_CFG_REGS深度剖析与实战配置MEM_CFG_REGS寄存器组是内存系统的“配置与管理中心”其核心职责可以概括为三点锁定Lock、保护Protect和测试/初始化Test/Init。它针对不同的内存区块Dedicated RAM Local Shared RAM ROM提供了相应的控制寄存器。2.1 寄存器功能总览与设计逻辑在深入每个寄存器之前我们必须理解TI设计这套机制的逻辑。它不是一堆零散功能的堆砌而是一个有层次、分阶段的配置流程。配置阶段系统上电或复位后软件可以对内存的访问权限ACCPROT、测试模式TEST等进行编程。锁定阶段为防止关键配置在后续运行中被恶意或意外修改可以使用LOCK寄存器临时锁定配置。这通常用于模块初始化完成后。提交/永久锁定阶段这是最高级别的保护。通过COMMIT寄存器可以将配置永久锁定直到下一次系统复位。这常用于产品出厂前的最终配置固化。运行阶段在配置锁定后仍可通过INIT寄存器触发内存初始化如填充为0或特定值并通过TEST寄存器进入诊断模式但核心的访问保护配置已不可更改。这种“可配置 - 可锁定 - 可永久固化”的流程完美匹配了产品从开发、测试到量产的生命周期。下面我们以最常用的Dedicated RAMM0 M1 PIEVECT为例拆解这个流程。2.2 核心寄存器详解与配置流程2.2.1 访问保护配置DxACCPROT0/1这是安全的第一道闸门。以DxACCPROT0为例它控制着M0和M1 RAM的访问权限。CPUWRPROT_Mx (位1 位9)CPU写保护。置1后CPU对该RAM块的写操作将被硬件阻止。这有什么用假设你将PID控制器的系数表放在M1 RAM中在系统正常运行后你绝不希望这些系数被任何跑飞的代码意外修改。此时就可以启用写保护。注意此保护仅针对CPU的写操作DMA或其他主设备的写入可能不受此限制具体需查证数据手册。FETCHPROT_Mx (位0 位8)取指保护。置1后CPU无法从该RAM块取指执行。这是防止代码注入攻击的关键。通常我们将只存放数据而不存放代码的RAM块如全局变量区启用取指保护。即使恶意代码被写入该区域CPU也无法将其作为指令执行。配置示例与心得 假设我们想保护M0 RAM通常用于关键栈或高速变量不被写入且防止在其中执行代码。在系统初始化早期例如在main()函数开头配置系统时钟之后进行如下操作// 首先必须进入EALLOW模式才能修改受保护的配置寄存器 EALLOW; // 配置DxACCPROT0寄存器保护M0 RAM // 位1 (CPUWRPROT_M0)1: 禁止CPU写 // 位0 (FETCHPROT_M0)1: 禁止CPU取指 MemCfgRegs.DxACCPROT0.bit.CPUWRPROT_M0 1; MemCfgRegs.DxACCPROT0.bit.FETCHPROT_M0 1; // 如果需要同样可以配置M1 RAM // MemCfgRegs.DxACCPROT0.bit.CPUWRPROT_M1 1; // MemCfgRegs.DxACCPROT0.bit.FETCHPROT_M1 1; EDIS; // 退出EALLOW模式重要提示对DxACCPROT等寄存器的写操作必须在EALLOW宏使能的环境下进行。EALLOW/EDIS是C2000芯片保护关键系统寄存器的一种机制。忘记加EALLOW是新手最常见的错误之一编译器不会报错但配置会 silently fail静默失败。2.2.2 配置锁定与提交DxLOCK DxCOMMIT配置好保护位后如果不锁定这些配置在后续代码中仍然可能被修改。锁定操作提供了灵活性。DxLOCK临时锁定寄存器。向LOCK_M0位写1即可锁定M0 RAM相关的ACCPROT、INIT、MSEL等字段防止其被修改。关键点这个锁定是可逆的通过向该位写0可以再次解锁。这适用于运行时可能需要动态调整保护策略的场景但极少见。DxCOMMIT永久锁定提交寄存器。这是“熔断”操作。向COMMIT_M0位写1后对应内存块的配置将被永久锁定直到下一次芯片复位。一旦提交即使在EALLOW模式下也无法再修改对应的ACCPROT等配置。这是一个不可逆的操作实战流程建议 在大多数安全要求高的应用中推荐以下流程系统初始化早期配置所有必要的ACCPROT访问保护。进行内存自检或初始化使用DxINIT下文会讲。确认配置无误后执行**提交COMMIT**操作永久固化配置。尽量避免只使用LOCK而不COMMIT因为LOCK状态可能被意外清除。// 步骤1: 配置访问保护 (已在上一节完成) EALLOW; MemCfgRegs.DxACCPROT0.bit.CPUWRPROT_M0 1; MemCfgRegs.DxACCPROT0.bit.FETCHPROT_M0 1; EDIS; // 步骤2: (可选)进行内存初始化 MemCfgRegs.DxINIT.bit.INIT_M0 1; // 启动M0 RAM初始化 while(MemCfgRegs.DxINITDONE.bit.INITDONE_M0 0); // 等待初始化完成 // 步骤3: 永久提交配置 EALLOW; MemCfgRegs.DxCOMMIT.bit.COMMIT_M0 1; // 永久锁定M0 RAM配置 EDIS; // 此后任何尝试修改DxACCPROT0中M0相关位的操作都将被硬件忽略。2.2.3 内存测试与初始化控制DxTEST DxINIT DxINITDONE这部分用于内存的维护和诊断。DxINIT 与 DxINITDONEINIT_M0位是“写1启动”类型W1S。向其写1硬件会自动将对应的M0 RAM区域初始化通常填充为0。INITDONE_M0是状态位初始化完成后由硬件置1。这是确保内存状态已知、清除上电随机值的可靠方法尤其在对安全性要求极高的启动流程中。DxTEST这是高级诊断功能。它允许你将RAM切换到特殊测试模式。00: 功能模式正常操作。01: 仅允许写入数据位ECC/奇偶校验位不更新。可用于测试ECC逻辑是否能正确检测出“错误”的校验位。10: 仅允许写入ECC/奇偶校验位数据位不变。可用于模拟数据正确但校验位错误的情况。11: 功能模式但发生错误时不产生中断/NMI。用于诊断期间避免错误处理程序干扰。手册中一个极其重要的Note任何非零值即01 10 11模式都会**覆盖Override**写访问保护如果存在且不会触发访问保护违规。这意味着在测试模式下即使你设置了CPUWRPROT也能成功写入。这要求测试代码必须被高度信任且测试后应及时切回功能模式。DxRAMTEST_LOCK为了保护DxTEST寄存器本身不被误操作TI又加了一把锁。要修改DxTEST寄存器必须先向DxRAMTEST_LOCK.KEY字段写入0xA5A5这个“密码”同时确保对应的M0/PIEVECT位为0允许写入。这体现了**深度防御Defense in Depth**的思想。测试模式操作示例需谨慎// 目标对M0 RAM进行ECC诊断测试模拟校验位错误 // 1. 解锁TEST寄存器 EALLOW; MemCfgRegs.DxRAMTEST_LOCK.bit.KEY 0xA5A5; // 提供密钥 MemCfgRegs.DxRAMTEST_LOCK.bit.M0 0; // 确保M0测试锁打开 EDIS; // 2. 配置为“仅写ECC位”模式 EALLOW; MemCfgRegs.DxTEST.bit.TEST_M0 0x2; // 二进制10 仅写ECC位模式 EDIS; // 3. 此时向M0 RAM地址写入数据只会改变其ECC位数据位保持不变。 // 后续读取该地址时硬件会因ECC不匹配而检测到错误。 // ... 执行你的诊断代码 ... // 4. 测试完毕切回正常功能模式并锁定TEST寄存器 EALLOW; MemCfgRegs.DxTEST.bit.TEST_M0 0x0; // 切回功能模式 MemCfgRegs.DxRAMTEST_LOCK.bit.M0 1; // 锁定M0的TEST字段配置 // KEY字段写0或不操作即可 EDIS;2.3 Local Shared RAM (LSx) 与 ROM 的配置LSxRAM本地共享RAM的寄存器组LSxLOCKLSxACCPROT0LSxTEST等与Dedicated RAM的寄存器在功能和用法上几乎完全一致只是对象变成了LS0和LS1 RAM块。配置思路和流程可以完全参照上一节。对于ROM主要是Boot ROM其配置寄存器相对简单ROM_LOCK同样需要先写KEY0xA5A5然后通过LOCK_BOOTROM位来锁定ROM_TEST和ROM_FORCE_ERROR寄存器。ROM_TEST用于控制Boot ROM的测试模式例如禁用奇偶校验用于调试或使奇偶校验位在内存映射中可见。ROM_FORCE_ERROR向FORCE_BOOTROM_ERROR位写1可以人为地向奇偶校验逻辑注入一个错误位用于测试系统的错误响应机制是否正常。这在可靠性验证测试中非常有用。3. 内存错误管理寄存器MEMORY_ERROR_REGS实战指南当内存硬件检测到错误如ECC错误、奇偶校验错误时MEMORY_ERROR_REGS寄存器组就是你的“故障诊断面板”。它清晰地告诉你有没有错误什么错误在哪里发生的严重程度如何3.1 错误分类与核心寄存器解读内存错误主要分两类处理策略截然不同不可纠正错误Uncorrectable Error通常指多位错误ECC无法修复。这属于严重故障往往意味着硬件损坏或受到严重干扰。系统必须进入安全状态如关机、重启、切换到冗余模块。可纠正错误Correctable Error通常指单比特错误Single-Bit Error SBEECC可以自动修复。这类错误需要被记录和监控因为它可能是多位错误的前兆指示内存单元或环境可靠性下降。对应的核心状态寄存器是UCERRFLG和CERRFLG。它们的CPURDERR位在发生相应错误时会由硬件自动置1。3.2 错误处理流程与编程模型一个健壮的错误处理流程如下3.2.1 错误标志的捕获与清除当UCERRFLG或CERRFLG的CPURDERR位为1时表示发生了错误。此时应立即读取错误地址寄存器UCCPUREADDR或CCPUREADDR以定位发生错误的指令或数据地址。这对于事后分析至关重要。清除错误标志是一个需要小心处理的操作。你不能直接写UCERRFLG寄存器而必须通过对应的UCERRCLR或CERRCLR寄存器向CPURDERR位写1来清除标志。这种“写1清除”W1C的机制是外设寄存器中常见的防误操作设计。// 示例检查并清除一个可纠正错误 if(MemoryErrorRegs.CERRFLG.bit.CPURDERR 1) { // 1. 记录错误地址用于后续分析或上传 uint32_t errorAddress MemoryErrorRegs.CCPUREADDR; // 2. 可选读取更详细的错误信息如Flash错误状态FLCERRSTATUS // uint16_t errType MemoryErrorRegs.FLCERRSTATUS.bit.ERR_TYPE_L; // uint16_t errPos MemoryErrorRegs.FLCERRSTATUS.bit.ERR_POS_L; // 3. 清除错误标志否则会一直触发中断或无法检测新错误 MemoryErrorRegs.CERRCLR.bit.CPURDERR 1; // 4. 错误计数递增可以记录到非易失存储器中 g_correctableErrorCount; }3.2.2 错误中断的使能与处理为了及时响应错误通常需要使能中断。对于不可纠正错误其标志置位通常会直接触发**NMI不可屏蔽中断**或特定的高优先级中断。你需要编写相应的NMI中断服务程序ISR在ISR中进行最关键的现场保存和系统安全处理如紧急停机。对于可纠正错误可以通过CEINTEN寄存器使能中断。当错误计数CERRCNT超过设定的阈值CERRTHRES时CEINTFLG标志置位并触发中断。你可以在中断服务程序中记录错误、增加维护计数甚至提前预警。中断配置示例// 配置可纠正错误中断 // 1. 设置错误计数阈值例如允许发生10次可纠正错误后再报警 MemoryErrorRegs.CERRTHRES 10; // 2. 使能可纠正错误中断 MemoryErrorRegs.CEINTEN.bit.CEINTEN 1; // 3. 将对应的PIE中断向量指向你的错误处理函数 // 假设可纠正错误中断对应INTx.y 需要配置PIE向量表并开启PIE和CPU级中断 // EALLOW; // PieVectTable.MEMORY_ERROR_INT memoryErrorISR; // 注册ISR // EDIS; // PieCtrlRegs.PIEIERx.bit.INTxy 1; // 使能PIE组内中断 // IER | M_INTx; // 使能CPU级中断 // EINT; // 全局开中断 // 在 memoryErrorISR() 中 // - 读取 CERRCNT, CCPUREADDR, FLCERRSTATUS 等信息 // - 清除 CEINTFLG 标志 (通过 CEINTCLR) // - 清除 PIE 中断标志 // - 执行你的错误处理逻辑3.3 Flash内存错误状态寄存器精讲FLCERRSTATUS和FLUCERRSTATUS寄存器提供了Flash存储器错误的详细信息这对于区分错误类型和定位问题非常有帮助。FLCERRSTATUS可纠正错误状态ERR_TYPE_L/H指示错误发生在数据位0还是ECC校验位1。数据位错误更常见校验位错误可能暗示存储单元或读写路径问题。ERR_POS_L/H精确定位出错的比特位在64位数据段中的位置。FAIL_1_L/H和FAIL_0_L/H指示发生的是“1翻0”错误还是“0翻1”错误。这对于分析故障机理如受何种干扰有参考价值。FLUCERRSTATUS不可纠正错误状态UNC_ERR_L/H指示不可纠正错误发生在128位对齐地址的低64位还是高64位。DIAG_L/H_FAIL这是一个诊断性标志。当冗余ECC逻辑与功能ECC逻辑的比较失败时置位。这通常意味着ECC计算硬件本身可能存在问题是一个比数据错误更严重的信号。实战意义在发生Flash读取错误时除了记录地址还应尽可能记录这些状态信息。将它们与时间戳、系统运行状态电压、温度一起保存到安全区域如另一个Flash扇区或备份RAM可以为后期的故障根因分析Root Cause Analysis提供宝贵的数据。4. 综合实战构建一个健壮的内存安全初始化与监控模块理解了各个寄存器后我们需要将其组合成一个完整的、可复用的软件模块。以下是一个基于TMS320F280013x的内存保护与监控初始化函数示例它体现了在真实项目中的最佳实践。// mem_protect.h #ifndef MEM_PROTECT_H_ #define MEM_PROTECT_H_ #include F280013x_Device.h typedef struct { uint32_t correctableErrorCount; uint32_t lastCorrectableErrorAddr; uint32_t uncorrectableErrorCount; uint32_t lastUncorrectableErrorAddr; // 可以添加更多统计信息如错误类型、位置等 } MemErrorStats_t; void MemProtect_Init(void); void MemProtect_EnableErrorMonitoring(uint16_t correctableErrorThreshold); void MemProtect_GetStats(MemErrorStats_t* pStats); interrupt void MemoryError_ISR(void); #endif /* MEM_PROTECT_H_ */ // mem_protect.c #include mem_protect.h static MemErrorStats_t s_memErrorStats {0}; void MemProtect_Init(void) { // 步骤1: 初始化错误统计可选清零 s_memErrorStats.correctableErrorCount 0; // ... 其他统计清零 // 步骤2: 清除所有可能悬而未决的错误标志 EALLOW; MemoryErrorRegs.CERRCLR.bit.CPURDERR 1; // 清除可纠正错误标志 MemoryErrorRegs.UCERRCLR.bit.CPURDERR 1; // 清除不可纠正错误标志 MemoryErrorRegs.CEINTCLR.bit.CEINTCLR 1; // 清除可纠正错误中断标志 EDIS; // 步骤3: 配置关键内存块的访问保护示例保护M0和LS0 EALLOW; // 保护M0 RAM禁止写禁止取指假设M0只放数据 MemCfgRegs.DxACCPROT0.bit.CPUWRPROT_M0 1; MemCfgRegs.DxACCPROT0.bit.FETCHPROT_M0 1; // 保护LS0 RAM禁止取指假设LS0放数据允许写可能用于DMA搬运 MemCfgRegs.LSxACCPROT0.bit.FETCHPROT_LS0 1; // MemCfgRegs.LSxACCPROT0.bit.CPUWRPROT_LS0 0; // 默认就是0允许写 EDIS; // 步骤4: 可选初始化受保护的内存区域确保已知状态 MemCfgRegs.DxINIT.bit.INIT_M0 1; while(MemCfgRegs.DxINITDONE.bit.INITDONE_M0 0); // 等待M0初始化完成 // 类似地可以初始化LS0等... // 步骤5: 永久提交配置锁定安全状态 EALLOW; MemCfgRegs.DxCOMMIT.bit.COMMIT_M0 1; MemCfgRegs.LSxCOMMIT.bit.COMMIT_LS0 1; EDIS; // 步骤6: 锁定TEST寄存器防止误入测试模式 EALLOW; MemCfgRegs.DxRAMTEST_LOCK.bit.KEY 0xA5A5; MemCfgRegs.DxRAMTEST_LOCK.bit.M0 1; // 锁定M0测试功能 MemCfgRegs.LSxRAMTEST_LOCK.bit.KEY 0xA5A5; MemCfgRegs.LSxRAMTEST_LOCK.bit.LS0 1; // 锁定LS0测试功能 // 注意写入KEY后对应锁定位的写入必须发生在同一个EALLOW块内才有效 EDIS; } void MemProtect_EnableErrorMonitoring(uint16_t correctableErrorThreshold) { // 步骤1: 设置可纠正错误计数阈值 MemoryErrorRegs.CERRTHRES correctableErrorThreshold; // 步骤2: 使能可纠正错误计数超限中断 EALLOW; MemoryErrorRegs.CEINTEN.bit.CEINTEN 1; EDIS; // 步骤3: 在系统层面配置PIE和CPU中断使能 // 此处假设中断向量表和外设中断扩展PIE已基本配置好 EALLOW; // 将MEMORY_ERROR_INT中断向量指向我们的ISR // PieVectTable.MEMORY_ERROR_INT MemoryError_ISR; EDIS; // PieCtrlRegs.PIEIERx.bit.INTxy 1; // 使能对应的PIE组内中断 // IER | M_INTx; // 使能CPU级中断 // EINT; // 全局开中断通常在main函数最后统一开启 } interrupt void MemoryError_ISR(void) { // 1. 检查中断源是可纠正错误计数超限还是发生了不可纠正错误 // 通常需要通过PIE中断标志位或直接读寄存器来判断 // 2. 处理可纠正错误中断 if(MemoryErrorRegs.CEINTFLG.bit.CEINTFLAG 1) { // 记录错误计数和最后一次错误地址 s_memErrorStats.correctableErrorCount MemoryErrorRegs.CERRCNT; s_memErrorStats.lastCorrectableErrorAddr MemoryErrorRegs.CCPUREADDR; // 可以在这里读取FLCERRSTATUS获取更详细信息 // uint16_t errorDetail MemoryErrorRegs.FLCERRSTATUS.all; // 清除中断标志 MemoryErrorRegs.CEINTCLR.bit.CEINTCLR 1; // 执行用户自定义操作记录日志、点亮预警灯、增加维护计数器等 // User_HandleMemoryWarning(); } // 3. 处理不可纠正错误通常触发NMI这里仅为示例流程 // 在NMI ISR中应立即进行最简化的关键数据保存然后触发系统复位或切换到安全状态。 // if(检查到不可纠正错误标志) { // s_memErrorStats.uncorrectableErrorCount; // s_memErrorStats.lastUncorrectableErrorAddr MemoryErrorRegs.UCCPUREADDR; // // 尝试保存最关键的几个变量到备份区域 // // 然后强制系统复位 // SysCtl_resetDevice(); // } // 4. 清除PIE中断标志位根据实际中断号操作 // PieCtrlRegs.PIEACK.all PIEACK_GROUPx; } void MemProtect_GetStats(MemErrorStats_t* pStats) { if(pStats ! NULL) { *pStats s_memErrorStats; } }5. 常见问题、调试技巧与避坑指南在实际项目中配置和使用这些寄存器时我踩过不少坑也总结了一些调试技巧。5.1 配置不生效先检查EALLOW这是头号新手问题。MEM_CFG_REGS中的大部分配置寄存器如DxACCPROTDxLOCKDxCOMMIT都受EALLOW保护。任何写操作如果没有包裹在EALLOW/EDIS宏中都会被硬件静默忽略。调试时如果怀疑配置没生效第一件事就是检查代码中是否遗漏了EALLOW。5.2 COMMIT操作是不可逆的向DxCOMMIT或LSxCOMMIT寄存器的位写1是真正的“一次性操作”。一旦提交对应的配置在本次上电周期内就无法再更改即使使用EALLOW也不行。务必在确认所有配置包括ACCPROTTEST模式等都正确无误后再执行COMMIT操作。在开发调试阶段可以暂时只使用LOCK而不COMMIT以保留灵活性。5.3 测试模式TEST会绕过写保护这是一个重要的安全边界。当DxTEST.TEST_M0或LSxTEST.TEST_LS0被设置为非零值01 10 11时对该内存块的写操作将无视CPUWRPROT的设置。这意味着如果你的测试代码有bug可能会在测试模式下意外破坏受保护的数据。最佳实践是仅在需要诊断时进入测试模式诊断完成后立即切回功能模式00并立即用DxRAMTEST_LOCK锁定TEST寄存器。5.4 错误地址寄存器UCCPUREADDR/CCPUREADDR的解读这两个寄存器捕获的是导致错误的CPU读/取指访问的地址。但需要注意它捕获的是物理地址。你需要将其与你的链接器命令文件.cmd中的内存映射进行对比才能知道具体是哪个变量或哪段代码出了问题。对于可纠正错误由于ECC实时修复了数据程序可能继续运行但这个地址指明了“问题发生地”对于预测性维护非常有价值。在中断服务程序中读取这些地址寄存器后错误标志位并不会自动清除必须手动写CERRCLR或UCERRCLR来清除。5.5 中断使能与标志清除的顺序在使能错误中断时一个良好的习惯是“先清理后使能”。先读取并清除所有可能悬而未决的错误标志CERRFLGUCERRFLGCEINTFLG。再配置阈值CERRTHRES和使能中断CEINTEN。最后配置PIE和CPU级中断使能。 这个顺序可以避免一使能中断就立即进入ISR处理历史错误。5.6 针对Flash的特别考虑Flash内存的ECC位宽和纠错能力与RAM可能不同通常是每64位或128位数据产生若干ECC位。当使用ROM_FORCE_ERROR寄存器人为注入错误进行测试时要确保你的错误处理逻辑NMI ISR能够正确区分这是测试注入的错误还是真实的硬件错误。通常可以通过在注入错误前设置一个软件标志位来实现。5.7 性能与开销权衡启用内存保护如写保护、取指保护和ECC/奇偶校验理论上会引入极小的访问延迟但对于C2000这类微控制器其影响在绝大多数应用中可忽略不计。而错误检测和中断处理带来的好处——系统的可靠性和安全性——是决定性的。在安全关键型应用中必须开启这些保护功能。在资源极度紧张或对性能有极端要求的场景下才需要考虑对非关键内存区域关闭某些保护但这需要经过严格的风险评估。通过深入理解和正确运用TMS320F280013x的MEM_CFG_REGS和MEMORY_ERROR_REGS你就能为你的嵌入式系统筑起一道坚固的硬件安全防线。这不仅仅是配置几个寄存器更是将可靠性设计Reliability by Design和功能安全Functional Safety的理念落实到每一行代码和每一个比特位的过程。