一種簡(jiǎn)化的MCU程序保護(hù)設(shè)計(jì)

引言

筆者2008年在本刊發(fā)表過一篇文章《MCU需要改進(jìn)》，本文就為什么要改，如何改作進(jìn)一步的討論。總的來說，因?yàn)閷?duì)功能安全要求的認(rèn)識(shí)深化，改進(jìn)的必要?jiǎng)t突現(xiàn);而且國(guó)際上已經(jīng)有了滿足改進(jìn)的產(chǎn)品，改進(jìn)事實(shí)上已開始，不做的人失去的是競(jìng)爭(zhēng)力，改進(jìn)其實(shí)也不復(fù)雜。

1 發(fā)生錯(cuò)的原因與現(xiàn)有對(duì)策

MCU在工作時(shí)會(huì)受到干擾，在一些空間場(chǎng)合，可能遇到粒子轟擊而產(chǎn)生穩(wěn)態(tài)的翻轉(zhuǎn)，即所謂single event upset。而一般工業(yè)場(chǎng)合是電源傳導(dǎo)干擾，受干擾時(shí)，電源電壓會(huì)瞬間超出或者略微超出MCU的名義工作電壓，線路的穩(wěn)定性就無法保證。由于各單個(gè)邏輯電路工藝過程中總會(huì)有微小差異，電源電壓的略微超出會(huì)在最弱的邏輯電路中造成指令讀錯(cuò)誤和數(shù)據(jù)讀寫錯(cuò)誤。這種錯(cuò)誤最終表現(xiàn)為數(shù)據(jù)的錯(cuò)誤。

國(guó)外對(duì)DRAM出錯(cuò)的研究已做得很多，在參考文獻(xiàn)中轉(zhuǎn)述了出錯(cuò)的概率：“谷歌(Google)使用了大量服務(wù)器，2009年的大規(guī)模統(tǒng)計(jì)。出錯(cuò)的概率是2.5～7×10-11error/bit/h。”即8G RAM每小時(shí)會(huì)有5個(gè)錯(cuò)。

現(xiàn)在對(duì)于有功能安全要求的系統(tǒng)，安全等級(jí)為SIL2時(shí)，出錯(cuò)的概率應(yīng)小于10-7”/h?，F(xiàn)在控制器所用的MCU的Flash與RAM的大小已達(dá)128 K～1 Mb，參考上述概率，如果缺少程序的保護(hù)，將會(huì)有1M×7×10-11 error/h=7×10-5 error/h，這遠(yuǎn)大于功能安全要求的出錯(cuò)概率。

從功能安全的角度，系統(tǒng)中任何影響功能的錯(cuò)誤都是應(yīng)該被檢測(cè)出來的，如果這個(gè)錯(cuò)誤危及人類生命或造成設(shè)備的重大損失，那么就必須有防范的措施，必要時(shí)就必須糾正錯(cuò)誤。然而要達(dá)到這種要求是很難的，需要付出很大的代價(jià)。以數(shù)據(jù)錯(cuò)誤為例，人們常常重復(fù)計(jì)算多次，然后把占多數(shù)的結(jié)果代表正確的結(jié)果。這樣，數(shù)據(jù)分享前的結(jié)果都要經(jīng)表決，否則發(fā)現(xiàn)錯(cuò)會(huì)太晚，影響一致性。這就需要更多的硬件資源與開發(fā)成本。即便如此，如果作為表決器的環(huán)節(jié)仍是MCU的一個(gè)程序，它仍然可能會(huì)受錯(cuò)誤指令的干擾，未能完全攔住錯(cuò)誤。

為了節(jié)省成本，更多的應(yīng)用并沒有采用這種冗余與表決的方法。它們往往以不死機(jī)作為目標(biāo)，只要不死機(jī)，由控制對(duì)象來的新信息就可以重算出新的正確結(jié)果。即使上一次算出的錯(cuò)了，其后果也只延續(xù)了一個(gè)采樣周期。這種策略對(duì)有累積效應(yīng)的應(yīng)用是無效的，就像參考文獻(xiàn)中討論的積分功能會(huì)失敗。又如運(yùn)行結(jié)果與過程密切相關(guān)的應(yīng)用，例如可編程控制器(PLC)，數(shù)據(jù)的錯(cuò)誤會(huì)導(dǎo)致控制邏輯的混亂。

保證不死機(jī)的主要措施是采用看門狗技術(shù)，如果程序走飛，在一定時(shí)間內(nèi)沒有復(fù)位計(jì)時(shí)器，計(jì)時(shí)器就會(huì)溢出，產(chǎn)生MCU的重新啟動(dòng)，重新初始化可以糾正損壞了的數(shù)據(jù)?？撮T狗技術(shù)是不管數(shù)據(jù)正確性的，因?yàn)橹噶铄e(cuò)了程序未必走飛，而指令錯(cuò)了數(shù)據(jù)錯(cuò)的可能性極大。

2 錯(cuò)誤現(xiàn)象與錯(cuò)誤校正方案

MCU的指令在讀取時(shí)發(fā)生錯(cuò)誤就會(huì)產(chǎn)生不同的執(zhí)行結(jié)果，在參考文獻(xiàn)中以8051的MOV指令為例，當(dāng)有一位讀錯(cuò)時(shí)就變成跳轉(zhuǎn)、除法、減法、交換、增1等等指令。實(shí)際上大部分MCU都會(huì)有指令錯(cuò)而執(zhí)行結(jié)果錯(cuò)的問題，因?yàn)檫@些指令內(nèi)沒有檢驗(yàn)錯(cuò)的機(jī)制。MC68HC11的LDA指令有1位錯(cuò)時(shí)可能轉(zhuǎn)為加法、減法、送立即數(shù)到累加器B、送狀態(tài)存器、送堆棧指針等指令，如表1所列。

雖然筆者注意到這種出錯(cuò)的可能性比較早(1990年)，但是在寫參考文獻(xiàn)時(shí)(2008年)并不知道Freescale公司(2005年)的16位單片機(jī)中已經(jīng)有了對(duì)指令添加檢錯(cuò)與糾錯(cuò)的措施。參考文獻(xiàn)中提到：“當(dāng)系統(tǒng)遇到強(qiáng)干擾時(shí)，CPU在讀取指令或數(shù)據(jù)時(shí)可能出現(xiàn)錯(cuò)誤，如果指令或數(shù)據(jù)僅僅是某一位出現(xiàn)錯(cuò)誤，ECC模塊會(huì)自動(dòng)糾正這一位的錯(cuò)誤，使系統(tǒng)照常運(yùn)行，如果出現(xiàn)二位或二位以上的錯(cuò)誤，則ECC會(huì)以中斷方式通知CPU，出現(xiàn)了讀程序錯(cuò)或讀數(shù)據(jù)錯(cuò)。”

根據(jù)參考文獻(xiàn)，F(xiàn)reescale公司的16位單片機(jī)MC9S12P128的Flash部分32位的程序有7位特征，構(gòu)成糾錯(cuò)編碼(error correction code)，可以糾正1位錯(cuò)和發(fā)現(xiàn)2位錯(cuò)。Flash部分16位的數(shù)據(jù)有6位特征，構(gòu)成糾錯(cuò)編碼ECC，可以糾正1位錯(cuò)和發(fā)現(xiàn)2位錯(cuò)。因此對(duì)指令的檢錯(cuò)糾錯(cuò)已經(jīng)是批量使用了。最近AMD也推出了G系列嵌入式SoC平臺(tái)，它也采用了ECC技術(shù)。

ECC技術(shù)在企業(yè)級(jí)服務(wù)器中使用比較早，它考慮了DRAM的特點(diǎn)，例如內(nèi)存插條中由多個(gè)芯片構(gòu)成，就從每個(gè)芯片的對(duì)應(yīng)位集合起來，再加校驗(yàn)位。然后又有對(duì)應(yīng)的診斷設(shè)計(jì)，可以找出出錯(cuò)多的內(nèi)存條，以便更換。所以它與單片機(jī)上的使用情況還是有區(qū)別的(更換是不可能的)，直接照抄是不必要的。

從Freescale公司的ECC可知，它的海明距離HD=3，而且采用了糾錯(cuò)措施。如果僅僅檢錯(cuò)，那么實(shí)現(xiàn)起來更簡(jiǎn)單一點(diǎn)。檢測(cè)出錯(cuò)后的處理措施就比較容易設(shè)計(jì)，例如產(chǎn)生中斷，把該指令重取，由于是硬件中的措施，不必考慮添加入棧/出棧保護(hù)現(xiàn)場(chǎng)的動(dòng)作，開銷很少。如果必要，還可以在另外的地方保存出錯(cuò)統(tǒng)計(jì)信息，以及觸發(fā)更復(fù)雜的保護(hù)措施。

3 簡(jiǎn)化報(bào)錯(cuò)與糾錯(cuò)方案

從現(xiàn)在單片機(jī)的發(fā)展趨勢(shì)來看，因?yàn)?2位單片機(jī)價(jià)格的下降，市場(chǎng)將分化為8位與32位兩極。在中國(guó)8位機(jī)主要是8051體系，已經(jīng)培育了較大的市場(chǎng)和大量熟悉的人才，而且也有自制8051的能力，所以在8051上添加檢驗(yàn)碼是合理的選擇。如果增加了這一功能，無疑會(huì)提高使用8051系統(tǒng)的可信賴性，提升產(chǎn)品檔次，延長(zhǎng)產(chǎn)品的壽命周期。另一方面，其實(shí)現(xiàn)也比較簡(jiǎn)單，相信基于ARM的32位機(jī)也會(huì)添加這種指令檢驗(yàn)機(jī)制，成本也要上升。

對(duì)MCU程序加保護(hù)的廠家還不多見，即使是Freescale公司也還沒有對(duì)所有的MCU添加保護(hù)，因?yàn)樘砑颖Ｗo(hù)是要增加成本的，所以添加保護(hù)的方法是值得研究的課題。

對(duì)于8位指令代碼檢錯(cuò)，可以選擇低階次的CRC。由參考文獻(xiàn)可知可以選4位CRC，其生成多項(xiàng)式是G=X4+X+1。它可以保證HD=3的數(shù)據(jù)字長(zhǎng)為11位，已超過所需的8位。這里因?yàn)閿?shù)據(jù)字8位是一次取出，所以CRC是并行計(jì)算的，由數(shù)據(jù)字到CRC的求取的方法推導(dǎo)如圖1所示。

假定數(shù)據(jù)字用D表示，生成多項(xiàng)式用G表示，Gm為最高階的系數(shù)，等于1。那么習(xí)慣的做法在除到Dn位時(shí)，判斷Dn值。若Dn=1，則將G和D的對(duì)應(yīng)位對(duì)齊，用模2加法求取余數(shù)，Mn-i=Dn-i+Gm-i，用余數(shù)Mn-i代替原來的Dn-i移位。如果Dn=0，則不做加法，Mn-i=Dn-i，然后移位，也可以說用余數(shù)Mn-i代替原來的Dn-i移位。我們的目的是直接由D來產(chǎn)生余數(shù)，所以做了修改。修改方法是，當(dāng)對(duì)齊后的Gm- i=1時(shí)，取Mn-i=Dn-i+Dn。當(dāng)Gm-i=0時(shí)，對(duì)應(yīng)項(xiàng)不做模2加。現(xiàn)在證明這兩種方法是等效的：

Dn=0，Gm-i=0時(shí)，習(xí)慣方法Mn-i=Dn-i;修改方法Mn-i=Dn-i。

Dn=0，Gm-i=1時(shí)，習(xí)慣方法Mn-i=Dn-i;修改方法Mn-i=Dn-i+Dn=Dn-i。

Dn=1，Gm-i=0時(shí)，習(xí)慣方法Mn-i=Dn-i+Gm-i=Dn-i;修改方法Mn-i=Dn-i。

Dn=1，Gm-i=1時(shí)，習(xí)慣方法Mn-i=Dn-i+Gm-i=Dn-i+1;修改方法Mn-i=Dn-i+Dn=Dn-i+1。

現(xiàn)在對(duì)G=X4+X+1時(shí)8位指令的數(shù)據(jù)字用修改方法求取CRC各位的值，為了閱讀方便，將數(shù)據(jù)字的各位用數(shù)字代表，例如7代表D7。參與模2加的各位就以各數(shù)字連寫在一起。例如CRC的最高一位是7 532，它代表D7、D5、D3、D2的模2加法結(jié)果。通過建立真值表，它們最后都可以用組合邏輯來實(shí)現(xiàn)，所以在取指完成后就立即可以判出是否有錯(cuò)。求取并行解CRC邏輯的過程如圖2所示。

這種推導(dǎo)并行CRC值的方法也可以用于較長(zhǎng)的指令，當(dāng)然，為了避免手算的錯(cuò)誤，應(yīng)該以程序來求，這不是難事。

8位指令用4位CRC保護(hù)開銷是大了一點(diǎn)，但是它的保護(hù)強(qiáng)度也大了，對(duì)于16位的指令程序，用二次8位保護(hù)，有4個(gè)錯(cuò)是肯定可以檢測(cè)出來的，如果像Freescale技術(shù)用掉6位保護(hù)，只能保證有2個(gè)錯(cuò)可以檢測(cè)出來。所以這是折中的方法。

對(duì)于16位指令，可以用5位CRC保護(hù)，參考文獻(xiàn)中G=X5+X2+1可以在26位數(shù)據(jù)字長(zhǎng)上獲得HD=3。對(duì)于32位指令，可以用6位CRC保護(hù)，參考文獻(xiàn)中G=X6+X+1可以在57位數(shù)據(jù)字長(zhǎng)上獲得HD=3。由此可見，如果僅檢錯(cuò)而靠重傳作糾錯(cuò)，校驗(yàn)項(xiàng)比Freescale都要省一位，用重取指令的方法可以節(jié)省開銷。

這種方法也可以對(duì)數(shù)據(jù)存取加以保護(hù)。在以現(xiàn)有MCU為主的單板嵌入式計(jì)算機(jī)中，添加程序保護(hù)也有很重要的意義，如何實(shí)施是值得研究的課題。