一種簡(jiǎn)化的MCU程序保護設計

引言

筆者2008年在本刊發(fā)表過(guò)一篇文章《MCU需要改進(jìn)》，本文就為什么要改，如何改作進(jìn)一步的討論?？偟膩?lái)說(shuō)，因為對功能安全要求的認識深化，改進(jìn)的必要則突現;而且國際上已經(jīng)有了滿(mǎn)足改進(jìn)的產(chǎn)品，改進(jìn)事實(shí)上已開(kāi)始，不做的人失去的是競爭力，改進(jìn)其實(shí)也不復雜。

1 發(fā)生錯的原因與現有對策

MCU在工作時(shí)會(huì )受到干擾，在一些空間場(chǎng)合，可能遇到粒子轟擊而產(chǎn)生穩態(tài)的翻轉，即所謂single event upset。而一般工業(yè)場(chǎng)合是電源傳導干擾，受干擾時(shí)，電源電壓會(huì )瞬間超出或者略微超出MCU的名義工作電壓，線(xiàn)路的穩定性就無(wú)法保證。由于各單個(gè)邏輯電路工藝過(guò)程中總會(huì )有微小差異，電源電壓的略微超出會(huì )在最弱的邏輯電路中造成指令讀錯誤和數據讀寫(xiě)錯誤。這種錯誤最終表現為數據的錯誤。

國外對DRAM出錯的研究已做得很多，在參考文獻中轉述了出錯的概率：“谷歌(Google)使用了大量服務(wù)器，2009年的大規模統計。出錯的概率是2.5～7×10-11error/bit/h。”即8G RAM每小時(shí)會(huì )有5個(gè)錯。

現在對于有功能安全要求的系統，安全等級為SIL2時(shí)，出錯的概率應小于10-7”/h?，F在控制器所用的MCU的Flash與RAM的大小已達128 K～1 Mb，參考上述概率，如果缺少程序的保護，將會(huì )有1M×7×10-11 error/h=7×10-5 error/h，這遠大于功能安全要求的出錯概率。

從功能安全的角度，系統中任何影響功能的錯誤都是應該被檢測出來(lái)的，如果這個(gè)錯誤危及人類(lèi)生命或造成設備的重大損失，那么就必須有防范的措施，必要時(shí)就必須糾正錯誤。然而要達到這種要求是很難的，需要付出很大的代價(jià)。以數據錯誤為例，人們常常重復計算多次，然后把占多數的結果代表正確的結果。這樣，數據分享前的結果都要經(jīng)表決，否則發(fā)現錯會(huì )太晚，影響一致性。這就需要更多的硬件資源與開(kāi)發(fā)成本。即便如此，如果作為表決器的環(huán)節仍是MCU的一個(gè)程序，它仍然可能會(huì )受錯誤指令的干擾，未能完全攔住錯誤。

為了節省成本，更多的應用并沒(méi)有采用這種冗余與表決的方法。它們往往以不死機作為目標，只要不死機，由控制對象來(lái)的新信息就可以重算出新的正確結果。即使上一次算出的錯了，其后果也只延續了一個(gè)采樣周期。這種策略對有累積效應的應用是無(wú)效的，就像參考文獻中討論的積分功能會(huì )失敗。又如運行結果與過(guò)程密切相關(guān)的應用，例如可編程控制器(PLC)，數據的錯誤會(huì )導致控制邏輯的混亂。

保證不死機的主要措施是采用看門(mén)狗技術(shù)，如果程序走飛，在一定時(shí)間內沒(méi)有復位計時(shí)器，計時(shí)器就會(huì )溢出，產(chǎn)生MCU的重新啟動(dòng)，重新初始化可以糾正損壞了的數據?？撮T(mén)狗技術(shù)是不管數據正確性的，因為指令錯了程序未必走飛，而指令錯了數據錯的可能性極大。

2 錯誤現象與錯誤校正方案

MCU的指令在讀取時(shí)發(fā)生錯誤就會(huì )產(chǎn)生不同的執行結果，在參考文獻中以8051的MOV指令為例，當有一位讀錯時(shí)就變成跳轉、除法、減法、交換、增1等等指令。實(shí)際上大部分MCU都會(huì )有指令錯而執行結果錯的問(wèn)題，因為這些指令內沒(méi)有檢驗錯的機制。MC68HC11的LDA指令有1位錯時(shí)可能轉為加法、減法、送立即數到累加器B、送狀態(tài)存器、送堆棧指針等指令，如表1所列。

雖然筆者注意到這種出錯的可能性比較早(1990年)，但是在寫(xiě)參考文獻時(shí)(2008年)并不知道Freescale公司(2005年)的16位單片機中已經(jīng)有了對指令添加檢錯與糾錯的措施。參考文獻中提到：“當系統遇到強干擾時(shí)，CPU在讀取指令或數據時(shí)可能出現錯誤，如果指令或數據僅僅是某一位出現錯誤，ECC模塊會(huì )自動(dòng)糾正這一位的錯誤，使系統照常運行，如果出現二位或二位以上的錯誤，則ECC會(huì )以中斷方式通知CPU，出現了讀程序錯或讀數據錯。”

根據參考文獻，Freescale公司的16位單片機MC9S12P128的Flash部分32位的程序有7位特征，構成糾錯編碼(error correction code)，可以糾正1位錯和發(fā)現2位錯。Flash部分16位的數據有6位特征，構成糾錯編碼ECC，可以糾正1位錯和發(fā)現2位錯。因此對指令的檢錯糾錯已經(jīng)是批量使用了。最近AMD也推出了G系列嵌入式SoC平臺，它也采用了ECC技術(shù)。

ECC技術(shù)在企業(yè)級服務(wù)器中使用比較早，它考慮了DRAM的特點(diǎn)，例如內存插條中由多個(gè)芯片構成，就從每個(gè)芯片的對應位集合起來(lái)，再加校驗位。然后又有對應的診斷設計，可以找出出錯多的內存條，以便更換。所以它與單片機上的使用情況還是有區別的(更換是不可能的)，直接照抄是不必要的。

從Freescale公司的ECC可知，它的海明距離HD=3，而且采用了糾錯措施。如果僅僅檢錯，那么實(shí)現起來(lái)更簡(jiǎn)單一點(diǎn)。檢測出錯后的處理措施就比較容易設計，例如產(chǎn)生中斷，把該指令重取，由于是硬件中的措施，不必考慮添加入棧/出棧保護現場(chǎng)的動(dòng)作，開(kāi)銷(xiāo)很少。如果必要，還可以在另外的地方保存出錯統計信息，以及觸發(fā)更復雜的保護措施。

3 簡(jiǎn)化報錯與糾錯方案

從現在單片機的發(fā)展趨勢來(lái)看，因為32位單片機價(jià)格的下降，市場(chǎng)將分化為8位與32位兩極。在中國8位機主要是8051體系，已經(jīng)培育了較大的市場(chǎng)和大量熟悉的人才，而且也有自制8051的能力，所以在8051上添加檢驗碼是合理的選擇。如果增加了這一功能，無(wú)疑會(huì )提高使用8051系統的可信賴(lài)性，提升產(chǎn)品檔次，延長(cháng)產(chǎn)品的壽命周期。另一方面，其實(shí)現也比較簡(jiǎn)單，相信基于A(yíng)RM的32位機也會(huì )添加這種指令檢驗機制，成本也要上升。

對MCU程序加保護的廠(chǎng)家還不多見(jiàn)，即使是Freescale公司也還沒(méi)有對所有的MCU添加保護，因為添加保護是要增加成本的，所以添加保護的方法是值得研究的課題。

對于8位指令代碼檢錯，可以選擇低階次的CRC。由參考文獻可知可以選4位CRC，其生成多項式是G=X4+X+1。它可以保證HD=3的數據字長(cháng)為11位，已超過(guò)所需的8位。這里因為數據字8位是一次取出，所以CRC是并行計算的，由數據字到CRC的求取的方法推導如圖1所示。

假定數據字用D表示，生成多項式用G表示，Gm為最高階的系數，等于1。那么習慣的做法在除到Dn位時(shí)，判斷Dn值。若Dn=1，則將G和D的對應位對齊，用模2加法求取余數，Mn-i=Dn-i+Gm-i，用余數Mn-i代替原來(lái)的Dn-i移位。如果Dn=0，則不做加法，Mn-i=Dn-i，然后移位，也可以說(shuō)用余數Mn-i代替原來(lái)的Dn-i移位。我們的目的是直接由D來(lái)產(chǎn)生余數，所以做了修改。修改方法是，當對齊后的Gm- i=1時(shí)，取Mn-i=Dn-i+Dn。當Gm-i=0時(shí)，對應項不做模2加?，F在證明這兩種方法是等效的：

Dn=0，Gm-i=0時(shí)，習慣方法Mn-i=Dn-i;修改方法Mn-i=Dn-i。

Dn=0，Gm-i=1時(shí)，習慣方法Mn-i=Dn-i;修改方法Mn-i=Dn-i+Dn=Dn-i。

Dn=1，Gm-i=0時(shí)，習慣方法Mn-i=Dn-i+Gm-i=Dn-i;修改方法Mn-i=Dn-i。

Dn=1，Gm-i=1時(shí)，習慣方法Mn-i=Dn-i+Gm-i=Dn-i+1;修改方法Mn-i=Dn-i+Dn=Dn-i+1。

現在對G=X4+X+1時(shí)8位指令的數據字用修改方法求取CRC各位的值，為了閱讀方便，將數據字的各位用數字代表，例如7代表D7。參與模2加的各位就以各數字連寫(xiě)在一起。例如CRC的最高一位是7 532，它代表D7、D5、D3、D2的模2加法結果。通過(guò)建立真值表，它們最后都可以用組合邏輯來(lái)實(shí)現，所以在取指完成后就立即可以判出是否有錯。求取并行解CRC邏輯的過(guò)程如圖2所示。

這種推導并行CRC值的方法也可以用于較長(cháng)的指令，當然，為了避免手算的錯誤，應該以程序來(lái)求，這不是難事。

8位指令用4位CRC保護開(kāi)銷(xiāo)是大了一點(diǎn)，但是它的保護強度也大了，對于16位的指令程序，用二次8位保護，有4個(gè)錯是肯定可以檢測出來(lái)的，如果像Freescale技術(shù)用掉6位保護，只能保證有2個(gè)錯可以檢測出來(lái)。所以這是折中的方法。

對于16位指令，可以用5位CRC保護，參考文獻中G=X5+X2+1可以在26位數據字長(cháng)上獲得HD=3。對于32位指令，可以用6位CRC保護，參考文獻中G=X6+X+1可以在57位數據字長(cháng)上獲得HD=3。由此可見(jiàn)，如果僅檢錯而靠重傳作糾錯，校驗項比Freescale都要省一位，用重取指令的方法可以節省開(kāi)銷(xiāo)。

這種方法也可以對數據存取加以保護。在以現有MCU為主的單板嵌入式計算機中，添加程序保護也有很重要的意義，如何實(shí)施是值得研究的課題。