分享老司機(jī)簡化的MCU程序保護(hù)設(shè)計(jì),新手都學(xué)著點(diǎn)!
1 發(fā)生錯的原因與現(xiàn)有對策
本文引用地址:http://m.butianyuan.cn/article/201801/373915.htmMCU在工作時會受到干擾,在一些空間場合,可能遇到粒子轟擊而產(chǎn)生穩(wěn)態(tài)的翻轉(zhuǎn),即所謂single event upset。而一般工業(yè)場合是電源傳導(dǎo)干擾,受干擾時,電源電壓會瞬間超出或者略微超出MCU的名義工作電壓,線路的穩(wěn)定性就無法保證。由于各單個邏輯電路工藝過程中總會有微小差異,電源電壓的略微超出會在最弱的邏輯電路中造成指令讀錯誤和數(shù)據(jù)讀寫錯誤。這種錯誤最終表現(xiàn)為數(shù)據(jù)的錯誤。
國外對DRAM出錯的研究已做得很多,在參考文獻(xiàn)中轉(zhuǎn)述了出錯的概率:“谷歌(Google)使用了大量服務(wù)器,2009年的大規(guī)模統(tǒng)計(jì)。出錯的概率是2.5~7×10-11error/bit/h?!奔?G RAM每小時會有5個錯。
現(xiàn)在對于有功能安全要求的系統(tǒng),安全等級為SIL2時,出錯的概率應(yīng)小于10-7”/h。現(xiàn)在控制器所用的MCU的Flash與RAM的大小已達(dá)128 K~1 Mb,參考上述概率,如果缺少程序的保護(hù),將會有1M×7×10-11 error/h=7×10-5 error/h,這遠(yuǎn)大于功能安全要求的出錯概率。
從功能安全的角度,系統(tǒng)中任何影響功能的錯誤都是應(yīng)該被檢測出來的,如果這個錯誤危及人類生命或造成設(shè)備的重大損失,那么就必須有防范的措施,必要時就必須糾正錯誤。然而要達(dá)到這種要求是很難的,需要付出很大的代價。以數(shù)據(jù)錯誤為例,人們常常重復(fù)計(jì)算多次,然后把占多數(shù)的結(jié)果代表正確的結(jié)果。這樣,數(shù)據(jù)分享前的結(jié)果都要經(jīng)表決,否則發(fā)現(xiàn)錯會太晚,影響一致性。這就需要更多的硬件資源與開發(fā)成本。即便如此,如果作為表決器的環(huán)節(jié)仍是MCU的一個程序,它仍然可能會受錯誤指令的干擾,未能完全攔住錯誤。
為了節(jié)省成本,更多的應(yīng)用并沒有采用這種冗余與表決的方法。它們往往以不死機(jī)作為目標(biāo),只要不死機(jī),由控制對象來的新信息就可以重算出新的正確結(jié)果。即使上一次算出的錯了,其后果也只延續(xù)了一個采樣周期。這種策略對有累積效應(yīng)的應(yīng)用是無效的,就像參考文獻(xiàn)中討論的積分功能會失敗。又如運(yùn)行結(jié)果與過程密切相關(guān)的應(yīng)用,例如可編程控制器(PLC),數(shù)據(jù)的錯誤會導(dǎo)致控制邏輯的混亂。
保證不死機(jī)的主要措施是采用看門狗技術(shù),如果程序走飛,在一定時間內(nèi)沒有復(fù)位計(jì)時器,計(jì)時器就會溢出,產(chǎn)生MCU的重新啟動,重新初始化可以糾正損壞了的數(shù)據(jù)??撮T狗技術(shù)是不管數(shù)據(jù)正確性的,因?yàn)橹噶铄e了程序未必走飛,而指令錯了數(shù)據(jù)錯的可能性極大。
2 錯誤現(xiàn)象與錯誤校正方案
MCU的指令在讀取時發(fā)生錯誤就會產(chǎn)生不同的執(zhí)行結(jié)果,在參考文獻(xiàn)中以8051的MOV指令為例,當(dāng)有一位讀錯時就變成跳轉(zhuǎn)、除法、減法、交換、增1等等指令。實(shí)際上大部分MCU都會有指令錯而執(zhí)行結(jié)果錯的問題,因?yàn)檫@些指令內(nèi)沒有檢驗(yàn)錯的機(jī)制。MC68HC11的LDA指令有1位錯時可能轉(zhuǎn)為加法、減法、送立即數(shù)到累加器B、送狀態(tài)存器、送堆棧指針等指令。
假定數(shù)據(jù)字用D表示,生成多項(xiàng)式用G表示,Gm為最高階的系數(shù),等于1。那么習(xí)慣的做法在除到Dn位時,判斷Dn值。若Dn=1,則將G和D的對應(yīng)位對齊,用模2加法求取余數(shù),Mn-i=Dn-i+Gm-i,用余數(shù)Mn-i代替原來的Dn-i移位。如果Dn=0,則不做加法,Mn-i=Dn-i,然后移位,也可以說用余數(shù)Mn-i代替原來的Dn-i移位。我們的目的是直接由D來產(chǎn)生余數(shù),所以做了修改。修改方法是,當(dāng)對齊后的Gm- i=1時,取Mn-i=Dn-i+Dn。當(dāng)Gm-i=0時,對應(yīng)項(xiàng)不做模2加?,F(xiàn)在證明這兩種方法是等效的:
Dn=0,Gm-i=0時,習(xí)慣方法Mn-i=Dn-i;修改方法Mn-i=Dn-i。
Dn=0,Gm-i=1時,習(xí)慣方法Mn-i=Dn-i;修改方法Mn-i=Dn-i+Dn=Dn-i。
Dn=1,Gm-i=0時,習(xí)慣方法Mn-i=Dn-i+Gm-i=Dn-i;修改方法Mn-i=Dn-i。
Dn=1,Gm-i=1時,習(xí)慣方法Mn-i=Dn-i+Gm-i=Dn-i+1;修改方法Mn-i=Dn-i+Dn=Dn-i+1。
現(xiàn)在對G=X4+X+1時8位指令的數(shù)據(jù)字用修改方法求取CRC各位的值,為了閱讀方便,將數(shù)據(jù)字的各位用數(shù)字代表,例如7代表D7。參與模2加的各位就以各數(shù)字連寫在一起。例如CRC的最高一位是7 532,它代表D7、D5、D3、D2的模2加法結(jié)果。通過建立真值表,它們最后都可以用組合邏輯來實(shí)現(xiàn),所以在取指完成后就立即可以判出是否有錯。
評論