JP2009520289A - データ記憶装置における停電を検出する方法、およびデータ記憶装置を復旧する方法 - Google Patents

Abstract

有効データユニットと有効データユニットに割り当てられた検査データユニットとを含む揮発性データ記憶装置における停電を検出する方法であって、有効データユニットへの読出しアクセスの際に、割り当てられた前記検査データユニットが一緒に読み出され、検査データユニットを用いて、有効情報が破損しているか否かが決定される、電力供給の停止を検出する方法において、所定回数の連続する読出しアクセスにおいて少なくとも２つの読み出された有効データユニットが破損していると見なされる場合に、停電が確定される、有効データユニットと有効データユニットに割り当てられた検査データユニットとを含む揮発性データ記憶装置内での停電を検出する方法が提供される。
【選択図】図１

Description

本発明は、揮発性データ記憶装置における停電を検出する方法、および停電が確定された場合に揮発性データ記憶装置の内容を復旧する方法に関する。このような方法は、任意の形態の揮発性記憶装置に適用可能である。すなわち、好適な適用領域として、特に車両への適用のための、プログラムされた制御装置のデータ記憶装置が挙げられる。

この種の近代的な制御装置は、多くの場合、適合アルゴリズム（adaptiver Algorithmus）によって駆動する。制御装置は、車両のエンジン等の被制御機構（Maschine）のために、時間の経過にしたがって個別に適合アルゴリズムのパラメータを調整する。そのためには、制御装置が、時間の経過に伴って最適化された適合アルゴリズムのパラメータを格納可能である必要がある。この種のデータのための記憶装置として、特に、ＥＥＰＲＯＭまたはＳＲＡＭが適用される。ＥＥＰＲＯＭの場合書込み時間が長く掛かるので、主にＳＲＡＭ（静的にバッファリングされるＲＡＭ）が利用される。

独自のデータ内容を保持するために、ＳＲＡＭは、継続的に供給される供給電圧（Versorgungsspannung）を必要とする。停電の後には、この記憶装置の内容は破損している（verfaelscht）可能性がある。破損したパラメータ値に基づく制御によっては、もはや正確な演算結果が伝達されることが不可能である。したがって、もはや精度が保障され得ないパラメータの使用を防止するために、確実に停電（Versorgungsausfall）を検出できることが望ましい。

停電を検出するための多様な方法が提案されている。第１のアプローチは、最低電圧（Mindestspannung）との比較によって、供給電圧を直接、継続的に監視することである。最低電圧は、場合によっては利用されるデータ記憶装置（Datenspeicher）の種類に依存する。最低電圧を下回る場合、データの損失、または少なくとも非常に高い確率で、データの破損が考えられる。しかしながら、このような監視は、最低電圧の際にも監視のために組み込まれた回路自体が確実に機能する場合にしか可能ではない。電圧が１，５Ｖおよびそれ(１，５Ｖ)未満（darunter）の近代的な制御装置の場合、この要請はもはや容易には達成されない。

停電を検出するためのさらなる別のアプローチは、停電によって破損した記憶内容を用いる間接的な検出に基づいている。したがって、例えば、記憶内容の、異なる時点に計算された検査合計（Pruefsumme）が互いに比較され、検査合計の偏差に基づいて２つの時点の間に起きた停電が推測される。しかしながら、検査合計の計算には時間が掛かり、検査合計の計算によって、制御装置により制御される機構の起動が遅れる場合には特に負担になる。

さらなる別のアプローチとして、記憶装置の固定領域に所定の検査パターン（Pruefmuster）を格納し時折設定と比較し、設定と異なる場合に停電を確認することが挙げられる。しかしながら、この際の欠点は、検査パターンのために利用される記憶領域が、それ以外の他の目的には利用されないことにある。さらに、監視される記憶領域の異なるセルが、異なる期間、停電を許容するという危険性が生じる。検査パターンを含む記憶セル（Speicherzelle）が、停電に対して最も感度が高い記憶セルであるということが確実でない限り、検査パターンが無傷であることに基づいて、停電がなかったと確実に推測することは不可能である。

近代的な半導体記憶装置（Halbleiterspeicher）の回路構造（Schaltungsstruktur）の小型化が進んだことによって、電離放射線（ionisierende Strahlung）に対する感度がさらに高まっている。電離放射線は、特に宇宙で発生する可能性があるが、半導体回路自体のはんだ（Lot）または筐体（Gehaeuse）内の放射性崩壊（radioaktiver Zerfall）に起因することも考えられる。一方、近代的な高集積回路の２つの異なる論理レベルの間の差異に相当する電荷量（Ladungsmenge）は、非常にわずかなので、半導体の構造によって吸収される（absorbieren）電離放射線の個々の量子（Quantum）によって、高集積回路の論理的状態が反転される（invertieren）ことが十分に起こりうる。このようなビットフリップ（Bit-Flip）とも呼ばれる自発的な状態の移行を検出し、対応できるように、このような（半導体）記憶装置のデータワード（Datenwort）に、データワードと一緒に読み出されるパリティビットが割り当てられていることが可能である。読み出されたデータワードのパリティと付属する読み出されたパリティビットとが不一致の場合、ビットフリップを示している。

半導体の構造が洗練されるにつれて、監視されたパリティエラー（Paritaetsfehler）が、放射線に誘発されている（strahlungsinduziert）確率がさらに高くなる。したがって、このようなパリティエラーの発生から停電が確実に推測されることは、不可能である。

特許請求の範囲に記載の請求項１で定義されているように、停電を検出する方法が創出される。本方法は、短時間で実行可能であり、方法の実行によって、監視されるデータ記憶装置にアクセスするプロセッサの処理性能が損なわれない、または少なくとも決定的には損なわれない。さらに、本方法は最低限のコストで実現可能である。本発明の実行のために、回路は、もはや必要ではなく、放射線に誘発されたビットフリップを検出するためにも必要ではない。本発明によってアクセスされる有効データユニット（Nutzinformationseinheit）は任意であるため、何らかの有効データユニットが、本発明に基づく方法の目的のために特別に読み出される必要はなく、任意の、本発明に基づく方法とは異なるタスクの遂行の枠組みにおいて実行された読出し過程が利用されることが可能である。したがって、本方法によって、このような（任意の、本発明に基づく方法とは異なる）タスクの処理は遅延しない。

本発明は、放射線に誘発されたビットフリップが、偶然の（zufaellig）時点に、互いに相関せずに発生するという事実を利用する。したがって、放射線に誘発された２つの連続するビットフリップの間の期間（Zeitspanne）は、指数分布（Exponetialverteilung）に従う（folgen）。第１ビットフリップの検出の後に、所定の期間において、または、所定の期間内に連続する読出しアクセスが所定の回数行われる過程において、１つまたは複数のさらなる別のビットフリップが検出される確率が、読出しアクセスの期間または回数の対応する選択によって、任意に下げられることが可能である。しかし、所定回数の読出しアクセスにおいて、読み出された有効データユニットが破損していると見なされる場合、これに対応して、ビットフリップが電離放射線に起因する確率も任意に低い。さらに、このような誤りバースト（Fehlerhaeufung）は放射線に誘発されたのではなく、停電に起因する、との前提から出発することが可能である。

破損の確定に利用される検査データユニットは、最も簡単な場合、各有効データユニットに割り当てられたパリティビットであることが可能である。リードソロモン（Reed-Solomon）またはハミング符号（Hamming-Codierung）等のそれ自体公知の誤り訂正コーディング方法（Fehlerkorrekturcodierverfahren）に基づいて、有効データユニットに付属する検査データユニットは、有効データユニットの破損が非常に深刻ではない場合には検査データユニットが有効データユニットを訂正することを可能にするように、有効情報から獲得されていることが可能である。このような（有効情報の）訂正は、有効データユニットが破損しているという所見が停電の確定に直接につながらない場合にも、特に有効である。

上記の処理方法に基づいて停電が検出されている場合、特に（vorzugsweise）、直接的に破損していると見なされた有効データユニットのみならず、揮発性データ記憶装置の少なくとも１つの部分が破棄される（verwerfen）。その理由の１つには、このような（上記の処理方法に基づいて停電が検出された）場合、放射線に誘発されたビットフリップとは異なり、同一の有効データユニットに複数のビット誤りが含まれている確率が高いことが挙げられる。もはや信頼のおけないデータが引き続き処理される場合、存在するエラーが読み出しの際に検出されず、気付かずに誤ったデータを用いて処理される危険性が生じる。

特に、反復制御過程において獲得された測定データから導出された有効データユニットは、多くの場合、僅かな負荷で、目下の測定データを用いた再計算によって、復旧されることが可能である。

本方法を実行するシステムの固定パラメータを含むために、または、長く掛かる最適化過程の演算結果であるために、測定データを用いて短期間で復旧することが困難なデータは、特に（vorzugsweise）、少なくとも１つの部分が、非揮発性の記憶装置からの伝送によって復旧される（wieder herstellen）ことが可能である。したがって、例えば、制御装置の非作動の前ごとに、または他の所定の時点ごとに、長期間で最適化される有効データユニットを不揮発性記憶装置に伝送し、より遅い時点に、不揮発性からの伝送によって有効データユニットを復旧することが可能である。

上記に解説したように、停電の場合には、本方法の処理過程において破損の検査が行われなかった有効データユニット、または、本方法の検査の結果破損が判明しなかった有効ユニットも破損している確率が高い。したがって、停電の検出の際には、破損と見なされなかった有効データユニットも復旧することが有利である（zweckmasig）。一方、このような措置は、放射線によって誘発されたビットフリップにおいては利点がない。

本方法の枠組みにおいて復旧された有効データユニットには、検査情報が全く割り当てられていない有効データユニットも含まれている。

図１において図示される制御装置は、マイクロプロセッサ（Mikroprozessor）１、ＳＲＡＭ２、読出し専用記憶装置（Festwertspeicher）またはＲＯＭ３、および、被制御機構（gesteuerte Maschine）４に取り付けられた複数のセンサおよびアクチュエータを含んでいる。これら構成要素は、アドレスバス５およびデータバス６を介して互いに通信する。動的な作業記憶装置（dynamischer Arbeitsspeicher）等のさらなる別の構成要素が設けられることが可能であるが、本発明の理解に絶対不可欠ではないので図示されていない。

ＳＲＡＭ２は、雑音がない条件下で、マイクロプロセッサ１および機構４が非作動されている場合に、電圧源（Spannungsquelle）７から作動電圧（Betriebsspannung）を受信する。したがって、ＳＲＡＭ２に格納されているパラメータ値は、非作動状態でも保持される。ＳＲＡＭ２は、記憶セルに分けられており、それぞれ、データバス６の幅（Breite）に相当する幅のデータワード（Datenwort）と、パリティビット（Paritaetsbit）とを含んでいる。データバス６には、パリティ回路（Paritaetsschaltung）８が接続されている。パリティ回路８は、ＳＲＡＭ２への書込み過程の際に、データバス６上に割り当てられる（anliegend）データ値（Datenwert）に対応するパリティビットを生成し、ＳＲＡＭ２に出力する。したがって、データ値は、独自のパリティビットと一緒にその（ＳＲＡＭ２）内部に格納される。反対に、パリティ回路８は、ＳＲＡＭ２からの読出し過程の際に、読み出されたデータ値に対応してそこ（ＳＲＡＭ２）に格納されたパリティビットを受信し、受信したパリティビットと、データバス６上に出力されたデータワードから算出されたパリティビットとを比較する。パリティビットが一致の場合には、データワードはエラーがないとして受け入れられる。パリティビットが不一致の場合には、パリティ回路８は、マイクロプロセッサ１、特にマイクロプロセッサ１の割込み入力（Interrupt-Eingang）９に警告信号を出力する。

図２には、警告信号の到着に基づいてマイクロプロセッサ１によって実行されることが可能な、発明の実施形態がフローチャートで示されている。警告信号の受信に関するステップは、Ｓ１で示されている。引き続いてステップＳ２において、タイミングジェネレータ（Zeitgeber）が設定されているか否かが検査される。タイミングジェネレータは、マイクロプロセッサ１の外部に実現される回路であることが可能である。しかし、マイクロプロセッサ１のレジスタ（Register）、または外部の記憶位置（Speicherplatz）であることも可能である。レジスタは、レジスタ独自の内容がと異なり、かつ、独自の（dessen）内容が、定期的に、例えばマイクロプロセッサ１も同様に制御するクロック信号（Taktsignal）によって制御されながら、または、マイクロプロセッサがＳＲＡＭ２にアクセスするごとに値０に達するまで減分される（dekrementieren）期間において、設定されているとみなされる。

最初に、タイミングジェネレータが設定されていないと見なされるケースについて考察する。この場合、本方法はステップＳ３へ分岐する。ステップ３において、独自の（deren）エラーによって警告信号を起動した記憶セルが識別される。ステップＳ４では、所定のテーブルを用いて、エラーがある（fehlerhaft）記憶セルが、複数の可能なクラスのうちのどれに属しているのかが決定される。クラスは、該当する記憶セルに格納されている変数の技術的な意味を反映している。これらのクラスのうちの１つは、例えば、マイクロプロセッサ１の正常な通常駆動の間に、短い周期で、機構（Maschine）に接して配置されたセンサの信号により再計算される変数を含んでいる。このような変数の場合、短時間の間、誤った値が取得される（hinnehmen）可能性がある。したがって、記憶誤り（Speicherfehler）の処理が、Ｓ５においては、利用可能であるが必ずしも最適ではない、機構の制御、を許可する（erlauben）固定値を記憶セルに書き込むこと、引き続いてステップＳ６においては、タイミングジェネレータを設定し、再び通常駆動に移行することに限定することが可能である。

変数のさらなる別のクラスは、特性曲線群（Kennfelder）であり、パラメータ化され（parametrisiert）、数値として類似した、複数の値を含んでいる。この場合、エラー訂正（Fehlerbehebung）として、ステップＳ７において、エラーがある記憶セルに格納された値の特性曲線（denjenigen）に隣接する、パラメータ値の特性曲線（Kennkurve）の値を読出し、このようにして読み出された値の補間（Interpolation）によって、失われた値の近くに高い確率で存在する値を計算し、エラーを引き起こした記憶セルに書き込む。

ここでは詳細に記載しないが、エラーのある記憶内容を復旧するためのさらなる別の方法は、ステップＳ８と総称される。システムの択一的な実施形態において、パリティ回路８は、誤り訂正符号化および復号化回路（Fehlerkorrektur-Codier-und-Decodierschaltung）と置き換えられ、ＳＲＡＭは、各データワードに対応して、適切な訂正符号の複数のビットを格納する。エラーがあるデータワードの復旧は、誤り訂正符号の適用によっても行われることが可能である。

上記の解説から明らかなように、非常に遡らない過去の時点において図２に示す方法が既に一度実行されている場合、ステップＳ２において、タイミングジェネレータは設定されていると厳密にみなされる。タイミングジェネレータが設定され続ける期間がさほど長くなく選択されていない場合、２つの連続するパリティエラーが放射線に誘発されている確率は、任意に下げられることが可能である。したがって、タイミングジェネレータが設定されている際にパリティエラーが検出された場合、原因が供給電圧の中断（停電）にあると考えることが可能である。この場合、本方法は、ステップＳ２からＳ９へ移行する。ステップＳ９において、ＳＲＡＭ２の内容は完全に破棄される。さらに、ＳＲＡＭ２の内容の少なくとも１つの部分が、ＲＯＭ３からＳＲＡＭ２へ複写されることによって、標準値のセット（Satz von Standardwerten）と置き換えられる。周波数が高い通常駆動においてセンサの検出結果を用いて再決定される他の変数は、ステップＳ１０で、同様にセンサの目下の検出結果を用いて再書き込みされる。したがって、ステップＳ９、Ｓ１０の実行後に、パリティエラーのない値を有するＳＲＡＭ２の完全な内容が提供される。パリティエラーのない値（die）は、必ずしもビットごとに、エラー発生前に格納された値と同一ではないが、少なくとも、機構４の使用可能な制御を可能にする。

停電により、およびステップＳ９、Ｓ１０によるＳＲＡＭ２の内容の復旧により及ぼされる制御の質への作用を最低限に抑えるために、本発明のさらなる実施形態に基づき、ＲＯＭ３は、電気的にプログラム可能である。このようなＥＥＰＲＯＭは、基本的に、ＳＲＡＭ２よりも書込みアクセス時間が長くてもよい（durfen）。さらに、ＥＥＰＲＯＭは、ＳＲＡＭ２よりも、放射線に誘発されたビットフリップに対する感度が低いことが予想される（sollte）。このような制御装置の場合、駆動中にＳＲＡＭ２に格納されており、そこ（ＳＲＡＭ２）で時間の経過に伴い被制御機構４のために特別に最適化される（erfahren）特性曲線が、機構４が停止（Abschalten）するごとにＥＥＰＲＯＭに書き戻される（zurueckschreiben）。さらに、再起動の際に、ＥＥＰＲＯＭ（dort）からＳＲＡＭ２に復元される（zurueckkopieren）。したがって、停電の検出後にステップＳ９でＳＲＡＭ２に復元される特性曲線の鮮度（Aktualitaet）は、常に、直近の作動時点に相当する。所望の際には当然のことながら、機構の作動時に時折、特性曲線がＥＥＰＲＯＭ内にバックアップされる（sichern）ことが可能である。

単独であるか、または事前のエラーに続いてかに関係なく、パリティエラーが発生するごとに、ＳＲＡＭ２の内容が、ステップＳ９またはＳ１０との関連で記載されたとおり完全に再書き込みされることによって、図２の方法を簡略化することが可能である。

本発明のさらなる特徴および利点は、図に関連した、実施形態についての以下の記載から明らかとなろう。
本発明の一実施形態に基づく方法を適用可能な、制御装置および被制御機構を備えたシステムのブロック図を示している。 本発明の一実施形態に基づく方法の例示的な実施形態のフローチャートを示している。

Claims (7)

1. 有効データユニットと前記有効データユニットに割り当てられた検査データユニットとを含む揮発性データ記憶装置（２）における停電を検出する方法であって、前記有効データユニットへの読出しアクセスの際に、割り当てられた前記検査データユニットが一緒に読み出され、前記検査データユニットを用いて、有効情報が破損しているか否かが決定される、電力供給の停止を検出する方法において：
   所定回数の連続する読出しアクセスにおいて少なくとも２つの読み出された有効データユニットが破損していると見なされる場合に、停電が確定される（Ｓ２）ことを特徴とする、有効データユニットと前記有効データユニットに割り当てられた検査データユニットとを含む揮発性データ記憶装置（２）内での停電を検出する方法。
2. 前記検査データユニットが、各前記有効データユニットに割り当てられたパリティビットであることを特徴とする、請求項１に記載の方法。
3. 有効情報が破損しているという所見が停電の確定につながらない場合に、破損していると見なされた有効データユニットが、前記検査データユニットを用いて訂正されることを特徴とする、請求項１に記載の方法。
4. データ記憶装置を復旧する方法であって、請求項１〜請求項３のいずれかに記載の方法に基づいて電力供給の停止が検出されている場合に（Ｓ２）、揮発性データ記憶装置の少なくともの１つの部分の有効データユニットが破棄され、前記有効情報が前記揮発性記憶装置の外部にあるソースから復旧される（Ｓ９、Ｓ１０）、データ記憶装置を復旧する方法。
5. 前記有効データユニットの少なくとも１つの部分が、測定データを用いた再計算によって復旧される（Ｓ１０）ことを特徴とする、請求項４に記載の方法。
6. 前記有効データユニットの少なくとも１つの部分が、不揮発性記憶装置からの伝送によって復旧される（Ｓ９）ことを特徴とする、請求項４または請求項５に記載の方法。
7. 破損としていると見なされなかった有効データユニットも復旧されることを特徴とする、請求項４〜請求項６のいずれかに記載の方法。
   

Images