JP2023059860A - 完全性検査を伴うインプレースアーキテクチャの実行 - Google Patents

Abstract

【課題】外部メモリから受信されたコードの完全性を検査するためのシステム、方法および回路を提供する。
【解決手段】コントローラシステム１００は、不揮発性メモリとコントローラとを含む。不揮発性メモリは、プログラムコードに対応する第１のデータを記憶するパーティション１と、第１のデータのコピーに対応する第２のデータを記憶するパーティション２と、を備える。コントローラは、プロセッサ（ＣＰＵ０，ＣＰＵ１）と比較器回路とを含んでいる。比較器回路は、第１のデータの部分と対応する第２のデータの部分とを受信し、第１のデータの部分と第２のデータの部分とを比較し、第１のデータの部分が第２のデータの部分と一致する場合、第１のデータの部分をプロセッサに供給し、第１のデータの部分が第２のデータの部分と一致しない場合、アラーム信号を生成する。
【選択図】図１

Description

本開示は、外部メモリに記憶されている命令を実行するマイクロコントローラユニット（ＭＣＵ）および中央処理ユニット（ＣＰＵ）の分野に関する。

最近の集積回路は、ディープサブミクロン技術を用いて製造されている。これにより、エンベデッド型不揮発性メモリのコストが大幅に増大している。

以下では、単なる例示としてであるが、回路、装置および／または方法のいくつかの実施例を説明する。これに関連して、添付の図面を参照する。

記載の種々の態様による、外部メモリから読み出された命令の完全性を検証する完全性検査回路を有するコントローラを含む例示的なアーキテクチャのブロック図である。 開示の種々の態様による、例示的な比較器回路のブロック図である。 記載の種々の態様による、外部メモリから読み出された命令の完全性を検証する例示的な方法の概要を示すフローチャートである。 記載の種々の態様による、外部メモリから読み出された命令の完全性を検証する別の例示的な方法の概要を示すフローチャートである。 記載の種々の態様による、メモリ内に記憶されている命令を更新する例示的な方法の概要を示すフローチャートである。

安全性に関連するアプリケーションにおいて使用されるコントローラは、誤動作に対する保護のための情報冗長措置を使用している。例えば、自動車安全性および完全性レベルＤ（ＡＳＩＬ－Ｄ）なる等級に認定されるためには、コントローラシステムオンチップ（ＳｏＣ）が、実行されるプログラムコードに対していくつかのタイプの検証措置を含む必要がある。外部メモリから受信した（ＳｏＣに関する）プログラムコードを検証する１つの方法は、プログラムコードを（ＳｏＣに関する）内部スタティックランダムアクセスメモリ（ＳＲＡＭ）にまずコピーすることである。プログラムコードを実行する前に、コントローラは、コピーされたプログラムコードに基づいて誤り検出符号（ＥＤＣ）を計算し、計算されたＥＤＣを、プログラムコードと共に受信された記憶されたＥＤＣに対して検査することができる。ＥＤＣの一例は、巡回冗長検査（ＣＲＣ）符号である。

ＥＤＣを計算するために必要な処理とＥＤＣを記憶するために使用されるメモリとにより、ＥＤＣは、典型的には、プログラムコード全体またはプログラムコードのかなり大きい部分に基づいて計算される。プログラムコードの検証を可能にするには、ＡＳＩＬ－Ｄとして認定されたＳｏＣの内部ＳＲＡＭにコピーされたプログラムコードの部分が、この部分全体をカバーする予め計算されたＥＤＣを有していなければならない。これは、プログラムコード全体またはプログラムコードの大部分が、検証を可能にするために内部ＳＲＡＭにコピーされることを意味する。ＳＲＡＭのコストが高いため、こうした大量のプログラムコードを記憶するのに十分な内部ＳＲＡＭの供給にはコストがかかりうる。１つの解決手段は、プログラムコードの比較的小さい部分に対してＥＤＣを計算することである。しかし、このことは、多数のＥＤＣおよびこうした多数のＥＤＣを記憶したメモリを計算するための付加的な処理を含む。さらに、当該アプローチは、多数のＥＤＣが計算および検査されるので、実行時間レイテンシが追加される。

以下の記述では、プログラムコードがＳｏＣインタフェースによって受信される際に外部に記憶されたプログラムコードの検証を可能にするシステム、方法および回路の概要を述べる。プログラムコードの検証は、ワードごとにまたは他の精細な粒度のベースで実施することができる。

図１には、コントローラＳｏＣ１１０、外部メモリ１２０およびメモリコントローラ１２５を含むコントローラシステム１００の一実施例が示されている。コントローラＳｏＣ１１０は、１つまたは複数のプロセッサ（ＣＰＵ０，ＣＰＵ１）およびシリアルペリフェラルインタフェース（ＳＰＩ）１３０を含んでいる。ＳＰＩ１３０は、外部メモリ１２０へデータを送信し、また外部メモリ１２０からデータを受信するように構成されている。一実施例では、ＳＰＩ１３０は、データを１回に１ワードずつ送受信する。上述したシステムではＳＰＩがインタフェースとして使用されているが、外部メモリ１２０へのデータの小部分の読み出しおよび書き込みに用いることができるものであれば、任意のタイプのインタフェースを使用することができる。

コントローラＳｏＣ１１０は、ＳＰＩ１３０により受信されたプログラムコードデータを検証する完全性検査回路１４０も含む。完全性検査回路１４０の動作については以下により詳細に説明する。

外部メモリ１２０は、プログラムコードに対応する第１のデータを記憶する第１のパーティション１２２を含むように構成されている。外部メモリ１２０は、プログラムコードのコピーに対応する第２のデータを記憶する第２のパーティション１２４を含むように構成されている。ここでの説明の目的で、「パーティション」なる用語は、所定のデータセット（例えば、第１のデータ、第２のデータ、ＥＤＣなど）を記憶するように設計された、メモリ媒体の予め定められたまたは割り当てられたいずれかの部分を含むものと解釈されたい。一例では、パーティションは、不揮発性メモリ内の物理セクタであってよい。

「コピー」なる用語は、第１のデータから導出され、第１のデータの検証および復元に使用可能なデータを広く意味するものと解釈されたい。したがって、第２のデータは、第１のデータの正確な複製とすることができる。他の例では、第２のデータは、第１のデータの反転コピーに対応する。他の例では、第２のデータは、第１のデータの検証および復元に使用可能な第１のデータの他のバージョンに対応する。

外部メモリの第３のパーティション１２６は、第１のパーティション１２２に記憶されたプログラムコードに対して計算されたＥＤＣ（例えばＣＲＣ）を記憶する。第３のパーティション１２６はまた、コントローラＳｏＣ１１０によって実行される際に、自身に記憶されたＥＤＣを使用して、第１のパーティション１２２に記憶されたプログラムコードの完全性を検証させるための修復符号を記憶することもできる。外部メモリの第４のパーティション１２８は、第２のパーティション１２４に記憶されたプログラムコードのコピーに対して計算されたＥＤＣ（例えばＣＲＣ）を記憶する。第４のパーティション１２８はまた、コントローラＳｏＣによって実行される際に、自身に記憶されたＥＤＣを使用して、第２のパーティション１２４に記憶されたプログラムコードのコピーの完全性を検証させるための修復符号を記憶することもできる。いくつかの実施例では、第１のパーティション、第２のパーティション、第３のパーティションおよび第４のパーティションは、重なっておらず、これにより領域的に集中するメモリエラーが分離される。

完全性検査回路１４０は、比較器回路１５０および修復回路１６０を含む。比較器回路１５０は、ロックステップコンパレータであってよい。比較器回路は、ＳＰＩ１３０を介して、第１のパーティション１２２に記憶された第１のデータの部分（例えばワード）を受信するように構成されている。また、比較器回路１５０は、ＳＰＩ１３０を介して、第２のパーティション１２４に記憶された第２のデータの部分（例えばワード）も受信するようにも構成されている。受信された第２のデータの部分は、受信された第１のデータの部分に対応する。一実施例では、受信された第２のデータの部分が第１のデータの部分に対応するとは、第２のパーティション内の、第１のデータの部分が第１のパーティション内に配置されているのと同じ相対位置に、受信された第２のデータの部分が配置されることを意味する。換言すれば、第１のデータの部分に対応する第２のデータの部分は、破損がない場合、第１のデータの部分が破損していなければ当該第１のデータの部分のコピーとなる。

比較器回路１５０は、第１のデータの部分と第２のデータの部分とを比較し、各部分が一致する場合、第１のデータ（または第２のデータ）をプロセッサＣＰＵ０，ＣＰＵ１に実行のために供給する。本説明の目的において、「一致する」なる用語は、受信された第２のデータの部分が受信された第１のデータの部分と整合しているか、またはそれ以外の形式で受信された第１のデータの部分と同等であると決定されたことを意味するものとして広義に解釈されたい。一実施例では、受信された部分は、各部分内の対応する各ビットが一致する場合に一致するものとされる。別の実施例では、受信された部分は、対応するビットの各対が反対の部分である場合（例えば、第２のデータが第１のデータの反転コピーである場合）に一致するものとされる。

図２には、ロックステップ比較技術を用いて実装される例示的な比較器回路２５０が示されている。比較器回路２５０は、２つのロックされたＣＰＵ出力、すなわちパーティション１２２での読み出し動作の出力とパーティション１２４での読み出し動作の出力とを比較する比較ロジック２７０を含んでいる。一実施例では、比較ロジック２７０は、（例えば、パーティション１２４がパーティション１２２のデータの複製を記憶している場合）ＸＯＲ演算を実施することができる。別の実施例では、比較ロジック２７０は、（例えば、パーティション１２４がパーティション１２２のデータの反転コピーを記憶している場合）ＸＮＯＲ演算を実施することができる。比較ロジック２７０は、２つのロックされた読み出し動作の出力が一致しない場合、アラーム信号を出力する。比較ロジック２７０は、２つのロックされた読み出し動作の出力が一致しない場合、修復回路１６０をトリガすることもできる。

再び図１を参照すると、第１のデータの部分と第２のデータの部分とが一致しない場合、比較器回路１５０は、外部メモリ１２０からプロセッサへのプログラムコードの転送にエラーがあることを示すアラーム信号を生成する。このように、比較器回路１５０は、受信された第１のデータの部分と受信された第２のデータの部分との比較に基づいて、受信されたプログラムコードの完全性をリアルタイムで検証する。受信された第１のデータの部分と受信された第２のデータの部分とが一致する場合、実行時間レイテンシは導入されない。受信された第１のデータの部分と受信された第２のデータの部分とが一致しない場合、比較器回路１５０はアラーム信号を生成し、これにより破損している可能性があるプログラムコードがプロセッサによって実行されることを防止する措置を講じることができるようにする。一実施例では、アラーム信号はインタラプト信号である。

当該アラーム信号は、コントローラシステム１００内の任意の数の動作をトリガすることができる。例えば、当該アラーム信号は、コントローラシステム１００に対して、第１のパーティション１２２または第２のパーティション１２４内の破損したデータの診断および修復を試みるための何らかのアクションを起こさせることができる。一実施例では、当該アラーム信号は、第３のパーティション１２６および第４のパーティション１２８にそれぞれ記憶されたＥＤＣに基づいて、第１のパーティション１２２内の第１のデータと第２のパーティション１２４内の第２のデータとに対してＥＤＣ検査を実行することを含む修復ルーチンが実行されるように、メモリコントローラ１２５をトリガする。第１のデータまたは第２のデータのうちの一方がＥＤＣ検査に失敗し（例えば破損しており）、第１のデータまたは第２のデータのうちの他方がＥＤＣ検査に合格した（例えば破損していない）場合、修復ルーチンは、破損した第１のデータもしくは第２のデータを、破損していない第１のデータもしくは第２のデータのコピーと交換し、破損していない第１のデータもしくは第２のデータのコピーに対するＥＤＣを計算し、記憶することを含む。

図示の実施例では、比較器回路１５０がアラーム信号を生成すると、比較器回路はさらに、コントローラＳｏＣ１１０に修復ルーチンを実行させるように修復回路１６０をトリガする。修復回路１６０は、第３のパーティション１２６から修復符号または修復命令をフェッチする。修復符号は、プロセッサＣＰＵ０，ＣＰＵ１により実行される際に修復ルーチンを実行するためのものである。修復回路１６０は、第１のデータに対するＥＤＣを第３のパーティション１２６からフェッチする。プロセッサＣＰＵ０，ＣＰＵ１は、ＳＰＩ１３０を介して第１のデータを読み出し、第１のデータに対するＥＤＣを計算するために、修復符号を実行する。計算されたＥＤＣは、第３のパーティション１２６に記憶されていたＥＤＣと比較され、第１のデータが破損しているかどうかが決定される。修復回路１６０は、第２のデータに対する修復符号およびＥＤＣを第４のパーティション１２８からフェッチする。プロセッサＣＰＵ０，ＣＰＵ１は、ＳＰＩ１３０を介して第２のデータを読み出し、第２のデータに対するＥＤＣを計算するために修復符号を実行する。計算されたＥＤＣは、第４のパーティション１２８に記憶されていたＥＤＣと比較され、第２のデータが破損しているかどうかが決定される。

第１のデータまたは第２のデータのうちの一方のみが破損している場合、修復回路１６０は、破損している第１のデータもしくは第２のデータを、破損していない第１のデータもしくは第２のデータのコピーと交換させる。修復回路１６０、ＣＰＵ０／ＣＰＵ１、またはメモリコントローラ１２５は、破損していない第１のデータもしくは第２のデータのコピーに対するＥＤＣを計算して記憶する。その後、プログラムコードの実行を、修復を行わずに再開することができる。

いくつかの実施例では、修復符号は、外部メモリ１２０ではなく、コントローラＳｏＣ１１０内のＳＲＡＭに記憶されている。いくつかの実施例では、修復符号は第３のパーティション１２６内に記憶されており、修復符号のコピーは第４のパーティション１２８内に記憶されており、比較器回路１５０は、修復符号の実行前にコピー間で修復符号プログラムデータを比較することにより、修復符号の完全性を検証するために使用される。

修復ルーチンにより、第１のデータも第２のデータも破損していないと決定された場合、修復ルーチンは障害が一時的なものであると見なすことができ、プログラムコードの実行を続行することができる。アラーム信号は終了されてよい。

いくつかの実施例では、アラーム信号を生成することに加えて、比較器回路１５０が、潜在的に破損したデータがプロセッサに供給されることを防止するための確認アクションを行うこともできる。

ＥＤＣを使用した第１のデータおよび第２のデータの検証は、第１のデータと第２のデータとの間の不一致に応じてのみ実行されることが理解されよう。これは、第１のデータまたは第２のデータのいずれかが破損していると思われる場合を除いて、実行時間レイテンシがＥＤＣ検査のパフォーマンスの影響を受けないことを意味する。

いくつかの態様では、本明細書に記載するコード検証技術は、ソフトウェアオーバーザエア（ＳＯＴＡ）更新の実現のために使用される既存のメモリパーティショニングスキーマを活用することができる。ＳＯＴＡを実現するには、オペレーティングコードを記憶したメモリが少なくとも２つのパーティション（例えばパーティション１２２，１２４）を含むように構成される。第１のパーティションは使用されているオペレーティングコードのバージョンを記憶し、これに対して第２のパーティションはコードの直前のバージョンを記憶する。ＳＯＴＡ更新の際に新しいプログラムコードが受信された場合、メモリコントローラ１２５が、当該プログラムコードの直前のバージョンを記憶している第２のパーティションに、新しいプログラムコードに対応する新しい第１のデータを記憶する。メモリコントローラは、記憶された新しい第１のデータに対するＥＤＣを計算し、計算されたＥＤＣと受信されたＥＤＣとを比較する。計算されたＥＤＣが受信されたＥＤＣと一致する場合、メモリコントローラ１２５は、当該ＥＤＣを（例えば、第３のパーティション１２６または第４のパーティション１２８のいずれかに）記憶する。この時点で、ＳｏＣは、第２のパーティションに記憶されている新しいプログラムコードに基づいて動作を開始する。第１のパーティションは、プログラムコードの以前のバージョンに動作を戻すことが望ましい場合、ここで直前のバージョンであるプログラムコードの記憶を続行する。

本明細書に記載するコード検証技術を実現するために、こうした２つのパーティションスキーマを使用することができ、これにより、ＳＯＴＡ更新において受信されたプログラムコードの検証後に、検証されたプログラムコードのコピーを他のパーティションに記憶することができる。これは、一方のパーティションにプログラムコードの現在のバージョンを記憶して、他方のパーティションにプログラムコードの以前のバージョンを記憶するのではなく、両方のパーティションにプログラムコードの現在のバージョンを記憶することを意味する。したがって、ＳＯＴＡ更新プロセスは、次のように更新されうる。

メモリコントローラ１２５が、第１のデータをコピーして第２のデータを生成する。メモリコントローラ１２５は、第２のデータを第２のパーティション１２４に記憶し、記憶された第２のデータに対する第２のＥＤＣを計算する。記憶された第２のデータに対して計算されたＥＤＣが第１のデータに対するＥＤＣと一致する場合、メモリコントローラは当該ＥＤＣを第４のパーティション１２８に記憶する。

第１のデータのコピーが反転コピーである場合、反転を行った後、書き込みデータに対するターゲットＥＤＣが計算される。書き込みデータが第２のパーティション１２４に記憶された後、データが第２のパーティションから読み戻され、読み戻されたデータに対してＥＤＣが計算可能となる。計算されたＥＤＣがターゲットＥＤＣと一致する場合、第２のデータが確認される。

上記の説明から、説明した解決手段により、プログラムコードおよびプログラムコードのコピーを記憶した未修正の外部メモリが、ＳｏＣによる実行のためにフェッチされたプログラムコードのリアルタイム検証をサポート可能となることが理解されよう。説明した解決手段は、プログラムフェッチパスにおけるアクセスペナルティなしに、診断カバレッジもサポートすることができる。

例示的な方法の概要を示すいくつかのフローチャートを以下に示す。本明細書および添付の特許請求の範囲では、方法のステップまたは機能を説明する際の何らかのエンティティ（例えば、パラメータ、変数など）についての「決定する」なる用語の使用は広義に解釈されるべきである。例えば「決定する」とは、例えば、エンティティまたはエンティティの値を符号化した通信を受信して解析することを包含すると解釈されるべきである。「決定する」とは、エンティティまたはエンティティの値を記憶したメモリ（例えば、ルックアップテーブル、レジスタ、デバイスメモリ、リモートメモリなど）のアクセスおよび読み出しを包含すると解釈されるべきである。「決定する」とは、他のエンティティまたは他の量に基づいてエンティティまたはエンティティの値を計算もしくは導出することを包含すると解されるべきである。「決定する」とは、エンティティまたはエンティティの値を推定もしくは識別する任意の方式を包含すると解釈されるべきである。

本明細書において使用されるように、何らかのエンティティまたはエンティティの値に関して使用される「識別する」なる用語は、エンティティまたはエンティティの値を決定する任意の方式を包含すると広義に解されるべきである。例えば、「識別する」なる用語は、例えばエンティティまたはエンティティの値を符号化した通信を受信および解析することを包含すると解釈されるべきである。「識別する」なる語は、エンティティまたはエンティティの値を記憶したメモリ（例えば、デバイスキュー、ルックアップテーブル、レジスタ、デバイスメモリ、リモートメモリなど）へのアクセスおよび読み出しを包含すると解すべきである。

図３は、外部メモリからフェッチされたプログラムコードを検証するための例示的な方法３００の概要を示すフローチャートである。方法は、例えば、図１の完全性検査回路１４０によって実行されうる。方法は、３１０において、外部メモリの第１のパーティションから第１のデータの部分を受信することを含む。第１のデータはプログラムコードに対応する。方法は、３２０において、外部メモリの第２のパーティションから、第１のデータのコピーに対応する第２のデータの対応する部分を受信することを含む。第１のデータの部分および第２のデータの部分は例えばワードであってよい。第２のデータは第１のデータの反転コピーであってよい。

方法は、３３０において、第１のデータの部分と第２のデータの部分とを比較することを含む。３４０において、第１のデータの部分が第２のデータの部分と一致する場合、３５０において、第１のデータの部分が１つまたは複数のプロセッサに実行のために供給される。３６０において、第１のデータの部分が第２のデータの部分と一致しない場合、アラーム信号が生成される。アラーム信号は、例えばＣＰＵ１およびＣＰＵ２の動作を停止させるインタラプト信号であってよい。

図４は、外部メモリからフェッチされたプログラムコードを検証するための例示的な方法４００の概要を示すフローチャートである。方法は、例えば図１の完全性検査回路１４０によって実行されうる。方法は、４１０において、外部メモリの第１のパーティションから第１のデータの部分を受信することを含む。第１のデータはプログラムコードに対応する。方法は、４２０において、外部メモリの第２のパーティションから、第１のデータのコピーに対応する第２のデータの対応する部分を受信することを含む。第１のデータの部分および第２のデータの部分は例えばワードであってよい。第２のデータは第１のデータの反転コピーであってよい。

方法は、４３０において、第１のデータの部分と第２のデータの部分とを比較することを含む。４４０において、第１のデータの部分が第２のデータの部分と一致する場合、４５０において、第１のデータの部分が１つまたは複数のプロセッサに実行のために供給される。４６０において、第１のデータの部分が第２のデータの部分と一致しない場合、アラーム信号が生成される。４７０では、第１のデータの部分も第２のデータの部分も１つまたは複数のプロセッサに供給されない。したがって、方法４００では、アラーム信号の生成に加えて、方法が、潜在的に破損したデータの部分が１つまたは複数のプロセッサに供給されることを防止するための付加的な確認アクションを含む。

一実施例では、方法３００または方法４００は、アラーム信号の受信に応答して実施される次のようなアクションを含む。外部メモリの第３のパーティションから第１の誤り検出符号がフェッチされ、外部メモリの第４のパーティションから第２の誤り検出符号がフェッチされる。第１のデータが第１の誤り検出符号を用いて検証され、第２のデータが第２の誤り検出符号を用いて検証される。方法は、第１のデータまたは第２のデータのうちの一方が破損したデータであり、かつ第１のデータまたは第２のデータのうちの他方が破損していないデータである場合に、破損していないデータに基づいて破損したデータを修復することを含む。いくつかの実施例では、方法は、外部メモリから修復命令をフェッチし、第１のデータおよび第２のデータを検証して破損したデータを修復するために、修復符号を実行することを含む。

図５は、不揮発性メモリに記憶されたプログラムコードを更新するための例示的な方法５００の概要を示すフローチャートである。方法は、例えば図１のメモリコントローラ１２５によって実行可能である。方法は、５１０において、プログラムコードに対応する第１のデータと第１のデータに対する第１の誤り検出符号とを含む更新命令を受信することを含む。方法は、５２０において、第１のデータを不揮発性メモリの第１のパーティションに記憶することを含む。方法は、５３０において、第１の誤り検出符号を不揮発性メモリの第２のパーティションに記憶することを含む。

方法は、５４０において、第１の誤り検出符号を用いて第１のデータを検証することを含む。第１のデータの検証が成功した場合、方法は、５５０において、第１のデータのコピーに対応する第２のデータを生成することを含む。５６０において、第２のデータが不揮発性メモリの第３のパーティションに記憶される。５７０において、第２のデータに対する第２の誤り検出符号が計算される。方法は、５８０において、第２の誤り検出符号を不揮発性メモリの第４のパーティションに記憶することを含む。一実施例では、第１のパーティション、第２のパーティション、第３のパーティションおよび第４のパーティションは、重ならない。

上記の説明から、説明したシステム、方法および回路が、プログラムコードの実行時間の検証および完全性検査を、フェッチパスにおける最小のレイテンシおよびオンチップメモリリソースへの最小限の影響でサポートすることが理解されよう。記載したシステム、方法および回路は、破損したプログラムコードの修復もサポートすることができる。

本発明を１つまたは複数の実現形態に関して図示および説明してきたが、添付の特許請求の範囲の趣旨および範囲から逸脱することなく、図示の実施例に対する変更および／または修正を行うことができる。特に、上述した構成要素または構造（アセンブリ、デバイス、回路、回路装置、システムなど）によって実行される種々の機能に関して、これらの構成要素の説明に使用される用語（「手段」との言及を含む）は、別段の指示がない限り、本明細書に示した発明の例示的な実現形態の機能を実行する開示の構造と構造的に等しくなくても、記載した（例えば機能的に等価の）構成要素の規定した機能を実行する任意の構成要素または構造に対応することが意図されている。

実施例は、方法、方法のアクションもしくはブロックを実行する手段、機械によって実行される際にこの機械に本明細書に記載した実施形態および実施例に従って用途に対するグループについての安全管理を行わせるための命令を含む、少なくとも１つの機械可読媒体などの主題を含むことができる。

実施例１は、不揮発性メモリとコントローラとを備えたシステムである。不揮発性メモリは、プログラムコードに対応する第１のデータを記憶するように構成された第１のパーティションと、第１のデータのコピーに対応する第２のデータを記憶するように構成された第２のパーティションと、を含む。コントローラは、プログラムコードを実行するように構成された１つまたは複数のプロセッサと、比較器回路と、を含む。比較器回路は、第１のデータの部分および対応する第２のデータの部分を受信し、第１のデータの部分と第２のデータの部分とを比較し、第１のデータの部分が第２のデータの部分と一致する場合、第１のデータの部分を１つまたは複数のプロセッサに供給し、第１のデータの部分が第２のデータの部分と一致しない場合、アラーム信号を生成するように構成されている。

実施例２は、任意手段としての要素を含むかまたはこれを省略した実施例１の主題を含み、ここでは、第２のデータが第１のデータの反転コピーを含む。

実施例３は、任意手段としての要素を含むかまたはこれを省略した実施例１の主題を含み、ここでは、不揮発性メモリが、第１のデータに対して計算された第１の誤り検出符号と、第２のデータに対して計算された第２の誤り検出符号とを記憶するように構成されており、コントローラは修復回路を備えており、修復回路は、アラーム信号を受信し、当該アラーム信号に応答して、第１の誤り検出符号を使用して第１のデータを検証し、第２の誤り検出符号を使用して第２のデータを検証し、第１のデータの検証と第２のデータの検証とに基づいて、第１のデータまたは第２のデータのうちの一方が破損したデータであり、第１のデータまたは第２のデータのうちの他方が破損していないデータであることを決定し、破損していないデータに基づいて破損したデータを修復するように構成されている。

実施例４は、任意手段としての要素を含むかまたはこれを省略した実施例３の主題を含み、ここでは、第１の誤り検出符号は巡回冗長検査（ＣＲＣ）符号を含み、第２の誤り検出符号は巡回冗長検査（ＣＲＣ）符号を含む。

実施例５は、任意手段としての要素を含むかまたはこれを省略した実施例３の主題を含み、ここでは、第１の誤り検出符号は不揮発性メモリの第３のパーティションに記憶されており、第２の誤り検出符号は不揮発性メモリの第４のパーティションに記憶されており、第１のパーティション、第２のパーティション、第３のパーティションおよび第４のパーティションは重ならない。

実施例６は、任意手段としての要素を含むかまたはこれを省略した実施例５の主題を含み、ここでは、不揮発性メモリが、第３のデータ符号化の修復符号を記憶しており、修復回路は、アラーム信号を受信したことに応答して、第３のデータを不揮発性メモリからフェッチし、第３のデータによって符号化された修復符号を実行して第１のデータおよび第２のデータを検証し、破損したデータを修復するように構成されている。

実施例７は、任意手段としての要素を含むかまたはこれを省略した実施例６の主題を含み、ここでは、不揮発性メモリが、第３のデータのコピーに対応する第４のデータを記憶しており、比較器回路は、第３のデータの部分および第４のデータの対応する部分を受信し、第３のデータの部分と第４のデータの部分とを比較し、第３のデータの部分が第４のデータの部分と一致する場合、第３のデータの部分を修復回路に供給し、第３のデータの部分が第４のデータの部分と一致しない場合、アラーム信号を生成し、修復回路への第３のデータの部分または第４のデータの部分の供給を抑止するように構成されている。

実施例８は、任意手段としての要素を含むかまたはこれを省略した実施例１の主題を含み、ここでは、比較器回路がさらに、第１のデータの部分が第２のデータの部分に一致しない場合、１つまたは複数のプロセッサへの第１のデータの部分または第２のデータの部分の供給を抑止するように構成されている。

実施例９は、不揮発性メモリを更新する方法であって、プログラムコードに対応する第１のデータと当該第１のデータに対する第１の誤り検出符号とを含む更新命令を受信することと、第１のデータを不揮発性メモリの第１のパーティションに記憶することと、第１の誤り検出符号を不揮発性メモリの第２のパーティションに記憶することと、第１の誤り検出符号を用いて第１のデータを検証することと、第１のデータの検証が成功した場合、第１のデータのコピーに対応する第２のデータを生成し、第２のデータを不揮発性メモリの第３のパーティションに記憶し、第２のデータに対する第２の誤り検出符号を計算し、第２の誤り検出符号を不揮発性メモリの第４のパーティションに記憶することと、を含む。

実施例１０は、任意手段としての要素を含むかまたはこれを省略した実施例９の主題を含み、ここでは、誤り検出符号が巡回冗長検査（ＣＲＣ）符号を含む。

実施例１１は、任意手段としての要素を含むかまたはこれを省略した実施例９の主題を含み、ここでは、第２のデータが第１のデータの反転コピーを含む。

実施例１２は、任意手段としての要素を含むかまたはこれを省略した実施例９の主題を含み、ここでは、第１のパーティション、第２のパーティション、第３のパーティションおよび第４のパーティションが重ならない。

実施例１３は、システムオンチップであって、プログラムコードを実行するように構成された１つまたは複数のプロセッサと、比較器回路とを備える。比較器回路は、外部メモリの第１のパーティションから、プログラムコードに対応する第１のデータの部分を受信し、外部メモリの第２のパーティションから、第１のデータのコピーに対応する第２のデータの対応する部分を受信し、第１のデータの部分と第２のデータの部分とを比較し、第１のデータの部分が第２のデータの部分と一致する場合、第１のデータの部分を１つまたは複数のプロセッサに供給し、第１のデータの部分が第２のデータの部分と一致しない場合、アラーム信号を生成する、ように構成されている。

実施例１４は、任意手段としての要素を含むかまたはこれを省略した実施例１３の主題を含み、ここでは、第２のデータが第１のデータの反転コピーを含む。

実施例１５は、任意手段としての要素を含むかまたはこれを省略した実施例１３の主題を含み、ここでは、システムオンチップは、修復回路をさらに備え、修復回路は、アラーム信号を受信し、これに応答して、外部メモリの第３のパーティションに記憶されている第１の誤り検出符号をフェッチし、外部メモリの第４のパーティションに記憶されている第２の誤り検出符号をフェッチし、第１の誤り検出符号を用いて第１のデータを検証し、第２の誤り検出符号を用いて第２のデータを検証し、第１のデータの検証と第２のデータの検証とに基づいて第１のデータまたは第２のデータのうちの一方が破損したデータであり、第１のデータまたは第２のデータのうちの他方が破損していないデータであることを決定し、破損していないデータに基づいて破損したデータを修復する、ように構成されている。

実施例１６は、任意手段としての要素を含むかまたはこれを省略した実施例１５の主題を含み、ここでは、第１の誤り検出符号が巡回冗長検査（ＣＲＣ）符号を含み、第２の誤り検出符号が巡回冗長検査（ＣＲＣ）符号を含む。

実施例１７は、任意手段としての要素を含むかまたはこれを省略した実施例１５の主題を含み、ここでは、第１のパーティション、第２のパーティション、第３のパーティションおよび第４のパーティションが重ならない。

実施例１８は、任意手段としての要素を含むかまたはこれを省略した実施例１５の主題を含み、ここでは、修復回路は、アラーム信号の受信に応答して、外部メモリから修復符号をフェッチし、修復符号を実行して第１のデータおよび第２のデータを検証し、破損したデータを修復する、ように構成されている。

実施例１９は、方法であって、外部メモリの第１のパーティションから、プログラムコードに対応する第１のデータの部分を受信することと、外部メモリの第２のパーティションから、第１のデータのコピーに対応する第２のデータの対応する部分を受信することと、第１のデータの部分と第２のデータの部分とを比較することと、第１のデータの部分が第２のデータの部分と一致する場合、第１のデータの部分を実行のために１つまたは複数のプロセッサに供給することと、第１のデータの部分が第２のデータの部分と一致しない場合、アラーム信号を生成することと、を含む。

実施例２０は、任意手段としての要素を含むかまたはこれを省略した実施例１９の主題を含み、ここでは、第２のデータが第１のデータの反転コピーを含む。

実施例２１は、任意手段としての要素を含むかまたはこれを省略した実施例１９の主題を含み、ここでは、方法が、さらに、アラーム信号を受信することと、これに応答して、外部メモリの第３のパーティションに記憶されている第１の誤り検出符号をフェッチすることと、外部メモリの第４のパーティションに記憶されている第２の誤り検出符号をフェッチすることと、第１の誤り検出符号を用いて第１のデータを検証することと、第２の誤り検出符号を用いて第２のデータを検証することと、第１のデータの検証と第２のデータの検証とに基づいて、第１のデータまたは第２のデータのうちの一方が破損したデータであり、第１のデータまたは第２のデータのうちの他方が破損していないデータであることを決定することと、破損していないデータに基づいて破損したデータを修復することと、を含む。

実施例２２は、任意手段としての要素を含むかまたはこれを省略した実施例２１の主題を含み、ここでは、第１の誤り検出符号が巡回冗長検査（ＣＲＣ）符号を含み、第２の誤り検出符号が巡回冗長検査（ＣＲＣ）符号を含む。

実施例２３は、任意手段としての要素を含むかまたはこれを省略した実施例２１の主題を含み、ここでは、方法が、さらに、アラーム信号の受信に応答して、外部メモリから修復符号をフェッチし、修復符号を実行して第１のデータおよび第２のデータを検証し、破損したデータを修復することを含む。

実施例２４は、任意手段としての要素を含むかまたはこれを省略した実施例１９の主題を含み、ここでは、方法は、第１のデータの部分が第２のデータの部分に一致しない場合、１つまたは複数のプロセッサへの第１のデータの部分または第２のデータの部分の供給を抑止することをさらに含む。

１つまたは複数の実現形態の前述の説明は例示および説明を提供するものであるが、網羅的であることまたは例示的な実施形態の範囲を開示の精密な形態に限定することを意図したものではない。上記の教説に照らして修正形態および変更形態が可能であり、または例示的な実施形態の様々な実現形態の実施から修正形態および変更形態が得られる。

本明細書に開示した態様に関連して説明した様々な例示的なロジック、論理ブロック、モジュール、回路および回路装置は、本明細書に記載した機能を実行するために設計された、汎用プロセッサ、デジタルシグナルプロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、または他のプログラマブルロジックデバイス、離散ゲートまたはトランジスタロジック、離散ハードウェアコンポーネント、またはこれらの任意の組み合わせによって実装または実行することができる。汎用プロセッサはマイクロプロセッサであってよいが、代替的に、プロセッサが任意の従来のプロセッサ、コントローラ、マイクロコントローラ、またはステートマシンであってもよい。

本開示では、全体を通して同様の要素を指すために同様の参照符号が使用されており、図示の構造および装置は必ずしも一定の縮尺で描かれているわけではない。本明細書で使用される場合、「モジュール」、「構成要素」、「システム」、「回路」、「回路装置」、「要素」、「スライス」などの用語は、コンピュータに関連するエンティティ、ハードウェア、（例えば、実行中の）ソフトウェアおよび／またはファームウェアを指すことが意図されている。例えば、回路または類似の用語は、プロセッサ、プロセッサ上で実行されるプロセス、コントローラ、オブジェクト、実行可能プログラム、記憶装置および／または処理装置を備えたコンピュータとすることができる。図示を用いると、サーバ上で実行されるアプリケーションおよびサーバは、回路であってもよい。１つまたは複数の回路をプロセス内に設けることができ、回路を１つのコンピュータ上にローカルに設け、かつ／または２つ以上のコンピュータ間に分散させることもできる。要素のセットまたは他の回路のセットについても本明細書に記載したところがあるが、「セット」なる用語は「１つまたは複数」と解釈することができる。

別の例として、回路または類似の用語は、電気回路または電子回路によって動作する機械部品によって提供される特定の機能を有する装置であることができ、ここでの電気回路または電子回路は、１つまたは複数のプロセッサによって実行されるソフトウェアアプリケーションまたはファームウェアアプリケーションによって動作可能である。１つまたは複数のプロセッサは装置の内部にあっても外部にあってもよく、ソフトウェアアプリケーションまたはファームウェアアプリケーションの少なくとも一部を実行することができる。さらに別の例として、回路は、機械部品を有していない電子部品によって特定の機能を提供する装置であってもよく、電子部品は、その機能を少なくとも部分的に提供するソフトウェアおよび／またはファームウェアを実行するための、フィールドゲート、論理コンポーネント、ハードウェア符号化ロジック、レジスタ転送ロジック、内部の１つまたは複数のプロセッサを含むことができる。

「例」なる語の使用は、具体的な方法で概念を提示することを意図する。本明細書で使用した用語は、特定の実施例を説明するためのものに過ぎず、各実施例の限定を意図したものではない。本明細書で使用される単数形「ある」、「１つの」は、文脈からそうでないとの明示的な指示がない限り、複数形も含むことが意図されている。さらに、「含む」、「含んでいる」、「備える」および／または「備えている」なる用語は、本明細書で使用される場合、記載されている特徴、整数、ステップ、操作、要素および／または構成要素の存在を規定しているが、１つまたは複数の他の特徴、整数、ステップ、操作、要素、構成要素および／またはこれらのグループの存在または追加を排除しないことが理解されるであろう。本明細書で使用される場合、「または」なる用語は、当該「または」なる語により関連する全ての要素の選択肢を含む。例えば、ＡまたはＢは、Ａのみ、Ｂのみ、ならびにＡおよびＢの両方を含むと解釈されるべきである。さらに、Ａ、ＢまたはＣに続く「～のうちの１つまたは複数」という語句は、Ａ、Ｂ、Ｃ、ＡＢ、ＡＣ、ＢＣおよびＡＢＣを含むと解釈されるべきである。

Claims (24)

1. 不揮発性メモリおよびコントローラを備えたシステムであって、
   前記不揮発性メモリは、
   プログラムコードに対応する第１のデータを記憶するように構成された第１のパーティションと、
   前記第１のデータのコピーに対応する第２のデータを記憶するように構成された第２のパーティションと、
   を含み、
   前記コントローラは、
   前記プログラムコードを実行するように構成された１つまたは複数のプロセッサと、
   比較器回路と
   を含み、
   前記比較器回路は、
   第１のデータの部分および対応する第２のデータの部分を受信し、
   前記第１のデータの部分と前記第２のデータの部分とを比較し、
   前記第１のデータの部分が前記第２のデータの部分と一致する場合、前記第１のデータの部分を前記１つまたは複数のプロセッサに供給し、
   前記第１のデータの部分が前記第２のデータの部分と一致しない場合、アラーム信号を生成する、
   ように構成されている、
   システム。
2. 前記第２のデータは、前記第１のデータの反転コピーを含む、
   請求項１記載のシステム。
3. 前記不揮発性メモリは、前記第１のデータに対して計算された第１の誤り検出符号と、前記第２のデータに対して計算された第２の誤り検出符号と、を記憶するように構成されており、
   前記コントローラは、修復回路を備えており、前記修復回路は、
   前記アラーム信号を受信し、
   前記アラーム信号に応答して、前記第１の誤り検出符号を使用して前記第１のデータを検証し、前記第２の誤り検出符号を使用して前記第２のデータを検証し、
   前記第１のデータの検証と前記第２のデータの検証とに基づいて、前記第１のデータまたは前記第２のデータのうちの一方が破損したデータであり、前記第１のデータまたは前記第２のデータのうちの他方が破損していないデータであることを決定し、
   前記破損していないデータに基づいて前記破損したデータを修復する、
   ように構成されている、
   請求項１記載のシステム。
4. 前記第１の誤り検出符号は、巡回冗長検査（ＣＲＣ）符号を含み、
   前記第２の誤り検出符号は、巡回冗長検査（ＣＲＣ）符号を含む、
   請求項３記載のシステム。
5. 前記第１の誤り検出符号は、前記不揮発性メモリの第３のパーティションに記憶されており、前記第２の誤り検出符号は、前記不揮発性メモリの第４のパーティションに記憶されており、前記第１のパーティション、前記第２のパーティション、前記第３のパーティションおよび前記第４のパーティションは、重ならない、
   請求項３記載のシステム。
6. 前記不揮発性メモリは、第３のデータ符号化の修復符号を記憶しており、
   前記修復回路は、前記アラーム信号を受信したことに応答して、
   第３のデータを前記不揮発性メモリからフェッチし、
   前記第３のデータによって符号化された前記修復符号を実行して前記第１のデータおよび前記第２のデータを検証し、前記破損したデータを修復する、
   ように構成されている、
   請求項５記載のシステム。
7. 前記不揮発性メモリは、前記第３のデータのコピーに対応する第４のデータを記憶しており、
   前記比較器回路は、
   前記第３のデータの部分および対応する前記第４のデータの部分を受信し、
   前記第３のデータの部分と前記第４のデータの部分とを比較し、
   前記第３のデータの部分が前記第４のデータの部分と一致する場合、前記第３のデータの部分を前記修復回路に供給し、
   前記第３のデータの部分が前記第４のデータの部分と一致しない場合、アラーム信号を生成し、前記修復回路への前記第３のデータの部分または前記第４のデータの部分の供給を抑止する、
   ように構成されている、
   請求項６記載のシステム。
8. 前記比較器回路は、前記第１のデータの部分が前記第２のデータの部分に一致しない場合、前記１つまたは複数のプロセッサへの前記第１のデータの部分または前記第２のデータの部分の供給を抑止するようにさらに構成されている、
   請求項１記載のシステム。
9. 不揮発性メモリを更新する方法であって、前記方法は、
   プログラムコードに対応する第１のデータと前記第１のデータに対する第１の誤り検出符号とを含む更新命令を受信するステップと、
   前記第１のデータを前記不揮発性メモリの第１のパーティションに記憶するステップと、
   前記第１の誤り検出符号を前記不揮発性メモリの第２のパーティションに記憶するステップと、
   前記第１の誤り検出符号を用いて前記第１のデータを検証するステップと、
   前記第１のデータの検証が成功した場合、
   前記第１のデータのコピーに対応する第２のデータを生成し、
   前記第２のデータを前記不揮発性メモリの第３のパーティションに記憶し、
   前記第２のデータに対する第２の誤り検出符号を計算し、
   前記第２の誤り検出符号を前記不揮発性メモリの第４のパーティションに記憶するステップと、
   を含む方法。
10. 前記誤り検出符号は、巡回冗長検査（ＣＲＣ）符号を含む、
    請求項９記載の方法。
11. 前記第２のデータは、前記第１のデータの反転コピーを含む、
    請求項９記載の方法。
12. 前記第１のパーティション、前記第２のパーティション、前記第３のパーティションおよび前記第４のパーティションは、重ならない、
    請求項９記載の方法。
13. システムオンチップであって、前記システムオンチップは、
    プログラムコードを実行するように構成された１つまたは複数のプロセッサと、
    比較器回路と、
    を備え、
    前記比較器回路は、
    外部メモリの第１のパーティションから、プログラムコードに対応する第１のデータの部分を受信し、
    前記外部メモリの第２のパーティションから、前記第１のデータのコピーに対応する第２のデータの対応する部分を受信し、
    前記第１のデータの部分と前記第２のデータの部分とを比較し、
    前記第１のデータの部分が前記第２のデータの部分と一致する場合、前記第１のデータの部分を１つまたは複数のプロセッサに供給し、
    前記第１のデータの部分が前記第２のデータの部分と一致しない場合、アラーム信号を生成する、
    ように構成されている、
    システムオンチップ。
14. 前記第２のデータは、前記第１のデータの反転コピーを含む、
    請求項１３記載のシステムオンチップ。
15. 前記システムオンチップは、修復回路をさらに備え、前記修復回路は、
    アラーム信号を受信し、これに応答して、
    前記外部メモリの第３のパーティションに記憶されている第１の誤り検出符号をフェッチし、
    前記外部メモリの第４のパーティションに記憶されている第２の誤り検出符号をフェッチし、
    前記第１の誤り検出符号を用いて前記第１のデータを検証し、
    前記第２の誤り検出符号を用いて前記第２のデータを検証し、
    前記第１のデータの検証と前記第２のデータの検証とに基づいて、前記第１のデータまたは前記第２のデータのうちの一方が破損したデータであり、前記第１のデータまたは前記第２のデータのうちの他方が破損していないデータであることを決定し、
    前記破損していないデータに基づいて前記破損したデータを修復する、
    ように構成されている、
    請求項１３記載のシステムオンチップ。
16. 前記第１の誤り検出符号は、巡回冗長検査（ＣＲＣ）符号を含み、
    前記第２の誤り検出符号は、巡回冗長検査（ＣＲＣ）符号を含む、
    請求項１５記載のシステムオンチップ。
17. 前記第１のパーティション、前記第２のパーティション、前記第３のパーティションおよび前記第４のパーティションは、重ならない、
    請求項１５記載のシステムオンチップ。
18. 前記修復回路は、前記アラーム信号の受信に応答して、
    前記外部メモリから修復符号をフェッチし、
    前記修復符号を実行して前記第１のデータおよび前記第２のデータを検証し、前記破損したデータを修復する、
    ように構成されている、
    請求項１５記載のシステムオンチップ。
19. 外部メモリの第１のパーティションから、プログラムコードに対応する第１のデータの部分を受信するステップと、
    前記外部メモリの第２のパーティションから、前記第１のデータのコピーに対応する第２のデータの対応する部分を受信するステップと、
    前記第１のデータの部分と前記第２のデータの部分とを比較するステップと、
    前記第１のデータの部分が前記第２のデータの部分と一致する場合、前記第１のデータの部分を実行のために１つまたは複数のプロセッサに供給するステップと、
    前記第１のデータの部分が前記第２のデータの部分と一致しない場合、アラーム信号を生成するステップと、
    を含む方法。
20. 前記第２のデータは、前記第１のデータの反転コピーを含む、
    請求項１９記載の方法。
21. 前記方法は、
    前記アラーム信号を受信するステップと、これに応答して、
    前記外部メモリの第３のパーティションに記憶されている第１の誤り検出符号をフェッチするステップと、
    前記外部メモリの第４のパーティションに記憶されている第２の誤り検出符号をフェッチするステップと、
    前記第１の誤り検出符号を用いて前記第１のデータを検証するステップと、
    前記第２の誤り検出符号を用いて前記第２のデータを検証するステップと、
    前記第１のデータの前記検証と前記第２のデータの前記検証とに基づいて、前記第１のデータまたは前記第２のデータのうちの一方が破損したデータであり、前記第１のデータまたは前記第２のデータのうちの他方が破損していないデータであることを決定するステップと、
    前記破損していないデータに基づいて前記破損したデータを修復するステップと、
    をさらに含む、
    請求項１９記載の方法。
22. 前記第１の誤り検出符号は、巡回冗長検査（ＣＲＣ）符号を含み、
    前記第２の誤り検出符号は、巡回冗長検査（ＣＲＣ）符号を含む、
    請求項２１記載の方法。
23. 前記方法は、前記アラーム信号の受信に応答して、
    前記外部メモリから修復符号をフェッチするステップと、
    前記修復符号を実行して前記第１のデータおよび前記第２のデータを検証し、前記破損したデータを修復するステップと、
    をさらに含む、
    請求項２１記載の方法。
24. 前記方法は、前記第１のデータの部分が前記第２のデータの部分に一致しない場合、前記１つまたは複数のプロセッサへの前記第１のデータの部分または前記第２のデータの部分の供給を抑止するステップをさらに含む、
    請求項１９記載の方法。

Images