Проектирование процессоров с расширенными возможностями толерантности к ошибкам

Проверенные стратегии повышения отказоустойчивости в проектах CISC

Комплексный план отказоустойчивости для процессоров CISC объединяет несколько уровней защиты, от кодов коррекции ошибок на уровне аппаратного обеспечения до контрольных точек и откатов на уровне системы. Ниже мы подробно расскажем о наиболее эффективных подходах, каждый из которых имеет свою стоимость, сложность и профиль покрытия.

Коды обнаружения и исправления ошибок

На самом базовом уровне элементы памяти и пути передачи данных могут быть защищены с помощью паритета или более мощных кодов коррекции ошибок (ECC). Коррекция одноошибочных ошибок, коды обнаружения двойных ошибок (SECDED) теперь стандартны во многих системах кэша и памяти. Для процессоров CISC кэш команд, отвечающий за подачу инструкций с переменной длиной, извлекает выгоду из ECC для предотвращения неправильного кодирования. Аналогично, файл реестра, часто самый большой массив в ядре, может быть защищен с помощью ECC или с паритетом плюс механизм повторного использования. Ключевое дизайнерское решение заключается в том, исправлять ли ошибки в строке (добавляя задержку) или маркировать ошибки и запускать откат. Многие современные ядра x86 используют ECC в кэшах L2 / L3 и полагаются на архитектуру машинной проверки (MCA) для сообщения об исправленных ошибках в операционную систему для профилактического обслуживания.

Избыточная архитектура и пространственное увольнение

Пространственное резервирование копирует критические блоки траектории передачи данных и сравнивает выходы. Классический подход - тройное модульное резервирование (TMR), где три идентичных блока исполнения голосуют за результат. TMR может переносить любой отказ одного блока и распространен в авионике космических аппаратов. В процессорах CISC TMR обычно применяется к целым и плавающим блокам исполнения, блоку генерации адресов и блоку загрузки / хранения. Схема голосования на этапе фиксации гарантирует, что только одобренные большинством результаты обновляют архитектурное состояние. Накладные расходы примерно в три раза превышают площадь и мощность одного модуля, хотя дизайнеры могут снизить стоимость, применяя TMR только к наиболее критическим подблокам (например, машина состояния предиктора ветви или буфер переупорядочения).

Увольнение двойных модулей (DMR)

Менее дорогой альтернативой TMR является двухмодульная избыточность с обнаружением ошибок, но без мгновенной коррекции. Два идентичных ядра выполняют одни и те же инструкции в шаге блокировки, а компаратор отмечает любое несоответствие. При обнаружении неисправности система может вернуться к предыдущей контрольной точке, повторно выполнить инструкцию или, если неисправность является постоянной, инициировать изящное отключение. Lockstep широко используется в критически важных для безопасности автомобильных контроллерах (ISO 26262 ASIL-D) и в некоторых высоконадежных серверных процессорах. Накладные расходы составляют около 100% площади для дублирующего ядра плюс шашки, но поскольку ядра работают на той же частоте, производительность не ухудшается при нормальной работе.

Контрольные точки и восстановление Rollback

Аппаратные контрольные точки периодически захватывают последовательное состояние процессора (регистрации, счетчик программ, метаданные когерентности кэша) в защищенную область памяти. Когда обнаружена неисправность - будь то ECC, паритет или несоответствие в шаге блокировки - система быстро возвращается к последней известной хорошей контрольной точке и повторно выполняется с этой точки. Задача для архитектур CISC - быстро захватывать большое количество спекулятивных состояний (записи буфера заказа, таблицы предикторов ветвей, буферы хранения) с минимальными накладными расходами производительности. Такие методы, как ], ветвь контрольной точки и ] выборочное восстановление записывают только неспекулятивное архитектурное состояние и отбрасывают спекулятивные обновления. Время отката может быть уменьшено с помощью механизма обратного выполнения, который воспроизводит операции в обратном порядке, но это добавляет сложность. Контрольная точка часто сочетается с ECC для создания двухслойной защиты: ECC исправ

Аппаратное голосование и византийская толерантность к ошибкам

Для систем, которые должны работать при наличии произвольных (византийских) неисправностей, аппаратное голосование может быть расширено за пределы простого голосования большинства. Техники, такие как трипл-голосователи конструкции, которые включают проверку согласованности или N-модульное избыточность с маскированием ошибок, находятся в процессорах космического уровня, таких как RAD750 и серия LEON. Эти процессоры обычно включают отказоустойчивый контроллер памяти, который может скрабировать ошибки и шинный арбитр, который изолирует неисправные модули. Характер CISC этих процессоров (многие из них получены из SPARC или x86 ISA) требует тщательной обработки сложных инструкций, которые могут изменять состояние машины неатомными способами.

Программные и программно-ориентированные методы

Только аппаратная защита не может покрыть все сценарии неисправностей. Программная отказоустойчивость (SBFT) использует вставленные компилятором проверки, избыточные вычисления и утверждения для обнаружения и исправления ошибок. Например, исходный код может быть дублирован во время компиляции, каждая версия выполняется на отдельных ядрах и сравниваются результаты. В процессорах CISC операционная система или гипервизор могут реализовать обработчики исключений , чтобы записывать и восстанавливать от исправимых ошибок, сообщаемых аппаратным обеспечением. Кроме того, методы терпимое к ошибкам кодирование - такие как алгоритмическая отказоустойчивость (ABFT) для матричных операций - могут применяться к конкретным рабочим нагрузкам. Сочетание аппаратных ECC и программных проверок обеспечивает экономически эффективный способ достижения высокого покрытия без штрафа за область полного TMR.