FR 3077655 A1 20190809 FR 1850927 A 20180205 B16695 - 17-ZV2-0626 1 GESTION D'UNE MEMOIRE NON VOLATILE Domaine La présente description concerne de façon générale les circuits et systèmes électroniques et, plus particulièrement, les circuits et systèmes exploitant une mémoire non volatile 5 réinscriptible. Exposé de l'art antérieur Le stockage d'informations (données et programmes) dans une mémoire non volatile, par exemple une mémoire flash, présente diverses contraintes liées à la granularité des opérations 10 réalisées (écriture, lecture, effacement). Par ailleurs, on doit s'assurer que le stockage soit non seulement correct (qu'il n'y ait pas eu d'erreur lors du stockage), mais également qu'il soit fiable dans le temps et ne dérive pas. Il faut donc associer des mécanismes de correction 15 d'erreur au stockage dans la mémoire. Dans certaines applications, on souhaite s'assurer que les transactions réalisées et stockées respectent un critère d'atomicité. L'atomicité d'une transaction correspond à s'assurer que des données stockées en mémoire présentent bien un état 20 exploitable. Cela revient à s'assurer que des données en mémoire non volatile présentent soit l'état avant la transaction soit l'état après la transaction concernée mais qu'elles ne présentent B16695 - 17-ZV2-0626 2 pas un état intermédiaire. Les mécanismes de correction d'erreur basés sur des codes de correction d'erreur doivent alors respecter le critère d'atomicité. Résumé Un mode de réalisation pallie tout ou partie des inconvénients des mécanismes de stockage dans une mémoire non volatile réinscriptible. Un mode de réalisation prévoit un mécanisme améliorant la fiabilité des données stockées en termes de correction 10 d'erreur. Un mode de réalisation, prévoit un procédé de gestion d'une mémoire non volatile, dans lequel les informations stockées peuvent être associées à un code de détection et de correction d'erreur choisi parmi deux codes, la sélection du code étant 15 effectué, lors de l'écriture, par le programme déclenchant l'écriture. Selon un mode de réalisation, la mémoire est organisée en page correspondant à la granularité d'effacement, une même page contenant des informations associées à chacun des deux codes. 20 Selon un mode de réalisation, la sélection du code conditionne la longueur du mot stocké dans la mémoire. Selon un mode de réalisation, la sélection du code est effectuée à chaque écriture d'une information dans la mémoire. Selon un mode de réalisation, un premier code comporte 25 quatorze bits et est associé à un mot de soixante-quatre bits et un deuxième code comporte sept bits et est associé à un mot de trente-deux bits. Selon un mode de réalisation, des données sur trente-deux bits, manipulées par des instructions d'un programme, sont 30 stockées avec le premier code. Selon un mode de réalisation, des métadonnées manipulées par un programme sont stockées avec le deuxième code. Selon un mode de réalisation, la position dans la mémoire des informations associées aux codes de détection et de 35 correction d'erreur est indépendante du code sélectionné. B16695 - 17-ZV2-0626 3 Un mode de réalisation prévoit un contrôleur de mémoire non volatile. Un mode de réalisation prévoit une mémoire non-volatile. Brève description des dessins 5 Ces caractéristiques et avantages, ainsi que d'autres, seront exposés en détail dans la description suivante de modes de réalisation particuliers faite à titre non limitatif en relation avec les figures jointes parmi lesquelles : la figure 1 représente, de façon très schématique et 10 sous forme de blocs, un mode de réalisation d'un circuit électronique du type auquel s'appliquent les modes de réalisation décrits ; la figure 2 représente, de façon très schématique et sous forme de blocs, une mémoire non-volatile réinscriptible du 15 type auquel d'appliquent les modes de réalisation décrits ; et la figure 3 représente un mode de réalisation d'un traitement de détection et correction d'erreur. Description détaillée De mêmes éléments ont été désignés par de mêmes 20 références aux différentes figures. En particulier, les éléments structurels et/ou fonctionnels communs aux différents modes de réalisation peuvent présenter les mêmes références et peuvent disposer de propriétés structurelles, dimensionnelles et matérielles identiques. 25 Par souci de clarté, seuls les étapes et éléments utiles à la compréhension des modes de réalisation qui vont être décrits ont été représentés et seront détaillés. En particulier, les applications d'une mémoire non volatile avec code de détection et de correction d'erreur n'ont pas été détaillés, les modes de 30 réalisation décrits étant compatibles avec les applications usuelles. La figure 1 représente, de façon très schématique et sous forme de blocs, un mode de réalisation d'un circuit électronique du type auquel s'appliquent les modes de réalisation 35 décrits. B16695 - 17-ZV2-0626 4 Le circuit 1 comporte : une unité de traitement 11 (PU), par exemple une machine d'états, un microprocesseur, un circuit logique programmable, etc. ; 5 une ou plusieurs zones 13 (RAM) de stockage volatile, par exemple de type mémoire RAM ou registres, pour stocker temporairement des informations (instructions, adresses, données) pendant les traitements ; une ou plusieurs zones de stockage non volatil (NVM), 10 par exemple une mémoire 2 de type flash pour stocker des informations de façon durable et en particulier quand le circuit n'est pas alimenté ; un ou plusieurs bus 15 de données, d'adresses et/ou de commandes entre les différents éléments internes au circuit 1 ; 15 et une interface d'entrée-sortie 17 (I/O) de communication, par exemple de type bus série, avec l'extérieur du circuit 1. Par ailleurs, le circuit 1 peut intégrer d'autres fonctions, symbolisées par un bloc 19 (FCT), selon l'application, 20 par exemple, un crypto-processeur, d'autres interfaces comme par exemple de communication sans contact en champ proche (Near Field Communication - NFC), d'autres mémoires, etc. La figure 2 représente, de façon très schématique et sous forme de blocs, une mémoire non-volatile 2 réinscriptible du 25 type auquel d'appliquent les modes de réalisation décrits. La mémoire 2 comporte principalement un réseau 22 (NVM ARRAY) de cellules mémoire de stockage non-volatile, dans lequel le stockage est organisé en pages et mots et un contrôleur mémoire 3 (MEM CTRL) dont le rôle est de gérer les lectures et 30 écritures des informations D (données et programme) dans le plan mémoire en fonction d'adresses A fournies par l'extérieur (typiquement par l'unité de traitement 11, figure 1). En particulier, le contrôleur 3 convertit des adresses logiques fournies par les applications souhaitant accéder à la mémoire en 35 adresses physiques du plan mémoire 22. La mémoire communique avec B16695 - 17-ZV2-0626 5 l'extérieur, via le contrôleur mémoire 3 qui reçoit, non seulement les adresses logiques, mais également des commandes (CMD) parmi lesquelles une instruction R/W de lecture ou d'écriture selon la tâche à exécuter. 5 Dans les applications visées par la présente description, le contrôleur mémoire 3 a également la fonction de détecter et si possible de corriger d'éventuelles erreurs dans les informations stockées. Cette fonction est, pour des raisons d'espace mémoire, configurée en fonction de la nature des informations stockées dans la mémoire. Ainsi, parmi les bits de commande reçues par la mémoire, un bit H/L conditionne le code de détection et de correction d'erreur utilisé. Plus précisément, ce bit sélectionne le niveau d'intégrité des informations stockées. Une instruction d'écriture provenant, par exemple, de l'unité de traitement est accompagnée d'un indicateur du niveau d'intégrité (basse (L) ou haute (H)) souhaité. La notion basse ou haute est relative et se réfère à l'autre niveau d'intégrité. Le niveau bas correspond à un niveau relativement faible d'intégrité par rapport au niveau haut qui est d'un niveau relativement fort. Dans les mémoires actuelles, la mémoire est découpée en deux zones respectivement de basse intégrité et de haute intégrité. Le niveau d'intégrité conditionne la taille du code de détection et de correction (EDC/ECC - Error Detection Code / Error Correction Code). Le contrôleur mémoire sélectionne alors le niveau d'intégrité en fonction de l'adresse de stockage par rapport à la limite entre les deux zones. Le choix du code correcteur d'erreur dépend de l'application et, en particulier, de la taille du mot physique de la mémoire non volatile, du nombre de bits souhaité pour les mots logiques. Plus particulièrement, dans les applications visées par la présente description, le code de détection/correction (EDC/ECC) d'erreur utilisé est de type linéaire qui conduit à ajouter 7 bits de code EDC/EDC à chaque mot de 32 bits et à ajouter 14 bits de code EDC/ECC à chaque mot de 64 bits. B16695 - 17-ZV2-0626 6 Le code des mots de 64 bits correspond à une haute intégrité dans la mesure où la longueur du code 14 bits sur 64 bits permet de détecter avec une meilleure probabilité des erreurs de 2 bits et plus qu'avec un code de 7 bits sur 32 bits. 5 En pratique, la zone mémoire de haute intégrité est limitée au stockage des programmes et les données proprement dites ainsi que les métadonnées (drapeaux, etc.) sont stockées dans la zone de basse intégrité. En effet, le fait que les adresses affectées au stockage en haute intégrité et en basse intégrité 10 soient figées rend inefficace en pratique de stocker les données en haute intégrité, car il faudrait alors coder toutes ces données et métadonnées à stocker en haute intégrité sur 64 bits. Or, une métadonnée peut être un simple drapeau sur 1 bit et le stocker dans la zone de granularité de 64 bits n'est pas souhaitable. 15 Toutefois, pour les données qui sont généralement des mots de 32 bits et qui sont rarement isolées (souvent plusieurs mots de données de 32 bits peuvent être stockées en même temps), cela améliorerait la fiabilité des données de pouvoir les stocker en haute intégrité. 20 Par ailleurs, dans une mémoire organisées par page et, en particulier dans une mémoire de type flash où l'écriture et la lecture s'effectuent par octets mais où l'effacement s'effectue obligatoirement par page entière (la page est définie comme correspondant à la granularité d'effacement de la mémoire), on 25 souhaite stocker d'une part le code (moins fréquemment mis à jour que les données) dans des pages différentes que les pages dans lesquelles sont stockées les données et les métadonnées qui sont plus fréquemment modifiées. Il est donc préférable de conserver la distinction entre code d'une part et données/métadonnées 30 d'autre part en termes de pages de stockage. En particulier, cela simplifie la gestion de l'atomicité dans une telle mémoire. Ainsi, on prévoit de rendre versatile la sélection entre haute intégrité et basse intégrité sur tout le plan mémoire. Ainsi, lors de l'écriture d'une information en mémoire, 35 l'application (le programme exécuté par l'unité de traitement) B16695 - 17-ZV2-0626 7 sélectionne le niveau d'intégrité souhaité en positionnant le drapeau H/L dans un état ou un autre. Cela permet de dissocier, parmi les informations qui ne font pas partie du programme et qui sont habituellement stockées 5 en basse intégrité, les données des métadonnées, et de stocker ainsi les données en haute intégrité sans que cela n'oblige à y stocker également les métadonnées. La figure 3 représente un mode de réalisation d'un traitement de détection et correction d'erreur. 10 La figure représente, de façon schématique et partielle une vue plus détaillée de certaines parties du contrôleur mémoire 3 de la mémoire 2 de la figure 2. Le plan mémoire 22 est généralement organisé en pages dans lesquelles les informations sont stockées par mot d'au moins 15 trente-deux bits. Selon les modes de réalisation décrits, le choix entre des mots de 32 et de 64 bits dépend du niveau d'intégrité souhaité. Le contrôleur mémoire 3 comporte, entre autres, un convertisseur d'adresses 32 (CONV) dont le rôle et de convertir 20 des adresses logiques A fournies par l'extérieur en adresses physiques dans la plan mémoire et de concaténer, en écriture, les informations stockées au code de détection et correction d'erreur et de les dissocier en lecture. Le contrôleur 3 comporte également un circuit 34 (EDC/ECC) ou processeur de calcul du code EDC/ECC 25 de détection et de correction d'erreur. Le bit de contrôle de parité est calculé par le circuit 34 ou par le convertisseur 32. En écriture, les informations à stocker et les adresses correspondantes proviennent de l'extérieur. L'instruction d'écriture est associée, de préférence précédée, d'une instruction 30 de mise à jour d'un registre du contrôleur 3 stockant l'état du bit H/L de sélection du niveau d'intégrité. Les informations D à stocker sont non seulement envoyées au convertisseur 32 mais également au circuit 34. Le circuit 34 calcule, en fonction de l'état du bit H/L, le code EDC/ECC sur 7 ou sur 14 bits et fournit B16695 - 17-ZV2-0626 8 le code calculé au convertisseur 32 afin qu'il soit stocké en tant que métadonnées MD du mot correspondant. En lecture, les informations et le code EDC/ECC correspondant sont extraites du plan mémoire 22. Le circuit 34 5 vérifie l'intégrité des informations à partir du code détecteur et correcteur d'erreur MD. Le circuit 34 fournit, avec les informations D, un indicateur de fiabilité I des informations fournies. Selon qu'il y a ou non des erreurs et selon qu'elles sont ou non réparables avec le code associé, l'indicateur I fourni 10 un état indiquant que les données fournies sont fiables ou non. En pratique, on conserve un stockage des programmes avec une haute intégrité. En particulier, les instructions d'un programme sont généralement exécutées majoritairement successivement et il n'est alors pas gênant de prévoir de grouper 15 les mots par deux pour effectuer un codage sur des mots de 64 bits. Pour ce qui est des données proprement dites (les variables manipulées par les programmes), il est désormais également possible de les stocker en haute intégrité sans nuire à 20 un stockage en basse intégrité de métadonnées telles que des drapeaux, des indicateurs d'états, etc. qui restent stockées en haute intégrité. De préférence, les données et les métadonnées restent cependant stockées dans les mêmes pages, c'est-à-dire que l'on 25 mélange basse et haute intégrité dans une même page. Un avantage est que cela préserve non seulement la granularité d'effacement par page avec des données et métadonnées dans certaines pages et le code dans d'autres pages, tout en conservant une facilité de gestion d'atomicité avec les données et métadonnées mélangées dans 30 les mêmes pages. La mise en oeuvre des modes de réalisation décrits ne requiert aucune modification des mémoires usuelles et de leurs contrôleurs. On tire ici profit du fait que les contrôleurs mémoire reçoivent déjà un drapeau fourni par le processeur pour conditionner le niveau d'intégrité. Il suffit donc de modifier le B16695 - 17-ZV2-0626 9 programme de stockage dans la mémoire afin de conditionner le changement de niveau d'intégrité à la volée au fur et à mesure du déroulement du programme en fonction de la nature des données à stocker. 5 Un avantage des modes de réalisation décrits est qu'ils améliorent la gestion des erreurs dans une mémoire non volatile, de préférence une mémoire flash. Un avantage des modes de réalisation décrits est qu'ils ne nécessitent aucune modification des mémoires existantes et de 10 leurs contrôleurs mémoire. Un avantage des modes de réalisation décrits est qu'ils sont compatibles avec les mécanismes d'atomicité usuels. En effet, leur mise en oeuvre n'intervient pas sur les mécanismes d'atomicité. 15 Un avantage des modes de réalisation décrits est qu'ils permettent de sélectionner un code de EDC/ECC différent selon la nature des données, même indépendamment de leur taille. Ainsi, lors du stockage de mots de données de 32 bits, on peut choisir que certaines soient stockées en basse intégrité et que d'autres 20 le soient en haute intégrité (par exemple, pour des données plus sensibles que l'on souhaite plus fiables). Un avantage induit par les modes de réalisation décrits est que leur mise en oeuvre améliore la sécurité des données stockées contre des tentatives de piratage. En effet, les données 25 ne sont désormais plus cantonnées dans les pages affectées à la zone de basse intégrité mais sont mélangées dans la zone de haute intégrité. Par conséquent, il devient plus difficile pour un attaquant de les isoler. Bien que l'on ait fait référence à des codes EDC/ECC 30 particuliers, on pourra prévoir tous codes de détection et de correction d'erreur adaptés, en prévoyant un code procurant une intégrité plus forte (en termes de capacité de correction du nombre de bits erronés) par rapport à un code d'intégrité relativement plus faible. B16695 - 17-ZV2-0626 10 Divers modes de réalisation ont été décrits. Diverses variantes et modifications apparaîtront à l'homme de l'art. Par ailleurs, la mise en oeuvre pratique des modes de réalisation qui ont été décrits est à la portée de l'homme du métier à partir des 5 indications fonctionnelles données ci-dessus et en utilisant des circuits en eux-mêmes usuels. Notamment, l'organisation de l'adressage REVENDICATIONS1. Procédé de gestion d'une mémoire non volatile (2), dans lequel les informations (D) stockées peuvent être associées à un code de détection et de correction d'erreur choisi parmi deux codes, la sélection (H/L) du code étant effectué, lors de l'écriture, par le programme déclenchant l'écriture. 2. Procédé selon la revendication 1, dans lequel la mémoire est organisée en page correspondant à la granularité d'effacement, une même page contenant des informations associées à chacun des deux codes (H/L). 3. Procédé selon la revendication 1 ou 2, dans lequel la sélection (H/L) du code conditionne la longueur du mot stocké dans la mémoire (2). 4. Procédé selon l'une quelconque des revendications 1 à 3, dans lequel la sélection (H/L) du code est effectuée à chaque 15 écriture d'une information (D) dans la mémoire (2). 5. Procédé selon l'une quelconque des revendications 1 à 4, dans lequel un premier code comporte quatorze bits et est associé à un mot de soixante-quatre bits et un deuxième code comporte sept bits et est associé à un mot de trente-deux bits. 20 6. Procédé selon la revendication 5, dans lequel des données (D) sur trente-deux bits, manipulées par des instructions d'un programme, sont stockées avec le premier code. 7. Procédé selon la revendication 5 ou 6, dans lequel des métadonnées manipulées par un programme sont stockées avec le 25 deuxième code. 8. Procédé selon l'une quelconque des revendications 1 à 7, dans lequel la position dans la mémoire (2) des informations associées aux codes de détection et de correction d'erreur est indépendante du code sélectionné. 30 9. Contrôleur (3) de mémoire non volatile (2), adapté à la mise en oeuvre de procédé selon l'une quelconque des revendications précédentes. 10. Mémoire non-volatile (2) comportant un contrôleur (3) selon la revendication 9.