L'ECC et l'intégrité mémoire : détecter et corriger une erreur de bit

Une mémoire peut se tromper. Un rayonnement, le vieillissement d'une cellule, une perturbation électrique : il arrive qu'un bit lu ne vaille pas ce qui y a été écrit. Sur un calculateur qui pilote un moteur, une telle erreur ne peut pas passer inaperçue. C'est le rôle de l'ECC — le code correcteur d'erreur — un mécanisme entièrement matériel qu'il faut bien distinguer de la somme de contrôle de calibration.

Le principe : des bits en plus pour se relire

L'ECC repose sur une idée simple : à côté des données utiles, la mémoire stocke quelques bits de contrôle calculés à partir de ces données. À chaque lecture, le matériel recalcule ces bits et les compare à ceux qui sont stockés. Si tout concorde, la donnée est réputée saine. En cas d'écart, la position du désaccord (le syndrome) indique quel bit a basculé — et permet, dans certains cas, de le corriger à la volée. Le tout se fait à chaque accès, sans intervention logicielle, en quelques cycles.

SEC-DED et DEC-TED : deux niveaux de robustesse

Toutes les mémoires n'ont pas la même exigence, donc pas le même code. Sur un AURIX d'Infineon, les deux familles cohabitent :

• La RAM utilise un code de Hamming en SEC-DED : Single Error Correction, Double Error Detection — il corrige une erreur d'un bit et détecte une erreur de deux bits.
• La flash programme utilise un code BCH plus puissant, en DEC-TED : il corrige jusqu'à deux bits erronés et détecte trois bits d'erreur, sur le mot protégé.

La logique est cohérente : la flash programme, dont dépend l'exécution du code, mérite la protection la plus forte. Chaque bloc de PFlash passe par un tampon de lecture qui effectue la correction avant de livrer la donnée au processeur, si bien que le cœur ne voit jamais l'erreur — seulement la donnée corrigée.

L'erreur corrigible et l'erreur non corrigible

Tout l'enjeu tient dans cette distinction. Une erreur corrigible (un bit sur un mot protégé) est réparée à la volée et généralement journalisée : la cellule commence peut-être à vieillir, mais le fonctionnement continue sans faute. Une erreur non corrigible (plus de bits basculés que le code ne peut réparer) ne peut pas être silencieusement ignorée : le matériel la signale à la Safety Management Unit, qui décide de la réaction — redémarrage, passage en repli, ou état sûr. C'est la même logique de sécurité que celle du mode dégradé : mieux vaut un moteur bridé qu'un moteur commandé par une donnée fausse.

Ce que l'ECC n'est pas

Un point de vocabulaire évite les confusions. L'ECC est un mécanisme de fiabilité matériel : il protège contre les erreurs aléatoires du support physique. Il n'a rien à voir avec la somme de contrôle de la calibration, décrite dans qu'est-ce qu'un checksum, qui vérifie la cohérence volontaire d'un contenu et relève d'une tout autre couche. L'ECC est calculé et vérifié par le silicium, en permanence, sans que personne n'ait à intervenir ; ce n'est pas une opération que le motoriste réalise ou ajuste. Le confondre avec un contrôle de calibration mène à des raisonnements erronés sur ce qu'une mémoire « valide » ou non.

Pourquoi cela compte pour l'atelier

Comprendre l'ECC éclaire plusieurs situations. Un calculateur qui redémarre en boucle ou se met en sécurité sans cause moteur apparente peut souffrir d'erreurs mémoire non corrigibles, symptôme d'un silicium fatigué ou stressé — une piste que confirme l'analyse des défauts internes, à rapprocher de l'endurance et la rétention de la flash. Une lecture qui révèle des incohérences ponctuelles peut trahir une cellule marginale plutôt qu'un vrai problème de contenu. Et sur les architectures récentes, l'ECC fait partie de la chaîne d'intégrité qui rend le calculateur intransigeant : la mémoire ne se contente pas de stocker, elle se relit et se surveille. Pour le reprogrammateur, la leçon est double : la fiabilité matérielle est un acquis dont il faut tenir compte, et un défaut de mémoire interne n'est pas toujours un défaut de fichier.

Où vivent les bits de contrôle, et le nettoyage périodique

Concrètement, les bits de contrôle sont stockés à côté des données qu'ils protègent : à chaque mot mémoire correspondent quelques bits supplémentaires, invisibles au logiciel, que le matériel gère seul. Plus le mot protégé est large, plus le code est efficace à surface égale. Ce principe ne se limite pas à la flash et à la RAM : certains chemins de données internes et registres critiques sont eux aussi protégés, de sorte qu'une erreur survenue en transit soit détectée au plus près de sa source. Les architectures les plus soignées pratiquent en outre un nettoyage périodique de la mémoire : le matériel relit en tâche de fond les zones peu sollicitées et corrige les erreurs d'un bit avant qu'une seconde erreur, en s'accumulant sur le même mot, ne devienne non corrigible. C'est une manière d'empêcher les défauts latents de se transformer en pannes. Pour le reprogrammateur, ce fonctionnement rappelle une évidence utile : l'intégrité matérielle est prise en charge par le silicium, en continu et à un niveau bien plus bas que celui des données de calibration ; elle ne relève à aucun moment d'une opération manuelle, et elle n'a pas non plus à en relever.

Voir aussi l'architecture multicœur et le Lockstep, l'endurance et la rétention de la flash et qu'est-ce qu'un checksum.

Sur ANP Engineering — file service de reprogrammation moteur pour professionnels : file service ECU, correction de checksum, calculateurs pris en charge, tarifs.