ECCメモリ

エラー訂正コードは、検出されないデータ破損からシステムを保護するものであり、科学計算や金融計算アプリケーション、データベースサーバーやファイルサーバーなど、データ破損が許容されないコンピュータで使用されます。ECCは、マルチユーザーサーバーアプリケーションや高可用性システムにおけるクラッシュの回数を減らす効果もあります。

コンピュータ システム内部の電気的または磁気的干渉により、ダイナミック ランダム アクセス メモリ( DRAM )の 1 ビットが自発的に反対の状態に反転することがあります。当初は、これは主にチップ パッケージング 材料の汚染物質から放出されるアルファ粒子によるものと考えられていましたが、研究により、DRAM チップにおける単発のソフト エラーの大部分は、背景放射線、主に宇宙線二次からのニュートロンによって発生し、1 つ以上のメモリセルの内容を変更したり、それらの読み書きに使用される回路に干渉したりすることがわかっています。^{[ 2 ]}そのため、エラー率は高度の上昇とともに急速に増加します。たとえば、海面と比較すると、中性子束率は 1.5 km で 3.5 倍、10～12 km (商用航空機の巡航高度)で 300 倍高くなります。 ^{[ 3 ]}その結果、高高度で動作するシステムには、信頼性に関する特別な対策が必要です。  

例えば、1997年に打ち上げられた宇宙船カッシーニ・ホイヘンスには、それぞれ市販のDRAMチップのアレイの形で2.5ギガビットのメモリを持つ同一のフライトレコーダーが2つ搭載されていました。内蔵のEDAC機能により、宇宙船のエンジニアリングテレメトリは、（訂正可能な）1ビット/ワードエラーと（訂正不可能な）2ビット/ワードエラーの数を報告しました。飛行開始から最初の2.5年間、宇宙船は1日あたり約280エラーというほぼ一定の1ビットエラー率を報告していました。しかし、 宇宙滞在1ヶ月目の1997年11月6日、その1日でエラー数が4倍以上に増加しました。これは、GOES 9衛星によって検出された太陽粒子イベントによるものとされています。^{[ 4 ]}

DRAMの密度がさらに増加し​​、チップ上のコンポーネントが小さくなる一方で、動作電圧が低下し続けると、低エネルギー粒子がメモリセルの状態を変化させることができるため、DRAMチップがそのような放射線の影響を受ける頻度が高くなるという懸念があった。^{[ 3 ]}一方、セルが小さくなるとターゲットも小さくなり、SOIなどの技術への移行により個々のセルの感受性が低下し、この傾向を相殺、あるいは逆転させる可能性もある。最近の研究^{[ 5 ]}では、プロセスジオメトリにより宇宙放射線によるシングルイベントアップセットが劇的に減少しており、ビットセルエラー率の増加に関する以前の懸念は根拠がないことが示された。

2007年から2009年の間に発表された研究では、7桁以上の差がある非常にばらつきのあるエラー率が示されており、10 ⁻¹⁰ エラー/(ビット・時間)、おおよそメモリ1ギガバイトあたり1時間あたり1ビットのエラー、10 ⁻¹⁷ エラー/(ビット・時間)、メモリ1ギガバイトあたり1000年あたり約1ビットのエラー。^{[ 5 ] [ 6 ] [ 7 ]} Googleの非常に多数のサーバーに基づく大規模な研究がSIGMETRICS/Performance  '09カンファレンスで発表された。^{[ 6 ]}実際に発見されたエラー率は、以前の小規模または実験室での研究よりも数桁高く、25,000 (2.5 × 10 ⁻¹¹ エラー/(ビット·h) ) および 70,000 (7.0 × 10 ⁻¹¹ エラー/(ビット・時間)、つまり 1 ギガバイトの RAM あたり 1.8 時間あたり 1 ビットのエラー、1 メガビットあたり 10 億デバイス時間あたりのエラー。DIMM メモリ モジュールの 8% 以上が年間エラーの影響を受けていました。

メモリエラーの結果はシステムに依存します。 ECC のないシステムでは、エラーによってクラッシュまたはデータの破損が発生する可能性があります。大規模な生産現場では、メモリエラーはマシンクラッシュの最も一般的なハードウェア原因の 1 つです。^{[ 6 ]}メモリエラーはセキュリティ脆弱性を引き起こす可能性があります。^{[ 6 ]}メモリエラーは、目に見える誤動作を引き起こさず、計算に使用されるデータや保存されたデータにも影響を与えないビットを変更する場合、何の影響も及ぼしません。2010 年のシミュレーション研究では、Web ブラウザーの場合、メモリエラーのごく一部だけがデータ破損を引き起こしましたが、多くのメモリエラーは断続的で相関しているため、メモリエラーの影響は独立したソフトエラーで予想されるよりも大きいことが示されました。^{[ 8 ]}

いくつかのテストでは、 DRAMメモリセルの分離は、隣接するセルへの特別に細工されたアクセスによる意図しない副作用によって回避できるという結論が出ています。そのため、DRAMに格納されたデータにアクセスすると、最新のメモリの高密度セルの結果としてメモリセルが電荷を漏洩し、電気的に相互作用し、元のメモリアクセスでは実際にはアドレス指定されていなかった近くのメモリ行の内容が変わります。この効果は行ハンマーとして知られており、特権昇格のコンピュータセキュリティエクスプロイトにも使用されています。^{[ 9 ] [ 10 ]}

エラーチェック機能のないシステムでは無視され、パリティチェック機能のあるマシンでは停止し、ECCによって目に見えない形で修正されるような、単一ビットエラーの例を挙げます。チップの故障により単一ビットが1に固定されたり、背景放射線や宇宙放射線によって1に変化したりします。ASCII形式で数値を格納するスプレッドシートが読み込まれ、固定されたビットを含むバイトの最下位ビット位置に文字「8」（ASCIIエンコーディングでは10進数値56）が格納されます。その後、スプレッドシートに変更が加えられ、保存されます。結果として、「8」（バイナリでは0011 100 0 ）は「9」（バイナリでは0011 100 1 ）に静かに変化します。

不要なビット反転に対処するために、耐性を考慮したプログラミング、RAMパリティメモリ、ECCメモリなど、いくつかの手法が開発されてきた。

この問題は、追加のメモリビットを含むDRAMモジュールと、これらのビットを活用するメモリコントローラを使用することで軽減できます。これらの追加ビットは、パリティを記録したり、誤り訂正符号（ECC）を使用したりするために使用されます。パリティは、すべてのシングルビットエラー（実際には、任意の奇数個の誤ったビット）を検出できますが、訂正はできません。そのため、システムは処理を続行するか（問題を示すだけで）、停止する必要があります。誤り訂正符号を使用すると、より多くのエラーを訂正できます。訂正できるエラーの数は、使用するメモリの種類によって異なります。

DRAMメモリは、誤り訂正符号を利用することで、ソフトエラーに対する保護性能を高めることができる。ECCまたはEDAC保護メモリとして知られるこのような誤り訂正メモリは、サーバーなどの高い耐障害性が求められるアプリケーションや、放射線量の増加が懸念される深宇宙アプリケーションにおいて特に望ましい。

システムによっては、定期的にすべてのアドレスを読み取り、必要に応じて修正されたバージョンを書き戻すことで、メモリを「スクラブ」し、蓄積されたソフトエラーを除去するものもあります。

ECCメモリの初期の実装やオンダイECCの多くは、訂正可能なエラーを隠蔽し、エラーが発生しなかったかのように動作し、訂正不可能なエラーのみを報告します。最新の実装では、訂正可能なエラー（CE）と訂正不可能なエラー（UE）の両方をログに記録します。訂正不可能なエラーが発生する可能性を減らすために、エラー率が高いメモリモジュールを積極的に交換する人もいます。^{[ 17 ]}

標準のサーバーメモリは、シングルエラー訂正とダブルエラー検出(SECDED)ハミング符号用に設計されており、ワード(バス転送の単位)ごとにシングルビットエラーを訂正し、ダブルビットエラーを検出できます。DDR SDRAM以降、メモリに関する標準バス幅 (ワードサイズ) は 64 ビットです。その結果、DDR と DDR4 の一般的な構成は、64 データ ビットと 8 チェック ビットを持つ 72 ビット ワードです。DDR5 SDRAM はバスを 2 つのやや独立した 32 ビット サブチャネルに分割するため、ECC メモリは合計 80 ビットの幅を使用し、2 つの 40 ビット (32 データ、8 チェック) チャネルに分割されます。^{[ 18 ]} ECC は、より小さいサイズとより大きいサイズでも使用されます。

ECC対応メモリコントローラは、追加ビットを使用してSECDEDコードを格納します。メモリは追加ビットを保持するだけです。1990年代後半以降、メモリコントローラはBIOSとも通信し、検出および修正されたエラーのカウントを維持します。これは、問題が致命的になる前に、故障しているメモリモジュールを特定するのに役立つためです。SMBIOS規格のおかげで、多くのシステムでカウンタの読み取りがサポートされており、 Linux、BSD、およびWindows（Windows 2000以降）で利用可能です。 ^{[ 19 ]}

エラー検出と訂正は、発生するエラーの種類に関する予測に基づいて行われます。暗黙のうちに、メモリワード内の各ビットの故障は独立しており、2つのエラーが同時に発生する可能性は低いと仮定されています。これは、1980年代前半に一般的だった、メモリチップの幅が1ビットだった時代のことです。その後、技術の進歩により、多くのビットが同じチップに集積されるようになりました。

この弱点は、IBMのChipkill、Sun MicrosystemsのExtended ECC、Hewlett-PackardのChipspare、IntelのSingle Device Data Correction（SDDC）など、さまざまな技術によって対処されています。これらの技術はすべて、1つのメモリチップの故障がECCワードごとに1ビットのみに影響するようにします。これは、ECCワードのビットを複数のチップに分散させることで実現されます。これは一種のインターリーブです。各チップがワードごとに1ビットのみを受け取るようにするには、複数のメモリモジュール（スティック）にまたがってインターリーブする必要がある場合があります。

一般的に、インターリーブは相関のあるマルチビット障害を防ぐための有効な手法です。たとえば、宇宙線は、隣接するビットを異なるワードに関連付けることで、複数のワードにわたる複数の物理的に隣接するビットを乱す可能性があります。単一イベントアップセット（SEU）が、アクセス間の特定のワードでエラーしきい値（たとえば、単一のエラー）を超えない限り、それを訂正（たとえば、単一ビット誤り訂正コードによって）することができ、実質的にエラーのないメモリシステムを維持できます。^{[ 20 ]}

一部のDRAMチップには、内部に「オンチップ」または「オンダイ」のエラー訂正回路が搭載されており、ECCメモリコントローラ非搭載のシステムでもECCメモリのメリットのほとんどを享受できます。^{[ 21 ] [ 22 ]}一部のシステムでは、 EOSメモリモジュールを使用することで同様の効果が得られる場合があります。

前述のように、DDR5 および LPDDR6 ではオンダイ ECC が必須です。しかし、そのレポート機能がないため、エラーがオンダイ アルゴリズムによる修正能力を超えるまで、メモリ チップの真の状態についてはほとんど何もわかりません。どの程度の「マージン」があるかについての情報もありません。修正されていないエラーに基づいて修正されたエラーの存在を推測する高度なアルゴリズムが構築されています。^{[ 15 ]}

多くの ECC メモリ システムでは、CPU とメモリの間に「外部」 EDAC 回路が使用されます。ECC メモリを備えたシステムの中には、内部 EDAC システムと外部 EDAC システムの両方を使用するものもあります。外部 EDAC システムは、内部 EDAC システムでは修正できない特定のエラーを修正するように設計する必要があります。^{[ 21 ]}最新のデスクトップおよびサーバー CPU は、NUMAアーキテクチャに関連する CPU 統合メモリ コントローラへの移行以前から、 EDAC 回路を CPU に統合しています。 ^{[ 23 ]} CPU 統合により、エラーのない動作中にペナルティのない EDAC システムが可能になります。

2009年現在、最も一般的な誤り訂正符号は、シングルビット誤り訂正とダブルビット誤り検出（SEC-DED）を提供するハミング符号またはシャオ符号を使用しています。メモリを保護するために、ダブルビット誤り訂正とトリプルビット誤り検出（DEC-TED）符号、シングルニブル誤り訂正とダブルニブル誤り検出（SNC-DND）符号、リード・ソロモン誤り訂正符号など、他の誤り訂正符号も提案されています。しかし、実際には、マルチビット訂正は通常、複数のSEC-DED符号をインターリーブすることによって実装されます。^{[ 24 ] [ 25 ]} 

初期の研究では、ECC 回路の面積と遅延のオーバーヘッドを最小限に抑えようと試みました。ハミングは、特定のチェック マトリックスで SEC-DED コードが可能であることを最初に実証しました。シャオは、奇数重み列を持つ代替マトリックスが、従来のハミング SEC-DED コードよりもハードウェア面積が少なく、遅延が短い SEC-DED 機能を提供することを示しました。^{[ 26 ]}最近の研究では、面積と遅延を最小限に抑えることに加えて、電力も最小限に抑えようとしています。^{[ 27 ] [ 28 ]}

シーモア・クレイは、 CDC 6600からパリティを除外した理由を尋ねられた際に、「パリティは農家のためのものだ」と答えたことで有名である。^{[ 33 ]}後に彼はCDC 7600にパリティを含めたため、評論家たちは「どうやら多くの農家がコンピュータを購入しているようだ」とコメントした。オリジナルのIBM PCと 1990 年代初頭までのすべての PC はパリティ チェックを使用していた。^{[ 34 ]}それ以降の機種はほとんど使用していなかった。

2020年代のパーソナルコンピュータのほとんどのデータパス（PCIe、SATA、チップ間相互接続、ディスクストレージなど）には、何らかのECC保護機能が備わっています。メインメモリにECCがないのは、特にその容量と破損の可能性が高いことを考えると、比較的珍しいことです。Linus Torvaldsは2021年にフォーラムで長文の投稿を行い、当時のAMDデスクトッププラットフォームではECCサポート付きの登録済みDIMMを使用できた（ただし、必ずしもECC機能を有効にする必要はなかった）にもかかわらず、IntelがデスクトッププラットフォームでECCサポートを放棄したことを批判しました。^{[ 35 ]}