用于控制非易失性存储器的可靠性损失的方法和系统的制作方法
【专利摘要】本发明涉及用于控制包括在集成电路卡(ICC)中的非易失性存储器的可靠性损失的方法。该方法包括步骤：-在所述ICC的操作系统(OS)侧确定NVM是否可靠，并且如果NVM被确定为不可靠，则在OS侧生成针对所述ICC的应用的与NVM的可靠性相关联的事件。
【专利说明】用于控制非易失性存储器的可靠性损失的方法和系统
【技术领域】
[0001]本发明涉及用于控制非易失性存储器(NVM)的可靠性损失的方法和系统。更具体地，本发明涉及上述类型的方法和系统，其中，非易失性存储器包括在集成电路卡(ICC)中。
【背景技术】
[0002]众所周知，集成电路卡(ICC)至少包括CPU、易失性存储器和非易失性存储器(NVM) ο
[0003]ICC用于广泛类型的涉及不同设备的应用。例如，当用于电信应用时，ICC耦接至GSM/UMTS手持设备，该手持设备包括所称的人机接口，该人机接口允许用户管理ICC。ICC还可以在所称的机器对机器(M2M)应用中使用，其中，系统设备耦接至ICC，并且不提供人机接口。另外，ICC机器对机器(M2M)应用一般符合与并入手持设备的ICC相关的不同的硬件和/或软件要求，这取决于其服务的具体应用，例如:
[0004]-报告建筑物中的电梯故障的应急ICC设备具有稳定的电源(voltagesupply),并且内部ICC例如几年持续通电；另外，ICC的可靠性要求应当非常高，因为假设ICC在几年内不会更换。
[0005]-安装在用于电话呼叫的汽车设备内部的ICC设备还可以用于在汽车被盗或者汽车事故时生成警告；在这种情况下，ICC通常不连续供电，并且电源基本上不稳定。
[0006]-存储ICC的燃气计量设备可以用于基于常规或者在特定事件下发送燃气计量测量结果；经由SMS或者数据协议自动发送这些信息。
[0007]以上提到的所有应用(即诸如电信应用和M2M应用的人机应用)受到了这样的限制，ICC的非易失性存储器的可靠性损失不在应用层控制。
[0008]清楚起见，下文报告可靠性损失的一些示例。
[0009]数据保留的可靠性。非易失性存储器无法保证存储器单元在预定时间段内(例如十年内)不被更新以及正确地存储数据。这一问题也称为非易失性存储器的数据保留的可靠性。例如，在闪速存储器中，存储器单元的电荷被关联到相应的位，并且由此与存储在闪速存储器中的数据相对应。然而，如果单元多次没有更新，恢复相应的电荷，则将持续缓慢的消散，并且与其相关联的数据丢失。有限写入周期的可靠性。非易失性存储器可靠性还涉及其他因素，例如，存储器支持的写入周期的数目的限制；实际上，在相同存储器单元上的预定数目的写入周期之后，无法保证对该单元的其他操作(即，读取访问或者写入访问)正确执行。由此，先前存储的数据可能丢失。
[0010]涉及存储器的可靠性的其他因素是ICC和与其耦接的设备(即手持或者系统设备)之间的硬件或者连接的退化。
[0011]如上所述，目前用于控制可靠性损失的方法是不可行的，或者根据ICC的应用来管理。这是由于仅操作系统具有对硬件的控制，并且由此具有对非易失性存储器的控制，并且应用仅通过操作系统耦接至此类非易失性存储器的相应部分。这用于保证不同操作系统上的应用的可移植性，从而符合核心操作系统与应用之间的预定接口，诸如Java Card和ETSI TS 102 241。
[0012]由此，由于上述接口的属性，在应用层，不知道有检测或者解译非易失性存储器的状态的方法，并且不知道如何控制非易失性存储器的可靠性。也就是说，ICC OS仅提供具有用于访问和更新存储器中的数据的接口的应用程序，并且ICC OS负责管理存储器的物理方面，例如存储器刷新、存储器页面表。
[0013]例如，应用无法理解存储器是否由于有线的数据保留或者有线的写入周期而损失可靠性。由此，如何从应用控制与应用本身相关联或者耦接至应用本身的非易失性存储器的可靠性是ICC领域的相关技术问题。
[0014]另外，，因为ICC并不总是通电，ICC操作系统无法测量时间并且由此无法确定是否超出预定时间段(例如5年)，从而将数据保留的潜在问题警告应用。另一方面，基于向手持设备的请求来测量时间(例如，利用3GPP TS31.111中规定的称为“提供本地信息前摄命令”请求当前日期或者时间)是不安全的，因为其取决于由手持设备返回的日期或者时间的可靠性。通过常规的其他载体接收SMS或者数据用于检测经过时间都是不安全的；实际上，ICC应当依赖于外部载体；另外，该解决方案涉及不期望的用于向ICC发送SMS的成本。由此，不知道如何管理由于应用层的数据保留而造成的可靠性损失，并且因为操作系统无法测量经过时间，数据保留的此类问题不容易在操作系统层检测到。另外，应用不具有任何装置来请求具体动作以增加存储器可靠性，例如，在认识到数据保留问题的情况下，对于应用而言不存在任何方式以请求所有存储器区域的刷新，从而扩展数据保留。
[0015]在传统的人机系统中，对于ICC与系统设备之间的硬件或者连接的退化，手持可以通过相应的人机接口来发送与非易失性存储器的可靠性相关联的消息，以便允许用户替换ICC。然而，如果ICC连接至具有M2M接口的系统设备，则不存在可用于警告用户替换ICC的人机接口。由此，当ICC用于M2M应用时，已知的方法无法对存储器的可靠性的损失做出反应。
[0016]换言之，现有技术的问题存在于虽然ICC中的NVM对有限数目的更新和有限数目的数据保留有约束，但是应用无法知道NVM的状态，因为ICC OS没有提供接口。
[0017]本发明的技术问题是提供一种控制并入在集成电路卡(ICC)中的非易失性存储器的可靠性的可能损失的方法和系统，可靠性损失特别是由于此类存储器的有限数据保留、存储器的有限写入周期以及与耦接至ICC的设备的硬件或者连接的可能退化而造成，并且为了改进使用相应的ICC的多个场景中非易失性存储器的可靠性(包括人机应用和机器对机器应用)，所述方法和系统具有此类功能和结构特征以克服现有技术解决方案的缺点。
【发明内容】
[0018]基于本发明的解决方案构思是在集成电路卡(ICC)的操作系统层控制包括在ICC中的非易失性存储器(NVM)的可靠性损失，并且实现操作系统与ICC的应用之间的事件-服务通信模型，使得当在与应用相关联的非易失性存储器的一部分上检测到可靠性的损失时，操作系统能够警告应用，并且还使得应用能够在应用层对所检测到的可靠性的损失做出反应。[0019]根据这样的解决方案构思，技术问题通过以下方法解决，该方法用于控制包括在集成电路卡(ICC)中的非易失性存储器(NVM)，其特征在于:在OS侧确定NVM是否可靠，并且如果NVM被确定为不可靠，则在OS侧向应用生成与NVM的可靠性相关联的事件。在应用可以知道NVM的状态并且其知道操作环境的意义上来说，这改进了 ICC中的NVM的可靠性。
[0020]以下描述中的术语“可靠性”应当解释为，一个存储器单元可以视作比以下表示为“不可靠”的另一存储器单元“更可靠”，因为前者保证更长和更安全的数据存储，例如由于其具有较小压力或者较新的更新。
[0021]根据本发明的方面，通过对ICC的非易失性存储器的预定存储器部分的编程来执行可靠性的检测，以使得当预定存储器部分被检测为不可靠时，存储器可靠性相对于非易失性存储器的其他存储器单元的可靠性减少，实现对其他存储器单元的恢复过程。
[0022]有益地，操作系统层的可靠性的检测不是基于时间测量，而是基于预定模式与存储在存储器的预定部分中的数据之间的比较。在本发明的实施方式中，可靠性的检测可以由应用触发，该应用可以基于其连接的设备而测量时间。因此，可以将请求操作系统检查非易失性存储器的可靠性的调度关联到人机应用环境或者机器对机器应用环境二者中使用ICC的应用环境，但是可靠性的检测基于如下的方式，其中，利用预定模式(即，编程操作的电特征和/或非易失性存储器的硬件特征)对预定存储器部分或者单元进行编程。由此，通过集成应用层可用的数据而实现了对数据保留的可靠性的检测，即，对应用可用的信息以及与应用所运行的环境相关联的信息(例如，燃气表应用)，以及操作系统层处可用的数据，即，存储在与预定模式相关联的存储器单元中的数据。
[0023]根据该实施方式，确定NVM的可靠性通过以下执行:利用弱更新机制在NVM的规定位置中写入规定模式，从NVM的规定位置获取所存储的模式，将规定模式与所存储的模式进行比较，以及，如果规定模式不同于所存储的模式，则确定NVM不可靠。如果NVM被确定为不可靠，则ICC的OS生成对数据保留的警告的事件，并且向应用分发该事件。继而，应用可以调用由OS提供的刷新NVM的数据的服务。这允许OS确定何时应当刷新NVM，以免损失存储的信息。如果有必要，应用可以调用由OS提供的服务，以刷新存储在NVM中的全部或者部分数据。
[0024]在另一实施方式中，检查NVM的可靠性可以通过以下执行:检测针对NVM中每个单元或者单元的集合的写入访问，更新NVM的规定位置的计数器值，NVM的规定位置与NVM中的每个单元或者单元的集合相对应，将NVM的规定位置的计数器值与第一预订值进行比较，并且如果NVM的规定位置的计数器值超过第一预订值，则确定NVM不可靠。
[0025]如果NVM被确定为不可靠，则ICC的OS生成对最大数据更新的警告的事件，并且向应用分发该事件。继而，应用可以调用扩展写入周期数目的服务。更特别地，当扩展写入周期数目的服务被调用时，OS将每个单元或者单元的集合标记为不可用，并且将存储在其中的数据移动到NVM的不同单元中。以这种方式，可以避免对耗尽的单元的写入访问。
[0026]因为一个或多个存储器单元已经被写入超过预定限制，而且因为存储在一个或多个存储器中的数据很长时间没有更新，NVM可能被检测为不可靠。在这种情况下，OS生成两个事件，即，对最大数据更新的警告的事件以及对数据保留有关的事件。
[0027]根据本发明的用于控制非易失性存储器和ICC的可靠性的方法的其他优点和特征将从下文给出的描述中变得易见，下文的描述仅用于示例的目的，并且不限制本发明的保护范围。
【专利附图】
【附图说明】
[0028]图1在图中示意性地表示根据本发明的用于检测非易失性存储器的可靠性的方法的步骤。
[0029]图2示意性地表示根据检测写入周期的限制的本发明的实施方式的用于检测非易失性存储器的可靠性的方法。
[0030]图3示意性地表示根据本发明的方法的当调用用于扩展写入周期数目的服务时存储器状态的改变。
【具体实施方式】
[0031]参考图1，其示意性地表示根据本发明的ICC，包括逻辑组件和物理组件，逻辑组件诸如一个或多个应用和操作系统(OS)，物理组件诸如非易失性存储器，例如闪速存储器。闪速存储器将数据存储很长时间，甚至在不供电之后。
[0032]根据本发明，ICC操作系统(OS)向应用提供服务，并且应用请求ICC操作系统通过此类服务采取动作或者控制硬件，例如，非易失性存储器。更特别地，ICC操作系统管理闪速存储器，并且当其检测到与此类存储器相关的事件时，与应用通信。换言之，ICC OS通过服务和事件协议与应用通信。
[0033]根据本发明，通过集成操作系统的能力来检测硬件(即，非易失性存储器)的事件以及其在设备上运行的应用的知识，从而执行非易失性存储器的可靠性损失的控制，由此，在操作系统层检测到可靠性损失时，在应用层实现反应。在这一方面，当检测到与非易失性存储器相关的事件时，ICC 0S40警告应用42、44、46、48，并且向应用42、44、46、48提供服务以执行恢复动作从而扩展存储器的可靠性，例如，对数据保留或者相同单元上的更新的评估数目做出反应。
[0034]在下文中，将详细解释用于增强数据保留和更新数目的方法的实施方式。
[0035]1、关于NVM的可靠性的事件
[0036]根据本发明，为了向应用通知存储器正在损失可靠性，提供以下事件:
[0037]对数据保留警告的事件。
[0038]该事件由操作系统OS在其检测到存储器保留正在损失可靠性时生成。例如，某些NOR存储器，保证数据保持至少十年，所以应当从最早写入的单元的最后一次更新开始的五年之后生成对数据保留的警告事件。
[0039]根据本发明，利用预定电子参数来更新非易失性存储器的预定存储器单元，根据该预定电子参数来获得预定减少的数据保留，该预定减少数据保留小于由非易失性存储器的所有其他单元保证的数据保留。
[0040]作为预定电子参数的示例，可以将用于减少的时间的预定编程电压施加于存储器的预定存储器单元，产生具有较低数据保留的数据。该操作被定义为弱更新。根据另一实施方式，提供预定编程参数以便写入预定存储器单元，在写入其他存储器单元的相同时间段内向此类预定单元应用减少的编程电压。预定电子参数包括向预定存储器单元施加减少的编程电压。因此，定义了以下协议用以生成提高应用反应的事件:[0041]-利用弱更新机制在特定存储器单元中写入已知模式；
[0042]-例如按照预定时间表检查该模式；
[0043]-只要该模式与初始值不匹配，就从ICC操作系统向应用生成对数据保留的警告。
[0044]图2示意性地表示向其应用弱更新机制的闪速存储器。利用弱更新机制更新闪速存储器的一部分，即，闪速存储器上的某些单元。例如，利用值“A5A5A5A5A5”更新这些单元。
[0045]因为弱更新的数据保留短于非易失性存储器的其他存储器单元的数据保留，所以当ICC操作系统向应用通知事件时，应用可以在非易失性存储器的其他单元发生数据损失之前对这些其他存储器单元采取措施。
[0046]对更新周期写入的警告的事件
[0047]该事件由操作系统在其检测到存储器单元已经被写入的数目接近于最大更新数目时生成。
[0048]通过向NVM中的每个存储器单元或者向存储器单元的集合(例如，存储器页面)添加计数器信息来生成该事件。当该计数器的最高值到达特定值时，生成该事件。作为示例，如果技术预见到100，000个读/写周期，则如果计数器已经到达50，000个RW周期的值时生成该事件。
[0049]向应用生成的该事件还可以指示与已经被写入太多次的数据有关的信息。例如，该信息可以包括与被重写的数据有关的地址和地址的存储值。
[0050]由手持设备拒绝ICC的事件
[0051]M2M的可能场景包括M2M ICC可能被插入到从未通过MMI增强的设备中；例如，在燃气表中，完全没有用户接口，因为燃气表也可能没有显示屏。
[0052]根据本发明的方法，为了管理这种类型的可靠性损失，在操作系统层针对ICC应用生成事件，指示在前会话没有正确关闭。在后续会话中，向该事件注册的请求根据应用环境对检测到的可靠性做出反应；例如，在燃气表应用中，可以向特定远程服务器发送SMS，在汽车系统中，可以通知收集系统跟踪失败，等等。根据该方法，可以管理“网络拒绝”事件，即，与网络由于认证数据失败而拒绝的ICC相关联的事件，在ETSI TS 102 223标准中规定。
[0053]2、应用所请求的服务
[0054]为了使应用能够对前述事件做出反应，本发明的方法提供了用于从应用调用操作系统提供的服务的步骤，以扩展非易失性存储器的可靠性。根据本发明的方面，实现了以下机制。
[0055]用于数据保留的服务
[0056]由应用调用服务，并且OS执行过程以扩展数据保留，例如，其重写(或者刷新)存储器单元中的所有数据。备选地，OS重写存储器单元中需要进行刷新的数据的部分。
[0057]该服务可以由应用在事件发生时调用，例如:
[0058]-当OS生成与数据保留的警告相关联的事件时；
[0059]-当由应用例如在接收到SMS时生成的事件。
[0060]用于扩展写入周期数目的服务
[0061]一旦该服务由应用调用，OS执行过程以避免更新已经承受了预定最大数目的写入周期的存储器单元。例如，OS对不可用的单元添加标记，并且将相关数据移动到在逻辑上替换先前单元的不同存储器单元。
[0062]该服务由应用基于应用逻辑而调用，包括:
[0063]-由OS生成的对更新周期写入的警告的事件。
[0064]-应用在特定存储器字段中执行太多次更新，这是由应用计数的。
[0065]参考图3，NVMlO包括某些存储器单元，其中的一个存储数据12，并且其他的13、14没有使用。NVM还包括存储器空间15，其被分配给对数据的单元12的写入访问的计数器。上文描述的用于基于写入访问来检测可靠性的方法还可应用于计数存储器上的其他消耗操作；例如，可以监测使得相应存储器的单元退化的读取操作以控制此类存储器的可靠性。如果应用调用服务以用于扩展写入周期数目，则NVM20的状态改变，OS读取数据12并且将其移动到存储器中没有使用的新位置13。继而，OS将先前单元或者单元的集合标记为不可用。
[0066]不同的存储器管理用于频繁更新和不频繁更新的存储器
[0067]根据本发明的方面，由于用于控制非易失性存储器的可靠性损失的方法步骤涉及计算或者存储器的开销，所以在卡配置期间，存储器被划分为至少两个不同的区域:
[0068]-用于“高更新”的区域，用于存储经常更新的数据(例如，位置信息)；
[0069]-用于“低更新”的区域，用于存储其他数据(例如，操作系统)。
[0070]这一区别在SM/ICC中是可用的。实际上，针对电信访问应用(在GSM11.11中规定的SM应用以及在3GPP TS31.102中规定的US頂应用)规定的所有文件指示可以被视为高频可更新或者低频可更新的任何区域。
[0071]另外，为了防止对两种区域的高更新的开销，操作系统可以被设计为检测与仅在高更新区域上的写入周期的数目的限制相关联的事件，并且检测仅与低更新区域上的数据保留相关联的事件。实际上，高更新区域的更新和刷新太频繁，以至于没有发生数据保留的损失。
[0072]在优选实施方式中，应用定义要被包括在高更新区域中的数据和要被包括在低更新区域中的数据。
[0073]本发明的一些优点简要总结如下。本发明改进了 ICC中的NVM的可靠性损失的控制，因为应用可以知道NVM的状态，并且其知道操作环境。有益地，本发明允许ICC OS检测逝去了存储器部分可以被认为可靠的时间，并且确定何时必须刷新NVM以便避免数据损失。有益地，对于过度的写入周期，不会破坏存储器计数器值的NVM中的存储器单元或者单兀的部分。
[0074]有益地，通过将NVM的区域划分为高更新区域和低更新区域，仅向高更新区域应用对写入周期更新的可靠性的检测，并且仅向低更新区域应用对数据保留的可靠性的检测，由此优化了存储器管理，即，减少了用于对存储器的写入访问进行计数所需的计数器，并且在针对数据保留的警告发生时仅刷新低更新区域。
【权利要求】
1.一种用于控制包括在集成电路卡(ICC)中的非易失性存储器(NVM)的可靠性损失的方法，其特征在于: -在所述集成电路卡(ICC)的操作系统(OS)侧确定所述非易失性存储器(NVM)的部分是否可靠， -在所述操作系统(OS)侧生成与所述非易失性存储器(NVM)的可靠性相关联的事件，以及 -如果所述非易失性存储器(NVM)的所述部分被确定为不可靠，则向所述集成电路卡(ICC)的应用发送所述事件。
2.根据权利要求1所述的方法，其特征在于包括步骤:由所述应用调用由所述操作系统(OS)提供的服务，以恢复所述非易失性存储器(NVM)的可靠性。
3.根据权利要求1或2所述的方法，其特征在于，确定所述非易失性存储器(NVM)的所述部分的可靠性的步骤包括: -利用弱更新机制在所述非易失性存储器(NVM)的规定位置写入规定模式； -从所述非易失性存储器(NVM)的所述规定位置获取所存储的模式； -将所述规定模式与所 存储的模式进行比较， -如果所述规定模式与所存储的模式不同，则确定所述非易失性存储器(NVM)的所述部分被更改，其中所述事件是对数据保留的警告。
4.根据权利要求3所述的方法，其特征在于，所述弱更新机制包括利用预定电子参数来对所述规定位置进行编程，根据所述预定电子参数，相对于所述非易失性存储器的其他存储器位置上的数据的保留，所述规定位置中的所述预定模式的保留被减少。
5.根据权利要求4所述的方法，其特征在于，所述预定电子参数包括用于对所述规定位置进行编程的电压的应用的减少的时间和/或减少的编程电压。
6.根据权利要求3-5中任一项所述的方法，其特征在于，由所述应用调用的服务用于刷新所述非易失性存储器(NVM)的数据。
7.根据权利要求1或2所述的方法，其特征在于，确定所述非易失性存储器(NVM)的所述部分的可靠性的步骤包括步骤: -检测所述非易失性存储器(NVM)的所述部分中的用于每个存储器单元或者单元的集合的写入访问， -更新所述非易失性存储器(NVM)的所述部分的规定位置的计数器值，所述非易失性存储器(NVM)的所述规定位置与所述存储器单元中的每一个或者所述单元的集合相对应， -将所述非易失性存储器(NVM)的所述规定位置的所述计数器值与第一预定值进行比较，以及 -如果所述非易失性存储器(NVM)的所述规定位置的所述计数器值超过所述第一预定值，则确定所述非易失性存储器(NVM)不可靠，其中所述事件是对最大数据更新的警告。
8.根据权利要求7所述的方法，其特征在于，由所述应用调用的服务将每个存储器单元或者单元的集合标记为不可用，并且将存储在其中的数据移动到所述非易失性存储器(NVM)的不同单元。
9.根据权利要求3和7所述的方法，包括步骤:将所述存储器划分为至少两个不同的区域，包括用于存储经常更新的数据的第一存储器区域和用于存储其他数据的第二存储器区域，其中，所述操作系统(OS)检测与仅对所述第二区域上的数据保留的警告相关联的事件，以及与仅对所述第一区域上的最大数据更新的警告相关联的事件。
10.一种集成电路卡(ICC)，包括非易失性存储器(NVM)、应用和操作系统(OS)，其特征在于，所述操作系统(OS)包括用于检测所述非易失性存储器(NVM)的部分是否可靠，如果所述非易失性存储器(NVM)的所述部分被确定为不可靠，则生成针对所述操作系统(OS)的应用的与所述非易失性存储器(NVM)的可靠性相关联的事件的装置。
11.根据权利要求10所述的集成电路卡(ICC)，其特征在于，所述应用包括用于调用由所述操作系统(OS)提供的服务以恢复所述非易失性存储器(NVM)的可靠性的装置。
12.根据权利要求10或11所述的集成电路卡(ICC)，其特征在于，所述用于检测的装置包括:弱更新机制，其用于在所述非易失性存储器(NVM)的规定位置中写入规定模式；以及比较器，用于将所述规定模式与存储在所述非易失性存储器(NVM)中的所述规定位置的模式进行比较，如果所述规定模式不同于所存储的模式，则所述装置确定所述非易失性存储器(NVM)不可靠，发送对数据保留的警告作为用于所述应用的事件。
13.根据权利要求12所述的方法，其特征在于，所述弱更新机制利用预定电子参数对所述规定位置进行编程，根据该预定电子参数，相对于所述非易失性存储器(NVM)的其他存储器位置的数据保留，所述规定位置中的所述预定模式的保留被减少，所述预定电子参数优选地包括用于对所述规定位置进行编程的电压的应用的减少的时间。
14.根据权利要求13所述的集成电路卡(ICC)，其特征在于，所述用于调用的装置触发所述操作系统(OS)刷新所述非易失性存储器(NVM)的数据。
15.根据权利要求11或12所述的方法，其特征在于，所述用于检测的装置包括:针对非易失性存储器(NVM)中的每个存储器单元或者单元的集合的写入访问的检测器，对非易失性存储器(NVM)的规定位置进行访问的计数器，所述规定位置与非易失性存储器(NVM)中的每个存储器单元或者单元的集合相对应，以及用于将非易失性存储器(NVM)的所述规定位置的所述计数器的值与第一预定值进行比较的比较器，如果所述非易失性存储器(NVM)的所述规定位置的所述计数器值超过所述第一预定值，则所述用于检测的装置确定所述非易失性存储器(NVM)不可用，并且发送对最大数据更新的警告作为用于所述应用的事件。
【文档编号】G07F7/08GK103650058SQ201180068700
【公开日】2014年3月19日 申请日期:2011年12月23日 优先权日:2010年12月30日
【发明者】A·维内罗索, F·瓦罗内, P·瓦斯塔诺, V·迪斯塔西奥 申请人:意法半导体国际有限公司