Power-Fail-Mechanismen schützen vor Datenverlust
So robust SSDs im Vergleich zu HDDs sind – bei Stromausfall drohen auch bei Flash-basierten Speichern Datenverluste. Werden SSDs als Boot-Medien oder zum Speichern kritischer Daten in industriellen Anwendungen eingesetzt, müssen daher Datenträger zum Einsatz kommen, die Daten bei einem abrupten Spannungsabfall zuverlässig und möglichst umfänglich erhalten.
Das Risiko von Datenverlusten bei Stromausfällen kann bei Flash-basierten Speichermedien mit einer Reihe von Maßnahmen reduziert werden. Am Beispiel der 2,5″ SATA 6Gb/s SSD von Swissbit lässt sich der aktuelle Stand der Technik zeigen. Derzeit sind es im Wesentlichen drei aufeinander aufbauende Schutzstufen. Zunächst aber gilt es, die Herausforderung zu beschreiben: Bei einem geregelten Herunterfahren einer SSDs warnt der ATA-Befehl ’standby immediate‘ den Controller und er kann alle im Puffer befindlichen Daten fertig in die nichtflüchtigen NAND-Zellen schreiben. Sendet der Host bei einem abrupten Spannungsabfall diesen Befehl nicht, gehen alle noch nicht geschriebenen Informationen verloren – korrupte Dateien sind die Folge. Die erste Stufe muss daher die fehlende hostseitige ‚Vorwarnung‘ ersetzen.
Stufe eins: Spannungsabfall entdecken
Der Controller eines Flashs überwacht die angelegte Betriebsspannung. Im Falle eines Stromausfalls wird ein Spannungsabfall bemerkt. Anhand von unterschiedlichen Schwellwerten kann die Firmware zwei Maßnahmen auslösen: den Stopp aller Operationen und ein Schreibschutzsignal (flash write protect, FWP). So wird beim ersten Schwellwert zunächst die Kommunikation zum Host gestoppt, während die Schreibvorgänge auf den Flash noch weiter gehen. Ist der zweite Schwellwert erreicht, wird das Schreiben unterbunden und so eine Speicherung korrupter Daten durch ein nur teilweises Programmieren von Flashseiten vermieden. Üblicherweise braucht ein Flash 3ms oder mehr, um das Schreiben abzuschließen. Bei Geräten, die mit 5,0V betrieben werden, wird der Halt aller Befehle an das Flash bei 4,0V ausgelöst und das FWP-Signal bei 2,4V. Bei 3,3-V-Geräten liegen die Schwellwerte für den Spannungsabfall bei 2,8 und 2,4V. Die Geschwindigkeit des Spannungsabfalls ist vom Host abhängig und kann langsam genug sein, um den geordneten Rückzug zu ermöglichen oder auch nicht. Reichte die Zeit nicht – was natürlich bei 3,3V Betriebsspannung mit den nahe beieinanderliegenden Schwellwerten häufiger vorkommt – so gibt es einen Firmware-Mechanismus, der teilweise programmierte Sektoren beim nächsten Start auf den vorherigen Wert zurücksetzt. So gehen zwar Daten verloren, aber die Korruption durch unterbrochene Schreibvorgänge wird verhindert.
Stufe zwei: eigene Spannungsreserve
Die zweite Power-Fail-Maßnahme setzt beim Spannungsabfall an. Normalerweise sind die Spannungskurven der Host-Spannung und der Spannung am Flash parallel. Die Aufgabe: mehr Zeit gewinnen und die Kurve des Spannungsabfalls am Flash abflachen. Die Lösung: Es werden Kondensatoren an die Flash-Spannungsversorgung hinzugefügt. Registriert der Controller den ersten Schwellwert und stoppt die Operationen gegenüber dem Host, entlädt er gleichzeitig diese Kondensatoren, um genügend Energie zum Abschluss der Schreibvorgänge zur Verfügung zu stellen. Diese Form des Power-Fail-Schutzes ist bei High-End-Server-SSDs und bei Industrie-SSDs wie etwa der bestehenden X-60- und der X-600-Serie von Swissbit verfügbar.
Stufe drei: alles sichern
DRAM wird in hochwertigen SSDs eingesetzt, um deren Performanz zu erhöhen und die Schreibverstärkung (WAF) zu verringern. Bei den bisher beschriebenen Stufen der Power-Fail-Mechanismen sind die Daten im DRAM ungeschützt. Sollen diese bei einem Stromausfall sicher in den Flash-Speicher geschrieben werden – man spricht in diesem Zusammenhang von härten -, braucht es eine aufwendigere Schaltung und höhere Energiereserven aus Kondensatoren. An erster Stelle steht hier für den Hersteller die Wahl geeigneter Kondensatoren. Richtet man den Blick allein auf die Energiespeicherkapazität, so bieten sich Superkondensatoren an. Diese können eine ausreichende Menge Energie speichern und sie bei Spannungsabfall zur Verfügung stellen. Superkondensatoren werden daher in IT-Anwendungen vielfach eingesetzt. Allerdings spielen bei SSDs für industrielle oder andere anspruchsvolle Anwendungsszenarien außerhalb der kontrollierten Bedingungen von Rechenzentren neben der Kondensatorkapazität noch andere Faktoren eine Rolle. Da die Superkondensatoren ’nass‘ sind, also ein flüssiges Elektrolyt enthalten, können sie sich bei hohen Temperaturen und Überspannungen aufblähen und dabei sich und benachbarte Bauteile zerstören. Bei der Entwicklung der Power Loss Protection für die Swissbit X-60P SSD wurden deshalb zwei wichtige Entscheidungen getroffen: So hält der Speicherspezialist die Energiereserven für die Härtung der DRAM-Inhalte nicht über einen Superkondensator, sondern mit einer Bank parallel geschalter Kondensatoren vor – und zwar nach dem Redundanzprinzip n+1 sogar mit einem Kondensator mehr als nötig, um im Falle eines Ausfalls Reserven zu haben. Die zweite Entscheidung: Swissbit nutzt Polymer-Tantalum-Kondensatoren mit trockenem Elektrolyt und damit ein hochwertiges und langlebiges Modul, das Temperaturen von -55 bis +105°C schadlos übersteht.
Die Power-Fail-Schaltung
Die Bank der langlebigen Kondensatoren ist in eine spezielle Power-Fail-Schaltung integriert. Ein Power Manager genannter Chip verwaltet die Stromversorgung. Im Normalbetrieb nimmt er die vom Host kommende Spannung an und versorgt die SDD. Gleichzeitig lädt er die Kondensatorbank auf eine höhere Spannung auf. Wird ein Spannungsabfall detektiert, schaltet der Power Manager die Stromversorgung vom Host auf die Kondensatoren um. Gleichzeitig gibt der Chip das Power-Fail-Signal aus, das die Datenhärtungssequenz durch den Controller anstößt. Ist das Schreiben ins Flash abgeschlossen, erfolgt das ‚Harden Done‘-Signal, das die Spannungsversorgung der SSD geordnet herunter fährt.
Fazit
Es sind vor allem vier Merkmale, die hochwertige Industrie-SSDs von Server-SSDs oder Consumer-SSDs unterscheiden: Die genannten Mechanismen zum Schutz vor Datenverlust bei Stromausfall,
