看門狗在嵌入式系統中的方方面面

看門狗技術是20世紀80年代由美國半導體巨頭AMD公司首次提出，是一種專門用于檢測、記錄處理器運行狀況以及在異常情況下復位的一種技術。

隨著技術的不斷的迭代，看門狗逐漸發展成一類專門的芯片，廣泛應用于汽車、工業自動化、物聯網等領域。

此狗非彼狗！！！

軟件會在執行完特定指令后進行喂狗，若在一定周期內看門狗沒有收到來自軟件的喂狗信號，則認為系統故障，會進入中斷處理程序或強制系統復位。

系統上電后根據不同的工作模式可以選擇使能看門狗，若看門狗被使能則計數器開始計數，如果在設定的時間內沒有及時喂狗則會發生看門狗超時。

通過寄存器對看門狗進行基本設置，計數器計算狗叫時間，狗叫模塊決定看門狗超時后發出的中斷或復位方式。

看門狗發展至今，功能已經發展的比較完善，所以已經有很多比較詳細且角度不同的分類，例如按照種類分可以分為硬件看門狗和軟件看門狗；按照與單片機集成性可以分為內部看門狗和外部看門狗；

以汽車產品中最通用的英飛凌的TLF35584芯片為例，該電源管理芯片通過了ISO26262的ASILD的認證，并且集成了看門狗模塊，該看門狗模塊既屬于硬件看門狗，同時也屬于外部看門狗。

由Window Watchdog和Functional Watchdog組成，（后面簡化成為WWD和FWD）

Window Watchdog和Functional Watchdo

1. 功能看門狗與窗口看門狗不同步，兩者完全獨立。
2. 功能看門狗和窗口看門狗可以獨立激活和禁用。
3. 看門狗的結果（有效或無效觸發）由相關看門狗故障計數器獨立監控。
4. 窗口看門狗的狀態為WWO，其值可能為“有效WWD 觸發”或“無效WWD 觸發”。
5. 功能看門狗的狀態為FWO，其值可能為“有效FWD 觸發”或“無效FWD 觸發”。

6. 兩個看門狗的設置對安全狀態控制的影響在安全狀態控制一章中進行了描述，以便更好地理解。

我們稱作窗口看門狗或時間看門狗，首先被監控的控制器（MCU）必須在Open Window期間內觸發（就是指喂狗操作），喂狗可以通過 WDI 引腳上的下降沿或通過 SPI 命令寫入寄存器 WWDSCMD，具體取決于配置。

觸發后將終止“Open Window”。看門狗輸出指示 WWD 故障計數器的“有效”或“無效”WWD 觸發。

如果有效觸發，則啟動“Closed Window”。如果在“Open Window”期間沒有觸發或在“Closed Window”期間觸發，看門狗輸出指示“無效 WWD 觸發”到 WWD 失敗計數器，并啟動新的“Open Window”。

1.WWD工作狀態圖

Window Watchdog State

1. “觸發”可以是發送到 WWDSCMD 寄存器的 SPI 命令，也可以是 WDI 引腳上的有效看門狗觸發
2. “Long open Window”中“No Trigger”被視為“無效WWD 觸發”，看門狗會再次打開一個“Long Open Window”
3. “Long open Window”內的“觸發”被視為“有效 WWD 觸發”，看門狗關閉“Long open Window”并打開“Closed Window”
4. “CLosed Window”內的“觸發”被視為“無效WWD觸發”
5. “Closed Window”結束后，“Closed Window”內的“無觸發”會將看門狗移至“Open Window”。
6. “Open Window”內的“觸發”被視為“有效WWD 觸發”，看門狗關閉“Open Window”并打開“Closed Window”

7. “Open Window”中的“無觸發”被視為“WWD 觸發無效”。

2.WDI引腳觸發WWD

看門狗輸入引腳 WDI 具有集成的下拉電流 IWDI 。看門狗輸入 WDI 可以在“Closed Window”內或隨后的“Open Window”期間轉換為高電平。

WDI引腳

• WD的有效觸發信號

看門狗輸入 WDI 以TSAMT周期定期采樣。有效觸發信號是從VWDIV,高電平到VWDIV,低電平的下降沿。

為了提高 WDI 輸入上的抗噪聲或毛刺的能力，有效觸發信號至少需要兩個高采樣點，然后是兩個低采樣點，通過測量低信號的第二個連續采樣點來考慮有效觸發。

例如，如果引腳 WDI 處的觸發脈沖的前三個采樣（兩個高一個低）位于“關閉窗口”內，并且僅在“打開窗口”中采集第四個采樣（第二個低采樣），則看門狗 輸出 WWO 將指示“有效 WWD 觸發”。

• WDI 觸發無效

在“Open Window”期間未檢測到觸發信號或在“Closed Window”期間檢測到觸發信號，均視為無效觸發。

看門狗輸出 WDO 在“Open Window”期間無有效觸發后立即指示“無效觸發”，或者在“Closed Window”期間檢測到觸發信號后立即指示“無效觸發”。

3.WWD正常工作——正確觸發

正確觸發

1. 如果 ROT（監控微控制器相關電壓）的復位輸出變高，則“Long Open Window”在 INIT 狀態下啟動。如果窗口看門狗在睡眠狀態下被停用，則第一個Open Window將從睡眠狀態轉換到喚醒狀態（由中斷指示）開始。第一個Open Window的時間取決于配置的周期時間，為 600 ms (WDCYC = 1) 或 60 ms (WDCYC = 0)。
2. 在“Long Open Window”期間，預計會根據配置的觸發選擇有效觸發 WWD。“長Open Window”的最長時間是固定的，但一旦識別到“有效 WWD 觸發”，它就會終止。
3. 窗口看門狗現在將進入“Closed Window”。收到第一個有效觸發后，設備將被允許從 INIT 狀態移至 NORMAL 狀態或從 WAKE 狀態移至 NORMAL 狀態。
4. “Closed Window”具有固定的持續時間 tWD,CWt_{WD,CW} （可以通過SPI 命令確定）。它在有效觸發信號后立即啟動，關閉“Open Window”或“長Open Window”。在“Closed Window”期間不應施加觸發信號。不會檢測到 WDI 引腳從低電平到高電平的轉換，也不會導致觸發事件。

5. 有效的觸發信號立即終止“Open Window”，因此“Open Window”的時間是可變的，并且取決于微控制器安排觸發的時間。這被視為“有效 WWD 觸發”。

4.WWD異常工作——在“Long Open Window”未觸發

在Long Open Window未觸發

1. 初始化超時和Long Open Window（LOW）具有相同的典型值。長度。通常這會導致初始化超時在低電平之前或同時完成，這將跳過中斷事件 (1)。盡管由于給定的精度，“Long Open Window”內缺少有效觸發可能會在低電平結束后導致中斷事件，從而使窗口看門狗故障計數器增加 2。
2. INIT狀態定時器第一次超時。由于在 INIT 狀態期間未按預期接收到窗口看門狗的有效觸發，因此將發出所謂的“軟復位”：引腳 ROT 變為零，但后置穩壓器的輸出電壓保持開啟狀態。
   附加信息：如果窗口看門狗在接下來的 INIT 階段的下一個“Long Open Window”內未正確觸發，將發出“硬復位”，這意味著引腳 ROT 將變為零，并且輸出電壓將 也被關閉。在 INIT 階段第三次無效觸發后，設備將進入 FAILSAFE 狀態。
3. 經過上電復位延遲時間trd后，所謂的“軟復位”引腳ROT再次變高，看門狗打開一個“Long Open Window”，讓微控制器有機會觸發并同步到看門狗周期 。
4. 有效觸發終止“Long Open Window”，這使得“Long Open Window”的持續時間可變并取決于觸發。這被視為“有效 WWD 觸發”并啟動“Closed Window”。在不發出中斷的情況下，窗口看門狗故障計數器將減 1。

5. 接下來的“Closed Window”持續時間 tWD,CWt。在此時間內觸發將被視為“無效WWD觸發”。

5.WWD異常工作——在“ Open Window”未觸發

在Open Window未觸發

1. “Open Window”內缺少有效觸發，導致窗口結束后出現“無效 WWD 觸發”。該事件由中斷指示，窗口看門狗故障計數器增加 2。
2. 檢測到“無效 WWD 觸發”后，看門狗將啟動一個持續時間為 tWD,CWt_{WD,CW} 的新“Open Window”，以使微控制器有機會觸發并同步到看門狗周期。
3. 有效觸發終止“Open Window”，這使得“Open Window”的持續時間可變并取決于觸發。這被視為“有效 WWD 觸發”并啟動“Closed Window”。在不發出中斷的情況下，窗口看門狗故障計數器將減 1。
4. 如果“Open Window”內出現多次“無效 WWD 觸發”，窗口看門狗故障計數器將再次增加 2，直到達到配置的閾值。在這種情況下，將發出重置命令。

5. 接下來的“Closed Window”持續時間 tWD,CWt_{WD,CW} 。在此時間內觸發將被視為“無效WWD觸發”。

引腳 ROT 的行為取決于 ΣWWO 的值。在上面的例子中，假設無效觸發不會導致超過閾值ΣWWO。

6.WWD異常工作——在初始化之后的“Closed Window”中錯誤的觸發

1. “Closed Window”期間的觸發被指示為“無效WWD觸發”。該事件由中斷指示，并且窗口看門狗故障計數器增加 2。
2. “Closed Window”將因“WWD 觸發無效”而關閉。最初它會持續時間 tWD,CWt_{WD,CW} 。錯誤觸發終止“Closed Window”并啟動“Open Window”，以使微處理器有機會同步到窗口看門狗周期。
3. 在此“Open Window”內預計會發生有效觸發。有效的觸發會終止“Open Window”，這使得“Open Window”的持續時間可變并取決于觸發。這被視為“有效 WWD 觸發”并啟動“Closed Window”。在不發出中斷的情況下，窗口看門狗故障計數器將減 1。

4. 接下來的“Closed Window”持續時間 tWD,CWt_{WD,CW} 。在此時間內觸發將被視為“無效WWD觸發”。

引腳 ROT 的行為取決于 ΣWWO 的值。在上面的例子中，假設無效觸發不會導致超過閾值ΣWWO。

7.WWD異常工作——在穩態“Closed Window”錯誤的觸發

在Close Window中錯誤的觸發

1. “Closed Window”期間的觸發被指示為“無效WWD觸發”。該事件由中斷指示，并且窗口看門狗故障計數器增加 2。
2. “Closed Window”將因“WWD 觸發無效”而關閉。最初它會持續時間 tWD,CWt_{WD,CW} 。錯誤觸發終止“Closed Window”并啟動“Open Window”，以使微處理器有機會同步到窗口看門狗周期。
3. 在此“Open Window”內預計會發生有效觸發。有效的觸發會終止“Open Window”，這使得“Open Window”的持續時間可變并取決于觸發。這被視為“有效 WWD 觸發”并啟動“Closed Window”。在不發出中斷的情況下，窗口看門狗故障計數器將減 1。
4. 接下來的“Closed Window”持續時間 tWD,CWt_{WD,CW} 。在此時間內觸發將被視為“無效WWD觸發”。

5. 引腳 ROT 的行為取決于 ΣWWO 的值。在上面的例子中，假設無效觸發不會導致超過閾值ΣWWO。

我們稱作功能看門狗或問答看門狗。在穩定狀態下，會生成一個問題（從表中取出），同時心跳計數器從零開始計數。心跳計數器開始計數，直到心跳周期結束。

心跳周期的持續時間可以通過 SPI 命令進行設置和調整。

問題由 4 bits組成，預期答案由 4 個回復組成，每個回復為 8 位。這四個回復應在心跳周期結束之前發送。最后回復應寫入同步回復寄存器以重置心跳計數器。

Functional Watchdog的問題與回復

功能看門狗輸出 FWO 是一個內部信號：它連接到 FWD 故障計數器。功能看門狗 FWO 輸出的值為“有效 FWD 觸發”或“無效 FWD 觸發”。

1.FWD工作流程圖

FWD工作流程圖

步驟如下：

1. 首先判斷FWD是否使能；如果未使能，停止并清空心跳計數器值；如果使能，請跳至步驟2；
   
2. 開啟心跳計數器，并生成初始化問題；
3. 設置response byte number為3，準備接受第一個回復；
4. 等待回復值；
5. 判斷心跳計數器是否超時，如果超時，重置心跳計數器，FWD故障計數器加2，請跳至步驟4；如果未超時，請跳至步驟6；
6. 判斷新的回復值是否收到？如果未收到，請跳至步驟4；如果收到了，請跳至步驟7；
7. 判斷是否為最后一個回復？如果不是，將response byte number減1，請跳至步驟4；如果是，請跳至步驟8；
8. 判斷是否同步了回復？如果未同步，請跳至步驟9；如果同步了，重置心跳計數器，也請跳至步驟9；
9. 判斷回復是否正確？如果不正確，請跳至步驟10；如果正確，FWD故障計數器減1，生成新的問題，請跳至步驟3；
10. 判斷是否同步了回復？如果未同步，請跳至步驟3；如果同步了FWD故障計數器加2，也請跳至步驟3。

2.FWD正常工作——正確觸發

正確觸發模式

步驟如下：

1. 生成一個新問題，同時心跳計數器開始計數（假設之前發生過“有效 FWD 觸發”）
   
2. 收到正確的回復（RESP3）
3. 收到正確的回復（RESP2）
4. 收到正確回復（RESP1）
5. 收到正確的同步回復（RESP0）。所有回復均正確，回復順序正確，并且在心跳計數器溢出之前收到最后一個同步回復。心跳計數器將被重置（設置為零）。這被視為“有效 FWD 觸發”，功能看門狗錯誤計數器 ΣFWO 減 1（如果功能看門狗錯誤計數器值大于零）

6. 生成一個新問題，同時心跳計數器開始計數

3.FWD異常工作——同步丟失

同步丟失

步驟如下：

1. 生成一個新問題，同時心跳計數器開始計數（假設之前發生過“有效 FWD 觸發”）
2. 收到正確的回復（RESP3）
3. 收到正確的回復（RESP2）
4. 收到正確回復（RESP1）
5. 接收到正確的回復（RESP0），但未同步（寫入錯誤的寄存器）。到目前為止，所有回復都是正確的，回復順序是正確的，并且在心跳計數器溢出發生之前收到了最后一個不同步的回復。
   心跳計數器不會被重置并繼續計數。這被視為“有效 FWD 觸發”，功能看門狗錯誤計數器 ΣFWO 減 1（如果功能看門狗錯誤計數器值大于零）。生成了一個新問題
6. 心跳計數器仍在計數，等待新問題的回復。心跳計數器將到期并發生溢出。這被視為“無效 FWD 觸發”。這功能看門狗錯誤計數器 ΣFWO 加 2。心跳計數器復位

7. 心跳計數器開始計數。，不會產生新問題

4.FWD異常工作——回答錯誤

回答錯誤

步驟如下：

1. 生成一個新問題，同時心跳計數器開始計數（假設之前發生過“有效 FWD 觸發”）
   
2. 收到正確的回復（RESP3）
3. 收到正確的回復（RESP2）
4. 收到錯誤回復(RESP1)
5. 收到正確的回復（RESP0）， 心跳計數器將被重置（設置為零）， 完整的答案是不正確的。這被視為“無效 FWD 觸發”。功能看門狗錯誤計數器 ΣFWO 加 2。心跳計數器復位

6. 沒有生成新問題，但心跳計數器開始計數

注意：如果將Resp2和Resp1混合在一起，則將兩個回復視為不正確的，則必須按正確的順序發送回復。

5.FWD異常工作——回復丟失

回復丟失

步驟如下：

1. 生成一個新問題，同時心跳計數器開始計數（假設之前發生過“有效 FWD 觸發”）
2. 收到正確的回復（RESP3）
3. 收到正確的回復（RESP2）
4. 缺少回復(RESP1)
5. 收到正確的回復（RESP0）。因此，由于缺少回復（在此示例中為 RESP1），最后一個回復不是最后一個回復，而是倒數第二個回復。功能看門狗將等待所有四個回復被寫入，而心跳計數器繼續計數。所有四個回復沒有固定時間，但必須在心跳計數器到期之前以正確的順序發送
6. 由于缺少回復RESP1，完整答案不正確。雖然最后的回復是同步的，但是心跳計數器不會被重置并繼續計數，直到發生溢出。這被視為“無效 FWD 觸發”。功能看門狗錯誤計數器 ΣFWO 加 2。心跳計數器復位
   

7. 不再生成新問題，心跳計數器開始計數

1.功能安全標準軟件部分要求

首先在功能安全標準第6章，7.4.12中提到，應使用看門狗進行軟件的時間監控和程序流監控。

ISO26262標準第6章

2.功能安全標準硬件部分要求

在第5章的附錄中，也提到了不同看門狗的功能和診斷覆蓋率

看門狗的診斷覆蓋率

功能安全標準

標準中分別介紹幾種看門狗的目標和功能描述，我在這里歸納總結一下在ISO26262中，看門狗作為安全機制的一些用法和要求

看門狗的作用

1.功能安全對看門狗的要求

標準并沒有明確給出不同的ASIL等級如何使用看門狗，下面是個人根據自身的項目經驗，給出的一些建議，僅供參考。

看門狗監控的使用建議

2.內部看門狗VS外部看門狗

內部看門狗與外部看門狗

3.看門狗監控機制的作用

看門狗監控機制