Сторожевой таймер

Сторожевой таймер (англ. watchdog timer, WDT) — это аппаратно или программно реализованное устройство, предназначенное для автоматического обнаружения и устранения «зависаний» или сбоев в работе микроконтроллеров, микропроцессоров и других цифровых систем. Основная функция сторожевого таймера заключается в периодическом сбросе (обнулении) внутреннего счётчика. Если в течение заданного интервала времени счётчик не будет сброшен управляемой программой, таймер вырабатывает сигнал сброса (reset) или прерывание, возвращая систему в известное начальное состояние.

Принцип работы

Сторожевой таймер представляет собой счётчик, работающий от внутреннего или внешнего тактового генератора. После запуска системы счётчик начинает отсчёт времени от нуля до некоторого максимального значения, называемого периодом тайм-аута. В нормальном режиме работы программа периодически выполняет команду «сброса сторожевого таймера» (например, запись определённого кода в регистр). Этот сброс обнуляет счётчик, и отсчёт начинается заново. Если программа по какой-либо причине перестаёт выполнять сброс (зацикливание, сбой питания, ошибка в коде, помехи), счётчик достигает максимального значения, и таймер генерирует сигнал сброса.

Основные параметры

• Период тайм-аута — максимальное время, которое может пройти без сброса таймера. Обычно задаётся в микросекундах, миллисекундах или секундах.
• Точность — зависит от стабильности тактового генератора. Встроенные RC-генераторы имеют погрешность до 10–20 %, внешние кварцевые — доли процента.
• Тип сигнала — сброс (reset) или немаскируемое прерывание (NMI).

Виды сторожевых таймеров

Аппаратные сторожевые таймеры

Реализуются в виде отдельной микросхемы или встроенного блока внутри микроконтроллера. Они не зависят от программного обеспечения и продолжают работать даже при полном сбое процессора. Примеры: микросхемы серии MAX823, TPS3823, а также встроенные WDT в микроконтроллерах AVR, PIC, STM32.

Программные сторожевые таймеры

Реализуются на уровне операционной системы или прикладного ПО. Используют один из аппаратных таймеров общего назначения для отсчёта времени. Менее надёжны, так как при сбое самого процессора или ядра ОС могут перестать работать.

Внешние сторожевые таймеры

Отдельные микросхемы, подключаемые к микроконтроллеру. Требуют от процессора периодической подачи сигнала (обычно переключение уровня на входе). Если сигнал не поступает, микросхема выдаёт сброс. Используются в критически важных системах, где встроенный WDT может быть недостаточно надёжен.

История

Первые сторожевые таймеры появились в 1960-х годах в системах управления космическими аппаратами и военной техникой. Необходимость в них была вызвана высокой вероятностью сбоев из-за радиации и электромагнитных помех. В 1970-х годах WDT начали внедрять в промышленные контроллеры. С развитием микропроцессорной техники в 1980-х годах сторожевые таймеры стали стандартным компонентом большинства микроконтроллеров. В 1990-х годах появились программные реализации для операционных систем реального времени.

Применение

Встраиваемые системы

Сторожевые таймеры используются в микроконтроллерах для бытовой техники (стиральные машины, микроволновые печи), автомобильной электронике (блоки управления двигателем, ABS), медицинских приборах (инфузионные насосы, дефибрилляторы). В случае сбоя WDT автоматически перезагружает устройство, предотвращая опасные ситуации.

Промышленная автоматика

Программируемые логические контроллеры (ПЛК) и системы управления технологическими процессами (SCADA) оснащаются внешними WDT для обеспечения непрерывной работы. При зависании контроллера таймер инициирует переключение на резервный канал.

Компьютерная техника

Материнские платы персональных компьютеров и серверов часто содержат сторожевой таймер, реализованный в чипсете или супервводе-выводе (Super I/O). Он используется для автоматической перезагрузки при зависании операционной системы. В BIOS/UEFI есть настройка «Watchdog Timer» для включения этой функции.

Робототехника и беспилотные аппараты

В квадрокоптерах, роботах-манипуляторах и беспилотных автомобилях WDT обеспечивает безопасность при потере связи или сбое управляющего контроллера. При срабатывании таймера система переходит в аварийный режим (например, посадка или остановка двигателей).

Космическая и военная техника

В условиях повышенной радиации и вибраций сторожевые таймеры являются обязательным элементом бортовых компьютеров. Они защищают от сбоев, вызванных одиночными событиями (single event upset, SEU).

Критика и ограничения

Основной недостаток сторожевых таймеров — возможность ложного срабатывания при неправильной настройке периода. Если период слишком мал, нормальная работа программы может не успевать сбрасывать таймер, что приводит к частым перезагрузкам. Если период слишком велик, система может долго оставаться в нерабочем состоянии.

Ещё одна проблема — невозможность отличить «зависание» от длительного выполнения легитимной задачи. Например, при записи данных на флеш-память или ожидании ответа от медленного датчика сброс таймера может быть пропущен. Для решения этой проблемы применяют многоуровневые системы: основной WDT с большим периодом и вспомогательные программные таймеры.

В некоторых системах злоумышленники могут использовать сторожевой таймер для атаки типа «отказ в обслуживании», вызывая принудительные перезагрузки. Для защиты применяют аппаратные ключи доступа к регистрам WDT.

Интересные факты

• В стандарте безопасности IEC 61508 для функциональной безопасности промышленных систем сторожевой таймер является обязательным элементом SIL-уровней 2 и выше.
• В микроконтроллерах AVR (например, ATmega328) сторожевой таймер может работать от отдельного внутреннего генератора частотой 128 кГц, что позволяет ему функционировать даже в режиме глубокого сна процессора.
• Некоторые операционные системы реального времени (FreeRTOS, QNX) имеют встроенную поддержку программных WDT, которые контролируют выполнение отдельных задач.

Источники

• Каганов В. И. «Микроконтроллеры: архитектура, программирование, интерфейсы». — М.: Горячая линия – Телеком, 2019.
• Хоровиц П., Хилл У. «Искусство схемотехники». — М.: Мир, 2003.
• Техническая документация на микроконтроллеры STM32 (RM0008 Reference Manual).
• Стандарт IEC 61508: Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems.
• Tanenbaum A. S. «Modern Operating Systems». — Pearson, 2014.