技术中心
在当今工业领域，安全相关系统（SRS）广泛采用微控制器（MCU）作为处理器，为确保其安全运行，有效的诊断措施至关重要。基本功能安全（FS）标准 IEC 61508 - 2 附录 A 表 A.10 推荐了几种用于控制数字器件程序序列中硬件故障的诊断技术和措施，而看门狗定时器作为确保数字控制器（如微控制器）安全运行的关键器件，在其中发挥着重要作用。本文将深入探讨如何使用看门狗定时器实现这些诊断功能，以及不同类型看门狗定时器在运行和诊断覆盖率方面的差异。
随着 SRS 中 MCU 的广泛应用，为保障安全运行，IEC 61508 - 2 推荐使用由硬件支持的自检作为针对处理器的诊断技术之一。例如，使用看门狗定时器 IC 周期性地监测 MCU 输出的特定位模式，以提高故障检测速度和扩大检测范围。该标准规定了两种类型的看门狗，一种是具有独立时基但无时间窗口的看门狗，另一种是具有独立时基和时间窗口的看门狗，同时还提到了可用于程序序列的时间和逻辑监测的组合。
具有独立时基但无时间窗口的看门狗，是一种简易看门狗，它借助外部定时元件，能在指定时间间隔内检测计算器件（如 MCU）中的程序序列故障。其工作机制是：允许 MCU 在看门狗达到超时之前向其发出复位信号，表示程序序列运行正常；若看门狗超时，则向 MCU 发出复位信号，表示程序运行出现问题。如图 1a 所示的 MAX6814 实现示例，虽然 MCU 通常内置看门狗定时器（WDT），但在发生共因故障（CCF）时，仅依靠内置 WDT 检测故障不可靠，因此需要使用单独的 WDT 确保 MCU 处于复位状态。图 1b 的流程图展示了嵌入 MCU 程序执行中的看门狗定时器的行为，在程序执行前需设置看门狗超时周期（WDT）的复位间隔，程序执行时 WDT 运行，MCU 需在 MAX6814 达到超时之前向其 WDI 引脚发送信号，否则器件将向 MCU 发出复位信号，使系统进入安全状态。不过，这种 WDT 只能捕获程序序列卡在循环中或中断服务例程未及时返回等问题，无法解决程序执行时间异常或序列执行错误等问题。
具有独立时基和时间窗口的看门狗，即窗式 WDT，存在独立的时间窗口，能检测过度延迟和过早执行情况。它禁止 MCU 在规定的开放窗口之外作出响应，相比简易看门狗，可保证程序按时执行所有子例程，否则将使 MCU 复位。如图 2 所示的采用 MAX6753 实现的程序序列监测示例，其看门狗周期可通过外部电容配置；图 3 展示了采用 MAX42500 的另一种实现方案，其看门狗时间设置可通过 I2C 配置，减少了外部元件数量，并能通过分组差错校验（PEC）字节提高故障覆盖率，如图 4 所示，PEC 字节可提高对 I2C 通信相关故障的诊断覆盖率。然而，这种看门狗仍无法捕捉软件子例程是否按正确顺序执行的问题。
程序序列的时间和逻辑监测的组合，是一种能实现高诊断覆盖率的技术。该技术的实现方案包含窗式看门狗和检查程序序列是否按正确顺序执行的功能。如图 2 中的电路与图 5 中的序列结合，MCU 的每个程序例程采用的字符与数字组合，每次执行例程时将这些组合放置在数组中，执行完一个例程后，只有数组中的所有字都正确设置，MCU 才会向看门狗发送复位信号。
在某些对诊断覆盖率要求更高的系统中，仅在窗口时间内发送回脉冲可能不够，此时可使用 MAX42500 的质询 / 响应看门狗。在这种模式下，需读取 IC 中的键 - 值寄存器作为质询消息的起始点，MCU 要利用此消息计算并发送适当响应回看门狗 IC，以在有效窗口内重启看门狗。这种工作方式类似于简易窗式看门狗，区别在于键寄存器会被更新，而不是通过上升沿刷新看门狗，如图 6 所示。MAX42500 包含一个线性反馈移位键控（LFSK）寄存器，使用多项式 x8 + x6 + x5 + x4 + 1，MCU 需按此方式计算响应并通过 I2C 返回。这种质询 / 响应方式能实现比时间和逻辑程序序列监测组合更高的覆盖率，因为它表明 MCU 仍具备实际计算能力。
根据基本功能安全标准，针对 SRS 中每个模块的每项诊断措施，都有可达到的诊断覆盖率。IEC 61508 标准中采用看门狗定时器的程序序列，具有独立时基但无时间窗口的看门狗可达到的诊断覆盖率为低，具有独立时基和时间窗口的看门狗为中，程序序列的时间和逻辑监测的组合为高。不过，由于存在标准未涵盖的其他实现方案，可达到的诊断覆盖率需通过故障插入测试进行验证。
综上所述，本文介绍了三类使用看门狗定时器的诊断措施。类简易看门狗具有独立时基但无时间窗口，诊断覆盖率较低；第二类窗式看门狗具有独立时基和时间窗口，可实现中等诊断覆盖率；为进一步提高诊断覆盖率，可在时间监测基础上采用逻辑监测，质询 / 响应窗式看门狗架构能检查 MCU 的计算能力，从而进一步提升对程序序列故障的诊断效果。
