SBC Watchdog 深度 — Simple / Window / Q&A + MCU 协同

看门狗的本质都是"MCU 定时喂狗,超时则 reset",但喂的方式 + 验证深度决定保护强度。Simple 只看时间;Window 加时间窗口;Q&A 还验算法正确性。下图把三类时序 + Q&A 详细协议一次画清:

最基础形式:MCU 任何时间在 Tmax 内喂一次,WD 计数器 reset;超 Tmax 未喂 → WD trip → SBC 拉 nRESET。

实现:

void main_task(void) {
  while (1) {
    // application code...
    feed_watchdog();  // GPIO toggle 或 SPI write
    delay_ms(50);
  }
}

保护强度:

• ✓ MCU 整体卡死 (CPU hang) → 喂狗 task 也停 → reset
• ✗ 死循环里调 feed_watchdog():仍喂狗,WD 不 trip,application 实际挂了
• ✗ stuck loop:也喂狗,WD 不查 application 在哪里

ASIL 上限 B。EV 主驱不够。

升级版:喂狗必须在时间窗口 [Tmin, Tmax] 内,早喂也 trip。

典型:

• Tmin = 5 ms
• Tmax = 15 ms
• 喂狗时间窗口宽度 10 ms

实现:

void main_task(void) {
  uint32_t last_feed_us = get_time_us();
  while (1) {
    // application code...
    uint32_t now = get_time_us();
    if (now - last_feed_us >= T_MIN_US) {
      feed_watchdog();
      last_feed_us = now;
    }
    // 不在窗口内不喂
  }
}

保护强度:

• ✓ 同 Simple WD
• ✓ 防"死循环喂狗" — 死循环执行快,会早喂触发 reset
• ✓ 防 stuck loop(任务慢 → 错过窗口)
• ✗ 不能验"喂狗代码"是否真在 main task 里跑(还是被错误调度跑了)

ASIL 上限 C-D。EV 主驱够用但偏简单。

最严:SBC 出题 → MCU 算 → 答。整个 protocol 验CPU + Flash + 算法真在执行。

典型 SBC (NXP FS65) Q&A 算法:

• SBC 每 10 ms 生成 4-bit seed + 4-bit 计数器(合 8-bit Q)
• MCU 必须用预存查表 + CRC + counter算出 16-bit response
• SBC 比对 expected response,匹配 → 喂狗 + 下一题;不匹配 → 错次 +1
• 连续 3 次错 → 拉 nRESET + STO

典型协议:

// MCU 端
void wd_task_10ms(void) {
  uint8_t Q = sbc_read_question();  // SPI 读 SBC
  uint16_t A = compute_answer(Q);    // 加密 / 查表 / CRC
  sbc_write_answer(A);
}

uint16_t compute_answer(uint8_t Q) {
  // 算法在 Flash table + RAM 状态
  uint8_t seed = (Q >> 4) & 0x0F;
  uint8_t counter = Q & 0x0F;
  uint16_t base = ANSWER_LUT[seed];
  return crc16(base + counter);  // 真涉及 Flash + RAM + CPU
}

保护强度:

• ✓ Window WD 所有
• ✓ 验 CPU 真在执行算法(死循环喂狗也算不对答案)
• ✓ 验 Flash 完整性(LUT 数据正确)
• ✓ 验 RAM 状态(counter 递增)
• ✗ 仍不能验 application 逻辑正确(算法本身可能 bug)

ASIL 上限 D,EV 主驱 ASIL D 首选。

下表汇总主流 SBC 内置 Q&A 协议特征:

EV ASIL D 主流配对:TC397 + TLF35584 / S32K3 + FS65 — 都 Q&A。

watchdog 错次达阈值 → SBC 不是只 reset,而是多硬件信号同时拉:

1. nRESET 拉低 → MCU 复位 → 应用停
2. STO pin 拉低 → 栅极驱动 IC 关栅 → 主驱 safe state
3. FAIL_OUT pin 通知 VCU(可选)
4. 内部状态机 进 FAULT 永久态 — 需重新上 12V 才能恢复

EV 主驱watchdog trip 直接拉硬件 STO,不靠 MCU 决策 — 这是 ASIL D 分解 channel B 的本质。

链接:SafeState Manager §3 2nd-Level

EV PEU 开发中 watchdog 是最容易 debug 失败的模块。下表 5 个反复出现的:

ASIL D = B(D) + B(D) 分解时,SBC Q&A WD 是 channel B 的核心:

• channel A:主 MCU 双核 lockstep(开发 B 等级)
• channel B:SBC + Q&A WD + STO 硬件(开发 B 等级)

DFA 4 项独立性证据(见 topic-asil-decomposition-deep §3):

1. 物理独立:SBC 单独 IC,独立 LDO
2. 时钟独立:SBC 内部时钟,不共享 MCU 时钟
3. 软件独立:Q&A 算法跑 SBC 内部 ROM,跟 MCU SW 完全分离
4. 电源独立:12V → SBC 独立 buck,不共享 MCU 主 power

watchdog 是 SBC 监视 MCU 的主要手段,SBC 自身不需要被 MCU 监视(双向不对称是 OK 的)。

EV 主驱 ASIL D Q&A WD 典型参数:

watchdog 设计失败往往不是协议本身,而是配置 / timing / 测试 4 类问题。下表 5 个典型坑: