ウォッチドッグタイマー

ウォッチドッグタイマー（WDT 、または単にウォッチドッグ）は、コンピュータ正常動作タイマー（COPタイマー）^{[1]とも呼ばれ、}コンピュータの誤動作を検出して回復するために使用される電子タイマーまたはソフトウェアタイマーです。ウォッチドッグタイマーは、一時的なハードウェア障害の自動修正を容易にし、誤ったソフトウェアや悪意のあるソフトウェアがシステムの動作を妨害するのを防ぐために、コンピュータで広く使用されています。

通常の動作中、コンピュータはウォッチドッグ タイマーが経過するのを防ぐために定期的にウォッチドッグ タイマーを再起動します。ハードウェア障害またはプログラム エラーが原因で、コンピュータがウォッチドッグを再起動できない場合、タイマーが経過し、タイムアウト信号が生成されます。タイムアウト信号は、修正アクションを開始するために使用されます。修正アクションには通常、コンピュータと関連ハードウェアを安全な状態にし、コンピュータの再起動を呼び出すことが含まれます。

マイクロコントローラには、多くの場合、統合されたオンチップ ウォッチドッグが搭載されています。他のコンピュータでは、ウォッチドッグはCPUに直接接続された近くのチップに常駐している場合もあれば、コンピュータのシャーシ内の 外部拡張カードに配置されている場合もあります。

ウォッチドッグ タイマーは、人間が容易にアクセスできない、またはタイムリーに障害に対応できない組み込みシステムやその他のコンピューター制御機器でよく使用されます。このようなシステムでは、コンピューターがハングしたときに再起動を人間に頼ることはできず、コンピューターは自立している必要があります。たとえば、宇宙探査機などのリモート組み込みシステムは、人間のオペレーターが物理的にアクセスできません。障害から自律的に回復できない場合は、永久に使用できなくなる可能性があります。ロボットやその他の自動化されたマシンでは、制御コンピューターの障害により、たとえコンピューターに簡単にアクセスできる場合でも、人間が対応する前に機器が損傷したり負傷したりする可能性があります。ウォッチドッグ タイマーは通常、このような場合に使用されます。

ウォッチドッグタイマーは、正常に機能しているコンピュータ上のソフトウェアの実行時間を監視および制限するためにも使用されます。たとえば、ウォッチドッグタイマーは、信頼できないコードをサンドボックスで実行しているときに、コードに使用できるCPU時間を制限して、ある種のサービス拒否攻撃を防ぐために使用できます。^[2]リアルタイムオペレーティングシステムでは、ウォッチドッグタイマーを使用して、時間的に重要なタスクを監視し、割り当てられた最大時間内に完了することを確認し、完了できない場合はタスクを終了して失敗を報告することができます。

ウォッチドッグタイマーを再起動する動作は、一般にウォッチドッグをキックする^[a]と呼ばれます。^{[3] [4]}電子ウォッチドッグでは、キックは通常、ウォッチドッグ制御ポートに書き込むか、レジスタ内の特定のビットを設定することによって行われます。あるいは、一部の密結合^{[b]ウォッチドッグタイマーは、特別な}マシン言語命令を実行することによってキックされます。この例としては、一部のPICマイクロコントローラの命令セットにあるCLRWDT (ウォッチドッグタイマーのクリア) 命令があります。

オペレーティングシステムを実行しているコンピュータでは、電子ウォッチドッグの再起動は通常、デバイスドライバを通じて呼び出されます。たとえば、Linuxオペレーティングシステムでは、ユーザー空間プログラムはウォッチドッグデバイスドライバと対話してウォッチドッグをキックします。通常は、 /dev/watchdogにゼロ文字を書き込むか、KEEPALIVE ioctlを呼び出します。^[5]デバイスドライバは、ユーザー空間プログラムからウォッチドッグハードウェアを抽象化する役割を果たし、タイムアウト期間を構成したり、タイマーを開始および停止したりするためにも使用できます。

一部のウォッチドッグ タイマーは、特定の時間ウィンドウ中にのみキックを許可します。ウィンドウのタイミングは通常、前回のキックを基準にしていますが、ウォッチドッグがまだキックされていない場合は、ウォッチドッグが有効になった瞬間を基準にしています。ウィンドウは前回のキックの後に遅延して開始し、さらに遅延して終了します。コンピューターがウィンドウの前または後にウォッチドッグをキックしようとした場合、ウォッチドッグは再起動されません。一部の実装では、これは障害として扱われ、修正アクションがトリガーされます。

ウォッチドッグ タイマーは、動作中は有効、アイドル中は無効になります。電源投入時に、ウォッチドッグは無条件に有効になる場合もあれば、最初は無効になっていて、有効にするには外部信号が必要になる場合もあります。後者の場合、有効化信号はハードウェアによって自動的に生成される場合もあれば、ソフトウェア制御によって生成される場合もあります。

自動的に生成される場合、有効化信号は通常、コンピュータのリセット信号から派生します。一部のシステムでは、リセット信号はウォッチドッグを有効にするために直接使用されます。他のシステムでは、リセット信号が遅延され、ウォッチドッグはリセット後のしばらくしてから有効になります。この遅延により、ウォッチドッグが有効になる前にコンピュータが起動する時間ができます。この遅延がないと、ウォッチドッグはタイムアウトし、コンピュータがアプリケーション ソフトウェア (ウォッチドッグを起動するソフトウェア) を実行する前に後続のリセットを呼び出し、システムは不完全な再起動の無限サイクルに陥ります。

ウォッチドッグ タイマーにはさまざまな構成があり、その多くは構成の変更が可能です。たとえば、ウォッチドッグと CPU は、下のブロック図に示すように共通のクロック信号を共有する場合もあれば、独立したクロック信号を持つ場合もあります。基本的なウォッチドッグ タイマーには単一のタイマー ステージがあり、タイムアウトすると通常は CPU がリセットされます。

2 つ以上のタイマーをカスケード接続して、マルチステージ ウォッチドッグ タイマーを形成することがあります。この場合、各タイマーはタイマー ステージ、または単にステージと呼ばれます。たとえば、次のブロック図は 3 ステージ ウォッチドッグを示しています。設計に応じて、複数のタイマーを使用して実装することも、1 つのタイマーと追加のロジックを使用して複数のタイマーをエミュレートして実装することもできます。

マルチステージ ウォッチドッグでは、プロセッサによって最初のステージのみが起動されます。最初のステージがタイムアウトすると、修正アクションが開始され、カスケードの次のステージが開始されます。後続の各ステージがタイムアウトすると、修正アクションがトリガーされ、次のステージが開始されます。最終ステージがタイムアウトすると、修正アクションが開始されますが、カスケードの最後に達したため、他のステージは開始されません。通常、シングルステージ ウォッチドッグ タイマーはコンピューターを再起動するために使用されますが、マルチステージ ウォッチドッグ タイマーは一連の修正アクションを順番にトリガーし、最終ステージでコンピューターの再起動をトリガーします。^[4]

ウォッチドッグ タイマーには、固定またはプログラム可能な時間間隔があります。一部のウォッチドッグ タイマーでは、いくつかの選択可能な離散値から選択して時間間隔をプログラムできます。その他のウォッチドッグ タイマーでは、間隔を任意の値にプログラムできます。通常、ウォッチドッグの時間間隔は 10 ミリ秒から 1 分以上です。多段ウォッチドッグでは、各タイマーに独自の時間間隔を設定できます。

ウォッチドッグタイマーは、マスク可能割り込み、マスク不可能割り込み、ハードウェアリセット、フェイルセーフ状態の有効化、電源サイクル、またはこれらの組み合わせなど、いくつかの種類の修正アクションのいずれかを開始できます。 ウォッチドッグがトリガーできる修正アクションの種類は、アーキテクチャに応じて固定されている場合もあれば、プログラム可能な場合もあります。 一部のコンピューター（PC互換機など）では、ハードウェアリセットを呼び出すためにパルス信号が必要です。 このような場合、ウォッチドッグは通常、内部または外部のパルスジェネレータをアクティブにしてハードウェアリセットをトリガーし、必要なリセットパルスを生成します。^[4]

組み込みシステムや制御システムでは、ウォッチドッグ タイマーはフェイルセーフ回路を起動するためによく使用されます。フェイルセーフ回路が起動されると、すべての制御出力が強制的に安全状態になり (モーター、ヒーター、高電圧をオフにするなど)、障害が続いている間の傷害や機器の損傷を防止します。2 段階ウォッチドッグでは、最初のタイマーはフェイルセーフ出力を起動し、2 番目のタイマー ステージを開始するために使用されることがよくあります。2 番目のステージは、タイマーが経過する前に障害を修正できない場合にコンピューターをリセットします。

ウォッチドッグ タイマーは、システム状態情報 (障害回復時に役立つ場合があります^[4])やデバッグ情報 (障害の原因を特定するのに役立つ場合があります) を永続的なメディアに記録するために使用されることがあります。このような場合、通常、最初のタイマーが経過すると開始される 2 番目のタイマーは、データの記録が完了するのに十分な時間を確保した後、コンピューターをリセットするために使用されます。これにより、情報を保存する時間を確保しながら、記録プロセスが失敗した場合でもコンピューターがリセットされることが保証されます。

たとえば、上の図は、2 段階ウォッチドッグ タイマーの一般的な構成を示しています。通常の動作中、コンピューターはタイムアウトを防ぐために定期的にステージ 1 を起動します。コンピューターがステージ 1 を起動できない場合 (ハードウェア障害やプログラミング エラーなど)、ステージ 1 は最終的にタイムアウトします。このイベントによりステージ 2 タイマーが開始され、同時にコンピューターに (マスク不可能な割り込みによって) リセットが差し迫っていることが通知されます。ステージ 2 がタイムアウトするまで、コンピューターは状態情報、デバッグ情報、またはその両方の記録を試みることができます。最後の手段として、コンピューターはステージ 2 がタイムアウトするとリセットされます。

ウォッチドッグ タイマーは、コンピューターがキックされるのを防ぐ重大な故障を自動的に検出します。ただし、コンピューターには、キックには影響しないものの、ウォッチドッグの監視を必要とする、それほど深刻ではないタイプの障害がしばしばあります。これらをサポートするために、コンピューター システムは通常、コンピューターがシステムが機能していると判断した場合にのみウォッチドッグ タイマーがキックされるように設計されます。コンピューターは、1 つ以上の障害検出テストを実行してシステムが機能しているかどうかを判断し、すべてのテストに合格した場合にのみウォッチドッグをキックします。^{[引用が必要]}

オペレーティングシステムと複数のプロセスを実行しているコンピュータでは、単一の単純なテストでは正常な動作を保証するのに不十分な場合があります。これは、微妙な障害状態を検出できず、障害状態が存在するにもかかわらずウォッチドッグがキックされる可能性があるためです。たとえば、Linuxオペレーティングシステムの場合、ユーザー空間のウォッチドッグデーモンは、テストを実行せずにウォッチドッグを定期的にキックするだけです。デーモンが正常に動作している限り、システムはカーネルパニックなどの重大なシステムクラッシュから保護されます。それほど深刻ではない障害を検出するために、デーモン^[6]は、リソースの可用性（十分なメモリとファイルハンドル、適切なCPU時間など）、予想されるプロセスアクティビティの証拠（システムデーモンが実行中、特定のファイルが存在するか更新されているなど）、過熱、ネットワークアクティビティをカバーするテストを実行するように構成でき、システム固有のテストスクリプトまたはプログラムを実行することもできます。^[7]

失敗したテストが検出されると、コンピュータはソフトウェア制御の下で一連の修正アクションの実行を試み、最終的にソフトウェアによる再起動を実行します。ソフトウェアが再起動を呼び出せなかった場合、ウォッチドッグ タイマーはタイムアウトし、ハードウェア リセットを呼び出します。実際には、これは多段階ウォッチドッグ タイマーであり、ソフトウェアが最初のタイマー ステージと中間のタイマー ステージ、ハードウェア リセットが最終ステージを構成します。たとえば、Linux システムでは、ウォッチドッグ デーモンはソフトウェアによる再起動を実行しようと試みることができます。これは、ファイル システムが安全にアンマウントされ、障害情報が記録されるため、ハードウェア リセットよりも望ましい場合があります。ただし、ソフトウェアによる再起動はさまざまな障害状況で失敗する可能性があるため、ハードウェア タイマーによって提供される保険は不可欠です。^{[引用が必要]}

• コマンドロスタイマーは宇宙船をコマンド可能に保つための関連メソッドをリセットします
• セーフモード（宇宙船）
• デッドマンタイマー(DMT)
• パワーアップタイマー(PWRT)
• ハートビート（コンピューティング）
• キープアライブ

• 「セクション 9. ウォッチドッグ、デッドマン、およびパワーアップ タイマー」。PIC32 ファミリー リファレンス マニュアル(PDF)。Microchip Technology Inc. 2013。DS60001114G。2024年 1 月 10 日にオリジナルからアーカイブ(PDF) 。2024年 1 月 10 日に取得。（26ページ）

Wikibook Embedded Systemsには、ウォッチドッグタイマーに関するページがあります。

• 優れたウォッチドッグの構築 – ジャック・ガンスルによる記事
• リセット機能付き Arduino ウォッチドッグ タイマー - Adityapratap Singh による記事