imported>Aka: Tippfehler entfernt, deutsch

2025-06-12T10:32:18Z

Neue Seite

{{Dieser Artikel|erläutert ein Verfahren zur Überwachung von Komponenten. Zur kostenlos zugänglichen Datenbank siehe [[DRG Watchdog]], für das Computerspiel siehe [[Watch Dogs]].}}

Der Begriff '''Watchdog''' (englisch für ''Wachhund''; auch ''watchdog timer'' genannt) bezeichnet eine Funktion zur Ausfallerkennung eines digitalen [[System]]s, vorwiegend in Steuerungsanwendungen. Wird dabei eine mögliche Fehlfunktion erkannt, so wird entweder dies gemäß [[Schnittstelle#Softwareschnittstelle|Systemvereinbarung]] an andere Komponenten signalisiert (z. B. Umschalten auf ein [[Redundanz (Technik)|redundantes System]]), eine geeignete [[Sprunganweisung]] bzw. ein [[Reset]] zur selbsttätigen Behebung des Ausfalls eingeleitet, oder ein [[Fail-Safe|sicheres Abschalten]] veranlasst.

== Einsatz in Elektrotechnik und Informatik ==
Watchdogs werden meist in von [[Mikrocontroller]]n gesteuerten elektrischen Geräten oder Maschinen eingesetzt, um einen Ausfall des Gerätes durch [[Software]]versagen durch einen [[Reset]] zu beheben oder Gefahren in gestörten [[Sicherheitssystem]]en durch zwangsweises Abschalten zu vermeiden. Dazu teilen Software-Komponenten dem Watchdog als ''Lebenszeichen'' in vorgegebenen Abständen mit, dass sie noch ordnungsgemäß aufgerufen werden und funktionieren. Wichtig ist hier das Prinzip der Unabhängigkeit des Watchdogs von der Hardware des Mikrocontrollers, vor allem bei einem höheren Gefährdungsrisiko durch Fehlfunktion.

Allgemein ist das Gerät während eines Neustarts (nach dem Reset) nicht zu Echtzeitreaktionen fähig und kann somit keine Daten verarbeiten bzw. auf Anfragen reagieren. In manchen Anwendungsfällen ist es zwingend erforderlich, dass die Steuerung nach einem Neustart den Programmablauf an der unterbrochenen Stelle fortsetzt, z. B. bei einer [[Waschmaschine]]. Interne Systemzustände und ggf. Systemdaten einer [[Ablaufsteuerung]] müssen so gesichert werden, dass sie für den Neustart oder bei einem Stromausfall zur Verfügung stehen. Die Wiederherstellung eines vorher gespeicherten Zustands ist auch bei der [[Datenverarbeitung]] erforderlich zur [[Datenwiederherstellung]], ggf. durch [[Rollback]].

== Hardware-Watchdog ==
[[Datei:Watchdog timer IC.jpg|mini|Watchdog IC]]

Die Meldung zum Zurücksetzen des Hardware-Watchdog (d. h. das ''Triggern'') erfolgt durch einfache Befehle oder das Schalten von binären Ausgängen. Der Hardware-Watchdog kann in den [[Mikrocontroller]] integriert sein oder durch einen auf der Platine verbauten [[Mikroelektronik]]-Baustein realisiert sein.<ref>{{Internetquelle |autor=Niall Murphy |url=https://www.embedded.com/design/debug-and-optimization/4402288/Watchdog-Timers |titel=Watchdog Timers |datum=2000-11-01 |sprache=en |abruf=2019-08-29}}</ref> Er arbeitet gewöhnlich mit einem eigenen, vom Systemtakt des Prozessors unabhängigen Taktgenerator. Der Watchdog kann auch auf Basis analoger [[RC-Glied|RC-Schaltungen]] implementiert werden.

=== Timeout-Watchdog ===
Beim Timeout-Watchdog (deutsch: „Erkennung von Zeitüberschreitung“) muss sich der Mikrocontroller ''vor'' Ablauf einer vorgegebenen Zeit beim Watchdog melden (vergleichbar mit dem Prinzip [[Totmanneinrichtung]] bei der Bahn). Im Fehlerfall wird ein Reset des Mikrocontrollers und eventuell einiger Peripheriebauteile ausgelöst. Ist der Watchdog im Mikrocontroller integriert oder besitzt der Controller einen Eingang für einen [[Hardwareinterrupt|NMI]], kann auch zusätzlich ein sogenannter Trap durch [[Interrupt]] ausgelöst werden. Es ist anschließend die Aufgabe des dem Trap zugeordneten Softwaremoduls, eine angepasste Reaktion durchzuführen (z. B. abspeichern, dass es ein Watchdog-Problem gegeben hat, das System in den sicheren Zustand bringen und anschließend einen teilweisen oder kompletten Neustart durchführen).

=== Fenster-Watchdog ===
[[Datei:WatchdogWindow.png|mini|300px|Fenster-Watchdog]]

Beim Fenster-Watchdog muss sich der Mikrocontroller ''innerhalb'' eines vorgegebenen Zeitfensters beim Watchdog melden. Hierfür werden Zeitintervalle für zu frühe und zu späte Meldungen vorgegeben und die Meldung ist nur innerhalb des Zeitfensters erlaubt und erforderlich. Dies ist insbesondere dann sinnvoll, wenn ein [[digitaler Regler]] Regelkreise mit festen Abtastzeitpunkten ausführt und bei abweichendem Verhalten Instabilitäten auftreten können. Die Reaktion bei ausbleibender Meldung entspricht der Reaktion beim Timeout-Watchdog.

=== Intelligenter Watchdog ===
Die Meldung zum Zurücksetzen des intelligenten Watchdog erfolgt nicht mehr durch Auslösen eines einfachen Befehls oder Triggersignals, sondern durch komplexe Befehle oder komplexe Antworten. Hierbei müssen dynamische Berechnungen ausgeführt und ggf. Fragen zur Authentisierung korrekt beantwortet werden (siehe [[Challenge-Response-Authentifizierung]]). Damit können höhere [[Sicherheitsanforderungsstufe]]n erreicht werden und das Risiko von unerkannten Fehlfunktionen reduziert werden.

Eine vergleichsweise einfache Implementierung dieser Intelligenz ist der ''PRBS-Watchdog''.<ref>{{Literatur |Autor=Alfred Schmidt, Rainer Faller, Wolfram Pöttig |Titel=Redundante sichere Regelung des elektronisch spurgeführten Busses |TitelErg=Tagung Elektronik im Kraftfahrzeug in Baden-Baden |Sammelwerk=VDI-Berichte |Nummer=515 |Verlag=VDI-Verlag |Datum=1984-03-23 |Seiten=117–123}}</ref> Hierbei generiert ein vom Mikrocontroller unabhängiges Schieberegister durch Rückkopplung eine [[Pseudo-random bit stream|PRBS]]-Folge von deterministischen Zufallszahlen. Der Mikrocontroller muss die gleiche Zahlenfolge berechnen und kann hierzu komplexe Befehlsfolgen mit internen Registern und Speicherzellen verwenden, um den nächsten ''Schlüssel'' zum Triggern des externen Watchdog zu berechnen. Die Befehlsfolge kann über den gesamten Programmablauf verteilt sein und bei geschickter Wahl der Rechenoperationen können die CPU-internen Module ([[Arithmetisch-logische Einheit|ALU]], Programmspeicher, Arbeitsspeicher und Register) mit einem kontinuierlichen Selbsttest überwacht werden.<ref>{{Literatur |Autor=Walter Kuntz, D. Ruppert |Titel=Intelligente, wortorientierte Watchdog-Schaltung. Sicherheit durch "sich gegenseitig überwachende" Schaltwege |Sammelwerk=Elektronik |Nummer=11/1990 |Datum=1990-05-25 |Seiten=92–94 |Kommentar=basierend auf Patent DE3225712C2 vom 11. April 1984, Erfinder Wolfram Pöttig und Alfred Schmidt}}</ref>

Im Automobilbereich gelten hohe Anforderungen für die Steuerung des Antriebs (Motor und Getriebe), der Lenkung, der Bremsen und der Assistenzsysteme. Sie müssen fehlertolerant reagieren und das Gesamtsystem – unabhängig von einem fehlerhaften Mikrocontroller – in einen sicheren Zustand bringen. Beispiel: Das Drei-Ebenen-Konzept mit intelligentem Watchdog beim Elektronischen Gaspedal (E-Gas) im Auto.<ref>M. Baumeister, P. Fuhrmann, R. Mariani: [http://www.retsiemuab.de/veroeff/BadenBaden2007-Final.pdf ''Ein einkanaliger, ausfallsicherer Mikrocontroller zur Vereinfachung von SIL3 Architekturen im Fahrzeug''.] (PDF; 208 kB; englisch)</ref> In sehr kritischen Anwendungen sind mehrkanalige [[Redundanz (Technik)|redundante Systeme]] mit [[Fehlertolerantes Regelsystem|fehlertolerantem Verhalten]] notwendig, die aus identischen oder diversitären Komponenten aufgebaut sind.<ref>{{Literatur |Autor=Alfred Schmidt, Rainer Faller, Wolfram Pöttig |Titel=Elektronisch gelenkter Bus. Paradebeispiel für fehlertolerante Regelung |Sammelwerk=Elektronik |Band=15/1984 |Verlag=Franzis-Verlag |Datum=1984-07-27 |Seiten=41–46}}</ref>

== Software-Watchdog ==
Der Software-Watchdog ist eine prüfende Software im Mikrocontroller. Das Watchdog-Software-Modul kontrolliert, ob alle wichtigen Programm-Module in einem vorgegebenen Zeitrahmen korrekt ausgeführt werden oder ob ein Modul unzulässig lange für die Bearbeitung benötigt. Dieses muss nicht unbedingt durch eine fehlerhafte Abarbeitung verursacht sein, sondern kann auch durch einen [[Deadlock (Informatik)|Deadlock]] (Verklemmung) hervorgerufen werden. Der Software-Watchdog kann seinerseits von einem Hardware-Watchdog überwacht werden.

Verfügt ein Mikrocontroller nicht über einen speziellen Watchdog-Schaltkreis, kann der Software-Interrupt eines normalen Timers dazu verwendet werden, sofern der Systemtakt nicht im Energiesparmodus deaktiviert ist. Eine solche Timeout-Überwachung kann durch einen Zähler realisiert werden, der in regelmäßigen Abständen von der Software auf einen bestimmten Wert gesetzt wird. Dieser Zähler wird durch den Systemtakt des Mikrocontrollers ständig dekrementiert und liefert beim Erreichen von Null ein internes Ausfallsignal. Solche einfachen integrierten Watchdogschaltungen sind jedoch nicht für höherwertige Sicherheitsanforderungen ausreichend.

In verteilten Rechnersystemen oder Netzwerken kann eine gegenseitige Überwachung implementiert werden, z. B. durch Überwachen von Zeitüberschreitungen im Antwortverhalten der Aufgabenverteilung oder der Kommunikation (siehe [[Timeout (Netzwerktechnik)]]). Das [[IPMI|Intelligente Plattform-Managementsystem]] spezifiziert als IPMI-Standard eine Schnittstelle zwischen Rechner und Watchdog, so dass man für Standard-Server-Hauptplatinen keine weitere Hardware benötigt.

== Weitere Verwendung ==
Mittlerweile wird der Begriff auch sinnverwandt in anderen Zusammenhängen benutzt, etwa im Diskurs um investigativen Journalismus als ''Watch Dog'' im Sinne einer „[[Vierte Gewalt|Vierten Gewalt]]“ oder in der Debatte um verantwortungsvolle Regierungsführung und die Korrektivfunktion einer vitalen Zivilgesellschaft.

== Einzelnachweise ==
<references />

== Siehe auch ==
* [[Watchblog]]

[[Kategorie:Digitaltechnik]]
[[Kategorie:Controller (Hardware)]]

Watchdog - Versionsgeschichte

imported>Aka: Tippfehler entfernt, deutsch