mini工控机为什么需要看门狗：无人值守设备怎么自己恢复

一、看门狗在监控什么

　　远端站点这类部署里，设备旁边往往没有人常驻，异常只能等人工到场时，恢复时间就由路程决定，而mini工控机常被放进小型机柜或设备内部，正是人工最难立刻到达的位置。

　　看门狗检查的不是设备哪里出了故障，而是该来的通知有没有按时到达。判定之所以能在软件已经不正常时照常完成，是因为计时由一段独立电路承担。

　　把看门狗当成规格表上多出来的一行重启参数是误读。重启只是超时之后可能执行的动作之一，它负责的是持续检查：该来的通知按时到达就继续运行，通知缺席就按超时处理。

　　被监控的程序按固定间隔提交一次通知，电路就重新计时，这个动作俗称喂狗。喂狗把仍然正常变成一条按时间检查的信号，间隔必须短于超时时间，动作也要由被监控对象自己发出。

　　二、异常为什么不会自愈

　　程序失去响应的情形里，最难处理的是它仍然占着处理器却不再把运行机会让给别人。此时系统看起来还在运转，任务却不再推进，也没有哪一步会自行结束它。

　　内核为这种状态单独做了判定：内核态循环超过20秒且不让出运行机会称为soft lockup，处理器在内核态循环数秒又不让中断运行称为hard lockup，watchdog_thresh默认10秒。

　　判定只是把问题标出来，默认动作是打印栈回溯并停在原地，不会自动变成恢复动作。要把两者接起来，还得另行启用参数。

　　softlockup_panic或hardlockup_panic启用后系统才进入panic，panic再配合kernel.panic参数，设备才会在指定秒数后自动重启。

　　三、三层监控各自守住什么

　　监控可以分层。服务单元启用WatchdogSec之后，服务需要按这个间隔定期发送WATCHDOG=1作为保活上报，没有按时上报就按该服务配置的动作处理。

　　把三层并排看，分工就清楚了：服务监控只看这一个服务有没有按时上报，内核检测看处理器还能不能调度与响应中断，硬件计时器只看有没有按时喂狗。

　　兜底的复位因此落在硬件计时器上。监控方需要比被监控方活得久，硬件计时不受操作系统调度影响，前两层停掉时它仍能走完倒计时。

　　四、复位只能恢复不能修复

　　对远端机柜里的mini工控机来说，复位做的是恢复而不是修复：它把设备送回可运行状态，异常原因不会被消除。异常若每次启动后按同样路径重现，只是把同一过程再走一遍。

　　要让复位前后仍然可判断，计时器可以设置预超时，在正式复位之前先用一次NMI做出通知，把记录panic信息的时间留出来。

　　复位原因也支持回读，WDIOF_CARDRESET这个标志表示上次复位由看门狗触发，驱动据此可以把它与其它原因的重新启动区分开。

　　超时时间也不是越短越好。设得太短会把正常的长耗时操作当成异常，设备可能在任务中途被复位，超时时间要与任务允许的停顿一并确定。

　　五、设备自己恢复的前提条件

　　回到部署条件上，一台设备要不要让监控接管恢复，取决于三项：现场人员到达设备需要多久、这项任务允许中断多长时间、异常原因能不能在无人到场时被消除。

　　现场到达时间远大于复位时间、任务允许中断、异常又属于可以先绕过去的一类时，让设备自行完成恢复才成立；如果异常每次重启后都立刻重现，先解决原因比启用监控更实际。

　　东田把采用无风扇结构与紧凑机箱的机型归入嵌入式无风扇工控机产品线，以整机形态供货。远端机柜或设备内部这类位置上，mini工控机的整机尺寸与供电输入方式可以先对齐。

　　DTB-3002-J1900把整机控制在214×156×52mm、约1.5Kg，用DC 12V供电，可以先对上小型设备内部的空间与供电；处理器为Intel Celeron J1900四核，另配两个千兆网口与六个COM口。

　　DTB-3096-1235U整机尺寸217×143×63mm、重量2.39KG，用DC 9~36V宽压输入应对远端站点的母线波动；配Intel Core i5-1235U十核处理器与五个Intel千兆网口。

　　结语

　　看门狗补的是现场没有人这个缺口，把恢复从路程时间里拿出来交给设备自己完成。判断时先看人员到达时间与允许的中断时长，再决定mini工控机要不要用。

　　FAQ

　　看门狗是不是就等于自动重启？

　　不是。自动重启只是超时之后可能执行的动作之一，看门狗本身是一条持续检查运行状态的通道，通知按时提交就继续运行。

　　有看门狗还需要远程运维吗？

　　需要。看门狗只把设备送回可以运行的状态，不消除异常原因。它负责在无人到场时让设备回到可用状态，找原因要靠远程运维。

　　超时时间是不是越短越好？

　　不是。设得太短会把正常的长耗时操作当成异常，设备可能在任务中途被复位；超时时间要与业务允许的停顿一并确定。

　　mini工控机在无人值守场景里怎么用这套机制？

　　按部署条件决定。到达时间远大于复位时间、任务允许中断、异常又能先绕过去时，让设备自行恢复才划算；异常每次重启后立刻重现，先解决原因更实际。