Αρχιτεκτονική Watchdog Timer και Επανεκκίνησης Συστήματος Στυλό Ανάγνωσης για Αγοραστές B2B

Κοινό: Αυτός ο οδηγός απευθύνεται σε υπεύθυνους μηχανικής υλικού, αρχιτέκτονες firmware OEM και μηχανικούς αξιοπιστίας που πρέπει να επικυρώσουν τη συμπεριφορά του χρονοδιακόπτη επιτήρησης (WDT) και της επαναφοράς συστήματος ενός SKU reading pen πριν από την έγκριση μαζικής παραγωγής. Δευτερεύοντες αναγνώστες περιλαμβάνουν μηχανικούς τεχνικής υποστήριξης πεδίου που διερευνούν παράπονα για «κρέμασμα» του στυλού και υπεύθυνους QA που σχεδιάζουν προφίλ δοκιμών καταπόνησης για ανάκτηση μετά από κρέμασμα firmware.

Ένας διανομέας από τη Βραζιλία μάς κάλεσε το 1ο τρίμηνο του 2026 επειδή τα στυλό T2 του κρεμάστηκαν στο πεδίο με ρυθμό 1,4% ανά μήνα. Το κρέμασμα εκδηλωνόταν ως παγωμένο LED χωρίς έξοδο ήχου και χωρίς απόκριση BLE. Πήραμε 12 κρεμασμένες μονάδες από το πεδίο, συνδέσαμε έναν εντοπιστή σφαλμάτων JTAG και διαπιστώσαμε ότι το MCU είχε εισέλθει σε κατάσταση hard-fault λόγω αναφοράς σε null-pointer στο firmware αναγνώρισης OID. Ο χρονοδιακόπτης επιτήρησης θα έπρεπε να είχε εντοπίσει το hard fault και να είχε επαναφέρει το στυλό, αλλά ο watchdog δεν εξυπηρετούνταν επειδή ο ίδιος ο χειριστής hard-fault ήταν η πηγή της αναφοράς. Η λύση ήταν να μεταφερθεί η εξυπηρέτηση του watchdog σε μια διακοπή χρονοδιακόπτη υλικού που ενεργοποιείται ανεξάρτητα από την κατάσταση του κύριου βρόχου. Κάθε reading pen στον κατάλογό μας (B1, B2, F8, K7, KF1, L5, P2, Q6, Q8, T2, Y6) χρησιμοποιεί χρονοδιακόπτη επιτήρησης, και αυτός ο οδηγός εξηγεί πώς η αρχιτεκτονική WDT αντιστοιχίζεται στην ανάκτηση μετά από κρέμασμα του firmware και στη συνολική αξιοπιστία του συστήματος.

1. Οι Δύο Αρχιτεκτονικές Watchdog

Χρησιμοποιούμε δύο αρχιτεκτονικές watchdog σε όλο τον κατάλογο. Η οικονομική βαθμίδα (B1, B2, F8, P2) χρησιμοποιεί τον εσωτερικό χρονοδιακόπτη παραθύρου (WWDT) του MCU, ο οποίος είναι ένας αντίστροφος μετρητής 12 bit που χρονίζεται από τον εσωτερικό ταλαντωτή RC στα 32 kHz. Ο WWDT πρέπει να εξυπηρετείται εντός παραθύρου 64 ms, και μια παραλείπουσα εξυπηρέτηση ενεργοποιεί επαναφορά συστήματος. Ο σχεδιασμός παραθύρου εντοπίζει τόσο τους άπειρους βρόχους (που θα εξυπηρετούσαν τον WWDT πολύ αργά) όσο και τις «πολύ πρώιμες» κλήσεις εξυπηρέτησης (που θα εξυπηρετούσαν τον WWDT πριν ανοίξει το παράθυρο).

Η μεσαία και η premium βαθμίδα (K7, KF1, L5, Q6, Q8, T2, Y6) χρησιμοποιούν ένα εξωτερικό ολοκληρωμένο κύκλωμα watchdog υλικού (HWDT) επιπλέον του εσωτερικού WWDT. Το HWDT είναι ένα ανεξάρτητο ολοκληρωμένο εποπτείας που παρακολουθεί την επαναφορά του MCU και ένα αποκλειστικό GPIO που εναλλάσσεται από το firmware. Εάν το GPIO δεν εναλλάσσεται εντός 1,6 δευτερολέπτων, το HWDT τραβά τη γραμμή επαναφοράς χαμηλά και επιβάλλει πλήρη επαναφορά ισχύος. Το HWDT προσθέτει 0,06 $ ανά μονάδα, αλλά εντοπίζει τον τρόπο αστοχίας όπου το MCU είναι ζωντανό αλλά κολλημένο σε ρουτίνα διακοπής που δεν εξυπηρετεί τον WWDT. Αυτός είναι ο τρόπος αστοχίας που έπληξε το T2 στο πεδίο.

Η αρχιτεκτονική διπλού watchdog στα μεσαία και premium SKU εντοπίζει τόσο τον τρόπο αστοχίας «κρεμάσματος κύριου βρόχου» (εντοπίζεται από τον WWDT) όσο και τον τρόπο αστοχίας «κρεμάσματος χειριστή διακοπής» (εντοπίζεται από το HWDT). Τα οικονομικά SKU εντοπίζουν μόνο τον τρόπο κρεμάσματος κύριου βρόχου, επειδή δεν διαθέτουν HWDT.

Το ποσοστό ανάκτησης μετά από κολλήματα μετριέται ως το ποσοστό των κολλημάτων του firmware που οδηγούν σε επιτυχημένη επαναφορά εντός 2 δευτερολέπτων από το συμβάν κολλήματος. Η διαφορά 7 ποσοστιαίων μονάδων μεταξύ των οικονομικών και των μεσαίων/premium SKU είναι το όφελος του διπλού watchdog.

2. Η Πειθαρχία Εξυπηρέτησης του Window Watchdog

Ο window watchdog πρέπει να εξυπηρετείται εντός αυστηρού χρονικού παραθύρου. Το παράθυρο ανοίγει 32 ms μετά την εκκίνηση του μετρητή WWDT και κλείνει στα 64 ms. Η εξυπηρέτηση του WWDT πριν ανοίξει το παράθυρο ή αφού κλείσει ενεργοποιεί επαναφορά. Ο σχεδιασμός του παραθύρου προστατεύει από βλάβες τύπου "κολλημένο σε γρήγορο βρόχο" όπου το firmware είναι ενεργό αλλά δεν προοδεύει.

Η πειθαρχία εξυπηρέτησης σε κάθε SKU απαιτεί το firmware να γράψει μια συγκεκριμένη μαγική τιμή (0x5A5A5A5A) στον καταχωρητή εξυπηρέτησης του WWDT εντός του παραθύρου. Η μαγική τιμή είναι σκόπιμα μη τετριμμένη ώστε ένας ανεξέλεγκτος δείκτης που γράφει διαδοχικές θέσεις μνήμης να μην εξυπηρετήσει κατά λάθος τον WWDT. Έχουμε δει τρεις βλάβες πεδίου τους τελευταίους 24 μήνες όπου ένας ανεξέλεγκτος δείκτης έγραψε τη μαγική τιμή τυχαία· ο WWDT επανέφερε σωστά το στυλό σε κάθε περίπτωση.

Ο μετρητής WWDT επανέρχεται στην αρχική του τιμή σε κάθε επιτυχημένη εξυπηρέτηση. Ο μετρητής μειώνεται σε κάθε χρονικό τικ των 32 kHz. Αν ο μετρητής φτάσει στο μηδέν χωρίς να εξυπηρετηθεί, ο WWDT δημιουργεί επαναφορά συστήματος.

3. Το εξωτερικό ρολόι εγρήγορσης υλικού

Ο εξωτερικός HWDT στα μεσαία και premium SKU είναι ένα ολοκληρωμένο εποπτείας 4 ακίδων που παρακολουθεί τη γραμμή reset του MCU και ένα αποκλειστικό GPIO. Ο HWDT διαθέτει δικό του εσωτερικό ταλαντωτή και μετρητή, ανεξάρτητο από τον MCU. Ο μετρητής HWDT επανέρχεται κάθε φορά που το firmware εναλλάσσει το GPIO, πράγμα που πρέπει να συμβαίνει τουλάχιστον μία φορά ανά 1,6 δευτερόλεπτα. Αν ο μετρητής φτάσει στο μηδέν, ο HWDT τραβάει τη γραμμή reset χαμηλά για 200 ms και επιβάλλει πλήρη επαναφορά εκκίνησης.

Ο HWDT παρακολουθεί επίσης τη ράγα VDD του MCU. Αν η VDD πέσει κάτω από 2,7 V (το κατώφλι brown-out), ο HWDT τραβάει τη γραμμή reset χαμηλά και την κρατά χαμηλά μέχρι η VDD να ανέβει ξανά πάνω από 2,85 V. Η προστασία brown-out είναι ανεξάρτητη από τον εσωτερικό ανιχνευτή brown-out του MCU, δίνοντάς μας δύο ανεξάρτητους ελεγκτές τάσης.

Ο HWDT κοστίζει $0,06 ανά μονάδα και προσθέτει 1,2 mm × 1,4 mm εμβαδόν PCB. Στα SKU με λεπτή ράβδο (F8, K7, KF1, Q6, Q8) ο HWDT τοποθετείται στο πίσω μέρος του PCB για ελαχιστοποίηση της επίπτωσης στο πλάτος. Στα μεγαλύτερα SKU (L5, T2, Y6) ο HWDT βρίσκεται στο μπροστινό μέρος του PCB.

4. Επαναφορά Brown-Out και Ανάκτηση από Διαταραχές Ισχύος

Η επαναφορά brown-out (BOR) είναι διαφορετικός μηχανισμός από τον watchdog. Η BOR ενεργοποιείται όταν η τάση τροφοδοσίας πέσει κάτω από ένα κατώφλι (συνήθως 2,7 V) και επαναφέρει τον MCU για να αποτραπεί η εκτέλεση σε χαμηλή τάση. Η BOR υλοποιείται εντός του MCU σε κάθε SKU του καταλόγου.

Το κατώφλι BOR έχει οριστεί σε 2,7 V στα B1, B2, F8, P2 και σε 2,85 V στα K7, KF1, L5, Q6, Q8, T2, Y6. Το υψηλότερο κατώφλι στα μεσαία και premium SKU είναι συνειδητή επιλογή επειδή αυτά τα SKU χρησιμοποιούν ψηφιακές ράγες 1,8 V που αποτυγχάνουν στα 2,7 V. Το κατώφλι BOR πρέπει να βρίσκεται πάνω από την τάση αστοχίας της ψηφιακής ράγας για να αποτραπεί η καταστροφή της ψηφιακής λογικής.

Μια λεπτή βλάβη που έχουμε δει στο πεδίο είναι η "glitch τάσης" που προκαλείται από χαλαρή σύνδεση USB-C. Όταν το καλώδιο κουνιέται, η τάση VBUS μπορεί να πέσει στα 3,5 V για 50 ms, που είναι πάνω από το κατώφλι BOR αλλά κάτω από την τάση λειτουργίας του ενισχυτή class-D. Ο ενισχυτής εξάγει ένα pop και ο MCU βλέπει ένα ψευδές interrupt που μπορεί να ενεργοποιήσει hard fault. Η λύση είναι ένας πυκνωτής αποθήκευσης 22 µF στην ακίδα USB-C VBUS μαζί με λογισμικό debounce στο interrupt του pop του ενισχυτή. Προσθέσαμε και τα δύο στο firmware των K7, KF1, Q6, Q8 το Q3 2024 και το ποσοστό hard fault μειώθηκε κατά 78%.

5. Ο Handler Hard Fault και το Αρχείο Καταγραφής Αιτίας Επαναφοράς

Όταν ο MCU εισέρχεται σε hard fault, ο handler hard fault εκτελεί μια ακολουθία βημάτων πριν ο WWDT επαναφέρει τον MCU. Τα βήματα είναι: (1) εγγραφή της αιτίας επαναφοράς στο αρχείο καταγραφής flash, (2) εγγραφή των καταχωρητών PC και LR που προκάλεσαν το σφάλμα στο αρχείο καταγραφής flash, (3) εναλλαγή του GPIO του HWDT για να υποδείξει βλάβη, (4) είσοδος σε ατέρμονα βρόχο ώστε ο WWDT να επαναφέρει τον MCU.

Το αρχείο καταγραφής αιτίας επαναφοράς αποθηκεύεται σε αποκλειστικό τομέα flash 4 KB που διατηρείται μεταξύ των επαναφορών. Το αρχείο μπορεί να κρατήσει έως 64 συμβάντα επαναφοράς πριν την επανεγγραφή. Το αρχείο εξάγεται μέσω USB για διαγνωστικά πεδίου. Χρησιμοποιούμε αυτό το αρχείο εκτενώς στην αποσφαλμάτωση πεδίου: όταν ένας πελάτης αναφέρει κόλλημα, ζητάμε το αρχείο καταγραφής αιτίας επαναφοράς, που μας λέει τον τύπο hard fault (μηδενικός δείκτης, διαίρεση με μηδέν, απροσδιόριστη εντολή, κ.λπ.) και τον PC που προκάλεσε το σφάλμα.

Ο ίδιος ο handler hard fault αποτελεί πιθανή βλάβη. Το παραπάνω πρόβλημα T2 της Βραζιλίας ήταν ένας handler hard fault που αναφερόταν σε μηδενικό δείκτη, εμποδίζοντας την εξυπηρέτηση του WWDT. Το διορθώσαμε μετακινώντας τον κώδικα εγγραφής flash του handler hard fault σε ξεχωριστή συνάρτηση που είναι επαληθευμένα ασφαλής ως προς τους δείκτες, και προσθέτοντας ένα interrupt χρονοδιακόπτη υλικού που εναλλάσσει το GPIO του HWDT ανεξάρτητα από την κατάσταση του κύριου βρόχου. Το interrupt του hardware timer ενεργοποιείται κάθε 800 ms και είναι το interrupt με την υψηλότερη προτεραιότητα στο σύστημα.

Συμβουλή προς αγοραστή: Όταν ελέγχετε έναν προμηθευτή γραφοσυσκευών ανάγνωσης, ζητήστε τη μορφή του αρχείου καταγραφής αιτίας επαναφοράς και τον πηγαίο κώδικα του handler hard fault. Ένας προμηθευτής που δεν έχει σκεφτεί την ασφάλεια δεικτών στον handler hard fault είναι προμηθευτής που δεν έχει δει αρκετές βλάβες πεδίου για να μάθει.

6. Ψυχρή εκκίνηση έναντι θερμής εκκίνησης έναντι POR

Υπάρχουν τρεις τύποι επαναφοράς στον κατάλογο: cold start (επαναφορά εκκίνησης μετά από πλήρη κύκλο ισχύος), warm start (επαναφορά από WWDT ή HWDT μετά από κόλλημα) και POR (επαναφορά εκκίνησης μετά από brown-out). Κάθε τύπος επαναφοράς έχει διαφορετική ακολουθία εκκίνησης.

Το cold start αρχικοποιεί το PMIC, το RTC, τον αισθητήρα OID και το ραδιόφωνο BLE. Χρειάζεται 1,8 δευτερόλεπτα για να ολοκληρωθεί. Το warm start παραλείπει την αρχικοποίηση του RTC (επειδή η κατάσταση του RTC διατηρείται) και χρειάζεται 1,1 δευτερόλεπτα. Το POR αρχικοποιεί τα πάντα συμπεριλαμβανομένου του RTC και χρειάζεται 2,4 δευτερόλεπτα.

Η συμπεριφορά της ένδειξης LED διαφέρει ανά τύπο επαναφοράς. Ένα cold start δείχνει πράσινο LED για 2 δευτερόλεπτα και μετά σβήνει. Ένα warm start δείχνει κίτρινο LED για 1 δευτερόλεπτο και μετά σβήνει. Ένα POR δείχνει κόκκινο LED για 3 δευτερόλεπτα και μετά σβήνει, υποδεικνύοντας συμβάν brown-out.

Το αρχείο καταγραφής αιτίας επαναφοράς καταγράφει τον τύπο επαναφοράς μαζί με τις τιμές PC και LR. Ο τύπος επαναφοράς γράφεται στο αρχείο ως πεδίο 2 bit: 00 = cold start, 01 = warm start, 10 = POR, 11 = δεσμευμένο.

7. Το Αρχείο Καταγραφής Αιτίας Επαναφοράς και τα Διαγνωστικά Πεδίου

Το αρχείο καταγραφής αιτίας επαναφοράς είναι ένα από τα πιο χρήσιμα εργαλεία διαγνωστικής πεδίου μας. Το χρησιμοποιήσαμε για τη διάγνωση 18 διακριτών βλαβών πεδίου το 2025, μεταξύ των οποίων:

• Hard fault στην αναγνώριση OID (ζήτημα T2 Βραζιλίας)
• Brown-out κατά τη διάρκεια ριπής ενισχυτή class-D (η λύση πυκνωτή αποθήκευσης 22 µF)
• Hard fault στην επανασύνδεση BLE (ζήτημα Q6 Κόλπου)
• Hard fault στην επαναδημιουργία audio codec (ζήτημα K7 Αιγύπτου)
• Brown-out κατά τη διαπραγμάτευση σύμβασης USB PD (ζήτημα L5 Σαουδικής Αραβίας)

Καθένας από αυτούς τους τρόπους βλάβης διαγνώστηκε σε λιγότερο από 48 ώρες χρησιμοποιώντας το αρχείο καταγραφής αιτίας επαναφοράς. Η εναλλακτική θα ήταν ένας κύκλος 4–6 εβδομάδων υποθέσεων, διορθώσεων και αναδιάθεσης.

Το αρχείο καταγραφής αιτίας επαναφοράς εξάγεται μέσω USB χρησιμοποιώντας εντολή ειδική του κατασκευαστή. Η εξαγωγή διαρκεί 1,2 δευτερόλεπτα και παράγει ένα δυαδικό αρχείο 4 KB που το διαγνωστικό μας εργαλείο αναλύει σε αναγνώσιμη μορφή. Παρέχουμε το εργαλείο εξαγωγής σε αγοραστές OEM που θέλουν να εκτελέσουν τα δικά τους διαγνωστικά πεδίου.

8. Κάλυψη Δοκιμών Watchdog στον Ποιοτικό Έλεγχο

Κάθε παρτίδα παραγωγής των K7, KF1, L5, Q6, Q8, T2 και Y6 περνάει από δοκιμή watchdog 12 μονάδων πριν την αποστολή. Η δοκιμή επιβάλλει hard fault γράφοντας μη έγκυρη τιμή PC στο firmware και επαληθεύει ότι ο HWDT επαναφέρει το στυλό εντός 2 δευτερολέπτων. Η δοκιμή επίσης επιβάλλει brown-out βραχυκυκλώνοντας τη ράγα VDD στη γείωση για 50 ms και επαληθεύει ότι η BOR επαναφέρει το στυλό και το αρχείο καταγραφής αιτίας επαναφοράς καταγράφει το συμβάν POR.

Το 2025 κρατήσαμε 2 παρτίδες από τις 168 για αποτυχίες δοκιμής watchdog. Και οι δύο αποτυχίες εντοπίστηκαν σε κακή παρτίδα ολοκληρωμένων εποπτείας HWDT από προμηθευτή Tier-2. Ο προμηθευτής είχε αλλάξει την αναθεώρηση πυριτίου του ολοκληρωμένου χωρίς ειδοποίηση, και η νέα αναθεώρηση είχε κατώφλι brown-out 2,6 V αντί 2,85 V. Απορρίψαμε και τις δύο παρτίδες και επιστρέψαμε στον εγκεκριμένο προμηθευτή Tier-1 για την επόμενη παραγωγική σειρά.

9. Χρόνος Αδράνειας λόγω Watchdog και Εμπειρία Χρήστη

Μια επαναφορά watchdog είναι αόρατη στον χρήστη αν συμβεί κατά τη λειτουργία αναμονής ή αναπαραγωγής ήχου. Η επαναφορά διαρκεί 1,1 δευτερόλεπτα και ο χρήστης την αντιλαμβάνεται ως σύντομη παύση. Αν η επαναφορά συμβεί κατά τη διάρκεια ενεργής μεταφοράς αρχείου BLE, η μεταφορά αποτυγχάνει και ο κεντρικός υπολογιστής πρέπει να δοκιμάσει ξανά. Αν η επαναφορά συμβεί κατά τη διάρκεια σάρωσης OID, το αποτέλεσμα σάρωσης χάνεται και ο χρήστης πρέπει να σαρώσει ξανά.

Το ποσοστό επαναφοράς watchdog ορατό στον χρήστη στα μεσαία και premium SKU είναι 0,04% ανά ενεργή συνεδρία, που μεταφράζεται σε περίπου μία επαναφορά ανά 2.500 σαρώσεις. Στα οικονομικά SKU το ποσοστό είναι 0,7% ανά ενεργή συνεδρία, δηλαδή μία επαναφορά ανά 143 σαρώσεις. Η διαφορά 17× είναι το όφελος του διπλού watchdog σε επίπεδο εμπειρίας χρήστη.

Για αγοραστές OEM που αναπτύσσουν στυλό σε επιδείξεις λιανικής, το ποσοστό επαναφοράς ορατό στον χρήστη είναι κρίσιμος δείκτης. Μια επίδειξη λιανικής που επαναφέρεται μία φορά ανά 143 σαρώσεις δεν είναι εμπορικά βιώσιμη. Συνιστούμε τα SKU με διπλό watchdog (K7, KF1, L5, Q6, Q8, T2, Y6) για οποιαδήποτε ανάπτυξη σε λιανική.

10. Το 12μηνο Μελλοντικό Χαρτοφυλάκιο για Τεχνολογία Watchdog και Επαναφοράς

Παρακολουθούμε τρεις βελτιώσεις watchdog που θα ενταχθούν στον κατάλογο έως το Q4 2026. Πρώτον, ένα υλικό watchdog timer με timeout 200 ms (αντί για 1,6 s) σε ένα μελλοντικό premium SKU, που θα εντοπίζει ταχύτερες καταστάσεις κολλήματος. Δεύτερον, μια αρχιτεκτονική MCU διπλού πυρήνα σε ένα μελλοντικό premium SKU, όπου ο ένας πυρήνας αναλαμβάνει τις εργασίες χρήστη και ο άλλος τις εργασίες housekeeping· ο πυρήνας housekeeping εξυπηρετεί το WWDT και μπορεί να επανεκκινήσει τον πυρήνα χρήστη σε περίπτωση σφάλματος. Τρίτον, ένα αρχείο καταγραφής επανεκκίνησης watchdog μέσω cloud, το οποίο ανεβάζει το αρχείο καταγραφής αιτίας επανεκκίνησης στον cloud server κατά την επόμενη σύνδεση BLE, επιτρέποντας απομακρυσμένη διάγνωση χωρίς παρέμβαση του χρήστη.

Θα δημοσιεύσουμε μια αναφορά παρακολούθησης μετά την κυκλοφορία του HWDT 200 ms σε δοκιμές πεδίου. Εν τω μεταξύ, η αρχιτεκτονική watchdog σε ολόκληρο τον κατάλογό μας είναι ώριμη, επαρκώς επικυρωμένη και πλήρως υποστηριζόμενη, και καλούμε κάθε αγοραστή OEM με ειδική απαίτηση αξιοπιστίας να επικοινωνήσει με την ομάδα μας γιαΣτυλό ανάγνωσης ODM για μια αξιολόγηση σκοπιμότητας.

Σχετική Ανάγνωση

• Επεξήγηση Αρχιτεκτονικής Firmware Στυλό Ανάγνωσης
• Μηχανισμός Ενημέρωσης Firmware OTA Στυλό Ανάγνωσης
• Boot Loader και Ανάκτηση Firmware Στυλό Ανάγνωσης
• RTC Ρολόι Πραγματικού Χρόνου και Τήρηση Ώρας Στυλό Ανάγνωσης
• Ολοκληρωμένο κύκλωμα διαχείρισης ισχύος PMIC στυλό ανάγνωσης
• Διαχείριση Ισχύος και Βελτιστοποίηση Χρόνου Λειτουργίας Στυλό Ανάγνωσης
• Οδηγός Αντιμετώπισης Προβλημάτων Στυλό Ανάγνωσης
• Ποιοτικός Έλεγχος και Πρότυπα AQL Στυλό Ανάγνωσης