Watchdog a finestra
Un watchdog che riavvia il sistema non solo quando viene azzerato troppo tardi, ma anche quando viene azzerato troppo presto.
Un watchdog ordinario intercetta il codice bloccato, ma non quello uscito dai binari con più energia: un ciclo fuori controllo che contiene per caso la chiamata di refresh terrà il cane tranquillo per sempre. Un watchdog a finestra accetta quindi il refresh solo all'interno di una finestra temporale. Arrivare prima che si apra è considerato un guasto e provoca un reset spietato quanto un timeout.
Gli STM32 offrono entrambi i tipi affiancati: l'IWDG, temporizzato da un proprio oscillatore RC interno, così da sopravvivere alla morte del clock principale, e il WWDG, temporizzato dal clock di sistema e dotato di finestra. Norme di sicurezza come la IEC 61508 e la ISO 26262 tendono a preferire il secondo, perché verifica che il programma tenga il tempo — non soltanto che sia vivo.