А что он контролирует?
А если произойдет сбой, обновление начнется сначала само, как ни в чем не бывало? Я с компьютера вручную пересылку прошивки запускаю. И старт обновления в приборе тоже вручную даю.

Сбой связи.
Да.
А я - нет. Мне не нужно лезть в прибор, чтобы запустить обновление. Достаточно запустить программу обновления на компе.

То есть, при подключенном к компу приборе запускаете программу обновления, о процесс пошел. Если произошел сбой связи или программирования флэш-памяти, прибор перезапускается, "вспоминает", что должен обновляться, посылает в комп сигнал, и программа перезапускает обновление? Или программа не дожидается подтверждения завершения, и сама перезапускается обновлять по-новой?

На обрыв связи обычного программного таймаута не хватит?

Не дождавшись подтверждения программа завершается с сообщением об ошибке. Человек может запустить ее снова.
Хватит. Но собакой значительно проще.

Практика показывает, что безответственными девайсы получаются сами собой.
Например, если недостаточно хорошо продумать условия сброса ватчдога, половина freertos'а виснет, в живых остаётся только "малозначимые" задачи, одна из которых продолжает дёргать ватчдог.


Спасибо за ценные сведения. Но на практике проще сбрасывать единократно запущенный ватчдог постоянно, чем его включать-выключать.
Это если выключение ватчдога вообще предусмотрено.

Вот именно. Некоторые умельцы считают, что если они дергают сторожевой таймер везде, куда только фантазия ни заведет (например, в прерываниях), то их программа станет супернадежной. Таймером нужно пользоваться очень аккуратно, чтобы гарантировать, что основной цикл или планировщик задач выполняется.

Вот и включите его в основной программе, а не в загрузчике. Я бы делал так. Сейчас вообще отказался от него, закомментировал инициализацию. Потому что попробовал всунуть его сброс в idle задачу в RTX RTOS, но что-то не получилось, не помню... забил.

Этот момент тоже обдумывал. На этот случай контролирую время выполнения всех задач. Если оно превышает заданное - вочдог в системной задаче перестает сбрасываться из-за обнаружения зависшей задачи. А контролируетс время выполнения задачи просто - в начале и конце цикла задачи обновляется время последнего выполнения задачи, а системная задача это видит.


Согласен. Дергать собаку в аппаратном таймере крайне ненадежно. С большей вероятностью зависнет программа, а таймер продолжит тикать.