И каким образом сие работает?

Даже залез в документацию. Докладываю. Один - обычный, второй - для трастзоны, третий- специальный, для реалтайм задач. А четвертый -... а четвертого нету (если конечно не считать за таковой таймер в квадратурном декодере, который умеет только прерывания).

Вот про это мне и интересно, что он там может сделать, пересбросить конкретную задачу, или сбросить проц, если время выполнения этой задачи затянулось?

Судя по доке, беглым взглядом - ничего подобного, это исключительно фанатазии. Реалтаймовый может устанавливать более точные границы срабатывания, а обычные только +- половина лаптя (секунды).

Надо ещё один добавить, для контроля за остальными WDT. для надёжности

Если говорить о fault tolerant системах (медицина, авиация)- только многоканальные системы могут обеспечить необходимую надежность.
Очень часто каждый канал делается на процессорах разных компаний и софт пишется разными группами разработчиков(по единой спецификации).
Что касается WDT - то он нужен, т.к. такая, например, вещь как обычное космическое излучение, может привести к зависанию даже очень хороший CPU.

Не многкоканальные, а дублированные
Смысла делать на разных процессорах не улавливаю.
Если только не распределяется функциональность между процессорами. Типа один коммуникационный, другой HMI, третий непосредственно ралтаймный ввод-вывод. Так сейчас и смартфоны делают и все гаджеты.
Но в надежных системах потом всю эту архитектуру все равно дублируют точно такой же.

Я тут показывал Safety контроллер по требованиям SIL 3.
Он был сделан на 2-х абсолютно одинаковых STM32.



Чет не в ту документацию видать залезли.
Там есть 4-е вполне конкретных WDT общего применения, с некоторыми особенностями. Один, например, сбрасывает не свой процессор, а внешнюю периферию и ли внешний сопроцессор.
Естественно, про трастзону ничего там нет. Ибо это закрытая инфа и там свои механизмы.

А если космическое излучение приведёт к зависанию очень хорошего WDT?

Но системы авионики вроде так и делают. Разные процы, разные команды (в идеале не знающие друг друга), разные компиляторы, языки программирования, страны-производители, и т.д. и т.п.

Покажите ещё раз (дайте ссылку), пожалуйста, я не видел.

По поводу WDT - чтобы нарушить работу CPU, достаточно альфа-частице поменять любой бит в CPU register или CPU RAM, в WDT такое изменение просто поменяет значение счетчика WDT, что некритично(ну сработает раньше/позже, ну и что?)
Что касается дублирования в Fault Tolerant System - то это упрощенный частный случай. Посмотрите в Интернете, как, например, устроены
системы управления в Boeing 777 и Airbus A320.

сработает раньше - перезапуститься полностью исправная система.

Но она не зависнет

Эта частица также может поменять и бит включения в регистре управления WDT

Т.е. отключит сторожевой таймер? И как этот одиночный сбой повлияет на работоспособность системы? А чтобы словить пару таких частиц на кристалл в космосе, надо ждать недели в худшем случае.
К тому же, для критичных применений есть процессоры с троированием регистров (и мажоритарным парированием ошибок) и защитой памяти кодами Хемминга или просто четности (если содержимое памяти легко восстановить).

Вы бы не могли поделиться ссылками. Я, конечно, нашёл кое-что, но вдруг ваш материал будет более информативен. Т.к. тема для меня в целом очень интересная.



Никак. Вы просто лишитесь сторожевого таймера. И уже не надо ждать неделю частицы. Достаточно произойти более вероятной ошибке (например в ПО, либо в железе). И тут мы приплывём.


Это очевидно, более того можно резервировать блоки управления.

Вообще, тема про частицу довольно обособленная, т.к. вероятность такого события крайне низка (имхо).

В таких случаях надо ставить внешний WDT