Linux Watchdog 机制

最新推荐文章于 2024-11-07 22:14:14 发布

Andy_0755

最新推荐文章于 2024-11-07 22:14:14 发布

阅读量1.4k

点赞数

分类专栏： linux

linux 专栏收录该内容

62 篇文章

订阅专栏

本文深入探讨了 Linux 系统中的 Watchdog 机制，包括内核 Watchdog 的 softlockup 和 hardlockup 检测原理，以及用户态 Watchdog 的实现方式，如 softdog 和 hardwarewatchdog 的工作机制。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

转自 https://blog.youkuaiyun.com/whatday/article/details/88016972

Watchdog 是 Linux 系统一个很重要的机制，其目的是监测系统运行的情况，一旦出现锁死，死机的情况，能及时重启机器（取决于设置策略），并收集crash dump.

watchdog，顾名思义，看门狗。这就说明，有一个被watch的对象，和一个watch它的程序。

无论是内核watchdog，还是userland watchdog，其基本思路都是：
1. 假定某一个对象的状态能表征系统运行是否健康（比如interrupt的次数，比如/dev/watchdog的时间戳）;
2. 启动一个watchdog程序，定期（通过内部或者外部时钟触发）来观测这个对象，来判定系统是否健康，并采取相应动作。

Watchdog 有好几种不同的实现机制，最近我在公司鼓捣了一下各种机制的原理，并在实验室机器上面进行了实验操作，总结了以下两种机制：
1. kernel watchdog
2. Userland watchdog

下面，我们分别阐述他们的机制。

kernel watchdog 目的

当我们引入这么一个Watchdog的时候，首先关心的是它是做什么用的。简单的说，kernel watchdog是用来检测Lockup 的。

所谓lockup，是指某段内核代码占着CPU不放。Lockup严重的情况下会导致整个系统失去响应。Lockup有几个特点：

首先只有内核代码才能引起lockup，因为用户代码是可以被抢占的，不可能形成lockup（只有一种情况例外，就是SCHED_FIFO优先级为99的实时进程即使在用户态也可能使[watchdog/x]内核线程抢不到CPU而形成soft lockup）
其次内核代码必须处于禁止内核抢占的状态(preemption disabled)，因为Linux是可抢占式的内核，只在某些特定的代码区才禁止抢占（例如spinlock），在这些代码区才有可能形成lockup。

Lockup分为两种：soft lockup 和 hard lockup，它们的区别是 hard lockup 发生在CPU屏蔽中断的情况下。而soft lockup则是单个CPU被一直占用的情况（中断仍然可以响应）。

这里我们先要介绍一下NMI。

NMI

NMI，即非可屏蔽中断。即使在内核代码中设置了屏蔽所有中断的时候，NMI也是不可以被屏蔽的。

中断分为可屏蔽中断和非可屏蔽中断。

其中，可屏蔽中断包含时钟中断，外设中断（比如键盘中断，I/O设备中断，等等），当我们处理中断处理程序的时候，在中断处理程序top half时候，在不允许嵌套的情况下，需要关闭中断。

但NMI就不一样了，即便在关闭中断的情况下，他也能被响应。触发NMI的条件一般都是ECC error之类的硬件Error。但NMI也给我们提供了一种机制，在系统中断被误关闭的情况下，依然能通过中断处理程序来执行一些紧急操作，比如kernel panic。

这里涉及到了3个东西：kernel线程，时钟中断，NMI中断（不可屏蔽中断）。

这3个东西具有不一样的优先级，依次是kernel线程 < 时钟中断 < NMI中断。其中，kernel 线程是可以被调度的，同时也是可以被中断随时打断的。

接下来，我们分别看什么是soft lockup，什么是hard lockup.

SoftLockup

Soft lockup是指CPU被内核代码占据，以至于无法执行其它进程。检测soft lockup的原理是给每个CPU分配一个定时执行的内核线程[watchdog/x]，如果该线程在设定的期限内没有得到执行的话就意味着发生了soft lockup，[watchdog/x]是SCHED_FIFO实时进程，优先级为最高的99，拥有优先运行的特权。

SoftLockup 示例代码

以下是一段Soft lockup的示例代码，通过一直占用某个CPU，而达到soft lockup的目的：

#include<linux/kernel.h>

#include<linux/module.h>

#include<linux/kthread.h>


struct task_struct *task0;

static spinlock_t spinlock;

int val;


int task(void *arg)

{

printk(KERN_INFO "%s:%d\n",__func__,__LINE__);

/* To generate panic uncomment following */

/* panic("softlockup: hung tasks"); */


while(!kthread_should_stop()) {

printk(KERN_INFO "%s:%d\n",__func__,__LINE__);

spin_lock(&spinlock);

/* busy loop in critical section */

while(1) {

printk(KERN_INFO "%s:%d\n",__func__,__LINE__);

}


spin_unlock(&spinlock);

}


return val;

}


static int softlockup_init(void)

{

printk(KERN_INFO "%s:%d\n",__func__,__LINE__);


val = 1;

spin_lock_init(&spinlock);

task0 = kthread_run(&task,(void *)val,"softlockup_thread");

set_cpus_allowed_ptr(task0, cpumask_of(0));


return 0;

}


static void softlockup_exit(void)

{

printk(KERN_INFO "%s:%d\n",__func__,__LINE__);

kthread_stop(task0);

}


module_init(softlockup_init);

module_exit(softlockup_exit);

上述代码是从某个网站上找到的，它通过spinlock()实现关抢占，使得该CPU上的[watchdog/x]无法被调度。另外，通过set_cpus_allowed_ptr()将该线程绑定到特定的CPU上去。

SoftLockup 检测机制

SoftLockup 检测首先需要对每一个CPU core注册叫做watchdog的kernel线程。即[watchdog/0]，[watchdog/1]，[watchdog/2]…

同时，系统会有一个高精度的计时器hrtimer（一般来源于APIC），该计时器能定期产生时钟中断，该中断对应的中断处理例程是kernel/watchdog.c: watchdog_timer_fn()，在该例程中：
- 要递增计数器hrtimer_interrupts，这个计数器同时为hard lockup detector用于判断CPU是否响应中断；
- 还要唤醒[watchdog/x]内核线程，该线程的任务是更新一个时间戳；
- soft lock detector检查时间戳，如果超过soft lockup threshold一直未更新，说明[watchdog/x]未得到运行机会，意味着CPU被霸占，也就是发生了soft lockup。

注意，这里面的内核线程[watchdog/x]的目的是更新时间戳，该时间戳是被watch的对象。而真正的看门狗，则是由时钟中断触发的 watchdog_timer_fn()，这里面 [watchdog/x]是被scheduler调用执行的，而watchdog_timer_fn()则是被中断触发的。

我们先看一下watchdog线程注册代码，通过smpboot_register_percpu_thread注册了watchdog_threads:

static struct smp_hotplug_thread watchdog_threads = {

.store = &softlockup_watchdog,

.thread_should_run = watchdog_should_run,

.thread_fn = watchdog,

.thread_comm = "watchdog/%u",

.setup = watchdog_enable,

.park = watchdog_disable,

.unpark = watchdog_enable,

};


void __init lockup_detector_init(void)

{

set_sample_period();

if (smpboot_register_percpu_thread(&watchdog_threads)) {

pr_err("Failed to create watchdog threads, disabled\n");

watchdog_disabled = -ENODEV;

}

}

这个线程会定期（一定情况下，后面会讲）调用watchdog 函数，其目的是更新watchdog_touch_ts，如下：

static void __touch_watchdog(void)

{

__this_cpu_write(watchdog_touch_ts, get_timestamp());

}


static void watchdog(unsigned int cpu)

{

__this_cpu_write(soft_lockup_hrtimer_cnt,

__this_cpu_read(hrtimer_interrupts));

__touch_watchdog();

}

然后我们看看时钟中断，函数如下，该中断注册了名为watchdog_timer_fn的中断处理函数：

static void watchdog_enable(unsigned int cpu)

{

struct hrtimer *hrtimer = &__raw_get_cpu_var(watchdog_hrtimer);


/* kick off the timer for the hardlockup detector */

hrtimer_init(hrtimer, CLOCK_MONOTONIC, HRTIMER_MODE_REL);

hrtimer->function = watchdog_timer_fn;


/* done here because hrtimer_start can only pin to smp_processor_id() */

hrtimer_start(hrtimer, ns_to_ktime(sample_period),

HRTIMER_MODE_REL_PINNED);

}

其中，watchdog_timer_fn处理过程如下：

static enum hrtimer_restart watchdog_timer_fn(struct hrtimer *hrtimer)

{

unsigned long touch_ts = __this_cpu_read(watchdog_touch_ts);

int duration;


/* kick the hardlockup detector */

watchdog_interrupt_count();


duration = is_softlockup(touch_ts);

if (unlikely(duration)) {

if (softlockup_panic)

panic("softlockup: hung tasks");

__this_cpu_write(soft_watchdog_warn, true);

} else

__this_cpu_write(soft_watchdog_warn, false);


return HRTIMER_RESTART;

}

该函数做了两件事情：
1. 更新hrtimer_interrupts变量。

static void watchdog_interrupt_count(void)

{

__this_cpu_inc(hrtimer_interrupts);

}

这里我们就要回顾之前创建的那个kernel线程了，多久调用一次就和hrtimer_interrupts的值密切相关。

static int watchdog_should_run(unsigned int cpu)

{

return __this_cpu_read(hrtimer_interrupts) !=

__this_cpu_read(soft_lockup_hrtimer_cnt);

}

第二件事，是要探测是否有soft lockup发生

static int is_softlockup(unsigned long touch_ts)

{

unsigned long now = get_timestamp();


/* Warn about unreasonable delays: */

if (time_after(now, touch_ts + get_softlockup_thresh()))

return now - touch_ts;


return 0;

}

很容易理解，其实就是查看watchdog_touch_ts变量在最近20秒的时间内，有没有被创建的kernel thread更新过。

假如没有，那就意味着线程得不到调度，所以很有可能就是在某个cpu core上抢占被关闭了，所以调度器没有办法进行调度。

这种情况下，系统往往不会死掉，但是会很慢。

有了soft lockup的机制，我们就能尽早的发现这样的问题了。

如果我们将内核参数 softlockup_panic设置为1，它将执行panic。否则，将warning信息打印出来。

softlockup设置

linux kernel会自动检测softlockup，在发生softlockup情况下，系统默认会打印相关warning信息。如果需要出发panic的话，可以设置

echo 1 > /proc/sys/kernel/softlockup_panic

可以同时设置 watchdog_thresh参数来定义发现softlockup以后系统panic的时间，默认是10s, 也就是说20s后系统panic。最大能设到60s，也就是说，120s后启动系统panic。

一般来说，在production system上，不建议使用softlockup_panic选项（有可能误伤）。可以在调试系统上使用。

Hardlockup

讲完了Softlockup，我们接着讲 Hardlockup。

Hard lockup比soft lockup更加严重，CPU不仅无法执行其它进程，而且不再响应中断。检测hard lockup的原理利用了PMU的NMI perf event，因为NMI中断是不可屏蔽的，在CPU不再响应中断的情况下仍然可以得到执行，它再去检查时钟中断的计数器hrtimer_interrupts是否在保持递增，如果停滞就意味着时钟中断未得到响应，也就是发生了hard lockup

Hardlockup 示例代码

下面代码示意了hardlockup如何产生的，其中重要一点就是关中断，这里，通过spin_lock_irqsave()

#include <linux/init.h>

#include <linux/module.h>

#include <linux/kernel.h>

#include <linux/kthread.h>

#include <linux/spinlock.h>


MODULE_LICENSE("GPL");


static int

hog_thread(void *data)

{

static DEFINE_SPINLOCK(lock);

unsigned long flags;


printk(KERN_INFO "Hogging a CPU now\n");

spin_lock_irqsave(&lock, flags);

while (1);


/* unreached */

return 0;

}


static int __init

hog_init(void)

{

kthread_run(&hog_thread, NULL, "hog");

return 0;

}


module_init(hog_init);

在上述例子中，中断被关闭，普通中断无法被相应（包括时钟中断），线程无法被调度，因此，在这种情况下，不仅仅[watchdog/x]线程也无法工作，hrtimer也无法被相应。

Hardlockup 检测机制

Linux kernel设计了一个检测lockup的机制，称为NMI Watchdog，是利用NMI中断实现的，用NMI是因为lockup有可能发生在中断被屏蔽的状态下，这时唯一能把CPU抢下来的方法就是通过NMI，因为NMI中断是不可屏蔽的。

NMI watchdog会利用到之前讲到的hrtimer。它的触发条件是基于PMU的NMI perf event，当PMU的计数器溢出时会触发NMI中断，对应的中断处理例程是 kernel/watchdog.c: watchdog_overflow_callback()，hard lockup detector就在其中，它会检查上述hrtimer的中断次数(hrtimer_interrupts)是否在保持递增，如果停滞则表明hrtimer中断未得到响应，也就是发生了hard lockup。

这里面，被watch的对象是hrtimer，而watchdog则是由PMU设备发起的NMI中断处理程序 watchdog_overflow_callback()

我们看看代码

当我们将内核参数nmi_watchdog设为1时候，会执行以下函数：

static int watchdog_nmi_enable(unsigned int cpu)

{

struct perf_event_attr *wd_attr;


wd_attr = &wd_hw_attr;

wd_attr->sample_period = hw_nmi_get_sample_period(watchdog_thresh);


/* Try to register using hardware perf events */

event = perf_event_create_kernel_counter(wd_attr, cpu, NULL, watchdog_overflow_callback, NULL);

}

在上面函数里，perf_event_create_kernel_counter函数主要是注册了一个硬件的事件。

这个硬件在x86里叫performance monitoring，这个硬件有一个功能就是在cpu clock经过了多少个周期后发出一个NMI中断出来。

相应的中断处理函数为watchdog_overflow_callback，如下：

static void watchdog_overflow_callback(struct perf_event *event,

struct perf_sample_data *data,

struct pt_regs *regs)

{

if (is_hardlockup()) {

int this_cpu = smp_processor_id();


if (hardlockup_panic)

panic("Watchdog detected hard LOCKUP on cpu %d", this_cpu);

else

WARN(1, "Watchdog detected hard LOCKUP on cpu %d", this_cpu);


return;

}


return;

}

上述函数会通过is_hardlockup检测是否有hardlockup，如果是的话，检测内核参数hardlockup_panic设置情况，如果为1（默认），则panic；否则，打印warning信息。

is_hardlockup()检测代码如下:

static int is_hardlockup(void)

{

unsigned long hrint = __this_cpu_read(hrtimer_interrupts);


if (__this_cpu_read(hrtimer_interrupts_saved) == hrint)

return 1;


__this_cpu_write(hrtimer_interrupts_saved, hrint);

return 0;

}

上述可见，该函数主要就是查看hrtimer_interrupts变量在时钟中断处理函数里有没有被更新。
假如没有更新，就意味着中断出了问题，可能被错误代码长时间的关中断了。

hardlockup设置

hardlockup的检测需要启动NMI watchdog。可以通过设置内核参数实现:

echo 1 > /proc/sys/kernel/nmi_watchdog

在发生hardlockup情况下，如果我们需要系统panic，可以设置（默认已设定）

echo 1 > /proc/sys/kernel/hardlockup_panic

用户态watchdog

尽管内核watchdog能够检测到softlockup 和 hardlockup 并采取相应的措施，但并非所有的系统宕机都是因为内核线程lockup引起的，用户线程一样有可能到时系统宕机的情况。比如，用户程序有可能占着临界资源无法释放，系统太忙，疲于响应各种中断，导致无法执行调度程序。这都可能导致系统无法正常使用。

在这种情况下，时钟中断和NMI中断仍然能够被响应，所以内核lockup检测机制无法检查出来。但由于系统已经无法正常工作，我们需要一种机制，一种用户态的watchdog，来检测这种系统挂起的状态，并作出相应的动作。

用户态watchdog，自然检测的对象是用户态的程序（是否能被调度）。这里面，基于硬件支持程度不同，我们分为hardware watchdog和software watchdog。后者简称softdog。

需要额外安装watchdog 的rpm 包。

其基本原理都类似，如下：
1. 启动一个timer设备，可能是硬件设备，也可能为软件模拟设备（softdog.ko）。该设备在timeout的时候，会执行相应动作（如系统重启，系统panic）
2. 我们启动一个用户态daemon，叫做watchdog 的进程 (/usr/sbin/watchdog)。该进程定期（一般默认每一秒钟）往一个timer设备/dev/watchdog[x] (或者/dev/watchdog1)里面写东西，这样该设备的时间戳就能够被更新，而不至于timeout重启。
3. 假如因为什么原因，导致系统很忙，watchdog进程无法执行，无法往/dev/watchdog[x]里面写信息，那么当timer设备timeout后，就会执行相应动作。

接下来，我们继续详解hardware watchdog和softdog的使用。

softdog

先讲softdog，因为无论什么linux 系统（只要kernel中包含softdog.ko驱动），都可以用配置softdog。

使用softdog很简单，只需要：
1. 安装 watchdog rpm
2. 启动softdog服务
- systemctl start softdog.service

当我们启动softdog service 的时候，会执行以下操作：
1. modprobe softdog // 如果内核没有加载softdog，加载之
2. watchdog -c /etc/softdog.conf

默认情况下，watchdog程序会通过softdog.ko创建一个叫做/dev/watchdog1的设备（timer 设备），并且定期往它写东西（用于更新时间戳）。

位于内核的softdog会模拟timer设备（通过时钟中断的方式模拟），并执行相应的中断处理例程，该例程的目的是检查timer 设备（即/dev/watchdog1）是否timeout。如果timeout，则执行相应动作（默认为panic）。

聪明的小朋友们看出来一个问题了，假如系统无法响应时钟中断，是不是softdog就没法工作了？

Bingo，的确是这样的。如果系统无法响应中断（比如关中断了），softdog.ko中的timer模拟程序就无法工作，自然无法响应。但在这种情况下，之前介绍过的 NMI watchdog是能够工作的。

另外的，我们可以通过 /proc/devices查看 watchdog对应的设备号

[root@node227 /]# cat /proc/devices | grep watchdog

252 watchdog

[root@node227 /]# ls -alt /dev/watchdog1

crw------- 1 root root 252, 1 Aug 16 19:21 /dev/watchdog1

可以看到，这里面softdog 注册了major no 为252的设备号。

hardware watchdog

讲完了softdog，我们再讲讲hardware watchdog。

hardware watchdog，既然是hardware，那肯定是独立于OS的存在。在不同设备上实现方式也不一样。在我们的实验室环境下，有两种实现方式：

通过BMC实现。
通过iTCO实现。

先讲讲BMC实现的。

BMC，又叫做Baseboard mother controller，是集成在主板上，独立于CPU和内存的后台控制器。可以通过BMC对系统执行开机，关机等操作。目前，通常的做法是使用ipmi工具通过往BMC发命令，从而来达到获取系统信息的目的。比如，获取CPU温度，状态，Power on, Power off系统。

记住，BMC是主板上的硬件设备，所以它也不知道主机上装的什么操作系统，他只能开机，关机，发中断信息，并不能直接启动系统panic。

有两种方式可以启动BMC上的timer：

第一是在进入BIOS设置界面的时候，启用 OS Timer（具体设置位置因主板型号而定）。

设置以后，系统会启动一个硬件timer (由BMC控制的硬件计时器)。在不启动硬件watchdog的情况下，他会自动超时触发系统Reset。

第二种方式是通过启动ipmidog服务，在安装了watchdog rpm的前提下，执行以下操作启动ipmidog服务：
- systemctl start ipmidog

为了了解这个机制，我们先看看 ipmidog 的系统服务做了什么：

[Service]

Type=forking

ExecStart=-/bin/sh -c 'if [ ! -e /dev/watchdog0 ]; then modprobe ipmi_watchdog;fi;/usr/sbin/watchdog'

这里会检查是否存在 /dev/watchdog0 （不是特别清楚什么意思，网上很多人说/dev/watchdog0 和/dev/watchdog指向同一个设备，不管了）。如果没有，就会加载 ipmi_watchdog.ko。这个module是通过IPMI的方式与BMC进行通信的。然后启动watchdog。

默认情况下，watchdog会读取/etc/watchdog.conf里面的配置，并且默认情况下往/dev/watchdog里面写东西（用于更新timer时间戳）。/dev/watchdog是一个设备号为 “10, 130” 的硬件设备，可以由BMC控制，当它超时以后，可以触发系统Reset（可配置为ignore）。

我们可以通过ipmitool来查看该timer的具体信息：

[root@node51 lib]# ipmitool mc watchdog get

Watchdog Timer Use: SMS/OS (0x44)

Watchdog Timer Is: Started/Running

Watchdog Timer Actions: Hard Reset (0x01)

Pre-timeout interval: 0 seconds

Timer Expiration Flags: 0x10

Initial Countdown: 600 sec

Present Countdown: 599 sec

这里面，”Initial Countdown” 为用户设定的超时时限，”Present Countdown” 为目前的计时。如果”Present Countdown” 变为 0，那么就会触发 “Timer Action”，即 “Hard Reset”。

正常情况下，由于watchdog程序会每隔一秒钟往/dev/watchdog写东西，”Initial Countdown” 和 “Present Countdown” 的差值不会超过 1s。只有当 watchdog程序无法执行的时候，才会引起 “Present Countdown” 的一直减少。

记住，ipmi watchdog无法产生panic，只能reboot 机器。

现在讲讲iTCO

由于iTCO的相关资料较少，就简单介绍一下。

iTCO是intel自己提供的一种计时器方式，在配置上，不需要重启机器进入BIOS，他是通过一个叫做iTCO_wdt的驱动对硬件 timer 进行配置的。能提供和ipmi watchdog类似的机制，并且不需要额外的BMC这类硬件支持。

[root@node227 /]# lsmod | grep wdt

iTCO_wdt 13480 0

iTCO_vendor_support 13718 1 iTCO_wdt

unknown_nmi_panic

这个有点题外话，unknown_nmi_panic 是一个内核参数，该参数和watchdog没有直接关系，但对于调试系统宕机，远程触发panic 有好处。所以简单的介绍一下。

首先，为什么这里要提到unknown_nmi_panic这个内核参数呢？

当系统发生宕机(hang住)的时候，根据前面所讲的，我们有kernel watchdog用于检测soft lockup，有NMI watchdog用于检测hard lockup，有watchdog 软件来检测用户空间的系统挂起状态。但这并不能覆盖所有的系统挂起的情况。另外就是当使用softdog 来监测用户进程调度情况时，它受制于系统中断能否响应；而使用hardware watchdog来监测用户进程调度情况时，在发生hang的时候也只能重启系统而不能触发panic。

所以，我们希望有一种机制，能够在所有情况下（所有系统hang的情况，甚至于系统正常运行状态下），都能有一种机制，可以手动触发panic，用于收集crash dump，以便对系统hang的原因进行分析。

其中一种机制，就是利用NMI 来触发。

我们前面知道，NMI是非可屏蔽中断，也就是说，它一定能被系统捕获。如果我们将unknow_nmi_panic设置为1 ，它会启用一个中断处理例程，在系统接受到unknown 的 NMI的时候，强制触发panic。

在super micro的主板上，BMC可以向中断控制器发出unknown NMI。可以通过以下方式实现（不是所有BMC都支持这种方式）：

ipmitool -I lanplus -H {ipmi lan IP address} -U {username} -P {passwd} chassis power diag

上述ipmitool 命令是通过另外一台主机向被监测主机的BMC发出的。其中 “-H” 代表该BMC自身用于IPMI远程管理的IP 地址，这需要保证命令发起的主机和BMC lan口相通。上述ipmitool命令会使得BMC往中断控制器发出一个未被定义的NMI中断。当unknown_nmi_panic设为 0 的时候，被监测主机的控制台会打印信息，表示收到了不认识的 NMI 中断；当unknown_nmi_panic设为 1 的时候，则会引起系统panic。

这里需要注意的是，有些其他的监测软件也会用到unknown NMI （启用自定义的NMI 中断处理程序），所以，当使用到这些软件/配置的时候，unknown_nmi_panic必须禁用。

其中，前面提到的NMI watchdog就是这种机制，当nmi_watchdog设为 1 的时候，unknown_nmi_panic必须禁用。（本人在某些机型上实验过，没发现上述冲突，但因为这是官网资料，为了保险起见，还是尽量禁用）。

另外，还有Oprofile软件，也是利用了NMI 作为系统监控的软件，在使用Oprofile时候，unknown_nmi_panic也必须禁用。