sundayman <s...@p...onet.pl> wrote:

> Obecnie jest to rozwiązane w taki sposób, że w układzie są dwa MCU.
> Jeden nadzoruje drugi i jeżeli wykryje, że ten drugi coś robi nie tak -
> odłącza ten przekaźnik (oba muszą go uruchomić, żeby się włączył).

Gorzej jak oba się zawieszą, bo zakłócenie pójdzie na oba.

> Ale - zamiast sterować jednym portem - zastosować np. 3 linie.
> Aby przekaźnik został włączony - musi pojawić się określona sekwencja na
> tych 3 liniach. Znaczy - musi ona się tam pojawiać cały czas, z
> określonym okresem.

Z jedną linią wydaje się proste - układ różniczkujący RC.

A może jakiś expander I2C i za nim układ różniczkujący? Procek musiałby
machać pinem expandera, czyli wykonać dosyć złożoną sekwencję.

A może NE555? Procesor musi resetować timer co jakiś czas, żeby utrzymać
stan umożliwiający włączenie przekaźnika drugim portem...

> PS; oczywiście oprogramowanie wykorzystuje watchdogi. Ale
> to niestety nie jest zabezpieczenie przed nietypowymi zachowaniami
> programu - nie zapewnia bezpieczeństwa.

Coś mi mówi, że zapewnienie 100% bezpieczeństwa elektronicznie może nie
wystarczyć. Masz (Ty lub osoba odpowiedzialna) ubezpieczenie na wypadek
skutków zbyt długiego włączenia przekaźnika? Może warto o tym pomyśleć,
szczególnie jeśli straty mogą być nie tylko finansowe...

> Przekaźnik musi być w 100% włączany przy "pełnej świadomości" programu -
> stąd konieczność takiego zabezpieczenia.

Generalnie poczytałbym o zasadach MISRA C i skupił się na tym, żeby
program (przynajmniej część odpowiedzialna za logikę przekaźnika) był
jak najprostszy. Im bardziej coś przekombinowane, tym więcej miejsca
na pomyłki...

--
http://www.chmurka.net/