> Ok, tyle dobrze że nie Ty odpowiadasz :) Chociaż jak będzie trup, to i tak
> zacznie się szukanie winnego, no i sama świadomość. Chyba że ryzyko jest
> "tylko" finansowe.

Przy wyjątkowo nieszczęśliwym zbiegu okoliczności mogłyby być ofiary.
Bardzo mało prawdopodobne - ale...


>> Przy czym - uwaga - czas ten nie jest stały.
>> Tj. może być zmieniany przez obsługę co jakiś czas.
>
> Jest jakieś zabezpieczenie przed zrobieniem literówki przez obsługę?

To jest zmiana via menu oprogramowania - oczywiście nie da się ustawić
źle. A nawet złe (maksymalne) ustawienie nie jest problemem wielkim.
Problem może być wtedy, kiedy urządzenie zostanie załączone, i się nie
odłączy. Ten prawidłowy zakres czasów pracy to jakieś 10-60 sek.
Jak będzie pracować 2 minuty też z Bogiem sprawa. Ale gdyby godzinę, to
już może być kłopot...

> Ciężko będzie zabezpieczyć procesor. Zabezpieczyłbym przekaźnik. Niech
> układ czasowy, osobny, sprawdza czas działania przekaźnika i jeśli ten
> czas jest przekroczony, to robi jakąś czynność (wszczyna alarm, odcina
> drugi przekaźnik, zwiera zasilanie, ...).

I tutaj trafiasz w sedno. Dziś w nocy wymyśliłem chyba rozwiązanie.
Otóż - niech "na zewnątrz" MCU będzie licznik. Do jego zapisania
niezbędne jest użycie określonego "hasła", albo numeru układu -
powiedzmy - jakaś magistrala szeregowa. Żeby nie było możliwe ustawienie
i odpalenie tego licznika przypadkowo.

Sam licznik sprzętowo ograniczony do max. dopuszczalnego czasu.

Czyli :

1) MCU zapisuje wymagany czas
2) odpala odliczanie w dół
3) sam MCU również odlicza czas

Jeżeli wszystko jest OK, i MCU prawidłowo odliczy czas - zatrzyma
zewnętrzny licznik.

Jeżeli zaś ten zewnętrzny timer dojdzie "do zera" - znaczy MCU jest w
krzakach, wtedy reset, telefon na policję itp itd.

Oczywiście timer hardwareowy zrobiony tak, żeby MCU mógł przetestować
jego działanie.