> Z ciekawości: a zrobiłeś matematyczną analizę że drugi MCU zmniejsza
> ryzyko? Bo może być dokładnie odwrotnie: dwa MCU to dwa razy większa
> szansa awarii plus problemy dodatkowe...

Nie robiłem. Nawet nie bardzo sobie wyobrażam, czy i jak można by to
policzyć, żeby miało sens... Poza jakimś efektownym wykresem w stylu
ministra Morawieckiego :)

Jak masz pomysł jak - to chętnie się dowiem.


Ale ok - mamy dwa MCU, i żeby wykonać "działanie" oba muszą zgodnie
współpracować. Przed "uaktywnieniem przekaźnika" każdy sprawdza, czy
"kolega jest przytomny i odpowiada z sensem" - no to imo ryzyko, że coś
pójdzie nie tak, jest mniejsze.

Nie dość, że musiałyby się wykrzaczyć oba MCU, to jeszcze dodatkowo oba
tak, żaden nie odpali własnego watchoga. Bo jeżeli jeden z nich się
zrestartuje niespodziewanie - a drugi pracuje, to zostanie do zauważone
i koniec pieśni.

Nie chce mi się teraz wdawać w rozległą dyskusję na temat możliwych
konfiguracji "awaryjnych" - oczywiście, nawet przy 3 MCU będzie ryzyko
wystąpienia takiego układu, że coś się wydarzy.
No ale jednak nie bez powodu stosuje się takie rozwiązania w kosmosie,
że się multiplikuje układy (a co, czerpmy wzorce z lepszych :)


Jak dotąd nie było żadnego takiego przypadku "awaryjnego".
Jedyny problem, jaki był z powodu użycia dwu MCU był w prototypie, w
którym - ja głupi - użyłem w "mniejszym" MCU zamiast porządnego kwarca w
zegarze, wewnętrznego oscylatora. Dla oszczędności 2 zł...
Oczywiście bez przyjrzenia się dataszitowi w temacie...

Wszystko działało świetnie aż do testów w -20 st.
Wtedy MCU1 przestał nagle widzieć MCU2 (komunikują się po RSie_ -
rozjechały im się zegary. Efekt był więc taki, że główny MCU zauważył
brak mniejszego, uznał że awaria i "please call service kurwa !".