Redundanten ausgefallen µC isolieren

[Hannes (Gast)]

Hallo Leute,

Wie isoliert man einen von zweien physikalischen µC (also kein Dualcore) 
der ausgefallen ist, wenn sich diese die Peripherie teilen?

Also das erkennen, ob einer von beiden nicht mehr "lebt" erfolgt über 
einen externen Watchdog. Kann man dann einfach z.B. zwei 74lvc244 per 
Diskreter Logik auch mit dem Watchdog so verschalten das diese einen 
"trennen" und den anderen "zuschalten"?

Ist das verständlich ausgedrückt und nachvollziehbar?

Geht das vielleicht auch besser oder eleganter?

MFG
Hannes

[Max G. (l0wside)]

Kommt auf den gewünschten Sicherheitslevel an.

Im Normalfall sollte es genügen, wenn du den nicht funktionierenden 
Baustein in den Reset bringst. Die GPIOs sollten dann (Datenblatt lesen) 
High-Z sein und nicht weiter stören.

Falls du aber auch den Fehler "Resetschaltung n.i.O." behandeln willst, 
gibt es zwei Möglichkeiten:
* Ausgänge (Endstufen) disablen, so dass die Schaltung sicher ausfällt. 
Viele Mehrfachendstufen usw. haben einen Reset- oder Disable-Pin, den 
man dafür nutzen kann.
Ist für die meisten Anwendungen ausreichend, für ein Flugzeug im Flug 
beispielsweise aber eher schlecht.
* Dein Vorschlag mit der diskreten Logik geht natürlich auch. Aber: auch 
diese Logik kann ausfallen oder Defekte verursachen. Wenn nicht nur die 
Sicherheit, sondern auch die Zuverlässigkeit so kritisch ist, solltest 
du dich mit einer FTA (Fehlerbaumanalyse) beschäftigen.
Merke: Ausfallwahrscheinlichkeit Null gibt es nicht. Aber ziemlich hohe 
SIL- und ASIL-Level.

Max