Трябва да генерирам няколко сигнала от изхода на малък силабс, но трябва да са фейлсейф. Вариант 1 да управлявам с импулси и проста схема да правя от тях им/оф, но се чудя има ли нещо готово за целта, или пък SPI / i2c Дейл сейф експандер. ....аз по скоро съм за първото защото самия експандер му бе да фейлне в не сейф състояние, не че логиката не мога без ама по-приста, по едра, по държи на бой ....но идеи приемам всякакви. Преди години съм го правил за едни взривни болтове, тогава за самото управление си ги направих с импулси и дискретно , не намерих нещо готово, но може да има и да не съм видял

Преди време ползвах някакви хай-сайд ключове на Аналоговите Джаджи. Май не бяха специсифирани като фейл сейф, но имаха интересни функции.
Едната беше уачдог в чипа, а другата беше възможност за CRC на комуникацията по SPI.
Ама какво съм използвал мога да кажа утре. Ако не забравя...

Въпроса е колко сейф искаш да си.
Най простия вариянт е кондензаторен дешифратор но ти дава негативно напрежение.
Другия вариянт е да ползваш някакъв трансформатор.
Третия вариянт е 2 последователни транзистора с окъсяване на товара и проверка през някакви милисекунди за микросекунди дали транзистора не е пробил. Също и ключ на захранването и още 1 мощен транзистор за даване товара на късо. Тоя вариянт се ползва в индустриалните Сил4 контролери дето ги слагат по АЕЦ-овете и други отговорни неща.
Аз съм правил първия и втория. За първия генерирах 2 противофазни импулса от 2 различни задачи. Правилното е от 2 ядра на процесора или 2 отделни процесора.

Единия процесор е контрол а другия монитор, монитора следи за правилната работа на контрола а контрола също наглежда монитора дали е жив, работил съм в голяма аероспейс компания, където съм участвал в проектиране на контролери за реактивни двигатели, дори работих за малко по обновената версия на Trent700, всеки товар, управляван от контролера има два ключа (транзистора), казват им high side switch и low side switch, обикновенно Н-канален и П-канален мосфет отделно всеки контролер може да прекъсне захранването на веригата на другия процесор. Идеята е ако изгори ключ на единия процесор - другият управлява, ако единият ключ даде на късо - другият прекъсва веригата (low/high side switch), ако единият процесор запецне и задържи товара включен - другият прекъзва захранването на управляващата верига. Всичко се анализира с FMEA (Failure Mode and Effect Analysis), прави се структурно дърво на повредите и съответна защита.

С кондензатор и аз съм правил, това и мислих, негативното напрежение не ме бърка толкова, по скоро се чудех как да намаля броя на компонентите и си мислех дали няма нещо готово. Захранването на тов ау-во също се управлява, и нормално е изключено. Реално за да фейлне така, че да стане опасно трбява доста неща да се случат, но както знаем Мърфи не спи а дебне. В момента сложих варианта с кондезатори, но оглеждам дали няма няко специализиран чип. Управялвам у-вото с OD изходи, т.е. там има пълъп към захранване което е отделно от тов ана у-вото и също се контролира, т.е.дори и така трябва да фейлнат 3 различни хзода, всичките в 1-ца та да стане белята, но з да избягам от възможността за статичен фейл искам да с еурпавлява динамично .. естетсвено достатъчно е да фейлне някой от мосфетите, но така или иначе сингалите сзе и мониторират обратно.
Има си нужда защото е ренгенов източник, който е мобилен, твърде нежелателно е да се окаже включен от самосебе си:)

п.с. bai_ui, това за взривните болтове беше точно с два контролера, щото тия болтове отделяха перките на хеликоптер но в случая не е мишън критикъл, просто трбява да е сигурно, че ако фейлне няма да включи източника. Споемнах за два процесора ама май не им се ходи натам, макар да е просто управлението и няма да е кой зане какво усложнение да се направи с два не им се прави

В сейфти теорията има много нива. Фейл-сейф-а е най-ниското. Двата процесора (или двете ядра) решават две различни задачи и се сравнява отговора. Едната задача е на събиране а другата на изваждане. Целта е грешка в дизайна или сметките да не доведе до грешка при изпълнението.
Това за което ти говориш са други механизми. Там се ползва 2 от 2, 2 от 3, 3 от 5 и произволни комбинации. На спейсекс ракетите ползват 3 независими 2 от 2 системи като след това правят 2 от 3. Целият въпрос е дали се очаква безопасен отказ или повишена надеждност.
А за фМЕА-тата не ми се влиза в този филм. Това са мениджерски глупости които не съм чул някъде по света да са свършили реална работа в инженерния свят. Може и да има. Както видяхме и самолети падат с перфектни документации и сертификации.

Кондензаторите, диоди, 4 транзистора и 2 оптрона. Трябват 2 противотактни импулса. Оптроните се свързват с диодите си срещуположно. Евтино и надеждно решение. Който и компонент да изгори - системата умира. Същото е и с импулсите. Ако има само единия или не са противофазни - не дава изход.

Ами то зависи какво се приема за фейл сейф, в моя случай не изисква резервираност на процесорите, достатъчно е да се зане че ако фейлне ще е в определено състояние, няма нужда да работи, но в някои случаи това не е достатъчно за да бъде фейл сейф. Аз им предложих два процесора по друг повод, въпреки че решаваха частично и този проблем.
Иначе ако говорим за анализ на риска и надеждност, когато се е налагало и искало имам лицензирано копие на ITEM, не съм го пускал от доста години, надявам се лиценза все още да работи поне за версията която имам, но в случая това не е моя работа.

Ами ето ти една елементарна схема, където трябва да "помпаш" с импулси за да държиш релето активно, за по голяма сигурност ти трябват две такива вериги свързани последователно за да избегнеш варианта където на релето му се слепват контактите или транзистора се поврежда в късо.

Процесора трябва да изработва импулсите в основното ядро на програмата а не с таймер и ISR (interrupt service routine) така че ако запецне в някой процес да де-активира релето

Да точно такова решение имам дискретно, понеже управлявам с нива, конкрвтно с високо ниво, имам инвертор с пулъпи и два мосфета в паралел които свлят в нула. Така ако единия умре с прекъсване другия ще може да сваля. Ако тоя който го помпам умре с късо вече е по-неприятно, но пък захранването от където се храни пълъпа също се управлява и следя статус на изходите, така, че и там има контрол, отделно и захранването на модула който управлявам се контролира, та трябва да е достатъчно.

По принцип FMEA се занимава точно с това, не са "мениджърски глупости", малко известен факт е че и диоди и транзистори по принцип се повреждат като дават на късо но понеже обикновенно утечката е слаба вече като вторичен ефект тя прегаря и тогава транзистора прекъсва. Между другото като споменах по-нагоре ISR може да го използваш като паралелен процесор в мониторен режим и да следиш състоянието на изхода, така че ако установш прекъсване да задействаш аларма или да рестартираш процесора, за по сигурно може да използваш втори резонатор или да използваш външен за основната работа на процесора и вътрешен за таймера на ISR.

ФМЕА-то го има в доста разновидности ДФМЕА, ПФМЕА и каквото се сетиш. В сейфтито се смята отказоустойивост и се дефинира като колко произволни компонента отказали по произволен начин водят до грешно сработване. Затова има и разлини касове дефинирани като SIL. В момента в който сложиш транзистор и цялото ти сейфти от кондензаторния дешифратор умира защото зависиш от 1 компонент - транзистора. Може да прегрее, да го удари гама квант или да му капне капка вода на краката и да сработи. Всички тези неща се симулират, смятат и доказват за да си сертифицираш устройството.
Със софтуера също е голяма главоблъсканица. Там се решават две различни задачи и се сравнява отговора.

Малко са ти грешни понятията, явно не си се занимавал с подобен анализ. Обикновенно при сейфти-критикъл устройствата схемните решения трябва да са single-fault tolerant, т.е. единична повреда не трябва да наруши нормалната работа на устройството, съответно тази повреда трябва да бъде детекната, логната и съответната аларма трябва да се активира. Затова се прави този анализ, всеки компонент се поставя в едно от състоянията на повреда - късо, прекъснал, промяна в параметрит и се анализират последствията, съответно за всяко последствие се прави митигейшън стеитмънт, ако такъв не може да се направи, схемата се променя. Състоянията на повреда се вземат от mil-hdbk-217F (наследник на милитари хандбук 338) където за ансолютно всеки електронен компонент са установени процентно състоянията на повреда както и вероятността за тази повреда. Тези състояния са установени на база на статистически анализ на всички електронни ремонти правени в американската армия от 1950 (приблизително) насам.

ВлезнахтЕ в локвата Харесва ми...

За едни е сеир, за други - установяване на истината (В спорът се ражда истината - Сократ)

За мен е нещо, което не ми се беше налагало досега, но отскоро ми го повтарят всеки възможен момент. Та ми е интересно и уча колкото мога.