Oder ein Brownout geschieht mit einem bisher nicht geprueften Spannungsverlauf und die Kiste steht. BTST. Es ist auch einer meiner Standardtest, wenn ich mit Ruggedizing beauftragt werde. Einschalter oder Sicherung wild hin und her reissen, lustig am Regeltrafo kurbeln. Ist ein Grund, warum hier ein Arb Generator steht. SW-Leute reagieren dann manchmal panisch. "Sowas kann man doch nicht machen!" ... "Weiss das auch das E-Werk?"
Noe, nur fuer 98% :-)
In sicherheitskritischen Systemen mache ich das anders. Ein externer Voltage Supervisor mit WDT ueberwacht die Chose. Dieser externe WDT ist wichtig und darf nur auf Flanken reagieren. Beim Einschalten legt er einen sauberen Reset hin. Bei Brownouts ebenfalls. Sollte der uC sich, aus welchem Grund auch immer, voll aufhaengen und u.U. auch nicht mehr auf HW-Reset reagieren, erscheinen bei ihm keine Flanken am Port Pin mehr, welcher den externen WDT bedient. Dann faehrt das System komplett runter und schaltet auch die Versorgung ab. Die Wiedereinschaltung kann entweder automatisch oder manuell erfolgen.
Das ganze hoert sich komplizierter an als es ist. Z.B. haben viele Schaltregler einen Enable Pin, mit dem man den stromlosen Zustand recht einfach hinbekommt.
Die Flanken fuer den externen WDT muessen natuerlich aus dem Code Ablauf stammen und nicht aus einem im Ernstfall auf Dauerfeuer festhaengenden Timer.