Microcontroller Empfehlung?

Am Thu, 10 Nov 2011 17:53:24 +0100 schrieb gUnther nanonüm:

Oder Loks fallen vom Himmel ...

SCNR ... da hier Bahnfans mitlesen, Marc

Am Thu, 10 Nov 2011 17:53:24 +0100 schrieb gUnther nanonüm:

Oder Loks fallen vom Himmel ...

SCNR ... da hier Bahnfans mitlesen, Marc

Geht auch mit noch mehr Karacho:

Der Reihe nach: Z80..., 8051..., 80C166... Sowie die (auch radhard) weithin unbekannte Zunft RTX2000 :)

Die RTX2000 wurden auch in ARI Zündern verbaut und da möchte man bei Gewitter keine Frühzündungen erleben :) Alles ohne WD!

Konnten, leider nicht mehr so in :(

Man kann sich auch dagegen schützen, ausser bei einem direkt Einschlag, aber dann ist eh alles zu spät. Schau Dir Elektronik im Eex und Bergbaubereich an, auch Aerospace hat gute Beispiele.

Ich vermute, dass dort überall kein WD zugelassen ist.

Bei den früheren breiten Strukturen und Spannungen war das nicht so kritisch wie bei dem heutigen PC Geraffel...

Paritybit bei Speichern und im Prozessor ist schon leider lange aus der Mode. Die letzten Maschinen waren hp21xx und DEC, danach fiel das den Rotstiften zum Opfer. Ok, ich kann mich an keinen Fall erinnern, wo mal einer der Maschinen wg. PY-Fehler stoppte. Auf Leitungen und Datenträgern ist der PY-Fehler sehr viel wahrscheinlicher.

Genau bei dem Restart durch WD habe ich meine Probleme, schon viel zuviele Maschinen gesehen, die ekstatisch zucken...

Saludos Wolfgang

Und so ziemlich alle davon sind mit einem WDT ausgestattet.

Jupp. Bessere M=C3=B6glichkeiten, ein in einem Deadlock h=C3=A4ngendes S= ystem wieder zum Laufen zu bekommen, hat man noch nicht wirklich gefunden.

nnen,

gsprogramm,

Beide Methoden sind falsch - iSv. da=C3=9F man sich mit so einer bl=C3=B6= den Idee den WDT auch sparen kann. Ok, die erste ist deutlich falscher.

etrennt

Oh. Seit wann kann sich das denn wieder einer leisten?

Als "Last Line of Defense"? Ja. Tun wir.

Vinzent.

Die haben auch ganz üble Design Fehler. zB. das Kapitel mit den IMHO schwachsinnigen signed addr ist ein ganz besonderes schwarzes Loch!

Bei den 32bitern fällt das nicht so schnell auf, aber bei einem HC16 kann das überraschende Effekte auslösen. BTDT, gebranntes Kind scheut das Feuer.

Warts ab, bis die 32bit MACs mehr als 2GB RAM addressieren müssen, dann wirds spannend.

Saludos Wolfgang

"Leitungen" so wie in "Daten- und Adressbus"?

Vinzent.

Na also, nichmal Wipproller kennen, aber mir was von uC erzählen :P

Nein, aber zB. beim Bell UH1 haben sie mit von mir entworfenen uC Systemen die Rotorblätter per US geprüft. Und das mit größter Zufriedenheit!

Dummes Zeuch!

Naja ich zB. die komplette Verkehrssteuerung des Elbtunnels in HH lief locker 30 Jahre mit einem von mir geplanten Rechnersystem (AEG 60/10 was ich aufs Auge gedrückt bekam und nur die Macken ausbügeln durfte). Die von mir designte (und weitestgehend programmierte) AnwendungsSW lief 30 Jahre ohne einen nachgewiesenen SW Fehler. Alle Fehler, die auftraten bzw. geloggt wurden, liessen sich eindeutig auf HW Fehler zurückführen. Ok das war ein Doppelrechner System mit Hot-Standby und einer garantierten maximalen Abschaltzeit im nicht behebbaren Fehlerfall timer is used ..."

Also doch gesundbeten, wenns in der Rue de Kack landet, muss es der WD wieder in Gang bringen!

Und was für Gesetze verhindern Fehler mit den blöden Umrechnungs Fehlern bei den nonSI Systemen bei Euch? Etwa auch WDs?

Keine Zeit/Lust das jetzt nachzulesen.

Bisher hat mir noch keiner eine Methode des WDstreichelns zeigen können, die immer funzt.

Streichelst du im (Ticker) IR, dann kann das ganze System sich aufhängen, ohne dass der WD kläfft, machst Du es im Anwendungsprogramm, dann ist nur sichergestellt, dass die Hauptschleife noch läuft. Ob irgendwelche SW Teile spinnen, kriegste nicht sicher mit.

Warum werden bei sicherheitsrelevanten Dingen wohl >=3 völlig getrennt entworfene System, möglichst verschiedene Programmiersprachen und Prozessorfamilien und 3 Entwicklerteams eingesetzt? Hab mal an einer eigensicheren Pressensteuerung bei Schmersal tief im innersten mitgemacht. Auch bei Rheinmetall und einigen anderen Firmen gabs sowas.

Sowas wird auch bei Aerospace gemacht. Ich glaube nicht, dass sie sich auf WD verlassen!

Saludos Wolfgang

Nein, aber es ist besser dass man wenigstens im Notbetrieb aus der Rue de la Kack rauskommt als da langsam im Schlamm zu versinken weil der Programmierer den WDT vergessen hat.

Das haette nur 30 Sekunden gedauert und da steht es schwarz auf weiss.

Es geht nicht um immer funzen, es geht darum die Chance einer mehr oder weniger katastrophalen Folge zu verringern. Das kann ein WDT, dafuer wurde er erfunden.

Das haengt u.a. vom Geschick des Programmierer ab. Hint: WDT nur ruecksetzen, wenn dies, das, jenes und das andere da hinten korrekt quittiert wurde.

Gibt sogar 5-fach bei ganz kritischen Sachen. WDT sind _zusaetzlich_.

Da irrst Du, aber den Fehler begehen leider auch andere:

Zitat " Based on this incident, engineers working on the Near Earth Asteroid Rendezvous (NEAR) program learned a key lesson: the watchdog function should be hard-wired in case of a computer shutdown".

Zitat "... an avionics watchdog timer ..." ^^^^^^^^^^^^^^^^^^^

Zitat "... if the watchdog timer in the BFS GPC times out or if the BFS GPC does not complete its cyclic processing."

Jemand, der Waschmaschinencontroller programmiert, hat mal erzählt, er würde den controller im Normalbetrieb regelmäßig resetten - damit nicht die Wäsche verkocht oder Schlimmeres passiert, wenn er mal an der falschen Stelle stehenbleibt. Kommt mir alles ziemlich krude vor...

-ras

Am Fri, 11 Nov 2011 06:41:37 +0100 schrieb Ralph A. Schmid, dk5ras:

Erzeugt aber über hunderttausende Geräte die am besten nachvollziehbaren Reaktionen ohne grossen Aufwand für Debugging unvorhergesehener Zustände zu verursachen.

Programm startet, schaut was aktuell zu tun ist und wird beendet. Erinnert mich irgendwie an das früher verbreitete Schrittschaltwerk.

Lutz

Frueher wohl eher im Sinne von "SCSI Kabel" oder dergleichen. Das gab es damals ja noch ohne Parity bzw. CRC.

Micha

Deine Software konnte also verhindern, dass ein LKW-Fahrer, scheinbar blind und taub, trotz Rotlicht durch Höhenkontrolle einfach in den Tunnel hinein fährt und alles was an der Decke hängt abräumt? Wow! Den Idioten hätte nur ein Betonklotz aufgehalten.

Er wurde IMHO erst ausserhalb Hamburg von der Polizei gestoppt.

Gruß, Norbert

IIRC war in einem der ersten Datenbücher die ich damals zu den 8051 (von Intel) bekomen habe (1987?) eine AN die mit dem "schnellen Reset" der 8051 irgendeine Blinkerschaltung am Leben gehalten hat....

Und eine der ersten Rohrpostanlagen, die ich analysieren durfte war das auch so: alles was am Bus gehangen ist wurde resetiert wenn einige Zeit kein Datenpaket gekommen ist - (Hardwaremäßig) hat sehr zuverlässig funktioniert - spradische Aussetzer waren akzeptiert.....

Grüße

- Michael Wieser

Am 11 Nov 2011 08:56:00 -0500 schrieb Wolfgang Allinger:

Die Kontrolle über seinen Code hat er, aber hat er sie als Programmierer auch über alle unbekannten Probleme des Prozessors, der Speisespannung, die EMV-Einflüsse am Einsatzort usw?

Es ging IMHO um eine Waschmaschine.

Wie soll er als Programmierer die anderen Faktoren kontrollieren?

Lutz

Nein, DÜ Leitungen.

Saludos Wolfgang

Der Watchdog triggert doch nur, wenn irgendeines der erwähnten Probleme zu einer Endlosschleife führt.

Wenn die Ausgaben des Controllers relevant sind und bei Fehlern böse Konsequenzen drohen und das System immun gegen die obigen Fehler sein soll, hilft auch ein Watchdog nicht: man benötigt z.B. einen zweiten/dritten Prozessor.

Oder anders gesagt: Wie groß ist denn die Chance, daß genau das Bit geflippt wird, so daß der Prozessor stehenbleibt oder loopt im Vergleich zu Fehlern, die falsche/fatale Ausgaben erzeugen? Der Watchdog doch hilft nur dann viel, wenn diese Wahrscheinlichkeit groß ist.

Gruß, Jürgen

Am Fri, 11 Nov 2011 14:26:10 +0100 schrieb Jürgen Appel:

Muss ja nicht der WD sein, man kann den Prozessor ja auch anderweitig regelmässig das Programm beenden, ihn z.B. schlafen legen und später neu starten lassen.

Lutz

s.u.

Keine Ahnung, scheint der Nachfolger von "meinem" (um 2000..05 nach 30a SW-fehlerlosem Betrieb ersetztem) System zu sein. Da haben die Mäuseschubser wohl alles Wissen alter Säcke unverstanden in die Tonne getreten und mit modernsten Geschwafel in die Tat umgesetzt zu haben.

Dein Link bringt mich nicht weiter, da ich nicht rausfinden kann, wann das geschehen sein soll.

An einen Vorfall kann ich mich erinnern, als wohl bei der Erweiterung auf das 4. Rohr sehr viel falsch gemacht wurde. Ob da `meine` Rechner noch in Betrieb waren, weiss ich nicht, Reserven für eine 4. Röhre hatten die garantiert nicht.

Ich schrieb immer von (Prüf)Anlagen und (Industrie)Geräten, wer abhebt, warst Du :p

Selbst die Teeköppe hams kapiert nur die Kuhjungen noch nicht.

Gleich kommt noch das Argument, das ist, weil Arnie ja auch deutschähnlich sprach und Kugelgrill ein deutsches Wort ist :)

Rischtisch, aber damit musst Du u.U. die Reaktionszeit gewaltig raufsetzen... oder Flags einführen, die das streicheln aktiv verhindern und wenn sich die Routine aufhängt...

Das subsumierte ich mit >=3

Siehste, also der WD in den uC ist Müll!

Externe sind auch nicht viel sinnvoller. IIRC hat doch der Computer beim Apollo 11 Landeanflug auch Hickups durch WD gehabt und wurde von Armstrong abgeschaltet.

Saludos Wolfgang