gewollte redudanz / Ersatz-uC für Probleme

[KoF (Gast)]

Hallo Leute, ich habe da mal wierder eine Frage (was sonst)...

Wie werden (nahezu) ausfallsichere uC Schaltungen konzipiert?
Die Idee: zwei uC`s sollen sich gegenseitig überwachen und wenn einer 
ausfällt, dann soll dieser durch den anderen ersetzt werden und seine 
Steueraufgaben übernehmen, und das automatisch ohne Eingriff eines 
Menschen ;-).

Habt Ihr da eine Idee / das Wissen darüber?

Bin für jede Hilfe/Tutor/Link/Beispiel dankbar.

[Rufus Τ. F. (rufus)]

Zwei µCs ist problematisch - was ist, wenn die Ausfallerkennung 
fehlschlägt? Redundante Systeme beispielsweise in der Fliegerei sind 
(mindestens) dreifach aufgebaut und verwenden einen Mehrheitsentscheid.

[loool (Gast)]

Watchdog timer

http://en.wikipedia.org/wiki/Watchdog_timer

[KoF (Gast)]

@ Rufus t. Firefly

X-Fach ist auch ok, ich suche nur generell Infos darüber. Z.B. woher 
weiß ich das einer(uC)/eine(Schaltung) oder die Software nicht so läuft 
wie sie/er es soll?

[Matthias (Gast)]

Redundanz ist allgemein ein heisses Eisen. Selbst wenn man mehrere 
Systeme
irgendwie parallel zusammenkleistern kann, ist es nie 100% sicher, dass
im Fehlerfall noch Funktion gewährleistet ist.

Prinzipiell ist es so wie "Rufus t. Firefly" gesagt hat. Allerdings was 
passiert, wenn statt der 3 Systeme der "Mehrheitsentscheider"
ausfällt?

Redundante Systeme kann man nur soweit aufbauen, dass bestimmte Teile 
nur
mit sehr geringer Wahrscheinlichkeit ausfallen und/oder ein Ausfall 
keine gravierenden Folgen hat.

Erkennen kann man einen Ausfall über verschiedene Wege:

-Watchdog (od. ähnliche Prinzipien)

-Plausibilitätscheck
(wenn z.B. mehrere Controller ihre Daten gegenseitig prüfen)

-simple Redundanz
(z.B. zwei Controllerschaltungen mit jeweils eigener Stromversorgung,
die parallel laufen)

- ...

Hier ist Fantasie gefragt und eine Notbremse, wenn man gedanklich 
versucht
eine 100%ige Ausfallsicherheit zu kontruieren (=Endlositeration) ;-)