Ha csak kis áram folyik a kikapcsolt proci lábai felé, kevésbé probléma. A közösített DAC esetén visszafelé folyó áramnál megbukna az egész elmélet (vagy a közösített pont felé diódázom a DAC kimeneteket és szivatom magam a nyitófeszültség korrekciójával).
A bemenet (gázpedál jeladó) egy dual poti, redundáns (csatolt kép). A kimenet is két DAC valójában, ezek nincsenek rajta a fenti egyszerűsített rajzon.
Nem akartam manuális átkapcsolást a plusz kezelőszerv miatt, de végülis megoldható az eredeti kezelőszervekkel is (kuplung vagy 0-ás gomb hosszú lenyomása átbillent egy relét).
Praktikusabbnak/biztonságosabbnak tartom, hogy az áramkörnek van egy minimális hibafelismerő, önkikapcsoló képessége, amely sokkal gyorsabb, mint bármilyen emberi beavatkozás. Az egyszerűsített alternatívánál csak két proci lenne, és egy relé, amit a két proci közül bármelyik át tud billenteni és visszaállítja az eredeti állapotot. Meghibásodáskor a hibajelzést beleterveztem.

A dual poti amennyire fapados, redundáns. Nem szeretném bonyolítani, de áramkörrel hasonló redundanciát biztosítani nagyságrendekkel bonyolultabb feladat. A mindenáron működés (három procis megoldás) külön kihívás lenne.

Ha a gyári ilyen, a magam eszétől a két potit leutánoznám. Ezzel a szükséges biztonság meg is van. Ha eltérés van, az autó talán lereagálja. ( mondjuk potinál nem fordul elő nagy valószínűséggel a felső/alsó végállásban megakadás, ami processzornál a tápfeszültség a kimeneten...(amit azért nem zárhatsz ki.) Másik kérdés, miért, a potit ha nem szereled ki, ugyan úgy kopik, (gondolom ez a fő meghibásodási oka, nem a túlterhelés) ha meg kiszereled nem lehet rá visszatérni.
A prociba folyó áram az a lábak terhelésétől függ, mivel tápfeszültségként jelentkezik. Akár az egész áramkört is táplálhatja visszafelé.

Talán elkerülte a figyelmed, hogy tempomatról lenne szó. Dióhéjban kikapcsolt tempomattal történik gázpedál jeladó leutánzás. Bekapcsolt tempomattal az áramkör szabályozza a gázadást, de ha a sofőr több gázt akar adni, az megengedett. Nem tudom, hogy a poti kiszerelést mire értetted.
Minimum kétprocis (külön tápos) megoldást szeretnék, aminél legrosszabb esetben is megmarad egy proci (vész)lekapcsolni az áramkört. Teljes áramköri meghibásodás esetén (ha nem képes lekapcsolni magát) tervezésből adódóan szeretném, hogy 0-0V vagy legalább nagy valószínűséggel eltérő jelek legyenek a két analóg kimeneten, hogy a motorvezérlő felismerje a hibát.

Nem gondoltam rá, hogy az IO lábakon keresztül feléleszthető lenne a PIC.

A helyedben megnézném a Texas Instruments Hercules™ Safety MCU LaunchPad kit-jeit is. A TMS570 vagy az RM42, RM46, RM57 mikrovezérlőit kifejezetten magas biztonsági követelményű alkalmazásokhoz (légiközlekedés, autóipar, orvosi műszerek, kritikus ipari folyamatok) fejlesztették ki.

A lockstep arra való, hogy a procik saját meghibásodását lefedje. Modern, CAN buszos gázpedál jeladóval rendelkező autókhoz biztosan jó lenne egy ilyen, ahol nem redundáns, 0-5V tartományú analóg jelekkel kell dolgozni. Jelen esetben a 3.3-5V konverzió, DAC hiánya, a proci redundáns tápellátásának hiánya (egy VCC van, ami egyedi hibapont tápoldalon vagy redundáns, szünetmentes tápellátás kell) nagyságrenddel több problémát vet fel, mint amennyi hasznot hozna.

Szia freddyke! Nekem kicsit offnak tűnik ez az egész, de ha érdekel a véleményem, akkor én egy ilyen, vagy hasonló suppressorral védem a tápot és minden lábat, amit kell (van 3,6V-osban is). A tápnál kimegy a bizti és kész, a lábnál pedig vagy megeszi a túlfeszt, vagy tönkreteszi a forrást (ami amúgy is hibásan működik). Egyébként nem mernék ilyen áramkört építeni (mármint tempomatot)...

Talán off, de nem találtam megfelelő topicot, újat nyitni nem szeretnék.
Ennél az autónál minden más motortípushoz (létezett jópár) tudja a motorvezérlő a tempomatot, csak ki kell építeni és aktiválni kell. Ezt a motorvezérlőt szándékosan lebutították szoftveresen, a szoftverhez a gyáron kívül nem valószínű, hogy más hozzáfér.
Utólagos, univerzális tempomatot kereskedelemben csak rossz hírű kínai gyártótól találtam 80 ezerért. Semmi garancia, hogy védett, szerintem nem az. Románok megcsinálták és állítólag a mai napig építik autókba ezt a típust. A kapcsolás itt, lejjebb görgetve elérhető. Inkább nem kommentálom a kapcsolást. PIC programkódot nem ad, de írta, hogy kezdő. Ezen kívül még ajánlottak egyet, amihez sem kapcsolás, sem programkód nincs, csak egy fénykép a panel tetejéről. Ránézésre mindenből egy van. Nem olyan bonyolult ezektől nagyságrendekkel biztonságosabbat építeni.

Miért kellene neked 5 V-ot kezelni a mikrovezérlőben? Végül is csak egy duál potmétert akarsz szimulálni. Használhatsz kimenetnek digitális potmétereket is.

Sajnos nem. Az eredeti potméterről lejövő feszültségek 0-5V tartományban vannak, ezek mennek az ADC-be. Digitális potmétert is néztem és azért vetettem el, mert két analóg feszültséget kell előállítani, nem a komplett három kivezetéses potmétert szimulálni. Az eredeti potik a helyükön maradnak a motorvezérlőre kötve (ha ez nem így lenne, akkor lenne igazán megbonyolítva). A potikról lejövő, motorvezérlő felé menő visszacsatoló ágak lennének "elvágva", ADC-re kötve, a motorvezérlő felé a DAC kimenetei mennek. Ha már külső alkatrész, akkor inkább dupla DAC I2C-vel (ráadásul szinkronizálni is tudja a két kimenetét), de ezt sem nagyon szeretném, mégegy tok és plusz hibalehetőség.

Mit is akarsz elérni? Értem és nem értem. Az elején még azt hittem tempomat, de egyre inkább űrhajóhoz kezd hasonlítani. Az sem igazán jött le, hogy az analóg vonalat akarod megvédeni a túlfesztől megóvandó az auto saját elektronikáját, vagy a menetbiztonság miatt aggódsz, mert itt már mindenféle "mi lenne ha" hipotézisek kezdenek felvetődni ami a végén bonyolult lesz és drága.

Egy digit poti megfelelően bekötve DAC lesz...

Ha az egyik táp/proci ág kinyiffan, a másik maradjon működőképes, hogy le tudja kapcsolni az áramkört. (A három procis verziót dobtam.) Csatoltam egy nagyon leegyszerűsített ábrát. Az "OVP" túlfeszültség védelem akar lenni. A kapcsoló jelenlegi állásában az áramkör meghibásodott, a még működő proci átkapcsolta (átkapcsolás után öntartó, nem lehet visszakapcsolni). Az átkapcsolásnál tranziensek keletkezhetnek (több méter vezeték van), itt a DAC-k kimenetét és a motorvezérlőt is védeni kell (a túlfeszültség védelmen túl is). (Nem tudom mennyire lenne jó ide szilárdtest relé vagy inkább analóg kapcsoló, amiben lehet tranziens védelem gyárilag.)
Nincs rajta a rajzon, hogy az ADC-k a DAC-ket is visszaellenőrzik (mindkettő mindkettőt), a procik szinkronjelet adnak egymásnak, illetve a kezelőszervek, kapcsolók, sebesség jeladó bekötés is hiányzik (mindkét prociba párhuzamosan).

Nah,egy picit belekotnyeleskednék .Bár lassan ez inkább elektró,mint PIC. Bár régebben asszem 2 napja már javasoltam pár dolgot,de 1 picit bővíteném a lehetőségeket. A PIC-ek közé betehetsz pici ellenállásokat+Supresszort(ez lenne a legolcsóbb. Nem tom,hogy miért pont SPI-t kell a procik közé,de te tudod. A procik közé mehet izolátor,optó,de ha a sebesség kb 200k baud alatt is elég,akkor simán összekötheted max3232-esekkel(mint SPI)) is,ezt a legkönnyebb beszerezni .
A tápot úgy oldanám meg,hogy a DCDC után megbikázott szupresszor ,ami kiüti a biztit,na jó én általában dupla áteresztőset használok(fő a biztonság). A proci hibát meg úgy a legegyszerűbb megoldani,hogy minden proci jelenlétet ad a másiknak. Az egész lekapcsolását megoldhatod öntartással,amit bármelyik proci,ami hibát jelez,meg tud szakítani,így nincs véletlen visszakapcsolás.
De a legbiztosabb,ha csinálsz feszfigyelőt,ami a PIC-ektől függetlenül lelövi az egészet.

Nekem olyan kérdésem lenne, hogy miért kellene a két PIC-nek egymással komminukálnia? Minddnki tudja a dolgát. Egyiknek adnám a 0-5V tartományt, a másiknak a 0-2.5V-ot. A bemenő infó lehetne ugyanúgy szétválasztott, egyik kapja az egyik potit, másik a másikat. Mindkettő megkapja azt, amit szeretnél (gomb, poti, bármi), ezzel tudod őket utasítani, és mindkettő teszi a dolgát. Ha bármelyik bekrepál, az autó letilt. Ha a dupla poti tönkremegy, és nem vagy tempomatban, az autó letilt (a PiC-ek ilyenkor csak tovább küldik az infót). Kell ennél több védelem? Megmarad a dupla potis redundáns rendszered is. Ha tönkremennek a PIC-ek, talán jobb is, ha az autó megáll. Esetleg rakhatsz be egy relét, ami csak akkor kapcsolja be a PIC-eket a dupla poti és az autó közé, ha mindkettő jelzi, hogy minden rendben van (egyik magas kimenetet ad, a másik alacsonyat, közé pedig egy mini 3V-os relé. Resetben lebegnek a lábak).

Valóban azt szeretném, hogy a motorvezérlő tiltson le hiba esetén, de csak akkor, amikor az áramkör magatehetetlen, halott. Valóban meg lehetne úgy is csinálni, ahogy írod, de ha a gázpedál jeladó nem hibásodik meg, csak az egyik PIC, abból egy nagyon kellemetlen, felesleges motorvezérlő letiltás lehet (forgalomban). És ha a motorvezérlő le sem tilt, a PIC adja a gázt? A két PIC pont azért van, mert egyszerre kettő kis eséllyel hibásodik meg, folyamatosan ellenőrzik egymást, a maradék jó még tud intézkedni a lekapcsolásról.

Mindenképpen kell annyi kommunikáció, hogy az egyik szinkronjelet küld magának + a másiknak (külső láb megszakítás), hogy egyszerre mintavételezzék az ADC-ket, kapcsolók állásait, különben mást számolnának, mást küldenének a DAC-re és a motorvezérlő letiltana. Ugyanígy szinkronizálni kell a DAC-re kiküldést is. De ez így kevés, lehet az órajelben minimális különbség, máshogy fut le a kód, az egyik elkésik, hibázik, kommunikáció nélkül nem derül ki.
A kommunikációban első körben egyeztetik a szenzorokról levett adatokat, ha itt nincs egyezés (pl. gázpedál jeladó állásában ez kritikus), akkor lekapcsolás van. Pergő kapcsolóknál lehet tolerancia, de fontos, hogy a két PIC "megegyezzen" valamiben és mind a kettő ugyanabból számoljon tovább ettől a ponttól. Második körben megosztják mit számoltak ki, mi kerül a DAC-kre. Ha itt nincs egyezés, akkor lekapcsolás van. Ha egyezés van, újabb szinkronban teszik ki a DAC-kre a jeleket.

Három PIC automatikus hibajavítást is végre tudna hajtani, el tudják dönteni melyik hibásodott meg, de a túlzott bonyolítás miatt elvetettem. Két PIC csak azt tudja eldönteni, hogy hiba van.

Szerintem az elektromos védelem kérdését már megválaszoltuk a redundanciát pedig a két PIC kölcsönös kommunikációja megoldja. Mindegyiknek alap feladata lecsekkolni a perifériákat(DAC, vagy bármi) és erről jelentést küldeni, ha a másik kérdi és viszont. Ha az eredmény nem jó, akkor maga áll le, ha pedig nem elérhető a PIC, akkor a másik állít le (kapcsolja át a reléd). Fontos egy időbélyeg(elég egy növekvő szám, minden csekkoláskor), mert ha valami miatt működésben marad a kommunikáció, de a belső csekkolós folyamat megakad, akkor a másik PIC tudja, hogy valami nem okés a másik PIC-ben. Lehet ezt még finomítani, de szerintem kellő biztonságot adna.

A táp kérdést a DC-DC konverter témában folytattuk. Egyszerűsítés miatt valószínűleg 7805 lesz (nem hajlamos a bemenő feszültséget a kimenetére tenni), a biztonság kedvéért túlfeszültség védelemmel a kimenetén. Szupresszor adatlapok alapján az 5.5V-osak 7-9V-nál törnek le tipikusan vagy maximum, a PIC 6.5V-ig kaphat tápfeszt. Valami más kellene, ami legfeljebb 6.5V-on letörik és kibírja, amíg kiég a bizti. A "dupla áteresztőset" nem értem. Ha nem kap túlfeszültséget a PIC, nagyon valószínűtlenül hibásodik meg úgy, hogy kárt tesz a másik PIC-ben vagy a többi rákapcsolt dologban. Panelen belül már nem látom sok értelmét az izolációnak.
Viszont majdnem elbagatelizáltam, hogy hosszú vezetékek vannak a külvilággal (jeladó, kapcsolók, motorvezérlő), ezeket feltétlenül védeni kell, mert akár negatív tranziensek is keletkezhetnek a vezetékek induktivitása miatt. Találtam egy érdekes cikket, itt egy másik.
A motorvezérlőnél (DAC és motorvezérlő közé) valószínűleg többféle védelmet is berakok (az átkapcsolási tranziensek miatt is), a 12V-os kapcsolóknál és sebesség jeladónál (nincs a rajzon) szerintem egy sokkivezetéses izolátor vagy optokapu lesz lesz.

SPI a leggyorsabb, ha már elérhető, miért ne.
A periodikus kommunikáció (mondjuk 0.001 másodpercenként) mellett nem sok értelmét látom a külön életjel adásnak: szinkronjel sem jön a másiktól vagy az első üzenetváltásnál kibukik, hogy a másik nem válaszol.
Pont fordítva gondoltam, hogy akkor húzzon csak be a relé, amikor baj van és úgy legyen öntartó (így remélhetőleg 99.9....9%-ban nem fogyaszt, nem kopik). A relés átkapcsolásokat kerülni kell, mert nem tudom a motorvezérlő hogyan tolerálja. Lehet szilárdtest relé is (ha alkalmas analóg jel átvitelére) vagy analóg átkapcsoló (van ebből is jópár, egyik adatlapján olvastam, hogy a tranzienseken is segíthet).
A feszfigyelő jó ötlet, csak két proci mellé talán már túlzás (ha egyszerűen megoldható, beleteszem).

A dual potiról levett és a motorvezérlőnek leadott analóg feszültségeket csak szinkronban lehet értelmezni. Ahogy fent írtam, úgy tudom elképzelni, hogy az egyik folyamatosan szinkronjelet ad magának plusz a másiknak. Mindegyik egyszerre végzi ugyanazt a dolgát a kiváltott megszakításban. A kódoknak nagyjából azonos idő alatt kell lefutni, a körök végén egyeztetnek, majd folytatódik a következő körrel amíg a DAC-re ki nem kerül az adat és vissza nem ellenőrizték, utána kis szünet a következő szinkronjelig (megszakításig).

Más területen, ahol elég volt a másodperces felbontás gyakran használtam időbélyeget. Gondoltam rá, de sajnos az RTC felbontása kevés, minimum ezredmásodperces felbontás kellene. A növekvő szekvencia jó ötlet, plusz biztonságot ad.

Hajtsd a PIC-eket 3.3V-ról, a szupresszor pedig lehet olyan fajta, ami 5V-nál már használható. A potiról jövő 5V-os jelet le kell osztanod.
Dupla áteresztő: egymás után két stab, pl. 9V, majd 3.3V.

Szerintem nem kell ezer mérés, elég akár 50-is.

Időbélyegnek tekinthető a növekvő szám, ami lehet 8bites is, csak változzon (++) és a vevő szinkronban legyen.

Végülis lehet, emberi beavatkozáshoz képest még mindig gyors. Abból indultam ki, hogy simán elbírná a PIC.

Az ABS jeladóról kapok egy frekvenciát. A frekvencia tartomány kiderítendő feladat.

Melyikről? Mert kanyarban egyik sem azt mondja, ami a valóság...

A kapcsolási rajzból nem derül ki melyikről (ABS egységből jön ki egy vezeték). A gyári (motorvezérlőbe épített) megoldás is ebből dolgozik (ennél a motornál csak dolgozna, ha nem tiltották volna le szoftverből) és az összes utólagos tempomat, amit eddig láttam.

Igen,nagyjából erről lenne szó,de nem teljesen,neked ez is elég lenne.
Az izolátor,stb. azért ajánlottam,mert az írásodból az jött le,hogy a procik több méterre vannak egymástól.De,ha 1 panelon vannak,akkor elég csak a tranziens elleni 100R környéki ellenállás(lehet,hogy ront a kommunikáción,de az még mindig jobb,mintha kinyírja valami löket ).
Az öntartást nem mechanikus ,hanem elektronikus öntartással oldanám meg,így csak akkor fogyaszt minimálisat,ha megy az egész,de az is elhanyagolható.

Sajnos ha osztani kell, akkor szorozni is, ezt próbálom elkerülni. 1.83V és 3.66V a legnagyobb feszültség. Még ha le is mennék 2V közelébe (csak egyet kell osztani-szorozni), nem találok szupresszort.
Szupresszornál a clamping voltage a mérvadó (nagyobb áramra). Jellemzően 7-9V-tól indul a jelentősebb teljesítmény elnyelésére alkalmas típusoknál (adatlapok alapján). A működési feszültséget is figyelembe véve, nem találtam megfelelőt 6.5V clamping voltage-re.
Ha a PIC impulzusszerűen elviselne 6.5V-nál többet is, akkor lenne értelme, de ez nincs meghatározva. A szupresszor értleme megkérdőjeleződik számomra. Valószínűleg a Zener is hasonlóan viselkedne, ahogyan elkezd nagy áram folyni, a keletkező hő miatt megemelkedik a letörési feszültsége (csak még akkora energiát sem tud elnyelni).

Két áteresztővel, ahol az első 6.5V alá van lőve nem lenne biztonságos elhagyni a szupresszort? Ha az első hibásodik meg, a második kimenetén nem tudom lesz-e impulzus. Ha a második, akkor max 6.5V kerülhet ki.

Mekkora a jelentősebb teljesítmény? Nekem pl. ilyen van: BZA456A

Ez IO-ra való (720mW vagy 24W 1ms-ig) és 8V a clamping voltage 3A csúcsáramnál. A tápon 50-100A is folyhat (eredetileg Buck-ról volt szó), ezért a nagyobbakat néztem (a clamping voltage szempontjából úgy láttam mindegy). Kérdés mennyi idő alatt ég ki a bizti és mekkora teljesítmény kell addig.
TVS-hez irodalom.

Idézet:
„Melyikről? Mert kanyarban egyik sem azt mondja, ami a valóság...”

Jobban megnéztem a kapcsolást. A bal első keréken van a jeladó, ez rámegy egy jelátalakítóra. Innen venném le a jelet, ugyanebből dolgozik a gyári (motorvezérlőbe épített) tempomat, ABS, fedélzeti computer, stb.

érdekes...
Fura dizajn.

Kíváncsi leszek mikor ér Európába és mennyiért.

Úgy néz ki,hogy a mcsipi áttér a szálcsiszolt design -ra. Nekem bejött az ICD4,de azért majd a PK4-et is beszerzem