Микроконтроллеры

Ошибки есть всегда. И отсутствие сторожевого таймера запросто превращает одиночный временный сбой (перезапуск системы при выполнении одной операции) в постоянный отказ (повисло и без специально обученного человека не перезапустить, кнопки резет или отключателя питания не выведено). Кроме того, попадание залётной частицы на базу главного транзистора тоже вполне возможно. И ватчдог может здесь спасти, а может не спасти. Поэтому в особо отвественных случаях не лишним будет аппаратный ватчдог, связанный с источником питания: который, если его долго не пинали (мульти/одновибратор со сбросом), отключит на некоторое время питания. И вторая схема сразу: которая разрядит конденсаторы ниже чем до вольта, иначе мёртвому припарки (power monitor с выходом "reset", ака power-не-good, в самый раз, если нагрузить его резистором). Аппаратный ватчдог желательно должен быть сделан на дискретных компонентах, хотя может быть и аппаратный. Важно лишь бы не был подвержен тем же latch up эффектам, что обычная логика. И третья так же наверное даже более важная схема, которая долбна быть в источнике питания -- обеспечение пуска с резким ростом питающего напряжения (достаточно гистерезиста между напряжением запуска и выключения, плюс ненулевая ёмкость и сопротивление на входе), и запрет работы при просадке напряжения ниже минимума (undervoltage lockout). Многие микросхемы и сам МК могут не запуститься нормально при медленном росте VCC и глючит при питании ниже номинала.