Runtime PLC nie powinien sam odpowiadać za bezpieczeństwo sprzętu
Warstwa I/O powinna wymuszać bezpieczne stany jeszcze przed uruchomieniem aplikacji PLC. To istotne podczas startu systemu, aktualizacji oraz awarii procesu runtime.
Watchdog i aktywacja wyjść
Dobrym wzorcem jest osobny daemon posiadający linie GPIO, kontrolujący heartbeat aplikacji i ustawiający stan bezpieczny po przekroczeniu czasu watchdog. Aktywacja wyjść powinna następować dopiero po świadomym przejęciu sterowania przez aplikację.
Granice rozwiązania
Watchdog programowy nie zastępuje sprzętowego układu bezpieczeństwa. Krytyczne wyjścia powinny mieć niezależne zabezpieczenia, a analiza ryzyka musi uwzględnić zawieszenie kernela i uszkodzenia sprzętowe.