フェイルセーフ
故障が起きたとき、システムを単なる不明な状態ではなく、害のない状態へ導くべきだという設計原則。
教科書的な例は、1872年のウェスティングハウスの自動空気ブレーキだ。空気圧が列車のブレーキを「緩めた」状態に保っているので、ホースが破裂すれば列車は、ブレーキの効かないまま走るのではなく停止する。組み込みシステムも同じ論理に従う。リセット後、マイコンのピンはハイインピーダンスの入力になる。そのため、ファームウェアが再起動する間モータードライバをオフに保つにはプルダウン抵抗が要る。これがなければ、ウォッチドッグリセットのたびに、モーターが一瞬制御を失うことになる。
何が安全かは用途によって違う。産業用ロボットは止まればよいが、航空機は止まれない。代わりにフェイルオペレーショナル、つまり故障があっても動作を続けることが求められ、冗長化が必要になる。IEC 61508 などの規格は、安全状態を明示的に定義し、システムがそこへ到達できることを示すよう要求している。