# Fail-safe-Spezifikation 1.2.0-r28

- Boot, Reset, Parserfehler, Timeout, Verbindungsverlust und Dienstende: STOP.
- E-Stop ist verriegelt und besitzt höchste Priorität.
- Browser-/LLM-Inhalte gelangen nie ungeprüft zur seriellen Schnittstelle.
- WebSocket-Heartbeat: 250 ms; Controller-Lease: 500 ms.
- Serial-DRIVE-TTL: 250 ms; Firmware-Heartbeat-Timeout: 600 ms.
- PWM beginnt bei 0 und steigt bei maximaler Befehlsrate erst nach mindestens
  800 ms bis zum konfigurierten Grenzwert.
- Der Grenzwert bleibt konservativ bei 76/255, also unter dem Auftragsmaximum
  von 160/255.
- Ein Vorzeichenwechsel überschreitet im Gateway nie in einem Befehl Null.
- Erkennt die Firmware einen Richtungswechsel, werden beide Kanäle auf LOW/0
  gesetzt. Der Frame wird verworfen. Erst ein neuer Frame nach mindestens
  300 ms kann die Gegenrichtung setzen; es gibt keine Befehlswarteschlange.
- STOP setzt die Rampenzustände sofort auf Null.
- Motorimpulse zur Verhinderung einer Powerbank-Abschaltung sind verboten.

Softwaretests dürfen `PASS_SOFTWARE` ergeben. Boot-, Reset-, Watchdog- und
Richtungswechselprüfungen an realen Pins bleiben bis zur beobachteten Messung
`BLOCKED_PHYSICAL`.
