В первой версии часов преобразованием занимается отдельная микросхема. Но там точек отказа - больше, хотя само преобразование с МП никак не связано, есть ограничение по току, стабилизация.
Фактически стоимость проблемы - предохранитель в цепи питания. И... в реальности полномасштабно эта "зверская ошибка" проявляться не будет: микропроцессор питается от той же цепи, что и преобразователь, как только произойдёт к.з. микропроцессор выключится, питание с его выходов снимется, транзистор закроется.
Есть и ещё один аспект. ШИМ работает на аппаратном уровне и управляется аппаратными прерываниями. Т.е., программное подвисание МП вряд ли скажется на работе ШИМ. Наверное, есть случаи, когда подвисание возникает с запретом прерываний, при этом порт остаётся во включенном состоянии, но давайте не будем рассматривать теоретические выкладки, вероятность того, что МП подвиснет сама по себе достаточно маленькая, что подвиснет с запретом прерываний - ещё меньше, что при запрете прерываний мы окажемся во включенном состоянии порта - зависит от скважности, но точно меньше 1.