Этот пример показывает, как модель sf_aircraft использует график Mode Logic, чтобы обнаружить системные отказы и восстановиться с типов отказа для системы управления лифта самолета. Для получения дополнительной информации об этой модели смотрите Управляющую логику Обнаружения Отказа в Системе управления Лифта Самолета.
Существует два лифта в системе, каждом с внешним и внутренним приводом. Состояние Actuators имеет соответствующее подсостояние для каждого из этих четырех приводов. Привод имеет пять режимов: Passive, Active, Standby, Off и Isolated. По умолчанию внешние приводы работают, и внутренние приводы находятся в состоянии готовности. Если отказ обнаруживается во внешних приводах, система отвечает, чтобы поддержать устойчивость путем выключения внешних приводов и активации внутренних приводов.
Каждый привод содержит состояние Off и состояние Isolated. Когда логика обнаружения отказа в одной из таблиц истинности обнаруживает отказ, это широковещательно передает событие go_off или go_isolated к провальному приводу. Для получения дополнительной информации смотрите Условия Отказа Карты к Действиям при помощи Таблиц истинности.
Событие go_off сообщает провальному приводу к переходу к состоянию Off, пока условие не разрешено. Событие go_isolated вызывает провальный привод к переходу к Isolated. Переходами к состоянию Isolated является из сверхдержавы L1, который содержит все другие рабочие режимы. Это состояние не имеет никаких исходящих переходов, так, чтобы, если привод ввел Isolated, это остается там. Неустойчивые отказы, которые заставляют привод перестать работать 5 или больше раз, также вызывают переход к Isolated. Переменная fails регистрирует количество отказов для привода путем постепенного увеличения каждый раз, когда переход происходит из Off.
Переходы в подсостояниях для каждого привода составляют требования восстановления системы лифта. Эти требования выводят от правил для симметрии и безопасности лифтов, таких как:
Только один привод для лифта должен быть активным когда-то.
Внешние приводы имеют приоритет над внутренними приводами.
Действие привода должно быть симметричным, если это возможно.
Переключение между приводами должно быть сведено к минимуму.
Например, одно требование системы - то, если один внешний привод перестал работать, то другой внешний привод должен переместиться в резервное устройство, и внутренние приводы вступают во владение. Следовательно, существует переход от каждого состояния Active до Standby, и наоборот.
Для внутреннего левого привода (LI) переход к Active в сверхдержаве L1 условно основан на [!LO_act()|RI_act()]. Это заставляет левый внутренний исполнительный механизм включать, если внешний привод (LO) перестал работать, или правый внутренний исполнительный механизм (RI) включил.
Другое последствие, если сбои LO и перемещения из Active переход, который происходит в правильном внешнем приводе (RO). Изменения состояния RO в сверхдержаве L1 от Active до Standby. Это удовлетворяет требование внешних приводов и внутренних приводов, чтобы работать в симметрии.
