В этом примере показано, как модель sf_aircraft использует график Mode Logic обнаружить системные отказы и восстановиться с типов отказа для системы управления лифта самолета. Для получения дополнительной информации об этой модели смотрите, Обнаруживают Отказы в Системе управления Лифта Самолета.
Существует два лифта в системе, каждом с внешним и внутренним приводом. Actuators состояние имеет соответствующее подсостояние для каждого из этих четырех приводов. Привод имеет пять режимов: Passive, Active, Standby'off', и Isolated. По умолчанию внешние приводы работают, и внутренние приводы находятся в состоянии готовности. Если отказ обнаруживается во внешних приводах, система отвечает, чтобы обеспечить устойчивость путем выключения внешних приводов и активации внутренних приводов.
Каждый привод содержит Off состояние и Isolated состояние. Когда логика обнаружения отказа в одной из таблиц истинности обнаруживает отказ, это широковещательно передает событие go_off или go_isolated на провальный привод. Для получения дополнительной информации смотрите Условия Отказа Карты к Действиям при помощи Таблиц истинности.
go_off событие сообщает провальному приводу к переходу к Off состояние до условия разрешено. Событие go_isolated вызывает провальный привод к переходу к Isolated. Переходы к Isolated состоянием является из сверхдержавы L1, который содержит все другие рабочие режимы. Это состояние не имеет никаких исходящих переходов, так, чтобы, если привод ввел Isolated это остается там. Неустойчивые отказы, которые заставляют привод перестать работать 5 или больше раз, также вызывают переход к Isolated. Переменная fails регистрирует количество отказов для привода путем постепенного увеличения каждый раз, когда переход происходит из Off.
Переходы в подсостояниях для каждого привода составляют требования восстановления системы лифта. Эти требования выводят из правил для симметрии и безопасности лифтов, таких как:
Только один привод для лифта должен быть активным когда-то.
Внешние приводы имеют приоритет над внутренними приводами.
Действие привода должно быть симметричным, если это возможно.
Переключение между приводами должно быть сведено к минимуму.
Например, одно требование системы - то, если один внешний привод перестал работать, то другой внешний привод должен переместиться в резервное устройство, и внутренние приводы вступают во владение. Следовательно, существует переход от каждого Active утвердите к Standby, и наоборот.
Для внутреннего левого привода (LI ), переход к Active в L1 сверхдержава условно основана на [!LO_act()|RI_act()]. Это заставляет левый внутренний исполнительный механизм включать если внешний привод (LO) перестал работать, или правый внутренний исполнительный механизм (RI) включил.
Другое последствие, если LO сбои и перемещения из Active переход, который происходит в правильном внешнем приводе (RO). RO изменения состояния в L1 сверхдержава от Active к Standby. Это удовлетворяет требованию внешних приводов и внутренних приводов, чтобы работать в симметрии.
