Этот пример показывает, как модель sf_aircraft использует график Mode Logic обнаружение отказов системы и восстановление из типов отказа системы управления лифтом самолета. Для получения дополнительной информации об этой модели см. «Обнаружение неисправностей в системе управления лифтом самолета».
В системе два лифта, каждый с внешним и внутренним приводом. The Actuators состояние имеет соответствующее подсостояние для каждого из четырех приводов. Привод имеет пять режимов: Passive, Active, Standby, Off, и Isolated. По умолчанию внешние приводы включены, а внутренние приводы находятся в режиме ожидания. Если во внешних приводах обнаружен отказ, система реагирует на поддержание устойчивости, отключая внешние приводы и приводя в действие внутренние приводы.
Каждый привод содержит Off состояние и Isolated состояние. Когда логика обнаружения отказа в одной из таблиц истинности обнаруживает сбой, она транслирует событие go_off или go_isolated к отказавшему приводу. Для получения дополнительной информации смотрите Сопоставление условий отказа с действиями при помощи таблиц истинности.
The go_off событие предписывает отказавшему приводу перейти на Off состояние до тех пор, пока условие не будет разрешено. Событийный go_isolated приводит к переходу отказавшего привода к Isolated. Переходы к Isolated состояние от сверхсостояния L1, который содержит все другие рабочие режимы. Это состояние не имеет выходных переходов, так что, как только привод вошел Isolated она остается там. Периодические отказы, которые вызывают отказ привода 5 или более раз, также вызывают переход к Isolated. Переменная fails регистрирует количество отказов для привода путем увеличения каждый раз, когда переход происходит из Off.
Переходы в подсостояниях для каждого привода учитывают требования к восстановлению лифтовой системы. Эти требования вытекают из правил симметрии и безопасности лифтов, таких как:
Одновременно должен быть активен только один привод для лифта.
Внешние приводы имеют приоритет над внутренними приводами.
По возможности работа привода должна быть симметричной.
Переключение между приводами должно быть сведено к минимуму.
Например, одно требование системы состоит в том, что если один внешний привод выходит из строя, то другой внешний привод должен переместиться в резервное состояние, и внутренние приводы перейдут в рабочее состояние. Следовательно, происходит переход от каждого Active состояние в Standby, и наоборот.
Для внутреннего левого привода (LI ), переход на Active внутри L1 сверхштатное условно основано на [!LO_act()|RI_act()]. Это приводит к включению левого внутреннего исполнительного механизма, если внешний привод (LO) отказал, или правый внутренний исполнительный механизм (RI) включился.
Другое последствие, если LO отказывает и выходит из Active - переход, который происходит в правом внешнем приводе (RO). The RO изменения состояния внутри L1 сверхсостояние от Active на Standby. Это удовлетворяет требованию внешних приводов и внутренних приводов работать симметрично.
