| 摘要 |
Ein System zur integrierten Steuerung einer Ruhigstellung nach Ausfall und einer Funktionsfähigkeit nach Ausfall umfasst einen primären Controller, der Merkmale von Einrichtungen steuert, während diese unter Betriebsbedingungen ohne Störung betrieben werden. Ein sekundärer Controller umfasst ein Ausfall-Detektor-/Entscheidermodul, das Störungen in dem primären Controller überwacht. Das Ausfall-Detektor-/Entscheidermodul ermittelt, ob die Störung in dem primären Controller einer Anforderung mit Ruhigstellung nach Ausfall oder einer Anforderung mit Funktionsfähigkeit nach Ausfall zugeordnet ist. Wenn das Ausfall-Detektor-/Entscheidermodul ermittelt, dass die Störung eine Anforderung mit Ruhigstellung nach Ausfall ist, dann gibt das Ausfall-Detektor-/Entscheidermodul eine Abschaltanweisung an den primären Controller aus, um ein Merkmal abzuschalten, das durch die Störung beeinflusst wird, wobei das Merkmal nicht betriebsfähig wird. Wenn das Ausfall-Detektor-/Entscheidermodul ermittelt, dass das Merkmal, das der Störung zugeordnet ist, eine Anforderung mit Funktionsfähigkeit bei Ausfall ist, dann überträgt das Ausfall-Detektor-/Entscheidermodul ein Signal an den primären Controller, um Steuerungen des Merkmals auf den sekundären Controller zu übertragen. Der sekundäre Controller wirkt als ein Hochsicherheitssystem, um das Merkmal in einem Modus mit Funktionsfähigkeit bei Ausfall zu steuern. |
