信号灯无非就是2个部分，照明和控制。控制部分的功能，就是接受调度员的命令（数字的或者模拟的），然后再驱动照明。那么这个控制器和调度员的命令通道出问题的时候，你怎么设计它的照明驱动输出呢？这个连接出问题的可能性还是不小的，比如连接脱线，短路，调度台开关失灵等等。

在输入命令中断下，驱动该怎么输出？关灯，红灯，绿灯，黄灯，保持上个命令状态...？都是可选择的。这次全路通的信号灯是不是选择了绿灯？甚至他们设计时根本没有考虑，是线路by default自动接通了绿灯？从设计上说，这里没有最完美的选择，选择什么都可能存在出事的几率，比如红灯，也可能导致出事（列车不该停的时候停）。设计上只能选最安全的可能输出，但那不是绝对的。

这只是第一步，还要考虑比如电源被击穿，甚至某个元件损坏的情况下，控制输出该怎么办？能把问题搞得极其复杂，但结论还是一样，没有完美的解决，只能尽力做的尽量安全。设计mission critical的控制，这些都是必须考虑的。