当运行的控制系统检测到自身故障时，会自动切换至（）。