システムに故障が発生したとき、あらかじめ安全な状態に落ち着くように制御する設計の考え方はどれか。