控制系统有双控制器，不能直接认定薄膜按键的两路输入也具备冗余。沿按键触点、线路、排线和连接器，一直查到主板输入，找出两路共用的节点，再由整机项目确定希望容忍的故障及验证方法。两根排线、两个输入地址或两片外观相同的开关，都不能单独证明一路异常后另一路仍能完成约定功能。
英国劳氏船级社LR在2026年10月13日发布的联合研发消息中，介绍了与Shell、GTT开展混合电力LNG船概念研究，工作涉及系统架构、冗余理念和电池集成。这是近期补充的概念研究消息，不是已建成船舶或面板采购公告，也没有说明采用什么按键结构或与宝盛达存在供货关系。
如果自家设备在架构评审中提出冗余要求，并准备外购薄膜开关，工程评审还要问清：整机已有的双控制器，是否把操作输入这一段也纳入了核对？本文只讨论普通非安全操作输入的工程资料与确认范围，不代替船级要求、急停、防护联锁或其他安全功能的设计与合规验证。
先明确冗余覆盖的是哪一段
Rockwell的Configure Redundancy说明以两个或更多控制器执行相同功能解释控制器冗余。该说明针对其控制器配置，不能据此给外接薄膜开关作出相同结论。控制器、通信、供电及操作输入各自覆盖到哪里，需要分别画清。
西门子《High Availability Process Control Systems (V10.0)》第4.10节、第34—35页讨论冗余节点及其失效对整个系统的影响。这提供了一个核对思路：关注某个部件失效后其他部分还能否执行功能。它不是定制薄膜开关的统一接线图或验收标准。
先在当前图纸上分别标记输入A、输入B，从实际触点追到主板读取位置。矩阵行列、公共回线、同一个插接件或相同的上游电源，如实际存在，都应如实标出。不能为了让图看起来独立而省去共用段，也不能只数插头或软件地址。
以一个假设图纸为例：A、B各有独立信号针，但共用一根回线。审核记录应保留这条公共回线，并请整机负责人评估其异常是否同时影响两路。这个例子只说明图纸核对方法，不描述新闻船舶、宝盛达现供产品，也不预先判定所有共用结构都不允许。
两路输入的图纸，哪些位置要展开看
| 以下是普通非安全操作输入的项目核对建议，依据上述原厂资料区分系统与节点范围；实际结构、故障假设和判据由整机项目确认，不构成功能安全等级或船级认可。 | ||
|---|---|---|
| 沿输入路径核对 | 在本项目图纸中写清 | 仅凭什么还不能下结论 |
| 按键和触点 | 是一处操作件产生两路信号，还是两处独立操作；触点及共用机械结构的范围 | 两个触点符号不自动证明机械结构独立 |
| 印刷线路和公共段 | A、B线路的节点、公共回线及实际共用段；矩阵扫描方式另行标明 | 两个输入地址不证明线路没有共用节点 |
| 排线与连接器 | 针位、接触面、锁扣、插接件归属和共用连接部位 | 两根排线不自动证明连接链路相互独立 |
| 主板读取与程序 | 各路接入点、读取条件、状态判断及异常反馈责任 | 主板能读到两路，不代表异常处理已经验证 |
| 完整功能路径 | 拟容忍的异常、仍需保留的功能、不能继续运行的边界及确认记录 | 分别导通合格不等于一路异常时整机仍可用 |
先约定故障目标，再确认样件
“一路坏了还能用”需要转成可核对的项目要求。先明确“一路”包含哪些部件、考察哪种异常、剩余路径应保留什么功能，以及设备应如何提示和恢复。不把一处断线、接触异常与程序未接受输入混成同一种故障，也不默认继续运行一定正确。
验证由整机负责人在受控、安全的试验条件下组织，保留样件、线路与接口版本、主板及程序版本、检查方法和结果。对尚未实施的异常情景写“待确认”。本文不建议在运行中的设备上拔线或制造故障；涉及安全功能时，交由具备相应职责的人员按适用要求另行处理。
部件导通和整机异常响应要分开记录。前者回答按键回路是否按图动作，后者回答当前架构下功能与反馈是否符合项目要求，不能用其中一份记录替代另一份。
外购薄膜开关时，怎样划清交付范围
深圳市宝盛达科技有限公司的薄膜开关定制资料要求结合壳体、主板接口和使用环境确认按键、线路与排线，并用同版壳体和主板核对按键映射、导通及装配。这些是部件沟通与样件确认输入，不是整机冗余设计或功能安全性能证明。
对于前述系统架构评审场景，给供应方的资料应具体到触点定义、A/B线路、公共节点、排线针位与安装约束；给整机团队的资料则保留故障目标、主板判断及反馈规则。供货是否包含主板、诊断电路或程序，逐项按真实订单确认，不因写了“双路”就自动扩大。纯薄膜面板或按键面贴不含开关线路，也不能因印了两组按键名称就作为两路输入器件。
更换公共回线、插接件或主板读取方式后，应重新核对受影响的功能路径。可按项目追溯与版本核对指南关联图纸、BOM、变更和样件记录；文件齐全本身不证明冗余验证通过。
已有两处面板、需要处理指令先后或冲突时，可看多入口指令冲突的确认方法；需要细化部件电气检查时，可看通断、短路和绝缘的验收区别。它们分别解决操作规则与部件检查，不替代本篇的功能路径核对。
通过项目联系入口沟通两路输入需求时，附一张标有A/B及共用段的有效图纸，并注明整机负责人确认的功能边界。先让各方看到同一条完整路径，再决定部件结构和需要补做的确认。