Aktuatory i sterowanie pocisku — serwa, TVC, jet vanes i DACS

Sekcja wykonawcza pocisku bywa opisywana kilkoma wygodnymi liczbami: maksymalnym wychyleniem, prędkością powierzchni albo pasmem aktuatora. Żadna z nich osobno nie dowodzi jednak, że układ wykona żądanie sterowania w konkretnym locie. Zdolność CAS nie jest katalogową wartością kąta lub pasma, lecz odwoływalnym twierdzeniem, że w dokładnie wskazanym baseline’ie, stanie lotu i horyzoncie czasowym układ wytworzy żądany moment z wymaganym zapasem po uwzględnieniu efektora, aktuatora, energii, obciążenia, pomiaru, niepewności, opóźnień i uszkodzeń. Ta monografia pokazuje, jak takie twierdzenie budować, podważać i ograniczać. Nie jest instrukcją projektowania, budowy, strojenia, obsługi ani bojowego użycia współczesnego uzbrojenia.

1. Granica opracowania: od żądania momentu do dowodu

CAS (control actuation system) oznacza tu cały tor wykonawczy: żądanie uogólnionego momentu, alokację żądań między kanały, elektronikę mocy, napęd i transmisję, czujnik położenia, podatną strukturę oraz aerodynamikę lub inny efektor. Granica nie kończy się na wale silnika. Kończy się dopiero tam, gdzie działanie efektora może zostać powiązane z momentem działającym na pojazd i zmierzone niezależnym torem prawdy odniesienia.

Odbiorcą tekstu jest student kierunku związanego z wojskiem, instruktor oraz personel techniczno-analityczny. Ich zadaniem nie jest odtwarzanie konstrukcji. Mają umieć rozpoznać, czy raport mówi o tym samym wariancie, czy testował właściwe ograniczenie, czy obserwacja odróżnia konkurencyjne przyczyny oraz czy wniosek nie przekracza danych. Wszystkie wartości CAS-R1 są jawnie fikcyjne, syntetyczne, nieoperacyjne i celowo nieskalowalne na realną broń. Nie wolno używać ich do projektowania ani strojenia uzbrojenia.

W tekście rozróżnia się pięć statusów liczb. Zadana pochodzi z definicji fikcyjnego eksperymentu; wymagana jest kryterium zaliczenia; zmierzona jest syntetycznym wynikiem określonego toru pomiarowego; estymowana pochodzi z jawnego modelu lub identyfikacji; założona zamyka model tam, gdzie nie ma pomiaru. Status nie jest ozdobą: liczba bez statusu nie może wejść do decyzji.

Materiały źródłowe potwierdzają mechanizmy, praktyki dowodowe i historyczne konfiguracje, ale nie są bankiem parametrów dla CAS-R1. Ich pochodzenie nie zwalnia z kontroli wariantu, daty i lokalizatora.

Bezpieczeństwo znaleziska. „Niewybuchu ani szczątków pocisku nie dotykać, nie przemieszczać, nie demontować i w żaden sposób nimi nie manipulować. Oddalić się tą samą drogą, którą się przyszło. Zapamiętać miejsce albo oznaczyć je wyłącznie z bezpiecznej odległości; nie zbliżać się w celu oznaczania lub zabezpieczania. Ostrzec inne osoby i nie dopuszczać ich do rejonu. Z bezpiecznego miejsca zadzwonić pod numer 112 albo zawiadomić Policję lub właściwe służby, a następnie wykonywać ich polecenia.” Przypadkowy znalazca nie zabezpiecza rejonu, nie dokonuje pomiarów i nie ocenia stanu energii.

2. Co właściwie ma wykonać CAS

Autopilot nie rozkazuje silnikowi „mieć pasmo”. Formułuje żądanie zmiany stanu pojazdu, zwykle poprzez uogólnione siły lub momenty. Alokator przekształca je w polecenia efektorów, a każdy kanał próbuje osiągnąć położenie pod obciążeniem. Zdolność powstaje więc w łańcuchu:

stan lotu i żądanie → osiągalny moment → alokacja → pozycja i prędkość → moment i prąd → napięcie → wspólna moc i energia → temperatura → rzeczywiste wychylenie efektora → moment pojazdu → pomiar i decyzja.

Każda strzałka ma inne ograniczenie i inną obserwowalność. Osiągalność statyczna nie mówi, czy dojście nastąpi w zadanym czasie. Zapas momentu nie dowodzi zapasu napięcia przy dużej prędkości. Zapas energii w oknie nie dowodzi, że szyna wytrzyma moc szczytową. Odczyt enkodera po stronie przekładni nie dowodzi położenia powierzchni za podatnym łącznikiem. Model nominalny nie dowodzi zachowania po awarii.

Właściwe pytanie brzmi zatem: dla jakiego baseline’u, stanu, historii poleceń, obciążenia, temperatury, zestawu uszkodzeń i horyzontu czasu twierdzenie pozostaje prawdziwe? Odpowiedź „układ ma cztery lotki” jest opisem architektury. Odpowiedź „kanał osiągnął kąt” jest obserwacją lokalną. Dopiero odpowiedź zawierająca moment pojazdu, wszystkie aktywne ograniczenia, niepewność i kryterium decyzji jest dowodem zdolności.

NACA już w badaniach historycznych rozdzielała charakterystyki stateczności, skuteczności sterowania i momentu zawiasowego. W modelu z trójkątnym sterem typu canard siły, momenty oraz obciążenie zawiasu miały oddzielne tory pomiarowe i oddzielne wyniki; nie wolno zastępować jednego drugim.^naca50 Podobnie statyczny zbiór osiągalnych momentów w narzędziu LGCAT uwzględniał ograniczenia położenia efektorów, lecz jawnie nie odpowiadał na pytanie, jak szybko efektor znalazł się w danym położeniu.^lgcat To ważne rozróżnienie będzie wracało w każdym studium.

3. Jeden fikcyjny baseline CAS-R1

CAS-R1 jest wspólnym obiektem wszystkich rachunków. Nie odpowiada żadnemu pociskowi, skali ani rodzinie wyrobów. Celowo łączy niewygodne ograniczenia tak, aby uczyć wykrywania słabego ogniwa, a nie dostarczać recepty konstrukcyjnej.

Konfiguracja odwoływalna. Baseline sprzętowy ma identyfikator R1-HW-04 (numer wersji, wymiar $1$, status: zadany syntetyczny). Oprogramowanie alokatora i limiterów to R1-SW-07 (numer wersji, wymiar $1$, zadany syntetyczny). Macierz efektorów to R1-B-03 (numer wersji, wymiar $1$, zadany syntetyczny). Kalibracja prądu to R1-CAL-I-02, a położenia R1-CAL-P-05 (numery wersji, wymiar $1$, zadane syntetyczne). Stan bez uszkodzeń nazywa się F0 (kod, wymiar $1$, zadany syntetyczny). Trzy stany cieplne na początku okna to: zimny $-20 ^\circ\mathrm C$, nominalny $25 ^\circ\mathrm C$ i gorący $52 ^\circ\mathrm C$; wszystkie są zadane syntetycznie. Każdy wynik bez tych identyfikatorów jest wynikiem osieroconym.

Układ osi. Osie body są prawoskrętne: $x_b$ biegnie do przodu, $y_b$ w prawo, $z_b$ w dół. Dodatni moment $M_y$ jest dodatnim pitch: zgodnie z regułą prawej dłoni nos przemieszcza się ku $-z_b$, czyli ku górze. W rachunkach szczegółowych analizowana jest jedna oś $M_y$, natomiast alokacja obejmuje syntetyczne, bezwymiarowe żądania dwóch osi: pitch $v_M$ i yaw $v_N$.

Efektory. Cztery identycznie modelowane powierzchnie $E_1$, $E_2$, $E_3$, $E_4$ tworzą krzyż. Ich umowne pozycje obwodowe to odpowiednio $+y_b$, $+z_b$, $-y_b$, $-z_b$. Symbol $u_i$ oznacza dokładną komendę cyfrową położenia efektora, a $\widetilde u_i$ — odpowiadające jej fizyczne wychylenie zmierzone niezależnym torem. Komenda i fizyczne wychylenie podlegają syntetycznie wymaganym limitom położenia $\pm0{,}70 \mathrm{rad}$ i szybkości $1{,}40 \mathrm{rad/s}$; zgodność obu historii musi być wykazana, nie założona. Tak duże, niemające sensu katalogowego wartości celowo odrywają model od realnego wyrobu. Znak dodatni $u_i$ i $\widetilde u_i$ jest zdefiniowany przez kolumnę syntetycznej macierzy $B$, a nie przez intuicyjne słowa „w lewo” lub „w górę”.

Napęd EMA. Każdy kanał ma fikcyjny silnik elektryczny, transmisję i czujnik położenia po stronie wyjściowej przekładni. Stała momentu $K_t=0{,}050 \mathrm{N\,m/A}$ jest estymowana syntetycznie z niepewnością $\pm0{,}002 \mathrm{N\,m/A}$. Stała przeciw-SEM $K_e=0{,}050 \mathrm{V\,s/rad}$ jest estymowana syntetycznie z niepewnością $\pm0{,}002 \mathrm{V\,s/rad}$. Rezystancja faz zastępczych $R_m=1{,}20 \Omega$ jest zmierzona syntetycznie z niepewnością $\pm0{,}04 \Omega$. Przełożenie $N=12$ ma wymiar $1$ i status zadany syntetyczny; sprawność $\eta_g=0{,}70$ ma wymiar $1$, status estymowany syntetyczny i niepewność $\pm0{,}04$. Limit prądu $I_{\max}=2{,}20 \mathrm A$ oraz niezależny mechaniczny limit momentu wyjściowego transmisji $H_{g,\max}=0{,}950 \mathrm{N\,m}$ są wymagane syntetycznie. Zdolność momentowa jest mniejszą z wartości wynikającej z prądu i z limitu transmisji; nie wolno utożsamiać tych ograniczeń.

Szyna wspólna. Napięcie bez obciążenia $V_0=5{,}20 \mathrm V$ jest zadane syntetycznie. Rezystancja źródła i wiązki $R_s=0{,}16 \Omega$ jest zmierzona syntetycznie z niepewnością $\pm0{,}02 \Omega$. Użyteczna część napięcia falownika $m=0{,}82$ ma wymiar $1$, status estymowany syntetyczny i niepewność $\pm0{,}02$. Stanowe ograniczenie falownika brzmi $|V_m|\leq mV_{bus}$; przy szynie nieobciążonej prawa strona wynosi $4{,}264 \mathrm V$, wynik estymowany syntetycznie, lecz pod obciążeniem musi zostać obliczona ponownie. Przeciw-SEM $K_e\omega_m$ nie ma osobnego progu: zużywa ten sam dostępny budżet napięcia i zmienia znak wraz z kierunkiem ruchu. Sprawność falownika $\eta_i=0{,}90$ ma wymiar $1$, status estymowany syntetyczny i niepewność $\pm0{,}02$. Wspólny pobór elektroniki $I_h=0{,}80 \mathrm A$ jest zmierzony syntetycznie z niepewnością $\pm0{,}05 \mathrm A$. Limit mocy czterech napędów $P_{4,\max}=28{,}0 \mathrm W$, limit energii w fikcyjnym oknie $E_{4,\max}=65{,}0 \mathrm J$ i limit temperatury uzwojenia $55 ^\circ\mathrm C$ są wymagane syntetycznie.

Obciążenie i podatność. Bezpieczny model zawiasu ma stan odniesienia $\rho=0{,}80 \mathrm{kg/m^3}$, $V=100 \mathrm{m/s}$, pole odniesienia pojedynczego efektora $S_c=0{,}015 \mathrm{m^2}$, cięciwę $c_c=0{,}060 \mathrm m$ i współczynnik $C_h=+0{,}20$ o wymiarze $1$. Wszystkie pięć wartości jest założonych syntetycznie. Znak dodatni $C_h$ oznacza w tym modelu obciążenie przeciwstawiające się dodatniemu wychyleniu. Tarcie ruchowe $H_f=0{,}07 \mathrm{N\,m}$ jest estymowane syntetycznie z niepewnością $\pm0{,}02 \mathrm{N\,m}$, a rezerwa bezwładnościowa $H_a=0{,}04 \mathrm{N\,m}$ — estymowana syntetycznie z niepewnością $\pm0{,}01 \mathrm{N\,m}$. Sztywność zastępcza za czujnikiem wynosi $k_c=18 \mathrm{N\,m/rad}$, status estymowany syntetyczny, niepewność $\pm2 \mathrm{N\,m/rad}$.

Pomiar. Czujnik pozycji mierzy kąt $\delta_s$ na wyjściu przekładni, lecz przed elementem podatnym. Niezależna optyczna prawda odniesienia mierzy kąt efektora $\delta_t$ za podatnością. Prąd, napięcie szyny i temperatura uzwojenia mają oddzielne kanały. Znacznik czasu urządzenia wynosi $20 \mathrm{ms}$ na próbkę (zadany syntetyczny), a błąd synchronizacji między rejestratorami jest zmierzony syntetycznie jako nie większy niż $\pm3 \mathrm{ms}$. Pomiar wielkości elektrycznych, położenia i obciążenia musi być traktowany jako cały łańcuch: przetwornik, kondycjonowanie, próbkowanie, znacznik czasu i zapis. Horodko pokazuje, dlaczego błąd dynamiczny, filtr, układ próbkująco-pamiętający oraz synchronizacja należą do modelu pomiaru, a nie do przypisu technicznego.^horodko

Rejestr wspólny. Każdy przypadek odwołuje się do jednego rejestru: REQ — wymagania i horyzonty; HYP — konkurencyjne hipotezy; MEAS — kanały, kalibracje i synchronizacja; UNC — składniki niepewności i zależności; DEC — decyzje z właścicielem i datą; REG — testy regresyjne. Identyfikatory są zadane syntetycznie, mają wymiar $1$ i nie są numerami realnego programu.

4. Kontrakt między funkcjami i dowodami

Żądanie CAS powinno być zapisane jako kontrakt, nie hasło. Minimalny rekord zawiera: baseline, stan początkowy, ramę i znak, przebieg $v_{cmd}(t)$, dopuszczalny błąd, obciążenie, temperaturę, horyzont, dozwolone uszkodzenia, kryterium przejścia oraz źródła prawdy. Ten rekord jest wspólny dla guidance, autopilota, alokatora, zasilania, mechaniki, pomiarów i V&V. Bez niego dwa zespoły mogą poprawnie policzyć dwa różne problemy.

Właścicielem żądania momentu jest funkcja sterowania, ale właścicielem dowodu nie może być wyłącznie symulacja autopilota. Architektura funkcjonalna porządkuje granice i śledzenie wymagań, a nawigacja, guidance i autopilot wyjaśnia, skąd bierze się żądanie. Niniejszy tekst zaczyna się tam, gdzie żądanie trafia do CAS, i kończy na zmierzonym skutku wykonawczym.

Dowód powinien mieć co najmniej cztery warstwy. Pierwsza to tożsamość: właściwe wersje sprzętu, oprogramowania, tabel i kalibracji. Druga to reprezentatywność: właściwe obciążenie, temperatura, napięcie, montaż i jednoczesność kanałów. Trzecia to rozróżnialność: pomiar potrafi odróżnić niedobór momentu od ograniczenia napięcia, podatność od błędu czujnika, a awarię efektora od awarii obserwacji. Czwarta to zamknięcie decyzji: z góry ustalone kryterium, budżet niepewności, jawny wniosek i regresja.

NASA zaleca na poziomie procesu konsekwentne ramy i jednostki, modelowanie całej dynamiki lotu, korelację modeli po anomaliach sprzętu, niezależny model prawdy, zasadę Test As You Fly, test polaryzacji end-to-end, HITL, rygor baz danych i konfiguracji oraz telemetrię. Są to odrębne praktyki, zlokalizowane w źródle na osobnych stronach; nie wolno cytować samego tytułu dokumentu tak, jakby dowodził konkretnego wyniku.^dennehy

5. Od siły do momentu pojazdu i obciążenia zawiasu

Pierwszy błąd pojęciowy polega na utożsamieniu momentu zawiasowego z momentem sterującym pojazd. Są powiązane przez tę samą aerodynamikę, ale mają inne ramiona, znaki i role.

Dla fikcyjnego punktu CAS-R1 ciśnienie dynamiczne wynosi

$$q=\frac{1}{2}\rho V^2 =\frac{1}{2}(0{,}80 \mathrm{kg/m^3})(100 \mathrm{m/s})^2 =4000 \mathrm{Pa}.$$

Symbole $\rho$, $V$ i $q$ oznaczają odpowiednio gęstość, prędkość oraz ciśnienie dynamiczne. Rama body nie zmienia skalarnej wartości $q$. Założeniem jest fikcyjny, lokalny punkt o ustalonej gęstości i prędkości; wejścia mają status założony syntetyczny. Wymiar: $\mathrm{kg/m^3}\cdot\mathrm{m^2/s^2}=\mathrm{N/m^2}=\mathrm{Pa}$. Przy konserwatywnej założonej niepewności względnej $q$ równej $\pm10\%$ zakres wynosi od $3600 \mathrm{Pa}$ do $4400 \mathrm{Pa}$. Decyzja: liczba nominalna nadaje się do rachunku demonstracyjnego, lecz wymaganie musi zostać sprawdzone także na obu krańcach; test REG-AERO-01 powtarza rachunek po zmianie tabeli stanu.

Moment zawiasowy pojedynczego efektora jest zdefiniowany jako

$$H=qS_cc_cC_h =(4000 \mathrm{Pa})(0{,}015 \mathrm{m^2})(0{,}060 \mathrm m)(+0{,}20) =+0{,}72 \mathrm{N\,m}.$$

$S_c$, $c_c$ i $C_h$ są polem, cięciwą odniesienia i bezwymiarowym współczynnikiem zawiasowym. Dodatnie $H$ przeciwdziała dodatniemu wychyleniu; bilans używa $|H|$. Dziedzina to punkt CAS-R1 i tabela R1-B-03; wejścia są założone syntetycznie, a wymiar to $\mathrm{Pa\,m^2\,m=N\,m}$. Budżet UNC-HINGE-01 obejmuje $q\pm10\%$, $S_c\pm1\%$, $c_c\pm1\%$, $C_h\pm4\%$ i resztę modelową tabeli $\pm1\%$, bez założenia niezależności. Wspólne krańce mnożnikowe $0{,}90\cdot0{,}99\cdot0{,}99\cdot0{,}96\cdot0{,}99=0{,}8383$ oraz $1{,}10\cdot1{,}01\cdot1{,}01\cdot1{,}04\cdot1{,}01=1{,}1787$ dają $|H|\in[0{,}604;0{,}849] \mathrm{N\,m}$. Stosowana dalej symetryczna obwiednia $\pm18\%$, czyli $[0{,}590;0{,}850] \mathrm{N\,m}$, jest szersza; nie dubluje niepewności stanu z $q$ w $C_h$. Do dowodu przyjmuje się $0{,}850 \mathrm{N\,m}$; zmiana składowej uruchamia REG-HINGE-01.

Dla osobnej demonstracji momentu pojazdu przyjęto bezwymiarowy współczynnik siły $C_F=-0{,}30$ (założony syntetyczny), zatem

$$F_z=qS_cC_F=(4000)(0{,}015)(-0{,}30)=-18 \mathrm N.$$

Punkt przyłożenia ma wektor $\mathbf r=(+0{,}10,0,0) \mathrm m$ w osiach body, a siła $\mathbf F=(0,0,-18) \mathrm N$; obie wartości są założone syntetycznie. Moment wynika z iloczynu wektorowego:

$$\mathbf M=\mathbf r\times\mathbf F =\begin{bmatrix}0\\+1{,}8\\0\end{bmatrix} \mathrm{N\,m}.$$

Składnik $M_y=+1{,}8 \mathrm{N\,m}$ ma uzgodniony znak nose-up. Wymiar to $\mathrm{m\cdot N=N\,m}$. Przy założonej konserwatywnej niepewności siły $\pm15\%$ i ramienia $\pm5\%$ nie wolno po prostu dodać procentów: wspólne krańce mnożnikowe wynoszą $0{,}85\cdot0{,}95=0{,}8075$ oraz $1{,}15\cdot1{,}05=1{,}2075$. Otrzymuje się więc $M_y\in[+1{,}4535;+2{,}1735] \mathrm{N\,m}$, czyli asymetrycznie $-19{,}25\%$ i $+20{,}75\%$ względem wartości nominalnej. Rachunek nie dowodzi realnej skuteczności powierzchni; pokazuje tylko, że $H=0{,}72 \mathrm{N\,m}$ obciąża aktuator, podczas gdy $M_y=1{,}8 \mathrm{N\,m}$ działa na pojazd. Decyzja: oba wyniki mają osobne wymagania i osobne regresje. Szerszy model obciążeń należy do aerodynamiki, struktury i obciążeń.

6. Siedem ograniczeń, których nie wolno zlewać

Położenie. Zbiór statyczny powstaje przy $|u_i|\leq0{,}70 \mathrm{rad}$ (wymagane syntetycznie). Mówi, jakie kombinacje geometryczne są dopuszczalne w jednym stanie, lecz nic o drodze do niego. LGCAT jest dobrym publicznym przykładem takiego świadomie ograniczonego pytania: analiza statycznej sterowalności obejmowała pozycję efektorów i jawnie pomijała historię oraz limit prędkości.^lgcat

Prędkość. Dla $|\dot u_i|\leq1{,}40 \mathrm{rad/s}$ (wymagane syntetycznie) osiągalność zależy od poprzedniego położenia i czasu. Ten sam punkt może być statycznie osiągalny, a dynamicznie niedostępny w następnym kroku.

Moment i prąd. Moment wyjściowy zależy od $K_t$, prądu, przełożenia i sprawności. Tarcie, moment zawiasu i bezwładność zużywają wspólny zapas. Limit prądu nie jest tożsamy z limitem momentu, jeśli zmieniają się sprawność i tarcie.

Napięcie i przeciw-SEM. Przy wzroście prędkości człon $K_e\omega_m$ rośnie. Kanał może mieć zapas prądu w spoczynku, lecz zabraknie mu napięcia do podtrzymania prądu przy ruchu. Monografia Jarzębowicza wiąże w sterowaniu silnikiem synchronicznym prąd z momentem, a napięcie z prędkością i przeciw-SEM; omawia też pomiar prądów, napięcia obwodu pośredniego i położenia wirnika. Jest to źródło mechanizmu i łańcucha pomiarowego, nie parametrów pocisku.^jarzebowicz

Wspólna moc i energia. Cztery kanały mogą przejść osobno, a zawieść razem. Moc jest warunkiem chwilowym; energia jest całką po czasie. Zapas jednego nie zastępuje drugiego.

Temperatura. Straty elektryczne i mechaniczne akumulują ciepło. Wynik zimny nie przenosi się automatycznie na gorący, a temperatura początkowa jest częścią baseline’u.

Podatność. Czujnik przed podatnym elementem może zgłaszać poprawne położenie, podczas gdy powierzchnia pod obciążeniem odchyla się inaczej. Należy rozdzielić pozycję napędu $\delta_s$ od prawdy efektora $\delta_t$.

Z tych powodów etykieta READY nie może być pojedynczym bitem bez zakresu. Powinna oznaczać co najmniej: „dla R1-HW-04/R1-SW-07/R1-B-03, stanu cieplnego, stanu uszkodzeń, horyzontu i profilu z REQ, wszystkie siedem klas ograniczeń mają dodatni zapas po niepewności”.

7. Bilans EMA, szyny, ciepła i podatności

Nominalny moment dostępny na wyjściu jednego kanału przy limicie prądu wynosi

$$H_{out,nom}=K_t I_{\max}N\eta_g =(0{,}050 \mathrm{N\,m/A})(2{,}20 \mathrm A)(12)(0{,}70) =0{,}924 \mathrm{N\,m}.$$

Wszystkie symbole i statusy zdefiniowano w baseline. Przełożenie i sprawność są bezwymiarowe; wynik ma wymiar $\mathrm{N\,m}$. Mechaniczny limit $H_{g,\max}=0{,}950 \mathrm{N\,m}$ jest większy od obliczonego $H_{out,nom}=0{,}924 \mathrm{N\,m}$, więc nominalnie wiąże limit prądu; zdolność wynosi $\min(0{,}924;0{,}950)=0{,}924 \mathrm{N\,m}$, wynik estymowany syntetycznie. Nominalne zapotrzebowanie to

$$H_{req,nom}=|H|+H_f+H_a=0{,}72+0{,}07+0{,}04=0{,}83 \mathrm{N\,m},$$

zatem nominalny zapas $0{,}924-0{,}83=0{,}094 \mathrm{N\,m}$, czyli $11{,}3\%$ zapotrzebowania. To jednak nie jest wynik kwalifikacyjny. Konserwatywna zdolność wynosi

$$H_{out,low}=(0{,}048)(2{,}20)(12)(0{,}66)=0{,}836 \mathrm{N\,m},$$

a konserwatywne zapotrzebowanie $H_{req,high}=0{,}850+0{,}09+0{,}05=0{,}990 \mathrm{N\,m}$. Krańce $K_t=0{,}048 \mathrm{N\,m/A}$, $\eta_g=0{,}66$, $H_f=0{,}09 \mathrm{N\,m}$ i $H_a=0{,}05 \mathrm{N\,m}$ wynikają z wcześniej podanych niepewności; status każdego pozostaje estymowany syntetyczny, a $I_{\max}$ wymagany syntetyczny. Zapas konserwatywny to $-0{,}154 \mathrm{N\,m}$. Niepewności zsumowano kierunkowo, bez założenia niezależności. Decyzja: CAS-R1 nie ma dowodu wymaganego momentu; REG-TORQUE-01 musi obejmować oba kierunki i krańce obciążenia.

Prąd nominalnie potrzebny do pokonania $H_{req,nom}$ wynosi

$$I_{req}=\frac{H_{req,nom}}{K_tN\eta_g} =\frac{0{,}83 \mathrm{N\,m}}{(0{,}050 \mathrm{N\,m/A})(12)(0{,}70)} =1{,}976 \mathrm A.$$

Wymiar po skróceniu to amper. Rachunek dotyczy ustalonego modelu, pomija przejściowość indukcyjną i jest ważny tylko w punkcie obciążenia CAS-R1. Niepewność nie jest liczona metodą RSS, bo $K_t$, sprawność i tarcie mogą współzmieniać się z temperaturą. Krańcowy rachunek momentu powyżej już pokazuje, że nominalny margines prądu $2{,}20-1{,}976=0{,}224 \mathrm A$ nie jest wiarygodnym zapasem zdolności.

Przy wymaganej prędkości efektora $\dot\delta=1{,}40 \mathrm{rad/s}$ prędkość silnika wynosi $\omega_m=N\dot\delta=(12)(1{,}40)=16{,}8 \mathrm{rad/s}$. Wymagane napięcie zastępcze ma postać

$$V_m=R_mI_{req}+K_e\omega_m =(1{,}20 \Omega)(1{,}976 \mathrm A) +(0{,}050 \mathrm{V\,s/rad})(16{,}8 \mathrm{rad/s}) =3{,}211 \mathrm V.$$

Pierwszy składnik ma $2{,}371 \mathrm V$, drugi $0{,}840 \mathrm V$. Założeniem jest ustalony ruch dodatni; dla znaku przeciwnego trzeba uwzględnić przeciwną przeciw-SEM i regenerację. Z niezaokrąglonych $I_{req}=1{,}976190 \mathrm A$ i $V_m=3{,}211429 \mathrm V$ wynika $P_m=6{,}346395 \mathrm W$, a przy $\eta_i=0{,}90$ cztery kanały żądają $28{,}206 \mathrm W$, prezentacyjnie $28{,}21 \mathrm W$, ponad limit $28{,}0 \mathrm W$. Energia w zadanym syntetycznie oknie $2{,}0 \mathrm s$ to $56{,}412 \mathrm J$, prezentacyjnie $56{,}41 \mathrm J$, poniżej $65{,}0 \mathrm J$. Moc nie przechodzi, energia przechodzi; REG-POWER-01 obciąża cztery kanały jednocześnie.

Zapad szyny trzeba policzyć współbieżnie z mocą. Dla czterech jednakowych kanałów:

$$V_{bus}=V_0-R_s\left(I_h+\frac{4P_m}{\eta_iV_{bus}}\right).$$

Po pomnożeniu przez $V_{bus}$ otrzymuje się równanie $V_{bus}^2-(V_0-R_sI_h)V_{bus}+R_s4P_m/\eta_i=0$. Po wstawieniu danych:

$$V_{bus}^2-5{,}072V_{bus}+4{,}513=0 \mathrm{V^2}.$$

Wyższy pierwiastek, ciągły z $V_{bus}\to V_0-R_sI_h$ przy $P_m\to0$, wynosi $3{,}921 \mathrm V$; niższy, $1{,}151 \mathrm V$, nie jest przyjętym punktem statycznym. To wybór algebraiczny, nie dowód stabilności bez dynamiki źródła. Dostępne $mV_{bus}=(0{,}82)(3{,}921)=3{,}215 \mathrm V$ ma tylko $0{,}004 \mathrm V$ zapasu. Każdy człon równania ma $\mathrm{V^2}$. Niepewności mogą odwrócić znak zapasu; REG-BUS-01 zapisuje wspólnie napięcia i prądy.

Przejściowy model cieplny pierwszego rzędu ma parametry pojemności $C_{th}=8{,}0 \mathrm{J/K}$ i rezystancji cieplnej $R_{th}=5{,}0 \mathrm{K/W}$, oba założone syntetycznie, oraz straty $P_{loss}=5{,}9 \mathrm W$, estymowane syntetycznie z niepewnością $\pm0{,}6 \mathrm W$. Dla stałych strat:

$$\Delta T(t)=P_{loss}R_{th}\left(1-e^{-t/(R_{th}C_{th})}\right).$$

Wartość $R_{th}C_{th}=40 \mathrm s$ jest stałą czasową. Po $t=8{,}0 \mathrm s$ (zadany syntetyczny horyzont) przyrost nominalny wynosi

$$\Delta T=(5{,}9)(5{,}0)(1-e^{-8/40})=5{,}35 \mathrm K.$$

Temperatura początkowa i przyrost mogą być dodawane, bo różnica kelwinów jest równa różnicy stopni Celsjusza. Wynik końcowy wynosi $-14{,}65 ^\circ\mathrm C$ ze stanu zimnego, $30{,}35 ^\circ\mathrm C$ ze stanu nominalnego i $57{,}35 ^\circ\mathrm C$ ze stanu gorącego. Limit $55 ^\circ\mathrm C$ jest wymagany syntetycznie. Model jest lokalny, skupiony i nie obejmuje przestrzennego gradientu. Przy górnym $P_{loss}=6{,}5 \mathrm W$ przyrost wynosi $5{,}89 \mathrm K$; stan gorący nadal zawodzi. Decyzja: R1-HW-04 nie ma zdolności dla gorącego początku i ośmiosekundowego profilu; REG-THERM-01 rozdziela cold, nominal i hot.

Podatność daje różnicę

$$\Delta\delta_c=\delta_s-\delta_t=\frac{H_{req,nom}}{k_c} =\frac{0{,}83 \mathrm{N\,m}}{18 \mathrm{N\,m/rad}} =0{,}0461 \mathrm{rad}.$$

Wymiar wyniku to radian. Znak oznacza, że przy dodatnim obciążeniu przeciwnym ruchowi czujnik po stronie napędu wyprzedza rzeczywisty efektor. Przy $H\in[0{,}590;0{,}850] \mathrm{N\,m}$, skrajnych wartościach tarcia, rezerwy i $k_c\in[16;20] \mathrm{N\,m/rad}$, konserwatywny zakres ugięcia wynosi około $0{,}033 \mathrm{rad}$ do $0{,}062 \mathrm{rad}$. Decyzja: kryterium pozycji musi dotyczyć $\delta_t$, nie wyłącznie $\delta_s$; REG-COMP-01 porównuje oba tory pod reprezentatywnym obciążeniem.

8. Dynamika lokalna, limiter i tryb podatny

Pasmo nie jest własnością bezwarunkową. Model zależy od amplitudy, obciążenia, napięcia, temperatury, kierunku i aktywnych ograniczeń. Dla małych sygnałów CAS-R1 przy temperaturze $25 ^\circ\mathrm C$, obciążeniu $0{,}30 \mathrm{N\,m}$, amplitudzie nie większej niż $0{,}08 \mathrm{rad}$ i stanie F0 przyjęto lokalny model:

$$G_a(s)=\frac{\delta_s(s)}{\delta_{cmd}(s)} =\frac{\omega_n^2}{s^2+2\zeta\omega_ns+\omega_n^2}e^{-s\tau_d}.$$

Wejściem jest polecenie $\delta_{cmd}$ w radianach, wyjściem położenie czujnika $\delta_s$ w radianach, więc transmitancja ma wymiar $1$. Parametry $\omega_n=18 \mathrm{rad/s}$ i $\zeta=0{,}72$ są estymowane syntetycznie; $\zeta$ ma wymiar $1$. Opóźnienie $\tau_d=0{,}015 \mathrm s$ jest zmierzone syntetycznie z niepewnością $\pm0{,}003 \mathrm s$. Model nie obowiązuje przy dużym ruchu, nasyceniu prądu lub napięcia ani poza wskazanym obciążeniem. Decyzja: służy do przewidywania małosygnałowego i wykrywania odstępstw, nie do uniwersalnego opisu kanału; REG-LIN-01 ponownie identyfikuje go po zmianie baseline’u.

Ograniczenie prędkości jest osobnym nieliniowym blokiem dyskretnym:

$$u_k=\operatorname{clip}\!\left(u^{raw}_k, u_{k-1}-\dot u_{\max}\Delta t, u_{k-1}+\dot u_{\max}\Delta t\right).$$

$u^{raw}_k$, $u_k$ i $u_{k-1}$ są kątami w radianach; $\dot u_{\max}=1{,}40 \mathrm{rad/s}$ jest wymagane syntetycznie, a krok $\Delta t=0{,}020 \mathrm s$ zadany syntetycznie. Maksymalna zmiana na próbkę wynosi $1{,}40\cdot0{,}020=0{,}028 \mathrm{rad}$. Funkcja clip zachowuje jednostkę argumentów. Limit pozycji $\pm0{,}70 \mathrm{rad}$ jest stosowany oddzielnie. Niepewność prędkości $\pm0{,}04 \mathrm{rad/s}$ jest estymowana syntetycznie, a jitter kroku $\pm0{,}001 \mathrm s$ zmierzony syntetycznie; konserwatywny przyrost w jednym kroku należy więc oceniać na wspólnych krańcach. Decyzja: każdy test dużego sygnału zapisuje $u_{k-1}$, aktywność limitera i rzeczywisty $\Delta t$; REG-RATE-01 obejmuje wyjście z nasycenia.

Podatny fragment między czujnikiem a powierzchnią ma wyłącznie fikcyjny, lokalny model diagnostyczny:

$$G_f(s)=\frac{\delta_t(s)}{\delta_s(s)} =1+k_f\frac{s^2}{s^2+2\zeta_f\omega_fs+\omega_f^2}.$$

Estymowane syntetycznie parametry lokalne to $k_f=0{,}54\pm0{,}04$, $\zeta_f=0{,}06\pm0{,}02$ (wymiar $1$) i $\omega_f=2\pi(9{,}0\pm1{,}0 \mathrm{Hz})$. Wejście i wyjście są kątami, więc transmitancja ma wymiar $1$. Człon $s^2$ nie zmienia wzmocnienia statycznego; ugięcie stałe opisuje $H/k_c$. Jest to relacja widmowa dwóch czujników pod obciążeniem, nie model całego dużego ruchu. REG-FLEX-01 porównuje amplitudę i fazę w pełnym rozrzucie częstotliwości.

Ograniczenie szybkości może tworzyć amplitudowo zależne opóźnienie i fazę. CAPIO dokumentuje ten mechanizm w symulowanym układzie pilot–samolot, nie w pocisku.^capio Osobno, w publicznym generycznym modelu hipersonicznym, mapa od tylnego steru wysokości do kąta toru lotu miała prawe zero zależne od obszaru stanów.^nmp To ostrzeżenie dotyczy wyłącznie tej konfiguracji, pary wejście–wyjście i punktu pracy; CAS-R1 nie definiuje takiego wyjścia ani zweryfikowanego zera.

9. Alokacja jest problemem ograniczonym i historycznym

Dla CAS-R1 przyjęto jawne mapowanie dwóch bezwymiarowych uogólnionych osi:

$$\mathbf v=B\mathbf u,\qquad \mathbf v=\begin{bmatrix}v_M\\v_N\end{bmatrix},\quad \mathbf u=\begin{bmatrix}u_1\\u_2\\u_3\\u_4\end{bmatrix},\quad B=\begin{bmatrix}1&0&-1&0\\0&1&0&-1\end{bmatrix} \mathrm{rad^{-1}}.$$

Każde $u_i$ ma radiany, więc $\mathbf v$ ma wymiar $1$; znaki pokazuje macierz. R1-B-03 jest zadana syntetycznie, nie pochodzi z realnego obiektu, a jej niezerowe elementy mają założoną niepewność $\pm0{,}04 \mathrm{rad^{-1}}$. Zgodnie z definicją baseline'u $\mathbf u$ oznacza dokładną historię komend cyfrowych, a fizyczne pozycje mierzone z $\pm0{,}004 \mathrm{rad}$ oznacza $\widetilde{\mathbf u}$. Limiter programowy i surogat mocy używają $\mathbf u_k-\mathbf u_{k-1}$; oddzielny warunek fizyczny wymaga, aby $\widetilde{\mathbf u}$ przeszło te same limity położenia i szybkości oraz wspólny budżet ruchu. Dowód skutku zawsze używa $B\widetilde{\mathbf u}$.

Alokator rozwiązuje znormalizowany problem:

$$\min_{\mathbf u}\ \left\|W_vD_v^{-1}(B\mathbf u+\mathbf v_{bias}-\mathbf v_{cmd})\right\|_2^2 +\lambda\left\|W_uD_u^{-1}(\mathbf u-\mathbf u_{pref})\right\|_2^2.$$

$W_v=\operatorname{diag}(\sqrt{0{,}70},\sqrt{0{,}30})$ ma wymiar $1$, a kwadraty wag sumują się do $1$; pitch ma syntetyczny priorytet $0{,}70$, yaw $0{,}30$, oba zadane. $D_v=\operatorname{diag}(0{,}05,0{,}08)$ ma wymiar $1$ i zawiera wymagane syntetycznie tolerancje pełnego śledzenia. $W_u=I$ ma wymiar $1$, $D_u=0{,}70I \mathrm{rad}$ normalizuje użycie efektorów, a $\lambda=0{,}01$ ma wymiar $1$; są zadane syntetycznie. $\mathbf v_{bias}$ opisuje znany wkład efektora utkniętego niezerowo, a $\mathbf u_{pref}$ preferencję wynikającą z poprzedniego stanu. Każdy składnik funkcji celu jest bezwymiarowy.

Ograniczenia obejmują jednocześnie pozycję $|u_i|\leq0{,}70 \mathrm{rad}$, zmianę $|u_{i,k}-u_{i,k-1}|\leq0{,}028 \mathrm{rad}$ na krok, stan dostępności kanału, położenie utknięte oraz wspólny budżet ruchu $\sum_i|u_{i,k}-u_{i,k-1}|\leq0{,}080 \mathrm{rad}$ na krok; wszystkie progi są wymagane syntetycznie. Bezpieczny surogat wspólnej mocy ma postać

$$P_{alloc}=P_{idle}+\kappa\frac{\sum_i|u_{i,k}-u_{i,k-1}|}{\Delta t},$$

gdzie $P_{idle}=4{,}0 \mathrm W$ jest zmierzone syntetycznie z niepewnością $\pm0{,}3 \mathrm W$, a $\kappa=5{,}0 \mathrm{J/rad}$ estymowane syntetycznie z niepewnością $\pm0{,}5 \mathrm{J/rad}$. Wynik ma waty, bo $\mathrm{J/rad}\cdot\mathrm{rad/s=W}$. Obowiązują $P_{alloc}\leq28{,}0 \mathrm W$ i kumulowana energia $\sum_kP_{alloc,k}\Delta t\leq65{,}0 \mathrm J$, oba wymagane syntetycznie. Surogat służy tylko do studium alokacji; nie zastępuje bilansu elektrycznego z poprzedniego rozdziału.

Residual fizycznie osiągniętego skutku to

$$\mathbf e=\mathbf v_{cmd}-(B\widetilde{\mathbf u}+\mathbf v_{bias}).$$

Pełne śledzenie wymaga dopuszczalnej historii komend, zgodnej z nią w budżecie historii fizycznej oraz $|e_M|\leq0{,}05$, $|e_N|\leq0{,}08$; stabilizacja zdegradowana odpowiednio $0{,}30$ i $0{,}20$, wszystko wymagane syntetycznie i bezwymiarowe. Statyczne rozwiązanie nie dowodzi następnego kroku ani energii. Po awarii trzeba uwzględnić bias utknięcia, historię, rate, moc, energię, diagnozę i wariant $B$, nie tylko usunąć kolumnę.

10. Pomiar, niepewność i logika odwołania twierdzenia

Niepewność jest częścią wniosku, a nie paskiem błędu dopisanym po teście. Lokalną propagację przez współczynniki wrażliwości wolno stosować tylko wtedy, gdy liniowość lokalna i niezależność wejść są uzasadnione. Wrzesiński omawia niepewności typu A i B, rozkład prostokątny oraz współczynniki wrażliwości, lecz uproszczony zapis bez kowariancji nie daje prawa do ignorowania wspólnej temperatury, kalibracji czy zasilania.^wrzesinski W CAS-R1 przy braku wiarygodnej macierzy kowariancji stosowany jest kierunkowy, konserwatywny budżet krańcowy. Jest mniej efektowny, ale uczciwy.

Każdy kanał pomiarowy ma pięć pytań: co fizycznie mierzy, po której stronie podatności, w jakiej ramie i znaku, z jaką kalibracją oraz na jakiej podstawie czasu? Czujnik $\delta_s$ jest przydatny do regulacji lokalnej, lecz nie jest prawdą o $\delta_t$. Enkoder silnika nie jest prawdą o wale wyjściowym. Prąd polecony nie jest prądem zmierzonym. Znacznik nadany przez urządzenie nie dowodzi synchronizacji rejestratora. Akwizycja i kondycjonowanie sygnałów rozwija łańcuch pomiarowy; telemetria próbna i identyfikacja modelu — identyfikowalność oraz korelację modelu.

Wartość dowodowa obserwacji rośnie, gdy hipotezy przewidują różne sygnatury. Niedobór momentu powinien zależeć od obciążenia i kierunku. Brak napięcia/back-EMF powinien nasilać się z prędkością i zapadem szyny. Limit wspólnej mocy powinien korelować między kanałami. Podatność powinna pojawić się jako różnica $\delta_s-\delta_t$ zależna od obciążenia. Błąd synchronizacji przesuwa relacje czasowe, ale nie powinien odtwarzać zależności statycznego ugięcia od momentu. Awaria czujnika może nie mieć odpowiednika w niezależnym torze prawdy.

Twierdzenie o zdolności jest odwoływane, gdy: zmienił się dowolny element baseline’u; obserwacja wyszła poza domenę modelu; niepewność pochłonęła zapas; aktywne ograniczenie nie było reprezentowane; diagnoza uszkodzenia nie jest rozróżniona; lub regresja nie obejmuje zmienionego artefaktu. FDIR i health management porządkuje wykrywanie, izolację i odzyskiwanie, ale nie zastępuje dowodu wykonawczego. Projektowanie dla testowalności pokazuje, jak powiązać wymaganie, bodziec, obserwację i werdykt bez pozornego przypisu.

11. Studium I — EMA pod obciążeniem

Pytanie i wymaganie — Studium I

Pytanie REQ-EMA-01 brzmi: czy cztery kanały R1-HW-04, sterowane przez R1-SW-07, w stanie bez uszkodzeń F0 potrafią jednocześnie wykonać profil powierzchni od $-0{,}30 \mathrm{rad}$ do $+0{,}30 \mathrm{rad}$ (krańce wymagane syntetycznie), z odcinkiem wymaganej prędkości $1{,}40 \mathrm{rad/s}$, przy nominalnym momencie zawiasowym $0{,}72 \mathrm{N\,m}$ na kanał, przez horyzont $8{,}0 \mathrm s$, dla zimnego, nominalnego i gorącego początku?

Kryteria są ustalone przed obserwacją. Prawda optyczna $\delta_t$ ma pozostawać w granicy błędu $\pm0{,}030 \mathrm{rad}$ (wymaganej syntetycznie), a dolny kraniec osiągniętej szybkości nie może być mniejszy niż wymagane $1{,}40 \mathrm{rad/s}$. Przy estymowanej syntetycznie niepewności pomiaru $\pm0{,}04 \mathrm{rad/s}$ oznacza to, że centralny wynik pomiaru musi wynosić co najmniej $1{,}44 \mathrm{rad/s}$; niepewność wyniku nie obniża wymagania. Nie może zadziałać limit prądu $2{,}20 \mathrm A$, limit mocy $28{,}0 \mathrm W$ ani limit temperatury $55 ^\circ\mathrm C$. Konserwatywny zapas momentu i napięcia musi być nieujemny. Kryteria dotyczą obu znaków ruchu, wspólnej pracy czterech kanałów oraz reprezentatywnego obciążenia; przejście jednego kanału bez obciążenia nie zalicza wymagania.

Konkurencyjne hipotezy — Studium I

HYP-EMA-T mówi, że anomalię powoduje brak zapasu momentu i prądu. Przewiduje wzrost błędu z obciążeniem, wrażliwość na znak przez tarcie oraz prąd bliski limitowi także przy małej prędkości.

HYP-EMA-V wskazuje na szybkość i przeciw-SEM. Przewiduje poprawne utrzymanie pozycji, lecz spadek osiąganej szybkości wtedy, gdy $R_mI+K_e\omega_m$ zbliża się do $mV_{bus}$.

HYP-EMA-P wskazuje na zapad wspólnej szyny albo limit wspólnej mocy. Przewiduje, że pojedynczy kanał zachowa się lepiej niż cztery, a błędy kanałów będą czasowo skorelowane z $V_{bus}$.

HYP-EMA-F łączy tarcie, stiction i podatność. Przewiduje zależność od kierunku, skok przy ruszaniu oraz różnicę $\delta_s-\delta_t$ rosnącą z obciążeniem. Sam czujnik wyjściowy przekładni może nie wykazać błędu powierzchni.

HYP-EMA-H wskazuje na temperaturę. Przewiduje narastanie problemu w czasie i niezaliczenie stanu gorącego, nawet jeśli krótki przebieg nominalny wygląda poprawnie. Hipotezy nie są wzajemnie wykluczające; celem jest ustalić, które ograniczenia są aktywne i czy każde z nich samo odwołuje twierdzenie.

Model i źródła — Studium I

Model łączy obciążenie $H=qS_cc_cC_h$, wymagany moment $H_{req}=|H|+H_f+H_a$, napęd $H_{out}=K_tIN\eta_g$, bilans napięcia $V_m=R_mI+K_eN\dot\delta$, wspólną szynę, moc, energię, model cieplny i ugięcie $H_{req}/k_c$. Nie dodaje żadnego „współczynnika zapasu” po wyniku; zapas wynika z różnicy zdolności i zapotrzebowania na tych samych krańcach niepewności.

Cowan i Weir opisali elektromechaniczne aktuatory TVC demonstratora z dwoma silnikami bezszczotkowymi, dwustopniową transmisją, śrubą rolkową, elektroniką mocy oraz parą resolverów. Co ważniejsze dla metodologii, maksymalny test prędkości pod znamionowym obciążeniem nie został wykonany, bo stanowisko nie było wystarczające. Autorzy nie zamienili tej luki w zaliczony dowód.^cowan To studium badawcze uzasadnia architekturę dowodu i uczciwe raportowanie braku reprezentatywności, nie parametry CAS-R1.

Historyczny raport o hydraulicznym TVC promu opisuje program weryfikacji i wskazuje łącznie próby DM-3, DM-4 oraz trzech silników kwalifikacyjnych jako najlepszą reprezentację konfiguracji lotnej; raportuje też ukończenie wymaganych prób tego systemu, lecz nie dostarcza parametrów EMA.^shuttle W SLS dane pod obciążeniem ujawniły tarcie, sztywność i nieliniowość użyte do korelacji modelu z lotem Artemis I.^sls Transferuje się tylko wymóg reprezentatywnego obciążenia.

Dane i status — Studium I

Wszystkie parametry modelu pochodzą z rozdziału o CAS-R1. Rekord MEAS-EMA-01 dodaje syntetyczne właściwości torów: niepewność optycznego $\delta_t$ równa $\pm0{,}006 \mathrm{rad}$, czujnika $\delta_s$ równa $\pm0{,}004 \mathrm{rad}$, prądu $\pm0{,}04 \mathrm A$, napięcia $\pm0{,}05 \mathrm V$, momentu obciążającego $\pm0{,}03 \mathrm{N\,m}$ i temperatury $\pm0{,}4 ^\circ\mathrm C$; wszystkie są estymowane syntetycznie na podstawie fikcyjnych kalibracji. Błąd synchronizacji $\pm3 \mathrm{ms}$ jest zmierzony syntetycznie. Częstotliwość zapisu $500 \mathrm{Hz}$ jest zadana syntetycznie, co odpowiada okresowi $0{,}002 \mathrm s$; znacznik sterowania pozostaje co $0{,}020 \mathrm s$.

Obciążenie jest przykładane przez niespecyficzne, bezpieczne stanowisko symulujące moment zawiasowy; nie opisuje ono budowy ani procedury obsługi urządzenia. Prawda optyczna obserwuje fikcyjny znacznik na powierzchni, a czujnik $\delta_s$ pozostaje po stronie napędu. Wspólny rejestr zapisuje polecenia, oba kąty, prądy czterech kanałów, $V_{bus}$, stan ograniczników mocy i prądu, temperaturę oraz moment obciążenia na jednej osi czasu.

Rachunek — Studium I

Nominalnie: $H_{req}=0{,}83 \mathrm{N\,m}$, $I=1{,}976190 \mathrm A$, $V_m=3{,}211429 \mathrm V$, $P_m=6{,}346395 \mathrm W$, cztery kanały $28{,}206 \mathrm W$, $V_{bus}=3{,}921 \mathrm V$, a $mV_{bus}=3{,}215 \mathrm V$. Zapas napięcia to $0{,}004 \mathrm V$. Energia dwusekundowa $56{,}412 \mathrm J$ ma zapas $8{,}588 \mathrm J$, lecz moc przekracza limit o $0{,}206 \mathrm W$. Dopiero prezentacyjnie wartości zaokrągla się do $28{,}21 \mathrm W$ i $56{,}41 \mathrm J$.

Nominalny zapas momentu $0{,}094 \mathrm{N\,m}$ znika po zastosowaniu niepewności: $H_{out,low}=0{,}836 \mathrm{N\,m}$, $H_{req,high}=0{,}990 \mathrm{N\,m}$, residual zapasu $-0{,}154 \mathrm{N\,m}$. Podatność daje nominalnie $\delta_s-\delta_t=0{,}0461 \mathrm{rad}$, więcej niż dopuszczalny błąd prawdy $0{,}030 \mathrm{rad}$. Ośmiosekundowy model cieplny daje $57{,}35 ^\circ\mathrm C$ z gorącego początku, o $2{,}35 ^\circ\mathrm C$ ponad limit. Każdy z tych trzech wyników wystarcza do niezaliczenia odpowiedniego zakresu.

W celu rozdzielenia hipotez rachunek przewiduje też próby porównawcze. Dla jednego kanału ten sam $P_m=6{,}35 \mathrm W$ nie uruchamia wspólnego progu $28{,}0 \mathrm W$; dla czterech jest on przekroczony. Przy zatrzymanym efektorze człon $K_e\omega_m$ spada do $0 \mathrm V$ (wartość wynikowa, estymowana syntetycznie), więc niedobór napięcia powinien zanikać, choć obciążenie momentem pozostaje. Po zdjęciu obciążenia statyczne ugięcie powinno zbliżyć się do $0 \mathrm{rad}$ w granicach czujników, ale rate/back-EMF nadal może ograniczać szybki ruch.

Budżet niepewności — Studium I

UNC-EMA-01 nie miesza niepewności pomiaru z rozrzutem modelu. Dla momentu zdolności dominują $K_t$ i $\eta_g$; dla zapotrzebowania — $qS_cc_cC_h$, tarcie i rezerwa bezwładnościowa. Składniki mogą mieć wspólną zależność cieplną, dlatego stosuje się krańce $0{,}836 \mathrm{N\,m}$ oraz $0{,}990 \mathrm{N\,m}$, nie RSS.

Dla napięcia jeden wspólny kraniec daje dostępne $0{,}80(3{,}90-0{,}05)=3{,}080 \mathrm V$. Zapotrzebowanie $0{,}990 \mathrm{N\,m}$, przy $K_t=0{,}048 \mathrm{N\,m/A}$, $N=12$ i $\eta_g=0{,}66$, wymaga $I=2{,}604 \mathrm A$, ponad limit $2{,}20 \mathrm A$. Przy $R_m=1{,}24 \Omega$, $K_e=0{,}052 \mathrm{V\,s/rad}$ i $\omega_m=16{,}8 \mathrm{rad/s}$ żąda to $4{,}103 \mathrm V$, residual $-1{,}023 \mathrm V$. Stan osiągalny przy ograniczonym $I=2{,}20 \mathrm A$ nadal wymaga $3{,}602 \mathrm V$, residual $-0{,}522 \mathrm V$. Szyna jest zmierzona syntetycznie, stałe estymowane, a limit wymagany; rachunek zachowuje wspólne krańce momentu, prądu i napięcia.

Dla różnicy położenia niepewność dwóch niezależnych odczytów mogłaby zostać połączona kwadratowo, ale niepewność momentu i sztywności jest modelowa. Konserwatywny przedział ugięcia od $0{,}033 \mathrm{rad}$ do $0{,}062 \mathrm{rad}$ porównuje się z błędem wymagań po dodaniu $\pm0{,}010 \mathrm{rad}$ łącznej granicy dwóch torów. Nawet dolny przewidywany ubytek nie daje wygodnego zapasu. Dla temperatury górne straty i błąd pomiaru dodatkowo pogarszają gorący przypadek.

Przewidywane obserwacje — Studium I

Jeżeli HYP-EMA-P i HYP-EMA-V są prawdziwe, cztery kanały powinny osiągać mniejszą prędkość niż pojedynczy, a moment spadku szybkości powinien zbiegać się z zapadem $V_{bus}$ i aktywacją ograniczenia mocy. Jeśli dominuje HYP-EMA-T, wysoki prąd i błąd powinny wystąpić również na wolnym odcinku pod największym obciążeniem. Jeśli HYP-EMA-F jest prawdziwa, $\delta_s$ będzie pozornie poprawne, natomiast $\delta_t$ pozostanie z tyłu o wielkość skorelowaną z momentem; zmiana kierunku ujawni asymetrię tarcia. Jeżeli HYP-EMA-H jest prawdziwa, gorący przebieg przekroczy próg później niż krótka próba, a zimny i nominalny mogą go nie przekroczyć.

Przewidywania są rozłączne tylko częściowo. Zapad szyny i limit prądu mogą współwystąpić, a podatność może maskować się w lokalnej pętli pozycji. Dlatego brak jednego symptomu nie unieważnia całej hipotezy; rozstrzygnięcie wymaga macierzy prób: jeden i cztery kanały, wolno i szybko, bez obciążenia i pod obciążeniem, oba kierunki oraz trzy temperatury początkowe.

Rzeczywiste obserwacje syntetyczne — Studium I

W fikcyjnym przebiegu OBS-EMA-01 cztery kanały pod obciążeniem osiągnęły w truth sensor średnio $1{,}18 \mathrm{rad/s}$ (zmierzone syntetycznie, niepewność $\pm0{,}04 \mathrm{rad/s}$) zamiast wymaganych $1{,}40 \mathrm{rad/s}$. W tym samym oknie $V_{bus}=3{,}90 \mathrm V$ (zmierzone syntetycznie, $\pm0{,}05 \mathrm V$), prąd badanego kanału $2{,}08 \mathrm A$ (zmierzony syntetycznie, $\pm0{,}04 \mathrm A$), a flaga wspólnego ograniczenia mocy była aktywna przez $0{,}46 \mathrm s$ (zmierzone syntetycznie, niepewność czasu $\pm0{,}004 \mathrm s$). Pojedynczy kanał w tym samym stanie osiągnął $1{,}37 \mathrm{rad/s}$ (zmierzone syntetycznie, $\pm0{,}04 \mathrm{rad/s}$) bez flagi mocy. To wspiera HYP-EMA-P i HYP-EMA-V.

Na wolnym odcinku pod największym obciążeniem prąd utrzymywał się na $2{,}14 \mathrm A$ (zmierzone syntetycznie, $\pm0{,}04 \mathrm A$), mimo że przeciw-SEM była mała; zapas do limitu po niepewności wynosi tylko $2{,}20-(2{,}14+0{,}04)=0{,}02 \mathrm A$. Wynik nie potwierdza przekroczenia prądu, ale w połączeniu z ujemnym budżetem momentu nie odrzuca HYP-EMA-T.

Czujnik $\delta_s$ wykazał maksymalny błąd $0{,}012 \mathrm{rad}$ (zmierzony syntetycznie, $\pm0{,}004 \mathrm{rad}$), natomiast prawda $\delta_t$ błąd $0{,}045 \mathrm{rad}$ (zmierzony syntetycznie, $\pm0{,}006 \mathrm{rad}$) pod obciążeniem. Po zdjęciu obciążenia różnica spadła do $0{,}007 \mathrm{rad}$ (zmierzone syntetycznie, łączna granica $\pm0{,}010 \mathrm{rad}$). Zmiana kierunku zwiększała błąd o $0{,}011 \mathrm{rad}$ w jednym znaku względem drugiego (zmierzone syntetycznie, $\pm0{,}008 \mathrm{rad}$). To potwierdza podatność, wskazuje tarcie kierunkowe i pokazuje, że sam $\delta_s$ dałby fałszywe zaliczenie.

Krótki, dwusekundowy odcinek gorący podniósł temperaturę o $1{,}4 \mathrm K$ (zmierzone syntetycznie, $\pm0{,}4 \mathrm K$) i nie przekroczył progu. Pełny horyzont zakończył się temperaturą $57{,}0 ^\circ\mathrm C$ (zmierzoną syntetycznie, $\pm0{,}4 ^\circ\mathrm C$); zimny i nominalny zakończyły się odpowiednio przy $-14{,}9 ^\circ\mathrm C$ oraz $30{,}1 ^\circ\mathrm C$ (zmierzone syntetycznie, każda $\pm0{,}4 ^\circ\mathrm C$). HYP-EMA-H jest potwierdzona wyłącznie dla gorącego początku i pełnego horyzontu.

Wniosek — Studium I

CAS-R1 w badanym baseline nie spełnia REQ-EMA-01. Rozstrzygnięte ograniczenia to wspólna moc, napięcie przy prędkości, pozycja rzeczywistego efektora za podatnością i temperatura dla gorącego początku. Brak zapasu momentu po konserwatywnej niepewności pozostaje problemem dowodowym, choć syntetyczna obserwacja nie wykazała jednoznacznego twardego nasycenia prądu. Tarcie kierunkowe jest wspierane, ale stiction nie zostało osobno zidentyfikowane.

Wniosek nie brzmi „EMA jest za słaby”. Brzmi: dla dokładnie R1-HW-04/R1-SW-07/R1-B-03, podanym profilu, wspólnej pracy czterech kanałów, założonym modelu obciążenia, trzech temperaturach i ośmiosekundowym horyzoncie nie można utrzymać twierdzenia o zdolności. Zakres przy jednym kanale, bez obciążenia lub w krótkim oknie jest innym wymaganiem.

Kwestie nadal nieustalone — Studium I

Nie ustalono udziału stiction względem tarcia ruchowego, przestrzennego gradientu temperatury, indukcyjnej dynamiki prądu ani zachowania przy regeneracji po zmianie kierunku. Nie ustalono też, czy model $C_h$ obejmuje wszystkie stany przewidziane dla syntetycznego programu. Te braki nie są potrzebne do decyzji negatywnej, ale są potrzebne przed sformułowaniem diagnozy konstrukcyjnej.

Niepewność macierzy korelacji między $K_t$, $R_m$, $\eta_g$ i temperaturą pozostaje otwarta. Nie wolno jej ukryć przez przyjęcie niezależności. Nie wiadomo również, czy część różnicy $\delta_s-\delta_t$ pochodzi z luzu, a część ze sprężystości; bieżący model skupiony opisuje skutek, nie rozdziela obu przyczyn.

Decyzja — Studium I

Rekord DEC-EMA-01 odwołuje READY dla pełnego profilu czterokanałowego, dla stanu gorącego oraz dla deklaracji pozycji opartej wyłącznie na $\delta_s$. Nie nadaje statusu „niezdolny zawsze”; zachowuje zakresy nieprzebadane jako nieustalone. Każda proponowana zmiana wymogu, limitu, logiki mocy, modelu podatności lub sprzętu tworzy nowy baseline i wymaga ponownego dowodu. Tekst nie podaje procedury takiej zmiany ani strojenia rzeczywistego uzbrojenia.

Test regresyjny — Studium I

REG-EMA-ALL obejmuje cold $-20 ^\circ\mathrm C$, nominal $25 ^\circ\mathrm C$ i hot $52 ^\circ\mathrm C$ (wartości zadane syntetycznie); oba kierunki; jeden i cztery kanały; obciążenie nominalne $0{,}72 \mathrm{N\,m}$ oraz konserwatywny kraniec $0{,}850 \mathrm{N\,m}$; odcinki pozycji, szybkości i utrzymania; zapis $\delta_s$, $\delta_t$, prądu, napięcia, mocy, energii, temperatury i obciążenia. Powtarza się pełny horyzont $8{,}0 \mathrm s$, nie tylko krótki impuls.

Zaliczenie wymaga dodatnich zapasów po niepewności, truth error nie większego niż $0{,}030 \mathrm{rad}$, dolnego krańca zmierzonej szybkości co najmniej $1{,}40 \mathrm{rad/s}$, temperatury nie większej niż $55 ^\circ\mathrm C$, braku aktywacji limitów i zgodności identyfikatorów. Dla niepewności pomiaru $\pm0{,}04 \mathrm{rad/s}$ centralny wynik szybkości musi więc wynosić co najmniej $1{,}44 \mathrm{rad/s}$. Zmiana kalibracji, wiązki, oprogramowania, tabeli $B$, łącznika podatnego albo modelu obciążenia automatycznie uruchamia regresję.

12. Studium II — rate limiting, opóźnienie i tryb podatny

Pytanie i wymaganie — Studium II

W REQ-DYN-01 anomalia występuje tylko przy dużych ruchach pod obciążeniem: prawda powierzchni nie nadąża, a po zejściu z polecenia pojawia się krótkie drganie. Dla tego samego CAS-R1 porównuje się sinusoidalne polecenie małe o amplitudzie $0{,}060 \mathrm{rad}$ i duże o amplitudzie $0{,}280 \mathrm{rad}$, oba przy częstotliwości $1{,}0 \mathrm{Hz}$, wszystkie wartości zadane syntetycznie. Reprezentatywne obciążenie wynosi $0{,}55 \mathrm{N\,m}$, zadane syntetycznie.

Wymagany syntetycznie błąd szczytowy truth sensor nie może przekroczyć $0{,}060 \mathrm{rad}$, odzyskanie po nasyceniu ma trwać nie dłużej niż $0{,}250 \mathrm s$, a amplituda linii widmowej prawdy od $8{,}0 \mathrm{Hz}$ do $10{,}0 \mathrm{Hz}$ nie może przekroczyć $0{,}012 \mathrm{rad}$. Opóźnienie end-to-end ma być nie większe niż $0{,}020 \mathrm s$, wymagane syntetycznie. Te kryteria są właściwościami przypadku, nie zaleceniami strojenia realnego pocisku.

Konkurencyjne hipotezy — Studium II

HYP-DYN-R przypisuje anomalię nasyceniu prędkości. Przewiduje zależność od amplitudy oraz odcinki o stałym nachyleniu $1{,}40 \mathrm{rad/s}$.

HYP-DYN-D wskazuje na opóźnienie cyfrowe albo jitter. Przewiduje przesunięcie także dla małych amplitud, korelację z rzeczywistym krokiem i podobny skutek bez obciążenia.

HYP-DYN-L wskazuje na dynamikę zależną od obciążenia. Przewiduje zmianę odpowiedzi po zdjęciu momentu $0{,}55 \mathrm{N\,m}$, mimo zachowania tego samego polecenia.

HYP-DYN-F wskazuje na tryb podatny. Przewiduje energię w paśmie od $8{,}0 \mathrm{Hz}$ do $10{,}0 \mathrm{Hz}$, silniejszą w $\delta_t$ niż $\delta_s$, zależną od obciążenia i od wyjścia z limitera.

HYP-DYN-S wskazuje na błąd synchronizacji torów. Przewiduje, że korekta znaczników czasu usunie znaczną część pozornego opóźnienia, ale nie powinna tworzyć fizycznego dzwonienia w niezależnym obrazie truth.

Model i źródła — Studium II

Model łączy lokalny $G_a(s)$, osobny limiter i lokalny $G_f(s)$; nie identyfikuje modelu liniowego na danych nasyconych. Parametry $G_a$ to $18 \mathrm{rad/s}$, $0{,}72$, $0{,}015 \mathrm s$; $G_f$: $k_f=0{,}54$, $9{,}0 \mathrm{Hz}$, $\zeta_f=0{,}06$. Przy dużym sygnale najpierw działa limiter $0{,}028 \mathrm{rad}$ na próbkę, a $G_f$ sprawdza tylko linię widmową.

CAPIO pokazuje w symulowanym układzie pilot–samolot, że ograniczenie prędkości aktuatora może tworzyć dodatkowy lag fazowy i wspierać oscylację. Źródło nie dowodzi, że ten sam mechanizm występuje w CAS-R1; uzasadnia jedynie konkurencyjną hipotezę oraz potrzebę jawnego modelu limitera.^capio Horodko uzasadnia oddzielną kontrolę synchronizacji, błędu dynamicznego, próbkowania i korelacji opóźnienia.^horodko Mechanika łożysk, tarcia i smarowania ma własne źródła degradacji opisane w trybologii mechanizmów, lecz nie są one automatycznie utożsamiane z zaobserwowanym modem.

Dane i status — Studium II

Amplitudy $0{,}060 \mathrm{rad}$ i $0{,}280 \mathrm{rad}$, częstotliwość $1{,}0 \mathrm{Hz}$, obciążenie $0{,}55 \mathrm{N\,m}$, próg błędu $0{,}060 \mathrm{rad}$, czas odzyskania $0{,}250 \mathrm s$, próg widmowy $0{,}012 \mathrm{rad}$ oraz maksymalne opóźnienie $0{,}020 \mathrm s$ są zadane albo wymagane syntetycznie, jak wskazano wyżej. Parametry $G_a$ i $G_f$ są estymowane syntetycznie. Limit szybkości jest wymagany syntetycznie. Znaczniki czasu, rzeczywisty krok, flaga limitera, $\delta_s$, $\delta_t$, obciążenie, prąd i szyna są mierzone syntetycznie.

Rekord MEAS-DYN-01 zachowuje niepewności z pierwszego studium i dodaje estymowaną syntetycznie rozdzielczość widmowej amplitudy $\pm0{,}003 \mathrm{rad}$, rozdzielczość częstotliwości $\pm0{,}2 \mathrm{Hz}$ i niepewność czasu odzyskania $\pm0{,}010 \mathrm s$. Syntetyczny sweep ma zakres od $0{,}2 \mathrm{Hz}$ do $12{,}0 \mathrm{Hz}$, zadany syntetycznie, lecz pobudzenie w pobliżu modu jest ograniczone do bezpiecznej symulacji i HIL. Nie opisuje się procedury wzbudzania realnego uzbrojenia.

Rachunek — Studium II

Dla sinusoidy $u(t)=A\sin(2\pi ft)$ wymaganie szybkości ma wartość szczytową

$$|\dot u|_{pk}=2\pi fA.$$

$A$ ma radiany, $f$ herce, a wynik $\mathrm{rad/s}$. Dla małego polecenia jest to $2\pi(1{,}0 \mathrm{Hz})(0{,}060 \mathrm{rad})=0{,}377 \mathrm{rad/s}$, poniżej limitu $1{,}40 \mathrm{rad/s}$. Dla dużego polecenia wynik wynosi $1{,}759 \mathrm{rad/s}$, czyli przekracza limit o $0{,}359 \mathrm{rad/s}$. Wejścia są zadane syntetycznie; niepewność częstotliwości generatora $\pm0{,}002 \mathrm{Hz}$ i amplitudy $\pm0{,}002 \mathrm{rad}$ jest estymowana syntetycznie. Nawet dolny kraniec dużego sygnału pozostaje powyżej limitu, więc HYP-DYN-R ma jednoznaczną predykcję.

Przy $1{,}0 \mathrm{Hz}$ opóźnienie daje $-2\pi f\tau_d=-0{,}0942 \mathrm{rad}=-5{,}40^\circ$, a dla $\tau_d\in[0{,}012;0{,}018] \mathrm s$: od $-4{,}32^\circ$ do $-6{,}48^\circ$. Cały $G_a$ daje $|G_a|=0{,}988$, fazę $-35{,}2^\circ$ i amplitudę $0{,}0593 \mathrm{rad}$ z wejścia $0{,}060 \mathrm{rad}$. Dla linii $8{,}8 \mathrm{Hz}$, $r=8{,}8/9{,}0$, $G_f=-0{,}445+j3{,}859$, więc $|G_f|=3{,}884$, faza $+96{,}6^\circ$, a z $0{,}009 \mathrm{rad}$ wynika $0{,}0350 \mathrm{rad}$. To estymaty syntetyczne w lokalnych domenach; zgodność jednej linii nie dowodzi przyczyny.

Maksymalny krok wynosi $0{,}028 \mathrm{rad}$. Zmiana od $-0{,}280 \mathrm{rad}$ do $+0{,}280 \mathrm{rad}$ ma zakres $0{,}560 \mathrm{rad}$, więc nawet przy ciągłym ruchu z limitem wymaga co najmniej $0{,}560/1{,}40=0{,}400 \mathrm s$, wynik estymowany syntetycznie. To nie jest czas odpowiedzi całego układu; jest dolną granicą wynikającą wyłącznie z rate limit.

Budżet niepewności — Studium II

UNC-DYN-01 rozdziela: czas — $\pm3 \mathrm{ms}$ synchronizacji, $\pm1 \mathrm{ms}$ jitteru i $\pm10 \mathrm{ms}$ recovery; amplitudę — $\pm0{,}006 \mathrm{rad}$ truth i $\pm0{,}003 \mathrm{rad}$ linii; model — $k_f=0{,}54\pm0{,}04$, $f_f=9{,}0\pm1{,}0 \mathrm{Hz}$, $\zeta_f=0{,}06\pm0{,}02$. Przeszukanie całych przedziałów, także maksimum wewnątrz przedziału $f_f$, przy $8{,}8 \mathrm{Hz}$ daje $|G_f|\in[0{,}746;7{,}430]$, a dla $0{,}009\pm0{,}003 \mathrm{rad}$ przewiduje $\delta_t\in[0{,}0045;0{,}0892] \mathrm{rad}$. Obserwowane $[0{,}032;0{,}038] \mathrm{rad}$ jest możliwe, ale predykcja zbyt szeroka do walidacji parametrów.

Próg linii $0{,}012 \mathrm{rad}$ jest porównywany z górną granicą obserwacji, a nie samą estymatą. Próg opóźnienia $0{,}020 \mathrm s$ jest porównywany z opóźnieniem po korekcie znaczników i jego niepewnością. Dla aktywności limitera źródłem prawdy jest stan bloku w R1-SW-07 zestawiony z numerycznym sprawdzeniem różnicy $u_k-u_{k-1}$; jedna flaga bez rekonstrukcji historii nie wystarcza.

Przewidywane obserwacje — Studium II

Mały sygnał powinien pozostać poza limiterem, zachować około $0{,}015 \mathrm s$ opóźnienia i nie pobudzić wyraźnego modu. Duży sygnał powinien zawierać odcinki o nachyleniu bliskim $1{,}40 \mathrm{rad/s}$, większy efektywny lag i dłuższe odzyskanie. Jeśli tryb podatny jest rzeczywisty, linia około $9{,}0 \mathrm{Hz}$ będzie większa w $\delta_t$ niż w $\delta_s$ i osłabnie po zdjęciu obciążenia. Jeśli winna jest synchronizacja, przesunięcie jednego toru o graniczne $\pm3 \mathrm{ms}$ powinno zasadniczo zmienić wniosek o opóźnieniu; nie powinno jednak usunąć linii zarejestrowanej przez jeden fizyczny tor.

Sweep ma odróżnić lokalny rezonans od harmonicznych limitera. Time history ma pokazać aktywność ograniczenia i recovery. HIL ma potwierdzić, że implementacja dyskretna, jitter i anti-windup należą do tego samego baseline’u. Żaden pojedynczy wykres częstotliwościowy nie zastępuje tych trzech obserwacji.

Rzeczywiste obserwacje syntetyczne — Studium II

Dla $0{,}060 \mathrm{rad}$ zmierzono syntetycznie: opóźnienie $0{,}016\pm0{,}003 \mathrm s$, amplitudę $\delta_s=0{,}058\pm0{,}004 \mathrm{rad}$, fazę $-36^\circ\pm3^\circ$, błąd truth $0{,}018\pm0{,}006 \mathrm{rad}$ i linię $8{,}9 \mathrm{Hz}$ $0{,}004\pm0{,}003 \mathrm{rad}$. Predykcje $G_a$, $0{,}0593 \mathrm{rad}$ i $-35{,}2^\circ$, mieszczą się w granicach. Limiter był aktywny przez $0\%$ próbek; przypadek przechodzi.

Dla $0{,}280 \mathrm{rad}$ pod obciążeniem limiter był aktywny przez $31\%\pm2$ punkty procentowe, lag wyniósł $0{,}044\pm0{,}004 \mathrm s$, a recovery $0{,}31\pm0{,}010 \mathrm s$. Linia truth $8{,}8 \mathrm{Hz}$ miała $0{,}035\pm0{,}003 \mathrm{rad}$, zaś $\delta_s$ $0{,}009\pm0{,}003 \mathrm{rad}$; faza truth względem $\delta_s$ wyniosła $+95^\circ\pm7^\circ$, zgodnie nominalnie z $+96{,}6^\circ$. Wszystko zmierzono syntetycznie; próg widmowy i recovery zawiodły.

Po zdjęciu obciążenia duży ruch nadal aktywował limiter przez $29\%$ próbek (zmierzone syntetycznie, $\pm2$ punkty procentowe), ale linia truth spadła do $0{,}008 \mathrm{rad}$ z niepewnością $\pm0{,}003 \mathrm{rad}$. Sztuczne przesunięcie synchronizacji o $-3 \mathrm{ms}$ i $+3 \mathrm{ms}$ zmieniło estymowany lag odpowiednio do $0{,}041 \mathrm s$ i $0{,}047 \mathrm s$, lecz nie usunęło linii $8{,}8 \mathrm{Hz}$ z truth sensor. Syntetyczny HIL odtworzył aktywność limitera oraz recovery w granicy $\pm0{,}018 \mathrm s$, ale zaniżył amplitudę linii o $0{,}010 \mathrm{rad}$; obie różnice są zmierzone syntetycznie.

Wniosek — Studium II

HYP-DYN-R potwierdza rachunek $1{,}759>1{,}40 \mathrm{rad/s}$. HYP-DYN-F i HYP-DYN-L są wspierane przez zgodną nominalnie amplitudę i fazę, przewagę linii za podatnością oraz jej spadek bez obciążenia, ale szeroki budżet i wspólne pobudzenie nie dowodzą przyczyny. HYP-DYN-D wyjaśnia bazowe $0{,}016 \mathrm s$, nie zależność od amplitudy. HYP-DYN-S odrzucono jako przyczynę główną. Korelacja z obciążeniem nie jest dowodem lokalizacji.

$G_a$ przeszedł porównanie amplitudy i fazy tylko małosygnałowo. $G_f$ jest zgodny z jedną linią, lecz pozostaje niezwalidowaną hipotezą lokalną. Duży sygnał wyszedł z domeny $G_a$ przez limiter; nie wolno dopasować jednego pasma do całości.

Kwestie nadal nieustalone — Studium II

Nie ustalono fizycznego rozkładu trybu między powierzchnię, łącznik i montaż, ani zmian częstotliwości poza fikcyjnym rozrzutem $8{,}0 \mathrm{Hz}$–$10{,}0 \mathrm{Hz}$. Nie ustalono, czy zaniżenie amplitudy przez HIL wynika z modelu obciążenia, tłumienia, toru optycznego czy implementacji interfejsu. Nie ustalono też zachowania przy jednoczesnym zapadzie szyny z pierwszego studium, bo bieżący sweep był ograniczony do jednego kanału.

Pozostaje otwarte, czy mechanizm recovery zależy od stanu integratorów, logiki anti-windup czy wyłącznie od rate limiter. Tego nie wolno rozstrzygać na podstawie jednego przebiegu. Otwarte pytania są zapisane w HYP-DYN-OPEN; nie unieważniają negatywnej decyzji dla dużego ruchu.

Decyzja — Studium II

DEC-DYN-01 odwołuje zdolność CAS-R1 dla dużego profilu pod obciążeniem. Wymaga formalnego rozpatrzenia zakresu żądania, limitera, anti-windup, filtra i domeny modelu, ale nie wskazuje nastaw ani procedury modyfikacji rzeczywistej broni. Każda zmiana któregoś elementu tworzy R1-SW lub R1-HW o nowym identyfikatorze i podlega pełnej regresji.

Małosygnałowy zakres pozostaje warunkowo zaliczony tylko dla temperatury $25 ^\circ\mathrm C$, obciążenia $0{,}30 \mathrm{N\,m}$, amplitudy do $0{,}08 \mathrm{rad}$ i stanu F0; nie rozszerza się go na duże ruchy. W systemie nadrzędnym możliwe są decyzje o ograniczeniu żądania lub funkcji zdegradowanej, lecz wymagają osobnego dowodu stabilizacji.

Test regresyjny — Studium II

REG-DYN-ALL obejmuje małą i dużą amplitudę, oba kierunki, obciążenie zdjęte i $0{,}55 \mathrm{N\,m}$, pełny rozrzut częstotliwości modu od $8{,}0 \mathrm{Hz}$ do $10{,}0 \mathrm{Hz}$, jitter kroku i błędy synchronizacji. Obowiązkowo zapisuje recovery from saturation, aktywność limitera, stan anti-windup, $\delta_s$, $\delta_t$, obciążenie, szynę i prąd. Zaliczenie wymaga braku wzbudzenia powyżej $0{,}012 \mathrm{rad}$ po dodaniu niepewności i odzyskania do $0{,}250 \mathrm s$.

Regresja zawiera sweep, time history oraz HIL z tym samym R1-SW-07, a nie funkcjonalnie podobną kopią. Jeżeli częstotliwość modu albo kalibracja truth sensor zmienią się, test wraca do stanu nieustalonego. Osobna próba z czterema kanałami łączy to studium z REG-POWER-01, aby nasycenie szybkości nie maskowało zapadu wspólnej szyny.

13. Studium III — utrata efektora i control allocation

Pytanie i wymaganie — Studium III

REQ-ALLOC-01 pyta, czy CAS-R1 w kroku $\Delta t=0{,}020 \mathrm s$ wykona zadane syntetycznie $\mathbf v_{cmd}=[0{,}60,0{,}40]^T$ po utracie albo utknięciu efektora. Baseline to R1-HW-04/R1-SW-07/R1-B-03, temperatura $25 ^\circ\mathrm C$. Dokładna poprzednia komenda nominalna wynosi $\mathbf u_{k-1}=[0{,}282,0{,}182,-0{,}282,-0{,}182]^T \mathrm{rad}$; odpowiadające jej pozycje fizyczne mają te wartości centralne i syntetyczną niepewność $\pm0{,}004 \mathrm{rad}$.

Pełne śledzenie wymaga $|e_M|\leq0{,}05$ i $|e_N|\leq0{,}08$, progi bezwymiarowe wymagane syntetycznie. Funkcja zdegradowana „stabilizacja” wymaga odpowiednio $|e_M|\leq0{,}30$ i $|e_N|\leq0{,}20$, także wymagane syntetycznie, oraz dotrzymania pozycji, szybkości, wspólnej mocy i energii. Priorytet pitch $0{,}70$ oraz yaw $0{,}30$ jest zadany syntetycznie i odnosi się tylko do funkcji celu, nie zmienia kryteriów. Wniosek musi osobno powiedzieć, czy wykonalne jest pełne śledzenie, stabilizacja zdegradowana i osiągnięcie statyczne w dłuższym horyzoncie.

Konkurencyjne hipotezy — Studium III

HYP-ALLOC-U zakłada, że $E_1$ jest niedostępny i nie wytwarza wkładu. Przewiduje $u_1=0 \mathrm{rad}$ oraz ograniczoną w jednym kroku możliwość kompensacji przez $E_3$.

HYP-ALLOC-J zakłada utknięcie $E_1$ w niezerowej pozycji. Przewiduje stały wkład $\mathbf v_{bias}$, którego nie usuwa wykreślenie kolumny z macierzy.

HYP-ALLOC-S zakłada awarię czujnika pomyloną z zacięciem. Przewiduje rozbieżność między $\delta_s$, niezależną prawdą $\delta_t$ i skutkiem uogólnionym; błędna kompensacja może sama wprowadzić residual.

HYP-ALLOC-P zakłada wspólny niedobór mocy. Przewiduje skorelowane ograniczenie wielu kanałów i naruszenie surogatu $P_{alloc}$, nawet gdy rozwiązanie geometryczne istnieje.

HYP-ALLOC-B zakłada użycie złej macierzy lub złego baseline’u. Przewiduje systematycznie błędny znak albo skalę residualu mimo poprawnego wykonania poleceń. Hipoteza ma pierwszeństwo diagnostyczne, bo optymalizowanie według niewłaściwego $B$ może pogorszyć stan.

Model i źródła — Studium III

Model używa $B$, residualu na $B\widetilde{\mathbf u}$, limitów pozycji, kroku, wspólnego ruchu, mocy i energii. Kanał niedostępny wiąże się z $0 \mathrm{rad}$; pozycja utknięta przechodzi do $\mathbf v_{bias}$. Błąd czujnika nie rozstrzyga dostępności bez niezależnej prawdy.

LGCAT buduje statyczny zbiór przy limitach pozycji, jawnie bez szybkości i historii.^lgcat Punkt może więc istnieć, lecz nie w tym kroku. Dennehy wskazuje niezależny model prawdy, test polaryzacji, HITL i kontrolę baz danych — praktyki rozróżniające HYP-ALLOC-S i HYP-ALLOC-B.^dennehy

Dane i status — Studium III

R1-B-03, limity i wagi są zadane syntetycznie; poprzednia komenda jest dokładnym zapisem cyfrowym, a pozycje fizyczne są mierzone syntetycznie. W przypadku nominalnym truth sensor dał centralnie $\widetilde{\mathbf u}_{k-1}=\mathbf u_{k-1}$ oraz $\widetilde{\mathbf u}_{k}=\mathbf u_{nom}$. Każdy bezwzględny odczyt ma niepewność $\pm0{,}004 \mathrm{rad}$, natomiast po usunięciu wspólnego błędu kalibracji niepewność zmierzonej różnicy w jednym kanale wynosi $\pm0{,}001 \mathrm{rad}$; oba składniki i ich korelacja są estymowane syntetycznie. Niezerowe elementy $B$ mają $\pm0{,}04 \mathrm{rad^{-1}}$. Flagi R1-SW-07 pozostają hipotezą do porównania z truth sensor i skutkiem uogólnionym.

Dla niedostępnego $E_1$ pozycja bieżąca przed alokacją wynosi $[0,0{,}18,-0{,}28,-0{,}18]^T \mathrm{rad}$: $0 \mathrm{rad}$ jest zmierzone syntetycznie po przejściu kanału do stanu bez wkładu, a pozostałe trzy wartości zmierzone syntetycznie z niepewnością $\pm0{,}004 \mathrm{rad}$. Dla utknięcia pozycja $u_1=+0{,}35 \mathrm{rad}$ jest zmierzona syntetycznie przez niezależny tor z niepewnością $\pm0{,}006 \mathrm{rad}$. Wariant błędu czujnika raportuje $\delta_s=+0{,}35 \mathrm{rad}$, lecz $\delta_t=+0{,}28 \mathrm{rad}$; obie wartości są zmierzone syntetycznie z właściwymi niepewnościami.

Rachunek — Studium III

Nominalny kandydat dokładnie śledzący żądanie ma postać

$$\mathbf u_{nom}=\begin{bmatrix}0{,}30&0{,}20&-0{,}30&-0{,}20\end{bmatrix}^T \mathrm{rad}.$$

Nominalnie $B\mathbf u_{nom}=[0{,}60,0{,}40]^T$ i $\mathbf e=0$. Każda dokładna komenda zmienia się o $0{,}018 \mathrm{rad}$, suma o $0{,}072 \mathrm{rad}$, pozostawiając $0{,}010 \mathrm{rad}$ na kanał i $0{,}008 \mathrm{rad}$ wspólnie. Dla $\mathbf u_{pref}=\mathbf u_{k-1}$ kandydat ma znormalizowany koszt użycia $0{,}01\cdot4(0{,}018/0{,}70)^2=2{,}64\cdot10^{-5}$; rozwiązanie pełnego problemu różni się o mniej niż $4\cdot10^{-6} \mathrm{rad}$, więc prezentowane zaokrąglenie pozostaje odtwarzalne. Surogat daje

$$P_{alloc}=4{,}0+(5{,}0)\frac{0{,}072}{0{,}020}=22{,}0 \mathrm W,$$

a energia kroku to $0{,}440 \mathrm J$. Przy pełnym UNC-ALLOC-01 moc wynosi najwyżej $4{,}3+(5{,}5)(0{,}072/0{,}019)=25{,}142 \mathrm W$, z zapasem $2{,}858 \mathrm W$. Spójny kraniec energii to $(4{,}3)(0{,}021)+(5{,}5)(0{,}072)=0{,}4863 \mathrm J$. Dla historii fizycznej centralna zmiana każdego kanału wynosi $0{,}018 \mathrm{rad}$; po dodaniu niepewności różnicy $0{,}001 \mathrm{rad}$ jest nie większa niż $0{,}019 \mathrm{rad}$. Przy najkrótszym kroku $0{,}019 \mathrm s$ górny kraniec zmierzonej szybkości wynosi zatem $0{,}019/0{,}019=1{,}00 \mathrm{rad/s}<1{,}40 \mathrm{rad/s}$; niepewność pomiaru została tu przypisana do licznika, a wymagany limit nie został sztucznie obniżony. Suma czterech fizycznych zmian ma konserwatywną granicę $0{,}072+4(0{,}001)=0{,}076 \mathrm{rad}<0{,}080 \mathrm{rad}$. Fizyczny kraniec pozycji $0{,}304 \mathrm{rad}$ pozostaje poniżej $0{,}70 \mathrm{rad}$, a residual na $B\widetilde{\mathbf u}$ przechodzi budżet podany niżej. Jednostki to W, J i rad; krok ma dodatni zapas w historii komend i w niezależnie zmierzonej historii fizycznej.

Po utracie $E_1$ w jednym kroku ustawiono $u_1=0 \mathrm{rad}$, $u_2=0{,}20 \mathrm{rad}$, $u_3=-0{,}308 \mathrm{rad}$ i $u_4=-0{,}20 \mathrm{rad}$. Zmiany aktywnych kanałów wynoszą $0{,}020 \mathrm{rad}$, $0{,}028 \mathrm{rad}$ i $0{,}020 \mathrm{rad}$, a ich suma $0{,}068 \mathrm{rad}$. Osiągnięty wektor to

$$B\mathbf u_{U}= \begin{bmatrix}0{,}308\\0{,}400\end{bmatrix},\qquad \mathbf e_U= \begin{bmatrix}0{,}292\\0\end{bmatrix}.$$

Oba wektory mają wymiar $1$ i status estymowany syntetyczny. Moc wynosi $4{,}0+(5{,}0)(0{,}068/0{,}020)=21{,}0 \mathrm W$, a energia kroku $0{,}420 \mathrm J$. Pełne śledzenie pitch nie jest wykonalne, lecz nominalny residual $0{,}292$ mieści się tuż pod progiem stabilizacji $0{,}30$. Po niepewności $B$ zapas wymaga osobnej oceny.

Statycznie, po wielu krokach, wektor $[0,0{,}20,-0{,}60,-0{,}20]^T \mathrm{rad}$ daje dokładnie $[0{,}60,0{,}40]^T$ bez $E_1$. Od $-0{,}28 \mathrm{rad}$ do $-0{,}60 \mathrm{rad}$ efektor $E_3$ musi pokonać $0{,}32 \mathrm{rad}$. Przy $0{,}028 \mathrm{rad}$ na krok potrzeba co najmniej $\lceil0{,}32/0{,}028\rceil=12$ kroków, czyli $0{,}24 \mathrm s$. Liczba kroków ma wymiar $1$, czas — sekundy; wyniki są estymowane syntetycznie i pomijają moc w całym oknie. To dowodzi, dlaczego statyczny attainable set nie może udawać dynamicznego.

Dla utknięcia $E_1$ w $+0{,}35 \mathrm{rad}$ jego znany wkład wynosi

$$\mathbf v_{bias}=B_{(:,1)}(0{,}35 \mathrm{rad})= \begin{bmatrix}0{,}35\\0\end{bmatrix}.$$

Wektor ma wymiar $1$ i jest estymowany syntetycznie na podstawie zmierzonej pozycji. W alokatorze ze związanym kanałem wektor zmiennych aktywnych ma postać $\mathbf u_{J,free}=[0,0{,}20,-0{,}252,-0{,}20]^T \mathrm{rad}$, natomiast fizyczny wektor pozycji to $[0{,}35,0{,}20,-0{,}252,-0{,}20]^T \mathrm{rad}$. Pierwsze zero zapobiega podwójnemu policzeniu wkładu utkniętego efektora, który jest już w $\mathbf v_{bias}$. Osiągnięty pitch wynosi $0{,}35-(-0{,}252)=0{,}602$, yaw $0{,}40$, a residual pitch $-0{,}002$; wszystkie trzy wartości są bezwymiarowe i estymowane syntetycznie. Od stanu $[0,0{,}18,-0{,}28,-0{,}18]^T \mathrm{rad}$ zmiany aktywnych kanałów wynoszą $0{,}020$, $0{,}028$ i $0{,}020 \mathrm{rad}$; suma $0{,}068 \mathrm{rad}$ daje $P_{alloc}=21{,}0 \mathrm W$ i energię kroku $0{,}420 \mathrm J$. Jeżeli natomiast alokator tylko usunie pierwszą kolumnę i nakaże $u_3=-0{,}60 \mathrm{rad}$, fizyczny pitch wyniesie $0{,}35-(-0{,}60)=0{,}95$, a residual $e_M=0{,}60-0{,}95=-0{,}35$, bezwymiarowy. Usunięcie kolumny bez biasu zmienia znak błędu i łamie nawet próg stabilizacji.

Budżet niepewności — Studium III

UNC-ALLOC-01 obejmuje położenie, $B$, diagnozę, krok i moc. Niepewność $B$ daje pitch $0{,}04(0{,}30+0{,}30)=0{,}024$, yaw $0{,}04(0{,}20+0{,}20)=0{,}016$; błędy pozycji z iloczynami krańcowymi dodają $2(1{,}04)(0{,}004)=0{,}00832$. Granice residualu wynoszą więc $0{,}03232$ i $0{,}02432$, z zapasami $0{,}01768$ oraz $0{,}05568$. Wszystkie są bezwymiarowe, estymowane syntetycznie i konserwatywnie sumowane. Moc, energia i rate mają krańce policzone wyżej. Niezgodna wersja $B$ odwołuje wynik.

Dla przypadku unavailable tylko pitch zależy od $u_3=-0{,}308 \mathrm{rad}$. Niepewność współczynnika daje $(0{,}04)(0{,}308)=0{,}01232$, a błąd pozycji na górnym krańcu współczynnika daje $(1{,}04)(0{,}004)=0{,}00416$. Po konserwatywnym zsumowaniu residual może wzrosnąć z $0{,}292$ do $0{,}30848$. Próg stabilizacji $0{,}30$ nie ma więc dodatniego zapasu. Nie wolno ogłosić przejścia na podstawie wartości centralnej.

Dla utknięcia niepewność biasu obejmuje $\pm0{,}006 \mathrm{rad}$ truth sensor oraz $\pm0{,}04 \mathrm{rad^{-1}}$ kolumny $B$. Konserwatywna granica samego wkładu jest pełną różnicą iloczynową $(1+0{,}04)(0{,}35+0{,}006)-0{,}35=0{,}02024$, bez wymiaru; zawiera mały człon $(0{,}04)(0{,}006)$. Jest do przyjęcia tylko wtedy, gdy diagnoza „utknięty” jest prawdziwa. Błąd klasyfikacji sensor-versus-jam nie ma sensownej małej wariancji i jest rozpatrywany jako osobna hipoteza dyskretna.

Przewidywane obserwacje — Studium III

Przy HYP-ALLOC-U niezależna prawda $E_1$ i odpowiedź uogólniona powinny wskazać brak wkładu, a $E_3$ dojść do granicy zmiany $0{,}028 \mathrm{rad}$ w pierwszym kroku. Residual pitch powinien maleć przez kolejne kroki, o ile pozwalają moc i energia.

Przy HYP-ALLOC-J truth sensor utrzyma $+0{,}35 \mathrm{rad}$, a moment uogólniony będzie zawierał bias. Alokator świadomy biasu może trafić w żądanie; alokator tylko usuwający kolumnę wytworzy przewidywany residual $-0{,}35$. Przy HYP-ALLOC-S odczyt $\delta_s$ będzie niezgodny z $\delta_t$ i skutkiem uogólnionym. Przy HYP-ALLOC-P kilka kanałów jednocześnie zwolni, a surogat mocy lub rzeczywisty bilans elektryczny przekroczy próg. Przy HYP-ALLOC-B znaki residualu będą zgodne z inną macierzą niż R1-B-03, a kontrola identyfikatora ujawni niezgodność.

Rzeczywiste obserwacje syntetyczne — Studium III

W przypadku OBS-ALLOC-U truth sensor potwierdził $u_1=0{,}002 \mathrm{rad}$ z niepewnością $\pm0{,}006 \mathrm{rad}$, co jest zgodne z zerowym wkładem w granicach pomiaru. $E_3$ zmienił pozycję o $-0{,}027 \mathrm{rad}$ w pierwszym kroku z niepewnością $\pm0{,}004 \mathrm{rad}$. Zmierzony syntetycznie residual wyniósł $e_M=0{,}297$ oraz $e_N=0{,}006$, z niepewnościami odpowiednio $\pm0{,}017$ i $\pm0{,}012$. Wartość centralna przechodzi stabilizację, lecz górna granica pitch $0{,}314$ nie. Pełne śledzenie zdecydowanie zawodzi.

W OBS-ALLOC-J niezależny tor utrzymał $u_1=+0{,}351 \mathrm{rad}$ z niepewnością $\pm0{,}006 \mathrm{rad}$. Alokacja z biasem dała $e_M=0{,}014$ i $e_N=0{,}007$, wartości zmierzone syntetycznie z niepewnościami $\pm0{,}020$ oraz $\pm0{,}012$. Powtórzenie z logiką „usuń kolumnę” dało $e_M=-0{,}342$ z niepewnością $\pm0{,}021$, zgodnie z przewidywanym błędem znaku. To potwierdza HYP-ALLOC-J i falsyfikuje uproszczenie polegające na samym usunięciu kolumny.

W OBS-ALLOC-S czujnik kanału raportował $+0{,}350 \mathrm{rad}$ z niepewnością $\pm0{,}004 \mathrm{rad}$, lecz truth sensor $+0{,}281 \mathrm{rad}$ z niepewnością $\pm0{,}006 \mathrm{rad}$, a odpowiedź uogólniona była zgodna z $+0{,}28 \mathrm{rad}$, nie z $+0{,}35 \mathrm{rad}$. Logika uznająca sam czujnik za dowód jam wprowadziła dodatkowy residual pitch $0{,}067$, zmierzony syntetycznie z niepewnością $\pm0{,}019$. Hipoteza sensor fault jest potwierdzona dla tego przebiegu.

W osobnym przypadku wspólnym OBS-ALLOC-P geometryczne rozwiązanie istniało, ale zmierzona syntetycznie moc czterech kanałów osiągnęła $28{,}6 \mathrm W$ z niepewnością $\pm0{,}7 \mathrm W$, uruchamiając ograniczenie. W teście konfiguracji nagłówek telemetrii wskazał R1-B-02, podczas gdy raport obliczał R1-B-03; wynik został unieważniony bez próby „korekty po fakcie”. To rozstrzyga, że wspólna moc i błędny baseline są odrębnymi przyczynami niewykonalności.

Wniosek — Studium III

Pokazany krok nominalny R1-B-03 przechodzi position, rate, common movement, moc, energię i residual po pełnym UNC-ALLOC-01. Po utracie $E_1$ full tracking w pierwszym kroku zawodzi; stabilizacja nie ma zapasu, choć centralny residual to $0{,}292$. Rozwiązanie statyczne pojawia się dopiero po co najmniej $0{,}24 \mathrm s$ i nie dowodzi przejścia dynamicznego.

Utknięcie niezerowe wymaga jawnego biasu. Samo usunięcie kolumny daje błędny wynik. Awaria czujnika może wyglądać jak jam i nie wolno jej kompensować bez niezależnej prawdy. Wspólna moc może odebrać wykonalność rozwiązaniu geometrycznemu. Błędny identyfikator $B$ unieważnia wszystkie residuale bez względu na ich pozorną dokładność.

Kwestie nadal nieustalone — Studium III

Nie ustalono pełnego dynamicznego modelu pojazdu dla funkcji stabilizacji; progi residualu są fikcyjnym kontraktem CAS, a nie dowodem stabilności lotu. Nie ustalono przejścia między detekcją awarii a rekonfiguracją, prawdopodobieństwa fałszywej izolacji ani czasu potwierdzenia truth sensor. Nie ustalono też, czy surogat $P_{alloc}$ wystarczająco konserwatywnie reprezentuje bilans napięcia z rozdziału o EMA.

Nieznana jest korelacja błędów kolumn $B$. Budżet krańcowy nie udaje, że ją zna. Dłuższy horyzont unavailable może naruszyć energię albo temperaturę, zanim osiągnie rozwiązanie statyczne. Te kwestie wymagają symulacji połączonej i reprezentatywnego HIL, nie ekstrapolacji jednego kroku.

Decyzja — Studium III

DEC-ALLOC-01 zachowuje READY tylko dla pokazanego nominalnego kroku F0, poprawnego R1-B-03, dokładnej historii komend i potwierdzonych pozycji fizycznych; nie dla następnego kroku ani profilu. Dla unavailable odwołuje full tracking i nie przyznaje stabilizacji. Stuck nonzero wymaga dalszego dowodu z biasem. Sensor fault nieodróżniony od jam, common-power fault lub złe $B$ odwołują READY.

System nadrzędny może ograniczyć żądanie albo przejść do funkcji zdegradowanej tylko na podstawie osobnego kontraktu stabilizacji. Nie wolno nazywać „pełnym śledzeniem” stanu, w którym osiągnięto jedynie luźniejszy residual. Tekst nie podaje logiki bojowego użycia ani procedury rekonfiguracji realnej broni.

Test regresyjny — Studium III

REG-ALLOC-ALL obejmuje nominal, unavailable, stuck zero, stuck nonzero w obu znakach, sensor fault udający jam, common-power fault i niezgodny wariant $B$. Każdy przypadek zapisuje $\mathbf v_{cmd}$, $\mathbf u_{k-1}$, $\mathbf u_k$, truth positions, flagi dostępności, $\mathbf v_{bias}$, osiągnięty $\mathbf v$, residual, aktywne ograniczenia, moc oraz energię. Sprawdza się jeden krok, recovery i dłuższy horyzont statyczny.

Regresja wymaga prawidłowych znaków end-to-end, osiągnięcia priorytetu pitch bez niejawnego poświęcenia yaw, nieujemnego zapasu kryterium po niepewności oraz zgodności identyfikatorów R1-HW-04/R1-SW-07/R1-B-03. Zmiana macierzy, wag, normalizacji, limitu, kalibracji lub klasyfikatora awarii uruchamia pełny zestaw. Szczególnie utrzymuje przypadek, w którym usunięcie kolumny bez biasu musi zostać wykryte jako błąd.

14. Alternatywne drogi energii: hydraulika, EHA, TVC i DACS

Rachunek CAS-R1 dotyczył EMA, lecz metoda nie jest przywiązana do silnika elektrycznego. Przenosi się strukturę pytania, a nie liczby, transmitancję ani wynik zaliczenia. Dla każdej technologii trzeba na nowo wskazać łańcuch źródło–magazyn–konwersja–dystrybucja–obciążenie, granicę aktuator–efektor i niezależną obserwację skutku. Dopiero wtedy można oceniać zapas chwilowy, zasobowy, cieplny i dynamiczny w oznaczonym baseline’ie, stanie i horyzoncie.

Niezmienna część metody. Żądanie zaczyna się od uogólnionego skutku na pojeździe i jest cofane przez efektor, mechanizm, przetwornik energii oraz wspólne źródło. Dla każdego ogniwa zapisuje się wejście i wyjście, jednostki, znak, położenie czujnika, opóźnienie, ograniczenie, niepewność i fault state. Osobno bada się zdolność chwilową oraz zasób w horyzoncie. Osobne pozostają też ciepło, podatność, historia pozycji, wspólne zasoby i recovery.

Granica aktuator–efektor musi odpowiadać fizyce. W EMA napęd i transmisja poprzedzają powierzchnię aerodynamiczną. W hydraulicznym TVC siłownik poprzedza przegub, dyszę i przepływ wytwarzający siłę. W DACS zawór oraz układ podawania poprzedzają rzeczywistą siłę strumienia i jej ramię. Czujnik suwaka, ciśnienia albo komendy zaworu nie jest automatycznie ground truth skutku na pojeździe.

Centralna hydraulika. Łańcuch obejmuje źródło mocy pompy, zbiornik i magazyn ciśnienia, konwersję na przepływ oraz ciśnienie, dystrybucję, siłownik, mechanizm i obciążony efektor. Elektrycznego bilansu nie wolno przepisać samą zmianą nazw. Trzeba odrębnie ocenić dostępną różnicę ciśnień pod obciążeniem, przepływ wymagany przez prędkość, chwilową moc płynu, użyteczną pojemność magazynu, wycieki, rezerwę cieczy, temperaturę i moc źródła pierwotnego. Zapas ciśnienia przy małym przepływie nie dowodzi prędkości, a objętość akumulatora — mocy chwilowej.

Wspólna pompa, powrót, magazyn lub chłodzenie wiążą kanały, więc próba jednego siłownika nie reprezentuje żądania równoczesnego. Opóźnienie obejmuje sterownik, zawór, narastanie ciśnienia, ściśliwość zastępczą i ruch pod obciążeniem. Compliance może leżeć w mocowaniu, przewodach, przegubie albo efektorze. Historyczny raport o hydraulicznym TVC rakiet wspomagających Space Shuttle dokumentuje pomocnicze źródło mocy, pompy, zbiornik, akumulatory, zawory serwo i siłowniki; dowodzi tu tylko potrzeby jawnej granicy oraz wspólnych i magazynowanych dróg energii.^shuttle Nie dostarcza parametrów do przeskalowania.

Ground truth hydrauliki rozdziela stan źródła i magazynu, ciśnienie lub przepływ, wyjście siłownika oraz położenie obciążonego efektora. Oddzielne sygnatury mają utrata źródła, degradacja magazynu, przeciek, zawór niepodążający, błąd czujnika, utknięcie i ugięcie za czujnikiem. Obserwacje muszą je rozróżniać w wymaganym horyzoncie.

EHA — lokalna hydraulika z elektrycznym wejściem. NASA-CR-3840 pokazuje koncepcyjny zespół: silnik o zmiennej prędkości i momencie, stałowydatkową pompę nawrotną, siłownik, czujnik tłoka i akumulator.^eha Źródło wspiera tylko tę granicę. Metoda rozdziela wspólną szynę, silnik i pompę od lokalnego magazynu, obiegu, obciążonego siłownika oraz pomiaru za podatnością; osobno dowodzi mocy chwilowej, zasobu i ciepła. Wycieki, kawitację, chłodzenie lub fault state wolno dodać dopiero po ustanowieniu ich w baseline albo źródle.

Cowan i Weir opisują elektromechaniczny demonstrator TVC, a nie EHA.^cowan Rozdzielenie silnika, elektroniki mocy, transmisji, resolverów i stanowiska jest analogią ewidencji interfejsów, a brak maksymalnej próby szybkości przy znamionowym obciążeniu — luki dowodowej. Referat nie uzasadnia wniosków o pompie, płynie, szczelności, sprawności ani fault containment EHA.

TVC — efektor nie kończy się na położeniu napędu. TVC określa sposób zmiany kierunku siły, nie jedną technologię aktuatora. Napęd może być elektryczny albo hydrauliczny, lecz dowód musi przejść przez przegub, dyszę lub inny element kierujący oraz stan przepływu. Położenie tłoczyska, resolwera czy komendy nie dowodzi kąta części ruchomej za luzem i podatnością; kąt dyszy nie dowodzi jeszcze osiągniętego momentu, jeśli nie jest znana rzeczywista siła, ramię, interferencja i stan konstrukcji. Limit położenia pozostaje statyczny, limit prędkości i opóźnienie są historyczne, a obciążenie, tarcie, sztywność i nieliniowość mogą zmieniać dynamikę pod obciążeniem.

Analiza SLS jest właściwą analogią tylko na poziomie korelacji modelu z próbą i lotem: autorzy wiążą model TVC z danymi Green Run oraz Artemis I i omawiają wpływ obciążenia, tarcia, sztywności i nieliniowości wzmocnienia.^sls Nie jest to dowód dla CAS-R1 ani dla innego pojazdu. Ground truth TVC powinien być zatem wielowarstwowy: pozycja napędu, pozycja rzeczywistego elementu kierującego, obciążenie w interfejsie i niezależnie zrekonstruowany skutek na pojeździe, wszystkie na wspólnej osi czasu. Fault state rozróżnia błąd toru pozycji, utratę napędu, utknięcie, ugięcie, degradację wspólnej energii i niezgodność modelu efektora.

DACS — zasób dyskretny lub impulsowy nie jest „pasmem aktuatora”. Nieoperacyjny opis obejmuje źródło i magazyn energii gazu, izolację i dystrybucję, komendę, rzeczywiste uruchomienie efektora, siłę i moment pojazdu. Ograniczenie chwilowe dotyczy skutku we właściwym czasie, a zasobowe — pozostałego magazynu. Osobno pozostają temperatura, czasy przejścia stanów, opóźnienie i rozrzut. Kanały mogą współdzielić magazyn, regulator, objętość dystrybucyjną, zasilanie zaworów i budżet cieplny.

Oficjalny komunikat Glide Breaker potwierdza jedynie, że w pierwszej fazie programu demonstrowano DACS, a w drugiej przewidziano badanie interakcji strumienia z opływem.^glidebreaker Zweryfikowany abstrakt Capone’a, Asbury’ego i Deere opisuje pomiar sił i momentów indukowanych przez boczne jet reaction controls na konkretnym modelu i przy określonych w rekordzie położeniach dysz.^capone Razem uzasadniają tylko dwa pola rejestru: rzeczywisty skutek strumienia musi mieć niezależny pomiar, a interakcja z opływem należy do niepewności efektora. Nie uzasadniają znaku, wielkości, harmonogramu, alokacji, zapasu ani skuteczności współczesnego systemu.

Ground truth DACS nie może być bitem „command issued”. Musi niezależnie potwierdzać stan wykonawczy, skutek efektora, pozostały zasób i odpowiedź pojazdu, z niepewnością czasu. Fault state rozróżnia kanał niedostępny, wykonanie niezgodne z komendą, błąd czujnika, degradację wspólnego zasobu i błędną tabelę mapowania. Samo usunięcie kolumny nie wystarcza przy niezerowym wkładzie kanału albo błędnej diagnozie.

Co przenosić, a czego nie. Pomiędzy EMA, centralną hydrauliką, EHA, TVC i DACS przenoszą się: teza o odwoływalnym twierdzeniu, jawny baseline, rozdzielenie ograniczeń, konkurencyjne hipotezy, niezależny truth, konserwatywny budżet niepewności, kryterium feasibility, decyzja zakresowa i regresja po zmianie. Nie przenoszą się: parametry, współczynniki, pasmo, sprawność, zapas, czasy, tryby awarii, model cieplny, reprezentatywność stanowiska ani wynik kwalifikacji. Nie wolno też uznać, że wspólna nazwa TVC tworzy wspólną dynamikę, albo że chwilowy sukces DACS dowodzi wystarczającego zasobu w całym horyzoncie.

Pakiet dowodowy dla alternatywnej drogi energii jest kompletny dopiero wtedy, gdy potrafi odpowiedzieć na cztery pytania. Czy wskazano fizyczne miejsce każdej konwersji i każdego magazynu? Czy ograniczenia chwilowe oraz zasobowe policzono i zmierzono osobno? Czy ground truth znajduje się za istotną podatnością i obejmuje skutek na pojeździe? Czy fault state oraz wspólne zasoby są obecne w modelu, obserwacji, decyzji i regresji? Jeśli choć jedna odpowiedź jest przecząca, zmiana technologii nie naprawia dowodu — jedynie przenosi jego brak w inne miejsce.

15. Co wolno wnioskować z publicznych systemów

Publiczne przykłady służą do nauki granic wniosku, nie do uzupełniania fikcyjnego baseline’u. Najbezpieczniejszą formą jest krotka wariant — data — jawny fakt — czego źródło nie dowodzi.

NACA RM-L50I27 — model badawczy z trójkątnym canardem — 1950 r. Raport rozdzielał pomiar sił i momentów modelu od momentu zawiasowego steru, opisywał aparaturę i dokładność, a w wynikach osobno przedstawiał skuteczność sterowania oraz hinge moment.^naca50 Nie dowodzi wartości CAS-R1 ani zachowania współczesnego pocisku. Jego wartością jest dyscyplina rozdzielania obciążenia aktuatora od skutku na pojeździe.

NASA TM-X-3070 — badany model cruciform canard-wing — 1974 r. Tunelowe badania stabilności i sterowania obejmowały trójkątne powierzchnie przednie, trapezowe skrzydło i szeroki zakres warunków opisanych w raporcie.^tmx3070 To mapa konkretnej konfiguracji modelu, nie dowód przenoszalności współczynników na inny układ. Zmiana geometrii, interferencji lub stanu lotu wymaga nowej tabeli i nowego baseline’u.

NACA RM SL55C22 — konfiguracja Sidewinder z rolleronami — 1955 r. Analiza i próby wykazały niestabilność przechylenia związaną z dynamiką rolleronów, a tłumienie w zawiasie zmieniło zachowanie.^rolleron Źródło pokazuje, że mechanizm bierny ma dynamikę i musi zostać skorelowany z lotem. Nie uzasadnia twierdzeń o wszystkich wersjach Sidewindera ani o współczesnym AIM-9X.

AIM-9X Block II — bieżąca strona NAVAIR. Organ programu przypisuje thrust vectoring maneuverability Block II.^aim9x Nie podaje typu wykonawczego, alokacji, zapasu, pasma ani zachowania po awarii; dowodu nie rozszerza się na całą rodzinę ani na historyczne rollerony.

TC 3-22.37 — Javelin — 13 sierpnia 2013 r., punkty 1-47–1-50. Podręcznik US Army opisuje cztery fins, cztery vanes TVC i thermal battery; po opuszczeniu launch tube assembly powierzchnie rozkładają się i ryglują, a vanes wspomagają fins podczas lotu przez odchylanie gazów silnika.^tcjavelin To opis funkcjonalny wskazanego wariantu i daty. Nie wolno dopowiadać nieopisanego harmonogramu przekazania sterowania, skuteczności, komend, kątów ani alokacji.

PAC-3 MSE — prezentacja producenta DAL2024070273 — 2024 r., slajd 16. Slajd oznacza dual-control autopilot, Aerodynamic Maneuvering System z control fins oraz Attitude Control Section z Attitude Control Motors.^pac3 Ponieważ źródłem jest prezentacja producenta, informację należy traktować jako jego deklarację. Materiał nie dowodzi macierzy $B$, dokładnej współpracy w czasie, zapasu, logiki awaryjnej ani osiągów. Każde z tych twierdzeń wymagałoby innego źródła.

Glide Breaker — DARPA — komunikat z 15 kwietnia 2022 r. DARPA podaje demonstrację DACS w pierwszej fazie i badanie interakcji strumienia z otaczającym opływem w drugiej.^glidebreaker To oficjalny zakres programu, nie dane skuteczności operacyjnej ani recepta alokacji.

NASA TM-111459 / AIAA 96-2479 — Francis J. Capone, Scott C. Asbury i Karen A. Deere — 1996 r. Publiczny rekord NTRS nie udostępniał pełnego tekstu podczas kwerendy, dlatego użyty jest tylko zweryfikowany abstrakt. Opisuje eksperymentalne i obliczeniowe badanie aerodynamicznych efektów bocznych jet reaction controls na ogólnym modelu zaawansowanego pocisku powietrze–powietrze, z dyszami nosowymi i ogonowymi oraz pomiarem sił i momentów.^capone Z abstraktu nie wolno wyprowadzać dokładnego znaku interferencji, pełnej obwiedni, przewagi konfiguracji ani liczb do CAS-R1.

THAAD — oficjalna karta MDA — stan karty z 25 stycznia 2024 r. Materiał MDA opisuje hit-to-kill, przechwytywanie w końcowej fazie wewnątrz i poza atmosferą oraz cztery główne elementy systemu.^thaad Nie stanowi dowodu DACS, rodzaju aktuatora, alokacji ani zapasu wykonawczego i właśnie dlatego nie jest używany do takich twierdzeń.

Cowan/Weir — demonstrator EMA TVC — 27th Aerospace Mechanisms Symposium — 1993 r. Pełny referat pozwala odtworzyć granicę testowanego systemu i jawnie wskazuje brak testu rate przy maksymalnym obciążeniu z powodu niewystarczającego stanowiska.^cowan To modelowy przykład ograniczenia twierdzenia do faktycznie wykonanej próby, nie dowód lotnej gotowości współczesnego uzbrojenia.

SLS — heritage thrust vector control actuators — 2023 r. Wall i współautorzy opisują modelowanie i korelację po danych Green Run oraz Artemis I, w tym efekty obciążeniowe związane z tarciem, sztywnością i nieliniowością wzmocnienia.^sls Wniosek jest metodologiczny: test bez reprezentatywnego obciążenia może ominąć mechanizm istotny dla modelu zamkniętej pętli.

Krotki pokazują wspólną zasadę: publiczna nazwa efektora nie stanowi dowodu CAS. Architektura „fins + TVC”, „DACS” albo „thrust vectoring” mówi, jakie klasy mechanizmów istnieją w konkretnym wariancie. Nie mówi jeszcze, czy żądany moment jest osiągalny w zadanym stanie, czasie i uszkodzeniu.

16. Jak zbudować pakiet dowodowy, który da się odwołać

Pakiet dowodowy nie jest katalogiem wykresów. Jest grafem zależności: wymaganie wskazuje model i przypadek; przypadek wskazuje dane; dane wskazują konfigurację, kalibrację i podstawę czasu; budżet wskazuje założenia o zależnościach; decyzja wskazuje kryterium; regresja wskazuje, co trzeba powtórzyć po zmianie. Każda krawędź ma właściciela i wersję.

Karta wymagania. Rekord REQ zawiera uogólnioną wielkość, jednostkę lub wymiar $1$, osie i znak, przebieg w czasie, stan poprzedni, horyzont, obciążenie, temperaturę, stan uszkodzeń, tolerancję i priorytet. „Wychylenie do wartości maksymalnej” nie jest pełnym wymaganiem, bo nie podaje szybkości, poprzedniej pozycji ani liczby współbieżnych kanałów. „Moment osiągalny” nie jest pełny, jeśli nie rozróżnia statycznego zbioru od trajektorii w czasie.

Karta baseline’u. Rekord BASE wiąże sprzęt, oprogramowanie, tabelę $B$, ograniczniki, kalibracje, model obciążenia, montaż, temperaturę i fault state. Nie wolno traktować zmiany samej kalibracji jako nieistotnej: może ona zmienić zarówno obserwację, jak i decyzję o izolacji awarii. Wiązki, złącza i interconnect, obwody dyskretne i interfejsy I/O oraz kompatybilność elektromagnetyczna pokazują, że połączenie i interfejs są częścią funkcji, a nie neutralnym przewodem.

Karta hipotezy. Każda HYP ma mechanizm, warunek aktywacji, przewidywaną sygnaturę, obserwację falsyfikującą i znane konfuzory. Hipoteza „aktuator jest za wolny” jest za szeroka. Hipotezy rate limit, zapad napięcia/back-EMF, podatny mod i błąd synchronizacji przewidują inne zależności od amplitudy, obciążenia, współbieżności i toru pomiarowego.

Karta pomiaru. Rekord MEAS wskazuje wielkość fizyczną, lokalizację czujnika, ramę, znak, pasmo, filtr, próbkowanie, kalibrację, nasycenie, czas i niezależny truth. Horodko omawia cały łańcuch od wielkości mierzonej przez przetwornik i kondycjonowanie po próbkowanie, błąd dynamiczny i analizę opóźnienia; lokalizatory stron są podane w przypisie, aby nie udawać, że cała książka wspiera każde zdanie.^horodko

Karta niepewności. Rekord UNC oddziela rozrzut egzemplarzy, niepewność pomiaru, niedokładność modelu, wariant dyskretny i nieznaną korelację. Wartość typu B z rozkładu prostokątnego może używać $u=\Delta/\sqrt3$, lecz tylko jeśli rzeczywiście przyjęto taki rozkład; współdzielona temperatura lub szyna tworzy zależność, której nie wolno skasować.^wrzesinski Jeżeli decyzja zależy od ogona rozkładu, należy jawnie powiedzieć, czy użyto granicy konserwatywnej, przedziału pokrycia czy wyniku probabilistycznego.

Karta obserwacji i decyzji. OBS nie zawiera interpretacji bez wartości, jednostki, statusu, kanału i niepewności. DEC nie mówi „wygląda dobrze”; stwierdza, które wymaganie dla którego baseline’u przechodzi, zawodzi albo pozostaje nieustalone. Wynik negatywny może być rozstrzygający mimo otwartych przyczyn, jak w gorącym profilu CAS-R1. Wynik pozytywny wymaga domknięcia wszystkich aktywnych ograniczeń.

Karta regresji. REG jest konsekwencją grafu. Zmiana tabeli $B$ uruchamia polaryzację, alokację nominalną i fault cases. Zmiana łącznika uruchamia statyczną podatność i sweep. Zmiana wiązki uruchamia zapad szyny i wspólną moc. Zmiana oprogramowania uruchamia limiter, timing, anti-windup, HIL i recovery. Zmiana montażu albo mechanizmu rozłożenia wymaga ponownego potwierdzenia pozycji i ryglowania; kontekst dają mechanizmy rozkładania i ryglowania, sprężyny i mechanizmy retencyjne oraz tłumienie drgań.

Warstwa cyfrowa wymaga równie rygorystycznego baseline’u. Salauyou i Klimowicz pokazują w konkretnych podrozdziałach połączenie układu operacyjnego i sterującego w FSMD, wykonywanie operacji bloku ASMD w jednym cyklu oraz konieczność jawnego traktowania zegarów generowanych i domen synchronizacji.^fpga-pl Bruno i Eschemann przedstawiają ogólny przepływ od specyfikacji i ograniczeń przez symulację, syntezę i implementację, a następnie budowę samosprawdzającego testbenchu i sprawdzenie wyniku na opisanej platformie książki.^fpga-en Materiały te opisują elementy procesu tworzenia dowodu cyfrowego. Nie dowodzą, że zastosowano FPGA w konkretnym pocisku, ani nie dostarczają nastaw CAS-R1.

Równie ważna jest granica między modelem a obiektem. Gieras pokazuje na konkretnym przykładzie miniaturyzacji, że zmiana skali zmienia udział warstwy przyściennej, tarcia i strat cieplnych, a wprowadzenie do rozdziału badań rozróżnia próby kontrolne od rozwojowych oraz wiąże wariant z odpowiednim stanowiskiem.^gieras Tarnawski opisuje zakres kolejnych analiz, a w zakończeniu wprost przeciwstawia parametry z symulacji parametrom zmierzonym na hamowni i wskazuje potrzebę eksperymentalnego potwierdzenia.^tarnawski W CAS oznacza to: model drugiego rzędu, surogat mocy i syntetyczna macierz $B$ pozostają modelami, dopóki nie zostaną związane z reprezentatywną prawdą dla tego samego baseline’u.

Pakiet CAS łączy się z sąsiednimi dziedzinami przez kontrolowane interfejsy. Architektura zasilania i konwersja energii jest właścicielem szyny, źródła i ochrony; zasilanie, sekwencjonowanie, BIT i testowanie — stanów gotowości i testów; dysze oraz integracja z TVC i układy DACS — odrębnych granic efektora gazodynamicznego. Integracja pocisku z wyrzutnią i platformą przypomina, że stan przedstartowy, interfejs i zwolnienie ograniczeń są częścią baseline’u. Żaden z tych artykułów nie zastępuje rachunku CAS; razem zapobiegają pozostawieniu niewidzialnego interfejsu poza kontrolą.

Z praktyk Dennehy’ego wynikają konkretne kontrole pakietu: ramy i jednostki z best practice 11, cała dynamika z 13, korelacja po anomalii z 14, niezależny truth model z 15, Test As You Fly z 17, test polaryzacji z 18, HITL z 19, kontrola baz danych z 20, telemetria z 21 i przygotowanie ludzi z 22.^dennehy Numer praktyki nie jest oceną ważności. Każda odpowiada innemu sposobowi, w jaki pozornie poprawny wynik może zostać przypisany do złego obiektu albo złej interpretacji.

17. Synteza: karta twierdzenia o zdolności

Przed podpisaniem zdania „CAS spełnia wymaganie” analityk powinien umieć wypełnić następującą kartę bez pustych pól:

1. Twierdzenie: jaki moment lub uogólniona wielkość, w jakiej ramie, ze znakiem, tolerancją i priorytetem?
2. Zakres: jaki wariant HW/SW/tabel/kalibracji, stan lotu, temperatura, obciążenie, fault state i horyzont?
3. Efektor: jaki model zmienia polecenie w siłę lub moment pojazdu, a jaki model daje hinge moment albo inne obciążenie aktuatora?
4. Pozycja i historia: jakie są pozycje bieżące, limity położenia, rate per timestep, opóźnienie i recovery?
5. Napęd: jaki jest bilans momentu, prądu, napięcia/back-EMF, sprawności i tarcia na wspólnych krańcach?
6. Energia: czy przechodzą osobno common power, energia w oknie i temperatura przejściowa?
7. Mechanika: gdzie znajduje się czujnik względem podatności, luzu, łożysk, rygla i obciążenia?
8. Alokacja: jaka wersja $B$, normalizacja wag, residual, kryterium feasibility i wkład efektora utkniętego?
9. Pomiar: który kanał jest niezależną prawdą, jakie są kalibracje, synchronizacja, nasycenia i niepewności?
10. Hipotezy: jakie co najmniej dwie przyczyny przewidują rozróżnialne obserwacje i co je falsyfikuje?
11. Decyzja: czy dowiedziono full tracking, tylko stabilization, funkcji zdegradowanej, czy niczego; jaki zapas pozostał po niepewności?
12. Odwołanie i regresja: jaka zmiana unieważnia twierdzenie i jaki test musi zostać powtórzony?

Numery elementów karty od $1$ do $12$ mają wymiar $1$ i są porządkiem redakcyjnym, nie parametrami CAS-R1. Karta nie narzuca technologii. Może opisać EMA, hydraulikę, powierzchnię aerodynamiczną, TVC albo układ gazodynamiczny, o ile granica dowodu dochodzi do skutku na pojeździe, a publiczne źródło nie jest rozciągane poza własny wariant.

Trzy studia ujawniły trzy różne pułapki. W pierwszym nominalny zapas momentu $0{,}094 \mathrm{N\,m}$ wyglądał dodatnio, lecz konserwatywny budżet dał $-0{,}154 \mathrm{N\,m}$, a osobno zawiodły moc, podatność i gorący horyzont. W drugim małosygnałowy model pozostawał poprawny, ale duże polecenie żądało $1{,}759 \mathrm{rad/s}$ wobec limitu $1{,}40 \mathrm{rad/s}$ i pobudziło lokalny tryb widoczny dopiero w truth sensor. W trzecim punkt statyczny po utracie efektora istniał, lecz wymagał co najmniej $12$ kroków, czyli $0{,}24 \mathrm s$, a stabilizacja w pierwszym kroku straciła zapas po niepewności. Wszystkie liczby są syntetyczne i mają statusy podane w definicji lub studium; nie służą do projektowania ani strojenia broni.

Najważniejszym produktem analizy nie jest wykres ani „wartość pasma”. Jest nim twierdzenie, które można zacytować bez zmiany sensu i odwołać po zmianie jednej kontrolowanej rzeczy. Dla CAS-R1 uczciwe zdanie brzmi: w nominalnym stanie F0 można wykazać niektóre funkcje i dokładnie pokazany krok alokacji po pełnym UNC-ALLOC-01, ale pełną zdolność profilu odwołują brak konserwatywnego zapasu momentu, graniczne napięcie, wspólna moc, podatność, gorący stan, rate limiting i brak zapasu po utracie efektora. Nie wolno skrócić go do „aktuator działa” ani rozszerzyć na inny wariant.

Teza końcowa jest zarazem regułą pracy: zdolność CAS nie jest katalogową wartością kąta lub pasma, lecz odwoływalnym twierdzeniem, że w dokładnie wskazanym baseline’ie, stanie lotu i horyzoncie czasowym układ wytworzy żądany moment z wymaganym zapasem po uwzględnieniu efektora, aktuatora, energii, obciążenia, pomiaru, niepewności, opóźnień i uszkodzeń. Jeżeli brakuje choć jednego z tych członów, należy oznaczyć zakres jako nieustalony, a nie wypełniać lukę pewnością stylistyczną.