Układ działający na stole w temperaturze pokojowej dowodzi tylko tego, że jeden egzemplarz w jednym stanie przeszedł określoną próbę. W gotowym wyrobie rezystancje i napięcia progowe mają rozrzut, półprzewodniki różnią się między partiami, obciążenie zmienia się z trybem pracy, temperatura wynika z własnych strat, a starzenie i promieniowanie przesuwają parametry w czasie. Wpływy te nie zawsze dodają się w oczywistym kierunku: mogą się znosić, wzmacniać lub przełączyć obwód do innego reżimu.

Analiza najgorszego przypadku — worst-case analysis lub, dla obwodów, worst-case circuit analysis — ma wykazać, że wymagane funkcje i dopuszczalne obciążenia pozostają zachowane w całym uzasadnionym zbiorze warunków. Nie polega na mechanicznym ustawieniu wszystkich wielkości na maksimum. Najgorsza kombinacja zależy od pytania: warunki minimalizujące poziom sygnału mogą być inne od maksymalizujących temperaturę, czas ustalania albo naprężenie elementu. ECSS-Q-HB-30-01A ujmuje WCA jako dowód marginesów projektowych i zgodności interfejsów na poziomie obwodu oraz podsystemu.1

Zakres i granica bezpieczeństwa

Artykuł objaśnia publiczną metodykę analizy, przykłady ogólnych topologii i interpretację wyników. Nie publikuje schematów, tolerancji, przewidywanych marginesów, konfiguracji testowych ani słabych punktów konkretnego współczesnego uzbrojenia. Szczególnie obwody inicjujące i zabezpieczające materiały energetyczne wymagają kontrolowanej dokumentacji programu.

Nieznanego, uszkodzonego lub odnalezionego zespołu wojskowego nie wolno zasilać, otwierać, podłączać do niego sond, generatorów, interfejsów ani sztucznych obciążeń. Port wyglądający na diagnostyczny może współdzielić funkcję z obwodem inicjującym. Miejsce należy zabezpieczyć i przekazać właściwemu zespołowi EOD. Analizy opisane poniżej wykonuje się na zatwierdzonej dokumentacji i bezpiecznych stanowiskach, nie przez eksperymentowanie z nieznanym sprzętem.

Margines jest odpowiedzią na konkretne pytanie

Punkt nominalny jest potrzebny, ponieważ pokazuje intencję projektu, główne zależności i rząd wielkości. Nie obejmuje jednak rozrzutu ani granic środowiska. Podobnie wartość „typowa” w nocie katalogowej może opisywać reprezentatywny egzemplarz bez gwarancji dla całej produkcji. Z kolei absolute maximum rating jest zwykle granicą, powyżej której może dojść do uszkodzenia; nie gwarantuje poprawnej funkcji tuż poniżej. Mieszanie tych trzech rodzajów danych prowadzi do pozornie precyzyjnej, ale logicznie błędnej analizy.

Trzeba również rozdzielić dwa rodzaje wyniku. Margines funkcjonalny określa odległość przewidywanego wyniku od granicy wymagania — na przykład minimalnego poziomu sygnału, maksymalnego błędu lub dopuszczalnego czasu. Dla wymagania dolnego można zapisać

$$M=y_{WC,min}-L_{min},$$

a dla wymagania górnego

$$M=L_{max}-y_{WC,max}.$$

Dodatni znak oznacza zgodność tylko w zakresie ważności danych i modelu. Margines naprężeniowy porównuje napięcie, prąd, moc, temperaturę lub energię oddziałującą na element z granicą po zastosowaniu wymaganej redukcji obciążenia. Układ może działać poprawnie i zarazem przeciążać część; dodatni margines funkcjonalny nie naprawia ujemnego marginesu naprężeniowego. ECSS-Q-ST-30-11C Rev.2 porządkuje zasady redukcji obciążeń elementów EEE, a ECSS-Q-ST-30C umieszcza WCA w szerszym programie niezawodności.2,3

Od wymagania do wielkości ocenianej

Analiza zaczyna się od wymagania mającego jednostkę, warunki, punkt odniesienia i regułę decyzji. Zdanie „tor ma być dokładny” nie wskazuje, czy oceniany jest błąd wzmocnienia, przesunięcie zera, nieliniowość, błąd po kalibracji czy niepewność całego pomiaru. Zdanie „interfejs ma działać w temperaturze” nie rozstrzyga, w jakim trybie, dla którego stanu zasilania i przy jakim obciążeniu.

Wielkość oceniana (quantity of interest, QoI) jest formalnym mostem między wymaganiem a modelem. Ma dokładną definicję, znak, jednostkę i płaszczyznę interfejsu. Dla jednego obwodu może istnieć kilka QoI: dolny próg przełączenia, górny próg, czas odpowiedzi, maksymalna temperatura i moc elementu. Każda może mieć inną kombinację najgorszego przypadku. Nie istnieje jeden „narożnik całego urządzenia”.

Granica modelu musi pokrywać się z granicą wymagania. Jeżeli analiza kończy się na wyprowadzeniu płytki, a wymaganie dotyczy sygnału u odbiornika, wpływ wiązki, złącza, impedancji źródła i obciążenia musi znaleźć się w tej analizie albo w jawnym budżecie interfejsu. Wpływ nie może zniknąć pomiędzy raportami dwóch zespołów.

Najpierw domena, potem liczby

WCA dotyczy określonej konfiguracji i profilu życia. Rewizja schematu, lista materiałowa, alternatywne komponenty, płytka, kod FPGA lub oprogramowanie wybierające tryb, model cieplny i charakterystyka zasilania tworzą jedną podstawę. Wynik przypisany tylko do tytułu obwodu jest nieodtwarzalny.

Macierz trybów powinna objąć stany ustalone i przejścia: uruchamianie, pracę, czuwanie, zmianę obciążenia, wyłączanie i dozwolone stany zdegradowane. Najgorszy przypadek często występuje przez krótki czas. Powolne narastanie szyny może pozostawić układ analogowy w nieliniowym obszarze; zimny oscylator może opóźnić start; po wyłączeniu gorący element nadal ogrzewa sąsiada. Pominięcie przejść dlatego, że symulacja stałoprądowa jest prostsza, nie jest konserwatyzmem.

Profil życia określa temperaturę, czas, cykle, poziom promieniowania, obciążenia i magazynowanie. Początek życia nie musi być łagodniejszy od końca. Nowy kondensator może mieć mniejszą rezystancję szeregową i pogorszyć tłumienie pętli, podczas gdy po starzeniu większa rezystancja podniesie straty. Największe wzmocnienie elementu może zwiększać podatność na nasycenie, choć jego późniejszy spadek pogarsza czułość. BOL i EOL trzeba więc porównywać dla każdej wielkości ocenianej, a nie zakładać monotoniczne „pogarszanie wszystkiego”.

Rejestr parametrów chroni przed podwójnym liczeniem

Każde wejście modelu powinno mieć znaczenie fizyczne, wartość nominalną, granice albo rozkład, jednostkę, źródło, warunki, grupę korelacji i listę efektów już zawartych w danych. Ta ostatnia informacja jest kluczowa. Gwarantowane minimum i maksimum producenta może już obejmować rozrzut procesu oraz temperaturę. Dodanie do niego ponownie tolerancji produkcyjnej i współczynnika temperaturowego sztucznie rozszerza wynik. Błąd odwrotny powstaje, gdy wartość z temperatury pokojowej zostaje uznana za granicę dla całego życia.

Pochodzenie danych określa ich siłę. Gwarantowany limit obowiązuje w podanych warunkach; wartość typowa wspiera punkt nominalny i analizę czułości, ale nie jest granicą populacji. Dane kwalifikacyjne opisują próbę określonej konstrukcji i liczby partii. Charakterystyka mapuje zachowanie w badanym obszarze, lecz interpolacja jest zwykle lepiej uzasadniona niż ekstrapolacja. Pomiar jednej partii nie dowodzi granic przyszłych dostaw. ECSS-Q-ST-60C Rev.4 i ECSS-Q-ST-60-13C Rev.2 łączą dobór, zakup i kontrolę elementów EEE z identyfikowalnością ich rzeczywistej technologii oraz źródła.5,6

Parametry pochodzące z jednego układu, sieci rezystorowej, partii lub temperatury nie są automatycznie niezależne. Dwa rezystory wykonane na jednym podłożu mogą mieć przeciętną tolerancję bezwzględną, a znacznie lepsze dopasowanie i wspólny dryft. Ustawienie obu na przeciwne skrajności byłoby fizycznie nierealne, jeśli producent gwarantuje śledzenie. Z drugiej strony dwa elementy z niezależnych partii mogą rzeczywiście przyjąć przeciwne granice. Korelacja musi wynikać z konstrukcji lub danych, nie z potrzeby poprawienia marginesu.

Studium przypadku: dzielnik i pozornie konserwatywna suma

Dla dzielnika

$$V_o=V_i\frac{R_2}{R_1+R_2}$$

o błędzie napięcia decyduje przede wszystkim stosunek rezystancji. Jeżeli użyto dwóch oddzielnych elementów, skrajności mogą przesunąć stosunek w niekorzystnym kierunku. Jeżeli zastosowano sieć z gwarantowanym dopasowaniem i wspólnym współczynnikiem temperaturowym, bezwzględna zmiana obu rezystancji w dużej mierze się znosi. Analiza ustawiająca każdy współczynnik osobno na przeciwnej granicy może przewidzieć kombinację, której proces nie wytwarza.

Nie znaczy to, że sieć usuwa wszystkie wpływy. Absolutna wartość nadal określa impedancję węzła, a przez nią błąd od prądu polaryzacji, upływności płytki i pojemności. Wspólna temperatura może być inna od temperatury otoczenia wskutek samonagrzewania sąsiedniej części. Gwarancja dopasowania może obowiązywać w określonym zakresie, lecz nie zawierać starzenia po promieniowaniu. Rejestr parametrów powinien więc wskazać, które błędy są wspólne, które różnicowe i które dotyczą innej funkcji.

Ten przykład pokazuje także różnicę między przedziałem deterministycznym a statystyką. Gwarantowane granice stosunku można propagować bez przypisywania prawdopodobieństwa. Jeśli dostępne są tylko dane pomiarowe populacji, potrzebny jest przedział tolerancji obejmujący określoną część populacji z zadanym poziomem ufności. Przedział ufności średniej odpowiada na inne pytanie i może być bardzo wąski, choć pojedyncze sztuki mają szeroki rozrzut. Nie wolno używać go jako granicy produktu.

Wybór metody zależy od kształtu problemu

Najprostsza metoda ustawia parametry na granicach pogarszających wynik. Działa dobrze, gdy model jest monotoniczny w całej domenie, a przedziały są wiarygodne. Znak wpływu można sprawdzić pochodną

$$c_i=\frac{\partial f}{\partial x_i},$$

lub kontrolowaną różnicą skończoną. Iloczyn $c_i\Delta x_i$ daje lokalną ocenę wkładu i wskazuje parametry zużywające margines. Jeżeli znak zmienia się w domenie, wybranie jednej granicy na podstawie punktu nominalnego nie wystarcza.

Pełne wyliczenie narożników ma koszt rosnący jak $2^n$ i nadal nie gwarantuje maksimum wewnętrznego dla modelu nieliniowego. Dlatego praktyczna hierarchia zaczyna się od rachunku nominalnego oraz czułości, przechodzi do celowanych narożników i przemiatań, a dla krytycznych wielkości używa optymalizacji globalnej, analizy przedziałowej albo próbkowania statystycznego. Każdy kandydat na skrajność trzeba ponownie policzyć pełnym modelem i sprawdzić fizyczną wykonalność kombinacji.

Monte Carlo odpowiada na pytanie probabilistyczne: jaki rozkład wyniku powstaje z określonych rozkładów wejściowych i zależności. JCGM 101 formalizuje propagację rozkładów tą metodą.8 Losowanie nie tworzy jednak wiarygodnych danych wejściowych. Brak awarii w kilku tysiącach prób nie dowodzi ekstremalnie małego prawdopodobieństwa, a dobre pokrycie środka rozkładu nie gwarantuje ogona. Liczba prób i sposób zbieżności muszą odnosić się do ocenianego kwantyla, nie tylko średniej.

Root-sum-square i macierz kowariancji są właściwe dla propagowania standardowych niepewności w modelu lokalnie liniowym:

$$u_c^2(y)=\sum_i c_i^2u^2(x_i)+2\sum_{i<j}c_ic_j\,\mathrm{cov}(x_i,x_j).$$

JCGM 100 podkreśla rolę kowariancji przy łączeniu niepewności.7 Taki wynik nie jest twardą granicą każdego egzemplarza. Zastąpienie deterministycznego wymagania sumą statystyczną wymaga jawnej polityki ryzyka, kontroli populacji i reguły zgodności.

Nieliniowość: najgorszy przypadek może być wewnątrz domeny

Komparator, ogranicznik prądowy, nasycający się wzmacniacz, przełączany zakres i układ z histerezą nie mają jednej lokalnej czułości ważnej wszędzie. W pobliżu progu niewielka zmiana parametru powoduje skok stanu. Przy histerezie wynik zależy także od kierunku oraz historii. Obwód może mieć kilka punktów równowagi, a symulator zbiegający do jednego z nich nie dowodzi, że pozostałe są nieosiągalne.

Problemy te wymagają podziału domeny na reżimy. Osobno sprawdza się warunki wejścia i wyjścia, narastanie oraz opadanie, stan początkowy i przejścia. Nieudana zbieżność symulatora również wymaga klasyfikacji. Może oznaczać wadę modelu lub ustawień numerycznych, ale także realną niestabilność albo przełączenie. Wykluczanie takich uruchomień z tabeli wyników bez wyjaśnienia jest wyborem korzystnych danych, nie analizą.

Studium przypadku: rozruch toru analogowego

W stanie ustalonym wzmacniacz i komparator mogą mieć duży margines. Podczas włączenia napięcia zasilające, odniesienie, polaryzacja wejść i sterowanie przełączników narastają jednak w różnym tempie. Kondensator zachowuje ładunek po krótkiej przerwie, zimny układ odniesienia potrzebuje czasu na osiągnięcie dokładności, a wyjście wzmacniacza może znaleźć się w głębokim nasyceniu. Małosygnałowe pasmo nie opisuje czasu powrotu z tego stanu.

WCA rozruchu nie może więc porównać jedynie dwóch punktów „wyłączony” i „gotowy”. Buduje trajektorie dla uzasadnionych szybkości narastania szyn, kolejności, temperatur, obciążenia i stanu początkowego. Sprawdza, czy wejścia pozostają w dozwolonym zakresie napięcia wspólnego, czy prąd nie płynie niezamierzoną drogą przez zabezpieczenia, czy układ nadzorujący nie zwalnia resetu przed ustaleniem odniesienia i czy po zadziałaniu ograniczenia istnieje droga do prawidłowego stanu.

Najbardziej użytecznym wynikiem jest mapa stanów z warunkami przejścia. Pokazuje, kiedy sygnał jest niewiarygodny, kiedy sterowanie może rozpocząć pomiar, a kiedy wymagany jest powrót do inicjalizacji. Jeżeli zachowanie elementu poniżej gwarantowanego napięcia nie jest określone, nie wpisuje się wygodnej wartości do modelu. Projekt powinien ograniczyć ten obszar, zastosować konserwatywne założenie albo pozyskać dane w bezpiecznym badaniu reprezentatywnej populacji.

Czas i arytmetyka mają własne definicje skrajności

Analiza czasowa rozdziela maksymalne i minimalne opóźnienia. Warunek setup pogarsza najdłuższa ścieżka danych względem zegara, warunek hold — najkrótsza. Zmniejszenie częstotliwości może poprawić pierwszy, lecz zazwyczaj nie usuwa drugiego. Opóźnienia układu, płytki, zegara i interfejsu muszą mieć zgodne płaszczyzny odniesienia. Narzędzie statycznej analizy czasowej zachowuje część zależności procesu wewnątrz układu; ręczne dodanie wszystkich maksymalnych opóźnień może stworzyć nierealny zestaw, a pominięcie połączeń na płytce — wynik optymistyczny.

Jitter losowy, deterministyczny, błąd częstotliwości i starzenie zegara nie są wymiennymi liczbami. Licznik czasu integruje błąd częstotliwości, przetwornik reaguje na chwilowy błąd chwili próbkowania, a interfejs szeregowy na położenie krawędzi w określonym oknie obserwacji. Dwa kanały ze wspólnym oscylatorem dzielą część dryftu, lecz nie opóźnienia buforów i ścieżek. Macierz korelacji zależy więc od tego, czy wymaganie dotyczy czasu absolutnego, różnicy faz czy szerokości impulsu.

W arytmetyce stałoprzecinkowej najgorszy przypadek obejmuje zakres zmiennych pośrednich, wzrost akumulatora, sposób zaokrąglania i zachowanie przy przepełnieniu. Model zmiennoprzecinkowy może potwierdzić algorytm, ale nie dowodzi właściwości implementacji. Kwantyzacja współczynników przesuwa bieguny i zera, a nasycenie daje inny wynik niż zawijanie. Źródła projektowe dotyczące FPGA są tu użyteczne właśnie dlatego, że łączą reprezentację liczb z zasobami i domknięciem czasowym, zamiast traktować kod jak idealną matematykę.11,12

Sprzężenie elektryczno-termiczne zmienia punkt pracy

Straty elektryczne ogrzewają element, temperatura zmienia przewodzenie, upływność, rezystancję, opóźnienie i sprawność, a te ponownie zmieniają straty. Obliczenie mocy dla temperatury otoczenia i późniejsze dodanie temperatury z osobnego modelu może być niewystarczające. Iteracja powinna doprowadzić do wspólnego punktu pracy albo wykazać brak stabilnego rozwiązania.

Przykładem dodatniego sprzężenia jest upływność rosnąca z temperaturą. Jeżeli przyrost wytwarzanej mocy z temperaturą jest większy niż przyrost zdolności odprowadzania ciepła, równowaga staje się niestabilna. Samo znalezienie jednego punktu numerycznego nie wystarcza; trzeba sprawdzić nachylenia i reakcję na zaburzenie. Ograniczenie prądowe może pomóc, ale może też przełączyć układ w inny reżim z cyklicznym restartem.

Temperatura złącza nie jest po prostu temperaturą powietrza plus moc pomnożona przez jedną rezystancję z katalogu. Wartość katalogowa zależy od płytki i warunków przepływu, a odpowiedź przejściowa od czasu impulsu i wielu pojemności cieplnych. Sąsiednie elementy wzajemnie się ogrzewają. Dla krótkiego impulsu znaczenie ma lokalna masa struktury, dla długiego także obudowa i interfejs do platformy. WCA powinna przekazywać rzeczywisty przebieg strat do modelu termicznego, a z niego otrzymywać temperatury do ponownego wyznaczenia parametrów elektrycznych.

Studium przypadku: podtrzymanie zasilania ma dwa marginesy

Energia idealnego kondensatora dostępna między dwoma napięciami wynosi

$$E=\frac12 C\left(V_1^2-V_2^2\right).$$

To równanie szybko ujawnia główną zależność, ale rzeczywisty przypadek obejmuje pojemność zmieniającą się z tolerancją, temperaturą, napięciem polaryzacji i starzeniem, rezystancję szeregową, spadki przewodów, próg odbiornika oraz obciążenie zależne od napięcia. Minimalna energia funkcjonalna może wystąpić dla małej pojemności i dużego obciążenia. Maksymalne naprężenie lub prąd rozruchowy może natomiast wystąpić dla nowej, dużej pojemności i małej rezystancji.

Jedno ustawienie komponentu nie reprezentuje więc obu pytań. Analiza podtrzymania sprawdza czas do przekroczenia dolnej granicy działania, a analiza naprężenia — prąd, temperaturę i obciążenie elementów podczas ładowania oraz zaniku. Kalibracja progu lub sterowanie obciążeniem może poprawić wynik funkcjonalny, lecz nie zmienić fizycznego obciążenia kondensatora i łącznika. Raport powinien zachować te ścieżki oddzielnie.

Model ma rodowód i domenę ważności

Model producenta może być nominalny, narożnikowy, statystyczny albo behawioralny. Etykieta „worst case” bez dokumentacji nie mówi, które procesy, temperatury i obciążenia obejmuje. Model IBIS opisuje zachowanie wejść i wyjść przez tabele oraz pasożyty obudowy, ale nie zastępuje logiki funkcjonalnej. Parametry rozproszenia opisują liniowe porty w dziedzinie częstotliwości; użycie ich poza zakresem, przy dużym sygnale lub bez zachowania płaszczyzny odniesienia jest ekstrapolacją. Jedna rezystancja cieplna nie odwzorowuje pełnego przejścia.

Każdy model powinien mieć źródło, wersję, założenia, konfigurację narzędzia, wyniki sprawdzeń i domenę walidacji. Rachunek ręczny pozostaje ważny, bo kontroluje jednostki, znak i rząd wielkości. Symulacja umożliwia narożniki i nieliniowości. Model systemowy przekazuje wpływy między blokami. Wyniki należy przenosić wraz z warunkami i niepewnością, nie jako pojedynczą liczbę pozbawioną kontekstu.

Weryfikacja pyta, czy równania i kod rozwiązano poprawnie: obejmuje przypadki analityczne, testy jednostkowe, zbieżność, zachowanie energii i regresję po zmianie narzędzia. Walidacja pyta, czy równania reprezentują rzeczywisty mechanizm w zamierzonej domenie. Zgodność jednego punktu nominalnego jest słabym dowodem, bo błędy kilku parametrów mogą się skompensować.

Korelacja powinna sprawdzać nachylenia, nie tylko punkt

Dobry eksperyment zmienia temperaturę, napięcie zasilania, obciążenie albo wybrany element w bezpiecznej, reprezentatywnej konfiguracji. Porównuje wartości i kierunki zmian. Jeśli model trafia w wartość nominalną, lecz przewiduje przeciwny znak czułości, zgodność jest przypadkowa i ekstrapolacja do granicy nie ma podstaw.

Pomiar ma własne obciążenie, pasmo, niepewność i oprzyrządowanie. Sonda może zmienić węzeł wysokiej impedancji, a temperatura komory różnić się od temperatury elementu. Rozbieżność należy przypisać dopiero po sprawdzeniu modelu, stanowiska i konfiguracji wykonanej sztuki. Strojenie modelu na części danych może być uzasadnione, lecz walidacja wymaga innego zbioru. W przeciwnym razie raport pokazuje dopasowanie, nie zdolność przewidywania.

Budżet niepewności powinien być porównany z dostępnym marginesem. Dziesięć cyfr z symulatora nie oznacza dziesięciocyfrowej wiedzy o części. Mały dodatni margines może być formalnie zgodny, a zarazem kruchy wobec niepewności modelu i zmian dostaw. Wynik może wtedy wymagać charakterystyki, większego zapasu, kontroli produkcji lub zmiany projektu.

Kalibracja nie usuwa całego rozrzutu

Kalibracja może skorygować początkowe przesunięcie i wzmocnienie, ale pozostawia rozdzielczość regulacji, niepewność wzorca, błąd stanowiska, resztę algorytmu i późniejszy dryft. Zakres korekcji musi objąć rozrzut produkcyjny z zapasem, a krok umożliwić uzyskanie wymaganej dokładności. Egzemplarz osiągający skrajny kod już na początku nie ma miejsca na starzenie.

Wspólne odniesienie pomiaru i toru korygowanego może stworzyć ślepą plamkę: część błędu znosi się podczas kalibracji, choć pozostaje względem niezależnego świata. Oprogramowanie korygujące temperaturę dodaje błąd sensora, opóźnienie, interpolację i zachowanie poza tabelą. WCA zaczyna się od stanu po kalibracji i prowadzi wszystkie pozostałe wpływy przez życie, zamiast po prostu skreślać tolerancję początkową.

Próg akceptacji powinien mieć świadomy odstęp od granicy projektu. Taki guard band uwzględnia niepewność pomiaru i pożądane ryzyko błędnej decyzji. JCGM 106 omawia rolę niepewności w ocenie zgodności.7 Przesunięcie progu nie tworzy fizycznego marginesu; zmienia ryzyko przepuszczenia i odrzucenia. Reguła musi wskazywać, kto i na jakiej podstawie akceptuje to ryzyko.

Raport jest żywym argumentem technicznym

Dobry raport pozwala odtworzyć decyzję bez kontaktu z autorem. Zaczyna się od zakresu, konfiguracji, profilu życia, wymagań i wielkości ocenianych. Rejestr parametrów wskazuje źródła, zawarte efekty i zależności. Opis modelu pokazuje granice oraz sprzężenia, procedura — kolejność rachunku nominalnego, analizy czułości, narożników, poszukiwania i niepewności. Tabela wyników zawiera wymaganie, przewidywaną wartość, niepewność, margines, dominujące wpływy i status.

Ujemny margines oznacza, że bieżący dowód nie wykazuje zgodności. Można zmienić projekt, uzyskać lepsze dane, formalnie ograniczyć środowisko albo przeprowadzić proces odstępstwa. Nie wolno usuwać niewygodnego narożnika tylko dlatego, że wydaje się mało prawdopodobny, jeżeli wymaganie jest deterministyczne. Nadmierny konserwatyzm również powinien mieć źródło: może prowadzić do większej masy, mocy i nowych ryzyk. Usuwa się go przez wiarygodne granice i korelacje, nie przez arbitralne zawężanie przedziałów.

Pliki wejściowe, skrypt, wersja narzędzia, opcje solvera i ziarno losowania są częścią zapisu. Arkusz kalkulacyjny może być przejrzysty, ale jest podatny na ukryte komórki, stałe i błędy kopiowania. Skrypt ułatwia testy jednostek i regresję, lecz nie gwarantuje poprawności modelu. Niezależny przegląd powinien sprawdzić granice, pochodzenie danych, znaki, korelacje, przypadki niezbieżne i kilka krytycznych wyników inną metodą.

Zmiana konfiguracji zmienia ważność wyniku

Zamiennik o lepszej wartości nominalnej może mieć szerszy rozrzut, gorszy dryft, inną obudowę cieplną albo słabszy model. Zmiana płytki modyfikuje pasożyty i temperaturę, nowa wersja kodu zmienia aktywność oraz czasy, a inny profil użycia — starzenie. Ocena wpływu powinna wskazać konkretne wielkości oceniane, parametry i założenia wymagające ponownego obliczenia.

Identyfikatory wymagań, schematu, listy materiałowej, modeli, skryptów i wyników tworzą cyfrowy łańcuch pozwalający znaleźć zależności. Automatyzacja może ostrzec, że zmieniony element uczestniczy w kilku marginesach, ale potrzebuje zarządzania konfiguracją. Stary raport PDF bez danych wejściowych jest trudny do utrzymania i szybko staje się historyczną opinią.

Pomiary produkcyjne oraz nadzór eksploatacyjny mogą sprawdzać założenia WCA. Trend dryftu poza przewidywaną obwiednią wpływa na całą populację o wspólnej partii i historii, nie tylko na jedną sztukę. Ponowne użycie analizy w nowym programie wymaga zgodności wymagań, obciążenia, środowiska, czasu, komponentów i interfejsów; podobna nazwa funkcji nie wystarcza.

Reguła zamknięcia analizy

WCA można uznać za zamkniętą dopiero wtedy, gdy:

  1. każde istotne wymaganie ma mierzalną wielkość ocenianą, scenariusze i granicę decyzji;
  2. konfiguracja oraz profil życia są jednoznaczne;
  3. wszystkie znaczące parametry mają pochodzenie, zakres i informację o zawartych efektach;
  4. korelacje i wspólne zmienne fizyczne nie zostały pominięte ani policzone podwójnie;
  5. metoda poszukiwania odpowiada monotoniczności, nieliniowości i interpretacji probabilistycznej problemu;
  6. model został zweryfikowany, a jego mechanizm i czułości skorelowane z niezależnym pomiarem w odpowiedniej domenie;
  7. niepewność jest oddzielona od celowego zapasu i uwzględniona w regule decyzji;
  8. ujemne wyniki, nieudane obliczenia i brakujące dane mają formalną dyspozycję;
  9. raport oraz dane wejściowe są powiązane z konfiguracją i podlegają aktualizacji po zmianie.

ECSS-E-ST-20C Rev.2 traktuje marginesy, redukcję obciążeń i analizę najgorszego przypadku jako elementy spójnego procesu inżynierii elektrycznej.4 Największą wartością WCA nie jest zielona tabela. Jest nią wiedza, które parametry naprawdę sterują wynikiem, gdzie model przestaje być wiarygodny i jaką zmianą projektu można usunąć kruchą zależność przed kosztowną kwalifikacją. Analiza jest więc żywym argumentem utrzymywanym razem z wyrobem, a nie jednorazowym rytuałem przed przeglądem.

Źródła