Architektura funkcjonalna kierowanego pocisku rakietowego

Spis treści

1. Od potrzeby operacyjnej do granicy odpowiedzialności
2. Jedna nić śledzenia zamiast katalogu pudełek
3. Pięć widoków architektury i reguła alokacji
4. Dekompozycja funkcji bez pomieszania ról GNC
5. Referencyjna maszyna stanów i źródła uprawnienia
6. Przepływy energii, informacji i działania
7. Kontrakt interfejsowy: czas, ważność, pochodzenie i konfiguracja
8. Budżety: zasób, margines i niepewność
9. Hazard, BIT, FDIR i kontrolowana degradacja
10. Obserwowalność, metrologia i dowód zdarzenia
11. Model ruchu 6-DOF a zintegrowana symulacja GNC
12. Od analizy do V&V i kwalifikacji dowodu
13. Studium I: niespójny rozruch po częściowym zaniku zasilania
14. Studium II: utrata marginesu pętli podczas syntetycznego przejęcia
15. Studium III: poprawna składniowo, lecz przeterminowana aktualizacja z łącza
16. Gotowość przez cykl życia, magazynowanie i nadzór
17. Konfiguracja, zmiana i zasięg regresji
18. Pakiet decyzji i końcowa macierz śledzenia
19. Źródła

Od potrzeby operacyjnej do granicy odpowiedzialności

Kierowany pocisk rakietowy nie staje się systemem dlatego, że w jednej obudowie umieszczono sensor, komputer, źródło energii, napęd i mechanizmy wykonawcze. Staje się nim dopiero wtedy, gdy da się wykazać, że elementy te w określonych warunkach wspólnie realizują wymagany skutek, a w warunkach niewłaściwych nie uzyskują prawa do działania. Architektura funkcjonalna kierowanego pocisku jest dowodzoną umową między wymaganiem, stanem i uprawnieniem do działania, przepływem energii oraz informacji, fizyczną i programową realizacją, zachowaniem po uszkodzeniu i kryterium weryfikacji. Blok należy do architektury dopiero wtedy, gdy wiadomo, jaką funkcję realizuje, kiedy ma prawo działać, skąd zna ważność wejść, jak zachowuje się po błędzie i jaki dowód zamyka wymaganie.

Ta definicja przesuwa uwagę z rysunku pudełek na odpowiedzialność. Schemat pokazujący strzałkę od sensora do komputera nie odpowiada jeszcze na pytania: z jakiej epoki pochodzi pomiar, czy jego czas jest porównywalny z czasem estymatora, kto może unieważnić wynik, co oznacza brak aktualizacji, czy odbiorca rozróżnia „brak danych” od „danych prawidłowych o wartości zero” i jaki zapis z próby potwierdził poprawność. Standard ISO/IEC/IEEE 42010:2022 traktuje opis architektury jako uporządkowaną odpowiedź na obawy interesariuszy, za pomocą punktów widzenia i modeli; nie utożsamia architektury z jednym diagramem.^arch-42010 W niniejszym ujęciu obawami są przede wszystkim: spełnienie funkcji, kontrola uprawnień, bezpieczeństwo, odporność na uszkodzenia i możliwość przedstawienia dowodu.

Punktem wyjścia nie jest nazwa podsystemu, lecz potrzeba operacyjna przełożona na warunki techniczne. Zdanie „system ma być gotowy” jest za słabe. Trzeba ustalić: gotowy do czego, w jakiej konfiguracji, przez jaki czas, przy jakich ograniczeniach środowiskowych, z jakim stanem źródeł energii, jaką jakością danych i które działania nadal mają być zablokowane. Analogicznie „ma przejąć śledzenie” nie mówi, jak rozpoznaje się poprawne przejęcie ani jaką reakcję wywołuje utrata marginesu. Wymaganie bez obserwowalnego kryterium jest życzeniem; test bez wskazanego wymagania jest demonstracją bez znaczenia decyzyjnego.

Granica systemu powinna obejmować nie tylko korpus pocisku. Funkcja może zależeć od informacji lub energii dostarczanej przez wyrzutnię, platformę, wyposażenie naziemne, obsługę, plik konfiguracji, urządzenie testowe albo model użyty do wygenerowania danych. To nie oznacza, że wszystkie te elementy należą do produktu. Oznacza, że architektura musi nazwać ich świadczenia, granice odpowiedzialności i stan, w którym świadczenie jest uznawane za ważne. NASA w podręczniku inżynierii systemów wiąże dekompozycję logiczną z przekształceniem wymagań interesariuszy w uporządkowany zbiór funkcji i relacji, a następnie z syntezą rozwiązań i ich weryfikacją; samo rozdzielenie pudełek nie zamyka tej pętli.^nasa-seh

Granica bezpieczeństwa jest szersza niż granica sterowania. Obejmuje transport, magazynowanie, kontrolę stanu, integrację, próbę, sytuację przerwaną i wycofanie. System safety nie jest kontrolą dodaną na końcu projektu: MIL-STD-882E Change 1 wymaga systematycznego identyfikowania hazardów, eliminowania ich, gdy to możliwe, oraz ograniczania i formalnego akceptowania ryzyka pozostałego w całym cyklu życia sprzętu i oprogramowania.^mil882 Dlatego funkcja „pozostań nieaktywny” może być ważniejsza niż funkcja „wykonaj polecenie”, a fizyczna blokada niezależna od głównego komputera może być elementem architektury mimo braku udziału w nominalnym algorytmie.

Ostrzeżenie bezpieczeństwa. Znalezionego pocisku, części uzbrojenia ani pozornie pustego korpusu nie wolno dotykać, przemieszczać, otwierać ani demontować. Należy się oddalić, ograniczyć dostęp innych osób i powiadomić numer 112 lub Policję, a następnie wykonywać polecenia służb.

Tekst pozostaje na poziomie architektury, diagnozy i weryfikacji. Trzy dalsze studia są autorskimi modelami dydaktycznymi, jawnie fikcyjnymi, syntetycznymi i nieoperacyjnymi. Ich liczby służą wyłącznie do pokazania rachunku śledzenia i nie opisują żadnego realnego wyrobu, sekwencji startowej, progu uzbrajania, protokołu ani algorytmu bojowego.

Jedna nić śledzenia zamiast katalogu pudełek

Wspólnym szkieletem monografii jest macierz:

wymaganie → funkcja → stan/uprawnienie → dane i ich ważność → realizacja fizyczna/oprogramowanie/FPGA → budżet → hazard i reakcja → obserwacja → dowód → decyzja

Termin uprawnienie (ang. authority) oznacza tu udokumentowane prawo do zmiany stanu, nadpisania danych albo pobudzenia wyjścia. Nie jest synonimem priorytetu wiadomości. Źródło o najwyższym priorytecie może utracić uprawnienie po zmianie epoki, wygaśnięciu dzierżawy, zmianie konfiguracji lub przejściu systemu do innego stanu. Z kolei danych bez uprawnienia można użyć diagnostycznie, lecz nie wolno im zmieniać stanu sterującego. W każdym wierszu macierzy przejście do następnej kolumny musi być jawne.

Ogniwo	Pytanie zamykające	Typowy artefakt	Błąd ujawniany przez brak ogniwa
wymaganie	jaki wynik, warunki i granice są wymagane?	REQ-* z kryterium akceptacji	hasło bez testowalnego znaczenia
funkcja	jaka transformacja ma spełnić wymaganie?	drzewo funkcji i wejść/wyjść	nazwa podzespołu zastępuje cel
stan/uprawnienie	kiedy funkcja może działać i kto ją uprawnia?	automat stanów, strażniki, właściciel	poprawne polecenie w niedozwolonym stanie
dane i ważność	skąd wiadomo, że wejście jest aktualne, spójne i właściwego pochodzenia?	kontrakt danych	stara ramka wygląda jak nowy pomiar
realizacja	gdzie funkcję wykonują sprzęt, program, FPGA i dane?	macierz alokacji	„niczyja” funkcja na granicy zespołów
budżet	jak rozdzielono zasób i niepewność?	budżet czasu, energii, fazy, błędu	lokalny zapas nie daje zapasu systemowego
hazard i reakcja	jaki skutek ma błąd i jak system ogranicza ryzyko?	HZ-*, FDIR, stan zdegradowany	automatyczny restart pogarsza sytuację
obserwacja	który kanał odróżni hipotezy?	CH-*, plan akwizycji	log pokazuje skutek bez przyczyny
dowód	jaki wynik i niepewność zamykają kryterium?	EVD-*, raport i surowe dane	„test przeszedł” bez odtwarzalności
decyzja	co wolno wydać, zmienić lub eksploatować?	zapis przeglądu, odstępstwo, konfiguracja bazowa	produkt zmienia się bez oceny regresji

Taka nić śledzenia działa w obie strony. Z wymagania prowadzi do implementacji i próby, ale z anomalii prowadzi od obserwacji przez hipotezę i model do decyzji. Jeśli pomiar napięcia nie ma związku z żadnym hazardem ani kryterium, być może jest zbędny. Jeśli hazard nie ma obserwacji pozwalającej wykryć jego prekursory, reakcja może istnieć tylko na papierze. Jeśli wynik próby nie identyfikuje wersji logiki FPGA i danych kalibracyjnych, nie wiadomo, którego wyrobu dowodzi.

Identyfikator jest częścią znaczenia. REQ-RDY-001, HZ-RDY-01, MOD-RDY-01, kanały CH-RDY-* i dowód EVD-RDY-01 muszą występować w modelu, planie próby, zapisie konfiguracji i końcowej macierzy bez zmiany sensu. Numer nie „dokumentuje” sam z siebie, lecz pozwala wykryć zerwanie śledzenia. Rozgałęzienie jest dopuszczalne: jedno wymaganie może być realizowane przez kilka funkcji, a jeden test może dostarczyć dowodu dla kilku kryteriów. Niedopuszczalne jest ukryte wiele-do-wielu, w którym po wyniku nikt nie potrafi wskazać, co właściwie zaakceptowano.

Architektura nie powstaje więc przez uzupełnienie formularza. Macierz ujawnia pytania, które muszą być rozstrzygnięte w modelach dziedzinowych. Dla zasilania będzie to kolejność narastania szyn i energia podtrzymania; dla sterowania — opóźnienie i margines stabilności; dla danych — czas, epoka i prawo zapisu; dla bezpieczeństwa — hazard, niezależność bariery i skutek wspólnej przyczyny. Wspólna struktura nie usuwa różnic fizycznych, tylko zapewnia, że każdy specjalista kończy pracę dowodem zrozumiałym dla decyzji systemowej.

Pięć widoków architektury i reguła alokacji

Architektura funkcjonalna opisuje co system ma robić i pod jakimi warunkami: pozyskać obserwację, oszacować stan, wyznaczyć ograniczone żądanie, dostarczyć energię, przeprowadzić autokontrolę, zablokować niedozwolone wyjście. Nie przesądza jeszcze, czy funkcję wykona procesor, obwód analogowy, logika programowalna czy mechanizm.

Architektura logiczna opisuje jak role współpracują niezależnie od ostatecznego opakowania: producent i konsument danych, arbitraż, pętle sprzężeń, stany, zależności i punkty izolacji. Jeden komponent logiczny może zostać rozdzielony między kilka urządzeń, a jedno urządzenie może mieścić wiele ról logicznych. Model logiczny jest miejscem, w którym widać, że estymator potrzebuje wspólnej podstawy czasu, a arbiter poleceń — źródła uprawnienia.

Architektura fizyczna odpowiada gdzie i przez co płyną energia, informacja, siła, ciepło i medium: zespoły, wiązki, magistrale, przetwornice, obudowy, łożyskowania, zawory i powierzchnie oddające ciepło. Fizyczna bliskość nie oznacza logicznej wspólnoty, a fizyczne rozdzielenie nie daje automatycznie niezależności, jeżeli kanały mają wspólne zasilanie, zegar, konfigurator lub błąd projektu.

Architektura produktowa opisuje co jest identyfikowalnym elementem konfiguracji: wariant wyrobu, zespół wymienny, wersję płytki, obraz FPGA, pakiet oprogramowania, zbiór parametrów, kalibrację, dokumentację interfejsu i wyposażenie testowe. To ona odpowiada na pytanie, które zestawienie wolno wydać i dla jakiego numeru partii dowód pozostaje ważny.

Architektura programowa opisuje podział odpowiedzialności wykonawczej w kodzie: zadania i ich okresy, przepływ komunikatów, politykę harmonogramowania, własność stanu, inicjalizację, partycjonowanie, obsługę błędów i mechanizmy aktualizacji. „Sterownik sensora” nie może być jednocześnie nieudokumentowanym właścicielem trybu całego systemu. Stan fizyczny powinien mieć jednego rozstrzygającego właściciela logicznego, choć wiele komponentów może go obserwować.

Alokacja wiąże te widoki. Każda funkcja otrzymuje co najmniej cztery pola wykonawcze:

Nośnik realizacji	Odpowiednia rola	Ograniczenie, które trzeba udowodnić
sprzęt fizyczny	przetwarzanie energii, kondycjonowanie sygnału, izolacja, wymuszenie ruchu lub przepływu	tolerancje, zakresy, starzenie, uszkodzenia wspólne
oprogramowanie	estymacja, logika trybów, diagnostyka, ograniczanie i rejestracja	czas najgorszego przypadku, kolejność, kompletność stanów, zachowanie po wyjątku
FPGA	deterministyczne przetwarzanie, interfejsy, znaczniki czasu, arbitraż lub niezależna bramka — tylko jeśli projekt rzeczywiście zapewnia niezależność	reset, domeny zegarowe, ograniczenia czasowe, konfiguracja, dowód równoważności implementacji
dane konfiguracyjne	kalibracje, limity, tablice, mapy wariantów, wersje modeli	pochodzenie, kompatybilność, integralność, zakres stosowalności, możliwość odwołania

FPGA nie jest „sprzętem” w sensie zwalniającym z zarządzania wersją. Funkcję opisuje HDL i ograniczenia czasowe, lecz zachowanie wynika również z syntezy, rozmieszczenia, wyznaczania tras połączeń oraz prymitywów urządzenia i obrazu konfiguracji. Symulacja funkcjonalna może przejść, a implementacja nie dotrzymać czasu; zwolnienie resetu asynchronicznego bez synchronizacji może rozszczepić stan automatu. Salauyou i Klimowicz pokazują przejście od automatów i opisu HDL przez symulację do implementacji oraz raportów czasowych, a Bruno i Eschemann oddzielają przepustowość od opóźnienia, omawiają przejścia między domenami zegara i zalecają asynchroniczne wymuszenie oraz synchroniczne zwolnienie resetu.^{fpga-pl,fpga-handbook} Dowodem funkcji FPGA jest więc zestaw: źródła, ograniczenia czasowe, wersja narzędzia, raport implementacji, obraz konfiguracyjny, jego skrót, konfiguracja urządzenia oraz wynik próby na tej konfiguracji.

Alokację należy negocjować za pomocą ograniczeń, nie preferencji zespołów. Funkcja blokady wyjścia powinna trafić tam, gdzie może zachować wymagane działanie mimo analizowanej awarii. Znacznik czasu powinien powstać możliwie blisko zdarzenia, jeśli opóźnienie kolejki ma znaczenie. Algorytm wymagający częstej zmiany i rozbudowanej arytmetyki może należeć do oprogramowania, ale jego monitor postępu może mieć prostszą realizację. Dane kalibracyjne są częścią funkcji, jeżeli zmieniają transformację sygnału; nie są załącznikiem biurowym.

Dekompozycja funkcji bez pomieszania ról GNC

Łańcuch sterowania najlepiej rozumieć jako serię transformacji z osobnymi kontraktami. Sensor celu wytwarza obserwację zjawiska związanego z celem oraz metadane o jakości, czasie i warunkach obserwacji. Nie jest estymatorem tylko dlatego, że ma własne przetwarzanie. INS — bezwładnościowy system nawigacyjny — wykorzystuje pomiary inercyjne oraz model do podtrzymania oszacowania ruchu własnego; nie mierzy celu. Estymacja łączy obserwacje i model w oszacowanie stanu oraz jego niepewności. Nawigacja określa stan ruchu własnego względem przyjętego układu odniesienia. Naprowadzanie przekształca cel misji i oszacowane stany w żądany kierunek lub ewolucję ruchu. Sterowanie, zwykle przez autopilota, przekształca to żądanie w osiągalne polecenia dla mechanizmów wykonawczych, stabilizując dynamikę obiektu.^{jhu-guidance,jhu-control}

Rozdzielenie jest funkcjonalne, niekoniecznie sprzętowe. Jeden procesor może wykonywać nawigację, estymację i sterowanie, a sensor może zawierać lokalny układ śledzący. Granice nadal muszą być widoczne, ponieważ inne są dane ważności i kryteria: sensor może raportować obserwację dobrą optycznie, lecz zbyt starą dla estymatora; estymator może mieć aktualny wynik, ale z niepewnością wykluczającą przejęcie; autopilot może poprawnie przetwarzać żądanie, którego aktuator nie może już zrealizować z powodu limitu energii lub ruchu.

Aktuator jest funkcją i realizującym ją zespołem, który zamienia polecenie oraz dostępną energię na ruch, siłę, moment albo przepływ. Realizacja elektromechaniczna może zmieniać energię elektryczną w położenie lub moment silnika; hydrauliczna — sterować przepływem i ciśnieniem cieczy; pneumatyczna — wykorzystać energię sprężonego gazu. W każdym przypadku kontrakt obejmuje nie tylko zakres położenia, lecz także szybkość, obciążenie, martwą strefę, nasycenie, energię, temperaturę, stan zwrotny i reakcję po utracie zasilania. Efektor jest elementem, przez który system oddziałuje na ruch lub otoczenie, na przykład powierzchnią aerodynamiczną albo urządzeniem zmieniającym wektor siły. Aktuator porusza efektorem; nie należy tych ról utożsamiać.

Energia i informacja spotykają się właśnie w aktuatorze. Polecenie cyfrowe może być aktualne, a ruch nie wystąpi z powodu spadku ciśnienia. Czujnik położenia może zgłosić prawidłową wartość, choć mechaniczne połączenie z efektorem jest uszkodzone. Dlatego kryterium „polecenie wysłane” nie dowodzi „moment wytworzony”, a lokalny BIT elektroniki nie dowodzi ciągłości mechanicznej. Funkcjonalny łańcuch musi zawierać obserwację skutku na odpowiednim poziomie oraz model niepewności między poleceniem i oddziaływaniem.

Napęd, zasilanie, struktura i gospodarka cieplna nie są usługami pomocniczymi wobec GNC. Zasilanie wyznacza czas dostępności przetwarzania i margines aktuatora. Struktura oraz osłona sensora zmieniają geometrię obserwacji. Napęd i zmiana masy modyfikują dynamikę obiektu, do której dostrojono sterowanie. Model miniaturowego silnika nie przenosi się na inny rozmiar przez prostą skalę: względne straty, wymiana ciepła, luzy i liczby podobieństwa zmieniają znaczenie.^gieras Architektura musi zatem opisywać parametry przekazywane między dyscyplinami i wskazywać, które są mierzone, które obliczone, a które tylko założone.

Referencyjna maszyna stanów i źródła uprawnienia

Poniższy automat MOD-ARCH-01 jest autorskim modelem referencyjnym do nauczania śledzenia. Nie jest opisem żadnego realnego pocisku ani zalecaną sekwencją użycia. Nazwy stanów są abstrakcyjne, a działania energetyczne i nieodwracalne celowo pozostają poza modelem.

Minimalny wektor stanu powinien rozdzielać stan misji od stanu zdrowia i danych:

$$X=\{q, e, s, a, c, d, h\},$$

gdzie: $q$ — stan operacyjny automatu, $e$ — klasa dostępności energii, $s$ — identyfikator sesji rozruchowej, $a$ — aktywne źródło uprawnienia, $c$ — wersja konfiguracji bazowej, $d$ — zbiorczy stan ważności danych, a $h$ — stan zdrowia/degradacji. Zapis „gotowy” bez co najmniej tych rozróżnień ukrywa fakt, że dwa moduły mogą deklarować tę samą etykietę, lecz należeć do różnych sesji albo konfiguracji.

Stan q	Znaczenie dydaktyczne	Dozwolone klasy działania	Inwariant bezpieczeństwa	Status publikowany odbiorcom
Q0_ODŁĄCZONY	brak uznanej sesji i świadczeń	pasywna identyfikacja	wyjścia wymuszające pozostają zablokowane	not_available, przyczyna jawna
Q1_INICJALIZACJA	energia lub konfiguracja nie są jeszcze dowiedzione	start, test pamięci, synchronizacja	żadna lokalna deklaracja gotowości nie otwiera wyjścia systemowego	postęp, session_id, błędy
Q2_WERYFIKACJA	moduły ukończyły start, trwa dowód spójności	BIT, kontrola wersji i danych	potrzebna jest zgodność sesji, konfiguracji i inhibitów	wektor warunków, nie jedna flaga
Q3_GOTOWOŚĆ_OGRANICZONA	spełniono kontrakt do działań odwracalnych	obserwacja, estymacja, testy ograniczone	brak uprawnienia do działań poza zakresem	zakres gotowości i termin ważności
Q4_PRACA_NOMINALNA	aktywny właściciel i komplet świadczeń	funkcje nominalne modelu	każde wyjście ma aktualne uprawnienie i ważne dane	aktywne źródło, jakość, budżety
Q5_PRACA_ZDEGRADOWANA	utracono świadczenie, pozostała kontrolowana zdolność	tylko zatwierdzony podzbiór	ograniczenia degradacji są egzekwowane niezależnie	utracona funkcja, limit i czas
Q6_STAN_BEZPIECZNY	dalsza funkcja nie ma wystarczającej podstawy	rejestracja, komunikacja bezpieczna, jeśli możliwa	wyjścia objęte hazardem są zablokowane	przyczyna, właściciel, trwałość
Q7_USZKODZENIE_TRWAŁE	odzyskanie w bieżącej sesji niedopuszczone	diagnostyka po zdarzeniu	restart nie omija blokady	kod trwały i dowód ostatniego przejścia

Przejście nie jest instrukcją „jeżeli zdarzenie, ustaw stan”. Jest rekordem kontraktu:

Pole przejścia	Treść wymagana w MOD-ARCH-01
zdarzenie	obserwowalny fakt, np. zakończenie testu albo wygaśnięcie danych
strażnik	logiczne warunki wejścia, wersji, energii, wieku, jakości i inhibitów
właściciel	jeden komponent uprawniony do zatwierdzenia przejścia
źródło uprawnienia	kto lub co nadało właścicielowi prawo oraz kiedy ono wygasa
inwariant	własność, która musi pozostać prawdziwa przed, w trakcie i po przejściu
akcja wejścia/wyjścia	odwracalna i jawna zmiana stanu; działania wrażliwe nie są tu specyfikowane
status dla odbiorców	stan, przyczyna, sesja, konfiguracja, jakość i licznik przejścia
dowód	kanały i kryterium pokazujące, że zdarzenie poprzedziło zmianę i strażnik był prawdziwy

Przykładowe, nieoperacyjne przejście TR-ARCH-03 z Q2 do Q3 wymaga zgodnego session_id, zatwierdzonego config_id, stabilnej klasy energii, ważnej podstawy czasu i potwierdzenia niezależnej blokady wyjść. Właścicielem może być arbiter gotowości, lecz źródłem uprawnienia jest zatwierdzony kontrakt konfiguracji, nie sam fakt działania arbitra. Dowód obejmuje zsynchronizowany ślad wejść strażnika i potwierdzenie fizycznej blokady. Jeśli po restarcie tylko jeden moduł wraca do Q2, system nie może pozostać w Q4 na podstawie starych deklaracji innych modułów.

Metoda analizy stanów (State Analysis) rozwijana w JPL zaczyna od stanów fizycznego systemu, ich relacji, pomiarów i poleceń, a dopiero potem przydziela zachowania sterowaniu i oprogramowaniu.^jpl-state Jej najcenniejsza lekcja brzmi: stan nie jest nazwą ekranu ani numerem gałęzi programu. Jest zbiorem własności świata i systemu, które trzeba estymować. Flaga ready=1 może być obserwacją deklaracji modułu, ale nie jest automatycznie dowodem gotowości.

Uprawnienie również ma cykl życia. Powinno mieć źródło, zakres, epokę, czas nadania, warunki wygaśnięcia i ślad odwołania. Odwołanie musi dotrzeć do konsumentów szybciej niż wygasa budżet hazardu, a utrata komunikacji nie może domyślnie utrwalać prawa bez końca. Dwa źródła nie powinny jednocześnie posiadać prawa do zapisu tego samego stanu bez jawnego arbitrażu. W przeciwnym razie wynik zależy od kolejności przybycia wiadomości, a nie od architektury.

Przepływy energii, informacji i działania

Diagram funkcjonalny powinien mieć co najmniej trzy nakładające się sieci. Sieć energii prowadzi od źródła i warunków włączenia przez zabezpieczenia, konwersję, magazynowanie i dystrybucję do obciążeń. Sieć informacji prowadzi od zjawiska fizycznego przez przetwornik, kondycjonowanie, próbkowanie, znacznik czasu, transport, estymację i decyzję. Sieć działania prowadzi od żądania przez ograniczenie, sterownik mocy, aktuator i efektor do zmiany obiektu. Czwartą siecią jest obserwacja diagnostyczna, która przecina trzy pozostałe i pozwala ustalić kolejność przyczyny i skutku.

Przepływ energii nie jest jedynie tabelą średnich poborów. Trzeba znać rozruch, obciążenia impulsowe, prąd wsteczny, rozładowanie magazynów, skutki kolejności szyn, zachowanie przy częściowym zaniku i stan po powrocie. Energia może przenieść się niezamierzoną drogą przez wejście sygnałowe i podtrzymać fragment układu mimo zaniku jego głównej szyny. Wtedy lokalny reset, konfigurator FPGA i procesor widzą różne początki sesji. Analiza nominalnego schematu zasilania bez ścieżek pasożytniczych nie wyjaśni anomalii.

Przepływ informacji ma dwa czasy: czas zjawiska i czas dostępności wyniku. Próbka otrzymuje pięć jednoznacznych znaczników: $t_c$ — utworzenie danych u źródła, $t_q$ — wejście do kolejki nadawczej, $t_s$ — fizyczne opuszczenie źródła, $t_r$ — odbiór u konsumenta oraz $t_u$ — użycie przez estymator. Tworzą one cztery rozłączne odcinki: $t_q-t_c$, $t_s-t_q$, $t_r-t_s$ i $t_u-t_r$. Znacznik nadany po kolejce nie mierzy wieku zjawiska. Wartość bez osi, jednostki i konwencji znaku nie ma pełnej semantyki. Wartość bez niepewności może być użyteczna w regulacji, ale nie pozwala dowieść granicy. Wartość bez pochodzenia nie może bezpiecznie nadpisać stanu.

Przepływ działania musi obejmować dostępny zapas energii i ograniczenia. Polecenie może zostać ograniczone amplitudą, szybkością, położeniem, temperaturą, ciśnieniem lub stanem degradacji. Nasycenie nie jest tylko własnością aktuatora; zamyka ono nieliniową pętlę, w której regulator może nadal kumulować błąd. Dlatego status ograniczenia ma wracać do warstwy decyzyjnej i do telemetrii. „Polecenie wyjściowe” i „polecenie przyjęte po ograniczeniach” powinny być osobnymi kanałami.

Na granicach sieci trzeba wskazać kierunek odpowiedzialności. Dostawca energii deklaruje zakres, jakość i czas dostępności; odbiorca deklaruje obciążenie oraz zachowanie poniżej zakresu. Producent danych deklaruje semantykę, czas, jakość i błędy; odbiorca deklaruje limit wieku i reakcję na brak. Aktuator deklaruje osiągalny skutek oraz status nasycenia; autopilot deklaruje ograniczone żądanie i sposób obsługi niewykonania. Dopiero pary zobowiązań tworzą interfejs — sama lista pinów lub pól wiadomości nie tworzy kontraktu.

Kontrakt interfejsowy: czas, ważność, pochodzenie i konfiguracja

Kontrakt danych powinien pozwolić odbiorcy odpowiedzieć bez domysłów na siedem pytań: co oznacza wartość; w jakich jednostkach, osi i znaku; kiedy powstała; ile ma lat w chwili użycia; jaka jest jej jakość i niepewność; z jakiego źródła oraz epoki pochodzi; czy źródło nadal ma uprawnienie. Do tego dochodzi identyfikator konfiguracji transformacji, która wartość wytworzyła.

Minimalny rekord logiczny można zapisać jako:

$$D=\{v, u, t_c, t_q, t_s, t_r, n, e_s, src, q, cfg, auth\},$$

gdzie $v$ jest wartością, $u$ jej niepewnością lub parametrem jakości, $t_c$ czasem utworzenia danych u źródła, $t_q$ czasem wejścia do kolejki nadawczej, $t_s$ czasem fizycznego opuszczenia źródła, $t_r$ czasem odbioru u konsumenta, $n$ numerem sekwencji, $e_s$ epoką źródła zmienianą po restarcie, src jednoznacznym pochodzeniem, $q$ jakością, cfg wersją konfiguracji, a auth dowodem prawa do użycia. Czas $t_u$ powstaje dopiero u estymatora i należy do zapisu użycia, nie do przesyłanego rekordu. Jest to model dydaktyczny, nie format rzeczywistej ramki.

Wspólna podstawa czasu nie oznacza, że wszystkie zadania muszą wykonywać się równocześnie. Oznacza znaną relację między zegarami wraz z ograniczeniem błędu synchronizacji i regułą na czas jej utraty. Kopetz rozróżnia czas fizyczny, zegary i czas globalny, pokazując, że porządek zdarzeń oraz granice opóźnienia są elementami projektu systemu czasu rzeczywistego, a nie kosmetyką logów.^kopetz Przy przejściu między domenami zegara konieczne są mechanizmy zapobiegające metastabilności i utracie wielobitowej spójności; sama zgodność średnich częstotliwości nie synchronizuje zdarzeń.^{fpga-handbook}

Wiek użyty do decyzji to co do zasady:

$$A=t_u-\widehat{t_c},$$

gdzie $\widehat{t_c}$ jest czasem utworzenia przeliczonym do podstawy odbiorcy. Kryterium nie powinno brzmieć tylko $A\le A_{max}$, bo $A$ jest wynikiem pomiaru. Przy rozszerzonej niepewności $U_A$ konserwatywna reguła może mieć postać $A+U_A\le A_{max}$. Jeśli utracono synchronizację, system powinien przejść na jawnie słabszą granicę wieku albo uznać wiek za nierozstrzygnięty; nie wolno po cichu przyjąć, że lokalne zegary są zgodne.

Numer sekwencji nie zastępuje czasu. Pozwala wykryć powtórzenie lub zmianę kolejności w obrębie epoki, lecz po restarcie źródła licznik może zacząć się od nowa. Epoka nie zastępuje uprawnienia: poprawna ramka z nowej epoki może pochodzić od źródła, które nie ma prawa nadpisania aktywnego stanu. Kryptograficzna lub składniowa poprawność nie dowodzi świeżości ani prawa użycia. Te własności są ortogonalne i powinny dać oddzielne kody odrzucenia.

Jakość nie może być jedną flagą „valid”. Sensowniejszy jest wektor: kompletność, spójność numeryczna, stan sensora, niepewność, wiek, zgodność konfiguracji i użyte ograniczenia modelu. Odbiorca może zaakceptować dane do rejestracji, ale odrzucić je do sterowania; może wykorzystać je do diagnostyki, lecz nie do aktualizacji estymatora. Rozdzielenie klas użycia zapobiega sytuacji, w której jedna bitowa ważność próbuje opisać kilka różnych kontraktów.

Konfiguracja jest częścią danych. Kalibracja osi wykonana dla innej rewizji mechanicznej może być poprawna składniowo i szkodliwa semantycznie. Interfejs powinien zatem przenosić lub umożliwiać odtworzenie cfg_id, identyfikatora modelu, wersji słownika jakości i mapy kompatybilności. Zmiana definicji pola bez zmiany wersji łamie dowody historyczne. Zarządzanie konfiguracją obejmuje identyfikację, kontrolę zmian, ewidencję statusu i audyty; aktualny MIL-HDBK-61B Change 1 przedstawia te praktyki jako wytyczne, ale wyraźnie zastrzega, że sam podręcznik nie jest wymaganiem kontraktowym.^mil61

Odwołanie uprawnienia jest wydarzeniem pierwszej klasy. Jego odbiorca musi potwierdzić zastosowanie albo przejść do stanu, w którym brak potwierdzenia nie tworzy hazardu. Rejestr powinien zawierać: poprzednie i nowe źródło, epokę, przyczynę, czas obowiązywania, konfigurację arbitra i listę konsumentów. W przeciwnym razie analiza po zdarzeniu zobaczy tylko „ostatnią wartość”, bez prawa, na podstawie którego została użyta.

Budżety: zasób, margines i niepewność

Budżet jest rachunkiem odpowiedzialności. Dla wielkości addytywnej zapisuje się go jako sumę wkładów i rezerwę:

$$B_{lim}=\sum_i b_i+M,$$

ale margines $M$ nie jest tym samym co niepewność. Margines to świadomie niezajęta część limitu. Niepewność $u(B)$ opisuje, jak dobrze znamy wkłady i wynik. Jeżeli składniki są niezależne, standardową niepewność złożoną można w modelu liniowym oszacować przez pierwiastek z sumy kwadratów; jeśli są skorelowane, trzeba dodać kowariancje. NIST TN 1297 rozdziela ocenę składników typu A i B, łączenie niepewności oraz niepewność rozszerzoną $U=k u_c$ i wymaga podania wyniku wraz z metodą jego wyznaczenia.^nist-unc

Rzetelny budżet podaje jednostkę, znak, warunek odniesienia, rozkład lub granicę każdego wkładu, korelacje, konfigurację, źródło liczby i właściciela marginesu. Nie wolno jednocześnie schować tej samej rezerwy w kilku elementach i ponownie odjąć jej na poziomie systemowym. Nie wolno też łączyć liniowo granic najgorszego przypadku z niepewnością standardową, jakby miały ten sam sens statystyczny. Wynik powinien być opisany jako nominalny, konserwatywny albo probabilistyczny.

W budżecie energii moc i czas tworzą zapotrzebowanie $E=\int P(t)dt$, ale sprawność konwersji, minimalne napięcie funkcjonalne i energia zgromadzona w elementach reaktywnych zmieniają dostępny zasób. Budżet średniej mocy nie dowodzi przejścia przez zanik o określonym czasie. W budżecie danych suma opóźnień nie wystarcza, jeśli znacznik czasu jest nadany w złym miejscu. W budżecie błędu osiowania lokalne tolerancje mogą być skorelowane przez wspólny bazowy element konstrukcji.

Opóźnienie w pętli sterowania ma szczególnie czytelny skutek fazowy. Dla czystego opóźnienia $e^{-s\tau}$ dodatkowa faza przy częstotliwości $f$ wynosi:

$$\Delta\varphi(f)=-2\pi f\tau\;[\mathrm{rad}]=-360^\circ f\tau.$$

To samo opóźnienie zużywa więc więcej marginesu fazy przy większej częstotliwości. Zdanie „pasmo estymatora jest oddzielone od pasma autopilota” nie jest dowodem stabilności. Trzeba wskazać model otwartej pętli, częstotliwość przecięcia, marginesy z uwzględnieniem opóźnień, niepewności modelu, nieliniowości i zmian konfiguracji. Klasyczne omówienie architektury autopilota i analizy częstotliwościowej dla pocisków przedstawia Jackson; jest ono źródłem metody, nie parametrów dla studiów syntetycznych poniżej.^jhu-control

Margines ma właściciela i warunek wydania. Jeśli zespół estymacji zużywa dodatkowe 8 ms, nie jest to lokalna decyzja, jeżeli opóźnienie wchodzi do budżetu fazy. Jeśli zmiana mechaniczna zwiększa bezwładność, model sterowania i kwalifikacja aktuatora wymagają oceny. Jeśli nowa konfiguracja FPGA zmienia długość potoku, identyfikator funkcjonalny danych może pozostać taki sam, lecz budżet czasu już nie. Architektura zamyka te zmiany w jednym rachunku zamiast pozostawiać je w osobnych raportach.

Hazard, BIT, FDIR i kontrolowana degradacja

Hazard jest stanem lub zbiorem warunków mogących prowadzić do szkody; nie jest nazwą uszkodzonego elementu. „Restart procesora” może być przyczyną, reakcją albo objawem, zależnie od kontekstu. Analiza zaczyna się od skutku systemowego, następnie wskazuje sekwencje przyczynowe, bariery, wspólne przyczyny i dowód skuteczności reakcji. MIL-STD-882E Change 1, sekcje 4.3–4.4 i zadania 201–208, wymagają śledzenia hazardów, ocen ryzyka i weryfikacji środków ograniczających w sprzęcie oraz oprogramowaniu.^mil882

Wbudowany test (built-in test, BIT) jest integralną, zautomatyzowaną zdolnością badanego systemu lub wyposażenia do wykrywania, diagnozowania albo izolowania uszkodzeń. BITE (built-in test equipment) oznacza identyfikowalny sprzęt realizujący funkcję BIT, a więc sprzętowy podzbiór BIT — nie sam wynik i nie całą reakcję systemu. Takie znaczenie ma domenę projektowania testowalności systemów i wyposażenia w MIL-HDBK-2165, dodatek C; zadania 203.2.4–203.2.5 dotyczą zintegrowania systemowego BIT z możliwościami podsystemów oraz przewidywania systemowego poziomu wykrywania i izolowania uszkodzeń.^mil2165 Dokument nie definiuje na tej podstawie reakcji FDIR odpowiedniej dla konkretnego hazardu. BIT może wykryć błąd pamięci, niezgodność konfiguracji albo brak odpowiedzi, lecz jego pokrycie jest ograniczone przez punkt obserwacji, czas wykonania i własne uszkodzenia. Wynik BIT_OK nie znaczy „system sprawny”; znaczy „w tym przebiegu nie wykryto żadnego z błędów objętych tym testem”. Raport powinien identyfikować wersję testu, zakres, stan, sesję, kanały pominięte i niejednoznaczne wyniki.

FDIR — wykrywanie, izolowanie i odtwarzanie po uszkodzeniu (fault detection, isolation and recovery) — wiąże obserwację z decyzją. Wykrycie mówi, że symptom przekroczył kryterium. Izolacja rozróżnia hipotezy na poziomie wystarczającym do wyboru reakcji; nie musi zawsze wskazać pojedynczego komponentu. Odtworzenie lub rekonfiguracja wprowadza system do zatwierdzonego stanu. Projekt podręcznika NASA dotyczącego zarządzania uszkodzeniami podkreśla planowanie tych funkcji w cyklu życia i odróżnia wykrycie, ocenę oraz reakcję; dokument pozostaje projektem z 2012 r., a NASA nadal oznacza go jako „In Progress”, więc jest źródłem metodycznym, nie aktualną normą nakazową.^nasa-fm

Układ nadzorujący (watchdog) wykrywa wybraną klasę braku postępu według zdefiniowanego kontraktu — na przykład brak zmiany kontrolowanego licznika w dopuszczalnym oknie — i inicjuje zdefiniowaną reakcję. NASA Lesson Learned 0559 definiuje jego działanie przez oczekiwanie okresowego sygnału zdrowia oraz reakcję po jego braku, a zarazem pokazuje znaczenie niezależnego ogranicznika czasu; nie wynika stąd pokrycie innych klas błędu.^{nasa-watchdog} Z samego istnienia układu nadzorującego nie wynika ani jego niezależność, ani zdolność „przejęcia systemu”. Monitor taktowany tym samym zegarem, zasilany tą samą szyną lub konfigurowany przez ten sam obraz może ulec tej samej przyczynie. Restart może przywrócić usługę, ale może też powtarzać destrukcyjną sekwencję, utracić dowód źródłowy lub rozszczepić sesje modułów. Wymagane są: model monitorowanego postępu, maksymalny czas wykrycia, reakcja, liczba dopuszczalnych prób, stan po wyczerpaniu prób i osobny dowód niezależności oraz bezpieczeństwa reakcji w granicach analizowanego hazardu.

Reakcję trzeba dobrać do hazardu, nie do wygody implementacji:

Reakcja	Kiedy może być uzasadniona	Czego nie wolno zakładać
odrzucenie próbki	istnieje ważne źródło zastępcze albo model może działać przez ograniczony czas	że utrata danych nie wpływa na niepewność
utrzymanie ostatniej wartości	zmienność sygnału jest ograniczona, czas podtrzymania jawny, a hazard akceptuje tę aproksymację	że „zamrożenie” jest bezwarunkowo bezpieczne; dla sterowania może wytworzyć trwałe żądanie
ograniczenie funkcji	pozostały podzbiór ma osobne kryteria i egzekwowane limity	że stan zdegradowany to ten sam system z gorszą jakością
rekonfiguracja	alternatywa nie dzieli przyczyny i ma aktualną konfigurację	że redundancja nominalna usuwa wspólną przyczynę
restart	stan przejściowy jest bezpieczny, sesje są unieważniane, a powrót ma ograniczoną liczbę prób	że inicjalizacja zawsze jest neutralna
stan bezpieczny	dalsze działanie nie ma wiarygodnej podstawy	że jedna reakcja fizyczna jest bezpieczna dla wszystkich faz cyklu życia

Bezpieczność po uszkodzeniu (fail-safe) oznacza w tym tekście zachowanie krytycznego podzbioru funkcji ograniczającego wskazany hazard. Zachowanie działania po uszkodzeniu (fail-operational) oznacza kontynuowanie zdefiniowanej funkcji w zdefiniowanych granicach. NASA-HDBK-1002, dodatek C, §C.2.7, wiąże oba pojęcia z określoną liczbą i klasą przyczyn oraz ostrzega, że mechanizm tolerancji jest ważny tylko wobec wskazanych uszkodzeń.^nasa-fm Są to więc cele lub strategie względem hazardu, czasu i zbioru uszkodzeń, nie uniwersalne reakcje ani etykiety całego produktu. Ten sam system może zachować działanie wobec chwilowej utraty jednego źródła danych, a przejść do stanu ograniczającego hazard po utracie także własnej podstawy nawigacyjnej. Decyzja wymaga dowodu, że degradacja nie otwiera nowej ścieżki hazardu.

Wspólną przyczynę (common cause) trzeba analizować przez świadczenia. Dwa komputery nie są niezależne, jeśli wspólnie zależą od jednej szyny, jednego zegara, tego samego generatora konfiguracji lub błędnego wymagania. Dwa różne sensory mogą dzielić tę samą osłonę i błąd geometryczny. Różnorodność sprzętu nie usuwa wspólnego modelu. Architektura powinna tworzyć mapę zależności od energii, czasu, danych, mechaniki, środowiska i narzędzi; dopiero ona uzasadnia kredyt bezpieczeństwa za redundancję.^{mil882,nasa-fm}

Obserwowalność, metrologia i dowód zdarzenia

Diagnoza jest możliwa, gdy zestaw obserwacji rozróżnia hipotezy w wymaganym czasie. Telemetria nie może składać się wyłącznie z wyników końcowych. Jeśli pięć modułów publikuje ready, lecz nie publikuje identyfikatora sesji i przyczyny przejścia, zapis nie pokaże, że gotowość powstała w różnych cyklach zasilania. Jeśli śledzimy tylko wyjście autopilota, nie odróżnimy błędnego żądania od nasycenia aktuatora. Jeśli log zawiera czas odbioru, lecz nie czas utworzenia, nie zmierzymy wieku danych.

Kanał pomiarowy otrzymuje identyfikator CH-*, wielkość mierzoną, jednostkę, zakres, pasmo, miejsce czasowego znakowania, rozdzielczość, niepewność, synchronizację i status kalibracji. Należy też wskazać, czy kanał jest częścią produktu, przyrządem zewnętrznym czy wielkością wyprowadzoną. Kanał pośredni może obciążać obwód i zmieniać badane zachowanie; logowanie z procesora, którego postęp jest podejrzany, nie jest niezależnym zegarem zdarzeń.

Łańcuch metrologiczny łączy jasno zdefiniowaną wielkość mierzoną (ang. measurand) z wynikiem i niepewnością. Wynik 4,31 V bez niepewności, pasma i punktu odniesienia nie rozstrzyga, czy przekroczono granicę 4,30 V. Standardowa niepewność typu A pochodzi z analizy statystycznej serii, typu B między innymi ze specyfikacji, świadectw i rozdzielczości; połączenie wymaga modelu pomiaru i korelacji.^nist-unc W badaniach napędu Gieras pokazuje praktyczne przejście od modelu oraz doboru czujników do stanowiska, oceny błędów i konfrontacji obliczeń z pomiarem; niepewność stanowiska jest częścią wyniku, nie gwarancją prawdy absolutnej.^gieras

Dowód zdarzenia wymaga wspólnej osi czasu i przyczynowości. Minimalny rekord obejmuje: czas, identyfikator sesji, źródło, konfigurację, poprzedni i nowy stan, zdarzenie, wartości strażników, wynik, jakość i numer monotoniczny. Bufor powinien zachować okres przed wyzwoleniem i po nim. Jeżeli kanały mają różne opóźnienia pomiarowe, trzeba skorygować lub ograniczyć względny błąd czasu; inaczej kolejność zbocza resetu i zapadnięcia zegara może być artefaktem toru pomiarowego.

Obserwacja ma być minimalna, ale rozstrzygająca. Macierz hipoteza–kanał wskazuje, który symptom przewiduje każda przyczyna. Kanał, dla którego wszystkie hipotezy mają ten sam znak, nie izoluje. Z kolei dokładanie setek nieskoordynowanych sygnałów może pogorszyć analizę: wzrasta objętość, obciążenie, ryzyko utraty próbek i niejednoznaczność konfiguracji. Właściwy zestaw mierzy węzły przed i po granicy podejrzanej transformacji.

„Zmierzono” powinno być zarezerwowane dla wyniku z określonego toru. „Obliczono” oznacza wynik równań z podanymi wejściami. „Przewidziano” opisuje konsekwencję hipotezy lub modelu. „Wywnioskowano” łączy pomiar z modelem. Te kategorie nie są stylistyką: uniemożliwiają przedstawienie przewidywania symulacji jako wyniku próby. Tarnawski wyraźnie oddziela koncepcyjne wyniki CFD od walidacji prototypu i dokumentuje iteracyjne porównywanie wariantów przy jawnych założeniach; jest to dobry wzorzec granic wnioskowania.^tarnawski

Model ruchu 6-DOF a zintegrowana symulacja GNC

Model ruchu o sześciu stopniach swobody — 6-DOF — opisuje translację i obrót bryły w trzech wymiarach. Zawiera kinematykę układów odniesienia, równania sił i momentów, własności masowe oraz model atmosfery i oddziaływań potrzebny do całkowania ruchu. Może być bardzo szczegółowy, ale sam z siebie nie zawiera sensora, estymatora, logiki przejęcia, opóźnień obliczeniowych, ograniczeń aktuatora ani błędów danych.

Zintegrowana symulacja GNC oparta na 6-DOF dodaje do modelu ruchu modele sensora, obserwacji, estymacji, naprowadzania, autopilota, aktuatora, efektora, zasilania istotnego dla dynamiki, czasów wykonania, kolejek i automatów stanów. Hawley i Blauwkamp rozdzielają poziomy wierności na rys. 1, s. 72, a hierarchiczne drzewo modeli pokazują na rys. 2, s. 73; rys. 3 na s. 74 jest wyłącznie diagramem klas Airframe.^jhu-6dof Mówienie „testowaliśmy w 6-DOF” jest więc niepełne: należy podać, które elementy były rzeczywiste, emulowane, idealne albo pominięte.

Model zintegrowany potrzebuje jawnych konwencji. Układy osi, zwrot czasu, znaki kątów, jednostki, sposób transformacji, punkt przyłożenia siły, kolejność obrotów i semantyka opóźnienia muszą być wspólne. Błąd znaku może wyglądać jak niestabilność regulatora; niezgodność czasu może wyglądać jak błąd estymatora; zastosowanie modelu aktuatora bez nasycenia może ukryć mechanizm utraty marginesu.

Wiarygodność modelu jest lokalna. Model identyfikowany w jednym obszarze stanu nie otrzymuje automatycznie ważności w innym. Należy przechowywać zakres zastosowania MOD-*, źródła danych, niepewności parametrów, wersję programu całkującego, krok całkowania, wyniki weryfikacji numerycznej i walidacji względem pomiaru. Rozbieżność model–test może wynikać z błędu modelu fizycznego, implementacji algorytmu, konfiguracji, stanowiska albo pomiaru; model nie jest domyślnie stroną prawdziwą.

Od analizy do V&V i kwalifikacji dowodu

Weryfikacja odpowiada, czy wynik spełnia wyspecyfikowane wymaganie; walidacja — czy przyjęte rozwiązanie odpowiada zamierzonemu użyciu i potrzebie. NASA SE Handbook rozdziela te pytania w §2.4 oraz procesy weryfikacji i walidacji produktu w §§5.3–5.4.^nasa-seh Można poprawnie zaimplementować błędne wymaganie albo zbudować właściwy model fizyczny w nieakceptowanej konfiguracji. Dlatego dowód ma trzy osie: zgodność implementacji, adekwatność modelu i reprezentatywność warunków.

Metody V&V obejmują analizę, inspekcję, demonstrację i test. Analiza budżetu fazy może wskazać konfiguracje ryzykowne, ale potrzebuje potwierdzenia modelu. Inspekcja źródeł i ograniczeń czasowych FPGA może wykryć brak synchronizacji resetu, lecz nie mierzy napięcia na płytce. Demonstracja pokazuje zachowanie w scenariuszu, ale bez kontrolowanych granic nie estymuje marginesu. Test mierzy odpowiedź fizyczną, lecz jego wniosek jest ograniczony przez stanowisko, próbkę i niepewność.

Na potrzeby tej monografii przyjęto poniższy autorski porządek dydaktyczny środowisk. Skróty MIL/SIL/PIL/HIL są tu etykietami stopnia włączenia implementacji i sprzętu, a nie normatywną, jednolitą drabiną branżową. NASA SE Handbook wspiera dobór analizy, inspekcji, demonstracji i testu oraz rozdzielenie weryfikacji od walidacji, ale nie ustanawia tej czterostopniowej taksonomii.^nasa-seh

Poziom	Co jest rzeczywiste	Główne pytanie	Typowy brak
MIL — model w pętli (model-in-the-loop)	modele funkcji i obiektu	czy koncepcja i rachunek są spójne?	czas wykonania, błędy kompilacji, fizyczny interfejs
SIL — oprogramowanie w pętli (software-in-the-loop)	kod docelowej logiki na hoście lub emulacji	czy implementacja programowa zachowuje semantykę?	docelowy harmonogram i wejścia/wyjścia
PIL — procesor w pętli (processor-in-the-loop)	kod na docelowej klasie procesora	czy czas, precyzja i zasoby mieszczą się w budżecie?	pełna elektryka i mechanika
HIL — sprzęt w pętli (hardware-in-the-loop)	wybrane rzeczywiste urządzenia i interfejsy	czy pętla z opóźnieniami i ograniczeniami fizycznymi działa?	pełne środowisko i wszystkie sprzężenia
próba środowiskowa/systemowa	reprezentatywny wyrób i bodźce	czy dowód zachowuje ważność w warunkach cyklu życia?	ograniczona liczba egzemplarzy i scenariuszy

Nie ma zasady, że wyższy poziom unieważnia niższe. MIL umożliwia gęste przemiatanie niepewności, HIL ujawnia prawdziwe opóźnienia, a próba środowiskowa wspólne zależności. Dowód jest argumentem złożonym. Test EVD-* powinien zawierać: wymaganie i kryterium, model oraz jego wersję, wyrób i konfigurację, procedurę, surowe kanały, kalibracje, niepewność, odstępstwa, wynik i zakres, którego wynik nie rozstrzyga.

Plan próby powstaje równolegle z architekturą. Jeżeli przejście stanu nie ma obserwowalnego strażnika, trzeba zmienić obserwowalność albo kryterium przed zamrożeniem projektu. Jeżeli konfiguracja nie daje się jednoznacznie zidentyfikować, nie wolno łączyć wyników. Jeśli test wymaga naruszenia bariery bezpieczeństwa, stanowisko i procedura muszą zawierać równoważną kontrolę ryzyka. Normy środowiskowe są metodami dostosowywanymi do profilu cyklu życia; MIL-STD-810H Change 1 w części pierwszej podkreśla, że nie jest listą prób stosowaną mechanicznie.^mil810

Studium I: niespójny rozruch po częściowym zaniku zasilania

To studium używa modelu MOD-RDY-01 oraz wyłącznie liczb fikcyjnych. Nie opisuje architektury, napięć ani sekwencji żadnego rzeczywistego pocisku. Jego celem jest pokazanie, jak od objawu przejść do kontraktu gotowości.

Wymaganie REQ-RDY-001. Po każdym zdarzeniu, które może naruszyć spójność sesji modułów, system może zgłosić gotowość ograniczoną dopiero wtedy, gdy moduły krytyczne mają ten sam session_id, zatwierdzony cfg_id, ważną podstawę czasu i ukończony zakres BIT, a niezależna bramka potwierdza blokadę wyjść. Kryterium CRT-RDY-01: w całej macierzy warunków syntetycznych nie może wystąpić potwierdzenie gotowości przy rozbieżnej sesji; czas od odzyskania stabilnego wejścia do jednoznacznego wyniku ready albo not_ready ma być nie większy niż fikcyjne $25{,}0 \mathrm{ms}$ z granicą pomiarową $U_t\le0{,}8 \mathrm{ms}$.

Objaw. W przebiegu laboratoryjnym RUN-RDY-017 po zapadzie źródła moduł estymacji opublikował sesję S=104, interfejs FPGA zachował S=103, a arbiter przez $1{,}6 \mathrm{ms}$ zgłaszał poprzednią gotowość. Hazard HZ-RDY-01 brzmi: rozbieżne sesje lub konfiguracje uzyskują wspólne prawo do pobudzenia wyjścia, chociaż ich stan nie został razem zweryfikowany.

Hipotezy i model zależności

Założono: wejście zasila dwa modele przetwornic R5 i R3; konfigurator FPGA korzysta z R3, procesor z R5, oba mają sygnały resetu, a linia komunikacyjna może przewodzić prąd wsteczny. Kolejność dydaktyczna jest następująca: VIN → R5/R3 → reset/zegar → konfiguracja → session_id → BIT → arbiter → bramka wyjść. Nie jest to sekwencja realnego uzbrojenia.

ID hipotezy	Mechanizm	Przewidywany ślad przed skutkiem	Kanały rozstrzygające
HYP-RDY-01	niewłaściwa kolejność szyn	R3 wraca wcześniej niż R5, interfejs zachowuje stan częściowy	CH-RDY-V3, CH-RDY-V5, CH-RDY-SESSION
HYP-RDY-02	reset zwolniony przed ustaleniem szyny	zbocze RST_N poprzedza okno stabilności napięcia	CH-RDY-RST, CH-RDY-V5
HYP-RDY-03	zegar nie osiąga ważności przed startem automatu	flaga CLK_OK zmienia się po zwolnieniu resetu; błędne przejścia bez zmiany obrazu	CH-RDY-CLK, CH-RDY-RST, CH-RDY-STATE
HYP-RDY-04	konfiguracja FPGA jest niepełna lub pochodzi z innego slotu	FPGA_CFG_ID albo skrót obrazu różni się przed rozbieżnością sesji	CH-RDY-CFG, CH-RDY-STATE
HYP-RDY-05	zasilanie wsteczne przez interfejs podtrzymuje fragment domeny	na wyłączonej R3 utrzymuje się napięcie, zależne od podłączenia linii danych	CH-RDY-V3, CH-RDY-IBACK, próba izolacji

MOD-RDY-01 rozszerza automat referencyjny o stany domen: OFF, POWER_UNCERTAIN, RESET_HELD, CLOCK_QUALIFY, CONFIG_VERIFY, SESSION_JOIN, READY_LIMITED, FAULT_LATCHED. Każda domena publikuje nie tylko stan, lecz (session_id, cfg_id, transition_counter, cause). Przejście do SESSION_JOIN jest własnością arbitra; uprawnienie pochodzi z CFG-REF-A, a inwariant INV-RDY-01 wymaga fizycznej blokady GATE=BLOCKED do chwili spełnienia całego kontraktu. Lokalna flaga gotowości modułu jest wejściem, nie uprawnieniem.

Budżet syntetyczny i przewidywania

Założono: w sztucznym modelu obciążenie szyny R5 podczas rozruchu wynosi $P=6{,}0\pm0{,}4 \mathrm{W}$, najdłuższy rozpatrywany brak energii wejściowej $\Delta t=12{,}0\pm0{,}7 \mathrm{ms}$, a sprawność przetwarzania $\eta=0{,}82\pm0{,}03$. Podane ± są granicami modelu, nie niepewnościami standardowymi. Nominalna energia potrzebna po stronie magazynu wynosi:

$$E_{req}=\frac{P\Delta t}{\eta} =\frac{6{,}0 \mathrm{W}\cdot0{,}0120 \mathrm{s}}{0{,}82} =0{,}0878 \mathrm{J}.$$

Obliczono: konserwatywna granica z prostego zestawienia skrajnych wartości to

$$E_{req,max}=\frac{6{,}4\cdot0{,}0127}{0{,}79}=0{,}1029 \mathrm{J}.$$

Fikcyjny magazyn $C=10{,}0 \mathrm{mF}$ o tolerancji $\pm10\%$ może oddać między $5{,}1$ i $4{,}6 \mathrm{V}$, w wariancie najmniejszej pojemności:

$$E_{avail,min}=\frac12\cdot0{,}0090 \mathrm{F}\cdot \left[(5{,}1 \mathrm{V})^2-(4{,}6 \mathrm{V})^2\right] =0{,}0218 \mathrm{J}.$$

Deficyt konserwatywny to $0{,}1029-0{,}0218=0{,}0811 \mathrm{J}$. Rachunek nie służy do doboru elementu; dowodzi tylko, że przy tych sztucznych założeniach podtrzymanie R5 przez całe zdarzenie nie jest wiarygodnym inwariantem. Należy projektować jednoznaczny reset i blokadę, a nie zakładać przetrwanie.

Zakres tego bilansu kończy się na $4{,}6 \mathrm{V}$ i obejmuje wyłącznie energię możliwą do oddania między dwiema wartościami napięcia. Nie jest to model $V(t)$: nie zawiera impedancji źródła ani magazynu, zależności sprawności od napięcia i obciążenia, dynamicznej charakterystyki przetwornicy ani funkcjonalnego progu resetu wraz z niepewnością. Z bilansu nie wolno zatem wyznaczać przebiegu napięcia, chwili resetu ani przyczyny minimum zaobserwowanego poniżej $4{,}6 \mathrm{V}$.

Budżet czasu od odzyskania wejścia zdefiniowano jako: kwalifikacja napięcia $4{,}0\pm0{,}3 \mathrm{ms}$, kwalifikacja zegara $3{,}0\pm0{,}2 \mathrm{ms}$, weryfikacja konfiguracji $7{,}0\pm0{,}4 \mathrm{ms}$, dołączenie sesji $5{,}0\pm0{,}3 \mathrm{ms}$ i decyzja arbitra $2{,}0\pm0{,}2 \mathrm{ms}$. Nominalnie daje $21{,}0 \mathrm{ms}$ i $4{,}0 \mathrm{ms}$ marginesu do CRT-RDY-01. Przy potraktowaniu podanych granic jako niezależnych rozkładów prostokątnych standardowa niepewność sumy wynosi

$$u_t=\sqrt{\frac{0{,}3^2+0{,}2^2+0{,}4^2+0{,}3^2+0{,}2^2}{3}} =0{,}374 \mathrm{ms},$$

a rozszerzona $U_t=2u_t=0{,}748 \mathrm{ms}$. Konserwatywne $21{,}0+0{,}748=21{,}748 \mathrm{ms}$ pozostawia $3{,}252 \mathrm{ms}$ marginesu. Założenie niezależności trzeba sprawdzić, bo etapy mogą używać wspólnego zegara.

Przewidziano: HYP-RDY-05 ma wytworzyć napięcie resztkowe na R3 przed ponownym wzrostem VIN; HYP-RDY-02 ma dać zbocze resetu w niekwalifikowanym oknie; HYP-RDY-04 ma zmienić CFG_ID bez koniecznej anomalii analogowej. Rozbieżne session_id jest skutkiem wspólnym kilku hipotez i samo nie wskazuje przyczyny.

Pomiar, wniosek i decyzja

Plan EVD-RDY-01 używa wspólnego wyzwolenia i kanałów: CH-RDY-VIN, CH-RDY-V5, CH-RDY-V3 w woltach; CH-RDY-IBACK w miliamperach; CH-RDY-RST i CH-RDY-CLK jako zdarzenia z czasem; CH-RDY-CFG, CH-RDY-SESSION, CH-RDY-STATE oraz CH-RDY-GATE jako stan niezależnej bramki. Analogowe czasy mają rozszerzoną niepewność synchronizacji $0{,}20 \mathrm{ms}$, zdarzenia cyfrowe $0{,}12 \mathrm{ms}$, a wzajemna granica po korekcji wynosi $0{,}25 \mathrm{ms}$.

Zmierzono: w RUN-RDY-017 syntetyczne VIN pozostawało poniżej modelowego zakresu przez $7{,}80\pm0{,}25 \mathrm{ms}$; R5 osiągnęła minimum $4{,}31\pm0{,}06 \mathrm{V}$, a na nominalnie wyłączonej R3 było $0{,}42\pm0{,}04 \mathrm{V}$. Po odłączeniu linii interfejsowej napięcie resztkowe spadło poniżej rozdzielczości $0{,}03 \mathrm{V}$. Reset procesora zadziałał, interfejs FPGA nie zmienił licznika sesji, a CFG_ID pozostał zgodny z CFG-REF-A. Zegar uzyskał CLK_OK przed zwolnieniem resetu z zapasem $1{,}10\pm0{,}25 \mathrm{ms}$.

Minimum $4{,}31\pm0{,}06 \mathrm{V}$ leży poza zakresem powyższego bilansu kończącym się na $4{,}6 \mathrm{V}$. Jest obserwacją anomalii, nie wynikiem tego modelu energetycznego. Powiązanie minimum z resetem lub wskazanie jego przyczyny wymaga osobnego modelu dynamicznego zawierającego wymienione impedancje, charakterystyki i próg funkcjonalny; takiego modelu w MOD-RDY-01 nie dodano.

Wywnioskowano: wynik wspiera HYP-RDY-05, ponieważ napięcie resztkowe zależało od obecności konkretnej drogi interfejsowej, i osłabia HYP-RDY-03 oraz HYP-RDY-04 w tym przebiegu. Rozbieżność sesji jest skutkiem częściowego podtrzymania domeny, nie dowodem błędnego obrazu FPGA. HYP-RDY-01 i HYP-RDY-02 pozostają możliwe dla innych kształtów zapadu.

Nie rozstrzygnięto: czy ścieżka wsteczna powstaje wyłącznie w elemencie interfejsowym, czy także przez zabezpieczenie pomiarowe; próba odłączenia zmienia topologię i nie lokalizuje pojedynczego komponentu. Nie rozstrzygnięto też korelacji czasów kwalifikacji w skrajnej temperaturze.

Status dowodu: RUN-RDY-017 nie zawiera zmierzonego czasu od odzyskania stabilnego wejścia do wyniku ready/not_ready, nie zawiera też wyniku obserwacji stanu niezależnej bramki ani wstrzyknięcia wspólnej przyczyny obejmującej jej zasilanie, zegar i konfigurację. EVD-RDY-01 jest więc dowodem częściowym przydatnym do diagnozy, lecz pozostaje niezamknięty, a CRT-RDY-01 nie został wykazany.

Zdecydowano: kontrakt REQ-RDY-001 nie opiera się na utrzymaniu energii ani sumie lokalnych flag. Każde podejrzenie utraty spójności ma unieważniać wspólną sesję; arbiter ma wymagać ponownego dołączenia wszystkich krytycznych modułów, a wyjście ma pozostawać blokowane przez bramkę niezależną od ich deklaracji aż do potwierdzenia spójności. „Niezależna” znaczy tu wyłącznie niezależna w granicach HZ-RDY-01: osobno obserwowana i niewymagająca poprawnego stanu podejrzanych modułów. Ponieważ jej stan i odporność na wspólne zasilanie, zegar oraz konfigurację nie zostały wykazane, wydanie CFG-REF-A zostaje odrzucone i zablokowane do czasu uzupełnienia EVD-RDY-01 o brakujący pomiar czasu, stan bramki i próbę wspólnej przyczyny. Projekt otrzymuje zadanie ograniczenia prądu wstecznego, lecz przyszły dowód gotowości nie może zakładać skuteczności tylko tej poprawki.

Macierz regresji REG-RDY-01:

Temperatura syntetyczna	Wejście	Konfiguracja	Zaburzenie	Kryterium
$-20^\circ\mathrm{C}$, $+20^\circ\mathrm{C}$, $+55^\circ\mathrm{C}$	dolna, nominalna, górna granica modelu: 22, 28, 32 V	FPGA F1/F2 × oprogramowanie S1/S2	pełne skrzyżowanie: zapad krótki, graniczny lub długi × powrót monotoniczny albo z odbiciem	brak gotowości przy różnych sesjach; GATE=BLOCKED; wynik w czasie CRT-RDY-01

Sześć przebiegów zaburzenia to: krótki–monotoniczny, krótki–z odbiciem, graniczny–monotoniczny, graniczny–z odbiciem, długi–monotoniczny i długi–z odbiciem. Pełny iloczyn ma zatem $3\cdot3\cdot4\cdot6=216$ kombinacji przed powtórzeniami. W każdej zapisuje się CFG_ID, wzorzec zaburzenia i wszystkie wymienione kanały studium. Jednoznaczny test regresyjny brzmi: sztucznie zachować sesję jednego modułu po zaniku i potwierdzić, że arbiter odrzuca gotowość, niezależna bramka pozostaje zamknięta, czas decyzji spełnia CRT-RDY-01, a uzupełniony zapis EVD-RDY-01 wiąże decyzję z REQ-RDY-001 i HZ-RDY-01. Dopóki ten wynik oraz próba wspólnej przyczyny nie istnieją, regresja jest planem zamknięcia, a nie dowodem wydania.

Studium II: utrata marginesu pętli podczas syntetycznego przejęcia

To studium używa abstrakcyjnego przejęcia między dwoma źródłami obserwacji. Nie zawiera prawa naprowadzania, współczynnika bojowego, rzeczywistej charakterystyki sensora, częstotliwości ani osiągów jakiegokolwiek uzbrojenia. Model MOD-HO-01 służy wyłącznie do pokazania, że przejście stanu jest zmianą zamkniętej pętli, a nie podmianą etykiety danych.

Wymaganie REQ-HO-001. Przejęcie może otrzymać uprawnienie dopiero wtedy, gdy nowe źródło ma zgodny układ odniesienia i czas, znaną niepewność, ograniczony wiek, a zintegrowana pętla zachowuje zatwierdzony margines przy ograniczeniach aktuatora. Kryterium dydaktyczne CRT-HO-01: w fikcyjnym modelu rodziny konfiguracji najgorszy dolny margines fazy ma wynosić co najmniej $30^\circ$, polecenie nie może przebywać w nasyceniu dłużej niż $5\%$ badanego okna, a przejście bez spełnionych strażników ma zostać odrzucone.

Objaw. W RUN-HO-023 bezpośrednio po przejęciu błąd obserwacji wzrósł z syntetycznej wartości RMS $0{,}80 \mathrm{mrad}$ do $2{,}70 \mathrm{mrad}$, a sygnał CH-HO-SAT był aktywny przez $38\%$ okna analizy. Hazard HZ-HO-01: przejście wprowadza pętlę w obszar małego lub ujemnego marginesu i ograniczenia aktuatora, przez co żądanie oraz odpowiedź przestają pozostawać pod kontrolą przyjętego modelu.

Jawny model pętli i hipotezy

Założono: MOD-HO-01 składa się z kolejnych bloków: sensor → estymator → logika przejęcia → funkcja naprowadzania zastępcza → autopilot → ogranicznik → aktuator → obiekt 6-DOF → geometria obserwacji → sensor. „Funkcja naprowadzania zastępcza” jest liniowym generatorem bodźca laboratoryjnego, nie algorytmem bojowym. Opóźnienia każdego bloku są jawne, a aktuator zawiera nasycenie amplitudy i szybkości.

W symulacji stosuje się prawoskrętny układ laboratoryjny: oś $x_L$ jest osią nominalnego ruchu modelu, $y_L$ dodatnim poprzecznym kierunkiem obserwacji, $z_L=x_L\times y_L$. Dodatni błąd $e_y$ oznacza obserwację przesuniętą ku $+y_L$; dodatnie polecenie ma w modelu wywołać dodatnie przyspieszenie poprzeczne. Kąty są w radianach, raportowane pomocniczo w miliradianach, czas w sekundach, opóźnienia w milisekundach, częstość $f$ w hercach, a pulsacja $\omega=2\pi f$ w radianach na sekundę. Wszystkie bloki używają tego samego czasu monotonicznego; wejście do estymatora jest znakowane w chwili obserwacji, nie po przetworzeniu.

ID hipotezy	Mechanizm	Przewidywanie odróżniające	Kanały
HYP-HO-01	niedoszacowana niepewność nowego źródła	innowacja rośnie przed poleceniem, a znacznik jakości pozostaje zbyt dobry	CH-HO-INNOV, CH-HO-COV, CH-HO-REQ
HYP-HO-02	dodatkowe opóźnienie estymatora	przesunięcie fazowe rośnie proporcjonalnie do częstotliwości, bez stałego błędu osi	CH-HO-TC, CH-HO-TE, analiza fazy
HYP-HO-03	błąd osłony sensora zależny od warunku obserwacji	reszta koreluje ze zmienną osłony, również przy małych poleceniach	CH-HO-DOME, CH-HO-INNOV
HYP-HO-04	limit amplitudy lub szybkości aktuatora	polecenie ograniczone różni się od żądania, a błąd rośnie po wejściu w limit	CH-HO-REQ, CH-HO-LIM, CH-HO-POS, CH-HO-SAT
HYP-HO-05	nieaktualny model dynamiki obiektu	odpowiedź fizyczna ma inną częstość lub wzmocnienie mimo zgodnego sensora i braku limitu	CH-HO-RATE, CH-HO-ACC, CH-HO-MODEL

Model stanu przejęcia ma stany HO_CANDIDATE, HO_COMPARE, HO_BLEND, HO_ACTIVE, HO_ABORT i HO_DEGRADED. Właścicielem przejścia jest arbiter źródła. Uprawnienie pochodzi z aktywnej konfiguracji CFG-REF-A i ważnego rekordu źródła, a nie z pierwszej poprawnej składniowo próbki. Strażniki obejmują zgodność czasu i osi, górną granicę niepewności, wiek, brak trwałego nasycenia oraz ważność MOD-HO-01. Inwariantem INV-HO-01 jest zachowanie ograniczonego, ciągłego żądania na wejściu autopilota także przy anulowaniu przejęcia. Status dla odbiorców zawiera fazę przejścia, źródło, epokę, jakość, wiek, zapas aktuatora, identyfikator modelu i przyczynę odrzucenia.

Rachunek opóźnienia i marginesu

Założono: model bez dodatkowego opóźnienia estymatora ma przy syntetycznej częstotliwości przecięcia $f_c=6{,}0 \mathrm{Hz}$ margines fazy $58{,}0^\circ$. Budżet rezerwuje $8{,}0^\circ$ na niepewność dynamiki i $6{,}0^\circ$ na zmiany konfiguracji. Podejrzane dodatkowe opóźnienie wynosi $\tau=12{,}0\pm1{,}2 \mathrm{ms}$, gdzie granica ± jest konserwatywna.

Przewidziano z założenia budżetowego: dla $\tau=12{,}0\pm1{,}2 \mathrm{ms}$, z $\Delta\varphi=-360^\circ f\tau$:

Syntetyczny punkt	Faza nominalna od $12{,}0$ ms	Granica od $1{,}2$ ms	Najbardziej ujemna faza
$f=3{,}0 \mathrm{Hz}$	$-12{,}96^\circ$	$\pm1{,}30^\circ$	$-14{,}26^\circ$
$f=6{,}0 \mathrm{Hz}$	$-25{,}92^\circ$	$\pm2{,}59^\circ$	$-28{,}51^\circ$
$f=9{,}0 \mathrm{Hz}$	$-38{,}88^\circ$	$\pm3{,}89^\circ$	$-42{,}77^\circ$

Przy $f_c$ przewidywany nominalny margines resztkowy po rezerwach wynosi

$$M_{\varphi,nom}=58{,}0^\circ-8{,}0^\circ-6{,}0^\circ-25{,}92^\circ =18{,}08^\circ,$$

a przewidywany konserwatywny $58-8-6-28{,}51=15{,}49^\circ$. Oba są mniejsze od CRT-HO-01 = 30°. Są to wartości predykcyjne, a nie wynik RUN-HO-023. Nawet gdyby „pasma” nominalnych bloków wydawały się rozdzielone, opisany budżet nie pozwala zaakceptować przejścia. Ten rachunek izoluje wkład czystego opóźnienia; nie dowodzi pełnej stabilności układu nieliniowego i nie obejmuje przesunięcia częstotliwości przecięcia po nasyceniu.

Dla pomiaru opóźnienia w czterech etapach przyjęto standardowe niepewności: znacznik sensora $0{,}20 \mathrm{ms}$, synchronizacja $0{,}35 \mathrm{ms}$, znacznik wyjścia estymatora $0{,}25 \mathrm{ms}$ i dopasowanie zdarzeń $0{,}30 \mathrm{ms}$. Przy założeniu niezależności

$$u_\tau=\sqrt{0{,}20^2+0{,}35^2+0{,}25^2+0{,}30^2} =0{,}561 \mathrm{ms},\qquad U_\tau=2u_\tau=1{,}12 \mathrm{ms}.$$

Jest to bliskie konserwatywnemu założeniu $1{,}2 \mathrm{ms}$, ale różnica $1{,}20-1{,}12=0{,}08 \mathrm{ms}$ nie jest dowodem poprawności założenia o niezależności ani rezerwą na nieznane korelacje. Ewentualne kowariancje wymagają osobnej oceny i aktualizacji $U_\tau$.

Przewidziano: HYP-HO-02 powinna dać niemal liniowy z $f$ przyrost ujemnej fazy. HYP-HO-04 przewiduje rozdzielenie CH-HO-REQ i CH-HO-LIM przed wzrostem błędu. HYP-HO-03 nie musi dawać takiej zależności fazowej, za to pozostawi korelację reszty z CH-HO-DOME. HYP-HO-05 zmieni odpowiedź także przy sztucznie ominiętym przejęciu i małych amplitudach.

Zsynchronizowana obserwacja i decyzja

Margines fazy wyznacza się w analizie/MIL z jawnej charakterystyki otwartej pętli $L(j\omega;\theta)$. Częstotliwość przecięcia $f_c$ jest punktem, w którym $|L(j2\pi f_c)|=1$; obwiednia parametru $\theta$ obejmuje niepewność modelu i identyfikacji. Pobudzenie pozostaje małosygnałowe i w zadeklarowanym zakresie liniowym, bez nasycenia amplitudy ani szybkości. Wynik dolny powstaje przez przemiatanie tej obwiedni oraz dodanie zmierzonego opóźnienia z jego niepewnością. HIL nie służy tu do bezpośredniego „pomiaru marginesu fazy”: waliduje opóźnienia, synchronizację, ograniczenia i nasycenie, przejścia stanu oraz anulowanie przejęcia. Jeżeli HIL ujawni nieliniowość albo przesunięcie punktu przecięcia poza zakres identyfikacji, wynik MIL traci ważność i wymaga aktualizacji modelu.

Plan EVD-HO-01 rejestruje: czas utworzenia obserwacji CH-HO-TC, czas wyniku estymatora CH-HO-TE, innowację CH-HO-INNOV w mrad, macierz lub miarę niepewności CH-HO-COV, zmienną warunku osłony CH-HO-DOME, błąd CH-HO-ERR, żądanie CH-HO-REQ, polecenie po ograniczeniu CH-HO-LIM, stan nasycenia CH-HO-SAT, położenie CH-HO-POS, prędkość kątową CH-HO-RATE, przyspieszenie CH-HO-ACC i model_id w CH-HO-MODEL. Wszystkie próbki mają wspólną epokę, sekwencję i jakość. Analiza częstotliwościowa zapisuje charakterystykę $L$, punkt przecięcia, zakres małosygnałowy, wersję identyfikacji i obwiednię niepewności.

Zmierzono: w fikcyjnym HIL dla RUN-HO-023 opóźnienie od obserwacji do wyniku estymatora wyniosło $12{,}4\pm1{,}12 \mathrm{ms}$ przy $k=2$. CH-HO-LIM osiągnął limit szybkości $4{,}0\pm0{,}1 \mathrm{ms}$ przed maksymalnym wzrostem CH-HO-ERR; znacznik nasycenia zajmował $38\%$ okna. Po zastąpieniu estymatora źródłem o opóźnieniu $2{,}0\pm0{,}4 \mathrm{ms}$ i zachowaniu tego samego modelu obiektu nasycenie spadło do $3\%$, a błąd RMS do $0{,}95 \mathrm{mrad}$. Nie wykryto istotnej korelacji reszty z CH-HO-DOME w zakresie tej próby.

Obliczono z wyniku pomiarowego: górna granica opóźnienia wynosi $12{,}4+1{,}12=13{,}52 \mathrm{ms}$. Przy $f_c=6{,}0 \mathrm{Hz}$ zmierzona wartość średnia wnosi

$$\Delta\varphi_{pom}=-360^\circ\cdot6{,}0 \mathrm{Hz}\cdot0{,}0124 \mathrm{s} =-26{,}784^\circ,$$

a rozszerzona granica wkładu fazowego wynosi

$$U_\varphi=360^\circ\cdot6{,}0 \mathrm{Hz}\cdot0{,}00112 \mathrm{s} =2{,}4192^\circ.$$

Najbardziej ujemny wkład to zatem $-26{,}784^\circ-2{,}4192^\circ=-29{,}2032^\circ$, a wynikowy dolny margines

$$M_{\varphi,pom}=58{,}0^\circ-8{,}0^\circ-6{,}0^\circ-29{,}2032^\circ =14{,}7968^\circ\approx14{,}80^\circ.$$

To wartość dowodowa użyta w decyzji; przewidywane $15{,}49^\circ$ pozostaje wyłącznie zapisem prognozy.

Wywnioskowano: chronologia wspiera HYP-HO-02, a nasycenie jest wtórnym mechanizmem wzmacniającym zgodnym z HYP-HO-04, nie pierwotnym dowodem uszkodzenia aktuatora. Próba osłabia HYP-HO-03 w sprawdzonym zakresie. Poprawa po zmianie samego opóźnienia osłabia HYP-HO-05, lecz go nie eliminuje poza zakresem pobudzenia.

Nie rozstrzygnięto: czy rozkład opóźnienia ma długi ogon przy maksymalnym obciążeniu procesora i czy korelacja pomiędzy znacznikami zmniejsza lub zwiększa $U_\tau$. Nie rozstrzygnięto zachowania modelu obiektu poza liniowym zakresem identyfikacji. Dlatego pojedynczy udany HIL nie zamyka rodziny przypadków.

Zdecydowano: HO_ACTIVE nie otrzymuje uprawnienia na podstawie samego potwierdzenia nowego źródła. Strażnik wymaga górnej granicy opóźnienia, jakości obserwacji, zgodności modelu i zapasu aktuatora. Przejście używa ograniczonego, ciągłego łączenia żądań; po naruszeniu strażnika trafia do HO_ABORT, a nie utrwala ostatniego polecenia. Konfiguracja o opóźnieniu zmierzonym w RUN-HO-023 jest odrzucona na podstawie marginesu $14{,}80^\circ<30^\circ$ oraz nasycenia $38\%>5\%$. Zmiana modelu albo harmonogramu jest dopuszczalna dopiero po ponownym budżecie i regresji.

Regresja REG-HO-01:

Poziom	Wstrzyknięcia i przemiatanie	Obserwacja	Warunek zaliczenia
MIL	opóźnienie, niepewność źródła, błąd osłony, wariant dynamiki	jawne $L(j\omega;\theta)$, $f_c$, zakres liniowy i obwiednia niepewności	dolny margines $\ge30^\circ$ w deklarowanym zakresie
SIL	kolejki, kolejność próbek, utrata jakości, anulowanie przejścia	identyczność stanów i uprawnienia	brak przejścia przy fałszywym strażniku
PIL	czas najgorszego przypadku, obciążenie, precyzja numeryczna	CH-HO-TC, CH-HO-TE, termin wykonania, konfiguracja	górna granica opóźnienia w budżecie
HIL	ograniczenia rzeczywistego laboratoryjnego aktuatora i wejść/wyjść	CH-HO-REQ, CH-HO-LIM, CH-HO-POS, CH-HO-SAT; znaczniki przejść i anulowania	nasycenie $\le5\%$, brak nieciągłości; zgodne opóźnienie, synchronizacja i reakcja HO_ABORT

Test końcowy w każdej warstwie powtarza ten sam scenariusz przejęcia oraz hipotezy HYP-HO-01–HYP-HO-05; zmienia się tylko fizyczność bloków. Dowód EVD-HO-01 jest ważny wyłącznie dla zapisanych MOD-HO-01, CFG-REF-A i granic niepewności.

Studium III: poprawna składniowo, lecz przeterminowana aktualizacja z łącza

Studium dotyczy abstrakcyjnego kanału danych. Nie podaje nazw realnych ramek, poleceń, protokołów ani progów współczesnego uzbrojenia. MOD-DATA-01 pokazuje, dlaczego integralność składniowa nie zastępuje świeżości, pochodzenia i uprawnienia.

Wymaganie REQ-DATA-001. Estymator może użyć aktualizacji zewnętrznej tylko wtedy, gdy źródło jest rozpoznane i uprawnione, epoka źródła jest aktywna, numer sekwencji jest nowy w tej epoce, a górna granica wieku danych nie przekracza syntetycznego limitu. Kryterium CRT-DATA-01: żadna ramka z poprzedniej epoki, stara lub powtórzona sekwencja ani dane bez uprawnienia nie mogą nadpisać stanu; dla danych dopuszczonych zachodzi $A+U_A\le100 \mathrm{ms}$ w modelu dydaktycznym.

Objaw. W RUN-DATA-031 estymator przyjął ramkę poprawną składniowo i integralnościowo, której pole czasu wyglądało na świeże po restarcie źródła, lecz treść pochodziła ze starej kolejki. Hazard HZ-DATA-01: stara lub pochodząca z nieuprawnionego źródła aktualizacja nadpisuje lepszy stan, a system traktuje spadek jakości jako poprawę.

Model ważności, hipotezy i budżet wieku

Założono: zapis dowodowy ma postać $(src,e_s,n,t_c,t_q,t_s,t_r,t_u,q,cfg,auth)$. Znaczniki mają jedną semantykę: $t_c$ — utworzenie danych u źródła, $t_q$ — wejście do kolejki nadawczej, $t_s$ — fizyczne opuszczenie źródła, $t_r$ — odbiór u konsumenta, $t_u$ — użycie przez estymator. Akceptacja jest koniunkcją:

$$V=V_{src}\land V_{epoch}\land V_{seq}\land V_{time}\land V_q\land V_{cfg}\land V_{auth},$$

gdzie każdy składnik ma osobny kod odrzucenia. V_seq porównuje numer tylko wewnątrz (src,e_s). V_time wykorzystuje czas utworzenia przeliczony do podstawy odbiorcy. V_auth sprawdza uprawnienie do nadpisania konkretnej klasy stanu, nie ogólny priorytet źródła. Po restarcie źródło musi ogłosić nową epokę i ponownie uzyskać uprawnienie.

Inwariant INV-DATA-01 brzmi: żadna aktualizacja zewnętrzna nie zmienia estymaty, aktywnego właściciela ani zapamiętanej pary (src,e_s,n), jeśli choć jeden składnik $V$ jest fałszywy; po przyjęciu sekwencji $n$ w danej parze (src,e_s) każda sekwencja $n'\le n$ jest odrzucana, a odwołane źródło traci prawo zapisu od chwili obowiązywania odwołania, także dla wiadomości już będących w locie. Przejście do stanu degradacji jest osobną decyzją automatu, nie skutkiem ubocznym odrzuconej próbki.

Model matematyczny traktuje $n$ jako liczbę naturalną bez zawijania. Implementacyjny licznik o skończonej szerokości musi wymusić zmianę epoki i ponowne nadanie uprawnienia przed osiągnięciem wartości granicznej; zawinięcie licznika w tej samej epoce jest wykluczone kontraktem i ma być odrzucone jako błąd konfiguracji.

ID hipotezy	Mechanizm	Przewidywanie	Kanały
HYP-DATA-01	utrata łącza pozostawia ostatnią wartość jako aktywną	nie powstaje nowe $t_r$; wiek ostatnio zaakceptowanej estymaty rośnie wraz z czasem bieżącego użycia	CH-DATA-TR, CH-DATA-TU, status łącza
HYP-DATA-02	kolejka dostarcza starą próbkę po nowszej	rośnie $t_s-t_q$, a sekwencja może przyjść poza kolejnością	CH-DATA-TQ, CH-DATA-TS, CH-DATA-SEQ
HYP-DATA-03	restart źródła zeruje sekwencję lub zegar	zmienia się epoka; liczba czasu może wyglądać na małą i świeżą	CH-DATA-EPOCH, CH-DATA-SEQ, CH-DATA-TC
HYP-DATA-04	rozjazd zegarów fałszuje obliczony wiek	reszta zegarowa rośnie i wspólnie przesuwa wiek wielu ramek	CH-DATA-SYNC, pięć znaczników czasu
HYP-DATA-05	błędny arbiter pozostawia uprawnienie staremu źródłu	dane przechodzą mimo prawidłowego odwołania lub zmiany właściciela	CH-DATA-AUTH, CH-DATA-SRC, log arbitra

Założono — budżet predykcyjny: cztery fikcyjne, rozłączne mechanizmy opóźnienia to utworzenie–wejście do kolejki $b_{cq}=t_q-t_c=12 \mathrm{ms}$, oczekiwanie w kolejce $b_{qs}=t_s-t_q=35 \mathrm{ms}$, transport $b_{sr}=t_r-t_s=30 \mathrm{ms}$ i odbiór–użycie $b_{ru}=t_u-t_r=15 \mathrm{ms}$. Ich standardowe niepewności mechanizmów wynoszą odpowiednio $1{,}0$, $2{,}0$, $1{,}5$ i $1{,}0 \mathrm{ms}$. W budżecie predykcyjnym jawnie założono brak korelacji tych czterech mechanizmów, zatem dla $\mathbf b=[b_{cq},b_{qs},b_{sr},b_{ru}]^T$ i wektora czułości $\mathbf h=[1,1,1,1]^T$:

$$A_{pred}=\mathbf h^T\mathbf b, \qquad u^2(A_{pred})=\mathbf h^T\mathbf\Sigma_b\mathbf h, \qquad \mathbf\Sigma_b=\operatorname{diag}(1{,}0^2,2{,}0^2,1{,}5^2,1{,}0^2) \mathrm{ms}^2.$$

Obliczono predykcyjnie: nominalny wiek to

$$A=12+35+30+15=92 \mathrm{ms}.$$

Standardowa niepewność złożona i niepewność rozszerzona dla $k=2$ wynoszą:

$$u_A=\sqrt{1{,}0^2+2{,}0^2+1{,}5^2+1{,}0^2} =2{,}872 \mathrm{ms},\qquad U_A=5{,}745 \mathrm{ms}.$$

Górna granica predykcyjna $92+5{,}745=97{,}745 \mathrm{ms}$ pozostawia $100-97{,}745=2{,}255 \mathrm{ms}$ marginesu do fikcyjnych $100 \mathrm{ms}$. Ten wynik opisuje niepewność przewidywania czterech mechanizmów, a nie niepewność pięciu odczytów zegara.

Model bezpośredniego pomiaru wieku jest inny. Estymator oblicza $A_{pom}=t_u-\widehat t_c$, gdzie $\widehat t_c$ jest czasem źródła odwzorowanym do zegara konsumenta. Dla $\mathbf z=[t_u,\widehat t_c]^T$, wektora czułości $\mathbf g=[1,-1]^T$ i macierzy kowariancji

$$\mathbf\Sigma_z= \begin{bmatrix} u_u^2 & \operatorname{cov}(t_u,\widehat t_c)\\ \operatorname{cov}(t_u,\widehat t_c) & u_c^2 \end{bmatrix}$$

zachodzi

$$u^2(A_{pom})=\mathbf g^T\mathbf\Sigma_z\mathbf g =u_u^2+u_c^2-2\operatorname{cov}(t_u,\widehat t_c).$$

W syntetycznej kalibracji przyjęto $u_u=1{,}2 \mathrm{ms}$, $u_c=2{,}0 \mathrm{ms}$ i dodatnią korelację $\rho=0{,}40$ od wspólnego odwzorowania czasu, czyli $\operatorname{cov}=0{,}40\cdot1{,}2\cdot2{,}0=0{,}96 \mathrm{ms}^2$. Stąd

$$u(A_{pom})=\sqrt{1{,}2^2+2{,}0^2-2\cdot0{,}96} =1{,}876 \mathrm{ms}, \qquad U(A_{pom})=3{,}752 \mathrm{ms}\quad(k=2).$$

Dla bezpośrednio zmierzonego $A_{pom}=92 \mathrm{ms}$ górna granica wynosi $95{,}752 \mathrm{ms}$, a margines $4{,}248 \mathrm{ms}$. Nie wolno wybierać korzystniejszego z marginesów: $2{,}255 \mathrm{ms}$ kwalifikuje budżet predykcyjny, a $4{,}248 \mathrm{ms}$ konkretny bezpośredni pomiar przy podanej kowariancji.

Pięć znaczników służy ponadto do diagnostyki odcinków. Dla $\mathbf x=[t_c,t_q,t_s,t_r,t_u]^T$ oraz

$$\mathbf d=\mathbf H\mathbf x, \qquad \mathbf H= \begin{bmatrix} -1&1&0&0&0\\ 0&-1&1&0&0\\ 0&0&-1&1&0\\ 0&0&0&-1&1 \end{bmatrix}, \qquad \mathbf\Sigma_d=\mathbf H\mathbf\Sigma_x\mathbf H^T.$$

Sąsiednie odcinki współdzielą znacznik z przeciwnym znakiem, więc ich błędy są skorelowane. Suma odcinków ma wektor czułości $[-1,0,0,0,1]$ względem $\mathbf x$: błędy $t_q$, $t_s$ i $t_r$ znoszą się algebraicznie. Dlatego nie sumuje się mechanicznie niepewności odcinków ani wszystkich pięciu znaczników.

Przewidziano: HYP-DATA-02 zwiększa przede wszystkim $t_s-t_q$; HYP-DATA-01 tworzy brak nowego odbioru i zwiększa czas od ostatniej zaakceptowanej aktualizacji; HYP-DATA-03 daje nieciągłość epoki; HYP-DATA-04 przesuwa wiele czasów spójnie z CH-DATA-SYNC; HYP-DATA-05 pozostawia poprawne czasy, lecz niezgodny rekord prawa zapisu. Składniowa suma kontrolna nie rozróżnia żadnej z tych przyczyn.

Pomiar, hazard i wybór degradacji

EVD-DATA-01 rejestruje pięć osobnych kanałów czasu: CH-DATA-TC — utworzenie u źródła, CH-DATA-TQ — wejście do kolejki nadawczej, CH-DATA-TS — fizyczne opuszczenie źródła, CH-DATA-TR — odbiór u konsumenta i CH-DATA-TU — użycie przez estymator. Rejestruje też CH-DATA-SEQ, CH-DATA-EPOCH, CH-DATA-SRC, CH-DATA-AUTH, CH-DATA-SYNC, jakość, cfg_id, decyzję filtra i przyczynę. Surowe lokalne czasy są zachowane obok wartości przeliczonych, a raport podaje $\mathbf\Sigma_z$ i $\mathbf\Sigma_x$, aby błąd korekcji lub ukryta korelacja nie niszczyły dowodu.

Zmierzono: w syntetycznym RUN-DATA-031 odebrana ramka miała pozorny wiek $88\pm3{,}752 \mathrm{ms}$ przy $k=2$, wyznaczony bezpośrednio z $t_u-\widehat t_c$ według powyższej macierzy kowariancji, sekwencję n=7 i epokę e_s=41, podczas gdy aktywna para źródła wynosiła (src_A,e_s=42). Log źródła wykazał restart między epokami, a log arbitra nadał uprawnienie wyłącznie epoce 42. Mimo to stara implementacja filtra sprawdzała tylko składnię, wiek liczbowy i monotoniczność n od ostatnio zaakceptowanej ramki; po restarcie jej pamięć sekwencji była pusta.

W osobnym wstrzyknięciu kolejki zapisano pięć spójnych znaczników: $t_c=1000 \mathrm{ms}$, $t_q=1012 \mathrm{ms}$, $t_s=1083 \mathrm{ms}$, $t_r=1113 \mathrm{ms}$ i $t_u=1128 \mathrm{ms}$. Odcinki wyniosły odpowiednio $12$, $71$, $30$ i $15 \mathrm{ms}$: tylko oczekiwanie $t_s-t_q$ wzrosło o $36 \mathrm{ms}$ względem nominalnych $35 \mathrm{ms}$. Suma daje $A=t_u-t_c=128 \mathrm{ms}$, a bezpośrednia górna granica $128+3{,}752=131{,}752 \mathrm{ms}$ jednoznacznie przekracza CRT-DATA-01. W próbie rozjazdu zegarów CH-DATA-SYNC podał niepewność większą od zatwierdzonej granicy, więc wieku nie klasyfikowano jako znanego.

Wywnioskowano: HYP-DATA-03 jest bezpośrednią przyczyną pozornej świeżości w RUN-DATA-031, natomiast brak sprawdzenia uprawnienia w filtrze jest warunkiem architektonicznym, który pozwolił błędowi nadpisać stan; wspólnie realizują HZ-DATA-01. HYP-DATA-02 został potwierdzony w osobnym kontrolowanym wstrzyknięciu przez wzrost wyłącznie odcinka $t_s-t_q$, ale nie wyjaśnia sam przejścia między epokami. HYP-DATA-04 nie jest przyczyną głównego przebiegu, ponieważ surowe i skorygowane czasy pozostawały w granicy synchronizacji.

Nie rozstrzygnięto: czy wszystkie pośrednie bufory zachowują epokę podczas aktualizacji ich oprogramowania oraz czy błąd konfiguracji może zamienić identyfikatory dwóch legalnych źródeł. Wymaga to inspekcji mapy danych i prób konfiguracji krzyżowej.

Zdecydowano: filtr sprawdza pełne $(src,e_s,n)$, wiek z niepewnością, jakość, konfigurację i uprawnienie przed przekazaniem aktualizacji. Dane z nieaktywnej epoki są odrzucane niezależnie od wieku liczbowego. Ograniczone zachowanie działania po utracie łącza jest dozwolone tylko w syntetycznym oknie WIN-DATA-01, gdy jednocześnie:

1. wiek własnej estymaty spełnia $A_{own}+U_{A,own}\le60 \mathrm{ms}$;
2. znormalizowany, bezwymiarowy wskaźnik niepewności własnego stanu spełnia $J_{own}+U_J\le1{,}00$ i ma status jakości OWN_OK;
3. czas od ostatniej zaakceptowanej aktualizacji zewnętrznej spełnia $\Delta t_{ext}\le250 \mathrm{ms}$;
4. INV-DATA-01 pozostaje nienaruszony, w szczególności nie ma dwóch właścicieli prawa zapisu ani aktualizacji po odwołaniu.

Wartości $60 \mathrm{ms}$, $1{,}00$ i $250 \mathrm{ms}$ są fikcyjnymi progami dydaktycznymi bez związku z realnym pociskiem. Naruszenie choć jednego warunku kończy WIN-DATA-01; system nie „zamraża” bezterminowo ostatniej wartości, lecz przechodzi do Q5_PRACA_ZDEGRADOWANA albo Q6_STAN_BEZPIECZNY zgodnie z HZ-DATA-01. Jest to strategia zależna od hazardu: ograniczone zachowanie działania wobec pojedynczego braku aktualizacji i przejście do stanu ograniczającego hazard wobec braku wiarygodnej podstawy decyzji.

Regresja REG-DATA-01:

Próba	Wstrzyknięcie	Oczekiwany wynik	Zapis obowiązkowy
zerwanie	brak odbioru dla $\Delta t_{ext}$ poniżej, równego i powyżej $250 \mathrm{ms}$ oraz osobne przekroczenia $A_{own}+U_{A,own}$ i $J_{own}+U_J$	WIN-DATA-01 trwa tylko przy wszystkich czterech warunkach; potem kontrolowana zmiana stanu	pięć czasów, $A_{own}$, $J_{own}$, jakość, stan, INV-DATA-01
powrót	wznowienie tego samego źródła i epoki po krótkiej przerwie	przyjęcie tylko po ponownym spełnieniu wszystkich warunków	src, epoka, sekwencja, uprawnienie
powtórzenie	identyczne (src,e_s,n)	odrzucenie z kodem REPLAY	decyzja i brak aktualizacji estymatora
zmiana kolejności	po przyjęciu n=12 podać n=11 dla tego samego (src,e_s)	odrzucenie z kodem OUT_OF_ORDER; estymata i zapamiętane n=12 bez zmian	para sekwencji, decyzja, INV-DATA-01
restart	nowa i stara epoka, licznik od początku	stara epoka odrzucona, nowa wymaga ponownego uprawnienia	log restartu i arbitra
wiadomość w locie	odwołać uprawnienie A po $t_s$, lecz przed $t_r$ wiadomości A	odrzucenie po chwili obowiązywania odwołania; brak zmiany estymaty	pięć czasów, czas odwołania, CH-DATA-AUTH, decyzja
utrata potwierdzenia odwołania	jeden konsument nie potwierdza odwołania A	brak jednoczesnego nadania prawa zapisu A i B; izolacja konsumenta lub przejście do stanu ograniczającego hazard	lista konsumentów, potwierdzenia, stan arbitra, INV-DATA-01
granica licznika	osiągnięcie wartości poprzedzającej granicę implementacyjną	wymuszona nowa epoka przed następną próbką; zawinięcie w tej samej epoce odrzucone kontraktem	stara i nowa epoka, sekwencja, decyzja
konfiguracja	CFG-REF-A, wariant zgodny i wariant z zamienioną mapą źródeł	tylko zestaw zgodny z macierzą kompatybilności może przejść	cfg_id, skróty, wersja filtra

Jednoznaczny test końcowy wprowadza starą ramkę epoki 41 po aktywacji epoki 42. Zaliczenie wymaga: kodu odrzucenia, niezmienionego stanu estymatora, aktualizacji licznika diagnostycznego, zachowania INV-DATA-01, właściwej oceny WIN-DATA-01 i pełnego dowodu EVD-DATA-01 powiązanego z REQ-DATA-001 oraz HZ-DATA-01.

Gotowość przez cykl życia, magazynowanie i nadzór

Gotowość nie jest własnością nadaną raz podczas kwalifikacji typu. Jest wnioskiem dotyczącym konkretnej konfiguracji i populacji wyrobów po określonej historii środowiskowej. Temperatura, wilgoć, drgania transportowe, starzenie materiałów, samorozładowanie, korozja połączeń, dryft sensorów i zmiana właściwości uszczelnień mogą naruszyć świadczenia, choć urządzenie nadal przechodzi krótki test cyfrowy. Architektura musi wskazać, które własności można obserwować bez naruszania wyrobu, które wymagają badania próbek, a których stanu nie da się wiarygodnie ustalić w eksploatacji.

Źródło energii dobrze pokazuje granicę BIT. Bateria rezerwowa może pozostawać fizycznie odseparowana przed aktywacją, dzięki czemu ogranicza samorozładowanie, lecz nie wynika z tego, że jej późniejsza moc, czas działania i interfejs elektryczny są dowiedzione przez pomiar ciągłości obwodu. Historyczny przegląd baterii termicznych Sandia opisuje zasadę długiego magazynowania i szybkiej aktywacji; właściwy identyfikator raportu to SAND1995-1313C.^sandia Dla architektury wniosek jest ogólny: testowalność przed aktywacją, dowód po aktywacji i kontrola populacji muszą być trzema osobnymi elementami argumentu.

Nadzór eksploatacyjny amunicji (in-service surveillance) łączy inspekcje, badania, historię partii i decyzję o przydatności. DA PAM 742-1, rozdz. 1, pkt 1-4–1-5, obejmuje także rakiety i pociski kierowane oraz wiąże program nadzoru z oceną funkcjonalnych i niefunkcjonalnych cech zapasu; rozdz. 2 rozdziela rodzaje inspekcji, próbkowanie, kryteria i zapisy.^{ammo-surveillance} Nie wolno z tego źródła przenosić procedur organizacyjnych wprost do innego państwa. Wspiera ono zasadę architektoniczną: decyzja o gotowości populacji wymaga danych historii, próbkowania i kryterium, a nie tylko deklaracji pojedynczego egzemplarza.

Ślad cyklu życia powinien wiązać product_id, partię, konfigurację, warunki przechowywania, wyniki kontroli, odstępstwa, naprawy i termin następnej oceny. Brak rekordu nie jest pomiarem dobrego stanu. Jeśli profil środowiskowy przekroczył zatwierdzony zakres, potrzebna jest ocena wpływu na konkretne wymagania: czas rozruchu, pojemność energetyczną, dryft osi, szczelność, tarcie aktuatora, integralność danych lub właściwości materiałów. Wniosek może brzmieć „ograniczyć użycie”, „zbadać próbkę”, „skrócić okres kontroli” albo „wycofać konfigurację”; nie musi być binarnym „sprawny/niesprawny”.

Kwalifikacja i akceptacja produkcyjna odpowiadają na różne pytania. Kwalifikacja dowodzi projektu w zakresie warunków i marginesów. Akceptacja sprawdza, czy egzemplarz lub partia odpowiada zatwierdzonej realizacji. Nadzór sprawdza, czy wniosek pozostaje ważny po czasie i ekspozycji. Test po naprawie dowodzi zakresu naprawy, nie automatycznie całej pierwotnej kwalifikacji. Architektura określa, które parametry są krytyczne, jakie trendy uruchamiają analizę i jak wynik wraca do statusu konfiguracji.

Nazwy rodzin sprzętu nie mogą zastępować konfiguracji. Oficjalna strona NAVAIR rozróżnia cechy wariantu AIM-9X Block II od opisu całej rodziny; jest to jedno źródło instytucjonalne, nie zestaw niezależnych dowodów.^navair Przykład wspiera wyłącznie regułę redakcyjną: dowodu dotyczącego wariantu, bloku lub modernizacji nie wolno rozciągać na wcześniejsze wersje o podobnej nazwie. W monografii architektonicznej bez dokumentacji konkretnego wyrobu pole powinno pozostać nieustalone.

Konfiguracja, zmiana i zasięg regresji

Konfiguracja bazowa (ang. baseline) jest zamrożonym, audytowalnym zestawem artefaktów, dla którego przedstawiono dowód. CFG-REF-A w studiach oznacza umowny pakiet: wymagania, modele, interfejsy, rewizje sprzętu, kod źródłowy i wynik budowy oprogramowania, źródła HDL, ograniczenia czasowe i obraz konfiguracyjny FPGA, dane kalibracyjne, tablice modeli, procedury testowe, wersje stanowiska oraz rekordy narzędzi. Skrót samego pliku wykonywalnego nie odtwarza całej konfiguracji, jeśli generator lub dane wejściowe pozostają nieznane.

Praktyki identyfikacji, kontroli zmiany, ewidencji statusu oraz audytu przedstawia MIL-HDBK-61B Change 1: model aktywności w §4.2.1, rozwinięcia w rozdziałach 5–8 oraz dokumentację w dodatku A. Jego rekord ASSIST z 15 sierpnia 2025 r. ma status aktywny, ale sam dokument jest poradnikiem i nie może być cytowany jako wymaganie.^mil61 Wymaganie programu musi więc wskazać własny proces i kryteria. Architektura dostarcza temu procesowi mapę wpływu.

Zmiana przechodzi przez pytania w kolejności odwrotnej do wspólnej macierzy:

1. Który element konfiguracji i jego interfejs się zmienia?
2. Które funkcje, dane, stany i źródła uprawnienia od niego zależą?
3. Które budżety mogą się przesunąć, także przez narzędzia lub harmonogram?
4. Które hazardy i bariery korzystają z tego elementu lub wspólnej przyczyny?
5. Które obserwacje i modele pozostają reprezentatywne?
6. Które dowody tracą ważność i jaki najmniejszy uzasadniony zakres regresji je odbuduje?

„Zmiana tylko programowa” może zmienić czas pętli, stan resetu i obciążenie szyny. „Zamiennik równoważny elektrycznie” może mieć inną charakterystykę rozruchową. Nowa wersja syntezy FPGA może zachować logikę RTL, lecz zmienić rozmieszczenie i opóźnienia. Aktualizacja tablicy kalibracyjnej może odwrócić znak osi bez zmiany kodu. Podstawy projektowania systemów wbudowanych pokazują, że opis behawioralny, wynik syntezy, maszyna stanów i eksperyment sprzętowy są odrębnymi poziomami, a poprawność należy potwierdzać po transformacjach przepływu projektowego.^embedded

Zakres regresji nie jest wybierany przez liczbę zmienionych linii. Jest domknięciem grafu zależności do chwili, gdy można uzasadnić, że nieobjęte wymagania nie mają ścieżki wpływu. Dla zmiany filtra czasu w studium III regresja obejmuje restart, zmianę epoki, odwołanie uprawnienia, synchronizację i kompatybilność konfiguracji. Dla poprawki zasilania w studium I obejmuje również reset, zegar, obraz FPGA i niezależną bramkę. Dla harmonogramu estymatora w studium II obejmuje budżet fazy i nasycenie aktuatora, choć nie zmieniono autopilota.

Reguła równoważności dowodu powinna być jawna. Wynik można przenieść z konfiguracji A na B tylko wtedy, gdy analiza wykazuje, że zmienione elementy nie wpływają na wymaganą wielkość albo że wpływ mieści się w już dowiedzionym obwiedniowym przypadku. „Ten sam numer części” nie wystarcza, jeśli zmienił się proces. „Ten sam kod” nie wystarcza, jeśli zmieniły się kompilator, opcje, architektura procesora lub dane. Każde odstępstwo otrzymuje zakres, właściciela, termin i warunek zamknięcia.

Regresja powinna również chronić sam dowód. Zmiana analizatora logów, mapy kanałów albo kalibracji stanowiska może zmienić wynik bez zmiany produktu. Dlatego EVD-* identyfikuje wersję programów przetwarzających dane, skryptów analitycznych, modelu niepewności i środowiska wykonania. Wynik ręcznie przepisany do prezentacji jest ilustracją; dowodem jest odtwarzalny łańcuch od surowego rekordu do kryterium.

Pakiet decyzji i końcowa macierz śledzenia

Architektura jest kompletna nie wtedy, gdy wszystkie pola są wypełnione, lecz gdy niepewność i brak wiedzy są widoczne w decyzji. Pakiet przeglądu powinien zawierać: granicę systemu; zatwierdzony widok funkcjonalny i logiczny; automat stanów; macierze uprawnień; kontrakty danych i energii; alokację na sprzęt, oprogramowanie, FPGA i dane; budżety z marginesami; rejestr hazardów; plan BIT/FDIR i degradacji; modele z zakresem ważności; macierz V&V; konfigurację bazową; otwarte ograniczenia; oraz zakres regresji po zmianie.

Końcowa macierz zachowuje te same identyfikatory, które wystąpiły w studiach:

wymaganie	funkcja	stan / uprawnienie	dane i ważność	realizacja fizyczna / oprogramowanie / FPGA	budżet	hazard i reakcja	obserwacja	dowód	decyzja
REQ-RDY-001, CRT-RDY-01 niezamknięte	ustanowienie wspólnej gotowości po utracie spójności	MOD-RDY-01; SESSION_JOIN; arbiter z CFG-REF-A; INV-RDY-01: bramka zablokowana	session_id, cfg_id, czas, BIT, przyczyna przejścia	sekwencja szyn i bramka fizyczna; logika arbitra w oprogramowaniu; konfiguracja i status FPGA	bilans tylko energii: $E_{req,max}=0{,}1029 \mathrm{J}$, $E_{avail,min}=0{,}0218 \mathrm{J}$; przewidywana decyzja $21{,}0\pm0{,}748 \mathrm{ms}$	HZ-RDY-01; HYP-RDY-01, HYP-RDY-02, HYP-RDY-03, HYP-RDY-04, HYP-RDY-05; unieważnienie sesji, ponowne dołączenie, niezależna blokada	CH-RDY-VIN, CH-RDY-V5, CH-RDY-V3, CH-RDY-IBACK, CH-RDY-RST, CH-RDY-CLK, CH-RDY-CFG, CH-RDY-SESSION, CH-RDY-STATE, CH-RDY-GATE	EVD-RDY-01 niezamknięty, RUN-RDY-017; brak czasu ready/not_ready, wyniku bramki i próby wspólnej przyczyny	odrzucić i blokować wydanie do uzupełnienia dowodu; REG-RDY-01, 216 kombinacji
REQ-HO-001, CRT-HO-01	kontrolowane przejęcie źródła w zamkniętej pętli	MOD-HO-01; HO_COMPARE, HO_BLEND, HO_ACTIVE, HO_ABORT; arbiter; INV-HO-01	czas obserwacji, osie, jakość, kowariancja, model i zapas aktuatora	sensor i aktuator fizyczny lub model; estymator, logika przejścia i autopilot w oprogramowaniu; znaczniki/interfejs zależnie od alokacji FPGA	przewidziano: $12{,}0\pm1{,}2 \mathrm{ms}$ i $15{,}49^\circ$; zmierzono: $12{,}4\pm1{,}12 \mathrm{ms}$, wkład $-29{,}2032^\circ$, margines $14{,}80^\circ<30^\circ$	HZ-HO-01; HYP-HO-01, HYP-HO-02, HYP-HO-03, HYP-HO-04, HYP-HO-05; odmowa uprawnienia, anulowanie przejścia, ograniczone i ciągłe żądanie	CH-HO-TC, CH-HO-TE, CH-HO-INNOV, CH-HO-COV, CH-HO-DOME, CH-HO-ERR, CH-HO-REQ, CH-HO-LIM, CH-HO-SAT, CH-HO-POS, CH-HO-RATE, CH-HO-ACC, CH-HO-MODEL	EVD-HO-01, RUN-HO-023; decyzja z wartości zmierzonej; margines z analizy/MIL	konfigurację odrzucić; zmienić model/harmonogram dopiero z nowym budżetem; REG-HO-01 MIL/SIL/PIL/HIL
REQ-DATA-001, CRT-DATA-01, INV-DATA-01	kwalifikowanie aktualizacji przed nadpisaniem estymaty	MOD-DATA-01; aktywny właściciel (src,e_s); uprawnienie po odwołaniu	źródło, epoka, sekwencja, $t_c$, $t_q$, $t_s$, $t_r$, $t_u$, jakość, cfg_id, uprawnienie	źródło i łącze fizyczne/emulowane; filtr i arbiter w oprogramowaniu; znaczniki i kolejki zgodnie z alokacją	predykcyjnie: $A=92 \mathrm{ms}$, $U=5{,}745 \mathrm{ms}$, margines $2{,}255 \mathrm{ms}$; pomiar bezpośredni: $U=3{,}752 \mathrm{ms}$, margines $4{,}248 \mathrm{ms}$	HZ-DATA-01; HYP-DATA-01, HYP-DATA-02, HYP-DATA-03, HYP-DATA-04, HYP-DATA-05; odrzucenie starej epoki; WIN-DATA-01, potem strategia ograniczająca hazard	CH-DATA-TC, CH-DATA-TQ, CH-DATA-TS, CH-DATA-TR, CH-DATA-TU, CH-DATA-SEQ, CH-DATA-EPOCH, CH-DATA-SRC, CH-DATA-AUTH, CH-DATA-SYNC	EVD-DATA-01, RUN-DATA-031; restart źródła potwierdzony, kontrola wszystkich buforów otwarta	pełny kontrakt; regresja zmiany kolejności, odwołania w locie, utraty potwierdzenia i granicy licznika w REG-DATA-01

Wiersz pierwszy pokazuje, że niedobór energii nie prowadzi automatycznie do „większego kondensatora”; decyzja architektoniczna dotyczy spójności i blokowania. Wiersz drugi pokazuje, że samo rozdzielenie pasm nie zamyka stabilności; opóźnienie trzeba przeliczyć na fazę i połączyć z nasyceniem. Wiersz trzeci pokazuje, że aktualna liczba czasu i poprawna składnia nie zastępują epoki ani prawa nadpisania. W każdym przypadku dowód zamyka dokładnie wymaganie i pozostawia jawne pytanie otwarte.

Decyzja o wydaniu powinna mieć pięć możliwych wyników, nie tylko „zaakceptowano/odrzucono”: zaakceptowano dla wskazanej konfiguracji i zakresu; zaakceptowano warunkowo z limitem; skierowano do dodatkowego dowodu; odrzucono konfigurację; albo unieważniono wcześniejszy dowód po zmianie. Każdy wynik wskazuje osobę lub organ uprawniony, datę, konfigurację, hazardy pozostałe i następną bramkę.

Ograniczenia konfiguracji są częścią decyzji, a nie drobnym drukiem. Dla przedstawionych modeli należą do nich: jawnie syntetyczne liczby; brak przełożenia na realny pocisk; brak procedur dotyczących elementów energetycznych i uzbrojenia; ważność wyłącznie dla CFG-REF-A; brak zgody na interpolację poza zakres temperatury, napięcia, opóźnienia i jakości; oraz obowiązek powtórzenia wskazanej regresji po zmianie modelu, zegara, resetu, obrazu FPGA, arbitra uprawnienia lub toru pomiarowego.

Reguła zmiany jest prosta do zapisania, choć wymagająca w realizacji: nie zmienia się elementu bez wskazania funkcji, nie zmienia funkcji bez oceny stanów i uprawnień, nie zmienia czasu ani danych bez ponownego budżetu, nie zmienia bariery bez ponownej analizy hazardu i nie przenosi dowodu bez wykazania równoważności konfiguracji. To właśnie odróżnia architekturę dowodzoną od katalogu komponentów.

Źródła

Aktualność dokumentów internetowych sprawdzono 6 września 2026 r.