Architektura zasilania rakiety jest czasowo sterowanym systemem konwersji i ograniczania energii. Jej poprawności nie dowodzi ani pojemność baterii, ani sprawność pojedynczej przetwornicy, lecz dopiero zgodność źródła, stanów misji, dróg przepływu i powrotu prądu, dynamiki odbiorników, granic awarii oraz dowodów utrzymywanych przez cały cykl życia. Ta teza prowadzi do jednego ciągu przyczynowego: profil użycia wyznacza dostępność energii; ona narzuca źródło i strukturę dystrybucji; ich impedancje kształtują konwersję, rozruch i zakłócenia; straty oraz środowisko określają margines; możliwe uszkodzenia wyznaczają ochronę i diagnostykę; wreszcie modele, próby i nadzór eksploatacyjny rozstrzygają, czy założony łańcuch pozostaje prawdziwy po latach magazynowania.

Przedmiotem są publiczne zasady inżynierii systemów, a nie dokumentacja wykonawcza uzbrojenia. Nie podano rzeczywistego drzewa zasilania, napięć, mocy, czasów aktywacji, progów ochrony ani logiki awaryjnej współczesnego pocisku. Liczby w trzech studiach są jawnie syntetyczne, dobrane wyłącznie do pokazania metody i nie odpowiadają żadnemu znanemu wyrobowi. Nieznanego albo uszkodzonego obiektu bojowego nie wolno otwierać, zasilać, rozładowywać ani mierzyć poza zatwierdzonym systemem obsługowym; odłączenie złącza nie dowodzi zaniku energii.

Od elektromechaniki do zarządzania energią

Historia zasilania nie jest prostą historią miniaturyzacji. Publiczna historia komputerów lotu dokumentuje przejście od układów elektromechanicznych i analogowych do komputerów pokładowych; z punktu widzenia energii zmiana ta nie usunęła wcześniejszych domen, lecz dodała zależne od kolejności zasilania pamięci, logikę i interfejsy.16 Wczesne źródło zasilało równocześnie żyroskopy, przekaźniki, wzmacniacze, przetwornice wirujące i serwomechanizmy, których nagrzewanie oraz rozbieg tworzyły jawny porządek czasowy. Tranzystory i przetwornice statyczne zmniejszały pobór oraz masę, ale wprowadzały nowe ograniczenia związane z przepięciami, polaryzacją i temperaturą złącza. Komputer cyfrowy nie usunął więc pytania „ile mocy”, lecz dodał pytanie „która funkcja otrzyma ją pierwsza”.

W latach siedemdziesiątych i osiemdziesiątych rosnąca skala integracji, pamięci ROM/PROM oraz cyfrowe komputery sterowania pomnożyły szyny i wymagania resetu.16 Konwersja impulsowa zmniejszyła magnetyki, wprowadzając emisję i interakcje pętli. Od lat dziewięćdziesiątych mikroprocesory, DSP i FPGA przenoszą sekwencjonowanie oraz diagnostykę do logiki programowalnej, która jednak działa dopiero po ustaleniu zasilania i zegara. Współczesny SoC ma szybkie skoki prądu i kilka wąskich domen; obraz FPGA, kod rozruchowy, kalibracja i profil programu należą więc do konfiguracji energetycznej.1,2 Im więcej funkcji cyfrowych, tym mniej wystarcza statyczny schemat: potrzebne są równocześnie drzewo energii, automat stanów, model dynamiczny i granice awarii.

Profil misji jest pierwszym wymaganiem elektrycznym

Pocisk odróżnia się od większości urządzeń pokładowych kolejnością życia. Może przez wiele lat pozostawać bez aktywnego zasilania, przechodzić okresowe kontrole bez uruchomienia źródła głównego, następnie w krótkim czasie zostać zainicjalizowany, odłączony od platformy i poddany gwałtownemu przyspieszeniu. Misja jest na ogół jednorazowa, profil obciążeń krótki, a możliwość naprawy po starcie nie istnieje. Dlatego nominalna moc ciągła, podstawowa w wielu instalacjach przemysłowych, bywa mniej użyteczna niż energia w kolejnych oknach czasu i pewność aktywacji po magazynowaniu.

Minimalny opis obejmuje stany: magazynowanie, kontrolę obsługową, podłączenie do platformy, inicjalizację, gotowość, odłączenie, aktywację źródła pokładowego, rozruch domen, pracę w kolejnych fazach, degradację, kontrolowane wyłączenie i stan końcowy. Każdemu stanowi przypisuje się dostępne źródła, dozwolone obciążenia, ograniczenia termiczne, wiarygodne monitory i kryterium przejścia. Oś czasu musi zawierać również przebiegi zabronione, na przykład brak potwierdzenia aktywacji, powrót zasilania podczas opadania szyn czy wielokrotne próby po przeciążeniu.

Moc i energia odpowiadają na różne pytania. Dla profilu (P(t)) energia wymagana w przedziale wynosi

$$E=\int_{t_0}^{t_1}P(t)\,dt.$$

Źródło może pokryć całkowitą energię, a nie pokryć krótkiego piku z powodu impedancji. Lokalny kondensator może pokryć pik, ale nie długi odcinek misji. Bilans musi zatem istnieć w kilku skalach: zbocza komutacji, odpowiedzi regulatora, rozruchu, cyklu funkcji, całej misji oraz życia magazynowego. Zmiana programu zwiększająca jednoczesną aktywność procesora i sensora zmienia bilans, choć lista części pozostaje bez zmian.

Macierz współbieżności zastępuje arbitralny współczynnik jednoczesności. Jeżeli dwie funkcje nie mogą pracować naraz, ograniczenie musi wynikać z automatu misji i pozostać prawdziwe przy resecie, utracie zegara oraz błędzie monitora. Rezerwa mocy ma nazwane źródło: tolerancję sprawności, spadek zdolności źródła, rozrzut odbiorników, temperaturę albo rozwój funkcji. Jedna zbiorcza wartość „zapasu” może zarówno podwójnie policzyć margines, jak i ukryć brak danych.3

Rodziny źródeł energii

Wybór źródła jest pierwszą decyzją architektoniczną, ponieważ ustala czas dostępności energii, impedancję, środowisko termiczne, sposób potwierdzenia gotowości i konsekwencje awarii. Nie istnieje źródło najlepsze bez profilu misji.

Baterie rezerwowe i termiczne

Bateria rezerwowa przechowuje co najmniej jeden składnik nieaktywny lub odseparowany, dzięki czemu przed uruchomieniem ogranicza samorozładowanie i reakcje starzeniowe. Aktywacja łączy składniki albo zmienia warunki pracy. Bateria termiczna jest szczególnym przypadkiem: elektrolit staje się przewodzący po doprowadzeniu ciepła. Jej atutem jest długa trwałość magazynowa, szybkie przejście do dużej mocy i odporność na trudne środowisko; ceną — jednorazowa aktywacja, opóźnienie narastania, krótki okres użytecznej pracy i silna zależność impedancji od temperatury.11,12

„Nieaktywna” nie znaczy „niepodlegająca starzeniu”. Uszczelnienia, materiały aktywacyjne, izolacja, połączenia i zgodność mechaniczna zmieniają się kalendarzowo. Model życia musi rozdzielić niezawodność uruchomienia, czas osiągnięcia użytecznego napięcia, zdolność impulsową i czas utrzymania funkcji. Ponieważ aktywacja może zużyć próbkę, dowód z końca życia wymaga kontrolowanej populacji i identyfikowalności partii; sposób wyboru próbek należy do zatwierdzonego programu nadzoru, nie wynika z samego przeglądu technologii baterii.11,12,19

Baterie aktywowane elektrolitem należą do szerszej rodziny rezerwowej: ciecz lub inny składnik jest przechowywany oddzielnie i udostępniany dopiero na żądanie. Zmienia to dominujące ryzyka z samorozładowania na szczelność, zwilżenie, transport masy, orientację, temperaturę i kompletność aktywacji. Kategoria „bateria aktywowana” nie przesądza więc ani czasu startu, ani możliwej mocy.

Akumulatory stale aktywne

Akumulatory litowe, niklowe i inne źródła wtórne mogą zasilać kontrole, pozwalać na wielokrotne cykle i nie wymagać jednorazowej aktywacji. Wnoszą jednak samorozładowanie, potrzebę kontroli stanu naładowania, starzenie kalendarzowe, zależność rezystancji od temperatury oraz reżim ładowania. W pocisku długo magazynowanym koszt obsługi i niepewność pojemności na końcu życia mogą przeważyć nad wysoką energią właściwą. Dane z zastosowań transportowych pomagają zrozumieć moc, energię, temperaturę i starzenie, lecz nie potwierdzają przydatności konkretnej chemii do uzbrojenia.4

Źródło platformowe i generator pokładowy

Platforma może dostarczać energię do kontroli, inicjalizacji, ogrzewania lub gotowości. Jej zaletą jest brak zużywania źródła pokładowego; wadą — zależność od złącza, wiązki, jakości magistrali i chwili separacji. Kontrakt interfejsowy określa nie tylko zakres napięcia, ale transjenty, przerwy, tętnienia, impedancję i miejsce pomiaru. Standard lotniczy albo pojazdowy jest wzorcem sposobu definiowania interfejsu, nie gotowym zbiorem wartości dla rakiety.5,6

Generator napędzany ruchem mechanizmu, przepływem lub wałem może dostarczać energię tak długo, jak istnieje warunek napędzający. Ogranicza potrzebną pojemność chemiczną, lecz dodaje czas rozbiegu, regulację, elementy ruchome albo zależność od fazy lotu. Nie zastępuje źródła potrzebnego przed osiągnięciem użytecznej prędkości i może wymagać magazynu przejściowego. W architekturze liczy się więc jako źródło o stanie, nie jako stały symbol napięcia.

Kondensatory i źródła pomocnicze

Kondensator magazynuje energię

$$E_C=\frac{1}{2}CU^2,$$

oddaje ją szybko i znosi wiele cykli, lecz jego napięcie opada wraz z rozładowaniem. Jest szczególnie użyteczny do lokalnego pokrycia skoku, podtrzymania resetu lub kontrolowanego zakończenia funkcji. Nie zastępuje źródła misji bez przeliczenia użytecznej różnicy kwadratów napięć. Pojemność rzeczywista zależy od polaryzacji, temperatury i starzenia, a rezystancja szeregowa zamienia impuls prądu w natychmiastowy spadek.

Źródła pomocnicze — niewielka domena podtrzymania, generator rozruchowy lub oddzielny magazyn dla funkcji bezpiecznego wyłączenia — mogą przerwać wspólną zależność. Każde z nich tworzy jednak nową drogę zasilania wstecznego. Poprawna architektura nie pyta tylko, skąd energia ma płynąć, lecz także skąd może popłynąć w stanie awaryjnym.

Od źródła do odbiornika

Płaszczyzna interfejsu oddziela odpowiedzialność organizacyjną, ale nie fizykę. Dokument powinien wskazywać konkretny styk lub zacisk, na którym definiuje się jakość energii oraz pobór. Spadek na wiązce przed tym punktem może należeć do platformy, a spadek za nim do pocisku; indukcyjności obu odcinków nadal wspólnie kształtują zapad podczas skoku prądu. MIL-STD-704 celowo odnosi charakterystyki energii do zacisków wejściowych wyposażenia lotniczego. Najważniejsza jest tu metoda: bez miejsca pomiaru dwie strony mogą osobno wykazać zgodność, a po połączeniu uzyskać niezgodny system.5

Drzewo zasilania powinno pokazywać źródła, elementy odłączające, ochronę, magistrale, stopnie konwersji, magazyny lokalne, odbiorniki i drogi powrotu. Każda gałąź ma właściciela, legalne stany, priorytet i granicę propagacji uszkodzenia. Drugi widok przedstawia przepływ poza stanem nominalnym: przez diody zabezpieczające, wejścia sygnałowe, ekran, wspólną referencję albo obracający się napęd. Dopiero zestaw tych widoków jest modelem energetycznym.

Prąd wraca przez przewód, płaszczyznę, konstrukcję lub ścieżkę pasożytniczą. Wspólna impedancja powrotu zamienia prąd jednej funkcji w zakłócenie napięcia drugiej. Symbol masy jest nazwą węzła, nie obietnicą zerowej impedancji. Przy prądzie stałym często dominuje rezystancja; podczas szybkiej komutacji — geometria pętli; podczas zwarcia — zdolność termiczna i mechaniczna ścieżki.

Budżet systemowy łączy profil odbiorników z dostępną energią. Dla każdego trybu zapisuje moc średnią, szczytową, czas, szybkość narastania, model wejściowy i współbieżność. Obciążenie rezystancyjne zmniejsza moc przy spadku napięcia, podczas gdy regulowana przetwornica może dążyć do utrzymania mocy i zwiększać prąd. Aktuator dodaje rozruch, stan mechaniczny oraz możliwość oddania energii. Jedno obciążenie elektroniczne ustawione na stały prąd nie reprezentuje wszystkich tych zachowań.

Dystrybucja, ochrona i priorytety

Centralna konwersja zmniejsza liczbę stopni, może ułatwić ekranowanie i chłodzenie, lecz rozprowadza duży prąd przy niskim napięciu i tworzy wspólny punkt awarii. Magistrala pośrednia z lokalnymi przetwornicami punktu obciążenia skraca ścieżki niskonapięciowe i ogranicza spadki, lecz mnoży pętle regulacji, źródła zakłóceń oraz scenariusze rozruchu. Wybór wynika z masy wiązek, termiki, separacji funkcji, jakości energii i ciężaru weryfikacji, nie z mody topologicznej.

Bezpiecznik, ogranicznik elektroniczny i wyłącznik mają różne zadania. Bezpiecznik przede wszystkim chroni przewód przed całką energii; jego wartość znamionowa nie jest progiem natychmiastowego działania. Ogranicznik może reagować szybciej i przekazywać diagnostykę, ale jego element szeregowy musi przetrwać obszar pracy liniowej. Strategie stałego prądu, podcięcia, prób okresowych i zatrzaśniętego wyłączenia różnią się energią dostarczaną do uszkodzenia oraz polityką powrotu. ECSS-E-ST-20C Rev.1 potwierdza na poziomie pierwotnego standardu kosmicznego zasadę ochrony każdej drogi obciążenia po stronie źródła i odrębności funkcji monitorowania od elementu ochronnego; nie przenosi jednak automatycznie swoich wartości ani wymagań na pocisk.3

Selektywność oznacza, że lokalne zwarcie nie usuwa nadrzędnej magistrali, jeżeli wymagane jest zachowanie innych funkcji. Trzeba porównać charakterystyki czasowo-prądowe, tolerancje, temperaturę i minimalną zdolność źródła do wymuszenia zadziałania. Źródło o dużej impedancji może utrzymywać trwały stan przeciążenia poniżej progu zabezpieczenia. Sama obecność dwóch kanałów nie daje redundancji, gdy współdzielą złącze, powrót, chłodzenie, monitor albo błędne wymaganie.3

Kontrolowane odłączanie obciążeń mniej ważnych może zachować funkcję priorytetową przy spadku energii. Kolejność zależy od stanu misji: niewielki monitor może być niezbędny do bezpiecznego wyłączenia większego odbiornika. Ponowne jednoczesne załączenie odtworzyłoby prąd rozruchowy, dlatego powrót wymaga histerezy i rozłożenia w czasie. Sprzętowa ochrona pozostaje niezależna tam, gdzie energia uszkodzenia rośnie szybciej niż może zareagować program.

Studium syntetyczne I: bateria rezerwowa w całym cyklu życia

To studium jest nieoperacyjne i nie opisuje istniejącej rakiety. Służy wyłącznie pokazaniu, jak wymaganie magazynowe propaguje się do bilansu energii, programu nadzoru i decyzji o architekturze.

Wymaganie

Umowny wyrób ma po długim magazynowaniu zasilić elektronikę przez 150 s. Napięcie użyteczne na wejściu konwersji ma pozostawać powyżej 18 V. Po aktywacji źródło powinno osiągnąć ten poziom przed chwilą 1,5 s. Profil odbiorników obejmuje: 35 W przez pierwsze 30 s, 55 W przez następne 90 s i 25 W przez ostatnie 30 s, a ponadto pojedynczy skok dodatkowych 80 W przez 0,20 s. Zakłada się średnią sprawność konwersji 0,84. Wymaganie niezawodnościowe obejmuje koniec deklarowanego życia, nie stan nowej próbki.

Założenia i model

Przyjmujemy syntetyczny model Thévenina: napięcie obwodu otwartego (U_0(t,T,a)), rezystancję wewnętrzną (R_s(t,T,a)) oraz dostępną energię (E_s(T,a)), gdzie (T) oznacza temperaturę, a (a) — wiek. Model nie rozstrzyga chemii. Dla naroża końca życia przyjmujemy konserwatywnie (E_s=12{,}0\ \text{kJ}), (U_0=24\ \text{V}) i (R_s=0{,}65\ \Omega). Niepewności tych wielkości są skorelowane, ponieważ chłodna i stara próbka może jednocześnie mieć mniejszą energię i większą rezystancję.

Energia odbiorników wynosi

$$E_L=35\cdot30+55\cdot90+25\cdot30+80\cdot0{,}20=6766 \text{J}.$$

Po uwzględnieniu sprawności źródło musi dostarczyć co najmniej

$$E_{in}=\frac{E_L}{0{,}84}=8055 \text{J}.$$

Stosunek wymaganej energii do konserwatywnie dostępnej wynosi (0{,}671), zatem surowy margines energetyczny to około 49% względem wymagania, liczony jako ((Es-E{in})/E_{in}). Nie dowodzi to jednak pokrycia piku.

Rachunek mocy i narastania

W najcięższym odcinku moc wejściowa bez krótkiego piku wynosi około (55/0{,}84=65{,}5\ \text{W}). Dla obciążenia stałej mocy warunek (P=U(U_0-U)/R_s) prowadzi do równania

$$U^2-U_0U+PR_s=0.$$

Dla przyjętych danych wyższe rozwiązanie daje około 22,1 V, a więc powyżej progu. W trakcie skoku łączna moc wejściowa wzrosłaby do około (135/0{,}84=160{,}7\ \text{W}). Wyrażenie pod pierwiastkiem (U_0^2-4PR_s) pozostaje dodatnie, lecz wyższy pierwiastek wynosi około 18,2877 V — margines względem progu 18 V jest bardzo mały. Energia samego piku jest mała, ale impedancja, nie całkowita energia źródła, staje się ograniczeniem.

Przyjmujemy zatem lokalny magazyn po stronie wejścia konwersji, który ma pokryć dodatkowe 80 W zdefiniowane po stronie odbiorników przez 0,20 s przy spadku swojej szyny z 22 V do 19 V. Przy sprawności konwersji 0,84 wymagana energia bufora wynosi (E_b=80\cdot0{,}20/0{,}84\approx19{,}0476\ \text{J}). Pomijając na tym etapie ESR, minimalna pojemność wynika z

$$C\geq\frac{2E_b}{U_1^2-U_2^2}=\frac{2\cdot(16/0{,}84)}{22^2-19^2}\approx0{,}3097 \text{F}.$$

Po dodaniu umownego 30-procentowego zapasu na tolerancję pojemności, wpływ polaryzacji, temperaturę i starzenie otrzymujemy około 0,4026 F jako wymaganie pojemnościowe modelu, nie jako dobór elementu. ESR nie jest w tym zapasie ukryty: osobno trzeba sprawdzić natychmiastowy spadek (I\cdot ESR), a ponadto prąd ładowania i obciążenie źródła po piku.

Czas aktywacji jest osobnym warunkiem. Energia wystarcza dopiero po osiągnięciu temperatury i przewodności zapewniających (U\geq18\ \text{V}) pod obciążeniem rozruchowym. Pomiar napięcia bez obciążenia mógłby fałszywie potwierdzić gotowość. Kryterium wymaga więc kontrolowanego obciążenia reprezentatywnego albo skorelowanej sygnatury źródła.

Niepewność

Największe wkłady to rozkład czasu aktywacji, wspólna zależność (U_0), (R_s) i (E_s) od temperatury oraz wieku, tolerancja profilu mocy, pojemność lokalna pod napięciem i odrębny od niej spadek ESR. Nie wolno zsumować niezależnie wszystkich skrajności, jeżeli tworzą niemożliwy stan, ani uznać ich za niezależne, gdy wynikają z jednego mechanizmu. Model wymaga danych z partii w kilku punktach życia, a granica 18 V — analizy niepewności toru pomiarowego.

Decyzja

Wariant bez magazynu lokalnego zostaje odrzucony mimo dodatniego bilansu energii. Przyjmuje się architekturę: bateria rezerwowa pokrywa energię misji, bufor lokalny ma co najmniej około 0,4026 F po założonej rezerwie pojemnościowej i pokrywa szybki skok, a jego ESR podlega osobnemu kryterium zapadu; monitor gotowości ocenia źródło pod reprezentatywnym obciążeniem, a automat nie uruchamia pełnego profilu przed potwierdzeniem. Brak potwierdzenia kończy sekwencję bez wielokrotnych automatycznych aktywacji.

Dowód i regresja

Dowód obejmuje analizę energii, pomiar impedancji dynamicznej, rozkład czasu aktywacji, próby temperaturowe oraz destrukcyjne badanie próbek z reprezentatywnych partii po sztucznym i rzeczywistym starzeniu. Nadzór eksploatacyjny śledzi czas osiągnięcia napięcia pod obciążeniem, minimum napięcia w piku, dostępną energię i stan mechaniczny w ramach zatwierdzonego planu próbkowania.19 Regresję uruchamia zmiana partii źródła, materiału aktywacyjnego, uszczelnienia, profilu programu, pojemności bufora, kryterium ESR lub limitu życia. Minimalny zestaw regresyjny ponownie przelicza bilans, odtwarza naroża aktywacji i piku oraz porównuje rozkłady z bazą; przekroczenie ustalonego progu trendu kieruje konfigurację do ponownej kwalifikacji, a nie do arbitralnego zwiększenia marginesu.

Konwersja wynika z funkcji

Dobór stopnia konwersji zaczyna się od obwiedni wejścia i wyjścia, kierunku przepływu, potrzebnej izolacji, mocy w czasie, termiki, zakłóceń oraz zachowania po uszkodzeniu. Nazwa topologii jest skrótem konsekwencji. Regulator liniowy upraszcza sterowanie i nie wytwarza własnej komutacji, lecz traci moc równą w przybliżeniu różnicy napięć pomnożonej przez prąd. Nieizolowane rodziny obniżające, podwyższające i odwracające zmieniają relację napięć oraz prądów, ale ich zachowanie zależy też od ciągłego lub nieciągłego prądu, prostowania synchronicznego i ograniczeń sterownika.

Izolowane rodziny flyback, forward, push-pull, półmostek i pełny mostek rozdzielają magazynowanie oraz przekazywanie energii, naprężenia kluczy i wymagania magnetyczne w odmienny sposób. Bariera może przerwać pętlę funkcjonalną albo ograniczyć propagację uszkodzenia, lecz zawsze zachowuje pojemność przenoszącą prąd wspólny. Izolacja funkcjonalna nie jest automatycznie izolacją ochronną. W terminologii koordynacji izolacji jej ocena zależy między innymi od napięcia roboczego i przejściowego, odstępów powietrznych i powierzchniowych, izolacji stałej, środowiska oraz metody próby.17 IEC 60664-1 dotyczy urządzeń przyłączonych do niskonapięciowych systemów zasilania, więc stanowi źródło definicji i metody, a nie gotowe kryterium kwalifikacji rakiety. Książka trakcyjna potwierdza wyłącznie analizę izolowanego stopnia DC/DC w swojej domenie.7

W przetwornicy wielowyjściowej wspólny transformator sprzęga szyny. Zmiana jednego obciążenia wpływa na regulację krzyżową, a zwarcie jednego wtórnego obciąża pozostałe przez wspólny rdzeń i ogranicznik pierwotny. Dodatkowy regulator poprawia dokładność, ale wnosi straty, sekwencję i następną pętlę. Określenie „niezależna szyna” powinno oznaczać rzeczywistą granicę energetyczną, nie tylko osobny przewód.

Decyzję zachowuje macierz kompromisów: sprawność w profilu, masa, temperatura, jakość zasilania, izolacja, rozruch, ograniczanie awarii, dojrzałość i koszt weryfikacji. Monografia Parchomiuka pokazuje na przykładzie trakcyjnym, że topologia, transformator, sterowanie, straty i pomiar muszą być optymalizowane razem.7 Zakres tej książki nie jest rakietowy; stosowalna jest metoda łączenia modeli, a nie jej konkretne napięcia, moce ani geometria.

Elementy rzeczywiste zmieniają schemat

Asymetria impulsów może akumulować strumień i nasycić rdzeń, po czym spadek indukcyjności gwałtownie zwiększa prąd. Straty rdzenia zależą od materiału, fali i temperatury, a straty miedzi — także od efektu naskórkowego i zbliżenia. Zmniejszenie indukcyjności rozproszenia może zwiększyć pojemność międzyuzwojeniową oraz prąd wspólny. Transformator jest zarazem elementem energetycznym, barierą, źródłem zakłóceń i procesem produkcyjnym.7

W półprzewodniku straty przewodzenia, przełączania i sterowania zmieniają się z profilem. Indukcyjność pętli, sprzężenie Millera i odzysk ładunku kształtują przepięcia; szybsze zbocze może ograniczyć jedną stratę, a zwiększyć emisję. Tłumik dodaje ciepło i nie zastępuje dobrej geometrii. Sprawność jest mapą napięcia, obciążenia, temperatury i trybu. Bilans powinien zamknąć moc wejściową, wyjściową i ciepło w granicach niepewności.

Regulacja i impedancje całego łańcucha

Pętla regulacji działa w ograniczonym paśmie i wokół punktu pracy. Poza nim energię zapewniają elementy bierne; po wejściu w ograniczenie prądu albo wypełnienia model małosygnałowy przestaje opisywać układ. Pomiar transmitancji pętli pokazuje lokalny zapas amplitudy i fazy, a skok obciążenia ujawnia duży sygnał, nasycenie sterowania i odzyskiwanie. Żaden z tych dowodów sam nie wystarcza.

Regulowany odbiornik o przybliżonej stałej mocy pobiera (I=P/U). Jego przyrostowa impedancja jest ujemna:

$$r_{in}=\frac{dU}{dI}=-\frac{U^2}{P}.$$

Spadek napięcia wywołuje więc wzrost prądu, który może pogłębić spadek. Filtr wejściowy zaprojektowany wyłącznie dla tłumienia emisji dodaje rezonans i może współdziałać z tym mechanizmem. Klasyczne kryterium projektowe wymaga, aby impedancja wyjściowa źródła z filtrem pozostawała dostatecznie mniejsza od modułu impedancji wejściowej odbiornika w paśmie nakładania się dynamik; nie jest to jednak pojedyncza uniwersalna liczba.8

Sieć kondensatorów na wyjściu tworzy z indukcyjnościami i różnymi ESR rezonanse oraz antyrezonanse. Suma pojemności nie określa impedancji w całym paśmie. Rzeczywisty model obejmuje wpływ napięcia stałego, temperatury, montażu i starzenia. Specyfikacja zapadu musi odwoływać się do tolerancji odbiornika, stanu resetu i czasu odzyskania, a nie wyłącznie do estetyki oscylogramu.

Studium syntetyczne II: filtr wejściowy, DC/DC i odbiornik stałej mocy

Studium nie odwzorowuje urządzenia wojskowego. Pokazuje mechanizm, w którym poprawa emisji może pogorszyć stabilność, a środek stabilizujący zwiększyć straty cieplne.

Wymaganie filtra wejściowego

Umowny moduł ma pobierać do 72 W z magistrali 24 V i spełniać limit zaburzeń przewodzonych. Dopuszczalny zapad na wejściu przetwornicy podczas zmiany obciążenia wynosi 2 V, a odpowiedź nie może zawierać narastających oscylacji. Filtr ma ograniczyć składową przełączeniową co najmniej dziesięciokrotnie w rozpatrywanym paśmie. Kryterium obowiązuje dla pełnej obwiedni źródła, temperatury i tolerancji elementów.

Założenia i rachunek

Przy 24 V i 72 W nominalny prąd wynosi 3 A, a impedancja statyczna (U/I=8\ \Omega). Przyrostowa impedancja odbiornika stałej mocy wynosi jednak (-8\ \Omega). Przyjmujemy syntetyczny filtr (L=100\ \mu\text{H}), (C=100\ \mu\text{F}). Jego idealna częstotliwość własna to

$$f_0=\frac{1}{2\pi\sqrt{LC}}\approx1592 \text{Hz}.$$

W rezonansie rzeczywista impedancja wyjściowa zależy głównie od strat. Jeżeli łączna rezystancja tłumiąca wynosi umownie 0,20 Ω, przybliżona dobroć układu jest wysoka, a szczyt impedancji może osiągnąć rząd (L/(RC)=5\ \Omega). To już nie jest wartość „znacznie mniejsza” od modułu 8 Ω. Dla ustalonego punktu napięciowego większa moc zmniejsza moduł (|r_{in}|=U^2/P); dla ustalonej mocy tak samo działa niższe napięcie. Obie zmiany pogarszają ten prosty margines impedancyjny. Osobno trzeba zbadać zmianę dynamiki pętli przetwornicy między punktami pracy, ponieważ może ona przesuwać bieguny, zera i fazę niezależnie od samej wartości (U^2/P).

Dla małego zaburzenia o amplitudzie 1 V odbiornik zmienia prąd o około (-0{,}125\ \text{A}). Znak oznacza dostarczanie energii do zaburzenia: gdy napięcie maleje, prąd rośnie. Jeśli impedancja źródła ma maksimum 5 Ω, sprzężony przyrost spadku osiąga około 0,625 V bez uwzględnienia fazy i pętli przetwornicy. Rachunek nie dowodzi niestabilności, ale wykazuje brak wygodnego rozdziału impedancji i wskazuje potrzebę modelu częstotliwościowego.

Środek zaradczy i jego koszt

Rozważamy pasywne tłumienie ograniczające maksimum impedancji do 1,5 Ω. Wtedy stosunek do 8 Ω wynosi 0,1875 w punkcie nominalnym. Element tłumiący nie powinien przenosić pełnego prądu stałego; gałąź RC może działać przede wszystkim w otoczeniu rezonansu. Jeżeli w krytycznym stanie jej skuteczny prąd RMS wyniesie syntetycznie 0,40 A, a rezystancja 2 Ω, dodatkowa strata to (I^2R=0{,}32\ \text{W}). Ta niewielka wartość lokalna wymaga jeszcze przeliczenia temperatury i zmian tłumienia z tolerancją.

Tłumienie może pogorszyć wynik emisji, ponieważ zmienia impedancję i drogę prądu. Alternatywą jest przesunięcie częstotliwości, zmiana pętli sterowania lub aktywne tłumienie, ale każda opcja dodaje inne ryzyko. Decyzja nie może wynikać z jednego wykresu.

Niepewność modelu impedancyjnego

Najważniejsze są tolerancje (L), pojemność pod polaryzacją, ESR z temperaturą, impedancja wiązki, rzeczywisty zakres mocy i model pętli przetwornicy. Sonda oraz zasilacz laboratoryjny dodają własną impedancję. Pomiar transmitancji impedancyjnej ma niepewność amplitudy i fazy; test emisji zależy od sieci pomiarowej, kabla, obudowy i trybu programu.8,9

Decyzja o tłumieniu

Filtr bez tłumienia zostaje odrzucony. Przyjmuje się wariant tłumiony, lecz warunkowo: musi zachować dziesięciokrotne tłumienie zaburzeń, dopuszczalną temperaturę i maksimum impedancji poniżej kontrolowanej granicy w całej obwiedni. Wymaganie dotyczy połączonego układu źródło–filtr–przetwornica–odbiornik, a nie samego filtra na sztucznym obciążeniu.

Dowód i regresja filtra

Model uśredniony wyznacza stosunek impedancji i marginesy; model przełączający sprawdza duże sygnały; pomiar impedancji, skoki obciążenia i badanie zaburzeń korelują oba poziomy. Rejestruje się temperaturę gałęzi tłumiącej oraz konfigurację kabli. Regresję wywołuje zmiana kondensatora, dławika, częstotliwości lub kompensacji przetwornicy, źródła, wiązki, obudowy albo programu zmieniającego pobór. Zestaw regresyjny obejmuje ponowny przegląd wykresu impedancji, oba kierunki skoku, emisję w trybie najcięższym i temperaturę. Zmiana przesuwająca rezonans poza poprzednie pasmo pomiaru unieważnia dawny dowód zamiast automatycznie go dziedziczyć.

Rozruch, podtrzymanie i wyłączenie

Ładowanie pojemności wejściowej przypomina początkowo zwarcie. Szczyt prądu ograniczają źródło, wiązka, złącze, ESR i element wstępnego ładowania. Łagodny start regulatora znajdującego się za kondensatorem nie ogranicza automatycznie prądu tego kondensatora. Analiza obejmuje zimny start, podłączenie do aktywnej magistrali, szybkie ponowne załączenie i początkowo naładowane szyny.

Wstępne ładowanie przez rezystor, źródło prądowe lub element szeregowy ma własne uszkodzenia: przerwę, zwarcie obejścia, przegrzanie i fałszywe potwierdzenie końca. Wielokrotna próba może skumulować ciepło. Potwierdzenie powinno rozróżniać napięcie pozorne od zdolności do zasilenia odbiornika, a automat mieć limit czasu i jednoznaczną politykę powrotu.

Użyteczna energia kondensatora przy spadku od (U_1) do (U_2) wynosi

$$E_u=\frac12 C(U_1^2-U_2^2).$$

Stąd dla stałej mocy (P) i czasu podtrzymania (t_h), przy sprawności η, minimalne przybliżenie ma postać (C\geq2Pt_h/[\eta(U_1^2-U_2^2)]). Do wyniku dochodzą ESR, tolerancja, wpływ napięcia, temperatura, starzenie i własny pobór konwersji. Podtrzymanie musi mieć cel funkcjonalny: dalszą pracę, zapis stanu, kontrolowany reset albo przejście do bezpiecznego stanu.

Wyłączanie jest odrębną fazą. Kondensatory, domena podtrzymania i napęd zdolny do regeneracji mogą utrzymywać napięcia po usunięciu wejścia. Rezystor rozładowujący ma tolerancję i może się przerwać; rozładowanie aktywne potrzebuje własnego zasilania i zdolności pochłonięcia energii. Bezpieczny stan nie zawsze oznacza minimum mocy — może wymagać krótkiego aktywnego ruchu, zapisu albo utrzymania blokady.

Sekwencjonowanie jest automatem fizycznym

Każdy stan automatu określa żądane źródła i szyny, potwierdzenia, limit czasu, wyjścia bezpieczne oraz przejście po błędzie. FPGA i procesor nie potwierdzają własnych warunków poprawnej pracy przed ustaleniem wymaganych szyn i zegara; źródła FPGA opisują implementację automatu, a AN-1311 — ogólne sposoby sekwencjonowania i monitorowania napięć, nie normatywną niezależność nadzoru.1,10 Jeżeli analiza awarii wymaga odrębnego wymuszenia resetu, trzeba jawnie wykazać niezależność monitora od chronionej funkcji, wspólnej referencji i zasilania pomocniczego. Jest to wymaganie konkretnej architektury; analogiczny warunek dla ochrony funkcji istotnych podaje ECSS-E-ST-20C Rev.1, pkt 4.2.1o, ale nie jest to norma pocisku.3

Sygnał „zasilanie poprawne” potwierdza zwykle przekroczenie określonego progu w określonym punkcie. Nie dowodzi małych tętnień, wydajności prądowej ani poprawności wszystkich domen. Jeśli korzysta z tej samej referencji co regulator, wspólna awaria może jednocześnie zepsuć napięcie i ukryć błąd. Należy znać pokrycie diagnostyczne monitora, sposób zasilania jego wyjścia i zachowanie przy częściowym zasilaniu.

Powolne narastanie, plateau w pobliżu progu, krótki zanik i wielokrotny brownout badają inne własności niż poprawny szybki start. Reset powinien być wymuszony przed utratą poprawnego wykonywania i zwolniony dopiero po ustaleniu szyn oraz zegara. Obserwuje się także wyjścia: kilka błędnych instrukcji przed resetem może wywołać skutek, którego późniejszy poprawny start nie cofnie.

Zasilanie wsteczne omija stan wyłączenia przez pin cyfrowy, wejście analogowe, ekran, linię testową albo diodę strukturalną. Może częściowo uruchomić domenę, zwiększyć prąd i naruszyć kolejność. Analiza obejmuje wszystkie kombinacje źródeł oraz stanów nadajników. Rozwiązaniem może być odporne wejście, rezystancja szeregowa, przełącznik albo izolacja, lecz każdy środek zmienia integralność sygnału i wymaga własnego dowodu.

Studium syntetyczne III: przejście z platformy na źródło pokładowe

Studium jest abstrakcyjne i nie opisuje sekwencji żadnego systemu uzbrojenia. Jego celem jest pokazanie kompletnego automatu, w którym energia, monitory i reakcja na uszkodzenie tworzą jeden dowód.

Wymaganie przejścia źródeł

Umowny moduł korzysta podczas inicjalizacji z magistrali platformy 28 V, a później z pokładowego źródła 24 V. Krytyczna domena 12 V ma przetrwać przerwę do 40 ms bez resetu, natomiast po dłuższej przerwie ma wejść w kontrolowany reset bez błędnego wyjścia. Źródła nie mogą zasilać się wzajemnie. Brak gotowości źródła pokładowego, awaria monitora lub zbyt niskie napięcie mają prowadzić do stanu zdegradowanego albo bezpiecznego wyłączenia, nie do nieograniczonej pętli prób.

Założenia i automat

Przyjmujemy syntetyczne stany:

  1. S0 — bez energii: wszystkie wyjścia wymuszone sprzętowo do stanu bezpiecznego.
  2. S1 — platforma obecna: aktywna jest domena nadzoru, a gałęzie funkcjonalne pozostają odłączone.
  3. S2 — wstępne ładowanie: bufor wejściowy ładuje się przez ograniczenie; limit czasu wykrywa przerwę lub nadmierny upływ.
  4. S3 — inicjalizacja: platforma zasila domeny, reset jest zwalniany po niezależnym potwierdzeniu napięcia i zegara.
  5. S4 — źródło pokładowe gotowe: monitor pod obciążeniem potwierdza zdolność źródła, lecz przełącznik nadal zapobiega przepływowi wstecznemu.
  6. S5 — nakładanie kontrolowane: przez krótki czas układ OR-ing zapewnia ciągłość, bez twardego połączenia źródeł.
  7. S6 — praca pokładowa: platforma jest odłączona i potwierdzony zostaje brak prądu wstecznego.
  8. S7 — degradacja: obciążenia drugorzędne są odłączone, a krytyczna domena zachowuje funkcję.
  9. S8 — wyłączenie bezpieczne: reset i blokady są aktywne, magazyn rozładowuje się kontrolowanie.

Każde przejście wymaga warunku pozytywnego i limitu czasu. Zanik platformy przed S4 prowadzi do S8; brak potwierdzenia w S2 również do S8; zapad źródła pokładowego w S6 prowadzi najpierw do S7, o ile energia wystarcza, a następnie do S8. Sprzeczne wskazania dwóch monitorów nie są rozstrzygane głosowaniem jednego bitu, lecz zatrzymują przejście i zapisują anomalię.

Rachunek podtrzymania

Krytyczna domena pobiera umownie 18 W. Przetwornica działa do spadku magistrali bufora z 16 V do 12 V, a jej konserwatywna sprawność wynosi 0,80. Dla 40 ms minimalna idealizowana pojemność wynosi

$$C\geq\frac{2\cdot18\cdot0{,}040}{0{,}80(16^2-12^2)}\approx0{,}0161 \text{F}.$$

Po dodaniu 40% na tolerancję, ESR, temperaturę, starzenie i pobór własny otrzymujemy 22,5 mF jako wymaganie modelowe. Nie jest to dobór katalogowy. Przy początkowym prądzie około (18/(0{,}8\cdot16)=1{,}41\ \text{A}) natychmiastowy spadek na umownym ESR 0,10 Ω wynosi 0,14 V; należy go odjąć od dostępnej obwiedni. Ładunek bufora wpływa także na prąd wstępnego ładowania.

Dla przejścia z nakładaniem kontrolowanym analizujemy napięcia źródeł jako (U_p), (U_b), ich impedancje i spadki elementów OR-ing. Warunek braku przepływu wstecznego nie oznacza dokładnie zerowego prądu chwilowego; określa dopuszczalną energię i kierunek w każdym stanie. Pomiary muszą odróżnić ładowanie bufora od zasilania platformy przez źródło pokładowe.

Awarie monitorów i częściowe zasilanie

Monitor „utknięty wysoko” mógłby przedwcześnie dopuścić S4. Dlatego gotowość wymaga niezależnego kryterium czasu oraz odpowiedzi źródła na kontrolowane obciążenie, a element energetyczny ma własne ograniczenie. Monitor „utknięty nisko” blokuje przejście i prowadzi do S8, co jest utratą funkcji, lecz nie utratą kontroli. Zanik zasilania samego monitora musi dawać stan jawnie niegotowy.

Linie danych między domeną platformową a pokładową są badane dla obu kolejności wyłączenia. Nadajnik bez zasilania nie może przez zabezpieczenia utrzymywać procesora powyżej obszaru poprawnego resetu. Ponowne pojawienie się platformy podczas S6 nie powoduje automatycznego powrotu do S3; wymaga nowej, autoryzowanej sekwencji.

Niepewność i decyzja

Niepewności obejmują ESR i pojemność bufora, czasy przełączników, rozrzut progów, opóźnienie monitorów, impedancję wiązki i zmienny pobór programu. Najgroźniejsze są wspólne zależności: ten sam dzielnik dla regulacji i nadzoru, ten sam powrót dla obu źródeł lub ten sam kod dla detekcji oraz reakcji.

Przyjmuje się architekturę z kontrolowanym OR-ing, niezależnym nadzorem krytycznego napięcia, sprzętowym resetem, buforem obliczonym na przerwę oraz jednokierunkowymi granicami sygnałowymi. Nieograniczone ponawianie startu zostaje zakazane. Stan S7 jest dozwolony tylko wtedy, gdy jego mniejszy pobór i zachowana funkcja są potwierdzone osobnym profilem.

Macierz weryfikacji i regresja

Przypadek Pobudzenie Oczekiwany stan Obserwacja Metoda
nominalne przejście gotowość źródła pokładowego, następnie zanik platformy S3→S4→S5→S6 napięcia, prądy obu źródeł, reset test integracyjny i analiza
przerwa 40 ms przerwanie toru podczas S5 brak resetu minimum szyny, stan wyjść test z reprezentatywną impedancją
przerwa dłuższa wydłużenie zaniku S8 bez błędnego wyjścia reset, blokady, rozładowanie test graniczny
brak gotowości źródło pokładowe poniżej obwiedni S8 limit czasu, brak pętli prób emulacja bezpieczna
monitor utknięty wysoko wymuszenie sygnału przy niegotowym źródle brak przejścia do S6 niezależny nadzór, prąd wstrzyknięcie uszkodzenia
zapad w pracy obniżenie zdolności w S6 S7, potem S8 priorytety, energia, reset test profilu
zasilanie wsteczne jedna domena wyłączona, interfejs aktywny prąd poniżej limitu, stan bezpieczny wszystkie piny i powroty pomiar integracyjny

Regresję wywołuje zmiana przełącznika, bufora, progów, wiązki, interfejsu danych, kodu automatu, obrazu FPGA albo profilu odbiornika. Zestaw minimalny obejmuje wszystkie wiersze tabeli oraz ponowne przeliczenie podtrzymania. Zmiana architektury monitora albo wspólnej referencji wymaga ponownej analizy niezależności, nie tylko powtórzenia przebiegów nominalnych.

Integralność zasilania i kompatybilność elektromagnetyczna

Filtr przekierowuje szybkozmienny prąd, a nie usuwa go. Prąd różnicowy wraca parą zasilającą, wspólny — przez konstrukcję, ekran i pojemności bariery; izolacja galwaniczna nie przerywa tej ostatniej drogi. Strony filtra pozostają rozdzielone tylko przy właściwej geometrii, a ekran działa przez zakończenie o małej impedancji. Wynik EMC dotyczy konkretnej obudowy, wiązki, sieci pomiarowej i stanu programu.9 Każdy środek zaradczy wraca do analizy stabilności oraz termiki.

Termika, środowisko i starzenie

Ciepło powstaje zgodnie z chwilową mapą strat i płynie przez złącze półprzewodnika, obudowę, płytkę, materiał pośredni oraz konstrukcję. Opór cieplny stanu ustalonego nie opisuje krótkiego impulsu; potrzebna jest impedancja cieplna w czasie i temperatura początkowa. Masa cieplna może bezpiecznie przejąć pojedynczy pik, lecz sekwencja prób może nie pozostawić czasu na ostygnięcie.

Temperatura działa zwrotnie: zmienia rezystancję miedzi, ESR kondensatorów, charakterystyki półprzewodników, straty rdzenia i impedancję baterii. Stabilny punkt istnieje tam, gdzie wytwarzanie ciepła zrównuje się z jego odprowadzaniem. Pomiar obudowy nie zawsze wyznacza temperaturę złącza podczas szybkiego zdarzenia; potrzebna jest korelacja z modelem lub parametrem elektrycznym zależnym od temperatury.

Obniżanie obciążenia znamionowego (derating) przypisuje dopuszczalne naprężenie do technologii, temperatury, transjentów, tolerancji i końca życia. Nie jest wspólnym procentem dla wszystkich części ani zamiennikiem analizy.13 Długie magazynowanie starzeje nie tylko źródło, lecz także styki, kleje, izolację, uszczelnienia i materiały termiczne. Przeciążenie startowe oraz drgania mogą ujawnić degradację połączenia, która elektrycznie była niewidoczna w spokojnym badaniu stołowym.

Niezawodność i obserwowalność

Redundancja zachowuje nazwaną funkcję tylko po usunięciu wspólnych zależności. Kanały zimny, ciepły i gorący różnią się czasem przejęcia, wykrywaniem ukrytej awarii oraz zużyciem energii; element OR-ing sam może się uszkodzić. Monitor współdzielący referencję z regulatorem nie jest niezależnym dowodem, a telemetria obecności źródła nie potwierdza przepływu prądu. Tezy o separacji dróg redundantnych, niewspółdzieleniu referencji przez ochronę i testowaniu funkcji ochronnych mają bezpośrednie odpowiedniki w ECSS-E-ST-20C Rev.1, pkt 4.2.1c–p i 4.2.4l–m; ich zastosowanie poza domeną kosmiczną wymaga własnego dostosowania.3 Wstrzykiwanie przerwy, zwarcia, dryfu lub sygnału utkniętego bada granicę awarii wyłącznie na przeznaczonych próbkach albo w emulacji, według analizy zagrożeń — nigdy na nieznanym uzbrojeniu.

Od modelu do dowodu przez całe życie

Model stałoprądowy zamyka budżety; uśredniony opisuje pętle i impedancje; przełączający pokazuje komutację oraz duży sygnał; model pasożytniczy i polowy odpowiada na wybrane pytania o geometrię, magnetykę albo ciepło. Najbardziej szczegółowy model nie zawsze jest najlepszy. Każdy powinien mieć pytanie, dane wejściowe, zakres ważności, wersję i mierzalne przewidywanie, które można przypisać do analizy albo próby w programie V&V.14,18

Stanowisko jest częścią obwodu. Zasilacz, obciążenie, przewody i sondy dodają impedancje, ograniczenia pasma i drogi wspólne. Próba reprezentatywna odtwarza właściwą obwiednię źródła, wiązkę, obudowę, temperaturę i stan programu. Korelacja nie polega na wyborze korzystniejszego wykresu: rozbieżność prowadzi do kontroli niepewności, warunków brzegowych i brakującego sprzężenia, po czym poprawiony model sprawdza się w innych punktach.

AIAA S-122 jest tu źródłem jedynie dla ogólnego wymagania V&V systemu energii bezzałogowego statku kosmicznego, nie dla całego modelu nadzoru eksploatacyjnego.14 Na potrzeby monografii rozróżnia się cztery zadania: kwalifikacja wykazuje margines projektu; badanie odbiorcze sprawdza egzemplarz wykonany według kwalifikowanego projektu i jego jakość wykonania; próbkowanie dostarcza wniosku o partii w granicach planu; nadzór eksploatacyjny okresowo ocenia stan zapasu i nadaje wynikom skutki logistyczne. Pierwsze dwa znaczenia odpowiadają rozdziałom 4.5.2–4.5.3 oraz 5.2–5.3 ECSS-E-ST-10-03C Rev.1, natomiast dwa ostatnie są tu ograniczone do publicznego modelu U.S. Army z DA PAM 742-1, rozdz. 2–3; nie ustanawiają uniwersalnego programu dla wszystkich pocisków.18,19 W przypadku źródła jednorazowego pełny test może być destrukcyjny, dlatego wniosek o konfiguracji opiera się na kontrolowanej populacji, identyfikowalności partii i modelu starzenia. Publiczne przeglądy technologii baterii termicznych potwierdzają wagę aktywacji, zarządzania ciepłem, okresu pracy i trwałości magazynowej, ale nie zastępują danych producenta konkretnej konfiguracji.11,12

Konfiguracja obejmuje sprzęt, obraz FPGA, oprogramowanie rozruchowe, nastawy kontrolera, dane kalibracyjne, profil odbiorników, stanowisko i skrypty. Zmiana rdzenia, materiału termicznego, rewizji układu scalonego albo programu może zmienić stabilność, emisję, temperaturę i reakcję na uszkodzenie. Rejestr decyzji wiąże wymaganie z modelem, wynikiem, niepewnością oraz zaakceptowaną wersją. Configuration management nie jest administracją po projekcie, lecz mechanizmem utrzymywania ważności dowodu.15

Po anomalii resztkowa energia jest jednocześnie zagrożeniem i dowodem. Najpierw zabezpiecza się ludzi oraz obszar, następnie utrwala konfigurację i logi. Wielokrotne ponowne zasilanie może zniszczyć ślady albo dostarczyć energię do trwałego zwarcia. Nieznany lub uszkodzony element uzbrojenia pozostaje potencjalnie aktywny; dalsze działania należą do EOD i autoryzowanego personelu technicznego.

Synteza łańcucha przyczynowego

Punktem wyjścia nie jest przetwornica, lecz czas. Wieloletnie magazynowanie i krótka misja premiują źródło rezerwowe, ale źródło to ma rozrzut aktywacji oraz impedancję zależną od temperatury. To narzuca monitor gotowości i lokalny bufor. Bufor zwiększa prąd rozruchowy, więc potrzebuje kontrolowanego ładowania. Element ładowania tworzy dodatkowy stan oraz możliwość awarii, zatem automat wymaga limitu czasu i bezpiecznego zakończenia. Rozdział funkcji na przetwornice poprawia jakość lokalnych szyn, lecz tworzy kaskadę impedancji i emisję. Filtr ogranicza emisję, lecz może wzbudzić odbiornik stałej mocy, więc wymaga tłumienia, które dodaje stratę. Strata podnosi temperaturę, temperatura zmienia impedancję źródła i części, a starzenie zmniejsza margines. Ochrona oraz diagnostyka muszą zatem działać w narożach końca życia, a ich poprawność trzeba zachować przez kontrolę konfiguracji i regresję.

Trzy studia pokazały tę samą tezę z różnych stron. Dodatni bilans energii baterii nie zapewnił napięcia podczas piku. Filtr poprawiający zaburzenia zmniejszył margines stabilności. Przełączenie dwóch poprawnych źródeł wymagało bufora, jednokierunkowych granic, niezależnego resetu i pełnego automatu. Architektura zasilania jest więc poprawna dopiero wtedy, gdy każdy wybór ma skutek przeprowadzony do funkcji, ciepła, awarii i dowodu, a każda zmiana wie, które dowody musi powtórzyć.

Słownik terminów

  • drzewo zasilania (power tree) — model źródeł, konwersji, dystrybucji, odbiorników i powrotów;
  • obwiednia wejściowa (input envelope) — zbiór dopuszczalnych stanów energii na określonej płaszczyźnie interfejsu;
  • wstępne ładowanie (precharge) — kontrolowane napełnienie magazynu przed zamknięciem głównej drogi;
  • podtrzymanie (hold-up) — zachowanie określonej funkcji dzięki energii lokalnej podczas przerwy;
  • zasilanie wsteczne (back-powering) — niezamierzony dopływ energii do wyłączonej domeny;
  • zasilanie częściowe (partial power) — stan, w którym tylko część powiązanych domen ma prawidłową energię;
  • ograniczanie obszaru awarii (fault containment) — niedopuszczenie, by pojedyncze uszkodzenie odebrało energię poza założoną granicą;
  • obniżanie obciążenia znamionowego (derating) — celowe ograniczenie naprężenia części w warunkach zastosowania;
  • nadzór eksploatacyjny (surveillance) — okresowa ocena trendu zdolności podczas magazynowania i użytkowania;
  • regresja — powtórzenie wskazanego zbioru analiz i prób po zmianie konfiguracji.

Źródła