1. Dopuszczenie jest argumentem, nie etykietą

Komponenty EEE — elektryczne, elektroniczne i elektromechaniczne — nie są niezawodne ani odpowiednie w oderwaniu od zastosowania. Ten sam element może poprawnie pracować w funkcji pomocniczej, a być niedopuszczalny w torze krytycznym; może mieć duży zapas napięciowy, lecz niewystarczający margines dokładności; może pochodzić z kwalifikowanej rodziny, ale z partii nieobjętej dowodem; może wreszcie być autentyczny i zgodny przy odbiorze, a zostać uszkodzony podczas przechowywania, programowania lub montażu.

Dlatego dopuszczenie nie jest cechą numeru katalogowego, klasy handlowej ani certyfikatu. Jest kontrolowanym argumentem łączącym:

  • wymaganie funkcjonalne i skutki jego niespełnienia;
  • dokładną tożsamość części oraz pochodzenie egzemplarzy;
  • dowód dotyczący konstrukcji, technologii i procesu;
  • dowód dotyczący bieżącej partii;
  • margines elektryczny, cieplny i funkcjonalny w całym czasie życia;
  • kompatybilność z montażem, oprogramowaniem i otoczeniem systemowym;
  • zdolność wykrywania zmian oraz utrzymania zgodności po zakończeniu produkcji.

Taką logikę przyjmują zarówno European Cooperation for Space Standardization (ECSS), jak i NASA: zapewnienie komponentów obejmuje ich wybór, ocenę, zakup, kontrolę, użytkowanie i utrzymanie danych konfiguracyjnych, a nie jednorazowe zatwierdzenie symbolu na schemacie.1,2 Komponent komercyjny z rynku powszechnego, określany jako COTS — commercial off-the-shelf — nie jest z definicji ani dobry, ani zły. Jego wartość zależy od tego, które cechy są kontrolowane przez producenta, jakie dane są dostępne i jak projekt kompensuje pozostałą niepewność.3

Najważniejszym produktem procesu nie jest więc lista „dobrych części”. Jest nim odtwarzalna odpowiedź na pytanie: dlaczego dokładnie te egzemplarze, pochodzące z określonej populacji i zamontowane w określonej konfiguracji, mogą spełniać wymagania tej aplikacji przez wymagany czas?

2. Mapa decyzji od wymagania do zgody

Pełny tok rozumowania można zapisać jako mapę:

wymaganie → stan awarii → parametry krytyczne → tożsamość części → jakość danych → margines → dowód partii → integracja → decyzja

Kolejne ogniwa nie są niezależnymi kontrolami administracyjnymi. Każde ogranicza zakres następnego.

Ogniwo Pytanie rozstrzygające Typowy wynik pracy Błąd przerywający argument
Wymaganie Jaką funkcję należy zachować i w jakich warunkach? mierzalne kryterium oraz profil życia zastąpienie funkcji ogólnym hasłem „wysoka niezawodność”
Stan awarii Co oznacza utrata, degradacja lub błędne wykonanie funkcji? skutki lokalne i systemowe analizowanie części bez kontekstu układu
Parametry krytyczne Które cechy elementu sterują danym stanem awarii? ograniczony zestaw parametrów i mechanizmów kopiowanie całej karty katalogowej bez hierarchii
Tożsamość Czego dokładnie dotyczą dane? producent, wariant, rewizja, technologia, obudowa, zakłady i partia wnioskowanie z podobnej nazwy handlowej
Jakość danych Czy wartość jest gwarantowana, zmierzona, scharakteryzowana, odziedziczona czy założona? rejestr danych wraz z zakresem ważności użycie wartości typowej jako granicy
Margines Czy najgorsza wiarygodna odpowiedź pozostaje zgodna? analiza obniżania obciążenia i WCCA porównanie jedynie wartości nominalnych
Dowód partii Czy bieżąca populacja odpowiada bazie dowodowej? wyniki odbioru, badań i segregacji partii rozszerzenie wyniku próbki na niejednorodną dostawę
Integracja Czy montaż, programowanie i interfejsy nie tworzą nowego zagrożenia? zgodność procesu i konfiguracji zbudowanej założenie, że zatwierdzona część daje zatwierdzony zespół
Decyzja Jaki zakres użycia rzeczywiście uzasadnia dowód? zgoda, ograniczenie, odstępstwo, przeprojektowanie lub odrzucenie wymuszenie odpowiedzi binarnej mimo niezamkniętej niepewności

Mapa działa w obie strony. Wynik badania partii może ujawnić większy rozrzut parametru, co zmienia analizę marginesu. Ta może wykazać zagrożenie dla funkcji, zmuszając projekt do powrotu do architektury albo wymagania. Podobnie zmiana obudowy może początkowo wyglądać jak problem zakupowy, lecz po analizie okazać się zmianą drogi cieplnej, pasożytów i profilu montażu.

Taki proces nie jest sekwencją pieczątek. Jest pętlą wnioskowania, w której każde twierdzenie ma źródło, zakres ważności, właściciela i powiązanie z konfiguracją wyrobu.

3. Wymaganie musi opisywać funkcję i czas

Dobór rozpoczyna się przed wyszukaniem komponentu. Najpierw trzeba określić, co układ ma robić, z jaką jakością, w jakich trybach i przez jaki okres. Profil obejmuje nie tylko pracę ustaloną, lecz także rozruch, wyłączenie, częściowe zasilanie, przełączanie trybów, testy, transport, magazynowanie, montaż, naprawy oraz możliwe stany uszkodzeń sąsiednich obwodów.

Wymaganie „element pracuje w szerokim zakresie temperatur” jest za słabe. Nie mówi, czy istotna jest dokładność, czas ustalania, prąd upływu, zdolność rozruchu, zachowanie po zaniku zasilania czy tylko przetrwanie bez trwałego uszkodzenia. Równie niepełne jest wymaganie „komponent klasy wojskowej”. Klasa zakupowa może określać część kontroli procesu lub badań, lecz nie opisuje funkcji realizowanej w konkretnym obwodzie.

Z wymagania systemowego należy wyprowadzić stany awarii. Służy temu analiza rodzajów i skutków uszkodzeń, FMEA — failure modes and effects analysis — albo jej rozszerzenie o krytyczność, FMECA. Analiza nie powinna zatrzymywać się na ogólnych hasłach „zwarcie” i „przerwa”. Dla konkretnej funkcji znaczenie mogą mieć również:

  • powolny dryft prowadzący do błędnej decyzji bez sygnału awarii;
  • nieprawidłowa kolejność rozruchu;
  • wyjście poza dozwolony stan podczas częściowego zasilania;
  • nadmierna latencja albo zmiana czasu propagacji;
  • utrata retencji lub konfiguracji;
  • krótkotrwałe zakłócenie, które zostaje zapamiętane przez system;
  • uszkodzenie wspólne dla kanałów uznawanych wcześniej za niezależne.

ECSS wskazuje analizę rodzajów, skutków i krytyczności jako proces systemowy: skutek zależy od miejsca elementu w architekturze, wykrywalności, redundancji i możliwości odzyskania funkcji.4 Ten sam typ komponentu może zatem wymagać innego dowodu w dwóch miejscach tego samego urządzenia.

Profil czasu życia obejmuje okres od zakupu do końca eksploatacji. Długie magazynowanie nie jest stanem bez obciążenia. Wilgoć, utlenianie powierzchni, starzenie materiałów obudowy, korozja, utrata szczelności i historia opakowania mogą zmieniać zdolność do późniejszego montażu. Z kolei screening i próby kwalifikacyjne mogą zużywać część trwałości mechanizmów o ograniczonej liczbie cykli. Ocena czasu życia musi uwzględniać oba zjawiska.

4. Od stanu awarii do parametrów krytycznych

Parametr jest krytyczny nie dlatego, że zajmuje eksponowane miejsce w karcie katalogowej, lecz dlatego, że łączy się z określonym stanem awarii. Wywód należy prowadzić od funkcji do fizyki.

Jeżeli stanem awarii jest brak poprawnego rozruchu, parametrami dominującymi mogą być próg podnapięciowy, histereza, czas narastania zasilania, pobór przejściowy, stan wyjść przed ustaleniem oraz zachowanie przy ponownym załączeniu. Jeżeli problemem jest utrata dokładności pomiaru, ważniejsze będą granice błędu, dryft temperaturowy i długoterminowy, prądy wejściowe, parametry źródła odniesienia oraz sprzężenie z zasilaniem. Dla elementu przełączającego krytyczne mogą być jednoczesne napięcie i prąd, zachowanie impulsowe, droga odprowadzania ciepła oraz reakcja sterowania w stanie uszkodzenia.

Pojedyncza wartość dopuszczalna rzadko opisuje cały problem. Granice absolutne wskazują obszar, którego nie wolno przekraczać, ale nie gwarantują poprawności funkcji w jego pobliżu. Podane oddzielnie maksymalne napięcie, prąd i moc nie muszą być dozwolone jednocześnie. Charakterystyka impulsowa zależy od przebiegu, czasu, powtarzalności, temperatury początkowej i chłodzenia. Parametr cieplny zmierzony na płytce referencyjnej nie jest uniwersalną właściwością obudowy, ponieważ rzeczywista temperatura struktury zależy także od płytki, geometrii miedzi, sąsiednich źródeł ciepła i warunków wymiany ciepła.

Pomocna jest metoda fizyki uszkodzeń: materiał, geometria, obciążenie, środowisko i czas tworzą mechanizm, a mechanizm prowadzi do obserwowalnej degradacji.5 Metoda ta nie zastępuje kwalifikacji partii. Pozwala natomiast ustalić, które różnice technologiczne są istotne, dlaczego dane z innej konstrukcji mogą być nieprzenośne oraz jaki pomiar rzeczywiście rozstrzyga hipotezę.

Badania promieniowania podlegają tej samej logice. Zapewnienie odporności radiacyjnej, RHA — radiation hardness assurance — nie sprowadza się do jednej etykiety „odporny”. Różne kategorie oddziaływań mogą prowadzić do dryftu parametrów, błędów przejściowych, przerw funkcjonalnych albo trwałego uszkodzenia. Wynik dotyczący jednego efektu nie stanowi dowodu dla pozostałych. Jego ważność zależy od dokładnej technologii, rewizji struktury, partii, warunków polaryzacji, trybu pracy oraz jakości metrologii.6

5. Poziomy tożsamości komponentu

Tożsamość ma kilka poziomów. Ich pomieszanie jest jedną z głównych przyczyn bezpodstawnego dziedziczenia danych.

Rozważmy ogólny układ sterowania zasilaniem. Na poziomie funkcjonalnym jest to „regulator o wymaganym napięciu wyjściowym”. Taki opis wystarcza do znalezienia kandydatów, lecz nie do zakupu. Na poziomie rodziny handlowej pojawia się wspólna nazwa produktu. Nadal może ona obejmować wiele obudów, zakresów temperatur, wykończeń i wariantów funkcjonalnych. Dopiero pełny kod zamówieniowy wskazuje konkretny wariant oferowany przez producenta. Nawet on nie zawsze ujawnia zmianę struktury półprzewodnikowej, zakładu produkcyjnego albo podwykonawcy montażu.

Poziom tożsamości Co rozróżnia Dlaczego jest potrzebny
Funkcja ogólną rolę w obwodzie służy do wyszukania kandydatów, nie do zatwierdzenia
Rodzina produktu wspólną architekturę handlową pozwala zebrać dokumentację rodziny, lecz może łączyć różne warianty
Pełny kod zamówieniowy obudowę, klasę, wykończenie, sposób pakowania i inne opcje określa, co wolno zamówić
Rewizja produktu strukturę, maski, poprawki i erraty decyduje o zachowaniu, modelach i podatności na niektóre mechanizmy
Łańcuch technologiczny zakład wytwarzania struktury, montażu i testu oraz użyte materiały wyznacza zakres kwalifikacji procesu
Partia wspólny, zdefiniowany rodowód produkcyjny określa populację reprezentowaną przez próbkę
Egzemplarz i zespół konkretną sztukę, status programowania i miejsce montażu umożliwia ograniczenie skutków późniejszego ustalenia

Kod daty nie jest synonimem partii. W jednym okresie mogły powstać różne partie struktur, montażu i testu. Z kolei wspólna partia dostawcza może zawierać materiał z różnych partii producenta. Przed użyciem wyniku próbki trzeba więc wiedzieć, jaka definicja populacji obowiązuje.

Dokumentacja projektu powinna wiązać zatwierdzoną listę części z rzeczywistą listą materiałową, zakupem, przyjęciem, magazynem, wydaniem na produkcję i zbudowanym zespołem. DPL — declared parts list, czyli deklarowana lista części — opisuje elementy rzeczywiście przewidziane w projekcie. APL — approved parts list, lista części zatwierdzonych — może natomiast zawierać wcześniejsze dopuszczenia i warunki ich użycia. Obecność w APL nie oznacza automatycznie zgody na nowe zastosowanie.

Dla układów programowalnych dochodzi druga tożsamość: konfiguracja logiczna. Dokładny wariant struktury, obudowa, klasa szybkości, narzędzia, ograniczenia czasowe, biblioteki własności intelektualnej, plik konfiguracyjny oraz wynik sprawdzenia po zaprogramowaniu tworzą jeden obiekt dowodowy. Kwalifikacja fizycznego FPGA nie dowodzi poprawności projektu logicznego, a poprawna symulacja HDL nie dowodzi odporności obudowy, zasilania ani samego procesu programowania.7 Lokalne opracowania Salauyou i Klimowicza oraz Bruno i Eschemanna pokazują dodatkowo, że identyczny opis funkcji może prowadzić do innego odwzorowania zasobów, czasu działania i zachowania interfejsów zależnie od architektury, ograniczeń oraz wersji narzędzi.8,9

6. Jakość danych i granice ich ważności

Nie wszystkie liczby mają tę samą moc dowodową. Podstawowy podział obejmuje dane gwarantowane, charakterystykę, wynik badania, wnioskowanie przez podobieństwo i założenie.

Dane gwarantowane mają określoną granicę i warunki obowiązywania. Gwarancja może wynikać z pomiaru każdej sztuki albo z kontroli projektu i procesu; brak testu stuprocentowego nie oznacza automatycznie braku gwarancji. Trzeba jednak znać jej podstawę.

Charakterystyka opisuje typowy rozkład lub zachowanie poza minimalnym zakresem badań produkcyjnych. Pomaga budować model i rozumieć tendencje, ale sama nie ustanawia granicy zakupowej. Wartość typowa nie może wejść do analizy najgorszego przypadku jako wartość maksymalna tylko dlatego, że jest jedyną dostępną liczbą.

Wynik badania dotyczy określonej próbki, metody i warunków. Może być bardzo silnym dowodem dla tej próbki, a jednocześnie słabym dowodem dla innej partii, obudowy lub aplikacji.

Wnioskowanie przez podobieństwo przenosi część wiedzy z obiektu odniesienia. Jego siła zależy od wykazania wspólnej konstrukcji i procesu oraz od tego, czy różnice są nieistotne dla badanego mechanizmu.

Założenie wypełnia lukę tymczasowo. Musi być widoczne w rejestrze ryzyka i powiązane z planem zamknięcia. Brak danych nie jest równoważny wartości zerowej ani brakowi podatności.

Rodzaj danych Typowy zakres ważności Poprawne użycie Niedopuszczalne rozszerzenie
Gwarantowana granica katalogowa wskazane warianty i warunki bezpośrednia granica wejściowa analizy użycie poza warunkami albo dla innego wariantu
Charakterystyka producenta zbadane próbki i opisane warunki model centralny, identyfikacja trendu potraktowanie wykresu typowego jak gwarancji
Kwalifikacja reprezentowany projekt, proces, zakład, obudowa i profil prób dowód dojrzałości określonej konfiguracji dziedziczenie po zmianie procesu bez oceny
Wynik partii zdefiniowana populacja reprezentowana przez próbkę decyzja o tej populacji według planu rozszerzenie na inne partie albo mieszaną dostawę
Dane z eksploatacji dokładna konfiguracja i profil użycia potwierdzenie trendów i hipotez przeniesienie z innego rynku bez normalizacji
Podobieństwo wyłącznie cechy objęte wykazaną wspólnością ograniczone dziedziczenie dowodu zastąpienie analizy stwierdzeniem „ta sama rodzina”

Każda liczba potrzebuje zatem metadanych: źródła, rewizji dokumentu, tożsamości komponentu, partii, warunków, liczności próbki, metody i niepewności. Wykres bez tych informacji może być użyteczny jako wskazówka badawcza, ale nie jako podstawa precyzyjnej granicy.

Gdy dwa źródła są sprzeczne, nie wybiera się korzystniejszego. Najpierw sprawdza się jednostki, warunki, rewizję, pochodzenie próbek, temperaturę, polaryzację, program pomiarowy i wzorcowanie. Do czasu rozstrzygnięcia analiza powinna stosować bezpieczną obwiednię albo jawnie pozostawić kwestię otwartą.

7. Margines aplikacyjny: obciążenie to nie wszystko

Margines ma co najmniej dwa różne znaczenia. Derating, czyli celowe obniżenie wykorzystania parametrów obciążeniowych, utrzymuje napięcie, prąd, moc, temperaturę lub inne naprężenie poniżej przyjętej części wartości dopuszczalnej. WCCA — worst-case circuit analysis, analiza obwodu w najgorszym przypadku — sprawdza natomiast, czy funkcja pozostanie zgodna po uwzględnieniu tolerancji początkowych, temperatury, starzenia, zmian zasilania, obciążenia i innych istotnych oddziaływań.

Część może spełniać wymaganie deratingu, a mimo to nie spełniać funkcji. Przykładowo element pracuje daleko od granicy uszkodzenia, lecz jego dryft powoduje przekroczenie dopuszczalnego błędu toru. Możliwa jest też sytuacja odwrotna: nominalna odpowiedź funkcjonalna wygląda dobrze, ale zastosowanie narusza obszar bezpiecznej pracy albo nie pozostawia zapasu na przejścia.

ECSS traktuje derating jako odrębną dyscyplinę i nie utożsamia go z kwalifikacją ani analizą funkcjonalną.10 Podręcznik ECSS dotyczący WCCA wskazuje potrzebę propagowania tolerancji, temperatury, starzenia i wpływów środowiskowych do wyniku obwodu.11

W najprostszej postaci margines funkcjonalny można zapisać jako odległość między najgorszą wiarygodną odpowiedzią a granicą wymagania. Nie wystarczy zsumować wszystkich maksymalnych odchyleń, jeśli tworzy to fizycznie niemożliwą konfigurację, ale nie wolno też przyjmować korzystnego znoszenia się błędów bez podstawy. Metoda łączenia wpływów musi odpowiadać ich zależnościom, rozkładom i wspólnym przyczynom.

WCCA powinna rozróżniać:

  • tolerancję początkową egzemplarza;
  • zależność temperaturową;
  • zmianę wynikającą ze starzenia i liczby cykli;
  • różnice między partiami oraz zakładami;
  • nieodwracalny dryft od środowiska;
  • niepewność modelu i pomiaru;
  • wpływ elementów sąsiednich oraz algorytmów kalibracji.

Niepewność pomiaru jest częścią decyzji, zwłaszcza blisko granicy. Pasmo ochronne między wynikiem pomiaru a kryterium zapobiega sytuacji, w której element zostaje uznany za zgodny mimo że rzeczywista wartość może leżeć poza limitem. Regułę należy ustalić przed poznaniem wyników. Przesuwanie granicy po badaniu jest zmianą wymagania, a nie interpretacją danych.

8. Pięć narzędzi, pięć różnych pytań

Kwalifikacja, screening, badanie odbiorcze partii, analiza fizyczna i badania promieniowania bywają przedstawiane jako lista skrótów. W rzeczywistości odpowiadają na odmienne pytania.

Kwalifikacja pyta: czy konstrukcja oraz kontrolowany proces wytwarzania są zdolne spełniać określone wymagania po reprezentatywnych narażeniach? Nie jest badaniem każdego egzemplarza. Jej zakres wyznaczają rodzina, technologia, rewizja, zakład, obudowa, materiały i profil prób. Zmiana poza tym zakresem może wymagać kwalifikacji różnicowej albo nowego programu.

Screening, czyli selekcja przez badania produkcyjnych egzemplarzy, pyta: czy w bieżącej populacji można wykryć określone wady wczesne lub niezgodności wykonania? Nie dowodzi wszystkich mechanizmów czasu życia. Źle dobrany albo niekontrolowany screening może sam wprowadzić przeciążenie, uszkodzenie elektrostatyczne lub pomyłkę tożsamości. Dodatkowe badania części komercyjnych nie zmieniają automatycznie ich pierwotnej klasy ani kontroli procesu producenta.

LAT — lot acceptance test, badanie odbiorcze partii, pyta: czy próbka zdefiniowanej partii wspiera przyjęcie całej reprezentowanej populacji według wcześniej ustalonego planu? Wynik zależy od jednorodności partii, sposobu pobrania próbki i reguł statystycznych. Brak wykrytych wad nie dowodzi zerowego prawdopodobieństwa wady.

DPA — destructive physical analysis, niszcząca analiza fizyczna, pyta: czy konstrukcja i jakość wykonania badanej próbki odpowiadają oczekiwanej bazie? Może ujawnić różnicę struktury, połączeń lub materiałów, której nie widać w prostym badaniu elektrycznym. Jej wniosek dotyczy jednak próbki i populacji, z którą próbka pozostaje wiarygodnie związana. DPA jest specjalistyczną usługą laboratoryjną, a nie czynnością odbiorczą do improwizowanego wykonania.

Badania promieniowania pytają: jak dokładna konfiguracja reaguje na określone kategorie oddziaływań w warunkach odnoszących się do przewidywanego użycia? Nie zastępują kwalifikacji mechanicznej, elektrycznej ani technologicznej. Wynik starej rewizji struktury lub innej partii może być jedynie dowodem pośrednim.

Narzędzie Obiekt wniosku Najważniejsze ograniczenie
Kwalifikacja projekt i kontrolowany proces nie obejmuje nieujawnionej zmiany konstrukcji lub zakładu
Screening badane egzemplarze produkcyjne wykrywa tylko wady pobudzane i obserwowane przez dany proces
LAT zdefiniowana partia wymaga reprezentatywnej próbki i jednorodnej populacji
DPA konstrukcja i wykonanie próbki nie dowodzi wszystkich właściwości elektrycznych ani całej dostawy
Badanie promieniowania podatność dokładnej konfiguracji w określonych warunkach nie przenosi się automatycznie między rewizjami i partiami

NASA EEE-INST-002 zestawia wybór, screening, kwalifikację i derating jako powiązane, lecz odrębne elementy programu.12 Siła argumentu powstaje dopiero przez ich właściwe złożenie. Liczba wykonanych badań nie kompensuje błędnej tożsamości próbki ani braku związku z aplikacją.

9. Pochodzenie i definicja populacji

Zakup bezpośrednio od producenta oryginalnego lub z autoryzowanego kanału zwykle zapewnia najsilniejszą ciągłość dokumentów, informacji o zmianach i opieki nad materiałem. Nie oznacza to, że każda taka dostawa jest wolna od wad. Oznacza natomiast, że łatwiej ustalić, co zakupiono, z jakiego procesu pochodzi materiał i kogo obowiązuje odpowiedzialność za niezgodność.

Certyfikat zgodności, CoC — certificate of conformance — jest ważnym dokumentem, lecz nie uwierzytelnia samodzielnie części. Jego wartość zależy od wystawcy, zakresu deklaracji, powiązania z zamówieniem oraz ciągłości między dokumentem a fizyczną dostawą. Skan poprawnego certyfikatu dołączony do innego materiału nie tworzy pochodzenia.

Rynek niezależny zwiększa ryzyko części odzyskanych, ponownie oznaczonych, pomieszanych, nieprawidłowo przechowywanych albo fałszywie przedstawionych. NASA wymaga, aby kontrola części podejrzanych i podrobionych obejmowała zapobieganie, wykrywanie, ograniczanie skutków, decyzję o materiale oraz raportowanie.2,13 Najsilniejszą ochroną pozostaje kontrolowany kanał zakupu; inspekcja i testy są kolejnymi warstwami, nie pełnym zamiennikiem utraconego pochodzenia.

Kluczowym pojęciem jest populacja. Przesyłka nie musi być jedną populacją tylko dlatego, że dotarła w jednym pudełku. Różne kody daty, partie montażowe, oznaczenia, opakowania lub historie przechowywania mogą tworzyć kilka subpopulacji. Każda z nich może wymagać oddzielnego wniosku.

Próbka mówi o całej partii tylko wtedy, gdy:

  1. partia została jednoznacznie zdefiniowana;
  2. próbka została pobrana zgodnie z planem;
  3. zachowano związek próbki z populacją;
  4. metoda wykrywa cechę będącą przedmiotem wniosku;
  5. nie ma oznak, że dostawa zawiera ukryte, odmienne subpopulacje.

Badanie kilku dobrze wyglądających egzemplarzy nie reprezentuje reszty. Wybranie próbek po oględzinach prowadzi do systematycznego błędu. Również ponowne badanie po pierwszej niezgodności nie może służyć do usunięcia niewygodnego wyniku bez wykazania błędu metody lub zastosowania zatwierdzonej reguły.

10. Integracja jest częścią dowodu

Komponent zgodny przed montażem może stać się niezgodny w zespole. Obudowa wyznacza drogę cieplną, podatność na wilgoć, pasożyty, sposób lutowania i reakcję na naprężenia płytki. Wykończenie wyprowadzeń oddziałuje z materiałem połączenia. Profil cieplny, czyszczenie, powłoka ochronna, klejenie i naprawa mogą zmienić stan elementu lub utworzyć nowy mechanizm awarii.

Dlatego dopuszczenie części musi przekazywać ograniczenia do procesu wytwarzania. Jeżeli obudowa wymaga kontroli ekspozycji na wilgoć, historia opakowania i czas poza opakowaniem pozostają powiązane z partią. Ponowne zamknięcie torby nie zeruje wcześniejszej ekspozycji. Jeżeli element podlega ograniczeniom liczby cykli cieplnych, naprawa zespołu zmienia jego historię.

W układach programowalnych integracja obejmuje również narzędzia, plik konfiguracji, wersje bloków, ograniczenia czasowe i zapis wyniku programowania. Bruno i Eschemann pokazują przepływ od specyfikacji i ograniczeń przez symulację, syntezę, implementację oraz analizę czasu; każdy etap wnosi artefakty konieczne do odtworzenia wyniku.9 Sama obecność właściwego układu na płytce nie dowodzi zatem właściwej funkcji.

Ślad konfiguracyjny powinien prowadzić od wymagania do pozycji schematu, zatwierdzenia części, zakupu, partii, kontroli odbiorczej, wydania materiału, montażu i konkretnego zespołu. Dzięki temu późniejsze ostrzeżenie można ograniczyć do rzeczywiście dotkniętych wyrobów. Bez takiej identyfikowalności niepewność rozszerza się na całą produkcję lub flotę.

11. Rodziny według dominujących mechanizmów

Rodzin komponentów nie należy uczyć jako szeregu niezależnych list parametrów. Użyteczniejszy jest podział według tego, co najczęściej dominuje ich zachowanie i dowód.

Półprzewodniki

W półprzewodnikach kluczowe są struktura, proces, geometria, izolacja, rozkład parametrów i interakcja z obudową. Zmniejszenie wymiaru technologicznego, zmiana masek lub przeniesienie produkcji może zmienić prądy upływu, czasy, zachowanie przejściowe, rozkład mocy i podatność środowiskową mimo zachowania wyprowadzeń.

Dla elementów analogowych dominować mogą błędy, dryft, zakres wspólny, stabilność, rozruch oraz odzyskiwanie po nasyceniu. Dla elementów przełączających — jednoczesne naprężenia elektryczne i cieplne, sterowanie, energia przejść oraz pasożyty. Dla przetworników — błąd statyczny i dynamiczny, źródło odniesienia, zegar, sterowanie wejścia i zachowanie interfejsu. Parametry wybiera funkcja, a nie nazwa rodziny.

Elementy pasywne i magnetyczne

W elementach pasywnych dominują materiały, geometria, zależność od napięcia, temperatury, częstotliwości, wilgoci i czasu. Kondensator o właściwej pojemności nominalnej może tracić znaczną część użytecznej wartości w określonym punkcie pracy. Rezystor może spełniać tolerancję początkową, lecz wykazywać istotny współczynnik napięciowy albo wrażliwość powierzchniową. Element magnetyczny zmienia parametry wraz z polaryzacją, częstotliwością, temperaturą i sposobem wykonania uzwojenia.

Własność nominalna jest więc początkiem opisu. Dowód musi uwzględniać mechanizm materiałowy, obciążenie rzeczywiste i sposób montażu.

Elementy programowalne i pamięci

Tutaj istnieją dwie warstwy produktu: fizyczna struktura oraz zapisana funkcja. Mechanizmy obejmują retencję, trwałość zapisu, rozruch konfiguracji, integralność pamięci, wrażliwość na sekwencję zasilania, zachowanie interfejsów oraz błędy projektu logicznego.

Dla FPGA kwalifikacja układu nie obejmuje automatycznie projektu HDL, ograniczeń czasowych, przekraczania domen zegarowych ani zawartości pamięci inicjalizacyjnej. Salauyou i Klimowicz pokazują, że poprawność symulacji funkcjonalnej nie przesądza jeszcze o właściwym odwzorowaniu pamięci, sieci zegarowych i innych zasobów docelowego układu.8 Kontrolować trzeba zarówno tożsamość struktury, jak i konfigurację załadowaną do konkretnego egzemplarza.

Elementy elektromechaniczne i połączeniowe

W przekaźnikach, przełącznikach i złączach dominują styki, powłoki, siły, zużycie, zanieczyszczenia, korozja, drgania i historia łączeń. Obciążenie ma znaczenie nie tylko przez wartość prądu, lecz także przez jego charakter. Rezystancyjna klasyfikacja styku nie opisuje wprost zachowania przy prądzie udarowym, obciążeniu pojemnościowym ani przerwaniu prądu indukcyjnego.

Zatwierdzenie rodziny złącza nie oznacza zatwierdzenia dowolnej kombinacji obudowy, wkładki, styków, powłoki i zakończenia przewodu. W tej grupie szczególnie ważne jest połączenie dowodu komponentu z procesem zaciskania, lutowania, montażu i kontroli wiązki.

Podział według mechanizmów prowadzi do wspólnej zasady: o wartości podobieństwa decyduje wspólność cech odpowiedzialnych za awarię, nie podobieństwo wyglądu ani przeznaczenia marketingowego.

12. Przypadek pierwszy: pozornie zgodny zamiennik po PDN

Zdarzeniem początkowym jest PDN — product discontinuance notification, zawiadomienie o zakończeniu produkcji. Dostępny kandydat ma ten sam ogólny opis funkcji, zgodny rozkład wyprowadzeń i pasuje do istniejącego pola lutowniczego. Wyszukiwarka parametryczna określa go jako zamiennik bezpośredni. Taki wynik jest hipotezą, nie decyzją.

Najpierw zachowuje się wymagania starego zastosowania: funkcję, stany awarii, krytyczne parametry i profil życia. Te dane można odziedziczyć, ponieważ opisują system, a nie poprzednią część. Można też odziedziczyć historię starego rozwiązania jako dowód o układzie odniesienia. Nie wolno jednak przenieść jej automatycznie na kandydata.

Macierz podobieństwa porządkuje różnice.

Obszar Obserwowane podobieństwo Co można odziedziczyć Co wymaga nowego dowodu
Wyprowadzenia i obudowa zgodne rozmieszczenie oraz nominalne wymiary część geometrii płytki funkcje stanów nieaktywnych, pole cieplne, wymagania montażowe
Parametry gwarantowane część granic jest równa lub szersza tylko wspólne, rzeczywiście gwarantowane granice parametry niegwarantowane, warunki pomiaru i brakujące narożniki
Rozruch i sekwencja ten sam opis funkcji końcowej wymaganie systemowe próg, histereza, czas, pobór przejściowy i stan wyjść
Termika podobna moc nominalna model otoczenia i płytki straty dynamiczne, droga cieplna i temperatura struktury
Technologia i rewizja inna struktura albo brak danych nic poza ogólną funkcją mechanizmy uszkodzeń, rozrzut, starzenie i modele
Zakład produkcji inny lub nieustalony wymagania zakupowe ciągłość kwalifikacji i stabilność procesu
Obudowa i materiały zgodny kontur zewnętrzny część wymiarów interfejsu wilgoć, pasożyty, wykończenie, montaż i niezawodność połączeń
Promieniowanie producent używa podobnego określenia handlowego wymaganie środowiskowe dane dla dokładnej struktury, partii i efektu
EMC zgodne napięcia nominalne kryteria systemowe widmo przełączania, prądy przejściowe i odporność wejść
Model symulacyjny dostępny model nowego elementu topologię obwodu zakres ważności modelu i korelację z pomiarem

Macierz nie służy do liczenia procentu zgodności. Jedna różnica w dominującym mechanizmie może ważyć więcej niż dziesięć podobieństw drugorzędnych. Identyczny rozkład wyprowadzeń nie rekompensuje innego zachowania podczas rozruchu, a zgodne parametry statyczne nie dowodzą zgodności dynamicznej.

Powstają co najmniej cztery hipotezy:

  1. kandydat jest równoważny we wszystkich cechach istotnych dla aplikacji;
  2. różni się, ale istniejący margines obejmuje różnice;
  3. różni się w sposób wymagający lokalnej zmiany obwodu, oprogramowania lub procesu;
  4. różnica dotyczy mechanizmu, którego nie można wiarygodnie ograniczyć bez przeprojektowania.

Dowód rozpoczyna się od porównania gwarantowanych granic i warunków. Następnie aktualizuje się WCCA, model cieplny, analizę rozruchu oraz kompatybilność elektromagnetyczną, EMC. Jeśli wspólność konstrukcji i procesu została wykazana, część wcześniejszej kwalifikacji może pozostać ważna. Różnice otrzymują badania różnicowe, nazywane też próbami delta. Ich zakres wynika z mechanizmu, a nie z presji harmonogramu.

Można przykładowo odziedziczyć wymagania systemowe, topologię układu, dane o środowisku, część kwalifikacji płytki i wyniki starego komponentu jako bazę odniesienia. Nowego potwierdzenia wymagają te parametry, które zależą od innej struktury, obudowy, procesu albo zachowania dynamicznego. Dane radiacyjne można odziedziczyć tylko w zakresie popartym wspólnością dokładnej technologii i konfiguracji; podobna nazwa nie wystarcza.6

W rozpatrywanym przypadku granice statyczne i zachowanie cieplne pozostają zgodne, ale badanie w narożnikach temperatury ujawnia dłuższy czas osiągania stanu gotowości oraz większy przejściowy pobór prądu niż dla części pierwotnej. Zaktualizowana analiza najgorszego przypadku pokazuje, że w zimnym rozruchu układ nadzorujący może zwolnić reset przed ustaleniem wyjścia zamiennika. Jest to utrata wymaganej kolejności, mimo że po zakończeniu rozruchu wszystkie wartości mieszczą się w granicach. Próba EMC nie ujawnia nowej niezgodności, więc problem zostaje zawężony do dynamiki zasilania i sekwencjonowania.

Decyzja dla opisanego stanu: kandydat nie zostaje zatwierdzony jako zamiennik bezpośredni. Projekt otrzymuje kontrolowaną zmianę sekwencji włączania, a zmodyfikowana konfiguracja musi przejść badanie różnicowe rozruchu, zasilania i funkcji w pełnej obwiedni środowiska. Dopiero wynik tej próby może stać się podstawą nowego dopuszczenia. Formalne odstępstwo nie byłoby tu dowodem równoważności, ponieważ wykazano już konkretny mechanizm utraty funkcji.

13. Przypadek drugi: podejrzana dostawa z rynku niezależnego

Zdarzeniem początkowym jest niedobór części i dostawa z rynku niezależnego. Dokumentacja ma luki, występują różne kody daty, a oznaczenia lub opakowania nie są całkowicie spójne. Pierwszą decyzją nie jest wybór badania, lecz kwarantanna.

Materiał zostaje odseparowany fizycznie i systemowo. Blokuje się jego wydanie do produkcji, zapisuje ilość, położenie, status i dopuszczone działania. Jeżeli część dostawy została już zamontowana, kwarantanna obejmuje również zidentyfikowane zespoły oraz materiały pozostające w toku. Nie wolno mieszać podejrzanych części z zapasem zaakceptowanym ani przepakowywać ich w sposób niszczący pierwotne powiązania.

Rekonstrukcja dowodu przebiega od dokumentów do populacji. Sprawdza się zamówienie, sprzedawcę, deklarowane źródło, certyfikaty, etykiety, ilości, daty, historię transportu i przechowywania. Celem nie jest uzyskanie „ładnego kompletu papierów”, lecz wykazanie ciągłości między dokumentem a fizycznym materiałem.

Następnie dostawę dzieli się na obserwowalne subpopulacje. Różne oznaczenia, daty, opakowania lub cechy wykonania nie muszą dowodzić fałszerstwa, ale mogą oznaczać, że wspólny wniosek o całej przesyłce jest nieuzasadniony.

Hipotezy obejmują:

  • autentyczny, jednorodny materiał z niepełną dokumentacją;
  • autentyczny materiał z kilku partii o różnej historii;
  • elementy autentyczne, ale wcześniej używane lub niewłaściwie przechowywane;
  • pomieszanie właściwych i niewłaściwych wariantów;
  • fałszywe przedstawienie tożsamości, pochodzenia albo klasy;
  • błąd dokumentacyjny lub pomiarowy bez niezgodności samego produktu.

Oględziny i pomiary elektryczne odpowiadają tylko na część pytań. Zgodność wyglądu nie dowodzi wnętrza ani historii. Prosty wynik funkcjonalny może potwierdzić, że próbka wykonuje określoną czynność w warunkach testu, lecz nie dowodzi dokładnej struktury, klasy, pełnego zakresu parametrów ani trwałości. Kontrolowana analiza fizyczna próbki może zwiększyć pewność co do konstrukcji i wykonania, ale nie stanowi automatycznie dowodu dla niejednorodnej dostawy.

Należy rozdzielić cztery poziomy wniosku.

Wniosek o próbce. Opisuje, co rzeczywiście zaobserwowano w zbadanych egzemplarzach. Może brzmieć: badane sztuki są zgodne z określonymi cechami odniesienia albo wykazują konkretną niezgodność. Nie wolno zastępować go zdaniem o całej dostawie.

Wniosek o subpopulacji. Łączy próbki wyłącznie z egzemplarzami mającymi te same obserwowalne cechy, dokumenty i historię. Wyniku nie wolno przenosić na inne kody daty, oznaczenia lub opakowania tylko dlatego, że znajdowały się w jednej przesyłce.

Wniosek o całej dostawie. Wymaga wykazania relacji między wszystkimi subpopulacjami. Jeżeli znaleziono dowód pomieszania materiału, brak zdolności segregacji może sam w sobie uniemożliwić akceptację całości.

Wniosek o już zmontowanych zespołach. Zależy od identyfikowalności partii do pozycji i numerów zespołów. Jeżeli wiadomo, które zespoły otrzymały podejrzany materiał, można ograniczyć blokadę. Jeżeli śledzenie zostało zerwane, populacja dotknięta niepewnością rośnie. Dodatni wynik prostego testu zespołu nie usuwa ryzyka ukrytej niezgodności części.

W tym przypadku badane sztuki z jednej subpopulacji mają inną strukturę wewnętrzną niż materiał odniesienia, a pomiar ujawnia zwiększony prąd upływu. Po przeniesieniu wiarygodnej granicy tego parametru do WCCA znika margines układu rozpoznającego stan logiczny w wysokiej temperaturze. Nie jest to zatem wyłącznie problem dokumentacji lub wyglądu, lecz ryzyko fałszywego rozpoznania stanu systemu.

Werdykty są osobne. Zbadane próbki są niezgodne z deklarowaną tożsamością i wymaganiem elektrycznym. Subpopulacja o wspólnych oznaczeniach i historii zostaje odrzucona, ponieważ potwierdzona różnica dotyczy cechy wspólnej, a dostępny plan prób nie pozwala wydzielić sztuk bezpiecznych. Cała dostawa nie zostaje zwolniona jako jedna populacja: pozostałe subpopulacje pozostają w kwarantannie do czasu niezależnego odtworzenia pochodzenia i osobnego dowodu. Zmontowane zespoły można podzielić dzięki zapisanej identyfikowalności; egzemplarze zawierające odrzuconą subpopulację są blokowane, a pozostałe pozostają w statusie oczekiwania odpowiadającym statusowi użytej subpopulacji. Decyzją nadrzędną jest odrzucenie niezgodnej subpopulacji i utrzymanie containment, nie próba „przetestowania do sprawności” całej przesyłki. Zachowuje się dokumenty, wyniki, fotografie i ciągłość opieki nad próbkami oraz stosuje wymagane kanały raportowania.13

Najważniejsza lekcja jest statystyczna i konfiguracyjna zarazem: „badane sztuki przeszły” nie znaczy „dostawa jest właściwa”, a „dostawa jest właściwa” nie znaczy jeszcze „zmontowane zespoły są wolne od wpływu wcześniejszego błędu”.

14. Przypadek trzeci: stare dane poza bieżącą partią i aplikacją

Punktem wyjścia jest raport kwalifikacyjny lub radiacyjny sprzed wielu lat. Dotyczy tej samej nazwy rodziny, ale nie ma pełnego dowodu ciągłości zakładu, materiałów lub rewizji. Bieżąca partia przechodzi podstawowe badania, jednak wybrany parametr wykazuje większy dryft niż w historycznej charakterystyce.

Nie należy rozpoczynać od pytania, czy stary raport jest „ważny”. Trzeba rozdzielić cztery warstwy danych.

Dane gwarantowane określają formalne granice producenta dla dokładnego wariantu. Jeżeli bieżące wyniki mieszczą się w tych granicach, część może być zgodna katalogowo, ale niekoniecznie wystarczająca dla systemu.

Charakterystyka historyczna opisuje rozkład i tendencję w dawnej próbce. Jej przekroczenie nie zawsze jest niezgodnością zakupową. Może jednak ujawniać, że projekt opierał margines na zachowaniu typowym, a nie gwarantowanym.

Wnioskowanie przez podobieństwo określa, które fragmenty starego raportu można przenieść. Wymaga porównania struktury, procesu, zakładów, obudowy, materiałów, rewizji oraz warunków badania. Brak informacji o ciągłości osłabia wniosek; sam upływ czasu nie unieważnia fizyki, ale zwiększa prawdopodobieństwo nieudokumentowanej zmiany.

Wynik bieżącej partii jest bezpośrednim dowodem dla badanych próbek. Jego przeniesienie na całą partię zależy od jednorodności, planu pobierania oraz niepewności pomiaru.

Hipotezy obejmują rzeczywistą zmianę procesu, naturalną różnicę między partiami, odmienną rewizję, nieporównywalne warunki, zmianę aparatury, błąd metody albo większą niż wcześniej znana zmienność. Przed decyzją trzeba ustalić, czy różnica jest fizycznie spójna, powtarzalna i istotna dla funkcji.

Dryft przekłada się na WCCA jakościowo przez zmianę obwiedni parametru. Jeżeli wcześniej analiza używała zakresu:

wartość początkowa + temperatura + starzenie + wpływ środowiska,

to nowy wynik może poszerzyć składnik początkowy, składnik zależny od partii albo wpływ środowiska. Zaktualizowana obwiednia przechodzi przez model obwodu do wielkości funkcjonalnej: dokładności, czasu, wzmocnienia, progu, stabilności lub zapasu sterowania. Istotne jest nie samo przesunięcie elementu, lecz jego wpływ na wynik systemowy.

W opisanym przypadku dryft bieżących próbek mieści się jeszcze w formalnej granicy producenta, lecz jest większy od całej historycznej charakterystyki. Dokumenty potwierdzają zmianę zakładu, ale nie wykazują wspólności cech procesu sterujących badaną podatnością. Stary raport pozostaje więc informacją o poprzedniej populacji, nie kwalifikacją obecnej.6

Po wprowadzeniu górnej wiarygodnej granicy dryftu bieżącej partii i degradacji przewidywanej dla profilu życia WCCA wykazuje ujemny margines progu w jednym narożniku temperatury oraz zasilania. Wynik jest stabilny wobec niepewności pomiaru, a kontrola toru nie potwierdza hipotezy błędu aparatury. Decyzja: bieżąca partia nie zostaje dopuszczona do analizowanej funkcji krytycznej. Można rozpocząć kwalifikację różnicową reprezentatywnej populacji albo wybrać inną część, lecz nie wolno zastąpić brakującego dowodu samym poszerzeniem tolerancji w arkuszu. WCCA używa najgorszej wiarygodnej degradacji zgodnej z profilem życia, a nie korzystnej wartości końcowej wybranej z jednego wykresu.

15. Jak ważyć dowody sprzeczne i niepełne

Dowodów nie należy porządkować jedną prostą hierarchią, w której certyfikat zawsze wygrywa z pomiarem albo badanie własne zawsze wygrywa z kartą katalogową. Liczy się jednocześnie moc formalna, bliskość badanej konfiguracji i adekwatność do pytania.

Gwarantowana granica producenta jest silna dla zgodności zakupowej, ale może być zbyt szeroka dla funkcji. Pomiar bieżącej partii jest bliski materiałowi, lecz obejmuje tylko próbkę i warunki testu. Raport kwalifikacyjny może mieć szeroki zakres narażeń, ale dotyczyć wcześniejszej konstrukcji. Dane eksploatacyjne mogą obejmować wiele godzin, ale pochodzić z łagodniejszego profilu.

Przy ocenie każdego dowodu należy odpowiedzieć na pięć pytań:

  1. Jakiego twierdzenia dowód dotyczy?
  2. Jaki obiekt lub populację rzeczywiście reprezentuje?
  3. Jakie warunki i mechanizmy obejmuje?
  4. Jakie są niepewności oraz znane martwe pola?
  5. Czy istnieje ciągłość między dowodem a bieżącą konfiguracją?

Sprzeczność bywa informacją. Jeżeli własne wyniki są przesunięte względem danych producenta, możliwa jest różnica populacji, ale także błąd programu testowego, styków, aparatury lub warunków. Program testowy sam musi być kontrolowany wersją, interfejsem sprzętowym, granicami i korelacją. Korekta programu po niezgodności nie usuwa pierwszego wyniku; wymaga oceny, czy wcześniejsze partie mogły zostać błędnie przyjęte albo odrzucone.

Wyniki należy zachowywać jako wartości, nie tylko „zaliczono/nie zaliczono”. Umożliwia to analizę trendu, przesunięcia po narażeniu i odstających egzemplarzy. Obserwacji odstającej nie wolno usuwać wyłącznie dlatego, że nadal mieści się w specyfikacji. Może ona wskazywać pomieszaną populację, niestabilność procesu lub problem pomiarowy.

Jeżeli krytycznego twierdzenia nie można zamknąć, pozostaje ono ryzykiem. Dostępne odpowiedzi to nowa charakterystyka, badanie partii, konserwatywna granica, ograniczenie użycia, mitygacja systemowa, wybór innej części albo formalne odstępstwo. Harmonogram nie jest źródłem danych.

16. Reguła końcowej decyzji

Decyzja powinna określać nie tylko „tak” lub „nie”, lecz zakres, konfigurację i czas ważności.

Zatwierdzenie oznacza, że wymagania, tożsamość, dane, margines, partia i integracja tworzą zamknięty argument dla wskazanego zastosowania. Nie jest zgodą uniwersalną dla każdej pozycji schematu.

Zatwierdzenie warunkowe pozwala prowadzić odwracalne prace przy jasno opisanym braku. Warunek ma właściciela, termin, wymagany dowód i punkt, przed którym nie wolno wykonać nieodwracalnej operacji.

Ograniczone użycie dopuszcza element tylko w określonej funkcji, zakresie środowiska, partii, liczbie wyrobów albo konfiguracji. Ograniczenie musi być widoczne w bibliotece projektowej, liście części i dokumentacji wykonawczej.

Odstępstwo lub zgoda na niezgodność dokumentują świadome przyjęcie ryzyka dla zdefiniowanego materiału. Nie podnoszą klasy części, nie rozszerzają kwalifikacji i nie tworzą automatycznego precedensu dla przyszłych dostaw.

Przeprojektowanie jest właściwe, gdy system zależy od niegwarantowanej cechy, dowód procesu jest niedostępny, zamiennik zmienia dominujący mechanizm albo koszt ciągłych badań i wyjątków przewyższa koszt zmiany architektury.

Odrzucenie jest konieczne, gdy nie można potwierdzić tożsamości, pochodzenia, jednorodności populacji lub zgodności z krytyczną funkcją. Powinno zawierać podstawę techniczną oraz warunki ewentualnej ponownej oceny.

Decyzja jest przypięta do dokładnego wariantu, rewizji, partii i miejsca użycia tam, gdzie wymaga tego dowód. Ten sam element może być zatwierdzony w funkcji monitorującej, ograniczony w kanale sterującym i odrzucony w miejscu, w którym jego pojedyncza awaria prowadzi do niedopuszczalnego skutku.

17. Utrzymanie zgodności przez cały cykl życia

Dopuszczenie starzeje się nie przez sam upływ czasu, lecz przez zmianę podstawy dowodowej. W terminologii ECSS PCN oznacza process change notice, czyli zawiadomienie o zmianie procesu; w dokumentach NASA spotyka się rozwinięcie Product Change Notice. Taki dokument może dotyczyć zakładu, materiału, obudowy, testu, wykończenia lub struktury. Każdą zmianę trzeba odnieść do mechanizmów oraz marginesów konkretnego zastosowania. Zmiana określona przez producenta jako drobna może być istotna dla parametrów analogowych, promieniowania, termiki albo montażu.

Zarządzanie wycofaniem z produkcji powinno rozpoczynać się przed otrzymaniem PDN. Monitoring cyklu życia pozwala rozważyć autoryzowany zakup końcowy, drugie źródło lub przeprojektowanie bez presji niedoboru. NASA traktuje zarządzanie starzeniem się dostępności jako proces obejmujący wybór, dostawców, prognozę i działania po identyfikacji części wycofywanej.14

Zakup na cały czas życia programu nie rozwiązuje problemu sam. Tworzy obowiązek długoterminowego przechowywania, kontroli środowiska, okresowej oceny, zachowania partii i śledzenia wydań. Starsza, właściwie przechowywana partia o pełnym pochodzeniu może przedstawiać mniejsze ryzyko niż nowa dostawa z niekontrolowanego rynku.

Utrzymanie argumentu obejmuje również:

  • aktualizacje kart katalogowych i errat;
  • ostrzeżenia branżowe oraz informacje o niezgodnościach;
  • trendy odrzutów podczas screeningu i montażu;
  • nieprawidłowości magazynowe;
  • wyniki napraw i reklamacji;
  • dane eksploatacyjne z dokładną konfiguracją;
  • zmiany programów testowych, narzędzi i modeli;
  • śledzenie partii do zespołów już dostarczonych.

Jeżeli późniejsze ustalenie dotyczy jednej partii, dobra identyfikowalność pozwala ograniczyć działania do konkretnych wyrobów. Jeżeli materiał został pomieszany albo zapis montażu nie wskazuje użytej partii, obszar niepewności obejmuje szerszą populację. Kontrola konfiguracji ma zatem bezpośrednią wartość techniczną i ekonomiczną.

18. Granice bezpieczeństwa

Podejrzane komponenty pochodzące z kontrolowanego zakupu pozostają w kwarantannie do czasu formalnej decyzji. Nie miesza się ich z materiałem zaakceptowanym, nie wydaje do montażu i nie niszczy pierwotnego opakowania, oznaczeń ani powiązań dokumentacyjnych bez zatwierdzonego planu dowodowego.

Screening, DPA, analiza uszkodzeń, próby szczelności i badania promieniowania wymagają kwalifikowanego laboratorium, właściwych norm, nadzorowanej aparatury oraz kontroli zagrożeń elektrycznych, chemicznych, elektrostatycznych i radiologicznych. Ich rola została tu opisana jako element wnioskowania, nie jako instrukcja wykonania.

Nieznanego, uszkodzonego lub odnalezionego zespołu wojskowego nie wolno zasilać, otwierać, programować, wylutowywać z niego części ani podłączać do testera w celu identyfikacji. Może zawierać naładowane magazyny energii, obwody inicjujące, elementy pirotechniczne lub toksyczne produkty uszkodzenia. Miejsce należy zabezpieczyć i przekazać właściwemu zespołowi EOD — explosive ordnance disposal, rozpoznania i neutralizacji materiałów wybuchowych.

19. Synteza: ciągłość dowodu

Dobór komponentu EEE zaczyna się od funkcji, nie od katalogu. Funkcja prowadzi do stanów awarii, te do parametrów krytycznych i mechanizmów fizycznych. Dopiero wtedy można ocenić, czy dane odnoszą się do właściwego wariantu, rewizji, procesu, zakładu i partii.

Kwalifikacja odpowiada za konstrukcję i kontrolowany proces. Screening szuka określonych wad w produkcyjnych egzemplarzach. LAT wspiera decyzję o zdefiniowanej partii. DPA ocenia konstrukcję oraz wykonanie próbki. Badania promieniowania odpowiadają na osobne pytania o podatność dokładnej konfiguracji. Żadne z tych narzędzi nie zastępuje pozostałych, a ich liczba nie kompensuje zerwanej tożsamości.

Margines powstaje przez połączenie ograniczenia obciążeń z analizą najgorszej odpowiedzi funkcjonalnej. Dowód partii ma wartość tylko dla populacji, którą próbka rzeczywiście reprezentuje. Zatwierdzona część pozostaje zgodna tylko wtedy, gdy magazynowanie, programowanie, montaż i kontrola zmian zachowują założenia analizy.

Ostateczna zgoda nie brzmi więc: „ten numer jest dobry”. Brzmi: „dla wskazanej funkcji, konfiguracji, populacji i profilu życia istnieje kontrolowany, aktualny i wystarczający argument zgodności”. Gdy któregoś ogniwa brakuje, właściwym wynikiem może być dodatkowy dowód, ograniczenie użycia, formalne odstępstwo, przeprojektowanie albo odrzucenie — nigdy domniemanie, że niepewność zniknęła.

Źródła