Elektronika pokładowa może działać poprawnie według własnej specyfikacji, a mimo to doprowadzić do szkody. Może też utracić funkcję misji i przejść do stanu bezpiecznego. Niezawodność pyta głównie, czy wymagana funkcja będzie dostępna; bezpieczeństwo systemowe pyta również o funkcję niezamierzoną, niewłaściwy czas, błędną informację, niekontrolowany przepływ energii oraz skutki poza samą płytką.
Teza artykułu brzmi: bezpieczeństwo elektroniki pokładowej nie wynika z pojedynczego zabezpieczenia ani z wysokiej niezawodności komponentów, lecz z utrzymywanego przez cały cykl życia argumentu, który wiąże przepływ energii i informacji z hazardami, ograniczeniami architektonicznymi, dowodami weryfikacji oraz formalną akceptacją ryzyka resztkowego. Argument obowiązuje tylko dla zidentyfikowanej konfiguracji sprzętu, FPGA, oprogramowania, danych, interfejsów i procedur.
granica bezpieczeństwa. Tekst nie ujawnia rzeczywistej topologii zabezpieczeń współczesnego uzbrojenia, logiki uzbrajania, warunków zezwolenia, progów, czasów, kodów, wyprowadzeń, kolejności czynności, dostępu testowego ani metod obchodzenia ochrony. Studia są hipotetyczne, a wartości — symboliczne lub znormalizowane. Służą budowaniu argumentu bezpieczeństwa, nie projektowaniu funkcji bojowej.
Ostrzeżenie EOD: nieznanego albo uszkodzonego urządzenia nie wolno zasilać, resetować, otwierać, przemieszczać ani podłączać do interfejsu diagnostycznego. Brak wskazania lub pozorny stan „wyłączony” nie dowodzą braku energii. Obszar należy zabezpieczyć i przekazać właściwemu personelowi EOD.
Od celu ochrony do granicy systemu
Początek analizy nie polega na wyborze metody, lecz na rozdzieleniu celów i ustaleniu, co rzeczywiście należy do ocenianego systemu. Trzy kolejne kroki prowadzą od języka bezpieczeństwa, przez profil życia produktu, do map energii, informacji i odpowiedzialności.
W dalszej części argument bezpieczeństwa oznacza udokumentowane twierdzenia, argumentację i dowody, czyli angielskie safety case. Rejestr hazardów to utrzymywany zapis scenariuszy, wymagań, dowodów i decyzji, znany jako hazard log. Termin pokrycie zawsze ma jawny zbiór odniesienia; angielskie coverage bez mianownika nie jest miarą. Test dowodowy (proof test) oznacza próbę ujawniającą określoną klasę ukrytych uszkodzeń, a nie dowód kompletnego bezpieczeństwa.
Bezpieczeństwo, niezawodność, dostępność i ochrona informacji odpowiadają na inne pytania
Bezpieczeństwo (safety) dotyczy niedopuszczenia do szkody dla ludzi, środowiska, sprzętu i otoczenia operacji. Niezawodność (reliability) opisuje prawdopodobieństwo wykonania wymaganej funkcji w określonych warunkach i czasie. Dostępność (availability) uwzględnia także możliwość odtworzenia funkcji. Powodzenie misji może preferować dalsze działanie, podczas gdy bezpieczeństwo — kontrolowane przerwanie. Te cele współdzielą sprzęt, lecz nie są zamienne.
Ochrona przed działaniem intencjonalnym (security) ma inne źródła zagrożeń niż bezpieczeństwo przypadkowe i systematyczne. Obie dziedziny spotykają się jednak w skutku fizycznym. Fałszywa komenda, utrata widoku albo modyfikacja konfiguracji może powstać wskutek awarii, błędu lub celowego działania. Mechanizm autoryzacji nie rozstrzyga, czy autoryzowane polecenie jest bezpieczne w bieżącym stanie; bariera bezpieczeństwa nie dowodzi natomiast pochodzenia danych.
Stan bezpieczny nie jest synonimem braku zasilania. Odłączenie energii może zatrzymać chłodzenie, pozostawić naładowany kondensator, zwolnić hamulec, skasować informację o pierwszej awarii albo doprowadzić mechanizm do nieznanego położenia. Stan bezpieczny jest relacją pomiędzy fazą życia, energią, położeniem, informacją i czasem. ECSS-Q-ST-40C obejmuje ochronę personelu, społeczeństwa, sprzętu, systemów naziemnych, mienia i środowiska, dlatego granica analizy nie kończy się na elektronice.1
Pocisk ma nietypowy profil życia i dowodu
Elektronika może przez lata pozostawać w magazynie, a działać przez bardzo krótki czas. Niektóre funkcje są jednorazowe, więc egzemplarza operacyjnego nie da się w pełni sprawdzić bez zużycia jego zdolności. Start wprowadza drgania, udar, przyspieszenie, gwałtowne zmiany temperatury i zakłócenia. Po uruchomieniu możliwość naprawy jest znikoma, a czas na reakcję operatora może nie istnieć.
Ten profil zmienia znaczenie dowodów. Długi pomyślny test eksploatacyjny nie odtwarza krótkiego przejścia energetycznego. Sprawdzenie nowego egzemplarza nie wykazuje stanu po starzeniu. Samotest cyfrowy może nie obejmować fizycznego wyjścia i odbiornika. Odbiór musi opierać się na kwalifikacji projektu, stabilnym procesie, identyfikowalności, kontrolach niezużywających funkcji i nadzorze populacji.
Tryby magazynowania, transportu, podłączenia aparatury naziemnej, rozruchu, testu, gotowości, działania, przerwania i wycofania mają różne źródła energii oraz role ludzi. Najbardziej niebezpieczne bywają przejścia: częściowe zasilenie, utrata zegara, zmiana właściciela komendy, ładowanie konfiguracji albo powrót po spadku napięcia. Model bezpieczeństwa musi więc obejmować stany niepełne i sprzeczne, nie tylko nominalne pola diagramu stanów.
Granicę systemu wyznaczają przepływy energii, informacji i uprawnień
Praktyczna analiza zaczyna się od trzech nakładających się map. Pierwsza pokazuje energię: baterie, kondensatory, indukcyjności, zasilanie z aparatury naziemnej, napędy, elementy inicjujące, ciśnienie i energię mechaniczną. Druga pokazuje informację: sensory, zegary, dane konfiguracji, magistrale, pamięć, diagnostykę i potwierdzenia. Trzecia pokazuje uprawnienia: kto lub co może zezwolić, wydać komendę, zmienić konfigurację i zaakceptować ryzyko.
Każde przejście przez granicę ma kontrakt. Sensor gwarantuje określoną własność tylko w swojej obwiedni. Sterownik gwarantuje zachowanie dla zdefiniowanych stanów wejść i zasilania. Tor wykonawczy ogranicza energię oraz zgłasza taki stan, jaki faktycznie obserwuje. Aparatura naziemna nie jest neutralnym „narzędziem”: może dostarczyć energię, masę odniesienia, zegar, komendę lub niezamierzoną ścieżkę zasilania zwrotnego.
Zbyt wąska granica zmienia przyczynę systemową w „błędne wejście spoza zakresu”. Zbyt szeroka bez odpowiedzialności rozmywa wymagania. Dokument interfejsu powinien wskazywać właściciela gwarancji, założenia, stan po utracie danych i dowód. Jeżeli bezpieczne zachowanie zależy od urządzenia innego zespołu, zależność musi być śledzona jak wymaganie, a nie pozostawiona w komentarzu do schematu.
Model stanów obejmuje zasilanie częściowe i niepewny stan fizyczny
W elektronice nie wystarcza para „włączone–wyłączone”. Użyteczny model rozróżnia co najmniej: brak energii zewnętrznej, energię zmagazynowaną, zasilanie częściowe, inicjalizację, stan bezpieczny potwierdzony, gotowość, funkcję aktywną, degradację, reset oraz stan nieznany. Dla każdego stanu określa się dopuszczalne wyjścia, właściciela komendy, wymagane obserwacje i maksymalny czas pobytu.
Zasilanie częściowe może powstać przez kolejność szyn, połączenie aparatury naziemnej, sygnał wejściowy, interfejs komunikacyjny albo pozostającą energię. Wówczas rdzeń logiczny może być nieaktywny, a stopień sterujący lub wyprowadzenie zabezpieczające już przewodzić. Flaga programowa nie kontroluje funkcji, gdy oprogramowanie jeszcze nie pracuje. Fizyczne ograniczenie musi zachować wymagany stan w całej domenie zasilania.
Stan logiczny i fizyczny mogą się rozjechać. Sterownik pamięta, że wydał polecenie, ale nie wie, czy odbiornik je wykonał. Po resecie pamięć robocza znika, podczas gdy aktuator, energia i obiekt zachowują stan. Bezpieczne wznowienie nie może zakładać powrotu świata do wartości początkowych. Potrzebuje ponownej obserwacji, jawnej jakości informacji i zasad dla konfliktu pomiędzy pamięcią a pomiarem.
| Faza | Typowa niepewność | Niedopuszczalny skrót | Wymagany rodzaj rozstrzygnięcia |
|---|---|---|---|
| brak głównego zasilania | energia resztkowa i zasilanie zwrotne | „wyłączone znaczy bezpieczne” | fizyczny bilans energii i pomiar właściwej wielkości |
| inicjalizacja | niegotowy zegar, pamięć i diagnostyka | użycie wartości domyślnej jako prawdy | blokada wyjść oraz jawny stan nieważności |
| gotowość | zgodność konfiguracji i uprawnienia | pojedyncza flaga ready |
niezależne warunki i identyfikacja wersji |
| działanie | utrata lub sprzeczność danych | kontynuacja na ostatniej wartości bez limitu | zdefiniowany stan degradacji i horyzont czasowy |
| reset | fizyczny skutek wcześniejszej komendy | ponowienie sekwencji od początku | rekoncyliacja ze stanem obiektu |
Model można zapisać jako automat $M=(S,E,G,\delta,I)$, gdzie $S$ jest zbiorem stanów, $E$ — zdarzeń, $G$ — strażników przejść, $\delta$ — relacją przejścia, a $I$ — niezmiennikami bezpieczeństwa. Strażnik nie jest pojedynczą flagą. Jest predykatem nad obserwacjami, ich jakością, konfiguracją i czasem. Przykładowo abstrakcyjne przejście z inicjalizacji do gotowości może wymagać jednocześnie ważnego zasilania, zgodności konfiguracji, wiarygodnego czasu i potwierdzonego stanu fizycznego; artykuł celowo nie definiuje rzeczywistej logiki żadnego urządzenia.
Jeżeli zdarzenie nie ma dozwolonego przejścia albo dwa wiarygodne źródła stanu są sprzeczne, automat nie powinien wybierać najbardziej dogodnej interpretacji. Przechodzi do stanu nieznanego, a przy skutku o wysokiej konsekwencji — do abstrakcyjnego stanu kwarantanny. Kwarantanna jest pochłaniająca dla logiki autonomicznej: sam upływ czasu, restart albo ponowienie komunikatu nie może jej opuścić. Wyjście wymaga osobnej, kontrolowanej ścieżki odzyskania opartej na niezależnej obserwacji i właściwym uprawnieniu.
Wymaganie temporalne musi odnosić się do epoki pomiaru, nie chwili odczytania rejestru. Dla obserwacji $x$ z czasem $t_x$ i horyzontem ważności $H_x$ można zapisać warunek
$$valid(x,t)=quality(x)\land (0\le t-t_x\le H_x).$$
Wartość $H_x$ wynika z dynamiki chronionego zjawiska i analizy hazardu; nie podaje się jej tu liczbowo. Przejście zależne od kilku obserwacji wymaga także określenia ich wspólnej epoki. Dwie flagi pojedynczo „ważne”, lecz odnoszące się do różnych chwil, mogą nie tworzyć ważnego strażnika.
| Klasa przejścia | Przykładowy strażnik abstrakcyjny | Niezmiennik po odmowie |
|---|---|---|
| inicjalizacja → stan potwierdzony | konfiguracja zgodna ∧ czas wiarygodny ∧ obserwacja fizyczna ważna | wyjścia pozostają ograniczone |
| stan potwierdzony → gotowość | wszystkie wymagane bariery jawnie dostępne | brak domyślnego zezwolenia |
| działanie → degradacja | utrata jakości jednej obserwacji przy zachowanej barierze niezależnej | funkcja ograniczona do dowiedzionej obwiedni |
| dowolny stan → nieznany | sprzeczność, utrata epoki albo niedozwolone zdarzenie | brak autonomicznego wyboru korzystnej interpretacji |
| nieznany → kwarantanna | brak bezpiecznego rozstrzygnięcia w wymaganym czasie | stan pochłaniający dla zwykłej logiki |
Od scenariusza hazardu do formalnej akceptacji
Ocena ryzyka ma sens dopiero wtedy, gdy opisano pełny łańcuch od warunku i ekspozycji do szkody. Następne części pokazują, jak niepewność, zasada dalszej redukcji i formalny argument składają się na decyzję, której właściciel jest jawny.
Kompletny scenariusz hazardu prowadzi od warunku do szkody
Hazard nie jest nazwą uszkodzonego komponentu ani samym wypadkiem. Jest stanem, który w określonych okolicznościach umożliwia szkodę. Scenariusz zawiera fazę i ekspozycję, zdarzenie inicjujące, czynniki przyczynowe, przepływ energii lub informacji, działanie albo brak barier oraz konsekwencję. ECSS-Q-ST-40-02C porządkuje analizę hazardów jako proces identyfikacji, oceny, ograniczania i weryfikacji.2
Przykładowy zapis „sterownik podał niezamierzone wyjście” jest zbyt krótki. Trzeba wskazać, w jakim trybie było to możliwe, skąd pochodziła energia, dlaczego odbiornik był podłączony, kto był narażony, jaka bariera miała przerwać łańcuch i jak sprawdzono jej działanie. Dopiero wtedy można przypisać wymagania i dowody.
Przyczyna nie musi być losową awarią części. Może nią być błędne wymaganie, niezgodna wersja danych, właściwa komenda w niewłaściwej fazie, wspólny reset, brak obserwowalności, błąd obsługi albo odchylenie procesu. Etykieta „błąd operatora” nie zamyka analizy. Należy zbadać informację, interfejs, podobieństwo złączy, presję czasu, możliwość wykrycia i to, czy architektura wymuszała bezpieczny wybór.
| Ogniwo scenariusza | Pytanie projektowe | Artefakt | Warunek zamknięcia |
|---|---|---|---|
| granica i ekspozycja | co może zostać uszkodzone i kiedy? | opis operacji, PHA/FHA | wszystkie istotne energie i role są w zakresie |
| przyczyny | co tworzy stan niebezpieczny? | FMEA, FTA, HAZOP, STPA | objęto losowe, systematyczne i interakcyjne źródła |
| bariery | co eliminuje lub przerywa łańcuch? | wymagania i architektura | każda bariera ma właściciela i tryby awarii |
| weryfikacja | skąd wiadomo, że bariera działa? | analiza, inspekcja, próba | konfiguracja i obwiednia odpowiadają twierdzeniu |
| ryzyko resztkowe | co pozostaje po dowiedzionych barierach? | rejestr hazardów i argument bezpieczeństwa | niepewność jest jawna, decyzja ma uprawnionego właściciela |
Ryzyko nie może ukrywać braku danych
Ryzyko łączy dotkliwość skutku z prawdopodobieństwem scenariusza w zdefiniowanym czasie i ekspozycji. Macierz jest narzędziem klasyfikacji oraz decyzji, nie modelem fizycznym. Dotkliwość wynika z najgorszej wiarygodnej konsekwencji, a nie najwygodniejszego zakończenia. „Najgorsze wyobrażalne” bez wiarygodnego łańcucha jest równie mylące jak bagatelizowanie ekspozycji.
Dla losowego procesu o małej stałej intensywności $\lambda$ i czasie ekspozycji $T$ przybliżenie
$$P(\text{zdarzenie})\approx \lambda T$$
pokazuje, dlaczego prawdopodobieństwo zależy od czasu. Nie wolno jednak przypisywać takiej intensywności błędowi wymagania, oprogramowania lub wspólnego narzędzia tylko po to, by wypełnić drzewo liczbami. Błędy systematyczne ocenia się przez rygor procesu, różnorodne analizy, dowody i ograniczenie wspólnych przyczyn, nie przez fikcyjną częstość niezależnych awarii.
Brak zdarzenia w próbach również ma ograniczoną moc. Jeżeli wykonano $n$ niezależnych prób bez uszkodzenia, górna granica prawdopodobieństwa pojedynczej próby przy jednostronnym poziomie ufności $1-\alpha$ ma postać
$$p_{up}=1-\alpha^{1/n}.$$
Dla jednostronnego poziomu ufności 95%, czyli $\alpha=0{,}05$, pięćdziesiąt niezależnych prób bez zdarzenia daje $p_{up}=0{,}0582$. Dopiero trzysta takich prób obniża granicę do około $0{,}00994$. Są to wartości dydaktyczne, a nie kryteria żadnego programu. Pokazują, że „zero na pięćdziesiąt” jest zgodne nawet z prawdopodobieństwem pojedynczej próby rzędu kilku procent.
Słowo „niezależnych” jest warunkiem modelu, nie ozdobnikiem. Pięćdziesiąt powtórzeń na jednym egzemplarzu, z tym samym obrazem FPGA, stanowiskiem i środowiskiem, nie musi wnosić informacji równoważnej pięćdziesięciu niezależnym realizacjom z populacji. Wspólna przyczyna albo nieobjęty wariant może przejść przez wszystkie próby bez ujawnienia. W takim przypadku podstawienie $n=50$ do wzoru tworzy pozorną ścisłość; trzeba opisać strukturę zależności, jednostkę losowania i zakres populacji, a nie arbitralnie „korygować” wynik jednym współczynnikiem.
Równanie nie kwalifikuje sprzętu. Uczy, że niewielka liczba sukcesów nie dowodzi skrajnie małego ryzyka, zwłaszcza gdy próby nie reprezentują starzenia i konfiguracji populacji.
Ryzyko początkowe opisuje scenariusz przed uwzględnieniem projektowanych barier. Ryzyko resztkowe można obniżyć dopiero po wdrożeniu i zweryfikowaniu tych barier. Plan testu, otwarte działanie albo deklarowana redundancja nie są jeszcze dowodem. Każda liczba powinna wskazywać źródło danych, czas ekspozycji, zależności i przedział niepewności. Lokalna monografia modelowania bezpieczeństwa systemów transportowych jest użytecznym źródłem metod niezawodnościowych, ale jej modele wymagają ponownego określenia granicy i czasu dla elektroniki pocisku.11
ALARP i ALARA nie są wspólnym skrótem do akceptacji
ALARP — redukcja ryzyka tak dalece, jak jest to racjonalnie wykonalne — jest zasadą argumentacji o dalszych środkach, kojarzoną przede wszystkim z bezpieczeństwem przemysłowym i prawnym. Nie zastępuje obowiązujących limitów ani formalnego właściciela decyzji. Projekt musi najpierw spełnić wymagane kryteria, a następnie wykazać, czy kolejne rozsądne środki przynoszą istotną redukcję wobec ich kosztu i trudności.
ALARA dotyczy ograniczania narażenia radiologicznego tak nisko, jak jest to rozsądnie osiągalne, w ramach właściwego reżimu ochrony radiologicznej. Może stanowić analogię do optymalizacji, lecz nie jest ogólną nazwą bezpieczeństwa elektroniki. Łączenie obu terminów bez domeny zaciera podstawę prawną, mierzoną wielkość i rolę organu akceptującego.
Formalna władza akceptacji ryzyka powinna być określona przed powstaniem presji harmonogramu. Decyzja wskazuje konfigurację, czas, warunki, otwarte niepewności i obowiązki monitorowania. Autor analizy lub właściciel terminu nie powinien sam zatwierdzać odstępstwa od własnego kryterium. Nowa anomalia, zmiana dostawcy albo odchylenie środowiska ponownie otwierają podstawę decyzji.
Argument bezpieczeństwa jest grafem twierdzeń, argumentacji i dowodów
Twierdzenie mówi, jaka własność bezpieczeństwa obowiązuje, w jakiej konfiguracji i obwiedni. Argument wyjaśnia, dlaczego określone analizy, bariery i próby wspierają twierdzenie. Dowód zawiera wynik związany z konkretnym egzemplarzem, wersją i kryterium. Zbiór raportów bez argumentu nie pokazuje kompletności; diagram bez danych jest tylko deklaracją.
Rejestr hazardów powinien umożliwiać śledzenie w obie strony: od hazardu do wymagań, implementacji, próby, anomalii i decyzji oraz od zmienionej części do wszystkich zależnych twierdzeń. Rekord ma właściciela, status, założenia, wersję i powód zmiany klasyfikacji. Pole „zamknięte” bez relacji do dowodu tworzy pozór kontroli.
Argument zachowuje także kontrdowody: wynik graniczny, rozbieżność modelu, nieudany test, ograniczenie stanowiska i niewiadomą. Są to potencjalni obalacze (defeaters) twierdzenia. Nie znikają po zapisaniu działania korygującego. Muszą zostać rozstrzygnięte albo jawnie przeniesione do ryzyka resztkowego.
Przeglądy dojrzałości powinny badać zawartość, nie obecność dokumentów. Przed zamrożeniem architektury potrzebne są granice, scenariusze i przydział barier. Przed kwalifikacją — mierzalne wymagania, reprezentatywne konfiguracje i bezpieczne stanowiska. Przed użyciem — dowody egzemplarza, zamknięte anomalie i formalna akceptacja. MIL-STD-882E z Change 1 opisuje bezpieczeństwo systemowe jako zarządzany proces identyfikacji hazardów, redukcji ryzyka i akceptacji pozostałości, a nie jednorazowy dokument.5
Od metod analizy do niezależnych barier
Żadna pojedyncza metoda nie obejmuje całego problemu. Spójność powstaje wtedy, gdy różne analizy używają wspólnych granic i identyfikatorów, dokumenty mają określoną rolę, a bariery są oceniane wraz ze swoimi zależnościami.
Metody analityczne trzeba łączyć według pytań
Wstępna analiza hazardów (PHA) identyfikuje energie, operacje, narażenie i możliwe bariery, zanim rozwiązanie zostanie utrwalone. Funkcjonalna ocena hazardów (FHA) pyta o utratę funkcji, działanie niezamierzone, błędną wartość i niewłaściwy czas bez przywiązania do konkretnej części. Dzięki temu wymagania bezpieczeństwa nie stają się odbiciem pierwszego schematu.
FMEA przechodzi od trybu uszkodzenia elementu lub funkcji do skutku lokalnego, wyższego i końcowego, a następnie do detekcji i środków kompensujących. ECSS-Q-ST-30-02C porządkuje tę metodę w zapewnieniu produktu.3 Jej naturalną słabością jest rozpatrywanie jednego trybu naraz; może pominąć poprawne, ale niebezpieczne interakcje i zależności czasowe.
FTA rozpoczyna od zdarzenia szczytowego i szuka kombinacji przyczyn. Minimalne przekroje ujawniają pojedyncze punkty oraz wspólne zasoby, ale wynik obowiązuje tylko dla zdefiniowanej fazy, granicy i logiki. ECSS-Q-ST-40-12C przyjmuje IEC 61025 jako podstawę metody.4 Prosta bramka AND nie opisuje automatycznie kolejności, czasu ujawnienia ani wspólnej diagnostyki.
Drzewo zdarzeń i Bow-Tie pokazują rozwój po zdarzeniu inicjującym oraz różnicę pomiędzy zapobieganiem i łagodzeniem. HAZOP szuka odchyleń od intencji. STPA koncentruje się na niebezpiecznych działaniach sterujących, niewłaściwym czasie i nieadekwatnym sprzężeniu zwrotnym. Wytyczne lotnicze ARP4761A oraz ARP4754B są wartościową analogią współpracy oceny bezpieczeństwa z rozwojem systemu, lecz nie są automatycznie normami nadrzędnymi dla pocisku.6,7
Integrację zapewniają wspólne identyfikatory i granice. Niebezpieczny skutek z FMEA powinien prowadzić do hazardu; przekrój FTA — do konkretnych barier; niebezpieczne działanie z STPA — do wymagania i próby. Rozbieżność między metodami jest sygnałem luki, nie błędem formatowania.
Mapa stosowalności chroni przed przypadkowym mieszaniem standardów
Standardy pochodzą z różnych sektorów, mają inne podmioty odpowiedzialne i inną moc. W projekcie potrzebna jest jawna podstawa nadrzędna. Pozostałe dokumenty mogą dostarczać metod, kryteriów pomocniczych albo przykładów, lecz nie wolno składać z nich wygodnej hybrydy bez oceny konfliktów.
O tym, który dokument jest wiążący, nie rozstrzyga autor opracowania technicznego. Podstawę ustanawia umowa, właściwy organ lub formalnie umocowany program. Rekord stosowalności powinien wymieniać dokument nadrzędny wraz z wydaniem, zatwierdzone dostosowania i odstępstwa, kolejność pierwszeństwa przy konflikcie, role opiniujące oraz władzę akceptacji ryzyka. Powinien też wiązać tę decyzję z konfiguracją produktu: zmiana wydania normy, zakresu dostosowania albo organu decyzyjnego jest zmianą podstawy argumentu, a nie korektą redakcyjną.
| Dokument lub rodzina | Domena pierwotna | Użyteczny wkład | Granica transferu |
|---|---|---|---|
| ECSS-Q-ST-40 | systemy kosmiczne | program bezpieczeństwa, analiza hazardów, FMEA/FTA | wymaga dostosowania do wojskowego cyklu i podziału odpowiedzialności |
| MIL-STD-882E z Change 1 | systemy Departamentu Obrony USA | proces bezpieczeństwa systemowego i akceptacja ryzyka | klasy i role nie muszą odpowiadać polskiej organizacji |
| ARP4754B/ARP4761A | lotnictwo cywilne | współpraca rozwoju i oceny bezpieczeństwa | nie tworzy sama certyfikacji pocisku |
| NASA-STD-8739.8B | oprogramowanie projektów NASA | wspólne zapewnienie oprogramowania i jego bezpieczeństwa | zakres oraz role trzeba odwzorować na własny program |
| IEC 61508 | bezpieczeństwo funkcjonalne E/E/PE | cykl życia i integralność funkcji ochronnych | SIL z procesu przemysłowego nie jest etykietą dla dowolnej funkcji |
| podręczniki lokalne | transport, SIS, lotnictwo i energetyka | przykłady metod i kultury bezpieczeństwa | nie zastępują źródeł normatywnych ani danych produktu |
IEC 61508 porządkuje ogólny cykl życia bezpieczeństwa funkcjonalnego systemów elektrycznych, elektronicznych i programowalnych.10 Może pomóc rozumieć przydział funkcji, niezależność i walidację, lecz poziomu SIL nie przenosi się mechanicznie do innej domeny. Podobnie metoda lotnicza pozostaje analogią, dopóki program nie ustanowi jej formalnej roli.
Lokalizator jest częścią śladu źródłowego. W ECSS-Q-ST-40C Rev.1 cel i politykę bezpieczeństwa ustanawiają punkty 4.1–4.2.1 MIL-STD-882E z Change 1 opisuje ośmioelementowy proces w punktach 4.3.1–4.3.8: od udokumentowania podejścia i identyfikacji hazardów, przez redukcję i weryfikację, do akceptacji oraz zarządzania ryzykiem w cyklu życia.5 NASA-STD-8739.8B wyznacza zakres współpracy zapewnienia oprogramowania, bezpieczeństwa, niezależnej weryfikacji i walidacji oraz dyscyplin systemowych w punktach 1.1.1–1.1.4, natomiast odpowiedzialność programu za wybór właściwych zadań wiąże z punktem 4.3.1 i tabelą 1.8 Takie odsyłacze umożliwiają audyt twierdzenia; sama nazwa dokumentu tego nie zapewnia.
Hierarchia barier zaczyna się przed diagnostyką
Najsilniejszym środkiem jest usunięcie hazardu albo niebezpiecznej energii. Następnie ogranicza się jej ilość, czas dostępności i drogę. Bariery fizyczne oraz architektoniczne powinny wymuszać ograniczenie bez zależności od prawidłowej decyzji tego samego oprogramowania. Diagnostyka, alarm, procedura i środki ochrony osobistej są potrzebne, ale zależą od czasu, obserwowalności i człowieka.
Bariera ma scenariusz, wyzwalacz, zakres, czas reakcji, wymagane zasoby i własne tryby awarii. Stwierdzenie „jest blokada” niczego nie dowodzi, jeśli nie wiadomo, jaki stan obserwuje i czy pozostaje skuteczna przy częściowym zasilaniu. Alarm nie jest mocną ochroną wobec skutku szybszego niż reakcja człowieka. Potwierdzenie stopnia sterującego nie dowodzi energii na odbiorniku.
Wymagania pozytywne i negatywne uzupełniają się. Pozytywne mówi, co system ma zrobić po rozpoznaniu stanu; negatywne — czego nie może zrobić poza dozwoloną obwiednią. Sprawdzenie poprawnej aktywacji nie dowodzi braku aktywacji niezamierzonej. Oba wymagania potrzebują kryterium, konfiguracji, środowiska i metody weryfikacji.
Obrona warstwowa (defense in depth) wymaga różnorodnych mechanizmów. Dwie flagi liczone z tego samego sensora nie tworzą dwóch warstw. Bariera programowa i monitor programowy mogą dzielić błąd wymagania albo kompilatora. Z drugiej strony różnorodność zwiększa liczbę interfejsów i może tworzyć nowe stany sprzeczne. Wartość każdej warstwy trzeba wykazać w scenariuszu, a nie policzyć na diagramie.
Niezależność jest własnością funkcji, fizyki i procesu
Kanały mogą dzielić sensor, zegar, reset, zasilanie, masę, złącze, wiązkę, środowisko, bibliotekę, narzędzie, wymaganie albo procedurę montażu. Dwa identyfikatory nie dowodzą niezależności. Analiza wspólnej przyczyny powinna przejść przez pięć warstw: funkcję, rozmieszczenie fizyczne, elektrykę, informację i proces wytwarzania.
Redundancja poprawia dostępność lub tolerancję tylko wobec wskazanych uszkodzeń. Głosowanie może zamaskować jeden błąd, lecz potrzebuje założeń o niezależności i diagnostyce. Jeżeli dwa kanały mają wspólny zegar, utrata czasu może dać zgodne, ale błędne wyniki. Jeżeli powstały z jednego modelu i narzędzia, błąd systematyczny może wystąpić w obu.
Ukryte uszkodzenie (latent fault) nie wywołuje natychmiastowego skutku, ale usuwa ochronę przed kolejnym zdarzeniem. Okresowy test dowodowy zmniejsza czas nieujawnienia tylko dla trybów, które rzeczywiście pobudza i obserwuje. Jeżeli intensywność niebezpiecznego uszkodzenia jest w uproszczeniu stała, średni czas ekspozycji pomiędzy idealnymi testami wynosi około połowy interwału. Przy pokryciu $C<1$ pozostaje jednak część populacji trybów niewykrywanych; skracanie interwału nie kompensuje automatycznie braku pokrycia.
Dla rzadkich, niezależnych uszkodzeń o stałej intensywności $\lambda_D$ prosty model rozdzielający tryby objęte i nieobjęte próbą ma postać
$$PFD_{avg}\approx C\lambda_D\frac{\tau}{2}+(1-C)\lambda_D T_u,$$
gdzie $\tau$ jest interwałem próby, a $T_u$ średnim czasem pozostawania niewykrytej części do ujawnienia inną drogą lub wycofania. Pierwszy składnik maleje po skróceniu $\tau$; drugi nie maleje, jeśli próba nadal nie obserwuje danych trybów. W syntetycznym przykładzie $\lambda_D=0{,}004$, $\tau=20$ i $T_u=100$ idealne pokrycie daje 0,040, a $C=0{,}80$ — 0,112, z czego 0,080 pochodzi z części nieobjętej. Jednostki są umowne, wartości nie opisują urządzenia.
Model ten także nie dowodzi niezależności. Jeżeli każdy z dwóch kanałów ma bezwymiarowe prawdopodobieństwo utraty $p$, a osobne zdarzenie wspólne występuje z prawdopodobieństwem $q$, całkowita utrata w prostym modelu wynosi
$$P_{loss}=q+(1-q)p^2,$$
nie samo $p^2$. Dla dydaktycznych $p=0{,}02$ i $q=0{,}005$ założenie wyłącznie niezależne daje 0,000400, podczas gdy model ze wspólną przyczyną daje 0,005398 — około 13,5 raza więcej. Liczba nie jest prognozą awaryjności; pokazuje, że nawet mały składnik wspólny może dominować nad iloczynem małych liczb.
Pokrycie diagnostyczne trzeba definiować względem zbioru trybów uszkodzeń i ich znaczenia, nie liczby linii kodu ani przypadków testowych. Samotest pamięci nie obejmuje wyjścia analogowego, połączenia, stopnia sterującego i obiektu. Odczyt zwrotny rejestru może powtórzyć tę samą błędną wartość, którą zapisano. Różnorodny pomiar stanu fizycznego daje inny rodzaj dowodu.
Studium I: częściowe zasilanie i aparatura naziemna tworzą niezamierzoną drogę energii
Rozważmy hipotetyczny moduł podłączony do aparatury naziemnej (GSE) podczas próby. Główne zasilanie produktu jest odłączone, lecz interfejs serwisowy podaje sygnał na domenę wejściową. Przez ścieżkę ochronną część układu otrzymuje energię. Procesor nie pracuje, a więc nie wykonuje programowej blokady; stopień sterujący osiąga stan nieustalony. Nie są to szczegóły realnej architektury, lecz model hazardu.
Schemat celowo oddziela zjawisko od dowodu. Górny tor stawia pytanie, którędy energia może rzeczywiście dotrzeć do granicy odbiornika; dolny — czy pomiar tej granicy, konfiguracja próby i ograniczenia substytutu wystarczają do określonego twierdzenia. Zielona flaga sterownika nie łączy tych torów, gdy sterownik nie jest zasilony albo obserwuje tylko własny rejestr.
Granica scenariusza obejmuje produkt, GSE, przewód, źródło zasilania, odbiornik energii, personel i procedurę. FMEA ujawnia zasilanie zwrotne oraz nieokreślony stan stopnia sterującego. FTA dla zdarzenia „energia na niepożądanym wyjściu podczas obsługi” pokazuje, że wspólna masa i interfejs mogą ominąć logiczne zezwolenie. Analiza przejść dodaje okres podłączania i odłączania, którego nominalna próba po uruchomieniu nie obejmuje.
Hierarchia środków zaczyna się od usunięcia fizycznej drogi albo ograniczenia energii. Dalej można zastosować izolację, stan wymuszony bez zasilania, sprzętową blokadę i obserwację fizycznego wyjścia. Procedura ustala strefę, kolejność oraz niezależne potwierdzenie, lecz nie powinna być jedyną ochroną. Każdy środek jest oceniany dla braku jednej szyny, złej kolejności i uszkodzenia wspólnego złącza.
Program prób wykorzystuje bezpieczny substytut odbiornika i ograniczone źródła. Mierzy wszystkie domeny podczas narastania, zaniku, podłączania i odłączania GSE. Kryterium dotyczy energii na granicy odbiornika, nie tylko flagi procesora. Test stanowiska ma osobną analizę zagrożeń, ponieważ celowo wprowadza błędy zasilania.
Ryzyko resztkowe można ocenić dopiero po wykazaniu skuteczności fizycznego ograniczenia, zakresu próby i kontroli konfiguracji przewodu oraz GSE. Jeżeli pomiar nie obejmuje krótkiego stanu przejściowego albo substytut różni się impedancją od rzeczywistego interfejsu, luka pozostaje jawnym ograniczeniem dowodu. Studium przeprowadza w ten sposób pełny ciąg: energia → scenariusz → analiza → bariera → próba → niepewność → decyzja.
Integralność komendy obejmuje znaczenie, czas i stan fizyczny
Poprawność bitowa chroni przed częścią przekłamań, ale nie dowodzi tożsamości nadawcy, świeżości, właściwej fazy ani sensu polecenia. Komenda może być prawidłowo zakodowana i autoryzowana, lecz odnosić się do poprzedniego stanu. Kontrakt powinien rozróżniać: komunikat odebrany, rozpoznany, dopuszczony, wykonany logicznie i osiągnięty fizycznie.
Sekwencja, licznik, epoka czasu lub identyfikator transakcji mogą wspierać wykrywanie powtórzenia, ale same mają stan początkowy, reset i utratę synchronizacji. Po krótkim spadku napięcia jedna strona może zachować licznik, druga go wyzerować. Wartość domyślna nie jest automatycznie bezpieczną prawdą. Potrzebna jest procedura rekoncyliacji, która nie interpretuje niepewności jako zezwolenia.
Potwierdzenie przyjęcia nie powinno być mylone z potwierdzeniem skutku. Odczyt zwrotny rejestru mówi o elektronice; sensor wyjścia lub obiektu — o innym odcinku łańcucha. Im wyższa konsekwencja, tym ważniejsza różnorodność obserwacji i jawny stan „wykonanie niepotwierdzone”. Ograniczenie komend według fazy musi wynikać ze stanu ustalonego przez wiarygodne dane.
Styk bezpieczeństwa systemowego z ochroną informacji jest tu wyraźny. Mechanizmy ochrony informacji zabezpieczają pochodzenie, integralność i świeżość. Analiza bezpieczeństwa sprawdza, czy nawet prawidłowa komenda nie tworzy hazardu w obecnym stanie oraz jak system zachowuje się po utracie zaufania. Monografia o systemach sterowania i SIS trafnie podkreśla potrzebę koordynacji obu dziedzin przez cały cykl życia, choć jej sektorowe zalecenia nie są wymaganiami pocisku.12
Studium II: stara komenda po spadku napięcia jest logicznie poprawna i fizycznie błędna
W hipotetycznym zdarzeniu sterownik wysyła polecenie zmiany stanu. Odbiornik rozpoczyna wykonanie, po czym następuje krótki spadek napięcia. Nadajnik zachowuje zapis wysłania, odbiornik traci pamięć roboczą, a obiekt fizyczny pozostaje pomiędzy stanami. Po powrocie zasilania bufor komunikacyjny ponownie dostarcza poprawną bitowo komendę.
Jeżeli odbiornik ocenia tylko sumę kontrolną i typ, zaakceptuje wiadomość. Jeżeli używa licznika bez kontrolowanej epoki po resecie, może także uznać ją za świeżą. Jeżeli potwierdzenie dotyczy zapisu rejestru, system otrzyma status sukcesu, choć obiekt przeszedł inny fragment sekwencji. Hazard powstaje ze wspólnej historii czasu, zasilania, pamięci i mechaniki, nie z jednego uszkodzonego bitu.
Wymagania wynikające ze scenariusza dotyczą czterech rozstrzygnięć. Po pierwsze odbiornik po resecie jawnie oznacza utratę kontekstu. Po drugie stan fizyczny jest obserwowany przed kontynuacją. Po trzecie ponowienie ma zdefiniowaną semantykę i nie jest automatycznym powtórzeniem nieodwracalnej czynności. Po czwarte sprzeczność pomiędzy pamięcią, komunikatem i sensorem prowadzi do stanu ograniczonego, a nie do arbitralnego głosowania.
Próba obejmuje spadek napięcia w różnych abstrakcyjnych fazach, utratę zegara, opóźnioną wiadomość i sprzeczne potwierdzenie, ale używa bezpiecznego modelu obiektu. Wspólne znaczniki czasu i surowe logi pozwalają odtworzyć pierwszy symptom. Kryteria ustala się przed testem: brak niedozwolonego transferu energii, wykrycie utraty kontekstu, poprawne wejście w stan niepewny i brak fałszywego potwierdzenia skutku.
Studium pokazuje, dlaczego rozdział o integralności komend nie jest miniaturowym podręcznikiem cyberbezpieczeństwa. Każda własność komunikatu prowadzi tu do konkretnego hazardu, ograniczenia architektury, próby i decyzji dotyczącej bezpieczeństwa. Rzeczywiste czasy, kody i sekwencje pozostają celowo poza zakresem publicznym.
Wspólne zasoby i dowód implementacji
Scenariusze systemowe trzeba następnie przełożyć na warstwy implementacji. Zasilanie, czas, sprzęt, FPGA, oprogramowanie i dane tworzą wspólną funkcję, dlatego dowód nie może kończyć się na granicy jednego zespołu lub jednego modelu testowego.
Zasilanie, reset i zegar są wspólnymi zasobami bezpieczeństwa
Zasilanie ma tolerancje, kolejność, stany przejściowe, impedancję źródła i drogi zwrotne. Monitor napięcia mierzy własny punkt, nie wszystkie domeny. Reset może być asynchroniczny względem logiki, a różne układy wychodzą z niego w innym czasie. Projekt powinien analizować narastanie, zapad, oscylację, krótkie przerwy, spadek napięcia i zasilanie przez interfejsy.
Zegar nadaje kolejność sensorom, komendom, układom nadzorczym, limitom czasu i dowodom po anomalii. Dwa kanały zależne od jednego oscylatora lub źródła synchronizacji mogą jednocześnie błędnie uznać wiadomość za świeżą. Po utracie jakości czasu system powinien oznaczyć niepewność; cichy powrót do wartości nominalnej maskuje wspólną przyczynę.
Układ nadzorczy (watchdog) wykrywa tylko zdefiniowaną klasę problemów. Może zresetować poprawnie działający układ przeciążony przez wyższą warstwę albo nie wykryć błędnej, lecz regularnie odświeżanej logiki. Reset jest działaniem sterującym z własnym hazardem. Jego wpływ na wyjścia, pamięć, logi i stan obiektu musi zostać przeanalizowany jak każda inna komenda.
Energia zmagazynowana wymaga bilansu czasu. Dla kondensatora idealnego
$$E_C=\frac{1}{2}CV^2,$$
ale o zagrożeniu decyduje również droga rozładowania, napięcie resztkowe, tolerancja i odbiornik. Równanie przypomina, że spadek wskazania zasilacza nie dowodzi natychmiastowego zaniku energii lokalnej. Publiczny tekst nie podaje wartości ani topologii wykonawczej.
Sprzęt, FPGA, oprogramowanie i dane tworzą wspólną funkcję
Współczesna funkcja może przechodzić przez sensor analogowy, konwerter, logikę FPGA, procesor, program, tabelę danych, stopień sterujący i element wykonawczy. Podział organizacyjny nie powinien przeciąć dowodu. Wymaganie bezpieczeństwa musi wskazać, jaka część jest realizowana w każdej warstwie i jakie założenia przekazuje następnej.
Sprzęt wnosi losowe uszkodzenia, tolerancje, dryft, zachowanie poza zakresem i wspólne zasilanie. Oprogramowanie wnosi błędy wymagań, algorytmów, współbieżności, czasu i obsługi stanów. FPGA jest sprzętem po skonfigurowaniu, lecz jego zachowanie powstaje w cyfrowym procesie projektu, syntezy, implementacji i ładowania obrazu. Dane kalibracyjne i konfiguracyjne mogą zmienić funkcję bez zmiany pliku wykonywalnego.
NASA-STD-8739.8B łączy zapewnienie oprogramowania z jego bezpieczeństwem, obejmując wymagania, analizę, test, konfigurację, narzędzia i ocenę ryzyka.8 ECSS-E-ST-40C Rev.1 porządkuje cykl rozwoju oprogramowania systemów kosmicznych.9 Żaden dokument sam nie dowodzi konkretnej funkcji, ale oba pokazują, że zapewnienie procesu i dowód produktu muszą być powiązane.
Lokalny podręcznik projektowania FPGA opisuje przejście od modelu przez opis sprzętu, symulację, syntezę i implementację do konfiguracji układu.15 W argumencie bezpieczeństwa każdy etap powinien zachować tożsamość źródeł, wersji narzędzia, ograniczeń, raportów i obrazu wynikowego. Powtórne zbudowanie „tego samego” kodu inną wersją narzędzia jest zmianą wymagającą oceny wpływu.
Weryfikacja musi wykazać mechanizm bariery i jej pokrycie
Analiza odpowiada na pytania trudne lub niebezpieczne do bezpośredniego testu. Inspekcja potwierdza cechę i konfigurację. Demonstracja pokazuje funkcję bez dokładnego pomiaru. Test mierzy odpowiedź na kontrolowane wejście. Metody uzupełniają się, ale nie są zamienne. Macierz weryfikacji łączy wymaganie z konfiguracją, środowiskiem, kryterium, danymi i niepewnością.
Wstrzykiwanie błędów ma wartość, jeżeli lista błędów pochodzi z hazardów i modeli uszkodzeń. Przypadkowe zakłócenia bez pokrycia scenariuszy mogą dać dużo logów i mało dowodu. Model-in-the-loop (MIL), software-in-the-loop (SIL), processor-in-the-loop (PIL) i hardware-in-the-loop (HIL) sprawdzają inne granice. HIL nie zastępuje fizycznego odbiornika, jeśli jego model nie odtwarza dynamiki ważnej dla bariery.
Negatywna weryfikacja sprawdza brak niedozwolonego działania: złą kolejność, niepełną informację, utratę sensora, częściowe zasilanie, reset i sprzeczny status. Prowadzi się ją na bezpiecznym substytucie lub stanowisku ograniczającym energię. Analiza zagrożeń testu (Test Hazard Analysis) ocenia stanowisko, skrypty, zasilacze, dostęp człowieka, awarię samego modelu i możliwość niekontrolowanego wyjścia.
Pokrycie ma mianownik. Może nim być zbiór wymagań, trybów uszkodzeń, scenariuszy hazardu, przejść stanu albo kombinacji interfejsów. „Wysokie pokrycie” bez wskazania mianownika jest nieweryfikowalne. Wynik pozytywny obowiązuje tylko dla konfiguracji, zakresu i jakości pomiaru z raportu.
Studium III: zmiana FPGA może ukryć utratę diagnostyki
Wyobraźmy sobie zmianę komponentu oraz ponowne zbudowanie obrazu FPGA. Funkcja główna przechodzi test nominalny, lecz reorganizacja logiki zmienia kolejność próbkowania w torze diagnostycznym. W określonym przejściu monitor nie wykrywa uszkodzenia wyjścia. System nadal wykonuje misję, a utrata bariery pozostaje ukryta do czasu drugiego zdarzenia.
Scenariusz łączy błąd systematyczny, wspólny proces narzędziowy i ukryte uszkodzenie. FMEA samego komponentu może nie wykryć zmiany temporalnej. FTA pokaże, że monitor i tor główny dzielą obraz oraz zegar. Analiza konfiguracji ujawni zmianę narzędzia, ograniczeń implementacyjnych, bloków własności intelektualnej i danych programujących. Test dowodowy ma wartość tylko wtedy, gdy pobudza konkretny tryb i obserwuje fizyczny skutek.
Po wykryciu nie wystarcza poprawienie jednego egzemplarza. Trzeba zabezpieczyć obrazy, raporty syntezy, wersje źródeł, ustawienia, wynik czasowy, surowe logi i identyfikację płyt. Analiza populacji pyta, które egzemplarze otrzymały ten sam komponent, obraz, narzędzie lub proces ładowania. Jeśli identyfikowalność jest niepełna, czasowe zatrzymanie obejmuje szerszą grupę.
Działanie korygujące może zmienić diagnostykę, ograniczenie implementacyjne, test albo architekturę niezależności. Każda zmiana ponownie otwiera argument bezpieczeństwa oraz regresję sprzęt–FPGA–oprogramowanie. Skuteczność sprawdza się po reprezentatywnej historii, a nie tylko w jednej symulacji. Dane z nadzoru populacji muszą potwierdzić, że bariera pozostała aktywna w czasie.
Studium domyka specyfikę elektroniki pokładowej: krótka misja nie ujawnia sama ukrytego uszkodzenia, jednorazowy produkt ogranicza test egzemplarza, a długa historia magazynowania i zmiany łańcucha dostaw wpływają na wspólny argument. Poprawna funkcja główna nie dowodzi obecności ochrony.
Studium IV: konflikt dostępności misji ze stanem ograniczonym
Rozważmy abstrakcyjny sterownik, w którym dwa kanały estymują tę samą wielkość i nagle się nie zgadzają. Polityka nastawiona wyłącznie na dostępność może podtrzymać ostatnią wartość albo wybrać kanał większością pomocniczych flag. Polityka nastawiona wyłącznie na przerwanie może natychmiast odebrać funkcję mimo przejściowego błędu jednego pomiaru. Żadna reguła nie jest bezwarunkowo bezpieczna: decyzja zależy od fazy, odwracalności skutku, jakości obserwacji, czasu do niezależnego rozstrzygnięcia i konsekwencji obu pomyłek.
Konflikt można pokazać przez syntetyczną funkcję straty. Niech $q$ oznacza aktualne przekonanie, że rozbieżność pochodzi ze wspólnej, niebezpiecznej przyczyny. Dalsze działanie ma stratę 0, gdy kanały są wystarczająco wiarygodne, i 100 przy wspólnej przyczynie. Przejście do funkcji ograniczonej ma umowną stratę misji 1 w pierwszym przypadku i 2 w drugim. Oczekiwane straty wynoszą wtedy
$$R_{continue}=100q,\qquad R_{restrict}=1(1-q)+2q=1+q.$$
Granica obu działań wypada przy $q=1/99\approx0{,}0101$. Dla $q=0{,}005$ model wybiera dalsze działanie (0,500 wobec 1,005), a dla $q=0{,}020$ — funkcję ograniczoną (2,000 wobec 1,020). Wartości są bezwymiarową ilustracją asymetrii konsekwencji; nie są progiem ani regułą dla rzeczywistego systemu.
Najważniejsze nie jest obliczenie granicy, lecz śledzenie podstawy $q$ i funkcji straty. Wspólny reset, zegar, model albo zasilanie zwiększa wiarygodność hipotezy wspólnej. Niezależny pomiar fizyczny może ją zmniejszyć. Brak danych nie uzasadnia ustawienia $q=0$. Jeżeli konsekwencje są nieporównywalne lub kryteria programu nakazują określone zachowanie, prosta minimalizacja oczekiwanej straty nie zastępuje wymagania normatywnego.
Ze studium wynikają wymagania dowodowe: rozbieżność musi być osobnym stanem, nie chwilową flagą; podtrzymanie funkcji ma określony horyzont i obwiednię; funkcja ograniczona ma wykazaną skuteczność fizyczną; oba błędne rozstrzygnięcia są badane na bezpiecznym substytucie; a zapis zachowuje dane potrzebne do ponownej oceny hipotez. W ten sposób konflikt „powodzenie misji kontra bezpieczeństwo” staje się jawną decyzją z kontrdowodami, nie ukrytą preferencją projektanta.
Od produkcji do wiedzy o populacji
Argument nie kończy się po kwalifikacji projektu. Musi przetrwać zmienność produkcji, konfigurację aparatury naziemnej, starzenie, odchylenia i nowe anomalie w populacji egzemplarzy.
Produkcja, aparatura naziemna i konfiguracja są częścią architektury bezpieczeństwa
Cechy krytyczne dla bezpieczeństwa powinny mieć zdefiniowane źródło zmienności, metodę kontroli i reakcję na odchylenie. Odbiór komponentu nie zastępuje kontroli montażu, czystości, połączenia, programowania i identyfikacji wersji. Badanie nieniszczące potwierdza tylko cechy w granicach swojej zdolności detekcji. Rekord produkcyjny wiąże partie, procesy, poprawki, pomiary, testy i anomalie z egzemplarzem.
Aparatura naziemna (GSE) ma własny sprzęt, oprogramowanie, kalibrację i konfigurację. Może ominąć blokadę, wymusić stan, podać zasilanie zwrotne lub zinterpretować brak odpowiedzi jako sukces. Adapter, przewód i skrypt są elementami dowodu. Dostęp serwisowy stosowany w produkcji nie powinien pozostawać niekontrolowaną drogą w eksploatacji.
Zmiana komponentu wskutek utraty dostępności może zachować wartości nominalne, a zmienić zachowanie podczas rozruchu, upływ, propagację uszkodzenia lub podatność na środowisko. Analiza różnic musi objąć mechanizmy ograniczające hazard. Sama zgodność postaci, dopasowania i funkcji (form, fit, function) w nominalnym stanie nie wystarcza do przeniesienia dowodu bezpieczeństwa.
Przed zwolnieniem do użycia sprawdza się zgodność obrazu FPGA, oprogramowania, danych i sprzętu, status otwartych odstępstw, historię środowiska oraz poprawność GSE. Odcisk kryptograficzny pomaga identyfikować plik, lecz nie dowodzi jego poprawności. Jest ogniwem tożsamości w szerszym łańcuchu.
FRACAS i nadzór zamieniają anomalię w wiedzę o populacji
System raportowania, analizy i działań korygujących (FRACAS) zaczyna się od ochrony pierwszego symptomu. Reset i lawina alarmów mogą zniszczyć najważniejszy kontekst. Log powinien zachować przyczynę resetu, jakość czasu, konfigurację, stan zasilania, komendę, potwierdzenie i luki. Zapis nie może opóźniać bezpiecznej reakcji, lecz priorytet tej reakcji powinien wynikać z analizy hazardu.
Po anomalii tworzy się konkurencyjne hipotezy. Zdarzenie wyzwalające, mechanizm fizyczny lub logiczny oraz przyczyna źródłowa nie są tym samym. „Uszkodzony komponent” nie wyjaśnia, dlaczego bariera nie przerwała scenariusza. Literatura o katastrofach lotniczych i bezpieczeństwie jądrowym podkreśla rolę łańcuchów przyczyn, obrony warstwowej i uczenia organizacyjnego.13,14
Tymczasowe ograniczenie zakresu użycia obejmuje partie, rewizje, dostawców, narzędzia, konfiguracje i warunki mogące dzielić przyczynę. Brak drugiego zdarzenia nie dowodzi wyjątkowości. Im słabsza identyfikowalność, tym szersza musi być tymczasowa ochrona populacji. Presja dostępności nie jest argumentem technicznym za zawężeniem.
Nadzór (surveillance) obserwuje trendy, nie tylko wynik „spełnia/nie spełnia”. Czas startu, prąd, częstotliwość resetów, rozbieżności kanałów, fałszywe alarmy i wyniki testów mogą ujawniać malejący margines. Dane normalizuje się względem temperatury, konfiguracji i ekspozycji. Model ryzyka aktualizuje się zgodnie z wynikiem, nie po to, aby zachować wcześniejszą klasę.
Synteza: pięć pytań sprawdza kompletność argumentu
Pierwsze pytanie brzmi: jaka energia, informacja lub władza może przekroczyć granicę w każdym trybie i przejściu? Drugie: jaki pełny scenariusz prowadzi od tej możliwości do szkody? Trzecie: która bariera fizycznie eliminuje, przerywa albo ogranicza łańcuch i od czego sama zależy? Czwarte: jaki dowód pokazuje jej działanie w reprezentatywnej konfiguracji, środowisku i czasie? Piąte: kto świadomie akceptuje to, czego dowód nie usunął?
Jeżeli odpowiedź zatrzymuje się na nazwie standardu, obecności redundancji, zielonej fladze testu albo liczbie bez źródła, argument nie jest zamknięty. Argument bezpieczeństwa powinien wskazywać wersję produktu, założenia, kontrdowody, niepewność i relacje do rejestru hazardów. Zmiana części, obrazu, danych, GSE lub procedury otwiera dokładnie te twierdzenia, których podstawę narusza.
Cztery studia pokazują tę samą metodę w odmiennych skalach. Zasilanie częściowe ujawnia, że programowa blokada nie istnieje bez działającego programu. Stara komenda po spadku napięcia (brownout) pokazuje różnicę pomiędzy komunikatem poprawnym a bezpiecznym. Utrata diagnostyki po zmianie FPGA dowodzi, że funkcja główna może pozostać nominalna po zniknięciu bariery. Konflikt dostępności z funkcją ograniczoną pokazuje zaś, że decyzja zależy od asymetrii konsekwencji i jakości hipotezy, a nie od jednego uniwersalnego stanu bezpiecznego po uszkodzeniu. W każdym przypadku bezpieczeństwo powstaje dopiero z połączenia fizyki, logiki, weryfikacji, konfiguracji i decyzji.
Bezpieczeństwo elektroniki pokładowej nie jest więc dodatkowym rozdziałem po projekcie. Jest sposobem organizowania projektu od pierwszej granicy systemu do ostatniego rekordu wycofania. Jego produktem nie jest obietnica braku awarii, lecz sprawdzalny, aktualny i świadomie ograniczony argument o tym, dlaczego określona konfiguracja pozostaje dopuszczalna.