Zasilanie, sekwencjonowanie, BIT/BITE i testowanie

Publikacja: 2026-09-04 · Aktualizacja: 2026-09-11

Spis treści

Pytanie dowodowe i granica jawności
Fikcyjny system referencyjny i konfiguracja bazowa
READY jako kontrakt czasowy i odwoływalne twierdzenie
Hazard nadrzędny: fałszywa gotowość
Jeden zbiór wad dla FMEA, FTA, BIT i wstrzykiwania wad
Wspólna macierz od wymagania do regresji
Profil stanów i obciążeń zamiast jednej mocy
Źródło, transfer i dystrybucja energii
Maszyna stanów, sesje, właściciel i wygaśnięcie
Obserwowalność i kompletny tor pomiarowy
BIT i sprzęt BITE jako alokacja pobudzeń oraz obserwacji
Pokrycie, stan odniesienia i ryzyko decyzji
Wstrzykiwanie wad jako walidacja testu
Studium RDY-PWR: zapad napięcia, reset i stary status
Studium RDY-SNS: wewnętrzny BIT omija degradację sensora
Studium RDY-SRV: degradacja warstwy partii w nadzorze eksploatacyjnym
V&V, środowisko, EMC i granice przenoszenia dowodu
Konfiguracja bazowa, decyzja, odstępstwa i regresja
Źródła, lokalizatory i status dokumentów

Pytanie dowodowe i granica jawności

W urządzeniu złożonym nie wystarcza stwierdzić, że „zasilanie jest obecne”, „autotest przeszedł” albo „bit gotowości ma wartość jeden”. Każde z tych zdań może być prawdziwe, a urządzenie mimo to może nie wykonać wymaganej funkcji: napięcie mogło zostać zmierzone przed skokiem obciążenia, autotest mógł ominąć fizyczny fragment toru, a bit mógł należeć do sesji zakończonej resetem. Właściwe pytanie brzmi więc: jaki zestaw obserwacji, w jakiej konfiguracji i przez jak długi czas uzasadnia decyzję, że wszystkie wymagane funkcje są gotowe?

Teza tej monografii jest następująca:

READY nie jest flagą urządzenia, lecz odwoływalnym i związanym z konfiguracją twierdzeniem, że w określonym stanie, środowisku i przedziale czasu każda wymagana funkcja ma dostateczny profil energii, a system diagnostyczny potrafi z ustalonym pokryciem i ryzykiem decyzji odróżnić stany dopuszczalne od niedopuszczalnych.

Słowo „twierdzenie” nie oznacza pewności absolutnej. Oznacza wniosek oparty na jawnych przesłankach: wymaganiu, modelu, pomiarze, niepewności, regule decyzji i granicach stosowalności. Twierdzenie może zostać wydane, odnowione, ograniczone albo odwołane. Nie można go przenieść bez uzasadnienia między egzemplarzami, wersjami oprogramowania, partiami źródeł energii, temperaturami, stanowiskami czy trybami obciążenia. NASA odróżnia weryfikację zgodności produktu z wymaganiami od walidacji jego przydatności w zamierzonym środowisku; oba pytania są potrzebne, ale żadne samo nie zamyka gotowości całego systemu.^nasa-seh

Tekst służy nauczaniu inżynierii systemów, diagnostyki i oceny dowodu. Jedyny analizowany obiekt — WISŁA-ĆW-01 — jest jawnie fikcyjnym, nieoperacyjnym demonstratorem laboratoryjnym. Wszystkie identyfikatory, progi, czasy, wartości elektryczne, wyniki i rozkłady w trzech studiach są syntetyczne. Nie opisują żadnego istniejącego pocisku, urządzenia wojskowego ani procedury użycia. Demonstrator ma obciążenia zastępcze i emulator wykonawczy bez materiałów energetycznych. Artykuł nie podaje wyprowadzeń, kolejności styków, poziomów i czasów rzeczywistego interfejsu, sekwencji uruchomienia środka bojowego, logiki uzbrajania ani parametrów inicjowania źródła rezerwowego.

Granica jawności ma także skutek metodyczny. Energia jest tu opisywana przez profile i zastępcze modele, a nie przez instrukcję wykonawczą. Diagnostyka jest opisywana przez relacje pobudzenie–obserwacja–decyzja, a nie przez procedurę przygotowania uzbrojenia. Źródło Guidottiego służy wyłącznie do wykazania, że rezerwowe źródło termiczne jest odmiennym stanem fizycznym przed i po aktywacji oraz że długie magazynowanie nie zwalnia z oceny konkretnej konfiguracji; nie przenosimy jego historycznych danych konstrukcyjnych do systemu referencyjnego.^sandia

Ostrzeżenie dla znalazcy: znalezionego pocisku, rakiety ani ich części nie wolno dotykać, przenosić ani otwierać. Należy oddalić się, ograniczyć innym osobom dostęp do miejsca, zawiadomić numer alarmowy 112, Policję albo właściwe służby i wykonywać ich polecenia. Brak widocznych uszkodzeń, korozja, wiek przedmiotu lub podobieństwo do elementu ćwiczebnego nie potwierdzają bezpieczeństwa.

Fikcyjny system referencyjny i konfiguracja bazowa

WISŁA-ĆW-01 jest laboratoryjnym demonstratorem architektury gotowości. Składa się z pięciu domen: PWR — dystrybucja i nadzór energii; CMP — komputer z układem FPGA; SNS — fizyczny tor sensora z adapterem; COM — łącze diagnostyczne; ACT — nieenergetyczny emulator obciążenia wykonawczego. Stanowisko ST-04 może zasilać demonstrator ze źródła platformowego ZP-ĆW, po czym następuje kontrolowany transfer na własne, bezpieczne źródło laboratoryjne EZ-ĆW-01. Nazwa „własne” opisuje tylko granicę odpowiedzialności energetycznej, nie technologię źródła.

Jedyną bazą odniesienia jest BL-WC1-2026.09-A. Obejmuje ona:

Element konfiguracji	Wartość bazowa
model i egzemplarz	`WISŁA-ĆW-01 / EGZ-04`
zespół energii	`PWR-HW-03`, źródło `EZ-ĆW-01`, partia syntetyczna `L24-A`, warstwa wieku `T+6`
komputer	`CMP-HW-02`, FPGA `FPGA-BIT-07`, oprogramowanie `FW-1.8.2`
sensor i adapter	`SNS-HW-05`, adapter `ADP-03`, współczynniki `CAL-SNS-11`
arbiter gotowości	funkcja `ARB-RDY-04` w konfiguracji `RULESET-06`
stanowisko	`ST-04`, konfiguracja akwizycji `DAQ-12`, zestaw wzorcowań `CAL-ST-2026-08`
wymagania	`REQSET-RDY-09`
zbiór wad	`FSET-RDY-07`
środowisko dowodu	laboratoryjny profil `ENV-LAB-COLD-02`; bez twierdzenia o kwalifikacji operacyjnej

Tę krotkę nazywamy skrótem $c_0$. Zmiana dowolnego składnika nie musi automatycznie unieważniać całego dorobku, lecz musi uruchomić analizę wpływu. Przykładowo zmiana FW-1.8.2 na FW-1.8.3 może pozostawić wyniki pomiarów impedancji sprzętu, ale unieważnić dowód progów, obsługi sesji i czasu detekcji. Z kolei wymiana adaptera może zachować dowód logiki BIT, ale nie spójność pomiarową toru SNS.

Wymagania bazowe są celowo krótkie i mierzalne:

ID	Treść wymagania dla $c_0$	Kryterium zamknięcia
`REQ-RDY-PLT-01`	w stanie z energią platformy wymagane funkcje nadzoru mają ważny profil energii	wszystkie limity z uwzględnieniem niepewności, komplet ważnych wyników i sesja `PLT`
`REQ-RDY-OWN-02`	po transferze na źródło własne wymagane funkcje mają ważny profil energii	osobna sesja `OWN`, udany dowód przejścia i brak odziedziczonych PASS
`REQ-RDY-FUN-03`	wymagane łańcuchy funkcjonalne są zdolne do pracy w bieżącym stanie	pokrycie, czas detekcji, izolacja i ryzyko decyzji zgodne z alokacją
`REQ-DIAG-04`	diagnostyka odróżnia stany dopuszczalne od niedopuszczalnych w `FSET-RDY-07`	zwalidowane pobudzenia, obserwacje i mianownik pokrycia
`REQ-SRV-05`	dowód pozostaje ważny dla dopuszczonej warstwy partia–wiek–warunki	reprezentatywny nadzór eksploatacyjny i jawne granice wnioskowania
`REQ-CONF-06`	każda decyzja jest odtwarzalna z jednoznacznej konfiguracji	identyfikatory sprzętu, danych, procedury, kalibracji, kodu i reguły decyzji

Rozwinięcie granic funkcjonalnych i przepływów znajduje się w artykule Architektura funkcjonalna kierowanego pocisku rakietowego. Tutaj nie powtarzamy jego dekompozycji. Potrzebujemy tylko zasady, że wymaganie musi mieć właściciela, wejścia, wyjścia i obserwowalny warunek sukcesu. Opis architektury bez konfiguracji jest mapą bez daty; konfiguracja bez architektury jest listą części bez znaczenia.

`READY` jako kontrakt czasowy i odwoływalne twierdzenie

Formalnie traktujemy gotowość jako predykat:

$$R_k(c,s,e,t_0,t_1)=E_k\land D_k\land T_k\land C_k\land \neg X_k,$$

gdzie $k\in\{PLT,OWN,FUN\}$ oznacza klasę gotowości, $c$ — konfigurację, $s$ — stan, $e$ — sesję, a $[t_0,t_1]$ — przedział ważności. $E_k$ jest dowodem profilu energii, $D_k$ dowodem diagnostycznym, $T_k$ spełnieniem ograniczeń czasowych, $C_k$ zgodnością konfiguracji, a $X_k$ zbiorem warunków wygaśnięcia. Wzór jest autorską definicją kontraktu, nie cytatem z normy. Jest bezwymiarowy: każdy składnik ma wartość logiczną dopiero po zastosowaniu własnej reguły decyzji.

Gotowość wstępna READY-PLT mówi tylko, że funkcje wymagane w stanie z energią platformy są zasilone i zdiagnozowane. Nie dowodzi zdolności po odłączeniu platformy. Gotowość READY-OWN powstaje dopiero po transferze, ustaleniu źródła własnego i wykonaniu testów przy profilu obciążenia właściwym temu stanowi. Gotowość funkcjonalna READY-FUN wymaga dodatkowo potwierdzenia łańcuchów SNS–CMP–COM–ACT w zakresie przydzielonym danemu testowi. Relacja jest koniunkcją, a nie nadpisywaniem:

$$READY_{SYS}=READY_{PLT}\land READY_{OWN}\land READY_{FUN}.$$

Jeżeli bieżący stan nie wymaga jednej z klas, musi to wynikać z macierzy wymagań; nie wolno zastąpić brakującego dowodu stałą logiczną ukrytą w kodzie. Żaden moduł nie może samodzielnie ogłosić READY-SYS. Moduł wydaje jedynie podpisane semantycznie świadectwo cząstkowe: identyfikator funkcji, sesję, czas pomiaru, konfigurację, wynik, jakość danych i przyczynę ewentualnego odrzucenia.

Właścicielem twierdzenia systemowego jest ARB-RDY-04. „Właściciel” oznacza odpowiedzialność za złożenie przesłanek i natychmiastowe odwołanie wyniku, nie uprzywilejowaną wiarygodność. Arbiter także ma energię, zegar, reset, wersję reguł i możliwe wady. Dlatego jego działanie jest obserwowane niezależnie w próbach, a rejestr decyzji przechowuje zarówno zmianę statusu, jak i przyczynę. Dobre świadectwo gotowości przypomina certyfikat z terminem ważności, nie lampkę bez historii.

Świeżość $A_i=t_{now}-t_i$ jest wyrażona w sekundach i porównywana z budżetem $A_{i,max}(s)$ właściwym stanowi. Przykładowe, syntetyczne czasy ważności nie są parametrami żadnego wyrobu: dowód statycznej identyfikacji konfiguracji może zachować ważność przez całą niezmienioną sesję, zaś wynik obserwacji szybkiego profilu energii tylko przez okno obejmujące dany skok obciążenia. Nie wolno przypisywać wszystkim przesłankom jednego okresu odświeżania.

Twierdzenie wygasa co najmniej po: resecie właściciela albo dostawcy przesłanki; zmianie źródła energii; utracie synchronizacji czasu; przerwie danych większej od budżetu; zmianie konfiguracji; przekroczeniu zakresu środowiskowego; wykryciu wady należącej do mianownika; zmianie progu lub algorytmu; zakończeniu sesji stanowiska; oraz wykryciu niespójności między stanem fizycznym a deklarowanym. Odwołanie ma pierwszeństwo przed wydaniem nowego PASS. Wzorzec resetu i bezpiecznej inicjalizacji jest rozwinięty w Reset, rozruch i bezpieczna inicjalizacja; dla obecnego wywodu wystarcza wniosek, że asynchroniczne zdarzenie i ponowne zwolnienie resetu wymagają świadomego przejścia między domenami zegarowymi, a stan sprzed resetu nie jest dowodem stanu po resecie.^fpga-pl^,^{fpga-handbook}

Hazard nadrzędny: fałszywa gotowość

Hazard HZ-RDY-001 brzmi: system wydaje lub utrzymuje twierdzenie READY-SYS, mimo że co najmniej jedna wymagana funkcja nie ma dostatecznego profilu energii albo jej stan nie jest rozróżnialny z wymaganym ryzykiem decyzji. Jest to szersze niż awaria zasilacza i szersze niż fałszywy PASS pojedynczego BIT. Obejmuje prawdziwe lokalne wskazania zestawione w fałszywy wniosek systemowy.

Fałszywa gotowość może powstać czterema drogami. Pierwsza jest fizyczna: napięcie lub energia zapasowa są niewystarczające w rzeczywistym profilu obciążenia. Druga jest obserwacyjna: punkt pomiarowy leży przed wadliwym elementem, pasmo nie obejmuje zapadu albo kanały nie są zsynchronizowane. Trzecia jest logiczna: test obejmuje nie ten fragment toru, próg ma zły znak, a stary wynik pozostaje ważny po resecie. Czwarta jest ewidencyjna: poprawny wynik dla innego egzemplarza, oprogramowania, temperatury lub wieku zostaje bezpodstawnie przypisany konfiguracji bieżącej.

Zdarzenie szczytowe FTA zapisujemy jako:

$$HZ\text{-}RDY\text{-}001 = R_{declared}\land (\neg E_{required}\lor \neg F_{required}\lor \neg V_{evidence}),$$

gdzie $E_{required}$ oznacza spełniony profil energii, $F_{required}$ — zdolność funkcjonalną, a $V_{evidence}$ — ważność dowodu. Jest to algebra logiczna, bez jednostki. Jej celem nie jest obliczenie prawdopodobieństwa bez danych, tylko wymuszenie trzech niezależnych pytań. Standard MIL‑STD‑882E Change 1 każe prowadzić hazard od identyfikacji przez analizę i śledzenie do weryfikacji środków ograniczających; zadania 204 i 205 obejmują m.in. degradację, błędy czasowe, sprzęt, oprogramowanie i zależności między podsystemami.^mil882

Najbardziej zdradliwy jest wspólny punkt awarii. Jeśli arbiter uznaje brak wiadomości za podtrzymanie ostatniego stanu, to reset modułu diagnostycznego usuwa zarówno zdolność badania, jak i zdolność odwołania PASS. Jeśli wewnętrzny BIT używa tego samego napięcia odniesienia co tor mierzony, wspólny dryf może pozostawić iloraz pozornie poprawny. Jeśli model, generator bodźca i ocena wyniku korzystają z tej samej błędnej tabeli kalibracji, zgodność trzech zapisów nie daje trzech niezależnych dowodów.

Środki ograniczające przypisuje się do gałęzi drzewa: monitor energii i test profilu do braku wymaganej energii, test końca-do-końca do braku wymaganej funkcji, a sesje, świeżość i identyfikacja konfiguracji do nieważnego dowodu. Połączenie ich jednym AND na szczycie nie oznacza, że są zamienne. Lepszy BIT nie naprawia niedostatecznego źródła; większy kondensator nie dowodzi, że test obejmuje sensor; numer sesji nie kompensuje błędu pomiarowego.

Jeden zbiór wad dla FMEA, FTA, BIT i wstrzykiwania wad

FSET-RDY-07 jest kontrolowanym rejestrem wad. Każda pozycja ma identyfikator, obiekt fizyczny lub logiczny, mechanizm, stan ujawnienia, skutek lokalny, skutek systemowy, związek z hazardem, wagę, oczekiwany czas detekcji, wymaganą rozdzielczość izolacji, test, punkt pobudzenia i dowód walidacji. Wada nie znika z rejestru dlatego, że nie daje się łatwo wstrzyknąć; otrzymuje wtedy status „niewalidowana eksperymentalnie” i alternatywny dowód albo jawne ryzyko pozostałe.

FMEA czyta ten sam rejestr od przyczyny do skutku. FTA czyta go od HZ-RDY-001 do kombinacji przyczyn. Specyfikacja BIT przypisuje każdej wadzie wykrywalne skutki i punkty obserwacji oraz wskazuje identyfikowalny sprzęt BITE, jeżeli taki sprzęt wykonuje daną funkcję BIT. Plan wstrzykiwania wad sprawdza, czy rzeczywiście można pobudzić deklarowany mechanizm i zobaczyć przewidzianą odpowiedź bez obchodzenia badanego fragmentu. Jeżeli te cztery artefakty mają osobne listy, mianownik pokrycia staje się ruchomy: łatwe przypadki trafiają do demonstracji BIT, trudne zostają w FMEA, a wspólne przyczyny giną między nazwami.

Rdzeń syntetycznego zbioru przedstawia tabela. Wagi służą tylko obliczeniom przykładowym w konfiguracji $c_0$; nie są danymi niezawodności żadnego wyrobu.

Wada	Mechanizm i skutek	Gałąź `HZ-RDY-001`	Główna metoda ujawnienia
`F-PWR-01`	wzrost impedancji źródła, zapad pod obciążeniem	brak profilu energii	skok obciążenia i pomiar po obu stronach interfejsu
`F-PWR-02`	wspólne załączenie obciążeń poza modelem	brak profilu energii	korelacja prądu, napięcia i stanu
`F-PWR-03`	reset modułu bez odwołania świadectwa	nieważny dowód	zmiana epoki sesji i próba zaniku komunikacji
`F-SNS-01a` / `F-SNS-01b`	odpowiednio przerwa fizycznego toru albo zwarcie wejścia	brak funkcji	test elektryczny i bodziec fizyczny
`F-SNS-02a` / `F-SNS-02b`	odpowiednio częściowa utrata wzmocnienia przed punktem BIT albo wada przerywana zależna od impedancji	brak funkcji, false PASS	trzypunktowy bodziec końca-do-końca; dla `02b` brak zwalidowanego pobudzenia
`F-SNS-03a` / `F-SNS-03b` / `F-SNS-03c`	odpowiednio zatrzymany kod ADC, duże przesunięcie zera albo utrata odniesienia	błędna obserwacja	wzorzec zewnętrzny, wartości graniczne i kanał referencyjny
`F-COM-01a`	błąd transmisji wyniku `SNS` do arbitra	nieważna decyzja	kontrolowana mutacja ramki i obserwacja odbiorcy
`F-DIA-01`	błędny próg lub znak porównania	nieważna decyzja	wartości graniczne i test mutacyjny reguły
`F-DIA-02`	wspólna przyczyna toru testowego i użytkowego	zawyżone pokrycie	niezależne pobudzenie i obserwacja
`F-CONF-01`	wynik przypisany innej konfiguracji	nieważny dowód	kontrola identyfikatorów i audyt bazy
`F-SRV-01`	degradacja zależna od partii, wieku i warunków	dowód nieprzenośny	warstwowy nadzór eksploatacyjny

W analizie FMEA ocena dotkliwości wynika z hazardu, nie z łatwości naprawy. F-PWR-03 może nie uszkadzać sprzętu, a mimo to być krytyczna dla wiarygodności READY. W drzewie FTA reset nie jest końcem analizy: pytamy, dlaczego stare świadectwo pozostało ważne, dlaczego arbiter nie zauważył nowej epoki i czy wspólny zanik energii mógł objąć również kanał odwołania. W BIT pytamy, który skutek jest pobudzany i gdzie leży obserwator. We wstrzykiwaniu pytamy, czy pobudzenie jest wierne mechanizmowi, a nie tylko czy wymusiło oczekiwany kod błędu.

Standard MIL‑HDBK‑2165 wiąże plan testowalności, koncepcję diagnostyczną, wymagania BIT oraz ocenę wykrywania i izolacji; jego zadania 203.2.4–203.2.5 wymagają integracji możliwości podsystemów i przewidywania poziomu systemowego.^mil2165 Nie ustanawia jednak naszego FSET-RDY-07, wag ani reakcji na konkretny hazard. Te pozostają decyzjami programu i muszą być udokumentowane.

Sektorowy ECSS‑Q‑ST‑30C Rev.1 dodatkowo porządkuje program niezawodności, analizy, elementy krytyczne i dane; wykorzystujemy tę zależność metodyczną, nie wymagania przeznaczone dla projektów kosmicznych.^{dependability}

Wspólna macierz od wymagania do regresji

Kręgosłupem całego procesu jest nieprzerwany łańcuch:

wymaganie → stan i sesja → profil energii → zbiór wad i hazard → pobudzenie → obserwacja → BIT/test → niepewność → dowód → decyzja → regresja

Łańcuch jest wspólną macierzą, ponieważ każdy jego wiersz odpowiada jednemu wymaganiu, a każde ogniwo ma kontrolowany artefakt. Brak komórki nie jest pustym polem redakcyjnym, tylko przerwą dowodową. Aby tabela pozostała czytelna na małym ekranie, macierz przedstawiono pionowo:

Ogniwo macierzy	Pytanie zamykające	Artefakt dla $c_0$
wymaganie	jaka właściwość, granica i przedział czasu?	`REQSET-RDY-09`
stan i sesja	kiedy wynik obowiązuje i jaka epoka go wydała?	`STATE-RDY-05`, `SID-log`
profil energii	jakie obciążenie, źródło, droga i minimum?	`PWR-PROF-08`
zbiór wad i hazard	wobec czego dowód ma chronić?	`FSET-RDY-07`, `HZ-RDY-001`
pobudzenie	jaki mechanizm rzeczywiście aktywowano?	`STIM-CAT-04`
obserwacja	gdzie, kiedy i z jakim pasmem obserwowano?	`OBS-PLAN-12`
BIT/test	jaka logika zamienia obserwację w wynik?	`TESTSET-15`
niepewność	jak szeroki jest uzasadniony przedział wyniku?	`UNC-BUD-09`
dowód	jakie dane i metadane są niezmienne oraz odtwarzalne?	`EVID-PKG-*`
decyzja	jaka reguła daje PASS, FAIL lub wynik nierozstrzygnięty?	`RULESET-06`
regresja	co trzeba powtórzyć po zmianie albo odkryciu wady?	`REG-MAP-07`

Macierz nie kończy się na PASS. W komórce decyzji są trzy stany: WYKAZANE, NIEWYKAZANE i WARUNKOWE. NIEWYKAZANE nie oznacza automatycznie, że sprzęt jest wadliwy; oznacza, że dostępny dowód nie uzasadnia twierdzenia. Wynik NIEROZSTRZYGNIĘTY testu jest jedną z przyczyn stanu NIEWYKAZANE, obok jednoznacznego przekroczenia limitu. WARUNKOWE wymaga zapisania warunku, terminu i właściciela, nie dopisku „do wyjaśnienia”.

Dla REQ-RDY-FUN-03 skrócony wiersz brzmi: S5/FUN-e17 → profil PWR-PROF-08/C → wady F-SNS-01a..03c, F-COM-01a i F-DIA-01..02 → bodziec zewnętrzny PHY-3L → kanał referencyjny i surowe kody → TEST-SNS-EXT-04 → budżet UNC-SNS-03 → pakiet EVID-RDY-SNS-2026-09 → RULESET-06: $y-U=96{,}2<98{,}0$ oznacza brak podstaw do PASS, $y+U=97{,}8<98{,}0$ daje $G=NONCONF$, a PASS wewnętrznego BIT jest wobec tego false PASS → regresja punktów wstrzyknięcia. Tak zapisany wiersz można audytować bez zgadywania, co autor rozumiał przez „sensor OK”.

Profil stanów i obciążeń zamiast jednej mocy

Moc katalogowa lub średni pobór prądu nie opisują zdolności energetycznej systemu. W każdym stanie występuje inny zestaw odbiorników, inna równoczesność, inny dopuszczalny czas przejścia i inna wrażliwość na zapad. Profil PWR-PROF-08 jest funkcją czasu oraz stanu:

$$P_s(t)=V_s(t)I_s(t),\qquad E_s[t_a,t_b]=\int_{t_a}^{t_b}P_s(t)\,dt.$$

Moc $P_s$ ma jednostkę wata, napięcie wolta, prąd ampera, a energia $E_s$ dżula. Zależność jest definicyjna i obowiązuje dla zgodnych znaków napięcia oraz prądu w tym samym punkcie odniesienia. Niepewność energii zależy od niepewności obu kanałów, synchronizacji i całkowania; dlatego samo przemnożenie dwóch wartości szczytowych może być konserwatywną granicą, ale nie jest automatycznie wynikiem pomiaru energii.

W $c_0$ wyróżniamy stany:

Stan	Źródło dominujące	Charakter obciążenia	Dopuszczalne twierdzenie
`S0-MAG`	brak zasilania roboczego	magazynowanie, tylko ewidencja	brak `READY`
`S1-PLT`	`ZP-ĆW`	rozruch nadzoru i identyfikacja	kandydat `READY-PLT`
`S2-XFER`	okres transferu	nakładanie lub przerwa zależna od architektury	wszystkie wcześniejsze świadectwa energetyczne wygasają
`S3-OWN`	`EZ-ĆW-01`	stabilizacja oraz kontrolowany skok	kandydat `READY-OWN`
`S4-TEST`	`EZ-ĆW-01`	pobudzenia diagnostyczne i rejestracja	brak systemowego `READY` do końca oceny
`S5-FUN`	`EZ-ĆW-01`	syntetyczny profil funkcjonalny	kandydat `READY-FUN`, potem `READY-SYS`
`SF-FAULT`	dowolne	stan błędowy lub brak wiarygodnej obserwacji	`READY-* = false`

W każdym stanie profil ma co najmniej: napięcie początkowe, obciążenie ustalone, skok prądu, czas narastania, czas impulsu, kolejność logiczną zdarzeń, minimalne napięcie przy odbiorniku, dopuszczalny czas przebywania poniżej progów funkcjonalnych, energię zapasową i warunki temperatury. Profil wymaga także informacji, które obciążenia mogą wystąpić razem. Sumowanie wszystkich maksimów katalogowych bywa nierealistyczne, ale arbitralne wykluczenie równoczesności jest równie błędne.

Analiza najgorszego przypadku nie polega na ustawieniu każdego parametru na intuicyjnie najgorszy koniec tolerancji. Należy określić znak czułości, korelacje, ograniczenia fizyczne i stan. Pełną metodę rozwija Analiza najgorszego przypadku i marginesy. W tej monografii używamy jej tylko do połączenia profilu energii z progiem resetu i regułą READY.

Profil ma dwie osie czasu. Czas fizyczny odpowiada napięciu, prądowi i resetom. Czas dowodowy odpowiada świeżości świadectw i sesjom. Awaria może trwać mikrosekundy, ale unieważniać świadectwo do końca sesji; z kolei stabilny pomiar sprzed godziny może być fizycznie poprawny, lecz dowodowo przeterminowany po zmianie źródła. Mieszanie tych osi jest typową przyczyną zachowania starego PASS.

Źródło, transfer i dystrybucja energii

Profil energii zaczyna się w źródle, ale kryterium funkcjonalne sprawdza się przy odbiorniku. Między nimi znajdują się interfejsy, zabezpieczenia, przełączniki, przewody, płaszczyzny, przetwornice i lokalne magazyny energii. Dla przedziału, w którym można zastosować model skupiony, drogę zastępujemy impedancją:

$$V_{load}(s)=V_{src}(s)-I(s)Z_{path}(s).$$

W dziedzinie operatorowej $V$ ma jednostkę wolta, $I$ ampera, a $Z$ oma. Model jest liniowy tylko w zakresie, w którym elementy nie wchodzą w ograniczenie prądowe, nasycenie, wyłączenie ani zmianę topologii. Nie obejmuje sam z siebie sekwencera, histerezy nadzorcy, powrotu ze zwarcia ani zmiany stanu źródła. Standard ECSS‑E‑ST‑20‑20C opisuje szczególną architekturę kosmicznej dystrybucji z ogranicznikami prądu i wprost ogranicza swój zakres; wykorzystujemy z niego rozdzielenie perspektywy źródła, dystrybucji i obciążenia, nie jego szczegółowe wymagania jako normę dla demonstratora.^ecss-power

Transfer S1-PLT→S2-XFER→S3-OWN jest zmianą kontraktu. Przed transferem ZP-ĆW może maskować słabość EZ-ĆW-01, ładować lokalne pojemności i zasilać samą diagnostykę. Po transferze zmieniają się impedancja, dostępna energia, odpowiedź przejściowa i wspólne punkty awarii. Z tego powodu READY-PLT nie jest przesłanką wystarczającą dla READY-OWN. Wymagany jest obserwowalny dowód, że źródło własne faktycznie przejęło obciążenie oraz że pomiar nie pozostał po stronie platformowej.

Bilans ustalony sprawdza, czy źródło i przetwornice dostarczają moc bez trwałego przekroczenia granic. Bilans przejściowy sprawdza odpowiedź na skok. Bilans energii sprawdza, czy magazyny lokalne podtrzymują odbiornik przez wymagany przedział. Analiza stabilności sprawdza współpracę impedancji źródła, filtrów i regulatorów. Te dowody nie są równoważne. Poprawna moc średnia może współistnieć z zapadem resetującym logikę, a duży magazyn energii może współistnieć z oscylacją regulatora.

Punkt pomiaru napięcia na wyjściu źródła odpowiada na pytanie o źródło; punkt przy odbiorniku odpowiada na pytanie o dostarczoną energię. Różnica synchronicznych wskazań lokalizuje spadek na drodze, lecz tylko w ramach pasma i niepewności obu kanałów. Osobne napięcie na obu stronach interfejsu jest szczególnie ważne w nadzorze starzeniowym, bo bez niego wzrost rezystancji złącza może zostać błędnie przypisany ogniwu.

Sekwencjonowanie jest warunkiem poprawności, gdy odbiornik wymaga określonej relacji między szynami, zegarem, konfiguracją i resetem. Nie publikujemy tu wartości ani kolejności żadnego rzeczywistego urządzenia. Z punktu widzenia dowodu każda krawędź ma jednak cztery elementy: warunek wejścia, obserwację osiągnięcia, maksymalny czas i przejście błędowe. Sam rozkaz włączenia nie dowodzi obecności zasilania, a obecność napięcia bez jakości i czasu nie dowodzi zdolności funkcjonalnej.

Maszyna stanów, sesje, właściciel i wygaśnięcie

Maszyna STATE-RDY-05 nie przechowuje „ostatniego dobrego wyniku” jako ponadczasowej prawdy. Każde wejście do S1, S3 i S4 tworzy nową sesję nadrzędną SID, na przykład WC1-EGZ04-20260906-017, oraz zwiększa epokę domeny: ePLT, eOWN albo eFUN. Świadectwo ma krotkę:

$$q_i=(id_i,value_i,SID,e_i,t_i,c_i,U_i,scope_i,reason_i).$$

value jest wynikiem, $t_i$ czasem obserwacji, $c_i$ skrótem konfiguracji, $U_i$ opisem niepewności, scope_i zakresem objętym testem, a reason_i kodem przyczyny. Krotka nie ma jednej jednostki; jest rekordem danych. Brak któregokolwiek pola nie zawsze czyni pomiar fizycznie błędnym, ale może uniemożliwić jego użycie jako dowodu.

Przejście do S2-XFER atomowo odwołuje świadectwa READY-PLT używane jako przesłanki energetyczne. Wejście do S3-OWN nie kopiuje ich pod nową nazwą. Reset dowolnej domeny zwiększa jej epokę, a arbiter odrzuca wiadomość ze starą epoką nawet wtedy, gdy jej znacznik czasu jest świeży. Utrata zegara wspólnego ustawia jakość czasu na UNSYNC; do czasu odzyskania synchronizacji nie wolno obliczać kolejności przyczyna–skutek na podstawie samych znaczników.

Właściciele są rozdzieleni:

Odpowiedzialność	Właściciel w $c_0$	Obowiązek
wymaganie	`REQ-OWNER`	określa właściwość, limit i stan
świadectwo modułu	dana domena `PWR/CMP/SNS/COM/ACT`	mierzy, opisuje zakres i odwołuje po własnym resecie
twierdzenie systemowe	`ARB-RDY-04`	składa tylko zgodne sesje i konfiguracje
stan odniesienia próby	niezależny `TEST-DIR`	ustala stan rzeczywisty metodą odniesienia
konfiguracja	`CM-OWNER`	utrzymuje bazę i analizę wpływu zmian
akceptacja ryzyka	`RISK-AUTH`	zatwierdza lub odrzuca udokumentowane ryzyko pozostałe

Przejście błędowe zawsze prowadzi do SF-FAULT, gdy: wynik jest poza granicą, niepewność nie pozwala rozstrzygnąć, brakuje wymaganego kanału, dane są niespójne, sesja nie pasuje, konfiguracja jest nieznana, przekroczono świeżość albo test sam zgłasza niesprawność. Powrót z SF-FAULT nie polega na skasowaniu kodu. Wymaga nowej sesji, usunięcia lub zaakceptowania przyczyny i ponownego wykonania przypisanej regresji.

W FPGA asynchroniczne wejścia, zwolnienie resetu i przejścia między domenami zegarowymi wymagają odrębnej analizy synchronizacji oraz ograniczeń czasowych. Książki pokazują, że różne strategie resetu mają odmienne opóźnienia, zużycie zasobów i ryzyko metastabilności; nie istnieje poprawny „reset w ogóle” bez odniesienia do domeny i implementacji.^fpga-pl^,^{fpga-handbook} W naszym kontrakcie konsekwencja jest prosta: dopóki domena nie potwierdzi nowej epoki i nie odtworzy przesłanek, jej status pozostaje nieważny.

Obserwowalność i kompletny tor pomiarowy

Obserwowalność nie jest liczbą kanałów telemetrycznych. Jest zdolnością odróżnienia hipotez o stanie systemu na podstawie dostępnych obserwacji. Kanał „napięcie poprawne” nie rozstrzyga, czy źródło ma małą rezerwę dynamiczną. Kod „sensor odpowiada” nie rozstrzyga, czy bodziec przeszedł przez element fizyczny. Status „test wykonany” nie rozstrzyga, czy wynik należy do bieżącej sesji. Projekt obserwacji zaczyna się więc od par hipotez, które muszą dawać różne sygnatury.

Kompletny tor pomiarowy ma postać:

$$X\rightarrow czujnik\rightarrow kondycjonowanie\rightarrow próbkowanie \rightarrow kod\rightarrow korekcja\rightarrow znacznik czasu \rightarrow reguła decyzji.$$

Wielkość mierzona $X$ musi być zdefiniowana wraz z miejscem, stanem i przedziałem czasu. Dalej podaje się punkt pomiarowy, obciążenie wnoszone przez przyrząd, pasmo, częstotliwość próbkowania, rozdzielczość, wzorcowanie, korekcje, synchronizację i wersję algorytmu. Lokalne monografie metrologiczne pokazują zarówno hierarchię wzorców i nieprzerwany łańcuch spójności, jak i fakt, że czujnik, kondycjonowanie, filtr, przetwornik, bufor oraz oprogramowanie razem kształtują wynik.^pomiary^,^{systemy-pomiarowe} NIST wymaga, by model pomiaru obejmował wszystkie wielkości wnoszące istotną niepewność, nie tylko równanie fizyczne.^nist-unc

W studiach stosujemy jedną konwencję raportowania: wartość $y$, złożona niepewność standardowa $u_c$, współczynnik rozszerzenia $k=2$ i niepewność rozszerzona $U=ku_c$. Zapis $y\pm U$ bez podania $k$, jednostki, poziomu i składników byłby niepełny. Współczynnik $k=2$ daje w wielu typowych warunkach przedział o poziomie ufności zbliżonym do 95%, ale nie jest gwarancją dla dowolnego rozkładu i małej próby. NIST TN 1297 rozdziela składniki typu A i B, definiuje ich łączenie i nakazuje raportować $U$ wraz z $k$ albo samo $u_c$.^nist-unc

Dla nieskorelowanych wielkości wejściowych $x_j$ i modelu $y=f(x_1,\ldots,x_n)$ używamy liniowego przybliżenia:

$$u_c^2(y)=\sum_{j=1}^{n}\left(\frac{\partial f}{\partial x_j}\right)^2u^2(x_j).$$

Jednostka każdego składnika po przemnożeniu przez współczynnik wrażliwości jest jednostką $y$. Model obowiązuje lokalnie, gdy linearyzacja jest dostateczna, wejścia są opisane odpowiednimi niepewnościami, a korelacje są pomijalne; w przeciwnym razie należy dodać kowariancje albo użyć propagacji rozkładów. W studium RDY-SRV pokażemy pełne podstawienie dla ilorazu. W studium RDY-PWR nie udajemy natomiast, że suma granicznych spadków jest rozkładem probabilistycznym: to konserwatywna obwiednia projektowa, którą sprawdza osobny pomiar.

Synchronizacja kanałów jest składnikiem pomiaru. Jeśli napięcie i prąd mają przesunięcie $\delta t$, przy szybkim zboczu pozorny iloraz $\Delta V/\Delta I$ może odpowiadać dwóm różnym chwilom. Minimalny zestaw metadanych OBS-PLAN-12 obejmuje wspólny wyzwalacz, niepewność wzajemnego opóźnienia, opóźnienia filtrów, znacznik czasu resetu i zdarzenie zmiany sesji. Dla kanałów multipleksowanych „ta sama ramka” nie zawsze oznacza „ta sama chwila”; literatura systemów pomiarowych wskazuje czas przełączenia i ustalania jako część interpretacji danych.^{systemy-pomiarowe}

Punkt obserwacji wyznacza zakres twierdzenia. Pomiar przed złączem nie dowodzi napięcia za złączem. Wstrzyknięcie kodu po przetworniku nie dowodzi sensora. Kontrola sumy ramki nie dowodzi prawdziwości wartości fizycznej. Dlatego każdy kanał w katalogu ma pola covers_from i covers_to. Dzięki nim można narysować „dziurę obserwacyjną”: fragment między miejscem powstania wady a pierwszym punktem, który zmienia się pod jej wpływem.

Ważna jest też zdolność samego stanowiska. DAQ-12 wykonuje test kontrolny przed i po serii, adapter ADP-03 ma własny wynik bez badanego toru, a generator obciążenia ma niezależny pomiar prądu. Wynik próby zostaje oznaczony INVALID, jeżeli kontrola końcowa ujawni dryf przekraczający budżet, ponieważ nie wiadomo wtedy, w którym momencie serii stanowisko utraciło zdolność. Taki wynik nie staje się FAIL badanego egzemplarza; wraca jako brak rozstrzygającego dowodu.

BIT i sprzęt BITE jako alokacja pobudzeń oraz obserwacji

BIT (autotest wbudowany, built-in test) jest integralną zdolnością systemu lub wyposażenia do automatycznego wykrywania, diagnozowania albo izolowania uszkodzeń. BITE (wyposażenie autotestu, built-in test equipment) oznacza natomiast identyfikowalny sprzęt wykonujący funkcję BIT i jest podzbiorem BIT. Tak właśnie, sprzętowo, definiuje BITE dodatek C MIL‑HDBK‑2165; nie rozszerzamy tego terminu na oprogramowanie. Oprogramowanie może realizować część funkcji BIT lub przetwarzać wyniki diagnostyczne, lecz samo nie staje się z tego powodu BITE. Zadania 203 tego podręcznika wiążą testowalność z wykrywaniem i izolacją.^mil2165

Każdy test w TESTSET-15 ma kartę:

Pole	Znaczenie
`fault_subset`	jawny podzbiór `FSET-RDY-07`, który test ma wykrywać
`precondition`	stan, sesja, energia, temperatura i konfiguracja
`stimulus`	wielkość fizyczna lub logiczna wraz z punktem wstrzyknięcia
`propagation`	oczekiwana droga skutku przez system
`observation`	surowy kanał, miejsce, pasmo i czas
`oracle`	stan odniesienia i algorytm porównania
`threshold`	granica tolerancji, pasmo ochronne i wynik nierozstrzygnięty
`latency`	czas od aktywacji wady do ważnej detekcji
`isolation`	najmniejszy wskazywany wymienny albo funkcjonalny fragment
`side_effect`	wpływ testu na energię, stan, pamięć i dalsze funkcje
`evidence`	wersja procedury, dane surowe i walidacja testu

Podział na test uruchomieniowy, ciągły i inicjowany zewnętrznie ma sens tylko względem wad. Test uruchomieniowy może pobudzić pamięć i obliczenia, lecz ominąć degradację ujawniającą się po rozgrzaniu. Test ciągły ma krótszy czas detekcji, ale ograniczony bodziec i budżet wykonania. Test zewnętrzny może objąć fizyczny sensor i dokładniejsze wzorce, lecz nie jest dostępny w każdym stanie. Żaden typ nie jest domyślnie „lepszy”; tworzą portfel pokrywający różne pozycje FSET-RDY-07.

Autotest jest również obciążeniem energetycznym. Równoczesne sprawdzenie pamięci, interfejsów i emulatora może stworzyć profil, którego nie ma w stanie funkcjonalnym, albo przeciwnie — nigdy nie pobudzić najgorszej kombinacji. Karta testu musi więc odwoływać się do PWR-PROF-08. Jeśli BIT powoduje zapad i reset, wynik „brak odpowiedzi” nie identyfikuje automatycznie badanego modułu; może świadczyć o błędzie alokacji energii testu.

Test powinien rozróżniać trzy jakości wyniku: PASS, FAIL i INVALID/INCONCLUSIVE. INVALID obejmuje niesprawny generator, brak kanału, niespójną sesję, przekroczoną niepewność czasu lub wynik poza zakresem modelu. Zmuszenie trzeciego stanu do binarnego PASS/FAIL ukrywa brak informacji. Na poziomie READY wszystkie trzy poza ważnym PASS odwołują twierdzenie, ale przyczyna pozostaje zachowana, aby nie przypisywać awarii egzemplarzowi bez dowodu.

Izolacja nie jest nazwą kodu błędu, tylko rozdzielczością. Dla wady F-SNS-02a wewnętrzny BIT może wskazać „tor SNS”, test zewnętrzny „fragment przed ADC”, a pomiar z adapterem „sensor lub jego połączenie”. Wymagana rozdzielczość wynika z decyzji: zatrzymania systemu, wymiany zespołu, rozszerzenia próby partii lub korekty kalibracji. Deklarowanie izolacji do elementu bez niezależnej obserwacji jest nadinterpretacją.

Pełne techniki dostępu testowego i automatyzacji rozwija Projektowanie dla testowalności i automatyzacja badań. Tutaj istotna jest integracja: BIT nie jest osobnym dodatkiem, lecz jednym z operatorów w macierzy od wady do decyzji.

Pokrycie, stan odniesienia i ryzyko decyzji

Zdanie „BIT ma pokrycie 96%” jest bezwartościowe bez mianownika. Dla konfiguracji $c$, warunków $q$, limitu czasu detekcji $T_D$ i zbioru wad $F^*\subseteq FSET\text{-}RDY\text{-}07$ definiujemy pokrycie wykrywania:

$$C_D(c,q,T_D)= \frac{\sum_{f_i\in F^*}w_i\,\mathbf{1}[test wykrywa f_i w czasie\le T_D]} {\sum_{f_i\in F^*}w_i}.$$

$C_D$ jest bezwymiarowe i mieści się w $[0,1]$. Wagi $w_i\ge0$ mogą być równe, wynikać z zatwierdzonej ważności hazardowej albo z intensywności uszkodzeń $\lambda_i$ w jednostce $h^{-1}$. Nie wolno mieszać tych interpretacji w jednym wyniku. W tej monografii syntetyczne wagi są udziałami hazardowymi i sumują się do 1; nie udają intensywności eksploatacyjnych. Wskaźnik ma sens tylko dla podanej konfiguracji, warunków, punktu wstrzyknięcia i zwalidowanego testu.

Pokrycie izolacji do zbioru klas $G_j$ definiujemy podobnie:

$$C_I(c,q,T_I,r)= \frac{\sum_i w_i\,\mathbf{1}[test przypisuje f_i do klasy o rozdzielczości\le r w czasie\le T_I]} {\sum_i w_i}.$$

$r$ może oznaczać maksymalną liczbę nierozróżnialnych zespołów albo określony poziom hierarchii wymiany. Wynik „wykryto” nie wchodzi do licznika izolacji, jeżeli kod obejmuje większą klasę niż dopuszczona. Osobno raportujemy medianę i graniczny czas detekcji; średnia może ukryć rzadkie, ale nieakceptowalnie wolne przypadki.

Stan odniesienia (ground truth) jest niezależnie ustalonym stanem zgodności obiektu w konkretnej próbie. Zapisujemy $G\in\{CONF,NONCONF\}$. Nie jest nim komenda wstrzyknięcia ani oczekiwany kod BIT. Dla elektrycznej przerwy może nim być pomiar ciągłości wykonany niezależnym kanałem; dla utraty wzmocnienia — odpowiedź na wzorcowany bodziec obejmujący cały tor; dla zapadu — napięcie przy odbiorniku z określoną niepewnością. Stan odniesienia także ma zakres i niepewność. Jeśli nie można potwierdzić, że wada rzeczywiście wystąpiła, próba nie może zwiększać licznika pokrycia.

Niech $D\in\{PASS,FAIL\}$ będzie decyzją badanego testu. Dwa ryzyka są odrębne:

$$P_{FP}=P(D=PASS\mid G=NONCONF,c,q),$$

$$P_{FF}=P(D=FAIL\mid G=CONF,c,q).$$

false PASS to zaakceptowanie stanu rzeczywiście niedopuszczalnego; false FAIL to odrzucenie stanu rzeczywiście dopuszczalnego. Prawdopodobieństwa są bezwymiarowe. Ich estymacja wymaga jawnej populacji prób, planu doboru, definicji stanu odniesienia i przedziału ufności. Zero obserwowanych pomyłek nie oznacza zerowego prawdopodobieństwa. Przy małej liczbie prób należy podać ograniczenie statystyczne zamiast liczby z pozorną precyzją.

JCGM 106 pokazuje, że niepewność pomiaru tworzy dwa rodzaje błędnej decyzji: akceptację obiektu niezgodnego i odrzucenie zgodnego; reguła decyzji oraz pasmo ochronne rozdzielają ryzyko odbiorcy i dostawcy.^jcgm106 Dla dolnego limitu $L$ stosujemy konserwatywną regułę PASS, gdy $y-U\ge L$, oraz przypisujemy stan odniesienia G=NONCONF, gdy nawet górna granica $y+U<L$. Dla górnego limitu $H$ reguły są lustrzane: PASS, gdy $y+U\le H$, a G=NONCONF, gdy $y-U>H$. Jeżeli przedział przecina limit, wynik brzmi NIEWYKAZANE, nie „prawie PASS” ani potwierdzone NONCONF. Reguła jest celowo prosta; jej adekwatność zależy od uzgodnionego ryzyka, rozkładu i kosztu obu decyzji.

Fałszywa gotowość systemowa ma warunek:

$$P_{FR}=P(READY_{SYS}=1\mid \exists j: REQ_j jest niespełnione).$$

Nie oblicza się jej przez proste dodanie lokalnych $P_{FP}$, jeśli testy mają wspólne źródła, wzorce, oprogramowanie lub punkty obserwacji. Wspólne przyczyny mogą dominować. Z tego powodu pakiet decyzji przechowuje zależności, nie tylko iloczyn zbiorczych liczb.

Wstrzykiwanie wad jako walidacja testu

Wstrzykiwanie wad (fault injection) odpowiada na pytanie inne niż zwykły test funkcjonalny. Test nominalny sprawdza odpowiedź na poprawne wejście. Wstrzyknięcie sprawdza, czy określony mechanizm wady prowadzi przez przewidzianą propagację do obserwacji, decyzji i reakcji. Literatura przeglądowa udostępniona przez NASA podkreśla potrzebę znajomości architektury, zachowania i mechanizmów tolerancji przed eksperymentem oraz rozróżnia wstrzyknięcia sprzętowe, programowe i symulacyjne.^nasa-fi

W $c_0$ katalog STIM-CAT-04 opisuje pięć położeń:

Punkt	Co obejmuje	Czego nie dowodzi samodzielnie
`IP-0` bodziec fizyczny przed sensorem	sensor, połączenie, analog, ADC, obliczenia i decyzję	zachowania dla innych rodzajów bodźca
`IP-1` sygnał elektryczny na wejściu analogowym	kondycjonowanie, ADC i dalej	fizycznego elementu sensorowego
`IP-2` kod przed algorytmem	obliczenia, próg, raportowanie	analogu, ADC i sensora
`IP-3` wymuszony kod błędu	reakcję arbitra i zapis sesji	detekcji oraz izolacji pierwotnej wady
`IP-COM` mutacja ramki między `SNS` i arbitrem	detekcję błędu transmisji i reakcję odbiorcy	prawdziwości wartości fizycznej przed nadaniem

Im późniejszy punkt, tym łatwiejsza kontrola bodźca, ale mniejszy objęty zakres. Pokrycie deklarowane dla IP-2 nie może zostać przypisane do F-SNS-02a, która leży przed ADC. Z kolei IP-0 może mieć większą niepewność i mniejszą powtarzalność; nie zastępuje testów precyzyjnie lokalizujących błąd cyfrowy. Portfel potrzebuje obu rodzajów.

Walidacja wstrzyknięcia ma pięć warunków. Po pierwsze, niezależny kanał potwierdza stan odniesienia. Po drugie, wierność mechanizmu jest wystarczająca dla wady z rejestru — wymuszenie bitu nie imituje dowolnej degradacji analogu. Po trzecie, pobudzenie nie tworzy bocznej drogi, po której test „widzi” sterownik wstrzyknięcia zamiast skutku wady. Po czwarte, czas wstrzyknięcia i obserwacji jest zsynchronizowany. Po piąte, po usunięciu bodźca wykonuje się kontrolę odzyskania stanu albo rozpoczyna nową sesję.

Dowód wierności może pochodzić z pomiaru fizycznego, korelacji z naturalnie uszkodzonym egzemplarzem, analizy obwodowej albo porównania kilku metod. Skala wierności jest związana z pytaniem. Do sprawdzenia, czy arbiter odwoła READY po zmianie epoki, wystarczy kontrolowany reset domeny. Do sprawdzenia pokrycia częściowej utraty czułości sensora potrzeba bodźca przed zdegradowanym elementem lub wiarygodnego odpowiednika fizycznego; wymuszenie gotowego kodu 97 za sensorem dowodzi jedynie działania progu.

Autorska drabina dowodu ma szczeble: analiza statyczna i model → MIL, czyli model w pętli → SIL, oprogramowanie w pętli → PIL, procesor w pętli → HIL, sprzęt w pętli → próba z pełnym torem fizycznym. Nazwy MIL/SIL/PIL/HIL są powszechne, ale ta kolejność i kryteria przejścia są autorską organizacją na potrzeby WISŁA-ĆW-01. Szczebel wybiera się wyłącznie wtedy, gdy zamyka konkretną niepewność. Dla F-DIA-01 SIL może wystarczyć do pełnego przeglądu wartości granicznych; dla F-PWR-01 potrzebny jest rzeczywisty tor energii i zsynchronizowany pomiar. Wyższy szczebel nie naprawia błędnego mianownika ani nieważnej konfiguracji.

Studium `RDY-PWR`: zapad napięcia, reset i stary status

Studium dotyczy REQ-RDY-OWN-02, wad F-PWR-01..03 i hazardu HZ-RDY-001. Wszystkie dane są fikcyjne, syntetyczne i nieoperacyjne. Próg 23,0 V, napięcie 28 V, prądy, czasy i elementy zastępcze nie opisują żadnego realnego pocisku ani interfejsu.

Założono — `RDY-PWR`

W stanie S3-OWN szyna przy module CMP ma pozostać nie niżej niż $V_{lim}=23{,}0 \mathrm{V}$ podczas syntetycznego skoku obciążenia $\Delta I=10{,}0 \mathrm{A}$ trwającego $t_p=8{,}0 \mathrm{ms}$. Sesja przed próbą ma identyfikator WC1-EGZ04-20260906-017, epokę eOWN=31, a ARB-RDY-04 przechowuje READY-OWN=true. Źródłem jest EZ-ĆW-01; stanowisko i konfiguracja odpowiadają $c_0$.

Model konserwatywnej obwiedni ma postać:

$$\Delta V\approx \Delta I R_{path}+L\frac{\Delta I}{t_r} +\Delta I\,ESR+\frac{\Delta I t_p}{C}.$$

Wszystkie składniki mają jednostkę wolta: $\mathrm{A\,\Omega=V}$, $\mathrm{H\,A/s=V}$, $\mathrm{A\,\Omega=V}$ oraz $\mathrm{A\,s/F=V}$. Dodatnie wartości oznaczają spadek od napięcia początkowego. Obwiednia sumuje graniczne skutki rezystancji drogi, indukcyjności, ESR i rozładowania pojemności, jak gdyby ich maksima przypadły w chwili interesującego minimum. Jest użyteczna do przesiewowej analizy marginesu, ale nie jest pełnym modelem częstotliwościowym: nie uwzględnia rozkładu elementów, tłumienia, odpowiedzi regulatora, nieliniowej impedancji źródła, ograniczenia prądu, rezonansu ani odzyskiwania. Składniki mogą zachodzić w różnych chwilach, więc wynik nie jest estymatą probabilistyczną i nie otrzymuje sztucznego $U$.

Hipotezy H1–H5 są rozłączne tylko częściowo: H1 — zbyt duża rezystancja źródła lub drogi; H2 — istotny składnik indukcyjny; H3 — za mała efektywna pojemność lub duży ESR; H4 — nieplanowana równoczesność obciążeń; H5 — artefakt sondy lub desynchronizacja. Osobna hipoteza H6 dotyczy skutku logicznego: reset CMP zwiększa epokę, ale stary READY nie zostaje odwołany.

Obliczono — `RDY-PWR`

Do obwiedni podstawiono syntetyczne wartości graniczne: $R_{path}=0{,}24 \Omega$, $L=4{,}0 \mu\mathrm{H}$, $t_r=0{,}20 \mathrm{ms}$, $ESR=0{,}030 \Omega$, $C=0{,}040 \mathrm{F}$, $\Delta I=10{,}0 \mathrm{A}$ i $t_p=8{,}0 \mathrm{ms}$.

$$\Delta V_R=(10{,}0 \mathrm{A})(0{,}24 \Omega)=2{,}4 \mathrm{V},$$

$$\Delta V_L=(4{,}0\cdot10^{-6} \mathrm{H}) \frac{10{,}0 \mathrm{A}}{2{,}0\cdot10^{-4} \mathrm{s}} =0{,}20 \mathrm{V},$$

$$\Delta V_{ESR}=(10{,}0 \mathrm{A})(0{,}030 \Omega)=0{,}30 \mathrm{V},$$

$$\Delta V_C=\frac{(10{,}0 \mathrm{A})(8{,}0\cdot10^{-3} \mathrm{s})} {0{,}040 \mathrm{F}}=2{,}0 \mathrm{V}.$$

Suma wynosi dokładnie w podanej precyzji:

$$\Delta V_{env}=2{,}4+0{,}2+0{,}3+2{,}0=4{,}9 \mathrm{V}.$$

Przy napięciu początkowym $V_0=28{,}0 \mathrm{V}$:

$$V_{min,pred}=28{,}0 \mathrm{V}-4{,}9 \mathrm{V}=23{,}1 \mathrm{V}.$$

Nominalny margines modelowy to tylko $M_{pred}=23{,}1-23{,}0=+0{,}1 \mathrm{V}$. Obwiednia używa wartości granicznych, lecz jej błąd modelu nie został probabilistycznie scharakteryzowany; dlatego +0,1 V jest wskazaniem do pomiaru, nie podstawą PASS.

Przewidziano — `RDY-PWR`

Jeżeli dominują ESR i indukcyjność, przy zboczu prądu powinien pojawić się szybki skok napięcia; składnik pojemnościowy da wolniejszy, w przybliżeniu liniowy spadek w czasie impulsu. Jeżeli dominuje rezystancja źródła lub drogi, różnica zsynchronizowanych napięć po obu stronach interfejsu będzie skorelowana z prądem. Jeżeli H5 jest prawdziwa, minimum zmieni się istotnie po zmianie metody sondowania, a nie po zmianie konfiguracji obciążenia.

Przewidziana kolejność przy naruszeniu progu funkcjonalnego jest następująca: napięcie przy CMP maleje → nadzorca lokalny potwierdza stan niedopuszczalny → CMP przechodzi reset → epoka zmienia się z 31 na 32 → świadectwa epoki 31 wygasają → arbiter przechodzi do SF-FAULT. Brak dwóch ostatnich zdarzeń wskazuje wadę F-PWR-03, niezależnie od przyczyny samego zapadu.

Zmierzono — `RDY-PWR`

W fikcyjnej próbie RUN-PWR-041 rejestrowano wspólnym wyzwalaczem: prąd obciążenia, napięcie na źródle, napięcie przy CMP, linię stanu resetu jako sygnał diagnostyczny, epokę sesji oraz decyzję ARB-RDY-04. Kanały analogowe miały wspólną podstawę czasu; niepewność wzajemnego opóźnienia była składnikiem budżetu. Punkt na źródle i punkt przy odbiorniku rozdzielały spadek wewnętrzny od spadku drogi. Nie publikujemy topologii złącza ani rzeczywistych poziomów sygnałów.

Minimum przy odbiorniku wyniosło:

$$V_{min,meas}=22{,}9 \mathrm{V},\qquad U=0{,}4 \mathrm{V},\quad k=2.$$

$U$ jest syntetyczną niepewnością rozszerzoną obejmującą wzorcowanie, rozdzielczość, powtarzalność, pasmo, sondowanie i synchronizację; odpowiada $u_c=0{,}20 \mathrm{V}$. Dla dolnego limitu reguła RULESET-06 stosuje granicę:

$$V_{cons}=V_{min,meas}-U=22{,}9-0{,}4=22{,}5 \mathrm{V}.$$

Konserwatywny margines wynosi $M_{cons}=22{,}5-23{,}0=-0{,}5 \mathrm{V}$. Przedział pomiarowy $[22{,}5;23{,}3] \mathrm{V}$ obejmuje przewidywanie $23{,}1 \mathrm{V}$, ale nie jest to walidacja modelu: $U=0{,}4 \mathrm{V}$ opisuje wynik pomiaru i nie obejmuje niescharakteryzowanej niepewności modelowej obwiedni. Zgodności model–pomiar nie ustanowiono jako osobnego kryterium; wymaganie oceniamy na podstawie zmierzonego minimum i właściwej reguły decyzji.

W tej samej osi czasu napięcie naruszyło lokalny warunek resetu, CMP zniknął z łącza, a po powrocie nadał eOWN=32. ARB-RDY-04 przez syntetyczne 37 ms utrzymywał świadectwo READY-OWN z epoki 31. Liczba 37 ms służy wyłącznie demonstracji błędu sesji i nie jest czasem żadnego realnego systemu.

Wywnioskowano — `RDY-PWR`

Pomiar potwierdza skutek energetyczny: wymagane minimum nie zostało wykazane. Zsynchronizowana kolejność „skok prądu → spadek napięcia przy odbiorniku → reset” wspiera kierunek przyczynowy od profilu energii do resetu. Różnica napięć między źródłem i odbiornikiem pozwala przypisać część spadku drodze, ale bez dodatkowego rozdzielenia nie identyfikuje jednego elementu. To ważne rozróżnienie: F-PWR-01 jest wykryta na poziomie funkcjonalnym, nie w pełni odizolowana konstrukcyjnie.

Utrzymanie statusu po potwierdzonej zmianie epoki jest odrębną wadą F-PWR-03. Nie jest skutkiem niepewności woltomierza. Nawet gdyby późniejsza analiza uznała minimum napięcia za artefakt, świadectwo epoki 31 po resecie nadal byłoby nieważne. Dzięki wspólnej osi czasu oddzielamy przyczynę fizyczną, skutek resetu i błąd zarządzania dowodem.

Nie rozstrzygnięto — `RDY-PWR`

Jedna próba nie rozstrzyga udziałów $R_{path}$, dynamicznej impedancji źródła, ESR i odpowiedzi regulatora. Nie rozstrzyga także populacyjnej częstości zjawiska ani zachowania w innych temperaturach. Obwiednia 4,9 V nie może zostać odwrócona w celu estymacji każdego parametru z jednego minimum. Do izolacji potrzebne są osobne pomiary napięcia, prądu i odpowiedzi w kilku czasach, a do wnioskowania o populacji — plan próbkowania.

Nie wykazano też, że reset jest jedynym skutkiem chwilowego naruszenia energii; zakres obserwacji obejmował funkcje wymagane przez REQ-RDY-OWN-02, nie wszystkie możliwe stany układu. Wynik nie kwalifikuje żadnego urządzenia do środowiska operacyjnego.

Zdecydowano — `RDY-PWR`

REQ-RDY-OWN-02 = NIEWYKAZANE dla $c_0$. READY-OWN i zależne READY-SYS zostają odwołane. Baza BL-WC1-2026.09-A nie może zostać dopuszczona bez zmiany profilu równoczesności, impedancji drogi albo lokalnej rezerwy energii i bez ponownego dowodu. Osobna poprawka ma zapewnić natychmiastowe odrzucenie świadectwa po zmianie epoki; nie wolno jej traktować jako rozwiązania niedoboru energii.

Decyzja wynika z granicy 22,5 V wobec 23,0 V oraz z logicznie nieważnej sesji. Wartość modelowa 23,1 V zostaje zachowana jako przewidywanie historyczne, nie zastąpiona pomiarem, aby pakiet pokazywał, dlaczego mały dodatni margines okazał się niewystarczający.

Regresja — `RDY-PWR`

REG-PWR-01 obejmuje: źródło w syntetycznych warunkach „zimne”, „nominalne” i „postarzone”; granice $C$ oraz ESR; planowane kombinacje obciążeń; oba kierunki transferu między stanami laboratoryjnymi; reset każdej domeny; utratę komunikacji; zmianę epoki przed, w trakcie i po teście; kontrolę, że odwołanie dociera szybciej niż jakiekolwiek nowe wydanie PASS; oraz powtórzenie pomiaru po obu stronach interfejsu. Każdy przebieg zapisuje dane surowe, konfigurację, $U$, regułę i wynik.

Kryterium zamknięcia jest podwójne: $V_{min}-U\ge23{,}0 \mathrm{V}$ w całej zatwierdzonej macierzy warunków oraz brak choćby jednego utrzymanego świadectwa ze starej epoki. Zmiana oprogramowania wbudowanego (firmware) arbitra uruchamia regresję sesji nawet wtedy, gdy tor mocy nie został zmieniony; zmiana elementów drogi mocy uruchamia pomiar energetyczny nawet wtedy, gdy kod jest identyczny.

Studium `RDY-SNS`: wewnętrzny BIT omija degradację sensora

Studium dotyczy REQ-RDY-FUN-03, REQ-DIAG-04, ośmiu wad i podwad F-SNS-01a..03c oraz F-COM-01a należących do FSET-RDY-07, a także wspólnej przyczyny F-DIA-02. Wszystkie dane, poziomy bodźca, kody przetwornika, progi i częstości decyzji są fikcyjne, syntetyczne i nieoperacyjne. „Sensor” jest elementem laboratoryjnym o jednostkach umownych; nie opisuje głowicy ani układu naprowadzania.

Założono — `RDY-SNS`

W konfiguracji bazowej odpowiedź całego toru SNS-HW-05 → ADP-03 → ADC → FW-1.8.2 na bodziec 100,0 j.u. ma wynosić co najmniej 98,0 j.u. Skrót j.u. oznacza fikcyjną jednostkę umowną. Wewnętrzny BIT-SNS-INT-02 wstrzykuje kod w punkcie IP-2, za sensorem i analogowym torem wejściowym. Test zewnętrzny TEST-SNS-EXT-04 podaje bodziec fizyczny w IP-0, zatem obejmuje sensor, połączenie, kondycjonowanie, ADC i algorytm.

Model statyczny ma postać:

$$y=gx+b,$$

gdzie $x$ i $y$ są w j.u., $g$ jest bezwymiarowym wzmocnieniem, a $b$ ma jednostkę j.u. Model obowiązuje w syntetycznym zakresie 20–100 j.u., w ustalonej temperaturze laboratoryjnej i po sprawdzeniu braku istotnej nieliniowości w trzech punktach. Nie opisuje dynamiki, histerezy, nasycenia ani zachowania poza tym zakresem. Trzy poziomy ujawniają liniową utratę wzmocnienia i rażącą nieliniowość, lecz nie są pełną charakterystyką toru.

Hipotezy: S-H1 — test wewnętrzny omija zdegradowany element; S-H2 — zmalało wzmocnienie fizycznego toru; S-H3 — dryfuje odniesienie ADC; S-H4 — błędny jest próg programu; S-H5 — wynik zaniża adapter; S-H6 — kanał referencyjny lub generator ma błąd. Połączenie S-H1+S-H2 przewiduje PASS dla IP-2 i obniżone nachylenie dla IP-0.

Stan odniesienia nie jest deklaracją generatora. Tworzy go niezależny kanał REF-02, wzorcowany w CAL-ST-2026-08, oraz kontrola ADP-03 z pominięciem badanego toru. Stan $G=NONCONF$ zostaje przypisany dopiero wtedy, gdy odniesiony wynik końca-do-końca z niepewnością leży poniżej limitu.

Obliczono — `RDY-SNS`

Fikcyjne dane surowe z RUN-SNS-073 przedstawia tabela. nSNS zawiera nieprzetworzone kody ADC. Adapter używa wersjonowanej relacji $y=nSNS/100$ j.u. Pokazane $x$ są wartościami po korekcji kanału odniesienia, nie nastawami generatora.

poziom	nastawa [j.u.]	surowy `nREF`	stan odniesienia $x$ [j.u.]	surowy `nSNS`	wynik $y$ [j.u.]
1	20	2001	20,00	1940	19,40
2	60	6002	60,00	5820	58,20
3	100	9999	100,00	9700	97,00

Dla trzech punktów średnie wynoszą $\bar{x}=60{,}00$ j.u. i $\bar{y}=58{,}20$ j.u. Estymator nachylenia:

$$\hat g=\frac{\sum_i(x_i-\bar x)(y_i-\bar y)}{\sum_i(x_i-\bar x)^2} =\frac{3104 \mathrm{(j.u.)^2}}{3200 \mathrm{(j.u.)^2}}=0{,}9700.$$

Licznik powstaje z $(-40)(-38{,}8)+0+(40)(38{,}8)=3104$ (j.u.)², a mianownik z $1600+0+1600=3200$ (j.u.)². Wyraz wolny:

$$\hat b=\bar y-\hat g\bar x=58{,}20-(0{,}9700)(60{,}00)=0{,}00 \mathrm{j.u.}$$

Przewidywana odpowiedź dla 100 j.u. wynosi:

$$\hat y(100)=0{,}9700\cdot100{,}0+0{,}00=97{,}0 \mathrm{j.u.}$$

Budżet UNC-SNS-03 obejmuje wzorzec, generator, kanał referencyjny, adapter, powtarzalność, rozdzielczość ADC i temperaturę. Daje $u_c=0{,}4$ j.u., zatem $U=0{,}8$ j.u. dla $k=2$. Dla dolnego limitu obliczamy obie granice przedziału:

$$y_{low}=97{,}0-0{,}8=96{,}2 \mathrm{j.u.}, \qquad M_{acc}=96{,}2-98{,}0=-1{,}8 \mathrm{j.u.},$$

$$y_{high}=97{,}0+0{,}8=97{,}8 \mathrm{j.u.}, \qquad M_{nonconf}=98{,}0-97{,}8=+0{,}2 \mathrm{j.u.}$$

Dolna granica $y_{low}=96{,}2<98{,}0$ oznacza brak podstaw do PASS i ujemny margines akceptacyjny $-1{,}8$ j.u.; sama nie dowodzi jeszcze NONCONF. Ponieważ jednak także górna granica $y_{high}=97{,}8<98{,}0$, cały przedział leży po niedopuszczalnej stronie limitu i RULESET-06 przypisuje jednoznacznie $G=NONCONF$.

Wewnętrzny BIT-SNS-INT-02 podał trzy cyfrowe wartości już za analogiem i uzyskał odchylenia mieszczące się w swoim progu, więc zwrócił PASS. Oba testy mają inne punkty wstrzyknięcia i zakresy.

Przewidziano — `RDY-SNS`

Dla S-H2 punkty końca-do-końca powinny leżeć przy prostej o nachyleniu 0,97. Dla S-H5 kontrola z pominięciem toru powinna odtworzyć błąd. Dla S-H3 zmienią się też kontrolne wyniki odniesienia ADC lub IP-1. Nieliniowość da uporządkowane reszty, więc model $y=gx+b$ przestanie być adekwatny.

Sygnatura S-H1 to IP-2=PASS, IP-1=PASS, lecz IP-0=FAIL. Lokuje to problem przed elektrycznym punktem pobudzenia, ale nie wskazuje jednego elementu. Wspólny błąd generatora i kanału referencyjnego mógłby naśladować poprawność, dlatego kontrola niezależna należy do stanu odniesienia.

Zmierzono — `RDY-SNS`

W serii wykonano poziomy rosnące, malejące i ponowiono środkowy. Tabela pokazuje średnie; pakiet zachowuje wszystkie próbki, temperaturę, znaczniki i kolejność. Nie stwierdzono syntetycznie istotnej histerezy względem budżetu 0,8 j.u. Kontrola ADP-03 podała współczynnik 1,000 w granicach niepewności, co osłabiło S-H5.

Test IP-1, obejmujący analog od punktu testowego, ADC i program, dał wynik nominalny. IP-0 dał $\hat g=0{,}9700$. Kanał referencyjny potwierdził $x$, a wynik dla 100 j.u. wyniósł $97{,}0\pm0{,}8$ j.u., $k=2$. Do walidacji F-SNS-02a użyto bezpiecznego emulatora utraty wzmocnienia przed IP-1. Niezależny pomiar potwierdził stan emulatora; sterownik wstrzyknięcia nie przekazywał identyfikatora wady badanemu algorytmowi.

Wywnioskowano — `RDY-SNS`

BIT-SNS-INT-02 popełnił false PASS względem błędnie przypisywanego mu zakresu: zwrócił $D=PASS$, podczas gdy zewnętrzny TEST-SNS-EXT-04 wykazał $G=NONCONF$, ponieważ nawet $y+U=97{,}8$ j.u. pozostaje poniżej 98,0 j.u. False PASS wynika zatem z wewnętrznego PASS przy zewnętrznie wykazanym stanie niedopuszczalnym, a nie z samego ujemnego marginesu $y-U-L$. Nie dowodzi to awarii komputera. Nominalne IP-1/IP-2, poprawny adapter i obniżone nachylenie tylko przy IP-0 lokują degradację przed punktem testowym.

Pokrycie ważone obliczamy dla zamrożonego mianownika $F^*_{SNS}\subset FSET\text{-}RDY\text{-}07$. Osiem pozycji jest wadami lub jednoznacznymi podwadami rodzin z rejestru głównego, a ich syntetyczne wagi sumują się do 1,00. TESTSET-SNS-OLD oznacza portfel testów zwalidowany przed dodaniem bodźca końca-do-końca; TESTSET-SNS-R1=TESTSET-SNS-OLD∪{TEST-SNS-EXT-04}. Każdy wpis „wykryto” poniżej ma pokazany wynik walidacji w wymaganym czasie $T_D$; samo przewidywanie albo wpis w planie nie zwiększa licznika.

ID w `FSET-RDY-07`	Opis	Waga	Test / punkt wstrzyknięcia	Wymagany $T_D$	Syntetyczny wynik walidacji	Wykryto? stary / R1	Wkład do $C_D$, stary / R1
`F-SNS-01a`	przerwa fizycznego toru	0,18	`TEST-SNS-CONT-01 / IP-0`	20 ms	stan odniesienia potwierdził przerwę; `FAIL` po 8 ms	tak / tak	0,18 / 0,18
`F-SNS-01b`	zwarcie wejścia	0,12	`TEST-SNS-CONT-01 / IP-0`	20 ms	stan odniesienia potwierdził zwarcie; `FAIL` po 7 ms	tak / tak	0,12 / 0,12
`F-SNS-03a`	zatrzymany kod na wyjściu ADC	0,14	`TEST-SNS-DIG-03 / IP-2`	20 ms	niezależny zapis potwierdził stały kod; `FAIL` po 14 ms	tak / tak	0,14 / 0,14
`F-COM-01a`	błąd transmisji wyniku	0,10	`TEST-COM-FRAME-02 / IP-COM`	10 ms	monitor łącza potwierdził błędną ramkę; arbiter odrzucił ją po 5 ms	tak / tak	0,10 / 0,10
`F-SNS-03b`	duże przesunięcie zera	0,08	`TEST-SNS-REF-02 / IP-1`	50 ms	wzorzec potwierdził przesunięcie; `FAIL` po 31 ms	tak / tak	0,08 / 0,08
`F-SNS-03c`	utrata odniesienia	0,10	`TEST-SNS-REF-02 / IP-1`	50 ms	niezależny kanał potwierdził utratę; `FAIL` po 18 ms	tak / tak	0,10 / 0,10
`F-SNS-02a`	częściowa utrata wzmocnienia przed `IP-1`	0,24	`TEST-SNS-EXT-04 / IP-0`	100 ms	$\hat g=0{,}9700$, $97{,}0\pm0{,}8$ j.u.; `FAIL` po 42 ms, $G=NONCONF$	nie / tak	0,00 / 0,24
`F-SNS-02b`	wada przerywana zależna od impedancji	0,04	`TEST-SNS-INTMIT-05 / IP-0`	100 ms	`INVALID`: emulator nie odtworzył potwierdzonego stanu wady; brak ważnego czasu detekcji	nie / nie	0,00 / 0,00
suma	zamrożony mianownik	1,00					0,72 / 0,96

Stary portfel daje dokładnie

$$C_{D,OLD}=\frac{0{,}18+0{,}12+0{,}14+0{,}10+0{,}08+0{,}10}{1{,}00}=0{,}72.$$

Nowy TEST-SNS-EXT-04 dodaje wyłącznie zwalidowany wkład F-SNS-02a=0,24, ponieważ wykrył potwierdzoną degradację po 42 ms przy wymaganiu 100 ms:

$$C_{D,R1}=\frac{0{,}72+0{,}24}{1{,}00}=0{,}96.$$

Pozostałe F-SNS-02b=0,04 jest nadal w mianowniku, lecz nie w liczniku: stan wady nie został wiarygodnie odtworzony, wynik był INVALID, a ważnego $T_D$ nie zmierzono. Dlatego deklaracja brzmi „$C_D=0{,}96$ dla całego ośmiopozycyjnego $F^*_{SNS}$”, a nie „pełne pokrycie po wyłączeniu trudnej wady”.

Tabela dotyczy detekcji. Izolację raportuje się osobno: F-SNS-01a/01b rozróżniono do klasy wejścia fizycznego, F-SNS-03a do ścieżki ADC/kod, F-COM-01a do łącza, a F-SNS-03b/03c do klasy przesunięcie/odniesienie. Dla F-SNS-02a sygnatura IP-0=FAIL, IP-1/IP-2=PASS izoluje wadę jedynie do fragmentu przed IP-1, nie do pojedynczego elementu. F-SNS-02b nie ma ani wykazanej detekcji, ani izolacji. W każdym wierszu stan odniesienia pochodzi z niezależnej obserwacji, nie z komendy wstrzyknięcia ani z oczekiwanego kodu.

Nie rozstrzygnięto — `RDY-SNS`

Trzy poziomy nie dowodzą dynamiki, lokalnej nieliniowości ani odporności we wszystkich temperaturach. Jedna postać utraty wzmocnienia nie reprezentuje każdej przyczyny tej klasy. Podwada F-SNS-02b o wadze 0,04 pozostaje niewalidowana i niewykryta, więc 0,96 obowiązuje tylko dla warunków, punktów wstrzyknięcia i czasów z EVID-RDY-SNS-2026-09.

Nie oszacowano precyzyjnie $P_{FP}$ ani $P_{FF}$ dla populacji. Próby rozwojowe z celowym doborem wad nie odtwarzają częstości eksploatacyjnych.

Zdecydowano — `RDY-SNS`

REQ-RDY-FUN-03 = NIEWYKAZANE. Granica $y-U=96{,}2<98{,}0$ nie daje podstaw do PASS i daje margines akceptacyjny $-1{,}8$ j.u.; rozstrzygające dla stanu odniesienia jest $y+U=97{,}8<98{,}0$, zatem $G=NONCONF$. Ponieważ BIT-SNS-INT-02 zwrócił PASS, jest to wykazany false PASS tego BIT względem całego toru. Test wewnętrzny pozostaje testem logiki za IP-2, ale jego zakres zostaje ograniczony. Zewnętrzny TEST-SNS-EXT-04 po walidacji obejmuje F-SNS-02a i podnosi syntetyczne pokrycie z 0,72 do 0,96; F-SNS-02b=0,04 pozostaje poza licznikiem.

Trzeba osobno usunąć lub zaakceptować fizyczną degradację egzemplarza i zapewnić niezależny test fragmentu przed IP-1. Dodanie progu w programie bez zewnętrznego bodźca nie zamknie luki.

Regresja — `RDY-SNS`

REG-SNS-02 obejmuje przerwę, zwarcie, przesunięcie, częściową utratę wzmocnienia i błąd odniesienia w IP-0..IP-3, a także błąd transmisji w IP-COM; poziomy przy granicy; temperatury skrajne; kontrolę adaptera; surowe kody; kanał referencyjny; sesję; czas detekcji i odzyskanie po wadzie.

Ryzyko false FAIL bada się na zdrowych egzemplarzach z $G=CONF$. W 30 syntetycznych próbach nie zaobserwowano pomyłki, ale nie zapisujemy $P_{FF}=0$. Przybliżona „reguła trzech” daje jednostronną górną granicę około $3/30=0{,}10$ przy zerze obserwacji. To zbyt słaby dowód; regresja musi zwiększyć próbę i objąć zmienność stanowiska, egzemplarzy i warunków.

Studium `RDY-SRV`: degradacja warstwy partii w nadzorze eksploatacyjnym

Studium dotyczy REQ-SRV-05, F-SRV-01 i przenoszenia dowodu w czasie. Wszystkie partie, liczności, temperatury, progi i wyniki są fikcyjne i nieoperacyjne. Nadzór eksploatacyjny (surveillance) oznacza okresowe badanie kondycji populacji magazynowanej, nie obserwację celu.

Założono — `RDY-SRV`

Badana warstwa decyzyjna W-SRV-24A-6-COLD obejmuje wyłącznie egzemplarze znajdujące się w ramie doboru L24-A / T+6 / ENV-LAB-COLD-02 i przypisane do jednej z czterech zanonimizowanych historii przechowywania H01..H04. Oznaczenia historii nie kodują żadnych realnych temperatur ani okresów. Warstwa wykazała syntetycznie opóźnioną inicjalizację funkcji laboratoryjnej i sporadyczne BIT FAIL. Hipotezy: V-H1 — wzrost dynamicznej rezystancji źródła; V-H2 — złącze; V-H3 — stanowisko lub przewody; V-H4 — próg FW-1.8.2; V-H5 — błąd temperatury; V-H6 — zbyt wolna akwizycja.

Wymaganie dotyczy rezystancji zastępczej źródła mierzonej na jego zaciskach w ustalonym oknie po kontrolowanym skoku. Górny limit wynosi $H=0{,}350 \Omega$. Model:

$$\hat R=\frac{\Delta V}{\Delta I},$$

gdzie $\Delta V$ jest quasi-ustalonym spadkiem w woltach po odrzuceniu krótkiego składnika indukcyjnego, a $\Delta I$ zmianą prądu w amperach w tym samym oknie. Wynik ma jednostkę oma. Model obowiązuje lokalnie dla małego skoku i zapisanej temperatury. Nie jest pełnym modelem elektrochemicznym i nie rozdziela polaryzacji zależnej od czasu.

Znaki „±” oznaczają niepewności rozszerzone $U$ dla $k=2$, a nie granice tolerancji ani niepewności standardowe. Zatem $U_I=0{,}08 \mathrm{A}$, $U_V=0{,}12 \mathrm{V}$, $u_I=0{,}04 \mathrm{A}$ i $u_V=0{,}06 \mathrm{V}$. Składniki traktujemy w tym syntetycznym rachunku jako niezależne.

Przed odczytaniem wyników zapisano prostą regułę HOLD-SRV-01:

seria jest ważna tylko wtedy, gdy wszystkie cztery świeże kontrole mają wynik PASS, czyli $\hat R+U\le H$; inny wynik kontroli daje INVALID całej serii;
przy ważnej serii warstwę W-SRV-24A-6-COLD wstrzymuje się, jeżeli co najmniej dwa z 12 badanych egzemplarzy mają jednoznaczne NONCONF, czyli $\hat R-U>H$;
wyzwolenie reguły jest konserwatywną blokadą dokładnie tej warstwy do rozszerzenia próby, nie estymacją udziału wad i nie wnioskiem o całej partii; niewyzwolenie reguły także nie stanowi samo w sobie podstawy zwolnienia warstwy.

Obliczono — `RDY-SRV`

Z fikcyjnych danych $\Delta I=4{,}00\pm0{,}08 \mathrm{A}$ i $\Delta V=1{,}80\pm0{,}12 \mathrm{V}$, oba dla $k=2$, otrzymujemy:

$$\hat R=\frac{1{,}80 \mathrm{V}}{4{,}00 \mathrm{A}}=0{,}450 \Omega.$$

Dla $R=V/I$:

$$\frac{\partial R}{\partial V}=\frac{1}{I}=0{,}250 \mathrm{A^{-1}}, \qquad \frac{\partial R}{\partial I}=-\frac{V}{I^2}=-0{,}1125 \mathrm{V\,A^{-2}}.$$

Po podstawieniu niepewności standardowych:

$$u_R=\sqrt{(0{,}250\cdot0{,}060)^2+(0{,}1125\cdot0{,}040)^2} \Omega =0{,}01566 \Omega,$$

$$U_R=2u_R=0{,}03132 \Omega\approx0{,}031 \Omega.$$

Każdy iloczyn pod pierwiastkiem ma jednostkę oma. Wynik to $(0{,}450\pm0{,}031) \Omega$, $k=2$. Granice:

$$R_{low}=0{,}450-0{,}031=0{,}419 \Omega, \qquad R_{high}=0{,}450+0{,}031=0{,}481 \Omega.$$

Dolna granica $R_{low}=0{,}419 \Omega$ przekracza limit o 0,069 Ω, więc cały przedział leży po stronie niedopuszczalnej i RULESET-06 przypisuje $G=NONCONF$. Osobna konserwatywna reguła akceptacji sprawdza $R_{high}\le0{,}350 \Omega$; warunek nie zachodzi, a margines akceptacyjny wynosi $0{,}350-0{,}481=-0{,}131 \Omega$. Dolna i górna granica odpowiadają zatem na dwa różne pytania: odpowiednio o potwierdzoną niezgodność i o podstawę do PASS.

Przewidziano — `RDY-SRV`

Jeżeli V-H1 jest prawdziwa, spadek na zaciskach źródła utrzyma się w quasi-ustalonym oknie, będzie skorelowany z warstwą partia–wiek–warunki i pozostanie po kontroli złącza oraz stanowiska. V-H2 zwiększy różnicę po obu stronach złącza. V-H3 ujawni się na wzorcu kontrolnym lub po zamianie kanałów. Składnik indukcyjny będzie krótki i zależny od szybkości zbocza.

Jeśli winny jest próg V-H4, surowy przebieg pozostanie ten sam po zmianie programu, a zmieni się tylko decyzja. Podwyższenie granicy akceptacji bez zmiany stanu odniesienia zwiększyłoby false PASS, nie niezawodność.

Zmierzono — `RDY-SRV`

Próbę RUN-SRV-118 wykonano czteroprzewodowo bezpośrednio na zaciskach fikcyjnego źródła. Oddzielne kanały mierzyły złącze i wzorzec stanowiska. Zamiana kanałów oraz kontrola przed i po serii nie ujawniły dryfu przekraczającego budżet. Temperatury źródła, złącza i otoczenia rejestrowano osobno.

Wynik źródła to $0{,}450\pm0{,}031 \Omega$, $k=2$. Syntetyczne wyniki pomocnicze: złącze $0{,}022\pm0{,}008 \Omega$, stanowisko $0{,}018\pm0{,}006 \Omega$, także $k=2$. Nie odejmuje się ich od 0,450 Ω, bo geometria czteroprzewodowa wyłącza je z mierzonego spadku źródła. Przy pomiarze tylko przy obciążeniu łączny tor wyniósłby około 0,490 Ω i nie pozwoliłby przypisać wyniku źródłu.

W pierwszej fazie pobrano losowo po trzy egzemplarze z czterech podwarstw historii przechowywania, razem $n=12$, oraz cztery świeże kontrole z innej warstwy. Losowanie odbyło się przed poznaniem wyników. Plan celowo nadreprezentował skrajne historie, więc próba nie jest proporcjonalna ani statystycznie reprezentatywna dla całej partii. Pełny syntetyczny, zanonimizowany zbiór decyzyjny przedstawia tabela. Dla A01 granice pochodzą z wcześniejszego rachunku na wartościach niezaokrąglonych; pozostałe syntetyczne $\hat R$ i $U$ zdefiniowano z rozdzielczością 0,001 Ω i przy tej rozdzielczości obliczono pokazane granice.

ID	Podwarstwa partia–wiek–warunki	$\hat R$ [Ω]	$U$ [Ω], $k=2$	$\hat R-U$ [Ω]	$\hat R+U$ [Ω]	Limit [Ω]	Wynik `RULESET-06`
`A01`	`L24-A/T+6/ENV-LAB-COLD-02/H01`	0,450	0,031	0,419	0,481	0,350	`NONCONF`
`A02`	`L24-A/T+6/ENV-LAB-COLD-02/H01`	0,372	0,025	0,347	0,397	0,350	`NIEWYKAZANE`
`A03`	`L24-A/T+6/ENV-LAB-COLD-02/H01`	0,330	0,020	0,310	0,350	0,350	`PASS`
`B01`	`L24-A/T+6/ENV-LAB-COLD-02/H02`	0,410	0,028	0,382	0,438	0,350	`NONCONF`
`B02`	`L24-A/T+6/ENV-LAB-COLD-02/H02`	0,345	0,021	0,324	0,366	0,350	`NIEWYKAZANE`
`B03`	`L24-A/T+6/ENV-LAB-COLD-02/H02`	0,318	0,018	0,300	0,336	0,350	`PASS`
`C01`	`L24-A/T+6/ENV-LAB-COLD-02/H03`	0,465	0,032	0,433	0,497	0,350	`NONCONF`
`C02`	`L24-A/T+6/ENV-LAB-COLD-02/H03`	0,390	0,026	0,364	0,416	0,350	`NONCONF`
`C03`	`L24-A/T+6/ENV-LAB-COLD-02/H03`	0,340	0,020	0,320	0,360	0,350	`NIEWYKAZANE`
`D01`	`L24-A/T+6/ENV-LAB-COLD-02/H04`	0,355	0,022	0,333	0,377	0,350	`NIEWYKAZANE`
`D02`	`L24-A/T+6/ENV-LAB-COLD-02/H04`	0,325	0,019	0,306	0,344	0,350	`PASS`
`D03`	`L24-A/T+6/ENV-LAB-COLD-02/H04`	0,370	0,024	0,346	0,394	0,350	`NIEWYKAZANE`
`K01`	`L26-C/T+0/ENV-LAB-COLD-02/CTRL`	0,292	0,018	0,274	0,310	0,350	`PASS`
`K02`	`L26-C/T+0/ENV-LAB-COLD-02/CTRL`	0,305	0,019	0,286	0,324	0,350	`PASS`
`K03`	`L26-C/T+0/ENV-LAB-COLD-02/CTRL`	0,315	0,018	0,297	0,333	0,350	`PASS`
`K04`	`L26-C/T+0/ENV-LAB-COLD-02/CTRL`	0,298	0,017	0,281	0,315	0,350	`PASS`

W 12 badanych egzemplarzach są 4 jednoznaczne NONCONF, 3 PASS i 5 wyników NIEWYKAZANE; cztery potwierdzone niezgodności występują w trzech podwarstwach H01..H03. Wszystkie 4 kontrole spełniają regułę PASS, więc seria jest ważna. HOLD-SRV-01 wymaga co najmniej 2 wyników NONCONF, a otrzymano 4; reguła wstrzymania została zatem wyzwolona. Te liczności są dowodem zastosowania reguły blokady, a nie estymatorem częstości w populacji.

Wywnioskowano — `RDY-SRV`

Stan odniesienia egzemplarza A01 potwierdza niezgodność rezystancji źródła. Rozdzielone punkty osłabiają hipotezy złącza i stanowiska. Cztery jednoznaczne NONCONF w A01, B01, C01 i C02, przy czterech ważnych kontrolach PASS, spełniają zapisaną wcześniej regułę HOLD-SRV-01. Uzasadnia to wyłącznie konserwatywne wstrzymanie warstwy W-SRV-24A-6-COLD do rozszerzenia próby. Nie uzasadnia oszacowania udziału wad, odrzucenia każdej sztuki L24-A, wniosku o innych warstwach wieku ani o wszystkich źródłach typu.

Dowód pierwotnej gotowości nie przenosi się automatycznie przez sześć umownych jednostek wieku. Raport Sandia opisuje ogólne cechy i długie magazynowanie źródeł termicznie aktywowanych; nie jest certyfikatem naszej fikcyjnej partii ani podstawą progu.^sandia

Nie rozstrzygnięto — `RDY-SRV`

Próba $n=12$ nie daje wąskiego przedziału dla udziału wad, zwłaszcza po warstwowaniu. Nie wolno dzielić liczby przekroczeń przez 12 i nazywać wyniku częstością całej partii bez wag doboru. Nie rozstrzygnięto, czy dominującą zmienną jest wiek, mikroklimat, partia materiału czy interakcja.

Pomiar $\hat R$ w jednym oknie nie rozdziela wszystkich procesów dynamicznych. Nie dowodzi przyczyny chemicznej ani mechanizmu starzenia. Nie rozstrzygnięto też, czy sporadyczny BIT FAIL ma wyłącznie przyczynę energetyczną; oprogramowanie wbudowane pozostaje osobną gałęzią.

Zdecydowano — `RDY-SRV`

REQ-SRV-05 = NIEWYKAZANE dla W-SRV-24A-6-COLD, czyli dokładnie ramy L24-A/T+6/ENV-LAB-COLD-02/H01..H04. Zgodnie z HOLD-SRV-01 warstwa zostaje konserwatywnie wstrzymana do rozszerzenia próby, a READY-OWN nie może być odnawiane ze starszego pakietu. Decyzja nie rozszerza się na inne historie, warstwy wieku, partie ani całość populacji. Faza druga ma dopiero zapewnić losową próbę z pełnej ramy każdej podwarstwy, uprzednio ustalone kryteria zakończenia i wagi doboru potrzebne do wnioskowania populacyjnego.

Próg 0,350 Ω pozostaje wymaganiem. Kandydat oprogramowania wbudowanego nie może zastąpić go łagodniejszą wartością tylko po to, by zmienić FAIL na PASS. Nowy próg byłby zmianą wymagania i ryzyka, wymagającą odrębnej akceptacji i ponownej walidacji energii.

Regresja — `RDY-SRV`

REG-SRV-03 obejmuje warstwy wskazane w rozszerzonej ramie doboru; warunki ciepłe, nominalne i zimne; świeżą kontrolę; wzorzec stanowiska; zamianę kanałów; pomiar złącza; kilka amplitud skoku w zakresie liniowości; kilka okien; oraz pełną historię i temperaturę. Plan przechowuje ramę losowania, braki danych i wagi warstw; reprezentatywność wolno zadeklarować dopiero po wykazaniu jej przez ten plan.

Zmiana FW-1.8.2 na kandydata FW-1.8.3 uruchamia regresję tych samych surowych przebiegów przez oba algorytmy bez zmiany stanu odniesienia. Porównuje się osobno $P_{FP}$, $P_{FF}$, czas detekcji i READY. Dopiero po zatwierdzeniu wymagania, oprogramowania wbudowanego, warstwy populacji i planu nadzoru może powstać nowa baza; nie wolno nadpisać BL-WC1-2026.09-A.

V&V, środowisko, EMC i granice przenoszenia dowodu

Weryfikacja odpowiada, czy zrealizowany element spełnia przypisane wymaganie; walidacja — czy złożony system jest przydatny w zamierzonym użyciu i środowisku. W WISŁA-ĆW-01 analiza obwiedni weryfikuje spójność modelu z wymaganiem, pomiar przy odbiorniku weryfikuje limit napięcia, a test końca-do-końca waliduje, że architektura diagnostyczna rzeczywiście obejmuje fizyczny sensor. NASA Systems Engineering Handbook wymaga planu, kryteriów, konfiguracji obiektu, metod i zachowania produktów pracy V&V; podkreśla też różnicę między dowodem „zbudowano zgodnie ze specyfikacją” i „zbudowano właściwy system”.^nasa-seh

Dowód jest przenoszalny tylko wtedy, gdy zmienna różniąca obiekt docelowy od badanego nie wpływa na wniosek albo jej wpływ jest ograniczony konserwatywnie. Macierz podobieństwa ma pola: funkcja, sprzęt, oprogramowanie, źródło, interfejs, profil obciążenia, środowisko, stanowisko, populacja i reguła decyzji. Dla każdego pola zapisuje się identyczne, równoważne z analizą, objęte gorszym przypadkiem albo brak podstaw transferu. Ostatni status blokuje dziedziczenie PASS.

Autorska drabina model–MIL–SIL–PIL–HIL–pełny tor nie jest harmonogramem, który trzeba mechanicznie przejść. Każdy szczebel zamyka inną niewiadomą:

Niewiadoma	Najniższy wystarczający dowód	Dlaczego
kompletność logicznej reguły sesji	model stanów i SIL	można wyczerpać kombinacje epok, czasów i jakości danych
zachowanie kodu na procesorze i przy obciążeniu czasowym	PIL	uwzględnia wykonanie i planowanie na docelowej klasie procesora
reset po rzeczywistym zapadzie	HIL z torem energii	potrzebne są nadzorca, zasilanie, zegary i pomiar
degradacja elementu sensorowego przed testem	pełny tor z bodźcem `IP-0`	późniejsze wstrzyknięcie omija badaną wadę
wpływ historii partii	próba populacyjna	pojedynczy HIL nie reprezentuje warstwy magazynowej

MIL, SIL, PIL i HIL pojawiają się zatem tylko tam, gdzie domykają określony dowód. Liczba godzin symulacji nie kompensuje nieadekwatnego modelu, a zgodność jednego egzemplarza HIL nie daje reprezentatywności populacji. Każdy szczebel zachowuje tę samą wersję wymagania i FSET-RDY-07, dzięki czemu przypadek przechodzący z modelu do sprzętu nie zmienia po drodze znaczenia.

MIL‑STD‑810H Change 1 nie ustanawia uniwersalnego zestawu prób do odhaczania. Część pierwsza opisuje proces dostosowania wpływów środowiska do profilu cyklu życia; §1.1 określa zakres, §4.2.2 wiąże środowisko z procesem dostosowania, a Annex A rozwija programową analizę profilu.^mil810 Dla RDY-PWR temperatura zamyka dowód tylko dlatego, że wpływa na źródło, ESR i progi. Dla RDY-SNS jest potrzebna, jeśli zmienia $g$, $b$ albo niepewność. Wibracja, wilgotność czy pył wchodzą do macierzy dopiero po wskazaniu mechanizmu wady i obserwowanej właściwości. Wynik laboratoryjny ENV-LAB-COLD-02 nie jest kwalifikacją operacyjną.

EMC może zamknąć konkretną gałąź HZ-RDY-001: zakłócenie może spowodować zapad, reset, fałszywą próbkę, utratę czasu albo uszkodzenie komunikatu odwołania. MIL‑STD‑461H obejmuje wymagania interfejsowe i weryfikacyjne emisji oraz podatności wyposażenia i podsystemów, nie całej platformy w dowolnej konfiguracji; wskazują to §§1.1–1.2 i drukowana s. 1.^mil461 Dlatego próba EMC ma sens dla READY tylko wtedy, gdy obserwuje równocześnie energię, reset, jakość danych, epokę i decyzję. Sam brak uszkodzenia albo pojedynczy kod PASS nie zamyka hazardu. Szczegóły sprzężeń i ochrony pozostają w Kompatybilność elektromagnetyczna i ochrona elektroniki.

Modele 3DOF i 6DOF nie są ozdobą dowodu energetycznego. W obecnych trzech studiach nie są potrzebne: żadna konkluzja nie zależy od ruchu bryły w trzech lub sześciu stopniach swobody. Weszłyby do pakietu tylko wtedy, gdy profil ruchu wyznaczałby obciążenie wykonawcze, jakość sensora lub czas dostępny na reakcję, a model miał zweryfikowaną drogę do PWR-PROF-08. Podobnie Monte Carlo nie zastępuje rachunku granicznego. Jest uzasadnione, gdy wejścia mają obronione rozkłady, model jest nieliniowy lub potrzebujemy rozkładu marginesu i ryzyka decyzji. Dla ilorazu w RDY-SRV linearyzacja jest wystarczająca przy małych względnych niepewnościach; uruchomienie miliona losowań nie dodałoby informacji o reprezentatywności $n=12$.

Dowód środowiskowy musi zachować stan i sesję. Jeśli ekspozycja poprzedza pomiar, pytamy o skutek zachowany po ekspozycji. Jeśli wymuszenie działa podczas pracy, obserwujemy skutek równoczesny. Jeśli system został zresetowany między ekspozycją i odczytem, stare świadectwa wygasają. To samo dotyczy badań łączonych: temperatura i zakłócenie mogą mieć wspólny wpływ na margines, ale wynik pojedynczych prób nie dowodzi automatycznie ich kombinacji.

Nadzór eksploatacyjny domyka inną lukę niż kwalifikacja projektu. DA PAM 742‑1 obejmuje program nadzoru amunicji, reprezentatywny dobór próbek, inspekcje, zapisy i szczególną identyfikację partii; rozdz. 1, pkt 1‑4–1‑5 oraz rozdz. 2, zwłaszcza 2‑2 i 2‑6, pokazują związek próbki z partią i kryteriami.^{ammo-surveillance} Nie kopiujemy wojskowego planu ani kategorii do demonstratora. Źródło wspiera zasadę, że wynik musi być przypisany do reprezentowanej populacji i historii, a odstępstwa utrwalone.

Konfiguracja bazowa, decyzja, odstępstwa i regresja

Pakiet EVID-PKG-WC1-2026-09-R0 zamyka analizę przez wskazanie zarówno tego, co wykazano, jak i tego, czego nie wykazano. Nie jest protokołem dopuszczenia realnego sprzętu. Dotyczy wyłącznie fikcyjnego WISŁA-ĆW-01/EGZ-04 i konfiguracji BL-WC1-2026.09-A: PWR-HW-03, EZ-ĆW-01/L24-A/T+6, CMP-HW-02, FPGA-BIT-07, FW-1.8.2, SNS-HW-05, ADP-03, CAL-SNS-11, ARB-RDY-04/RULESET-06, ST-04/DAQ-12/CAL-ST-2026-08, REQSET-RDY-09, FSET-RDY-07 i ENV-LAB-COLD-02.

Stan wymagań po trzech studiach:

Wymaganie	Stan	Podstawa i ograniczenie
`REQ-RDY-PLT-01`	niewykazane — poza zakresem R0	brak przebiegu `RUN-PLT-*`, pomiaru, niepewności i decyzji zamykającej `S1-PLT`; pakiet nie wymyśla brakującego dowodu
`REQ-RDY-OWN-02`	niewykazane	`RDY-PWR`: 22,5 V konserwatywnie wobec 23,0 V oraz stara epoka po resecie
`REQ-RDY-FUN-03`	niewykazane	`RDY-SNS`: $y-U=96{,}2<98{,}0$ nie daje PASS, a $y+U=97{,}8<98{,}0$ wykazuje $G=NONCONF$; wewnętrzny BIT dał false PASS
`REQ-DIAG-04`	warunkowo wykazane	$C_D=0{,}96$ dla ośmiu jawnych pozycji $F^*_{SNS}$, pokazanych punktów i $T_D$; `F-SNS-02b=0,04` pozostaje niewykryta
`REQ-SRV-05`	niewykazane	`HOLD-SRV-01`: 4/12 `NONCONF` przy 4/4 kontrolach `PASS`; blokada wyłącznie `W-SRV-24A-6-COLD = L24-A/T+6/ENV-LAB-COLD-02/H01..H04` do rozszerzenia próby
`REQ-CONF-06`	wykazane dla pakietu R0	wszystkie dane i decyzje wskazują tę samą bazę; nie oznacza poprawności pozostałych wymagań

Wniosek systemowy jest jednoznaczny:

$$READY_{SYS}=READY_{PLT}\land READY_{OWN}\land READY_{FUN}=0.$$

Nie wolno zastąpić tej decyzji większością głosów ani uznać, że lokalne PASS kompensują brak lub FAIL. READY-PLT nie zostało wykazane w R0 z powodu braku RUN-PLT-*; READY-OWN nie osiągnęło wymaganego marginesu i miało błąd sesji, a READY-FUN zostało odrzucone przez stan odniesienia toru sensora: górna granica 97,8 j.u. leży poniżej limitu 98,0 j.u. Warunkowe 0,96 nie jest systemowym prawdopodobieństwem gotowości.

Pozostałe ryzyko zapisano jawnie:

Ryzyko	Stan wiedzy	Właściciel	Działanie zamykające
`RR-01` `F-SNS-02b`, wada przerywana sensora, waga 0,04	wynik `INVALID`, brak zwalidowanego pobudzenia i ważnego $T_D$	`DIAG-OWNER`	opracować stan odniesienia i wykazać detekcję w wymaganym czasie
`RR-02` rozdział impedancji dynamicznej	skutek wykryty, przyczyna nieizolowana	`PWR-OWNER`	pomiary w kilku oknach i punktach
`RR-03` częstość `false PASS/FAIL`	próby niereprezentatywne lub za małe	`TEST-DIR`	plan statystyczny z przedziałami
`RR-04` populacja `L24-A` poza warstwą zimną	brak podstaw transferu	`SRV-OWNER`	druga faza próbkowania warstwowego
`RR-05` kombinacje środowiskowe i EMC	niebadane w R0	`V&V-OWNER`	test tylko dla mechanizmów przypisanych do hazardu

Rejestr odstępstw nie jest listą ustnych zgód. W R0 nie zaakceptowano żadnego odstępstwa pozwalającego wydać READY-SYS. Kandydat DEV-01 — czasowe dopuszczenie luki 0,04 — wymaga ilościowej oceny skutku i decyzji RISK-AUTH. DEV-02 — przeniesienie wyniku świeżej partii na L24-A/T+6 — został odrzucony z powodu braku podobieństwa. DEV-03 — podwyższenie progu rezystancji przez oprogramowanie wbudowane — jest zmianą wymagania, a nie odstępstwem testowym, i nie może być zatwierdzone przez autora kodu samodzielnie.

Mapa regresji scala trzy studia:

Zmiana lub odkrycie	Minimalna regresja	Zachowany dowód
impedancja, pojemność, źródło albo profil obciążeń	`REG-PWR-01` w całej macierzy temperatur i transferów	logika `IP-2`, jeśli kod bez zmian
arbiter, reset, zegar, protokół sesji	wyczerpujące epoki w SIL, potem reset w HIL	pomiary materiałowe źródła
sensor, adapter lub kalibracja	`REG-SNS-02`, trzy poziomy i stan odniesienia	część cyfrowa tylko po analizie wpływu
próg lub algorytm BIT	ponowna ocena surowych danych i prób granicznych	surowe przebiegi, nie dawne decyzje
nowa partia, wiek lub historia przechowywania	`REG-SRV-03` z nową ramą populacji	metoda stanowiska po kontroli stabilności
nowe wymaganie środowiskowe lub EMC	analiza `FSET`, potem przypisany test	tylko dowody niezależne od nowej zmiennej

Kontrola konfiguracji utrzymuje identyfikację bazy, zatwierdzanie zmian, ewidencję statusu oraz audyt. MIL‑HDBK‑61B Change 1 opisuje te funkcje w §4.2.1, rozdz. 5–8 i dodatku A, ale jest poradnikiem i nie może być cytowany jako wymaganie kontraktowe.^mil61 W WISŁA-ĆW-01 obowiązek wynika z REQ-CONF-06, a podręcznik służy metodzie.

Pakiet kończy się kryteriami ponownego otwarcia. Nowy dowód jest potrzebny po zmianie konfiguracji, odkryciu nowej wady, naruszeniu założenia modelu, zmianie rozkładu populacji, przekroczeniu czasu ważności albo wykryciu błędu stanowiska. Poprawka nie kasuje starego raportu: tworzy R1, wiąże przyczynę z testami regresji i pokazuje, które decyzje zmieniły stan. Dzięki temu READY pozostaje odwoływalnym twierdzeniem, a nie historią lampki.

Źródła, lokalizatory i status dokumentów

Stan dokumentów ponownie sprawdzono 7 września 2026 r. w pełnych dokumentach albo oficjalnych rekordach właścicieli. Klasa oznacza rolę źródła zgodnie z hierarchią redakcyjną: A — producent, B — administracja lub wojsko, D — laboratorium państwowe albo uczelnia, F — literatura techniczna lub standard branżowy. Każde źródło ma jedną klasę. Dokumenty o węższym zakresie wspierają tylko wskazany fragment argumentacji.

Najważniejsze rozstrzygnięcia statusowe są następujące:

Dokument	Status na 2026-09-07	Zakres użycia
MIL‑STD‑810H Change 1	Active, 18.05.2022, następny przegląd 17.05.2027	dostosowanie środowiska, nie gotowy zestaw kwalifikacyjny
MIL‑STD‑461H	Active, rewizja H z 17.04.2026	wyposażenie i podsystemy EMC, nie dowód systemowy całej platformy
MIL‑HDBK‑2165 + Notice 3	Active, walidacja 11.06.2024	program testowalności, BIT/BITE, wykrywanie i izolacja
MIL‑STD‑882E Change 1	Active, 27.09.2023	system safety, analiza i śledzenie hazardów
MIL‑HDBK‑61B Change 1	Active, 15.08.2025; guidance only	kontrola konfiguracji, nie samodzielne wymaganie
DA PAM 742‑1	bieżący w oficjalnym wykazie Army Explosives Safety	dobór prób, inspekcja, partia i zapis nadzoru
NIST TN 1297	wydanie 1994, oficjalna strona zaktualizowana 06.05.2026	niepewność standardowa i rozszerzona
JCGM 106:2012	oficjalne wydanie JCGM	reguły decyzji i dwa rodzaje błędnej decyzji

Źródła producentów uzupełniają wąskie kwestie implementacyjne: AMD UG949, sekcje „Resets” i „Controlling and Synchronizing Device Startup”, opisuje konsekwencje resetu i rozruchu FPGA; Texas Instruments SLVAE47A, §§2–4, omawia funkcję nadzorcy napięcia i zachowanie resetu. Są właściwe dla rodzin produktów, a nie stanowią niezależnych wymagań systemowych.^amd-reset^,^ti-reset

Przypisy

AMD, Vivado Design Methodology Guide UG949, wydanie 2026.1 opublikowane 23.06.2026, sekcje „Resets” i „Controlling and Synchronizing Device Startup”, dokumentacja producenta sprawdzona 2026‑09‑06.
↩
Department of the Army, DA PAM 742‑1 — Ammunition Surveillance Procedures, 22.11.2016, rozdz. 1, pkt 1‑4–1‑5 (zakres i program), rozdz. 2, pkt 2‑2, 2‑6 i 2‑8 (reprezentatywność próbki, plany i przyrządy), rozdz. 3, pkt 3‑2 oraz rozdz. 11 (wyniki i zapisy); pełny oficjalny PDF i bieżący wykaz Army Explosives Safety, dostęp 2026‑09‑06.
↩
European Cooperation for Space Standardization, ECSS‑Q‑ST‑30C Rev.1 — Dependability, 15.02.2017, §1 (zakres), §§5–8 (program niezawodności, analiza, krytyczne elementy i dane), oficjalny dokument ECSS, dostęp 2026‑09‑06. Źródło sektorowe wspiera relację analiz niezawodności z dowodem, nie narzuca liczb demonstratorowi.
↩
European Cooperation for Space Standardization, ECSS‑E‑ST‑20‑20C — Electrical design and interface requirements for power supply, 15.04.2016, §1, s. 8 PDF (wąski zakres LCL/RLCL), §§5.2.19, 5.3.2–5.3.4, 5.4.5–5.4.6 i 5.5.4, s. 32–45 PDF (obciążenie, rozruch, spadek i stabilność), Annex A, s. 47–60; pełny dokument ECSS, dostęp 2026‑09‑06. Wymagania kosmicznej dystrybucji nie zostały przeniesione na demonstrator.
↩
Frank Bruno, Guy Eschemann, The FPGA Programming Handbook: An Essential Guide to FPGA Design for Transforming Ideas into Hardware Using SystemVerilog and VHDL, wyd. 2, 2024, ISBN 978‑1‑80512‑559‑4, rozdz. 4, s. 112–154, zwłaszcza rys. 4.20, 4.30–4.31 (synchronizacja, metastabilność, reset i przejścia domen), rozdz. 6, s. 223–227 i rozdz. 14, s. 494–500 (FIFO, CDC i domknięcie czasowe).
↩1 ↩2
Valery Salauyou, Adam Klimowicz, Projektowanie systemów wbudowanych w układach FPGA, 2022, ISBN e‑book 978‑83‑67185‑35‑6, s. 108–182 (automaty i rozdzielenie sterowania od ścieżki danych), s. 326–371, zwłaszcza §11.7, s. 359–369 i tab. 11.6 (warianty resetu, opóźnienia i ograniczenia czasowe), DOI 10.24427/978‑83‑67185‑35‑6.
↩1 ↩2
Joint Committee for Guides in Metrology, JCGM 106:2012 — Evaluation of measurement data: The role of measurement uncertainty in conformity assessment, §§5–8 (granice tolerancji, prawdopodobieństwo zgodności i pasma ochronne), §9, zwłaszcza 9.3–9.5 (ryzyko odbiorcy i dostawcy, błędne decyzje), pełny oficjalny PDF BIPM, dostęp 2026‑09‑06.
↩
U.S. Department of Defense / DLA ASSIST, MIL‑HDBK‑2165 — Testability Program for Systems and Equipments, dokument bazowy 31.07.1995, aktualność potwierdzona Notice 3 z 11.06.2024, status Active, następny przegląd 10.06.2029; dodatek C (BIT/BITE i terminologia), zadania 202–203, zwłaszcza 203.2.4–203.2.5 (integracja BIT i prognoza systemowego wykrywania/izolacji); oficjalny rekord i pełny dokument, dostęp 2026‑09‑06.
↩1 ↩2
U.S. Department of Defense / DLA ASSIST, MIL‑STD‑461H — Requirements for the Control of Electromagnetic Interference Characteristics of Subsystems and Equipment, 17.04.2026, status Active; §§1.1–1.2 i drukowana s. 1 (cel, zastosowanie i granica wyposażenie/podsystem); oficjalny rekord i pełny dokument, dane rekordu zaktualizowane 03.09.2026, dostęp 2026‑09‑06.
↩
U.S. Department of Defense / DLA ASSIST, MIL‑HDBK‑61B Change 1 — Configuration Management Guidance, 15.08.2025, status Active, następny przegląd 14.08.2030, §4.2.1, rozdz. 5–8 oraz Appendix A; oficjalny zakres określa dokument jako guidance only, którego nie można cytować jako wymagania; oficjalny rekord i pełny dokument, dostęp 2026‑09‑06.
↩
U.S. Department of Defense / DLA ASSIST, MIL‑STD‑810H Change 1 — Environmental Engineering Considerations and Laboratory Tests, 18.05.2022, status Active, następny przegląd 17.05.2027, Part One §1.1, §4.2.2 i Annex A (zakres oraz dostosowanie środowiska do cyklu życia); oficjalny rekord i pełny dokument, dostęp 2026‑09‑06.
↩
U.S. Department of Defense / DLA ASSIST, MIL‑STD‑882E Change 1 — System Safety, 27.09.2023, status Active, następny przegląd 25.09.2028, §§4.3–4.4 oraz zadania 201–208, zwłaszcza 204–205; oficjalny rekord i pełny dokument, dostęp 2026‑09‑06.
↩
Mei‑Chen Hsueh, Timothy K. Tsai, Ravishankar K. Iyer, Fault Injection Techniques and Tools, 1997, NASA‑CR‑204801, s. 75–82 wydania czasopisma, zwłaszcza sekcje „What is Fault Injection?”, „Fault-Injection Environment” i „Fault-Injection Techniques” (model wady, pobudzenie, obserwacja i walidacja zależności); rekord i pełny tekst NASA NTRS, dostęp 2026‑09‑06.
↩
NASA, NASA Systems Engineering Handbook, NASA/SP‑2016‑6105 Rev. 2, 2016: §2.4, drukowana s. 11 / s. 21 PDF (różnica między weryfikacją i walidacją); §5.3, drukowane s. 88–98 / s. 98–108 PDF (plan, kryteria, konfiguracja, metody i produkty pracy weryfikacji); §5.4, drukowane s. 99–105 / s. 109–115 PDF (zamierzone użycie i środowisko, plan, konfiguracja oraz produkty pracy walidacji); oficjalny pełny PDF NASA, dostęp 2026‑09‑07. Źródło nie definiuje autorskiej drabiny użytej w artykule.
↩1 ↩2
Barry N. Taylor, Chris E. Kuyatt, NIST, Guidelines for Evaluating and Expressing the Uncertainty of NIST Measurement Results, NIST TN 1297, wyd. 1994, §§2–7, zwłaszcza §§5.1–5.2 (łączenie), §§6.1–6.6 ($U=ku_c$, konwencja $k=2$), §§7.1–7.4 (raportowanie) i Appendix A (prawo propagacji); oficjalna wersja NIST, strona zaktualizowana 06.05.2026, dostęp 2026‑09‑06.
↩1 ↩2
Jacek Dusza, Paweł Gąsior, Grzegorz Tarapata, Podstawy pomiarów, Warszawa 2019, wyd. I, Oficyna Wydawnicza Politechniki Warszawskiej, ISBN 978‑83‑7814‑807‑4, s. 20–58, zwłaszcza §2.5, s. 56–58 (spójność i hierarchia wzorców), rozdz. 3, s. 59–103 (błąd, składniki i niepewność), s. 104–154 (przyrządy i tor).
↩
Ronald A. Guidotti, Thermal Batteries: A Technology Review and Future Directions, SAND1995‑1313C, 1.07.1995, Abstract, drukowane s. 1–2, §§1.1–1.2 (historia, stan nieaktywny/aktywny i ogólne cechy magazynowania); rekord Sandia i pełny skan OSTI, dostęp 2026‑09‑06. Nie wykorzystano szczegółów inicjowania ani danych konstrukcyjnych.
↩1 ↩2
Longin Horodko, Systemy pomiarowe i podstawy analizy sygnałów, wyd. 2 poprawione, 2020, Wydawnictwo Politechniki Łódzkiej, ISBN 978‑83‑7283‑585‑7, §§1.1–1.5, s. 7–15 (system, tor i czas), §3.3, s. 25–31 (ADC i błędy), §§5.1–5.10, s. 44–80 (pełny tor, kondycjonowanie, multipleksowanie, filtry, FIFO i wyzwalanie).
↩1 ↩2
Texas Instruments, SLVAE47A — Voltage Supervisors (Reset ICs): Frequently Asked Questions, rew. A, lipiec 2020, §§2–4 oraz rysunki funkcjonalne dotyczące progów, opóźnienia i wyjścia resetu, pełny PDF producenta, dostęp 2026‑09‑06.
↩

Spis treści

Pytanie dowodowe i granica jawności

Fikcyjny system referencyjny i konfiguracja bazowa

READY jako kontrakt czasowy i odwoływalne twierdzenie

Hazard nadrzędny: fałszywa gotowość

Jeden zbiór wad dla FMEA, FTA, BIT i wstrzykiwania wad

Wspólna macierz od wymagania do regresji

Profil stanów i obciążeń zamiast jednej mocy

Źródło, transfer i dystrybucja energii

Maszyna stanów, sesje, właściciel i wygaśnięcie

Obserwowalność i kompletny tor pomiarowy

BIT i sprzęt BITE jako alokacja pobudzeń oraz obserwacji

Pokrycie, stan odniesienia i ryzyko decyzji

Wstrzykiwanie wad jako walidacja testu

Studium RDY-PWR: zapad napięcia, reset i stary status

Założono — RDY-PWR

Obliczono — RDY-PWR

Przewidziano — RDY-PWR

Zmierzono — RDY-PWR

Wywnioskowano — RDY-PWR

Nie rozstrzygnięto — RDY-PWR

Zdecydowano — RDY-PWR

Regresja — RDY-PWR

Studium RDY-SNS: wewnętrzny BIT omija degradację sensora

Założono — RDY-SNS

Obliczono — RDY-SNS

Przewidziano — RDY-SNS

Zmierzono — RDY-SNS

Wywnioskowano — RDY-SNS

Nie rozstrzygnięto — RDY-SNS

Zdecydowano — RDY-SNS

Regresja — RDY-SNS

Studium RDY-SRV: degradacja warstwy partii w nadzorze eksploatacyjnym

Założono — RDY-SRV

Obliczono — RDY-SRV

Przewidziano — RDY-SRV

Zmierzono — RDY-SRV

Wywnioskowano — RDY-SRV

Nie rozstrzygnięto — RDY-SRV

Zdecydowano — RDY-SRV

Regresja — RDY-SRV