Teza: dual-capable nie jest cechą udźwigu ani samego środka przenoszenia, lecz kontrolowaną relacją między dwiema konfiguracjami całego systemu; korzyść ze wspólności sprzętu i infrastruktury istnieje tylko wtedy, gdy każda różnica oraz każda propagacja zmiany są identyfikowalne, zweryfikowane i objęte właściwą decyzją certyfikacyjną.

1. Problem dual-capable i granice monografii

Określenie dual-capable jest często skracane do zdania „ta platforma może przenosić uzbrojenie konwencjonalne i jądrowe”. Skrót jest komunikacyjnie wygodny, lecz technicznie niepełny. Platforma może mieć odpowiednią przestrzeń i udźwig, a mimo to nie mieć zatwierdzonego interfejsu, oprogramowania, wyposażenia naziemnego albo organizacji. Może też należeć do typu objętego programem, ale jako konkretny egzemplarz nie mieścić się w zakresie modyfikacji. Zdolność należy zatem przypisać zidentyfikowanej konfiguracji systemu, w określonym czasie i w granicach decyzji właściwej władzy.

Monografia prowadzi jeden ciąg porównawczy:

różnica konfiguracji → interfejs lub hazard → właściwy dowód → granica certyfikatu → decyzja i regresja.

Ten zapis ma znaczenie praktyczne. Jeżeli w wariancie konwencjonalnym zmienia się masa lub rozkład bezwładności, pytanie nie kończy się na „czy platforma uniesie ładunek?”. Trzeba ustalić wpływ na mocowanie, dynamikę, separację i sterowanie; dobrać analizę oraz próbę; wskazać, dla jakiej stacji, oprogramowania i obwiedni wynik jest ważny; następnie zdecydować, co można dopuścić i jakie testy powtórzyć po kolejnej zmianie. W konfiguracji jądrowej ten sam tok zostaje poszerzony o rygory surety, formalną certyfikację oraz odpowiedzialność instytucji utrzymujących głowicę, środek przenoszenia i jednostkę.

W tekście rozróżniono cztery rodzaje wypowiedzi. Wymaganie normatywne wynika z przywołanego dokumentu właściwej władzy i obowiązuje tylko w jego zakresie. Praktyka programu opisuje publicznie udokumentowany sposób wykonania wymagania w konkretnym programie; nie jest automatycznie normą NATO. Fakt publiczny to datowana informacja o wariancie, próbie albo decyzji. Rekomendacja autora jest modelem analitycznym przydatnym dla polskiego czytelnika, a nie poleceniem operacyjnym.

Zakres jest świadomie systemowy. Nie odtwarza konstrukcji broni, jej użycia ani chronionych mechanizmów kontroli. Współczesne studium F-35A/B61-12 dotyczy wyłącznie statusu programu i logiki dowodu. Studia Nike Hercules i AGM-86 służą historii konfiguracji oraz odpowiedzialności, nie rekonstrukcji uzbrojenia.

Ostrzeżenie EOD: nieznanego, uszkodzonego lub porzuconego uzbrojenia nie wolno dotykać, przemieszczać, otwierać, zasilać, mierzyć elektrycznie ani sprawdzać funkcjonalnie. Brak oznaczeń lub widocznej reakcji nie dowodzi stanu bezpiecznego ani rodzaju ładunku. Należy odizolować miejsce zgodnie z lokalnymi zasadami i powiadomić właściwe służby; rozpoznanie, zabezpieczenie i neutralizacja należą wyłącznie do uprawnionego personelu EOD/CBRN.

2. System, broń, część bojowa, platforma i konfiguracja

W analizie trzeba najpierw ustalić rzeczownik. Warhead oznacza część bojową, weapon — kompletny środek bojowy według definicji programu, delivery system — środek przenoszenia, a weapon system może obejmować również platformę, adaptery, wyposażenie wsparcia, oprogramowanie, obiekty, ludzi i procedury. Znaczenia nie są uniwersalne: należy je odczytać z dokumentu, którego twierdzenie jest oceniane.

To rozróżnienie blokuje trzy błędy. Po pierwsze, kwalifikacja części bojowej nie dowodzi kompatybilności z dowolnym środkiem przenoszenia. Po drugie, zatwierdzenie projektu platformy nie dowodzi gotowości jednostki. Po trzecie, podobieństwo dwóch wariantów jednej rodziny nie pozwala dziedziczyć statusu między nimi. DoDI 3150.02 ujmuje program surety przez cały cykl życia i obejmuje formalną certyfikacją procedury, personel, wyposażenie, sprzęt, oprogramowanie, obiekty i organizacje.1

Wymaganie normatywne — USA. W zakresie DoD elementy mające wykonywać funkcje jądrowe podlegają ocenie safety, security i control oraz formalnemu statusowi przed operacjami.1 Nie jest to jednak dowód, że identyczna terminologia albo identyczny organ obowiązują w każdym państwie NATO.

Praktyka programu — USAF. AFI 63-125 rozdziela certyfikację projektu i certyfikację operacyjną, a do wyposażenia objętego procesem zalicza również sprzęt obsługowy i testowy oraz związane programy komputerowe.3 Dzięki temu granica nie kończy się na metalu platformy.

Rekomendacja autora. Każde twierdzenie o zdolności należy zapisywać jako sześciopolowy rekord:

przedmiot | wariant i konfiguracja | funkcja | organ | data | dowód i ograniczenia.

Zdanie „F-35 jest nuclear-capable” nie spełnia tego minimum. Poprawna postać powinna wskazać F-35A, określoną konfigurację zgodną z programem B61-12, rodzaj certyfikacji, datę, źródło i zastrzeżenie, że status nie musi obejmować F-35B/C, każdej sztuki F-35A ani każdej jednostki.

Konfiguracja nie jest samą listą części. Obejmuje zidentyfikowany sprzęt, oprogramowanie i firmware, dane, dokumentację, wyposażenie wsparcia, obiekt oraz obowiązujące kwalifikacje ludzi i organizacji. Effectivity określa, do których numerów seryjnych, partii, bloków, stacji, jednostek lub okresów odnosi się część, zmiana albo decyzja. Bez effectivity nazwa rodziny jest zbyt szeroka, by oceniać status.

Przydatny jest podział na trzy zbiory:

Warstwa Znaczenie Typowe ryzyko błędnego wniosku
wspólna (common) element kontrolowanie tożsamy dla obu ról zmiana konwencjonalna propaguje się do bazy jądrowej
tylko konwencjonalna (C-only) element dopuszczony wyłącznie w konfiguracji C fizyczne podobieństwo zostaje uznane za kompatybilność N
tylko jądrowa (N-only) element lub status wymagany wyłącznie w konfiguracji N sam fakt istnienia elementu zostaje uznany za gotowość całego systemu

„Wspólny” musi znaczyć: ten sam kontrolowany element konfiguracji w tym samym zakresie, a nie „podobny katalogowo”. Jeżeli dwie gałęzie korzystają ze wspólnego komputera, lecz z innych wydań oprogramowania lub danych, wspólność kończy się na właściwym poziomie sprzętowym. Jeżeli używają tego samego testera z odmiennym programem testowym, konfiguracją jest para tester–program–adapter–kalibracja, nie sama obudowa testera.

3. Model statusów: możliwość, projekt, kwalifikacja, certyfikacja i gotowość

Status tworzy drabinę, nie przełącznik. Najniższy szczebel to wiarygodność fizyczna: masa i geometria nie wykluczają integracji. Wyżej leży zamiar programu: wymagania przewidują daną rolę. Następnie kwalifikacja techniczna wykazuje spełnienie określonych wymagań w zdefiniowanej konfiguracji i środowisku. Certyfikacja projektu lub kompatybilności jest formalną decyzją opartą na pakiecie dowodów. Certyfikacja operacyjna obejmuje ludzi, procedury, obiekty i organizację. Dopiero nad nimi można mówić o przydzieleniu zadania i aktualnym stanie konkretnej platformy — o ile jawne źródło rzeczywiście to potwierdza.

Poziom Pytanie Właściwy rodzaj dowodu Czego nie dowodzi
możliwość fizyczna czy integracja jest geometrycznie i masowo możliwa? rysunki, model masowy, analiza wstępna kwalifikacji ani zgody na użycie
zamiar projektu czy rola znajduje się w wymaganiach programu? zatwierdzone wymagania, datowany komunikat programu ukończenia projektu
kwalifikacja czy wyrób spełnił wskazane wymagania? analiza, próba, raport niezgodności i konfiguracja obiektu gotowości jednostki
certyfikacja projektu czy właściwa władza zaakceptowała bazę projektu? kontrolowany pakiet dowodów i formalna decyzja objęcia każdej sztuki i organizacji
certyfikacja operacyjna czy wskazana organizacja może wykonywać przypisaną funkcję? inspekcja, szkolenie, wyposażenie, procedury, decyzja aktualnego ładunku konkretnej platformy
stan bieżący co jest obecnie zainstalowane i ważne? pozytywna identyfikacja, zapisy konfiguracji, brak blokad trwałości statusu po zmianie

Łańcuch porównawczy ma tu pierwsze zastosowanie. Różnica: wariant C i wariant N korzystają z tego samego płatowca, lecz z różnych wydań danych. Interfejs/hazard: system zarządzania uzbrojeniem może błędnie rozpoznać dozwolony zestaw lub zaprezentować operatorowi nieważny stan. Dowód: wymagane są identyfikowalność wymagań, weryfikacja wydania, próby integracyjne i zapis faktycznie załadowanej tożsamości. Granica certyfikatu: wynik dotyczy określonego wydania, sprzętu, stacji i danych. Decyzja/regresja: po zmianie wspólnego modułu trzeba ocenić obie gałęzie i powtórzyć te dowody, których założenia zostały naruszone.

Nie istnieje poprawne automatyczne przejście capable → certified → assigned → ready → loaded. Każda strzałka wymaga odrębnego źródła. Fotografia, osiągnięcie pojedynczej próby, komunikat producenta albo udźwig platformy może potwierdzać niższy szczebel, nigdy domyślnie wyższy.

4. Granica system-of-systems i podział odpowiedzialności

Najmniejsza użyteczna granica prowadzi od części bojowej przez kompletny środek bojowy, adapter lub zawieszenie, platformę i jej system misji aż do wyposażenia obsługowego, testowego, obiektu, personelu, procedur oraz organizacji. Poza przepływem materiałowym trzeba śledzić przepływ informacji: wymagania, dane konfiguracyjne, wyniki pomiarów, decyzje i łączność dowodzenia. Błąd poza platformą może zmienić jej stan równie skutecznie jak wada zamontowanego modułu.

właściciel części bojowej ── wymagania/STS/charakterystyki ──┐
                                                            ▼
platforma ─ adapter ─ środek bojowy ◄── ICD ── wyposażenie/tester
    │                         │                         │
    └── system misji/dane ────┴── obiekt/procedura ────┘
                              │
                    jednostka i władza certyfikująca

Schemat nie przedstawia topologii operacyjnej. Pokazuje odpowiedzialność dowodową. Dokument kontroli interfejsu (ICD) jest umową techniczną między właścicielami, ale nie zastępuje certyfikacji. Charakterystyki wojskowe opisują potrzebną funkcję; sekwencja od składowania do celu (STS) definiuje klasy faz i środowisk; właściciel platformy wykazuje integrację; użytkownik dowodzi zdolności operacyjnej; kompetentna władza podejmuje decyzję w określonym zakresie.

W amerykańskim podziale DOE/NNSA odpowiada za projekt, produkcję i utrzymanie warstwy głowicowej, a DoD za środki przenoszenia i wojskowy system użycia; koordynację wymagań prowadzą wspólne struktury.8,10 Jest to fakt instytucjonalny USA, a nie szablon organizacyjny dla Polski. Uniwersalna lekcja brzmi inaczej: każdy wymóg, interfejs, hazard, dowód i ryzyko resztkowe musi mieć właściciela, a przekroczenie granicy organizacyjnej nie może zerwać identyfikowalności.

Można wyróżnić co najmniej pięć ról: władzę projektową, właściciela konfiguracji, władzę kwalifikującą lub certyfikującą, władzę operacyjną i depozytariusza odpowiedzialnego za kontrolę fizyczną. Jedna instytucja może pełnić kilka ról, lecz role pozostają rozłączne logicznie. Wspólna odpowiedzialność oznacza skoordynowane decyzje, nie brak jednoznacznego podpisu.

Rekomendacja autora: dla każdego interfejsu sporządzić macierz dostarcza – przyjmuje – weryfikuje – zatwierdza – utrzymuje zapis. Jeżeli jedna komórka pozostaje „wszyscy”, w praktyce często znaczy „nikt”.

5. Dwie konfiguracje: wspólne, konwencjonalne i jądrowe

Porównanie nie powinno zaczynać się od listy dodatkowych zabezpieczeń, lecz od dwóch kompletnych baz konfiguracji. Wariant konwencjonalny może wymagać większej precyzji punktowej, innego profilu obciążeń lub innych danych nawigacyjnych; wariant jądrowy może nakładać ostrzejszy reżim kontroli, bezpieczeństwa, ochrony i certyfikacji. „Więcej rygoru” nie oznacza „ta sama konstrukcja plus jeden moduł”. Kryteria mogą być różne i czasem konkurencyjne.

Dziedzina Pytanie porównawcze C ↔ N Hazard wspólności Dowód rozdzielenia
mechanika czy masy, środki masy i bezwładność mieszczą się w osobnych zakresach? wynik dla jednego reprezentanta zostaje przeniesiony na drugi analiza tolerancji, obciążeń i reprezentatywności
elektryka czy oba warianty tolerują wszystkie stany zasilania i uszkodzeń platformy? wspólne źródło tworzy wspólną przyczynę analiza uszkodzeń, badania interfejsu i środowiska
dane czy platforma jednoznacznie rozpoznaje wariant, wydanie i ważność danych? pomyłka ładowania lub prezentacji stanu kontrola wydania, weryfikacja integracji, zapis tożsamości
obsługa które urządzenia i procedury są wspólne, a które unikalne? niezatwierdzona zamiana „równoważnego” narzędzia kwalifikacja wyposażenia, kalibracja, effectivity
organizacja kto może wykonać funkcję i w jakim obiekcie? certyfikat platformy zostaje uznany za certyfikat jednostki inspekcja operacyjna i formalna decyzja

Zysk ze wspólności jest realny: wspólny płatowiec, napęd, część awioniki, infrastruktura szkoleniowa i łańcuch logistyczny ograniczają koszt. Jednocześnie każdy element wspólny jest kanałem propagacji zmiany. Aktualizacja komputera wykonana dla misji konwencjonalnej może zmienić czas odpowiedzi, emisję elektromagnetyczną, zachowanie przy błędzie albo środowisko budowania oprogramowania. Nawet gdy funkcja N nie została świadomie dotknięta, założenie wcześniejszego dowodu mogło przestać być prawdziwe.

Dlatego macierz wspólności powinna być wersjonowana i dwukierunkowa. Zmiana C pyta o wpływ na N, a zmiana N — o wpływ na C. Brak wpływu jest wynikiem zatwierdzonej analizy, nie deklaracją autora modyfikacji. Praktyka USAF używa Nuclear Certification Impact Statement jako formalnego wyzwalacza oceny nowego systemu lub zmiany wyposażenia, oprogramowania albo procedury.7

6. Cykl życia i stockpile-to-target sequence

STS ma dwa znaczenia: jest pojęciem sekwencji faz od składowania do osiągnięcia funkcji oraz kontrolowanym opisem koncepcji logistycznej i operacyjnej wraz ze środowiskami.9 W tej monografii STS jest używany wyłącznie jako szkielet wymagań. Nie jest instrukcją transportu, przygotowania ani użycia.

Jawny model może obejmować: składowanie, inspekcję, utrzymanie, kontrolowane przemieszczanie, integrację z platformą, gotowość, przenoszenie, oddzielenie lub start, lot, powrót, surveillance i wycofanie. Program ma własne nazwy oraz przejścia. Każda faza wnosi cztery pytania: jakie środowisko jest wiarygodne, kto ma władzę nad przejściem, jakie funkcje są dozwolone i jaki dowód potwierdza stan.

Środowisko normalne nie jest pojedynczą wartością temperatury lub drgań. Obejmuje zakres, czas, kolejność oraz kombinacje oddziaływań logistycznych i operacyjnych. Środowisko anormalne opisuje wiarygodne warunki wypadkowe, w których nie musi być utrzymana pełna skuteczność, lecz nadal obowiązują kryteria bezpieczeństwa właściwe dla programu.1,9 Osobny test termiczny i osobny test wibracyjny nie dowodzą zachowania po ich określonej sekwencji; model bez historii magazynowania nie reprezentuje starzejącego się egzemplarza.

Porównanie C ↔ N ujawnia różnicę dowodową. Konwencjonalny wariant może być kwalifikowany do własnego profilu środowiskowego i kryteriów bezpieczeństwa amunicji. Wariant jądrowy wymaga ponadto wykazania surety w pełnej przypisanej granicy i formalnej decyzji kompetentnej władzy. Nie wolno jednak zakładać, że dowód N automatycznie pokrywa C: inny efektor, rozkład masy, elektronika czy wymaganie skuteczności mogą tworzyć odrębne przypadki krytyczne.

Przykładowy łańcuch: różnica czasu przebywania na platformie zmienia historię cieplną; interfejs/hazard dotyczy gradientów w środku bojowym i elektronice platformy; dowód łączy zwalidowany model z próbami w punktach kotwiczących; granica jest ograniczona do czasu, konfiguracji powłok, wentylacji i profilu; decyzja ustanawia dopuszczalny zakres, a zmiana któregokolwiek założenia uruchamia regresję termiczną.

7. Architektura funkcjonalna i wątek misji

Architektura funkcjonalna odpowiada nie na pytanie „gdzie leży moduł?”, lecz „jaka funkcja zmienia stan i kto jest jej właścicielem?”. Na poziomie publicznym wystarczą funkcje: identyfikacja konfiguracji, zasilanie, wymiana danych, monitorowanie stanu, zarządzanie uzbrojeniem, utrzymanie kontroli, oddzielenie, lot i raportowanie. Funkcyjny podsystem uzbrajania, zapalania i inicjacji pozostaje czarną skrzynką z kontrolowanymi wejściami i wyjściami.

Wątek misji (mission thread) łączy prawomocną decyzję, przekazanie informacji, przygotowanie zatwierdzonej konfiguracji, potwierdzenie stanu platformy i efektora oraz wykonanie przypisanej funkcji. Nie opisuje planu ataku. Dla każdego węzła wystarczą: właściciel, warunki wejścia, dozwolone wyjścia, kryterium ważności informacji, zachowanie po utracie pewności oraz dowód.

Najważniejsza zasada stanów brzmi: unknown nie może domyślnie przechodzić w valid, authorized, safe ani certified. Brak błędu w BIT nie oznacza pełnej sprawności, bo test wbudowany obserwuje tylko zaprojektowany podzbiór funkcji. Brak rekordu konfiguracji nie oznacza, że konfiguracja się nie zmieniła. Brak widocznej różnicy między wariantami nie oznacza ich wymienności.

Praktyka programu: ustrukturyzowany wątek pozwala powiązać wymaganie z analizą hazardu, ICD, próbą i decyzją. Rekomendacja autora: dla każdego istotnego przejścia zapisać pięć elementów ciągu porównawczego, a następnie sprawdzić, czy dowód obserwuje samą funkcję, czy tylko jej przybliżony surogat. To rozróżnienie stanie się kluczowe przy Joint Test Assembly w studium F-35A/B61-12.

8. Mechanika, masa, bezwładność i separacja

Interfejs mechaniczny obejmuje bazy wymiarowe, mocowanie, drogę przenoszenia obciążeń, luzy, ugięcia, tolerancje, utrzymanie oraz oddzielenie. To, że dwa środki bojowe dają się zawiesić na tym samym typie elementu, potwierdza najwyżej zgodność geometryczną. Nie potwierdza wytrzymałości w całym widmie obciążeń, poprawnej separacji ani zachowania po uszkodzeniu.

Masa całkowita jest tylko pierwszą współrzędną. Środek masy, momenty i iloczyny bezwładności, ich tolerancje, sztywność oraz przemieszczanie się elementów wpływają na obciążenia zaczepów, drgania, dynamikę platformy i działanie układu sterowania. Obiekt próbny o tej samej masie może nie odtwarzać rozkładu bezwładności, aeroelastyczności ani odpowiedzi lokalnych połączeń. Z tego powodu raport powinien rozdzielać wartości nominalne, zmierzone i przypadki skrajne, a reprezentatywność opisywać osobno dla każdej własności.

W porównaniu C ↔ N pozornie korzystna zamiana może ujawnić konflikt. Różnica: efektor C ma tę samą masę nominalną, lecz inny środek masy i sztywność niż efektor N. Interfejs/hazard: zmieniają się obciążenia dynamiczne, odpowiedź zawieszenia i warunki separacji. Dowód: analiza wielobryłowa i strukturalna, próba drganiowa, naziemne sprawdzenie integracji oraz — jeśli wymagane — reprezentatywna próba lotnicza. Granica certyfikatu: określona para platforma–wariant–stacja–adapter–konfiguracja sąsiednich podwieszeń–obwiednia. Decyzja/regresja: wynik nie przechodzi na inną stację ani blok bez zatwierdzonej analizy podobieństwa; zmiana oprogramowania sterowania lotem również może unieważnić założenia separacji.

MIL-STD-1822B wiąże kompatybilność z dokumentacją interfejsową oraz środowiskami STS.6 Jest to wymaganie normatywne w zakresie wskazanego standardu USAF, nie uniwersalna procedura lotnicza. Uniwersalny jest natomiast rygor konfiguracyjny: każdy test ma wejściową konfigurację, przyrządy zmieniają reprezentatywność, a wynik ma dziedzinę stosowalności.

9. Elektryka, dane, czas, EMC i termika

Interfejs elektryczny obejmuje nie tylko napięcie nominalne, ale także powroty, izolację, kolejność zasilania, prądy rozruchowe, stany przejściowe, ochronę przed błędnym połączeniem oraz zachowanie podczas zaniku i powrotu energii. Wyposażenie naziemne jest częścią systemu: może stworzyć niedozwolone pobudzenie albo fałszywy wynik diagnostyczny. Dowód musi obejmować normalne stany, pojedyncze uszkodzenia i wiarygodne przyczyny wspólne, bez publikowania progów ani sygnałów funkcji krytycznych.

Interfejs danych definiuje tożsamość komunikatu, kierunek, świeżość, ważność, zależności czasowe oraz reakcję na brak, duplikację i sprzeczność. Zgodność ze standardem magistrali nie dowodzi zgodności semantycznej. Dwa warianty mogą używać tej samej warstwy fizycznej, a inaczej interpretować pole lub stan. Najgroźniejsza jest nie jawna awaria, lecz wiarygodny, poprawnie sformatowany komunikat przypisany niewłaściwej konfiguracji.

Kompatybilność elektromagnetyczna obejmuje emisję i odporność przewodzoną oraz promieniowaną, uziemienie, połączenia wyrównawcze, wyładowania elektrostatyczne i właściwe dla programu zagrożenia atmosferyczne. Zmiana zasilacza, zegara, okablowania, powłoki albo sterownika może nie zmienić funkcji logicznej, a jednak zmienić margines EMC. Obiekt również należy do granicy: instalacja zasilająca, ochrona odgromowa i uziemienie wpływają na środowisko certyfikowanego wyposażenia.3

Termika łączy temperaturę otoczenia, historię składowania, nagrzewanie platformy, przepływ, promieniowanie, czas pracy elektroniki i gradienty. Średnia temperatura obudowy jest słabym surogatem temperatury elementów krytycznych. Model jest dowodem tylko w zwalidowanej dziedzinie, z podaną wersją, siatką, założeniami materiałowymi i niepewnością.

Pełny łańcuch dla aktualizacji wspólnego modułu wygląda więc następująco. Różnica: nowa rewizja przetwornicy zachowuje wejścia i wyjścia katalogowe. Hazard: inne stany przejściowe, emisja, wydzielanie ciepła lub tryb uszkodzenia dotykają C i N. Dowód: analiza najgorszego przypadku, badania zasilania, EMC i termiczne oraz regresja komunikacji. Granica: rewizja płytki, partie komponentów, firmware, wiązka, obiekt próbny i warunki. Decyzja: właściciele obu baz określają dziedziczenie dowodów; deklaracja „form-fit-function” dostawcy sama nie zamyka wpływu.

10. Safety, security, control, reliability i effectiveness

Publiczne ujęcie DoD traktuje nuclear surety jako powiązanie bezpieczeństwa wypadkowego (safety), ochrony przed działaniem nieuprawnionym (security) i kontroli (control). Nuclear Matters Handbook zastrzega, że nie wszystkie instytucje używają terminu identycznie.8 Dlatego w każdym opracowaniu trzeba podać przyjętą definicję.

Safety pyta o niezamierzone zdarzenia wynikające z awarii, błędu, środowiska normalnego lub wiarygodnego wypadku. Security dotyczy świadomego przeciwnika, insidera, sabotażu i ingerencji w łańcuch fizyczny lub cyfrowy. Control obejmuje kierowanie siłami, zapobieganie nieuprawnionemu użyciu oraz utrzymanie lub odzyskanie kontroli w rozumieniu właściwej polityki.1 Niezawodność (reliability) jest prawdopodobieństwem poprawnego wykonania wymaganej funkcji w zadanych warunkach, a skuteczność (effectiveness) ocenia osiągnięcie celu systemowego. Żadna z tych własności nie zastępuje pozostałych.

Napięcie „zawsze–nigdy” dobrze objaśnia konflikt wymagań: system ma wykonać prawidłowo uprawnioną funkcję i nie wykonać jej w pozostałych przypadkach. Nie jest to żądanie matematycznej pewności, lecz kierunek rygorystycznego zapewnienia. Lokalnie optymalna blokada może obniżyć dostępność; dodatkowy kanał zwiększający niezawodność może stworzyć wspólną przyczynę; diagnostyka pomocna dla safety może zwiększyć powierzchnię cyberzagrożeń. DoDI 3150.02 wymaga oceny wzajemnego wpływu safety, security i control.1

Publiczna idea stronglink/weaklink ilustruje sposób myślenia o zachowaniu w środowisku anormalnym: kontrolowana bariera ma zachować funkcję ochronną, natomiast inny element ma utracić zdolność w sposób prowadzący do stanu bezpiecznego, zanim powstanie niedozwolona ścieżka. Sandia opisuje publicznie zarówno rolę stronglink, jak i założenie, że w analizowanym środowisku anormalnym weaklink powinien utracić funkcję przed stronglink.15,33 Nie wynika z tego jeden gotowy schemat, a szczegóły konkretnej realizacji pozostają poza zakresem.

pakiet jądrowy i krytyczne funkcje. Pominięto geometrię, materiały, parametry, układ inicjacji, krytyczne sygnały i progi, szczegółową realizację stronglink/weaklink, opcje efektu, podatności oraz treść analiz bezpieczeństwa konkretnej konstrukcji. W opracowaniu niejawnym uprawniony zespół musi uzupełnić właściwe ICD, dane środowiskowe i dowody dla danego projektu. Publiczna monografia wskazuje jedynie klasy interfejsów, odpowiedzialności i dowodu.

11. Kontrola pozytywna i negatywna oraz jawna granica NC2

Kontrola pozytywna oznacza zdolność właściwej władzy do utrzymania kierowania i wykonania prawidłowo uprawnionej decyzji; kontrola negatywna akcentuje zapobieganie działaniu przypadkowemu, niezamierzonemu lub nieuprawnionemu.19 Są to własności systemu obejmującego technikę, łączność, ludzi, procedury i organizację, a nie nazwy pojedynczego zamka lub kodu.

Należy rozdzielić cztery osie. Authorization jest decyzją właściwej władzy. Authentication daje podstawę do uznania informacji za pochodzącą z właściwego źródła i niezmienioną. Custody oznacza odpowiedzialność za kontrolę fizyczną, dostęp i transfer. Accountability zapewnia ciągłość wiedzy o tym, który egzemplarz i zapis znajduje się w czyjej odpowiedzialności. Publiczne informacje o zdolności platformy nie dowodzą żadnej konkretnej sytuacji custody, aktualnej konfiguracji ani decyzji operacyjnej.

Z perspektywy inżynierii wymagania NC2 można jawnie formułować jako integralność, dostępność, autentyczność, jednoznaczność władzy, odporność i kontrolowane zachowanie po utracie pewności. Można także badać, czy architektura ma właścicieli interfejsów i czy utrata jednego źródła nie zmienia nieznanego stanu w dozwolony. Nie należy natomiast agregować publicznych okruchów w mapę technicznej implementacji.

NC2, use control i procedury operacyjne. Pominięto formaty wiadomości, kody, protokoły i środki uwierzytelniania, szczegółową hierarchię uprawnień, sekwencje czynności, czasy, ścieżki podstawowe i zapasowe, tryby utraty łączności, rozmieszczenie ochrony, diagnostykę zabezpieczeń oraz metody ich obejścia. Pominięto też procedury transportu, załadunku, uzbrajania i użycia. Dane te mogą być uzupełnione wyłącznie w uprawnionym, niejawnym systemie przez właściwych właścicieli.

12. Linie bazowe, effectivity i pozytywna identyfikacja

Linia bazowa (baseline) jest zatwierdzonym punktem odniesienia: zestawem wymagań, projektu, produktu lub konfiguracji, względem którego kontroluje się zmianę. Nie oznacza „najnowszych plików w katalogu”. System dual-capable potrzebuje jawnej relacji między bazą wspólną, konwencjonalną i jądrową. Każda ma własne wymagania, wydania, zakres stosowalności i dowody; wspólne elementy są wskazane odwołaniem do kontrolowanej tożsamości.

Pozytywna identyfikacja łączy oznaczenie części, numer seryjny lub partię, blok i modyfikację, zainstalowane opcje, wydanie software'u i firmware'u, zestaw danych, kalibrację, wyposażenie wsparcia oraz obowiązującą dokumentację. Etykieta na obiekcie jest jednym dowodem, nie całością. Musi zgadzać się z zapisami wykonania modyfikacji, ładowania, inspekcji i ograniczeń.

Effectivity ogranicza stosowalność do konkretnych egzemplarzy, partii, bloków, stacji, obiektów, jednostek lub dat. Jeżeli certyfikat mówi „F-35A”, trzeba nadal zapytać: która baza konstrukcyjna, jakie modyfikacje, które oprogramowanie, jaki efektor i jaki rodzaj certyfikacji? Jeżeli odbiorca nie potrafi wykazać, że jego egzemplarz mieści się w zakresie, poprawnym wynikiem jest „status niepotwierdzony”, nie „prawdopodobnie zgodny”.

W praktyce zmiana przechodzi cztery bramy:

identyfikacja → ocena wpływu → wykonanie dowodu → formalna decyzja.

Pierwsza zapobiega pominięciu procesu, druga dobiera zakres regresji, trzecia wytwarza wyniki, czwarta nadaje albo odmawia statusu. Autor modyfikacji nie powinien sam rozstrzygać o braku wpływu, jeśli nie ma właściwej władzy konfiguracyjnej i certyfikacyjnej. Odstępstwo lub waiver musi mieć zakres, termin, środki kompensujące, ryzyko resztkowe i zatwierdzającego; nie przepisuje automatycznie wymagania bazowego.

13. Software, firmware, dane, loadery i cyfrowe zapewnienie

Konfiguracja cyfrowa składa się co najmniej z kodu źródłowego, zależności, środowiska budowania, narzędzi, wynikowego binarium, logiki programowalnej, parametrów, danych misji, oprogramowania testera i zapisów wdrożenia. Ta sama nazwa aplikacji może oznaczać różne buildy; ten sam kod źródłowy z innym kompilatorem lub biblioteką może dać inny produkt; identyczny program z innymi danymi może tworzyć inną konfigurację certyfikacyjną.

FPGA i mikrokod są szczególnie zdradliwe. W eksploatacji zachowują się jak część sprzętu, lecz ich funkcja powstaje w cyfrowym przepływie syntezy i implementacji. DAFI 91-101 wskazuje zmiany software'u i programowalnych układów logicznych jako potencjalnie wpływające na nuclear safety design certification.4 Lokalny podręcznik FPGA trafnie ujmuje ogólny przepływ: specyfikacja, opis i ograniczenia, testbench, synteza, implementacja z analizą czasu, bitstream i badanie sprzętu; jest to wiedza warsztatowa, nie norma wojskowa.20

Loader przenosi pakiet do urządzenia, a verifier ma dostarczyć dowód, co rzeczywiście wdrożono. Argument obejmuje autentyczność źródła, integralność transferu, prawidłową identyfikację celu, odczyt zwrotny lub niezależne potwierdzenie oraz trwały zapis wyniku. Nie istnieje jeden uniwersalny „programator rakietowy” ani „programator nuklearny”: mogą istnieć standardowe interfejsy laboratoryjne, urządzenia produkcyjne oraz specjalne narzędzia programu, każde ze swoim zakresem.

Cyfrowa nić dowodowa (digital thread) powinna połączyć wymaganie, projekt, commit lub wydanie, narzędzia, binarium, urządzenie docelowe, test, niezgodność, decyzję i fielded effectivity. Suma kontrolna potwierdza tożsamość pliku, lecz nie dowodzi poprawności wymagania, niezawodności toolchainu ani właściwego wyboru celu. NNSA opisuje digital assurance jako zarządzanie ryzykiem oprogramowania i nowych technologii w całym przedsiębiorstwie.14

Łańcuch porównawczy: różnica C i N leży wyłącznie w pakiecie danych; hazard powstaje przez pomyłkę pakietu, nieaktualne ograniczenia lub błędne przedstawienie stanu; dowód obejmuje kontrolę wydania, test semantyki, weryfikację załadowanej tożsamości i próbę integracyjną; granica wskazuje kod, dane, platformę, efektor i loader; decyzja/regresja wymaga ponownego sprawdzenia po zmianie parsera, schematu danych, narzędzia albo procedury ładowania, nawet jeśli same wartości danych pozostały bez zmian.

14. GSE, ATE, obiekty, personel, procedury i organizacja

Wyposażenie naziemne (GSE) może przemieszczać, podpierać, zasilać, chłodzić, testować lub komunikować się ze środkiem bojowym. Automatyczne wyposażenie testowe (ATE) pobudza wejścia, mierzy wyjścia i klasyfikuje badany obiekt. Fałszywe zaliczenie może dopuścić wadliwy element; fałszywe odrzucenie może wywołać niepotrzebną ingerencję. Dowód testera musi obejmować jego sprzęt, oprogramowanie, program testowy, adapter, przewody, kalibrację, autotest i granice wykrywalności.

Obiekt nie jest pustym tłem. Dostarcza zasilanie, uziemienie, ochronę odgromową, środowisko, urządzenia dźwigowe, ochronę pożarową i systemy informacyjne. Modernizacja UPS, sterownika dźwigu, wentylacji albo oprogramowania dostępu jest zmianą systemową, jeżeli narusza założenia dowodu. AFI 63-125 i DAFI 91-101 są źródłami normatywnymi USAF dla szerokiego ujęcia wyposażenia i obiektów; nie ustanawiają automatycznie obowiązków polskiego użytkownika.3,4

Personel wnosi kwalifikacje zawodowe, szkolenie na aktualnej konfiguracji, zdolność rozpoznania anomalii i wykonywania kontrolowanej procedury. Organizacja wnosi role, nadzór, obsadę, dane techniczne, raportowanie i uprawnienia. Procedura jest elementem projektu: ma warunki wejścia, role, punkty zatrzymania, kryteria przerwania i postępowanie przy niepewności. Żadna z tych warstw nie powinna bez jawnej decyzji kompensować słabości konstrukcji.

Publiczny two-person concept opisuje wymóg co najmniej dwóch właściwie uprawnionych, certyfikowanych i znających zadanie osób, zdolnych wykryć czynność błędną lub nieuprawnioną.8 Istotą jest niezależność obserwacji, nie sama liczba. Dwie osoby korzystające z tej samej nieaktualnej instrukcji mogą powielić wspólny błąd.

Praktyka programu: certyfikacja operacyjna ocenia zestaw ludzi, procedur, wyposażenia, obiektu i organizacji, nie tylko umiejętność pojedynczego operatora.3 Rekomendacja autora: każda zmiana techniczna powinna sprawdzać skutki szkoleniowe i proceduralne, a każda zmiana procedury — wpływ na założenia analizy technicznej.

15. Argument dowodowy: hazard log, safety case, modele, próby i JTA

Rejestr hazardów wiąże zagrożenie, przyczyny, środki kontroli, dowody, właściciela, ryzyko resztkowe i status. Zamknięty wpis nie musi oznaczać usunięcia hazardu; może oznaczać kontrolę albo świadomą akceptację w określonej konfiguracji. Zmiana wspólnego elementu wymaga odnalezienia wszystkich hazardów, które opierały się na jego zachowaniu.

Ustrukturyzowany argument bezpieczeństwa można zapisać jako:

twierdzenie → strategia uzasadnienia → dowody → założenia → potencjalne podważenia.

Przykład: twierdzenie „interfejs zasilania nie tworzy niedozwolonego stanu w określonej fazie”. Strategia dzieli przypadek na zasilanie platformy, GSE, stany przejściowe i uszkodzenia. Dowody to analiza obwodów, pomiary oraz próby środowiskowe. Założenia dotyczą rewizji sprzętu, wiązki, limitów źródła i konfiguracji obiektu. Podważeniem może być nowa anomalia, wymiana przetwornicy albo odkrycie wspólnego źródła błędu. Certyfikat jest decyzją opartą na takim argumencie, a nie samym argumentem.

Piramida dowodu obejmuje identyfikowalne wymagania, analizy hazardów i zagrożeń, testy komponentów i interfejsów, weryfikację cyfrową, próby naziemne i systemowe, ocenę operacyjną, inspekcje oraz surveillance. Spektakularny test końcowy nie zastępuje warstw, których nie obserwuje. Model pomaga badać przypadki trudne do odtworzenia, lecz musi mieć wersję, domenę walidacji, dane kotwiczące, niepewność i właściciela.

Obiekt reprezentatywny może odtwarzać geometrię, masę, bezwładność, aerodynamikę, interfejs elektryczny, telemetrię albo zachowanie funkcjonalne bez materiału jądrowego. Reprezentatywność jest wektorem, nie etykietą. Macierz wierności powinna dla każdej własności wskazywać: tożsama | reprezentowana | symulowana | niereprezentowana, oraz wyjaśniać wpływ na wniosek.

NNSA opisuje Joint Test Assembly jako reprezentatywny zestaw bez materiału jądrowego, używany w realistycznych testach z pociskiem lub bombą i środkiem przenoszenia.11 JTA jest instrumentem dowodu, nie „atrapą”, ale nie reprezentuje automatycznie wszystkich własności egzemplarza bojowego. To właśnie zakres macierzy wierności wyznacza granicę wniosku.

16. Kwalifikacja, certyfikacja, surveillance, zmiana i utrata statusu

Kwalifikacja odpowiada, czy skonfigurowany wyrób spełnił zdefiniowane wymagania techniczne. Certyfikacja jest decyzją właściwej władzy odnoszącą dowody do większej granicy systemu i określonej misji. Komponent może być kwalifikowany, lecz system niecertyfikowany; projekt może być certyfikowany, lecz jednostka jeszcze niezdolna operacyjnie.

W praktyce USAF należy rozdzielić co najmniej certyfikację projektu, kompatybilności, bezpieczeństwa projektu i certyfikację operacyjną.3,4,6 Ich nazwy i relacje są specyficzne dla regulacji. Certification Requirements Plan określa wymagane analizy, próby, odpowiedzialności i decyzje, a wykaz statusowy identyfikuje zatwierdzone elementy.3 Nie należy przenosić tej terminologii jako rzekomo jednolitego standardu NATO.

Fielding przekazuje nie tylko produkt, ale także części zamienne, wyposażenie, software, dane, dokumentację, szkolenie, obiekty i zapisy statusu. Sustainment utrzymuje argument przez przeglądy, surveillance, kalibrację, ocenę starzenia, zarządzanie nieciągłością dostaw, aktualizacje cyfrowe i powtarzane oceny organizacji. NNSA podkreśla powiązanie badań laboratoryjnych, komponentowych, systemowych i lotniczych z surveillance oraz utrzymaniem stockpile.11,12

Status może zostać zawieszony po nieautoryzowanej modyfikacji, utracie zapisu, przekroczeniu kalibracji, anomalii, zmianie obiektu, nieważnej procedurze, luce szkoleniowej albo wykryciu problemu wspólnej partii. „Sprzęt działa” i „BIT nie zgłasza błędu” nie wystarczają do powrotu. Trzeba usunąć przyczynę, potwierdzić konfigurację, wykonać właściwą regresję i uzyskać decyzję uprawnionego organu.

Starzenie obejmuje materiały, uszczelnienia, kable, baterie, pamięci, komponenty elektroniczne, powłoki, złącza i budynki, ale również wiedzę, toolchain oraz dostępność specjalistów. Zamiana części z powodu DMSMS może zachować kształt i podstawową funkcję, a zmienić timing, emisję, tryb uszkodzenia, pochodzenie cyfrowe lub tempo starzenia. W systemie dual-capable taka zmiana przechodzi pełny ciąg: identyfikacja różnicy, hazard wspólności, dowód w obu gałęziach, zakres nowej decyzji i plan regresji na przyszłość.

17. Trzy studia porównawcze

Poniższe studia stosują ten sam formularz, aby nie zamienić historii w katalog nazw. Każde formułuje pytanie, granicę systemu, datowaną konfigurację, konkurencyjne interpretacje, źródła, niepewność, wniosek, decyzję i warunek regresji. Pierwsze rekonstruuje publiczny łańcuch dowodowy współczesnego programu; drugie porównuje dwie historyczne konfiguracje jednego systemu; trzecie pokazuje, że wspólna platforma i rodowód nie tworzą jednego wariantu uzbrojenia.

17.1. F-35A/B61-12: od obiektu JTA do ograniczonego twierdzenia o statusie

Pytanie. Co rzeczywiście można stwierdzić na podstawie publicznych informacji o próbach i certyfikacji F-35A z B61-12, a czego nie wolno dopowiedzieć o całej flocie, jednostkach i bieżącej konfiguracji?

Granica systemu. Analiza obejmuje wariant F-35A, jego sprzęt i oprogramowanie integracyjne, reprezentatywny obiekt B61-12 JTA, interfejs platforma–bomba, naziemne wyposażenie prób, dane pomiarowe oraz role F-35 Joint Program Office, USAF, DoD i DOE/NNSA. Nie obejmuje F-35B ani F-35C, konfiguracji innych efektorów, statusu poszczególnych baz, chronionych procedur i aktualnego ładunku samolotu.

Datowana konfiguracja i oś dowodu. 21 września 2021 r. dwa F-35A wykonały Full Weapon System Demonstration, uwalniając dwa B61-12 JTA. Komunikat AFNWC z 4 października 2021 r. nazywał to końcową próbą lotniczą początkowej certyfikacji projektu, podkreślał dalszą wspólną analizę danych przez DoD i DOE oraz wyraźnie rozdzielał przyszłą certyfikację operacyjną.16 Osobny komunikat Air Force Materiel Command z 17 lutego 2022 r. podał, że zespół integracyjny wykonał w 2020 r. dziewięć prób naziemnych i dziewiętnaście lotniczych, gromadząc 492 punkty istotne dla certyfikacji.21

W 2024 r. DoD Inspector General zbadał certyfikację projektu F-15E, B-2 i F-35A do przenoszenia B61-12 i stwierdził zgodność procesu USAF z wymaganiami DoD i Air Force.22 Audyt wskazał jednak, że zasady niezależnej weryfikacji i walidacji nie były dostatecznie szczegółowe, co tworzyło ryzyko błędnej certyfikacji, i zalecił aktualizację AFMAN 91-119. Publiczna wersja raportu jest zredagowana, dlatego potwierdza zarazem wynik procesu oraz materialne zastrzeżenie do jego dokumentacji, lecz nie ujawnia pełnej bazy konfiguracji. NNSA podała 7 stycznia 2025 r., że ostatnia jednostka produkcyjna programu B61-12 została ukończona 18 grudnia 2024 r.23 Jest to kamień milowy produkcji efektora, nie nowy dowód aktualnego statusu każdej platformy.

Konkurencyjne interpretacje. Interpretacja szeroka brzmi: „F-35 jest certyfikowany do B61-12”. Jest zbyt szeroka, bo zaciera wariant, zakres sztuk i różnicę między certyfikacją projektu a zdolnością organizacji. Interpretacja nadmiernie wąska brzmi: „próba JTA niczego nie dowodzi, bo nie użyto egzemplarza bojowego”. Jest również błędna: kontrolowany JTA służy właśnie do wytworzenia reprezentatywnego dowodu bez materiału jądrowego, a wynik staje się częścią szerszego pakietu.11,16 Interpretacja właściwa: publiczny łańcuch potwierdza przejście programu F-35A/B61-12 od rozbudowanych prób naziemnych i lotniczych, przez FWSD i analizę danych, do formalnie skontrolowanej certyfikacji projektu; nie identyfikuje aktualnego stanu każdej sztuki ani gotowości każdej jednostki.

Ciąg techniczny. Różnica konfiguracji: F-35A w konfiguracji konwencjonalnej oraz F-35A z wyposażeniem i oprogramowaniem wymaganym dla B61-12 nie są tym samym rekordem. Interfejs/hazard: integracja dotyka fizycznego przenoszenia, wymiany danych, zachowania oprogramowania, środowiska i separacji, a błędne dziedziczenie statusu mogłoby objąć niezmodyfikowany egzemplarz. Dowód: próby naziemne, lotnicze, FWSD z JTA, macierz wierności, analiza DoD–DOE oraz kontrolowany pakiet certyfikacyjny. Granica certyfikatu: F-35A/B61-12 w zatwierdzonej bazie projektu; nie cała rodzina F-35 i nie automatycznie organizacja. Decyzja i regresja: certyfikacja projektu dopuszcza określony zakres; późniejsze zmiany sprzętu, software'u, danych, efektora lub wyposażenia wsparcia wymagają oceny wpływu i dobranej regresji.

Źródła i niepewność. Materiały AFNWC/AFMC i DoD IG są datowane i dotyczą nazwanej konfiguracji. Ograniczeniem jest redakcja szczegółów oraz brak publicznej pełnej listy effectivity. Komunikaty prasowe upraszczają język. Dlatego nie wolno z nich wyprowadzać liczby lub lokalizacji gotowych samolotów, aktualnych wydań oprogramowania ani chronionych procedur.

Wniosek, decyzja, warunek regresji. Wniosek analityczny: osiągnięcie FWSD było mocnym, lecz pośrednim kamieniem milowym; formalny status wynikał z późniejszej oceny całego pakietu. Decyzję o certyfikacji podejmuje właściwa władza, nie autor opisu próby. Regresję uruchamia zmiana któregokolwiek kontrolowanego założenia — platformy, stacji, oprogramowania, danych, reprezentatywności JTA, wyposażenia albo procedury — oraz nowa anomalia podważająca dawny dowód.

17.2. Nike Hercules: wspólny system, odmienne konfiguracje historyczne

Pytanie. Czy zdolność Nike Hercules do użycia konwencjonalnej albo jądrowej części bojowej oznaczała prostą wymienność ładunków w tej samej konfiguracji, czy raczej dwie kontrolowane konfiguracje w szerszym systemie naziemnym?

Granica systemu. Obejmuje pocisk MIM-14 Nike Hercules na poziomie rodziny, część bojową wyłącznie jako klasę konwencjonalną lub jądrową, radary śledzenia celu i pocisku, naziemny komputer kierowania, łącze komend, wyrzutnię, obiekty baterii, wyposażenie obsługowe i załogę. Nie obejmuje konstrukcji obu części bojowych, parametrów inicjacji, procedur ich obsługi ani odtwarzania algorytmów bojowych.

Datowana konfiguracja. Army Redstone Arsenal podaje, że rozwój Nike B/Hercules zatwierdzono w lipcu 1953 r. po uznaniu, iż dostosowanie Nike Ajax do roli jądrowej jest niepraktyczne; system miał wykorzystywać znaczną część infrastruktury Nike Ajax, lecz otrzymał większy pocisk i rozszerzone elementy naziemne.24 Pierwsza bateria Hercules weszła do aktywnej obrony rejonu Chicago w czerwcu 1958 r., a amerykańskie rozmieszczenie krajowe zakończono w 1974 r.24,25 Smithsonian opisuje Nike Hercules jako pocisk używany w U.S. Army w latach 1958–1974, dostępny z konwencjonalną albo jądrową częścią bojową.26

Te fakty określają rodzinę i epokę, ale nie jedną niezmienną bazę przez szesnaście lat. W systemie analogowo-elektromechanicznym znaczna część funkcji naprowadzania pozostawała na ziemi: radar śledził cel i pocisk, a komputer naziemny wytwarzał komendy.27 Konfiguracja obejmowała zatem baterię, nie tylko pocisk. Modernizacje radarów, urządzeń przeciwzakłóceniowych, systemów koordynacji i procedur tworzyły effectivity historyczne, którego nie wolno spłaszczać.

Konkurencyjne interpretacje. Pierwsza mówi: „ten sam MIM-14 przyjmował dwa ładunki, więc był jednym przełączalnym produktem”. To utożsamia fizyczną rodzinę z zatwierdzoną konfiguracją. Druga mówi: „wariant jądrowy był całkowicie odrębnym systemem”. To ignoruje wspólną rakietę, system komendowy i infrastrukturę. Lepsza interpretacja traktuje Hercules jako wspólną architekturę z rozgałęzieniem konfiguracji części bojowej, dowodu, procedur, wyposażenia i odpowiedzialności.

Ciąg techniczny. Różnica konfiguracji: klasa części bojowej zmienia wymagany efekt, interfejs funkcjonalny, bezpieczeństwo i administrację statusu. Interfejs/hazard: wspólny korpus, system naziemny i łącze komend mogły zapewniać zgodność tylko wtedy, gdy właściwa konfiguracja pocisku i baterii była poprawnie zidentyfikowana; pomylenie fizycznej wymienności z dopuszczeniem byłoby błędem systemowym. Dowód: w realiach epoki — kontrolowane rysunki i specyfikacje, próby pocisku i systemu, odbiory partii, sprawdzenia baterii, kwalifikacja załóg oraz decyzje wojskowe. Granica certyfikatu: określony wariant i partia pocisku, część bojowa, rewizja wyposażenia naziemnego, bateria, dokumentacja i czas. Decyzja/regresja: modernizacja radaru lub komputera, zmiana pocisku, części bojowej, obiektu bądź procedury wymagała ponownej oceny tych funkcji, których dotyczyła.

Niepewność. Publiczne historie Army i Smithsonian potwierdzają dwie klasy części bojowych oraz systemowy rodowód, ale nie dają pełnej macierzy konfiguracji dla wszystkich lat i użytkowników. Część dokumentacji historycznej jest skrótowa, część pozostaje zredagowana, a oznaczenia zmieniały się w czasie. Wniosku nie wolno więc rozciągać na wszystkie państwa i okresy. Monografia świadomie nie podaje parametrów części bojowych ani procedur.

Wniosek, decyzja, warunek regresji. Nike Hercules pokazuje, że dual-capable istniało przed cyfrowymi loaderami: konfigurację utrzymywały oznaczenia, dokumentacja, urządzenia naziemne, przeszkolenie i kontrola organizacyjna. Właściwa decyzja historyczna dotyczyła gotowości konkretnej baterii i konfiguracji, nie abstrakcyjnego „kształtu MIM-14”. Warunkiem regresji była każda zmiana wspólnego toru kierowania lub unikalnego toru części bojowej, a współczesny badacz powinien ponownie otworzyć źródła po zmianie daty, wariantu lub użytkownika.

17.3. B-52H oraz AGM-86B wobec AGM-86C/D: rodzina nie jest konfiguracją

Pytanie. Czy wspólna nazwa AGM-86 i wspólna platforma B-52H uzasadniają opisanie AGM-86B/C/D jako jednego dual-capable pocisku, czy trzeba rozdzielić jądrowy ALCM od konwencjonalnych CALCM?

Granica systemu. Analiza obejmuje B-52H jako wspólną platformę, rodzinę AGM-86, funkcjonalne różnice części bojowej i nawigacji podane oficjalnie, integrację z wyrzutnikiem oraz daty wejścia i wycofania wariantów. Nie obejmuje danych planowania misji, bibliotek danych, dokładności, odporności ani procedur użycia.

Datowana konfiguracja. Oficjalna karta USAF rozróżnia AGM-86B ALCM z ładunkiem jądrowym i nawigacją bezwładnościową wspomaganą dopasowaniem rzeźby terenu od AGM-86C z konwencjonalnym ładunkiem odłamkowo-burzącym oraz AGM-86D z konwencjonalną częścią penetrującą; C/D używały nawigacji bezwładnościowej wspomaganej GPS.28 AGM-86B wszedł do służby w grudniu 1982 r., C w styczniu 1991 r., a D w listopadzie 2001 r. W czerwcu 1986 r. rozpoczęto przekształcanie ograniczonej liczby B w wariant C; późniejsze konwersje i modernizacje doprowadziły do osobnych konfiguracji C oraz D.28

B-52H pozostawał platformą zdolną do przenoszenia uzbrojenia jądrowego i konwencjonalnego, a oficjalna karta podawała integrację do dwudziestu AGM-86 na wyrzutniku wewnętrznym i pylonach.28,29 W listopadzie 2019 r. USAF zdemontował ostatni pakiet CALCM w ramach wycofania systemu konwencjonalnego; AGM-86C/D utraciły więc operacyjny status, mimo zachowania rodziny, platformy i podobieństwa zewnętrznego.30

Konkurencyjne interpretacje. Interpretacja „AGM-86 był dual-capable” jest dopuszczalna wyłącznie jako skrót historii rodziny, nie opis pojedynczej bazy wyrobu. Interpretacja „wymieniono tylko ładunek” jest fałszywa, ponieważ źródło USAF jawnie wskazuje również zmianę systemu nawigacji oraz późniejsze bloki i wariant D.28 Interpretacja właściwa: dual-capable była szersza zdolność B-52H i przedsiębiorstwa uzbrojenia, natomiast pociski miały rozdzielone oznaczenia, funkcje, konfiguracje i cykle życia.

Ciąg techniczny. Różnica konfiguracji: B niesie inną klasę efektora i inną architekturę aktualizacji nawigacji niż C/D; C i D różnią się także klasą konwencjonalnej części bojowej. Interfejs/hazard: wspólne gabaryty i integracja z B-52H mogą ukrywać różnice software'u, danych, testów, obsługi i skutków masowych. Dowód: osobne specyfikacje wariantów, kwalifikacje nawigacji i części bojowej, próby integracyjne z B-52H, ewidencja konwersji oraz formalny status floty. Granica certyfikatu: konkretne oznaczenie B, C lub D, blok, wyrzutnik, konfiguracja B-52H i data. Decyzja/regresja: dopuszczenie jednego wariantu nie przechodzi na drugi; konwersja B→C tworzy nową tożsamość i wymaga nowego pakietu dowodów, a wycofanie C/D w 2019 r. zmienia odpowiedź mimo niezmienionej nazwy rodziny.

Źródła i niepewność. Karta USAF i rekord muzeum jednoznacznie rozdzielają warianty.28,31 Są jednak materiałami popularyzacyjnymi, a część pól kart ma datę „current as of 2019”; nie należy używać dawnych liczb inwentarzowych jako stanu obecnego. Boeing potwierdza rodowód konwersji z perspektywy producenta własnego produktu.32

Wniosek, decyzja, warunek regresji. Oznaczenie po ukośniku jest sygnałem do rozdzielenia rekordów, nie podstawą scalenia danych. Decyzję o statusie trzeba odnosić do wariantu i daty: w 2019 r. B-52H mógł pozostać platformą dual-capable, gdy konwencjonalne AGM-86C/D zostały już wycofane. Regresję analityczną uruchamia nowe oficjalne źródło o statusie AGM-86B, zmianie konfiguracji B-52H, następcy albo korekcie daty; nie wolno przenosić parametrów C/D na B ani odwrotnie.

18. Synteza dla NATO i Polski, metoda OSINT oraz decyzja końcowa

NATO opisuje dual-capable aircraft jako samoloty udostępniane dobrowolnie przez część sojuszników, przeznaczone równocześnie do ról konwencjonalnych i — po odpowiednim wyposażeniu oraz szkoleniu — jądrowych. Oficjalna polityka rozdziela polityczną kontrolę Sojuszu, amerykańską custody nad bronią USA, wkład DCA innych państw i konwencjonalne wsparcie misji.17 Są to różne role. Udział w Nuclear Planning Group, ćwiczeniu lub conventional support nie dowodzi posiadania broni, statusu DCA konkretnej sztuki ani bieżącej konfiguracji.

Nie ma podstaw, by amerykańskie nazwy certyfikatów i formularzy przedstawiać jako jeden obowiązujący w NATO proces techniczny. Oficjalne dokumenty USA są wartościowym studium dojrzałego podziału projektu, kompatybilności, operacji i utrzymania, ale polski program musi oprzeć wymagania na właściwych zobowiązaniach sojuszniczych, prawie, krajowych władzach zdatności i bezpieczeństwa oraz uzgodnieniach programu. Rekomendacja autora brzmi: przenosić logikę pytań, nie nazwy instytucji.

OSINT potrafi potwierdzić zamiar programu, nazwany wariant, jawną próbę, datowaną decyzję, historyczny cykl życia oraz treść publicznej normy. Zwykle nie potwierdza aktualnego ładunku, gotowości konkretnego egzemplarza, chronionej konfiguracji, procedury ani lokalnego systemu ochrony. Poprawny rekord źródłowy zawiera instytucję, tytuł, datę wydania lub aktualizacji, datę dostępu, wariant, lokalizator i dokładny zakres twierdzenia. Pochodzenie źródła nie przesądza automatycznie o aktualności: archiwum producenta może być świetnym źródłem historycznym i złym źródłem bieżącego statusu.

Skala wnioskowania wygląda następująco:

możliwość fizyczna < zamiar programu < próba projektu < formalna certyfikacja projektu < certyfikacja operacyjna < przydział < konfiguracja bieżąca.

Analityk nie przeskakuje szczebla bez nowego dowodu. Gdy dwa źródła mówią inaczej, najpierw sprawdza wariant, datę, definicję statusu i zakres organu. Nie „uśrednia” sprzeczności. Informacje z wielu wariantów wolno zestawić porównawczo, lecz nie wolno skleić ich w pozorną specyfikację jednego wyrobu.

Przed sformułowaniem decyzji należy odpowiedzieć na dziewięć pytań:

  1. Jaki dokładnie system, wariant, blok, egzemplarz lub partia są przedmiotem twierdzenia?
  2. Jak rozdzielono bazę wspólną, konwencjonalną i jądrową?
  3. Która różnica tworzy interfejs, hazard lub wspólną przyczynę?
  4. Jakie wymaganie jest normatywne, co jest praktyką programu, co faktem publicznym, a co rekomendacją?
  5. Czy obiekt próby reprezentował właściwe masy, środowiska, funkcje i oprogramowanie; czego nie reprezentował?
  6. Jaka jest dziedzina stosowalności analizy, modelu, testu i certyfikatu?
  7. Kto jest właścicielem wymagania, konfiguracji, dowodu, ryzyka i decyzji?
  8. Jak positive identification łączy sprzęt, software, dane, GSE/ATE, obiekt, procedurę i organizację?
  9. Jaka zmiana lub anomalia uruchamia regresję, rekwalifikację, ponowną decyzję albo zawieszenie statusu?

Trzy studia prowadzą do wspólnego wyniku. F-35A/B61-12 pokazuje, że reprezentatywna demonstracja jest częścią argumentu, a nie synonimem całej certyfikacji i gotowości floty. Nike Hercules pokazuje, że jeszcze w epoce analogowej konfiguracja obejmowała baterię, naziemny tor kierowania, dokumentację i organizację, a nie sam korpus pocisku. B-52H/AGM-86 pokazuje, że wspólna platforma może być dual-capable, podczas gdy warianty pocisku pozostają rozdzielone funkcją, nawigacją, statusem i cyklem życia.

Ostateczna decyzja inżynierska nie odpowiada tylko „czy działa?”. Powinna brzmieć: „ta dokładnie zidentyfikowana konfiguracja, w tym środowisku i zakresie, na podstawie tych dowodów, decyzją tej władzy ma taki status do chwili wystąpienia określonego zdarzenia regresyjnego”. Właśnie wtedy wspólność obniża koszt bez zamiany podobieństwa w niekontrolowane ryzyko — i właśnie wtedy teza o dual-capable jako relacji między dwiema bazami systemu zostaje dowiedziona.

Źródła

Klasy wiarygodności: A — oficjalny producent; B — instytucja państwowa, wojskowa lub NATO; C — muzeum państwowe; D — uczelnia lub laboratorium państwowe; E — odtajniona albo urzędowa historia techniczna; F — literatura techniczna lub monografia; G — wiarygodne OSINT; H — źródło użyte wyłącznie jako finder.