FDIR i health management elektroniki pokładowej

FDIR — fault detection, isolation and recovery, czyli wykrywanie, izolacja i obsługa uszkodzeń — jest warstwą, która rozpoznaje odchylenie od zamierzonego działania, ogranicza jego propagację i doprowadza system do stanu spełniającego aktualne priorytety. Zarządzanie stanem technicznym poszerza tę pętlę o ocenę jakości danych, trendy, obsługę naziemną i wiedzę utrzymywaną przez cały cykl życia. Nie jest to jeden algorytm ani ekran alarmów, lecz system inżynierski obejmujący sensory, elektronikę, FPGA, oprogramowanie, zasilanie, magistrale, mechanizmy wykonawcze, telemetrię i procedury.

Najważniejsze pytanie brzmi nie „ile monitorów dodano?”, ale „czy po wiarygodnym symptomie system w wymaganym czasie podejmie właściwą, potwierdzoną odpowiedź, bez tworzenia większego ryzyka?”. NASA ujmuje zarządzanie uszkodzeniami (fault management) zarazem jako działalność inżynierii systemów i jako podsystem podlegający projektowaniu, integracji, testowaniu oraz eksploatacji.¹ Ta podwójna natura tłumaczy, dlaczego lokalnie poprawny układ nadzorczy nie stanowi jeszcze skutecznego FDIR.

Zakres, terminologia i rodzaj twierdzeń

Artykuł przedstawia metody ogólne dla elektroniki pokładowej i systemów wysoko niezawodnych. Nie opisuje progów, masek, czasów reakcji, komend, układów wyprowadzeń, drzew odpowiedzi ani kolejności rekonfiguracji konkretnego współczesnego uzbrojenia. Takie dane należą do kontrolowanej dokumentacji konfiguracji i procedur bezpieczeństwa.

W tekście trzeba rozróżniać trzy warstwy wypowiedzi. Wymaganiem normatywnym nazywa się wyłącznie treść, którą wskazany standard rzeczywiście formułuje; przy takim zdaniu podano przypis i, gdy ma to znaczenie, status dokumentu. Zalecenie autorskie jest propozycją organizacji projektu lub dowodu i nie jest przypisywane instytucji normalizacyjnej. Synteza międzydomenowa łączy praktyki zaczerpnięte z techniki kosmicznej, lotniczej, niezawodnościowej i wbudowanej; pokazuje użyteczną analogię, ale sama nie ustanawia wymagania dla pocisku. Jeżeli nie zaznaczono inaczej, zdania zalecające w tym artykule należą do dwóch ostatnich kategorii.

Ostrzeżenie EOD: nieznanego urządzenia nie wolno zasilać, resetować, przełączać trybów, zwierać wejść, wstrzykiwać sygnałów ani podłączać do interfejsu diagnostycznego w celu „sprawdzenia FDIR”. Odpowiedź automatyczna może uruchomić napęd, aktuator, zapłonnik, źródło wysokiej energii lub inną funkcję niebezpieczną. Należy odizolować obiekt i powiadomić właściwe służby; identyfikacja stanu, diagnostyka i neutralizacja należą do uprawnionego personelu, a w przypadku amunicji lub nieznanego uzbrojenia — do EOD.

Uszkodzenie, błąd stanu i utrata usługi

Fault (uszkodzenie lub zakłócenie) jest przyczyną fizyczną, projektową albo środowiskowym zakłóceniem, które może wywołać niepoprawne działanie. Error (błąd stanu) oznacza niepoprawny stan informacji powstały po uaktywnieniu uszkodzenia. Failure (utrata usługi) zachodzi wtedy, gdy system przestaje świadczyć wymaganą usługę zgodnie z jej wymaganiami. Przykładowo defekt komórki pamięci albo zakłócenie radiacyjne jest fault, zmieniona wartość bitu — error, a niewykonanie zależnej funkcji w wymagany sposób — failure. Ten sam fault nie musi wywołać failure, jeżeli błąd stanu zostanie zamaskowany lub skorygowany.

Łańcuch nie zawsze jest liniowy. Uszkodzenie może pozostawać utajone, dopóki określona ścieżka nie zostanie użyta. Błąd stanu może zostać zamaskowany przez redundancję albo nadpisany, zanim wpłynie na wyjście. Utrata usługi może mieć wiele przyczyn, również błędne wymaganie, konfigurację, interakcję oprogramowania ze sprzętem lub niezamierzoną reakcję samego FDIR.

Anomalia (anomaly) to obserwacja różniąca się od oczekiwania, niekoniecznie potwierdzona awaria. Może pochodzić z rzeczywistego uszkodzenia, przejściowego oddziaływania środowiska, wadliwej jakości danych, niepełnego modelu, błędu testu albo legalnego, lecz rzadkiego stanu pracy. Wczesne nazwanie jej „awarią czujnika” zawęża diagnozę przed zebraniem dowodu.

Off-nominal opisuje działanie poza nominalnym scenariuszem, ale nadal mogące mieścić się w zaprojektowanym obszarze. Tryb degradacyjny, chwilowe przełączenie źródła zegara czy ograniczenie obciążenia mogą być prawidłową odpowiedzią. FDIR musi rozróżniać stan niepożądany od zaplanowanego sposobu zachowania po zakłóceniu.

Symptom jest obserwowalnym śladem: rozbieżnością kanałów, przekroczeniem zakresu, brakiem świeżych danych, nieoczekiwanym resetem albo zmianą tempa narastania. Przyczyna (cause) wyjaśnia jego powstanie, a skutek (effect) opisuje następstwo na analizowanym poziomie. Ten sam symptom może mieć kilka przyczyn, a jedna przyczyna może tworzyć wiele symptomów.

Projekt monitorów wychodzący wyłącznie od listy komponentów często pomija skutki niezależne od przewidzianej przyczyny. Uzupełnia się go analizą przestrzeni sukcesu (success space): obserwacją, czy najważniejsze cele nadal są osiągane. MSFC zaleca warstwę ochronną opartą również na wykrywaniu naruszenia celów systemu, ponieważ wszystkich mechanizmów awarii nie można przewidzieć.⁵

Detekcja

Detekcja (detection) odpowiada na pytanie, czy istnieje wystarczający dowód odchylenia. Nie musi znać przyczyny. Monitor zakresu może wykryć niewiarygodną wartość, kontrola świeżości — zatrzymany przepływ danych, a monitor modelowy — brak zgodności między przewidywanym i obserwowanym zachowaniem.

Wynik detekcji powinien zawierać więcej niż wartość logiczną. Przydatne pola to stan nie oceniono, ważny, podejrzany, niezdatny, pewność, czas pierwszej obserwacji, czas potwierdzenia, liczba wystąpień, kontekst trybu oraz identyfikator danych wejściowych. Bez nich kolejna warstwa nie potrafi odróżnić braku awarii od braku zdolności monitorowania.

Izolacja

Izolacja (isolation) zawęża uszkodzenie do elementu, funkcji, ścieżki albo obszaru ograniczania propagacji uszkodzeń (fault containment region, FCR). Nie zawsze kończy się wskazaniem pojedynczego komponentu. Jeśli dostępne symptomy nie rozróżniają dwóch przyczyn, uczciwym wynikiem jest grupa niejednoznaczności. Fałszywa precyzja prowadzi do przełączenia zdrowego zasobu i utraty rzeczywistej redundancji.

Granularność izolacji wynika z celu odpowiedzi. Do odłączenia całej gałęzi zasilania wystarczy wiarygodnie wskazać gałąź; do wymiany modułu podczas obsługi potrzebna jest dokładniejsza lokalizacja. Wymaganie „izoluj uszkodzenie” jest niekompletne bez poziomu, czasu, warunków i dopuszczalnej niejednoznaczności.

Identyfikacja (identification) może klasyfikować typ uszkodzenia, a diagnoza (diagnosis) tworzy szersze wyjaśnienie przyczyny, propagacji i stanu pozostałych funkcji. W systemie autonomicznym szybka izolacja do obszaru bywa ważniejsza niż pełna diagnoza. Szczegółową analizę przyczyny źródłowej można wykonać później z telemetrii, jeśli natychmiastowa ochrona nie zależy od wyniku.

Diagnoza wykorzystuje relacje przyczynowe, czas, kolejność zdarzeń, zgodność wielu sensorów i rezultaty aktywnych testów. Sam korelat czasowy nie jest dowodem przyczynowości: wspólny zanik zasilania może jednocześnie wywołać błędy kilku magistral, a pierwszy zapisany alarm może być tylko monitorem o najmniejszym opóźnieniu.

Odzyskiwanie i dostosowanie

Odzyskiwanie (recovery) próbuje przywrócić funkcję albo osiągnąć zaakceptowany stan po awarii. Dostosowanie (accommodation) oznacza dopasowanie systemu do obecnego ograniczenia: zmianę źródła danych, obniżenie wydajności, przejście do innego trybu lub dalszą pracę z mniejszą liczbą funkcji. Nie każda odpowiedź ma prowadzić do konfiguracji nominalnej.

Odpowiedź musi być proporcjonalna. Filtracja pojedynczej próbki jest mniej inwazyjna niż reset, reset lokalny mniej inwazyjny niż restart komputera, a rekonfiguracja jednego kanału mniej inwazyjna niż przejście całego systemu do stanu bezpiecznego. ECSS opisuje właśnie taki wachlarz: od filtrowania błędnych danych przez lokalną i systemową rekonfigurację po zmianę trybu lub restart.⁶

Ochrona przed skutkami uszkodzeń (fault protection) skupia się na celach i zasobach, natomiast doprowadzanie do stanu bezpiecznego (safing) ogranicza najważniejsze zagrożenia i kontroluje energię, zachowując — gdy to możliwe — zdolność dalszej diagnozy lub interwencji. Stan bezpieczny nie jest uniwersalnym „wszystko wyłącz”: zależy od zagrożeń, energii, termiki, łączności i możliwości odtworzenia.

Stan bezpieczny powinien być zdefiniowany funkcjonalnie: które cele są chronione, jakie zasoby mają pozostać aktywne, przez jaki czas i po czym rozpoznaje się osiągnięcie stanu. Samo wysłanie komendy przejścia nie jest dowodem. FDIR potrzebuje obserwacji potwierdzającej wykonanie lub wykrywającej nieudaną odpowiedź.

Pełna pętla FDIR składa się z odrębnych twierdzeń. Można poprawnie wykryć symptom, a błędnie wybrać przyczynę; można trafnie odizolować obszar, lecz nie potwierdzić wykonania odpowiedzi. Macierz dowodowa zapobiega zaliczeniu całej funkcji na podstawie jednego alarmu lub udanego resetu.

Twierdzenie pętli FDIR	Pytanie rozstrzygające	Podstawa analityczna	Dowód weryfikacyjny	Stan, który trzeba zachować w danych
symptom jest wykrywany	czy monitor widzi odchylenie, gdy jego dane i funkcja są dostępne?	związek skutku z obserwowalną wielkością oraz analiza jakości danych	próby nominalne, graniczne i bezpieczne wstrzyknięcie reprezentatywnego błędu	tryb, ważność danych, wersja monitora i czas obserwacji
przyczyna jest izolowana z właściwą dokładnością	czy dostępne symptomy rozróżniają kandydatów potrzebnych do decyzji?	mapa przyczynowa, FMEA/FTA i jawna grupa niejednoznaczności	scenariusze z podobnymi symptomami i niezależne kryterium oceny	kandydaci, pewność, kolejność zdarzeń i utracona obserwowalność
odpowiedź jest proporcjonalna do celu	czy działanie ogranicza skutek bez tworzenia większego zagrożenia?	analiza zagrożeń, priorytetów, zależności i wspólnych przyczyn	test zamkniętej pętli w reprezentatywnym stanie	władza decyzji, wybrana akcja, stan zasobów i ograniczenia
polecona akcja została wykonana	czy skutek fizyczny odpowiada poleceniu, a nie tylko zapisowi komendy?	model polecenie–odpowiedź i możliwe uszkodzenia aktuatora lub toru	niezależna obserwacja odpowiedzi oraz próba braku wykonania	polecenie, potwierdzenie, czas, sprzężenie zwrotne i wynik
system pozostaje w stabilnym stanie bezpiecznym lub zdegradowanym	czy stan można utrzymać przy dostępnej energii, termice i łączności?	analiza zasobów, propagacji i kolejnego uszkodzenia	długotrwała próba stanu oraz przejść granicznych	aktywne funkcje, blokady, pozostałe rezerwy i warunki wyjścia
brak alarmu ma znaczenie dowodowe	czy monitor był uruchomiony, właściwy dla trybu i sam zdrowy?	model pokrycia z jawnym mianownikiem oraz zależności monitora	test utraty monitora, danych, czasu i zasilania	dostępność monitora, wiek danych, pokrycie i konfiguracja

Dalszy argument przechodzi przez te sześć twierdzeń, a techniki są grupowane według roli w dowodzie. Cele, fazy i analiza przyczyn wyznaczają, co ma zostać wykryte i odizolowane. Obserwowalność, kwalifikacja danych i fuzja dowodzą dwóch pierwszych twierdzeń. Arbitraż i architektura odpowiedzi uzasadniają proporcjonalność działania, natomiast rekonfiguracja i niezależne sprzężenie zwrotne — jego wykonanie oraz trwałość. BIT, testy i zarządzanie cyklem życia ustalają wreszcie, kiedy brak alarmu ma jakąkolwiek wartość dowodową.

Zarządzanie stanem technicznym

Zarządzanie stanem technicznym (health management) obejmuje bieżący stan, historię, degradację i zdolność do dalszego działania. Łączy FDIR z utrzymaniem, analizą trendów, logistyką, przeglądami i konfiguracją. Jego produktem nie jest tylko alarm, lecz spójna ocena: co wiadomo, z jaką pewnością, w jakim trybie, na podstawie których danych i jakie ograniczenia pozostają.

W warstwie operacyjnej zarządzanie stanem technicznym wspiera decyzję „kontynuować, ograniczyć, przełączyć, odłożyć czy przerwać”. W warstwie cyklu życia pozwala znaleźć powtarzalne anomalie, starzenie, różnice partii i skutki zmian. Aktywny NASA-STD-8729.1A wiąże niezawodność i podatność obsługową z projektowaniem, oceną oraz eksploatacją całego systemu.⁸

PHM: od wskaźnika degradacji do korekty modelu

Prognostyka i zarządzanie stanem technicznym (Prognostics and Health Management, PHM) próbuje nie tylko wykryć istniejące uszkodzenie, lecz oszacować trend i pozostały czas lub zapas użyteczności. Pełny ciąg przyczynowy zaczyna się od obserwowalnego wskaźnika degradacji, którego związek z mechanizmem starzenia jest uzasadniony metrologicznie. Następnie model degradacji przelicza historię wskaźnika na przewidywany rozwój stanu; jego założenia obejmują zakres środowiska, obciążenia, populację, konfigurację i mechanizm fizyczny. Model zwraca nie tylko estymatę pozostałego okresu zdatności (remaining useful life, RUL), lecz także niepewność RUL i informację, kiedy dane znalazły się poza zakresem walidacji.

Dopiero taki wynik zasila decyzję eksploatacyjną: dalsze użytkowanie w zatwierdzonym zakresie, dodatkową obserwację, przegląd, wymianę albo wycofanie egzemplarza. Po późniejszej inspekcji, zdarzeniu lub zakończeniu eksploatacji prognozę porównuje się z rzeczywistym stanem. Ta weryfikacja po fakcie ujawnia obciążenie systematyczne, błędne założenia i zmianę populacji; zatwierdzona aktualizacja modelu otrzymuje nową wersję, ponowną walidację i określony zakres stosowalności. Bez ostatniego ogniwa PHM pozostaje jednokierunkowym alarmem trendu, a nie uczącym się procesem inżynierskim.

RUL oznacza pozostały okres zdatności. Powiązanie prognozy ze zdefiniowanym kryterium utraty funkcji, profilem użytkowania i zakresem modelu jest tu syntezą inżynierską: zmiana obciążenia albo środowiska może zmienić prognozę. Modelowanie stanów pełnej, częściowej i utraconej zdatności może wspierać analizę; w jednorodnym modelu Markowa trzeba jawnie podać założenia stałych intensywności przejść i bezpamięciowości.¹⁵

Przestrzeń niezdatności (failure space) kataloguje znane sposoby awarii. Przestrzeń sukcesu (success space) opisuje to, co system musi osiągać: zachować zasilanie krytycznej funkcji, dostarczać wiarygodny czas, utrzymać stan kontrolowany, nie przekroczyć ograniczenia termicznego lub zapewnić kanał raportowania. Oba spojrzenia są komplementarne.

Monitor celu potrafi wykryć nieznaną przyczynę, lecz zwykle słabiej ją izoluje. Monitor konkretnego mechanizmu daje precyzyjniejszą diagnozę, ale nie widzi nieprzewidzianego uszkodzenia. Architektura obrony warstwowej łączy więc mechanizmy szczegółowe z niezależną siatką obserwacji skutków wysokiego poziomu.

Swoistość FDIR w pocisku kierowanym

Zastosowanie syntezy FDIR do pocisku kierowanego wymaga korekty perspektywy typowej dla statku kosmicznego. Wieloletnie magazynowanie oddziela produkcję od bardzo krótkiej misji i sprawia, że starzenie, historia środowiskowa, kontrola partii oraz testy przed użyciem mają większe znaczenie niż naprawa podczas działania. W misji nie ma zwykle czasu ani pewnej łączności na rozbudowaną interwencję człowieka, a część funkcji jest jednorazowa: ich gotowości nie da się potwierdzić przez pełne wykonanie bez zużycia zasobu lub zmiany stanu obiektu.

Zmienność faz dodatkowo zmienia dostępne obserwacje, dopuszczalne odpowiedzi i znaczenie tego samego symptomu. Sąsiedztwo zasilania, napędu, aktuatorów oraz innych podsystemów energetycznych wzmacnia potrzebę fizycznego ograniczania propagacji i niezależnego potwierdzania skutku, ale również ogranicza zakres bezpiecznych testów aktywnych. Wynika z tego nacisk na dowód uzyskany przed misją, pasywne monitorowanie w jej trakcie, jawne stany „nieznany” oraz „zdegradowany” i ochronę celu systemowego zamiast długiej diagnozy komponentowej. Jest to synteza autorska między domenami, nie opis logiki ani parametrów konkretnego uzbrojenia.

Podstawa sześciu twierdzeń: cele, fazy i granice propagacji

Projekt zaczyna się od uporządkowania celów. Ochrona ludzi i zapobieganie niekontrolowanej energii mają inną wagę niż dostępność funkcji pomocniczej. Priorytety zmieniają się z fazą: odpowiedź dobra podczas testu może być niedopuszczalna w krótkim zdarzeniu krytycznym, a odpowiedź słuszna po nim może być zbyt agresywna przed nim.

Każdy cel ma warunek stosowalności, kryterium sukcesu, maksymalną przerwę, możliwy stan degradacyjny i odpowiedzialnego arbitra. Bez tej struktury dwa lokalne kontrolery mogą jednocześnie chronić swoje podsystemy w sposób sprzeczny z celem systemowym.

Fazy misji (mission phases)

Faza określa dostępne sensory, czas reakcji, zapas energii, łączność i dopuszczalne rekonfiguracje. Monitor nieaktywny podczas rozruchu może być obowiązkowy w stanie ustalonym. Rozbieżność dwóch kanałów może być normalna podczas kalibracji, a krytyczna po jej zakończeniu.

Tabela fazowa dla FDIR zawiera funkcje wymagane, aktywne monitory, warunki blokowania, źródła granic decyzyjnych, reguły trwałości symptomu, władzę odpowiedzi, telemetrię i sposób wyjścia. Publiczny opis może uczyć struktury takiej tabeli, ale rzeczywiste wartości i kombinacje współczesnego systemu bojowego pozostają w dokumentacji kontrolowanej.

Tryb funkcjonalny i stan techniczny są różnymi osiami. System może pracować nominalnie ze zdegradowaną redundancją albo pozostawać w trybie bezpiecznym przy zdrowych zasobach. Połączenie obu informacji w jedną wyliczeniową zmienną tworzy mnożące się stany i trudne do dowodu przejścia.

Lepszy model oddziela zarządcę trybu, stan techniczny oraz stan konfiguracji, a następnie definiuje dozwolone kombinacje. Arbitraż rozstrzyga konflikty, zachowuje atomowość i publikuje potwierdzony stan. Monitor musi wiedzieć, czy oceniane dane są ważne w aktualnej kombinacji.

Zagrożenia i funkcje krytyczne

Analiza zagrożeń wskazuje skutki, których trzeba uniknąć lub ograniczyć, zaś FMEA/FMECA bada sposoby i propagację utraty usługi. FDIR nie zastępuje żadnej z nich. Czerpie z obu: z analizy zagrożenia — priorytet i wymagany efekt ochronny, z FMEA — przyczyny, symptomy, granice i istniejące środki ograniczające skutki.

Funkcja krytyczna wymaga monitorowania odpowiedniego do skutku, ale większa liczba monitorów nie zawsze zwiększa bezpieczeństwo. Każdy monitor wnosi oprogramowanie, dane, stany i możliwość niepożądanej reakcji. Należy pokazać, że całkowita pętla daje dodatni bilans bezpieczeństwa, niezawodności albo dostępności, a nie tylko lokalną wykrywalność.⁵

Obszar ograniczania propagacji uszkodzeń

Obszar ograniczania propagacji uszkodzeń — FCR — jest obszarem, poza który pojedyncze uszkodzenie nie powinno propagować w sposób niekontrolowany. Granica może przebiegać przez zasilanie, zegar, reset, magistralę, pamięć, mechanikę, termikę i oprogramowanie. Redundantne obliczenia współdzielące jeden regulator lub obraz konfiguracyjny nie są niezależnymi FCR.

Definicja FCR powinna wskazywać zasoby wewnętrzne, zasoby współdzielone, interfejsy, środki izolacji, założenia detekcji i skutki naruszenia granicy. Dopiero wtedy można sensownie analizować kolejne, niejednoczesne uszkodzenia w niezależnych regionach i pozostałą zdolność po pierwszej rekonfiguracji.

Zbiór uszkodzeń i analiza przyczynowa

Propagacja może być fizyczna, elektryczna, logiczna, czasowa i informacyjna. Zwarcie przeciąża wspólne zasilanie, uszkodzenie zegara rozstraja wiele odbiorników, uszkodzony komunikat aktualizuje odległy stan, a przeciążenie CPU opóźnia niezwiązane zadania. ECSS definiuje propagację utraty usługi jako zdarzenie fizyczne lub logiczne prowadzące poza granicę analizowanego produktu.³

Mapa propagacji zapisuje źródło, barierę, obserwowalny skutek i opóźnienie. Bariera może blokować energię, dane albo władzę sterowania. Jej skuteczność musi być zbadana także w stanie częściowo zasilonym, rozruchu, resecie i przy niepoprawnym oprogramowaniu.

Wspólna przyczyna i wspólny sposób utraty

Utrata usługi ze wspólnej przyczyny (common-cause failure) ma wspólną przyczynę: środowisko, zasilanie, proces produkcyjny, wymaganie, narzędzie, procedurę lub obsługę. Utrata usługi we wspólnym trybie (common-mode failure) opisuje podobny sposób utraty wielu kanałów, nawet gdy bezpośrednie przyczyny różnią się. Redundancja identyczna zwiększa dostępność tylko w zakresie, w którym kanały rzeczywiście są niezależne.

Lista wspólnych zasobów obejmuje odniesienie, zegar, reset, obraz oprogramowania układowego, dane kalibracyjne, złącze, drogę chłodzenia, aparaturę testową i działanie operatora. Zróżnicowanie rozwiązań może zmniejszyć część wspólnych przyczyn, ale dodaje różnice zachowania, narzędzia i trudniejszą integrację; jego korzyść również wymaga dowodu.

Uszkodzenie utajone (latent fault) istnieje, lecz nie daje widocznego skutku w bieżącej konfiguracji. Nieużywany kanał rezerwowy może utracić zdolność i pozostać niezauważony aż do przełączenia. Błąd w rzadkiej gałęzi odzyskiwania może czekać do pierwszej anomalii. Redundancja bez okresowej kontroli może więc być tylko założeniem.

Strategia kontroli uszkodzeń utajonych definiuje testowalność, odstęp między próbami kontrolnymi, pokrycie, ryzyko samego testu i reakcję na wynik. Test aktywny nie może zakłócić funkcji krytycznej ani zużyć ograniczonego zasobu bez uzasadnienia. Jeśli pełny test jest niemożliwy w pracy, potrzebne są testy przed użyciem, obserwacja pasywna lub ograniczenie deklarowanego zakresu.

Uszkodzenie trwałe (permanent fault) utrzymuje się, przejściowe (transient fault) jest krótkotrwałe, a okresowe (intermittent fault) powraca zależnie od warunków lub degradacji. Jedna próbka nie zawsze pozwala je rozróżnić. Ponowienie może usunąć skutek zakłócenia przejściowego, ale może też maskować rozwijający się problem połączenia.

Rekord zdarzenia powinien zachowywać licznik, odstępy, warunki, źródło resetu i wynik kolejnej próby. Wzrost częstotliwości błędów jest sygnałem dla zarządzania stanem technicznym nawet wtedy, gdy każda pojedyncza operacja kończy się powodzeniem po ponowieniu.

Uszkodzenie bizantyjskie (Byzantine fault) przekazuje różne, pozornie wiarygodne informacje różnym odbiorcom. Proste głosowanie zakładające jednolity stan kanału może go nie wykryć. Niespójne uszkodzenie pojawia się również bez wrogiego działania: uszkodzony nadajnik, wyścig w oprogramowaniu albo fragmentacja danych może tworzyć rozbieżne obserwacje.

Ochrona wymaga spójnego próbkowania, identyfikatorów epoki i sekwencji, porównania informacji między odbiorcami oraz ograniczenia wpływu jednego źródła. Pełna tolerancja bizantyjska ma wysokie wymagania dotyczące liczby niezależnych kanałów i protokołu; nie należy przypisywać jej układowi tylko dlatego, że ma trzy sensory.

Nie wszystkie uszkodzenia powstają w sprzęcie. Błąd projektu (design fault) lub wymagania (requirements fault), niepełny model środowiska, pomylona jednostka, wspólny błąd algorytmu i niewłaściwa konfiguracja mogą dotknąć wszystkie redundantne kanały. FDIR implementowany według tego samego błędnego założenia może potwierdzać niebezpieczny stan jako zdrowy.

Dlatego zapewnienie jakości obejmuje niezależny przegląd, analizę jednostek i zakresów, alternatywne modele, testy oparte na wymaganiach oraz testowanie eksploracyjne. Monitor celu wysokiego poziomu bywa ostatnią ochroną przed błędem, którego szczegółowy katalog uszkodzeń nie przewidział.

Błąd ludzki lub proceduralny może polegać na wprowadzeniu niewłaściwego pliku, pominięciu kroku, błędnej interpretacji alarmu albo połączeniu niezgodnej konfiguracji. FMEA/FMECA ECSS dopuszcza analizę błędów ludzkich w procesowym i funkcjonalnym ujęciu.³ Projekt FDIR powinien ograniczać skutki pomyłki, ale nie zastępować szkolenia i kontroli proceduralnej.

Pomagają: konfiguracja sprawdzalna maszynowo, jednoznaczna identyfikacja, blokady, wymuszenie kolejności, potwierdzanie rezultatu, czytelny status oraz dziennik zmian. Alarm wymagający od operatora pamiętania ukrytego kontekstu jest słabym interfejsem ochronnym.

FMEA jako źródło zbioru uszkodzeń

FMEA analizuje każdy potencjalny sposób utraty funkcji produktu lub procesu i jego skutki; FMECA dodaje klasyfikację krytyczności. Dla złożonych układów, FPGA i oprogramowania ECSS wskazuje podejście funkcjonalne, a reakcję oprogramowania na uszkodzenia sprzętu obejmuje HSIA.³

W FDIR każda pozycja FMEA powinna prowadzić do decyzji: uszkodzeniu zapobieżono projektowo, jest tolerowane, wykrywane, izolowane, obsługiwane, akceptowane albo pozostaje poza zakresem. Kolumny metody detekcji i działania korygującego nie mogą być ogólnikami. Muszą wskazywać wymaganie, implementację i dowód weryfikacyjny.

Analiza oddolna (bottom-up) zaczyna od sposobów utraty funkcji elementów i śledzi skutki w górę. Jest dobra w ujawnianiu lokalnych przyczyn i potrzeb izolacji. Analiza odgórna (top-down) zaczyna od utraty celu lub zagrożenia i szuka kombinacji przyczyn. Jest lepsza dla oceny pokrycia oraz wspólnych przyczyn.

Połączenie obu tworzy kontrolę kompletności. Jeśli zdarzenie szczytowe nie ma monitorowalnego symptomu, potrzebna jest prewencja, dodatkowa obserwowalność albo ograniczenie deklarowanego zakresu. Jeśli lokalne uszkodzenie nie wpływa na żaden wymagany cel, agresywna reakcja może być zbędna.

Analiza interakcji sprzętu i oprogramowania (Hardware–Software Interaction Analysis, HSIA) sprawdza, czy oprogramowanie reaguje na awarie sprzętu zgodnie z wymaganiami. Obejmuje nie tylko przerwanie lub flagę, lecz pełny kontrakt: jak sprzęt sygnalizuje problem, czy dane pozostają ważne, jak kasuje się status, co dzieje się przy resecie i czy reakcja ma potwierdzenie.³

HSIA powinna rozpatrywać również błędy mechanizmu sygnalizacji. Status trwale niski ukrywa uszkodzenie, trwale wysoki tworzy stały alarm, a kasowanie przez odczyt może utracić zdarzenie przy współbieżnym dostępie. Różne tempo sprzętu i oprogramowania wymaga jawnej semantyki kolejkowania oraz utraty zdarzeń.

Drzewo niezdatności i minimalne zbiory przekrojów

FTA reprezentuje logiczne kombinacje prowadzące do zdarzenia szczytowego. Minimalny zbiór przekrojów (minimal cut set) wskazuje najmniejszy zbiór zdarzeń wystarczający do skutku. Dla FDIR pokazuje, gdzie pojedyncza detekcja nie pokrywa kombinacji i które wspólne zasoby dominują ryzyko.

Model ilościowy jest użyteczny tylko przy adekwatnych danych i zależnościach. Niezależne mnożenie prawdopodobieństw kanałów współdzielących środowisko jest błędem. Wynik jakościowy — struktura przyczyn i barier — często pozostaje wartościowy nawet przy dużej niepewności danych liczbowych.

Drzewo zdarzeń

Drzewo zdarzeń (event tree) rozwija konsekwencje zdarzenia inicjującego w zależności od powodzenia kolejnych barier: detekcji, izolacji, odpowiedzi i odzyskiwania. Ujawnia, że pokrycie monitora jest tylko jednym czynnikiem. Całkowity sukces wymaga jeszcze dostępnej ścieżki odpowiedzi i poprawnego wykonania.

Gałęzie powinny obejmować błędną odpowiedź, nieudaną rekonfigurację, brak potwierdzenia oraz stan niejednoznaczny. Jeśli po awarii monitora system automatycznie uznaje się za zdrowy, drzewo pomija ważny sposób utraty funkcji ochronnej.

Model stanu zdrowia, wymagania i identyfikowalność

Model stanu technicznego może rozróżniać unknown (nieznany), healthy (zdrowy), suspect (podejrzany), failed (niezdatny), isolated (odizolowany), recovering (odzyskiwany), degraded (zdegradowany) i unavailable (niedostępny). Nazwy są mniej ważne niż jednoznaczne warunki przejścia, źródło informacji, limit czasu i zachowanie po utracie danych.

Unknown nie powinno być utożsamiane z healthy. Po resecie, przerwie telemetrii lub zmianie konfiguracji system może nie mieć jeszcze dowodu zdrowia. Właściwa odpowiedź zależy od krytyczności: od oczekiwania na autotest po ograniczenie funkcji.

Pewność stanu (state confidence) zaciera się, jeżeli wynik bezpośredniego testu i wniosek z pośredniego symptomu są raportowane tak samo. Pewność może być kategorią z określonym znaczeniem; nie musi udawać dokładnego prawdopodobieństwa. Ważne, by odbiorca znał podstawę i aktualność oceny.

Pewność maleje z upływem czasu, po zmianie trybu, utracie sensora lub wejściu poza zakres modelu. Nie wolno utrzymywać wyniku healthy bez końca tylko dlatego, że ostatni test zakończył się poprawnie przed zmianą warunków.

Wektor stanu technicznego

Pojedynczy status zbiorczy jest wygodny, ale traci informację. Wektor stanu technicznego może oddzielać funkcjonalność, jakość danych, zapas termiczny, redundancję, łączność, pamięć trwałą, czas i zdolność odzyskiwania. Agregator wyznacza status dla decyzji, zachowując składowe do diagnozy.

Reguła agregacji musi rozróżniać „najgorszy komponent” od wpływu na cel. Uszkodzony element nieużywany w danym trybie nie powinien automatycznie zatrzymać funkcji, ale nadal powinien być zapisany jako utrata rezerwy.

Dobre wymaganie dla monitora podaje obserwowany warunek, zakres trybów, maksymalny czas detekcji, dopuszczalny poziom fałszywych alarmów, zachowanie wobec nieważnych danych wejściowych, wymagany poziom izolacji, władzę odpowiedzi i sposób weryfikacji. Sformułowanie „system wykrywa wszystkie awarie” jest nieweryfikowalne.

Wymagania zarządzania uszkodzeniami powinny wynikać z potrzeb systemu i być dekomponowane do poziomu, na którym da się zaprojektować sensor, logikę i odpowiedź. NASA-HDBK-1002 porządkuje rozwój wymagań, architekturę, ocenę, V&V i przeglądy jako ciąg jednego procesu, choć dokument pozostaje oznaczony jako Draft 2.¹

Rekord definicji monitora

Rekord monitora zawiera: identyfikator, chroniony cel, warunki utraty usługi, wejścia, kwalifikację danych, klasę algorytmu, źródło granic, regułę trwałości symptomu, blokady, zatrzaskiwanie alarmu, semantykę resetu, wyjścia, mapowanie odpowiedzi, zależności, niejednoznaczność, koszt zasobów i dowody. Jest odpowiednikiem kontraktu między analizą i implementacją.

Taki rekord zapobiega sytuacji, w której oprogramowanie implementuje nazwę alarmu bez wiedzy, czy ma on chronić sprzęt, jakość danych czy dostępność funkcji. Ułatwia też ocenę wpływu zmiany: zmiana sensora, częstotliwości lub modelu wskazuje dokładnie zależne monitory.

Macierz uszkodzenie–odpowiedź

Macierz uszkodzenie–odpowiedź wiąże warunek utraty usługi z detekcją, potwierdzeniem, izolacją, działaniem, weryfikacją, rozwiązaniem rezerwowym i raportowaniem. Powinna pokazywać konflikty: ten sam symptom może żądać dwóch odpowiedzi, a jedna odpowiedź może wpływać na wiele celów.

Macierz nie jest publiczną instrukcją operacyjną. Dla rzeczywistego współczesnego systemu jej wartości, kolejność i uprawnienia decyzyjne są danymi kontrolowanymi. Publicznie można opisać metodę budowy, przeglądu i testowania bez ujawniania implementacji.

Identyfikowalność

Pełny łańcuch prowadzi od celu i zagrożenia przez warunek utraty usługi, wymaganie, monitor, odpowiedź, kod lub sprzęt, przypadek testowy i wynik do konfiguracji. Brak któregoś ogniwa oznacza, że pokrycie jest deklaracją, nie dowodem.

Identyfikowalność działa w obie strony. Każdy alarm ma uzasadnienie w wymaganiu, a każde wymaganie ma dowód. Osierocony monitor może generować ryzyko bez celu; niepokryte uszkodzenie pozostaje otwartą decyzją.

Twierdzenia 1 i 2: od wiarygodnego symptomu do uczciwej izolacji

Pierwsze dwa twierdzenia macierzy wymagają kolejno dowodu, że symptom jest obserwowalny, oraz dowodu, że dostępne dane rozróżniają przyczyny na poziomie potrzebnym do decyzji. Poniższe techniki nie są równorzędnym katalogiem funkcji. Kontrole jakości ustalają, czy wolno użyć próbki; monitory obwiedni i dynamiki wykrywają odchylenie; redundancja analityczna i porównanie kanałów zwiększają rozróżnialność; korelacja oraz fuzja nadają wielu obserwacjom wspólną interpretację.

Obserwowalność i kwalifikacja danych

Uszkodzenie jest wykrywalne tylko wtedy, gdy wywołuje rozróżnialny skutek w dostępnym czasie i trybie. Obserwowalność (observability) ocenia, czy zestaw sensorów oraz stanów wewnętrznych pozwala odtworzyć istotną część stanu systemu. Dodanie kolejnego pomiaru ma sens, jeśli zmniejsza niejednoznaczność albo skraca czas detekcji, nie tylko zwiększa liczbę kanałów telemetrycznych.

Analiza obserwowalności wskazuje także ślepe okresy: rozruch, wyłączenie, przełączenie magistrali, nieaktywny kanał rezerwowy, utratę zegara lub nasycenie sensora. Jeśli monitor jest niedostępny właśnie wtedy, gdy skutek może narastać najszybciej, potrzebna jest niezależna bariera.

Sensor dla FDIR wybiera się pod kątem celu ochronnego, dynamiki, zakresu, niepewności, opóźnienia, niezależności i sposobów utraty funkcji. Najdokładniejszy sensor nie musi być najlepszy, jeśli ma długi czas ustalania albo współdzieli przyczynę z kontrolowaną funkcją. NASA Glenn ujmuje dobór sensorów i kwalifikację danych jako pierwsze etapy zintegrowanego zarządzania stanem technicznym.¹¹

Warto rozróżnić sensory procesu, urządzenia i efektu. Pomiar prądu mówi o obciążeniu elektrycznym, wewnętrzny status o stanie kontrolera, a obserwacja odpowiedzi fizycznej — czy funkcja rzeczywiście nastąpiła. Ich zgodność daje silniejszy dowód niż powielenie jednego typu sygnału.

Kwalifikacja próbki

Kwalifikacja danych (data qualification) odpowiada, czy próbka nadaje się do konkretnego użycia. Wartość może mieścić się w zakresie elektrycznym, lecz być stara, pochodzić z niewłaściwej epoki, nie mieć potwierdzonej konfiguracji albo powstać podczas stanu przejściowego. Status jakości powinien podróżować z danymi.

Łańcuch kwalifikacji obejmuje sensor, kondycjonowanie, ADC, transport, znacznik czasu, konwersję jednostek, kalibrację i odbiorcę. Awaria każdego ogniwa może dać pozornie wiarygodną liczbę. Zasady MSFC wymagają kwalifikacji danych używanych do sterowania lub detekcji utraty usługi, aby odróżnić stan systemu od uszkodzenia danych sensora czy ścieżki.⁵

Kontrola zakresu (range check) sprawdza minimum i maksimum fizyczne, projektowe albo operacyjne. Granica reprezentowalna chroni przed przepełnieniem i błędem formatu; granica fizyczna odrzuca wartości niemożliwe; granica operacyjna może inicjować reakcję. Nie należy ich łączyć w jeden próg o niejasnym znaczeniu.

Próg zależy od trybu, niepewności i miejsca pomiaru. Krótkie przekroczenie podczas startu może być legalne, ale ta sama wartość w stanie ustalonym — nie. Histereza zapobiega oscylacji statusu, lecz tworzy pamięć, którą trzeba inicjalizować i testować.

Kontrola tempa zmian (rate-of-change check) wykrywa skok albo trend niemożliwy dla modelowanej dynamiki. Powinna uwzględniać odstęp czasu między próbkami, fluktuacje czasowe, filtrację i kwantyzację. Odejmowanie dwóch zaszumionych próbek wzmacnia szum, dlatego próg pochodnej nie może pochodzić wyłącznie z maksymalnej prędkości procesu.

Taka kontrola bywa skuteczna dla sensora zablokowanego po zmianie wymuszenia, ale nie wykryje zablokowanej wartości, gdy prawdziwy proces jest stały. Łączy się ją z kontrolą oczekiwanej odpowiedzi, porównaniem międzykanałowym albo aktywnym testem.

Świeżość (freshness) mówi, czy dane zaktualizowano w wymaganym czasie. Znacznik czasu musi być odniesiony do znanej domeny, a wiek danych liczony w sposób odporny na przepełnienie licznika, reset i korektę zegara. Nowa ramka zawierająca starą wartość nie powinna automatycznie odświeżać informacji procesowej.

Rozróżnia się wiek próbki, wiek odbioru i wiek w chwili użycia. Opóźnienie sieci może być poprawne, lecz zbyt duże dla sterowania. Monitor świeżości powinien znać dopuszczalne opóźnienie całej ścieżki, nie tylko okres publikacji nadawcy.

Ciągłość i licznik sekwencji wykrywają utratę, duplikację i zmianę kolejności ramek. Licznik musi mieć zdefiniowaną szerokość, zachowanie przy przepełnieniu i po resecie oraz relację z redundancją kanałów. Przeskok nie zawsze oznacza awarię źródła — może pochodzić z legalnej filtracji albo przełączenia subskrypcji.

Kontrola ciągłości ocenia również ciągłość epoki konfiguracji. Dane wygenerowane przed zmianą trybu, kalibracji lub mapy kanałów mogą być formalnie nowe, lecz semantycznie niezgodne z aktualnym stanem.

Dowód odchylenia z historii sygnału

Kontrola zablokowanej wartości (stuck-value check) wykrywa brak oczekiwanej zmiany w oknie czasu. Wymaga warunku pobudzającego: oczekiwana dynamika musi być większa niż rozdzielczość i szum. Bez niego stała temperatura w równowadze mogłaby zostać błędnie uznana za awarię sensora.

Warianty obejmują identyczne słowo bitowe, brak zmiany ponad epsilon, zerową wariancję i brak reakcji na znane wymuszenie. Każdy wykrywa inny sposób utraty funkcji. Kompresja lub filtr może prawidłowo utrzymywać tę samą wartość, choć surowy sensor pracuje.

Kontrola szumu i wariancji wykrywa zmianę charakteru sygnału. Nagły wzrost wariancji może wskazywać luźne połączenie, zakłócenie lub degradację, a zbyt mała wariancja — zamrożenie. Okno estymacji musi być dostateczne dla pasma i trybu, ale na tyle krótkie, by spełnić wymagany czas detekcji.

Rozkład szumu nie zawsze jest gaussowski; wartości odstające, serie błędów i nakładanie się widm (aliasing) wymagają odpornych statystyk. Monitor wariancji nie powinien reagować na rzeczywistą zmianę procesu jak na szum bez porównania z modelem dynamiki.

Kontrola racjonalności (reasonableness check) łączy kilka prostych reguł: zakres, tempo, znak, kolejność i zależność od trybu. Jej zaletą jest łatwa interpretacja i weryfikacja, a wadą — możliwość pozostawienia uszkodzenia wewnątrz szerokiej obwiedni.

Obwiednia ma wynikać z fizyki, wymagań i niepewności, a nie z dopasowania do jednej próby. Zbyt ciasna tworzy fałszywe alarmy, zbyt szeroka opóźnia lub uniemożliwia detekcję. Każda aktualizacja granicy jest zmianą konfiguracji funkcji ochronnej.

Kontrola spójności (consistency check) porównuje wielkości związane prawem fizycznym lub architekturą: wejście i wyjście energii, polecenie i odpowiedź, redundantne pomiary, czas i sekwencję. Niespójność wykrywa problem, ale nie wskazuje automatycznie winnego kanału.

Przy trzech niezależnych pomiarach możliwa jest zgodność większościowa, o ile model podobieństwa i wspólne przyczyny są uzasadnione. Przy dwóch kanałach rozbieżność daje niejednoznaczność. Rozstrzygnięcie wymaga trzeciej informacji, autotestu lub bezpiecznej polityki użycia.

Rozróżnianie przyczyn za pomocą modelu i kanałów

Redundancja analityczna (analytical redundancy) zastępuje dodatkowy sensor modelem przewidującym obserwację z innych danych. Residuum jest różnicą pomiar–predykcja. Pozwala wykrywać uszkodzenia niewidoczne dla prostych limitów, lecz dziedziczy błędy modelu, parametrów i wejść.

Próg residuum obejmuje niepewność modelu w całej obwiedni eksploatacyjnej. Jeśli model był identyfikowany tylko nominalnie, duże residuum w stanie przejściowym nie dowodzi awarii. Walidacja modelu i zakres obowiązywania są częścią argumentacji bezpieczeństwa, nie komentarzem w kodzie.

W estymatorze innowacja (innovation) jest różnicą nowej obserwacji i predykcji przed aktualizacją. Jej znormalizowana wartość może ujawniać niespójność z przewidywaną kowariancją. Seria innowacji o trwałym obciążeniu systematycznym wskazuje inny problem niż pojedyncza wartość odstająca.

Monitor nie może bezkrytycznie używać kowariancji generowanej przez ten sam błędny model. Niezależne granice racjonalności i testy spójności chronią przed „pewnym” estymatorem, który zmniejszył własną niepewność mimo rozjazdu z rzeczywistością.

Kontrola polecenie–odpowiedź

Po poleceniu system oczekuje potwierdzenia odbioru, wykonania i skutku fizycznego. Są to trzy różne zdarzenia. Potwierdzenie odbioru (acknowledgement) dowodzi jedynie, że określona warstwa przyjęła żądanie; status urządzenia dowodzi lokalnego przejścia; sensor efektu potwierdza rezultat.

Okno odpowiedzi zaczyna się od jednoznacznego momentu i uwzględnia kolejki, harmonogram, dynamikę oraz niepewność znacznika czasu. Ponowienie przed upływem dopuszczalnego czasu może powielić działanie, a zbyt długie oczekiwanie naruszyć cel ochronny.

Limit czasu (timeout) jest monitorem braku zdarzenia, nie uniwersalnym mechanizmem odzyskiwania. Powinien mieć właściciela, źródło zegara, warunek rozpoczęcia, reguły anulowania i wstrzymania, działanie po upływie oraz zachowanie po resecie. Wspólny zegar dla funkcji i układu nadzorczego może tworzyć wspólną przyczynę.

Limit czasu oparty na najgorszym czasie wykonania (worst-case execution time, WCET) uwzględnia zakłócenia współbieżne, przerwania, pamięć podręczną, DMA, obciążenie obsługą uszkodzeń i tryb degradacyjny. W przeciwnym razie sam FDIR może generować reset podczas zwiększonego obciążenia wywołanego obsługą pierwszej anomalii.

Utrwalanie symptomu bez utraty budżetu czasu

Reguła trwałości symptomu (persistence) wymaga utrzymania warunku przez czas lub liczbę próbek. Filtruje zakłócenia przejściowe, ale zwiększa opóźnienie detekcji. Liczba próbek bez uwzględnienia rzeczywistego okresu nie jest stabilnym wymaganiem; przy zmiennej częstości próbkowania potrzebny jest czas albo jawny budżet.

Strategie obejmują N z N, M z N, całkowanie przekroczenia i eliminację drgań z pamięcią stanu. Mają różne reakcje na serię zakłóceń, brak danych i oscylacje na granicy. Stan utrwalania symptomu musi mieć reguły resetu przy zmianie trybu i utracie ważności danych.

Eliminacja drgań styku lub sygnału (debounce) ogranicza wielokrotne przełączenia, a histereza ustawia różne granice wejścia i wyjścia. Oba mechanizmy wprowadzają pamięć oraz opóźnienie. Po restarcie trzeba zdecydować, czy stan odzyskuje się z danych trwałych, inicjalizuje neutralnie czy ocenia od nowa.

Nie wolno używać histerezy do ukrycia niestabilnego systemu. Jeśli parametr stale przecina szeroką strefę, przyczyna może leżeć w sterowaniu, termice lub zasilaniu, a nie w „zbyt czułym alarmie”.

Fuzja dowodów i logika alarmów

Głosowanie (voting) wybiera wynik z redundantnych kanałów według określonej reguły. Układ głosowania większościowego maskuje pojedynczą rozbieżność, lecz sam jest elementem krytycznym. Potrzebuje monitorowania rozbieżności, identyfikacji uczestników, synchronizacji próbek i sposobu postępowania po utracie jednego kanału.

Głosowanie medianowe ogranicza wpływ skrajnej wartości analogowej, ale może ukrywać wspólne obciążenie systematyczne dwóch kanałów. Głosowanie ważone wymaga wiarygodnej oceny jakości. Dynamiczne usuwanie kanału zmienia architekturę i przyszłe pokrycie, dlatego musi być raportowane jako utrata redundancji.

Wiarygodność fizyczna a zgodność kanałów

Dwa kanały mogą się zgadzać i oba być niewiarygodne z powodu wspólnej przyczyny. Mogą też się różnić, choć każdy pozostaje fizycznie możliwy. Wiarygodność fizyczna sprawdza relację do praw fizyki, a zgodność — relację między kanałami. Dopiero ich kombinacja wspiera diagnozę.

Macierz przypadków rozróżnia: oba kanały wiarygodne fizycznie i zgodne; oba wiarygodne, lecz rozbieżne; jeden niewiarygodny; oba niewiarygodne; brak danych. Każdy przypadek ma inny poziom pewności i możliwą odpowiedź.

Korelacja między monitorami grupuje jednoczesne alarmy napięcia, magistrali i zegara według czasu, zależności i konfiguracji, ponieważ mogą mieć wspólną przyczynę. Powinna zachowywać surowe zdarzenia; agregacja nie może kasować informacji potrzebnej do analizy przyczyny źródłowej.

Okno korelacji zależy od opóźnienia monitorów. Pierwsze zdarzenie w dzienniku nie zawsze jest pierwotne, ponieważ różne funkcje mają inne reguły utrwalania symptomu i kolejkę zapisu. Model przyczynowy powinien uwzględniać te opóźnienia.

Wyciszanie alarmów (alarm suppression) usuwa alarm wtórny lub nieistotny z interfejsu decyzyjnego, ale nie powinno niszczyć dowodu. Alarmy spodziewane podczas testu lub rekonfiguracji mogą być oznaczane jako zablokowane przez kontekst, z zachowaniem wartości i czasu.

Globalne wyciszenie podczas obsługi jest ryzykowne. Każda blokada ma zakres, właściciela, warunek, maksymalny czas, widoczny status i sposób automatycznego usunięcia. „Monitor wyłączony” jest stanem funkcji ochronnej, który sam wymaga raportowania.

Zatrzaskiwanie alarmu (latching). Alarm zatrzaśnięty zachowuje informację po ustąpieniu symptomu. Pomaga przy krótkich zdarzeniach i resetach, lecz wymaga jawnego uprawnienia do skasowania. Automatyczne kasowanie może zatrzeć przyczynę, ręczne bez warunków może usunąć aktywny problem.

Dobrą praktyką jest oddzielenie stanów warunek obecny, warunek potwierdzony, zdarzenie wystąpiło i odpowiedź zakończona. Dzięki temu operator i automat nie mylą ustąpienia objawu z naprawą przyczyny.

Pewność i fuzja dowodów

Fuzja łączy dowody o różnej jakości: test bezpośredni, zgodność sensorów, residuum modelu, historię zdarzeń i kontekst. Reguła powinna unikać podwójnego liczenia danych zależnych. Dwa monitory oparte na tym samym ADC nie stanowią dwóch niezależnych dowodów.

Jeśli używa się probabilistycznej diagnozy, prawdopodobieństwa a priori i funkcje wiarygodności muszą mieć pochodzenie oraz analizę wrażliwości. Liczba wyglądająca jak prawdopodobieństwo nie kompensuje braku modelu wspólnych przyczyn.

Twierdzenie 3: proporcjonalna odpowiedź i jej arbitraż

Po uzyskaniu diagnozy system musi wykazać, że wybrana odpowiedź chroni właściwy cel bez stworzenia większego zagrożenia. Rozmieszczenie funkcji FDIR określa, gdzie można zareagować, hierarchia — kto dysponuje kontekstem, a arbitraż — która z konkurujących odpowiedzi ma pierwszeństwo. Te trzy zagadnienia tworzą jeden dowód proporcjonalności, nie trzy niezależne katalogi architektur.

Architektura scentralizowana ułatwia globalną korelację, priorytety i spójny model konfiguracji. Jej wady to opóźnienie, obciążenie komunikacji i ryzyko centralnego pojedynczego punktu awarii. Centralny zarządca nie powinien być jedyną ochroną przed zdarzeniem szybszym niż jego cykl decyzyjny.

W praktyce centrum wykonuje diagnozę i arbitraż, a lokalne bariery ograniczają szybkie skutki. Centralna decyzja korzysta z potwierdzonego statusu lokalnej odpowiedzi, nie z założenia, że komenda zawsze działa.

Rozproszony FDIR

Rozproszony FDIR reaguje blisko źródła i może lepiej izolować fizycznie. Trudniej jednak zapewnić spójność wielu lokalnych automatów stanów, priorytetów i restartów. Dwa kontrolery mogą równocześnie rekonfigurować wspólny zasób na podstawie niepełnego obrazu.

Potrzebne są granice uprawnień, protokół własności sterowania, wersjonowany stan konfiguracji i deterministyczne rozstrzyganie konfliktów. Utrata komunikacji nie może prowadzić dwóch stron do sprzecznych założeń o tym, kto steruje.

Hierarchiczny FDIR

Hierarchia łączy szybką reakcję lokalną z kontekstem podsystemu i systemu. ECSS-E-ST-70-11C Rev.1 wymaga realizacji detekcji, izolacji i odzyskiwania na możliwie najniższym poziomie, z uwzględnieniem autonomii oraz możliwości interwencji segmentu naziemnego.²

Niższy poziom powinien eskalować, gdy ponowienie lub lokalna rekonfiguracja nie działa, gdy utracono zapas albo gdy skutek przekracza jego uprawnienia. Wyższy poziom nie powinien powtarzać tej samej odpowiedzi w nieskończoność bez informacji o wcześniejszych próbach.

Drabina odpowiedzi może obejmować odrzucenie próbki, ograniczone ponowienie, lokalny reset, zmianę wykorzystywanego zasobu, ograniczenie funkcji, restart podsystemu i przejście do stanu bezpiecznego. Dobór i porządek wynikają z zagrożenia, czasu i kosztu ubocznego, nie z uniwersalnego schematu; szczegóły dla konkretnego uzbrojenia pozostają poza zakresem artykułu.

Każdy stopień ma warunek wejścia, licznik prób, czas pozostawania, kryterium powodzenia i rozwiązanie rezerwowe. Ograniczona liczba ponowień jest istotna: nieskończona pętla odzyskiwania może zużywać energię, blokować diagnostykę i uniemożliwiać odpowiedź wyższego poziomu.

Arbitraż

Arbiter rozstrzyga sprzeczne żądania monitorów. Priorytet nie może zależeć tylko od kolejności przyjścia zdarzeń. Potrzebna jest relacja do chronionych celów, dotkliwości skutku, aktualnego trybu, odwracalności oraz dostępności danych.

Arbitraż powinien być deterministyczny i testowalny dla kombinacji. Jeśli dwa zdarzenia równocześnie żądają wykluczających się konfiguracji, wynik oraz zapis przyczyny muszą być jednoznaczne. Zagłodzenie monitorów o niższym priorytecie także jest scenariuszem testowym.

Uprawnienia do odpowiedzi

Monitor może tylko zgłaszać, może zalecać albo może autonomicznie działać. Uprawnienie zależy od opóźnienia, ryzyka błędnej reakcji, dostępności operatora i fazy. Ta sama detekcja może mieć inne uprawnienie w teście i podczas autonomicznego działania.

Interfejs uprawnień obejmuje źródło polecenia, stan autoryzacji, blokadę, potwierdzenie i ścieżkę audytu. Błąd w zarządcy uprawnień jest uszkodzeniem FDIR, dlatego mechanizmy o najwyższej krytyczności wymagają prostych, niezależnych ograniczeń.

Lokalna ochrona prądowa, termiczna lub czasowa może zadziałać szybciej niż oprogramowanie. Jej zadaniem jest ograniczenie energii lub propagacji, nie pełna diagnoza systemowa. Po zadziałaniu musi pozostawić obserwowalny status albo skutek możliwy do jednoznacznego rozpoznania.

Automatyczne ponawianie lokalnej ochrony powinno być zgodne z modelem termicznym i warunkami ustąpienia uszkodzenia. Praca impulsowa zabezpieczenia może wyglądać jak seria niezależnych zakłóceń przejściowych, choć przyczyną jest stałe przeciążenie. Zarządzanie stanem technicznym grupuje te cykle w jeden problem.

Twierdzenia 4 i 5: wykonanie odpowiedzi i trwałe odzyskanie funkcji

Fikcyjny przykład przekrojowy: degradacja sensora demonstratora

Poniższy przykład jest jawnie fikcyjny, syntetyczny i nieoperacyjny. Nie przedstawia żadnego istniejącego pocisku, progu diagnostycznego, czasu reakcji ani sekwencji przełączeń. W laboratoryjnym demonstratorze funkcji nawigacyjnej dwa sensory mierzą tę samą wielkość, a niezależny model przewiduje jedynie szeroką obwiednię jej wiarygodnego zachowania.

Najpierw jeden kanał zaczyna powoli odbiegać od drugiego. Obie wartości nadal mieszczą się w obwiedni fizycznej, dlatego sama rozbieżność jest symptomem, nie diagnozą. Kwalifikacja danych potwierdza aktualność próbek, właściwą epokę konfiguracji i ciągłość transmisji, lecz nie rozstrzyga, czy zdegradował się pierwszy sensor, drugi sensor, wspólne odniesienie czy model. System zapisuje więc grupę niejednoznaczności zamiast fałszywie wskazywać jeden element.

Kolejny dowód pochodzi z obserwacji niezależnej od wspólnego toru pomiarowego: odpowiedź przewidywana z innych stanów demonstratora pozostaje zgodna z drugim kanałem, a status wspólnego zasilania i odniesienia nie wykazuje równoczesnej anomalii. Nie usuwa to wszystkich możliwych przyczyn, ale zawęża grupę na tyle, by arbiter mógł chronić cel „dostarczać dane o jawnej jakości”. Arbiter uwzględnia aktualną fazę, utratę rezerwy i ryzyko błędnego odrzucenia; wybiera wcześniej zatwierdzony stan zdegradowany, w którym podejrzany kanał nie uczestniczy w estymacji, ale jego surowe dane pozostają rejestrowane. Opis celowo nie ujawnia warunków ani kolejności wykonawczej takiej rekonfiguracji.

Zapis polecenia nie zamyka pętli. Osobny status potwierdza osiągnięcie nowej konfiguracji, odbiorca danych potwierdza ich nową flagę jakości, a niezależna obserwacja celu wykazuje, że funkcja nadal dostarcza spójny wynik. System pozostaje następnie w tym stanie przez reprezentatywny, lecz tutaj nieujawniony okres i sprawdza stabilność, dostępność monitora oraz brak nawrotu rozbieżności w aktywnej ścieżce. Dopiero zgodność tych dowodów pozwala uznać odzyskanie funkcji za wykonane i trwałe — nadal jako funkcji zdegradowanej, bez przywracania utraconej redundancji. Przykład przechodzi zatem przez kwalifikację, niejednoznaczność, izolację potrzebną do decyzji, arbitraż, rekonfigurację, niezależne potwierdzenie skutku i sprawdzenie jego utrzymania.

Ponowienie jest odpowiednie, gdy operacja jest idempotentna albo protokół rozpoznaje duplikaty, a uszkodzenie może być przejściowe. Nie nadaje się do działania nieodwracalnego bez potwierdzenia stanu. Każda próba ma limit, odstęp przed kolejną próbą, zapis i warunek eskalacji.

Udane ponowienie nie przywraca automatycznie pełnej zdatności. Może zwiększyć licznik degradacji i obniżyć pewność oceny kanału. Trend ponowień bywa wcześniejszym wskaźnikiem problemu niż końcowa utrata usługi.

Reset i restart

Reset usuwa część błędów stanu przez odtworzenie znanego stanu, lecz nie naprawia trwałego uszkodzenia. Może też skasować dowód, zainicjować niebezpieczne wyjścia lub pozostawić współdzielone urządzenie w niezgodnej epoce. Zakres resetu powinien odpowiadać FCR.

Przed resetem zachowuje się minimalny kontekst uszkodzenia w sposób odporny na częściowy zapis. Po nim system rozróżnia reset planowany, odzyskiwanie i nieznaną przyczynę; kwalifikuje zegary, pamięć, interfejsy i konfigurację, zanim ogłosi gotowość.

Wycofanie zmiany (rollback) przywraca poprzednią konfigurację, obraz lub zestaw danych. Jest skuteczne tylko wtedy, gdy poprzedni stan jest znany, integralny i zgodny ze stanem trwałym. Cofnięcie kodu bez cofnięcia schematu danych może pogorszyć sytuację.

Mechanizm A/B przechowuje wersję kandydującą, wersję potwierdzoną jako poprawna, stan próby i atomowe zatwierdzenie. FDIR nie może uznać rozruchu za sukces przed wykonaniem wymaganych kontroli stanu technicznego. Powtarzająca się pętla rozruchowa wymaga ograniczonej liczby prób i stabilnego rozwiązania rezerwowego.

Rekonfiguracja

Rekonfiguracja (reconfiguration) zmienia aktywne zasoby lub ścieżki. Wymaga izolacji uszkodzonej strony, sprawdzenia rezerwy, przełączenia uprawnień, synchronizacji stanu i potwierdzenia nowej funkcji. Sam wybór multipleksera nie zamyka odzyskiwania.

Połączenia krzyżowe zwiększają elastyczność, ale także liczbę konfiguracji i wspólnych interfejsów. Weryfikacja musi objąć dozwolone kombinacje oraz zakazane stany pośrednie, nie tylko dwa nominalne kanały.

Kontrolowana degradacja

Kontrolowana degradacja (graceful degradation) utrzymuje część celów przy zmniejszonej funkcjonalności, dokładności, przepustowości lub redundancji. Tryb degradacyjny ma własne wymagania, marginesy i FDIR; nie jest „stanem nominalnym minus coś”.

Operator i następne podsystemy muszą znać jakość oraz ograniczenia. Ukrywanie degradacji pod statusem nominalnym pozwala odbiorcom użyć danych poza ich nowym zakresem ważności.

Stan bezpieczny

Stan bezpieczny (safe state) jest zbiorem stanów spełniających priorytety bezpieczeństwa w danych warunkach. Może zależeć od energii, termiki, środowiska i łączności. Czasem bezpieczniejsze jest utrzymanie ograniczonego sterowania niż gwałtowne wyłączenie.

Definicja zawiera trajektorię wejścia, stabilność, wymagane zasoby, zdolność utrzymania, obserwowalne potwierdzenie i uprawnienie do wyjścia. Stan, którego nie da się utrzymać przez wymagany czas energetyczny lub termiczny, nie jest kompletnym stanem bezpiecznym.

Weryfikacja odzyskania funkcji

Po odpowiedzi trzeba potwierdzić, że skutek ustąpił i cele zostały odzyskane. Brak kolejnego alarmu jest niewystarczający, jeśli monitor został wyłączony przez rekonfigurację. Potwierdzenie korzysta z niezależnego symptomu, testu funkcjonalnego albo obserwacji celu.

Nieudana weryfikacja kieruje do eskalacji. Wynik częściowy może prowadzić do stanu zdegradowanego zamiast kolejnej agresywnej próby. Wszystkie przejścia zapisuje się z epoką konfiguracji.

Powrót do pracy nominalnej wymaga więcej niż zniknięcia warunku. Sprawdza się status przyczyny źródłowej, rezerwę, spójność danych, synchronizację, gotowość odbiorców i ryzyko ponownego zdarzenia. Po uszkodzeniu przejściowym można wymagać okresu stabilnej obserwacji.

Automatyczny powrót zwiększa dostępność, ale może powodować oscylacyjne przełączanie stanów. Powrót ręczny zwiększa kontrolę, lecz zależy od łączności i czasu operatora. Wybór jest częścią koncepcji autonomii.

Twierdzenie 6: zdrowie monitora i znaczenie braku alarmu

Brak alarmu ma znaczenie tylko w obrębie jawnego zakresu testu, przy dostępnych danych i działającym monitorze. BIT oraz nadzór wykonania cyfrowego dostarczają części dowodu o samej funkcji ochronnej; nie zastępują dowodu odzyskania chronionej usługi.

BIT i monitorowanie wykonania cyfrowego

Test wbudowany (built-in test, BIT) wykorzystuje zasoby urządzenia do sprawdzenia funkcji lub integralności. Nie należy utożsamiać go z jednym wynikiem pozytywnym lub negatywnym. Raport powinien wskazywać testowany zakres, stan warunków wstępnych, wynik, czas, konfigurację i elementy nieweryfikowane.

BIT może zwiększać testowalność i pokrycie, ale dodaje multipleksery, bodźce, pamięć wzorców i oprogramowanie. Jego własne sposoby utraty funkcji obejmują wynik fałszywie pozytywny, wynik fałszywie negatywny, pozostawienie ścieżki testowej aktywnej oraz zakłócenie normalnego sygnału.

BIT podczas rozruchu

PBIT działa przy uruchomieniu, gdy można testować zasoby jeszcze niewykorzystywane operacyjnie. Sprawdza podstawową integralność pamięci, logiki, interfejsów i danych konfiguracyjnych. Jego ograniczeniem jest środowisko: niektóre ścieżki, obciążenia i sensory nie są wtedy dostępne.

Kolejność zależy od gotowości zasilania, zegara i pamięci. Wynik testu wykonanego przed stabilizacją odniesienia jest niewiarygodny. PBIT powinien odróżniać nie uruchomiono, nieukończony, zaliczony, niezaliczony i przerwany.

Ciągły BIT

CBIT działa równolegle z funkcją: obserwuje układ nadzorczy, ECC, statusy interfejsów, racjonalność danych i marginesy zasobów. Ma mały wpływ na dostępność, ale widzi tylko uszkodzenia pobudzane podczas normalnej pracy oraz te, dla których istnieje monitor.

CBIT wymaga kontroli obciążenia. Nadmiar rejestrowania, odpytywania i obliczeń diagnostycznych może naruszyć WCET funkcji zasadniczej. Jego wykonanie i opóźnienie powinny być włączone do analizy harmonogramowania.

Test inicjowany (initiated BIT, IBIT) uruchamia operator lub automat w wybranym stanie. Może zastosować aktywne bodźce, przełączyć ścieżkę i uzyskać większe pokrycie niż CBIT. Wymaga blokad bezpieczeństwa, warunków wstępnych, limitu czasu, uporządkowanego zakończenia i potwierdzenia powrotu do konfiguracji roboczej.

Wynik IBIT jest ważny dla określonego zakresu i chwili. Test kanału rezerwowego nie dowodzi wspólnego zasilania pod pełnym obciążeniem, jeśli podczas testu główny kanał był wyłączony.

Test poza pracą i test obsługowy mogą używać zewnętrznej automatycznej aparatury testowej (ATE), wzorców, pętli zwrotnych i dostępu serwisowego. Zapewniają głębszą izolację, lecz ich stanowisko różni się od konfiguracji operacyjnej. Wiązki, obciążenia, oprogramowanie i kalibracja muszą być identyfikowalne.

Wynik pozytywny na stanowisku nie kasuje anomalii z integracji, jeśli warunki nie odtwarzają czynnika wyzwalającego utratę usługi. Nieodnalezienie uszkodzenia (no-fault-found) jest wynikiem wymagającym dalszej analizy profilu i oprzyrządowania, nie dowodem braku uszkodzenia.

Zakres BIT definiuje się względem jawnego zbioru sposobów utraty funkcji lub samych funkcji. Osobno podaje się skuteczność detekcji, izolacji i odsetek fałszywych alarmów oraz uszkodzenia niewykrywalne w danym trybie. Zasady obliczania pokrycia z jawnym mianownikiem przedstawiono dalej, w części o miarach dowodu.

Pokrycie analityczne z FMEA powinno być skorelowane ze wstrzykiwaniem uszkodzeń i testami. Mechanizm opisany jako „wykrywalny przez limit czasu” nie jest pokryty, dopóki nie udowodniono, że limit działa w wymaganym czasie oraz że odpowiedź osiąga cel.

Układ nadzorczy (watchdog)

Układ nadzorczy wykrywa brak oczekiwanej aktywności w czasie. Najprostszy sygnał życia dowodzi tylko, że kod dotarł do punktu obsługi; może działać mimo błędnej funkcji. Okienkowy układ nadzorczy ogranicza zarówno zbyt późne, jak i zbyt wczesne odświeżenie, lecz nadal wymaga sensownej lokalizacji punktu obsługi.

Niezależność zegara, zasilania i ścieżki resetu decyduje o pokryciu. Oprogramowanie nie powinno móc bezwarunkowo odświeżać układu nadzorczego z przerwania, gdy zadania krytyczne utknęły. Po resecie zachowuje się przyczynę i ogranicza powtarzające się próby.

Monitorowanie zadań. Monitor zadania kontroluje rozpoczęcie, ukończenie, termin, czas wykonania, kolejność i rezultat. Licznik aktywności wykrywa brak postępu, ale nie poprawność danych. Monitor terminu wykrywa spóźnienie, ale może nie rozpoznać wykonania złej gałęzi.

Lepszy dowód postępu wiąże sygnał życia z ukończeniem istotnego kroku i przejściem kontrolowanego stanu. Instrumentacja nie może zmieniać harmonogramowania na tyle, by ukrywać wyścig lub tworzyć nowe przekroczenie terminu.

Monitorowanie przepływu sterowania. Monitor przepływu sterowania sprawdza dozwoloną sekwencję punktów programu lub stanów. Sygnatura może ujawnić pominięcie, nielegalny skok lub błędny porządek. Nie dowodzi poprawności wszystkich obliczeń i może dzielić błąd z instrumentowanym oprogramowaniem.

Pokrycie zależy od rozmieszczenia punktów kontrolnych i odporności samego mechanizmu. Zbyt gęsta instrumentacja kosztuje czas; zbyt rzadka pozwala wykonać błędną ścieżkę między punktami. Wymaga testów uszkodzenia danych i błędów kolejności.

Obsługa wyjątków. Wyjątek procesora jest symptomem, nie diagnozą. Błąd magistrali może wynikać z adresu, zasilania peryferium, połączenia wewnętrznego, ochrony pamięci albo błędnej konfiguracji. Procedura obsługi powinna zachować minimalny kontekst w ograniczonym czasie i wybrać odpowiedź zgodną z krytycznością.

Próba kontynuacji po wyjątku wymaga dowodu, że stan jest spójny. Jeśli częściowa operacja mogła zmienić urządzenie, sam powrót do następnej instrukcji jest ryzykowny. Odzyskiwanie może wymagać wycofania transakcji lub restartu FCR.

Ochrona pamięci. Parzystość wykrywa część błędów, ECC może korygować określone klasy i wykrywać szersze. Błąd skorygowany nie oznacza pełnego zdrowia: jego adres, syndrom, licznik i tempo są informacją o degradacji. Błąd niekorygowalny wymaga polityki zależnej od rodzaju danych.

Przeglądanie korekcyjne (scrubbing) zmniejsza akumulację błędów utajonych, lecz konkuruje o przepustowość i może wejść w interakcję z dostępem. Monitoruje się także działanie mechanizmu przeglądania korekcyjnego. Błąd w kodzie ECC, adresowaniu lub wspólnej pamięci kontrolnej może ominąć ochronę danych.

Pamięć programu i konfiguracji. Integralność obrazu sprawdza się kryptograficznym lub odpowiednio mocnym mechanizmem zgodnym z zagrożeniem i wymaganiami, a autentyczność oddziela się od przypadkowego uszkodzenia danych. Wynik musi obejmować dokładnie wykonywany obraz i zależne dane, nie tylko plik dostarczony do procesu.

Odczyt zwrotny i kontrola w tle mogą wykryć zmianę po starcie. Odzyskiwanie wymaga znanego obrazu rezerwowego, atomowego wyboru i ochrony przed wycofaniem do niezgodnej wersji. Identyfikator konfiguracji trafia do telemetrii i rekordów zdarzeń.

Monitorowanie stanu FPGA

FPGA realizuje równoległe monitory o małym opóźnieniu, ale konfiguracja, zegary, resety, pamięci i automaty stanów są jego własnymi źródłami uszkodzeń. Kodowanie automatu z przejściem do stanu bezpiecznego może wykryć niedozwolony kod, lecz nie gwarantuje pokrycia błędu przejścia, wspólnego uszkodzenia zegara ani legalnego, ale błędnego stanu. Pierwsze zdanie opiera się na omawianych w podręczniku zagadnieniach automatów, resetów, zegarów i PLL; ocena ograniczeń pokrycia jest syntezą autorską i nie jest przypisywana temu źródłu.¹³

FDIR w FPGA obejmuje wykrywanie stanów niedozwolonych, limit czasu toru danych, parzystość lub ECC, powielenie z porównaniem, monitorowanie konfiguracji i nadzór zewnętrzny. Każdy mechanizm ocenia się po implementacji, domknięciu czasowym i separacji fizycznej. Synteza może zmienić logiczną redundancję przez optymalizację, jeśli ograniczenia nie chronią zamierzonej niezależności.

Samosprawdzający HDL. Samosprawdzające środowisko testowe automatycznie porównuje wyjście z oczekiwaniem i zgłasza wynik pozytywny albo negatywny. Testy ukierunkowane, losowe i losowe z ograniczeniami rozszerzają przestrzeń bodźców; nie zastępują pokrycia wymagań ani wstrzykiwania uszkodzeń. The FPGA Programming Handbook podkreśla, że środowisko testowe ma próbować ujawnić błąd, a nie tylko pokazać oczekiwany przebieg.¹⁴

Dla monitora HDL testuje się również X/Z, reset podczas oceny, uszkodzenia następujące bezpośrednio po sobie, przepełnienie licznika, jednoczesne alarmy i zmianę trybu. Semantyka symulacji nie zawsze odtwarza metastabilność, analogowe progi ani konfigurację po włączeniu zasilania, więc potrzebne są inne poziomy dowodu.

Monitorowanie zegara

Monitor zegara sprawdza obecność, częstotliwość, fazę lub postęp względem niezależnego odniesienia. Dwa liczniki taktowane tym samym zegarem nie wykryją jego zatrzymania. Status synchronizacji PLL ma określoną semantykę wewnętrzną i nie jest kompletnym pomiarem jakości.

Przy przełączeniu źródła kontroluje się zakłócenia impulsowe, szerokość impulsu, monotoniczność czasu, synchronizację odbiorców i utratę synchronizacji. Monitor zegara również może stracić odniesienie; stan niemonitorowany musi być widoczny.

Monitorowanie resetu

Rejestr przyczyny resetu zapisuje źródło, ale wiele bitów może być ustawionych, priorytety mogą zależeć od układu, a utrata zasilania może wyczyścić część dowodu. Oprogramowanie zachowuje surową wartość przed jej skasowaniem i dodaje własną epokę rozruchu.

Lawina resetów jest stanem systemowym: seria poprawnych lokalnych resetów może uniemożliwiać funkcję. Licznik w niezależnej domenie lub trwałym rekordzie pozwala ograniczyć próby i przejść do stabilnego rozwiązania rezerwowego.

Dowód wykonania w warstwach fizycznych i informacyjnych

Twierdzeń o wykonaniu odpowiedzi i utrzymaniu odzyskanej funkcji nie da się dowieść samym stanem oprogramowania. Poniższe warstwy pokazują różne miejsca obserwacji skutku: zasilanie i termika opisują warunki podtrzymania, interfejsy — dostarczenie informacji, a sensory i aktuatory — fizyczną realizację funkcji.

Sygnał poprawności zasilania (power-good) mówi, że szyna przekroczyła warunek układu nadzorującego; nie dowodzi pełnego marginesu napięcia, tętnień, impedancji źródła ani odpowiedzi przejściowej. Ocena stanu zasilania łączy napięcie, prąd, kolejność załączania, temperaturę, stan zabezpieczeń i obciążenie.

Monitor powinien odróżniać źródło pierwotne od wtórnych skutków. Spadek kilku szyn może pochodzić ze wspólnego wejścia lub zwarcia jednej gałęzi. Izolacja energetyczna i telemetria każdej gałęzi zmniejszają niejednoznaczność.

Stan termiczny

Temperatura złącza jest często estymowana z sensora odległego, mocy i modelu drogi cieplnej. Alarm sensora obudowy może pojawić się po znacznym opóźnieniu. FDIR musi uwzględniać dynamikę, lokalne przegrzanie i kumulację ciepła po ograniczeniu mocy.

Odpowiedź może obejmować odrzucenie części obciążenia, zmniejszenie współczynnika wypełnienia, zmianę trybu i wyłączenie lokalne. Odzyskiwanie wymaga histerezy oraz czasu wychłodzenia; natychmiastowe ponowne włączenie na dolnym progu może prowadzić do pracy cyklicznej.

Stan interfejsów

CRC wykrywa określone wzorce uszkodzenia danych, licznik sekwencji — utratę lub zmianę kolejności, limit czasu — brak danych, a status protokołu — naruszenie formatu. Żaden pojedynczy mechanizm nie obejmuje całego stanu kanału. Poprawna ramka może zawierać semantycznie niewiarygodne dane.

Liczniki błędów powinny rozróżniać surowe zdarzenia, odzyskane transakcje i utraconą usługę. Po przełączeniu redundantnej magistrali system potwierdza trasowanie, punkty końcowe i aktualność danych. Sama obecność nośnej lub aktywnego łącza nie dowodzi funkcji od końca do końca.

Integralność danych od końca do końca

Ochrona od końca do końca (end-to-end protection) obejmuje identyfikator źródła, miejsce docelowe i kontekst, wartość, sekwencję, znacznik czasu, kod integralności i świeżość. Chroni przed uszkodzeniem danych w pamięci, transportem do złego odbiorcy, powtórzeniem komunikatu i błędem kolejności w zakresie modelu zagrożeń.

Jeśli pośrednia warstwa rozpakowuje i ponownie koduje dane, lokalny CRC nie chroni semantyki przez całą ścieżkę. Potrzebny jest mechanizm zakotwiczony u producenta informacji i zweryfikowany przez końcowego konsumenta.

Analogowy tor wejściowy (AFE) może się nasycić, utracić pobudzenie albo zmienić wzmocnienie, odniesienie czy składową wspólną. Przetwornik ADC nadal może wtedy zwracać poprawnie kodowane liczby. Monitory obejmują przekroczenie zakresu, odniesienie, prąd pobudzenia, kanał kalibracyjny, szum i odpowiedź na znany bodziec.

Bodziec testowy powinien przechodzić możliwie dużą część łańcucha, ale nie wolno mylić wewnętrznej pętli zwrotnej z testem sensora i okablowania. Każdy punkt wstrzyknięcia ma jawny zakres pokrycia.

Monitorowanie aktuatorów

Tor wykonawczy ma polecenie, stan sterownika, sprzężenie zwrotne prądu i napięcia oraz odpowiedź fizyczną. Brak prądu może znaczyć przerwę w obwodzie, brak zasilania lub nieaktywny sterownik; obecność prądu nie dowodzi ruchu. Kontrola krzyżowa wielu poziomów poprawia izolację.

Monitorowanie nie może wysyłać niezatwierdzonych bodźców do urządzeń energetycznych. Testy takich interfejsów należą do kontrolowanych procedur i zabezpieczeń. Publiczny materiał ogranicza się do architektury dowodu oraz rozdzielenia polecenia, skutku elektrycznego i skutku fizycznego.

Zarządzanie redundancją sensorów

Zarządca redundancji utrzymuje skład grupy, jakość, wyrównanie, kalibrację i wybór kanału. Kanał odrzucony nie wraca automatycznie po jednej poprawnej próbce. Ponowne dopuszczenie wymaga testu, okresu zgodności i decyzji zgodnej z hipotezą uszkodzenia.

Przełączenie sensora zmienia obciążenie systematyczne i szum, co może wywołać stan przejściowy sterowania. Bezudarowe przełączenie, ponowna inicjalizacja estymatora stanu i nowa niepewność są częścią odzyskiwania, nie tylko problemem algorytmu regulacji.

Dowód zachowania funkcji w obliczeniach i oprogramowaniu

Wykonanie krokowe (lockstep) porównuje wyniki z małym opóźnieniem, ale identyczne rdzenie współdzielące zegar, zasilanie i kod są podatne na wspólną przyczynę. Luźna synchronizacja ułatwia zróżnicowanie rozwiązań, lecz wymaga porównania wyników w odpowiednich epokach i tolerancji dopuszczalnych różnic czasowych.

Przełączenie awaryjne (failover) obejmuje przeniesienie stanu, własność wejść i wyjść, przeterminowane polecenia i rozdwojenie sterowania. Sygnał życia bez mechanizmu odgradzania może dopuścić dwa aktywne kontrolery. Mechanizm własności sterowania powinien działać również podczas częściowej komunikacji.

Stan układu głosującego

Układ głosujący jest częścią funkcji ochronnej i ma własne sposoby utraty funkcji. Można go replikować, monitorować lub projektować jako milczący po uszkodzeniu (fail-silent), zależnie od celu. Test obejmuje zablokowany wybór, uszkodzoną listę uczestników, asynchroniczne wejścia i jednoczesną zmianę kanałów.

Telemetria rozbieżności zachowuje wartości wszystkich uczestników, nie tylko wynik głosowania. Bez niej system maskuje uszkodzenie, ale traci zdolność diagnozy oraz trendu degradacji.

Ograniczanie propagacji uszkodzeń w oprogramowaniu

Procesy, partycje, ochrona pamięci, budżety czasu i kontrolowane interfejsy ograniczają propagację błędów oprogramowania. Partycjonowanie jest skuteczne tylko wtedy, gdy jądro, harmonogram, pamięć współdzielona, sterowniki i zasoby sprzętowe spełniają założenia niezależności.

Restart partycji powinien unieważnić jej stare komunikaty, zwolnić blokady, ponownie zainicjować wyjścia i uzgodnić stan z partnerami. Błąd w uporządkowaniu zasobów może propagować dalej niż pierwotne uszkodzenie.

ECSS-E-ST-40C Rev.1 obejmuje cykl oprogramowania produktu, od wymagań i projektu przez V&V po operacje i utrzymanie.⁷ W zastosowaniu do FDIR oznacza to jawne typy jakości danych, obsługę danych nieważnych i przeterminowanych, deterministyczne automaty stanów, ścieżki błędów i dowody odnoszące się do dokładnej wersji binarnej. Ostatnie zdanie jest syntezą zastosowania standardu, a nie jego cytatem normatywnym.

Wartość i jej ważność nie powinny być aktualizowane niespójnie. Rekord atomowy lub blokada sekwencyjna zapobiega odczytowi nowej wartości ze starym statusem. Wartość domyślna po błędzie nie może wyglądać jak rzeczywisty pomiar.

Monitorowanie zasobów

Obciążenie CPU, margines stosu, sterta, głębokość kolejki, wykorzystanie magistrali, deskryptory plików i czas wykonania są symptomami stanu platformy. Progi muszą uwzględniać fazę misji i wzrost obciążenia podczas odzyskiwania. Monitor zużywający ten sam wyczerpany zasób może nie wykonać się na czas.

Znacznik maksimum pokazuje wartość historycznie najwyższą, a tempo i trend — zbliżanie do limitu. Sam procent użycia CPU może ukryć przekroczenie terminu zadania o wysokim priorytecie; potrzebne są metryki szeregowalności i opóźnienia każdej funkcji.

Stan kolejki. Przepełnienie kolejki oznacza utratę danych lub ciśnienie wsteczne; stan bliski zapełnienia jest sygnałem wcześniejszym. Monitoruje się głębokość, wiek najstarszego komunikatu, odrzucenia, duplikaty oraz tempa producenta i konsumenta. Czyszczenie kolejki odzyskuje zasób, ale może usunąć jedyny zapis przyczyny.

Po odzyskiwaniu ustala się, czy stare polecenia mają być wykonane, odrzucone czy ponownie uzgodnione. Decyzja zależy od idempotentności i epoki systemu.

Stan pamięci trwałej. Pamięć trwała wymaga integralności, zarządzania uszkodzonymi blokami, kontroli zużycia, pojemności i atomowej aktualizacji. Brak miejsca może najpierw zatrzymać rejestrowanie, a następnie odebrać dowód innych uszkodzeń. Zarządca stanu technicznego rezerwuje zasoby dla zdarzeń krytycznych i sygnalizuje degradację wcześniej.

Odśmiecanie i przeglądanie korekcyjne pamięci mają własne zależności czasowe oraz przypadki utraty zasilania. Test obejmuje przerwanie w każdej fazie aktualizacji, nie tylko poprawne zamknięcie pliku.

Stan źródła czasu

Czas jest daną wymagającą określenia jakości: źródła, dokładności, monotoniczności, stanu synchronizacji, wieku i niepewności. Po utracie odniesienia zegar może przejść w podtrzymanie własne (holdover); nie jest wtedy ani całkiem zdrowy, ani natychmiast nieważny.

FDIR rozróżnia błąd czasu absolutnego od lokalnej kolejności. Nagły skok może naruszyć limity czasu i kolejność dziennika. Zegar monotoniczny do pomiaru okresów oddziela się od korygowanego czasu odniesienia.

Stan zarządcy trybu. Zarządca trybu ma graf dozwolonych przejść, warunki ochronne, działania wejścia i wyjścia oraz limit czasu. Stan niedozwolony lub nieukończone przejście wymaga określonej odpowiedzi. Sama wartość wyliczeniowa w pamięci nie dowodzi, że podsystemy osiągnęły odpowiadającą konfigurację.

Publikowany tryb powinien rozróżniać stan polecony, przejściowy i osiągnięty. Działania wejścia potwierdzają gotowość zależności, a wycofanie zmiany zna poprzedni stabilny stan.

Stan konfiguracji

Ocena stanu konfiguracji odpowiada, czy sprzęt, oprogramowanie układowe, oprogramowanie, kalibracja i zestaw parametrów tworzą zatwierdzoną kombinację. Każdy element ma identyfikator, kontrolę integralności i regułę zgodności. Oddzielnie raportuje się „plik poprawny” i „zestaw zgodny”.

Zmiana parametru w czasie pracy podlega uprawnieniom, kontroli zakresu, wersjonowaniu i audytowi. Ukryta zmiana progu monitora po poprawce niszczy porównywalność wyników; rekord zdarzenia zawiera epokę konfiguracji.

Interakcja ochrony funkcjonalnej i teleinformatycznej. Bezpieczeństwo funkcjonalne (safety) i ochrona teleinformatyczna (security) są różnymi perspektywami, lecz współdzielą mechanizmy obserwowalności, integralności i odzyskiwania. Błąd uwierzytelnienia może wyglądać jak utrata łącza, a ochrona dostępności może zostać nadużyta do odmowy usługi. Zarządca stanu technicznego nie powinien ujawniać wrażliwej diagnostyki wszystkim odbiorcom.

Monitor ochrony teleinformatycznej nie zastępuje kontroli racjonalności wymaganej przez bezpieczeństwo funkcjonalne. Dane poprawnie uwierzytelnione mogą być błędne z powodu uszkodzenia źródła. Z kolei odzyskiwanie funkcji bezpieczeństwa nie może omijać kontroli autentyczności obrazu lub komendy.

Ciągłość dowodu: telemetria, pierwsza przyczyna i trendy

Telemetria ma wspierać decyzję natychmiastową, diagnozę, analizę trendu i rekonstrukcję zdarzeń. Każdy parametr ma jednostkę, zakres, ważność, znacznik czasu, źródło i zasady aktualizacji. Alarm bez wartości bazowej oraz kontekstu jest trudny do interpretacji.

Nie wszystkie surowe dane muszą być transmitowane stale. Podsumowanie pokładowe i zapis wyzwalany zdarzeniem oszczędzają pasmo, lecz wymagają bufora danych sprzed wyzwolenia, priorytetów i odporności na przeciążenie właśnie podczas anomalii.

Rekord zdarzenia. Zdarzenie zawiera monotoniczną sekwencję, znacznik czasu z informacją o jakości, typ zdarzenia, źródło, tryb, konfigurację, surowe dowody, stan monitora, odpowiedź i wynik. Stabilne identyfikatory pozwalają łączyć wersje oprogramowania z bazą problemów.

Dotkliwość zdarzenia i trwałość symptomu są niezależne. Krótkie zdarzenie może być krytyczne; długie ostrzeżenie — degradacyjne. Format nie powinien tracić nieznanych pól przy przekazywaniu przez starszy komponent.

Zachowanie danych o pierwszym uszkodzeniu

Pierwsze uszkodzenie często uruchamia kaskadę wtórnych alarmów. System rezerwuje miejsce i minimalną ścieżkę zapisu dla wczesnych dowodów. Nie oznacza to, że pierwszy znacznik czasu zawsze wskazuje przyczynę; zasada zachowania pierwszego zdarzenia chroni materiał do późniejszej analizy.

Reset i spadek napięcia mogą przerwać zapis. Rekordy atomowe, CRC, podwójne buforowanie i licznik monotoniczny pozwalają odróżnić ostatni kompletny rekord od częściowego. Należy uwzględnić trwałość pamięci.

Migawka i zapis zamrożony (freeze frame). Zapis zamrożony zachowuje wybrane dane przed wyzwoleniem i po nim: tryby, polecenia, pomiary, zasilanie, jakość czasu i liczniki. Źródła wyzwolenia mogą być wielokrotne, a priorytet zapobiega nadpisaniu najważniejszego zdarzenia przez alarm wtórny.

Zestaw sygnałów wynika z modelu przyczynowego, nie z dostępności telemetrycznej. Zbyt mała migawka nie rozróżnia hipotez, zbyt duża może naruszyć przepustowość i zależności czasowe.

Trend jako wejście do PHM

Trend analizuje powolną zmianę obciążenia systematycznego, szumu, liczby ponowień, temperatury, prądu, marginesu czasowego lub częstości błędów. Potrzebuje stabilnej metrologii i informacji o obciążeniu; różnica trybu nie może być interpretowana jako degradacja. Jest to wejście do opisanego wcześniej ciągu PHM, a nie samodzielna prognoza RUL.

Usuwanie trendu i normalizacja powinny być jawne. Aktualizacja modelu po zmianie sprzętu zachowuje oddzielne poziomy odniesienia. Alarm trendu podaje niepewność i horyzont, a nie pozornie dokładną datę utraty usługi.

PRACA

Raportowanie problemów, analiza i działania korygujące (Problem Reporting, Analysis and Corrective Action, PRACA) łączą zdarzenie z analizą, ograniczeniem skutków, przyczyną źródłową, działaniem korygującym, weryfikacją i zamknięciem. NASA-HDBK-8739.18 opisuje organizację systemu problemów, niezgodności i anomalii.¹⁰

Rekord powinien odróżniać symptom, przyczynę, działanie korygujące i sprawdzenie skuteczności. Zamknięcie „nie udało się odtworzyć” bez analizy warunków oraz ryzyka nawrotu pozostawia wiedzę poza systemem.

Miary sześciu twierdzeń: pokrycie, klasyfikacja i czas

Pokrycie detekcji (detection coverage) jest udziałem jawnie zdefiniowanego zbioru uszkodzeń lub warunków utraty usługi, które monitor wykrywa w wymaganym czasie i trybie. Mianownik może być ważony prawdopodobieństwem, krytycznością albo traktowany jakościowo, ale sposób liczenia musi być podany. Nie wolno porównywać procentów opartych na różnych zbiorach uszkodzeń.

Pokrycie ma warunki: aktywne sensory, prawidłową konfigurację, dostępny zasób obliczeniowy i określony poziom zakłócenia. Uszkodzenie wykryte tylko w laboratorium przez aparaturę zewnętrzną nie jest automatycznie pokryte przez system pokładowy.

Pokrycie izolacji

Pokrycie izolacji określa, dla jakiej części wykrytych przypadków system zawęża uszkodzenie do wymaganego poziomu bez błędnego odrzucenia zdrowego zasobu. Jest zwykle mniejsze od pokrycia detekcji. Grupa niejednoznaczności może być zgodnym wynikiem, jeżeli odpowiedź działa dla całej grupy.

Macierz diagnozowalności zestawia uszkodzenia i zespoły symptomów. Identyczne kolumny tworzą nierozróżnialne grupy. Dodatkowy monitor ma wartość, jeśli rozdziela grupę istotną dla odpowiedzi albo obsługi.

Pokrycie odzyskiwania

Pokrycie odzyskiwania mierzy przypadki, w których dostępna odpowiedź rzeczywiście przywraca wymagany cel lub bezpieczny stan zdegradowany. Zależy od stanu rezerw, kolejności uszkodzeń i czasu. Mechanizm może mieć wysokie pokrycie detekcji, lecz zerowe pokrycie odzyskiwania po wcześniejszej utracie rezerwy.

Pokrycie obejmuje potwierdzenie. Przełączenie bez testu nowej ścieżki jest pokryciem działania, nie powodzeniem odzyskiwania. Raport oddziela odzyskiwanie podjęte, ukończone, zweryfikowane i utrzymane.

Pokrycie diagnostyczne w modelu niezawodności. W modelu niezawodności pokrycie diagnostyczne dzieli uszkodzenia na wykryte i niewykryte, lecz nie powinno być pojedynczą stałą dla wszystkich faz. Sensory, monitory i czasy działania zmieniają się z konfiguracją. Uszkodzenia utajone wymagają osobnego modelu odstępu między próbami kontrolnymi.

ECSS-Q-ST-30C Rev.1 traktuje niezawodność systemową (dependability) jako ciągły, iteracyjny proces oraz wymaga powiązania metod analizy i projektu z wymaganiami i ryzykiem.⁴ Wartość pokrycia użyta w obliczeniu powinna być identyfikowalna w FMEA, teście i wersji implementacji.

Wynik prawdziwie dodatni i fałszywie dodatni. Wynik prawdziwie dodatni (true positive) jest prawidłową detekcją obecnego warunku, a fałszywie dodatni (false positive) — alarmem przy jego braku. Definicja zależy od stanu odniesienia i okna czasu. Alarm pojawiający się przed potwierdzeniem awarii przez test może być prawidłowym wczesnym ostrzeżeniem, nie wynikiem fałszywie dodatnim.

Koszt wyniku fałszywie dodatniego zależy od odpowiedzi. Ostrzeżenie zapisane w dzienniku ma inny skutek niż autonomiczne odłączenie zasobu. Dlatego działanie monitora ocenia się razem z całą pętlą detekcja–odpowiedź.

Wynik fałszywie ujemny. Wynik fałszywie ujemny (false negative) oznacza brak detekcji obecnego warunku w wymaganym czasie. Może wynikać z progu, nieważnych danych, wyłączonego monitora, wspólnego uszkodzenia, niewłaściwego trybu lub zbyt krótkiego okna obserwacji. Test samej funkcji porównującej nie obejmuje tych przyczyn.

Argumentacja bezpieczeństwa powinna wskazywać niewykrywane uszkodzenia resztkowe oraz inne bariery. Nieosiągalne pełne pokrycie nie usprawiedliwia ukrycia luki; prowadzi do prewencji, ograniczenia funkcji lub jawnej akceptacji ryzyka.

Macierz pomyłek (confusion matrix)

Macierz pomyłek dla detektora zawiera wyniki prawdziwie i fałszywie dodatnie oraz prawdziwie i fałszywie ujemne. Dla diagnozy wieloklasowej rozszerza się ją o pomyłki między klasami uszkodzeń oraz wynik nieznany. Wyniki należy podawać dla każdego obszaru pracy, poziomu dotkliwości i sposobu wstrzyknięcia.

Niezrównoważony zbiór testowy może dawać zwodniczą trafność. Jeśli nominalnych próbek są miliony, detektor zawsze wskazujący zdrowy ma wysoką trafność i zerową użyteczność. Ważniejsze są czułość, swoistość, precyzja i konsekwencje na poziomie odpowiedzi.

ROC i kompromis doboru progu

Krzywa ROC pokazuje przy zmianie progu kompromis między odsetkiem wyników prawdziwie dodatnich (true-positive rate, TPR, czułością) i odsetkiem wyników fałszywie dodatnich (false-positive rate, FPR = 1 − swoistość), ale nie wybiera progu za projekt. Decyzja wymaga kosztów błędów, częstości występowania analizowanego stanu, czasu detekcji i zagrożenia. Dane laboratoryjne muszą reprezentować warunki, w których próg ma działać.

Próg może być zależny od trybu i niepewności, lecz liczba wariantów zwiększa zakres V&V. Adaptacyjny próg potrzebuje ograniczonego zachowania, monitorowania modelu i bezpiecznego rozwiązania rezerwowego poza zakresem uczenia.

Budżet czasu detekcji

Budżet czasu detekcji obejmuje powstanie symptomu, próbkowanie, filtrowanie, transport, harmonogramowanie, potwierdzenie i publikację zdarzenia. Średnie opóźnienie nie wystarcza; wymagany jest najgorszy wiarygodny czas dla właściwej fazy i obciążenia.

Wolniejszy monitor może być bardziej selektywny, ale odpowiedź musi zdążyć przed wystąpieniem zagrożenia. Jeśli fizyka wymaga reakcji szybszej niż centralne oprogramowanie, pierwsza warstwa ochrony należy do lokalnego sprzętu lub prostszej logiki.

Budżet czasu izolacji. Izolacja może zachodzić po natychmiastowym ograniczeniu skutków. Dzięki temu system nie czeka z ochroną na pełną diagnozę. Budżet rozdziela czas ograniczenia skutków, czas izolacji i czas ustalenia przyczyny źródłowej.

Aktywny test diagnostyczny ma czas pobudzenia i ustalenia. Jeśli przekracza okno bezpiecznej reakcji, używa się zgrubnej izolacji do FCR, a szczegółową diagnozę odkłada.

Budżet czasu odzyskiwania. Czas odzyskiwania obejmuje decyzję, transport polecenia, wykonanie, stabilizację, ponowną inicjalizację, kwalifikację danych i potwierdzenie celu. Restart zakończony komunikatem rozruchowym nie oznacza odzyskania funkcji czasu rzeczywistego.

Budżet zależy od poprzedniego stanu. Rezerwa zimna może potrzebować więcej czasu niż rezerwa gorąca, a wyjście ze stanu bezpiecznego — więcej niż lokalne ponowienie. Wymagania dostępności korzystają z pełnego czasu niedostępności.

Budżet fałszywych alarmów

Budżet fałszywych alarmów przydziela dopuszczalne niepożądane reakcje między monitory. Suma lokalnych częstości nie może przekroczyć poziomu systemowego. Korelacja alarmów i wspólne dane uniemożliwiają proste dodawanie bez modelu.

Monitor o wysokiej niezawodności może nadal generować za dużo fałszywych zadziałań, jeśli próg leży blisko nominalnego ogona rozkładu. Budżet łączy charakterystykę procesu, niepewność, czas trwania misji i konsekwencje odpowiedzi.

Korzyść dla dostępności. FDIR poprawia dostępność, jeśli skraca detekcję i odtworzenie albo pozwala pracować w degradacji. Jednocześnie dodaje fałszywe zadziałania, przestoje testowe i własne sposoby utraty funkcji. Analiza wariantów porównuje oba kierunki.

Wynik nie powinien opierać się tylko na MTBF komponentu. Potrzebne są fazy misji, zasady naprawy, stan rezerwy, próby kontrolne i wspólne przyczyny. NASA-STD-8729.1A daje ramę całego cyklu życia dla takich celów niezawodności i podatności obsługowej.⁸

Koszt złożoności

Każdy monitor zwiększa liczbę stanów, interfejsów, parametrów i testów. Zbyt rozbudowany FDIR staje się trudny do zrozumienia i może reagować kaskadowo. Minimalizm oznacza wystarczające pokrycie przy możliwej do dowodu złożoności, nie brak ochrony.

Metryki obejmują liczbę monitorów na cel, ścieżki odpowiedzi, konfiguracje, blokady, zależności krzyżowe i wymagane wstrzyknięcia. Przegląd szuka mechanizmów redundantnych funkcjonalnie oraz luk między warstwami.

Weryfikacja pełnej pętli i wstrzykiwanie uszkodzeń

Weryfikacja dobiera analizę, inspekcję, przegląd i test do charakteru twierdzenia. Własności czasowe mogą wymagać analizy i pomiaru, logika stanów — metod formalnych lub wyczerpującej eksploracji, a odpowiedź fizyczna — testu. ECSS-E-ST-10-02C Rev.1 stanowi ogólną podstawę procesu weryfikacji i kontroli dowodów.¹²

Strategia jest budowana wraz z wymaganiami. Monitor nieweryfikowalny bez niebezpiecznego testu na gotowym systemie wymaga wcześniejszego oprzyrządowania, modelu lub bezpiecznego interfejsu wstrzykiwania.

Testowanie oparte na wymaganiach

Każdy test wskazuje wymaganie, warunki wstępne, konfigurację, bodźce, kryterium oceny, zależności czasowe, oczekiwaną odpowiedź i kryterium akceptacji. Test nominalny sprawdza brak fałszywego alarmu, test poza stanem nominalnym — detekcję, a przypadek uszkodzenia — całą pętlę.

Jedna demonstracja nie pokrywa granic. Próbuje się wartości tuż poniżej i powyżej limitu, dokładnie na granicy, zmianę w obu kierunkach, reset stanu utrwalania symptomu i różne fazy próbkowania.

Wstrzykiwanie uszkodzeń (fault injection)

Wstrzykiwanie uszkodzeń w sposób kontrolowany wprowadza reprezentację uszkodzenia lub jego skutku. Może działać na modelu, interfejsie oprogramowania, rejestrze FPGA, sygnale elektrycznym albo fizycznym elemencie. Poziom wstrzyknięcia determinuje pokrycie: wymuszenie flagi alarmowej omija detekcję i testuje tylko dalszą część odpowiedzi.

Najsilniejszy test wstrzykuje możliwie blisko przyczyny, zachowując bezpieczeństwo i reprezentatywność. Gdy to niemożliwe, raport jawnie wskazuje pominiętą ścieżkę oraz uzupełniającą analizę.

Punkt wstrzyknięcia. Każdy punkt wstrzyknięcia ma mapę elementów pominiętych. Wymuszenie wartości po ADC nie testuje sensora, AFE ani konwersji; zatrzymanie publikacji testuje świeżość, ale nie fizyczne zablokowanie sensora; emulacja wyjątku nie testuje rzeczywistych własności czasowych uszkodzenia magistrali.

Punkty rozmieszcza się warstwowo. Porównanie wyników z różnych poziomów pozwala oddzielić błąd monitora od błędu układu wstrzykującego.

Wierność wstrzyknięcia

Wierność opisuje zgodność amplitudy, czasu, korelacji i skutków z rzeczywistym uszkodzeniem. Stałe zero nie reprezentuje każdej przerwy w obwodzie; zależnie od polaryzacji i ochrony rozwarcie może dać poziom dopuszczalny, szum lub dryft.

Model wierności jest częścią wyniku. Nie należy twierdzić, że badany sposób utraty funkcji jest pokryty, jeśli wstrzyknięcie odpowiada tylko jednemu z możliwych symptomów.

Bezpieczeństwo wstrzykiwania

Wstrzykiwanie uszkodzeń wymaga analizy zagrożeń, blokad, ograniczeń energii, kryteriów przerwania i kontrolowanej konfiguracji. W urządzeniach z elementami energetycznymi wykonuje się je wyłącznie według zatwierdzonych procedur i na przeznaczonym stanowisku.

Publiczny artykuł nie opisuje sposobów obejścia zabezpieczeń ani operacyjnych punktów wstrzyknięcia współczesnego uzbrojenia. Metodyka dotyczy planowania dowodu, nie wykonywania nieautoryzowanych prób.

Testy pojedynczego uszkodzenia. Pojedyncze uszkodzenie jest podstawowym przypadkiem do śledzenia propagacji, ograniczania skutków i odpowiedzi. Testuje się je w różnych fazach, momentach cyklu, obciążeniach i stanach rezerwy. Jeden punkt czasowy może ominąć wyścig albo stan przejściowy.

„Pojedyncze” nie znaczy, że po wystąpieniu nie ma skutków wtórnych. Test obserwuje pełną kaskadę i sprawdza, czy bariery zatrzymują ją na zakładanej granicy.

Uszkodzenia sekwencyjne. Po pierwszym uszkodzeniu system ma inną konfigurację i mniejszy zapas. Drugie, niewspółwystępujące uszkodzenie w niezależnym FCR jest ważnym scenariuszem. MSFC-HDBK-3701 podkreśla zachowanie zdolności wobec kolejnych uszkodzeń w niezależnych obszarach ograniczania propagacji.⁵

Test zaczyna się od potwierdzonego stanu zdegradowanego, a nie od nominalnego resetu między przypadkami. Sprawdza się również wskazanie obsługowe utraconej redundancji.

Uszkodzenia współwystępujące. Nie wszystkie kombinacje jednoczesne są wymagane, ale pary ze wspólnej przyczyny lub pary kaskadowe zasługują na priorytet. Wybór wynika z analizy zagrożeń, FTA i fizyki, nie z pełnej kombinatoryki.

Szczególnie ważne są uszkodzenie przy niedostępnym monitorze, uszkodzenie podczas odzyskiwania, zanik zasilania podczas zapisu oraz utrata komunikacji w trakcie przekazywania własności sterowania.

Wstrzyknięcie zablokowania wartości. Zablokowanie na 0 lub 1 jest użyteczną abstrakcją logiki, lecz dla świata analogowego może być nierealistyczne. Testuje się też wartość stałą, ale wiarygodną, dryft, szum, zakłócenia okresowe i asymetryczne uszkodzenie danych.

Dla statusu trwałego sprawdza się zarówno brak ustawienia, jak i brak kasowania. Oba mogą prowadzić do odmiennych skutków utraty funkcji.

Wstrzykiwanie zakłóceń czasowych. Zakłócenia czasowe obejmują opóźnienie, fluktuację czasu, pominięcie, powielenie, zmianę kolejności i serię zdarzeń. W systemie czasu rzeczywistego poprawna wartość po terminie może oznaczać utratę usługi. Środowisko wstrzykiwania musi kontrolować czas względem harmonogramu i zegara systemowego.

Testy na zwykłym komputerze ogólnego przeznaczenia mogą nie zachować deterministycznych opóźnień sprzętu. HIL lub wykonanie na platformie docelowej uzupełnia funkcjonalną symulację.

Wstrzykiwanie uszkodzenia danych. Uszkodzenie może dotyczyć wartości, metadanych, znacznika czasu, ważności, identyfikatora źródła, długości i kodu integralności. Test wyłącznie losowego odwrócenia bitu nie obejmuje semantycznie poprawnej, lecz błędnej wartości.

Wstrzyknięcie przed ochroną od końca do końca i po niej pokazuje, które warstwy są chronione. Testuje się także CRC spójnie przeliczone przez wadliwego nadawcę; wtedy potrzebna jest kontrola racjonalności lub niezależne źródło.

Testy wyczerpania zasobów. Wyczerpanie CPU, pamięci, kolejki, przestrzeni składowania i przepustowości sprawdza, czy monitor oraz odpowiedź nadal mają zasób do działania. Lawina uszkodzeń może generować obciążenie rejestrowaniem większe niż nominalne.

Ograniczenie częstości chroni zasób, ale musi zachować pierwsze wystąpienie, licznik i poziom dotkliwości. Odrzucanie telemetrii nie może blokować lokalnej ochrony.

Testy resetu podczas odzyskiwania. Reset w każdej fazie odzyskiwania sprawdza atomowość i stan trwały. Po przerwaniu system powinien rozpoznać nieukończoną transakcję i wybrać stabilny punkt, nie zakładać sukcesu.

Test obejmuje również utratę zasilania podczas zatwierdzania konfiguracji, przełączania własności sterowania i zapisu przyczyny. To częste źródło rzadkich pętli rozruchowych.

Testy przejścia między trybami

Monitory są wrażliwe na granice trybów. Test wstrzykuje uszkodzenie przed przejściem, podczas niego i po nim; sprawdza blokadę, reset utrwalania symptomu, przeterminowane dane oraz uprawnienia. Krótkie okno bez pokrycia musi być jawnie uzasadnione.

Równoczesne polecenie zmiany trybu i alarm wymagają deterministycznego arbitrażu. Wynik nie może zależeć od niedeterministycznej kolejności zadań.

Testy wartości granicznych. Testy graniczne obejmują progi, upływ czasu licznika, jego przepełnienie, zawinięcie bufora, nasycenie i semantykę równości. > zamiast >= może zmienić jeden przypadek, ale właśnie on bywa pomijany przez wartości typowe.

Uwzględnia się kwantyzację i jednostki. Wartość fizycznie na granicy może kodować się po obu stronach zależnie od kalibracji oraz zaokrąglania.

Testy monitora statystycznego. Detektor statystyczny wymaga rozdzielonych danych rozwojowych i walidacyjnych. Ocena obejmuje warunki, populację, przedziały ufności i reprezentację ogonów. Losowe dzielenie silnie skorelowanej serii może przenieść to samo zdarzenie do obu zbiorów.

Zmiana sensora, oprogramowania układowego lub filtrowania może unieważnić rozkład. Monitor stanu modelu wykrywa dryft wejść i przechodzi do ograniczonego rozwiązania rezerwowego poza zwalidowaną obwiednią.

Walidacja monitora opartego na modelu. Walidacja porównuje rozkład residuum, obciążenie systematyczne i pokrycie w całej obwiedni. Parametry identyfikowane z danych nie mogą być oceniane wyłącznie na tych samych danych. Alternatywne modele ujawniają wrażliwość diagnozy.

NASA Glenn wskazuje V&V z danymi rzeczywistymi i symulowanymi jako integralny element zarządzania stanem technicznym.¹¹ Symulacja daje kontrolę uszkodzenia, a dane rzeczywiste — niezamodelowane sprzężenia; potrzebne są oba rodzaje danych.

Testy jednostkowe oprogramowania. Test jednostkowy sprawdza monitor dla precyzyjnych wartości, stanów i czasu w kontrolowanym środowisku. Obejmuje nieważne wejścia, inicjalizację, przepełnienie licznika, przepełnienie arytmetyczne, wielobieżność i reset. Jest szybki, ale zwykle omija harmonogramowanie i semantykę sprzętu.

Testowanie mutacyjne może ujawnić słabe asercje, np. zmianę znaku porównania lub usunięcie limitu czasu. Nie zastępuje pokrycia strukturalnego oraz pokrycia wymagań.

Testy integracyjne oprogramowania. Integracja sprawdza trasowanie danych, znaczniki czasu, kolejki, współbieżność, kontekst trybu, uprawnienia i rejestrowanie. Uszkodzenie pojawia się w rzeczywistym interfejsie, nie bezpośrednio jako wywołanie funkcji.

Test mierzy detekcję od końca do końca i czas odpowiedzi pod reprezentatywnym obciążeniem. Oprzyrządowanie ma znany wpływ na zależności czasowe.

SIL, PIL i HIL

Testowanie z oprogramowaniem w pętli (software-in-the-loop, SIL) ułatwia automatyzację i eksplorację, testowanie z procesorem w pętli (processor-in-the-loop, PIL) dodaje wykonanie na procesorze docelowym, a testowanie ze sprzętem w pętli (hardware-in-the-loop, HIL) obejmuje rzeczywiste wejścia, wyjścia i zależności czasowe części systemu. Żaden poziom sam nie jest pełnym dowodem.

Macierz weryfikacji przypisuje twierdzenia do poziomów. HIL z modelem obiektu o niskiej wierności nie potwierdza odpowiedzi fizycznej, ale może znakomicie testować arbitraż i opóźnienia.

Weryfikacja formalna

Metody formalne dowodzą własności dla określonego modelu: braku zakleszczenia, osiągalności stanu bezpiecznego, wzajemnego wykluczania, ograniczonego czasu odpowiedzi albo braku nielegalnego przejścia. Ich siła zależy od założeń oraz zgodności modelu z implementacją.

Eksplozja przestrzeni stanów wymaga abstrakcji. Każda abstrakcja zachowuje wskazane własności; uproszczenie analogowej dynamiki do wartości logicznej nie dowodzi wierności progu.

Analiza statyczna. Analiza statyczna wykrywa problemy przepływu danych, przepełnienie, nieosiągalny kod, współbieżność i naruszenia reguł bez uruchamiania. Jest szczególnie cenna w ścieżkach błędów rzadko wykonywanych przez test nominalny.

Wyciszenie ostrzeżeń jest konfiguracją dowodu. Każde wyciszenie ma uzasadnienie i przegląd; globalne wyłączenie może ukryć nowe problemy po zmianie kodu.

Testowanie odporności. Testowanie odporności bada wejścia zniekształcone, brakujące, opóźnione, powtórzone i niespójne oraz niedostępne zależności. Oczekuje ograniczonego zachowania, zachowania celów bezpieczeństwa i diagnostyki, nie tylko braku awarii programu.

Testowanie rozmyte (fuzzing) może znaleźć nieoczekiwane kombinacje, ale kryterium oceny dla systemu czasu rzeczywistego musi uwzględniać również zależności czasowe i stan. Reprodukcja zachowuje ziarno generatora, konfigurację i ślad zdarzeń.

Testowanie długotrwałe. Długie testy ujawniają przepełnienie licznika, wyciek zasobów, rzadkie wyścigi, wyczerpanie pamięci trwałej i trend. Przyspieszona częstość zdarzeń nie zawsze zachowuje fizykę lub współbieżność; sposób przyspieszenia musi być uzasadniony.

Test obejmuje powtarzające się uszkodzenia i odzyskiwania, bo system może działać po jednej próbie, lecz tracić zasób przy kolejnych. Stabilność trybu zdegradowanego jest równie ważna jak wejście do niego.

Testy środowiskowe. Temperatura, drgania, EMC, promieniowanie i stany przejściowe zasilania wpływają na sensory, zależności czasowe i komunikację. FDIR powinien działać w kwalifikowanym środowisku, a nie tylko przed ekspozycją oraz po niej. Oprzyrządowanie pozwala odróżnić rzeczywiste uszkodzenie od błędu aparatury.

Testy środowiskowe nie mogą opierać kryterium odbioru wyłącznie na braku systemowego alarmu. Monitor ma własne pokrycie i może być chwilowo niewiarygodny; potrzebne są pomiary niezależne.

Kryterium oceny testu

Kryterium oceny (test oracle) określa oczekiwany wynik. Dla złożonego FDIR obejmuje dopuszczalną sekwencję i zależności czasowe, a nie pojedynczy stan końcowy. Musi uwzględniać dopuszczalne różnice wynikające z harmonogramowania i filtrowania.

Kryterium niezależne od implementacji zmniejsza ryzyko wspólnego błędu. Kopiowanie tej samej tabeli progów do kodu i testu bez niezależnego źródła sprawdza zgodność kopii, nie wymaganie.

Zamknięcie pokrycia

Zamknięcie zestawia wymagania, warunki utraty usługi, monitory, wstrzyknięcia, testy, wyniki i ryzyko resztkowe. Brak wstrzyknięcia może zostać zamknięty analizą, jeśli uzasadnia się wierność i niezależność dowodu. „Nie testowano” nie znaczy automatycznie „nie zweryfikowano”, ale metoda zastępcza musi być jawna.

GSFC-HDBK-8004 ujmuje FMECA jako proces wymagający współpracy projektantów, specjalistów od niezawodności, bezpieczeństwa, inżynierii systemów oraz integracji i testów, ponieważ środki ograniczające skutki trzeba rzeczywiście wdrożyć i ocenić.⁹

Utrzymanie dowodu przez cykl życia

Wczesny przegląd sprawdza cele, autonomię, zagrożenia, FCR, zbiór uszkodzeń, zdolność operacyjną i wykonalność weryfikacji. Nie oczekuje ostatecznych progów, lecz wymaga spójnej koncepcji oraz źródeł wymagań.

Pytanie kluczowe brzmi, czy architektura pozwala obserwować i ograniczać najważniejsze skutki. Brak sensora wykryty po CDR bywa niemożliwy do naprawienia w oprogramowaniu.

Wstępny przegląd projektu (Preliminary Design Review, PDR). PDR ocenia przydział monitorów, ścieżki danych, uprawnienia, redundancję, wstępne budżety i interfejsy testowe. FMEA/FTA oraz HSIA powinny już wskazywać zależności i wspólne przyczyny.

Otwarte pozycje mają właściciela, plan i termin. Założenie „doprecyzujemy próg podczas testu” wymaga danych, metody i marginesu, inaczej przenosi projektowanie na etap integracji.

Krytyczny przegląd projektu (Critical Design Review, CDR). CDR oczekuje spójnych wymagań, rekordów monitorów, macierzy odpowiedzi, zależności czasowych, konfiguracji, pokrycia oraz planu weryfikacji. Przegląd obejmuje także własne sposoby utraty funkcji FDIR, blokady i reakcje na nieważne dane.

Dokument NASA Draft 2 ma osobne punkty przeglądu koncepcji, architektury i wymagań, PDR, CDR, gotowości do testów i gotowości operacyjnej, co trafnie pokazuje charakter FM obejmujący cały cykl życia, mimo niezatwierdzonego statusu podręcznika.¹

Przegląd gotowości do testów

TRR sprawdza bezpieczeństwo wstrzykiwania, kalibrację, konfigurację, procedury, przerwanie testu, kryterium oceny, oprzyrządowanie, zachowanie danych i obsługę anomalii. Każdy test ma jednoznaczny początkowy stan techniczny.

Weryfikuje się także usunięcie wstrzyknięcia i uporządkowanie konfiguracji. Pozostawiony punkt zaczepienia lub blokada po teście jest rzeczywistym błędem konfiguracji.

Kwalifikacja

Kwalifikacja pokazuje, że projekt FDIR działa w wymaganej obwiedni i przy odpowiednich uszkodzeniach. Obejmuje działanie funkcjonalne oraz środowisko. Inżynierski model kwalifikacyjny może służyć do procedur FDIR i zarządzania redundancją, jeśli jego wierność jest właściwa.

Wynik odnosi się do kwalifikowanej konfiguracji. Zmiana sensora, obrazu FPGA, harmonogramu, zestawu progów albo logiki odpowiedzi wymaga oceny wpływu.

Odbiór

Odbiór sprawdza jakość wykonania, konfigurację i funkcje wykrywalne na egzemplarzu bez niedopuszczalnego zużycia. Nie powtarza pełnej destrukcyjnej kwalifikacji. Zakres BIT i ATE wynika z produkcyjnych sposobów utraty funkcji.

Pozytywny wynik odbioru nie zastępuje kwalifikacji projektu. Trend wyników dla poszczególnych partii może jednak ujawnić przesuwającą się populację przed przekroczeniem specyfikacji.

Selekcja produkcyjna. Selekcja eliminuje określone wady utajone, ale może również starzeć element lub wprowadzać uszkodzenia podczas obsługi. Jej warunki i skuteczność są kontrolowane. Telemetria FDIR z testu może wspierać trend, jeśli jest metrologicznie porównywalna.

Zmiana procesu lub dostawcy uruchamia ocenę sposobów utraty funkcji i pokrycia monitorów. Identyczny numer funkcjonalny nie gwarantuje identycznych stanów przejściowych, autotestów i semantyki statusów.

Kalibracja i progi. Próg może zależeć od kalibracji, ale funkcja ochronna potrzebuje ograniczonego zakresu i kontroli integralności danych kalibracyjnych. Nieprawidłowa kalibracja nie powinna przesunąć granicy poza limit bezpieczeństwa.

Zmiana progu wymaga uprawnienia, uzasadnienia, wersjonowania, weryfikacji i audytu. Strojenie po każdym fałszywym alarmie bez badania przyczyny prowadzi do erozji pokrycia.

Utrzymanie eksploatacyjne

W eksploatacji śledzi się alarmy, ponowienia, resety, czas pracy zdegradowanej, fałszywe zgłoszenia, przypadki nieodnalezienia uszkodzenia i wymiany. Aktualizuje się diagnostyczne modele oraz procedury, zachowując porównywalność konfiguracji.

Operator potrzebuje wskazania pokazującego warunek, pewność, aktywną odpowiedź, utraconą zdolność i zalecany bezpieczny następny krok. Nadmiar alarmów wtórnych utrudnia ocenę; wyciszenie zachowuje pełny dziennik dla analizy.

Ponowny test po naprawie. Po naprawie test potwierdza nie tylko wymieniony element, ale zamierzoną ścieżkę uszkodzenia, interfejsy naruszone podczas obsługi i odzyskanie redundancji. Skasowanie statusu nie jest weryfikacją działania korygującego.

Kontrola skuteczności obserwuje, czy problem nie powraca w reprezentatywnych warunkach. Dla uszkodzenia okresowego potrzebne może być odtworzenie profilu, nie krótki PBIT.

Starzenie technologiczne i zamienniki. Zamiennik może zmienić zależności czasowe, statusy, rozruch, prąd upływu, funkcje diagnostyczne i sygnatury uszkodzeń. Ocena wpływu obejmuje monitory, progi, modele, BIT i wierność wstrzyknięcia, nie tylko funkcję nominalną.

Zmiana narzędzia FPGA lub kompilatora może przekształcić zaimplementowane ograniczanie propagacji uszkodzeń. Regresja obejmuje raporty syntezy, ograniczenia, zależności czasowe oraz ukierunkowane testy uszkodzeń.

Aktualizacja oprogramowania. Aktualizacja może zmienić detekcję, odpowiedź i obserwowalność nawet poza modułem FDIR. Identyfikowalność oraz dobór regresji wskazują zależne wymagania. Dokładny plik binarny, parametry konfiguracji i łańcuch narzędzi trafiają do materiału dowodowego.

Po aktualizacji zarządca stanu technicznego rozpoznaje nową epokę, migrację stanu trwałego i zgodność dekodera telemetrii. Wycofanie zmiany jest testowane dla rzeczywistego schematu danych.

Wpływ zmiany

Każdy wniosek o zmianę wskazuje, które cele, uszkodzenia, monitory, odpowiedzi, testy i produkty eksploatacyjne obejmuje. Graf identyfikowalności pozwala znaleźć skutki pośrednie, na przykład wpływ nowej częstości próbkowania na utrwalanie symptomu oraz limity czasu.

Brak zmiany kodu FDIR nie oznacza braku wpływu. Zmiana dynamiki, fazy misji lub odstępu obsługowego może unieważnić próg i założenie próby kontrolnej.

Przegląd anomalii

Przegląd rekonstruuje oś czasu w jednej bazie czasu, identyfikuje konfigurację, odróżnia pierwszą obserwację od przyczyny źródłowej, ocenia odpowiedź i zachowany materiał dowodowy. Każda hipoteza ma dane wspierające oraz przeczące.

Wynik może wskazać uszkodzenie, słabość projektu, problem proceduralny, błąd oprzyrządowania albo niedostateczne dowody. Uczciwy wynik nierozstrzygnięty z planem lepszej obserwowalności jest lepszy niż fałszywa pewność.

Wnioski z doświadczeń (lessons learned). Lekcja staje się użyteczna dopiero po przełożeniu na wymaganie, regułę projektową, test, listę kontrolną lub szkolenie. Sama narracja w bazie nie zmienia projektu. Stosowalność określa klasy systemów i warunki.

Przegląd wniosków odbywa się przed zamrożeniem architektury i planowaniem testów. Po projekcie aktualizuje się katalog uszkodzeń oraz bibliotekę wstrzyknięć bez przenoszenia niezweryfikowanych wartości między konfiguracjami.

Zapisy, syntetyczna kontrola i granica jawności

Pakiet FDIR obejmuje koncepcję, wymagania, mapę FCR, FMEA/FMECA, FTA, HSIA, katalog monitorów, macierz uszkodzenie–odpowiedź, budżety czasu i pokrycia, konfigurację, plan i wyniki V&V, zobrazowania eksploatacyjne, rekordy anomalii i ryzyko resztkowe.

Dokumenty mają wspólne identyfikatory. Ręczne kopiowanie nazw uszkodzeń między arkuszami prowadzi do rozbieżności; dane objęte kontrolą wersji i generowane widoki zmniejszają ryzyko.

Minimalny rekord wyniku testu

Rekord podaje identyfikator testu, wymaganie, identyfikatory egzemplarza i konfiguracji, środowisko, stan początkowy, punkt i wierność wstrzyknięcia, znaczniki czasu, sekwencję oczekiwaną i zaobserwowaną, dane surowe, odstępstwa, rozstrzygnięcie i zatwierdzenia. Zrzut ekranu bez danych źródłowych jest słabym dowodem.

Automatyczny wynik pozytywny powinien zachowywać wersję kryterium oceny. Ręczna interpretacja ma kryteria i podpis odpowiedzialnej roli.

Syntetyczna lista kontrolna

Końcowa kontrola nie powtarza kryteriów opisanych w korpusie. Należy przejść sześć wierszy macierzy dowodowej i dla każdego wskazać wymaganie, właściciela decyzji, dane wraz z ich jakością, analizę, test, wynik oraz konfigurację. Dodatkowo sprawdza się trzy przekroje: zgodność granic FCR z fizycznymi zależnościami zasilania, zegara, resetu, danych i termiki; zachowanie dowodu pierwszej przyczyny oraz utraty redundancji; a także przeniesienie trendów i działań korygujących do PRACA i PHM.

Lista jest kompletna tylko razem z wcześniejszymi częściami o kwalifikacji danych, arbitrażu, potwierdzeniu odzyskania, miarach pokrycia i weryfikacji. To tam zdefiniowano znaczenie braku alarmu, potwierdzenia skutku, dokładnej konfiguracji oraz ograniczonych ponowień. Typowe błędy — uznanie alarmu za diagnozę, resetu za naprawę, BIT za dowód pełnego zdrowia, redundancji za niezależność lub symulacji za walidację — są różnymi sposobami przerwania tej samej pętli dowodowej.

Granica bezpieczeństwa informacji

Wiedza o FDIR jest potrzebna do budowy i oceny bezpiecznej elektroniki, ale szczegółowe progi, czasy, maski, mnemoniki telemetrii, tabele odpowiedzi, warunki blokowania i dostęp testowy konkretnego systemu mogą ujawniać jego podatności. W publicznym opracowaniu pozostają one na poziomie metod oraz typów dowodu.

Prace przy rzeczywistych urządzeniach energetycznych, zapłonowych lub wykonawczych prowadzi wyłącznie uprawniony personel według zatwierdzonej dokumentacji, z odpowiednim stanowiskiem, blokadami i procedurą przerwania. FDIR nie daje zgody na obchodzenie zabezpieczeń ani wykonywanie nieautoryzowanych wstrzyknięć.

Synteza

Skuteczny FDIR zaczyna się od celów, zagrożeń i ograniczania propagacji uszkodzeń, nie od listy dostępnych statusów. Łączy FMEA/FMECA, FTA i HSIA z obserwowalnością, kwalifikacją danych, monitorami o znanym pokryciu, hierarchiczną odpowiedzią oraz stabilnymi stanami bezpiecznymi i zdegradowanymi.

Dowód obejmuje całą pętlę: symptom → detekcja → potwierdzenie → izolacja → arbitraż → działanie → weryfikacja → raportowanie. Mierzy fałszywe alarmy, przeoczenia, czasy detekcji, izolacji i odzyskania, utrzymanie funkcji oraz koszt samej złożoności. Wstrzykiwanie uszkodzeń, testy graniczne, HIL, analiza formalna, weryfikacja środowiskowa i trend eksploatacyjny odnoszą się do dokładnie zidentyfikowanej konfiguracji.

Zarządzanie stanem technicznym utrzymuje ten argument po kwalifikacji: zachowuje dowód pierwszego uszkodzenia, epokę konfiguracji, stan rezerw i trendy, łączy anomalie z PRACA, wspiera naprawę i kontroluje skutki zmian. Brak alarmu jest dowodem zdrowia tylko wtedy, gdy monitor był dostępny, właściwy dla trybu i miał wykazane pokrycie.

Źródła