Integracja nie jest własnością pocisku, wyrzutni ani platformy rozpatrywanych osobno. Jest własnością dokładnie zidentyfikowanej kombinacji: pocisk lub jego reprezentatywny artykuł, adapter albo zasobnik, wyrzutnia lub stacja, platforma, obrazy oprogramowania, zestawy danych, wyposażenie naziemne i obsługowe (GSE), procedury oraz ograniczenia — wszystko w określonym stanie konfiguracji i w określonej obwiedni użycia. Zdanie „ten pocisk jest kompatybilny” jest zatem niepełne, dopóki nie wiadomo: z czym, w jakiej wersji, w jakich fazach cyklu życia, przy jakich warunkach brzegowych i na podstawie jakiego dowodu.

Ta monografia pokazuje, jak taki dowód budować. Jej osią nie jest katalog dyscyplin, lecz jeden ślad: wymaganie → interfejs → hazard → hipoteza przyczynowa → model → pomiar → niepewność → reguła decyzji → wynik → regresja. Mechanika, energia, dane, software, efekty środowiska elektromagnetycznego (E3), termika, bezpieczeństwo i GSE spotykają się w tym samym przypadku systemowym. Wynik dodatni w jednej z tych dziedzin nie kompensuje braku dowodu w innej.

Wszystkie liczby, oznaczenia urządzeń i zdarzenia w trzech studiach przypadku są jawnie fikcyjne i syntetyczne. Nie opisują żadnego istniejącego uzbrojenia, jego progów, geometrii, złączy, sekwencji działania ani możliwości bojowych. Studium lotnicze wykorzystuje kontrolowany, obojętny artykuł badawczy bez materiałów energetycznych i bez funkcji bojowej. Tekst nie jest instrukcją montażu, uruchamiania, obsługi ani użycia uzbrojenia.

Ostrzeżenie. Znalezionego pocisku, zasobnika, wyrzutni, elementu pirotechnicznego ani fragmentu instalacji wojskowej nie wolno dotykać, przenosić, otwierać, zasilać, zwierać, mierzyć ani podłączać. Należy oddalić ludzi, nie używać w bezpośrednim sąsiedztwie nadajników i powiadomić policję lub inne właściwe służby. Uszkodzenie, korozja i wiek nie dowodzą braku energii ani bezpieczeństwa.

Kompatybilność jako twierdzenie z warunkami brzegowymi

Kompatybilność jest twierdzeniem inżynierskim, a nie etykietą produktu. Ma podmiot, predykat i zakres. Przykładowa, nadal ogólna postać brzmi: „kombinacja K-017 w rewizji bazowej B4 spełnia zbiór wymagań R-K17 w fazach L1–L5, dla obwiedni E-03, z ograniczeniami O-K17 i przy ważności pakietu dowodów D-K17”. Dopiero taki zapis można sprawdzić, zatwierdzić, poddać audytowi i ponownie otworzyć po zmianie.

Trzeba rozdzielić cztery pojęcia, które w potocznym języku bywają mieszane:

Pojęcie Co oznacza Czego nie wolno z niego wnioskować
system podlegający ocenie (system under evaluation, SUE) granica techniczna przyjęta dla konkretnego twierdzenia i decyzji; obejmuje wszystkie elementy oraz otoczenie potrzebne do zaobserwowania skutku że granica organizacyjna lub kontraktowa jest taka sama
system-of-systems (SoS) układ systemów składowych zachowujących operacyjną i zarządczą niezależność, których współdziałanie daje zdolność wyższego poziomu że każde złożenie wielu urządzeń jest SoS; sama złożoność nie wystarcza
configuration item (CI) sprzęt, software albo ich agregat formalnie wyznaczony do odrębnego zarządzania konfiguracją że każda część fizyczna automatycznie jest CI lub że granica CI pokrywa się z granicą SUE
rekord zatwierdzonej kombinacji (RZK) kontrolowany zapis łączący dokładne CI, ich rewizje, dane, GSE, obwiednię, ograniczenia i decyzję że zatwierdzenie jednej kombinacji obejmuje całą rodzinę urządzeń lub najnowsze wersje

Definicja SoS oparta na operacyjnej i zarządczej niezależności pochodzi z literatury systems engineering; jest testem klasyfikacji, nie nakazem nazywania każdego zintegrowanego zestawu SoS.S01 CI jest natomiast wyborem zarządczym: MIL-HDBK-61B z Change 1 omawia jego dobór, baselines, interfejsy, kontrolę zmian, ewidencję stanu i audyty, ale jako podręcznik doradczy, a nie samowykonującą się specyfikację programu.S02 Możliwe są więc wszystkie cztery sytuacje: składnik SoS niebędący CI danego programu; CI niebędące samodzielnym systemem; SUE przecinający kilka CI; oraz RZK odwołujący się do kilku organizacyjnie niezależnych systemów.

Granica SUE zależy od pytania. Dla chwilowego spadku napięcia obejmuje źródło platformy, rozdział energii, wiązkę, połączenia, odbiornik, obciążenia współbieżne, software rejestrujące reset i aparaturę pomiarową. Dla luzu dynamicznego obejmuje strukturę platformy, stację, urządzenie utrzymujące, artykuł badawczy, pola przepływu i ruchu, model kontaktu, kamery oraz geometrię kalibracyjną. Dla alarmu na morzu obejmuje także mikroklimat obudowy, mostek cieplny, szczelność, zanieczyszczenie, bonding, tor danych i lokalne środowisko elektromagnetyczne. Granicę rozszerza się aż do przyczyn mogących zmienić decyzję; nie rozszerza się jej dla samej kompletności katalogu.

RZK powinien co najmniej identyfikować:

Warstwa Minimalny identyfikator w rekordzie
artykuł / pocisk typ, wariant, numer części, rewizja, stan, cechy populacji, odstępstwa
adapter / zasobnik typ, rewizja, konfiguracja mocowań, stan uszczelnień i interfejsów
wyrzutnia / stacja numer części i seryjny lub kontrolowana klasa równoważności, rewizja sprzętu
platforma wariant, stacja, istotne modyfikacje, obwiednia masy i zasilania
software i logika programowalna identyfikowalny obraz, parametry budowy, mapa zgodności, suma kontrolna
dane schemat, wersja, pochodzenie, zestaw wartości, reguły ważności i migracji
GSE i stanowisko wersja sprzętu, software testowego, adaptery, status kalibracji i ograniczenia wierności
użycie fazy cyklu życia, środowisko, ograniczenia, procedura i kompetencje personelu
dowód wymagania, raporty, modele, surowe dane, niepewności, anomalie i decyzja authority

„Najnowsza wersja” nie jest kryterium zgodności. Dwa osobno zatwierdzone uaktualnienia mogą nigdy nie wystąpić razem w próbie. RZK dopuszcza tylko iloczyn kartezjański jawnie ocenionych wariantów albo kontrolowaną klasę równoważności z wykazanym uzasadnieniem. Jeżeli wersja nie jest rozpoznana, prawidłowym stanem jest „kombinacja nieustalona”, a nie zgadywanie po nazwie rodziny.

Jeden łańcuch argumentu zamiast teczek branżowych

Dowód kompatybilności rozpada się, gdy każda dyscyplina prowadzi własną tabelę bez wspólnych identyfikatorów. Mechanik raportuje luz, elektryk napięcie, programista restart, specjalista EMC emisję, a komisja widzi pięć zielonych pól. Tymczasem ten sam skutek może powstać przez łańcuch: większe ugięcie zmienia położenie wiązki, napręża złącze, zwiększa rezystancję styku, pogłębia zapad napięcia, resetuje odbiornik, a stara informacja na wyświetlaczu ukrywa zmianę stanu. Zielone wyniki izolowanych prób nie rozstrzygają takiego zdarzenia.

W tej monografii każdy element ma stabilny identyfikator:

  • prefiks R — wymaganie, zapisane jako obserwowalny skutek z warunkami i kryterium;
  • prefiks I — interfejs lub jego własność, przez którą może przejść przyczyna;
  • prefiks H — hazard albo stan prowadzący do szkody;
  • prefiks P — hipoteza przyczynowa, która daje się odróżnić od konkurentek;
  • prefiks M — model, wraz z zakresem stosowalności, wejściami i niepewnością modelu;
  • prefiks C — kanał pomiarowy albo kontrolowany zapis czasu;
  • prefiks K — kryterium i reguła decyzji;
  • prefiks D — dowód: plik danych, raport, obliczenie lub inspekcja;
  • prefiks A — anomalia;
  • prefiks G — przypadek regresji;
  • prefiks O — ograniczenie eksploatacyjne albo badawcze;
  • prefiks DEC — formalna decyzja.

Identyfikator nie zastępuje treści. R-L-01 musi mówić, jaka wielkość ma pozostać po której stronie limitu, gdzie jest mierzona, w jakiej fazie, w jakiej konfiguracji oraz jak traktuje się niepewność. P-L-02 musi przewidywać obserwację odróżniającą ją od P-L-01. D-L-04 musi wskazywać surowy zapis, synchronizację, kalibrację i transformacje. Dzięki temu ślad nie jest spisem dokumentów, tylko grafem zależności.

Minimalny kontrakt śladu ma postać:

Węzeł Pytanie kontrolne Warunek zamknięcia
wymaganie jaki skutek, w jakim stanie i gdzie obserwowany? mierzalna wielkość, obwiednia i reguła zgodności
interfejs którędy energia, siła, informacja lub błąd przechodzi granicę? właściciele obu stron, definicja i baseline
hazard jaka sekwencja zdarzeń prowadzi do szkody? severity, przyczyny, kontrole i ryzyko resztkowe
hipoteza jakie konkurencyjne wyjaśnienia przewidują różne dane? przynajmniej jeden test rozróżniający
model jaki jest measurand lub response i zakres modelu? równanie/algorytm, wejścia, walidacja i niepewność
pomiar co naprawdę zaobserwowano i w jakiej osi/czasie? kalibracja, timebase, dane surowe i metadane
decyzja jak wynik z niepewnością porównano z kryterium? jawna reguła, authority, ograniczenia
regresja co po zmianie może obalić argument? macierz wpływu i wskazane dowody do powtórzenia

System safety według MIL-STD-882E z Change 1 wiąże identyfikację hazardów, ocenę ryzyka, środki kontroli, weryfikację ich skuteczności i formalną akceptację ryzyka w całym cyklu życia.S03 Nie oznacza to, że standard dostarcza gotowych progów dla omawianej kombinacji. Zapewnia strukturę odpowiedzialności: nie wolno zamknąć hazardu samym stwierdzeniem, że komponent „spełnia specyfikację”, jeśli nie wykazano skutku na poziomie SUE.

Wymaganie powinno być zapisane przed wyborem korzystnego wyniku. Jeśli limit, kwantyl, współczynnik rozszerzenia lub metoda filtrowania zmieniają się po obejrzeniu danych, powstaje ryzyko dopasowania decyzji do wyniku. Każda korekta po rozpoczęciu próby ma uzasadnienie, historię i analizę wpływu. DoDI 5000.89 wymaga zintegrowanego planowania T&E, powiązania danych z decyzjami i udokumentowania istotnych odstępstw od zatwierdzonego planu; jest to instrukcja polityki DoD, nie specyfikacja techniczna dla polskiego programu.S04

Interfejs jest kontraktem stanów, nie rysunkiem złącza

Interfejs mechaniczny przekazuje siłę i położenie; energetyczny — energię oraz zakłócenia; danych — symbole i czas; programowy — znaczenie, authority i reakcję; termiczny — ciepło; elektromagnetyczny — pola i prądy wspólne; ludzki — informację oraz możliwość działania. W każdym przypadku potrzebne są: granica, kierunek, jednostka, stan, zachowanie nominalne, zachowanie przy błędzie, właściciel oraz metoda potwierdzenia.

NASA opisuje interface management jako identyfikację interfejsów, wymagania i rozwiązania po obu stronach, wspólnych właścicieli, dokumentację oraz kontrolę zmian; szczególnie ważny jest ślad poziomy między produktami.S05 Z tego wynika praktyczna zasada: dokument jednej strony nie może sam potwierdzić interfejsu. Jeżeli platforma deklaruje zdolność źródła, odbiornik musi wykazać zachowanie w tej samej obwiedni i na tym samym punkcie odniesienia. Jeżeli nadajnik deklaruje pole „stan gotowy”, odbiorca musi pokazać, że interpretuje tę samą wersję, świeżość, kolejność i stan nieważny.

Dobry dokument kontroli interfejsu rozdziela co najmniej:

  1. topologię — jakie elementy i granice uczestniczą w przepływie;
  2. fizykę — punkty odniesienia, impedancję, tolerancje, obciążenia, drogę ciepła;
  3. protokół — stany, kolejność logiczną, potwierdzenia, utratę i odzyskanie;
  4. semantykę — jednostki, osie, znaki, epoch, ważność, authority;
  5. błędy — brak strony, częściowe zasilenie, reset, opóźnienie, powtórzenie, sprzeczność;
  6. weryfikację — gdzie i czym obserwuje się spełnienie, w tym przypadki negatywne;
  7. konfigurację — rewizję obu stron i zależności od software, danych oraz GSE.

Standard MIL-STD-1760F, aktywny od 9 września 2025 r., jest normatywnym standardem interfejsu elektrycznego samolot–store. Jego zakres w §1.1 nie czyni go uniwersalnym standardem dla wyrzutni lądowych ani okrętowych.S06 MIL-HDBK-1760A jest podręcznikiem doradczym pomagającym stosować rodzinę interfejsu; również pozostaje źródłem domeny lotniczej.S07 Można z nich przenieść sposób myślenia o spójnym interfejsie, ale nie wolno przenosić bez dowodu konkretnych wartości, złączy, profili ani założeń środowiskowych.

Najbardziej niebezpieczne bywają stany przejściowe. „Wyłączone” urządzenie może otrzymywać energię przez linię danych; jedna strona może się zresetować, gdy druga zachowa poprzednią epokę stanu; część komunikatu może zostać przyjęta przed utratą zasilania; monitor może prezentować ostatnią poprawną wartość jako bieżącą. Dlatego model interfejsu zawiera przynajmniej stany: brak energii, energia częściowa, inicjalizacja, zgodna praca, degradacja, restart jednej strony, utrata komunikacji, niezgodna konfiguracja i stan bezpiecznie nieustalony. Nazwy programowe i rzeczywiste sekwencje są własnością dokumentacji kontrolowanej; publiczny argument potrzebuje jedynie pełności klas zachowania.

Software nie może odzyskiwać authority na podstawie pamięci lokalnej, jeśli stan systemowy mógł zmienić się podczas resetu. Po restarcie występuje nowa epoka: poprzednie potwierdzenia, liczniki i dane czasowe nie są automatycznie ważne. Wznowienie wymaga dowodu wspólnego stanu — na przykład uzgodnienia tożsamości konfiguracji i świeżości danych — bez ujawniania tu konkretnego protokołu. Literatura o systemach FPGA przypomina, że reset, przejścia między domenami zegarowymi, maszyny stanów i semantyka pamięci są osobnymi własnościami projektowymi; poprawność logiki nominalnej nie dowodzi poprawności odzyskiwania.S08,S09

GSE jest stroną interfejsu, nie przezroczystym narzędziem. Może zasilić niewłaściwy pin, narzucić zbyt idealną impedancję, odpowiadać szybciej niż realna platforma, ukryć błąd wersji albo wytworzyć wspólną masę nieobecną w konfiguracji docelowej. Każdy emulator ma statement of fidelity: co reprezentuje, z jaką niepewnością, czego nie reprezentuje oraz do których wymagań wolno użyć jego wyników. Kalibracja przyrządu nie waliduje zachowania całego stanowiska.

Stan konfiguracji i cykl życia wyznaczają zakres dowodu

Zestaw przechodzi przez produkcję, magazynowanie, transport, kontrolę, przygotowanie, instalację, oczekiwanie, ruch platformy, użycie, demontaż, naprawę i wycofanie. W każdej fazie zmieniają się źródła energii, droga obciążeń, mikroklimat, authority, personel oraz dostępne zabezpieczenia. Dowód kompatybilności nie może zaczynać się dopiero w chwili działania platformy.

Stan należy opisywać trzema współrzędnymi:

  • stan fizyczny: połączony/rozłączony, utrzymywany/swobodny, szczelny/otwarty, obciążony/nieobciążony;
  • stan energetyczny: bez energii, z energią resztkową, częściowo zasilony, stabilny, przejściowy;
  • stan informacyjny: konfiguracja nieznana, zidentyfikowana, uzgodniona, przeterminowana, sprzeczna albo zdegradowana.

Iloczyn tych stanów jest większy niż lista stanów każdej skrzynki. To właśnie w niedogodnych kombinacjach — fizycznie połączony, częściowo zasilony, informacyjnie nieuzgodniony — powstają zdarzenia integracyjne. Hazard analysis powinien więc używać scenariuszy przejść, nie tylko nieruchomych zdjęć stanu.

MIL-STD-810H Change 1 nie narzuca jednego zestawu laboratoryjnych profili. Część pierwsza, zwłaszcza §4 i proces w §5, wymaga dostosowania środowisk i metod do przewidywanego cyklu życia; sam rekord ASSIST podkreśla, że dokument nie jest gotową specyfikacją projektu ani próby.S10 Ekspozycja kwalifikacyjna ma wynikać z profilu środowiskowego kombinacji. Przekopiowanie temperatury, wilgotności lub drgań z innego programu bez zgodności lifecycle jest pozorem konserwatyzmu.

Stan konfiguracji jest również wejściem do modeli. Masa i tensor bezwładności zależą od wariantu; impedancja od długości wiązki, temperatury i zużycia styków; bilans cieplny od powłok, przepływu i sposobu instalacji; semantyka danych od zestawu wersji; odporność E3 od bondingu, ekranowania i prowadzenia przewodów. Model bez manifestu wejść nie jest dowodem dla realnego egzemplarza.

Należy odróżnić cztery rekordy:

Rekord Odpowiada na pytanie Typowy błąd
as-designed co zatwierdzono w projekcie? traktowanie wartości nominalnej jako populacji
as-built co rzeczywiście wyprodukowano? brak partii, odchyłek i napraw
as-loaded jakie software i dane załadowano? nazwa wydania bez sumy i parametrów budowy
as-integrated jakie egzemplarze oraz wersje połączono i w jakim stanie? zestawienie tworzone po próbie z pamięci

Każdy dowód wskazuje wszystkie cztery, jeśli mają wpływ. Jeżeli nie da się odtworzyć konfiguracji stanowiska, wynik może pozostać obserwacją techniczną, lecz nie kwalifikuje określonej kombinacji. Jeżeli po próbie odkryto błędny numer pliku danych, nie „poprawia się” metadanych; otwiera się anomalię i ustala, jaki produkt naprawdę zbadano.

Co przenosi się między lądem, morzem i powietrzem

Wspólna jest logika dowodowa, nie automatycznie wartości. W każdej domenie trzeba zidentyfikować kombinację, opisać interfejsy, zbudować scenariusze hazardów, rozdzielić hipotezy, zwalidować modele, mierzyć ze znaną niepewnością, zastosować uprzednio ustaloną regułę decyzji i utrzymywać konfigurację. Można również przenosić narzędzia: macierz śladu, budżet niepewności, analizę stanów, plan synchronizacji, kontrolę anomalii i reguły regresji.

Nie wolno natomiast przenosić w ciemno obwiedni ani dowodu zjawiska. Tabela pokazuje granicę transferu:

Własność Rdzeń możliwy do przeniesienia Dowód właściwy domenie
mechanika układy odniesienia, stack tolerancji, model kontaktu i load path widmo i kierunki obciążeń, podparcie, sprzężenie z platformą, fazy ruchu
energia model źródło–sieć–odbiornik, stany częściowego zasilania charakterystyka źródła i dystrybucji danej platformy, wspólne obciążenia, powroty
dane/software wersjonowanie, freshness, restart, authority, przypadki negatywne topologia, opóźnienia, błędy i scheduler właściwe instalacji
E3 source–path–receptor, bonding, ekranowanie, monitoring pola, prądy, anteny, lightning/ESD i rozmieszczenie właściwe platformie
termika/wilgoć bilans ciepła, punkt rosy, kondensacja, niepewność sensorów mikroklimat, wentylacja, bryzgi/sól, wysokość, promieniowanie i czas ekspozycji
bezpieczeństwo lifecycle hazard analysis, hierarchia kontroli, akceptacja ryzyka authority, personel, procedury i skutki domenowe
GSE identyfikacja, wierność, kalibracja, blokady stanowiska realne powroty masy, adaptery, warunki portowe/lotniskowe/polowe

MIL-STD-1275F opisuje właściwości nominalnej sieci 28 V DC na zaciskach odbiornika w wojskowych pojazdach lądowych; zakres §1.1 i objaśnienie §6.1 ograniczają go do tej domeny i lokalizacji interfejsu.S11 MIL-STD-1399-300-1 dotyczy z kolei niskonapięciowej energii AC na okrętach i jawnie traktuje źródło, dystrybucję oraz odbiornik jako wzajemnie zależne strony interfejsu.S12 Żaden z tych dokumentów nie ustanawia progu w syntetycznym studium poniżej. Uzasadniają natomiast pomiar po właściwej stronie sieci i konieczność modelowania źródła razem z odbiornikiem.

Domena lotnicza potrzebuje rozdzielenia podwieszenia, kontaktu i swobodnego ruchu. MIL-STD-8591 z Change 1 i notą walidacyjną z 1 czerwca 2022 r. dotyczy strukturalnych oraz mechanicznych interfejsów aircraft–store w fazie podwieszenia; nie jest dowodem bezpiecznego swobodnego oddzielenia.S13 MIL-STD-1289D Change 1, rewalidowany 21 lutego 2025 r., dotyczy ground fit i kompatybilności instalacji lotniczych; nie zastępuje modelu ruchu po utracie kontaktu.S14 MIL-HDBK-1763 integruje lotnicze analizy i próby kompatybilności, lecz jest podręcznikiem doradczym z 1998 r. i wymaga aktualnego programu, kryteriów oraz konfiguracji.S15

Na morzu dowodu własnego wymagają długie ekspozycje, kondensacja, zasolenie, okrętowe zasilanie, bonding, drgania i udar. MIL-DTL-901E z notą walidacyjną z 11 grudnia 2023 r. jest specyfikacją prób udaru wysokiego dla wyposażenia okrętowego, a nie ogólnym zamiennikiem dowodu mechanicznego.S16 MIL-STD-167-1A rozdziela drgania środowiskowe i wzbudzane wewnętrznie; jego profil musi odpowiadać instalacji.S17 Spełnienie odporności na udar nie dowodzi odporności na wilgoć, a poprawny bonding nie dowodzi braku kondensacji.

MIL-STD-464D z notą walidacyjną 1 z 9 lutego 2026 r. ma szeroki zakres systemowy — obejmuje platformy lotnicze, morskie, kosmiczne i lądowe oraz związane uzbrojenie — ale wymaga zdefiniowania środowiska E3 konkretnego systemu.S18 Szeroki zakres dokumentu nie przenosi wyników między instalacjami. Ten sam odbiornik z inną wiązką, bondingiem, obudową i anteną jest innym przypadkiem sprzężenia.

Model, pomiar i niepewność muszą mówić o tej samej wielkości

Model odpowiada na pytanie „jakiego wyniku oczekujemy przy zadanych wejściach?”, pomiar — „jakie wskazanie uzyskaliśmy?”, a wnioskowanie — „co to mówi o wielkości i hipotezie?”. Zlanie tych trzech zdań prowadzi do pozornej pewności. W dalszych studiach etykiety założono, obliczono, przewidziano, zmierzono, wywnioskowano, nierozstrzygnięte i zdecydowano są celowo jawne.

Measurand musi być zdefiniowany operacyjnie. „Napięcie odbiornika” wymaga punktu odniesienia, pasma i chwili; „minimalny luz” — dwóch powierzchni, układu współrzędnych, przedziału fazy i reguły interpolacji; „temperatura zimnego punktu” — powierzchni, położenia sensora, czasu odpowiedzi i korekty kontaktowej. Pomiar podobnej, lecz innej wielkości może korelować z problemem, ale nie potwierdza wymagania.

JCGM 100:2008 rozróżnia ocenę składowych typu A na podstawie statystyki obserwacji (§4.2) i typu B z innych informacji (§4.3), podaje prawo propagacji niepewności (§5), niepewność rozszerzoną (§6) i zasady raportowania (§7). W 2026 r. opublikowano Amendment 1 dotyczący nieliniowości modeli pomiaru.S19 Niepewność nie jest „dodatkiem bezpieczeństwa” dobieranym intuicyjnie. Jest wynikiem modelu pomiaru, rozkładów, korelacji, poprawek i zakresu pokrycia.

Dla modelu

$$y=f(x_1,\ldots,x_n)$$

i niewielkich, w przybliżeniu liniowo propagowanych odchyleń niepewność standardowa wynosi

$$u_c^2(y)=\sum_i\left(\frac{\partial f}{\partial x_i}\right)^2u^2(x_i)+2\sum_{i<j}\frac{\partial f}{\partial x_i}\frac{\partial f}{\partial x_j}u(x_i,x_j).$$

Nie wolno pominąć drugiej sumy, jeśli wejścia są skorelowane. Niepewność modelu — błąd reprezentacji kontaktu, spadku na wspólnej masie czy korekty zimnego punktu — nie znika dlatego, że sensory mają świadectwa wzorcowania. Można ją estymować z prób korelacyjnych, zbiorów historycznych lub porównań modeli, lecz źródło i zakres muszą być jawne.

Reguła zgodności jest osobnym wyborem. Dla dolnego limitu $L$ prosta reguła z guard band może wymagać

$$y-U\ge L,$$

gdzie $U=k u_c$ jest niepewnością rozszerzoną dla zadeklarowanego współczynnika $k$. Nie jest to jedyna możliwa reguła i nie oznacza automatycznie określonego prawdopodobieństwa bez założeń o rozkładzie oraz liczbie stopni swobody. JCGM 106:2012 wyjaśnia rolę niepewności, przedziałów akceptacji i pasm ochronnych w ocenie zgodności, zwłaszcza w §§8–9.S20 Program ustala ryzyko błędnej akceptacji i błędnego odrzucenia przed próbą.

Synchronizacja jest częścią niepewności przyczynowej. Jeśli napięcie, prąd, reset i komunikaty mają osobne zegary, błąd względnego czasu może zmienić kolejność zdarzeń. Metadane powinny zawierać wspólną epoch, niepewność wyrównania, opóźnienie torów, filtrację i ewentualną resampling. Stwierdzenie „reset nastąpił po zapadzie” wymaga, aby odstęp był większy od łącznej niepewności czasu i opóźnień detekcji.

Model weryfikuje się pod kątem poprawnej implementacji, a waliduje względem zamierzonego użycia. Symulacja nie staje się pomiarem, nawet jeśli dobrze odtwarza jedną próbę. Literatura dotycząca modelowania silników turbinowych trafnie rozdziela wynik obliczeniowy, predykcję i eksperyment oraz ostrzega przed rozszerzaniem modelu poza zwalidowaną obwiednię.S21 Ta zasada przenosi się na integrację: zgodność pojedynczego punktu może skorygować parametr, ale nie dowodzi całej przestrzeni konfiguracji.

Studium lądowe: brownout, restart i utrata wspólnego stanu

Studium SL dotyczy syntetycznego pojazdu badawczego PL-LAB, pasywnego emulatora zasobnika AZ-4, stacji ST-2, odbiornika cyfrowego OD-7, software platformy SP-3.2, obrazu odbiornika SO-5.1, danych KD-12 i stanowiska GSE-L-08. Nie ma ono funkcji bojowej. Liczby dobrano tak, aby pokazać rachunek i nie należy ich odnosić do jakiegokolwiek realnego interfejsu.

Wymaganie, hazard i hipotezy

R-L-01 brzmi: w każdym wymaganym powtórzeniu syntetycznego skoku obciążenia E-L-04 napięcie między zaciskami wejściowymi odbiornika OD-7, po filtracji określonej w planie próby, nie może spaść poniżej 23,50 V. Measurandem zdarzenia $i$ jest

$$v_i=\min_{t\in W_i}\mathcal F\{V_R(t)\},$$

gdzie $W_i$ jest przypisanym do zdarzenia oknem, a $\mathcal F$ — zamrożonym przed próbą filtrem wraz z regułą próbkowania minimum. Zdarzenie spełnia kryterium akceptacji, gdy $v_i-U_i\ge23{,}50 \mathrm V$; wykazaną niezgodność stwierdza się, gdy $v_i+U_i<23{,}50 \mathrm V$; pomiędzy tymi granicami wynik jest nierozstrzygający. Seria przechodzi tylko wtedy, gdy wszystkie wymagane zdarzenia mają kompletne dane i każde przechodzi regułę akceptacji. Jedno wykazane zdarzenie niezgodne daje FAIL serii, a brak wyniku dodatniego bez wykazanej niezgodności daje „brak wystarczającego dowodu”, nie PASS. R-L-02: każdy restart OD-7 ma unieważnić lokalny stan konfiguracji, a system ma pozostać w stanie NIEUZGODNIONY, dopóki niezależnie nie potwierdzi bieżącej epoki, tożsamości kombinacji i świeżości danych. Podana wartość napięcia i abstrakcyjne nazwy stanów są wyłącznie własnością scenariusza laboratoryjnego.

H-L-01 to wykonanie przez operatora decyzji opartej na nieaktualnym wskazaniu konfiguracji po jednostronnym restarcie. Sekwencja hazardu nie wymaga uszkodzenia wszystkich zabezpieczeń: wystarczy zapad energii, restart odbiornika, zachowanie starego widoku przez platformę i brak jednoznacznej informacji, że strony są w różnych epokach. Analiza według MIL-STD-882E traktuje obniżenie napięcia jako inicjator, restart jako zdarzenie pośrednie, a nieaktualne authority jako kontrolowany skutek systemowy; nie redukuje hazardu do „usterki zasilacza”.S03

Przed próbą zapisano pięć konkurencyjnych hipotez:

Hipoteza Mechanizm Predykcja rozróżniająca
P-L-01 impedancja źródła i wiązki wraz z szybkim narastaniem prądu powodują brownout na zaciskach odbiornika spadek C-L-VR jest zgodny w czasie i amplitudzie z $I R+L\,di/dt$; pozostaje po zastąpieniu toru danych izolowanym emulatorem
P-L-02 energia wraca przez tor danych lub wspólny przewód odniesienia, wywołując częściowe zasilenie i błędną detekcję odłączenie logiczne albo izolowany emulator zmienia kształt napięcia i reset mimo tego samego obciążenia głównego
P-L-03 sam układ nadzoru zasilania reaguje błędnie mimo napięcia ponad limitem sygnał resetu pojawia się bez równoczesnego naruszenia R-L-01, a wynik zmienia się przy kontrolowanym czasie narastania bez zmiany minimum
P-L-04 po prawidłowym restarcie software ma wyścig inicjalizacji i przywraca lokalnie zachowaną konfigurację przed uzgodnieniem epoki reset jest rzeczywisty, ale wskazanie „uzgodniony” pojawia się przed nowym potwierdzeniem; odtwarza się również po sztucznie wymuszonym, czystym restarcie
P-L-05 obserwowana kolejność jest artefaktem niesynchronizowanych rejestratorów po wyrównaniu timebase kolejność napięcie–reset–stan odwraca się albo mieści się w niepewności czasu

P-L-01 i P-L-04 nie wykluczają się: pierwsza może być fizyczną przyczyną restartu, druga przyczyną groźnego skutku. Tabela chroni przed częstym błędem „root cause = ostatnia linia logu”. Przyczyna inicjująca i brak kontroli skutku należą do różnych warstw.

Model źródło–wiązka–odbiornik

SUE ograniczono do równoważnego źródła Thevenina, rezystancji dystrybucji i połączeń, indukcyjności pętli, odbiornika oraz zsynchronizowanego modelu stanu. W krótkim przedziale przejściowym przyjęto:

$$V_R=V_S-I(R_S+R_H)-L_{eq}\frac{dI}{dt}.$$

V_S oznacza napięcie idealnego źródła za modelem jego wolniejszej regulacji, R_S — rezystancję dynamiczną źródła w badanym punkcie, R_H — rezystancję wiązki i styków w obie strony, a L_eq — indukcyjność równoważną pętli. Znak spadków jest ujemny względem V_S. Model nie obejmuje rezonansu filtru wejściowego ani nieliniowego ograniczenia prądu; ich wpływ wniesiono jako składnik niepewności modelu i sprawdzono w danych przebiegowych.

Założono. Dla najgorszego syntetycznego punktu obwiedni: $V_S=26{,}20 \mathrm{V}$, $I=17{,}0 \mathrm{A}$, $R_S=0{,}070 \Omega$, $R_H=0{,}045 \Omega$, $L_{eq}=24 \mu\mathrm{H}$ i $dI/dt=45\,000 \mathrm{A/s}$. Są to wartości wejściowe z charakterystyki laboratoryjnego źródła, pomiaru pętli i przedtestowego profilu emulatora — nie parametry platformy wojskowej.

Obliczono. Spadek rezystancyjny wynosi

$$\Delta V_R=17{,}0\,(0{,}070+0{,}045)=1{,}955 \mathrm{V},$$

a indukcyjny

$$\Delta V_L=24\cdot10^{-6}\cdot45\,000=1{,}080 \mathrm{V}.$$

Stąd

$$V_R=26{,}20-1{,}955-1{,}080=23{,}165 \mathrm{V}.$$

Budżet standardowej niepewności przed predykcją zapisano jawnie:

Wejście $u(x_i)$ współczynnik wrażliwości wkład standardowy do $V_R$
$V_S$ 0,120 V $+1$ 0,120 V
$I$ 0,500 A $-(R_S+R_H)=-0{,}115 \Omega$ 0,0575 V
$R_S$ 0,006 Ω $-I=-17{,}0 \mathrm{A}$ 0,102 V
$R_H$ 0,004 Ω $-I=-17{,}0 \mathrm{A}$ 0,068 V
$L_{eq}$ 2,0 µH $-dI/dt=-45\,000 \mathrm{A/s}$ 0,090 V
$dI/dt$ 4 000 A/s $-L_{eq}=-24 \mu\mathrm{H}$ 0,096 V
niedoskonałość modelu — — 0,100 V

W syntetycznym scenariuszu przyjęto przed obliczeniem, że siedem wejść budżetu jest wzajemnie niezależnych. Nie jest to wniosek z braku wykrytej korelacji; w realnym badaniu wspólne źródło kalibracji, temperatura albo wspólna identyfikacja parametrów wymagałyby członów kowariancyjnych.

$$u_c(V_R)=\sqrt{0{,}120^2+0{,}0575^2+0{,}102^2+0{,}068^2+0{,}090^2+0{,}096^2+0{,}100^2}=0{,}245 \mathrm{V}.$$

Dla $k=2$ otrzymano $U=0{,}490 \mathrm{V}$, a przedział predykcji użyty decyzyjnie $[22{,}675;23{,}655] \mathrm{V}$. Przewidziano: środek odpowiedzi jest o 0,335 V poniżej limitu, a dolny kraniec o 0,825 V poniżej. Już model nie uzasadnia zgodności; próba ma zidentyfikować mechanizm i sprawdzić skuteczność kontroli, nie „wywalczyć” wynik PASS.

MIL-STD-1275F pomaga zlokalizować interfejs zasilania pojazdowego na zaciskach odbiornika, lecz liczby studium nie pochodzą z tej normy.S11 Model źródło–sieć–odbiornik jest ważniejszy niż porównanie samego zasilacza z katalogową wartością, ponieważ ten sam odbiornik może mieć różny margines na stanowisku o krótkich przewodach i na platformie z realną impedancją dystrybucji.

Pomiar zsynchronizowany i rozdzielenie przyczyny od skutku

Plan TP-L-03 przewidział wspólną podstawę czasu. Kanały analogowe otrzymały znacznik sprzętowy, log platformy i log odbiornika rejestrowały ten sam impuls korelacyjny, a opóźnienia torów wyznaczono przed i po serii. Niepewność wzajemnego czasu, po uwzględnieniu kwantyzacji, jitteru znacznika i opóźnienia detekcji, wynosiła standardowo 0,18 ms; rozszerzona $U_t=0{,}36 \mathrm{ms}$ dla $k=2$.

Kanał Measurand Pasmo / semantyka Rola w hipotezach
C-L-VS napięcie na wyjściu modelu źródła pełny przebieg w planowanym paśmie odróżnia załamanie źródła od spadku sieci
C-L-VR napięcie różnicowe na zaciskach OD-7 measurand R-L-01 bezpośredni test brownoutu
C-L-I prąd pętli z korektą fazy zgodny timebase z napięciem sprawdza człony $IR$ i $L\,di/dt$
C-L-RST obserwowalny stan resetu odbiornika bez ujawniania wewnętrznego progu kolejność fizyczna
C-L-EPO identyfikator epoki i stan uzgodnienia log obu stron, nie tylko HMI test R-L-02 i P-L-04
C-L-DAT zdarzenia na izolowanym emulatorze danych klasy komunikatów, bez formatu operacyjnego test zasilania zwrotnego i freshness
C-L-HMI to, co widział operator nagranie zsynchronizowane skutek hazardu, nie proxy stanu wewnętrznego

Zmierzono. Seria obejmowała $n=20$ z góry wymaganych zdarzeń. Minima $v_i$ w kolejności zapisów napięciowych wynosiły: 23,16; 23,42; 23,38; 23,31; 23,29; 23,26; 23,31; 23,34; 23,32; 23,23; 23,27; 23,25; 23,41; 23,41; 23,39; 23,20; 23,30; 23,24; 23,37 i 23,32 V. Dają zakres 23,16–23,42 V, średnią 23,309 V (po zaokrągleniu 23,31 V) i odchylenie standardowe próby $s=0{,}073 \mathrm V$. Te dwie ostatnie statystyki opisują rozrzut zdarzeń, a nie niepewność średniej i nie są podstawą decyzji o R-L-01. Dla każdego $v_i$ budżet standardowej niepewności pomiaru obejmował kalibrację 0,045 V, korektę pasma 0,040 V, wpływ sondy/połączenia 0,055 V oraz wybór próbki i interpolację minimum 0,030 V. Składniki zadeklarowano jako niezależne w tym syntetycznym scenariuszu:

$$u_i=\sqrt{0{,}045^2+0{,}040^2+0{,}055^2+0{,}030^2}=0{,}0869 \mathrm{V},\qquad U_i=2u_i=0{,}1738 \mathrm{V}\approx0{,}174 \mathrm{V}.$$

Żadne z 20 zdarzeń nie spełniło reguły akceptacji, ponieważ nawet największe minimum dawało $23{,}42-0{,}1738=23{,}246 \mathrm V<23{,}50 \mathrm V$. Co najmniej jedno zdarzenie było wykazaną niezgodnością również według górnej granicy: $23{,}16+0{,}1738=23{,}334 \mathrm V<23{,}50 \mathrm V$. Zatem FAIL serii wynika z wielkości zdarzeniowej, nie ze średniej. Przy przybliżeniu normalnym, braku ukrytego biasu i $k=2$ jednostronne ryzyko fałszywego odrzucenia na granicy reguły FAIL wynosi około 2,3%; dla przyszłej decyzji PASS program musi osobno ustalić ryzyko fałszywej akceptacji i równoczesne pokrycie dla całej serii.

Średnia pozostaje użyteczna wyłącznie do lokalnej korelacji modelu: $23{,}309-23{,}165=0{,}144 \mathrm V$, czyli mniej niż połączona standardowa skala predykcji i średniej pomiarowej. Nie waliduje to modelu dla całej obwiedni.

W 18 zdarzeniach z obserwowalnym resetem minimum C-L-VR wystąpiło przed aktywacją C-L-RST, a średnie wyprzedzenie wynosiło 1,42 ms. Po odjęciu rozszerzonej niepewności synchronizacji pozostaje co najmniej 1,06 ms, więc kolejność nie jest artefaktem zegarów. Dwa wyniki „bez resetu” zachowano jako nieuporządkowaną parę: luka w manifeście nie pozwala przypisać ich do dwóch konkretnych śladów napięciowych. Wszystkie 20 śladów napięcia pozostaje jednak identyfikowalnych i wchodzi do decyzji R-L-01; nieuporządkowanej pary nie użyto do estymacji zależności minimum–reset ani do rozstrzygnięcia P-L-03. Po zastąpieniu toru danych izolowanym emulatorem minimum zmieniło się o 0,03 V, mniej niż rozszerzona niepewność porównania; reset nadal wystąpił. P-L-02 nie otrzymała wsparcia. W osobnej próbie czystego restartu z idealnym źródłem OD-7 odzyskał lokalny identyfikator poprzedniej konfiguracji, podczas gdy platforma nadal pokazywała stan uzgodniony przez 37 ms laboratoryjnej osi czasu; ten czas jest syntetyczną obserwacją software, nie parametrem systemu uzbrojenia.

Wywnioskowano. P-L-01 jest najlepiej wspartą przyczyną inicjującą: spadek na impedancji i szybkim narastaniu prądu poprzedza reset, zgadza się z budżetem i nie zależy od toru danych. P-L-04 jest niezależną przyczyną propagacji do H-L-01: nawet poprawnie wykryty reset nie unieważniał prezentowanego stanu. P-L-05 odrzucono w badanym zdarzeniu, bo kolejność przekraczała niepewność czasu. P-L-02 nie wyjaśniała obserwacji.

Nierozstrzygnięte. P-L-03 nie została całkowicie wykluczona poza zbadanym kształtem przebiegu: nie scharakteryzowano wszystkich dopuszczalnych kombinacji minimum, czasu trwania i nachylenia. Nie ustalono też, czy rozrzut dwóch prób bez resetu wynikał z temperatury układu nadzoru, czy z mniejszego $dI/dt$. Tych luk nie opisano jako zgodności.

Zdecydowano. DEC-L-01: kombinacja K-L-017/B4 nie spełnia R-L-01 ani R-L-02 w zdarzeniu E-L-04; nie może otrzymać RZK obejmującego tę obwiednię. Korekta ma dwie niezależne gałęzie: zmniejszenie fizycznego zapadu lub zwiększenie tolerancji odbiornika w kontrolowanym projekcie oraz wymuszenie stanu NIEUZGODNIONY po każdej zmianie epoki. Naprawienie tylko software ogranicza hazard, lecz nie przywraca marginesu energetycznego. Naprawienie tylko zasilania nie usuwa latentnego błędu recovery.

Macierz regresji studium lądowego

Zmiana albo przypadek G-L-01 budżet napięcia G-L-02 przebieg źródło–odbiornik G-L-03 restart/epoka G-L-04 dane negatywne G-L-05 HMI/operator Uzasadnienie
rezystancja wiązki, złącza lub powrotu ✓ ✓ — — — zmienia $IR$ i możliwy wspólny spadek
profil prądu lub filtr wejściowy ✓ ✓ ✓ — — zmienia minimum i możliwość resetu
układ nadzoru zasilania ✓ ✓ ✓ ✓ ✓ zmienia granicę między fizyką a stanem
software odbiornika lub platformy — monitor ✓ ✓ ✓ może przywrócić stary stan bez zmiany napięcia
schemat lub wartości danych KD — — ✓ ✓ ✓ wpływa na identyfikację i semantykę uzgodnienia
wersja GSE lub emulatora ✓ ✓ ✓ ✓ monitor może zmienić impedancję, timing i fault injection
temperatura lub skrajny stan źródła ✓ ✓ ✓ — — wejście do obwiedni fizycznej
wynik nieoczekiwany w surveillance według triage ✓ ✓ ✓ ✓ otwiera common-cause review dla populacji

Regresja obejmuje kombinacje: start każdej strony osobno, utratę energii jednej strony, utratę i powtórzenie danych, niezgodną wersję, przeciążenie, powrót energii oraz próbę ponownego uzgodnienia. Nie publikuje się tu kolejności, czasów ani szczegółów protokołu. Kryterium regresji jest systemowe: po każdym zdarzeniu stan widoczny operatorowi ma zgadzać się ze stanem authority w obu stronach, a energia ma zachować wymagany margines.

Studium powietrzne: dolny kwantyl luzu dynamicznego

Studium SP rozpatruje wyłącznie kontrolowany, obojętny artykuł badawczy IAB-2: bryłę pomiarową bez materiałów energetycznych, napędu, zapalnika, głowicy, naprowadzania i funkcji bojowej. Syntetyczna platforma PA-LAB, stacja SA-1, uchwyt badawczy UB-3, geometria GE-9, software rekonstrukcji SR-4 i układ kamer GSE-P-6 istnieją tylko w przykładzie. Opis nie podaje procedury uwolnienia, warunków lotu, współczynników aerodynamicznych ani kryteriów istniejącego systemu.

Najpierw faza kontaktowa, potem swobodne 6-DOF

Jeden model swobodnego ruchu uruchomiony w arbitralnej chwili nie opisuje początku zdarzenia. Dopóki choć jeden punkt styku przenosi reakcję albo element łączący wymusza ruch, artykuł nie ma sześciu niezależnych stopni swobody. Stan początkowy fazy swobodnej jest wynikiem fazy kontaktowej, a nie dowolnym wejściem.

Przyjęto prawoskrętny układ platformy $P$: oś $x_P$ do przodu syntetycznego pojazdu powietrznego, $y_P$ w prawo, $z_P$ w dół. Układ ciała artykułu $B$ jest nominalnie zbieżny z $P$ w stanie odniesienia. Położenie względne środka odniesienia wynosi

$$\mathbf r_P=\mathbf r_{IAB,P}-\mathbf r_{PA,P},$$

a dodatnie kąty obrotu stosują regułę prawej dłoni. Geometrię wymagania definiuje się nie jako dowolną parę punktów i jedną lokalną normalną, lecz jako dwa jawne zamknięte zbiory objętościowe. $\Omega_C^P(t)$ jest chronioną bryłą platformy — sumą wskazanych stref zakazanych, wraz z krawędziami i narożami — a $\Omega_A^B$ bryłą artykułu, dla której kontakt jest zabroniony. Ich chwilowe postacie w jednym układzie są

$$\Omega_A^P(t)=\mathbf T_{PB}(t)\,\Psi_A(t)\Omega_A^B, \qquad \Omega_C^P(t)=\Psi_P(t)\Omega_{C,0}^P,$$

gdzie $\mathbf T_{PB}(t)\mathbf x_B=\mathbf R_{PB}(t)\mathbf x_B+\mathbf r_P(t)$ przenosi punkt z $B$ do $P$, $\mathbf R_{PB}$ wynika ze znormalizowanego kwaternionu, a $\Psi_A$ i $\Psi_P$ są jawnie wersjonowanymi mapami odkształcenia. Pominięcie odkształcenia oznacza świadome przyjęcie $\Psi=I$, nie zmianę definicji.

Dla watertight chronionej bryły definiuje się funkcję podpisanej odległości

$$\phi_C(\mathbf x,t)= \begin{cases} \operatorname{dist}(\mathbf x,\Omega_C^P(t)), & \mathbf x\notin\Omega_C^P(t),\\ -\operatorname{dist}(\mathbf x,\partial\Omega_C^P(t)), & \mathbf x\in\operatorname{int}\Omega_C^P(t),\\ 0, & \mathbf x\in\partial\Omega_C^P(t), \end{cases}$$

a luz wymagania jako

$$g(t)=\min_{\mathbf x\in\Omega_A^P(t)}\phi_C(\mathbf x,t).$$

Konwencja jest zatem jednoznaczna: $g>0$ oznacza rozłączne bryły i jest zwykłą najmniejszą odległością euklidesową; $g=0$ oznacza pierwszy kontakt; $g<0$ oznacza nakładanie się objętości i ma wartość równą ujemnej głębokości najgłębiej położonego punktu artykułu względem granicy chronionej bryły. Jest to podpisany luz względem zdefiniowanej bryły chronionej, a nie symetryczna „uniwersalna głębokość penetracji”. Gdy wymaganie potrzebuje symetrycznej minimalnej translacji rozdzielającej dwie bryły, trzeba zdefiniować osobny measurand $p=\inf\{\|\mathbf v\|:\operatorname{int}[(\Omega_A^P+\mathbf v)\cap\Omega_C^P]=\varnothing\}$ i użyć $-p$ po penetracji.

Dla dwóch równoległych płaszczyzn ograniczających półprzestrzenie $\phi_C$ redukuje się do rzutu na ich wspólną normalną, ale minimum jest pobierane po właściwej bryle artykułu. Dla powierzchni zakrzywionej najbliższy punkt i normalna wynikają z rozwiązania problemu odległości; nie wybiera się normalnej w dowolnym punkcie. Na krawędzi lub narożu najbliższy punkt może nie mieć jednej normalnej, lecz wartość $\phi_C$ pozostaje określona. Dla wielu chronionych stref używa się ich jawnej sumy zbiorów; remisy zachowuje się jako wielokrotny zestaw kontaktów, zamiast arbitralnie usuwać jeden z nich.

Implementacja M-P-C używa szerokiej fazy BVH/AABB wyłącznie do odrzucania par z udowodnionym dodatnim dolnym ograniczeniem, a następnie fazy dokładnej. Dla siatek faza dokładna obejmuje co najmniej kandydatów wierzchołek–ściana i krawędź–krawędź oraz przypadki współpłaszczyznowe; dla powierzchni parametrycznych — ekstrema wnętrza płata i jego brzegów. Lista kandydatów nie może być ograniczona nominalną normalną ani najbliższą parą z poprzedniej klatki. Ruch między próbkami sprawdza się metodą ciągłą albo konserwatywną granicą przemieszczenia; w przeciwnym razie krótki kontakt może zostać pominięty. Niewodoszczelna powłoka musi zostać naprawiona lub zastąpiona bryłą o zadanej grubości. Błąd aproksymacji siatki, tolerancja solvera, degeneracje i ewentualny podział na bryły wypukłe należą do niepewności modelu. Po wykryciu penetracji algorytm przechodzi na odporny test wnętrza/SDF lub ograniczony problem minimalnej translacji; ekstrapolacja jednej normalnej kontaktowej nie wystarcza.

Faza F-P-C obejmuje kontakt, luzowanie więzów, tarcie, podatność, możliwą kolejność zaniku reakcji i wszelkie kontrolowane elementy badawcze. Jej stan ma postać

$$\mathcal S_C=\{\mathbf q,\dot{\mathbf q},\boldsymbol\lambda,\mathcal A_C\},$$

gdzie $\boldsymbol\lambda$ są reakcjami więzów, a $\mathcal A_C$ — aktywnym zbiorem kontaktów. Przejście do F-P-6 następuje w modelu dopiero, gdy wszystkie reakcje i wymuszenia kontaktowe zanikną zgodnie z kryterium numerycznym oraz zostanie ustalony jeden wspólny czas $t_0$. Wtedy wektor

$$\mathcal S_6(t_0)=\{\mathbf r_P,\mathbf v_P,\mathbf Q_{PB},\boldsymbol\omega_B,m,\mathbf J_B\}_{t_0}$$

staje się warunkiem początkowym swobodnego modelu 6-DOF. $\mathbf Q_{PB}$ jest znormalizowanym kwaternionem orientacji, a $\mathbf J_B$ tensorem bezwładności w zadanej konfiguracji. Użycie położenia nominalnego zamiast wyjścia modelu kontaktu wymazałoby właśnie asymetrię, którą test ma wykryć.

MIL-HDBK-516D, aktywny od 29 maja 2026 r., w §17 rozdziela zagadnienia aeromechaniczne, środowiskowe, integrację systemową i kontrolę konfiguracji, a w §17.1 odróżnia clearances, loads/dynamics i separation. Jest podręcznikiem kryteriów zdatności, nie wymaganiem projektowym ani automatycznym certyfikatem.S22 MIL-HDBK-1763 w §§4.1.3–4.1.4 i 4.2–4.4 podobnie wiąże dane inżynierskie, analizy, sekwencję prób, akwizycję i raport decyzji dla domeny aircraft/store.S15 W przykładzie źródła te uzasadniają rozdzielenie pytań, nie syntetyczne wartości.

Wymaganie, stack i hipotezy

R-P-01: dla konfiguracji K-P-022/C2, w zdefiniowanej populacji odniesienia warunków E-P-05, jednoprocentowy dolny kwantyl minimalnego luzu w połączonych fazach F-P-C i F-P-6 ma być nie mniejszy niż 5,00 mm. Decyzja populacyjna wymaga $\widehat q_{0,01}-U_q\ge5{,}00 \mathrm{mm}$. Dodatkowo wynik pomiaru w każdej reprezentatywnej próbie podlega odrębnej regule $g_{min}-U_g\ge5{,}00 \mathrm{mm}$. Limit służy wyłącznie dydaktyce.

Wymaganie kwantylowe i reguła pojedynczej próby odpowiadają na różne pytania. Pierwsze dotyczy zmienności populacji wejść, drugie chroni decyzję pomiarową dla konkretnej obserwacji. Nie wolno policzyć kwantyla z trzech wybranych przejść ani utożsamić najmniejszego piksela rekonstrukcji z prawdziwym minimum bez niepewności.

Przedtestowy stack zapisano jako

$$g_{min}=g_0-\delta_T-\delta_D-\delta_C-\delta_F,$$

gdzie $g_0$ jest nominalnym luzem geometrii odniesienia, $\delta_T$ ubytkiem przez tolerancje części i montażu, $\delta_D$ przez ugięcie i drgania platformy, $\delta_C$ przez stan wyjściowy fazy kontaktowej, a $\delta_F$ przez ruch swobodny w badanym oknie. Dodatnia wartość każdego $\delta$ zmniejsza luz.

Zdefiniowano populację. Populacją odniesienia są wszystkie egzemplarze zgodne z K-P-022/C2 oraz wszystkie realizacje warunków E-P-05 losowane według zamrożonego modelu produkcyjno-środowiskowego; wynik nie dotyczy innych stacji, rewizji ani obwiedni. Aleatoryczne zmienne populacyjne przyjęto jawnie jako: $g_0\sim\mathcal N(24{,}0;0{,}4^2)$ mm, $\delta_T\sim\mathcal N(3{,}0;0{,}8^2)$ mm, $\delta_D\sim\mathcal N(5{,}8;0{,}9^2)$ mm, $\delta_C\sim\mathcal N(4{,}4;1{,}2^2)$ mm i $\delta_F\sim\mathcal N(2{,}2;0{,}7^2)$ mm. Drugi parametr każdej pary jest wariancją populacji, nie niepewnością pomiaru. W syntetycznym modelu zadeklarowano $\rho_{TD}=+0{,}35$, ponieważ ten sam offset zmienia ramię obciążenia; pozostałe pary są z definicji niezależne. To założenie scenariusza, a nie wniosek „z braku wykazanej korelacji”.

Epistemiczną niepewność błędu modelu zachowano osobno: $u_M=0{,}80$ mm jest standardową niepewnością addytywnego biasu predykcji kwantyla. Standardowa niepewność parametrów rozkładów i ich przeniesienia do kwantyla wynosi w przykładzie $u_{par}=0{,}25$ mm. Żadna z nich nie powiększa wariancji populacji.

Obliczono populacyjnie. Średni luz wynosi

$$\bar g=24{,}0-3{,}0-5{,}8-4{,}4-2{,}2=8{,}6 \mathrm{mm}.$$

Wariancja aleatoryczna, wraz z korelacją składników odejmowanych o tym samym znaku, jest równa

$$\sigma_{pop}^2=0{,}4^2+0{,}8^2+0{,}9^2+1{,}2^2+0{,}7^2+2(0{,}35)(0{,}8)(0{,}9)=4{,}044 \mathrm{mm^2},$$

zatem $\sigma_{pop}=2{,}011$ mm. Kontrola analityczna dla przybliżenia normalnego daje

$$q_{0{,}01}=8{,}6-2{,}32635\cdot2{,}01097=3{,}922 \mathrm{mm}.$$

Oszacowano symulacyjnie. Zamrożona symulacja Monte Carlo M-P-Q użyła implementacji NumPy 1.26.3, $N=200\,000$ realizacji generatora PCG64 z ziarnem 20260906 i metody Generator.standard_normal. W jednym wywołaniu pobrano macierz $N\times5$ niezależnych zmiennych standardowo normalnych $(z_0,\ldots,z_4)$; przyjęto $g_0=24+0{,}4z_0$, $\delta_T=3+0{,}8z_1$, $\delta_D=5{,}8+0{,}9[0{,}35z_1+\sqrt{1-0{,}35^2}z_2]$, $\delta_C=4{,}4+1{,}2z_3$ i $\delta_F=2{,}2+0{,}7z_4$. Ten zapis usuwa zależność wyniku od niejawnej kolejności losowania. Kwantyl wyznaczono z uporządkowanej próby interpolacją liniową typu 7, przy pozycji $h=1+(N-1)0{,}01$. Otrzymano średnią 8,6004 mm, odchylenie standardowe próby 2,0131 mm i $\widehat q_{0,01}=3{,}9158$ mm. Dwustronny 95-procentowy, nieparametryczny przedział oparty na rozkładzie liczby obserwacji poniżej kwantyla — statystyki pozycyjne 1914 i 2090 — wyniósł $[3{,}8778;3{,}9494]$ mm. Jego równoważna standardowa skala Monte Carlo to $u_{MC}=0{,}0183$ mm.

Epistemiczny budżet decyzji, przy zadeklarowanej niezależności trzech składników scenariusza, wynosi

$$u_q=\sqrt{u_{MC}^2+u_{par}^2+u_M^2} =\sqrt{0{,}0183^2+0{,}25^2+0{,}80^2}=0{,}838 \mathrm{mm},$$

$$U_q=2u_q=1{,}677 \mathrm{mm},\qquad \widehat q_{0,01}-U_q=3{,}9158-1{,}6767=2{,}239 \mathrm{mm}<5{,}00 \mathrm{mm}.$$

Przy normalnym modelu niepewności epistemicznej i braku ukrytego biasu $k=2$ odpowiada około 2,3% jednostronnego ryzyka fałszywej akceptacji na granicy; nie jest to gwarancja przy błędnym modelu ogona. Przewidziano: R-P-01 nie uzyskuje PASS, ponieważ dolna granica decyzji wynosi 2,239 mm. Zgodnie z binarną regułą bramki kwalifikacyjnej daje to status FAIL i odmowę rozszerzenia RZK. Nie jest to jednak rozstrzygający metrologiczny dowód, że prawdziwy kwantyl leży poniżej limitu: do takiego wniosku według reguły symetrycznej potrzebne byłoby $\widehat q_{0,01}+U_q<5{,}00$ mm, podczas gdy tutaj górna granica wynosi 5,593 mm. Największym pojedynczym składnikiem wariancji aleatorycznej jest faza kontaktowa, nie swobodny lot. Pominięcie korelacji dałoby $\sigma_{pop}=1{,}881$ mm i sztucznie podniosłoby kwantyl analityczny do około 4,22 mm.

Normalność jest tu demonstracyjnym założeniem, nie cechą fizyczną. Rozkłady normalne są nieograniczone, nie opisują mieszanin partii, ograniczeń montażowych ani rzadkich zmian trybu kontaktu, a jednoprocentowy ogon jest szczególnie wrażliwy na skośność, grube ogony i błędną korelację. W realnym programie rozkłady należy oprzeć na danych populacyjnych, rozdzielić partie i tryby, przeprowadzić analizę czułości ogona oraz nie ekstrapolować poza zwalidowaną obwiednię. Duże $N$ zmniejsza wyłącznie błąd Monte Carlo; nie naprawia błędu modelu.

Równolegle wykonano bounded stack dla kontroli błędów modelu: $24-4-7-6-3=4$ mm dla uzasadnionych granic wejść. To nie jest „trzy sigma” ani prawdopodobieństwo; jest odrębną analizą skrajności. Zbieżność obu metod poniżej 5 mm zwiększa pilność badania, lecz ich wyników nie wolno uśredniać.

Hipotezy przed próbą były następujące:

Hipoteza Przewidywany podpis w danych
P-P-01 — stack geometrii stały offset luzu obecny już przed zanikiem reakcji, bez nowego impulsu kątowego
P-P-02 — błędne właściwości masowe rozbieżność przyspieszeń i prędkości kątowych dopiero po t_0, zgodna ze zmianą $m$, środka masy lub $\mathbf J_B$
P-P-03 — asymetryczny ostatni kontakt początek prędkości kątowej przed lub w granicach t_0, skorelowany z różnicą reakcji kontaktowych
P-P-04 — nieodwzorowany element łączący siła lub przemieszczenie względne utrzymują się po deklarowanym t_0; model za wcześnie przechodzi do 6-DOF
P-P-05 — błąd rekonstrukcji optycznej skok zależy od zestawu kamer, zasłonięcia celu lub kalibracji, bez odpowiednika w niezależnym czujniku
P-P-06 — błąd modelu oddziaływania przepływu rozbieżność narasta dopiero w F-P-6 i zmienia się systematycznie z kontrolowaną zmienną przepływu

Fotogrametria i wynik

Układ GSE-P-6 obserwował niezależne zestawy znaczników na platformie i artykule. Kalibrację wewnętrzną kamer, ich położenie, skalę i zniekształcenie traktowano jako wejścia do rekonstrukcji; nieruchomy wzorzec w kadrze kontrolował dryf. NASA opisała fotogrametrię jako metodę rekonstrukcji ruchu sztywnego 6-DOF i wskazuje kalibrację kamer, geometrię znaczników oraz śledzenie jako warunki wyniku; jest to źródło informacyjne z domeny badań kosmicznych/lotniczych, nie norma zgodności dla uzbrojenia.S23 Ogólne zasady niepewności nadal pochodzą z JCGM 100.S19

C-P-POS przechowywał pozycję i orientację obu brył, C-P-CNT reakcje w kontrolowanym uchwycie, C-P-REF nieruchomy wzorzec, C-P-TIM wspólny timebase, a C-P-IND niezależny, niskoinercyjny wskaźnik ruchu kątowego. Surowe obrazy zachowano obok wyników rekonstrukcji, aby aktualizacja algorytmu nie usuwała możliwości odtworzenia D-P-04.

Zmierzono. W reprezentatywnej próbie minimum rekonstrukcji wyniosło $g_{min}=4{,}10$ mm. Budżet standardowy zawierał kalibrację kamery 0,25 mm, skalę 0,20 mm, rozwiązanie pozy/triangulację 0,35 mm, synchronizację przeliczoną przez lokalną prędkość na 0,30 mm i lokalizację cechy powierzchni 0,25 mm:

$$u_c(g)=\sqrt{0{,}25^2+0{,}20^2+0{,}35^2+0{,}30^2+0{,}25^2}=0{,}614 \mathrm{mm}.$$

Dla $k=2$, $U=1{,}229$ mm. Dolny kraniec decyzji to

$$g_{min}-U=4{,}10-1{,}229=2{,}871 \mathrm{mm}<5{,}00 \mathrm{mm}.$$

Pojedyncza próba nie uzyskuje PASS i dlatego nie może otworzyć bramki; nawet środek pomiaru leży 0,90 mm poniżej limitu. Nie jest to jednak rozstrzygający metrologiczny FAIL, ponieważ $g_{min}+U=5{,}329$ mm przekracza limit. Nie ma podstaw, aby odejmować niepewność tylko od limitu albo użyć niepewności kalibracji jednej kamery zamiast całego modelu pomiaru.

W zsynchronizowanym zapisie różnica reakcji C-P-CNT poprzedzała utratę ostatniego kontaktu, a prędkość kątowa wyznaczona z C-P-POS i potwierdzona przez C-P-IND zaczynała narastać w granicach niepewności czasu przejścia. Po t_0 model 6-DOF inicjalizowany stanem zmierzonym odtwarzał trend; inicjalizowany stanem nominalnym nie odtwarzał minimum. W rekonfiguracji kamer minimum zmieniło się o 0,16 mm, mniej niż niepewność porównania.

Wywnioskowano. P-P-03 — asymetria ostatniego kontaktu — jest głównym wyjaśnieniem utraty marginesu. P-P-01 wnosi stały offset, lecz nie wyjaśnia pojawienia się prędkości kątowej. P-P-05 nie jest wsparta, ponieważ podpis występuje w niezależnym kanale i pozostaje po zmianie rekonstrukcji. P-P-02 pozostaje wkładem w rozrzut swobodny, ale nie inicjuje obserwowanego odchylenia.

Nierozstrzygnięte. P-P-04 nie została zamknięta dla wszystkich wariantów elementu badawczego; w zbadanej konfiguracji siła zanikała, lecz rozdzielczość kanału nie pokrywa najmniejszego postulowanego oddziaływania. P-P-06 nie została zwalidowana poza kontrolowanym zakresem przepływu. Jedna dobrze odtworzona trajektoria nie ustanawia modelu dla obwiedni lotniczej.

Zdecydowano. DEC-P-01: brak zgody na rozszerzenie RZK na swobodną fazę F-P-6. O-P-01 ogranicza IAB-2 do badań naziemnych i ruchu utrzymywanego, dopóki nowa geometria/kinematyka kontaktu nie przejdzie korelacji oraz kwantylowej oceny zgodności. Jest to decyzja o obojętnym artykule badawczym, nie procedura dla uzbrojenia. Zmiana samego modelu bez zmiany fizycznej i ponownego pomiaru nie może usunąć braku dowodu zgodności.

Macierz regresji studium powietrznego

Przedmiot zmiany geometria/statyczny fit G-P-01 kontakt G-P-02 mass properties G-P-03 6-DOF G-P-04 fotogrametria G-P-05 decyzja kwantylowa G-P-06
powierzchnia, adapter, preload, tolerancja ✓ ✓ ocena ✓ ✓ ✓
masa, środek masy, tensor bezwładności kontrola ✓ ✓ ✓ kontrola ✓
sztywność/tłumienie platformy lub stacji ✓ ✓ — ✓ ✓ ✓
model tarcia lub kryterium zaniku kontaktu — ✓ — ✓ odtworzenie ✓
geometria przepływu lub zakres środowiska — ocena — ✓ ✓ ✓
kamera, obiektyw, kalibracja, znaczniki — — — — ✓ ✓
algorytm rekonstrukcji / filtr — odtworzenie — odtworzenie ✓ ✓
nowa platforma albo stacja ✓ ✓ ✓ ✓ ✓ ✓

Dowód z fazy kontaktowej można wykorzystać do ustawienia stanu początkowego 6-DOF, ale nie jako zamiennik dowodu ruchu swobodnego. Odwrotnie, poprawny daleki od platformy fragment trajektorii nie unieważnia wcześniejszego naruszenia luzu. Chronologia jest częścią logiki zgodności.

Studium morskie: zimny punkt, kondensacja i fałszywy trop E3

Studium SM opisuje syntetyczną, niebojową kasetę diagnostyczną KD-M, stację okrętową SO-LAB, obudowę OB-5, software SW-M2 i rejestrator GSE-M-7. Po czterech godzinach kontrolowanego chłodzenia pojawia się alarm komunikacji. Zespół początkowo nazywa zdarzenie „EMI”, ponieważ w logu widzi błędy ramek. To nazwa skutku, nie dowód przyczyny.

Punkt rosy i model cieplny

R-M-01: w obwiedni E-M-03 temperatura każdej krytycznej powierzchni wewnętrznej ma pozostawać powyżej lokalnego punktu rosy z marginesem uwzględniającym niepewność albo konstrukcja ma bezpiecznie zarządzać kondensatem. R-M-02: po czterogodzinnej ekspozycji E-M-03, przy bezpiecznie odłączonej i niepobudzonej funkcjonalnie kasecie KD-M, rezystancja izolacji $R_{iso}$ między określoną w planie grupą rozłączonych żył a obudową odniesienia, odczytana po 60 s od przyłożenia syntetycznego napięcia pomiarowego 50,0 V DC, ma wynosić co najmniej 10,0 MΩ. Reguła K-M-02 ma dwustronny obszar niejednoznaczny: PASS, gdy $\widehat R_{iso}-U\ge10{,}0$ MΩ; rozstrzygający FAIL, gdy $\widehat R_{iso}+U<10{,}0$ MΩ; w pozostałych przypadkach wynik oznacza brak wystarczającego dowodu. R-M-03: alarm komunikacyjny nie może być klasyfikowany jako E3 bez wykazania łańcucha source–path–receptor i czasowej zgodności z pobudzeniem elektromagnetycznym. Limity i napięcie w R-M-02 są wyłącznie wartościami syntetycznego studium, a nie wymaganiami dla realnego sprzętu.

Dla temperatury powietrza $T$ w °C i wilgotności względnej $RH$ jako ułamka użyto algebraicznego odwrócenia przybliżenia Magnusa w postaci równania 4.B.1 przytoczonego przez WMO:

$$\gamma=\ln(RH)+\frac{17{,}62T}{243{,}12+T},\qquad T_d=\frac{243{,}12\gamma}{17{,}62-\gamma}.$$

WMO-No. 8, tom I, rozdział 4 i aneks 4.B opisują pomiar wilgotności, ciśnienie pary nasyconej oraz zależności do wyznaczania punktu rosy. Jest to międzynarodowy przewodnik metrologiczny/meteorologiczny, nie norma kwalifikacji sprzętu morskiego.S24 Przybliżenie obowiązuje w zadanym zakresie i nie zastępuje analizy kondensacji na zanieczyszczonej powierzchni ani transportu wilgoci.

Założono. Początkowo $T=25{,}0 ^\circ\mathrm C$, $RH=0{,}700$. Otoczenie po zmianie wynosi $T_e=14{,}0 ^\circ\mathrm C$. Stała czasowa skupionego modelu obudowy to $\tau=3{,}0$ h, a lokalny mostek cieplny obniża temperaturę krytycznej powierzchni o $\Delta T_b=1{,}1 ^\circ\mathrm C$ względem temperatury skupionej. Model pierwszego rzędu brzmi

$$T_c(t)=T_e+(T_0-T_e)e^{-t/\tau}-\Delta T_b.$$

Nie zakłada się, że wilgoć natychmiast znika po rozpoczęciu chłodzenia. Syntetyczna obudowa nie jest jednak hermetyczną, sztywną objętością: jej mikroklimat jest połączony gazowo z dużo większym, buforowanym rezerwuarem wilgotnego gazu. W rozpatrywanym przedziale temperatura gazu w rezerwuarze, jego ciśnienie cząstkowe pary $p_v$ i wynikający z niego punkt rosy są traktowane jako stałe; przejściowo chłodzi się przede wszystkim krytyczna powierzchnia przy mostku cieplnym. Jest to jawny warunek brzegowy modelu, a nie wniosek z zachowania masy pary w zamkniętej przestrzeni.

Obliczono. Dla stanu początkowego

$$\gamma=\ln(0{,}700)+\frac{17{,}62\cdot25{,}0}{243{,}12+25{,}0}=1{,}2862,$$

$$T_d=\frac{243{,}12\cdot1{,}2862}{17{,}62-1{,}2862}=19{,}15 ^\circ\mathrm C.$$

Po czterech godzinach

$$T_c(4)=14+11e^{-4/3}-1{,}1=15{,}80 ^\circ\mathrm C,$$

a nominalny margines względem rosy wynosi

$$m_T=T_c-T_d=15{,}80-19{,}15=-3{,}35 ^\circ\mathrm C.$$

Przewidywany moment przecięcia warunku $T_c=T_d$ wyznacza

$$t_*=-\tau\ln\left(\frac{T_d+\Delta T_b-T_e}{T_0-T_e}\right) =-3\ln\left(\frac{19{,}15+1{,}1-14}{11}\right)=1{,}70 \mathrm h.$$

Rachunek czasu zakłada opisany wyżej warunek brzegowy ze stałymi $p_v$ i $T_d$, utrzymywany przez duży buforowany rezerwuar, a nie stałą masę pary w sztywnej objętości. Lokalny stopień nasycenia przy powierzchni, oceniany jako $p_v/e_s(T_c)$, rośnie, gdy powierzchnia się chłodzi, chociaż parametry rezerwuaru pozostają stabilne. Przyjęto również stałe parametry modelu cieplnego. Po rozpoczęciu kondensacji rachunek przestaje być pełnym modelem transportu masy pary i kondensatu.

Budżet punktu rosy wykorzystuje lokalne wrażliwości numeryczne $\partial T_d/\partial T=0{,}9568$ oraz $\partial T_d/\partial RH=22{,}9379 ^\circ\mathrm C$ na jednostkę ułamka RH. Dla $u(T)=0{,}25 ^\circ\mathrm C$, $u(RH)=0{,}020$ i $u_{form}=0{,}15 ^\circ\mathrm C$:

$$u(T_d)=\sqrt{(0{,}9568\cdot0{,}25)^2+(22{,}9379\cdot0{,}020)^2+0{,}15^2}=0{,}539 ^\circ\mathrm C.$$

Dla zimnego punktu składniki standardowe: sensor 0,25°C, położenie 0,35°C, model przejściowy 0,45°C i korekta mostka 0,30°C dają

$$u(T_c)=\sqrt{0{,}25^2+0{,}35^2+0{,}45^2+0{,}30^2}=0{,}691 ^\circ\mathrm C.$$

W syntetycznym budżecie przyjęto niezależność składników punktu rosy oraz zimnego punktu; gdyby wspólna kalibracja lub warunki stanowiska wprowadzały korelację, należałoby dodać wyrazy kowariancji. Przy tym jawnym założeniu $u(m_T)=\sqrt{0{,}539^2+0{,}691^2}=0{,}876 ^\circ\mathrm C$, a $U=1{,}752 ^\circ\mathrm C$ dla $k=2$. Nawet górny kraniec marginesu $-3{,}35+1{,}752=-1{,}598 ^\circ\mathrm C$ pozostaje poniżej zera. Przewidziano: w syntetycznej konfiguracji kondensacja na zimnym punkcie jest oczekiwana, a nie jedynie możliwa na granicy niepewności.

Hipotezy, zsynchronizowane obserwacje i decyzja

Hipoteza Przewidywana sekwencja Pomiar rozróżniający
P-M-01 — nieszczelność doprowadza nową wilgoć zmiana składu/wilgotności poprzedza spadek izolacji; wynik zależy od próby szczelności C-M-RH, kontrola szczelności w autoryzowanym laboratorium
P-M-02 — utrata zdolności pochłaniacza wilgoci wysoka wilgotność bez wykrywalnego przecieku, trend zależny od historii ekspozycji masa/stan kontrolnego wkładu, historia D-M-HIS
P-M-03 — błąd sensora wilgotności wyliczony punkt rosy nie zgadza się z niezależnym odniesieniem, bez optycznego/elektrycznego śladu kondensacji redundantny C-M-RH2, wzorzec rosy
P-M-04 — nieujęty mostek cieplny inicjuje kondensację $T_c<T_d$ poprzedza spadek izolacji, lokalizacja zdarzenia zgadza się z mapą termiczną C-M-TC, C-M-IR, inspekcja po bezpiecznym odłączeniu
P-M-05 — higroskopijne zanieczyszczenie tworzy przewodzącą warstwę izolacja nie wraca natychmiast po osuszeniu; efekt zależy od kontrolowanego kuponu czystości C-M-ISO, analiza kuponu, trend po oczyszczeniu depotowym
P-M-06 — rzeczywiste sprzężenie E3 błędy są czasowo i amplitudowo związane ze źródłem pola/prądu oraz drogą sprzężenia; nie wymagają $T_c<T_d$ C-M-EM, prądy wspólne, bonding, kontrolowana próba E3
P-M-07 — artefakt licznika/HMI licznik lub alarm HMI rośnie bez odpowiadających mu surowych zdarzeń sterownika albo wskutek przepełnienia, utraty wpisów lub zmiany epoki surowe zdarzenia C-M-BUS vs licznik HMI, kontrola epoki i przepełnienia
P-M-08 — firmware lub sterownik wytwarza surowe zdarzenia bez fizycznego naruszenia toru surowy błąd pojawia się mimo poprawnej niezależnej rejestracji elektrycznej, a kontrolowane odtworzenie symboli logicznych wywołuje go bez degradacji analogowej pasywny kanał C-M-PHY, deterministyczne odtworzenie danych i porównanie z C-M-BUS

Kanały C-M-TA i C-M-RH mierzyły stan powietrza; C-M-TC i mapa C-M-IR — powierzchnię; C-M-ISO — rezystancję izolacji przy bezpiecznym, laboratoryjnym pobudzeniu pomiarowym; C-M-BND — bonding; C-M-BUS — surowe klasy błędów zgłoszone przez sterownik; C-M-PHY — niezależny, pasywny zapis różnicowego przebiegu elektrycznego i naruszeń jego progów/czasu; C-M-EM — lokalne pole i prąd wspólny. Wszystkie otrzymały wspólną podstawę czasu. Żaden pojedynczy kanał nie był użyty jako substytut drugiego: bonding nie mierzy izolacji, monitor pola nie mierzy wilgoci, a log sterownika nie jest niezależnym pomiarem fizycznego zdarzenia w torze.

Zmierzono. W chwili reprezentatywnego zdarzenia powierzchnia miała $15{,}9\pm0{,}6 ^\circ\mathrm C$, powietrze $24{,}8\pm0{,}3 ^\circ\mathrm C$, a $RH=0{,}710\pm0{,}020$. Punkt rosy z tych danych wynosił $19{,}2\pm0{,}6 ^\circ\mathrm C$. Rezystancja izolacji spadła z wartości cenzurowanej „powyżej 200 MΩ” do $8{,}4\pm0{,}9 \mathrm{M}\Omega$; bonding pozostał $2{,}8\pm0{,}4 \mathrm{m}\Omega$. Każdy zapis „$\pm$” w tym akapicie oznacza niepewność rozszerzoną $U$ dla $k=2$, a nie tolerancję ani odchylenie próby; wartości są syntetyczne i nie ustanawiają kryteriów dla sprzętu.

Measurand C-M-ISO odpowiada dokładnie R-M-02: $\widehat R_{iso}$ jest odczytem po 60 s, przy 50,0 V DC, między zdefiniowaną grupą rozłączonych żył a obudową, dla niepobudzonej funkcjonalnie KD-M, przy zmierzonych $15{,}9 ^\circ\mathrm C$ na powierzchni i $RH=0{,}710$. Standardowy budżet syntetyczny obejmuje: kalibrację miernika 0,18 MΩ, korektę napięcia i obciążenia 0,15 MΩ, upływ przewodów/uchwytu 0,24 MΩ, korektę temperaturową 0,20 MΩ, krótkookresową powtarzalność 0,16 MΩ oraz model czasu ustalania i odczytu 0,14 MΩ. Przyjęto ich niezależność; jest to jawne założenie przykładu, które w rzeczywistym budżecie trzeba zastąpić macierzą korelacji, jeżeli te same kalibracje lub warunki wpływają na kilka składników. Zatem

$$u_c(R_{iso})=\sqrt{0{,}18^2+0{,}15^2+0{,}24^2+0{,}20^2+0{,}16^2+0{,}14^2}=0{,}445 \mathrm{M}\Omega,$$

$$U=2u_c=0{,}889 \mathrm{M}\Omega\approx0{,}9 \mathrm{M}\Omega.$$

Guard band znajduje się po stronie akceptacji dolnego limitu. Dla PASS potrzebne byłoby $\widehat R_{iso}-U\ge10{,}0$ MΩ, natomiast tutaj także górny kraniec $8{,}4+0{,}889=9{,}289$ MΩ pozostaje poniżej limitu. K-M-02 daje więc rozstrzygający FAIL, nie tylko brak dowodu PASS. Przy warunkowym modelu normalnym, poprawnym budżecie i braku nieujętego biasu użycie $k=2$ ogranicza na granicy jednostronne ryzyko fałszywej akceptacji przez regułę PASS oraz fałszywego odrzucenia przez regułę FAIL do około 2,3% każde. Ta liczba nie obejmuje błędu definicji measurandu, nieznanych korelacji ani wyboru niewłaściwego rozkładu.

Pierwszy wzrost surowych błędów C-M-BUS nastąpił po spadku C-M-ISO, natomiast C-M-EM nie zarejestrował zmiany przekraczającej własną niepewność. Dla pierwszych 12 surowych zdarzeń C-M-BUS niezależny C-M-PHY zarejestrował w tym samym oknie czasu naruszenie syntetycznego progu amplitudowo-czasowego; po osuszeniu deterministyczne odtworzenie tej samej sekwencji symboli logicznych, bez degradacji przebiegu elektrycznego, nie wywołało ani naruszeń C-M-PHY, ani surowych błędów sterownika. Jest to syntetyczny dowód różnicujący dla obserwowanego zdarzenia, nie ogólna kwalifikacja całego firmware.

Klasyfikowanie zdarzenia po nazwie licznika byłoby pomyleniem skutku z przyczyną. Błąd transmisji może powstać wskutek sprzężenia elektromagnetycznego, ale także upływu, przesunięcia poziomu odniesienia, resetu, błędnej terminacji, software lub stanowiska. MIL-STD-464D wymaga systemowego podejścia do E3; sam fakt wystąpienia błędu danych nie jest testem zgodności z tym standardem.S18

Wywnioskowano. P-M-04 jest główną hipotezą inicjującą: temperatura zimnego punktu przekroczyła w dół punkt rosy przed zmianą izolacji, a lokalizacja odpowiadała mapie cieplnej. P-M-05 najlepiej wyjaśnia, dlaczego izolacja odzyskiwała się wolniej niż temperatura. P-M-06 nie otrzymała wsparcia w tym zdarzeniu: brak skorelowanego pobudzenia i niezmieniony bonding nie dowodzą absolutnej odporności E3, ale odcinają twierdzenie, że E3 było wykazaną przyczyną. P-M-07 odrzucono wyłącznie jako hipotezę artefaktu licznika/HMI, ponieważ każde z rozpatrzonych wskazań miało wcześniejszy surowy odpowiednik. Nie odrzuca to całej klasy błędów software. Węższa, odrębna P-M-08 nie jest wsparta dla tego zdarzenia: zgodność C-M-PHY z surowymi błędami i negatywny wynik odtworzenia bez fizycznej degradacji różnicują sterownik od rzeczywistego naruszenia elektrycznego. Nie dowodzi to poprawności innych funkcji ani innych stanów firmware.

Nierozstrzygnięte. Nie rozstrzygnięto między P-M-01 i P-M-02, ponieważ ta seria nie zawierała zwalidowanej próby szczelności ani pełnej historii wkładu wilgoci. Nie ustalono chemicznego składu pozostałości; P-M-05 pozostaje wsparta przebiegiem, lecz niezamknięta materiałowo. Nie badano wszystkich konfiguracji prowadzenia przewodów, więc nie wydano ogólnego pozytywnego werdyktu E3. Poza odtworzoną ścieżką odbioru błędów nie kwalifikowano pozostałych funkcji firmware.

Zdecydowano. DEC-M-01: dla zaobserwowanej konfiguracji anomalia A-M-07 zostaje zamknięta decyzyjnie w zakresie klasyfikacji wykazanego łańcucha jako „niezgodność środowiskowo-termiczna z wtórnym skutkiem danych”, a nie „usterka E3”; R-M-02/K-M-02 ma rozstrzygający status FAIL. Zamknięcie dotyczy tego łańcucha i nie oznacza zamknięcia niewiedzy o drodze dopływu wilgoci, zanieczyszczeniu materiałowym, E3 ani całym firmware. RZK nie obejmuje E-M-03 do czasu usunięcia zimnego punktu lub kontrolowania wilgoci, potwierdzenia czystości i szczelności oraz ponownego testu. DEC-M-02: osobna ocena E3 pozostaje otwarta zgodnie z własnym planem; wynik termiczny nie może jej ani zaliczyć, ani obalić.

MIL-STD-810H Method 507.6 dostarcza ramy dostosowania prób wilgotności, ale wybór profilu musi wynikać z lifecycle i nie zastępuje instrumentacji lokalnego zimnego punktu.S10 Okrętowe wymagania zasilania, drgań i udaru pozostają oddzielnymi twierdzeniami domenowymi.S12,S16,S17 Próba laboratoryjna, w której obudowa nie widzi realnego mostka montażowego, może ominąć mechanizm mimo poprawnego sterowania wilgotnością komory.

Macierz regresji studium morskiego

Zmiana / ekspozycja cieplny model G-M-01 rosa/wilgoć G-M-02 izolacja/czystość G-M-03 dane/restart G-M-04 bonding/E3 G-M-05 szczelność G-M-06
materiał, powłoka, uchwyt, ścieżka ciepła ✓ ✓ ocena monitor ocena ocena
uszczelnienie, odpowietrznik, pochłaniacz ✓ ✓ ✓ monitor — ✓
proces czyszczenia lub naprawa złącza — ✓ ✓ ✓ ✓ ✓
wiązka, ekran, bonding lub masa ocena — ✓ ✓ ✓ ocena
software komunikacji / alarmów — — — ✓ test negatywny —
obwiednia temperatury, wilgotności, soli ✓ ✓ ✓ ✓ ocena ✓
nowa lokalizacja na okręcie ✓ ✓ ✓ ✓ ✓ ✓
aktualizacja GSE lub sensorów odtworzenie ✓ ✓ ✓ ✓ ✓

Regresja środowiskowa musi zachować kolejność przyczynową w danych: temperatura i punkt rosy, obserwacja kondensacji, izolacja, bonding, błędy toru, restart i alarm. Osobny kontrolowany przypadek E3 sprawdza źródło–drogę–odbiornik; nie wolno użyć suszenia jako „naprawy EMC” ani dodatniego testu EMC jako dowodu braku upływu.

Trzy przypadki, jeden problem systemowy

Studia różnią się fizyką, lecz ujawniają tę samą wadę myślenia: obserwowalny błąd na końcu łańcucha kusi, aby nadać mu nazwę dyscypliny. Na lądzie „błąd danych” rozpoczął się od energii, ale hazard powstał przez software. W powietrzu „mały luz” nie był tylko problemem geometrii; dominujące odchylenie zostało nadane w fazie kontaktu, a ujawniło się w ruchu 6-DOF. Na morzu „EMI” okazało się nazwą licznika, podczas gdy zgodny czasowo łańcuch prowadził od termiki przez kondensację i izolację do danych.

Łańcuch Studium lądowe Studium powietrzne Studium morskie
wymaganie minimum napięcia i zgodność epoki dolny kwantyl luzu margines do rosy, izolacja, klasyfikacja E3
interfejs źródło–wiązka–odbiornik i stan software kontakt–stan początkowy–ruch swobodny obudowa–mikroklimat–izolacja–tor danych
inicjator $IR+L\,di/dt$ asymetria ostatniego kontaktu mostek cieplny i $T_c<T_d$
propagacja restart, zachowany stary stan prędkość kątowa przeniesiona do 6-DOF film wilgoci, upływ, błędy ramek
symptom dezaktualizacja konfiguracji minimum luzu alarm komunikacyjny
kanał odcinający fałszywy trop izolowany emulator danych niezależny wskaźnik ruchu i druga rekonstrukcja monitor pola, C-M-PHY, bonding i kontrolowane odtworzenie
decyzja dwie niezależne korekty ograniczenie fazy swobodnej niezgodność termiczna, E3 nadal osobno otwarte

Model źródło–droga–odbiornik jest użyteczny we wszystkich dyscyplinach. „Źródłem” może być napięcie Thevenina, wymuszenie kontaktowe, wilgoć, fala elektromagnetyczna, pole temperatury albo komunikat. „Droga” może być wiązką, połączeniem mechanicznym, warstwą kondensatu, wspólną impedancją, schedulerem albo transformacją współrzędnych. „Odbiornikiem” może być elektronika, powierzchnia, algorytm lub człowiek. Model nie dowodzi jeszcze zgodności, ale wymusza pytanie, gdzie mierzyć i jak odróżnić inicjator od propagacji.

Mechanika i energia spotykają się w styku. Preload, drgania, korozja i cykle łączenia zmieniają rezystancję; przewód zmienia lokalną sztywność; przepływ prądu tworzy ciepło; temperatura zmienia rezystancję, sztywność uszczelnienia i próg układu elektronicznego. Dlatego „interfejs mechaniczny” nie kończy się na wymiarze, a „interfejs elektryczny” nie kończy się na pinie. Analiza common cause pyta, która fizyczna cecha występuje w kilku modelach.

Software i dane spotykają się z każdą domeną przez konfigurację. Parametr modelu geometrii, mapa stacji, próg diagnostyczny, kalibracja sensora i schemat komunikatu są danymi wykonywalnymi w tym sensie, że zmieniają decyzję systemu. Ich pochodzenie, jednostka, wersja i zatwierdzenie muszą być kontrolowane równie mocno jak obraz programu. Zmiana tabeli bez kompilacji może wymagać większej regresji niż korekta komentarza w kodzie.

E3 jest szczególnie podatne na fałszywe etykiety. Poprawna analiza zaczyna się od zdefiniowanego środowiska, źródła, mechanizmu sprzężenia, impedancji i receptora, a kończy na funkcjonalnym skutku. Prawidłowy bonding jest jedną kontrolą drogi prądu; nie gwarantuje odporności każdej funkcji. Brak wskazania monitora pola w jednym zdarzeniu osłabia konkretną hipotezę, lecz nie kwalifikuje systemu. Analogicznie dodatnia próba odporności przy suchej obudowie nie obejmuje przewodzącego filmu po kondensacji.

GSE może przeciąć cały łańcuch. W studium lądowym jego zbyt mała impedancja ukryłaby brownout; w powietrznym błędna kalibracja kamer przesunęłaby kwantyl; w morskim przewód pomiarowy mógłby zmienić bonding i drogę ciepła. Przed uznaniem anomalii produktu trzeba wykazać, że stanowisko jej nie wytworzyło, lecz przed uznaniem anomalii stanowiska — że nie odtwarza realnego mechanizmu. To jest zadanie weryfikacji, walidacji i akredytacji (verification, validation and accreditation, VV&A) stanowiska, nie samo świadectwo kalibracji.

NASA Product Verification w §5.3.1.2.2 wskazuje na potrzebę prób end-to-end obejmujących zasoby lotne i naziemne, pobudzenie, komunikację, przetwarzanie oraz scenariusze. Jest to podręcznik systems engineering i źródło informacyjne, które ilustruje pełność łańcucha, nie ustala wymagań wojskowego programu.S25 End-to-end nie oznacza jednego ogromnego testu. Oznacza, że zbiór dowodów nie pozostawia niewidocznej transformacji między bodźcem a decyzją.

Hierarchia kontroli skutku

Jeżeli hazard jest istotny, kontrola nie powinna opierać się wyłącznie na alarmie. Najpierw usuwa się lub ogranicza energię i fizyczną przyczynę, następnie wprowadza niezależne ograniczenia konstrukcyjne i monitorowanie, potem poprawia logikę oraz informację człowieka. Procedura i szkolenie są potrzebne, ale pozostają wrażliwe na obciążenie pracą, niejednoznaczność i nieznany stan.

W SL fizyczny margines napięcia i kontrola epoki są różnorodne: jedna zmniejsza częstość restartu, druga ogranicza skutek. W SP zwiększenie nominalnego luzu bez usunięcia zmiennej asymetrii może nie poprawić dolnego kwantyla wystarczająco; potrzebna jest kontrola mechanizmu kontaktu i potwierdzenie pomiarem. W SM zmiana tekstu alarmu pomaga diagnostyce, lecz nie powstrzymuje kondensacji; kontrola musi obejmować drogę ciepła, wilgoć i czystość.

Kontrola jest skuteczna tylko w stanie, w którym jest potrzebna. Software startujący po receptorze nie może być jedyną ochroną przed jego przejściem; uszczelnienie skuteczne przed cyklami termicznymi wymaga dowodu po starzeniu; limitation zapisane w raporcie nie działa, jeśli nie trafia do planowania, konfiguratora, HMI i dokumentacji personelu.

Od modelu komponentu do kwalifikacji kombinacji

Program dowodowy powinien być piramidą, lecz ślad ma biec przez wszystkie jej poziomy. Próba materiałowa identyfikuje własność, test komponentu — funkcję lokalną, test podzespołu — interakcję, hardware-in-the-loop — stany i błędy, test pełnej kombinacji — zachowanie end-to-end, a ocena operacyjna — użyteczność w reprezentatywnym kontekście. Wyższy poziom nie automatycznie zastępuje niższy; niższy pozwala wyjaśnić przyczynę, a wyższy ujawnia sprzężenia.

Poziom Typowe pytanie Co trzeba przenieść wyżej Czego nie dowodzi sam
kupon / materiał tarcie, przewodność filmu, właściwość powłoki rozkład, temperatura, starzenie, identyfikacja partii zachowanie złożonego interfejsu
komponent próg odbiornika, sztywność uchwytu, szczelność obudowy konfiguracja, boundary conditions, niepewność interakcja ze źródłem i platformą
podzespół / interfejs load path, impedancja, kontakt, protokół skalibrowany model interfejsu pełna obwiednia platformy
SIL/HIL/emulator stany, timing, fault handling wersje modeli i wierność GSE fizyka pominięta przez emulator
pełny SUE sprzężenia i funkcja end-to-end surowe dane, anomalie, RZK automatycznie wszystkie warianty i domeny
środowisko reprezentatywne skutek w kontekście użycia ekspozycja, personel, ograniczenia przyczyna bez instrumentacji i modelu

Kwalifikacja projektu i odbiór egzemplarza nie są tym samym. Kwalifikacja pokazuje, że określony projekt ma zdolność w obwiedni; acceptance sprawdza, czy egzemplarz należy do kwalifikowanej populacji i nie zawiera nieakceptowalnej wady. Próba rozwojowa służy uczeniu i może zmieniać konfigurację; dowód zgodności wymaga zamrożonych kryteriów i pełnych rekordów; surveillance obserwuje, czy populacja pozostaje zgodna w czasie.

Plan wynikający z ryzyka, a nie z listy metod

Każdy test ma decision need. Jeśli wynik nie może zmienić projektu, ograniczenia, zakresu równoważności albo decyzji, należy wyjaśnić, po co jest zbierany. Plan zaczyna się od hazardów i niewiedzy, a nie od dostępnej komory. Metody MIL-STD-810H są dobierane przez tailoring do lifecycle; powtórzenie tabeli z innego urządzenia nie jest planem środowiskowym.S10

Sekwencja ekspozycji również jest częścią modelu. Wilgoć przed zimnem może wytworzyć kondensację, drgania przed wilgocią mogą osłabić uszczelnienie, a naprawa między ekspozycjami zmienia artykuł. Jeśli celem jest skumulowany lifecycle, kolejność ma go reprezentować; jeśli celem jest izolacja mechanizmu, artykuły i sekwencje należy rozdzielić. Raport nie może łączyć wyników z różnych egzemplarzy tak, jakby stanowiły jeden przeżyty ciąg.

W planie muszą znaleźć się punkty przerwania i zasady bezpieczeństwa. Nie podaje się ich publicznie dla realnego uzbrojenia, lecz formalnie identyfikuje się authority, niezależny monitoring, bezpieczny stan stanowiska, warunki utraty danych i ochronę personelu. DoDI 5000.89 ujmuje zintegrowane planowanie i realizację T&E w §1.2(a)(2), wymagania informacyjne i konfigurację obiektu próby w §3.1(e)–(k), planowanie zdarzeń oraz potrzeb decyzyjnych/danych w §3.4(a)–(b), a odstępstwa, kolejność prób, bezpieczeństwo i kompletność danych w §6.4(b)–(c); zakres tego dokumentu to proces DoD.S04

Model credibility i korelacja

Model ma kontekst użycia: wielkości wyjściowe, obwiednię, decyzje, których dotyczy, i konsekwencję błędu. Następnie otrzymuje plan V&V: kontrolę równań i jednostek, testy kodu, porównanie z rozwiązaniem analitycznym, badanie zbieżności, eksperyment korelacyjny, analizę czułości i walidację w punktach reprezentujących nieliniowości. „Model był używany wcześniej” nie określa jego trafności dla nowego kontaktu, zakresu temperatur czy wersji danych.

Po korelacji nie wolno usuwać niezgodności przez niekontrolowane strojenie. Każdy zmieniony parametr ma znaczenie fizyczne, źródło, zakres i niepewność. Zestaw użyty do kalibracji powinien być odróżniony od zestawu walidacyjnego. Model dobrze dopasowany do tych samych danych, na których go dostrojono, wykazuje dopasowanie, nie niezależną predykcję.

NASA-CR-2018-219800 opisuje metodologie V&V złożonych modeli dynamiki strukturalnej, w tym testy składników, korelację modalną i ocenę zdolności predykcyjnej; jest publicznym raportem technicznym z domeny konstrukcji kosmicznych, a nie kryterium lotniczego store.S26 Użyteczna lekcja jest ogólna: sztywność połączeń i niedoskonałości konfiguracji trzeba potwierdzać na właściwym poziomie złożenia, ponieważ mogą silnie zmieniać odpowiedź modelu.

Artykuł reprezentatywny i jego wierność

Artykuł masowy może dobrze odtwarzać masę, środek masy i tensor bezwładności, lecz źle odwzorowywać sztywność lokalną, tłumienie, powierzchnię przepływu, drogę ciepła i zachowanie przewodu. Emulator elektryczny może odtwarzać impedancję nominalną, lecz nie prąd w stanach błędowych. Obudowa przedprodukcyjna może mieć poprawną geometrię, lecz inne powłoki i uszczelnienia.

Fidelity matrix przypisuje każdemu wymaganiu cechy istotne i stan odwzorowania: pełny, ograniczony, niewystępujący, nieznany. „Reprezentatywny” bez tej macierzy jest opinią. Dla R-P-01 potrzebne były geometria, mass properties, kontakt i właściwości powierzchni; brak funkcji bojowej nie szkodził temu measurandowi. Dla rzeczywistej kwalifikacji termicznej ta sama bryła mogłaby być bezużyteczna, jeśli nie odtwarza źródeł ciepła.

GSE podlega analogicznej macierzy. Wierność może być celowo ograniczona, jeśli test dotyczy jednej funkcji i granica jest jawna. Niebezpieczne jest nieświadome zwiększenie „czystości” stanowiska: idealne zasilanie, brak wspólnej impedancji, bezbłędny zegar i nieograniczona przepustowość usuwają z testu warunki, które dominują na platformie.

Anomalia jako część dowodu

Anomalii nie zamyka się przez uzyskanie późniejszego wyniku PASS. Najpierw zamraża się konfigurację, dane surowe, logi, czas, warunki i obserwacje personelu. Następnie odtwarza się drzewo hipotez, sprawdza wpływ na wcześniejsze wyniki, wykonuje kontrolowane testy rozróżniające i określa zasięg populacji. Jeśli przyczyna nie jest znana, zapisuje się ją jako nierozstrzygniętą i przyjmuje ograniczenie adekwatne do konsekwencji.

Minimalny rekord anomalii zawiera: A-ID, czas i konfigurację, wymagania i hazardy dotknięte, dokładny symptom, surowe źródła, znane braki danych, hipotezy, testy rozróżniające, analizę common cause, korektę, weryfikację korekty, macierz regresji, wpływ na wyprodukowane egzemplarze i decyzję authority. Zdanie „nie odtworzono” opisuje wynik próby, nie przyczynę.

Formalna macierz dowodowa

Macierz poniżej jest skrótem grafu. Zachowuje te same identyfikatory użyte w narracji; dzięki temu komisja może przejść od wymagania do surowego dowodu i od zmiany do regresji. Pole „status” nie jest kolorem samym w sobie — zawsze ma podstawę, niepewność i zakres.

Wymaganie Pełny ślad dowodowy
R-L-01 — napięcie na odbiorniku Interfejs i hazard: I-L-PWR źródło–wiązka–odbiornik; H-L-01 stary stan po restarcie. Hipotezy i model: P-L-01/02/03/05; M-L-01, $V_S-IR-Ldi/dt$. Kanały i dowody: C-L-VS/VR/I/RST, D-L-01..03. Kryterium: każde zdarzenie ma PASS, gdy $v_i-U_i\ge23{,}50$ V, i FAIL, gdy $v_i+U_i<23{,}50$ V; seria ma PASS tylko przy komplecie zdarzeń PASS. Wynik i regresja: FAIL, ponieważ $23{,}16+0{,}1738=23{,}334$ V; G-L-01/02/03.
R-L-02 — wspólna epoka Interfejs i hazard: I-L-DAT stan i dane; H-L-01. Hipotezy i model: P-L-04/05; M-L-02, maszyna stanów epoki. Kanały i dowody: C-L-RST/EPO/DAT/HMI, D-L-04. Kryterium: po restarcie brak authority do nowego uzgodnienia. Wynik i regresja: FAIL; G-L-03/04/05.
R-P-01 — dolny kwantyl luzu Interfejs i hazard: I-P-MECH stacja–uchwyt–artykuł; H-P-01 kontakt z chronioną powierzchnią. Hipotezy i model: P-P-01..06; M-P-C kontakt, M-P-6 6-DOF i M-P-Q kwantyl. Kanały i dowody: C-P-POS/CNT/REF/TIM/IND, D-P-01..05. Kryterium: dla populacji $\widehat q_{0,01}-U_q\ge5$ mm, a dla każdej próby $g_{min}-U_g\ge5$ mm. Wynik i regresja: bramka FAIL / brak PASS: 2,239 mm i 2,871 mm; wynik nie rozstrzyga fizycznej niezgodności; G-P-01..06.
R-M-01 — margines rosy Interfejs i hazard: I-M-TH obudowa–mikroklimat; H-M-01 kondensacja i utrata informacji. Hipotezy i model: P-M-01..05; M-M-TH pierwszego rzędu i M-M-DP WMO. Kanały i dowody: C-M-TA/RH/TC/IR, D-M-01..03. Kryterium: dodatni dolny margines do rosy albo kontrolowany kondensat. Wynik i regresja: FAIL; G-M-01/02/06.
R-M-02 — izolacja Interfejs i hazard: I-M-EL powierzchnia–tor danych; H-M-01. Hipotezy i model: P-M-04/05; M-M-ISO, model upływu i obserwacji. Kanały i dowody: C-M-ISO/BUS/PHY, D-M-04. Kryterium K-M-02: PASS, gdy $\widehat R_{iso}-U\ge10{,}0$ MΩ; FAIL, gdy $\widehat R_{iso}+U<10{,}0$ MΩ. Wynik i regresja: FAIL, ponieważ $8{,}4+0{,}889=9{,}289$ MΩ; G-M-03/04.
R-M-03 — klasyfikacja E3 Interfejs i hazard: I-M-EM source–path–receptor; H-M-02 błędna diagnoza i niewłaściwa korekta. Hipotezy i model: P-M-06/07/08; M-M-E3, graf sprzężenia. Kanały i dowody: C-M-EM/BND/BUS/PHY, D-M-05. Kryterium: czasowa i fizyczna zgodność źródła, drogi i skutku. Wynik i regresja: E3 niewykazane; artefakt HMI odrzucony, firmware poza zdarzeniem otwarty; G-M-04/05.

Macierz ma trzy ograniczenia. Po pierwsze, wiersz nie zastępuje raportu modelu i danych. Po drugie, status dotyczy wskazanej konfiguracji; nie jest własnością identyfikatora wymagania w nieskończoność. Po trzecie, wspólny hazard może mieć kilka wymagań i dowodów — jego zamknięcie następuje dopiero wtedy, gdy wszystkie niezbędne kontrole są zweryfikowane.

Macierz adekwatności źródeł

Źródło także ma zakres. Poniższa macierz zapobiega użyciu renomowanego dokumentu poza jego dziedziną:

Twierdzenie Źródło prowadzące Klasa i lokalizator Granica stosowania
zarządzanie CI, baseline i zmianą MIL-HDBK-61B C1 oficjalny handbook, §§5.3, 5.5, 5.8, 6–8 guidance; program musi ustanowić własne CI i authority
system safety i ryzyko resztkowe MIL-STD-882E C1 standard procesu, §4.3 i Tasks 203–204 nie dostarcza progów technicznych kombinacji
interfejs elektryczny samolot–store MIL-STD-1760F aktywny interface standard, §1.1 tylko zakres lotniczy zdefiniowany w normie
kryteria zdatności po integracji MIL-HDBK-516D handbook, §§1.1–1.2, 4.1–4.2, 17.1–17.5 kryteria/guidance, nie certyfikat i nie projekt
środowisko lifecycle MIL-STD-810H C1 test-method standard, Part One §§4–5, Method 507.6 wymaga tailoringu; profil nie jest uniwersalny
E3 systemu MIL-STD-464D + Notice 1 system standard, §§1.1–1.2 i §4 trzeba zdefiniować środowisko oraz konfigurację
niepewność pomiaru JCGM 100 + Amd.1 międzynarodowy guide, §§4–7 model pomiaru i rozkłady pozostają zadaniem programu
decyzja zgodności JCGM 106 międzynarodowy guide, §§8–9 ryzyko i reguła decyzji wymagają jawnego wyboru
punkt rosy WMO-No. 8 guide, Vol. I Ch. 4, Annex 4.B meteorologia/metrologia; nie kwalifikacja urządzenia
test end-to-end NASA SE Handbook publiczny handbook, §5.3.1.2.2 przykład systems engineering, nie wymóg wojskowy
zagrożenia obsługi systemów odpalanych z ziemi ITOP 05-1-060A procedura o dystrybucji D; tylko publiczny rekord i scope treść pełna nie jest publiczną podstawą tej monografii

Ostatni wiersz jest celowo wąski. Publiczny rekord ASSIST podaje tytuł, zakres, aktywny status, datę 22 września 2011 r., 51 stron i oznaczenie dystrybucji D. Na tej podstawie wolno stwierdzić, że dokument dotyczy identyfikacji zagrożeń operatorów i obsługi naziemnych systemów odpalanych; nie wolno przypisywać mu nieprzeczytanych kryteriów ani cytować pełnej treści.S27

Formalny pakiet decyzji o kompatybilności

Komisja nie powinna otrzymywać stosu raportów i prośby o intuicyjne „złożenie” ich w decyzję. Pakiet decyzji ma architekturę równoległą do architektury dowodu. Jego pierwsza strona nie mówi „PASS”, lecz definiuje twierdzenie, system podlegający ocenie i granice upoważnienia.

Minimalny pakiet PDC zawiera:

  1. deklarację decyzji — dokładny RZK, fazy, obwiednię, termin ważności, ograniczenia i authority;
  2. manifest konfiguracji — as-designed, as-built, as-loaded i as-integrated, wraz z GSE;
  3. zbiór wymagań i kryteriów — wersje, źródła, właścicieli, metody i reguły zgodności;
  4. opis SUE i interfejsów — granice, zewnętrzne systemy, punkty odniesienia oraz stany;
  5. system safety case — hazardy, sekwencje przyczynowe, kontrole, weryfikację i ryzyko resztkowe;
  6. model register — kontekst użycia, wersje, wejścia, V&V, korelację, ograniczenia i niepewność;
  7. measurement register — measurands, kalibracje, timebase, budżety niepewności i dane surowe;
  8. compliance matrix — ślad R–I–H–P–M–C–K–D–G oraz status każdej komórki;
  9. anomaly register — także anomalie nierozstrzygnięte, waivery i wpływ na podobne konfiguracje;
  10. argument równoważności — jeśli użyto similarity, lista cech istotnych i różnic wraz z ich disposition;
  11. ograniczenia i sposób egzekwowania — w konfiguratorze, danych planistycznych, HMI, procedurze i szkoleniu;
  12. plan regresji i surveillance — triggery, populacja, trendy, reakcja na utratę założenia;
  13. podpisy odpowiedzialności — autorzy techniczni, niezależni recenzenci, właściciele ryzyka i decision authority.

Decyzja może mieć tylko jeden z kontrolowanych sensów:

Status Znaczenie Niedozwolona parafraza
zatwierdzona wszystkie niezbędne twierdzenia wykazane dla RZK i obwiedni, ryzyko resztkowe zaakceptowane „cała rodzina jest kompatybilna”
zatwierdzona z ograniczeniami dowód wystarcza wyłącznie przy egzekwowalnych O-ID „prawie pełna zgodność”
warunkowa do dalszych badań dopuszcza wskazaną aktywność badawczą, nie użycie poza nią „tymczasowo operacyjna”
niezatwierdzona wymaganie niespełnione albo dowód niewystarczający „brak dowodu awarii”
zawieszona wcześniejszy dowód utracił założenie przez zmianę, anomalię lub trend „stare zatwierdzenie nadal działa”

Brak danych i wynik negatywny są różne. Przy braku danych nie wiadomo, czy wymaganie jest spełnione; przy wyniku negatywnym wiadomo, że nie spełniono określonej reguły w badanym zakresie. Oba nie pozwalają na pozytywne zatwierdzenie, lecz prowadzą do innych działań: pierwszy do pozyskania informacji albo ograniczenia, drugi do korekty projektu, zmiany wymagania przez właściwą authority lub zawężenia obwiedni.

Decyzja zachowuje niepewność i zależności

Dashboard może używać koloru pomocniczo, ale komisja musi widzieć margines liczbowy, $u_c$, $U$, przyjęty $k$, rozkład lub metodę propagacji, korelacje oraz guard band. Dla modelu kwantylowego trzeba dodatkowo pokazać niepewność estymacji kwantyla, zakres populacji i uzasadnienie ogona rozkładu. Jeżeli użyto Monte Carlo, zachowuje się generator, seed lub regułę reprodukcji, liczność, test zbieżności i wszystkie rozkłady wejściowe.

Zależności między dowodami są równie ważne. Trzy raporty oparte na tym samym niezwalidowanym modelu nie są trzema niezależnymi argumentami. Wspólny sensor, plik geometrii, emulator lub założenie środowiskowe tworzą common cause w dowodzie. PDC oznacza takie zależności; recenzja pyta, co stanie się z decyzją, jeśli jeden wspólny węzeł okaże się błędny.

Ograniczenie jest częścią produktu. O-P-01 musi zostać zakodowane w liście dozwolonych kombinacji, danych przygotowania, instrukcji badawczej i interfejsie użytkownika. Jeżeli istnieje tylko w protokole komisji, nie kontroluje zachowania. Każde ograniczenie ma właściciela, sposób wykrycia naruszenia, termin przeglądu oraz dowód potrzebny do usunięcia.

MIL-HDBK-516D podkreśla w §4.2 konieczność identyfikacji konfiguracji i kontroli stanu oceny, a §17.5 wiąże konfiguracje, ograniczenia i dokumentację dla integracji lotniczej.S22 To dobry wzór kompletności, lecz w domenie lądowej i morskiej decision authority oraz dokumenty będą inne. Nie wolno nazywać decyzji „airworthiness” poza właściwym systemem prawnym i organizacyjnym.

Równoważność jest miniaturową kwalifikacją

Argument similarity zaczyna się od zjawiska, nie od podobieństwa nazwy. Dla brownoutu cechami istotnymi są źródło, impedancja pętli, profil prądu, próg i dynamika odbiornika, stan software oraz timebase. Dla luzu — powierzchnie, kinematyka kontaktu, sztywność, właściwości masowe, stan początkowy i środowisko ruchu. Dla kondensacji — wilgoć, droga ciepła, szczelność, materiały, czystość, czas ekspozycji i topologia elektryczna.

Macierz równoważności klasyfikuje każdą cechę jako identyczną, obejmowaną konserwatywnie, skorelowaną modelem albo różną. Słowo „konserwatywnie” wymaga kierunku: większa rezystancja jest gorsza dla zapadu napięcia, ale może zmniejszyć energię zwarcia; większa wilgotność pogarsza margines rosy, ale wyższa temperatura powierzchni go poprawia; cięższy artykuł nie musi dawać mniejszego luzu, jeśli zmienia stan kontaktu. Nie istnieje uniwersalny kierunek konserwatyzmu.

Jeśli różnica dotyka dominującej fizyki lub kontroli hazardu, równoważność wymaga nowego modelu, pomiaru albo ograniczenia. Jeżeli różnica jest poza czułością measurandu z marginesem większym od niepewności, można uzasadnić brak ponownej próby. To uzasadnienie staje się częścią RZK i podlega regresji po kolejnej zmianie.

Zmiana, regresja, produkcja i surveillance

Kompatybilność jest utrzymywana albo tracona każdego dnia eksploatacji. Zmiana nie musi mieć postaci nowego numeru części. Nowy dostawca materiału, korekta procesu zaciskania, inna partia uszczelniacza, aktualizacja kompilatora, zmiana parametru danych, kalibracja kamery, naprawa stacji, nowy pochłaniacz wilgoci lub wersja GSE mogą zmienić węzeł argumentu.

Reguła otwarcia dowodu po zmianie

Każdy wniosek o zmianę powinien odpowiedzieć na siedem pytań:

  1. które CI, egzemplarze i RZK zmieniają stan;
  2. które interfejsy i fazy lifecycle są dotknięte bezpośrednio;
  3. które modele używają zmienionej własności jako wejścia lub warunku brzegowego;
  4. które hazard controls zależą od tej własności, także pośrednio;
  5. które dowody i założenia przestają być dokładnie prawdziwe;
  6. czy istnieje uzasadniona klasa równoważności, czy potrzebna jest regresja;
  7. jak rozpoznać i odseparować stan przejściowy floty, produkcji i GSE.

Minimalna regresja nie jest najmniejszą liczbą testów, lecz najmniejszym zbiorem, który ponownie zamyka naruszone krawędzie grafu. Zmiana rezystancji wiązki otwiera model energii, ale jeśli napięcie może zresetować odbiornik, otwiera również epokę software i HMI. Zmiana algorytmu fotogrametrii otwiera wcześniejsze rekonstrukcje; może wymagać ponownego przetworzenia surowych obrazów, nie fizycznego powtórzenia wszystkich prób. Zmiana powłoki otwiera zarówno termikę, jak i czystość/izolację.

MIL-HDBK-61B C1 w §§6–8 łączy kontrolę zmian, ewidencję stanu i audyty, zaś §§5.5 i 5.8 wiążą baselines oraz interfejsy.S02 Wydanie Change 1 z 15 sierpnia 2025 r. jest aktualnym rekordem ASSIST w dniu opracowania; nazwa „C” nie byłaby poprawna. Podręcznik dostarcza praktyk, lecz konkretna rada zmian i progi klasyfikacji muszą zostać ustanowione przez program.

Produkcja: kontrolować proces i cechy interfejsu

Qualification article nie reprezentuje populacji, jeśli proces produkcyjny nie utrzymuje cech użytych w dowodzie. Critical characteristics wynikają z czułości systemowej: rezystancja styku może być ważniejsza niż kosmetyczny wymiar, lokalna przewodność zanieczyszczenia ważniejsza niż globalna szczelność, a tensor bezwładności ważniejszy niż sama masa. Plan kontroli procesu odwołuje się do R/I/H/M, nie tylko do tolerancji rysunkowej.

Acceptance potwierdza tożsamość, cechy krytyczne, workmanship, wymagane funkcje, software i dane. Wynik przyrządu musi mieć regułę decyzji zgodną z ryzykiem. MIL-STD-1916, aktywny w rekordzie ASSIST jako standard preferowanych metod odbioru produktu, promuje zapobieganie i kontrolę procesu zamiast polegania wyłącznie na próbkowaniu; Companion MIL-HDBK-1916 z 30 czerwca 2023 r. ma charakter doradczy.S28 Nie wynika z tego automatyczny plan próbkowania dla rakiet ani pozwolenie na pominięcie cechy krytycznej.

Proces ma własne sygnały ostrzegawcze: przesuwający się średni wynik, rosnąca wariancja, częstszy rework, dryf kalibracji, zmiana korelacji między cechami i zwiększenie liczby braków danych. Egzemplarze mogą jeszcze mieścić się w tolerancji, gdy proces utracił stabilność. Reakcja obejmuje containment populacji, ustalenie zasięgu partii, analizę common cause i weryfikację, czy margines systemowy nadal istnieje.

Naprawa tworzy nowy stan as-maintained. Jeśli zmienia drogę obciążeń, rezystancję, bonding, szczelność, powłokę, software albo dane, nie można przywrócić RZK samym podpisem wykonania instrukcji. Instrukcja musi określać inspekcję i test po naprawie, a program — kiedy powtarza się dowód interfejsu. Niezatwierdzona „lokalna poprawka” zrywa ślad konfiguracji nawet wtedy, gdy urządzenie przechodzi prosty BIT.

Surveillance: czy założenia nadal opisują populację

Surveillance nie jest okresowym powtórzeniem jednej kontroli. Łączy historię ekspozycji, inspekcje, testy funkcjonalne, dane o awariach, trendy cech, zdarzenia transportowe, magazynowanie, zmiany software/GSE i wyniki demontaży. Pytanie brzmi: czy rozkłady oraz mechanizmy użyte w kwalifikacji nadal obejmują populację?

DA PAM 742-1 z 22 listopada 2016 r. opisuje wojskowy program surveillance amunicji: rozdziały 1–3 dotyczą programu, inspekcji i niezawodności zapasów, rozdział 7 obejmuje szczególne zagadnienia pocisków, a rozdział 11 rekordy. Jest to oficjalny podręcznik armii USA o własnym zakresie organizacyjnym; w tej monografii służy wyłącznie jako źródło zasady długotrwałego nadzoru i identyfikowalnych rekordów, nie jako instrukcja badania polskiego sprzętu.S29

Dobry wskaźnik surveillance ma mechanizm. Sama liczba alarmów miesza zmiany populacji, software i progów. Dla SL obserwuje się rozkład minimów napięcia, impedancję pętli, liczbę restartów i niespójności epoki, z normalizacją do konfiguracji. Dla SP — dryf cech geometrycznych, zużycie kontaktu i właściwości masowe artykułów badawczych; nie prowadzi się operacyjnego surveillance fazy, która nie została zatwierdzona. Dla SM — historię wilgotności/temperatury, szczelność, izolację, czystość, bonding i korelację alarmów z punktem rosy.

Progi reakcji ustala się przed trendem. Mogą obejmować: pojedyncze zdarzenie o wysokiej konsekwencji, zmianę średniej, wzrost wariancji, skupienie w partii, nową kombinację objawów albo utratę danych. Po przekroczeniu następuje DEC-SUR: dalsza obserwacja z uzasadnieniem, zwiększona inspekcja, containment, zawieszenie RZK lub pełne ponowne otwarcie. „Brak potwierdzonych awarii” nie wystarcza, gdy nie ma wiarygodnej ekspozycji lub system nie rejestruje potrzebnych sygnałów.

Zasięg common cause i powrót do służby

Zasięg nie kończy się na numerze seryjnym. Należy zapytać o wspólną partię, dostawcę, narzędzie, stanowisko, plik danych, kompilator, naprawę, magazyn, trasę transportu i konfigurację platformy. Błąd GSE może unieważnić acceptance wielu poprawnych egzemplarzy; błąd projektu może dotyczyć wszystkich mimo poprawnych zapisów produkcyjnych; błąd danych może przekroczyć granice sprzętowych wariantów.

Return-to-service jest nową decyzją opartą na przyczynie, skuteczności korekty, inspekcji, regresji i kompletności historii. Jeżeli historii ekspozycji brakuje, zwiększa się niepewność i może zmniejszyć zakres dopuszczenia. Krótki test funkcjonalny nie odtwarza dowodu starzenia materiału, szczelności ani skumulowanego uszkodzenia.

Wycofanie nie kończy safety case. Energia resztkowa, materiały energetyczne, ciśnienie, toksyczne pozostałości i informacje kontrolowane mogą przetrwać utratę zdolności użytkowej. Demontaż i unieszkodliwianie należą do autoryzowanych służb oraz zatwierdzonych instrukcji. Osoba postronna nie ma bezpiecznej metody identyfikacji stanu na podstawie wyglądu.

Dodatek kontrolny: jak recenzować twierdzenie o kompatybilności

Poniższa lista służy do audytu dokumentacji, nie do wykonywania czynności na sprzęcie. Odpowiedź „tak” wymaga identyfikowalnego rekordu, nie zapewnienia autora.

Obszar Pytanie audytowe Dowód akceptowalny Sygnał ostrzegawczy
teza czy zapisano dokładną kombinację, stan i obwiednię? RZK i manifest z rewizjami nazwa rodziny bez wersji
granice czy SUE obejmuje przyczyny zewnętrzne mogące zmienić skutek? diagram kontekstu, przepływy energii/informacji test samego odbiornika na idealnym stanowisku
SoS/CI czy klasyfikacje wynikają z definicji i decyzji zarządczej? kryteria niezależności, lista CI „wiele części = SoS”, „każda część = CI”
wymagania czy measurand, warunki i reguła decyzji były znane przed wynikiem? baseline wymagań, historia zmian próg dobrany po próbie
interfejs czy obie strony mają wspólny datum, jednostki, stany i właścicieli? kontrolowany ICD/IRD, ślad poziomy zgodność dwóch jednostronnych deklaracji
hazard czy oddzielono inicjator, propagację, skutek i kontrole? scenariusz, analiza przyczynowa, weryfikacja kontroli nazwanie symptomu root cause
hipotezy czy istnieją konkurencyjne wyjaśnienia i test rozróżniający? tabela predykcji przed próbą jedna narracja po obejrzeniu danych
model czy zapisano równania, znaki, jednostki, wejścia i kontekst użycia? raport modelu, V&V, sensitivity „model zwalidowany” bez zakresu
pomiar czy measurand modelu i pomiaru jest ten sam? model pomiaru, kalibracja, synchronizacja proxy bez transfer function
niepewność czy uwzględniono typ A/B, korelacje, model i pokrycie? budżet, dane źródłowe, JCGM intuicyjny „zapas konserwatywny”
decyzja czy guard band i ryzyko są jawne? zatwierdzona reguła, margines porównanie samej średniej z limitem
GSE czy wierność i ograniczenia stanowiska są przypisane do wymagań? fidelity matrix, VV&A, kalibracje emulator zawsze zachowujący się nominalnie
konfiguracja czy można odtworzyć as-built/as-loaded/as-integrated? numery seryjne, sumy, parametry, odstępstwa plik opisany tylko nazwą
anomalia czy zachowano dane i zamknięto przyczynę lub ograniczono niewiedzę? anomaly record i regresja „nie powtórzyło się”
domena czy przeniesiono metodę, a nie bez dowodu wartości i profil? domain-specific environment i test zaliczenie morskie wynikiem lotniczym
zmiana czy graf wpływu wskazuje otwarte dowody? change impact i macierz regresji ocena tylko form/fit/function
produkcja czy cechy krytyczne wynikają z modeli i hazardów? control plan, capability, acceptance poleganie wyłącznie na końcowym teście
surveillance czy trend jest normalizowany do konfiguracji i ekspozycji? baza populacji, triggery reakcji licznik alarmów bez mianownika

Minimalny słownik decyzji

Założenie jest zdaniem przyjętym do modelu, które może być prawdziwe albo fałszywe i ma właściciela oraz sposób zamknięcia. Fakt konfiguracji jest odczytanym, kontrolowanym rekordem. Obliczenie jest wynikiem operacji na wejściach. Predykcja powstaje przed obserwacją dla zadanego modelu. Pomiar jest wynikiem procesu pomiarowego wraz z niepewnością. Wniosek porównuje predykcje hipotez z danymi. Decyzja stosuje ustaloną regułę i authority. Mieszanie tych kategorii czyni argument nieaudytowalnym.

Margines to algebraiczna odległość wyniku od limitu w zdefiniowanym kierunku. Niepewność opisuje rozrzut wartości racjonalnie przypisywanych measurandowi; nie jest marginesem. Tolerancja jest dopuszczonym zakresem projektu lub produktu; nie jest niepewnością przyrządu. Guard band przesuwa granicę akceptacji w celu kontroli ryzyka decyzji; nie zmienia fizycznego wymagania.

Korelacja modelu oznacza porównanie i ewentualne uzasadnione dostrojenie. Walidacja oznacza wykazanie adekwatności dla określonego zamierzonego użycia. Kwalifikacja dotyczy projektu i obwiedni. Acceptance dotyczy egzemplarza/procesu. Surveillance dotyczy utrzymywania wiedzy o populacji w czasie. Jedno z tych słów nie zastępuje pozostałych.

Warunki konieczne przed podpisem

Przed podpisaniem pozytywnego RZK recenzent powinien móc wykonać następującą ścieżkę bez przeskoku: wybrać losowe wymaganie; znaleźć jego interfejs i hazard; zobaczyć hipotezy i model; odtworzyć wynik z wejść; dotrzeć do surowych danych i kalibracji; przeliczyć niepewność; zastosować regułę decyzji; odczytać anomalie i ograniczenia; wskazać regresję po zmianie. Jeżeli na którymkolwiek etapie odpowiedź brzmi „to jest w innym zespole”, łańcuch organizacyjny nie został jeszcze zamknięty.

Drugi test zaczyna się od zmiany: nowa rewizja software, inna stacja, partia przewodu lub zmiana uszczelnienia. Recenzent przechodzi w przeciwną stronę — od CI przez interfejsy, modele, hazardy i wymagania do RZK. Jeśli system ewidencji nie pokaże, które decyzje stają się podejrzane, konfiguracja jest tylko archiwum, a nie mechanizmem bezpieczeństwa.

Trzeci test zaczyna się od anomalii polowej. Czy można powiązać zdarzenie z egzemplarzem, software, danymi, GSE, ekspozycją i dowodem kwalifikacyjnym? Czy zapis ma wspólny czas i surowe kanały, czy tylko tekst alarmu? Czy istnieje authority mogąca zawiesić wszystkie dotknięte kombinacje? Surveillance jest skuteczne dopiero wtedy, gdy odpowiedzi prowadzą do działania.

Najkrótsza poprawna konkluzja brzmi więc: kompatybilność istnieje tylko tak długo, jak prawdziwy pozostaje cały kontrolowany argument dla wskazanej kombinacji i obwiedni. Nie jest dziedziczona po nazwie, nie powstaje z sumy certyfikatów komponentów i nie daje się „uzupełnić” powodzeniem innej domeny. Jest utrzymywanym, mierzalnym i odwracalnym zobowiązaniem decyzji do dowodu.

Źródła i status dokumentów

Metadane, zakres przywołania i dostępność źródeł sprawdzono 6 września 2026 r. Bezpośrednią treść wskazanych dokumentów otwierano tam, gdzie była publicznie dostępna; gdy przypis prowadzi tylko do rekordu ASSIST albo metadanych dokumentu o ograniczonej dystrybucji, nie przypisuje mu się treści nieodczytanych paragrafów. „Aktywny” opisuje bieżący rekord źródłowy, nie automatyczną obowiązywalność w dowolnym kontrakcie. Standard staje się wymaganiem programu przez właściwe przywołanie i tailoring; handbook oraz guide pozostają materiałem doradczym.