Komputer pokładowy pocisku — architektura informacji, czasu i uprawnień

Komputer pokładowy pocisku nie jest pojedynczym procesorem, lecz fazowo zmieniającym się węzłem transformacji informacji i egzekwowania uprawnień. Jego architekturę wyjaśnia dopiero wspólna analiza misji, czasu, stanu, granic uszkodzeń, środowiska oraz dowodu konfiguracji. Moc obliczeniowa jest jednym z zasobów tego węzła, ale sama nie mówi, czy obserwacja dotrze na czas, czy pochodzi z właściwego źródła, czy wolno na jej podstawie wydać polecenie ani czy polecenie zostanie wykonane po latach magazynowania i gwałtownym starcie.

Nota bezpieczeństwa. Tekst opisuje publicznie znane zasady architektury i historii techniki. Nie zawiera schematów wykonawczych uzbrojenia, pinów, ramek interfejsów, kodu, parametrów konkretnej pętli, danych celowania, progów, kluczy ani procedur bojowych. W razie znalezienia pocisku lub jego fragmentu: nie zbliżać się, nie dotykać, nie przenosić, nie zasilać, nie otwierać ani nie próbować samodzielnie „zabezpieczać” znaleziska; odsunąć ludzi, zadzwonić pod 112 i wykonywać polecenia służb.

1. Teza, zakres i swoistość krótkiej, nieodwracalnej misji

Skrót OBC (on-board computer, komputer pokładowy) obejmuje bardzo szeroką klasę urządzeń. Komputer satelity może pracować latami, wielokrotnie przechodzić między trybami, przyjmować poprawki i odtwarzać usługę po restarcie. Komputer samolotu korzysta z ciągłego zasilania platformy, współdziała z załogą i zwykle jest częścią systemu wielokrotnego użytku. Komputer pocisku kierowanego ma inną kombinację warunków: przez przeważającą część życia pozostaje nieaktywny, a potem w krótkim czasie przechodzi od kontroli i inicjalizacji do gwałtownego startu oraz jednorazowego lotu. Wiele przejść jest nieodwracalnych, a możliwość naprawy kończy się przed rozpoczęciem misji.

Ta swoistość nie wynika wyłącznie z krótkiego czasu lotu. Decyduje kontrast skal czasu. Starzenie elementów, dryf nastaw, utrata retencji pamięci, korozja połączeń i zmiany materiałów zachodzą przez lata. Rozruch elektroniki, stabilizacja zegarów i uznanie danych za ważne zajmują znacznie krócej. Z kolei pętle pomiaru i sterowania mogą wymagać regularnej pracy w jeszcze krótszych odcinkach czasu. Architektura musi więc spiąć bardzo długą historię egzemplarza z bardzo krótkim zobowiązaniem obliczeniowym.

Granica komputera jest zatem szersza niż obrys mikroprocesora. Obejmuje przetwarzanie, pamięć, zegary, reset, wejścia–wyjścia, oprogramowanie i logikę programowalną, a analiza skutku sięga także zasilania, konwersji sygnałów i strażnika wyjść. Awaria oscylatora lub błędne zwolnienie resetu może odebrać usługę równie skutecznie jak błąd programu.

A4/V-2 wyostrza tę definicję, ponieważ jego „komputer” nie przypomina współczesnej płyty. Publiczne opracowania historyczne opisują Mischgerät jako pokładowy analogowy układ łączący sygnały żyroskopów i — zależnie od konfiguracji — korekcji radiowej, aby tworzyć komendy kanałów sterowania.1,2 Funkcja obliczeniowa istniała w wartościach elementów, połączeniach, dynamice wzmacniaczy i nastawach. Nie było procesora, lecz był węzeł transformacji informacji. To właśnie funkcja, granice i zobowiązania, a nie nazwa elementu, stanowią punkt wyjścia do porównania epok.

Nota metodologiczna. Fakty o nazwanych systemach pochodzą z jawnych źródeł. Tabele i neutralna architektura referencyjna są syntezą autora. Z modelu klasy nie wolno wnioskować o nieujawnionej implementacji konkretnego pocisku; brak źródła jest nazywany wprost.

2. Trzy zasięgi odpowiedzialności komputera

W praktyce potrzebne są trzy zasięgi odpowiedzialności. Zasięg wyrobu pozwala wskazać, co podlega dostawie, numerowi części i akceptacji. Zasięg usługi obejmuje wszystkie elementy uczestniczące w zobowiązaniu od przyjęcia danych do opublikowania ograniczonego wyniku. Zasięg dowodu dodaje narzędzia, obrazy, kalibrację, wyposażenie próbne, historię środowiska i zapisy CM, dzięki którym można powiązać zachowanie z egzemplarzem. Zasięgi nie muszą mieć tych samych granic, ale rozbieżność między nimi musi być jawna.

Zasięgi zmieniają się fazowo. W magazynowaniu procesor może nie wykonywać kodu, lecz starzenie nadal zmienia przyszłą zdolność. Podczas przygotowania nosiciel dostarcza energię, dane i przesłanki gotowości. Start zmienia obciążenia oraz dostępność interfejsów, a po oddzieleniu nie można zakładać naprawy ani stałej pomocy platformy.

Źródła wejściowe nie są zamienne mimo wspólnego formatu. INS/IMU opisuje ruch własny i zależy od warunków początkowych, kalibracji oraz czasu. Głowica obserwuje cel lub scenę względem pocisku. Łącze wnosi informację utworzoną poza komputerem. Dane obsługowe ustanawiają stan wyrobu, lecz po zmianie fazy nie mogą udawać bieżącej obserwacji.

Wyjście procesora nie jest jeszcze skutkiem. Wynik może być liczbowo poprawny, lecz spóźniony albo niedozwolony w bieżącej fazie. Sterownik i monitor należą do analizy w zakresie, w którym potwierdzają przyjęcie, ograniczają błąd i ujawniają przyczynę odmowy. Nie włącza to całego płatowca do CI komputera; wymaga sprawdzenia rzeczywistej granicy systemowej.

Zbyt wąski model spycha reset, utratę czasu lub złą kalibrację do „otoczenia”, choć odbierają usługę OBC. Zbyt szeroki nazywa komputerem całe GNC i zaciera właścicieli wymagań. Potrzebne są więc równocześnie granice funkcjonalna, fizyczna i informacyjna.

3. Fazy życia i misji: jeden sprzęt, różne zobowiązania

Najczytelniejszym modelem komputera pocisku jest automat fazowy rozciągnięty od produkcji do zakończenia lotu. Nie chodzi o ujawnianie sekwencji konkretnego uzbrojenia, lecz o wykazanie, że zestaw aktywnych funkcji, źródeł danych i uprawnień zmienia się w czasie:

PRODUKCJA → MAGAZYNOWANIE → OBSŁUGA / KONTROLA
    → PRZYGOTOWANIE → STAN PRZED STARTEM
      → START / ODDZIELENIE → LOT → ZAKOŃCZENIE

W produkcji istotne są identyfikacja sprzętu, załadowanie zatwierdzonych obrazów, dane kalibracyjne i wynik testu odbiorczego. Egzemplarz nie jest zdefiniowany wyłącznie numerem części; jego stan obejmuje rewizję płyty, zawartość pamięci, obraz logiki programowalnej, wersję oprogramowania, kalibrację i historię odstępstw. Już tutaj powstaje pierwszy dowód konfiguracji.

W magazynowaniu głównym zadaniem komputera może być paradoksalnie pozostawanie wyłączonym bez utraty przyszłej zdolności. Starzeją się źródła energii, pamięci nieulotne, kondensatory, złącza i materiały montażowe. Kontrola okresowa nie powinna być utożsamiana z pełnym lotem na stanowisku. Jej wartość zależy od pokrycia: jakie ścieżki pobudzono, które sensory zastąpiono symulatorem, jakie wyjścia odizolowano i czy test sam nie zmienił stanu trwałego.

Przygotowanie ustanawia znany stan. Zasilanie i zegary osiągają ważność, zwalniany jest reset, sprawdzana jest zgodność obrazów, ładowane są dopuszczone dane, a obserwacje uzyskują status jakości. Uprawnienia rosną stopniowo. Sam fakt, że procesor wykonuje kod, nie oznacza gotowości nawigacji; poprawny test pamięci nie oznacza ważnego odniesienia INS; obecność danych nie oznacza, że dotyczą bieżącej misji.

Start i oddzielenie są granicą nieodwracalną. Zmieniają się obciążenia mechaniczne, źródło zasilania, dostępność interfejsu z platformą i model ruchu. Zdarzenie fazowe nie może być traktowane jak anonimowy bit. Ma pochodzenie, czas i konsekwencje: może przełączyć zestaw równań, aktywować inne czujniki albo przekazać uprawnienie do wyjść. Fałszywe zdarzenie, zdarzenie spóźnione i brak zdarzenia są trzema różnymi przypadkami.

W locie również nie istnieje jeden stały „tryb operacyjny”. Zależnie od klasy pocisku zmieniają się źródła obserwacji, dynamika płatowca, dostępna energia i rola łącza danych. Architektura informacyjna może pozostać ta sama, ale inne stają się częstotliwości, terminy i kryteria jakości. Zakończenie misji także jest stanem systemu; wyznacza kres uprawnień i retencję informacji diagnostycznej, o ile w ogóle przewidziano możliwość jej odzyskania.

Granica nosiciel–pocisk jest zarazem granicą energii, czasu, danych i odpowiedzialności. Przed oddzieleniem platforma może dostarczać część przesłanek gotowości, lecz komputer nie powinien traktować ich jako bezterminowych. Po oddzieleniu zmieniają się dostępne źródła, opóźnienia i właściciel decyzji, a rekord pochodzący z wcześniejszej fazy zachowuje wartość tylko wtedy, gdy jego czas, jakość i zakres użycia nadal są ważne. Publiczny opis datalinku i LOAL w AIM-9X Block II potwierdza, że taka zależność systemowa istnieje, ale nie ujawnia treści komunikatów ani warunków użycia.8

4. Ewolucja nośników funkcji: od połączeń do SoC

Historia nie jest prostą drabiną szybkości. Zmieniają się nośnik funkcji, sposób reprezentacji czasu i stan konfiguracji, a wraz z nimi rodzaj dowodu. D-17B pokazuje komputer tranzystorowy, w którym rozmieszczenie słów na dysku o nieruchomych głowicach współtworzyło harmonogram.3,26 Płytka Minutemana II jest publicznie opisywanym świadectwem dużej skali produkcyjnego użycia układów scalonych, nie dowodem wynalezienia IC ani pełną historią wyposażenia wszystkich wariantów.9

Epoka lub klasa Nośnik funkcji Reprezentacja czasu Konfiguracja Ciężar dowodu
analogowe układy i połączenia elementy, nastawy, wzmacniacze, mechanizmy pasmo, stałe czasowe, kolejność fizyczna schemat, dobór elementów, regulacja i montaż tolerancje, charakterystyki, odpowiedź toru i zgodność wykonania
tranzystorowy D-17B i pamięć magnetyczna logika dyskretna, słowa programu, wirujący nośnik cykl operacji oraz położenie słowa na dysku obsadzenie, treść i rozmieszczenie pamięci zgodność słów, geometrii pamięci, rytmu wykonania i platformy3,26
produkcyjne układy scalone funkcje skupione w krzemie czas propagacji i sekwencja logiki typ, partia, maska, dostawca i montaż proces wytwarzania, partie, wspólne przyczyny i test zespołu9
ROM / PROM / EPROM program materializowany w kości lub module odczyt przewidywalny, zmiana poza zwykłym wykonaniem maska, jednorazowy zapis albo cykl kasowania i programowania identyfikacja fizycznego wydania, retencja i poprawność programowania
mikroprocesor i pamięć Flash sekwencje instrukcji oraz aktualizowalny obraz przerwania, planowanie, hierarchia pamięci, WCET źródła, build, program rozruchowy, obraz i zależności narzędzia, binarium, aktualizacja, zgodność sprzęt–oprogramowanie i czas
DSP wyspecjalizowane wykonanie regularnej arytmetyki potoki instrukcji i rytm strumienia kod, formaty liczbowe, biblioteki i pamięć bitowa zgodność modeli, opóźnienie i interferencja zasobów
FPGA konfigurowalna logika równoległa, pamięci i interfejsy cykle, potoki, domeny zegarowe i domknięcie czasowe RTL, IP, ograniczenia, wynik implementacji i bitstream zgodność funkcjonalna, CDC, analiza czasowa i tożsamość narzędzi10,11
ASIC i współczesny SoC stała logika albo zintegrowane CPU, pamięć, interkonekt i FPGA wiele domen oraz interferencja zasobów wspólnych krzem, obrazy, ustawienia uruchomieniowe i zależne komponenty połączenie dowodu sprzętu, software’u, konfiguracji oraz granic wspólnej przyczyny

Tabela jest syntezą klas technologii, nie chronologią wyposażenia jednej rodziny uzbrojenia. ROM, mikroprocesor, DSP i FPGA mogły współistnieć, a nowsza technologia nie musiała wypierać starszej, jeżeli starsza lepiej odpowiadała energii, czasowi lub dowodowi. Ogólną ewolucję FPGA — od prostych zasobów programowalnych ku pamięciom, blokom arytmetycznym, procesorom miękkim i integracji SoC — opisują źródła 10 i 11. Nie daje to podstaw do przypisania którejkolwiek generacji FPGA konkretnemu pociskowi bez osobnego źródła.

Flash skróciła drogę zmiany funkcji, lecz dodała stan częściowo zapisany, politykę uruchomienia i potrzebę rozpoznania zgodnego obrazu. SoC skraca połączenia i może obniżyć energię transferu, ale łączy funkcje we wspólnym krzemie, zasilaniu, zegarach i interkonekcie. Ciężar dowodu nie maleje więc wraz z integracją: przenosi się z widocznych przewodów do konfiguracji, narzędzi, zależności oraz mechanizmów separacji.

5. Architektura fizyczna i informacyjna oraz kontrakt interfejsu

Jedna kompozycja wystarcza do rozdzielenia trzech granic. Funkcjonalnie GNC prowadzi od obserwacji przez walidację i estymację, naprowadzanie oraz autopilota do wykonania. Fizycznie te role mogą być skupione lub rozdzielone między sensor, tor konwersji, FPGA/DSP, CPU, pamięć, monitor i sterownik aktuatora. Informacyjnie każde przecięcie zmienia właściciela rekordu albo jego znaczenie. Neutralny model nie przedstawia topologii konkretnego uzbrojenia:

SENSOR / ŁĄCZE / INS
         │ obserwacja
         ▼
TOR WEJŚCIOWY → WALIDACJA → ESTYMACJA STANU
                                  │
                                  ▼
                          NAPROWADZANIE
                                  │ żądany skutek ruchowy
                                  ▼
                              AUTOPILOT
                                  │ polecenie ograniczone
                                  ▼
                        STRAŻNIK → AKTUATOR → RUCH

PODPORY FIZYCZNE: energia — zegary — reset — pamięć — montaż
PODPORY DOWODOWE: konfiguracja — diagnostyka — kwalifikacja — egzemplarz

Obserwacja nie jest stanem: próbka sensora, wiadomość z łącza albo sygnał głowicy wymaga czasu, jakości i kontekstu. Estymacja łączy obserwacje z modelem i wcześniejszym stanem. Naprowadzanie określa pożądany skutek ruchowy, autopilot przekłada go na zachowanie konkretnego płatowca, a tor wykonawczy realizuje fizyczne polecenie w granicach własnej energii i zdolności. Skupienie bloków w jednym SoC nie znosi tych odpowiedzialności; rozdzielenie ich między obudowy nie gwarantuje niezależności.

Na schemat nakłada się pięć topologii fizycznych. Sygnałowa pokazuje drogę wartości, energetyczna — wspólne szyny i zwarcia, zegarowa — zależność od odniesień czasu, mechaniczno-termiczna — wspólny udar, drgania i drogę ciepła, a konfiguracyjna — obrazy, dane i narzędzia tworzące działającą całość. Pozornie redundantne procesory mogą dzielić wspólne zasilanie, zegar, mocowanie, kalibrację lub błędny build; niezależność ocenia się wobec konkretnej przyczyny, nie liczby obudów.

Na potrzeby tej monografii przyjmuję autorski model kontraktu o pięciu wymiarach: wartości, czasie, jakości, pochodzeniu i uprawnieniu. Nie jest to jedyna możliwa teoria interfejsu, lecz wystarcza do śledzenia drogi rekordu w przyjętym zakresie. Wartość obejmuje jednostkę, znak, skalę i układ odniesienia. Czas określa chwilę powstania i kres użyteczności. Jakość odróżnia dane nominalne, zastępcze, niepewne i nieważne. Pochodzenie wiąże rekord ze źródłem i sposobem wytworzenia. Uprawnienie wyznacza dozwolony sposób użycia.

Wymiar Pytanie na granicy Przykład ukrytego błędu
wartość co oznacza liczba? zgodny format, lecz inna jednostka, skala lub oś
czas z jakiej chwili i epoki pochodzi? poprawna, ale stara próbka
jakość co wiadomo o wiarygodności? wartość podtrzymana udaje bieżącą
pochodzenie kto i w jakiej konfiguracji ją utworzył? dwie kopie wspólnego źródła udają niezależne
uprawnienie jaki skutek wolno wywołać? dane próbne zmieniają stan operacyjny

Inne taksonomie mogą wydzielać kompletność, kolejność, dostępność lub zachowanie błędowe jako osobne pola. Tutaj kompletność transakcji i kolejność są warunkami jakości albo czasu oraz atomowego związania rekordu. Dostępność jest własnością usługi obserwowaną w czasie. Zachowanie błędowe opisuje zaś, jak zdarzenie obniża jakość i zawęża dozwolone użycie. Model jest dzięki temu domknięty dla celu analizy, choć nie rości sobie uniwersalności.

Kontrola integralności bitów nie potwierdza świeżości ani prawa do skutku. Wartość i metadane muszą tworzyć atomowy rekord podczas kolejkowania, kopiowania i przetwarzania. Gdy estymator łączy źródła, ocena wyniku uwzględnia ich zależność. Gdy strażnik odrzuca wynik, przyczyna pozostaje obserwowalna; blok nadzorowany nie może sam nadać sobie szerszych praw.

6. Środowisko i architektura energetyczna

Komputer przechowywany latami, a następnie uruchamiany w krótkiej misji nie może być kwalifikowany przez osobne listy „mechanika”, „temperatura” i „elektryka”. Istotny jest łańcuch mechanizm → obserwowalny skutek → poziom dowodu. Ten sam objaw — reset, błędny rekord albo utrata wyjścia — może powstać w złączu, pamięci, zegarze, zasilaniu lub montażu, a zaliczony test lokalny nie dowodzi zachowania całego łańcucha.

Oddziaływanie i mechanizm Obserwowalny skutek w komputerze Właściwy poziom dowodu
udar startowy i drgania wymuszają odkształcenia płyty, złączy, spoin i ciężkich elementów przerwa lub odbicie styku, zmiana sygnału, chwilowy zanik szyny, reset, błąd pamięci albo przerwanie ciągłości czasu analiza mocowania i dróg obciążenia, oględziny oraz pomiar elektryczny podczas reprezentatywnego wymuszenia, następnie próba funkcji końca-do-końca
skrajna temperatura i gradient cieplny zmieniają parametry półprzewodników, oscylatorów, źródeł odniesienia i połączeń dryf pomiaru i czasu, inny margines logiczny, opóźnienie rozruchu, wzrost poboru lub przedwczesne odebranie gotowości charakterystyka elementu i toru, model termiczny zespołu, a na końcu demonstracja budżetu czasu i jakości danych w granicach kwalifikowanego środowiska
wieloletnie magazynowanie uruchamia retencję, korozję, dyfuzję, wysychanie i starzenie materiałów bez wykonywania kodu trudniejszy rozruch, utrata marginesu pamięci, wzrost impedancji połączenia, zmiana ESR albo parametrów nadzoru dane starzeniowe i historia przechowywania, kontrola okresowa o znanym pokryciu oraz ponowna ocena egzemplarza, nie sam jednorazowy BIT
EMI/EMC oraz przełączenia własnych przetwornic sprzęgają energię przez przewodzenie, promieniowanie i wspólne odniesienia fałszywe zbocze, zakłócony ADC, błąd łącza, jitter zegara, reset lub wiarygodnie zakodowana zła próbka margines toru i filtracji, próba podatności/emisji zespołu w reprezentatywnych stanach pracy oraz obserwacja skutku na granicy danych i uprawnień
montaż, obudowa i odprowadzanie ciepła łączą domeny, które na schemacie są osobne wspólna przyczyna obejmuje dwa kanały, monitor i funkcję albo zasilanie oraz zegar dowód na poziomie rzeczywistego układu mechaniczno-termicznego i egzemplarza, nie tylko analiza dwóch niezależnych bloków logicznych

Architektura energetyczna zaczyna się na granicy źródła i komputera. Kondycjonowanie ogranicza oraz filtruje zakłócenia w zakresie przewidzianym projektem, nadzór rozpoznaje utratę jakości, a dystrybucja tworzy domeny dla rdzeni cyfrowych, pamięci, wejść–wyjść, przetworników i analogowych źródeł odniesienia. Rozdzielenie szyn może ograniczyć propagację, ale nie daje niezależności, jeśli domeny dzielą element wejściowy, masę, nadzór, chłodzenie albo sekwencer. Z kolei jedna szyna upraszcza liczbę stanów, lecz powiększa zasięg zwarcia i zakłócenia.

Pobór nie jest stałą katalogową. Ładowanie pojemności, rozruch pamięci, konfiguracja FPGA, aktywacja interfejsów, praca DSP i zapis diagnostyczny tworzą pobory przejściowe. Ich nałożenie może obniżyć jakość szyny właśnie wtedy, gdy zegary i reset ustalają epokę. Sekwencja załączania musi więc godzić czas gotowości ze szczytowym poborem i liczbą stanów przejściowych; domena aktywna nie może przez wejście zasilać domeny wyłączonej ani uznać jej nieokreślonego poziomu za zgodę.

Jakość zasilania oznacza więcej niż napięcie mieszczące się w przedziale. Obejmuje zapad, tętnienie, odpowiedź na skok obciążenia, stabilność źródeł odniesienia i zdolność nadzoru do odebrania ważności, zanim błąd przejdzie do skutku. Analogowy front-end oraz ADC wiążą energię bezpośrednio ze znaczeniem obserwacji: zakłócone odniesienie może wytworzyć liczbę poprawną formatowo, lecz systematycznie błędną. Termika domyka pętlę, ponieważ pobór tworzy ciepło, temperatura zmienia pobór i czas, a droga chłodzenia zależy od montażu oraz fazy.

Mechanizmy łączą się. Udar może zwiększyć rezystancję złącza, wywołać zapad napięcia i przesunąć odniesienie ADC; procesor nadal działa, lecz obserwacja jest błędna. Temperatura wydłuża stabilizację oscylatora, a dodatkowa kontrola rozruchowa podnosi pobór. Rozmieszczenie elementów wyznacza te sprzężenia: wspólne mocowanie, droga ciepła lub przewód wysokiego prądu mogą połączyć kanały rozdzielone na schemacie logicznym. Dlatego widoki mechaniczny, termiczny, energetyczny i sygnałowy muszą opisywać tę samą rewizję montażu.

Długi okres wyłączenia zmienia sens diagnostyki. Kontrola po składowaniu jest próbką stanu, nie ciągłą obserwacją starzenia. Może wykazać uruchomienie procesora, lecz nie margines retencji nośnika ani zachowanie zegara podczas udaru. Jej pokrycie musi wskazać także mechanizmy, których nie pobudzono; historię przechowywania ocenia się osobno.

Utrata jednej domeny może wymagać odrzucenia jej obserwacji, ograniczenia obciążenia albo odebrania gotowości. Działający CPU nie pomaga, gdy analogowe odniesienie jest niewiarygodne. Wyłączenie funkcji pomocniczej może natomiast chronić szynę podstawową, jeśli taką reakcję wcześniej zweryfikowano wraz z resetem.

Kwalifikacja schodzi od komponentu przez tor i zespół do funkcji. Dane katalogowe uzasadniają mechanizm, analiza montażu pokazuje sprzężenia, próba środowiskowa ujawnia zachowanie fizyczne, a pomiar końca-do-końca sprawdza usługę. Akceptacja egzemplarza potwierdza jedynie kryteria odbioru o znanym pokryciu. Profile i marginesy rzeczywistego uzbrojenia należą do kontrolowanej specyfikacji.

7. Budżet obliczeń i dowód czasu rzeczywistego

Terminowość nie oznacza stałej liczby cykli. Oznacza możliwość ograniczenia czasu od powstania obserwacji do użycia wyniku. Składają się na niego próbkowanie, transport, oczekiwanie w kolejce, wykonanie, blokowanie przez zasób wspólny oraz przekazanie wyjścia. Najgorszy czas wykonania WCET jest tylko jednym składnikiem; średni benchmark nie jest jego zamiennikiem.

Poniższy rachunek jest fikcyjny, dydaktyczny i nieoperacyjny. Nie opisuje żadnego pocisku ani użytecznej pętli sterowania. Załóżmy abstrakcyjny węzeł laboratoryjny z terminem 20 ms. Konserwatywne granice wynoszą: akwizycja 1,2 ms, transport 0,8 ms, oczekiwanie w kolejce 2,0 ms, WCET obliczenia 7,5 ms, blokowanie 1,5 ms i publikacja 0,5 ms. Wtedy:

$$R_{max}=1{,}2+0{,}8+2{,}0+7{,}5+1{,}5+0{,}5=13{,}5 \text{ms},$$

$$M=20-13{,}5=6{,}5 \text{ms}, \qquad M_{rel}=6{,}5/20=32{,}5\%.$$

Jeżeli producent może nadać trzy elementy w krótkim spiętrzeniu, przyjmujemy atomowe przejęcie pierwszego rekordu przez konsumenta: jeden rekord jest już obsługiwany, a dwa następne zajmują dwa miejsca oczekujące w FIFO. Pojemność bufora oczekującego wynosi więc dwa rekordy, natomiast całe rozpatrywane okno systemu obejmuje trzy rekordy. Bez atomowego przejęcia albo gdy „pojemność kolejki” oznacza wyłącznie rekordy nadal oczekujące przed rozpoczęciem obsługi, trzeba konserwatywnie przewidzieć trzy miejsca. To nie jest uniwersalny wzór pojemności. Wynika wyłącznie z przyjętego modelu napływu; czwarte zdarzenie albo dłuższe blokowanie unieważnia wniosek. Polityka przepełnienia — zachowanie najnowszej próbki, pełnej sekwencji lub jawne odrzucenie — należy do semantyki danych.

Dowód wymaga wskazania konfiguracji procesora, pamięci, zegara, kompilatora, obrazu FPGA, aktywnych zadań i ruchu DMA. Cache może skrócić typowe wykonanie, a zarazem zwiększyć rozrzut. Wielordzeniowość może dodać przepustowość, ale wspólna pamięć i interkonekt tworzą interferencję. Potok FPGA może dawać jeden wynik na takt po napełnieniu, mimo wielotaktowego opóźnienia pojedynczej próbki; podręcznik Bruno i Eschemann pokazuje właśnie różnicę między opóźnieniem a przepustowością.11

Budżet końca-do-końca musi wskazywać jedno zdarzenie początkowe i jeden punkt obserwacji skutku. Inaczej można połączyć WCET liczony od zwolnienia zadania z transportem mierzonym do innego znacznika albo pominąć oczekiwanie na kompletny rekord. Początkiem jest chwila próbkowania, a końcem publikacja pełnego wyniku dla odbiorcy — nie wejście przerwania i koniec operatora arytmetycznego.

Jitter ma dwa znaczenia. Rozrzut chwili zwolnienia zmienia odstęp między obserwacjami, a rozrzut ukończenia — wiek wyniku w chwili użycia. Obciążenie CPU może pozostać niskie, gdy kolejka systematycznie dostarcza coraz starsze rekordy. Dlatego mierzy się czas odpowiedzi i świeżość osobno. Przekroczenie terminu nie powinno być ukrywane użyciem ostatniej wartości: zmienia jakość danych i może wymagać odebrania uprawnienia albo przejścia do zweryfikowanej degradacji.

WCET odnosi się do wyznaczonej ścieżki, wejść, konfiguracji pamięci i narzędzi. Do czasu odpowiedzi dochodzą blokady, przerwania, wywłaszczenia i interferencja interkonektu. Analiza statyczna może dostarczać granic dla fragmentów, pomiar — obserwacji na sprzęcie, a próba przeciążeniowa — dowodu zachowania przy dopuszczonym napływie. Żadna metoda sama nie obejmuje automatycznie drogi sensora, DMA, cache, akceleratora i odbiorcy. Zgodność uzyskuje się przez wspólne znaczniki oraz kontrolowany zestaw założeń.

Rezerwa 6,5 ms w rachunku nie jest wolnym czasem do dowolnego wykorzystania. Pokrywa niepewności objęte modelem i zachowuje margines na określone warunki. Zmiana kompilatora, aktywacja telemetrii, inny obraz FPGA, dodatkowy test tła albo wolniejsza pamięć mogą ją zużyć. Analiza wpływu sprawdza każdy składnik i ich korelację; samo ponowne zmierzenie średniej nie przenosi dawnego dowodu. Po zmianie fazy może obowiązywać inny zestaw funkcji i inny budżet, dlatego orzeczenie terminowości zawsze zawiera fazę oraz konfigurację.

8. CPU–MCU–DSP–FPGA–ASIC: podział odpowiedzialności, nie ranking nowoczesności

Historia nośników nie tworzy rankingu. Podział zaczyna się od grafu informacji. Regularny strumień może pasować do FPGA lub DSP; złożone zarządzanie stanem do CPU; prosty nadzór do MCU; stabilna funkcja produkowana w dużej serii do ASIC. Potem ocenia się energię, termikę, termin, zmienność funkcji i granice uszkodzeń. Przeniesienie pracy do sprzętu nie usuwa błędu — przenosi go do HDL, synchronizacji, narzędzi i wyniku implementacji.

Każde przecięcie grafu tworzy interfejs. Wspólna pamięć CPU i FPGA wymaga własności bufora oraz sygnału kompletności. DSP może zdążyć, lecz przypisać wynik złej próbce. MCU nadzorujący CPU może dzielić z nim zasilanie. SoC zmniejsza liczbę obudów, ale nie gwarantuje separacji we wspólnym krzemie.

Liczba stanów, cykli, głębokość logiki i użycie pamięci zmieniają koszt oraz czas tej samej funkcji.10 Procesor miękki i logika równoległa mogą się uzupełniać, lecz magistrala, pamięć oraz domknięcie czasowe także mają koszt.11 W systemie krytycznym dochodzą odtwarzalność narzędzi, identyfikacja IP i przejścia zegarowe.

Decyzja podziału Zysk możliwy do udowodnienia Nowe zobowiązanie
strumień do FPGA stała struktura potoku i duża przepustowość latencja przypisana próbce, timing closure, CDC/RDC i bitstream
regularna arytmetyka do DSP efektywne mnożenie i akumulacja formaty liczbowe, pamięć danych, kompilator i czas potoku
sekwencjonowanie do CPU/MCU czytelna logika stanu, wyjątki i aktualizacja WCET, planowanie, pamięć, obraz i izolacja praw
stabilna funkcja do ASIC mała energia na operację i utrwalone zachowanie projekt fizyczny, proces produkcji i koszt błędu po zamrożeniu
integracja w SoC krótsze połączenia i mniej obudów wspólny krzem, interkonekt, zegary, zasilanie i bardziej złożona separacja

Granica powinna ograniczać transfery, konwersje semantyczne i wspólne przyczyny. Walidacja w FPGA może wcześniej zatrzymać niekompletny rekord, lecz zwiększa rolę bitstreamu. Monitor w MCU pomaga tylko wtedy, gdy nie dzieli krytycznych zależności z funkcją podstawową. Podział wyznacza też zakres sprawdzeń: kod i harmonogram dla software’u; RTL, CDC, ograniczenia i bitstream dla FPGA; projekt fizyczny i proces dla ASIC; zasilanie, zegary, połączenia oraz środowisko dla płyty.

9. Arytmetyka implementacyjna i zgodność modeli

Liczba w komputerze należy do skończonego zbioru kodów. Format jest więc częścią wymiaru wartości z rozdziału 5: określa znak, szerokość, skalę, jednostkę, zakres, regułę zaokrąglania i reakcję na przekroczenie zakresu. Dwa bloki mogą wymieniać te same bity, a rozumieć inną wielkość.

W zapisie stałoprzecinkowym kod całkowity $N$ reprezentuje

$$x=N\Delta,$$

gdzie $\Delta$ jest wagą najmłodszego bitu wyrażoną w jednostce $x$. „Przecinek” jest umową, nie fizycznym polem rejestru. Kwantyzacja zastępuje wartość punktem siatki. Dla zaokrąglania do najbliższego punktu, bez przepełnienia,

$$e_q=Q_{\Delta}(x)-x,\qquad |e_q|\leq \frac{\Delta}{2}.$$

Granica nie uprawnia do założenia, że błędy są losowe lub wzajemnie się znoszą. Obcinanie może tworzyć błąd kierunkowy; w rekurencji mały błąd może przechodzić przez stan wielokrotnie.

Propagacja szerokości. Przed dodawaniem wyrównuje się skale, a wynik dwóch pełnozakresowych liczb może wymagać dodatkowego bitu części całkowitej. Iloczyn dwóch słów wymaga przeanalizowania sumy szerokości i sumy liczby bitów ułamkowych. Akumulator często pozostaje szerszy od interfejsu wyjściowego, aby nie utracić informacji przed świadomą redukcją. Każde zwężenie wskazuje miejsce zaokrąglenia, flagę utraty zakresu i wpływ na czas lub zasoby. Źródła 10 i 11 wiążą dobór długości słowa z zajętością logiki, blokami arytmetycznymi, pamięcią, potokiem oraz domknięciem czasowym.

Jeden pełny rachunek dydaktyczny. Nieoperacyjny tor laboratoryjny koduje dwa napięcia z krokiem $\Delta=1/256 \text{V}$. Dla $x_1=1{,}5 \text{V}$ oraz $x_2=-0{,}5 \text{V}$ kody wynoszą odpowiednio $N_1=384$ i $N_2=-128$. Abstrakcyjna funkcja $y=3x_1+2x_2$ jest liczona w poszerzonym akumulatorze:

$$A=3N_1+2N_2=3\cdot384+2\cdot(-128)=896,$$

$$y=A\Delta=896\cdot\frac{1}{256} \text{V}=3{,}5 \text{V}.$$

Jeżeli jedynym źródłem błędu jest zaokrąglenie obu wejść do najbliższego kodu, konserwatywna granica przed kwantyzacją wyjścia wynosi

$$|e_y|\leq (|3|+|2|)\frac{\Delta}{2} =\frac{5}{512} \text{V} =9{,}765625 \text{mV}.$$

Wniosek jest dwuczęściowy: akumulator musi pomieścić 896 bez zawinięcia, a odbiorca musi otrzymać wynik w tej samej skali oraz z informacją o ewentualnej redukcji. Gdyby dozwolony zakres wyjścia kończył się na $2 \text{V}$, nasycenie opublikowałoby $2 \text{V}$ wraz z flagą; nie wolno przedstawiać tej liczby jako dokładnego wyniku $3{,}5 \text{V}$.

Przepełnienie z zawijaniem redukuje kod modulo liczbę stanów i może zamienić duży wynik dodatni w wiarygodnie zakodowany wynik ujemny. Nasycenie ogranicza wynik do minimum lub maksimum, zwykle zachowując kierunek, lecz jest nieliniowe, usuwa informację o wielkości przekroczenia i może zmienić zachowanie sprzężenia. Nasycenie jest lokalną barierą amplitudy, nie dowodem poprawności ani zamiennikiem strażnika skutku. Flaga powinna pozostać związana z jakością wyniku.

Zgodność trzeba wykazać między trzema warstwami:

Warstwa Odpowiada na pytanie Kryterium
model wysokiej precyzji jaka matematyka, jednostki i zakresy są zamierzone? zgodność z wymaganiem i analitycznym budżetem błędu
model bitowo wierny gdzie występują kwantyzacja, szerokości, zaokrąglanie, nasycenie i flagi? różnica od modelu wysokiej precyzji mieści się w wyprowadzonych granicach
implementacja CPU/DSP/FPGA jakie kody, flagi i opóźnienia rzeczywiście powstają? zgodność z modelem bitowym dla tej samej próbki i określonej latencji

Porównanie obejmuje przypadki nominalne, wartości skrajne, okolice granic kodów, zmianę znaku, pierwsze nasycenie oraz ciągi przenoszące błąd przez stan. Dla potoku podobny wynik w podobnym czasie nie wystarcza: kod i flaga muszą należeć do właściwej próbki. Wspólny generator modelu i implementacji może przenieść ten sam błąd, dlatego równania, jednostki i część oczekiwanych wyników wymagają niezależnego wyprowadzenia.

Ostatni dowód dotyczy docelowej konfiguracji: wersji modelu, formatów interfejsów, kodu lub RTL, kompilatora albo syntezy, ustawień arytmetyki, obrazu wykonywalnego lub bitstreamu oraz analizy czasowej. Zmiana operatora, kolejności działań albo narzędzia może unieważnić zgodność bez zmiany równania w dokumencie. Publiczny rekord D-17 potwierdza słowo 24-bitowe, ale nie ujawnia kompletnej semantyki jego formatów i przepełnień; dalsze przypisywanie takich własności byłoby nieuprawnione.3

10. Pamięć, kalibracja, interfejsy i stan

Pamięć nie jest jednym magazynem bitów. Obraz wykonywalny określa, jaką funkcję wolno uruchomić; dane robocze — co system wie w bieżącej epoce; kalibracja — jak sygnał konkretnego egzemplarza staje się wielkością fizyczną; diagnostyka — jaki ślad pozostał po produkcji, obsłudze lub zdarzeniu. Wspólna technologia nośnika nie znosi różnych reguł życia tych klas.

Klasa stanu Podczas magazynowania i przygotowania W krótkiej misji Główne ryzyko dowodowe
obrazy CPU/FPGA i stałe retencja, identyfikacja wydania, zgodność ze sprzętem wykonanie tylko rozpoznanego zestawu bitowo poprawny, lecz niewłaściwy obraz lub zależność
dane robocze i kolejki inicjalizacja albo jawna nieważność próbki, stan estymacji i wyniki związane z czasem oraz epoką stary lub częściowy rekord udaje bieżący
kalibracja egzemplarza związek z sensorem, rewizją, metodą i effectivity kontrolowane przeliczenie obserwacji poprawny zestaw przypisany innej sztuce lub wersji algorytmu
diagnostyka i historia wyniki odbioru, napraw, odstępstw i kontroli ograniczony zapis bez odbierania terminu funkcji log zmienia stan, zużywa nośnik albo przeciąża wspólny zasób

Trwałość fizyczna nie jest ważnością logiczną. Rekord zachowany po zaniku zasilania może mieć poprawną sumę, a należeć do poprzedniej fazy lub innego egzemplarza. Ulotna zawartość SRAM może być jedynym bieżącym stanem kolejki. Trwały obiekt wymaga tożsamości, wersji, kompletności i zakresu stosowalności; stan roboczy — także odniesienia czasowego.

Pamięć wykonywalna obejmuje instrukcje, obrazy rozruchowe, bitstreamy, inicjalizację pamięci, tablice stałych i relacje zgodnych wersji. Źródło HDL nie jest jeszcze fizycznym układem pamięci, a poprawna symulacja nie dowodzi odwzorowania wybranego przez syntezę.10,11 Kontrolowany artefakt wiąże wymaganie, źródło, narzędzie, ustawienia, build, docelową rewizję sprzętu i wynik sprawdzenia.

Kalibracja leży między kodem a pomiarem. Suma kontrolna mówi o zmianie bitów; nie potwierdza właściwego sensora, jednostki, metody, rewizji ani wersji algorytmu. Zamiana dwóch poprawnych zestawów może więc systematycznie zniekształcić wszystkie późniejsze obserwacje bez błędu formatu. Z tego powodu kalibracja podlega takiej samej identyfikowalności jak obraz, lecz nie powinna być traktowana jak swobodnie zmienna dana robocza.

Rejestry i pamięci lokalne upraszczają ograniczenie opóźnienia. FIFO rozdziela producenta od konsumenta, lecz wymaga reguły przepełnienia. Pamięć zewnętrzna dodaje arbitraż i opóźnienie zależne od ruchu. Dla krótkiej misji ocenia się dopuszczone obciążenie współbieżne, nie średnią przepustowość. Publikacja metadanych przed wartością mogłaby złożyć rekord z dwóch obserwacji.

DMA odciąża CPU, ale konkuruje o interkonekt i współtworzy stan. Producent modyfikuje przydzielony bufor, ogłasza kompletność po zakończeniu, a konsument czeka na publikację. Cache może sprawić, że CPU i DMA widzą różne kopie. Wybrany mechanizm spójności musi zachować kolejność i atomowość, a jego najgorsze opóźnienie wchodzi do budżetu drogi danych.

Integralność ma warstwy. ECC lub parzystość odpowiadają na wybrane błędy słowa; skrót — na zmianę objętego obiektu; wersja i identyfikator zgodności — na pomylenie poprawnych artefaktów; znacznik kompletności — na przerwany zapis; kontrola semantyczna — na część wiarygodnych bitowo, lecz nielogicznych danych. Żaden mechanizm nie zastępuje pozostałych. Błąd wspólnego kontrolera, zasilania albo procesu ładowania może objąć logicznie oddzielne obszary.

Po magazynowaniu pyta się osobno, czy nośnik odczytuje treść i czy ta treść nadal jest zatwierdzona. Historia temperatury, czas od programowania i starzenie dotyczą pierwszego; baseline, build i effectivity — drugiego. Kontrola okresowa ma znane pokrycie i nie może samym odświeżeniem utrwalić złego obrazu.

Zapis trwały jest transakcją: kandydat nie staje się obowiązującą wersją przed potwierdzeniem kompletności. Diagnostyka nie może opóźniać drogi bieżących danych ani wyczerpać nośnika lawiną zapisów. Rozdziela się więc częste zdarzenia ulotne, ograniczone podsumowania trwałe i artefakty zmieniane wyłącznie formalnym wydaniem. Dowód obejmuje również przerwany zapis, brak miejsca i utratę energii, ponieważ właśnie te ścieżki mogą po latach ujawnić się w jedynej dostępnej próbie rozruchu.

11. Zegary, reset i dowód gotowości

Sygnał poprawnego zasilania nie jest gotowością, oscylator nie jest jeszcze ważnym czasem, a reset nie jest uniwersalnym powrotem do stanu początkowego. Po ustanowieniu energii rozdział 6 pozostawia cztery kolejne zobowiązania: rozpoznać źródła czasu, kontrolowanie zwolnić domeny z resetu, ustanowić spójny stan i epokę oraz dopiero potem nadać zdolność funkcjonalną i osobne uprawnienie do wyjść.

WAŻNE DOMENY ENERGII
          ↓
WAŻNE ŹRÓDŁA I RELACJE CZASU
          ↓
KONTROLOWANE ZWOLNIENIE RESETU
          ↓
INICJALIZACJA PAMIĘCI, INTERFEJSÓW I EPOKI
          ↓
ROZPOZNANIE OBRAZÓW ORAZ DANYCH EGZEMPLARZA
          ↓
WAŻNOŚĆ OBSERWACJI I MONITORÓW
          ↓
GOTOWOŚĆ FUNKCJONALNA
          ↓
ODRĘBNA AUTORYZACJA SKUTKU

Część prac może zachodzić równolegle, ale relacja dowodowa pozostaje kierunkowa. Skrócenie nominalnego startu przez jednoczesne uruchomienie wielu bloków zwiększa pobór przejściowy i liczbę możliwych kolejności. Najkrótszy boot nie musi więc dawać najwcześniejszej dowiedzionej gotowości.

Oscylator, blok syntezy zegara i sieć dystrybucji dostarczają różnych przesłanek. Zgłoszenie stabilności jednego bloku nie dowodzi, że każdy odbiornik ma właściwy przebieg, relacje faz odpowiadają założeniom ani że zamknięto czas wszystkich ścieżek. Bramkowanie, przełączanie i rozprowadzanie zegara są infrastrukturą czasową, nie zwykłą logiką sygnałową.10 Dwie domeny pochodzące z jednego oscylatora nadal mogą mieć inną częstotliwość, fazę, chwilę uruchomienia lub regułę zatrzymania.

CDC (clock-domain crossing) oznacza przejście informacji przez granicę domen zegarowych. Zmiana sygnału blisko zbocza odbiorcy może wywołać metastabilność; synchronizator ogranicza prawdopodobieństwo jej propagacji, lecz nie nadaje danym spójności ani znaczenia. Pojedynczy poziom, impuls, słowo wielobitowe i strumień wymagają różnych własności przejścia. Asynchroniczne FIFO może zachować kolejność słów, ale nie dowodzi świeżości, jednostki lub właściwej epoki.11

RDC (reset-domain crossing, przejście przez granicę resetu) jest innym problemem. Występuje, gdy producent, konsument albo logika granicy mogą być resetowane w różnym czasie, nawet przy wspólnym zegarze. Sygnał elektrycznie poprawnie zsynchronizowany może wtedy pochodzić od domeny w starej epoce, od częściowo zresetowanej maszyny stanów albo od producenta, który utracił własność bufora. CDC dotyczy relacji zboczy zegara; RDC — spójności stanu podczas asercji i zwalniania resetu. Na granicy występują czasem oba problemy, ale dowód jednego nie zamyka drugiego.

Własność Co trzeba zachować Czego nie daje sama realizacja elektryczna
bezpieczne przejście bitu ograniczenie propagacji metastabilności przechwycenia każdego zdarzenia i spójności słowa
czas pomiaru związek wartości z chwilą zegara źródła porównywalności z innym zegarem bez znanej relacji
kolejność i kompletność jednoznaczne wydanie rekordu oraz własność bufora wspólnej skali czasu i poprawności treści
zgodność epok wspólne ciągłe uruchomienie danych, konfiguracji i odbiorcy bezpiecznego CDC/RDC ani ważności sensora

Reset usuwa głównie stan ulotny; nie naprawia obrazu, kalibracji, zasilania ani pamięci trwałej. Rozpoczyna nowe ciągłe uruchomienie i wymaga ponownego ustanowienia właścicieli buforów. RDC jest warunkiem elektrycznej i stanowej poprawności przejścia przez reset, natomiast o dopuszczeniu stanu sprzed resetu rozstrzyga protokół epoki, inicjalizacji i ważności danych — nie suma kontrolna rekordu.

Gotowość jest złożonym orzeczeniem: energia i czas są stabilne, domeny wyszły z resetu, obrazy oraz dane pasują do sprzętu, interfejsy działają, a monitor potrafi ograniczyć skutek. Każda przesłanka ma właściciela i przyczynę odebrania. Bit „boot complete” może podsumować tę koniunkcję, lecz jej nie zastępuje.

Integralność obrazu nie potwierdza zgodności rewizji, terminu ani funkcji. BIT mówi tylko o pobudzonych ścieżkach. Strażnik rozstrzyga osobno, czy bieżąca faza pozwala na skutek: funkcjonalne „ready” i systemowe „authorized” to dwie decyzje.

kontrolowana dokumentacja konkretnego programu musi uzupełnić rzeczywiste zależności zasilania, zegarów i resetów, warunki ważności, czasy gotowości, sekwencje odzyskiwania oraz mapę sygnałów autoryzacji. Publiczny model nie zawiera progów, topologii ani procedur rzeczywistego uzbrojenia.

12. Klasy oprogramowania misji i wykonanie czasu rzeczywistego

Oprogramowanie pokładowe nie jest tylko BSP, sterownikami i planistą. Te warstwy tworzą platformę wykonania, ale znaczenie przepływa przez klasy odpowiadające funkcjom systemowym. Granice klas pozostają użyteczne nawet wtedy, gdy kilka z nich wykonuje jeden procesor albo część przeniesiono do FPGA.

Klasa Publikowany rezultat Granica odpowiedzialności
akwizycja i walidacja kompletna obserwacja z oceną jakości nie wyznacza stanu ani skutku
nawigacja i estymacja estymata stanu i niepewność nie wybiera zadania
sekwencjonowanie faz faza i aktywne funkcje zdarzenie nie zastępuje prawdy pomiarowej
naprowadzanie żądany skutek ruchowy nie steruje wykonawcą bezpośrednio
autopilot ograniczona propozycja sterowania nie autoryzuje własnego wyjścia
obsługa głowicy i łącza obserwacja i stan źródła transmisja nie potwierdza treści
obsługa głowicy bojowej kontrolowany stan zdolności nie omija niezależnych barier
BIT/BITE wynik o znanym pokryciu nie kwalifikuje całej funkcji
FDIR izolacja lub zweryfikowana reakcja nie udaje pełnej diagnozy
telemetria próbna kontrolowany ślad próby nie może zabierać zasobów misji
warstwa platformowa czas, pamięć, komunikacja i izolacja nie zastępuje semantyki misji

Odpowiedzialność płynie od obserwacji ku skutkowi, choć fizyczna pętla wraca przez ruch i następny pomiar. Akwizycja nie „poprawia” starego czasu, estymator nie ukrywa utraty źródła, naprowadzanie nie przejmuje roli autopilota, a aplikacja nie omija strażnika. Tekst nie podaje kodu, parametrów pętli, progów ani procedur bojowych.

Każda klasa widzi inny błąd. Akwizycja wykryje niekompletny format, lecz nie zawsze złą kalibrację. Estymacja porówna źródła, lecz nie może przedstawiać wspólnego sensora jako dwóch niezależnych. Naprowadzanie odrzuci zbyt słaby stan, autopilot — żądanie poza zbadaną dziedziną, a strażnik — polecenie bez zgody na wykonanie.

Po magazynowaniu sekwencjoner oddziela prawa kontroli okresowej od gotowości. Dane stanowiska nie pozostają stanem misji, a wiadomość sprzed oddzielenia ma określony kres użycia. Blok nie może pojedynczą deklaracją rozszerzyć własnych praw.

Głowica naprowadzająca jest sensorem, nie całą funkcją guidance. Łącze zachowuje identyfikację źródła i kolejność, lecz poprawna transmisja nie potwierdza treści. Głowica bojowa jest odrębnym podsystemem podlegającym barierom poza zwykłą aplikacją; zbieżność polskich nazw nie oznacza wspólnej roli.

BIT i BITE orzekają tylko o pobudzonych ścieżkach. Test pamięci lub operatora może się powieść bez sprawdzenia całej drogi od sensora do strażnika; symulowany sensor nie bada toru analogowego. Wynik wskazuje zatem badany zestaw, elementy zastąpione i ograniczenia. FDIR traktuje go jako obserwację, nie bezwarunkowy werdykt „sprawny”.

Telemetria próbna nie jest darmowym podglądem. Może zmienić czas, ruch pamięci i cache, a log z innego zegara — pozornie odwrócić zdarzenia. Trzeba wskazać różnice wobec wydania użytkowego i ograniczyć interferencję instrumentacji.

BSP wiąże program z płytą, zegarami, pamięcią i peryferiami. Sterownik rozpoznaje zakończenie transakcji i zachowuje przyczynę błędu. Usługi platformowe przenoszą kontrakt danych, a nie tylko bufor bajtów. Przykład procesora miękkiego potwierdza związek BSP ze sprzętem, lecz nie opisuje oprogramowania pocisku.11

Wykonanie czasu rzeczywistego obejmuje całą drogę, nie tylko WCET. Planista ogranicza zwolnienie pracy, blokowanie, interferencję i komunikację dla aktywnego zestawu funkcji. Wybór mechanizmu wynika z budżetu, nie z etykiety RTOS. Konsekwencje trzech organizacji wykonania ujawni zamknięty przypadek jednego rekordu.

Priorytet nie jest krytycznością. Telemetria o małej krytyczności może odebrać termin funkcji podstawowej przez pamięć lub DMA. Izolacja CPU nie ogranicza automatycznie DMA, a partycja czasu — kontrolera pamięci. Ocenia się wszystkie współdzielone zasoby badanego zestawu.

Kolejka realizuje semantykę danych. Obserwacja może wymagać najnowszego kompletnego rekordu, zdarzenie — zachowanej kolejności, a transakcja — odrzucenia całości po utracie fragmentu. Nieograniczony bufor zamienia przeciążenie w rosnący wiek. Ruch diagnostyczny również ma limit, aby kaskada komunikatów nie pogłębiła błędu.

FDIR korzysta z BIT/BITE i monitorów, ale nie utożsamia detekcji z diagnozą. Może odrzucić źródło, odebrać funkcję albo wejść w wcześniej zbadany stan zdegradowany. W krótkiej misji seria restartów lub oczekiwanie na pełne rozpoznanie może zużyć dostępny czas; potrzebna jest ograniczona reakcja właściwa dla fazy, nie obietnica „samoleczenia”.

Zachowanie zależy od BSP, sterowników, bibliotek, planowania, aplikacji, obrazów FPGA, tablic i obciążenia. WCET bez komunikacji nie daje czasu końca-do-końca, ochrona pamięci bez DMA nie daje izolacji, a BIT bez pokrycia nie daje gotowości. Wynik musi być obserwowalny i terminowy, a jego użycie sprawdza strażnik.

Weryfikacja powinna przecinać mapę w obu kierunkach. Dla każdej klasy sprawdza lokalne wymagania i reakcje błędowe; dla wybranych łańcuchów prowadzi obserwację od wejścia do ograniczonego skutku, łącznie z opóźnieniem, jakością i pochodzeniem. Testy modelowe badają logikę i zakresy, SIL — zbudowane oprogramowanie w kontrolowanym otoczeniu, HIL — rzeczywiste interfejsy i timing z reprezentacją otoczenia, a próba sprzętu w środowisku — mechanizmy niedostępne symulacji. Nazwa poziomu testu nie jest wystarczająca bez konfiguracji, pobudzenia, wyroczni i kryterium.

13. Hipoteza uszkodzeń, ograniczanie skutków, redundancja i degradacja

Pytanie o odporność zaczyna się od hipotezy uszkodzeń, nie od liczby procesorów. Hipoteza wylicza przyjęte przyczyny, ich trwałość, możliwą współbieżność i zasięg, a także czas, w którym mogą pozostać niewykryte. Dopiero na tej podstawie wyznacza się domeny ograniczania skutków, potrzebne obserwacje, reakcje i zdolność resztkową. Publiczne zalecenia NASA/NESC dla awioniki załogowych statków kosmicznych łączą hipotezę uszkodzeń, funkcjonalną analizę skutków, analizę niezawodności i domeny ograniczania w jeden argument architektoniczny.13 Monografia przejmuje strukturę pytania, nie gotową architekturę statku kosmicznego.

HIPOTEZA USZKODZEŃ
    → DROGA PROPAGACJI
    → DOMENA OGRANICZANIA SKUTKÓW
    → OBSERWACJA I CZAS WYKRYCIA
    → IZOLACJA
    → REAKCJA ORAZ NOWA EPOKA
    → ZDOLNOŚĆ RESZTKOWA
    → REGRESJA DLA KONKRETNEJ KONFIGURACJI

Wykrycie rozbieżności nie wystarcza, jeśli nie wiadomo, które źródło odrzucić. Reset nie odzyskuje usługi, gdy pozostawia stary stan. Trzy kanały nie chronią przed utratą wspólnego czasu tylko dlatego, że nadal wykonują instrukcje. Twierdzenie o odporności ma więc określony zakres przyczyn, fazę, środowisko i granicę skutku.

Stabilny słownik. Uszkodzenie (fault) jest przyczyną fizyczną, projektową, konfiguracyjną, czasową albo proceduralną. Błąd (error) jest nieprawidłowym stanem powstałym pod jej wpływem. Niezdatność usługi (failure) występuje na obserwowalnej granicy, gdy wymagany kontrakt nie zostaje spełniony. Uszkodzenie oscylatora może zatem wytworzyć błędny czas, a użycie starej obserwacji jako bieżącej stać się niezdatnością usługi danych. Rozdzielenie tych etapów wskazuje miejsca wykrycia i zatrzymania propagacji.

Domena ograniczania skutków (fault-containment region, FCR) to obszar, w którym błąd może się rozwinąć, lecz poza który nie powinien wyjść jako naruszenie usługi. Nie musi pokrywać się z płytą ani procesem. Partycję pamięci może ominąć DMA, a dwa procesory mogą dzielić błędną kalibrację. FCR wyznacza się dla konkretnej przyczyny na mapach fizycznych i logicznych.

Wspólna przyczyna może objąć kanały albo funkcję i monitor: przez sensor, zasilanie, zegar, wymaganie, narzędzie, partię elementów lub obsługę. Uszkodzenie utajone pozostaje niewidoczne aż do chwili, gdy kolejny problem odbierze tolerancję. Hipoteza określa zatem czas ekspozycji, korelację i podatność detektora, nie tylko liczbę awarii.

Obserwacja, pokrycie i izolacja. Integralność wykrywa wybrane zmiany treści, watchdog — brak zdarzenia, monitor zakresu — naruszenie relacji, a monitorowanie krzyżowe — rozbieżność kanałów. Żaden objaw sam nie diagnozuje przyczyny. Dwie różne odpowiedzi nie wskazują prawidłowej strony; trzy zgodne nie potwierdzają prawdy przy wspólnym wejściu lub wymaganiu.

Pokrycie podaje, które przyczyny wykryto przed utratą usługi, które później, a które pozostają utajone. Procent bez zbioru odniesienia niewiele mówi. Test rezerwy skraca utajenie, ale zużywa czas i energię; zbyt późny detektor wymaga wcześniejszej bariery.

Izolacja wyłącza wskazany kanał, źródło albo rekord z dalszej decyzji. Jeśli obserwacje nie rozróżniają przyczyn, trzeba odłączyć szerszą domenę; arbitralny wybór jednej z dwóch kopii udaje wiedzę. FDIR (fault detection, isolation and recovery) jest zasadne, gdy reakcja wynika z rozróżniających obserwacji i prowadzi do wcześniej zbadanego stanu.

Cztery rodzaje redundancji.

Rodzaj Co dodaje Główne ograniczenie
informacyjna parzystość, kod korekcyjny, sumę kontrolną, numer kolejny, epokę albo relację semantyczną spójnie zakodowana błędna treść może przejść kontrolę
czasowa ponowienie operacji lub obserwacji w innej chwili nie usuwa trwałego błędu i zużywa termin oraz energię
sprzętowa drugi wykonawca, pamięć, sensor, zasilanie lub łącze wspólne dane, czas, konfiguracja albo selektor mogą objąć wszystkie kopie
funkcjonalna inną metodę lub źródło zapewniające węższą zdolność wyniki mogą nie być równoważne, a wspólna specyfikacja pozostaje

Redundancja działa tylko wobec przyczyny, od której jej nadmiar jest niezależny. Suma utworzona przez błędnego producenta może potwierdzić jego błąd. Ponowienie pomaga wobec części zjawisk przemijających, ale zużywa termin. Osobne procesory nie chronią przed wspólnym obrazem, sensorem lub zasilaniem. Inna metoda może zmniejszyć wspólną przyczynę, lecz zwykle daje węższą zdolność. Jednostką analizy pozostaje cały kanał wraz z jego zależnościami.

Układ głosujący i monitor. Większość maskuje rozbieżność tylko wtedy, gdy wyniki dotyczą tej samej próbki, kanały są niezależne, a sam voter mieści się w hipotezie. Przed wyborem sprawdza się przynależność wyniku i stan kanału; po wyborze zachowuje przyczynę selekcji.

Monitor może być prostszy, bo sprawdza czas, postęp, zakres i kompletność. Prostota nie tworzy niezależności: wspólny zegar lub magistrala może odebrać funkcję i nadzór naraz. Monitorowanie krzyżowe ujawnia rozbieżność, lecz lawina diagnostyki albo wzajemne resety mogą połączyć domeny, dlatego reakcje mają ograniczone tempo.

Watchdog powinien być odświeżany po spełnieniu konkretnego zobowiązania, nie z dowolnego miejsca pętli. Wspólny błędny zegar może podtrzymać pozór postępu. Watchdog obserwuje termin; strażnik wyjść rozstrzyga o skutku.

Reset, rekonfiguracja i degradacja. Reset usuwa stan ulotny, lecz nie naprawia trwałej przyczyny, obrazu ani zasilania. Przed nim podejrzana domena traci dostęp do wyjścia; po nim trzeba ustanowić bufory i obserwacje od nowa. Rekonfiguracja najpierw zamyka starą ścieżkę, następnie uruchamia i sprawdza nową. Rezerwa zimna skraca ekspozycję, lecz sprzyja utajeniu; gorąca szybciej przejmuje pracę, ale dłużej dzieli środowisko.

Tryb zdegradowany jest wcześniej sprawdzonym kontraktem węższej zdolności. Określa zachowane źródła, budżet, warunki wejścia i dozwolone skutki. „Ostatnia poprawna wartość” ma kres użycia. Publiczny opis JPL przedstawia tryb bezpieczny jako stan statku kosmicznego do dalszej diagnozy.14 Do pocisku można przenieść ideę zaprojektowanej reakcji, nie założenie długiej łączności i wielokrotnych prób odzyskania.

Dowód ograniczenia skutku. W kierunku projektowym analiza zaczyna się od niedopuszczalnego skutku i cofa przez uprawnienie, dane, czas, pamięć, wykonawców oraz energię do przyczyn. W kierunku weryfikacyjnym zaczyna się od wstrzykniętego uszkodzenia i śledzi błąd, wykrycie, izolację, zmianę epoki oraz reakcję aż do tej samej granicy. Zamknięty argument wykazuje, że:

  1. przyczyna mieści się w jawnej hipotezie i ma określony zasięg;
  2. detektor lub wcześniejsza bariera działa przed niedopuszczalnym skutkiem;
  3. izolacja odbiera ważność właściwym danym i uprawnienie właściwej ścieżce;
  4. reset lub rekonfiguracja nie przenosi starego stanu jako bieżącego;
  5. zdolność resztkowa używa tylko zasobów, których niezależność nadal obowiązuje;
  6. regresja dotyczy sprzętu, obrazów, kalibracji, czasu, monitorów i narzędzi tworzących dokładną konfigurację.

Analiza, model, HIL, docelowy sprzęt i kontrolowane wstrzykiwanie uszkodzeń odpowiadają na różne pytania. Błąd programowy nie zastępuje zaniku zasilania, a odłączenie interfejsu — wiarygodnie zakodowanej złej treści. Zmiana zegara, monitora, DMA albo obrazu FPGA może przesunąć FCR mimo niezmienionego algorytmu.

pominięto topologie redundancji rzeczywistych pocisków, progi i czasy detekcji, reguły głosowania, źródła wspólne, sekwencje resetu oraz rekonfiguracji i warunki degradacji. Dla kontrolowanego programu należy uzupełnić je z zatwierdzonej dokumentacji wraz z hipotezą uszkodzeń i dowodem konkretnej konfiguracji.

14. Bezpieczeństwo systemowe, cyberodporność i strażnik skutku

Bezpieczeństwo systemowe i cyberodporność spotykają się na drodze do fizycznego skutku, ale odpowiadają na różne pytania. MIL-STD-882E porządkuje proces od identyfikacji hazardu przez eliminowanie lub ograniczanie ryzyka po jawne przyjęcie ryzyka resztkowego przez właściwą władzę programu.15 NIST SP 800-193 grupuje odporność firmware’u i krytycznych danych platformy wokół ochrony, wykrywania i odzyskiwania.16 NASA-STD-8739.8B wiąże zapewnienie oprogramowania z bezpieczeństwem systemowym, niezawodnością, jakością sprzętu i ochroną systemu.17 Dokumenty należą do różnych domen i nie dowodzą zgodności konkretnego uzbrojenia; artykuł wykorzystuje ich publicznie opisane role do budowy wspólnego modelu pytań.

Dyscyplina Pytanie przewodnie Czego sama nie dowodzi
bezpieczeństwo funkcjonalne jaki niedopuszczalny skutek może powstać i która bariera go ogranicza? dostępności ani odporności na działanie intencjonalne
niezawodność czy usługa pozostaje dostępna przez określony czas i w określonych warunkach? poprawności celu, konfiguracji i uprawnienia
ochrona informacji które własności informacji — między innymi integralność, pochodzenie, dostępność lub poufność — trzeba zachować? bezpieczeństwa fizycznego skutku i poprawności treści
odporność cybernetyczna jaką zweryfikowaną zdolność system zachowa lub odzyska mimo naruszenia? odporności na wszystkie klasy oddziaływania

Punktem wspólnym jest decyzja poprzedzająca fizyczny skutek. Jej przesłanki mogą zmienić obrazy, kalibracja, stan fazy, czas, rekord wejściowy, aktualizacja, pamięć, DMA, monitor lub energia. Powierzchnia ataku obejmuje więc nie tylko porty, lecz także produkcję, wydawanie artefaktów, obsługę i łańcuch dostaw. Interfejs nieaktywny w locie pozostaje istotny, jeśli wcześniej zmienia stan trwały.

Hipoteza naruszenia wskazuje zasób, chronioną własność, zdolność oddziałującego, czas ekspozycji i granicę roszczenia. Przeciwnik może wybrać moment, powtarzać próbę lub imitować legalny rekord. Cyberodporność nie wynika z rachunku awarii losowych, a cyberanaliza nie zastępuje starzenia ani zaniku zasilania.

Obrona jest warstwowa, gdy bariery zatrzymują różne drogi: zapobiegają zmianie, wykrywają ją, izolują zasób i utrzymują wyjście w stanie bezpiecznym. Kontrole zależne od tego samego obrazu, zegara lub uprzywilejowanego wykonawcy mają wspólną przyczynę. Minimalne prawa ograniczają pomyłkę i naruszenie: diagnostyka odczytująca stan nie musi go zmieniać, a aplikacja proponująca wynik nie autoryzuje wykonania.

Uwierzytelnienie artefaktu odpowiada na pochodzenie i chronioną treść; integralność — na zmianę bitów; polityka wersji — na dopuszczenie wydania. Żadna z tych własności nie dowodzi poprawności funkcjonalnej, terminu, zgodności rewizji lub kalibracji. Ochrona przed cofnięciem wydania (anti-rollback) może zatrzymać starszy, nadal autentyczny obraz, ale nie wykazuje poprawności nowszego i musi odróżniać nieuprawnione cofnięcie od jawnie zatwierdzonego odzyskiwania. Sekrety oraz klucze mają inne prawa użycia i cykl życia niż stan fazy, kolejki i logi; artykuł nie opisuje ich formatu, rozmieszczenia ani parametrów.

Własność Co może wykazać Czego nie wykazuje samodzielnie
bezpieczny rozruch polityka dopuściła uwierzytelniony łańcuch artefaktów funkcji, terminowości i zgodności całego zestawu
rozruch mierzony powstał chroniony ślad tożsamości wybranych stanów że zmierzony stan jest dopuszczony lub poprawny
integralność bitstreamu objęta treść odpowiada odniesieniu wydawcy, właściwej rewizji, timing closure i funkcji
autentyczność aktualizacji kandydat pochodzi z uznanego źródła kompletnej instalacji, effectivity i zachowania po zmianie
poprawność funkcjonalna funkcja spełnia wymagania w zbadanej konfiguracji i warunkach autentyczności oraz braku naruszenia poza zakresem dowodu

Odzyskanie wykonywania instrukcji nie oznacza odzyskania usługi. Po naruszeniu trzeba odrzucić dotknięte dane i zamknąć starą drogę, zanim wróci ograniczona zdolność. W krótkiej misji może brakować czasu na kolejne diagnozy; właściwą reakcją bywa sprawdzona degradacja albo odmowa gotowości, nie automatyczny restart.

Strażnik skutku sprawdza minimalne niezmienniki fazy, danych, dopuszczonego zestawu i działania monitorów. Musi być ograniczony względem komponentu, którego błąd zatrzymuje; izolacja CPU nie wystarczy przeciw nadmiernie uprawnionemu DMA. Strażnik nie ocenia prawdy całego algorytmu. Blokuje skutek bez kompletu przesłanek objętych jego hipotezą.

Analiza projektowa cofa się od hazardu przez bariery, a weryfikacja śledzi wstrzyknięty błąd do decyzji strażnika. Obie muszą spotkać się dla tego samego wydania, egzemplarza, fazy i środowiska. Log pomaga tylko wtedy, gdy ma ograniczony ruch i sam nie otwiera drogi do skutku.

NIST SP 800-193 sam ogranicza automatyczne zastosowanie swoich wytycznych do systemów bezpieczeństwa narodowego; jest źródłem struktury ochrona–wykrywanie–odzyskiwanie, nie gotowej architektury pocisku.16 Metody NASA/NESC dotyczące domen ograniczania uszkodzeń pochodzą z awioniki załogowych statków kosmicznych.13 Można przenieść pytania o zależności i zdolność resztkową, ale nie założenia o długim czasie, łączności z operatorem, energii i wielokrotnym odzyskiwaniu.

pominięto parametry kryptograficzne, formaty i rozmieszczenie kluczy, protokoły aktualizacji, komendy serwisowe, mapy pamięci oraz DMA, szczegóły strażnika, progi i czasy detekcji, podatności konkretnych systemów, dane naprowadzania i procedury bojowe. W kontrolowanym programie trzeba uzupełnić analizę zagrożeń, mapę uprawnień i wspólnych zależności, politykę wersji oraz odzyskiwania, dowód reakcji fazowych i kryteria akceptacji ryzyka.

15. Zarządzanie konfiguracją, kwalifikacja i dowód konkretnego egzemplarza

Zarządzanie konfiguracją (configuration management, CM) określa skład wyrobu, zgodne wersje, zatwierdzenie zmiany, objętą populację i zakres ponownych sprawdzeń. Nie jest ewidencją obok inżynierii, lecz łączy twierdzenia o zachowaniu z rzeczywistym sprzętem.

Dokumenty CM pełnią różne role; sama obecność nazwy standardu nie tworzy zobowiązania ani dowodu wykonania.

Dokument Rola ujawniona w publicznym rekordzie Granica wnioskowania
STANAG 4427 Revision 3 rama NATO dla CM w cyklu życia, powiązana z ACMP-2000, ACMP-2009 i ACMP-210018 rekord potwierdza status, datę i odniesienia, lecz obraz dokumentu wymaga logowania
ACMP-2000 polityka zarządzania konfiguracją19 tytuł i metadane nie ujawniają wszystkich postanowień
ACMP-2009 wskazówki stosowania CM20 guidance nie staje się wymaganiem bez właściwego przywołania
ACMP-2100 wymagania CM przeznaczone do użycia kontraktowego21 przeznaczenie nie dowodzi zastosowania w konkretnej umowie ani zakresu dostosowania
AQAP-2110 / AQAP-2210 wymagania jakościowe dla projektowania, rozwoju i produkcji oraz uzupełniające wymagania jakościowe dla oprogramowania22,23 przecinają się z CM przez kontrolowane wymagania, zmiany i dowody, ale nie zastępują procesu CM
SAE/EIA-649C zasady i pięć funkcji; publiczny rekord SAE potwierdza ich liczbę, a nazwy publikuje podręcznik DoD: planowanie i zarządzanie, identyfikacja, zarządzanie zmianą, ewidencja stanu, weryfikacja i audyt24,25 publiczny opis SAE nie ujawnia płatnej pełnej treści ani szczegółowych nakazów
MIL-HDBK-61B Change 1 informacyjny podręcznik praktyk CM DoD25 dokument jawnie nie może być samodzielnie przywołany jako wymaganie

Z tej hierarchii wynika przejście: dokument odniesienia określa uznane role, wymaganie kontraktowe mówi, co ma wykonać dostawca, plan programu przypisuje wykonawców i artefakty, a zapisy pokazują wykonanie. AQAP-2110/2210 wzmacniają jakość procesów i wyrobów, lecz CM nadal musi identyfikować konfigurację, kontrolować zmianę, prowadzić status i audyt. MIL-HDBK-61B może objaśniać praktykę, ale obowiązek musi pochodzić z umowy, specyfikacji lub innego właściwego dokumentu zamówienia.

Element konfiguracji. CI (configuration item) jest składnikiem podlegającym identyfikacji i kontroli. Granica pozwala przypisać wymagania, interfejsy i właściciela zmiany. CI może być zespołem sprzętowym, wydaniem software’u lub obrazem układu programowalnego. Nie każdy plik jest osobnym CI, lecz składnik zdolny zmienić usługę nie może zniknąć w „pozostałym wyposażeniu”.

Kontrolowany zestaw obejmuje płytę i obsadzenie, procesor, pamięci, wejścia–wyjścia, obrazy CPU i FPGA, dane inicjalizacyjne, kalibrację, biblioteki oraz narzędzia. To lista klas, nie specyfikacja pocisku. Bitstream współokreśla interfejsy i czas, a kalibracja wiąże algorytm z fizycznym sensorem.

Baseline, wydanie i build. Linia odniesienia (baseline) to zatwierdzony, identyfikowalny stan służący dalszym pracom i kontroli zmian. Nie jest „najnowszym katalogiem”. Może obejmować wymagania i funkcje, przydział do podsystemów albo definicję wyrobu, zależnie od etapu. Wydanie (release) jest formalnie dopuszczonym zestawem artefaktów do określonego użycia. Kompilacja lub zbudowany wynik (build) jest konkretnym rezultatem procesu narzędziowego. Wiele buildów może powstać z podobnych źródeł, lecz tylko wskazany wynik wraz z identyfikatorem narzędzi, ustawień i zależności może wejść do wydania.

Rewizja opisuje kontrolowaną zmianę elementu; wariant lub blok grupuje szerszą zmianę zdolności; partia i numer seryjny identyfikują populację oraz egzemplarz. Żaden z tych identyfikatorów nie zastępuje pozostałych. Numer wersji programu nie mówi, na jakiej płycie go uruchomiono. Numer części płyty nie mówi, jaki obraz FPGA załadowano. Nazwa wariantu pocisku nie rozstrzyga, czy dana modyfikacja obejmuje wszystkie partie. Dlatego CM używa zakresu stosowalności (effectivity): jawnego wskazania wariantów, partii, numerów seryjnych, okresów lub warunków, dla których zmiana jest zatwierdzona.

Effectivity jest relacją, nie etykietą „najnowsze”. Wydanie może obowiązywać tylko z określoną płytą, bitstreamem i kalibracją, podczas gdy część floty zachowuje wcześniejszy dopuszczony zestaw. Błąd powstaje, gdy poprawne osobno CI połączono poza macierzą albo wynik próby jednej populacji rozszerzono na drugą bez analizy wpływu.

Zmiana jednego artefaktu przecina kilka analiz. Część zasilania może zmienić pobór przejściowy i reset bez zmiany interfejsu. Kompilator zmienia binarium lub WCET mimo tych samych źródeł. Bitstream może zachować rejestry, a zmienić latencję albo RDC. Kalibracja zmienia obserwacje bez zmiany kodu. Analiza wpływu wskazuje dotknięte wymagania, kwalifikację, przypadki regresji i populację.

Przeniesienie wyników nie jest wyborem zero-jedynkowym. Dane materiałowe mogą pozostać aktualne dla tej samej obudowy, analiza czasu wymagać powtórzenia dla nowego buildu, a próba końca-do-końca — ponownej korelacji. Raport wpływu wskazuje artefakty niezmienione według SHA lub identyfikatora, zakres regresji różnicowej i obszary pełnej bramki.

Pytanie Kontrolowany obiekt Oczekiwany dowód
co zaprojektowano? rysunki, wymagania, interfejsy, źródła i zatwierdzone linie odniesienia stan as-designed
co zbudowano? numery części i seryjne, partie elementów, obrazy, kalibracja, odstępstwa stan as-built
co obecnie utrzymuje egzemplarz? naprawy, wymiany, modyfikacje, ponowne ładowania, kontrole i ograniczenia stan as-maintained
co ma prawo działać razem? macierz zgodności i effectivity wydania zatwierdzona konfiguracja użytkowa
jaki dowód nadal obowiązuje? raport wpływu zmiany oraz powiązane analizy i próby aktualny argument zgodności

Stan zaprojektowany (as-designed) opisuje zamierzoną definicję wyrobu. Stan zbudowany (as-built) odpowiada temu, co rzeczywiście znalazło się w egzemplarzu po produkcji i odbiorze. Stan utrzymywany (as-maintained) uwzględnia późniejsze wymiany, naprawy, odstępstwa oraz aktualizacje. Rozbieżność między tymi trzema widokami jest informacją inżynierską. Egzemplarz może odpowiadać dawnemu projektowi, lecz nie aktualnemu dopuszczeniu; może mieć zatwierdzone części, które nie tworzą zatwierdzonej pary; może też przejść test lokalny, a nadal nie mieć dowodu na poziomie całego łańcucha.

Rachunkowość statusu konfiguracji. Ewidencja statusu (configuration status accounting) pozwala odtworzyć aktualny stan CI, historię zmian, status wniosków, zakres stosowalności i powiązane dowody. Jej jakość mierzy się zdolnością odpowiedzi na pytanie o egzemplarz, a nie liczbą rekordów. Dla wskazanego numeru seryjnego trzeba móc ustalić: jaką rewizję sprzętu zamontowano, z jakich partii pochodzą kontrolowane elementy, jakie obrazy CPU i FPGA są obecne, jaka kalibracja obowiązuje, które odstępstwa zaakceptowano, jakie kontrole wykonano oraz z jaką linią odniesienia porównano wynik.

Audyt konfiguracji ma dwa różne cele. Audyt funkcjonalny sprawdza, czy przedstawiony zestaw dowodów odpowiada zatwierdzonym wymaganiom. Audyt fizyczny sprawdza, czy dokumentacja wyrobu odpowiada temu, co zbudowano. Oba są potrzebne, ponieważ zgodna dokumentacja błędnej sztuki i poprawna sztuka bez identyfikowalnego dowodu prowadzą do tej samej praktycznej luki: nie wiadomo, czy kwalifikacja dotyczy egzemplarza przed nami.

Kwalifikacja, akceptacja i ciągłość dowodu. Kwalifikacja pokazuje, że projekt w zadeklarowanej konfiguracji spełnia wymagania w przewidzianym obszarze środowiska i użycia. Akceptacja produkcyjna pokazuje zgodność konkretnego wyrobu z kryteriami odbioru. Kontrola wbudowana BIT (built-in test) oraz wyposażenie BITE (built-in test equipment) dostarczają obserwacji o określonym pokryciu, lecz nie zastępują kwalifikacji. Test HIL (hardware-in-the-loop, sprzęt w pętli) sprawdza zachowanie zamkniętego łańcucha z reprezentacją otoczenia i interfejsów. Każda metoda odpowiada na inne pytanie i zachowuje ważność tylko dla konfiguracji mieszczącej się w jej zakresie.

Dowód egzemplarza można ująć jako łańcuch:

WYMAGANIE I HIPOTEZA USZKODZEŃ
    → ZATWIERDZONA LINIA ODNIESIENIA
    → WYDANIE I IDENTYFIKOWALNY BUILD
    → ZGODNOŚĆ SPRZĘT–OBRAZY–KALIBRACJA
    → KWALIFIKACJA PROJEKTU
    → DANE AS-BUILT
    → AKCEPTACJA EGZEMPLARZA
    → HISTORIA AS-MAINTAINED
    → BIEŻĄCY WYNIK KONTROLI I EFFECTIVITY
    → ORZECZENIE O ZDOLNOŚCI DLA WSKAZANEJ FAZY

Ten łańcuch wyjaśnia, dlaczego poprawny skrót obrazu albo zaliczony BIT jest dowodem lokalnym. Skrót wiąże treść z odniesieniem; BIT pobudza określone ścieżki; ewidencja części wiąże sprzęt z dostawą. Dopiero ich kontrolowane złożenie mówi, że konkretna sztuka odpowiada konfiguracji, dla której dowiedziono czasu, arytmetyki, interfejsów, reakcji na uszkodzenia i granic uprawnienia.

Zamknięty przypadek rekordu r_k

Poniższy przypadek jest jawnie fikcyjny i nieoperacyjny. Dotyczy neutralnego toru laboratoryjnego, nie rzeczywistego sensora, interfejsu pocisku ani prawa sterowania. Jego celem jest przeprowadzenie jednego rekordu przez wszystkie ustanowione wcześniej narzędzia bez dodawania parametrów.

Neutralny sensor tworzy obserwację r_k w użytym już formacie stałoprzecinkowym: dwa napięcia są próbkowane z krokiem $\Delta=1/256 \text{V}$. Dla $x_1=1{,}5 \text{V}$ i $x_2=-0{,}5 \text{V}$ powstają kody $N_1=384$ oraz $N_2=-128$. Rekord zawiera też chwilę próbkowania $t_k$, identyfikator źródła i stan jakości; na wejściu wolno go użyć do dalszego przetwarzania, lecz nie bezpośrednio do fizycznego wyjścia. Walidator sprawdza kompletność i zakres. Nie przesuwa $t_k$ do chwili zakończenia własnej pracy, bo wówczas odmłodziłby obserwację. Wartość i metadane publikuje atomowo, aby konsument nie połączył liczby z opisem innej próbki.

Na tej samej próbce wykonywana jest abstrakcyjna funkcja $y=3x_1+2x_2$. Poszerzony akumulator daje

$$A=3N_1+2N_2=896, \qquad y=A\Delta=3{,}5 \text{V}.$$

Granica błędu samych dwóch kwantyzacji wejściowych pozostaje taka jak w rozdziale 9:

$$|e_y|\leq (|3|+|2|)\frac{\Delta}{2} =\frac{5}{512} \text{V} =9{,}765625 \text{mV}.$$

Rachunek wykazuje, że dla tej próbki akumulator mieści kod 896, skala wyniku jest spójna, a błąd kwantyzacji nie przekracza podanej granicy. Nie wykazuje poprawności sensora, kalibracji ani funkcji poza zbadanymi wartościami. Gdy ograniczenie wyjścia wymaga nasycenia do $2 \text{V}$, rekord niesie wartość ograniczoną i flagę utraty zakresu; nie wolno przedstawiać jej jako dokładnego wyniku $3{,}5 \text{V}$.

Czas liczony od $t_k$ obejmuje istniejące składniki: akwizycję 1,2 ms, transport 0,8 ms, kolejkę 2,0 ms, WCET 7,5 ms, blokowanie 1,5 ms i publikację 0,5 ms. Suma wynosi 13,5 ms, więc wobec dydaktycznego terminu 20 ms pozostaje 6,5 ms, czyli 32,5%. To orzeczenie dotyczy pełnego rekordu opublikowanego odbiorcy, a nie samego operatora arytmetycznego. Krótkie spiętrzenie trzech elementów mieści się w opisanym wcześniej modelu pod warunkiem atomowego przejęcia pierwszego rekordu: dwa zajmują miejsca oczekujące w FIFO, a jeden jest już obsługiwany. Bez tego założenia trzeba przewidzieć trzy miejsca oczekujące. Czwarte zdarzenie albo dłuższa blokada wykracza poza model. Kolejka może wtedy jawnie odrzucić rekord według swojej polityki; nie może podać starego r_k jako bieżącego.

Ten sam przepływ można zorganizować trzema sposobami:

Organizacja wykonania Przewidywalność i interferencja Latencja / przepustowość Ciężar sprawdzenia
statyczny harmonogram kolejność jest jawna; wydłużenie jednej czynności opóźnia następne łatwo ograniczyć pojedynczy przebieg, lecz nie ukrywa się czasu oczekiwania trzeba objąć cały cykl i dopuszczone odchylenia czynności
wykonanie wywłaszczane pilna praca może zareagować wcześniej; dochodzą blokady, przerwania i stan planisty latencja zależy od interferencji priorytetów, choć zasób bywa lepiej wykorzystany analiza obejmuje WCET, blokowanie i wszystkie dopuszczone wywłaszczenia
potok sprzętowy rytm jest regularny, ale współdzielone pamięci i przejścia domen nadal interferują po napełnieniu rośnie przepustowość, natomiast pojedyncza próbka zachowuje latencję potoku trzeba wykazać timing closure, przynależność kodu i flagi do r_k oraz zgodność bitstreamu

Żadna organizacja nie wygrywa z definicji. W każdej sumuje się tę samą drogę od $t_k$ do publikacji i bada przeciążenie. Statyczny plan ułatwia odtworzenie kolejności, wywłaszczanie może skrócić reakcję kosztem interferencji, a potok rozdziela latencję od przepustowości. Wybór zmienia formę argumentu, nie termin 20 ms ani semantykę rekordu.

Załóżmy teraz, że opóźnienie kolejki lub przeciążenie sprawia, iż r_k nie mieści się w terminie. Monitor widzi przekroczenie budżetu i brak świeżego następcy. Następnie resetuje się jedna domena, podczas gdy bufor fizycznie zachowuje stare bity. Po resecie zaczyna się nowe ciągłe uruchomienie; suma kontrolna nadal może być poprawna, ale identyfikator uruchomienia nie pasuje. FDIR rozpoznaje więc klasę problemu — brak świeżej, zgodnej obserwacji po zdarzeniu czasowo-resetowym — bez udawania, że zna pierwotną przyczynę. Nie rozstrzyga, czy winne były planowanie, pamięć, zasilanie czy zegar.

Reakcja musi pochodzić ze zbadanego wcześniej zbioru. Jeżeli istnieje wariant degradacji niewymagający tej obserwacji, źródło zostaje odizolowane, a węższa usługa może pozostać dostępna. Jeżeli taki wariant nie został zweryfikowany, stary rekord jest odrzucony. Strażnik skutku sprawdza wynik FDIR, fazę, identyfikator bieżącego uruchomienia i dopuszczony zestaw wyrobu. W opisanej ścieżce nie otrzymuje aktualnej przesłanki, więc blokuje skutek; działający procesor ani poprawne bity nie zmieniają tej decyzji.

Ślad CM zamyka przypadek. Zapis wskazuje build oprogramowania, użyty bitstream, zestaw kalibracyjny, rewizję płyty i sensora oraz effectivity dla badanego egzemplarza. Łączy też wynik czasu, model bitowo wierny, próbę resetu i oczekiwaną decyzję strażnika. Zmiana samego opisu bez zmiany SHA artefaktów pozwala zachować wyniki dla niezmienionych części. Nowy build wymaga ponowienia analizy WCET i drogi 20 ms; nowa kalibracja — rachunku przeliczenia i prób danych; zmiana rewizji, która dotyka resetu, pamięci albo interfejsu — także próby utraty świeżości oraz zachowania strażnika. Raport wpływu decyduje, czy wystarcza regresja różnicowa, czy zmiana przekracza lokalny zakres.

Werdykt przypadku. Wykazano, że w zadanych wartościach i kontrolowanym zestawie r_k ma spójny wynik arytmetyczny, mieści się w 20 ms w warunkach modelu, a po przeciążeniu i resecie stary bufor nie prowadzi do skutku. Nie wykazano poprawności rzeczywistego sensora, algorytmu pocisku, pełnej diagnozy przyczyny ani zachowania poza przyjętym modelem napływu. Po zmianie builda trzeba powtórzyć dowód czasu; po zmianie kalibracji — zgodność liczbową; po zmianie granicy resetu lub strażnika — pełną próbę propagacji od starego rekordu do decyzji wyjściowej.

dla rzeczywistego programu trzeba uzupełnić z kontrolowanej dokumentacji identyfikatory CI, linie odniesienia, macierz zgodności, effectivity, strukturę buildów i wydań, zapisy as-built/as-maintained, odstępstwa, kryteria audytów oraz powiązanie wyników kwalifikacji z numerem seryjnym. Publiczne źródła nie wystarczają do odtworzenia tych danych dla współczesnego uzbrojenia.

16. Trzy studia porównawcze we wspólnej macierzy

Trzy osie historyczne nie tworzą prostej drabiny „analogowy–cyfrowy–inteligentny”. Odpowiadają na trzy różne pytania. A4/V-2 pokazuje, czy funkcja obliczeniowa istnieje bez procesora. Minuteman pokazuje, jak pamięć i modernizacja wiążą komputer z wieloletnią konfiguracją. Sidewinder pokazuje, jak rośnie treść semantyczna obserwacji i jak przesuwa się granica między głowicą, komputerem, autopilotem oraz nosicielem.

Oś A4/V-2 Minuteman I–III AIM-9B → L/M → X
obserwacja sygnały żyroskopów; bez seekera celu pomiary platformy inercyjnej i warunki początkowe sygnał spin-scan, późniejsza geometria obserwacji, następnie obraz FPA i — dla Block II — dane z platformy
reprezentacja czasu stałe czasowe, pasmo i kolejność zdarzeń położenie słów na dysku współtworzy czas wykonania; modernizacja wiąże nowy komputer z czasem zachowanej platformy faza modulacji niesie informację we wczesnym torze; obraz i datalink wymagają przynależności do chwili oraz fazy
pamięć i stan wychylenia, napięcia, dynamika obwodu i nastawy; brak programu w pamięci cyfrowej słowa na dysku D-17, później kolejne obrazy oraz stan systemu guidance od stanu analogowego toru do buforowanych obserwacji i stanu cyfrowego przetwarzania
droga do wykonania żyroskopy → Mischgerät → serwo → element sterujący platforma inercyjna → komputer guidance → funkcje wykonawcze opisane na poziomie systemowym seeker → komputer → autopilot → wykonanie; osobna granica nosiciel–pocisk
hipoteza uszkodzeń i ograniczanie skutku tolerancja, dryf, przerwa połączenia, zasilanie i dynamika serwa; dowód w odpowiedzi fizycznego toru błąd słowa lub pamięci, zależność czasowa dysku, baza elementowa i granica nowy komputer–stara platforma utrata lub zła jakość obserwacji, niespójność czasu i zależność od platformy; brak publicznych danych o wewnętrznym FDIR
konfiguracja aparaty, połączenia, wartości elementów, montaż i regulacja treść i rozmieszczenie pamięci, produkcyjne IC, NS-20 → NS-50, rewizje i effectivity wariant B/L/M/X, blok, głowica, przetwarzanie i zgodna integracja z nosicielem
rodzaj dostępnego dowodu opracowania historyczne o funkcji Mischgerät i torze sterowania1,2 rekord muzealny D-17, dokumentacja techniczna D-17B, eksponaty systemu guidance i IC oraz komunikat GRP3,4,7,9,26 karty USAF/NAVAIR i podręcznik publiczny o klasie wczesnego toru5,6,8,12

A4/V-2: funkcja i konfiguracja bez procesora

Funkcja była przestrzennie jawna i w dużej części ciągła. Żyroskopy tworzyły odniesienie, Mischgerät łączył ich sygnały i — w odpowiedniej konfiguracji — korekcję radiową, a serwo przenosiło komendy do grafitowych lub aerodynamicznych elementów sterujących.1,2 Stan znajdował się w wychyleniu mechanizmu, napięciu i dynamice obwodu; czas — w stałych czasowych, paśmie i kolejności zdarzeń; konfiguracja — w aparatach, połączeniach, wartościach elementów oraz regulacji. Nie istniał procesor, build ani cyfrowy wektor stanu, ale przerwa, dryf lub błędna nastawa nadal mogły przejść od obserwacji do wykonania.

Źródła potwierdzają funkcję i ogólną drogę sygnału, nie pełne tolerancje, profile środowiskowe ani produkcyjną effectivity każdej sztuki. Współczesne nazwy „estymacja” i „autopilot” służą porównaniu ról, nie są terminologią dokumentacji A4. Dowód tej epoki opierał się przede wszystkim na charakterystyce, regulacji, odpowiedzi całego toru i zgodności montażu.

Konflikt architektoniczny — synteza autora. Funkcja i stan są rozproszone w charakterystyce fizycznego toru, więc granica „komputera” zależy od obserwowalności diagnostycznej. Wymiana elementu albo zmiana nastawy może zmienić wykonywane obliczenie, choć nazwy aparatów i droga przewodów pozostają te same. Test samego Mischgerät jest za wąski, jeśli pomija żyroskopy lub serwo; nazwanie komputerem całego GNC jest z kolei za szerokie. Nowy wniosek brzmi: w architekturze analogowej granicę dowodową wyznacza miejsce, w którym można pobudzić i obserwować funkcję, nie wykaz części noszących nazwę „komputer”.

Hipoteza uszkodzeń musiała obejmować tolerancje elementów, dryf, dynamikę żyroskopu, przerwy i zwarcia w połączeniach, zasilanie oraz zdolność serwa. Z publicznych źródeł nie wynika kompletna lista ani sposób pokrycia tych przypadków. Na poziomie encyklopedycznym można jednak wskazać właściwą granicę dowodu: odpowiedź od odniesienia i żyroskopu przez Mischgerät do ruchu elementu sterującego, w konfiguracji zgodnej z montażem. Sam test wzmacniacza nie potwierdzał całej funkcji.

Minuteman I–III: pamięć, produkcja IC i granica modernizacji

Komputer cyfrowy uczynił część stanu sekwencją słów i operacji. Zachowany D-17 jest opisany jako tranzystorowy komputer 24-bitowy z pamięcią na dysku magnetycznym.3 Dopiero dokumentacja techniczna konkretnego D-17B potwierdza nieruchome głowice i zależność organizacji programu od położenia słów oraz czasu obrotu nośnika.26 Tych cech nie wolno automatycznie rozszerzać na inne komputery rodziny. Minuteman II wniósł dużą skalę produkcyjnego użycia układów scalonych: kontrola funkcji przesunęła się ku procesowi krzemowemu, partiom i wspólnym przyczynom produkcyjnym.9

Smithsonian lokalizuje funkcję systemu guidance Minutemana III i opisuje jej ogólną rolę, ale nie pełną architekturę modernizacji.4 W Guidance Replacement Program komputer i oprogramowanie NS-20 zastąpiono NS-50 przy zachowaniu platformy stabilizowanej żyroskopowo.7 Konflikt architektoniczny — synteza autora przebiega między fizyczną modularnością a semantyczną zgodnością. Nowy komputer może pasować mechanicznie lub elektrycznie, lecz nie przenosi to skal, relacji czasu, diagnostyki ani kwalifikacji zachowanej platformy. Nowy wniosek: wymiana modułu tworzy nowy systemowy obiekt weryfikacji na jego granicy, nawet gdy obie strony osobno pozostają zatwierdzone.

D-17B ujawnia szczególną jedność pamięci i planowania. Słowo nie było dostępne w dowolnej chwili tylko dlatego, że miało adres; trzeba było uwzględnić obrót nośnika. Rozmieszczenie programu należało więc do zachowania czasowego, a zmiana treści mogła wymagać ponownej oceny geometrii dostępu.26 Dokumentacja nie ujawnia tu pełnego kodu ani semantyki wszystkich operacji, ale wystarcza do wykazania, że w D-17B „pamięć” była aktywnym składnikiem harmonogramu, nie neutralnym magazynem.

Produkcja IC zmieniła wspólne przyczyny: mniej połączeń mogło ograniczyć usterki montażowe, lecz błąd projektu, maski, partii lub procesu obejmował wiele identycznych elementów. Modernizacja dodała inną klasę ryzyka — dwie poprawne osobno części mogły nie tworzyć sprawdzonej pary. Analiza wpływu powinna zachować wyniki niezmienionej platformy, ale ponowić te, które przecinają nową granicę.

AIM-9B → L/M → X: od fazy sygnału do obrazu i datalinku

Publiczny podręcznik opisuje wczesną klasę Sidewindera przez spin-scan: kierunek był kodowany w fazie modulowanego sygnału.12 Oficjalna karta USAF rozdziela warianty B, L, M i X; opisuje zmianę geometrii obserwacji w L oraz rozwój pracy na tle i wobec przeciwśrodków w M na poziomie ogólnym.5 Te fakty nie ujawniają wewnętrznych filtrów, progów ani praw sterowania.

AIM-9X wykorzystuje obrazującą matrycę w płaszczyźnie ogniskowej.6 Obserwacja stała się przestrzennym zbiorem próbek, którego wartość zależy od korekcji, czasu, jakości i konfiguracji. NAVAIR publicznie wiąże Block II z datalinkiem oraz LOAL, co rozszerza drogę informacji przez granicę nosiciel–pocisk przed i po oddzieleniu.8 Nie wynika z tego treść ramek ani warunki operacyjne. W każdym wariancie trzeba rozdzielić seeker, estymację, naprowadzanie, autopilota i wykonanie; więcej danych zwiększa znaczenie kontraktu, nie znosi granic odpowiedzialności.

Spin-scan pokazuje, że czas może nieść samą wartość obserwacji: utrata relacji fazowej zniekształca kierunek mimo wiarygodnej amplitudy. FPA wnosi wiele elementów obrazu, buforowanie i konieczność przypisania wyniku do właściwej chwili. Są to konsekwencje klasy reprezentacji, nie twierdzenia o niejawnej implementacji AIM-9X.

Konflikt architektoniczny — synteza autora. FPA i datalink zwiększają treść obserwacji, lecz przesuwają dominujące ryzyko z prostego toru fazowego ku identyfikacji źródła, korelacji czasu oraz integracji nosiciel–pocisk. Ta sama etykieta „kierunek celu” może zatem oznaczać inny łańcuch uzasadnienia: fazę jednego sygnału, geometrię obrazu albo informację powstałą poza pociskiem. Publiczny opis LOAL potwierdza zależność systemową, lecz nie ujawnia logiki wyboru ani wiadomości. Nowy wniosek: wzrost treści obserwacji nie tylko zwiększa wymagania obliczeniowe — zmienia miejsce, w którym trzeba szukać błędu i potwierdzać integrację. W CM nazwa „AIM-9X” jest zbyt szeroka; cecha Block II nie przechodzi automatycznie na każdy egzemplarz rodziny.

publiczne materiały nie wystarczają do odtworzenia wewnętrznych hipotez uszkodzeń, topologii FDIR, dokładnych interfejsów, czasów, kalibracji ani effectivity współczesnych wariantów. Brakującym elementem jest zatwierdzona dokumentacja konfiguracji i kwalifikacji danego bloku oraz integracji z konkretnym nosicielem, a nie lista domniemanych parametrów.

17. Synteza i pytania kontrolne

1. Co odróżnia OBC pocisku? Nie pojedynczy element, lecz splot pięciu warunków: wieloletnie magazynowanie, krótki rozruch, gwałtowne środowisko startu, fazowo zmienna autonomia i nieodwracalny skutek. Satelita ma zwykle więcej czasu, energii i łączności na diagnozę; samolot zachowuje platformę oraz obsługę; sterownik przemysłowy można często zatrzymać i sprawdzić. Pocisk po długiej bezczynności musi szybko połączyć historię egzemplarza z bieżącym pomiarem, a po oddzieleniu traci część źródeł i możliwość naprawy. Od innych domen warto przejąć pytania o rezerwy, interfejsy i degradację, lecz nie ich założenia o czasie odzyskiwania.14

2. Jakie są trzy najczęstsze błędy projektowe? Pierwszy to utożsamienie poprawnej liczby z poprawną obserwacją: wynik może być stary, pochodzić z niewłaściwego źródła albo należeć do innego zestawu kalibracji. Drugi to utożsamienie redundancji z niezależnością: kanały mogą dzielić sensor, zegar, zasilanie, wymaganie albo narzędzie. Trzeci to utożsamienie działającego komponentu z gotową usługą: procesor wykonuje kod, lecz zegar nie jest stabilny, monitor utracił zdolność albo strażnik nie ma przesłanek do dopuszczenia wyjścia. Każdy błąd powstaje w innym miejscu, ale wszystkie pozwalają lokalnie wiarygodnemu stanowi przejść zbyt daleko.

3. Z czego składa się minimalny kompletny argument zdolności? Najpierw określa się wymagany skutek, fazę i hipotezę uszkodzeń lub naruszeń. Następnie prowadzi się obserwację przez granice funkcjonalne, fizyczne i informacyjne, badając tylko te wymiary autorskiego modelu, które mogą zmienić wniosek. Rachunek arytmetyczny, budżet końca-do-końca, energia, reset, pamięć, wykonawcy i bariery muszą spotkać się na obserwowalnym wyjściu. Próby lokalne, modelowe, HIL i środowiskowe pokrywają różne mechanizmy. CM na końcu wiąże ich wyniki z wydaniem, kalibracją, rewizją, effectivity i stanem konkretnego egzemplarza. Brak któregokolwiek z tych połączeń pozostawia zbiór poprawnych części, nie kompletną zdolność.

Pytania kontrolne

  1. Jak w A4/V-2 stan, czas i „program” istniały bez słów pamięci oraz gdzie przebiega diagnostyczna granica jego komputera?
  2. Dlaczego organizacja dysku D-17 łączyła pamięć z harmonogramem, a modernizacja NS-20 → NS-50 wymagała nowego sprawdzenia granicy zachowanej platformy?
  3. Co kolejno jest obserwacją, estymatą i żądaniem sterowania w osi AIM-9B → L/M → X, i jak datalink/LOAL zmienia granicę nosiciel–pocisk?
  4. W jakich warunkach trzy zgodne kanały nie stanowią trzech niezależnych źródeł?
  5. Czym różnią się stany as-designed, as-built i as-maintained oraz który opisuje egzemplarz po obsłudze?
  6. Dlaczego bezpieczny rozruch, rozruch mierzony, BIT i zaliczony HIL odpowiadają na różne pytania o ten sam egzemplarz?