DACS — Divert and Attitude Control System — nie jest zbiorem małych silników przykręconych do kadłuba. Jest sprzężonym podsystemem, który ma zamienić żądanie układu GNC na przewidywalny zbiór sił i momentów, mimo dyskretności impulsów, skończonego zapasu medium, zmian środka masy, interakcji strug z opływem, tolerancji produkcyjnych i starzenia. Nominalny ciąg izolowanej dyszy jest tylko jednym ogniwem tego łańcucha.

Od chwili wydania komendy do zmiany toru zachodzi sekwencja: alokator wybiera efektor, obwód sterujący uruchamia zawór lub źródło, układ zasilania wytwarza przepływ, komora i dysza budują impuls, struga zmienia ciśnienie na płatowcu, a pojazd reaguje w sześciu stopniach swobody. Estymator musi odtworzyć rzeczywiste wykonanie i pozostały zasób, aby następna komenda nie opierała się na idealnym modelu. O wartości DACS decyduje jakość całej tej pętli, nie największa liczba w tabeli ciągu.

granica bezpieczeństwa: artykuł nie podaje liczby i rozmieszczenia efektorów, geometrii dysz, charakterystyk zaworów, zapasu materiału, progów alokacji, praw sterowania ani sekwencji współczesnego uzbrojenia. Równania i studia używają symboli lub danych znormalizowanych. Nieznanego modułu nie wolno otwierać, zasilać, podgrzewać, rozładowywać ani sprawdzać przez próbne uruchomienie. Może zawierać ciśnienie, materiały toksyczne, pirotechnikę i energię elektryczną; obiekt zabezpiecza się i przekazuje EOD.

Pętlę można uporządkować w trzy tory. Polecenie jest informacją, zasilanie i medium niosą zdolność wykonania, a pomiary tworzą dowód skutku:

INFORMACJA          WYKONANIE I ENERGIA                 SKUTEK
stan + cel
    │
    ▼
  GNC ──► alokator ──► sterownik ──► zawór/efektor ──► siła i moment
                           ▲              ▲                    │
                           │              │                    ▼
                    energia elektr.   źródło medium      płatowiec + opływ
                                                               │
                                                               ▼
                    korekta modelu ◄── estymator ◄── czujniki ◄── 6-DOF
                         DOWÓD WYKONANIA I POZOSTAŁEGO ZASOBU

Strzałka komendy nie jest strzałką energii. Informacja może dotrzeć mimo braku przepływu, a przepływ może powstać bez oczekiwanego ruchu pojazdu. Dlatego telemetria elektryczna, stan źródła, odpowiedź efektora i odpowiedź bezwładnościowa stanowią odrębne poziomy potwierdzenia. Schemat jest autorskim modelem funkcjonalnym, nie odwzorowaniem architektury konkretnego uzbrojenia.

RCS, ACS, divert, DACS i TVC — porządek funkcji

Reaction Control System (RCS) jest szeroką nazwą układu małych sił i momentów sterujących ruchem pojazdu. Attitude Control System (ACS) odpowiada przede wszystkim za orientację. Funkcja divert wytwarza boczną zmianę prędkości środka masy, a DACS łączy przesunięcie toru z kontrolą orientacji. Granice nazw zależą od programu, dlatego wymaganie powinno opisywać pożądany skutek, a nie tylko skrót.

Sterowanie gazodynamiczne oznacza wykorzystanie przepływu lub reakcji strugi do wytwarzania momentu i siły. Może pochodzić z bocznych dysz, wtrysku do strugi głównej albo powierzchni umieszczonej w strumieniu. TVC — sterowanie wektorem ciągu — odchyla kierunek głównego napędu. Aerodynamiczna powierzchnia sterująca wykorzystuje opływ atmosferyczny. Te efektory mogą działać wspólnie, lecz mają inne pasmo, koszt energetyczny i zależność od prędkości.

Funkcja/efektor Główny skutek Zależność środowiskowa Ograniczenie
boczny efektor DACS siła przechodząca blisko lub poza środkiem masy stan źródła, przeciwciśnienie, opływ skończony zasób i interakcja strugi
para momentowa ACS moment przy małej sile wypadkowej ramiona i asymetria efektorów kwantyzacja oraz niesymetryczne zużycie
TVC obrót wektora głównego ciągu aktywny napęd główny pasmo mechanizmu i utrata po wyłączeniu silnika
powierzchnia aerodynamiczna siła i moment od opływu rośnie z ciśnieniem dynamicznym słaba przy małej prędkości i w rozrzedzeniu
wtrysk do strugi zmiana rozkładu ciśnienia w dyszy stan głównego przepływu sprzężenie cieplne i chemiczne

Najważniejsze rozróżnienie dotyczy siły bezpośredniej i momentu. Efektor może przesunąć środek masy, obrócić pojazd albo zrobić oba naraz. „Ster boczny” nie mówi jeszcze, którą funkcję realizuje w konkretnej geometrii.

Od siły dyszy do ruchu w sześciu stopniach swobody

Dla $n$ efektorów idealna siła i moment w układzie związanym z pojazdem mają postać

$$\mathbf F_D=\sum_{i=1}^{n}\mathbf F_i, \qquad \mathbf M_D=\sum_{i=1}^{n}\mathbf r_i\times\mathbf F_i,$$

gdzie $\mathbf r_i$ prowadzi od chwilowego środka masy do punktu przyłożenia. Ta sama dysza daje więc inny moment po zmianie środka masy. Błąd osiowania zmienia równocześnie siłę boczną i niepożądany moment. Rzeczywisty skutek powinien jeszcze uwzględniać przyrost aerodynamiczny wywołany strugą:

$$\mathbf F_{eff}=\mathbf F_D+\Delta\mathbf F_{aero}, \qquad \mathbf M_{eff}=\mathbf M_D+\Delta\mathbf M_{aero}.$$

Równania ruchu translacyjnego i obrotowego łączą te wielkości z pozostałymi siłami:

$$m\dot{\mathbf v}=\mathbf F_{main}+\mathbf F_{eff}+\mathbf F_{aero}+m\mathbf g,$$

$$\mathbf I\dot{\boldsymbol\omega}+\boldsymbol\omega\times(\mathbf I\boldsymbol\omega) =\mathbf M_{main}+\mathbf M_{eff}+\mathbf M_{aero}.$$

Masa $m$, tensor bezwładności $\mathbf I$ oraz ramiona $\mathbf r_i$ zmieniają się podczas zużywania medium i pracy innych napędów. Pojedynczy test efektora na sztywnym stanowisku mierzy źródło siły, ale nie dowodzi odpowiedzi pojazdu.

Impuls, jego środek czasowy i minimalna porcja sterowania

Komenda zaworu nie wytwarza prostokątnego impulsu. Istnieje zwłoka elektryczna i mechaniczna, narastanie przepływu, część quasi-ustalona, zamykanie oraz ogon po komendzie. Użyteczna porcja pędu jest całką:

$$\mathbf J_i=\int_{t_0}^{t_1}\mathbf F_i(t)\,dt.$$

Jej położenie w czasie opisuje centroid impulsu. Dla pojedynczego efektora o stałym kierunku siły ma on postać

$$t_{J,i}=\frac{1}{\lVert\mathbf J_i\rVert} \int_{t_0}^{t_1}t\,\lVert\mathbf F_i(t)\rVert\,dt.$$

Dwa impulsy o tej samej całce mogą mieć różny skutek, jeśli jeden przychodzi później albo nakłada się na szybką zmianę stanu celu i pojazdu. Dla pętli sterowania centroid bywa ważniejszy niż chwila elektrycznej komendy.

Minimalny bit impulsu (minimum impulse bit, MIB) jest najmniejszą powtarzalną porcją, którą efektor potrafi dostarczyć w określonych warunkach. Nie jest stałą samego zaworu. Zależy od stanu źródła, temperatury, pierwszego uruchomienia, czasu od poprzedniego impulsu i definicji pomiaru. Gdy żądanie jest mniejsze niż MIB, alokator musi wybrać brak impulsu, impuls nadmierny albo sekwencję rozłożoną w czasie; powstaje kwantyzacja sterowania.

Zbiór osiągalny zamiast jednej wartości „zdolności sterowania”

Niech wektor $\mathbf u$ opisuje dopuszczalne komendy efektorów, a macierz $\mathbf B(\mathbf x,\boldsymbol\theta)$ mapuje je na uogólnione siły i momenty przy stanie pojazdu $\mathbf x$ oraz parametrach $\boldsymbol\theta$. Zbiór osiągalny jest zbiorem

$$\mathcal A(\mathbf x)=\left\{\mathbf w: \mathbf w=\mathbf B(\mathbf x,\boldsymbol\theta)\mathbf u, \mathbf u\in\mathcal U\right\}.$$

Obejmuje ograniczenia amplitudy, czasu, wzajemnego wykluczania, zasobu, termiki i stanów uszkodzeń. Nie jest na ogół kulą ani symetrycznym wielościanem. Utrata jednego efektora może zabrać zdolność w jednym kierunku, a pozostawić nadmiar w przeciwnym. Wspólne źródło może chwilowo uniemożliwiać jednoczesne komendy, mimo że każda jest osiągalna osobno.

Odległość żądanego wektora od granicy $\mathcal A$ jest lepszą miarą rezerwy niż suma nominalnych ciągów. Rezerwa powinna być oceniana dla zmiany środka masy, środowiska, tolerancji i awarii. GNC potrzebuje modelu zbioru aktualizowanego w czasie; inaczej wydaje fizycznie niewykonalne polecenia, które alokator tnie lub zniekształca.

Rodziny źródeł impulsu i różne koszty tej samej siły

Zimny gaz jest architekturą prostą chemicznie: magazyn, regulacja, zawór i dysza. Jego impuls właściwy jest ograniczony, a stan zmienia się podczas opróżniania. Układ ciekły jednoskładnikowy może dać większą gęstość energii, ale wymaga katalizatora, zgodności materiałowej, kontroli temperatury i toksyczności. Układ dwuskładnikowy zwiększa osiągi kosztem dwóch torów zasilania, mieszania i zapłonu.4,13

Generator gorącego gazu zasila wspólny kolektor albo efektory jednorazowe. Łączy krótki rozruch z termiką, cząstkami i nieodwracalną zmianą konfiguracji. Stałopędny DACS może modulować rozdział produktów między dysze, lecz cały zapas jest aktywny termicznie po inicjacji. Dyskretne boczne silniki dają niezależne porcje, ale ich liczba jest skończona, a niewykorzystanego impulsu nie da się dowolnie podzielić.14

Architektura dławiąca reguluje poziom ciągu, lecz zawór, komora i spalanie mają dolną stabilną granicę oraz własne opóźnienia. Architektura impulsowa upraszcza stan pojedynczego efektora, a komplikuje alokację. Wspólny zasób zmniejsza masę, ale tworzy wspólne przyczyny; osobne kanały zwiększają niezależność kosztem masy i asymetrii po zużyciu.

Nie ma „najlepszego DACS” bez profilu misji. Manewr długi premiuje efektywność zasobu, szybka korekcja — pasmo i małe opóźnienie, końcowe przechwycenie — precyzję impulsu oraz znajomość jego czasu, a długie magazynowanie — stabilność materiałów i zdolność nadzoru eksploatacyjnego. Publiczny koncept NASA dla RCS pokazuje, jak wybór architektury wymaga wspólnego bilansu osiągów, masy, bezpieczeństwa i operacji.7

Raport GAO-05-243 daje rzadki publiczny przykład tego, jak wynik podzespołu przechodzi na ocenę programu. Zmodernizowany Solid Divert and Attitude Control System (SDACS) przeszedł serię prób naziemnych, lecz w locie FM-5 z czerwca 2003 roku zawiodły zespoły pomocnicze podczas pracy w trybie impulsowym. Dochodzenie powiązało awarię z materiałem i powłoką pracującymi pod obciążeniem cieplnym i ciśnieniowym. Po zmianie projektu wykonano kolejne próby naziemne, ale loty FM-6 i FM-7 wykorzystywały tylko tryb podtrzymania. GAO zaznaczyło więc, że tryb impulsowy o większej energii nie został jeszcze skutecznie zademonstrowany w locie.5

To rozróżnienie jest istotne: poprawny test po zmianie nie stanowi jeszcze dowodu działania całej funkcji w środowisku lotu, a sukces w jednym trybie nie kwalifikuje innego trybu. Raport wskazywał ponadto, że zmiany nie miały objąć pierwszych jedenastu pocisków konfiguracji Block 2004. Dowód trzeba zatem przypisać nie abstrakcyjnej nazwie „SM-3”, lecz konkretnemu wariantowi, trybowi i zakresowi numerów wyrobów. Późniejszy GAO-13-432 opisał trudności technologiczne dławionego DACS dla Block IIA, opóźnienie części od dostawcy bez źródła alternatywnego oraz wykorzystanie doświadczeń z Block IB.6 Oba przypadki pokazują, że DACS jest równocześnie problemem fizycznym, kwalifikacyjnym, konfiguracyjnym i łańcucha dostaw. Dane wykonawcze tych systemów nie są tu rekonstruowane.

Fizyczny tor medium i efektora

W architekturze ciśnieniowej tor może obejmować zbiornik, gaz wypierający, separator, regulator, zawór izolacyjny, kolektor, zawory impulsowe, komory oraz dysze. Każda objętość magazynuje masę, a każde zwężenie tworzy opóźnienie. Spadek ciśnienia przy równoczesnym uruchomieniu kilku odbiorników zmienia impuls każdego z nich. Przeciek jednej gałęzi zmniejsza zasób wszystkich.

W architekturze reaktywnej dochodzą zapłon, kinetyka, transfer ciepła i produkty. Komenda elektryczna nie potwierdza przepływu, a wzrost ciśnienia kolektora nie potwierdza siły na pojeździe. Pomiar powinien rozdzielać: stan źródła, ruch zaworu, ciśnienie lokalne, przebieg ciągu i odpowiedź dynamiczną.

Czystość jest parametrem funkcjonalnym. Cząstka może opóźnić zawór, zmienić przeciek albo częściowo zablokować dyszę. Osad i produkty starzenia zmieniają tarcie oraz efektywne pole. ECSS-E-ST-35-06 wiąże czystość sprzętu napędowego z całym łańcuchem wytwarzania i obsługi.8

Dynamika komenda–impuls jako model używany przez GNC

Najprostszy model „komenda razy nominalny ciąg” pomija opóźnienie oraz ogon. Użyteczny model zredukowany może rozdzielać stan zaworu $z$, ciśnienie komory $p_c$ i zasób $m_r$:

$$\dot z=f_z(z,u,T),\qquad \dot p_c=f_p(p_c,z,p_s,T),\qquad \dot m_r=-\dot m(p_c,z).$$

Siła wynika z $p_c$, stanu dyszy i przeciwciśnienia. Parametry zależą od temperatury oraz historii impulsów. Model powinien odtwarzać zwłokę, centroid, MIB, powtarzalność i resztkowy ciąg w zakresie, którego potrzebuje symulacja 6-DOF.

Impulsy mogą się wzajemnie oddziaływać. Kolejny przychodzi przy nagrzanym zaworze, innym ciśnieniu i resztkowym przepływie. Dwa efektory ze wspólnego kolektora mogą odbierać sobie przepływ. Uśredniona charakterystyka z pojedynczych, szeroko rozdzielonych prób nie opisuje gęstej sekwencji. Badania ciśnieniowo zasilanego RCS NASA łączyły modelowanie przejściowe z próbami w warunkach termiczno-próżniowych właśnie po to, by oddzielić te zjawiska od punktu ustalonego.11

pominięcie wykonawcze: model zachowuje kształt i zależności, lecz nie zawiera stałych czasowych, pól, charakterystyk ani limitów rzeczywistego uzbrojenia. Te dane należą do kontrolowanej konfiguracji efektora i modelu lotu.

Alokacja sterowania i gospodarowanie skończonym zasobem

Autopilot żąda uogólnionej siły i momentu $\mathbf w_d$. Alokator wybiera komendy, rozwiązując w uproszczeniu problem należący do ogólnej klasy alokacji sterowania opisywanej również w narzędziach NASA dla wstępnego projektu pojazdu.3

$$\min_{\mathbf u\in\mathcal U} \left\|\mathbf W\left(\mathbf B\mathbf u-\mathbf w_d\right)\right\|^2 +\lambda C(\mathbf u,m_r,T),$$

gdzie $\mathbf W$ nadaje priorytet osiom i funkcjom, a $C$ opisuje koszt zasobu, termiki lub zużycia. Rozwiązanie nie musi dokładnie odtwarzać żądania, jeżeli jest ono poza zbiorem osiągalnym. Powinno wtedy zachować priorytet krytyczny i jawnie przekazać błąd wykonania do estymatora.

Kwantyzacja sprawia, że alokator jest problemem hybrydowym: wybiera nie tylko amplitudę, ale też chwilę, czas i kombinację dysz. Zbyt częste przełączanie zużywa zawory i zwiększa straty na narastaniu; zbyt rzadkie daje oscylację graniczną. Priorytet divert względem orientacji zależy od fazy i dostępnego marginesu, nie jest stałą uniwersalną.

Po awarii macierz skuteczności i zbiór osiągalny stają się niesymetryczne. Sterowanie zdegradowane powinno używać potwierdzonego stanu, a nie jedynie flagi komendy. Fałszywe uznanie efektora za sprawny powtarza nieskuteczne impulsy i zużywa zapas; fałszywe wyłączenie sprawnego efektora może niepotrzebnie utracić zdolność.

Studium I: znormalizowany manewr korekcyjny

Rozważmy hipotetyczny pocisk przechwytujący w układzie bezwymiarowym. GNC żąda bocznego impulsu $J_y^*=0{,}10$ oraz zerowego momentu pochylenia. Dwie przeciwległe dysze mają nominalnie ten sam bit $0{,}05$, ale ich ramiona względem chwilowego środka masy różnią się o 10%. Idealny wybór dwóch impulsów daje wymaganą siłę, lecz pozostawia moment resztkowy.

Niech dla tego wyłącznie dydaktycznego przypadku podpisane ramiona wynoszą $r_1^*=+0{,}95$ i $r_2^*=-1{,}05$, a oba impulsy działają w żądanym kierunku bocznym. Bilans translacji zamyka się dokładnie,

$$J_y^*=0{,}05+0{,}05=0{,}10,$$

lecz znormalizowany impuls momentu jest różny od zera:

$$K_z^*=r_1^*J_1^*+r_2^*J_2^*=-0{,}005.$$

Jeżeli dopuszczalna w tym studium obwiednia reszty wynosi $|K_z^*|\leq0{,}002$, samo spełnienie żądania bocznego nie oznacza wykonania komendy. Załóżmy, że niezależny efekt korekcyjny może dodać $+0{,}004$. Reszta maleje wtedy do $-0{,}001$, a nominalny margines do granicy wynosi tylko $0{,}001$. Gdy łączna granica niepewności ramion, bitów i estymacji ma wartość $0{,}0014$, przypadek nominalny przechodzi, lecz gwarantowany margines jest ujemny:

$$M_K^*=0{,}002-|{-0{,}001}|-0{,}0014=-0{,}0004.$$

Wniosek nie brzmi „dodać jeszcze jeden impuls”. Najpierw trzeba sprawdzić, czy alokator może wybrać inną kombinację, czy granica niepewności jest zawyżona przez wspólny błąd modelu i czy korekta nie odbiera marginesu innej osi. Liczby są syntetyczne i nie reprezentują żadnego istniejącego efektora; pokazują różnicę między zgodnością nominalną a zgodnością odporną na niepewność.

Alokator może dodać mały impuls kompensacyjny z innej pary, jeśli jest dostępny, albo zaakceptować moment i przekazać go autopilotowi orientacji. Wybór zależy od kosztu zasobu i odległości od ograniczeń. Jeżeli zwłoka jednej dyszy jest większa, centroidy nie pokrywają się; pojazd najpierw obraca się, a dopiero później otrzymuje zbilansowaną sumę.

Model 6-DOF pokazuje dalszy skutek. Obrót zmienia kierunek siły drugiego impulsu w układzie inercjalnym, a opływ dodaje moment indukowany. Estymator porównuje przyspieszenie i prędkość kątową z przewidywaniem, odtwarza rzeczywisty $\mathbf J$ oraz aktualizuje pozostały zasób. Następne żądanie korzysta z wykonania, nie z sumy komend.

Gdy jedna dysza zostaje uznana za niesprawną, zbiór osiągalny traci symetrię. Alokator może zachować część zdolności przez inną kombinację, ale kosztem większego zużycia albo chwilowego błędu orientacji. Studium przechodzi cały łańcuch: żądanie → wybór → przebieg przejściowy → siła i moment → ruch → estymacja → następna decyzja, bez ujawniania konstrukcji konkretnego systemu.

Interakcja strugi z płatowcem

Boczna struga przebija warstwę przyścienną i oddziałuje z opływem. Przed nią powstaje obszar podwyższonego ciśnienia i fala, za nią separacja oraz wiry. Zmiana ciśnienia na znacznej części kadłuba może wytworzyć siłę indukowaną porównywalną kierunkowo z ciągiem dyszy albo mu przeciwną. NASA badała taki mechanizm eksperymentalnie i obliczeniowo dla generycznego pocisku przy dużym zakresie kąta natarcia.2

Współczynnik wzmocnienia nie jest stałą dyszy. Zależy od liczby Macha, kąta natarcia, stosunku ciśnień strugi i opływu, położenia portu, geometrii kadłuba oraz stanu przejściowego. Struga może także zmienić moment pochylenia, odchylenia i przechylenia. Dwie działające jednocześnie dysze tworzą interakcję struga–struga, której nie opisuje suma osobnych map.

Dlatego model lotu nie powinien dodawać tylko wektora ciągu izolowanego. Potrzebuje bazy przyrostów aerodynamicznych $\Delta\mathbf C(M,\alpha,\beta,J)$ z zakresem ważności oraz modelem przebiegu przejściowego. Błędna orientacja osi dyszy w CFD albo modelu może zmienić znak przewidywanego momentu; NASA NESC zwraca uwagę na walidację orientacji i modelu oddziaływania strugi z opływem (jet interaction).9

Studium II: od tunelu NASA do modelu lotu

Generyczny model pocisku z boczną strugą pozwala oddzielić trzy wielkości. Próba statyczna efektora mierzy jego ciąg w znanym przeciwciśnieniu. Próba aerodynamiczna bez strugi wyznacza bazowe siły i momenty płatowca. Próba ze strugą mierzy sumę, a różnica — po uwzględnieniu bezpośredniego ciągu — daje przyrost indukowany.2

CFD wyjaśnia pole: penetrację strugi, położenie fali, separację i obszary ciśnienia. Tunel daje siły integralne oraz obrazy schlieren lub inne dane przepływowe. Zgodność tylko globalnej siły może ukrywać kompensujące się błędy ciśnienia; zgodność tylko obrazu nie dowodzi momentu. Walidacja powinna więc obejmować obie klasy danych.

Następnie wyniki redukuje się do bazy używanej przez model 6-DOF. Redukcja zachowuje parametry rządzące, znak i nieliniowość w zakresie próby, a poza nim zwiększa niepewność zamiast płynnie ekstrapolować. Krótki impuls może nie zdążyć utworzyć pola odpowiadającego stanowi ustalonemu, dlatego baza potrzebuje także modelu narastania i zaniku przyrostu aerodynamicznego.

W końcowej symulacji autopilot wydaje komendę, model efektora daje bezpośredni impuls, baza dodaje przyrost na płatowcu, a dynamika aktualizuje orientację i położenie. To zamyka brakujący w starym tekście przepływ danych: lokalna fizyka → tunel i CFD → baza przyrostów → 6-DOF → wymaganie GNC. Wynik NASA jest analogią mechanizmu; nie jest automatycznie bazą aerodynamiczną innego pocisku.

Sama różnica między ruchem zmierzonym i przewidywanym nie identyfikuje jednak winnego modelu. W zapisie liniowym wokół rozpatrywanego stanu resztę można uporządkować jako

$$\mathbf r_y =\mathbf y_{pom}-\mathbf y_{model} \approx \mathbf S_D\,\delta\mathbf w_D +\mathbf S_A\,\delta\mathbf w_A +\mathbf S_E\,\delta\mathbf x_E +\mathbf v,$$

gdzie $\delta\mathbf w_D$ oznacza błąd bezpośredniej siły lub momentu efektora, $\delta\mathbf w_A$ — błąd przyrostu aerodynamicznego, $\delta\mathbf x_E$ — błąd stanu użytego przez estymator, a $\mathbf v$ — szum i nieuwzględnione zakłócenia. Macierze wrażliwości $\mathbf S$ mogą mieć podobne kolumny, więc dopasowanie jednego lotu potrafi „naprawić” niewłaściwy parametr i zepsuć przewidywanie w innym stanie.

Hipotezy rozcina się przez zmianę warunku, który powinien wpływać tylko na wybrane ogniwo. Błąd widoczny na stanowisku bez opływu, skorelowany z ciśnieniem lokalnym i opóźnieniem zaworu, wskazuje tor wykonawczy. Różnica pojawiająca się dopiero po włączeniu opływu i zmieniająca się systematycznie z jego stanem przemawia za mapą interferencji. Rozbieżność pozostająca przy zgodnych pomiarach siły, ciśnienia i czasu, lecz zależna od użytego czujnika albo rekonstrukcji masy, kieruje badanie do estymatora. Żaden z tych wzorców sam nie jest dowodem rozstrzygającym; dowodem jest dopiero zgodność co najmniej dwóch niezależnych obserwacji z przewidywaniami danej hipotezy oraz brak sprzeczności w próbie przeznaczonej do jej obalenia.

Sprzężenia cieplne, strukturalne i z czujnikami

Siła reakcji dyszy przechodzi przez mocowanie do konstrukcji. Krótki impuls może wzbudzić lokalny mod, a sekwencja impulsów — trafić w częstotliwość strukturalną. Ugięcie zmienia chwilową orientację portu, więc efekt mechaniczny wraca do macierzy skuteczności. Analiza obciążeń powinna używać przebiegu czasowego, nie tylko maksymalnego ciągu.

Gorąca struga ogrzewa krawędź portu, osłonę, przewody i sąsiednie urządzenia. Ciepło skumulowane zależy od sekwencji oraz czasu chłodzenia. Średni cykl pracy może ukrywać serię krótkich impulsów tworzących lokalny szok termiczny. Erozja zmienia pole i kierunek dyszy, co stopniowo przesuwa impuls oraz interakcję aerodynamiczną.

Produkty strugi mogą zabrudzić okno optyczne, zmienić tło detektora albo przejść przez pole widzenia. Plazma i gorący gaz wpływają na anteny, łącza oraz lokalne ciśnienie. Czujnik może interpretować własny efektor jako obiekt lub zakłócenie. Harmonogram obserwacji i alokacja wymagają zatem modelu zakłócenia, ale szczegółowe okna współczesnego systemu pozostają poza zakresem artykułu.

W torze ciekłym ruch medium, zasysanie gazu, kawitacja lub gwałtowna zmiana przepływu zmieniają komorę. Wspólny kolektor przenosi fale między efektorami. Termiczne nasycenie przewodu po długim spoczynku i po gęstej sekwencji są różnymi stanami początkowymi. Domeny napędu, struktury, termiki i czujników nie mogą być kwalifikowane wyłącznie osobno.

Estymacja wykonania i sterowanie zdegradowane

Sterownik zna polecenie, lecz potrzebuje oszacowania rzeczywistego impulsu. Może łączyć model zaworu i ciśnienia z pomiarem przyspieszenia oraz prędkości kątowej. Różnica między przewidywaną i zmierzoną odpowiedzią jest innowacją estymatora, ale zawiera także zakłócenia aerodynamiczne, błąd czujnika i niepewność masy. Nie wolno przypisać jej całej do dyszy.

Pozostały zasób można szacować przez bilans masy, ciśnienie i temperaturę albo zliczanie skorygowanych impulsów. Każda metoda ma błąd. Licznik zakłada zgodność komendy z wykonaniem; ciśnienie zależy od temperatury i objętości; model reaktywny zależy od partii oraz historii. Fuzja powinna zachować niepewność i dolny bezpieczny zakres zdolności, nie tylko wartość oczekiwaną.

FDIR rozróżnia co najmniej cztery poziomy: komenda nie została wydana, zawór nie zmienił stanu, przepływ nie powstał albo impuls nie dał przewidywanego ruchu. Objawy są podobne, lecz reakcje sterowania inne. Po potwierdzeniu uszkodzenia alokator aktualizuje $\mathcal A$, a układ naprowadzania może zmienić osiągalną trajektorię. Odporny system GNC wymaga spójności czujników, urządzeń wykonawczych, modeli i trybów zdegradowanych.12

Reset komputera nie może przywracać nominalnego zapasu ani zapominać o efektorach zużytych przed restartem. Stan powinien być rekonstruowany z odpornych danych i bieżących pomiarów. Utrata synchronizacji czasu może wyglądać jak zmiana zwłoki, więc wspólny zegar jest częścią diagnostyki DACS.

Drzewo uszkodzeń od komendy do skutku systemowego

Zablokowanie zaworu w położeniu zamkniętym odbiera kierunek ze zbioru osiągalnego; zablokowanie w położeniu otwartym tworzy niezamierzony ciąg, zużywa zasób i ogrzewa otoczenie. Przeciek wewnętrzny zmienia stan kolektora, zewnętrzny usuwa medium oraz może tworzyć pożar lub toksyczne środowisko. Częściowo zablokowana dysza zmniejsza impuls, erozja przesuwa jego kierunek, a opóźniony zapłon zmienia środek czasowy impulsu i może wywołać gwałtowny przebieg przejściowy.

Przyczyna Mechanizm Obserwacja Skutek systemowy Dowód rozcinający hipotezę
przerwa komendy lub zasilania zawór nie rozpoczyna ruchu brak sygnału lokalnego utrata osi sterowania zapis elektryczny i bezpieczny emulator
tarcie lub osad opóźniony ruch zaworu późne ciśnienie komory przesunięty centroid impulsu pozycja, ciśnienie i temperatura
spadek źródła mniejszy przepływ kilku gałęzi zgodne osłabienie efektorów kurczenie całego zbioru osiągalnego stan wspólnego kolektora
erozja lub niewspółosiowość zmiana wektora siły właściwa całka, zły moment błąd orientacji po każdym impulsie stanowiskowy wektor siły i geometria
błąd bazy oddziaływania strugi zły przyrost aerodynamiczny odchylenie zależne od Macha i kąta błąd modelu lotu tunel/CFD w kilku stanach
błąd estymatora zasobu nominalny model mimo degradacji rosnąca innowacja niewykonalne komendy końcowe niezależny bilans i trend telemetryczny

Niezamierzony ciąg i utrata zdolności są oddzielnymi zdarzeniami szczytowymi. Zabezpieczenie przed jednym może pogorszyć drugi: agresywne odcięcie wspólnego źródła usuwa ciąg niekontrolowany, ale zabiera wszystkie pozostałe efektory. Analiza bezpieczeństwa określa regiony powstrzymywania awarii, wspólne przyczyny oraz warunki, w których funkcja zdegradowana jest nadal kontrolowalna.

Studium III: anomalia po długim magazynowaniu

Hipotetyczna partia przechodzi odbiór produkcyjny i zostaje zmagazynowana. Po kilku latach próba nadzoru eksploatacyjnego pokazuje, że pierwszy impuls wybranego zaworu ma większą zwłokę, wolniejsze narastanie i dłuższy ogon. Całka pozostaje bliska wartości odniesienia, więc test oparty wyłącznie na impulsie całkowitym mógłby uznać wynik za poprawny. Dla GNC zmienił się jednak środek czasowy impulsu.

W locie estymator korzystający ze starego modelu przypisuje opóźnioną odpowiedź mniejszej sile, po czym żąda kolejnego impulsu. Ogony nakładają się i zużycie zostaje oszacowane błędnie. Jeśli starzenie dotyczy jednej partii uszczelnienia, zbiór osiągalny staje się niesymetryczny. FDIR obserwuje korelację z temperaturą i numerem partii zamiast traktować każdy przypadek jako losowy.

Rekonstrukcja rozdziela mechanizmy: zmianę tarcia zaworu, stan źródła, zanieczyszczenie, czujnik stanowiska i algorytm estymacji. Test z medium obojętnym może bezpiecznie zbadać ruch oraz przepływ, analiza materiałowa wskazuje starzenie, a model 6-DOF ocenia znaczenie dla misji. Nie każda zmiana wymaga tego samego testu pełnoskalowego; zakres dowodu wynika z hipotezy.

Decyzja dotyczy populacji, nie jednego egzemplarza. Rekordy partii, historii magazynowania, narzędzi i konfiguracji wyznaczają zasięg. Korekta może objąć komponent, model estymatora, limit życia albo kombinację. Recertyfikacja musi ponownie wykazać centroid, osiągalność oraz zachowanie po uszkodzeniu, nie tylko odzyskać nominalną całkę impulsu.

Zakres twierdzenia powinien być zapisany razem z dowodem. Niech $D_e$ oznacza dziedzinę zastosowania dowodu $e$: numery wyrobów, partie materiału, wersje części i oprogramowania, zakres wieku oraz środowisko próby. Wniosek z kilku dowodów jest ważny co najwyżej w ich wspólnym zakresie

$$D_{wniosku}\subseteq\bigcap_e D_e.$$

Jeżeli próbka materiałowa reprezentuje partię uszczelnień, a test zintegrowany reprezentuje tylko jedną wersję sterownika, ich połączenie nie kwalifikuje automatycznie innych partii ani wersji. Rozszerzenie zakresu wymaga osobnego argumentu podobieństwa i próby skierowanej na cechę, która mogła się zmienić.

Poziom decyzji Minimalny łańcuch identyfikowalności Dowód potrzebny do rozszerzenia wniosku Czego nadal nie wolno twierdzić
pojedyncza sztuka numer wyrobu, części, zapis montażu, historia i stan po próbie inspekcja oraz wynik funkcjonalny tej samej sztuki że wynik opisuje pozostałą partię
partia genealogia materiału i procesu, narzędzia, próbka reprezentatywna, rozkład cechy plan próbkowania powiązany z mechanizmem degradacji i trendem że inny dostawca lub partia zachowują się tak samo
konfiguracja wykaz efektów zmian, wersja sterowania, model, baza aerodynamiczna i interfejsy regresja od poziomu zmienionej cechy do zamkniętej funkcji systemowej że sukces przechodzi na wariant poza wykazem obowiązywania

W studium opóźniony pierwszy impuls może uzasadnić kwarantannę konkretnej sztuki natychmiast, lecz objęcie całej partii wymaga potwierdzenia wspólnej przyczyny. Zwolnienie partii po wymianie uszczelnienia nie wystarcza z kolei do zatwierdzenia nowej konfiguracji: potrzebny jest dowód, że zmieniony przebieg czasowy został poprawnie ujęty w modelu, estymatorze i próbie zintegrowanej. Tak zapisany zakres decyzji zapobiega zarówno nieuzasadnionemu rozszerzaniu zgodności, jak i kosztownemu wycofaniu populacji na podstawie pojedynczego, niepowiązanego zdarzenia.

Hierarchia modeli i przepływ niepewności

Model 0D efektora przekształca stan źródła i komendę w ciśnienie oraz ciąg. Sieć przepływowa opisuje kolektor, regulator i konkurencję gałęzi. Model zaworu zachowuje ruch, tarcie i odbicie. Model chemiczny lub dwufazowy jest potrzebny tylko tam, gdzie zmienia decyzję. CFD rozwiązuje komorę, dyszę i interakcję z opływem. Model termiczny oraz strukturalny przenosi obciążenia, a 6-DOF składa wynik z GNC.

Przepływ danych powinien być jawny:

próby materiałów i komponentów
  → parametry zaworu, źródła i dyszy
    → model sieci i przebieg impulsu
      → CFD/tunel oraz baza przyrostów aerodynamicznych
        → model 6-DOF i alokator
          → wymaganie dla komponentu i próby integracyjnej

Weryfikacja sprawdza równania, zachowanie graniczne, bilanse i zbieżność numeryczną. Walidacja przypisuje każdy model do pomiaru i zakresu stanu. Zgodność jednego przebiegu nie identyfikuje wielu parametrów. Analiza Monte Carlo opisuje rozkład przy znanych rozrzutach; przypadki najgorsze badają kombinacje skorelowane, których losowe próbkowanie może nie znaleźć.

Niepewność z komponentu propaguje się do centroidu, macierzy $\mathbf B$, zbioru $\mathcal A$ i ostatecznej odległości przechwycenia. Model ogólny NASA lub ECSS daje metodę, lecz nie stanowi zgodności wojskowego efektora. Każdy transfer wymaga wykazania podobieństwa medium, skali, środowiska i konfiguracji.

Hierarchia prób od materiału do lotu

Próbki materiałowe sprawdzają kompatybilność, starzenie i czystość. Inspekcja oraz badania nieniszczące (NDE) szukają wad granicy ciśnieniowej. Próba szczelności i ciśnieniowa próba wytrzymałościowa odpowiadają na inne pytania niż przepływ. Charakterystyka zaworu daje mapę opóźnienia, histerezy i przecieku; test efektora — wektor siły oraz impuls; klaster ujawnia wspólny kolektor i interakcję impulsów.

Tunel ze strugą albo odpowiednia próba aerodynamiczna mierzy przyrosty płatowca. Próba ze sprzętem w pętli (HIL) łączy rzeczywiste sterowanie i emulator dynamiki; próba z oprogramowaniem w pętli (SIL) bada algorytm szeroko, lecz nie odtwarza fizycznych opóźnień bez dobrego modelu. Próba zintegrowanego pojazdu sprawdza zasilanie, czas, czujniki i strukturę. Lot pozostaje końcowym dowodem w ograniczonej liczbie konfiguracji.

Poziom Pytanie Dane przekazywane wyżej Czego nie dowodzi
materiał/proces czy medium i starzenie zachowują cechy? rozrzut, degradacja, zanieczyszczenia dynamika zaworu
zawór/źródło jaki jest stan i przebieg przejściowy? opóźnienie, mapa przepływu, przeciek wektor siły
pojedynczy efektor jaki impuls powstaje? $\mathbf J$, centroid, MIB, termika interakcja klastra i płatowca
klaster jak działa wspólny zasób? wzajemne oddziaływanie gałęzi, sekwencje, asymetria przyrost aerodynamiczny
tunel/CFD jak struga zmienia płatowiec? $\Delta\mathbf C$ i niepewność pełna pętla GNC
HIL/pojazd czy czas, alokacja i czujniki są spójne? wykonanie i tryby zdegradowane reprezentatywność wszystkich lotów
lot czy system osiąga funkcję w danej konfiguracji? korelacja od komendy do skutku automatyczne dziedziczenie na zmianę

Jawny podręcznik Departamentu Obrony MIL-HDBK-1763 nie jest specyfikacją DACS ani wymaganiem kontraktowym; dotyczy kompatybilności wojskowego statku powietrznego z przenoszonym uzbrojeniem i sam zastrzega charakter poradnikowy. Jest jednak użytecznym, niezależnym przykładem wojskowej logiki kwalifikacji. Dla nowej instalacji uzbrojenia zaleca budowanie zaufania stopniami: od prób części reprezentatywnej, przez próby naziemne zintegrowanego statku, po lot w zakresie wymaganej obwiedni. Na każdym stopniu mierzy się inne oddziaływania i dopiero wykazana integralność systemu uzasadnia przejście dalej.15 Zbieżność z hierarchią powyżej wspiera metodę, ale nie przenosi kryteriów kompatybilności samolot–uzbrojenie na wewnętrzną kwalifikację efektora.

Nieudana próba jest źródłem danych tylko wtedy, gdy zachowano surowy zapis, konfigurację i stan obiektu. Automatyczne powtórzenie może zatrzeć usterkę przerywaną, zmienić temperaturę albo zużyć kolejny efektor. Plan rekonstrukcji zaczyna od emulatora i bezpiecznych testów rozcinających hipotezy, a nie od ponownego pełnego uruchomienia.

Produkcja, konfiguracja i nadzór eksploatacyjny

Wektor efektora zależy od obróbki portu, ustawienia dyszy, mocowania i odkształcenia. Zawór zależy od powierzchni, uszczelnienia, czystości oraz procesu montażu. Spoiny i połączenia wyznaczają granicę ciśnieniową. Cech ukrytych nie da się w pełni odebrać na gotowym wyrobie, więc kwalifikacja procesu, próbki świadków i identyfikowalność są częścią dowodu. Ogólne wymagania napędowe ECSS porządkują tę odpowiedzialność, ale nie zastępują wojskowej kwalifikacji konkretnego efektora.10

Konfiguracja obejmuje część, partię, mapę efektorów, wersję sterowania, model impulsu, bazę aerodynamiczną, masę i środowisko. Zmiana dostawcy uszczelnienia może przesunąć zwłokę, a zmiana osłony — interakcję strugi. Deklarowana zgodność kształtu, montażu i funkcji nie wystarcza, jeśli nie obejmuje przebiegu przejściowego i wpływu na $\mathcal A$.

Nadzór eksploatacyjny porównuje stan po magazynowaniu z charakterystyką bazową. Przeciek, czas zaworu, środek czasowy impulsu, wektor siły i stan materiałów powinny być analizowane jako trendy w reprezentatywnej próbce. Przyspieszone starzenie jest wiarygodne tylko wtedy, gdy zachowuje dominujący mechanizm. Wynik świeżego egzemplarza nie dowodzi zdolności całej populacji po latach.

Koniec życia nadal zawiera energię. Zbiornik, kolektor, komora i niewykorzystane efektory mogą pozostać aktywne. Demilitaryzacja i pasywacja wymagają dokładnej dokumentacji konkretnej konfiguracji. Publiczny artykuł nie podaje sposobu ingerencji; brak telemetrii lub wskazania ciśnienia jest stanem nieznanym.

Synteza: DACS jako zamknięty dowód wykonania

DACS jest wartościowy tylko wtedy, gdy cały system dostarcza przewidywalny zbiór sił i momentów we właściwym czasie. Nominalny ciąg nie zamyka problemu, ponieważ komenda przechodzi przez zawór, źródło, przebieg przejściowy, dyszę, opływ i dynamikę pojazdu. Środek czasowy impulsu może być równie ważny jak jego całka, a przyrost aerodynamiczny równie ważny jak siła bezpośrednia.

Alokator pracuje na ograniczonym i zmiennym zbiorze osiągalnym. Estymator musi korygować idealny model wykonaniem, a FDIR rozpoznawać, na którym ogniwie powstała różnica. Modele lokalne uzyskują znaczenie dopiero po przejściu przez walidację i redukcję do 6-DOF. Próby komponentu, klastra, tunelu, HIL i lotu odpowiadają na inne pytania; żadna nie zastępuje pozostałych.

Najważniejsze napięcia projektowe nie mają jednego optimum. Większe pasmo kosztuje zasób i termikę; niezależność kanałów kosztuje masę; mały MIB zwiększa precyzję, lecz wymaga stabilnego przebiegu przejściowego; bogata diagnostyka dodaje czujniki i pozycje konfiguracji. Ostateczny argument łączy funkcję, margines osiągalności, bezpieczeństwo niezamierzonego ciągu, kontrolę produkcji i zdolność po magazynowaniu.

Źródła