З чого починається живучість системи
Інтуїтивний вступ до дослідження для читача без спеціальної підготовки.
Система може працювати — але вже не так, як задумано
Коли виходить із ладу один компонент, це не завжди означає завершення місії. Проте також не означає, що система може безпечно працювати, як раніше. Живучість описує, які потрібні функції залишилися можливими після пошкодження та за яких обмежень їх можна виконувати.
Історія Apollo 13 — наочний історичний приклад необхідності переосмислити ресурси і завдання після аварії. Цей випадок розглядається у дисертації; він ілюструє проблему, але не є експериментальною перевіркою запропонованого фреймворку.
Чотири запитання перед перебудовою
- Що втрачено? Які ресурси більше не працюють або працюють гірше?
- Чому можна довіряти? Чи відповідають моделі та оцінки поточному стану об’єкта?
- Що ще дозволено? Які конфігурації задовольняють обмеження функцій і безпеки?
- Що робити далі? Яка послідовність рішень зберігатиме місію, а не лише одну мить роботи?
Маршрут читання
Перейдіть до моделі після відмови, потім до ієрархії ресурсів і функцій, а далі — до допустимості конфігурацій.
У цих матеріалах розширюється уявлення про ресурси: датчик або актуатор може бути фізично справним, але модель, на яку спирається рішення, вже не відповідати дійсності.