Про надежность, и не только...

[fixik-papus.livejournal.com]

Оригинал взят у fixik_papus в Про надежность, и не только...

- Хнык-хнык!... Паааапа, у меня экскаватор сломааался....аааа...хнык-хнык-хнык...
- Ничего, сынок. В этом мире все ломается. Раньше или позже.

Четырехлетнее создание перестало хныкать и задумалось.
- А бывает, что настоящий экскаватор ломается?
- Конечно, бывает.
- А бывает, что машина ломается?
- Ломается. Я ж на той неделе тебе показывал, как ручку открывания багажника менять. Если не будет снега вечером - покажу, как задний фонарь чинить, в этот раз в нашей машине -  в правом габарит не контачит.
(что б я еще когда продукцию АвтоВАЗ купил, ага. СЕДЬМУЮ ручку меняю. А сделать надежный контакт между гибкой печатной платой с патронами для ламп и разъемом кабельным - это вообще космические технологии надобны).

- А можно сделать так, чтобы не ломалось?
- Нельзя, сынок. Невозможно. Но можно сделать так, чтобы ломалось пореже, а чинилось побыстрее, и работало, даже когда что-то сломано.
Для того нужно - делать хорошо, и использовать с умом. А у нас что? За сто рублей даже игрушечный экскаватор хорошо сделать нельзя, а ты им пластилин ковырять решил. Так что выбрось этот экскаватор, будем в самолетики играть. Ты же еще и самолетик выпросил ведь?

(Это мама добрая чересчур. Поддалась на уговоры в магазине. У меня цельнопластмассовые китайские поделки за копейки, но на 5 минут - выпрашивать бесполезно, это сын уже четко усвоил. С тем же успехом можно из ста рублей сделать самолетик бумажный - и с балкона запустить).

- Папа, а самолет ломается?
- Ну да. Если будешь так кидать через всю комнату - он и до ужина не доживет.
- И настоящий самолет ломается?
- Еще как.
Думает.
- А если самолет сломается - то он упадет?

Тут уж призадумался я. Объяснение - слишком сложное для четырехлетнего ребенка, пожалуй.
- Самолеты делают так, чтобы от поломки одной маленькой детали он не падал. Хотя... в жизни бывает всякое.

- Так, фиксики большие и маленькие! Заканчивайте! Садимся ужинать! - это жена нас зовет.
А я знаю, что будем смотреть за ужином. Ну не мультики же идиотские про динозавриков, которых миллион лет как нет. Быстренько гуглю "самолет упал из-за неработающего датчика", потом "Расследование катастроф, Слепой полет", вывожу картинку на телевизор на кухне - вот теперь можно и ужинать.

Тут совершенно не в тему - телефон звонит. На том конце радиоволн - добрый пожилой женский голос.Ух ты, это что за код города такой? Вот ведь домоседом стал, раньше коды всей страны наизусть помнил. Сделайте телевизор потише чутка...
- Добрый вечер! Вы, наверно, нас не помните уже? Вы нам котельную делали... в школе поселковой...

Вспоминаю... было дело, на прошлой работе, лет шесть назад. Или семь? Маленький вымирающий поселок при лесопилке, посреди сплошных северных лесов. Маленькая школа, в доме если не дореволюционном, то довоенном-точно. Топились печами, еще при царе сложенными, потом наконец выделили чуть-чуть денег на котельную на "печном топливе" (тот же мазут, только жидкий). Газа на Руси-матушке много, да вот в поселке том его нет и, наверно, не будет никогда.
Денег выделили именно что "чуть-чуть". Посему сделано было - из самого дешевого оборудования, какое только можно найти. Ничего лучшего в таком shoestring бюджете не сделать никому. Сэкономили даже на резервном топливе, и даже на горячей воде. Впрочем, разводки ГВС по зданию там и не было никогда.

- Что-то мы в этом году никак завестись не можем. Топливо наконец привезли, на улице мороз уже. Не подскажете, что делать?
- Эээээ.... далековато мне до вас. Не видать отсюда. Вам бы лучше местный сервис позвать.
- Так денег мы им должны. С весны уж не платим. Обещали нам в декабре долги погасить, да мы до декабря замерзнем тут все.
- Ну у вас там был слесарь толковый... простите, запамятовал как звать.
- Григорий Палыч-то? Да уж два года как схоронили мы его, сынок - вздыхает учительница, годящаяся по возрасту мне в мамы, если не  в бабушки. - как лесопилка закрылась, он совсем скис, выпивать стал без меры.

Ну вот и что тут делать прикажете?

- Вы сейчас в котельной?
- Да.
- Можете посмотреть, какая диагностика на панели?
- Хм... я сейчас Антону трубочку дам, он у нас умный, у него компьютер есть...
После всяких шуршаний в трубке - пожилой женский голос меняется на подростковый.
- Видишь панель на шкафу?
- Вижу. В нее тыкать можно?
- Можно, но бесполезно. Слишком дешевая. Там сбоку кнопочки со стрелочками, выбери ими строчку "Аварии". Видишь? Жми "Ввод".
- Нажал.
- Что там написано?
- Да тут много всего непонятного...
Много всего?????
- Читай по очереди.

- Так... "отказ датчика температуры подачи"...
Из-за этого не завестись не можем. На такой отказ стандартный "обходной" алгоритм - берется среднее значение с котловых датчиков тех котлов, которые в работе.

- "отказ датчика уличной температуры"... у нас его еще в том году кто-то отломал, оно и без него работает, только бегаем температуру настраивать, как погода меняется.
Погодозависимый график, стало быть, отрубился, работаем по фиксированной уставке, неприятно, но и только

- "отказ расходомера холодной воды".
Вот интересно, когда вместо геркончиков, которые долго не живут, производители наши додумаются датчик Холла ставить? Он же вечный. Ну или хотя бы ДВА геркончика...
Неисправность более критичная, чем кажется. Потому что объект супер-бюждетный, экономили на всем, чем могли, и реле перепада на насосы подпитки не поставили. Контроль за их работой - сделал по расходомеру. Но поскольку ненадежность герконов известна всему миру - прописан обходной алгоритм - контроль за ростом давления обратки при включенной подпитке. Если роста нет - насос меняется на резервный; если и это не помогает - выдается предупреждение о прорыве теплосети, а насос работает, как может, уже без контроля.

- "нет сигнала актуальной мощности с горелки №2"
Наверняка потенциометр износился. Горелки - дешевые итальянские, хуже них - только дешевые китайские и любые русские. Но это тоже не страшно. Управление мощностью горелки - двумя сухими контактами "больше"-"меньше", а актуальную мощность при отказе потенциометра контроллер оценивает на основе разницы температур подачи и обратки и известных параметрах котла. Тоже не есть причина незапуска.

- "сработала охранная сигнализация"
Это из-за того, что в котельную зашли, а кнопочку на сигналке нажать забыли. Вообще фигня.

- "отключен мотор-автомат насоса рециркуляции котла №1"
Это уже хуже. Без рециркуляции можно получить холодную обратку, конденсат и за пару лет угробить котел. Но работать все равно будет. Котел становится принудительно ведомым, и вводится в работу, только когда другой котел уже прогрел обратку; если же он этого один сделать не может за 2 часа (после простоя в сильный мороз) - тогда зажигаемся "как есть", жертвуя ресурсом котла. После чего котел наоборот, становится ведущим, и работает непрерывно, чтоб не остывал. На котловых задвижках, как понимаете - тоже сэкономили...

- "аварийно низкий уровень топлива в емкости"
Ага. А вот это уже серьезно. Сигнал с уровнемера - блокирует работу топливных насосов - и работать ничего не будет.
- Топливо-то физически есть? Никто слить не мог?
- Есть, утром бензовоз приезжал, целую бочку залили.
- А до этого - не было?
- Да, как в апреле все сожгли - так и не было. Там уж тепло стало в этом году, родной...
Датчик уровня - поплавковый и тоже высоким качеством не отличается (бюджет, да). Поплавок, лежа внизу, вполне мог там закиснуть и не подняться по штоку. Или опять же геркончик помер.
- Вот что. Найди полено какое, и иди к емкости. Из нее торчит такая труба с набалдашником, и кабель к ней идет.
В трубке шуршание.
- Ага, вижу...
- Постучи по трубе посильнее! Только по набалдашнику не попадай, а то сломаешь!
Тук-тук-тук... бум-бум-бум... Ремонт по-нашему...
- Теперь вернись в котельную и посмотри, не пропало ли сообщение.
- Точно, пропало!
- Вот и замечательно! Теперь должно заработать. Везет же вам... Дай трубочку директору..

Теперь я буду громко ругаться.
- И давно у вас там все переломалось? Все сразу прям сейчас?
- Нет, за много лет уже...
- Неисправности в котельной нужно устранять сразу, а не доводить до такого состояния! Чего дожидаетесь-то? Сегодня повезло, а в следующий раз ремонт по телефону может и не получиться. И следующий раз обязательно будет в минус сорок.

В ответ - грустный вздох. Пожилому директору школы явно хочется, помимо котельной, просто поговорить с кем-нибудь за жизнь. Выговориться.
- Нам бы эту зиму пережить как-нибудь, да и ладно. Весной, говорят, сокращать нас будут. В школе всего семнадцать детишек осталось. Обещают автобус купить и в райцентр возить. В детском саду у нас всего четверо, мы им в школе комнату выделили, а садик закрыли совсем. Теперь, как лес кончился, почитай, молодежи и не осталось. Да я и сама, наверно, к детям поеду. Тяжело мне одной стало хозяйство вести. Это тут котлы всякие, а я дома дрова колю, и печь топлю. О, и вправду котел зажегся! Сейчас с детьми праздновать пойдем, куртки снимем - и хороводы водить. Спасибо тебе, родной! Как будешь в наших краях - заходи, угостим, баньку натопим, грибы-ягодны у нас знатные...
- И вам не болеть! До свиданья!
А вот в гости приехать - не обещаю, уж простите.

Какой же разной может быть жизнь!

Лирическое отступление.
Как так "лес кончился"? Этот вопрос я задал лесничему, оказавшись в начале нулевых на объекте в Архангельской области. - А это что вокруг нас километров на сто?
- А это станет лесом строевым лет через семьдесят. В девяностые финны понаехали, с машинами своими страшными, и все что строевое - выпилили. Вот лес и кончился, а до нового мне уж не дожить.
-------------

Жена с укоризной смотрит на меня.
- Ужин твой остыл, и будет плохо смотреться  в инстаграме! Поел бы да перезвонил.
- Делать мне больше нечего, как ужин в инстаграм выкладывать.  Там народ, между прочим, до сих пор без отопления сидит. А это, минуточку, километров четыреста от нас на север.

Пока мы общались, фильм про авиакатастрофу дошел уже до разгадки. В самолете заклеили скотчем одну из трубок Пито и забыли отклеить, показания двух датчиков "разошлись", автопилот вырубился, аварийная сигнализация выдала кучу ненужных и неверных сообщений, пилоты запутались, не зная, чему верить - и уронили самолет в океан.

Сын тем временем, оказывается, умудрялся и ужин есть, и кино смотреть, и мои разговоры слушать. И даже как-то пытаться понять, насколько в четыре года можно.
- Пап, а скажи, если на самолет наклеить скотч - он всегда упадет?
- Подрастешь, я тебе расскажу про трубку Пито-Прандтля, а пока поверь, что все не так просто. Самолет - он посложнее котельной будет.
- А что важнее - самолет или котельная?
Ну и вопросы могут быть у ребенка. И отвечай, как знаешь.
- Котельная, конечно. Без самолета прожить можно, а без котельной - нельзя. Вымерзнешь.

Ребенок призадумался. Призадумался теперь и я.
Какая-то мелкая несчастная школьная котельная, сделанная с абсолютно минимальными затратами из самых дешевых-ненадежных комплектующих (Овен, да. И не только) - работает на "обходных алгоритмах" с пятью отказами оборудования. Встала - только после шестого отказа.

А в том самом самолете - не работал всего один датчик скорости+высоты.
При этом в наличии имелись и были исправны:
- вторая точно такая же трубка Прандтля
- радиолокационный измеритель высоты, скорости относительно земли и угла сноса
- данные о высоте, координатах, направлении и скорости с GPS
- те же данные - с наземного радиолокатора через диспетчера аэродрома
- наконец, бортовой компьютер с мат.моделью перемещения самолета в пространстве
Результат: никакой правильной диагностики отказов; зато куча ложных аварийных сообщений, полные непонятки на борту - и катастрофа

Практически во всех проектах автоматизации предусматривается логика определения разнообразных отказов оборудования и управления объектом при этом. Ну, по крайней мере, я стараюсь предусматривать. В большинстве случаев (а в объектах жизнеобеспечения - в обязательном порядке) можно работать некоторое время/с ухудшением качества управления/ увеличенным износом - при одном, двух, и даже нескольких не связанных отказах. Резервирование, мат. модели, и прочая...

Но почему так не делают на самолетах?
Имея 4 источника информации, из которых 1 неисправен - можно же сопоставить их показания, определить дефектный датчик и сообщить экипажу "такой-то прибор неисправен, воспользуйтесь резервным и летите спокойно куда Вам нужно".

И это вовсе не единичный случай.
Второй
Третий
Четвертый... (тут вообще fly-by-wire и обязан быть серьезный компьютер)

Везде одно и то же. Отказ одного датчика, при исправном втором таком же + альтернативных средствах измерения тех же параметров - и все, ПЦ.

Я безмерно далек от авионики и являюсь в ней полным профаном-любителем.
Объясните мне кто - нибудь, кто в теме: почему так происходит? И о чем думают разработчики и программисты авионики? У них же квалификация обязана быть намного выше моей!

- Папа, я уже поужинал! Пап, пап, давай заклеим мой самолет скотчем и будем в ванной играть в авиакатастрофу! Папа, ну чего ты совсем загрустил?

PS
для ознакомления детей (и себя) с авиационной техникой рекомендую:
http://avia-simply.ru/
http://lx-photos.livejournal.com/
Только не в 4 года, а постарше чуток.

Comments

[gray-bird.livejournal.com]

Предположу, что в критичных областях стараются делать так, чтоб не было отказов вообще и даже один отказ был сразу заметен.
В описанном случае это явный форсмажор, когда люди запутались и не поняли, что и привело к катастрофе.
Иначе бы летали бы самолеты с десятком критических отказов на обходных алгоритмах и падали бы чаще.
Вот как та котельная из примера.

[fixik-papus.livejournal.com]

Речь об отказах, возникших во время полета
А на земле и починить можно

[sam-buddy.livejournal.com]

Один из лучших постов сообществе на моей памяти, спасибо.

[dubomir.livejournal.com]

+100

[bmc938.livejournal.com]

Когда слышу такое про котельные, ассоциация только одна возникает:
"- А не ебанет?
- Не, не должно."

[fixik-papus.livejournal.com]

Всяко бывает
http://fixik-papus.livejournal.com/836.html

[military-museum.livejournal.com]

Хорошо написано, респект!

[leo715.livejournal.com]

При таком раскладе, да, работают по схеме третьей черепахи (которая врет). Катастрофы происходят когда на простой отказ накладывается еще что-то может ошибка экипажа, может еще что. Тот французский Аэробус (который летел из Бразилии) упал не из-за обледенения трубок, а из-за того что экипаж не понял что произошло обледенение.

[fixik-papus.livejournal.com]

А ошибка экипажа откуда берется?
Из-за неправильной сигнализации.
Была б сигнализация "трубка Прандтля со стороны КВС неисправна" - спокойно долетели бы, глядя на другую

[nilsman.livejournal.com]

Очевидно, все зависит от сложности системы. В самолете, наверное, несколько сотен датчиков, данные с которых нужно снять, обработать и проанализировать, причем обработку пишут одни люди, например, а анализ - другие. Нештатных ситуаций в воздухе тоже больше, все не смоделировать.

[fixik-papus.livejournal.com]

90% проблем можно оперативно решить, если знать причину отказа.

Промышленные автоматические линии в порядке вещей имеют сотни моторов и тысячи датчиков. И ничего, диагностика делается вполне адекватная.
А еще и картинка со схемой линии, где отказавший датчик означен крестиком

[lazy-flyer.livejournal.com]

Феерично. :)

[flat-area.livejournal.com]

Человеческий фактор же.

Напомнило анекдот:
- Тормози, тормози, бабку задавишь!
- Чего?
- Тормози! Тормози!!! ААА!!!
- Ты тормози! Ты же за рулём!

[fixik-papus.livejournal.com]

- Алло, дорогая, только что по радио передали, что одна дура едет по встречке. Будь осторожнее!
- Одна? Да их тут тысячи!

[semaz.livejournal.com]

Отличный пост. Спасибо!

[fixik-papus.livejournal.com]

Спасибо!

[olezhas.livejournal.com]

жутко интересно вас читать.
вам бы в разработчики таких систем, с таким колоссальным опытом.

[fixik-papus.livejournal.com]

Авионика - это совершенно отдельная область, от которой я безмерно далек и интересуюсь только из любопытства.
Переучиваться с нуля на пятом десятке лет - уже проблематично.

Будем надеяться, что мне и в промышленной автоматике достаточно интересных дел найдется
Сейчас я занимаюсь куда более сложными штуковинами, нежели школьная котельная

[olezhas.livejournal.com]

все три катастрофы по ссылкам какие-то идиотские, блин.

[fixik-papus.livejournal.com]

Посмотрите сериал означенный
95% катастроф - идиотские.
Остальные 5% - теракты

[ardelfi.livejournal.com]

> Объясните мне кто - нибудь, кто в теме: почему так происходит?

Обычно в таких случаях первопричина организационная. Например, когда грохнули Ариан-5 в первом же полёте, первопричиной стала уверенность что проверенный надёжный блок из Ариан-4 можно поставить в Ариан-5, и всё будет работать так же надёжно. Это явно решение некого руководителя, а не инженера. Челленжер грохнули также по решению руководителя. Ну и мой любимый разбор полётов (DART) насыщен ломтями правды, обнаруженной комиссией. Например:

"...DART team failed to fully use the resources of available subject matter experts..."
"...in several instances, the NASA DART insight team failed to identify issues that led to the mishap because of an inadequate assessment of project technical risk and insufficiently-defined areas of responsibility..."
"...insufficient technical communication between the project and an international vendor due to perceived restrictions in export control regulations did not allow for adequate insight..."

Как видите, всё бывает очень запущено задолго до наступления развязки.

[alex-avr2.livejournal.com]

>>А в том самом самолете - не работал всего один датчик скорости+высоты.

Это не обязательно так. В примере с котельной - к отказу привел точно также ОДИН датчик. Может быть в том самолете еще десяток датчиков не работало, но они не привели к катастрофе. А вот этот один - привел.

[fixik-papus.livejournal.com]

Это понятно. Уязвимое место - налицо.
На нормальных объектах в этом месте имеются 2 датчика: аналоговый, и аварийный - дискретный
Часто даже емкости дублируются.
Насосы задублированы были даже тут.

[emuzychenko.livejournal.com]

Недавно бошевская посудомойка выпуска 2011 года стала жаловаться на ошибки подачи воды - полез смотреть датчик расхода, а там тот самый геркончик и стоит. Правда, сам геркон был исправен - отложениями солей заело колесо, после прочистки все завелось.

[d-c-troy.livejournal.com]

Почет и уважение...
Но как же важно, когда есть кто то, кто может словами обсказать что он видит, а не просто говорит "не жужжит"... Сдается мне, что при нынешнем положении дел, это просто таки обязательное требование к выпускникам школ должно быть.

[ganza-ru.livejournal.com]

Очень интересный пост! Я далека от аэродинамики и механики, но почитать было очень интересно! Задумалась на человеческим фактором строителей этой техники

[oleg-letsinsky.livejournal.com]

> что б я еще когда продукцию АвтоВАЗ купил, ага. СЕДЬМУЮ ручку меняю.

Это вы еще с электрикой бээнве не сталкивались. Пролил в багажнике бабушкин компот или незамерзайку - меняй три дорогущие платы, которые германские гении разместили в багажнике. Загорелся "чек" - выключи мотор, подожди 15 минут, включи снова - может исчезнуть. Глюк программного обеспечения. И замки ломаются на морозе только так, кстати.

На дорестайлинговых мерсах w211 немцы додумались завязать тормоза полностью на SBC, который периодически выходит из строя, и если за ним не следить, и не читать, что там написано на экране - в какой-то момент вы остаетесь без тормозов вообще. Ну то есть чисто физическое усилие от ноги остается - но толку от этого где-то столько же, как от торможения ногой об асфальт. Удачи с торможением со 140 км/ч

Тойота тоже не торт. На 150х прадиках машина, завалившаяся на одну сторону - это как норма.

А он, вишь, ручки меняет :)

P.S. ой, я вообще хотел в верхний уровень запостить - извините, промахнулся, но стирать и переносить не буду, окей?

[primarh-14.livejournal.com]

Спасибо, очень интересно.

[iv-an-ru.livejournal.com]

> Но почему так не делают на самолетах?
Ещё как делают. Ещё б сделать два контакта в кресло --- если пилот валяет дурака, вырубить его электрошоком, и пусть автопилот порулит. Вот это был бы прогресс в безопасности.

[zavrenyatko.livejournal.com]

Что касается самолета, то радиолокатор и GPS альтернативными методами определения скорости служить не могут, так как дают информацию о скорости относительно неподвижных точек на земле, а устойчивость самолета зависит от скорости относительно потока воздуха, в котором самолет движется.

[fixik-papus.livejournal.com]

Да, Вы правы, я этого момента не знал

[ashi-solo.livejournal.com]

Эх. До боли знакомо и понятно. Порой размышляешь о простейшей защите, которая обходится в копейки - причем не важно на каких системах. Программно или физически, почти всегда можно защитить системы по косвенным признакам, либо по дополнительным данным. Но в погоне за копейками, частенько забывают о потерях на время аварии. Даже некритичной. О самолетах я вообще молчу... Хотя вспоминая эту серию, там и выучка экипажа была фактором. Мужики в Ижме посадили самолет по стакану с минералкой, но там все более-менее ясно было. А тут - отказ, непонятка и конец. Можно было разумнее как-то это все на самолете сделать.

[fixik-papus.livejournal.com]

"Но в погоне за копейками, частенько забывают о потерях на время аварии. Даже некритичной"
Где как. У нас вот не забывают.
Причина проста: да, реализация диагностики, обучение персонала, запасы запчастей на складе - стоят денег.
Но простой высокопроизводительного оборудования - стоит на порядок больше денег

Еще пример - "планер Гимли"

[ineedfor.livejournal.com]

Українською:
Дякую за пост! Прочитав з чималим задоволенням, наче сам поруч стояв.

Є над чим поміркувати, я системний адміністратор, не звик програмувати життєвоважливі системи, але можу лише поспівчувати тим программістам, що займаються подібними авіаційними системами.
Ви уявляєте, як їм після таких аварій спиться?

Я на шляху додому за кермом велосипеда слухаючи книжку і то обдумую можливі баги та фікси вже виявлених проблем. Навіть засинаю деінколи з розумінням, що там і тут треба переробити.

Та мені легше, бо максимум, чим загрожує непродуманість моїх проектів - втрата робочого часу працівників...


На русском языке:
Спасибо за пост! Прочитал с большим удовольствием, как если бы сам рядом стоял.

Есть над чем подумать, я системный администратор, не привык программировать жизненноважные системы, но могу только посочувствовать программистам, занимающимся подобными авиационными системами.
Вы представляете, как им после таких аварий спится?

Я по пути домой за рулем велосипеда слушая книгу и то обдумываю возможные баги и фиксы уже выявленных проблем. Даже засыпаю иногда с пониманием, что там и здесь надо переделать.

И мне легче, ведь максимум, чем грозит непродуманность моих проектов - потеря рабочего времени работников ...

[fixik-papus.livejournal.com]

"Вы представляете, как им после таких аварий спится?"
Еще как представляю.
Большие турбины и котлы тоже неплохо взрываются, если накосячить.
Как-то так
http://www.youtube.com/watch?v=nkq7KIILuh4

Ответственность наладчика - по нашим законам пожизненная.
Средство повышенной опасности, однако.

[Виталий (from livejournal.com)]

Самолет слишком сложный девайс. По этому системой обработки исключений работает человек.
На эшелоне сируйные течения бывают и 300 км/ч.
Т.е. теортетически для примера км/ч:
исправный ПВД - 900
GPS - 600
Сломаный ПВД - 300
Кому верить? :) Если пытаться вычилять по коственным показателям, это еще сильнее введет экипаж в заблуждение.
Авиа горизонтов у них кстати 3.
кто то из летчиков писал(осуждали именно эту катастрофу) - что ориентировался на положение РУДов в горизонтальном полете, и вообще это не страшный отказ.
А главное отличие. что котел в случае совсем ахтунга выключаеться, а самолет выключать нельзя :)) Как и маскимально выключать экипаж из контура управления - будет только хуже.

[semen-semenytsh.livejournal.com]

Навскидку могу сказать, что скорость, которую меряет трубка Пито относительно набегающего потока и радар относительно земли - это две разные скорости. В некоторых обстоятельствах могут отличаться довольно сильно. Скорее всего поэтому автоматически одну нельзя заменить другой, каждый раз нужно делать это очень хорошо подумав. А думать там в случае экстренной ситуации некогда, особенно если фундаментальные знания "замещены" рутиной.

[ioserg.livejournal.com]

один из украинских летчиков транспортной авиации писал в блоге, что летая в африке по контракту перегруз они определяли по изменению угла атаки на определенной скорости по отношению к показаниям вариометра(имелся достаточный опыт). Этот параметр по сути важнее скорости. угол атаки и высотомер, все что им было нужно.

[ex4pector.livejournal.com]

Замечательный пост.
Сам много раз замечал что зашиты от дурака или некоректных входных данных часто не делают.

Мне кажется вы это делаете потомучто сами все этапы делаете, и по пишите и датчики руками крутите и у вас есть понимание  как может врать датчик.

А мог ли программист узкого прибора знать как взять данные из соседних вроде как не связанных систем, которые программируют другие ( аля поломался датчик наружней Т, зайдем в яндекс погоду).

Читаю ваш блог с большим уважением, сам лично котелные не запускал, но делал автоматику попроще . Ваш блогчитается всегда на одном дыханье

[dribtnetal.livejournal.com]

Если честно, это должен знать не программист, а системный инженер, т.е. тот, кто пишет техзадание... И сам программист никогда не будет самостоятельно менять ТЗ, потому что ему кажется, что те же данные можно снять с другого прибора. Максисум, задаст вопрос. И программисты потом в этих ТЗ сами находят дырки и несоответствия... Причем, способность делать это приходит с опытом. Научить этому очень сложно...