О чём
«Признак вместо функции» был про элементы, которые ставят ради вида. Этот — про обратное: про то, чего в конструкции нет, хотя стоило бы. Про возможность собрать неправильно, которую оставили в чертеже.
Язык проще, чем там, потому что материал бытовой. Половина случаев — из кухни и прихожей, а не из щита. Это не снижает уровень: механизм один и тот же, а на холодильнике он виден без допуска к объекту.
1. Откуда взялся Мёрфи
История известная, но её обычно рассказывают неправильно.
1949 год, авиабаза Эдвардс, испытания на перегрузки. Датчики подключили с перепутанной полярностью, и заезд дал нулевые показания. Привёз их Эдвард Мёрфи, инженер с базы Райт-Филд. Кто что сказал в тот день, версии расходятся, но в инженерной традиции из случая вырос не вывод про кривые руки, а вывод про конструкцию: если деталь можно поставить двумя способами, кто-нибудь однажды поставит вторым.
Это не пессимизм и не ворчание. Это требование к чертежу. Прямой потомок этой мысли — несимметричные разъёмы, ключи в посадочных местах, вся японская poka-yoke (яп. «защита от ошибки»). Мёрфи требует не смирения перед хаосом, а того, чтобы неправильная сборка была физически невозможна.
Дальше по тексту «правило Мёрфи» используется в этом смысле, а не в смысле «бутерброд падает маслом вниз».
2. Протон, 2013
2 июля 2013, Байконур. «Протон-М», три спутника «ГЛОНАСС-М». Ракета уводится сразу после отрыва, кувыркается и падает рядом со стартом примерно через тридцать секунд.
Причина: три датчика угловых скоростей по каналу рыскания установлены развёрнутыми на 180°. Система управления получала знак ошибки наоборот и отрабатывала отклонение туда же, куда оно шло. Отрицательная обратная связь стала положительной.
Что здесь важно и что обычно упускают.
Ни один элемент не был плохим. Датчики исправны, ракета исправна, электроника исправна. Отказала ориентация детали при сборке.
Защита от неправильной установки была, но её можно было преодолеть. Штифты, задающие положение, нашли смятыми — их забили силой. Защита, которую снимает обычный молоток, защитой не является.
Резервирование не помогло. Датчиков было три, и все три поставили одинаково неправильно. Троирование спасает от отказа одного элемента и не спасает от общей причины — от того, что все три собирал один человек по одному неверному представлению.
Долгое хранение и несколько приёмок не поймали. Датчики поставили на заводе задолго до старта. Ракета стояла на хранении, прошла приёмку, вывоз, предстартовые проверки. Ни одна процедура не проверяла ориентацию уже установленного датчика — ни по метке, ни функционально, прокруткой платформы с контролем знака. Проверка занимает пять минут.
Подпись в документации стояла. Значит, контроль был формальным.
Вопрос «кто допустил такого человека до сборки» на этом материале не работает. Человек всегда конечен по качеству, устаёт, увольняется и приходит новый. Правильный вопрос: почему один человек мог угробить изделие незаметно для всех проверок.
3. Хуже, чем отсутствие защиты
Отдельный класс, который встречается на объектах чаще, чем полное отсутствие ключа.
В штатное положение деталь идёт туго, а в неправильное залетает без усилия.
Это хуже, чем симметричная деталь без всякой защиты. При симметрии шанс 50/50 и никаких подсказок, монтажник хотя бы задумается. А тут геометрия активно врёт: сборщик действует по нормальному правилу «идёт легко — значит правильно», и правило его подводит.
Откуда берётся:
- Допуски. Правильная посадка спроектирована впритык или с натягом, а развёрнутое положение случайно совпало с более свободным сочетанием размеров.
- Ключ или паз симметричен относительно другой оси.
- В развёрнутом виде деталь не упирается в соседний элемент, потому что соседство при проектировании не проверяли.
Корень у всех трёх один. Проверяют, собирается ли изделие правильно. Не проверяют, не собирается ли оно неправильно. Это разные проверки, и вторую делают редко.
Отсюда практическое правило: если деталь села без усилия там, где по документации предполагается усилие, надо остановиться, а не радоваться.
И приёмочное: принимая чужую конструкцию, один раз попробуй собрать её неправильно. Узнаешь про изделие больше, чем из паспорта.
4. Разъёмы автоматики
Систематическая зона. Одна серия разъёмов идёт на десятки цепей с разным назначением, различаются только кодировкой или числом контактов. Ошибиться нечем, кроме внимания, а внимание — расходуемый ресурс.
Типовое:
Одинаковые пружинные клеммники на разных сигналах. RS485 и сухой контакт в одном ряду, шаг тот же, съёмная часть заходит в соседнее гнездо. Разъём сел, защёлкнулся, всё выглядит правильно.
Кодировочные ключи, которые предусмотрены проектом и не ставятся на объекте никогда, потому что это отдельная операция после монтажа.
Симметричные разъёмы связи, где перепутанные A и B на одном узле из многих дают не отказ всей линии, а неустойчивую работу. Линия иногда поднимается, иногда нет. Это хуже полного отказа: диагностируется долго и обычно не там, где сломано.
IN и OUT, физически идентичные. В батарейных стеках перепутанные порты дают частичное обнаружение модулей вместо явной ошибки монтажа.
Что реально работает на объекте: маркировка обоих концов до укладки и функциональная проверка каждой цепи отдельно, а не по факту «система запустилась». Кодировочные ключи хороши только тогда, когда их ставит завод.
5. Случай с клеммником
Промышленный тепловой насос, клеммник примерно на 24 модуля. Наклейка с обозначениями наклеена со смещением на полмодуля.
Смотрю в лоб — всё выглядит нормально, клеммы заняты по маркировке. Взгляд чуть сбоку — питание 220 не вяжется с отходящими проводами. Оказалось, вся коммутация сдвинута на один модуль. Переделал по бумажной инструкции. Если бы включили — новая плата за 400–500 евро.
Разбор.
Ошибка не монтажная. Наклейку нанесли со смещением на заводе или при сборке шкафа, и дальше монтаж выполнен добросовестно, строго по тому, что было видно. Человек сделал всё правильно относительно доступной ему информации. Вопрос «кто допустил такого монтажника» опять бессмыслен.
Поймало несогласие двух источников. Наклейка говорила одно, отходящие провода другое. Большинство останавливается на первом источнике, потому что он читаемый и быстрый.
Помогла смена ракурса. С фронта сдвиг на модуль не виден вообще. Приёмка по документам не ловит такое именно потому, что смотрят по той же оси и на ту же наклейку.
Повезло с тем, какая цепь попала под сдвиг. 220 — единственная цепь в таком клеммнике с внешним признаком, читаемым без прозвонки: сечение жилы, цвет, тип кабеля. Слаботочка однотипна, и сдвиг внутри неё не обнаруживается взглядом никак.
Отсюда неприятное следствие. Дорогой вариант — сгоревшая плата за 500 евро — не худший. Худший: сдвинулась только слаботочка, питание на месте. Насос запускается, часть датчиков читает чужие каналы, поведение становится странным, а не отказным. Диагностика уходит на дни, виноватым назначают управление.
Правила отсюда:
Маркировка на клеммнике — гипотеза, а не источник истины. Истина — схема из инструкции плюс прозвонка.
Если смещение найдено в одном месте, презумпция — что смещено всё, а не только там, где заметно.
Силовые цепи можно проверять по внешнему виду, слаботочные — только прозвонкой попарно от устройства к клемме.
Фотографировать исходное состояние до разборки. Если сдвиг окажется заводским и намеренным — при ревизии платы бывает перенумерация, — фото единственное доказательство, что это не ты сам сделал.
6. Кухня
Дальше — случаи из быта. Механизм там тот же, а видно его лучше, потому что никакой квалификации для наблюдения не требуется.
Часы без батарейки
Встраиваемая духовка премиального бренда, две-три тысячи долларов. Электронные часы. Батарейки резервного питания нет — при пропадании сети время сбивается. Цена вопроса доллар.
Объяснение «пожалели доллар» неверно. Батарейка тянет за собой держатель, посадочное место, строку в спецификации, изменение схемы питания часов и — главное — заменяемый расходник внутри встроенной техники. Расходник требует доступа и инструкции по замене, а с 2027 года в Евросоюзе — ещё и возможности снять батарею пользователю без спецоборудования. Во встраиваемую духовку, притянутую к нише винтами, это вписывается плохо.
Второе: литиевая ячейка в приборе со сроком службы пятнадцать лет сядет через семь-десять. Дальше пойдут обращения «часы сбиваются», и для дорогого бренда это репутационно хуже, чем сбой после отключения света. Во втором случае виновата сеть, в первом изделие.
Решение существует и стоит те же деньги — суперконденсатор на часы. Держит от нескольких часов до пары суток, не расходник, под нормы не подпадает. То, что его не поставили, — прямая экономия, и она того не стоила.
Про маркетинг, раз мысль возникает сразу. Продавать «у нас есть батарейка» нельзя: формулировка признаёт наличие расходника, а в премиуме расходник читается как недостаток. Продаётся результат — «часы не сбиваются при отключении питания». Конкурент не повторит без переделки платы.
Косвенное подтверждение, что рынок этого не просит: функция стоит доллар, существует пятьдесят лет, и ни один премиум-бренд не выносит её на упаковку. В критерии выбора она не попадает — покупают по дизайну, объёму и бренду. Раздражает уже после покупки, когда обратной связи нет.
Что можно сделать на объекте: держать линию питания встраиваемой техники на отдельном автомате от кухонной розеточной группы. Тогда ремонт розеток или отключение варочной часы не сбивает. От общего пропадания сети не спасёт ничего, кроме резервного питания на кухню.
Трёхлитровая банка
Стандартная советская тара под консервацию. Горловина 82 мм, одна крышка на всю линейку от полулитра до трёх литров — правильно сделанный стандарт: одно посадочное место, ошибиться нечем, крышка от любой банки подходит к любой.
В современный холодильник она не встаёт. По номинальному шагу полок должна проходить, а на практике просвет съедают направляющие, задняя стенка и ограничители. Переставить полку обычно нельзя без потери: подняв одну, добьёшь соседнюю зону.
Причина простая: холодильники проектируют под текущую розничную тару — пакет молока, полторашка лёжа, контейнеры. Банка из этого набора выпала лет тридцать назад, и внутренняя геометрия под неё больше не считается.
Один раз за много лет была реклама холодильника, где отдельно указали: трёхлитровые банки встают свободно. Это стоило нуль в себестоимости — другая разметка направляющих. Но требовало, чтобы кто-то в разработке узнал, что проблема существует.
Кнопка поиска пульта
Её на телевизорах почти нет, хотя мысль приходит в голову каждому, кто искал пульт в диване.
Делали. У части телевизоров поиск пульта идёт через приложение, у приставок Roku Ultra кнопка поиска стоит прямо на корпусе. Функция называется remote finder (англ. «искатель пульта») и в отрасли известна.
Почему не стала стандартом — причины технические, не жадность:
- ИК-пульт физически не может принять сигнал: связь односторонняя, телевизор пульту ничего не передаёт. Функция возможна только на Bluetooth и радио, а они пошли массово недавно.
- Пульту нужен зуммер и постоянно слушающий приёмник. Это разряжает батарейки в покое, а пульт на двух AAA рассчитан на год-полтора. Претензия «пульт садится за три месяца» для производителя дороже, чем «пульт потерялся».
- Пульт теряется в диване, откуда писк слышно плохо. А тестируется функция в лаборатории на столе.
Отрасль выбрала другое решение — продублировать пульт приложением на телефоне. Телефон теряют реже, и это ничего не стоит производителю.
Но там, где пульт уже на Bluetooth и с аккумулятором, отсутствие функции ничем не оправдано.
Морозилка снизу
Пример правильного решения, для контраста.
Холодильной камерой пользуются в разы чаще морозильной. Что сверху — на уровне глаз и рук, что снизу — требует наклона. Морозилка внизу переносит наклоны на редкие операции. Плюс холодный воздух тяжелее, и нижнее расположение термически естественнее.
Здесь конструкцию подогнали под частоту обращения, а не под симметрию корпуса. Это то же самое проектное действие, что несимметричный разъём, только с другой стороны: не «сделать ошибку невозможной», а «сделать частую операцию дешёвой».
7. Что общего
Все случаи выше — про несовпадение того, кто проектирует, с тем, кто пользуется.
Разработчик датчика не собирает ракету. Тот, кто клеил наклейку, не подключает насос. Конструктор духовки не живёт в доме с отключениями. Конструктор холодильника не консервирует. И проверить эти решения в лаборатории нельзя — они ломаются только там, где сценарий отличается от предполагаемого.
Отсюда три правила, которые вытаскиваются из всего материала.
Проверять на несобираемость, а не на собираемость. Убедиться, что изделие собирается правильно, — половина проверки. Вторая половина: перебрать неправильные варианты и убедиться, что они не проходят. Если проходят — либо ставить ключ, либо признать, что ошибка будет.
Считать не только вероятность ошибки, но и её заметность. Ошибка, которая даёт немедленный явный отказ, дешевле ошибки, которая даёт странное поведение. Дорогая сгоревшая плата лучше дешёвого тихого сдвига по слаботочке. Проектируя защиту, стоит смотреть, куда система свалится при ошибке — в отказ или в неопределённость.
Спрашивать, кто это откроет следующим. Все перечисленные решения выглядят нормально с точки зрения того, кто принимает их сейчас. Они ломаются на человеке, который придёт через пять лет — или через много месяцев, как на «Протоне».
Есть и обратный класс: защита от ошибки, которая сама создаёт отказ. Аварийная кнопка-грибок обязана самоблокироваться — остановленная машина не должна запуститься сама, это требование нормы, и оно правильное. Но грибок, задетый коленом в неочевидном месте, кладёт линию в глухой стоп. Если на линии двенадцать кнопок в одной последовательной цепи и не видно, какая из них нажата, поиск занимает дольше, чем готовы терпеть. Дальше блокировку выламывают или ставят перемычку мимо реле безопасности — и защиты нет вообще.
Свой случай, лет пятнадцать назад. Новый генератор на 30 кВт, запуск — ноль. Два часа искали причину и едва не разобрали агрегат. Кнопку аварийного останова увидели случайно: она была нажата, и по виду это никак не опознавалось. Отжали — завёлся. С тех пор это первая проверка на любом объекте. Хватило одного раза, но цена — два часа и почти разобранная исправная машина.
Лечится это не отменой защиты, а удешевлением её срабатывания: защитный воротник на грибке от случайного нажатия и индикация, какая именно кнопка в цепи сработала. Тот же класс — кодировочные ключи, из-за которых разъём не встаёт при аварийной замене.
Открытые вопросы
Есть ли способ построить приёмку так, чтобы она проверяла ориентацию и соответствие, а не наличие? Формально контроль по чертежу это делать обязан. На практике подпись стоит, а проверки нет — на «Протоне» и на клеммнике одинаково.
Где проходит граница между «ошибка возможна» и «ошибка вероятна»? Симметричная деталь без ключа и деталь, которая в неправильном положении садится легче, — разные степени, а нормативно это одно и то же.
Каталог случаев пополняется по мере встречи на объектах. Критерий разбора: назвать ошибку, которую конструкция допускает, и назвать, чем она её должна была не допустить.