Keandalan dan keamanan perangkat lunak kendali: anjing penjaga, keadaan aman, validasi masukan, parameter dan versi, perubahan terkendali, akses, dan pengaman perangkat keras

Sebuah laundry rumah sakit memakai dispenser kimia otomatis yang menerima sinyal dari mesin cuci dan menyalakan pompa dosis selama waktu tertentu. Suatu sore, tegangan listrik turun sesaat ketika kompresor besar di gedung sebelah menyala. Lampu ruangan hanya berkedip, tetapi papan kendali dispenser berhenti bekerja: layarnya membeku, tombol tidak bertanggapan, dan keluaran pompa deterjen tetap menyala. Ketika operator menyadarinya dua puluh menit kemudian, satu jeriken deterjen sudah terpompa ke satu mesin, cucian harus dibilas berulang kali, dan lantai di sekitar mesin licin oleh busa.

Penyelidikan menemukan empat hal. Anjing penjaga di mikrokontroler dimatikan selama pengembangan dan tidak pernah dinyalakan kembali. Papan tidak mempunyai pemantau tegangan rendah, sehingga mikrokontroler bekerja tidak menentu saat tegangan turun. Program tidak membatasi lama pompa menyala. Dan parameter dosis pompa itu sudah diubah tiga minggu sebelumnya tanpa catatan, sehingga awalnya tidak jelas apakah dosisnya memang salah setel. Tidak ada satu pun dari keempat hal itu yang tampak saat dispenser bekerja normal. Bab ini menjelaskan cara perangkat lunak kendali dibuat tahan terhadap kegagalan seperti ini, dan apa yang harus diperiksa teknisi.

Batas pembahasan

Bab ini membahas keandalan dan keamanan perangkat lunak kendali dari sisi teknisi servis: cara perangkat lunak gagal, reset saat menyala dan pemantau tegangan, anjing penjaga, keadaan aman, validasi masukan, parameter dan versi, perubahan terkendali, akses, dan hubungan dengan pengaman perangkat keras. Bab ini tidak mengajarkan menulis firmware, tidak membahas standar keselamatan fungsional secara rinci, dan tidak memberi wewenang mengubah program, firmware, atau parameter pengaman mesin tanpa izin pabrik dan pemilik mesin. Interlock perangkat keras dan masukan gagal aman ada di Bab 65 · Kelistrikan & Kendali; papan kendali di Bab 2; program kendali waktu nyata di Bab 4; komunikasi data di Bab 5; logika kontroler dispenser di Bab 3 · Dispensing Kimia; interlock mesin laundry di Bab 15 · Mekanikal & Mekatronika. Sumbernya adalah narasi Berpikir Komputasional, narasi Troubleshooting dan RCA, narasi Teknik Air dan Lingkungan, dan narasi Teknik Elektro dan Elektronika, ditambah pengetahuan umum yang ditandai di peta sumber. Angka teknis umum ditandai nilai literatur umum; angka contoh adalah angka latihan.

Cara perangkat lunak kendali gagal

Perangkat lunak tidak aus seperti bantalan, tetapi tetap dapat gagal. Penyebab yang paling sering di lapangan (nilai literatur umum):

1. Kesalahan program: keadaan yang tidak pernah dipikirkan pembuat program, seperti dua tombol ditekan bersamaan, sinyal datang di langkah yang tidak terduga, atau penghitung yang meluap seperti dibahas di Bab 3.
2. Gangguan listrik: tegangan turun sesaat, lonjakan dari motor atau kontaktor, dan pelepasan muatan statis dapat membuat mikrokontroler menjalankan instruksi acak atau berhenti.
3. Memori rusak: isi memori setelan dapat berubah karena gangguan, karena daya terputus saat menulis, atau karena umur memori.
4. Masukan yang tidak masuk akal: sensor putus, korsleting, atau terbaca di luar rentang, lalu program memakai angka itu seolah benar.
5. Perubahan yang tidak terkendali: parameter atau versi program diubah tanpa catatan dan tanpa uji.
6. Akses yang tidak dibatasi: orang yang tidak berwenang mengubah setelan, sengaja atau tidak.

Kegagalan perangkat lunak sering tampak acak dan sulit diulang, seperti gangguan berselang. Karena itu, pertahanannya dirancang berlapis: setiap lapis menangkap sebagian kegagalan yang lolos dari lapis lain.

Reset saat menyala dan pemantau tegangan

Narasi Berpikir Komputasional mengutip buku panduan elektronika bahwa reset saat menyala menempatkan mikrokontroler dalam keadaan reset ketika daya pertama kali diberikan. Reset ini memastikan program mulai dari awal dengan keadaan yang diketahui, tidak dari keadaan acak sisa tegangan yang naik perlahan.

Reset saat menyala tidak cukup untuk tegangan yang turun sesaat tanpa padam penuh. Di antara tegangan kerja normal dan nol, ada daerah ketika mikrokontroler masih menyala tetapi tidak bekerja benar. Pemantau tegangan rendah, yang tersedia di banyak mikrokontroler atau sebagai komponen terpisah, menahan mikrokontroler dalam reset selama tegangan di bawah ambang tertentu dan melepaskannya setelah tegangan kembali stabil (nilai literatur umum). Pada kasus pembuka, tanpa pemantau ini, mikrokontroler terjebak di daerah tidak menentu itu.

Teknisi yang memeriksa papan seperti dijelaskan di Bab 2 dapat melihat apakah ada komponen pemantau tegangan atau apakah fitur itu aktif menurut dokumen pabrik. Catu daya yang lemah, kapasitor yang menua, atau kabel catu yang panjang membuat tegangan turun lebih dalam saat beban menyala, sehingga masalah ini sering muncul setelah papan berumur beberapa tahun.

Anjing penjaga

Anjing penjaga adalah pewaktu di dalam mikrokontroler yang terus menghitung dan akan mereset mikrokontroler bila hitungannya habis. Program yang sehat mengisi ulang pewaktu itu secara teratur, biasanya sekali di setiap putaran loop utama yang dijelaskan di Bab 4. Bila program macet, terjebak di loop tak berujung, atau menunggu sesuatu yang tidak pernah datang, pengisian ulang berhenti, hitungan habis, dan mikrokontroler direset (nilai literatur umum).

Hal yang menentukan kegunaan anjing penjaga:

1. Selalu aktif di program yang dipasang: anjing penjaga sering dimatikan selama pengembangan supaya tidak mengganggu pencarian kesalahan, lalu terlupa dinyalakan, seperti pada kasus pembuka.
2. Diisi ulang di tempat yang benar: di loop utama, setelah pekerjaan penting selesai, tidak di dalam interupsi pewaktu yang tetap berjalan walaupun loop utama macet.
3. Waktu yang sesuai: cukup panjang untuk putaran loop terlama dalam keadaan normal, cukup pendek supaya kegagalan tertangkap sebelum bahaya membesar.
4. Keluaran yang aman selama reset: selama dan sesudah reset, keluaran harus dalam keadaan mati sampai program memutuskan lain.
5. Reset dicatat: program mencatat penyebab reset, sehingga reset oleh anjing penjaga dapat dibedakan dari reset karena daya menyala, dan penghitungnya dapat dibaca teknisi.

Reset oleh anjing penjaga yang berulang adalah gejala, tidak penyelesaian. Penyebab macetnya tetap harus dicari.

Keadaan aman dan perilaku saat galat

Keadaan aman adalah keadaan yang ditetapkan saat sesuatu tidak beres, yang membuat mesin dan orang di sekitarnya tidak dalam bahaya. Untuk dispenser kimia, keadaan aman biasanya semua pompa mati dan alarm menyala. Narasi Berpikir Komputasional mengutip manual servis mesin cuci ekstraktor agar pengguna memastikan sistem kimia mencegah pelepasan bahan kimia yang tidak disengaja.

Keadaan aman tidak selalu "semua mati". Pada pemanas, mati adalah aman; pada pompa pendingin, berhenti dapat berbahaya. Keadaan aman ditetapkan untuk setiap keluaran saat merancang, dan diuji. Beberapa aturan umum (nilai literatur umum):

1. Saat menyala atau setelah reset, semua keluaran mulai dalam keadaan aman dan langkah program tidak dilanjutkan tanpa pemeriksaan.
2. Saat galat terdeteksi, keluaran menuju keadaan aman, alarm dinyalakan, dan kode galat disimpan.
3. Batas waktu untuk setiap tindakan: pompa, katup, dan pemanas mempunyai batas waktu menyala terlama; bila terlewati, keluaran dimatikan dan galat dinyatakan.
4. Reset berulang dibatasi: bila mikrokontroler direset beberapa kali dalam waktu singkat, papan berhenti di keadaan aman dan menunggu teknisi, tidak terus mencoba.
5. Pemulihan disengaja: setelah galat, mesin hanya bekerja lagi setelah orang memeriksa dan menekan tombol pemulihan.

Narasi Berpikir Komputasional mengutip panduan mesin cuci industri agar program cuci tidak dihentikan bila hendak dilanjutkan setelah galat diperbaiki. Artinya, perilaku setelah galat dirancang di tingkat program mesin: sebagian galat memungkinkan program dilanjutkan, sebagian lain mengharuskan program dibatalkan. Teknisi mengikuti petunjuk manual untuk setiap kode galat.

Validasi masukan

Program tidak boleh mempercayai masukan begitu saja. Validasi masukan berarti setiap nilai diperiksa masuk akal sebelum dipakai (nilai literatur umum):

1. Rentang: sinyal 4 sampai 20 mA di bawah sekitar 3,6 mA atau di atas sekitar 21 mA menunjuk kabel putus atau korsleting, seperti dibahas untuk transmiter di Bab 60 · Kelistrikan & Kendali. Suhu air minus 40 °C di mesin cuci menunjuk sensor putus.
2. Laju perubahan: suhu air di tangki tidak mungkin naik 30 °C dalam satu detik; lonjakan seperti itu adalah gangguan atau sensor rusak.
3. Kecocokan antarsinyal: pintu terbaca tertutup tetapi sakelar kunci terbaca terbuka adalah keadaan yang mustahil dan dinyatakan galat.
4. Masukan dari komunikasi: nilai dari bus data diperiksa umurnya dan rentangnya, seperti dibahas di Bab 5.
5. Masukan dari orang: angka setelan dibatasi rentangnya, misalnya dosis tidak dapat disetel melebihi kemampuan pompa atau melebihi batas yang ditetapkan pemilik.

Masukan yang gagal validasi tidak diganti diam-diam dengan nilai lain. Program menyatakan galat, memilih perilaku aman, dan menyimpan kodenya, sehingga teknisi tahu sensor mana yang bermasalah.

Parameter, versi, dan cadangan

Narasi Teknik Elektro dan Elektronika mengutip buku pegangan teknik manufaktur bahwa penyiapan pengendali dibagi tiga: perangkat keras, perangkat lunak aplikasi, dan antarmuka pengguna, dan bahwa perangkat lunak aplikasi adalah perangkat lunak yang dimuat pembuatnya ke unit kendali. Di sisi teknisi, yang paling sering disentuh adalah parameter: dosis, waktu, suhu, batas, dan kalibrasi. Narasi Teknik Air dan Lingkungan mengutip manual pengendali unit osmosis balik bahwa menu kalibrasi dipakai untuk menyetel sensor, dan bahwa buku catatan sebaiknya disimpan untuk mencatat parameter operasi.

Praktik yang menjaga parameter (nilai literatur umum):

1. Jumlah pemeriksa: parameter disimpan bersama angka pemeriksa yang dihitung dari isinya; saat menyala, program menghitung ulang dan membandingkan. Bila tidak cocok, program memakai nilai bawaan yang aman dan menyalakan alarm.
2. Catatan parameter: setiap mesin mempunyai lembar parameter yang berlaku, dengan tanggal, alasan, dan nama yang mengubah, seperti lembar periksa dan catatan lapangan di Bab 9 · Data & Pengukuran.
3. Cadangan: parameter dan, bila diizinkan, program disalin sebelum setiap perubahan, sehingga dapat dikembalikan.
4. Versi program dicatat: nomor versi program yang terpasang dibaca dari layar atau menu servis dan dicatat di riwayat mesin. Peta register dan arti kode galat dapat berubah antarversi.

Perubahan terkendali

Perubahan parameter atau program adalah pekerjaan yang dapat mengubah perilaku mesin secara diam-diam. Urutan perubahan terkendali (nilai literatur umum):

1. Alasan dan izin: perubahan mempunyai alasan tertulis dan disetujui pemilik mesin; perubahan pada pengaman memerlukan persetujuan pabrik.
2. Cadangan dan catatan keadaan awal: parameter dan versi sebelum perubahan disimpan.
3. Satu perubahan pada satu waktu: supaya pengaruhnya dapat dikenali.
4. Uji: perilaku normal, perilaku saat galat, dan pengaman diuji setelah perubahan, tidak hanya fungsi yang diubah.
5. Jalan kembali: cara mengembalikan ke keadaan awal sudah disiapkan dan diketahui sebelum perubahan dimulai.
6. Catatan akhir: apa yang diubah, hasil uji, dan siapa yang mengerjakan.

Pembaruan firmware memerlukan kehati-hatian tambahan. Daya tidak boleh terputus selama pembaruan; firmware hanya diambil dari sumber resmi pabrik dan sesuai dengan jenis serta revisi papan; dan catatan perubahan pabrik dibaca untuk mengetahui apakah parameter atau perilaku pengaman berubah. Seperti FMEA di Bab 9 · Sistem, Diagram & Diagnosis, setiap perubahan dapat dinilai dengan pertanyaan "apa yang dapat salah dan bagaimana kita akan tahu".

Akses dan kata sandi

Narasi Teknik Air dan Lingkungan mengutip manual pengendali unit osmosis balik bahwa akses ke tingkat pengguna diperoleh dengan memasukkan kata sandi pengguna. Pembagian tingkat akses yang umum (nilai literatur umum):

1. Operator: memilih dan menjalankan program, melihat keadaan, dan mengakui alarm.
2. Teknisi: mengubah parameter kerja seperti dosis dan waktu, menjalankan uji keluaran, dan membaca riwayat galat.
3. Pabrik: mengubah parameter pengaman, batas, dan program.

Narasi Troubleshooting dan RCA mengutip buku panduan solusi rekayasa kelistrikan bahwa sebuah sistem hanya seaman pengguna yang mengoperasikannya, dan bahwa uji penembusan berkala terhadap produk yang relevan ditetapkan dalam rencana uji. Untuk teknisi, artinya praktis: kata sandi bawaan pabrik diganti saat pemasangan, kata sandi tidak ditempel di panel, akses jarak jauh lewat komunikasi data dibatasi, dan pergantian personel diikuti pergantian kata sandi. Kata sandi teknisi tidak diberikan ke operator untuk "mempermudah".

Pengaman perangkat keras tetap lapis pertama

Semua lapis di atas mengurangi kemungkinan kegagalan perangkat lunak, tetapi tidak menghapusnya. Karena itu, bahaya besar ditahan oleh pengaman yang tidak bergantung pada perangkat lunak, seperti dibahas di Bab 65 · Kelistrikan & Kendali: berhenti darurat yang memutus daya langsung, kunci pintu dengan sakelar pengaman, pembatas suhu mekanis, dan pelampung yang memutus pompa. Narasi Berpikir Komputasional mengutip manual servis mesin cuci ekstraktor bahwa sakelar pengaman getar adalah fitur keselamatan yang penting. Narasi Teknik Elektro dan Elektronika mengutip panduan instalasi listrik bahwa bila sakelar pelampung tidak berfungsi, sakelar pemilih dipakai sebagai cadangan.

Untuk dispenser pada kasus pembuka, lapis perangkat keras yang dapat ditambahkan termasuk relai yang hanya memberi daya ke pompa selama sinyal mesin aktif, pewaktu perangkat keras yang membatasi lama pompa menyala, dan sakelar level di wadah tangkap. Perangkat lunak yang baik dan pengaman perangkat keras saling melengkapi; tidak ada yang menggantikan yang lain.

Contoh kerja

Contoh 1: memilih waktu anjing penjaga. Loop utama sebuah papan biasanya selesai dalam 20 ms, dan terlama 45 ms saat menulis ke memori setelan. Waktu anjing penjaga 100 ms memberi cadangan lebih dari dua kali putaran terlama. Waktu 30 ms akan mereset papan setiap kali memori ditulis, dan waktu 5 s membiarkan pompa menyala terlalu lama saat program macet.

Contoh 2: banyaknya bahan kimia selama program macet. Pompa deterjen mengalir 400 mL/menit. Bila anjing penjaga 100 ms bekerja dan keluaran mati saat reset, bahan kimia yang lepas sekitar $400 \times 0{,}1/60 = 0{,}67$ mL. Tanpa anjing penjaga, selama 20 menit lepas $400 \times 20 = 8.000$ mL, yaitu delapan liter, kira-kira satu jeriken kecil.

Contoh 3: batas waktu pompa. Dosis 200 mL dengan pompa 400 mL/menit memerlukan $200/400 \times 60 = 30$ s. Batas waktu menyala terlama ditetapkan 1,5 kali, yaitu 45 s. Bila pompa masih menyala setelah 45 s, misalnya karena keluaran tersangkut atau perhitungan salah, program mematikan pompa dan menyatakan galat. Bahan kimia terlama yang lepas karena galat ini dibatasi sekitar 300 mL.

Contoh 4: validasi loop arus. Transmiter suhu 4 sampai 20 mA untuk 0 sampai 100 °C terbaca 2,1 mA. Nilai itu di bawah batas sekitar 3,6 mA, jadi program tidak menghitung suhu negatif, tetapi menyatakan galat sensor, mematikan pemanas, dan menyalakan alarm.

Contoh 5: laju perubahan. Suhu tangki terbaca 42 °C, lalu 74 °C satu detik kemudian, lalu 43 °C. Pemanas tangki itu paling cepat menaikkan suhu sekitar 1 °C per menit (angka latihan), sehingga lompatan 32 °C dalam satu detik dibuang sebagai gangguan. Bila lompatan seperti ini sering terjadi, sambungan sensor diperiksa.

Contoh 6: jumlah pemeriksa parameter. Tiga parameter dosis disimpan sebagai 12, 30, dan 45, dengan jumlah pemeriksa sederhana 87. Setelah gangguan, parameter ketiga terbaca 173 sehingga jumlahnya 215, tidak sama dengan 87. Program menolak parameter itu, memakai nilai bawaan aman, dan menampilkan galat memori setelan. Pemeriksaan siklik yang dipakai di perangkat nyata lebih kuat dari penjumlahan ini, seperti dijelaskan untuk pesan komunikasi di Bab 5.

Contoh 7: pemantau tegangan. Mikrokontroler dengan catu 5 V bekerja benar di atas 4,5 V (angka latihan). Pemantau tegangan disetel menahan reset di bawah 4,3 V. Saat tegangan turun ke 3,8 V selama 50 ms, papan masuk reset bersih, keluaran mati, lalu mulai dari awal setelah tegangan kembali, tidak terjebak dengan keluaran menyala.

Contoh 8: reset berulang. Penghitung reset anjing penjaga menunjukkan 14 reset dalam satu shift, sebagian besar saat mesin di sebelahnya mulai memeras. Pola ini menunjuk gangguan listrik dari motor mesin itu. Teknisi memeriksa pembumian, pemisahan kabel, dan peredam gangguan, tidak memperpanjang waktu anjing penjaga.

Contoh 9: perubahan dengan jalan kembali. Pemilik meminta dosis pelembut dinaikkan dari 60 mL menjadi 75 mL. Teknisi mencatat versi program 2.3 dan semua parameter, mengubah satu parameter, menjalankan satu siklus uji dengan gelas ukur, mendapat 74 mL, lalu menulis catatan perubahan. Seminggu kemudian, pemilik mengeluhkan bau; parameter dikembalikan ke 60 mL dari catatan dalam satu menit.

Kondisi berhenti

Hentikan pekerjaan dan minta keputusan penyelia, pemilik mesin, atau pabrik bila:

1. Pengaman, berhenti darurat, atau kunci pintu ternyata hanya bergantung pada perangkat lunak.
2. Perubahan parameter pengaman, batas, atau firmware diminta tanpa izin pabrik dan pemilik.
3. Tidak ada cadangan parameter atau program dan tidak ada jalan kembali sebelum perubahan.
4. Firmware yang tersedia bukan dari sumber resmi pabrik atau tidak sesuai revisi papan.
5. Mesin menjalankan keluaran yang tidak diminta, seperti pompa atau pemanas menyala sendiri, sebelum penyebabnya ditemukan.
6. Kata sandi tingkat pabrik diminta untuk "mempercepat" pekerjaan rutin.

Untuk kejadian seperti kasus pembuka, penyelidikan dilakukan seperti dibahas di Bab 12 · Keselamatan: urutan kejadian, penyebab, dan tindakan perbaikan dicatat, tidak hanya papan diganti.

Salah tafsir yang sering terjadi

1. "Perangkat lunak tidak rusak, jadi tidak perlu dijaga." Perangkat lunak tidak aus, tetapi gangguan listrik, memori rusak, dan keadaan yang tidak terduga membuatnya gagal.
2. "Anjing penjaga memperbaiki masalah." Anjing penjaga hanya membawa papan kembali ke awal; penyebab macetnya tetap harus dicari, dan reset berulang adalah gejala.
3. "Keadaan aman selalu berarti semua mati." Untuk sebagian keluaran, seperti pendingin atau ventilasi, berhenti dapat berbahaya. Keadaan aman ditetapkan per keluaran.
4. "Sensor yang terbaca pasti benar." Sensor putus atau korsleting memberi angka yang tampak sah bila tidak divalidasi.
5. "Mengubah satu parameter tidak perlu dicatat." Tanpa catatan, perubahan kecil tidak dapat dilacak saat masalah muncul berminggu-minggu kemudian, seperti pada kasus pembuka.
6. "Kata sandi bawaan cukup karena mesin ada di dalam gedung." Sistem hanya seaman penggunanya; kata sandi bawaan dikenal luas dan mudah ditebak.
7. "Perangkat lunak yang baik dapat menggantikan pengaman perangkat keras." Bahaya besar ditahan oleh pengaman yang tetap bekerja walaupun perangkat lunak gagal.

Hubungan dengan bab lain

Bab 65 · Kelistrikan & Kendali memberi interlock perangkat keras dan masukan gagal aman, Bab 2 papan kendali, Bab 4 loop utama dan pewaktu, Bab 5 komunikasi data, Bab 3 · Dispensing Kimia logika kontroler dispenser, Bab 15 · Mekanikal & Mekatronika interlock mesin laundry, Bab 3 luapan dan paritas, Bab 60 · Kelistrikan & Kendali loop 4 sampai 20 mA, Bab 9 · Data & Pengukuran catatan lapangan, Bab 9 · Sistem, Diagram & Diagnosis FMEA, dan Bab 12 · Keselamatan investigasi insiden. Bab ini menutup rak Komputasional.

Latihan dan pembahasan

1. Loop utama terlama 60 ms. Berapa waktu anjing penjaga yang masuk akal, dan mengapa tidak 10 s?
2. Pompa mengalir 300 mL/menit, dosis 150 mL. Berapa waktu normal dan batas waktu terlama dengan faktor 1,5?
3. Transmiter tekanan 4 sampai 20 mA terbaca 22,5 mA. Apa yang harus dilakukan program?
4. Empat parameter 20, 35, 50, dan 15 disimpan dengan jumlah pemeriksa 120. Setelah menyala, terbaca 20, 35, 50, dan 79. Apa tindakan program?
5. Mengapa berhenti darurat tidak boleh hanya berupa tombol yang dibaca perangkat lunak?
6. Susun langkah perubahan terkendali untuk menaikkan suhu pemanasan sebuah program cuci.

Kunci jawaban beralasan

1. Sekitar dua kali putaran terlama atau lebih, misalnya 150 ms, supaya putaran normal tidak memicu reset. Waktu 10 s terlalu panjang: selama papan macet, pompa atau pemanas dapat tetap menyala selama itu sebelum direset.
2. Waktu normal $150/300 \times 60 = 30$ s. Batas waktu terlama $1{,}5 \times 30 = 45$ s; setelah itu pompa dimatikan dan galat dinyatakan.
3. Nilai di atas sekitar 21 mA menunjuk korsleting atau galat transmiter. Program tidak memakai angka itu sebagai tekanan, tetapi menyatakan galat sensor, membawa keluaran terkait ke keadaan aman, dan menyalakan alarm.
4. Jumlahnya $20 + 35 + 50 + 79 = 184$, tidak sama dengan 120, jadi isi memori dianggap rusak. Program memakai nilai bawaan aman, menolak bekerja dengan parameter itu sampai teknisi memasukkan ulang dari catatan, dan menyimpan kode galat memori setelan.
5. Perangkat lunak dapat macet, salah, atau terputus dari keluarannya. Berhenti darurat harus memutus daya penggerak secara langsung lewat rangkaian perangkat keras, supaya tetap bekerja walaupun perangkat lunak gagal.
6. Tulis alasan dan minta izin pemilik; periksa batas pabrik untuk suhu itu dan bahan cucian; catat versi program dan semua parameter; ubah satu parameter suhu; jalankan satu siklus uji dan ukur suhu air; uji juga perilaku pengaman suhu; catat hasil dan simpan nilai lama sebagai jalan kembali.

Referensi