РИ-01. Дрейф модели и отсутствие непрерывной валидации

Содержание

[факт] Разрыв зафиксирован двумя независимыми источниками верхнего уровня, а не выведен сборщиком.

NASEM 2024 (National Academies, США) формулирует прямо: двойники требуют, чтобы VVUQ (verification, validation, uncertainty quantification) была непрерывным процессом, адаптирующимся к изменениям физического контрагента, виртуальных моделей, данных и самой задачи решения (Conclusion 2-2); методы обеспечения непрерывной VVUQ и мониторинга «необходимы для установления доверия» (Conclusion 2-4) — то есть их нет; при растущем использовании ИИ и эмпирического моделирования «отсутствуют стандарты отчётности по VVUQ» (Conclusion 2-3). Рекомендация 2 требует от федеральных агентств делать VVUQ неотъемлемой частью новых программ.

[факт] Обзор VVUQ двойников в прецизионной медицине (npj Digital Medicine, 2025) — самая проработанная регуляторная область поля — даёт формулировку, которую стоит брать дословно: «поскольку двойники обновляются, отражая изменения "стареющего" физического контрагента, ранее валидированная версия двойника не гарантирует валидности — например, безопасности и эффективности — своих последующих обновлений». Вопрос «как часто двойник следует ре-валидировать» назван открытым и без ответа в литературе.

[гипотеза, различение сборщика Р-3] В разговоре сливают в один три разных дрейфа, требующих трёх разных регламентов:

Самый опасный — семантический: он не сигнализирует о себе ошибкой предсказания сразу.

[факт, рецензируемое] Для организационного двойника дрейф имеет другую природу: эндогенные процессы меняют структуру модели, а не только состояния переменных, и это уникально для DTO — у двойника вещи чертёж меняют извне (Lyytinen, Weber, Becker & Pentland, 2024). [гипотеза] Следствие: детекторы дрейфа, работающие с распределениями, для DTO недостаточны по типу; стандартного детектора структурного дрейфа в обзорах не найдено.

[гипотеза] Тот же дефект признан самим process mining: concept drift стоит открытым вызовом C4 в Process Mining Manifesto (2011) — то есть синхронный двойник дрейфующего процесса устаревает по структуре, а не только по значениям, и это утверждение дисциплины о себе, а не критика извне.

Статус утверждения: ядро — [факт] (Conclusions NASEM и npj 2025 читаны как формулировки источников); перенос на управленческий контур и трёхчастное различение дрейфов — [гипотеза].

Данные

Где реализовался (ребро РИ → КС)

Не найдено в сырье. Область поиска — заходы Р-3 и Р-5: рецензируемых работ об эксплуатационном обнаружении дрейфа двойника на реальном производстве не обнаружено (Р-5, «Не подтвердилось», п. 8); тема живёт почти исключительно в вендорских материалах. Это не утверждение, что таких случаев нет в мире, — это констатация ненаходки в сырье волн 1–2.

Ближайшие задокументированные конфигурации, в которых риск виден косвенно: - КС-09 Yokogawa JSR — обратный пример: дрейф купирован процедурой допуска (валидация на исторических и реальных данных перед включением в контур, сохранение независимых защит), 35 суток автономной работы, 2022. - Прото-случай ЧАЭС-1986 — расхождение модели и объекта по латентности (10–15 мин на цикл расчёта ОЗР), см. РИ-04 Авария модели. Узла КС для него в составе первой волны нет — ребро РИ → КС для класса «авария модели» ведёт в пустоту (см. «Открытые хвосты»).

Чем купируется

1. СТ-08 ASME V&V 40 (V&V 40-2018, медизделия; разработан совместно производителями, разработчиками ПО и FDA) — принцип «доверие соразмерно риску решения»: не «модель верна», а «модель достаточно верна для этого решения». Операциональная пара — дословно у FDA (Шаг 3, сверено В-1 §5, 2026-08-26): риск модели есть «a combination of two factors, model influence and decision consequence», то есть model influence (вклад модели в решение относительно других свидетельств) × decision consequence (тяжесть неблагоприятного исхода); «the level of credibility of a model should be commensurate to the risk associated with using the model». Объём валидации пропорционален риску. [факт о существовании рамки; гипотеза о переносимости на DT-домены]. ⚠ Текст самого V&V 40 платный и не открывался; принцип подтверждён каталогом ASME («Risk-Based Framework») и прочитанным целиком руководством FDA (42 стр.).
2. СТ-09 NASA-STD-7009 — действующая ред. B (05.03.2024): 11 факторов доверия в двух оценках (5 M&S Capability + 6 M&S Results), из них не менее шести организационных (провенанс данных для разработки и для входа, технические ревью разработки и применения, управление процессом/продуктом на обоих этапах), — то есть доверие к модели считается свойством организации, а не только математики. ⚠ Прежняя запись («восемь факторов, включая историю использования и людей») описывала отменённую baseline 2008: фактора «Люди» нет с ред. A (2016), а «Use History» как самостоятельный фактор исчез в ред. B (вопрос поглощён «M&S Use Assessment»). Исправлено 2026-08-26, В-1 §4.
3. СТ-06 НП-003-97 — регулятор задаёт метрологию модели: допуски по классам параметров, требование реального времени, устойчивость за 60 мин, обязательная верификация против энергоблока-прототипа с выпуском отчёта. Готовый образец приёмочного контракта модели, написанный за два десятилетия до термина «цифровой двойник».
4. Регламентный вопрос вместо софтверного: правильный вопрос не «валидирован ли двойник», а «когда валидирован, по каким режимам и каков регламент ре-валидации» — [гипотеза].

Ограничение купирования [факт]: весь перечисленный аппарат зрел для статичных моделей; на непрерывно обновляемый объект он не переносится — это и есть содержание Conclusion 2-4 NASEM.

Связан с

• КС-09 Yokogawa JSR — единственный найденный случай, где процедура допуска модели к рычагу закрывала дрейф явно.
• РИ-04 Авария модели — реализовавшийся исход нераспознанного расхождения.
• РИ-07 Ложная уверенность в модели — дрейф опасен не сам по себе, а через доверие к устаревшей модели.
• РИ-08 Интероперабельность — семантический дрейф и семантическая несовместимость — один слой проблемы.
• ТЕ-08 Академическая критика DTO против рынка (Lyytinen et al. 2024) — теоретическое основание: в DTO дрейфует структура, а не состояние.
• ТЕ-04 Process mining как теория — concept drift как объявленный открытый вызов C4.
• СТ-08 ASME V&V 40, СТ-09 NASA-STD-7009, СТ-06 НП-003-97 — купирование.
• ПН-07 VVUQ, ПН-02 Синхронизация как критерий — понятийная опора.
• ТХ-07 Синхронизация ассимиляция данных и дрейф — технологический слой того же предмета.
• ИС-01 NASEM 2024 — несущий источник.
• ОВ-02 Непрерывная VVUQ — открытый вопрос, порождённый этим узлом.
• ГП-06 Доверие — свойство организации — гипотеза объясняет этот дефицит как дефицит переноса готовой конструкции, а не изобретения.

Источники

• NASEM. Foundational Research Gaps and Future Directions for Digital Twins, 2024, гл. 2 — Conclusions 2-1…2-5, Recommendation 2 · https://www.nationalacademies.org/read/26894/chapter/4 · обращение 2026-08-23 · [независимый отчёт].
• Sel K., Hawkins-Daarud A., Chaudhuri A., Osman D., Bahai A., Paydarfar D., Willcox K., Chung C., Jafari R. «Survey and perspective on VVUQ of digital twins for precision medicine», npj Digital Medicine 8:40, 2025, DOI 10.1038/s41746-025-01447-y · https://pmc.ncbi.nlm.nih.gov/articles/PMC11742391/ · обращение 2026-08-23 · [рецензируемое].
• «Understanding Semantic Drift in Model Driven Digital Twins», ACM/IEEE MODELS 2024 · https://dl.acm.org/doi/10.1145/3652620.3688256 · обращение 2026-08-23 · [рецензируемое].
• «Semantic drift evaluation in language and data-specific digital twin frameworks», FGCS, 2025 · https://www.sciencedirect.com/science/article/pii/S0167739X25005345 · обращение 2026-08-23 · [рецензируемое].
• Lyytinen K., Weber B., Becker M.C., Pentland B.T. «Digital twins of organization: implications for organization design», Journal of Organization Design 13:77–93, 2024, DOI 10.1007/s41469-023-00151-z · обращение 2026-08-23 · [рецензируемое].
• Process Mining Manifesto, IEEE Task Force on Process Mining, 2011 — вызов C4 concept drift · https://www.tf-pm.org/upload/1580737614108.pdf · обращение 2026-08-23 · [рецензируемое].
• ASME. Verification, Validation and Uncertainty Quantification — семейство V&V 10/20/40, VVUQ 1-2022; в каталоге стандарт назван «V&V 40—2018 … Risk-Based Framework» · https://www.asme.org/codes-standards/publications-information/verification-validation-uncertainty · обращение 2026-08-26 · [независимый отчёт].
• FDA. «Assessing the Credibility of Computational Modeling and Simulation in Medical Device Submissions», issued 17.11.2023, 42 стр. — прочитано целиком (В-1 §5): пара model influence × decision consequence, определение model risk, «commensurate with the risk». ⚠⚠ Ссылка протухла: живой https://www.fda.gov/media/154985/download на 2026-08-26 — HTTP 404; рабочий адрес — https://web.archive.org/web/20260513124224/https://www.fda.gov/media/154985/download · обращение 2026-08-26 · [независимый отчёт — регулятор, первичный текст].
• NASA-STD-7009 «Standard for Models and Simulations» — действующая редакция B, утв. 05.03.2024, ACTIVE (уточнено 2026-08-26, В-1 §4) · https://standards.nasa.gov/standard/NASA/NASA-STD-7009 · обращение 2026-08-26 · [независимый отчёт].
• НП-003-97 (ПНАЭ Г-5-40-97), утв. Постановлением Госатомнадзора России от 15.04.1997 № 3, введ. 01.10.1997 · https://docs.secnrs.ru/documents/nps/НП-003-97/pnae054097r_T55.html · обращение по сырью Д-2 · [первичный документ].
• KBC (Yokogawa). «Digital Twins in Refining — The Hidden Cost of Model Drift» · https://www.kbc.global/resources/blog/digital-twins-in-refining-the-hidden-cost-of-model-drift/ · обращение 2026-08-23 · [вендор].

Открытые хвосты

• Задокументированного и независимо измеренного случая дрейфа двойника на производстве в сырье нет — ребро РИ-01 → КС пустое. Нужен целевой поиск (Р-6/дозаход).
• Детектор структурного дрейфа для DTO: в обзорах Р-3/Р-4 не найден; существует ли класс методов — не проверено.
• ✅ Действующий статус НП-003-97 установлен (В-3 §6.1, 2026-08-26): ДЕЙСТВУЕТ, позиция 4 «Перечня действующих федеральных норм и правил» ФБУ «НТЦ ЯРБ», без единой правки с 1997 г. (перечень актуализирован минимум по осень 2025 — у соседних позиций изменения указаны явно). Ссылаться на документ как на живую норму правомерно.
• Заявление KBC о ручной рекалибровке на НПЗ — единственный вендорский источник, независимого подтверждения нет; держать как гипотезу о типовой практике.

Правка по верификации первоисточников 2026-08-26 (В-1, смежно В-3). (1) Заменена протухшая ссылка FDA (404 → снимок Wayback 2026-05-13) и добавлен сам источник отдельной позицией: полный текст руководства прочитан. (2) Внесена операциональная пара риска дословно — model influence × decision consequence — в пункт купирования 1; там же зафиксировано, что текст самого V&V 40 платный и не открывался. (3) Уточнена действующая редакция NASA-STD-7009 — B (05.03.2024). (4) Закрыт хвост о статусе НП-003-97: действует (перечень ФНП НТЦ ЯРБ, поз. 4). Формулировки NASEM (Conclusions 2-2/2-3/2-4 и Rec. 2), на которых стоит узел, верификатором сверены дословно и подтверждены — правки не потребовали; при дословном цитировании 2-2 держать англ. continual.

Проверен на дату: 2026-08-26