時間觸發(fā)以太網(wǎng)時鐘同步的容錯方法分析

蘭 杰，熊華鋼，李 峭

（1.北京航空航天大學(xué) 中法工程師學(xué)院，北京100191；2.北京航空航天大學(xué) 電子信息工程學(xué)院，北京100191）

0 引 言

先進(jìn)的航空電子系統(tǒng)采用綜合化體系結(jié)構(gòu)［1］，例如：大型飛機(jī)空客A380 和波音787 采用綜合模塊化航空電子（IMA）系統(tǒng)和AFDX［2］骨干互連，其核心綜合處理模塊在機(jī)架上集中安裝。然而，雖然AFDX 網(wǎng)絡(luò)采用了速率約束（rate constraint，RC）機(jī)制，但其端到端時延抖動可達(dá)百微秒量級，意味著綜合化系統(tǒng)的時間完整性仍會受到不確定的通信傳輸?shù)挠绊憽?/p>

高完整性時間觸發(fā)通信互連技術(shù)，具有精確的分布式時鐘同步能力，并能進(jìn)一步使異構(gòu)的航空電子模塊或主機(jī)之間實(shí)現(xiàn)同步并行處理，形成分布綜合模塊化航空電子（DIMA）體系結(jié)構(gòu)，支持時間隔離和分區(qū)隔離相結(jié)合的分布式綜合設(shè)計(jì)，具有嚴(yán)格時間確定、容錯和可重構(gòu)特性。

時間觸發(fā)以太網(wǎng) （time－triggered Ethernet，TTE）［3］是時間觸發(fā)體系結(jié)構(gòu)［4］在交換式互連實(shí)時通信領(lǐng)域的協(xié)議實(shí)現(xiàn)，不同于共享介質(zhì)的TTP網(wǎng)絡(luò)［5］，它不能依靠監(jiān)聽總線進(jìn)行同步，而是通過傳遞和處理專門的協(xié)議控制幀 （protocol control frame，PCF）實(shí)現(xiàn)，并在同步協(xié)議中設(shè)計(jì)了容錯機(jī)制。

TTE已經(jīng)在NASA 的載人飛船項(xiàng)目中獲得實(shí)用［6］。另一方面，TTE 網(wǎng)絡(luò)可以在同一物理網(wǎng)絡(luò)上支持時間觸發(fā)（TT）同步通信和異步通信流量，其中異步通信包含事件觸發(fā)的速率約束 （RC）流量和 “盡力傳” （best effort，BE）流量［7］。這樣，TTE網(wǎng)絡(luò)有望作為AFDX 的子集，在保證既有RC流量的基礎(chǔ)上，擴(kuò)展添加高完整性的TT 通信服務(wù)。

本文首先介紹TTE網(wǎng)絡(luò)時鐘同步算法與容錯機(jī)制，分析其容錯能力和實(shí)現(xiàn)效果，隨后通過仿真實(shí)驗(yàn)的方法證實(shí)同步算法對抗單失效假設(shè)的有效性。

1 TTE網(wǎng)絡(luò)時鐘同步算法

根據(jù)同步的參照對象的不同，時鐘同步算法分為外部同步算法和內(nèi)部同步算法，前者使各個節(jié)點(diǎn)同步到一個外部的參考時鐘；后者使各個節(jié)點(diǎn)彼此相互同步，即讓各個節(jié)點(diǎn)之間的偏差值最小化。根據(jù)分布式同步結(jié)構(gòu)的不同，可以分為對稱式算法和非對稱式算法。前者各個節(jié)點(diǎn)并不具有特殊性，它們平等地向相鄰或者所有節(jié)點(diǎn)發(fā)送同步信息并根據(jù)遠(yuǎn)程節(jié)點(diǎn)的時間信息修正自己的時鐘；后者也叫“主從式”算法，往往具有分層的等級結(jié)構(gòu)。TTE 網(wǎng)絡(luò)的同步采用內(nèi)部同步算法，但其結(jié)構(gòu)既非傳統(tǒng)意義的對稱算法——節(jié)點(diǎn)充當(dāng)不同的主控器和客戶端角色，也不是單個節(jié)點(diǎn)之間的主從同步——時鐘的修正是完全分布進(jìn)行的，但同步集群之間可以有優(yōu)先級層次結(jié)構(gòu)。在這種較為復(fù)雜的同步方法的基礎(chǔ)上，TTE 網(wǎng)絡(luò)協(xié)議還設(shè)計(jì)了時鐘同步容錯機(jī)制。

在TTE網(wǎng)絡(luò)中，通過時鐘同步服務(wù)保證分布式系統(tǒng)各節(jié)點(diǎn)之間時間觸發(fā)通信的精確定時。在設(shè)備層次，存在3種同步基礎(chǔ)設(shè)施［3］：同步主控器 （synchronization master，SM）、同步客戶端 （synchronization client，SC）和壓縮主控器 （compression master，CM）。并且，TTE 允許對于執(zhí)行關(guān)鍵壓縮功能的CM 進(jìn)行冗余配置［8］，以保障同步系統(tǒng)的抗摧毀能力。

1.1 同步方法

TTE網(wǎng)絡(luò)中，同步節(jié)點(diǎn)之間通過協(xié)議控制幀［3］傳遞同步消息。其攜帶信息主要包括：“同步域”定義的節(jié)點(diǎn)所在同步域；“優(yōu)先級”定義的同步節(jié)點(diǎn)的優(yōu)先級；由 “類型”字段的枚舉值定義的PCF的類型——即：冷啟動幀 （CS）、冷啟動應(yīng)答幀 （CA）和綜合幀 （IN），前兩者用于啟動過程，后者在每一次綜合循環(huán)開始后傳輸，傳遞時鐘同步消息；由 “綜合循環(huán)”域的計(jì)數(shù)表示的PCF 所屬的綜合循環(huán)；“新成員”域的比特矢量每一位代表系統(tǒng)中與之對應(yīng)的SM，為 “1”時表示該SM 和發(fā)送PCF 幀的節(jié)點(diǎn)之間進(jìn)行同步操作；由 “透明時鐘”域記錄PCF 從發(fā)送端到當(dāng)前節(jié)點(diǎn)所經(jīng)歷的傳輸時延［9］，達(dá)到對網(wǎng)絡(luò)傳輸時延進(jìn)行實(shí)時測量的目的［10］。

TTE網(wǎng)絡(luò)分布式時鐘同步算法通過如圖1所示的原理完成時鐘同步。

在每個綜合循環(huán)中，多個SM 在本地時鐘到達(dá)綜合循環(huán)的預(yù)設(shè)時間點(diǎn)向CM 發(fā)送IN 幀，由于存在時鐘偏移，各個SM 發(fā)送IN 幀的真實(shí)時間會有差別，且傳輸延遲也有差異。

圖1 TTE分布式時鐘同步算法

CM 收到IN 幀的時序和發(fā)送時序不一致，需要執(zhí)行固化功能，通過 “透明時鐘”攜帶的傳輸延遲信息還原SM派發(fā) （dispatch）IN 幀的真實(shí)時序和絕對時間間隔。隨后，CM 對固化后的時刻執(zhí)行壓縮功能，即：對于還原的多個SM 的發(fā)送時刻取平均，作為時鐘更正的基準(zhǔn)值。CM 一方面根據(jù)基準(zhǔn)值對自身時鐘進(jìn)行修正，另一方面根據(jù)基準(zhǔn)值進(jìn)行一段預(yù)設(shè)的延遲，再向SM 和SC派發(fā)壓縮后的IN 幀。SM／SC也執(zhí)行固化功能還原IN 幀的實(shí)際派發(fā)時刻，并將此實(shí)際時刻與期望時刻對比，算出本地時鐘和基準(zhǔn)值的差值，用以修正本地時鐘。

1.2 固化和壓縮的計(jì)算方法

固化功能使用 “透明時鐘”記錄的同步消息從發(fā)送端派發(fā)時刻td到最終接收端接收時刻tr所經(jīng)歷的傳輸延遲Dt，固化時刻點(diǎn)tp＝tr＋Dmax－Dt，其中，Dmax為最大可能的傳輸延遲。

壓縮功能從第一個不與現(xiàn)有進(jìn)程 （一般由硬件實(shí)現(xiàn)）含有相同綜合循環(huán)值的固化時刻點(diǎn)tp，1時開始，并打開一個長度為P 的觀察窗，如果在該觀察窗內(nèi)收集到至少2個固化時刻點(diǎn)則打開下一個觀察窗；在第i （i≥2）個觀察窗內(nèi)，若沒有收集到至少1個固化時刻點(diǎn)，則結(jié)束觀察窗的打開和收集；若收集到至少1個固化時刻點(diǎn)，則打開第i＋1個觀察窗，直到最大觀察窗長度TOWM＝ （f＋1）×P，其中f 為需要容忍的錯誤SM 數(shù)。

觀察窗的長度P 與同步的精度要求有關(guān)。通過在連續(xù)打開觀察窗的機(jī)制，可使相互之間時間間隔超過該精度或者不在同一個綜合循環(huán)內(nèi)的PCF 幀由不同的進(jìn)程分別處理［3］。時鐘更正的基準(zhǔn)值——壓縮修正值tcc通過如下具有容錯能力的均值公式 （fault－tolerant average，F(xiàn)TA）進(jìn)行計(jì)算：

1個固化時刻點(diǎn)：tcc＝tp，1

2個固化時刻點(diǎn)：tcc＝ （tp，1＋tp，2）／2

3個固化時刻點(diǎn)：tcc＝tp，2

4個固化時刻點(diǎn)：tcc＝ （tp，2＋tp，3）／2

3×f 個以上固化時刻點(diǎn)：tcc為第f＋1小和第f＋1大的固化時刻點(diǎn)的算術(shù)均值。

FTA 算法的收斂性確保每組幀的均值有確界，而且這種方法避免了小數(shù)除法，便于采用硬件邏輯實(shí)現(xiàn)。

FTA 的計(jì)算固定開銷為Tco，進(jìn)一步得到壓縮時刻點(diǎn)tcp＝tp，1＋TOWM＋Tco＋tcc。以tcp為基準(zhǔn)，CM 將壓縮后的PCF幀發(fā)送回SM，SM 仍使用固化功能接收。由于Dmax、Tco等參數(shù)已知，往返SM 和CM 的傳輸延遲由透明時鐘可得，實(shí)質(zhì)上每個參與同步的節(jié)點(diǎn)都是依據(jù)同一個壓縮修正值tcc調(diào)整本地時鐘。

1.3 最佳PCF幀

考慮低層組件可能發(fā)生故障的情況，壓縮功能有可能出現(xiàn)多個進(jìn)程，它們要么對應(yīng)多段連續(xù)的時間窗，要么對應(yīng)不同綜合循環(huán)值的多組時刻點(diǎn)。在不同進(jìn)程計(jì)算得到的壓縮時刻點(diǎn)中，有的是錯誤的，有的由于沒有達(dá)到足夠的同步成員數(shù)目是不可信的。根據(jù)最多的固化時刻點(diǎn)計(jì)算得到的壓縮時刻點(diǎn)最有可能是正確的，被稱之為 “最佳的”。

在時鐘修正階段，CM 和SM 分別根據(jù)式 （1）和式（2）計(jì)算調(diào)度時刻點(diǎn)TS，以TS標(biāo)定的一段時間為接受窗口

落在正常的接受窗口中，并且 “新成員”比特矢量域中 “1”的數(shù)目最多的PCF幀被稱為 “最佳PCF幀”，因?yàn)樗鼘?yīng)于最佳壓縮時刻點(diǎn)，以此進(jìn)行CM 和SM 的本地時鐘修正。

2 TTE網(wǎng)絡(luò)時鐘同步容錯

容錯是通過協(xié)議控制在一定的程度上防止錯誤導(dǎo)致功能失效的機(jī)制；所謂 “錯誤”是指計(jì)算或觀測的數(shù)值與真實(shí)的數(shù)值的差異。通常意義上，故障導(dǎo)致錯誤，如果對錯誤的影響不加以限制，就會造成失效。對于具有層次化結(jié)構(gòu)的系統(tǒng)，低層組件的失效，對于上層功能而言是 “錯誤”。TTE 時鐘同步的容錯實(shí)質(zhì)上是容忍網(wǎng)絡(luò)節(jié)點(diǎn)操作的失效。

進(jìn)行同步的時候，時鐘、處理器和網(wǎng)絡(luò)接口都有可能發(fā)生物理故障或邏輯錯誤，例如：硬件時鐘不滿足所謂“有限硬件時鐘偏移率”準(zhǔn)則的故障，被稱為硬件時鐘故障；而本地時鐘的精度不滿足給定的要求值P，被稱為本地時鐘錯誤。這些故障和錯誤是導(dǎo)致失效的基礎(chǔ)性因素，但TTE網(wǎng)絡(luò)時鐘同步容錯機(jī)制只需在上層協(xié)議考慮幾種抽象的失效模式。

2.1 失效模式和失效假設(shè)

失效模式總是與網(wǎng)絡(luò)接口的行為有關(guān)。典型的失效模式包括：

（1）靜默：設(shè)備失效并停止輸出。

（2）遺漏：設(shè)備將遺漏任意數(shù)目的發(fā)送／接受幀。

（3）不一致：這種模式僅出現(xiàn)于一個發(fā)送器向多個接收器的多播情況，不同接收器收到的信息不一致。

（4）不一致－遺漏：（2）和 （3）兩種模式的組合。

（5）隨意：不受控制的設(shè)備在任意時刻以任意的內(nèi)容產(chǎn)生混亂的消息。

失效假設(shè)主要與失效節(jié)點(diǎn)的數(shù)目有關(guān)，每種假設(shè)下可以包含不同的模式。TTE 被設(shè)計(jì)對抗兩種失效假設(shè)：單點(diǎn)失效和雙點(diǎn)失效。在單點(diǎn)失效假設(shè)下：TTE 能夠容忍一個端系統(tǒng)的 “隨意”或一個交換機(jī)的 “不一致－遺漏”行為；在雙點(diǎn)失效假設(shè)下：TTE網(wǎng)絡(luò)可以容忍兩個節(jié)點(diǎn) （端系統(tǒng)或交換機(jī)）的 “不一致－遺漏”行為。

由于 “靜默”和 “遺漏”不容易造成錯誤的傳播，容錯同步主要考慮的是對抗 “隨意”和 “不一致”失效。

TTE網(wǎng)絡(luò)可以采用標(biāo)準(zhǔn)完整性或高完整性配置，兩者的容錯能力的差別在于：

（1）雖然兩種配置都可以消除不一致失效的影響，但高完整性系統(tǒng)反應(yīng)更迅速；

（2）在冷啟動的時候，標(biāo)準(zhǔn)完整性系統(tǒng)不能對抗隨意失效，而高完整性系統(tǒng)可以；

（3）通過檢測結(jié)團(tuán)狀態(tài)消除多點(diǎn)的不一致失效的效果也不同。

2.2 冷啟動隨意失效的消除

在通信設(shè)施上電后，SM 和CM 通過特殊的PCF 幀——CS與CA 完成握手。其過程同綜合幀 （IN）的方式相同，但是CM 并不固化和壓縮收到的CS幀，只是延遲并送回CA。握手通信后，節(jié)點(diǎn)進(jìn)入到協(xié)議狀態(tài)機(jī)中同步操作的初始化狀態(tài)并開始同步。

TTE網(wǎng)絡(luò)標(biāo)準(zhǔn)完整性或高完整性配置的主要區(qū)別在于：

運(yùn)行狀態(tài)時，前者CM 只返回所選取的最佳PCF 幀，而后者返回經(jīng)過壓縮的所有PCF幀，由接收SM 自行選擇。高完整性實(shí)現(xiàn)的復(fù)雜程度高，在運(yùn)行的時候可以保證SM的穩(wěn)定性，即不會出現(xiàn)沒有接收到有效壓縮后PCF 幀的情況。

冷啟動時，前者的SM 會應(yīng)答包括自己發(fā)送的所有冷啟動幀，有可能出現(xiàn)并沒有和其它節(jié)點(diǎn) （特別是CM）達(dá)成握手的情況，即并未達(dá)成綜合循環(huán)的一致，由此形成隨意失效；后者的SM 不會應(yīng)答以SM 為來源的冷啟動幀，并且不會在一個綜合循環(huán)內(nèi)發(fā)送超過一個IN 幀，SM 和CM會在有確界的差異內(nèi)開始綜合循環(huán)。由此，高完整性可以在冷啟動的時候?qū)闺S意失效，使得即使出現(xiàn)復(fù)雜的失效，也只是 “不一致－遺漏”失效。

2.3 不一致失效的消除

TTE網(wǎng)絡(luò)除了可以沿用普通網(wǎng)絡(luò)CRC的錯誤判斷方式以外，其時鐘同步還有獨(dú)立的算法層面的不一致故障消除方式。如1.3中所述，接受窗口對同步消息幀分進(jìn)程處理，這保證了與大部分節(jié)點(diǎn)時間差超過精度或者不是同一綜合循環(huán)的PCF幀 （這兩者都對應(yīng)錯誤的時鐘值）得到了不同的壓縮時刻點(diǎn)；接受窗口和最佳PCF 幀的選取，可以選擇出 “最佳的”壓縮時刻點(diǎn)，從而消除不一致故障的影響。

2.4 結(jié)團(tuán)的檢測與消除

所謂的 “團(tuán)” （clique）是指同步域中某子集。結(jié)團(tuán)檢測是為了解決 “團(tuán)”中設(shè)備達(dá)成同步，但是同步無法超出子集的邊界，即無法在各個子集間達(dá)到全局同步的問題。這種問題無法通過常規(guī)的不一致失效消除機(jī)制解決，需要隨著綜合循環(huán)進(jìn)行周期性的結(jié)團(tuán)檢測。

結(jié)團(tuán)檢測分為同步和異步兩種方式，如圖2 所示。對某一同步節(jié)點(diǎn)，在同步檢測每周期結(jié)束時進(jìn)行 “同步評估”：將該周期內(nèi)最佳PCF 幀的新成員值儲存在 “本地同步成員列表”中，記錄了本節(jié)點(diǎn)同步的SM 數(shù)量。在異步結(jié)團(tuán)檢測周期結(jié)束時進(jìn)行 “異步評估”：將該周期內(nèi)沒有落在接受窗口或不在一個集成周期的PCF幀的 “新成員”矢量，對各矢量進(jìn)行位邏輯或（bit－or）運(yùn)算，儲存在 “本地異步成員列表”中，代表不與當(dāng)前節(jié)點(diǎn)同步的SM 數(shù)量。當(dāng)“本地同步成員列表”的值小于 “本地異步成員列表”時，則說明形成結(jié)團(tuán)，節(jié)點(diǎn)從同步狀態(tài)轉(zhuǎn)換到非同步狀態(tài)。此時進(jìn)行重啟動，再次發(fā)送CS幀尋求握手，重新開始同步操作。

圖2 同步結(jié)團(tuán)檢測和異步結(jié)團(tuán)檢測

3 時鐘同步仿真

SIDERA 是一種針對時間觸發(fā)體系結(jié)構(gòu)下分布式實(shí)時系統(tǒng)的建模和軟件仿真工具，由維也納技術(shù)大學(xué)開發(fā)；可以實(shí)現(xiàn)啟動、消息傳遞、時鐘同步和成員列表維護(hù)等多種協(xié)議的仿真。利用該軟件，設(shè)計(jì)并進(jìn)行時鐘同步仿真實(shí)驗(yàn)。

3.1 同步仿真設(shè)計(jì)

設(shè)v＝50ns為物理時鐘脈沖的寬度，并以v 作為時間單位。預(yù)期精度為1μs，即20×v。

進(jìn)行單同步域下4個SM 節(jié)點(diǎn)和2個雙冗余CM 節(jié)點(diǎn)的仿真實(shí)驗(yàn)，進(jìn)行32輪同步，每輪同步時間為1ms。設(shè)定6個節(jié)點(diǎn)的本地時鐘偏移率為ρi＝ ｛－2.5×10－4，－1.5×10－4，－0.5×10－4，0.5×10－4，1.5×10－4，2.5×10－4｝，其中i＝1，…，6，ρ1 和ρ3 對應(yīng)交換機(jī)上實(shí)現(xiàn)的CM1和CM2；ρ2，ρ3，ρ4，ρ6 分別對應(yīng)SM1，SM2，SM3和SM4。

由于對于FTA 公式有節(jié)點(diǎn)總數(shù)n＞3f，預(yù)設(shè)的需要容忍的錯誤SM 數(shù)為f＝1。設(shè)定網(wǎng)絡(luò)延遲區(qū)間為 ［5，250］μs，帶寬為100 Mbit／s。

針對 “靜默”，“不一致－遺漏”，“隨意”3種失效模式，設(shè)計(jì)6種仿真場景，實(shí)驗(yàn)1～實(shí)驗(yàn)4配置為標(biāo)準(zhǔn)完整性，實(shí)驗(yàn)5、實(shí)驗(yàn)6為高完整性：

實(shí)驗(yàn)1：無失效同步；

實(shí)驗(yàn)2：單節(jié)點(diǎn)靜默失效同步——設(shè)置某SM 從第1輪同步開始失效，靜默500μs后重啟動，共失效5次，每次間隔約800μs；

實(shí)驗(yàn)3：單節(jié)點(diǎn)不一致遺漏失效同步——設(shè)置某節(jié)點(diǎn)從第22輪開始出現(xiàn)不同節(jié)點(diǎn)傳輸不一致的錯誤信息或者不發(fā)送信息，共出現(xiàn)兩次，間隔約為5ms。

實(shí)驗(yàn)4：單節(jié)點(diǎn)隨意失效同步——從第12輪同步開始，設(shè)置一個SM 出現(xiàn)本地時鐘修正值的隨意錯誤，并達(dá)到正常同步時不可能出現(xiàn)的較大數(shù)值 （仿真中設(shè)定為21×v），該SM 以此錯誤的數(shù)值進(jìn)行修正，導(dǎo)致本地時鐘錯誤，共仿真失效3次，每次間隔約2ms；

實(shí)驗(yàn)5：對照實(shí)驗(yàn)組——設(shè)置同實(shí)驗(yàn)3，但將所有節(jié)點(diǎn)配置為高完整性狀態(tài)機(jī)。

實(shí)驗(yàn)6：多失效同步——設(shè)置不同節(jié)點(diǎn)按照實(shí)驗(yàn)2、實(shí)驗(yàn)3、實(shí)驗(yàn)5中的失效進(jìn)行同步實(shí)驗(yàn)，用以驗(yàn)證不同類型的失效相互之間不會造成影響。

3.2 仿真結(jié)果及分析

仿真實(shí)驗(yàn)結(jié)果如表1及圖3 所示。在圖3 中，橫軸為仿真時間，縱軸表示精度偏差 （Precision）和本地時鐘修正值 （Correction），以v為單位?！熬绕睢币员镜貢r鐘偏離全局同步時鐘的數(shù)值來衡量，如果超過20×v，則最大時鐘偏差超過預(yù)設(shè)的TTE網(wǎng)絡(luò)精度要求，意味著某些節(jié)點(diǎn)失去同步。

表1 TTE網(wǎng)絡(luò)時鐘同步容錯仿真結(jié)果

圖3 TTE網(wǎng)絡(luò)時鐘同步容錯仿真

由表1和圖3可見，TTE 網(wǎng)絡(luò)同步算法對于單點(diǎn)失效具有全面的容忍能力，任意單點(diǎn)失效對全局時鐘的精度影響是有界的。

根據(jù)同步狀態(tài)的變化，實(shí)驗(yàn)2結(jié)果表明靜默失效不會影響其它節(jié)點(diǎn)之間的同步。實(shí)驗(yàn)3結(jié)果表明不一致－遺漏失效不會影響全局同步，并且在當(dāng)次綜合循環(huán)中也可以通過其它節(jié)點(diǎn)的同步信息完成同步。

實(shí)驗(yàn)4和實(shí)驗(yàn)5的結(jié)果對比表明，隨意失效會造成節(jié)點(diǎn)時鐘精度的較大偏差，但是這只限于發(fā)生錯誤的節(jié)點(diǎn)，不會影響其它正常節(jié)點(diǎn)之間的全局同步。在標(biāo)準(zhǔn)完整性配置下，失效節(jié)點(diǎn)因?yàn)殡S意失效超過預(yù)設(shè)精度脫離同步后，由于在冷啟動時并沒達(dá)成綜合循環(huán)的一致，從而不能再恢復(fù)同步。在高完整性配置下，失效節(jié)點(diǎn)會在下次同步中通過較大的時鐘修正重新獲得同步。實(shí)驗(yàn)6結(jié)果表明不同失效在恢復(fù)同步之后不會相互之間產(chǎn)生影響。

4 結(jié)束語

TTE網(wǎng)絡(luò)的時鐘同步算法能夠確保其嚴(yán)格的確定性時間觸發(fā)通信，通過對算法容錯性能的研究可以幫助驗(yàn)證其可靠性。本文對TTE網(wǎng)絡(luò)協(xié)議進(jìn)行分析，將其同步服務(wù)的一般性描述還原為時鐘同步算法的理論模型與容錯機(jī)制。容錯機(jī)制的關(guān)鍵內(nèi)容包括：最佳PCF幀的選擇對不一致失效的消除、高完整性配置在冷啟動時對抗隨意失效、結(jié)團(tuán)的檢測和消除。在容錯機(jī)制的支持下，TTE 網(wǎng)絡(luò)可以全面對抗單個的節(jié)點(diǎn)多種失效模式，達(dá)到高安全性實(shí)時系統(tǒng)的應(yīng)用需求。通過仿真實(shí)驗(yàn)，印證了上述結(jié)論，并發(fā)現(xiàn)在對抗單隨意失效時，高完整性配置具有更好的魯棒性。

［1］XIONG Huagang，WANG Zhonghua.Advanced avionics integration techniques ［M］.Beijing：National Defense Industry Press，2009 （in Chinese）.［熊華鋼，王中華.先進(jìn)綜合航空電子技術(shù) ［M］.北京：國防工業(yè)出版社，2009.］

［2］XIONG Huagang，LI Qiao，HUANG Yongkui.Study on the avionics full－duplex switched Ethernet standards［J］.Aeronautic Standardization ＆Quality，2008，223 （1）：25－28 （in Chinese）.［熊華鋼，李峭，黃永葵.航空電子全雙工交換式以太網(wǎng) 標(biāo) 準(zhǔn) 研 究 ［J］.航 空 標(biāo) 準(zhǔn) 化 與 質(zhì) 量，2008，223 （1）：25－28.］

［3］SAE AS6802：Time－triggered Ethernet［S］.SAE Aerospace Standard，2011.

［4］Koptez H.Real－time systems－design principles for distributed embedded applications ［M ］. 2nd ed. New York：Springer，2011.

［5］SAE AS6003：TTP communication protocol［S］.SAE Aerospace Standard，2011.

［6］Steiner W，Dutertre B.Layered diagnosis and clock－rate correction for the TTEthernet clock synchronization protocol［C］／／The Proceedings of the 17th Pacific Rim Intl Symposium on Dependable Computing.IEEE，2011：244－253.

［7］LIU Wanchun，LI Qiao，HE Feng，et al.Research on timetriggerd Ethernet synchronization and scheduling mechanism［J］.Aeronautical Computing Technique，2011，41 （4）：122－127 （in Chinese）.［劉晚春，李峭，何鋒，等.時間觸發(fā)以太網(wǎng)同步及調(diào)度機(jī)制的研究 ［J］.航空計(jì)算技術(shù)，2011，41（4）：122－127.］

［8］Steiner W，Dutertre B.Automated formal verification of the TTEthernet synchronization quality ［G］.LNCS 6617：The Proceedings of NFM. Berlin： Springer－Verlag， 2011：375－390.

［9］IEEE 1588－2008：IEEE standard for a precision clock synchronization protocol for networked measurement and control systems［S］.IEEE，2008.

［10］LI Jun，SUN Shuying，LIU Jiangyi，et al.Network clock synchronization based on real－time clock variance algorithm［J］.Computer Engineering and Design，2013，34 （5）：1538－1541 （in Chinese）. ［李軍，孫書鷹，劉江義，等.基于實(shí)時時鐘方差算法的網(wǎng)絡(luò)時鐘同步 ［J］.計(jì)算機(jī)工程與設(shè)計(jì)，2013，34 （5）：1538－1541.］