Magistrale pokładowe i integralność danych

Streszczenie. Magistrala pokładowa nie jest tylko przewodem ani protokołem wymiany ramek. Jest częścią usługi informacyjnej, która ma dostarczyć właściwemu odbiorcy właściwy produkt danych, zachować jego znaczenie, źródło, kolejność i wiek, a po naruszeniu kontraktu wywołać określoną reakcję. Monografia prowadzi od fizyki kanału przez topologię, dostęp do medium, kolejki, synchronizację, bramki i ochronę od końca do końca aż do decyzji odbiorcy. Porównuje mechanizmy MIL-STD-1553, CAN, SpaceWire, TTEthernet i profili TSN, pokazując, jak każdy z nich przenosi zobowiązanie dowodowe w inne miejsce architektury. Trzy jawnie syntetyczne studia kończą się odpowiednio wynikiem negatywnym, częściowo dodatnim i otwartym; zawierają założenia, rachunki, niepewność, decyzje oraz zakres regresji.

Teza monografii brzmi:

O przydatności magistrali pokładowej nie rozstrzyga sama przepustowość, CRC ani nazwa standardu. Rozstrzyga odtwarzalny dowód, że w określonym wariancie, fazie, trasie, konfiguracji i modelu awarii każdy wymagany produkt zachowuje znaczenie oraz osiąga właściwą reakcję przed upływem limitu czasu i wieku.

Zakres artykułu. Pominięto wykonawcze informacje o magistralach konkretnych współczesnych systemów uzbrojenia: rzeczywiste topologie, mapy komunikatów, identyfikatory, priorytety, okresy, harmonogramy, trasy, czasy przełączeń, pinouty, punkty testowe, komendy serwisowe, klucze, konfiguracje zabezpieczeń i sposoby ich obchodzenia. Dane te może uzupełniać wyłącznie uprawniony personel na podstawie kontrolowanej dokumentacji danego programu. Wszystkie liczby w studiach są fikcyjne i służą nauce metody.

Ostrzeżenie dotyczące realnego znaleziska. Nie wolno zbliżać się do znalezionego pocisku, jego fragmentu ani nieznanego elementu uzbrojenia, dotykać ich, przenosić lub próbować demontować. Należy oddalić ludzi, powiadomić służby pod numerem 112 i wykonywać ich polecenia.

1. Od transmisji do usługi informacyjnej

W tej monografii łącze oznacza pojedynczą drogę transmisji między dwoma portami. Magistrala jest współdzielonym systemem komunikacji z określoną metodą dostępu do medium. Sieć obejmuje łącza, węzły, przełączniki, routery i bramki. Określenie magistrala pokładowa będzie używane szerzej jako nazwa całego pokładowego systemu komunikacyjnego, również wtedy, gdy fizycznie składa się on z wielu łączy punkt–punkt.

Najprostszy model nadajnik–przewód–odbiornik ukrywa większość problemów systemowych. Rzeczywisty łańcuch wygląda następująco:

zjawisko lub stan źródłowy
  → akwizycja i przetwarzanie
    → utworzenie produktu danych
      → bufor, sterownik i interfejs
        → łącze, magistrala, kolejka lub bramka
          → odbiór i walidacja
            → algorytm odbiorcy
              → obserwowalna decyzja lub reakcja

Każdy blok może:

• opóźnić produkt;
• przechować jego starą wersję;
• zmienić reprezentację;
• utracić metadane;
• użyć niewłaściwej epoki czasu;
• pomylić źródło;
• dostarczyć dane do niewłaściwego odbiorcy;
• poprawnie przesłać informację semantycznie błędną.

Dlatego trzeba rozdzielić cztery poziomy poprawności.

Integralność transmisyjna dotyczy symbolu, słowa lub ramki na jednym odcinku. Odpowiada na pytanie, czy odbiornik wykrywa zakłócenie transmisji.

Integralność produktu obejmuje całą drogę przez pamięć, DMA, kolejki, bramki i aplikację. Ramka może przejść CRC, a produkt może zostać uszkodzony później, na przykład przez błędny deskryptor albo częściową aktualizację bufora.

Poprawność semantyczna oznacza zgodność jednostki, znaku, skali, układu współrzędnych, wersji, czasu, źródła i reguły ważności. Liczba poprawna bitowo może być bezużyteczna, jeżeli odbiorca nie wie, czy oznacza radiany na sekundę, stopnie na sekundę, wartość chwilową czy przefiltrowaną.

Poprawność usługi informacyjnej łączy integralność produktu, semantykę, dostępność, terminowość, świeżość i reakcję odbiorcy. Dopiero ten poziom styka się bezpośrednio z funkcją systemową.

CRC może wykazać, że ramka nie została wykrywalnie zmieniona na danym odcinku. Nie dowodzi, że sensor był sprawny, kolejka nie przechowała starej wartości, bramka zastosowała właściwą skalę, nadawca miał prawo publikacji ani że odbiorca użył produktu przed końcem jego ważności.

2. Dlaczego sieć pocisku jest przypadkiem szczególnym

Sieć pocisku korzysta z wielu metod znanych z awioniki, automatyki i statków kosmicznych, lecz łączy warunki rzadko występujące razem:

• wieloletnie magazynowanie bez zasilania;
• gwałtowny i krótki rozruch;
• jednoczesne ustanawianie energii, zegarów, interfejsów i konfiguracji;
• udar, drgania, zmiany temperatury i zakłócenia elektromagnetyczne;
• zmianę topologii lub źródeł danych podczas oddzielenia;
• krótką fazę autonomiczną;
• brak możliwości ręcznej korekty w tej fazie;
• niewielką liczbę okazji do wykonania funkcji.

Abstrakcyjny cykl życia można przedstawić tak:

produkcja
  → magazynowanie
    → kontrola i obsługa
      → inicjalizacja z platformy
        → gotowość
          → start i oddzielenie
            → działanie autonomiczne
              → zakończenie funkcji

Po magazynowaniu nie wolno zakładać, że stan początkowy jest zwykłą kontynuacją ostatniego uruchomienia. Kalibracja, retencja danych, styki, oscylatory, zakończenia linii i baterie mają własne mechanizmy starzenia.

Rozruch generuje inny ruch niż praca ustalona. W krótkim czasie mogą pojawić się raporty testów, identyfikacja wersji, synchronizacja, odczyt kalibracji, inicjalizacja sensorów i uzgadnianie ról. Sieć obciążona nominalnie w 20% może chwilowo zapełnić kolejki, jeżeli analiza pomija tę serię inicjalizacyjną.

Oddzielenie może jednocześnie zmienić:

• źródło energii;
• źródło czasu;
• dostępne łącza;
• trasę;
• właściciela publikacji;
• znaczenie identyfikatora fazy;
• ważność zawartości buforów.

Takie przejście wymaga obserwowalnie spójnej zmiany. Odbiorca może widzieć stan poprzedni, jawnie dopuszczony stan pośredni albo stan nowy, ale nie przypadkową mieszaninę starego czasu, nowej trasy i dawnych praw publikacji.

Nowa epoka rozdziela dane powstałe przed i po resecie, utracie czasu albo rekonfiguracji. Sam wzrost licznika sekwencji nie wystarcza: po restarcie licznik może ponownie przyjąć wartość, która wcześniej oznaczała inny produkt.

3. Produkt danych i jego kontrakt

Ramka jest kontenerem transportowym. Produkt danych jest znaczącym obiektem używanym przez funkcję: pomiarem, estymatą, komendą, statusem, wynikiem diagnostyki albo rekordem konfiguracji.

Minimalny kontrakt produktu powinien określać:

Obszar	Treść kontraktu
tożsamość	nazwa produktu, identyfikator, wersja, wytwórca i odbiorcy
znaczenie	wielkość lub stan, jednostka, znak, układ współrzędnych i konwencja osi
reprezentacja	typ, szerokość, kolejność bajtów, skalowanie, zakres i reguła nasycenia
czas	zdarzenie znakowane czasem, źródło czasu, epoka, rozdzielczość i niepewność
kolejność	licznik sekwencji, zawinięcie, zachowanie po resecie i przy duplikacie
aktualizacja	okres, minimalny odstęp, dopuszczalna seria i sposób ponawiania
jakość	sposób powstania wartości, ważność, świeżość, kalibracja i niepewność
stosowalność	wariant, egzemplarze, tryb, faza i dopuszczone stany zdegradowane
trwałość	maksymalny wiek, zachowanie bufora i ostatniej wartości
błędy	reakcja na brak, opóźnienie, złą wersję, zakres, epokę i źródło
uprawnienie	kto może publikować, zastępować, unieważniać i wywoływać zmianę stanu

Status jakości nie powinien być jednym wyliczeniem, jeżeli kilka własności może wystąpić jednocześnie. Produkt może być na przykład ESTYMOWANY, ZDEGRADOWANY, ale nadal AKTUALNY. Przydatny zapis rozdziela:

$$\begin{aligned} Z_i=\bigl(&z_{make,i},z_{valid,i},z_{fresh,i},\\ &u_i,k_i\bigr), \end{aligned}$$

gdzie:

• $z_{make,i}$ opisuje sposób wytworzenia: zmierzony, estymowany, zastępczy albo nieznany;
• $z_{valid,i}$ opisuje ważność funkcjonalną;
• $z_{fresh,i}$ jest wynikiem oceny świeżości;
• $u_i$ jest granicą niepewności;
• $k_i$ identyfikuje kalibrację albo jej stan.

Wartość nieważna nie może po dekodowaniu stać się zwykłym zerem. Nieznana kalibracja nie jest gorszą dokładnością liczbową, lecz brakiem podstawy do przypisania zadeklarowanej niepewności. Nieznana relacja czasu nie oznacza automatycznie, że produkt jest stary, ale uniemożliwia dodatnie wykazanie jego wieku.

Role i odpowiedzialność

Wytwórca danych tworzy wartość, znacznik, sekwencję i status. Odbiorca waliduje je i podejmuje decyzję o użyciu. Właściciel kontraktu utrzymuje znaczenie i wersję interfejsu. Właściciel uprawnienia określa, kto może publikować w danej fazie. Właściciel argumentu systemowego scala wyniki w jeden werdykt.

Rola	Główne zobowiązanie
wytwórca	wykazać poprawne utworzenie wartości i metadanych
odbiorca	zdefiniować warunki akceptacji, odrzucenia i reakcji
właściciel kontraktu	utrzymywać wersjonowany model produktu i ICD
właściciel uprawnienia	utrzymywać macierz praw zależną od fazy i konfiguracji
właściciel argumentu	rozstrzygać sprzeczności i kompletność dowodów
organ bezpieczeństwa	zaakceptować albo odrzucić ryzyko resztkowe

Potwierdzenie odbioru ramki nie jest potwierdzeniem użycia produktu. Potwierdzenie użycia nie musi jeszcze oznaczać wykonania skutku funkcjonalnego.

4. Formalny rekord oceny

Przed pierwszym rachunkiem trzeba ustalić słownik limitów, wyników i granic pomiaru. Dla produktu $i$ przyjmijmy rekord kryteriów:

$$S_i=\left( D_i,D_{use,i},A_i,H_i,V_i^{max},L_i^{max}, \Delta_{det,i}^{max},P_i,Z_i,\Phi_i \right).$$

Znaczenie pól jest następujące:

Symbol	Kryterium
$D_i=(d_i,\beta_i)$	limit od uwolnienia produktu do nazwanej granicy $\beta_i$, na przykład końca transmisji
$D_{use,i}$	limit od tego samego uwolnienia do gotowości po odbiorze i walidacji
$A_i$	maksymalny wiek od chwili pochodzenia do chwili użycia
$H_i$	limit od zdarzenia fizycznego do wymaganej reakcji lub skutku
$V_i^{max}$	dopuszczalny rozstęp latencji w określonym zbiorze przebiegów
$L_i^{max}(\lambda)$	limit serii strat na nazwanej granicy $\lambda$
$\Delta_{det,i}^{max}$	limit czasu od wystąpienia naruszenia do jego wykrycia
$P_i=(I_i,U_i)$	wymagana tożsamość źródła i jego uprawnienie
$Z_i$	wymagana jakość, świeżość, kalibracja i niepewność
$\Phi_i$	uporządkowana polityka reakcji po wykryciu naruszenia

Zakres rekordu dobiera się od funkcji, nie od wygody dostępnych pomiarów. Najpierw wskazuje się decyzję odbiorcy i skutek użycia, potem hazard utraty, opóźnienia, starości albo błędnej wartości, a dopiero z nich pola wymagające granic. Pole wolno oznaczyć nie dotyczy tylko z odsyłaczem do tej analizy; brak kryterium lub dowodu daje OTWARTE.

Klasa produktu	Pola zwykle obowiązkowe	Pytanie rozstrzygające zakres
komenda lub stan bezpośrednio używany w sterowaniu	$D_i,D_{use,i},A_i,H_i,V_i,L_i,P_i,Z_i,\Phi_i$	jaki najpóźniejszy, najstarszy lub błędny produkt może zmienić skutek funkcjonalny?
pomiar lub estymata zasilająca decyzję	$D_{use,i},A_i,V_i,P_i,Z_i,\Phi_i$; $H_i$ według hazardu	czy odbiorca może legalnie użyć wartości poprzedniej, zdegradowanej albo o większej niepewności?
status zdrowia lub diagnostyka pokładowa	$D_i,A_i,L_i,P_i,Z_i,\Phi_i$; pozostałe według reakcji automatu	czy opóźniony status jedynie pogarsza zapis, czy blokuje przejście stanu lub odzyskanie ścieżki?
telemetria albo zapis bez odbiorcy sterującego	dostarczenie, strata, proweniencja i jakość zapisu; pola użycia tylko dla funkcji, która z nich korzysta	czy utrata wpływa na działanie w locie, czy wyłącznie na późniejszą analizę?

Ta klasyfikacja nie obniża wymagań dla produktu o małej przepływności: pojedynczy bit trybu może mieć większą krytyczność niż szeroki strumień diagnostyczny.

Limit i wynik są różnymi obiektami. Wyniki oznaczamy przez calc dla rachunku albo obs dla obserwacji, na przykład:

$$D_{i,calc}\le d_i,\qquad A_{use,i,calc}\le A_i,\qquad L_{i,obs}(\lambda)\le L_i^{max}(\lambda).$$

Wartość $D_{i,calc}$ zakończona na końcu transmisji nie może być porównana z limitem dotyczącym gotowości aplikacji. Granica $\beta_i$ jest częścią wymagania, nie komentarzem do pomiaru.

Trzy osie czasu nie są zamienne:

t_release ───────────────→ t_β        dostarczenie D
t_release ───────────────────→ t_use  gotowość D_use
t_origin ────────────────────→ t_use  wiek A_use
t_event ─────────────────────────→ t_effect  skutek H
t_occ ──→ t_det ──→ działania Φ  detekcja i reakcja

Jeżeli produkt powstaje z okresowej akwizycji, zdarzenie fizyczne może nastąpić tuż po poprzedniej próbce. Oczekiwanie na następną okazję zwiększa $H_i$, a zależnie od definicji chwili pochodzenia również $A_i$.

Ocenianą realizację w konfiguracji $c$ opisuje model:

$$\mathcal M_{i,c}= (m_c,\rho_c,\kappa_c,\mathcal T_c,G_i,\chi_c,Q_c,F_c,\alpha_c,\Gamma_c).$$

Tutaj:

• $m_c$ jest trybem;
• $\rho_c$ — trasą;
• $\kappa_c$ — identyfikatorem sprzętu, obrazów, danych i ustawień;
• $\mathcal T_c$ — kontrolowanym wykazem ruchu;
• $G_i$ — granicą wieku istniejącego przed uwolnieniem;
• $\chi_c$ — relacją zegarów i epok;
• $Q_c$ — modelem kolejek;
• $F_c$ — hipotezą uszkodzeń;
• $\alpha_c$ — mapą rzeczywistych przebiegów na skończoną abstrakcję;
• $\Gamma_c$ — pokryciem stanów, przejść, wymaganych sekwencji i kombinacji awarii.

Mapa $\alpha_c$ jest konserwatywna, jeżeli każdemu przebiegowi z ocenianej obwiedni odpowiada przypadek abstrakcyjny co najmniej równie niekorzystny. Nie wolno bez dowodu uciąć dowolnie długiej kolejki, nieskończonej liczby rekonfiguracji albo nieograniczonego nadawania.

Relacja spełnienia wiąże ten model z kontraktem produktu, zamiast pozostawiać oba zapisy obok siebie:

$$\mathcal M_{i,c}\models S_i \iff \bigwedge_{f\in F_{i,c}} R_f\in\{\texttt{SPEŁNIA},\texttt{NIE DOTYCZY}\} \land \operatorname{closed}(\alpha_c,\Gamma_c).$$

Zbiór $F_{i,c}$ obejmuje wszystkie pola $S_i$ obowiązujące dla produktu $i$ w konfiguracji $c$, ocenione na tych samych granicach systemu, wersji konfiguracji i obwiedni środowiska. NIE DOTYCZY wolno nadać tylko na podstawie wcześniejszej analizy zagrożeń lub wymagań, a nie z braku danych. $\operatorname{closed}(\alpha_c,\Gamma_c)$ oznacza konserwatywną abstrakcję i zamknięte pokrycie wymaganych stanów, przejść, sekwencji oraz kombinacji awarii. Wynik całej usługi jest SPEŁNIA tylko wtedy, gdy koniunkcja zachodzi dla każdego wymaganego produktu, trybu i trasy oraz są zamknięte bramki fizyczne, konfiguracyjne i wspólnej przyczyny. Jedno NIE SPEŁNIA daje wynik negatywny; brak dowodu daje OTWARTE.

Skrócony przykład produktu Q

Fikcyjny produkt $Q$ przenosi temperaturę przedziału elektroniki. Źródłem jest SENSOR_L1, okresem próbkowania $50 \mathrm{ms}$, limitem gotowości $D_{use,Q}=12 \mathrm{ms}$, a limitem wieku $A_Q=20 \mathrm{ms}$. Dwie z góry zaplanowane kopie jednej sekwencji mają ten sam czas źródła i różne indeksy kopii.

Dla maksymalnego oczekiwania $4 \mathrm{ms}$, dwóch transmisji po $2 \mathrm{ms}$, walidacji $1 \mathrm{ms}$ i wieku wejściowego $4 \mathrm{ms}$:

$$D_{use,Q,calc}=4+2+2+1=9 \mathrm{ms},$$

$$A_{use,Q,calc}=4+9=13 \mathrm{ms}.$$

Oba limity są spełnione. Wynik ten ma jednak sens tylko dla jawnych przypadków odbiorcy:

Przypadek	Reakcja	Wynik
obie kopie poprawne	użyć pierwszej, drugą rozpoznać jako planowaną kopię tej samej sekwencji	SPEŁNIA
pierwsza kopia ma błąd CRC, druga jest poprawna	odrzucić pierwszą, zwalidować drugą, nie zwiększać licznika utraconych produktów	SPEŁNIA
obie kopie mają starą epokę	nie publikować wartości, zwiększyć licznik utraty produktu i przejść do stanu ochronnego	SPEŁNIA dla reakcji
jakość czasu staje się nieważna po przyjęciu produktu	unieważnić produkt niezależnie od jego CRC i wartości	wymaga osobnego śladu

Przykład ustanawia różnicę między kopią odrzuconą a produktem utraconym. Nie jest pełnym studium kwalifikacyjnym, ponieważ nie zawiera nadrzędnego limitu $H_Q$, pełnej obwiedni środowiska ani modelu dwóch jednoczesnych awarii.

5. Hipoteza uszkodzeń

Określenie „awaria magistrali” jest zbyt ogólne. Analiza powinna rozdzielać co najmniej:

• przerwę i zwarcie przewodu;
• pogorszenie styku lub zakończenia;
• zmianę impedancji;
• nadajnik stale wymuszający stan elektryczny;
• nadajnik generujący błędne ramki;
• nadajnik publikujący poprawne ramki z nadmierną częstością;
• przekłamanie, utratę, duplikację i zmianę kolejności;
• błędną trasę;
• przepełnienie lub częściową aktualizację bufora;
• starą wartość;
• błędną jednostkę, skalę, znak lub wersję;
• utratę relacji czasu;
• konflikt aktywnych źródeł;
• reset części systemu;
• częściową aktualizację konfiguracji;
• świadomą modyfikację, podszycie i powtórzenie transmisji.

Szczególnie ważne jest rozdzielenie trzech zachowań wadliwego nadajnika:

Klasa	Zachowanie	Typ potrzebnej ochrony
N1 — wymuszenie fizyczne	port zwiera medium albo stale wymusza poziom	fizyczna izolacja portu, sprzęgacz, ograniczenie prądu
N2 — błędne ramki	węzeł zwalnia medium, lecz narusza kodowanie, CRC lub format	detekcja protokołu, liczniki błędów i odłączenie
N3 — nadmiar poprawnych ramek	ramki są technicznie poprawne, lecz przekraczają kontraktowy napływ	niezależny nadzór częstości, ogranicznik, budżet kolejek i odebranie prawa

Mechanizm protokołu może ograniczać N2, lecz nie musi odzyskać medium po N1. Uwierzytelnienie nie ograniczy N3, jeśli przejęty nadajnik ma poprawne klucze. Drugi przewód nie ochroni przed wspólnym błędem produktu źródłowego.

MIL-STD-882E obejmuje proces bezpieczeństwa systemowego przez cykl życia i wymaga eliminowania zagrożeń albo ograniczania ryzyka według ustalonej hierarchii środków.¹ W analizie komunikacji oznacza to przejście od skutku do scenariusza, uszkodzenia, detekcji, reakcji i dowodu.

6. Warstwa fizyczna i topologia

Para różnicowa ogranicza wpływ zakłóceń wspólnych tylko wtedy, gdy zachowano symetrię drogi. Nierówne impedancje, styki, długości i sprzężenia zamieniają część zakłócenia wspólnego w różnicowe. Odgałęzienia, złącza i nieciągłości zakończenia wprowadzają odbicia. Margines zależy również od progów odbiornika, szybkości zbocza, temperatury, napięcia zasilania i chwili próbkowania.

Światłowód usuwa galwaniczną drogę zakłóceń i prądów wyrównawczych, ale nie usuwa awarii nadajnika, odbiornika, zasilania ani protokołu. Dodaje optoelektronikę, złącza, opóźnienie i własne mechanizmy degradacji. MIL-STD-1773 jest publicznym przykładem mechanizacji światłowodowej dla lotniczej magistrali polecenie–odpowiedź.²

Wiązka jest częścią kanału, a nie przezroczystym akcesorium. NASA-STD-8739.4A obejmuje wykonanie krytycznych przewodów, wiązek i połączeń zaciskanych,³ natomiast NASA-HDBK-4001A pokazuje, że architektura uziemienia wymaga decyzji systemowej.⁴ Dla pocisku trzeba oceniać razem:

• przewód i złącza;
• ekran oraz sposób jego związania z obudową;
• drogę powrotną sygnału i zasilania;
• transceivery;
• stan po oddzieleniu;
• środowisko temperatury, udaru i drgań;
• starzenie i reprezentatywność egzemplarza.

MIL-STD-461H z 17 kwietnia 2026 roku jest aktywną rewizją wymagań dotyczących emisji i podatności elektromagnetycznej wyposażenia oraz podsystemów DoD. Sam standard zastrzega, że nie należy go bezpośrednio stosować do całych platform ani do modułów wewnątrz obudowy bez odpowiedniego dostosowania.⁵

Topologie i regiony awarii

Połączenie punkt–punkt upraszcza własność łącza i ogranicza region awarii, lecz zwiększa liczbę przewodów, portów i masę.

Magistrala wielopunktowa zmniejsza liczbę połączeń, ale współdzieli pień, zakończenia, sprzęgacze i czas medium. Zwarcie albo stale aktywny nadajnik może pozbawić usługi wielu odbiorców.

Sieć komutowana rozdziela fizyczne odcinki i pozwala równolegle przenosić ruch, lecz dodaje przełączniki, tablice tras, kolejki, bufory i zależności od ich konfiguracji.

Region awarii trzeba definiować osobno dla:

• energii;
• sygnału;
• dostępu do medium;
• trasy;
• czasu;
• semantyki;
• konfiguracji.

Dwie ścieżki A i B nie są niezależne tylko dlatego, że używają dwóch przewodów. Niech $P_A$ i $P_B$ oznaczają zbiory zależności potrzebnych obu trasom. Ich część wspólna wynosi:

$$I=P_A\cap P_B.$$

W zbiorach powinny znaleźć się zasilanie, zegar, transceivery, złącza, FPGA, przełączniki, bramki, źródło danych, oprogramowanie i konfiguracja. Awaria elementu należącego do $I$ może pokonać oba kanały.

7. Archetypy: ograniczenie, nowy mechanizm i nowy dowód

Poniższy układ nie jest udokumentowaną genealogią magistral pocisków ani chronologią zastosowań. Zestawia archetypy z kilku domen, aby pokazać, jak usunięcie jednego ograniczenia tworzy nową klasę zobowiązań dowodowych. Przejście od technologii „prymitywnej” do „nowoczesnej” nie jest więc liniową historią wyrobów, lecz genealogią problemów i mechanizmów.

Tor analogowy A4/V-2

W A4/V-2 analogowy Mischgerät łączył sygnały układu żyroskopowego i, zależnie od wariantu, korekcji radiowej w komendy dla toru sterowania.^20,21 Integralność oznaczała ciągłość skalibrowanego sygnału, zachowanie znaku, pasma i zależności fazowej.

Ograniczeniem były rozbudowane połączenia funkcjonalne, trudność rekonfiguracji i zależność znaczenia od fizycznego toru. Nie istniał problem kolejności ramek, ale błędne okablowanie albo odwrócenie znaku mogło dać poprawny elektrycznie, a funkcjonalnie przeciwny skutek.

Centralna magistrala polecenie–odpowiedź

Standaryzowane magistrale takie jak MIL-STD-1553 ograniczyły liczbę połączeń i ujednoliciły elektryczny oraz funkcjonalny interfejs. Kontroler przydziela wymiany, a terminale odpowiadają na polecenia.

Modernizacja Minuteman III w ramach Guidance Replacement Program pokazuje inną stronę tej zmiany: zestawy NS-20 zastąpiono zestawami NS-50, zachowując istniejącą stabilizowaną platformę. Publiczne źródło potwierdza zmianę komputera i oprogramowania, lecz nie ujawnia map komunikatów ani czasów.²³ Historyczna ciągłość nazwy i platformy nie zamyka więc dowodu interfejsu; wymiana wyposażenia otwiera go ponownie dla określonej konfiguracji.

Nowy mechanizm przeniósł ciężar dowodu na:

• plan kontrolera;
• role terminali;
• czas odpowiedzi;
• reakcję na brak odpowiedzi;
• zmianę kontrolera;
• zgodność słów polecenia, statusu i danych.

Rozproszony arbitraż CAN

CAN usunął konieczność przydzielania każdej wymiany przez centralny kontroler. Węzły konkurują o medium, a arbitraż zależy od identyfikatora. Ceną jest globalna zależność czasu odpowiedzi od priorytetów i całego ruchu o wyższym pierwszeństwie.

Dowód wymaga więc wykazu wszystkich konkurujących strumieni, granic ich napływu, długości ramek, blokowania i ponowień.

Łącza komutowane SpaceWire

Sieć z łączami punkt–punkt i routerami pozwala skalować liczbę połączeń, zwiększać równoległość i ograniczać część awarii fizycznych. Jednocześnie pakiet może zajmować kolejne zasoby, a blokada portu wyjściowego rozchodzić się wstecz przez trasę.

Dowód przenosi się na graf, bufory, routing, rozmiary pakietów, zależności między przepływami i stan po błędzie routera.

Sieci planowane i profile TSN

TTEthernet oraz profile TSN wykorzystują komutowany Ethernet, ale dodają mechanizmy planowania, synchronizacji, kształtowania i kontroli strumieni. Zmniejszają niekontrolowaną konkurencję, jednak wspólny czas i wersjonowana konfiguracja stają się zasobami krytycznymi.

Publicznie potwierdzone łącze danych i zdolność namierzenia po starcie w AIM-9X Block II ilustrują ponadto wyjście usługi poza pojedynczy pokład.²⁴ Granica platforma–pocisk wymaga kontraktu produktu, wieku, praw publikacji i zachowania po utracie źródła; samo istnienie łącza nie ujawnia żadnej z tych własności.

W kolejnych generacjach rosła zatem liczba mechanizmów pośrednich:

ciągłość toru analogowego
  → plan centralnego kontrolera
    → arbitraż rozproszony
      → graf tras i kolejki
        → wspólny czas, harmonogram i profil

Nie zmieniło się podstawowe pytanie: czy znacząca wielkość dociera do właściwego odbiorcy w swojej fazie ważności.

8. MIL-STD-1553: centralne sterowanie wymianą

MIL-STD-1553C definiuje cyfrową, multipleksowaną w czasie magistralę polecenie–odpowiedź wraz z linią, elektroniką interfejsową, sposobem przepływu informacji i formatami funkcjonalnymi.⁷ Standard rozróżnia kontroler magistrali, terminale zdalne oraz monitor. Wiadomość może składać się ze słowa polecenia, statusu i słów danych; w wymianie terminal–terminal uczestniczą dwa terminale, ale nadal zarządza nią kontroler.

Najważniejszą właściwością architektoniczną jest brak swobodnego nadawania przez terminal. Kontroler inicjuje wymianę. Daje to naturalne miejsce utrzymywania planu komunikacji, ale jednocześnie tworzy zależność od poprawności jego roli i harmonogramu.

Deterministyczność nie wynika automatycznie z nazwy standardu. Trzeba znać:

• pełny plan poleceń;
• długości odpowiedzi;
• przerwy między wymianami;
• zachowanie przy braku statusu;
• obsługę komunikatów wyjątkowych;
• ruch inicjalizacyjny;
• regułę zmiany kontrolera;
• stan obu kanałów, jeżeli zastosowano redundancję.

Dla produktu $i$ prosty budżet może mieć postać:

$$D_{i,calc}=W_{plan,i}+T_{cmd,i}+T_{turn,i}+T_{data,i} +T_{status,i}+T_{retry,i},$$

gdzie $W_{plan,i}$ jest najdłuższym oczekiwaniem na szczelinę planu, a $T_{retry,i}$ obejmuje tylko ponowienia dopuszczone przez model. Jeżeli po zmianie kontrolera plan rozpoczyna się od innej fazy, trzeba przeliczyć $W_{plan,i}$, a nie jedynie dodać stały „czas przełączenia”.

Mocną stroną tej klasy jest jawny arbiter i łatwa do wskazania sekwencja polecenie–odpowiedź. Słabą — zależność od kontrolera oraz wspólnego medium. Redundantny kanał nie pomaga, jeśli oba kanały korzystają z tej samej błędnej mapy danych albo błędnego planu.

STANAG 3838 potwierdza stosowanie klasy cyfrowej magistrali polecenie–odpowiedź w kontekście NATO, lecz publiczny rekord nie ujawnia konfiguracji konkretnej platformy.⁸ Nie wolno na tej podstawie przypisywać standardu wybranemu pociskowi.

9. CAN: arbitraż, blokowanie i błędy nadajnika

W klasycznym CAN identyfikator uczestniczy w niedestrukcyjnym arbitrażu bitowym. Węzeł przegrywający arbitraż przestaje nadawać bez niszczenia ramki zwycięzcy. Rozpoczęta transmisja pozostaje jednak niepreemptowalna: pilniejsza ramka, która pojawi się chwilę później, musi poczekać na zakończenie bieżącej.

Identyfikator nie jest automatycznie adresem ani kompletną definicją produktu. Jego znaczenie wynika z warstwy wyższej i konfiguracji odbiorców.

CAN wykrywa między innymi błędy CRC, formatu, potwierdzenia, monitorowania bitu i wstawiania bitów. Błędna transmisja jest przerywana, a protokół przewiduje ponowienie. Mechanizmy ograniczania błędów mogą doprowadzić wadliwy interfejs do stanu bus-off.⁹

To skutecznie ogranicza część klasy N2. Nie dowodzi jednak odporności na N1 ani N3. Węzeł stale zwierający medium może uniemożliwić działanie protokołu, a przejęty węzeł publikujący poprawne ramki o wysokim priorytecie może wyczerpać czas pozostałych.

Analiza czasu odpowiedzi

Poniższy formalizm opisuje wyłącznie zamknięty przebieg bez błędów ramek i bez automatycznych ponowień. Czasy $C_i$ zawierają dozwolone wstawianie bitów, ale nie serię transmisji przerwanych błędem. Jeżeli hipoteza dopuszcza błędy lub retransmisje, trzeba dodać ich ograniczoną liczbę oraz koszt do okresu zajętości i każdej iteracji; bez takiej granicy wzory nie ustanawiają skończonego czasu odpowiedzi.

Dla jednego niepreemptowalnego medium, stałych priorytetów i znanych strumieni okresowych lub sporadycznych można zastosować poprawioną analizę Davisa, Burnsa, Brila i Lukkiena.²²

Niech:

• $T_j$ będzie minimalnym odstępem uwolnień strumienia $j$;
• $C_j$ — górną granicą czasu transmisji;
• $J_j$ — granicą zmienności chwili zakolejkowania;
• $B_i$ — maksymalnym blokowaniem przez rozpoczętą ramkę o niższym priorytecie;
• $hp(i)$ — zbiorem strumieni ważniejszych;
• $hep(i)=hp(i)\cup\{i\}$.

Okres zajętości poziomu $i$ wyznacza iteracja:

$$t_i^{(0)}=C_i,$$

$$t_i^{(n+1)}= B_i+ \sum_{j\in hep(i)} \left\lceil \frac{t_i^{(n)}+J_j}{T_j} \right\rceil C_j.$$

Po osiągnięciu punktu stałego liczba instancji do sprawdzenia wynosi:

$$Q_i= \left\lceil \frac{t_i+J_i}{T_i} \right\rceil.$$

Dla każdej instancji $q=0,\ldots,Q_i-1$ inicjalizuje się $w_i^{(0)}(q)=B_i+qC_i$, a następnie oblicza:

$$w_i^{(n+1)}(q)= B_i+qC_i+ \sum_{j\in hp(i)} \left\lceil \frac{w_i^{(n)}(q)+J_j+\tau_{bit}}{T_j} \right\rceil C_j,$$

a następnie:

$$R_i^{CAN}(q)=J_i+w_i(q)-qT_i+C_i.$$

Iteracja kończy się dopiero przy $w_i^{(n+1)}(q)=w_i^{(n)}(q)$; monotonicznie uzyskana wartość jest najmniejszym punktem stałym dla tej inicjalizacji. Jeżeli przed zbieżnością wynik $J_i+w_i^{(n)}(q)-qT_i+C_i$ przekroczy termin, instancja jest już nieschedulowalna. Jeżeli ciąg rośnie bez osiągnięcia punktu stałego i nie ma wyprowadzonej skończonej granicy iteracji, nie wolno go arbitralnie uciąć ani ogłosić wyniku dodatniego — wynik analizy pozostaje OTWARTE albo negatywny według przyjętej reguły decyzji.

Końcowy wynik jest maksimum:

$$R_i^{CAN}= \max_{q=0,\ldots,Q_i-1}R_i^{CAN}(q).$$

Wynik kończy się na końcu transmisji, nie na gotowości aplikacji. Do $D_{use,i}$ trzeba dodać odbiór, przeniesienie z kontrolera, aktywację zadania, walidację i publikację obiektu.

Analiza ma sens tylko przy zamkniętym wykazie ruchu. Pominięta ramka diagnostyczna, seria rozruchowa, retransmisje albo inwersja priorytetu przed kontrolerem mogą unieważnić wynik.

10. SpaceWire: łącza, kredyty i blokowanie w sieci

SpaceWire powstał dla pokładowych systemów przetwarzania danych statków kosmicznych. ECSS-E-ST-50-12C Rev.1 obejmuje łącza, węzły, routery i sieci; standard figuruje w wykazie aktywnych standardów ECSS.¹⁴

Podstawą jest dwukierunkowe, szeregowe połączenie punkt–punkt. Standard określa warstwy fizyczną, sygnałową, znakową, wymiany, pakietową i sieciową, ale nie określa semantyki zawartości pakietu. Ta pozostaje obowiązkiem warstwy produktu.

Kontrola przepływu korzysta z kredytów sygnalizowanych tokenami. Nadajnik nie powinien przesyłać danych, jeżeli odbiorca nie potwierdził dostępnego miejsca. Chroni to bufor pojedynczego łącza, lecz nie ustanawia automatycznie globalnej granicy opóźnienia.

Router wykorzystujący przełączanie tunelowe (wormhole routing) może rozpocząć przekazywanie pakietu przed odebraniem go w całości. Port wyjściowy pozostaje przydzielony aż do zakończenia albo przerwania pakietu. Jeżeli wyjście jest zajęte, początek pakietu może zatrzymać się w routerze, a ograniczenie kredytów przenieść blokowanie na poprzednie łącza.¹⁴

Wynik czasu wymaga zatem:

1. grafu tras;
2. maksymalnych rozmiarów pakietów;
3. ograniczeń napływu;
4. arbitrażu każdego portu;
5. głębokości buforów;
6. zależności między trasami;
7. zachowania po błędzie łącza lub routera;
8. dowodu braku zakleszczenia dla dopuszczonego routingu.

Dwa przepływy używające różnych łączy wejściowych mogą nadal kolidować o ten sam port wyjściowy. Awaria jednego routera może przeciąć logicznie oddzielne trasy, jeżeli znajduje się w ich wspólnym zbiorze zależności.

SpaceWire udostępnia również mechanizmy dystrybucji kodów czasu, ale obecność takiego kodu nie dowodzi dokładności znacznika aplikacyjnego. Trzeba znać miejsce jego zatrzaśnięcia, opóźnienie, jakość źródła i reakcję na utratę ciągłości.

11. TTEthernet i TSN: planowanie w sieci komutowanej

TTEthernet

ECSS-E-ST-50-16C definiuje wykorzystanie Time-Triggered Ethernet w statkach kosmicznych i harmonizuje odpowiednie elementy IEEE 802.3 oraz SAE AS6802.¹⁰ Architektura rozróżnia ruch:

• wyzwalany czasem — TT;
• ograniczony szybkością — RC;
• niewymagający deterministycznej gwarancji — BE.

Ruch TT jest związany ze wspólnym czasem i planem. Jego zaletą jest możliwość oddzielenia zaplanowanych wymian od konkurencji zdarzeniowej. Ceną są nowe zależności:

• synchronizacja zegarów;
• poprawność planu wszystkich uczestników;
• zgodność konfiguracji przełączników;
• zachowanie węzła nadającego poza oknem;
• stan po utracie synchronizacji;
• kontrola zgodności okresów integracji i członkostwa w domenie czasu.

Ruch RC nadal wymaga granic napływu i analizy kolejek. BE może wykorzystywać pozostałą pojemność, ale nie może naruszać usług klas chronionych.

NASA opisuje użycie klas TT, RC i BE oraz przełączania warstwy trzeciej w publicznej architekturze Lunar Gateway. Laboratorium ANVIL służy do demonstracji i walidacji przepływu przez reprezentatywną sieć, w tym podczas rekonfiguracji topologii.^11,19 Jest to przykład metody integracji sieci statku kosmicznego, nie źródło o magistrali konkretnego pocisku.

Time-Sensitive Networking

TSN nie jest jednym protokołem. Jest rodziną mechanizmów IEEE 802.1 obejmującą między innymi synchronizację, planowanie kolejek, kształtowanie ruchu, filtrowanie strumieni, preempcję i replikację.¹²

Samo stwierdzenie „użyto TSN” nie określa:

• które mechanizmy wybrano;
• jaki obowiązuje profil;
• ile jest klas i kolejek;
• które strumienie są planowane;
• jak ogranicza się źródła;
• jak działa synchronizacja;
• jakie trasy i rezerwy ustanowiono;
• co dzieje się po utracie czasu.

IEEE/SAE 802.1DP-2025 jest od 7 listopada 2025 roku aktywnym profilem TSN dla pokładowego Ethernetu lotniczego i kosmicznego. Profil wybiera cechy, opcje, konfiguracje i procedury potrzebne do budowania deterministycznych sieci pokładowych.¹³ Nie jest jednak publicznym potwierdzeniem jego użycia w określonym uzbrojeniu.

Porównanie mechanizmów

Rodzina	Przydział zasobu	Główne źródło deterministyczności	Typowy słaby punkt argumentu
MIL-STD-1553	centralny kontroler inicjuje wymiany	kontrolowany plan poleceń i odpowiedzi	błąd kontrolera, planu albo zmiany roli
CAN	rozproszony arbitraż priorytetowy	stałe priorytety i ograniczony ruch	niepełny wykaz ruchu, blokowanie, retransmisje, N1/N3
SpaceWire	łącza punkt–punkt i routery	równoległość łączy oraz kontrola przepływu	blokowanie wstecz, wspólne porty, routing i bufory
TTEthernet	plan TT oraz ograniczenia RC	wspólny czas i harmonogram	utrata synchronizacji lub niezgodna konfiguracja planu
TSN	profil mechanizmów Ethernetu	planowanie, kształtowanie, filtrowanie i profil	niepełny profil, kolejki, wspólny czas i zmiana tras

Wspólny scenariusz porównawczy pokazuje różnicę bez udawania, że rodziny są zamienne. Syntetyczny produkt X ma $64 \mathrm{B}$, okres $10 \mathrm{ms}$ i limit dostarczenia każdej zachowanej instancji $5 \mathrm{ms}$. Rozpatrujemy dwa odrębne kontrakty awaryjne. W wariancie X-LOSS pojedyncza awaria może usunąć najwyżej jedną instancję; nie retransmituje się jej, a następna okresowa instancja znów podlega granicy $5 \mathrm{ms}$. W wariancie X-RETRY utrata instancji jest zabroniona i tę samą wartość trzeba dostarczyć przed upływem jej pierwotnego terminu. W chwili uwolnienia występuje najgorszy dozwolony ruch konkurencyjny, a następnie pojedyncza awaria elementu należącego do drogi. Liczby nie opisują realnego uzbrojenia; są wspólnym zestawem pytań do pięciu odmiennych mechanizmów.

Rodzina	Jak X uzyskuje dostęp	Co wyznacza granicę nominalną	Próba pojedynczej awarii	Nowe zobowiązanie po odzyskaniu
MIL-STD-1553	kontroler umieszcza wymianę X w planie	poprzedzające komendy, odpowiedzi, odstępy i najdłuższa dopuszczona gałąź planu	utrata aktywnej magistrali, brak albo spóźniony status terminala oraz przejście na drogę zapasową	wykazać rolę kontrolera, wersję planu, stan terminali i brak podwójnego wykonania komendy
CAN	X konkuruje stałym priorytetem	jedna rozpoczęta ramka o niższym priorytecie, wszystkie wyższe priorytety, jitter i dopuszczone ponowienia	błąd kopii X, seria błędów nadajnika i wejście w stan ograniczenia błędów	wykazać ponowny dostęp bez nieograniczonej serii i zachować sekwencję produktu
SpaceWire	X przechodzi wyznaczoną trasą przez porty z kredytami	pakiety blokujące, kredyty, bufory i zależności między kolejnymi portami	utrata łącza lub portu oraz przejście na trasę alternatywną	ponownie policzyć cały graf blokowania, części wspólne i wiek po zmianie trasy
TTEthernet	X otrzymuje szczelinę TT albo klasę RC w zatwierdzonym planie	faza względem planu, synchronizacja, kolejki RC i replikacja	utrata synchronizacji, kontrolera synchronizacji albo jednej repliki	ustanowić poprawny stan zegara i spójną wersję planu przed przywróceniem praw
profil TSN	X jest strumieniem z zestawem wybranych mechanizmów profilu	bramy czasowe, kształtowanie, priorytety, preempcja, filtrowanie i trasa	utrata czasu, portu lub zgodności konfiguracji strumienia	wykazać wersję profilu, konfigurację wszystkich mostów i zachowanie po zmianie ścieżki

Krótki rachunek dla syntetycznego wariantu centralnie planowanego ujawnia konsekwencję takiego mechanizmu. Nie jest to parametr MIL-STD-1553 ani żadnego rzeczywistego uzbrojenia. Niech cykl planu trwa $4{,}00 \mathrm{ms}$, X ma jedną okazję w cyklu, kompletna wymiana polecenie–dane–status wraz z odstępami zajmuje najwyżej $0{,}55 \mathrm{ms}$, a walidacja odbiorcy $0{,}25 \mathrm{ms}$. Uwolnienie tuż po szczelinie daje

$$D_{X,calc}^{max}<4{,}00+0{,}55=4{,}55 \mathrm{ms}, \qquad D_{use,X,calc}^{max}<4{,}80 \mathrm{ms},$$

czyli spełnienie granicy $5 \mathrm{ms}$ w stanie nominalnym. Jedna utracona okazja przesuwa tę samą instancję do następnego cyklu i daje $D_{X,calc}^{retry}<8{,}55 \mathrm{ms}$. Wariant X-RETRY jest więc NIE SPEŁNIA, chyba że plan zawiera niezależną okazję zapasową. Wariant X-LOSS nie nakazuje tej retransmisji: utracona instancja jest liczona jako jedna dopuszczona strata, a ocenie podlega następna instancja okresowa. Ta spełni granicę tylko wtedy, gdy pojedyncza awaria nie odebrała również jej zaplanowanej drogi. Plan nie usuwa problemu awarii — czyni miejsce potrzebnej redundancji policzalnym.

Dla porównania przyjmijmy syntetyczną sieć komutowaną, również niebędącą parametrem żadnego standardu ani wyrobu. Nominalna droga X ma trzy łącza $100 \mathrm{Mbit/s}$; po doliczeniu narzutu przesyła się $80 \mathrm{B}$, każde wyjście wnosi najwyżej $0{,}20 \mathrm{ms}$ oczekiwania, a walidacja odbiorcy $0{,}25 \mathrm{ms}$. Konserwatywny wariant store-and-forward daje

$$D_{use,X}^{sw,nom} \le 3\left(0{,}0064+0{,}20\right) \mathrm{ms}+0{,}25 \mathrm{ms} =0{,}8692 \mathrm{ms}.$$

W osi X-RETRY instancja zostaje uwolniona w $t_r=0$, pierwsza transmisja zaczyna się natychmiast, a awaria portu występuje nie później niż w $\delta_{fail}=0{,}20 \mathrm{ms}$ od uwolnienia. Czas zużyty na nieskutecznej drodze jest więc jawnie ograniczony przez $\delta_{fail}$. Źródło zachowuje niezmienną kopię aż do potwierdzenia albo terminu produktu. Od wystąpienia awarii jej wykrycie trwa najwyżej $1{,}00 \mathrm{ms}$, aktywacja wcześniej zatwierdzonej drogi czterołączowej $1{,}50 \mathrm{ms}$, a oczekiwanie na każdym z czterech wyjść nadal najwyżej $0{,}20 \mathrm{ms}$. Wszystkie składniki poniżej biegną zatem od wspólnego $t_r$:

$$D_{use,X}^{sw,retry} \le0{,}20+1{,}00+1{,}50 +4\left(0{,}0064+0{,}20\right)+0{,}25 =3{,}7756 \mathrm{ms}<5 \mathrm{ms}.$$

Oba rachunki wymagają jednak dowodu niezależności drogi zapasowej, zamkniętej konfiguracji tras i ograniczeń wszystkich kolejek. W sieci centralnie planowanej miejsce redundancji pojawia się w planie; w komutowanej — również w grafie tras i stanie portów.

Nie porównuje się samych nominalnych przepływności. Dla tego samego X zmieniają się mianownik analizy, miejsce gromadzenia ruchu, typ stanu pamiętanego i artefakt potrzebny po awarii.

Nie istnieje technologia najlepsza niezależnie od wymagań. Wybór jest kompromisem między masą, energią, liczbą węzłów, czasem rozruchu, przepustowością, regionami awarii, dojrzałością narzędzi i kosztem dowodu.

12. Kolejki i granice opóźnienia

W pełnodupleksowym Ethernecie punkt–punkt nie ma kolizji znanej ze współdzielonego medium, ale wiele strumieni może konkurować o ten sam port wyjściowy.

Czas serializacji ramki o długości $F$ bitów przy szybkości $v_{\mathrm{link}}$ wynosi:

$$t_{\mathrm{ser}}=\frac{F}{v_{\mathrm{link}}}.$$

Jest to tylko jeden składnik. Pełna droga może obejmować:

$$D_{use,i,calc}= t_{\mathrm{kolejka}} +t_{\mathrm{ser}} +t_{\mathrm{prop}} +t_{\mathrm{przełączanie}} +t_{\mathrm{bramka}} +t_{\mathrm{odb}} +t_{\mathrm{walidacja}}.$$

Dla sieci wieloetapowej potrzebna jest granica każdego portu. Suma osobno wyznaczonych maksimów może być bezpieczną, lecz luźną górną granicą nawet wtedy, gdy składniki nie występują jednocześnie. Nie wolno przedstawiać jej jako osiągalnego lub ciasnego najgorszego przypadku bez wspólnego modelu przebiegu ani zakładać niezależności składników bez uzasadnienia.

Priorytet ścisły skraca opóźnienie najwyższej klasy, ale może głodzić niższą. Podział ważony ogranicza głodzenie kosztem dodatkowego oczekiwania. Preempcja może zmniejszyć blokowanie przez długą ramkę, lecz wprowadza fragmentację i własne reguły weryfikacji. Bramka czasowa ogranicza chwile otwarcia kolejki, ale jej dowód zależy od wspólnego czasu.

Do modelu kolejki potrzebne są przynajmniej:

• granica napływu każdego strumienia;
• maksymalny rozmiar ramki lub pakietu;
• dopuszczalna seria;
• polityka obsługi;
• współdzielony port;
• pojemność bufora;
• reguła odrzucania;
• ruch poawaryjny;
• stan po zmianie trasy.

Średnie obciążenie poniżej 100% jest warunkiem stabilności w prostym modelu, lecz nie wyklucza chwilowego przepełnienia. Krótka seria może zapełnić bufor mimo dużej średniej rezerwy.

13. Czas, świeżość i epoka

Częstotliwość opisuje tempo zegara. Faza jest przesunięciem względem odniesienia. Błąd czasu jest różnicą wskazań. Dryft opisuje narastanie tej różnicy wskutek błędu częstotliwości. Epoka nadaje znaczenie licznikowi po uruchomieniu, resecie albo zawinięciu.

Znacznik czasu musi dotyczyć konkretnej chwili:

• zdarzenia fizycznego;
• rozpoczęcia akwizycji;
• zakończenia filtru;
• utworzenia produktu;
• przekazania do transmisji;
• odbioru.

Znacznik utworzony przez sterownik po odebraniu ramki nie jest równoważny czasowi próbki sensora.

Po utracie odniesienia zegar może pracować w podtrzymaniu. Prosty konserwatywny model niepewności ma postać:

$$U(t)=U_0+U_c+\rho t,$$

gdzie $U_0$ jest niepewnością początkową, $U_c$ — stałą niepewnością toru, a $\rho$ — granicą względnego błędu częstotliwości. Parametr $\rho$ musi obejmować temperaturę, drgania, zasilanie i starzenie w ocenianej obwiedni.

Gdy jakość czasu przestaje pozwalać na ocenę wieku, odbiorca nie może po cichu utrzymać statusu AKTUALNY. Powinien przejść do WIEK_NIEZNANY albo unieważnić produkt zgodnie z kontraktem.

Czas monotoniczny nadaje się do timerów i wieku, ponieważ w obrębie epoki nie powinien się cofać. Czas cywilny służy korelacji zapisów. Skok wstecz mógłby odmłodzić stary produkt, a skok w przód — przedwcześnie go unieważnić.

Szczegółowa fizyka oscylatorów, PLL, dystrybucji zegara, synchronizacji i przejść między domenami została rozwinięta w monografii Zegary, synchronizacja i deterministyczny czas. Tutaj czas jest składnikiem kontraktu produktu i decyzji odbiorcy.

14. Integralność od końca do końca

CRC chroni kodowane słowo w granicach określonego algorytmu i modelu błędu. Sama szerokość CRC nie wyznacza odległości Hamminga; skuteczność zależy od wielomianu, długości chronionych danych i klasy błędów.¹⁶

Ochrona produktu powinna objąć:

• wartość;
• identyfikator produktu;
• wersję;
• czas źródła;
• epokę;
• sekwencję;
• status jakości;
• źródło;
• uprawnienie.

Naruszenie	Przydatny mechanizm	Luka pozostająca do zamknięcia
przekłamanie ramki	kod linii, CRC i odrzucenie	błąd po kontroli CRC albo błąd wspólnego nadajnika i odbiornika
błąd pamięci lub DMA	ECC, parzystość, kontrola deskryptora	błędny adres, częściowa aktualizacja, wspólny błąd kodu
utrata lub duplikacja	sekwencja i timer	legalne zawinięcie, reset oraz stara epoka
stary produkt	czas źródła i limit wieku	nieograniczona relacja zegarów
błędna transformacja	wersjonowana reguła, zakres i wektory referencyjne	semantycznie błędna, lecz arytmetycznie poprawna reguła
podszycie	uwierzytelnienie i ochrona przed powtórzeniem	przejęty, nadal uprawniony nadajnik
nadmiar ruchu	ogranicznik i nadzór zasobów	błędnie ustalony limit legalnej serii

Dekoder powinien sprawdzać długość i reprezentację przed wykonaniem arytmetyki. Pola zarezerwowane wymagają wartości nadawczej i jawnej reakcji odbiorcy. Opcjonalne pola potrzebują wersji albo negocjacji zdolności.

15. Bramka protokołów i granice domen zegarowych

Bramka nie jest przezroczystym przewodem. Jako odbiorca kończy kontrakt wejściowy, a jako wytwórca ustanawia nowy kontrakt wyjściowy. Jeżeli zmienia jednostkę, okres, identyfikator, protokół, epokę albo sposób buforowania, tworzy nowy produkt.

Bramka powinna zachować lub jawnie przekształcić:

• wartość;
• jednostkę i skalę;
• zakres;
• wersję;
• status jakości;
• czas źródła;
• niepewność czasu;
• sekwencję źródła;
• własną sekwencję publikacji;
• przyczynę nieważności.

FIFO zachowuje kolejność zdarzeń kosztem wzrostu wieku. Bufor „ostatnia wartość” usuwa zdarzenia pośrednie. Agregacja tworzy produkt o innym znaczeniu. Żadna z tych polityk nie jest neutralna.

Przy przejściu między domenami zegarowymi synchronizator pojedynczego bitu nie zapewnia spójności słowa wielobitowego. Stosuje się protokół żądanie–potwierdzenie, utrzymanie danych, kod Graya albo asynchroniczne FIFO. Bruno i Eschemann pokazują różnice między synchronizacją pojedynczego bitu, sygnałem przełączanym, potwierdzeniem i FIFO, a także wymóg utrzymania danych w interfejsie gotowość–ważność, gdy odbiorca wycofuje gotowość.¹⁸ Źródło to jest materiałem dydaktycznym; dobór rozwiązania krytycznego wymaga dokumentacji konkretnego układu i niezależnej analizy CDC.

Szczegółową implementację FPGA, metastabilność, reset i domknięcie czasowe omawia monografia FPGA w elektronice pokładowej. Dla magistrali istotny jest obserwowalny kontrakt: czy produkt został przyjęty dokładnie raz, ze spójnymi metadanymi, w dopuszczalnym wieku.

16. Redundancja i kontrolowany powrót

W układzie z dwiema aktywnymi ścieżkami odbiorca porównuje albo eliminuje duplikaty. W układzie aktywnym z rezerwą trzeba wykazać gotowość rezerwy i czas przełączenia. Oba warianty wymagają reguły wyboru produktu.

Okno eliminacji duplikatów musi obejmować różnicę opóźnień. Zbyt krótkie przepuści kopię opóźnioną, zbyt długie może pomylić nową sekwencję ze starą po zawinięciu licznika. Po zmianie trasy trzeba przeliczyć kolejki i wiek, nawet jeżeli przepustowość fizycznego łącza się nie zmieniła.

Kontrolowany powrót powinien zachować kolejność:

wykrycie
  → izolacja
    → kwalifikacja odzyskanej ścieżki
      → potwierdzenie czasu i konfiguracji
        → identyfikator kandydującej epoki
          → lokalne unieważnienie starych buforów A
            → potwierdzenia odbiorców wraz z wynikiem czyszczenia
              → atomowe zatwierdzenie epoki i praw

Sam powrót sygnału elektrycznego nie przywraca prawa publikacji. Ścieżka może nadal przechowywać starą ramkę, używać starej epoki albo mieć niezgodny obraz.

17. Cyberbezpieczeństwo i zasoby wykonawcze

Deklarowana tożsamość źródła w $P_i$ nie jest kryptograficznym dowodem autentyczności. Przy aktywnym przeciwniku potrzebny jest osobny model zagrożeń obejmujący granice zaufania, możliwości przeciwnika, klucze, aktualizacje, powtórzenia i wyczerpanie zasobów.

NIST SP 800-193 porządkuje odporność firmware’u przez ochronę przed nieautoryzowaną zmianą, wykrywanie zmiany i bezpieczne odtwarzanie.¹⁷ Zastosowanie tych zasad nie dowodzi samo w sobie bezpieczeństwa funkcjonalnego magistrali, ale wyznacza właściwy kierunek dla obrazu sterownika, FPGA i konfiguracji interfejsu.

Bezpieczny rozruch potwierdza tożsamość obrazu. Nie potwierdza, że:

• obraz pasuje do rewizji sprzętu;
• mapa danych jest zgodna z odbiorcami;
• harmonogram spełnia terminy;
• kalibracja dotyczy danego egzemplarza;
• konfiguracja tras jest właściwa;
• koszty kryptografii mieszczą się w $D_{use,i}$.

Jeżeli weryfikacja jednego produktu trwa $t_{auth}$, seria $n$ produktów zużywa co najmniej $n t_{auth}$ czasu obliczeniowego, chyba że wykazano równoległość. Ograniczenie nadmiarowego ruchu musi znajdować się przed zasobem, który mógłby zostać wyczerpany.

Uwierzytelniony nadajnik nadal może działać wadliwie. Dlatego niezależna domena powinna egzekwować prawa fazowe, granice częstości, rozmiaru i zużycia zasobów.

18. Studium 1: margines zniszczony przez niepewność

Studium dotyczy neutralnego mechanizmu regulacyjnego, a nie rzeczywistego pocisku.

Dane i status

Element	Status
horyzont fizyczny $H_{phys}=5{,}00 \mathrm{ms}$	[ZAŁOŻENIE STUDIUM]
rezerwa mechaniczna $H_{mech}=1{,}00 \mathrm{ms}$	[ALOKACJA]
limit do interfejsu aktuatora $H_{1,int}=4{,}00 \mathrm{ms}$	[WYMAGANIE STUDIUM]
okres akwizycji $T_s=0{,}30 \mathrm{ms}$	[ZAŁOŻENIE]
jedna dopuszczona pominięta okazja akwizycji	[HIPOTEZA AWARII]
resztkowa niepewność $E_{res}=0{,}14 \mathrm{ms}$	[ZAŁOŻENIE DO DECYZJI]

Wartość $E_{res}$ nie jest pojedynczą rezerwą dobraną arbitralnie. W syntetycznym bilansie składają się na nią: błąd przypisania chwili próbki $U_{stamp}=0{,}05 \mathrm{ms}$, niepewność korelacji zegarów $U_{clock}=0{,}04 \mathrm{ms}$, rozdzielczość i kwantyzacja pomiaru czasu $U_{meas}=0{,}02 \mathrm{ms}$ oraz reszta modelu wykonania $U_{model}=0{,}03 \mathrm{ms}$. Brak dowodu niezależności i rozkładów wymusza konserwatywną sumę liniową:

$$E_{res}=U_{stamp}+U_{clock}+U_{meas}+U_{model} =0{,}05+0{,}04+0{,}02+0{,}03 =0{,}14 \mathrm{ms}.$$

Składniki nie obejmują czasów już wpisanych do tabeli budżetu. Gdy pomiar wykaże korelację albo wspólną przyczynę, bilans pozostaje liniowy lub zostaje powiększony; przejście na składanie statystyczne wymagałoby osobnego uzasadnienia rozkładów i poziomu ufności.

Limit interfejsowy wynika z alokacji:

$$H_{1,int}=H_{phys}-H_{mech}=4{,}00 \mathrm{ms}.$$

Dwie konfiguracje to trasa nominalna nom i trasa po przełączeniu sw.

Budżet

Składnik	Granica
akwizycja	$0{,}25 \mathrm{ms}$
filtr	$0{,}80 \mathrm{ms}$
przetwarzanie źródła	$0{,}20 \mathrm{ms}$
oczekiwanie na pierwszy odcinek	$0{,}50 \mathrm{ms}$
pierwszy odcinek	$0{,}10 \mathrm{ms}$
bramka	$0{,}25 \mathrm{ms}$
oczekiwanie na drugi odcinek	$0{,}40 \mathrm{ms}$
drugi odcinek	$0{,}10 \mathrm{ms}$
dodatkowe przełączenie trasy	$0/0{,}20 \mathrm{ms}$
walidacja odbiorcy	$0{,}35 \mathrm{ms}$
reakcja do granicy interfejsu	$0{,}20 \mathrm{ms}$

Od początku skutecznej akwizycji do użycia otrzymujemy:

$$t_{\mathrm{sample\to use}}= \begin{cases} 2{,}95 \mathrm{ms},&nom,\\ 3{,}15 \mathrm{ms},&sw. \end{cases}$$

Najgorszy przypadek obejmuje jedną pominiętą okazję, więc oczekiwanie na próbkę wynosi $0{,}60 \mathrm{ms}$. Dla trasy po przełączeniu:

$$H_{1,int,calc}=0{,}60+3{,}15+0{,}20 =3{,}95 \mathrm{ms}.$$

Pozorny margines wynosi tylko:

$$M_H=4{,}00-3{,}95=0{,}05 \mathrm{ms}.$$

Po dodaniu resztkowej niepewności:

$$H_{1,int,bound}+E_{res} =3{,}95+0{,}14 =4{,}09 \mathrm{ms}.$$

Wynik i decyzja — Studium 1

Kryterium	Wynik
bazowy rachunek do interfejsu	SPEŁNIA z marginesem $0{,}05 \mathrm{ms}$
rachunek z niepewnością	NIE SPEŁNIA o $0{,}09 \mathrm{ms}$
pełny skutek mechaniczny	OTWARTE, ponieważ $H_{mech}$ nie został zweryfikowany

[DECYZJA] Konfiguracji sw nie należy zatwierdzać na podstawie bazowej sumy. Dopuszczalne drogi dalszej pracy to zmniejszenie górnych granic któregoś składnika, ograniczenie resztkowej niepewności albo zmiana alokacji potwierdzona nową analizą mechaniki.

[REGRESJA] Zmiana okresu próbkowania, filtru, bramki, trasy, aktywacji zadania, zegara lub niepewności wymaga ponownego przeliczenia całego zsynchronizowanego przebiegu. Nie wolno odzyskać marginesu przez zestawienie minimów i maksimów z różnych prób.

19. Studium 2: bramka, seria i transformacja semantyczna

Bramka odbiera trzyrekordową serię produktów $B$, przekształca je w produkty $G$ i publikuje w oknach co $2 \mathrm{ms}$.

Chwilą uwolnienia każdej instancji G, oznaczoną $\gamma_G$, jest zakończenie transformacji i atomowy wpis zaakceptowanej serii do FIFO. W konkretnym śladzie $\gamma_G=0{,}35 \mathrm{ms}$ dla wszystkich trzech rekordów. $D_G$ mierzy czas od $\gamma_G$ do końca transmisji danego G, a $D_{use,G}$ — od tej samej $\gamma_G$ do zakończenia walidacji i udostępnienia odbiorcy. Obwiednia fazowa przesuwa $\gamma_G$ tuż za okno serwera, nie zmieniając tych dwóch granic pomiaru.

Model czasowo-pojemnościowy

Pełny początkowo ogranicznik żetonowy ma pojemność:

$$b=3$$

oraz tempo odnawiania:

$$r_b=0{,}2 \text{rekordu/ms}.$$

Serwer wyjściowy usuwa jeden rekord co $2 \mathrm{ms}$:

$$\mu=0{,}5 \text{rekordu/ms}.$$

Każdy rekord ma $80 \mathrm{B}$. Stan początkowy studium jest jawny: $Q_{FIFO}(0)=0$, a kubeł ma $z(0)=3$ żetony. Seria trzech rekordów trafia niepodzielnie do FIFO w $t=0{,}35 \mathrm{ms}$. Kolejny zgodny rekord może zostać dopuszczony najwcześniej po odnowieniu żetonu. Gdyby w chwili przyjęcia serii istniało $q_0>0$ wcześniejszych rekordów, potrzebna pojemność wzrosłaby do co najmniej $q_0+3$; dlatego wynik $Q_{max}=3$ obowiązuje wyłącznie przy wskazanym stanie początkowym albo przy równoważnym niezmienniku wymuszającym pustą FIFO przed atomowym przyjęciem serii.

Faza serwera. [WARUNEK MODELU] Początek osi $t=0$ leży tuż po zamknięciu okna serwera. Następne okna zaczynają się w $2{,}00$, $4{,}00$, $6{,}00$, $8{,}00\ldots \mathrm{ms}$, a każde zdejmuje najwyżej jeden rekord. Jeżeli przyjęcie rekordu, odnowienie żetonu i początek okna mają ten sam znacznik czasu, kolejność jest stała: najpierw aktualizuje się stan żetonów, następnie dopuszcza i atomowo wpisuje całą zaakceptowaną serię, a na końcu serwer wybiera rekord z FIFO. Seria wpisana w $0{,}35 \mathrm{ms}$ nie może więc skorzystać z okna w $0$; jej rekordy obsługują okna $2$, $4$ i $6 \mathrm{ms}$. Do obwiedni dowolnej fazy przyjmuje się jeszcze mniej korzystne nadejście tuż po oknie: ostatni rekord serii czeka pełne trzy okresy serwera.

Ponieważ $\mu>r_b$, ruch jest stabilny średnio. Nie oznacza to jednak, że FIFO o pojemności jednego rekordu wystarczy. Początkowa seria wymaga:

$$Q_{max}=3 \text{rekordy}=240 \mathrm{B}.$$

Niezmiennik kolejki ma postać $0\le Q(t)\le3$. Po początkowym przyjęciu $Q=3$. Ogranicznik odnawia najwyżej jeden żeton na $5 \mathrm{ms}$, ponieważ $r_b=0{,}2$ rekordu/ms, natomiast serwer ma w każdym takim przedziale co najmniej dwa okna i usuwa do dwóch oczekujących rekordów. Przed pierwszym odnowieniem kolejka maleje w oknach $2$ i $4 \mathrm{ms}$ z 3 do 1; dopuszczenie jednego rekordu podnosi ją najwyżej do 2. Indukcyjnie między kolejnymi dopuszczeniami serwer usuwa co najmniej tyle rekordów, ile ogranicznik może dodać. Przy ustalonej wcześniej kolejności zdarzeń równoczesnych żadne odnowienie nie zwiększa więc $Q$ powyżej 3. Dowód przestaje obowiązywać po zmianie tempa, fazy serwera, atomowości serii albo stanu początkowego.

Rekord na końcu najgorszej serii może oczekiwać na trzy okna:

$$D_{G,calc}^{trace}=(6{,}00+0{,}10)-0{,}35 =5{,}75 \mathrm{ms},$$

gdzie $0{,}10 \mathrm{ms}$ jest transmisją. Po walidacji trwającej $0{,}30 \mathrm{ms}$:

$$\begin{aligned} D_{G,calc}^{phase} &=3\cdot2{,}00+0{,}10\\ &=6{,}10 \mathrm{ms},\\ D_{use,G,calc}^{trace} &=5{,}75+0{,}30\\ &=6{,}05 \mathrm{ms},\\ D_{use,G,calc}^{phase} &=6{,}10+0{,}30\\ &=6{,}40 \mathrm{ms}. \end{aligned}$$

Przy limitach:

$$D_G=6{,}50 \mathrm{ms},\qquad D_{use,G}=6{,}90 \mathrm{ms},$$

marginesy wynoszą odpowiednio $0{,}40$ i $0{,}50 \mathrm{ms}$. Resztkowa niepewność wspólna dla obu wyników musi więc spełniać ciaśniejszy warunek:

$$E_{res,G}\le0{,}40 \mathrm{ms}.$$

Transformacja semantyczna

Wejście $x$ jest 16-bitową liczbą bez znaku w skali $0{,}1 \mathrm K$. Dopuszczony zakres to:

$$1732\le x\le3732.$$

Wyjście $y$ jest 16-bitową liczbą ze znakiem w skali $0{,}01 ^\circ\mathrm C$:

$$y=10x-27315.$$

Dla $x=2534$:

$$T_C=253{,}4-273{,}15=-19{,}75 ^\circ\mathrm C,$$

$$y=-1975.$$

Większa liczba cyfr wyjściowych nie zwiększa rozdzielczości sensora. Produkt zachowuje niepewność wejściową.

Wektor	Oczekiwany wynik
$x=1732$	$y=-9995$, status WAŻNY
$x=3732$	$y=10005$, status WAŻNY
$x=1731$ lub $3733$	NIEWAŻNY, bez nasycenia
poprawna liczba i nieważna kalibracja	NIEWAŻNY, przyczyna zachowana
nieobsługiwana wersja	odrzucenie bez cichej konwersji
nieznana relacja czasu	CZAS_NIEZNANY, bez odświeżenia czasu źródła

Rejestr ostatniej wartości ma stany PUSTY, WAŻNY i NIEAKTUALNY. Tylko kompletnie zwalidowany produkt może atomowo ustanowić stan WAŻNY. NIEWAŻNY i CZAS_NIEZNANY są statusami wyniku walidacji odrzuconego wejścia, zapisywanymi w diagnostyce; nie zastępują stanu rejestru. Zależnie od kontraktu rejestr zachowuje wcześniejszy WAŻNY produkt do granicy jego wieku albo przechodzi do NIEAKTUALNY, a w stanie początkowym pozostaje PUSTY. Powtórzenie produktu nie zmienia czasu ani sekwencji źródła; może zwiększać wyłącznie sekwencję publikacji bramki.

Wynik i decyzja — Studium 2

Pole	Status
pojemność FIFO	SPEŁNIA w modelu dla co najmniej trzech rekordów
$D_G$ i $D_{use,G}$	SPEŁNIA, jeżeli $E_{res,G}\le0{,}40 \mathrm{ms}$
transformacja wartości i granic	SPEŁNIA dla podanych wektorów
wiek $A_G$	OTWARTE, brak granicy wieku wejściowego
rozstęp latencji $V_G$	OTWARTE, brak dolnej granicy i kryterium
reakcje na pełny zbiór naruszeń	OTWARTE
kwalifikacja produktu G	OTWARTE

[DECYZJA] Przyjąć architekturę FIFO o logicznej pojemności co najmniej trzech rekordów i zakaz odświeżania czasu źródła przez powtórzenie. Nie zatwierdzać całej usługi przed ustaleniem $A_G$, niepewności czasu i terminów reakcji.

[REGRESJA] Zmiana pojemności ogranicznika, tempa napływu, okresu okien, rozmiaru produktu, polityki FIFO, wzoru konwersji, zakresu lub statusów wymaga ponownego przejścia obu torów. Zmiana tylko arytmetyki nie zwalnia z regresji czasu, jeśli modyfikuje latencję bramki.

20. Studium 3: utrata ścieżki, czasu i kontrolowany powrót

Dwie ścieżki przenoszą trzy klasy produktów. W syntetycznym przebiegu $t=0$ oznacza jednocześnie zanik zewnętrznego odniesienia czasu i rozpoczęcie uszkodzenia PATH_A typu omission; model nie przypisuje tej awarii tworzenia poprawnie zakodowanych, lecz fałszywych danych. PATH_B pozostaje sprawna.

Monitor drogi wykrywa brak A w granicy $\Delta_{det,A}^{max}=0{,}20 \mathrm{ms}$, a selektor odbiorcy odbiera jej prawa i czyści lokalną kolejkę w kolejnych $\Delta_{iso,A}^{max}=0{,}05 \mathrm{ms}$. Do chwili izolacji odbiorca eliminuje kopie według pary epoka–sekwencja: ostatnia poprawna ramka A rozpoczęta przed $t=0$ może zostać użyta najwyżej raz, a jej kopia B zostaje rozpoznana jako duplikat. Od $t=0{,}25 \mathrm{ms}$ każda ramka przychodząca portem A jest odrzucana niezależnie od CRC, a produkty już umieszczone w jego buforze są unieważnione. Dla K1 ścieżka A ma syntetyczne granice gotowości $D_{use,K1,A}^{min}=0{,}15 \mathrm{ms}$ i $D_{use,K1,A}^{max}=0{,}45 \mathrm{ms}$; B ma odpowiednio $0{,}17$ i $0{,}54 \mathrm{ms}$. Najgorszy handover zachodzi, gdy ostatni zaakceptowany produkt A jest gotowy najwcześniej, a następny produkt okresowy dociera po B najpóźniej:

$$I_{K1,A\to B}^{max} \le0{,}50+0{,}54-0{,}15 =0{,}89 \mathrm{ms}<I_{K1}^{max}.$$

B publikuje bez przerwy, a kopia tej samej sekwencji nie odświeża produktu. Twierdzenie o ciągłości transportu i użycia podczas przełączenia obowiązuje zatem tylko dla tak ograniczonej awarii omission, wskazanych granic obu ścieżek, detekcji i izolacji oraz działającej eliminacji duplikatów.

R-3a: ocalała ścieżka

PATH_B jest syntetycznym CAN o stałych priorytetach. Model wyklucza błędy ramek, retransmisje i dodatkowy ruch.

Priorytety są jednoznaczne: K1 ma priorytet wyższy niż K2, a K2 wyższy niż K3. Przyjmujemy $\tau_{bit}=0{,}01 \mathrm{ms}$. Niepreempcyjne blokowanie wynosi $B_{K1}=0{,}36 \mathrm{ms}$, $B_{K2}=0{,}36 \mathrm{ms}$ i $B_{K3}=0$; dla każdej klasy analiza okresu zajętości daje $Q_i=1$, więc badana jest jedna instancja $q=0$. Skrócony ślad iteracji wzoru z rozdziału 9 jest następujący:

• K1: $w^{(0)}=B_{K1}=0{,}36$, brak klas wyższych, zatem $R_{K1}=0{,}01+0{,}36+0{,}12=0{,}49 \mathrm{ms}$;
• K2: $w^{(0)}=0{,}36$, $w^{(1)}=0{,}36+\lceil(0{,}36+0{,}01+0{,}01)/0{,}50\rceil0{,}12=0{,}48 \mathrm{ms}$, a następna iteracja pozostaje $0{,}48$; stąd $R_{K2}=0{,}03+0{,}48+0{,}18=0{,}69 \mathrm{ms}$;
• K3: $w^{(0)}=0$, $w^{(1)}=\lceil(0+0{,}01+0{,}01)/0{,}50\rceil0{,}12+\lceil(0+0{,}03+0{,}01)/1{,}00\rceil0{,}18=0{,}30 \mathrm{ms}$, a następna iteracja pozostaje $0{,}30$; stąd $R_{K3}=0{,}04+0{,}30+0{,}36=0{,}70 \mathrm{ms}$.

Klasa	$T_i$	$C_i$	$J_i$	$D_i$	$D_{use,i}$	$G_i$	$A_i$	walidacja
K1	0,50 ms	0,12 ms	0,01 ms	0,50 ms	0,55 ms	0,20 ms	1,10 ms	0,05 ms
K2	1,00 ms	0,18 ms	0,03 ms	0,74 ms	0,80 ms	0,25 ms	0,90 ms	0,06 ms
K3	1,00 ms	0,36 ms	0,04 ms	0,92 ms	1,00 ms	nieustalone	1,80 ms	0,08 ms

K1 ma dodatkowy, jawnie syntetyczny kontrakt czasu i ciągłości. Znacznik musi należeć do obowiązującej epoki czasu z niepewnością $U_{time,K1}<0{,}30 \mathrm{ms}$; ta sama ścisła nierówność definiuje TIME_VALID i obejmuje zarówno $U(0)=70 \mu\mathrm{s}$, jak i $U_{rel}=240 \mu\mathrm{s}$ po kwalifikacji. Bez TIME_VALID nie da się wykazać ani wieku $A_{K1}\le1{,}10 \mathrm{ms}$, ani zgodności epoki. W ocenianym przebiegu źródło uwalnia K1 dokładnie co $0{,}50 \mathrm{ms}$, bez pominięć przed interfejsem CAN; zatem $T_{K1}^{min}=T_{K1}^{max}=0{,}50 \mathrm{ms}$. W aktywnym trybie funkcji odstęp między gotowością kolejnych instancji K1 nie może przekroczyć $I_{K1}^{max}=0{,}90 \mathrm{ms}$. Dla analizowanego CAN minimalna latencja gotowości wynosi $D_{use,K1}^{min}=C_{K1}+0{,}05=0{,}17 \mathrm{ms}$, a maksymalna $D_{use,K1}^{max}=R_{K1}^{CAN}+0{,}05=0{,}54 \mathrm{ms}$, zatem

$$I_{K1}^{calc}\le T_{K1}+D_{use,K1}^{max}-D_{use,K1}^{min} =0{,}50+0{,}54-0{,}17=0{,}87 \mathrm{ms}<I_{K1}^{max}.$$

TIME_INVALID zakazuje użycia nowych i buforowanych wartości K1 oraz uruchamia $\Phi_{K1}$; wymagany czas wejścia tej reakcji wynosi $\Delta_{\Phi,K1}^{max}=0{,}10 \mathrm{ms}$. Te wymagania pozwalają oddzielnie ocenić transport, dopuszczalne użycie i wykonanie reakcji.

Wiek K1 jest wyznaczany z porównania znaczników różnych domen, dlatego niepewności nie wolno ukryć w samym statusie czasu. Dla ważnej epoki granica wynosi

$$A_{use,K1}^{calc} \le G_{K1}+D_{use,K1}^{max}+U_{time,K1}^{max} =0{,}20+0{,}54+0{,}30=1{,}04 \mathrm{ms}<1{,}10 \mathrm{ms}.$$

W rachunku użyto konserwatywnie wartości granicznej $0{,}30 \mathrm{ms}$, choć kontrakt ważności wymaga wartości ściśle mniejszej. Po TIME_INVALID nie istnieje skończona zaakceptowana granica $U_{time,K1}$, więc tego wyniku nie wolno przenosić na przedział utraty czasu.

Analiza odpowiedzi daje:

Klasa	$R_i^{CAN}$	gotowość	wiek maksymalny	Werdykt
K1	0,49 ms	0,54 ms	1,04 ms z niepewnością czasu	spełnia trzy limity przy TIME_VALID
K2	0,69 ms	0,75 ms	1,00 ms	nie spełnia $A_{K2}=0,90 \mathrm{ms}$
K3	0,70 ms	0,78 ms	nieobliczalny	czas sieci spełnia, wiek otwarty

K2 jest dostarczany terminowo, ale jest za stary. Zwiększenie przepustowości łącza nie rozwiąże problemu, jeśli dominujący wiek powstaje przed uwolnieniem.

Kontrolowana zmiana harmonogramu źródła może zmniejszyć granicę K2:

$$G_{K2,new}=0{,}12 \mathrm{ms}.$$

Wtedy:

$$A_{use,K2,calc}^{max,new} =0{,}12+0{,}75 =0{,}87 \mathrm{ms} \le0{,}90 \mathrm{ms}.$$

Jest to przewidywanie projektowe, dopóki analiza planisty i próba nie wykażą nowej granicy $G_{K2}$.

R-3b: ważność czasu

Niepewność czasu wynosi:

$$U(t)=50+20+25t\quad[\mu\mathrm{s}],$$

a czas jest ważny wyłącznie dla:

$$U<300 \mu\mathrm{s}.$$

Granica ciągła występuje po:

$$t_{\mathrm{gr}}= \frac{300-50-20}{25} =9{,}2 \mathrm{s}.$$

Monitor podejmuje decyzję co $20 \mathrm{ms}$. Najgorszy wzrost między decyzjami wynosi:

$$25\cdot0{,}020=0{,}5 \mu\mathrm{s}.$$

Ostatnia dodatnia decyzja musi więc spełniać $U\le299{,}5 \mu\mathrm{s}$, co następuje w:

$$t_{\mathrm{gr,+}}= \frac{299{,}5-50-20}{25} =9{,}18 \mathrm{s}.$$

W $9{,}20 \mathrm{s}$ monitor ustawia TIME_INVALID. Wynik rachunku spełnia przyjętą regułę, lecz jego status kwalifikacyjny jest OTWARTE, dopóki nie zostaną potwierdzone granice oscylatora i najgorszy odstęp wykonania monitora.

Powrót odniesienia w $10{,}0 \mathrm{s}$ z różnicą $420 \mu\mathrm{s}$ nie przywraca czasu. Rozpoczyna stan TIME_QUALIFY i nową kandydującą epokę.

Reguła kwalifikacji tej fikcyjnej konfiguracji jest zamknięta. Początkowe $420 \mu\mathrm{s}$ jest pomiarem wejścia do korekcji, nie deklaracją ważności. Od $10{,}50 \mathrm{s}$ monitor musi zebrać 126 kolejnych obserwacji co $20 \mathrm{ms}$, aż do $13{,}00 \mathrm{s}$ włącznie. Każda ma spełniać $|e_k|\le100 \mu\mathrm{s}$, estymowana różnica częstotliwości na całym oknie ma być nie większa niż $10 \mathrm{ppm}$, nie może wystąpić luka, odrzucona próbka ani zmiana konfiguracji. Próbka odstająca, przekroczenie fazy lub częstotliwości zeruje okno. Granica po kwalifikacji jest konserwatywną sumą $U_{phase}=100 \mu\mathrm{s}$, niepewności znacznika $U_{stamp}=80 \mu\mathrm{s}$ i asymetrii drogi $U_{path}=60 \mu\mathrm{s}$:

$$U_{rel}=U_{phase}+U_{stamp}+U_{path} =100+80+60=240 \mu\mathrm{s}.$$

Epoka $e_t+1$ pozostaje kandydatem od $10{,}0$ do spełnienia całej reguły; dopiero obserwacja w $13{,}0 \mathrm{s}$ może atomowo nadać jej TIME_VALID. Dodatni dalszy przebieg automatu jest zatem warunkowy względem tych 126 wyników. Studium pokazuje ich syntetyczny ślad spełniający kryteria, ale dowód, że implementacja monitora rzeczywiście wymusza te granice, pozostaje OTWARTE.

R-3c: automat powrotu ścieżki

Stany automatu są następujące:

OBIE_AKTYWNE
  → TYLKO_PATH_B
    → PATH_A_KWARANTANNA
      → PATH_A_KANDYDAT
        → NOWA_EPOKA
          → OBIE_AKTYWNE

Przyjęto:

$$T_{stab}=2{,}5 \mathrm{s},\qquad T_{commit}\le0{,}10 \mathrm{s}.$$

PATH_A nie ma prawa publikacji w kwarantannie ani jako kandydat.

Przebieg negatywny. Ścieżka wraca w $4{,}0 \mathrm{s}$, lecz znika w $6{,}0 \mathrm{s}$. Stabilność trwa tylko $2{,}0 \mathrm{s}$, więc:

$$2{,}0<T_{stab}.$$

Automat wraca do TYLKO_PATH_B; żadna ramka z PATH_A nie jest użyta.

Przebieg dodatni. Ścieżka zostaje zaobserwowana w $10{,}5 \mathrm{s}$. Po $2{,}5 \mathrm{s}$, w $13{,}0 \mathrm{s}$, monitor czasu uzyskuje:

$$U_{rel}=U_{phase}+U_{stamp}+U_{path}=240 \mu\mathrm{s}.$$

Przez całe zatwierdzanie granica wynosi:

$$U_{rel,max} =240+25\cdot0{,}10 =242{,}5 \mu\mathrm{s} <300 \mu\mathrm{s}.$$

Dopiero wtedy można:

1. utworzyć identyfikator kandydującej, jeszcze nieobowiązującej epoki publikacji;
2. unieważnić stary bufor PATH_A u każdego odbiorcy bez zmiany praw PATH_B;
3. uzyskać od wszystkich odbiorców z wcześniej zamkniętego wykazu potwierdzenia zawierające wynik tego czyszczenia;
4. w autorytatywnym selektorze publikacji atomowo zatwierdzić epokę i odpowiadającą jej macierz praw.

Atomowość nie jest tu własnością rozproszonego zapisu u wszystkich odbiorców. Syntetyczna architektura ma jeden autorytatywny selektor przed rozgałęzieniem do odbiorców. To on filtruje każdą ramkę A lub B według jednego wersjonowanego rekordu $(e_{pub},M_{rights})$; odbiorcy potwierdzają gotowość i czyszczenie, ale ich lokalne kopie konfiguracji nie nadają praw publikacji. Rekord jest przełączany pojedynczą operacją compare-and-swap dopiero po zebraniu potwierdzeń. Do tej operacji selektor przepuszcza wyłącznie B w starej obowiązującej epoce, a po niej — dokładnie macierz nowej epoki.

Awaria podczas fazy commit ma dwa dozwolone zakończenia. Zanik przed ustawieniem znacznika zatwierdzenia pozostawia aktywny stary rekord i wyłączne prawa B; zanik po atomowym ustawieniu znacznika ujawnia kompletny nowy rekord. Dwie kopie rekordu mają numer generacji i kod integralności, a stan niejednoznaczny po restarcie blokuje publikację A zamiast scalać pola. Nie może więc powstać stan, w którym część odbiorców samodzielnie uznaje A, zanim selektor zacznie ją przepuszczać. Awaria samego selektora pozostaje osobnym zagadnieniem dostępności; w tym studium jest fail-silent i nie tworzy mieszanej macierzy praw.

Potwierdzenie odbiorcy zawiera identyfikator konfiguracji, kandydującą epokę publikacji, epokę czasu, najwyższą zaakceptowaną sekwencję starej epoki, wynik odrzucenia starego bufora i gotowość do odrzucania dalszych ramek starej epoki. Sama odpowiedź „łącze działa” nie wystarcza. Nowa epoka jest tylko kandydatem aż do punktu zatwierdzenia: atomowego zapisu nowej epoki i macierzy praw po zebraniu całego zestawu potwierdzeń oraz sprawdzeniu czyszczenia bufora. Dopiero ten zapis uprawnia PATH_A do publikacji.

Brak choćby jednego potwierdzenia, błąd czyszczenia, utrata TIME_VALID, niezgodność konfiguracji albo upływ $T_{commit}$ anuluje kandydaturę. Odbiorcy zachowują starą obowiązującą epokę i wyłączne prawa PATH_B, bufor PATH_A pozostaje niedopuszczony, a licznik $T_{stab}$ rozpoczyna się od nowa. Obserwacja mieszanej macierzy praw daje NIE SPEŁNIA i izolację PATH_A.

Stan	Warunek wejścia	Jedyna dodatnia krawędź wyjścia	Krawędź ujemna
TYLKO_PATH_B	wykryta utrata A i odebrane jej prawa przed następnym użyciem	obserwacja powrotu A → PATH_A_KWARANTANNA	ponowny zanik A pozostawia stan bez zmiany praw B
PATH_A_KWARANTANNA	ramki A są widoczne, ale odrzucane jako stara lub niedopuszczona epoka	nieprzerwane $T_{stab}$, zgodna konfiguracja i TIME_VALID(e_t+1) → PATH_A_KANDYDAT; tu zaczyna się $t_{commit,0}$	zanik A, czas nieważny lub niezgodna konfiguracja → TYLKO_PATH_B
PATH_A_KANDYDAT	A stabilna, nadal bez prawa publikacji	kompletny wykaz potwierdzeń i poprawne czyszczenie bufora → NOWA_EPOKA	brak potwierdzenia, błąd czyszczenia, utrata czasu lub termin → anulowanie i kwarantanna albo TYLKO_PATH_B po zaniku A
NOWA_EPOKA	wszystkie warunki gotowe, epoka jeszcze nieobowiązująca	atomowy zapis epoki i macierzy praw przed $t_{commit,0}+T_{commit}$ → OBIE_AKTYWNE	każda niespójność lub przekroczenie terminu → anulowanie, B pozostaje jedynym wydawcą
OBIE_AKTYWNE	odbiorcy widzą kompletną nową epokę i macierz	dalsza praca z eliminacją duplikatów	utrata jednej ścieżki → stan wyłączny ścieżki ocalałej

Syntetyczne dopuszczenie w $13{,}05 \mathrm{s}$ mieści się przed granicą $13{,}10 \mathrm{s}$.

Trzy tory składają się w jeden przebieg odbiorców. Ciągłość w R-3a oznacza osobno ciągłość transmisji i dopuszczalność użycia; po utracie jakości czasu ramki mogą nadal docierać, lecz nie każdy produkt może zasilać funkcję.

Przedział i stan czasu	K1 — stan sterowania	K2 — diagnostyczny status synchronizacji	K3 — stan diagnostyczny	Prawa ścieżek
od utraty PATH_A do $9{,}20 \mathrm{s}$, TIME_VALID(e_t)	transport po PATH_B ciągły; użycie dozwolone po sprawdzeniu wieku, epoki i jakości	dociera, lecz bazowy wiek $1{,}00>0{,}90 \mathrm{ms}$ wymusza odrzucenie jako nieaktualnego	dociera, ale brak $G_{K3}$ pozostawia użycie otwarte	wyłącznie PATH_B publikuje po izolacji A
$9{,}20$–$10{,}0 \mathrm{s}$, TIME_INVALID	transmisja trwa, użycie w funkcji wymagającej świeżości zostaje zablokowane; odbiorca przechodzi do reakcji $\Phi_{K1}$	wolno przekazać sam status TIME_INVALID, lecz nie wolno nim autoryzować czasu ani powrotu	zapis diagnostyczny może trwać ze statusem CZAS_NIEZNANY; użycie zależne od wieku jest zabronione	PATH_B pozostaje jedynym wydawcą; A bez praw
$10{,}0$–$13{,}0 \mathrm{s}$, TIME_QUALIFY(e_t+1)	ramki są odbierane i rejestrowane, ale nie wracają do użycia zależnego od czasu	przenosi stan kwalifikacji wyłącznie informacyjnie; nie zastępuje lokalnego monitora	rejestracja z kandydującą epoką, bez uznania świeżości	A w kwarantannie, B jedynym wydawcą
od $13{,}0 \mathrm{s}$, warunkowo TIME_VALID(e_t+1) po 126 poprawnych obserwacjach, przed zatwierdzeniem ścieżki	użycie z B wraca dopiero dla produktu nowej epoki spełniającego wiek i jakość	nadal odrzucany przy bazowym $G_{K2}$; proponowana zmiana wymaga potwierdzenia	nadal OTWARTE do ustanowienia $G_{K3}$	B publikuje; A jest kandydatem bez praw
po atomowym zatwierdzeniu nowej epoki publikacji	K1 może przyjąć produkt z obu dopuszczonych ścieżek po eliminacji duplikatów	jak wyżej: zmiana ścieżki nie naprawia wieku K2	jak wyżej: powrót nie ustanawia brakującej granicy K3	A i B publikują dopiero według kompletnej nowej macierzy praw

Wynika z tego, że K1 zachowuje ciągłość transmisji przez całe zdarzenie, lecz ma przerwę dopuszczalnego użycia od $9{,}20$ do pierwszego ważnego produktu epoki $e_t+1$. K2 i K3 nie stają się poprawne wskutek samego odzyskania czasu lub ścieżki.

Wynik i decyzja — Studium 3

Tor	Wynik
ciągłość transmisji K1 na PATH_B	SPEŁNIA w modelu transportowym: ramki docierają przez cały analizowany przebieg
ciągłość dopuszczalnego użycia K1	NIE SPEŁNIA: przerwa od $9{,}20 \mathrm{s}$ do pierwszego ważnego produktu epoki $e_t+1$
czas i poprawność reakcji $\Phi_{K1}$ po TIME_INVALID	OTWARTE: granica $\Delta_{\Phi,K1}^{max}=0{,}10 \mathrm{ms}$ jest ustanowiona, lecz brak dowodu wykonania
K2 przed zmianą	NIE SPEŁNIA wieku
K2 po proponowanej zmianie	przewidywanie SPEŁNIA, wymaga potwierdzenia $G_{K2,new}$
K3	OTWARTE, brak $G_{K3}$
monitor czasu	syntetyczny ślad spełnia regułę 126 obserwacji i wyprowadza $U_{rel}=240 \mu\mathrm{s}$; kwalifikacja implementacji OTWARTE
przebieg powrotu	warunkowo spełnia $T_{stab}$ i $T_{commit}$, jeżeli monitor zrealizuje wskazaną regułę
wynik całego studium	OTWARTE

[DECYZJA] Nie zatwierdzać pełnej konfiguracji. Przed ponowną oceną trzeba wykazać nową granicę K2, ustalić granicę K3 i przeprowadzić próbę automatu obejmującą utratę czasu, kwarantannę, anulowanie kandydatury, stary bufor i niepodzielną zmianę praw.

[REGRESJA] Zmiana harmonogramu K2 wymaga regresji planisty, wieku produktu, obciążenia PATH_B i eliminacji duplikatów. Zmiana progu czasu albo $T_{commit}$ wymaga regresji monitora i automatu powrotu. Zmiana trasy wymaga ponownej analizy części wspólnych i kolejek.

21. Domknięcie dowodu i decyzja

Dokumentacja interfejsu i konfiguracja wykonania

Dokument kontroli interfejsu — ICD — powinien objąć:

• medium, elektrykę, złącza, zakończenia, ekrany i odniesienie;
• role, adresowanie i wybrane opcje protokołu;
• produkty, formaty, jednostki i wersje;
• harmonogramy albo granice napływu;
• czas, epoki i znaczniki;
• stany błędowe i reakcje;
• zgodność wariantów;
• granice bezpieczeństwa i uprawnienia.

Rzeczywisty łańcuch konfiguracji wygląda następująco:

kontrolowany model źródłowy
  → wygenerowane artefakty
    → obrazy CPU i FPGA
      → mapy danych i harmonogramy
        → programowanie i kalibracja
          → identyfikacja egzemplarza
            → rekord wykonania
              → badanie odbiorcze

Rekord wykonania (as-built) wiąże numer egzemplarza, rewizje sprzętu, obrazy, skróty kryptograficzne, dane kalibracyjne, narzędzia, trasy, konfigurację interfejsu i wynik odbioru.

Regresja jako analiza grafu zależności

Zakres regresji nie powinien wynikać wyłącznie z listy zmienionych plików. Należy przejść graf od zmienionego elementu do produktów, odbiorców, hazardów i dowodów.

Zmiana	Minimalny zakres ponownej oceny
przewód, złącze lub zakończenie	integralność sygnału, EMC, margines odbiornika i błędy kanału
transceiver	poziomy, czas, temperatura, zachowanie N1/N2 i odzyskiwanie
mapa danych	kodery, dekodery, granice, jednostki, wersje i odbiorcy
priorytet CAN	odpowiedzi wszystkich klas o równym lub niższym priorytecie
plan 1553	wszystkie wymiany korzystające z przesuniętych szczelin
trasa SpaceWire lub Ethernet	porty, bufory, blokowanie, części wspólne i czas
harmonogram TTE/TSN	okna, zegar, kolejki i stan po utracie synchronizacji
firmware bramki	transformacja, kolejki, reset, CDC i czas wykonania
źródło czasu	świeżość, epoka, podtrzymanie, logi i powrót
obraz FPGA lub wersja narzędzia	domknięcie czasowe, CDC, konfiguracja i próba sprzętowa
polityka bezpieczeństwa	koszt weryfikacji, dostępność, klucze i odzyskiwanie

Regresję różnicową można zastosować, jeżeli udokumentowana analiza wpływu wykazuje, że nie zmieniono tezy, architektury, modelu czasu, hipotezy awarii, transformacji semantycznej ani obwiedni. Zmiana którejkolwiek z tych podstaw wymaga ponownego przejścia pełniejszej bramki.

Program weryfikacji

Dowód powinien łączyć analizę i próbę. Sama próba nominalna nie zapewnia pokrycia rzadkich faz, a sam model nie wykazuje poprawności implementacji.

Minimalna macierz obejmuje:

Obszar	Analiza	Próba
kanał fizyczny	impedancja, margines, części wspólne	reprezentatywna wiązka, środowisko i ruch
dostęp do medium	plan lub analiza odpowiedzi	serie, blokowanie i wadliwy nadajnik
kolejki	granice napływu i pojemności	przepełnienie, fazy i zmiana trasy
semantyka	kontrakt i zakresy	wartości graniczne, zła wersja, jednostka i epoka
czas	relacje zegarów i podtrzymanie	utrata, skok, powrót i przekroczenie wieku
redundancja	graf zależności i automat	utrata, niestabilny powrót i stare bufory
cyberbezpieczeństwo	model zagrożeń i zasobów	modyfikacja, powtórzenie i nadmiar ruchu
konfiguracja	zgodność wariantów	odczyt identyfikatorów i rekord wykonania

Pokrycie ma trzy warstwy:

1. każde dozwolone przejście automatu;
2. każda wymagana sekwencja przejść;
3. każda objęta kombinacja awarii i warunków.

Pokrycie wszystkich pojedynczych krawędzi nie dowodzi sekwencji utrata czasu → powrót ścieżki → nowa epoka. Osobne próby utraty czasu i powrotu ścieżki nie wykazują ich jednoczesnego wystąpienia.

Próba musi zapisać:

• identyfikator produktu;
• konfigurację sprzętu i obrazów;
• trasę i tryb;
• wersję kontraktu;
• wymuszenie;
• chwilę wystąpienia;
• chwilę detekcji;
• działania odbiorcy;
• skutek;
• kalibrację i niepewność;
• jednoznaczny werdykt.

Telemetria próbna jest dodatkowym konsumentem i może zmienić obciążenie. Jej architekturę oraz rekonstrukcję rozwija monografia Telemetria próbna i identyfikacja modelu.

Jedna podstawa decyzji

Dla każdego produktu, wariantu, trybu i trasy recenzent powinien przypisać SPEŁNIA, OTWARTE albo NIE SPEŁNIA.

Decyzję zapisuje się bez tworzenia drugiego formularza: należy użyć formalnego rekordu z rozdziału 4, dołączyć do niego jedną macierz regresji powyżej i wskazać nierozstrzygnięte pola jako OTWARTE. Dzięki temu wymaganie, model, pokrycie i rzeczywisty rekord wykonania pozostają jednym argumentem, a nie czterema równoległymi listami kontrolnymi.

Synteza

Fizyka kanału rozstrzyga, czy sygnał może dotrzeć. Topologia wskazuje, które awarie są wspólne. Protokół określa sposób dostępu, wykrywania części błędów i transportu. Kolejki oraz plan wyznaczają opóźnienie. Kontrakt nadaje danym znaczenie, a czas — wiek. Konfiguracja wiąże wynik z wariantem i egzemplarzem. Odbiorca zamyka łańcuch przez akceptację, odrzucenie albo degradację.

MIL-STD-1553 skupia odpowiedzialność w planie kontrolera. CAN przenosi ją na stałe priorytety i pełny model konkurującego ruchu. SpaceWire wymaga grafu tras, kredytów i analizy blokowania. TTEthernet uzależnia część gwarancji od wspólnego czasu oraz planu. TSN wymaga wskazania konkretnego profilu i konfiguracji mechanizmów.

Trzy studia pokazują trzy różne zakończenia argumentu. W pierwszym dodatni rachunek nominalny zostaje obalony przez jawnie doliczoną niepewność. W drugim pojemność i transformacja spełniają swoje kryteria, lecz brak limitu wieku pozostawia całą usługę otwartą. W trzecim terminowa transmisja nie zapobiega przekroczeniu wieku, a automat warunkowo spełniający przejścia w syntetycznym modelu nie naprawia nierozstrzygniętego produktu na ocalałej ścieżce ani nie zastępuje kwalifikacji implementacji.

Praktyczna kolejność pracy jest następująca:

hazard i funkcja
  → produkt oraz kontrakt
    → faza, wariant i konfiguracja
      → topologia i hipoteza awarii
        → model ruchu, kolejek i czasu
          → analiza oraz pomiar z niepewnością
            → pokrycie reakcji
              → decyzja i ryzyko resztkowe
                → regresja po zmianie

Właśnie ta kolejność odróżnia działającą transmisję od dowiedzionej usługi informacyjnej.

Źródła