Czas pokładowy nie jest liczbą w jednym rejestrze ani własnością pojedynczego oscylatora. Jest łańcuchem pomiarowym i obliczeniowym: od fizycznego źródła częstotliwości, przez dystrybucję zboczy, liczniki i korelację skal, aż do znacznika przypisanego konkretnemu zdarzeniu. Dopiero cały ten łańcuch pozwala twierdzić, że dwa pomiary można porównać, regulator wykonał działanie we właściwej kolejności, a zapis telemetryczny odtwarza przebieg zdarzeń.

Teza artykułu brzmi: wiarygodność czasu określają łącznie granica błędu, ciągłość, pochodzenie i stan jakości w każdym trybie pracy; dobry oscylator albo zgodność z protokołem synchronizacji nie wystarczają bez dowodu prowadzonego od zdarzenia fizycznego do funkcji odbiorcy. Wywód prowadzi ten dowód kolejno przez model matematyczny, architekturę, tryby degradacji, alokację wymagań i kwalifikację.

Artykuł omawia zasady naukowe i publiczne. Nie podaje częstotliwości, topologii drzewa zegarowego, priorytetów źródeł, pasm pętli, progów wykrywania, profili sieciowych ani reakcji awaryjnych żadnego współczesnego systemu uzbrojenia. Wszystkie liczby w studiach są jawnie syntetyczne i służą wyłącznie dydaktyce.

Ostrzeżenie EOD: nieznanego, uszkodzonego lub odnalezionego zespołu wojskowego nie wolno zasilać, otwierać, podłączać do generatora, analizatora ani sieci, ani wymuszać na nim sygnałów zegarowych, resetu lub synchronizacji. Interfejs opisany jako diagnostyczny albo czasowy może współdzielić funkcje sterujące. Miejsce należy zabezpieczyć i przekazać właściwym służbom; identyfikacja, pozbawienie energii i badanie należą do uprawnionego personelu, a w przypadku nieznanego uzbrojenia — do EOD.

Od skutku funkcjonalnego do wymagania czasowego

Pytanie projektowe nie powinno brzmieć „jak dokładny jest zegar?”, lecz „jaki błąd decyzji powstanie, jeżeli zdarzenie zostanie umieszczone na osi czasu z błędem $\Delta t$?”. Odpowiedź zależy od konsumenta. Dla obiektu poruszającego się z prędkością $v$ błąd datowania daje w pierwszym przybliżeniu błąd położenia

$$\Delta r \approx v\,\Delta t.$$

Przy ruchu obrotowym analogicznie $\Delta \theta\approx\omega\Delta t$. W korelacji dwóch kanałów nie liczy się wyłącznie ich błąd względem UTC, lecz przede wszystkim względny błąd czasu. Dwa znaczniki jednakowo przesunięte mogą zachować kolejność lokalną, a jednocześnie błędnie wiązać dane z inną platformą. Z kolei poprawna epoka kalendarzowa nie pomoże regulatorowi, jeśli użyta skala potrafi wykonać skok wstecz.

Z tego powodu wymaganie czasowe ma przynajmniej pięć wymiarów:

Wymiar Pytanie dowodowe Przykładowy skutek braku
błąd lub niepewność jak daleko wskazanie może leżeć od zdarzenia odniesienia? błędna korelacja pomiarów
ciągłość i monotoniczność czy oś może się cofnąć, przeskoczyć lub zatrzymać? ujemny interwał, fałszywe przekroczenie czasu oczekiwania
pochodzenie z którego źródła i której wersji korelacji pochodzi wynik? niemożność odtworzenia telemetrii
świeżość jak dawna jest ostatnia wiarygodna obserwacja? użycie przestarzałego czasu jako aktualnego
stan jakości czy odbiorca zna tryb: synchronizacja, podtrzymanie, swobodny bieg, nieważność? bezwarunkowe zaufanie po utracie odniesienia

Wymaganie musi wskazywać przedział czasu, środowisko, tryb, punkt odniesienia i poziom ufności. „Błąd mniejszy niż $X$” bez informacji, czy $X$ dotyczy jednego zbocza, całej misji, relacji między węzłami czy znacznika aplikacyjnego, nie jest sprawdzalne. Podobnie rozdzielczość pola nie jest dokładnością: licznik może zapisywać nanosekundy, chociaż fizyczna niepewność toru wynosi mikrosekundy.

Pięć warstw jednego łańcucha

Przydatny model rozdziela pięć warstw. Pierwszą jest oscylacja: fizyczny przebieg o nieidealnej częstotliwości. Drugą jest zegar logiczny: zbocza po buforach, selektorach i pętlach synchronizacji fazowej. Trzecią jest licznik lokalny, który nadaje cyklom uporządkowane numery. Czwartą jest korelacja, czyli funkcja mapująca licznik na wspólną skalę. Piątą — datowanie, przypisujące wynik konkretnemu zdarzeniu w określonym miejscu toru.

Piąta warstwa nie jest dodatkowym rodzajem zegara. Jest obserwacją całego łańcucha w punkcie istotnym dla funkcji. To usuwa niezgodność między często spotykaną taksonomią czterech warstw a tabelami dodającymi „timestamp funkcjonalny”: cztery pierwsze tworzą skalę, piąta wykorzystuje ją do pomiaru zdarzenia.

Warstwa Wielkość robocza Typowe uszkodzenie Dowód bezpośredni
oscylacja faza i częstotliwość dryf, starzenie, wrażliwość środowiskowa porównanie z niezależnym wzorcem
dystrybucja zegara zbocze na wejściu odbiornika szybkie fluktuacje fazy, rozrzut opóźnień, zanik, krótki impuls pomiar na krańcach drzewa i analiza czasowa
licznik uporządkowana liczba taktów reset, przepełnienie, niespójny odczyt test monotoniczności, resetu i granic
korelacja parametry odwzorowania skal nieaktualny offset lub tempo wspólne zdarzenie i wersjonowany model
datowanie znacznik konkretnego zdarzenia zmienne opóźnienie, zły punkt przechwycenia próba całego toru

Awaria warstwy nie musi zatrzymać pozostałych. Po utracie zewnętrznego odniesienia licznik nadal rośnie, ale niepewność jego korelacji narasta. Po błędnym resecie oscylator może pracować poprawnie, podczas gdy numeracja zdarzeń zaczyna się od innej epoki. Sygnał blokady pętli może być aktywny, choć wybrano niewiarygodne odniesienie. Dlatego każdy wynik czasu powinien łączyć wartość z metadanymi jakości.

W dalszej części stosujemy polskie nazwy jako podstawowe, a skrót lub termin angielski tylko jako identyfikator spotykany w dokumentacji:

Termin podstawowy Oznaczenie branżowe Znaczenie w tym artykule
szybkie fluktuacje fazy jitter zmienność położenia zboczy w określonym paśmie obserwacji
wolne wahania fazy wander zmienność rozpatrywana w dłuższych skalach czasu
stan blokady pętli lock spełnienie wewnętrznego kryterium pętli, nie dowód jakości całego czasu
podtrzymanie po utracie odniesienia holdover prognozowanie czasu bez bieżącej wiarygodnej obserwacji źródła
przejście między domenami zegarowymi CDC transfer danych między domenami bez stałej relacji fazowej
przejście resetu między domenami RDC rozprowadzanie i zwalnianie resetu względem lokalnych zegarów
czas przygotowania i utrzymania setup i hold okno stabilności danych wymagane przez element odbierający
ścieżka wyłączona z relacji fazowej false path wyjątek analizy czasowej, który sam nie zapewnia poprawnej struktury

Matematyczny rdzeń błędu czasu

Niech $x(t)$ oznacza błąd wskazania zegara, wyrażony w sekundach względem zdefiniowanego odniesienia. Względny błąd częstotliwości

$$y(t)=\frac{f(t)-f_0}{f_0}$$

jest w pierwszym przybliżeniu pochodną błędu czasu:

$$\frac{dx}{dt}=y(t),\qquad x(t)=x(t_0)+\int_{t_0}^{t} y(\tau)\,d\tau.$$

Stałe przesunięcie częstotliwości $y_0$ daje liniowy przyrost $x(t)=x_0+y_0(t-t_0)$. Jeżeli tempo samo zmienia się liniowo, $y(t)=y_0+D(t-t_0)$, pojawia się składnik kwadratowy

$$x(t)=x_0+y_0\Delta t+\frac{D}{2}\Delta t^2.$$

Ten prosty rachunek wyjaśnia, dlaczego świetna synchronizacja początkowa nie gwarantuje długiego podtrzymania oraz dlaczego niepoznany dryf bywa groźniejszy od stałego, skalibrowanego przesunięcia. Odpowiada również na częsty błąd językowy: oscylator nie „traci mikrosekund” sam w sobie; ma odchylenie tempa, którego całka staje się błędem czasu.

Losowość, granice i korelacja składników

Składniki niezależne o charakterze losowym można agregować w przybliżeniu przez pierwiastek sumy kwadratów,

$$u_c=\sqrt{\sum_i u_i^2},$$

ale tylko po określeniu tej samej miary statystycznej i uzasadnieniu niezależności. Znane obciążenie systematyczne należy skorygować albo dodać jako jawny składnik. Dwa opóźnienia o wspólnym źródle temperatury czy wspólnym zegarze nie są niezależne tylko dlatego, że występują w różnych blokach schematu. Dla granic deterministycznych bez modelu statystycznego bezpieczniejsza jest suma wartości bezwzględnych.

Pełny wynik ma postać na przykład

$$t_\mathrm{zd}=g(C,\boldsymbol{\beta})\pm U,$$

gdzie $C$ jest surowym licznikiem, $\boldsymbol{\beta}$ — wersjonowanym zestawem współczynników korelacji, a $U$ — niepewnością rozszerzoną dla podanego pokrycia. Sam znacznik bez $\boldsymbol{\beta}$, przedziału ważności i jakości źródła nie pozwala później odtworzyć dowodu.

Stabilność w różnych skalach czasu

Szybkie fluktuacje fazy (jitter), wolne wahania (wander), dryf i starzenie nie są synonimami. Pierwsze opisują szybką zmienność położenia zboczy; ich wartość zależy od sposobu pomiaru, pasma i liczby próbek. Wolne wahania dotyczą dłuższych skal obserwacji. Dryf jest systematyczną zmianą z czasem lub środowiskiem, a starzenie — długotrwałą zmianą elementu i jego naprężeń. Granica między szybkimi i wolnymi zmianami jest konwencją właściwą danej dziedzinie, nie prawem fizycznym.

Szum fazowy rozkłada fluktuacje fazy w dziedzinie częstotliwości. Wynik w jednym odsunięciu od nośnej nie opisuje całego zastosowania. Całkowanie gęstości szumu w określonym paśmie pozwala wyznaczyć wartość skuteczną (RMS) szybkich fluktuacji, ale zmiana granic całkowania zmienia wynik. Dyskretne prążki od przetwornicy, podziału ułamkowego czy aktywności cyfrowej mogą być istotne nawet wtedy, gdy wartość szerokopasmowa wygląda dobrze.3

Analiza stabilności częstotliwości używa między innymi odchylenia Allana ADEV, zmodyfikowanego odchylenia Allana MDEV i odchylenia czasu TDEV. Są to funkcje czasu uśredniania $\tau$, nie pojedyncze etykiety jakości. Inne procesy szumowe tworzą inne nachylenia charakterystyk, a dla dużego $\tau$ pozostaje niewiele niezależnych próbek. NIST SP 1065 podkreśla znaczenie przygotowania danych, czasu uśredniania, luk, usuwania trendu i przedziałów ufności.2

Wynik kwalifikacyjny powinien więc odpowiadać na cztery pytania: jaka wielkość została zmierzona, w jakim paśmie lub przedziale obserwacji, w jakim środowisku i względem jakiego wzorca. Wartość katalogowa bez tych informacji nie może być bezpośrednio wpisana do budżetu funkcjonalnego.

Źródło częstotliwości i środowisko

XO, VCXO, TCXO, OCXO, rezonator MEMS i wzorzec atomowy oznaczają rodziny rozwiązań, a nie kompletne charakterystyki. Kompensacja temperaturowa zmniejsza część zależności, ale pozostawia resztkowy błąd, histerezę i opóźnienie cieplne. Piec poprawia stabilność temperatury kosztem mocy i rozgrzewania. Wejście strojące VCXO umożliwia dyscyplinowanie, lecz wprowadza szum przetwornika i ograniczenia zakresu. Wzorzec atomowy nadal wymaga elektroniki, kontroli środowiska i monitorowania stanu. Dla oscylatorów kwarcowych przegląd NIST pokazuje ponadto, że czułości środowiskowe zależą od typu, egzemplarza, historii oraz współwystępujących wpływów, więc nie wolno traktować poniższej tabeli jako zestawu stałych materiałowych.14

W małym układzie pokładowym ważniejszy od nazwy technologii jest profil ważony zastosowaniem:

Wpływ Mechanizm Co mierzyć
temperatura zmiana rezonansu, opóźnień i parametrów pętli przebieg przy ustaleniu i rampie w obu kierunkach
drgania i przyspieszenie modulacja częstotliwości przez naprężenie rezonatora fazę w czasie wymuszenia, z rozdzieleniem osi
udar skok fazy, chwilowy zanik albo trwałe przesunięcie ciągły zapis oraz stan po próbie
zasilanie modulacja źródła, buforów i progów wejściowych odpowiedź na tętnienia, sekwencję i zapad
obciążenie elektryczne przesunięcie zbocza, zmiana amplitudy lub częstotliwości wynik na rzeczywistym odbiorniku, nie tylko na wyjściu źródła
promieniowanie zmiana parametrów rezonatora lub elektroniki oscylatora częstotliwość i szum przed, w trakcie oraz po ekspozycji

Krótka próba w stałej temperaturze nie dowodzi podtrzymania w profilu dynamicznym: odpowiedź zależy także od szybkości zmian, gradientów i historii cieplnej. Czujnik temperatury obudowy nie musi reprezentować temperatury rezonatora. Pomiar wykonany dopiero po drganiach nie ujawni modulacji fazy występującej w czasie wymuszenia; NIST wiąże ją z mechanicznym odkształceniem elementów oscylatora.14,15 Te rozróżnienia prowadzą bezpośrednio do planu kwalifikacji: mechanizm fizyczny określa obserwowaną wielkość i pasmo pomiaru.

Drzewo zegarowe, pętla i przełączenie źródła

Zbocze na końcu drzewa jest wynikiem źródła, buforów, selektora, pętli PLL/DPLL, tras, odbiorników, zasilania i drogi powrotnej. Opóźnienie wspólne przesuwa wszystkie odbiorniki podobnie; różnica opóźnień tworzy ich rozrzut (skew). Szum poszczególnych elementów jest filtrowany przez transmitancję pętli, a nie po prostu dodawany jako jedna liczba katalogowa.

Pętla synchronizacji fazowej porównuje fazę lub częstotliwość odniesienia z sygnałem zwrotnym i steruje lokalnym generatorem. Wąskie pasmo ogranicza śledzenie szybkiego szumu odniesienia, lecz wolniej usuwa błąd po zmianie. Szerokie pasmo szybciej podąża za odniesieniem, ale przenosi większą część jego zaburzeń. Nie istnieje uniwersalne „najlepsze pasmo”: kryterium wynika z widma źródeł oraz tolerancji odbiorców.

Sygnał blokady (lock) informuje, że wewnętrzne kryterium pętli zostało spełnione. Nie dowodzi poprawnej epoki, właściwego źródła, ciągłości fazy ani spełnienia budżetu szybkich fluktuacji fazy. Stan czasu wymaga dodatkowo kwalifikacji odniesienia, historii przełączeń, zakończenia rozgrzewania i ważnej korelacji.

Przełączenie źródeł może gwarantować brak bardzo krótkiego impulsu, ale nadal spowodować brakujący lub wydłużony cykl, skok fazy, zmianę tempa albo utratę synchronizacji pętli. Brak krótkiego impulsu, ciągłość fazy i przejście bez skoku sterowania są trzema różnymi własnościami. Dokumentacja producenta podaje warunki dla konkretnego układu; nie wolno przenosić ich między rodzinami bez ponownej analizy.8

Kwalifikacja źródła powinna obejmować obecność zboczy, zakres częstotliwości, wypełnienie, stabilność przez wymagany czas, stan jakości i wiarygodność pochodzenia. Monitor taktowany wyłącznie sprawdzanym zegarem ma wspólną przyczynę awarii. W architekturze trzeba więc wskazać niezależną podstawę wykrywania albo uczciwie ograniczyć pokrycie diagnostyczne.

Domeny zegarowe, metastabilność i reset

Analiza czasowa w jednej domenie sprawdza, czy dane są stabilne w wymaganym czasie przygotowania (setup) i utrzymania (hold) odbiornika. Zapas zależy od opóźnienia danych, rozrzutu opóźnień zegara, jego niepewności i narożników procesu, napięcia oraz temperatury. Symulacja logiczna bez opóźnień nie dowodzi tego warunku.

Przy przejściu asynchronicznym przerzutnik może wejść w stan metastabilny. Synchronizator nie usuwa zjawiska; zwiększa czas na jego wygaśnięcie i obniża prawdopodobieństwo propagacji. Uzasadnienie wymaga częstotliwości domeny, częstości zdarzeń, parametrów technologii i dostępnego czasu rozstrzygania. Sama reguła „dwa rejestry” nie jest dowodem ilościowym.

Dla pojedynczego poziomu stosuje się łańcuch synchronizujący, jeśli sygnał pozostaje stabilny odpowiednio długo. Krótki impuls może zniknąć, dlatego zdarzenia koduje się jako przełączenie bitu, rozciągnięty impuls lub protokół żądanie–potwierdzenie. Magistrali wielobitowej nie synchronizuje się bit po bicie: odbiorca mógłby zobaczyć kombinację, która nigdy nie istniała. Potrzebny jest stabilny transfer z potwierdzeniem, kod Graya dla odpowiedniej semantyki albo asynchroniczna kolejka FIFO.1,9

Wyjątek false path informuje narzędzie, że zwykła relacja fazowa nie obowiązuje. Nie tworzy bezpiecznej struktury CDC. Poprawność wymaga jednocześnie wzorca sprzętowego, ograniczeń implementacyjnych i kontroli strukturalnej. To samo dotyczy przejść domen resetu: asynchroniczne wymuszenie może być potrzebne szybko, lecz zwolnienie resetu powinno być zsynchronizowane oddzielnie do każdej czynnej domeny.10

Sekwencja rozruchu łączy start oscylatora, kwalifikację źródła, blokadę pętli, inicjalizację pamięci, gotowość magistrali i zwolnienie resetu. Stałe opóźnienie nie zastępuje obserwacji warunków. Jeżeli domena nie ma zegara, jej reset synchroniczny nie wykona działania; jeśli reset zostanie zwolniony w różnych cyklach, współpracujące automaty mogą zacząć z niespójnych stanów.

Skale czasu, epoki i licznik monotoniczny

System potrzebuje osobnych pojęć dla lokalnego licznika monotonicznego, czasu od początku zadania, czasu pokładowego i korelacji z czasem cywilnym. Licznik monotoniczny nie cofa się w określonej domenie ciągłości i dlatego nadaje się do odmierzania limitów oczekiwania, integracji i kolejności zdarzeń. UTC służy interoperacyjnej identyfikacji chwili, ale jego semantyka obejmuje sekundy przestępne. Nie należy bezpośrednio sterować limitem oczekiwania skalą, która może zostać skorygowana skokiem.

TAI jest ciągłą skalą atomową; UTC powstaje przez relację do TAI i reguły utrzymujące go w pobliżu czasu obrotu Ziemi. Fizyczne realizacje UTC(k) utrzymują laboratoria, a urządzenie pokładowe ma do nich korelację, nie „posiada UTC” jako pojedynczego sygnału.4,5 Systemy GNSS utrzymują własne skale i przesyłają dane relacji do UTC; wynik odbiornika zależy również od aktualności danych, oprogramowania i konfiguracji.

Epoka jest chwilą zerową. Ta sama liczba z inną epoką oznacza inną chwilę. Skończony licznik ulega przepełnieniu; odejmowanie modularne działa poprawnie tylko dla ograniczonego zakresu różnicy. Przypadek numeru tygodnia GPS pokazał, że błąd graniczny może ujawnić się po latach poprawnej codziennej pracy.11 Testy muszą obejmować szerokość pola, znak, konwersję, restart oraz dane archiwalne.

Kody CCSDS CUC, CDS i CCS standaryzują sposoby reprezentacji czasu, lecz nie zapewniają dokładności źródła.6 Format powinien jednoznacznie określać epokę, pola zgrubne i dokładne, jednostkę, zakres oraz zachowanie na granicach. Rozdzielczość pola jest tylko najmniejszym krokiem reprezentacji; nie zmniejsza szybkich fluktuacji chwili przechwycenia ani niepewności korelacji.

Od zdarzenia do znacznika

Znacznik czasu jest pomiarem chwili wystąpienia zdefiniowanego zdarzenia. Trzeba wskazać płaszczyznę odniesienia: powierzchnię sensora, wejście elektryczne, rejestr przechwytujący, interfejs fizyczny sieci, sterownik czy aplikację. Te punkty są rozdzielone opóźnieniami.

Model można zapisać jako

$$t_\mathrm{znacznik}=t_\mathrm{zdarzenie}+b_\mathrm{tor}+\varepsilon_\mathrm{tor},$$

gdzie $b_\mathrm{tor}$ jest poprawialnym, względnie stałym obciążeniem, a $\varepsilon_\mathrm{tor}$ — zmienną resztą. Kalibracja usuwa tylko część stałą w granicach jej ważności. Temperatura, wersja oprogramowania, kolejki i obciążenie mogą zmienić zarówno średnią, jak i rozrzut.

Przechwycenie sprzętowe blisko zdarzenia ogranicza zmienność przerwań i planisty, ale nadal ma opóźnienie wejścia, synchronizatora, licznika i potoku. Znacznik programowy może być wystarczający dla łagodnego wymagania, jeśli znany jest najgorszy przypadek. Średnie opóźnienie nie jest jednak granicą deterministyczną.

W transferze dwukierunkowym nieznana asymetria dróg powoduje obciążenie fazy. Większa liczba wymian redukuje szum losowy, lecz nie usuwa stałej asymetrii. Mosty i przełączniki dodają czas przebywania; mechanizm transparentnego zegara może go mierzyć, ale ma własną rozdzielczość, arytmetykę i konfigurację.7

Najsilniejsza próba nie zatrzymuje się na pinie czasu. To samo zdarzenie fizyczne obserwuje się na początku kilku torów, po czym porównuje znaczniki w docelowej skali oraz rekonstruuje je z surowych liczników. Taki test ujawnia błędy punktu przechwycenia, wersji korelacji i oprogramowania, których osobne pomiary bloków nie pokażą.

Synchronizacja sieciowa i sterowanie zegarem

Synchronizacja, syntonizacja i transfer czasu rozwiązują różne problemy. Syntonizacja wyrównuje średnie tempo zegarów; synchronizacja ogranicza również ich wzajemny offset; transfer czasu dostarcza obserwacji potrzebnych do estymacji. Węzeł może mieć poprawne tempo i stały błąd fazy albo poprawną fazę chwilową i szybko narastający błąd tempa.

IEEE 1588 definiuje mechanizmy wymiany znaczników, wyboru źródła oraz estymacji opóźnienia w sieciach pomiarowych i sterujących. Profil ogranicza dopuszczalne opcje dla konkretnej domeny. Sama deklaracja „obsługuje PTP” nie określa dokładności: wynik zależy od miejsca przechwycenia, oscylatora, topologii, obciążenia, asymetrii, pętli sterującej i konfiguracji profilu.7 IEEE 802.1AS jest rozwiązaniem dla klasy sieci wrażliwych na czas, a nie nazwą każdej realizacji PTP.12

Pętla synchronizująca estymuje błąd fazy i tempa, a następnie steruje lokalnym zegarem. Duże wzmocnienie szybko usuwa przesunięcie, lecz może śledzić zmienność kolejek. Małe wzmocnienie filtruje ją, ale wydłuża ustalanie. Działanie skokowe natychmiast zmienia wskazanie i może naruszyć monotoniczność; korekcja łagodna zmienia chwilowe tempo, więc oddziałuje na integratory i próbkowanie. Wymaganie musi rozstrzygać konflikt między czasem zbieżności, dopuszczalnym błędem tempa i ciągłością.

Źródło wybrane zgodnie z protokołem nie musi być prawdziwe. Jego opis jakości może być błędny, a kilka pozornie niezależnych węzłów może korzystać z tej samej anteny, łącza lub tablicy korekcyjnej. Dlatego wybór źródła jest częścią zapewnienia jakości konfiguracji, a nie tylko algorytmem sieciowym.

Podtrzymanie, odzyskiwanie i zaufanie

Podtrzymanie czasu (holdover) rozpoczyna się po utracie bieżącego odniesienia. System korzysta z ostatniej estymaty częstotliwości, modelu temperatury i historii oscylatora, ale jego niepewność rośnie. Stan nie powinien nadal nazywać się „zsynchronizowanym”. Odbiorca musi znać czas od utraty źródła i aktualną granicę błędu.

Konserwatywny model obwiedni może mieć postać

$$G_x(t)=G_0+Y\,t+\frac{D}{2}t^2+G_\mathrm{stoch}(t),$$

gdzie $G_0$ jest konserwatywną granicą początkowego błędu korelacji, $Y$ — granicą niepoznanego przesunięcia częstotliwości, $D$ — granicą zmiany tempa, a ostatni składnik jest obwiednią wpływu stochastycznego według przyjętego modelu. Wszystkie wyrazy muszą być wyrażone w tej samej konwencji granicy; wartości granicznych nie wolno bez uzasadnienia łączyć metodą pierwiastka sumy kwadratów. W prostym systemie monitor może publikować właśnie $G_x(t)$, zamiast stałego bitu valid.

Po powrocie odniesienia trzeba najpierw ocenić jego świeżość, spójność i pochodzenie. Natychmiastowe przestawienie skali może wprowadzić do systemu fałszywy sygnał. Odbudowa obejmuje porównanie z prognozą podtrzymania, decyzję o skoku lub łagodnej korekcji, kontrolę monotoniczności i potwierdzenie u konsumentów. Histereza ogranicza oscylowanie między źródłami.

Zaufanie nie powinno być utożsamiane z kryptograficzną autentycznością. Podpisana wiadomość może być opóźniona albo pochodzić z poprawnie uwierzytelnionego, lecz wadliwego źródła. Odbiornik potrzebuje kontroli świeżości, sensowności tempa, zgodności z innymi obserwacjami i analizy wspólnych przyczyn. NIST ujmuje odporność czasu jako problem cyberfizyczny obejmujący zależność od zewnętrznego PNT, źródła alternatywne i podtrzymanie.13

Praktyczny interfejs jakości może rozróżniać co najmniej:

Stan Znaczenie Działanie konsumenta
nieustalony licznik działa, ale korelacja nie została potwierdzona nie używać do funkcji wymagających wspólnej osi
zsynchronizowany odniesienie jest zakwalifikowane, granica błędu aktualna wykonywać funkcję w zatwierdzonym zakresie
podtrzymanie brak bieżącego odniesienia, działa model predykcji porównywać $G_x(t)$ z własnym limitem
zdegradowany granica zbliża się do limitu albo źródła są niespójne ograniczyć zależne funkcje i zachować dane diagnostyczne
nieważny nie można wykazać wymaganego ograniczenia błędu odrzucić czas dla danej funkcji

Ten podział nie narzuca reakcji współczesnego uzbrojenia. Pokazuje zasadę: decyzja odbiorcy wynika z jawnej jakości, nie z ukrytego stanu usługi.

Alokacja budżetu i argument zgodności

Wymaganie funkcjonalne jest alokowane wstecz przez tor. Dla korelacji sensora mogą to być: opóźnienie fizycznej odpowiedzi, punkt przechwycenia, niepewność licznika lokalnego, korelacja z czasem wspólnym, transmisja i przetwarzanie. Każdy składnik ma właściciela, model, metodę weryfikacji i zależności z innymi składnikami.

Niepewność całkowita nie jest automatycznie sumą wszystkich liczb z kart katalogowych. Najpierw rozdziela się:

  • poprawki na znane obciążenia;
  • niepewności standardowe składników losowych;
  • granice deterministyczne;
  • składniki skorelowane;
  • niepewność modelu i zmienność konfiguracji.

Następnie stosuje się prawo propagacji odpowiednie dla funkcji $g$, a założenia korelacji dokumentuje. Margines jest różnicą między kryterium i konserwatywną granicą wyniku w tej samej konwencji. Nie wolno porównywać wartości RMS jednego bloku z granicą maksymalną innego.

Twierdzenie Wielkość obserwowana Model Próba Warunek zamknięcia
znacznik reprezentuje właściwe zdarzenie różnica względem wspólnego impulsu fizycznego opóźnienie stałe i zmienne toru datowanie całego toru górna granica poniżej limitu funkcji
czas pozostaje użyteczny po utracie źródła błąd względem niezależnego wzorca obwiednia podtrzymania utrata źródła w profilach środowiska limit nieprzekroczony przez wymagany przedział
przełączenie nie uszkadza logiki długość cykli, faza, reset i stan jakości model drzewa i automatu trybów przełączenia dla skrajnych relacji faz brak zabronionego impulsu i kontrolowany stan odbiorców
dane zachowują kolejność przez reset licznik, identyfikator uruchomienia, kolejność arytmetyka modularna i partycje restart oraz przepełnienie jednoznaczna rekonstrukcja każdej pary zdarzeń
źródło błędne nie zakaża domeny reszty, decyzja wyboru, propagacja jakości model zależności i uszkodzeń wstrzykiwanie błędu źródła wykrycie albo bezpieczna, jawna degradacja

Taka macierz zmienia listę pojęć w dowód. Każdy skutek funkcjonalny jest powiązany z właściwością czasu, modelem i obserwacją. Brak pomiaru, wersji konfiguracji albo kryterium jest widoczną luką, a nie ukrytą nadzieją.

Modelowanie i kwalifikacja

Nie istnieje jeden model obejmujący cały problem. Analiza czasowa implementacji bada setup, hold i skew; model integralności sygnału — jakość zbocza; model widmowy — transmisję szumu fazowego; symulacja systemowa — zegary, opóźnienia, kolejki, pętlę synchronizacji i uszkodzenia; model metrologiczny — korekcje i niepewność. Interfejsy między nimi muszą używać tych samych punktów odniesienia oraz tej samej konfiguracji.

Piramida prób zaczyna się od charakterystyki źródła i elementów dystrybucji, lecz kończy na działającej funkcji. Obejmuje co najmniej:

  1. pomiar częstotliwości, stabilności i szumu względem lepszego, niezależnego wzorca;
  2. próby temperatury, zasilania, obciążenia, drgań i udaru z ciągłą obserwacją fazy;
  3. analizę STA, CDC i RDC oraz przegląd wszystkich wyjątków czasowych;
  4. rozruch, brak zegara, przełączanie, reset i szybkie ponowne zasilenie;
  5. podtrzymanie i odzyskiwanie dla różnych historii temperaturowych oraz wieku;
  6. obciążenie sieci, asymetrię, zmianę topologii i błędną jakość źródła;
  7. granice epoki, przepełnienia, sekundy przestępne i przetwarzanie archiwum;
  8. próbę całego toru na wspólnym zdarzeniu z docelowym oprogramowaniem.

Przyrząd również ma zegar, szum, próg wyzwalania i opóźnienie kanałów. Licznik częstotliwości z długą bramką poprawia rozdzielczość średniej, lecz może ukryć szybki skok. Oscyloskop pozwala analizować błąd interwału czasu (TIE) i szybkie fluktuacje fazy, ale jego podstawa czasu oraz interpolacja wchodzą do niepewności. Analizator szumu fazowego potrzebuje lepszego odniesienia, a korelacja krzyżowa wymaga odpowiedniej liczby uśrednień. Raport bez ustawień, pasma i niepewności wzorca nie jest wynikiem kwalifikacyjnym.2,3

Konfiguracja dowodu obejmuje nie tylko numer oscylatora. Należą do niej partie elementów, sieć pasywna, płytka, selektor, ustawienia PLL, obraz FPGA, ograniczenia implementacyjne, logika resetu, oprogramowanie pętli, formaty czasu, tablice epok, współczynniki korelacji i procedury badawcze. Zmiana pliku bitowego lub współczynnika może zmienić czas bez zmiany schematu. Dlatego wyniki przechowuje się z dokładną wersją konfiguracji i surowymi licznikami umożliwiającymi ponowne przetwarzanie.

Studium I: utrata odniesienia podczas korelacji sensorów

Studium używa neutralnych, syntetycznych danych. Dwa sensory mają być korelowane, jeżeli konserwatywna granica względnego błędu czasu nie przekracza $250 \mu\mathrm{s}$. Bezpośrednio po utracie odniesienia granica błędu korelacji wynosi $G_0=6 \mu\mathrm{s}$. Konserwatywna granica niepoznanego błędu tempa wynosi $Y=0{,}7 \mathrm{ppm}$, a zmiany tempa $D=2\cdot10^{-9} \mathrm{s}^{-1}$. Dla czytelności pomijamy osobny składnik stochastyczny, uznając, że został objęty granicami $Y$ i $D$. Symbol $G$ oznacza tu obwiednię decyzyjną, nie niepewność rozszerzoną $U$ w znaczeniu metrologicznym.

Obwiednia ma zatem postać

$$G_x(t)=6\cdot10^{-6}+0{,}7\cdot10^{-6}t+10^{-9}t^2.$$

Po 120 s otrzymujemy $G_x=104{,}4 \mu\mathrm{s}$, a po 240 s — $231{,}6 \mu\mathrm{s}$. Rozwiązanie równania $G_x(t)=250 \mu\mathrm{s}$ daje około $255 \mathrm{s}$. Nie jest to „czas działania zegara”, lecz granica użyteczności dla tej konkretnej funkcji i przy tych założeniach.

Chwila od utraty Obwiednia Stan jakości Decyzja funkcjonalna
0 s 6 µs podtrzymanie, duży margines pełna korelacja
120 s 104,4 µs podtrzymanie korelacja dopuszczona, rejestrować wzrost
240 s 231,6 µs zdegradowany korelacja jeszcze dopuszczona, mały margines
255 s około 250 µs granica przejście do ograniczonego użycia
później ponad 250 µs nieważny dla tej funkcji nie łączyć pomiarów według wspólnego czasu

Jeżeli analizowany obiekt poruszałby się z syntetyczną prędkością $300 \mathrm{m/s}$, sama granica 250 µs odpowiadałaby pierwszorzędowo 75 mm przesunięcia. Nie jest to parametr systemu ani pełny błąd nawigacji; pokazuje przejście od czasu do wielkości funkcjonalnej.

Po powrocie odniesienia odbiornik widzi różnicę między jego prognozą i nową obserwacją. Najpierw sprawdza świeżość i zgodność źródła z obwiednią, a dopiero potem aktualizuje korelację. Lokalny licznik pozostaje monotoniczny; zmiana dotyczy mapowania na wspólną skalę. Próba kwalifikacyjna musi wykazać nie tylko końcową zgodność, lecz także przebieg stanu jakości i zachowanie konsumenta w okolicy 255 s.

Studium II: przełączenie zegara w wielodomenowym FPGA

Rozważmy syntetyczny układ z dwoma źródłami, selektorem, pętlą PLL, trzema domenami oraz lokalnymi licznikami. Źródła mają tę samą częstotliwość nominalną, ale dowolną fazę i niewielką różnicę tempa. Funkcja selektora gwarantuje brak impulsu krótszego od dopuszczonej granicy wejścia PLL; nie gwarantuje ciągłości fazy ani zachowania liczników.

Dowód prowadzi przez zdarzenia:

  1. monitor niezależny od źródła podstawowego wykrywa jego degradację;
  2. automat kwalifikuje źródło zapasowe przez wymagany czas obserwacji;
  3. odbiorcom ogłasza się przyszłą zmianę jakości czasu;
  4. selektor wykonuje przełączenie zgodnie z warunkami producenta;
  5. pętla może chwilowo utracić lock, mimo że nie powstał krótki impuls;
  6. każda domena utrzymuje lub kontrolowanie resetuje swój stan;
  7. przejścia CDC zachowują spójność danych podczas różnicy faz;
  8. licznik lokalny nadal rośnie, lecz korelacja otrzymuje nowy segment i większą niepewność.

W liczbowym fragmencie ograniczamy uwagę do dwóch porównywanych liczników taktowanych z jednakowym okresem nominalnym; pozostałe domeny zachowują własne okresy i wymagają osobnych budżetów. Przyjmijmy $T=1$ jako jednostkę tego wspólnego okresu, bez przypisywania mu rzeczywistej częstotliwości. Syntetyczny budżet dopuszcza po przełączeniu względny błąd korelacji $B=0{,}60T$. Składają się na niego trzy konserwatywne granice: moduł najmniejszej różnicy faz źródeł $0{,}35T$, niejednoznaczność wyboru pierwszego pełnego zbocza $0{,}10T$ oraz położenie zdarzenia względem granicy przechwycenia $0{,}05T$. Ich suma daje

$$B_\mathrm{tor}=0{,}35T+0{,}10T+0{,}05T=0{,}50T,$$

czyli pozostawia $0{,}10T$ marginesu. Jest to suma granic, nie suma kwadratowa (RSS): nie założono rozkładów ani niezależności tych zjawisk. Sam brak impulsu krótszego od dopuszczalnej granicy wejścia pętli nie usuwa żadnego z tych składników.

Opóźnione zwolnienie resetu jest odrębnym uszkodzeniem dyskretnym. Jeśli licznik jednego odbiornika ruszy o jeden jego cykl później niż licznik drugiego, do korelacji dołącza $1T$, a konserwatywna granica rośnie do $1{,}50T>B$. Późniejszy stan blokady pętli nie ujawnia tego stałego błędu całkowitej liczby taktów. Próba musi zatem osobno wykazać ciągłość zboczy, wspólne pochodzenie stanu liczników i poprawność segmentu korelacji.

Przypadek syntetyczny Granica względnego błędu Wynik względem $B=0{,}60T$
kontrolowane przełączenie, spójne zwolnienie resetu $0{,}50T$ przejście z marginesem $0{,}10T$
zwolnienie jednego licznika o cykl później $1{,}50T$ odrzucenie mimo późniejszego stanu blokady

Dlatego kryterium próby obejmuje jednocześnie: minimalną i maksymalną długość cyklu, skok fazy, stan pętli, kolejność resetów, integralność transferów CDC, ciągłość liczników oraz propagację jakości. Test powtarza się dla relacji faz obejmujących pełen okres, przy różnych kolejnościach startu i zatrzymanym zegarze jednej domeny. Przejście jest pozytywne dopiero wtedy, gdy każdy odbiorca osiąga jawnie zdefiniowany stan, a nie tylko wtedy, gdy wyjście ponownie oscyluje.

Studium pokazuje zasadniczy konflikt: ciągłość elektryczna zboczy, ciągłość numeryczna licznika i ważność czasu są trzema różnymi twierdzeniami. Jedno nie może zastępować dwóch pozostałych.

Studium III: budżet datowania całego toru

Neutralny tor ma postać: zdarzenie sensora → przechwycenie sprzętowe → FPGA → magistrala → komputer → zapis telemetryczny. Wartości są syntetycznymi niepewnościami standardowymi, wyrażonymi w mikrosekundach:

Składnik $u_i$ Charakter
próg i przechwycenie wejścia 0,8 niezależny losowy
synchronizacja i potok FPGA 1,2 niezależny losowy
zmienność transportu magistrali 3,0 niezależny losowy
obsługa i planista komputera 6,0 niezależny losowy
reszta korelacji skal 4,0 niezależny losowy
niepoznana asymetria wspólnej drogi 5,0 granica systematyczna

Dla wektora składników losowych $\mathbf{q}$, wektora współczynników wrażliwości $\mathbf{c}$ i macierzy kowariancji $\boldsymbol{\Sigma}$ prawo propagacji ma postać

$$u_c^2=\mathbf{c}^{\mathsf T}\boldsymbol{\Sigma}\mathbf{c}.$$

W tym przykładzie $\mathbf{c}$ jest wektorem jedynek, a syntetyczne założenie niezależności sprowadza macierz do przekątnej. Dla pięciu pierwszych składników otrzymujemy więc

$$u_c=\sqrt{0{,}8^2+1{,}2^2+3^2+6^2+4^2}=7{,}94 \mu\mathrm{s}.$$

Mnożnik $k=2$ przyjmujemy wyłącznie jako dydaktyczny współczynnik ostrożności. Bez modeli rozkładów, efektywnych stopni swobody i zadanego prawdopodobieństwa pokrycia nie wolno nazywać $2u_c$ niepewnością rozszerzoną o wykazanym poziomie ufności.16 Po dodaniu asymetrii jako osobnej granicy systematycznej otrzymujemy konserwatywną granicę decyzyjną

$$B_\mathrm{decyzji}=2u_c+b_\mathrm{sys}=2\cdot7{,}94+5{,}0=20{,}9 \mu\mathrm{s}.$$

Przy syntetycznym wymaganiu $B_\mathrm{decyzji}\le30 \mu\mathrm{s}$ margines wynosi 9,1 µs. Jest to decyzja według jawnie przyjętej reguły ostrożności, nie deklaracja pokrycia statystycznego. Aby raportować niepewność rozszerzoną $U=k u_c$, należałoby określić rozkłady wejściowe, stopnie swobody, kowariancje i żądane pokrycie, a następnie uzasadnić dobór $k$. Nie wolno włączyć asymetrii do sumy kwadratowej tylko po to, aby poprawić wynik: brak modelu znaku i rozkładu czyniłby to nieuzasadnionym. Jeżeli pomiary ujawnią korelację między obciążeniem magistrali i planisty, ich wyrazy pozadiagonalne muszą wejść do $\boldsymbol{\Sigma}$.

Budżet zamyka się trzema rodzajami dowodu. Kalibracja wspólnego impulsu szacuje stałe opóźnienia. Próba obciążeniowa wyznacza ogon zmiennego opóźnienia w reprezentatywnym ruchu. Próba całego toru porównuje znacznik końcowy z niezależnym przechwyceniem zdarzenia. Wynik jest ważny tylko dla wersji FPGA, harmonogramu oprogramowania, konfiguracji magistrali, temperatury i zestawu współczynników korelacji użytych w próbie.

Dla $j$-tego wspólnego zdarzenia resztę po zastosowaniu wersjonowanej poprawki $\widehat b_\mathrm{tor}$ można zapisać jako

$$r_j=\left(t_{\mathrm{koniec},j}-t_{\mathrm{wzorzec},j}\right)-\widehat b_\mathrm{tor}.$$

Nie wystarczy wykazać, że średnia reszta jest bliska zeru. Zapis prób musi pozwalać rozdzielić co najmniej wartość centralną, rozrzut, ogony oraz zależność $r_j$ od trybu, temperatury, obciążenia i segmentu korelacji. Jeżeli po korekcji reszta nadal systematycznie zależy od którejś z tych zmiennych, model pominął składnik albo użyto go poza zakresem ważności. Jeżeli wymaganie jest probabilistyczne, metodę estymacji kwantyla lub przedziału tolerancji ustala się przed próbą; jeśli jest granicą deterministyczną, statystyczny kwantyl nie może jej zastąpić.

Obserwacja reszty Wniosek dowodowy Następny krok
stałe przesunięcie wspólne dla prób niepełna albo nieaktualna korekcja sprawdzić płaszczyzny odniesienia i wersję $\widehat b_\mathrm{tor}$
wzrost rozrzutu z obciążeniem brakujący model zmiennego opóźnienia rozdzielić stany obciążenia i ponowić alokację
skok przy zmianie segmentu korelacji błąd ciągłości lub pochodzenia czasu zbadać licznik surowy, wersję korelacji i stan jakości
pojedyncze przekroczenia bez zarejestrowanego trybu niewystarczająca obserwowalność uzupełnić telemetrię stanu przed oceną zgodności

Jeżeli test końcowy daje większy rozrzut niż 20,9 µs, nie „stroi się” arbitralnie jednego składnika. Najpierw sprawdza się definicję punktu zdarzenia, korelację błędów, niezmierzoną asymetrię i zgodność konfiguracji. Model zostaje zaktualizowany, a wcześniejszy margines unieważniony do czasu regresji.

Transfer metod między domenami

Znaczna część publicznych źródeł pochodzi z metrologii, systemów kosmicznych, telekomunikacji i producentów FPGA. Ich transfer do systemu rakietowego wymaga jawnego rozdzielenia zasad ogólnych od rozwiązań domenowych.

Element Przenosi się bez zmiany Wymaga dostosowania Nie wolno przenosić wprost
metrologia częstotliwości definicje fazy, tempa, ADEV i niepewności profil środowiska i przedział obserwacji laboratoryjnego wyniku jako granicy funkcjonalnej
wzorce FPGA fizyka metastabilności i potrzeba spójnego CDC/RDC konkretna rodzina, narzędzia i ograniczenia wartości MTBF i sekwencji między technologiami
standardy kosmiczne rozdział czasu monotonicznego, korelacji i jakości długość misji, tryby i archiwizacja parametrów dokładności albo gotowych procedur
PTP i sieci deterministyczne pojęcia znacznika, opóźnienia i asymetrii profil, topologia, ruch i pętla deklaracji zgodności jako dowodu dokładności
zewnętrzne PNT potrzeba świeżości, zaufania i podtrzymania środowisko antenowe i analiza wspólnych przyczyn bezwarunkowego traktowania odbiornika jako prawdy

W systemie krótkotrwałym starzenie wieloletnie może mieć mniejszy wpływ w samej misji, lecz nadal oddziałuje podczas magazynowania i między kalibracją a użyciem. Z kolei udar, szybka zmiana temperatury i utrata odniesienia mogą mieć większą wagę niż w spokojnym stanowisku laboratoryjnym. Metoda dowodowa pozostaje ta sama: zdefiniować funkcję, mechanizm, konfigurację, obserwację i kryterium.

Dominująca skala czasu zmienia się wraz z etapem życia wyrobu. Nie oznacza to, że pozostałe zjawiska znikają; tabela wskazuje, które z nich najłatwiej przeoczyć, gdy wynik z jednego etapu przenosi się na kolejny.

Etap życia Dominująca skala Pytanie rozstrzygające Ślad dowodowy
projekt i integracja pojedyncze zbocze — sekundy czy przejścia, reset i liczniki zachowują spójność? raporty STA/CDC/RDC, przebiegi rozruchu i przełączeń
kwalifikacja mikrosekundy — czas całej próby czy środowisko zmienia fazę również przejściowo? zsynchronizowany zapis wymuszenia, fazy i stanu jakości
magazynowanie i obsługa dni — lata czy starzenie i historia cieplna unieważniły korekcję? trend wzorca, data kalibracji, konfiguracja i kryterium ponownego badania
działanie z odniesieniem cykl funkcji — czas zadania czy błąd całego toru mieści się w budżecie konsumenta? wspólne zdarzenie, surowe liczniki i wersja korelacji
podtrzymanie i odzyskiwanie czas od utraty — czas ponownego ustalenia kiedy kończy się użyteczność i jak wraca zaufanie? obwiednia błędu, historia źródła i przebieg stanów jakości
analiza po zdarzeniu długość archiwum czy znacznik da się jednoznacznie odtworzyć po zmianie epoki lub konfiguracji? identyfikator uruchomienia, tablice epok, wersje modeli i zapis surowy

Macierz uszkodzeń, obserwowalności i reakcji

Kompletna analiza nie pyta jedynie, czy zegar „działa”. Łączy skutek z własnością czasu i możliwością wykrycia:

Zdarzenie Skutek widoczny lokalnie Skutek ukryty Potrzebny dowód
stały błąd częstotliwości rosnąca reszta względem źródła poprawna kolejność, lecz błędna korelacja zewnętrzna długie porównanie tempa
wspólny skok fazy zmiana offsetu wszystkich odbiorników brak różnicy między lokalnymi kanałami niezależne zdarzenie odniesienia
utrata pojedynczych impulsów alarm pętli lub licznika błędna liczba taktów bez trwałej utraty stanu blokady ciągły pomiar cykli i test przełączenia
nieaktualna korelacja poprawnie rosnący licznik błędna data archiwalna wersja i przedział ważności współczynników
przepełnienie pola nagły spadek wartości błąd sortowania po długim czasie test graniczny całego stosu
zmienne opóźnienie programu rozrzut znacznika aplikacji poprawny znacznik sprzętowy pomiar całego toru pod obciążeniem
wspólna awaria źródeł zgodność dwóch kanałów oba są zgodnie błędne analiza zależności i trzecie odniesienie

Reakcja nie musi oznaczać zatrzymania całego systemu. Jeden konsument może nadal używać monotonicznego licznika do lokalnego limitu oczekiwania, gdy inny nie może już łączyć obserwacji z odległego sensora. Stan jakości musi więc być interpretowany względem funkcji, a nie wyłącznie globalnie.

Reguły projektowe i wnioski

Dobry projekt daje się prześledzić w obu kierunkach. Od funkcji prowadzi do dopuszczalnego błędu, budżetu, modeli i prób. Od wyniku pomiaru prowadzi przez konkretną konfigurację i korelację z powrotem do decyzji funkcjonalnej. Przerwanie któregokolwiek z tych łańcuchów zamienia precyzyjną liczbę w nieudokumentowane założenie.

Najważniejsze reguły są następujące:

  1. oddzielać oscylator, sygnał zegarowy, licznik, skalę, korelację i datowanie;
  2. definiować błąd wraz z punktem odniesienia, przedziałem, środowiskiem i ufnością;
  3. zachowywać lokalną oś monotoniczną niezależnie od reprezentacji UTC;
  4. przenosić z wartością także jakość, świeżość, pochodzenie i niepewność;
  5. traktować stan blokady, zgodność z protokołem i wysoką rozdzielczość jako przesłanki, nie jako dowód końcowy;
  6. wykazywać poprawność CDC i RDC strukturą oraz implementacją, nie samymi wyjątkami narzędzia;
  7. modelować podtrzymanie jako rosnącą obwiednię błędu zależną od historii i środowiska;
  8. rozdzielać składniki losowe, systematyczne i skorelowane w budżecie;
  9. kwalifikować przełączenia i odzyskiwanie jako przebiegi stanów, a nie pojedynczy wynik po ustaleniu;
  10. kończyć dowód próbą wspólnego zdarzenia od sensora do konsumenta oraz zapisaniem dokładnej konfiguracji.

W ten sposób czas przestaje być usługą uznawaną za poprawną, dopóki nie znikną impulsy. Staje się mierzalnym zasobem o określonej granicy błędu i ciągłości, którego jakość może być alokowana, monitorowana, degradowana i ponownie wykazana. Dopiero taki łańcuch uzasadnia użycie znacznika w funkcji systemowej.

Źródła