2. 机载确定性网络系统组成与验证对象建模
要对机载确定性网络做系统级验证，第一步不是写测试用例，而是把“被测系统到底由什么构成、每个部件对外呈现什么行为、哪些行为可能失效”讲清楚。机载确定性网络（如基于时间触发以太网 TTEthernet 或航空以太网 ARINC 664 Part 7 的确定性网络）在物理上是一张由端系统、交换机、链路和时钟源组成的拓扑，在逻辑上则叠加了流量整形、冗余管理和时间同步等确定性机制。验证对象建模的任务，就是把这张物理与逻辑叠加的网络，抽象成可被激励、可被观测、可被判定的一组模型。
一、系统组成的物理与逻辑视图
从物理组成看，机载确定性网络包含四类基本元素：端系统（End System, ES）是确定性数据的产生者和消费者，通常对应航电计算机、传感器接口单元或作动控制器；交换机（Switch）负责多端口间的帧转发与调度，是确定性时延的主要贡献者；链路（Link）是端系统与交换机、交换机与交换机之间的物理介质，其带宽、传播时延和误码特性直接影响时序预算；时钟源（Clock Source）提供全局时间基准，通常由主时钟（Grandmaster）通过时间同步协议分发到各节点。
从逻辑组成看，上述物理元素之上还叠加了三类关键功能模块：流量整形器（Traffic Shaper）按时间触发、速率约束或尽力而为等不同优先级对帧的发送时刻进行约束；冗余管理模块（Redundancy Management）通过双通道或多通道冗余发送与去重接收，实现故障静默下的无缝切换；时间同步模块则负责本地时钟与全局时钟的对齐与保持。物理元素与逻辑模块并非一一对应：一个端系统内部可能同时包含整形器、冗余管理和同步模块，而交换机内部也常集成整形与同步功能。
二、功能模型：把“确定性”拆成可验证的行为
功能模型描述每个对象在正常工况下应表现出的行为。对端系统而言，功能模型的核心是“在什么时刻、以什么优先级、发送什么帧”。以时间触发（TT）流量为例，端系统应严格按预配置的发送时刻表发送，抖动应控制在约定范围内；速率约束（RC）流量则需满足令牌桶参数（如承诺突发量 CBS 与承诺信息速率 CIR）的约束。对交换机而言，功能模型的核心是“转发时延与调度顺序”：TT 帧应在其时间窗口内被优先转发，RC 帧按信用值调度，BE 帧仅使用剩余带宽。
建模时建议为每个对象定义一组可观测的行为断言。例如，对端系统 ES1 的 TT 发送行为，可定义断言：“在全局时间 t = k·T 时刻，ES1 应在 ±Δ 内发出 TT 帧，且帧长与配置一致”。对交换机 SW1，可定义断言：“从端口 P1 进入的 TT 帧，应在接收完成后不超过 D_max 的时间内从端口 P2 转发出去”。这些断言正是后续测试用例的判定依据。
三、接口模型：定义激励与观测的边界
接口模型回答“从哪里施加激励、从哪里采集观测”。机载确定性网络的接口可分为三类：数据接口（以太网 MAC/PHY 端口，承载 VL 或 TT 帧）、时间接口（同步报文接口，如 gPTP 或 SAE AS6802 协议帧）、管理接口（配置与状态读取接口，用于注入发送时刻表、令牌桶参数或读取端口统计）。
以 ARINC 664 Part 7 的虚拟链路（VL）为例，接口模型需明确 VL ID、源端系统、目的端系统、BAG（带宽分配间隔）、Lmax（最大帧长）等参数。例如，配置一条 VL：VL ID = 100，源 ES1，目的 ES2，BAG = 2 ms，Lmax = 512 B，则该 VL 的带宽上限为 512 B / 2 ms = 2.048 Mbps。验证时，接口模型应能注入符合该参数的帧流，并观测目的端是否按 BAG 约束接收。
四、故障模型：定义“坏”的形态与传播
故障模型是系统级验证区别于功能测试的关键。机载确定性网络的故障可分为三类：节点故障（端系统或交换机宕机、复位、时钟失步）、链路故障（断链、误码率升高、时延突变）、流量故障（帧丢失、帧重复、帧乱序、非法帧注入、突发超限）。
每类故障需建模其“注入方式”与“可观测后果”。例如，链路故障可建模为在 t = 50 ms 时断开 L1，预期后果是冗余管理模块在切换窗口内将流量切换到备用通道，端到端时延增加不超过切换时间；若未切换或切换超时，则判定为冗余管理功能失效。流量故障可建模为在 ES1 注入一条超出 BAG 约束的突发流，预期后果是交换机整形器对该流进行丢弃或整形，而非影响其他 VL 的时延。
五、建模成果的落地形式
将上述三类模型落地，通常形成一份“验证对象模型表”。表中每个对象一行，列出其功能断言、接口参数、故障注入方式和判定准则。例如：
| 对象 | 功能断言 | 接口参数 | 故障注入 | 判定准则 |
|---|---|---|---|---|
| ES1 | TT 帧在 t=k·T±Δ 发出 | VL100, BAG=2ms, Lmax=512B | 时钟偏移 +50 ppm | 抖动 ≤ Δ，无丢帧 |
| SW1 | TT 帧转发时延 ≤ D_max | 端口 P1→P2, 优先级 7 | 注入超限突发流 | 其他 VL 时延不劣化 |
| 链路 L1 | 误码率 ≤ 1e-10 | 100 Mbps 全双工 | t=50ms 断链 | 冗余切换 ≤ 切换窗口 |
| 时钟源 GM | 同步精度 ≤ 1 μs | gPTP 周期 125 ms | 主时钟失步 | 从时钟保持 ≤ 保持窗口 |
这张表不是装饰，而是后续测试用例设计、激励脚本编写和结果判定的直接输入。建模阶段多花一小时把断言和参数写清楚，测试阶段就能少花一天去争论“这算不算通过”。
综上，机载确定性网络的验证对象建模，本质上是把物理拓扑、逻辑机制和故障行为统一到一组可激励、可观测、可判定的模型上。端系统、交换机、链路、时钟源构成物理骨架，流量整形器、冗余管理模块、时间同步模块构成逻辑机制，功能模型、接口模型、故障模型则构成验证的三根支柱。三者齐备，系统级验证才有可复现的基准。