1. 课程导入与机载通信网络概述
现代民用客机与军用运输机上，飞行控制、发动机管理、导航、显示、环境控制等系统之间需要持续交换大量数据。这些数据一旦中断或出错，轻则导致显示异常，重则影响飞行安全。机载通信网络就是把这些分散的电子系统连接起来、让它们按确定规则交换信息的"神经系统"。本课程讨论的核心问题只有一个：当这条神经系统中的某一段出现故障时，飞机如何继续安全飞行——也就是冗余设计与故障切换。
学习目标
- 能说清机载通信网络的定义、组成要素，以及它与地面以太网、工业总线的本质差异。
- 能识别星型、总线型、环形、交换式网络等典型拓扑，并说明各自在机载环境下的适用性与代价。
- 理解冗余的三个层次：链路冗余、节点冗余、通道冗余，以及它们与故障切换时间的关系。
- 能从航空安全角度解释为什么"冗余"不等于"简单复制"，而是一套包含检测、判决、切换、告警的完整机制。
什么是机载通信网络
机载通信网络（Airborne Communication Network）是指安装在航空器上、由通信介质、网络节点、协议栈和网络管理功能共同构成的分布式数据交换系统。它把原本点对点硬线连接的众多设备，改造成共享的、可寻址的数据通道。其组成可以拆成四层来看：
- 物理介质层：早期多用屏蔽双绞线（如 ARINC 429 的单向总线），现代主干网络普遍采用光纤或带屏蔽的双绞线，以抵抗雷电、电磁干扰和串扰。
- 节点与接口层：包括各类航电计算机、传感器、作动器控制器，以及它们挂接网络所用的通信接口模块（如 AFDX 端系统、ARINC 664 端口）。
- 协议与交换层：定义帧格式、寻址方式、带宽分配、校验与重传规则。典型代表是 ARINC 664 Part 7（AFDX），它在以太网基础上增加了虚拟链路和流量整形。
- 网络管理层：负责网络配置、健康监控、故障检测与切换决策，是冗余机制真正落地的地方。
与地面网络相比，机载网络有三个硬约束：确定性（每条消息的传输延迟有上界，不能"尽力而为"）、实时性（飞控数据周期常在 10～20 ms 量级）、高可靠（关键功能不允许单点故障导致失效）。这三点决定了机载网络不能照搬商用以太网，而必须引入冗余与确定性调度。
典型拓扑结构
拓扑决定了故障传播路径和冗余的实现方式。机载环境常见四类：
- 星型拓扑：所有节点连到中心交换机。优点是路径清晰、易于隔离故障；缺点是中心交换机成为关键点，必须做双机冗余。
- 总线型拓扑：所有节点共享一条总线（如 ARINC 429、MIL-STD-1553）。布线省、成本低，但带宽有限，且总线本身断裂会影响整段。
- 环形拓扑：节点首尾相连，数据可双向绕行。单点断线时可通过反向路径继续通信，但需要处理环网重构与延迟抖动。
- 交换式网络：以多台交换机组成网状或双星结构，是当前 A380、B787 等机型的主流方案。它把带宽和故障域切分得更细，配合虚拟链路实现确定性传输。
实际机型往往不是单一拓扑，而是"双星主干 + 分支总线"的混合结构：主干用双冗余交换网络承载高带宽、高完整性数据，末端用成熟总线连接低速率设备。
冗余与故障切换在航空安全中的意义
航空安全的底层逻辑是"失效—安全"与"失效—可用"两种设计取向。对于飞控、显示等关键功能，要求的是失效—可用：即使某条链路、某个端口甚至某台交换机失效，功能仍要维持。冗余就是实现这一目标的手段，但冗余本身要解决四个问题：
- 检测：如何知道某条链路已经坏了？常用手段是心跳帧、CRC 校验、超时计数和链路层告警。
- 判决：检测到异常后，是切换、重传还是降级？需要区分瞬时误码与永久故障，避免"抖动式切换"。
- 切换：从主通道切到备通道。切换时间必须小于该功能允许的最大中断时间，飞控类通常要求毫秒级。
- 告警与记录：切换后要向机组和维护系统报告，便于事后分析。
下面这张图给出一个典型的双冗余交换网络结构：两台交换机互为备份，每个端系统通过两条独立链路分别接入 A、B 网，正常时双网同时收发，接收端按"先到先取、丢弃重复"的原则处理，从而在单条链路或单台交换机失效时实现无缝切换。
图中标注的"链路故障点"位于端系统 2 到交换机 A 的路径上。故障发生后，端系统 2 发往 A 网的帧丢失，但同一份数据仍通过 B 网送达接收端；接收端在超时窗口内未收到 A 网帧，转而采用 B 网帧，业务不中断。这就是"双网并行、先到先取"的冗余思想，也是 AFDX 等机载网络实现高完整性的基础。