7.3 确定性通信与实时性保证

7.3 确定性通信与实时性保证

本节摘要："实时"在工业语境里不是快，是确定——最坏情况有上界。本节讲清实时性的三个量化指标（延迟、抖动、超时率），以太网从"尽力而为"到"确定"的改造路径（优先级、循环交换、时间同步），并用冗余切换与联锁响应两个端到端时间预算的案例，演示"时间账"的算 法。

先定义，再谈保证

评价一个工业网络的实时性，三个指标缺一不可：

延迟：报文从发出到到达的时间。工程上看的是最坏情况延迟（有上界），不是平均值——平均值 2 毫秒、最坏 200 毫秒的网络，对控制应用就是 200 毫秒的网络。

抖动：延迟的波动量。3.1 节讲过抖动对采样规律性的伤害；网络上同理，控制器间引用的数据如果到达时刻忽早忽晚，接收侧的运算时序就被打乱。

超时率/丢帧率：报文在截止时间内到达的概率。控制通信要的是"十个九"级别的按时到达，一次超时在 IT 网络是重传了事，在控制网络可能是一次冗余误切换或一段控制空窗。

一句话：IT 网络优化平均，工业网络约束最坏。所有实时性技术都是在给最坏情况划上界。

以太网的"确定性改造"三板斧

标准以太网是"尽力而为"的：交换机端口队列满了就丢帧，谁赶上谁先走。改造三板斧依次上：

第一板斧 优先级：帧打上优先级标签（按标准分八级队列），控制数据进高优先级队列，文件传输与历史回补靠后。冲突不严重时，这一板斧就能把控制帧的等待时间压下去。

第二板斧 带宽预算与整形：保证高优先级流量永不超过链路带宽的一定比例（工程惯例控制流量占用不超过链路的四分之一到三分之一），突发流量在源头整形（限速、分段发送）。队列永不溢出，高优先级帧的等待时间就有了计算上界。

第三板斧 循环/时间片调度：等时同步类方案（含 TSN 的时间感知整形）让交换机按全局时钟划分时间片，控制帧在专属时间片内通行，抖动压到微秒级。这一板斧改造了交换机本身，代价是生态专用性，TSN 的意义正是把这套机制标准化。

配套还有时间同步（精确时间协议，让全网时钟对齐到亚毫秒乃至微秒级）：时间同步后，分布式采样的数据才有可比的时标，故障录波与事件顺序记录（SOE，分辨率毫秒级甚至更高）才成立——事故分析时"先跳 A 还是先跳 B"的争议，靠的就是全网同步时标。

端到端时间预算：两个实战案例

单指标的达标不算实时，工程要算端到端的时间账。

**案例一：冗余切换的总预算。**第五章说冗余切换几十到几百毫秒，这笔账怎么构成？心跳周期 20 毫秒 + 判死需连续三个周期 60 毫秒 + 接管仲裁与输出接管约 20 到 100 毫秒 + 网络自愈若同时发生再加几十毫秒 = 端到端最坏约 200 毫秒上下。对照被控过程：温度压力回路的动态以十秒到分钟计，200 毫秒的切换窗口损失可忽略；但若是快压力回路（动态秒级），就要压缩心跳周期、减少判死周期数——切换参数是随过程动态配置的，不是抄一套默认值。

案例二：联锁响应时间。从现场越限到切断阀动作的全链条：变送器检测与滤波（数十毫秒）+ SIS 逻辑器扫描周期（毫秒到几十毫秒）+ 电磁阀与气动执行机构动作（气动切断阀从全开到全关常在 1 秒量级，快关阀几百毫秒）+ 通信环节若涉及网关转发再加延迟。安全要求规格书里的"两秒内切断"就是把这些环节的最坏值加起来验证的——做验证试验时逐环节打时标，哪一环拖了后腿一目了然。多数情况下机械动作（阀门行程）才是大头，电子与网络环节合计往往不足一秒——这也是把时间账算清楚的价值：优化该优化的，别在毫秒级电子环节上浪费预算，而放着一秒级的阀门行程不管。

图：联锁响应端到端时间预算分解

实时性的验证：测试而非声明

供应商说"支持毫秒级实时"，工程上要的是测试报告：满负荷背景流量下的最坏延迟与抖动曲线、故障注入（拔网线、灌广播）下的切换与恢复时间、长时间（数天）运行的丢帧统计。第九章的投运测试里，网络实时性测试应包含一次"带背景流量"的工况——空载网络人人优秀，满载才见真章。

💡 概念回收：本章的"确定性"与 3.1 节控制器周期抖动、5.2 节冗余切换时间、本节的时间预算，是同一个概念在四个场合的化身。确定性思维——关心最坏情况胜过平均情况——是工业自动化工程师区别于纯 IT 工程师的思维底色。

本节要点回顾

• 实时三指标：最坏延迟有上界、抖动毫秒级、按时到达率近似十个九；工业网络约束最坏，IT 网络优化平均
• 以太网确定性三板斧：优先级队列、带宽预算与整形、时间片调度（TSN 正在标准化第三板斧）
• 时间同步支撑毫秒级事件顺序记录，是事故分析与时标可比的地基
• 时间预算要端到端地算：冗余切换总账约 200 毫秒量级、联锁响应的大头常在阀门行程
• 实时性靠测试证明：满负荷背景流量加故障注入，空载成绩不算数

血管系统全线贯通。下一章回到系统选型的经典难题：DCS、PLC、SCADA 的边界到底怎么划。

实时性的三个保证机制

工业网络的"实时"不是"快"而是"确定"——每个数据包在可预测的时间内到达。保证机制有三。机制一，流量隔离与优先级：控制数据与管理数据物理或逻辑隔离（VLAN 加 QoS），控制帧优先通行——防止一场大文件传输挤掉控制数据。机制二，时间同步与调度：需要严格确定性的场合用时间触发协议（如 TSN 时间敏感网络）或总线的主从轮询（每个设备在分配的时隙内说话，绝不冲突）——FF 与 PROFIBUS 的循环通信就是调度的实现。机制三，冗余与故障切换：双网冗余加故障检测，切换时间纳入实时性预算（切换丢一两个周期要在控制算法的容忍内）。三个机制的选择取决于控制需求：回路控制周期 100 毫秒级时，以太网的普通交换机制加 VLAN 隔离通常足够；而运动控制（毫秒级、抖动敏感）就需要 TSN 或专有实时总线。判断"你的网络够不够实时"的方法：测量最坏情况的周期抖动（不是平均值），与控制需求比较——平均值永远漂亮，最坏情况才决定生死。

补实时性验证的实测方法。设计声称实时，验证要实测：方法一，周期抖动测量——在操作站或测试机上记录某个控制器数据的到达时间戳序列，计算相邻间隔的分布（最大值、最小值、标准差），最大周期抖动超过控制周期 10% 就要排查；方法二，注入测试——制造网络负载（大 ping 包风暴或备份任务），观察控制数据的周期是否稳定（隔离设计有效的标志是控制数据不受影响）；方法三，端到端延迟测量——从现场信号变化到画面显示的全程延迟（用秒表拍屏或在两端打时间戳），端到端超过一秒会影响操作员的手感与信心。三项实测写进 FAT 报告，网络实时性就从厂商宣传单变成了验收过的性能指标——这也是把"通信是血管"的比喻落到测试纪律上的方式：血管的通畅要用血压计量的，不是用感觉。