CN110495146B - 具有验证功能的方法、系统和计算机可读介质 - Google Patents

Abstract

根据一些实施方式，提供了系统和方法，包括：在验证模块处接收用于经由时间敏感网络(TSN)向一个或多个目的地节点传输一个或多个数据帧的调度；在验证模块处接收每个数据帧的目的地；在验证模块处接收每个数据帧的最大可容忍时延；经由验证模块确定接收到的调度正确；根据调度传送一个或多个数据帧；经由验证模块访问一个或多个目的地节点；经由验证模块基于访问一个或多个目的地节点，验证一个或多个数据帧在最大可容忍时延内被传送至一个或多个目的地节点；以及基于传送的一个或多个数据帧来控制已安装的产品的一个或多个操作。提供了许多其他方面。

Description

具有验证功能的方法、系统和计算机可读介质

背景技术

工业设备或资产通常被设计为执行作为工业过程的一部分的特定任务。例如，工业资产可包括但不限于生产线上的制造设备、飞机发动机、在风电场发电的风力涡轮机、发电厂、机车、医疗保健或成像设备（例如X射线或MRI系统）或用于患者护理设施的外科套件，或用于采矿作业的钻探设备。这些资产的设计和实现通常考虑到手头任务的物理性质以及此类资产配置为工作所在的环境以及将这些系统分配给的特定操作控制。各种类型的控制系统在不同的传感器、设备、用户接口等之间传送数据，以实现其他动力系统的控制操作。

这些动力系统的操作可取决于各种设备之间的数据帧的准时和准确的传输。在指定的时间或指定的时间内未能传输某些数据可能会导致动力系统出现故障，从而可能造成灾难性的后果。例如，未能将传感器数据传输到机车或轨道交通工具系统的控制系统可能导致机车或轨道交通工具系统不能足够早地刹车来避免碰撞。作为另一实例，未能将传感器数据传输到外科套件（suite）的控制系统可能导致挽救生命措施的延迟。如果在指定时间或指定时间内未提供数据，则其他控制系统可能无法实施保护措施，以免损坏或损害系统或其他设备。没有及时的信息，反馈控制系统将无法保持性能和稳定性。

一些系统可使用时间敏感网络（TSN）来传送数据。可使用单个设备（例如，离线调度系统）来调度TSN内的通信，单个设备采用通过通信设备之间的网络节点的固定的，不变的路径。TSN还可接收非时间敏感的通信，诸如速率受限的通信和“尽力服务”通信。但是，调度可能不正确，如果正确，则可能无法正确实施。这使得难以维持控制系统的性能和稳定性。

期望提供改善通过TSN网络的通信业务流以优化动力系统的操作控制的系统和方法。

发明内容

根据一些实施方式，一种方法包括：在验证模块处接收用于经由时间敏感网络（TSN）向一个或多个目的地节点传输一个或多个数据帧的调度；在验证模块处接收每个数据帧的目的地；在验证模块处接收每个数据帧的最大可容忍时延；经由验证模块确定接收到的调度正确；根据调度传送一个或多个数据帧；经由验证模块访问一个或多个目的地节点；经由验证模块基于对一个或多个目的地节点的访问，验证在最大可容忍时延内一个或多个数据帧被传送至一个或多个目的地节点；以及基于传送的一个或多个数据帧来控制已安装产品的一个或多个操作。

根据一些实施方式，一种系统包括：已安装的产品，所述已安装的产品包括多个组件；编程有用于所述已安装的产品的验证模块的计算机，所述验证模块用于验证用于控制所述已安装的产品的操作的调度；所述计算机包括处理器和与该处理器通信的存储器，所述存储器存储所述验证模块和附加程序指令，其中，所述处理器与所述验证模块和附加程序指令一起操作以执行如下功能：接收用于经由时间敏感网络（TSN）向一个或多个目的地节点传输一个或多个数据帧的调度；接收每个数据帧的目的地；接收每个数据帧的最大可容忍时延；确定收到的调度正确；根据所述调度传送一个或多个数据帧；访问所述一个或多个目的地节点；基于对所述一个或多个目的地节点的访问，验证在最大可容忍时延内所述一个或多个数据帧被传送到所述一个或多个目的地节点；以及基于所述传送的一个或多个数据帧控制已安装的产品的一个或多个操作。

根据一些实施方式，一种非暂时性计算机可读介质，其存储指令，该指令在由计算机处理器执行时使该计算机处理器执行包括以下的方法：在验证模块处接收用于经由时间敏感网络（TSN）向一个或多个目的地节点传输一个或多个数据帧的调度；在所述验证模块接收每个数据帧的目的地；在所述验证模块处接收每个数据帧的最大可容忍时延；经由所述验证模块确定接收到的调度正确；根据所述调度传送一个或多个数据帧；经由所述验证模块访问所述一个或多个目的地节点；经由所述验证模块基于访问所述一个或多个目的地节点，验证在最大可容忍时延内一个或多个数据帧被传送至所述一个或多个目的地节点；以及基于传送的一个或多个数据帧，控制已安装的产品的一个或多个操作。

本发明的一些实施方式的技术效果是一种改进的和/或计算机化的技术和系统，用于动态地验证和控制通过网络的时间敏感数据和非时间敏感数据的路径。实施方式提供了在真实系统上自动测试和验证调度器的结果。实施方式提供了避免错误的调度，并且向用户提供了调度导引和反馈。实施方式提供了一种网络，该网络可验证和调整调度以精确地匹配数据需求的要求，从而使联网通信系统更加有效。例如，现实世界益处包括测试TSN网络，证实网络上预先计算的TSN调度，了解在不同或故障的网络上可支持给定的TSN调度的程度，逐步调整TSN调度以适应网络和应用帧传输时延要求的变化。借助在下文中将变得显而易见的该优点和其他优点和特征，可通过参考以下详细描述和所附附图来获得对本发明的性质的更完整的理解。

其他实施方式与存储用于执行本文所述的任何方法的指令的系统和/或计算机可读介质相关联。

附图说明

图1示出了根据一些实施方式的系统。

图2示出了根据一些实施方式的流程图。

图3示出了根据一些实施方式的框图。

图4示出了根据一些实施方式的流程图。

图5示出了根据一些实施方式的系统的框图。

具体实施方式

各种类型的控制系统按照应用程序的指示在不同的传感器、设备、用户接口等之间传送数据，以实现对动力系统的控制操作。这些动力系统的操作可能依赖于各种设备之间数据帧的准时和准确传输。在指定的时间或指定的时间内未能传输某些数据可能会导致动力系统出现故障，从而可能造成灾难性的后果。没有及时的信息，反馈控制系统将无法保持性能和稳定性。如本文所使用的，反馈控制系统可连续地接收关于动态系统的状态的反馈，并且可在存在“噪声”（例如，干扰系统的任何随机事件）的情况下将命令施加至致动器或其他设备以维持期望的结果。在一个或多个实施方式中，反馈控制系统可以是联网控制系统。如本文所使用的，“联网控制系统”是在数字通信网络上操作的控制系统。反馈控制系统可连续接收反馈并进行调整以维持期望的状态。在一个或多个实施方式中，系统的性能可取决于及时接收状态信息。如果状态反馈信息被延迟，则整个控制系统可能会变得不稳定并且可能失控，从而导致灾难性行为。

一些系统可使用时间敏感网络（TSN）来传送与控制系统中使用的特定应用相关联的数据。TSN可至少部分地由时间敏感网络任务组开发的一组标准定义，并且包括一个或多个IEEE 802.1标准。可调度TSN内的时间敏感的通信，而不调度非时间敏感的通信，诸如速率受限的通信和“尽力服务”通信，（例如，在没有从端到端的确定性时延的情况下进行发送）。

在一个或多个实施方式中，TSN调度器创建一组约束并求解满足约束的解。具体而言，TSN调度器可生成使未调度的通信插入通过网络的调度的通信流中。在一个或多个实施方式中，TSN调度器可接收通信的目的地和该通信在该目的地的预期到达时间作为输入。预期到达时间可以是最大可容忍时延的形式。然后，基于该信息，TSN调度器可生成调度。在一个或多个实施方式中，调度可包括关于何时打开和关闭一个或多个网络队列的一个或多个门以允许通信的传输的指令。在一个或多个实施方式中，TSN调度器可解决使多个业务流存在于同一以太网上的问题，以使得以太网帧在预定时间到达其目的地，而不管网络的拓扑或网络中流动的业务流的速率如何。

然而，进行调度是复杂的过程，并且所生成的调度可能是不正确的。例如，所生成的调度可能没有正确的时延（例如，数据帧可能到达目的地的最晚时间）。此外，即使调度是正确的，调度也可能无法在系统中正确实施。

一个或多个实施方式提供了对所生成的调度的验证。在一个或多个实施方式中，验证模块可从调度器接收生成的调度。验证模块还可接收通信的预期目的地和通信到达目的地的预期到达时间（例如，以最大可容忍时延的形式）。然后，验证模块可访问系统（例如，实时反馈控制系统或数字双胞胎），在发送通信以确定每个通信是否到达其预计的目的地时。

术语“已安装的产品”应理解为包括任何种类的机械操作实体或资产，包括但不限于喷气发动机、机车、燃气轮机和风电场及其所包含的辅助系统。该术语最适用于大型复杂的动力系统，该系统中安装了许多活动部件、众多传感器和控件。术语“已安装”包括集成到物理操作中，诸如其操作被动态地控制的飞机机队中的发动机的使用，与铁路操作相关的机车，或在运行中的厂房的设备构造或其一部分、工厂中或供应链的机器等中。在本文中，术语“已安装的产品”、“资产”和“动力系统”可互换使用。

如本文所使用的，术语“自动地”可指的是例如可在很少或没有人为干预的情况下执行的动作。

转向图1，提供了根据一些实施方式的系统100架构的框图。系统100可包括至少一个已安装的产品102。如上所述，在各种实施方式中，已安装的产品102可以是复杂的机械实体，诸如工厂的生产线、燃气发电厂、机队中的飞机上的喷气发动机（例如，两个或更多飞机或其他资产）、风电场、机车等。已安装的产品102可包括控制系统104，该控制系统104基于通过已安装的产品的设备之间的通信获得或生成和/或传送的数据来控制已安装的产品的操作，并且在已安装的产品之间传送信息等，以允许对已安装的产品进行自动控制，以向已安装的产品的操作员提供信息。

在一个或多个实施方式中，系统100可包括通信系统106。控制系统104可使用（“控制”）通信系统106以在控制系统104的设备和/或由控制系统104控制的已安装的产品102之间传送数据。控制系统104可表示包括和/或连接于一个或多个处理器108（例如，微处理器、集成电路、现场可编程门阵列等）的硬件电路，一个或多个处理器108执行控制已安装的产品102的操作。

在一个或多个实施方式中，控制系统104可包括计算机数据储存器110，其可将信息提供给调度器111和验证模块112，并且可存储来自调度器111和验证模块112的结果。通信系统106可将数据从已安装的产品102和数据存储器110中的至少一个提供给调度器111和验证模块112。验证模块112可以是调度器111的组件，并且可包括一个或多个处理元件108和数字双胞胎116。处理器108例如可以是常规微处理器，并且可操作以控制验证模块112的整体功能。在一个或多个实施方式中，处理器108可编程有工业过程的连续或物流模型，工业过程使用一个或多个已安装的产品102。

数字双胞胎116例如可以是虚拟地代表已安装的产品102的状态的计算机模型。数字双胞胎116可使用传感器、通信、建模、历史和计算模拟双胞胎物理系统的操作性能。它可在有用的时间帧内提供答案，即有意义地先于预计发生的故障事件或次优操作。数字双胞胎116可包括具有其物理双胞胎的参数和尺寸的参数和尺寸的代码对象，物理双胞胎的参数和尺寸提供测量值，且数字双胞胎116可通过经由嵌入在物理双胞胎中的传感器的输出接收和更新值来使那些参数和尺寸的值保持为最近的。数字双胞胎116可具有相应的虚拟组件，这些虚拟组件基本上对应于已安装的产品102的所有物理和操作组件以及构成操作的产品或资产的组合。

如本文中所使用的，对“数字双胞胎”的引用应被理解为表示可根据本公开的教导执行的许多不同类型的建模的一个实例。

在一个或多个实施方式中，验证模块112可从调度器111接收生成的调度310（图3），以按照该调度通过通信系统发送每个数据帧。验证模块112还可接收关于每个数据帧的目的地320的目的地信息321和数据帧到达目的地的最大可容忍时延324。在一个或多个实施方式中，目的地信息321和最大可容忍时延324可由控制系统104正在执行的应用提供。如本文所使用的，“最大可容忍时延”可指数据帧可到达目的地的最新时间。

然后，在一个或多个实施方式中，验证模块112可相对于接收到的目的地信息321和最大可容忍时延324分析调度310，以确定调度310是否正确。在一个或多个实施方式中，验证模块112可与通信系统106中的一个或多个队列312（图3）同时或基本同时接收调度310，使得在经由队列通过通信系统106传输数据帧304（图3）的同时，验证模块112正在验证调度。在一个或多个实施方式中，验证模块112可在队列的调度传输之前接收调度310，使得验证模块112可在通过通信网络106发送数据帧304之前验证调度310。验证模块112验证调度之后，验证模块112可验证调度310是否在系统100中正确地实现。在一个或多个实施方式中，控制系统104可基于所发送的数据帧304来控制已安装的产品102的一个或多个操作。

在一个或多个实施方式中，数据存储器110可包括硬盘驱动器、RAM（随机存取存储器）、ROM（只读存储器）、闪存等中的一个或多个的任意组合。数据存储器110可存储对处理器108、调度器111和验证模块112进行编程以执行如本文所述的功能的软件。

根据一些实施方式，验证模块112可访问数据存储器110，然后利用数字双胞胎116创建预测和/或结果（例如，预测的调度），预测和/或结果可根据需要被发送回已安装的产品102或其他系统（未示出），（例如，向用户显示已安装的产品的操作、另一个系统的操作或对另一个系统的输入）。

在一些实施方式中，通信系统106可将来自调度器111和验证模块112（以及其中包括的元件）的输出提供给用户平台124、已安装的产品102或其他系统中的至少一个。在一些实施方式中，由用户平台124、已安装的产品102和其他系统接收的信号可引起已安装的产品102的一个或多个物理元件的状态或条件或其他属性的修改。

通信系统106可在已安装的产品102的多个设备之间传送数据，诸如监视、测量、记录等信息并将该信息作为传感器数据122传送的传感器118、120。可经由通信系统106通信的另一个设备可包括人机接口（HMI）或用户接口（UI）124，其接收将被呈现给通信系统106或控制系统104的用户或操作员的输出或状态数据101并且可将从用户或操作员接收的输入数据103传送给控制系统104的一个或多个其他设备。HMI/UI 124可代表显示设备、触摸屏、膝上型计算机、平板计算机、移动电话、扬声器、触觉设备或向用户或操作员传送信息或传输信息的其他设备。根据本文描述的任何实施方式，用户可经由HMI/UI 124之一来访问系统100以查看关于已安装的产品102的信息和/或管理已安装的产品102的信息。

在一个实施方式中，传感器118、120中的至少一个可以是产生视频或图像数据的相机、X射线检测器、声学拾取装置、流速计、全球定位系统接收器、无线设备或其他设备，该无线设备发送无线信号并检测无线信号的反射以生成表示墙壁、汽车侧面或其他不透明物体后面的物体或对象的图像数据。

可使用通信系统106进行通信的其他设备可包括一个或多个致动器126，其可表示移动以执行由控制系统104控制的已安装的产品102的一个或多个操作的装置、设备或机器。致动器126的实例包括制动器、节流阀、机器人设备、医学成像设备、灯、涡轮等。致动器126可经由通信系统106将致动器126的状态数据105传送给已安装的产品102的一个或多个其他设备。状态数据105可表示发送状态数据105的致动器106的位置、状态、健康状况等。致动器126可经由通信系统106从已安装的产品或控制系统的一个或多个其他设备接收命令数据107。命令数据107可代表指令，该指令指示致动器126如何和/或何时移动、操作等。

控制系统104可在一个或多个软件应用113的要求下经由通信系统106在设备之间传送（例如，接收、发送和/或广播）各种数据。例如，控制系统104可将命令数据107传送到一个或多个设备和/或从一个或多个设备接收数据109，诸如状态数据105和/或传感器数据122。尽管设备在图1中显示为发送某些数据或接收某些数据，但可选地，这些设备可发送和/或接收其他类型的数据。例如，传感器118、120可接收数据和/或发送其他类型的数据。

通信系统106使用通信网络128在设备和/或控制系统104之间传送数据，该通信网络128可使用数据分发服务130传送数据。如本领域中已知的，数据分发服务130是网络“中间件”应用，可使在网络上配置发布者和订户更加容易。可使用其他中间件应用。在其他实施方式中，不包括数据分发服务130，并且应用113可自己管理已安装的产品102（及其设备）。网络128（来自图1）是时间敏感网络，但是可替代地可以是其他类型的网络。例如，包括与系统100相关联的那些设备和本文描述的任何其他设备的设备可经由任何通信网络来交换信息，该通信网络可以是以下中的一个或多个：局域网（“LAN”）、城域网（“MAN”）、广域网（“WAN”）、专有网络、公共交换电话网（“PSTN”）、无线应用协议（“WAP”）网络、蓝牙网络、无线LAN网络和/或互联网协议（“IP”）网络，诸如互联网、内联网或外联网。注意，本文描述的任何设备可经由一个或多个这样的通信网络进行通信。

数据分发服务130可代表设备和网络之间的对象管理组（OMG）设备到设备中间件通信标准。数据分发服务130可允许发布者和订户之间进行通信。术语“发布者”可指代将数据发送到其他设备104、118、120、124、126的设备104、118、120、124和126，术语“订户”可指代从其他设备104、118、120、124和126接收数据的设备104、118、120、124和126。数据分发服务130是网络不可知论者，因为数据分发服务130可在各种网络上运行，诸如以太网，作为一个实例。数据分发服务130可在传送数据所经由的网络与传送该数据的应用（例如，设备104、118、120、124和126）之间操作。设备104、118、120、124和126可在分布式区域上发布和订阅数据，以允许在设备104、118、120、124和126之间共享各种各样的信息。

在一个实施方式中，设备104、118、120、124和126可使用数据分发服务130来通过网络128传送数据101、103、105、107、109、122，这可在已安装的产品102的以太网网络上操作。网络128可至少部分地由时间敏感网络任务组开发的一组标准来定义，并且包括一个或多个IEEE 802.1标准。尽管以太网网络可在没有TSN的情况下操作，但是这样的网络可是不确定的，并且可能以随机或伪随机方式传送数据帧或数据包，该方式无法确保在指定的时间段内或指定的时间传送数据。使用非TSN以太网网络，可能无法知道数据何时将到达目的地或数据将不会被丢弃。这种不确定性方法可能基于“尽力服务”。结果，某些数据可能无法在设备使用数据进行操作的足够的时间内到达经由非TSN以太网网络连接的设备。关于某些控制系统，如上所述，数据的迟到到达可能会带来灾难性的后果。但是，基于TSN的确定性以太网网络可指示何时进行某些数据通信，以确保某些数据帧或数据包在指定的时间段内或指定的时间进行传送。基于TSN的以太网网络中的数据传输可基于网络的全局时间或时间尺度，该时间或时间尺度对于网络中的设备或与网络连接的设备可以是相同的，其中针对至少某些设备调度设备进行通信的时间或时隙。

通信系统106可使用网络128在使用数据分发服务130的设备104、118、120、124和126之间传送数据，以保持某些设备104、118、120、124和126的服务质量（QoS）参数132。如本文所用，“QoS”可指对时间敏感的联网服务质量。在一个或多个实施方式中，设备104、118、120、124和126的QoS参数132可表示对设备104、118、120、124和126之间的数据通信的要求，诸如用于在设备104、118、120、124和126之间传送数据的时间或延迟量的上限。

在一个或多个实施方式中，QoS参数132可指示两个或更多个设备104、118、120、124和126之间的通信中的数据吞吐量的下限或最小值。在一个或多个实施方式中，QoS参数132可用于确保与一个或多个设备104、118、120、124和126；到一个或多个设备104、118、120、124和126；和/或两个或更多个设备104、118、120、124和126之间通信的数据被及时接收（例如，在指定时间或在指定时间段内）。在一个或多个实施方式中，QoS参数132可由一个或多个其他参数定义。这些其他参数的实例可包括截止期限参数、时延参数和/或传输优先级参数。

在一个或多个实施方式中，截止期限参数可指示可用于发送和/或接收与特定主题相关联的数据的时间量的上限或最大值。在一个或多个实施方式中，截止期限参数可与数据在应用、操作系统和网络中花费的总时间有关。在一个或多个实施方式中，截止期限参数可用作对网络时延的检查（例如，要求网络时延小于作为有效的初始要求的截止期限）。当数据由一个或多个指定设备（例如，测量已安装的产品的特定特性（诸如速度、功率输出等）的传感器）发布时，数据可能与特定主题相关联，然后该数据表示特定特性（即使数据在不同的时间来自不同的设备），和/或被指向到相同的设备（例如，相同的致动器126）。在一个或多个实施方式中，时延参数可指示在将数据传输到订阅设备104、118、120、124和126中的时间延迟的上限或最大值。例如，传感器118、120可发布数据122，该数据代表已安装的产品的操作，并且HMI/UI 124、致动器126和/或控制系统104可能需要在传感器118、120发布数据122之后的指定时间段内接收传感器数据122。例如，对于传送达到或超过指示危险状况的指定阈值的电机或发动机的温度的传感器118，控制系统104和/或致动器126可能需要在指定时间段内接收该温度，以允许控制系统104和/或致动器126执行响应动作，诸如降低发动机或电机的速度，关闭发动机或电机等。在一个或多个实施方式中，时延时段可指数据仅在网络中花费的时间。在一个或多个实施方式中，TSN 128可仅与时延的网络部分有关（与应用和操作系统部分的时延相对）。

在一个或多个实施方式中，传输优先级参数可指示设备104、118、120、124和126中的两个或更多个之间到网络的相对优先级。一些设备104、118、120、124和126可能比其他设备104、118、120、124和126具有更高的优先级，以接收（或订阅）某些已识别的数据类型或数据源。同样，一些设备104、118、120、124和126可能比其他设备104、118、120、124和126具有更高的优先级，以发送（或发布）某些已识别的数据类型或数据源。与其他设备104、118、120、124和126相比具有更高优先级的订阅设备104、118、120、124和126可在优先级较低的设备104、118、120、124和126之前经由网络从数据源接收相同的数据。与优先级较低的设备104、118、120、124和126相比，比其他设备104、118、120、124和126具有更高优先级的发布设备104、118、120、124和126将由优先级较高的设备104、118、120、124和126获取或生成的数据发送到网络。

在一个或多个实施方式中，设备104、118、120、124和126的QoS参数132可由截止期限参数、时延参数和/或传输优先级参数中的一个或多个或组合来定义。在一个或多个实施方式中，然后，调度器111可使用QoS参数132来使用数据分发服务130来确定TSN内的数据传输调度310。数据传输调度310可指示在沿着路径的节点处在网络内传送数据的时间。但是，通过为“沿路径的节点”提供时间，调度还可建议路径本身。发明人注意到，如果有许多采用公共路径的TSN流，则建议的路径可能并不明显。

转向图2至图4，提供了根据一些实施方式的操作实例的流程图和框图。具体而言，图2和图4提供了根据一些实施方式的过程200、400的流程图。可使用硬件（例如，电路）、软件或手动装置的任何合适的组合来执行过程200和400以及本文所述的任何其他过程。例如，计算机可读存储介质可在其上存储指令，当这些指令由机器执行时，其使得执行根据本文描述的任何实施方式。在一个或多个实施方式中，系统100被适配为执行过程200和400，使得系统是被配置为执行不可由通用计算机或设备执行的操作的专用元件。体现这些过程的软件可通过任何非暂时性有形介质进行存储，包括固定磁盘、软盘、CD、DVD、闪存驱动器或磁带。这些过程的实例将在下面关于系统的实施方式进行描述，但是实施方式不限于此。本文描述的流程图并不意味着步骤的固定顺序，并且本发明的实施方式可以以任何可行的顺序来实践。

在一个或多个实施方式中，网络128可包括多个目的地320或节点。节点可经由一个或多个通信路径322或链路连接到通信系统。通信链路322可经由端口和/或交换机301彼此连接。在一个或多个实施方式中，两个或更多个数据帧传输路径或流可重叠。数据帧304可能在这些传输路径重叠的地方发生冲突，并且冲突可能导致帧丢失，而没有传输到它们各自的目的地320。这样，调度器111可将未调度/尽力服务帧插入具有调度的帧的调度310中，因此数据帧304不会冲突，而是在适当的时间到达适当的目的地。

在一个或多个实施方式中，TSN网络128可包括用于将数据帧304发送到它们各自的目的地320的多个队列312（例如，队列0、1、2、3、4……7等）。在一个或多个实施方式中，队列可存在于所有接口中——既在终端系统（例如，设备）上，又在交换机301的每个端口（连接）中。在一个或多个实施方式中，每个队列312可包括门313，门313可处于打开位置314或关闭位置316，并且可在处于打开位置314时仅允许传输数据帧304。在一个或多个实施方式中，队列门的操作可同步至相同的时钟318。值得注意的是，同步非常重要，特别是对于高优先级的业务而言，以确保门正好在正确的时间关闭，以避免冲突并按照调度310通过网络获取数据帧。在一个或多个实施方式中，调度器111基于接收到的输入执行计算，以确定沿流的路径的门的打开/关闭时间以满足目的地320和到达时间（例如，在最大时延之内），如由应用所指定的。在一个或多个实施方式中，如TSN标准中所描述的，调度310的内容指定沿流的路径的门的打开/关闭。

在一个或多个实施方式中，在开始过程200之前，位于交换机301处的调度器111从至少一个应用接收输入以创建调度310。虽然图3示出了调度器111位于交换机301上，但是调度器111可位于网络128内的任何地方。在一个或多个实施方式中，调度器111可与所有交换机和终端系统通信以对其进行配置。输入可包括由一个或多个数据帧构成的一个或多个数据包、数据帧的目的地320和最大时延324中的至少一个。调度器111可接收其他合适的输入。例如，调度器111还可从应用113和/或工具链或任何其他合适的源接收网络拓扑描述和路径或链路要求306（例如，时间敏感的路径的指示、物理链路带宽、帧的大小（“有效载荷”））。调度器111然后可生成用于通过网络128通信业务的调度310。

最初，在S210处，验证模块112接收用于经由TSN 128将一个或多个数据帧304发送到一个或多个目的地320的调度310。

然后，在S212处，验证模块112接收每个数据帧304的目的地信息321和各个数据帧304到达目的地320的最大可容忍时延324。在一个或多个实施方式中，S210与S212的顺序可以调换，由此验证模块112首先接收目的地信息321和最大可容忍时延324，然后接收调度310。在一个或多个实施方式中，S210和S212可在相同或基本相同的时间发生。

然后，在S214处，验证模块112确定调度310是否正确。在一个或多个实施方式中，调度的一个或多个元素可能是不正确的（例如，目的地节点、端口、接口、时间段、门打开/关闭偏移、门打开/关闭时间间隔等）。作为另一实例，调度310可不包括针对一个或多个数据帧的正确的最大可容忍时延。例如，调度310可使门314处于打开位置313，以允许数据帧304在不到九十微秒的时间内到达目的地，而应用要求数据帧304在不到80微秒的时间内到达目的地320。在一个或多个实施方式中，验证模块112可在给定可利用的不同随机算法的情况下创建不同但仍然有效的其他调度，并且该调度可在数字双胞胎116中执行。在一个或多个实施方式中，如果该其他调度，则有力的证据表明原始调度是有效的，并且可确认原始调度是有效的。在一个或多个实施方式中，可请求一系列有效的不同调度，然后验证模块112可寻找与原始调度的匹配。在一个或多个实施方式中，可使用量子计算来加速一系列不同调度的生成并寻找匹配。例如，在一个或多个实施方式中，验证模块112可模拟（例如，经由数字双胞胎116）最坏情况，其中最大尺寸的帧通过网络从所有流源流向所有流目的地，原始调度确保它是有效的调度。在一个或多个实施方式中，也可使用数学矩阵运算来分析地完成该证实。在一个或多个实施方式中，验证模块112可相对于目的地320和中间系统（沿着路径的交换机）分析调度310，以确定调度310是否提供期望的数据帧流（例如，具有正确的最大可容忍时延和应用指定的其他QoS参数132）。

如果调度310不正确，则过程200进行到S216，并且过程结束。在一个或多个实施方式中，如果调度310不正确，则过程可将调度返回给调度器111以进行重新计算。在一个或多个实施方式中，如果正在执行不正确的调度（例如已经被发送到队列312，并且正在发送数据帧304），则可停止调度的执行，并且可生成通知。在一个或多个实施方式中，可生成通知并将其发送到HMI/UI 124。在一个或多个实施方式中，可对调度中的错误分等级以确定适当的动作。例如，特定的错误可能不会影响控制系统的功能达到停止执行调度的程度，因此等级可指示系统允许通信继续。在一个或多个实施方式中，调度可能是不正确的，但仍允许系统成功运行；或者，可能只需要重新计算调度的一部分。

如果调度310是正确的，则过程200进行到S218，并且根据调度310发送一个或多个数据帧304。在一个或多个实施方式中，数据帧304可在数字双胞胎116中发送，或者可经由TSN128发送到真实的已安装的产品102。在一个或多个实施方式中，验证模块112可在与队列312相同的时间或基本上相同的时间接收调度310，使得验证模块112在通过TSN 128发送数据帧304的同时确定调度310是否正确。在一个或多个实施方式中，验证模块112可在通过TSN 128发送数据帧304之前确定调度310是否正确。

然后，在一个或多个实施方式中，验证模块112自动确定调度是否由系统正确地实施。实施方式提供了在真实系统或数字双胞胎上对调度器的结果的自动化测试和验证。由一个或多个实施方式提供的验证过程的益处在于，它可避免错误并且可向用户提供指导和反馈以提供更高效和有效的控制系统。在S220中，验证模块112确定数据帧304是否到达目的地320。在一个或多个实施方式中，验证模块112可通过访问一个或多个目的地节点320来确定数据帧304是否到达目的地320。

在一个或多个实施方式中，验证模块112可通过执行网络嗅探器326（例如wireshark®）和网络管理器中的至少一个来确定数据帧304是否到达目的地320。在一个或多个实施方式中，网络管理器可向网络设备轮询简单的统计信息，诸如通过设备及其特定接口的帧数。从整个网络中的设备实时轮询的网络管理信息可用于推断整个网络的业务流，从而有助于确定帧是否如给定TSN调度所预期的那样从源流向目的地。在一个或多个实施方式中，网络嗅探器326可观察流过可操作（“实时”）网络的帧，并且可记录它们到达网络中各个节点的时间。如果帧在调度所预测的时间到达节点，则可认为操作是正确的。在一个或多个实施方式中，嗅探器326可被集成到调度器111中以测试调度310以用于调试目的。在一个或多个实施方式中，可用数据帧进入/离开设备（例如，路径中的交换机或其他节点）的预期时间来对嗅探器326进行编程。嗅探器326可分析进入/离开设备的每个数据帧304，以确定数据帧304是否在正确的时间（在最大可容忍的时延内）到达正确的点（目的地），并因此按照调度在网络128中移动。

如果数据帧304到达目的地320，则在S222中，验证模块112确定到达是否在最大可容忍时延324内。如果到达在最大容忍时延324之内，则过程200进行到S223，并且基于所发送的一个或多个数据帧来控制已安装的产品的一个或多个操作。

如果数据帧304没有到达目的地320，或者如果数据帧304确实到达，但是不在最大可容忍时延之内，则过程进行到S224，并且验证模块112执行错误分析以确定流中数据帧304被时延或丢弃的最可能的点。在一个或多个实施方式中，数据帧304可能太早到达，或者两个或更多帧可能发生冲突（然后通过使彼此的信号恶化而彼此破坏）。在一个或多个实施方式中，时延/丢弃/提早到达/冲突可能是例如门损坏（例如，未同步到正确的时间）或拓扑故障（例如，数据帧沿着与预期不同的路径）中的至少一个的结果。时延/丢弃/提早到达/冲突可能是其他合适因素的结果，例如电磁干扰、帧错误校正错误、电气接地错误、PCB或电线腐蚀、温度或振动损坏等。

在一个或多个实施方式中，当数据帧304的预设阈值数量未到达目的地320或未在最大可容忍时延324内到达时，可执行S224的错误分析。例如，当给定时间段内有90％的数据帧304在最大可容忍时延324内到达目的地320时，使得10％的数据帧未在最大可容忍时延内到达或被丢弃（例如，未到达），验证模块112可确定不需要进行错误分析。在一个或多个实施方式中，预设阈值数可由管理员或其他用户设置。

在一个或多个实施方式中，作为错误分析的一部分，验证模块112可确定数据帧是否在调度的出发时间从发送方离开。在一个或多个实施方式中，该确定可经由使用嗅探器或内置帧计数器（例如，简单管理网络协议（SNMP）或NETCONF/ YANG）来进行。

在一个或多个实施方式中，作为错误分析400（图4）的一部分，在S410中，验证模块112可推断出数据帧的预期行进路径。在常规的通信网络中，网络确定如何通过网络路由数据帧（例如，网络可向数据帧分配不太拥塞的路径或可具有更好地同步的时钟的路径）。这样，在一个或多个实施方式中，基于网络拓扑的假设和知识，可推断出预期的行进路径。在一个或多个实施方式中，预期行进路径可具有一个或多个跳或节点在途中到达目的地320。

在推断出预期的行进路径之后，在一个或多个实施方式中，在S412中，验证模块112可分析路径上的每一跳以确定是否在该跳处接收到数据帧304。在一个或多个实施方式中，分析可从路径中的第一跳（例如，紧接在队列之后的跳）或路径中的最后一跳（例如，紧接在目的地之前的跳）开始。在一个或多个实施方式中，代替以推断的路径中的第一跳或最后一跳开始分析，分析可将路径划分为两个或更多个部分并分析每个部分。例如，分析可将路径分为两部分，并如下所述以作为路径中途点的跳开始分析。然后，如果未找到错误点，则分析可移至该部分中的下一个连续跳，或者可分析该部分中的另一点（例如，该部分中的中途点）。

在一个或多个实施方式中，可基于“最可能”的确定来选择用于分析的第一跳。例如，验证模块112可分析网络信息以推断发生错误的“最可能的”跳（例如，验证模块112可推断特定的时钟或链路较弱），并且首先分析该节点。

可使用任何其他合适的方法来选择用于分析的跳。

如果在跳处接收到数据帧304，则验证模块112可在S414中确定是否按照调度310在预期时间接收到数据帧。如果验证模块112确定在该跳处在预期时间接收到数据帧304，验证模块112可确定该跳不是错误点，并且过程400可返回到S412，然后分析路径中的下一跳。如果在S412中在该跳处接收到数据帧，但是不在预期时间（S414），则验证模块112可确定该跳为错误点。在一个或多个实施方式中，当验证模块112确定错误点时，在一个或多个实施方式中，验证模块112可在S416中采取纠正措施。例如，验证模块112可将错误点提供给调度器111，并且调度器111可更改调度（例如，如果时钟不工作），或者验证模块112可将错误点提供给网络128，然后网络可避免该路径或避免该路径上的时钟。在一个或多个实施方式中，当确定预设的错误阈值数量和/或当确定具有特定等级的错误时，可采取纠正措施。在一个或多个实施方式中，可对错误类型定级以指示是否需要纠正措施。

注意，可使用任何数量的不同硬件配置来实现本文描述的实施方式。例如，图5示出了可例如与图1的系统100相关联的TSN调度验证平台500。TSN调度验证平台500包括TSN调度验证处理器510（“处理器”），诸如以单芯片微处理器形式的一个或多个市售中央处理器（CPU），其耦合到通信设备520，被配置为经由通信网络（图5中未示出）进行通信。通信设备520可用于例如与一个或多个用户通信。TSN调度验证平台500还包括输入设备540（例如，用于输入信息的鼠标和/或键盘）和输出设备550（例如，用于输出和显示评估）。

处理器510还与存储器/存储设备530通信。存储设备530可包括任何适当的信息存储设备，包括磁存储设备（例如，硬盘驱动器）、光存储设备、移动电话和/或半导体存储设备的组合。存储设备530可存储用于控制处理器510的程序512和/或TSN调度验证处理逻辑514。处理器510执行程序512、514的指令，从而根据本文描述的任何实施方式进行操作。例如，处理器510可接收数据，然后可应用程序512、514的指令来验证用于数据帧的传输的调度。

程序512、514可以以压缩、未编译和/或加密的格式存储。程序512、514还可包括其他程序元素，诸如操作系统、数据库管理系统和/或处理器510用来与外围设备接口的设备驱动程序。

如在本文使用的，信息可被例如（i）由平台500从另一设备“接收”或从另一设备“发送”到平台500；或者（ii）由平台500中的软件应用或模块从另一软件应用、模块或任何其他来源“接收”或由平台500中的软件应用或模块发送至另一软件应用、模块或任何其他来源。

如本领域的技术人员将理解的，本发明的各方面可体现为系统、方法或计算机程序产品。因此，本发明的方面可采取完全硬件实施方式，完全软件实施方式（包括固件、常驻软件、微代码等）或结合了软件和硬件方面的实施方式的形式，这些在本文中通常都可被称为“电路”、“模块”或“系统”。此外，本发明的方面可采取体现在一个或多个计算机可读介质上的计算机程序产品的形式，该计算机可读介质上体现有计算机可读程序代码。

附图中的流程图和框图示出了根据本发明的各个实施方式的系统、方法和计算机程序产品的可能的实现的架构、功能和操作。就这一点而言，流程图或框图中的每个框可代表代码的模块、段或部分，其包括用于实现指定的逻辑功能的一个或多个可执行指令。还应注意，在一些替代实现中，框中指出的功能可不按图中指出的顺序发生。例如，取决于所涉及的功能，实际上可基本上同时执行连续示出的两个框，或者有时可以以相反的顺序执行这些框。还应注意，框图和/或流程图说明的每个方框以及框图和/或流程图说明中的框的组合可由执行指定功能或动作的基于专用硬件的系统来实现，或专用硬件和计算机指令的组合。

应当注意，本文描述的任何方法可包括提供包括在计算机可读存储介质上体现的不同软件模块的系统的附加步骤；模块可包括例如框图中描述的和/或本文描述的任何或所有元件。然后可使用如上所述的系统的不同软件模块和/或子模块在一个或多个硬件处理器510（图5）上执行来执行方法步骤。此外，计算机程序产品可包括计算机可读存储介质，该计算机可读存储介质的代码适于执行本文所述的一个或多个方法步骤，包括为系统提供不同的软件模块。

该书面描述使用实例来公开本发明，包括优选实施方式，并且还使本领域技术人员能够实践本发明，包括制造和使用任何装置或系统以及执行任何结合的方法。本发明的可专利范围由权利要求书限定，并且可包括本领域技术人员想到的其他实例。如果这样的其他实例具有与权利要求的字面语言没有不同的结构元件，或者如果它们包括与权利要求的字面语言没有实质性差异的等效结构元件，则意图将这些其他实例包括在权利要求的范围内。本领域的普通技术人员可混合和匹配来自所描述的各种实施方式的各方面以及每个此类方面的其他已知等效物，以根据本申请的原理构造其他实施方式和技术。

本领域技术人员将理解，在不脱离权利要求的范围和精神的情况下，可配置上述实施方式的各种修改和变型。因此，应当理解，除了本文具体描述的以外，可实践权利要求。

Claims (28)

1.一种由包括验证模块的控制系统执行的方法，所述方法包括：

在所述验证模块处接收用于经由时间敏感网络TSN向一个或多个目的地节点传输一个或多个数据帧的调度；

在所述验证模块接收每个数据帧的目的地；

在所述验证模块处接收每个数据帧的最大可容忍时延；

经由所述验证模块确定接收到的调度正确，其中，在所述调度不正确的情况下，停止所述调度的执行并且生成通知，以及其中，在所述调度正确的情况下，根据所述调度传输一个或多个数据帧至所述目的地；

经由所述验证模块访问所述一个或多个目的地节点；

经由所述验证模块基于访问所述一个或多个目的地节点，验证一个或多个数据帧在所述最大可容忍时延内到达所述一个或多个目的地节点；以及

基于传输的一个或多个数据帧，控制已安装的产品的一个或多个操作，其中，已安装的产品是机械操作实体或资产。

2.根据权利要求1所述的方法，其中，验证还包括：

确定每个数据帧是否到达所述目的地节点。

3.根据权利要求2所述的方法，还包括：

对于到达所述目的地节点的每个数据帧，确定所述数据帧的到达时间是否在指定的时间窗内。

4.根据权利要求2所述的方法，还包括：

对于到达所述目的地节点的每个数据帧，确定所述数据帧的到达时间是否等于预期的到达时间。

5.根据权利要求2所述的方法，还包括：

对于未到达所述目的地节点的每个数据帧，确定所述数据帧的离开时间是否与所述数据帧的调度的离开时间相同。

6.根据权利要求2所述的方法，还包括：

对于未到达所述目的地节点的每个数据帧，确定所述数据帧通过所述TSN的推断路径。

7.根据权利要求6所述的方法，还包括：

分析来自所述推断路径的至少一个点，以确定在这一点发生错误的可能性。

8.根据权利要求1所述的方法，其中，所述TSN是确定性以太网。

9.根据权利要求1所述的方法，其中，所述调度还包括：

一个或多个未调度的数据帧的传输时间与一个或多个调度的数据帧的传输时间的关系。

10.根据权利要求9所述的方法，其中，每个数据帧的传输时间避免彼此竞争。

11.根据权利要求1所述的方法，其中，所述已安装的产品是交通工具、一个或多个医疗设备以及发电设施中的一者。

12.根据权利要求1所述的方法，其中，所述已安装的产品的操作由联网控制系统控制。

13.一种具有验证功能的系统，包括：

已安装的产品，包括多个组件；

计算机，编程有用于所述已安装的产品的验证模块，所述验证模块用于验证用于控制所述已安装的产品的操作的调度；

所述计算机包括处理器和与所述处理器通信的存储器，所述存储器存储所述验证模块和附加程序指令，其中，所述处理器与所述验证模块和所述附加程序指令一起操作以执行如下功能：

接收用于经由时间敏感网络TSN向一个或多个目的地节点传输一个或多个数据帧的调度；

接收每个数据帧的目的地；

接收每个数据帧的最大可容忍时延；

确定接收的调度正确，其中，在所述调度不正确的情况下，停止所述调度的执行并且生成通知，以及其中，在所述调度正确的情况下，根据所述调度传输一个或多个数据帧至所述目的地；

访问所述一个或多个目的地节点；

基于访问所述一个或多个目的地节点，验证所述一个或多个数据帧在所述最大可容忍时延内到达所述一个或多个目的地节点；以及

基于传输的所述一个或多个数据帧控制所述已安装的产品的一个或多个操作，其中，已安装的产品是机械操作实体或资产。

14.根据权利要求13所述的系统，其中，所述验证模块确定每个数据帧是否到达所述目的地节点。

15.根据权利要求14所述的系统，其中，对于到达所述目的地节点的每个数据帧，所述验证模块确定所述数据帧的到达时间是否在指定的时间窗内。

16.根据权利要求14所述的系统，其中，对于到达所述目的地节点的每个数据帧，所述验证模块确定所述数据帧的到达时间是否等于期望的到达时间。

17.根据权利要求14所述的系统，其中，对于未到达所述目的地节点的每个数据帧，所述验证模块确定所述数据帧的离开时间是否与所述数据帧的调度的离开时间相同。

18.根据权利要求14所述的系统，其中，对于未到达所述目的地节点的每个数据帧，所述验证模块确定所述数据帧通过所述TSN的推断路径。

19.根据权利要求18所述的系统，其中，所述验证模块分析来自所述推断路径的至少一个点，以确定在该点发生错误的可能性。

20.根据权利要求13所述的系统，其中，所述TSN是以太网。

21.根据权利要求13所述的系统，其中，所述调度还包括：

一个或多个未调度的数据帧的传输时间与一个或多个调度的数据帧的传输时间的关系。

22.根据权利要求21所述的系统，其中，每个数据帧的传输时间避免彼此竞争。

23.根据权利要求13所述的系统，其中，所述已安装的产品是交通工具、一个或多个医疗设备以及发电设施中一者。

24.一种存储指令的非暂时性计算机可读介质，该指令在由计算机处理器执行时使所述计算机处理器执行由包括验证模块的控制系统实现的方法，所述方法包括：

在验证模块处接收用于经由时间敏感网络TSN向一个或多个目的地节点传输一个或多个数据帧的调度；

在所述验证模块处接收每个数据帧的目的地；

在所述验证模块处接收每个数据帧的最大可容忍时延；

经由所述验证模块确定接收到的调度正确，其中，在所述调度不正确的情况下，停止所述调度的执行并且生成通知，以及其中，在所述调度正确的情况下，根据所述调度传输一个或多个数据帧至所述目的地；经由所述验证模块访问所述一个或多个目的地节点；经由所述验证模块基于访问所述一个或多个目的地节点，验证所述一个或多个数据帧在所述最大可容忍时延内到达所述一个或多个目的地节点；以及

基于传输的一个或多个数据帧，控制已安装的产品的一个或多个操作，其中，已安装的产品是机械操作实体或资产。

25.根据权利要求24所述的介质，其中，所述验证模块确定每个数据帧是否到达所述目的地节点。

26.根据权利要求25所述的介质，其中，对于到达所述目的地节点的每个数据帧，所述验证模块确定所述数据帧的到达时间是否在指定的时间窗内。

27.根据权利要求25所述的介质，其中，对于未到达所述目的地节点的每个数据帧，所述验证模块确定所述数据帧通过所述TSN的推断路径。

28.根据权利要求27所述的介质，其中，所述验证模块分析来自所述推断路径的至少一个点，以确定在该点发生错误的可能性。

Images