スロットタイミング

slot-timing シナリオ kind は、同期の合間に自走しつつ、通信を時刻でインデックス付けされたスロットの内側に保たなければならない時計について、三つの問いに答えます。スロットとは、ルーティング、タスク、コンタクトのスロットのことで、そのガードは、スロットがなお機能する、どちら側でも最大の絶対時刻誤差です。

1. ガードはいつ破れるか。最後の測位解から、予測される時刻誤差がガードに達するまでの秒数。寄与するすべての項を項目別に示し、支配的なものを名指しします。
2. 今、どれだけ時間が残っているか。同じ値から、測位解以降にすでに経過した時間を引いたもの。
3. 時計はどのくらいの頻度で測位解を取る必要があるか。誤差をガード内に保てる測位解の間隔の最大値から、測位解が反映されるまでの遅延を差し引いたもの。

任意の spoofing セクションは、軌道上の受信機のためのタイミング保護レベル（TPL）を追加します。軌道上の受信機へのスプーフィングを参照してください。

同梱の例は kshana example slot-timing-ocxo-leo で実行します。

略語：GNSS、Global Navigation Satellite System（全球測位衛星システム）、TCXO、temperature-compensated crystal oscillator（温度補償水晶発振器）、OCXO、oven-controlled crystal oscillator（恒温槽付き水晶発振器）、RAFS、rubidium atomic frequency standard（ルビジウム原子周波数標準）、CSAC、chip-scale atomic clock（チップスケール原子時計）、USO、ultra-stable oscillator（超安定発振器）、DSAC、deep-space atomic clock（深宇宙原子時計）、ADEV、Allan deviation（アラン偏差）、FM、frequency modulation（周波数変調。ここでは時計の周波数の雑音）、PM、phase modulation（位相変調。その位相の雑音）、IEEE、Institute of Electrical and Electronics Engineers、ITU-T、国際電気通信連合の電気通信標準化部門、TIE、time interval error（時間間隔誤差）、MTIE、maximum time interval error（最大時間間隔誤差）、TDEV、time deviation（時間偏差）、max|TE|、最大絶対時刻誤差、CUSUM、cumulative-sum change detector（累積和変化検出器）、TPL、timing protection level（タイミング保護レベル）、LEO、low Earth orbit（低軌道）、NIST SP、National Institute of Standards and Technology Special Publication、UFFC、Ultrasonics, Ferroelectrics, and Frequency Control（IEEE Transactions の一つ）、IGS、International GNSS Service、GPS、Global Positioning System、Block IIF、GPS Block II Follow-on 衛星、SHA-256、256 ビットの Secure Hash Algorithm、PPS、pulse per second（毎秒パルス）。

誤差モデル#

測位解から t 秒間コーストした後の、予測される時刻誤差は次のとおりです

E(t) = k·√(σ₀² + (σ_f·t)² + σ_x²(t))  +  (|y₀| + |c_T·ΔT|)·t  +  ½·|D|·t²
σ_x²(t) = σ_PM² + q_wf·t + h_F·t² + q_rw·t³/3 + q_rr·t⁵/20

各 FM 項は、それぞれの雑音の種類について t²·σ_y²(t) に等しく、σ_y²(τ) = 3σ_PM²/τ² + q_wf/τ + h_F + q_rw·τ/3 + q_rr·τ³/20 です（Zucca と Tavella、IEEE Trans. UFFC 52(2)、2005）。白色、ランダムウォーク、ランダムランの FM では、この関係は厳密です。フリッカー FM では、時刻予測誤差の慣習的な推定です（Riley、NIST SP 1065）。フリッカー FM には、低周波側のカットオフなしには閉形式がありません。周波数オフセットは符号が不明なため、大きさで加算し、したがって決定論的な部分は最悪ケースです。すべての項は非負で t に対して非減少のため、E(t) = guard の根は一つで、挟み込みと二分法で求めます。

時計の出どころ#

0.28.0 で追加した三つのクラスは、それぞれ公開のデータシートを一つ引用しています。

EndRun の長い平均化時間の行は、その表の中で互いに収束しており（10,000 s では TCXO 以外のすべての発振器で 4e-13、TCXO は 8e-13。100,000 s ではすべてで 6e-14）、これは、自走する発振器ではなく、同期させた製品を記述していることを示唆するため、使用していません。

記録の当てはめは重み付きです。edf の等価自由度を持つアラン分散の推定値は、分散がおよそ 2σ⁴/edf であるため、各点は残差 √(edf/2)·(model/σ² − 1) で加わります。重みなしの当てはめでは、短い平均化時間が、長い平均化時間の項を決めてしまいました。白色 FM のテスト記録では、2,000 s の破れを 30 % 短くする、偽のフリッカーの下限が生じました。データシートや記録が裏付けるのは、その最も長い点までの平均化時間だけで、それを超える破れには extrapolated の印を付けます。

検証：ホールドアウトした実際の時計での逆算#

tests/slot_timing_cs5071a_holdout.rs は、水素メーザーに対して測定した 5071A セシウム標準の 556 990 サンプルの記録を使います（A. Wallin、allantools とともに配布。推定器のオラクル tests/cs5071a_reference.rs が使うのと同じ記録）。メーザーを参照とすると、この記録は 6.4 日間の自走です。

1. 記録の最初の三分の一だけで雑音モデルを当てはめる。
2. そのモデルから、一シグマの時刻誤差が 0.5、0.75、1、1.5、2、2.5 ns に達するコースト時間を予測する。
3. 残りの三分の二では、997 s ごとの同期点からコーストし、周波数は直前の三分の一から推定して、二乗平均平方根のコースト誤差が各しきい値に達する点を測定する。

合格基準は、テストを最初に実行する前に固定したもので、予測した破れのすべてが、測定値の 1.5 倍以内にあることです。対照として、一秒の ADEV を白色 FM として読んだものは、この基準を満たさなければなりません。そうでなければ、基準は良いモデルと悪いモデルを区別できないためです。テストは表を出力し、白色 FM のレベルを半分にする変異はテストを失敗させます。生の記録は git で無視されるサードパーティのデータです。scripts/fetch_cs5071a.sh がそれを取得し、realdata-clock ワークフローは KSHANA_REQUIRE_REALDATA=1 でテストを実行するため、ファイルがない場合は、スキップされずに、そこで失敗します。

これが独立した参照との照合で確認するもの：白色 FM が支配的な原子標準での、最大約 50,000 s までのコーストにおける、当てはめてから逆算する経路。確認しないもの：データシートとクラスの情報源、決定論的な項、そして水晶発振器（次の節）。

実際の水晶発振器での同じ予測：保守的であり、独立した外部の参照との照合による確認はなし#

tests/slot_timing_ocxo_holdout.rs は、実測した OCXO を使います。HP のインピーダンスアナライザー内の 10 MHz 発振器の、水素メーザーに対する 19,982 個の一秒周波数の読み取りです（A. Wallin、2015、allantools とともに配布。scripts/fetch_ocxo.sh）。雑音モデルと線形ドリフトは最初の三分の一で当てはめます。残りの三分の二の各コーストは、直前の 100 s にわたって推定した周波数から始まり、モデルはその推定の不確かさを持ちます（fix_frequency_sigma、100 s でのモデル自身のアラン偏差）。

発振器の雑音の下限は、記録の途中で半分になりました。最初の三分の一のアラン偏差は 7.5e-12 付近で平らになり、残りは 3.5e-12 付近です。早い段階で当てはめたモデルは雑音を過大に予測し、これは安全側の向きです。したがって、水晶の場合は独立した外部の参照との照合による確認はされておらず、MODELLED のままです。水晶では、落ち着いた記録で当てはめ、部品の経年に応じて当てはめ直してください。

手順をどう選んだか。ブラインドではなかったため、明記します。最初の探索的な実行は、セシウムの手順（直前の三分の一から求めた周波数で、周波数の項なし）をそのまま使い、破れを測定値より 1.4 から 2.5 倍遅く予測しました。楽観的で、危険な向きです。水晶の周波数は変動するため、測位解の数時間前に推定した周波数は古く、モデルには、測位解の時点で周波数がどれだけ分かっているかを表す項がありませんでした。fix_frequency_sigma の項はこの理由で追加し、この手順はテストを書く前に固定しました。合格基準は動かしていません。テストは、この項がない場合、標本内の予測がすべてのしきい値で楽観的になることも確認しており、そのためこの項は不可欠です。

軌道上の原子時計での同じ予測：10 件中 8 件、確認されていない#

tests/slot_timing_igs_holdout.rs は、30 s の IGS 最終合成クロックを 14 日間（2025 年8月 17 日から 30 日。scripts/fetch_igs_clocks.sh、すべてのファイルを SHA-256 で固定）にわたって使います。各 GPS Block IIF 衛星の時計を IGS 時系と比較します。手順（衛星の集合、欠測の規則、当てはめの窓、直前の一時間から求めた周波数での 3,570 s ごとの同期、1 から 20 ns のしきい値、1.5 の基準、そして全衛星が合格した場合にのみクラスが合格するという規則）は、データをダウンロードする前に書き下ろされました。

十機中八機は有用な証拠ですが、二機は、実際より長く保持すると予測されており、これは危険な向きで、手順は全衛星が合格することを要求しています。したがって、軌道上の場合は MODELLED のままです。Block IIF 衛星はルビジウム標準とセシウム標準の両方を搭載しており、IGS のファイルはどちらが稼働中かを示さないため、結果は一つの時計の種類についてではなく、衛星について述べています。G25 と G30 で差が出る理由は調査していません。

飛行を代表する部品での bench の実行（範囲は定めたが、未実施）#

公開されている OCXO の記録は 5.5 時間の長さで、一台の実験室の機器によるもので、発振器はまだ落ち着いていませんでした。水晶の場合を確認できるのは、飛行を代表する OCXO または CSAC の、参照に対する、より長い実測の自走です。

• 発振器の 1 PPS を、GNSS に同期させた参照またはメーザー参照と比較する時間間隔カウンター。少なくとも 10 日間、毎秒一回のサンプルで、温度を記録する。
• 同じホールドアウトの手順：最初の三分の一で当てはめ、破れを予測し、残りで測定する。基準と対照も同じにする。
• 行が再現できるように、テストの隣に、記録とそのハッシュを公開する。

これは、参照ハードウェアへのアクセスができるかどうかに左右されるため、実施は約束していません。

スロットは、どのワンダ指標に照らして受け入れるべきか。#

タイミング規格には、指標の系統が三つあります。時刻でインデックス付けされたスロットについて、スロットを破る量を測るのは、そのうちの一つだけです。

• MTIE（ITU-T G.810）は、与えた長さの任意の窓の内側での、TIE のピークツーピークの最大値です。一定のオフセットには気づきません。1 µs ずれていても完全に安定している時計は、MTIE がほぼゼロで、すべてのスロットを外します。これが測るのは、誤差がどれだけ変化するかであって、どこにあるかではありません。
• TDEV（ITU-T G.810）は、平均化した位相の二階差分から作られます。一定のオフセットと一定の周波数誤差を取り除きますが、これらはまさにコーストを支配する項です。雑音の種類を特徴づけるもので、絶対時刻の合否判定の指標ではありません。
• max|TE|（ITU-T G.8260。G.8271 のバジェット指標）は、基準時系に対する最大の絶対時刻誤差です。ガードと直接比較できます。

結論。スロットは、ネットワークの基準時系に対する max|TE| に照らして受け入れ、最後の測位解からの予測包絡を、明記したカバレッジ係数で評価します。E(t) がまさにそれです。すべての項が t とともに増加するため、長さ T のコースト全体での最大値は E(T) になります。MTIE と TDEV は診断用として引き続き有用です。TDEV はどの雑音項を攻略すべきかを特定するため、MTIE(L) は長さ L のスロットの間に誤差がどれだけ動くかを抑えるために使います。

この指標の選択が意味する、二つの精緻化：

• ガードは、二つのノード間の相対誤差に適用されます。送信側と受信側がどちらも独立にコーストする場合、それらの確率的な誤差は二乗和で加わり、決定論的な誤差は大きさで加わります。確率的な部分が支配的なときは、各ノードに guard/√2 を割り当てることができ、エージングまたは温度が支配的なときは guard/2 を割り当てます。
• カバレッジ係数は設計上の選択であり、時計の性質ではありません。 k = 3 が抑えるのは、ある一時点でのガウス誤差のおよそ 99.7 % であり、一日のすべてのスロットにわたってではありません。一日に多くのスロットを持つルーティング計画では、許容できるスロットごとのリスクが必要です。

軌道上の受信機へのスプーフィング#

spoofing セクションは、同じ時計について orbital_timing::orbital_timing を評価します。

• ジオメトリ。地上のスプーファーが LEO 衛星に届くのは、衛星が地平線より上にある間だけで、550 km では、頭上通過一回あたり最大でおよそ十二分です。したがって、レート ρ でランプするスプーファーが時計を引き寄せられるのは、最大でも ρ にその時間窓を掛けた分、または、それより短い場合は次の独立した検査までの間隔を掛けた分です（ramp_limited_pull_ns）。
• 力学。同相の時刻の引き寄せは、すべての擬似距離を等しくずらし、位置ではなく時計バイアスに吸収されるため、軌道伝搬器による位置の検査は、タイミングのクロスチェックとは数えられません。
• クロスチェック。衛星が独立した二つ目のタイミング受信機を持つことはまれです。使えるのは、自身の時計のコースト（tpl のモニター）、コンタクト中の地上局との双方向時刻伝送、衛星間リンクでの時刻比較です。クロスリンクが一つの地上スプーファーから独立なのは、隣の衛星が同じ瞬間にそのスプーファーのフットプリントの外にある場合に限られ、レポートは、軌道面あたりの衛星数からこれを確認します。
• 条件付きの境界。モニターの下限に、CUSUM の検出遅延の間の時計のコーストを足したもので、時計にフリッカー項、白色位相項、ランダムラン項がない場合には、厳密に tpl::timing_protection_level_ns に縮約されます。その境界と同様に、検出されることが前提です。

これはすべて MODELLED です。球形で自転しない地球、頭上通過、最大ランプレートを明記した一つの地上スプーファー。天頂を向くアンテナへの信号の到来方向は、実際のクロスチェックになりますが、アンテナパターンが必要であり、モデル化していません。DECEIVED-TIME.md は、署名付きの制御メッセージがこの脅威を取り除かない理由を説明しています。

モデル化していないもの#

周波数ジャンプ、放射線の影響、相対論的な周波数オフセット。熱モデル（温度変化は測位解の時点でのステップ）。同期プロトコル自体（測位解は誤差を fix_sigma_ns にリセットします）。