TSN网络的“守门员”是如何炼成的？——详解802.1Qci协议与实战测试

　　引言：

　　在时间敏感网络（TSN）中，低延迟、高可靠性、确定性传输是核心目标。然而，网络中一旦出现异常流量，如突发风暴、恶意攻击或设备故障，可能会破坏整个调度机制，影响关键数据流的传输。为此，IEEE 802.1Qci协议（Per-Stream Filtering and Policing，PSFP）应运而生，成为TSN网络入口处的“守门人”。

　　IEEE802.1Qci协议原理

　　IEEE802.1Qci提出的每流过滤和监管机制（Per-Stream Filtering and Policing，PSFP）是时间敏感网络技术协议族的重要协议之一，是差异化业务QoS保障的重要支撑协议，其为进入TSN网桥设备的业务流提供流过滤，流门控和流计量等操作，对特定标识的数据帧加以控制，确保输入流量符合规范，有效防止由于故障或拒绝服务攻击等引起的异常流量问题，有效提升时间敏感网络的稳定性和可靠性。

　　在一定程度上可以说，PSFP是时间敏感网络各调度整形机制的前提，其在入口处对于业务流的处理为各种调度整形机制基于队列的管理提供了基础。

　　图1 PSFP机制工作流程示意图

　　PSFP基于规则匹配过滤和监控每个输入设备的流，防止端点或网桥上的软件错误，抵御恶意设备和攻击。其会根据每个数据帧所携带的流识别号和优先级信息来匹配流过滤器，由流过滤器执行逐流过滤和监管操作，流门控用于协调所有的流，确定流的服务等级并有序地处理流，流计量用于执行流的预定义带宽配置文件，规定最大信息速率和突发流量大小等。

　　PSFP能够及时识别网络中的异常流量。例如，超出链路承载范围的流量、在错误时间发送的流量或超出规范要求的最大包长度的数据帧等，并根据策略对其控制，从而实现对异常流量的隔离或限制，提升网络的可靠性。

　　流过滤和监控可分为4种模式：

　　①单流量过滤阻断（通常采用，因为这种模式即可隔绝异常流量，不影响网络中其他流量，又能最大限度地保障数据的完整性）

　　②单流量过滤限流

　　③单流量类过滤阻断

　　④单流量类过滤限流

　　图2 PSFP机制整体架构示意图

　　在流量进入交换设备时：

　　① 首先进行流过滤，流过滤器根据其中定义的流识别（Stream ID）、优先级（Priority）信息，识别出流量是否归属于该过滤器；

　　② 如果由该过滤器控制，则根据对应的流门控决定是否允许流量流入（门状态持续时间）；

　　③ 如果允许流入，则由流计量中的参数判断是否超出流量限制，如果超出流量限制，则根据配置决定采用限流还是阻断（参数通过配置约定速率、突发字节大小、超过约定速率、超过约定突发字节大小）；

　　④ 经过流计量后，将该流量映射到相应的出口队列中等待发送；

　　Qci协议部署中的痛点

　　在实际TSN网络部署中，Qci的配置与验证面临以下挑战：

　　这些痛点使得高效、标准化的Qci协议测试成为TSN设备验证的关键环节。

　　测试Qci协议的目的

　　Qci协议的核心目的是为进入TSN网桥的设备提供：

流过滤（Stream Filtering）

流门控（Stream Gating）

流计量（Stream Metering）

　　通过对数据帧进行逐流识别与控制，确保输入流量符合规范，防止异常流量影响网络稳定性。

　　测试Qci协议的目的正是验证DUT（被测设备）是否能够：

准确识别流ID、优先级、MAC地址等关键字段

在帧长或带宽超限时，执行阻断或限流策略

在正常流量范围内，保证数据正确转发

　　典型测试场景

　　图3 Qci协议典型测试拓扑

　　场景一：流过滤功能测试（帧长限制）

　　配置：DUT过滤SMAC为00:00:03:01:00:01的流，SDU Size限制为1024字节（测试仪与DUT完成AS时间同步）。

　　测试步骤：

　　1.测试仪模拟两条Qci测试流量，SMAC地址分别为00:00:03:01:00:01和00:00:03:01:00:02，帧长均为1024字节。同时发送这两条Qci测试流量，数据均可正常通过。

　　2. 将两条Qci测试流量帧长均修改为1025字节，由于SMAC地址为00:00:03:01:00:01的测试流量匹配过滤规则且帧长超出SDU Size（1024字节），故数据在进入DUT时被丢弃，SMAC地址为00:00:03:01:00:02的测试流量未匹配过滤规则，则数据仍可正常转发。

　　3. 将两条Qci测试流量的SMAC地址均加入到DUT过滤规则中后，则两条测试流量数据在进入DUT时均被丢弃。

　　结论：DUT能够根据SMAC和帧长实现精细过滤。

　　场景二：流计量功能测试（带宽限制）

　　配置：DUT过滤SMAC地址为00:00:03:01:00:01和00:00:03:01:00:02两条流，匹配SMAC地址为00:00:03:01:00:01的测试流量带宽限制规则为CIR = 100Mbps，CBS = 2048fps（测试仪与DUT完成AS时间同步）。

　　测试步骤：

　　1. 测试仪模拟两条Qci测试流量，SMAC地址分别为00:00:03:01:00:01和00:00:03:01:00:02，负载大小均为100Mbps。同时发送这两条Qci测试流量，数据均可正常通过。

　　2. 将两条Qci测试流量负载均修改为200Mbps，由于SMAC地址为00:00:03:01:00:01的测试流量匹配过滤规则且带宽限制为100Mbps，故数据在进入DUT时被丢弃，SMAC地址为00:00:03:01:00:02的测试流量未匹配过滤规则，则数据仍可正常转发。

　　结论：DUT能够有效限制超带宽流量，防止入口拥塞。

　　结语：TSN的确定性，从全协议协同验证开始

　　通过上述原理拆解和两组实战测试，我们可以看到802.1Qci在TSN网络中扮演着不可替代的“守门”角色：

　　对合法流量，它透明无损，保障确定性的基础；

　　对异常流量，它精确识别，阻断或限流，确保调度机制不被破坏。

　　但也要清醒认识到，Qci并非孤立的协议。它需要与802.1AS（时间同步）协同保证门控精度，与802.1Qbv（门控调度）配合实现端到端确定性，甚至可与802.1CB（帧复制与消除）联动提升可靠性。

　　TSN的落地从来不是单一协议的比拼，而是全协议协同的综合考验。信而泰TSN测试解决方案，覆盖802.1AS、802.1Qbv、802.1Qci等全部核心协议及其交叉场景验证，为您扫清从实验室到量产部署的每一道测试关卡。