谷曉燕，代 真，何 鋒

（1.北京信息科技大學(xué) 信息管理學(xué)院，北京100192；2.北京航空航天大學(xué) 電子信息工程學(xué)院，北京100191）

0 引 言

航空電子全雙工交換式以太網(wǎng) （avionics full duplex switched Ethernet，AFDX）是由 ARING664part7規(guī)范［1］定義的確定性高性能航空電子互連網(wǎng)絡(luò)。AFDX通過虛擬鏈路 （virtual link，VL）進行數(shù)據(jù)流傳輸，數(shù)據(jù)流到達交換節(jié)點后，交換機對VL進行信用量令牌桶流量管制，再經(jīng)多路復(fù)用排隊，向下一級交換節(jié)點轉(zhuǎn)發(fā)。信用量的設(shè)置值大小將影響到VL的轉(zhuǎn)發(fā)服務(wù)，以及網(wǎng)絡(luò)通信的完整性。

VL承載的流量在交換節(jié)點的轉(zhuǎn)發(fā)過程中由于受到共用網(wǎng)段流量的影響，將產(chǎn)生時延抖動 （jitter）現(xiàn)象，導(dǎo)致VL數(shù)據(jù)流的傳輸端到端延時的不確定性增加。為減少這種不確定性，AFDX為每個VL設(shè)定了一個信用量，在信用量不足時，拒絕接收違規(guī)的數(shù)據(jù)幀，使網(wǎng)絡(luò)正常工作。而信用量的設(shè)置受到時延抖動最大值J［2］max的影響，對VL信用量進行設(shè)置時，需要充分考慮VL的時延抖動。

在討論時延抖動對網(wǎng)絡(luò)信用量設(shè)置的影響時，可以通過分析的方法對比不同信用量模型［3］，也可利用時間自動機進行建模仿真［4］，或采用信用量消耗邊界探測機制實現(xiàn)流量管制功能測試［5］。主要工作集中于對信用量模型在進行流量管制時的功能驗證，缺乏對信用量設(shè)置值合理性的評估，以及對通信完整性影響的評價。本文通過分析帶寬分配間隔 （bandwidth allocation gap，BAG）時間段內(nèi)等效擁有的數(shù)據(jù)幀個數(shù)，給出了時延抖動的流量帶寬約束條件，為VL信用量的設(shè)置提供參考。

1 AFDX網(wǎng)絡(luò)時延抖動分析

1.1 網(wǎng)絡(luò)演算計算延遲界限

AFDX網(wǎng)絡(luò)通信任務(wù)從源ES到目的ES路由過程中，由多路復(fù)用排隊引起的可變延遲是分析網(wǎng)絡(luò)延遲界限的關(guān)鍵［6，7］。對于具有Smax（最大幀長）和BAG約束 （TG）的VL，可以用 （σ，ρ）模型描述流量特征，其中σ為突發(fā)度，ρ為可持續(xù)的平均流量，存在

則從源端看，VL的 （σ，ρ）形式流量約束為

考慮流量輸出排隊的最基本情況：2條輸入VLi，i＝1，2，分別滿足 （σ，ρ）形式的流量約束，設(shè)輸入物理鏈路的帶寬為Ci，i＝1，2；輸出物理鏈路的帶寬為常量C；如果采用FIFO的排隊服務(wù)規(guī)則，根據(jù)Cruz R.L.確定性延遲界限［8］的計算方法，屬于VL1的數(shù)據(jù)包的延遲界限為

如果忽略數(shù)據(jù)包的長度Smax，i，并將αi（t）＝σi＋ρit帶入，則可以在u＝0取得最大值，即

以此類推，則多條VL多路復(fù)用排隊的延遲界限為：（i＝1，…，n）

如果第i級節(jié)點的輸入流量約束函數(shù)為αi（t）＝σi＋ρt，該節(jié)點的延遲界限為Di，則該流量進入下一級 （第i＋1級）節(jié)點的輸入流量約束為：αi＋1（t）＝αi（t＋Di）＝σi＋1＋ρt其中：σi＋1＝σi＋ρt。

可以將各級的延遲界限累加，得到總延遲界限D(zhuǎn)total；或者由最后一級的突發(fā)度σfinal給出等效公式

考慮AFDX網(wǎng)絡(luò)的具體配置，當(dāng)多條流量包含多個共享網(wǎng)段時，存在 “一次性突發(fā)”原則 （pay burst only once）：多條個體流量經(jīng)過多路復(fù)用排隊形成聚合流量時被串行化，其順序在后續(xù)的FIFO排隊中不發(fā)生變化；因此個體流量的突發(fā)度僅在進入 （最先一級）多路復(fù)用節(jié)點時發(fā)生累計，其后續(xù)連續(xù)經(jīng)過交換節(jié)點時突發(fā)度保持不變。依據(jù)于一次性突發(fā)原則，可以得到更緊的延遲界限分析［9，10］。

1.2 時延抖動計算

利用流量的連續(xù)模型，我們可以對VL承載的數(shù)據(jù)包所流經(jīng)路徑上的抖動擴散現(xiàn)象進行描述。這種抖動一方面來源于本級端口流量聚合輸出時不同流量競爭的結(jié)果，同時也會受到上一級交換端口流量競爭輸出時的抖動擴散。依據(jù)于本級端口競爭輸出的VL流量的最大延遲DFIFO，減去該VL在沒有競爭環(huán)境下的輸出時間的差值，即為該VL在本級交換端口上的最大時延抖動

考慮經(jīng)過同一上級交換機競爭輸出的多個VL，當(dāng)它們在本級交換機的路由行為一致時，其輸出排隊序列在上一級交換機的競爭輸出時已經(jīng)決定了，因此在本級流量競爭輸出時，這多個VL的相對排序與上一級的輸出類似，因此對于這組VL集合，其輸入的突發(fā)度在本級并沒有因為延遲擴散而增加。當(dāng)VL大量表現(xiàn)為這種特性時，結(jié)合“一次性突發(fā)原則”，我們可以通過這種分組 （group）方法縮小時延抖動的計算邊界。

在具體設(shè)計時延抖動算法時，需要通過迭代的方式才能獲得各個VL準確的突發(fā)度。對于本級交換端口流量突發(fā)度的計算，需要索引上一級流量輸出情況的 “快照”，對其中來自相同上一級端口VL進行重新組合，將其突發(fā)度的增大因素視為一個組序列集體表現(xiàn)出來的外部時間特征，而不是單個VL流量的行為，并參與本級的流量競爭輸出計算，從而獲取結(jié)果更緊的交換機端口競爭輸出延遲抖動結(jié)果。

2 信用量設(shè)置值評估

利用時延抖動計算算法，可以求出VL所有路徑上的時延抖動情況，對此我們可以精確的控制VL所經(jīng)過的每一個交換節(jié)點的流量管制功能。

對于VL路徑上游節(jié)點中時延抖動較小的交換節(jié)點，過大的信用量設(shè)置不利于預(yù)防故障幀。如果要根據(jù)每條VL經(jīng)過交換機的不同而設(shè)置多條Jitter參數(shù)，則交換機配置文件內(nèi)容與通信任務(wù)的設(shè)計緊密相關(guān)。由于給定型號的AFDX網(wǎng)絡(luò)中每臺交換機的配置必須是一致的 （只通過管腳編程現(xiàn)場選定配置項），少量的流量設(shè)計修改也會造成配置文件較為復(fù)雜的改動。

下面針對信用量具體設(shè)定值的情況進行分析。

2.1 信用量設(shè)置值分析

由于VL中的數(shù)據(jù)包受到其它聚合VL中數(shù)據(jù)包突發(fā)度的影響，在多路復(fù)用時會出現(xiàn)阻塞延遲，造成時延抖動現(xiàn)象，如果信用量設(shè)置中不包含時延抖動部分，或時延抖動部分包含得過小，將會造成：

情況一：如果按照ARINC 664part 7的規(guī)定，當(dāng)賬戶小于到達幀長度時 （對于基于幀的管制，表現(xiàn)為幀的到達已使賬戶的信用量用盡），將幀丟棄，將會造成不必要的數(shù)據(jù)包的丟失；

情況二：即使擴展規(guī)范的定義，當(dāng)賬戶小于到達幀長度時，并不丟棄幀，而是將幀緩存，直到帳戶被充值后有足夠的信用量再將幀轉(zhuǎn)發(fā)——這類似于重新做信用量令牌桶流量整形，會使某些數(shù)據(jù)包受到來自其它VL的額外的突發(fā)度的影響，從而使時延隨多路復(fù)用級數(shù)的增大而顯著加大。

對于情況一，未充分考慮抖動影響的后果是較為明顯的；而對于情況二，重新作流量整形會導(dǎo)致額外的突發(fā)度影響的原因可以如下解釋：考慮兩條 （或多條）多路復(fù)用排隊的VL，數(shù)據(jù)包會受到其它VL中突發(fā)數(shù)據(jù)包不可搶占傳輸?shù)挠绊懚舆t，但經(jīng)過MUX后的聚合流量，它們在物理鏈路上是串行傳輸?shù)?，?jīng)過下一級MUX時，聚合流量內(nèi)的數(shù)據(jù)包之間不再次發(fā)生爭用，即所謂的 “突發(fā)度一次性原則”；但在信用量令牌桶的 “深度”（即充滿后的信用量值）不足的情況下過濾，相當(dāng)于再次將聚合的流量拆成具有獨立突發(fā)度的流量，它們在經(jīng)過下一級MUX時，會再次發(fā)生流量突發(fā)造成的延遲累加。

如果信用量設(shè)置中時延抖動設(shè)置的過大，將會造成：

情況一：如果端系統(tǒng)流量約束功能失效，則端系統(tǒng)故障VL可能會超量發(fā)送故障幀，從而消耗掉其它正常VL的發(fā)送帶寬。當(dāng)故障幀進入交換節(jié)點，由于過大的抖動設(shè)置值，其信用量增長速率與配置的抖動值成正比，造成過多的符合流量管制模型的故障幀進入下一級交換節(jié)點，占用正常通信帶寬，影響后續(xù)的正常通信過程，沒有有效發(fā)揮故障隔離功能；

情況二：考慮端系統(tǒng)功能正常，但在某種 “畸形”的配置下，由于數(shù)據(jù)的擠壓和阻塞，造成深度交換后的某種或者某些VL在交換節(jié)點的輸出過程中違反流量約束機制，也即在同一個BAG時間范圍內(nèi)，出現(xiàn)多個該VL承載的數(shù)據(jù)幀到達，而過大的抖動配置值下，不能有效對這部分流量進行管制，造成相關(guān)VL的數(shù)據(jù)幀輸出延遲超過設(shè)計需求，進而影響整個網(wǎng)絡(luò)的通信實時性。實際上對深度交換的VL抖動值的合理分析和配置也是對設(shè)計過程的反饋和修正。

一般對于抖動值設(shè)置過小，會影響正常的通信有比較直觀的認識，下面對于過大的抖動值將會影響通信實時性進行理論分析。

對于交換節(jié)點信用量充值模型，以Smax，i／TBAGi的速率進行充值，但最大不超過Smax，i× ［1＋Ji，switch／TBAGi］。

考慮基于幀的流量管制模型，根據(jù)信用量充值規(guī)則，其瞬間的數(shù)據(jù)突發(fā)度在抖動Ji，switch的配合下會發(fā)散。在數(shù)據(jù)幀連續(xù)到達情況下，第一個數(shù)據(jù)幀消耗掉Smax，i的信用量，則第二個數(shù)據(jù)幀需要等一段時間，當(dāng)信用量被充值足夠時才能被交換節(jié)點正確轉(zhuǎn)發(fā)，等待的時間或者間隔時間為

因此，折合成一個BAG時間段內(nèi)等效擁有的數(shù)據(jù)幀個數(shù)為

當(dāng)Ji，switch設(shè)置的值與TBAGi有可比性時，則數(shù)據(jù)幀的最大到達等效速率將會明顯加倍。比如：當(dāng)Ji，switch＝TBAGi／2，則Ni＝2；當(dāng)Ji，switch＝2×TBAGi／3，則 Ni＝3。而在 AFDX網(wǎng)絡(luò)配置的過程中，很多時候設(shè)計人員沒有從深層次角度考慮抖動設(shè)定值的合理性，比如：從方便角度將Ji，switch直接設(shè)定成TBAGi／2，或者TBAGi，使得數(shù)據(jù)幀的最大可容忍等效速率從增加一倍至無窮，從而使交換節(jié)點流量管制功能等同虛設(shè)。

2.2 時延抖動設(shè)置約束

在AFDX網(wǎng)絡(luò)的設(shè)計過程中，應(yīng)該全盤考慮時延的抖動分布，在數(shù)據(jù)源的發(fā)送端，AFDX協(xié)議規(guī)定其最大抖動邊界不能超過0.5ms。這是從數(shù)據(jù)源進行流量的整體約束

雖然在交換節(jié)點采用流量管制進行流量的進一步限流，但缺乏進一步的約束說明，把流量抖動的不確定造成系統(tǒng)通信的完整性隱患交給設(shè)計者去承擔(dān)，實際上在交換節(jié)點我們需要定義一個流量等效帶寬約束

其中第一式為交換節(jié)點端口輸出帶寬 “硬約束”，VL消耗的合同帶寬之和不能超過物理帶寬發(fā)送數(shù)據(jù)能力，第二式為VL最大等效到達數(shù)據(jù) “軟約束”，Ratemax為可允許最大等效超帶寬比例 （Ratemax≥1），反應(yīng)了當(dāng)前交換節(jié)點中流量干擾允許的程度。Ratemax越大，從設(shè)計角度對通信的不確定容忍越大，反之，對通信的不確定性容忍越小。根據(jù)計算結(jié)果可能出現(xiàn)如下情況：

情況一：當(dāng)根據(jù)VL配置計算出來的合同帶寬超過交換端口帶寬約束時，我們說該交換端口是 “非完整性安全”的，在當(dāng)前配置下不能保證數(shù)據(jù)的正確轉(zhuǎn)發(fā)，交換機已經(jīng)處于深度飽和狀態(tài)；

情況二：當(dāng)根據(jù)VL配置計算出來的合同帶寬沒有超過交換端口帶寬約束，并且根據(jù)鏈路抖動計算出來的第二式如果也能滿足小于C的 “硬約束”時，我們說該交換端口是“完整性安全”的，其端到端延遲的不確定性取決于整體設(shè)計，而當(dāng)前交換節(jié)點不會增加無法預(yù)測的抖動隨機性；

情況三：當(dāng)根據(jù)鏈路抖動計算出來的第一式滿足硬約束，第二式值超過C，但沒有超過C×Ratemax“軟約束”時，我們說該交換端口是 “完整性部分安全”的，其對通信的影響需要進一步的分析方法進行驗證，特別是面對深度交換的情況。當(dāng)然Ratemax值本身的給定也是一個需要進一步研究的關(guān)鍵參考指標；

情況四：當(dāng)據(jù)鏈路抖動計算出來的第一式滿足硬約束，但第二式值已經(jīng)超過C×Ratemax的 “軟約束”時，我們說該交換端口是 “非完整性部分安全”的，雖然交換節(jié)點還未到達深度飽和狀態(tài)，但是由于級聯(lián)的深入和流量的干擾，其通信完整性必須要經(jīng)過嚴格的驗證才能保證后續(xù)通信的正常。

從上述4種情況來開，利用硬約束和軟約束的符合條件，我們構(gòu)建了4種不同的安全性約束準則，擴展了硬約束在討論通信完整性的不足，并建立不同安全性約束條件與通信完整性的對應(yīng)關(guān)系。

3 實例分析

考慮一個典型的AFDX交換網(wǎng)絡(luò)拓撲結(jié)構(gòu)［3］，如圖1所示。其VL的參數(shù)和路徑見表1。

圖1 典型AFDX交換網(wǎng)絡(luò)

表1 VL參數(shù)設(shè)置

我們采用 “Group”思想求解的VL路徑上延遲抖動的最大值為JGP＝JitterGroupmax，port，其結(jié)果見表2。

表2 時延抖動結(jié)果分析

通過等效帶寬條件分析，可以知道當(dāng)前配置都能滿足硬約束條件，但在網(wǎng)絡(luò)拓撲結(jié)構(gòu)中我們構(gòu)建了深度為4的交換路徑，虛擬鏈路受共享路徑通信流量的干擾，隨著級聯(lián)的深入，其抖動呈現(xiàn)放大狀態(tài)，嚴重影響到了通信的確定性和完整性。當(dāng)我們討論不同Ratemax下的軟約束時，有：

（1）Ratemax＝2時，滿足約束情況四 （對應(yīng)于1553B等總線50%的帶寬利用率）；

（2）Ratemax＝4時，滿足約束情況三 （對應(yīng)于AFDX等事件觸發(fā)網(wǎng)絡(luò)25%帶寬利用率）；

可見，當(dāng)Ratemax＝2時，網(wǎng)絡(luò)為 “非完整性部分安全”，當(dāng)Ratemax＝4時，網(wǎng)絡(luò)為 “完整性部分安全”。因此，雖然當(dāng)前流量配置沒有超過物理傳輸帶寬約束，但整個網(wǎng)絡(luò)的完整性有待于進一步考察，部分流量存在著較高的通信不確定性，需對整個網(wǎng)絡(luò)作進一步的優(yōu)化，比如減少級聯(lián)深度，減少共享路段其它流量干擾等。誠然，當(dāng)Ratemax值不同時，滿足的約束條件不同，即網(wǎng)絡(luò)的 “完整”性等級還和可允許最大等效超帶寬比有關(guān)，在設(shè)計AFDX網(wǎng)絡(luò)VL流量時，應(yīng)綜合考慮網(wǎng)絡(luò)的流量約束情況。

4 結(jié)束語

本文利用網(wǎng)絡(luò)演算計算了AFDX網(wǎng)絡(luò)的數(shù)據(jù)傳輸延時，利用 “Group”方法計算了虛擬鏈路VL的時延抖動。通過討論時延抖動對信用量設(shè)置的影響，提出了AFDX網(wǎng)絡(luò)在設(shè)計過程中應(yīng)該滿足的4種流量約束條件，得到了交換端口的 “完整性”通信準則。

在對VL信用量進行設(shè)置時，需考慮VL的時延抖動，其設(shè)置值的合理性將嚴重影響到整個網(wǎng)絡(luò)交換端口的通信完整型，在對AFDX網(wǎng)絡(luò)流量進行設(shè)計時，應(yīng)充分驗證時延抖動的設(shè)置值，以便得到具有 “安全”確定性保障性能的設(shè)計結(jié)果。

［1］ARINC 664Aircraft data network，part 7：Vionics full duplex switched Ethernet（AFDX）network ［S］

［2］Ren Y，Hu F，Li J.End to end jitter control on AFDX network ［C］／／International Conference on Transportation，Mechanical，and Electrical Engineering.IEEE，2011：515－518.

［3］Yao M，Qiu Z，Kwak K.Leaky bucket algorithms in AFDX［J］.Electronics Letters，2009，45 （11）：543－545.

［4］GAO Yu，LI Qiao，XIONG Huagang.Model checking of credit setting in AFDX traffic policing ［J］.Aeronautical Computing Technique，2011，41 （3）：122－126 （in Chinese）.［高宇，李峭，熊華鋼.AFDX流量管制信用量設(shè)置的模型檢查［J］.航空計算技術(shù)，2011，41 （3）：122－126.］

［5］ZHANG Zhengwen，HE Feng，LI Qiao，et al.Research on traffic policing testing based on credit－consuming boundary detecting ［J］.Computer Engineering and Design，2012，33（1）：1－6 （in Chinese）.［張正文，何鋒，李峭，等.基于信用量消耗邊界探測的流量管制測試研究 ［J］.計算機工程與設(shè)計，2012，33 （1）：1－6.］

［6］Bauer H，Scharbarg J，F(xiàn)raboul C.Improving the worst－case delay analysis of an AFDX network using an optimized trajectory approach ［J］.IEEE Transactions on Industrial Informatics，2010，6 （4）：521－533.

［7］Bauer H，Scharbarg J，F(xiàn)raboul C.Applying and optimizing trajectory approach for performance evaluation of AFDX avionics network ［C］／／IEEE Conference on Emerging Technologies ＆Factory Automation，2009：1－8.

［8］Le Boudec J Y，Thiran P.Network calculus：A theory of deterministic queuing systems for the internet ［M］.Springer，2001.

［9］Li J，Guan H，Yao J，et al.Performance enhancement and optimized analysis of the worst case end－to－end delay for AFDX networks ［C］／／IEEE International Conference on Green Computing and Communications，2012：301－310.

［10］Bauer H，Scharbarg J L，F(xiàn)raboul C.Worst－case end－to－end delay analysis of an avionics AFDX network ［C］／／Proceedings of the Conference on Design，Automation and Test in Europe.European Design and Automation Association，2010：1220－1224.