基于虛擬鏈路的航電網絡信用量評估模型

谷曉燕，代 真，何 鋒

（1.北京信息科技大學 信息管理學院，北京100192；2.北京航空航天大學 電子信息工程學院，北京100191）

0 引 言

航空電子全雙工交換式以太網 （avionics full duplex switched Ethernet，AFDX）是由 ARING664part7規范［1］定義的確定性高性能航空電子互連網絡。AFDX通過虛擬鏈路 （virtual link，VL）進行數據流傳輸，數據流到達交換節點后，交換機對VL進行信用量令牌桶流量管制，再經多路復用排隊，向下一級交換節點轉發。信用量的設置值大小將影響到VL的轉發服務，以及網絡通信的完整性。

VL承載的流量在交換節點的轉發過程中由于受到共用網段流量的影響，將產生時延抖動 （jitter）現象，導致VL數據流的傳輸端到端延時的不確定性增加。為減少這種不確定性，AFDX為每個VL設定了一個信用量，在信用量不足時，拒絕接收違規的數據幀，使網絡正常工作。而信用量的設置受到時延抖動最大值J［2］max的影響，對VL信用量進行設置時，需要充分考慮VL的時延抖動。

在討論時延抖動對網絡信用量設置的影響時，可以通過分析的方法對比不同信用量模型［3］，也可利用時間自動機進行建模仿真［4］，或采用信用量消耗邊界探測機制實現流量管制功能測試［5］。主要工作集中于對信用量模型在進行流量管制時的功能驗證，缺乏對信用量設置值合理性的評估，以及對通信完整性影響的評價。本文通過分析帶寬分配間隔 （bandwidth allocation gap，BAG）時間段內等效擁有的數據幀個數，給出了時延抖動的流量帶寬約束條件，為VL信用量的設置提供參考。

1 AFDX網絡時延抖動分析

1.1 網絡演算計算延遲界限

AFDX網絡通信任務從源ES到目的ES路由過程中，由多路復用排隊引起的可變延遲是分析網絡延遲界限的關鍵［6，7］。對于具有Smax（最大幀長）和BAG約束 （TG）的VL，可以用 （σ，ρ）模型描述流量特征，其中σ為突發度，ρ為可持續的平均流量，存在

則從源端看，VL的 （σ，ρ）形式流量約束為

考慮流量輸出排隊的最基本情況：2條輸入VLi，i＝1，2，分別滿足 （σ，ρ）形式的流量約束，設輸入物理鏈路的帶寬為Ci，i＝1，2；輸出物理鏈路的帶寬為常量C；如果采用FIFO的排隊服務規則，根據Cruz R.L.確定性延遲界限［8］的計算方法，屬于VL1的數據包的延遲界限為

如果忽略數據包的長度Smax，i，并將αi（t）＝σi＋ρit帶入，則可以在u＝0取得最大值，即

以此類推，則多條VL多路復用排隊的延遲界限為：（i＝1，…，n）

如果第i級節點的輸入流量約束函數為αi（t）＝σi＋ρt，該節點的延遲界限為Di，則該流量進入下一級 （第i＋1級）節點的輸入流量約束為：αi＋1（t）＝αi（t＋Di）＝σi＋1＋ρt其中：σi＋1＝σi＋ρt。

可以將各級的延遲界限累加，得到總延遲界限Dtotal；或者由最后一級的突發度σfinal給出等效公式

考慮AFDX網絡的具體配置，當多條流量包含多個共享網段時，存在 “一次性突發”原則 （pay burst only once）：多條個體流量經過多路復用排隊形成聚合流量時被串行化，其順序在后續的FIFO排隊中不發生變化；因此個體流量的突發度僅在進入 （最先一級）多路復用節點時發生累計，其后續連續經過交換節點時突發度保持不變。依據于一次性突發原則，可以得到更緊的延遲界限分析［9，10］。

1.2 時延抖動計算

利用流量的連續模型，我們可以對VL承載的數據包所流經路徑上的抖動擴散現象進行描述。這種抖動一方面來源于本級端口流量聚合輸出時不同流量競爭的結果，同時也會受到上一級交換端口流量競爭輸出時的抖動擴散。依據于本級端口競爭輸出的VL流量的最大延遲DFIFO，減去該VL在沒有競爭環境下的輸出時間的差值，即為該VL在本級交換端口上的最大時延抖動

考慮經過同一上級交換機競爭輸出的多個VL，當它們在本級交換機的路由行為一致時，其輸出排隊序列在上一級交換機的競爭輸出時已經決定了，因此在本級流量競爭輸出時，這多個VL的相對排序與上一級的輸出類似，因此對于這組VL集合，其輸入的突發度在本級并沒有因為延遲擴散而增加。當VL大量表現為這種特性時，結合“一次性突發原則”，我們可以通過這種分組 （group）方法縮小時延抖動的計算邊界。

在具體設計時延抖動算法時，需要通過迭代的方式才能獲得各個VL準確的突發度。對于本級交換端口流量突發度的計算，需要索引上一級流量輸出情況的 “快照”，對其中來自相同上一級端口VL進行重新組合，將其突發度的增大因素視為一個組序列集體表現出來的外部時間特征，而不是單個VL流量的行為，并參與本級的流量競爭輸出計算，從而獲取結果更緊的交換機端口競爭輸出延遲抖動結果。

2 信用量設置值評估

利用時延抖動計算算法，可以求出VL所有路徑上的時延抖動情況，對此我們可以精確的控制VL所經過的每一個交換節點的流量管制功能。

對于VL路徑上游節點中時延抖動較小的交換節點，過大的信用量設置不利于預防故障幀。如果要根據每條VL經過交換機的不同而設置多條Jitter參數，則交換機配置文件內容與通信任務的設計緊密相關。由于給定型號的AFDX網絡中每臺交換機的配置必須是一致的 （只通過管腳編程現場選定配置項），少量的流量設計修改也會造成配置文件較為復雜的改動。

下面針對信用量具體設定值的情況進行分析。

2.1 信用量設置值分析

由于VL中的數據包受到其它聚合VL中數據包突發度的影響，在多路復用時會出現阻塞延遲，造成時延抖動現象，如果信用量設置中不包含時延抖動部分，或時延抖動部分包含得過小，將會造成：

情況一：如果按照ARINC 664part 7的規定，當賬戶小于到達幀長度時 （對于基于幀的管制，表現為幀的到達已使賬戶的信用量用盡），將幀丟棄，將會造成不必要的數據包的丟失；

情況二：即使擴展規范的定義，當賬戶小于到達幀長度時，并不丟棄幀，而是將幀緩存，直到帳戶被充值后有足夠的信用量再將幀轉發——這類似于重新做信用量令牌桶流量整形，會使某些數據包受到來自其它VL的額外的突發度的影響，從而使時延隨多路復用級數的增大而顯著加大。

對于情況一，未充分考慮抖動影響的后果是較為明顯的；而對于情況二，重新作流量整形會導致額外的突發度影響的原因可以如下解釋：考慮兩條 （或多條）多路復用排隊的VL，數據包會受到其它VL中突發數據包不可搶占傳輸的影響而延遲，但經過MUX后的聚合流量，它們在物理鏈路上是串行傳輸的，經過下一級MUX時，聚合流量內的數據包之間不再次發生爭用，即所謂的 “突發度一次性原則”；但在信用量令牌桶的 “深度”（即充滿后的信用量值）不足的情況下過濾，相當于再次將聚合的流量拆成具有獨立突發度的流量，它們在經過下一級MUX時，會再次發生流量突發造成的延遲累加。

如果信用量設置中時延抖動設置的過大，將會造成：

情況一：如果端系統流量約束功能失效，則端系統故障VL可能會超量發送故障幀，從而消耗掉其它正常VL的發送帶寬。當故障幀進入交換節點，由于過大的抖動設置值，其信用量增長速率與配置的抖動值成正比，造成過多的符合流量管制模型的故障幀進入下一級交換節點，占用正常通信帶寬，影響后續的正常通信過程，沒有有效發揮故障隔離功能；

情況二：考慮端系統功能正常，但在某種 “畸形”的配置下，由于數據的擠壓和阻塞，造成深度交換后的某種或者某些VL在交換節點的輸出過程中違反流量約束機制，也即在同一個BAG時間范圍內，出現多個該VL承載的數據幀到達，而過大的抖動配置值下，不能有效對這部分流量進行管制，造成相關VL的數據幀輸出延遲超過設計需求，進而影響整個網絡的通信實時性。實際上對深度交換的VL抖動值的合理分析和配置也是對設計過程的反饋和修正。

一般對于抖動值設置過小，會影響正常的通信有比較直觀的認識，下面對于過大的抖動值將會影響通信實時性進行理論分析。

對于交換節點信用量充值模型，以Smax，i／TBAGi的速率進行充值，但最大不超過Smax，i× ［1＋Ji，switch／TBAGi］。

考慮基于幀的流量管制模型，根據信用量充值規則，其瞬間的數據突發度在抖動Ji，switch的配合下會發散。在數據幀連續到達情況下，第一個數據幀消耗掉Smax，i的信用量，則第二個數據幀需要等一段時間，當信用量被充值足夠時才能被交換節點正確轉發，等待的時間或者間隔時間為

因此，折合成一個BAG時間段內等效擁有的數據幀個數為

當Ji，switch設置的值與TBAGi有可比性時，則數據幀的最大到達等效速率將會明顯加倍。比如：當Ji，switch＝TBAGi／2，則Ni＝2；當Ji，switch＝2×TBAGi／3，則 Ni＝3。而在 AFDX網絡配置的過程中，很多時候設計人員沒有從深層次角度考慮抖動設定值的合理性，比如：從方便角度將Ji，switch直接設定成TBAGi／2，或者TBAGi，使得數據幀的最大可容忍等效速率從增加一倍至無窮，從而使交換節點流量管制功能等同虛設。

2.2 時延抖動設置約束

在AFDX網絡的設計過程中，應該全盤考慮時延的抖動分布，在數據源的發送端，AFDX協議規定其最大抖動邊界不能超過0.5ms。這是從數據源進行流量的整體約束

雖然在交換節點采用流量管制進行流量的進一步限流，但缺乏進一步的約束說明，把流量抖動的不確定造成系統通信的完整性隱患交給設計者去承擔，實際上在交換節點我們需要定義一個流量等效帶寬約束

其中第一式為交換節點端口輸出帶寬 “硬約束”，VL消耗的合同帶寬之和不能超過物理帶寬發送數據能力，第二式為VL最大等效到達數據 “軟約束”，Ratemax為可允許最大等效超帶寬比例 （Ratemax≥1），反應了當前交換節點中流量干擾允許的程度。Ratemax越大，從設計角度對通信的不確定容忍越大，反之，對通信的不確定性容忍越小。根據計算結果可能出現如下情況：

情況一：當根據VL配置計算出來的合同帶寬超過交換端口帶寬約束時，我們說該交換端口是 “非完整性安全”的，在當前配置下不能保證數據的正確轉發，交換機已經處于深度飽和狀態；

情況二：當根據VL配置計算出來的合同帶寬沒有超過交換端口帶寬約束，并且根據鏈路抖動計算出來的第二式如果也能滿足小于C的 “硬約束”時，我們說該交換端口是“完整性安全”的，其端到端延遲的不確定性取決于整體設計，而當前交換節點不會增加無法預測的抖動隨機性；

情況三：當根據鏈路抖動計算出來的第一式滿足硬約束，第二式值超過C，但沒有超過C×Ratemax“軟約束”時，我們說該交換端口是 “完整性部分安全”的，其對通信的影響需要進一步的分析方法進行驗證，特別是面對深度交換的情況。當然Ratemax值本身的給定也是一個需要進一步研究的關鍵參考指標；

情況四：當據鏈路抖動計算出來的第一式滿足硬約束，但第二式值已經超過C×Ratemax的 “軟約束”時，我們說該交換端口是 “非完整性部分安全”的，雖然交換節點還未到達深度飽和狀態，但是由于級聯的深入和流量的干擾，其通信完整性必須要經過嚴格的驗證才能保證后續通信的正常。

從上述4種情況來開，利用硬約束和軟約束的符合條件，我們構建了4種不同的安全性約束準則，擴展了硬約束在討論通信完整性的不足，并建立不同安全性約束條件與通信完整性的對應關系。

3 實例分析

考慮一個典型的AFDX交換網絡拓撲結構［3］，如圖1所示。其VL的參數和路徑見表1。

圖1 典型AFDX交換網絡

表1 VL參數設置

我們采用 “Group”思想求解的VL路徑上延遲抖動的最大值為JGP＝JitterGroupmax，port，其結果見表2。

表2 時延抖動結果分析

通過等效帶寬條件分析，可以知道當前配置都能滿足硬約束條件，但在網絡拓撲結構中我們構建了深度為4的交換路徑，虛擬鏈路受共享路徑通信流量的干擾，隨著級聯的深入，其抖動呈現放大狀態，嚴重影響到了通信的確定性和完整性。當我們討論不同Ratemax下的軟約束時，有：

（1）Ratemax＝2時，滿足約束情況四 （對應于1553B等總線50%的帶寬利用率）；

（2）Ratemax＝4時，滿足約束情況三 （對應于AFDX等事件觸發網絡25%帶寬利用率）；

可見，當Ratemax＝2時，網絡為 “非完整性部分安全”，當Ratemax＝4時，網絡為 “完整性部分安全”。因此，雖然當前流量配置沒有超過物理傳輸帶寬約束，但整個網絡的完整性有待于進一步考察，部分流量存在著較高的通信不確定性，需對整個網絡作進一步的優化，比如減少級聯深度，減少共享路段其它流量干擾等。誠然，當Ratemax值不同時，滿足的約束條件不同，即網絡的 “完整”性等級還和可允許最大等效超帶寬比有關，在設計AFDX網絡VL流量時，應綜合考慮網絡的流量約束情況。

4 結束語

本文利用網絡演算計算了AFDX網絡的數據傳輸延時，利用 “Group”方法計算了虛擬鏈路VL的時延抖動。通過討論時延抖動對信用量設置的影響，提出了AFDX網絡在設計過程中應該滿足的4種流量約束條件，得到了交換端口的 “完整性”通信準則。

在對VL信用量進行設置時，需考慮VL的時延抖動，其設置值的合理性將嚴重影響到整個網絡交換端口的通信完整型，在對AFDX網絡流量進行設計時，應充分驗證時延抖動的設置值，以便得到具有 “安全”確定性保障性能的設計結果。

［1］ARINC 664Aircraft data network，part 7：Vionics full duplex switched Ethernet（AFDX）network ［S］

［2］Ren Y，Hu F，Li J.End to end jitter control on AFDX network ［C］／／International Conference on Transportation，Mechanical，and Electrical Engineering.IEEE，2011：515－518.

［3］Yao M，Qiu Z，Kwak K.Leaky bucket algorithms in AFDX［J］.Electronics Letters，2009，45 （11）：543－545.

［4］GAO Yu，LI Qiao，XIONG Huagang.Model checking of credit setting in AFDX traffic policing ［J］.Aeronautical Computing Technique，2011，41 （3）：122－126 （in Chinese）.［高宇，李峭，熊華鋼.AFDX流量管制信用量設置的模型檢查［J］.航空計算技術，2011，41 （3）：122－126.］

［5］ZHANG Zhengwen，HE Feng，LI Qiao，et al.Research on traffic policing testing based on credit－consuming boundary detecting ［J］.Computer Engineering and Design，2012，33（1）：1－6 （in Chinese）.［張正文，何鋒，李峭，等.基于信用量消耗邊界探測的流量管制測試研究 ［J］.計算機工程與設計，2012，33 （1）：1－6.］

［6］Bauer H，Scharbarg J，Fraboul C.Improving the worst－case delay analysis of an AFDX network using an optimized trajectory approach ［J］.IEEE Transactions on Industrial Informatics，2010，6 （4）：521－533.

［7］Bauer H，Scharbarg J，Fraboul C.Applying and optimizing trajectory approach for performance evaluation of AFDX avionics network ［C］／／IEEE Conference on Emerging Technologies ＆Factory Automation，2009：1－8.

［8］Le Boudec J Y，Thiran P.Network calculus：A theory of deterministic queuing systems for the internet ［M］.Springer，2001.

［9］Li J，Guan H，Yao J，et al.Performance enhancement and optimized analysis of the worst case end－to－end delay for AFDX networks ［C］／／IEEE International Conference on Green Computing and Communications，2012：301－310.

［10］Bauer H，Scharbarg J L，Fraboul C.Worst－case end－to－end delay analysis of an avionics AFDX network ［C］／／Proceedings of the Conference on Design，Automation and Test in Europe.European Design and Automation Association，2010：1220－1224.