基于虚拟链路的航电网络信用量评估模型

谷晓燕，代 真，何 锋

（1.北京信息科技大学 信息管理学院，北京100192；2.北京航空航天大学 电子信息工程学院，北京100191）

0 引 言

航空电子全双工交换式以太网 （avionics full duplex switched Ethernet，AFDX）是由 ARING664part7规范［1］定义的确定性高性能航空电子互连网络。AFDX通过虚拟链路 （virtual link，VL）进行数据流传输，数据流到达交换节点后，交换机对VL进行信用量令牌桶流量管制，再经多路复用排队，向下一级交换节点转发。信用量的设置值大小将影响到VL的转发服务，以及网络通信的完整性。

VL承载的流量在交换节点的转发过程中由于受到共用网段流量的影响，将产生时延抖动 （jitter）现象，导致VL数据流的传输端到端延时的不确定性增加。为减少这种不确定性，AFDX为每个VL设定了一个信用量，在信用量不足时，拒绝接收违规的数据帧，使网络正常工作。而信用量的设置受到时延抖动最大值J［2］max的影响，对VL信用量进行设置时，需要充分考虑VL的时延抖动。

在讨论时延抖动对网络信用量设置的影响时，可以通过分析的方法对比不同信用量模型［3］，也可利用时间自动机进行建模仿真［4］，或采用信用量消耗边界探测机制实现流量管制功能测试［5］。主要工作集中于对信用量模型在进行流量管制时的功能验证，缺乏对信用量设置值合理性的评估，以及对通信完整性影响的评价。本文通过分析带宽分配间隔 （bandwidth allocation gap，BAG）时间段内等效拥有的数据帧个数，给出了时延抖动的流量带宽约束条件，为VL信用量的设置提供参考。

1 AFDX网络时延抖动分析

1.1 网络演算计算延迟界限

AFDX网络通信任务从源ES到目的ES路由过程中，由多路复用排队引起的可变延迟是分析网络延迟界限的关键［6，7］。对于具有Smax（最大帧长）和BAG约束 （TG）的VL，可以用 （σ，ρ）模型描述流量特征，其中σ为突发度，ρ为可持续的平均流量，存在

则从源端看，VL的 （σ，ρ）形式流量约束为

考虑流量输出排队的最基本情况：2条输入VLi，i＝1，2，分别满足 （σ，ρ）形式的流量约束，设输入物理链路的带宽为Ci，i＝1，2；输出物理链路的带宽为常量C；如果采用FIFO的排队服务规则，根据Cruz R.L.确定性延迟界限［8］的计算方法，属于VL1的数据包的延迟界限为

如果忽略数据包的长度Smax，i，并将αi（t）＝σi＋ρit带入，则可以在u＝0取得最大值，即

以此类推，则多条VL多路复用排队的延迟界限为：（i＝1，…，n）

如果第i级节点的输入流量约束函数为αi（t）＝σi＋ρt，该节点的延迟界限为Di，则该流量进入下一级 （第i＋1级）节点的输入流量约束为：αi＋1（t）＝αi（t＋Di）＝σi＋1＋ρt其中：σi＋1＝σi＋ρt。

可以将各级的延迟界限累加，得到总延迟界限Dtotal；或者由最后一级的突发度σfinal给出等效公式

考虑AFDX网络的具体配置，当多条流量包含多个共享网段时，存在 “一次性突发”原则 （pay burst only once）：多条个体流量经过多路复用排队形成聚合流量时被串行化，其顺序在后续的FIFO排队中不发生变化；因此个体流量的突发度仅在进入 （最先一级）多路复用节点时发生累计，其后续连续经过交换节点时突发度保持不变。依据于一次性突发原则，可以得到更紧的延迟界限分析［9，10］。

1.2 时延抖动计算

利用流量的连续模型，我们可以对VL承载的数据包所流经路径上的抖动扩散现象进行描述。这种抖动一方面来源于本级端口流量聚合输出时不同流量竞争的结果，同时也会受到上一级交换端口流量竞争输出时的抖动扩散。依据于本级端口竞争输出的VL流量的最大延迟DFIFO，减去该VL在没有竞争环境下的输出时间的差值，即为该VL在本级交换端口上的最大时延抖动

考虑经过同一上级交换机竞争输出的多个VL，当它们在本级交换机的路由行为一致时，其输出排队序列在上一级交换机的竞争输出时已经决定了，因此在本级流量竞争输出时，这多个VL的相对排序与上一级的输出类似，因此对于这组VL集合，其输入的突发度在本级并没有因为延迟扩散而增加。当VL大量表现为这种特性时，结合“一次性突发原则”，我们可以通过这种分组 （group）方法缩小时延抖动的计算边界。

在具体设计时延抖动算法时，需要通过迭代的方式才能获得各个VL准确的突发度。对于本级交换端口流量突发度的计算，需要索引上一级流量输出情况的 “快照”，对其中来自相同上一级端口VL进行重新组合，将其突发度的增大因素视为一个组序列集体表现出来的外部时间特征，而不是单个VL流量的行为，并参与本级的流量竞争输出计算，从而获取结果更紧的交换机端口竞争输出延迟抖动结果。

2 信用量设置值评估

利用时延抖动计算算法，可以求出VL所有路径上的时延抖动情况，对此我们可以精确的控制VL所经过的每一个交换节点的流量管制功能。

对于VL路径上游节点中时延抖动较小的交换节点，过大的信用量设置不利于预防故障帧。如果要根据每条VL经过交换机的不同而设置多条Jitter参数，则交换机配置文件内容与通信任务的设计紧密相关。由于给定型号的AFDX网络中每台交换机的配置必须是一致的 （只通过管脚编程现场选定配置项），少量的流量设计修改也会造成配置文件较为复杂的改动。

下面针对信用量具体设定值的情况进行分析。

2.1 信用量设置值分析

由于VL中的数据包受到其它聚合VL中数据包突发度的影响，在多路复用时会出现阻塞延迟，造成时延抖动现象，如果信用量设置中不包含时延抖动部分，或时延抖动部分包含得过小，将会造成：

情况一：如果按照ARINC 664part 7的规定，当账户小于到达帧长度时 （对于基于帧的管制，表现为帧的到达已使账户的信用量用尽），将帧丢弃，将会造成不必要的数据包的丢失；

情况二：即使扩展规范的定义，当账户小于到达帧长度时，并不丢弃帧，而是将帧缓存，直到帐户被充值后有足够的信用量再将帧转发——这类似于重新做信用量令牌桶流量整形，会使某些数据包受到来自其它VL的额外的突发度的影响，从而使时延随多路复用级数的增大而显著加大。

对于情况一，未充分考虑抖动影响的后果是较为明显的；而对于情况二，重新作流量整形会导致额外的突发度影响的原因可以如下解释：考虑两条 （或多条）多路复用排队的VL，数据包会受到其它VL中突发数据包不可抢占传输的影响而延迟，但经过MUX后的聚合流量，它们在物理链路上是串行传输的，经过下一级MUX时，聚合流量内的数据包之间不再次发生争用，即所谓的 “突发度一次性原则”；但在信用量令牌桶的 “深度”（即充满后的信用量值）不足的情况下过滤，相当于再次将聚合的流量拆成具有独立突发度的流量，它们在经过下一级MUX时，会再次发生流量突发造成的延迟累加。

如果信用量设置中时延抖动设置的过大，将会造成：

情况一：如果端系统流量约束功能失效，则端系统故障VL可能会超量发送故障帧，从而消耗掉其它正常VL的发送带宽。当故障帧进入交换节点，由于过大的抖动设置值，其信用量增长速率与配置的抖动值成正比，造成过多的符合流量管制模型的故障帧进入下一级交换节点，占用正常通信带宽，影响后续的正常通信过程，没有有效发挥故障隔离功能；

情况二：考虑端系统功能正常，但在某种 “畸形”的配置下，由于数据的挤压和阻塞，造成深度交换后的某种或者某些VL在交换节点的输出过程中违反流量约束机制，也即在同一个BAG时间范围内，出现多个该VL承载的数据帧到达，而过大的抖动配置值下，不能有效对这部分流量进行管制，造成相关VL的数据帧输出延迟超过设计需求，进而影响整个网络的通信实时性。实际上对深度交换的VL抖动值的合理分析和配置也是对设计过程的反馈和修正。

一般对于抖动值设置过小，会影响正常的通信有比较直观的认识，下面对于过大的抖动值将会影响通信实时性进行理论分析。

对于交换节点信用量充值模型，以Smax，i／TBAGi的速率进行充值，但最大不超过Smax，i× ［1＋Ji，switch／TBAGi］。

考虑基于帧的流量管制模型，根据信用量充值规则，其瞬间的数据突发度在抖动Ji，switch的配合下会发散。在数据帧连续到达情况下，第一个数据帧消耗掉Smax，i的信用量，则第二个数据帧需要等一段时间，当信用量被充值足够时才能被交换节点正确转发，等待的时间或者间隔时间为

因此，折合成一个BAG时间段内等效拥有的数据帧个数为

当Ji，switch设置的值与TBAGi有可比性时，则数据帧的最大到达等效速率将会明显加倍。比如：当Ji，switch＝TBAGi／2，则Ni＝2；当Ji，switch＝2×TBAGi／3，则 Ni＝3。而在 AFDX网络配置的过程中，很多时候设计人员没有从深层次角度考虑抖动设定值的合理性，比如：从方便角度将Ji，switch直接设定成TBAGi／2，或者TBAGi，使得数据帧的最大可容忍等效速率从增加一倍至无穷，从而使交换节点流量管制功能等同虚设。

2.2 时延抖动设置约束

在AFDX网络的设计过程中，应该全盘考虑时延的抖动分布，在数据源的发送端，AFDX协议规定其最大抖动边界不能超过0.5ms。这是从数据源进行流量的整体约束

虽然在交换节点采用流量管制进行流量的进一步限流，但缺乏进一步的约束说明，把流量抖动的不确定造成系统通信的完整性隐患交给设计者去承担，实际上在交换节点我们需要定义一个流量等效带宽约束

其中第一式为交换节点端口输出带宽 “硬约束”，VL消耗的合同带宽之和不能超过物理带宽发送数据能力，第二式为VL最大等效到达数据 “软约束”，Ratemax为可允许最大等效超带宽比例 （Ratemax≥1），反应了当前交换节点中流量干扰允许的程度。Ratemax越大，从设计角度对通信的不确定容忍越大，反之，对通信的不确定性容忍越小。根据计算结果可能出现如下情况：

情况一：当根据VL配置计算出来的合同带宽超过交换端口带宽约束时，我们说该交换端口是 “非完整性安全”的，在当前配置下不能保证数据的正确转发，交换机已经处于深度饱和状态；

情况二：当根据VL配置计算出来的合同带宽没有超过交换端口带宽约束，并且根据链路抖动计算出来的第二式如果也能满足小于C的 “硬约束”时，我们说该交换端口是“完整性安全”的，其端到端延迟的不确定性取决于整体设计，而当前交换节点不会增加无法预测的抖动随机性；

情况三：当根据链路抖动计算出来的第一式满足硬约束，第二式值超过C，但没有超过C×Ratemax“软约束”时，我们说该交换端口是 “完整性部分安全”的，其对通信的影响需要进一步的分析方法进行验证，特别是面对深度交换的情况。当然Ratemax值本身的给定也是一个需要进一步研究的关键参考指标；

情况四：当据链路抖动计算出来的第一式满足硬约束，但第二式值已经超过C×Ratemax的 “软约束”时，我们说该交换端口是 “非完整性部分安全”的，虽然交换节点还未到达深度饱和状态，但是由于级联的深入和流量的干扰，其通信完整性必须要经过严格的验证才能保证后续通信的正常。

从上述4种情况来开，利用硬约束和软约束的符合条件，我们构建了4种不同的安全性约束准则，扩展了硬约束在讨论通信完整性的不足，并建立不同安全性约束条件与通信完整性的对应关系。

3 实例分析

考虑一个典型的AFDX交换网络拓扑结构［3］，如图1所示。其VL的参数和路径见表1。

图1 典型AFDX交换网络

表1 VL参数设置

我们采用 “Group”思想求解的VL路径上延迟抖动的最大值为JGP＝JitterGroupmax，port，其结果见表2。

表2 时延抖动结果分析

通过等效带宽条件分析，可以知道当前配置都能满足硬约束条件，但在网络拓扑结构中我们构建了深度为4的交换路径，虚拟链路受共享路径通信流量的干扰，随着级联的深入，其抖动呈现放大状态，严重影响到了通信的确定性和完整性。当我们讨论不同Ratemax下的软约束时，有：

（1）Ratemax＝2时，满足约束情况四 （对应于1553B等总线50%的带宽利用率）；

（2）Ratemax＝4时，满足约束情况三 （对应于AFDX等事件触发网络25%带宽利用率）；

可见，当Ratemax＝2时，网络为 “非完整性部分安全”，当Ratemax＝4时，网络为 “完整性部分安全”。因此，虽然当前流量配置没有超过物理传输带宽约束，但整个网络的完整性有待于进一步考察，部分流量存在着较高的通信不确定性，需对整个网络作进一步的优化，比如减少级联深度，减少共享路段其它流量干扰等。诚然，当Ratemax值不同时，满足的约束条件不同，即网络的 “完整”性等级还和可允许最大等效超带宽比有关，在设计AFDX网络VL流量时，应综合考虑网络的流量约束情况。

4 结束语

本文利用网络演算计算了AFDX网络的数据传输延时，利用 “Group”方法计算了虚拟链路VL的时延抖动。通过讨论时延抖动对信用量设置的影响，提出了AFDX网络在设计过程中应该满足的4种流量约束条件，得到了交换端口的 “完整性”通信准则。

在对VL信用量进行设置时，需考虑VL的时延抖动，其设置值的合理性将严重影响到整个网络交换端口的通信完整型，在对AFDX网络流量进行设计时，应充分验证时延抖动的设置值，以便得到具有 “安全”确定性保障性能的设计结果。

［1］ARINC 664Aircraft data network，part 7：Vionics full duplex switched Ethernet（AFDX）network ［S］

［2］Ren Y，Hu F，Li J.End to end jitter control on AFDX network ［C］／／International Conference on Transportation，Mechanical，and Electrical Engineering.IEEE，2011：515－518.

［3］Yao M，Qiu Z，Kwak K.Leaky bucket algorithms in AFDX［J］.Electronics Letters，2009，45 （11）：543－545.

［4］GAO Yu，LI Qiao，XIONG Huagang.Model checking of credit setting in AFDX traffic policing ［J］.Aeronautical Computing Technique，2011，41 （3）：122－126 （in Chinese）.［高宇，李峭，熊华钢.AFDX流量管制信用量设置的模型检查［J］.航空计算技术，2011，41 （3）：122－126.］

［5］ZHANG Zhengwen，HE Feng，LI Qiao，et al.Research on traffic policing testing based on credit－consuming boundary detecting ［J］.Computer Engineering and Design，2012，33（1）：1－6 （in Chinese）.［张正文，何锋，李峭，等.基于信用量消耗边界探测的流量管制测试研究 ［J］.计算机工程与设计，2012，33 （1）：1－6.］

［6］Bauer H，Scharbarg J，Fraboul C.Improving the worst－case delay analysis of an AFDX network using an optimized trajectory approach ［J］.IEEE Transactions on Industrial Informatics，2010，6 （4）：521－533.

［7］Bauer H，Scharbarg J，Fraboul C.Applying and optimizing trajectory approach for performance evaluation of AFDX avionics network ［C］／／IEEE Conference on Emerging Technologies ＆Factory Automation，2009：1－8.

［8］Le Boudec J Y，Thiran P.Network calculus：A theory of deterministic queuing systems for the internet ［M］.Springer，2001.

［9］Li J，Guan H，Yao J，et al.Performance enhancement and optimized analysis of the worst case end－to－end delay for AFDX networks ［C］／／IEEE International Conference on Green Computing and Communications，2012：301－310.

［10］Bauer H，Scharbarg J L，Fraboul C.Worst－case end－to－end delay analysis of an avionics AFDX network ［C］／／Proceedings of the Conference on Design，Automation and Test in Europe.European Design and Automation Association，2010：1220－1224.