時間觸發(fā)以太網(wǎng)時鐘同步的容錯方法分析

蘭 杰，熊華鋼，李 峭

（1.北京航空航天大學(xué) 中法工程師學(xué)院，北京100191；2.北京航空航天大學(xué) 電子信息工程學(xué)院，北京100191）

0 引 言

先進的航空電子系統(tǒng)采用綜合化體系結(jié)構(gòu)［1］，例如：大型飛機空客A380 和波音787 采用綜合模塊化航空電子（IMA）系統(tǒng)和AFDX［2］骨干互連，其核心綜合處理模塊在機架上集中安裝。然而，雖然AFDX 網(wǎng)絡(luò)采用了速率約束（rate constraint，RC）機制，但其端到端時延抖動可達百微秒量級，意味著綜合化系統(tǒng)的時間完整性仍會受到不確定的通信傳輸?shù)挠绊憽?/p>

高完整性時間觸發(fā)通信互連技術(shù)，具有精確的分布式時鐘同步能力，并能進一步使異構(gòu)的航空電子模塊或主機之間實現(xiàn)同步并行處理，形成分布綜合模塊化航空電子（DIMA）體系結(jié)構(gòu)，支持時間隔離和分區(qū)隔離相結(jié)合的分布式綜合設(shè)計，具有嚴格時間確定、容錯和可重構(gòu)特性。

時間觸發(fā)以太網(wǎng) （time－triggered Ethernet，TTE）［3］是時間觸發(fā)體系結(jié)構(gòu)［4］在交換式互連實時通信領(lǐng)域的協(xié)議實現(xiàn)，不同于共享介質(zhì)的TTP網(wǎng)絡(luò)［5］，它不能依靠監(jiān)聽總線進行同步，而是通過傳遞和處理專門的協(xié)議控制幀 （protocol control frame，PCF）實現(xiàn)，并在同步協(xié)議中設(shè)計了容錯機制。

TTE已經(jīng)在NASA 的載人飛船項目中獲得實用［6］。另一方面，TTE 網(wǎng)絡(luò)可以在同一物理網(wǎng)絡(luò)上支持時間觸發(fā)（TT）同步通信和異步通信流量，其中異步通信包含事件觸發(fā)的速率約束 （RC）流量和 “盡力傳” （best effort，BE）流量［7］。這樣，TTE網(wǎng)絡(luò)有望作為AFDX 的子集，在保證既有RC流量的基礎(chǔ)上，擴展添加高完整性的TT 通信服務(wù)。

本文首先介紹TTE網(wǎng)絡(luò)時鐘同步算法與容錯機制，分析其容錯能力和實現(xiàn)效果，隨后通過仿真實驗的方法證實同步算法對抗單失效假設(shè)的有效性。

1 TTE網(wǎng)絡(luò)時鐘同步算法

根據(jù)同步的參照對象的不同，時鐘同步算法分為外部同步算法和內(nèi)部同步算法，前者使各個節(jié)點同步到一個外部的參考時鐘；后者使各個節(jié)點彼此相互同步，即讓各個節(jié)點之間的偏差值最小化。根據(jù)分布式同步結(jié)構(gòu)的不同，可以分為對稱式算法和非對稱式算法。前者各個節(jié)點并不具有特殊性，它們平等地向相鄰或者所有節(jié)點發(fā)送同步信息并根據(jù)遠程節(jié)點的時間信息修正自己的時鐘；后者也叫“主從式”算法，往往具有分層的等級結(jié)構(gòu)。TTE 網(wǎng)絡(luò)的同步采用內(nèi)部同步算法，但其結(jié)構(gòu)既非傳統(tǒng)意義的對稱算法——節(jié)點充當不同的主控器和客戶端角色，也不是單個節(jié)點之間的主從同步——時鐘的修正是完全分布進行的，但同步集群之間可以有優(yōu)先級層次結(jié)構(gòu)。在這種較為復(fù)雜的同步方法的基礎(chǔ)上，TTE 網(wǎng)絡(luò)協(xié)議還設(shè)計了時鐘同步容錯機制。

在TTE網(wǎng)絡(luò)中，通過時鐘同步服務(wù)保證分布式系統(tǒng)各節(jié)點之間時間觸發(fā)通信的精確定時。在設(shè)備層次，存在3種同步基礎(chǔ)設(shè)施［3］：同步主控器 （synchronization master，SM）、同步客戶端 （synchronization client，SC）和壓縮主控器 （compression master，CM）。并且，TTE 允許對于執(zhí)行關(guān)鍵壓縮功能的CM 進行冗余配置［8］，以保障同步系統(tǒng)的抗摧毀能力。

1.1 同步方法

TTE網(wǎng)絡(luò)中，同步節(jié)點之間通過協(xié)議控制幀［3］傳遞同步消息。其攜帶信息主要包括：“同步域”定義的節(jié)點所在同步域；“優(yōu)先級”定義的同步節(jié)點的優(yōu)先級；由 “類型”字段的枚舉值定義的PCF的類型——即：冷啟動幀 （CS）、冷啟動應(yīng)答幀 （CA）和綜合幀 （IN），前兩者用于啟動過程，后者在每一次綜合循環(huán)開始后傳輸，傳遞時鐘同步消息；由 “綜合循環(huán)”域的計數(shù)表示的PCF 所屬的綜合循環(huán)；“新成員”域的比特矢量每一位代表系統(tǒng)中與之對應(yīng)的SM，為 “1”時表示該SM 和發(fā)送PCF 幀的節(jié)點之間進行同步操作；由 “透明時鐘”域記錄PCF 從發(fā)送端到當前節(jié)點所經(jīng)歷的傳輸時延［9］，達到對網(wǎng)絡(luò)傳輸時延進行實時測量的目的［10］。

TTE網(wǎng)絡(luò)分布式時鐘同步算法通過如圖1所示的原理完成時鐘同步。

在每個綜合循環(huán)中，多個SM 在本地時鐘到達綜合循環(huán)的預(yù)設(shè)時間點向CM 發(fā)送IN 幀，由于存在時鐘偏移，各個SM 發(fā)送IN 幀的真實時間會有差別，且傳輸延遲也有差異。

圖1 TTE分布式時鐘同步算法

CM 收到IN 幀的時序和發(fā)送時序不一致，需要執(zhí)行固化功能，通過 “透明時鐘”攜帶的傳輸延遲信息還原SM派發(fā) （dispatch）IN 幀的真實時序和絕對時間間隔。隨后，CM 對固化后的時刻執(zhí)行壓縮功能，即：對于還原的多個SM 的發(fā)送時刻取平均，作為時鐘更正的基準值。CM 一方面根據(jù)基準值對自身時鐘進行修正，另一方面根據(jù)基準值進行一段預(yù)設(shè)的延遲，再向SM 和SC派發(fā)壓縮后的IN 幀。SM／SC也執(zhí)行固化功能還原IN 幀的實際派發(fā)時刻，并將此實際時刻與期望時刻對比，算出本地時鐘和基準值的差值，用以修正本地時鐘。

1.2 固化和壓縮的計算方法

固化功能使用 “透明時鐘”記錄的同步消息從發(fā)送端派發(fā)時刻td到最終接收端接收時刻tr所經(jīng)歷的傳輸延遲Dt，固化時刻點tp＝tr＋Dmax－Dt，其中，Dmax為最大可能的傳輸延遲。

壓縮功能從第一個不與現(xiàn)有進程 （一般由硬件實現(xiàn)）含有相同綜合循環(huán)值的固化時刻點tp，1時開始，并打開一個長度為P 的觀察窗，如果在該觀察窗內(nèi)收集到至少2個固化時刻點則打開下一個觀察窗；在第i （i≥2）個觀察窗內(nèi)，若沒有收集到至少1個固化時刻點，則結(jié)束觀察窗的打開和收集；若收集到至少1個固化時刻點，則打開第i＋1個觀察窗，直到最大觀察窗長度TOWM＝ （f＋1）×P，其中f 為需要容忍的錯誤SM 數(shù)。

觀察窗的長度P 與同步的精度要求有關(guān)。通過在連續(xù)打開觀察窗的機制，可使相互之間時間間隔超過該精度或者不在同一個綜合循環(huán)內(nèi)的PCF 幀由不同的進程分別處理［3］。時鐘更正的基準值——壓縮修正值tcc通過如下具有容錯能力的均值公式 （fault－tolerant average，F(xiàn)TA）進行計算：

1個固化時刻點：tcc＝tp，1

2個固化時刻點：tcc＝ （tp，1＋tp，2）／2

3個固化時刻點：tcc＝tp，2

4個固化時刻點：tcc＝ （tp，2＋tp，3）／2

3×f 個以上固化時刻點：tcc為第f＋1小和第f＋1大的固化時刻點的算術(shù)均值。

FTA 算法的收斂性確保每組幀的均值有確界，而且這種方法避免了小數(shù)除法，便于采用硬件邏輯實現(xiàn)。

FTA 的計算固定開銷為Tco，進一步得到壓縮時刻點tcp＝tp，1＋TOWM＋Tco＋tcc。以tcp為基準，CM 將壓縮后的PCF幀發(fā)送回SM，SM 仍使用固化功能接收。由于Dmax、Tco等參數(shù)已知，往返SM 和CM 的傳輸延遲由透明時鐘可得，實質(zhì)上每個參與同步的節(jié)點都是依據(jù)同一個壓縮修正值tcc調(diào)整本地時鐘。

1.3 最佳PCF幀

考慮低層組件可能發(fā)生故障的情況，壓縮功能有可能出現(xiàn)多個進程，它們要么對應(yīng)多段連續(xù)的時間窗，要么對應(yīng)不同綜合循環(huán)值的多組時刻點。在不同進程計算得到的壓縮時刻點中，有的是錯誤的，有的由于沒有達到足夠的同步成員數(shù)目是不可信的。根據(jù)最多的固化時刻點計算得到的壓縮時刻點最有可能是正確的，被稱之為 “最佳的”。

在時鐘修正階段，CM 和SM 分別根據(jù)式 （1）和式（2）計算調(diào)度時刻點TS，以TS標定的一段時間為接受窗口

落在正常的接受窗口中，并且 “新成員”比特矢量域中 “1”的數(shù)目最多的PCF幀被稱為 “最佳PCF幀”，因為它對應(yīng)于最佳壓縮時刻點，以此進行CM 和SM 的本地時鐘修正。

2 TTE網(wǎng)絡(luò)時鐘同步容錯

容錯是通過協(xié)議控制在一定的程度上防止錯誤導(dǎo)致功能失效的機制；所謂 “錯誤”是指計算或觀測的數(shù)值與真實的數(shù)值的差異。通常意義上，故障導(dǎo)致錯誤，如果對錯誤的影響不加以限制，就會造成失效。對于具有層次化結(jié)構(gòu)的系統(tǒng)，低層組件的失效，對于上層功能而言是 “錯誤”。TTE 時鐘同步的容錯實質(zhì)上是容忍網(wǎng)絡(luò)節(jié)點操作的失效。

進行同步的時候，時鐘、處理器和網(wǎng)絡(luò)接口都有可能發(fā)生物理故障或邏輯錯誤，例如：硬件時鐘不滿足所謂“有限硬件時鐘偏移率”準則的故障，被稱為硬件時鐘故障；而本地時鐘的精度不滿足給定的要求值P，被稱為本地時鐘錯誤。這些故障和錯誤是導(dǎo)致失效的基礎(chǔ)性因素，但TTE網(wǎng)絡(luò)時鐘同步容錯機制只需在上層協(xié)議考慮幾種抽象的失效模式。

2.1 失效模式和失效假設(shè)

失效模式總是與網(wǎng)絡(luò)接口的行為有關(guān)。典型的失效模式包括：

（1）靜默：設(shè)備失效并停止輸出。

（2）遺漏：設(shè)備將遺漏任意數(shù)目的發(fā)送／接受幀。

（3）不一致：這種模式僅出現(xiàn)于一個發(fā)送器向多個接收器的多播情況，不同接收器收到的信息不一致。

（4）不一致－遺漏：（2）和 （3）兩種模式的組合。

（5）隨意：不受控制的設(shè)備在任意時刻以任意的內(nèi)容產(chǎn)生混亂的消息。

失效假設(shè)主要與失效節(jié)點的數(shù)目有關(guān)，每種假設(shè)下可以包含不同的模式。TTE 被設(shè)計對抗兩種失效假設(shè)：單點失效和雙點失效。在單點失效假設(shè)下：TTE 能夠容忍一個端系統(tǒng)的 “隨意”或一個交換機的 “不一致－遺漏”行為；在雙點失效假設(shè)下：TTE網(wǎng)絡(luò)可以容忍兩個節(jié)點 （端系統(tǒng)或交換機）的 “不一致－遺漏”行為。

由于 “靜默”和 “遺漏”不容易造成錯誤的傳播，容錯同步主要考慮的是對抗 “隨意”和 “不一致”失效。

TTE網(wǎng)絡(luò)可以采用標準完整性或高完整性配置，兩者的容錯能力的差別在于：

（1）雖然兩種配置都可以消除不一致失效的影響，但高完整性系統(tǒng)反應(yīng)更迅速；

（2）在冷啟動的時候，標準完整性系統(tǒng)不能對抗隨意失效，而高完整性系統(tǒng)可以；

（3）通過檢測結(jié)團狀態(tài)消除多點的不一致失效的效果也不同。

2.2 冷啟動隨意失效的消除

在通信設(shè)施上電后，SM 和CM 通過特殊的PCF 幀——CS與CA 完成握手。其過程同綜合幀 （IN）的方式相同，但是CM 并不固化和壓縮收到的CS幀，只是延遲并送回CA。握手通信后，節(jié)點進入到協(xié)議狀態(tài)機中同步操作的初始化狀態(tài)并開始同步。

TTE網(wǎng)絡(luò)標準完整性或高完整性配置的主要區(qū)別在于：

運行狀態(tài)時，前者CM 只返回所選取的最佳PCF 幀，而后者返回經(jīng)過壓縮的所有PCF幀，由接收SM 自行選擇。高完整性實現(xiàn)的復(fù)雜程度高，在運行的時候可以保證SM的穩(wěn)定性，即不會出現(xiàn)沒有接收到有效壓縮后PCF 幀的情況。

冷啟動時，前者的SM 會應(yīng)答包括自己發(fā)送的所有冷啟動幀，有可能出現(xiàn)并沒有和其它節(jié)點 （特別是CM）達成握手的情況，即并未達成綜合循環(huán)的一致，由此形成隨意失效；后者的SM 不會應(yīng)答以SM 為來源的冷啟動幀，并且不會在一個綜合循環(huán)內(nèi)發(fā)送超過一個IN 幀，SM 和CM會在有確界的差異內(nèi)開始綜合循環(huán)。由此，高完整性可以在冷啟動的時候?qū)闺S意失效，使得即使出現(xiàn)復(fù)雜的失效，也只是 “不一致－遺漏”失效。

2.3 不一致失效的消除

TTE網(wǎng)絡(luò)除了可以沿用普通網(wǎng)絡(luò)CRC的錯誤判斷方式以外，其時鐘同步還有獨立的算法層面的不一致故障消除方式。如1.3中所述，接受窗口對同步消息幀分進程處理，這保證了與大部分節(jié)點時間差超過精度或者不是同一綜合循環(huán)的PCF幀 （這兩者都對應(yīng)錯誤的時鐘值）得到了不同的壓縮時刻點；接受窗口和最佳PCF 幀的選取，可以選擇出 “最佳的”壓縮時刻點，從而消除不一致故障的影響。

2.4 結(jié)團的檢測與消除

所謂的 “團” （clique）是指同步域中某子集。結(jié)團檢測是為了解決 “團”中設(shè)備達成同步，但是同步無法超出子集的邊界，即無法在各個子集間達到全局同步的問題。這種問題無法通過常規(guī)的不一致失效消除機制解決，需要隨著綜合循環(huán)進行周期性的結(jié)團檢測。

結(jié)團檢測分為同步和異步兩種方式，如圖2 所示。對某一同步節(jié)點，在同步檢測每周期結(jié)束時進行 “同步評估”：將該周期內(nèi)最佳PCF 幀的新成員值儲存在 “本地同步成員列表”中，記錄了本節(jié)點同步的SM 數(shù)量。在異步結(jié)團檢測周期結(jié)束時進行 “異步評估”：將該周期內(nèi)沒有落在接受窗口或不在一個集成周期的PCF幀的 “新成員”矢量，對各矢量進行位邏輯或（bit－or）運算，儲存在 “本地異步成員列表”中，代表不與當前節(jié)點同步的SM 數(shù)量。當“本地同步成員列表”的值小于 “本地異步成員列表”時，則說明形成結(jié)團，節(jié)點從同步狀態(tài)轉(zhuǎn)換到非同步狀態(tài)。此時進行重啟動，再次發(fā)送CS幀尋求握手，重新開始同步操作。

圖2 同步結(jié)團檢測和異步結(jié)團檢測

3 時鐘同步仿真

SIDERA 是一種針對時間觸發(fā)體系結(jié)構(gòu)下分布式實時系統(tǒng)的建模和軟件仿真工具，由維也納技術(shù)大學(xué)開發(fā)；可以實現(xiàn)啟動、消息傳遞、時鐘同步和成員列表維護等多種協(xié)議的仿真。利用該軟件，設(shè)計并進行時鐘同步仿真實驗。

3.1 同步仿真設(shè)計

設(shè)v＝50ns為物理時鐘脈沖的寬度，并以v 作為時間單位。預(yù)期精度為1μs，即20×v。

進行單同步域下4個SM 節(jié)點和2個雙冗余CM 節(jié)點的仿真實驗，進行32輪同步，每輪同步時間為1ms。設(shè)定6個節(jié)點的本地時鐘偏移率為ρi＝ ｛－2.5×10－4，－1.5×10－4，－0.5×10－4，0.5×10－4，1.5×10－4，2.5×10－4｝，其中i＝1，…，6，ρ1 和ρ3 對應(yīng)交換機上實現(xiàn)的CM1和CM2；ρ2，ρ3，ρ4，ρ6 分別對應(yīng)SM1，SM2，SM3和SM4。

由于對于FTA 公式有節(jié)點總數(shù)n＞3f，預(yù)設(shè)的需要容忍的錯誤SM 數(shù)為f＝1。設(shè)定網(wǎng)絡(luò)延遲區(qū)間為 ［5，250］μs，帶寬為100 Mbit／s。

針對 “靜默”，“不一致－遺漏”，“隨意”3種失效模式，設(shè)計6種仿真場景，實驗1～實驗4配置為標準完整性，實驗5、實驗6為高完整性：

實驗1：無失效同步；

實驗2：單節(jié)點靜默失效同步——設(shè)置某SM 從第1輪同步開始失效，靜默500μs后重啟動，共失效5次，每次間隔約800μs；

實驗3：單節(jié)點不一致遺漏失效同步——設(shè)置某節(jié)點從第22輪開始出現(xiàn)不同節(jié)點傳輸不一致的錯誤信息或者不發(fā)送信息，共出現(xiàn)兩次，間隔約為5ms。

實驗4：單節(jié)點隨意失效同步——從第12輪同步開始，設(shè)置一個SM 出現(xiàn)本地時鐘修正值的隨意錯誤，并達到正常同步時不可能出現(xiàn)的較大數(shù)值 （仿真中設(shè)定為21×v），該SM 以此錯誤的數(shù)值進行修正，導(dǎo)致本地時鐘錯誤，共仿真失效3次，每次間隔約2ms；

實驗5：對照實驗組——設(shè)置同實驗3，但將所有節(jié)點配置為高完整性狀態(tài)機。

實驗6：多失效同步——設(shè)置不同節(jié)點按照實驗2、實驗3、實驗5中的失效進行同步實驗，用以驗證不同類型的失效相互之間不會造成影響。

3.2 仿真結(jié)果及分析

仿真實驗結(jié)果如表1及圖3 所示。在圖3 中，橫軸為仿真時間，縱軸表示精度偏差 （Precision）和本地時鐘修正值 （Correction），以v為單位。“精度偏差”以本地時鐘偏離全局同步時鐘的數(shù)值來衡量，如果超過20×v，則最大時鐘偏差超過預(yù)設(shè)的TTE網(wǎng)絡(luò)精度要求，意味著某些節(jié)點失去同步。

表1 TTE網(wǎng)絡(luò)時鐘同步容錯仿真結(jié)果

圖3 TTE網(wǎng)絡(luò)時鐘同步容錯仿真

由表1和圖3可見，TTE 網(wǎng)絡(luò)同步算法對于單點失效具有全面的容忍能力，任意單點失效對全局時鐘的精度影響是有界的。

根據(jù)同步狀態(tài)的變化，實驗2結(jié)果表明靜默失效不會影響其它節(jié)點之間的同步。實驗3結(jié)果表明不一致－遺漏失效不會影響全局同步，并且在當次綜合循環(huán)中也可以通過其它節(jié)點的同步信息完成同步。

實驗4和實驗5的結(jié)果對比表明，隨意失效會造成節(jié)點時鐘精度的較大偏差，但是這只限于發(fā)生錯誤的節(jié)點，不會影響其它正常節(jié)點之間的全局同步。在標準完整性配置下，失效節(jié)點因為隨意失效超過預(yù)設(shè)精度脫離同步后，由于在冷啟動時并沒達成綜合循環(huán)的一致，從而不能再恢復(fù)同步。在高完整性配置下，失效節(jié)點會在下次同步中通過較大的時鐘修正重新獲得同步。實驗6結(jié)果表明不同失效在恢復(fù)同步之后不會相互之間產(chǎn)生影響。

4 結(jié)束語

TTE網(wǎng)絡(luò)的時鐘同步算法能夠確保其嚴格的確定性時間觸發(fā)通信，通過對算法容錯性能的研究可以幫助驗證其可靠性。本文對TTE網(wǎng)絡(luò)協(xié)議進行分析，將其同步服務(wù)的一般性描述還原為時鐘同步算法的理論模型與容錯機制。容錯機制的關(guān)鍵內(nèi)容包括：最佳PCF幀的選擇對不一致失效的消除、高完整性配置在冷啟動時對抗隨意失效、結(jié)團的檢測和消除。在容錯機制的支持下，TTE 網(wǎng)絡(luò)可以全面對抗單個的節(jié)點多種失效模式，達到高安全性實時系統(tǒng)的應(yīng)用需求。通過仿真實驗，印證了上述結(jié)論，并發(fā)現(xiàn)在對抗單隨意失效時，高完整性配置具有更好的魯棒性。

［1］XIONG Huagang，WANG Zhonghua.Advanced avionics integration techniques ［M］.Beijing：National Defense Industry Press，2009 （in Chinese）.［熊華鋼，王中華.先進綜合航空電子技術(shù) ［M］.北京：國防工業(yè)出版社，2009.］

［2］XIONG Huagang，LI Qiao，HUANG Yongkui.Study on the avionics full－duplex switched Ethernet standards［J］.Aeronautic Standardization ＆Quality，2008，223 （1）：25－28 （in Chinese）.［熊華鋼，李峭，黃永葵.航空電子全雙工交換式以太網(wǎng) 標 準 研 究 ［J］.航 空 標 準 化 與 質(zhì) 量，2008，223 （1）：25－28.］

［3］SAE AS6802：Time－triggered Ethernet［S］.SAE Aerospace Standard，2011.

［4］Koptez H.Real－time systems－design principles for distributed embedded applications ［M ］. 2nd ed. New York：Springer，2011.

［5］SAE AS6003：TTP communication protocol［S］.SAE Aerospace Standard，2011.

［6］Steiner W，Dutertre B.Layered diagnosis and clock－rate correction for the TTEthernet clock synchronization protocol［C］／／The Proceedings of the 17th Pacific Rim Intl Symposium on Dependable Computing.IEEE，2011：244－253.

［7］LIU Wanchun，LI Qiao，HE Feng，et al.Research on timetriggerd Ethernet synchronization and scheduling mechanism［J］.Aeronautical Computing Technique，2011，41 （4）：122－127 （in Chinese）.［劉晚春，李峭，何鋒，等.時間觸發(fā)以太網(wǎng)同步及調(diào)度機制的研究 ［J］.航空計算技術(shù)，2011，41（4）：122－127.］

［8］Steiner W，Dutertre B.Automated formal verification of the TTEthernet synchronization quality ［G］.LNCS 6617：The Proceedings of NFM. Berlin： Springer－Verlag， 2011：375－390.

［9］IEEE 1588－2008：IEEE standard for a precision clock synchronization protocol for networked measurement and control systems［S］.IEEE，2008.

［10］LI Jun，SUN Shuying，LIU Jiangyi，et al.Network clock synchronization based on real－time clock variance algorithm［J］.Computer Engineering and Design，2013，34 （5）：1538－1541 （in Chinese）. ［李軍，孫書鷹，劉江義，等.基于實時時鐘方差算法的網(wǎng)絡(luò)時鐘同步 ［J］.計算機工程與設(shè)計，2013，34 （5）：1538－1541.］