基于有限自動機(jī)的深度報(bào)文檢測引擎的ASIC設(shè)計(jì).pdf

1、信息技術(shù)是21世紀(jì)最重要的技術(shù)之一，信息技術(shù)的應(yīng)用已深入到生活的各個方面，網(wǎng)絡(luò)信息安全的重要性也日益增加。傳統(tǒng)的網(wǎng)絡(luò)信息安全技術(shù)是基于軟件查詢的方式對網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行檢測，但是隨著網(wǎng)絡(luò)規(guī)模的增長，這種方法的檢測速度已經(jīng)不能夠滿足高速數(shù)據(jù)交換的需求。在這種背景下，業(yè)界技術(shù)發(fā)展的趨勢是使用ASIC技術(shù)進(jìn)行深度報(bào)文檢測。深度報(bào)文檢測系統(tǒng)要求交換芯片在報(bào)文被轉(zhuǎn)發(fā)之前完成對報(bào)文內(nèi)容的解析，因此檢測系統(tǒng)的結(jié)構(gòu)設(shè)計(jì)是完成高速檢測的關(guān)鍵。
　　本文

2、針對高速網(wǎng)絡(luò)數(shù)據(jù)檢測的要求，提出了一種基于混合型有限自動機(jī)的深度報(bào)文檢測方法，并對其進(jìn)行ASIC設(shè)計(jì)。這種檢測方法是以確定型有限自動機(jī)(Deterministic Finite Automata，DFA)和非確定型有限自動機(jī)(Non-deterministic Finite Automata，NFA)技術(shù)為基礎(chǔ)，以查詢狀態(tài)跳轉(zhuǎn)的檢測方式對網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行檢測，并判斷是否符合安全要求。該檢測方法將檢測內(nèi)容按照設(shè)定的語義集合分類，在DFA檢測

3、模塊對字符串精確匹配的基礎(chǔ)上，由NFA檢測模塊對字符串歸屬集合進(jìn)行關(guān)系檢測，通過判斷這些共存的集合是否違反設(shè)定的檢測規(guī)則，來確定當(dāng)前數(shù)據(jù)包能否通過檢測。這種方法創(chuàng)新之處在于提出“集合關(guān)聯(lián)檢測”的思想，在保證高速轉(zhuǎn)發(fā)的同時，不僅可以達(dá)到期望的檢測速度，而且解決了DFA的邏輯空間爆炸問題，降低了系統(tǒng)硬件消耗。在檢測系統(tǒng)的ASIC設(shè)計(jì)完成之后，本文對其進(jìn)行了詳細(xì)的功能驗(yàn)證，并通過使用高級的驗(yàn)證方法和完整的測試向量來證明本系統(tǒng)設(shè)計(jì)的正確性。在驗(yàn)

4、證完成之后，本文完成了模塊的RTL代碼綜合、時序驗(yàn)證以及自動布局布線。結(jié)果表明，檢測系統(tǒng)能夠在使用有限硬件資源的條件下達(dá)到1Gbps的檢測速度，從而滿足設(shè)計(jì)的要求。
　　本文設(shè)計(jì)的基于混合型有限自動機(jī)技術(shù)的深度報(bào)文檢測引擎，可以保證在1Gbps的網(wǎng)絡(luò)速度下，對網(wǎng)絡(luò)數(shù)據(jù)包的包頭和載荷進(jìn)行完整的深度檢測。與傳統(tǒng)的檢測結(jié)構(gòu)相比能夠達(dá)到更快的檢測速度，同時消耗更少的硬件資源。該系統(tǒng)在以太網(wǎng)數(shù)據(jù)檢測方面具有很好的應(yīng)用價(jià)值，同時該檢測方法在學(xué)