特開 2022-89049 パケット識別装置、パケット処理装置、パケット識別方法、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022089049

(43)【公開日】2022-06-15

(54)【発明の名称】パケット識別装置、パケット処理装置、パケット識別方法、及びプログラム

(51)【国際特許分類】

   H04L 45/74 20220101AFI20220608BHJP

【ＦＩ】

H04L12/741

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2020201270

(22)【出願日】2020-12-03

(71)【出願人】

【識別番号】399035766

【氏名又は名称】エヌ・ティ・ティ・コミュニケーションズ株式会社

(74)【代理人】

【識別番号】100107766

【弁理士】

【氏名又は名称】伊東 忠重

(74)【代理人】

【識別番号】100070150

【弁理士】

【氏名又は名称】伊東 忠彦

(72)【発明者】

【氏名】小原 泰弘

(72)【発明者】

【氏名】上野 幸杜

【テーマコード（参考）】

5K030

【Ｆターム（参考）】

5K030GA04

5K030KA05

5K030LB05

5K030MA04

(57)【要約】

【課題】ネットワークにおける様々な場所で容易に実装することが可能なパケット識別技術を提供する。
【解決手段】パケット識別装置において、パケットを入力する入力部と、前記パケットの複数の属性のそれぞれについて、検索対象データを検索し、属性にマッチしたルール集合を表すマッチルールビットマップを取得し、前記複数の属性のマッチルールビットマップ間で論理演算を行うことにより、前記パケットに適用するルール集合を決定するパケット識別部と、前記ルール集合を出力する出力部とを備える。
【選択図】図１

【特許請求の範囲】

【請求項1】

パケットを入力する入力部と、
前記パケットの複数の属性のそれぞれについて、検索対象データを検索し、属性にマッチしたルール集合を表すマッチルールビットマップを取得し、前記複数の属性のマッチルールビットマップ間で論理演算を行うことにより、前記パケットに適用するルール集合を決定するパケット識別部と、
前記ルール集合を出力する出力部と
を備えるパケット識別装置。

【請求項2】

前記マッチルールビットマップの各ビットが、１つのルールＩＤに対応する
請求項１に記載のパケット識別装置。

【請求項3】

前記マッチルールビットマップは、１つのビットも属性にマッチしない所定サイズのビットマップであるアンマッチビットマップを省略する連長圧縮を適用した圧縮ビットマップである
請求項１又は２に記載のパケット識別装置。

【請求項4】

前記論理演算は論理積演算であり、前記パケット識別部は、前記複数の属性の圧縮ビットマップ間で、少なくとも１つの属性に前記アンマッチビットマップが存在する場合に、当該アンマッチビットマップのビット位置における論理積演算をスキップする
請求項３に記載のパケット識別装置。

【請求項5】

前記パケット識別部は、各オフセットに該当する次セグメントの位置を記載したジャンプテーブルを参照することにより、前記スキップを行う
請求項４に記載のパケット識別装置。

【請求項6】

請求項１ないし５のうちいずれか１項に記載のパケット識別装置を備えるパケット処理装置。

【請求項7】

パケット識別装置が実行するパケット識別方法であって、
パケットを入力する入力ステップと、
前記パケットの複数の属性のそれぞれについて、検索対象データを検索し、属性にマッチしたルール集合を表すマッチルールビットマップを取得し、前記複数の属性のマッチルールビットマップ間で論理演算を行うことにより、前記パケットに適用するルール集合を決定するパケット識別ステップと、
前記ルール集合を出力する出力ステップと
を備えるパケット識別方法。

【請求項8】

コンピュータを、請求項１ないし５のうちいずれか１項に記載のパケット識別装置における各部として機能させるためのプログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、パケットの属性にマッチするルールを選択するパケット識別技術に関連するものである。

【背景技術】

【0002】

ルータや、ミドルボックス（ＦＷ、ＶＰＮ、ＤＰＩ等）では、パケット識別（Ｐａｃｋｅｔ Ｃｌａｓｓｉｆｉｃａｔｉｏｎ）技術が必要であり、パケット識別に関する様々な技術が提案されている。例えばＴＣＡＭで高速にパケット識別を行うことができるが、発熱問題や、社会からのソフトウェア化の要望から、新しいソフトウェアアルゴリズムの技術が求められている。しかしながら、現状では、ＴＣＡＭでは２００Ｍｌｐｓ程度、ソフトウェアアルゴリズムでは２００Ｋｌｐｓ程度と、約１０００倍の性能の開きがある。

【0003】

従来のパケット識別ソフトウェアアルゴリズムは、性能の遅さに加え、アルゴリズムの複雑さが問題であり、実装が困難、最適化・高速化が困難、更なる多次元化が困難であるという問題点がある。

【先行技術文献】

【特許文献】

【0004】

【特許文献1】ＷＯ２０１６／１４３４０５Ａ１

【非特許文献】

【0005】

【非特許文献1】https://sdm.lbl.gov/fastbit/、令和２年１１月９日検索

【発明の概要】

【発明が解決しようとする課題】

【0006】

パケットの識別は、クライアント、ルータ、ミドルボックスサーバ、アプリケーションサーバ、それらをサポートするハイパーバイザ等のネットワークのあらゆる場所で必要とされる可能性が高い。しかし、従来技術のように複雑で重い処理を必要とするパケット識別の技術は、必要な場所に挿入することが困難である場合がある。

【0007】

本発明は上記の点に鑑みてなされたものであり、ネットワークにおける様々な場所で容易に実装することが可能なパケット識別技術を提供することを目的とする。

【課題を解決するための手段】

【0008】

開示の技術によれば、パケットを入力する入力部と、
前記パケットの複数の属性のそれぞれについて、検索対象データを検索し、属性にマッチしたルール集合を表すマッチルールビットマップを取得し、前記複数の属性のマッチルールビットマップ間で論理演算を行うことにより、前記パケットに適用するルール集合を決定するパケット識別部と、
前記ルール集合を出力する出力部と
を備えるパケット識別装置が提供される。

【発明の効果】

【0009】

開示の技術によれば、ネットワークにおける様々な場所で容易に実装することが可能なパケット識別技術が提供される。

【図面の簡単な説明】

【0010】

【図1】本発明の実施の形態におけるパケット識別装置の構成図である。

【図2】パケット識別装置を適用したパケット処理装置の構成の一例を示す図である。

【図3】パケット識別装置の動作を説明するためのフローチャートである。

【図4】各次元でマッチしたルール集合を示すｆａｓｔｂｉｔから、パケットに対応するルール集合を求める処理の概要を示す図である。

【図5】ｆａｓｔｂｉｔの構成を説明するための図である。

【図6】オフセットを説明するための図である。

【図7】次元間の論理積の計算の例を説明するための図である。

【図8】論理積の計算手順の例を示すフローチャートである。

【図9】次元間の論理積の計算の例を説明するための図である。

【図10】パケット識別装置のハードウェア構成例を示す図である。

【発明を実施するための形態】

【0011】

以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下で説明する実施の形態に限られるわけではない。

【0012】

（装置構成例）
図１に、本実施の形態におけるパケット識別装置１００の構成例を示す。図１に示すように、本実施の形態におけるパケット識別装置１００は、パケット識別部１１０、記憶部１２０、入力部１３０、出力部１４０を備える。

【0013】

本実施の形態におけるパケット識別装置１００が実行するパケット識別処理とは、入力されたパケットの１以上の属性にマッチするルールを選択（決定）する処理である。

【0014】

記憶部１２０は、検索の対象となる検索対象データ（複数のルール）が格納されている。入力部１３０は、パケットを入力する。パケット識別部１１０は、記憶部１２０に格納されているデータを検索することにより、パケットの１以上の属性にマッチするルールを選択する。出力部１４０は、パケット識別部１１０により選択されたルール集合を出力する。パケット識別部１１０の処理の詳細については後述する。

【0015】

図２に、パケット識別装置１００を、ルータ等のパケット処理装置２００に適用する場合における、当該パケット処理装置２００の構成例を示す。

【0016】

図２に示すように、パケット処理装置２００は、パケット処理部２１０、ルール決定部２２０、及び複数のインタフェース（ＩＦ）を有する。パケット処理部２１０は、ＩＦを介してパケットを受信し、ルール決定部２２０により決定されたルールに従ってパケットを処理し、宛先（ネクストホップ）に対応するＩＦからパケットを出力する。図３には、パケットをＩＦ－Ａから受信し、ＩＦ－Ｂから出力する例が示されている。

【0017】

ルール決定部２２０は、図１に示したパケット識別装置１００に相当する。ルータのパケットフォワーディングを行う場合を例にとって説明すると、ルール決定部２２０は、ルールの集合に相当するルーティングテーブル（フォワーディングテーブル）を保持しており、パケット処理部２１０からパケットを受け取り、当該パケットの１以上の属性に基づきフォワーディングテーブルを検索することにより、当該パケットに対してマッチした１以上のルールを決定し、当該ルールの情報をパケット処理部２１０に出力する。

【0018】

パケット処理部２１０は、ルール決定部２２０により決定されたルールに従って、パケットを処理する。ここでの「ルール」は、パケットに対する処理内容であり、例えば、アドレス変換内容（ソースのローカルアドレスをグローバルアドレスに変換等）、パケットの送出先のインタフェース等である。

【0019】

なお、パケット識別装置１００は、ルータに限られない様々な装置（機能）に適用可能である。例えば、クライアント端末、ミドルボックスサーバ、アプリケーションサーバ、それらをサポートするハイパーバイザ等に適用可能である。

【0020】

（パケット識別装置１００の基本動作例）
次に、図３のフローチャートを参照して、パケット識別装置１００の基本的な動作例を説明する。

【0021】

＜Ｓ１０１＞
Ｓ１０１において、入力部１３０からパケットが入力される。

【0022】

＜Ｓ１０２＞
Ｓ１０２において、パケット識別部１１０は、記憶部１２０に格納されたルールの集合を検索することにより、入力されたパケットの１以上の属性のそれぞれについて、マッチする１以上のルールを選択する。

【0023】

パケットの属性については特定のものに限定されないが、本実施の形態におけるパケットの属性とは、始点ＩＰアドレス（Ｓｒｃ ＩＰ Ａｄｄｒ）、終点ＩＰアドレス（Ｄｓｔ ＩＰ Ａｄｄｒ）、プロトコル番号（Ｐｒｏｔｏ）、始点ポート番号（Ｓｒｃ Ｐｏｒｔ）、終点ポート番号（Ｄｓｔ Ｐｏｒｔ）の５つであり、これらは５－ｔｕｐｌｅ等と呼ばれる。

【0024】

パケット識別部１１０は、各属性を検索の「次元」として扱うので、５－ｔｕｐｌｅを属性として使用する場合であれば５次元検索となる。パケットの属性として、５－ｔｕｐｌｅに加えて、又は５－ｔｕｐｌｅのうちの１以上の属性に代えて、ＴＯＳ等を利用することも可能である。

【0025】

記憶部１２０に格納されている検索対象データは、基本的にはキーとルールからなる。キーは属性とのマッチングを行うための情報である。ただし、検索対象データのデータ構造は特定のデータ構造に限定されない。木構造（例：Ｐｏｐｔｒｉｅ（特許文献１））であってもよいし、配列構造であってもよいし、これら以外の構造であってもよい。

【0026】

パケット識別部１１０は、各次元の属性をキーとして、検索対象データを検索し、各次元の検索結果を表すビットマップを取得する。このビットマップは、マッチしたルール集合を表すビットマップなので、これをマッチルールビットマップと呼ぶことにする。

【0027】

マッチルールビットマップにおいて、１つのビットが１つのルールに対応する。説明の便宜上、ルールが全部で１０個あるとし、各ルールがルールＩＤ＝０、１、２、…、９で表されるものとする。また、マッチルールビットマップの最初のビットを０番目のビットとし、ｎ番目のビットがルールＩＤ＝ｎのルールに対応するものとする。また、マッチしたルールをビット１で表し、マッチしなかったルールをビット０で表すものとする。なお、ルールＩＤ＝ｎのルールをルール＃ｎと表記する場合がある。

【0028】

Ｓ１０２の検索の結果、例えば、Ｓｒｃ ＩＰ Ａｄｄｒに対して、ルール＃０、ルール＃２、ルール＃７、ルール＃９がマッチしたとすると、Ｓｒｃ ＩＰ Ａｄｄｒに対するマッチルールビットマップは、「１０１００００１０１」となる。例として、ここでは、下記のように各次元の属性に対するマッチルールビットマップが得られたものとする。

【0029】

Ｓｒｃ ＩＰ Ａｄｄｒ：１０１００００１０１
Ｄｓｔ ＩＰ Ａｄｄｒ：００１００００１０１
Ｐｒｏｔｏ： ００１０１１０１００
Ｓｒｃ Ｐｏｒｔ： １０１００００１０１
Ｄｓｔ Ｐｏｒｔ： １０１０１００１１１
＜Ｓ１０３、Ｓ１０４＞
Ｓ１０３において、パケット識別部１１０は、５つの次元間の論理積（ｌｏｇｉｃａｌ ＡＮＤ）をとり、その結果を入力パケットに対する最終的なルール集合として出力部１４０から出力する。

【0030】

論理積なので、あるルールに関して、５つの次元のうち１つでも０があればそのルールについての結果は０（マッチしない）になる。例えば、上記の例の場合、５つの次元間の論理積の結果となるルールマッチビットマップは、「００１００００１００」となる。従って、ルール＃２とルール＃７が、入力パケットに適用するルール集合として決定される。

【0031】

なお、本実施の形態では、マッチルールビットマップ間の論理演算として論理積の演算を行っているが、これは一例である。ルールの定義やパケット処理内容に応じて、マッチルールビットマップ間の論理演算として、論理和、排他的論理和等の演算を行うこととしてもよい。

【0032】

（実施例）
以下、実施例として、パケット識別装置１００のより具体的な動作例を説明する。

【0033】

上述したＳ１０２の検索処理において、各次元の属性にマッチするルールを探す母集団となるルールのセット、つまり、パケット識別装置１００の記憶部１２０に格納される検索対象データは、数万（１０Ｋ）から数十万（１００Ｋ）のルールエントリになることが想定される。

【0034】

例えば、パケット識別装置１００として動作するミドルボックスは、受信するトラフィックのパケットひとつひとつに対して、数万程度のルールエントリから、マッチするエントリを探すという検索処理を実行する。受信するトラフィックは数十Ｇｂｐｓレベルを想定し、処理のパケット頻度にして数Ｍｐｐｓから数十Ｍｐｐｓとなる。本実施例に係るパケット識別装置１００はこのような高速な処理を行うことが可能である。

【0035】

本実施例では、ルール群を表現するビットマップ（前述したマッチルールビットマップ）として、ｆａｓｔｂｉｔを用いる。ただし、ｆａｓｔｂｉｔを用いることは必須ではない。ｆａｓｔｂｉｔを用いなくても本発明を実施することは可能である。例えば、連長（ｒｕｎ－ｌｅｎｇｔｈ）圧縮を用いる、ｆａｓｔｂｉｔ以外のビットマップを本発明に適用してもよい。

【0036】

以下の説明において、検索のキーとなる属性は、前述した例と同様に、始点ＩＰアドレス（Ｓｒｃ ＩＰ Ａｄｄｒ）、終点ＩＰアドレス（Ｄｓｔ ＩＰ Ａｄｄｒ）、プロトコル番号（Ｐｒｏｔｏ）、始点ポート番号（Ｓｒｃ Ｐｏｒｔ）、終点ポート番号（Ｄｓｔ Ｐｏｒｔ）の５－ｔｕｐｌｅであるとする。

【0037】

図４に、ｆａｓｔｂｉｔを用いる場合における、Ｓ１０２とＳ１０３の処理のイメージを示す。図４に示すとおり、Ｓ１０２において、パケット識別部１１０は、各次元の属性にマッチするルールを検索し、検索結果に対応するｆａｓｔｂｉｔを取得する。

【0038】

より具体的には、本実施例では、ルールセットから予めｆａｓｔｂｉｔを作成しておき、パケットが到着したら当該パケットから検索キーを作成し、検索キーを用いて検索対象のデータ構造を検索し、検索結果として、複数のｆａｓｔｂｉｔを取得する。

【0039】

Ｓ１０３において、パケット識別部１１０は、上記のようにして取得された複数のｆａｓｔｂｉｔに対して、次元間のｆａｓｔｂｉｔの論理積（ｌｏｇｉｃａｌ ＡＮＤ）を取って、最終的なパケットにマッチするルール集合を表すｆａｓｔｂｉｔを生成する。

【0040】

各次元の属性に基づく検索の対象となる検索対象データのデータ構造として任意のデータ構造を利用することができる。例えば、Ｓｒｃ ＩＰ Ａｄｄｒ、Ｄｓｔ ＩＰ Ａｄｄｒの２つにはＰｏｐｔｒｉｅ（特許文献１）を使い、残りの次元については、配列（Ｐｒｏｔｏ［２５６］、ｓｒｃ＿ｐｏｒｔ［６５５３６］、ｄｓｔ＿ｐｏｒｔ［６５５３６］）を使用してもよい。

【0041】

ｆａｓｔｂｉｔは、非特許文献１等に開示されているデータ圧縮技術である。本実施例では、ｆａｓｔｂｉｔを、そのデータ圧縮技術により生成されたビットマップの意味に使用する。ｆａｓｔｂｉｔや、その他の連長圧縮を適用するビットマップを総称して圧縮ビットマップと呼んでもよい。

【0042】

ｆａｓｔｂｉｔは前述したマッチルールビットマップの一例であり、ｆａｓｔｂｉｔに対する処理方法は、前述した基本動作例において説明したマッチルールビットマップに対する処理方法と基本的に同じである。ｆａｓｔｂｉｔにおいても、ｆａｓｔｂｉｔが表すビットマップの各ビットが、１つのルールに対応する。ある次元の属性をキーとした検索により、あるルールがマッチした場合、その次元に対応するｆａｓｔｂｉｔにおけるそのルールに対応するビットが１になる。マッチしない場合はそのビットは０である。次元間でｆａｓｔｂｉｔの論理積を計算することで、目的の結果を得ることができる。

【0043】

ただし、ｆａｓｔｂｉｔでは、連長圧縮を用いて無駄な部分を省略できるため、スペース効率が良く、より効率的で高速な動作が可能である。例えば、数十万ルールの集合から検索された検索結果を１つのｆａｓｔｂｉｔで表す場合において、０が連続する場合や、同じビットパターンが繰り返す場合に、ビットマップを省略できるので、数十万ビット長よりも大幅に少ないビット長で検索結果を表現することができる。

【0044】

＜ｆａｓｔｂｉｔの内部構造例＞
図５に、ｆａｓｔｂｉｔの内部構造例を示す。図５に示すように、ｆａｓｔｂｉｔは、１以上のセグメント（ｓｅｇｍｅｎｔ）の配列である。

【0045】

各セグメントは、ビットマップ（ｂｉｔｍａｐ）、オフセット（ｏｆｆｓｅｔ）、リピート長（ｒｅｐｅａｔ＿ｌｅｎ）を有する。ビットマップの各ビットは１つのルールに対応する。ビットマップのサイズは特定のサイズに限定されないが、例えば、６４ビットである。ビットマップのサイズとして、６４ビットの他、１２８ビット（ｇｃｃ拡張）、２５６ビット（ＡＶＸ－２）、５１２ビット（ＡＶＸ－５１２）等、ＡＮＤ命令を実行できるレジスタのサイズの単位のサイズを採用してもよい。図５には、一例として、３２ビット長のビットマップが示されている。

【0046】

オフセットは、そのセグメントにおけるビットマップが、何個のビットマップの後のビットマップであるかを示す値である。リピート長は、そのセグメントのビットマップと同じパターンが何個連続するかを示す値である。

【0047】

本実施例では、全部の値が０であるビットマップはスキップできる。つまり、ビットマップの全体が０の場合は、連長圧縮によりセグメントごと省略できる。ビットマップが０ｘｆｆｆｆｆｆｆｆ（全ルールが該当）等の特定のパターンを含み、それが連続する場合には、ｒｅｐｅａｔ＿ｌｅｎにより、連長圧縮される。

【0048】

例えば、簡単のために、ビットマップのサイズが４、ｆａｓｔｂｉｔ＝（セグメント［０］，セグメント［１］）、各セグメントの内容が下記のとおりである場合を想定する。

【0049】

セグメント［０］：ビットマップ＝００１０、オフセット＝１、リピート長＝１
セグメント［１］：ビットマップ＝０１１０、オフセット＝３、リピート長＝２
この場合、上記のｆａｓｔｂｉｔは、「００００｜００１０｜００００｜０１１０｜０１１０」というビットマップ（圧縮なしの表現）に対応する。なお、ここでは分かり易くするために、４ビット毎に｜を入れて示している。

【0050】

図６を参照して、本実施例の「オフセット」について例を用いて説明する。図６（ａ）、（ｂ）はいずれも、圧縮していないビット列全体（＝ルール集合全体）のイメージを示している。また、ビット列全体が、所定サイズの複数のビットマップ（図６の例では７個）からなることが示されている。

【0051】

図６（ａ）において、ビットマップＡに着目した場合、ビットマップＡのオフセットは２である。また、図６（ｂ）において、ビットマップＡのオフセットは１であり、ビットマップＢのオフセットは２である。ここで、ビットマップＡのビット列とビットマップＢのビット列が同じであるとすれば、ビットマップＡとビットマップＢを一つのセグメントで表すことができる。この場合、図６（ｂ）のビットマップＡとビットマップＢを表現するセグメントにおいては、オフセット＝１、リピート長＝２となり、「オフセット＝２」は登場しないが、このような場合でも、本実施例では、あるビットマップの「オフセット」を、そのビットマップが、何個のビットマップの後にあるかを示すものとして使用する。

【0052】

ｆａｓｔｂｉｔにおける（ビットマップサイズ、オフセット、ビットマップ内のビット位置）と、ルールＩＤとの間には下記の関係がある。つまり、下記の関係式により、ｆａｓｔｂｉｔのビットマップにおける値が１のビットから、マッチしたルールのルールＩＤを特定できる。ビット位置とは、ビットマップの中の何番目のビットかを示す値であり、ビットマップの最初のビット位置の値は０である。また、リピート長が１よりも大きい場合には、そのリピート長を適用した後のビット位置となる。

【0053】

ルールＩＤ＝ビットマップサイズ×オフセット＋ビット位置
例えば、上述したビットマップサイズが４である場合の例において、セグメント［１］のビットマップにおける０番目のビットに対応するルールＩＤは、４×３＋０＝１２となる。

【0054】

上述したように、ｆａｓｔｂｉｔにおいて、ルールにマッチしなかったルール集合（０のビット列）は、ビットマップのサイズの単位で省略できる。つまり、最後に該当するルールに対応するビットが存在するセグメントが最後のセグメントとなり、それ以降のセグメントを記述する必要はない。また、途中の非該当ルール集合も、省略（欠落）することができる。

【0055】

例えば、全部で１００万のルールセットにおいて、ルールＩＤ＝１０２４のルールだけがマッチしたことを表すｆａｓｔｂｉｔは、１０２４ｂｉｔ目を含むセグメント１つだけを含む構成要素１の配列となる。

【0056】

このケースにおいて、ビットマップサイズが６４である場合、検索結果を示すｆａｓｔｂｉｔは、オフセットが１６となるセグメントを１つだけ含み、そのセグメントのビットマップの最初のビット（０－ｔｈ ｂｉｔ）が１となる。つまり、６４×１６＝１０２４なので、該当セグメントの最初のビットがルールＩＤ＝１０２４のルールに該当する。

【0057】

＜次元間の論理積の計算について＞
あるルールに対応する複数次元間の複数ビットのうち、１つでも０があれば結果は０になる。従って、複数次元間のｆａｓｔｂｉｔのうち、ビットマップの値の全部が０になるセグメント（つまり省略されるセグメント）が存在する位置のビットマップについては論理積の演算を省略（スキップ）してよい。

【0058】

このことを、図７を参照して説明する。図７に示す例は、第１次元～第３次元の３つの次元を有する例である。また、説明のために、各次元において、圧縮していないビット列全体（＝ルール集合全体）のイメージを示している。また、ビット列全体が、所定サイズの複数のビットマップからなることが示されている。図７の３つのビット列において、縦方向に同じ位置にあるビットマップは、同じルールＩＤ集合に対応するビットマップである。

【0059】

また、図７には、各ビットマップのオフセットが示されている。例えば、第１次元のセグメント０のビットマップのオフセットは１であり、第２次元のセグメント０のビットマップのオフセットは１００００である。

【0060】

図７の例では、斜線が付けられているビットマップには、値が１のビットが含まれている。空白のビットマップは値が全部０である。値が全部０のビットマップはセグメントとしては省略されるので、第１次元のｆａｓｔｂｉｔは、セグメント［０］とセグメント［１］からなり、セグメント［０］＝（ビットマップ，オフセット＝１，リピート長＝１）、セグメント［１］＝（ビットマップ，オフセット＝１０００４，リピート長＝１）である。

【0061】

第２次元、第３次元でも同様であり、第２次元のｆａｓｔｂｉｔはセグメント［０］～［１］からなり、第３次元のｆａｓｔｂｉｔもセグメント［０］～［１］からなる。

【0062】

論理積の計算において、オフセット０～オフセット１０００３の位置のビットマップに関しては、いずれかの次元において、全部の値が０のビットマップが存在するので、パケット識別部１１０は、オフセット０～オフセット１０００３のビットマップに関して、次元間のビットマップ間の論理積の計算をスキップする（計算を行わない）。

【0063】

従って、パケット識別部１１０は、最初に、第１次元～第３次元のセグメント［１］のビットマップ間で論理積を計算する。次も同様にして、オフセットが同一となる第１次元～第３次元のセグメントのビットマップ間で論理積を計算する。

【0064】

図８は、上記のような処理をフローチャートで示した図である。パケット識別部１１０は、図８のフローチャートの手順で、論理積の計算を行う。

【0065】

パケット識別部１１０は、各次元において、Ｓ２０１において、全次元間でオフセットが同一のビットマップを有するセグメントの検出を行う。本例では、昇順の方向で処理を行なっているが、これは一例である。降順でも、順不同でも、オフセットが同一のセグメントが検出できればどのような順番の処理でも構わない。

【0066】

図７の例では、最初に、全次元でオフセット＝１０００４となるビットマップを有するセグメントが検出される。具体的には、第１次元のセグメント［１］、第２次元のセグメント［１］、第３次元のセグメント［１］が該当する。

【0067】

Ｓ２０２において、パケット識別部１１０は、オフセットが同一のビットマップ間で論理積を計算する。

【0068】

処理はＳ２０１に戻り、オフセットが同一のビットマップを有する次のセグメントの検出を行う。論理積演算対象のセグメントは存在しなければ、処理を終了する。

【0069】

図９は、論理積の演算の他の例を示している。図９においても、第１次元、第２次元、及び第３次元の間における論理積の計算を示している。また、図９において、横に長いセグメントは、リピート長が大きなセグメントのイメージを示しており、セグメント間の隙間は、全部が０のビットマップが存在すること（つまり、セグメントが省略されている）ことを示している。

【0070】

図９の例では、第１次元、第２次元、及び第３次元において、セグメント［０］のオフセットが同一（例えば０）であり、パケット識別部１１０は、第１次元、第２次元、及び第３次元それぞれのセグメント［０］のビットマップ間の論理積をとる。簡単のためにビットマップサイズが８であり、第１次元、第２次元、及び第３次元のビットマップがそれぞれ、０００００１００、１００００１００、０１１００１０１、であるとすると、論理積の結果は０００００１００となる。

【0071】

図９の例では、０００００１００が、論理積演算結果のｆａｓｔｂｉｔにおけるセグメント［０］であることが示されている。

【0072】

第１～３次元でオフセットが一致したので論理積を実施したが、結果のビットマップが０であったので、計算結果のｆａｓｔｂｉｔのセグメント［１］としては記載されなかった、ということを図９では表している。パケット識別部１１０は、論理積の演算の後、前述したように論理積演算のスキップを行って、次に、次元間でオフセットが同一であるセグメントとして、第１次元のセグメント［３］、第２次元のセグメント［３］、及び第３次元のセグメント［３］を検出し、それらのビットマップ間で論理積をとる。ビットマップサイズが８であり、第１次元、第２次元、及び第３次元のビットマップがそれぞれ、００１００００１、１１１０００００、００１０１１００、であるとすると、論理積の結果は００１０００００となる。

【0073】

図９の例では、００１０００００が、論理積演算結果のｆａｓｔｂｉｔにおけるセグメント［１］であることが示されている。

【0074】

全次元でオフセットが同一のビットマップを有するセグメントを特定する処理（例：図７における、第１次元のセグメント１、第１次元のセグメント１、第３次元のセグメント１を特定）に関しては、例えば、オフセット０から順番に、各次元でセグメント有無のチェックを行うことにより実行してもよいし、予めテーブル（ジャンプテーブルと呼ぶ）を計算し、そのジャンプテーブルを参照することで実行してもよい。

【0075】

ジャンプテーブルに関して、図７を例にとって説明する。パケット識別部１１０は、各ｆａｓｔｂｉｔについて、独立に、オフセットの値が与えられたときに、次に対象とすべきセグメントの値（つまり、少なくとも１つの１があるビットマップのセグメント）を事前に計算する。例えば、図７の第１次元のｆａｓｔｂｉｔについて、オフセット２を調査するのであれば、オフセット２～１０００３は該当しないので（つまり、全部が０のビットマップに該当するため）、セグメント［１］（オフセット１０００４）までスキップできることを、事前に計算できる。このように使える事前計算の結果を保持するのがジャンプテーブルである。

【0076】

例えば、図７の例において、第１次元のｆａｓｔｂｉｔでは、オフセット０－＞セグメント［０］（オフセット１）、オフセット２、...．１０００２、１０００３－＞セグメント［１］（オフセット１０００３）という内容を持つジャンプテーブルとなる。ここで、「オフセット２、...．１０００２、１０００３－＞セグメント［１］（オフセット１０００３）」は、オフセット２、...．１０００２、１０００３のいずれを見る場合（参照する場合）でも、スキップの先がオフセット１０００４であることを意味する。例えば、最初にオフセット２を参照した場合、一気にオフセット１０００４までスキップする。

【0077】

第２次元のｆａｓｔｂｉｔでは、オフセット０、１、、、、９９９９－＞セグメント［０］（オフセット１００００）、オフセット１０００１、１０００２、１０００３－＞セグメント［１］（オフセット１０００４）という内容を持つジャンプテーブルとなり、同様にして、第３次元のｆａｓｔｂｉｔでは、オフセット１、...．．、１０００３－＞セグメント［１］（オフセット１０００４）の内容を持つジャンプテーブルとなる。

【0078】

ジャンプテーブルを用いて、論理積を取るために同一オフセットを持つセグメントを探すときの動作例を、図７を参照して説明する。

【0079】

パケット識別部１１０は、まず、各次元のカレントセグメントを各次元のセグメント［０］とし、各次元のセグメント［０］のオフセットを調べる。第１次元のオフセット＝１、第２次元のオフセット＝１００００、第３次元のオフセット＝０であるので、これらのうちの最大値が、第２次元のオフセット＝１００００であることを検知する。

【0080】

パケット識別部１１０は、オフセットを１ずつ検索することなく、最大のオフセットである１００００まで飛ぶ。第１次元のジャンプテーブルを参照することにより、オフセット１００００から次のセグメントがセグメント［１］（オフセット１０００４）であることがわかり、そこまで飛んで、第１次元のカレントセグメントをセグメント［１］とする。

【0081】

同様にして、第３次元のジャンプテーブルを参照することにより、オフセット１００００から次のセグメントがセグメント［１］（オフセット１０００４）であることがわかり、そこまで飛んで、第３次元のカレントセグメントをセグメント［１］とする。

【0082】

現在の第１～第３次元のカレントセグメントは、第１次元＝セグメント［１］、第２次元＝セグメント［０］、第３次元＝セグメント［１］である。これらのセグメントのオフセットは同一ではないので、上記と同様に処理を進め、次の第１次元～第３次元のカレントセグメントは、第１次元＝セグメント［１］、第２次元＝セグメント［１］、第３次元＝セグメント［１］となる。これらのオフセットは同一（１０００４）なので、論理積演算を実行する。

【0083】

その後、第１次元＝セグメント［２］、第２次元＝セグメント［２］、第３次元＝セグメント［２］をカレントセグメントとして、上記と同様の処理が進められる。

【0084】

＜計算量について＞
本実施例において、パケット識別部１１０は、次元毎の検索処理と、次元間の検索結果の論理積演算を行うが、次元間の検索結果の論理積演算が最も重い（時間のかかる）処理となる。

【0085】

すなわち、次元毎の検索の計算量は、Ｏ（ｌｏｇ Ｎ）（木の場合）もしくはＯ（１）（配列の場合）であるが、論理積演算の計算量については、Ｎ（数十万ルールセット）の中で、マッチするルール数がＭであるとすると、Ｏ（Ｍ）となる。ルール数が増えればマッチするルール数も増えていく（一定の割合でルールはマッチする、つまりＮ＝ｃ＊Ｍ）とすると、論理積演算の計算量はＯ（Ｎ）となる。本実施例では、この大きい計算量の処理を、できるだけ最適化して高速化することが可能である。

【0086】

（ハードウェア構成例）
パケット識別装置１００は、専用のハードウェアで実現してもよいし、汎用のコンピュータとソフトウェアで実現してもよい。汎用のコンピュータを使用する場合において、パケット識別装置１００は、コンピュータに内蔵されるＣＰＵやメモリ等のハードウェア資源を用いて、パケット識別装置１００で実施される処理に対応するプログラムを実行することによって実現することが可能である。

【0087】

上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

【0088】

図１０は、上記コンピュータのハードウェア構成例を示す図である。図１０のコンピュータは、それぞれバスＢで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。なお、これらのうち、一部の装置を備えないこととしてもよい。例えば、表示を行わない装置は、表示装置１００６を備えなくてもよい。

【0089】

当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

【0090】

メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、パケット識別装置１００に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。

【0091】

（実施の形態の効果）
本実施の形態に係るパケット識別装置１００では、ルールＩＤを１ビットとして扱うビットマップに対する論理演算を行うというシンプルなアルゴリズムでパケット識別を実現しているので、高速であり、ネットワークにおける様々な場所で容易に実装することが可能である。

【0092】

また、本実施の形態に係るパケット識別装置１００により、ＣＰＵレジスタ長等の基盤アーキテクチャの性能改善を比較的容易に実現できる。また、シンプルなアルゴリズムを用いるので、拡張性、最適可能性が高く、ルールの検索結果をビットマップで表現できればよいので、複雑なポリシーをシンプルに実現できる（例えば、７－９等、２の冪乗のバウンダリにそぐわない範囲のルール等も容易に実現できる）。また、検索の次元を増やすことも容易に実現可能である。

【0093】

（実施の形態のまとめ）
本明細書には、少なくとも下記各項のパケット識別装置、パケット処理装置、パケット識別方法、及びプログラムが開示されている。
（第１項）
パケットを入力する入力部と、
前記パケットの複数の属性のそれぞれについて、検索対象データを検索し、属性にマッチしたルール集合を表すマッチルールビットマップを取得し、前記複数の属性のマッチルールビットマップ間で論理演算を行うことにより、前記パケットに適用するルール集合を決定するパケット識別部と、
前記ルール集合を出力する出力部と
を備えるパケット識別装置。
（第２項）
前記マッチルールビットマップの各ビットが、１つのルールＩＤに対応する
第１項に記載のパケット識別装置。
（第３項）
前記マッチルールビットマップは、１つのビットも属性にマッチしない所定サイズのビットマップであるアンマッチビットマップを省略する連長圧縮を適用した圧縮ビットマップである
第１項又は第２項に記載のパケット識別装置。
（第４項）
前記論理演算は論理積演算であり、前記パケット識別部は、前記複数の属性の圧縮ビットマップ間で、少なくとも１つの属性に前記アンマッチビットマップが存在する場合に、当該アンマッチビットマップのビット位置における論理積演算をスキップする
第３項に記載のパケット識別装置。
（第５項）
前記パケット識別部は、各オフセットに該当する次セグメントの位置を記載したジャンプテーブルを参照することにより、前記スキップを行う
第４項に記載のパケット識別装置。
（第６項）
第１項ないし第５項のうちいずれか１項に記載のパケット識別装置を備えるパケット処理装置。
（第７項）
パケット識別装置が実行するパケット識別方法であって、
パケットを入力する入力ステップと、
前記パケットの複数の属性のそれぞれについて、検索対象データを検索し、属性にマッチしたルール集合を表すマッチルールビットマップを取得し、前記複数の属性のマッチルールビットマップ間で論理演算を行うことにより、前記パケットに適用するルール集合を決定するパケット識別ステップと、
前記ルール集合を出力する出力ステップと
を備えるパケット識別方法。
（第８項）
コンピュータを、第１項ないし第５項のうちいずれか１項に記載のパケット識別装置における各部として機能させるためのプログラム。

【0094】

以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

【符号の説明】

【0095】

１００ パケット識別装置
１１０ パケット識別部
１２０ 記憶部
１３０ 入力部
１４０ 出力部。
２００ パケット処理装置
２１０ パケット処理部
２２０ ルール決定部
１０００ ドライブ装置
１００１ 記録媒体
１００２ 補助記憶装置
１００３ メモリ装置
１００４ ＣＰＵ
１００５ インタフェース装置
１００６ 表示装置
１００７ 入力装置
１００８ 出力装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】