[发明专利]深度报文检测设备和方法

权利要求书

1.一种深度报文检测设备，其特征在于：该深度报文检测设备包括数 据输入接口控制及缓存区、报文检测处理模块及数据输出接口，其中数据输 入接口控制及缓存区用于从网络处理器接收数据，并将数据缓存在内部缓存 区中；该报文检测处理模块用于根据网络处理器发送的待检测报文数据进行 检测并记录检测结果；数据输出接口用于读取报文和检测结果，并发送给网 络处理器；

其中所述该报文检测处理模块包括存储器、报文检测子模块、结果组织 子模块、用于缓存控制信息的控制信息缓存区和用于缓存报文数据的数据缓 存区，其中，

存储器用于存储深度报文检测设备待检测的全部关键字和控制信息；

报文检测子模块用于根据数据输入接口控制及缓存区接收的数据和现 场可编程门阵列外挂存储器的存储信息进行报文检测并向结果组织子模块 发送检测结果；

结果组织子模块用于将报文检测子模块的检测结果按控制信息缓存区 所要求的格式组织，并在检测过程结束后将这些检测结果写入控制信息缓存 区，及在报文检测过程中，将已经检测过的报文数据写入数据缓存区。

2.如权利要求1所述的设备，其特征在于：上述存储器存储的控制信 息包括关键字有效标志、需要进一步查找的标志、进一步查找的关键字组标 识及关键字标识，该存储器还用于将关键字拆分成分区能够支持的长度，分 别存放在不同的分区，并将这些分区组成一个链表，关键字的前部置两个标 志，所述两个标志为进一步查找标志和当前关键字是某个长度超过分区能够 支持最大长度的关键字的一部分的标志。

3.如权利要求2所述的设备，其特征在于：上述报文检测子模块用于 根据网络处理器发送的报文进行疑似匹配；根据疑似匹配的结果选取报文中 相应的数据，并用选取的数据和组标识做哈希运算产生存储器中关键字的地 址，读取其中的内容进行精确匹配，返回检测结果；在检测到当前待检测关 键字时根据是否进一步检测的配置及下一个关键字信息继续进行检测，直到 无法检测到某关键字或检测到所有关键字，返回检测结束标志。

4.如权利要求1所述的设备，其特征在于：检测到所有关键字时，上 述结果组织子模块写入控制信息缓存区的深度报文检测设备返回的检测结 果包括关键字检测的次数、检测成功标志、最后一个关键字的信息及检测到 的每个关键字的信息，其中最后一个关键字的信息包括该最后一个关键字的 组标识、字标识及其在报文中的位置，每个关键字的信息包括所有关键字的 组标识、字标识及其在报文中的位置；只检测到部分关键字时，深度报文检 测设备返回的检测结果包括检测的次数及检测到的各个关键字的信息，其中 各个关键字的信息包括检测到的各个关键字的组标识、字标识及其在报文中 的位置。

5.如权利要求1至4中任一项所述的设备，其特征在于：该深度报文 检测设备采用现场可编程门阵列和外挂存储器实现。

6.一种采用权利要求1所述的深度报文检测设备进行深度报文检测的 方法，其特征在于，该方法包括以下步骤：

(a)由网络处理器向深度报文检测设备发送待检测报文数据；

(b)深度报文检测设备根据网络处理器发送的待检测报文数据进行检 测；

(c)深度报文检测设备返回检测结果给网络处理器。

7.如权利要求6所述的方法，其特征在于，步骤(a)中网络处理器发送 的待检测报文数据包括待检测报文及网络处理器附加的控制信息，该控制信 息包括当前待检测关键字组标识，步骤(b)中深度报文检测设备根据网络处 理器发送的待检测报文数据进行检测时，进一步包括：

(b1)提取当前待检测的关键字组标识；

(b2)进行疑似匹配扫描，若发现疑似匹配，则提取关键字进行精确匹配；

(b3)若精确匹配，则根据是否进一步检测的配置及下一个关键字信息判 断是否进一步检测；

(b4)如需要进一步检测，则用下一个待检测关键字组标识代替当前的关 键字组标识，重复步骤(b2)至(b3)；否则结束检测。