[发明专利]模式检测的相关改进

说明书

本发明涉及模式检测。

在许多应用中期望有检测信息中的模式的能力。这些应用包括串匹 配，在串匹配中，选择特定的模式或串并在信息中搜索匹配的模式或串。 这在许多领域都有应用，例如文件检索、记录检索、安全性(例如，可在 数据或语音消息搜索包括特殊的词或词序列的模式的情况)。其他使用模 式检测的应用包括生物学的应用，比如DNA测序，以及电信业中的各种 应用，比如正则表达式处理、IP包分类和深度包检查(deep packet inspection)。在后一应用中，可在包中检查是否存在例如在恶意内容比如 病毒或蠕虫中发现的模式。

模式检测应用得如此广泛，以至于一直在寻求检测的改进，例如检测 的速度的改进。

根据本发明的第一方面，提供了一种在多个数据块中检测模式的方 法，包括

生成包括一组被选模式中的模式的第一子集的第一数据库，

生成包括所述一组被选模式中的剩余模式的第二子集的第二数据库，

接收所述多个数据块，且对每个数据块，

使用数据块和Hash函数(散列函数)来生成关键码(key)，

使用所述关键码来搜索所述第一数据库，

定位第一数据库的相应于所述关键码的登记项(entry)，

读取包括零或生成所述关键码的被选模式的登记项的内容，

如果所述登记项的内容包括零，则确定所述数据块不包括被选模式， 并输出指示所述数据块不包括被选模式的第一输出，或者

如果所述登记项的内容包括被选模式，则确定所述数据块包括所述被 选模式，并输出指示所述数据块包括所述被选模式的第一输出，或者

确定所述数据块不包括所述被选模式，并输出指示所述数据块不包括 所述被选模式的第一输出，以及

使用内容可寻址存储器(CAM)比较所述数据块与所述第二数据库，

确定所述数据块匹配所述第二数据库中的被选模式，并输出指示所述 数据块包括所述被选模式的第二输出，或者

确定所述数据块不匹配所述第二数据库中的被选模式，并输出指示所 述数据块不包括被选模式的第二输出，

组合所述第一输出和所述第二输出，且如果任一输出指示所述数据块 包括被选模式，则输出指示所述数据块包括所述被选模式的标志(flag)。

生成包括一组被选模式中的模式的第一子集的第一数据库，可包括确 定每个可能的数据块，使用每个可能的数据块和Hash函数来生成多个关 键码，比较生成关键码的数据块或每个数据块与所述一组被选模式，且如 果所述数据块或每个数据块不包括被选模式，则生成所述第一数据库的包 括所述关键码和零的登记项，或者如果数据块或任何的数据块包括被选模 式，则生成所述第一数据库的包括关键码、包括被选模式的数据块或数据 块中的一个数据块、以及数据块的标识符(ID)的登记项。

生成包括所述一组被选模式中的剩余模式的第二子集的第二数据库， 可包括生成第二数据库的登记项，其包括包含没有存储在第一数据库的登 记项中的被选模式的每一个数据块。

生成关键码可包括生成相对于数据块被压缩的关键码。生成压缩的关 键码导致对内存的要求降低。

确定数据块包括或不包括被选模式的步骤，可包括比较所述数据块与 所述被选模式，以确定它们之间的匹配是否出现。

组合第一输出和第二输出可包括复用输出。

本方法可用于检测在数据块的任何位置开始的模式。本方法可用于检 测具有不同长度的被选模式。

根据本发明的第二方面，提供了一种用于在多个数据块中检测模式的 模式检测电路，包括

多个Hash模块(散列模块)，每个Hash模块都包括包含一组被选模 式中的模式的第一子集的第一数据库，其中每个Hash模块接收多个数据 块，且对每个数据块，

使用数据块和Hash函数来生成关键码，

使用所述关键码来搜索第一数据库，

定位第一数据库的相应于所述关键码的登记项，

读取所述登记项的内容，其包括零或生成所述关键码的被选模式，

如果登记项的内容包括零，则确定数据块不包括被选模式，并输出指 示数据块不包括被选模式的第一输出，或者

如果登记项的内容包括被选模式，则确定数据块包括被选模式，并输 出指示数据块包括被选模式的第一输出，或者