[发明专利]一种基于二元决策图的防火墙差异性计算方法

权利要求书

1.一种基于二元决策图的防火墙差异性计算方法，其特征在于，包括了以下步骤：

步骤1：将两个防火墙转换成两个二元决策图；

步骤2：计算两个二元决策图的差异性；

步骤3：由两个二元决策图生成二进制格式规则；

步骤4：将二进制格式规则转换为人类可读的规则；

步骤1中，将防火墙转换成二元决策图的方法如下：

步骤1-1，将原始防火墙规则转换成二进制格式：将防火墙规则转换成一个或一个以上二进制格式规则，同时记录映射关系，即：一个防火墙规则映射为一个或者一个以上二进制格式规则；

步骤1-2，转换成二元决策图：将步骤1-1得到的每个二进制格式规则转换成一个二元决策图；

步骤1-3，对于得到的二元决策图，向上冗余去除，在向上冗余去除的同时侦测冗余的二进制格式规则；

步骤1-4，向下冗余去除，在向下冗余去除的同时侦测冗余的二进制格式规则；

步骤1-5，计算原始的冗余：利用步骤1-4得到的冗余二进制格式规则和步骤1-1记录的映射关系计算原始的防火墙冗余；

步骤1-6，对两个防火墙分别执行步骤1-1～步骤1-5，得到两个二元决策图。

2.如权利要求1所述的方法，其特征在于，步骤1-1包括以下步骤：

步骤1-1-1，针对每个防火墙规则，选择5个字段：源IP地址，目的IP地址，源端口号，目的端口号和协议类型，对应的数据包长度分别为32,32,16,16,8，单位为比特，同时加上额外1比特，代表防火墙的决定，则每个二进制规则的长度是105比特；

步骤1-1-2，记录映射关系，即：一个防火墙规则映射为一个或者一个以上二进制格式规则。

3.如权利要求2所述的方法，其特征在于，步骤1-3包括以下步骤：

步骤1-3-1，输入每个二进制格式规则相对应的二元决策图集b[1…n]，b[n]表示第n个二进制格式规则相对应的二元决策图，令CuddBddOr表示合并两个二元决策图，CuddBddLeq用于检测一个二元决策图是否被另一个二元决策图所暗含，CuddBddAnd用于计算两个二元决策图的交集，CuddNot用于计算一个二元决策图的补集；

步骤1-3-2，第i个冗余标签记为redunbant[i]，初始设置redunbant[i]＝false，建立一个空的二元决策图b_all，并令下标i＝0；

步骤1-3-3，将i更新为i＝i+1，如果二元决策图b[i]被二元决策图b_all所包含，设置冗余标签为真，即redunbant[i]＝true；否则设置冗余标签为假，即redunbant[i]＝false，冗余标签为二元决策图b[i]和二元决策图b_all的补集的交集，即：

resolving[i]＝CuddBddAnd(b[i],CuddNot(b_all))，CuddNot(b_all)表示二元决策图b_all的补集，CuddBddAnd(b[i],CuddNot(b_all))表示二元决策图b[i]和二元决策图b_all的补集的交集；

令二元决策图b_all为二元决策图b[i]和b_all的并集，即：b_all＝CuddBddOr(b[i],b_all)，CuddBddOr(b[i],b_all)表示二元决策图b[i]和二元决策图b_all的并集；

步骤1-3-4，重复步骤1-3-3，共计n次；

步骤1-3-5，输出冗余标签序列redunbant[1…n]和规则解析集resolving[1…n]，redunbant[n]表示第n个冗余标签，resolving[n]表示第n个规则解析。