[发明专利]基于FPGA+NPU的高速正则表达式匹配混合系统及方法

说明书

本发明提出了一种基于FPGA+NPU的高速正则表达式匹配混合系统及方法，该系统主要由现场可编程门阵列FPGA芯片和多核网络处理器NPU组成。在FPGA上实现多个并行的硬件匹配引擎，在NPU上实例化多个软件匹配引擎，硬件引擎和软件引擎以流水的方式工作。同时，利用FPGA片上高速的RAM和片外DDR3 SDRAM存储器构建两级存储架构。第二步、编译正则表达式规则集、生成混合自动机。第三步、对混合自动机的状态表项进行配置。第四步、网络报文处理。该发明大大提升复杂规则集条件下的匹配性能，解决在复杂规则集下性能低的问题。

技术领域

本发明主要支持高速网络中的深度报文检测技术，主要应用于入侵检测系统、协议识别系统中。

背景技术

名词解释

FPGA:(英语：Field Programmable Gate Array，缩写为FPGA)，现场可编程门阵列。

NPU:(英语：Network Processing Unit，缩写为NPU)，是一种专门应用于网络应用数据包的处理器。

FSM：(英语：finite state automata，缩写为FSM)，有限状态自动机。

DFA：(英语：deterministic finite automata，缩写为DFA)，确定性有限自动机

NFA：(英语：nondeterministic finite automata，缩写为NFA)，非确定性有限自动机。

Hybrid-FA：(英语：hybrid finite automata，缩写为Hybrid-FA)，混合自动机。

GPU：(英语：graphics processing unit，缩写为GPU)，图形处理器。

TCAM：(ternary content addressable memory，缩写为TCAM)，一种三态内容寻址存储器。

SDRAM:(Synchronous Dynamic Random Access Memory，缩写为SDRAM)，同步动态随机存储器。

DDR3SDRAM：(Double-Data-Rate Three Synchronous Dynamic Random AccessMemory，缩写为DDR3SDRAM)，第三代双倍数据率同步动态随机存取存储器，是一种电脑存储器规格。RAM：(random access memory，缩写为RAM)，随机存取存储器。

当前的网络应用越来越依赖于对报文负载部分的处理。这些应用从报文负载中识别出相关特征，并用这些特征进行负载均衡、应用层协议识别、流量计费、网络入侵检测等。深度报文检测是特征识别的核心技术。预先给定一个特征(规则)集，深度报文检测用该规则集对报文负载部分逐字节地进行匹配，结束时返回匹配结果，即报文负载匹配上哪个或哪些规则。

在早期的时候，精确的字符串被广泛地用于深度报文检测中的特征描述。传统的算法如AC算法、WM算法及SBOM算法是经典的高效字符串匹配算法。然而随着特征越来越复杂，精确字符串已经无法有效地对特征进行描述。正则表达式以其强大而灵活的特征描述能力，已经广泛地应用于网络应用及设备中。例如，知名的开源入侵检测系统Snort、Bro及应用层协议识别系统L7-filter均已采用正则表达式来描述它们的规则集。在工业上，网络安全设备如思科安全系统、Cavium的匹配引擎、IBM PowerEN processor上的硬件加速器均支持正则表达式。