JP2003524317A - ネットワークにおけるトラフィックを監視する方法および装置 - Google Patents

ネットワークにおけるトラフィックを監視する方法および装置

Info

Publication number
JP2003524317A
JP2003524317A JP2001507214A JP2001507214A JP2003524317A JP 2003524317 A JP2003524317 A JP 2003524317A JP 2001507214 A JP2001507214 A JP 2001507214A JP 2001507214 A JP2001507214 A JP 2001507214A JP 2003524317 A JP2003524317 A JP 2003524317A
Authority
JP
Japan
Prior art keywords
packet
flow
state
protocol
monitor
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2001507214A
Other languages
English (en)
Other versions
JP2003524317A5 (ja
Inventor
エス ダイエッツ，ラッセル
アール メイックスナー，ジーョゼフ
エイ コッペンヘイヴァー，アンドルー
エイチ ベアーズ，ウィリアム
エイ サーキシアン，ヘイグ
エフ トージャソン，ジェイムズ
Original Assignee
アプティテュード アクウィジション コーポレイション
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Family has litigation
First worldwide family litigation filed litigation Critical https://patents.darts-ip.com/?family=22497736&utm_source=google_patent&utm_medium=platform_link&utm_campaign=public_patent_search&patent=JP2003524317(A) "Global patent litigation dataset” by Darts-ip is licensed under a Creative Commons Attribution 4.0 International License.
Application filed by アプティテュード アクウィジション コーポレイション filed Critical アプティテュード アクウィジション コーポレイション
Publication of JP2003524317A publication Critical patent/JP2003524317A/ja
Publication of JP2003524317A5 publication Critical patent/JP2003524317A5/ja
Pending legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F16/00—Information retrieval; Database structures therefor; File system structures therefor
    • G06F16/90—Details of database functions independent of the retrieved data types
    • G06F16/903—Querying
    • G06F16/90335—Query processing
    • G06F16/90344—Query processing by using string matching techniques
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/02—Capturing of monitoring data
    • H04L43/026—Capturing of monitoring data using flow identification
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/18—Protocol analysers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L45/00—Routing or path finding of packets in data switching networks
    • H04L45/74—Address processing for routing
    • H04L45/745—Address table lookup; Address filtering
    • H04L45/7453—Address table lookup; Address filtering using hashing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/10—Flow control; Congestion control
    • H04L47/24—Traffic characterised by specific attributes, e.g. priority or QoS
    • H04L47/2441—Traffic characterised by specific attributes, e.g. priority or QoS relying on flow classification, e.g. using integrated services [IntServ]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/20—Support for services
    • H04L49/205—Quality of Service based
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/30—Peripheral units, e.g. input or output ports
    • H04L49/3009—Header conversion, routing tables or routing tags
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H04L69/161—Implementation details of TCP/IP or UDP/IP stack architecture; Specification of modified or new header fields
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/40—Network security protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/50—Network service management, e.g. ensuring proper service fulfilment according to agreements
    • H04L41/5003—Managing SLA; Interaction between SLA and QoS
    • H04L41/5009—Determining service level performance parameters or violations of service level contracts, e.g. violations of agreed response time or mean time between failures [MTBF]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/06—Generation of reports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0805—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability
    • H04L43/0817—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters by checking availability by checking functioning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0823—Errors, e.g. transmission errors
    • H04L43/0847—Transmission error
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0852—Delays
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/08—Monitoring or testing based on specific metrics, e.g. QoS, energy consumption or environmental parameters
    • H04L43/0852—Delays
    • H04L43/087—Jitter
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/10—Active monitoring, e.g. heartbeat, ping or trace-route
    • H04L43/106—Active monitoring, e.g. heartbeat, ping or trace-route using time related information in packets, e.g. by adding timestamps
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L43/00—Arrangements for monitoring or testing data switching networks
    • H04L43/12—Network monitoring probes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/10—Packet switching elements characterised by the switching fabric construction
    • H04L49/101—Packet switching elements characterised by the switching fabric construction using crossbar or matrix
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/20—Support for services
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/25—Routing or path finding in a switch fabric
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/30—Peripheral units, e.g. input or output ports
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L49/00—Packet switching elements
    • H04L49/35—Switches specially adapted for specific applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/18—Multiprotocol handlers, e.g. single devices capable of handling multiple protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/22—Parsing or analysis of headers
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02D—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN INFORMATION AND COMMUNICATION TECHNOLOGIES [ICT], I.E. INFORMATION AND COMMUNICATION TECHNOLOGIES AIMING AT THE REDUCTION OF THEIR OWN ENERGY USE
    • Y02D30/00—Reducing energy consumption in communication networks
    • Y02D30/50—Reducing energy consumption in communication networks in wire-line communication networks, e.g. low power modes or reduced link rate

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Databases & Information Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • Computational Linguistics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Quality & Reliability (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Maintenance And Management Of Digital Transmission (AREA)
  • Traffic Control Systems (AREA)

Abstract

(57)【要約】 コンピュータ・ネットワーク上の接続点を介して通過するパケットを検査するモニタおよび方法。各パケットは１つ又はそれ以上のプロトコルに従う。この方法は、パケット捕捉装置からパケットを受信する段階と、パケットに関して１つ又はそれ以上の分解／抽出作業を実行し、パケットの選択された部分の関数より成る分解レコードを作成する段階より成る。分解／抽出作業は、パケットが従う１つ又はそれ以上のプロトコルに依存する。この方法は更に、以前に遭遇した会話フローに関するゼロ又はそれ以上のフロー・エントリより成るフロー・エントリ・データベースを探索する段階より成る。その探索は、選択されたパケット部分の少なくとも一部を利用し、パケットが既存のフローのものであるか否かを判定する。パケットが既存のフローのものである場合は、パケットを発見された既存のフローに属するものとして分類し、およびパケットが新たなフローのものである場合は、新規フロー・エントリを利用して識別される将来のパケットに関する識別情報を含むフロー・エントリ・データベース内に、新たなフローのための新規フロー・エントリを格納する。既存のフローに属するパケットに関して、本方法は、既存のフロー・エントリのフロー・エントリを更新する。更新は、１つまたはそれ以上の統計的測定値を格納する。フローの任意の段階、状態が維持され、本方法は、フローを識別する更なるプロセスに対して、識別された状態に関する状態処理を実行する。本方法は、会話フローに関するアプリケーション・プログラムが決定されるまで、接続点を介して通過する各々のおよび全パケットをリアル・タイムで検査する。

Description

【発明の詳細な説明】
【０００１】 ［発明の分野］ 本発明は、コンピュータ・ネットワークに関し、特に、データ・ネットワーク
内で通信されるパケットのリアル・タイムにおける明確化に関し、プロトコルお
よびアプリケーション・プログラムに従う分類を包含する。
【０００２】 ［関連出願の相互参照］ 本願は、本発明の譲受人であるＡＰＰＴＩＴＵＤＥ，Ｉｎｃ．に譲渡された１
９９９年６月３０日に出願された“METHOD AND APPARATUS FOR MONITORING TRAF
FIC IN A NETWORK”と題する発明者Ｄｉｅｔｚ等による米国仮特許出願番号６０
／１４１，９０３に関連する。
【０００３】 ［著作に関する記述］ 本件特許書類の明細書の部分は著作物的保護を受けるものを包含する。著作権
者は、特許商標庁の特許ファイル又は記録において行われるような特許書類また
は特許明細書に関する他人による複写再生について異議を唱えないが、他の場合
については著作権に関するいかなる権利をも留保するものとする。
【０００４】 ［本発明の背景］ ネットワーク活動監視に関する必要性が従来から切望されている。しかしなが
ら、この要請は、最近普及しているインターネットおよび他のインターネットに
よって特に切望されるようになっている−「インターネット」は複数の相互接続
されたネットワークであり、より大きな単独のネットワークを形成するものであ
る。ネットワーク上で１つ又はそれ以上のサーバからサービスを受けるクライア
ントの集合として使用されるネットワークの成長とともに、それらサービスの利
用を監視（モニタ）することおよびそれらを評価することが可能であることが一
層重要である。例えばどのサービス（すなわちアプリケーション・プログラム）
が利用されているか、誰がそれらを使用しているか、どの程度の頻度でアクセス
されているかおよびどの程度の期間であるかのようなオブジェクト情報(objecti
ve information)は、これらのネットワークの保守および継続的動作において非
常に重要である。特に、リアル・タイムでネットワーク利用に関する報告を作成
するために、選択されたユーザが遠隔的にネットワークにアクセスすることが可
能であることが重要である。同様に、リアル・タイムのネットワーク監視の要請
も存在し、これは、選択されたユーザに対して、ネットワークまたはサイトに生
じた問題を報知する警告を提供することができるものである。
【０００５】 ある従来の監視方法は、ログ・ファイルを使用する。この方法では、選択され
たネットワーク活動は、ログ・ファイルを参照することによって回顧的に分析す
ることが可能であり、それらはネットワーク・サーバまたはゲートウエイによっ
て維持される。ログ・ファイル監視は、サーバまたはゲートウエイに関する統計
値を判定するために、そのデータにアクセスし（「自身の」）その内容にアクセ
スしなければならない。しかしながらこの手法にはいくつかの問題がある。先ず
、ログ・ファイル情報はリアル・タイムの使用に役立つ地図を提供しない；第２
に、ログ・ファイル探索は完全な情報を提供しない。この方法は、多数のネット
ワーク装置およびサーバにより維持されるログに基づいており、これは、その情
報が精錬(refining)および相互作用に委ねられる必要がある。また、いくつかの
情報は、ログ・ファイル入力を形成するために、ゲートウエイ又はサーバに対し
て単純に利用可能なものではない。
【０００６】 例えばそのような場合は、NetMeeting（登録商標）(ワシントン州レッドモン
ドのマイクロソフト・コーポレーション)の会議に関する情報であり、２つのコ
ンピュータがネットワーク上で直接的に接続され、そのデータをサーバ又はゲー
トウエイから決して覗くことができないものである。
【０００７】 ログ・ファイルを形成する他の欠点は、そのプロセスが、イネーブルされるネ
ットワーク素子のデータ・ログ特性を必要とし、その装置における実質的な負荷
を与え、ネットワーク・パフォーマンスの低下を招く。さらに、ログ・ファイル
は急速に大きくなり、それらを格納する標準的な手段はなく、大量の保守を必要
とする。
【０００８】 Netflow
【０００９】
【外１】 （カリフォルニア州サンノゼのシスコ・システムズ，インコーポレーテッド），
ＲＭＯＮ２および他のネットワークは、ネットワークのリアル・タイム監視に利
用可能であるが、アプリケーション内容の可視性に欠如し、ネットワーク階層レ
ベルの情報提供が制約される。
【００１０】 パケットが分析されパターン・フィルタが適用されるパターン・マッチング・
パーサ技術(pattern-matching parser technique)も知られているが、これらも
、パケットを検査することが可能なプロトコル・スタック内の深度(deep)がどの
程度であるかについて制約を受ける。
【００１１】 いくつかの従来のパケット監視は、パケットを接続フローに分類する。用語「
接続フロー」は、単独の接続を含む総てのパケットを記述するために一般に使用
される。他方、会話フロー(conversational flow)は、例えばクライアントによ
って要求されるサーバにおけるアプリケーションの実行のような活動の結果とし
て、ある方向に交換される一連のパケットである。接続フローだけでなく、会話
フローを識別して分類することが望まれる。その理由は、ある会話フローは１以
上の接続を含み、あるものはクライアントおよびサーバの間で１以上のパケット
交換(exchange)をも含むためである。これは、ＲＰＣ，ＤＣＯＭＰおよびＳＡＰ
のようなクライアント／サーバ・プロトコルを利用する場合に特に顕著であり、
これらは、任意のサービスの利用に先立ってそのサービスの設定および定義を可
能にするものである。
【００１２】 そのような場合の例は、サービス広告プロトコル(SAP: Service Advertising
Protocol)、サービスおよびネットワークに付随するサービスのアドレスを識別
するために使用されるネットウエア（ユタ州プロボのノベル・システムズ）プロ
トコルである。当初の交換では、クライアントはＳＡＰ要求を印刷サービス用の
サーバへ送る。その後サーバは、サーバ上の印刷サービスとしての特定のアドレ
ス例えばＳＡＰ＃５を識別するＳＡＰ返答を送る。このような応答を利用して、
例えばサーバ情報として知られるルータ内のテーブルを更新することができる。
この返答を覗いたクライアントおよび（サービス情報テーブルを有するルータを
介して）そのテーブルにアクセスしたクライアントは、この特定のサーバに関し
てＳＡＰ＃５が印刷サービスであることを知る。したがって、サーバ上でデータ
を印刷するために、そのようなクライアントは印刷サービスのための要求を要せ
ず、ＳＡＰ＃５を特定して印刷すべきデータを単に送信すればよい。先の交換と
同様に、印刷すべきデータの送信は、クライアントおよびサーバ間の交換も含む
が、第２の接続を要し、したがって当初の交換とは独立である。分離した会話交
換の可能性を除去するため、第１の交換と第２のものに対する「仮想接続」(vir
tually concatenate)すなわちリンクすることが可能なネットワーク・パケット
監視が望まれる。クライアントが同じであれば、同一の会話フローの一部として
２つのパケット交換は適切に同一視される。分離したフローを導出する他のプロ
トコルは、遠隔手順呼出(RPC: Remote Procedure Call)；かつてネットワークＯ
ＬＥと呼ばれていた分散要素オブジェクト・モデル(DCOM: Distributed Compone
nt Object Model)（ワシントン州レッドモンドのマイクロソフト・コーポレーシ
ョン）；および共通オブジェクト要求ブローカ構造(CORBA: Common Object Requ
est Broker Architecture)を含む。ＲＰＣはサン・マイクロシステムズ（カリフ
ォルニア州パロアルト）によるプログラム・インターフェースであり、あるプロ
グラムが遠隔下装置内の他のプログラムを利用することを許容する。ＣＯＲＢＡ
に対するマイクロソフトのものであるＤＣＯＭは、遠隔的な呼出し手順を定め、
それ自身がソフトウエア・モジュールに包含されるオブジェクトが、ネットワー
クを通じて遠隔的に実行されることを許容する。配信されるオブジェクト間で通
信するオブジェクト管理グループからの規格であるＣＯＲＢＡは、ネットワーク
内での存否によらず、異なるプラットフォームで走る異なるプログラミング言語
で記述されたプログラム（オブジェクト）を実行する方法を提供する。
【００１３】 したがって、要請されるネットワーク監視は、重いトラフィックのネットワー
クにおける総てのユーザ・セッションを継続的に分析することを可能にするもの
である。そのような監視は、ネットワーク上の任意の点を通過する総ての情報の
（すなわち、ネットワーク内の任意の場所を通過する総てのパケットおよびパケ
ット・ストリームの）遠隔的な検出、特徴付け、分析および捕捉を妨害的でなく
可能にするものである。総てのパケットが検出され分析されるだけでなく、これ
らのパケットの各々について、ネットワーク監視はプロトコル（例えば、http,
ftp, H.323, VPN等）、プロトコルにおけるアプリケーション／利用（例えば、
音声、映像、データ、リアル・タイム・データ等）、および各アプリケーション
またはアプリケーション・コンテキスト(context)のエンド・ユーザの利用形態
（例えば、選択されたオプション、配信されたサービス、持続期間、日時、要求
されたデータ等）を判別する。また、ネットワーク監視は、ログ・ファイルのよ
うなサーバ所有情報(server resident information)を当てにするべきではない
。ネットワーク活動を客観的に測定および分析する手段は、ネットワーク管理者
またはインターネット・サービス・プロバイダ（ＩＳＰ）のようなユーザが；収
集され分析されたデータ形式を特別に仕立て上げ；リアル・タイム分析を請け負
い；およびネットワークの問題の通知を適宜受信することを許容するものである
。
【００１４】 先のＳＡＰの例を再考すると、本発明の１つの特徴は、そのサーバにおける印
刷サービスに関連付けられた第２の交換を適切に識別し、クライアントが同一で
なかった場合でさえもそのような交換が認識される。本発明の従来のネットワー
ク監視との相違は、同一の会話フローに属する分離したフローを認識する能力を
有する点である。
【００１５】 ネットワーク通信を監視する際のデータ値は、多くの発明によって認識されて
いた。Chiu, et al. は、 “APPARATUS AND METHOD FOR REAL-TIME MONITORING
OF NETWORK SESSIONS AND A LOCAL AREA NETWORK”と題する米国特許第５，１０
１，４０２号（以下、「４０２特許」という。）において、通信ネットワークに
おけるセッション段階での情報を収集する方法を開示している。４０２特許は、
特定の形式のパケットに対して固定的な位置を特定し、パケットのセッションを
識別するための情報を抽出する。例えば、ＤＥＣネット・パケットが現れる場合
、４０２特許は、パケットのセッションを識別するために、そのパケット内で６
つのフィールド（６つの場所）で調査する。他方、ＩＰパケットが現れる場合、
ＩＰパケットについて６つの異なる位置の異なる組が特定される。プロトコルが
増加するにつれて、セッションを判別するために総ての可能な監視場所を明確に
特定することは、ますます困難になる。同様に、新たなプロトコル又はアプリケ
ーションを追加することも困難である。本発明では、検査された位置および任意
のパケットから抽出された情報は、パケットの特定の形式に関するパケット内の
情報に基づいて適応的に判定される。署名(signature)の識別を形成するために
監視するものおよび監視する場所の固定的な定義付けは存在しない。本発明の監
視の実現は、例えば、かつてのイーサーネット・タイプ２（又はバージョン２）
ＤＩＸ（ディジタル・インテル・ゼロックス）パケットとは異なり、ＩＥＥＥ８
０２．３パケットを取り扱う。
【００１６】 ４０２特許は、セッション層まで認識することが可能である。本発明では、任
意の特定のプロトコルに関し、検査されるレベル数が変化する。更に、本発明は
、要求されたレベルに対して一意に特定するのに充分なレベルまで検査すること
が可能であり、（ＯＳＩモデルでは）アプリケーション・レベルへの全方法でさ
えも可能である。
【００１７】 他の従来のシステムも知られている。Ｐｈａｅｌは、 “NETWORK MONITORING
DEVICE AND SYSTEM”と題する米国特許５，４１５，５８０においてランダムに
選択されたパケットのみを処理するネットワーク活動監視を開示する。Ｎａｋａ
ｍｕｒａは、“MONITORING SYSTEM OF NETWORK”と題する米国特許４，８９１，
６３９においてネットワーク監視システムを教示する。Ｒｏｓｓ，ｅｔ ａｌ．
は、 “METHOD AND APPARATUS FOR ANALYSIS NETWORK”と題する米国特許５，２
４７，５１７においてネットワーク活動を分析および監視する方法および装置を
教示する。ＭｃＣｒｅｅｎｒｙ，ｅｔ ａｌ．は、“APPARATUS AND METHOD OF
ANALYZING INTERNET ACTIVITY”と題する米国特許５．７８７，２５２において
インターネット・プロトコル・レベル層でパケット・データをデコードするイン
ターネット活動監視を開示する。ＭｃＣｒｅｅｒｙの方法は、ＩＰパケットをデ
コードする。各パケットに関するデコード動作を通じて処理が進行し、認識前後
の両者のフローについて処理オーバーヘッドを利用する。本発明の監視の実現化
において、フロー毎に対して署名が設定され、そのフローの将来のパケットが容
易に認識されるようにする。フロー内に新たなフローが到着すると、認識処理は
最後に離脱した所から開始可能であり、新たな署名を形成してフローの新たなパ
ケットを認識する。
【００１８】 ネットワーク分析器は、多くの様々なプロトコルを解析することが可能である
。ベース・レベルにおいて、ディジタル通信で使用される多くの規格が存在し、
その規格は、イーサーネット，ＨＤＬＣ，ＩＳＤＮ，ラップＢ(Lap B)，ＡＴＭ
，Ｘ．２５，フレームリレー，ディジタル・データ・サービス，ファイバ配信デ
ータ・インターフェース(FDDI: Fiber Distributed Data Interface)，Ｔ１等を
含む。これらの規格の多くは、異なるパケットおよび／またはフレーム・フォー
マットを使用する。例えば、データがＡＴＭおよびフレーム・リレー・システム
において、５３オクテット（すなわち、バイト）の固定長パケット形式（「セル
」と呼ばれる）で送信される。いくつかのそのようなセルは、情報を形成するた
めに必要であり、その情報は、同じペイロード(payload)情報に関して他のプロ
トコルによって仕様されるパケット内、例えば、フレーム・リレー規格またはイ
ーサーネット・プロトコルを利用する会話フロー内に含まれるものである。
【００１９】 異なるパケットまたはフレーム・フォーマットを解析することの可能なネット
ワーク監視のために、その監視は、異なるプロトコルおよび関連する異なるアプ
リケーションに従う情報を搬送する各パケットに関して、プロトコル特有作業を
実行することが可能である必要がある。例えば、その監視は、異なるフォーマッ
トのパケットを、フィールドに分解し、異なるフィールドに包含されるデータを
理解可能である必要がある。可能なパケット・フォーマット又は形式数が増加す
るにつれて、これら異なるパケット・フォーマットを分解するために必要な論理
回路量も増加する。
【００２０】 従来存在したネットワーク監視は、それぞれのパケットを分解し、様々なフィ
ールドにおける情報を捜し、パケットを識別するための署名を形成するために使
用する。Ｃｈｉｕ等は、 “APPRATUS AND METHOD FOR REAL-TIME MONITORING OF
NETWORK SESSIONS AND A LOCAL AREA NETWORK.”と題する米国特許５，１０１
，４０２においてコンピュータ・ネットワークにおけるセッション・レベルでの
情報収集方法を述べている。この特許では、特定形式のパケットに関して特定さ
れた固定位置が存在する。たとえば、ＤＥＣネット・パケットが現れる場合に、
Ｃｈｉｕのシステムは、パケット内で６つの特定のフィールドにおいて（６つの
位置で）監視し、パケットのセッションを識別する。他方、ＩＰパケットが現れ
る場合は、６つの位置の異なる組が検査される。このシステムは、プロトコル層
までを最低レベルにおいてのみ監視する。次のレベルを特定した各フィールドに
関する固定位置が存在する。プロトコルが増加すると、セッションを判定するた
めの総ての可能な監視位置を明確に特定することは、一層困難になる。同様に、
新たなプロトコル又はアプリケーションを追加することも困難になる。
【００２１】 特定形式のパケットについて、任意のパケットから抽出した位置および情報を
適応的に判別することが望まれている。こうして、署名を形成するために探索対
象および探索場所のプロトコルに依存したおよびパケット内容に依存した定義を
利用して、最適な署名が決定される。
【００２２】 必要とされているネットワーク監視は、異なるプロトコル又は異なるアプリケ
ーション・プログラムについて仕立てられる又は適合されることの可能なもので
ある。また、新たなプロトコルおよび新たなアプリケーション・プログラムを収
容することが可能なネットワーク監視も必要とされる。新たなプロトコル、およ
び新たなアプリケーションを含む新しいレベルを特定する手段も望まれている。
プロトコル特有作業(protocol specific operation)を記述する機構も望まれて
おり、これは例えば、パケットに適切な情報が何であるかそしてデコードされる
必要のあるパケットを含み、特定の分解(parser)作業および抽出(extract)作業
を含む機構も望まれている。パケットで実行するための状態作業を記述する機構
も必要とされており、そのパケットはフローを更に認識するためにフロー認識の
特定の状態におけるものである。
【００２３】 夫々のパケット毎に単にカウントするのではなく、ネットワーク内の節点を通
るパケットの統計値を収集することは有利である。会話フローに関するフロー・
エントリ(flow entry)において統計的な測定を継続することによって、本願実施
例は、特定のメトリック(metric)がリアル・タイムで収集されることを可能にす
る。さもなくば不可能であろう。例えば、会話における各々の交換について、フ
ロー全体に基づく双方向の会話に関連したメトリック（計量）を維持することが
望まれる。フローの状態を維持することによって、本願実施例は、フローの状態
に関連する所定のメトリックを決定可能にする。
【００２４】 統計的メトリックを利用する従来のネットワーク・トラフィク監視の多くは、
関連する統計値の終点およびセッションの終点のみを収集する。このような従来
使用されていたメトリックの例は、パケット数、バイト数、セッション接続時間
、セッション休止時間、セッションおよび転送応答時間等を含む。これらの総て
は、単独のパケットにおける事象に直接的に関連し得る事象を取り扱う。これら
従来のシステムは、いくつかの重要なパフォーマンス・メトリックを収集するこ
とができず、そのメトリックは、フローのパケットの完全なシーケンス又はネッ
トワークにおける同一フローのいくつかの分離したシーケンスに関連するもので
ある。
【００２５】 アプリケーション・データ・パケットにおける時間基準メトリックは重要であ
る。そのようなメトリックは、総ての時間スタンプおよび関連するデータが格納
され以降の分析のための転送される場合に、決定されることが可能である。しか
しながら、高速ネットワークを通じて１秒あたり数千ないし数百万の会話に直面
する場合、それら総てを格納することはたとえ圧縮されるとしても、膨大な処理
、メモリおよびダウンロード時間の管理となり、実用的でない。
【００２６】 したがって、フロー内のパケットから蓄積された統計測定値に基づく時間基準
メトリックを維持および報告することが望まれている。
【００２７】 ネットワーク・データは、１サンプルとしてではなく母集団として適切にモデ
ル化される。したがって総てのデータが処理されることを要する。アプリケーシ
ョン・プロトコルの性質に起因して、いくつかのパケットの単なるサンプリング
は、フローに関する良好な測定値を提供しない。データがそこに伝送されるまた
はアプリケーションが走る１つの指定された付加的なポートのように、ほんの１
つの重要なパケットが失われること、有効なデータを喪失してしまう。
【００２８】 したがって、フローにおけるパケット毎に蓄積された統計的測定値に基づく時
間基準メトリックを維持および報告することが望まれている。
【００２９】 一連の事象に関するメトリックを判別することも望まれている。その適切な例
は、相対的なジッタ(relative jitter)である。ある方向における１つのパケッ
トの終点から、同一方向における同一署名を有する他のパケットまでの時間測定
は、通常のジッタに関するデータを収集する。この種のジッタ・メトリックは、
パケット・ネットワークにおける広範な信号品質を測定するには良好である。し
かし、パケットのクラスタにおいて転送されるペイロードまたはデータ項目につ
いては明確ではない。
【００３０】 パケットがシステムに参入する際の高速性に起因して、本願実施例はキャッシ
ュを利用する。キャッシュ・システムにおいてヒット率を最大化させることが望
まれる。
【００３１】 一般的な従来のキャッシュ・システムは、マイクロプロセッサへおよびそこか
らのメモリ・アクセスを促進させるために使用される。このような従来のシステ
ムにおいては、ヒット率を最大化させるように探索（ルックアップ）を予言する
様々な機構が利用可能である。例えば従来のキャッシュは、命令キャッシュ探索
およびデータ・キャッシュ探索の両者を予測するために、先取り機構(lookahead
mechanism)を利用することが可能である。このような先取り機構は、パケット
監視アプリケーション用のキャッシュ・サブシステムには利用できない。新たな
パケットがその監視に参入すると、例えば探索エンジンからの次のキャッシュ・
アクセスは、最後のキャッシュ探索のものと全体的に異なる会話フローに対する
ものであり、その次のパケットが所属するフローが何であるかを知る術がない。
【００３２】 したがって、パケット監視での使用に適したキャッシュ・サブシステムが当該
技術分野で望まれている。このようなキャッシュ・システムの１つの好ましい特
性は、キャッシュ置換が要請される場合にＬＲＵフロー・エントリを置換する最
近最も少なく利用されたもの(LRU: least recently used)を置換する方法である
。最近最も少なく利用されたフロー・エントリを置換するのが好ましいのは、最
近のパケットに続くパケットは、おそらく同一のフローに所属するであろうから
である。したがって、新しいパケットの署名は最近使用したフロー・レコード（
記録）に合致するであろう。逆に、最近最も少なく利用したフロー・エントリに
関連するパケットが近いうちに到着する可能性は高くない。
【００３３】 しばしばハッシュ(hash)を利用して探索を促進させる。そのようなハッシュは
データベース内にランダムに拡散される。この場合、連合的な(associative)キ
ャッシュが好ましい。
【００３４】 ＬＲＵ置換手法を含む連合的なキャッシュ・システムが望まれている。
【００３５】 パケット監視にとって、フローの状態を維持すること、およびフローに関連す
るアプリケーション・プログラムを判定する更なるプロセスに必要な任意の状態
処理を実行することが好ましい。したがって、アプリケーションごとにそれらを
分類するために新規および既存のフロー両者を分析する状態プロセッサが望まれ
ている。
【００３６】 状態プロセッサに求められる一般的動作の１つは、１組の既知の信号の１つの
存在に関するパケット内容を探索することである。会話フローのアプリケーショ
ン内容を識別する更なるプロセスに関して、そのような識別は有用である。例え
ば、ｈｔｔｐプロトコルに関連するパケットのユニフォーム資源ロケータ(URL:
uniform resource locator)を探索することは好ましい。プロトコル又はプロト
コルの形態を識別する特定の連なり(string)を探索する必要のある場合があり、
例えばその連なり（ストリング）は、 “port”, “get”, “post”等を含む。
これらのストリングはパケット内にあり、ストリングの種類およびストリングが
所属する場所は通常は未知である。
【００３７】 多くの一般的な処理システムでは、実行される１組の命令は汎用的な性質を有
する。総ての処理システムは、命令およびプログラム・カウンタの分析および取
り扱いに関する一般的な命令セットを有する。これらの命令は、ジャンプ(Jump)
、コール(Call)およびリターン(Return)を含む。さらに、これら同一の処理シス
テムは、レジスタおよびメモリ・ロケーションを分析および取り扱うための適切
な命令を有する。これらの命令は、インクリメント(Increment)、デクリメント(
Decrement)、移動(Move)、比較(Compare)および論理的演算(Logical manipulati
on)を含む。
【００３８】 状態プロセッサは、そのような基本的な標準命令セットを有し、そのような標
準的な命令セットを利用して、目標データ・ストリーム内の１つ又はそれ以上の
既知のストリングの探索を実行することは、極めて長時間を要し、高速のパケッ
ト到着に対応できなくなる。したがって、いくつかの特定の探索機能を実行する
ことの可能なプロセッサを有することが望ましく、その探索機能は、非常に高速
のネットワークにおけるパケットの内容およびその中のデータを評価するために
要求されるものである。
【００３９】 特に、状態プロセッサの一部とすることが可能であって、特定された参照スト
リングに対して目標データ・ストリームを高速に探索することの可能な探索装置
が望まれている。更に、そのような探索を実行する探索装置を動作させる命令を
取り扱うプログラム可能なプロセッサが望まれている。
【００４０】 ネットワーク監視においてそのようなプロセッサを利用すると、その監視が任
意のネットワーク要請に対して対応可能になる。
【００４１】 ［要約］ 様々な実施例において、本発明は以下の目的および利点の１つ又はそれ以上を
達成し得るネットワーク・モニタを提供する。
【００４２】 ・クライアントおよびサーバの間で交換する総てのパケットを認識し、各自
のクライアント／サーバ・アプリケーションに分類すること。
【００４３】 ・総てのプロトコル階層において、通信ネットワーク内の任意の地点を方向
を問わず通過する会話フローを認識および分類すること。
【００４４】 ・ネットワークを通じて交換される個々のパケットに従って、クライアント
およびサーバ間の接続およびフロー進行を判定すること。
【００４５】 ・ネットワーク資源を要求する現在の混合したクライアント／サーバ・アプ
リケーションに従って、ネットワークの実行性の調整を支援すること。
【００４６】 ・ネットワーク資源を利用して、混合したクライアント／サーバ・アプリケ
ーションに対して適切な統計値を維持すること。
【００４７】 ・クライアント／サーバ・ネットワーク会話フローに対する特定のアプリケ
ーションによって使用されるパケットの特殊なシーケンスの発生を報告すること
。
【００４８】 ・クライアントおよびサーバ間で交換されたパケットの各々を適切に分析し
、会話フローの各々の現在の状態に適切な情報を維持すること。
【００４９】 ・新たなアプリケーションがクライアント／サーバ・マーケットに参入する
ように仕立てる又は適合させることが可能な柔軟な処理システムを提供すること
。
【００５０】 ・個々のアプリケーションによって分類されるようなクライアント／サーバ
・ネットワークにおける会話フローに適切な統計値を維持すること。
【００５１】 ・特定の識別子を報告すること。その識別子は、特定のクライアント／サー
バ・ネットワーク会話フローに関して、特定のアプリケーションを利用して一連
のパケットを識別するために他のネットワーク用の装置で使用される。
【００５２】 概して本発明の実施例は従来の問題点および欠点を克服するものである。
【００５３】 以下に説明するように、一実施例は、方向を問わずネットワークの任意の地点
を通過するパケットの各々を分析し、クライアントおよびサーバ間で通信するた
めに使用する実際のアプリケーションを導出する。ネットワークを通じて実行す
るいくつかの同時に並存する重複したアプリケーションであって、独立して非同
期であるものが存在し得る。
【００５４】 本願実施例のモニタは、それらがネットワーク上で見受けられるように個々の
パケットの各々を良好に分類する。パケットの内容は分解され、選択された部分
は署名（キーとも呼ばれる）に組み立てられ、署名は、同一の会話フローの更な
るパケットを識別し、例えば更にフローを分析し、最終的にはアプリケーション
・プログラムを認識するために使用される。キーは選択された部分に関連するも
の（ファンクション）であり、好適実施例では、その関連するものは選択された
部分の結合したものである。好適実施例は、任意の会話フローの状態を形成およ
び記憶し、ネットワークを通じて個々のパケットおよび会話フロー全体の間の関
係によって決定される。この手法におけるフローの状態を記憶することによって
、本実地例は会話フローの内容を判別し、その判別には、関連するアプリケーシ
ョン・プログラムおよび時間のようなパラメータ、会話フローの長さ、データ・
レート等が含まれる。
【００５５】 モニタには柔軟性があり、クライアント／サーバ・ネットワークに関して揮発
された将来のアプリケーションに適合し得る。新しいプロトコルおよびプロトコ
ルの組み合わせは、高レベル・プロトコル記述言語で書かれたファイルをコンパ
イルすることによって組み込ませることが可能である。
【００５６】 本願実施例のモニタは、用途特定集積回路（ＡＳＩＣ）またはフィールド・プ
ログラム可能なゲート・アレイ（ＦＰＧＡ）で実現されるのが好ましい。一実施
例では、モニタは、パケットからの署名を形成する分解サブシステムを有する。
さらにモニタは、分解サブシステムからの署名を受信する分析サブシステムを有
する。
【００５７】 メディア・アクセス・コントローラ（ＭＡＣ）、または分割および再構成モジ
ュールのようなパケット捕捉装置は、モニタの分解サブシステムに対してパケッ
トを提供するために使用される。
【００５８】 ハードウエア実現手段では、分解サブシステムは２つの部分をを有し、それら
はパターン分析および認識エンジン（ＰＲＥ）および抽出エンジン（スライサ）
である。ＰＲＥは各パケットを解釈し、特に、パターン・データベースに従って
各パケットにおける個々のフィールドを解釈する。
【００５９】 異なる層に存在し得る異なるプロトコルは、リンクされたノードの１つ又はそ
れ以上のツリーのノードと考えることができる。パケット形式はそのツリーのル
ートである。各プロトコルは、親ノードまたは端末ノードの何れかである。親ノ
ードは、プロトコルを他のプロトコル（子プロトコル）に結合し（リンクし）、
より高位の階層レベルにおけるものになることが可能である。例えばイーサーネ
ット・パケット（ルート・ノード）はイーサー形式パケットであり−イーサ形式
／バージョン２およびＤＩＸ（ディジタル・インテル・ゼロックス・パケット）
−またはＩＥＥＥ８０３．２パケットである。ＩＥＥＥ８０２．３パケットと共
に継続しているものに関し、子ノードの１つがＩＰプロトコルであり、ＩＰプロ
トコルの子供の１つがＴＣＰプロトコルである。
【００６０】 パターン・データベースは、パケットの異なるヘッダおよびそれらの内容に関
する記述、およびそれらがツリー内で異なるノードにどのように関連するかに関
する記述を包含する。ＰＲＥは可能な限り遠くのツリーまで進行する。ノードが
より深いレベルへのリンクを含まない場合、パターン・マッチングが完全に宣言
される。プロトコルはいくつかのパターンの子になり得る点に留意を要する。可
能な親／子ツリーの各々に関して固有のノードが生成されるならば、そのパター
ン・データベースは極めて大きくなってしまうであろう。本願ではその代わりに
、子ノードが複数の親に関して共用され、パターン・データベースをコンパクト
にする。
【００６１】 プロトコル認識が必要とされる場合に、最終的にＰＲＥはそれ自身において使
用される。
【００６２】 認識された各プロトコルについて、スライサはパケットから重要な要素を抽出
する。これらはそのパケットに関する署名（すなわち、キー）を形成する。スラ
イサは、フローを迅速に識別するためにハッシュを生成することが好ましく、そ
のフローは既知のフローのデータベースからの署名を有する。
【００６３】 パケットのフロー署名、ハッシュおよび少なくともいくつかのペイロードは、
サブシステムを分析するために伝達される。ハードウエアの実施例において、分
析サブシステムは、分解サブシステムからのパケットの部分を受信し、処理中に
署名を格納する一体化フロー・キー・バッファ（ＵＦＫＢ）と、以前に遭遇した
会話フローに関するフロー・レコードのデータベースを探索し、署名が既存のフ
ローからのものであるか否かを判別する探索／更新エンジン（ＬＵＥ）と、状態
処理を実行する状態プロセッサ（ＳＰ）と、新たなフローをフローのデータベー
スに挿入するフロー挿入および削除エンジン（ＦＩＤＥ）と、フローのデータベ
ースを格納するメモリと、フロー・データベースを包含するメモリにアクセスす
る速度を向上させるキャッシュとを有する。ＬＵＥ，ＳＰおよびＦＩＤＥは総て
ＵＦＫＢに結合され、およびキャッシュに結合される。
【００６４】 一体化フロー・キー・バッファは、分析サブシステムにおける分析のために、
パケットのフロー署名、ハッシュ、および少なくともいくつかのペイロードを包
含する。パケット署名は、一体化フロー署名バッファに存在するが、クライアン
ト／サーバ会話フローに含まれるパケットのアプリケーション・プログラム内容
の識別性を更に明確にするために、多くの作業を実行することが可能である。分
析サブシステムの特定のハードウエア実施例において、いくつかのフローが並列
に処理され、並列に分析される総てのパケットからの複数のフロー署名は、１つ
のＵＦＫＢ内に維持される。
【００６５】 分解サブシステムからのパケットに対するパケット分析プロセスにおける第１
ステップは、既知のパケット・フロー署名の現在のデータベースにおけるものを
探索することである。探索／更新エンジン（ＬＵＥ）は、最初にハッシュを利用
し、後にフロー署名を利用してこのタスクを実行する。この探索はキャッシュ内
で実行され、キャッシュ内に一致する署名のフローがない場合は、探索エンジン
はメモリ内のフロー・データベースからフローの抽出を試行する。以前に遭遇し
たフローに関するフロー・エントリは状態情報を有し、これは状態プロセッサ内
で使用され、その状態に関して定められた任意の動作を実行し、次の状態を判別
する。一般的な状態動作（状態作業）は、ＵＦＫＢ内に格納されたパケットのペ
イロードにおける１つ又はそれ以上の既知の参照ストリングを探索することであ
る。
【００６６】 ＬＵＥによる探索処理が完了すると、このパケット・フロー署名に関して一体
化フロー署名バッファ構造内に、既存のものか新規のものかを区別するフラグが
設定される。既存のフローに関して、フロー・エントリはＬＵＥの計算要素によ
って更新され、１つまたはそれ以上のフローの統計的測定値を格納するために使
用されるフロー・エントリ・データベースにおけるカウンタに値を加算する。カ
ウンタは、フローにおけるネットワーク利用メトリックを判定するために使用さ
れる。
【００６７】 パケット・フロー署名が探索された後であって、現在のフロー署名の内容がデ
ータベース内におけるものであると、状態プロセッサはパケット・ペイロードお
の分析を開始することが可能であり、このパケットのアプリケーション・プログ
ラム要素の識別性を更に明確にする。状態プロセッサの正確な動作およびそれに
より実行される機能は、会話フローのストリームにおける現在のパケット・シー
ケンスに依存して変化し得る。状態プロセッサは、同一のフロー署名を利用して
見られる以前のパケットから格納された次の論理動作へ移行する。このパケット
において処理が必要な場合は、状態プロセッサは状態命令のデータベースからの
その状態に関する命令を実行し、それ以上処理がなくなるまで又は処理を要する
命令がなくなるまで続けられる。
【００６８】 好適実施例では、状態プロセッサ機能はプログラム可能であり、新たなアプリ
ケーション・プログラムを分析し、ならびに新たなパケットのシーケンスおよび
そのようなアプリケーションにより生じる状態を分析する。
【００６９】 特定のパケット・フロー署名に関する探索プロセスの間に、フローが、動作中
のデータベースに挿入されることを要求された場合は、フロー挿入および削除エ
ンジン（ＦＩＤＥ）が初期化される。状態プロセッサは新たなフロー署名を生成
し、フロー挿入および削除エンジンに対して、新規項目としてデータベースに新
規フローを加えることを命令することが可能である。
【００７０】 個的なハードウエア実施例では、ＬＵＥの各々、状態プロセッサおよびＦＩＤ
Ｅは他の２つのエンジンには依存しないで動作する。
【００７１】 本発明の他の特徴は、フローに関するメトリックを収集することである。説明
される状態プロセッサを利用し、状態プロセッサは特定のデータ・ペイロードを
探索することが可能であるので、説明される本願実施例のモニタは、特定のデー
タ・ペイロードに総てが関連するフローにおけるパケット群に対して、同一のジ
ッタ・メトリック(jitter metric)を収集するようプログラムされることが可能
である。このことは、本願システムが、１組のパケットに関連する特徴の形式に
対して一層適切なメトリックを提供することを可能にする。概してこれは、ネッ
トワークにおけるシステムの実行性を評価する場合に、単独のパケットに関する
メトリックよりも好ましいものである。
【００７２】 特に、モニタ・システムは、会話フローの任意の状態におけるメトリックの任
意の形式を維持するようプログラムされることが可能である。また、モニタは任
意の地点においてその状態にプログラムされた実際の統計値を有し得る。これは
、本実施例のモニタ・システムが、特定の状態またはパケットのシーケンスに関
連するメトリックだけでなく、ネットワーク利用度および実行性に関連するメト
リックを収集可能にする。
【００７３】 状態に関してのみ収集されることが可能である特定のメトリックのいくつかは
、ある方向におけるトラフィックのグループに関連する事象（イベント）、一方
又は双方向の通信シーケンスの状態に関連する事象、特定のシーケンスにおける
特定のアプリケーションに関するパケットの交換に関連する事象である。これは
、メトリックの僅かな例に過ぎず、そのメトリックは、１組のメトリックに対し
てフローの状態を関連させ得るエンジンを必要とする。
【００７４】 さらに、モニタは、会話フローにおける特定のアプリケーションに対する多く
の可視性を提供し、モニタは、アプリケーション又はサービスの形式に特殊なメ
トリックを収集するようプログラムされることが可能である。言い換えれば、フ
ローが、オラクル・データベース・サーバ(Oracle Database server)に関するも
のである場合に、本願実施例のモニタは、ある処理を完了するために必要なパケ
ット数を収集することが可能である。状態およびアプリケーション分類の両者に
関して、この種のメトリックのみがネットワークから導出され得る。
【００７５】 モニタは異なるメトリックの組を収集するようプログラムされることが可能で
あるので、システムは、多くの環境下で必要とされるメトリックのデータソース
として利用可能である。特に、メトリックを利用して、特定のアプリケーション
群に関するトラフィック・フローの特徴および実行性を監視および分析し得る。
他の実現手段では、特定のトラフィック・フローおよびトラフィック・フローに
関する事象のための課金および返金に関するメトリックを包含することが可能で
ある。更に他の実現手段では、問題解決および容量計画に有効であって関心のあ
るアプリケーションおよびサービスに直接的に関連するメトリックを提供するよ
うプログラムされることが可能である。
【００７６】 本願の更なる特徴は、パケットの各々または総てに基づいてサービス・メトリ
ックの特徴を判別することである。
【００７７】 コンピュータ・ネットワークにおける接続点を介して通過するパケットのフロ
ーを分析する方法および監視装置が開示され、サービス・メトリックのそのよう
な特徴も分析される。この方法は、パケット捕捉装置からパケットを受信し、以
前に遭遇した会話フローに関するフロー・エントリを含むフロー・エントリ・デ
ータベースを探索する。探索は、受信したパケットが既存のフローのものである
か否かを判別する。各々および総てのパケットが処理される。パケットが既存の
フローのものである場合、本方法は、既存のフローのフロー・エントリを更新し
、これにはフロー・エントリにおいて維持される１つ又はそれ以上の統計的測定
値を格納することが含まれる。パケットが新規のフローである場合は、本方法は
、フロー・エントリ・データベースにおいて新規のフローに関する新たなエント
リを格納し、これにはフロー・エントリ内に維持される１つ又はそれ以上の統計
的測定値を格納することが含まれる。統計的測定値はフローに関連するメトリッ
クを決定するために使用される。メトリックは、ベース・メトリックとすること
が可能であり、これに基づいてサービス・メトリックの特徴が判定され、あるい
はメトリックはサービス・メトリックの特徴とすることが可能である。
【００７８】 外部メモリにおける１つ又はそれ以上の要素を探索する関連キャッシュ・メモ
リも開示される。キャッシュ・システムは、外部メモリに結合される１組のキャ
ッシュ・メモリ要素と、アドレスおよびキャッシュ・メモリ要素の１つに対する
ポインタを含む１組の内容アドレス・メモリ・セル（ＣＡＭ）とを有し、入力が
ＣＡＭセルにおけるアドレスと同一である場合にＣＡＭが一致出力をアサートす
るような入力を有する一致回路を有する。特定のＣＡＭが指示するキャッシュメ
モリ要素がどれであるかは、時間と共に変化する。好適実施例では、ＣＡＭは上
部から下部への順序で接続され、下部ＣＡＭは最近最も少なく利用したキャッシ
ュ・メモリ要素を指示する。
【００７９】 コンピュータ・ネットワークにおける接続点を介して通過するパケットの内容
を処理するプロセッサも開示される。プロセッサは、パケットの内容における参
照ストリングを探索するための１つ又はそれ以上の比較器を有する探索装置を有
する。プロセッサは、その接続点を介して通過する総てのパケットの内容につい
てリアル・タイムで処理する。一実施例では、プロセッサはプログラム可能であ
って命令セットを有し、その命令セットは、パケットのある範疇における未知の
位置から開始するパケット中の特定の参照ストリングを探索することを、探索装
置に要求する命令を含む。
【００８０】 プロセッサで使用され得る探索装置の実施例も開示される。探索装置は、ター
ゲット(target)データ内における１組の開始位置の内の１つから開始するターゲ
ット・データにおいて、ＮＲユニットの参照ストリングを探索するよう形成され
る。探索装置は、参照ストリングのＮＲユニットを受信するよう形成される参照
レジスタと、ターゲット・データを受信するよう直列に結合された１つ又はそれ
以上のターゲット・データ・レジスタと、複数の比較器群とを有し、１つの比較
器群は開始位置の各々に対応する。複数の開始位置の比較器群は、参照レジスタ
の各ユニット、および特定の開始位置から始まるターゲット・データ・レジスタ
のＮＲユニットに結合され、参照レジスタの内容と、特定の開始位置から始まる
ターゲット・データ・レジスタのＮＲ個の隣接するユニットの内の対応する内容
とを比較する。各比較器群は、対応する様々な開始位置から始まるターゲット・
データにおける第１参照ストリングの一致の有無を示す。複数の比較器群の第１
のものは、任意の開始位置から始まるターゲット・データ・レジスタに第１参照
ストリングが含まれるか否かを並列に示す。
【００８１】 ［好適実施例の詳細な説明］ 本発明は、詳細な好適実施例を参照することによって一層理解されるであろう
が、特定の実施例に本発明を限定すべきではなく、それら実施例は説明目的のた
めにのみ供されている。各実施例は、添付図面と共に説明される。
【００８２】 本明細書は、ハードウエア図および信号名を含む記述を包含する。多くの場合
においてそれらの名称は充分に説明されるが、しかしながらそうでない場合は、
本願の動作および実行性を理解するためには信号名は必ずしも必要でない。
【００８３】 ［ネットワークにおける動作］ 図１は、全体的な参照番号１００で参照される本発明によるシステム例を表現
する。システム１００は、様々なコンピュータ間でパケット（例えばＩＰデータ
グラム(datagram)）を通信するコンピュータ・ネットワーク１０２を有し、例え
ばクライアント１０４−１０７およびサーバ１１０，１１２の間で行われる。こ
のネットワークは概略的に示され、いくつかのネットワークノードを雲として表
現し、その雲の内側にリンクが示される。モニタ１０８は、本発明の一形態に従
って、両方向におけるその接続点１２１を通過するパケットを調査し、各パケッ
トが関連するアプリケーション・プログラムが何であるかを明確にすることが可
能である。モニタ１０８は、サーバ１１０のネットワーク・インターフェース１
１６とネットワークとの間のパケット（すなわちデータグラム）を調査する。ま
た、モニタは、ネットワーク内の他の場所に配置されることも可能であり、例え
ば、ネットワーク１０２およびクライアント１０４のインターフェース１１８の
間の接続点１２３、またはネットワーク１０２内のどこかの接続点１２５で概念
的に示されるような他の場所が可能である。ネットワーク上の位置１２３におけ
るネットワーク・パケット捕捉装置は図示されておらず、これは、ネットワーク
上の物理情報をモニタ１０８への入力用パケットに変換するものである。このよ
うなパケット捕捉装置は一般的なものである。
【００８４】 要求される通信を確立および維持するために、ネットワークによって様々なプ
ロトコル、例えばＴＣＰ／ＩＰ等が使用される。例えばクライアント１０４（ク
ライアント１）によって実行されるアプリケーション・プログラムがサーバ１１
０（サーバ２）上で別に走っているものに通信するような、任意のネットワーク
活動は、ネットワーク１０２を介するパケットのシーケンスの交換(exchange)を
引き起こし、そのシーケンスはそれぞれのプログラムおよびネットワーク・プロ
トコルの性質を表すものである。このような性質は個々のパケットの段階（レベ
ル）では完全に明らかにはされない。特定のアプリケーション・プログラムを認
識するために必要な情報を充分に得るために、モニタ１０８によって多くのパケ
ットを分析する必要がある。パケットは分解される必要があり、様々なプロトコ
ルの内容で分析され、例えばＩＳＯ層ネットワーク・モデルに従う形式のパケッ
トのために、アプリケーション・セッション層プロトコルを通じた転送である。
【００８５】 通信プロトコルは階層化され、プロトコル・スタックとして言及されることも
ある。国際標準化機構(ISO: International Standardization Organization)は
、一般的なモデルを定義し、通信プロトコル層を設計するための枠組み（フレー
ムワーク）を提供する。以下のテーブル形式で示されるモデルは、既存の通信プ
ロトコルの機能を理解するための参考として供される。
【００８６】
【表１】 異なる通信プロトコルはＩＳＯモデルの異なるレベルを使用する、またはＩＳ
Ｏモデルに類似するが厳密には従わないところの階層化されたモデルを使用する
。所定の層におけるプロトコルは、他の層で使用されるプロトコルに対して可視
的ではない。例えば、アプリケーション層（レベル７）は、通信を意図するソー
ス・コンピュータ（レベル２−３）を識別することはできない。
【００８７】 いくつかの通信技術において、「フレーム」なる用語は、ＯＳＩ層２において
包含されたデータのことを指し、目的地アドレス、フロー制御用の制御ビット、
データまたはペイロードおよび誤り検査用の巡回冗長検査(CRC: cyclic redunda
ncy check)データを含む。「パケット」なる用語は、一般にＯＳＩ層３において
包含されるデータのことを指す。ＴＣＰ／ＩＰの世界では、「データグラム(dat
agram)」なる用語も使用される。本明細書において、「パケット」なる用語は、
パケット、データグラム、フレームおよびセルを包含することを意図する。一般
に、パケット・フォーマットまたはフレーム・フォーマットは、ネットワークを
通じた通信に関して、様々なフィールドおよびヘッダを利用してデータがどのよ
うに包含されるかを示す。例えば、データ・パケットは一般に、パケットの開始
および終了を区別するヘッダおよびフッタだけでなく、あて先アドレス・フィー
ルド、長さフィールド、誤り訂正コード（ＥＣＣ）フィールドまたは巡回冗長検
査（ＣＲＣ）フィールドを含む。「パケット・フォーマット」および「フレーム
・フォーマット」なる用語は、「セル・フォーマット」としても言及され、概し
て同義語である。
【００８８】 モニタ１０８は、分析のために接続点１２１を通過するパケット総てを監視す
る。しかしながら、プロトコルの全レベルを認識するのに有用な同じ情報を総て
のパケットが搬送しているわけではない。例えば、特定のアプリケーションに関
連する会話フローにおいて、そのアプリケーションは、サーバに形式Ａのパケッ
トを送出させる。その特定のアプリケーション・プログラムは形式Ｂのパケット
を送出に関しては形式Ａのパケットに常に従い、他のアプリケーション・プログ
ラムはそうでない場合、アプリケーションの会話フローのパケットを認識するた
めに、モニタは、形式Ａのパケットに関連する形式Ｂのパケットに合致するパケ
ットを認識するために利用可能である。そのようなことが形式Ａのパケットの後
に認識される場合、特定のアプリケーション・プログラムの会話フローが始まり
、モニタ１０８に対して自身を明らかにする。
【００８９】 アプリケーション・プログラムに関連するものとして会話フローが識別される
前に、更なるパケットが調査される必要がある。一般に、モニタ１０８は、他の
アプリケーションに関連する会話フローの一部である他のパケット交換を識別す
ることの部分的な完了におけるものである。モニタ１０８の１つの性質は、フロ
ーの状態を維持する能力である。フローの状態は、そのフローにおいて先行する
総ての事象の指標であり、例えばＩＳＯモデル・プロトコル・レベルのようなプ
ロトコル・レベル総ての内容の認識に導く。本発明の他の特徴は、パケットの抽
出された特徴部分の署名を形成することであり、同一フローに属するパケットを
迅速に識別するために使用可能である。
【００９０】 モニタ１０８の現実世界のユーザにおいて、モニタ１０８の接続点を通過する
ネットワーク１０２上のパケット数は、１秒当たり１００万を超え得る。したが
って、モニタは各パケットを分析および分類すること、および接続点を通じて通
過するフローの状態を維持することのためにほとんど時間を費やすことができな
い。したがって、モニタ１０８は、その分類に寄与しない各パケットの重要でな
い部分の総てを判別する。しかし、どのフローに所属するかに依存しておよびフ
ローの状態に依存して、判別する部分は各パケットに対して異なるであろう。
【００９１】 パケット形式の判別、ひいてはそれらの実行性を引き出すそのパケットに従う
関連するアプリケーション・プログラムの判別は、モニタ１０８における多段階
工程である。たとえば第１段階では、いくつかのアプリケーション・プログラム
が第１種のパケットを生成する。第１の「署名(signature)」は、パケットの選
択された部分から生成され、モニタ１０８が、同一フローに属するパケットを効
率的に識別できるようにする。ある場合にあっては、会話フローにおけるそのよ
うなパケットを生成したアプリケーションを、モニタが識別できる程度にパケッ
ト形式が充分に特徴的である。そのアプリケーションに関するトラフィックにお
いて生成される総ての将来的なパケットを効率的に識別するために、その署名が
利用可能である。
【００９２】 他の場合にあっては、第１のパケットのみが会話フローを分析するプロセスを
開始し、他のパケットは関連するアプリケーション・プログラムを識別するため
に必要である。このような場合、第２形式の以降のパケットは、（ただし、同一
の会話フローに潜在的に所属している）その署名を利用することによって判別さ
れる。そのような第２レベルにおいて、数個のアプリケーション・プログラムの
みが、そのような第２パケット形式を生成可能な会話フローを有する。分類過程
（プロセス）におけるこの段階において、そのようなパケット形式のシーケンス
を導出するものの集合に属しないアプリケーション・プログラムの総ては、これ
ら２つのパケットを含む会話フローを分類するプロセスにおいて排除される。プ
ロトコルおよび可能なアプリケーションに関する既知のパターンに基づいて、任
意の将来的なパケットを認識可能にする署名が生成され、その会話フローに続く
。
【００９３】 こうしてアプリケーションは判別されるであろうが、あるいは、判別は第２レ
ベルの署名を利用して第３レベルの分析を処理する必要があり得る。したがって
各パケットに関して、モニタはパケットを分解し、署名を生成して、その署名が
以前遭遇したフローを識別したか、あるいは同一の会話フローに属する将来のパ
ケットを識別するために使用されるかを判別する。リアル・タイムでは、パケッ
トは、以前に遭遇したパケット（状態）のシーケンスの内容において分析され、
可能な将来のシーケンスのそのような過去のシーケンスは、異なるアプリケーシ
ョンに関連する会話フローにおいて生成する。将来のパケットを判別する新たな
署名も生成される。この分析のプロセスはアプリケーションが識別されるまで続
く。生成された最後の署名は、同一会話フローに関連する将来的なパケットを効
率的に判別するために使用される。そのような手法は、モニタ１０８が、検査す
る必要のある毎秒数百万のパケットを適切に処理することを可能にする。
【００９４】 本発明の他の特徴は、立ち聞き機能(Eavesdropping)を追加することである。
立ち聞きが可能な本発明の他の実施例では、モニタ１０８がネットワーク１０２
内のある地点を通るアプリケーション・プログラムの実行をいったん認識すると
（たとえばクライアント１０５またはサーバ１１０によるアプリケーションの実
行に起因して）、そのモニタはメッセージをネットワーク上のある汎用プロセッ
サに送信し、そのプロセッサは、ネットワーク上で同一の場所から同一のパケッ
トを入力可能であり、その後プロセッサはアプリケーション・プログラムの実行
可能なコピーをロードし、ネットワークを通じて交換される内容を読み取るため
にそれを使用する。言い換えれば、モニタ１０８がアプリケーション・プログラ
ムの認識を達成すると、立ち聞きが可能になる。
【００９５】 ［ネットワーク・モニタ］ 図３は、コンピュータのソフトウエア又はハードウエアで実行されることが可
能な、本発明の実施例におけるネットワーク・パケット・モニタ３００を示す。
このシステム３００は、図１のモニタ１０８と同様である。パケット３０２は、
例えば、ネットワーク１０２（図１）内の場所１２１におけるパケット捕捉装置
、および例えばその性質を判別するための過程において評価されたパケットから
調査され、その性質は例えばパケットを生成したサーバ・アプリケーションが何
であるかを含む複数階層モデルにおけるプロトコル情報全てである。
【００９６】 パケット捕捉装置は一般にインターフェースであり、特定のネットワーク（イ
ーサーネット、フレームリレー、ＡＴＭ等）に従って、物理信号を変換し、それ
らをビットおよびパケットにデコードする。この捕捉装置は、モニタ１０８に対
して、捕捉したパケットのネットワークの形式またはパケットの形式を知らせる
。
【００９７】 ここに示される特徴は：（１）異なる形式のパケットにおいて生じる必要のあ
る作業が何であるかを生成するためのモニタの初期化−コンパイラおよび最適化
装置３１０によって達成される，（２）パケットの分解および選択した部分の抽
出を処理して識別する署名を生成すること−分解サブシステム３０１によって達
成される，および（３）パケットの分析−分析器３０３によって達成される。
【００９８】 コンパイラおよび最適化装置３１０の目的は、プロトコル特有情報を分解サブ
システム３０１および分析サブシステム３０３に提供することである。初期化は
モニタの動作に先立って行われ、新たなプロトコルが付加されるべき場合にのみ
再度行われる必要がある。
【００９９】 フローは、ネットワークにおける２つのアドレスの間で交換されるパケットの
ストリームである。各プロトコルに関し、あて先（受領）、発信元（送信者）等
のような既知のいくつかのフィールドが存在し、これらおよび他のフィールドは
、フローを識別するためにモニタ３００において使用される。チェックサムのよ
うなフローを識別するには重要でない他のフィールドも存在し、それらの部分は
認識の際に使用されない。
【０１００】 分解システム３０１は、パターン認識過程３０４を使用してパケットを調査し
、パケットを分解し、パケット３０２内に存在する各プロトコル層に対してプロ
トコル形式および関連するヘッダを判別する。抽出過程３０６は分解サブシステ
ム３０１においてパケット３０２から特徴部分（署名部分）を抽出する。分解用
のパターン情報および例えば抽出マスクのような関連する抽出動作の両者は、分
解パターン構造と、コンパイラおよび最適化装置３１０によって充足される抽出
作業データベース（分解／抽出データベース）３０８から供給される。
【０１０１】 プロトコル記述言語（ＰＤＬ）ファイル３３６は、任意の階層で生じる全プロ
トコルのパターンおよび状態の両者を記述し、ヘッダ情報の解釈方法、ヘッダ情
報に基づいて次の階層におけるプロトコルの判別方法、フローを識別する目的で
抽出する情報、最終的にはアプリケーションおよびサービスを含む。階層選択デ
ータベース３３８はモニタによって取り扱われる特定の階層を記述する。すなわ
ち、任意の階層レベルにおけるプロトコル上においてプロトコルが走る。３３６
および３３８の結合は、パケット内の情報をデコード、分析および理解をどのよ
うに行うか、更には情報がどのように階層化されるかを記述する。この情報はコ
ンパイラおよび最適化装置３１０に入力される。
【０１０２】 コンパイラおよび最適化装置３１０が動作すると、２組の内部データ構造が生
成される。第１のものは、分解／抽出作業３０８の組である。このパターン構造
は、分解情報を含み、パケットのヘッダにおいて何が認識されるかを記述し；抽
出作業では、合致したパターンに基づいてパケットからパケットの要素が抽出さ
れる。したがって、分解／抽出作業のデータベース３０８は、パケット内のデー
タからの抽出作業に依存して１つ又はそれ以上のプロトコルの１組をどのように
して判定するかを記述する情報を含み、パケット内で使用されるプロトコルを含
む。
【０１０３】 コンパイラ３１０によって構築される他の内部データ構造は、状態パターンお
よびプロセッサ３２６の組である。これらは異なる状態および異なる遷移であり
、これらは、異なる会話フローおよび状態動作において生じ、会話フローを分析
する更なるタスクに対する会話フローの任意の状態において実行されることを要
する（例えば、調査される必要のあるパターンおよび形成される必要のある新規
の署名である）。
【０１０４】 ＰＤＬファイルのコンパイルおよび階層選択は、モニタ３００に対してパケッ
トの処理を開始するために必要な情報を提供する。他の実施例にあっては、デー
タベース３０８，３２６の１つ又はそれ以上の内容は、マニュアルその他の方法
で生成される。いくつかの実地例において、階層化選択情報は、明示的な記述と
いうよりはむしろ固有のものである。例えば、プロトコル用のＰＤＬファイルは
、子プロトコルを含み、親プロトコルも判別される。
【０１０５】 好適実施例にあっては、捕捉装置からのパケット３０２は、パケット・バッフ
ァに入力される。パターン認識過程３０４は、パターン分析および認識（ＰＡＲ
）エンジンによって実行され、パケットにおけるパターンを分析および認識する
。特に、ＰＡＲはヘッダにおいて次のプロトコル・フィールドを見出し、ヘッダ
の長さを判別し、プロトコル・ヘッダの所定の形式に関する他の所定のタスクを
実行する。この例としては、ディジタル・インテル・ゼロックス（ＤＩＸ）パケ
ットとも呼ばれるかつての形式２（又はバージョン２）イーサーネット・パケッ
トからＩＥＥＥ８０２．３（イーサーネット）パケットを区別するための形式お
よび長さの比較である。ＰＡＲは、パターン構造および抽出作業データベース３
０８を利用して、次のパターンおよびそのプロトコルに関連するパラメータを識
別し、次のプロトコル層の分析を可能にする。パターンまたは１組のパターンが
識別されると、それ／それらは１組の抽出作業に関連付けられたり関連付けられ
なかったりする。これら抽出作業は（命令および関連するパラメータの形式で）
、パケットの選択された部分を抽出する抽出および情報識別（ＥＩＩ）エンジン
によって実行される抽出プロセス３０６に引き渡され、フローの一部としてパケ
ットを認識するために必要なパケットからの識別情報を含む。抽出されたデータ
はシーケンス内に置かれ、ブロック３１２で処理されてこのフローに足して特有
のフロー署名（「キー」とも呼ばれる）を形成する。フロー署名は、そのパケッ
トで使用されるプロトコルに依存する。たとえば、イーサーネット・フレームは
、より良いフロー署名を形成する際に有用である終点アドレスを有する。したが
って、署名は一般にクライアントおよびサーバ・アドレスの対を含む。このフロ
ーの一部である又は一部となり得る更なるパケットを認識するためにその署名が
利用される。
【０１０６】 好適実施例にあっては、フロー・キーの形成は、ハッシュ関数(hash function
)を利用して署名のハッシュを生成することを含む。そのようなハッシュを利用
する場合の目的は一般的なものであり、効率的な探索のためにデータベースを通
じて署名で識別されるフロー・エントリを拡散するためである。生成されたハッ
シュはハッシュ・アルゴリズムに準拠することが好ましく、そのようなハッシュ
・アルゴリズムは当該技術分野でよく知られている。
【０１０７】 一実施例にあっては、パケットからのデータを引き渡し−分解レコード−これ
は署名（すなわちパケットの選択された部分）、ハッシュ、およびパケット自身
を含み、パケットからの更なるデータを要する任意の状態処理を可能にする。分
解サブシステムの改善実施例は、分解レコードを生成し、これはある所定の構造
を有し、署名、ハッシュ、分解レコードにおけるフィールドのいくつかに関連す
るいくつかのフラグを含み、および分解サブシステムが決定したパケットのペイ
ロードの一部は、例えば状態処理のような更なる処理用に必要とされる。
【０１０８】 他の実施例では、パケットの選択された部分の結びつき以外のある機能を利用
して、署名を識別する。例えば、連続した選択された部分の「要約機能(digest
function)」を利用することが可能である。
【０１０９】 分解レコードは探索プロセス３１４に引き渡され、そのシステムが既に遭遇し
た既知フローのレコードの内部データ記憶において探索し、その特定のパケット
が既知フローに属するか否かを判定し（３１６において）、それは既知フローの
データベース３２４においてそのフローに一致するフロー・エントリの存否によ
って示される。
【０１１０】 分解レコードは、一体化フロー・キー・バッファ(UFKB: unified flow key bu
ffer)と呼ばれるバッファに入力される。ＵＦＫＢはデータ構造におけるフロー
上のデータを格納し、これは分解レコードと同様であるが、修正されることの可
能なフィールドを含む。特に、１つ又は複数のＵＦＫＢレコード・ファイルは、
パケット・シーケンス番号を格納し、他のものは状態プロセス３２８を実行する
状態プロセッサに対するプログラム・カウンタの形式において、状態情報で満た
される。
【０１１１】 同一署名を有するレコードが既に存在するか否かの判定は、探索エンジン（Ｌ
ＵＥ）によって実行され、新たなＵＫＦＢレコードを取得し、既知フローに合致
するものがあるか否かを探索するためにＵＫＦＢレコード内のハッシュを利用す
る。特定の実施例において、既知フローのデータベース３２４は、外部メモリ内
にある。キャッシュはデータベース３２４に関連する。既知レコードに関するＬ
ＵＥによる探索は、ハッシュを通じてキャッシュにアクセスすることによって実
行され、キャッシュ内にそのエントリが存在しない場合には、そのエントリは（
再びハッシュを利用して）外部メモリにおいて探索される。
【０１１２】 フロー・エントリ・データベース３２４はフロー・エントリを格納し、フロー
を更新するためのパケットからの特定のフロー署名、状態情報および抽出情報な
らびにそのフローに関する１つまたはそれ以上の統計値を含む。各エントリはフ
ローを完全に記述する。データベース３２４は、ビン(bin)に組織化され、Ｎで
記されるフロー・エントリ数（フロー・エントリを各々のバケット(bucket)と呼
ぶこともある）を含み、好適実施例ではＮは４である。バケット（すなわちフロ
ー・エントリ）は、分解サブシステム３０１（すなわち、ＵＦＫＢレコードにお
けるハッシュ）からのパケットのハッシュを通じてアクセスされる。ハッシュは
、フローをデータベースに渡って拡散し、エントリの高速探索を可能にし、バケ
ットを浅くする。設計者は、モニタに取り付けられるメモリ量に基づいて、バケ
ット深さＮと、使用されるハッシュ・データ値のビット数を採択する。例えば、
一実施例において、各フロー・エントリは１２８バイト長であり、１２８ｋのフ
ロー・エントリに対して１６Ｍバイトが必要とされる。１６ビット・ハッシュを
利用するとバケットあたり２つのフロー・エントリを与える。経験的に、多くの
事例の過半数について適切である。他の実施例は２５６バイト長のフロー・エン
トリを利用する。
【０１１３】 データベース３２４にアクセスする際は常に記述され、そのアクセスはキャッ
シュを介して行われる。これは、そうでないような記述がされていない限り、ま
たは内容からクリアされない限り継続される。
【０１１４】 署名に合致するフロー・エントリが見当たらない場合は、すなわちそのフロー
が新たなフローに関するものである場合、プロトコルおよび状態識別プロセス３
１８は、更にその状態およびプロトコルを判別する。すなわち、プロセス３１８
はプロトコルを判定し、その状態シーケンスにおいてそのプロトコルのパケット
に関するフローが所属する位置を判定する。識別プロセス３１８は、抽出された
情報を利用し、状態パターンおよびプロセスのデータベース３２６に対するリフ
ァレンス（参照）を作成する。プロセス３１８の後には、このパケットにおいて
状態プロセッサ３２８によって実行される必要のある状態動作が続く。
【０１１５】 データベース３２４（例えばキャッシュ）において合致するフロー・エントリ
を有するパケットが発券されると、プロセス３２０は、探索されたフロー・エン
トリから、そのフロー署名の状態処理による更なる分類の要否を判定する。不要
であればプロセス３２２はフロー・エントリ・データベース３２４（例えばキャ
ッシュを通じて）においてフロー・エントリを更新する。更新には、そのフロー
・エントリにおいて格納される１つ又はそれ以上の統計測定値を更新することが
含まれる。本実施例では、統計測定値はフロー・エントリにおけるカウンタに格
納される。
【０１１６】 状態プロセッサが必要とされる場合は、状態プロセッサ３２８が起動される。
状態プロセッサ３２８は、そのフローの状態に関して特定された任意の状態動作
を実行し、その状態を次の状態に更新し、これは状態パターンおよびプロセッサ
・データベース３２６から取得される１組の状態命令に従って行われる。
【０１１７】 状態プロセッサ３２８は、新規のおよび既存のフローの両者を分析し、プロト
コル・スタックの全レベルを分析し、最終的にはアプリケーションまで（レベル
７）フローを分類する。これは、所定の状態遷移規則および状態プロセッサ命令
データベース３２６において特定されるような状態動作に基づいて、状態から状
態へ処理を進めることによって行われる。状態遷移規則は、一般に、検査結果が
真である場合に、次の状態へ進むような検査を含む。動作は、状態プロセッサが
特定の状態にある場合に実行されるものであり、例えば状態遷移規則を適用する
ために必要とされる量を評価するためのものである。状態プロセッサは各々の規
則および各々の状態プロセスを通じて処理を進め、検査結果が真であるまたは実
行する検査が存在しなくなるまで行われる。
【０１１８】 一般に、１組の状態動作は、パケットに関する０又は複数の動作であり、その
動作の実行または動作は、識別を完了するのに先立ってシステムを抜け出すもの
を状態内に置くことが可能であるが、何の状態であるかおよび状態プロセッサが
次に実行するのに必要とされるもの、すなわちそのフローで次のパケットが遭遇
するものについて可能な限り把握することが好ましい。例として、特定の状態に
おける状態プロセス（１組の状態動作）は、次の状態の更なる認識パケットに関
する新規の署名を形成することが可能である。
【０１１９】 フローの状態を維持し、新規フローが以前に遭遇したフローからの情報を利用
して設定されることを知ることによって、ネットワーク・トラフィック・モニタ
３００は、（ａ）フローの単独のパケット・プロトコル判別および（ｂ）フロー
の複数パケット・プロトコル判別を行う。モニタ３００は、１つ又はそれ以上の
分離した部分フローからでさえもアプリケーション・プログラムを認識すること
が可能であり、この部分フローはサーバ通知形式フローで生じる。従来のモニタ
が関連のないフローであると見ていたものが、本願モニタにより識別され、この
場合において以前に遭遇した部分フローに関連する部分フローであることのフロ
ー署名を利用する。
【０１２０】 こうして、状態プロセッサ３２８は第１の状態動作をこの特定のフロー・エン
トリに適用する。プロセス３３０は、更なる動作がこの状態に関して実行される
必要があるか否かを決定する。必要であれば、分析器はブロック３３０および３
２８の間でループを繰り返し、更なる状態動作をその特定のパケットに対して適
用し、これら総ての動作が完了するまで行われる、すなわちその状態におけるそ
のパケットに関してそれ以上動作が存在しなくなるまで行われる。プロセス３３
２は、この形式のフローに関して分析されるべき更なる状態が存在するか否かを
決定し、これはフローを充分に特徴付けるためにフローおよびプロトコルの状態
に従って行われる。存在しない場合は、会話フローが現在充分に特徴付けられ、
プロセス３３４がそのフローに関する会話フローの分類を完成させる。
【０１２１】 特定の実施例において、状態プロセッサ３２８は、オフセット(offset)として
ジャンプ・テーブル（ジャンプ・ベクトル）への分解によって認識された最終プ
ロトコルを利用することによって状態処理を開始する。ジャンプ・テーブルは状
態プロセッサ命令を見い出し、状態パターンおよびプロセッサ・データベース３
２６におけるそのプロトコルに関して使用する。ほとんどの命令は、一体化され
たフロー・キー・バッファにおけるもの、すなわちその入力が存在するならば既
知フローのデータベース３２４におけるフロー・エントリを検査する。状態プロ
セッサはビットを検査し、比較を行い、加算し、または減算して検査を実行しな
ければならない。例えば、状態プロセッサにより実行される共通の動作は、ＵＦ
ＫＢのペイロード部分における１つ又はそれ以上のパターンを探索することであ
る。
【０１２２】 分類のステップ３２２において、分析器はそのフローが終了状態におけるもの
であるか否かを決定する。終了状態におけるものでない場合は、フロー・エント
リはステップ３２２においてそのフロー・エントリに関して更新される（新たな
フローの場合は作成される。）。
【０１２３】 さらに、フローが既知であり、３２２において後のパケットを利用して処理さ
れるべき更なる状態が存在することが判明した場合は、フロー・エントリはプロ
セス３２２で更新される。
【０１２４】 また、フロー・エントリは分類の完了後に更新され、この充分に分析された会
話フローに属するように、そのフローに属する任意の更なるパケットがそれらの
署名により容易に識別されるようにする。
【０１２５】 したがって更新の後、データベース３２４は、発生した会話フロー総ての組を
含む。
【０１２６】 図３に示す本発明の実施例は、フロー・エントリを自動的に維持し、一形態に
あっては状態を格納する。図３のモニタは、パケットの特徴部分−署名−を生成
し、フローを認識するために使用可能である。フロー・エントリはそれらの署名
により識別されアクセスされる。パケットが既知フローからのものであると識別
されると、フローの状態が知られ、その知識は、異なるプロトコルおよびアプリ
ケーション夫々に関してリアル・タイムで状態遷移が実行されることを可能にす
る。複雑な分析にあっては、ますます多くのパケットが調査されるように状態遷
移が行われる。同一会話フローの一部である将来のパケットは、以前に到達した
状態から継続した状態分析を有する。対象とするアプリケーションに関連する充
分なパケットが処理されると、最後の認識状態が最終的に達成され、すなわち会
話フローを完全に特徴付けるために状態分析によって１組の状態が遷移される。
その最後の状態に関する署名は、同一会話フローの新たな入来パケットの各々が
、リアル・タイムで個々に認識されることを可能にする。
【０１２７】 このようにして、本発明の重要な利点の１つが実現される。状態遷移の特定の
組が始めて遷移され、最終状態で終了すると、ショート・カット認識パターン−
署名−が生成され、その会話フローに関する総ての新規入来パケットのキーとな
る。署名の検査は、単独の動作を包含し、ネットワークにおいて高パケット・レ
ートで連続的に監視することを可能にする。
【０１２８】 改善された実施例では、いくつかの状態分析器が並列して動作し、多数のプロ
トコルおよびアプリケーションが検査される。総ての既知のプロトコルおよびア
プリケーションは、状態遷移の特有の組を少なくとも１つ有し、そのような遷移
を眺めることにより一意的に識別することが可能である。
【０１２９】 各々の新しい会話フローが始まると、フローを認識する署名は自動的に動作中
に生成され、会話フローにおける更なるパケットに遭遇すると、署名が更新され
、潜在的なアプリケーションに関する状態遷移の組の状態は、そのフローに関す
る状態遷移規則に従って更に遷移する。フローに関する新たな状態は、１つまた
はそれ以上の潜在的なアプリケーションに関する状態遷移の組に関連するもので
あり、認識を容易にするために以前に遭遇した状態の記録（レコード）に付加さ
れ、フロー内で新たなパケットに遭遇した際に引き出される。
【０１３０】 ［動作の詳細］ 図４は、コンパイル・プロセスを含む初期化システム４００の概略図を示す。
これは初期化の一部であり、パターン構造および抽出作業データベース３０８と
、状態命令データベース３２８を生成する。このような初期化はオフラインでま
たは中央配置に基づいて生じ得る。
【０１３１】 異なる層に存在し得る異なるプロトコルは、リンクされたノードの１つ又はそ
れ以上のツリーのノードと考えることができる。パケット形式はそのツリーのル
ート（根）である（レベル０）。各プロトコルは、親(parent)ノードまたは端末
ノードの何れかである。親ノードは、プロトコルを他のプロトコル（子プロトコ
ル）に結合し（リンクし）、より高位の階層レベルにおけるものになることが可
能である。従ってプロトコルはゼロまたは更なる子供(children)を有する。例え
ばイーサーネット・パケットは、いくつかの相違形態を有し、各々が実質的に同
じである基本フォーマットを有する。イーサーネット・パケット（ルートまたは
０レベル・ノード）はイーサー形式パケットであり−イーサ形式／バージョン２
およびＤＩＸ（ディジタル・インテル・ゼロックス・パケット）−またはＩＥＥ
Ｅ８０３．２パケットである。ＩＥＥＥ８０２．３パケットと共に継続している
ものに関し、子ノードの１つがＩＰプロトコルであり、ＩＰプロトコルの子供の
１つがＴＣＰプロトコルである。
【０１３２】 図１６は、情報に関する完全なイーサーネット・フレーム（すなわちパケット
）のヘッダ１６００（ベース・レベル１）を示し、あて先のメディア・アクセス
・コントロール・アドレス（Ｄｓｔ ＭＡＣ １６０２）およびソース・メディア
・アクセス・コントロール・アドレス（Ｓｒｃ ＭＡＣ １６０４）を含む。また
、図１６は、特徴を抽出するためのＰＤＬファイルで特定される情報の（全部で
はなく）一部を示す。
【０１３３】 図１７Ａは、イーサ形式パケット１７００の次のレベル（レベル２）に関する
ヘッダ情報を示す。イーサ形式パケット１７００に関し、次の階層レベルを示す
パケットからの適切な情報は、次のレベルに関する子認識パターンを含む２バイ
ト形式フィールド１７０２である。残りの情報１７０４に影が付されているのは
、このレベルに対しては適切でないからである。リスト１７１２は、イーサ形式
パケットに対する可能な子を示し、どの子認識パターンによってオフセット１２
が示されるかを表す。図１７Ｂは可能な次のレベルの１つのヘッダの構造を示し
、ＩＰプロトコルに対するものである。ＩＰプロトコルの可能な子は、テーブル
１７５２に示されている。
【０１３４】 一実施例において比較プロセス３１０によって生成されたところのパターン、
分析および抽出データベース（パターン認識データベースすなわちＰＲＤ）３０
８は、３次元形式構造におけるものであり、次のプロトコルに関するパケット・
ヘッダの迅速な探索を提供する。図１８Ａはそのような３Ｄ表現１８００を示す
（２Ｄ表現の目盛が付された集合(indexed set)として考えることが可能である
。）。３Ｄ構造の圧縮された形式が好ましい。
【０１３５】 データベース３０８で使用されるデータ構造の他の形態は図１８Ｂに描かれて
いる。図１８Ａの３Ｄ構造と同様に、このデータ構造は、パターン認識プロセス
３０４によって実行される迅速な探索を可能にし、これはアドレス・リンク計算
を実行するのではなくメモリ内の場所を指し示すことによって行われる。この代
替実施例では、ＰＲＤ３０８が２つの部分を有し、モニタに関する既知のプロト
コル各々に関するエントリを有する単独プロトコル・テーブル１８５０（ＰＴ）
と、既知のプロトコルおよびそれらの子を識別するために使用される一連の探索
テーブル１８７０（ＬＵＴ）である。プロトコル・テーブルはパターン分析器お
よび認識プロセス３０４（ＰＲＥ１００６によって実行される）によって必要と
されるパラメータを含み、そのプロトコルに関連するパケットにおけるヘッダ情
報を評価し、そのパケット・ヘッダを処理するための抽出プロセス３０６で必要
とされるパラメータ（スライサ１００７によって実行される）を評価する。子が
存在する場合、ＰＴは、子プロトコルを判定するために、評価するヘッダにおけ
るバイトを記述する。特に、各ＰＴ入力はヘッダ長、子に対するオフセット、ス
ライサ命令およびいくつかのフラグを有する。
【０１３６】 ヘッダ・フィールドにおいて特定の「子認識コード」を見い出すことによって
パターン異同判断（マッチング）が行われ、１つ又はそれ以上のＬＵＴを示す符
号を利用して行われる。各ＬＵＴ入力は、認識されたプロトコルを示し４値の１
つを有するノード・コード、プロトコルが部分的に認識されることを示すための
コード（更なるＬＵＴ探索が必要である。）、それが端末ノードであることを示
すコード、およびヌル(null)入力を示すためのヌル・コードを有する。探索用の
次のＬＵＴは、ＬＵＴ探索から返却される。
【０１３７】 比較プロセスが図４において説明される。プロトコル記述ファイルの形式のソ
ース・コード情報は、４０２として示される。特定の実施例において、高レベル
のデコード記述は、１組のプロトコル記述ファイル３３６（各プロトコルに付き
１つ）と、モニタが取り扱うことの可能な特定の階層（１組のプロトコルのツリ
ー）を記述する１組のパケット階層選択部３３８を含む。
【０１３８】 コンパイラ４０３は、その記述をコンパイルする。状態処理プロセッサ３２８
を実行する状態プロセッサに対する命令の形式で、１組のパケット分解および抽
出作業４０６が起こり（４０４）、１組のパケット状態命令および動作４０７が
起こる（４０５）。分析器によって認識されるアプリケーションおよびプロトコ
ルの各形式に対するデータ・ファイルは、パターン、分解および抽出データベー
ス４０６から、分解および抽出エンジンのメモリ・システムにダウンロードされ
る。（分解プロセス５００の記述および図５；抽出プロセスの記述６００および
図６；および分解サブシステム・ハードウエアの記述および図１０を参照のこと
）また、分析器によって認識されるアプリケーションおよびプロトコルの各形式
に対するデータ・ファイルは、状態プロセッサ命令データベース４０７から状態
プロセッサへダウンロードされる。（状態プロセッサ１１０８の記述および図１
１を参照のこと） パケット分解および抽出動作を起こすことは、３次元構造（ある実施例）又は
ＰＲＤに対する総ての探索テーブルを構築および結びつける（リンクする）点に
留意すべきである。
【０１３９】 多数の可能なプロトコル・ツリーおよびサブツリーに起因して、コンパイラ・
プロセス４００は、どの子が共通の親を共有するかを見つけるためにツリーおよ
びサブツリーを比較するところの最適化を含む。ＬＵＴの形式で実行されると、
このプロセスは、複数のＬＵＴから単独のＬＵＴを生成することが可能である。
最適化プロセスは更に、ＰＲＤのデータを格納するために必要なスペースを減少
させる比較プロセスを含む。
【０１４０】 簡潔な例として、各々がプロトコルを表現する２Ｄ構造の集合として考えるこ
とが可能な図１８Ａの３Ｄ構造を考察する。一実施例において、いくつかの親を
有するプロトコルごとに唯１つのアレイを利用することによってスペースの節約
を可能にするため、パターン分析サブプロセスは「現在ヘッダ」ポインタを保持
する。３Ｄ構造における各プロトコル２Ｄアレイに関する各々の位置（オフセッ
ト）指標は、特定のプロトコルに関するヘッダの開始から始まる相対的な位置で
ある。更に、２次元配列の各々はまばらである。最適化の次のステップは、他の
総ての２Ｄアレイに対して２Ｄアレイを総て検査し、どれがメモリを共有し得る
かを見出す。これら２Ｄアレイの多くは散在しており、各々が少量の有効エント
リを有するに過ぎないことが多い。したがって次に「折り重ね(folding)」のプ
ロセスを利用して、任意の当初の２Ｄアレイの識別性を喪失することなしに、２
以上の２Ｄアレイを一体の２Ｄアレイに統合する（すなわち、総ての２Ｄアレイ
が論理的には存在し続ける）。折り重ねは、所定の条件に適合する限りはそのツ
リーにおけるそれらの場所には無関係に、任意の２Ｄアレイの間で起こり得る。
各自のエントリが互いに衝突しない限り、複数のアレイは単独のアレイに統合さ
れる。折り重ね数は、各要素を当初のアレイに関連付けるために使用される。図
１８Ｂの他の実施例において同様な折り重ねプロセスがＬＵＴ１８５０の集合に
対して使用可能である。
【０１４１】 ステップ４１０において、分析器は初期化され、認識を行う準備をする。
【０１４２】 図５は実際の分解サブシステム３０１がどのように機能するかについてのフロ
ーチャートを示す。５０１から始まり、ステップ５０２においてパケット３０２
がパケット・バッファに入力される。ステップ５０３はパケット３０２から次の
（最初は第１の）パケット成分をロードする。パケット成分は欠くパケット０２
から一度に一要素抽出される。検査が行われ（５０４）、パケット成分のロード
動作５０３の成否を判定し、パケット内にさらに処理すべきものがあったか否か
を判定する。なければ、総ての成分がロードされたことを通知し、分解システム
３０１はパケット署名（５１２）を形成する−次の段階（図６）。
【０１４３】 ５０３において成分が良好にロードされると、ノードおよびプロセッサがパタ
ーン、分解および抽出データベース３０８から取得され（５０５）、そのノード
に対する１組のパターンおよびプロセスを提供し、ロードされたパケット成分に
適用する。分解サブシステム３０１は検査を行い（５０６）、パターン・ノード
取得動作５０５が良好に完了したか否かを判定し、ステップ５０５でロードされ
るパターン・ノードがあったか否かを判定する。なければステップ５１１で次の
パケット成分へ進む。存在する場合は、５０３で抽出された成分に対して、ノー
ドおよびパターン合致プロセスが５０７で行われる。５０７におけるパターンの
一致は（検査５０８によって示される）、分解サブシステム３０１が分解要素内
でノードを見出し；分解サブシステム３０１がステップ５０９へ進み要素を抽出
することを意味する。
【０１４４】 ノード・プロセスをその成分に適用しても一致（検査５０８）が得られない場
合は、分解サブシステム３０１は、パターン・データベース３０８から次のパタ
ーンに進み（５１０）、次のノードおよびプロセスを取得するためにステップ５
０５へ進む。このように、５０８と５０５の間には「パターン適用」ループがあ
る。分解サブシステム３０１が総てのパターンを完了し、一致または不一致を得
ると、分解サブシステム３０１は次の成分へ進む（５１１）。
【０１４５】 入力パケット３０２から総てのパケット成分がロードされ処理されると、その
後ロード・パケットは（検査５０４で示されるように）偽となり、分解サブシス
テム３０１は、図６で説明されるパケット署名を形成するための処理に進む。
【０１４６】 図６は、パケット署名を形成するための情報を抽出するフローチャートである
。６０１においてフローは始まり、これは図５の出口５１３である。この時点に
おいて、分解サブシステム３０１は完備なパケット成分およびバッファで利用可
能なパターン・ノードを有する（６０２）。ステップ６０３で図５のパターン分
析プロセスからの利用可能なパケット成分をロードする。ロードが完了し（検査
６０４）、他のパケットが存在することを示している場合は、パケット・サブシ
ステム３０１は、６０２におけるパターン・ノード成分から受信した抽出および
プロセス要素を６０５において取得する。取得が成功し（検査６０６）、適用す
べき抽出要素が存在することを示す場合は、分解サブシステム３０１はステップ
６０７において、パターン・ノードから受信した抽出命令に基づいて、抽出プロ
セスをパケット成分に適用する。これは、パケット成分から要素を除去および節
約する。
【０１４７】 ステップ６０８において、分解サブシステム３０１は、その成分から更に抽出
すべきものがあるか否かを検査し、なければ、分解サブシステム３０１は６０３
に戻り、直ちに次のパケット成分をロードし、処理を繰り返す。存在する場合は
、分解サブシステム３０１は次のパケット成分に進む。その後新たなパケット成
分がステップ６０３でロードされる。分解サブシステム３０１は６０８および６
０３の間のループを通じて動作する場合に、更に抽出すべきものが存在する場合
には同一のパケットに対して、またはそれ以上抽出すべきものが存在しない場合
は別のパケット成分に対して、他の抽出プロセスが適用される。
【０１４８】 特定のパケットに関するパターンおよび抽出データベース３０８における情報
に従って、抽出プロセスは署名を形成し、次々に成分を抽出する。次のパケット
成分のロード動作について（検査６０４で）偽となると、総ての成分が抽出され
ている。形成された署名は、署名バッファにロードされ（６１０）、署名生成プ
ロセスを完了させるために分解サブシステム３０１は図７に進む。
【０１４９】 図７を参照すると、プロセスは７０１から始まる。署名バッファおよびパター
ン・ノード要素が利用可能である（７０２）。分解サブシステム３０１は次のパ
ターン・ノード要素をロードする。ロードが成功し（検査７０４）、更なるノー
ドが存在することを示す場合は、分解サブシステム３０１は７０５において、要
素データベース内のパターン・ノードにおいて見出されるハッシュ要素に基づい
て、署名バッファ要素を細分する(hash)。７０６において結果の署名およびハッ
シュが一緒にされる。７０７において、分解サブシステム３０１は、７０３でロ
ードした次のパケット成分へ進む。
【０１５０】 ７０３から７０７へのループは、要素のパターンがそれ以上存在しなくなるま
で続く。要素のパターンの総てが細分（ハッシュ）されると、分解サブシステム
３０１のプロセス３０４，３０６および３１２は完了する。分解サブシステム３
０１は、分析サブシステム３０３によって使用される署名を生成した。
【０１５１】 分解レコードが分析器にロードされ、特に、ＵＦＫＢレコードの形式でＵＦＫ
Ｂにロードされ、これは分解レコードに類似するが１つ又はそれ以上の異なるフ
ィールドを有する。
【０１５２】 図８は、探索動作３１４を実行する探索／更新エンジン（ＬＵＥ）の動作を記
述するフロー図である。このプロセスは、署名、ハッシュおよびペイロードの少
なくとも一部を含む分解レコードを利用して図７からの８０１から始まる。８０
２において、これらの要素は、バッファにおけるＵＦＫＢエントリの形式で示さ
れる。ＬＵＥすなわち探索エンジン３１４は、フロー・エントリに関するハッシ
ュから「レコード・ビン番号(record bin number)」を計算する。ビンは、各々
がフロー・エントリを有する１つ又はそれ以上の「バケット(bucket)」を有する
。好適実施例では１ビン当たり４つのバケットを有する。
【０１５３】 好適なハードウエア例はキャッシュを有するので、図８のフローチャートにお
けるレコードへの総てのデータ・アクセスは、キャッシュに対して又はキャッシ
ュからのものとして開始される。
【０１５４】 ８０４では、そのシステムは、ハッシュを利用するビンから、バケットのため
のキャッシュを探索する。キャッシュがビン番号と共に良好に返送し、更なるバ
ケットがビン内に存在することを示す場合は、探索／更新エンジンは現在の署名
（ＵＫＦＢエントリの署名）をバケット内のもの（すなわちフロー・エントリの
署名）と比較する。署名が一致すると（検査８０８）、（キャッシュ内の）その
レコードは、ステップ８１０において、「処理中」としてマークされタイムスタ
ンプが付加される。ステップ８１１は、ＵＦＫＢに対して、８０２におけるＵＦ
ＫＢエントリが「発見」のステータス（状態）を有することを示す。「発見」の
指示は、状態プロセッサ３２８がそのＵＦＫＢ要素の処理を開始可能にする。好
適なハードウエア例は、１つ又はそれ以上の状態プロセッサを有し、探索／更新
エンジンと共に並列して動作可能である。
【０１５５】 好適実施例では、分析された総てのパケットに対して計算機によって１組の統
計的作業が実行される。統計的作業は、フローに関連するパケットの１つ又はそ
れ以上の計数；フローのパケットのサイズに関する統計値を決定すること；例え
ばタイムスタンプを利用して各方向におけるパケットどうしの相違に関する統計
値をまとめること（コンパイル）；および同一方向におけるパケットのタイムス
タンプの統計的な相対関係を決定することを含む。統計的な測定は、フロー・エ
ントリで維持される。他の統計的測定値もコンパイルされ得る。フローの多くの
特徴を分析するために、統計処理要素によって、これらの統計値が単独で又は結
合されて利用される。これは、統計的測定値に基づくネットワーク利用メトリッ
クを判定することを含み、例えば、そのアプリケーションに対して情報を転送す
るネットワークの能力を把握する。このような分析は、会話のサービスの質の測
定、そのネットワークにおいてアプリケーションがどの程度良好に実行されてい
るかの測定、アプリケーションによって消費されるネットワーク資源の測定等を
可能にする。
【０１５６】 そのような分析を行うために、探索／更新エンジンは、ステップ８１２におけ
る（キャッシュ内の）フロー・エントリの一部である１つ又はそれ以上のカウン
タを更新する。プロセスは８１３から抜け出す。本実施例では、カウンタはフロ
ーの全パケット、時間、および最後のタイムスタンプから現在のタイムスタンプ
までの時間差を含む。
【０１５７】 ビンのバケットが署名の一致を与えない場合がある（検査８０８）。この場合
は、８０９における分析器は、そのビンに対する次のバケットに移動する。ステ
ップ８０４はそのビンから次のバケットに対するキャッシュを探索する。探索／
更新エンジンはビンのバケットを探索し続け、８０８で一致が得られるまで、又
は作業８０４が偽（検査８０５）となり、ビン内にそれ以上バケットが存在せず
、一致が見出されなかったことを示すまで続く。
【０１５８】 一致が見出されなかった場合は、パケットは新たなフロー（以前に遭遇してい
ないもの）に所属する。８０６において、システムは、そのパケットに対して一
体化されたフロー・キーにおけるレコードが新しいことを８１２で指示し、その
キャッシュ内のフロー・エントリを更新することによって、そのパケットに対す
る統計的更新作業が実行される。更新作業は８１３から抜け出す。フロー挿入／
削除エンジン（ＦＩＤＥ）は、（再びキャッシュを通じて）このフローに関する
新たなレコードを形成する。
【０１５９】 更新／探索エンジンは、「新規」の状態または「既存」の状態を有するパケッ
トに対するＵＦＫＢエントリに関する処理を終了する。
【０１６０】 上記のシステムは、１以上のフロー・エントリが合致することの可能なハッシ
ュを利用する。単独のフロー・エントリに対応する長いハッシュが利用されるこ
とも可能である。そのような場合には、図８のフローチャートはさらに簡潔化さ
れる。
【０１６１】 ［ハードウエア・システム］ システム内でデータが流れる個々のハードウエア要素が夫々図１０および１１
に関連して説明される。以下、図３の本願実施例の特定のハードウエアを説明す
るが、図３のフローは、１つ又はそれ以上の汎用プロセッサ上を走るソフトウエ
アでも実行可能であり、あるいは部分的にハードウエアで実現されることも可能
であることは当業者に明らかであろう。ソフトウエアで実行可能な本願の実施例
は図１４に示される。ハードウエア例（図１０および１１）は１秒当たり１００
万パケットに及ぶ場合でも動作可能であるが、図１４のソフトウエア・システム
は、より遅いネットワークに適している。当業者にとって、プロセッサが高速化
されるにつれて更なるシステムがソフトウエアで実現可能であることは明らかで
あろう。
【０１６２】 図１０は、ハードウエアで実現されるような分解サブシステム（３０１，ここ
ではサブシステム１０００として示される）を描いている。メモリ１００１は、
パターン認識データベース・メモリであり、以後分析されるパターンがそこに格
納される。メモリ１００２は抽出作業データベース・メモリであり、抽出命令が
そこに格納される。１００１および１００２両者は、図３の内部データ構造３０
８に対応する。一般に、システムはマイクロプロセッサ（図示せず）によって初
期化され、内部バス１００３および１００４を介してホスト・インターフェース
・マルチプレクサおよび制御レジスタ１００５を経てメモリはロードされる。１
００１および１００２の内容は、図３のコンパイル・プロセス３１０により取得
されるのが好ましい。
【０１６３】 分解システムへのパケットは１０１２を介して、分解入力バッファ・メモリ１
００８に入り、これは入力バッファ・インターフェース・コントローラ１０２２
を制御する制御信号１０２１，１０２３を利用して行われる。バッファ１００８
およびインターフェース・コントローラ１０２２は、パケット捕捉装置（図示せ
ず）に結合する。バッファ捕捉装置はパケット開始信号１０２１を生成し、イン
ターフェース制御１０２２は次のパケット信号（すなわちデータを受信する準備
）１０２３を生成し、分解入力バッファ・メモリ１００８へのデータ・フローを
制御する。パケットが、バッファ・メモリ１００８へのロードを開始すると、パ
ターン認識エンジン（ＰＲＥ）１００６は、図３のブロック３０４で説明した入
力バッファ・メモリにおける動作を実行する。すなわち、プロトコル形式、およ
びパケットに存する各プロトコル階層に関するヘッダが判定される。
【０１６４】 パケットが包含するプロトコルを認識するために、ＰＲＥはデータベース１０
０１、およびバッファ１００８内のパケットを探索する。一実施例では、データ
ベース１００１は一連のリンクされた探索テーブルを含む。各探索テーブルは８
ビットのアドレス指定を行う。第１探索テーブル常にアドレス０におけるもので
ある。パターン認識エンジンは、制御レジスタからのベース・パケット・オフセ
ットを利用して比較を開始する。この値は現在のオフセット・ポインタ（ＣＯＰ
）にロードされる。分解入力バッファからベース・パケット・オフセットにおけ
るバイトを読み取り、それを第１探索テーブルへのアドレスとして利用する。
【０１６５】 各探索テーブルは、他の探索テーブルにリンクするワードを返す、または端末
フラグを返す。探索テーブルが認識事象(recognition event)を引き起こす場合
、データベースはスライサのための命令も返す。最終的にＣＯＰに付加する値も
返す。
【０１６６】 ＰＲＥ１００６は比較エンジンを含む。比較エンジンは、プロトコル形式フィ
ールドを検査する第１ステージを有し、それが８０２．３パケットであるか、お
よびフィールドが長さとして取り扱われるべきか否かを判定する。長さでない場
合は、プロトコルは第２ステージで検査される。第１ステージは、プログラム可
能でないプロトコルのレベルのみに関するものである。第２ステージは、将来の
プロトコル付加のために定義された２つの完全な１６ビット対応の内容アドレス
可能なメモリ(CAM: content addressable memory)を有する。
【０１６７】 ＰＲＥがパターンを認識するときはいつでも、抽出エンジン（「スライサ」と
も呼ばれる）１００７用の命令を生成する。認識されたパターンおよび命令は抽
出エンジン１００７に送付され、分解レコードを形成するためにパケットから情
報を抽出する。こうして、抽出エンジンの動作が、図３のブロック３０６，３１
２において実行される。命令は、抽出命令ポインタの形式でＰＲＥ１００６から
スライサ１００７に送付され、抽出エンジン１００７に、抽出作業データベース
・メモリ１００２におけるその命令の場所を知らせる。
【０１６８】 ＰＲＥ１００６がプロトコルを認識すると、抽出器に対してプロトコル識別子
およびプロセス・コードの両者を出力する。プロトコル識別子はフロー署名に追
加され、プロセス・コードは命令データベース１００２からの第１命令を取得す
るために使用される。命令は、長さだけでなく、オペレーション・コードおよび
通常はソースおよびあて先オフセットを含む。オフセットおよび長さはバイトに
おけるものである。典型的な動作は、移動(MOVE)命令である。この命令はスライ
サ１００７に対して、入力バッファ１００８から出力バッファ１０１０へ修正な
しにデータのｎバイトをコピーすることを告げる。抽出器はバイト形式バレル・
シフタ(byte-wise barrel shifter)を有し、移動されるバイトがフロー署名に包
含され得るようにする。抽出器はＨＡＳＨと呼ばれる他の命令を包含する。この
命令は、入力バッファ１００８からＨＡＳＨ生成器へコピーすることを告げる。
【０１６９】 これらの命令は、入力バッファ・メモリ内のパケットの選択された要素を抽出
し、分解出力バッファ・メモリ１０１０へデータを転送するためのものである。
いくつかの命令もハッシュを生成する。
【０１７０】 抽出エンジン１００７およびＰＲＥは、パイプラインとして動作する。すなわ
ち、抽出エンジン１００７は、ＰＲＥ１００６によって既に処理された入力バッ
ファ１００８内のデータにおける抽出作業を実行する一方、更なる（すなわち遅
れて到着する）パケット情報がＰＲＥ１００６によって同時に分解される。これ
は、パケットの高速到着に対応するのに充分な高速処理を可能にする。署名を形
成するために使用したパケットの選択された部分総てが抽出されると、分解出力
バッファ・メモリ１０１０にハッシュがロードされる。更なる分析のために必要
とされるパケットからの任意の付加的なペイロードも包含される。分解出力メモ
リ１０１０は、分析インターフェース制御１０１１により分析サブシステムとの
インターフェース機能を行う。パケットの情報の全てが分解出力バッファ・メモ
リ１０１０内にあると、データ準備信号１０２５が分析インターフェース制御に
よってアサートされる。分析準備信号１０２７がアサートされると、分解サブシ
ステム１０００からのデータは、１０１３を通じて分析サブシステムに移動させ
られる。
【０１７１】 図１１は、分析サブシステムに関するハードウエア要素およびデータ・フロー
を示し、図３の分析サブシステム３０３の機能を実行する。分析器は動作に先立
って初期化され、初期化は、コンパイル・プロセス３１０で生成される状態処理
情報を、状態プロセッサ命令データベース（ＳＰＩＤ）メモリ１１０９とも呼ば
れる状態処理用のデータベース・メモリにロードすることを含む。
【０１７２】 分析サブシステム１１００は、分析ホスト・インターフェース・コントローラ
１１１８を利用してホスト・バス・インターフェース１１２２を有し、キャッシ
ュ・システム１１１５へアクセス可能である。キャッシュ・システムは、システ
ムの状態プロセッサ１１０８に対しておよびそこからの双方向アクセス機能を有
する。状態プロセッサ１１０８は、ホスト・バス・インターフェース１１２２を
介して与えられる情報に基づいて状態プロセッサ命令データベース・メモリ１１
０９の初期化に関する責任を有する。
【０１７３】 ＳＰＩＤ１１０９がロードされると、分析サブシステム１１００は分解レコー
ドを受信し、これは、分解装置から一体フロー・キー・バッファ（ＵＦＫＢ）１
１０３へ到来するパケット署名およびペイロードより成る。ＵＦＫＢは、ＵＦＫ
Ｂレコードを設定するメモリより成る。ＵＦＫＢレコードは本質的には分解レコ
ードであり；ＵＦＫＢは、処理された又は処理中のパケットのレコードを有する
。さらに、ＵＦＫＢは１つまたはそれ以上のフィールドを提供し、修正可能なス
テータス・フラグとして機能し、異なるプロセスを同時に走らせることを可能に
する。
【０１７４】 ３つのプロセス・エンジンが同時に走り、ＵＦＫＢ１１０３内のレコードにア
クセスし、その３つとは：探索／更新エンジン（ＬＵＥ）１１０７，状態プロセ
ッサ（ＳＰ）１１０８，およびフロー挿入および除去エンジン（ＦＩＤＥ）１１
１０である。これらの各々は、１つ又はそれ以上の有限状態マシン(FSM: finite
state machine)によって実行される。有限状態マシンおよび一体化フロー・キ
ー・バッファ１１０３の間で双方向のアクセスが存在する。ＵＦＫＢレコードは
、パケット・シーケンス番号を格納するフィールド、および状態プロセッサ３２
８を作動させる状態プロセッサ１１０８に対してプログラム・カウンタの形式で
状態情報の満たされた別のものを含む。エントリに対するＵＦＫＢのステータス
・フラグは、ＬＵＥが終了したこと、および状態プロセッサに対するエントリの
処理を転送することを含む。ＬＵＥ終了インジケータは、ＬＵＥに対する次のエ
ントリが何であるかを示すためにも使用される。フラグも提供され、状態プロセ
ッサが現在のフローに関して終了したことを示し、および状態プロセッサに対す
る次のエントリが何であるかを示す。また、状態プロセッサが、ＵＦＫＢエント
リの処理をフロー挿入および削除エンジンに転送することを示すフラグも提供さ
れる。
【０１７５】 新たなＵＦＫＢレコードは最初にＬＵＥ１１０７によって処理される。ＬＵＥ
１１０７によって処理されたレコードは、状態プロセッサ１１０８によって処理
され、ＵＦＫＢレコード・データは、状態プロセッサ１１０８によって処理され
た後にフロー挿入／削除エンジン１１１０によって又はＬＵＥのみによって処理
される。特定のエンジンが一体化フロー・キー・バッファ・エントリを処理した
か否かは、完了時のエンジンによる状態フィールド・セットによって判別される
。一実施例にあっては、ＵＦＫＢエントリにおけるステータス・フラグは、エン
トリが新規なのか既存のものかを示す。他の実施例では、ＬＵＥは、そのエント
リを処理用の状態プロセッサに渡すためのフラグを発行し、新規レコードに要求
される動作がＳＰ命令に包含される。
【０１７６】 各ＵＫＦＢエントリは３つ総てのエンジンで処理される必要はない点に留意す
べきである。さらに、いくつかのＵＫＦＢエントリは、特定のエンジンで複数回
処理される必要もあり得る。
【０１７７】 これら３つのエンジンの各々は、キャッシュ・エンジンを含むキャッシュ・サ
ブシステム１１１５に対する双方向アクセス機能を有する。キャッシュ１１１５
は、システム内の５つの異なる場所においておよびそこから流れる情報を有する
ように設計され、その５つとは：３つのエンジン、一体化メモリ・コントローラ
（ＵＭＣ）１１１９およびメモリ・インターフェース１１２３を介する外部メモ
リ、ならびに分析ホスト・インターフェースおよび制御装置（ＡＣＩＣ）１１１
８およびホスト・インターフェース・バス（ＨＩＢ）１１２２を介するマイクロ
プロセッサである。分析マイクロプロセッサ（又は専用論理プロセッサ）は、キ
ャッシュ内にデータを直接的に挿入および修正することが可能である。
【０１７８】 キャッシュ・サブシステム１１１５は、１組のアドレス指定可能なメモリ・セ
ル（ＣＡＭ）を有する連合的な(associative)キャッシュであり、各々はキャッ
シュされたフロー・エントリを含むキャッシュ・メモリ（例えばＲＡＭ）に対す
るアドレス部とポインタ部とを有する。ＣＡＭは、上位ＣＡＭから下位ＣＡＭの
順序のスタックとして並べられる。下位のＣＡＭのポインタは、最も最近少なく
使用された(LRU: least recently used)キャッシュ・メモリ・エントリを指す。
キャッシュ・ミスが生じると常に、下位ＣＡＭにより示されるキャッシュ・メモ
リの内容は、フロー・エントリ・データベース３２４からのフロー・エントリに
よって置換される。これは最近最も多く使用されたエントリとなり、下位ＣＡＭ
の内容は上位ＣＡＭに移動させられ、総てのＣＡＭ内容がシフト・ダウンされる
。したがって、キャッシュは、真のＬＲＵ置換方法を利用する連合的なキャッシ
ュである。
【０１７９】 ＬＵＥ１１０７は先ずＵＦＫＢを処理し、図３のブロック３１４，３１６の動
作を基本的には実行する。信号がＬＵＥに対して提供され、「新規」のＵＦＫＢ
エントリが利用可能であることを通知する。ＬＵＥはＵＦＫＢエントリ内でハッ
シュを利用し、キャッシュから４バケットに至る一致するビンを読み込む。キャ
ッシュ・システムは一致するビンを取得しようとする。一致するビンがキャッシ
ュ内にない場合は、キャッシュ１１１５はＵＭＣ１１１９に対して、外部メモリ
から一致するビンを取得するよう要求する。
【０１８０】 ハッシュを利用してフロー・エントリが見出された場合に、ＬＵＥ１１０７は
各バケットを探索し、その署名を利用してＵＦＫＢエントリの署名と比較し、一
致が現れるまで又はそれ以上バケットがなくなるまで継続される。
【０１８１】 一致が得られない場合、すなわちキャッシュがキャッシュからフロー・エント
リのビンを提供するのに失敗した場合、ＵＦＫＢレコードのフロー・キーで設定
されたタイムスタンプ、プロトコル識別および状態判定が、初期化中にコンパイ
ル・プロセッサ３１０によってロードされたテーブルを利用して形成され、その
レコードに対するステータスは、ＬＵＥがそのレコードを処理したことを示すた
めに設定され、ＵＦＫＢエントリが状態処理の準備が整っていることの指示がな
される。識別および状態判定はプロトコル識別子を生成し、これは好適実施例で
は状態プロセッサに対する「ジャンプ・ベクトル」であり、ＵＦＫＢエントリに
関するＵＦＫＢによって維持され、状態プロセッサによって使用され、特定のプ
ロトコルに対する状態処理を開始する。例えば、ジャンプ・ベクトルは、その状
態を処理するためにサブルーチンへジャンプする。
【０１８２】 一致が得られ、ＵＦＫＢエントリのパケットが以前に遭遇したフローに関する
ものである場合は、計算要素は、タイムスタンプを含む格納された１つ又はそれ
以上の統計的測定値をフロー・エントリに加える。さらに、最終的に格納された
タイムスタンプからの時間差が格納され、パケット・カウントが更新される。フ
ロー・エントリから得られるフローの状態は、データベース３２４のフロー・エ
ントリに格納されたプロトコル識別子を調べることによって調査される。その値
が、それ以上の分類を要しないことを示す場合は、そのレコードに対してステー
タスが設定され、ＬＵＥがそのレコードを処理したことを示す。好適実施例では
、プロトコル識別子は、プロトコルを状態処理するためのサブルーチンへの状態
プロセッサ用のジャンプ・ベクトルであり、ゼロであるジャンプ・ベクトルによ
って好適実施例において更なる分類を要しないことが示される。プロトコル識別
子が更なる処理を示す場合は、指示がなされ、ＵＦＫＢエントリが状態処理を開
始する準備が整っていることが示され、およびレコードに対するステータスは、
ＬＵＥがそのレコードを処理したことを知らせるよう設定される。
【０１８３】 状態プロセッサ１１０８は、ＬＵＥが完了した後にＵＦＫＢエントリに従って
キャッシュ・システム内で情報を処理する。状態プロセッサ１１０８は状態プロ
セッサ・プログラム・カウンタＳＰＰＣを含み、初期化中にコンパイラ・プロセ
ス３１０によってロードされた状態プロセッサ命令データベース１１０９におけ
るアドレスを生成する。ＳＰＩＤアドレスを生成する命令ポインタ（ＳＰＩＰ）
も含む。命令ポインタは、インクリメントされ、又は条件分岐を支援するジャン
プ・ベクトル・マルチプレクサからロードされることが可能である。ＳＰＩＰは
以下の３つのソースの１つからロードされることが可能である：（１）ＵＦＫＢ
からのプロトコル識別子，（２）目下デコードされる命令からの直近のジャンプ
・ベクトル，（３）状態プロセッサ内に含まれる算術論理ユニット（ＳＰＡＬＵ
）によって提供される値である。
【０１８４】 既知のプロトコル識別子に関してフロー・キーがＬＵＥによってＵＦＫＢ内に
配置された後に、プログラム・カウンタは分解装置によって認識された最後のプ
ロトコルに関して初期化される。この最初の命令は、デコードされたプロトコル
を解析するサブルーチンへのジャンプである。
【０１８５】 状態プロセッサＡＬＵ（ＳＰＡＬＵ）は、状態プロセッサ命令を実行するため
に必要な算術、論理および連なり比較(String Compare)機能の総てを有する。Ｓ
ＰＡＬＵの主要ブロックは：ＡおよびＢレジスタ、命令デコードおよび状態マシ
ン、ストリング参照メモリ、サーチ・エンジン、出力データ・レジスタおよび出
力制御レジスタである。
【０１８６】 サーチ・エンジンは目標サーチ・レジスタ・セット、参照サーチ・レジスタ・
セット、および２つの入力を排他的ＯＲ演算することによって比較する比較ブロ
ックを含む。
【０１８７】 ＵＦＫＢがプログラム・カウンタを設定した後に、１つ又はそれ以上の状態作
業のシーケンスが状態プロセッサ１１０８で実行され、この特定のパケットに対
するフロー・キー・バッファ・エントリにおけるものであるパケットを更に分析
する。
【０１８８】 図１３は、状態プロセッサ１１０８の動作を記述する。状態プロセッサは１３
０１において、処理されるべき一体化フロー・キー・バッファ・エントリと共に
入力される。ＵＦＫＢエントリは新規であるか、または見出された（既存の）フ
ロー・エントリに対応する。ＵＦＫＢエントリは１３０１において一体化フロー
・キー・バッファ１１０３から受信される。１３０３において、ＵＦＫＢエント
リに対するプロトコル識別子を利用して、状態プロセッサの命令カウンタを設定
する。状態プロセッサ１１０８は、ジャンプ・テーブル内でのオフセットとして
分解サブシステム３０１によって認識された最終プロトコルを利用してそのプロ
セスを開始する。ジャンプ・テーブルは、そのプロトコルを利用するための命令
へ導くものである。多くの命令は、一体化フロー・キー・バッファにおけるもの
、または存在する場合はフロー・エントリを検査する。状態プロセッサ１１０８
は、検査を実行するため、ビットの検査、比較の実行、加算または減算を行う必
要がある。
【０１８９】 １３０４において、状態プロセッサ命令データベース・メモリ１１０９から第
１の状態プロセッサ命令が取得される。状態プロセッサは、１つ又はそれ以上の
取得した動作（１３０４）を実行する。本実施例では、各々単独の状態プロセッ
サ命令は、非常に基本的なものであり（例えば、移動、比較等）、多くのそのよ
うな命令がそれぞれの一体化フロー・キー・バッファ・エントリで実行される必
要がある。状態プロセッサの１つの特徴は、ＵＦＫＢエントリのペイロード部分
において、１つ又はそれ以上（４つまで）の参照ストリングを探索する機能であ
る。これは、特定の探索命令に応答して、状態プロセッサの探索エンジン要素に
よって実行される。
【０１９０】 １３０７において、検査が行われ、そのパケットに関して更に実行されるべき
命令の存否を判別する。存在すれば、１３０８において、そのシステムは次の命
令を取得するために状態プロセッサ命令ポインタ（ＳＰＩＰ）を設定する。ＳＰ
ＩＰは、現在デコードされている命令における直近のジャンプ・ベクトルによっ
て、又は処理中のＳＰＡＬＵによって提供される値によって設定可能である。
【０１９１】 次に行われる命令が、実行のために取得される（１３０４）。１３０４と１３
０７の間の状態処理ループは、行われるべき命令がなくなるまで続く。
【０１９２】 この段階において、特定のパケットにおける処理が最終的な状態になったか否
かについて、１３０９で検査が行われる。すなわち、分析器はその特定のパケッ
トだけでなく、そのパケットが属する全フローについても処理を行い、そのフロ
ーは完全に決定される。このフローに関して処理する状態がそれ以上存在しない
場合、１３１１においてそのフローは処理を終了する。いくつかの最終状態は、
例えば低レベル接続識別子から接続が消滅する場合に、システムにフローを除去
するよう告げるところの状態を適切に設ける必要がある。この場合において、１
３１１において、フロー・エントリにおいてフロー除去状態が設定され保存され
る。フロー除去状態は、除去する命令が存在しないことを意味するＮＯＰ（ノー
・オペレーション）命令でもあり得る。
【０１９３】 このフロー（ＮＯＰ又はそれ以外）について特定されているような適切なフロ
ー除去命令が設定および保存されると、プロセスは１３１３から抜け出す。状態
プロセッサ１１０８は、処理を行うための他の一体化フロー・キー・バッファ・
エントリを取得することが可能である。
【０１９４】 １３０９において、このフローに関する処理が完了していないと判断されると
、１３１０においてシステムは状態プロセッサ命令ポインタを、現在のフロー・
エントリに保存する。それは次の動作であり、ＬＲＥ１１０７はそのフローに合
致するＵＦＫＢにおけるパケットを見出す。このプロセッサは、１３１３におい
て、その特定の一体化フロー・キー・バッファ・エントリの処理から抜け出す。
【０１９５】 状態処理は、一体化フロー・キー・バッファ１１０３およびにおける情報およ
びそのキャッシュにおけるフロー・エントリを更新する。状態プロセッサが処理
を終了すると、そのエントリに対するＵＦＫＢにおいて、状態プロセッサが終了
するフラグが設定される。さらに、フローのデータベースにフローが挿入され又
は削除される必要がある場合は、そのフロー署名およびパケット・エントリに関
してフロー挿入／削除エンジン１１１０において制御が行われる。これは、その
ＵＦＫＢエントリに関するＵＦＫＢ内の他のフラグを設定する状態プロセッサに
よって行われ、状態プロセッサがそのエントリの処理をフロー挿入および削除エ
ンジンに引き渡すことを示す。
【０１９６】 フロー挿入および削除エンジン１１１０は、フロー・エントリ・データベース
を維持する責任を有する。特に、フロー・データベースにおいて新たなフローを
生成するため、およびデータベースからフローを削除するために再利用される。
【０１９７】 フロー命令のプロセスは、図１２に関して説明される。フローは、ハッシュ値
によってバッケトのビンにグループ化される。エンジンは、新規であるＵＦＫＢ
エントリを処理し、そうでない場合は状態プロセッサは生成される必要性を通知
する。図１２は新規のエントリが生成される場合を示す。会話レコード・ビン（
４つのレコードに関して４つのバケットを含むことが好ましい。）が１２０３で
取得される。これはＵＦＫＢのハッシュに合致するビンであり、このビンはＬＵ
Ｅによって既にＵＦＫＢエントリを要求したものであり得る。１２０４において
、ＦＩＤＥ１１１０は、レコード・ビン／バケットがキャッシュ・システム１１
１５で維持されるように要求する。１２０５において、キャッシュ・システム１
１１５が、ビン／バケットが空であることを示す場合は、ステップ１２０７でフ
ロー署名を（ハッシュと共に）バケットに挿入し、そのバケットはタイムスタン
プを利用してキャッシュ１１１５のキャッシュ・エンジンにおいて「使用済み」
にマークされ、プロセスの間維持される。１２０９において、ＦＩＤＥ１１１０
は、ビンおよびバケット・レコード・フロー署名をそのパケットと比較し、要素
の総てがレコードを完了するのに適切であることを確認する。１２１１において
、システムは、キャッシュ・システム（および外部メモリ）においてレコード・
ビンおよびバケットを「処理中」としておよび「新規」としてマークする。１２
１２において、フロー・レコードに関する最初の統計定期測定値がキャッシュ・
システムに設定される。好適実施例ではこれは統計値を維持するために使用され
るカウンタ群をクリアし、および特定のパケットに対して見出される第１パケッ
トに関し、分析器によって要求される統計処理のための他の手続きを実行する。
【０１９８】 ステップ１２０５に戻って、バケットが空でなければ、ＦＩＤＥ１１１０は、
キャッシュ・システム内の特定のビンに関する次のバケットを要求する。成功す
ると、１２０７，１２１１および１２１２の処理がその次のバケットに対して繰
り返される。１２０８において有効なバケットが存在しない場合は、パケットに
関する一体化フロー・キー・バッファ・エントリが「ドロップ(drop)」として設
定され、システム内にはバケットが残っていないので、システムはその特定のパ
ケットを処理できないことを示す。プロセスは１２１３から抜け出す。ＦＩＤＥ
１１１０はＵＦＫＥを示し、フロー挿入および削除作業がＵＦＫＢエントリに対
して完了する。これはＵＦＫＢに次のＵＦＫＢレコードをＦＩＤＥに提供させる
。
【０１９９】 特定のパケットおよびそのフロー署名に対してアクセスおよび維持を要する総
てのエンジンによって、一体化フロー・キー・バッファ・エントリに対して一群
の作業が実行されると、一体化フロー・キー・バッファ・エントリは「完了」と
してマークされる。この要素は、分解および抽出システムから到来する次のパケ
ットおよびフロー署名に対して、分解インターフェースによって使用される。
【０２００】 総てのフロー・エントリは外部メモリ内に維持され、いくらかはキャッシュ１
１１５に維持される。キャッシュ・システム１１１５は、フロー・データベース
にアクセスし、反対側に存するメモリ・インターフェース１１２３のデータ構造
を理解できる程度にインテリジェント化されている。探索／更新エンジン１１０
７は、更なる処理のために、キャッシュ・システムが特定のフロー又はフローの
「バケット」を一体化メモリ・コントローラ１１１９からキャッシュ・システム
へ引き出すことを要求することが可能である。探索／更新エンジンの要求を利用
して見出されると、状態プロセッサ１１０８は、キャッシュ・システムで見出し
た情報に対して動作することが可能であり、一体化フロー・キー・バッファ１１
０３内の情報に基づいて要求された場合に、フロー挿入／削除エンジン１１１０
はキャッシュ・システムにおいて新たなエントリを生成することが可能である。
キャッシュは、メモリ・インターフェース１１２３および一体化メモリ・コント
ローラ１１１９を通じてメモリから要求された情報を抽出し、メモリ・コントロ
ーラ１１１９を通じてメモリ内で要求された情報を更新する。
【０２０１】 特定のハードウエア構成における図１１のモジュールに関して、システム外部
の要素に対するいくつかのインターフェースが存在する。これらは、汎用インタ
ーフェースとして設計されるホスト・バス・インターフェース１１２２を含み、
マイクロプロセッサまたはマルチプレクサ（ＭＵＸ）システムのような任意の外
部処理システムと共に動作することが可能である。したがって、図１１および１
２の全トラフィック分類システムを、他の処理システムに結合することが可能で
あり、分類システムを管理し、システムが収集したデータを抽出することが可能
である。
【０２０２】 メモリ・インターフェース１１２３は、フロー・エントリを格納するための所
望の様々なメモリ・システムとインターフェースを行うよう設計される。一般的
なダイナミック・ランダム・アクセス・メモリ（ＤＲＡＭ），同期式ＤＲＡＭ，
同期グラフィック・メモリ（ＳＧＲＡＭ），スタティック・ランダム・アクセス
・メモリ（ＳＲＡＭ）等のような異なる形式のメモリ・システムを利用すること
が可能である。
【０２０３】 図１０はいくつかの「一般的な」インターフェースも包含する。パケット入力
インターフェース１０１２が存在し、これは、入力バッファ・インターフェース
制御１０２２の信号と並んで動作する。これらは、パケット情報を分解装置に供
給することが可能な任意の種類の汎用システムに関して利用可能であるように設
計される。他の汎用インターフェースは、ホスト・インターフェース・マルチプ
レクサおよび制御レジスタ１００５からおよびそこへのパイプ１０３１，１０３
３のインターフェースである。これは、分解システムを、マイクロプロセッサ又
は他の形式の外部ロジックのような外部システムによって管理可能にし、および
外部システムをプログラム可能にし、さもなくば分解装置を制御する。
【０２０４】 本発明の好適実施例では、ＶＨＤＬまたはベリログ(Verilog)のようなハード
ウエア記述言語（ＨＤＬ）で記述される。例えばネットワーク内でトラフィック
を形成および分析することに関して設計される他の汎用システムに集積された単
独チップ・システムとして、使用可能であるようにＨＤＬで設計および生成され
る。ベリログ又はＨＤＬによる実現化は、ハードウエアを記述する１つの方法に
過ぎない。
【０２０５】 あるハードウエア実現化によれば、図１０，１１に示される要素は、６つのフ
ィールド・プログラム可能な論理アレイ（ＦＰＧＡ）の１組で実現される。ＦＰ
ＧＡの境界は以下のとおりである。図１０の分解サブシステムは２つのＦＰＧＡ
Ｓとして実現され；１つのＦＰＧＡはブロック１００６，１００８，１０１２，
一部の１００５およびメモリ１００１を含む。第２のＦＰＧＡは、１００２，１
００７，１０１３，１０１１，一部の１００５を含む。図１１を参照すると、一
体化探索バッファ１１０３が単独のＦＰＧＡとして実現されている。状態プロセ
ッサ１１０８および一部の状態プロセッサ命令データベース・メモリ１１０９は
別のＦＰＧＡである。状態プロセッサ命令データベース・メモリ１１０９の一部
は外部ＳＲＡＭ内に維持される。探索／更新エンジン１１０７およびフロー挿入
／削除エンジン１１１０は別のＦＰＧＡ内である。第６ＦＰＧＡは、キャッシュ
・システム１１１５，一体化メモリ制御１１１９，および分析ホスト・インター
フェースおよび制御１１１８を含む。
【０２０６】 ＦＰＧＡのような用途特定集積回路（ＡＳＩＣ）の集合としてではなく、１つ
又はそれ以上のＶＬＳＩ装置としてシステムを実現することが可能な点に留意す
べきである。将来的に装置密度が増加し続け、完全なシステムが、大きなシング
ル・チップ装置の部分（コア）を最終的に形成するようになることも予想される
。
【０２０７】 ［本発明の動作］ 図１５は、ネットワーク・モニタ３００がネットワーク１０２内でどのように
してトラフィックを分析するために使用されるかの例を示す。パケット捕捉装置
１５０２は、ネットワーク１０２上の接続点１２１から総てのパケットを捕捉し
、両方向における地点１２１を通過する全パケットがモニタ３００に供給される
。モニタ３００は、フロー署名を判別する分解サブシステム３０１と、各パケッ
トのフロー署名を分析する分析サブシステム３０３とを有する。メモリ３２４を
利用して、モニタ３００で判別および更新されたフローのデータベースを格納す
る。例えば汎用コンピュータのような任意のプロセッサであり得るホスト・コン
ピュータ１５０４は、メモリ３２４内のフローを分析するために使用される。従
来と同様に、ホスト・コンピュータ１５０４は、ホスト・メモリ１５０６として
示される例えばＲＡＭのようなメモリを有する。更に、ホストはディスクを含む
ことも可能である。ある応用例では、システムがＲＭＯＮプローブとして動作可
能であり、ホスト・コンピュータは、ネットワーク１０２に接続されるネットワ
ーク・インターフェース・カード１５１０に結合される。
【０２０８】 本発明の好適実施例は、選択的なネットワーク管理プロトコル(SNMP: Simple
Network Management Protocol)に関する。図１５は、どのようにして例えばＲＭ
ＯＮプローブを実現するかを説明し、ネットワーク・インターフェース・カード
を利用してＲＭＯＮ情報をネットワークに送る。商用のＳＮＭＰ手段も利用可能
であり、そのような手段の利用は、本願実施例を任意のプラットフォームに応用
するプロセスを簡潔にすることが可能である。
【０２０９】 更に、ＭＩＢコンパイラを利用することが可能である。ＭＩＢコンパイラは、
専用のＭＩＢ拡張(proprietary MIB extension)の生成および保守を非常に簡潔
にする。
【０２１０】 ［パケット明瞭化の例］ モニタ３００は、特に分析器３０３は、パケット交換に関して状態分析を実行
することが可能であり、これは一般に「サーバ通知」形式交換として言及される
。サーバ通知は、複数のクライアントから同時にアクセスされることの可能な複
数のアプリケーションに関するサーバの間における通信を容易にするために使用
される。多くのアプリケーションは、サーバ通知プロセスを、多くのアプリケー
ションおよびサービスへの単独ポート又はソケットを多重化する手段として使用
する。この種の交換に関し、メッセージがブロードキャスト又はマルチキャスト
の手法でネットワーク上で伝送され、サーバおよびアプリケーションを通知し、
ネットワーク内の総ての局(station)がこれらのメッセージを受信およびデコー
ドする。そのメッセージは、特定のサーバに関する特定のアプリケーションを通
信するために適切な接続点を、局が導出することを可能にする。サーバ通知の手
法を利用して、特定のアプリケーションは、ＩＰプロトコルが適するようなＴＣ
Ｐ又はＵＤＰソケット又はポートの形式におけるサービス・チャネルの利用、ま
たはノベル(Novell)ＩＰＸプロトコルが適しているようなＳＡＰの利用を通信す
る。
【０２１１】 分析器３０３は、パケット交換の「イン・ストリーム分析」(in-stream analy
sis)を実行することも可能である。「イン・ストリーム分析」の方法は、一次的
又は二次的な認識プロセスとして利用される。一次プロセスとしてのイン・スト
リーム分析は、詳細な情報の抽出を支援し、特定のアプリケーションおよびアプ
リケーション内容の両者を更に判別するために使用される。イン・ストリーム分
析の好適な例は、ウェブ・ベースのアプリケーションである。例えば、一般的に
使用されるポイントキャスト・ウェブ情報アプリケーションは、そのプロセスを
利用して認識可能であり；ポイントキャスト・サーバおよびクライアントの間の
初期接続の最中に、特定のキー・トークン(key token)がデータ交換において存
在し、これはポイントキャストを認識するために生成される署名になる。
【０２１２】 イン・ストリーム分析プロセスは、サーバ通知プロセスと組み合わせることも
可能である。多くの場合、イン・ストリーム分析は別の認識プロセスを増やす。
サーバ通知を利用したイン・ストリーム分析を結合させる例は、ＳＡＰおよびＢ
ＡＡＮのような商用アプリケーションに見受けられる。
【０２１３】 「セッション・トラック」は、クライアント／サーバ・パケット交換における
アプリケーションを追跡する一次プロセスの１つとしても知られる。セッション
を追跡するプロセスは、所定のソケット又はポート番号に対する初期接続を要す
る。この通信方法は、トランスポート階層プロトコルの一種として使用される。
ＩＰプロトコルのＴＣＰおよびＵＤＰ転送プロトコルにおいて多く見受けられる
。
【０２１４】 セッション・トラックの最中において、クライアントは、特定のポート又はソ
ケット番号を利用してサーバに要求を行う。最初の要求は、サーバがＴＣＰまた
はＵＤＰポートを形成可能にし、クライアントおよびサーバ間でデータの合図(r
emainder)を交換する。クライアントがサーバに接続するために使用した当初の
ポートは、このデータ交換中に再び使用されることはないであろう。
【０２１５】 セッション・トラックの一例は、自明ファイル転送プロトコル(TFTP: Trivial
File Transfer Protocol)であり、ディレクトリ又はパスワードの機能を有しな
いＴＣＰ／ＩＰ ＦＴＰプロトコルの一種である。ＴＦＴＰのクライアント／サ
ーバ交換プロセスの間に、パケット交換を開始するために特定のポート（ポート
番号６９）が常に使用される。従って、クライアントが通信のプロセスを開始す
る場合に、ＵＤＰポート６９に対して要求がなされる。サーバがこの要求を受信
すると、新たなポート番号がサーバ上に形成される。サーバはその新たなポート
を利用してクライアントに返答する。この例で明らかなことは、ＴＦＴＰを認識
するために、ネットワーク・モニタ３００は、クライアントからの初期の要求を
分析し、そのための署名を生成することである。モニタ３００はその署名を利用
して返答を認識する。モニタ３００は、キー・ポート情報を利用してサーバから
の返答を分析し、それを利用して、データ交換の残余のパケットを監視するため
の署名を形成する。
【０２１６】 ネットワーク・モニタ３００は、ネットワークにおける特定の接続の現状を理
解することも可能である。アプリケーションを適切に識別するために、接続交換
は、状態追跡からしばしば恩恵を得る。具体例は一般的なＴＣＰ転送プロトコル
であり、クライアントおよびサーバ間で情報を送信する適切な手段を提供する。
データ交換が開始されると、同期メッセージに関するＴＣＰリクエストが送出さ
れる。このメッセージは特定のシーケンス番号を含み、サーバからの承認を追跡
するために使用される。サーバが同期リクエストを承認すると、クライアントお
よびサーバ間でデータが交換される。通信がもはや必要でなくなると、クライア
ントはサーバに対して終了または完了メッセージを送信し、サーバは終了リクエ
ストを承認し、そのリクエストからのシーケンス番号を含む返答を行う。このよ
うな接続交換の状態は、様々な形式の接続および保守メッセージに関連する。
【０２１７】 ［サーバ通知例］ サーバ通知プロトコルの各方法には様々なものがある。しかし、根底にある基
本は同様なものである。典型的なサーバ通知メッセージが、ネットワークにおい
て１つ又はそれ以上のクライアントに送出される。この形式の通知メッセージは
、特定の内容を有し、本願他の実施例ではシステム内のフロー・エントリのデー
タベース内で保護および維持される。通知は１つ又はそれ以上の局(satation)に
送られるので、サーバとの将来的なパケット交換において包含されるクライアン
トは、通知された情報が知られていることを想定し、本願モニタについても同様
のことを想定する。
【０２１８】 サン(Sun)ＲＰＣは、サン・マイクロシステムズ，インコーポレーション（カ
リフォルニア州パロアルト）による遠隔手順呼び出し（ＲＰＣ）プログラミング
・インターフェースの手段であり、あるプログラムが遠隔装置における他のサー
ビスを利用可能にする。サンＲＰＣ例を利用して、モニタ３００がどのようにし
ていくつ者通知を捕捉するかを説明する。
【０２１９】 サーバまたは手続きの使用を希望する遠隔プログラム又はクライアントは、Ｒ
ＰＣプロトコルが利用可能な接続を可能にする。
【０２２０】 サンＲＰＣプロトコルを走らせる各サーバは、ポート・マッパと呼ばれるプロ
セスおよびデータベースを維持しなければならない。ポート・マッパは、サンＲ
ＰＣプログラムまたはアプリケーションと、ＴＣＰまたはＵＤＰソケット又はポ
ート（ＴＣＰまたはＵＤＰ手段）との間の直接的な関連性を形成する。アプリケ
ーション又はプログラム番号は、ＩＣＡＮＮ（割当名称および番号に関するイン
ターネット企業，www.icann.org）によって割り当てられる３２ビットの固有の
識別子であり、ＩＣＡＮＮは、インターネット・プロトコルに関する膨大な数の
パラメータ（ポート番号、ルータ・プロトコル、マルチキャスト・アドレス等）
を管理する。サンＲＰＣサーバにおける各ポート・マッパは、特定のリクエスト
または管理された通知を利用することによって、固有のプログラム番号と特定の
転送ソケットとの間のマッピングを提供することが可能である。ＩＣＡＮＮに従
って、ポート番号１１１がサンＲＰＣに割り当てられる。
【０２２１】 例として、所定のＵＤＰ又はＴＣＰソケットにおいてサーバ（例えば、図１の
１１０として示されるサーバ２）に対してクライアント（例えば、図１の１０６
として示されるクライアント３）が特定の要求を行うことを考察する。サンＲＰ
Ｃサーバ上のポート・マッパ・プロセスがリクエストを受信すると、特定のマッ
ピングが指定された返答においてクライアントに返される。
【０２２２】 １．クライアント（図１のクライアント３，１０６）は、ポート１１１に
おいて、ＲＰＣ拘束探索要求(rpcBindLookup)を利用して、ＴＣＰパケットをサ
ーバ２（図１の１１０）に送信する。ＴＣＰ又はＵＤＰポート１１１はサンＲＰ
Ｃに常に関連する。この要求は、プログラム（プログラム識別子として）、バー
ジョンを特定し、プロトコル（ＵＤＰまたはＴＣＰ）を特定し得る。
【０２２３】 ２．サーバ２（図１の１１０）は、その要求からプログラム識別子および
バージョン識別子を抽出する。サーバは、このパケットがＴＣＰ転送を利用して
到来し、何らのプロトコルも指定されておらず、その返答でＴＣＰプロトコルが
利用されるであろうという事実も利用する。
【０２２４】 ３．サーバ１１０は、ＲＰＣ拘束探索要求を利用してＴＣＰパケットをポ
ート番号１１１へ送信する。返答は、特定のポート番号（例えば、ポート番号
‘ポート’）を含み、将来の処理は、特定のＲＰＣプログラム識別子（例えばプ
ログラム ‘プログラム’）および使用するためのプロトコル（ＵＤＰまたはＴ
ＣＰ）に関して受け入れられる。 番号‘ポート’がもはやプログラム‘プログラム’に関連しなくなるまで、ポー
ト番号‘ポート’が利用され、パケットがアプリケーション・プログラム‘プロ
グラム’に、今後毎回関連するのが好ましい。フロー・エントリおよび署名を形
成することによってネットワーク・モニタ３００は、交換を思い出すための機構
を有し、ポート番号‘ポート’を利用する更なる将来的なポートが、アプリケー
ション・プログラム‘プログラム’を利用してネットワーク・モニタによって関
連付けられるようにする。 サンＲＰＣ拘束探索要求および返答に加えて、たとえば‘プログラム’である特
定のプログラムが、例えば番号‘ポート’の特定のポート番号に関連付けられる
他の方法も存在する。１つは、アプリケーション・サービスとポート番号との間
の特定の関連付けのブロードキャスト通知によるものであり、サンＲＰＣポート
・マッパ通知と呼ばれる。他のものは、たとえば同一のサーバ２であるサーバが
、ＲＰＣポート・マッパ返答に関するポートマッパ割当を要求する例えばクライ
アント１であるクライアントに対して返信する場合のものである。たとえばクラ
イアント２である他のクライアントは、この要求を適切に見ることができず、そ
して、その特定のサーバ２に対してポート番号‘ポート’がアプリケーション・
サービス‘プログラム’に関連付けられることを知る。ネットワーク・モニタ３
００は、アプリケーション・プログラム‘プログラム’と共にポート番号‘ポー
ト’を利用して、サーバ２に対する任意のパケットを関連付けることが可能であ
ることが好ましい。
【０２２５】 図９は、サン遠隔手順呼出に関する図３のモニタ３００におけるいくつかの動
作のデータフロー９００を表現する。クライアント１０６（例えば図１のクライ
アント３）が、ネットワーク１１８に対するインターフェースを通じてサーバ１
１０（例えば図１のサーバ２）へ、サーバのインターフェースを通じてネットワ
ーク１１６と通信を行っているとする。さらに、遠隔手順呼出を利用してサーバ
１１０と通信を行うことを仮定する。データ・フロー９００における１つの経路
は、ステップ９１０から始まり、遠隔手順呼出の拘束探索要求がクライアント１
０６から発行され、サーバ状態生成ステップ９０４で終了する。このようなＲＰ
Ｃ拘束探索要求は、使用する‘プログラム’，‘バージョン’および‘プロトコ
ル’，例えばＴＣＰまたはＵＤＰに関する値を含む。ネットワーク・モニタ３０
０におけるサンＲＰＣ分析のためのプロセスは、以下の特徴を含む： ・プロセス９０９：‘プログラム’，‘バージョン’および‘プロトコ
ル’（ＴＣＰまたはＵＤＰ）の抽出。サンＲＰＣを示すところの１１１であるＴ
ＣＰまたはＵＤＰポート（プロセス９０９）の抽出。
【０２２６】 ・プロセス９０８：サンＲＰＣパケットのデコード。ＩＤに関するＲＰ
Ｃ形式フィールドの検査。値がポート・マッパであれば、対のソケットを保存す
る（すなわち、あて先アドレスとソース・アドレス）。ポートのデコードおよび
マッピング，ソケット／アドレス・キーに関するポートの保存。マッパ・パケッ
トにつき１以上の対が存在し得る。署名の形成（例えばキー）。フロー・エント
リがデータベー３２４で形成される。要求の保存は完了する。
【０２２７】 後に、サーバ（プロセス９０７）は、ＲＰＣ拘束探索返答を発行する。パケッ
ト・モニタ３００は、そのパケットから署名を抽出し、以前格納したフローから
それを認識する。モニタはプロトコル・ポート番号（９０６）を取得し、リクエ
ストを探索する（９０５）。新たな署名（すなわち、キー）が形成され、サーバ
状態の形成（９０４）は、そのフロー・エントリ・データベースにおける新たな
署名によって識別されるエントリとして格納される。署名は、サーバに関連する
パケットを識別するために使用される。
【０２２８】 サーバ状態生成ステップ９０４は、拘束探索要求／返答の対だけでなく、９０
１として示されるＲＰＣ返答ポート・マッパ・パケット又は９０２として示され
るＲＰＣ通知ポート・マッパをも達成可能である。遠隔手順呼出プロトコルは、
特定のアプリケーション・サービスを提供可能であることを通知し得る。クライ
アントおよびサーバの間で交換が起こる際に、本願実施例では分析することが好
ましく、ネットワークにおけるサービスの通知を受信した局を追跡可能であるこ
とが好ましい。
【０２２９】 ＲＰＣ通知ポート・マッパ通知９０２は、同報通信（ブロードキャスト）であ
る。これは、様々なクライアントが同様な動作群を実行可能にし、例えば、その
通知から取得した情報を保存する。ＲＰＣ返答ポート・マッパ・ステップ９０１
は、ポート・マッパ・リクエストに対する返答におけるものであり、これもブロ
ードキャストされる。これは総てのサービス・パラメータを含む。
【０２３０】 こうして、モニタ３００は、特定のサービス‘プログラム’に関連するフロー
の後の分類に対するそのような状態の総てを形成および保存する。
【０２３１】 図２は、モニタ３００が、サンＲＰＣの例において、署名およびフロー状態を
どのようにして形成するかを示す。例えばサン・マイクロシステムズ遠隔手順呼
出プロトコルにおいて、複数のパケット２０６−２０９が交換される。本発明の
方法例では、１対のフロー署名「署名１」２１０と「署名２」２１２を、パケッ
ト２０６，２０７において見出された情報から生成し、本実施例ではサンＰＲＣ
拘束探索要求および返答にそれぞれ対応する。
【０２３２】 最初のサンＲＰＣ拘束探索要求を考察する。パケット２０６が、クライアント
３からサーバ２へ伝送されたリクエストに対応すると仮定する。このパケットは
、本発明により署名を形成するために使用される重要な情報を含む。ソースおよ
びあて先ネットワーク・アドレスは、各パケットの最初の２つのフィールドを占
有し、パターン・データベース３０８におけるパターンに従って、フロー署名（
図２のキー１の２３０として示される）もこれら２つのフィールドを含み、分解
サブシステム３０１は署名キー１（２３０）におけるこれら２つのフィールドを
含む。図２において、アドレスがクライアント１０６（２０２としても示される
）を識別する場合、図中で使用されるラベルは「Ｃ１」である。アドレスがサー
バ１１０（サーバ２０４としても示される）を識別する場合、図中で使用される
ラベルは「Ｓ１」である。パケット２０６における最初の２つのフィールド２１
４，２１５は「Ｓ１」および「Ｃ１」である。なぜならパケット２０６はサーバ
１１０から提供され、クライアント１０６に向けられているからである。本実施
例では、「Ｓ１」はアドレス「Ｃ１」より数値的には小さいアドレスであると仮
定している。第３のフィールド「ｐ１」２１６は、ＴＣＰ，ＵＤＰ等のような使
用される特定のプロトコルを識別する。
【０２３３】 パケット２０６において、第４フィールド２１７および第５フィールド２１８
は、使用されるポート番号を通信するために使用される。会話方向は、ポート番
号フィールドがどこであるかを決定する。斜線パターンのフィールド２１７はソ
ース・ポート・パターンを識別するために使用され、ハッシュ(hash)パターンの
フィールド２１８はあて先ポート・パターンを識別するために使用される。その
順序がクライアント・サーバ・メッセージの方向を示す。「ｉ１」２１９で記さ
れる第６フィールドは、サーバからクライアントに要求される要素である。「ｓ
１ａ」２２０で記される第７フィールドは、クライアントからサーバ１１０に要
求されるサービスである。以降の第８フィールド「ＱＡ」２２１（質問記号のた
め）は、クライアント１０６がアプリケーション「ｓ１ａ」にアクセスするため
に使用するものを知りたいことを示す。第１０フィールド「ＱＰ」２２３は、ク
ライアントが、特定のアプリケーションに対して使用するプロトコルが何である
かを示すことをサーバに対して望んでいることを示す。
【０２３４】 パケット２０６は、例えばサーバ２に対するＲＰＣ拘束探索要求のようなパケ
ット交換のシーケンスを示す。これは、総てのパケットに行うように充分に定義
されたフォーマットに続き、よく知られたサービス接続識別子（サンＲＰＣを示
すポート１１１）でサーバ１１０に送信される。
【０２３５】 パケット２０７は、サーバからクライアント１０６へ返答において最初に送信
される。これは、要求パケット２０６の結果としてのＲＰＣ拘束探索返答である
。
【０２３６】 パケット２０７は、１０個のフィールド２２４−２３３を含む。あて先および
ソース・アドレスはフィールド２２４，２２５において、それぞれ「Ｃ１」およ
び「Ｓ１」で示される。順序が逆である点に留意すべきである。なぜなら、クラ
イアント・サーバ・メッセージの方向が、サーバ１１０からクライアント１０６
に向かうからである。プロトコル「ｐ１」はフィールド２２６において示される
。要求「ｉ１」はフィールド２１９におけるものである。例えばフィールド２３
３におけるアプリケーション・ポート番号およびフィールド２３３におけるプロ
トコル「ｐ２」に対しては、値が含まれる。 この交換の結果として形成されるフロー署名およびフロー状態について説明する
。パケット・モニタ３００がクライアントからのリクエスト・パケット２０６を
見出すと、パターンおよび抽出作業データベース３０８に従って、第１フロー署
名２１０が分解サブシステム３０１内で形成される。この署名２１０は、あて先
およびソース・アドレス２４０，２４１を含む。本発明の特徴の１つは、会話の
方向がどうであれ、特定の順序でフロー・キーが一貫して形成されることである
。これを達成するためにいくつかの機構が使用される。特定の実施例では、数値
的に高いアドレスの前には常に数値的に低いアドレスが配置される。最小から最
大への順序を利用して、探索動作に対して署名およびハッシュの最良の分散が得
られる。したがってこの場合、「Ｓ１」＜「Ｃ１」を仮定し、順序はアドレス「
Ｓ１」にクライアント・アドレス「Ｃ１」が続く。署名を形成するための次のフ
ィールドは、パケット２０６のフィールド２１６から抽出したプロトコル・フィ
ールド２４２であり、従ってプロトコル「ｐ１」である。署名のために使用され
る次のフィールドはフィールド２４３であり、これは、パケット２０６の斜交的
な影パターンのフィールド２１８からのあて先ソース・ポート番号を含む。この
パターンは、パケットのペイロードで認識され、パケット又はパケットのシーケ
ンスがフローとしてどのように存在するかを導出する。実際には、これらはＴＣ
Ｐポート番号またはＴＣＰポート番号の組み合わせであり得る。サンＲＰＣの例
の場合、斜交線の部分は、ｐ１に対するＵＤＳのポート番号群を表現し、このフ
ローを認識するために使用される（例えばポート１１１）。ポート１１１は、こ
れがサンＲＰＣであることを示す。サンＲＰＣ拘束探索のようないくつかのアプ
リケーションは、分解レベルで直接的に判別可能である（既知）。この場合、署
名キー１は、「ａ１」（サンＰＲＣ拘束探索）で記される既知のアプリケーショ
ン、および状態プロセッサがより複雑な認識作業に進むべきところの次の状態を
指し、後者は、状態「ｓｔＤ」がフロー・エントリのフィールド２４５に位置す
るように記される。 サンＰＲＣ拘束探索返答が捕捉されると、再びフロー署名が分解装置によって形
成される。このフロー署名はキー１に一致する。したがって、署名は分解サブシ
ステム３０１から分析サブシステム３０３に入り、完全なフロー署名が得られ、
フロー・エントリは状態「ｓｔＤ」を示す。状態プロセッサ命令データベース３
２６における状態「ｓｔＤ」に関する動作は、状態プロセッサに対して、図２の
キー２（２１２）として示されるような新たなフロー署名を形成および格納する
よう命令する。状態プロセッサによって形成されたこのフロー署名は、あて先お
よびソース・アドレス２５０，２５１を含み、サーバに対する「Ｓ１」の後に（
数値的に高いアドレスの）クライアント「Ｃ１」が続く。プロトコル・フィール
ド２５２は、返答パケットから取得された例えば「ｐ２」のような使用されるプ
ロトコルを定める。フィールド２５３は、返答パケットから取得される認識パタ
ーンも含む。この場合、アプリケーションはサンＲＰＣであり、フィールド２５
４はそのアプリケーション「ａ２」を示す。次の状態フィールド２５５は、例え
ば状態「ｓｔ１」であるような状態プロセッサがより複雑な認識作業に進むべき
ところの次の状態を定める。この実施例ではこれが最終状態である。こうして、
キー２は、アプリケーション「ａ２」に関連した任意のパケットを認識するため
に使用される。そのような２つのパケット２０８，２０９が、各方向に付き１つ
示されている。これらは、当初の拘束探索要求において要求された特定のアプリ
ケーション・サービスを利用し、署名キー２が各々の場合において形成されるの
で各々は認識される。
【０２３７】 ２つのフロー署名２１０，２１２は常にあて先およびソース・アドレス・フィ
ールドの順序であり、サーバ「Ｓ１」の後にクライアント「Ｃ１」が続く。特定
のフロー署名において、これらのアドレスが最初に生成されると、これらの値は
自動的に満たされる。好ましくは、フロー署名およびハッシュを最良に分散させ
るために、最小から最大への順序で、フロー署名の多くの集合がルック・アップ
・テーブルに維持される。
【０２３８】 その後、クライアントおよびサーバは、例えばリクエスト・パケット２０８お
よび応答パケット２０９で表現されるような多数のパケットを交換する。クライ
アント１０６はパケット２０８を送信し、これは、１対のフィールド２６０，２
６１においてあて先およびソース・アドレスＳ１およびＣ１を有する。フィール
ド２６２は「ｐ２」としてプロトコルを定め、フィールド２６３はあて先ポート
番号を定める。
【０２３９】 いくつかのネットワーク・サーバ・アプリケーション認識作業は、非常に簡単
なので、パケットを生成したアプリケーションを正確に指定可能にするために単
独の状態遷移しか必要としない場合がある。そうでない場合は、既知の所定の上
昇(climb)を行うために、状態から状態へ状態遷移のシーケンスが起こる。
【０２４０】 比較的単純なサン・マイクロシステムズ遠隔手順呼出拘束探索要求命令が実行
される場合に、パケット交換シーケンスの生じるものが何であるかを予め定める
ことによって、アプリケーション「ａ２」の認識に対するフロー署名は自動的に
設定される。これよりも更に複雑な交換は、各状態に対応する２以上の署名を生
成する。各々の認識は、フィールド２５５における「ｓｔ１」のような「最終」
残留状態に到達するのに先立って遷移するより複雑な状態遷移図を設定すること
を含む。これら総てを利用して最終的な一組のフロー署名を形成し、将来的に特
定のアプリケーションを認識する。
【０２４１】 ［状態プロセッサの詳細］ 状態プロセッサ１１０８は、アプリケーションによって分類するために、新規
のおよび既存のフローの両者を分析する。開発者によって定められた規則に基づ
いて、状態から状態へ進行することによってこれを行う。規則は、検査が真であ
れば処理すべき次の状態に続く検査によるものである。検査が真である、又は実
行する状態がなくなるまで、状態プロセッサ１１０８は各検査を経て進行する。
状態プロセッサ１１０８は、分解サブシステム１０００によってジャンプ・テー
ブル（ジャンプ・ベクトル）内のオフセットとして認識された最終プロトコルを
利用して処理される。ジャンプ・テーブルはそのプロトコルに対して使用する命
令に我々を案内する。多くの命令は、一体化フロー・キー・バッファ１１０３又
は存在するならばフロー・エントリにおける何かを検査する。状態プロセッサ１
１０８は、検査を実行するためのビットの検査、比較の実行、加算又は減算を行
う必要がある。
【０２４２】 多くの一般的な処理システムでは、実行される命令群は汎用の性質を有する。
処理システムは、命令およびプログラム・カウンタの分析および処理に関連する
命令群を有するのが一般的である。これらの命令は、ジャンプ、コールおよびリ
ターンを含む。さらに、これら同一の処理システムは、レジスタおよびメモリ・
ロケーションを分析および取り扱うための適切な命令を有する。これらの命令は
、インクリメント、デクリメント、移動、比較および論理的演算を含む。
【０２４３】 好適実施例の状態プロセッサ１１０８は、標準的な基本命令群を有する。しか
しながら、好適実施例の状態プロセッサ１１０８は、いくつかの非常に特殊な関
数を有し、ネットワーク上のパケットの内容およびパケット内のデータを評価す
るために必要なものである。これらの目的に対応するために好適実施例の状態プ
ロセッサにより実行される４つの特殊な関数がある。これらのうち２つは、テキ
スト要素を数学的および数値的なフォーマットに解釈および翻訳するために設計
された特殊な変換命令である。これらの命令は、ＡＨ２Ｂ（ＡＳＣＩＩ １６進
２進）およびＡＤ２Ｄ（ＡＳＣＩＩ １０進２進）である。これらの命令は、シ
ングル・サイクルの性質を有する。これらの命令は新規であり、好適な状態プロ
セッサによって実行される関数の高速処理特性を提供する。
【０２４４】 システムを高速化して分類の目的に対応させるために、状態プロセッサに提供
されたいくつかの他の特殊な関数が存在する。これらの関数は、主に、探索し、
見出し、分析し、およびストリングのシーケンスを評価することを取り扱う。こ
れらのストリングは、フォーマットされていたりされていなかったりする。
【０２４５】 主な高レベル命令は、In_FindおよびIn_Find_CONTINUE命令であり、状態プロ
セッサの一部である探索装置（サーチ・エンジン）によって実行される。これら
の関数および探索装置は、状態プロセッサ１１０８が、伝送したパケットからモ
ニタ３００へのペイロード内容を同時に探索可能であるように設計される。これ
は、モニタが、任意のネットワーク速度の要請に対応することを可能にする。
【０２４６】 状態プロセッサは、プロセッサ１１０８として図１９に示される。これは、比
較プロセス３１０の一部としてホストＣＰＵによって満たされている場合の状態
プロセッサ命令データベース（ＳＰＩＤ）からの命令を実行する。ＳＰ１１０８
は、いくつかのサブブロックを含み、プログラム・カウンタ１９０３（ＳＰＰＣ
），制御ブロック１９０５（ＳＰＣＢ），算術演算論理ユニット１９０７（ＳＰ
ＡＬＵ），アドレス発生器およびデータ・バス・マルチプレクサ（Ｍｕｘｅｓ）
を含み、様々なソースから様々なあて先へのデータの移動を可能にする。２つの
アドレス発生器は、ＵＦＫＢを指定するＳＰフロー・キー・アドレス発生器１９
１１（ＳＰＦＫＡＧ）と、キャッシュ・サブシステム１１１５を指定するＳＰフ
ロー・エントリ・アドレス発生器（ＳＰＦＥＡＧ）である。ＳＰ１１０８は、４
つのデータ・マルチプレクサを有し、それらは：ＳＰＡＬＵデータＭｕｘＡ１９
１９，ＳＰＡＬＵデータＭｕｘＢ１９２１，ＳＰＵＦＫＢデータＭｕｘ１９１５
，およびＳＰキャッシュ・データＭｕｘ１９１７である。これらのマルチプレク
サは、状態プロセッサ１１０８内の様々なブロック内のデータの移動、およびＵ
ＦＫＢ１１０３およびキャッシュ・サブシステム１１１５へおよびそこからのデ
ータの移動を支援する。
【０２４７】 ＳＰ制御ブロック１９０５は、ＳＰＩＤ１１０９から生じる命令をデコードし
、それらを様々なフィールドに分けて状態プロセッサ１１０８を制御する。ＳＰ
ＣＢ１９０５の主な機能は、命令デコードと信号生成である。命令の２つのクラ
スが存在する。１つはＳＰＣＢによって完全に実行されるものであり、１つは部
分的に又は完全に実行するためにＳＰＡＬＵ１９０７に送られるものである。Ｓ
Ｐ命令のいくつかは、以下に説明される。
【０２４８】 命令が、ＳＰＡＵＬ１９０７に渡される必要のある場合、ＳＰＣＢ１９０５は
命令をデコードし、ＳＰＡＬＵ１９０７命令コードをバス上に供給し、「進行」
信号をアサートする。
【０２４９】 例えば移動又はジャンプのような命令が、ＳＰＣＢ１９０５によって完全に実
行される場合は、ＳＰＣＢは、ＳＰプログラム・カウンタ１９０３，ＳＰアドレ
ス発生器１９１１および／または１９１３，およびＳＰマルチプレクサに対する
適切な制御信号を生成し、その特殊な移動またはジャンプ命令を実行する。
【０２５０】 ＳＰＩＤ１１０９におけるワードは、４０ビット長であり、命令コードに依存
してＳＰＣＢ１９０５によっていくつかのフィールドに区分される。１つのフィ
ールドは命令コードである。ＳＰＩＤワードにおける残余のビットは、同行する
命令に依存して様々なフィールドに区分される。たとえば、ＳＰ１１０８は、ジ
ャンプ、コール、待機、および条件コードとジャンプ・アドレスが後に続く待機
ＲＪの命令を実行することが可能である。ＳＰ１１０８は、一定値が後に続く直
接移動命令(Move Immediate Instruction)を実行することが可能である。さらん
、ＳＰ１１０８は、ロードされるべきアドレスが後に続くロード・アドレス生成
命令を実行することが可能である。命令フィールドをデコードする場合に、ＳＰ
ＣＢは、包含されたデコードＰＡＬから制御信号の組み合わせを生成する。これ
らの制御信号は、様々なマルチプレクサを選択し、データ移動を促進し、および
様々なレジスタ内の値をロードするストローブ信号を生成することを促進する。
【０２５１】 プログラム・カウンタＳＰＰＣ１９０３は、状態プロセッサ命令データベース
に対するアドレスを生成する。これは、ＳＰＩＤ１１０９アドレスを発声する命
令ポインタを含む。命令ポインタは、インクリメントされ得るし、また、条件分
岐機能を支援するジャンプ・ベクトル・マルチプレクサからロードされ得る。命
令ポインタは、３つのソースの１つからロードされ得る。それは：（１）ＵＦＫ
Ｂからのプロトコル識別子，（２）目下デコードされた命令からの直接ジャンプ
・ベクトル(immediate jump vector)，または（３）ＳＰＡＬＵ１９０７により
供給される値である。
【０２５２】 既知のプロトコル識別子を利用してＬＵＥによってＵＦＫＢ内にフロー署名が
設けられた後に、プログラム・カウンタ１９０３は、分解サブシステムにより認
識された最終プロトコルを利用して初期化される。この第１の命令はサブルーチ
ンへのジャンプであり、デコードされたプロトコルを分析する。
【０２５３】 ジャンプ直接命令を支援するために、プログラム・カウンタはジャンプ・ベク
トルを利用してＳＰＣＢ１９０５から入力フィールドを選択し、ジャンプ・ベク
トルを利用して命令ポインタをロードする。
【０２５４】 状態プロセッサＡＬＵ探索エンジン１９３０（ＳＰＡＬＵ＿ＳＥ）は、目標探
索レジスタ・セット，参照探索レジスタ・セットおよび比較ブロックを含む。探
索エンジン１９３０は、目標となる領域で参照ストリングのいくつかに至るまで
を（本実施例では４つ）探索することが可能であり、そして、参照ストリングの
１つが見出された場合には、参照ストリングとその参照ストリングの目標領域で
の位置を返す。
【０２５５】 フロー・キー・アドレス発生器１９１１は、状態プロセッサ１１０８が一体化
フロー・キー・バッファ内でアクセスしている場所に対するアドレスを生成する
。ＳＰＦＫＡＧの主要ブロックは、フロー・キー・アドレス・ポインタ・レジス
タと、アドレスを生成するＲＯＭデコードである。
【０２５６】 フロー・キー・アドレス発生器１９１１は、状態プロセッサ１１０８がキャッ
シュ・サブシステム１１１５においてフロー・エントリにアクセスするところの
アドレスを提供する。フロー・エントリが存在する場合、ハッシュからの上位ア
ドレス・ビットは、フロー・データベース３２４内のバケットを探索するために
使用される。中位ビットは、見出されたバケット・エントリから生じる。低位ビ
ットは、状態プロセッサ１１０８が使用しているオフセットから生じる。
【０２５７】 ＳＰＦＫＡＧの主要ブロックは、フロー・キー・ポインタ・レジスタと、アド
レスを発生するＲＯＭデコードである。
【０２５８】 状態プロセッサＵＦＫＢデータＭｕｘ１９１５は、ＵＦＫＢに向けられたデー
タ・ソースを選択する。これは、３つのデータ・ソースの内の１つをＵＦＫＢに
マルチプレクスする。３つのソースは、ＡＬＵ出力データ・バス，キャッシュ出
力データ・バスおよびＳＰＣＢデータである。選択信号は２ビット信号である。
【０２５９】 状態プロセッサ・キャッシュ・データＭｕｘ１９１７は、キャッシュ・サブシ
ステムへ向かう４つのデータ・ソースから、キャッシュ・サブシステムに向けら
れたデータ・ソースを選択する。４つのソースは：ＡＬＵ 出力データ・バス，ＵＦＫＢデータ・バスの低位ビット，ＵＦＫＢデータ・バス
の上位ビットおよびＳＰＣＢデータである。選択信号は２ビット信号である。１
６ビット移動を可能にするため、ＳＰＭＵＸＣＡは２つの１６ビット・マルチプ
レクサを組み込み、キャッシュ・サブシステムの低位および上位１６ビットに対
する情報を提供する。
【０２６０】 状態プロセッサＳＬＵデータＭｕｘＡ１９１９は、ＵＦＫＢに向けられたデー
タ・ソースを選択し、３つの３２ビット・データ・ソースの１つをＡＬＵのＡ側
にマルチプレクスする。３つのソースは、キャッシュ・サブシステム・データ・
バス，ＵＦＫＢデータ・バスの低位３２ビットおよびＵＦＫＢデータ・バスの上
位３２ビットである。選択信号は２ビット信号である。
【０２６１】 状態プロセッサＳＬＵデータＭｕｘＢ１９１９は、ＳＰＡＬＵのＢ側に向けら
れたデータ・ソースを選択し、２つの３２ビット・データ・ソースの１つをＡＬ
ＵのＢ側にマルチプレクスする。２つのソースは、キャッシュ・サブシステム・
データ・バスおよびＳＰＣＢデータ・ワードである。選択信号は１ビット信号で
ある。
【０２６２】 ［状態プロセッサ命令の説明］ 以下、状態プロセッサ１１０８で利用可能ないくつかの命令を説明する。一般
に、状態プロセッサにアセンブラは与えられない点に留意すべきである。なぜな
ら、エンジンは一般に、プロセッサ用のコードを書き込む必要がないからである
。コンパイラが、コードを書き込み、それをプロトコル・リスト（ＰＤＬファイ
ル）で定められたプロトコルに基づいて状態プロセッサ命令データベースにロー
ドする。
【０２６３】 テーブルは実施例１および実施例２の２つの実施例に分けられ、後者は、実施
例１の命令および更なる命令による複雑な形式を含む一層複雑な実施例である。
【０２６４】
【表２】
【０２６５】
【表３】 これらの命令いくつかについて更に説明する。
【０２６６】 ［移動］(Move) 移動命令セットは、異なる大きさのワードをソースからあて先へ移動すること
を取り扱う特殊な移動命令を含む。移動命令のセットは、ワード・サイズが常に
合致することを保障するように開発され、３２ビットおよび１６ビット移動命令
を含む。
【０２６７】 移動命令が移動させるデータは：直近のデータからＳＰＡＬＵＢレジスタへ、
直近のデータからキャッシュ・サブシステムへ、直近のデータからＵＦＫＢへ、
ＳＰＡＬＵ出力からＵＦＫＢへ、ＳＰＡＬＵ出力からキャッシュ・サブシステム
へ、キャッシュからＵＦＫＢへ、キャッシュからＳＰＡＬＵＡレジスタへ、キャ
ッシュからＳＰＡＬＵＢレジスタへ、ＵＦＫＢからキャッシュ・サブシステムへ
、およびＵＦＫＢからＳＰＡＬＵＡレジスタへのものである。
【０２６８】 ［比較］(In_Compare) 比較命令は、ＡＬＵ１９０７が比較動作を実行し、一致したストリング情報に
よる合致信号を返すように命令する。比較動作は、第１キャラクタがＵＦＫＢ内
の既知の位置に設けられている目標データと、参照ストリング・メモリ内の既知
の参照ストリングを比較する。この命令の実行に先立って、ＳＰＵＦＫＢアドレ
ス発生器１９１１は、目標キャラクタを指すアドレスを利用してロードされる。
ＡＬＵ参照メモリ内での位置（ロケーション）によって、比較用の参照キャラク
タのリストが維持される。
【０２６９】 ［アスキ１０進２進］(ASCII Decimal to Binary) この命令は、１０進値を表現するアスキ・コード・ストリングの位置を引き渡
す。その結果は、２進の等価な値である。これは１サイクルで実行される。
【０２７０】 ［アスキ１６進２進］(ASCII Hex to Binary) この命令は、１６進値を表現するアスキ・コード・ストリングの位置を引き渡
す。その結果は、２進の等価な値である。これは１サイクルで実行される。 ［イン・ファインド］(In_Find) ［継続イン・ファインド］(In_Find_Continue) これらの命令は、探索エンジン１９３０の更なる説明において説明される。
【０２７１】 ［探索エンジンおよび探索エンジンを包含するＳＰ命令］ モニタ３００の１つの特徴は、パケットの夫々および総てをリアル・タイムで
分析する能力である。ネットワーク・トラフィックは非常に高速に動く。状態プ
ロセッサの仕事（タスク）の１つは、１つ又はそれ以上の既知のデータ・ストリ
ングを探索することである。このような探索は、例えばレコードのペイロードの
部分のようなＵＦＫＢレコードにおいて実行される。探索は、レコードの既知の
部分におけるものであり得るし、またはＵＦＫＢレコードのペイロード部分のど
こかというようなレコードの未知の部分におけるものでもあり得る。さらに、探
索は極めて高速に行われることを要する。
【０２７２】 状態プロセッサＡＬＵは、そのような探索を実行するための探索エンジンＳＰ
ＡＬＵ＿ＳＥ１９３０を有する。探索エンジン１９３０は、ＵＦＫＢ内の目標領
域において４つまでの参照ストリングを探索することが可能であり、そして並列
して、（１）４つのストリングの内のどれかが目標（ターゲット）内のどこかで
探索されたか否か、（２）どのストリングが見出されたか、および（３）目標ス
トリングがどこで見出されたかを示す。
【０２７３】 探索エンジンは、以下の状態プロセッサ命令を実行する機能を有する。
【０２７４】 ［イン・ファインド］(In_Find) イン・ファインド命令は、ＡＬＵ探索エンジンに情報を提供し、探索動作を実
行し、一致したストリング情報と、ストリングが見出されたターゲット内の位置
に従って一致信号を返す。
【０２７５】 命令フォーマットは以下のとおりである： イン・ファインド［参照ストリング・アレイ・アドレス］，［ＵＦＫＢバイト
・オフセット］，［範囲］
【０２７６】
【表４】
【０２７７】
【表５】 探索が完了すると、探索終了ビットがアサートされる。探索結果に基づいて、
一致ビットがアサート又はリセットされる。ＡＬＵ＿データ・バスと呼ばれるＡ
ＬＵ内のバスは、以下の情報を有する： ・ジャンプ_ベクトル［１５：０］−参照ストリング・アレイに格納され
たベクトルであり、参照ストリングが見出された場合に状態プロセッサがどの命
令に（例えばサブルーチンへ）ジャンプするかを示す。
【０２７８】 ・ストリング・コード［１：０］−４つの参照ストリング手段に対して、
どの参照ストリングが見出されたかを示すコードであり、０，１，２または３で
ある。
【０２７９】 フロー・キー・バッファ内でストリングが見出された場所は維持される。これ
は、ＵＦＫＢワード・アドレスと、ストリングを見出したターゲットの第１キャ
ラクタのバイト位置との組み合わせである。
【０２８０】 探索が終了するのは、いずれかの参照ストリングが始めて発見された場合、ま
たは探索範囲の全体において一致が得られなかった場合である。
【０２８１】 以下の例を考察する。ＵＦＫＢのペイロード領域において参照ストリングを探
索し、ペイロードのバイト位置５において探索を開始し、バイト位置１００にお
いて探索を終了するものとする。参照ストリングは位置００５０ｈにあるものと
する。この事例の命令フォーマットは、次のようにすることができる： In_Load_FKAG, payload address In_Find, 0050(16), 5, 60(16) 範囲は、１００−５＋１＝９６＝６０（１６）となる。
【０２８２】 位置１２（１６）から位置２Ａ（１６）を探索する第２の事例を考察する。以
下の状態プロセッサ命令がこれを達成する。
【０２８３】 In_Load_FKAG 02(16) In_Find [Reference String Address], 2, 19(16) ２Ａ（１６）−１２（１６）＝１９（１６）となる点に留意すべきである。
【０２８４】 ［継続イン・ファインド］(In_Find_Continue) この命令は、イン・ファインド命令に続き、最後のストリングが見出されたそ
の位置から始まる探索動作を実行するようＡＬＵ探索エンジン１９３０に告げ、
ストリング情報および目標ストリングが見出された位置に従って一致信号を返す
。この命令の目的は、新規の参照ストリングに対して、先の探索が終了した場所
から始まる探索を支援することである。したがって、探索エンジンはその以前の
探索が終了した位置を覚えているのでオフセットは供給されない。
【０２８５】 命令フォーマットは次のとおりである： 継続インファインド［参照ストリング・アレイ・アドレス］，［０］，［範囲
］
【０２８６】
【表６】 例として、ＵＦＫＢのペイロード領域においてストリング（ストリングＡ）を
探索し（イン・ファインド）、ペイロードのバイト位置５において探索を開始し
、バイト位置１００において探索を終了するものとする。参照ストリング（スト
リングＡ）は位置００５０（１６）にあるものとする。第１参照ストリングを見
出した後に、以下の３０（１６）バイトにおける新規のストリング（ストリング
Ｂ）を探索し続けるものとする。ストリングＢは位置００８０ｈにあるものとす
る。 この事例の命令フォーマットは、次のようにすることができる： In_Load_FKAG, payload address In_Find, 0050(16), 5, 60(16) ・・・ In_Find_Continue, 0080(16), 5, 30(16) 範囲は、１００−５＋１＝９６＝６０（１６）となる。
【０２８７】 図２０は、探索エンジン（ＳＰＡＬＵ＿ＳＥ）１９３０の全体ブロック図であ
り、ＡＬＵ１９０７の一部であり、ＡＬＵ１９０７で発行されたイン・ファイン
ドおよび継続イン・ファインド命令を実行する。イン・ファインド命令はＵＦＫ
Ｂの領域を探索し、ターゲット（ＵＦＫＢ）領域における４つまでの可能性ある
参照ストリングを探索する。参照ストリングはＡＬＵ参照ストリング・メモリに
格納される。
【０２８８】 図２０に示されるように、探索エンジンは以下の要素を有する： （ａ）ＡＬＵストリング参照メモリ２００３であって、そこに参照ストリン
グが格納される。
【０２８９】 （ｂ）ＳＰＡＬＵデータＭｕｘＡ１９１９であって、そこを通じて参照スト
リングに一致する目標データ２０１１が供給される。ＳＰ＿ＵＦＫＢデータＭｕ
ｘ１９１５を利用して、イン・ファインド命令の実行中にＵＦＫＢに結合される
。
【０２９０】 （ｃ）ＳＰＡＬＵデータＭｕｘＢ１９２１であって、そこを通じて命令コー
ドが供給され、その命令コードは探索を開始するための「開始」信号ＳＰＡＬＵ
ＧＯ２００５を含む。
【０２９１】 （ｄ）状態プロセッサ・フロー・キー・アドレス発生器１９１１であって、
ＵＦＫＢをインクリメントおよびデクリメントするために使用される。
【０２９２】 （ｅ）状態プロセッサ・プログラム・カウンタ１９０３であって、探索の結
果が報告される。
【０２９３】 システムはクロック信号ＣＬＫ２００１によって動作し、リセット信号によっ
てリセットされる。命令デコード・ブロックＳＥ＿ＩＮＳＴ２００９は、イン・
ファインドおよび継続イン・ファインド命令用の命令コードをデコードし、ＳＰ
ＡＬＵＧＯ信号２００５の活性化により探索エンジンを起動する。探索エンジン
はＳＰＭｕｘＢ１９２１出力バス２００７およびＳＰＡＬＵＧＯ信号２００５を
継続的に監視し、イン・ファインドおよび継続イン・ファインド命令を検出する
。探索エンジン１９３０の動作中に、エンジンは、ＳＰＭＵＸＡ１９１９を通じ
てＵＦＫＢ１１０３からワード・サイズの目標データ２０１１を受信する。同様
に、参照ストリング・メモリ２００３の適切なアドレスからの参照信号は、ＳＰ
＿データ＿ＲＭＢ２０１３として到着する。
【０２９４】 イン・ファインドまたは継続イン・ファインド命令が発行されると、探索エン
ジン参照ロード（ＳＥ＿ロード）モジュール２０１５は、参照ストリング・レジ
スタの「準備(priming)」を行う責任を有する。これは、参照ストリング・メモ
リ２００３から参照ストリング・アレイを取得し、それを解釈し、参照ストリン
グ・レジスタにその情報をロードする。
【０２９５】 処理状態において、ＳＥ−ＬＯＡＤモジュール２０１５は、参照メモリ２００
３の開始位置から第１ワードをロードする。この開始位置は、命令の発行に先立
って適切な位置に設定されていると想定する。ストリング数およびストリングの
大きさがロードされると、ロード・プロセスは参照ストリングの総てのロードを
続行する。インクリメント参照信号２０２５は、そこから参照ストリングがロー
ドされているところの参照メモリをインクリメントする。ストリングのロード中
には、ロード_キー_終了信号２０１７はアサートされない。最後の参照ストリン
グの最後のワードがロードされ、探索_エンジン_モジュール２０３０に対して次
のクロックからの探索開始を通知する場合に、ロード_キー信号２０１９がパル
ス入力される。ロード_キー_終了信号２０１７は次のクロック・サイクルでアサ
ートされ、ジャンプ・ベクトル２０２１は、参照メモリ２００３から同時にロー
ドされる。
【０２９６】 探索エンジン・インクリメント／制御モジュール（ＳＥ＿ＩＮＣ）２０２３は
、フロー・キー・アドレス発生器１９１１をインクリメントする責任を有し、Ｕ
ＦＫＢから探索エンジンに新たなワードを提供する。これは、探索エンジン・モ
ジュールから見出された信号を監視し、結果を報告する。ＳＥ＿ＩＮＣ２０２３
は、真の終了アドレスを計算する責任も有し、イン・ファインド命令において供
給された範囲に基づく最終ワード内で検査されるべき最終バイトを判別する。
【０２９７】 ＳＥ−４探索モジュール２０３０は、４つのストリングを同時に探索するため
に４つの探索エンジンを有する。エンジンは、４つの参照ストリングの各々に対
してストリングの存否および場所を示す発見信号２０３１および位置信号２０３
３を出力する。
【０２９８】 ＳＥ＿ＩＮＣ２０２３によるＳＰＡＬＵ_終了信号２０３５のアサートは、探
索が完了したことを示す。ＳＰＡＬＵ_一致信号２０３７は同時にアサートされ
る場合は、探索成功である。この探索成功により、ＳＰＡＬＵ_データ・バス２
０３９において、参照ストリングを見出した探索エンジン番号と共にジャンプ・
ベクトルを搬送することになる。
【０２９９】 本発明の１つの特徴は、探索の迅速性である。ＵＦＫＢでＮワードの場所を探
索するために命令が発行された時から、ＳＰＡＬＵ_終了２０３５がアサートさ
れるまでの最長時間は、探索が成功する場合は、Ｎクロックと、事前ロードおよ
びポインタ調整のための付加的なクロック・サイクル数とを加えたものである。
本実施例ではこの付加的なオーバーヘッドは１１クロック・サイクルである。従
って、各々の余分なワードはほんの１クロック・サイクルしか要しない。
【０３００】 図２１は、４つの探索モジュールを有するＳＥ_４探索モジュール２０３０を
示す。他の実施例では、より多くの探索モジュールを有し、４つ以上の参照スト
リングを同時に探索可能にする。４つの探索エンジン・モジュールの各々は同一
物であるので、１つのモジュール２１０３のみを説明する。
【０３０１】 探索モジュールの各々２１０３は、単独の参照ストリング探索を実行する。こ
のモジュールの複数の複製を利用することによって、共通のソース・バッファ（
ＵＦＫＢ）において複数の参照ストリングを探索することが可能である。このモ
ジュールは、コア比較行列ブロック２１０５（探索エンジン・コア）および状態
マシンＳＥ＿ＳＭ２１０７を有する。探索エンジン・コア２１０５は、ＮＲ単位
（本実施例では１６ビット）までの参照ストリングを、３つの８バイト・ワード
（一度に１ワードで、３つの連続したサイクルにおいてロードされる。）のター
ゲット・ストリングと比較することが可能である。各クロック・サイクルの間に
、単独の探索モジュール２１０３は、第１ワードの８バイトの何れかから開始す
るターゲットにおいて参照ストリングを探索する。参照ストリング・バイトの各
々は、そのバイトを検査するか否かを示す検査ビットと共に付加される。検査ビ
ットがアサートされると、対応するバイト検査がディセーブルされる。６４ビッ
ト・ワード（８バイト）がパイプライン方式で３つのレジスタにロードされると
、それらが取り出された後に、比較動作が２クロック・サイクル行われる。 探索が成功した場合は、ソース（ＵＦＫＢ）アドレス・ポインタは調整される必
要がある。探索が成功した場合は、一致信号２１１１がアクティブになり、参照
ストリングの第１バイト位置が、位置バス２１１３上に置かれる。ＳＥ＿ＳＭ状
態マシン２１０７は、クロック・サイクル毎にいくつかの仕事を実行する。３つ
の状態がある：リセット、アイドルおよびプロセスである。アイドル状態では、
状態マシン２１０７は、ＳＥ_ロード・モジュール２０１５からの信号を待ち受
け、プロセス状態に切り替える。プロセス状態における第１クロック・サイクル
の間に、一致が発生すると、その位置がバイト・オフセット２１１５に対して検
査される。バイト・オフセットがその位置よりも大きい場合は、それは無視され
、すなわち「発見」はアサートされない。同様に、それが検査すべき最終ワード
である場合は、終了オフセット・バイトがその位置に関して検査され、その位置
が範囲２１１７で検査される最終バイトより大きい場合は、「発見」は無視され
る。そうでない場合は、一致信号が探索エンジン・コア２１０５によって見出さ
れると、発見信号がアサートされ、その位置がラッチされ、ＳＥ＿ＩＮＣモジュ
ール２０２３に転送される。
【０３０２】 図２２Ａを参照する。探索エンジン・コア２１０５は、探索エンジン・モジュ
ールのコア比較行列である。これは、目標ストリングにおいてＮＲユニット参照
信号に関する探索を行う。参照軸にはレジスタがあり、一般にＮＲユニットのス
トリングのＮＲ参照ストリングを保持する。１ユニットは１バイトであり、ＮＲ
は本実施例では１６であるが、他の参照ストリング・サイズを探索するために他
のユニット（単位）および行列に容易に修正可能である。ターゲット・データは
ワードとして組織化されている。ターゲット軸は、各々がターゲット・データの
１ワードを保持する一連のワード・レジスタ群として並べられる。ワードは１ク
ロック・サイクルでレジスタにクロック入力される。したがって、ターゲット・
データの第１ワードは３サイクルでターゲット軸にクロック入力される。
【０３０３】 探索エンジン・コア２１０５は、少なくとも１つのＮＲユニット比較器を有し
、各々がＮＲ個の入力対と、ＮＲ個の入力対の各対の一致を示す出力とを有する
。このような比較器の１つ２２０３が図２２Ｂに示される。入力対は、（２２０
７−１，２２０９−１），（２２０７−２，２２０９−２），．．．，（２２０
７−ＮＲ，２２０９−ＮＲ）として示される。出力は２２１１である。図２２Ａ
は、２２０３−１，２２０３−２，．．．，２２０３−ＮＳＴＡＲＴのラベルの
付された多数（例えばＮＳＴＡＲＴ個）の比較器を示す。任意の１つの比較器を
考察すると、探索エンジン・コアは、参照軸に沿って参照ストリングの値を示す
ＮＲ個の接続と、ターゲット軸に沿うターゲット・データの値を示すＮＲ個の接
続とを含む行列接続を含み、ターゲット・データはターゲット・データの第１ス
トリング位置から始まり、終了位置において終了する。参照およびターゲット軸
が互いに特定の方向を向く場合に、任意の比較器が行列の対角線に沿って仕向け
られ、ターゲット・データのＮＲ個の接続が参照ストリングと比較されるように
して、比較器は接続される。各比較器はターゲット軸上で異なる位置から開始す
る。したがて、１クロック・サイクルにおいて、探索エンジン・コア２１０５は
、第１ワードの任意の位置から始まる参照ストリングを見出すことが可能である
。ターゲット・ストリングがワード境界をまたぐ場合でも、探索エンジン・コア
は依然としてそのワードを自動的に見出す点に留意すべきである。
【０３０４】 比較器の出力は、ＮＳＴＡＲＴ入力の優先エンコーダに入力され、ＮＳＴＡＲ
Ｔ個の比較器の内のいずれがストリングを見出したか否かを示す。これは、その
位置を提供する。
【０３０５】 動作時にあっては、データがロードされた後、第１クロック・サイクルにおい
て、状態マシン２１０７は、最初のわずかの比較器で見出されるであろうストリ
ングを無視し、その比較器数はオフセットによって示される。以降のそれぞれの
クロック・サイクルにおいて、第１ＮＳＴＡＲＴのどこかで始まるならば、探索
エンジン・コア２１０５は参照ストリングを見出すであろう。したがって、多数
のクロック・サイクルにおいて、探索エンジン・コア２１０５はターゲット・デ
ータのどこかで参照ストリングを見出すであろう。
【０３０６】 図２３Ａは入力コア手段の詳細を示す。この手段は任意の１組の開始位置にお
ける参照ストリングを見出すためのものである。この手段は、参照ストリングの
１つのＮＲユニットを受信する参照レジスタ２２０３と、ターゲット・データを
受信するために直列に接続されたターゲット・データ・レジスタ群２２０５と、
複数の比較器セットと、開始位置の各々に対応する比較器セットとを有し、特定
の開始位置の比較器セットは、参照レジスタの各々のユニット（本実施例では各
バイト）および特定の開始位置から始まるターゲット・データ・レジスタのＮＲ
入力（本実施例ではバイト）に接続され、第１参照レジスタの内容と、特定の開
始位置から始まるターゲット・データ・レジスタのＮＲユニットを比較する。書
く比較器セットは、その対応する異なる開始位置から始まるターゲット・データ
における第１参照ストリングの一致の存否を示す。これらの位置は隣接していて
もしていなくてもよく、隣接している場合は、１つ又はそれ以上のターゲット・
データ・レジスタが、ターゲット・データの少なくともＮＲ＋ＮＳＴＡＲＴ−１
ユニットを受信するよう直列に結合されている。ＮＳＴＡＲＴ開始位置の各々に
ついて１つの比較器セットのＮＳＴＡＲＴ個の比較器セットが存在する。
【０３０７】 各比較器セットはＮＲ個の連続的な（隣接する）比較器を有する。そのような
比較器の１つ２３１３が図２３Ｂに示されており、参照入力、ターゲット入力、
イネーブル入力および一致を示す出力を有し、参照およびターゲット入力が一致
してイネーブル入力がアサ−トされた場合に、比較器２３１３の出力がアサ−ト
される。特定の開始位置に関する複数の比較器のセットに関し、連続的な比較器
の参照入力は参照レジスタの連続的なユニットに結合され、連続的な比較器のタ
ーゲット・データ入力は、特定の開始位置におけるターゲット・データ・レジス
タの連続的なユニットに結合され、そのセットの第１比較器がイネーブルされ、
各比較器のイネーブル入力が先行する比較器の出力に結合され、参照ストリング
のＮＲユニットおよびターゲット・データのＮＲユニットが合致する場合に最後
の比較器の出力がアサートされる。
【０３０８】 このようにして、状態プロセッサは、（ＵＦＫＢに格納された）パケットの領
域内の未知の位置におけるストリングを非常に高速に見出すことが可能である。
【０３０９】 ［キャッシュ・サブシステム］ 図１１を再び参照する。キャッシュ・サブシステム１１１５は、探索更新エン
ジン（ＬＵＥ）１１０７と、状態プロセッサ（ＳＰ）１１０８と、フロー挿入／
削除エンジン（ＦＩＤＥ）１１１０に接続されている。キャッシュ１１１５は、
メモリ１１２３に格納されたフロー・エントリ・データベースのフロー・エント
リ群を維持し、これは一体化メモリ・コントローラ１１１９を通じてメモリ１１
２３に接続される。本発明の一実施例によれば、キャッシュ内のこれらのエント
リは次にアクセスされるものに類似する。
【０３１０】 キャッシュ・システムにおいてヒット率を最大化させることが望ましい。一般
的な従来のキャッシュ・システムは、マクロプロセッサ・システムへおよびそこ
からのメモリ・アクセスを促進させるために使用される。探索を予測するための
従来のそのようなシステムにおいて多くの機構を利用することが可能であり、ヒ
ット率を最大化させることが可能である。例えば従来のキャッシュは、予測機構
を利用して、命令キャッシュ探索およびデータ・キャッシュ探索の両方を予測す
る。そのような予測機構は、キャッシュ・サブシステム１１１５のパケット監視
の用途には利用可能でない。新たなパケットがモニタ３００に入る場合に、例え
ばＬＵＥ１１０７からの次のキャッシュ・アクセスは、最後のキャッシュ探索と
は全く異なるフローに対するものであろう。そして次のパケットが所属するフロ
ーが何であるかをそれ以前に知る術がない。
【０３１１】 本発明の一形態でのキャッシュ・システムは、キャッシュ置換が必要とされる
場合に最も少なく使用した（ＬＲＵ）フロー・エントリを置換する。最も少なく
使用したフロー・エントリを置換するのが好ましいのは、最近のパケットに続く
パケットは同じフローに属するであろうからである。したがって新規のパケット
の署名は最近使用したフロー・レコードに一致するであろう。逆に、最も少なく
使用したフロー・エントリに関連するパケットが、直後に到着する可能性は高く
ないであろう。
【０３１２】 さらに、フロー・エントリについて動作する例えばＬＵＥ１１０７のようなエ
ンジンの１つが、フロー・エントリに関する動作を完了した後に、同一のまたは
別のエンジンが同一のフロー・エントリを間もなく使用するであろう。したがっ
て、最近使用したエントリがキャッシュに残っていることを確認することが好ま
しい。
【０３１３】 本発明によるキャッシュ・システムの特徴は、最も多く使用した（ＭＲＵ）フ
ロー・エントリが可能な場合はいつでもキャッシュ内に保持されることである。
一般に、同一フローのパケットはバーストで到来するので、およびＭＲＵフロー
・エントリは分析システムにおける別のエンジンによって要求される可能性が高
いので、ＭＲＵフロー・エントリがキャッシュ内に残っている可能性を高めるこ
とは、キャッシュ内でフロー・レコードを見出す可能性を高めることになり、キ
ャッシュ・ヒット率を向上させる。
【０３１４】 この本願キャッシュの他の特徴は、アドレス可能なメモリ・セル（ＣＡＭ）の
内容のセットを利用する関連メモリを有することである。ＣＡＭはアドレスを含
み、これは本実施例ではメモリ・セルより成るキャッシュ・メモリ（例えばデー
タＲＡＭ）における対応するフロー・エントリに関連したハッシュ値である。一
実施例では、各メモリ・セルはページである。各ＣＡＭはキャッシュ・メモリ・
ページに対するポインタも含む。したがってＣＡＭ内容は、アドレスと、キャッ
シュ・メモリに対するポインタである。ハッシュはＣＡＭの一致回路入力に与え
られ、ハッシュがＣＡＭ内のハッシュに一致する場合は、ヒットがあることを示
す一致信号がアサートされる。ＣＡＭポインタは、フロー・エントリのキャッシ
ュ・メモリにおけるページ番号（すなわちアドレス）を指す。
【０３１５】 各ＣＡＭはキャッシュ・アドレス入力、キャッシュ・ポインタ入力、およびキ
ャッシュ内容出力を含み、ＣＡＭのアドレス部分およびポインタ部分の入力およ
び出力を行う。
【０３１６】 特定のキャッシュ・メモリ例では、１つのバケットにおける複数ページに複数
のフロー・エントリを格納し、すなわち、単独のフロー・エントリを格納するこ
とができる。ポインタはキャッシュ・メモリにおけるページ番号である。一例に
あっては、各ハッシュ値がＮフロー・エントリのビンに対応する（すなわち、こ
の例における好適実施例では４バケット）。他の手段では、各ハッシュ値は単独
のフロー・レコードを指し、すなわちビンおよびバケット・サイズが対応する。
簡単のため、キャッシュ１１１５を説明する際に、この第２の手段を想定してい
る。
【０３１７】 さらに、従来のように、一致出力信号をキャッシュ・メモリ内の対応するロケ
ーションに提供し、リード又はライト動作が、そのＣＡＭであるよう指定される
キャッシュ・メモリ内のロケーションに関して行われる。
【０３１８】 本願の特徴の１つは、関連性と真のＵＲＵ置換規則との結合を達成することで
ある。このため、キャッシュ・システム１１１５のＣＡＭは、上部ＣＡＭと下部
ＣＡＭに関する順序でＣＡＭスタック（ＣＡＭアレイ）と呼ばれるものに組織化
される。
【０３１９】 本実施例では、ハッシュはそのキャッシュをアドレスするために使用される。
ハッシュはＣＡＭアレイに入力され、入力ハッシュに一致するアドレスを有する
ＣＡＭは、ヒットを示す一致信号をアサートする。キャッシュ・ヒットが存在す
ると、そのヒットを引出したＣＡＭの内容（アドレスおよびキャッシュ・メモリ
に対するポインタを含む）は、スタックの上部ＣＡＭに置かれる。生成された上
記のＣＡＭに関するＣＡＭ内容（キャッシュ・アドレスおよびキャッシュ・メモ
リ・ポインタ）は、ギャップをうめるためにシフト・ダウンされる。
【０３２０】 ミスが生じた場合は、新たなフロー・レコードが、下部ＣＡＭによって指定さ
れるキャッシュ・メモリ要素に置かれる。その下部より上の全ＣＡＭ内容は、１
つシフト・ダウンされ、新たなハッシュ値および新たなフロー・エントリのキャ
ッシュ・メモリに対するポインタが、ＣＡＭスタックの最上部ＣＡＭに置かれる
。
【０３２１】 このようにして、下部ＣＡＭによって指定される最近最も少なく利用されたキ
ャッシュ内容と、上部ＣＡＭによって指定される最近最も多く利用されたキャッ
シュ内容とを利用して、ＣＡＭは使用の最新性(recentness)に従って並べられる
。
【０３２２】 さらに、従来のＣＡＭキャッシュとは異なり、ＣＡＭ内のアドレスと、指定す
るキャッシュ・メモリ要素との間に固定的な関係はない。キャッシュ・メモリの
ページに対するＣＡＭの関係は、時間と共に変化する。例えば、ある瞬間に、ス
タック内の第５ＣＡＭがキャッシュ・メモリ内のある特定のページに対するポイ
ンタを有し、その後に、同一の第５ＣＡＭが異なるキャッシュ・メモリ・ページ
を指定し得る。
【０３２３】 一実施例にあっては、ＣＡＭアレイは３２ＣＡＭを有し、キャッシュ・メモリ
は３２メモリ・セル（例えばメモリ・ページ）を有し、各ＣＡＭ内容によって１
つのページが指定される。ＣＡＭは、アレイ内の上部ＣＡＭにＣＡＭ０を、下部
ＣＡＭにＣＡＭ３１を対応させ、ＣＡＭ０，ＣＡＭ１，．．．，ＣＡＭ３１と番
号付けされる。
【０３２４】 ＣＭＡアレイは状態マシンとして実現されるＣＡＭコントローラによって制御
され、キャッシュ・メモリは、これも状態マシンとして実現されるキャッシュ・
メモリ・コントローラによって制御される。そのようなコントローラに対する条
件、およびそれらを状態マシンとして実現する方法あるいは他の方法は、本願動
作説明により当業者に明らかであろう。これらのコントローラと、一体化メモリ
・コントローラのような他のコントローラとの混乱を避けるため、この２つのコ
ントローラはそれぞれＣＡＭ状態マシンおよびメモリ状態マシンと呼ぶ。
【０３２５】 キャッシュの状態が満たされている一例を考察する。ＣＡＭスタックの内容（
アドレスおよびキャッシュ・メモリに対するポインタ）およびキャッシュ・メモ
リの各ページ番号アドレスにおけるキャッシュ・メモリは、以下の表に示される
ものとする。
【０３２６】
【表７】 これは、ＣＡＭ４がハッシュ値であるハッシュ４を含むことおよび将来それに
一致すること、ハッシュ４に関する探索はキャッシュ・メモリにおいて一致を得
てアドレス・ページ４を生成する。さらに、キャッシュ・メモリにおけるページ
４は、フロー・エントリ，エントリ４を含み、この標記においてハッシュ値のハ
ッシュ４に一致するフロー・エントリである。この表は、ハッシュ０がハッシュ
１より最近多く使用され、ハッシュ１はハッシュ２より最近多く使用され、以下
同様であり、ハッシュ３１は最近最も少なく利用されたハッシュ値であることも
示している。ＬＵＥ１１０７はハッシュ値のハッシュ３１に関する一体化フロー
・キー・バッファ１１０３からエントリを取得することを想定している。ＬＵＥ
はＣＡＭアレイを通じてキャッシュ・サブシステムを探索する。ＣＡＭ３１はヒ
ットを得て、そのヒットのページ番号すなわちページ３１を返す。キャッシュ・
サブシステムは、ＬＵＥ１１０７に対して、供給したハッシュ値がヒットを生み
出し、ハッシュ３１すなわちフロー３１に対応するフロー・エントリを含むキャ
ッシュ・メモリのページ３１に対するポインタを提供することを告げる。ＬＵＥ
はアドレス・ページ３１においてキャッシュ・メモリからフロー・エントリ・フ
ロー３１を抽出する。好適実施例では、キャッシュの探索は１クロック・サイク
ルを要するに過ぎない。
【０３２７】 ハッシュ３１の値は、最も多く最近使用したハッシュ値である。したがって、
本願キャッシュ・システムにより、最も多く使用したエントリがＣＡＭスタック
の上部に置かれる。ハッシュ３１は（ページ３１を示しつつ）ＣＡＭ０に置かれ
る。さらに、ハッシュ３０が現在のＬＲＵハッシュ値であり、ＣＡＭ３１に移動
させられる。その次の最近最も少なく利用されたハッシュ値のハッシュ２９は、
ＣＡＭ３０に移動させられ、以下同様に続く。こうして、ＭＳＵエントリがＣＡ
Ｍ上部に置かれた後に、全ＣＡＭ内容がシフト・ダウンされる。好適実施例では
、ＣＡＭエントリに関するシフト・ダウンは、１クロック・サイクルを要する。
探索し、ＣＡＭアレイを並べ替え、最近の利用度に従った順序を維持する。以下
のテーブルは、ＣＡＭアレイのキャッシュ・メモリの新たな内容および（不変な
）内容を示す。
【０３２８】
【表８】 この例に関して、いくらかの時間経過後、ＬＵＥ１００７がハッシュ値のハッ
シュ５を探索するものとする。これは、キャッシュ・メモリのページ５を指すＣ
ＡＭ６におけるヒットを生成する。１クロック・サイクルで、キャッシュ・サブ
システム１１１５は、ＬＵＥ１００７にヒットの通知を提供し、キャッシュ・メ
モリにおけるフロー・エントリに対するポインタを提供する。最も最近のエント
リはハッシュ５であり、従って、ハッシュ５とキャッシュ・メモリ・アドレス・
ページ６がＣＡＭ０に入力される。残りのＣＡＭの内容は、ハッシュ５を包含し
ていたエントリを含めて１つだけシフト・ダウンされる。すなわち、ＣＡＭ７，
ＣＡＭ８，．．．，ＣＡＭ３１は不変に維持される。ＣＡＭ配列内容および不変
のキャッシュ・メモリ内容は、以下のテーブルに示されるようなものである。
【０３２９】
【表９】 キャッシュ・ヒットの場合、上部ＣＡＭにおいて最も多く使用したハッシュ値
に関して、ＣＡＭアレイは利用の最新さの順序で使用したハッシュ値を常に維持
する。
【０３３０】 キャッシュ・ヒットが生じた場合のキャッシュ・サブシステムの動作について
、引き続き具体例を参照して説明する。（例えばＬＵＥ１１０７を利用して）ハ
ッシュ値のハッシュ４３を探索するものと仮定する。ＣＡＭアレイは「ミス」を
生成し、外部メモリ内のハッシュを利用する探索を行わせる。本実施例の具体的
な動作は、ＣＡＭ状態マシンがメモリ状態マシンに取得メッセージ(GET message
)を送出し、一体化メモリ・コントローラ（ＵＭＣ）１１１９を介してそのハッ
シュを使用するメモリ探索を行う。なお、ＣＡＭアレイ内でミスが生じた場合の
メモリ探索を行う他の手段についても、当業者に明らかであろう。
【０３３１】 フロー・エントリ・データベース３２４（すなわち外部メモリ）における探索
は、ヒットまたはミスになる。フロー・エントリのデータベース３２４が、ハッ
シュ値のハッシュ４３に一致するエントリを有しないと仮定する。メモリ状態マ
シンは、ＣＡＭ状態マシンに対してミスを示し、ＬＵＥ１００７に対してミスを
示す。一方、ハッシュ値のハッシュ４３に一致するフロー・エントリ-エントリ
４３-がデータベース３２４内に存在すると仮定する。この場合は、そのフロー
・エントリはキャッシュにロードされる。
【０３３２】 本発明の更なる特徴によれば、下部ＣＡＭエントリＣＡＭ３１は、キャッシュ
・メモリ内でＬＲＵアドレスを常に指示する。真のＬＲＵ置換手法は、ＬＲＵキ
ャッシュ・メモリ・エントリを明確にし(flush out)、下部ＣＡＭにより指示さ
れるＬＲＵキャッシュ・メモリ・ロケーションに新規エントリを挿入することを
含む。ＣＡＭエントリは、キャッシュ・メモリ要素に対して指示されたものにお
けるエントリの新たなハッシュ値を反映するよう修正される。ハッシュ値のハッ
シュ４３はＣＡＭ３１に置かれ、フロー・エントリ４３はＣＡＭ３１によって指
示されるキャッシュ・ページ内に置かれる。ＣＡＭアレイおよびその変更したキ
ャッシュ・メモリの内容は以下のとおりである。
【０３３３】
【表１０】 挿入されたエントリはＭＲＵフロー・エントリである点に留意すべきである。
したがって、ＣＡＭ３１の内容は、ＣＡＭ０に移動させられ、上部の３０個のＣ
ＡＭ内のかつての内容はシフト・ダウンされ、下部ＣＡＭはＬＲＵキャッシュ・
メモリ・ページを指示する。
【０３３４】
【表１１】 既存のフロー・エントリの抽出に関してキャッシュ・サブシステム１１１５を
通じてデータベース３２４のエントリを探索することに加えて、ＬＵＥ，ＳＰま
たはＦＩＤＥエンジンは、キャッシュを通じてフロー・エントリを更新すること
も可能である。したがって、更新されたフロー・エントリであるところのエント
リがキャッシュ内に存在し得る。このような更新されたエントリが外部メモリ内
のフロー・エントリ・データベース３２４に書き込まれるまでは、そのフロー・
エントリは「ダーティ(dirty)」と呼ばれる。キャッシュ・システムにおいて一
般的であるようにして、キャッシュ内でダーティ・エントリを指示するための機
構が設けられる。例えば、データベース３２４内で対応するエントリが更新され
るまでは、ダーティ・エントリはフラッシュ(flush)されないようにすることが
可能である。
【０３３５】 最後の事例において、キャッシュ内のエントリは動作（作業）によって修正さ
れることを想定していた。すなわち、ハッシュ４３はＭＲＵのＣＡＭ０内にあり
、ＣＡＭ０は適切にページ３０を指示するが、キャッシュのページ３０における
情報であるエントリ４３は、データベース３２４内のエントリ４３には対応しな
い。すなわち、キャッシュ・ページのページ３０の内容はダーティである。デー
タベース３２４を更新させる必要がある。このことは、ダーティ・エントリのバ
ック・アップ(backing up)またはクリーニング(cleaning)と呼ばれる。
【０３３６】 キャッシュ・システムで一般的であるように、ダーティ・フラグを利用して、
キャッシュ・メモリ・エントリがダーティであることを知らせる指標がある。好
適実施例では、キャッシュ・メモリ内で各ワードについてダーティ・フラグが存
在する。
【０３３７】 本願キャッシュ・システムの他の特徴は、キャッシュ・メモリ内容のクリーニ
ングであり、キャッシュ・メモリ内で最初にフラッシュされる可能性の最も高い
エントリに従って行われる。本願実施例のＬＲＵキャッシュでは、キャッシュ・
メモリ・エントリのクリーニングは、利用の最新さとは逆の順序で進行する。し
たがって、最も小さな利用性のＬＲＵページが最初にクリーニングされ、これら
は最初にフラッシュされる可能性の高いエントリである。
【０３３８】 本実施例では、メモリ状態マシンは、アイドルであるときはいつでも、最新さ
とは逆の順序でＣＡＭアレイを走査するようプログラムされ、すなわちＣＡＭア
レイの下部から始まって、ダーティ・フラグを探索する。ダーティ・フラグが見
出されると、キャッシュ・メモリ内容は、外部メモリにおけるデータベース３２
４に対してバックアップされる。
【０３３９】 キャッシュ・メモリのページがクリーニングされると、依然として必要とされ
る場合はそれはキャッシュ内で維持される点に留意すべきである。更なるキャッ
シュ・メモリ・ページが必要とされる場合は、そのページはフラッシュされるの
みである。新たなメモリ・ページが必要とされる場合は、対応するＣＡＭは不変
である。こうして、クリーン・エントリを含むキャッシュ・メモリ内容総ての効
率的な探索が可能になる。さらに、キャッシュ・メモリがフラッシュされるとき
はいつでも、そのエントリがクリーンであることを保障するために最初に検査が
行われる。エントリがダーティである場合は、そのエントリをフラッシュするの
に先立ってバックアップされる。
【０３４０】 キャッシュ・サブシステム１１１５は、１度に２つの読み込み（リード）転送
を行うことが可能である。１度に２以上のリード要求が活性化されると、キャッ
シュは以下の特定の順序でそれらを行う： （１）ＬＲＵダーティ・ライト・バック。ダーティである場合に、キャッシ
ュは最近最も少なく利用したキャッシュ・メモリ・エントリを書き戻し、キャッ
シュ・ミスに関する取得用のスペースが常に存在するようにする。
【０３４１】 （２）探索および更新エンジン１１０７。
【０３４２】 （３）状態プロセッサ１１０８。
【０３４３】 （４）フロー挿入および削除エンジン１１１０。
【０３４４】 （５）分析ホスト・インターフェースおよび制御１１１８。
【０３４５】 （６）ＬＲＵ−１からのダーティ・ライト・バック。処理中のもの以外に存
在しなければ、キャッシュ・エンジンはダーティ・エントリを外部メモリに書き
戻す。
【０３４６】 図２６はキャッシュ・サブシステム１１１５のキャッシュ・メモリ要素２６０
０を示す。キャッシュ・メモリ・サブシステム２６００は、キャッシュ・メモリ
のページ用の双方向ポート・メモリのバンク２６０３を有する。本願実施例では
、３２ページある。メモリの各ページは双方向ポート対応である。すなわち、各
々がアドレスおよびデータ入力を有する２組の入力ポートを有し、入力および出
力ポートの１組は、一体化メモリ・コントローラ（ＵＭＣ）１１１９に結合され
、フロー・エントリ・データベース３２４に対して使用される外部メモリからお
よびそこに対して、キャッシュ・メモリに対して書き込みおよびそこから読み出
す。出力線２６０９の内ＵＭＣ１１１９に結合されるものは、キャッシュ・シス
テム１１１５のＣＡＭメモリ・サブシステム部分からのキャッシュ・ページ選択
信号を利用して、マルチプレクサ２６１１によって選択される。データベース３
２４からのキャッシュ・メモリの更新は、ＵＭＣからのデータ信号２６１７およ
びキャッシュ・アドレス信号２６１５を利用する。 キャッシュ・メモリから、および探索／更新エンジン（ＬＵＥ）１１０７、状態
プロセッサ（ＳＰ）またはフロー挿入／削除エンジン（ＦＩＤＥ）からキャッシ
ュ・メモリへのデータ探索および更新は、キャッシュ・メモリ・ページ２６０３
の他の入力および出力ポートを使用する。入力選択マルチプレクサ２６０５のバ
ンクおよび１組の出力選択マルチプレクサ２６０７は、選択信号群２６１９を利
用して入力および出力いえエンジンを夫々選択する。
【０３４７】 図２７は、ＣＡＭアレイ２７０５およびメモリ状態マシン２７０３に結合され
、各要素の間で伝送されるいくつかの信号を利用するキャッシュＣＡＭ状態マシ
ン２７０１を示す。各信号名は説明的であり、状態マシンとしてこれらのコント
ローラを実現する方法および他の方法は、この説明から明らかであろう。
【０３４８】 ＣＡＭアレイの上記の動作説明は、そのようなＣＡＭアレイを設計するために
当業者にとって充分であり、１例を示す図２８のようにそのような多くの設計も
可能である。前の図面に戻る。ＣＡＭアレイ２７０５は、ＣＡＭメモリのページ
当たり１つのＣＡＭ、例えばＣＡＭ［７］（２８０７）を有する。探索ポートお
よび更新ポートは、ＬＵＥ，ＳＰまたはＦＩＤＥのいずれがキャッシュ・システ
ムにアクセスしているかに依存する。探索に関する入力データは、一般にハッシ
ュであり、ＲＥＦ−ＤＡＴＡ２８０３として示される。キャッシュのロード、更
新または取戻(evicting)は、選択マルチプレクサ２８０９を利用してＣＡＭ入力
データを選択する信号２８０５を利用して行われ、そのようなデータはヒット・
ページまたはＬＲＵページである（本願一形態では下部ＣＡＭ）。５ないし３２
のデコーダ２８１１を通じてロードが終了する。アレイ内での総てのＣＡＭに対
するＣＡＭ探索の結果は、ヒット２８１５を出力する３２−５ロー・ハイ３２な
いし５エンコーダ２８１３に供給され、ＣＡＭ番号２８１７がヒットを引き出す
。ＣＡＭヒット・ページ２８１９はＭＵＸ２８１２の出力であり、そのヒットを
引き出したＣＡＭの信号２８１７によって選択される入力および出力としての各
ＣＡＭのＣＡＭデータを有する。ダーティ・エントリの保守は、ＣＡＭ状態マシ
ン２７０１に結合される更新ポートに基づくものと同様に実行される。ＭＵＸ２
８２３は全ＣＡＭデータ入力および走査入力２８２７を有する。ＭＵＸ２８２３
はダーティ・データ２８２５を引き出す。
【０３４９】 ［パターン分解および抽出データベース・フォーマット］ 異なる階層に存在し得る異なるプロトコルは、リンクされたノードの１つまた
はそれ以上のツリーのノードとして考えることができる。パケット形式はツリー
のルート（ベース・レベルと呼ばれる）である。各プロトコルは、次の何らかの
他のプロトコルの親ノードまたは端末ノードの何れかである。親ノードは、より
高位の階層レベルに位置し得る他のプロトコル（子プロトコル）にリンクする。
【０３５０】 ３つのツリー構造に関する例として、イーサーネット・パケットを考察する。
子ノードの１つはＩＰプロトコルであり、ＩＰプロトコルの子の１つはＴＣＰプ
ロトコルであり得る。ＩＰの他の子は、ＵＤＰプロトコルであり得る。
【０３５１】 パケットは、使用されたプロトコルに関する少なくとも１つのヘッダを有する
。パケット内で使用された特定のプロトコルの子プロトコルは、その特定のプロ
トコルのヘッダ内のロケーションにおける内容によって示される。子を特定する
パケットの内容は、子認識パターンの形式に内のものである。
【０３５２】 ネットワーク分析器は多くの様々なプロトコルを分析可能であることが好まし
い。ベース・レベルにおいて、ディジタル・テレコミュニケーションで使用され
る多数のパケット形式が存在し、特に、イーサーネット，ＨＤＬＣ，ＩＳＤＮ，
ＬａｐＢ，ＡＴＭ，Ｘ．２５，フレーム・リレー，ディジタル・データ・サービ
ス，ファイバ配信データ・インターフェース（ＦＤＤＩ），およびＴ１がある。
これらパケット形式の多くは異なるパケットおよび／またはフレーム・フォーマ
ットを使用する。例えば、データがＡＴＭおよびフレーム・リレー・システムに
おいて、５３オクテット（すなわちバイト）長である固定長パケット（「セル」
と呼ばれる）の形式で送信され；そのようなセルのいくつかは、他の形式の単独
パケットに包含される情報を形成するために使用され得る。
【０３５３】 パケットなる用語は、パケット、データグラム、フレームおよびセルを包含す
ることを意図する点に留意すべきである。一般に、パケット・フォーマットまた
はフレーム・フォーマットは、ネットワークを通じた伝送のために様々なフィー
ルドおよびヘッダにデータがどのように包含されるかを示す。例えば、データ・
パケットは一般に、パケットの開始および終了を識別するヘッダおよびフッタだ
けでなく、アドレスあて先フィールド、長さフィールド、エラー訂正コード（Ｆ
ＣＣ）フィールドまたは巡回冗長チェック（ＣＲＣ）フィールドをも含む。「パ
ケット・フォーマット」、「フレーム・フォーマット」および「セル・フォーマ
ット」なる用語は、概して同義語である。
【０３５４】 パケット・モニタ３００は、様々なプロトコルを分析することが可能であり、
パケットにおいて様々なプロトコル特有の動作を実行することが可能であり、プ
ロトコルのプロトコル・ヘッダは、親プロトコルまたはそのパケットで使用され
たプロトコルに依存して異なるロケーションに位置している。パケット・モニタ
は、パケットの内容に従って、様々なプロトコルに適合する。パケットから抽出
された位置および情報は、パケットの特定の形式に対して適応的に判定される。
例えば、フロー署名を形成するために、探索するものまたは探索する場所につい
ての固定的な定義はない。Ｃｈｉｕ等による米国特許第５，１０１，４０２号で
説明されているようないくつかの従来のシステムでは、パケットの特定の形式に
関して特定された固定的な位置が存在する。プロトコルの増加に伴って、そのセ
ッションを判別するために探索するする総ての場所を特定することはますます困
難になる。同様に、新規プロトコルまたはアプリケーションを追加することは困
難である。本発明では、プロトコルに関する階層数は可変であり、その数が何で
あれ、我々が向かうシステム・レベルと同程度に高く、（ＯＳＩモデルにおける
）アプリケーション層に至る総ての手法を一義的に識別するのに充分である。
【０３５５】 同一のプロトコルであっても異なる変形体がある。イーサーネット・パケット
は例えばいくつかの既知の変形体があり、各々は実質的に同一の基本フォーマッ
トを有する。イーサーネット・パケット（ルート・ノード）は、イーサー形式パ
ケット-イーサーネット形式／バージョン２およびディジタル・インテル・ゼロ
ックス・パケット（ＤＩＸ）とも呼ばれる-またはＩＥＥＥイーサーネット（Ｉ
ＥＥＥ８０３.ｘ）パケットである。モニタはイーサーネット・プロトコルの総
てを処理可能であることが好ましい。イーサー形式プロトコルに関して、子プロ
トコルを識別する内容は、１つのローケーション内にあるが、ＩＥＥＥ形式に関
しては、子プロトコルは他のロケーションで特定される。子プロトコルは子認定
パターンで指示される。
【０３５６】 図１６は、完全なイーサーネット情報フレーム（すなわちパケット）のヘッダ
１６００を示し、あて先メディア・アクセス・コントロール・アドレス（Ｄｓｔ
ＭＡＣ１６０２）およびソース・アクセス・コントロール・アドレス（ＳｒｃＭ
ＡＣ１６０４）を含む。図１６に示されているものは、署名を抽出するためのＰ
ＤＬファイルで特定される情報の一部（全部ではない）である。そのような情報
は、分解機構および抽出作業データベース３０８で特定される。これは、Ｄｓｔ
ＭＡＣ情報１６０６の６バイトおよびＳｒｃＭＡＣ情報１６１０の６バイトの形
式で、このレベルにおけるヘッダ情報全てを含む。また、特定されるものは、そ
れぞれハッシュのソースおよびあて先アドレス成分である。ＤｓｔＭＡＣアドレ
スからの２バイトＤｓｔハッシュ１６０８およびＳｒｃＭＡＣアドレスからの２
バイトＳｒｃハッシュ１６１２として示されるものである。最後に、次の階層レ
ベルに関連する情報のためのヘッダが始まる場所に関する情報が含まれる（１６
１４）。この場合、次の階層レベル（レベル２）情報は、パケット・オフセット
１２から開始する。
【０３５７】 図１７Ａは、イーサー形式パケット１７００に対する次のレベル（レベル２）
のためのヘッダ情報を示す。
【０３５８】 イーサー形式パケット１７００に関し、次の階層レベルを指示するパケットか
らの適切な情報は、次のレベルに対する子認識パターンを含む２バイト形式フィ
ールドである。残余の情報１７０４に影が付されているのは、このレベルに適切
でないからである。リスト１７１２は、イーサー形式パケットに対する可能な子
を示し、どの子認識パターンによってオフセット１２が示されるかを表す。
【０３５９】 また、図示されているものは、分解レコードに対して使用され、次のヘッダ情
報を見出すための抽出部分の一部である。分解レコードの署名部分は、抽出され
た部分１７０２を含む。この情報からの１バイト・ハッシュ成分１７１０も含ま
れる。
【０３６０】 オフセット・フィールド１７１０は、次のレベルの情報へ進むためすなわち次
の階層レベルのヘッダの開始を見出すためのオフセットを提供する。イーサー形
式パケットに関して、次の階層ヘッダの開始はフレームの開始から１４バイトで
ある。
【０３６１】 他のパケット形式は異なるようにして配置される。例えば、ＡＴＭシステムで
は、各ＡＴＭパケットは、５オクテット「ヘッダ」セグメントの後に４８オクテ
ット「ペイロード」セグメントを含む。ＡＴＭセルのヘッダ・セグメントは、ペ
ーロード・セグメントに含まれるデータの配信に関する情報を含む。ヘッダ・セ
グメントはトラフィック制御情報も含む。ヘッダ・セグメントの８または１２ビ
ットは、仮想経路識別子（ＶＰＩ）、および仮想チャネル識別子（ＶＣＩ）を含
むヘッダ・セグメントの１６ビットを含む。各ＡＴＭ交換機はＶＰＩおよびＶＣ
Ｉビットにより表現された要約配信情報を、物理または論理ネットワーク・リン
クのアドレスに翻訳し、適切に各ＡＴＭセルに配信する。
【０３６２】 図１７Ｂは可能な次のレベルの１つのヘッダの構造を示し、ＩＰプロトコルに
対するものである。ＩＰプロトコルの可能な子は、テーブル１７５２に示されて
いる。ヘッダは、親プロトコルに依存して異なる位置（Ｌ３）から始まる。署名
のために抽出されるフィールドの一部、および次のレベルのヘッダがパケット内
で開始する場所の指標も図１７Ｂに包含される。
【０３６３】 図１６，１７Ａおよび１７Ｂに示される情報は、ＰＤＬファイル形式でモニタ
に対して明確化され、パターン構造および抽出作業のデータベース３０８に取り
込まれる。
【０３６４】 分解サブシステム３０１は、データベース３０８に格納された情報に基づいて
パケット・ヘッダ・データに関する動作を実行する。プロトコルに関連するデー
タは、ツリー形式に組織化されたものとして考えれることが可能であるので、分
解サブシステムにおいて、ツリー形式で当初組織化されたデータを通じて探索す
ることが必要である。リアル・タイム動作が好ましいので、そのような探索を迅
速に行う必要がある。
【０３６５】 ツリーとして組織化された情報を効率的に格納するためのデータ構造は既知で
ある。そのような格納効率化手段は、データ・ノードに対するポインタを判別す
る算術計算機を要するのが一般的である。そのような格納効率化データ構造を利
用する探索は、本願の用途に対しては極めて多くの時間を費やしてしまう。した
がって、迅速な探索を可能にする何らかの形式でプロトコル・データを格納する
ことが好ましい。
【０３６６】 本発明の他の特徴によれば、データベース３０８は、メモリに格納され、パケ
ットで実行されるプロトコル特有の動作を格納するためのデータ構造を有する。
特に、圧縮された表現を利用して、パターン分解における情報および抽出データ
ベース３０８を格納し、これらは分解サブシステム３０１におけるパターン認識
プロセス３０４および抽出プロセス３０６で使用される。データ構造の内容を指
す１つまたはそれ以上の指標群を利用することによって、子プロトコル関連情報
を迅速に探索するためにデータ構造が組織化される。データ構造エントリは有効
性の指標も含む。子プロトコルのロードまたは識別は、有効なエントリが見出さ
れるまでデータ構造を指示することを含む。パターン認識エンジン（ＰＲＥ）１
００６によって使用されるプロトコル情報を格納するためのデータ構造を利用す
ることは、分解サブシステム３０１が迅速な探索を行うことを可能にする。
【０３６７】 一実施例にあっては、データ構造は３次元構造である。この３次元構造は、２
次元構造群としてメモリに格納され、３Ｄ構造の３次元の１つは、特定の２Ｄア
レイに対する指標として使用される。これは、データ構造に対する第１指標を形
成する。
【０３６８】 図１８Ａはそのような３Ｄ表現１８００を示す（２Ｄ表現の目盛が付された集
合(indexed set)として考えることが可能である）。このデータ構造の３つの次
元は以下のとおりである： １．タイプ識別子［１：Ｍ］。特定のレベルにおけるプロトコルの形式を
識別する識別子である。例えば、０１はイーサーネット・フレームを示す。６４
はＩＰを、１６はＩＥＥＥ形式イーサーネット・パケットを示す。パケット分解
装置が取り扱うことの可能なプロトコル数に依存して、Ｍを大きな数とすること
が可能であり；更なるプロトコルを分析する能力がモニタ３００に付加されたり
して、Ｍを時間と共に変化させることも可能である。３Ｄ構造が２Ｄ構造の集合
として考えられる場合には、タイプＩＤは特定の２Ｄ構造に対する指標である。
【０３６９】 ２．サイズ［１：６４］。パケット内で対象とするフィールドの大きさで
ある。
【０３７０】 ３．ロケーション［１：５１２］。オクテット（バイト）数として表現さ
れるパケット内のオフセット位置である。
【０３７１】 これらロケーションの任意の１つにおいて、有効データが存在したりしなかっ
たりする。３ＤアレイのサイズはＭ＊６４＊５１２であり、非常に大きくなり得
る。例えばＭは１００００である。これは、多くのエントリが空（すなわち無効
）のまばらな３Ｄ行列である。
【０３７２】 各エントリは、内容の性質を示す「ノード・コード」を有する。このノード・
コードは４値のうちの１つを有する：（１）「プロトコル」ノード・コードであ
って、既知のプロトコルが次の（すなわち、子）プロトコルとして認識されるパ
ターン認識プロセス３０４を示す；（２）「端末」ノード・コードであって、目
下探索しているプロトコルに関して子プロトコルが存在せず、そのノードがプロ
トコル・ツリーにおける最終ノードであることを示す；（３）「ヌル」（「フラ
ッシュ」とも呼ばれる）ノード・コードであって、有効なエントリが存在しない
ことを示す。
【０３７３】 好適実施例では、可能な子および他の情報が初期化によってデータ構造内にロ
ードされ、その初期化はＰＤＬファイル３３６に基づくコンパイル・プロセス３
１０および階層選択３３８を含む。以下の情報は、プロトコルを表現するデータ
構造内の任意のエントリに含まれる。
【０３７４】 （ａ）次に探索する子のリスト（タイプＩＤとして）。例えば、イーサー
ネット形式２に関して、子はイーサー形式である（図１７の１７１２において示
されるようなＩＰ，ＩＰＸ等）。これらの子は、３つのコードにコンパイルされ
る。ＩＰに関するコードは６４であり、ＩＰＸに関するものは８３である。
【０３７５】 （ｂ）リスト中のＩＤの各々に関する子認識パターンのリストであって、
比較されることを要しないもの。例えば、リスト中の６４：０８００（１６）は
、タイプＩＤ６４である子（これはＩＰプロトコルである）に対して、探索する
値が０８００（１６進）であることを示す。リスト中の８３：８１３７（１６）
は、タイプＩＤ８３である子（これはＩＰＸプロトコルである）に対して、探索
する値が０８１３７（１６進）であることを示す。等々。
【０３７６】 （ｃ）フローに関する署名の識別を行うための抽出動作。使用されるフォ
ーマットは、（オフセット、長さ、フロー_署名_値_識別子）であり、フロー_署
名_値_識別子は抽出したエントリがその署名において進行する場所を示し、実行
されるべき作業（ＡＮＤ，ＯＲ等）が何であるかを含む。ハッシュ・キー要素も
存在する場合は、例えば、例えばそこにおける情報が包含される。例えば、イー
サー形式パケットに関し、２バイト形式（図１７Ａの１７０６）が署名に使用さ
れる。さらに、この形式の１バイト・ハッシュ（図１７Ａの１７０８）が包含さ
れる。さらに、子プロトコルはオフセット１４から始まる点に留意すべきである
。
【０３７７】 付加的な項目は「折り重ね(fold)」である。折り重ねを利用して、３Ｄ構造の
格納の条件を減少させる。各プロトコルＩＤに関する各々の２Ｄアレイはまばら
に散在しているので、各自のエントリが互いに衝突しない限り、複数のアレイが
単独のアレイに一体化される。折り重ね数は各要素を関連させるために使用され
る。所与の探索に関し、探索の折り重ね数は、折り重ね数エントリに一致しなけ
ればならない。折り重ねについて更に説明する。
【０３７８】 イーサーネットの場合、次のプロトコル・フィールドは長さを示し、分解装置
に対して、ＩＥＥＥ形式パケットであることを告げ、次のプロトコルが他の場所
にあることを告げる。通常は、次のプロトコル・フィールドは、その次すなわち
子プロトコルを識別する値を包含する。
【０３７９】 分解サブシステムに関するエントリ・ポイントは、仮想ベース階層(virtual b
ase layer)と呼ばれ、例えばパケット形式のような可能な第１子を含む。高レベ
ル・プロトコル記述言語（ＰＤＬ）で書かれた１組のプロトコルは、本願で利用
可能である。その組はＰＤＬファイルを含み、総ての可能なエントリ・ポイント
（すなわち仮想ベース）を記述するファイルは、virtual.pdlと呼ばれる。イー
サーネット示す１つの子０１のみがこのファイルに存在する。したがって、本事
例はイーサーネット・パケットのみを処理することが可能である。実際には、複
数のエントリ・ポイントが存在し得る。
【０３８０】 一実施例にあっては、パケット捕捉装置は捕捉したパケット総てについてヘッ
ダを提供し、パケットの形式を示すモニタ３００に入力する。このヘッダを利用
して、分解サブシステムに対する仮想ベース階層エントリ・ポイントを判別する
。ベース階層おいてでさえも、分解サブシステムはパケットの形式を識別するこ
とが可能である。
【０３８１】 はじめに、捕捉装置によって供給されるヘッダにおいて取得された仮想ベース
の子から探索が始まる。この例の場合、ＩＤ値０１を有し、これはイーサーパケ
ットに関する３Ｄ構造全体における２Ｄアレイである。
【０３８２】 パターン分析プロセス３０４（たとえば図１０のパターン認識エンジン（ＰＲ
Ｅ）１００６）を実現するハードウエアは、プロトコルＩＤ０１を有する２Ｄア
レイに関して子（もし存在すれば）を判別するために探索する。３Ｄデータ構造
を利用する好適実施例では、ハードウエアＰＲＥ１００６は、同時に４つまでの
長さ（すなわちサイズ）に関して探索する。プロセス３０４は４つの長さのグル
ープで探索する。プロトコルＩＤ０１から開始し、探索される３Ｄロケーション
の最初の２つの組は、以下のとおりである。
【０３８３】 （１，１，１） （１，１，２） ．．． （１，２，１） （１，２，２） （１，３，１） （１，３，２） （１，４，１） （１，４，２） 探索の各段階において、分析プロセス３０４はパケットおよび３Ｄデータ構造
を調査し、一致の存否を調べる（ノード・コードを調べることによって）。たと
えばノード・コードを利用して、有効なデータ見出されなかった場合は、そのサ
イズがインクリメントされ（最大で４）、その後オフセットもインクリメントさ
れる。
【０３８４】 この例に引き続いて、パターン分析プロセス３０４が１，２，１２において何
かを発見したとする。これにより、プロトコルＩＤ値０１に関し、次の（子）プ
ロトコルに関連する２バイト（オクテット）長のパケットにおける情報が存在す
ることを、プロセス３０４が見出す。例えばこの情報は、子認識パターンとして
表現されるそのプロトコルに関する子についてのものである。パケットのその部
分において可能な子認識パターンのリストは、データ構造から取得される。
【０３８５】 イーサーネット・パケット構造は２つのフレーバ(flavor)があり、イーサー形
式パケットと新たなＩＥＥＥ形式であり、子を識別するパケット位置は両者で異
なる。イーサー形式パケットに対して子を示す位置は、ＩＥＥＥ形式に対しては
「長さ」を示し、イーサーネット・パケットについて、「次のプロトコル」位置
が値であるか長さであるかについて検査が行われる（これは、「長さ」作業と呼
ばれる）。良好な長さ作業が０５ＤＣ（１６）以下の内容によって示される場合
は、これはＩＥＥＥ形式イーサーネット・フレームである。この場合は、子認識
パターンはそれ以外の場所で探索される。そうでない場合は、その場所が子を示
す値である。エントリが値（例えば子プロトコルＩＤ）または長さ（子プロトコ
ルを判別するための更なる分析を示す）であるこの機能は、イーサーネット・パ
ケットに対してだけでなく、将来的には他のパケットにも最終的には応用され得
る。したがって、ＰＤＬファイルでマクロの形式における機能は、そのような将
来的なパケットがデコードされることを可能にする。
【０３８６】 この例に引き続いて、長さ作業が成功しなかったと仮定する。この場合、我々
はイーサー形式パケットを有し、次のプロトコル・フィールド（子認識パターン
を含む）は、図１７Ａにおけるパケット・フィールド１７０２として示されるよ
うなオフセット１２から始まる２バイトの長さである。これは、図１７Ａにおけ
るテーブル１７１２内に示されるイーサー形式の子の１つである。ＰＲＥはその
データ構造内の情報を使用して、見出した２バイト子認識パターンに関してＩＤ
コードが何であるかを検査する。例えば、子認識パターンが０８００（１６進）
である場合は、プロトコルはＩＰである。子認識パターンが０ＢＡＤ（１６進）
である場合は、プロトコルはＶＩＰ（ＶＩＮＥＳ）である。
【０３８７】 他の実施例において、総ての子認識パターンおよびそれらの対応するプロトコ
ルＩＤを含む別々のテーブルを維持することも可能である。
【０３８８】 この例に続いて、１，２，１２における子認識パターンがＩＰを示す０８００
（１６）であると仮定する。ＩＰプロトコルに関するＩＤコードは６４（１０）
である。イーサー形式の例を続けると、分解装置がプロトコルに関する可能な子
の１つに一致すると、例えばプロトコル形式が６４のＩＤを有するＩＰであると
すると、分解装置は次のレベルに対する探索を継続する。ＩＤが６４であり、長
さは未知であり、オフセットは等しいかまたは１４バイト大きく（この形式につ
いては１２オフセットに、この形式の長さ２を加えたもの）、３Ｄ構造の探索は
パケット・オフセット１４における位置（６４，１）から始まる。パケット・オ
フセット１４で（６４，２）において、所在するノードが見出される。ヘッダの
詳細は図１７Ｂの１７５０に示される。可能な子はテーブル１７５２に示される
。
【０３８９】 あるいは、（１，２，１２）において長さ１２１１（１０）が存在していたと
する。これは、ＩＥＥＥ形式イーサーネット・フレームであることを示し、その
形式をそれ以外の場所に格納している。ＰＲＥは同一レベルでその探索を継続す
るが、ＩＥＥＥ形式のイーサーネット・フレームのものである新たなＩＤに対し
て行うものである。ＩＥＥＥイーサーネット・パケットはプロトコルＩＤ１６を
有し、ＰＲＥは、パケット・オフセット１４から始まるＩＤ１６を利用して３次
元空間の探索を継続する。
【０３９０】 本実施例では、パケット・オフセット１４における（１６，２）において「プ
ロトコル」ノード・コードが存在し、次のプロトコルが子認識パターン８００（
１６）によって特定されると仮定する。これは、その子がタイプＩＤ６４を有す
るＩＰプロトコルであることを示す。こうして、パケット・オフセット１６にお
ける（６４，１）から探索が続く。
【０３９１】 ［圧縮］ 上述したように、３Ｄデータ構造は非常に大きく、要素がまばらに散在する。
例えば、各ロケーションに３２バイト格納されているとすると、長さはＭ＊６４
＊５１２＊３２バイトになり、Ｍはメガバイトである。もしＭ＝１００００なら
ば、これは約１０ギガバイトになる。データベース３０８を格納するための分解
サブシステムにおけるメモリに１０Ｇバイトを用意することは現実的ではない。
したがって、好適実施例では、データを格納する圧縮された形式が使用される。
圧縮は、コンパイル・プロセス３１０の最適化要素によって実行されることが好
ましい。
【０３９２】 データ構造がまばらであることに留意する。別の実施例では、別の圧縮手法を
利用して、データ構造の散在性の利点を得る。一実施例では、多次元ラン・レン
グス・エンコードを修正して利用する。
【０３９３】 他の実施例では、より小さな数の２次元構造を利用して情報を格納し、その情
報は、その手法を利用しなかったならば巨大な３次元構造となっていたであろう
ものである。第２の手法は好適実施例で使用される。
【０３９４】 図１８Ａは、３Ｄアレイ１８００がどのようにして１組の２Ｄアレイとして、
各プロトコル（すなわち、プロトコルＩＤの各々の値）に対して１つの２Ｄアレ
イとして考えられるかを示す。２Ｄアレイは、Ｍ個のプロトコルＩＤに至るまで
の１８０２−１，１８０２−２，．．．，１８０２−Ｍとして示される。１つの
テーブル・エントリは１８０４として示される。テーブルにおけるギャップは、
各２Ｄ構造テーブルが一般に大きいことを図示するためのものである。
【０３９５】 可能なプロトコルを表現する１組のツリーを考察する。各ノードはプロトコル
を表現し、プロトコルは子を有するか又は末端のプロトコルである。ツリーのベ
ース（ルート）は子としての総てのパケット形式を有する。他のノードは、レベ
ル１からツリーの最終的な末端ノードへの様々なレベルにおけるノードを形成す
る。こうして、ベース・ノードにおける１つの要素は参照ノードＩＤ１であり、
ベース・ノードにおける他の要素は参照ノードＩＤ２であり、以下同様である。
ツリー内においてルートから離れてゆくと、同一の点が次に参照されるような場
所が生じ得る。これは、例えばテルネット(Telnet)のようなアプリケーション・
プロトコルがＴＣＰまたはＵＤＰのようないくつかの転送接続において走ってい
る場合に生じ得る。テルネット・ノードを繰り返すのではなく、いくつかのパタ
ーンを有し得るパターン・データベース３０８内で１つのノードのみが表現され
る。これによりスペースの急増を抑制することができる。
【０３９６】 図１８Ａにおける２Ｄ構造はプロトコルを表現する。いくつかのパターンにな
り得るプロトコルにつき１つのアレイのみを使用することによってスペースを節
約可能にするために、本願一実施例において、パターン分析サブプロセスが「現
在のヘッダ」ポインタを維持する。３Ｄ構造における各プロトコル２Ｄアレイに
対する各ロケーション（オフセット）指標は、特定のプロトコルに対するヘッダ
の開始位置を利用する相対的な位置である。
【０３９７】 ２次元アレイの各々はまばらである。最適化の次のステップは、他の総ての２
Ｄアレイに対して２Ｄアレイを総て検査し、どれがメモリを共有し得るかを見出
す。これら２Ｄアレイの多くは散在しており、各々が少量の有効エントリを有す
るに過ぎないことが多い。したがって次に「折り重ね」のプロセスを利用して、
任意の当初の２Ｄアレイの識別性を喪失することなしに、２以上の２Ｄアレイを
一体の２Ｄアレイに統合する（すなわち、総ての２Ｄアレイが論理的には存在し
続ける）。折り重ねは、所定の条件に適合する限りはそのツリーにおけるそれら
の場所には無関係に、任意の２Ｄアレイの間で起こり得る。
【０３９８】 ２つの２Ｄアレイが折り重ねの対象であると仮定する。第１の２ＤアレイをＡ
とし、第２の２ＤアレイをＢとする。両２Ｄアレイは部分的に散在しているので
、２ＤアレイＢは２ＤアレイＡと組み合わせることが可能である。ただし、これ
ら２Ｄアレイの各要素が同一の２Ｄロケーションの衝突を起こさない場合に限る
。折り重ね可能であれば、２ＤアレイＢの有効エントリが２ＤアレイのＡの有効
エントリに組み合わせられ、一体の２Ｄアレイが生じる。しかしながら、当初の
２ＤアレイＡのエントリと２ＤアレイＢのものとが識別可能であることが必要で
ある。たとえば、２ＤアレイＢによって表現されるプロトコルの親プロトコルが
、２ＤアレイＢのプロトコルＩＤを参照したい場合に、２ＤアレイＡも参照しな
ければならない。しかしながら、当初の２ＤアレイＢに存在していたエントリの
みがその探索に関して有効なエントリである。このため、任意の所与の２Ｄアレ
イにおける各要素は、折り重ね番号と共にタグが付される。当初のツリーが生成
されると、総ての２Ｄアレイにおける総ての要素が折り重ね値ゼロで初期化され
る。そして、２ＤアレイＢが２ＤアレイＡと折り重ねられると、２ＤアレイＢの
総ての有効な要素は、２ＤアレイＡ内の対応する場所に複製され、２ＤアレイＡ
内の要素とは異なる折り重ね数が与えられる。例えば、２ＤアレイＡおよび２Ｄ
アレイＢの両者がそのツリーにおける当初の２Ｄアレイであったとすると（すな
わち、前もって折り重ねられていない）、折り重ねの後、総ての２ＤアレイＡエ
ントリは、依然として折り重ね数０を有するが、２ＤアレイＢエントリは総て折
り重ね数１を有する。２ＤアレイＢが２ＤアレイＡに折り重ねられた後、２Ｄア
レイＢの親は、それらの子の２Ｄアレイの物理的な位置における変化、および予
測される折重ね値における付随する変化を通知される必要がある。
【０３９９】 ２つの２Ｄアレイの個々の要素が同一の２Ｄアレイ・ロケーションに関して衝
突しない限り、折り重ねプロセスは、既に折り重ねられた２つの２Ｄアレイの間
でも起こり得る。上述したように、２ＤアレイＢ内の有効な要素の各々は、２Ｄ
アレイＡのものに対して区別可能に割り当てられた折り重ね数を有する必要があ
る。これは、２ＤアレイＡに吸収される際に総ての２ＤアレイＢ折り重ね数に固
定値を付加することによって達成される。この固定値は、当初の２ＤアレイＡに
おける最大の折り重ね数より１つ大きいものである。任意の所与の２Ｄアレイの
折り重ね数はその２Ｄアレイにのみ関連するものであり、２Ｄアレイのツリー全
体にわたって関連するものではないことは重要である。
【０４００】 折り重ねの候補がなくなるまで、この折り重ねプロセスは２つの２Ｄアレイの
総ての組み合わせの間で行われようとする。これを行うことによって、２Ｄアレ
イの合計は顕著に減少する。
【０４０１】 折り重ねが行われるときはいつでも、３Ｄ構造（すなわち総ての２Ｄアレイ）
は、他のアレイに折り重ねられる２Ｄアレイの親を探索される必要がある。単独
の２Ｄアレイを識別するプロトコルＩＤに以前マッピングされたマッチング・パ
ターンは、その２ＤアレイＩＤおよび次の折り重ね数（すなわち、予測される折
り重ね）に置換される必要がある。
【０４０２】 圧縮されたデータ構造において、各々の有効なエントリは、そのエントリに関
する折り重ね数、および付加的にその子の予測される折り重ね数を有する。
【０４０３】 データベース３０８で使用されたデータ構造の他の実施例は、図１８Ｂに描か
れている。上述した３Ｄ構造と同様に、パターン認識プロセス３０４により実行
される探索を迅速に行うことが可能であり、これは、アドレス・リンク計算では
なくメモリ内の場所を指示することによって行われる。図１８Ａのものと同様に
、この構造は、ハードウエアで実現するのに適しており、例えば図１０のパター
ン認識エンジン（ＰＲＥ）１００６を利用して実現される。
【０４０４】 プロトコル・テーブル（ＰＴ）と呼ばれるテーブル１８５０は、モニタ３００
にとって既知の各プロトコルに関するエントリを有し、各プロトコルのいくつか
の特徴を含み、その特徴には、次のプロトコル（子認識パターン）を特定するフ
ィールドがヘッダのどこで見出され得るについての記述、次のプロトコル・フィ
ールドの長さ、ヘッダ長およびタイプを示すためのフラグ、１つ又はそれ以上の
スライサ命令が含まれ、そのスライサ命令は、その階層レベルでそのプロトコル
におけるパケットに関してキー要素およびハッシュ要素を形成することが可能で
ある。
【０４０５】 任意のプロトコルに関し、１つ又はそれ以上の探索テーブル（ＬＵＴ）も存在
する。この実施例に関するデータベース３０８は、１組のＬＵＴ１８７０も含む
。各ＬＵＴは、パケット内で次のプロトコル・フィールドから抽出される子認識
パターンの１バイトによって指示される２５６のエントリを有する。そのような
プロトコル仕様はいくらかのバイトの長さを有し、いくつかのＬＵＴ１８７０は
任意のプロトコルを探索するために必要である。
【０４０６】 ＬＵＴのエントリは、有効性を含む内容の性質を示す２ビットを有する。この
ノード・コードは４値のうちの１つを有する：（１）「プロトコル」ノード・コ
ードであって、既知のプロトコルが認識されるパターン認識エンジン１００６に
通知する；（２）「中間」ノード・コードであって、複数のバイト・プロトコル
・コードが部分的に認識され、一連のＬＵＴが共に連結することを許容する；（
３）「端末」ノード・コードであって、目下探索しているプロトコルに関して子
が存在せず、そのノードがプロトコル・ツリーにおける最終ノードであることを
示す；（４）「ヌル」（「フラッシュ」または「無効」とも呼ばれる）ノード・
コードであって、有効なエントリが存在しないことを示す。
【０４０７】 ノード・コードに加えて、各ＬＵＴエントリは、次のＬＵＴメンバ、次のプロ
トコル・メンバ（プロトコル・テーブル１８５０を探索するため）、ＬＵＴエン
トリの折り重ね、および予想される次の折り重ねを包含する。３Ｄ表現の圧縮形
式を実現する実施例におけるものと同様に、折り重ねを利用して、ＬＵＴの組に
関する格納の条件を減少させる。ＬＵＴ１８７０はまばらに散在しているので、
個々のエントリが互いに衝突しない限り、複数のＬＵＴが単独のＬＵＴに統合さ
れ得る。折り重ね数を利用して、その当初のＬＵＴと各要素を関連付ける。
【０４０８】 所与の探索に関し、探索の折り重ね数は、探索テーブルにおける折り重ね数に
一致している必要がある。予測される折り重ねは以前の探索テーブルから得られ
る（「次の予測折り重ね」フィールド）。本実施例では５ビットを利用して折り
重ね数を表現し、３２までのテーブルを１つのテーブルに折り重ねることを可能
にする。
【０４０９】 図１８Ｂのデータ構造を利用する場合において、パケットが分解装置に到着す
ると、仮想ベースが事前処理または知らされている。仮想ベース・エントリは、
パケット認識エンジンに対して、そのパケットにおける第１子認識パターンを見
出す場所を告げる。パターン認識エンジンは、パケットから子認識パターン・バ
イトを抽出し、それらを仮想ベース・テーブル（第１ＬＵＴ）へのアドレスとし
て使用する。この方法により特定された次のＬＵＴにおいて探索されたエントリ
が、仮想ベース・エントリにおいて特定された予測される次の折り重ね値に一致
する場合、その探索は有効である。そしてそのノード・コードが調査される。そ
れが中間ノードである場合は、ＬＵＴ探索から得られる次のテーブル・フィール
ドは、アドレスの最上位ビットとして使用される。次の予測される折り重ね数は
エントリから抽出される。パターン認識エンジン１００６は、子認識パターンか
らの次のバイトを次のＬＵＴ探索のために使用する。
【０４１０】 末端コードが見出されるまで、ＰＲＥの動作は続く。次の（最初はベース階層
とする）プロトコルは、テーブル１８５０内で探索され、ＰＲＥ１００６に対し
て、（分解サブシステム１０００の入力バッファ・メモリ１００８における）パ
ケット内のどのフィールドを利用して、フィールドのサイズを含む次のプロトコ
ルの子認識パターンを取得するかについての情報を提供する。子認識パターン・
バイトは入力バッファ・メモリ１００８から取得される。子認識パターンを形成
するバイト数は既知である。
【０４１１】 プロトコル・コード・バイトの第１バイトは、次のＬＵＴにおける探索に使用
される。ＬＵＴ探索結果がプロトコル・ノードまたは末端ノードを示すノード・
コードになった場合、次のＬＵＴおよび次の予測折り重ね数が設定され、プロト
コル・テーブル１８５０への指標として、ＬＵＴ探索からの「次のプロトコル」
が利用される。これは、スライサ１００７に命令を提供し、次のプロトコルに対
するフィールドを取得するパケット内の場所を提供する。末端コードに到達する
ことによって示されるように、総てのフィールド（すなわちプロトコル）を処理
完了するまで、ＰＲＥ１００６は続く。
【０４１２】 子認識パターンがテーブルに関して再び検査される場合に、予測される折り重
ねが常に存在する点に留意すべきである。予測される折り重ねがテーブル内の折
り重ね情報に一致する場合は、それを利用して次に何をするかを決定する。折り
重ね数が不一致であれば、最適化装置は終了させられる。
【０４１３】 他の実施例では異なるサイズのＬＵＴを利用可能であり、子認識パターンの相
違量によってＬＵＴを指標することが可能である点に留意すべきである。
【０４１４】 本願実施例は、４バイトまでの子認識パターンを許容する。４バイト以上の子
認識パターンは特殊な場合として取り扱われる。
【０４１５】 本実施例では、コンパイラ・プロセス３１０によってデータベースが生成され
る。コンパイラ・プロセスは、プロトコル間の総てのリンクの単独のプロトコル
・テーブルを最初に形成する。リンクは、親および子プロトコル間の接続から構
成される。各プロトコルはゼロまたはそれ以上の子を有し得る。プロトコルが子
である場合、親プロトコル、子プロトコル、子認識パターンおよび子認識パター
ン・サイズより成るリンクが形成される。コンパイラは先ず２バイトより長い子
認識パターンを抽出する。これらは高々数個しか存在しないので、別々に取り扱
われる。次に、２つの子認識パターン・サイズを有する各リンクに対してサブ・
リンクが形成される。
【０４１６】 総てのリンクは２５６エントリのＬＵＴに形成される。
【０４１７】 そして最適化が実行される。最適化の第１ステップは、他の総てのテーブルに
対してテーブルの総てを検査することであり、テーブルを共有し得るものを見出
す。このプロセスは、上述した２次元アレイと同様であるが、まばらな探索テー
ブルに関するものである点が異なる。
【０４１８】 初期化プロセスの部分は（例えばコンパイラ・プロセス３１０）、命令を含む
データ項目、ソース・アドレス、あて先アドレスおよび長さを利用して、スライ
サ命令データベースをロードする。スライサ命令を送出する場合のＰＲＥ１００
６は、オフセットとしてその命令をスライサ命令データベースに送出する。命令
またはＯｐコードは、そのスライサに対して、入来パケットから何を抽出するか
およびフロー署名においてそれをどこにおくかを告げる。フロー署名の所定のフ
ィールドへの書き込みは、自動的にハッシュを生成する。その命令は、スライサ
に対して、所定のプロトコルの接続状態をどのように判定するかを告げる。
【０４１９】 他の実施例では、ＰＤＬファイルをコンパイルすることによるものとは異なる
パターン、分解および抽出データベースを生成することが可能である。
【０４２０】 ［コンパイル・プロセス］ コンパイル・プロセス３１０を詳細に説明する。このプロセス３１０は、分解
パターンおよび抽出データベース３０８を生成することを含み、パターンを分解
するためおよび識別する情報を抽出するために必要な情報を分解サブシステム３
０１に提供する。プロセス３１０は、状態プロセス命令データベース３２６を生
成することも含み、これは状態プロセス動作３２８で実行されるのに必要な上他
プロセスを提供する。
【０４２１】 コンパイラへの入力は、生じ得るプロトコルの各々を記述する１組のファイル
を含む。これらのファイルは、高レベル言語である適切なプロトコル記述言語（
ＰＤＬ）におけるものである。ＰＤＬは、新たなプロトコル、および新たなアプ
リケーションを含む新たなレベルを特定するために使用される。ＰＤＬは、コン
ピュータ・ネットワークで使用されるパケットの形式の相違およびプロトコルに
は依存しない。１組のＰＤＬファイルを利用して、パケットに適切な情報は何で
あるか、およびデコードされる必要のあるパケットを記述する。ＰＤＬは更に状
態分析作業を特定するために使用される。したがって分解サブシステムおよび分
析サブシステムは、様々な種類のヘッダ、階層および要素に対して適合しおよび
適合させられ、例えば固有の署名を形成するために抽出または評価される必要が
ある。
【０４２２】 各々のパケット形式および各々のプロトコルに対して１つのファイルが存在す
る。したがって、イーサーネット・パケットに対してＰＤＬファイルが存在し、
フレーム・リレー・パケットに対してＰＤＬファイルが存在する。ＰＤＬファイ
ルは１つ又はそれ以上のデータベースを形成するためにコンパイルされ、モニタ
３００がパケット上で様々なプロトコル特有動作を実行可能にし、この場合にお
いて、プロトコルのプロトコル・ヘッダは、親プロトコルまたはパケットで使用
されるプロトコルに依存する異なるロケーションに位置する。したがって、パケ
ット・モニタはパケットの内容に従って異なるプロトコルに適合する。特に、分
解サブシステム３０１は、パケットの異なる形式に対してデータの異なる形式を
抽出することが可能である。例えば、モニタは、ヘッダ情報をデコードすること
を含めてイーサーネット・パケットを解釈する手法、およびヘッダ情報をデコー
ドすることを含めてフレーム・リレー・パケットを解釈する手法も把握すること
が可能である。
【０４２３】 １組のＰＤＬファイルは例えば一般的なイーサーネット・パケット・ファイル
を含み得る。また、例えばＩＥＥＥイーサーネット・ファイルのような変形イー
サーネット・ファイルに対するＰＤＬファイルも包含される。
【０４２４】 プロトコルに対するＰＤＬファイルは、コンパイル・プロセス３１０で必要と
される情報を提供し、データベース３０８を生成する。データベースは、フロー
署名に関して抽出する１つ又はそれ以上のプロトコル特有要素を含むところの情
報の分解および／または抽出の方法，フロー署名を形成するための要素の使用方
法，パケット内でのそれらの要素の探索場所，任意の子プロトコルに関する探索
場所，および探索する子認識パターンが何であるかを分解サブシステムに通知す
る。いくつかのプロトコルに関して、抽出した要素はソースおよびあて先アドレ
スを含み、ＰＤＬファイルは、キーを形成するためのこれらのアドレスを利用す
る順序を含み得る。例えば、イーサーネット・フレームは、一層良好なフロー署
名を形成する際に有益な終了点アドレスを含む。したがって、イーサーネット・
パケットに対するＰＤＬファイルは、ソースおよびあて先アドレスを抽出するた
めに分解サブシステムがどのようであるかについての情報を含み、その情報は、
それらのアドレスの場所および大きさがどうであるかを含む。フレーム・リレー
・ベース階層では、例えば、フロー署名を識別することを支援する具体的な終了
点アドレスが存在せず、パケットのこれらの形式に関して、ＰＤＬファイルは、
分解サブシステムに終了点アドレスを抽出させる情報を含まない。
【０４２５】 いくつかのプロトコルは接続に関する情報も含む。ＴＣＰはそのようなプロト
コルの１例である。このようなプロトコルは全パケットに存在する接続識別子を
利用する。このようなプロトコルに関するＰＤＬファイルは、これらの識別子が
何であるか、それらがどこにあるか、およびそれらの長さはどれくらいかについ
ての情報を含む。ＴＣＰの例では、例えばＩＰを通じて走っているとすると、そ
れらはポート番号である。ＰＤＬファイルは、接続および分離に適用する状態の
存否および可能な子が何であるかについての情報も含む。これらの階層の各々に
おいて、パケット・モニタ３００は、パケットに関してより多くのことを学習す
る。接続識別子を利用して、パケット・モニタ３００は、特定のパケットが特定
のフローの一部であることを識別することが可能である。いったんフローが識別
されると、システムは現在の状態および適用する状態が何であるかを判別し、そ
の適用する状態は、接続又は分離を取り扱い、これら特定のパケットに至るまで
の次の階層において存在する。
【０４２６】 好適実施例で使用される特定のＰＤＬファイルに関して、ＰＤＬファイルは、
各々がパケットにおける特定のストリングのビット又はバイトを夫々規定するゼ
ロ又はそれ以上のフィールド・ステートメント(FIELD statement)を含む。ＰＤ
Ｌファイルは更に、規定されたいくつかのフィールドを互いに結び付けるために
使用されるゼロ又はそれ以上のグループ・ステートメント(GROUP statement)を
含む。ＰＤＬファイルは更に、プロトコルのヘッダ内におけるフィールドおよび
グループの順序を夫々規定するゼロ又はそれ以上のプロトコル・ステートメント
(PROTOCOL statement)を含む。ＰＤＬファイルは更に、アドレス、プロトコル形
式およびポート番号がパケット中のどこにあるかを記述することによってフロー
を夫々規定するゼロ又はそれ以上のフロー・ステートメント(FLOW statement)を
含む。フロー・ステートメントは、そのプロトコルの子フローが状態作業を利用
してどのように判定されるかの記述を含む。関連するステートは、より多くのフ
ローのパケットが分析されるように、学習した新しい状態を管理および維持する
ために使用される状態作業を有する。
【０４２７】 図２４は、ＩＰの上部においてＴＣＰで実行するイーサーネット・パケットの
階層構造に関するＰＤＬファイル群を示す。Common.pdl（２４０３）は、共通す
るプロトコル定義、すなわち様々なネットワーク・プロトコルにおいて共通して
使用されるフィールドに関するいくつかのフィールド定義を含む。Flows.pdl（
２４０５）は一般的なフロー定義を含むファイルである。Virtual.pdl（２４０
７）は、使用される仮想ベース階層に関する定義を含むＰＤＬファイルである。
Ethernet.pdl（２４１1）はイーサーネット・パケットに関する定義を含むＰＤ
Ｌファイルである。イーサー形式かＩＥＥＥ形式かのイーサーネット・ファイル
に関する決定はここで記述される。それがイーサー形式であれば、その選択がEi
thertype.pdl（２４１３）からなされる。他の実施例では、イーサー形式選択定
義は、同じイーサーネット・ファイル２４１１におけるものである。一般的な実
現化では、他のイーサー形式に関するＰＤＬファイルは包含されるであろう。IP
.pdl（２４１５）は、インターネット・プロトコルに関するパケット定義を含む
ＰＤＬファイルである。TCP.pdl（２４１７）は、この場合はＩＰプロトコルに
関する転送サービスであるところの転送制御プロトコルに関するパケット定義を
含むＰＤＬファイルである。プロトコル情報を抽出することに加えて、ＴＣＰプ
ロトコル定義ファイルは、状態処理のための接続の識別プロセスにおいて役立つ
。典型的なファイル群では、ユーザ・データグラム・プロトコル（ＵＤＰ）定義
のためのUDP.pdlファイルが存在し得る。RPC.pdl（２４１９）は、遠隔手順呼出
に関するパケット定義を含むＰＤＬファイルである。
【０４２８】 NFS.pdl（２４２１）は、ネットワーク・ファイル・システムのためのパケッ
ト定義を含むＰＤＬファイルである。モニタ３００に遭遇する総てのプロトコル
に関し、他のＰＤＬファイルも一般に包含され得る。
【０４２９】 コンパイル・プロセス３１０への入力は、対象とする総てのプログラムに関す
る１組のＰＤＬファイル（例えば図２４のファイル）である。プロセス３１０へ
の入力は、ダイヤグラム階層選択３３８のような図３に示される階層情報も含む
。階層選択情報は、プロトコルの階層−任意の特定のプロトコルの上部にあるプ
ロトコルが何であるかを記述する。例えば、ＩＰはイーサーネット上を走り、お
よび他の多くの形式のパケット上をも走る。ＴＣＰはＩＰの上を走る。ＵＤＰも
ＩＰの上を走る。階層情報があらわに含まれていない場合は、それは固有のもの
(inherent)であり；ＰＤＬファイルは子プロトコルを含み、これは階層情報を提
供する。
【０４３０】 コンパイル・プロセス３１０は図２５に示される。コンパイラはＰＤＬソース
・ファイルをスクラッチ・パッド・メモリ(scratch pad memory)にロードし（ス
テップ２５０３）、正しいシンタックス(syntax)に関するファイルを検討する（
分解ステップ２５０５）。完了すると、コンパイラは総ての分解要素を含む中間
ファイルを生成する（ステップ２５０７）。この中間ファイルは、「コンパイル
・プロトコル言語」(CPL: Compiled Protocol Language)と呼ばれる形式におけ
るものである。ＣＰＬ命令は、固定階層フォーマットを有し、各階層および階層
に対するツリー全体にとって必要とされる総てのパターン、抽出物および状態を
含む。ＣＰＬファイルはプロトコル数およびプロトコル定義を含む。各プロトコ
ルに関するプロトコル定義は、１つ又はそれ以上のプロトコル名、プロトコルＩ
Ｄ、ヘッダ部分、グループ識別部分、任意の特定の階層に関する部分、通知部分
、ペイロード部分、子の部分および状態の部分を包含し得る。ＣＰＬファイルは
最適化装置によって利用され、モニタ３００で使用される最終的なデータベース
を生成する。コンパイル・プロセス３１０の他の実現手段は、異なる形式の中間
出力を行うこと、または中間出力を全く使用せずに最終的なデータベースを直接
的に生成することを包含し得るのは当業者にとって明白であろう。
【０４３１】 分解要素が生成された後は、コンパイラはフロー署名要素を形成する（ステッ
プ２５０９）。これは、ＣＰＬにおける抽出作業を生み出し、フロー署名（およ
びハッシュ・キー）を形成するためおよび階層間のリンクのために各ＰＤＬモジ
ュールに関する各レベル（２００９）で必要とされる。
【０４３２】 フロー署名動作が完了すると、ＰＤＬコンパイラは、各ＰＤＬモジュールから
ペイロード要素を抽出するために必要とされる動作を引き出す（ステップ２５１
１）。これらのペイロード要素は、処理中において、高位の階層における他のＰ
ＤＬモジュールにおける状態で使用される。
【０４３３】 最後の段階は、各ＰＤＬモジュールで必要とされる状態動作を引き出すことで
ある。状態動作は、ＰＤＬファイルからコンパイルされ、後の使用のために（２
０１３）ＣＰＬ形式で生成される。
【０４３４】 ＣＰＬファイルは、モニタ３００によって使用される最終的なデータベースを
生成する最適化装置を通じて使用される。
【０４３５】 ［プロトコル定義言語（ＰＤＬ）参照ガイド］（バージョンＡ０．０２） ここに含まれるものは、ページ記述言語（ＰＤＬ）に関する参照ガイド（ガイ
ド）であり、本発明の一形態において、これは分解および分析サブシステムで私
用されるデータベースの自動生成を可能にし、新規のおよび修正されたプロトコ
ルおよびアプリケーションを包含する能力をモニタに与える。
【０４３６】 ［著作に関する記述］ 本件特許書類の明細書の部分は著作物的保護を受けるものを包含する。著作権
者（かつてテクニカリ・エリート，インク．(Technically Elite, Inc.)であっ
たカリフォルニア州のアプティチュード，インク．(Apptitude, Inc.)）は、特
許商標庁の特許ファイル又は記録において行われるような特許書類または特許明
細書に関する他人による複写再生について異議を唱えないが、他の場合について
は著作権に関するいかなる権利をも留保するものとする。
【０４３７】 著作権
【０４３８】
【外２】 １９９７−１９９９ アプティチュード，インク．（旧テクニカリ・エリート
，インク．）。権利総ての留保。 １． はじめに 本発明に関するプロトコル定義言語（ＰＤＬ）は、ネットワーク・プロトコル
およびプロトコル・ヘッダ内の全フィールドを記述するために使用される特定目
的の言語である。
【０４３９】 このガイドにおいて、他の形式の記述と混乱の虞がなければ、プロトコル記述
（ＰＤＬファイル）をＰＤＬまたは規則と言及する。
【０４４０】 ＰＤＬは、Ｃプログラム言語およびＰＥＲＬスクリプト言語のデータ構造定義
の部分に類似する形式および組織の両者を利用する。ＰＤＬはネットワーク・パ
ケット・コンタクトをデコードするために使用される言語から導出されるので、
著者はパケット・デコードの要請に関する言語フォーマットを混在させる。この
ため、表現豊かな言語となり、パケット内容およびフローを表現するために必要
な詳細情報を記述するのに非常に容易で適切である。
【０４４１】 １．１ 要約 ＰＤＬは、非手続的な(non-procedural)第４世代言語（４ＧＬ）である。これ
は、行う方法(how)を記述することなしに、行う必要のあることを記述すること
を意味する。どのように行うか(how)の詳細はコンパイラおよびコンパイル・プ
ロトコル・レイアウト（ＣＰＬ）最適化ユーティリティに隠されている。
【０４４２】 さらに、どのフィールドがアドレス・フィールドであるか、プロトコル形式フ
ィールドがどれであるか等を定義することによって、ネットワーク・フローを記
述するために使用される。
【０４４３】 いったんＰＤＬファイルが書き込まれると、それはネットスコープ・コンパイ
ラ(nsc: Netscope complier)を利用してコンパイルされ、メーターフロー・デー
タベース(MeterFlow.db)およびネットスコープ・データベース(Netscope.db)を
生成する。メータフロー・データベースはフロー定義を含み、ネットスコープ・
データベースはプロトコル・ヘッダ定義を含む。
【０４４４】 これらのデータベースは、次のようなプログラムによって利用される：フロー
・キー（フロー署名とも呼ばれる）を作成するmfkeys；ＣＰＬフォーマットにお
けるフロー定義を作成するmfcpl；総ての既知のプロトコルのサンプル・パケッ
トを作成するmfpkts；およびSnifferTMおよびtcpdumpファイルをデコードするne
tscope等である。
【０４４５】 １．２ ガイド規約 本ガイドを通じて以下の規約が使用される。
【０４４６】 原文明細書における小文字のクーリエ(courier)・タイプフェースは、Ｃコー
ド具体例または関数名を示す。関数はそれらの後に括弧が付され［function()］
、変数はちょうどそれらの名称として記載され［variables］、そして構造名は
"struct"の接頭辞が記載される［struct packet］。
【０４４７】 原文明細書におけるイタリック体はファイル名を示す（例えば、mworks/base/
h/base.h）。ファイル名は通常は分散のルート・ディレクトリに対して記載され
る。
【０４４８】 定数は１０進法で表現され、もしそうでなければ１６進数のＣ言語標記"0x...
"で記載される。
【０４４９】 ２つのハイフン(--)に続くＰＤＬファイルにおける任意の線上の内容を、コン
パイラは無視する。すなわち、それらはコメントである。
【０４５０】 ２． プログラム構造 メータフローＰＤＬはデコードし、フロー・セットはステートメントの空でな
い(non-empty)シーケンスである。メータフローＰＤＬで利用可能なステートメ
ントまたは定義の基本形式が４つ存在する： フィールド， グループ， プロトコルおよび フロー である。
【０４５１】 ２．１ フィールド定義 フィールド定義は、パケット中のビットまたはバイトの特定のストリングを定
めるために使用される。フィールド定義は以下のフォーマットを有する： Name FIELD SYNTAX Type [{Enum}] DISPLAY-HINT "FormatString" LENGTH "Expression" FLAGS FieldFlags ENCAP FieldName [, FieldName2] LOOKUP LookupType [Filename] ENCODING EncodingType DEFAULT "value" DESCRIPTION "Description" フィールドおよびシンタックス・ラインのみが要求される。他のラインの総て
は属性ラインであり、フィールドに関する特殊な性質を定める。属性ラインは選
択的であり、順序を問わず出現し得る。以下、属性ラインの各々を更に説明する
： ２．１．１ シンタックス形式［｛Enums｝］ この属性は形式(Type)を定め、その形式が、ＩＮＴ，バイトストリング，ビッ
トストリングまたはＳＮＭＰシーケンス形式である場合は、そのフィールドに関
して列挙された値である。目下定義されている形式は以下のとおりである：
【０４５２】
【表１２】 ２．１．２ ディスプレイ-ヒント“フォーマットストリング” この属性は、フィールドの値がどのようにして表示されるかを特定するための
ものである。現在使用可能なフォーマットは、以下のとおりである：
【０４５３】
【表１３】 ２．１．３ 長さ“表現” この属性はフィールドの長さを決定するための表現を定める。表現は算術的で
あり、参照されるフィールド名に＄を付加することによって、パケット中の他の
フィールドの値に言及することが可能である。例えば、tcpHeaderLenが現在のパ
ケットに関して定められた他のフィールドである場合に、"($tcpHeaderLen*4)-2
0"は、有効な表現である。
【０４５４】 ２．１．４ フラグ フィールドフラグ この属性はフィールドに関するいくつかの特殊なフラグを定める。現在使用可
能なフィールドフラグは、以下のとおりである：
【０４５５】
【表１４】 ２．１．５ エンキャップ フィールド名［,フィールド名２］ この属性は、１つのパケットが他のものの中にどのようにして包含されるかを
定める。フィールド名のフィールドの値によって、どのパケットであるかが決定
される。フィールド名を利用しても何らのパケットも発見されなかった場合は、
フィールド名２が試行される。
【０４５６】 ２．１．６ 探索 探索形式［ファイル名］ この属性は、特定のフィールド値に対する名称を探索する方法を定める。現在
使用可能な探索形式は、以下のとおりである：
【０４５７】
【表１５】 ２．１．７ エンコード エンコード形式 この属性は、フィールドがどのようにしてエンコードされるかを定める。現在
のところ唯一使用可能なエンコード形式は、ＡＳＮ．１によって定められる基本
エンコード規則(BER: Basic Encode Rules)である。
【０４５８】 ２．１．８ デフォルト“値” この属性は、このプロトコルのサンプル・パケットを生成する場合に、そのフ
ィールドに対して使用されるデフォルト値を定める。
【０４５９】 ２．１．９ 記述 “記述” この属性は、フィールドの記述を定める。これは情報提供の目的のためにのみ
使用される。
【０４６０】 ２．２ グループ定義 グループ定義は、いくつかの関連するフィールドを共に結びつけるために使用
される。グループ定義は以下のフォーマットを有する： Name GROUP LENGTH "Expression" OPTIONAL "Condition" SUMMARIZE "Condition":"FormatString"[ "Condition";"FormatString"...] DESCRIPTION "Description" ::= { Name=FieldOrGroup [, Name=FieldOrGroup...]} グループおよび：：＝ラインのみが要求される。他の総てのラインは属性ライ
ンであり、グループに関する特殊な性質を定める。属性ラインは選択的であり、
順序を問わず出現し得る。以下、各属性ラインを更に説明する： ２．２．１ 長さ“表現” この属性はグループの長さを決定するための表現を定める。表現は算術的であ
り、参照されるフィールド名に＄を付加することによって、パケット中の他のフ
ィールドの値に言及することが可能である。例えば、tcpHeaderLenが現在のパケ
ットに関して定められた他のフィールドである場合に、"($tcpHeaderLen*4)-20"
は、有効な表現である。
【０４６１】 ２．２．２ 選択“条件” この属性は、グループの存否を判定するための条件を定める。有効な条件は、
以降の条件部分で定められる。
【０４６２】 ２．２．３ 要約“条件”：“フォーマットストリング”［“条件”：“フォ
ーマットストリング”］ この属性は、詳細モードにおいて、グループがどのようにして表示されるかを
定める。異なるフォーマット（フォーマットストリング）が、各条件に関して特
定され得る。有効な条件は、以降の条件部分で定められる。＄を有するフィール
ド名で処理を進めることによってフォーマットストリング内において任意のフィ
ールド値が参照され得る。フィールド名に加えて、いくつかの他の特殊な＄キー
ワードが存在する：
【０４６３】
【表１６】 ２．２．４ 記述“記述” この属性は、グループの記述を定める。これは情報提供の目的のためにのみ使
用される。
【０４６４】 ２．２．５ ：：＝｛名称＝フィールドＯｒグループ［，名称＝フィールドＯ
ｒグループ］｝ この属性は、グループ内でのフィールドおよびサブグループの順序を定める。
【０４６５】 ２．３ プロトコル定義 プロトコル定義は、そのプロトコル・ヘッダにおけるフィールドおよびグルー
プの順序を定めるために使用される。プロトコル定義は以下のフォーマットを有
する： Name PROTOCOL SUMMARIZE "Condition":"FormatString"[ "Condition";"FormatString"...] DESCRIPTION "Description" REFERENCE "Reference" ::={ Name=FieldOrGroup [, Name=FieldOrGroup...]} プロトコルおよび：：＝ラインのみが要求される。他の総てのラインは属性ラ
インであり、プロトコルに関する特殊な性質を定める。属性ラインは選択的であ
り、順序を問わず出現し得る。以下、各属性ラインを更に説明する： ２．３．１ 要約“条件”：“フォーマットストリング”［“条件”：“フォ
ーマットストリング”］ この属性は、要約モードにおいて、プロトコルがどのようにして表示されるか
を定める。異なるフォーマット（フォーマットストリング）が、各条件に関して
特定され得る。有効な条件は、以降の条件部分で定められる。＄を有するフィー
ルド名で処理を進めることによってフォーマットストリング内において任意のフ
ィールド値が参照され得る。フィールド名に加えて、いくつかの他の特殊な＄キ
ーワードが存在する：
【０４６６】
【表１７】 ２．３．２ 記述“記述” この属性はプロトコルの記述を定める。これは情報提供目的のためにのみ使用
される。
【０４６７】 ２．３．４ ：：＝｛名称＝フィールドＯｒグループ［，名称＝フィールドＯ
ｒグループ］｝ この属性は、プロトコル内でのフィールドおよびグループの順序を定める。
【０４６８】 ２．４ フロー定義 フロー定義は、アドレス、プロトコル形式およびポート番号が、パケット中の
どこにあるかを記述することによって、ネットワーク・フローを定めるために使
用される。フロー定義は以下のフォーマットを有する： Name FLOW HEADER { Option [, Option...] } DLC-LAYER { Option [, Option...] } NET-LAYER { Option [, Option...] } CONNECTION { Option [, Option...] } PAYLOAD { Option [, Option...] } CHILDREN { Option [, Option...] } STATE-BASED STATES "Definitions" フロー・ラインのみが要求される。他の総てのラインは属性ラインであり、フ
ローに関する特殊な性質を定める。属性ラインは選択的であり、順序を問わず出
現し得る。しかし、少なくとも１つの属性ラインが存在することを要する。以下
、各属性ラインを更に説明する： ２．４．１ ヘッダ｛オプション，［，オプション］｝ この属性は、プロトコル・ヘッダの長さを記述するために使用される。現在使
用可能なオプションは、以下のとおりである：
【０４６９】
【表１８】 ２．４．２ ＤＬＣ−階層｛オプション，［，オプション］｝ プロトコルがデータ・リンク階層プロトコルである場合、この属性がそれを記
述する。現在使用可能なオプションは、以下のとおりである：
【０４７０】
【表１９】 ２．４．３ ヘッダ｛オプション，［，オプション］｝ プロトコルがネットワーク階層プロトコルである場合に、この属性がそれを記
述する。現在使用可能なオプションは、以下のとおりである：
【０４７１】
【表２０】 ２．４．４ 接続｛オプション，［，オプション］｝ プロトコルが接続方向性(connection-oriented)プロトコルである場合に、こ
の属性は、接続がどのようにして確立されおよび消滅させられるかを記述する。
現在使用可能なオプションは、以下のとおりである：
【０４７２】
【表２１】 ２．４．５ ペイロード｛オプション，［，オプション］｝ この属性は、分析における後の使用のために格納されるこの種のパケットから
のペイロードがいくらであるかを記述する。現在使用可能なオプションは、以下
のとおりである：
【０４７３】
【表２２】 ２．４．６ 子｛オプション，［，オプション］｝ この属性は、子プロトコルがどのようにして決定されるかを記述する。現在使
用可能なオプションは、以下のとおりである：
【０４７４】
【表２３】 ２．４．７ 状態ベース この属性は、フローが状態ベース・フローであることを示す。
【０４７５】 ２．４．８ 状態“定義” この属性は、プロトコルの子フローが状態を利用してどのように決定されるか
を記述する。これらの状態がどのようにして定められるかについては、以下の状
態定義の部分を参照されたい。
【０４７６】 ２．５ 条件 条件は、オプションおよび要約の属性と共に使用され、以下の要素より成るこ
とが可能である：
【０４７７】
【表２４】 値および値２は、フィールド参照（＄が先行するファイル名）または定数値の
何れかとすることが可能である。（ＡＮＤおよびＯＲを利用した）複合的な状態
ステートメントは、現在は使用することはできない。
【０４７８】 ２．６ 状態定義 ネットワーク上を走る多くのアプリケーションは、複数の状態の利用度を通じ
て、トラフィックを分類する複雑な方法を利用する。ネットワークから導出され
たトラフィックから学習した状態を管理および維持するために状態定義が使用さ
れる。
【０４７９】 状態定義の基本フォーマットは以下のとおりである： StateName: Operand Parameters [ Operand Parameters...] 特定のフローの様々な状態が、以下のオペランドを利用して記述される： ２．６．１ チェック接続(CHECKCONNECT)，オペランド 接続に関する検査。接続されるとオペランドを実行する。
【０４８０】 ２．６．２ ゴートゥー・ステート(GOTO state) 現在のパケットを利用して、その状態へ向かう。
【０４８１】 ２．６．３ ネクスト・ステート(Next state) 次のパケットを利用して、その状態へ向かう。
【０４８２】 ２．６．４ デフォルト オペランド 他の総てのオペランドが失敗した場合に、そのオペランドを実行する。
【０４８３】 ２．６．５ 子プロトコル 子プロトコルにジャンプし、その子において（存在すれば）状態ベース処理を
実行する。
【０４８４】 ２．６．６ 待機 パケット数，オペランド１，オペランド２(WAIT numPacke
ts, operand1, operand2) 特定されたパケット数だけ待機する。特定された数のパケットが受信されると
、オペランド１が実行される。パケットは受信されたが、特定されたパケット数
に満たない場合は、オペランド２が実行される。
【０４８５】 ２．６．７ 一致‘ストリング’重みオフセットＬＦ−オフセット範囲ＬＦ−
範囲，オペランド(MATCH‘string’weight offset LF−offset range LF−range
, operand) パケット内でストリングを探索し、発見されるとオペランドを実行する。
【０４８６】 ２．６．８ 定数 番号オフセット範囲，オペランド(CONSTANT number offse
t range, opeand) パケット内で定数に関する検査を行い、発見されるとオペランドを実行する。
【０４８７】 ２．６．９ 抽出ＩＰ オフセットあて先，オペランド(EXTRACTIP offset de
stination, operand) パケットからＩＰアドレスを抽出し、オペランドを実行する。
【０４８８】 ２．６．１０ 抽出ポート オフセットあて先，オペランド(EXTRACTPORT off
set destination, operand) パケットからポート番号を抽出し、オペランドを実行する。
【０４８９】 ２．６．１１ 再方向付けフロー生成，オペランド(CREATEREDIRECTEDFLOW, o
perand) 再方向付けされたフローを作成し、オペランドを実行する。
【０４９０】 ３．ＰＤＬ規則の具体例 以下、ＰＤＬ規則ファイルのいくつかの具体例を示す。
【０４９１】 ３．１ イーサーネット 以下、イーサーネットに関するＰＤＬの具体例を示す。
【０４９２】
【数１】 ３．２ ＩＰバージョン４ ＩＰプロトコルに関するＰＤＬの具体例を示す。
【０４９３】
【数２】
【０４９４】
【数３】 ３．３ ＴＣＰ ＴＣＰプロトコルに関するＰＤＬの具体例を示す。
【０４９５】
【数４】 ３．４ ＨＴＴＰ（状態に関連するもの） ＨＴＴＰプロトコルに関するＰＤＬの具体例を示す。
【０４９６】
【数５】
【０４９７】
【数６】
【０４９８】
【数７】 ［メトリックを維持するためのフロー情報の再利用］ 各フローのフロー・エントリは、そのフローに関する１組の統計的測定値を含
み、そのフローにおける全パケット数、到着時間、および最後の到着からの時間
差を含む。
【０４９９】 図３を再び参照する。状態プロセッサ３２８は、フローの状態に関して、例え
ばそのフローに関してそれまで識別されていた特定のプロトコルに関して、定め
られた動作を実行する。本発明の一形態では、フローに関する１つ又はそれ以上
のメトリックの組が、フロー・エントリに含まれる１つ又はそれ以上の統計的測
定値を利用してしばしば判定され得る。そのようなメトリック判定は、例えば、
状態プロセッサ命令およびパターン・データベース３２６内の命令を実行する状
態プロセッサによって実行され得る。そして、このようなメトリックは、分析サ
ブシステムによって、モニタに接続されたホスト・コンピュータに送出される。
あるいは、そのようなメトリック判定は、フロー・エントリ・データベース３２
４に接続されたプロセッサによって実行され得る。図１０に示される好適なハー
ドウエア手段では、分析ホスト・インターフェースおよび制御１１１８が、キャ
ッシュ・システム１１１５を通じてフロー・エントリ・レコードにアクセスし、
ホスト・バス・インターフェースを通じてプロセッサに出力するよう形成される
。その後プロセッサはベース・メトリックの報告を行い得る。
【０５００】 図１５は、モニタ・システムがホスト・コンピュータ１５０４を利用してどの
ように構築されるかを表す。モニタ３００は、ホスト・コンピュータ１５０４に
メトリックをしばしば送出し、ホスト・コンピュータ１５０４はその分析の一部
を実行する。
【０５０１】 以下の部分は、ＱＯＳメトリックを提供することによって、サービス品質(QOS
: Quality of Service)を監視するために、本発明のモニタがどのようにして使
用されるかを説明する。
【０５０２】 ［サービス品質トラフィック統計値（メトリック）］ この次の部分は、本発明の一形態に従ってサービス品質（ＱＯＳ）メトリック
に関して適用される共通構造を定める。また、ＱＯＳを支援するために本願実施
例で判定され得る「元来の」（又は「基本の」）メトリックの組を定義する。ベ
ース・メトリックは、状態プロセッサの一部として又はモニタ３００に接続され
たプロセッサによって判定され、ＱＯＳメトリックはホスト・コンピュータ１５
０４によって基本メトリックから判定される。このような分担の理由は、完全な
ＱＯＳメトリックは計算が複雑であり、その計算には、平方根や、リアル・タイ
ムで利用可能な更なる演算資源を要する他の関数を包含するためである。基本の
関数は、リアル・タイムで計算することが容易であるよう選択され、それらに基
づいて完全なＱＯＳメトリックが決定され得る。本発明の範疇において関数の他
の分担を行うことも可能である。
【０５０３】 そのようなメトリック判定は、例えば、状態プロセッサ命令およびパターン・
データベース３２６内の命令を実行する状態プロセッサによって実行され得る。
そして、基本メトリックは、分析サブシステムによって、マイクロプロセッサま
たはモニタに接続された論理回路に送出される。あるいは、そのようなメトリッ
ク判定は、フロー・エントリ・データベース３２４に接続されたマイクロプロセ
ッサ（又は他の論理回路）によって実行され得る。図１０および１１に示される
好適なハードウエア手段では、そのようなマイクロプロセッサが、分析ホスト・
インターフェースおよび制御１１１８を介してキャッシュ・システム１１１５に
接続される。これらの要素はキャッシュ・システム１１１５を通じてフロー・エ
ントリ・レコードにアクセスするよう形成され、マイクロプロセッサが基本メト
リックを決定することおよび報告することを可能にする。
【０５０４】 ＱＯＳメトリックは、以下のメトリック・グループに分解される。それらの名
称は説明的である。このリストは網羅的なものではなく、他のメトリックを利用
することも可能である。以下のＱＯＳメトリックは、クライアント−サーバ（Ｃ
Ｓ）およびサーバ−クライアント（ＳＣ）メトリックを包含する。
【０５０５】 ＣＳトラフィックおよびＳＣトラフィックのようなトラフィック・メトリ
ック。
【０５０６】 ＣＳトラフィックおよびＣＳトラフィックのようなジッタ・メトリック。
【０５０７】 ＣＳ交換応答タイム開始-開始，ＣＳ交換応答タイム終了-開始，ＣＳ交換応答
タイム開始-終了，ＳＣ交換応答タイム開始-開始，ＳＣ交換応答タイム終了-開
始，およびＳＣ交換応答タイム開始-終了のような交換応答メトリック。
【０５０８】 ＣＳ処理応答タイム開始-開始，ＣＳアプリケーション応答タイム終了-開始，
ＣＳアプリケーション応答タイム開始-終了，ＳＣ処理応答タイム開始-開始，Ｓ
Ｃアプリケーション応答タイム終了-開始，およびＳＣアプリケーション応答タ
イム開始-終了のような処理応答メトリック。
【０５０９】 接続確立、接続自然終了(ConnectionGracefulTermination)および接続タイム
アウト終了のような接続メトリック。
【０５１０】 ＣＳ接続再送信、ＳＣ接続再送信、ＣＳ接続不良およびＳＣ接続不良のような
接続シーケンス・メトリック。
【０５１１】 接続ウインドウ・メトリック、ＣＳ接続ウインドウ、ＳＣ接続ウインドウ、Ｃ
Ｓ接続フローズン・ウインドウ、ＳＣ接続フローズン・ウインドウ、ＣＳ接続ク
ローズ・ウインドウ、およびＳＣ接続クローズ・ウインドウ。
【０５１２】 ［ＱＯＳ基本メトリック］ データのグループを表現する最も簡易な手段は、サブレンジ（部分的範囲）に
おける周波数分布によるものである。好適実施例では、そのサブレンジ(subrang
e)を形成する場合においていくつかの規則がある。第１に、その範囲を知る必要
がある。第２に、サブレンジの大きさが判定される必要がある。サブレンジの大
きさは固定されているのが好ましいが、他の実施例においてサブレンジの大きさ
を可変にすることも可能である。
【０５１３】 完全な周波数分布を判定することは、多くの計算労力を要する。このため、好
適実施例では、所在するデータ要素の各々に関し、総和関数によって判定される
メトリックを使用する。
【０５１４】 プロセスを報告するメトリックは、有益な統計的測定値を計算するために使用
され得るデータを提供する。一実施例にあっては、プロセスを報告するメトリッ
クは、その状態に従ってしばしば実行される状態プロセスの一部であり、他の実
施例では、プロセスを報告するメトリックは、フロー・レコードにアクセスする
マイクロコンピュータによってしばしば実行される。好ましくは、プロセスを報
告するメトリックは、基本メトリックを提供し、最終的なＱＯＳメトリック計算
が干すと・コンピュータ１５０４によって実行される。リアル・タイムの状態プ
ロセスを簡易にすることに加えて、この手法におけるタスクの分担は、尺度変更
可能なメトリックを提供する。例えば、２つの区間からの基本メトリックが、よ
り大きな区間に関するメトリックに組み合わせられる。
【０５１５】 例として、データの総和がデータの要素数によって除算される算術平均を考察
する。
【０５１６】
【数８】 プロセスを報告するメトリックによって提供される２つの基本メトリックは、
ｘの総和と、要素数Ｎである。ホスト・コンピュータ１５０４は、除算を実行し
て平均を得る。更に、２つの区間に対する２組の基本メトリックが、ｘの総和に
加算することによって、および要素数に加算することによって組み合わせられ、
組み合わせられた総和および要素数が求められる。そして、平均化の数式処理が
同様に行われる。
【０５１７】 基本メトリックは、利用可能なデータ量を最大化するよう選択される一方、メ
トリックを格納するのに必要なメモリ量を最少化し、メトリックを生成するのに
必要な処理条件を最少化する。基本メトリックは、メトリック・データ構造に提
供され、５つの非符号(unsigned)整数値を含む。
【０５１８】 ・Ｎ メトリックに関するデータ点のカウント数。
【０５１９】 ・ΣＸ メトリックに関するデータ点の値の総和。
【０５２０】 ・Σ（Ｘ２） メトリックに関するデータ点の値の二乗の総和。
【０５２１】 ・Ｘｍａｘ メトリックに関するデータ点の最大値。
【０５２２】 ・Ｘｍｉｎ メトリックに関するデータ点の最小値。
【０５２３】 メトリックは、ある時間間隔にわたる事象を記述するために使用される。基本
メトリックは、フロー・エントリで維持される統計的測定値から決定される。総
ての事象を蓄積し、その期間の終点においてカウントする必要はない。基本メト
リックは、隣接する区間を結合することによって容易に尺度変更可能なように設
計され得る。
【０５２４】 隣接する時間間隔に関する基本メトリックを結合する際に、以下の規則が適用
される。
【０５２５】 ・Ｎ ΣＮ ・ΣＸ Σ（ΣＸ） ・Σ（Ｘ２） Σ（Σ（Ｘ２）） ・Ｘｍａｘ ＭＡＸ（Ｘｍａｘ） ・Ｘｍｉｎ ＭＡＸ（Ｘｍｉｎ） 上記５つの値に加えて、好適実施例のデータ構造には「トレンド(trend)」イ
ンジケータが含まれる。これは、列挙されたタイプによって提供される。その理
由は、トレンド情報を生成する好適な方法は、その区間に対する最初の第１の値
を、その区間に対する最後の値から減算することによって行われるためである。
その結果生じる数の符号は、例えば、トレンドの指標を判別するための内容を有
する。
【０５２６】 基本メトリックで実行される一般的な処理は、以下のものを含む：
【０５２７】
【数９】 ・トレンド情報であって、これは対象となる区間の間のトレンド、および
ある区間におけるトレンドであり得る。対象となる区間の間のトレンドは、管理
アプリケーション関数である。一般に、管理局は、報告された区間の平均に傾向
するであろう。１区間内のトレンドは、列挙されたタイプとして与えられ、その
区間内の最初の値を最後のものから減算し、その符号値に基づいてトレンドを割
り当てることによって容易に提供することができる。
【０５２８】 ［他の実施例］ １つ又はそれ以上の以下の様々なデータ要素が、メトリックの様々な実現化に
おいて包含される。
【０５２９】 ・デルタ（値の差）の総和。トレンド列挙は、この簡易な計算に基づくこ
とが可能である。
【０５３０】 ・デルタ値の絶対値の総和。これは、ある区間における移動全体にわたる
測定値を提供する。
【０５３１】 ・正のデルタ値の総和および負のデルタ値の総和。これらの各々を関連す
るカウントおよび最大値を利用して展開すると、非常に有益な情報が得られる。
【０５３２】 ・スキュー(skew)の統計的測定値は、Σ（Ｘ３）を既存のメトリックに加
算することによって得ることが可能である。
【０５３３】 ・尖度(kurtosis)の統計的測定値は、Σ（Ｘ３）およびΣ（Ｘ３）を既存
のメトリックに加算することによって得ることが可能である。
【０５３４】 ・データであって、そのデータを通る最少二乗線の傾斜を計算するための
データ。
【０５３５】 ［トラフィック・メトリック］ ［ＣＳトラフィック］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、測定される
トラフィック量に関する情報を含む。
【０５３６】 この情報はやや重複しており、標準規格、ＲＭＯＮＩＩ，ＡＬ／ＮＬ行列テー
ブルで見出され得る。これはアプリケーションに役立つようにここに包含され、
ＱＯＳ分析を実行する際に、異なる関数ＲＭＯＮ領域にアクセスする必要性を回
避することによって、改善された実行性の恩恵を与える。
【０５３７】 ［メトリック仕様］
【０５３８】
【表２５】 ［ＳＣトラフィック］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、測定される
トラフィック量に関する情報を含む。
【０５３９】 この情報はやや重複しており、標準規格、ＲＭＯＮＩＩ，ＡＬ／ＮＬ行列テー
ブルで見出され得る。これはアプリケーションに役立つようにここに包含され、
ＱＯＳ分析を実行する際に、異なる関数ＲＭＯＮ領域にアクセスする必要性を回
避することによって、改善された実行性の恩恵を与える。
【０５４０】 ［メトリック仕様］
【０５４１】
【表２６】 ［ジッタ・メトリック］ ［ＣＳジッタ］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、データ・パ
ケットに関して測定されるジッタ（例えば、パケット間ギャップ）に関する情報
を含む。特に、ＣＳジッタは、クライアントからサーバへのデータ・メッセージ
に関するジッタを測定する。
【０５４２】 データ・メッセージは、クライアントからサーバへ、第１転送プロトコル・デ
ータ・パケット／ユニット（ＴＰＤＵ）を利用して始まり、他の方向の第１の後
続データ・パケットによって一線を画す（すなわち終了する。）。クライアント
-サーバ・パケット間ギャップは、そのメッセージ内のデータ・パケット間で測
定される。本願実施例では、このメトリックの測定値内で認証が考慮されていな
い。
【０５４３】 再送信またはデータ・パケット不良に関する測定値も考慮されない。クライア
ントからサーバへのデータ・メッセージにおける最終パケットと、同一方向にお
ける次のメッセージの第１パケットとの間の間隔は、パケット間ギャップとして
は解釈されない。
【０５４４】 ［メトリック仕様］
【０５４５】
【表２７】 ［ＳＣジッタ］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、データ・パ
ケットに関して測定されるジッタ（例えば、パケット間ギャップ）に関する情報
を含む。特に、ＳＣジッタは、クライアントからサーバへのデータ・メッセージ
に関するジッタを測定する。
【０５４６】 データ・メッセージは、サーバからクライアントへ、第１転送プロトコル・デ
ータ・パケット／ユニット（ＴＰＤＵ）を利用して始まり、他の方向の第１の後
続データ・パケットによって一線を画す（すなわち終了する。）。サーバ-クラ
イアント・パケット間ギャップは、そのメッセージ内のデータ・パケット間で測
定される。本願実施例では、このメトリックの測定値内で認証が考慮されていな
い。
【０５４７】 ［メトリック仕様］
【０５４８】
【表２８】 ［交換応答メトリック］ ［ＣＳ交換応答タイム開始-開始］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、データ・パ
ケットに関して測定された転送段階の応答時間に関する情報を含む。具体的には
、ＣＳ交換応答タイム開始-開始は、クライアントからサーバへのデータ・メッ
セージの開始と、サーバからクライアントへの後続応答データ・メッセージの開
始との間の応答時間を測定する。
【０５４９】 クライアントからサーバへのデータ・メッセージは、クライアントからサーバ
へ、第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して
始まり、他の方向の第１の後続データ・パケットによって一線を画す（すなわち
終了する。）。クライアントからサーバへのデータ・メッセージの開始と、サー
バからクライアントへのデータ・メッセージの開始との間の合計時間は、このメ
トリックを利用して測定される。このメトリックの測定値内で認証が考慮されて
いない点に留意を要する。
【０５５０】 また、再送信またはデータ・パケット不良に関する測定値も考慮されない。
【０５５１】 ［メトリック仕様］
【０５５２】
【表２９】 ［ＣＳ交換応答タイム終了-開始］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、データ・パ
ケットに関して測定された転送段階の応答時間に関する情報を含む。具体的には
、ＣＳ交換応答タイム終了-開始は、クライアントからサーバへのデータ・メッ
セージの終了と、サーバからクライアントへの後続応答データ・メッセージの開
始との間の応答時間を測定する。
【０５５３】 クライアントからサーバへのデータ・メッセージは、クライアントからサーバ
へ、第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して
始まり、他の方向の第１の後続データ・パケットによって一線を画す（すなわち
終了する。）。クライアントからサーバへのデータ・メッセージの終了と、サー
バからクライアントへのデータ・メッセージの開始との間の合計時間は、このメ
トリックを利用して測定される。このメトリックの測定値内で認証が考慮されて
いない点に留意を要する。
【０５５４】 また、再送信またはデータ・パケット不良に関する測定値も考慮されない。
【０５５５】 ［メトリック仕様］
【０５５６】
【表３０】 ［ＣＳ交換応答タイム開始-終了］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、データ・パ
ケットに関して測定された転送段階の応答時間に関する情報を含む。具体的には
、ＣＳ交換応答タイム終了-開始は、クライアントからサーバへのデータ・メッ
セージの開始と、サーバからクライアントへの後続応答データ・メッセージの終
了との間の応答時間を測定する。
【０５５７】 クライアントからサーバへのデータ・メッセージは、クライアントからサーバ
へ、第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して
始まり、他の方向の第１の後続データ・パケットによって一線を画す（すなわち
終了する。）。他の方向（例えば、サーバからクライアントへ）における応答メ
ッセージの終了は、クライアントからサーバへの次のメッセージの第１データ・
パケットに先立って、メッセージの最終データによって定められる。クライアン
トからサーバへのデータ・メッセージの開始と、サーバからクライアントへのデ
ータ・メッセージの終了との間の合計時間は、このメトリックを利用して測定さ
れる。このメトリックの測定値内で認証が考慮されていない点に留意を要する。
【０５５８】 また、再送信またはデータ・パケット不良に関する測定値も考慮されない。
【０５５９】 ［メトリック仕様］
【０５６０】
【表３１】 ［ＳＣ交換応答タイム開始-開始］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、データ・パ
ケットに関して測定された転送段階の応答時間に関する情報を含む。具体的には
、ＳＣ交換応答タイム開始-開始は、サーバからクライアントへのデータ・メッ
セージの開始と、クライアントからサーバへの後続応答データ・メッセージの開
始との間の応答時間を測定する。
【０５６１】 サーバからクライアントへのデータ・メッセージは、サーバからクライアント
へ、第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して
始まり、他の方向の第１の後続データ・パケットによって一線を画す（すなわち
終了する。）。サーバからクライアントへのデータ・メッセージの開始と、クラ
イアントからサーバへのデータ・メッセージの開始との間の合計時間は、このメ
トリックを利用して測定される。このメトリックの測定値内で認証が考慮されて
いない点に留意を要する。
【０５６２】 また、再送信またはデータ・パケット不良に関する測定値も考慮されない。
【０５６３】 ［メトリック仕様］
【０５６４】
【表３２】 ［ＳＣ交換応答タイム終了-開始］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、データ・パ
ケットに関して測定された転送段階の応答時間に関する情報を含む。具体的には
、ＳＣ交換応答タイム終了-開始は、サーバからクライアントへのデータ・メッ
セージの終了と、クライアントからサーバへの後続応答データ・メッセージの開
始との間の応答時間を測定する。
【０５６５】 サーバからクライアントへのデータ・メッセージは、サーバからクライアント
へ、第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して
始まり、他の方向の第１の後続データ・パケットによって一線を画す（すなわち
終了する。）。サーバからクライアントへのデータ・メッセージの終了と、クラ
イアントからサーバへのデータ・メッセージの開始との間の合計時間は、このメ
トリックを利用して測定される。このメトリックの測定値内で認証が考慮されて
いない点に留意を要する。
【０５６６】 また、再送信またはデータ・パケット不良に関する測定値も考慮されない。
【０５６７】 ［メトリック仕様］
【０５６８】
【表３３】 ［ＳＣ交換応答タイム開始-終了］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、データ・パ
ケットに関して測定された転送段階の応答時間に関する情報を含む。具体的には
、ＳＣ交換応答タイム終了-開始は、サーバからクライアントへのデータ・メッ
セージの開始と、サーバからクライアントへの後続応答データ・メッセージの終
了との間の応答時間を測定する。
【０５６９】 サーバからクライアントへのデータ・メッセージは、サーバからクライアント
へ、第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して
始まり、他の方向の第１の後続データ・パケットによって一線を画す（すなわち
終了する。）。他の方向（例えば、サーバからクライアントへ）における応答メ
ッセージの終了は、サーバからクライアントへの次のメッセージの第１データ・
パケットに先立って、メッセージの最終データによって定められる。サーバから
クライアントへのデータ・メッセージの開始と、クライアントからサーバへのデ
ータ・メッセージの終了との間の合計時間は、このメトリックを利用して測定さ
れる。このメトリックの測定値内で認証が考慮されていない点に留意を要する。
【０５７０】 また、再送信またはデータ・パケット不良に関する測定値も考慮されない。
【０５７１】 ［メトリック仕様］
【０５７２】
【表３４】 ［処理応答メトリック］ ［ＣＳ処理応答タイム開始-開始］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、アプリケー
ション処理に関して測定されたアプリケーション段階の応答時間に関する情報を
含む。具体的には、ＣＳ処理応答タイム開始-開始は、クライアントからサーバ
へのアプリケーション処理の開始と、サーバからクライアントへの後続処理応答
の開始との間の応答時間を測定する。
【０５７３】 クライアントからサーバへの処理は、クライアントからサーバへ、処理要求の
第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して始ま
り、処理要求に応答する第１の後続データ・パケットによって一線を画す（すな
わち終了する。）。クライアントからサーバへの処理要求の開始と、サーバから
クライアントへの実際の処理応答の開始との間の合計時間は、このメトリックを
利用して測定される。
【０５７４】 このメトリックは、「最善の努力(best-effort)」の測定値と考えられる。こ
のメトリックを実現するシステムは、論理的処理に関する特定のアプリケーショ
ン定義を利用して、要求および応答の開始および終了を行うために「最善の努力
」をするべきである。このメトリックに関する最低レベルの支援は、このメトリ
ックを、ＣＳ交換応答タイム開始-開始に等しくする。
【０５７５】 ［メトリック仕様］
【０５７６】
【表３５】 ［ＣＳアプリケーション応答タイム終了-開始］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、アプリケー
ション処理に関して測定されたアプリケーション段階の応答時間に関する情報を
含む。具体的には、ＣＳアプリケーション応答タイム終了-開始は、クライアン
トからサーバへのアプリケーション処理の終了と、サーバからクライアントへの
後続処理応答の開始との間の応答時間を測定する。
【０５７７】 クライアントからサーバへの処理は、クライアントからサーバへ、処理要求の
第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して始ま
り、処理要求に応答する第１の後続データ・パケットによって一線を画す（すな
わち終了する。）。クライアントからサーバへの処理要求の終了と、サーバから
クライアントへの実際の処理応答の開始との間の合計時間は、このメトリックを
利用して測定される。
【０５７８】 このメトリックは、「最善の努力(best-effort)」の測定値と考えられる。こ
のメトリックを実現するシステムは、論理的処理に関する特定のアプリケーショ
ン定義を利用して、要求および応答の開始および終了を行うために「最善の努力
」をするべきである。このメトリックに関する最低レベルの支援は、このメトリ
ックを、ＣＳ交換応答タイム終了-開始に等しくする。
【０５７９】 ［メトリック仕様］
【０５８０】
【表３６】 ［ＣＳアプリケーション応答タイム開始-終了］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、アプリケー
ション処理に関して測定されたアプリケーション段階の応答時間に関する情報を
含む。具体的には、ＣＳアプリケーション応答タイム開始-終了は、クライアン
トからサーバへのアプリケーション処理の開始と、サーバからクライアントへの
後続処理応答の終了との間の応答時間を測定する。
【０５８１】 クライアントからサーバへの処理は、クライアントからサーバへ、処理要求の
第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して始ま
り、処理要求に応答する第１の後続データ・パケットによって一線を画す（すな
わち終了する。）。他の方向（例えば、サーバからクライアントへ）における処
理応答の終了は、クライアントからサーバへの次の処理要求の第１データに先立
って、処理応答の最終データによって定められる。クライアントからサーバへの
処理要求の開始と、サーバからクライアントへの実際の処理応答の終了との間の
合計時間は、このメトリックを利用して測定される。
【０５８２】 このメトリックは、「最善の努力(best-effort)」の測定値と考えられる。こ
のメトリックを実現するシステムは、論理的処理に関する特定のアプリケーショ
ン定義を利用して、要求および応答の開始および終了を行うために「最善の努力
」をするべきである。このメトリックに関する最低レベルの支援は、このメトリ
ックを、ＣＳ交換応答タイム開始-終了に等しくする。
【０５８３】 ［メトリック仕様］
【０５８４】
【表３７】 ［ＳＣ処理応答タイム開始-開始］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、アプリケー
ション処理に関して測定されたアプリケーション段階の応答時間に関する情報を
含む。具体的には、ＳＣ処理応答タイム開始-開始は、サーバからクライアント
へのアプリケーション処理の開始と、クライアントからサーバへの後続処理応答
の開始との間の応答時間を測定する。
【０５８５】 サーバからクライアントへの処理は、サーバからクライアントへ、処理要求の
第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して始ま
り、処理要求に応答する第１の後続データ・パケットによって一線を画す（すな
わち終了する。）。サーバからクライアントへの処理要求の開始と、クライアン
トからサーバへの実際の処理応答の開始との間の合計時間は、このメトリックを
利用して測定される。
【０５８６】 このメトリックは、「最善の努力(best-effort)」の測定値と考えられる。こ
のメトリックを実現するシステムは、論理的処理に関する特定のアプリケーショ
ン定義を利用して、要求および応答の開始および終了を行うために「最善の努力
」をするべきである。このメトリックに関する最低レベルの支援は、このメトリ
ックを、ＳＣ交換応答タイム開始-開始に等しくする。
【０５８７】 ［メトリック仕様］
【０５８８】
【表３８】 ［ＳＣアプリケーション応答タイム終了-開始］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、アプリケー
ション処理に関して測定されたアプリケーション段階の応答時間に関する情報を
含む。具体的には、ＳＣアプリケーション処理応答タイム終了-開始は、サーバ
からクライアントへのアプリケーション処理の終了と、クライアントからサーバ
への後続処理応答の開始との間の応答時間を測定する。
【０５８９】 サーバからクライアントへの処理は、サーバからクライアントへ、処理要求の
第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して始ま
り、処理要求に応答する第１の後続データ・パケットによって一線を画す（すな
わち終了する。）。サーバからクライアントへの処理要求の終了と、クライアン
トからサーバへの実際の処理応答の開始との間の合計時間は、このメトリックを
利用して測定される。
【０５９０】 このメトリックは、「最善の努力(best-effort)」の測定値と考えられる。こ
のメトリックを実現するシステムは、論理的処理に関する特定のアプリケーショ
ン定義を利用して、要求および応答の開始および終了を行うために「最善の努力
」をするべきである。このメトリックに関する最低レベルの支援は、このメトリ
ックを、ＳＣ交換応答タイム終了-開始に等しくする。
【０５９１】 ［メトリック仕様］
【０５９２】
【表３９】 ［ＳＣアプリケーション応答タイム開始-終了］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、アプリケー
ション処理に関して測定されたアプリケーション段階の応答時間に関する情報を
含む。具体的には、ＳＣアプリケーション処理応答タイム開始-終了は、サーバ
からクライアントへのアプリケーション処理の開始と、クライアントからサーバ
への後続処理応答の終了との間の応答時間を測定する。
【０５９３】 サーバからクライアントへの処理は、サーバからクライアントへ、処理要求の
第１転送プロトコル・データ・パケット／ユニット（ＴＰＤＵ）を利用して始ま
り、処理要求に応答する第１の後続データ・パケットによって一線を画す（すな
わち終了する。）。他の方向（例えば、サーバからクライアントへ）における処
理応答の終了は、サーバからクライアントへの次の処理要求の第１データに先立
って、処理応答の最終データによって定められる。サーバからクライアントへの
処理要求の開始と、クライアントからサーバへの実際の処理応答の終了との間の
合計時間は、このメトリックを利用して測定される。
【０５９４】 このメトリックは、「最善の努力(best-effort)」の測定値と考えられる。こ
のメトリックを実現するシステムは、論理的処理に関する特定のアプリケーショ
ン定義を利用して、要求および応答の開始および終了を行うために「最善の努力
」をするべきである。このメトリックに関する最低レベルの支援は、このメトリ
ックを、ＳＣ交換応答タイム開始-終了に等しくする。
【０５９５】 ［メトリック仕様］
【０５９６】
【表４０】 ［接続メトリック］ ［接続確立］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続確立に関する情報を含む。具体的には、「接続確立」はクライアントからサ
ーバに設定された接続数を測定する。この情報は本質的には以下のものを含む： ・良好に確立された転送接続数。
【０５９７】 ・確立される接続の設定時間。
【０５９８】 ・同時に接続される接続の最大数。
【０５９９】 ・接続確立の失敗数（タイムアウトまたは拒否によるもの）。
【０６００】 「現在確立された転送接続の数」は、「接続自然終了」および「接続タイムア
ウト終了」のメトリックと共に、このメトリックから以下のようにして導出され
る。
【０６０１】 現在接続数：＝＝「良好に接続された数」 −「自然に終了した数」 −「タイムアウトにより終了した数」 接続の設定時間は、第１転送段階，接続確立要求（すなわち、ＳＹＮ，ＣＲ−
ＴＰＤＵ等）およびその接続で交換された第１データ・パケットの間の時間差と
して定められる。
【０６０２】 ［メトリック仕様］
【０６０３】
【表４１】 ［接続自然終了］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続で自然に終了したものに関する情報を含む。具体的には、「接続自然終了」
は、接続数および接続時間合計の両者において自然に終了した接続を測定する。
この情報は本質的には以下のものを含む： ・自然に終了した転送接続数。
【０６０４】 ・自然に終了した接続の継続時間（ライフタイム）。
【０６０５】 ［メトリック仕様］
【０６０６】
【表４２】 ［接続タイムアウト終了］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続で自然に終了してないもの（例えば、タイムアウト）に関する情報を含む。
具体的には、「接続タイムアウト終了」は、接続数および接続時間合計の両者に
おいて、以前設定されたおよびタイムアウトになった接続を測定する。この情報
は本質的には以下のものを含む： ・タイムアウトになった転送接続数。
【０６０７】 ・タイムアウトで終了した接続の継続時間（ライフタイム）。
【０６０８】 このメトリックの継続時間の要素は、「最善の努力」の測定値と考えられる。
独立したネットワーク監視装置は、ネットワークが接続タイムアウト状態を実際
に検出するのがいつであるかを真に知ることはできず、したがって、接続タイム
アウトが実際に生じるのがいつであるかを推察または推定する必要がある。
【０６０９】 ［メトリック仕様］
【０６１０】
【表４３】 ［接続シーケンス・メトリック］ ［ＣＳ接続再送信］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続の健全性(health)に関する情報を含む。具体的には、「ＣＳ接続再送信」は
、確立される接続のライフタイムにおける実際の事象の数を測定し、その事象は
、クライアントからサーバへのデータ・ベアリング(data-bearing)ＰＤＵ（パケ
ット）転送が再送信された事象である。
【０６１１】 ネットワーク監視装置によって見られるような再送信事象は、そのネットワー
クで観測されるＴＰＤＵの「重複した」出現を示す。
【０６１２】 ［メトリック仕様］
【０６１３】
【表４４】 ［ＳＣ接続再送信］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続の健全性(health)に関する情報を含む。具体的には、「ＳＣ接続再送信」は
、確立される接続のライフタイムにおける実際の事象の数を測定し、その事象は
、サーバからクライアントへのデータ・ベアリング(data-bearing)ＰＤＵ（パケ
ット）転送が再送信された事象である。
【０６１４】 ネットワーク監視装置によって見られるような再送信事象は、そのネットワー
クで観測されるＴＰＤＵの「重複した」出現を示す。
【０６１５】 ［メトリック仕様］
【０６１６】
【表４５】 ［ＣＳ接続不良］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続の健全性(health)に関する情報を含む。具体的には、「ＣＳ接続不良」は、
確立される接続のライフタイムにおける実際の事象の数を測定し、その事象は、
クライアントからサーバへのデータ・ベアリング(data-bearing)ＰＤＵ（パケッ
ト）転送が、シーケンス順序外れとして検出されたものである。
【０６１７】 再送信（又は重複）は、不良の事象とは異なるものと考えられ、ＣＳ接続再送
信メトリックでは別々に追跡される。
【０６１８】 ［メトリック仕様］
【０６１９】
【表４６】 ［ＳＣ接続不良］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続の健全性(health)に関する情報を含む。具体的には、「ＳＣ接続不良」は、
確立される接続のライフタイムにおける実際の事象の数を測定し、その事象は、
クライアントからサーバへのデータ・ベアリング(data-bearing)ＰＤＵ（パケッ
ト）転送が、シーケンス順序外れとして検出されたものである。
【０６２０】 再送信（又は重複）は、不良の事象とは異なるものと考えられ、ＳＣ接続再送
信メトリックでは別々に追跡される。
【０６２１】 ［メトリック仕様］
【０６２２】
【表４７】 ［接続ウインドウ・メトリック］ ［ＣＳ接続ウインドウ］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続のウインドウ(window)に関する情報を含む。具体的には、「ＣＳ接続ウイン
ドウ」は、確立された接続ライフタイムにおける転送段階の認証数、およびクラ
イアントからサーバへのそれらの相対的な大きさを測定する。
【０６２３】 データＴＰＤＵ（パケット）の数は、そのメトリックの異なる認証数、および
クライアントからサーバへのトラフィック全体によって推定される（例えば上記
のＣＳトラフィック）。接続確立および終了ＴＰＤＵに起因して、この計算にお
いて僅かな誤差が生じ得るが、致命的なものではない。
【０６２４】 ［メトリック仕様］
【０６２５】
【表４８】 ［ＳＣ接続ウインドウ］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続のウインドウ(window)に関する情報を含む。具体的には、「ＳＣ接続ウイン
ドウ」は、確立された接続ライフタイムにおける転送段階の認証数、およびサー
バからクライアントへのそれらの相対的な大きさを測定する。
【０６２６】 データＴＰＤＵ（パケット）の数は、そのメトリックの異なる認証数、および
クライアントからサーバへのトラフィック全体によって推定される（例えば上記
のＳＣトラフィック）。接続確立および終了ＴＰＤＵに起因して、この計算にお
いて僅かな誤差が生じ得るが、致命的なものではない。
【０６２７】 ［メトリック仕様］
【０６２８】
【表４９】 ［ＣＳ接続フローズン・ウインドウ］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続のウインドウ(window)に関する情報を含む。具体的には、「ＣＳ接続ウイン
ドウ」は、確立された接続ライフタイムにおけるクライアントからサーバへの転
送段階の認証の数を測定し、そのライフタイムではデータを有効に認証するが、 ・上側のウインドウ端を増加させることに失敗し、または ・上側のウインドウ端を減少させる。
【０６２９】 ［メトリック仕様］
【０６３０】
【表５０】 ［ＳＣ接続フローズン・ウインドウ］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続のウインドウ(window)に関する情報を含む。具体的には、「ＳＣ接続ウイン
ドウ」は、確立された接続ライフタイムにおけるサーバからクライアントへの転
送段階の認証の数を測定し、そのライフタイムではデータを有効に認証するが、 ・上側のウインドウ端を増加させることに失敗し、または ・上側のウインドウ端を減少させる。
【０６３１】 ［メトリック仕様］
【０６３２】
【表５１】 ［ＣＳ接続クローズ・ウインドウ］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続のウインドウ(window)に関する情報を含む。具体的には、「ＣＳ接続ウイン
ドウ」は、確立された接続ライフタイムにおけるクライアントからサーバへの転
送段階の認証の数を測定し、そのライフタイムでは認証／シーケンス・ウインド
ウを完全に閉じている。
【０６３３】 ［メトリック仕様］
【０６３４】
【表５２】 ［ＳＣ接続クローズ・ウインドウ］ ［定義］ このメトリックは、所与のアプリケーションに関する特定のクライアント-サ
ーバ対又は特定のサーバとそのクライアント総ての何れかに対して、転送段階の
接続のウインドウ(window)に関する情報を含む。具体的には、「ＳＣ接続ウイン
ドウ」は、確立された接続ライフタイムにおけるサーバからクライアントへの転
送段階の認証の数を測定し、そのライフタイムでは認証／シーケンス・ウインド
ウを完全に閉じている。
【０６３５】 ［メトリック仕様］
【０６３６】
【表５３】 本願実施例は、必要な認証パターンおよび状態遷移進行手続を利用して自動的
にフロー署名を生成する。それらは分解規則に従ってパケットを分析することに
より生じ、また、探索するための状態遷移も引き起こす。任意の階層におけるア
プリケーションおよびプロトコルは、パケットのシーケンスの状態分析を通じて
認識される。
【０６３７】 当業者は、コンピュータ・ネットワークを利用して、電話，「インターネット
」無線機，ページャ等のようなネットワーク機器を含む多くの異なる形式の装置
を接続する。ここで使用されるコンピュータなる用語は、そのような装置の総て
を包含し、ここで使用されるコンピュータ・ネットワークなる用語は、そのよう
なコンピュータのネットワークを含む。
【０６３８】 以上本発明は提示された好適実施例に関して説明されてきたが、本願を限定す
るものとして解釈されるべきではない。上記の説明を読んだ後の当業者にとって
、様々な代替案および修正が疑いもなく明白である。したがって、特許請求の範
囲は、本発明の精神および範囲に属する総ての代替案および修正を包含するもの
として解釈されるべきである。
【図面の簡単な説明】
【図１】 図１は、本発明のネットワーク形態における機能ブロック図であり、接続点を
通過するパケットを分析するためにモニタが接続されている。
【図２】 図２は、いくつかのパケットおよびそれらのフォーマット例を表現する図であ
り、例示として、監視および分析されるネットワークにおいてクライアントおよ
びサーバの間の会話フローが開始時に交換されるものである。この例および本願
実施例に関する１対の会話フローが図示されている。いくつかの可能な署名を示
し、パケットを分析するプロセスにおいて、および個別のアプリケーション・パ
ケット交換を行う特定のサーバ・アプリケーションを認識するプロセスにおいて
生成および使用されることが可能である。
【図３】 図３は、図１に示すパケット・モニタとして動作することが可能な本発明のプ
ロセス形態の機能ブロック図である。このプロセスは、ソフトウエア又はハード
ウエアで実行されることが可能である。
【図４】 図４は、プロセスをコンパイルおよび最適化する上位レベルのプロトコル言語
のフローチャートであり、一例において、本発明に従ってパケットを監視するた
めのデータを生成するために使用される。
【図５】 図５は、本発明のパケット監視の実施例において分解の一部として使用される
パケット分解プロセスのフローチャートである。
【図６】 図６は、本発明のパケット監視の実施例において分解の一部として使用される
パケット要素抽出プロセスのフローチャートである。
【図７】 図７は、本発明のパケット監視の実施例において分析の一部として使用される
フロー署名形成プロセスのフローチャートである。
【図８】 図８は、本発明のパケット監視の実施例において分析の一部として使用される
モニタ探索および更新プロセスのフローチャートである。
【図９】 図９は、本願パケット監視によって認識されるサン・マイクロシステムズ遠隔
手順呼出アプリケーションのフローチャート例である。
【図１０】 図１０は、パターン判別器および抽出器を含むハードウエア分析器の機能ブロ
ック図であり、本発明のパケット監視の実施例における分解モジュールの一部を
形成することが可能である。
【図１１】 図１１は、本発明のパケット監視の実施例の一部を形成することが可能な状態
プロセッサを含むハードウエア分析器の機能ブロック図である。
【図１２】 図１２は、本発明のパケット監視の実施例における分析器の一部を形成すること
が可能なフロー挿入および削除プロセスの機能ブロック図である。
【図１３】 図１３は、本発明のパケット監視の実施例における分析器の一部を形成するこ
とが可能な状態処理プロセッサのフローチャートである。
【図１４】 図１４は、図１に示すパケット・モニタとして動作することが可能な本発明の
プロセス形態の機能ブロック図である。このプロセスは、ソフトウエアで実行さ
れることが可能である。
【図１５】 図１５は、図３（および図１０，１１）のパケット・モニタが、マイクロプロ
セッサのようなプロセッサを利用してどのように動作するかを示す機能ブロック
図である。
【図１６】 図１６は、本発明の一形態による署名を形成するために抽出されるイーサーネ
ット・パケットおよびいくつかの要素の上位層（ＭＡＣ）の例である。
【図１７Ａ】 図１７Ａは、図１６のイーサーネット・パケットのイーサーネット形式のヘッ
ダおよび本発明の一形態による署名を形成するために抽出されるいくつかの要素
の例である。
【図１７Ｂ】 図１７Ｂは、図１６および図１７Ａに示される例えばイーサ形式パケットのＩ
Ｐパケットおよび本発明の一形態による署名を形成するために抽出されるいくつ
かの要素の例である。
【図１８Ａ】 図１８Ａは、パターンを格納するために使用可能な３次元構造であり、本発明
の一実施例による分解システムで使用される分解および抽出データベースである
。
【図１８Ｂ】 図１８Ｂは、パターンを格納する他の形式であり、本発明の他の実施例による
分解システムで使用される分解および抽出データベースである。
【図１９】 図１９は、図１１の分析器サブシステムの状態プロセッサ要素のブロック図で
ある。
【図２０】 図２０は、図１１の分析器サブシステムのサーチ・エンジン要素のブロック図
である。
【図２１】 図２１は、サーチ・エンジンの個々の４つの探索モジュールのブロック図であ
る。
【図２２Ａ】 図２２Ａは、サーチ・エンジン・コアのブロック図である。
【図２２Ｂ】 図２２Ｂは、複数の入力を他の複数の入力と比較するコアの比較要素を示す。
【図２３Ａ】 図２３Ａは、入力コアの詳細を示す。
【図２３Ｂ】 図２３Ｂは、コアの比較要素を示す。
【図２４】 図２４は、本願のコンパイル形態による図２０に図示されるようなコンパイル
・プロセスによって共にコンパイルされる様々なＰＤＬファイル・モジュールを
示す。
【図２５】 図２５は、本願による上位レベルの言語ファイルをコンパイルするプロセスの
フローチャートである。
【図２６】 図２６は、図１１の分析器サブシステムのキャッシュ・サブシステム１１１５
のキャッシュ・メモリ部のブロック図である。
【図２７】 図２７は、キャッシュ・サブシステムのキャッシュ・メモリ・コントローラお
よびキャッシュＣＡＭコントローラのブロック図である。
【図２８】 図２８は、キャッシュ・サブシステム１１１５のＣＡＭアレイの実現例のブロ
ック図である。
───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ， ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＬ，ＡＭ，ＡＴ，ＡＵ， ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，ＣＨ，Ｃ Ｎ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＥＥ，ＥＳ ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ，ＨＲ，ＨＵ， ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，Ｋ Ｒ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ， ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，Ｓ Ｉ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＴＺ，ＵＡ ，ＵＧ，ＵＳ，ＵＺ，ＶＮ，ＹＵ，ＺＡ，ＺＷ (72)発明者 メイックスナー，ジーョゼフ アール アメリカ合衆国 カリフォルニア州 95003 アプトス ドリフトウッド・コー ト 121 (72)発明者 コッペンヘイヴァー，アンドルー エイ アメリカ合衆国 ヴァージニア州 22030 フェアファックス ケンモア・ドライヴ 10400 (72)発明者 ベアーズ，ウィリアム エイチ アメリカ合衆国 テネシー州 38139 ジ ャーマンタウン グレナルデン・ドライヴ 9005 (72)発明者 サーキシアン，ヘイグ エイ アメリカ合衆国 テキサス州 78255 サ ン・アントニオ マウンテン・トップ 8701 (72)発明者 トージャソン，ジェイムズ エフ アメリカ合衆国 ミネソタ州 55304 ア ンドーヴァー エヌ・タブリュ ハンドレ ッドフィフティセヴンス・アヴェニュー 227 Ｆターム(参考） 5B075 ND02 NK45 5B089 GA23 GA31 HA04 KC44 KC53 KF06 MC02 5K030 GA11 GA14 HA08 JA10 KA07 LD17 MA04 MB10 MC08 5K035 AA07 BB03 EE01 GG14 HH07 KK01 【要約の続き】 ントリを格納する。既存のフローに属するパケットに関 して、本方法は、既存のフロー・エントリのフロー・エ ントリを更新する。更新は、１つまたはそれ以上の統計 的測定値を格納する。フローの任意の段階、状態が維持 され、本方法は、フローを識別する更なるプロセスに対 して、識別された状態に関する状態処理を実行する。本 方法は、会話フローに関するアプリケーション・プログ ラムが決定されるまで、接続点を介して通過する各々の および全パケットをリアル・タイムで検査する。

Claims (144)

    【特許請求の範囲】
  1. 【請求項１】 コンピュータ・ネットワークにおける接続点を介して通過す
    るパケットをリアル・タイムで検査するパケット・モニタであって、前記パケッ
    トは、前記接続点に結合されたパケット捕捉装置を介して前記パケット・モニタ
    に提供され、前記パケット・モニタは： （ａ） 前記パケット捕捉装置からのパケットを受け入れるように形成された
    パケット・バッファ・メモリ； （ｂ） パケット内で使用される少なくとも１つのプロトコルを前記パケット
    中のデータからどのように判定するかを記述する情報を含む分解／抽出作業のデ
    ータベースを格納するよう形成される分解／抽出作業メモリ； （ｃ） 前記パケット・バッファおよび前記パケット／抽出作業メモリに結合
    される分解サブシステムであって、前記分解サブシステムは、前記バッファによ
    って受け入れられた前記パケットを検査し、前記受け入れられたパケットの選択
    された部分を抽出し、前記受け入れられたパケットが会話フローの一部であるこ
    とを識別するのに充分な前記選択された部分の関数を有するよう形成されるとこ
    ろの分解サブシステム； （ｄ） 前記モニタが遭遇した会話フローに関する複数のフロー・エントリを
    含むフロー・エントリ・データベースを格納するメモリ； （ｅ） 前記分解サブ・システムおよび前記フロー・エントリ・データベース
    に結合され、前記受け入れられたパケットの前記選択された部分の少なくとも一
    部を使用して、前記受け入れられたパケットの会話フロー・シーケンスに関する
    エントリが前記フロー・エントリ・データベース内に存在するか否かを判別する
    よう形成される探索エンジン； （ｆ） パケットの特定の会話フロー・シーケンスに起因する特定のパターン
    遷移の進行が、前記特定の会話フロー・シーケンスが特定のアプリケーション・
    プログラムの作業に関連付けられることを示し、その進行中にゼロ又はそれ以上
    の所定の状態作業を実行する各々の状態に遭遇するように、所定の状態遷移パタ
    ーン群および状態作業を格納するよう形成された状態パターン／作業メモリ； （ｇ） 前記状態パターン／作業メモリおよび前記探索エンジンに結合される
    プロトコル／状態識別機構であって、プロトコル／状態識別エンジンは、前記パ
    ケットの前記会話フローの前記プロトコルおよび状態を判別するよう形成される
    プロトコル／状態識別機構；および （ｈ） 前記フロー・エントリ・データベース，前記プロトコル／状態識別エ
    ンジン，および前記状態パターン／作業メモリに結合される状態プロセッサであ
    って、前記状態プロセッサは、前記パケットの前記フローの前記プロトコルおよ
    び状態に関する前記状態パターン／作業メモリ内で特定された任意の状態作業を
    実行するよう形成された状態プロセッサ； を有し、前記状態作業の実行は、前記パケットの前記会話フロー・シーケンス
    にどのアプリケーション・プログラムが関連するかを識別するプロセスを進め、
    前記状態プロセッサが前記フロー・エントリを更新する場合には前記受け入れら
    れたパケットに対して実行する状態作業がなくなるまで、又は前記分析の結果が
    通知される場合には前記フローの分析がそれ以上要求されないことを示す最終状
    態に到達するまで、前記状態プロセッサが一連の状態または状態作業を通じて処
    理を行うことを特徴とするパケット・モニタ。
  2. 【請求項２】 前記フロー・エントリが前記フローの前記状態を含み、前記
    探索エンジンが前記受け入れられた前記フローに対するフロー・エントリを発見
    した場合に、前記プロトコル／状態識別機構が、前記フロー・エントリから前記
    パケットの前記状態を判定することを特徴とする請求項１記載のパケット・モニ
    タ。
  3. 【請求項３】 前記分解サブシステムが前記選択された部分からハッシュを
    作成する機構を含み、前記ハッシュは前記フロー・エントリ・データベースを探
    索するために前記探索エンジンによって使用され、前記ハッシュは前記フロー・
    エントリ・データベース内に前記フロー・エントリが広まるように設計されるこ
    とを特徴とする請求項１記載のパケット・モニタ。
  4. 【請求項４】 更に、前記分解／抽出作業メモリに結合されるコンパイラ・
    プロセッサを有する請求項１記載のパケット・モニタであって、前記コンパイラ
    ・プロセッサはコンパイル・プロセスを実行するよう形成され、そのコンパイル
    ・プロセスは： 前記モニタが遭遇するパケットで使用され得る前記プロトコルを記述する高
    レベル・プロトコル記述言語の命令を受信し、および 該プロトコル記述言語命令を、前記分解／抽出作業メモリ内に初期化される
    複数の分解／抽出作業に翻訳する ことを特徴とする請求項１記載のパケット・モニタ。
  5. 【請求項５】 前記プロトコル記述言語命令が、１つ又はそれ以上のアプリ
    ケーションプログラム群と、アプリケーション・プログラムに関連する特定の会
    話フロー・シーケンスに起因して生じる前記状態遷移パターン／作業との間の対
    応関係を記述し、前記コンパイラ・プロセッサが前記状態パターン／作業メモリ
    にも結合され、前記コンパイル・プロセスが、更に、前記プロトコル記述言語命
    令を、前記状態パターン／作業メモリ内に初期化される複数の状態パターン又は
    状態作業に翻訳することを特徴とする請求項４記載のパケット・モニタ。
  6. 【請求項６】 更に： 前記フロー・エントリ・データベースから、アクセスされやすいフロー・エン
    トリ群への高速アクセスを提供するために、前記探索エンジンおよび前記フロー
    ・エントリ・データベースにおよびそれらの間に結合されたキャッシュ・メモリ
    を有することを特徴とする請求項１記載のパケット・モニタ。
  7. 【請求項７】 前記キャッシュが、少なくとも最近最も少なく使用したキャ
    ッシュ・メモリに関連するものとして機能することを特徴とする請求項６記載の
    パケット・モニタ。
  8. 【請求項８】 前記キャッシュが、少なくとも最近最も少なく使用したキャ
    ッシュ・メモリに関連するものとして機能し、スタックとして形成されたアドレ
    ス可能なメモリ内容を有することを特徴とする請求項７記載のパケット・モニタ
    。
  9. 【請求項９】 フローに関する１つ又はそれ以上の統計的測定値が各フロー
    ・エントリに含まれ、前記パケット・モニタが、更に： 前記受け入れられたフロー・エントリ内の前記統計的測定値を更新する計算機
    を有することを特徴とする請求項１記載のパケット・モニタ。
  10. 【請求項１０】 フローの前記アプリケーション・プログラムが決定される
    場合に、前記アプリケーションおよび前記統計的測定値から決定されたものに関
    連する１つ又はそれ以上のネットワーク利用メトリックが、ネットワーク・パフ
    ォーマンスを監視するユーザに提供されることを特徴とする請求項９記載のパケ
    ット・モニタ。
  11. 【請求項１１】 コンピュータ・ネットワーク上の接続点を介して通過する
    パケットを検査する方法であって、各パケットは１つ又はそれ以上のプロトコル
    に従うものであり、当該方法は： （ａ） パケット捕捉装置からパケットを受信する段階； （ｂ） 前記パケットに関して１つ又はそれ以上の分解／抽出作業を実行し、
    前記パケットの選択された部分の関数より成る分解レコードを作成する段階； （ｃ） 以前に遭遇した会話フローに関するゼロ又はそれ以上のフロー・エン
    トリより成るフロー・エントリ・データベースを探索する段階であって、該探索
    は、前記選択されたパケット部分の少なくとも一部を利用し、前記パケットが既
    存のフローのものであるか否かを判定するところの段階； （ｄ） 前記パケットが既存のフローのものである場合は、前記パケットを発
    見された既存のフローに属するものとして分類する段階；および （ｅ） 前記パケットが新たなフローのものである場合は、新規フロー・エン
    トリを利用して識別される将来のパケットに関する識別情報を含む前記フロー・
    エントリ・データベース内に、前記新たなフローのための新規フロー・エントリ
    を格納する段階； より成り、前記分解／抽出作業が、前記パケットが従う１つ又はそれ以上のプ
    ロトコルに依存することを特徴とする方法。
  12. 【請求項１２】 前記接続点を介して通過する各パケットが、リアル・タイ
    ムで検査されることを特徴とする請求項１１記載の方法。
  13. 【請求項１３】 前記パケットを発見された既存のフローに属するものとし
    て分類する段階が、既存のフロー・エントリのフロー・エントリを更新する段階
    より成ることを特徴とする請求項１１記載の方法。
  14. 【請求項１４】 前記の更新が、既存のフロー・エントリのフロー・エント
    リに含まれた１つまたはそれ以上の統計的測定値を格納することを特徴とする請
    求項１３記載の方法。
  15. 【請求項１５】 前記１つまたはそれ以上の統計的測定値が、前記フローに
    関する全パケット数，時間，および最終に入力された時点から現時点までの時間
    差より成る群から選択された測定値を含むことを特徴とする請求項１４記載の方
    法。
  16. 【請求項１６】 前記パケットの選択された部分の前記関数が、前記選択さ
    れた部分を含み将来のパケットを識別し得るところの署名を作成し、前記探索作
    業は前記署名を使用し、前記新規のまたは更新されたフロー・エントリに含まれ
    る識別情報が、将来のパケットを識別するための署名であることを特徴とする請
    求項１１記載の方法。
  17. 【請求項１７】 前記パケットの前記プロトコルの少なくとも１つがソース
    およびあて先アドレスを使用し、前記パケットの前記選択された部分が前記ソー
    スおよびあて先アドレスを含むことを特徴とする請求項１１記載の方法。
  18. 【請求項１８】 同一フローのパケットに関する前記選択された部分の前記
    関数が、前記パケットの方向とは独立したものであることを特徴とする請求項１
    ７記載の方法。
  19. 【請求項１９】 前記ソースおよびあて先アドレスが、選択された部分の前
    記関数において前記アドレスの数値的な値の順序によって決定される順序で並べ
    られることを特徴とする請求項１８記載の方法。
  20. 【請求項２０】 選択された部分の前記関数において、数値的に低いアドレ
    スが数値的に高いアドレスの前に並べられることを特徴とする請求項１９記載の
    方法。
  21. 【請求項２１】 前記フロー・エントリ・データベースの探索が、選択され
    たパケット部分のハッシュを利用することを特徴とする請求項１１記載の方法。
  22. 【請求項２２】 前記分解／抽出作業が、分解／抽出作業のデータベースに
    よるものであり、前記データベースは、前記パケットで使用されたプロトコルを
    示す前記パケット内のデータからの抽出作業に依存して、１つ又はそれ以上のプ
    ロトコル群をどのように判定するかを示す情報を含むことを特徴とする請求項１
    １記載の方法。
  23. 【請求項２３】 段階（ｄ）が、前記パケットが既存のフローのものである
    場合に、前記フローの最後に遭遇した状態を求め、前記フローの最後に遭遇した
    状態から始まる前記フローの前記状態に関して特定された状態作業を実行し；お
    よび前記段階（ｅ）が、前記パケットが新たなフローのものである場合は、前記
    新たなフローの初期状態に関して要求される状態作業を実行することを特徴とす
    る請求項１１記載の方法。
  24. 【請求項２４】 フローに関して各々受信したパケットの状態処理が、前記
    フローの前記アプリケーション・プログラムの識別を進行させることを特徴とす
    る請求項２３記載の方法。
  25. 【請求項２５】 前記状態作業が、前記フロー・エントリを更新することを
    含み、前記フロー・エントリを利用して識別される将来のパケットに関する識別
    情報を格納することを含むことを特徴とする請求項２３記載の方法。
  26. 【請求項２６】 フローに関して各々受信したパケットの状態処理が、前記
    フローの前記アプリケーション・プログラムの識別を進行させることを特徴とす
    る請求項２５記載の方法。
  27. 【請求項２７】 前記状態作業が、１つ又はそれ以上の参照ストリングの存
    在に関する前記分解レコードを探索することを特徴とする請求項２５記載の方法
    。
  28. 【請求項２８】 状態作業に依存してプロトコルのデータベースを利用して
    プログラム可能な状態プロセッサによって、前記状態作業が実行されることを特
    徴とする請求項２５記載の方法。
  29. 【請求項２９】 コンピュータ・ネットワーク上の接続点を介して通過する
    パケットを検査するパケット・モニタであって、各パケットは１つ又はそれ以上
    のプロトコルに従い、当該パケット・モニタは： （ａ） 前記接続点に結合され、前記接続点を介して通過するパケットを受信
    するよう形成されたパケット捕捉装置； （ｂ） 前記パケット捕捉装置からのパケットを受け入れるように結合および
    形成された入力バッファ・メモリ； （ｃ） 前記入力バッファ・メモリに結合されおよびスライサを有する分解サ
    ブシステムであって、前記分解サブシステムは、前記受け入れられたパケットの
    選択された部分を抽出し、前記選択された部分を含む分解レコードを出力するよ
    う形成される分解サブシステム； （ｄ） 以前遭遇した会話フローに関するゼロまたはそれ以上のフロー・エン
    トリを含むデータベースを格納するメモリ； （ｅ） 前記分解サブシステムの出力およびフロー・エントリ・メモリに結合
    され、特定のパケットの分解レコードが前記分解サブシステムにより出力される
    ところの特定のパケットがフロー・エントリに一致するか否かを探索するように
    形成される探索エンジンであって、前記の探索は、選択されたパケット部分を利
    用して、前記パケットが既存のフローのものであるか否かを判定するところの探
    索エンジン；および （ｆ） 前記フロー・エントリ・メモリおよび前記探索エンジンに結合され、
    前記フロー・エントリ・データベース内でフロー・エントリを作成するよう形成
    されるフロー挿入エンジンであって、前記フロー・エントリが、新規フロー・エ
    ントリを利用して識別される将来のパケットに関する識別情報を含むフロー挿入
    エンジン； を有し、前記探索エンジンが、前記パケットが既存のフローのものである場合
    は、前記パケットを発見された既存のフローに属するものとして分類し、前記パ
    ケットが新たなフローのものである場合は、前記フロー挿入エンジンが、前記新
    規フロー・エントリを利用して識別される将来のパケットに関する識別情報を含
    む前記フロー・エントリ・データベース内に前記新たなフローのための新規フロ
    ー・エントリを格納し、 前記分解サブシステムの動作は、前記パケットが従う１つ又はそれ以上のプロ
    トコルに依存することを特徴とするパケット・モニタ。
  30. 【請求項３０】 接続点を介して通過する各パケットが、前記パケット・バ
    ッファによってアクセスされ、前記モニタによってリアル・タイムで検査される
    ことを特徴とする請求項２９記載のモニタ。
  31. 【請求項３１】 前記探索エンジンが、前記の探索が成功した場合に既存の
    フローの前記フロー・エントリを更新することを特徴とする請求項２９記載のモ
    ニタ。
  32. 【請求項３２】 更に、前記選択された部分からハッシュを作成する機構を
    含み、前記ハッシュは前記探索エンジンに対する特定のパケットの前記入力に含
    まれ、前記ハッシュは前記フロー・データベースを探索するために前記探索エン
    ジンによって使用されることを特徴とする請求項２９記載のモニタ。
  33. 【請求項３３】 更に、分解／抽出作業のデータベースを含むメモリを有し
    、分解／抽出作業データベースは前記分解サブシステムに結合され、前記分解／
    抽出作業は、前記分解／抽出作業データベースから探索された１つ又はそれ以上
    の分解／抽出作業によるものであることを特徴とする請求項２９記載のモニタ。
  34. 【請求項３４】 分解／抽出作業の前記データベースが、前記パケットで使
    用されるプロトコルを指示するパケット内のデータからの抽出作業に依存して、
    １つ又はそれ以上のプロトコル群をどのように判定するかを記述する情報を含む
    ことを特徴とする請求項３３記載のモニタ。
  35. 【請求項３５】 更に、前記分解サブシステムの前記出力ならびに前記探索
    エンジンおよび前記フロー挿入エンジンに結合されるフロー・キー・バッファ（
    ＵＦＫＢ）を含み、分解モニタの出力は前記ＵＦＫＢを通じて前記探索エンジン
    に結合され、前記フロー挿入エンジンが前記ＵＦＫＢを通じて前記探索エンジン
    に結合されることを特徴とする請求項２９記載のモニタ。
  36. 【請求項３６】 更に、前記探索エンジンおよび前記フロー・エントリ・デ
    ータベース・メモリに結合され、前記パケットが既存のパケットからのものであ
    る場合に、前記フローの最後に遭遇した状態から始まるフローの状態に関して特
    定される状態作業を実行し、前記パケットが既存のパケットからのものである場
    合に、新たなフローの初期状態に要求される状態作業を実行するよう形成される
    状態プロセッサを有することを特徴とする請求項２９記載のモニタ。
  37. 【請求項３７】 前記状態プロセッサが実行するよう形成されるところの１
    組の可能な状態作業が、パケット部分内の１つ又はそれ以上のパターンを探索す
    ることを含むことを特徴とする請求項２９記載のモニタ。
  38. 【請求項３８】 前記状態プロセッサがプログラム可能であり、前記モニタ
    が前記状態プロセッサに結合された状態パターン／作業メモリを更に含み、前記
    状態メモリは、状態パターン／作業に依存してプロトコルのデータベースを格納
    するよう形成されることを特徴とする請求項３６記載のモニタ。
  39. 【請求項３９】 前記ＵＦＫＢおよび前記フロー・エントリ・データベース
    ・メモリに結合され、前記パケットが既存のパケットからのものである場合に、
    前記フローの最後に遭遇した状態から始まるフローの状態に関して特定される状
    態作業を実行し、前記パケットが既存のパケットからのものである場合に、新た
    なフローの初期状態に要求される状態作業を実行するよう形成される状態プロセ
    ッサを有することを特徴とする請求項３５記載のモニタ。
  40. 【請求項４０】 前記状態作業が、前記フロー・エントリを更新することを
    含み、前記フロー・エントリを利用して識別される将来のパケットに関する識別
    情報を格納することを含むことを特徴とする請求項３６記載のモニタ。
  41. 【請求項４１】 更に、前記分解／抽出作業メモリに結合されるコンパイラ
    ・プロセッサを有し、前記コンパイラ・プロセッサはコンパイル・プロセスを実
    行するよう形成され、そのコンパイル・プロセスは： 前記モニタが遭遇するパケットで使用され得る前記プロトコルおよびその任
    意の子プロトコルを記述する高レベル・プロトコル記述言語の命令を受信し、お
    よび 該プロトコル記述言語命令を、前記分解／抽出作業メモリ内に初期化される
    複数の分解／抽出作業に翻訳する ことを特徴とする請求項２９記載のパケット・モニタ。
  42. 【請求項４２】 更に、前記分解／抽出作業メモリに結合されるコンパイラ
    ・プロセッサを有し、前記コンパイラ・プロセッサはコンパイル・プロセスを実
    行するよう形成され、そのコンパイル・プロセスは： １つ又はそれ以上のアプリケーションプログラム群と、アプリケーション・
    プログラムに関連する特定の会話フロー・シーケンスに起因して生じる前記状態
    遷移パターン／作業との間の対応関係を記述する高レベル・プロトコル記述言語
    の命令を受信し、および 該プロトコル記述言語命令を、前記分解／抽出作業メモリ内に初期化される
    複数の状態パターンおよび状態作業に翻訳する ことを特徴とする請求項３８記載のパケット・モニタ。
  43. 【請求項４３】 前記フロー・エントリ・データベースから、アクセスされ
    やすいフロー・エントリ群への高速アクセスを提供するために、前記探索エンジ
    ンおよび前記フロー・エントリ・データベース・メモリにおよびそれらの間に結
    合されたキャッシュサブシステムを有することを特徴とする請求項２９記載のパ
    ケット・モニタ。
  44. 【請求項４４】 前記キャッシュ・サブシステムが、１つ又はそれ以上のア
    ドレス可能なメモリ・セル（ＣＡＭ）の内容を示す連合キャッシュ・サブシステ
    ムであることを特徴とする請求項４３記載のパケット・モニタ。
  45. 【請求項４５】 前記キャッシュ・サブシステムが、最少使用キャッシュ・
    メモリであり、キャッシュが、最近最も少なく使用されたキャッシュ・エントリ
    を更新する機会を失うことを特徴とする請求項４４記載のパケット・モニタ。
  46. 【請求項４６】 各フロー・エントリが前記フローに関する１つ又はそれ以
    上の統計的測定値含み、前記モニタが、更に、前記受け入れられたパケットの前
    記フロー・エントリにおける少なくとも１つの統計定期測定値を更新する計算機
    を有することを特徴とする請求項２９記載のパケット・モニタ。
  47. 【請求項４７】 前記１つまたはそれ以上の統計的測定値が、前記フローに
    関する全パケット数，時間，および最後に入力された時点から現時点までの時間
    差より成る群から選択された測定値を含むことを特徴とする請求項４６記載のパ
    ケット・モニタ。
  48. 【請求項４８】 前記フローのフロー・エントリにおける１つ又はそれ以上
    の前記統計的測定値から、前記フローに関する１つ又はそれ以上のネットワーク
    利用メトリックを判定するよう形成された統計プロセッサを更に有することを特
    徴とする請求項４６記載のパケット・モニタ。
  49. 【請求項４９】 フロー・エントリ・データベースが複数のビンに組織化さ
    れ、各々がＮ個のフロー・エントリを有し、前記ビンは、前記選択されたパケッ
    ト部分に基づいて分解サブシステムによって作成されたハッシュ・データ値を介
    してアクセスされ、Ｎが１つ又はそれ以上であることを特徴とする請求項２９記
    載のモニタ。
  50. 【請求項５０】 前記ハッシュ・データ値は、複数のフロー・エントリを前
    記フロー・エントリ・データベース内に広めるために使用され、フロー・エント
    リの高速探索および浅いバケットことを可能にすることを特徴とする請求項４９
    記載のモニタ。
  51. 【請求項５１】 前記状態プロセッサが新しいおよび既存のフローの両者を
    分析し、それらをアプリケーションにより分類し、１組の所定の規則に基づいて
    状態ごとに進行することを特徴とする請求項３６記載のモニタ。
  52. 【請求項５２】 前記探索エンジンが、前記分解サブシステムから分解レコ
    ードが到着すると直ちに処理を開始することを特徴とする請求項２９記載のモニ
    タ。
  53. 【請求項５３】 前記探索エンジンが、フロー・キーが前記状態プロセッサ
    に送られるべきか否かを検査するフロー状態エントリを提供し、前記フローに対
    してプロトコル識別子を出力することを特徴とする請求項３６記載のモニタ。
  54. 【請求項５４】 コンピュータ・ネットワーク上の接続点を介して通過する
    パケットを検査する方法であって、当該方法は： （ａ） パケット捕捉装置からパケットを受信する段階； （ｂ） 分解／抽出作業のデータベースに従って、前記パケットに関して１つ
    又はそれ以上の分解／抽出作業を実行し、前記パケットの選択された部分の関数
    より成る分解レコードを作成する段階であって、分解／抽出作業のデータベース
    は、前記パケットで使用されるプロトコルを示すパケット内のデータからの抽出
    作業に依存して、１つ又はそれ以上のプロトコルをどのように判定するかについ
    ての情報を含むところの段階； （ｃ） 以前に遭遇した会話フローに関するゼロ又はそれ以上のフロー・エン
    トリより成るフロー・エントリ・データベースを探索する段階であって、該探索
    は、前記選択されたパケット部分の少なくとも一部を利用し、前記パケットが既
    存のフローのものであるか否かを判定するところの段階； （ｄ） 前記パケットが既存のフローのものである場合に、前記フローの最後
    に遭遇した状態を求め、前記フローの最後に遭遇した状態から始まる前記フロー
    の前記状態に関して特定された状態作業を実行し；および （ｅ） 前記パケットが新たなフローのものである場合は、前記新たなフロー
    の初期状態に関して要求される状態作業を実行し、新規フロー・エントリを利用
    して識別される将来のパケットに関する識別情報を含む前記フロー・エントリ・
    データベース内に、前記新たなフローのための新規フロー・エントリを格納する
    段階； より成ることを特徴とする方法。
  55. 【請求項５５】 前記状態の少なくとも１つに関して特定された状態作業の
    １つが、前記フロー・エントリを更新することを含み、前記フロー・エントリを
    利用して識別される将来のパケットに関する情報を識別することを含むことを特
    徴とする請求項５４記載の方法。
  56. 【請求項５６】 前記状態の少なくとも１つに関して特定された状態作業の
    １つが、少なくとも１つの参照ストリングに関して前記パケットの内容を探索す
    ることを特徴とする請求項５４記載の方法。
  57. 【請求項５７】 前記状態の少なくとも１つに関して特定された状態作業の
    １つが、前記フローに関して識別される将来のパケットに関する新規フロー・エ
    ントリを作成することを含み、前記新規フロー・エントリが、前記フローに関し
    て識別される将来のパケットに関する識別情報を含むことを特徴とする請求項５
    ５記載の方法。
  58. 【請求項５８】 更に、前記選択されたパケット部分から署名を形成する段
    階より成り、前記探索作業は前記署名を使用し、前記新規のまたは更新されたフ
    ロー・エントリに含まれる識別情報が、将来のパケットを識別するための署名で
    あることを特徴とする請求項５４記載の方法。
  59. 【請求項５９】 前記状態作業が、状態作業に依存するプロトコルのデータ
    ベースによるものであることを特徴とする請求項５４記載の方法。
  60. 【請求項６０】 コンピュータ・ネットワーク上の接続点を介して通過する
    パケットに関するプロトコル特有作業を実行する方法であって、当該方法は： （ａ） 前記パケットを受信する段階； （ｂ） 階層モデルに従う複数のプロトコルに関する１組のプロトコル記述を
    受信する段階であって、特定の階層レベルにおける特定のプロトコルに関するプ
    ロトコル記述は： （ｉ） 前記特定のプロトコルのゼロ又はそれ以上の子プロトコルであっ
    て、前記パケットは、前記特定のプロトコルの特定の子プロトコルに対して、前
    記特定の子プロトコルに関連する前記パケットにおける１つ又はそれ以上の場所
    における情報を含むところの子プロトコル， （ｉｉ） 前記特定のプロトコルの子プロトコルに関連する情報が格納さ
    れる前記パケット内の１つ又はそれ以上の場所，および （ｉｉｉ） 前記特定の階層レベルにおける特定のプロトコルに関して、
    前記パケットに対して実行されるゼロ又はそれ以上のプロトコル特有作業 を有するところの段階；および （ｃ） 前記パケットの基本プロトコルおよび前記パケットで使用される前記
    プロトコルの子に基づく前記１組のプロトコル記述によって特定される前記パケ
    ットに対して前記プロトコル特有作業を実行する段階； より成ることを特徴とする方法。
  61. 【請求項６１】 プロトコル特有作業を実行する段階（ｃ）が、前記子の任
    意の子に関して繰り返し行われることを特徴とする請求項６０記載の方法。
  62. 【請求項６２】 当該方法がパケットの内容に従って様々なプロトコルに適
    合するように、段階（ｃ）で実行されるプロトコル特有作業が前記パケットの内
    容に依存することを特徴とする請求項６０記載の方法。
  63. 【請求項６３】 更に： メモリ内にデータベースを格納する段階より成り、前記データベースは、前記
    １組のプロトコル記述から生成され、可能なプロトコルに関する情報を含むデー
    タ構造を有し、任意のプロトコルに対して子プロトコル関連情報を探索するよう
    に組織化され、前記データ構造の内容は１つ又はそれ以上の１組の指標によって
    指示され、前記データベース・エントリは有効性の指示を含む指標値の特定の組
    によって指示され、 前記子プロトコル関連情報は子認識パターンを含み、 前記プロトコル特有作業を実行する段階（ｃ）が、ベース階層から始まる特定
    のプロトコル階層レベルにおいて、前記子フィールドに関する前記特定のプロト
    コルにおける前記パケットを探索し、該探索は、有効なエントリが見出されるま
    で前記データ構造を指示することを含み、および これにより前記データ構造が、前記指標の組を利用して高速探索されるように
    形成されることを特徴とする請求項６０記載の方法。
  64. 【請求項６４】 前記プロトコル記述が、プロトコル記述言語で提供され、
    前記方法が更に： 前記データベースを作成するためにＰＤＬ記述をコンパイルする段階； より成ることを特徴とする請求項６３記載の方法。
  65. 【請求項６５】 前記データ構造が１組のアレイより成り、各アレイは、各
    プロトコルに対して少なくとも１つのアレイの第１指標によって識別され、各ア
    レイは更に、子プロトコル関連情報が格納される前記パケット内の場所である第
    ２指標によって指示され、前記データ構造における有効なエントリの探索が、前
    記パケット内の前記場所を提供し、識別されたプロトコルに関する子認識パター
    ンを見出すことを特徴とする請求項６３記載の方法。
  66. 【請求項６６】 各アレイが更に、子プロトコル関連情報が格納される前記
    パケット内の領域の大きさである第３指標によって指示され、前記データ構造に
    おける有効なエントリの探索が、前記パケットにおける前記場所および前記領域
    の大きさを提供し、前記子認識パターンを見出すことを特徴とする請求項６５記
    載の方法。
  67. 【請求項６７】 前記データ構造における有効エントリの散在性を利用した
    圧縮手法に従って前記データ構造が圧縮されることを特徴とする請求項６６記載
    の方法。
  68. 【請求項６８】 前記圧縮手法が、競合する共通エントリを有しない２つ又
    はそれ以上のアレイを結合させることを特徴とする請求項６７記載の方法。
  69. 【請求項６９】 前記データ構造が１組のテーブルを有し、各テーブルは、
    各プロトコルに対して少なくとも１つのテーブルの第１指標によって識別され、
    各テーブルは更に、前記子認識パターンである第２指標によって指示され、前記
    データ構造は更に、各プロトコルに対して、子プロトコル関連情報が格納される
    前記パケット内の場所を提供するテーブルを含み、前記データ構造における有効
    なエントリの探索が、前記パケット内の前記場所を提供し、識別されたプロトコ
    ルに関する子認識パターンを見出すことを特徴とする請求項６３記載の方法。
  70. 【請求項７０】 テーブルの前記組における有効エントリの散在性を利用し
    た圧縮手法に従って前記データ構造が圧縮されることを特徴とする請求項６９記
    載の方法。
  71. 【請求項７１】 前記圧縮手法が、競合する共通エントリを有しない２つ又
    はそれ以上のテーブルを結合させることを特徴とする請求項７０記載の方法。
  72. 【請求項７２】 前記プロトコル特有作業が、前記パケットに関する１つ又
    はそれ以上の分解および抽出作業を含み、前記パケットの選択された部分を抽出
    し、会話フローに属するものとして前記パケットを識別するために前記選択され
    た部分の関数を形成することを特徴とする請求項６０記載の方法。
  73. 【請求項７３】 前記プロトコル記述が、プロトコル記述言語で提供される
    ことを特徴とする請求項６０記載の方法。
  74. 【請求項７４】 更に： データベースを作成し、前記データベースをメモリ内に格納するためにＰＤＬ
    記述をコンパイルする段階より成り、前記データベースは、前記１組のプロトコ
    ル記述から生成され、可能なプロトコルに関する情報を含むデータ構造を有し、
    任意のプロトコルに対して子プロトコル関連情報を探索するように組織化され、
    前記データ構造の内容は１つ又はそれ以上の１組の指標によって指示され、前記
    データベース・エントリは有効性の指示を含む指標値の特定の組によって指示さ
    れ、 前記子プロトコル関連情報は子認識パターンを含み、 前記プロトコル特有作業を実行する段階が、ベース階層から始まる特定のプロ
    トコル階層レベルにおいて、前記子フィールドに関する前記特定のプロトコルに
    おける前記パケットを探索し、該探索は、有効なエントリが見出されるまで前記
    データ構造を指示することを含み、および これにより前記データ構造が、前記指標の組を利用して高速探索されるように
    形成されることを特徴とする請求項７３記載の方法。
  75. 【請求項７５】 更に： 以前に遭遇した会話フローに関するゼロ又はそれ以上のフロー・エントリより
    成るフロー・エントリ・データベースを探索する段階であって、該探索は、前記
    選択されたパケット部分の少なくとも一部を利用し、前記パケットが既存のフロ
    ーのものであるか否かを判定するところの段階； 前記パケットが既存のフローのものである場合は、前記パケットを発見された
    既存のフローに属するものとして分類する段階；および 前記パケットが新たなフローのものである場合は、新規フロー・エントリを利
    用して識別される将来のパケットに関する識別情報を含む前記フロー・エントリ
    ・データベース内に、前記新たなフローのための新規フロー・エントリを格納す
    る段階； より成り、前記分解および抽出作業が、ゼロ又はそれ以上のパケット・ヘッダ
    に依存することを特徴とする請求項７２記載の方法。
  76. 【請求項７６】 前記プロトコル特有作業が、更に、前記パケットの前記フ
    ローの前記状態の関数である１つ又はそれ以上の状態処理作業を含むことを特徴
    とする請求項７２記載の方法。
  77. 【請求項７７】 前記プロトコル特有作業が、前記パケットの前記フローの
    前記状態の関数である１つ又はそれ以上の状態処理作業を含むことを特徴とする
    請求項６０記載の方法。
  78. 【請求項７８】 コンピュータ・ネットワーク上の接続点を介して通過する
    パケットのフローを分析する方法であって、当該方法は： （ａ） パケット捕捉装置からパケットを受信する段階； （ｂ） 以前に遭遇した会話フローに関するゼロ又はそれ以上のフロー・エン
    トリより成るフロー・エントリ・データベースを探索する段階であって、該探索
    は、受信したパケットが既存のフローのものであるか否かを判定するところの段
    階； （ｄ） 前記パケットが既存のフローのものである場合は、前記フロー・エン
    トリに維持される１つ又はそれ以上の統計的測定値を格納することを含めて、前
    記既存のフローの前記フロー・エントリを更新する段階；および （ｅ） 前記パケットが新たなフローのものである場合は、前記フロー・エン
    トリに維持される１つ又はそれ以上の統計的測定値を格納する前記フロー・エン
    トリ・データベース内に、前記新たなフローのための新規フロー・エントリを格
    納する段階； より成り、前記接続点を介して通過する全パケットが前記パケット捕捉装置に
    よって受信されることを特徴とする方法。
  79. 【請求項７９】 更に： 前記パケットから識別部分を抽出する段階より成り、 前記探索が、前記識別部分の関数を利用することを特徴とする請求項７８記載
    の方法。
  80. 【請求項８０】 各段階が、前記接続点を介して通過する各パケットに対し
    て、リアル・タイムで実行されることを特徴とする請求項７８記載の方法。
  81. 【請求項８１】 前記１つまたはそれ以上の統計的測定値が、前記フローに
    関する全パケット数，時間，および最後に入力された時点から現時点までの時間
    差より成る群から選択された測定値を含むことを特徴とする請求項７８記載の方
    法。
  82. 【請求項８２】 更に、前記フロー・エントリの１つ又はそれ以上の前記統
    計的測定値から、フロー・エントリの前記フローに関連する１つ又はそれ以上の
    メトリックを報告する段階より成ることを特徴とする請求項７８記載の方法。
  83. 【請求項８３】 前記メトリックが１つ又はそれ以上のサービス品質（ＱＯ
    Ｓ）メトリックを含むことを特徴とする請求項８４記載の方法。
  84. 【請求項８４】 前記の報告が時々行われ、前記１つ又はそれ以上のメトリ
    ックが、最終報告時点からの時間間隔に関連する基本メトリックであることを特
    徴とする請求項８２記載の方法。
  85. 【請求項８５】 更に、前記基本メトリックから１つ又はそれ以上のサービ
    ス品質（ＱＯＳ）メトリックを計算する段階より成ることを特徴とする請求項８
    ４記載の方法。
  86. 【請求項８６】 隣接する時間間隔に関するメトリックが結合され、結合さ
    れた間隔に対するメトリックを判定し得るように、前記１つ又はそれ以上のメト
    リックが尺度変更可能であるように選択されることを特徴とする請求項８４記載
    の方法。
  87. 【請求項８７】 段階（ｄ）が、前記パケットが既存のフローのものである
    場合に、前記フローの最後に遭遇した状態を求め、前記フローの最後に遭遇した
    状態から始まる前記フローの前記状態に関して特定された状態作業を実行し；お
    よび前記段階（ｅ）が、前記パケットが新たなフローのものである場合は、前記
    新たなフローの初期状態に関して要求される状態作業を実行することを特徴とす
    る請求項７８記載の方法。
  88. 【請求項８８】 更に、前記フロー・エントリの１つ又はそれ以上の前記統
    計的測定値から、フロー・エントリの前記フローに関連する１つ又はそれ以上の
    メトリックを報告する段階より成ることを特徴とする請求項８７記載の方法。
  89. 【請求項８９】 前記の報告が時々行われ、前記１つ又はそれ以上のメトリ
    ックが、最終報告時点からの時間間隔に関連する基本メトリックであることを特
    徴とする請求項８８記載の方法。
  90. 【請求項９０】 前記の報告が、前記フローの前記状態に関する前記状態作
    業の一部であることを特徴とする請求項８９記載の方法。
  91. 【請求項９１】 前記状態作業が、前記フロー・エントリを更新することを
    含み、前記フロー・エントリを利用して識別される将来のパケットに関する識別
    情報を格納することを特徴とする請求項８７記載の方法。
  92. 【請求項９２】 更に、更なるパケットを受信する段階より成り、フローに
    関する各受信したパケットの状態処理が、前記フローの前記アプリケーション・
    プログラムの識別を進行させることを特徴とする請求項９１記載の方法。
  93. 【請求項９３】 前記フローの状態に関連する１つ又はそれ以上のメトリッ
    クが、前記フローの状態に関して特定された状態作業の一部として判定されるこ
    とを特徴とする請求項９２記載の方法。
  94. 【請求項９４】 コンピュータ・ネットワーク上の接続点を介して通過する
    パケットを検査するパケット・モニタであって、各パケットは１つ又はそれ以上
    のプロトコルに従い、当該パケット・モニタは： （ａ） 前記接続点に結合され、前記接続点を介して通過するパケットを受信
    するように結合されるパケット捕捉装置； （ｂ） 受信したパケットが所属する以前遭遇した会話フローに関する１つ又
    はそれ以上のフロー・エントリより成るデータベースを格納するメモリ； （ｃ） 前記パケット捕捉装置に結合され、受信したパケットが前記フロー・
    エントリ・データベース内のフロー・エントリに属するか否かを探索し、前記パ
    ケットが既存のフローのものである場合は、前記フロー・エントリに維持される
    １つ又はそれ以上の統計的測定値を格納することを含めて、前記既存のフローの
    前記フロー・エントリを更新し、および前記パケットが新たなフローのものであ
    る場合は、前記フロー・エントリに維持される１つ又はそれ以上の統計的測定値
    を格納する前記フロー・エントリ・データベース内に、前記新たなフローのため
    の新規フロー・エントリを格納するように形成される分析サブシステム； を有することを特徴とするパケット・モニタ。
  95. 【請求項９５】 更に： パケット捕捉装置および分析サブシステムに結合され、受信したパケットから
    識別情報を抽出するよう形成される分解サブシステム； を有し、各フロー・エントリは前記フロー・エントリに含まれる識別情報によ
    って識別され、キャッシュの探索は、抽出した識別情報の関数を使用することを
    特徴とする請求項９４記載のパケット・モニタ。
  96. 【請求項９６】 前記１つまたはそれ以上の統計的測定値が、前記フローに
    関する全パケット数，時間，および最後に入力された時点から現時点までの時間
    差より成る群から選択された測定値を含むことを特徴とする請求項９６記載のパ
    ケット・モニタ。
  97. 【請求項９７】 前記フローのフロー・エントリにおける１つ又はそれ以上
    の前記統計的測定値から、前記フローに関する１つ又はそれ以上のメトリックを
    判定するよう形成された統計プロセッサを更に有することを特徴とする請求項９
    ４記載のパケット・モニタ。
  98. 【請求項９８】 前記統計プロセッサが、前記１つ又はそれ以上のメトリッ
    クを時々判定および報告することを特徴とする請求項９７記載のパケット・モニ
    タ。
  99. 【請求項９９】 コンピュータ・ネットワーク上の接続点を介して通過する
    パケットを検査するパケット・モニタであって、各パケットは１つ又はそれ以上
    のプロトコルに従い、当該パケット・モニタは： （ａ） 前記接続点に結合され、前記接続点を介して通過するパケットを受信
    するよう形成されるパケット捕捉装置； （ｂ） 受信したパケットが所属する以前遭遇した会話フローに関する１つ又
    はそれ以上のフロー・エントリより成るデータベースを格納するメモリ； （ｃ） 前記フロー・エントリ・データベース・メモリに結合され、前記フロ
    ー・エントリ・データベースから、フロー・エントリの高速アクセスを提供する
    キャッシュ・サブシステム；および （ｄ） 前記パケット捕捉装置および前記キャッシュ・サブシステムに結合さ
    れ、受信したパケットが前記フロー・エントリ・データベース内のフロー・エン
    トリに属するか否かを探索するよう形成され、前記の探索は前記キャッシュ・サ
    ブシステム内で行われるところの探索エンジン； を有することを特徴とするパケット・モニタ。
  100. 【請求項１００】 更に： パケット捕捉装置および探索エンジンに結合される分解サブシステムであって
    、前記捕捉装置が前記分解サブシステムを介して前記探索エンジンに結合され、
    前記分解サブシステムは受信したパケットから識別情報を抽出するよう形成され
    る分解サブシステム； を有し、各フロー・エントリは前記フロー・エントリに含まれる識別情報によ
    って識別され、キャッシュの探索は、抽出した識別情報の関数を使用することを
    特徴とする請求項９９記載のパケット・モニタ。
  101. 【請求項１０１】 前記キャッシュ・サブシステムが、１つ又はそれ以上の
    内容アドレス可能なメモリ・セル（ＣＡＭ）を含む連合キャッシュ・メモリであ
    ることを特徴とする請求項１００記載のパケット・モニタ。
  102. 【請求項１０２】 前記キャッシュ・サブシステムが： （ｉ） 前記フロー・エントリ・データベース・メモリに結合された１組のキ
    ャッシュ・メモリ要素であって、各キャッシュ・メモリ要素はフロー・エントリ
    を入力するための入力ポートを含み、前記フロー・エントリ・データベースのフ
    ロー・エントリを格納するよう形成される１組のキャッシュ・メモリ要素； （ｉｉ） 上部ＣＡＭから下部ＣＡＭへの接続の順序に従って接続された１組
    の内容アドレス可能なメモリ・セル（ＣＡＭ）であって、各ＣＡＭが、前記キャ
    ッシュ・メモリ要素の１つに対するアドレスおよびポインタを含み、および各Ｃ
    ＡＭが： 入力を有する一致回路であって、前記入力がＣＡＭセル内のアドレスと
    同一である場合にＣＡＭが一致出力をアサートし、アサートされた一致出力はヒ
    ットを示すところの一致回路， アドレスおよびポインタを受け入れるように形成されたＣＡＭ入力，お
    よび ＣＡＭアドレス出力およびＣＡＭポインタ出力 を含むところの１組の内容アドレス可能なメモリ・セル； （ｉｉｉ） 前記ＣＡＭの組に結合されるＣＡＭコントローラ；および （ｉｖ） 前記ＣＡＭコントローラ，前記キャッシュ・メモリの組および前記
    フロー・エントリ・メモリに結合されたメモリ・コントローラ を含み、前記ＣＡＭセルの一致回路入力が前記探索エンジンに結合され、前記
    一致回路入力への入力が、前記入力に等しいアドレスを含む任意のＣＡＭセルに
    おいて一致出力を生じさせ、および 前記ＣＡＭコントローラが、特定のＣＡＭが指示するキャッシュ・メモリ要素
    が時間と共に変化するように形成されることを特徴とする請求項１００記載のパ
    ケット・モニタ。
  103. 【請求項１０３】 前記下部ＣＡＭが最近最も少なく利用したキャッシュ・
    メモリ要素を指示するように、前記ＣＡＭコントローラが形成されることを特徴
    とする請求項１０２記載のパケット・モニタ。
  104. 【請求項１０４】 前記上部ＣＡＭから始まる各ＣＡＭのアドレスおよびポ
    インタ出力が、次のＣＡＭのアドレスおよびポインタ入力に結合され、次のＣＡ
    Ｍの最後は下部ＣＡＭであり、キャッシュ・ヒットが起こった場合に、そのヒッ
    トを引き起こしたＣＡＭのアドレスおよびポインタの内容はスタックの上部ＣＡ
    Ｍに配置され、アサートされた一致出力を引き出したＣＡＭより上側のＣＡＭの
    アドレスおよびポインタの内容はシフト・ダウンされるように、下部ＣＡＭによ
    って指示される最近最も少なく使用したキャッシュ・メモリ要素および上部ＣＡ
    Ｍによって指示される最近最も多く使用したキャッシュ・メモリ要素を利用した
    利用の最新性に基づいてＣＡＭが順序付けられるように、前記ＣＡＭコントロー
    ラが形成されることを特徴とする請求項１０３記載のパケット・モニタ。
  105. 【請求項１０５】 外部メモリの１つ又はそれ以上の要素を探索するキャッ
    シュ・システムであって： （ａ） 前記外部メモリに結合された１組のキャッシュ・メモリ要素であって
    、各キャッシュ・メモリ要素は前記外部メモリの要素を入力するための入力ポー
    トを含み、前記外部メモリの要素の入力を格納するよう形成される１組のキャッ
    シュ・メモリ要素； （ｂ） 上部ＣＡＭから下部ＣＡＭへの接続の順序に従って接続された１組の
    内容アドレス可能なメモリ・セル（ＣＡＭ）であって、各ＣＡＭが、前記キャッ
    シュ・メモリ要素の１つに対するアドレスおよびポインタを含み、および各ＣＡ
    Ｍが： （ｉ） 入力を有する一致回路であって、前記入力がＣＡＭセル内のアド
    レスと同一である場合にＣＡＭが一致出力をアサートし、アサートされた一致出
    力はヒットを示すところの一致回路， （ｉｉ） アドレスおよびポインタを受け入れるように形成されたＣＡＭ
    入力，および （ｉｉｉ） ＣＡＭアドレス出力およびＣＡＭポインタ出力 を含むところの１組の内容アドレス可能なメモリ・セル； （ｃ） 前記ＣＡＭの組に結合されるＣＡＭコントローラ；および （ｄ） 前記ＣＡＭコントローラ，前記キャッシュ・メモリの組および前記外
    部メモリに結合されたメモリ・コントローラ を含み、前記一致回路入力への入力が、前記入力に等しいアドレスを含む任意
    のＣＡＭセルにおいて一致出力を生じさせるように、前記ＣＡＭセルの一致回路
    入力が結合され、および 前記ＣＡＭコントローラが、特定のＣＡＭが指示するキャッシュ・メモリ要素
    が時間と共に変化するように形成されることを特徴とするキャッシュ・システム
    。
  106. 【請求項１０６】 前記下部ＣＡＭが最近最も少なく利用したキャッシュ・
    メモリ要素を指示するように、前記ＣＡＭコントローラが形成され、前記ＣＡＭ
    コントローラは、最近最も少なく利用したキャッシュ・メモリ要素が、処理され
    る第１メモリ要素であるような最少利用置換手法を実現するよう形成されること
    を特徴とする請求項１０５記載のキャッシュ・システム。
  107. 【請求項１０７】 前記上部ＣＡＭから始まる各ＣＡＭのアドレスおよびポ
    インタ出力が、次のＣＡＭのアドレスおよびポインタ入力に結合され、次のＣＡ
    Ｍの最後は下部ＣＡＭであり、キャッシュ・ヒットが起こった場合に、そのヒッ
    トを引き起こしたＣＡＭのアドレスおよびポインタの内容はスタックの上部ＣＡ
    Ｍに配置され、アサートされた一致出力を引き出したＣＡＭより上側のＣＡＭの
    アドレスおよびポインタの内容はシフト・ダウンされるように、下部ＣＡＭによ
    って指示される最近最も少なく使用したキャッシュ・メモリ要素および上部ＣＡ
    Ｍによって指示される最近最も多く使用したキャッシュ・メモリ要素を利用した
    利用の最新性に基づいてＣＡＭが順序付けられるように、前記ＣＡＭコントロー
    ラが形成されることを特徴とする請求項１０６記載のキャッシュ・システム。
  108. 【請求項１０８】 最初に処理されるキャッシュ・メモリ・エントリである
    最近最も少なく利用したエントリを利用して、キャッシュ・メモリ要素の置換が
    、利用の最新性とは逆の順序に従って行われることを特徴とする請求項１０７記
    載のキャッシュ・システム。
  109. 【請求項１０９】 各メモリ要素がメモリのページであることを特徴とする
    請求項１０５記載のキャッシュ・システム。
  110. 【請求項１１０】 各キャッシュ・メモリ要素が、それがダーティであるか
    否かの指標と共に提供され、前記ＣＡＭコントローラは、前記のダーティな内容
    を前記外部メモリにバック・アップすることによって、ダーティ・キャッシュ・
    メモリ要素をクリーニングするように形成されることを特徴とする請求項１０５
    記載のキャッシュ・システム。
  111. 【請求項１１１】 ＬＲＵ置換手法に従ってキャッシュ内容が置換される必
    要が生じるまで、キャッシュ・メモリ要素の内容がクリーニング後も維持される
    ことを特徴とする請求項１１０記載のキャッシュ・システム。
  112. 【請求項１１２】 各キャッシュ・メモリ要素が、それがダーティであるか
    否かの指標と共に提供され、前記ＣＡＭコントローラは、前記のダーティな内容
    を前記外部メモリにバック・アップすることによって、ダーティ・キャッシュ・
    メモリ要素をクリーニングするように形成されることを特徴とする請求項１０６
    記載のキャッシュ・システム。
  113. 【請求項１１３】 前記ＣＡＭコントローラが、前記キャッシュ・メモリ要
    素の内容を置換するのに先立って、ダーティ・キャッシュ・メモリ要素をクリー
    ニングするよう形成されることを特徴とする請求項１１２記載のキャッシュ・シ
    ステム。
  114. 【請求項１１４】 前記ＣＡＭコントローラが、前記キャッシュ・メモリ要
    素の内容を置換するのに先立って、ダーティ・キャッシュ・メモリ要素をクリー
    ニングするよう形成されることを特徴とする請求項１１３記載のキャッシュ・シ
    ステム。
  115. 【請求項１１５】 各キャッシュ・メモリ要素が、それがダーティであるか
    否かの指標と共に提供され、前記ＣＡＭコントローラは、前記のダーティな内容
    を前記外部メモリにバック・アップすることによって、利用の最新性とは逆の順
    序で、ダーティ・キャッシュ・メモリ要素をクリーニングするように形成される
    ことを特徴とする請求項１０７記載のキャッシュ・システム。
  116. 【請求項１１６】 利用の最新性とは逆の順序のクリーニングが、前記キャ
    ッシュ・コントローラがアイドルのときはいつでも自動的に行われることを特徴
    とする請求項１１５記載のキャッシュ・システム。
  117. 【請求項１１７】 外部メモリの１つ又はそれ以上の要素を探索するキャッ
    シュ・システムであって： （ａ） 前記外部メモリに結合された１組のキャッシュ・メモリ要素であって
    、各キャッシュ・メモリ要素は前記外部メモリの要素を入力するための入力ポー
    トを含み、前記外部メモリの要素の入力を格納するよう形成される１組のキャッ
    シュ・メモリ要素；および （ｂ） キャッシュ・メモリ要素の１つに対するアドレスおよびポインタを含
    む１組の内容アドレス可能なメモリ・セル（ＣＡＭ）であって、前記入力がＣＡ
    Ｍセル内のアドレスと同一である場合にＣＡＭが一致出力をアサートする入力を
    有する一致回路を含むところの１組の内容アドレス可能なメモリ・セル； を有し、特定のＣＡＭが指示するキャッシュ・メモリ要素が時間と共に変化す
    ることを特徴とするキャッシュ・システム。
  118. 【請求項１１８】 ＣＡＭが上部から下部への順序で結合され、下部ＣＡＭ
    が最近最も少なく利用したキャッシュ・メモリ要素を指示することを特徴とする
    請求項１１７記載のキャッシュ・システム。
  119. 【請求項１１９】 コンピュータ・ネットワーク上の接続点を介して通過す
    る総てのパケットを検査するパケット・モニタであって、当該パケット・モニタ
    は： （ａ） 前記接続点に結合され、前記接続点を介して通過するパケットを受信
    するよう形成されるパケット捕捉装置；および （ｂ） 受信したパケットが所属する以前遭遇した会話フローに関する１つ又
    はそれ以上のフロー・エントリより成るデータベースを格納するメモリ； （ｃ） 前記パケット捕捉装置に結合され、受信したパケットが前記フロー・
    エントリ・データベースに属するか否かを探索するように、および前記パケット
    がフロー・エントリに属する場合に前記受信したパケットに対して前記フローの
    状態を判定するように形成される探索エンジン； （ｄ） 前記探索エンジンに結合され、前記受信したパケットが前記フロー・
    エントリ・データベース内のフローに属しない場合に、フローの状態を判定する
    状態判定機構；および （ｅ） 前記探索エンジンおよび前記状態判定機構に結合され、前記パケット
    が既存のパケットからのものである場合に、前記フローの最後に遭遇した状態か
    ら始まるフローの状態に関して特定される状態作業を実行し、前記パケットが既
    存のパケットからのものである場合に、新たなフローの初期状態に要求される状
    態作業を実行するよう形成される状態プロセッサ； を有することを特徴とするパケット・モニタ。
  120. 【請求項１２０】 状態プロセッサが実行するよう形成される１組の可能な
    状態作業が、パケット部分における１つ又はそれ以上のパターンを探索すること
    を含む特徴とする請求項１１９記載のモニタ。
  121. 【請求項１２１】 前記モニタが、前記接続点を通過する総てのパケットを
    リアル・タイムで処理することを特徴とする請求項１２０記載のモニタ。
  122. 【請求項１２２】 前記状態プロセッサがプログラム可能であり、前記モニ
    タが更に前記状態プロセッサに結合した状態パターン／作業メモリを含み、前記
    状態作業メモリが状態パターン／作業のデータベースを格納することを特徴とす
    る請求項１２０記載のモニタ。
  123. 【請求項１２３】 前記パケット捕捉装置，前記状態プロセッサおよび前記
    探索エンジンに結合されるバッファを更に有し、前記バッファは前記受信したパ
    ケットの少なくとも選択された部分を受け入れるよう形成されることを特徴とす
    る請求項１１９記載のモニタ。
  124. 【請求項１２４】 前記状態プロセッサが、バッファ内容の中でＮＲユニッ
    トの参照ストリングを探索するよう形成された探索装置を含み、当該探索装置が
    ： （ｉ） 第１参照ストリングの前記ＮＲユニットを受信するよう形成された第
    １参照ストリング・レジスタ； （ｉｉ） 直列に結合され、前記バッファに結合された１つ又はそれ以上のタ
    ーゲット・データ・レジスタであって、前記ターゲット・データ・レジスタは前
    記バッファからその内容を受信するよう形成される１つ又はそれ以上のターゲッ
    ト・データ・レジスタ；および （ｉｉｉ） 第１の複数の比較器群であって、ある比較器群は前記ターゲット
    ・データ・レジスタ内の各々の開始点に対応し、特定の開始位置からの比較器群
    が、前記第１参照レジスタの各ユニットと前記特定の開始位置から始まる前記タ
    ーゲット・データ・レジスタのＮＲユニットとに結合され、前記第１参照レジス
    タ内容と、前記特定の開始位置から始まる前記ターゲット・データ・レジスタの
    ＮＲ個の隣接するユニットの対応する内容とを比較するところの第１の複数の比
    較器群； を有し、各比較器群が、その対応する異なる開始位置から始まる前記ターゲッ
    ト・データの中で前記第１参照ストリングの一致の有無を示し， これにより、前記第１の複数の比較器群が、任意の開始位置で始まる前記ター
    ゲット・データ・レジスタ内に前記第１参照ストリングが含まれているか否かを
    並列に示すことを特徴とする請求項１２３記載のモニタ。
  125. 【請求項１２５】 コンピュータ・ネットワーク上の接続点を介して通過す
    るパケットの内容を処理するよう形成されたプロセッサであって、当該プロセッ
    サは： （ａ） 前記接続点を介して通過する各パケットの前記内容の少なくとも一部
    を受信するバッファ； （ｂ） 前記状態プロセッサに対する命令群の内の１つ又はそれ以上の命令を
    含むメモリ； （ｃ） 前記バッファに結合される算術論理装置（ＡＬＵ）； （ｄ） 前記ＡＬＵおよび前記命令メモリに結合され命令をデコードする制御
    ブロック；および （ｅ） 前記命令メモリおよび前記ＡＬＵに結合され、前記メモリ内の処理を
    行う次の状態プロセッサ命令を示すプログラム・カウンタ； を有し、前記ＡＬＵは、パケットの内容の中で参照ストリングを探索する１つ
    又はそれ以上の比較器より成る探索装置を含むことを特徴とするプロセッサ。
  126. 【請求項１２６】 前記状態プロセッサが、前記接続点を介して通過する全
    パケットの内容をリアル・タイムで処理することを特徴とする請求項１２５記載
    のプロセッサ。
  127. 【請求項１２７】 前記命令群が、前記ＡＬＵ内の前記探索装置に対して、
    前記パケットの範疇で未知の位置から始まるパケット中の特定の参照ストリング
    を探索することを求める命令を含むことを特徴とする請求項１２５記載のプロセ
    ッサ。
  128. 【請求項１２８】 前記探索装置が、パケットの内容中の任意の参照ストリ
    ングを探索し、前記命令群が、前記ＡＬＵ内の前記探索装置に対して、前記パケ
    ットの範疇で未知の位置から始まるパケット中の特定の参照ストリングを探索す
    ることを求める命令を含むことを特徴とする請求項１２５記載のプロセッサ。
  129. 【請求項１２９】 前記ターゲット・データ内の任意の開始位置から始まる
    ターゲット・データ中のＮＲユニットの参照ストリングを探索するよう形成され
    た探索装置であって、当該探索装置は： （ａ） 第１参照ストリングの前記ＮＲユニットを受信するよう形成された第
    １参照レジスタ； （ｂ） 直列に結合され前記ターゲット・データを受信する１つ又はそれ以上
    のターゲット・データ・レジスタ；および （ｃ） 第１の複数の比較器群であって、ある比較器群は前記開始点の各々に
    対応し、特定の開始位置からの比較器群が、前記第１参照レジスタの各ユニット
    と前記特定の開始位置から始まる前記ターゲット・データ・レジスタのＮＲユニ
    ットとに結合され、前記第１参照レジスタ内容と、前記特定の開始位置から始ま
    る前記ターゲット・データ・レジスタのＮＲ個の隣接するユニットの対応する内
    容とを比較するところの第１の複数の比較器群； を有し、各比較器群が、その対応する異なる開始位置から始まる前記ターゲッ
    ト・データの中で前記第１参照ストリングの一致の有無を示し， これにより、前記第１の複数の比較器群が、任意の開始位置で始まる前記ター
    ゲット・データ・レジスタ内に前記第１参照ストリングが含まれているか否かを
    並列に示すことを特徴とする探索装置。
  130. 【請求項１３０】 １組の可能な開始位置が、Ｎｓｔａｒｔ個の位置を含み
    、前記１つ又はそれ以上のターゲット・データ・レジスタが直列に結合され前記
    ターゲット・データの少なくともＮＲ＋Ｎｓｔａｒｔ−１個のユニットを受信し
    、前記第１の複数の比較器群が、Ｎｓｔａｒｔ個の比較器群、Ｎｓｔａｒｔ個の
    開始位置の各々に関する１つの比較器群を含むことを特徴とする請求項１２９記
    載の探索装置。
  131. 【請求項１３１】 前記ターゲット・データ・レジスタの各々は、データの
    Ｎｓｔａｒｔ個のユニットを保持することを特徴とする請求項１３０記載の探索
    装置。
  132. 【請求項１３２】 前記ターゲット・データのＮｓｔａｒｔユニットが前記
    ターゲット・データ・レジスタ内に１クロック・サイクルでクロック入力され、
    前記第１の複数の比較器群が、前記第１参照ストリングが、Ｎｓｔａｒｔ個の開
    始位置の何れかにおいて開始するターゲット領域中のものであるか否かを１クロ
    ック・サイクルで示すことを特徴とする請求項１３１記載の探索装置。
  133. 【請求項１３３】 更に、オフセットＮｏｆｆｓｅｔを特定するための機構
    を有し、第１の動作クロック・サイクルにおいて、前記第１の複数の比較器群が
    、前記第１参照ストリングが、第１Ｎｏｆｆｓｅｔ開始位置の後に始まる前記第
    １データの任意のＮｓｔａｒｔ−Ｎｏｆｆｓｅｔ開始位置で始まるターゲット・
    データ領域中のものであるか否かを、前記第１クロック・サイクルで示すように
    第１のＮｏｆｆｓｅｔ開始位置が無視され、以後のクロック・サイクルにおいて
    総てのＮｓｔａｒｔ開始位置が処理され， １つ又はそれ以上のクロック・サイクルにおいて、前記探索装置が、第１のＮ
    ｏｆｆｓｅｔユニット以外の任意の場所で始まるターゲット・データ中に前記第
    １参照ストリングがあるか否かを示すことを特徴とする請求項１３２記載の探索
    装置。
  134. 【請求項１３４】 各比較器群が、ＮＲ個の隣接する比較器を有し、各比較
    器は参照ユニット入力，ターゲット・ユニット入力および一致を示す出力を有し
    、前記参照およびターゲット・データ入力が一致し先行する比較器の出力が一致
    を示す場合に比較器の出力がアサートされるように、各比較器は先行する比較器
    の出力に結合されることを特徴とする請求項１２９記載の探索装置。
  135. 【請求項１３５】 更に： （ｄ） １つ又はそれ以上の更なる参照ストリングのＮＲユニットを受信する
    １つ又はそれ以上の更なる参照レジスタ；および （ｅ） 1つ又はそれ以上の更なる複数の比較器群であって、対応する複数の
    開始位置の各々について１つの比較器群があり、更なる複数のうちの特定の比較
    器群の各々が、対応する更なる参照レジスタの各ユニットと前記特定の比較器群
    の開始位置から始まる前記データ・レジスタのＮＲユニットとに結合され、対応
    する更なる参照レジスタ内容と、前記特定の比較器群の開始位置から始まる前記
    ターゲット・データ・レジスタのＮＲ個ユニットとを比較するところの1つ又は
    それ以上の更なる複数の比較器群； を有し、前記探索装置が、任意の開始位置から始まる前記ターゲット・データ
    ・レジスタの内容において、ＮＲユニットの前記第１又は更なる参照ストリング
    を探索することを特徴とする請求項１２９記載の探索装置。
  136. 【請求項１３６】 各比較器群が、ＮＲ個の隣接する比較器を有し、各比較
    器は参照ユニット入力，ターゲット・データ・ユニット入力および一致を示す出
    力を有し、前記参照およびターゲット・データ入力が一致し先行する比較器の出
    力が一致を示す場合に比較器の出力がアサートされるように、各比較器は先行す
    る比較器の出力に結合されることを特徴とする請求項１３５記載の探索装置。
  137. 【請求項１３７】 各比較器群が、ＮＲ個の隣接する比較器を有し、各比較
    器は参照ユニット入力，ターゲット・データ・ユニット入力，イネーブル入力お
    よび一致を示す出力を有し、前記参照およびターゲット・データ入力が一致しイ
    ネーブル入力がアサートされる場合に比較器の出力がアサートされ、 特定の開始位置に関する特定の比較器群に対して、隣接する比較器の参照入力
    が前記参照レジスタの隣接するユニットに結合され、隣接する比較器のターゲッ
    ト・データ入力が、特定の開始位置から始まるターゲット・データ・レジスタの
    隣接するユニットに結合され、第1の比較器群がイネーブルされ、各比較器のイ
    ネーブル入力が先行する比較器の出力に結合され、参照ストリングのＮＲユニッ
    トおよび前記ターゲット・データのＮＲユニットが合致する場合に、最後の比較
    器の出力がアサートされることを特徴とする請求項１２９記載の探索装置。
  138. 【請求項１３８】 １ユニットが１バイトであることを特徴とする請求項１
    ２９記載の探索装置。
  139. 【請求項１３９】 前記比較器群の最終比較出力が、前記ターゲット・デー
    タ中に前記参照ストリングの一致が生じたか否かおよびその場所を示す出力を有
    する優先選択器に結合されることを特徴とする請求項１３７記載の探索装置。
  140. 【請求項１４０】 ＮＲが１６バイトであることを特徴とする請求項１３８
    記載の探索装置。
  141. 【請求項１４１】 ＮＲが１６バイトであり、データ・レジスタの各々がＮ
    ｓｔａｒｔバイトであり、前記探索装置が前記第１データ・レジスタ内の何れか
    から開始して一致を示すことを特徴とする請求項１３０記載の探索装置。
  142. 【請求項１４２】 ターゲット・データストリーム内のＮＲユニットの参照
    ストリングを探索するよう形成された探索装置であって、当該探索装置は： （ａ） 入力のＮＲ個の対、および前記入力のＮＲ個の対の各対の一致を示す
    出力を有する第１のＮＲユニットの比較器； （ｂ） 前記参照ストリングの値を示し行列の第１軸を定めるＮＲ個の接続部
    であって、さらにＮＲ個の接続部は、前記第１の軸に垂直な行列の第２の軸を定
    める前記ターゲット・データの値を示し、ターゲット・データ接続部は、前記タ
    ーゲット・データの第１の開始位置から始まり、終了位置で終了するところのＮ
    Ｒ個の接続部； を有し、前記ターゲット・データのＮＲ個の接続部が、ＮＲ個の参照ストリン
    グの接続部と比較されるように、第１の比較器が前記行列の対角線に沿って方向
    付けられることを特徴とする探索装置。
  143. 【請求項１４３】 更に： １つ又はそれ以上の並列に隣接する付加的な接続部であって、前記行列におい
    て前記ターゲット・データ接続部に隣接し、前記終了位置から開始するところの
    接続部；および 前記付加的なターゲット・データ接続部の各々に対して及びそれらに対応する
    付加的なＮＲユニットの比較器であって、各付加的な比較器は前記第１比較器に
    並列しており、前記行列において前記付加的なターゲット接続部に向かってシフ
    トされるところの付加的なＮＲユニットの比較器； を有し、各付加的な比較器が、前記参照ストリングを、異なる開始点から始ま
    る前記ターゲット・データのＮＲユニット連続値の異なる組と比較することを特
    徴とする請求項１４２記載の探索装置。
  144. 【請求項１４４】 更に： １つ又はそれ以上のＮＲユニットの更なる比較器群；および ＮＲユニットの更なる比較器群に対応する更なる比較器群であって、前記更な
    る接続部が１つ又はそれ以上の行列を定め、前記第１軸に沿う更なる接続部の各
    々が、前記第１軸に沿う更なる参照ストリングに対応する１つ又はそれ以上の値
    を示し、ＮＲ個の接続部が前記第２軸に沿う前記ターゲット・データの値を含む
    ところの更なる比較器群； を有し、付加的な比較器群の各々が、前記参照ストリングの対応するものと、
    異なる開始位置から開始するターゲット・データのＮＲ個の隣接する値の異なる
    組を比較することを特徴とする請求項１４３記載の探索装置。
JP2001507214A 1999-06-30 2000-06-30 ネットワークにおけるトラフィックを監視する方法および装置 Pending JP2003524317A (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US14190399P 1999-06-30 1999-06-30
US60/141,903 1999-06-30
PCT/US2000/018330 WO2001001272A2 (en) 1999-06-30 2000-06-30 Method and apparatus for monitoring traffic in a network

Related Child Applications (2)

Application Number Title Priority Date Filing Date
JP2010177158A Division JP5517821B2 (ja) 1999-06-30 2010-08-06 ネットワークにおけるトラフィックを監視する方法および装置
JP2010177157A Division JP5238769B2 (ja) 1999-06-30 2010-08-06 ネットワークにおけるトラフィックを監視する方法および装置

Publications (2)

Publication Number Publication Date
JP2003524317A true JP2003524317A (ja) 2003-08-12
JP2003524317A5 JP2003524317A5 (ja) 2007-09-06

Family

ID=22497736

Family Applications (4)

Application Number Title Priority Date Filing Date
JP2001507214A Pending JP2003524317A (ja) 1999-06-30 2000-06-30 ネットワークにおけるトラフィックを監視する方法および装置
JP2010177158A Expired - Lifetime JP5517821B2 (ja) 1999-06-30 2010-08-06 ネットワークにおけるトラフィックを監視する方法および装置
JP2010177157A Expired - Lifetime JP5238769B2 (ja) 1999-06-30 2010-08-06 ネットワークにおけるトラフィックを監視する方法および装置
JP2013206575A Expired - Lifetime JP5850896B2 (ja) 1999-06-30 2013-10-01 ネットワークにおけるトラフィックを監視する方法および装置

Family Applications After (3)

Application Number Title Priority Date Filing Date
JP2010177158A Expired - Lifetime JP5517821B2 (ja) 1999-06-30 2010-08-06 ネットワークにおけるトラフィックを監視する方法および装置
JP2010177157A Expired - Lifetime JP5238769B2 (ja) 1999-06-30 2010-08-06 ネットワークにおけるトラフィックを監視する方法および装置
JP2013206575A Expired - Lifetime JP5850896B2 (ja) 1999-06-30 2013-10-01 ネットワークにおけるトラフィックを監視する方法および装置

Country Status (8)

Country Link
US (3) US6665725B1 (ja)
EP (4) EP1788489A1 (ja)
JP (4) JP2003524317A (ja)
CN (6) CN1312892C (ja)
AT (2) ATE496341T1 (ja)
AU (1) AU775495B2 (ja)
DE (2) DE60045529D1 (ja)
WO (1) WO2001001272A2 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018513428A (ja) * 2015-01-09 2018-05-24 インテル・コーポレーション データのパーティション化および変換の方法および装置
JP2020530151A (ja) * 2017-08-01 2020-10-15 エイアールエム リミテッド データ処理装置における連続値の照合
JP2021529470A (ja) * 2018-07-06 2021-10-28 コスモス・テック データストリームのプロトコルの識別

Families Citing this family (591)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6560611B1 (en) * 1998-10-13 2003-05-06 Netarx, Inc. Method, apparatus, and article of manufacture for a network monitoring system
EP1145541B1 (en) * 1998-11-24 2012-11-21 Niksun, Inc. Apparatus and method for collecting and analyzing communications data
US7174452B2 (en) * 2001-01-24 2007-02-06 Broadcom Corporation Method for processing multiple security policies applied to a data packet structure
US6952409B2 (en) * 1999-05-17 2005-10-04 Jolitz Lynne G Accelerator system and method
US6839751B1 (en) * 1999-06-30 2005-01-04 Hi/Fn, Inc. Re-using information from data transactions for maintaining statistics in network monitoring
CN1312892C (zh) * 1999-06-30 2007-04-25 倾向探测公司 用于监控网络流量的方法和设备
US6771646B1 (en) 1999-06-30 2004-08-03 Hi/Fn, Inc. Associative cache structure for lookups and updates of flow records in a network monitor
US6789116B1 (en) 1999-06-30 2004-09-07 Hi/Fn, Inc. State processor for pattern matching in a network monitor device
US6493698B1 (en) * 1999-07-26 2002-12-10 Intel Corporation String search scheme in a distributed architecture
US6970475B1 (en) * 1999-08-17 2005-11-29 At&T Corporation System and method for handling flows in a network
AU5974399A (en) * 1999-09-07 2001-04-10 Nokia Corporation Ordered delivery of intercepted data
US7263558B1 (en) 1999-09-15 2007-08-28 Narus, Inc. Method and apparatus for providing additional information in response to an application server request
SE521463C2 (sv) * 1999-09-20 2003-11-04 Ericsson Telefon Ab L M Klassificerare i ett IP nätverk med medel för att avgöra huruvida ett transmitterat flöde är ett realtidsflöde eller inte
US6882642B1 (en) * 1999-10-14 2005-04-19 Nokia, Inc. Method and apparatus for input rate regulation associated with a packet processing pipeline
US6629163B1 (en) 1999-12-29 2003-09-30 Implicit Networks, Inc. Method and system for demultiplexing a first sequence of packet components to identify specific components wherein subsequent components are processed without re-identifying components
US8074256B2 (en) * 2000-01-07 2011-12-06 Mcafee, Inc. Pdstudio design system and method
US6779120B1 (en) 2000-01-07 2004-08-17 Securify, Inc. Declarative language for specifying a security policy
US6922417B2 (en) * 2000-01-28 2005-07-26 Compuware Corporation Method and system to calculate network latency, and to display the same field of the invention
US6977936B1 (en) * 2000-04-14 2005-12-20 Agilent Technologies, Inc. Service detail records for layered communications protocols
JP4164986B2 (ja) * 2000-04-21 2008-10-15 沖電気工業株式会社 データ転送方法、ノード装置及び通信ネットワークシステム
DE60135550D1 (de) 2000-05-12 2008-10-09 Niksun Inc Sicherheitskamera für ein netzwerk
US7188188B1 (en) * 2000-05-12 2007-03-06 Webtv Networks, Inc. Methods and computer program products for providing network quality of service for World Wide Web applications
US7075926B2 (en) * 2000-05-24 2006-07-11 Alcatel Internetworking, Inc. (Pe) Programmable packet processor with flow resolution logic
US6925085B1 (en) * 2000-06-07 2005-08-02 Advanced Micro Devices, Inc. Packet classification using hash key signatures generated from interrupted hash function
JP2001352363A (ja) * 2000-06-09 2001-12-21 Ando Electric Co Ltd プロトコルアナライザ、そのプロトコル翻訳方法および記憶媒体
US20020093527A1 (en) * 2000-06-16 2002-07-18 Sherlock Kieran G. User interface for a security policy system and method
US7917647B2 (en) * 2000-06-16 2011-03-29 Mcafee, Inc. Method and apparatus for rate limiting
DE50013466D1 (de) * 2000-06-19 2006-10-26 Tektronix Berlin Gmbh & Co Kg Dekodiervorrichtung für die Analyse von Kommunikationsprotokollen
FR2812491B1 (fr) * 2000-07-25 2003-01-10 France Telecom Dispositif de controle d'acces entre des reseaux atm
ATE397346T1 (de) * 2000-07-25 2008-06-15 Juniper Networks Inc Netzwerkarchitektur und verfahren zur transparenten online-querschnittskodierung und zum transport von netzwerkkommunikationsdaten
US6856651B2 (en) * 2000-07-25 2005-02-15 Peribit Networks, Inc. System and method for incremental and continuous data compression
US7120931B1 (en) * 2000-08-31 2006-10-10 Cisco Technology, Inc. System and method for generating filters based on analyzed flow data
US8250357B2 (en) 2000-09-13 2012-08-21 Fortinet, Inc. Tunnel interface for securing traffic over a network
US20020069309A1 (en) * 2000-09-25 2002-06-06 Edward Balassanian Method and system for data metering
AU2001293080A1 (en) * 2000-09-28 2002-04-15 Symantec Corporation System and method for analyzing protocol streams for a security-related event
US6944162B1 (en) * 2000-10-03 2005-09-13 Alcatel Tuple-based lookup scheme for packet switching node
US7720959B2 (en) 2000-10-17 2010-05-18 Avaya Inc. Method and apparatus for characterizing the quality of a network path
EP1356634B1 (en) * 2000-10-17 2010-02-24 Avaya Technology Corp. Method and apparatus for performance and cost optimization in an internetwork
US7349994B2 (en) 2000-10-17 2008-03-25 Avaya Technology Corp. Method and apparatus for coordinating routing parameters via a back-channel communication medium
US8023421B2 (en) 2002-07-25 2011-09-20 Avaya Inc. Method and apparatus for the assessment and optimization of network traffic
GB2368228B (en) * 2000-10-18 2003-07-23 3Com Corp Network unit with address cache for frequently occuring network conversations
US7562134B1 (en) * 2000-10-25 2009-07-14 At&T Intellectual Property I, L.P. Network traffic analyzer
US7054930B1 (en) 2000-10-26 2006-05-30 Cisco Technology, Inc. System and method for propagating filters
US7970886B1 (en) * 2000-11-02 2011-06-28 Arbor Networks, Inc. Detecting and preventing undesirable network traffic from being sourced out of a network domain
EP1204248A1 (en) * 2000-11-06 2002-05-08 Agilent Technologies, Inc. (a Delaware corporation) Monitoring traffic in telecommunications networks
US20020131604A1 (en) * 2000-11-08 2002-09-19 Amine Gilbert A. System and method for measuring and enhancing the quality of voice communication over packet-based networks
JP3377994B2 (ja) * 2000-11-14 2003-02-17 三菱電機株式会社 データ配信管理装置およびデータ配信管理方法
US7184984B2 (en) * 2000-11-17 2007-02-27 Valaquenta Intellectual Properties Limited Global electronic trading system
US20050131802A1 (en) * 2000-11-17 2005-06-16 Arman Glodjo Method and system for network-decentralized trading with optimal proximity measures
US7970689B2 (en) * 2000-11-17 2011-06-28 Scale Semiconductor Flg, L.L.C. Single-period auctions network decentralized trading system and method
US20020103925A1 (en) * 2000-12-06 2002-08-01 Sheth Siddharth C. Generic programmable internet protocol classification technique for a broadband engine
US8762581B2 (en) * 2000-12-22 2014-06-24 Avaya Inc. Multi-thread packet processor
US7016897B2 (en) * 2000-12-29 2006-03-21 International Business Machines Corporation Authentication referral search for LDAP
US7280540B2 (en) * 2001-01-09 2007-10-09 Stonesoft Oy Processing of data packets within a network element cluster
US7193968B1 (en) * 2001-02-08 2007-03-20 Cisco Technology, Inc. Sample netflow for network traffic data collection
DE10108856C2 (de) * 2001-02-15 2003-04-24 Siemens Ag Verfahren und Anordnung zur Prüfung der Übertragungsqualität einer Sprachübertragung
US6963921B1 (en) * 2001-02-16 2005-11-08 3Com Corporation Method and apparatus for hardware assisted TCP packet re-assembly
US8219620B2 (en) 2001-02-20 2012-07-10 Mcafee, Inc. Unwanted e-mail filtering system including voting feedback
US7228342B2 (en) * 2001-02-20 2007-06-05 Sony Computer Entertainment America Inc. System for utilizing an incentive point system based on disc and user identification
US7681032B2 (en) 2001-03-12 2010-03-16 Portauthority Technologies Inc. System and method for monitoring unauthorized transport of digital content
US8478824B2 (en) * 2002-02-05 2013-07-02 Portauthority Technologies Inc. Apparatus and method for controlling unauthorized dissemination of electronic mail
US6952766B2 (en) * 2001-03-15 2005-10-04 International Business Machines Corporation Automated node restart in clustered computer system
US7191250B1 (en) * 2001-03-19 2007-03-13 Palmsource, Inc. Communication protocol for wireless data exchange via a packet transport based system
US6918051B2 (en) * 2001-04-06 2005-07-12 International Business Machines Corporation Node shutdown in clustered computer system
US20020156885A1 (en) * 2001-04-23 2002-10-24 Thakkar Bina Kunal Protocol emulator
US20020157041A1 (en) * 2001-04-23 2002-10-24 Bennett David Charles Protocol parser-code generator
US6961766B2 (en) * 2001-04-24 2005-11-01 Oracle International Corp. Method for extracting personalization information from web activity
US6993023B2 (en) * 2001-04-27 2006-01-31 The Boeing Company Parallel analysis of incoming data transmissions
US20100027430A1 (en) * 2001-04-30 2010-02-04 Netwitness Corporation Apparatus and Method for Network Analysis
WO2002088968A1 (en) * 2001-04-30 2002-11-07 Ctx Corporation Apparatus and method for network analysis
US20020165956A1 (en) * 2001-05-07 2002-11-07 Peter Phaal Traffic driven scheduling of active tests
US20020169869A1 (en) * 2001-05-08 2002-11-14 Shugart Technology, Inc. SAN monitor incorporating a GPS receiver
US8004971B1 (en) 2001-05-24 2011-08-23 F5 Networks, Inc. Method and system for scaling network traffic managers using connection keys
US7102996B1 (en) 2001-05-24 2006-09-05 F5 Networks, Inc. Method and system for scaling network traffic managers
GB2376096B (en) 2001-05-30 2005-06-29 Ibm Identification of the source of a client/server flow
US20020188732A1 (en) * 2001-06-06 2002-12-12 Buckman Charles R. System and method for allocating bandwidth across a network
US20020194363A1 (en) * 2001-06-14 2002-12-19 Cypress Semiconductor Corp. Programmable protocol processing engine for network packet devices
US7076547B1 (en) * 2001-06-21 2006-07-11 Amdocs (Israel) Ltd. System and method for network performance and server application performance monitoring and for deriving exhaustive performance metrics
JP2003006063A (ja) * 2001-06-22 2003-01-10 Nec Corp 通信監視システムおよび監視サーバ
US7181547B1 (en) 2001-06-28 2007-02-20 Fortinet, Inc. Identifying nodes in a ring network
US7095715B2 (en) 2001-07-02 2006-08-22 3Com Corporation System and method for processing network packet flows
US7308501B2 (en) * 2001-07-12 2007-12-11 International Business Machines Corporation Method and apparatus for policy-based packet classification using hashing algorithm
US6751627B2 (en) * 2001-07-23 2004-06-15 Networks Associates Technology, Inc. Method and apparatus to facilitate accessing data in network management protocol tables
US7165100B2 (en) * 2001-07-24 2007-01-16 At&T Corp. Method and apparatus for packet analysis in a network
US6826639B2 (en) * 2001-07-27 2004-11-30 Computer Access Technology Corporation Hierarchical display of multilevel protocol for communication data
US20030023739A1 (en) * 2001-07-28 2003-01-30 Lan Ngoc Vu System and method for multi-tier multi-casting over the Internet
US7506046B2 (en) * 2001-07-31 2009-03-17 Hewlett-Packard Development Company, L.P. Network usage analysis system and method for updating statistical models
US6925582B2 (en) * 2001-08-01 2005-08-02 International Business Machines Corporation Forwarding of diagnostic messages in a group
US7743119B2 (en) * 2001-08-07 2010-06-22 Motorola, Inc. System and method for mapping identification codes
US7962622B2 (en) 2001-08-07 2011-06-14 Motorola Mobility, Inc. System and method for providing provisioning and upgrade services for a wireless device
US7243163B1 (en) 2001-08-07 2007-07-10 Good Technology, Inc. System and method for full wireless synchronization of a data processing apparatus with a messaging system
US20030033519A1 (en) * 2001-08-13 2003-02-13 Tippingpoint Technologies,Inc. System and method for programming network nodes
US7089304B2 (en) * 2001-08-30 2006-08-08 Microsoft Corporation Metered Internet usage
US7765313B2 (en) * 2001-10-09 2010-07-27 Alcatel Lucent Hierarchical protocol classification engine
US6931574B1 (en) * 2001-10-24 2005-08-16 Finisar Corporation Systems and methods for interpreting communications packets
US7401326B1 (en) * 2001-10-24 2008-07-15 Finisar Corporation Compiling protocol analysis code using protocol database
US20030083847A1 (en) * 2001-10-31 2003-05-01 Schertz Richard L. User interface for presenting data for an intrusion protection system
DE10154812B4 (de) * 2001-11-08 2010-04-15 Qimonda Ag Schaltung zum Einstellen einer Signallaufzeit eines Signals auf einer Signalleitung
US20030093576A1 (en) * 2001-11-13 2003-05-15 International Business Machines Corporation Method and system for message management
US7111062B2 (en) * 2001-12-06 2006-09-19 International Business Machines Corporation Apparatus and method of generating an XML document to represent network protocol packet exchanges
US7769876B2 (en) * 2001-12-06 2010-08-03 International Business Machines Corporation Apparatus and method of using XML documents to perform network protocol simulation
US20030118022A1 (en) * 2001-12-21 2003-06-26 Chip Engines Reconfigurable data packet header processor
US7433947B1 (en) 2002-01-04 2008-10-07 Network General Technology System and method for determining real-time application verb response times
US7245623B1 (en) 2002-01-08 2007-07-17 Cisco Technology, Inc. System and method using hierarchical parallel banks of associative memories
US7421515B2 (en) * 2002-01-17 2008-09-02 Hewlett-Packard Development Company, L.P. Method and system for communications network
KR100438430B1 (ko) * 2002-01-24 2004-07-03 삼성전자주식회사 이동통신시스템에서 트래픽 플로우 탬플릿 재정렬 장치 및방법
US7225343B1 (en) * 2002-01-25 2007-05-29 The Trustees Of Columbia University In The City Of New York System and methods for adaptive model generation for detecting intrusions in computer systems
WO2003067798A2 (en) * 2002-02-04 2003-08-14 Intel Corporation State record processing
US8209756B1 (en) 2002-02-08 2012-06-26 Juniper Networks, Inc. Compound attack detection in a computer network
US7225188B1 (en) * 2002-02-13 2007-05-29 Cisco Technology, Inc. System and method for performing regular expression matching with high parallelism
US7424744B1 (en) * 2002-03-05 2008-09-09 Mcafee, Inc. Signature based network intrusion detection system and method
US6961770B1 (en) * 2002-03-12 2005-11-01 Cisco Technology, Inc. Intelligent network based application recognition
US7185365B2 (en) * 2002-03-27 2007-02-27 Intel Corporation Security enabled network access control
US20030185220A1 (en) * 2002-03-27 2003-10-02 Moshe Valenci Dynamically loading parsing capabilities
US7185336B2 (en) * 2002-04-03 2007-02-27 Hewlett-Packard Development Company, L.P. System and method for selecting and installing a device driver
US7447799B2 (en) 2002-04-24 2008-11-04 Good Technology, Inc. System and method for automatically updating a wireless device
US7599293B1 (en) 2002-04-25 2009-10-06 Lawrence Michael Bain System and method for network traffic and I/O transaction monitoring of a high speed communications network
US7254632B2 (en) * 2002-04-26 2007-08-07 P-Cube Ltd. Apparatus and method for pattern matching in text based protocol
US7359962B2 (en) * 2002-04-30 2008-04-15 3Com Corporation Network security system integration
US20030212900A1 (en) * 2002-05-13 2003-11-13 Hsin-Yuo Liu Packet classifying network services
US7376125B1 (en) 2002-06-04 2008-05-20 Fortinet, Inc. Service processing switch
US20030229710A1 (en) * 2002-06-11 2003-12-11 Netrake Corporation Method for matching complex patterns in IP data streams
US9813514B2 (en) 2002-06-12 2017-11-07 Good Technology Holdings Limited Information repository system including a wireless device and related method
US7877435B2 (en) * 2002-06-20 2011-01-25 International Business Machines Corporation Method and system for transaction pipeline decomposition
KR100497357B1 (ko) * 2002-06-26 2005-06-23 삼성전자주식회사 인터넷 프로토콜 기반 네트워크 환경에 있어서 헤더 압축및 패킷 다중화 장치와 그 방법
US7277963B2 (en) * 2002-06-26 2007-10-02 Sandvine Incorporated TCP proxy providing application layer modifications
US7243154B2 (en) * 2002-06-27 2007-07-10 Intel Corporation Dynamically adaptable communications processor architecture and associated methods
US8516034B1 (en) * 2002-07-08 2013-08-20 Good Technology Software, Inc System and method for modifying application behavior based on network bandwidth
US8260906B1 (en) * 2002-07-26 2012-09-04 Mcafee, Inc. System and method for heuristic determination of network protocols
FR2842970B1 (fr) * 2002-07-29 2005-03-18 Qosmos Procede de reconnaissance et d'analyse de protocoles dans des reseaux de donnees
US7206861B1 (en) * 2002-07-29 2007-04-17 Juniper Networks, Inc. Network traffic distribution across parallel paths
US7017186B2 (en) * 2002-07-30 2006-03-21 Steelcloud, Inc. Intrusion detection system using self-organizing clusters
US7143615B2 (en) * 2002-07-31 2006-12-05 Sun Microsystems, Inc. Method, system, and program for discovering components within a network
US8015303B2 (en) 2002-08-02 2011-09-06 Astute Networks Inc. High data rate stateful protocol processing
US7137564B2 (en) * 2002-08-09 2006-11-21 Carry Computer Eng. Co., Ltd Communication protocol for multi-functional mini-memory card suitable for small form memory interface and usb interfaces
US7228348B1 (en) 2002-08-13 2007-06-05 Finisar Corporation System and method for triggering communications data capture
US7562156B2 (en) * 2002-08-16 2009-07-14 Symantec Operating Corporation System and method for decoding communications between nodes of a cluster server
US20040039940A1 (en) * 2002-08-23 2004-02-26 Koninklijke Philips Electronics N.V. Hardware-based packet filtering accelerator
US7467406B2 (en) * 2002-08-23 2008-12-16 Nxp B.V. Embedded data set processing
US9479464B1 (en) * 2002-08-27 2016-10-25 Hewlett Packard Enterprise Development Lp Computer system and network interface with hardware based packet filtering and classification
US7359994B1 (en) * 2002-08-28 2008-04-15 Advanced Micro Devices, Inc. Split-transaction bus decoder
US7254115B1 (en) 2002-08-28 2007-08-07 Advanced Micro Devices, Inc. Split-transaction bus intelligent logic analysis tool
US7616662B2 (en) 2002-09-06 2009-11-10 Infineon Technologies Ag Parser for parsing data packets
US7072800B1 (en) * 2002-09-26 2006-07-04 Computer Associates Think, Inc. Application response monitor
US7216164B1 (en) * 2002-10-09 2007-05-08 Cisco Technology, Inc. Methods and apparatus for determining the performance of a server
JP2004133763A (ja) * 2002-10-11 2004-04-30 Fujitsu Ltd 履歴管理装置及びコンピュータプログラム
US8151278B1 (en) 2002-10-17 2012-04-03 Astute Networks, Inc. System and method for timer management in a stateful protocol processing system
US7596621B1 (en) 2002-10-17 2009-09-29 Astute Networks, Inc. System and method for managing shared state using multiple programmed processors
US7814218B1 (en) 2002-10-17 2010-10-12 Astute Networks, Inc. Multi-protocol and multi-format stateful processing
US7802001B1 (en) 2002-10-18 2010-09-21 Astute Networks, Inc. System and method for flow control within a stateful protocol processing system
AU2002952274A0 (en) * 2002-10-24 2002-11-07 Ideadata Pty Ltd A computing device and method for recording data exchanged between electronic devices
US20040088425A1 (en) * 2002-10-31 2004-05-06 Comverse, Ltd. Application level gateway based on universal parser
US7454499B2 (en) * 2002-11-07 2008-11-18 Tippingpoint Technologies, Inc. Active network defense system and method
US7277386B1 (en) 2002-11-12 2007-10-02 Juniper Networks, Inc. Distribution of label switched packets
CN100438411C (zh) * 2002-11-14 2008-11-26 华为技术有限公司 Ip设备的网络流量统计方法
FR2847404B1 (fr) * 2002-11-15 2005-03-11 Thales Sa Procede d'analyse recursive et statistique de communications reseaux
US7266120B2 (en) 2002-11-18 2007-09-04 Fortinet, Inc. System and method for hardware accelerated packet multicast in a virtual routing system
KR100523486B1 (ko) * 2002-12-13 2005-10-24 한국전자통신연구원 트래픽 측정 시스템 및 그의 트래픽 분석 방법
US7577758B2 (en) * 2002-12-20 2009-08-18 Force 10 Networks, Inc. Hardware support for wire-speed, stateful matching and filtration of network traffic
US7415596B2 (en) * 2003-01-24 2008-08-19 Gigafin Networks, Inc. Parser table/production rule table configuration using CAM and SRAM
JP3757235B2 (ja) * 2003-02-18 2006-03-22 株式会社Ａｃｃｅｓｓ ネイティブコンパイル方法、ネイティブコンパイル前処理方法、コンピュータプログラム、サーバ、通信システム、および移動体通信端末装置
AU2003233206A1 (en) * 2003-04-30 2004-11-23 Telecom Italia S.P.A. Method, system and computer program product for evaluating download performance of web pages
US7484096B1 (en) * 2003-05-28 2009-01-27 Microsoft Corporation Data validation using signatures and sampling
US7457791B1 (en) * 2003-05-30 2008-11-25 Microsoft Corporation Using invariants to validate applications states
US7093149B2 (en) * 2003-06-09 2006-08-15 Intel Corporation Tiered secondary memory architecture to reduce power consumption in a portable computer system
US7827248B2 (en) * 2003-06-13 2010-11-02 Randy Oyadomari Discovery and self-organization of topology in multi-chassis systems
US7382777B2 (en) * 2003-06-17 2008-06-03 International Business Machines Corporation Method for implementing actions based on packet classification and lookup results
US20050022017A1 (en) 2003-06-24 2005-01-27 Maufer Thomas A. Data structures and state tracking for network protocol processing
US8190722B2 (en) * 2003-06-30 2012-05-29 Randy Oyadomari Synchronization of timestamps to compensate for communication latency between devices
CN100394415C (zh) * 2003-06-30 2008-06-11 菲尼萨公司 用于捕捉感兴趣的网络数据的协议分析器系统和方法
CN100358296C (zh) * 2003-07-21 2007-12-26 华为技术有限公司 基于流量的通信性能测试方法
US7343604B2 (en) * 2003-07-25 2008-03-11 International Business Machines Corporation Methods and apparatus for creation of parsing rules
US7720095B2 (en) 2003-08-27 2010-05-18 Fortinet, Inc. Heterogeneous media packet bridging
US7346059B1 (en) * 2003-09-08 2008-03-18 Cisco Technology, Inc. Header range check hash circuit
US20050078606A1 (en) * 2003-09-11 2005-04-14 Bernstein David R. Pattern-based correlation of non-translative network segments
US20050060403A1 (en) * 2003-09-11 2005-03-17 Bernstein David R. Time-based correlation of non-translative network segments
US7539760B1 (en) 2003-09-12 2009-05-26 Astute Networks, Inc. System and method for facilitating failover of stateful connections
US20050065915A1 (en) * 2003-09-23 2005-03-24 Allen Wayne J. Method and system to add protocol support for network traffic tools
US9614772B1 (en) * 2003-10-20 2017-04-04 F5 Networks, Inc. System and method for directing network traffic in tunneling applications
US7954151B1 (en) * 2003-10-28 2011-05-31 Emc Corporation Partial document content matching using sectional analysis
US8255514B2 (en) 2003-11-04 2012-08-28 Covenant Eyes, Inc. Internet use monitoring system and method
US7617241B2 (en) * 2003-11-07 2009-11-10 Rmi Corporation Method and apparatus for enhanced hashing
US7787471B2 (en) * 2003-11-10 2010-08-31 Broadcom Corporation Field processor for a network device
JP4662944B2 (ja) 2003-11-12 2011-03-30 ザ トラスティーズ オブ コロンビア ユニヴァーシティ イン ザ シティ オブ ニューヨーク 正常データのｎグラム分布を用いてペイロード異常を検出するための装置、方法、及び媒体
US7903555B2 (en) * 2003-12-17 2011-03-08 Intel Corporation Packet tracing
US7788368B1 (en) * 2003-12-23 2010-08-31 Juniper Networks, Inc. Multicast content usage data collection and accounting
US20050149890A1 (en) * 2003-12-29 2005-07-07 Tsai Vicki W. Programming reconfigurable packetized networks
US7716314B1 (en) 2003-12-30 2010-05-11 Dinochip, Inc. Traffic management in digital signal processor
US7382778B2 (en) * 2004-01-05 2008-06-03 Tropos Networks, Inc. Link layer emulation
US7831703B2 (en) * 2004-01-07 2010-11-09 Intellinx Ltd. Apparatus and method for monitoring and auditing activity of a legacy environment
US7606894B2 (en) * 2004-01-27 2009-10-20 Ricoh Company, Ltd. Method and system for determining the type of status information to extract from networked devices in a multi-protocol remote monitoring system
US20050171937A1 (en) * 2004-02-02 2005-08-04 Hughes Martin W. Memory efficient hashing algorithm
EP1719267A4 (en) * 2004-02-24 2011-08-31 Nortel Networks Ltd METHOD AND DEVICE FOR PROVIDING SPECIALIZED APPLICATIONS IN A NETWORK
US8214875B2 (en) * 2004-02-26 2012-07-03 Vmware, Inc. Network security policy enforcement using application session information and object attributes
US8024779B2 (en) * 2004-02-26 2011-09-20 Packetmotion, Inc. Verifying user authentication
US7941827B2 (en) 2004-02-26 2011-05-10 Packetmotion, Inc. Monitoring network traffic by using a monitor device
US9584522B2 (en) 2004-02-26 2017-02-28 Vmware, Inc. Monitoring network traffic by using event log information
US8166554B2 (en) * 2004-02-26 2012-04-24 Vmware, Inc. Secure enterprise network
US7424698B2 (en) * 2004-02-27 2008-09-09 Intel Corporation Allocation of combined or separate data and control planes
US7881319B2 (en) * 2004-02-27 2011-02-01 Actix Limited Data storage and processing systems
US8051483B2 (en) 2004-03-12 2011-11-01 Fortinet, Inc. Systems and methods for updating content detection devices and systems
US20050210096A1 (en) * 2004-03-17 2005-09-22 Bishop Thomas P Method and system for agentless discovery of application infrastructure resources
US7266088B1 (en) 2004-03-24 2007-09-04 The United States Of America As Represented By The National Security Agency Method of monitoring and formatting computer network data
WO2005093576A1 (en) * 2004-03-28 2005-10-06 Robert Iakobashvili Visualization of packet network performance, analysis and optimization for design
US20050229139A1 (en) * 2004-03-30 2005-10-13 Intel Corporation Block-based processing in a packet-based reconfigurable architecture
US20050223110A1 (en) * 2004-03-30 2005-10-06 Intel Corporation Heterogeneous building block scalability
US7966658B2 (en) * 2004-04-08 2011-06-21 The Regents Of The University Of California Detecting public network attacks using signatures and fast content analysis
US7519719B2 (en) * 2004-04-15 2009-04-14 Agilent Technologies, Inc. Automatic creation of protocol dependent control path for instrument application
US7260674B2 (en) * 2004-05-25 2007-08-21 Intel Corporation Programmable parallel lookup memory
WO2005119450A2 (en) * 2004-05-28 2005-12-15 Intoto, Inc. Intelligent database selection for intrusion detection & prevention systems
US7565445B2 (en) 2004-06-18 2009-07-21 Fortinet, Inc. Systems and methods for categorizing network traffic content
US7352697B1 (en) 2004-06-23 2008-04-01 Dinochip, Inc. Network processing using fractional time stamp values
US20060004902A1 (en) * 2004-06-30 2006-01-05 Siva Simanapalli Reconfigurable circuit with programmable split adder
US10003509B2 (en) * 2004-07-14 2018-06-19 Riverbed Technology, Inc. Packet tracing
JP2006033315A (ja) * 2004-07-15 2006-02-02 Evolium Sas ネットワーク監視システム
US20060020594A1 (en) * 2004-07-21 2006-01-26 Microsoft Corporation Hierarchical drift detection of data sets
US8582567B2 (en) * 2005-08-09 2013-11-12 Avaya Inc. System and method for providing network level and nodal level vulnerability protection in VoIP networks
US7933985B2 (en) 2004-08-13 2011-04-26 Sipera Systems, Inc. System and method for detecting and preventing denial of service attacks in a communications system
US8185947B2 (en) 2006-07-12 2012-05-22 Avaya Inc. System, method and apparatus for securely exchanging security keys and monitoring links in a IP communications network
US20090094671A1 (en) * 2004-08-13 2009-04-09 Sipera Systems, Inc. System, Method and Apparatus for Providing Security in an IP-Based End User Device
US8331234B1 (en) 2004-09-08 2012-12-11 Q1 Labs Inc. Network data flow collection and processing
GB0420549D0 (en) * 2004-09-15 2004-10-20 Nokia Corp A method and entity for monitoring traffic
JP4598462B2 (ja) * 2004-09-16 2010-12-15 富士通株式会社 Ｌ２−ｖｐｎサービスを提供するプロバイダ網、及びエッジルータ
WO2006034023A2 (en) * 2004-09-16 2006-03-30 Ip Fabrics, Inc. Data plane technology including packet processing for network processors
US7451309B2 (en) 2004-09-17 2008-11-11 At&T Intellectual Property L.P. Signature specification for encrypted packet streams
US7761705B2 (en) * 2004-09-17 2010-07-20 At&T Intellectual Property I, L.P. Detection of encrypted packet streams
US7730519B2 (en) * 2004-09-17 2010-06-01 At&T Intellectual Property I, L.P. Detection of encrypted packet streams using feedback probing
US20060064748A1 (en) * 2004-09-17 2006-03-23 Aaron Jeffrey A Detection of encrypted packet streams using process variation and/or multiple processes
US8332938B2 (en) 2004-09-17 2012-12-11 At&T Intellectual Property I, L.P. Detection of encrypted packet streams using a timer
US10248917B1 (en) 2004-10-14 2019-04-02 Capital One Services, Llc System and method for developing and utilizing a contactability profile
US7552212B2 (en) * 2004-10-22 2009-06-23 International Business Machines Corporation Intelligent performance monitoring based on user transactions
US20060129634A1 (en) * 2004-11-18 2006-06-15 Microsoft Corporation Multiplexing and de-multiplexing graphics streams
WO2006101549A2 (en) 2004-12-03 2006-09-28 Whitecell Software, Inc. Secure system for allowing the execution of authorized computer program code
WO2006063118A2 (en) * 2004-12-07 2006-06-15 Pure Networks, Inc. Network management
US8675485B2 (en) * 2004-12-14 2014-03-18 Aspen Networks, Inc. Reliable ISP access cloud state detection method and apparatus
US20060149841A1 (en) * 2004-12-20 2006-07-06 Alcatel Application session management for flow-based statistics
WO2006066315A1 (en) * 2004-12-20 2006-06-29 Webtraf Research Pty Ltd Communications network monitoring system, method & apparatus
US7809826B1 (en) 2005-01-27 2010-10-05 Juniper Networks, Inc. Remote aggregation of network traffic profiling data
US7810151B1 (en) 2005-01-27 2010-10-05 Juniper Networks, Inc. Automated change detection within a network environment
US7937755B1 (en) * 2005-01-27 2011-05-03 Juniper Networks, Inc. Identification of network policy violations
US7769851B1 (en) 2005-01-27 2010-08-03 Juniper Networks, Inc. Application-layer monitoring and profiling network traffic
US7797411B1 (en) 2005-02-02 2010-09-14 Juniper Networks, Inc. Detection and prevention of encapsulated network attacks using an intermediate device
US7440407B2 (en) * 2005-02-07 2008-10-21 At&T Corp. Method and apparatus for centralized monitoring and analysis of virtual private networks
US20060187919A1 (en) * 2005-02-18 2006-08-24 Broadcom Corporation Two stage parser for a network
US7873046B1 (en) * 2005-02-24 2011-01-18 Symantec Corporation Detecting anomalous network activity through transformation of terrain
US7359919B2 (en) * 2005-03-08 2008-04-15 Microsoft Corporation Reliable request-response messaging over a request-response transport
US8072978B2 (en) * 2005-03-09 2011-12-06 Alcatel Lucent Method for facilitating application server functionality and access node comprising same
US7779340B2 (en) * 2005-03-17 2010-08-17 Jds Uniphase Corporation Interpolated timestamps in high-speed data capture and analysis
US20060215694A1 (en) * 2005-03-22 2006-09-28 Mediatek Incorporation Contention-free burst method for media access control over networks
CA2603380A1 (en) 2005-03-30 2006-10-05 Welch Allyn, Inc. Communication of information between a plurality of network elements
US7573833B2 (en) 2005-04-21 2009-08-11 Cisco Technology, Inc. Network presence status from network activity
US20060253908A1 (en) * 2005-05-03 2006-11-09 Tzu-Jian Yang Stateful stack inspection anti-virus and anti-intrusion firewall system
US7543054B1 (en) * 2005-05-20 2009-06-02 Network General Technology Minimalist data collection for high-speed network data monitoring based on protocol trees
US7899057B2 (en) 2006-04-28 2011-03-01 Jds Uniphase Corporation Systems for ordering network packets
US8107822B2 (en) * 2005-05-20 2012-01-31 Finisar Corporation Protocols for out-of-band communication
US20060262788A1 (en) * 2005-05-23 2006-11-23 Broadcom Corporation Dynamic payload header suppression extensions for IPV6
US8098657B2 (en) * 2005-05-31 2012-01-17 Broadcom Corporation System and method for providing data commonality in a programmable transport demultiplexer engine
GB2427096A (en) * 2005-06-01 2006-12-13 Agilent Technologies Inc An apparatus and method for Data Extraction.
WO2006130840A2 (en) * 2005-06-02 2006-12-07 Georgia Tech Research Corporation System and method for data streaming
CN1319332C (zh) * 2005-06-10 2007-05-30 重庆邮电学院 基于Linux内核的高速网络流量测量器及流量测量方法
US20060288096A1 (en) * 2005-06-17 2006-12-21 Wai Yim Integrated monitoring for network and local internet protocol traffic
US8438281B2 (en) * 2005-07-06 2013-05-07 Cisco Technology, Inc. Techniques for accounting for multiple transactions in a transport control protocol (TCP) payload
US7804787B2 (en) * 2005-07-08 2010-09-28 Fluke Corporation Methods and apparatus for analyzing and management of application traffic on networks
GB2428497A (en) * 2005-07-18 2007-01-31 Agilent Technologies Inc Data Packet Decoding
US20070027984A1 (en) * 2005-07-29 2007-02-01 Jorgensen Steven G Monitoring of network packets
US8533308B1 (en) 2005-08-12 2013-09-10 F5 Networks, Inc. Network traffic management through protocol-configurable transaction processing
US8392684B2 (en) 2005-08-12 2013-03-05 Silver Peak Systems, Inc. Data encryption in a network memory architecture for providing data based on local accessibility
US8171238B1 (en) 2007-07-05 2012-05-01 Silver Peak Systems, Inc. Identification of data stored in memory
US8370583B2 (en) * 2005-08-12 2013-02-05 Silver Peak Systems, Inc. Network memory architecture for providing data based on local accessibility
US8095774B1 (en) 2007-07-05 2012-01-10 Silver Peak Systems, Inc. Pre-fetching data into a memory
US20070043569A1 (en) * 2005-08-19 2007-02-22 Intervoice Limited Partnership System and method for inheritance of advertised functionality in a user interactive system
US8683334B2 (en) * 2005-08-19 2014-03-25 Intervoice Limited Partnership System and method for sharing access to service provider controls and subscriber profile data across multiple applications in a user interactive system
US7797636B2 (en) 2005-08-19 2010-09-14 Joseph Carter System and method for administering pluggable user interactive system applications
US20070047438A1 (en) * 2005-08-20 2007-03-01 Malloy Patrick J Identifying a transaction of interest within a network
US8495593B2 (en) * 2005-09-09 2013-07-23 International Business Machines Corporation Method and system for state machine translation
JP4089719B2 (ja) 2005-09-09 2008-05-28 沖電気工業株式会社 異常検出システム，異常管理装置，異常管理方法，プローブおよびそのプログラム
WO2007033344A2 (en) * 2005-09-14 2007-03-22 Sipera Systems, Inc. System, method and apparatus for classifying communications in a communications system
WO2007036067A1 (en) * 2005-09-28 2007-04-05 Intel Corporation Updating entries cached by a network processor
US8929402B1 (en) 2005-09-29 2015-01-06 Silver Peak Systems, Inc. Systems and methods for compressing packet data by predicting subsequent data
US8811431B2 (en) 2008-11-20 2014-08-19 Silver Peak Systems, Inc. Systems and methods for compressing packet data
US8489562B1 (en) 2007-11-30 2013-07-16 Silver Peak Systems, Inc. Deferred data storage
US7716577B2 (en) * 2005-11-14 2010-05-11 Oracle America, Inc. Method and apparatus for hardware XML acceleration
US7665015B2 (en) * 2005-11-14 2010-02-16 Sun Microsystems, Inc. Hardware unit for parsing an XML document
US7596745B2 (en) * 2005-11-14 2009-09-29 Sun Microsystems, Inc. Programmable hardware finite state machine for facilitating tokenization of an XML document
US7665016B2 (en) * 2005-11-14 2010-02-16 Sun Microsystems, Inc. Method and apparatus for virtualized XML parsing
WO2007062379A2 (en) * 2005-11-21 2007-05-31 Prismtech Corporation Method and apparatus for accelerating generic inter-orb protocol for a corba orb
US7869411B2 (en) * 2005-11-21 2011-01-11 Broadcom Corporation Compact packet operation device and method
US8661102B1 (en) * 2005-11-28 2014-02-25 Mcafee, Inc. System, method and computer program product for detecting patterns among information from a distributed honey pot system
CN100424638C (zh) * 2005-12-27 2008-10-08 英业达股份有限公司 在64位系统中利用32位主程序拦截64位信息的方法
US9794272B2 (en) * 2006-01-03 2017-10-17 Alcatel Lucent Method and apparatus for monitoring malicious traffic in communication networks
US8797870B2 (en) * 2006-01-05 2014-08-05 Cisco Technology, Inc. Method and system for calculation of QOV metrics
US20070171827A1 (en) * 2006-01-24 2007-07-26 Scott Mark E Network flow analysis method and system
US8565088B1 (en) 2006-02-01 2013-10-22 F5 Networks, Inc. Selectively enabling packet concatenation based on a transaction boundary
US8601160B1 (en) 2006-02-09 2013-12-03 Mcafee, Inc. System, method and computer program product for gathering information relating to electronic content utilizing a DNS server
US8576731B2 (en) 2006-02-14 2013-11-05 Jds Uniphase Corporation Random data compression scheme in a network diagnostic component
US8125906B2 (en) 2006-03-03 2012-02-28 Kiranmai Vedanabhatla Capture RCDT and SNTT SAS speed negotiation decodes in a network diagnostic component
US8769152B2 (en) 2006-02-14 2014-07-01 Jds Uniphase Corporation Align/notify compression scheme in a network diagnostic component
US8607145B2 (en) 2006-02-14 2013-12-10 Jds Uniphase Corporation Show OOB and speed negotiation data graphically in a network diagnostic component
EP1989826A4 (en) * 2006-02-14 2010-09-15 Finisar Corp DIAGNOSTIC FUNCTIONS IN AN ONLINE DEVICE
US7580974B2 (en) 2006-02-16 2009-08-25 Fortinet, Inc. Systems and methods for content type classification
US7620392B1 (en) 2006-02-27 2009-11-17 Good Technology, Inc. Method and system for distributing and updating software in wireless devices
EP1992111A2 (fr) 2006-02-28 2008-11-19 France Telecom Procede de collecte de descriptions de flux portant sur des flux relatifs a au moins un reseau client rattache a un reseau d'interconnexion
US8009673B2 (en) * 2006-03-13 2011-08-30 Freescale Semiconductor, Inc. Method and device for processing frames
US8006306B2 (en) * 2006-03-21 2011-08-23 Riverbed Technology, Inc. Exploit-based worm propagation mitigation
US8578479B2 (en) * 2006-03-21 2013-11-05 Riverbed Technology, Inc. Worm propagation mitigation
US7697537B2 (en) * 2006-03-21 2010-04-13 Broadcom Corporation System and method for using generic comparators with firmware interface to assist video/audio decoders in achieving frame sync
US8635330B2 (en) * 2006-04-24 2014-01-21 Vmware, Inc. Method and system for learning web applications
GB2438455A (en) * 2006-05-23 2007-11-28 Agilent Technologies Inc Generation of data packet decoding instructions
US8300529B2 (en) * 2006-06-14 2012-10-30 Alcatel Lucent Service-centric communication network monitoring
WO2008002590A2 (en) * 2006-06-29 2008-01-03 Sipera Systems, Inc. System, method and apparatus for protecting a network or device against high volume attacks
US8289965B2 (en) 2006-10-19 2012-10-16 Embarq Holdings Company, Llc System and method for establishing a communications session with an end-user based on the state of a network connection
US7765294B2 (en) 2006-06-30 2010-07-27 Embarq Holdings Company, Llc System and method for managing subscriber usage of a communications network
US9094257B2 (en) 2006-06-30 2015-07-28 Centurylink Intellectual Property Llc System and method for selecting a content delivery network
US8717911B2 (en) 2006-06-30 2014-05-06 Centurylink Intellectual Property Llc System and method for collecting network performance information
US8488447B2 (en) 2006-06-30 2013-07-16 Centurylink Intellectual Property Llc System and method for adjusting code speed in a transmission path during call set-up due to reduced transmission performance
WO2008008863A2 (en) 2006-07-12 2008-01-17 Sipera Systems, Inc. System, method and apparatus for troubleshooting an ip network
US8213333B2 (en) * 2006-07-12 2012-07-03 Chip Greel Identifying and resolving problems in wireless device configurations
GB2443005A (en) * 2006-07-19 2008-04-23 Chronicle Solutions Analysing network traffic by decoding a wide variety of protocols (or object types) of each packet
US8755381B2 (en) 2006-08-02 2014-06-17 Silver Peak Systems, Inc. Data matching using flow based packet data storage
US8885632B2 (en) 2006-08-02 2014-11-11 Silver Peak Systems, Inc. Communications scheduler
US7630385B2 (en) * 2006-08-04 2009-12-08 Oyadomari Randy I Multiple domains in a multi-chassis system
US8223655B2 (en) 2006-08-22 2012-07-17 Embarq Holdings Company, Llc System and method for provisioning resources of a packet network based on collected network performance information
US8576722B2 (en) 2006-08-22 2013-11-05 Centurylink Intellectual Property Llc System and method for modifying connectivity fault management packets
US8189468B2 (en) 2006-10-25 2012-05-29 Embarq Holdings, Company, LLC System and method for regulating messages between networks
US8274905B2 (en) 2006-08-22 2012-09-25 Embarq Holdings Company, Llc System and method for displaying a graph representative of network performance over a time period
US8015294B2 (en) 2006-08-22 2011-09-06 Embarq Holdings Company, LP Pin-hole firewall for communicating data packets on a packet network
US8224255B2 (en) 2006-08-22 2012-07-17 Embarq Holdings Company, Llc System and method for managing radio frequency windows
US8549405B2 (en) 2006-08-22 2013-10-01 Centurylink Intellectual Property Llc System and method for displaying a graphical representation of a network to identify nodes and node segments on the network that are not operating normally
US8064391B2 (en) 2006-08-22 2011-11-22 Embarq Holdings Company, Llc System and method for monitoring and optimizing network performance to a wireless device
US8130793B2 (en) 2006-08-22 2012-03-06 Embarq Holdings Company, Llc System and method for enabling reciprocal billing for different types of communications over a packet network
US8238253B2 (en) 2006-08-22 2012-08-07 Embarq Holdings Company, Llc System and method for monitoring interlayer devices and optimizing network performance
US8228791B2 (en) 2006-08-22 2012-07-24 Embarq Holdings Company, Llc System and method for routing communications between packet networks based on intercarrier agreements
US8144587B2 (en) 2006-08-22 2012-03-27 Embarq Holdings Company, Llc System and method for load balancing network resources using a connection admission control engine
US8619600B2 (en) 2006-08-22 2013-12-31 Centurylink Intellectual Property Llc System and method for establishing calls over a call path having best path metrics
US8407765B2 (en) 2006-08-22 2013-03-26 Centurylink Intellectual Property Llc System and method for restricting access to network performance information tables
US8307065B2 (en) 2006-08-22 2012-11-06 Centurylink Intellectual Property Llc System and method for remotely controlling network operators
US8743703B2 (en) 2006-08-22 2014-06-03 Centurylink Intellectual Property Llc System and method for tracking application resource usage
US8750158B2 (en) 2006-08-22 2014-06-10 Centurylink Intellectual Property Llc System and method for differentiated billing
US8199653B2 (en) 2006-08-22 2012-06-12 Embarq Holdings Company, Llc System and method for communicating network performance information over a packet network
US9479341B2 (en) 2006-08-22 2016-10-25 Centurylink Intellectual Property Llc System and method for initiating diagnostics on a packet network node
US7684332B2 (en) 2006-08-22 2010-03-23 Embarq Holdings Company, Llc System and method for adjusting the window size of a TCP packet through network elements
US7843831B2 (en) 2006-08-22 2010-11-30 Embarq Holdings Company Llc System and method for routing data on a packet network
US8531954B2 (en) 2006-08-22 2013-09-10 Centurylink Intellectual Property Llc System and method for handling reservation requests with a connection admission control engine
US8537695B2 (en) 2006-08-22 2013-09-17 Centurylink Intellectual Property Llc System and method for establishing a call being received by a trunk on a packet network
US8102770B2 (en) * 2006-08-22 2012-01-24 Embarq Holdings Company, LP System and method for monitoring and optimizing network performance with vector performance tables and engines
US8763007B1 (en) * 2006-08-29 2014-06-24 At&T Intellectual Property Ii, L.P. Open application interface for complex systems
US7710892B2 (en) * 2006-09-08 2010-05-04 Dominic Coupal Smart match search method for captured data frames
US7764695B2 (en) * 2006-09-25 2010-07-27 Oyadomari Randy I Arm and rollback in a multi-chassis system
WO2008045276A2 (en) * 2006-10-04 2008-04-17 Welch Allyn, Inc. Dynamic medical object information base
US8218539B2 (en) * 2006-10-18 2012-07-10 Broadcom Corporation Flexible packet field processor
WO2008052291A2 (en) * 2006-11-03 2008-05-08 Intelliguard I.T. Pty Ltd System and process for detecting anomalous network traffic
US7583674B2 (en) * 2006-11-20 2009-09-01 Alcatel Lucent Switch and method for supporting internet protocol (IP) network tunnels
WO2008061483A1 (fr) * 2006-11-24 2008-05-29 Hangzhou H3C Technologies Co., Ltd. Procédé et appareil d'identification de contenu de données
US7804774B2 (en) * 2006-12-01 2010-09-28 Sonus Networks, Inc. Scalable filtering and policing mechanism for protecting user traffic in a network
EP2090061A2 (en) * 2006-12-01 2009-08-19 Sonus Networks, Inc. Filtering and policing for defending against denial of service attacks a network
US7672336B2 (en) * 2006-12-01 2010-03-02 Sonus Networks, Inc. Filtering and policing for defending against denial of service attacks on a network
US7940657B2 (en) 2006-12-01 2011-05-10 Sonus Networks, Inc. Identifying attackers on a network
EP1931083B1 (de) 2006-12-06 2012-02-01 Tektronix International Sales GmbH System umfassend eine Dekodiervorrichtung und eine Protokollbeschreibungssprache sowie Verfahren zum Analysieren von Kommunikationsprotokollen mit einer generischen Dekodiervorrichtung.
JP4764810B2 (ja) * 2006-12-14 2011-09-07 富士通株式会社 異常トラヒック監視装置、エントリ管理装置およびネットワークシステム
CA2669932A1 (en) * 2006-12-19 2008-06-26 International Business Machines Corporation Apparatus and method for analysing a network flow
US8526821B2 (en) 2006-12-29 2013-09-03 Finisar Corporation Transceivers for testing networks and adapting to device changes
US9497205B1 (en) * 2008-05-19 2016-11-15 Emc Corporation Global commonality and network logging
ES2341742B8 (es) * 2007-01-25 2011-12-29 Universitat Politècnica De Catalunya Deteccion y medida en tiempo real de flujos de elementos frecuentes en grandes poblaciones, escalable y sintonizable.
US9106606B1 (en) 2007-02-05 2015-08-11 F5 Networks, Inc. Method, intermediate device and computer program code for maintaining persistency
CA2714549A1 (en) * 2007-02-09 2008-08-14 Smobile Systems, Inc. Off-line mms malware scanning system and method
CN101247247B (zh) * 2007-02-15 2012-06-27 华为技术有限公司 一种利用呈现信息传播广告的方法、系统和服务器
EP1968235A1 (en) * 2007-03-05 2008-09-10 Psytechnics Ltd Method of data analysis in a packet switched network
US7984140B2 (en) * 2007-03-14 2011-07-19 Cisco Technology, Inc. Network response time measurements in an asymmetric routing environment
US7842214B2 (en) * 2007-03-28 2010-11-30 3M Innovative Properties Company Process for forming microporous membranes
US7788402B1 (en) 2007-05-03 2010-08-31 Xilinx, Inc. Circuit for modification of a network packet by insertion or removal of a data segment
US7990867B1 (en) 2007-05-03 2011-08-02 Xilinx, Inc. Pipeline for processing network packets
US7792117B1 (en) 2007-05-03 2010-09-07 Xilinx, Inc. Method for simulating a processor of network packets
US8284772B1 (en) 2007-05-03 2012-10-09 Xilinx, Inc. Method for scheduling a network packet processor
US7784014B1 (en) 2007-05-03 2010-08-24 Xilinx, Inc. Generation of a specification of a network packet processor
US7724684B2 (en) * 2007-05-24 2010-05-25 Modelware, Inc. System and method for designing and implementing packet processing products
US7817657B1 (en) 2007-06-14 2010-10-19 Xilinx, Inc. Circuit for processing network packets
US7669166B1 (en) 2007-06-14 2010-02-23 Xilinx, Inc. Generation of a specification of a processor of network packets
US8144702B1 (en) * 2007-06-14 2012-03-27 Xilinx, Inc. Generation of a pipeline for processing a type of network packets
US7636908B1 (en) 2007-06-14 2009-12-22 Xilinx, Inc. Generation of a specification of a network packet processor
US8700743B2 (en) * 2007-07-13 2014-04-15 Pure Networks Llc Network configuration device
US9026639B2 (en) * 2007-07-13 2015-05-05 Pure Networks Llc Home network optimizing system
US9491077B2 (en) * 2007-07-13 2016-11-08 Cisco Technology, Inc. Network metric reporting system
CA2626996A1 (en) 2007-07-23 2008-07-08 Verint Systems Inc. Dedicated network interface
US9455896B2 (en) 2007-07-23 2016-09-27 Verint Americas Inc. Dedicated network interface
US20090034423A1 (en) * 2007-07-30 2009-02-05 Anthony Terrance Coon Automated detection of TCP anomalies
WO2009018578A2 (en) * 2007-08-02 2009-02-05 Tekelec Methods, systems, and computer readable media for collecting data from network traffic traversing high speed internet protocol (ip) communication links
US8284692B2 (en) * 2007-08-02 2012-10-09 Celtro Ltd Method and system for identifying UDP communications
US7966295B2 (en) * 2007-10-10 2011-06-21 Teefonaktiebolaget L M Ericsson (Publ) System and method of mirroring a database to a plurality of subscribers
US20090106156A1 (en) * 2007-10-23 2009-04-23 Alcatel Lucent Network-based DRM enforcement
US8427966B2 (en) * 2007-10-26 2013-04-23 Jds Uniphase Corporation Programmable passive probe
CN101179810B (zh) * 2007-11-14 2012-05-23 中国移动通信集团福建有限公司 基于corba接口快速写入的hlr派单装置
US8307115B1 (en) 2007-11-30 2012-11-06 Silver Peak Systems, Inc. Network memory mirroring
US8165074B2 (en) 2007-12-03 2012-04-24 Motorola Mobility, Inc. Techniques for handling service flows in wireless communication systems
US9516128B2 (en) * 2007-12-13 2016-12-06 International Business Machines Corporation Generic remote connection to a command line interface application
US20090154363A1 (en) * 2007-12-18 2009-06-18 Josh Stephens Method of resolving network address to host names in network flows for network device
FR2925807B1 (fr) * 2007-12-20 2010-02-19 Inst Nat Rech Inf Automat Moniteur de systeme de communication par messages ameliore
US9197746B2 (en) 2008-02-05 2015-11-24 Avaya Inc. System, method and apparatus for authenticating calls
US8442052B1 (en) 2008-02-20 2013-05-14 Silver Peak Systems, Inc. Forward packet recovery
US8068425B2 (en) 2008-04-09 2011-11-29 Embarq Holdings Company, Llc System and method for using network performance information to determine improved measures of path states
US8132089B1 (en) 2008-05-02 2012-03-06 Verint Americas, Inc. Error checking at the re-sequencing stage
CN101286903B (zh) * 2008-05-06 2010-09-15 北京锐安科技有限公司 一种网络审计领域提高会话完整性的方法
CN101577704A (zh) * 2008-05-08 2009-11-11 北京东华合创数码科技股份有限公司 一种网络应用层协议识别方法和系统
US8856926B2 (en) * 2008-06-27 2014-10-07 Juniper Networks, Inc. Dynamic policy provisioning within network security devices
US10164861B2 (en) 2015-12-28 2018-12-25 Silver Peak Systems, Inc. Dynamic monitoring and visualization for network health characteristics
US9717021B2 (en) 2008-07-03 2017-07-25 Silver Peak Systems, Inc. Virtual network overlay
US8743683B1 (en) 2008-07-03 2014-06-03 Silver Peak Systems, Inc. Quality of service using multiple flows
US10805840B2 (en) 2008-07-03 2020-10-13 Silver Peak Systems, Inc. Data transmission via a virtual wide area network overlay
CN101312580B (zh) * 2008-07-11 2011-12-28 深圳国人通信有限公司 一种直放站监控中心和直放站监控方法
US8326977B2 (en) * 2008-07-16 2012-12-04 Fujitsu Limited Recording medium storing system analyzing program, system analyzing apparatus, and system analyzing method
US20100017486A1 (en) * 2008-07-16 2010-01-21 Fujitsu Limited System analyzing program, system analyzing apparatus, and system analyzing method
WO2010013098A1 (en) * 2008-08-01 2010-02-04 Alcatel Lucent Data path debugging
US8726382B2 (en) * 2008-08-20 2014-05-13 The Boeing Company Methods and systems for automated detection and tracking of network attacks
US8762515B2 (en) * 2008-08-20 2014-06-24 The Boeing Company Methods and systems for collection, tracking, and display of near real time multicast data
US8813220B2 (en) * 2008-08-20 2014-08-19 The Boeing Company Methods and systems for internet protocol (IP) packet header collection and storage
US8169434B2 (en) * 2008-09-29 2012-05-01 Microsoft Corporation Octree construction on graphics processing units
US8103764B2 (en) * 2008-10-14 2012-01-24 CacheIQ, Inc. Method and apparatus for matching trigger pattern
WO2010060480A1 (en) * 2008-11-26 2010-06-03 Telecom Italia S.P.A. Application data flow management in an ip network
US7954010B2 (en) * 2008-12-12 2011-05-31 At&T Intellectual Property I, L.P. Methods and apparatus to detect an error condition in a communication network
WO2010074620A1 (en) * 2008-12-23 2010-07-01 Telefonaktiebolaget Lm Ericsson (Publ) A method and an arrangement of identifying traffic flows in a communication network
US8218553B2 (en) * 2009-02-25 2012-07-10 Juniper Networks, Inc. Load balancing network traffic on a label switched path using resource reservation protocol with traffic engineering
US9473555B2 (en) 2012-12-31 2016-10-18 The Nielsen Company (Us), Llc Apparatus, system and methods for portable device tracking using temporary privileged access
US8259585B1 (en) 2009-04-17 2012-09-04 Juniper Networks, Inc. Dynamic link load balancing
EP2262172A1 (en) * 2009-06-10 2010-12-15 Alcatel Lucent Method and scout agent for building a source database
US8788652B2 (en) * 2009-07-27 2014-07-22 Ixia Real world network testing combining lower layer network tests, application layer tests and interdependent interactions
US9565207B1 (en) 2009-09-04 2017-02-07 Amazon Technologies, Inc. Firmware updates from an external channel
US10177934B1 (en) 2009-09-04 2019-01-08 Amazon Technologies, Inc. Firmware updates inaccessible to guests
US8887144B1 (en) 2009-09-04 2014-11-11 Amazon Technologies, Inc. Firmware updates during limited time period
US8214653B1 (en) 2009-09-04 2012-07-03 Amazon Technologies, Inc. Secured firmware updates
US8971538B1 (en) 2009-09-08 2015-03-03 Amazon Technologies, Inc. Firmware validation from an external channel
US8102881B1 (en) 2009-09-08 2012-01-24 Amazon Technologies, Inc. Streamlined guest networking in a virtualized environment
US8601170B1 (en) 2009-09-08 2013-12-03 Amazon Technologies, Inc. Managing firmware update attempts
US8300641B1 (en) 2009-09-09 2012-10-30 Amazon Technologies, Inc. Leveraging physical network interface functionality for packet processing
US8155146B1 (en) * 2009-09-09 2012-04-10 Amazon Technologies, Inc. Stateless packet segmentation and processing
US8959611B1 (en) 2009-09-09 2015-02-17 Amazon Technologies, Inc. Secure packet management for bare metal access
US8640220B1 (en) 2009-09-09 2014-01-28 Amazon Technologies, Inc. Co-operative secure packet management
US8381264B1 (en) 2009-09-10 2013-02-19 Amazon Technologies, Inc. Managing hardware reboot and reset in shared environments
EP2494744A4 (en) * 2009-10-29 2014-12-10 Telefónica S A METHOD FOR MONITORING NETWORK TRAFFIC ON THE BASIS OF DESCRIPTIVE METADATA
US20110106937A1 (en) * 2009-10-29 2011-05-05 Fluke Corporation Mixed-mode analysis
KR101292887B1 (ko) * 2009-12-21 2013-08-02 한국전자통신연구원 패킷 동일성 검사를 이용한 라우터의 패킷 스트림 모니터링 장치 및 방법
US8307052B2 (en) 2009-12-29 2012-11-06 International Business Machines Corporation Method and system for communication sessions
US8291058B2 (en) * 2010-02-19 2012-10-16 Intrusion, Inc. High speed network data extractor
IT1398339B1 (it) * 2010-03-09 2013-02-22 Dainotti Metodo e sistema per la classificazione di flussi di traffico in una rete di comunicazione dati che utilizza firme basate sul contenuto del traffico
US8649297B2 (en) * 2010-03-26 2014-02-11 Cisco Technology, Inc. System and method for simplifying secure network setup
US8724515B2 (en) 2010-03-26 2014-05-13 Cisco Technology, Inc. Configuring a secure network
EP2372962B1 (en) * 2010-03-31 2017-08-16 Alcatel Lucent Method and system for reducing energy consumption in packet processing linecards
CN101814977B (zh) * 2010-04-22 2012-11-21 北京邮电大学 利用数据流头部特征的tcp流量在线识别方法及装置
JP5447171B2 (ja) * 2010-05-14 2014-03-19 株式会社日立製作所 セッション制御装置、当該セッション制御装置に適用されるソフトウェア、セッション制御方法、およびネットワークシステム
EP2573995A4 (en) * 2010-05-19 2017-07-26 Alcatel Lucent Method and apparatus for identifying application protocol
WO2011149558A2 (en) 2010-05-28 2011-12-01 Abelow Daniel H Reality alternate
CN101834763B (zh) * 2010-06-25 2011-11-09 山东大学 高速网络环境下多类型大流并行测量方法
DE102010030811A1 (de) * 2010-07-01 2012-01-05 Endress + Hauser Flowtec Ag Automatisierte Adaption an verschiedene Industrial Ethernet Protokolle
US8848746B2 (en) * 2010-06-30 2014-09-30 Vitesse Semiconductor Corporation Packet protocol processing with precision timing protocol support
US8724473B2 (en) 2010-07-16 2014-05-13 Ixia Locating signatures in packets
US8385340B1 (en) * 2010-08-17 2013-02-26 Xilinx, Inc. Pipeline of a packet processor programmed to concurrently perform operations
US8358653B1 (en) * 2010-08-17 2013-01-22 Xilinx, Inc. Generating a pipeline of a packet processor from a parsing tree
US8428087B1 (en) 2010-09-17 2013-04-23 Amazon Technologies, Inc. Framework for stateless packet tunneling
WO2012057745A1 (en) * 2010-10-27 2012-05-03 Hewlett-Packard Development Company, L.P. Pattern detection
CN102468987B (zh) * 2010-11-08 2015-01-14 清华大学 网络流特征向量提取方法
CN101984638B (zh) * 2010-11-10 2013-05-15 河海大学常州校区 用于处理跨IPv4和IPv6网络的存储代理系统及方法
US8730826B2 (en) * 2010-11-17 2014-05-20 Ixia Testing fragment reassembly
US20120124430A1 (en) * 2010-11-17 2012-05-17 Cisco Technology, Inc. Mechanism to Prevent Escaped Associations in Multi-Association RPC Based Protocols
CN102006204B (zh) * 2010-12-09 2013-11-06 高新兴科技集团股份有限公司 一种对实时监控数据流的分布式解析系统
US8619782B2 (en) 2010-12-14 2013-12-31 International Business Machines Corporation Bidirectional packet flow transformation
US20120147892A1 (en) 2010-12-14 2012-06-14 International Business Machines Corporation Analysis of network packets using a generated hash code
US8768748B2 (en) * 2010-12-17 2014-07-01 Verizon Patent And Licensing Inc. Resource manager
US9049034B2 (en) * 2010-12-20 2015-06-02 Hewlett-Packard Development Company, L.P. Multicast flow monitoring
US8635180B2 (en) * 2011-02-06 2014-01-21 International Business Machines Corporation Multiple hash scheme for use in a pattern matching accelerator
US9292329B2 (en) * 2011-02-10 2016-03-22 Microsoft Technology Licensing, Llc Virtual switch interceptor
US8462780B2 (en) 2011-03-30 2013-06-11 Amazon Technologies, Inc. Offload device-based stateless packet processing
US10033612B2 (en) 2011-04-01 2018-07-24 Voapps, Inc. Adaptive signaling for network performance measurement, access, and control
US8976676B2 (en) * 2011-04-01 2015-03-10 Voapps, Inc. Adaptive signaling for network performance measurement, access, and control
EP2560338B1 (en) * 2011-06-13 2016-01-13 Huawei Technologies Co., Ltd. Method and apparatus for protocol parsing
US8943236B1 (en) * 2011-06-21 2015-01-27 Netlogic Microsystems, Inc. Packet scheduling using a programmable weighted fair queuing scheduler that employs deficit round robin
US8654643B2 (en) * 2011-07-27 2014-02-18 Ixia Wide field indexing for packet tracking
WO2013013720A1 (en) * 2011-07-28 2013-01-31 Telecom Italia S.P.A. Measurement on data traffic in a communication network
US8593958B2 (en) * 2011-09-14 2013-11-26 Telefonaktiebologet L M Ericsson (Publ) Network-wide flow monitoring in split architecture networks
US9130991B2 (en) 2011-10-14 2015-09-08 Silver Peak Systems, Inc. Processing data packets in performance enhancing proxy (PEP) environment
US9626224B2 (en) 2011-11-03 2017-04-18 Silver Peak Systems, Inc. Optimizing available computing resources within a virtual environment
EP2592784B1 (en) * 2011-11-14 2013-09-18 Alcatel Lucent Apparatus, method and computer program for routing data packets
US10009144B2 (en) 2011-12-15 2018-06-26 Qualcomm Incorporated Systems and methods for pre-FEC metrics and reception reports
WO2013101012A1 (en) * 2011-12-29 2013-07-04 Intel Corporation Accessing configuration and status registers for a configuration space
EP2629457A1 (en) * 2012-02-15 2013-08-21 JDS Uniphase Corporation Method and System For Network Monitoring Using Signature Packets
US9608893B2 (en) * 2012-02-27 2017-03-28 The Boeing Company Methods and systems for parsing data objects
CN102647414B (zh) * 2012-03-30 2014-12-24 华为技术有限公司 协议解析方法、设备及系统
US9356844B2 (en) 2012-05-03 2016-05-31 Intel Corporation Efficient application recognition in network traffic
US9923798B1 (en) 2012-06-28 2018-03-20 Juniper Networks, Inc. Dynamic load balancing of network traffic on a multi-path label switched path using resource reservation protocol with traffic engineering
US9009401B2 (en) * 2012-07-27 2015-04-14 International Business Machines Corporation Multi-updatable least recently used mechanism
US9143449B2 (en) * 2012-07-31 2015-09-22 Cisco Technology, Inc. Methods and apparatuses for improving database search performance
US9438517B2 (en) 2012-10-30 2016-09-06 Viavi Solutions Inc. Method and system for identifying matching packets
US9723091B1 (en) * 2012-11-09 2017-08-01 Noble Systems Corporation Variable length protocol using serialized payload with compression support
US9117502B2 (en) * 2013-02-06 2015-08-25 Fixnetix Ltd. System and method for memory management of unique alpha-numeric order identifiers subjected to hashing and truncation for mapping to limited memory space
WO2014134538A1 (en) 2013-02-28 2014-09-04 Xaptum, Inc. Systems, methods, and devices for adaptive communication in a data communication network
KR20140110157A (ko) * 2013-03-04 2014-09-17 삼성전자주식회사 시퀀스 데이터에서의 패턴 검색 방법 및 장치
US9432278B2 (en) * 2013-03-07 2016-08-30 Microsoft Technology Licensing, Llc Simulation of interactions between network endpoints
US9230213B2 (en) 2013-03-15 2016-01-05 Extreme Networks, Inc. Device and related method for scoring applications running on a network
US9256636B2 (en) 2013-03-15 2016-02-09 Extreme Networks, Inc. Device and related method for application identification
US9584393B2 (en) * 2013-03-15 2017-02-28 Extreme Networks, Inc. Device and related method for dynamic traffic mirroring policy
US9813447B2 (en) * 2013-03-15 2017-11-07 Extreme Networks, Inc. Device and related method for establishing network policy based on applications
US9130826B2 (en) * 2013-03-15 2015-09-08 Enterasys Networks, Inc. System and related method for network monitoring and control based on applications
US9172627B2 (en) 2013-03-15 2015-10-27 Extreme Networks, Inc. Device and related method for dynamic traffic mirroring
CN104077282B (zh) * 2013-03-25 2018-02-06 华为技术有限公司 处理数据的方法和装置
US9270593B2 (en) * 2013-05-09 2016-02-23 Avago Technologies General Ip (Singapore) Pte. Ltd. Prediction based methods for fast routing of IP flows using communication/network processors
US9672503B2 (en) 2013-05-21 2017-06-06 Amazon Technologies, Inc. Bandwidth metering in large-scale networks
CN111116567B (zh) * 2013-09-09 2023-10-10 中国科学院上海有机化学研究所 扎那米韦和拉那米韦的中间体及其合成方法
WO2015056095A1 (en) * 2013-10-17 2015-04-23 Marvell World Trade Ltd. Packet parsing and key generation in a network device
US9602338B2 (en) * 2013-12-20 2017-03-21 Nec Corporation System and method for network packet event characterization and analysis
US9350677B2 (en) * 2014-01-16 2016-05-24 International Business Machines Corporation Controller based network resource management
CN104954271B (zh) * 2014-03-26 2018-11-30 国际商业机器公司 Sdn网络中的数据包处理方法和装置
US9853876B1 (en) * 2014-06-13 2017-12-26 Narus, Inc. Mobile application identification in network traffic via a search engine approach
US9948496B1 (en) 2014-07-30 2018-04-17 Silver Peak Systems, Inc. Determining a transit appliance for data traffic to a software service
US9875344B1 (en) 2014-09-05 2018-01-23 Silver Peak Systems, Inc. Dynamic monitoring and authorization of an optimization device
US10146468B2 (en) * 2014-09-20 2018-12-04 Netronome Systems, Inc. Addressless merge command with data item identifier
TWI531187B (zh) * 2014-11-24 2016-04-21 財團法人工業技術研究院 晶片上網路之時序功率估算裝置與方法
US9608879B2 (en) * 2014-12-02 2017-03-28 At&T Intellectual Property I, L.P. Methods and apparatus to collect call packets in a communications network
CN105827474A (zh) * 2015-01-09 2016-08-03 丹纳赫（上海）工业仪器技术研发有限公司 网络监控方法、过滤数据包的方法及装置
US9525697B2 (en) 2015-04-02 2016-12-20 Varmour Networks, Inc. Delivering security functions to distributed networks
US9928259B2 (en) * 2015-04-21 2018-03-27 International Business Machines Corporation Deleted database record reuse
US11762989B2 (en) 2015-06-05 2023-09-19 Bottomline Technologies Inc. Securing electronic data by automatically destroying misdirected transmissions
US9483317B1 (en) 2015-08-17 2016-11-01 Varmour Networks, Inc. Using multiple central processing unit cores for packet forwarding in virtualized networks
US9614861B2 (en) 2015-08-26 2017-04-04 Microsoft Technology Licensing, Llc Monitoring the life cycle of a computer network connection
CN105515899B (zh) * 2015-12-04 2018-12-28 中国科学院信息工程研究所 一种网络模拟路由器Netflow数据生成系统及方法
US20170163664A1 (en) 2015-12-04 2017-06-08 Bottomline Technologies (De) Inc. Method to secure protected content on a mobile device
US10284460B1 (en) 2015-12-28 2019-05-07 Amazon Technologies, Inc. Network packet tracing
US11038994B2 (en) * 2016-02-10 2021-06-15 Telefonaktiebolaget Lm Ericsson (Publ) Technique for transport protocol selection and setup of a connection between a client and a server
MX2018011637A (es) 2016-03-25 2019-03-28 Voapps Inc Señalizacion adaptable para la medicion del rendimiento de la red, el acceso y el control.
US10437829B2 (en) * 2016-05-09 2019-10-08 Level 3 Communications, Llc Monitoring network traffic to determine similar content
US11163955B2 (en) 2016-06-03 2021-11-02 Bottomline Technologies, Inc. Identifying non-exactly matching text
US10432484B2 (en) 2016-06-13 2019-10-01 Silver Peak Systems, Inc. Aggregating select network traffic statistics
US10547412B2 (en) 2016-06-30 2020-01-28 Cisco Technology, Inc. System and method to measure and score application health via correctable errors
CN106302387A (zh) * 2016-07-14 2017-01-04 淮南师范学院 一种计算机网络安全的管理系统
US9967056B1 (en) 2016-08-19 2018-05-08 Silver Peak Systems, Inc. Forward packet recovery with constrained overhead
US10038622B2 (en) * 2016-09-29 2018-07-31 Nicira, Inc. Inline processing of learn actions in a virtual switch
CN106487599B (zh) * 2016-11-30 2020-02-04 上海斐讯数据通信技术有限公司 云接入控制器运行状态分布式监控的方法和系统
EP3337099A1 (en) 2016-12-13 2018-06-20 Napatech A/S A system and a method for handling data
CN106713357A (zh) * 2017-01-24 2017-05-24 南京仁谷系统集成有限公司 一种通用的网络协议解析方法
US11044202B2 (en) 2017-02-06 2021-06-22 Silver Peak Systems, Inc. Multi-level learning for predicting and classifying traffic flows from first packet data
US10257082B2 (en) 2017-02-06 2019-04-09 Silver Peak Systems, Inc. Multi-level learning for classifying traffic flows
US10771394B2 (en) 2017-02-06 2020-09-08 Silver Peak Systems, Inc. Multi-level learning for classifying traffic flows on a first packet from DNS data
US10892978B2 (en) 2017-02-06 2021-01-12 Silver Peak Systems, Inc. Multi-level learning for classifying traffic flows from first packet data
US10735221B2 (en) 2017-03-28 2020-08-04 Marvell International Ltd. Flexible processor of a port extender device
US10230621B2 (en) 2017-05-09 2019-03-12 Juniper Networks, Inc. Varying a per-hop-bandwidth constraint in multi-path label switched paths
CN107566098B (zh) * 2017-07-24 2019-10-18 清华大学 软件定义网络应用测试序列的生成方法与生成系统
US11212210B2 (en) 2017-09-21 2021-12-28 Silver Peak Systems, Inc. Selective route exporting using source type
JP7000808B2 (ja) 2017-11-14 2022-01-19 富士通株式会社 情報処理装置、情報処理方法およびプログラム
US11057352B2 (en) 2018-02-28 2021-07-06 Xaptum, Inc. Communication system and method for machine data routing
US10637721B2 (en) 2018-03-12 2020-04-28 Silver Peak Systems, Inc. Detecting path break conditions while minimizing network overhead
CN108681490B (zh) * 2018-03-15 2020-04-28 阿里巴巴集团控股有限公司 针对rpc信息的向量处理方法、装置以及设备
US10965653B2 (en) 2018-03-28 2021-03-30 Xaptum, Inc. Scalable and secure message brokering approach in a communication system
US10805439B2 (en) 2018-04-30 2020-10-13 Xaptum, Inc. Communicating data messages utilizing a proprietary network
CN110598412B (zh) * 2018-06-12 2021-12-14 杨力祥 将权力信息隔离并依托它进行权力检查的方法及计算装置
CA3105818C (en) * 2018-07-25 2023-08-22 Ab Initio Technology Llc Structured record retrieval
US10678676B2 (en) * 2018-08-08 2020-06-09 Servicenow, Inc. Playback of captured network transactions in a simulation environment
US10924593B2 (en) 2018-08-31 2021-02-16 Xaptum, Inc. Virtualization with distributed adaptive message brokering
US11108675B2 (en) 2018-10-31 2021-08-31 Keysight Technologies, Inc. Methods, systems, and computer readable media for testing effects of simulated frame preemption and deterministic fragmentation of preemptable frames in a frame-preemption-capable network
JP7348797B2 (ja) * 2018-11-09 2023-09-21 日本放送協会 パケットフロー監視装置
US10938877B2 (en) 2018-11-30 2021-03-02 Xaptum, Inc. Optimizing data transmission parameters of a proprietary network
IT201800010791A1 (it) * 2018-12-04 2020-06-04 Telecom Italia Spa Misura di prestazioni in una rete di comunicazioni a commutazione di pacchetto
US11343358B2 (en) 2019-01-29 2022-05-24 Marvell Israel (M.I.S.L) Ltd. Flexible header alteration in network devices
US10912053B2 (en) 2019-01-31 2021-02-02 Xaptum, Inc. Enforcing geographic restrictions for multitenant overlay networks
CN113615136A (zh) * 2019-03-11 2021-11-05 思杰系统有限公司 面向用户体验的路径选择
US11005729B2 (en) * 2019-03-14 2021-05-11 Juniper Networks, Inc. Satisfying service level agreement metrics for unknown applications
US11416713B1 (en) 2019-03-18 2022-08-16 Bottomline Technologies, Inc. Distributed predictive analytics data set
US11032071B2 (en) * 2019-03-29 2021-06-08 Microsoft Technology Licensing, Llc Secure and verifiable data access logging system
US11042555B1 (en) 2019-06-28 2021-06-22 Bottomline Technologies, Inc. Two step algorithm for non-exact matching of large datasets
US11269841B1 (en) 2019-10-17 2022-03-08 Bottomline Technologies, Inc. Method and apparatus for non-exact matching of addresses
US11593136B2 (en) * 2019-11-21 2023-02-28 Pensando Systems, Inc. Resource fairness enforcement in shared IO interfaces
US11973669B1 (en) 2019-12-10 2024-04-30 Cisco Technology, Inc. Statistical packet and byte counters
US11398969B2 (en) 2020-01-22 2022-07-26 Cisco Technology, Inc. Network conversation testing of flow level operations
CN113472688B (zh) * 2020-03-30 2023-10-20 瑞昱半导体股份有限公司 应用在网络装置中的电路及网络装置的操作方法
CN113746654B (zh) * 2020-05-29 2024-01-12 中国移动通信集团河北有限公司 一种IPv6地址管理和流量分析的方法和装置
US11233715B1 (en) 2020-07-14 2022-01-25 Juniper Networks, Inc. Dynamic prediction and management of application service level agreements
CN112052046A (zh) * 2020-07-24 2020-12-08 乐歌人体工学科技股份有限公司 一种针对升降装置的电机控制参数修改的方法
US11449870B2 (en) 2020-08-05 2022-09-20 Bottomline Technologies Ltd. Fraud detection rule optimization
US11677668B1 (en) * 2020-08-31 2023-06-13 National Technology & Engineering Solutions Of Sandia, Llc Transparent application-layer/os deeper packet inspector
TWI765428B (zh) * 2020-11-24 2022-05-21 啟碁科技股份有限公司 基於應用程式類別的服務品質調整方法及其系統
CN112492580B (zh) * 2020-11-25 2023-08-18 北京小米移动软件有限公司 信息处理方法及装置、通信设备及存储介质
CN112637223B (zh) * 2020-12-26 2023-03-24 曙光网络科技有限公司 应用协议识别方法、装置、计算机设备和存储介质
US11743270B2 (en) 2021-04-16 2023-08-29 Visa International Service Association Method, system, and computer program product for protocol parsing for network security
EP4113951A1 (en) * 2021-06-29 2023-01-04 Renesas Electronics Corporation Frame data processing
US11544798B1 (en) 2021-08-27 2023-01-03 Bottomline Technologies, Inc. Interactive animated user interface of a step-wise visual path of circles across a line for invoice management
US11694276B1 (en) 2021-08-27 2023-07-04 Bottomline Technologies, Inc. Process for automatically matching datasets
FR3126830A1 (fr) 2021-09-07 2023-03-10 Nano Corp Procede et système d’analyse de flux de données
CN114124758B (zh) * 2021-10-28 2023-06-06 珠海大横琴科技发展有限公司 一种流量监控的方法和装置
CN114115003B (zh) * 2021-11-12 2023-08-22 浙江银盾云科技有限公司 远程启停控制平台
US20230164165A1 (en) * 2021-11-19 2023-05-25 Paypal, Inc. Identity-based Risk Evaluation Techniques
CN114125941B (zh) * 2021-11-19 2023-08-29 深圳市欧瑞博科技股份有限公司 数据分包方法、装置、电子设备及存储介质
US20230164042A1 (en) * 2021-11-19 2023-05-25 Paypal, Inc. Component-based risk evaluation techniques using processing flow signatures
CN113904950B (zh) * 2021-12-06 2022-02-22 广东睿江云计算股份有限公司 基于流的网络监测方法、装置、计算机设备及存储介质
CN114338436A (zh) * 2021-12-28 2022-04-12 深信服科技股份有限公司 一种网络流量文件的识别方法、装置、电子设备和介质
CN114666681B (zh) * 2022-03-21 2024-05-10 厦门大学 一种有状态的带内网络遥测方法及系统
KR102565724B1 (ko) * 2023-04-06 2023-08-14 주식회사 페어리 패킷 분석 기반 사용자 단말에서 실행되는 서비스의 속성 판단방법과 이를 수행하는 사용자 단말 및 컴퓨터프로그램

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06509927A (ja) * 1992-06-17 1994-11-02 アジレント・テクノロジーズ・インク ネットワーク監視方法及び装置
JPH11163855A (ja) * 1997-11-27 1999-06-18 Nec Corp ネットワーク監視システム

Family Cites Families (113)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3949369A (en) 1974-01-23 1976-04-06 Data General Corporation Memory access technique
US4458310A (en) 1981-10-02 1984-07-03 At&T Bell Laboratories Cache memory using a lowest priority replacement circuit
US4559618A (en) 1982-09-13 1985-12-17 Data General Corp. Content-addressable memory module with associative clear
US5247693A (en) 1985-10-08 1993-09-21 The Foxboro Company Computer language structure for process control applications and method of translating same into program code to operate the computer
US4736320A (en) 1985-10-08 1988-04-05 Foxboro Company Computer language structure for process control applications, and translator therefor
US4785398A (en) * 1985-12-19 1988-11-15 Honeywell Bull Inc. Virtual cache system using page level number generating CAM to access other memories for processing requests relating to a page
JPH0769868B2 (ja) 1986-09-25 1995-07-31 松下電器産業株式会社 高速アドレス変換装置
JPS648745A (en) 1987-07-01 1989-01-12 Canon Kk Communication medium supervising system
US5101402A (en) 1988-05-24 1992-03-31 Digital Equipment Corporation Apparatus and method for realtime monitoring of network sessions in a local area network
US5060143A (en) 1988-08-10 1991-10-22 Bell Communications Research, Inc. System for string searching including parallel comparison of candidate data block-by-block
US4972453A (en) 1989-02-28 1990-11-20 At&T Bell Laboratories Autonomous expert system for directly maintaining remote telephone switching systems
US5249292A (en) 1989-03-31 1993-09-28 Chiappa J Noel Data packet switch using a primary processing unit to designate one of a plurality of data stream control circuits to selectively handle the header processing of incoming packets in one data packet stream
JPH06162083A (ja) * 1992-11-17 1994-06-10 Hitachi Ltd 文字列検索装置
US5247517A (en) 1989-10-20 1993-09-21 Novell, Inc. Method and apparatus for analyzing networks
US5497488A (en) * 1990-06-12 1996-03-05 Hitachi, Ltd. System for parallel string search with a function-directed parallel collation of a first partition of each string followed by matching of second partitions
JP2865831B2 (ja) * 1990-08-31 1999-03-08 株式会社日立製作所 並列ストリング・サーチ装置
EP0477448B1 (en) * 1990-09-28 1995-07-12 Hewlett-Packard Company Network monitoring device and system
US5249282A (en) * 1990-11-21 1993-09-28 Benchmarq Microelectronics, Inc. Integrated cache memory system with primary and secondary cache memories
US6115393A (en) 1991-04-12 2000-09-05 Concord Communications, Inc. Network monitoring
JPH05327712A (ja) * 1991-08-09 1993-12-10 Nec Corp 端末アダプタ
US5351243A (en) * 1991-12-27 1994-09-27 Digital Equipment Corporation Monitor for packets on a communications network
US5805808A (en) 1991-12-27 1998-09-08 Digital Equipment Corporation Real time parser for data packets in a communications network
JP2772604B2 (ja) 1992-10-27 1998-07-02 シャープ株式会社 データ処理システム
US5826017A (en) 1992-02-10 1998-10-20 Lucent Technologies Apparatus and method for communicating data between elements of a distributed system using a general protocol
GB9205551D0 (en) * 1992-03-13 1992-04-29 Inmos Ltd Cache memory
JP2775549B2 (ja) 1992-05-08 1998-07-16 三菱電機株式会社 連想メモリセルおよび連想メモリ回路
US5511213A (en) 1992-05-08 1996-04-23 Correa; Nelson Associative memory processor architecture for the efficient execution of parsing algorithms for natural language processing and pattern recognition
US5742760A (en) 1992-05-12 1998-04-21 Compaq Computer Corporation Network packet switch using shared memory for repeating and bridging packets at media rate
US5819028A (en) 1992-06-10 1998-10-06 Bay Networks, Inc. Method and apparatus for determining the health of a network
WO1994003856A1 (en) 1992-08-07 1994-02-17 Massachusetts Institute Of Technology Column-associative cache
JPH0696124A (ja) * 1992-09-11 1994-04-08 Sumitomo Metal Ind Ltd 情報検索装置
GB2271250B (en) 1992-10-01 1996-07-10 Digital Equipment Int Message network monitoring
EP0594196B1 (en) * 1992-10-22 1999-03-31 Cabletron Systems, Inc. Address lookup in packet data communications link, using hashing and content-addressable memory
US5375070A (en) 1993-03-01 1994-12-20 International Business Machines Corporation Information collection architecture and method for a data communications network
US5493689A (en) 1993-03-01 1996-02-20 International Business Machines Corporation System for configuring an event driven interface including control blocks defining good loop locations in a memory which represent detection of a characteristic pattern
US5365514A (en) 1993-03-01 1994-11-15 International Business Machines Corporation Event driven interface for a system for monitoring and controlling a data communications network
DE69321145T2 (de) 1993-03-20 1999-06-02 Ibm Verfahren und vorrichtung zur herausarbeitung der vermittlungsinformation aus dem kopfteil eines protokolls
US5414650A (en) 1993-03-24 1995-05-09 Compression Research Group, Inc. Parsing information onto packets using context-insensitive parsing rules based on packet characteristics
GB2276961B (en) 1993-03-30 1997-03-26 Int Computers Ltd Set-associative memory
US5862335A (en) 1993-04-01 1999-01-19 Intel Corp. Method and apparatus for monitoring file transfers and logical connections in a computer network
US5394394A (en) 1993-06-24 1995-02-28 Bolt Beranek And Newman Inc. Message header classifier
US5369605A (en) 1993-07-07 1994-11-29 Dell Usa, L.P. Incremental search content addressable memory for increased data compression efficiency
WO1995004322A1 (en) 1993-07-28 1995-02-09 3Com Corporation Network station with multiple network addresses
US5586288A (en) * 1993-09-22 1996-12-17 Hilevel Technology, Inc. Memory interface chip with rapid search capability
US5634009A (en) 1993-10-01 1997-05-27 3Com Corporation Network data collection method and apparatus
US5586266A (en) 1993-10-15 1996-12-17 International Business Machines Corporation System and method for adaptive, active monitoring of a serial data stream having a characteristic pattern
US5835726A (en) 1993-12-15 1998-11-10 Check Point Software Technologies Ltd. System for securing the flow of and selectively modifying packets in a computer network
US5606668A (en) 1993-12-15 1997-02-25 Checkpoint Software Technologies Ltd. System for securing inbound and outbound data packet flow in a computer network
GB9326476D0 (en) * 1993-12-24 1994-02-23 Newbridge Networks Corp Network
US5500855A (en) 1994-01-26 1996-03-19 International Business Machines Corporation Realtime event classification for a data communications network
US5555244A (en) * 1994-05-19 1996-09-10 Integrated Network Corporation Scalable multimedia network
JP3024901B2 (ja) * 1994-05-24 2000-03-27 三菱電機株式会社 多重化ネットワーク制御装置
US5903754A (en) 1994-06-21 1999-05-11 Microsoft Corporation Dynamic layered protocol stack
US5666514A (en) 1994-07-01 1997-09-09 Board Of Trustees Of The Leland Stanford Junior University Cache memory containing extra status bits to indicate memory regions where logging of data should occur
US5845331A (en) 1994-09-28 1998-12-01 Massachusetts Institute Of Technology Memory system including guarded pointers
US5717916A (en) * 1994-09-30 1998-02-10 Vlsi Technology, Inc. Method for providing an improved fully associative cache memory having a finite state machine and linked list structure
GB2295299B (en) 1994-11-16 1999-04-28 Network Services Inc Enterpris Enterprise network management method and apparatus
US5608662A (en) 1995-01-12 1997-03-04 Television Computer, Inc. Packet filter engine
US5680585A (en) * 1995-03-31 1997-10-21 Bay Networks, Inc. Method and apparatus for defining data packet formats
GB2301717B (en) 1995-06-02 1999-08-11 Dsc Communications Network controller for monitoring the status of a network
US5648965A (en) * 1995-07-07 1997-07-15 Sun Microsystems, Inc. Method and apparatus for dynamic distributed packet tracing and analysis
US5825774A (en) 1995-07-12 1998-10-20 3Com Corporation Packet characterization using code vectors
US5651002A (en) 1995-07-12 1997-07-22 3Com Corporation Internetworking device with enhanced packet header translation and memory
US5878420A (en) 1995-08-31 1999-03-02 Compuware Corporation Network monitoring and management system
US5568471A (en) 1995-09-06 1996-10-22 International Business Machines Corporation System and method for a workstation monitoring and control of multiple networks having different protocols
US5764638A (en) 1995-09-14 1998-06-09 Level One Communications, Inc. Method and apparatus for filtering and forwarding messages in a computer network using a last source address
US5623600A (en) * 1995-09-26 1997-04-22 Trend Micro, Incorporated Virus detection and removal apparatus for computer networks
JP3426428B2 (ja) 1995-10-27 2003-07-14 富士通株式会社 トランザクションのトレース装置
US5703877A (en) 1995-11-22 1997-12-30 General Instrument Corporation Of Delaware Acquisition and error recovery of audio data carried in a packetized data stream
US5809415A (en) * 1995-12-11 1998-09-15 Unwired Planet, Inc. Method and architecture for an interactive two-way data communication network
CN1178595A (zh) * 1995-12-14 1998-04-08 摩托罗拉公司 用来存储和显示文本的设备和方法
US5793954A (en) * 1995-12-20 1998-08-11 Nb Networks System and method for general purpose network analysis
US5761424A (en) 1995-12-29 1998-06-02 Symbios, Inc. Method and apparatus for programmable filtration and generation of information in packetized communication systems
US5732213A (en) 1996-03-22 1998-03-24 Ericsson Inc. System and method of testing open systems interconnection (OSI) layers in telecommunication networks
US5787253A (en) * 1996-05-28 1998-07-28 The Ag Group Apparatus and method of analyzing internet activity
US6243667B1 (en) * 1996-05-28 2001-06-05 Cisco Systems, Inc. Network flow switching and flow data export
US5799154A (en) 1996-06-27 1998-08-25 Mci Communications Corporation System and method for the remote monitoring of wireless packet data networks
US5749087A (en) 1996-07-30 1998-05-05 International Business Machines Corporation Method and apparatus for maintaining n-way associative directories utilizing a content addressable memory
US5850388A (en) 1996-08-02 1998-12-15 Wandel & Goltermann Technologies, Inc. Protocol analyzer for monitoring digital transmission networks
US5802054A (en) 1996-08-15 1998-09-01 3Com Corporation Atomic network switch with integrated circuit switch nodes
US5838919A (en) 1996-09-10 1998-11-17 Ganymede Software, Inc. Methods, systems and computer program products for endpoint pair based communications network performance testing
DE19636788A1 (de) * 1996-09-11 1998-03-12 Philips Patentverwaltung Filmabtaster mit Daten-Interface
US5781924A (en) * 1996-09-30 1998-07-14 Sun Microsystems, Inc. Computer caching methods and apparatus
US5721827A (en) * 1996-10-02 1998-02-24 James Logan System for electrically distributing personalized information
US5841895A (en) 1996-10-25 1998-11-24 Pricewaterhousecoopers, Llp Method for learning local syntactic relationships for use in example-based information-extraction-pattern learning
US5850386A (en) 1996-11-01 1998-12-15 Wandel & Goltermann Technologies, Inc. Protocol analyzer for monitoring digital transmission networks
US6453345B2 (en) 1996-11-06 2002-09-17 Datadirect Networks, Inc. Network security and surveillance system
US5812529A (en) 1996-11-12 1998-09-22 Lanquest Group Method and apparatus for network assessment
US6791947B2 (en) * 1996-12-16 2004-09-14 Juniper Networks In-line packet processing
JP3566478B2 (ja) * 1996-12-27 2004-09-15 キヤノン株式会社 文書セキュリティ管理システム、文書セキュリティ管理方法および文書検索装置
US6014380A (en) * 1997-06-30 2000-01-11 Sun Microsystems, Inc. Mechanism for packet field replacement in a multi-layer distributed network element
US6118760A (en) * 1997-06-30 2000-09-12 Sun Microsystems, Inc. Management of entries in a network element forwarding memory
JPH1145057A (ja) * 1997-07-28 1999-02-16 Shizuki Denki Seisakusho:Kk 電子伝言板システム
IL121898A0 (en) 1997-10-07 1998-03-10 Cidon Israel A method and apparatus for active testing and fault allocation of communication networks
US6424624B1 (en) 1997-10-16 2002-07-23 Cisco Technology, Inc. Method and system for implementing congestion detection and flow control in high speed digital network
US6330226B1 (en) 1998-01-27 2001-12-11 Nortel Networks Limited TCP admission control
US6279113B1 (en) 1998-03-16 2001-08-21 Internet Tools, Inc. Dynamic signature inspection-based network intrusion detection
US6330584B1 (en) * 1998-04-03 2001-12-11 Mmc Networks, Inc. Systems and methods for multi-tasking, resource sharing and execution of computer instructions
US6466985B1 (en) * 1998-04-10 2002-10-15 At&T Corp. Method and apparatus for providing quality of service using the internet protocol
US6097699A (en) 1998-06-05 2000-08-01 Gte Laboratories Incorporated Method and system for monitoring broadband quality of services
US6381306B1 (en) 1998-06-08 2002-04-30 Inet Technologies, Inc. System and method for monitoring service quality in a communications network
US6452915B1 (en) * 1998-07-10 2002-09-17 Malibu Networks, Inc. IP-flow classification in a wireless point to multi-point (PTMP) transmission system
US6363056B1 (en) 1998-07-15 2002-03-26 International Business Machines Corporation Low overhead continuous monitoring of network performance
US6570875B1 (en) * 1998-10-13 2003-05-27 Intel Corporation Automatic filtering and creation of virtual LANs among a plurality of switch ports
US6282570B1 (en) 1998-12-07 2001-08-28 International Business Machines Corporation Monitoring a large parallel database through dynamic grouping and sequential sampling
US6453360B1 (en) * 1999-03-01 2002-09-17 Sun Microsystems, Inc. High performance network interface
US6483804B1 (en) * 1999-03-01 2002-11-19 Sun Microsystems, Inc. Method and apparatus for dynamic packet batching with a high performance network interface
US6625657B1 (en) 1999-03-25 2003-09-23 Nortel Networks Limited System for requesting missing network accounting records if there is a break in sequence numbers while the records are transmitting from a source device
US6510509B1 (en) * 1999-03-29 2003-01-21 Pmc-Sierra Us, Inc. Method and apparatus for high-speed network rule processing
US6519568B1 (en) * 1999-06-15 2003-02-11 Schlumberger Technology Corporation System and method for electronic data delivery
CN1312892C (zh) 1999-06-30 2007-04-25 倾向探测公司 用于监控网络流量的方法和设备
US6516337B1 (en) * 1999-10-14 2003-02-04 Arcessa, Inc. Sending to a central indexing site meta data or signatures from objects on a computer network
JP2003044510A (ja) 2001-07-26 2003-02-14 Matsushita Electric Ind Co Ltd ゲートウェイ装置

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH06509927A (ja) * 1992-06-17 1994-11-02 アジレント・テクノロジーズ・インク ネットワーク監視方法及び装置
JPH11163855A (ja) * 1997-11-27 1999-06-18 Nec Corp ネットワーク監視システム

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2018513428A (ja) * 2015-01-09 2018-05-24 インテル・コーポレーション データのパーティション化および変換の方法および装置
JP2020530151A (ja) * 2017-08-01 2020-10-15 エイアールエム リミテッド データ処理装置における連続値の照合
JP7245817B2 (ja) 2017-08-01 2023-03-24 アーム・リミテッド データ処理装置における連続値の照合
JP2021529470A (ja) * 2018-07-06 2021-10-28 コスモス・テック データストリームのプロトコルの識別

Also Published As

Publication number Publication date
CN1399742A (zh) 2003-02-26
CN1312892C (zh) 2007-04-25
EP1196856B1 (en) 2011-01-19
JP2011024223A (ja) 2011-02-03
CN100405784C (zh) 2008-07-23
CN1578260A (zh) 2005-02-09
US20040083299A1 (en) 2004-04-29
CN1578259A (zh) 2005-02-09
CN1571403A (zh) 2005-01-26
WO2001001272A2 (en) 2001-01-04
CN1258723C (zh) 2006-06-07
AU6068500A (en) 2001-01-31
US6651099B1 (en) 2003-11-18
CN1571404A (zh) 2005-01-26
CN1293478C (zh) 2007-01-03
DE60045529D1 (de) 2011-02-24
JP2014042290A (ja) 2014-03-06
CN100384180C (zh) 2008-04-23
JP5238769B2 (ja) 2013-07-17
DE60045552D1 (de) 2011-03-03
US6954789B2 (en) 2005-10-11
JP5850896B2 (ja) 2016-02-03
AU775495B2 (en) 2004-08-05
ATE496341T1 (de) 2011-02-15
ATE495500T1 (de) 2011-01-15
US6665725B1 (en) 2003-12-16
EP1196856A2 (en) 2002-04-17
CN1574789A (zh) 2005-02-02
EP1791063A1 (en) 2007-05-30
WO2001001272A3 (en) 2001-09-07
EP1788489A1 (en) 2007-05-23
JP2011010341A (ja) 2011-01-13
EP1788490B1 (en) 2011-01-12
JP5517821B2 (ja) 2014-06-11
CN1293502C (zh) 2007-01-03
EP1788490A1 (en) 2007-05-23
EP1196856A4 (en) 2006-06-21

Similar Documents

Publication Publication Date Title
JP5850896B2 (ja) ネットワークにおけるトラフィックを監視する方法および装置
US6839751B1 (en) Re-using information from data transactions for maintaining statistics in network monitoring
US7299282B2 (en) State processor for pattern matching in a network monitor device
US6771646B1 (en) Associative cache structure for lookups and updates of flow records in a network monitor
US8065722B2 (en) Semantically-aware network intrusion signature generator
JPH11127198A (ja) パケット網の使用に関する情報を収集する方法及び装置
CN108400909A (zh) 一种流量统计方法、装置、终端设备和存储介质
KR100608541B1 (ko) 샘플링과 시그너쳐 검색 기능을 구비한 인터넷 프로토콜패킷 수집 장치 및 그 방법
AU2004201912B2 (en) A packet processor
Chen Designing Compact Data Structures for Network Measurement and Control
CN116847005B (zh) 报文解析方法、解析器件及网络设备
JP4669453B2 (ja) フロー情報処理装置および方法
Fowler et al. DSS: Data Stream Scan

Legal Events

Date Code Title Description
A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20070629

A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20070629

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20100118

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20100209

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20100422

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20100430

A601 Written request for extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A601

Effective date: 20100604

A602 Written permission of extension of time

Free format text: JAPANESE INTERMEDIATE CODE: A602

Effective date: 20100611

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20100806

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20101116