JP2003060727A - プロトコルデータ単位内のプロトコルパターンの識別装置及び方法 - Google Patents

Abstract

(57)【要約】 【課題】プロトコルデータ単位におけるプロトコルパタ
ーンを識別する。 【解決手段】プロトコル識別装置は、第１のステージに
おいて、潜在的なプロトコルビットパターンの組とプロ
トコルデータ単位のビットを照合して、カプセル化の第
１の層に使用されたプロトコルを識別する。次に、プロ
トコルビットパターンの第２の組と同様の照合を行う
か、先のカプセル化プロトコル内へ符号化された情報に
よるか、先の照合に基づいて装置内に符号化された最良
の推定または装置内に符号化されたユーザの推定による
かして、選択する次のカプセル化層の識別を試みる。こ
のプロセスは、ユーザが対象とする全てのカプセル化層
が識別されるまで継続する。このようにして、プロトコ
ル識別装置は、プロトコルデータ単位とパケットプロト
コルパターンとの照合に必要となる多数のパターン比較
器を大きく低減することができる。

Description

【発明の詳細な説明】 【０００１】 【発明の属する技術分野】本発明は、コンピュータネッ
トワークシステムにおいて、一般にプロトコルデータ単
位（ＰＤＵ）と呼ばれるデータのパケットやフレームを
それらのカプセル化に用いるプロトコルの点から識別
し、さらにそのように識別されたデータパケットを選択
しまたはフィルタリングすることに関する。 【０００２】 【従来の技術】最新のコンピュータネットワークは、相
互接続されたコンピュータの集合体からなる。このよう
なネットワークの主要機能は、所属コンピュータ間の情
報交換を可能にすることである。一般に、所属コンピュ
ータは、他のコンピュータがネットワーク経由で情報伝
送を試みる時点に関して制御することなく、自律的に動
作するので、一般にデータは多数のより小さな塊に分割
され、そのデータの塊がパケットまたはフレームの中に
入れられて独立して伝送される。この実施により、ネッ
トワークへのアクセスがより均等になる上に、ネットワ
ークに接続された様々なコンピュータのパケット間で衝
突が発生した場合にパケットを再送する機会が得られ
る。所与のパケットは、割り当てられたデータの部分と
パケットのフォーマットを規定する情報の他、パケット
番号やパケット送受信者のアドレスといった他の情報も
含む。データパケットのフォーマットは、予め規定され
たプロトコルによって特定される。データパケットのフ
ォーマット化は、ネットワークが階層構造をなしている
という事実により複雑なものとなっている。一般に、デ
ータパケットはそれぞれ固有のプロトコルを持つネット
ワーク層により次々と連続的にカプセル化されていく。
作成されたデータパケットは、多くの場合プロトコルデ
ータ単位（ＰＤＵ）と呼ばれる。さらに複雑なことに、
多数の異なるプロトコルがネットワークの様々な層で共
通して使用されていることがある。特定のカプセル化プ
ロトコルが使用されたことを示す任意の所与のプロトコ
ルデータ単位に付加されるビットパターンが予め指定さ
れた長さの組のから選択された長さを有する一方で、異
なるプロトコルが別の予め指定された長さの組から選択
された長さを有する場合もある。さらに、未知のプロト
コルを用いる無関係なコンピュータのグループが同じネ
ットワークに接続されて、同じネットワークを使用する
こともある。 【０００３】ネットワーク環境は、複雑で動的である。
従って、ネットワーク管理における非常に重要な作業
は、搬送する通信量の分析である。この目的のために、
プロトコル解析器が用いられる。プロトコル解析器は一
般に、様々な予め選択されたプロトコルによってカプセ
ル化されたプロトコルデータ単位の識別を試みる。この
ような識別の従来の方法は、対象プロトコルの予め定め
た組み合わせを識別するフィルタやパターン比較器の使
用に頼ってきた。プロトコルの任意の所与の組み合わせ
は、パケットをカプセル化するのに使用したプロトコル
のサブパターンを含むビットパターンを形成し、これら
のサブパターンはそれぞれプロトコルデータ単位内の特
定の固定オフセットで開始する。予測されたパターンの
組合せに一致するこれらのプロトコルデータ単位のみ
が、任意の所与のフィルタによる照合の基準を満たすも
のとして識別される。このようなフィルタは、「フラッ
トフィルタ」と呼ばれる。この技法の顕著な特徴は、対
象プロトコルの組み合わせ毎に１つのフィルタが必要で
あることである。 【０００４】従って、この手法には、多数のフィルタ、
実際には多数のビットパターン比較器を使用する必要が
あるという不利がある。例えば、ユーザがプロトコルｘ
ＧＣＰ上の音声トラフィックを含むプロトコルデータ単
位を探しているとすると、現行１３個のフラットフィル
タが必要となる。また、３つの異なるローカルエリアネ
ットワーク（ＬＡＮ）カプセル化のうちのどれが用いら
れているかをユーザが知らない場合は、１３個のフィル
タを３組、つまり合計計３９個のフラットフィルタが必
要となる。さらに、６つの異なる広域ネットワーク（Ｗ
ＡＮ）カプセル化のうちのどれがＬＡＮトラフィックの
搬送に用いられているかをユーザが知らない場合は、３
９個のフィルタを６組、つまり合計２３４個のフィルタ
用が必要となる。このような状況では、ハードウェア資
源が非常に高価かつ複雑になる。このように、ハードウ
ェア資源を設けることは非実用的である。 【０００５】また、一般のネットワーク状況では、文字
通り数百の異なるノード間を流れるデータが存在し得る
が、ユーザがデータを捕捉する対象とするのはそのうち
２つからだけである。最新ネットワークの速度と典型的
な最新ネットワーク解析器の限られたメモリ空間のため
に、プロトコルデータ単位の捕捉に割り当てられるバッ
ファ空間はすぐにオーバーランしてしまうおそれがあ
る。捕捉される大多数のプロトコルデータ単位は、ユー
ザが対象としないノードからのものであることもあり得
る。一例として、対象となる２つのノードのＩＰ（イン
ターネットプロトコル）アドレスをユーザが知ってい
て、これらの２つのノード間のデータのみを捕捉したい
とき、ユーザがネットワークの詳しい知識をもたない場
合は、上記の多数のフラットフィルタを自在に操らない
限り、プロトコルデータ単位のＩＰアドレスを識別する
ことはできない。 【０００６】 【発明が解決しようとする課題】プロトコルデータ単位
をカプセル化するのに用いる複数のプロトコルの組み合
わせを識別するより優れた技術に対する要望が存在す
る。特に、現行システムが行なっているような多数のフ
ィルタを必要としない、関連パケットのフィルタリング
を用いたこのような識別が可能なシステムに対する要望
が存在する。 【０００７】 【課題を解決するための手段】本発明は、コンピュータ
ネットワークシステムにおける可変長、多層カプセル化
プロトコルデータパケットの識別と、関連するフィルタ
リングについての新規な方法に関する。このような識別
及び関連するフィルタリングのための従来の方策は、対
象とするプロトコルの所定の組み合わせをそれぞれ識別
する多数のフラットフィルタを用いることに頼ってき
た。多くの状況では、必要となるフラットフィルタが多
数となるため、ハードウェア資源が非常に高価となり、
従ってハードウェア資源を設けることは非実用的であ
る。 【０００８】代表的な実施形態において、本発明は、コ
ンピュータネットワークプロトコルデータ単位を段階的
に識別してフィルタリングするプロトコル識別装置を使
用する技術を開示する。第１のステージにおいて、本装
置は、潜在的なプロトコルビットパターンの組とプロト
コルデータ単位のビットを照合して、カプセル化の第１
の層に使用されたプロトコルを識別する。次にプロトコ
ル識別装置は、プロトコルビットパターンの第２の組と
同様の照合を行うか、先のカプセル化プロトコル内へ符
号化された情報によるか、先の照合に基づいて装置内に
符号化された最良の推定または装置内に符号化されたユ
ーザの推定によるかして、選択する次のカプセル化層の
識別を試みる。このプロセスは、ユーザが対象とする全
てのカプセル化層が識別されるまで継続する。このよう
なパターンは、それぞれ異なる長さとすることができ
る。しかし、一旦任意の所与のプロトコルカプセル化層
が識別されると、本装置は、次のプロトコルパターンの
検索を開始するためにプロトコルデータ単位内にどの程
度分け入ってインデックス付けすべきかを知る。このプ
ロセスは、所与の実装の制約内であれば、必要なだけ何
度でも繰り返すことができる。 【０００９】任意の所与のプロトコル層のパターンの数
を簡単に並列検索し比較できるようにするために、テー
ブル参照方式が使用される。プロトコル識別装置は、プ
ロトコルデータ単位内のどの箇所で最後に照合したプロ
トコルパターンの終端が生じたかを知っているので、次
のパターン照合の試みを開始する箇所も知っている。 【００１０】開示する技法は、ステージの概念を利用す
る。プロトコル識別装置は、各ステージ内で、プロトコ
ルカプセル化の１つの層について、プロトコルデータ単
位ビットと予め定義されたパターンビットとの間のパタ
ーンの一致を発見するよう試みる。一旦発見すると、装
置は自らリセットし、次のカプセル化層についての新規
の検索を開始する。 【００１１】代表的な実施形態では、開示する技法はプ
ロトコルデータ単位を段階的に検索することと考えるこ
とができる。各ステージは、典型的に予め割り当てられ
た番号を有する。プロトコルデータ単位の検索は、例え
ばステージ番号０において開始され、そのステージによ
る検索が完了すると、現在のステージ検索結果に基づい
て新しいステージが選択される。このプロセスは、プロ
トコルデータ単位の終端に達するまで、またはそれ以上
のプロトコルデータ単位の検索が不要であると制止され
るまで継続される。 【００１２】プロトコルデータ単位のバイトは、例えば
バイト０から始まって検索される。このステージは、ス
テージを終了させるパターンが発見されるまでプロトコ
ルデータ単位のバイトを消費するものと考えることがで
きる。次のステージは、最後のステージが終了したバイ
トを消費することから開始する。選択的に、パターン内
で照合する必要のないバイトをスキップすることで、こ
の処理に対して性能の向上を図ることができる。スキッ
プすべきバイトはテーブル内に予めプログラムされ、そ
のテーブルがシステムによって使用されて不要なバイト
をスキップする。 【００１３】代表的な実施形態では、任意の所与のステ
ージにおけるプロトコルパターン検索に用いられる方法
及び装置は、連続するステージ検索のそれぞれのために
繰り返し使用される。予めプログラムされた「パターン
参照テーブル」を使用して、現在のステージについてプ
ロトコルデータ単位の特定部分に特定のカプセル化が存
在するか否かが判定される。パターン参照テーブルの一
部は、現在のステージ番号と検索中のプロトコルデータ
単位バイト番号について予めプログラムされおり、イン
デックス付けがなされる。代表例では、「パターン参
照」テーブルのこの部分は２５６個のエントリを有して
おり、その１つ１つがプロトコルデータ単位の現在のバ
イトのとり得る値を有する。プロトコルデータ単位の現
在のバイトの実際の値に対応するエントリは、テーブル
から読み込まれる。パターン参照テーブルから読み込ま
れた値は、ＡＮＤを取られステージ蓄積器へ蓄積され
る。この蓄積器は通常ステージの始まりで全て１に初期
化される。 【００１４】このステージ蓄積器の値の各ビットは、そ
れぞれ割り当てられたパターン番号を有する。そのステ
ージ蓄積器ビットがセットされ、そのステージがプロト
コルデータ単位内に十分分け入って検索してパターン全
体に一致した場合、１つのパターンが「エントリリス
ト」内の予めプログラムされた値から決定されたものと
して発見されたとみなされ、これにより「ステージパタ
ーン発見ビット」がセットされる。代表例では、エント
リリストは、例えば次のスキップ値とこのステージにつ
いての最後のパターン比較といった情報を提供する１つ
のエントリをパターンの比較毎に有している。新しいス
テージへ移行させるよう指定されたパターンが発見され
た場合、現在のステージは終了し、発見されない場合、
プロトコルデータ単位の終端へは達してしないものと仮
定して、次のパターン参照テーブルエントリが読み取ら
れる。 【００１５】現在のステージについてのパターンに関す
る予めプログラムされた情報に基づいて、どのプロトコ
ルが発見され、次にどのステージ番号へ進み、「ステー
ジグループ結果」の形成に当たり使用されるどのパター
ン番号が発見されたか、さらに時にはたった今発見され
たカプセル化の後にどのカプセル化が続くのかに関する
情報を出力することができる。ステージグループ結果
は、完了したステージについてのパターン照合の結果で
ある。一般に、グループ結果は、対応するビット位置に
１が置かれるその予め選択された検索パターンのグルー
プについて一致が見つからない限り、各ステージについ
て予め選択された検索パターングループを表わすそれぞ
れのビット位置に０を持つビットパターンである。グル
ープ結果は、プロトコルデータ単位が予め選択されたプ
ロトコルのグループに一致するか否かを判定するために
使用することができる。 【００１６】各ステージの検索が終わると、そのステー
ジについてどのパターンが発見されたかを示すビットが
「ステージグループ結果」にマッピングされる。このマ
ッピングは、本明細書では「クリーク（clique）マッ
プ」と呼ばれる多数の予めプログラムされたテーブルを
使用することで達成される。各クリークマップは、現在
のステージ番号とクリークマップに割り当てられたステ
ージパターン発見ビットのビットに基づいてインデック
ス付けされる。選択的に、必要とされる「ステージグル
ープ結果ビット」の数がクリークマップの幅よりも大き
いときは、クリークマップ内へのインデックス付けはさ
らに「時間スライス番号」に基づかせることもできる。 【００１７】各クリークマップから得られる値はＯＲを
とられ、「ステージグループ結果値」を形成する。この
ステージグループ結果からの幾つかのビットは、任意の
数のステージ出力結果を生成するために選択的に使用す
ることができるが、他の方法もステージ出力の生成に使
用することができる。また、残りのステージグループ結
果ビットは、「ステージグループフィルタ結果」の形成
に使用される。ステージグループフィルタ結果はＡＮＤ
を取られグループ蓄積器に蓄積される。この蓄積器はプ
ロトコルデータ単位の検索の開始時に全て１に初期化さ
れる。このグループ蓄積器の値の各ビットは、割り当て
られた「グループフィルタ番号」を有する。 【００１８】グループフィルタは条件を満たしたステー
ジの予め選択されたセットとして指定され、各指定され
たステージ内でそのステージ用に指定されたパターンの
うちの１つだけが条件を満たすステージについて発見さ
れる。プロトコルデータ単位の検索の完了時に、そのグ
ループ蓄積器ビットがセットされかつ適当なステージが
プロトコルデータ単位を検索した場合に、グループフィ
ルタが見つかったとみなされる。従来のフィルタ設計を
用いる場合と同じく、グループフィルタの発見の結果と
して、カウント、プロトコルデータ単位の保存、プロト
コルデータ単位の廃棄、データ捕捉の開始または停止な
どの１つまたは複数の動作を他の動作と同様に行なうこ
とができる。 【００１９】本明細書に開示される技術は、どの下位層
プロトコルが使用されているかを一切知ることなく、上
位層のプロトコルにおいてユーザが何かを捜すことがで
きる能力をもたらすものである。また、所望のカプセル
化パターンに関する情報を本装置に知らせることによっ
て、本装置は実行時にプロトコルデータ単位におけるカ
プセル化を識別することができ、これによって、追加の
ソフトウェアルーチンがその後に各パケットにおけるカ
プセル化の識別にかかる時間を節約する。本装置をハー
ドウェア及びソフトウェアの両方で実装することで、プ
ロトコルデータ単位を高速に識別することができる。 【００２０】一般のネットワーク状況では、文字通り数
百の異なるノード間を流れるデータが存在し得るが、ユ
ーザがデータを捕捉する対象とするのはそのうち２つか
らだけである。最新ネットワークの速度と典型的な最新
ネットワーク解析器の限られたメモリ空間のために、プ
ロトコルデータ単位の捕捉に割り当てられるバッファ空
間はすぐにオーバーランしてしまうおそれがある。従来
のシステムでは、捕捉される大多数のプロトコルデータ
単位は、ユーザが対象としないノードからのものである
こともあり得る。一例として、対象となる２つのノード
のＩＰ（インターネットプロトコル）アドレスをユーザ
が知っており、これらの２つのノード間のデータのみを
捕捉したいとき、ユーザがネットワークの詳しい知識を
もたない場合は、上記の多数のフラットフィルタを自在
に操らない限り、プロトコルデータ単位のＩＰアドレス
を識別することはできない。しかし、本発明による装置
の様々なステージでの識別の能力をもってすれば、プロ
トコルの識別に必要なものを越える僅かな追加の努力だ
けで、対象とするこれらのプロトコルデータ単位のフィ
ルタリングが可能となる。 【００２１】従来技術に対する本発明の実施形態の主要
な利点は、プロトコルデータ単位をパケットプロトコル
パターンと照合するのに必要となる多数のパターン比較
器を大きく低減することである。この低減は、ステージ
という概念の利用によってもたらされる。さらなる利点
は、使用されている低位層のプロトコルについての知識
を持つことなく、高位層のプロトコルにおける特定のパ
ターンを検索する能力である。また、本装置をハードウ
ェア及びソフトウェアの両方で実装することで、プロト
コルデータ単位を高速に識別することができる。他の利
点は、特定のプロトコルデータ単位内にどのようなカプ
セル化が存在するかについての情報を提供し、従って後
に各パケットを処理するときのソフトウェアルーチン所
要時間を節約する能力である。最後に、所望のカプセル
化パターンに関する情報をプロトコル識別装置に知らせ
ることにより、プロトコル識別装置は、実行時にプロト
コルデータ単位をフィルタリングすることができ、これ
により、不必要なパケットを後で処理するために追加の
ソフトウェアルーチンが費やす時間を節約するという利
点が得られ、また対象としないプロトコルデータ単位を
廃棄することで、貴重な捕捉バッファ空間が得られる。 【００２２】 【発明の実施の形態】説明のために図中に示したよう
に、本発明はコンピュータネットワークシステム内での
可変長の多層カプセル化プロトコルデータパケットの識
別と、関連するフィルタリングのための新規な方法に関
するものである。このような識別及び関連するフィルタ
リングに対する従前の解決策は、対象プロトコルの所定
の組み合わせをそれぞれ識別する多数のフラットフィル
タの使用に頼っていた。多くの状況では、必要となるフ
ラットフィルタの数が大きいために、ハードウェア資源
が非常に高価となり、従ってそれらを非実用的なものに
している。 【００２３】１．緒言 代表的な実施形態では、本発明は、コンピュータネット
ワークプロトコルデータ単位を段階的に識別してフィル
タリングするプロトコル識別装置を使用する技術を開示
する。第１のステージにおいて、本装置は、潜在的なプ
ロトコルビットパターンの組とプロトコルデータ単位の
ビットを照合して、カプセル化の第１の層に使用された
プロトコルを識別する。次に本装置は、プロトコルビッ
トパターンの第２の組と同様の照合を行うか、先のカプ
セル化プロトコル内へ符号化された情報によるか、先の
照合に基づいて装置内に符号化された最良の推定または
装置内に符号化されたユーザの推定によるかして、選択
する次のカプセル化層の識別を試みる。このプロセス
は、ユーザが対象とする全てのカプセル化層が識別され
るまで継続する。このようなパターンは、それぞれ異な
る長さとすることができる。しかし、一旦任意の所与の
プロトコルカプセル化層が識別されると、本装置は、次
のプロトコルパターンの検索を開始するためにプロトコ
ルデータ単位内にどの程度分け入ってインデックス付け
すべきかを知る。このプロセスは、所与の実装の制約内
であれば、必要なだけ何度でも繰り返すことができる。 【００２４】任意の所与のプロトコル層のパターンの数
を簡単に並列検索し比較できるようにするために、テー
ブル参照方式が使用される。本装置は、プロトコルデー
タ単位内のどの箇所で最後に照合したプロトコルパター
ンの終端が生じたかを知っているので、次のパターン照
合の試みを開始する箇所も知っている。 【００２５】開示する技法は、ステージの概念を利用す
る。本装置は、各ステージ内で、プロトコルカプセル化
の１つの層について、プロトコルデータ単位ビットと予
め定義されたパターンビットとの間のパターンの一致を
発見するよう試みる。一旦発見すると、装置は自らリセ
ットし、次のカプセル化層についての新規の検索を開始
する。 【００２６】代表的な実施形態では、開示する技法はプ
ロトコルデータ単位を段階的に検索することと考えるこ
とができる。各ステージは、一般に予め割り当てられた
番号を有する。プロトコルデータ単位の検索は、例えば
ステージ番号０において開始され、そのステージによる
検索が完了すると、現在のステージ検索結果に基づいて
新しいステージが選択される。このプロセスは、プロト
コルデータ単位の終端に達するまで、またはそれ以上の
プロトコルデータ単位の検索が不要であると制止される
まで継続される。 【００２７】プロトコルデータ単位のバイトは、例えば
バイト０から始まって検索される。このステージは、ス
テージを終了させるパターンが発見されるまでプロトコ
ルデータ単位のバイトを消費するものと考えることがで
きる。次のステージは、最後のステージが終了したバイ
トを消費することから開始する。選択的に、パターン内
で照合する必要のないバイトをスキップすることで、こ
の処理に対して性能の向上を図ることができる。スキッ
プすべきバイトはテーブル内に予めプログラムされ、そ
のテーブルがシステムによって使用されて不要なバイト
をスキップする。 【００２８】代表的な実施形態では、任意の所与のステ
ージにおけるプロトコルパターン検索に用いられる方法
及び装置は、連続するステージ検索のそれぞれのために
繰り返し使用される。予めプログラムされた「パターン
参照テーブル」を使用して、現在のステージについてプ
ロトコルデータ単位の特定部分に特定のカプセル化が存
在するか否かが判定される。パターン参照テーブルの一
部は、現在のステージ番号と検索中のプロトコルデータ
単位バイト番号について予めプログラムされおり、イン
デックス付けがなされる。代表例では、「パターン参
照」テーブルのこの部分は２５６個のエントリを有して
おり、その１つ１つがプロトコルデータ単位の現在のバ
イトのとり得る値を有する。プロトコルデータ単位の現
在のバイトの実際の値に対応するエントリは、テーブル
から読み込まれる。パターン参照テーブルから読み込ま
れた値は、ＡＮＤを取られステージ蓄積器へ蓄積され
る。この蓄積器は通常ステージの始まりで全て１に初期
化される。 【００２９】このステージ蓄積器の値の各ビットは、そ
れぞれ割り当てられたパターン番号を有する。そのステ
ージ蓄積器ビットがセットされ、そのステージがプロト
コルデータ単位内に十分分け入って検索してパターン全
体に一致した場合、１つのパターンが「エントリリス
ト」内の予めプログラムされた値から決定されたものと
して発見されたとみなされ、これにより「ステージパタ
ーン発見ビット」がセットされる。代表例では、エント
リリストは、例えば次のスキップ値とこのステージにつ
いての最後のパターン比較といった情報を提供する１つ
のエントリをパターンの比較毎に有している。新しいス
テージへ移行させるよう指定されたパターンが発見され
た場合、現在のステージは終了し、発見されない場合、
プロトコルデータ単位の終端へは達してしないものと仮
定して、次のパターン参照テーブルエントリが読み取ら
れる。 【００３０】現在のステージについてのパターンに関す
る予めプログラムされた情報に基づいて、どのプロトコ
ルが発見され、次にどのステージ番号へ進み、「ステー
ジグループ結果」の形成に当たり使用されるどのパター
ン番号が発見されたか、さらに時にはたった今発見され
たカプセル化の後にどのカプセル化が続くのかに関する
情報を出力することができる。ステージグループ結果
は、完了したステージについてのパターン照合の結果で
ある。一般に、グループ結果は、対応するビット位置に
１が置かれるその予め選択された検索パターンのグルー
プについて一致が見つからない限り、各ステージについ
て予め選択された検索パターングループを表わすそれぞ
れのビット位置に０を持つビットパターンである。グル
ープ結果は、プロトコルデータ単位が予め選択されたプ
ロトコルのグループに一致するか否かを判定するために
使用することができる。 【００３１】各ステージの検索が終わると、そのステー
ジについてどのパターンが発見されたかを示すビットが
「ステージグループ結果」にマッピングされる。このマ
ッピングは、本明細書では「クリーク（clique）マッ
プ」と呼ばれる多数の予めプログラムされたテーブルを
使用することで達成される。各クリークマップは、現在
のステージ番号とクリークマップに割り当てられたステ
ージパターン発見ビットのビットに基づいてインデック
ス付けされる。選択的に、必要とされる「ステージグル
ープ結果ビット」の数がクリークマップの幅よりも大き
いときは、クリークマップ内へのインデックス付けはさ
らに「時間スライス番号」に基づかせることもできる。
１つのマップによって提供できるよりも多くのビットが
必要な場合は、タイムスライス番号を使用して２以上の
マップにアクセスする。代表例においては、３つの１６
ビットのマップにアクセスして１つの４８ビットの出力
を得る。 【００３２】各クリークマップに割り当てられるステー
ジ蓄積器結果ビットの数は、速度とメモリ使用との兼ね
合いで決まる。３２個のパターン照合ハードウェア実装
の場合、通常２または３ビットが用いられ、６４個のパ
ターン照合回路のソフトウェア実装については、８ビッ
トの実装が良好な選択となる。同様に、クリークマップ
の幅は、通常、速度とメモリ使用との兼ね合いで決ま
る。 【００３３】各クリークマップから得られる値はＯＲを
とられ、「ステージグループ結果値」を形成する。この
ステージグループ結果からの幾つかのビットは、任意の
数のステージ出力結果を生成するために選択的に使用す
ることができるが、他の方法もステージ出力の生成に使
用することができる。また、残りのステージグループ結
果ビットは、「ステージグループフィルタ結果」の形成
に使用される。ステージグループフィルタ結果はＡＮＤ
を取られグループ蓄積器に蓄積される。この蓄積器はプ
ロトコルデータ単位の検索の開始時に全て１に初期化さ
れる。このグループ蓄積器の値の各ビットは、割り当て
られた「グループフィルタ番号」を有する。 【００３４】グループフィルタは条件を満たしたステー
ジの予め選択されたセットとして指定され、各指定され
たステージ内でそのステージ用に指定されたパターンの
うちの１つだけが条件を満たすステージについて発見さ
れる。プロトコルデータ単位の検索の完了時に、そのグ
ループ蓄積器ビットがセットされかつ適当なステージが
プロトコルデータ単位を検索した場合に、グループフィ
ルタは発見されたとみなされる。従来のフィルタ設計を
用いる場合と同じく、グループフィルタの発見の結果と
して、カウント、プロトコルデータ単位の保存、プロト
コルデータ単位の廃棄、データ捕捉の開始または停止な
どの１つまたは複数の動作を他の動作と同様に行なうこ
とができる。 【００３５】代表例では、本装置は、１つのプロトコル
層において最大６４の異なるカプセル化をサポートし、
また最大１４個のプロトコル層をサポートすることがで
きる。これは、６４¹⁴個のフラットフィルタと等価であ
る。本装置に対するフラットフィルタの等価な数は、実
装により課される限界であり、本発明の限界ではない。
本装置は、ハードウェアまたはソフトウェアで機能を実
装することができる。 【００３６】本明細書に開示される技術は、どの下位層
プロトコルが使用されているかを一切知ることなく、上
位層のプロトコルにおいてユーザが何かを捜すことがで
きる能力をもたらすものである。また、所望のカプセル
化パターンに関する情報を本装置に知らせることによっ
て、本装置は実行時にプロトコルデータ単位におけるカ
プセル化を識別することができ、これによって、追加の
ソフトウェアルーチンがその後に各パケットにおけるカ
プセル化の識別にかかる時間を節約する。本装置をハー
ドウェア及びソフトウェアの両方で実装することで、プ
ロトコルデータ単位を高速に識別することができる。 【００３７】一般のネットワーク状況では、文字通り数
百の異なるノード間を流れるデータが存在し得るが、ユ
ーザがデータを捕捉する対象とするのはそのうち２つか
らだけである。最新ネットワークの速度と典型的な最新
ネットワーク解析器の限られたメモリ空間のために、プ
ロトコルデータ単位の捕捉に割り当てられるバッファ空
間はすぐにオーバーランしてしまうおそれがある。従来
のシステムでは、捕捉される大多数のプロトコルデータ
単位は、ユーザが対象としないノードからのものである
こともあり得る。一例として、対象となる２つのノード
のＩＰ（インターネットプロトコル）アドレスをユーザ
が知っており、これらの２つのノード間のデータのみを
捕捉したいとき、ユーザがネットワークの詳しい知識を
もたない場合は、上記の多数のフラットフィルタを自在
に操らない限り、プロトコルデータ単位のＩＰアドレス
を識別することはできない。しかし、本発明による装置
の様々なステージでの識別の能力をもってすれば、プロ
トコルの識別に必要なものを越える僅かな追加の努力だ
けで、対象とするこれらのプロトコルデータ単位のフィ
ルタリングが可能となる。 【００３８】２．ＰＤＵ識別方法 図１は、本発明の様々な代表的な実施形態で説明するプ
ロトコルデータ単位１００の図である。プロトコルデー
タ単位１００は、データのビット１２０と、１つまたは
複数のパケットプロトコルパターン１０５を含む。パケ
ットプロトコルパターン１０５は、本明細書ではカプセ
ル化プロトコルパターン１０５ともコンピュータネット
ワークプロトコル１０５とも呼ばれ、データをカプセル
化するのにコンピュータネットワーク内で用いられたプ
ロトコルを識別する。パケットプロトコルパターン１０
５は、カプセル化層とプロトコルデータ単位１００を作
成する特定のプロトコルによって定義される。図１は、
例示目的だけのものである。プロトコルは、様々の長さ
を取ることができ、必ずしも図１に示したプロトコルデ
ータ単位内の位置でなくてもよい。 【００３９】図２は、本発明の様々な代表的な実施形態
で説明するプロトコルデータ単位１００の捕捉の図であ
る。図２において、プロトコルデータ単位１００は受信
バス２０５で受け取られ、ここでバッファ２１０とも呼
ばれる捕捉バッファ２１０内に書き込まれ、プロトコル
識別装置２１５によって受け取られる。別の代表的な実
施形態では、プロトコルデータ単位１００はプロトコル
識別装置２１５によって受信バス２０５上で受け取ら
れ、プロトコル識別装置２１５がプロトコルデータ単位
１００を捕捉バッファ２１０へ伝送する。 【００４０】図３は、本発明の様々な代表的な実施形態
で説明する第１のリスト３００である。図４は、本発明
の様々な代表的な実施形態で説明するように、第１のリ
スト３００のエントリ３２０の図である。第１のリスト
３００は検索パターン３０５のリストであり、本明細書
では検索パターンリスト３００とも呼ばれる。図４に示
すように、検索パターンリスト３００の任意の所与のエ
ントリ３２０は、検索パターンインデックス３１０とス
テージ番号３１５と検索パターン３０５を含む。検索パ
ターンインデックス３１０は、エントリ３２０を識別す
るインデックスであり、一般に整数である。この例で
は、検索パターンインデックス３１０は、検索パターン
３０５を識別し、第１のエントリについては０、第２の
エントリについては１、第３のエントリについては２で
始まる。ステージ番号３１５は、検索パターン３０５の
検索に用いるステージ３１５を識別する。ステージ番号
３１５とステージ３１５自体（どの図にも明示していな
い）は同じエンティティではないことが認められるが、
それらは両方ともステージ３１５の識別に用いられるス
テージ番号３１５と同じ識別番号（３１５）を用いて参
照される。 【００４１】図３の例では、検索パターンリスト３００
の第７エントリ３２０は、それがリストの第７エントリ
であることを示す、「６」に等しい検索パターンインデ
ックス３１０を持つ。このエントリ３２０は、第２ステ
ージ第３検索パターン３０５を含む。第２ステージ第３
検索パターン３０５は、それが第２ステージに関連する
検索パターン３０５であることを示す、「２」に等しい
ステージ番号３１５を有する。この代表例では、プロト
コル識別装置２１５は、検索パターン３０５と任意の所
与のプロトコルデータ単位１００内で発見されたパケッ
トプロトコルパターン１０５との照合を試みる。特に、
装置２１５が全てのステージについて一致を発見するよ
う試みることを想定している図３により表わされる例に
ついては、プロトコル識別装置２１５は、第１ステージ
第１検索パターン３０５と、第１ステージ第２検索パタ
ーン３０５と、第１ステージ第３検索パターン３０５
と、第１ステージ第４検索パターン３０５を、分析して
いるプロトコルデータ単位１００の第１のプロトコルパ
ターン１０５と照合するよう試みる。同様に、プロトコ
ル識別装置２１５は、第２ステージ第１検索パターン３
０５と、第２ステージ第２検索パターン３０５と、第２
ステージ第３検索パターン３０５を、分析しているプロ
トコルデータ単位１００の第２のプロトコルパターン１
０５と照合するよう試みる。同様に、プロトコル識別装
置２１５は、他のステージの第３及び他のあらゆる検索
パターン３０５を、分析しているプロトコルデータ単位
１００の対応するプロトコルパターン１０５と照合する
よう試みる。図３に示した３つの点は、検索パターンリ
スト３００へ符号化されるあらゆる追加検索パターン３
０５を表わしている。装置の制約の範囲内で、検索され
るステージ数だけでなく各層についてのパターン数は、
一般に実装者により指定され、ユーザの必要に基づいて
変化させることができる。検索されるステージ数の他
に、各層ごとの最大許容パターン数は、前に述べたよう
に実装に依存する。 【００４２】図５は、本発明の様々な代表的な実施形態
にて説明するように、第１のリスト３００のエントリ３
２０の別の図である。別の実施形態では、検索パターン
３０５の連続部分３２５が検索パターン３０５から選択
され、プロトコルデータ単位１００の検索がそれらを発
見するために連続的に行なわれる。例えば、検索パター
ン３０５の第１の部分３２５が先ず選択され、それにつ
いてプロトコルデータ単位が検索される。次に、検索パ
ターン３０５の第２の部分３２５が先ず選択され、それ
についてプロトコルデータ単位が検索される。このプロ
セスは、検索パターン３０５の全ての部分３２５が選択
されて検索が行なわれるまで継続する。別法では、特定
の部分３２５がプロトコルデータ単位１００との照合に
失敗した場合に、検索パターン３０５についての検索は
終了する。 【００４３】図６は、本発明の様々な代表的な実施形態
にて説明するプロトコルデータ単位１００の識別方法の
フローチャートである。ブロック４０５では、プロトコ
ルデータ単位１００が受け取られる。プロトコルデータ
単位１００は通常、捕捉バッファ２１０へ書き込まれ、
図２に示すようにそれと並行してプロトコル識別装置２
１５により捕捉される。プロトコル識別装置２１５がプ
ロトコルデータ単位１００を受け取った後、ブロック４
０５は通常ステージ番号が０である開始ステージを選択
し、通常プロトコルデータ単位１００の第１バイトであ
るプロトコルデータ単位１００へのポインタを初期化す
る。そして、ブロック４０５は制御をブロック４０７へ
移す。 【００４４】ブロック４０７では、グループ結果が初期
化される。グループ結果は、完了した全てのステージに
対するパターン照合の結果である。一般に、グループ結
果は、対応ビット位置に１が置かれる検索パターン３０
５の予め選択されたグループについて一致が見つからな
かった場合に、各ステージについて検索パターン３０５
の予め選択されたグループを表わすビット位置に０を持
つビットパターンとなる。このグループ結果は、プロト
コルデータ単位１００が予め選択されたプロトコルグル
ープに一致するか否かを判定するのに用いることができ
る。代表的な実施形態では、一致が見つかった場合、捕
捉バッファ２１０内のポインタが動かされ、現在のプロ
トコルデータ単位１００は捕捉バッファ２１０内に留ま
る。しかし、一致が見つからない場合は、受け取った次
のプロトコルデータ単位１００が現在のプロトコルデー
タ単位１００を上書きする。そして、ブロック４０７は
制御をブロック４０８へ移す。 【００４５】ブロック４０８では、ステージ結果が初期
化される。ステージ結果は、ステージについてのパター
ン照合の結果である。一般に、この結果は、一致がない
各アクティブなステージに関連する各検索パターン３０
５を表わすビット位置に０を有し、一致があるときは１
を有するビットパターンである。そして、ブロック４０
８は制御をブロック４１０へ移す。 【００４６】ブロック４１０では、プロトコル識別装置
２１５は、現在のステージ用の検索パターンリスト３０
０内のエントリを介して１つまたは複数の検索パターン
３０５の次の部分を得る。この照合プロセスは、複数の
検索パターン３０５の部分を同時に照合するよう試みる
ことでより効率的に実行される。そして、ブロック４１
０は制御をブロック４１５へ移す。 【００４７】ブロック４１５では、非ゼロのスキップ値
（通常、第１ステージの第１の比較ではゼロ）が検索パ
ターン３０５のこの部分３２５へ割り当てられた場合、
プロトコルデータ単位１００へのポインタは数バイト進
められる。一般に、後の比較について、スキップ値はテ
ーブルから得られる。このテーブルは現在のステージ３
１５についてのカプセル化を識別するために検索パター
ン３０５が必要とする全バイトの知識に基づいて予めプ
ログラムされている。選択的に、プロトコルデータ単位
１００の全てのバイトを時間の許す限り比較することも
可能である。そして、ブロック４１５は制御をブロック
４２０へ移す。 【００４８】ブロック４２０では、プロトコルデータ単
位１００内のパターンが検索パターン３０５のパターン
と一致するか否か判定するため、プロトコルデータ単位
１００内へポインタを必要なだけ進めて、検索パターン
３０５の一部３２５がプロトコルデータ単位１００と比
較される。そして、ブロック４２０は制御をブロック４
２５へ移す。 【００４９】ブロック４２５では、ステージ内のその位
置に対するステージ結果が形成される。そして、ブロッ
ク４２５は制御をブロック４３０へ移す。 【００５０】ステージを終了させるために指定された検
索パターン３０５の１つがプロトコルデータ単位１００
内のパターンに一致することが分かると、ブロック４３
０は制御をブロック４３５へ移す。見つかった時点で特
定のステージを終了させるために指定されたこれらの検
索パターンは、「ステージ移行検索パターン」と呼ばれ
る。一致しなければ、ブロック４３０は制御をブロック
４３２へ移す。 【００５１】プロトコルデータ単位１００の終端に出会
うと、ブロック４３２はブロック４３５へ制御を移す。
出会わなければ、ブロック４３２は制御をブロック４３
３へ移す。 【００５２】プロトコルデータ単位１００において検索
を実行することが必要な現在のステージに、１つまたは
複数の検索パターン３０５の残りの部分３２５が存在す
る場合、ブロック４３３は制御をブロック４１０へ移
す。存在しない場合、ブロック４３３は制御をブロック
４３５へ移す。 【００５３】ブロック４３５では、ステージ結果が報告
される。ブロック４３５は、そこでブロック４４５へ制
御を移す。 【００５４】ブロック４４５では、完了した全てのステ
ージについてのグループ結果が形成される。そして、ブ
ロック４４５は制御をブロック４５０へ移す。 【００５５】プロトコルデータ単位１００の終端に出会
うと、ブロック４５０は制御をブロック４６０へ移す。
出会わなければ、ブロック４５０は制御をブロック４５
３へ移す。 【００５６】プロトコルデータ単位１００において検索
を行なう必要のある検索パターン３０５を構成する残り
のステージが存在する場合、ブロック４５３は制御をブ
ロック４５５へ移す。存在しない場合、ブロック４５３
は制御をブロック４６０へ移す。 【００５７】ブロック４５５では、検索パターン３０５
をプロトコルデータ単位１００内のパケットプロトコル
パターン１０５と照合する試みをするための新しいステ
ージが選択される。そして、ブロック４５５は制御をブ
ロック４５７へ移す。 【００５８】ブロック４５７では、プロセスは選択され
たステージへ移行する。そして、ブロック４５７は制御
をブロック４０８へ移す。 【００５９】ブロック４６０では、グループ結果が報告
される。そして、ブロック４６０はプロセスを終了す
る。 【００６０】３．ＰＤＵ識別を行う装置 図７は、本発明の様々な代表的な実施形態にて説明する
プロトコルデータ単位１００の識別を行うプロトコル識
別装置２１５の図である。図７では、データは制御回路
５００により受信バス２０５上で受け取られる。前述し
かつ図２に示したように、プロトコルデータ単位１００
も代表的な実施形態における並列処理において捕捉バッ
ファ２１０へ書き込まれる。プロトコル識別装置２１５
は、プロトコルデータ単位１００内でパケットプロトコ
ルパターン１０５を識別し、識別プロセスの結果に基づ
いて、捕捉バッファ２１０内に残らないこれらのプロト
コルデータ単位１００をフィルタリングし除外する。捕
捉バッファ２１０は、例えば、先入れ先出し方式（ＦＩ
ＦＯ）バッファでよい。検索パターンリスト３００の内
容に基づいて、制御回路５００は、プロトコルデータ単
位１００のどのバイトについて、検索パターン３０５の
照合を試みるかを決定する。前述したように、検索パタ
ーンリスト３００は、ユーザが一致を得ることを望む検
索パターン３０５から構成される。制御回路５００は、
検索パターン・グループ一致リスト５１０として図７に
示すように、リストやテーブル及び／またはデータベー
ス等からこの情報を得る。 【００６１】第１ステージのパターン照合の間、プロト
コルデータ単位１００と検索が予定されている検索パタ
ーン３０５が検索パターン比較器５３０へ送られる。本
明細書では、検索パターン比較器５３０は第１の比較器
５３０及びパターン比較器５３０とも呼ばれる。制御回
路５００は、前述したように、プロトコルデータ単位１
００内へのインデックス付けを行なう。 【００６２】任意の所与のステージが、異なるビットパ
ターン長を有する様々な検索パターン３０５を有し得
る。しかし、プロトコルは可変長であるため、ユーザは
次のプロトコルまたは次のパケットプロトコルパターン
がどこで開始するかについては分からない。ステージ移
行パターンとして指定されたパケットプロトコルパター
ン１０５が所与のカプセル化層について識別されると、
装置のステージ部分は見つかったばかりのステージ移行
パターンに対して指定されたステージ番号についてリセ
ットされ、プロセスは次のカプセル化層についてパケッ
トプロトコルパターン１０５の検索をすべて初めから開
始する。 【００６３】代表的な実施形態では、検索パターン比較
器５３０は、３２個の異なる検索パターン３０５をプロ
トコルデータ単位１００と同時に照合する能力を有する
３２ビット幅のＲＡＭ５３０である。３２ビット幅ＲＡ
Ｍ５３０から、プロトコルデータ単位１００がカプセル
化された対応するパック済みプロトコルパターン１０５
にどの検索パターン３０５が一致したか（もしあれば）
を示すビットパターンが、ステージ結果蓄積器５５０
（第１の蓄積器５５０とも呼ばれる）へ伝送される。ス
テージ結果蓄積器５５０（特に図示せず）は、検索パタ
ーン３０５がプロトコルデータ単位１００内に見つかっ
たか否かに関する指標を作成する。例えば一致ビット３
１が「１」にセットされた場合、探していたパターン番
号３１が一致する。「０」は、一致しないことを示す。
各ステージについて比較が１回以上行なわれるとすれ
ば、ステージ結果蓄積器５５０は、個々の比較または同
時比較の完了の後に更新される。ステージ結果蓄積器５
５０に含まれる結果は制御回路５００へ伝送され、さら
にステージ−グループマッピング回路５６０（マッピン
グ回路５６０とも呼ばれる）に伝送される。ステージ−
グループマッピング回路５６０において、ステージ結果
はグループ結果蓄積器５７０（第２の蓄積器５７０とも
呼ばれる）へマッピングされ伝送される。グループ結果
蓄積器５７０は、検索パターン３０５の予め選択された
グループがプロトコルデータ単位１００内で見つかった
か否かに関する指標５７０（特に図示しないが、グルー
プ指標５７０と呼ぶ）を作成する。ステージ−グループ
マッピング５６０からの出力は制御回路５００にも伝送
される。制御回路５００において、それらの出力は、次
のステージ番号、次のプロトコルＩＤ、次のプロトコル
ＩＤの書き込み位置などのステージ結果を他の項目と同
様に提供するために用いられる。グループ結果蓄積器５
７０は、グループ結果を制御回路５００へ伝送する。所
与のステージの完了の後、制御回路５００は、ステージ
結果蓄積器５５０をその初期設定へとリセットする。 【００６４】任意の所与のステージで照合が可能な３２
個のパターンが存在し得る。プロトコルデータ単位１０
０の所与のバイトについて、検索対象である１つまたは
複数のパターンを満足する複数の値が存在し得る。その
バイトは、ここで使用するＲＡＭの２５６個のワードの
うちの任意のワードを指定することもできる。従って、
ＲＡＭはデータの所与のバイトにより指定された２５６
個全ての位置についてプログラムされる。バイト値が
「０」である場合、いかなるパターンが検索対象であろ
うとも、ＲＡＭはエントリ０で一致ビットにプログラム
される。バイト値が「１」である場合、それはＲＡＭ内
の異なるワードであり、一致ビットの出現を望む方法
で、ワードは一致ビットを用いてプログラムされる。従
って、単一バイト上で検索することは、これら２５６個
の値の任意の組をとり得るパターンを検索することであ
る。２５６個の値のうち対象とするパターンと一致する
ものはどれでもＲＡＭが選択するようプログラムされて
いることを保証するのは実装者次第である。 【００６５】ユーザは、幾つかの異なる型のプロトコル
カプセル化を見つけ出し、それらを単一のプロトコルの
グループ（例えばＲＦＣ１４９０が後に続きＩＰが後に
続くフレームリレー）として識別することに関心がある
かもしれない。ユーザは、異なるグループのパターンの
発生のカウントを望むかもしれない。ステージ−グルー
プマッピング回路５６０の別の目的は、どのステージを
次に調査すべきかを識別することである。例えば、プロ
トコルデータ単位１００は第１ステージの間にフレーム
リレーカプセル化として識別され、そして、次のカプセ
ル化がＲＦＣ１４９０であるかまたは他のプロトコル
（例えばＬＭＩ）のためのカプセル化であるかを判定す
るために、第４ステージを用いるように、システムをス
テージ−グループマッピング回路５６０プログラムする
ことができる。 【００６６】プロトコル識別装置２１５は、各カプセル
化層について各検索パターン３０５に一致したパケット
総数のカウントを維持することができる。加えて、プロ
トコル識別装置２１５は、カウントの他に、データ捕捉
（開始、中心寄せ、停止、記憶、圧縮）を制御する従来
のフィルタ関数の作成に用いられる。単独でも組み合わ
せでも、プロトコルデータ単位１００が満足する任意パ
ターンのプロトコルにより、ユーザの選択で、フラグを
設定しかつ／またはそのパターン用に定義されたパラメ
ータを増加させ、あるいは一致が見つかった事実を記録
することを可能にする。このような情報は、例えば、プ
ロトコルデータ単位１００と関連するバッファのオーバ
ーヘッド領域に記録することができる。また、いかなる
ステージも選択的に、プロトコルデータユニット１００
に関連するバッファのオーバーヘッド領域の複数の位置
のうち１つに値を書き込ませ、そのステージのカプセル
化がプロトコルデータ単位１００内で開始された箇所と
そのステージについて見つかったプロトコルとを指示さ
せることができる。加えて、プロトコル識別装置２１５
は、どのプロトコルがネットワーク上で使用されている
かを自動検出したり、プロトコルデータ単位１００をデ
コードするのに使用することのできるカプセル化情報を
提供したり、実行時処理用にパケットの優先順位付けを
したりするのに用いることができる。 【００６７】制御回路５００は、例えば上記したような
対象となる様々な結果を、他の回路や関数に中継するた
めに使用される結果報告回路５８０に伝送する、多くの
データ処理製品と同じく、本明細書に開示した技術は、
ハードウェア要素とソフトウェア要素の組み合わせとし
て実装される。本発明を使用するために必要な機能は、
情報処理装置（例えば、本明細書に開示した技法に従っ
て動作するネットワーク解析器、サーバコンピュータま
たはパーソナルコンピュータ）のプログラミングに用い
るコンピュータ可読の媒体（例えば、ハードディスク、
フレキシブルディスク、ＣＤ−ＲＯＭ、ＤＶＤ−ＲＯＭ
等）で実現できる。 【００６８】本明細書に記載した技法はプロトコル解析
器において有利に用いることができるが、コンピュータ
等のプロトコルデータ単位１００を受信可能な他の装置
において使用することもできる。 【００６９】４．結言 従来技術に対する本発明の実施形態の主要な利点は、プ
ロトコルデータ単位１００とパケットプロトコルパター
ン１０５との照合に必要となる多数のパターン比較器を
大きく低減することである。この低減は、ステージとい
う概念の利用によってもたらされる。さらなる利点は、
どの低位層のプロトコルが使用されているかについての
知識を持つことなく、高位層のプロトコルにおける特定
のパターンを検索する能力である。また、この装置をハ
ードウェアとソフトウェアの両方で実装することで、プ
ロトコルデータ単位を非常に高速で識別するという利点
が得られる。他の利点は、特定のプロトコルデータ単位
１００内にどのようなカプセル化が存在するかについて
の情報を提供し、従って後に各パケットを処理するとき
のソフトウェアルーチン所要時間を節約する能力であ
る。最後に、所望のカプセル化パターンに関する情報を
プロトコル識別装置２１５に知らせることにより、プロ
トコル識別装置２１５は、実行時にプロトコルデータ単
位１００をフィルタリングすることができ、これによ
り、不必要なパケットを後で処理するために追加のソフ
トウェアルーチンが費やす時間を節約するという利点が
得られ、また対象としないプロトコルデータ単位１００
を廃棄することで、貴重な捕捉バッファ空間が得られ
る。 【００７０】本発明には例として以下の実施形態が含ま
れる。 【００７１】（１）プロトコル識別装置により実行可能
な指令からなるコンピュータプログラムを具現化して、
プロトコルデータ単位（１００）内にデータ（１２０）
をカプセル化するのに用いたコンピュータネットワーク
プロトコル（１０５）を識別する方法ステップを実行す
る、プロトコル識別装置（２１５）によって読み取り可
能な記憶媒体であって、前記方法ステップは、データ
（１２０）と複数のカプセル化プロトコルパターン（１
０５）を含むプロトコルデータ単位を受け取るステップ
と、前記プロトコルデータ単位を検索する少なくとも１
つのステージ（３１５）が残っている間に、 ａ）残りのステージ（３１５）のうちの１つを選択する
ことと、 ｂ）前記プロトコルデータ単位を検索するための前記選
択されたステージのうち少なくとも１つの検索パターン
（３０５）が残っている間に、 ｂ１）残りの検索パターン（３０５）のうちの１つを選
択することと、 ｂ２）選択された検索パターンを捜して前記プロトコル
データ単位を検索することを繰り返し実行すること、の
ａ）及びｂ）を繰り返し実行するステップと、を含む記
憶媒体。 【００７２】（２）前記方法ステップは、少なくとも１
つのステージ（３１５）が残っている間の繰り返しルー
プの前に、 ｃ）予め定めた検索パターン（３０５）のグループのう
ち少なくとも１つについてグループ指標（５７０）を割
り当てるステップであって、前記グループは少なくとも
１つの予め選択された検索パターンを含む少なくとも１
つのサブセットを含み、前記予め選択された検索パター
ンはデータ（１２０）をカプセル化するのに用いる予め
選択された少なくとも１つのネットワークプロトコル
（１０５）を識別する、ステップと、 ｄ）前記グループ指標を初期化し、少なくとも１つのサ
ブセットがプロトコルデータ単位内の予想された位置に
存在することを指定するステップと、をさらに含み、プ
ロトコルデータ単位を検索するための前記選択されたス
テージの少なくとも１つの検索パターンが残っている間
の繰り返しループの後に、前記選択されたステージにつ
いてのグループの各サブセットに関連する全ての検索パ
ターンがプロトコルデータ単位の予想された位置に存在
しない場合、そのグループの全サブセットがプロトコル
データ単位に存在しないことを指定するように、前記グ
ループ指標を設定するステップをさらに含む、上記(１)
に記載の記憶媒体。 【００７３】（３）前記選択された検索パターンを捜し
てプロトコルデータ単位を検索するステップに続いて、
前記方法ステップは、少なくとも１つのステージが残っ
ている間の繰り返しループの後に、プロトコルデータ単
位内の予想された位置に少なくとも１つのサブセットが
存在する場合、そのプロトコルデータ単位をバッファ
（２１０）に配置するステップをさらに含む、上記(２)
に記載の記憶媒体。 【００７４】（４）前記選択された検索パターンを捜し
てプロトコルデータ単位を検索するステップは、プロト
コルデータ単位を検索する選択されたステージの検索パ
ターンの少なくとも一部（３２５）が残っている間に、 ｅ）選択された検索パターンの残っている未検索部分の
うちの１つを選択するステップと、 ｆ）選択された検索パターンの選択部分を捜してプロト
コルデータ単位を検索するステップと、を繰り返し実行
することをさらに含む、上記(１)に記載の記憶媒体。 【００７５】（５）前記方法ステップは、前記選択され
た検索パターンの選択部分を捜してプロトコルデータ単
位を検索するステップが前記プロトコルデータ単位内の
選択部分を見つけられなかった場合、 ｇ）プロトコルデータ単位を検索する前記選択されたス
テージの検索パターンの少なくとも一部が残っている間
の繰り返しループを抜け出すステップと、 ｈ）プロトコルデータ単位を検索する前記選択されたス
テージの少なくとも１つの検索パターンが残っている間
の繰り返しループを抜け出すステップと、をさらに含
む、上記(４)に記載の記憶媒体。 【００７６】（６）前記残っている検索パターンの１つ
を選択するステップに続いて、前記方法ステップは、プ
ロトコルデータ単位を検索する前記選択されたステージ
の少なくとも１つの他の検索パターンが残っている場
合、 ｉ）前記他の残っている検索パターンのうち少なくとも
１つを選択するステップと、 ｊ）前記選択された検索パターンを捜してプロトコルデ
ータ単位を検索するステップと並行して、前記他の選択
された検索パターンを捜してプロトコルデータ単位を検
索するステップと、をさらに含む、上記(１)に記載の記
憶媒体。 【００７７】（７）前記選択された検索パターンを捜し
てプロトコルデータ単位を検索するステップと並行し
て、前記他の選択された検索パターンを捜してプロトコ
ルデータ単位を検索するステップは、プロトコルデータ
単位を検索する選択されたステージの選択された検索パ
ターンの少なくとも一部と、プロトコルデータ単位を検
索する選択されたステージの他の選択された検索パター
ンの少なくとも一部とが残っている間に、 ｋ）前記選択された検索パターンの残っている未検索部
分の１つを選択するステップと、 ｌ）前記他の選択された検索パターンの残っている未検
索部分の１つを選択するステップと、 ｍ）選択された検索パターンの選択部分を捜してプロト
コルデータ単位を検索するステップと、 ｎ）前記選択された検索パターンの選択部分を捜してプ
ロトコルデータ単位を検索するステップと並行して、前
記他の選択された検索パターンの選択部分を捜してプロ
トコルデータ単位を検索するステップと、をさらに含
み、あるいは、プロトコルデータ単位を検索する選択さ
れたステージの選択された検索パターンの少なくとも一
部が残っている間に、 ｏ）前記選択された検索パターンの残っている未検索部
分の１つを選択するステップと、 ｐ）選択された検索パターンの選択部分を捜してプロト
コルデータ単位を検索するステップと、を繰り返し実行
することをさらに含み、あるいは、プロトコルデータ単
位を検索する選択されたステージの他の選択された検索
パターンの少なくとも一部が残っている間に、 ｑ）前記他の選択された検索パターンの残っている未検
索部分の１つを選択するステップと、 ｒ）前記他の選択された検索パターンの選択部分を捜し
てプロトコルデータ単位を検索するステップと、を繰り
返し実行することをさらに含む、上記(６)に記載の記憶
媒体。 【００７８】（８）前記方法ステップは、前記選択され
た検索パターンの選択部分を捜してプロトコルデータ単
位を検索するステップが、プロトコルデータ単位内に選
択された検索パターンの選択部分を見つけられなかった
場合、及び、前記他の選択された検索パターンの選択部
分を捜してプロトコルデータ単位を検索する並行ステッ
プが、プロトコルデータ単位内に他の選択された検索パ
ターンの選択部分を見つけられなかった場合に、プロト
コルデータ単位を検索する選択されたステージの選択さ
れた検索パターンの少なくとも一部と、プロトコルデー
タ単位を検索する選択されたステージの他の選択された
検索パターンの少なくとも一部とが残っている間の繰り
返しループを抜け出すステップをさらに含み、あるい
は、選択された検索パターンの選択部分を捜してプロト
コルデータ単位を検索するステップが、プロトコルデー
タ単位内に選択された検索パターンの選択部分を見つけ
られなかった場合、プロトコルデータ単位を検索する選
択されたステージの選択された検索パターンの少なくと
も一部が残っている間の繰り返しループを抜け出すステ
ップをさらに含み、あるいは、他の選択された検索パタ
ーンの選択部分を捜してプロトコルデータ単位を検索す
るステップが、プロトコルデータ単位内に他の選択され
た検索パターンの選択部分を見つけられなかった場合、
プロトコルデータ単位を検索する選択されたステージの
他の選択された検索パターンの少なくとも一部が残って
いる間の繰り返しループを抜け出すステップをさらに含
む、上記(７)に記載の記憶媒体。 【００７９】（９）プロトコルデータ単位内でデータ
（１２０）をカプセル化するのに用いるコンピュータネ
ットワークプロトコル（１０５）を識別する装置であっ
て、プロトコルデータ単位（１００）を受け取ることが
でき、複数のステージ（３１５）のそれぞれについて、
データのカプセル化に用いるネットワークプロトコルの
１つを識別する少なくとも１つの検索パターン（３０
５）を得ることができる、制御回路（５００）と、前記
制御回路に接続され、該制御回路からプロトコルデータ
単位を受け取ることができるパターン比較器（５３０）
であって、前記制御回路は個々のステージを連続的に選
択することができ、該選択されたステージについて、前
記制御回路から選択されたステージの少なくとも１つの
検索パターンを受け取り、受け取った検索パターンを捜
してプロトコルデータ単位を別々に検索することができ
るパターン比較器と、を備える装置。 【００８０】（１０）前記パターン比較器に接続され、
前記選択されたステージの検索から結果を蓄積すること
ができる第１の蓄積器（５５０）をさらに備える、上記
(９)に記載の装置。 【００８１】本発明を好適な実施形態に関して詳しく説
明したが、説明した実施形態は一例として示したもので
あり、限定として示したものではない。当業者は、上記
実施形態に様々な変形を加えて、特許請求の範囲内に含
まれる等価な実施形態とすることができることを理解す
るであろう。

【図面の簡単な説明】 【図１】本発明の様々な代表的な実施形態で説明するプ
ロトコルデータ単位の図である。 【図２】本発明の様々な代表的な実施形態で説明するプ
ロトコルデータ単位捕捉の図である。 【図３】本発明の様々な代表的な実施形態で説明する第
１のリストの図である。 【図４】本発明の様々な代表的な実施形態で説明する第
１のリストのエントリの図である。 【図５】本発明の様々な代表的な実施形態で説明する第
１のリストのエントリの他の図である。 【図６】本発明の様々な代表的な実施形態で説明するプ
ロトコルデータ単位の識別方法のフローチャートであ
る。 【図７】本発明の様々な代表的な実施形態で説明するプ
ロトコルデータ単位識別用のプロトコル識別装置の図で
ある。 【符号の説明】 １００ プロトコルデータ単位 １０５ プロトコルパターン １２０ データ ２０５ 受信バス ２１０ 捕捉バッファ ２１５ プロトコル識別装置 ３００ 検索パターンリスト ３０５ 検索パターン ３１０ 検索パターンインデックス ３１５ ステージ ３２０ エントリ ３２５ 選択部分 ５００ 制御回路 ５１０ 検索パターン兼グループ一致リスト ５３０ パターン比較器 ５５０ ステージ結果蓄積器 ５６０ マッピング回路 ５７０ グループ指標 ５８０ 結果報告回路

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ジェリー・デイヴィッド・モリス アメリカ合衆国80904コロラド州コロラ ド・スプリングス、クラウン・リッジ・ド ライブ 818 (72)発明者 ヴォン・ブラック アメリカ合衆国80920コロラド州コロラ ド・スプリングス、モスミル・コート 10010 Ｆターム(参考） 5K034 AA13 EE10 JJ24

Claims (1)

1. 【特許請求の範囲】 【請求項１】プロトコル識別装置により実行可能な指令
   からなるコンピュータプログラムを具現化して、プロト
   コルデータ単位内にデータをカプセル化するのに用いた
   コンピュータネットワークプロトコルを識別する方法ス
   テップを実行する、プロトコル識別装置によって読み取
   り可能な記憶媒体であって、 前記方法ステップは、 データと複数のカプセル化プロトコルパターンを含むプ
   ロトコルデータ単位を受け取るステップと、 前記プロトコルデータ単位を検索する少なくとも１つの
   ステージが残っている間に、 ａ）残りのステージのうちの１つを選択することと、 ｂ）前記プロトコルデータ単位を検索するための前記選
   択されたステージのうち少なくとも１つの検索パターン
   が残っている間に、 ｂ１）残りの検索パターンのうちの１つを選択すること
   と、 ｂ２）選択された検索パターンを捜して前記プロトコル
   データ単位を検索することを繰り返し実行すること、 のａ）及びｂ）を繰り返し実行するステップと、 を含む記憶媒体。