JP2004528651A

JP2004528651A - コンピュータウイルス検査装置及び方法

Info

Publication number: JP2004528651A
Application number: JP2002584171A
Authority: JP
Inventors: 清敏吉井
Original assignee: ザクソン・アールアンドディ株式会社
Priority date: 2001-04-16
Filing date: 2002-04-12
Publication date: 2004-09-16
Anticipated expiration: 2022-04-12
Also published as: JP4392461B2; JP2009223908A; JP4334231B2; WO2002086717A1

Abstract

大規模で高速なネットワークを流れるデータのコンピュータウイルス感染有無を高速に検査する装置を提供する。本発明は、ホストＣＰＵとは別に１つ以上の専用回路を備え、これによりコンピュータウイルスの感染有無の検査処理において処理負荷の高いパターンマッチング処理を実行する。専用回路を複数搭載することにより、コンピュータウイルス検査処理の全体としてのスループットを向上する。また、前記装置を一つないしは複数搭載したプロキシサーバを提供して、ネットワークのゲートウェイにおいてコンピュータウイルス検査を実施する場合のネットワークスループットの向上を図る。

Description

【技術分野】
【０００１】
本発明は、コンピュータウイルスを検査するためのコンピュータウイルス検査装置及び方法に関する。
【背景技術】
【０００２】
ＷＯ９７／１２３２１及びＷＯ９７／３９３９９は、コンピュータウイルスを検査もしくは除去するためのコンピュータウイルス検査プログラムを開示する。これら従来のプログラムには次のような問題があった。
【０００３】
問題（Ａ）
パターンマッチング処理をホストＣＰＵで処理していたため処理中のＣＰＵ負荷が高かった。しかも、一つのＣＰＵにつき同時に瞬間的には一つの処理しかできず、処理に時間がかかるとともに、当ＣＰＵが処理する他のプロセスに大きな影響を与えた。コンピュータウイルス検出のためのパターンマッチング処理は、通常、大量のデータ同士の照合処理であるため、データ量（発見すべきウイルスパターンの数）に応じて処理時間が増大する。
【０００４】
問題（Ｂ）
前記のパターンデータおよびパターンマッチングプログラムを、処理を高速化するためにメインメモリ上に常駐させておく必要があり、メインメモリを大量に消費した。
【０００５】
問題（Ｃ）
前記のパターンデータおよびパターンマッチングプログラムが書き換えの容易なメインメモリ上に存在するため、コンピュータウイルスによるコンピュータウイルス検査プログラムやパターンデータの破壊行為に対して非常に脆弱であった。
【０００６】
日本特開平８−１７９９４２は、上記課題（Ａ）（Ｂ）（Ｃ）に対する回避方法を開示する。しかしながら、この先行技術による方法には次のような問題がある。
【０００７】
問題（Ｄ）
先行技術の外付けの第２のＣＰＵは、従来の方法においてホストＣＰＵが行っていたパターンマッチングプログラムの実行を単に代行しているにすぎず、全体としての処理速度はほとんど改善しない。
【特許文献１】
ＷＯ９７／１２３２１公報
【特許文献２】
ＷＯ９７／３９３９９公報
【特許文献３】
特開平８−１７９９４２公報
【発明の開示】
【発明が解決しようとする課題】
【０００８】
本発明は、前記（Ａ）から（Ｄ）の問題を同時に解決し、コンピュータウイルスの検査を高速に行うための手段を提供することを目的とする。
【課題を解決するための手段】
【０００９】
この発明に係るコンピュータウイルス検査装置は、データを含むファイルを一意に特定するファイル情報を受け、これを保持するタスクキューメモリと、前記タスクキューメモリの前記ファイル情報によって特定されるファイルを取得して記憶するファイルバッファメモリと、コンピュータウイルスを識別するためのパターンデータを記憶するパターンデータメモリと、前記ファイルバッファメモリに記憶されたファイルと前記パターンデータを照合し、一致するパターンがあるか否かを判定する一つ以上のパターンマッチング回路と、前記タスクキューメモリの前記ファイル情報に基づいて少なくとも一つの前記パターンマッチング回路を起動するスケジューラと、前記パターンマッチング回路の判定結果を前記ファイル情報に関連づけて通知する通知手段と、を備える。
【発明を実施するための最良の形態】
【００１０】
発明の実施の形態１．
図１を用いて本発明の実施形態を説明する。ホストＣＰＵ１０１，メインメモリ１０２を備えるコンピュータはネットワークに接続されている。このコンピュータはバスインターフェース２０１を通してコンピュータウイルス検査装置１（以下、本装置という）に接続される。
【００１１】
ホストＣＰＵ１０１により実行される通信ソフトウェアによりネットワークから受信されたデータは、一旦メインメモリ１０２上に記憶される。データサイズの大きい場合、そのデータの一部または全部を、ホストＣＰＵ１０１からアクセス可能な図示しない外部記憶装置に一時的に記憶することもある。
【００１２】
メインメモリ１０２上に記憶されたデータは、通信のセッション単位、パケット単位、ないしはファイル単位などあらかじめ決められた単位（単位が複数種類に渡っても良い）で一つないしは複数のデータブロックを構成する。ここでは一例としてファイル単位で取り扱う場合を述べる。
【００１３】
ファイル単位でメインメモリ１０２に記憶されたデータブロックの開始アドレスとデータ長は図２に示すメインメモリ上のテーブルに記憶される。ホストＣＰＵにより実行されるプログラムをホストプロセスと呼ぶ。メインメモリ１０２に記憶されたデータブロックはホストプロセス１０４により記述される。以下、前記テーブルの情報を「タスク情報」と呼ぶ。
【００１４】
前記データブロックの一部ないしは全部が外部記憶装置に記憶される場合、開始アドレスが不定になる可能性があるため、開始アドレスの代わりにＩＤ（任意の識別文字列）を定義し、前記開始アドレスの代替としてＩＤを用いてデータブロックを一意に定義しても良い。
【００１５】
前記テーブルにデータブロックが定義されると、ホストプロセス１０４は本装置のタスクキュー２０２に前記テーブルの内容の一部または全部をバスインターフェース２０１を介して転送する。なお、タスクキューは一般にはＦＩＦＯ（ＦＩＲＳＴＩＮＦＩＲＳＴＯＵＴ）形式のメモリまたはレジスタセットにより構成される。
【００１６】
タスクキュー２０２にタスク情報が転送されたことを検知したスケジューラ２０３は、本装置のＤＭＡ回路２０４を起動する。ＤＭＡコントローラ２０４は、タスク情報に基づいてメインメモリ１０２上のデータブロックを取得して、これを本装置のファイルバッファメモリ２０５上に置くとともに、スケジューラ２０３にファイルバッファメモリ２０５の準備完了状態を通知する。
【００１７】
前記手順において、本装置のファイルバッファメモリ２０５に十分な余裕があるときは、一度に複数のデータブロックを同時にＤＭＡ転送してもよい。
【００１８】
起動されたスケジューラ２０３は、パターンマッチング回路２０６を起動するとともに、これにファイルバッファメモリ２０５中のアドレスとデータ長を渡す。パターンマッチング回路が複数ある場合には、その一部又は全部をあらかじめ決められた手順で選定する。
【００１９】
スケジューラ２０３及びパターンマッチング回路２０６は論理回路、あるいは、これと等価なコンピュータプログラム、プロセッサ（ホストＣＰＵ１０１が兼ねてもよい）及びメモリで構成される。
【００２０】
起動されたパターンマッチング回路２０６は、パターンデータメモリ２１０からパターンデータを読み出すとともに、これとデータブロックを照合する。回路２０６は、一致するパターンを検出したとき，フラグ２０７を立てる（フラグレジスタの所定のビットをオンにする）。
【００２１】
フラグ２０７の変化を検出した検知回路（ＮＯＴＩＦＩＥＲ）２０８は、バスインターフェース２０１を介してホストプロセス１０４に通知する。ホストプロセス１０４（またはホストプロセスと並列に実行される検知プログラム１０５）は、例えば前記検知回路２０８のレジスタをバスインターフェース２０１を介して定期的にポーリングすることによってフラグ２０７の変化を検出し、変化があれば表示装置に注意を促すメッセージを表示して操作者にコンピュータウイルスと合致するパターンを検知したことを示す警告を行う。
【００２２】
検知回路２０８自身が発光ダイオードや発音装置などを備えるインジケータ２０９を起動し、コンピュータウイルスと合致するパターンを検知したことをホストプロセスとは無関係に知らせるようにしてもよい。
【００２３】
前記パターンデータメモリ２１０の内容は、パターン更新装置２１１により定期的に、あるいはユーザによる操作によって更新される。パターン更新装置２１１は、パターン更新プログラムとそれを実行するプロセッサ及びメモリを備える。パターン更新プログラムはメインメモリ上にあってもよく（図１の１０３）、また、前記プロセッサはホストＣＰＵ１０１が兼ねてもよい。更新データはインターネット等のネットワーク上のファイルサーバから取得し更新する。そのための方法として、パターン更新装置２１１がネットワーク接続手段を備え、装置２１１により前記ファイルサーバに接続する方法と、ネットワーク接続機能を備えたコンピュータがファイルサーバに接続し、取得した更新データをバスインターフェース２０１を介してパターンデータメモリ２１０に書き込む方法が考えられる。
【００２４】
図１において、複数のパターンマッチング回路２０６が並列に接続されている。スケジューラ２０３はファイルバッファメモリ２０５上の複数のデータブロックをそれぞれのパターンマッチング回路２０６に分散して起動する。
【００２５】
分散して起動するとは、例えば、第１のパターンマッチング回路に一つ目のデータブロックの情報（開始アドレス、データ長など）を渡した後、第１のパターンマッチング回路の実行完了を待つことなく第２のパターンマッチング回路に２つ目のデータブロックの情報を渡すことである。
【００２６】
例えば、データブロックの先頭アドレスを第１のパターンマッチング回路２０６に渡すと共に、例えばデータブロックの先頭に１０２４を加えたアドレスを第２のパターンマッチング回路に渡すことによって、１０２４バイトを超えるデータブロックを分散して処理する。ただし、この方法はマッチングすべき全てのパターンデータのサイズが１０２４バイト未満であることが必要になり、全ての場合に利用できるわけではない。
【００２７】
他のやり方として、パターンデータメモリに２つ以上の照合されるべきパターンデータが存在する場合、そのうちの少なくとも１つのパターンデータを第１のパターンマッチング回路へ渡し、残りの少なくとも１つのパターンデータを第２のパターンマッチング回路へ渡すことにより、１つのファイルを多数のパターンデータと照合する場合の合計処理時間を短縮できる。
【００２８】
図１に示す回路のうち、バスインターフェース２０１を含む本装置の一部ないしは全部はワンチップの半導体集積回路による実装が可能である。
【００２９】
次に、図１の本装置を複数搭載したコンピュータの制御プログラム及び本装置を搭載したプロキシサーバに関して説明する。
【００３０】
以下、図３に示すように、本装置４０２（図１の符号１に相当）を４０２Ａ、４０２Ｂの２つ備えるコンピュータをプロキシサーバ４０１として用いる場合について説明する。本装置４０２の搭載台数は２つに限定されない。図３では、インターネットとの接続にネットワークインターフェースカード４０４を備え、ＬＡＮ（ＬＯＣＡＬＡＲＥＡＮＥＴＷＯＲＫ）との接続に同４０３を備えている。
【００３１】
これらの複数のコンピュータをネットワーク上で識別するために、ＩＰ（ＩＮＴＥＲＮＥＴＰＲＯＴＯＣＯＬ）アドレスを付与したパケットデータをネットワーク上に流す。これにより発信元及び送付先コンピュータを識別する。プロキシサーバは複数のＩＰアドレスによって識別されるパケットデータの中継を行う。
【００３２】
４０２Ａおよび４０２Ｂのそれぞれに対し、負荷を分配する方法はいくつか考えられるが、一例としてＩＰアドレスにより分配することを考える。つまり、Ｐ１およびＰ３というＩＰアドレスはＡに処理を行わせ、Ｐ２というＩＰアドレスはＢに処理を行わせるように定義する。ＩＰアドレスに加えて、ポート番号を利用してもよい。この定義値は、図４に示すメインメモリ１０２内のテーブルに記憶される。メインメモリの代わりにＣＡＭ（Content Addressable Memory：連想メモリ）を利用してもよい。
【００３３】
図３において、図４のテーブルの記述に従い、受信したパケットデータを４０２Ａまたは４０２Ｂのどちらに処理させるかが決められる。このとき、図４のテーブル中の処理カウンタ５０１をカウントアップし、これらカウント値を監視して４０２Ａおよび４０２Ｂの処理カウンタ５０１がほぼ同じになるように配分を行うことによって、ある程度均一な負荷分散を実現できる。また、Ｐ１〜Ｐ３のどちらでもない新たなＩＰアドレスＰｘを受信したときは、４０２Ａまたは４０２Ｂのうちカウンタ値の小さい方に処理をさせるとともに、Ｐｘをテーブルに追記する。これにより、新たなＩＰアドレスを持つパケットデータを適切に分配できる。
【００３４】
次に、ネットワークインターフェース回路をともなうコンピュータウイルス検査装置について図１を用いて説明する。これはＭＡＣ３０１並びにＰＨＹ３０２を備え、本装置全体がネットワークインターフェース装置（ＮＩＣ）の役目を兼ねる。
【００３５】
このようにすることにより無駄なデータ転送を省くことができる。例えば、図３に示すようにＮＩＣ４０４が本装置４０２と独立している場合、インターネットから受信したデータが４０４からホストバス１０５を経由してメインメモリ１０２へ転送され、その後メインメモリ１０２から本装置４０２へと転送される。つまりホストバス１０５を２回経由する。これに対し、図１の装置においてＮＩＣ４０４と本装置４０２が同一装置を構成するため、これを図３に適用するとホストバス１０５を経由する回数が１回少なくなり、無駄なデータ転送を省くことができる。
【００３６】
なお、ＭＡＣ３０１はメディアアクセスコントローラと呼ばれ、イーサネット（登録商標）・ネットワークで接続された相互機器間のネゴシエーションやハンドシェイクなどの通信手順を管理するデバイスである。また、ＰＨＹ３０２は物理レイヤーと呼ばれ、ネットワークを接続するケーブル等の種類によって適切な物を選んで装備するデバイスである。例えば１０ＢＡＳＥ−Ｔ規格のイーサネット（登録商標）であればツイストペアケーブルを用いるので、バイトデータからシリアルデータへの変換、ビット列から電圧信号への変換などを行う。
【００３７】
この装置において、コンピュータウイルス検査がオフ（無効）の状態であれば、ネットワークからの受信データはＰＨＹ３０２からＭＡＣ３０１を経由してファイルバッファメモリ２０５へ一時的にバッファされ、バスインターフェース２０１を介してメインメモリ１０２に転送される。
【００３８】
ここで、コンピュータウイルス検査のオン・オフの設定は、例えばファイルバッファメモリ２０５に設定変数を設け、当該変数をホストＣＰＵ１０１によって実行されるコンピュータプログラムから設定してやればよい。あるいは、当該フラグのオン・オフを切り替える電気接点スイッチを直接本装置上に設けてもよい
【００３９】
コンピュータウイルス検査がオン（有効）の状態であれば、ファイルバッファメモリ２０５に受信データが一時的にバッファされたのち、デコーダ３０３（ＭＩＭＥデコーダを含む）が起動されファイルバッファメモリ中の受信データをファイル形式のデータブロックにデコードする。デコードが開始された後、パターンマッチング回路２０６が起動され、デコードが完了した部分のデータについてコンピュータウイルス検査を開始する。コンピュータウイルスが検出されなかったときに限り、ＤＭＡ２０４を起動して一時的にバッファされていた受信データをメインメモリ１０２に転送する。例えば、ファイルバッファメモリ２０５に設定変数を設け、これに基づきデコード前のデータ、または、デコード後のデータのいずれかを選択して転送する。
【００４０】
データを送信する場合、データを受信する場合と同様の処理を行うことができる。ファイルバッファメモリ２０５に送信すべきデータがバッファされたとき、これをデコーダ３０３に入力する。デコーダ３０３を通したデータはパターンマッチング回路２０６に入力される。コンピュータウイルスが検出されなかったときに限り、ファイルバッファメモリ２０５からＭＡＣ３０１へのデータ転送が実行され、ＰＨＹ３０２を経由して外部に送信される。
【００４１】
この発明の実施の形態１によれば、多大な計算負荷を掛けるコンピュータウイルス検査処理を、ホストＣＰＵとは別のハードウェアで処理するので、ホストＣＰＵの負荷を軽減できる。
【００４２】
更に、主要な機能のほとんどがホストＣＰＵとは別のハードウェアとして構成されているので、他のソフトウェアへの干渉による動作不良等の影響を軽減できる。
【００４３】
発明の実施の形態２．
この発明の実施の形態２は、パターンマッチング回路２０６に含まれるデータ照合回路、特にワイルドカード指定方法及びその回路に関する。図５は発明の実施の形態２に係る回路の模式図である。
【００４４】
この回路は、照合パターンメモリＡ（１１０１）、被照合バッファメモリＢ（１１０２）及び照合回路１２０１を備える。図では簡単のため、被照合メモリＢ（１１０２）側にシフトレジスタを用いてＦＩＦＯ（ＦＩＲＳＴＩＮＦＩＲＳＴＯＵＴ）型バッファとしているが、照合パターンメモリＡ（１１０１）の側にシフトレジスタ機能を備えても良い。図５ではＦビットは１ビットとし、Ｆ＝１のときにワイルドカードとして認識するよう定義しているが、Ｆビットは２ビット以上であってもよい。図５の例では、Ｆ＝１であれば照合回路２０１では当該バイト部分について無条件にＡ＝Ｂと見なし、Ｆ＝０であればＡとＢの排他的論理和（ＸＯＲ）を算出してＸＯＲ値がゼロであれば合致と見なす。
【００４５】
また、Ｆビットの代わりにＤビット（２ビット以上）を用い、Ｄ＞０の時は下位Ｎビットと同一バイトがＤバイトだけ連続するものとして扱うようにしてもよい。Ｆビットフラグを合わせて用いればＤバイト連続するワイルドカードも定義することが出来る。
【００４６】
発明の実施の形態２の変形例１．
図６はマスクビットを持つ形態の一実施形態である。
図６の照合回路は、照合パターンメモリＡ（１１０１）のＮビットの照合データ値の上位にＭビット（図では一例として３２ビット）のマスクビットを備える。まず、マスクビットＭの値と被照合バッファメモリＢ（１１０２）の値から照合回路（１２０１）にて論理積（ＡＮＤ）を算出し、当該出力に対してＮビット部分の排他的論理和（ＸＯＲ）を算出する。これにより、マスクビットが０となっているビットに対してワイルドカード（無条件合致）が行われる。また、マスクビットが全ビットゼロである場合は被照合バッファメモリＢ（１１０２）との論理積がゼロになるので、Ｎビットの全部がワイルドカードとして扱われる。
【００４７】
発明の実施の形態２の変形例２．
図７はこの変形例２を示す。
連続したデータストリームは被照合バッファメモリＢ（１１０２）の終端より入力される。このバッファメモリは照合すべきパターンのうち最大長のものより、大きなサイズを記憶できるようになっている。また、このレジスタ群にはパターンを照合する位置をずらすのに必要なレジスタシフト機能が備わっていても良い。
【００４８】
一方、被照合バッファメモリＢ（１１０２）の先頭ＫバイトをインデックスＩとしてアクセスすることが可能なルックアップテーブル（１３０１）が備えられている。ルックアップテーブルには、その先頭ＫバイトがインデックスＩであるパターンが存在するかどうかを示す値が書き込まれる。図７では一例としてパターンリストの先頭アドレスを示すポインタが納められている。あるいは先頭ＮバイトがインデックスＩであるパターンの個数を書き込んでも良い。その場合、ルックアップテーブルのビット幅で保持できる最大値ｍを定め、先頭ＫバイトがインデックスＩであるパターン数がｍ個以上である場合には、ルックアップテーブルにｍを超過したことを意味する特定値を書き込むように定めても良い。
【００４９】
インデックスＩを用いてルックアップテーブル（１３０１）にアクセスして、そのインデックスＩに対応するパターンの数が０であることが判明した場合は、パターン照合を終える。この際、終了信号を出すことにより、入力バッファのレジスタシフト機能をトリガーして、次のパターン照合を行っても良い。インデックスＩの値に対応した位置にルックアップテーブルの値Ｐが、後述するパターン照合回路の入力の一つとなる。
【００５０】
ルックアップテーブル（１３０１）に書き込む値の決め方は次のとおりである。まずルックアップテーブルの全ての値を初期値Ｚにする。次に照合すべきパターン全部に対して順番にインデックスの計算を行う。パターンの長さが入力バッファの長さより小さい場合は、不足している部分にはワイルドカードであることを示す値を入れておく。このときインデックスの計算に必要な特定位置の内、もっとも後方にある位置に至る長さの分だけ最低限書き込めばよい。インデックスの算出に必要な特定位置のバイトの値を読み込み、その値を連結あるいは予め決めておいた計算式を使用してインデックスＩを算出する。次にルックアップテーブルのインデックスＩに対応する場所の値を増加させる。予め定めておいた最大値ｍを超える場合には、最大値ｍより変化させない。なおこの値の算出は予めこの回路の使用前に行い、ルックアップテーブルには最終的な値のみ書き込んでも良いし、この初期化ルールを初期化回路として組み込んでも良い。
【００５１】
一方、パターン照合回路（１２０１）は、前述のルックアップテーブルの値Ｐを受ける。値Ｐが対応するパターンが存在しないことを示す値である場合は、パターン照合動作を行わない。値Ｐが対応するパターンが存在することを示す値である場合には、照合パターンメモリＡ（１１０１）の中の、インデックスＩに対応する複数のパターンを記憶したパターンリストにアクセスする。このパターンリストはルックアップテーブルの値Ｐと連続した位置に存在しても良いし、別のルックアップテーブルを参照する形になっていても良いし、ルックアップテーブルにはパターンリストへのポインタが書き込まれており、そのポインタを利用して参照する形になっていても良い。
【００５２】
パターンリストはパターンの内、インデックスＩの算出に利用した以外の部分が記憶されたものである。インデックスＩの算出に利用した部分も記憶しておいてパターン照合の対象としても良いが、回路が冗長となるので予め省いておく。またパターンといっしょに、そのパターンのパターン番号を組として記憶し、どのパターンに合致したかが判別できるように構成しておいても良い。
【００５３】
このパターン照合回路の出力は合致するパターンが存在したかどうかである。また必要であれば合致したパターン番号も出力する。パターンが可変長である場合には、残りパターン長を記憶する方式と、照合回路が参照する長さに不足する部分に任意のデータと合致するワイルドカードをパターンの一部として持つ方式がある。前者の場合は、パターン長より後方のバイトに関しては常に合致すると判断し、後者の場合は照合回路がワイルドカードを任意のバイトと合致すると判断する。
【００５４】
発明の実施の形態２、その変形例１及び変形例２は、互いに組み合わせて用いることもできる。
【００５５】
発明の実施の形態２によれば、照合パターンのバイトにワイルドカードを指定できるので、検索の効率を改善し使用するメモリの消費を抑えることができる。また、変形例２によれば、パターンの一部をインデックスにしてルックアップテーブルを参照しているため、線形探索処理を減らし照合の速度を上げることが出来る。これにより、照合に要する時間の、パターン数や種類への依存度を減らし、より偏差の少ない処理時間でパターン照合を実現することができる。
【００５６】
発明の実施の形態３．
この発明の実施の形態２は、パターンマッチング回路２０６に含まれるホワイトスペース処理回路に関する。図８は発明の実施の形態３に係る回路のブロック図を示す。
【００５７】
入力されたデータ（ホワイトスペースを含む文字列データ等）は、まず入力データバッファ２１０１に入力される。入力データバッファ２１０１はＦＩＦＯ（ＦＩＲＳＴＩＮＦＩＲＳＴＯＵＴ）形式のメモリで構成され、過度の入力があった場合に入力を一時的に吸収し後段にデータを引き継ぐ役目を持っている。
【００５８】
入力データバッファ２１０１に入力されたデータは、ＦＩＦＯ先端から順次マルチバイト文字判定回路２１０２に入力される。本回路はＡＳＣＩＩ文字など、マルチバイトを取り扱わないことが明らかなデータであれば省略することも可能である。マルチバイト文字判定回路２１０２は、例えばシフトＪＩＳコード体系であれば、各入力されたマルチバイト文字列の１バイト目をＣとして、以下のように比較回路と論理回路を組み合わせて実現可能である。
（（０ｘ８１≦Ｃ）ＡＮＤ（Ｃ≦０ｘ９Ｆ））ＯＲ（（０ｘＥ０≦Ｃ）ＡＮＤ（Ｃ≦０ｘＥＦ））
【００５９】
ここで０ｘは１６進数を示し、上記演算式の結果が真ならばマルチバイト文字、偽ならばシングルバイト文字とみなす。マルチバイト文字の非先頭バイト（２バイト目以降）と識別された文字コードは、続く処理をバイパスされ被照合データバッファメモリ２１１０に直接入力される。同時にマルチバイト文字判定回路２１０２では、入力データバッファから続く１バイトを取得し、無条件で被照合データバッファメモリ２１１０に転記することにより２バイト文字等を処理する。
【００６０】
なお、マルチバイト文字判定回路２１０２は設定レジスタ２２０１によりバイパス（無効化）設定が可能である。
【００６１】
一方、ＪＩＳコードのようなシフトイン（Ｋイン）、シフトアウトコード（Ｋアウト）から構成される文字体系の場合、シフトインコードをマルチバイト文字判定回路２１０２が検出した場合はマルチバイトステータスレジスタ２２０３を利用してシフトステータスの保持を行う。例えばシフトインコードの場合はマルチバイトステータスレジスタに１を記憶し、１が記憶されている間はマルチバイト文字と判断して以後の回路をバイパスして被照合データバッファメモリ２１１０に直接入力する。マルチバイト文字判定回路２１０２がシフトアウトコードを検出すると、シフトステータスレジスタはゼロにリセットされ、以後の入力データは再びシングルバイト文字として取り扱われる。
【００６２】
ＪＩＳコードとシフトＪＩＳコードの切り替えは設定レジスタ２２０１で行えるようにしても良い。
【００６３】
マルチバイトチェックを受けたデータは、ホワイトスペース除去回路２１０３に入力される。ホワイトスペース除去回路では、あらかじめ想定されるホワイトスペース文字コード（一例として０ｘ０Ｄ，０ｘ０Ａ，０ｘ２０，０ｘ０９など）と合致するコードは除去される。これは例えば入力データをＣとして以下の論理回路を組み合わせて実現可能である。
（Ｃ＝０ｘ０９）ＯＲ（Ｃ＝０ｘ０Ａ）ＯＲ（Ｃ＝０ｘ０Ｄ）ＯＲ（Ｃ＝０ｘ２０）
【００６４】
図９はホワイトスペース除去回路の例を示す。図９の装置は、ホワイトスペースに該当するコードを文字登録レジスタ２０２に記憶しておき、当該レジスタ上の各コードと前記入力データＣが一致するか否かでホワイトスペースを判定するものである。一方、ホワイトスペースとして定義する文字種類が多数（例えば数千バイト）にのぼる場合はＲＡＭを使うこともできる。
【００６５】
ホワイトスペース除去が行われた後、ＡＳＣＩＩコードの大文字小文字による照合不一致を避けるために、シングルバイト文字コードについては小文字判定回路２１０４（または大文字判定回路のいずれか）に入力される。小文字の判定は、例えば入力データをＣとして以下の論理回路、
（Ｃ≧０ｘ６１）ＡＮＤ（Ｃ≦０ｘ７Ａ）
により判定できる。小文字と判定された文字コードは大文字に変換される。小文字（Ｃ）から大文字（Ｃ'）の変換には、例えば、
Ｃ'←（ＣＡＮＤ０ｘＢＦ）
で変換できる。
【００６６】
上記一連の処理を経た入力データは、照合回路２１１１に入力され被照合データバッファメモリ２１１０に入力され、照合パターンメモリ２１１２と照合される。この照合は、例えば各バイト単位で排他的論理和（ＸＯＲ）を取り結果がゼロであったら合致と見なすようにすればよい。
【００６７】
設定レジスタ２２０１には２１０２から２１０５の各回路をバイパス設定するフラグが設けられ、例えば設定レジスタに接続されたコンピュータから操作可能とする。例えばあらかじめマルチバイト文字が含まれないことが明らかである英文文字列などであれば、マルチバイト文字判定回路２１０２をバイパスできるようにする。これにより判定効率を向上することができる。
【００６８】
この発明の実施の形態によれば、テキストデータやコンピュータプログラムデータなど、ホワイトスペースを含むテキストデータからホワイトスペースを取り除くとともに英文字の大文字小文字の差を吸収した状態でデータ照合を行うことができる。これにより従来困難であったハードウェアによるテキストデータ照合処理が容易かつ高速に実現できる。
【００６９】
発明の実施の形態４．
この発明の実施の形態４は、多段照合によるデータパターン検出方法及びその装置に関する。
【００７０】
図１０A及び図１０Bは本発明の一実施形態を示す。これはネットワークトラフィック中のコンピュータウイルスを検出する。
【００７１】
ネットワークのゲートウェイとして設置されたホストＣＰＵ３１０１には、第１のＮＩＣ（ネットワークインターフェース装置）３１０２と第２のＮＩＣ３１０３が備えられており、それぞれのネットワーク間のゲートウェイとしてデータの中継（プロキシサーバ）を行っている。ファイヤウォール機能を備えたソフトウェアと共に用いられることもある。
【００７２】
一方、ホストＣＰＵ３１０１には、バス３１０６を仲介して接続された第１のサブシステム３２０１としてｎバイトのＦＩＦＯ（１段からｎ段まで）３２０２を伴ったチェックサム算出回路３２０３とパターン照合回路３２０４、及びデータパターンを記憶したＲＡＭ（ランダムアクセスメモリ）３２０５が備えられている。ＲＡＭは好ましくはフラッシュメモリなどの不揮発性メモリである。
【００７３】
前記において、第１のデータパターンとしてＲＡＭ３２０５には、各コンピュータウイルスについて少なくとも１つ以上の、コンピュータウイルスデータ内の特定の連続するｎバイトのチェックサム値を算出したものが記憶されている。第２のデータパターンとしてＲＡＭ３２０５には、前記コンピュータウイルスを特徴づけるデータエリアから抽出されたデータ列が各コンピュータウイルスについて記憶されている。
【００７４】
ホストＣＰＵ３１０１からアクセス可能なメインメモリ３１０４には、コンピュータウイルス検出ソフトウェア３１０５が読み込まれホストＣＰＵ３１０１にて実行される。従来の技術では、当該ソフトウェア３１０５によりＮＩＣ３１０２と３１０３の間でやりとりされる全てのデータに対してコンピュータウイルス検出ソフトウェアを通して処理を行っていたため、多大な処理時間を必要としていた。従来の方法に対して、本発明では以下の流れに沿って処理を行う。
【００７５】
まず、ＮＩＣ３１０２（あるいは１０３）から入力されたデータは、分断されているパケットをシーケンスコードに従って繋いでメインメモリ３１０４に展開する。この後、サブシステム３２０１に搭載されたＤＭＡ（ＤＩＲＥＣＴＭＥＭＯＲＹＡＣＣＥＳＳ）回路３２１０がＤＭＡを起動してメインメモリ上のデータをサブメモリ３２０９に転送する。ＤＭＡ回路の起動は、ホストＣＰＵ３１０１のアドレス空間にマップされたＤＭＡ回路３２０８の制御レジスタをアクセスすることによって起動する。
【００７６】
ＤＭＡによってサブメモリ３２０９に転送する際、ＦＩＦＯ（３２０２）を経由する。このときリアルタイムにチェックサムを算出する。具体的には、ＦＩＦＯ（３２０２）の出力段（図では第ｎ段）のデータｄ'がＦＩＦＯのシフトと共に廃棄されるときに、当該データｄ'をアキュムレータレジスタ３２０６から減算する。一方、入力段（図では第１段）に新たな値ｄが入力される毎にアキュムレータレジスタ３２０６に加算する。これにより、アキュムレータレジスタ３２０６には、ＦＩＦＯの全段（第１段〜第ｎ段）のチェックサムに相当する値が常に更新され保持される。
【００７７】
より一般的には、前記演算式が正演算と逆演算による準可逆性を備える場合において、データを廃棄するとき、アキュムレータレジスタ（値をＡｎとする）で破棄データに対して所定の演算式の逆演算が行われ、Ａｎ'が算出される。新たなデータｄが入力されるとき、前記アキュムレータレジスタの値（Ａｎ'）及び当該入力データｄを用いて前記演算式の正演算が行われ、（Ａｎ＋１）が算出される。以上のステップが繰り返される。
【００７８】
前記の方法によりチェックサムが更新されると、あらかじめ想定されるデータパターンについて算出したチェックサムデータを記憶したＲＡＭ３２０５の内容と、アキュムレータレジスタ３２０６に記憶されたチェックサム値とをパターン照合回路３２０４によって照合する。照合の結果、合致するパターンが見つかれば、そのパターン番号をレジスタ３２０７に出力する。同時に、ホストＣＰＵ３１０１に対して割り込みをかける、あるいは制御レジスタを設けてホストＣＰＵからアクセス可能なようにホストＣＰＵのアドレス空間にマップし、制御レジスタのフラグを立て、そのフラグをホストＣＰＵからポーリング（監視）するようにしてもよい。
【００７９】
このようにしてパターン照合（粗照合）が行われその結果によってスクリーニング（ふるい分け）されたデータは、大きく分けてコンピュータウイルスの感染可能性があるもの、無いものに分けられる。このうち、感染可能性のあるものについては、パターンデータを変えて、同様にスクリーニングを繰り返してもよい。少なくとも１回以上の上記手順を経て、コンピュータウイルスの感染可能性が無いと判断されたものは、ＮＩＣ３１０３（あるいは３１０２）を経てネットワークに出力される。
【００８０】
一方、上記手順を経てコンピュータウイルスの感染可能性が有ると判断されたものについては、ここで初めてコンピュータウイルス検出ソフトウェア３１０５によって精密な感染検査が行われる。一般的に、コンピュータウイルス検出ソフトウェアによる精査は、上記で説明した単純なパターン照合処理（特に半導体集積回路を利用したパターン照合回路を用いた場合）に比べ著しく遅いので、精査を通すデータの量を減らすことによって結果として全体的なスループットは大幅に向上する。
【００８１】
一方、ハードウェアを利用せずにソフトウェアのみで本発明はは実現可能である。この場合、図１０のサブシステム３２０１については不要で、照合処理の全てをホストＣＰＵ３１０１とメインメモリ３１０４に読み込まれたソフトウェアによって前記パターン照合処理を含むスクリーニング処理を実現する。
【００８２】
本発明による方法を実装したコンピュータウイルス検査装置は、従来の技術に比べスループットが高いので、ネットワークゲートウェイ装置への応用や、大規模ネットワークストレージ（記憶装置）のコンピュータウイルス検査装置などに応用できる。
【００８３】
また、コンピュータウイルスではなく、所定の語句や文字列、ＵＲＬなどネットワーク上のアドレスに基づいて算出されたパターンデータを用いた場合、所定の語句を含むウェブサイトや電子メールの中継を遮断するようなアクセス制限装置が実現可能である。この装置は未成年にふさわしくない用語の閲覧を遮断するための教育機関向けネットワークゲートウェイ装置などに応用できる。
【００８４】
粗照合によるスクリーニングを行って、時間のかかる処理に通すデータ量を減らすことにより、装置全体としてのスループットを大幅に向上することが出来る。
【００８５】
発明の実施の形態５．
この発明の実施の形態５は、キャッシュシステムによるコンピュータウイルス検出装置の負荷低減方法及びその装置に関する。
【００８６】
図１１は本発明の一実施形態を示す。これは、コンピュータネットワークのトラフィック中のコンピュータウイルスを検出するゲートウェイプロキシサーバである。
【００８７】
コンピュータネットワークの中継点に設置されたサーバ４１０１は、ネットワーク的に繋がった外部サーバ４２０１とクライアントコンピュータ４３０１間においてデータの中継を行うプロキシサーバとして機能する。サーバ４１０１は、中継するデータのウィルスチェックを行うソフトウェア４１３２を記憶したメモリ４１０３とそれを駆動するためのＣＰＵ４１０２、大容量記憶装置４１４１、及び、ＮＩＣ（ネットワークインターフェース装置）４１１０を備える。ＮＩＣとＣＰＵ及びメモリはバスにより接続されている。ここではＮＩＣとメモリは同一バス上に接続されているが、別々のバスに接続されてもよい。
【００８８】
メモリはＲＡＭである。メモリは、ウイルスチェックを実施済みのファイルについての情報を記憶するインデックスファイル４１３１を記憶する。インデックスファイル４１３１のデータ構造の一例を図１２に示す。なお、メモリ上にインデックスファイルを記憶するのはインデックスファイルへのアクセスを高速化するためであり、記憶を恒久化するために時々大容量記憶装置内に書き出して記憶される。大容量記憶装置としてハードディスク装置などを用いることが出来る。
【００８９】
以下、実際の動作ステップを図１３及び図１４を用いて説明する。
【００９０】
クライアントコンピュータ３０１からのファイル要求リクエストは、例えばＨＴＴＰプロトコルやＦＴＰプロトコルに代表される手順に従って発行され処理される。
【００９１】
これらのファイル要求リクエストは、サーバ１０１によって仲介され（ステップ１００２）、まずインデックスファイル１３１と照合される（ステップ１００３）。
【００９２】
インデックスファイルに当該ファイルが存在しなければネットワークの先にある外部サーバ４２０１にファイル要求リクエストが転送される（ステップ１００５）。外部サーバ４２０１は該リクエストにより特定されるファイルを送出する。
【００９３】
外部サーバ４２０１から送出されたファイルは、一旦サーバ４１０１に返され（ステップ１００５）、さらにウイルスチェックソフトウェア等４１３２によりウイルスチェックを受ける（ステップ１００６）。
【００９４】
ウイルスチェックの結果、ウイルスが検出されなければ当該ファイル実体のコピーをキャッシュファイル４１４１として大容量記憶装置４１０４に保存すると共にインデックスファイル４１３１を更新する（ステップ１００８）。
【００９５】
一方、ウイルスが検出されれば、ウイルスチェックソフトウェア等４１３２はウイルスの駆除を試みる（ステップ１１０１）。ウイルスの駆除に成功すれば、ウイルス駆除済みフラグをオンにして駆除済みファイルを大容量記憶装置４１０４に保存し、インデックスファイル４１３１を更新する（ステップ１１０４，１１０５）。
【００９６】
ウイルスの駆除に失敗すれば、ウイルス駆除済みフラグをオフにしてインデックスファイル４１３１に追記する（ステップ１１０６，１１０７）。この場合はウイルスに感染したファイルの実体は大容量記憶装置４１０４には保存されない。
【００９７】
一方、ステップ１１０３においてインデックスファイル４１３１に当該ファイルが存在した場合、インデックスファイルのフラグを照合する（ステップ１０１１）。
【００９８】
ウイルス感染フラグがオンになっていなければウイルス未感染のファイルを取得済みであることを意味するので大容量記憶装置４１０４から当該インデックスによって特定されるキャッシュファイル４１４１の実体を取り出して（ステップ１０１３）要求元クライアントにファイルを送出する（ステップ１００９）。
【００９９】
一方、ステップ１０１１においてウイルス感染フラグがオンであり、ウイルス駆除済みフラグもオンであればウイルス駆除済みのファイル実体が大容量記憶装置４１０４に存在することを意味するので、ファイル実体を取り出してクライアントに送出する。ウイルス駆除済みフラグがオフであれば、要求元クライアントにウイルス感染ファイルであることを通知してファイル送出をストップする（ステップ１０１５）。
【０１００】
このウイルス感染ファイルであることの通知は、電子メールで行っても良い。また、要求されたファイルに対してウイルス警告ファイルにすり替えて送出することによりユーザに注意を喚起するようにしてもよい。
【０１０１】
インデックスファイル４１３１は、例えば１時間に１回、大容量記憶装置４１０４に転写され記憶の恒久化が行われるようにするとよい。
【０１０２】
キャッシュシステムを備える場合、ウイルスチェックを経た対象ファイル自身のコピーを大容量記憶装置にも保管すると共に、前記インデックスファイルに保管日時を記録する。この保管日時は一定期間ごとに再度チェックされ、あらかじめ定めた所定の期間（例えば２４時間）を越えた場合は当該ファイルの実体を大容量記憶装置４１０４から削除すると共に、インデックスファイル４１３１からも同ファイルを表すインデックス情報を削除する。
【０１０３】
このようにして一度取得されたウイルスチェック済みのファイルが所定の期間は大容量記憶装置内にとどまることになるので、同一ファイルのリクエストがあった場合に大容量記憶装置からファイルを取得すればよくなり、外部サーバ４２０１との通信時間並びに当該ファイルに対してウイルスチェックを再度行う時間を節約できる。
【０１０４】
その後は同様に、任意のクライアントコンピュータ４３０１から前記と全く同一のファイル要求リクエストがサーバ４１０１に送出された場合、サーバ４１０１は、まずインデックスファイル４１３１に同一ファイルへのリクエストが既に存在しないか否かをチェックする（ステップ１００２）。
【０１０５】
チェックの結果、同一ファイルのインデックスが見つかると、フラグをチェックし、コンピュータウイルスの感染が無かった場合は大容量記憶装置４１０４から当該ファイルを取り出してクライアントに送出する。この場合は外部サーバ４２０１へのアクセスが発生しない、ウイルスチェック実施済みであるため再度チェックする必要がない、という理由により高速なレスポンスとサーバ負荷低減が期待できる。
【０１０６】
ネットワークの相互接続部分に本発明によるゲートウェイサーバないしはプロキシサーバを設置することにより、ネットワーク間でやりとりされるネットワークトラフィックをリアルタイムに監視するコンピュータウイルス検査装置が実現できる。
【０１０７】
この発明の実施の形態によれば、コンピュータウイルス検査装置の負荷を低減することができるので、少ない資源で多くのネットワークトラフィックを処理することが出来る。また、クライアントコンピュータがファイル要求リクエストを送出してからファイルがクライアントコンピュータに送出されるまでの応答時間を短縮できるため、ネットワーク遅延を縮小することができ、快適な操作性を実現できる。
【図面の簡単な説明】
【０１０８】
【図１】図１は、本発明の実施の形態１に係る装置の機能ブロック図である。
【図２】図２は、ファイル等を識別するために用いられるテーブルの一例である。
【図３】図３は、本装置を複数搭載したプロキシサーバの実施例を示す概念図である。
【図４】図４は、負荷分散を行うために用いられるテーブルの一例である。
【図５】図５は、本発明の実施の形態２における回路構成を示す模式図である。
【図６】図６は、本発明の実施の形態２に係る変形例１における回路構成を示す模式図である。
【図７】図７は、本発明の実施の形態２に係る変形例２における回路構成を示す模式図である。
【図８】図８は、本発明の実施の形態３における回路構成を示す模式図である。
【図９】図９は、ホワイトスペース除去回路の１例を示す模式図である。
【図１０Ａ】図１０Ａは、本発明の実施の形態４を示す模式図である。
【図１０Ｂ】図１０Ｂは、本発明の実施の形態４の概略フローチャートである。
【図１１】図１１は、本発明の実施の形態５の装置構成を表す模式図である。
【図１２】図１２は、インデックスファイルのデータ構造を示す一例である。
【図１３】図１３は、発明の実施の形態５の動作フローチャートである。
【図１４】図１４は、発明の実施の形態５の動作フローチャート（続き）である。

Claims

データを含むファイルを一意に特定するファイル情報を受け、これを保持するタスクキューメモリと、
前記タスクキューメモリの前記ファイル情報によって特定されるファイルを取得して記憶するファイルバッファメモリと、
コンピュータウイルスを識別するためのパターンデータを記憶するパターンデータメモリと、
前記ファイルバッファメモリに記憶されたファイルと前記パターンデータを照合し、一致するパターンがあるか否かを判定する一つ以上のパターンマッチング回路と、
前記タスクキューメモリの前記ファイル情報に基づいて少なくとも一つの前記パターンマッチング回路を起動するスケジューラと、
前記パターンマッチング回路の判定結果を前記ファイル情報に関連づけて通知する通知手段と、を備えるコンピュータウイルス検査装置。
前記ファイルを前記ファイルバッファメモリに転送するためのＤＭＡ（Direct Memory Access）コントローラを備えることを特徴とする請求項１に記載のコンピュータウイルス検査装置。
前記スケジューラは、前記パターンマッチング回路が２つ以上あるとき、前記タスクキューメモリから２つ以上のタスク情報を読み出すとともに、前記タスク情報を各パターンマッチング回路に分散して与えることを特徴とする請求項１記載のコンピュータウイルス検査装置。
前記スケジューラは、前記パターンマッチング回路が２つ以上あるとき、前記タスクキューメモリから１つのタスクに関する１つのファイル情報を読み出し、これを２つ以上に分割するとともに、分割されたファイルを各パターンマッチング回路に分散して与えることを特徴とする請求項１記載のコンピュータウイルス検査装置。
前記スケジューラは、前記パターンマッチング回路が２つ以上あるとき、前記タスクキューメモリから１つのタスクに関する１つのファイル情報を読み出し、このファイルに対応する２つ以上のパターンデータを各パターンマッチング回路に分散して与えることを特徴とする請求項１記載のコンピュータウイルス検査装置。
ＭＡＣ（Media Access Controller）及びＰＨＹ（Physical Layer）を含むネットワークインターフェース回路を備えることを特徴とする請求項１記載のコンピュータウイルス検査装置。
請求項１乃至請求項６いずれかに記載のコンピュータウイルス検査装置を、ワンチップに集積してなる半導体集積回路。
データを含むファイルを一意に特定するファイル情報を受けて、これを保持するタスクキューメモリと、
前記タスクキューメモリのファイル情報によって特定されるファイルを取得して記憶するファイルバッファメモリと、
コンピュータウイルスを識別するためのパターンデータを記憶するパターンデータメモリと、
前記ファイルバッファメモリに取得されたファイルと前記パターンデータを照合し、一致するパターンがあるか否かを判定する一つ以上のパターンマッチング回路と、
前記タスクキューメモリのファイル情報に基づいて少なくとも一つの前記パターンマッチング回路を起動するスケジューラと、
前記パターンマッチング回路の判定結果を前記ファイル情報に関連づけて通知する通知手段と、を備えるコンピュータウイルス検査装置を２台以上備えるコンピュータであって、
前記検査装置のそれぞれに対し、２つ以上のファイルをあらかじめ決められた配分手順に従い分散して配分することを特徴とするコンピュータ。
前記パターンマッチング回路は、
前記パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、検査対象データを記憶する被照合バッファメモリと、前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路とを備え、
前記照合パターンメモリはビット長Ｎ＋Ｆのバイト列を記憶し、
前記被照合バッファメモリはビット長Ｎのバイト列を記憶し、
前記照合回路は、Ｆに含まれる所定のビットが所定の値であるとき、当該バイトを無条件に合致と見なすことを特徴とする請求項１記載のコンピュータウイルス検査装置。
前記パターンマッチング回路は、
前記パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、検査対象データを記憶する被照合バッファメモリと、前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路とを備え、
前記照合パターンメモリはビット長Ｎ＋Ｄのバイト列を記憶し、
前記被照合バッファメモリはビット長Ｎのバイト列を記憶し、
前記照合回路は、あるアドレスにおける前記照合パターンメモリと前記被照合バッファの複数のバイト列を照合するとき、Ｄに対応するバイト数のデータビットが連続しているとみなすことを特徴とする請求項１記載のコンピュータウイルス検査装置。
前記パターンマッチング回路は、
前記パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、検査対象データを記憶する被照合バッファメモリと、前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路とを備え、
前記照合パターンメモリはビット長Ｎ＋Ｍのバイト列を記憶し、
前記被照合バッファメモリはビット長Ｎのバイト列を記憶し、
前記照合回路は、あるアドレスにおける前記照合パターンメモリと前記被照合バッファメモリの複数のバイト列を照合するとき、前記被照合バッファメモリの対応するバイトとマスクパターンＭとの論理積をもとめ、これを前記照合パターンメモリの対応するバイトと照合することを特徴とする請求項１記載のコンピュータウイルス検査装置。
前記パターンマッチング回路は、
前記パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、検査対象データを記憶する被照合バッファメモリと、前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路と、インデックスＩ及びこれに対応するパターンの存在情報をもつルックアップテーブルとを備え、
前記被照合バッファメモリの一部のデータに基づき前記ルックアップテーブルが検索され、前記パターンの存在情報が出力され、
前記照合回路は、前記被照合バッファメモリの内容を前記パターンの存在情報に基づき選択されたパターンと照合することを特徴とする請求項１記載のコンピュータウイルス検査装置。
前記パターンマッチング回路は、
前記パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、検査対象データを記憶する被照合バッファメモリと、前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路と、テキストデータからホワイトスペースを取り除くホワイトスペース除去回路とを備え、
前記ホワイトスペース除去回路は、前記被照合バッファメモリの前段に設けられていることを特徴とする請求項１記載のコンピュータウイルス検査装置。
さらに、入力されたデータがマルチバイト文字及びシングルバイト文字のいずれであるかを判定するマルチバイト文字判定回路を備え、
シングルバイト文字の場合、データは続く処理をバイパスされて前記被照合バッファメモリに入力され、
マルチバイト文字の場合、入力データバッファから続く所定数バイトが取得され、これが付加されたデータが前記被照合バッファメモリに入力されることを特徴とする請求項１３記載のコンピュータウイルス検査装置。
さらに、小文字／大文字判定回路と、前記小文字／大文字判定回路の出力に基づき大文字と小文字の間で変換を行う大文字／小文字変換回路とを備えることを特徴とする請求項１３記載のコンピュータウイルス検査装置。
さらに、ホワイトスペースとして認識する文字コードをあらかじめ設定するための文字登録レジスタを備えることを特徴とする請求項１３記載のコンピュータウイルス検査装置。
照合のためのパターンデータを複数用意するステップと、
第１のパターンデータを用いて検査対象データとの粗照合を行い、合致の可能性があるデータブロックだけを抽出する第1ステップと、
前記抽出されたデータブロックを対象に、第２のパターンデータを用いて合致するデータパターンの特定を行う第２ステップとを備えるコンピュータウイルス検査方法。
前記第２のパターンデータの少なくとも一部を所定の演算式により変換して前記第１のパターンデータを得るステップを備えることを特徴とする請求項１７記載のコンピュータウイルス検査方法。
あらかじめ想定されるデータパターンから所定の演算式に基づき算出される値を記憶するパターンデータメモリと、
入力されるデータをバッファリングするバッファメモリと、
前記演算式に基づき当該バッファメモリの内容から前記値を算出する算出回路と、
前記算出回路の出力を前記パターンデータメモリの値と照合する照合回路とを備えるコンピュータウイルス検査装置。
前記算出回路は、
データを廃棄するときに、アキュムレータレジスタ（値をＡｎとする）で破棄データの前記演算式の逆演算を行い、Ａｎ'を算出する第１のステップ、及び
新たなデータｄが入力されるときに、前記アキュムレータレジスタの値（Ａｎ'）及び当該入力データｄを用いて前記演算式により正演算を行い、（Ａｎ＋１）を算出する第２ステップ、
を繰り返すことを特徴とする請求項１９記載のコンピュータウイルス検査装置。
所定の期間内にウイルスチェックを実施したファイルを特定するインデックスファイルを記憶するインデックスファイルメモリと、
ウイルスチェック要求を受けたファイルが前記インデックスファイルに存在するかどうか検索し、この結果に基づきウイルスチェック処理を選択的にバイパスする手段とを備えるコンピュータウイルス検査装置。
プロキシサーバとして用いられるコンピュータウイルス検査装置であって、
ウイルスに対する処置が完了したファイルを記憶する大容量記憶手段と、当該大容量記憶手段に含まれるファイルのうち、所定期間アクセスされていないことを検知し、当該ファイルを削除する手段とを含むキャッシュシステムを備え、
新たなウイルスチェック要求に基づきウイルスチェックが行われたとき、前記インデックスファイルメモリはチェックされたファイルの情報が追記され、
クライアントコンピュータからのデータ転送リクエストの対象が前記キャッシュシステムに存在するデータであるとき、当該データがクライアントコンピュータに送出され、
クライアントコンピュータからのデータ転送リクエストの対象が前記キャッシュシステムに存在しないデータであるとき、前記リクエストにより特定される外部のネットワーク上のサーバからデータが取得され、取得されたデータについてコンピュータウイルスの検出処理が実行され、
コンピュータウイルスの有無に応じてクライアントコンピュータへの送出、及び、前記キャッシュシステムへの保管及び廃棄が選択的に実行されることを特徴とするコンピュータウイルス検査装置。
記憶されたファイルを予め用意されたパターンデータと照合し、一致するパターンがあるか否かを判定するパターンマッチング回路であって、
パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、
検査対象データを記憶する被照合バッファメモリと、
前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路とを備え、
前記照合パターンメモリはビット長Ｎ＋Ｆのバイト列を記憶し、
前記被照合バッファメモリはビット長Ｎのバイト列を記憶し、
前記照合回路は、Ｆに含まれる所定のビットが所定の値であるとき、当該バイトを無条件に合致と見なすことを特徴とするパターンマッチング回路。
記憶されたファイルを予め用意されたパターンデータと照合し、一致するパターンがあるか否かを判定するパターンマッチング回路であって、
パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、
検査対象データを記憶する被照合バッファメモリと、
前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路とを備え、
前記照合パターンメモリはビット長Ｎ＋Ｄのバイト列を記憶し、
前記被照合バッファメモリはビット長Ｎのバイト列を記憶し、
前記照合回路は、あるアドレスにおける前記照合パターンメモリと前記被照合バッファの複数のバイト列を照合するとき、Ｄに対応するバイト数のデータビットが連続しているとみなすことを特徴とするパターンマッチング回路。
記憶されたファイルを予め用意されたパターンデータと照合し、一致するパターンがあるか否かを判定するパターンマッチング回路であって、
パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、
検査対象データを記憶する被照合バッファメモリと、
前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路とを備え、
前記照合パターンメモリはビット長Ｎ＋Ｍのバイト列を記憶し、
前記被照合バッファメモリはビット長Ｎのバイト列を記憶し、
前記照合回路は、あるアドレスにおける前記照合パターンメモリと前記被照合バッファメモリの複数のバイト列を照合するとき、前記被照合バッファメモリの対応するバイトとマスクパターンＭとの論理積をもとめ、これを前記照合パターンメモリの対応するバイトと照合することを特徴とするパターンマッチング回路。
記憶されたファイルを予め用意されたパターンデータと照合し、一致するパターンがあるか否かを判定するパターンマッチング回路であって、
前記パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、
検査対象データを記憶する被照合バッファメモリと、
前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路と、
インデックスＩ及びこれに対応するパターンの存在情報をもつルックアップテーブルとを備え、
前記被照合バッファメモリの一部のデータに基づき前記ルックアップテーブルが検索され、前記パターンの存在情報が出力され、
前記照合回路は、前記被照合バッファメモリの内容を前記パターンの存在情報に基づき選択されたパターンと照合するパターンマッチング回路。
記憶されたファイルを予め用意されたパターンデータと照合し、一致するパターンがあるか否かを判定するパターンマッチング回路であって、
パターンデータメモリから所定のパターンを受けてこれを記憶する照合パターンメモリと、
検査対象データを記憶する被照合バッファメモリと、
前記照合パターンメモリのバイト列を前記被照合バッファメモリのバイト列と照合する照合回路と、
テキストデータからホワイトスペースを取り除くホワイトスペース除去回路とを備え、
前記ホワイトスペース除去回路は、前記被照合バッファメモリの前段に設けられていることを特徴とするパターンマッチング回路。