JP2005503691A - 移動装置への又は移動装置からのデータトラフィック用ネットワークインフラストラクチャ装置 - Google Patents

Abstract

ネットワークゲートウェイ装置はメディアとの接続用に物理的インターフェイスを有する。当該装置は、物理的インターフェイスから受信したパケットの全て又は一部を入口処理し、出口処理用に入口処理済みパケットを送信する入口プロセッサシステムを有する。当該装置は、入口処理済みパケットを受信し、受信したパケットの全て又は一部を物理的インターフェイスへ送信するための出口処理を実行する出口プロセッサシステムを有する。入口プロセッサと出口プロセッサ間の相互接続と、入口プロセッサと物理的インターフェイス間の相互接続と、出口プロセッサと物理的インターフェイス間の相互接続とを含む相互接続が提供される。パケット待ち行列に送信を待つパケットが供給される。パケット待ち行列は、パケットが当該装置に到着してから送信されるまでのパケット専用バッファであってよい。パケットは物理的インターフェイスにおいて設定されたライン速度で当該装置から出力されてよい。入口処理システムは、プロトコル変換、脱カプセル化、復号化、認証、ポイントツーポイントプロトコル（ＰＰＰ）終了及びネットワークアドレス変換（ＮＡＴ）の少なくとも１つ以上を含むパケット処理を実行する。出口処理システムは、プロトコル変換、カプセル化、暗号化、認証データ生成、ＰＰＰ生成及びＮＡＴの少なくとも１つ以上を含むパケット処理を実行する。

Description

【技術分野】
【０００１】
本発明は、一般的にはモバイルインターネットに関し、より詳細には、無線データ通信のユーザがインターネットプロトコル（ＩＰ）ネットワークを通してコンテンツにアクセスできるようにするモバイルインターネットゲートウェイ等のネットワークインフラストラクチャ装置に関する。更に、本発明は、ＩＰネットワークのユーザ（又はＩＰネットワークを通じて接続されたユーザ）が無線データ通信装置のユーザと通信できるようにする処理方法に関する。
【背景技術】
【０００２】
無線データ通信装置のユーザがＩＰネットワークを通してコンテンツにアクセスできるようにするために、ゲートウェイ装置は様々なアクセスサービスと加入者管理を提供する必要がある。このようなゲートウェイは、ＩＰネットワークのユーザ（又はＩＰネットワークを通じて接続されたユーザ）が無線データ通信装置のユーザと通信できるようにする手段も提供する。
【発明の開示】
【発明が解決しようとする課題】
【０００３】
このような装置の構造は、移動プロトコルを適合処理し、拡張可能かつ信頼できるものであり、またＩＰネットワーク間でプロトコルサービスを柔軟に提供できるものでなければならない。ＩＰルータネットワーク（例えばインターネット）から到着するか、ＩＰルータネットワークに向けられるトラフィックは、種々のＩＰベースのプロトコルを使用し、時にはそれらを組み合わせて使用することができる。更に当該装置は、無線アクセスネットワーク（ＲＡＮ）とＩＰネットワークにプロトコルサービスを提供でき、性能を大きく低下させることなくユーザ数を多数拡大でき、高度に信頼できるシステムを提供できなくてはならない。
【０００４】
バスに接続された転送装置とバスに接続された制御装置とに直接接続されたラインカードを含む装置が使用されてきた。転送装置は送信、受信、バッファリング、カプセル化、脱カプセル化及びフィルタリングを実行する。このような構成では、転送装置がレイヤ２のトンネルトラフィックに関する全ての処理を実行する。（脱カプセル化、復号化等を含む）入口処理に関する全ての転送決定が１つの位置で為される。多数のユーザによるアクセスと、起こり得る多量のデータ送受信を必要とするシステムの力学的原理を仮定すれば、このようなシステムはユーザの数を制限してデータ処理の障害を避けるか、あるいはより高速かつ高容量のバスを使用した高速処理を追求する以外にないであろう。
【０００５】
本発明の目的は、ネットワーク装置、特に、受信パケットの全て又は一部の入口処理を実行する入口プロセッサシステムを備え、入口プロセッサシステムは、入口処理済みパケットを受信し、受信パケットの全て又は一部の出口処理を実行する出口プロセッサシステムとは少なくとも部分的に分離されており、それによってパケット処理を効率的に行うことができるゲートウェイ装置を提供することである。
【０００６】
本発明の他の目的は、特に、モバイル及びＲＡＮ技術に特有のデータ通信プロトコルのユーザを含む、ＲＡＮユーザから到着するか、あるいはＲＡＮユーザに向けられたトラフィックを処理し、ＩＰルータネットワーク（例えばインターネット）から到着するか、あるいはＩＰルータネットワークに向けられたトラフィックを処理するための、ネットワークインフラストラクチャ装置を提供することであり、当該装置のシステム構造がＲＡＮ及びＩＰネットワークに対してプロトコルサービスを提供し、高度に信頼できる装置を提供する一方で、処理又は送受信の障害なしに、また性能を大きく低下させることなく、ユーザ数を多数拡大することができる。
【０００７】
本発明の更に他の目的は、ＲＡＮ技術とＩＰネットワークシステム間の通信用ネットワークゲートウェイ装置を提供することであり、ＩＰネットワークシステムは、システム間のトラフィックを処理し、ゲートウェイ装置の一部として接続されたラインカードからのパケットを処理するプロトコルサービスを提供し、入口パケット処理は、少なくとも部分的及び物理的に出口パケット処理から分離されている。
【課題を解決するための手段】
【０００８】
本発明によれば、ネットワークゲートウェイ装置にはメディアとの接続用に物理的インターフェイスが設けられる。当該装置は、物理的インターフェイスから受信した全て又は一部のパケットを入口処理し、出口処理用に入口処理済みパケットを送信する入口プロセッサシステムを備える。更に当該装置は、入口処理済みパケットを受信し、受信したパケットの全て又は一部を物理的インターフェイスへ送信するための出口処理を実行する出口プロセッサシステムも備える。入口プロセッサシステムと出口プロセッサシステム間の相互接続と、入口プロセッサシステムと物理的インターフェイス間の相互接続と、出口プロセッサシステムと物理的インターフェイス間の相互接続とを含む相互接続が提供される。
【０００９】
好都合なことに、当該装置は１つのパケット待ち行列を有することができ、送信を待つパケット待ち行列を作成する。パケット待ち行列はパケットが当該装置に到着してから送信されるまでのパケット専用バッファであってよい。当該装置は物理的インターフェイスにおいて設定されたライン速度でパケットが当該装置を出るようにする。
【００１０】
入口処理システムは、プロトコル変換、脱カプセル化、復号化、認証、ポイントツーポイントプロトコル（ＰＰＰ）終了及びネットワークアドレス変換（ＮＡＴ）の少なくとも１つ以上を含むパケット処理を実行する。出口処理システムは、プロトコル変換、カプセル化、暗号化、認証データ生成、ＰＰＰ生成及びＮＡＴの少なくとも１つ以上を含むパケット処理を実行する。
【００１１】
入口及び出口プロセッサシステムは各々、パケットが装置に入ってくる速度以上の速度でパケットを処理する高速パスプロセッササブシステムを含む。高速パスプロセッササブシステムは、１つのプロトコルから他のプロトコルへとパケットを変換するプロトコル変換処理を提供しても良い。
【００１２】
入口及び出口プロセッサシステムの各々は、復号化と認証の１つ以上を必要とするセキュリティパケットを処理するセキュリティプロセッササブシステムを含んでいて良いが、この処理は高速パスプロセッサのパケット処理と同時に生成する。更にプロセッサシステムは、高速パスプロセッサのパケット処理と同時に生成する付加的なパケット処理用の特別保護パケットプロセッサを含んでいても良い。特別保護パケットプロセッサは、ネットワークアドレス変換（ＮＡＴ）処理と、アプリケーション層ゲートウェイ処理と結合されたＮＡＴ処理（ＮＡＴ−ＡＬＧ）の１つ以上を含むパケット処理を実行することが好ましい。当該プロセッサシステムは、データセッションの開始と終了を合図するパケットと、特定のプロトコルに情報を伝えるために使用されるパケットと、外部エンティティとの相互作用に依存するパケットの処理を含む、高速パスプロセッサのパケット処理と同時に生成する付加的なパケット処理用の制御パケットプロセッサを含んでも良い。
【００１３】
物理的インターフェイスは１つ以上のラインカードを含むことができる。サービスカードの一部として入口プロセッサシステムを設けてもよい。サービスカードの一部として、あるいは別のサービスカードの一部として、出口プロセッサシステムを設けてもよい。このようなカード配置は、ラインカードに接続されるラインカードバスと、サービスカードと別のサービスカードの少なくとも１つに接続されるサービスカードバスと、サービスカードと別のサービスカードの少なくとも１つにラインカードを接続するスイッチ構造とに相互接続されてよい。スイッチ構造は、ラインカードの１つをサービスカードの１つに接続するために使用でき、それによっていずれのラインカードもサービスカードに対してパケットトラフィックを送信することができ、パケットトラフィックのルーティングは、ラインカードによって静的又は動的に構成される。サービスカードバスは、スイッチ構造を通して１つのサービスカードを１つのラインカードに接続するための静的バス部分と、ファブリックカードを通して１つのサービスカードを別のサービスカードに接続するための動的バスとを含んでいてよい。これによって、どのサービスカードも、入口処理を必要とするパケットトラフィックを他の入口処理用のサービスカードに送信できるようになり、出口処理を必要とするトラフィックを他の出口処理用のサービスカードに送信できるようになる。これによって、当該システムは他のサービスカードに存在するかもしれない未使用容量を使用できるようになる。
【００１４】
本発明の他の実施態様によれば、メディアに接続された物理的インターフェイスを介したネットワークからのパケット受信を含むゲートウェイ処理方法が提供される。当該処理方法は入口処理システムによるパケットの入口処理を含む。この処理は、プロトコル変換、脱カプセル化、復号化、認証、ポイントツーポイントプロトコル（ＰＰＰ）終了及びネットワークアドレス変換（ＮＡＴ）の少なくとも１つ以上を含む。その後、パケットは出口パケット処理サブシステムへと転送される。更に当該処理方法は、出口処理システムによるパケットの出口処理を含む。この処理は、プロトコル変換、カプセル化、暗号化、認証データ生成、ＰＰＰ生成及びＮＡＴ処理の少なくとも１つ以上を含む。
【００１５】
ラインカードは様々なメディアとプロトコル用のものであってよい。ラインカードは１つ又は複数のポートを有していてよい。１つ以上のラインカードが、ギガビットイーサネットモジュールや、ＯＣ−１２モジュールや、他のメディアタイプ用モジュール、例えば１５５ＭｂｐｓのＡＴＭ ＯＣ−３ｃマルチモードファイバ（ＭＭＦ）モジュール、１５５ＭｂｐｓのＡＴＭ ＯＣ−３ｃシングルモードファイバ（ＳＭＦ）モジュール、４５ＭｂｐｓのＡＴＭ ＤＳ−３モジュール、１０／１００ＭｂｐｓのイーサネットＩ／Ｏモジュール、４５ＭｂｐｓのクリアチャネルＤＳ−３ Ｉ／Ｏモジュール、５２ＭｂｐｓのＨＳＳＩ Ｉ／Ｏモジュール、４５Ｍｂｐｓのチャネル化されたＤＳ−３ Ｉ／Ｏモジュール、１．５４４ＭｂｐｓのパケットＴ１ Ｉ／Ｏモジュール等であってよい。
【００１６】
特に本開示の一部を形成する添付クレームにおいて、本発明を特徴付ける様々な特徴を指摘する。本発明及びその運用利点と、その使用により達成される特定の目的の理解を助けるために、添付図面を参照して本発明の好適実施形態を説明する。
【発明を実施するための最良の形態】
【００１７】
図面を参照して、本発明は、ネットワークインフラストラクチャ装置又はモバイルインターネットゲートウェイ１０と、ゲートウェイ１０を使用した通信方法からなる。図１及び図２は本発明の２つの可能な展開を示している。本発明は２つ以上のネットワーク間に、あるいは１つ以上のネットワークに属する分離点を形成することができる。ゲートウェイ１０はＲＡＮ１４を介してモバイル加入者とのデータトラフィックを処理する。図１に示すように、ＲＡＮ１４から到着、あるいはＲＡＮ１４に向けられたデータトラフィックは、モバイルユーザとＲＡＮ技術に特有の１つ以上のデータ通信プロトコルを使用しなければならない。ＩＰルータネットワーク（例えばインターネット）１２から到着、あるいはＩＰルータネットワークに向けられたデータトラフィックは、種々のＩＰベースのプロトコルを使用することができ、時にはそれらの組み合わせも使用できる。ここではパケットゲートウェイノード（ＰＧＮ）１０として説明されるゲートウェイ１０のアーキテクチャは、ＲＡＮ１４とＩＰネットワーク１２に対してプロトコルサービスを提供することができ、性能を大きく低下させることなくユーザ数を多数拡大でき、高度に信頼できるシステムを提供できるという課題を解決する。更にＰＧＮ１０は、モバイル加入者の管理（例えば、使用制限や方針施行）と共に、請求及び／又は課金目的用のトラッキング処理を提供する。
【００１８】
概して符号１２で示されるＩＰルータネットワークは、様々な異なるネットワークに対する接続を含むことができる。ＩＰルータネットワーク１２は、例えば、インターネットを含むことができ、外部インターネットプロトコルネットワーク１９に対する接続を有することができ、それはインターネットサービスプロバイダ及びアクティブサーバページ１８に対する接続を提供するか、あるいは企業内ネットワーク１７に対する接続を提供することができる。更にＩＰルータネットワーク１２は、一般スイッチ式電話ネットワーク（ＰＳＴＮ）ゲートウェイ１６、又は例えばローカルリソース（データ記憶装置等）１５への接続を提供することができる。図１及び図２は全てを含んだものではない。その他のネットワークや様々な異なるプロトコルのネットワーク接続も提供される。ＰＧＮ１０は１つ以上のネットワーク間通信を提供してもよいし、あるいは同じネットワークのユーザ間の通信を提供してもよい。
【００１９】
入口処理量が出口処理量と異なる場合もよくある。例えば、Ｗｅｂのコンテンツに対して送信された要求は非常に小さい（微量の入口処理量及び出口処理量）かもしれないが、それに対する応答は巨大かもしれない（音楽ファイル等）。これは多量の入口処理と多量の出口処理を必要とするかもしれない。ラインカード（特定の物理的インターフェイス接続）に対する要求及び応答の両方に対する入口及び出口処理のシリアル処理が遅延等の問題を引き起こすかもしれない。つまり、入口及び出口処理が、例えば同じプロセッサにおいて連続して行われる、あるいは多数のプロセッサで連続して行われる場合、サービスを待っているトラフィックはデータフローの非対称的性質による予測不可能な遅延を被る可能性がある。
【００２０】
図３はＰＧＮ１０と、本発明の方法の態様を示しており、入口処理と出口処理が異なる処理システム間で分割されている。物理的インターフェイス１１のＰＧＮ１０においてパケットが受信され、物理的インターフェイス１１を介してＰＧＮ１０からパケットが送信される。物理的インターフェイス１１は、後述するように、１つ以上のラインカード２２として設けられてよい。入口処理システム１３は相互接続１７を介して物理的インターフェイス１１に接続される。入口処理システム１３は受信したパケットの入口処理を行う。このパケットの入口処理は、プロトコル変換、脱カプセル化、復号化、認証、ポイントツーポイントプロトコル（ＰＰＰ）終了及びネットワークアドレス変換（ＮＡＴ）の少なくとも１つ以上を含む。出口処理システム１５は相互接続１７を介して物理的インターフェイス１１に接続され、更に相互接続１７を介して入口処理システム１３にも接続される。出口処理システム１５は受信したパケットの出口処理を行う。このパケットの出口処理は、プロトコル変換、カプセル化、暗号化、認証データ生成、ＰＰＰ生成及びＮＡＴの少なくとも１つ以上を含む。入口プロセッサ１３と出口プロセッサ１５は、物理的インターフェイス１１と一体化された装置の一部として提供されてもよい。更に、入口プロセッサ１３と出口プロセッサ１５は、相互接続１７を介して１つ以上のラインカード２２に接続される１つ以上のサービスカード２４の一部として提供されてもよい。この処理方法及び配置は入口処理と出口処理を平行して進行させることができる。
【００２１】
図４に示すように、１つのサービスカード２４’が入口処理を提供し、別のサービスカード２４”が出口処理を提供してもよい。入口処理又は出口処理を、１つ以上のサービスカード２４間に分散させてもよい。図４に示すように、１つのサービスカード２４’が入口プロセッサシステム５０と出口プロセッサシステム５２を含む。２２’で示されたラインカードＬＣ１からパケットが受信され、入口プロセッサ５０に入り、そこで処理されて端末相互間パケットを作成する、つまり、（元のＩＰパケットヘッダがカプセル化されている）トンネルを終了させ、インターネットプロトコルセキュリティ（ＩＰＳｅｃ）パケットを復号化し、ポイントツーポイントプロトコル（ＰＰＰ）を終了させ、ＮＡＴ又はＮＡＴ−ＡＬＧを実行する。次に、相互接続１７を介して、端末相互間パケットを別のサービスカード２４”に送る。この別のサービスカード２４”において、出口プロセッサシステム５６が端末相互間パケットをカプセル化及び暗号化し、インターフェイス１１でネットワークへと送信するために２２”で示されるＬＣ２にパケットを送る。
【００２２】
図３の例におけるプロセッサシステム１３及び１５、及び図４の例におけるプロセッサシステム５０、５２、５４、５６の各々には、好ましくは特定の目的のために作られたプロセッサが設けられる。これは特定のパケット、セキュリティパケット及び制御パケットの処理及び簡単なプロトコル変換処理を同時に実行できるようにする。これによってＰＧＮ１０が当該装置のために待ち行列の単一点を使用できるようになる。パケット待ち行列は送信を待っているパケットの待ち行列を作成する。このパケット待ち行列はパケットが当該装置に到着してから送信されるまでのパケット専用バッファである。このパケットは、物理的インターフェイスにおいて設定されたライン速度（パケット入口速度）で、当該装置を出るか又は処理を完了する。各プロセッサシステムは好ましくは、パケットが当該装置に入った速度以上の速度でパケットを処理する高速パスプロセッササブシステムを具備する。高速パスプロセッサシステムは１つのプロトコルから別のプロトコルへとパケットを変換するプロトコル変換処理を提供する。好ましくは、各プロセッサはセキュリティパケットを処理するセキュリティプロセッササブシステムと、制御パケット用の制御サブシステムと、特別保護パケット用の特別保護サブシステムとを具備する。これらのプロセッササブシステムは同時に処理を行う。当該装置はコンテクスト（ユーザトラフィックに関する情報）が他のコンテクストから仮想的に分離されるようにする。更に、必要に応じて、多数のサービスカードの使用により、コンテクストが物理的に分離される。
【００２３】
図５はハードウエアアーキテクチャの一実施形態を示す図である。装置１０のシステムアーキテクチャは、スイッチ構造（ファブリック）又はファブリックカード（ＦＣ）２０を介したラインカード（ＬＣ）２２とのトラフィックからパケット処理を分割する。処理はサービスカード（ＳＣ）２４において行われる。ＬＣ２２は各々ＬＣバス２６（静的ＬＣバス）を介してＦＣ２０に接続される。ＳＣ２４はＳＣ静的バス２８と、ＳＣ動的バス（一次）３０と、ＳＣ動的バス（二次）３２とによって接続される。制御カード（ＣＣ）３６はシリアル制御バス３８を介してＬＣ２２に接続される。ＣＣ３６はＰＣＩバス３４を介してＳＣ２４に接続される。ディスプレイカード（ＤＣ）４２はＤＣバス４４を介してＣＣ３６に接続されてよい。ここで述べたカード（モジュール）のいずれかのために１つ以上の冗長カードを設けてもよい（複数のＳＣ、ＬＣ、ＣＣ及びＦＣが提供されてよい）。冗長性のために多数のＰＣＩバスを設けてもよい。ＰＧＮ１０のアーキテクチャは装置１０を作り上げる全ての主要な部品要素のタイプを同じものにできるようにする。これによって、Ｎ＋１冗長性（Ｎ個のアクティブな部品要素、１個の予備）、又は１＋１冗長性（アクティブな部品要素の各々につき１個の予備）を許容する。
【００２４】
１つのＰＧＮ１０の一部として幾つかのＬＣ２２とＳＣ２４を使用してもよい。この数は、アクセスの必要性（接続タイプとユーザ数）に応じて、また提供される冗長性に応じて変化してよい。ＬＣ２２は各々ネットワークトラフィック１３用のネットワークインターフェイス１１を提供する。ＬＣ２２は、システム用の全てのメディアアクセスコントローラ（ＭＡＣ）と物理層（Ｐｈｙ）機能を処理する。ＦＣ２０はデータパケットのカード間ルーティングを処理する。ＳＣ２４は各々転送パスとプロトコルスタックを実装することができる。
【００２５】
アーキテクチャ内で処理されたパケットは、高速パスパケット、特別保護パケット、セキュリティパケット及び制御パケットとにおおまかに分類される。高速パスパケットとは、パケットが当該装置に入ってくる速度以上の速度での、プロトコル処理とプロトコル変換（１つのプロトコルから別のプロトコルへの変換）を必要とするパケットである。特別保護パケットは高速パスパケットに加えて付加的な処理を必要とする。これはネットワークアドレス変換（ＮＡＴ）又はアプリケーション層ゲートウェイ処理と結合されたＮＡＴ処理（ＮＡＴ−ＡＬＧ）を含む。セキュリティパケットは暗号化、復号化、認証あるいは認証データ生成を必要とする。制御パケットはデータセッションの開始と終了を合図するか、あるいは特定のプロトコル（つまり、送信先に到達できないプロトコル）に情報を伝達するために使用される。制御パケットはポリシサーバ等の外部エンティティとの相互作用に依存してもよい。処理はパケットに要求される処理量によって分割される。異なるクラスのパケットトラフィックが専門の処理機構に配送され、同時に処理されてよい。処理の同時性が、通常のシリアル処理アプローチでは達成できないスループットと速度における利得を可能にする。更に、ＰＧＮ１０に対する入口速度以上の速度で全ての高速処理が実行される。これは、パケットが送信を待っているポイントまでのパケット待ち行列の必要性を除去する。従って、当該装置のユーザは、高速パスプロトコル処理又はプロトコル変換による遅延を被ることはない。
【００２６】
トンネル終了、暗号化、キューイング及びスケジューリングに関するパケット操作はＳＣ２４において生じる。システムの主制御装置はＣＣ３６である。ＣＣ３６はシステムを管理し、ネットワーク内の他のエンティティとの通信ポイント、つまり、ポリシサーバ及びアカウンティングマネージャとして機能する。
【００２７】
従って、柔軟なルーティングにより、スイッチファブリックカード（ＦＣ）２０を通したルーティングを変更するだけで、サービスカード２４あるいはラインカード２２、特に予備サービスカード２４又は予備ラインカード２２が別のサービスカード２４又はラインカード２２の役割を果たすことができるようになる。拡張性能を支えるために、ＰＧＮ１０はインバウンドプロトコル（例えば、図４に示すような入口プロセッサ５０を介したＬＣ１ ２２’の入口パス）と、アウトバウンドプロトコル（例えば、図４に示すような出口プロセッサ５６を通したＬＣ２ ２２”の出口パス）と、プロトコル制御メッセージ伝達と、復号化を必要とするトラフィックの特殊処理とを分割する。
【００２８】
様々なプロトコルを実装することができる。物理層／リンク層（物理的インフラストラクチャ、リンクプロトコルＰＰＰ、イーサネット等）の上部と、アプリケーション層（ユーザとのインターフェイス、トランスポートプロトコル等）の下部で機能するネットワーク層においては、インターネットプロトコル（ＩＰ）を使用することが好ましい。当該装置１０は、ＩＰパケットの流れを確保するためにＩＰＳｅｃプロトコルと共に使用できる。このような状況では、安全な仮想プライベートネットワークが確立されるが、ＰＧＮ１０は、ソフトウエア的処理方法において、入口側での脱カプセル化と復号化を含むプロトコルスタック５５の実装と、出口側でのカプセル化と暗号化を含むプロトコルスタック５７の実装とを含む入口処理を実行する。図６はこれを概略的に示しており、入口プロトコルスタック５５の実装を、ＩＰ層５３からＩＰセキュリティ層５１までの処理進行と共に示している。これは、例えば、脱カプセル化、復号化、プロトコル変換、認証、ＰＰＰ終了及びＮＡＴを含み、出力は端末相互間パケットである。図７は出口側プロトコルスタック５７の実装を概略的に示しており、端末相互間パケットを認証データ生成、ＰＰＰ生成及びＮＡＴと共に、カプセル化し、暗号化し、プロトコル変換することができる。ＩＰＳｅｃのカプセル化及び／又は暗号化は、ＩＰセキュリティ層５１からＩＰ層５３へと移動しているのが示されている。
【００２９】
どのラインカード２２もサービスカード２４にトラフィックを送ることができる。このルーティングは静的に構成されてもよいし、あるいはラインカード２２によって動的に決定されてもよい。どのサービスカード２４も、入口処理用の他のサービスカード２４に入口処理を必要とするトラフィックを送ることができる（例えば、ＳＣ１ ２４’からＳＣ２ ２４”へ）。こうして入口トラフィックを分類する能力を有したラインカード２２は、ルーティングを変更することによって入口サービスカード２４の未使用容量を使用することができる。
【００３０】
入口処理５０は出口処理５６から物理的に分離（５２及び５４における処理からも分離）されている。これは、逐次化されたアプローチを通した性能利得を生じる出口処理と同時に、入口処理が進行できるようにする。（例えば５０における）入口処理を処理するサービスカード２４は、（例えば５６における）出口処理のために他のどのサービスカード２４にもトラフィックを送ることができる。従って、当該装置は他のサービスカード２４に存在するかもしれない未使用容量を使用することができる。
【００３１】
ラインカード（ＬＣ−ｘ）２２は物理的インターフェイスを処理する。ラインカード２２はバス２６を介して（冗長）スイッチファブリックカード（ＦＣ）に接続される。ラインカード２２は２種類、つまり情報処理機能を持つものと、持たないものがあってよい。情報処理機能を持つラインカード２２は（レイヤー３、ネットワーク層までの）パケット分類を実行することができる一方、情報処理機能を持たないラインカード２２はパケット分類を実行できない。前者の場合、ＦＣ２０を介してどのサービスカード２４（ＳＣ）へも分類されたパケットをルーティングすることができ、そこで入口処理と出口処理が生成される。これにより、最少負荷の入口プロセッサを備えたＳＣ２４にＬＣ２２がルーティングすることができるので、負荷平衡を許容する。後者の場合、ＳＣ２４に対するＬＣ２２の割り当てが静的であるが、プログラム可能である。冗長管理も容易になる。ラインカード２２が故障した場合、ＦＣ２０を通る流れを向け直すことによって、待機している予備部品に変えることができる。
【００３２】
図８はサービスカード２４（ＳＣ−ｘ）の配置を示している。各ＳＣ２４は、入口処理サブシステム６２（高速パス処理用）を備えた入口処理と、物理的に別個の出口処理サブシステム６４（高速処理用）を備えた出口処理を提供する。これらのサブシステム６２、６４の処理機能は別個のものである。各入口処理システムは、特殊処理用の別個のパス６６と、特殊処理用の別個の部品要素６８、７０、７３を含む。各出口処理システムは特殊処理用の別個のパス６９と、特殊処理用の別個の部品要素６８、７０、７４を含む。
【００３３】
ＳＣ２４’等のサービスカードの役割はＩＰパケットを処理することである。ＩＰパケットはＦＣインターフェイス２０を通してＳＣ２４’に入る。これは、例えばＬＣ１ ２２’からの到着トラフィックである。パケットは入口プロセッサシステム５０に入り、そこで加入者データパケットと制御データパケットとに分類される。制御パケットは２個のマイクロプロセッサの１つ、つまり制御プロセッサ７０又は特別保護プロセッサ６８に送られる。ソフトウエアとして実装されるプロトコルスタック（例えば５５又は５７）は、制御プロセッサ７０又は特別保護プロセッサ６８においてパケットを処理する。加入者データパケットは入口処理サブシステム６２及び／又はセキュリティサブシステム７３によって処理され、端末相互間パケットを作成する（つまり、トンネルを終了させ、ＩＰＳｅｃパケットを復号化する）。端末相互間パケットはＦＣ２０を介して別のＳＣ２４”に送られる。パケットはＦＣ２０へのインターフェイス７２を通してＳＣ２４”に入る。このパケットは出口プロセッサシステムに入る。これは別のサービスカード（例えばＳＣ２４”）を使用して行うことができ、そこで全ての必要なカプセル化と暗号化が行われる。次にパケットは、例えばＬＣ２ ２２”に送られる。ＬＣ２ ２２”はパケットをネットワークに送信しなければならない。制御プロセッサと特別保護プロセッサ上で動作するプロトコルスタックは、送信用に出口プロセッサへとパケットを注入してもよい。
【００３４】
入口から出口、入口から入口（１つ以上のサービスカード２４に亘って入口処理を分割する）、出口から出口への柔軟なルーティングにより、セッションが確立され分解されるにつれて変化するネットワーク負荷に対して、当該装置が動的に適合できるようになる。入口と出口用の処理資源を、所定の加入者トラフィック用の異なるサービスカード２４に割り当てて、処理負荷を均衡させることができ、こうして高度のスループットを維持する機構を提供する。典型的に、加入者のデータセッションは入口用の所定のＳＣ２４に確立され、また出口用に同じＳＣ２４あるいは別のＳＣ２４に確立される。このセッション及びそのコンテクストに関連する情報が（例えば処理サブシステム６２、６４の）入口、出口プロセッサに維持される。入口から入口（例えば、バス３２、ＦＣ２０、ＦＣインターフェイス７２及びＣＳＩＸリンク８０を介したＳＣ２４’からＳＣ２４”）へのルーティングは、（ユーザが移動して、異なるパスを介して入ってくるかもしれないというモバイルユーザの性質のために）トラフィックが異なるＬＣ２２を介して入り、コンテクストを保持する入口処理サブシステム２４（例えば、ＳＣ２４’の入口処理サブシステム６２）によって処理されることを可能にする。これは、コンテクスト位置の維持を犠牲にしてコンテクストを動かす必要性を除去する。例えば、コンテクスト情報がメモリコントローラ７６によって保持、制御されてもよい。移動するコンテクストデータは問題の多いものであるかもしれない。
【００３５】
ＳＣ２４での加入者データパケットの処理は３つのモード、つまり高速パス、セキュリティパス及び特別保護パスの１つにおいて生成する。高速パス処理は、パケットの入口速度以上の速度でＳＣ２４を通したパケット処理を含むので、適切に名づけられている。これらの処理機能は、特注ハードウエアを使用する入口処理サブシステム６２及び出口処理サブシステム６４において実装される。高速パスでは実行できない処理を必要とするパケットは、プロセッサ６８による特別保護処理用か、あるいはプロセッサ７３又は７４によるセキュリティ処理用に、パス６６又は６９へと流れを変えられる。特別保護処理は、ＰＰＰ及びＧＴＰリオーダリングを必要とするパケット、又はＮＡＴ−ＡＬＧを必要とするパケットを含む。セキュリティ処理はＩＰＳｅｃパケット又はＩＰＳｅｃ処理を必要とするパケットのために実行される。特別保護処理及びセキュリティ処理が完了した時、これらのパケットは高速パスへと再注入される。従って、特別保護処理及びセキュリティ処理が進行中、このような処理を必要としないパケットの流れは入口速度以上の速度で進行することができる。この同時進行方法は、高速パスパケットを待ち行列に並ばせる必要性を除去するので、装置は、高レベルで安定したスループットを持続できるようにする。
【００３６】
ＰＧＮ１０の内部インターフェイスは入口処理及び出口処理機能間の接続を可能にする。入口及び出口ＰＣＩバス６６、６９は制御プレーンからデータプレーンまでの中央データ面インターフェイスである。入口ＰＣＩバス６６（図９参照）は、入口プロセッサフィールドプログラマブルゲートアレイ（ＦＰＧＡ）６２と、暗号化サブシステム又はセキュリティサブシステム７３と、特別保護プロセッササブシステム６８と、制御プロセッササブシステム７０との間の接続を提供する。制御プロセッササブシステム７０は、ローカルシステムコントローラ８６、シンクロナスダイナミックランダムアクセスメモリ（ＳＤＲＡＭ）８７、キャッシュ８８、グローバルシステムコントローラ８３（ＰＣＩバス３４への接続を提供する）、ＳＤＲＡＭ８５及び制御プロセッサ９０を含む。グローバルシステムコントローラ８３、制御プロセッサ９０及びローカルシステムコントローラ８６はバスコネクション６７を介して共に接続される。出口ＰＣＩバス６９は、出口プロセッサＦＰＧＡ８１、暗号化サブシステム又はセキュリティサブシステム７４、特別保護プロセッササブシステム６８及び、制御プロセッササブシステム７０を接続する。
【００３７】
入口ＰＣＩバス６６と出口ＰＣＩバス６９の各々は、約４Ｇｂ／ｓの集合帯域幅を有する。これらのバスは高速パスハードウエアとのデータパケット転送のために使用される。このため、入口プロセッサＦＰＧＡ６２は入口ＰＣＩバス６６上のコントローラであり、（出口プロセッサＦＰＧＡ８１に接続されている）出口プロセッサＦＰＧＡ６４は出口ＰＣＩバス６９上のコントローラである。これらのＰＣＩバス６６、６９は制御プレーンで共有される。ＰＣＩバス３４上の制御プレーン機能については後述する。
【００３８】
特別保護サブシステム６８と、制御プロセッサシステム７０と、セキュリティサブシステム７４は、一対のＰＣＩバス６６と６９を介して入口、出口処理サブシステム６２、６４にインターフェイスで接続する。図９はこれらのバス６６、６９がシステム部品要素を共に接続する方法を示している。１つのＰＣＩバス６６は入口トラフィック専用であり、他方のＰＣＩバス６９が出口トラフィックを運ぶ。入口プロセッササブシステム６２（入口ＦＰＧＡ）６２が入口ＰＣＩバス６６に接続され、出口プロセッササブシステム６４（及び接続された出口プロセッサ８１を備えた接続されたＦＰＧＡ６４）が出口ＰＣＩバス６９に接続される。
【００３９】
ＳＤＲＡＭ８７、制御プロセッサ９０及びキャッシュ８８を備えた、ローカルシステムコントローラ８６（例えばガリレオ６４２６０）を含むコントローラ７０が、バス６６、６９間のブリッジとして作用する特別保護サブシステム６８と共に動作する。セキュリティサブシステム７３、７４は各々バス６６、６９に接続される。この配置は、同じＳＣ上で、出口トラフィックを入口バスに到達させ、入口トラフィックを出口バスに到達させる。これはＩＰＳｅｃ処理の場合にのみ利用することができる。ＰＣＩバス６６、６９は各々６４ビット幅であり、６６ＭＨｚで動作する。これは４．２Ｇｂ／ｓのバス帯域幅を提供する。これらのバスが６０％利用されると仮定すれば、これらのバスは２．５Ｇｂ／ｓの有効帯域幅を有することになる。特別保護サブシステムの特別保護プロセッサに向かうライントラフィックの５０％と、その半分がブリッジを通って、セキュリティサブシステム７４に向かうライントラフィックの２５％がシステムにロードされた場合、これは１．７５Ｇｂ／ｓを使用する。
【００４０】
２（（１Ｇｂ／ｓ×０．５０）＋（１Ｇｂ／ｓ×０．２５）＋（１Ｇｂ／ｓ×０．２５／２））＝１．７５Ｇｂ／ｓ
これにより、制御プロセッサ、特別保護プロセッサ、入口プロセッサ、出口プロセッサ及びセキュリティサブシステム間を制御トラフィックが通過するために１．５Ｇｂ／ｓが残されることになる。
【００４１】
図１０はデータバス２８、３２、３０を示しており、これらのバス上を、ＣＳＩＸバスを介して入口及び出口処理コア６２、６４間でパケットが運ばれる。入口プロセッササブシステム６２は、スイッチ構造インターフェイス部分（例えば、ＶＳＣ８７２）７１を備えたＣＳＩＸバス９１からの３．２Ｇｂ／ｓ（３２ビット×１００ＭＨｚ）の一次入力を有する。バス９１はバス２８とＦＣ２０を介してラインカード２２’からデータを運ぶ。入口プロセッササブシステム６２は、出口サービスカード２４”上での出口処理のために端末相互間データパケットをスイッチ構造（動的部分）２０へと運ぶ、スイッチ構造インターフェイス部分（例えば、ＶＳＣ８７２）７２”を備えたＣＳＩＸバス７７を有する２個一組の３．２Ｇｂ／ｓの一次出力を有する。接続されたサービスカード（例えばＳＣ２４”）はパケットに依存する。入口処理成分６２は更に二次出力を有する。スイッチ構造２０に対するスイッチ構造インターフェイス部分（ＶＳＣ８７２）７２’を備えたこの３．２Ｇｂ／ｓの双指向性ＣＳＩＸリンク８０／８３は、（例えば、１つのＳＣ２４”の）入口プロセッサシステム５０から入口プロセッサ５６（クロスサービスカード、例えば、別のサービスカード２４”）へのパケット転送用である。
【００４２】
出口プロセッササブシステム６４は、スイッチ構造インターフェイス部分（例えばＶＳＣ８７２）７２”からの２個の３．２Ｇｂ／ｓのＣＳＩＸリンク７７からの入力においてデータを受信する。これらのリンク上で出口プロセッササブシステム６４に到着するパケットは、既に端末相互間パケットに処理されたものである。出口プロセッサ（例えば５２又は５６）は、スイッチ構造インターフェイス部分７１に対する３．２Ｇｂ／ｓのＣＳＩＸリンク９５を介してラインカード２２へと完全処理済みパケットを送る。パケットはラインカード２２への途上で静的スイッチ構造２０を横切る。
【００４３】
ＬＣ静的バス２６とＳＣ静的バス２８は、ファブリックカード２０を通してラインカード２２とサービスカード２４を相互接続する。制御カードがファブリックカード２０を構成する場合に、これらの接続が確立される。ＬＣ２２とＳＣ２４間に作られる接続は、事実上静的なものであってよい。これらの接続はほとんど変化しなくてよい。接続変更の理由の一部は、保護切り替えとハードウエアの再準備のためである。
【００４４】
静的バス２６と２８の各々は、４つの高速一方向性差動ペアよりなる。２個のペアが入口方向において加入者データを支持する一方、他の２個のペアが出口方向において加入者データを支持する。各々の差動ペアは２．６４３８４Ｇｂｐｓの高速ＬＶＤＳチャネルである。各チャネルはクロックとデータ情報を含み、受信機におけるクロック回復を助けるために符号化される。このチャネル速度では、情報速度は２．５Ｇｂｐｓである。各静的バス２６、２８用のＬＣ２２とＳＣ２４間の２つのチャネル又はペア内を一方向性加入者データが流れるので、集合情報速度は一方向あたり、バス毎に５Ｇｂｐｓである。
【００４５】
一次動的バス３０は、フレームベースでファブリックカード２０を介して、１つのサービスカード２４の入口プロセッサを別のサービスカード２４の出口プロセッサに接続する。各々の一次動的バス３０は８個の高速一方向性差動ペアよりなる。４個のペアが入口方向において加入者データを支持する一方、他の４個のペアが出口方向において加入者データを支持する。各々の差動ペアは２．６４３８４Ｇｂｐｓの高速ＬＶＤＳチャネルである。各チャネルはクロックとデータ情報を含み、受信機におけるクロック回復を助けるために符号化される。このチャネル速度では、情報速度は２．５Ｇｂｐｓである。一方向性加入者データが４個のチャネル又はペア内を流れるので、所定の方向に対する集合情報速度は１０Ｇｂｐｓである。二次動的バス３２は、電気的には静的バスと等しいが、動的であるので、加入者データのルートをフレームベースで変更することができる。
【００４６】
図１１のフローチャートに本発明の処理方法を示している。この処理方法は、ステップ１００において、接続バス２８、３０、３２の形で装置インフラストラクチャを提供し、接続バスを選択的に相互接続するためのスイッチ構造２０を提供する。少なくとも、第１ラインカード２２’と、第２ラインカード２２”と、第１サービスカード２４’と、第２サービスカード２４”及び制御カード３６とが提供される。好都合なことに、冗長ラインカード２２と、冗長サービスカード２４と、冗長ファブリックカード２０及び冗長制御カード３６を提供することもできる。ファブリックカード２０を通るラインカードバス２６を介して、第１ラインカード２２’から、２４’で示されるサービスカード１に対するサービスカード静的バス２８までの実質的な静的接続を確立するために、ファブリックカード２０を接続して構成する。この構成では、ステップ１０２で示すように、ファブリックカード２０も、２２”で示されるラインカード２２から、関連するラインカードバス２６と、ファブリックカード２０を介して、２４”で示されるサービスカード２と関連するサービスカード静的バス２８までの接続を提供する。ステップ１０４は、ＬＣバス２６と、ファブリックカード２０と、ＳＣ静的バス２８とを介して第１サービスカード２４’へとパケットを転送する、第１ラインカード２２’におけるパケット受信ステップを示している。図８から解るように、第１サービスカード２４’は入口処理システム５０でパケットを処理する。上述したように、制御パケットは制御プロセッサ６２か、あるいは特別保護プロセッサ６６のいずれかに送られ、加入者データパケットが処理されて、ステップ１０６において端末相互間パケットを作成する。ステップ１０６において、必要な脱カプセル化と復号化が行われる。ステップ１０８において、動的バス３０（一次動的バス）を介して、第２サービスカード２４”の出口処理システム５６へと、ＦＣ２０を介して端末相互間パケットが転送される。ステップ１１０において、第２サービスカード２４”の出口パケットプロセッサが、カプセル化と暗号化を含む端末相互間パケット処理を実行する。次にこれらのパケットは１つのラインカード、例えば、ステップ１１２で示すように、第２ラインカード２２”に送られる。ステップ１１４において、ラインカード２２はパケットをネットワーク内へと送信する。制御プロセッサ６２と特別保護サブシステム６６上で動作しているプロトコルスタック５５が、送信のために入口プロセッサへとパケットを注入してもよい。サービスカード２４”の制御プロセッサ６２とサービスカード２４”の特別保護サブシステム６６は、出口処理のために更にパケットを処理することができる。
【００４７】
ディスプレイバス４４を介してディスプレイカード４２を使用し、システム全体をモニタしてもよい。シリアル制御バス３８を介してラインカードをモニタしてもよい。制御カード３６は、１つ又は複数の１０／１００ベースＴ出力４３とシリアル出力４７とＰＣＭＣＩＡ（又はコンパクトフラッシュ）出力４９とを含むことができるＥＭＳインターフェイス４８のような他の出力インターフェイスを有していてもよい。
【００４８】
多数組の顧客用サービス品質をサポートするために、当該装置１０は待ち行列の単一点をサポートする。典型的に、各セット１２０が多数の個人を含む、顧客セット１２０に対して、ある組のプロトコルサービスと、装置内で利用できる全帯域幅の一部が保証される。従って、顧客セットのトラフィックの出口速度をモニタできることが必要である。図１２は、異なる物理的インターフェイス２２を使用して装置に到着する多数の顧客セット１２０を示している。
【００４９】
物理的入口の分配性のため、特に、顧客セット１２０のメンバーがどの物理的インターフェイスに到着するか解らないので、また全ての処理が入口速度以上の速度で行われるので、集合の共通点がＳＣの出口部分に確立される。図１２において、顧客セット＃５は、ＬＣ−５とＬＣ−７を使用して装置に入ることができる。この顧客セット＃５用の入口プロセッサ処理は、入口トラフィック１２２で示されるように、ＳＣ−３とＳＣ−４で行われる一方、入口プロトコル処理１２４後のトラフィックによって示されるように、出口処理はＳＣ−６で行われる。ＦＣはＬＣ−５とＬＣ−７からの入口トラフィックを、入口プロトコル処理のために２つのＳＣ−３とＳＣ−４に切り換える。出口処理はＳＣ−６で行われるので、入口プロトコル処理に続く出口処理のために、ＦＣ２０はこのトラフィック１２４をＳＣ−６に切り換える。ＳＣ−６は共通集合点を提供し、ＬＣに対する出口１２６を待つ顧客セットのトラフィックを保持するために、（１つの位置に）１つ以上の待ち行列を含む。顧客セットの集合トラフィックの入口速度が、時には特定の物理的インターフェイスの出口速度を超えるかもしれないので、キューイングが必要である。集合点において、顧客セットのトラフィックの出口速度モニタリングが生成する。
【産業上の利用可能性】
【００５０】
本発明はモジュラユニットに基づく装置を提供する。このようなモジュラユニットを表すために用語カードを使用する。モジュールを追加及び減算でき、同じ冗長モジュールと組み合わせてもよい。しかしながら、本発明の主題は（モジュールを含まない）単一ユニットで実行されてもよいし、あるいは異なる機能群の他の特徴と組み合わせた、ここで説明したモジュールの特徴を備えていてもよい。
【００５１】
本発明の原理の応用を示すために、本発明の特定の実施形態を図示し詳細に説明してきたが、本発明はこのような原理から逸脱することなく、別の処理方法で具体化できることが理解されるであろう。
【図面の簡単な説明】
【００５２】
【図１】本発明による装置を使用するシステムの概略図である。
【図２】本発明による装置を使用する別のシステムの概略図である。
【図３】本発明による処理方法及び処理システムを示す図である。
【図４】図３に示した処理方法の更なる処理面を示す図である。
【図５】本発明による装置の一実施形態のシステム成分を示す図である。
【図６】パケット処理を可能にして端末相互間パケットを作成する（つまり、トンネルが終了し、ＩＰＳｅｃパケットが復号化される）、入口プロトコルスタック実装を示す概略図である。
【図７】必要なカプセル化と暗号化を含むパケットの処理を可能にする、出口プロトコルスタック実装を示す概略図である。
【図８】本発明の一実施形態によるサービスカード構造を示す図である。
【図９】図８に示した実施形態によるサービスカードの周辺成分相互接続（ＰＣＩ）データバス構造を示す図である。
【図１０】図８に示した実施形態によるサービスカードの共通スイッチインターフェイス（ＣＳＩＸ）データバス構造を示す図である。
【図１１】本発明による処理方法を示すフローチャートである。
【図１２】本発明の単一点待ち行列特徴を示す図である。

Claims (34)

1. メディアに接続するための物理的インターフェイスと、
   前記物理的インターフェイスから受信するパケットの全て又は一部を入口処理し、出口処理用に入口処理済みパケットを送信する入口プロセッサシステムと、
   入口処理済みパケットを受信し、物理的インターフェイスへ送信するために受信したパケットの全て又は一部を出口処理する出口プロセッサシステムと、
   前記入口プロセッサシステムと前記出口プロセッサシステム間の相互接続と、前記入口プロセッサシステムと前記物理的インターフェイス間の相互接続と、及び前記出口プロセッサシステムと前記物理的インターフェイス間の相互接続とを含む相互接続とを備える
   ことを特徴とするネットワークゲートウェイ装置。
2. 当該ネットワークゲートウェイ装置が、更に、
   送信を待つパケットの待ち行列位置を作成するパケット待ち行列を備え、前記パケット待ち行列は、パケットが当該装置に到着してから送信されるまでのパケット専用バッファ位置である
   ことを特徴とする請求項１に記載のネットワークゲートウェイ装置。
3. パケットは物理的インターフェイスにおいて設定されたライン速度で当該装置を出る
   ことを特徴とする請求項１に記載のネットワークゲートウェイ装置。
4. 前記入口プロセッサシステムは、プロトコル変換、脱カプセル化、復号化、認証、ポイントツーポイントプロトコル（ＰＰＰ）終了及びネットワークアドレス変換（ＮＡＴ）の少なくとも１つ以上を含むパケットを処理し、前記出口処理システムは、プロトコル変換、カプセル化、暗号化、認証データ生成、ＰＰＰ生成及びＮＡＴの少なくとも１つ以上を含むパケットを処理する
   ことを特徴とする請求項１に記載のネットワークゲートウェイ装置。
5. 前記入口プロセッサシステムは、パケットが当該装置に入ってくる速度以上の速度でパケットを処理する高速パスプロセッササブシステムを含む
   ことを特徴とする請求項１に記載のネットワークゲートウェイ装置。
6. 前記高速パスプロセッササブシステムは、パケットを１つのプロトコルから他のプロトコルへ変換するプロトコル変換処理を提供する
   ことを特徴とする請求項５に記載のネットワークゲートウェイ装置。
7. 前記出口プロセッサシステムは、パケットが当該装置を出る速度以上の速度でパケットを処理する高速パスプロセッササブシステムを含む
   ことを特徴とする請求項５に記載のネットワークゲートウェイ装置。
8. 前記入口プロセッサシステムは、復号化と認証との１つ以上を必要とするセキュリティパケットを処理するセキュリティプロセッササブシステムを含み、前記処理は高速パスプロセッサのパケット処理と同時に生成する
   ことを特徴とする請求項５に記載のネットワーク装置。
9. 前記出口プロセッサシステムは、暗号化と認証データ生成の１つ以上を必要とするセキュリティパケットを処理するセキュリティプロセッササブシステムを含み、前記処理は高速パスプロセッサのパケット処理と同時に生成する
   ことを特徴とする請求項７に記載のネットワーク装置。
10. 前記入口プロセッサシステムは、高速パスプロセッサのパケット処理と同時に生成する付加的なパケット処理用の特別保護パケットプロセッサを含み、前記特別保護パケットプロセッサは、ネットワークアドレス変換（ＮＡＴ）処理と、アプリケーション層ゲートウェイ処理と結合されたＮＡＴ処理（ＮＡＴ−ＡＬＧ）との１つ以上を含むパケットを処理する
    ことを特徴とする請求項７に記載のネットワーク装置。
11. 前記入口プロセッサシステムは、データセッションの開始と終了を合図するパケットと、特定のプロトコルに情報を伝えるために使用されるパケットと、外部エンティティとの相互作用に依存するパケットの処理を含む、高速パスプロセッサのパケット処理と同時に生成する付加的なパケット処理用の制御パケットプロセッサを含む
    ことを特徴とする請求項７に記載のネットワーク装置。
12. 前記物理的インターフェイスはラインカードを含み、前記入口プロセッサシステムはサービスカードの一部として設けられ、前記出口プロセッサシステムは前記サービスカードと別のサービスカードの１つに設けられ、
    前記相互接続は、
    前記ラインカードに接続されるラインカードバスと、
    前記サービスカードと前記別のサービスカードの少なくとも１つに接続されるサービスカードバスと、
    前記サービスカードと前記別のサービスカードの少なくとも１つに前記ラインカードを接続するスイッチ構造とを含む
    ことを特徴とする請求項１に記載のネットワーク装置。
13. 前記サービスカードは前記入口プロセッサシステムと前記出口プロセッサシステムとを含み、
    前記別のサービスカードは、前記ラインカードから受信したパケットの全て又は一部を処理し、出口処理のために入口処理されたパケットを送信する別の入口プロセッサシステムと、入口処理されたパケットを受信し、受信したパケットの全て又は一部を前記ラインカードに送信するために処理する別の出口プロセッサシステムとを含み、
    それによって、１つのサービスカードによる入口処理と別のサービスカードによる出口処理のために、又は１つ以上のサービスカードを使用する入口処理のために、サービスカード間でパケットの送信を可能にする
    ことを特徴とする請求項１２に記載のネットワーク装置。
14. 前記サービスカードの各々が同じものであり、冗長性を提供するために他のサービスカードの１つを機能的に交換するための予備のサービスカードが提供される
    ことを特徴とする請求項１３に記載のネットワークゲートウェイ装置。
15. 前記物理的インターフェイスは、前記スイッチ構造によって前記サービスカードと前記別のサービスカードの少なくとも１つに接続される別のラインカードを含む
    ことを特徴とする請求項１３に記載のネットワークゲートウェイ装置。
16. 前記スイッチ構造は前記ラインカードのいずれか１つを前記サービスカードのいずれか１つに接続し、それによって、どのラインカードもサービスカードにパケットトラフィックを送信することができ、パケットトラフィックのルーティングが前記ラインカードによって静的又は動的に構成される
    ことを特徴とする請求項１５に記載のネットワークゲートウェイ装置。
17. 前記サービスカードバスは、前記スイッチ構造を通して前記ラインカードの１つに前記サービスカードの１つを接続するための静的バス部分と、前記スイッチ構造を通して１つのサービスカードを別のサービスカードに接続するための動的バスとを含み、
    どのサービスカードも入口処理を必要とするパケットトラフィックを入口処理用の他のサービスカードに送信できるようにし、どのサービスカードも出口処理を必要とするトラフィックを出口処理用の他のサービスカードに送信できるようにし、
    それによって、当該システムは他のサービスカードに存在するかもしれない未使用容量を使用できる
    ことを特徴とする請求項１３に記載のネットワークゲートウェイ装置。
18. メディアに接続された物理的インターフェイスを介してネットワークからパケットを受信し、
    入口処理システムで、プロトコル変換処理、脱カプセル化、復号化、認証、ポイントツーポイントプロトコル（ＰＰＰ）終了及びネットワークアドレス変換（ＮＡＴ）の１つ以上を含むパケットを入口処理し、
    出口パケット処理システムへパケットを転送し、
    出口処理システムで、プロトコル変換、カプセル化、暗号化、認証データ生成、ＰＰＰ生成及びＮＡＴの１つ以上を含むパケットを出口処理する
    ことを特徴とするネットワークゲートウェイ処理方法。
19. 当該処理方法は、更に、
    送信を待つパケットの待ち行列を作成し、
    パケットが入口処理システムに到着してから送信されるまでのパケット専用バッファであるパケット待ち行列に繋がれたパケットを、物理的インターフェイスを介して送信する
    ことを特徴とする請求項１８に記載の処理方法。
20. パケットは物理的インターフェイスにおける入口速度で、前記入口プロセッサによって処理される
    ことを特徴とする請求項１８に記載の処理方法。
21. 前記入口プロセッサシステムは、パケットが入口プロセッサシステムに入ってくる速度以上の速度でパケットを処理する高速パスプロセッササブシステムを含む
    ことを特徴とする請求項１８に記載の処理方法。
22. 前記高速パスプロセッササブシステムはパケットを１つのプロトコルから別のプロトコルへ変換するプロトコル変換処理を提供する
    ことを特徴とする請求項２１に記載の処理方法。
23. 前記入口プロセッサシステムは、復号化と認証との１つ以上を必要とするセキュリティパケットを処理するセキュリティプロセッササブシステムを含み、前記処理は高速パスプロセッサのパケット処理と同時に生成する
    ことを特徴とする請求項２１に記載の処理方法。
24. 前記入口プロセッサシステムは、高速パスプロセッサのパケット処理と同時に生成する付加的なパケット処理用の特別保護パケットプロセッサを含み、前記特別保護パケットプロセッサは、ネットワークアドレス変換（ＮＡＴ）処理と、アプリケーション層ゲートウェイ処理と結合されたＮＡＴ処理（ＮＡＴ−ＡＬＧ）との１つ以上を含むパケットを処理する
    ことを特徴とする請求項２１に記載の処理方法。
25. 前記入口プロセッサシステムは、データセッションの開始と終了を合図するパケットと、特定のプロトコルに情報を伝えるために使用されるパケットと、外部エンティティとの相互作用に依存するパケットの処理を含む、高速パスプロセッサのパケット処理と同時に生成する付加的なパケット処理用の制御パケットプロセッサを含む
    ことを特徴とする請求項２１に記載の処理方法。
26. 当該処理方法は、更に、
    １つのラインカードを含む前記物理的インターフェイスを用意し、
    １つのサービスカードの一部として前記入口プロセッサシステムを用意し、
    サービスカードと別のサービスカードの１つに前記出口プロセッサシステムを用意し、
    前記ラインカードに接続される１つのラインカードバスを用意し、
    前記サービスカードと別のサービスカードの少なくとも１つに接続されるサービスカードバスを用意し、
    前記サービスカードと別のサービスカードの少なくとも１つにラインカードを接続するスイッチ構造を用意する
    ことを特徴とする請求項２１に記載の処理方法。
27. 当該処理方法は、更に、
    前記入口プロセッサシステムと前記出口プロセッサシステムを前記サービスカードの一部として用意し、
    前記ラインカードから受信したパケットの全て又は一部を処理し、入口処理済みパケットを出口処理のために送信する別の入口プロセッサシステムと、入口処理済みパケットを受信し、受信したパケットの全て又は一部をラインカードに送るために処理する別の出口プロセッサシステムとを備えた別のサービスカードを用意し、
    １つのサービスカードによる入口処理と別のサービスカードによる出口処理のために、又は１つ以上のサービスカードを使用する入口処理のために、サービスカード間でパケットを送信する
    ことを特徴とする請求項２６に記載の処理方法。
28. 当該処理方法は、更に、
    前記物理的インターフェイスの一部として別のラインカードを用意し、
    前記スイッチ構造を介して、前記サービスカードと前記別のサービスカードの少なくとも１つに前記別のラインカードを接続する
    ことを特徴とする請求項２６に記載の処理方法。
29. 当該処理方法は、更に、
    前記スイッチ構造を使用して、前記ラインカードのいずれか１つを前記サービスカードのいずれか１つに接続し、
    それによって、どのラインカードもサービスカードにパケットトラフィックを送信することができ、パケットトラフィックのルーティングが前記ラインカードによって静的又は動的に構成される
    ことを特徴とする請求項２８に記載の処理方法。
30. 当該処理方法は、更に、
    前記スイッチ構造を通して前記サービスカードの１つを前記ラインカードの１つに接続するための静的バスとして、及び、前記スイッチ構造を通して１つのサービスカードを別のサービスカードに接続するための動的バスとして、前記サービスカードバスを用意し、
    どのサービスカードも入口処理を必要とするパケットトラフィックを他の入口処理用のサービスカードに送信できるようにし、どのサービスカードも出口処理を必要とするトラフィックを他の出口処理用のサービスカードに送信できるようにし、
    それによって、当該システムは他のサービスカードに存在するかもしれない未使用容量を使用できる
    ことを特徴とする請求項２８に記載の処理方法。
31. 当該処理方法は、更に、
    前記パケット受信ステップの一部として第１パケットプロトコルを備えたネットワークからパケットを受信し、
    前記パケットの入口処理ステップのために第１モジュール入口処理サブシステムを使用して、端末相互間パケットを作成し、
    端末相互間パケットを第２モジュール出口処理サブシステムに転送し、
    出口パケット処理のために第２モジュール出口処理サブシステムを使用して、第２パケットプロトコルを備えたネットワークに送信するためのパケットを作成し、
    第２パケットプロトコルを備えたネットワークからパケットを受信し、
    入口処理のために第２モジュール入口処理サブシステムを使用して、端末相互間パケットを作成し、
    端末相互間パケットを第１モジュール出口処理サブシステムに転送し、
    出口パケット処理のために第１モジュール出口処理サブシステムを使用して、第１パケットプロトコルを備えたネットワークに送信するためのパケットを作成する
    ことを特徴とする請求項２５に記載の処理方法。
32. 当該処理方法は、更に、
    スイッチ構造を用意し、
    バスを介して、ネットワークインターフェイスを提供する第１ラインカードをスイッチ構造に接続し、
    バスを介して、第１サービスカードをスイッチ構造に接続し、
    バスを介して、ネットワークインターフェイスを提供する第２ラインカードをスイッチ構造に接続し、
    バスを介して、第２サービスカードをスイッチ構造に接続し、
    第１ラインカードから第１サービスカードへパケットを転送し、
    第１サービスカードにおいて、パケットについて、前記パケット入口処理ステップの一部として脱カプセル化と復号化との１つ以上を含む処理を行い、
    第１サービスカードから第２サービスカードへパケットを転送し、
    第２サービスカードにおいて、パケットについて、前記パケット出口処理ステップの一部としてカプセル化と暗号化との１つ以上を含む処理を行い、
    第２サービスカードから第２ラインカードへパケットを転送する
    ことを特徴とする請求項１８に記載の処理方法。
33. 前記第１サービスカード及び前記第２サービスカードの各々が、ラインカードからの入口パケットについて、ラインカードへの出口パケットの処理とは別個のカプセル化及び暗号化処理を含み、別個の処理サブシステムでの脱カプセル化及び復号化処理を含む処理を行う
    ことを特徴とする請求項３２に記載の処理方法。
34. 当該処理方法は、更に、
    １つ以上の他のサービスカードと１つ以上の他のラインカード上のデータトラフィックから分離されたトラフィックフローで、１つ以上のサービスカードと１つ以上のラインカードを使用する物理的分離データトラフィックを含むトラフィックを分離する
    ことを特徴とする請求項２９に記載の処理方法。

Images