基于FPGA改进电路的高性能正则表达式匹配算法.docVIP

基于FPGA改进电路的高性能正则表达式匹配算法 　　摘要：针对正则表达式匹配过程中吞吐率低及逻辑资源占用数多的问题，提出一种完全基于现场可编程门阵列（FPGA）逻辑电路的改进确定有限自动机（DFA）匹配算法。首先，该算法统计了DFA中每个状态的大多数转移边都会集中指向相同状态特征的结果，随后根据正则表达式的转移矩阵为DFA的每个状态设置一条默认的转移边，最后进行逻辑电路简化处理，并采用L7filter规则集进行实测。实验结果表明，改进后的DFA方案与非确定有限自动机（NFA）方案相比，有10%～60%的规则获得了更高的吞吐率，62%～87%的规则占用了更少的逻辑资源。该算法的提出对于提高应用系统的性能、节约硬件成本有着重要的现实意义。 　　关键词：正则表达式；现场可编程门阵列； 模式匹配； 确定性有穷状态自动机 　　中图分类号：TN911.22 文献标志码：A 　　0引言 　　随着计算机网络的普及与快速发展，各种新型病毒和网络攻击层出不穷，变化多端，经常会造成巨大的经济损失和极坏的社会影响。网络入侵检测系统和报文深度检测系统已经成为网络安全的重要组成部分[1]，特征匹配是其中的关键技术。由于正则表达式具有强大的描述能力，日益广泛应用于各种入侵检测系统和报文深度内容检测系统中，如Snort[2-3]、L7filter[4]等。随着网络带宽和流量的急剧增长及待处理的正则表达式数量的不断增加，研究正则表达式的匹配算法和硬件加速结构具有重要意义。 　　基于现场可编程门阵列（FieldProgrammable Gate Array， FPGA）的正则表达式匹配技术主要有确定有限自动机（Deterministic Finite Automaton， DFA）和非确定有限自动机（Nondeterministic Finite Automaton， NFA）。由于规则库的不断扩大，基于FPGA的匹配电路规模增大，这不仅使电路结构变得复杂，同时也消耗了更多的硬件资源，最终使处理效率降低。本文提出了一种完全基于FPGA逻辑电路的改进的DFA匹配算法，与NFA方案相比，获得了较高的吞吐量和较低的资源占用率。 　　1相关工作 　　正则表达式匹配技术是相关网络应用的热点问题。如何增加吞吐量和占用较少的逻辑资源数是评价匹配性能的重要指标，也是人们关注的重要问题。DFA需要的存储空间是O（2n），而NFA只是O（n2）[5]，由于状态数和转移边需要占用大量的逻辑资源和布线资源，因此目前为止DFA的实现方案通常基于FPGA上的区块随机存储器（Block Random Access Memory， Block RAM）和静态随机存储器（Static Random Access Memory， SRAM），因而最小化DFA的存储需求成为DFA算法研究的热点[6-7]。 　　2006年，Kumar等[8]提出了D2FA（Delayed Input DFA）方法，该方法的核心想法是：通过在两个相对较多相同的到达状态之间建立一条默认转移边来减少状态转移边的数目，减小自动机的存储空间。通过引入默认转移边来减少DFA的状态转移边，实验结果表明该方法平均能够减少95%的状态转移边。但其实际的匹配性能并不理想。2009年，Lin等[9]提出了一种精简确定型有限自动机（ComPact DFA， CPDFA），通过将转移概率最高的3个状态放到一个间接转移表中，节省了大约90%的存储空间。2010年田里[10]提出以Snort库中匹配规则为基础，对其NFA电路级实现进行优化和改进，能有效提高吞吐率减小单位字符占用资源量。Clark等[11]给出了一种基于多字符偏移并行处理的NFA结构， 　　贺炜等[11]提出一种单周期处理多字符的匹配算法――MCDFA（MultiCharacter DFA），基于DFA实现，支持匹配位置的精确定位。2014年谭用秋等[12]提出了一种基于FPGA使用改进游程编码压缩DFA的高速正则表达式匹配算法，具有较好的压缩率及速度优势，压缩后的DFA实现一次状态转移只需2个时钟周期。 　　根据以上方法介绍可看出，现有的正则表达式匹配技术在匹配性能的实际效果及复杂正则表达式的匹配仍有不足之处，因此，需要对复杂正则表达式的匹配电路作进一步改进和优化。下面的章节安排如下：第三部分描述了改进的DFA算法的基本思路和电路结构，第四部分给出了测试平台和测试结果，第五部分进行了总结，并展望了下一步的工作。 　　3实验结果与分析 　　3.1测试方案和规则集 　　为了能够全面和真实地比较改进后DFA匹配引擎的性能，作为对比，根据Sidhu等[15]的设计实现了NFA的匹配引擎，并加入了译码器以节约布线资源。实现了将正则表达式转化为逻辑电路的编