应用研究2011.01

36肖梓航,桑胜田,肖新光(安天实验室,黑龙江哈尔滨150020)摘要:本文首先指出软件型反病毒引擎无法满足高速网络数据处理需求的现状,分析了硬件加速的历史和特点,进而分别总结了通过ASIC和GPU两种硬件实现反病毒引擎加速的研究现状,讨论了面临的问题.
同时,介绍了安天实验室在这两个领域中已取得的研究进展,并分析了主要实现思路.

关键词:反病毒引擎;硬件加速;ASIC;GPU;FPGA中图分类号:TP393.
08文献标识码:A文章编号:1671-1122(2011)01-0036-04ResearchonHardwareSpeedupofAntivirusEngineXIAOZi-hang,SANGSheng-tian,XIAOXin-guang(AntiyLabs,Ha'erbinHeilongjiang150020,China)Abstract:Inthispaper,firstlywepointoutthatsoftware-typeantivirusenginecan'tsupplythedemandofnowadayshigh-speednetworkdataprocessing.
Thenweintroducethehistoryofhardwarespeeduptechnologyandanalyzeitscharacteristics.
NextwesummarizeresearchstatusoftheASICandGPUspeedupmethodinantivirusengine,anddiscussedexistingproblems.
LastlywepresentAntiy'sresearchresultsinthesetwoeldsandexplainedthecentralimplementationmethod.
Keywords:antivirusengine;hardwarespeedup;ASIC;GPU;FPGA反病毒引擎硬件研究doi:10.
3969/j.
issn.
1671-1122.
2011.
01.
014收稿时间:2010-12-23作者简介:肖梓航(1988-),男,湖南,副总工程师,本科,主要研究方向:安全事件应急处理技术、病毒分析与检测、反病毒引擎技术;桑胜田(1976-),男,黑龙江,主任,讲师,博士,主要研究方向:微电子技术、反病毒引擎家族技术、安全技术与硬件结合技术研究;肖新光(1974-),男,吉林,首席技术架构师,高工,主要研究方向:反病毒引擎、反病毒体系架构、计算机犯罪取证.
0反病毒引擎现状反病毒技术是信息安全产业的核心技术,反病毒引擎则是反病毒技术这个核心中的核心.

传统的反病毒引擎一般是软件型引擎[1],构建在通用处理器和体系结构之上,通过高级语言程序实现引擎逻辑和数据处理.

软件型引擎的优点在于:1)通用性和普适性:基于X86处理器和体系结构的软件型引擎,可以衍生出个人杀毒软件、企业级安全软件等,运行在绝大部分个人计算机之上;2)设计和实现的成本不高:引擎的设计和实现都以编码的工作形式体现,无论是人力成本和设备成本,还是后期维护(需求变更、Bug修复、版本升级等),需要投入的时间和资金相对都不多.
因此,软件型引擎具有较低的准入门槛,被各类安全厂商广泛使用[2].
但随着信息技术的飞速发展,软件型引擎也开始暴露出不足的一面,即处理速度.

互联网及其承载的信息量爆炸增长,带来了海量的数据.
从个人用户的角度,一个反病毒引擎能在几个小时扫描1TB(1024GB)的文件,就已经可以满足了;但站在企业和网络运营商的角度,核心网和骨干网的吞吐量以10Gbps甚至更高的速率为基本单位,这就对运行在网络设备中的反病毒引擎处理速度提出了更高的要求.
然而,基于通用处理架构的软件型反病毒引擎难以达到这样的超高处理速度.
一方面,软件在从高级语义逻辑执行到物理元器件状态变化的等价转换过程中产生了大量的非最优指令,导致多余的时间开销;另一方面,通用型处理器在硬件设计上主要考虑对单一指令流的分支预测、对存储器访问的缓存加速等问题,因而较适合一般的逻辑事务处理,而不适合大规模高并发的计算.