JP7577580B2

JP7577580B2 - Ｓｓｌ通信処理装置及びｓｓｌ通信処理方法

Info

Publication number: JP7577580B2
Application number: JP2021045850A
Authority: JP
Inventors: 諒小木戸
Original assignee: PFU Ltd
Current assignee: PFU Ltd
Priority date: 2021-03-19
Filing date: 2021-03-19
Publication date: 2024-11-05
Anticipated expiration: 2041-03-19
Also published as: JP2022144714A

Description

本発明は、ＳＳＬ通信処理装置及びＳＳＬ通信処理方法に関する。

例えば、特許文献１には、マルチコアを有するネットワークサービスプロセッサ内のワークを順序づけ、同期化しかつスケジューリングする装置であって、各ひとまとまりのワークは、このワークがいかに同期化されかつ順序づけられるべきかを示すタグによって特定され、異なるタグを有するワークを異なるプロセッサコアで並列に処理することによって、スループットが向上し、パケット処理は種々のステージに分割されることができ、各ステージは、順序づけおよび同期化に関する制約に応じて、異なるタグを有し、コアによって開始されるタグスイッチ操作は、ステージに応じてタグを切り換え、専用のタグスイッチバスが、タグスイッチ操作の待ち時間を最小限に抑える装置が開示されている。

また、特許文献２には、記憶部１ａが、複数のリクエスト間の関連性に関する情報およびリクエストの送信に関する優先度を該リクエストに対応付けて記憶し、処理部１ｂが、処理の実行に関する第１のリクエストを受信すると、記憶部１ａを参照して、第１のリクエストに関連する第２のリクエストと、第２のリクエストに対応する第１の優先度とを特定し、処理部１ｂが、第１のリクエストに応じた処理を実行する情報処理装置２に、第１の優先度よりも高い第２の優先度で第２のリクエストを送信する送信制御装置が開示されている。

また、特許文献３には、セキュリティ・オペレーションを処理する方法であって、プロセッサは、セキュリティ・オペレーションに対するいくつかの要求を処理するいくつかの実行ユニットを含み、これらの実行ユニットは、いくつかの要求の結果を、その要求に格納されているポインタに基づいて、遠隔メモリ内の要求に関連する出力データ構造に出力し、この実行ユニットは、要求待ち行列内の要求の順番とは異なる順番で結果を出力することができ、プロセッサは実行ユニットに結合されている要求ユニットも含み、要求ユニットは、要求の一部を遠隔メモリ内の要求待ち行列から取り出し、要求の一部に対する関連する入力データ構造を遠隔メモリから取り出し、さらに、要求ユニットは、取り出した要求を実行ユニットによる処理の可用性に基づいていくつかの実行ユニットに分配する方法が開示されている。

特表２００８－５１２９５０特開２０１９－０４０３４４特表２００３－２１６５９１

ＳＳＬ通信の暗号化処理又は復号化処理を行うデバイスの性能を十分に発揮させるＳＳＬ通信処理装置を提供することを目的とする。

本発明に係るＳＳＬ通信処理装置は、ＳＳＬ通信の暗号化処理又は復号化処理のリクエストを発行するリクエスト発行コアと、前記リクエスト発行コアにより発行されたリクエストをキューイングするリクエストキューを複数含むリクエストキュー集合体と、前記リクエストキューにキューイングされたリクエストを処理するデバイスとを有し、一つの前記リクエスト発行コアに対して、グループ化された複数のリクエストキューが割り当てられている。

好適には、前記リクエスト発行コアは、グループ化された複数のリクエストキューのうち、代表のリクエストキューに対してリクエストを発行し、このグループ化されたリクエストキューのうち、ラウンドロビンで選択されたリクエストキューが、前記代表のリクエストキューに対して発行されたリクエストをキューイングする。

好適には、前記デバイスは、互いに独立して並列処理できる複数の子デバイスを含み、グループ化された複数のリクエストキューは、互いに異なる子デバイスに割り当てられている。

好適には、前記デバイスは、前記リクエストキューよりも多いエンジンを含む。

また、本発明に係るＳＳＬ通信処理方法は、リクエスト発行コアが、ＳＳＬ通信の暗号化処理又は復号化処理のリクエストを、このリクエスト発行コアに割り当てられたリクエストキューのグループに対して発行するステップと、前記グループに属するいずれかのリクエストキューが、前記リクエスト発行コアにより発行されたリクエストをキューイングするステップと、ＳＳＬ通信の暗号化処理又は復号化処理を行うデバイスが、前記リクエストキューにキューイングされたリクエストを処理するステップとを有する。

ＳＳＬ通信の暗号化処理又は復号化処理を行うデバイスの性能を十分に発揮させることができる。

ネットワーク装置１のハードウェア構成を例示する図である。ネットワーク装置１の機能構成を例示する図である。ネットワーク装置１におけるＳＳＬ処理（Ｓ１０）を説明するフローチャートである。変形例におけるネットワーク装置１の機能構成を例示する図である。比較例１におけるネットワーク装置の機能構成を示す図である。比較例２におけるネットワーク装置の機能構成を示す図である。

本発明の実施形態を、図面を参照して説明する。
図１は、ネットワーク装置１のハードウェア構成を例示する図である。
図１に例示するように、ネットワーク装置１は、リクエスト発行コア１０と、リクエストキュー集合体１２と、ＳＳＬ処理デバイス１４とを有する。
リクエスト発行コア１０は、ＳＳＬ（Secure Sockets Layer）通信の暗号化処理又は復号化処理のリクエストを発行する。例えば、リクエスト発行コア１０は、複数のリクエスト発行コアを含み、これらのコアが並行してリクエストを発行する。
リクエストキュー集合体１２は、複数のリクエストキュー１２０を含み、リクエスト発行コア１０から発行されたリクエストをキューイングする。キューイングとは、先入れ先出し方式で、リクエストを保持することである。
ＳＳＬ処理デバイス１４は、ＳＳＬ通信の暗号化処理又は復号化処理を行うエンジンを複数含むエンジン集合体であり、リクエストキュー集合体１２にキューイングされたリクエストを順に処理する。
上記構成において、ネットワーク装置１のリクエスト発行コア１０から、ＡＰＩを介して、ＳＳＬアクセラレータのリクエストキュー（リクエストキュー１２０）に対して、暗号処理又は復号処理などのリクエストが発行される。
リクエストキュー１２０にキューイングされたリクエストは、ＳＳＬアクセラレータのエンジン（ＳＳＬ処理デバイス１４のエンジン）を使って処理され、リクエストが完了する。
リクエストの発行と完了は非同期であり、ネットワーク装置１が受けたデータを暗号化又は復号化する度に、リクエストを発行する。

（背景）
図５に示される比較例１のように、リクエスト発行コアと、リクエストキューが１対１で対応する設計とすることも考えられる。このような設計の場合、リクエストキューの数がエンジンの数以上であるときは、問題ないが、リクエストキューの数がエンジンの数よりも少ないと、エンジンが余り、有効活用されない。
また、リクエストキューはその時点で空いている１つのエンジンを使用して、１リクエストを処理する。使用する空きエンジンは自動的に割り当てられ、ソフトウェアでは制御できない。
すなわち、図５に示すように、使用可能なリクエストキュー数がエンジン数より少ないため、空きエンジンが発生する。エンジンをフル活用できないため、ＳＳＬアクセラレータは本来の性能を発揮できない。図５の例では、リクエスト発行コア数が６個、リクエストキュー数が３０個（そのうち６個使用可能）であり、エンジンのＥＮ７～ＥＮ３０は使えない。
なお、リクエストキューの番号と、エンジンの番号に関連性はなく、空いているエンジンが自動的に割り当てられる。

そこで、本実施形態のネットワーク装置１では、ＳＳＬアクセラレータにおいて、複数のリクエストキューをグループ化し、そのグループの代表リクエストキューに対してリクエストを発行することでリクエスト処理を実行可能とする。

図２は、ネットワーク装置１の機能構成を例示する図である。
図２に例示するように、ネットワーク装置１は、複数のリクエスト発行コア１０と、グループ化されたリクエストキュー１２０と、複数のエンジン１４０が含まれたＳＳＬ処理デバイス１４とを有し、リクエスト発行コア１０それぞれに、グループ化されたリクエストキュー１２０が割り当てられている。
より具体的には、複数のリクエストキュー１２０をまとめたグループをノードとし、リクエスト発行コア１０と同数のノードを作成する。１つのノードにつき、１つの代表リクエストキュー１２２が設定される。

図３は、ネットワーク装置１におけるＳＳＬ処理（Ｓ１０）を説明するフローチャートである。なお、本フローチャートでは、図２の１つのリクエスト発行コア１０に着目して説明する。他のリクエスト発行コア１０も同様に並行して処理を行っている。
図３に例示するように、ステップ１００（Ｓ１００）において、リクエスト発行コア１０は、割り当てられたリクエストキューのグループ（ノード）の代表リクエストキュー１２２に対してリクエストを発行する。
ステップ１１０（Ｓ１１０）において、代表リクエストキュー１２２は、自身が属するグループ（ノード）内に割り当てられているリクエストキュー１２０を選んでリクエストを発行する。選び方はラウンドロビンとする。

ステップ１２０（Ｓ１２０）において、選ばれたリクエストキュー１２０は、発行されたリクエストをキューイングする。
ステップ１３０（Ｓ１３０）において、ＳＳＬ処理デバイス１４のエンジン１４０は、リクエストキュー１２０にキューイングされたリクエストを、処理する。

以上説明したように、本実施形態のネットワーク装置１によれば、ＳＳＬアクセラレータで使用されるリクエストキュー１４０を増やし、発行するリクエスト数を増やすことでエンジン１４０を有効に活用し、ＳＳＬアクセラレータの性能を発揮することができる。すなわち、リクエストキュー１２０の数が、エンジン１４０の数、以上の状態をつくることができ、リクエスト発行コアとリクエストキューの関係が、１：多になる。
これにより、図２の通り、リクエスト発行コア１０がリクエストキュー１２０又はエンジン１４０の数より少なくとも、複数のリクエストキュー１２０から、リクエストを発行することができる。例えば、１番の代表リクエストキュー１２２にキューイングされた場合は、代表リクエストキューを含む、１番,７番,１３番,１９番,２５番の５つのリクエストキュー１２０の内から１つを選択し、リクエストを発行する。図２では、１番のリクエスト発行コア１０から発行されるリクエストについて、リクエストキュー１２０からエンジンに矢印を引いたが、他のリクエスト発行コア１０から発行されるリクエストについても同様に、リクエストキュー１２０からエンジン１４０に対して矢印を引ける。これより、エンジンを余すことなく有効活用できる。なお、リクエストキュー１２０の番号と、エンジン１４０の番号に関連性はなく、空いているエンジン１４０が自動的に割り当てられる。

（変形例）
次に、上記実施形態の変形例として、ＳＳＬアクセラレータが、物理的には１つのデバイスだが、内部的に３つの子デバイスを持つ構造となっている場合を説明する。
この場合、図６に示すように、通信時、使用されるリクエスト発行コアに偏りが出た場合には、使用される子デバイスに偏りが生じる。より具体的には、図６において、３つの子デバイスＡ、Ｂ、Ｃに対し、リクエスト発行コアを均等に２つずつ割り当てた場合を比較例２として説明する。
各子デバイスのエンジンについては、Ａ１～Ａ１０、Ｂ１１～Ｂ２０、Ｃ２１～Ｃ３０で示す。ここで、リクエスト発行コア１～４に偏った場合を考えると、リクエスト発行コア１及び２については、子デバイスＡのみに割り当てられている。この時、Ａ１～Ａ１０のエンジンのうち、空いているエンジンが自動的に割り当てられ、使用される。また、リクエスト発行コア３及び４については、子デバイスＢのみに割り当てられている。ここで、Ｂ１１～Ｂ２０のエンジンのうち、空いているエンジンが使用される。その結果、子デバイスＡ、子デバイスＢに偏って使用され、子デバイスＣは、ほぼ使用されず、ＳＳＬアクセラレータとして、本来の３分の２程度の性能しか発揮されない。

性能が発揮されないことについては、下記２つの側面がある。
・エンジンに対する負荷が高い場合に性能発揮できない
例えば、３０個全てのエンジンでの処理を必要とするほどに、リクエスト量が多い且つ計算量が重いリクエストが集中した場合、子デバイスＡ及びＢにリクエストが偏ってしまうと、使用できるエンジンは、Ａ１～Ａ１０及びＢ１１～Ｂ２０の２０個となってしまう。３０個全てのエンジンを使用できないため、ＳＳＬアクセラレータ本来の性能を発揮できない。
・各子デバイスが持つ固有機能をフル活用できない
各子デバイスにはエンジン以外にも、固有の機能が存在している。例えば、特定の暗号種別について処理時、エンジンとは別に各子デバイスが持つ固有の回路を使用して計算されることが考えられる。そのため、全デバイスでは３回路使用できるが、２デバイスでは２回路しか使用されず、性能が発揮できない。この問題は上記のような高負荷時に限らず発生する。

そこで、本変形例のネットワーク装置１では、グループ化された複数のリクエストキュー１２０が、互いに異なる子デバイスに割り当てられている。換言すると、グループ内の複数のリクエストキュー１２０が、複数の子デバイスにまたがって割り当てられている。より具体的には、図４に示すように、各子デバイスのリクエストキュー１２０及びエンジン１４０をなるべく均等に使用し、性能を発揮するよう構成されている。

具体的には、子デバイスを複数持つＳＳＬアクセラレータとして、例えば、Silicom社のPE3ISLBTL(PCIe 3.0, x8 Crypto / Compression LBG Server Adapter)が挙げられる。このようなＳＳＬアクセラレータにおいて、各子デバイスのリクエストキュー１２０をなるべく均等に使用するように、リクエスト発行コア１０に対して割り当てる設計とする。
本変形例では、リクエスト発行コア１０の数が６個、子デバイスの数が３個、子デバイスＡのリクエストキュー１２０が１～１０、子デバイスＡのエンジン群１５ＡがＡ１～Ａ１０、子デバイスＢのリクエストキュー１２０が１１～２０、子デバイスＢのエンジン群１５ＢがＢ１１～Ｂ２０、子デバイスＣのリクエストキューが２１～３０、子デバイスＣのエンジン群１５ＣがＣ２１～Ｃ３０である場合を説明する。なお、代表リクエストキュー１２２はキュー番号を丸で囲んで示す。また、リクエストキュー１２０の番号と、エンジン１４０の番号に関連性はなく、リクエストキュー１２０にキューイングされたリクエストは、そのリクエストキュー１２０と同じハッチングパターンで示されるエンジン１４０の中から、空いているエンジン１４０が自動的に割り当てられる。

上記設定により、下記の効果がある。
・使用されるリクエスト発行コア１０に偏りが出ても、子デバイスを分散して処理できるため、ＳＳＬ処理デバイス１４側の性能を落とさずに処理ができる。例えば、リクエスト発行コアが１番～４番に偏った場合でも、本変形例では、各リクエスト発行コア１０に対応するリクエストキュー１２０から、子デバイスＡ～Ｃの３つ全てを使用できるため、全ての子デバイスの固有機能を使用できる。また、全ての子デバイスの全エンジン１４０を使用できる。よって、全ての子デバイスを使わない場合と比べて、性能劣化を軽減できる。
・１つの子デバイスにエラーが起こり、一時的に処理不可状態となる時でも、他の子デバイスがリクエスト処理可能となるので、処理を継続できる。例えば、子デバイスＡが処理不可能となった場合には、リクエストキュー１２０の１番～１０番が使用不可能となるが、１１番～３０番のリクエストキュー１２０については使用できるため、全てのリクエスト発行コア１０について、リクエストの発行と処理を継続できる。

このように、本変形例のネットワーク装置１によれば、使用されるリクエスト発行コア１０に偏りが出ても、子デバイスを分散して処理できるため、ＳＳＬアクセラレータ全体としての性能を落とさずに処理ができる。
さらに、１つの子デバイスにエラーが起こり、一時的に処理不可状態になる場合でも、他の子デバイスがリクエスト処理を実行できるため、処理を継続できる。

１…ネットワーク装置
１０…リクエスト発行コア
１２…リクエストキュー集合体
１２０…リクエストキュー
１２２…代表リクエストキュー
１４…ＳＳＬ処理デバイス
１４０…エンジン
１５…エンジン群

Claims

ＳＳＬ通信の暗号化処理又は復号化処理のリクエストを発行するリクエスト発行コアと、
前記リクエスト発行コアにより発行されたリクエストをキューイングするリクエストキューを複数含むリクエストキュー集合体と、
前記リクエストキューにキューイングされたリクエストを処理するデバイスと
を有し、
一つの前記リクエスト発行コアに対して、グループ化された複数のリクエストキューが割り当てられている
ＳＳＬ通信処理装置。
前記リクエスト発行コアは、グループ化された複数のリクエストキューのうち、代表のリクエストキューに対してリクエストを発行し、
このグループ化されたリクエストキューのうち、ラウンドロビンで選択されたリクエストキューが、前記代表のリクエストキューに対して発行されたリクエストをキューイングする
請求項１に記載のＳＳＬ通信処理装置。
前記デバイスは、互いに独立して並列処理できる複数の子デバイスを含み、
グループ化された複数のリクエストキューは、互いに異なる子デバイスに割り当てられている
請求項１に記載のＳＳＬ通信処理装置。
前記デバイスは、前記リクエストキューよりも多いエンジンを含む
請求項２に記載のＳＳＬ通信処理装置。
リクエスト発行コアが、ＳＳＬ通信の暗号化処理又は復号化処理のリクエストを、このリクエスト発行コアに割り当てられたリクエストキューのグループに対して発行するステップと、
前記グループに属するいずれかのリクエストキューが、前記リクエスト発行コアにより発行されたリクエストをキューイングするステップと、
ＳＳＬ通信の暗号化処理又は復号化処理を行うデバイスが、前記リクエストキューにキューイングされたリクエストを処理するステップと
を有するＳＳＬ通信処理方法。