高速光子防火墻關鍵技術綜述

黃善國，李新，唐穎，郭俊峰

（北京郵電大學信息光子學與光通信研究院，北京 100876）

1 引言

隨著信息時代的到來，信息技術正以迅猛態勢滲透于社會的方方面面，而全光網絡通過利用光節點替代現有網絡的電節點，并以光纖進行連接，能夠直接在光域中實現信號的存儲、傳輸和處理，只需在進出網絡時進行光/電、電/光的轉換，大大地提高了信號的傳輸質量和傳輸容量，有效地解決了“電子瓶頸”的限制[1]。由于光網絡一直都被認為具有高的保密性和安全性，目前，專門針對光網絡的安全措施較少。然而隨著技術的發展，各種網絡入侵手段層出不窮，包括流量分析、竊聽、信號延遲、拒絕服務等[2]，康寧公司[3]分析了包括光纖彎曲、光纖分裂、衰減器耦合在內的幾種接入光纖的方式，鑒于光纖彎曲的易操作性及其被檢測的風險最小，重點討論了在單模光纖中成功探測信號所需的彎曲損耗。文獻[4]提出了一種基于信號延遲插入的光網絡攻擊方式，該方法能夠在不改變鏈路光纖性能的同時，利用信號延遲在系統中引起較高的串擾，從而極大地降低系統性能，因此光網絡已不再是曾經被認為的“絕對”安全，網絡安全問題亟待解決。同時，由于光纖通信寬帶寬、大容量的傳輸特性，若沒有對光網絡做好安全防護措施，短暫的網絡攻擊都會造成大量數據丟失或者被竊取[5]。因此，必須調查分析光網絡存在的安全隱患并進行相應的對策研究，針對光網絡存在的安全問題，提前做好安全防護措施。

作為抵御網絡攻擊的第一道防線，防火墻根據預先配置的規則決定進出網絡的信息能否通過，以保護網絡免遭不受信任網絡的攻擊[6]。作為一種比較成熟有效的抗網絡攻擊和入侵的安全防護措施，電子防火墻主要采取電子邏輯操作，利用電子與門、或門等組成集成電路進行信息識別，能夠根據信號的多種屬性來進行過濾[7]。但是電子防火墻只能對電信號進行操作，若要在光網絡中采用電子防火墻，需要進行復雜且高能耗的光／電／光的轉換，不僅會帶來較大的時延，還增加了系統的成本、規模和復雜度[8]。隨著通信速率的不斷提高，僅僅依靠現在的電子防火墻難以抵御高速的光攻擊信號，為光網絡提供保護功能，因此只有研發新的光子防火墻技術才能實現面向高速光信號的安全防護。光子防火墻主要利用全光模式匹配直接在光域進行光信號所承載信息的識別，甄別出隱藏的網絡入侵和攻擊，并依據已設定的安全策略選擇相應的防御手段，實現光域的入侵檢測和安全防護[9]。基于光子防火墻處理速度快、效率高、容量大的優點，一臺光子防火墻可以代替上萬臺傳統電子防火墻，大幅度降低網絡的復雜性和成本。綜上所述，本文總結了目前光子防火墻中關鍵技術——快速模式匹配技術的研究現狀，分析了其發展趨勢，為后續對光子防火墻研究設計提供有益參考。

2 光子防火墻的基本原理

光子防火墻作為一種能夠直接在光層中保護光網絡的技術，通過全光模式匹配技術在光域中進行光信號所承載信息的識別和分析，甄別出入侵的惡意攻擊，并依據預先配置的安全策略選擇相應的防御手段，實現對光信號的安全檢測。如圖1 所示，光子防火墻放置于邊緣網絡中，作為路由器前端的主要信息過濾手段，能夠對進出網絡的信號直接在光域中進行線速的安全監測[10]。高速光信號進入光子防火墻后首先被分為2 路，一路作為待檢測的光信號用于信息的安全檢測，另一路光信號進入延時模塊以彌補模式匹配消耗的時間。待檢測的光信號首先進入模式匹配模塊，并按照預先設定的字段進行模式匹配，判斷光信號中是否存在特定的信息字段。若存在特定的信息字段，說明此時光信號承載的信息中包含入侵和攻擊行為，并需要進行安全操作，此時可以在光域中進行安全操作，也可以交由電子防火墻進一步進行更精細的安全檢測；若檢測不到特定的信息字段，則說明此時光信號承載的信息是安全的，信號會進入路由器中并進行后續的傳輸。

圖1 光子防火墻技術原理

歐盟首先開展了對光子防火墻的研究，并于2006年投資200萬歐元資助了應用光監控的線速安全域（WISDOM,wirespeed security domains using optical monitoring）項目，研發可重構基于單芯片的光子防火墻技術。該項目主要進行了光子防火墻的開發和安全協議的研究，且驗證了以40 Gbit/s 線速提取和處理安全信息的可行性。

3 模式匹配技術的發展

模式匹配技術作為光子防火墻的關鍵技術，目前主要面向光分組交換網和光突發交換網，針對二進制序列，并通過相關運算和全光邏輯門2 種技術實現，用以在光分組頭中識別特定源/目的地址、端口號等信息，判斷信號是否為惡意攻擊信號。

3.1 基于相關運算的匹配技術

基于相關運算的匹配系統的主要原理如下：若待匹配的序列與目標序列匹配，相關器會在輸出端產生一個最大的峰值，閾值探測器通過設定合理的閾值即允許該峰值脈沖輸出并排除其他脈沖干擾，從而判斷序列匹配；若兩者不匹配，閾值探測器無輸出信號[11]。

為了更清楚地說明基于相關運算的匹配技術的原理，本文將簡單介紹一種相關器的基礎實現結構，即抽頭延遲線（TDL,tapped delay line）[12]。在該結構中目標序列的位數決定了抽頭數，目標序列的每位數據決定了抽頭的加權值，并利用每條路徑中光開關來實現權重的分配。當光開關打開時，權重為0；當光開關閉合時，權重為1。此外，在通過合路器前，每路信號會以從上至下遞增比特時間T的形式延遲，第一路不延遲，第二路延遲T，以此類推。延遲的信號通過合路器后產生相關輸出。

利用基于TDL 的相關器匹配目標序列“1101”的系統如圖2(a)所示。輸入的光信號序列分別為3個4 bit 寬的字段“1011”“1101”和“0101”，其中第二個字段與目標序列完全匹配。序列通過1×4 分路器后進入分別由權重為1、1、0 和1 加權的四路延遲線中，且每路信號的延遲時間從上至下分別為0、T、2T和3T，四路信號的功率經過合路器相加產生相關輸出。相關器內信號的延遲與相加過程如圖2(b)所示，其中，由于2 個4 bit 寬的字段的相關函數為7 bit 寬并且峰值出現在第四時隙中，所以每隔4 bit 對相關輸出進行采樣并輸入閾值探測器中。相關器的輸出強度分布如圖2(c)所示。由于目標序列的自相關峰值為3，閾值檢測器被設置為能夠檢測高于2 的功率，且僅當在采樣時間的相關器輸出高于閾值時才會輸出匹配信號。

圖2 用于匹配序列“1101”的基于TDL 的相關器的匹配系統

Chitgarha 等[13]通過實驗證明了TDL 與相干檢測結合能夠在20-Gbaud 的數據通道中成功地搜索QPSK（quadrature phase shift keying）信號的多種模式，并在匹配的模式處獲得了相關峰值。該方法利用2 個用于波長轉換的非線性元件和一個波長相關延遲元件共同實現可調諧TDL。首先使用非線性元件將輸入信號多播到多個波長，然后差分地延遲這些副本并將這些副本一起多路復用到第二個非線性元件的單個輸出波長中。但是該方法不能很好地適應抽頭的數量，因此需要大量的離散泵浦激光器。

Ziyadi 等[14]利用光頻梳源和周期極化鈮酸鋰（PPLN,periodically polarized lithium niobate）實現了可調諧的光相關器，成功地在40 Gbit/s 的數據流中搜索了不同長度的模式。該方法利用了不同梳狀線的相互相干性，首先在光頻梳源的不同頻率上調制信號生成大量的相干抽頭，并通過波長相關的延遲器實現可調延遲。隨后利用PPLN 晶體的非線性混頻復用TDL 的信號。此時，抽頭數與階段數成正比。該方法雖然只利用了一個非線性器件，但是需處理的階段數與抽頭數成正比。

Willner 等[15]則通過非線性混頻和微諧振器克爾頻率梳演示了可擴展和可重配置的TDL，實現了20-Gbaud 的QPSK 信號的匹配。該方法只需要2 個階段（多播和多路復用）就能夠同時且獨立地處理多個信號，更大程度地增強了抽頭數的可擴展性。

此外，基于相關運算的匹配系統還能夠利用布拉格光柵、自由空間全息光技術及平面光波導電路實現。Mokhtar 等[16]演示了均勻布拉格光柵作為可重構相位編碼器/解碼器在模式匹配中的應用，并在16 芯片20 Gchip/s 的四進制相移鍵控相干光碼分多址實驗中證明了其生成和識別各種相位碼序列的可靠性。Widjaja 等[17]提出了一種基于全息相關器的分組地址處理器，其中光學編碼地址以角度復用的頻譜全息圖形式存儲，并由全息相關器進行分組地址識別。Kang 等[18]則利用了可重配置的基于二氧化硅的平面光波導電路光延遲線濾波器，通過匹配濾波來生成指示模式匹配的自相關脈沖，實現相移鍵控數據流的全光模式識別。此外，Saida等[19]也提出了一種基于平面光波導電路的光數模轉換器，并成功識別了10 Gbit/s 的多種模式的4 位光脈沖。

雖然基于相關運算的匹配結構具有較高的可重構性和擴展性，但是需要額外的閾值檢測器來判斷匹配結果，這增加了系統的復雜度，且應用在高速系統時對器件的要求非常高，因此難以在高速系統中實現。

3.2 基于全光邏輯門的匹配技術

基于全光邏輯門的匹配系統易于集成，并能夠工作在更高速率的系統中，因此研究人員做了大量的研究工作。

3.2.1 基于全光邏輯門的匹配技術的發展過程

基于全光邏輯門來匹配二進制數據序列，最簡單的方式就是直接通過單個與門來實現[20-21]。但是對給定的二進制目標模式，由于當目標序列某位為“0”時，匹配序列中的對應位不論為何值，輸出都為“0”，從而容易造成誤判，因此可匹配的序列被限制為一組固定的序列集，即限制了能夠匹配的序列范圍。如圖3(a)所示，如果目標序列為“1011”，則比較序列為“0100”。如果輸入的序列為“1001”，與比較序列同時輸入與門后也沒有脈沖輸出，得到2 路序列相匹配的結果，但是實際上目標序列與輸入序列并不匹配，從而產生誤判。而使用圖3(b)所示的異或門結構實現模式匹配能夠有效地消除匹配范圍的限制[22-24]，僅當2 路輸入序列完全相同時，才沒有信號輸出。但是由于異或門中的比較序列匹配范圍外不包含脈沖，輸入序列中匹配范圍外的脈沖都會輸出而影響判斷?？紤]到前述問題，在檢測最終匹配結果前，需要級聯一個額外的與門來選定需要匹配的范圍，以防止范圍外的信號干擾，如圖3(c)所示。

圖3 二進制序列匹配系統

然而，上述方案都只能在數據序列中判斷等長的目標模式是否相匹配。Ramos 等[25]提出了一種基于級聯的全光異或門的并行匹配方案，實現了10 Gbit/s 及以上目標模式的匹配。其中，全光異或門均由馬赫曾德爾干涉儀（SOA-MZI,semiconductor optical amplifier-based mach-Zehnder interferometer）實現，且其數量取決于目標模式的長度。此時，可匹配的目標模式的長度取決于放大器自發輻射（ASE,amplifier spontaneous emission）噪聲的大小及所需性能優劣，并且僅當數據中包含目標模式時才會有脈沖輸出。

文獻[26-29]基于前述問題，提出了一種利用同或門、與門和再生器搭建的匹配系統，其中的每個模塊均由SOA-MZI 結構實現，如圖4 所示。該系統通過多次的循環匹配，能夠在任意位數的數據序列中匹配任意位數的目標序列，且輸出結果不僅可以判斷目標序列是否存在，同時可以定位目標序列在數據序列出現的位置。由于邏輯門的數目不隨著目標序列位數的變化而變化，所以該系統易于集成、結構簡單且識別性能穩定準確。

若要在M位的數據序列中匹配N位的目標序列，首先令數據序列以固定周期M循環N次，將目標序列的每一位重復M次并依次和數據序列進行同或操作。即第一輪將目標序列的第一位重復M次和數據序列的每一位同或，第二輪將目標序列的第二位重復M次和數據序列的每一位同或，以此類推。通過同或門能夠依次判斷目標序列的每一位在數據序列的位置，然后將同或結果輸入與門中，與門的另一個輸入在第一輪匹配時為M位長的連續光，用于打開與門；在之后的匹配中為前一次同或輸出延遲M+1 位的結果，即在第j輪循環時，同或門會找到目標序列中第j位數據在數據序列中的位置，與門會綜合第j-1 輪和該輪的同或結果判斷目標序列前j位數據在數據序列中的位置。通過最后與門有無脈沖輸出可以判斷數據序列中是否包含目標序列，且脈沖出現的位置就是數據序列中目標序列最后一位出現的位置。

圖4 任意位數二進制序列匹配系統

Kakarla 等[30]考慮文獻[26]中SOA-MZI 配置過程較為復雜，僅利用了2 個SOA 就實現了圖4 所示的系統結構，并成功匹配了4 位的BPSK 信號。其中同或門利用3 dB 耦合器實現，2 路BPSK 信號輸入3 dB 耦合器后會輸出OOK（on-off keying）信號。若數據序列與目標模式不匹配，則同或門的輸出為“0”。而與門及再生器的波長轉換功能則通過半導體光放大器（SOA,semiconductor optical amplifier）的FWM（FWM,four wave mixing）效應實現。在該方案中，同或門、與門和波長轉換操作均與輸入數據速率無關，通過適當地修改同或門，能夠處理更高階調制格式的數據。

此外，Degenais 等[31]提出了一種基于全光與門及1×2 光開關樹的匹配系統，能夠在傳輸速率為10 Gbit/s 的8 位數據中識別任意的3 位目標模式。其中全光與門通過Sagnac 門實現，光開關由反射半導體光放大器制成。在該系統中，由于待匹配數據的長度為8，因此樹的高度為3，其中數據的每一位對應了樹結構中的某個節點。通過全光與門讀取對應位的數據，并控制樹結構中相應層次的所有開關的配置即可完成匹配。

3.2.2 全光邏輯門的實現方式

目前，全光邏輯門可以通過多種光器件實現，包括硅波導、周期性極化鈮酸鋰和SOA 等。

Mukherjee 等[32]將2 路不同功率與波長的光信號注入到硅線波導中，光信號在其中經歷光子吸收從而產生交叉相位調制（XPM,cross phase modulation）效應。通過調整2 路光信號的功率，就能夠得到不同的邏輯輸出。文獻[33-34]提出的基于PPLN 的邏輯門主要利用了其準相位匹配條件下的和頻產生效應。當輸入信號相同時，在和頻波的產生期間信號將耗盡，此時最終輸出為零；而當其中任何一個數據信號功率很高時，則只有一個數據將被耗盡，另一個數據將存在于輸出中。其中，文獻[33]通過適當地調整輸入信號功率并選擇波導長度實現了或邏輯和異或邏輯，最終得到了40 Gbit/s 的可切換的或門/異或門，文獻[34]則實現了640 Gbit/s 的與門。

研究最為廣泛的是SOA。作為非線性器件，SOA 具有體積小、功耗低、較高的非線性系數，有包括XPM、交叉增益調制（XGM,cross gain modulation）、交叉極化調制（CPM,cross polarization modulation）、FWM 等多種非線性效應且易于集成等優點，因此有較好的發展前景[35]。迄今為止，已提出了多種利用SOA 實現全光邏輯門的方案，大致可分為兩類。第一類是利用SOA 自身的非線性效應，如Ismail 等[36]基于SOA 中的XPM 效應，實現了非門、與門、或門及或非門，克服了現有方案中存在放大自發輻射的問題。此類方案雖然僅利用了一個SOA，結構簡單，但是SOA 較長的載流子恢復時間將導致輸出脈沖的展寬，從而限制系統的工作速率[37]。第二類方案能夠在一定程度上克服載流子恢復速率的限制，即基于SOA 的干涉儀結構，如Sagnac 干涉儀、超快非線性干涉儀、基于SOA-MZI 等。

文獻[38-39]考慮了SOA 的小信號增益、線寬增強因子等特性及Sagnac 環路的不對稱性，利用基于SOA 的Sagnac 干涉儀實現了XOR 邏輯門。而Chattopadhyay 等[40]通過該結構實現了三態（與、或、非）邏輯門，并分析了插入損耗、對比度、消光比、誤碼率、信噪比等參數。

文獻[41-43]均論證了基于SOA 的超快非線性干涉儀（UNI,ultrafast nonlinear interferometer）結構實現異或門的可行性。其中SOA 具有3 路輸入信號，一路為正交極化的時鐘脈沖，另2 路是具有更高功率的數據信號。通過利用信號的正交偏振分量之間的相對位移，當數據都存在或者都不存在時，信號之間的相對位移使其發生相消干涉；若僅存在一個數據，通過調整信號的相位變化在輸出端引入相長干涉，能夠實現異或門。

這些結構都能夠使SOA 在更高速率下工作，特別是SOA-MZI 結構，由于具有低功耗、高穩定性、結構緊湊等優勢，獲得了最廣泛的關注[44]。文獻[45-47]利用SOA 的XPM 效應，提出了基于SOA-MZI 結構的全光邏輯門。通過將功率較大的泵浦光和探測光經過耦合器輸入至干涉儀上下臂的SOA 中，探測光的相位會根據泵浦光功率的改變而改變，在輸出端經過干涉后將相位變化轉換為幅度變化，從而實現各種邏輯，如圖5 所示。其中，圖5(a)展示了基于SOA-MZI 的異或門。將要匹配的2 路序列分別記為波長為λ1的泵浦光序列P和波長為λ2的泵浦光序列S。光序列P先輸入至干涉儀的端口1，并在時間差τ后輸入至端口2，如虛線所示。與此同時，光序列S輸入至端口2，并在時間差τ之后輸入端口1，如實線所示。同時波長為λ3的連續波（CW,continuous wave）輸入至端口3 作為探測光，且輸出端的帶通濾波器的中心波長也為λ3。當光序列P和光序列S不同時，如P為“1”而S為“0”時，上臂中的SOA 先發生相位變化從而打開了開關窗口，在τ之后，下臂中的SOA 也產生了相位變化，相位差恢復為0，因此開關窗口關閉。這導致在波長λ3處產生了脈沖，因此SOA-MZI的輸出為“1”。而當序列P和序列S相同時（即兩者均為“1”或均為“0”），上下兩臂SOA 的相位變化相同，因此SOA-MZI 的輸出為“0”。綜上所述，基于SOA-MZI 結構的全光異或門能夠實現異或邏輯。

圖5(b)展示了基于SOA-MZI 的全光與門的原理圖。光序列P作為泵浦光先輸入至端口1，并在時間差τ后輸入至端口2，如虛線所示。而在光序列P輸入到端口1 的同時，光序列S作為探測光輸入至端口3，如實線所示。當光序列P為“0”時，無論光序列S為“0”還是“1”，上下兩臂的相位變化都一致，因此輸出均為“0”。而當光序列P和光序列S均為“1”時，上臂中的SOA 由于光序列P的輸入產生了相位變化，打開了開關窗口，在τ之后光序列P輸入到下臂中的SOA，相位差恢復為0，因此開關窗口關閉。這導致在波長λ3處產生了脈沖，此時SOA-MZI 的輸出為“1”。綜上所述，該方案能夠實現與邏輯。

圖5 基于SOA-MZI 的全光邏輯門

4 模式匹配技術發展趨勢

目前，針對光子防火墻的研究僅僅是面向光突發交換網絡或者光分組交換網絡，并對其中的光分組進行模式匹配和安全操作。然而骨干網、城域網、校園網等中已部署的光網絡主要采用基于電路交換的傳輸模式，包括同步數字體系（SDH,synchronous digital hierarchy）、光傳送網（OTN,optical transport network）等，其中傳輸的都是連續光信號。圖4 所示的序列匹配系統雖然結構較為簡單，但是其匹配時間會隨著數據序列和目標序列位數的增加而增加。若對連續光信號的匹配也采用該匹配系統，匹配效率會非常低。為了能夠更高效快速地實現面向連續光信號的匹配，考慮到當前匹配系統的不足，主要通過以下兩方面對當前的模式匹配技術進行改進：一方面，通過改進匹配系統的結構來實現更快的匹配操作；另一方面，利用具有更快響應速率的器件來搭建匹配系統。

4.1 快速二進制序列切割匹配系統

考慮到通常要匹配的目標序列不會存在于數據序列的起始位置，在利用現有的匹配系統對連續光信號進行序列匹配時，隨著循環的推進，數據序列中目標序列的存在位置會越來越明確，因此通過刪減已能判定不包含目標序列信息的數據序列的前若干位，能夠有效地提高匹配效率。

圖6 展示了一種二進制序列快速匹配系統，該系統可以分為7 個模塊，分別為控制器模塊、探測模塊、可控切割模塊、本地目標序列產生模塊、同或門模塊、與門模塊、再生器模塊。探測模塊會探測輸出序列中第一個脈沖出現的位置n及當前循環輪次j，并將探測結果輸入到控制器中。控制器根據當前輸出序列中第一個脈沖出現的位置n、當前循環輪次j及當前輸出序列的長度kj計算下一輪序列的長度kj+1=kj-n+j，即計算數據序列中已能判定不包含目標序列信息的前若干位的長度?？刂破麟S后會發送配置命令到可控切割模塊與本地目標序列產生模塊中，從而令本地切割模塊對循環回路中的上一輪與門輸出序列和存儲回路中數據序列進行切割，并令本地目標序列產生模塊產生對應長度的目標序列。

利用二進制序列快速匹配系統，雖然同樣需要將數據序列循環N次，但是每次循環都會進行序列的切割、同或、相與、探測等一系列操作。隨著輪次j的增加，數據序列中目標序列位置的逐漸明確，系統會對光數據序列進行裁剪，使數據序列長度隨之減小，從而總體的匹配時間也會隨之減小，進而提高匹配的效率。

4.2 基于高非線性光纖的模式匹配

基于SOA 的全光邏輯門雖然具有易于集成和效率高的優點，但是受到SOA 的較長增益恢復時間的限制，會導致輸出脈沖的展寬，從而限制了系統的處理速度。雖然利用各種干涉儀結構能夠在一定程度上克服SOA 恢復時間的限制，但增大了系統的成本和復雜度。而隨著光纖生產技術的不斷進步，高非線性光纖（HNLF,high nonlinear fiber）以其快速的響應速度和極高的非線性系數成為實現全光邏輯門的有效器材[48-49]。HNLF 一般采用特殊的纖芯結構或者用其他材料替代二氧化硅來獲得較高的非線性。與SOA 一樣，HNLF 中也存在著XPM、XGM、FWM等多種非線性效應。但是相對于SOA，利用HNLF實現全光邏輯門具有以下幾個優勢[50-51]。

1)HNLF 的非線性效應響應時間很短，通常只有幾十飛秒，能夠實現速率大于1 Tbit/s 的光信號處理。

2)基于光纖的器件很容易和傳輸鏈路耦合，降低耦合損耗。

3)HNLF 是無源器件，不會在信號處理時引入附加噪聲。

基于HNLF 的全光邏輯門可通過HNLF 中的多種非線性效應實現，包括FWM、XPM、非線性偏振旋轉（NPR,nonlinear polarization rotation）等。

舉例來說，文獻[52-53]利用FWM 效應實現了全光邏輯門。當輸入至HNLF 中的2 路光信號滿足相位匹配條件時，由于FWM 效應，會產生新的閑頻光，再為濾波器設置合適的中心波長，即可實現不同的邏輯。其中，Wang 等[52]通過實驗展示了能夠處理40 Gbit/s 的非歸零差分相移鍵控（NRZ-DPSK,non-return-to-zero differential phase-shift keying）信號的異或門。而Li 等[53]提出并驗證了能夠處理非歸零偏振位移鍵控（NRZ-PolSK,non-return-to-zero polarization shifted keying）信號的可重構邏輯門，包括了異或門、同或門等。

圖6 二進制序列快速匹配系統

Velanas 等[54]利用XPM 效應導致的探測光頻譜展寬，實現了160 Gbit/s 速率下的6 種邏輯門，包括異或門、或門、與門、非門、或非門、與非門等。當2 路輸入光包含了不同的數據組合時，探測光的頻譜寬度將受到不同程度的影響，再通過配置濾波器的中心波長即可實現不同的邏輯。同時，還可利用XPM 效應導致的探測光的相位變化來實現全光邏輯門。當2 路輸入光包含了不同的數據組合時，數據信號將對探測信號產生不同程度的影響，再利用干涉結構將相位的變化轉換為幅度的變化，即可實現不同的邏輯。如王文睿等[55]通過利用非線性光纖環鏡（NOLM,nonlinear optical loop mirror）中不同方向傳輸的光信號的相移差，實現了可重構的光邏輯門。

文獻[56-57]則主要通過HNLF 中NPR 效應的全光邏輯實現結構，利用單個HNLF 實現了多種全光邏輯門，且沒有碼型效應，具有結構簡單、靈活方便的優勢。如圖7 所示，首先將2 路波長分別為λA和λB的NRZ 光數據信號A 和B 與一路波長為λC的CW 一起注入HNLF 中。由于輸入光信號的功率變化，將在HNLF 中引起非線性雙折射的2 個偏振分量之間的非線性相對相移，因此合成的偏振態會隨著信號的傳播而旋轉。再通過光帶通濾波器選擇特定波長，并利用選定透振方向的檢偏器選擇特定偏振態輸出，即可實現不同的邏輯。

圖7 基于HNLF 的NPR 效應的全光邏輯門

假設2 路光數據信號是夾角為45°的線偏振光，且光信號A 與x軸平行，如圖8(a)所示。此時光信號A 將對光信號B 在x軸方向產生非線性相對相移，且當相對相移為π 時，光信號B 由于NPR效應會旋轉為線偏振光輸出，如圖8(b)所示；當相對相移為時，光信號B 由于NPR 效應會旋轉為橢圓偏振光輸出，如圖8(c)所示。

圖8 HNLF 中的NPR 效應

表1 總結了不同邏輯實現對應的帶通濾波器中心波長、非線性相對相移和光邏輯門的相對偏振。通過調節輸入信號光的功率和偏振以及檢偏器的透振方向，就能夠實現不同邏輯的全光邏輯門。將光信號A 和光信號B 同時輸入HNLF 時，若配置濾波器的中心波長為λB，通過調整檢偏器的透振方向能夠分別得到AB 和B；若配置濾波器的中心波長為λA，通過調整檢偏器的透振方向能夠分別得到AB 和A。在將光信號A（或光信號B）和CW同時輸入HNLF 時，配置濾波器的中心波長為λC，通過調整檢偏器的透振方向能夠分別得到A（或B）和。在將光信號A、光信號B 和CW 同時輸入HNLF 時，配置濾波器的中心波長為λC，通過調整檢偏器的透振方向能夠分別得到A?B 和A⊕B。

表1 基于NPR 效應的全光邏輯門中不同邏輯的實現

考慮到當前二進制匹配系統中采用受增益恢復速度限制的SOA 時較低的匹配效率，可以通過采用前文所述的基于HNLF 中NPR 效應的全光邏輯同或門及與門來代替傳統的基于SOA-MZI 的同或門及與門，匹配系統如圖9 所示。通過利用具備快速的響應速率、低功耗和高非線性系數等優勢的HNLF，能夠搭建更快速的全光二進制序列匹配系統。

圖9 基于HNLF 的二進制序列匹配系統

5 結束語

隨著技術的不斷成熟，新型攻擊手段及設備的不斷涌現，網絡安全問題已然成為當前的焦點問題。而光子防火墻通過利用全光模式匹配技術，能夠在光域中直接對各種入侵信號進行檢測和過濾，有效地解決了現有電子防火墻的低效和高能耗的問題，保障了網絡中信息的安全。為了能夠給后續的研究人員提供有益參考，本文通過對現有的全光模式匹配技術進行總結，綜述了全光模式匹配系統的實現方式。目前，匹配系統主要通過相關運算和全光邏輯門2 種技術實現，其中，一種基于全光邏輯門的匹配系統僅利用3 個基于SOA-MZI 的邏輯門就能夠識別和定位任意位數的目標模式。但是考慮到SOA 的模式效應,及目標模式較長引發的匹配效率問題，未來可以通過選擇具有更高響應速率的器件或者利用更高效的匹配系統架構來實現更高的匹配效率，并根據實際需求進行選擇。如利用HNLF 替代SOA 來提高光分組交換網絡中的匹配效率，或在現有系統中增加序列切割模塊來高效處理電路交換網絡中的連續光信號。此外，隨著人工智能的大熱以及對其研究的不斷深入，將人工智能融入全光匹配系統必定也是未來的一大研究熱點。