报文转发方法及装置的制作方法

专利名称：报文转发方法及装置的制作方法
技术领域：
本发明涉及通信领域，具体而言，涉及一种报文转发方法及装置。
背景技术：
随着因特网的发展，大容量、高密度端口 (即，带宽较大的端 口 )的分布式网络设备(例如，分布式三层交换机)在局域网和城 域网中的应用越来越广。
目前，分布式网络设备的结构组成主要包括机框、背板、主控 板和业务才反。其中，背板是各个单板的7 义载体，各个单板之间的通 信由背板完成，主控板用于实现网络管理、协议处理和内部通信等
功能，业务板用于通过使用专用集成电路(Application Specific Integrated Circuit,简称为ASIC)芯片和高密度端口来实现才艮文的 高速转发。
对于分布式三层交换机，其路由引擎和转发引擎是相互独立的， 分别对应于这两种引擎的全局软件路由表和局部硬件ASIC路由转 发表(以下简称为硬件路由转发表)也是相互独立的。
具体地，分布式三层交换才几接收才艮文后的4乘作包括
(1 )路由引擎的操作由主控板完成对各报文协议的处理和计 算，并根据全局软件路由表将获得的路由信息(包括多个路由条目)同步到各业务板，根据路由添加算法(例如，哈希算法)写入各业
务板的ASIC芯片的硬件路由转发表中；
(2 )转发引擎的操作根据业务板的ASIC芯片硬件路由转发 表，对接收的报文进行精确路由匹配操作和/或最长匹配前缀路由操 作，在匹配成功的情况下，以匹配到的路由条目转发报文，否则， 以硬件路由转发表的缺省路由转发报文。
由于有的ASIC芯片的硬件路由转发表的容量较小，这就会导 致添加到硬件路由转发表中的路由条目的数量有限。并且，由于上 述路由添加算法的缺陷，使得多个路由条目在添加到硬件路由转发 表中时，会发生位置上的冲突，从而导致某些^各由条目无法添加成 功的问题，并且会进一 步限制硬件路由转发表中的路由条目的数量。
针对上述由于硬件路由转发表的容量较小而导致的硬件路由转 发表中的路由条目的数量有限的问题，进而导致了精确路由匹配操 作和/或最长匹配前缀路由操作失败，于是，业务板就根据其缺省路 由转发报文，但多数情况下，根据缺省路由转发的报文会丟弃。
综上所述，目前的分布式三层交换4几存在由于石更件路由转发表 的容量较小而导致的精确路由匹配操作和/或最长匹配前缀路由操 作失败，进而导致的报文被丟弃的问题，影响了系统的性能。

发明内容
针对上述由于硬件路由转发表的容量较小而导致的精确路由匹 配才喿作和/或最长匹配前缀3各由才喿作失败，进而导致的才艮文^皮丢弃的 问题而提出本发明。为此，本发明旨在提供一种改进的报文转发方 案，以解决上述问题至少之一。为了实现上述目的，根据本发明的一方面，提供了一种报文转 发方法，应用于包括多个业务板的网络设备。
根据本发明的才艮文转发方法包括在多个业务板中的至少一个 业务板对接收的报文进行匹配路由失败的情况下，至少 一个业务板 根据其缺省路由将报文经由聚合端口，转发至其它业务板，其中， 缺省路由的下 一跳地址为聚合端口 ，聚合端口的成员端口为其它业 务^1中的一个或多个。
其中，在聚合端口的成员端口为其它业务板中的多个业务板的 情况下，至少一个业务板根据预定策略将报文经由聚合端口转发至 其它业务板中由预定策略确定的业务板。
在将报文转发至其它业务板之后，上述方法还包括接收到报 文的其它业务板对报文进行匹配路由并转发。
另外，在其它业务才反都不工作的情况下，至少一个业务^反将缺 省3各由置为默i人i殳置的缺省3各由，并转发才艮文。
上述匹配路由的操作包括精确路由操作和/或最长匹配操作。
以及，在该方法中，至少一个业务板的路由转发表容量小于其 它业务板的路由转发表容量。
为了实现上述目的，才艮据本发明的另一方面，才是供了一种才艮文 转发装置，应用于包括多个业务板的网络设备。
根据本发明的报文转发装置包括选择模块，用于选择多个业 务板中的业务板及所选业务板的端口；聚合端口，用于将来自多个 业务板中的至少 一个业务板的报文转发至选择模块选择的业务板中 的一个或多个；设置模块，用于设置至少一个业务板的缺省3各由的
6下一跳地址为聚合端口；发送模块，用于根据设置模块设置的缺省 路由，将报文转发至聚合端口。
该装置还包括决策模块，用于根据预定策略确定选择模块选 冲奪的业务^反中的一个或多个业务^反。
优选地，该装置还包括控制模块，用于根据选择模块选择的 业务板的工作状态控制设置模块对缺省路由的设置。该控制模块还 用于在选择模块选择业务板的工作状态均为不工作的情况下，控制 设置模块将缺省路由恢复为默认设置的缺省路由。
借助于上述技术方案的至少之一 ，本发明预先设置下 一跳地址 为一个或多个业务板的聚合端口 ，并将至少一个业务板的缺省路由 的下一跳地址设置为聚合端口 ，使得执行精确路由匹配操作和/或最 长匹配前缀路由操作失败的报文可以根据缺省路由，经由聚合端口 ， 通过上述一个或多个业务板来转发，克服了现有技术中由于硬件路 由转发表的容量较小而导致的精确路由匹配操作和/或最长匹配前 缀路由操作失败，进而导致的报文被丟弃的问题，提高了系统的性 能。


此处所说明的附图用来提供对本发明的进一步理解，构成本申 请的一部分，本发明的示意性实施例及其说明用于解释本发明，并 不构成对本发明的不当限定。在附图中
图1是根据本发明方法实施例的报文转发方法的流程图2是才艮据本发明方法实施例的才艮文转发方法的应用场景示意 图； '图3是根据本发明装置实施例的报文转发方法的框图。
具体实施方式
功能和X述
目前，由于网络设备中的有些业务板的硬件路由转发表的容量 较小而导致了精确路由匹配操作和/或最长匹配前缀路由操作失败， 而根据缺省路由转发的报文可能会被丢弃，影响系统的性能。为了 叙述方便，以下将硬件路由转发表的容量较小的业务板称为低性能 线卡，相应地，将硬件路由转发表的容量较大的业务板称为高性能 线卡。
理论上，上述问题可以通过增大硬件路由转发表的容量来解决， 但是，硬件路由转发表的容量是由以太网的交换芯片决定的，因此， 该问题无法通过增大硬件路由转发表容量来解决。
虽然不同业务板的硬件;洛由转发表的容量不同，且硬件路由转 发表容量小的业务板的报文丢弃率较高，但是，当某个业务板出现 对一个报文进行精确路由匹配操作和/或最长匹配前缀路由操作失 败的情况时，如果能够借助其它的业务板帮助该业务板进行报文的 转发，这样将能够达到路由转发表共享的效果，进而有效提高报文 转发的成功率。基于此，本发明提供了一种报文转发方法，通过预 先设置聚合端口 ，并将部分业务板的缺省路由的下一跳地址设置为 该聚合端口，并且该聚合端口的成员端口 (可以称为下一3兆出端口 ) 为另一部分业务板中的一个或多个。这样，当一些业务板对报文进 行精确路由匹配操作和/或最长匹配前缀路由操作失败时，可以根据
重新-没置的缺省;咯由将该才艮文经由聚合端口环回至聚合端口的成员 端口所对应的一个或多个业务^反来进行后续转发，解决了上述问题。下面将参考附图并结合实施例，来详细说明本发明。需要说明 的是，本发明实施例以一个低性能线卡为例来详细描述本发明，如 果不沖突，本申请中的实施例以及实施例中的特征可以相互组合。 需要说明的是，本发明实施例中涉及的网络设备可以是分布式三层 网络i殳备，例如，分布式三层交换才几。
方法实施例
实施例一
根据本发明实施例，提供了一种报文转发方法，应用于包含多 个业务板的网络设备。
该方法包括在多个业务板中的第一业务才反对4妄收的才艮文进4亍 匹配路由失败的情况下，第 一业务板根据其缺省路由将报文经由聚 合端口，转发至第二业务板，其中，缺省路由的下一跳地址为聚合 端口，聚合端口的成员端口属于第二业务4反。
由以上描述可以看出，本发明实施例通过使用网络设备的其他 业务板的硬件路由转发表来解决第 一业务板转发报文受限的问题， 即，将第一业务板匹配路由失败的报文通过重新设置的缺省路由， 经由聚合端口环回至第二业务4反，由第二业务才反来转发，乂人而解决 了现有技术中由缺省路由转发的报文被丢弃的问题，提高了系统性 能。
优选地，第 一业务板的路由转发表的容量小于第二业务板的路 由转发表的容量，即，第一业务板可以是低性能线卡，第二业务板 可以是高性能线卡。这样，就能够更好地解决现有技术中的由于低 性能线卡的硬件路由转发表较小而导致的报文丢失的问题，进一 步 降低低性能线卡丢弃报文的概率。在具体实施过程中，如果根据第一业务板的缺省路由转发的报 文较多、则会导致第二业务板处理的报文较多，为了减轻第二业务 板的流量负荷，可以用多个业务板来替代一个第二业务板，进行流 量负荷的分担。
实施例二
根据本发明实施例，提供了一种报文转发方法，应用于包含多
个业务—反的网络i殳备，该方法包4舌在多个业务才反中的至少一个业 务板进行匹配路由失败的情况下，其中的每个业务板都根据其缺省 路由将报文经由聚合端口，转发至其它业务板，其中，缺省路由的 下一跳地址为聚合端口 ，聚合端口的成员端口为其它业务板中的一 个或多个。
这里，进4亍匹配^各由失败的业务々反可以是一个或多个上述j氐性 能线卡，其它业务板可以是一个或多个上述高性能线卡。对于聚合 端口的成员端口为一个业务板的情况，即， 一个高性能线卡的情况， 可以参考上述方法实施例一，以下详细描述聚合端口的成员端口为 多个业务板的情况，即，多个高性能线卡的情况。
在聚合端口的成员端口为多个高性能线卡的情况下，低性能线 卡根据预定策略将由缺省路由转发的报文经由聚合端口转发至由预 定策略确定的高性能线卡(即，聚合端口的成员端口中的一个)。这 里的预定策略用于确定该报文经由聚合端口由哪个工作的高性能线 卡来转发。
在具体实施过程中，当上述多个高性能线卡中的部分高性能线 卡下线时，即，部分高性能线卡不工作时，低性能线卡可以根据预 定策略，从工作的高性能线卡中来确定转发报文的高性能线卡；当 上述多个高性能线卡都下线，则低性能线卡的缺省路由恢复为设置
10前的状态，即，缺省路由为现有技术中的缺省路由，此时，处理报 文的操作可以参考现有技术中处理才艮文的操作，这里不再赘述。上述预定策略可以是基于才艮文的源MAC地址、或者基于才艮文 的源IP地址、或者基于才艮文的源MAC地址和目的MAC地址，进 行哈希计算的结果，具体地操作由ASIC芯片3是供商确定，本发明 不限于此。在高性能线卡接收到来自低性能线卡的报文后，具体地处理报 文的操作可以参考现有技术中业务板处理报文的操作，这里不再赘述。由以上描述可以看出，本实施例可以解决上述实施例一中，由 一个高性能线卡来转发报文出现的问题，使得低性能线卡上需要通 过缺省路由来转发的报文可以分担在多个高性能线卡上，避免了报 文的流量过大时，出现某一个高性能线卡繁忙，造成丢包，而其他 高性能线卡空闲的情况发生。图1是根据本发明实施例的报文转发方法的流程图，如图1所 示，该报文转发方法的流程包括步骤102至步骤106。步骤102:根据系统需求，预先选择一个或多个高性能线卡的 一个或多个端口，即，可以选4奪一个高性能线卡的一个或多个端口 ， 也可以选择不同高性能线卡的多个端口 ，作为聚合端口 (可以称为 smartgroup)的下一逸L出端口。步骤104:将低性能线卡的硬件路由转发表中的缺省路由的下 一if兆:t也址-没置为上述步骤102中的聚合端口。步骤106:当报文由低性能线卡进入时，ASIC芯片执行上述匹 配3各由，即，ASIC芯片以^青确^各由(主机路由)操作和/或最长匹配前缀路由(子网路由)操作匹配查找硬件路由转发表，如果匹配 路由成功，则低性能线卡根据匹配到的路由条目转发报文。如果匹 配失败，则低性能线卡根据缺省路由转发报文。在以一个高性能线 卡的端口形成聚合端口的成员端口的情况下，报文经由聚合端口环回到高性能线卡，由高性能线卡进行转发；在以不同高性能线卡的 多个端口形成聚合端口的成员端口的情况下，低性能线卡根据预定策略，例如，对报文的源MAC地址进行哈希计算得到确定的高性 能线卡，将这些报文转发到该高性能线卡，由该高性能线卡进行后 续转发。在步骤106中，当聚合端口的部分成员端口 (即，选择的部分 高性能线卡)下线时，此时形成的聚合端口中还有成员端口 ，则低 性能线卡由缺省路由转发的报文将会被分担到剩下的高性能线卡 上。当聚合端口的下一跳出端口全部下线时，则此时的^f氐性能线卡 恢复原先设置的缺省路由，即，此时，低性能线卡处理报文的操作 可以参考现有技术中的低性能线卡处理报文的操作，如果高性能线 卡上线，则系统重新设置低性能线卡的缺省路由，将其下一跳地址 指向聚合端口。需要i^明的是，为了^^于描述，在图1中以步骤的形式示出并 描述了本发明的方法实施例的才支术方案，在图1中所示出的步骤可 以在诸如一组计算机可执行指令的计算机系统中执行。虽然在图1 中示出了逻辑顺序，^f旦是在某些情况下，可以以不同于此处的顺序 冲丸行所示出或描述的步骤。图2是根据本发明实施例的报文转发方法的应用场景示意图， 如图2所示，该网络设备包括三个业务板，其中， 一号业务板为低 性能线卡，二号和三号业务板为高性能线卡。在没有应用本发明实施例时(即，才艮据现有才支术中的处理)，一号业务板接收到目的IP为20.1.1.0/24的报文，由于一号业务板的硬 件路由转发表较小，在查找其硬件路由转发表时，匹配精确路由和 最长前缀匹配路由操作均失败，则根据预先默认的缺省路由来转发 净艮文(如图中所示为IP=0.0.0.0/0的才艮文)，但是，该报文经过缺省 路由转发后通常会^皮丢弃。在本发明实施例中，预先选4奪二号业务板和/或三号业务板上的 一个或多个端口作为聚合端口的下一跳出端口 ，并将一号业务板的 缺省路由的下一跳地址设置为聚合端口。这样，当一号业务板接收 到目的IP为20.1.1.0/24的报文，在匹配精确路由和最长前缀匹配路 由失败后，会将根据一号业务板的缺省路由转发报文，即，经由聚 合端口一夸目的IP为20.1.1.0/24的净艮文环回到二号或三号业务外反上， 进行二次3各由查找，具体地，环回到二号或三号业务板的^喿作由一 号业务外反才艮据预定策略来确定。由于二号和三号业务^反的石更件3各由 转发表较大，在查找路由成功之后便能进行正常的转发，从而避免 了相关技术中存在的 一号业务板4艮据默认的缺省路由转发报文导致 报文丢失的问题。具体地，在上述处理中，在才艮文环回至二号或三 号业务板上后的转发操作，可以参考现有技术中二号或三号业务板 上转发报文的操作，这里不再赘述。当二号业务板(或者三号业务板)离线时，原先分担到二号和 三号业务板上的报文将会全部经由在线的那块业务板进行二次路由 查找，正常转发。当下线的业务板重新上线后， 一号业务板上需要 缺省路由转发的报文会重新分担到二号和三号业务板，从而保证用 户的业务不会净皮中断。/人以上的描述可以看出，通过本发明实施例，可以解决〗氐性能 线卡上硬件路由转发表小导致低性能线卡容易丢弃报文的问题，同 时低性能线卡可以对应多个高性能线卡，实现负载分担，避免了出现某一块高性能线卡上报文过多，而其他高性能线卡上报文很少的 情况。同时，由于采用了低性能线卡对应多个高性能线卡的方法， 当其中一部分高性能线卡离线后，并不影响正常的转发。保证了整个网络设备可以有效地根据高性能线卡的硬件路由转发表进行转 发，提高了网络设备的使用效率和稳定性。需要说明的是，在上述方法实施例中，是以一个低性能线卡为 例来描述的，在实际中，多个低性能线卡的处理过程是独立的，可 以分别参考方法实施例 一 中提供的每个低性能线卡的处理方法，这 里不再赘述。装置实施例根据本发明实施例，提供了一种报文转发装置，应用于包括多 个业务板的网络设备，优选的，用于实现上述方法实施例中提供的方法。图3是才艮据本发明实施例的才艮文转发装置的框图，如图3所 示，该装置包括选择模块l、聚合端口2、设置模块3、发送模块 4，以下对各模块进行详细描述。选择才莫块1，用于选才奪多个业务^反中的业务^反及所选业务^反的 端口；聚合端口 2，连接至选择模块l,用于将来自多个业务板中的至少一个业务板的报文转发至选择模块l选择的业务板；设置模块3，连^妄至聚合端口2，用于设置至少一个业务板的缺省路由的下一 跳地址为聚合端口 2;发送模块4，连接至聚合端口 2和设置模块3, 用于根据设置模块3设置的缺省路由，将报文转发至聚合端口 2。由以上描述可以看出，选择模块l预先选择了一个或多个业务 板及所选业务的端口 ，将选择模块1预先选择的这些端口形成聚合 端口 2,并由设置模块3将至少一个业务板的缺省路由的下一跳地 址设置为聚合端口 2,这样，由这至少一个业务板的缺省^各由转发的报文，就可以通过发送模块4将报文转发至聚合端口 2,然后， 净艮文就可以经由聚合端口 2转发至选4奪才莫块1预先选择的端口相应 的业务4反进行处理。相比于现有纟支术，解决了现有4支术中通过业务 板的缺省路由导致的报文丢弃的问题，提高了系统的性能。在选择模块1预先选择了 一个业务板的情况下，该报文转发装 置优选地用于实现上述方法实施例一纟是供的方法，具体地，各才莫块 的才喿作过程可以参考上述的方法实施例一中的描述，这里不再赘述。在选择模块1预先选择了多个业务板的情况下，该报文转发装 置优选地用于实现上述方法实施例二4是供的方法。优选地，该才艮文 转发装置还包括决策模块，用于根据预定策略确定选择模块1选择 的业务并反。这里的预定策略可以参考上述方法实施例二中的相关描 述，这里不再赘述。通过预定策略，可以使得由发送模块4发送的 报文可以分担到多个选择模块1选择的业务板，避免了在报文流量 较大时，有的业务板繁忙而有的业务板空闲的状况。在具体实施过程中，报文转发装置还可以包括控制模块，用于 根据选择模块1选择的业务板的工作状态控制设置模块3对缺省路 由的设置，以及在选择模块1选择业务板的工作状态均为不工作的 情况下，控制设置模块3将缺省路由恢复为默认设置的缺省路由。 即，在选择模块1选择的业务板中，至少有一个业务板处于工作状 态时，控制模块控制设置模块3设置至少一个业务板的缺省路由的 下一跳地址为聚合端口 2,这样，发送模块4就可以将报文经由聚 合端口 2转发至选摔"漠块1选择的处于工作状态的业务板。而在选 择模块1选择的业务板都处于不工作状态时，则控制模块控制设置 模块3将缺省路由恢复为默认设置的缺省路由，即，恢复为现有技 术中的缺省路由，在选择模块l选择的业务板重新上线时，控制模 块再控制i殳置才莫块3设置至少一个业务^反的缺省;咯由的下一跳地址 为聚合端口 2。综上所述，本发明通过设置低性能线卡的缺省路由，将缺省路 由的下一跳地址指向聚合端口 ，利用聚合端口的成员端口，将低性 能线卡根据缺省路由转发的报文环回到 一个或多个高性能线卡上进 行转发，充分利用了整个网络设备的硬件路由转发表，保证了整个 网络设备始终都能够进行正常的报文转发。在存在多块高性能线卡 的情况下，当低性能线卡上接收到报文后需要由缺省路由转发时， 则低性能线卡根据预定策略，将报文转发到不同高性能线卡上进行 处理，这样就不会出现某一块高性能线卡上繁忙，而其他高性能线 卡空闲的情况，充分利用了整个分布式三层网络设备的高性能线卡。 当其中有部分高性能线卡离线时，也不需要进行操作，报文会根据预定策略分担到剩下的高性能线卡上，提高了网络设备的使用效率 和稳定性。显然，本领域的技术人员应该明白，上述的本发明的各模块或 各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算 装置上，或者分布在多个计算装置所组成的网络上，可选地，它们 可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成 电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模 块来实现。这样，本发明不限制于任何特定的硬件和软件结合。以上所述仅为本发明的优选实施例而已，并不用于限制本发明， 对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在 本发明的精神和原则之内，所作的任何修改、等同替换、改进等， 均应包含在本发明的保护范围之内。
权利要求
1. 一种报文转发方法，应用于包括多个业务板的网络设备，其特征在于，所述方法包括在所述多个业务板中的至少一个业务板对接收的报文进行匹配路由失败的情况下，所述至少一个业务板根据其缺省路由将所述报文经由聚合端口，转发至其它业务板，其中，所述缺省路由的下一跳地址为所述聚合端口，所述聚合端口的成员端口为所述其它业务板中的一个或多个。
2. 根据权利要求1所述的方法，其特征在于，在所述聚合端口的 成员端口为所述其它业务4反中的多个业务才反的情况下，所述至 少 一 个业务板根据预定策略将所述报文经由所述聚合端口转 发至所述其它业务板中由所述预定策略确定的业务板。
3. 根据权利要求1所述的方法，其特征在于，在将所述报文转发 至所述其它业务纟反之后，所述方法还包括*接收到所述才艮文的所述其它业务4反对所述才艮文进4于匹配 3各由并转发。
4. 根据权利要求1所述的方法，其特征在于，在所述其它业务板 都不工作的情况下，所述至少一个业务板将所述缺省^^由置为 默i人i殳置的缺省;咯由，并转发所述才艮文。
5. 根据权利要求1至4中任一项所述的方法，其特征在于，所述 匹配路由的操作包括精确路由操作和/或最长匹配操作。
6. 根据权利要求1至4中任一项所述的方法，其特征在于，所述 至少一个业务板的路由转发表容量小于所述其它业务板的路由转发表容量。
7. —种报文转发装置，应用于包括多个业务板的网络设备，其特 征在于，所述装置包括选裤4莫块，用于选^奪所述多个业务^反中的业务才反及所选业 务外反的端口；聚合端口 ，用于将来自所述多个业务板中的至少一个业务 板的才艮文转发至所述选择才莫块选择的所述业务板中的 一 个或 多个；设置模块，用于设置所述至少一个业务板的缺省路由的下 一浪Lt也址为所述聚合端口 ；发送模块，用于根据所述设置模块设置的缺省路由，将报 文转发至所述聚合端口 。
8. 根据权利要求7所述的装置，其特征在于，所述装置还包括决策模块，用于根据预定策略确定所述选择模块选择的业 务4反中的所述一个或多个业务4反。
9. 根据权利要求7所述的装置，其特征在于，所述装置还包括控制模块，用于根据所述选择模块选择的业务板的工作状 态控制所述设置模块对缺省路由的设置。
10. 根据权利要求9所述的装置，其特征在于，所述控制模块还用 于在所述选择模块选择业务板的工作状态均为不工作的情况 下，控制所述设置模块将所述缺省路由恢复为默认设置的缺省 路由。
全文摘要
本发明提供了一种报文转发方法及装置，其中，该报文转发方法包括在多个业务板中的至少一个业务板对接收的报文进行匹配路由失败的情况下，至少一个业务板根据其缺省路由将报文经由聚合端口，转发至其它业务板，其中，缺省路由的下一跳地址为聚合端口，聚合端口的成员端口为其它业务板中的一个或多个。通过本发明，克服了现有技术中由于硬件路由转发表的容量较小而导致的精确路由匹配操作和/或最长匹配前缀路由操作失败，进而导致的报文被丢弃的问题，提高了系统的性能。
文档编号H04L12/56GK101534253SQ20091012788
公开日2009年9月16日 申请日期2009年4月9日 优先权日2009年4月9日
发明者欣 李, 杨红燕, 钱霄鸿 申请人:中兴通讯股份有限公司