CN101594557B - 无源光网络系统中定位恶意用户的方法及光纤线路终端 - Google Patents

Abstract

本发明提供了一种无源光网络系统中定位恶意用户的方法及光纤线路终端。所述方法在初始部署ONU时，由OLT预先检测并保存各个ONU所发送的测试光信号的功率值；在PON系统的工作过程中，如果发现被恶意用户攻击，则OLT要求PON系统中的ONU停止发送业务光信号而改发测试光信号，并检测各个ONU发送的测试光信号的功率值，如果该功率值明显偏离预先保存的该ONU发送的测试光信号的功率值，则可以认定该ONU为恶意用户。按照本发明，可以在运营商局端实现对恶意用户的快速定位，有利于提高运营商的服务质量和运营效率。

Description

无源光网络系统中定位恶意用户的方法及光纤线路终端

技术领域

本发明涉及无源光网络(PON，Passive Optical Network)，具体涉及一种PON系统中定位恶意用户的方法及光纤线路终端(OLT，Optical LineTerminal)。

背景技术

在用户高速上网、视频、以太网专线等宽带业务的强劲需求驱动下，PON系统以其高带宽、低成本、适合组播业务传送、易维护、高可靠性等优势成为光接入网的主流技术。PON系统通过光分配网络(ODN，Optical DistributionNetwork)将OLT和光网络单元(ONU，Optical Net Unit)连接起来，拓扑结构是点到多点的形式，OLT通常设置在网络运营商端局，作为局端设备与核心网连接。OLT到光分/合路器的主干光纤可以共享，到用户分布密集处再通过光耦合器进行光功率的分路，再通过分支光纤连接至各用户节点。PON系统中，上行方向是指由ONU到OLT的方向，下行方向是指由OLT到ONU的方向。

PON系统的结构如图1所示。其中光分/合路可以采用多级。不失一般性，PON结构可抽象为图2所示。由于PON网络为连接用户的“最初一公里”网络，用户可以通过接触到处于用户处的ODN的末端光口。因此，恶意用户可以利用一工作波长与PON系统的上行工作波长相同的攻击光源，向PON系统发送上行光信号，对PON网络进行攻击，使整个PON网络上行不能正常工作，严重影响了运营商的服务质量和运营效率。上述攻击图示于图3，图3中，攻击光源通过光耦合器连接到ODN。

由于时分多址接入(TDMA，Time Division Multiple Access)PON系统上行采用时分多址方式“合路”PON系统中的所有ONU的信号，因此，OLT难以定位出攻击光信号来自哪条分支光纤或哪个ONU的末端光口。

发明内容

有鉴于此，本发明实施例的主要目的在于提供一种PON系统中定位恶意用户的方法及OLT，实现在局端对恶意用户的快速定位，提高运营商的服务质量和运营效率。

为解决上述技术问题，本发明实施例提供方案如下：

一种无源光网络PON系统中定位恶意用户的方法，所述PON系统包括：连接到核心网的光纤线路终端OLT、光分配网络ODN、和通过所述ODN与OLT连接的光网络单元ONU；所述方法包括：

OLT在判断出所述PON系统受到恶意用户的攻击后，停止向第一ONU发送业务光信号授权，并向所述第一ONU发送测试光信号授权，用于指示所述第一ONU在上行方向上只发送所述测试光信号，所述测试光信号的频率响应与所述第一ONU发送的业务光信号的频率响应不同；

OLT利用滤波器对所述第一ONU发送的上行光信号进行过滤，并对过滤后得到的光信号进行功率检测，得到第二功率值，其中，所述滤波器用于根据测试光信号的频率响应，过滤出光信号中的测试光信号；

计算第一功率值和所述第二功率值之间的差值，并在所述差值超出预定的数值区间时，判定所述第一ONU为恶意用户，其中，所述第一功率值是所述OLT预先检测并记录的所述第一ONU发送的测试光信号的功率值。

优选地，上述方法中，所述OLT进一步在上行方向上检测到光功率但不能正确接收链路层分组报文时，判断所述PON系统受到恶意用户的攻击。

优选地，上述方法中，在对所述第一ONU发送的上行光信号进行过滤之前还包括：所述OLT接收所述PON系统的上行光信号，并根据所述第一ONU的测试光信号授权，从所述PON系统的上行光信号中分离出所述第一ONU的上行光信号。

优选地，上述方法中，所述OLT进一步在初始部署所述第一ONU时，预先检测并记录所述第一ONU发送的测试光信号的所述第一功率值；在所述第一ONU正常工作后，所述OLT周期性地向所述第一ONU发送测试光信号授权，并根据接收到的所述第一ONU发送的测试光信号的功率值，更新所述第一功率值。

优选地，上述方法中，所述PON系统为波分多址接入WDMA PON系统或时分多址接入TDMA PON系统。

本发明实施例还提供了一种无源光网络PON系统中的光纤线路终端OLT，包括：

发送所述PON系统的下行光信号的光发送机单元；

接收所述PON系统的上行光信号的光接收机单元；该OLT还包括：

控制单元、滤波器单元、功率检测单元和记录判断单元；

所述控制单元，用于在初始部署所述PON系统中的第一ONU时，控制所述光发送机单元向所述第一ONU发送测试光信号授权；在所述第一ONU正常工作后，向所述第一ONU发送业务光信号授权，并在判断出所述PON系统受到恶意用户的攻击后，控制所述光发送机单元停止向所述第一ONU发送业务光信号授权，并控制所述光发送机单元向所述第一ONU发送测试光信号授权，用于指示所述第一ONU在上行方向上只发送所述测试光信号，其中，所述测试光信号的频率响应与所述第一ONU发送的业务光信号的频率响应不同；

所述滤波器单元，用于根据测试光信号的频率响应，对所述光接收机单元接收到的所述第一ONU发送的上行光信号进行过滤，过滤出其中的测试光信号，并输出过滤后得到的光信号；

所述功率检测单元，用于对所述滤波器单元输出的光信号进行功率检测；

所述记录判断单元，用于记录在初始部署所述第一ONU时所述功率检测单元检测到的第一功率值，以及在所述PON系统受到恶意用户的攻击后所述功率检测单元检测到的第二功率值，并计算所述第一功率值和所述第二功率值之间的差值，并在所述差值超出预定的数值区间时，判定所述第一ONU为恶意用户。

优选地，上述OLT中，所述控制单元，还用于在上行方向上检测到光功率但不能正确接收链路层分组报文时，判断所述PON系统受到恶意用户的攻击。

优选地，上述OLT中，所述PON系统为波分多址接入WDMA PON系统或时分多址接入TDMA PON系统。

从以上所述可以看出，本发明实施例提供的PON系统中定位恶意用户的方法及OLT，通过监测PON系统中ONU发送的测试光信号的功率，在运营商局端实现了对恶意用户的快速定位，从而有利于提高运营商的服务质量和运营效率。

附图说明

图1为现有技术的PON系统的结构示意图；

图2为现有技术中抽象化的PON系统的结构示意图；

图3为现有技术中恶意用户对PON系统的攻击示意图；

图4为本发明实施例所述定位恶意用户的方法的流程图；

图5为本发明具体实例1中所述OLT的结构示意图；

图6为本发明具体实例1中所述ONU的结构示意图；

图7为本发明实施例中所述OLT的结构示意图。

具体实施方式

本发明提出了一种能够定位对PON系统的上行业务进行攻击的恶意用户的方法：在初始部署ONU时，由OLT预先检测并保存各个ONU所发送的测试光信号的功率值；在PON系统的工作过程中，如果发现被恶意用户攻击，则OLT要求PON系统中的ONU停止发送业务光信号而改发测试光信号，并检测各个ONU发送的测试光信号的功率值，如果该功率值明显偏离预先保存的该ONU发送的测试光信号的功率值，则可以认定该ONU为恶意用户。以下将结合附图通过具体实施例对本发明做进一步的说明。

图4为本发明实施例所述定位恶意用户的方法的流程图，本实施例中以PON系统中的某一个ONU为例进行说明，对于PON系统中的任一ONU，本实施例的处理方法相同。如图4所示，所述方法包括以下步骤：

步骤41，在初始部署PON系统中的某个ONU时，OLT预先检测并记录所述ONU发送的测试光信号的第一功率值，所述测试光信号的频率响应与所述ONU发送的业务光信号的频率响应不同。

这里，在对该ONU进行开通测试时，由所述ONU向OLT发送测试光信号，OLT检测该测试光信号的功率值并记录保存。测试光信号与所述ONU正常的上行业务光信号的频率响应不同，以便于OLT能够据此分离出测试光信号。在所述ONU正常工作后，所述OLT周期性地向所述ONU发送测试光信号授权，并根据接收到的所述ONU发送的测试光信号的功率值，更新所述第一功率值。

步骤42，在PON系统的工作过程中，如果OLT判断出PON系统受到恶意用户的攻击，则停止向所述ONU发送业务光信号授权，并向所述ONU发送测试光信号授权，用于指示所述ONU在上行方向上只发送所述测试光信号。

这里，OLT如果在上行方向上能够检测到光功率，但却不能正确接收链路层分组报文时，则判断PON系统正受到恶意用户的攻击。

步骤43，OLT利用滤波器对所述ONU发送的上行光信号进行过滤，并对过滤后得到的光信号进行功率检测，得到第二功率值，其中，所述滤波器用于根据测试光信号的频率响应，过滤出光信号中的测试光信号。

这里，OLT首先在由ONU到OLT的上行方向上，接收所述PON系统的上行光信号；然后，根据所述ONU的测试光信号授权，从所述PON系统的上行光信号中分离出所述ONU的上行光信号。例如，对于TDMA PON系统，可以根据所述ONU的授权时隙，提取出所述ONU的上行光信号。对于波分多址接入(WDMA，Wavelength Division Multiple Access)PON系统，则可以根据波长提取出所述ONU的上行光信号。

步骤44，OLT计算所述第一功率值和所述第二功率值之间的差值，并在所述差值超出预定的数值区间时，判定所述ONU为恶意用户。

这里，在正常情况下，ONU发送的测试光信号的功率值应该在一定的范围区间(如±0.2dB)内，如果超出该范围区间，则说明连接该ONU的ODN的末端光口很可能出现了意外情况，例如，有恶意用户通过光耦合器接入到该末端光口，由于光耦合器会引入较大的插入损耗，将导致该ONU的测试光信号的功率出现不正常的较大衰减；再例如，恶意用户使用非法ONU替换合法ONU，通过非法ONU接入了末端光口，由于非法ONU不能响应OLT的测试光信号授权，不能发出相应的测试光信号，OLT侧检测不到的测试光信号的功率值。因此，通过比较ONU的测试光信号的功率变化情况，可以判断出可能存在的恶意用户。

以下通过两个具体实例，来对上述方法做更为详细的说明。

<实例1>

本实例中，所述PON系统中的OLT的光发送接收模块的结构如图5所示，具体包括：波分复用/解复用器，激光源、控制电路、调制电路和线路编码等光发送机部分；光电变换、前置放大器、主放大器、均衡滤波等光接收机部分；能够滤出测试光信号的滤波器和电平检测器等测试光信号过滤和功率检测部分。

其中，所述波分复用/解复用器的端口1连接到光分配网络(ODN)，端口2与激光源连接，端口3与光电变换模块连接；

所述波分复用/解复用器，用于将自身端口1上接收到的第一波长的光信号通过自身端口3输出，以及将自身端口2上接收到的第二波长的光信号通过自身端口1发送出去；

所述滤波器，用于对混合业务数据和测试数据的上行光信号进行滤波，从而得到中心频率为ft的正弦测试光信号；

所述电平检测器，用于检测中心频率为ft的正弦测试光信号的光功率。

其它模块的功能与现有技术相类似，不再赘述。

所述ONU的光发送接收模块的结构如图6所示，具体包括：波分复用/解复用器，激光源、控制电路、调制电路、线路编码和信号发生器等光发送机部分，光电变换、前置放大器、主放大器、均衡滤波等光接收机部分，能够滤出测试光信号的滤波器和电平检测器等测试光信号过滤和功率检测部分.

其中，所述波分复用/解复用器的端口1连接到光分配网络(ODN)，端口2与激光源连接，端口3与光电变换模块连接；

所述波分复用/解复用器，用于将自身端口1上接收到的第二波长的光信号通过自身端口3输出，以及将自身端口2上接收到的第二波长的光信号通过自身端口1发送出去；

所述信号发生器，用于产生中心频率为ft的正弦测试光信号。

其它模块的功能与现有技术相类似，不再赘述。

以下说明本实例所述定位PON系统中的恶意用户的方法的具体实现：

步骤1，PON系统的合约ONUi部属开通测试时，ONUi发送频率的ft的正弦测试光信号，OLT检测该测试信号的光功率并作记录；

步骤2，OLT定期授权ONUi发送正弦测试光信号，并更新检测到的功率值记录；

步骤3，OLT检测到上行光功率但又不能正确接收各ONU链路层分组时，可以判定受到恶意用户的攻击；

步骤4，OLT停止正常的业务光信号授权而依次向各ONU发送测试光信号授权；各ONU发送频率为ft的正弦测试光信号；OLT将接收的光信号(包括攻击光信号)经过中心频率为ft的低通滤波器滤波后，依次检测各ONU的测试光信号功率并与该ONU的记录值进行比对；

步骤5，恶意用户的分支光纤的测试光信号的功率测量结果，或者由于光耦合器的介入导致比记录值低，或者由于恶意用户的非法ONU不响应OLT测试光信号授权而只发攻击光信号，导致OLT检测不到ft频率的信号，从而OLT能够据此定位出恶意用户所接入的分支光纤的光口。

通过以上步骤，本施例实现了对无源光网络系统的上行业务进行攻击的恶意用户的定位。

<实例2>

本实例所述PON系统中，所述OLT的光发送接收模块的结构与实例1的OLT相同，区别仅在于，本实例中的滤波器，用于对混合业务数据和测试数据的光信号进行滤波，从而得到带通范围为0～4π/T的二进制相移键控调制(2PSK)测试光信号，这里，T为二进制符号间隔。

所述电平检测器，用于检测2PSK测试光信号的光功率。

本实例所述ONU的光发送接收模块的结构与实例1的ONU相同，区别仅在于本实例的信号发生器，用于生成二进制符号间隔为T的2PSK信号。

以下说明本实例所述定位PON系统中的恶意用户的方法的具体实现：

步骤1，PON系统的合约ONUi部属开通测试时，ONUi发送2PSK测试光信号，OLT检测该测试光信号的功率值并作记录；

步骤2，OLT定期授权ONUi发送2PSK测试光信号，并更新检测到的功率值记录；

步骤3，OLT检测到上行光功率但又不能正确接收各ONU链路层分组时，可以判定受到恶意用户的攻击；

步骤4，OLT停止正常的业务信号授权而依次向各ONU发送测试光信号授权；各ONU发送2PSK测试光信号；OLT将接收的光信号(包括攻击光信号)经过带通范围为0～4π/T的低通滤波器滤波后依次检测各ONU的测试信号功率并与记录值比对；

步骤5，OLT检测到的来自恶意用户的分支光纤的测试光信号功率或者由于光耦合器的介入导致比记录值低，或者恶意用户ONU不响应OLT测试授权只发攻击光信号，导致OLT检测不到2PSK测试光信号，从而OLT能够据此定位出恶意用户所接入的分支光纤的光口。

通过以上步骤，本施例同样实现了对PON系统的上行业务进行攻击的恶意用户的定位。

最后，本发明实施例还提供了一种OLT，用于实现对PON系统中的恶意用户进行定位，如图7所示，该OLT具体包括：

发送所述PON系统的下行光信号的光发送机单元；

接收所述PON系统的上行光信号的光接收机单元；其特征在于，还包括：

控制单元、滤波器单元、功率检测单元和记录判断单元；

所述控制单元，用于在初始部署所述PON系统中的ONU时，控制所述光发送机单元向所述ONU发送测试光信号授权；在所述ONU正常工作后，向所述ONU发送业务光信号授权，并在判断出所述PON系统受到恶意用户的攻击后，控制所述光发送机单元停止向所述ONU发送业务光信号授权，并控制所述光发送机单元向所述ONU发送测试光信号授权，用于指示所述ONU在上行方向上只发送所述测试光信号，其中，所述测试光信号的频率响应与所述ONU发送的业务光信号的频率响应不同；

所述滤波器单元，用于根据测试光信号的频率响应，对所述光接收机单元接收到的所述ONU发送的上行光信号进行过滤，过滤出其中的测试光信号，并输出过滤后得到的光信号；

所述功率检测单元，用于对所述滤波器单元输出的所述过滤后得到的光信号进行功率检测；

记录判断单元，用于记录在初始部署所述ONU时所述功率检测单元检测到的第一功率值，以及在所述PON系统受到恶意用户的攻击后所述功率检测单元检测到的第二功率值，并计算所述第一功率值和所述第二功率值之间的差值，并在所述差值超出预定的数值区间时，判定所述ONU为恶意用户。

优选地，上述控制单元，还用于在上行方向上检测到光功率但不能正确接收链路层分组报文时，判断所述PON系统受到恶意用户的攻击。

优选地，上述PON系统为WDMA PON系统或TDMA PON系统。

以上所述仅为本发明的较佳实施例。需要指出的是，本发明并不仅仅限于说明书和实施方式中所列运用，它完全可以被适用于各种适合本发明之领域，对于熟悉本领域的人员而言可容易地实现另外的优点和进行修改，因此在不背离权利要求及等同范围所限定的一般概念的精神和范围的情况下，本发明并不限于特定的细节、代表性的设备和这里示出与描述的图示示例。

Claims (8)

1.一种无源光网络PON系统中定位恶意用户的方法，所述PON系统包括：连接到核心网的光纤线路终端OLT、光分配网络ODN、和通过所述ODN与OLT连接的光网络单元ONU；其特征在于，所述方法包括：

OLT在判断出所述PON系统受到恶意用户的攻击后，停止向第一ONU发送业务光信号授权，并向所述第一ONU发送测试光信号授权，用于指示所述第一ONU在上行方向上只发送所述测试光信号，所述测试光信号的频率响应与所述第一ONU发送的业务光信号的频率响应不同；

OLT利用滤波器对所述第一ONU发送的上行光信号进行过滤，并对过滤后得到的光信号进行功率检测，得到第二功率值，其中，所述滤波器用于根据测试光信号的频率响应，过滤出光信号中的测试光信号；

计算第一功率值和所述第二功率值之间的差值，并在所述差值超出预定的数值区间时，判定所述第一ONU为恶意用户，其中，所述第一功率值是所述OLT预先检测并记录的所述第一ONU发送的测试光信号的功率值。

2.如权利要求1所述的方法，其特征在于，所述OLT进一步在上行方向上检测到光功率但不能正确接收链路层分组报文时，判断所述PON系统受到恶意用户的攻击。

3.如权利要求2所述的方法，其特征在于，在对所述第一ONU发送的上行光信号进行过滤之前还包括：所述OLT接收所述PON系统的上行光信号，并根据所述第一ONU的测试光信号授权，从所述PON系统的上行光信号中分离出所述第一ONU的上行光信号。

4.如权利要求3所述的方法，其特征在于，所述OLT进一步在初始部署所述第一ONU时，预先检测并记录所述第一ONU发送的测试光信号的所述第一功率值；在所述第一ONU正常工作后，所述OLT周期性地向所述第一ONU发送测试光信号授权，并根据接收到的所述第一ONU发送的测试光信号的功率值，更新所述第一功率值。

5.如权利要求3所述的方法，其特征在于，所述PON系统为波分多址接入WDMA PON系统或时分多址接入TDMA PON系统。

6.一种无源光网络PON系统中的光纤线路终端OLT，包括：

发送所述PON系统的下行光信号的光发送机单元；

接收所述PON系统的上行光信号的光接收机单元；其特征在于，还包括：

控制单元、滤波器单元、功率检测单元和记录判断单元；

所述控制单元，用于在初始部署所述PON系统中的第一ONU时，控制所述光发送机单元向所述第一ONU发送测试光信号授权；在所述第一ONU正常工作后，向所述第一ONU发送业务光信号授权，并在判断出所述PON系统受到恶意用户的攻击后，控制所述光发送机单元停止向所述第一ONU发送业务光信号授权，并控制所述光发送机单元向所述第一ONU发送测试光信号授权，用于指示所述第一ONU在上行方向上只发送所述测试光信号，其中，所述测试光信号的频率响应与所述第一ONU发送的业务光信号的频率响应不同；

所述滤波器单元，用于根据测试光信号的频率响应，对所述光接收机单元接收到的所述第一ONU发送的上行光信号进行过滤，过滤出其中的测试光信号，并输出过滤后得到的光信号；

所述功率检测单元，用于对所述滤波器单元输出的光信号进行功率检测；

所述记录判断单元，用于记录在初始部署所述第一ONU时所述功率检测单元检测到的第一功率值，以及在所述PON系统受到恶意用户的攻击后所述功率检测单元检测到的第二功率值，并计算所述第一功率值和所述第二功率值之间的差值，并在所述差值超出预定的数值区间时，判定所述第一ONU为恶意用户。

7.如权利要求6所述的OLT，其特征在于，

所述控制单元，还用于在上行方向上检测到光功率但不能正确接收链路层分组报文时，判断所述PON系统受到恶意用户的攻击。

8.如权利要求7所述的OLT，其特征在于，所述PON系统为波分多址接入WDMA PON系统或时分多址接入TDMA PON系统。

Images