JP2005354504A - 光加入者線端局装置、光加入者線終端装置およびその通信方法 - Google Patents

Abstract

【課題】 Ｇ−ＥＰＯＮベースのネットワークにおいてマルチキャスト通信を可能とした光加入者線端局装置、光加入者線終端装置およびその通信方法を提供すること。
【解決手段】 ＯＬＴ１の暗号処理部１３は、上流側通信処理部１７によって受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化する。ＰＯＮ処理部１１は、暗号処理部１３によって暗号化されたフレームに、論理パス識別子と暗号キーの識別子とを付加してＰＯＮ側に送信する。一方、ＯＮＵ２の暗号処理部２３は、ＰＯＮ処理部２１によって受信されたフレームがマルチキャストフレームであれば、付加された暗号キー識別子に対応する暗号キーを用いてフレームを復号するので、マルチキャストグループに属する光加入者線終端装置のみがフレームを復号することができ、マルチキャスト通信を実現することが可能となる。
【選択図】 図１

Description

本発明は、複数の宅側装置が媒体を共有してデータの伝送を行なう媒体共有型通信であるＰＯＮ（Passive Optical Network）に関し、特に、ＩＥＥＥ（The Institute of Electrical and Electronics Engineers, Inc.）８０２．３ａｈで標準化されつつあるＧ−ＥＰＯＮ（Giga-Ethernet(登録商標) PON）において、グループに閉じた同報を行なう光加入者線端局装置（以下、ＯＬＴと呼ぶ。）、光加入者線終端装置（以下、ＯＮＵと呼ぶ。）およびその通信方法に関する。

近年、インターネットが広く普及しており、利用者は世界各地で運営されているサイトの様々な情報にアクセスし、その情報を入手することが可能である。それに伴って、ＡＤＳＬ（Asymmetric Digital Subscriber Line）、ＦＴＴＨ（Fiber To The Home）などのブロードバンドアクセスに対する要望も急速に高まってきている。これに関連する技術として、特開２０００−２２８６６８号公報に開示された発明がある。

特開２０００−２２８６６８号公報に開示されたパケット伝送システムにおいて、送出対象がマルチキャスト用セルである場合、シェーパによりマルチキャスト用バッファ内のセルが読出されると、ＰＯＮ処理部はテーブルから当該セルの論理コネクションに対応した情報を読出す。そして、ＰＯＮ処理部は、この読出し情報内のＥＬＡＮ（Emulated LAN）情報により宛先であるＥＬＡＮを判定し、このＥＬＡＮに割当てられたＶＰＩ（Virtual Path Identifier）およびＶＣＩ（Virtual Channel Identifier）を当該セルのヘッダ部に挿入する。

暗号処理部は、暗号キーテーブルに登録された当該ＥＬＡＮに対応した暗号キーを用いて、当該セルに暗号処理を施す。ＰＯＮ処理部は、この暗号処理後のセルに対し、マルチキャストであることを示す情報をＯＮＵ＿ＩＤとして付加し、ＡＴＭＰＯＮフレームとして通信路に送出する。

また、ＩＥＥＥ８０２．３ａｈにおいては、Ｇ−ＥＰＯＮベースのネットワークにおける論理パス識別子の形式、フレーム送信時のフレーム形式に応じた論理パス識別子の使い方、フレーム受信時の論理パス識別子による廃棄および中継を定義し、ユニキャスト通信およびブロードキャスト通信をエミュレートする方式を規定している。
特開２０００-２２８６６８号公報

上述したＩＥＥＥ８０２．３ａｈにおいては、論理パス識別子を用いて、ユニキャスト通信およびブロードキャスト通信を行なうための方式が規定されているが、マルチキャスト通信を行なうための方式が規定されていない。

また、上述した特開２０００-２２８６６８号公報においては、ＰＯＮシステムにおけるマルチキャスト通信の方法にも言及されているが、ＡＴＭ−ＰＯＮベースであり、マルチキャストフレームであることを示すのに、ＡＴＭ−ＰＯＮフレームの先頭に付加されるＯＮＵ＿ＩＤが使用される。このＯＮＵ＿ＩＤは、Ｇ−ＥＰＯＮにおいては論理パス識別子に相当するが、この論理パス識別子にはマルチキャストフレームを識別する機能はない。

さらには、特開２０００−２２８６６８号公報においては、ＯＮＵ側からのマルチキャストフレームを受信したＯＬＴが、再度ＰＯＮ側にそのフレームをマルチキャスト送信する際の方法については言及されていない。

本発明は、上記問題点を解決するためになされたものであり、第１の目的は、Ｇ−ＥＰＯＮベースのネットワークにおいてマルチキャスト通信を可能とした光加入者線端局装置、光加入者線終端装置およびその通信方法を提供することである。

第２の目的は、光加入者線終端装置からのマルチキャストフレームを受信した光加入者線端局装置が、再度ＰＯＮ側にそのフレームをマルチキャスト送信することが可能な光加入者線端局装置、光加入者線終端装置およびその通信方法を提供することである。

本発明のある局面に従えば、光加入者線によって接続された端局装置と終端装置との間でデータ伝送を行う受動的光ネットワークシステムにおいて、光加入者線端局装置は、上流側ネットワークからフレームを受信するための受信手段と、受信手段によって受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するための暗号手段と、暗号手段によって暗号化されたフレームに、論理パス識別子と暗号キーの識別子とを付加して受動的光ネットワークに送信するための送信手段とを含む。

好ましくは、送信手段は、論理パス識別子としてブロードキャスト識別フィールドにブロードキャストを許可するコード、論理パス番号識別フィールドに終端装置を識別する論理パス番号以外の特定のコードを格納する。

本発明の別の局面に従えば、光加入者線によって接続された端局装置と終端装置との間でデータ伝送を行う受動的光ネットワークシステムにおいて、光加入者線端局装置は、受動的光ネットワークからフレームを受信するための受信手段と、受信手段によって受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するための暗号手段と、暗号手段によって暗号化されたフレームに、論理パス識別子と暗号キーの識別子とを付加して受動的光ネットワークに送信するための送信手段とを含む。

好ましくは、送信手段は、論理パス識別子としてブロードキャスト識別フィールドにブロードキャストを許可するコード、論理パス番号識別フィールドにマルチキャストすべきフレームを送信した機器の論理パス番号を格納する。

さらに好ましくは、送信手段は、暗号手段によって暗号化されたフレームに、フレームデータから計算されたチェックベクタを付加して送信する。

本発明のさらに別の局面に従えば、光加入者線によって接続された端局装置と終端装置との間でデータ伝送を行う受動的光ネットワークシステムにおいて、光加入者線終端装置は、受動的光ネットワークからフレームを受信するための受信手段と、受信手段によって受信されたフレームがマルチキャストフレームであれば、当該マルチキャストフレームに付加された暗号キー識別子に対応する暗号キーを用いてフレームを復号するための復号手段と、復号手段によって復号されたフレームを下流側ネットワークに送信するための送信手段とを含む。

好ましくは、受信手段は、受信したフレームに含まれる論理パス識別子のブロードキャスト識別フィールドがブロードキャストを許可するコードであり、かつ論理パス番号識別フィールドが終端装置を識別する論理パス番号以外の特定のコードである場合に、当該フレームをブロードキャストフレームと判定する。

好ましくは、受信手段は、受信したフレームに含まれる論理パス識別子のブロードキャスト識別フィールドがブロードキャストを許可するコードであり、かつ論理パス番号識別フィールドが自身の論理パス番号である場合に当該フレームを廃棄し、ブロードキャスト識別フィールドがブロードキャストを許可するコードであり、かつ論理パス番号識別フィールドが自身の論理パス番号でない場合に当該フレームを許可する。

さらに好ましくは、復号手段は、復号したフレームに含まれるチェックベクタと、復号したフレームから計算したチェックベクタとを比較し、一致しない場合に当該フレームを廃棄する。

本発明のさらに別の局面に従えば、受動的光ネットワークシステムに接続された端局装置と終端装置との間でデータ伝送を行う通信方法において、光加入者線端局装置における通信方法は、上流側ネットワークからフレームを受信するステップと、受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するステップと、暗号化されたフレームに、論理パス識別子と暗号キーの識別子とを付加して受動的光ネットワークに送信するステップとを含む。

本発明のさらに別の局面に従えば、受動的光ネットワークシステムに接続された端局装置と終端装置との間でデータ伝送を行う通信方法において、光加入者線端局装置における通信方法は、受動的光ネットワークからフレームを受信するステップと、受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するステップと、暗号化されたフレームに、論理パス識別子と前記暗号キーの識別子とを付加して受動的光ネットワークに送信するステップとを含む。

好ましくは、さらに暗号化されたフレームに、フレームデータから計算されたチェックベクタを付加するステップを含む。

本発明のさらに別の局面に従えば、受動的光ネットワークシステムに接続された端局装置と終端装置との間でデータ伝送を行う通信方法において、光加入者線終端装置における通信方法は、受動的光ネットワークからフレームを受信するステップと、受信されたフレームがマルチキャストフレームであれば、当該マルチキャストフレームに付加された暗号キー識別子に対応する暗号キーを用いてフレームを復号するステップと、復号されたフレームを下流側ネットワークに送信するステップとを含む。

好ましくは、さらに復号したフレームに含まれるチェックベクタと、復号したフレームから計算したチェックベクタとを比較し、一致しない場合に当該フレームを廃棄するステップを含む。

本発明のある局面によれば、受信手段によって上位側ネットワークから受信されたフレームがマルチキャストすべきフレームであれば、暗号手段が、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するので、マルチキャストグループに属する光加入者線終端装置のみがフレームを復号することができ、マルチキャスト通信を実現することが可能となった。

また、送信手段が、論理パス識別子としてブロードキャスト識別フィールドにブロードキャストを許可するコード、論理パス番号識別フィールドに終端装置を識別する論理パス番号以外の特定のコードを格納するので、そのフレームを受信した光加入者線終端装置が、ブロードキャストフレームであるか否かを容易に判定することが可能となった。

本発明の別の局面によれば、受信手段によって受動的光ネットワークから受信されたフレームがマルチキャストすべきフレームであれば、送信手段が、暗号手段によって暗号化されたフレームに、論理パス識別子と暗号キーの識別子とを付加して受動的光ネットワークに送信するので、光加入者線終端装置から受信したマルチキャストフレームを、再度受動的光ネットワーク側にマルチキャスト送信することが可能となった。

また、送信手段が、論理パス識別子としてブロードキャスト識別フィールドにブロードキャストを許可するコード、論理パス番号識別フィールドにマルチキャストすべきフレームを送信した機器の論理パス番号を格納するので、そのフレームを受信した光加入者線終端装置が、ブロードキャストフレームを許可するか否かを容易に判定することが可能となった。

さらには、送信手段が、暗号手段によって暗号化されたフレームに、フレームデータから計算されたチェックベクタを付加するので、そのフレームを受信した光加入者線終端装置において復号が正しく行なわれたか否かを容易に判定することが可能となった。

本発明のさらに別の局面によれば、受信手段によって受信されたフレームがマルチキャストフレームであれば、復号手段が、当該マルチキャストフレームに付加された暗号キー識別子に対応する暗号キーを用いてフレームを復号するので、マルチキャストグループに属する光加入者線終端装置のみがフレームを復号することができ、マルチキャスト通信を実現することが可能となった。

また、受信手段が、受信したフレームに含まれる論理パス識別子のブロードキャスト識別フィールドがブロードキャストを許可するコードであり、かつ論理パス番号識別フィールドが終端装置を識別する論理パス番号以外の特定のコードである場合に、当該フレームをブロードキャストフレームと判定するので、当該フレームの許可、不許可の判定が容易に行なえるようになった。

また、受信手段が、受信したフレームに含まれる論理パス識別子のブロードキャスト識別フィールドがブロードキャストを許可するコードであり、かつ論理パス番号識別フィールドが自身の論理パス番号である場合に当該フレームを廃棄するので、マルチキャストフレームを送信した光加入者線終端装置がそのフレームを受信することを防止することが可能となった。

また、復号手段が、復号したフレームに含まれるチェックベクタと、復号したフレームから計算したチェックベクタとを比較するので、フレームの復号が正しく行なわれたか否かを容易に判定することが可能となった。

（第１の実施の形態）
図１は、本発明の第１の実施の形態におけるＯＬＴおよびＯＮＵの概略構成を示すブロック図である。ＯＬＴ１は、ＯＮＵ２との間でフレームの送受信を行なうＰＯＮ処理部１１と、登録されている複数のＯＮＵ２の論理パス識別子を記憶する論理パス識別子テーブル１２と、暗号化処理および復号処理を行なう暗号処理部１３と、暗号処理部１３によって使用される暗号キーが記憶される暗号キーテーブル１４と、上流側ネットワークからのフレームおよびＯＮＵ２からのフレームの中継処理を行なう中継処理部１５と、フレームを一時的に蓄積するフレームバッファ１６と、上流側ネットワークとの間でフレームを送受信する上流側通信処理部１７とを含む。

ＯＬＴ１のＰＯＮ処理部１１は、ＰＯＮ（ＯＮＵ２）に対するフレームの送受信を行なう。ＰＯＮ処理部１１は、フレームをＰＯＮ側に送信する場合、論理パス識別子テーブル１２から当該フレームを送信するＯＮＵ２に対応する論理パス識別子を抽出し、フレームにその論理パス識別子を付加してＰＯＮに送出する。論理パス識別子は、１ビットのブロードキャスト識別フィールド（Ｂ）と、１５ビットの論理パス番号識別フィールド（ＬＬＩＤ）とを含む。

論理パス識別子テーブル１２には、接続されている全てのＯＮＵ２の論理パス識別子が格納される。

ＰＯＮ処理部１１は、ＰＯＮ側からフレームを受信する場合、以下の条件に従ってフレーム受信またはフレーム廃棄を行なう。

（１）Ｂ＝１、ＬＬＩＤ＝０ｘ７ＦＦＦ（デフォルト：ＬＬＩＤの１５ビットが全て“１”）の場合、未知ユニキャストフレーム（ＯＮＵ２の登録のためのフレーム）と判断される。

（２）Ｂ＝０、ＬＬＩＤ＝０ｘ７ＦＦＦ（デフォルト：ＬＬＩＤの１５ビットが全て“１”）の場合、未知ユニキャストフレーム（ＯＮＵ２の登録のためのフレーム）と判断される。

（３）Ｂ＝０、ＬＬＩＤ＝自ＬＬＩＤ（ＬＬＩＤが論理パス識別子テーブル１２に登録されている）の場合、その受信フレームを既知ユニキャストフレームとして許可する。また、ＬＬＩＤ≠自ＬＬＩＤ（ＬＬＩＤが論理パス識別子テーブル１２に登録されていない）の場合、その受信フレームを廃棄する。

暗号処理部１３は、暗号キーテーブル１４を参照し、フレームの暗号化処理および復号処理を行なう。暗号キーは、各ＯＮＵ２が有する暗号キーと同じ値が暗号キーテーブル１４に記憶されるように管理され、暗号キー毎に暗号キー識別子が付与される。この暗号キー識別子に基づいて、暗号キーテーブル１４からＯＮＵ２に対応する暗号キーを取出し、暗号化処理または復号処理を行なう。

図２は、暗号化されたフレームフォーマット（以下、暗号化フレームフォーマットと呼ぶ。）の一例を示す図である。この暗号化フレームフォーマットは、論理パス識別子と、ＭＡＣ（Media Access Control）ヘッダと、暗号キー識別子と、データ部と、インテグリティチェックベクタと、ＦＣＳ（Frame Check Sequence）とを含む。

論理パス識別子は、ユニキャスト用論理パスであるか、ブロードキャスト用論理パスであるかを識別するための１ビットのブロードキャスト識別フィールド（Ｂ）と、１５ビットの論理パス番号識別フィールド（ＬＬＩＤ）とを含む。また、ＭＡＣヘッダは、６バイトの宛先アドレスと、６バイトの送信元アドレスとを含む。

暗号キー識別子は、暗号化のときに使用された暗号キーを特定するための情報であり、ＯＬＴ１とＯＮＵ２とが同一の暗号キーを有している場合にのみ、暗号化されたフレームを正しく復号化できる。インテグリティチェックベクタは、フレームデータを入力とし、所定のアルゴリズムによって計算された値であり、フレームデータが改ざんされているか否かをチェックするために使用される。

中継処理部１５は、フレームの送出先に応じて、暗号処理部１３によって復号された後のフレームを上流側受信処理部１７に送出するか、再度暗号処理部１３に折り返すか、または上流側通信処理部１７によって上流側ネットワークから受信されたフレームを暗号処理部１３に送出する。中継処理部１５は、フレームの中継処理を行なう際にフレームを一時的にフレームバッファ１６に蓄積し、フレームの送信タイミングに合わせて上流側通信処理部１７または暗号処理部１３にフレームを送出する。

上流側通信処理部１７は、上流側ネットワークを介してフレームを受信し、受信フレームを中継処理部１５に送出する。また、上流側通信処理部１７は、中継処理部１５から受けたフレームを上流側ネットワークに送信する。

ＯＮＵ２は、ＯＬＴ１との間でフレームの送受信を行なうＰＯＮ処理部２１と、当該ＯＮＵ２の論理パス識別子を記憶する論理パス識別子テーブル２２と、暗号化処理および復号処理を行なう暗号処理部２３と、暗号処理部２３によって使用される暗号キーが記憶される暗号キーテーブル２４と、ＯＬＴ１からのフレームおよび下流側（ＯＮＵ２に接続される端末装置）からのフレームの中継処理を行なう中継処理部２５と、フレームを一時的に蓄積するフレームバッファ２６と、下流側の端末装置との間でフレームを送受信する下流側通信処理部２７とを含む。

ＯＮＵ２のＰＯＮ処理部２１は、ＰＯＮ（ＯＬＴ１）に対するフレームの送受信を行なう。ＰＯＮ処理部２１は、フレームをＰＯＮ側に送信する場合、論理パス識別子テーブル２２から自身の論理パス識別子を抽出し、フレームにその論理パス識別子を付加してＰＯＮに送出する。論理パス識別子テーブル２２には、自身のＯＮＵの論理パス識別子が格納される。

ＰＯＮ処理部２１は、ＰＯＮ側からフレームを受信する場合、以下の条件に従ってフレーム受信またはフレーム廃棄を行なう。

（１）Ｂ＝１、ＬＬＩＤ＝０ｘ７ＦＦＦ（ＬＬＩＤの１５ビットが全て“１”）の場合、その受信フレームをブロードキャストフレームとして許可する。

（２）Ｂ＝１、ＬＬＩＤ≠自ＬＬＩＤ（ＬＬＩＤが論理パス識別子テーブル２２に登録されている値と異なる）の場合、その受信フレームを許可する。また、ＬＬＩＤ＝自ＬＬＩＤ（ＬＬＩＤが論理パス識別子テーブル２２に登録されている値と同じ）の場合、その受信フレームを廃棄する。

（３）Ｂ＝０、ＬＬＩＤ＝自ＬＬＩＤ（ＬＬＩＤが論理パス識別子テーブル２２に登録されている値と同じ）の場合、その受信フレームを許可する。

暗号処理部２３は、暗号キーテーブル２４を参照し、フレームの暗号化処理および復号処理を行なう。暗号処理部２３は、暗号キー識別子に基づいて、暗号キーテーブル２４から対応する暗号キーを取出し、暗号化処理または復号処理を行なう。

中継処理部２５は、フレームの送出先に応じて、暗号処理部２３によって復号された後のフレームを下流側通信処理部２７に送出するか、下流側通信処理部２７によって受信されたフレームを暗号処理部２３に送出する。中継処理部２５は、フレームの中継処理を行なう際にフレームを一時的にフレームバッファ２６に蓄積し、フレームの送信タイミングに合わせて下流側通信処理部２７または暗号処理部２３に送出する。

下流側通信処理部２７は、下流側ネットワークを介してフレームを受信し、受信フレームを中継処理部２５に送出する。また、下流側通信処理部２７は、中継処理部２５から受けたフレームを下流側ネットワークに送信する。

データ通信の世界においては、ＶＬＡＮ（Virtual LAN(Local Area Network)）内でのブロードキャストやマルチキャスト、宛先不明ユニキャストなど、ＶＬＡＮに属するメンバーのみに同報する通信形態がある。また、ＩＰ（Internet Protocol）マルチキャストにおいても、限定されたグループにだけマルチキャストする。これらのグループを限定した同報を総称して、ここではマルチキャストと呼ぶことにする。

以下に、ＯＬＴ１が上流側ネットワークからマルチキャストすべきフレームを受信した場合の処理について説明する。

ＯＬＴ１の中継処理部１５は、上流側通信処理部１７から受けたフレームがマルチキャストすべきフレームであると判断すると、そのフレームがどのマルチキャストグループに属するかを判定する。そして、暗号処理部１３は、そのマルチキャストグループ用の暗号キーを暗号キーテーブル１４から取出し、その暗号キーを用いてフレームの暗号化を行なう。

ＯＬＴ１のＰＯＮ処理部１１は、暗号処理部１３によって暗号化された後のフレームに、論理パス識別子としてブロードキャスト用の値（Ｂ＝１、ＬＬＩＤ＝０ｘ７ＦＦＦ）を付加してＰＯＮ側に送信する。

ＯＮＵ２のＰＯＮ処理部２１は、論理パス識別子がブロードキャストを示す場合（Ｂ＝１、ＬＬＩＤ＝０ｘ７ＦＦＦ）、そのフレームの受信を許可する。なお、論理パス識別子がブロードキャストを示す場合、全てのＯＮＵ２でそのフレームの受信が許可される。

暗号処理部２３は、ＰＯＮ処理部２１によって受信されたフレームを、暗号キー識別子に対応する暗号キーを用いて復号し、フレームに付加されているインテグリティチェックベクタの値と、復号したフレームから計算されたインテグリティチェック値とを比較する。インテグリティ値が一致していれば、暗号処理部２３は、復号したフレームを中継処理部２５に送出する。また、インテグリティ値が一致していなければ、暗号処理部２３は、そのフレームを廃棄する。

すなわち、ＰＯＮ処理部２１によって受信されたマルチキャストフレームによって指定されるグループに属するＯＮＵだけが、そのフレームを正しく復号できるため、インテグリティチェックにおいて正常と判定され、下流側にそのフレームを送信することが可能となる。

図３は、ＯＬＴ１が上流側からグループ１に属するマルチキャストフレームを受信した場合の処理を説明するための図である。なお、ＯＬＴ１には３台のＯＮＵ２−１〜２−３が接続され、ＯＮＵ１−１〜１−２がグループ１（ＧＩＤ＝１）に属し、ＯＮＵ２−３がグループ２（ＧＩＤ＝２）に属するものとする。

ＯＬＴ１は、グループ１に属するマルチキャストフレーム（ＧＩＤ＝１）を受信すると、グループ１に属するＯＮＵ２で共有される暗号キーによってフレームを暗号化し、そのフレームにブロードキャストを示す論理パス識別子を付加して全てのＯＮＵ２−１〜２−３に送信する。

グループ１に属するＯＮＵ２−１〜２−２のＰＯＮ処理部２１は、受信したフレームの論理パス識別子がブロードキャストを示すものであるため、その受信フレームを許可して暗号処理部２３に送出する。また、グループ２に属するＯＮＵ２−３も、受信したフレームの論理パス識別子がブロードキャストを示すものであるため、その受信フレームを許可して暗号処理部２３に送出する。

グループ１に属するＯＮＵ２−１〜２−２の暗号処理部２３は、グループ１に属するＯＮＵで共有される暗号キーを用いて復号するため、フレームを正常に復号することができる。一方、グループ２に属するＯＮＵ２−３の暗号処理部２３は、グループ１に属するＯＮＵで共有される暗号キーを持っていないので、フレームを正しく復号することができず廃棄される。

なお、以上の説明においては、インテグリティチェックを行なうこととしたが、インテグリティチェックを行なわないようにしてもよい。この場合、図２に示すインテグリティチェックフィールドは不要となる。すなわち、送信側はこのフィールドに何を書込んでもよく、受信側でこのフィールドをチェックせずに取り除く処理を行なう。したがって、全てのＯＮＵにおいて、暗号処理部２３に入力されたフレームは廃棄されずに通過する。このとき、指定されたグループに属するＯＮＵはフレームデータを正しく復号するが、グループに属さないＯＮＵはフレームデータを正しく復号することができない。

通常、データ部にも上位レイヤのプロトコルに基づいたインテグリティチェック、たとえばＩＰヘッダにおけるチェックサムがされている。正しくない暗号キーで復号されたフレームデータは、上位レイヤのインテグリティチェックをパスすることはないので、データが正しいものとして扱われることはない。したがって、暗号処理部２３がインテグリティチェックを行なわなくても上述したマルチキャスト通信を実現することができる。

以上説明したように、本実施の形態におけるＯＬＴ１によれば、上流側からマルチキャストフレームを受信すると、指定されたグループに属するＯＮＵで共有される暗号キーを用いてフレームを暗号化し、そのフレームにブロードキャストを示す論理パス識別子を付加して全てのＯＮＵ２に送信するようにしたので、ＩＥＥＥ８０２．３ａｈで規定された仕様を遵守しつつも、特定のグループに属するＯＮＵにのみフレームを送信するマルチキャスト通信を実現することが可能となった。

また、本実施の形態におけるＯＮＵ２によれば、ＰＯＮから受信したフレームがブロードキャストを示す場合に、グループに属するＯＮＵで共有される暗号キーを用いて復号するようにしたので、そのグループに属するＯＮＵのみが正しくフレームデータを復号することができ、特定のグループに属するＯＮＵのみがフレームを受信できるマルチキャスト通信を実現することが可能となった。

また、暗号キー識別子により暗号キーを特定できるので、ユニキャスト、マルチキャスト、ブロードキャストなどによって、フレーム種別毎に暗号キーを管理したり、参照したりする必要がなくなった。

（第２の実施の形態）
本発明の第２の実施の形態においては、あるマルチキャストグループに属するＯＮＵ２が下流側からマルチキャストフレームを受信した場合に、そのフレームをＯＬＴ１の上流側に送信すると共に、そのマルチキャストグループに属する他のＯＮＵ２にも配送するものである。なお、マルチキャストフレームの送信を行なったＯＮＵは、そのフレームを再び下流ユーザ側に送信する必要はない。

本発明の第２の実施の形態におけるＯＬＴおよびＯＮＵの概略構成は、図１に示す本発明の第１の実施の形態におけるＯＬＴ１およびＯＮＵ２の概略構成と同様である。したがって、重複する構成および機能の詳細な説明は繰返さない。

ＯＮＵ２の下流側通信処理部２７が、下流側からマルチキャストフレームを受信すると、そのマルチキャストフレームを中継処理部２５を介して暗号処理部２３に送出する。暗号処理部２３は、そのＯＮＵ２に割当てられた暗号キーを用いてフレームを暗号化し、ＰＯＮ処理部２１に送出する。ＰＯＮ処理部は、暗号化されたフレームをＯＬＴ１に送信する。

ＯＬＴ１のＰＯＮ処理部１１がそのフレームを受信すると、暗号処理部１３にそのフレームを送出する。暗号処理部１３は、そのフレームを復号して中継処理部１５に送出する。中継処理部１５は、必要があればその復号されたフレームを上流側通信処理部１７を介して上流側ネットワークに送信する。また、中継処理部１５は、その復号されたフレームをマルチキャストグループに属するＯＮＵ２にも配信するために、復号されたフレームを暗号処理部１３に折り返す。

暗号処理部１３は、そのマルチキャストグループ用の暗号キーでフレームを暗号化し、インテグリティチェック値を計算し、その値をフレームに付加してＰＯＮ処理部１１に送出する。ＰＯＮ処理部１１は、論理パス識別子としてブロードキャスト識別フィールド（Ｂ）に１を、論理パス番号識別フィールド（ＬＬＩＤ）にフレーム送信元であるＯＮＵ２の論理パス番号を格納してＰＯＮ（ＯＮＵ２）側に送信する。

ＯＮＵ２のＰＯＮ処理部２１は、論理パス識別子のブロードキャスト識別フィールドが１の場合、論理パス番号識別フィールドの内容が自身の論理パス番号と一致すればそのフレームを廃棄し、一致しなければそのフレームを受信する。したがって、マルチキャストフレームを送信したＯＮＵ２においては、このフレームがＰＯＮ処理部２１で廃棄され、それ以外の全てのＯＮＵ２においては、このフレームがＰＯＮ処理部２１を通過する。

フレームがＰＯＮ処理部２１を通過した場合、暗号処理部２３はそのフレームを復号し、フレームに付加されているインテグリティチェックベクタと、復号されたフレームから計算されたインテグリティ値とを比較する。比較結果が正しければ、暗号処理部２３はフレームを中継処理部２５に送出する。中継処理部２５は、下流側通信処理部２７を介して下流側にフレームを送信する。また、比較結果が正しくなければ、暗号処理部２３はフレームを廃棄する。すなわち、マルチキャストグループに属するＯＮＵ２のみがそのフレームを正しく復号できるため、インテグリティチェックが正常となり下流側にそのフレームを送信することが可能となる。

図４は、ＯＬＴ１がＰＯＮ側からグループ１に属するマルチキャストフレームを受信した場合の処理を説明するための図である。なお、ＯＬＴ１には３台のＯＮＵ２−１〜２−３が接続され、ＯＮＵ２−１〜２−２がグループ１（ＧＩＤ＝１）に属し、ＯＮＵ２−３がグループ２（ＧＩＤ＝２）に属するものとする。また、ＯＮＵ２−１の論理パス番号を１、ＯＮＵ２−２の論理パス番号を２、ＯＮＵ２−３の論理パス番号を３とする。

たとえば、ＯＮＵ２−２が下流側からマルチキャストフレームを受信すると、暗号処理部２３がＯＮＵ２−２に割当てられた暗号キーを用いてフレームを暗号化し、ＰＯＮ処理部２１が暗号化されたフレームに論理パス識別子（Ｂ＝０、ＬＬＩＤ＝２）を付加してＯＬＴ１に送信する。

ＯＬＴ１は、グループ１に属するＯＮＵ２−２からマルチキャストフレームを受信すると、グループ１に属するＯＮＵ２で共有される暗号キーによってフレームを暗号化し、そのフレームにブロードキャストを示す論理パス識別子（Ｂ＝１、ＬＬＩＤ＝２）を付加して全てのＯＮＵ２−１〜２−３に送信する。

ＯＮＵ２−１のＰＯＮ処理部２１は、受信したフレームの論理パス識別子がＢ＝１、ＬＬＩＤ≠自ＬＬＩＤであるため、その受信フレームを許可して暗号処理部２３に送出する。また、グループ２に属するＯＮＵ２−３も、受信したフレームの論理パス識別子がＢ＝１、ＬＬＩＤ≠自ＬＬＩＤであるため、その受信フレームを許可して暗号処理部２３に送出する。一方、ＯＮＵ２−２のＰＯＮ処理部２１は、受信したフレームの論理パス識別子がＢ＝１、ＬＬＩＤ＝自ＬＬＩＤであるため、その受信フレームを廃棄する。

ＯＮＵ２−１の暗号処理部２３は、グループ１に属するＯＮＵで共有される暗号キーを用いて復号するため、フレームを正常に復号することができる。一方、ＯＮＵ２−３の暗号処理部２３は、グループ１に属するＯＮＵで共有される暗号キーを持っていないので、フレームを正しく復号することができず廃棄される。

なお、以上の説明においては、ＯＬＴ１の中継処理部１５がマルチキャストフレームを折り返す場合についてのものであるが、アクセス系ネットワークではＯＬＴ１よりも上流側の機器で一括して折り返す網構成をとり、ＯＬＴ１内で折り返さなくてもよい場合がある。この場合、ＯＬＴ１の中継処理部１５においてマルチキャストフレームを折り返す構成、およびＯＮＵ２のＰＯＮ処理部２１において論理パス識別子がＢ＝１、ＬＬＩＤ＝自ＬＬＩＤのときに受信フレームを廃棄する構成は不要となるが、暗号に基づくマルチキャスト自体は有効である。

以上説明したように、本実施の形態におけるＯＬＴ１によれば、ＯＮＵ２からマルチキャストフレームを受信すると、そのマルチキャストグループ用の暗号キーでフレームを暗号化し、論理パス識別子としてブロードキャスト識別フィールド（Ｂ）に１を、論理パス番号識別フィールド（ＬＬＩＤ）にフレーム送信元であるＯＮＵ２の論理パス番号を格納してＰＯＮ側に送信するようにしたので、ＯＮＵ２から受信したマルチキャストフレームを再度ＰＯＮ側にマルチキャスト送信することが可能となった。

また、本実施の形態におけるＯＮＵ２によれば、ＯＬＴ１から受信したフレームの論理パス識別子がＢ＝１、ＬＬＩＤ＝自ＬＬＩＤの場合にそのフレームを廃棄するようにしたので、マルチキャストフレームの送信を行なったＯＮＵが、そのフレームを再び下流ユーザ側に送信することを防止することが可能となった。

今回開示された実施の形態は、すべての点で例示であって制限的なものではないと考えられるべきである。本発明の範囲は上記した説明ではなくて特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。

本発明の第１の実施の形態におけるＯＬＴおよびＯＮＵの概略構成を示すブロック図である。 暗号化されたフレームフォーマットの一例を示す図である。 ＯＬＴ１が上流側からグループ１に属するマルチキャストフレームを受信した場合の処理を説明するための図である。 ＯＬＴ１がＰＯＮ側からグループ１に属するマルチキャストフレームを受信した場合の処理を説明するための図である。

符号の説明

１ ＯＬＴ、２ ＯＮＵ、１１，２１ ＰＯＮ処理部、１２，２２ 論理パス識別子テーブル、１３，２３ 暗号処理部、１４，２４ 暗号キーテーブル、１５，２５ 中継処理部、１６，２６ フレームバッファ、１７ 上流側通信処理部、２７ 下流側通信処理部。

Claims (14)

1. 光加入者線によって接続された端局装置と終端装置との間でデータ伝送を行う受動的光ネットワークシステムにおいて、
   上流側ネットワークからフレームを受信するための受信手段と、
   前記受信手段によって受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するための暗号手段と、
   前記暗号手段によって暗号化されたフレームに、論理パス識別子と前記暗号キーの識別子とを付加して受動的光ネットワークに送信するための送信手段とを含む光加入者線端局装置。
2. 前記送信手段は、前記論理パス識別子としてブロードキャスト識別フィールドにブロードキャストを許可するコード、論理パス番号識別フィールドに終端装置を識別する論理パス番号以外の特定のコードを格納する、請求項１記載の光加入者線端局装置。
3. 光加入者線によって接続された端局装置と終端装置との間でデータ伝送を行う受動的光ネットワークシステムにおいて、
   受動的光ネットワークからフレームを受信するための受信手段と、
   前記受信手段によって受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するための暗号手段と、
   前記暗号手段によって暗号化されたフレームに、論理パス識別子と前記暗号キーの識別子とを付加して前記受動的光ネットワークに送信するための送信手段とを含む光加入者線端局装置。
4. 前記送信手段は、前記論理パス識別子としてブロードキャスト識別フィールドにブロードキャストを許可するコード、論理パス番号識別フィールドに前記マルチキャストすべきフレームを送信した機器の論理パス番号を格納する、請求項３記載の光加入者線端局装置。
5. 前記送信手段は、前記暗号手段によって暗号化されたフレームに、フレームデータから計算されたチェックベクタを付加する、請求項１〜４のいずれかに記載の光加入者線端局装置。
6. 光加入者線によって接続された端局装置と終端装置との間でデータ伝送を行う受動的光ネットワークシステムにおいて、
   受動的光ネットワークからフレームを受信するための受信手段と、
   前記受信手段によって受信されたフレームがマルチキャストフレームであれば、当該マルチキャストフレームに付加された暗号キー識別子に対応する暗号キーを用いてフレームを復号するための復号手段と、
   前記復号手段によって復号されたフレームを下流側ネットワークに送信するための送信手段とを含む光加入者線終端装置。
7. 前記受信手段は、受信したフレームに含まれる論理パス識別子のブロードキャスト識別フィールドがブロードキャストを許可するコードであり、かつ論理パス番号識別フィールドが終端装置を識別する論理パス番号以外の特定のコードである場合に、当該フレームをブロードキャストフレームと判定し、当該フレームを許可する、請求項６記載の光加入者線終端装置。
8. 前記受信手段は、受信したフレームに含まれる論理パス識別子のブロードキャスト識別フィールドがブロードキャストを許可するコードであり、かつ論理パス番号識別フィールドが自身の論理パス番号である場合に当該フレームを廃棄し、前記ブロードキャスト識別フィールドがブロードキャストを許可するコードであり、かつ前記論理パス番号識別フィールドが自身の論理パス番号でない場合に当該フレームを許可する、請求項６記載の光加入者線終端装置。
9. 前記復号手段は、前記復号したフレームに含まれるチェックベクタと、前記復号したフレームから計算したチェックベクタとを比較し、一致しない場合に当該フレームを廃棄する、請求項６〜８のいずれかに記載の光加入者線終端装置。
10. 受動的光ネットワークシステムに接続された端局装置と終端装置との間でデータ伝送を行う通信方法において、
    上流側ネットワークからフレームを受信するステップと、
    前記受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するステップと、
    前記暗号化されたフレームに、論理パス識別子と前記暗号キーの識別子とを付加して受動的光ネットワークに送信するステップとを含む光加入者線端局装置における通信方法。
11. 受動的光ネットワークシステムに接続された端局装置と終端装置との間でデータ伝送を行う通信方法において、
    受動的光ネットワークからフレームを受信するステップと、
    前記受信されたフレームがマルチキャストすべきフレームであれば、当該マルチキャストグループ用の暗号キーを用いてフレームを暗号化するステップと、
    前記暗号化されたフレームに、論理パス識別子と前記暗号キーの識別子とを付加して前記受動的光ネットワークに送信するステップとを含む光加入者線端局装置における通信方法。
12. 前記光加入者線端局装置における通信方法はさらに、前記暗号化されたフレームに、フレームデータから計算されたチェックベクタを付加するステップを含む、請求項１０または１１記載の光加入者線端局装置における通信方法。
13. 受動的光ネットワークシステムに接続された端局装置と終端装置との間でデータ伝送を行う通信方法において、
    受動的光ネットワークからフレームを受信するステップと、
    前記受信されたフレームがマルチキャストフレームであれば、当該マルチキャストフレームに付加された暗号キー識別子に対応する暗号キーを用いてフレームを復号するステップと、
    前記復号されたフレームを下流側ネットワークに送信するステップとを含む光加入者線終端装置における通信方法。
14. 前記光加入者線終端装置における通信方法はさらに、前記復号したフレームに含まれるチェックベクタと、前記復号したフレームから計算したチェックベクタとを比較し、一致しない場合に当該フレームを廃棄するステップを含む、請求項１３記載の光加入者線終端装置における通信方法。

Images