JP2009118116A

JP2009118116A - Station side device of pon system and frame processing method

Info

Publication number: JP2009118116A
Application number: JP2007288150A
Authority: JP
Inventors: Shingo Shiba; 晋吾芝
Original assignee: Sumitomo Electric Industries Ltd
Current assignee: Sumitomo Electric Industries Ltd
Priority date: 2007-11-06
Filing date: 2007-11-06
Publication date: 2009-05-28
Anticipated expiration: 2027-11-06
Also published as: JP4893589B2

Abstract

<P>PROBLEM TO BE SOLVED: To provide a station side device of a PON system capable of preventing a communication failure by a DoS attack while effectively taking a countermeasure against impersonation. <P>SOLUTION: The station side device 1 of the PON system has a frame processing part 11 for performing media access control using a control frame received from a house side device 2. The station side device 1 includes: a lookup table 15 in which both of a MAC address and an LLID corresponding to each house side device 2 are described; and a frame inspection part 11 which inspects the control frame before the control frame is input in a frame processing part 12, wherein the frame inspection part 11 discards the control frame when a MAC address and an LLID included in the control frame are not coincident with the ones described in the lookup table. <P>COPYRIGHT: (C)2009,JPO&INPIT

Description

本発明は、光ファイバを介して宅側装置と接続されるＰＯＮシステムの局側装置、及び、局側装置におけるフレーム処理方法に関する。 The present invention relates to a station-side device of a PON system connected to a home-side device via an optical fiber, and a frame processing method in the station-side device.

ＰＯＮシステム（Passive Optical Network System）は、１つの局側装置（ＯＬＴ：Optical Line Terminal）とユーザ側の複数の宅側装置（ＯＮＵ：Optical Network Unit）を光カプラ等のパッシブ素子を介して接続されたＰ２ＭＰ（Point To Multipoint）形態の光ファイバネットワークシステムである（非特許文献１参照）。
このＰＯＮシステムのうち、ＧＥ−ＰＯＮ（Gigabit Ethernet-ＰＯＮ）は、イーサネット（Ethernet：登録商標）技術をベースとしたギガビットクラスの伝送システムを経済的に実現するもので、IEEE Std 802.3ahとして２００４年６月に標準化された高速光アクセス方式の一つである。 In a PON system (Passive Optical Network System), one station side device (OLT: Optical Line Terminal) and a plurality of user side devices (ONU: Optical Network Unit) are connected via passive elements such as optical couplers. This is an optical fiber network system in the P2MP (Point To Multipoint) form (see Non-Patent Document 1).
Among these PON systems, GE-PON (Gigabit Ethernet-PON) is an economical implementation of a Gigabit class transmission system based on Ethernet (registered trademark) technology. This is one of the high-speed optical access methods standardized in June.

上記ＰＯＮシステムでは、局側装置から各宅側装置に送信される下り信号については、各宅側装置向けの信号を整列させてブロードキャストで伝送するＴＤＭ（Time Division Multiplexing）方式が採用され、各宅側装置から局側装置に送信される上り信号については、互いの信号が衝突しないような正しいタイミングで光信号を送出するＴＤＭＡ（Time Division Multiple Access）方式が採用されている。
また、上り信号と下り信号とは異なる波長の光を用いており、上り下り各信号の衝突が起きない仕組みになっている。 In the PON system, a TDM (Time Division Multiplexing) method is used for the downlink signal transmitted from the station-side device to each home-side device, in which signals for each home-side device are aligned and transmitted by broadcast. As for the upstream signal transmitted from the side apparatus to the station side apparatus, a TDMA (Time Division Multiple Access) system that transmits an optical signal at a correct timing so that the signals do not collide with each other is adopted.
Further, the upstream and downstream signals use light of different wavelengths, and the upstream and downstream signals do not collide.

上記ＰＯＮシステムにおいて、悪意のあるユーザからのＤｏＳ攻撃（Denial of Service Attack）により、局側装置のプロセッサ（フレーム処理部）宛にフレームが高レート（通常レートの最大値を超えるレート）に送信された場合、これを受信した局側装置のプロセッサはその処理に追われ、本来行うべきメディアアクセス制御（ディスカバリや上り信号の多重制御等）ができなくなる恐れがある。 In the PON system, due to a DoS attack (Denial of Service Attack) from a malicious user, a frame is sent to the processor (frame processing unit) of the station side device at a high rate (a rate exceeding the maximum normal rate). In this case, the processor of the station-side device that has received this may be unable to perform media access control (discovery, uplink signal multiplexing control, etc.) that should be originally performed.

そこで、本出願人は、ロジカルリンクごとに受信フレームを計数して、高レートのプロセッサ宛てのフレームを検出したときにそのフレームに含まれるロジカルリンク（ＬＬＩＤ）を特定し、特定したロジカルリンクを有するフレームの受信が一定量を超えると、悪意のある発信元であると判定し、その接続を切断するようにした局側装置を既に提案している（特許文献１参照）。 Therefore, the present applicant counts received frames for each logical link, specifies a logical link (LLID) included in the frame when detecting a frame addressed to a high-rate processor, and has the specified logical link. If the reception of frames exceeds a certain amount, it has been proposed that a station-side device is determined to be a malicious source and the connection is disconnected (see Patent Document 1).

「ＦＴＴＨ教科書」藤本幸洋、瀬戸康一郎共著、青山友紀監修、株式会社ＩＤＧジャパン２００３年８月１５日発行"FTTH Textbook" Co-authored by Yukihiro Fujimoto and Koichiro Seto, supervised by Yuki Aoyama, IDG Japan Co., Ltd. August 15, 2003 特開２００７−７４５５３号公報JP 2007-74553 A

上記特許文献１に記載の局側装置では、特定したロジカルリンクを有するフレームの受信が一定量を超えた場合に悪意のある発信元（宅側装置）であると判定しているが、判定するまでは一定量の不正なフレームを処理部が受け付けてしまい、それが処理部の不正常動作をひきおこす恐れがある。 The station side device described in Patent Document 1 determines that it is a malicious transmission source (home side device) when the reception of a frame having the specified logical link exceeds a certain amount. Until then, the processing unit accepts a certain amount of illegal frames, which may cause an abnormal operation of the processing unit.

本発明は、このような実情に鑑み、なりすまし対策を有効に行いつつ、ＤｏＳ攻撃による通信障害を防止することができるＰＯＮシステムの局側装置及びフレーム処理方法を提供することを目的とする。 In view of such circumstances, an object of the present invention is to provide a station apparatus and a frame processing method of a PON system that can prevent a communication failure due to a DoS attack while effectively taking measures against impersonation.

本発明の局側装置（請求項１）は、複数の宅側装置と光ファイバを介してＰ２ＭＰ形態で接続され、前記宅側装置から受信した制御フレームを用いてメディアアクセス制御を行うフレーム処理部を有するＰＯＮシステムの局側装置であって、
前記各宅側装置に対応するＭＡＣアドレスとＬＬＩＤの双方が記載された対応テーブルと、前記制御フレームが前記フレーム処理部に入力される前に当該制御フレームを検査するフレーム検査部とを備えており、前記フレーム検査部は、前記制御フレームに含まれるＭＡＣアドレスとＬＬＩＤが前記対応テーブルに記載のものと不一致の場合に当該制御フレームを廃棄することを特徴とする。 A station side apparatus according to the present invention (Claim 1) is a frame processing unit that is connected to a plurality of home side apparatuses via an optical fiber in a P2MP form and performs media access control using a control frame received from the home side apparatus A station device of a PON system having
A correspondence table in which both the MAC address and LLID corresponding to each home-side device are described, and a frame inspection unit that inspects the control frame before the control frame is input to the frame processing unit. The frame inspection unit discards the control frame when the MAC address and LLID included in the control frame do not match those described in the correspondence table.

上記局側装置によれば、フレーム検査部が、制御フレームに含まれるＭＡＣアドレスとＬＬＩＤが対応テーブルに記載のものと不一致の場合にはその制御フレームを廃棄するので、なりすましと、なりすましの宅側装置によるＤｏＳ攻撃を有効に防止することができる。 According to the above-mentioned station side device, since the frame inspection unit discards the control frame when the MAC address and LLID included in the control frame do not match those described in the correspondence table, spoofing and spoofing home side A DoS attack by a device can be effectively prevented.

本発明の局側装置において、前記フレーム検査部は、前記制御フレームがレポートフレームであり、そのレポートフレームが前記フレーム処理部による動的帯域割当周期において前記宅側装置から既に受信済みのものである場合には、当該レポートフレームを廃棄するものであることが好ましい（請求項２）。
この場合、初回に受信したレポートフレームだけが有効なものとしてフレーム処理部に渡されて動的帯域割当が行われ、それ以降のレポートフレームは無視されてフレーム処理部に渡ることがないので、複数のレポートフレームを受信することに伴う動的帯域割当の混乱を防止できるとともに、悪意のある宅側装置によるＤｏＳ攻撃を回避することができる。
この種のＰＯＮシステムの局側装置では、通常、前記宅側装置から受信したデータフレームを上位側に中継する中継処理部を備えている。
そこで、前記フレーム検査部は、前記データフレームが前記中継処理部に入力される前に当該データフレームを検査し、前記フレーム処理部が帯域を割り当てたＬＬＩＤ以外のＬＬＩＤを含む前記データフレームを破棄するものであることが好ましい（請求項３）。
この場合、帯域を割り当てたＬＬＩＤを有するデータフレームだけが中継処理されて上位側に送出されるので、なりすましを更に確実に防止することができる。 In the station-side apparatus of the present invention, the frame inspection unit is one in which the control frame is a report frame, and the report frame has already been received from the home-side apparatus in the dynamic bandwidth allocation period by the frame processing unit. In this case, it is preferable that the report frame is discarded.
In this case, only the report frame received first time is passed to the frame processing unit as valid, and dynamic bandwidth allocation is performed, and subsequent report frames are ignored and never passed to the frame processing unit. Can be prevented, and a DoS attack by a malicious home-side device can be avoided.
A station-side device of this type of PON system usually includes a relay processing unit that relays a data frame received from the home-side device to a higher-order side.
Therefore, the frame inspection unit inspects the data frame before the data frame is input to the relay processing unit, and discards the data frame including an LLID other than the LLID to which the frame processing unit has assigned a bandwidth. It is preferable that it is a thing (Claim 3).
In this case, since only the data frame having the LLID to which the bandwidth is allocated is relayed and transmitted to the upper side, spoofing can be further reliably prevented.

また、本発明のフレーム処理方法（請求項４）は、宅側装置から受信した制御フレームを用いて局側装置がメディアアクセス制御を行うフレーム処理方法であって、
前記制御フレームをメディアアクセス制御のためにフレーム処理する前に、当該制御フレームに含まれるＭＡＣアドレスとＬＬＩＤの双方が前記宅側装置のものと一致するか否かを検査し、そのＭＡＣアドレスとＬＬＩＤの双方が一致する前記制御フレーム以外の制御フレームをフレーム処理対象から除外することを特徴とする。 The frame processing method of the present invention (Claim 4) is a frame processing method in which the station side device performs media access control using the control frame received from the home side device,
Before processing the control frame for media access control, it checks whether both the MAC address and LLID included in the control frame match those of the home side device, and the MAC address and LLID. Control frames other than the control frame that coincide with each other are excluded from frame processing targets.

上記フレーム処理方法によれば、制御フレームに含まれるＭＡＣアドレスとＬＬＩＤが宅側装置のものと不一致の場合には、その制御フレームをメディアアクセス制御のためにフレーム処理する前に廃棄されるので、なりすましと、なりすましの宅側装置によるＤｏＳ攻撃を有効に防止することができる。 According to the frame processing method, if the MAC address and LLID included in the control frame do not match those of the home device, the control frame is discarded before frame processing for media access control. Spoofing and DoS attacks by spoofed home devices can be effectively prevented.

以上の通り、本発明によれば、ＭＡＣアドレスとＬＬＩＤが対応テーブルに記載のものと一致する制御フレームのみが局側装置においてフレーム処理されるので、なりすましと、なりすましの宅側装置によるＤｏＳ攻撃を有効に防止することができる。 As described above, according to the present invention, since only the control frame whose MAC address and LLID match those described in the correspondence table is frame-processed at the station side device, spoofing and DoS attack by the spoofed home side device can be prevented. It can be effectively prevented.

以下、図面に基づいて本発明の実施形態を説明する。
〔システムの全体構成〕
図１は、本発明の局側装置を有するＰＯＮシステムの概略構成図である。
図１において、局側装置（ＯＬＴ）１は、複数の宅側装置（ＯＮＵ）２，２，…に対する集約局として電話局等に設置されており、各宅側装置２は、それぞれＰＯＮシステムの加入者宅に設置されている。 Hereinafter, embodiments of the present invention will be described with reference to the drawings.
[Overall system configuration]
FIG. 1 is a schematic configuration diagram of a PON system having a station side device of the present invention.
In FIG. 1, a station side device (OLT) 1 is installed in a telephone office or the like as an aggregation station for a plurality of home side devices (ONUs) 2, 2,..., And each home side device 2 has a PON system. It is installed at the subscriber's home.

局側装置１には１本の光ファイバ（幹線）３が接続されている。この光ファイバ３は光カプラ４を介して複数の光ファイバ（支線）５，５，…に分岐した構成になっており、これによって光ファイバ網６が構成されている。
分岐した各光ファイバ５の終端にはそれぞれ前記宅側装置２が接続されている。また、局側装置１は上位ネットワーク７と接続され、各宅側装置２はそれぞれのユーザネットワーク８と接続されている。 One optical fiber (main line) 3 is connected to the station side apparatus 1. The optical fiber 3 is branched into a plurality of optical fibers (branch lines) 5, 5,... Via an optical coupler 4, thereby forming an optical fiber network 6.
The home-side apparatus 2 is connected to the end of each branched optical fiber 5. Further, the station side device 1 is connected to the host network 7, and each home side device 2 is connected to each user network 8.

図１では、簡単のために３個の宅側装置２，２，２が接続されたトポロジーを例示しているが、実際には、１つの光カプラ４から３２分岐して３２個の宅側装置２を接続することが可能である。
また、図１では、光カプラ４が１つだけのトポロジーを例示しているが、分岐数の少ない光カプラ４を縦列に複数段配置することにより、広い地域に分散している宅側装置２を短い光ファイバで局側装置１と接続することもできる。 In FIG. 1, for the sake of simplicity, a topology in which three home devices 2, 2, and 2 are connected is illustrated. However, in practice, 32 branches from one optical coupler 4 are branched. It is possible to connect the device 2.
FIG. 1 illustrates a topology with only one optical coupler 4, but by arranging a plurality of optical couplers 4 with a small number of branches in a column, home-side devices 2 distributed over a wide area. Can be connected to the station side device 1 with a short optical fiber.

このＰＯＮシステムでは、下りの光波長と上りの光波長を分けて波長分割多重（ＷＤＭ）を行っている。
すなわち、局側装置１と宅側装置２４間の上り方向通信には単一の波長λ１のレーザ光が使用され、下り方向通信にはその波長λ１とは異なる単一の波長λ２のレーザ光が使用されている。 In this PON system, wavelength division multiplexing (WDM) is performed by dividing the downstream optical wavelength and the upstream optical wavelength.
That is, a laser beam having a single wavelength λ1 is used for upstream communication between the station side device 1 and the home side device 24, and a laser beam having a single wavelength λ2 different from the wavelength λ1 is used for downstream communication. in use.

従って、当該ＰＯＮシステムのメディア（光ファイバ３，５）と局側装置１及び各宅側装置２の送受信器の間にはＷＤＭフィルタが備えられており、受信すべき波長成分のみが受信器に送られ、かつ、送信器が出力する光信号はＷＤＭフィルタを介して受信光と多重されて光ファイバ３，５に送られる。
なお、上記各波長λ１，λ２は、IEEE 802.3ah-2004の Clause60に従う場合には、１２６０ｎｍ≦λ１≦１３６０、及び、１４８０ｎｍ≦λ２≦１５００の範囲で選択することができる。 Accordingly, a WDM filter is provided between the media (optical fibers 3 and 5) of the PON system and the transceivers of the station side device 1 and each home side device 2, and only the wavelength component to be received is received by the receiver. The optical signal transmitted and output from the transmitter is multiplexed with the received light through the WDM filter and transmitted to the optical fibers 3 and 5.
The wavelengths λ1 and λ2 can be selected in the range of 1260 nm ≦ λ1 ≦ 1360 and 1480 nm ≦ λ2 ≦ 1500 according to Clause 60 of IEEE 802.3ah-2004.

〔ＧＥ−ＰＯＮの基本的機能〕
本実施形態のＰＯＮシステムは、１ＧｂｐｓのＧＥ−ＰＯＮをベースとしており、局側装置１と宅側装置２に対するメディアアクセス制御は、基本的に当該ＧＥ−ＰＯＮの標準規格（IEEE Std 802.3ah）に則って行われる。
以下、この標準規格上の各種の基本的機能について説明する。 [Basic functions of GE-PON]
The PON system of this embodiment is based on a 1 Gbps GE-PON, and the media access control for the station side device 1 and the home side device 2 is basically based on the GE-PON standard (IEEE Std 802.3ah). It is done in accordance.
Hereinafter, various basic functions on this standard will be described.

〔ＬＬＩＤによる識別機能〕
ＧＥ−ＰＯＮシステムでは、ＭＡＣ（Media Access Control）層と物理層の仲介役を担うＲＳ（Reconciliation Sublayer）があり、局側装置１と宅側装置２の間のイーサネット（登録商標）フレームを識別するため、このＲＳで規定するプリアンブル（Preamble）の一部に識別子を埋め込んでいる。 [Identification function by LLID]
In the GE-PON system, there is an RS (Reconciliation Sublayer) that acts as a mediator between the MAC (Media Access Control) layer and the physical layer, and identifies an Ethernet (registered trademark) frame between the station side device 1 and the home side device 2. Therefore, an identifier is embedded in a part of the preamble defined by the RS.

すなわち、ＧＥ−ＰＯＮシステムでは、同じ下り信号が放送形式ですべての宅側装置２に到達するため、各宅側装置２は、自身が受信したフレームが自分宛かどうかを判断して取捨選択を行う必要がある。
そこで、ＧＥ−ＰＯＮシステムでは、この判断をＬＬＩＤ（Logical Link ＩＤ）という識別子を用いて行う。このＬＬＩＤは、上記のようにイーサネットフレームのプリアンブルに収容されている。なお、ＬＬＩＤの値は、宅側装置２の登録時に局側装置１が決定し、局側装置１は自身の配下の宅側装置２でＬＬＩＤの重複が起こらないように管理している。 That is, in the GE-PON system, since the same downstream signal reaches all the home side devices 2 in a broadcast format, each home side device 2 determines whether or not the frame received by the home side device 2 is destined for itself and makes a selection. There is a need to do.
Therefore, in the GE-PON system, this determination is performed using an identifier called LLID (Logical Link ID). This LLID is accommodated in the preamble of the Ethernet frame as described above. Note that the value of the LLID is determined by the station-side device 1 when the home-side device 2 is registered, and the station-side device 1 manages the LLID so that duplication does not occur in the home-side device 2 under its control.

ここで、下り方向通信（ＯＬＴからＯＮＵ方向への通信）では、局側装置１は送信フレームごとにどの宅側装置２に送信するかを判別し、その宅側装置２用のＬＬＩＤを送信フレームに埋め込んで宅側装置２に送出する。
宅側装置２は、受信フレームのＬＬＩＤを予め局側装置１から通知された自分のＬＬＩＤと照合し、一致している場合は自分宛と判断して受信フレームを取り込み、不一致の場合は自分宛でないと判断して、受信フレームを廃棄する。 Here, in downlink communication (communication from the OLT to the ONU direction), the station-side device 1 determines which home-side device 2 transmits for each transmission frame, and transmits the LLID for the home-side device 2 to the transmission frame. Embedded in and sent to the home device 2.
The home side device 2 compares the LLID of the received frame with its own LLID notified from the station side device 1 in advance. If they match, the home side device 2 determines that the received frame is addressed and fetches the received frame. The received frame is discarded.

他方、上り方向通信（ＯＮＵからＯＬＴ方向の通信）では、宅側装置２は、自分に割り当てられたＬＬＩＤを送信フレームに埋め込んで局側装置１に送出する。局側装置１では、受信フレームのＬＬＩＤの値によってどの宅側装置２から送信されたフレームであるかを判別する。
このように、ＬＬＩＤによる識別を行うと、物理的にはＰ２ＭＰ（Point to Multipoint）であるＧＥ−ＰＯＮのトポロジー形態であっても、論理的には、Ｐ２Ｐ（Point to Point）形態での通信が可能となるので、本機能はＰ２ＰＥ（Point to Point Emulation）と呼ばれることがある。 On the other hand, in uplink communication (communication from the ONU to the OLT direction), the home apparatus 2 embeds the LLID assigned to itself in a transmission frame and sends it to the station apparatus 1. The station-side device 1 determines which home-side device 2 has transmitted the frame based on the LLID value of the received frame.
As described above, when identification is performed using LLID, communication in the P2P (Point to Point) form is logically performed even in the GE-PON topology form that is physically P2MP (Point to Multipoint). This function is sometimes called P2PE (Point to Point Emulation).

なお、Ｐ２ＰＥの例外として、下り方向通信に関してブロードキャストＬＬＩＤと呼ばれる特別なＬＬＩＤが定義されることがある。この場合、宅側装置２は、受信フレームがブロードキャストＬＬＩＤを持つ場合には、無条件にそのフレームを取り込む。 As an exception to P2PE, a special LLID called broadcast LLID may be defined for downlink communication. In this case, when the received frame has a broadcast LLID, the home side apparatus 2 takes in the frame unconditionally.

〔時刻同期機能〕
ＧＥ−ＰＯＮにおいて、各宅側装置２の上り信号を時分割多重するには、局側装置１と各宅側装置２の間で時刻同期が取れている必要がある。
そこで、前記標準規格で提唱されている同期方式では、局側装置１は、宅側装置２に対して送信許可のために発行する、ケートフレームに埋め込まれたタイムスタンプを用いて、両者間の同期状態を維持する。 [Time synchronization function]
In GE-PON, in order to time-division multiplex the upstream signal of each home-side device 2, it is necessary to synchronize the time between the station-side device 1 and each home-side device 2.
Therefore, in the synchronization method proposed in the standard, the station side device 1 uses the time stamp embedded in the Kate frame issued to the home side device 2 for permission of transmission. Stay synchronized.

すなわち、局側装置１が、自局のマスタカウンタの現在値をタイムスタンプ情報として宅側装置２に送信し、宅側装置２は、受信したタイムスタンプ値に合わせて自局のマスタカウンタ値を更新するようになっている。
この方式により、宅側装置２は独立同期方式で動作することができる。このため、従属同期装置に必要な高精度のＰＬＬが不要となり、コスト低減に寄与することができる。 That is, the station side device 1 transmits the current value of the master counter of its own station to the home side device 2 as time stamp information, and the home side device 2 sets the master counter value of its own station according to the received time stamp value. It is supposed to be updated.
With this method, the home device 2 can operate in an independent synchronization method. This eliminates the need for a high-accuracy PLL required for the slave synchronization device, which can contribute to cost reduction.

〔ＭＰＣＰ機能〕
ＧＥ−ＰＯＮシステムでは、また、局側装置１と宅側装置２間の制御プロトコルであるＭＰＣＰ（Multi-point Control Protocol）を含む、マルチポイントＭＡＣコントロール副層が採用されている。
このＭＰＣＰ機能には次の各機能１）〜３）が含まれる。 [MPCP function]
In the GE-PON system, a multipoint MAC control sublayer including MPCP (Multi-point Control Protocol) which is a control protocol between the station side device 1 and the home side device 2 is adopted.
The MPCP function includes the following functions 1) to 3).

１）ＰＯＮに接続された複数の宅側装置２を局側装置１が認識し、各宅側装置２と局側装置１の間で通信するために必要なＲＴＴの測定や、ＬＬＩＤの付与を行うディスカバリ機能
２）各宅側装置２にタイムスロットを割り当て、各宅側装置２からの上り信号を時間軸上に多重する上り信号の多重制御機能，
３）前記時刻同期機能 1) The station-side device 1 recognizes a plurality of home-side devices 2 connected to the PON, and performs RTT measurement and LLID assignment necessary for communication between each home-side device 2 and the station-side device 1 Discovery function to be performed 2) Uplink signal multiplexing control function for assigning a time slot to each home device 2 and multiplexing the upstream signal from each home device 2 on the time axis,
3) Time synchronization function

〔ディスカバリ機能〕
ＧＥ−ＰＯＮシステムでは、宅側装置２がＰＯＮに接続されると、局側装置１はその宅側装置２を自動的に発見し、宅側装置２にＬＬＩＤを付与して通信リンクを自動的に確立する。これがディスカバリ機能である。
具体的には、局側装置１は、Ｐ２ＭＰディスカバリの期間中に、該当する宅側装置２との間のＲＴＴ（Round Trip Time：フレーム往復時間）の測定を行い、このさい、宅側装置２は局側装置１との時刻同期を行う。 [Discovery function]
In the GE-PON system, when the home device 2 is connected to the PON, the station device 1 automatically finds the home device 2 and automatically assigns a communication link by giving the home device 2 an LLID. To establish. This is the discovery function.
Specifically, the station side device 1 measures RTT (Round Trip Time) with the corresponding home side device 2 during the period of P2MP discovery, and at this time, the home side device 2 Performs time synchronization with the station apparatus 1.

なお、時刻は、局側装置１と各宅側装置２とでそれぞれ１６ｎｓ毎にインクリメントされるカウンタで表現され、ＰＯＮシステム内で同期がとられているが、上記ＲＴＴ測定と時刻同期は定期的に行われ、時刻にズレが生じた場合には随時補正される。 The time is expressed by a counter incremented every 16 ns by the station side device 1 and each home side device 2 and is synchronized in the PON system. However, the RTT measurement and the time synchronization are periodically performed. If a time lag occurs, it is corrected as needed.

〔上り信号の多重制御機能〕
ＧＥ−ＰＯＮの上り信号は、光カプラ４で合流するため、各宅側装置２からの上り信号が合流後に衝突しないように制御する必要がある。
ＧＥ−ＰＯＮシステムでは、局側装置１がその上り信号制御の司令塔の役割を務め、各宅側装置２に対して送信許可を通知することにより、各宅側装置２からの上り信号を時間的に分離して衝突を回避している。 [Uplink signal multiplexing control function]
Since the GE-PON uplink signals are merged by the optical coupler 4, it is necessary to control the uplink signals from the respective home devices 2 so that they do not collide after being merged.
In the GE-PON system, the station-side device 1 serves as a control tower for the upstream signal control, and notifies each home-side device 2 of transmission permission, whereby the upstream signal from each home-side device 2 is temporally transmitted. To avoid collisions.

図２は、局側装置１による上り信号の多重制御機能を示すシーケンス図である。
図２に示すように、各宅側装置（ＯＮＵ）２は、自身のユーザネットワーク８から上りデータを受信すると、いったん自身のキューにデータを蓄積し、そのキューに溜まったデータ量をレポート（Report）フレームに記して局側装置１に送信する。
レポートフレームを受信した局側装置（ＯＬＴ）１は、そのレポートフレームのデータ量と他の宅側装置２の使用帯域から、当該宅側装置２に割り当てるべき上りのデータ送信量と送信開始時刻を算出し（動的帯域割当）、その算出値をゲート（Gate）フレームに記して当該宅側装置２に送信する。 FIG. 2 is a sequence diagram illustrating an uplink signal multiplexing control function by the station-side device 1.
As shown in FIG. 2, when each home-side device (ONU) 2 receives upstream data from its own user network 8, it once accumulates the data in its own queue and reports the amount of data accumulated in the queue (Report ) Write the frame and send it to the station side device 1.
The station side device (OLT) 1 that has received the report frame determines the uplink data transmission amount to be allocated to the home side device 2 and the transmission start time from the data amount of the report frame and the use band of the other home side device 2. It calculates (dynamic bandwidth allocation), writes the calculated value in a Gate frame, and transmits it to the home device 2.

そして、上記ゲートフレームを受信した宅側装置２は、そのゲートフレームの指示に従って、指定された送信開始時刻に上りデータを送信する。
なお、この上りデータの送信の際に、次回の帯域割当のために、宅側装置２がキューに溜まっている上りデータの量を通知するためのレポートフレームを一緒に送信する場合もある。また、レポートフレームでは、局側装置１に送りたいデータ量が２バイト単位で表現され、ゲートフレームでは、送信許可長と送信開始時刻が２バイト単位で表現される。 The home apparatus 2 that has received the gate frame transmits uplink data at a designated transmission start time in accordance with the instruction of the gate frame.
When transmitting the uplink data, the home side apparatus 2 may transmit a report frame for notifying the amount of uplink data accumulated in the queue together with the next bandwidth allocation. In the report frame, the amount of data to be sent to the station side device 1 is expressed in units of 2 bytes. In the gate frame, the transmission permission length and the transmission start time are expressed in units of 2 bytes.

上記手順を繰り返すことにより、局側装置１は各宅側装置２における上りトラフィックの状況を知りつつ、適切に帯域を割り当てることができる。 By repeating the above procedure, the station side device 1 can appropriately allocate the bandwidth while knowing the state of the upstream traffic in each home side device 2.

〔動的帯域割当機能〕
ＧＥ−ＰＯＮシステムの局側装置１は、上記レポートフレームとゲートフレームを利用して、配下の各宅側装置２に対して使用帯域を割り当てるが、その割当帯域の演算アルゴリズムについては、前記標準規格の範囲外となっている。 [Dynamic bandwidth allocation function]
The station-side device 1 of the GE-PON system uses the report frame and the gate frame to assign a use band to each subordinate home-side device 2. Is out of range.

〔ＯＡＭ機能〕
ＧＥ−ＰＯＮシステムはイーサネット（登録商標）の一種であるから、イーサネットの規格に従うＯＡＭ（Operations, Administration and Maintenance）機能を有する。ここで、ＯＡＭとは、通信ネットワークにおける装置や回線の保守監視制御のことである。
ＧＥ−ＰＯＮの標準規格（IEEE Std 802.3ah）ではＯＡＭ副層が新たに規定されており、この副層では、ＯＡＭフレームのフレーム構造と、このフレーム用いた制御機能が規定されている。 [OAM function]
Since the GE-PON system is a kind of Ethernet (registered trademark), it has an OAM (Operations, Administration and Maintenance) function according to the Ethernet standard. Here, OAM refers to maintenance monitoring control of devices and lines in a communication network.
In the GE-PON standard (IEEE Std 802.3ah), an OAM sublayer is newly defined. In this sublayer, a frame structure of an OAM frame and a control function using this frame are defined.

ＧＥ−ＰＯＮシステムでは、ＯＡＭフレームは局側装置１と宅側装置２との間で使用され、当該ＯＡＭフレームを用いた主な機能としては、障害通知、ループバック試験及びリンク監視等がある。
もっとも、標準規格で規定された機能以外に、システム開発者が必要に応じて不足するＯＡＭ機能を拡張することもできる。 In the GE-PON system, the OAM frame is used between the station-side device 1 and the home-side device 2, and main functions using the OAM frame include failure notification, loopback test, link monitoring, and the like.
However, in addition to the functions defined in the standard, the system developer can also expand the OAM functions that are lacking as necessary.

〔局側装置の受信機能部分〕
図３は、局側装置１の受信機能部分を示すブロック図である。
図３に示すように、本実施形態の局側装置１は、宅側装置２から上り方向のフレーム受信に関する受信機能部分として、ＰＯＮ側受信部１０と、フレーム検査部１２と、フレーム処理部１２と、中継処理部１３と、上位側送信部１４と、宅側装置２のＭＡＣアドレスとＬＬＩＤとの対応関係を記載した対応テーブル（以下、単に対応テーブルという。）１５とを備えている。 [Receiving function part of station side device]
FIG. 3 is a block diagram showing a reception function part of the station side device 1.
As shown in FIG. 3, the station side device 1 of the present embodiment has a PON side receiving unit 10, a frame inspection unit 12, and a frame processing unit 12 as receiving function parts related to reception of an upstream frame from the home side device 2. A relay processing unit 13, a higher-level transmission unit 14, and a correspondence table (hereinafter simply referred to as a correspondence table) 15 describing the correspondence between the MAC address of the home-side device 2 and the LLID.

上記対応テーブル１５は、局側装置１の一時的な記憶領域（メモリ）に格納され、フレーム検査部１１とフレーム処理部１２は、それぞれ当該対応テーブル１５に登録されたＭＡＣアドレスとＬＬＩＤの対応関係を参照して所定の処理を行う。
ＰＯＮ側受信部１０は、光信号を電気信号に変換するアバランシェフォトダイオード等よりなる光電変換素子と、変換された電気信号を増幅する増幅器と、増幅された電気信号に同期してタイミング成分（クロック）とデータを再生するクロックデータ再生器と、再生されたデータの符号を復号するデータ復号部と、復号されたデータからフレームの境界を検出してイーサネットフレームを復元するフレーム再生部とを備えている。 The correspondence table 15 is stored in a temporary storage area (memory) of the station-side device 1, and the frame inspection unit 11 and the frame processing unit 12 correspond to the correspondence between the MAC address and LLID registered in the correspondence table 15, respectively. A predetermined process is performed with reference to FIG.
The PON side receiving unit 10 includes a photoelectric conversion element such as an avalanche photodiode that converts an optical signal into an electric signal, an amplifier that amplifies the converted electric signal, and a timing component (clock) in synchronization with the amplified electric signal. ) And a clock data regenerator for reproducing data, a data decoding unit for decoding the code of the reproduced data, and a frame reproducing unit for detecting a frame boundary from the decoded data and restoring an Ethernet frame Yes.

フレーム検査部１１は、上記ＰＯＮ側受信部１０で復元されたイーサネットフレームのヘッダ部分を読み取り、そのフレームが、データフレーム、レポートフレーム、それ以外のＭＰＣＰフレーム及びＯＡＭフレーム等のフレームのうちのどの種別に属するかを判定する判定機能と、その判定結果に基づいて、当該イーサネットフレームを廃棄するか、フレーム処理部１２や中継処理部１３に渡すかを決定する検査機能とを有する、処理プロセッサ（ＣＰＵ）よりなる。
なお、このフレーム検査部１１が行う具体的な処理内容については後述する。 The frame inspecting unit 11 reads the header portion of the Ethernet frame restored by the PON side receiving unit 10, and the type of the frame is a data frame, a report frame, other MPCP frames, OAM frames, etc. A processing processor (CPU) having a determination function for determining whether to belong to the network and an inspection function for determining whether to discard the Ethernet frame or to pass to the frame processing unit 12 or the relay processing unit 13 based on the determination result ).
The specific processing contents performed by the frame inspection unit 11 will be described later.

フレーム処理部１２は、フレーム検査部１１から受けたレポートフレーム等の制御フレームの記載内容に基づいて、前記ディスカバリ、上り信号の多重制御、動的帯域割当及びＯＡＭ処理等を行う処理プロセッサ（ＣＰＵ）よりなる。
また、フレーム処理部１２は、ディスカバリにおいて新たに宅側装置２にＬＬＩＤを付与する際に、その宅側装置２に付与したＬＬＩＤと、当該宅側装置２のＭＡＣアドレスとをそれぞれ対応付けて前記対応テーブル１５に登録する。 The frame processing unit 12 is a processing processor (CPU) that performs the discovery, uplink signal multiplexing control, dynamic bandwidth allocation, OAM processing, and the like based on the description content of the control frame such as a report frame received from the frame inspection unit 11 It becomes more.
The frame processing unit 12 associates the LLID assigned to the home device 2 with the MAC address of the home device 2 when assigning a new LLID to the home device 2 in discovery. Register in the correspondence table 15.

中継処理部１３は、フレーム検査部１１から受けたデータフレームのヘッダ情報の変更や、上位側送信部１４に対する送信制御等の所定の中継処理を行うものであり、処理後のフレームはその上位側送信部１４から上位ネットワーク７へ送出される。 The relay processing unit 13 performs predetermined relay processing such as change of header information of the data frame received from the frame inspection unit 11 and transmission control for the upper side transmission unit 14, and the processed frame is the upper side. The data is transmitted from the transmission unit 14 to the upper network 7.

図４は、イーサネットフレームのフォーマットを示す図である。
このイーサネットフレームには、複数のフィールドが存在し、図示の上から順に送信される。例えば、上から４つ目までのフィールドは、上から順に、プリアンブル（同期確立）、ＳＦＤ（フレーム開始）、ＤＡ（宛先アドレス）、ＳＡ（送信元アドレス）を示すフィールドである。また、ＳＡの次は、イーサネットタイプフィールドや、ＩＰプロトコルフィールドが存在している。 FIG. 4 is a diagram showing a format of an Ethernet frame.
This Ethernet frame has a plurality of fields, which are transmitted in order from the top of the figure. For example, the fourth field from the top is a field indicating a preamble (synchronization establishment), SFD (frame start), DA (destination address), and SA (source address) in order from the top. Next to SA, there are an Ethernet type field and an IP protocol field.

〔フレーム検査部の処理内容〕
次に、図５を参照しつつ、局側装置１のフレーム検査部１１が行うフレームの処理内容について説明する。
まず、フレーム検査部１１は、ＰＯＮ側受信部１０からイーサネットフレームを受信することによって動作を開始し（ステップＳ１）、イーサネットフレームに含まれるタイプフィールドに基づいて当該フレームの種別を判定する（ステップＳ２）。 [Processing contents of the frame inspection unit]
Next, with reference to FIG. 5, the contents of frame processing performed by the frame inspection unit 11 of the station side device 1 will be described.
First, the frame inspection unit 11 starts operation by receiving an Ethernet frame from the PON side receiving unit 10 (step S1), and determines the type of the frame based on the type field included in the Ethernet frame (step S2). ).

次に、フレーム検査部１１は、受信されたフレームがデータフレームである場合には、そのフレームが想定するＬＬＩＤ（フレーム処理部１２が所定の割当時刻に帯域を割り当てたＬＬＩＤ）を有するか否かを前記対応テーブル１５に基づいて判定する（ステップＳ３）。
そして、フレーム検査部１１は、データフレームが想定外のもの、すなわち、フレーム処理部１２が帯域を割り当てたＬＬＩＤ以外のＬＬＩＤを含むデータフレームである場合には、そのフレームを廃棄し（ステップＳ４）、想定されたデータフレームである場合には、そのフレームを中継処理部１３へ送る（ステップＳ５）。なお、中継処理部１３に送られたデータフレームは、所定の中継処理が行われたあと、上位側送信部１４を介して上位ネットワークに送信される。 Next, when the received frame is a data frame, the frame inspection unit 11 determines whether the frame has an LLID assumed by the frame (the LLID to which the frame processing unit 12 has allocated a band at a predetermined allocation time). Is determined based on the correspondence table 15 (step S3).
Then, if the data frame is an unexpected data frame, that is, if the data frame includes a LLID other than the LLID to which the frame processing unit 12 has assigned a band, the frame inspection unit 11 discards the frame (step S4). If the data frame is assumed, the frame is sent to the relay processing unit 13 (step S5). The data frame sent to the relay processing unit 13 is transmitted to the upper network via the upper side transmission unit 14 after being subjected to predetermined relay processing.

一方、フレーム検査部１１は、受信されたフレームの種別がレポートフレームである場合には、そのレポートフレームが今回の動的帯域割当の周期でフレーム処理部１２が受信済みのものか否かを判定し（ステップＳ６）、受信済みのものである場合には、そのレポートフレームを廃棄する（ステップＳ７）。
上記レポートフレームが今回の動的帯域割当の周期でフレーム処理部１２が受信済みのものでない場合（ステップＳ６でＮｏの場合）、すなわち、そのレポートフレームが当該動的帯域割当周期で初回のものである場合には、フレーム検査部１１は、更に、そのレポートフレームに含まれるＬＬＩＤとＭＡＣアドレスとが前記対応テーブル１５に記載されている組み合わせのものと一致するか否かを判定する（ステップＳ８）。 On the other hand, when the type of the received frame is a report frame, the frame inspection unit 11 determines whether or not the report frame has been received by the frame processing unit 12 at the current dynamic bandwidth allocation cycle. If it has been received (step S6), the report frame is discarded (step S7).
If the above-mentioned report frame is not already received by the frame processing unit 12 in the current dynamic bandwidth allocation cycle (No in step S6), that is, the report frame is the first one in the dynamic bandwidth allocation cycle. If there is, the frame inspection unit 11 further determines whether or not the LLID and MAC address included in the report frame match the combination described in the correspondence table 15 (step S8). .

フレーム検査部１１は、上記判定が不一致である場合には、そのレポートフレームを廃棄し（ステップＳ９）、一致する場合にはそのレポートフレームをフレーム処理部１２に渡す（ステップＳ１０）。
なお、上記レポートフレームを受けたフレーム処理部１２は、そのフレームに記載された上りのデータ送信量と送信開始時刻を所定の動的帯域割当アルゴリズムに基づいて算出し、その算出値を記載したゲートフレームを生成して、そのゲートフレームをＰＯＮ側送信部から宅側装置２に送信させる。 The frame inspection unit 11 discards the report frame if the determination is inconsistent (step S9), and passes the report frame to the frame processing unit 12 if it matches (step S10).
Upon receiving the report frame, the frame processing unit 12 calculates the uplink data transmission amount and transmission start time described in the frame based on a predetermined dynamic band allocation algorithm, and describes the calculated value. A frame is generated, and the gate frame is transmitted from the PON side transmission unit to the home side apparatus 2.

また、フレーム検査部１１は、受信されたフレームがＯＡＭフレームやレポートフレーム以外のＭＰＣＰフレームといった、動的帯域割当に関係のない制御フレームである場合には、その制御フレームに含まれるＬＬＩＤとＭＡＣアドレスとが前記対応テーブル１５に記載されている組み合わせのものと一致するか否かを判定する（ステップＳ１１）。 In addition, when the received frame is a control frame not related to dynamic bandwidth allocation, such as an MPCP frame other than an OAM frame or a report frame, the frame inspection unit 11 includes an LLID and a MAC address included in the control frame. Is matched with the combination described in the correspondence table 15 (step S11).

フレーム検査部１１は、上記判定が不一致である場合には、そのレポートフレームを廃棄し（ステップＳ１２）、一致する場合にはそのレポートフレームをフレーム処理部１２に渡す（ステップＳ１３）。
なお、制御フレームがＯＡＭフレームである場合には、フレーム処理部１２は、そのフレームに基づいてループバック試験等の所定のＯＡＭ処理を行い、制御フレームがレポートフレーム以外のＭＰＣＰフレーム、例えば、ディスカバリ用の登録要求フレームである場合には、フレーム処理部１２は、ディスカバリ用のゲートフレームを生成し、ＰＯＮ側送信部を介して宅側装置２に送信する。 If the determination does not match, the frame inspection unit 11 discards the report frame (step S12), and if it matches, passes the report frame to the frame processing unit 12 (step S13).
When the control frame is an OAM frame, the frame processing unit 12 performs predetermined OAM processing such as a loopback test based on the frame, and the control frame is an MPCP frame other than the report frame, for example, for discovery In the case of the registration request frame, the frame processing unit 12 generates a discovery gate frame and transmits it to the home device 2 via the PON side transmission unit.

このように、本実施形態の局側装置１によれば、フレーム検査部１１が、宅側装置２のＭＡＣアドレスとＬＬＩＤの双方が一致するか否かを判定し、不一致である制御フレームをフレーム処理部１２の手前で廃棄するので、なりすまし等の不正な宅側装置２から制御フレームを受信しても、その制御フレームに基づく制御処理が行われず、通信が確立することがない。
従って、なりすましの宅側装置２からレポートフレームその他の制御フレームが多数回にわたって送られてきても、正当な宅側装置２のための制御処理が滞ることがなく、ＤｏＳ攻撃によって通信障害が生じるのを未然に防止することができる。 As described above, according to the station side device 1 of the present embodiment, the frame inspection unit 11 determines whether both the MAC address and the LLID of the home side device 2 match, and the control frame that does not match is framed. Since it is discarded before the processing unit 12, even if a control frame is received from an unauthorized home-side device 2 such as impersonation, control processing based on the control frame is not performed and communication is not established.
Therefore, even if report frames and other control frames are sent from the spoofed home device 2 many times, the control processing for the legitimate home device 2 is not delayed and a communication failure occurs due to a DoS attack. Can be prevented in advance.

また、本実施形態の局側装置１によれば、フレーム検査部１１が、今回の動的帯域割当周期でフレーム処理部１２が既に受信済みのレポートフレームを当該フレーム処理部１２の手前で廃棄するので、複数のレポートフレームを受信することによって無駄な動的帯域割当の演算処理が繰り返されることがなく、動的帯域割当の混乱を防止できる。従って、この点においても、ＤｏＳ攻撃による通信障害を未然に防止することができる。 Further, according to the station side apparatus 1 of the present embodiment, the frame inspection unit 11 discards the report frame that has already been received by the frame processing unit 12 in the current dynamic band allocation cycle before the frame processing unit 12. Therefore, by receiving a plurality of report frames, useless dynamic bandwidth allocation calculation processing is not repeated, and confusion in dynamic bandwidth allocation can be prevented. Therefore, also in this respect, communication failure due to a DoS attack can be prevented in advance.

本発明の局側装置を有するＰＯＮシステムの概略構成図である。It is a schematic block diagram of the PON system which has a station side apparatus of this invention. 局側装置による上り信号の多重制御機能を示すシーケンス図である。It is a sequence diagram which shows the multiplexing control function of the upstream signal by the station side apparatus. 局側装置の受信機能部分を示すブロック図である。It is a block diagram which shows the reception function part of a station side apparatus. イーサネット（登録商標）のフレームフォーマットを示す図である。It is a figure which shows the frame format of Ethernet (trademark). フレーム検査部が行う処理内容を示すフローチャートである。It is a flowchart which shows the processing content which a flame | frame test | inspection part performs.

Explanation of symbols

１局側装置（ＯＬＴ）
２宅側装置（ＯＮＵ）
３光ファイバ
４光カプラ
５光ファイバ
６光ファイバ網
７上位ネットワーク
８ユニットネットワーク
１０ＰＯＮ側受信部
１１フレーム検査部
１２フレーム処理部
１３中継処理部
１４上位側送信部
１５対応テーブル 1 Station side equipment (OLT)
2 Home unit (ONU)
DESCRIPTION OF SYMBOLS 3 Optical fiber 4 Optical coupler 5 Optical fiber 6 Optical fiber network 7 Host network 8 Unit network 10 PON side receiving part 11 Frame inspection part 12 Frame processing part 13 Relay processing part 14 Upper side transmission part 15 Correspondence table

Claims

A station-side device of a PON system, which is connected to a plurality of home-side devices in a P2MP form via an optical fiber and has a frame processing unit that performs media access control using a control frame received from the home-side device,
A correspondence table in which both the MAC address and LLID corresponding to each home-side device are described, and a frame inspection unit that inspects the control frame before the control frame is input to the frame processing unit. ,
The station side apparatus of the PON system, wherein the frame inspection unit discards the control frame when the MAC address and LLID included in the control frame do not match those described in the correspondence table.

The frame inspection unit discards the report frame when the control frame is a report frame and the report frame has already been received from the home side device in the dynamic bandwidth allocation period by the frame processing unit. The station apparatus of the PON system according to claim 1.

A relay processing unit that relays the data frame received from the home side device to the upper side;
The frame inspection unit inspects the data frame before the data frame is input to the relay processing unit, and discards the data frame including an LLID other than the LLID to which the frame processing unit has assigned a bandwidth. The station apparatus of the PON system according to 2.

A frame processing method in which a station side device performs media access control using a control frame received from a home side device,
Before processing the control frame for media access control, it checks whether both the MAC address and LLID included in the control frame match those of the home side device, and the MAC address and LLID. A frame processing method characterized in that control frames other than the control frame that coincide with each other are excluded from frame processing targets.