JP2014131264A - Switching detection device, house side device, optical line encryption device, station side device, optical communication system, switching detection method, and program - Google Patents
Switching detection device, house side device, optical line encryption device, station side device, optical communication system, switching detection method, and program Download PDFInfo
- Publication number
- JP2014131264A JP2014131264A JP2013246429A JP2013246429A JP2014131264A JP 2014131264 A JP2014131264 A JP 2014131264A JP 2013246429 A JP2013246429 A JP 2013246429A JP 2013246429 A JP2013246429 A JP 2013246429A JP 2014131264 A JP2014131264 A JP 2014131264A
- Authority
- JP
- Japan
- Prior art keywords
- switching
- frame
- side device
- optical line
- encryption
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Landscapes
- Small-Scale Networks (AREA)
Abstract
Description
本発明は、切替検出装置、宅側装置、光回線の暗号デバイス、局側装置、光通信システム、切替検出方法、およびプログラムに関し、特に、冗長構成およびセキュリティ機能を有する通信システムにおける切替検出装置および宅側装置、局側装置に用いられる光回線の暗号デバイス、局側装置、局側装置と宅側装置とを備える光通信システム、宅側装置おける切替検出方法、および宅側装置を制御するためのプログラムに関する。 The present invention relates to a switching detection device, a home-side device, an optical line encryption device, a station-side device, an optical communication system, a switching detection method, and a program, and in particular, a switching detection device in a communication system having a redundant configuration and a security function, and To control a home-side device, an optical line encryption device used in the station-side device, a station-side device, an optical communication system including the station-side device and the home-side device, a switching detection method in the home-side device, and the home-side device Related to the program.
近年、インターネットが広く普及しており、利用者は世界各地で運営されているサイトの様々な情報にアクセスし、その情報を入手することが可能である。これに伴って、ADSL(Asymmetric Digital Subscriber Line)およびFTTH(Fiber To The Home)等のブロードバンドアクセスが可能な装置も急速に普及してきている。 In recent years, the Internet has become widespread, and users can access various information on sites operated in various parts of the world and obtain the information. Along with this, devices capable of broadband access such as ADSL (Asymmetric Digital Subscriber Line) and FTTH (Fiber To The Home) are rapidly spreading.
IEEE Std 802.3ah(登録商標)−2004(非特許文献1)には、複数の宅側装置(ONU:Optical Network Unit)が光通信回線を共有して局側装置(OLT:Optical Line Terminal)とのデータ伝送を行なう媒体共有形通信である受動的光ネットワーク(PON:Passive Optical Network)の1つの方式が開示されている。すなわち、PONを通過するユーザ情報およびPONを管理運用するための制御情報を含め、すべての情報がイーサネット(登録商標)フレームの形式で通信されるEPON(Ethernet(登録商標) PON)と、EPONのアクセス制御プロトコル(MPCP(Multi-Point Control Protocol))およびOAM(Operations Administration and Maintenance)プロトコルとが規定されている。局側装置と宅側装置との間でMPCPフレームをやりとりすることによって、宅側装置の加入、離脱、および上りアクセス多重制御などが行なわれる。また、非特許文献1では、MPCPメッセージによる、新規宅側装置の登録方法、帯域割り当て要求を示すレポート、および送信指示を示すゲートについて記載されている。
In IEEE Std 802.3ah (registered trademark) -2004 (non-patent document 1), a plurality of home side devices (ONU: Optical Network Unit) share an optical communication line, and a station side device (OLT: Optical Line Terminal). One method of a passive optical network (PON), which is a medium-sharing communication that performs data transmission with the network, is disclosed. That is, EPON (Ethernet (registered trademark) PON) in which all information is communicated in the form of an Ethernet (registered trademark) frame, including user information passing through the PON and control information for managing and operating the PON, and EPON An access control protocol (MPCP (Multi-Point Control Protocol)) and an OAM (Operations Administration and Maintenance) protocol are defined. By exchanging MPCP frames between the station side device and the home side device, the home side device joins and leaves, and uplink access multiplexing control is performed. Non-Patent
なお、1ギガビット/秒の通信速度を実現するEPONであるGE−PONの次世代の技術として、IEEE802.3av(登録商標)−2009として標準化が行なわれた10G−EPONすなわち通信速度が10ギガビット/秒相当のEPONにおいても、アクセス制御プロトコルはMPCPが前提となっている。 As a next-generation technology of GE-PON, which is an EPON that realizes a communication speed of 1 gigabit / second, 10G-EPON standardized as IEEE 802.3av (registered trademark) -2009, that is, a communication speed of 10 gigabit / Even in EPON equivalent to seconds, the access control protocol is predicated on MPCP.
また、PONでは、局側装置から送信される光信号は基本的に配下の全ONUに到達することから、ユーザデータ等を保護するための暗号化機能が必要となる。また、ONUから送信される光信号についても、成りすまし防止、および反射光の傍受による通信内容の暴露を防止するために暗号化機能が必要となる。このような暗号化機能の一例として、たとえば、IEEE Std 802.1AE(登録商標)−2006(非特許文献2)には、SAK(Secure Association Key)等を用いてユーザデータを暗号化する技術が開示されている。 In PON, since an optical signal transmitted from a station side device basically reaches all subordinate ONUs, an encryption function is required to protect user data and the like. In addition, an optical function transmitted from the ONU also requires an encryption function to prevent spoofing and prevent communication contents from being exposed due to interception of reflected light. As an example of such an encryption function, for example, IEEE Std 802.1AE (registered trademark) -2006 (Non-Patent Document 2) includes a technique for encrypting user data using a SAK (Secure Association Key) or the like. It is disclosed.
ところで、一般的にビジネス向けのネットワークサービスでは、高品質サービスを提供するためにシステムの二重化(冗長化)が必須である。また、音声/映像配信サービスでも二重化システムを用いることにより信頼性の高いシステムを提供することができる。二重化システムでは、装置、部品およびネットワークの各々が必要に応じて運用系および待機系を有する冗長構成がとられる。運用しているシステムの一部に障害が発生した場合には、運用系から待機系への冗長切り替えを行なうことにより、障害によるシステム停止時間をできるだけ短くすることが可能となる。この場合、ONUは、局側装置において冗長切替が行なわれたことを検出する必要がある。 By the way, in general, in a network service for business, in order to provide a high quality service, it is essential to make a system redundant (redundant). Also, a highly reliable system can be provided by using a duplex system in an audio / video distribution service. In the redundant system, a redundant configuration is adopted in which each of the devices, components, and network has an active system and a standby system as required. When a failure occurs in a part of the operating system, it is possible to make the system stop time due to the failure as short as possible by performing redundant switching from the active system to the standby system. In this case, the ONU needs to detect that redundancy switching has been performed in the station side device.
局側装置は、ONUに対して、暗号化されたユーザデータを含んだデータフレーム(下りデータフレーム)を送信する。しかしながら、従来のONUでは、局側装置における光回線の暗号デバイスの切替(たとえば、冗長切替)を検出することはできなかった。 The station side device transmits a data frame (downlink data frame) including encrypted user data to the ONU. However, the conventional ONU cannot detect switching (for example, redundancy switching) of the optical line encryption device in the station side apparatus.
局側装置において暗号デバイスが切替わる際に、局側装置とONUとの間の通信が停止する可能性がある。通信の停止期間が長くなることは通信品質の低下をもたらす。 When the encryption device is switched in the station-side apparatus, communication between the station-side apparatus and the ONU may be stopped. A longer communication suspension period results in lower communication quality.
本願発明は上記問題点に鑑みなされたものであって、本願発明の目的は、局側装置における光回線の暗号デバイスの切替を検出可能とする切替検出装置、宅側装置、光回線の暗号デバイス、光通信システム、切替検出方法、およびプログラムを提供することである。 SUMMARY OF THE INVENTION The present invention has been made in view of the above problems, and an object of the present invention is to provide a switching detection device, a home side device, and an optical line encryption device that can detect the switching of the optical line encryption device in the station side device. An optical communication system, a switching detection method, and a program are provided.
また、本願発明の別の目的は、局側装置において暗号デバイスが切替わる際に、局側装置と宅側装置との間の通信の停止時間をできるだけ短くすることが可能な局側装置、宅側装置および光通信システムを提供することである。 Another object of the present invention is to provide a station-side device, a home-side device capable of shortening the communication stop time between the station-side device and the home-side device as much as possible when the encryption device is switched in the station-side device. A side device and an optical communication system are provided.
本発明のある局面に従うと、切替検出装置は、局側装置において行なわれる第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を検出するための切替検出装置である。切替検出装置は、局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出する検出手段とを備える。 According to one aspect of the present invention, the switching detection device is a switching detection device for detecting switching from the encryption device of the first optical line to the encryption device of the second optical line performed in the station side device. The switch detection device receives a frame including information related to encrypted communication from the station side device, and detects a change in the state of encrypted communication using the information included in the frame, thereby the station side device Detecting means for detecting the switching at.
本発明の他の局面に従うと、宅側装置は、局側装置において行なわれる第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を検出する。宅側装置は、局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出する検出手段とを備える。 According to another aspect of the present invention, the home side device detects switching from the encryption device of the first optical line to the encryption device of the second optical line performed in the station side device. The home-side device receives from the station-side device a frame including information related to encrypted communication, and detects a change in the state of the encrypted communication using the information included in the frame, whereby the station-side device Detecting means for detecting the switching at.
本発明のさらに他の局面に従うと、光回線の暗号デバイスは、宅側装置と光通信する局側装置において利用される。光回線の暗号デバイスは、光回線の暗号デバイスが運用系として機能しているときに、予め定められた複数のアソシエーション番号のうちの1つのアソシエーション番号と、パケット番号とを少なくとも含むフレームを、宅側装置へ送信する送信手段と、複数のアソシエーション番号の各々に対して、アソシエーション番号を含むフレームのパケット番号と暗号化通信における暗号鍵とを対応付けて記憶する記憶手段と、記憶手段において対応付けて記憶されたアソシエーション番号と暗号鍵とパケット番号とのうちの当該アソシエーション番号と当該暗号鍵とを、予め定められたタイミングで、局側装置における待機系の光回線の暗号デバイスに通知する通知手段とを備える。 According to still another aspect of the present invention, an optical line encryption device is used in a station-side device that performs optical communication with a home-side device. When the optical line encryption device functions as an active system, the optical line encryption device transmits a frame including at least one association number of a plurality of predetermined association numbers and a packet number to the home. Transmitting means for transmitting to the side device, storage means for storing the packet number of the frame including the association number and the encryption key in encrypted communication in association with each of the plurality of association numbers, and correspondence in the storage means Notification means for notifying the association number and the encryption key of the association number, encryption key and packet number stored in advance to the encryption device of the standby optical line in the station side device at a predetermined timing With.
本発明のさらに他の局面に従うと、局側装置は、宅側装置と暗号化通信を行なうための第1の光回線の暗号デバイスと、宅側装置と暗号化通信を行なうための第2の光回線の暗号デバイスとを備える。局側装置が接続される光回線に宅側装置がリンクアップされた場合には、局側装置は、宅側装置と暗号化通信に関するディスカバリのための処理を実行する一方、第1の暗号デバイスから第2の暗号デバイスへの切替が行なわれた場合には、局側装置は、宅側装置と、暗号化通信に関するディスカバリのための処理を実行しない。 According to still another aspect of the present invention, the station side device includes a first optical line encryption device for performing encrypted communication with the home side device, and a second for performing encrypted communication with the home side device. And an optical line encryption device. When the home side device is linked up to the optical line to which the station side device is connected, the station side device executes a process for discovery related to encrypted communication with the home side device, while the first encryption device When switching from the first encryption device to the second encryption device, the station side device does not execute the discovery processing related to the encrypted communication with the home side device.
本発明のさらに他の局面に従うと、光通信システムは、宅側装置と、第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を行なう局側装置とを備える。宅側装置は、局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出する検出手段とを備える。 According to still another aspect of the present invention, the optical communication system includes a home-side apparatus and a station-side apparatus that performs switching from the encryption device of the first optical line to the encryption device of the second optical line. The home-side device receives from the station-side device a frame including information related to encrypted communication, and detects a change in the state of the encrypted communication using the information included in the frame, whereby the station-side device Detecting means for detecting the switching at.
本発明のさらに他の局面に従うと、切替検出方法は、局側装置において行なわれる第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を宅側装置において検出するために用いられる。切替検出方法は、局側装置から、暗号化通信に関する情報を含むフレームを受信するステップと、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出するステップとを備える。 According to still another aspect of the present invention, a switching detection method is provided for detecting a switching from a first optical line encryption device to a second optical line encryption device performed at a station side apparatus at a home side apparatus. Used. The switching detection method includes a step of receiving a frame including information related to encrypted communication from the station side device, and detecting a change in the state of encrypted communication using the information included in the frame. Detecting switching.
本発明のさらに他の局面に従うと、プログラムは、局側装置において行なわれる第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を検出するための切替検出装置を制御する。プログラムは、局側装置から、暗号化通信に関する情報を含むフレームを受信するステップと、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出するステップとを、切替検出装置のプロセッサに実行させる。 According to still another aspect of the present invention, the program controls the switching detection device for detecting the switching from the encryption device of the first optical line to the encryption device of the second optical line performed in the station side device. . The program receives a frame including information related to encrypted communication from the station side device, and detects a change in the state of encrypted communication using the information included in the frame, thereby switching the station side device. The step of detecting is executed by the processor of the switching detection device.
本発明によれば、局側装置における光回線の暗号デバイスの切替を検出することが可能となる。 According to the present invention, it is possible to detect switching of an optical line encryption device in a station-side apparatus.
また、本発明によれば、局側装置において暗号デバイスが切替わる際に、局側装置と宅側装置との間の通信の停止時間をできるだけ短くすることができる。 Further, according to the present invention, when the encryption device is switched in the station-side device, the communication stop time between the station-side device and the home-side device can be shortened as much as possible.
[本願発明の実施形態の説明]
最初に本発明の実施形態を列記して説明する。
[Description of Embodiment of Present Invention]
First, embodiments of the present invention will be listed and described.
(1)本発明の実施形態に従うと、切替検出装置は、局側装置において行なわれる第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を検出するための切替検出装置である。切替検出装置は、局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出する検出手段とを備える。 (1) According to the embodiment of the present invention, the switching detection apparatus detects the switching from the encryption device of the first optical line to the encryption device of the second optical line performed in the station side apparatus. It is. The switch detection device receives a frame including information related to encrypted communication from the station side device, and detects a change in the state of encrypted communication using the information included in the frame, thereby the station side device Detecting means for detecting the switching at.
上記の構成によれば、切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出可能となる。暗号デバイスが切替わることにより、暗号化通信の状態が変化する。これにより、フレームに含まれている、暗号化通信に関する情報も変化する。切替検出装置はこの変化を検出することで局側装置における光回線の暗号デバイスの切替を検出できる。 According to the above configuration, the switching detection device can detect switching of the encryption device of the optical line in the station side device. When the encryption device is switched, the state of the encrypted communication changes. As a result, the information related to the encrypted communication included in the frame also changes. By detecting this change, the switching detection device can detect the switching of the optical line encryption device in the station side device.
暗号化通信に関する情報は、特定の情報に限定されるものではない。また、その情報を含むフレームも、暗号化されたデータを含むフレームに限定されず、たとえば制御フレームであってもよい。 Information related to encrypted communication is not limited to specific information. Further, the frame including the information is not limited to the frame including the encrypted data, and may be a control frame, for example.
「フレームに含まれる情報を利用して暗号化通信の状態の変化を検出する」とは、そのフレームを確認して暗号化通信の状態の変化を検出するとの意味に限定されない。たとえばフレームは、暗号化通信の状態の変化に伴って変化する情報を通知するための目的で利用されてもよい。 “Detecting a change in the state of encrypted communication using information included in the frame” is not limited to the meaning of checking the frame and detecting a change in the state of encrypted communication. For example, a frame may be used for the purpose of notifying information that changes with a change in the state of encrypted communication.
「局側装置における切替」を検出するタイミングは限定されない。局側装置における切替が予定されている場合、検出手段は、その切替を予め検出してもよい。あるいは検出手段は、局側装置における切替が完了した後に、その切替を検出してもよい。 The timing for detecting “switching in the station side device” is not limited. When switching in the station side device is scheduled, the detecting means may detect the switching in advance. Alternatively, the detecting means may detect the switching after the switching in the station side device is completed.
(2)好ましくは、上記情報は、チャネル識別子である。
上記の構成によれば、チャネル識別子の変化に基づいて、暗号デバイスの切替を検出可能となる。
(2) Preferably, the information is a channel identifier.
According to said structure, based on the change of a channel identifier, it becomes possible to detect switching of an encryption device.
(3)好ましくは、上記フレームは、暗号化されたデータと、当該暗号化されたデータに関連付けされたチャネル識別子とを含む。検出手段は、フレームのチャネル識別子の変化を検出することによって、局側装置における切替を検出する。 (3) Preferably, the frame includes encrypted data and a channel identifier associated with the encrypted data. The detecting means detects switching in the station side device by detecting a change in the channel identifier of the frame.
上記の構成によれば、切替検出装置は、暗号化されたユーザデータを含んだデータフレームに基づいて、局側装置における光回線の暗号デバイスの切替を検出可能となる。 According to the above configuration, the switching detection apparatus can detect the switching of the optical line encryption device in the station side apparatus based on the data frame including the encrypted user data.
(4)好ましくは、チャネル識別子は、第1の光回線の暗号デバイスおよび第2の光回線の暗号デバイスのうちの運用系として機能している光回線の暗号デバイスに固有の物理アドレスを含む。検出手段は、物理アドレスの変化を検出することによって、切替が局側装置において行なわれたことを検出する。 (4) Preferably, the channel identifier includes a physical address unique to the encryption device of the optical line functioning as an operation system among the encryption device of the first optical line and the encryption device of the second optical line. The detecting means detects that the switching has been performed in the station side device by detecting a change in the physical address.
上記の構成によれば、切替検出装置は、チャネル識別子に含まれる物理アドレスの変化を検出することによって、局側装置における光回線の暗号デバイスの切替を検出可能となる。 According to the above configuration, the switching detection apparatus can detect the switching of the optical line encryption device in the station side apparatus by detecting the change of the physical address included in the channel identifier.
(5)好ましくは、切替検出装置は、第1の光回線の暗号デバイスに固有の物理アドレスと、第2の光回線の暗号デバイスに固有の物理アドレスとを記憶した記憶手段をさらに備える。検出手段は、物理アドレスが第1の光回線の暗号デバイスに固有の物理アドレスから第2の光回線の暗号デバイスに固有の物理アドレスに変化したことを検出したことに基づき、切替が行なわれたことを検出する。 (5) Preferably, the switching detection apparatus further includes storage means for storing a physical address unique to the encryption device of the first optical line and a physical address unique to the encryption device of the second optical line. The detection means is switched based on detecting that the physical address has changed from a physical address unique to the encryption device of the first optical line to a physical address unique to the encryption device of the second optical line. Detect that.
上記の構成によれば、切替検出装置は、記憶している物理アドレスに基づき、局側装置における光回線の暗号デバイスの切替を検出可能となる。 According to the above configuration, the switching detection apparatus can detect switching of the encryption device of the optical line in the station side apparatus based on the stored physical address.
(6)好ましくは、受信手段は、運用系として機能している光回線の暗号デバイスから暗号化されたデータとチャネル識別子とを受信するポートを含む複数のポートを含む。チャネル識別子は、暗号化されたデータの通信に用いるポートの番号をさらに含む。検出手段は、ポート番号毎に、物理アドレスの変化に基づいた切替の検出を行なう。 (6) Preferably, the receiving means includes a plurality of ports including a port for receiving encrypted data and a channel identifier from an optical line encryption device functioning as an active system. The channel identifier further includes a port number used for communication of encrypted data. The detecting means detects switching based on a change in physical address for each port number.
上記の構成によれば、切替検出装置は、ポート毎に局側装置における光回線の暗号デバイスの切替を検出可能となる。 According to the above configuration, the switching detection apparatus can detect the switching of the optical line encryption device in the station side apparatus for each port.
(7)好ましくは、上記フレームは、チャネル識別子を含む制御フレームである。検出手段は、制御フレームに基づいて、チャネル識別子の変化を検出することによって、局側装置における切替を検出する。 (7) Preferably, the frame is a control frame including a channel identifier. The detection means detects a change in the channel identifier by detecting a change in the channel identifier based on the control frame.
上記の構成によれば、切替検出装置は、局側装置からの制御フレームに基づいて、局側装置における光回線の暗号デバイスの切替を検出可能となる。したがって暗号化されたユーザデータを含んだフレームがチャネル識別子を含まない場合(たとえばセキュリティタグがショートタグである場合)にも、切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出することができる。 According to the above configuration, the switching detection apparatus can detect switching of the encryption device of the optical line in the station side apparatus based on the control frame from the station side apparatus. Therefore, even when a frame containing encrypted user data does not contain a channel identifier (for example, when the security tag is a short tag), the switching detection device detects switching of the optical line encryption device in the station side device. can do.
(8)好ましくは、切替検出装置は、第1の暗号デバイスおよび第2の暗号デバイスの各々に関連付けられたチャネル識別子をフレームにより取得する。切替検出装置は、第1の暗号デバイスに対応するチャネル識別子に基づいて、暗号化されたデータを復号する第1の復号手段と、第2の暗号デバイスに対応するチャネル識別子に基づいて、暗号化されたデータを復号する第2の復号手段とをさらに備える。検出手段は、暗号化されたデータの復号に成功した復号手段が第1の復号手段と第2の復号手段との間で変化することを検出することによって、局側装置における切替を検出する。 (8) Preferably, the switching detection apparatus acquires a channel identifier associated with each of the first cryptographic device and the second cryptographic device by a frame. The switching detection apparatus includes a first decryption unit that decrypts encrypted data based on a channel identifier corresponding to the first encryption device, and an encryption based on the channel identifier corresponding to the second encryption device. And second decoding means for decoding the processed data. The detecting means detects switching in the station side device by detecting that the decrypting means that has successfully decrypted the encrypted data changes between the first decrypting means and the second decrypting means.
上記の構成によれば、暗号化されたユーザデータを含んだフレームがチャネル識別子を含まない場合(たとえばセキュリティタグがショートタグである場合)にも、切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出することができる。 According to the above configuration, even when the frame including the encrypted user data does not include the channel identifier (for example, when the security tag is a short tag), the switching detection device can detect the optical line in the station side device. Switching between cryptographic devices can be detected.
(9)好ましくは、上記情報は、アソシエーション番号である。フレームは、暗号化されたデータと、アソシエーション番号とを含む。検出手段は、アソシエーション番号の変化を検出することによって、切替が局側装置において行なわれたことを検出する。 (9) Preferably, the information is an association number. The frame includes encrypted data and an association number. The detecting means detects that the switching has been performed in the station side device by detecting a change in the association number.
上記の構成によれば、暗号化されたユーザデータを含んだフレームがチャネル識別子を含まない場合(たとえばセキュリティタグがショートタグである場合)にも、切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出することができる。 According to the above configuration, even when the frame including the encrypted user data does not include the channel identifier (for example, when the security tag is a short tag), the switching detection device can detect the optical line in the station side device. Switching between cryptographic devices can be detected.
(10)好ましくは、受信手段は、暗号化されたデータとチャネル識別子とパケット番号とを含むフレームを受信する。切替検出装置は、パケット番号が予め定められた基準を満たさない場合に、当該パケット番号を含むフレームを廃棄する廃棄手段をさらに備える。廃棄手段は、検出手段によって局側装置の暗号デバイスの切替が検出された場合には、当該変化が検出されたチャネル識別子を含むフレームのパケット番号に関係なく、当該フレームを廃棄しない。 (10) Preferably, the receiving means receives a frame including encrypted data, a channel identifier, and a packet number. The switching detection apparatus further includes a discarding unit that discards a frame including the packet number when the packet number does not satisfy a predetermined criterion. The discarding unit does not discard the frame regardless of the packet number of the frame including the channel identifier in which the change is detected when the detection unit detects the switching of the encryption device of the station side device.
上記の構成によれば、切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出した場合には、暗号化されたデータを含むフレームを破棄しない。それゆえ、切替検出装置は、局側装置との間におけるデータ伝送を効率的に行なうことができる。 According to the above configuration, the switching detection device does not discard the frame including the encrypted data when detecting the switching of the optical line encryption device in the station side device. Therefore, the switching detection apparatus can efficiently perform data transmission with the station side apparatus.
(11)好ましくは、切替検出装置は、局側装置と複数の暗号化経路によって通信する。廃棄手段は、局側装置との暗号化経路毎に、フレームを廃棄するか否かを判断する。 (11) Preferably, the switching detection device communicates with the station side device through a plurality of encryption paths. The discarding unit determines whether to discard the frame for each encryption path with the station side device.
上記の構成によれば、切替検出装置は、暗号化経路毎にフレームを廃棄するかを判断できる。それゆえ、切替検出装置は、暗号化経路毎にフレームを廃棄しない構成に比べて、局側装置との間におけるデータ伝送を効率的に行なうことができる。 According to the above configuration, the switching detection apparatus can determine whether to discard a frame for each encryption path. Therefore, the switching detection apparatus can efficiently perform data transmission with the station side apparatus as compared with the configuration in which the frame is not discarded for each encryption path.
(12)好ましくは、上記の切替は、冗長切替である。
上記の構成によれば、局側装置における光回線の暗号デバイスの冗長切替を検出可能となる。
(12) Preferably, the above switching is redundant switching.
According to the above configuration, it is possible to detect redundancy switching of the optical line encryption device in the station side apparatus.
(13)本発明の他の実施形態に従うと、宅側装置は、局側装置において行なわれる第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を検出する。宅側装置は、局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出する検出手段とを備える。 (13) According to another embodiment of the present invention, the home side device detects switching from the encryption device of the first optical line to the encryption device of the second optical line performed in the station side device. The home-side device receives from the station-side device a frame including information related to encrypted communication, and detects a change in the state of the encrypted communication using the information included in the frame, whereby the station-side device Detecting means for detecting the switching at.
上記の構成によれば、宅側装置は、局側装置における光回線の暗号デバイスの切替を検出可能となる。これにより、宅側装置は、暗号デバイスの切替に対応した暗号化通信を実行できる。したがって、局側装置において暗号デバイスが切り替わる場合にも、局側装置と宅側装置との間の暗号化通信の停止時間をできるだけ短くすることが可能となる。 According to the above configuration, the home apparatus can detect the switching of the optical line encryption device in the station apparatus. Thereby, the home side apparatus can perform the encryption communication corresponding to switching of an encryption device. Therefore, even when the encryption device is switched in the station side device, it is possible to shorten the stop time of the encrypted communication between the station side device and the home side device as much as possible.
(14)好ましくは、上記情報は、チャネル識別子である。検出手段は、チャネル識別子の変化を検出することによって、局側装置における切替を検出する。宅側装置は、チャネル識別子として、第1の光回線の暗号デバイスに関連付けられた第1のチャネル識別子と、第2の光回線の暗号デバイスに関連付けられた第2のチャネル識別子とを記憶した記憶手段と、検出手段によって切替が検出されるまでは、局側装置からの暗号化されたデータを、第1のチャネル識別子を用いて復号し、検出手段によって切替が検出されると、局側装置からの暗号化されたデータを、第2のチャネル識別子を用いて復号する復号手段とをさらに備える。 (14) Preferably, the information is a channel identifier. The detecting means detects switching in the station side device by detecting a change in the channel identifier. The home-side apparatus stores, as channel identifiers, a first channel identifier associated with the first optical line encryption device and a second channel identifier associated with the second optical line encryption device. Until the switching is detected by the means and the detecting means, the encrypted data from the station side device is decrypted using the first channel identifier, and when the switching is detected by the detecting means, the station side device And decryption means for decrypting the encrypted data from the second data using the second channel identifier.
上記構成によれば、宅側装置は、局側装置における光回線の暗号デバイスの切替に応じて適切なチャネル識別子を選択できる。これにより、宅側装置は、暗号デバイスの切替に対応して、円滑に暗号化通信を実行できる。 According to the above configuration, the home apparatus can select an appropriate channel identifier in accordance with the switching of the optical line encryption device in the station apparatus. As a result, the home apparatus can smoothly execute encrypted communication in response to switching of the encryption device.
(15)好ましくは、上記情報は、アソシエーション番号である。検出手段は、アソシエーション番号の変化を検出することによって、局側装置における切替を検出する。宅側装置は、第1の光回線の暗号デバイスに関連付けられた第1のチャネル識別子と、第2の光回線の暗号デバイスに関連付けられた第2のチャネル識別子とを記憶した記憶手段と、検出手段によって切替が検出されるまでは、局側装置からの暗号化されたデータを、第1のチャネル識別子を用いて復号し、検出手段によって切替が検出されると、局側装置からの暗号化されたデータを、第2のチャネル識別子を用いて復号する復号手段とをさらに備える。 (15) Preferably, the information is an association number. The detecting means detects a change in the station number by detecting a change in the association number. The home side apparatus stores a first channel identifier associated with the encryption device of the first optical line and a second channel identifier associated with the encryption device of the second optical line, and detection Until the switching is detected by the means, the encrypted data from the station side device is decrypted using the first channel identifier, and when the switching is detected by the detection means, the encryption from the station side device is performed. And decoding means for decoding the processed data using the second channel identifier.
上記の構成によれば、暗号化されたユーザデータを含んだフレームがチャネル識別子を含まない場合(たとえばセキュリティタグがショートタグである場合)にも、宅側装置は、局側装置における光回線の暗号デバイスの切替を検出して、適切なチャネル識別子を選択できる。これにより、宅側装置は、暗号デバイスの切替に対応して、円滑に暗号化通信を実行できる。なお、第1のチャネル識別子および第2のチャネル識別子を宅側装置が取得するための方法は特に限定されず、任意の適切な方法を採用することができる。 According to the above configuration, even when the frame including the encrypted user data does not include the channel identifier (for example, when the security tag is a short tag), the home-side device can connect the optical line in the station-side device. An appropriate channel identifier can be selected by detecting the switching of the cryptographic device. As a result, the home apparatus can smoothly execute encrypted communication in response to switching of the encryption device. In addition, the method for a house side apparatus to acquire a 1st channel identifier and a 2nd channel identifier is not specifically limited, Arbitrary appropriate methods are employable.
(16)好ましくは、局側装置が接続される光回線に宅側装置がリンクアップされた場合には、宅側装置は、局側装置と、暗号化通信に関するディスカバリ(典型的にはMKAディスカバリ)のための処理を実行する。一方、検出手段によって、局側装置における切替が検出された場合には、宅側装置は、局側装置と、暗号化通信に関するディスカバリのための処理を実行しない。 (16) Preferably, when the home-side device is linked up to the optical line to which the station-side device is connected, the home-side device and the station-side device perform discovery related to encrypted communication (typically MKA discovery). ) Is executed. On the other hand, when switching by the detecting unit is detected in the station side device, the home side device does not execute the discovery processing related to the encrypted communication with the station side device.
上記構成によれば、局側装置において暗号デバイスが切替わったとしても、その切替わりにともなう暗号化通信の停止時間を短くすることができる。 According to the above configuration, even when the encryption device is switched in the station-side apparatus, it is possible to shorten the encryption communication stop time associated with the switching.
(17)好ましくは、受信手段は、暗号化されたデータとチャネル識別子とパケット番号とを含むフレームを受信する。宅側装置は、パケット番号が予め定められた基準を満たさない場合に、当該パケット番号を含むフレームを廃棄する廃棄手段をさらに備える。廃棄手段は、検出手段によって局側装置の暗号デバイスの切替が検出された場合には、当該変化が検出されたチャネル識別子を含むフレームのパケット番号に関係なく、当該フレームを廃棄しない。 (17) Preferably, the receiving means receives a frame including encrypted data, a channel identifier, and a packet number. The home apparatus further includes discarding means for discarding a frame including the packet number when the packet number does not satisfy a predetermined standard. The discarding unit does not discard the frame regardless of the packet number of the frame including the channel identifier in which the change is detected when the detection unit detects the switching of the encryption device of the station side device.
上記の構成によれば、切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出した場合には、暗号化されたデータを含むフレームを破棄しない。それゆえ、切替検出装置は、局側装置との間におけるデータ伝送を効率的に行なうことができる。 According to the above configuration, the switching detection device does not discard the frame including the encrypted data when detecting the switching of the optical line encryption device in the station side device. Therefore, the switching detection apparatus can efficiently perform data transmission with the station side apparatus.
(18)本発明のさらに他の実施形態に従うと、光回線の暗号デバイスは、宅側装置と光通信する局側装置において利用される。光回線の暗号デバイスは、光回線の暗号デバイスが運用系として機能しているときに、予め定められた複数のアソシエーション番号のうちの1つのアソシエーション番号と、パケット番号とを少なくとも含むフレームを、宅側装置へ送信する送信手段と、複数のアソシエーション番号の各々に対して、アソシエーション番号を含むフレームのパケット番号と暗号化通信における暗号鍵とを対応付けて記憶する記憶手段と、記憶手段において対応付けて記憶されたアソシエーション番号と暗号鍵とパケット番号とのうちの当該アソシエーション番号と当該暗号鍵とを、予め定められたタイミングで、局側装置における待機系の光回線の暗号デバイスに通知する通知手段とを備える。 (18) According to still another embodiment of the present invention, an optical line encryption device is used in a station-side device that performs optical communication with a home-side device. When the optical line encryption device functions as an active system, the optical line encryption device transmits a frame including at least one association number of a plurality of predetermined association numbers and a packet number to the home. Transmitting means for transmitting to the side device, storage means for storing the packet number of the frame including the association number and the encryption key in encrypted communication in association with each of the plurality of association numbers, and correspondence in the storage means Notification means for notifying the association number and the encryption key of the association number, encryption key and packet number stored in advance to the encryption device of the standby optical line in the station side device at a predetermined timing With.
上記の構成によれば、光回線の暗号デバイスは、記憶手段において対応付けて記憶された暗号鍵とアソシエーション番号とパケット番号とにおけるアソシエーション番号と暗号鍵とを、予め定められたタイミングで、局側装置における待機系の光回線の暗号デバイスに通知する。それゆえ、待機系の光回線の暗号デバイスは、運用系の光回線の暗号デバイスから、対応付けされたアソシエーション番号と暗号鍵とを取得できる。 According to the above configuration, the encryption device of the optical line transmits the association key and the encryption key in the encryption key, the association number, and the packet number that are stored in association with each other in the storage unit at a predetermined timing. The encryption device of the standby optical line in the apparatus is notified. Therefore, the encryption device of the standby optical line can acquire the associated association number and encryption key from the encryption device of the active optical line.
また、運用系の光回線の暗号デバイスは、パケット番号を通知する必要がない。このため、運用系の光回線の暗号デバイスと待機系の光回線の暗号デバイスとの間におけるデータの通信の量を低減できる。その結果、迅速な切替が可能となる。 Further, the encryption device for the active optical line does not need to notify the packet number. Therefore, it is possible to reduce the amount of data communication between the encryption device of the active optical line and the encryption device of the standby optical line. As a result, quick switching is possible.
(19)本発明のさらに他の実施の形態に従うと、局側装置は、宅側装置と暗号化通信を行なうための第1の光回線の暗号デバイスと、宅側装置と暗号化通信を行なうための第2の光回線の暗号デバイスとを備える。局側装置が接続される光回線に宅側装置がリンクアップされた場合には、局側装置は、宅側装置と暗号化通信に関するディスカバリのための処理を実行する一方、第1の暗号デバイスから第2の暗号デバイスへの切替が行なわれた場合には、局側装置は、宅側装置と、暗号化通信に関するディスカバリのための処理を実行しない。 (19) According to still another embodiment of the present invention, the station side device performs encrypted communication with the home side device and the first optical line encryption device for performing encrypted communication with the home side device and the home side device. And a second optical line encryption device. When the home side device is linked up to the optical line to which the station side device is connected, the station side device executes a process for discovery related to encrypted communication with the home side device, while the first encryption device When switching from the first encryption device to the second encryption device, the station side device does not execute the discovery processing related to the encrypted communication with the home side device.
上記構成によれば、局側装置において暗号デバイスが切替わったとしても、その切替わりにともなう暗号化通信の停止時間を短くすることができる。 According to the above configuration, even when the encryption device is switched in the station-side apparatus, it is possible to shorten the encryption communication stop time associated with the switching.
(20)本発明のさらに他の実施形態に従うと、光通信システムは、宅側装置と、第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を行なう局側装置とを備える。宅側装置は、局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出する検出手段とを備える。 (20) According to still another embodiment of the present invention, an optical communication system includes a home-side apparatus, and a station-side apparatus that switches from a first optical line encryption device to a second optical line encryption device. Is provided. The home-side device receives from the station-side device a frame including information related to encrypted communication, and detects a change in the state of the encrypted communication using the information included in the frame, whereby the station-side device Detecting means for detecting the switching at.
上記の構成によれば、光通信システムの切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出可能となる。これにより、宅側装置は、暗号デバイスの切替に対応した暗号化通信を実行できる。したがって、局側装置において暗号デバイスが切り替わる場合にも、局側装置と宅側装置との間の暗号化通信の停止時間をできるだけ短くすることが可能となる。 According to said structure, the switching detection apparatus of an optical communication system can detect switching of the encryption device of the optical line in a station side apparatus. Thereby, the home side apparatus can perform the encryption communication corresponding to switching of an encryption device. Therefore, even when the encryption device is switched in the station side device, it is possible to shorten the stop time of the encrypted communication between the station side device and the home side device as much as possible.
(21)好ましくは、上記情報は、チャネル識別子である。
上記の構成によれば、チャネル識別子の変化に基づいて、暗号デバイスの切替を検出可能となる。
(21) Preferably, the information is a channel identifier.
According to said structure, based on the change of a channel identifier, it becomes possible to detect switching of an encryption device.
(22)好ましくは、上記フレームは、暗号化されたデータと、当該暗号化されたデータに関連付けされたチャネル識別子とを含む。検出手段は、フレームのチャネル識別子の変化を検出することによって、局側装置における切替を検出する。 (22) Preferably, the frame includes encrypted data and a channel identifier associated with the encrypted data. The detecting means detects switching in the station side device by detecting a change in the channel identifier of the frame.
上記の構成によれば、宅側装置は、暗号化されたユーザデータを含んだデータフレームに基づいて、局側装置における光回線の暗号デバイスの切替を検出可能となる。 According to the above configuration, the home side apparatus can detect the switching of the optical line encryption device in the station side apparatus based on the data frame including the encrypted user data.
(23)好ましくは、暗号化されたデータに関連付けされたチャネル識別子は、暗号化通信に用いるチャネル識別子である。第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替が行なわれる前に、第2の光回線の暗号デバイスは、当該第2の光回線の暗号デバイスの暗号化通信に用いるチャネル識別子を、宅側装置へ送信する。 (23) Preferably, the channel identifier associated with the encrypted data is a channel identifier used for encrypted communication. Before the switching from the encryption device of the first optical line to the encryption device of the second optical line is performed, the encryption device of the second optical line performs encrypted communication of the encryption device of the second optical line. The channel identifier to be used is transmitted to the home device.
上記の構成によれば、宅側装置は、待機系の光回線の暗号デバイスのチャネル識別子を、冗長切替前に知ることができる。 According to the above configuration, the home side apparatus can know the channel identifier of the encryption device of the standby optical line before the redundancy switching.
(24)好ましくは、局側装置は、切替先の光回線の暗号デバイスに固有の物理アドレスを、拡張保守監視機能を用いて宅側装置へ送信する。宅側装置は、切替先の光回線の暗号デバイスに固有の物理アドレスを記憶する。チャネル識別子は、第1の光回線の暗号デバイスおよび第2の光回線の暗号デバイスのうちの運用系として機能している光回線の暗号デバイスに固有の物理アドレスを含む。検出手段は、物理アドレスが切替先の光回線の暗号デバイスに固有の物理アドレスに変化したことが検出されたことに基づき、切替が行なわれことを検出する。 (24) Preferably, the station side device transmits a physical address unique to the encryption device of the switching destination optical line to the home side device using the extended maintenance monitoring function. The home side apparatus stores a physical address unique to the encryption device of the switching destination optical line. The channel identifier includes a physical address unique to the encryption device of the optical line functioning as the operating system among the encryption device of the first optical line and the encryption device of the second optical line. The detecting means detects that the switching is performed based on the detection that the physical address has changed to a physical address unique to the encryption device of the switching destination optical line.
上記の構成によれば、宅側装置は、待機系の光回線の暗号デバイスの物理アドレスを、冗長切替前に知ることができる。それゆえ、宅側装置は、当該物理アドレスに基づき、第2の光回線の暗号デバイスへの冗長切替が行なわれたことを検出できる。 According to the above configuration, the home apparatus can know the physical address of the encryption device of the standby optical line before the redundancy switching. Therefore, the home device can detect that the redundant switching to the encryption device of the second optical line has been performed based on the physical address.
(25)好ましくは、上記フレームは、チャネル識別子を含む制御フレームである。第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替が生じると、第2の光回線の暗号デバイスは、当該第2の光回線の暗号デバイスの暗号化通信に用いるチャネル識別子を、宅側装置へ送信する。宅側装置の検出手段は、制御フレームに基づいて、チャネル識別子の変化を検出することによって、局側装置における切替を検出する。 (25) Preferably, the frame is a control frame including a channel identifier. When switching from the encryption device of the first optical line to the encryption device of the second optical line occurs, the encryption device of the second optical line uses the channel used for encrypted communication of the encryption device of the second optical line. The identifier is transmitted to the home device. The detecting means of the home side device detects the switching in the station side device by detecting the change of the channel identifier based on the control frame.
上記の構成によれば、暗号化されたユーザデータを含んだフレームがチャネル識別子を含まない場合(たとえばセキュリティタグがショートタグである場合)にも、宅側装置は、局側装置における光回線の暗号デバイスの切替を検出することができる。 According to the above configuration, even when the frame including the encrypted user data does not include the channel identifier (for example, when the security tag is a short tag), the home-side device can connect the optical line in the station-side device. Switching between cryptographic devices can be detected.
(26)好ましくは、上記フレームは、チャネル識別子を含む制御フレームである。第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替が完了するよりも前に、第1の光回線の暗号デバイスは、当該第2の光回線の暗号デバイスの暗号化通信に用いるチャネル識別子を含む制御フレームを、宅側装置へ送信する。宅側装置の検出手段は、制御フレームに基づいて、チャネル識別子の変化を検出することによって、局側装置における切替を検出する。 (26) Preferably, the frame is a control frame including a channel identifier. Before the switching from the encryption device of the first optical line to the encryption device of the second optical line is completed, the encryption device of the first optical line encrypts the encryption device of the second optical line. A control frame including a channel identifier used for communication is transmitted to the home device. The detecting means of the home side device detects the switching in the station side device by detecting the change of the channel identifier based on the control frame.
上記の構成によれば、暗号化されたユーザデータを含んだフレームがチャネル識別子を含まない場合(たとえばセキュリティタグがショートタグである場合)にも、宅側装置は、局側装置における光回線の暗号デバイスの切替を検出することができる。 According to the above configuration, even when the frame including the encrypted user data does not include the channel identifier (for example, when the security tag is a short tag), the home-side device can connect the optical line in the station-side device. Switching between cryptographic devices can be detected.
(27)好ましくは、宅側装置は、第1の暗号デバイスおよび第2の暗号デバイスの各々に関連付けられたチャネル識別子をフレームにより取得する。宅側装置は、第1の暗号デバイスに対応するチャネル識別子に基づいて、暗号化されたデータを復号する第1の復号手段と、第2の暗号デバイスに対応するチャネル識別子に基づいて、暗号化されたデータを復号する第2の復号手段とをさらに備える。検出手段は、暗号化されたデータの復号に成功した復号手段が第1の復号手段と第2の復号手段との間で変化することを検出することによって、局側装置における切替を検出する。 (27) Preferably, the home side apparatus acquires a channel identifier associated with each of the first cryptographic device and the second cryptographic device by a frame. The home-side apparatus encrypts the first decryption means for decrypting the encrypted data based on the channel identifier corresponding to the first encryption device and the channel identifier corresponding to the second encryption device. And second decoding means for decoding the processed data. The detecting means detects switching in the station side device by detecting that the decrypting means that has successfully decrypted the encrypted data changes between the first decrypting means and the second decrypting means.
上記の構成によれば、暗号化されたユーザデータを含んだフレームがチャネル識別子を含まない場合(たとえばセキュリティタグがショートタグである場合)にも、宅側装置は、局側装置における光回線の暗号デバイスの切替を検出することができる。 According to the above configuration, even when the frame including the encrypted user data does not include the channel identifier (for example, when the security tag is a short tag), the home-side device can connect the optical line in the station-side device. Switching between cryptographic devices can be detected.
(28)好ましくは、上記情報は、アソシエーション番号である。フレームは、暗号化されたデータと、アソシエーション番号とを含む。宅側装置の検出手段は、アソシエーション番号の変化を検出することによって、局側装置における切替を検出する。 (28) Preferably, the information is an association number. The frame includes encrypted data and an association number. The detecting means of the home side device detects the switching in the station side device by detecting the change of the association number.
上記の構成によれば、暗号化されたユーザデータを含んだフレームがチャネル識別子を含まない場合(たとえばセキュリティタグがショートタグである場合)にも、宅側装置は、局側装置における光回線の暗号デバイスの切替を検出することができる。 According to the above configuration, even when the frame including the encrypted user data does not include the channel identifier (for example, when the security tag is a short tag), the home-side device can connect the optical line in the station-side device. Switching between cryptographic devices can be detected.
(29)局側装置が接続される光回線に宅側装置がリンクアップされた場合には、局側装置と宅側装置とは、暗号化通信に関するディスカバリ(典型的にはMKAディスカバリ)のための処理を実行する。一方、検出手段によって切替が検出された場合には、局側装置と宅側装置とは、暗号化通信に関するディスカバリディスカバリのための処理を実行しない。 (29) When the home-side device is linked up to the optical line to which the station-side device is connected, the station-side device and the home-side device are for discovery related to encrypted communication (typically MKA discovery). Execute the process. On the other hand, when the switching is detected by the detection means, the station side device and the home side device do not execute the process for discovery discovery related to the encrypted communication.
上記構成によれば、局側装置において暗号デバイスが切替わったとしても、その切替わりにともなう暗号化通信の停止時間を短くすることができる。 According to the above configuration, even when the encryption device is switched in the station-side apparatus, it is possible to shorten the encryption communication stop time associated with the switching.
(30)好ましくは、受信手段は、暗号化されたデータとチャネル識別子とパケット番号とを含むフレームを受信する。宅側装置は、パケット番号が予め定められた基準を満たさない場合に、当該パケット番号を含むフレームを廃棄する廃棄手段をさらに備える。廃棄手段は、検出手段によって局側装置の暗号デバイスの切替が検出された場合には、当該変化が検出されたチャネル識別子を含むフレームのパケット番号に関係なく、当該フレームを廃棄しない。 (30) Preferably, the receiving means receives a frame including encrypted data, a channel identifier, and a packet number. The home apparatus further includes discarding means for discarding a frame including the packet number when the packet number does not satisfy a predetermined standard. The discarding unit does not discard the frame regardless of the packet number of the frame including the channel identifier in which the change is detected when the detection unit detects the switching of the encryption device of the station side device.
上記の構成によれば、切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出した場合には、暗号化されたデータを含むフレームを破棄しない。それゆえ、切替検出装置は、局側装置との間におけるデータ伝送を効率的に行なうことができる。 According to the above configuration, the switching detection device does not discard the frame including the encrypted data when detecting the switching of the optical line encryption device in the station side device. Therefore, the switching detection apparatus can efficiently perform data transmission with the station side apparatus.
(31)本発明のさらに他の実施形態に従うと、切替検出方法は、局側装置において行なわれる第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を宅側装置において検出するために用いられる。切替検出方法は、局側装置から、暗号化通信に関する情報を含むフレームを受信するステップと、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出するステップとを備える。 (31) According to still another embodiment of the present invention, in the switching detection method, the switching from the first optical line encryption device to the second optical line encryption device performed in the station side apparatus is performed in the home side apparatus. Used to detect. The switching detection method includes a step of receiving a frame including information related to encrypted communication from the station side device, and detecting a change in the state of encrypted communication using the information included in the frame. Detecting switching.
上記の構成によれば、宅側装置は、局側装置における光回線の暗号デバイスの切替を検出可能となる。 According to the above configuration, the home apparatus can detect the switching of the optical line encryption device in the station apparatus.
(32)本発明のさらに他の実施形態に従うと、プログラムは、局側装置において行なわれる第1の光回線の暗号デバイスから第2の光回線の暗号デバイスへの切替を検出するための切替検出装置を制御する。プログラムは、局側装置から、暗号化通信に関する情報を含むフレームを受信するステップと、フレームに含まれる情報を利用して暗号化通信の状態の変化を検出することによって、局側装置における切替を検出するステップとを、切替検出装置のプロセッサに実行させる。 (32) According to still another embodiment of the present invention, the program detects switching for detecting switching from the encryption device of the first optical line to the encryption device of the second optical line performed in the station side device. Control the device. The program receives a frame including information related to encrypted communication from the station side device, and detects a change in the state of encrypted communication using the information included in the frame, thereby switching the station side device. The step of detecting is executed by the processor of the switching detection device.
上記の構成によれば、切替検出装置は、局側装置における光回線の暗号デバイスの切替を検出可能となる。 According to the above configuration, the switching detection device can detect switching of the encryption device of the optical line in the station side device.
[本願発明の実施形態の詳細]
以下、本発明の実施の形態について図面を用いて説明する。なお、図中同一または相当部分には同一符号を付してその説明は繰り返さない。
[Details of the embodiment of the present invention]
Hereinafter, embodiments of the present invention will be described with reference to the drawings. In the drawings, the same or corresponding parts are denoted by the same reference numerals and description thereof will not be repeated.
[実施の形態1]
<A.PONシステムの概略構成>
図1は、本発明の実施の形態に係るPONシステムの概略構成を示すブロック図である。図1を参照して、PONシステム302は、局側装置101と、光ファイバであるN本のPON回線203_1〜203_Nと、N個の光カプラ204_1〜204_Nと、複数の宅側装置(ONU)202とを備える。局側装置101は、光回線の暗号デバイス(以下、OSU(Optical Subscriber Unit)とも称する)12_1〜12_N+1と、集線部13と、光スイッチ14と、局側装置101の全体的な制御を行なう全体制御部11とを含む。ここで、Nは1以上の整数である。また、宅側装置から上位ネットワーク(以下「アップリンク」とも称する。)への方向を上り方向と称し、アップリンクから宅側装置への方向を下り方向と称する。
[Embodiment 1]
<A. PON system schematic configuration>
FIG. 1 is a block diagram showing a schematic configuration of a PON system according to an embodiment of the present invention. Referring to FIG. 1, a
ここでは、PONシステム302において、各PON回線は10ギガビット/秒の通信速度を実現するEPONである10G−EPONに対応しており、アップリンクは10ギガビット/秒の通信速度を実現するイーサネット(登録商標)に対応すると仮定して説明する。また、MPCPフレームによってONUの登録、離脱、ONUへの帯域割り当て、ONUからの帯域要求が行なわれると仮定して説明する。
Here, in the
局側装置101は、10G−EPONに対応するPON回線を複数回線収容する。1本のPON回線には1または複数のONUが接続される。局側装置101は、これらのPON回線からのデータを1または複数の通信回線を有するアップリンクに多重する。また、局側装置101は、アップリンクからのデータを振り分けて各PON回線における各ONUへ送信する。また、局側装置101は、PON回線の上り帯域および下り帯域を各ONUに割り当てる。たとえば、各ONUから局側装置101への上り光信号はバースト信号であり、局側装置101から各ONUへの下り光信号は連続的な信号である。PONシステム302では、各ONUから局側装置101への光信号が時分割多重される。
The
具体的には、局側装置101は、N本のPON回線203_1〜203_Nに接続され、このN本のPON回線を終端する。OSUは、局側装置101の構成単位であり、たとえば1つの集積回路によって、PON回線の終端を行なう。本実施の形態では、各OSUは、PON回線に対応して設けられ、対応のPON回線に接続された1または複数のONUとフレームを送受信する。PON回線203_1〜203_Nは、光カプラ204_1〜204_Nにそれぞれ接続されており、これらの光カプラを介して各ONU202に接続されている。
Specifically, the
局側装置101は、たとえば、N:1の冗長構成を有している。すなわち、ある局面においては、N+1個のOSUのうち、N個のOSU12_1〜12_Nが運用系(現用)のOSUとして機能し、OSU12_N+1が待機系(予備)のOSUとして機能する。なお、局側装置101は、2個以上の待機系OSUを含む構成であってもよい。
The
全体制御部11は、ONU202とフレームを送受信すべきOSU12を、運用系のOSU12および待機系のOSU12間で切り替える切替制御を行なう。
The
光スイッチ14は、全体制御部11からの指示に従い、N+1個のOSU12_1〜12_N+1と、N本のPON回線203−1〜203−Nとの間の通信経路を切り替える。
The
集線部13は、複数のOSU経由で各ONUから受信した上りフレームをアップリンクへ送信する。具体的には、集線部13は、OSU12_1〜12_N+1からの上りフレームを多重してアップリンクに送信するとともに、アップリンクから受信した下りフレームを適切なOSUに振り分ける処理を行なう。
The
なお、以下では、運用系のOSUとして機能しているOSUを「運用系OSU」と、待機系のOSUとして機能しているOSUを「待機系OSU」と称する。 In the following, an OSU functioning as an active OSU is referred to as an “active OSU”, and an OSU functioning as a standby OSU is referred to as a “standby OSU”.
PONシステム302では、下りデータフレームに含まれるユーザデータを保護するため、ユーザデータの暗号化が行なわれる。PONシステム302の暗号化は、IEEE802.1AE(「Media Access Control(MAC)Security」)にて規定されている。IEEE802.1AEは、「MACsec」と呼ばれている。
In the
また、IEEE802.1AEは、Replay Protectionをサポートしている。なお、Replay Protectionは、コンフィグにより無効化することもできる。「Replay Protection」とは、Replay Attack(フレームをコピーして成りすますこと、あるいは大量にコピーフレームを送りつけて処理負荷を引き上げること)を防ぐための機能である。具体的には、「Replay Protection」は、送信側の装置(OSU)が、ユーザデータの部分が暗号化された下りデータフレームに対して送信の度に予め定められた値だけ増加(インクリメント)するパケット番号(PN:Packet Number)を付与することにより、受信側の装置(ONU)において、不正にコピーされた下りデータフレームを検出し、当該下りデータフレームを廃棄することを可能とする機能である。下りデータフレームを廃棄するか否かの基準については、後述する。 In addition, IEEE 802.1AE supports Replay Protection. Replay protection can also be invalidated by configuration. “Replay Protection” is a function for preventing a playback attack (a copy attack is made by copying a frame or a processing load is increased by sending a large number of copy frames). Specifically, “Replay Protection” increases (increments) a predetermined value each time a transmission side device (OSU) transmits a downlink data frame in which a user data portion is encrypted. This is a function that allows a receiving side device (ONU) to detect an illegally copied downlink data frame and to discard the downlink data frame by giving a packet number (PN). . The criteria for determining whether or not to discard the downstream data frame will be described later.
<B.PONシステム302における処理の概要>
図2は、PONシステム302で行なわれる処理の概要を説明するためのシーケンスチャートである。具体的には、図2は、OSU12_1とOSU12_N+1との間で冗長切替が行なわれる局面を表した図である。
<B. Outline of Processing in
FIG. 2 is a sequence chart for explaining an outline of processing performed in the
図2を参照して、シーケンスSQ2において、OSU12_N+1は、待機系OSUとして機能し始める。シーケンスSQ4において、OSU12_1は、運用系OSUとして機能し始める。シーケンスSQ6において、OUS12_1は、下りデータフレームをONU202に送信する。詳細については後述するが、下りデータフレームには、少なくとも、暗号化されたユーザデータと、暗号化通信に用いるチャネル識別子であるSCI(Secure Channel Identifier)とが含まれている(図6)。
Referring to FIG. 2, in sequence SQ2, OSU 12_N + 1 starts to function as a standby OSU. In sequence SQ4, the OSU 12_1 starts to function as the active OSU. In sequence SQ6, the OUS12_1 transmits a downlink data frame to the
シーケンスSQ8において、冗長切替を実行すべき事象が発生したことに基づき、OSU12_1とOSU12_N+1との間で冗長切替が行なわれる。その結果、シーケンスSQ10において,OSU12_N+1が、運用系OSUとして機能し始める。シーケンスSQ12において、OSU12_1が、待機系OSUとして機能し始める。その結果、シーケンスSQ14において、OSU12_N+1が、OSU12_1に代わり、下りデータフレームをONU202に送信する。
In sequence SQ8, redundancy switching is performed between OSU 12_1 and OSU 12_N + 1 based on the occurrence of an event for which redundancy switching should be performed. As a result, in sequence SQ10, OSU12_N + 1 starts to function as the active OSU. In the sequence SQ12, the OSU 12_1 starts to function as the standby OSU. As a result, in the sequence SQ14, the OSU 12_N + 1 transmits a downlink data frame to the
シーケンスSQ16において、ONU202は、下りデータフレームに含まれる上記SCIの変化に基づき、冗長切替が局側装置101で行なわれたことを検出する。詳細には、ONU202は、下りデータフレームにおけるSCIの変化を監視し、SCIが変化した場合、局側装置101において冗長切替が行なわれたと判断する。
In sequence SQ <b> 16, the
このように、ONU202は、局側装置101において行なわれる運用系OSUから待機系OSUへの冗長切替を検出するための切替検出装置として機能する。ONU202は、局側装置101から、暗号化されたデータと、当該暗号化されたデータに関連付けされたチャネル識別子(具体的にはSCI)とを含む下りフレームを受信する。ONU202は、チャネル識別子の変化を検出することによって、冗長切替が局側装置101において行なわれたことを検出する。それゆえ、ONU202は、暗号化されたユーザデータを含んだ下りデータフレームに基づいて冗長切替の検出が可能となる。この場合、ONU202は、変化後のチャネル識別子により特定されるOSU12への冗長切替が局側装置101において行なわれたと判断する。
In this way, the
以下では、上記のような処理を実現するための局側装置101およびONU202の具体的構成について説明する。さらに、以下では、上記の処理以外の処理であって、局側装置101およびONU202で行なわれる各処理についても適宜説明する。
Below, the concrete structure of the station |
<C.局側装置101におけるOSU12の構成>
図3は、局側装置におけるOSU12の構成を示す図である。図3を参照して、OSU12は、暗号部30と、集線IF(Interface)部31と、制御IF部32と、受信処理部33と、送信処理部34と、PON送受信部35と、PON制御部36と、上りフレームを蓄積するFIFO37と、下りフレームを蓄積するFIFO38とを含む。なお、PON送受信部35と送信処理部34とにより、OSU12の送信部を構成する。また、PON制御部36と制御IF部32とにより、OSU12の通知部を構成する。
<C. Configuration of
FIG. 3 is a diagram showing the configuration of the
局側装置101では、OSU12における各ユニットが動作するためのクロックが生成され、OSU12は、このクロックのタイミングに従って時刻情報すなわちタイムスタンプを生成し、タイムスタンプに従ってフレームを送受信する。また、OSU12は、タイムスタンプを制御フレームに含めて配下の各ONU202へ送信する。ONU202は、タイムスタンプに従って動作し、OSU12からの制御フレームに含まれるタイムスタンプに基づいて自己のタイムスタンプを調整する。
In the
PON送受信部35は、PON線路の親局側起点として、PON回線である1本の光ファイバと光スイッチ14を介して接続される。PON送受信部35は、この光ファイバを介して各ONUと双方向通信が行なえるように、特定の波長、たとえば1310nm帯の上り光信号を受信し、電気信号に変換して受信処理部33に出力するとともに、送信処理部34から受けた電気信号を別波長の下り光信号に変換して送信する。たとえば、PON送受信部35は、送信処理部34から受けた10Gbpsの電気信号を1570nm帯の下り光信号に変換して送信する。
The PON transmission /
受信処理部33は、PON送受信部35から受けた電気信号からフレームを再構成するとともに、フレームの種別に応じてPON制御部36またはFIFO37にフレームを振り分ける。具体的には、データフレームをFIFO37に出力し、制御フレームをPON制御部36に出力する。
The
また、受信処理部33は、どのロジカルリンクからフレームをいつ受信するかを示すグラント情報を送信処理部34から受けて、バースト受信を支援するための制御信号をPON送受信部35へ出力してもよい。また、受信処理部33は、このグラント情報を受けて、当該グラント情報に示されていない受信フレームをフィルタリングする、すなわち廃棄するようにしてもよい。
Further, the
集線IF部31は、FIFO37から受けた上りフレームを集線部13へ出力する。集線IF部31は、PON制御部36から制御フレームを受けた場合には、FIFO37からのフレーム列の合間において、当該制御フレームをFIFO37からのフレームよりも優先して集線部13へ出力する。
The concentrating IF
また、集線IF部31は、集線部13からフレームを受けると、当該フレームが通常のデータフレームである場合にはFIFO38に出力し、当該フレームが制御フレームである場合にはPON制御部36へ出力する。
Further, when receiving the frame from the
暗号部30は、FIFO38から受けたデータフレームを暗号化する。また、暗号部30は、暗号化後のデータフレームおよびPON制御部36から受けた制御フレームを送信処理部34へ出力する。
The
送信処理部34は、暗号部30から出力されるデータフレームおよび制御フレームを、優先順位に従って受け取り、PON送受信部35に出力する。
The
PON制御部36は、MPCPおよびOAMなど、PON回線の制御および管理に関する局側処理を行なう。すなわち、PON回線に接続されている各ONUとMPCPメッセージおよびOAMメッセージをやりとりすることによって、ONUの登録、離脱および帯域割り当てを含めた上りアクセス制御、下りアクセス制御、ならびにONUへのスリープ指示を含めたONUの運用管理などを行なう。
The
たとえば、PON制御部36は、各ONU202から受けたPON回線における上り帯域の割り当て要求に基づいて、PON回線における上り帯域を各ONU202に割り当てる。具体的には、PON制御部36は、ONU202から受けたPON回線における帯域の割り当て要求を示すレポートフレームに基づいて、PON回線における帯域をONU202に割り当てる、すなわちグラントを記したゲートフレームをONU202へ送信する。PON制御部36は、ゲートフレームを用いて、ONU202に対して、上りフレームの送信開始タイミングおよび送信可能データ長を通知する。
For example, the
制御IF部32は、全体制御部11からの指示に基づいて、集線IF部31、受信処理部33、送信処理部34、およびPON制御部36への設定を行ない、これら各ユニットの状態を全体制御部11に通知する。また、これら各ユニットに異常が発生した場合は、全体制御部11からの指示に依らず、異常が発生したユニットの状態を全体制御部11に通知する。全体制御部11は、たとえばこれらの情報に基づいて、OSU12の冗長切り替えを行なう。PON送受信部35についての設定および状態通知は、受信処理部33を経由して行なわれる。また、暗号部30についての設定および状態通知は、PON制御部36を経由して行なわれる。
Based on an instruction from the
<D.ONU202の構成>
図4は、ONU202の構成を示す図である。図4を参照して、ONU202は、復号部20と、PONポート21と、光受信処理部22と、バッファメモリ23と、送信処理部24と、UNI(User Network Interface)ポート25と、受信処理部26と、バッファメモリ27と、光送信処理部28と、制御部29とを備える。なお、PONポート21と光受信処理部22とにより受信部を構成する。
<D. Configuration of
FIG. 4 is a diagram showing the configuration of the
受信部は、局側装置101から送信されてきた各種フレームを受信する。たとえば、受信部は、ユーザデータを暗号化した暗号化データ、および当該暗号化データのセキュアタグ等を含むフレームを受信する。より詳しくは、PONポート21は、局側装置101から送信される下り光信号を受信する。光受信処理部22は、PONポート21経由で受信した下り光信号を電気信号に変換し、当該電気信号からフレームを再構成して出力する。
The receiving unit receives various frames transmitted from the
復号部20は、光受信処理部22から受けたフレームを復号する。また、復号部20は、フレームの種別に応じて制御部29または送信処理部24にフレームを振り分ける。具体的には、復号部20は、復号したデータフレームをバッファメモリ23経由で送信処理部24に出力し、光受信処理部22から受けた制御フレームを制御部29に出力する。
The
送信処理部24は、復号部20から受けたデータフレームをUNIポート25経由で図示しないパーソナルコンピュータ等のユーザ端末へ送信する。
The
受信処理部26は、UNIポート25経由でユーザ端末から受信したデータフレームをバッファメモリ27経由で光送信処理部28へ出力する。
The
制御部29は、MPCP、OAM、およびMKA等、PON回線の制御および管理に関する宅側処理を行なう。すなわち、PON回線に接続されている局側装置101とMPCPメッセージ、OAMメッセージ、およびMKAメッセージをやりとりすることによって、アクセス制御等の各種制御を行なう。制御部29は、各種制御情報を含む制御フレームを生成し、バッファメモリ27経由で光送信処理部28へ出力する。
The
光送信処理部28は、受信処理部26から受けたデータフレームおよび制御部29から受けた制御フレームを光信号に変換し、PONポート21経由で局側装置101へ送信する。
The optical
<E.局側装置101におけるOSU12の要部の構成>
図5は、OSU12におけるPON制御部36および暗号部30の構成を示す図である。図5を参照して、PON制御部36は、フレーム作成部71と、キー更新部72と、SCI作成部73と、切替処理部74とを含む。暗号部30は、フレーム種別識別部61と、記憶部62と、暗号器63と、マルチプレクサ64と、キー選択部65と、SCI選択部66とを含む。
<E. Configuration of Main Part of
FIG. 5 is a diagram illustrating the configuration of the
PON制御部36および暗号部30における一部または全部のユニットは、局側制御部としてたとえば1つの集積回路で実現される。なお、この集積回路は、OSU12におけるPON制御部36および暗号部30以外の他のユニットをさらに含んでもよい。また、記憶部62は、PON制御部36に含まれてもよいし、その記憶領域が分割されて暗号部30およびPON制御部36に含まれてもよい。
Part or all of the units in the
暗号部30において、記憶部62は、運用系OSUおよび待機系OSU間の冗長切り替えの前に用いる暗号化キーである暗号化キーを記憶する。より詳細には、記憶部62は、キー管理用テーブル70およびSCI等の暗号化情報をたとえばロジカルリンク識別子(LLID)ごとに記憶する。なお、本実施の形態では、後述するポート番号としてLLIDを用いるため、記憶部62は、キー管理用テーブル70およびSCI等の暗号化情報をポート番号ごとに記憶する構成であると言える。
In the
PON制御部36において、キー更新部72は、自己のOSU12の配下の各ONU202との暗号化通信に必要な暗号化キーをたとえばLLIDごとに取得し、取得した暗号化キーを記憶部62に保存する。なお、1つのONU202が1つのLLIDに対応する場合に限らず、1つのONU202が複数のLLIDに対応する場合もある。
In the
より詳細には、キー更新部72は、保護通信識別番号(Secure Association Number)とSAK等の暗号化キーとの対応関係を示すキー管理用テーブル70をLLIDごとに作成し、記憶部62に保存する。キー管理用テーブル70には、保護通信識別番号(AN)と、SAK等の暗号化キーと、パケット番号(PN)とが登録される。
More specifically, the
ここで、保護通信識別番号は、たとえば非特許文献2におけるアソシエーション番号(AN:Association Number)である。アソシエーション番号は、2ビットのデータであり、1つのLLIDに対して4通りのキーに対応した保護通信を登録することが可能である。
Here, the protected communication identification number is, for example, an association number (AN) in
また、キーがユニキャスト用のキーである場合に限らず、ブロードキャスト用のキーおよびマルチキャスト用のキーである場合にも、本発明を適用することが可能である。 Further, the present invention can be applied not only when the key is a unicast key but also when the key is a broadcast key and a multicast key.
SCI作成部73は、自己のOSU12の識別情報およびフレームの送信先のONU202の識別情報に基づいて、チャネル情報を作成する。たとえば、SCI作成部73は、チャネル情報として非特許文献2におけるSCI(Secure Channel Identifier)を作成する。
The
SCIは、システム識別子(System Identifier)およびポート番号(Port Number)から構成される。具体的には、システム識別子は、フレームの暗号元の世界に2つとないMAC(Medium Access Control)アドレス(固有の物理アドレス)であり、ポート番号はシステム内で重複しない番号たとえばLLIDである。SCI作成部73は、SCIをLLIDごとに作成し、記憶部62に保存する。
The SCI is composed of a system identifier and a port number. Specifically, the system identifier is a MAC (Medium Access Control) address (unique physical address) unique in the world of the encryption source of the frame, and the port number is a number that is not duplicated in the system, for example, LLID. The
フレーム作成部71は、ゲートフレーム等のMPCPフレーム、OAMフレーム、拡張MACフレームおよびMKAフレーム等の制御フレームを作成して出力する。
The
暗号部30において、フレーム種別識別部61は、FIFO38およびフレーム作成部71から受けたフレームにおけるタイプフィールドの内容を確認し、暗号化すべきフレームを判別する。具体的には、たとえば、フレーム種別識別部61は、データフレームを暗号器63へ出力し、制御フレームをマルチプレクサ64へ出力する。
In the
暗号器63は、フレーム種別識別部61から受けたデータフレームに含まれるユーザデータを、たとえば非特許文献2に記載の方法に従い、暗号化キーおよびSCIを用いて暗号化する。
The
マルチプレクサ64は、暗号器63によって暗号化されたデータフレームおよびフレーム種別識別部61から受けた制御フレームを多重化して送信処理部34へ出力する。
The
PON制御部36において、切替処理部74は、たとえばOSU冗長切替のタイミングおよび自己のOSU12が切替元であるか切替先であるか等を示す切替制御情報を制御IF部32経由で全体制御部11から取得する。また、切替元のOSU12において、切替制御情報は、さらに、切替先のOSU12のMACアドレスを含む。そして、切替処理部74は、切替制御情報をキー選択部65、SCI選択部66、暗号器63およびフレーム作成部71へ出力する。
In the
切替元のOSU12におけるフレーム作成部71は、切替処理部74から受けた切替制御情報の示すMACアドレスを通知するための、自己のOSU12と通信中のONU202を宛先とする制御フレームを生成してフレーム種別識別部61へ出力する。この制御フレームは、たとえばMKAフレームあるいは拡張OAMフレームである。
The
切替先のOSU12におけるキー選択部65は、切替処理部74から受けた切替制御情報に基づいて、データフレームに含めるべきアソシエーション番号を選択し、選択したアソシエーション番号に対応する暗号化キーをキー管理用テーブル70から取得し、当該アソシエーション番号および当該暗号化キーを暗号器63へ出力する。
Based on the switching control information received from the switching
SCI選択部66は、切替処理部74から受けた切替制御情報に基づいて、データフレームに含めるべきアソシエーション番号を選択し、選択したアソシエーション番号に対応するSCIをキー管理用テーブル70から取得し、当該アソシエーション番号および当該SCIを暗号器63へ出力する。
The
<F.下りデータフレームの構成>
図6は、下りデータフレームの構成の一例を説明するための図である。図6(A)は、MACsec適用前のイーサフレームフォーマットを表した図である。図6(B)は、MACsec適用後のイーサフレームフォーマットを表した図である。つまり、図6(B)は、下りデータフレームのフォーマットを表した図である。より詳しくは、図6(B)は、下りデータフレームにおけるセキュアタグのフォーマットを説明するための図である。図6(C)は、主としてSCIの構成を説明するための図である。
<F. Downlink data frame configuration>
FIG. 6 is a diagram for explaining an example of a configuration of a downlink data frame. FIG. 6A shows an Ethernet frame format before applying MACsec. FIG. 6B is a diagram showing an Ethernet frame format after applying MACsec. That is, FIG. 6B is a diagram showing the format of the downlink data frame. More specifically, FIG. 6B is a diagram for explaining the format of the secure tag in the downlink data frame. FIG. 6C is a diagram for mainly explaining the configuration of the SCI.
図6(A)を参照して、MACsec適用前のイーサフレームフォーマットは、送信先アドレス(DA)が挿入されるフィールドと、送信元アドレス(SA)が挿入されるフィールドと、ユーザデータが挿入されるフィールドとを含む。 Referring to FIG. 6A, in the Ether frame format before applying MACsec, a field into which a transmission destination address (DA) is inserted, a field into which a transmission source address (SA) is inserted, and user data are inserted. Field.
図6(B)を参照して、下りデータフレームは、送信先アドレス(DA)が挿入されるフィールドと、送信元アドレス(SA)が挿入されるフィールドと、セキュリティタグ(セキュアタグ)が挿入されるフィールドと、ユーザデータを暗号化した暗号化データが挿入されるフィールドと、ICV(Integrity Check Value)が挿入されるフィールドとを含む。 Referring to FIG. 6B, in the downlink data frame, a field into which a transmission destination address (DA) is inserted, a field into which a transmission source address (SA) is inserted, and a security tag (secure tag) are inserted. A field into which encrypted data obtained by encrypting user data is inserted, and a field into which ICV (Integrity Check Value) is inserted.
また、セキュアタグは、MACsec Ethertypeが挿入されるフィールドと、TCI(TAG control information)が挿入されるフィールドと、SL(Short length)が挿入されるフィールドと、AN(Association Number)が挿入されるフィールドと、PN(Packet Number)が挿入されるフィールドと、SCIが挿入されるフィールドとを含む。 The secure tag includes a field in which MACsec Ethertype is inserted, a field in which TCI (TAG control information) is inserted, a field in which SL (Short length) is inserted, and a field in which AN (Association Number) is inserted. And a field into which a PN (Packet Number) is inserted and a field into which the SCI is inserted.
MACsec Ethertypeは、MACsecが使われていることを示す2オクテットのフィールドである。TCIは、MACsecのバージョンを示すVビット、SCIフィールドの存在を示すSCビット、暗号化の有無などを示すEビットなどを含む6ビットのフィールドである。ANは、同一のSCの中でSAを識別するための2ビットのフィールドである。つまり、SCは最大4つのSAから構成される。 MACsec Ethertype is a 2-octet field indicating that MACsec is used. The TCI is a 6-bit field including a V bit indicating the MACsec version, an SC bit indicating the presence of the SCI field, an E bit indicating the presence / absence of encryption, and the like. AN is a 2-bit field for identifying SA in the same SC. That is, the SC is composed of a maximum of four SAs.
SLは、暗号化データ(セキュアデータ)の長さが48オクテット未満の場合に、その長さ(オクテット)が入る。48オクテット以上の場合には、SLには0が入る。PNは、同一のSAで送信されたパケットを識別するユニークなIDが入る4オクテットのフィールドである。SCIは、TCIのSCビットが1の場合に存在する、8オクテットのフィールドである。SCIは、SCを識別するために利用される。 In SL, when the length of encrypted data (secure data) is less than 48 octets, the length (octet) is entered. In the case of 48 octets or more, 0 is entered in SL. The PN is a 4-octet field in which a unique ID for identifying a packet transmitted with the same SA is entered. The SCI is an 8-octet field that exists when the SC bit of the TCI is 1. The SCI is used to identify the SC.
TCIフィールドのEビットが1の場合に、ユーザデータが暗号化される。そして、DA、SA、セキュアタグ、および暗号化データがメッセージ認証の範囲となる。 When the E bit of the TCI field is 1, user data is encrypted. DA, SA, secure tag, and encrypted data are within the range of message authentication.
再び図5を参照して、暗号器63は、キー選択部65またはSCI選択部66から受けたアソシエーション番号およびSCI選択部66から受けたSCI等をセキュリティタグに設定するとともに、セキュリティタグにおけるパケット番号を設定する。また、暗号器63は、フレーム種別識別部61から受けたデータフレームに含まれるユーザデータを、キー選択部65から受けた暗号化キーおよびSCI選択部66から受けたSCIを用いて暗号化する。
Referring to FIG. 5 again, the
暗号器63は、アソシエーション番号(AN)およびパケット番号(PN)等に加えてSCIを含むタグ(ロングタグ)をセキュアタグとして送信する動作を行なう。
The
図6(C)を参照して、SAI(Secure Association Number)は、SCIとANとを含む。SCIは、上述したように、システム識別子(System Identifier)と、ポート番号(Port Number)とを含む。なお、システム識別子が挿入されるフィールドは、6オクテットのフィールドである。ポート番号が挿入されるフィールドは、2オクテットのフィールドである。 Referring to FIG. 6C, SAI (Secure Association Number) includes SCI and AN. As described above, the SCI includes a system identifier (System Identifier) and a port number (Port Number). The field into which the system identifier is inserted is a 6-octet field. The field into which the port number is inserted is a 2 octet field.
本実施の形態においては詳細については後述するが、宅側装置(ONU)202は、制御フレームにおけるSCIの変化を検出することによって冗長切替が局側装置101において行なわれたことを検出するだけではなく、上記下りデータフレームにおけるSCIの変化を検出することによって冗長切替が局側装置101において行なわれたことを検出する。
Although details will be described later in the present embodiment, the home unit (ONU) 202 only detects that the redundancy switching has been performed in the
MACアドレスは、OSU12ごと(暗号デバイスごと)に異なっている。MACアドレスは、SCIの構成要素である。運用系OSUと待機系OSUとの間で冗長切替が発生すると、下りデータフレームにおけるSCIが変化する。したがってONU202は、下りデータフレームにおけるSCIの変化を検出することによって冗長切替が局側装置101において行なわれたことを検出することができる。
The MAC address is different for each OSU 12 (each encryption device). The MAC address is a component of SCI. When redundancy switching occurs between the active OSU and the standby OSU, the SCI in the downlink data frame changes. Therefore, the
<G.ONU202の要部の構成>
図7は、ONU202における制御部29および復号部20の構成を示す図である。図7を参照して、復号部20は、復号器51と、記憶部52と、SCI選択部53と、キー選択部54と、アソシエーション番号抽出部55と、フレーム種別識別部57とを含む。制御部29は、キー更新部81と、SCI作成部82と、切替処理部83と、MACアドレス更新部84と、制御フレーム処理部85と、データフレーム処理部86とを含む。データフレーム処理部86は、冗長切替検出部861と、データフレーム廃棄部862とを含む。
<G. Configuration of Main Parts of
FIG. 7 is a diagram illustrating the configuration of the
制御部29および復号部20における一部または全部のユニットは、宅側制御部としてたとえば1つの集積回路で実現される。なお、この集積回路は、ONU202における制御部29および復号部20以外の他のユニットをさらに含んでもよい。また、記憶部52は、制御部29に含まれてもよいし、その記憶領域が分割されて制御部29および復号部20に含まれてもよい。
A part or all of the units in the
復号部20において、記憶部52は、運用系OSUおよび待機系OSU間の冗長切替の前に用いる復号化キーである復号化キーを記憶する。より詳細には、記憶部52は、キー管理用テーブル60、ポート番号および切替先MACアドレス等の暗号化情報を記憶する。ここで、「切替先MACアドレス」は、運用系OSUのMACアドレスd1と、待機系OSUのMACアドレスd2とである。
In the
制御部29において、キー更新部81は、OSU12との暗号化通信に必要な復号化キーを取得し、取得した復号化キーを記憶部52に保存する。
In the
SCI作成部82は、自己のONU202の識別情報およびフレームの暗号元のOSU12の識別情報に基づいて、チャネル情報を作成する。たとえば、SCI作成部82は、チャネル情報として非特許文献2におけるSCI(Secure Channel Identifier)を作成し、記憶部52に保存する。この場合、前述のように、自己のONU202の識別情報はLLIDであり、フレームの暗号元のOSU12の識別情報はMACアドレスである。
The
キー更新部81およびSCI作成部82は、保護通信識別番号とSAK等の復号化キーとSCIとの対応関係を示すキー管理用テーブル60を作成し、記憶部52に保存する。たとえば、キー管理用テーブル60には、保護通信識別番号(AN)と、SAK等の暗号化キーと、パケット番号(PN)と、運用系OSUおよび待機系OSU間の冗長切替の前に用いるSCIが登録される。
The
復号部20において、フレーム種別識別部57は、光受信処理部22から受けたフレームにおけるタイプフィールドの内容を確認し、復号すべきフレームを判別する。具体的には、たとえば、フレーム種別識別部57は、データフレームをデータフレーム処理部86およびアソシエーション番号抽出部55へ出力し、制御フレームを制御部29へ出力する。
In the
データフレーム処理部86は、詳細については後述するが、下りデータフレームにおけるセキュアタグの内容に基づいた処理を行なう。データフレーム処理部86は、予め定められた基準を満たす下りデータフレームを復号器51に出力する。「予め定められた基準」については、後述する。
Although the details will be described later, the data
復号器51は、データフレーム処理部86から受けたデータフレームに含まれるユーザデータを、たとえば非特許文献2に記載の方法に従い、復号化キーおよびSCIを用いて復号し、バッファメモリ23へ出力する。
The
より詳細には、復号器51は、キー選択部54によってキー管理用テーブル60を参照することにより、アソシエーション番号抽出部55によって抽出された保護通信識別番号に対応する復号化キーを取得し、取得した復号化キーをデータフレームの復号に用いる。
More specifically, the
より詳細には、アソシエーション番号抽出部55は、フレーム種別識別部57から受けたデータフレームに含まれるアソシエーション番号を抽出し、抽出したアソシエーション番号をSCI選択部53およびキー選択部54へ出力する。また、アソシエーション番号抽出部55は、データフレームのセキュリティタグにおけるアソシエーション番号の変更を検知し、検知結果を切替処理部83に通知する。
More specifically, the association
キー選択部54は、アソシエーション番号抽出部55から受けたアソシエーション番号に対応する復号化キーをキー管理用テーブル60から取得し、当該アソシエーション番号および当該復号化キーを復号器51へ出力する。
The
SCI選択部53は、アソシエーション番号抽出部55から受けたアソシエーション番号に対応するSCIをキー管理用テーブル60から取得し、当該アソシエーション番号および当該SCIを復号器51へ出力する。
The
復号器51は、キー選択部54から受けた復号化キーおよびSCI選択部53から受けたSCIを用いて、フレーム種別識別部57から受けたデータフレームに含まれるユーザデータを復号し、バッファメモリ23へ出力する。
The
制御部29において、制御フレーム処理部85は、フレーム種別識別部57から受けた制御フレームの解析を行ない、解析結果に基づいてアクセス制御等の各種制御を行なう。
In the
MACアドレス更新部84は、自己のONU202と通信中のOSU12から、切替先のOSU12のMACアドレスの通知を制御フレーム処理部85経由で受けると、記憶部52におけるMACアドレスを、通知されたMACアドレスに書き換える。
When the MAC
(g1:切替処理部83による冗長切替の検知)
切替処理部83は、種々の方法でOSU冗長切替を検知する。たとえば、切替処理部83は、制御フレーム処理部85または光受信処理部22から受けた情報に基づいて、OSU冗長切替を検知する。
(G1: detection of redundant switching by the switching processing unit 83)
The switching
具体的には、光受信処理部22は、LoS(Loss of Signal)、すなわちONU202が局側装置101から送信される下り光信号を所定時間以上検出できない場合、その旨を切替処理部83に通知する。切替処理部83は、この通知を受けて、OSU冗長切替が発生したと判断する。すなわち、切替処理部83は、局側装置101からの下り光信号の途絶を、冗長切替の発生として検知する。
Specifically, the optical
また、切替処理部83は、OSU12からのタイムスタンプと自己のONU202のタイムスタンプとの差に基づいて、冗長切替の発生を検知する。
Further, the switching
より詳細には、制御フレーム処理部85は、OSU12から受信するMPCPフレームのタイムスタンプ値を監視し、当該タイムスタンプ値と自己のONU202のタイムスタンプ値との差が所定の閾値を超えた場合、タイムスタンプドリフトが発生したとして切替処理部83に通知する。切替処理部83は、タイムスタンプドリフトが発生した旨の通知を制御フレーム処理部85から受けて、OSU冗長切替が発生したと判断する。
More specifically, the control
また、OSU12が送信する下り制御フレームの送信元アドレスフィールドには、送信するMAC装置すなわちOSU12のMACアドレスが格納される。異なるMAC装置が同一のMACアドレスを使用することはできないため、送信元アドレスフィールドの値は、OSU冗長切替の前後で変わる。
Further, the MAC address of the transmitting MAC device, that is, the
そこで、切替処理部83は、局側装置101からの制御フレームの送信元アドレスの変化を、OSU冗長切替の発生として検知する。
Therefore, the switching
より詳細には、切替処理部83は、PON制御フレームの送信元アドレスが変化した旨の通知を制御フレーム処理部85から受けた場合、OSU冗長切替が発生したと判断する。
More specifically, when receiving a notification from the control
これにより、LoSを検出できない場合でも、また、冗長切替の前後で制御フレームのタイムスタンプのずれが小さい場合でも、切替処理部83は、OSU冗長切替の発生を検知することができる。
As a result, even when LoS cannot be detected, or even when the time stamp deviation of the control frame is small before and after redundancy switching, the switching
しかしながら、これらの方法では、どの暗号フレームとどの暗号フレームとの間で切り替えが生じたのかを、正確に検出できない。そこで、本実施の形態では、冗長切替検出部861を設けている。
However, with these methods, it is not possible to accurately detect which cipher frame is switched between which cipher frame. Therefore, in this embodiment, a redundancy
(g2.冗長切替検出部861による冗長切替の検出)
以下では、データフレーム処理部86における冗長切替検出部861の処理について説明する。なお、説明を簡略化するため、OSU12とONU202との間の1つの暗号化経路(セキュア経路)に着目して説明する。
(G2. Redundancy switching detection by the redundancy switching detection unit 861)
Hereinafter, processing of the redundancy switching
冗長切替検出部861は、SCIにおけるチャネル識別子の変化を検出することによって、冗長切替が局側装置101において行なわれたことを検出する。具体的には、チャネル識別子は運用系OSUとして機能しているOSUに固有の物理アドレスであるMACアドレスを含むため、冗長切替検出部861は、MACアドレスの変化を検出することによって、冗長切替が局側装置101において行なわれたことを検出する。
The redundancy
より詳しくは、ONU202は、運用系OSUのMACアドレスと、待機系OSUのMACアドレスを予め記憶しており、冗長切替検出部861は、MACアドレスが運用系OSU12のMACアドレスから待機系OSUのMACアドレスに変化したことを検出したことに基づき、冗長切替が行なわれたことを検出する。
More specifically, the
以上のように、ONU202は、ユーザデータを暗号化した暗号化データに対して関連付けされたチャネル識別子(暗号化通信に用いられるチャネル識別子)の変化を検出することにより、冗長切替の発生を検出する。具体的には、ONU202は、下りデータフレームに含まれるSCIの変化を検出することにより、冗長切替の発生を検出する。さらに具体的には、ONU202は、SCIに含まれるシステム識別子の変化を検出することにより、冗長切替の発生を検出する。より具体的には、PONシステム302では、システム識別子としてMACアドレスが用いられるため、ONU202は、SCIに含まれるMACアドレスの変化を検出することにより、冗長切替の発生を検出する。
As described above, the
(g3.データフレーム廃棄部862によるデータフレームの廃棄)
以下では、データフレーム処理部86におけるデータフレーム廃棄部862における処理について説明する。データフレーム廃棄部862は、上述した「Replay Protection」を実行する。また、「受信した下りデータフレームのパケット番号が、直前に受信した下りデータフレームのパケット番号よりも閾値以上小さくない」ことを、「予め定められた基準」と定義する。換言すれば、「予め定められた基準」とは、パケット番号と、当該パケット番号を含む下りデータフレームの直前に受信した下りデータフレームのパケット番号との差(絶対値)が閾値以下であることをいう。
(G3. Data frame discarding by the data frame discarding unit 862)
Hereinafter, processing in the data
(1)廃棄処理の原則ルール
データフレーム廃棄部862は、受信した下りデータフレームF_newのパケット番号が当該下りデータフレームF_newの直前に受信した下りデータフレームF_oldのパケット番号よりも閾値以上小さい場合には、当該下りデータフレームF_newを廃棄する。たとえば、閾値を「10」とし、直前に受信した下りデータフレームF_oldのパケット番号が「100」の場合、データフレーム廃棄部862は、受信した下りデータフレームF_newのパケット番号が「90」以下なら当該下りデータフレームF_newを廃棄する。つまり、データフレーム廃棄部862は、受信した下りデータフレームが、当該下りデータフレームの直前に受信した下りデータフレームとの関係において、予め定められた基準を満たしてないときには、最新の下りデータフレームを廃棄する。
(1) Principle rule of discard processing The data
このように、データフレーム廃棄部862は、パケット番号が予め定められた基準を満たさない場合に、当該パケット番号を含む下りデータフレームを廃棄する。
In this way, the data
(2)廃棄処理の例外ルール(冗長切替に伴うPNの飛躍の許容)
データフレーム廃棄部862は、冗長切替が局側装置101で行なわれた場合には、新たに運用系OSU12として機能したOSU12から最初に送られてくる下りデータフレームに関しては、パケット番号に関係なく廃棄の対象とはしない。つまり、データフレーム廃棄部862は、MACアドレスの変化が検出された場合には、当該変化が検出されたMACアドレスを含む下りデータフレームのパケット番号に関係なく、当該下りデータフレームを廃棄しない。さらに換言すれば、データフレーム廃棄部862は、局側装置101において冗長切替が発生した場合、「Replay Protection」を無効にし、下りデータフレームが廃棄されることを防ぐ。このような処理を行なう理由は、冗長切替が行なわれた場合には、冗長切替の前後における下りデータフレームのパケット番号が大きく変化(飛躍)することがあるためである。
(2) Exception rule for disposal (allowance of PN jump due to redundancy switching)
The data
ただし、データフレーム廃棄部862は、変化が検出されたSCIを含む下りデータフレームが廃棄されなかった場合、当該下りデータフレームの次に受信する下りデータフレームについては、当該次に受信する下りデータフレームのパケット番号と、当該変化が検出されたSCIを含む下りデータフレームのパケット番号との差に基づき、廃棄するか否かを判断する。つまり、データフレーム廃棄部862は、さらなる冗長切替が行なわれない限り、PNの飛躍を許容しない。
However, when the downlink data frame including the SCI in which the change is detected is not discarded, the data
<H.ポート毎の処理>
上記の冗長切替検出部861による冗長切替の検出処理およびデータフレーム廃棄処理の説明においては、説明を簡略化するために、1つの暗号化経路に着目して説明を行なった。以下では、当該検出処理および廃棄処理を複数の暗号化経路に適用する場合の説明を行なう。
<H. Processing per port>
In the description of the redundancy switching detection process and the data frame discarding process performed by the redundancy switching
OSU12およびONU202の各々は、上述したように複数のポートを有している。つまり、OSU12およびONU202は、互いに通信を行なうために、複数の暗号化経路を有している。たとえば、OSU12およびONU202は、ユニキャスト通信を行なうための暗号化経路と、マルチキャスト通信を行なうための暗号化経路とを有している。
Each of the
図8は、複数の暗号化経路を説明するための図である。図8を参照して、運用系OSU12および待機系OSUの各々は、ユニキャスト通信用のポート1201と、マルチキャスト通信用のポート1202とを有する。ONU202は、ユニキャスト通信用のポート2021と、マルチキャスト通信用のポート2022とを有する。
FIG. 8 is a diagram for explaining a plurality of encryption paths. Referring to FIG. 8, each of the
暗号化経路401Aは、運用系OSU12のユニキャスト通信用のポート1201と、ONU202のユニキャスト通信用のポート2021とにより構成されるユニキャスト通信用の暗号化経路である。暗号化経路402Aは、運用系OSU12のマルチキャスト通信用のポート1202と、ONU202はマルチキャスト通信用のポート2022とにより構成されるマルチキャスト通信用の暗号化経路である。
The
冗長切替が行なわれ図8の待機系OSU12が運用系OSUに切り替わったときには、暗号化経路401Bがユニキャスト通信に用いられ、暗号化経路402Bがマルチキャスト通信に用いられる。
When the redundancy switching is performed and the
ONU202のユニキャスト通信用のポート2021およびマルチキャスト通信用のポート2022は、運用系OSU12から送信された下りデータフレームを受信する。また、ONU201は、暗号化経路毎に、上述した、冗長切替検出部861による冗長切替の検出処理と、データフレーム廃棄部862によるデータフレームの廃棄処理とを行なう。以下、具体的に説明する。
The
SCIは、上述したようにポート番号を含んでいる(図6(C))。そこで、冗長切替検出部861は、ONU202が下りデータフレームを受信すると、当該下りデータフレームに含まれるMACアドレスの変化(つまり、システム識別子の変化)だけではなく、ポート番号についても監視する。
The SCI includes the port number as described above (FIG. 6C). Therefore, when the
冗長切替検出部861は、ポート番号毎に、MACアドレスの変化に基づいた冗長切替の検出と、上述した下りデータフレームの廃棄処理とを行なう。これは、以下の理由による。PONシステム302においては、上述したように、ユニキャスト通信用の暗号化経路と、マルチキャスト通信用の暗号化経路とが存在する。このため、局側装置101において冗長切替が行なわれた場合、ONU202は、MACアドレスの変化を検出するだけでは、暗号化経路の区別がつかない。しかしながら、ONU202は、ポート2021,2022(この場合復号側のポート)の区別をポート番号でできる。そこで、ONU202の冗長切替検出部861は、ポート番号毎にMACアドレスの変化を監視することにより復号側ポート2021,2022毎の暗号化元デバイス(つまりOSU12)の冗長切替を検出可能となる。
For each port number, the redundancy switching
図9は、運用系OSUから待機系OSUへのデータ転送について説明するための図である。図9を参照して、運用系OSU12の通知部(PON制御部36および制御IF部32)は、ポート番号毎(つまり、LLID毎)に、図5において説明したキー管理用テーブル70のANとキーとを、待機系OSU12に転送する。運用系OSU12は、たとえば、運用系OSU12のキー管理用テーブル70が更新されたことに基づき、キー管理用テーブル70を待機系OSU12に転送する。なお、当該転送のタイミングは、特に限定されるものではない。このように、運用系OSU12は、記憶部62のキー管理用テーブル70において対応付けて記憶されたANとキーとPNとのうちのANとキーとを、予め定められたタイミングで、局側装置101における待機系OSU12に通知する。つまり、運用系OSU12は、PNについては待機系OSU12に通知しない。
FIG. 9 is a diagram for explaining data transfer from the active OSU to the standby OSU. Referring to FIG. 9, the notification unit (
待機系OSU12は、予め記憶していたキー管理用テーブル70を、ポート番号毎に、運用系OSU12から受け取ったポート番号毎のANおよびキーを用いて更新する。つまり、待機系OSU12は、運用系OSU12が冗長切替直前まで使用していたANのキーでの暗号化を引き継ぐ。なお、待機系OSU12は、運用系OSU12に切り替わった場合には、PNは任意の値を使用する。これは、上述したように、ONU202が冗長切替に伴うPNの飛躍を許容する構成であるため、待機系OSU12は運用系OSU12からPNを引き継ぐ必要がないためである。
The
これにより、運用系OSU12から待機系OSU12への冗長切替が行なわれる場合であっても、既にANおよびキーが待機系OSU12に転送されているため、迅速な冗長切替を行なうことが可能となる。また、待機系OSU12は、PNを引き継ぐ必要がないため、PNを引き継ぐ場合に比べて冗長切替に要する時間を短縮できる。
As a result, even when redundancy switching from the
<I.ONU202における制御構造>
図10は、ONU202における処理の流れを説明するためのフローチャートである。図10を参照して、ステップS2において、ONU202は、下りデータフレームを受信したか否かを判断する。ONU202は、受信したと判断した場合(ステップS2においてYES)、ステップS4において、当該下りデータフレームに含まれるポート番号が自ポートの番号であるか否かを判断する。ONU202は、受信していないと判断した場合(ステップS2においてNO)、処理をステップS2に戻す。
<I. Control structure in
FIG. 10 is a flowchart for explaining the flow of processing in the
ONU202は、自ポートの番号であると判断した場合(ステップS4においてYES)、ステップS6において、前回受信した自ポート宛ての下りデータフレームとの比較において、セキュアタグ内のANが変更されているか否かを判断する。ONU202は、自ポートの番号でないと判断した場合(ステップS4においてNO)、処理をステップS20に進める。
If the
ONU202は、ANが変更されていると判断した場合(ステップS6においてYES)、ステップS14において、PNを、受信した下りデータフレームに含まれるPNを用いて更新する。ステップS16において、ONU202は、新たしいAN(変更されたAN)に対応付けられたキー(SAK)を用いて復号処理を行なう。
When the
ONU202は、ANが変更されていないと判断した場合(ステップS6においてNO)、ステップS8において、システム識別子に変化があるか否かを判断する。具体的には、ステップS8において、ONU202は、前回受信した自ポート宛ての下りデータフレームとの比較において、MACアドレスに変化があるか否かを検出する。つまり、ONU202は、下りデータフレームのSCIに含まれるシステム識別子(本実施の形態ではMACアドレス)に基づいて、冗長切替が局側装置101において行なわれたか否かを判断する。
When the
ONU202は、システム識別子の変化を検出した場合(ステップS8においてYES)、ステップS10において、PNを、受信した下りデータフレームに含まれるPNを用いて更新する。ステップS12において、ONU202は、当該下りフレームデータを復号する。
When the
ONU202は、システム識別子の変化を検出しなかった場合(ステップS8においてNO)、ステップS18において、当該受信した下りフレームデータを廃棄するか否かを判断するために、受信した下りデータフレームに含まれるPNが前回受信した下りデータフレームに含まれるPNとの関係において適切であるか否かを判断する。つまり、ステップS18において、受信した下りデータフレームに含まれるPNが、上述した予め定められた基準を満たしているか否かを判断する。
If the
ONU202は、適切であると判断した場合(ステップS18においてYES)、処理をステップS10に進める。ONU202は、適切でないと判断した場合(ステップS18においてNO)、Replay Attackを検出したとして、ステップS20において、当該受信した下りデータフレームを廃棄する。この場合には、当該下りデータフレームは、復号器51には送られない。
When the
以上のように、ONU202は、システム識別子の変化があれば、冗長切替が局側装置101において行なわれたものとして、PNが予め定められた基準を満たすか否かを判断することなく、既に記憶されたPNを受信した下りデータフレームのPNを用いて更新する。その一方、ONU202は、システム識別子の変化がなければ、受信した下りデータフレームが成りすまし等のフレームであると判断し、Replay Protectionによって当該下りデータフレームを廃棄する。
As described above, if there is a change in the system identifier, the
図11は、IEEE802.1Xにおいて、あるセキュアチャネル(セキュア経路)で暗号化通信を始める場合の手順を説明する図である。なお、実施の形態1との対比のために、シーケンスを示すための符号は、図2と同様の符号を用いている。図11を参照して、まず、そのセキュアチャネルの識別子(SCI)を使って、当該チャンネルでセキュアな通信を行なう相手を見つけるディスカバリ(MKA Discovery)が実行される。当該SCIを使って局側装置からONUにキーを配布し、その上で暗号化通信が開始される。 FIG. 11 is a diagram for explaining a procedure for starting encrypted communication on a certain secure channel (secure route) in IEEE 802.1X. For comparison with the first embodiment, the same reference numerals as those in FIG. 2 are used as the reference numerals for indicating the sequences. Referring to FIG. 11, first, discovery (MKA Discovery) for finding a partner to perform secure communication on the channel is performed using the identifier (SCI) of the secure channel. Using the SCI, a key is distributed from the station side device to the ONU, and then encrypted communication is started.
より具体的に説明すると、まず、ONUがPON回線に接続される(リンクアップする)。OSU12_1は、MKA Discoveryを実行して、あるセキュアチャネルのSCI(これを「SCI_1とする」)を使って通信する相手、すなわちONU202を見つける。つまり、OSU12_1とONU202とによりディスカバリが実行される。
More specifically, first, the ONU is connected to the PON line (links up). The OSU 12_1 executes MKA Discovery and finds a communication partner, that is, the
次に、OSU12_1は、当該SCI(SCI_1)を使ってONU202にキー(これを「Key_1」とする)を配布する。これにより暗号化通信が開始されて、ONU202は、OSU12_1において暗号化されたデータを復号することができる。
Next, the OSU 12_1 distributes a key (referred to as “Key_1”) to the
冗長切替によって、OSU12_N+1が、運用系OSUとして機能し始める。この場合、OSU12_1は、待機系OSUとして機能し始める。OSUの切替えによって暗号デバイスも切替わる。 Due to the redundancy switching, the OSU 12_N + 1 starts to function as the active OSU. In this case, the OSU 12_1 starts to function as a standby OSU. The encryption device is also switched by switching the OSU.
標準(IEEE802.1X)では、切替後の暗号デバイス(OSU12_N+1)が、MKA Discoveryを実行して、新しいセキュアチャネルのSCI(これを「SCI_2」とする)を使って通信する相手、すなわちONU202を見つける。つまり、OSU12_N+1とONU202とによりディスカバリが実行される。
In the standard (IEEE 802.1X), the switched cryptographic device (OSU12_N + 1) executes MKA Discovery and finds a communication partner, that is, the
OSU12_N+1は、当該SCI(SCI_2)を使ってONU202にキー(これを「Key_2」とする)を配布する。これにより暗号化通信が開始されて、ONU202は、OSU12_N+1において暗号化されたデータを復号することができる。
The OSU 12_N + 1 distributes a key (referred to as “Key_2”) to the
しかしながら、OSUの冗長切替後、MKA Discoveryおよびキーの配布が行なわれるために、暗号化通信が一時的に停止する。通信が停止する期間が長くなると、通信品質の劣化という課題が発生する。 However, after the OSU redundancy switching, the MKA Discovery and the key distribution are performed, so that the encrypted communication is temporarily stopped. When the period during which communication is stopped becomes longer, a problem of communication quality degradation occurs.
図12は、本発明の実施の形態1に係る手順を説明するための図である。図12を参照して、実施の形態1では、ONUにおいて、冗長切替後に使用するSCIを保持する。局側装置において暗号デバイスが切り替わると、切替前のセキュアチャネルで使っていたキーおよび、予め用意されている切替後のSCIを用いてすぐに復号を開始することができる。 FIG. 12 is a diagram for explaining the procedure according to the first embodiment of the present invention. Referring to FIG. 12, in the first embodiment, the ONU holds the SCI used after redundancy switching. When the encryption device is switched in the station side device, the decryption can be started immediately using the key used in the secure channel before switching and the SCI after switching prepared in advance.
実施の形態1によれば、ONUがPON回線に接続された(リンクアップした)ときにOSUとONUとの間でディスカバリが実行され、冗長切替後においてチャネル識別子が切替わってもチャネル識別子の切替えに伴うディスカバリを実行しない。したがって実施の形態1によれば、局側装置の冗長切替にともなう暗号化通信の停止期間が短縮される。したがって通信品質を向上させることができる。なお、局側装置のこのような制御は、たとえば、OSU12のPON制御部36によって実行されてもよく、局側装置101の全体制御部11によって実行されてもよい。
According to the first embodiment, when an ONU is connected to a PON line (linked up), discovery is performed between the OSU and the ONU, and the channel identifier is switched even if the channel identifier is switched after redundancy switching. Do not perform discovery associated with. Therefore, according to the first embodiment, the encryption communication stop period due to redundancy switching of the station side device is shortened. Therefore, communication quality can be improved. Note that such control of the station side device may be executed by, for example, the
<J.変形例>
(j1)待機系OSU12の暗号化通信に用いる識別子(SCI)を、当該待機系OSU12への冗長切替の前にONU202に通知するように、OSU12を構成してもよい。つまり、待機系OSU12が、ONU202に対して、暗号化通信に用いるチャネル識別子(SCI)を直接設定するように、PONシステム302を構成してもよい。
<J. Modification>
(J1) The
具体的には、運用系OSU12から待機系OSUへの冗長切替が行なわれる前に、待機系OSU12が、当該待機系OSU12の暗号化通信に用いるチャネル識別子(SCI)をONU202へ送信するように、PONシステム302を構成してもよい。
Specifically, before the redundant switching from the
(j2)待機系OSU12のMACアドレスを、EAPOL−MKA、あるいは拡張OAM(拡張保守監視機能)を用いてONU202へ送信するように、局側装置101を構成してもよい。この場合、ONU202は、局側装置101から送られてきた待機系OSU12のMACアドレスを記憶すればよい。
(J2) The station-
(j3)冗長切替検出部861をチップ化して、冗長切替検出部861を、ONU202の代わりに、局側装置101における冗長切替を検出する切替検出装置として機能させてもよい。あるいは、データフレーム処理部86をチップ化して、データフレーム処理部86を、ONU202の代わりに切替検出装置として機能させてもよい。つまり、切替検出装置は、ONU202全体ではなく、ONU202の中に含まれる、単体装置または複数装置の集合体であってもよい。
(J3) The redundancy
(j4)上記においては、MACアドレスの変化に基づいて冗長切替発生の有無を検出したが、ONU202は、MACアドレスを元にした値(たとえば、MACアドレスおよびLLID)であれば冗長切替発生の有無を検出できる。
(J4) In the above description, the presence / absence of occurrence of redundant switching is detected based on the change in the MAC address. However, if the
(j5)上記においては、運用系OSU12から待機系OSU12への冗長切替の検出を例に挙げて説明したが、これに限定されるものではない。冗長切替以外に発生する、あるOSU12から他のOSU12への切替に対して、上述した各処理を適用できる。
(J5) In the above description, the detection of redundant switching from the
このような冗長切替以外の切替としては、たとえば、サービス中において負荷平準化のために通信経路を分散させるための切り替え、サービス中において省電力のために通信経路の集約をするための切り替えが挙げられる。つまり、通信量の多寡によって、起動されるMACチップの数を増減させる際に、冗長切替以外の切り替えが発生する。 Examples of such switching other than redundancy switching include switching for distributing communication paths for load leveling during service, and switching for collecting communication paths for power saving during service. It is done. That is, switching other than redundant switching occurs when increasing or decreasing the number of activated MAC chips due to the amount of communication.
(j6)上記においては、光回線の暗号デバイスがOSUである場合を例に挙げて説明したが、これに限定されるものではない。光回線の暗号デバイスは、OSUそのものではなく、OSUに搭載(内蔵)されるMACチップであればよい。また、複数のMACチップを備えたOSUであって、当該複数のMACチップが同一の光トランシーバを共用する構成の場合においては、当該複数のMACチップ間での切替についても上述した切替手法を適用できる。 (J6) In the above description, the case where the optical line encryption device is an OSU has been described as an example. However, the present invention is not limited to this. The encryption device for the optical line may be a MAC chip mounted (incorporated) in the OSU, not the OSU itself. Further, in the case of an OSU including a plurality of MAC chips and a configuration in which the plurality of MAC chips share the same optical transceiver, the switching method described above is also applied to switching between the plurality of MAC chips. it can.
次に本発明の他の実施形態について説明する。なお、PONシステムの概略構成は、図1に示す構成と同様である。また、局側装置101におけるOSU12の構成は図3に示される構成と同様である。さらに、ONU202の構成は図4に示される構成と同様である。したがって、以下では、PONシステム、局側装置(OSUを含む)、および宅側装置の構成については詳細な説明を繰り返さない。
Next, another embodiment of the present invention will be described. The schematic configuration of the PON system is the same as the configuration shown in FIG. The configuration of the
また、実施の形態1と同じく以下の実施の形態でも、ONUがPON回線に接続された(リンクアップした)ときに局側装置とONUとの間でディスカバリが実行される一方、冗長切替後においてチャネル識別子が切替わっても、局側装置101およびONU202の間では、チャネル識別子の切替えに伴うディスカバリが実行されない。したがって以下の実施の形態にによれば、局側装置の冗長切替にともなう暗号化通信の停止期間が短縮されるので、通信品質を向上させることができる。
Similarly to the first embodiment, in the following embodiment, when the ONU is connected to the PON line (link-up), discovery is executed between the station side device and the ONU. Even when the channel identifier is switched, discovery associated with the switching of the channel identifier is not executed between the
さらに、以下の実施の形態においても「<H.ポート毎の処理>」で説明された、検出処理およびフレーム廃棄処理を複数の暗号化経路に適用することができる。ただし説明を簡略化するために、以下では、1つの暗号化経路に着目して説明を行なう。 Furthermore, also in the following embodiments, the detection process and the frame discard process described in “<H. Processing for Each Port>” can be applied to a plurality of encryption paths. However, in order to simplify the description, the following description will be given focusing on one encryption path.
[実施の形態2]
暗号フレームに付けられるセキュリティタグ(Sec TAG)がロングタグである場合、そのセキュリティタグにはSCIが含まれる。実施の形態1では、セキュリティタグに含まれるSCIの切替を検知することによって、局側装置における暗号デバイスの切替を検出することができる。
[Embodiment 2]
When the security tag (Sec TAG) attached to the encryption frame is a long tag, the security tag includes SCI. In the first embodiment, it is possible to detect the switching of the encryption device in the station side device by detecting the switching of the SCI included in the security tag.
セキュリティタグは、AN,PN(図6を参照)を含むが、SCIはオプションである。したがって、SCIを含まないセキュリティタグ(ショートタグ)が暗号フレームに付される可能性もある。 Security tags include AN and PN (see FIG. 6), but SCI is optional. Accordingly, there is a possibility that a security tag (short tag) that does not include the SCI is attached to the encryption frame.
ショートタグが選択された場合、暗号フレームからSCIを直接、判別することができない。実施の形態2では、そのような場合にも、ONUは、局側装置における暗号デバイスの切替を検出することができる。以下、実施の形態2に係る暗号デバイスの切替の検出について詳細に説明する。ONU202の他の点については実施の形態1と同様であり、たとえば「<G.ONU202の要部の構成>」の説明を適用できるので、特に詳細な説明を繰り返さない。
When the short tag is selected, the SCI cannot be discriminated directly from the encryption frame. In the second embodiment, even in such a case, the ONU can detect the switching of the encryption device in the station side device. Hereinafter, detection of the switching of the cryptographic device according to the second embodiment will be described in detail. The other points of the
図13は、PONシステム302で行なわれる、実施の形態2に係る処理の概要を説明するためのシーケンスチャートである。図13を参照して、シーケンスSQ13,SQ13Aが追加される点で、実施の形態2に係る処理は、実施の形態1に係る処理(図12を参照)と異なる。
FIG. 13 is a sequence chart for explaining an outline of the processing according to the second embodiment performed in the
切替先のOSU(OSU12_N+1)は、シーケンスSQ13において、ONU202に、EAPOL-MKAフレームを送信する。EAPOL-MKAフレームは、IEEE802.1Xで定義される、セキュリティ用の制御フレームである。ONU202は、切替先のOSU(OSU12_N+1)からのEAPOL-MKAフレームを受信する。シーケンスSQ13Aにおいて、ONU202は、EAPOL-MKAフレームに含まれる上記SCIの変化に基づき、暗号デバイスの切替が局側装置101で行なわれたことを検出する。シーケンスSQ14において、OSU12_N+1が、OSU12_1に代わり、下りデータフレームをONU202に送信する。
The switching destination OSU (OSU12_N + 1) transmits an EAPOL-MKA frame to the
実施の形態2では、実施の形態1と同じく、暗号デバイスの切替の前後で、同じキーが用いられる。また、局側装置101およびONU202の両方において、SCI以外の情報については暗号デバイスの切替前の情報が引き継がれる。したがって実施の形態2によれば、局側装置の冗長切替にともなう暗号化通信の停止期間を短縮できるので、通信品質を向上させることができる。
In the second embodiment, as in the first embodiment, the same key is used before and after the encryption device is switched. Further, in both the
図14は、IEEE802.1Xで定義されている、EAPOL-MKAフレームのフレームフォーマットを説明するための図である。図14を参照して、MAC SAのフィールドには、PON制御デバイスのMACアドレスが入る。なお、PON制御デバイスのMACアドレスとは別のMACアドレスをSCIのSystem IDとして使用する場合も考えられる。ただしこの場合にも、MAC SAのフィールドには、PON制御デバイスのMACアドレスが入るのが適切である。 FIG. 14 is a diagram for explaining the frame format of the EAPOL-MKA frame defined by IEEE 802.1X. Referring to FIG. 14, the MAC address of the PON control device is entered in the MAC SA field. It is also possible to use a MAC address different from the MAC address of the PON control device as the SCI System ID. In this case, however, it is appropriate that the MAC address of the PON control device is entered in the MAC SA field.
Packet Bodyは可変長のフィールドであり、複数のパラメータセット(Parameter Set)を格納することができる。ここでBasic Parameterは必須のパラメータセットである。 Packet Body is a variable-length field, and can store a plurality of parameter sets (Parameter Set). Here, Basic Parameter is an essential parameter set.
図15は、図14に示されたBasic Parameter Setの構造を示した図である。図15を参照して、Basic Parameter Setは、SCIが格納されるSCIフィールドを含む。 FIG. 15 is a diagram showing the structure of the Basic Parameter Set shown in FIG. Referring to FIG. 15, Basic Parameter Set includes an SCI field in which SCI is stored.
図16は、実施の形態2に係るONU202の処理の流れを示したフローチャートである。図16では、特に、SCIの切替の検出に関する処理を説明する。図16を参照して、ステップS22において、ONU202は、EAPOL−MKAフレームを受信したか否かを判断する。ONU202は、EAPOL−MKAフレームを受信したと判断した場合(ステップS22においてYES)、ステップS24においてシステム識別子の変化を検出する。EAPOL−MKAフレームを受信していないと判断した場合(ステップS22においてNO)、ONU202は、処理をステップS22に戻す。
FIG. 16 is a flowchart showing a process flow of the
ステップS26において、ONU202は、下りデータフレームを受信したか否かを判断する。下りデータフレームを受信したと判断した場合(ステップS26においてYES)、ONU202は、ステップS28において、PNを、受信した下りデータフレームに含まれるPNを用いて更新する。一方、下りデータフレームを受信していないと判断した場合(ステップS26においてNO)、ONU202は、処理をステップS26に戻す。ステップS30において、ONU202は、当該下りフレームデータを復号する。
In step S26, the
上記のように実施の形態2によれば、暗号フレームに付けられるセキュリティタグ(Sec TAG)がショートタグである場合にも、ONU202は、EAPOL−MKAフレームによって、SCIの切替を検出する。これによりONU202は、局側装置における暗号デバイスの切替を検出することができる。
As described above, according to the second embodiment, even when the security tag (Sec TAG) attached to the encryption frame is a short tag, the
[実施の形態3]
実施の形態3では、実施の形態2と同様に、局側装置からONUに、EAPOL-MKAフレームが送信される。ただし、EAPOL-MKAフレームが送信されるタイミングの点で実施の形態3は実施の形態2と異なる。ONU202の他の点については実施の形態1と同様であり、たとえば「<G.ONU202の要部の構成>」の説明を適用できるので、特に詳細な説明を繰り返さない。
[Embodiment 3]
In the third embodiment, as in the second embodiment, an EAPOL-MKA frame is transmitted from the station side device to the ONU. However, the third embodiment differs from the second embodiment in terms of the timing at which the EAPOL-MKA frame is transmitted. The other points of the
図17は、PONシステム302で行なわれる、実施の形態3に係る処理の概要を説明するためのシーケンスチャートである。図13および図17を参照して、シーケンスSQ13の処理に代えてシーケンスSQ7の処理が追加される点で、実施の形態3に係る処理は、実施の形態2に係る処理と異なる。
FIG. 17 is a sequence chart for explaining the outline of the processing according to the third embodiment performed in the
シーケンスSQ7は、冗長切替(シーケンスSQ8)よりも前に実行される処理を示している。シーケンスSQ7において、切替元のOSU(OSU12_1)は、ONU202に、EAPOL-MKAフレームを送信する。EAPOL-MKAフレームは、OSUの冗長切替の後で使用されるSCIを含む。シーケンスSQ13Aにおいて、ONU202は、EAPOL-MKAフレームを受信することで、暗号デバイスの切替の後で使用されるSCIを取得する。
Sequence SQ7 shows processing executed before redundancy switching (sequence SQ8). In sequence SQ7, the switching source OSU (OSU12_1) transmits the EAPOL-MKA frame to the
EAPOL-MKAフレームは、局側装置101での暗号デバイスの切替に先立ってONU202に送信される。したがって、ONU202は、EAPOL-MKAフレームを受信することにより、局側装置101での暗号デバイスの切替を検出することができる。ONU202による暗号デバイスの切替の検出は、暗号デバイスの切替が発生していれば可能であり、暗号デバイスが切替わる前、暗号デバイスの切替中、暗号デバイスの切替後のいずれに行なわれてもよい。
The EAPOL-MKA frame is transmitted to the
実施の形態3では、実施の形態1,2と同じく、暗号デバイスの切替の前後で、同じキーが用いられる。また、局側装置101およびONU202の両方において、SCI以外の情報については暗号デバイスの切替前の情報が引き継がれる。したがって実施の形態3によれば、局側装置の冗長切替にともなう暗号化通信の停止期間を短縮できるので、通信品質を向上させることができる。
In the third embodiment, the same key is used before and after the encryption device switching, as in the first and second embodiments. Further, in both the
なお、実施の形態2,3では、局側装置から送られるEAPOL−MKAフレームによってONU202は暗号デバイスの切替を検出する。しかし暗号デバイスの切替を検出するために用いられるフレームは、EAPOL−MKAフレームに限定されない。局側装置は、MAC SAが暗号デバイスのMACアドレスに一致する任意のPON制御フレームを送信するのでもよい。PON制御フレームに含まれるMAC SAが、SCIの一部である、切替先の暗号デバイスのMACアドレスと一致した場合に、ONUが、局側装置における暗号デバイスの切替えを検出してもよい。また、そのPON制御フレームの送信のタイミングは、OSU(暗号デバイス)の切替えの前でもよく、OSU(暗号デバイス)の切替後であってもよい。
In the second and third embodiments, the
[実施の形態4]
実施の形態4では、実施の形態2,3と同じく、SCIを含まないセキュリティタグ(ショートタグ)が暗号フレームに付された場合であっても、ONU202は、局側装置における暗号デバイスの切替を検出することができる。
[Embodiment 4]
In the fourth embodiment, similar to the second and third embodiments, even when a security tag (short tag) that does not include the SCI is attached to the encryption frame, the
図18は、実施の形態4に係るONUにおける復号部20の主な構成を示す図である。図18を参照して、復号部20は、復号器51_1,51_2と、記憶部52と、SCI選択部53_1,53_2と、キー選択部54と、セレクタ58とを備える。
FIG. 18 is a diagram illustrating a main configuration of the
暗号化データを含むフレーム(図18において「暗号フレーム」と示す)は、復号器51_1および復号器51_2の両方に入力される。復号器51_1は、SCI選択部53_1によって選択されたSCI(SCI_1とする)と、キー選択部54によって選択されたキー(Key_1)とを用いて、暗号フレームを復号する。復号器51_2は、SCI選択部53_2によって選択されたSCI(SCI_2とする)と、キー選択部54によって選択されたキー(Key_1)とを用いて、暗号フレームを復号する。
A frame including encrypted data (shown as “encrypted frame” in FIG. 18) is input to both the decryptor 51_1 and the decryptor 51_2. The decryptor 51_1 decrypts the cipher frame using the SCI selected by the SCI selection unit 53_1 (referred to as SCI_1) and the key (Key_1) selected by the
記憶部52は、パラメータ管理テーブル60aを予め記憶する。パラメータ管理テーブル60aには、暗号フレームの復号のための復号化キーKey_1と、切替元の暗号デバイスに関連付けられたSCI(SCI_1)と、切替先の暗号デバイスに関連付けられたSCI(SCI_2)とが格納される。これらのSCIは、たとえば局側装置101から予め送られるフレームに含まれている。ONU202は、そのフレームを受信することによりSCIを取得することができる。
The
SCI選択部53_1は、パラメータ管理テーブル60aからSCI_1を選択して、復号器51_1にSCI_1を送信する。SCI選択部53_2は、パラメータ管理テーブル60aからSCI_2を選択して、復号器51_2にSCI_2を送信する。 The SCI selection unit 53_1 selects SCI_1 from the parameter management table 60a, and transmits SCI_1 to the decoder 51_1. The SCI selection unit 53_2 selects SCI_2 from the parameter management table 60a, and transmits SCI_2 to the decoder 51_2.
セレクタ58は、復号器51_1,51_2のうち、暗号フレームの復号に成功したほうの復号器から出力される平文フレームをバッファメモリへと転送する。復号に成功した復号器からの平文データを選択するために、たとえば復号器51_1,51_2の各々は、暗号フレームの復号に成功したか否かを示す信号をセレクタ58に送ってもよい。セレクタ58の動作は、暗号フレームの復号に成功した復号器の変化を示す。したがって、セレクタ58は、局側装置101における暗号デバイスの切替を検出する機能を実現する。
The
なお、復号器51_1,51_2の各々からの信号をセレクタ58が直接受けるように限定されない。図19は、実施の形態4に係るONU202の復号部20の他の構成例を示した図である。図19に示されるように、セレクタ58を制御するための制御部59が復号部20に設けられてもよい。制御部59は、復号器51_1,51_2の各々から、復号が成功したか否かを示す信号を受けてセレクタ58を制御する。この構成では、制御部59が、局側装置101における暗号デバイスの切替を検出する機能を実現する。
Note that the
さらに、制御部59に代えて、ONU202の制御部29(図4を参照)が、復号器51_1,51_2の各々から、復号が成功したか否かを示す信号を受けてセレクタ58を制御してもよい。この場合には、制御部29が、局側装置101における暗号デバイスの切替を検出する機能を実現する。
Further, instead of the
なお、図18および図19に示された構成では、復号器53_1,53_2は並列に設けられており、暗号フレームが複製される。しかし、復号器53_1,53_2を直列に配置して、暗号フレームの複製を不要としてもよい。ONU202の他の点については、実施の形態1,2,3と同様であるので、以後の説明を繰り返さない。
In the configuration shown in FIGS. 18 and 19, the decoders 53_1 and 53_2 are provided in parallel, and the encrypted frame is duplicated. However, the decryptors 53_1 and 53_2 may be arranged in series so that the encryption frame is not duplicated. Since the other points of the
実施の形態4では、実施の形態1〜3と同じく、暗号デバイスの切替の前後で、同じキーが用いられる。また、局側装置101およびONU202の両方において、SCI以外の情報については暗号デバイスの切替前の情報が引き継がれる。したがって実施の形態4によれば、局側装置の冗長切替にともなう暗号化通信の停止期間を短縮できるので、通信品質を向上させることができる。
In the fourth embodiment, the same key is used before and after the encryption device switching, as in the first to third embodiments. Further, in both the
[実施の形態5]
実施の形態5では、実施の形態2〜4と同じく、SCIを含まないセキュリティタグ(ショートタグ)が暗号フレームに付された場合であっても、ONU202は、局側装置における暗号デバイスの切替を検出することができる。なお、以下に説明する点以外については、実施の形態1と同様であるので、特に詳細な説明を繰り返さない。
[Embodiment 5]
In the fifth embodiment, as in the second to fourth embodiments, even when a security tag (short tag) that does not include the SCI is attached to the encryption frame, the
図20は、実施の形態5に係る手順を説明するための図である。図2および図20を参照して、実施の形態5では、シーケンスSQ16において、ONU202は、局側装置101から送信された暗号フレームに含まれるアソシエーション番号(図6(B)に示すAN)の変化を検出することによって、暗号デバイスの切替を検出する。この点で実施の形態5は実施の形態1と異なる。
FIG. 20 is a diagram for explaining the procedure according to the fifth embodiment. 2 and 20, in the fifth embodiment, in sequence SQ16,
ONU202は、暗号フレームの復号に使うべきキー(SAK)と、そのフレームに付与されるべきPNの下限値(前回受信したフレームのPNから、閾値を引いた値)を、Sec TAGのANで識別する。Replay Protectionは、ANを跨いでは適用されない。
The
したがって、暗号デバイスの切替前後でANを変化させれば、Replay Protectionによるフレームの廃棄(実施の形態1の「(1)廃棄処理の原則ルール」を参照)を回避することができる。その理由は、ANが新しくなった後に最初にONU202が受信する暗号フレームについては、そのフレームに付されるべきPNの下限値が設定されていないためである。
Therefore, if the AN is changed before and after the encryption device is switched, it is possible to avoid discarding the frame by the replay protection (see “(1) Principle rule of discard processing” in the first embodiment). The reason is that the lower limit value of the PN to be attached to the frame is not set for the encryption frame received by the
ここでIEEE802.1AEによれば、セキュリティ関係(保護された通信を行なうメンバー間の関係)は、鍵交換を行ないながら途切れることなく維持される。このセキュリティ関係は、1つの鍵で保護されているセキュリティ関係(セキュア・アソシエーション)が、鍵交換によって途切れることなく入替わることによって成立している。この切れ目のないセキュリティ関係を構成する各セキュア・アソシエーションを識別する番号がANである。つまり、ANは、ある1つの鍵が使用されている期間におけるセキュリティ関係を識別するための番号である。 Here, according to IEEE 802.1AE, the security relationship (the relationship between members performing protected communication) is maintained without interruption while performing key exchange. This security relationship is established when a security relationship (secure association) protected by one key is replaced without interruption by key exchange. The number that identifies each secure association that forms this seamless security relationship is AN. That is, AN is a number for identifying a security relationship in a period during which a certain key is used.
したがって、IEEE802.1AEによれば、ANを切替えるということと鍵を交換することと同義である。しかしながら、鍵を交換すると、暗号化通信の停止期間が発生する。一方、この実施の形態では、ANは変更するが鍵は交換しない。したがって、円滑な暗号化通信を継続することができる。 Therefore, according to IEEE 802.1AE, it is synonymous with switching an AN and exchanging keys. However, when the key is exchanged, a period for stopping the encrypted communication occurs. On the other hand, in this embodiment, the AN is changed but the key is not exchanged. Therefore, smooth encrypted communication can be continued.
次に、実施の形態5について具体的に説明する。図21は、実施の形態5における、ONU202における制御部29および復号部20の構成を示す図である。図21を参照して、復号部20は、PN選択部56をさらに備える点において図7に示された構成と相違する。また、記憶部52は、復号パラメータ管理テーブル60bを記憶する。復号パラメータ管理テーブル60bの構成は、図7に示すキー管理用テーブル60の構成と基本的に同じである。
Next, the fifth embodiment will be specifically described. FIG. 21 is a diagram illustrating configurations of the
制御部29は、PN設定部87をさらに備える点において図7に示された構成と相違する。PN設定部87は、復号パラメータ管理テーブル60bにPNの値を設定する。
The
図22は、実施の形態5に係る復号パラメータ管理テーブルの構成例を示した図である。図21および図22を参照して、復号パラメータ管理テーブル60bは、AN、キー(暗号鍵)、許容できる最小のPN、およびSCIを管理するためのテーブルである。ONU202は、暗号フレーム(図6(B)を参照)を受信すると、その受信した暗号フレームのSec TAGに格納されたANの値を取得する。たとえばアソシエーション番号抽出部55により、暗号フレームからANの値が抽出される。キー選択部54は、復号パラメータ管理テーブル60bを参照して、アソシエーション番号抽出部55により取得されたANに関連付けられるキーを取得する。また、PN選択部56は、復号パラメータ管理テーブル60bを参照して、アソシエーション番号抽出部55により、取得されたANに関連付けられるPN(許容できる最小PN)を取得する。
FIG. 22 is a diagram illustrating a configuration example of a decoding parameter management table according to the fifth embodiment. Referring to FIGS. 21 and 22, the decryption parameter management table 60b is a table for managing AN, key (encryption key), minimum allowable PN, and SCI. When the
なお、セキュリティタグ(Sec TAG)にショートタグを使用する場合には、復号に用いるSCIも、このテーブルから取得される。一方、SecTAGにロングタグを使用する場合には、SecTAG内のSCIの値を復号に用いることができる。 In addition, when using a short tag for a security tag (Sec TAG), SCI used for decoding is also acquired from this table. On the other hand, when a long tag is used for SecTAG, the value of SCI in SecTAG can be used for decoding.
図23は、実施の形態5に係る、復号パラメータ管理テーブル60bに対するキーの登録の一例を示した図である。図23を参照して、ONU202が局側装置101からキーを配布された場合、ONU202(たとえば制御部29のキー更新部81)は、次のANにも同じキーを設定する。
FIG. 23 is a diagram showing an example of key registration for the decryption parameter management table 60b according to the fifth embodiment. Referring to FIG. 23, when
Sec TAGにショートタグを使用している場合、復号パラメータ管理テーブル60bの指定されたANの行のSCIの欄には、キー配布用の制御フレーム(たとえばEAPOL−MKAフレーム)に格納されているSCIの値が登録される。次のANの行のSCIの欄には、予め用意されたSCIの値、すなわち暗号デバイスの切替後のSCIが登録される。暗号デバイスの切替後のSCIを用意するための方法については、たとえば上記の実施形態1〜3における方法のうちの任意の方法を利用することが可能である。 When a short tag is used for the Sec TAG, the SCI field in the designated AN row of the decryption parameter management table 60b stores the SCI stored in the control frame for key distribution (for example, the EAPOL-MKA frame). The value of is registered. The SCI value prepared in advance, that is, the SCI after switching of the cryptographic device is registered in the SCI column of the next AN row. As a method for preparing the SCI after switching of the cryptographic device, for example, any method of the methods in the first to third embodiments can be used.
図23には、一例として、局側装置のOSUからAN=0と指定されてキーKey_1がONU202に配布された状態が示されている。この場合、AN=0の行のSCIの欄には、キーKey_1の配布用の制御フレーム(たとえばEAPOL−MKAフレーム)に含まれるSCIの値が登録される。次のAN(AN=1)の行のSCIの欄には、予め用意されたSCIの値が登録される。
FIG. 23 shows a state where the key Key_1 is distributed to the
なお、たとえばAN=3と指定された場合には、AN=3の行およびAN=0の行において、キーおよびSCIが登録される。 For example, when AN = 3 is designated, the key and the SCI are registered in the line AN = 3 and the line AN = 0.
次に、局側装置101の切替元OSU(たとえばOSU12_1)は、キーKey_1を使用して暗号化したフレームのANを0に設定し、その暗号フレームをONU202に送信する。ONU202は、局側装置101からの暗号フレームを受信して、PNを確認する。このとき、ONU202は、必要に応じて、復号パラメータ管理テーブル60bのPNの欄を更新する。
Next, the switching source OSU (for example, OSU 12_1) of the
図24は、実施の形態5に係る復号パラメータ管理テーブル60bにおけるPNの設定の一例を示した図である。図24を参照して、たとえば、PN=1000である暗号フレームをONU202が受信し、閾値が100であるとする。この場合、ONU202(たとえばPN設定部87)は、AN=0の行のPNの欄に900(=1000−100)を設定する。
FIG. 24 is a diagram showing an example of PN setting in the decoding parameter management table 60b according to the fifth embodiment. Referring to FIG. 24, for example, assume that
図24に示されるように復号パラメータ管理テーブル60bが登録された状態で、PN=100の暗号フレームをONU202が受信したとする。この場合、ONUは、Replay Protectionを実行し、「(1)廃棄処理の原則ルール」(実施の形態1を参照)に従って、当該フレーム(PN=100の暗号フレーム)を廃棄する。なお、この場合、復号パラメータ管理テーブル60bに登録されたPNの値は更新されない。
Assume that the
次に局側装置101において、OSUの冗長切替が発生する(図20のシーケンスSQ8を参照)。切替先のOSU(たとえばOSU12_N+1)は、Key_1を引き継いて、フレームを暗号化する。暗号フレームのSec TAGに格納されるANの値は1に設定される。切替先のOSUは、その暗号フレームをONU202に送信する。
Next, redundant switching of OSU occurs in the station side device 101 (see sequence SQ8 in FIG. 20). The switching destination OSU (for example, OSU12_N + 1) takes over Key_1 and encrypts the frame. The value of AN stored in the Sec TAG of the encryption frame is set to 1. The switching destination OSU transmits the encrypted frame to the
ONU202は、復号パラメータ管理テーブル60bに登録されたキー(たとえばKey_1)およびSCI(ショートタグの場合)を使って暗号フレームを復号することができる。さらに、許容できる最小のPN(PNの下限値)が最初は0に設定されているため、Replay Protectionによるフレーム廃棄は行なわれない。したがって実施の形態5によれば、実施の形態1〜4と同じく、暗号デバイスの切替が発生しても、円滑な暗号化通信を継続することができる。
The
なお、切替先のOSUは、暗号フレームのPNの値を、1から始めてもよく、1以外の適切な値から始めてもよい。たとえば、切替先のOSUは、切替元のOSUから、PNの適切な値を引き継いでもよい。たとえば切替元のOSUのFIFO38(図3に示す、下りフレームを蓄積するキュー)が空になる前のPNを、切替先のOSUに引き継いでもよい。切替先のOSUに引き継がれるPNの値は、下りフレームを蓄積するキューが空になる前の値なので、正確な値ではない。しかし、切替先のOSUがANを変更するために、ONUでのReplay Protectionによるフレーム廃棄は行なわれない。また、下りフレームを蓄積するキューが空になる前に、切替元のOSUは、切替先のOSUにPNの値を通知することができる。したがって、切替元のOSUにおいてキューが空になるのを待ってから切替先のOSUにPNの値が通知される場合に比べて、切替えに必要な時間を短縮することができる。すなわちスムーズな冗長切替が可能となる。これにより、暗号デバイスの切替えに伴う通信停止時間をさらに短縮することができるので、より高品質な通信を実現することができる。
Note that the OSU to be switched to may start the PN value of the encryption frame from 1 or an appropriate value other than 1. For example, the switching destination OSU may take over an appropriate value of PN from the switching source OSU. For example, the PN before the
また、上記のようにPNの値を適当な値から始めることにより、通信の安全性を高めることもできる。IEEE802.1AEによれば、安全性の確保のために、同じキーで暗号化するフレームの数に閾値が設定される。したがって1つのキーで暗号化したフレームの数をPNの値により管理していてもよい。PNがその閾値を超えたら、局側装置101はONU202に次のキーを配布してもよい。この実施の形態では、切替先のOSUは、切替元のOSUから引き継ぐ。したがって、切替先のOSUが、切替元のOSUから、適切な大きさのPN(たとえば上述のような、下りフレームを蓄積するキューが空になる前の値)を引き継ぐことにより、切替先のOSUが、おおむね適切なタイミングで、次の新しいキーをONU202に配布することができる。
Further, by starting the PN value from an appropriate value as described above, it is possible to improve the safety of communication. According to IEEE 802.1AE, a threshold is set for the number of frames to be encrypted with the same key in order to ensure safety. Therefore, the number of frames encrypted with one key may be managed by the PN value. If the PN exceeds the threshold, the
[実施の形態6]
実施の形態6では、実施の形態2〜5と同じく、SCIを含まないセキュリティタグ(ショートタグ)が暗号フレームに付された場合であっても、ONU202は、局側装置における暗号デバイスの切替を検出することができる。具体的には、実施の形態5と同じく、実施の形態6では、ONU202は、局側装置101から送信された暗号フレームに含まれるアソシエーション番号(AN)の変化を検出することによって、暗号デバイスの切替を検出する(図20を参照)。
[Embodiment 6]
In the sixth embodiment, as in the second to fifth embodiments, even when a security tag (short tag) that does not include the SCI is attached to the encryption frame, the
実施の形態5では、切替先のOSUは、切替元のOSUから暗号化のためのキーは引き継ぐもののSCIは引き継がない。実施の形態6では、切替先のOSUは、切替元のOSUから暗号化のためのキーおよびSCIの両方を引き継がない。この点で実施の形態6は実施の形態5と異なる。なお、以下に説明する点以外については、実施の形態1と同様であるので、特に詳細な説明を繰り返さない。 In the fifth embodiment, the switching destination OSU takes over the key for encryption from the switching source OSU, but does not take over the SCI. In the sixth embodiment, the switching destination OSU does not inherit both the encryption key and the SCI from the switching source OSU. In this respect, the sixth embodiment is different from the fifth embodiment. Since the points other than those described below are the same as those in the first embodiment, detailed description thereof will not be repeated.
ONU202における制御部29および復号部20の構成は、図21に示された構成と同様である。さらに、復号パラメータ管理テーブル60bの構成について、実施の形態6では、図22に示した構成を採用することができる。実施の形態6においても、セキュリティタグ(SecTAG)にショートタグを使用する場合には、復号に用いるSCIも、このテーブルから取得される。一方、SecTAGにロングタグを使用する場合には、SecTAG内のSCIの値を復号に用いることができる。
The configurations of the
図25は、実施の形態6に係る、復号パラメータ管理テーブル60bに対するキーの登録の一例を示した図である。図25を参照して、ONU202が局側装置101からキーを配布された場合、ONU202(たとえば制御部29のキー更新部81)は、次のANに、適切な方法によって予め用意したキー(Key_2)を設定する。キーKey_2は、たとえば局側装置101から配布されたキーをビット反転させたキーでもよい。
FIG. 25 is a diagram showing an example of key registration for the decryption parameter management table 60b according to the sixth embodiment. Referring to FIG. 25, when
Sec TAGにショートタグを使用している場合、復号パラメータ管理テーブル60bの指定されたANの行のSCIの欄には、キー配布用の制御フレーム(たとえばEAPOL−MKAフレーム)に格納されているSCIの値が登録される。次のANの行のSCIの欄には、予め用意されたSCIの値、すなわち暗号デバイスの切替後のSCIが登録される。暗号デバイスの切替後のSCIを用意するための方法については、たとえば上記の実施形態1〜3における方法のうちの任意の方法を利用することが可能である。 When a short tag is used for the Sec TAG, the SCI field in the designated AN row of the decryption parameter management table 60b stores the SCI stored in the control frame for key distribution (for example, the EAPOL-MKA frame). The value of is registered. The SCI value prepared in advance, that is, the SCI after switching of the cryptographic device is registered in the SCI column of the next AN row. As a method for preparing the SCI after switching of the cryptographic device, for example, any method of the methods in the first to third embodiments can be used.
図25には、一例として、局側装置のOSUからAN=0と指定されてキーKey_1がONU202に配布された状態が示されている。この場合、AN=0の行のSCIの欄には、キーKey_1の配布用の制御フレーム(たとえばEAPOL−MKAフレーム)に含まれるSCIの値が登録される。次のAN(AN=1)の行のキーの欄には、Key_2が登録される。キーKey_2は、たとえばキーKey_1をビット反転させたキーである。またAN=1の行のSCIの欄には、予め用意されたSCIの値が登録される。
FIG. 25 shows a state in which the key Key_1 is distributed to the
次に、局側装置101の切替元OSU(たとえばOSU12_1)は、キーKey_1を使用して暗号化したフレームのANを0に設定し、その暗号フレームをONU202に送信する。ONU202は、局側装置101からの暗号フレームを受信して、PNを確認する。このとき、ONU202は、必要に応じて、復号パラメータ管理テーブル60bのPNの欄を更新する。
Next, the switching source OSU (for example, OSU 12_1) of the
図26は、実施の形態6に係る復号パラメータ管理テーブル60bにおけるPNの設定の一例を示した図である。図26を参照して、たとえば、PN=1000である暗号フレームをONU202が受信し、閾値が100であるとする。この場合、ONU202(たとえばPN設定部87)は、AN=0の行のPNの欄に900(=1000−100)を設定する。
FIG. 26 is a diagram showing an example of PN settings in the decryption parameter management table 60b according to the sixth embodiment. Referring to FIG. 26, for example, assume that
次に局側装置101において、OSUの冗長切替が発生する(図20のシーケンスSQ8を参照)。切替先のOSU(たとえばOSU12_N+1)は、Key_2を用いて、フレームを暗号化する。暗号フレームのSec TAGに格納されるANの値は1に設定される。切替先のOSUは、その暗号フレームをONU202に送信する。
Next, redundant switching of OSU occurs in the station side device 101 (see sequence SQ8 in FIG. 20). The switching destination OSU (for example, OSU12_N + 1) uses Key_2 to encrypt the frame. The value of AN stored in the Sec TAG of the encryption frame is set to 1. The switching destination OSU transmits the encrypted frame to the
ONU202は、復号パラメータ管理テーブル60bに登録されたキー(たとえばKey_2)およびSCI(ショートタグの場合)を使って暗号フレームを復号することができる。さらに、許容できる最小のPN(PNの下限値)が最初は0に設定されているため、Replay Protectionによるフレーム廃棄は行なわれない。したがって実施の形態6によれば、実施の形態1〜5と同じく、暗号デバイスの切替が発生しても、円滑な暗号化通信を継続することができる。
The
なお、実施の形態5と同じく、切替先のOSUは、暗号フレームのPNの値を、1から始めてもよく、1以外の適切な値から始めてもよい。暗号フレームのPNの値を、1以外の適切な値から始める場合、たとえば切替先のOSUは、切替元のOSUから、PNの適切な値を引き継いでもよい。一例として、切替元のOSUのFIFO38(図3に示す、下りフレームを蓄積するキュー)が空になる前のPNを、切替先のOSUに引き継いでもよい。この場合にも、切替元のOSUにおいてキューが空になるのを待ってから切替先のOSUにPNの値が通知される場合に比べて、切替えに必要な時間を短縮することができる。すなわちスムーズな冗長切替が可能となる。これにより、暗号デバイスの切替えに伴う通信停止時間をさらに短縮することができるので、より高品質な通信を実現することができる。
As in the fifth embodiment, the switching destination OSU may start the PN value of the encryption frame from 1 or an appropriate value other than 1. When starting the PN value of the encryption frame from an appropriate value other than 1, for example, the switching destination OSU may take over the appropriate PN value from the switching source OSU. As an example, the PN before the
さらに、PNの値を適当な値から始めることにより、通信の安全性を高めることもできる。実施の形態6では、予め用意された、正式な鍵交換によらないキーを利用する。したがって、OSUにおいてPNの値を、大きめの値に設定し、次のキーの交換までに、そのキーで暗号化されるフレームの数が少なくなるように、暗号化されるフレームの数を制限してもよい。これにより、切替先のOSUが、ONU202との間でより安全性の高い暗号化通信を行なうことができる。
Furthermore, communication safety can be improved by starting the PN value from an appropriate value. In the sixth embodiment, a key prepared in advance and not based on formal key exchange is used. Therefore, the PN value is set to a larger value in the OSU, and the number of frames to be encrypted is limited so that the number of frames encrypted with the key is reduced before the next key exchange. May be. As a result, the OSU that is the switching destination can perform more secure encrypted communication with the
なお、本発明の実施形態に係る切替検出装置は、専用のハードウエア装置で実現されるものに限られない。外部からプログラムをメモリにインストールし、コンピュータがこのプログラムをメモリから読出して実行することによって、切替検出装置の機能を実現することとしてもよい。この場合、プログラムは、たとえば図10のフローチャートの各ステップ、図16のフローチャートの各ステップを備えてもよい。あるいは、プログラムは、たとえば図20に示すシーケンスSQ16の処理を実行するステップを備えていてもよい。 Note that the switching detection device according to the embodiment of the present invention is not limited to that realized by a dedicated hardware device. The function of the switching detection device may be realized by installing a program from the outside in a memory and having the computer read the program from the memory and execute it. In this case, the program may include, for example, each step of the flowchart of FIG. 10 and each step of the flowchart of FIG. Alternatively, the program may include a step of executing the process of sequence SQ16 shown in FIG. 20, for example.
今回開示された実施の形態は例示であって、上記内容のみに制限されるものではない。本発明の範囲は特許請求の範囲によって示され、特許請求の範囲と均等の意味および範囲内でのすべての変更が含まれることが意図される。 The embodiment disclosed this time is an exemplification, and the present invention is not limited to the above contents. The scope of the present invention is defined by the terms of the claims, and is intended to include any modifications within the scope and meaning equivalent to the terms of the claims.
11 全体制御部、12 OSU、13 集線部、14 光スイッチ、20 復号部、21 PONポート、25 UNIポート、22 光受信処理部、23,27 バッファメモリ、24,34 送信処理部、26,33 受信処理部、28 光送信処理部、29,36,59 制御部、30 暗号部、31 集線IF部、32 制御IF部、35 送受信部、51,51_1,51_2 復号器、52,62 記憶部、53,66 SCI選択部、54,65 キー選択部、55 アソシエーション番号抽出部、56 PN選択部、57,61 フレーム種別識別部、58 セレクタ、60,70 キー管理用テーブル、60a パラメータ管理テーブル、60b 復号パラメータ管理テーブル、63 暗号器、64 マルチプレクサ、71 フレーム作成部、72,81 キー更新部、73,82 SCI作成部、74,83 切替処理部、84 アドレス更新部、85 制御フレーム処理部、86 データフレーム処理部、87 PN設定部、101 局側装置、202 ONU、203 PON回線、204 光カプラ、302 PONシステム、401A,401B,402A,402B 暗号化経路、861 冗長切替検出部、862 データフレーム廃棄部、1201,2021 ユニキャスト通信用のポート、1202,2022 マルチキャスト通信用のポート。 DESCRIPTION OF SYMBOLS 11 Overall control part, 12 OSU, 13 Concentration part, 14 Optical switch, 20 Decoding part, 21 PON port, 25 UNI port, 22 Optical reception process part, 23, 27 Buffer memory, 24, 34 Transmission process part, 26, 33 Reception processing unit, 28 optical transmission processing unit, 29, 36, 59 control unit, 30 encryption unit, 31 concentrator IF unit, 32 control IF unit, 35 transmission / reception unit, 51, 51_1, 51_2 decoder, 52, 62 storage unit, 53, 66 SCI selection unit, 54, 65 Key selection unit, 55 Association number extraction unit, 56 PN selection unit, 57, 61 Frame type identification unit, 58 selector, 60, 70 Key management table, 60a Parameter management table, 60b Decryption parameter management table, 63 encryptor, 64 multiplexer, 71 frame creation unit 72, 81 Key update unit, 73, 82 SCI creation unit, 74, 83 switching processing unit, 84 address update unit, 85 control frame processing unit, 86 data frame processing unit, 87 PN setting unit, 101 station side device, 202 ONU , 203 PON line, 204 optical coupler, 302 PON system, 401A, 401B, 402A, 402B encryption path, 861 redundancy switching detection unit, 862 data frame discard unit, 1201, 2021 unicast communication port, 1202, 2022 multicast A port for communication.
Claims (32)
前記局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、
前記フレームに含まれる前記情報を利用して前記暗号化通信の状態の変化を検出することによって、前記局側装置における前記切替を検出する検出手段とを備える、切替検出装置。 A switching detection device for detecting switching from a first optical line encryption device to a second optical line encryption device performed in a station side device,
Receiving means for receiving a frame containing information related to encrypted communication from the station side device;
A switching detection apparatus comprising: a detecting unit configured to detect the switching in the station side apparatus by detecting a change in the state of the encrypted communication using the information included in the frame.
前記検出手段は、前記フレームの前記チャネル識別子の変化を検出することによって、前記局側装置における前記切替を検出する、請求項2に記載の切替検出装置。 The frame includes encrypted data and the channel identifier associated with the encrypted data;
The switching detection apparatus according to claim 2, wherein the detection unit detects the switching in the station-side apparatus by detecting a change in the channel identifier of the frame.
前記検出手段は、前記物理アドレスの変化を検出することによって、前記切替が前記局側装置において行なわれたことを検出する、請求項2または請求項3に記載の切替検出装置。 The channel identifier includes a physical address unique to the encryption device of the optical line functioning as an operating system among the encryption device of the first optical line and the encryption device of the second optical line,
The switching detection device according to claim 2 or 3, wherein the detection unit detects that the switching has been performed in the station side device by detecting a change in the physical address.
前記検出手段は、前記物理アドレスが前記第1の光回線の暗号デバイスに固有の物理アドレスから前記第2の光回線の暗号デバイスに固有の物理アドレスに変化したことを検出したことに基づき、前記切替が行なわれたことを検出する、請求項4に記載の切替検出装置。 Storage means for storing a physical address unique to the cryptographic device of the first optical line and a physical address unique to the cryptographic device of the second optical line;
The detecting means is based on detecting that the physical address has changed from a physical address unique to the cryptographic device of the first optical line to a physical address unique to the cryptographic device of the second optical line. The switching detection apparatus according to claim 4, wherein the switching detection apparatus detects that switching has been performed.
前記チャネル識別子は、前記暗号化されたデータの通信に用いるポートの番号をさらに含み、
前記検出手段は、前記ポート番号毎に、前記物理アドレスの変化に基づいた前記切替の検出を行なう、請求項4または請求項5に記載の切替検出装置。 The receiving means includes a plurality of ports including a port for receiving the encrypted data and the channel identifier from an optical line encryption device functioning as the operation system,
The channel identifier further includes a port number used for communication of the encrypted data,
The switching detection apparatus according to claim 4, wherein the detection unit detects the switching based on a change in the physical address for each port number.
前記検出手段は、前記制御フレームに基づいて、前記チャネル識別子の変化を検出することによって、前記局側装置における前記切替を検出する、請求項2に記載の切替検出装置。 The frame is a control frame including the channel identifier;
The switching detection apparatus according to claim 2, wherein the detection unit detects the switching in the station side apparatus by detecting a change in the channel identifier based on the control frame.
前記第1の暗号デバイスおよび前記第2の暗号デバイスの各々に関連付けられた前記チャネル識別子を前記フレームにより取得し、
前記第1の暗号デバイスに対応するチャネル識別子に基づいて、前記暗号化されたデータを復号する第1の復号手段と、
前記第2の暗号デバイスに対応するチャネル識別子に基づいて、前記暗号化されたデータを復号する第2の復号手段とをさらに備え、
前記検出手段は、前記暗号化されたデータの復号に成功した復号手段が前記第1の復号手段と前記第2の復号手段との間で変化することを検出することによって、前記局側装置における前記切替を検出する、請求項2に記載の切替検出装置。 The switching detection device includes:
Obtaining the channel identifier associated with each of the first cryptographic device and the second cryptographic device by the frame;
First decryption means for decrypting the encrypted data based on a channel identifier corresponding to the first encryption device;
Second decryption means for decrypting the encrypted data based on a channel identifier corresponding to the second encryption device;
The detecting means detects in the station side apparatus by detecting that a decoding means that has successfully decoded the encrypted data changes between the first decoding means and the second decoding means. The switching detection device according to claim 2, wherein the switching is detected.
前記フレームは、暗号化されたデータと、前記アソシエーション番号とを含み、
前記検出手段は、前記アソシエーション番号の変化を検出することによって、前記局側装置における前記切替を検出する、請求項1に記載の切替検出装置。 The information is an association number;
The frame includes encrypted data and the association number;
The switching detection apparatus according to claim 1, wherein the detection unit detects the switching in the station-side apparatus by detecting a change in the association number.
前記切替検出装置は、前記パケット番号が予め定められた基準を満たさない場合に、当該パケット番号を含むフレームを廃棄する廃棄手段をさらに備え、
前記廃棄手段は、前記検出手段によって前記局側装置の前記切替が検出された場合には、当該変化が検出されたチャネル識別子を含むフレームのパケット番号に関係なく、当該フレームを廃棄しない、請求項1〜請求項9のいずれか1項に記載の切替検出装置。 The receiving means receives a frame including the encrypted data and a packet number;
The switching detection device further includes a discarding unit that discards a frame including the packet number when the packet number does not satisfy a predetermined criterion,
The discarding unit does not discard the frame regardless of a packet number of a frame including a channel identifier in which the change is detected when the switching of the station side device is detected by the detecting unit. The switching detection apparatus according to any one of claims 1 to 9.
前記廃棄手段は、前記局側装置との暗号化経路毎に、前記フレームを廃棄するか否かを判断する、請求項10に記載の切替検出装置。 The switching detection device communicates with the station side device through a plurality of encrypted paths,
The switching detection apparatus according to claim 10, wherein the discarding unit determines whether to discard the frame for each encryption path with the station-side apparatus.
前記局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、
前記フレームに含まれる前記情報を利用して前記暗号化通信の状態の変化を検出することによって、前記局側装置における前記切替を検出する検出手段とを備える、宅側装置。 A home-side device that detects switching from a first optical line encryption device to a second optical line encryption device performed in a station-side device;
Receiving means for receiving a frame containing information related to encrypted communication from the station side device;
A home-side apparatus comprising: a detecting unit that detects the change in the station-side apparatus by detecting a change in the state of the encrypted communication using the information included in the frame.
前記検出手段は、前記チャネル識別子の変化を検出することによって、前記局側装置における前記切替を検出し、
前記宅側装置は、
前記チャネル識別子として、前記第1の光回線の暗号デバイスに関連付けられた第1のチャネル識別子と、前記第2の光回線の暗号デバイスに関連付けられた第2のチャネル識別子とを記憶した記憶手段と、
前記検出手段によって前記切替が検出されるまでは、前記局側装置からの暗号化されたデータを、前記第1のチャネル識別子を用いて復号し、前記検出手段によって前記切替が検出されると、前記局側装置からの前記暗号化されたデータを、前記第2のチャネル識別子を用いて復号する復号手段とをさらに備える、請求項13に記載の宅側装置。 The information is a channel identifier;
The detection means detects the switching in the station side device by detecting a change in the channel identifier,
The home device is
Storage means for storing, as the channel identifier, a first channel identifier associated with the encryption device of the first optical line and a second channel identifier associated with the encryption device of the second optical line; ,
Until the switching is detected by the detection means, the encrypted data from the station side device is decrypted using the first channel identifier, and when the switching is detected by the detection means, The home-side apparatus according to claim 13, further comprising decryption means for decrypting the encrypted data from the station-side apparatus using the second channel identifier.
前記検出手段は、前記アソシエーション番号の変化を検出することによって、前記局側装置における前記切替を検出し、
前記宅側装置は、
前記第1の光回線の暗号デバイスに関連付けられた第1のチャネル識別子と、前記第2の光回線の暗号デバイスに関連付けられた第2のチャネル識別子とを記憶した記憶手段と、
前記検出手段によって前記切替が検出されるまでは、前記局側装置からの暗号化されたデータを、前記第1のチャネル識別子を用いて復号し、前記検出手段によって前記切替が検出されると、前記局側装置からの前記暗号化されたデータを、前記第2のチャネル識別子を用いて復号する復号手段とをさらに備える、請求項13に記載の宅側装置。 The information is an association number;
The detection means detects the switching in the station side device by detecting a change in the association number,
The home device is
Storage means for storing a first channel identifier associated with the encryption device of the first optical line and a second channel identifier associated with the encryption device of the second optical line;
Until the switching is detected by the detection means, the encrypted data from the station side device is decrypted using the first channel identifier, and when the switching is detected by the detection means, The home-side apparatus according to claim 13, further comprising decryption means for decrypting the encrypted data from the station-side apparatus using the second channel identifier.
前記宅側装置は、前記パケット番号が予め定められた基準を満たさない場合に、当該パケット番号を含むフレームを廃棄する廃棄手段をさらに備え、
前記廃棄手段は、前記検出手段によって前記局側装置の前記切替が検出された場合には、当該変化が検出されたチャネル識別子を含むフレームのパケット番号に関係なく、当該フレームを廃棄しない、請求項13〜請求項16のいずれか1項に記載の宅側装置。 The receiving means receives a frame including the encrypted data and a packet number;
The home device further includes a discarding unit that discards a frame including the packet number when the packet number does not satisfy a predetermined criterion,
The discarding unit does not discard the frame regardless of a packet number of a frame including a channel identifier in which the change is detected when the switching of the station side device is detected by the detecting unit. The home side apparatus of any one of Claims 13-16.
前記光回線の暗号デバイスが運用系として機能しているときに、予め定められた複数のアソシエーション番号のうちの1つのアソシエーション番号と、パケット番号とを少なくとも含むフレームを、前記宅側装置へ送信する送信手段と、
前記複数のアソシエーション番号の各々に対して、前記アソシエーション番号を含むフレームのパケット番号と前記暗号化通信における暗号鍵とを対応付けて記憶する記憶手段と、
前記記憶手段において対応付けて記憶されたアソシエーション番号と暗号鍵とパケット番号とのうちの前記アソシエーション番号と前記暗号鍵とを、予め定められたタイミングで、前記局側装置における待機系の光回線の暗号デバイスに通知する通知手段とを備える、光回線の暗号デバイス。 An optical line encryption device used in a station side device that performs optical communication with a home side device,
When the optical line encryption device functions as an active system, a frame including at least one association number among a plurality of predetermined association numbers and a packet number is transmitted to the home device. A transmission means;
Storage means for storing a packet number of a frame including the association number and an encryption key in the encrypted communication in association with each of the plurality of association numbers;
Of the association number, encryption key, and packet number stored in association in the storage means, the association number and the encryption key are set at a predetermined timing of the standby optical line in the station side device. An optical line encryption device comprising: notification means for notifying the encryption device.
宅側装置と暗号化通信を行なうための第1の光回線の暗号デバイスと、
前記宅側装置と前記暗号化通信を行なうための第2の光回線の暗号デバイスとを備え、
前記局側装置が接続される光回線に前記宅側装置がリンクアップされた場合には、前記局側装置は、前記宅側装置と暗号化通信に関するディスカバリのための処理を実行する一方、前記第1の暗号デバイスから前記第2の暗号デバイスへの切替が行なわれた場合には、前記局側装置は、前記宅側装置と前記暗号化通信に関するディスカバリのための処理を実行しない、局側装置。 A station side device,
A first optical line encryption device for performing encrypted communication with the home side device;
A second optical line encryption device for performing the encrypted communication with the home side device,
When the home side device is linked up to the optical line to which the station side device is connected, the station side device executes a process for discovery related to encrypted communication with the home side device, while When switching from the first cryptographic device to the second cryptographic device is performed, the station side device does not execute a process for discovery relating to the encrypted communication with the home side device. apparatus.
前記宅側装置は、
前記局側装置から、暗号化通信に関する情報を含むフレームを受信する受信手段と、
前記フレームに含まれる前記情報を利用して前記暗号化通信の状態の変化を検出することによって、前記局側装置における前記切替を検出する検出手段とを備える、光通信システム。 An optical communication system comprising a home-side apparatus and a station-side apparatus that switches from a first optical line encryption device to a second optical line encryption device,
The home device is
Receiving means for receiving a frame containing information related to encrypted communication from the station side device;
An optical communication system comprising: detecting means for detecting the switching in the station side device by detecting a change in the state of the encrypted communication using the information included in the frame.
前記検出手段は、前記フレームの前記チャネル識別子の変化を検出することによって、前記局側装置における前記切替を検出する、請求項21に記載の光通信システム。 The frame includes encrypted data and the channel identifier associated with the encrypted data;
The optical communication system according to claim 21, wherein the detection unit detects the switching in the station side device by detecting a change in the channel identifier of the frame.
前記第1の光回線の暗号デバイスから前記第2の光回線の暗号デバイスへの切替が行なわれる前に、前記第2の光回線の暗号デバイスは、当該第2の光回線の暗号デバイスの暗号化通信に用いるチャネル識別子を、前記宅側装置へ送信する、請求項22に記載の光通信システム。 The channel identifier associated with the encrypted data is a channel identifier used for encrypted communication,
Before switching from the encryption device of the first optical line to the encryption device of the second optical line, the encryption device of the second optical line is encrypted by the encryption device of the second optical line. 23. The optical communication system according to claim 22, wherein a channel identifier used for an encrypted communication is transmitted to the home device.
前記宅側装置は、前記切替先の光回線の暗号デバイスに固有の物理アドレスを記憶し、
前記チャネル識別子は、前記第1の光回線の暗号デバイスおよび前記第2の光回線の暗号デバイスのうちの運用系として機能している光回線の暗号デバイスに固有の物理アドレスを含み、
前記検出手段は、前記物理アドレスが切替先の光回線の暗号デバイスに固有の物理アドレスに変化したことが検出されたことに基づき、前記切替が行なわれことを検出する、請求項22に記載の光通信システム。 The station side device transmits a physical address unique to the encryption device of the switching destination optical line to the home side device using an extended maintenance monitoring function,
The home device stores a physical address unique to the encryption device of the switching destination optical line,
The channel identifier includes a physical address unique to the encryption device of the optical line functioning as an operating system among the encryption device of the first optical line and the encryption device of the second optical line,
The detection unit according to claim 22, wherein the detection unit detects that the switching is performed based on the detection that the physical address has changed to a physical address unique to the encryption device of the switching destination optical line. Optical communication system.
前記第1の光回線の暗号デバイスから前記第2の光回線の暗号デバイスへの切替が生じると、前記第2の光回線の暗号デバイスは、当該第2の光回線の暗号デバイスの暗号化通信に用いる前記チャネル識別子を、前記宅側装置へ送信し、
前記宅側装置の前記検出手段は、前記制御フレームに基づいて、前記チャネル識別子の変化を検出することによって、前記局側装置における前記切替を検出する、請求項21に記載の光通信システム。 The frame is a control frame including the channel identifier;
When switching from the encryption device of the first optical line to the encryption device of the second optical line occurs, the encryption device of the second optical line transmits encrypted communication of the encryption device of the second optical line. The channel identifier used for the transmission is transmitted to the home device,
The optical communication system according to claim 21, wherein the detection unit of the home side device detects the switching in the station side device by detecting a change in the channel identifier based on the control frame.
前記第1の光回線の暗号デバイスから前記第2の光回線の暗号デバイスへの切替が完了するよりも前に、前記第1の光回線の暗号デバイスは、当該第2の光回線の暗号デバイスの暗号化通信に用いる前記チャネル識別子を含む前記制御フレームを、前記宅側装置へ送信し、
前記宅側装置の前記検出手段は、前記制御フレームに基づいて、前記チャネル識別子の変化を検出することによって、前記局側装置における前記切替を検出する、請求項21に記載の光通信システム。 The frame is a control frame including the channel identifier;
Before the switching from the encryption device of the first optical line to the encryption device of the second optical line is completed, the encryption device of the first optical line is the encryption device of the second optical line. Transmitting the control frame including the channel identifier used for the encrypted communication to the home device,
The optical communication system according to claim 21, wherein the detection unit of the home side device detects the switching in the station side device by detecting a change in the channel identifier based on the control frame.
前記第1の暗号デバイスおよび前記第2の暗号デバイスの各々に関連付けられた前記チャネル識別子を前記フレームにより取得し、
前記第1の暗号デバイスに対応するチャネル識別子に基づいて、前記暗号化されたデータを復号する第1の復号手段と、
前記第2の暗号デバイスに対応するチャネル識別子に基づいて、前記暗号化されたデータを復号する第2の復号手段とをさらに備え、
前記検出手段は、前記暗号化されたデータの復号に成功した復号手段が前記第1の復号手段と前記第2の復号手段との間で変化することを検出することによって、前記切替が前記局側装置において行なわれたことを検出する、請求項21に記載の光通信システム。 The home device is
Obtaining the channel identifier associated with each of the first cryptographic device and the second cryptographic device by the frame;
First decryption means for decrypting the encrypted data based on a channel identifier corresponding to the first encryption device;
Second decryption means for decrypting the encrypted data based on a channel identifier corresponding to the second encryption device;
The detection means detects that the decryption means that succeeded in decrypting the encrypted data changes between the first decryption means and the second decryption means, so that the switching is performed by the station. The optical communication system according to claim 21, wherein the optical communication system detects what has been done in the side device.
前記フレームは、暗号化されたデータと、前記アソシエーション番号とを含み、
前記宅側装置の前記検出手段は、前記アソシエーション番号の変化を検出することによって、前記局側装置における前記切替を検出する、請求項20に記載の光通信システム。 The information is an association number;
The frame includes encrypted data and the association number;
21. The optical communication system according to claim 20, wherein the detection unit of the home side device detects the switching in the station side device by detecting a change in the association number.
前記宅側装置は、前記パケット番号が予め定められた基準を満たさない場合に、当該パケット番号を含むフレームを廃棄する廃棄手段をさらに備え、
前記廃棄手段は、前記検出手段によって前記局側装置の前記切替が検出された場合には、当該変化が検出されたチャネル識別子を含むフレームのパケット番号に関係なく、当該フレームを廃棄しない、請求項20〜請求項29のいずれか1項に記載の光通信システム。 The receiving means receives a frame including the encrypted data and a packet number;
The home device further includes a discarding unit that discards a frame including the packet number when the packet number does not satisfy a predetermined criterion,
The discarding unit does not discard the frame regardless of a packet number of a frame including a channel identifier in which the change is detected when the switching of the station side device is detected by the detecting unit. 30. The optical communication system according to any one of claims 20 to 29.
前記局側装置から、暗号化通信に関する情報を含むフレームを受信するステップと、
前記フレームに含まれる前記情報を利用して前記暗号化通信の状態の変化を検出することによって、前記局側装置における前記切替を検出するステップとを備える、切替検出方法。 A switching detection method for detecting, in a home side device, switching from a first optical line encryption device to a second optical line encryption device performed in a station side device,
Receiving a frame containing information related to encrypted communication from the station side device;
Detecting a change in the state of the encrypted communication by using the information included in the frame to detect the change in the station side device.
前記局側装置から、暗号化通信に関する情報を含むフレームを受信するステップと、
前記フレームに含まれる前記情報を利用して前記暗号化通信の状態の変化を検出することによって、前記局側装置における前記切替を検出するステップとを、前記切替検出装置のプロセッサに実行させる、プログラム。 A program for controlling a switching detection device for detecting switching from a first optical line encryption device to a second optical line encryption device performed in a station side device,
Receiving a frame containing information related to encrypted communication from the station side device;
Detecting a change in the state of the encrypted communication by using the information included in the frame, and causing the processor of the switching detection device to execute the step of detecting the switching in the station side device. .
Priority Applications (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2013246429A JP2014131264A (en) | 2012-11-30 | 2013-11-28 | Switching detection device, house side device, optical line encryption device, station side device, optical communication system, switching detection method, and program |
Applications Claiming Priority (3)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
JP2012263239 | 2012-11-30 | ||
JP2012263239 | 2012-11-30 | ||
JP2013246429A JP2014131264A (en) | 2012-11-30 | 2013-11-28 | Switching detection device, house side device, optical line encryption device, station side device, optical communication system, switching detection method, and program |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2014131264A true JP2014131264A (en) | 2014-07-10 |
Family
ID=51409246
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2013246429A Pending JP2014131264A (en) | 2012-11-30 | 2013-11-28 | Switching detection device, house side device, optical line encryption device, station side device, optical communication system, switching detection method, and program |
Country Status (1)
Country | Link |
---|---|
JP (1) | JP2014131264A (en) |
Cited By (3)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2016139838A (en) * | 2015-01-26 | 2016-08-04 | 三菱電機株式会社 | Channel switching method, communication method, and optical network unit |
JP2017135461A (en) * | 2016-01-25 | 2017-08-03 | 三菱電機株式会社 | Subscriber terminating device, station side terminating device, optical signal transmitting device and communication system |
CN111049648A (en) * | 2019-12-10 | 2020-04-21 | 杭州依赛通信有限公司 | Method for ensuring reliable transmission by actively updating key of MACSec encrypted service data plane |
-
2013
- 2013-11-28 JP JP2013246429A patent/JP2014131264A/en active Pending
Cited By (4)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
JP2016139838A (en) * | 2015-01-26 | 2016-08-04 | 三菱電機株式会社 | Channel switching method, communication method, and optical network unit |
JP2017135461A (en) * | 2016-01-25 | 2017-08-03 | 三菱電機株式会社 | Subscriber terminating device, station side terminating device, optical signal transmitting device and communication system |
CN111049648A (en) * | 2019-12-10 | 2020-04-21 | 杭州依赛通信有限公司 | Method for ensuring reliable transmission by actively updating key of MACSec encrypted service data plane |
CN111049648B (en) * | 2019-12-10 | 2022-08-12 | 杭州依赛通信有限公司 | Method for ensuring reliable transmission by actively updating key of MACSec encrypted service data plane |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
US9838363B2 (en) | Authentication and initial key exchange in ethernet passive optical network over coaxial network | |
EP2449718B1 (en) | Optical network terminal management control interface-based passive optical network security enhancement | |
US20100074628A1 (en) | Optical communication system, station-side apparatus, and subscriber-side apparatus | |
US20050175183A1 (en) | Method and architecture for secure transmission of data within optical switched networks | |
WO2011017986A1 (en) | Transmission method and assembling method for physical layer operations, administration and maintenance (ploam) message in a passive optical network | |
JPWO2005112336A1 (en) | PON system with encryption function and encryption method for PON system | |
US20080013728A1 (en) | Method and Device for Ensuring Data Security in Passive Optical Network | |
CN105610590B (en) | A kind of multicast message transmission method and device | |
JP2017135461A (en) | Subscriber terminating device, station side terminating device, optical signal transmitting device and communication system | |
EP2154832B1 (en) | Optical access network | |
KR100737527B1 (en) | Method and device for controlling security channel in epon | |
JP2014131264A (en) | Switching detection device, house side device, optical line encryption device, station side device, optical communication system, switching detection method, and program | |
WO2011088700A1 (en) | Method and device for encrypting multicast service in passive optical network system | |
CN101282177B (en) | Data transmission method and terminal | |
JP2015133610A (en) | Station side device, pon system and control method of station side device | |
JP2014036386A (en) | Communication system, station-side control unit, terminal-side control unit, and communication control method | |
WO2012136089A1 (en) | Loop detection method and system for passive optical network | |
JP5941024B2 (en) | Optical transmission system, subscriber termination device, and optical signal transmission device | |
JP5988814B2 (en) | Communication device, slave station device, control device, communication system, and communication control method | |
JP2003060633A (en) | Passive light network system, ciphering method therefor and network system | |
JP2003298566A (en) | Encryption key exchange system | |
JP2013123098A (en) | Pon system and its station side device and downlink frame transmission method | |
JP2006245778A (en) | Communication apparatus, communication method, and program | |
Dik et al. | QKD-based MACsec control plane for the Open-RAN Fronthaul | |
WO2007066951A1 (en) | Method and device for controlling security channel in epon |