JP2015126320A - 通信システム、送信装置、受信装置および通信システムのデータ伝送方法 - Google Patents

Abstract

【課題】 従来と比べてデータ伝送のスループットを向上させることができることを目的とする。【解決手段】 第１通信装置と、第１通信装置との間でデータ伝送する第２通信装置と、を有し、第１通信装置は、第２通信装置との間で交換した暗号化の設定を示す第１情報に基づいて、第２通信装置に送信するデータを暗号化する暗号化部と、第１情報を付加せずに暗号化したデータを第２通信装置に送信する制御部と、を有し、第２通信装置は、第１通信装置からのデータを受信する受信部と、第１情報に基づいて、第１通信装置から受信したデータを復号する復号化部と、を有する。【選択図】 図１

Description

本発明は、通信システム、送信装置、受信装置および通信システムのデータ伝送方法に関する。

例えば、ＰＯＮ（Passive Optical Network）システムは、室内で使用されるスマートホンおよびタブレット型端末等の携帯端末装置、あるいは室内に設置されるコンピュータ装置等をネットワークと接続するために用いられる。ＰＯＮシステムでは、各室内に配置されるＯＮＵ（Optical Network Unit）と、局側に配置されるＯＬＴ（Optical Line Terminal）とが光回線で接続される。

例えば、ＯＬＴから１つのＯＮＵにデータを送信する場合、ＯＬＴは、データを格納したフレームをブロードキャストで全てのＯＮＵに送信してしまうため、データを暗号化してデータの秘匿性を保持する技術が提案されている（特許文献１等参照）。

特開２００７−２２８２９２号公報

しかしながら、従来技術では、暗号化に用いた暗号鍵等を示す情報を暗号化したデータとともにフレームに付加するため、フレームに格納できるデータ量が暗号化のために付加する情報の分だけ減少し、データ伝送のスループットの低下を招くという問題がある。

本件開示の通信システム、送信装置、受信装置および通信システムのデータ伝送方法は、従来と比べてデータ伝送のスループットを向上させることができることを目的とする。

一つの観点の通信システムは、第１通信装置と、第１通信装置との間でデータ伝送する第２通信装置と、を有し、第１通信装置は、第２通信装置との間で交換した暗号化の設定を示す第１情報に基づいて、第２通信装置に送信するデータを暗号化する暗号化部と、第１情報を付加せずに暗号化したデータを第２通信装置に送信する制御部と、を有し、第２通信装置は、第１通信装置からのデータを受信する受信部と、第１情報に基づいて、第１通信装置から受信したデータを復号する復号化部と、を有する。

別の観点の送信装置は、データを受信する受信装置との間で交換した暗号化の設定を示す第１情報に基づいて、受信装置に送信するデータを暗号化する暗号化部と、第１情報を付加せずに暗号化したデータを受信装置に送信する制御部と、を有する。

別の観点の受信装置は、データを送信する送信装置から受信する受信部と、送信装置との間で交換した暗号化の設定を示す第１情報に基づいて、受信部で受信され、第１情報が付加されていない暗号化されたデータを復号する復号化部と、を有する。

別の観点の通信システムのデータ伝送方法は、第１通信装置と第１通信装置との間でデータ伝送する第２通信装置とを備える通信システムのデータ伝送方法であって、第２通信装置との間で交換した暗号化の設定を示す第１情報に基づいて第２通信装置に送信するデータを第１通信装置により暗号化し、第１情報を付加せずに暗号化したデータを第２通信装置に第１通信装置により送信し、第１情報に基づいて、第１通信装置から受信したデータを第２通信装置により復号する。

本件開示の通信システム、送信装置、受信装置および通信システムのデータ伝送方法は、従来と比べてデータ伝送のスループットを向上させることができる。

通信システム、送信装置および受信装置の一実施形態を示す図である。 ＩＥＥＥ８０２．３ａｈに準拠した暗号化されたデータが格納されるフレームを比較の例として示す図である。 図１に示した通信システムのフレームの例を示す図である。 図１に示した通信システムにおける伝送処理の例を示す図である。 通信システム、送信装置および受信装置の別実施形態を示す図である。 図５に示したＯＬＴの一例を示す図である。 図５に示したＯＮＵの一例を示す図である。 図６に示した設定テーブルの例を示す図である。 図５に示した通信システムにおける伝送処理の例を示す図である。 図５に示した通信システムにおける伝送処理の例を示す図である。

以下、図面を用いて実施形態について説明する。

図１は、通信システム、送信装置および受信装置の一実施形態を示す。

図１に示す通信システム１００は、例えば、ＯＬＴ１０、ＯＮＵ２０、ＯＬＴ１０とＯＮＵ２０とを接続する光ファイバ等の伝送路３０を有するＥＰＯＮ（Ethernet（登録商標）Passive Optical Network）システムである。また、通信システム１００において、ＯＬＴ１０は、有線または無線でネットワーク５０に接続され、ＯＮＵ２０は、有線または無線でユーザ端末４０に接続される。なお、ＯＬＴ１０は、第１通信装置または送信装置の一例を示し、ＯＮＵ２０は、第２通信装置または受信装置の一例を示す。また、以下では、ネットワーク５０からユーザ端末４０にデータが伝送される例が説明されるが、ユーザ端末４０からネットワーク５０にデータが伝送されてもよい。

ユーザ端末４０は、例えば、パーソナルコンピュータ等のコンピュータ装置、またはスマートホン、タブレット型端末等の携帯端末装置である。

ＯＬＴ１０は、例えば、プロセッサ等の制御部１１を含み、例えば、制御部１１は、プログラムを実行することで、暗号化部１２として動作する。

暗号化部１２は、例えば、ＯＮＵ２０との間で交換された暗号化の設定を示す情報に基づいて、ネットワーク５０から受信したデータを暗号化する。暗号化部１２の動作および暗号化の設定を示す情報については、図２および図３で説明する。

また、制御部１１は、例えば、プログラム等を実行することで、ネットワーク５０からデータを受信し、受信したデータが格納されるフレームを生成する。制御部１１は、伝送路３０を介して、生成したフレームをＯＮＵ２０に送信する。なお、制御部１１が実行するプログラムは、例えば、ＯＬＴ１０に含まれるＥＥＰＲＯＭ（Electrically Erasable Programmable Read-Only Memory）等の記憶部に予め記憶される。

ＯＮＵ２０は、例えば、受信部２１およびプロセッサ等の制御部２２を含む。

受信部２１は、例えば、ＯＬＴ１０から送信されたフレームを受信する。

制御部２２は、例えば、プログラム等を実行することで、復号化部２３として動作する。

復号化部２３は、例えば、ＯＬＴ１０との間で交換された暗号化の設定を示す情報に基づいて、受信したフレームに格納されるデータを復号する。制御部２２は、復号されたデータをユーザ端末４０に送信する。復号化部２３の動作については、図２および図３で説明する。なお、制御部２２が実行するプログラムは、例えば、ＯＮＵ２０に含まれるＥＥＰＲＯＭ等の記憶部に予め記憶される。

ここで、通信システム１００におけるフレームについて、ＩＥＥＥ８０２．３ａｈに準拠した暗号化されたデータが格納されたフレームとの比較に基づいて説明する。なお、ＩＥＥＥは、The Institute of Electrical and Electronics Engineers, Inc.の略である。

図２は、ＩＥＥＥ８０２．３ａｈに準拠した暗号化されたデータが格納されるフレーム６０を比較例として示す。フレーム６０は、プリアンブル６１、ＤＡ（Destination Address）６２、ＳＡ（Source Address）６３、ＳｅｃＴａｇ（Secure Tag）６４およびＤＡＴＡ６５の格納領域を有する。さらに、フレーム６０は、ＩＣＶ（Integrity Check Value）６６およびＦＣＳ（Frame Check Sequence）６７の格納領域を有する。プリアンブル６１の格納領域には、ＩＥＥＥ８０２．３ａｈにおいて規定するＥＰＯＮに応じたフレーム６０の開始を示す所定のパターンのビット列が格納される。ＤＡ６２の格納領域には、データの宛先である装置のＭＡＣ（Media Access Control）アドレスが格納され、ＳＡ６３の格納領域には、データの送信元である装置のＭＡＣアドレスが格納される。

ＳｅｃＴａｇ６４の格納領域には、ＩＥＥＥ８０２．３ａｈにて規定されるＭＡＣｓｅｃ（MAC Security）方式の暗号化処理における設定を示す情報が格納される。ＤＡＴＡ６５の格納領域には、暗号化されたデータが格納される。ＩＣＶ６６の格納領域には、データに対する暗号化処理の正常性を示す情報が格納される。ＦＣＳ６７の格納領域には、フレームが伝送路３０を伝送中に生じたデータの誤り検出および訂正を行うための符号が格納される。

また、ＳｅｃＴａｇ６４は、図２に示すように、ＭＥＴ（MACsec Ether Type）７０およびＴＣＩ（Tag Control Information）７１およびＡＮ（Association Channel）７２の格納領域を有する。さらに、ＳｅｃＴａｇ６４は、ＳＬ（Short Length）７３、ＰＮ（Packet Number）７４およびＳＣＩ（Secure Channel Identifier）７５の格納領域を有する。ＭＥＴ７０の格納領域には、暗号化方式としてＭＡＣｓｅｃが使用されていることを示す情報が格納される。例えば、ＭＥＴ７０の格納領域には、ＩＥＥＥ８０２．３ＡＥで規格された１６進数の値“０ｘ８８ｅ５”が格納される。ＴＣＩ７１の格納領域には、ＭＡＣｓｅｃのバージョン、オプションのＳＣＩ７５や暗号化の有無等を示す、通信方式に応じて予め決められた所定の情報が格納される。

ＡＮ７２の格納領域には、例えば、最大４つのSecure Associationを有する同一のＳＣ（Secure Channel）の中でのSecure Associationを識別する番号を格納する。ここで、Secure Associationとは、通信を始める前に暗号化方式や暗号鍵等の情報を交換し、安全な通信路を確立することを示す。例えば、暗号化部１２は、ＡＮ７２の格納領域に格納された番号に対応するSecure Associationで確立された通信路を介してＯＮＵ２０との間で交換された暗号鍵を用い、ＯＬＴ１０がネットワーク５０から受信したデータを暗号化する。また、ＯＮＵ２０の復号化部２３は、交換された暗号鍵を用い、ＯＬＴ１０から受信した暗号化されたデータを復号する。

ＳＬ７３の格納領域には、暗号化されたデータの長さを示す情報が格納される。ＰＮ７４の格納領域には、同一のSecure Associationで確立された通信路で送信されたフレームを識別する番号が格納される。ＳＣＩ７５は、フレームが属しているチャンネルの情報が格納される。なお、ＳＣＩ７５は、オプションであることから省略されてもよい。

図３は、図１に示した通信システム１００のフレーム８０の例を示す。なお、フレーム８０の各要素のうち、図２に示したフレーム６０の要素と同一または同様の機能を有するものについては、同一の符号を付し説明を省略する。

フレーム８０は、プリアンブル６１、ＤＡ６２、ＳＡ６３、ＤＡＴＡ６５、ＩＣＶ６６およびＦＣＳ６７の格納領域を有する。すなわち、ＯＬＴ１０が生成するフレーム８０には、ＳｅｃＴａｇ６４の格納領域が付加されない。ＳｅｃＴａｇ６４に含まれるＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の暗号化の設定を示す情報は、ＯＬＴ１０およびＯＮＵ２０に含まれるＥＥＰＲＯＭ等の記憶部に記憶される。

例えば、ＯＮＵ２０は、新たに伝送路３０に接続された場合、ＯＬＴ１０から定期的に伝送路３０に出力される新たに接続されたＯＮＵを検出するDiscovery Gateフレームを受信する。ＯＮＵ２０は、受信したDiscovery Gateフレームに対して、接続を要求するRegister RequestフレームをＯＬＴ１０に送信する。例えば、ＯＬＴ１０は、ＯＮＵ２０からRegister Requestフレームを受信すると、ＯＮＵ２０との間の通信経路であるロジカルリンクを設定する。ＯＬＴ１０は、設定したＯＮＵ２０のロジカルリンクの識別子を格納したRegisterフレームをＯＮＵ２０に送信し、ＯＮＵ２０からRegister ACK（Acknowledgement）フレームを受信したら、ＯＮＵ２０との通信を確立する。そして、ＯＬＴ１０は、例えば、４つのSecure Associationの通信路それぞれにおける暗号鍵と、ＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の設定の情報とを、ＯＮＵ２０との間で交換する。ＯＬＴ１０は、交換した４つの暗号鍵と、ＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の設定の情報とをＯＬＴ１０内の記憶部に記憶する。また、ＯＮＵ２０は、交換した４つの暗号鍵と、ＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の設定の情報とをＯＮＵ２０内の記憶部に記憶する。

図４は、図１に示した通信システム１００における伝送処理の例を示す。ステップＳ１０からステップＳ１３は、ＯＬＴ１０の制御部１１がプログラムを実行することにより実行される。また、ステップＳ２０からステップＳ２２は、ＯＮＵ２０の制御部２２がプログラムを実行することにより実行される。すなわち、図４は、伝送方法の一実施形態を示す。なお、図４に示す処理は、ＯＬＴ１０およびＯＮＵ２０に搭載されるハードウェアにより実行されてもよい。この場合、図１に示した制御部１１、暗号化部１２、受信部２１、制御部２２および復号化部２３は、ＯＬＴ１０およびＯＮＵ２０内に配置される回路により実現される。

ステップＳ１０において、制御部１１は、図１で説明したように、ネットワーク５０からデータを受信する。

次に、ステップＳ１１において、暗号化部１２は、図１から図３で説明したように、ＯＮＵ２０との間で交換された暗号化の設定を示す情報に基づいて、受信したデータを暗号化する。

次に、ステップＳ１２において、制御部１１は、図３において説明したように、暗号化の設定を示す情報を付加せずに暗号化されたデータをＤＡＴＡ６５の格納領域に格納したフレーム８０を生成する。例えば、暗号化部１２は、ＥＥＰＲＯＭ等の記憶部に記憶されたＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報と、ＡＮ７２に格納された番号に対応する暗号鍵とを読み込む。暗号化部１２は、例えば、ＩＥＥＥ８０２．３ａｈの規格に基づきＤＡ６２、ＳＡ６３、ＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報を用いＡＡＤ（Additional Authenticated Data）を算出する。また、暗号化部１２は、例えば、ＩＥＥＥ８０２．３ａｈの規格に基づいて、読み込んだＰＮ７４およびＳＣＩ７５の情報を用いＩＶ（Initialization Vector）を算出する。暗号化部１２は、読み込んだ暗号鍵と算出したＡＡＤおよびＩＶとを用いてＧＣＭ（Galois Counter Mode）演算を行い、データを暗号化する。また、暗号化部１２は暗号化処理の完全性を示す値を算出する。

次に、ステップＳ１３において、制御部１１は、生成したフレーム８０をＯＮＵ２０に送信する。例えば、制御部１１は、暗号化されたデータをＤＡＴＡ６５の格納領域に、暗号化部１２により算出された完全性を示す値をＩＣＶ６６の格納領域にそれぞれ格納してフレーム８０を生成する。制御部１１は、生成したフレーム８０をＯＮＵ２０に送信する。

次に、ステップＳ２０において、ＯＮＵ２０の受信部２１は、図１において説明したように、ＯＬＴ１０より送信されたフレーム８０を受信する。

次に、ステップＳ２１において、復号化部２３は、図１から図３で説明したように、ＯＬＴ１０との間で交換された暗号化の設定を示す情報に基づいて、受信したフレーム８０のＤＡＴＡ６５の格納領域に格納されたデータを復号する。例えば、復号化部２３は、ＥＥＰＲＯＭ等の記憶部に記憶されたＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報と、ＡＮ７２に格納された番号に対応する暗号鍵とを読み込む。復号化部２３は、例えば、ＩＥＥＥ８０２．３ａｈの規格に基づいて、読み込んだＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５と、受信したフレーム８０のＤＡ６２およびＳＡ６３との情報からＡＡＤを算出する。また、復号化部２３は、例えば、ＩＥＥＥ８０２．３ａｈの規格に基づいて、読み込んだＰＮ７４およびＳＣＩ７５の情報からＩＶを算出する。復号化部２３は、読み込んだ暗号鍵とともに算出したＡＡＤとＩＶとを用いてＧＣＭ演算を行い、受信したフレーム８０のＤＡＴＡ６５の格納領域に格納されたデータを復号する。

次に、ステップＳ２２において、制御部２２は、復号されたデータをユーザ端末４０に送信する。例えば、制御部２２は、復号化部２３により算出された復号化処理における完全性を示す値と、受信したフレーム８０のＩＣＶ６６の格納領域に格納された値とを比較する。制御部２２は、２つの値が互いに一致する場合、復号化処理が正常に行われたと判定し、復号されたデータをユーザ端末４０に送信する。一方、制御部２２は、例えば、２つの値が一致せず、復号化処理が正常に行われなかったと判定し、フレーム８０を破棄する。

そして、通信システム１００による伝送処理は終了する。なお、図４に示したフローは、ＯＬＴ１０がネットワーク５０からデータを受信する度に繰り返し実行される。

以上、この実施形態では、暗号化部１２は、ＯＮＵ２０との間で交換された暗号化の設定を示す情報に基づいて、ネットワーク５０から受信したデータを暗号化する。制御部１１は、暗号化の設定を示す情報を付加せずに暗号化されたデータのフレーム８０を生成し、生成したフレーム８０をＯＮＵ２０に送信する。復号化部２３は、交換された暗号化の設定を示す情報に基づいて、受信したフレーム８０のデータを復号する。これにより、通信システム１００は、データの暗号化の設定を示す情報をフレーム８０に付加せずにＯＬＴ１０とＯＮＵ２０との間で予め交換することで、暗号化を示す情報を付加する場合と比べてフレーム８０に格納できるデータの量を増やすことができる。そして、通信システム１００は、データ伝送のスループットを向上させることができる。

なお、交換されるＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報は、固定されてもよいし、ＯＬＴ１０とＯＮＵ２０との間でフレーム８０が伝送されるごとに所定の手順で更新されてもよい。例えば、暗号化部１２は、ネットワーク５０から受信したデータを暗号化するごとに、ＯＬＴ１０におけるＡＮ７２の格納領域の番号を１つ増加または減少させてもよい。ＯＬＴ１０とＯＮＵ２０との間で暗号化の設定を示す情報を一致させるために、復号化部２３は、例えば、受信したフレーム８０のデータを復号するごとに、ＯＮＵ２０におけるＡＮ７２の格納領域の番号を１つ増加または減少させる。なお、暗号鍵は４つの０から３までの番号しかないことから、暗号化部１２および復号化部２３は、３の番号を１増加する場合にはＡＮ７２の格納領域に０の番号を格納し、０の番号に１減少する場合にはＡＮ７２の格納領域に３の番号を格納する。これにより、フレーム８０が伝送されるごとに、暗号化部１２および復号化部２３で用いられる暗号鍵が変わることから、通信システム１００におけるセキュリティの向上を図ることができる。

また、例えば、暗号化部１２は、ネットワーク５０から受信したデータを暗号化するごとに、ＯＬＴ１０におけるＰＮ７４の格納領域の値を１つ増加または減少させてもよい。ＯＬＴ１０とＯＮＵ２０との間で暗号化の設定を示す情報と一致させるために、復号化部２３は、例えば、受信したフレーム８０のデータを復号するごとに、ＯＮＵ２０におけるＰＮ７４の格納領域の番号を１つ増加または減少させる。これにより、フレーム８０が伝送されるごとに、暗号化部１２および復号化部２３で用いられるフレーム番号が変わることから、通信システム１００におけるセキュリティの向上を図ることができる。

図５は、通信システム、送信装置および受信装置の別実施形態を示す。図５に示す通信システム１００の各要素において、図１に示した通信システム１００の要素と同一または同様の機能を有するものについては、同一の符号を付し、詳細な説明は省略する。

通信システム１００は、例えば、ＯＬＴ１１０、Ｎ個のＯＮＵ１２０（１２０（１）−１２０（Ｎ））、伝送路３０および受動素子のスプリッタを用いて光信号を複数に分岐する光スプリッタ１３０を含む（Ｎは正の整数）。通信システム１００は、有線または無線で、ネットワーク５０とＮ個のユーザ端末１４０（１４０（１）−１４０（Ｎ））とに接続される。また、通信システム１００では、ＯＬＴ１１０とＯＮＵ１２０との間で伝送されるフレームは、図３で示したフレーム８０である。なお、通信システム１００では、例えば、ＯＬＴ１１０からＯＮＵ１２０への下り方向の通信は、波長１．５マイクロメートルの光信号によるＴＤＭ（Time Division Multiplexing）方式で行われる。また、ＯＮＵ１２０からＯＬＴ１１０への上り方向の通信は、例えば、波長１．３マイクロメートルの光信号によるＴＤＭＡ（Time Division Multiple Access）方式で行われる。

ユーザ端末１４０は、図１に示したユーザ端末４０と同様に、例えば、パーソナルコンピュータ等のコンピュータ装置、またはスマートホン、タブレット型端末等の携帯端末装置である。

図６は、図５に示したＯＬＴ１１０の一例を示す。ＯＬＴ１１０は、ＣＮＩ（Core Network Interface）１１１、制御部１１２、ＥＰＯＮ側ＩＦ（Interface）部１１３および記憶部１１４を有する。

ＣＮＩ１１１は、例えば、ＯＬＴ１１０とネットワーク５０との間でデータ伝送を行うインタフェースである。ＣＮＩ１１１は、受信部の一例である。

例えば、制御部１１２は、ＥＥＰＲＯＭ等の記憶部１１４に記憶されるプログラムを実行することで、ＯＬＴ１の各部の動作を統括的に制御するプロセッサ等である。制御部１１２は、例えば、ＣＮＩ１１１を介して受信したデータがＯＬＴ１１０宛のデータか否かを判定する。制御部１１２は、例えば、受信したデータに付加された宛先を示すＭＡＣアドレスがＯＬＴ１１０のＭＡＣアドレスと一致するか否かを判定し、一致する場合には受信したデータを取り込む。一方、制御部１１２は、宛先のＭＡＣアドレスがＯＬＴ１１０のＭＡＣアドレスと一致しない場合、受信したデータを破棄する。

また、制御部１１２は、例えば、プログラムを実行することにより、キュー部１１５、暗号化部１１６、復号化部１１７およびキュー部１１８として動作する。

キュー部１１５は、例えば、ＣＮＩ１１１を介して、ネットワーク５０から受信したデータに付加された、ＯＮＵ１２０に転送する優先度を示すＱｏＳ（Quality of Service）の値を取得する。キュー部１１５は、記憶部１１４に含まれるＲＡＭ（Random Access Memory）等のうち、取得したＱｏＳの値に応じて割り当てられた格納領域に受信したデータを格納する。また、キュー部１１５は、例えば、取得したＱｏＳの値に基づいて、受信したデータをＯＮＵ１２０に転送する順番を決定する。そして、キュー部１１５は、決定した順番に基づいて、記憶部１１４に格納されたデータを暗号化部１１６に転送する。

暗号化部１１６は、例えば、記憶部１１４に含まれるＥＥＰＲＯＭ等に記憶された暗号化の設定を示す情報に基づいて、キュー部１１５から転送されてきたデータを暗号化する。そして、制御部１１２は、暗号化されたデータがＤＡＴＡ６５の格納領域に格納されるフレーム８０を生成する。制御部１１２、ＰＯＮ側ＩＦ部１１３を介して、生成したフレーム８０をブロードキャストでＯＮＵ１２０に送信する。暗号化部１１６の動作については、図９で説明する。

復号化部１１７は、例えば、記憶部１１４に記憶された暗号化の設定を示す情報に基づいて、ＥＰＯＮ側ＩＦ部１１３を介しＯＮＵ１２０から受信したフレーム８０のＤＡＴＡ６５の格納領域に格納された暗号化されたデータを復号する。復号化部１１７は、復号したデータをキュー部１１８に転送する。復号化部１１７の動作については、図１０で説明する。

キュー部１１８は、例えば、復号されたデータに付加されたネットワーク５０に送信する優先度を示すＱｏＳの値を取得する。キュー部１１８は、記憶部１１４に含まれるＲＡＭ等のうち、取得したＱｏＳの値に応じて割り当てられた格納領域に受信したデータを格納する。そして、キュー部１１８は、取得したＱｏＳの値に基づいて、受信したデータをネットワーク５０に送信する順番を決定し、決定した順番に基づいて、ＣＮＩ１１１を介し記憶部１１４に格納されたデータをネットワーク５０に送信する。

ＥＰＯＮ側ＩＦ部１１３は、ＯＮＵ１２０（１）−ＯＮＵ１２０（Ｎ）にＴＤＭ方式で光信号を送信し、ＯＮＵ１２０（１）−ＯＮＵ１２０（Ｎ）からのＴＤＭＡ方式の光信号を受信するインタフェースである。また、ＥＰＯＮ側ＩＦ部１１３は、各ＯＮＵ１２０からのフレーム８０の光信号を電気信号に、およびＯＬＴ１１０が送信するフレーム８０の電気信号を光信号に変換する変換部を有する。

記憶部１１４は、例えば、ＥＥＰＲＯＭ等とともにＲＡＭ等を含み、制御部１１２により実行されるプログラムを記憶する。また、記憶部１１４は、予め割り当てられた格納領域に、各ＯＮＵ１２０との間で交換された暗号化の設定の情報を示す設定テーブル２００，２１０を格納する。なお、設定テーブル２００，２１０については、図８で説明する。

図７は、図５に示したＯＮＵ１２０（１）の一例を示す。ＯＮＵ１２０（１）は、ＥＰＯＮ側ＩＦ１２１、制御部１２２、ＵＮＩ（User Network Interface）１２３、およびＥＥＰＲＯＭおよびＲＡＭ等を含む記憶部１２４を有する。なお、ＯＮＵ１２０（２）−１２０（Ｎ）は、図７に示したＯＮＵ１２０（１）と同様の機能を有する要素を含む。

ＥＰＯＮ側ＩＦ部１２１は、ＯＬＴ１１０からＴＤＭ方式で送信されたフレーム８０の光信号を受信し、収容するユーザ端末１４０（１）からのデータを格納したフレーム８０を光信号にしてＴＤＭＡ方式でＯＬＴ１１０に送信するインタフェースである。ＥＰＯＮ側ＩＦ部１２１は、ＯＬＴ１１０に送信するフレーム８０の電気信号を光信号に変換し、ＯＬＴ１１０から受信するフレーム８０の光信号を電気信号に変換する変換部を有する。

例えば、制御部１２２は、ＥＥＰＲＯＭ等の記憶部１２４に記憶されるプログラムを実行することで、ＯＮＵ１２０（１）の各部の動作を統括的に制御するプロセッサ等である。制御部１２２は、例えば、ＥＰＯＮ側ＩＦ部１２１を介してＯＬＴ１１０から受信したフレーム８０がＯＮＵ１２０（１）宛か否かを判定する。すなわち、制御部１２２は、例えば、受信したフレーム８０に付加されたＤＡ６２のＭＡＣアドレスがＯＮＵ１２０（１）のＭＡＣアドレスと一致するか否かを判定し、一致する場合に受信したフレーム８０を取り込む。一方、制御部１２２は、ＤＡ６２のＭＡＣアドレスがＯＮＵ１２０（１）のＭＡＣアドレスと一致しない場合、受信したフレーム８０を破棄する。また、制御部１２２は、例えば、プログラムを実行することにより、復号化部１２５、キュー部１２６、キュー部１２７および暗号化部１２８として動作する。

復号化部１２５は、記憶部１２４に記憶される暗号化の設定を示す情報に基づいて、受信したフレーム８０のＤＡＴＡ６５の格納領域に格納されたデータを復号する。復号化部１２５は、復号したデータをキュー部１２６に転送する。復号化部１２５の動作については、図９で説明する。

キュー部１２６は、例えば、記憶部１２４のうち、受信したフレーム８０に付加されたＱｏＳの値に応じて割り当てられた格納領域に、復号したデータを格納する。また、キュー部１２６は、取得したＱｏＳの値に基づいて、復号されたデータをユーザ端末１４０（１）に転送する順番を決定する。そして、制御部１２２は、決定された順番に基づいて、ＵＮＩ１２３を介して、復号されたデータをユーザ端末１４０（１）に送信する。

キュー部１２７は、例えば、ＵＮＩ１２３を介して、ユーザ端末１４０（１）から受信したデータに付加されたＱｏＳの値に基づいて、記憶部１２４に割り当てられた格納領域に格納し、受信したデータを暗号化部１２８に転送する順番を決定する。キュー部１２７は、決定した順番に基づいて、記憶部１２４に格納されたデータを暗号化部１２８に転送する。

暗号化部１２８は、記憶部１２４に記憶された暗号化の設定を示す情報に基づいて、キュー部１２７から転送されてきたデータを暗号化する。そして、制御部１２２は、暗号化されたデータをＤＡＴＡ６５の格納領域に格納したフレーム８０を生成し、ＥＰＯＮ側ＩＦ部１２１を介して、生成したフレーム８０をＯＬＴ１１０に送信する。暗号化部１２８の動作については、図１０で説明する。

ＵＮＩ１２３は、ユーザ端末１４０（１）と接続され、ユーザ端末１４０（１）との間でデータの伝送を行うインタフェースである。ＵＮＩ１２３とユーザ端末１４０（１）とのデータの伝送は、ＵＮＩ１２３にユーザ端末１４０（１）が最初に接続された際、ユーザ端末１４０（１）と制御部１２２との間での交信に基づいて設定されるリンク速度で行われる。なお、ＵＮＩ２３は、１つのユーザ端末１４０（１）と接続されるが、複数のユーザ端末１４０が接続されてもよい。

記憶部１２４は、例えば、ＥＥＰＲＯＭ等とともにＲＡＭ等を含み、制御部１２２により実行されるプログラムを記憶する。また、記憶部１２４は、予め割り当てられた格納領域に、ＯＬＴ１１０との間で交換された暗号化の設定の情報を格納する。

図８は、図６に示した設定テーブル２００，２１０の例を示す。設定テーブル２００，２１０は、ＯＬＴ１１０と各ＯＮＵ１２０との間で交換された暗号化の設定を示す情報を格納する。図８（ａ）に示す設定テーブル２００は、ＯＬＴ１１０からＯＮＵ１２０にフレーム８０を伝送する際に用いられ、図８（ｂ）に示す設定テーブル２１０は、ＯＮＵ１２０からＯＬＴ１１０にフレーム８０を伝送する際に用いられる。

設定テーブル２００は、ネットワーク５０から受信したデータの送信先であるＯＮＵ１２０ごとに、暗号鍵と図２に示したＳｅｃＴａｇ６４に含まれるＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５との格納領域を有する。

暗号鍵の格納領域には、例えば、ＯＬＴ１１０と各ＯＮＵ１２０との間で交換され、暗号化部１１６と復号化部１２５とで用いられる４つの暗号鍵Ｋ１ｊ（０）−Ｋ１ｊ（３）のデータが格納される（ｊは１からＮの整数）。

ＭＥＴ７０の格納領域には、ＩＥＥＥ８０２．３ＡＥで規格される１６進数の値“０ｘ８８ｅ５”が格納される。

ＴＣＩ７１の格納領域には、ＭＡＣｓｅｃのバージョン、オプションのＳＣＩ７５や暗号化の有無等を示す、ＥＰＯＮの通信方式に応じて予め決められた所定の情報α１ｊが格納される。

ＡＮ７２の格納領域には、４つのSecure Associationを有する同一のＳＣの中でのSecure Associationを識別する０から３のいずれかの番号が格納される。

ＳＬ７３の格納領域には、暗号化されたデータの長さを示す情報β１ｊが格納される。

ＰＮ７４の格納領域には、同一のSecure Associationで確立された通信路で送信されたフレーム８０を識別する番号が格納される。

ＳＣＩ７５の格納領域には、暗号化されたデータを含むフレーム８０が属しているチャンネルの情報γ１ｊが格納される。なお、ＳＣＩ７５は、オプションであることから省略されてもよい。

設定テーブル２１０は、ＥＰＯＮ側ＩＦ部１１３を介して受信したフレーム８０の送信元であるＯＮＵ１２０ごとに、暗号鍵、ＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の格納領域を有する。

暗号鍵の格納領域には、例えば、ＯＬＴ１１０と各ＯＮＵ１２０との間で交換され、復号化部１１７と復号化部１２８とで用いられる４つの暗号鍵Ｋ２ｊ（０）−Ｋ２ｊ（３）のデータが格納される。なお、設定テーブル２１０に格納される暗号鍵Ｋ２ｊ（０）−Ｋ２ｊ（３）は、設定テーブル２００に格納される暗号鍵Ｋ１ｊ（０）−Ｋ１ｊ（３）と同じでもよいし異なってもよい。

ＭＥＴ７０の格納領域には、ＩＥＥＥ８０２．３ＡＥで規格される１６進数の値“０ｘ８８ｅ５”が格納される。

ＴＣＩ７１の格納領域には、ＭＡＣｓｅｃのバージョン、オプションのＳＣＩ７５や暗号化の有無等を示す、ＥＰＯＮの通信方式に応じて予め決められた所定の情報α２ｊが格納される。なお、設定テーブル２１０に格納される情報α２ｊは、設定テーブル２００に格納される情報α１ｊと同じでもよいし異なってもよい。

ＡＮ７２の格納領域には、４つのSecure Associationを有する同一のＳＣの中でのSecure Associationを識別する０から３のいずれかの番号が格納される。なお、設定テーブル２１０に格納される番号は、設定テーブル２００に格納される番号と同じでもよいし異なってもよい。

ＳＬ７３の格納領域には、暗号化されたデータの長さを示す情報β２ｊを格納する。

ＰＮ７４の格納領域には、同一のSecure Associationで確立された通信路で送信されたフレーム８０を識別する番号が格納される。

ＳＣＩ７５の格納領域には、暗号化されたデータを含むフレームが属しているチャンネルの情報γ２ｊが格納される。なお、設定テーブル２１０に格納される情報γ２ｊは、設定テーブル２００に格納される情報γ１ｊと同じでもよいし異なってもよい。また、ＳＣＩ７５は、オプションであることから省略されてもよい。

一方、各ＯＮＵ１２０は、例えば、設定テーブル２００，２１０における各ＯＮＵ１２０の行に格納された暗号鍵およびＭＥＴ７０等の情報を、記憶部１２４に割り当てられた格納領域に格納する。

図９および図１０は、図５に示した通信システム１００における伝送処理の例を示す。図９は、図５に示したＯＬＴ１１０からＯＮＵ１２０（１）にデータ伝送する場合の処理を示し、図１０は、ＯＮＵ１２０（１）からＯＬＴ１１０にデータ伝送する場合の処理を示す。図９に示すステップＳ１００からステップＳ１４０および図１０に示すステップＳ４００からステップＳ４４０は、ＯＬＴ１１０の制御部１１２がプログラムを実行することにより実行される。また、図９に示すステップＳ２００からステップＳ２５０および図１０に示すステップＳ３００からステップＳ３４０は、ＯＮＵ１２０の制御部１２２がプログラムを実行することにより実行される。すなわち、図９および図１０は、伝送方法の別実施形態を示す。なお、図９および図１０に示す処理は、ＯＬＴ１１０およびＯＮＵ１２０（１）に搭載されるハードウェアにより実行されてもよい。この場合、図６に示したキュー部１１５，１１８，暗号化部１１６および復号化部１１７、あるいは図７に示した復号化部１２５、キュー部１２６，１２７、および暗号化部１２８は、ＯＬＴ１１０あるいはＯＮＵ１２０（１）内に配置される回路により実現される。

なお、ＯＬＴ１１０とＯＮＵ１２０（２）−１２０（Ｎ）それぞれとのデータ伝送の処理は、図９および図１０に示したＯＬＴ１１０とＯＮＵ１２０（１）とのデータ伝送の処理と同様である。

図９のステップＳ１００において、ＯＬＴ１１０の制御部１１２は、図５および図６で説明したように、ＣＮＩ１１１を介して、ネットワーク５０からＯＬＴ１１０宛のデータを受信する。

次に、ステップＳ１１０において、キュー部１１５は、図６および図８で説明したように、ネットワーク５０から受信したデータに付加されたＱｏＳの値に応じて決定した順番で、受信したデータを暗号化部１１６に転送する。

次に、ステップＳ１２０において、暗号化部１１６は、図６および図８で説明したように、設定テーブル２００から宛先であるＯＮＵ１２０（１）の暗号化の設定を示す情報を読み込み、読み込んだ情報に基づいて受信したデータを暗号化する。例えば、暗号化部１１６は、ネットワーク５０から受信したデータに付加された宛先を示すＭＡＣアドレスに基づいて、宛先のＯＮＵ１２０を特定する。暗号化部１１６は、特定したＯＮＵ１２０のＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報と、ＡＮ７２に格納された番号に対応する暗号鍵とを設定テーブル２００から読み込む。暗号化部１１６は、例えば、ＩＥＥＥ８０２．３ａｈの規格に基づいて、読み込んだＤＡ６２、ＳＡ６２、ＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報からＡＡＤを算出する。また、暗号化部１１６は、例えば、読み込んだＰＮ７４およびＳＣＩ７５の情報からＩＶを算出する。暗号化部１１６は、読み込んだ暗号鍵と算出したＡＡＤおよびＩＶとを用いてＧＣＭ演算を行い、ネットワーク５０から受信したデータを暗号化するとともに、暗号化処理の完全性を示す値を算出する。

次に、ステップＳ１３０において、制御部１１２は、図５および図６において説明したように、暗号化の設定を示す情報を付加せずに暗号化されたデータがＤＡＴＡ６５の格納領域に格納されたフレーム８０を生成する。なお、制御部１１２は、フレーム８０の生成にあたり、暗号化部１１６により算出された完全性を示す値をＩＣＶ６６の格納領域に格納する。

次に、ステップＳ１４０において、制御部１１２は、図５および図６において説明したように、ＥＰＯＮ側ＩＦ部１１３を介して、生成したフレーム８０をＯＮＵ１２０に送信する。

次に、ステップＳ２００において、ＯＮＵ１２０（１）の制御部１２２は、図５および図７において説明したように、ＥＰＯＮ側ＩＦ部１２１を介して、ＯＬＴ１１０により送信されたフレーム８０を受信する。

次に、ステップＳ２１０において、制御部１２２は、図５および図７において説明したように、ＯＮＵ１２０（１）が受信したフレーム８０の宛先であるか否かを判定する。例えば、制御部１２２は、受信したフレーム８０のＤＡ６２の格納領域に格納されたＭＡＣアドレスとＯＮＵ１２０（１）のＭＡＣアドレスと比較する。制御部１２２は、２つのＭＡＣアドレスが一致する場合（ＹＥＳ）、受信したフレーム８０をＯＮＵ１２０（１）宛と判定する。そして、制御部１２２は、受信したフレーム８０を取り込み、処理をステップＳ２２０に移行する。一方、制御部１２２は、２つのＭＡＣアドレスが一致しない場合（ＮＯ）、受信したフレーム８０を破棄し、処理をステップＳ２００に移行する。

ステップＳ２２０において、復号化部１２５は、図５、図７および図８で説明したように、ＯＬＴ１１０の設定テーブル２００との間で交換した暗号化の設定を示す情報を読み込み、読み込んだ情報に基づき受信したフレーム８０に格納されたデータを復号する。例えば、復号化部１２５は、ＯＬＴ１１０の設定テーブル２００との間で交換されたＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報と、ＡＮ７２に格納された番号に対応する暗号鍵とを記憶部１２４から予め読み込む。復号化部１２５は、例えば、ＯＬＴ１１０からフレーム８０を受信した場合、読み込んだＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５と、受信したフレーム８０のＤＡ６２およびＳＡ６３との情報からＡＡＤを算出する。また、復号化部１２５は、例えば、読み込んだＰＮ７４およびＳＣＩ７５の情報からＩＶを算出する。復号化部１２５は、暗号鍵とともに算出したＡＡＤとＩＶとを用いてＧＣＭ演算を行い、フレーム８０のＤＡＴＡ６５の格納領域に格納されたデータを復号するとともに、復号化処理における完全性を示す値を算出する。

ステップＳ２３０において、復号化部１２５は、算出した完全性を示す値と受信したフレーム８０のＩＣＶ６６の格納領域に格納された値とを比較し、復号化処理が正常に行われたか否かを判定する。例えば、復号化部１２５は、算出した完全性を示す値とＩＣＶ６６の格納領域に格納された値とが一致する場合（ＹＥＳ）、復号化処理が正常に行われたと判定する。復号化部１２５は、復号したデータをキュー部１２６に転送し、処理をステップＳ２４０に移行する。一方、復号化部１２５は、例えば、算出した完全性を示す値とＩＣＶ６６の格納領域に格納された値とが一致せず、復号化処理が正常に行われなかったと判定した場合（ＮＯ）、フレーム８０を破棄し処理をステップＳ２００に移行する。

ステップＳ２４０において、キュー部１２６は、図５および図７で説明したように、受信したフレーム８０に付加されたＱｏＳの値に応じて、復号したデータをユーザ端末１４０（１）に送信する順番を決定する。

次に、ステップＳ２５０において、制御部１２２は、図７において説明したように、決定された順番で復号したデータをユーザ端末１４０（１）に送信する。

そして、通信システム１００のＯＬＴ１１０からＯＮＵ１２０への伝送処理は終了する。なお、図９に示したフローは、ＯＬＴ１１０がネットワーク５０からデータを受信する度に繰り返し実行される。

一方、図１０のステップＳ３００において、ＯＮＵ１２０（１）の制御部１２２は、図５および図７で説明したように、ＵＮＩ１２３を介して、ユーザ端末１４０（１）からデータを受信する。

次に、ステップＳ３１０において、キュー部１２７は、図５および図７で説明したように、ユーザ端末１４０（１）から受信したデータに付加されたＱｏＳの値に応じて決定した順番で、受信したデータを暗号化部１２８に転送する。

次に、ステップＳ３２０において、暗号化部１２８は、図５、図７および図８で説明したように、ＯＬＴ１１０の設定テーブル２１０との間で交換した暗号化の設定を示す情報を読み込み、読み込んだ情報に基づいて受信したデータを暗号化する。例えば、暗号化部１２８は、ＯＬＴ１１０の設定テーブル２１０との間で交換されたＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報と、ＡＮ７２に格納された番号に対応する暗号鍵とを記憶部１２４から予め読み込む。暗号化部１２８は、例えば、キュー部１２７からデータを受信した場合、読み込んだＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５と、受信したフレーム８０のＤＡ６２およびＳＡ６３との情報からＡＡＤを算出する。また、暗号化部１２８は、例えば、読み込んだＰＮ７４およびＳＣＩ７５に格納された情報からＩＶを算出する。暗号化部１２８は、読み込んだ暗号鍵と算出したＡＡＤおよびＩＶとを用いてＧＣＭ演算を行い、キュー部１２７から受信したデータを暗号化するとともに、暗号化処理の完全性を示す値を算出する。

次に、ステップＳ３３０において、制御部１２２は、図５および図７において説明したように、暗号化の設定を示す情報を付加せずに暗号化されたデータがＤＡＴＡ６５の格納領域に格納されたフレーム８０を生成する。なお、制御部１２２は、フレーム８０の生成にあたり、暗号化部１２８により算出された完全性を示す値をＩＣＶ６６の格納領域に格納する。

次に、ステップＳ３４０において、制御部１２２は、図５および図７において説明したように、ＥＰＯＮ側ＩＦ部１２１を介して、生成したフレーム８０をＯＬＴ１１０に送信する。

次に、ステップＳ４００において、ＯＬＴ１１０の制御部１１２は、図５および図６において説明したように、ＥＰＯＮ側ＩＦ部１１３を介して、ＯＮＵ１２０（１）により送信されたフレーム８０を受信する。

次に、ステップＳ４１０において、復号化部１１７は、図５、図６および図８で説明したように、設定テーブル２１０から送信元であるＯＮＵ１２０（１）の暗号化の設定を示す情報を読み込み、読み込んだ情報に基づき受信したフレーム８０のデータを復号する。例えば、復号化部１１７は、ＥＰＯＮ側ＩＦ部１１３を介して、ＯＮＵ１２０からフレーム８０を受信した場合、受信したフレーム８０のＳＡ６３の格納領域に格納されたＭＡＣアドレスから送信元のＯＮＵ１２０を特定する。復号化部１１７は、特定したＯＮＵ１２０のＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報と、ＡＮ７２に格納された番号に対応する暗号鍵とを設定テーブル２１０から読み込む。復号化部１１７は、例えば、ＩＥＥＥ８０２．３ａｈの規格に基づいて、読み込んだＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５と、受信したフレーム８０のＤＡ６２およびＳＡ６３との情報からＡＡＤを算出する。また、復号化部１１７は、例えば、読み込んだＰＮ７４およびＳＣＩ７５の情報からＩＶを算出する。復号化部１１７は、読み込んだ暗号鍵とともに算出したＡＡＤとＩＶとを用いてＧＣＭ演算を行い、フレーム８０のＤＡＴＡ６５の格納領域に格納されたデータを復号するとともに、復号化処理における完全性を示す値を算出する。

ステップＳ４２０において、復号化部１１７は、算出した完全性を示す値と受信したフレーム８０のＩＣＶ６６の格納領域に格納された値とを比較し、復号化処理が正常に行われたか否かを判定する。例えば、復号化部１１７は、算出した完全性を示す値とＩＣＶ６６の格納領域に格納された値とが一致する場合（ＹＥＳ）、復号化処理が正常に行われたと判定する。復号化部１１７は、復号したデータをキュー部１１８に転送し、処理をステップＳ４３０に移行する。一方、復号化部１１７は、例えば、算出した完全性を示す値とＩＣＶ６６の格納領域に格納された値とが一致せず、復号化処理が正常に行われなかったと判定した場合（ＮＯ）、フレーム８０を破棄し処理をステップＳ４００に移行する。

次に、ステップＳ４３０において、キュー部１１８は、図５および図６で説明したように、受信したフレーム８０に付加されたＱｏＳの値に応じて、復号したデータをネットワーク５０に送信する順番を決定する。

次に、ステップＳ４４０において、制御部１１２は、図６において説明したように、決定された順番に基づいて、復号したデータをネットワーク５０に送信する。

そして、通信システム１００のＯＮＵ１２０からＯＬＴ１１０への伝送処理は終了する。なお、図１０に示したフローは、ＯＮＵ１２０がユーザ端末１４０からデータを受信する度に繰り返し実行される。また、図９と図１０とに示す処理は、並行して実行されてもよい。

以上、この実施形態では、ＯＬＴ１１０の暗号化部１１６は、設定テーブル２００に基づいて、ネットワーク５０から受信したデータを暗号化する。制御部１１２は、暗号化の設定を示す情報を付加せずに暗号化されたデータのフレーム８０を生成し、生成したフレーム８０をＯＮＵ１２０に送信する。ＯＮＵ１２０の復号化部１２５は、交換された暗号化の設定を示す情報に基づいて、受信したフレーム８０のデータを復号する。一方、ＯＮＵ１２０の暗号化部１２８は、交換された暗号化の設定を示す情報に基づいて、ユーザ端末１４０から受信したデータを暗号化する。制御部１２２は、暗号化の設定を示す情報を付加せずに暗号化されたデータのフレーム８０を生成し、生成したフレーム８０をＯＬＴ１１０に送信する。ＯＬＴ１１０の復号化部１１７は、設定テーブル２１０に基づいて、受信したフレーム８０のデータを復号する。これにより、通信システム１００は、データの暗号化の設定を示す情報をフレーム８０に付加せずにＯＬＴ１１０と各ＯＮＵ１２０との間で予め交換することで、暗号化を示す情報を付加する場合と比べてフレーム８０に格納できるデータの量を増やすことができる。そして、通信システム１００は、データ伝送のスループットを向上させることができる。

また、キュー部１１５およびキュー部１２７が、受信したデータを暗号化する前にデータの順番を決定することで、通信システム１００は、ＯＬＴ１１０と各ＯＮＵ１２０との間で確度高くデータを伝送することができる。

なお、ＯＬＴ１１０およびＯＮＵ１２０は、記憶部１１４および記憶部１２４を有したが、外部に配置され設定テーブル２００，２１０を有する記憶装置と接続されてもよい。

なお、テーブル２００，２１０および記憶部１２４に記憶されるＭＥＴ７０、ＴＣＩ７１、ＡＮ７２、ＳＬ７３、ＰＮ７４およびＳＣＩ７５の情報は、固定されてもよいし、ＯＬＴ１１０と各ＯＮＵ１２０との間でフレーム８０が伝送されるごとに更新されてもよい。

例えば、ＯＬＴ１１０の暗号化部１１６は、ネットワーク５０から受信したデータを暗号化するごとに、設定テーブル２００のうち受信したデータに付加された宛先のＭＡＣアドレスが示すＯＮＵ１２０（１）のＡＮ７２の番号を１つ増加または減少させてもよい。設定テーブル２００と一致させるために、ＯＮＵ１２０（１）の復号化部１２５は、例えば、受信したフレーム８０のデータを復号するごとに、設定テーブル２００との間で交換した記憶部１２４のＡＮ７２の格納領域の番号を１つ増加または減少させてもよい。

また、例えば、ＯＮＵ１２０（１）の暗号化部１２８は、ユーザ端末１４０から受信したデータを暗号化するごとに、設定テーブル２１０との間で交換した記憶部１２４のＡＮ７２の格納領域の番号を１つ増加または減少させてもよい。そして、ＯＬＴ１１０の復号化部１１７は、例えば、受信したフレーム８０のデータを復号するごとに、設定テーブル２１０のうち受信したフレーム８０のＳＡ６３が示すＭＡＣアドレスのＯＮＵ１２０（１）のＡＮ７２の番号を１つ増加または減少させてもよい。これにより、フレーム８０が伝送されるごとに、暗号化部１１６と復号化部１２５、および暗号化部１２８と復号化部１１７との間で用いられる暗号鍵が変わることから、通信システム１００におけるセキュリティの向上を図ることができる。

あるいは、例えば、暗号化部１１６は、ネットワーク５０から受信したデータを暗号化するごとに、設定テーブル２００のうち受信したデータに付加された宛先のＭＡＣアドレスが示すＯＮＵ１２０（１）のＰＮ７４の値を１つ増加または減少させてもよい。設定テーブル２００と一致させるために、ＯＮＵ１２０（１）の復号化部１２５は、例えば、受信したフレーム８０のデータを復号するごとに、設定テーブル２００との間で交換した記憶部１２４のＰＮ７４の格納領域の番号を１つ増加または減少させてもよい。

また、例えば、ＯＮＵ１２０（１）の暗号化部１２８は、ユーザ端末１４０から受信したデータを暗号化するごとに、設定テーブル２１０との間で交換した記憶部１２４のＰＮ７４の格納領域の番号を１つ増加または減少させてもよい。ＯＬＴ１１０の復号化部１１７は、例えば、受信したフレーム８０のデータを復号するごとに、設定テーブル２１０のうち受信したフレーム８０のＳＡ６３が示すＭＡＣアドレスのＯＮＵ１２０（１）のＰＮ７４の番号を１つ増加または減少させてもよい。これにより、フレーム８０が伝送されるごとに、暗号化部１１６と復号化部１２５、および暗号化部１２８と復号化部１１７との間で用いられるフレーム番号が変わることから、通信システム１００におけるセキュリティの向上を図ることができる。

以上の詳細な説明により、実施形態の特徴点および利点は明らかになるであろう。これは、特許請求の範囲がその精神および権利範囲を逸脱しない範囲で前述のような実施形態の特徴点および利点にまで及ぶことを意図するものである。また、当該技術分野において通常の知識を有する者であれば、あらゆる改良および変更に容易に想到できるはずである。したがって、発明性を有する実施形態の範囲を前述したものに限定する意図はなく、実施形態に開示された範囲に含まれる適当な改良物および均等物に拠ることも可能である。

１０，１１０…ＯＬＴ；１１，１１２，２２，１２２…制御部；１２、１１６，１２８…暗号化部；２０，１２０（１）−１２０（Ｎ）…ＯＮＵ；２１…受信部；２３，１１７，１２５…復号化部；３０…伝送路；４０，１４０（１）−１４０（Ｎ）…ユーザ端末；５０…ネットワーク；６０，８０…フレーム；６１…プリアンブル；６２…ＤＡ；６３…ＳＡ；６４…ＳｅｃＴａｇ；６５…ＤＡＴＡ；６６…ＩＣＶ；６７…ＦＣＳ；７０…ＭＥＴ；７１…ＴＣＩ；７２…ＡＮ；７３…ＳＬ；７４…ＰＮ；７５…ＳＣＩ；１００…通信システム；１１１…ＣＮＩ；１１３，１２１…ＥＰＯＮ側ＩＦ部；１１４，１２４…記憶部；１１５，１１８，１２６，１２７…キュー部；１３０…光カプラ

Claims (7)

1. 第１通信装置と、
   前記第１通信装置との間でデータ伝送する第２通信装置と、を備え、
   前記第１通信装置は、
   前記第２通信装置との間で交換した暗号化の設定を示す第１情報に基づいて、前記第２通信装置に送信するデータを暗号化する暗号化部と、
   前記第１情報を付加せずに暗号化した前記データを前記第２通信装置に送信する制御部と、を備え、
   前記第２通信装置は、
   前記第１通信装置からの前記データを受信する受信部と、
   前記第１情報に基づいて、前記第１通信装置から受信した前記データを復号する復号化部と、を備える
   ことを特徴とする通信システム。
2. 請求項１に記載の通信システムにおいて。
   前記暗号化部は、送信する前記データを暗号化するごとに前記第１通信装置の前記第１情報を所定の手順で更新し、
   前記復号化部は、前記第１通信装置から前記データを復号するごとに前記第２通信装置の前記第１情報を前記所定の手順で更新する
   ことを特徴とする通信システム。
3. 請求項１または請求項２に記載の通信システムにおいて、
   前記第２通信装置は、
   前記第１通信装置との間で交換した暗号化の設定を示す第２情報に基づいて、前記第１通信装置に送信するデータを暗号化する暗号化部と、
   前記第２情報を付加せずに暗号化した前記データを前記第１通信装置に送信する制御部と、を備え、
   前記第１通信装置は、
   前記第２情報に基づいて、前記第２通信装置から受信した前記データを復号する復号化部を備える
   ことを特徴とする通信システム。
4. 請求項３に記載の通信システムにおいて、
   前記第２通信装置の前記暗号化部は、送信する前記データを暗号化するごとに前記第２通信装置の前記第２情報を所定の手順で更新し、
   前記第１通信装置の前記復号化部は、前記第２通信装置から前記データを復号するごとに前記第１通信装置の前記第２情報を前記所定の手順で更新する
   ことを特徴とする通信システム。
5. データを受信する受信装置との間で交換した暗号化の設定を示す第１情報に基づいて、前記受信装置に送信するデータを暗号化する暗号化部と、
   前記第１情報を付加せずに暗号化した前記データを前記受信装置に送信する制御部と、を備える
   ことを特徴とする送信装置。
6. データを送信する送信装置から受信する受信部と、
   前記送信装置との間で交換した暗号化の設定を示す第１情報に基づいて、前記受信部で受信され、前記第１情報が付加されていない暗号化されたデータを復号する復号化部と、
   を備えることを特徴とする受信装置。
7. 第１通信装置と前記第１通信装置との間でデータ伝送する第２通信装置とを備える通信システムのデータ伝送方法であって、
   前記第２通信装置との間で交換した暗号化の設定を示す第１情報に基づいて前記第２通信装置に送信するデータを前記第１通信装置により暗号化し、
   前記第１情報を付加せずに暗号化した前記データを前記第２通信装置に前記第１通信装置により送信し、
   前記第１情報に基づいて、前記第１通信装置から受信した前記データを前記第２通信装置により復号する
   ことを特徴とする通信システムのデータ伝送方法。

Images