CN1411655A - 数字通信终端的对象及特征授权 - Google Patents

Abstract

一种用以安全及授权处理数字终端的系统。在终端(150)上的一安全处理器(250)的处理负荷可通过配置一多种应用程序管理器(MAM)(240)而减少，以确定时常传送的应用程序数据是否应该下载。该安全处理器可由MAM使用，以建立一局部虚拟应用程序表(260)来表示哪些应用程序可供下载而授权。该安全处理器可通过授权状态来配置该终端，故其知道其授权了哪些应用程序供下载，亦即，应用程序(316′、334′、376′)的所要的授权状态与终端的结构授权状态相互关联。当该终端授权状态改变，或当一应用程序的需要授权状态改变时，即访问安全处理器。而这种事件通常相对较少。

Description

数字通信终端的对象及特征授权

发明背景

本申请要求以下优先权：在1999年10月22日所提交的美国专利申请第60/161,228号及在1999年10月22日所提交的PCT专利申请第PCT/US99/24745号，其名称为“Method And Apparatus For ManagingMultiple Applications In Large Scale Networks”。

本发明涉及数字通信，而更明确而言，涉及在任何网络(例如经由宽带有线电视网络递送)上传送的一数字消息(例如封装在MPEG消息内的虚拟对象消息)使用，以便将信息传送给一数字用户终端。现将描述允许一数字网络在用户终端中处理及利用多种应用程序的授权与安全特征的机构、消息、与数据结构。

可编写各种不同的软件应用程序以便用于数字终端，例如电子节目指南(electronic program guid，EPG)、电子邮件、网络浏览器、家中购物或家中银行(shop or bank at home)、股票行情指示器等。这些应用程序可提高使用者的经验及增加服务供货商与设备业者的收益。

然而，授权终端以获得及给予这些应用程序的程序代码对象的处理会在终端安全处理器的有限资源上造成负荷。这些应用程序通常可在数字网络上从一下载服务器下载，并且在数字终端由一下载器模块取得。下载服务器可将小量的应用程序对象程序代码封装在下载的消息内，这是已知例如符合MPEG2的调谐下载信道消息(Tune DownloadChannel Message)。这种消息可插入数字网络的下游路径而由终端获得。然而，这些消息能以例如巡回方式(carouselled manner)而相对较频繁地传送。

传统上，每当在终端接收应用程序数据时，安全处理器需要确定是否授权该终端处理调谐下载信道消息。如果授权终端处理消息，终端下载器模块可调谐到用于下载消息的一特定信道(PID流)，而该下载消息包含应用对象程序代码。包含应用对象程序代码的下载消息通常以序号而顺序持续地重复传送(例如通过称之为巡回(carouselling)的处理)，所以每当一终端发现一需要来获得它们时，便能在下载数据流获得它们。而且，典型应用程序的对象程序代码可能较大，需要许多下载消息来传送整个应用程序。因此，为了减少终端的应用程序获得时间，建议该终端可在对象程序代码传输序列的任何点上开始获得下载消息。

结果，应用程序的调谐下载信道消息(包含等级匹配解码器条件)时常下游传送，导致在安全处理器上的一明显的授权处理负荷。

而且，终端固件的较新版本可支持多种应用程序管理(MultipleApplications Management，MAM)环境，如同在1999年10月22日所提交的共同待决的PCT专利申请第PCT/US99/24745号中的描述，其名称为“Method And Apparatus For Managing Multiple Applications InLarge Scale Networks”。

MAM环境允许将多种虚拟应用程序(virtual application)下载到一终端。在MAM下，终端可用的应用程序数目可望明显增长，超过单独一种传统的EPG应用程序。结果，可预期并在测试中观察到安全处理器所承受的负荷超过其多种应用程序下载的授权处理能力。而且，安全处理器还会由于完成其它工作而受到削弱，比如将加密的节目安排服务加以解码，该节目安排服务例如有每次付费(pay-per-vier)、随意近距图像(near-video-on-demand)、及其它付费服务。

因此，优点是提供一系统使应用数据可安全传递给一终端，然而，减少在终端上的一安全处理器的处理需求。

从安全芯片处理的观点，这样的系统比目前所用的解决方案更便宜。

本发明可提供一具有上述及其它优点的系统。

发明概述

本发明涉及在数字终端的安全与授权处理。本发明特别适于当这样的终端在一数字网络的多种应用程序管理(MAM)环境操作时使用，但也可适于需要在一终端上控制应用程序的下载及授权的其它应用。

本发明可减少在终端上用以处理与终端上大量应用程序有关的调谐下载信道消息(TDCM)处理的安全芯片处理负荷与费用。这些TDCM在数字网络上时常由一控制器传送，并且通知终端要调谐到哪一信道以获得对象程序代码，及提供有关可在终端上执行及启动应用程序的数据。

特别是，TDCM可包含在MPEG消息的消息前文(preamble)部份中的解码器条件。终端是否继续处理消息的其余部份取决于解码器条件项的成功或失败。这样的一个解码器条件是在TDCM前文所指定的等级匹配(tier match)条件。

在一终端内的MPEG封包处理器模块可接收MPEG消息。当该MPEG封包处理器接收包含一等级匹配解码器条件的TDCM时，该消息便可传送给一用户处理器(user processor)。该用户处理器便可要求一消息前文处理器检查终端是否得到授权来处理该消息。而该消息前文处理器询问在终端内的安全处理器模块，其一个示例是Motorola公司所制造的用于终端内的TSODA处理器。

安全处理器可经由标题管理消息(Entitlement Management Message，EMM)而检查指定给TDCM的等级匹配情况与终端单独获得授权的比较。需要在安全处理器进行一连串重要的处理，以检查等级匹配授权。

本发明可省略对具有TDCM的等级匹配解码器条件消息前文的使用，由此减少安全芯片处理的需要。特别是，通过在终端的MAM模块所处理的新建立消息，可提供应用程序的授权请求。MAM可在非易失性存储器内维持应用程序的授权状态。

特别是，当由终端中的下载器模块接收TDCM时，MAM即通知下载器有关直接来自MAM内部表的应用程序授权状态。因此，安全处理器不需要确定在一下载消息内的应用程序是否得到授权供下载。只有当终端的授权改变时，或当接收到新的应用程序数据或授权请求时，才需要询问安全处理器。

这可避免不必要地重复询问安全处理器，否则由于应用程序的重复播出(巡回)即会发生这种重复询问。

而且，保留向下兼容性以用于不运行具有MAM能力的固件(平台程序代码)的终端。

在数字用户终端上用以处理数据的一特殊方法包括将数据提供给终端的步骤，其至少包括终点授权、结构数据、以及下载消息。下载消息包括使应用程序可在终端机上执行的应用程序数据。这种应用程序具有想要的授权请求。终端授权可在终端的一安全处理器上处理，以配置终端的授权状态。此外，可在终端的一多种应用程序管理器(MAM)上处理结构数据，以配置终端来接收应用程序数据。MAM可询问安全处理器，以建立应用程序的数据库，该应用程序的所需授权状态与终端授权状态相互关联。此外，处理下载消息以根据数据库而确定是否下载或废弃在终端上接收的应用程序数据。

还提出了对应的装置。

附图简述

图1是根据本发明而描述用以提供多种应用程序管理的一数字网络示意图。

图2根据本发明而描述一具有多种应用程序管理能力的数字终端。

图3根据本发明而描述一终端的局部虚拟应用程序表(virtualapplication table，VAT)的生成，其建立在该终端的授权层级的基础上。

图4根据本发明而描述在一终端上可取得应用程序的一示例动态创建菜单。

图5(a)根据本发明而描述用以处理结构与应用程序数据的一方法。

图5(b)根据本发明而描述用以处理终点授权的一方法。

图5(c)根据本发明而描述用以处理一调谐下载消息的一方法。

发明详述

本发明涉及数字终端的安全与授权处理，更明确而言，涉及使用一数字消息(例如在MPEG消息内封装的一虚拟对象消息)——该数字消息在任何网络上传送(例如经由一宽带有线电视网络传递)——从而将信息传递给一数字用户终端。

在本文使用下列术语与缩写词：

EMM～标题管理消息(Entitlement Management Message)

MAM～多种应用程序管理/管理器(Multiple ApplicationsManagement/Manager)

PID～封包识别符(Packet Identifiier)

TDCM～调谐下载控制消息(Tune Download Control Message)

VAT～虚拟应用程序表(Virtual Application Table)

HTTP～超文本传送协议(Hyper Text Transport Protocol)

TDCM～调谐下载控制消息(Tune Download Control Message)

VOM～虚拟对象消息(Virtual Object Messsage)

例如，可根据本发明而提供下列类型的消息：

A.软件应用程序特殊消息(例如VAT)，包括(但不限于)下列各项：

i)应用程序授权要求可用来授权将一应用程序下载给一终端，

ii)应用程序授权请求可用来授权在一终端中执行(或启动)一应用程序，

iii)应用程序特征授权请求可用来授权在一终端(例如，与一应用程序——例如电子节目指南——有关的内建电子邮件、随意图像(video-on-demand)、或网站浏览能力)上的此特征。

B.允许下列各项的初始化与配置消息：

i)接收上述软件特殊消息的一数字用户终端。

在例如PCT专利申请第PCT/US99/24745号描述的MAM环境中，数字终端可授权取得及允许以MPEG格式所建立及封装消息的多种应用程序，并且通过一控制器(例如DAC)传送给终端。MAM可通过使用不同修改和/或解释的一些新的及一些既有消息而实施。MAM可使用在终端内的安全处理器模块来确定多种应用程序中哪些可授权一终端获得及允许。

图1提供了一种数字网络的示意图，该数字网络可提供多种应用程序管理的能力。

商业系统105管理网络中每个特定终端上应用程序的收费(billing)与授权，该商业系统105可位于例如有线电视或卫星电视网络的网络头端器115处或其通信。

网络的使用者可使用传统技术来接收授权以便配置应用程序(例如通过打电话给一操作员及授权一信用卡付款或在可能情况下通过网络上的一上游通信路径)。商业系统105可使用一计算机及公知的记录保存与收费程序实施。

商业系统105能与一控制器120通信，该控制器120与一下载服务器110通信。下载服务器110可经由一接口130、实体网络(physicalnetwork)、和中介设备(intermediate equipment)140而将应用程序数据传送给终端150，该终端150可为大型终端族群(large terminal population)。

还可(或在上述基础上加之以)通过其它装置而将控制数据提供给终端150，例如局部使用一智能卡，或在终端的安装或制造时完成这一步骤。这样，控制器120即可在商业系统105的控制下配置及授权各终端。

例如传统电视节目，或其它图像、声音、或其它数据的节目服务可通过一节目服务功能块125提供。

应用程序与控制数据可封装在例如使用已知技术的MPEG-2封包的传输封包内。

实体网络与中介设备140可包括电缆和/或光纤、及必要的开关、放大器、及其它传统组件。

图2根据本发明而描述多种应用程序管理能力的一数字终端。相同编号组件在所有图式是对应相同的组件。终端150可从一通信信道接收例如一示例封包205的MPEG消息(封包)。MPEG封包的使用在此只当作一示例讨论。可使用任何数字数据传输协议。

MPEG封包处理器与封包识别符(PID)过滤器210可产生封包205，以便从图1的控制器120恢复控制数据，该控制器120可提供给一安全处理器250及MAM240。MAM240及其它终端功能可使用任何已知的软件、固件、和/或硬件技术实施。

包括授权状态数据的控制数据可储存在与终端150有关的存储器，例如非易失性存储器234。还可提供一易失性存储器232。该封包处理器210也可恢复应用程序数据并将它传送给一下载器230。下载器230可使用结合的存储器234来储存下载的应用程序数据，包括例如程序代码对象的应用程序本身。“下载”涉及恢复及储存。下载器230也可接收一TDCM，以使其可从特殊信道下载特殊应用程序，和/或相同应用程序的特殊版本。可通过已知方式以一PID来识别信道。

封包处理器210还可恢复传统节目安排服务，以便解码(例如在一MPEG图像解码器215上)及播放(在显示器200上)。

MAM240可将数据输出给显示器200，从而提供可用应用程序的屏幕菜单(见图4)。使用者可经由一用户命令处理器255而与该菜单对话，例如，该用户命令处理器可接收来自一键盘、红外线遥控或类似等的输入信号。

安全处理器250、局部VAT存储器260、家用VAT数据存储器265、及消息路由器/过滤器225与MAM240通信。家用VAT数据可称为公用VAT表，该公用VAT表可下载给所有的终端，而局部VAT数据可称为数据，该数据可由每个终端使用，而且可如同基于终端授权状态的一小部份家用VAT数据取得。本质上，局部VAT数据可指定一终端授权下载及存取的每个应用程序的最近版本。因此，局部VAT数据会随着不同的终端而不同。

消息过滤器/路由器225可将例如控制数据及授权数据，包括家用VAT数据及EMM的数据传送给MAM240，而应用程序代码(软件)可传送给下载器230。

根据本发明，可用控制数据来授权终端获得多种应用程序，及允许应用程序在终端内使用。

MAM240可通过使用在终端150的新消息、及可不同修改和/或解释的一些既有消息实施。

MAM240可接收及处理这些消息，并且使用安全处理器250来确定多种应用程序中有哪些授权在终端上获得及允许。

虚拟应用程序是在MAM240的控制下识别、下载、及启用的应用程序。虚拟应用程序以下载消息传送给终端150。然而，应用程序可经由其它方式下载，例如通过HTTP。

消息所包含的数据结构与信息可提供用以下载一应用程序的终端所需的授权请求。它们亦可提供一终端所需的授权请求，用以启动及执行与应用程序有关的一应用程序或任何特殊特征(characteristic)。

此外，经由控制器所传送的其它消息，终端可接收与一应用程序有关的一应用程序或任何特殊特征的授权。例如，从控制器传送的EMM可授权一应用程序或其特征的终端。这类似于授权一图像服务的终端。

通过使用授权请求与授权权力，MAM240可使用安全处理器模块250来确定一应用程序或其特殊特征的任何特定版本的授权状态。MAM240可在非易失性存储器234内维持内部表中的一虚拟应用程序的授权状态，所以消息可经终端复位而保留。

应用程序的授权状态可确定一应用程序是否由终端下载。换句话说，是否从终端存储器取得、保留、清除、或删除应用程序(或应用程序的一特殊版本)，要取决于该应用程序的授权状态。

根据本发明，终端的TDCM接收不会造成安全处理器250的任何处理。相反地，MAM240从其内部表获得虚拟应用程序的授权状态消息，并且通知下载器230该应用程序是否得到获取的授权。因此，本发明可使安全处理器250上的处理负荷减至最少。

可提供MAM系统，其中从TDCM的MPEG封装的消息前文删除等级匹配解码器条件。结果，当终端接收TDCM时，便可免除安全芯片处理。TDCM可通知终端调谐哪一信道以获得应用程序的程序代码对象。

有关一终端可获得和/或启动的所有应用程序的信息可通过使用一虚拟对象消息(VOM)而提供给终端。VOM是用于支持数字网络中的MAM特征的一部份新的或修改的消息。此消息在下面第1.1.3节更详细描述。在终点接收及处理虚拟应用程序的特殊TDCM之前，VOM可由一终端传送及接收。

VOM可将VAT提供给终端。VAT数据可储存在非易失性存储器234，该非易失性存储器234可以是一快擦写内存、电池支持的SRAM、或硬盘机(如可用的话)、或在终端可用的任何其它非易失性存储器。另外，VAT数据可储存在易失性存储器232中，在此情况下，每次终端激活时，它只从网络重新取得。

图3描述了根据本发明，基于终端的授权层级而创建用于终端的局部VAT。

在300一般性地显示，通过在网络的每个MAM配置终端所接收的VAT数据包括记录(va records)的许多列310、330、350和370。记录312、332、352、和372包含第一、第二、第三、及第四应用程序(亦即，相对的应用程序号码1、2、3、和4)的识别(object_application_ID)。

记录314、316、和318包含一个第一应用程序的版本识别符(object_version)及必要的层级(virtual_application_tier)。例如，记录314具有一版本“1.0”及“4”的一必要层级，记录316具有一版本“1.1”及“5”的一必要层级，而记录318具有一版本“1.2”及“7”的一必要层级。

作为一个示例，应用程序No.1可以是电子邮件权力(e-mailcapability)，其中版本1.0是基本版本，版本1.1是一增强版本，而版本1.2是一测试版本。因此，本发明允许一网络操作员来控制哪些终端可存取应用程序号码1的哪些版本。支付小费用的使用者可存取版本1.0，支付较大费用的使用者可存取版本1.1，而其他使用者可存取1.2版，例如向网络操作员提供关于版本1.2是否可正确工作的反馈，或提供所希望的特征。

对于应用程序No.2而言，记录334具有一版本“2.0”及“5”的必要层级，而记录336具有一版本“2.1”及“6”的必要层级。

对于应用程序No.3而言，记录354具有一版本“7.5”及“8”的必要层级。

对于应用程序No.4而言，记录374具有一版本“1.0”及“3”的必要层级，记录376具有一版本“1.1”及“4”的必要层级，记录378具有一版本“2.0”及“7”的必要层级，而记录379具有一版本“2.1”及“8”的必要层级。

版本与层级是数值。virtual_application_name是与一虚拟应用程序的所有版本有关的正文串，而且如果这些版本中有一个版本在终端得到授权，便会在动态建立的菜单上显示。

如在355所示，在终端上得到授权的局部VAT数据是根据特殊终端授权的层级(virtual_application_tier)而从接收的VAT记录300组合成的。在本示例中，假设终端授权包括层级“4”和“5”。局部VAT数据355及其层级是表示该终端的一授权状态。

在此情况下，VAT记录300中的匹配层级请求在记录316、334和376中。因此，终端局部VAT355包括例如图2的VAT存储器260中储存的这些记录，例如记录316′、334′和376′。注意，当授权一终端接收相同应用程序(例如记录314和316)的两个或多个版本时，一般想希望选取最新的版本(例如记录316)。通常，当终端的安全处理器已经由一EMM而接收到一相配层级时，一应用程序的必要授权状态可说是对应于或相关于终端的授权状态。

如果终端没有相配层级，例如与应用程序No.3，终端便不会得到授权来接收该应用程序，而且其不会下载。

提供一必要层级和/或授权层级，从而允许一终端接收所有可用应用程序的最高版本是可能的。

注意，所示VAT数据300仅为一示例，而且各种不同数目的应用程序、版本、与层级均可在VAT数据出现。此外，局部VAT355可能包括所接收的home_VAT300中全部的、部份的应用程序，或是完全不包括应用程序。

图4根据本发明而描述在终端上的可用应用程序的一示例动态生成菜单。菜单400可将例如在电视屏幕上的授权应用程序提供给使用者。注意，菜单项目对应该终端的局部VAT355。

每个应用程序可具有与它有关的一使用者友好文字数据(虚拟名称)。提供给终端的消息可提供描述应用程序的文字数据。此数据可使用在终端的显示菜单400上。

例如，请即参考图3的示例，应用程序号码1、2和4分别具有文字数据“电子邮件”、“要求图像”、与“网络浏览器”。

或者，一额外的正文串表示应用程序的版本、或使用者购买的相对服务。例如，为营销目的，版本可以青铜、白银、或黄金(或类似方法)来表示。

通过使用与应用程序相关的文字，图2的MAM240可动态构成授权应用程序的菜单。

终端的使用者可通过传统接口技术(例如使用在一遥控器上的按键)来启动此菜单及启动(例如，开始)一个或多个可用的应用程序。可在该遥控器上保留一特殊按键当作“MAM菜单按钮”。

一旦接收来自控制器120的VAT数据，MAM即可建立由授权应用程序名称清单所组成的菜单。例如，这可通过公知的软件技术来完成。菜单还可包括“结束”项目，以退出菜单。菜单可实施为全屏幕或伴以静音的部份屏幕。此外，当显示菜单时可清除前面板LED。

使用者可通过按下遥控器上的“MAM菜单按钮”、及使用遥控器上或面板上的“向上”或“向下”按键来卷动菜单。使用者可通过按下遥控器或终端面板上的“选取”按钮来选取一应用程序。

当从菜单选取了一应用程序时，MAM240可通知下载器230来启动该应用程序，并启动该应用程序(例如，开始)。终端可在启动该应用程序之前调谐到一特定信道。

如果使用者的选择未得到授权，或未在VAT中或下载的对象目录出现，MAM240会尝试重新生成菜单并将其重新显示。在数次失败尝试启动一特殊虚拟应用程序之后，终端会求助某种类型的降级恢复(graceful recovery)动作。

使用者可选取菜单上任何未选取的虚拟应用程序，其结果是MAM将重新启动先前启动的(亦即在菜单显示之前)虚拟应用程序，或求助于一降级恢复动作，而其可启动终端预设的默认虚拟应用程序。

图5(a)根据本发明而描述用以处理结构与应用程序数据的方法。具一结构信号的结构数据是在终端(方框500)上接收。MAM可处理及储存结构数据(方框502)。终端然后可使用每个应用程序(方框504)的版本识别符与授权请求来接收应用程序数据(例如VAT数据)。如果此数据是新的(方框506)，MAM便可处理及储存VAT数据与授权请求(方框510)。如果数据不是新的，处理便可在方框500上持续。

在MAM处理该接收数据之后，它便会询问安全处理器来找出授权请求与终点授权(方框512)相互关联的应用程序。基于该相互关系，该终端可建立及储存授权应用程序(方框514)的局部VAT(例如数据库或记录)。

图5(b)根据本发明而描述用以处理终点授权的一方法。在方框530，可在终端接收包括终端授权(例如EMM)的控制数据。如果这是新的数据(方框532)，安全处理器可处理及储存终端授权(方框536)。每个终端都可具有其自身的授权状态，该授权状态可随后被取代或补充。如果控制数据与终端授权不是新的数据，便会废弃该数据(方框534)。

图5(c)是根据本发明而描述处理一调谐下载消息的方法。对终端所接收的各个调谐下载消息加以处理(方框550)。如果调谐下载消息对于MAM是特殊的(方框552)，则判断是否已建立了该终端的局部VAT(方框554)。如果已建立局部VAT，则询问确定与调谐下载消息有关的应用程序代码的版本是否最高的授权版本(方框556)。如果它是最高的授权版本，则判断是否已在该终端储存了应用程序代码的版本(方框558)。如尚未储存，终端便要获得及储存片段的应用程序代码或其它固件(方框560)。而且，如果启动MAM，即删除为较高版本所取代的任何较低的应用程序版本(方框562)。

如果调谐下载消息对于MAM不是特殊的，处理便会在方框558继续进行。注意，本发明既适用于MAM，也适用于可下载给终端的其它类型的应用程序或固件。

如果当特殊MAM调谐下载消息接收时局部VAT尚未建立(方框554)，或如果与调谐下载消息有关的应用程序代码版本不是最高的授权版本(方框556)，或如果与调谐下载消息有关的应用程序代码版本虽为最高授权版本但已在终端储存(方框558)，则废弃该消息(方框559)。

注意，图5(a)～(c)中的处理可平行操作。而且，根据本发明，对安全处理器的要求可减至最少。例如，在图5(a)的处理中，只有当新的应用程序数据与授权请求由终端接收时，才会询问安全处理器。而且，在图5(b)的处理中，只有当接收到新终端授权时，才会询问安全处理器。而这些情况相对较少发生。

相比之下，调谐下载消息(图5(c)通常与终端相当频繁地通信(例如每隔数分钟)。调谐下载消息可以称为巡回的处理而重复传送。为了使应用程序可在相当短的时间内通过终端下载，并且随时可开始下载，这是必要的。便利的是，当处理调谐下载消息时，无需询问安全处理器。

1.讨论

根据本发明，一虚拟应用程序Config消息(参见下面第1.1.2节)通知MAM有关VAT是默认值的MAM或终端的家用VAT。虚拟应用程序Config消息的接收也使终端处于一种confgured_for_MAM状态。已接收及处理其家用VAT的终端被认为处于一种MAM启用状态。

VAT包括一个或多个VAT记录，每个VAT记录包含与虚拟应用程序有关的各种不同字段。

应用程序的VAT记录提供可在数字网络共存的虚拟应用程序的ID (object_application_ID字段)，以及指定应用程序的版本号码(object_version字段)。对于在VAT记录所列出的应用程序的每个版本而言，可在记录提供一对应的授权层级(virtual_application_tier字段)。在VAT记录的授权层级可指定虚拟应用程序的授权请求。MAM可将授权请求提供给终端中的安全处理器模块。终端也可通过EMM方式来接收虚拟应用程序(及其版本)的授权。

通过使用授权请求与授权权力，安全处理器可通知MAM有关每个虚拟应用程序的每个特殊版本的授权状态。MAM可在非易失性存储器234中其自身内部表中保留该授权状态。在VAT处理之后及虚拟应用程序的授权状态由MAM确定之后，终端处于MAM_enabled状态。

MAM可在非易失性存储器中保持来自虚拟应用程序Config和VOM的消息，以及内部表与虚拟应用程序的授权状态消息。如此即可经由终端的任何热态复位(warm reset)而保留消息。

现在可由终端来接收及处理TDCM。作为本发明的部份，在MAM环境中，TDCM在MPEG消息前文中无须为了要授权下载而具备等级匹配解码器条件。

MPEG消息前文处理器不使用安全处理器来检查TDCM处理。这些消息最后可在终端传送给下载器模块。下载器会检查在消息中所指定的程序代码对象版本是否出现在由下载器所维护的对象下载目录。

如果版本不存在，下载器会询问MAM模块有关授权是否调整及获得在TDCM中所指定的一虚拟应用程序。如前述，MAM可在非易失性存储器的内部表中维持有关各种不同虚拟应用程序的授权状态消息。因此，MAM可直接从MAM的内部表将有关有关一特殊虚拟应用程序的授权状态提供给下载器。仍然不会调用安全处理器。本发明系统的这一独特操作可避免每次终端接收一TDCM时的昂贵的安全芯片处理。因此，安全处理器的更多资源可用于例如图像解码的其它解码处理。

如果改变或修改一虚拟应用程序的定义或授权请求，控制器即传送VOM，该VOM包含具不同VAT识别符(ID)的新VAT，或具不同序号的相同VAT。当终端接收这一新的或修改的VAT时，MAM模块即使用有关这些虚拟应用程序中每一个虚拟应用程序的消息来更新其内部表。MAM通过使用最近的授权请求与最近的授权权力(经EMM获得)而从安全处理器获得这些虚拟应用程序中每一个的新授权状态。

同样，如果终端经EMM接收新的授权权力，MAM便可从安全处理器获得有关在目前VAT中所有虚拟应用程序的新授权状态消息。为了要在不能执行MAM能力固件(平台程序代码)的网络中提供终端的后向兼容性，TDCM具有为MAM状态匹配解码器条件而配置的一新发明。该状态匹配解码器条件不需要安全芯片处理。MPEG封包处理器只检查终端的状态，以确定是否应该处理消息。

不操作具MAM能力固件(平台程序代码)的终端忽略了新近发明的configured_for_MAM解码器条件。因此这些不为MAM配置的终端不处理用于虚拟应用程序的TDCM。

然而，如前述，电子节目指南(EPG)传统上是(并且是唯一的)应用程序，其甚至早于所取得及使用的非MAM能力(non-MAM capable)的终端。因此，本发明系统允许在MAM环境中将一应用程序视为一系统宽默认(wide default)虚拟应用程序。用于系统宽默认虚拟应用程序的TDCM只是与数字网络中不包含configured_for_MAM解码器条件的应用程序有关的TDCM。

可将传统EPG指定为系统宽默认虚拟应用程序，在此情况下，EPG应用程序的TDCM没有configured_for_MAM解码器条件，并可通过网络中所有终端处理。

1.1.消息与数据结构的详细说明

1.1.1.新生成的DCII消息前文解码器条件

定义一种新的列举“configured_for_MAM”并通过使用一先前保留的入口(entry)而将其添加为部份的DigiCipher II(DCII)消息前文解码器条件功能。然而，这一条件适用于例如MPEG的数据通信机制。DCII是是属Motorola公司所有的一种数字电视标准。这一解码器条件是例如VOM和TDCM的某些信息的前缀，由控制器传送给终端。(稍后会分别在第1.1.3和1.1.4节描述这些信息)。结果是，没有经过configured_for_MAM的终端将不会获得VAT并变成MAM启用的(MAM-enabled)，也不会调谐到一下载信道从而获得虚拟应用程序。

这一解码器条件的选择还允许未通过具MAM能力的固件平台程序代码更新的较旧终端来持续操作，而不会有包含MAM创新所引起的任何有害副作用。

1.1.2.新生成的虚拟应用程序Config消息

可通过使用一先前保留值将一新的子命令加到数字电缆终端(DCT)结构消息中，并且表示虚拟应用程序Config消息。一虚拟应用程序Config消息可用来配置或取消配置用于MAM的终端，并将MAM配置设定提供给终端。

导自虚拟应用程序Config消息的信息可通过终端而保持在非易失性存储器中，以便通过终端的(热态)复位而将其保留。

以下表1描述虚拟应用程序Config消息中的重要(siginifcant)字段。

         表1：在一虚拟应用程序Config消息中的重要字段

字段名称	描述
		config_for_multi_apps	本字段设为“是”即配置用于MAM的终端。随后认为该终端处于config_for_MAM状态。此后该终端即可接收DCII消息前文中具有config_for_MAM解码器条件的其它消息。如本字段清零为“否”，该终端即不再是config_for_MAM，也不再能用于MAM
home_VAT_ID	本字段识别VAT，终端必须将该VAT用作该终端的默认VAT(home_VAT)。
		default_application_ID	本字段识别将成为终端默认虚拟应用程序的一应用程序。(本字段关联于home_VAT中虚拟应用程序的obiect_application_ID)
volatile_memory_config	其规定终端所分配的易失性存储器的字节数，并用于默认虚拟应用程序之外的虚拟应用程序的下载。

1.1.3.新生成的虚拟对象消息

可通过使用一先前保留值来生成新的DCII消息并且表示虚拟对象消息。

可用虚拟对象消息将VAT传递给一终端。这一信息由网络流所携带，并可通过使用分段重叠(segmentation overlay)而以播送寻址(broadcast-addressed)、多点播送寻址(multicast-addressed)、或单点播送(singlecast-addressed)寻址传送给终端。控制器(例如DAC)可将消息前文中的一configured_for_MAM解码器条件加在虚拟对象消息之前。

因此，只有configured_for_MAM解码器可处理这一信息。

这可确保不执行MAM能力固件(平台程序代码)的终端将不会通过解码器条件测试，而且不会获得虚拟应用程序表。

如果该终端是configured_for_MAM并完全取得其home_VAT(描述于上面第1.1.2节)，即可将其它视为处于MAM启用状态。导自包括VAT的虚拟对象消息的信息由终端保持于非易失性存储器中，以便通过终端的复位(热态)而将其保留。

在虚拟对象消息的重要字段描述于表2。

             表2：在虚拟对象消息中的重要字段

字段名称	描述
		table_subtype	本字段可用于指定这一VOM是否包含VAT
VAT_ID	本字段可用于指定这一消息是否包含VAT的识别符ID可能与第1.1.2节所述的得自虚拟应用程序Config消息的home_VAT_ID相同
		sequence_number	本字段用作VAT的版本号码如果在本字段中所包含的sequence_number不同于与VAT(其具有终端中已出现的相同的VAT_ID)相关的sequence_number，则暗示该VAT已经改变
number_of_va_records	本字段指定这一消息所包含的VAT中出现多少VAT记录
		va_record	这是构成VAT的一组VAT记录每个记录识别一个虚拟应用程序。其中一个记录可识别在虚拟应用程序Config消息(描述于第1.1.2节)中所给定的default_application_ID

表3描述在一虚拟应用程序表(VAT)的每个记录中的重要字段。

         表3：在一虚拟对象消息“va_record”中的重要字段

字段名称	描述
		object_application_ID	本字段包含虚拟应用程序的数字识别符。该识别符在VAT内的所有va_records之间必须是唯一的
VCT_source_ID	这是节目“源”(其与虚拟应用程序相关)的一个识别符清单。终端可在启动该虚拟应用程序之前使用这些值来取得所要调谐的虚拟信道。
		VCT_application_ID	这是与虚拟应用程序相关的一个“服务”识别符清单。其数值与用法和上述VCT_source_ID相同。
object_version	这是各版本的版本号码清单，一个虚拟应用程序可有一个版本。可得到授权的终端会启动最高版本。
		vertual_application_tier	这是用于虚拟应用程序的授权层级清单，每个版本有一个授权层级清单。(虚拟应用程序的所有版本可能具有相同的或不同的层级)。
vertual_name	这是可打印ASC II码的多语言正文串。该名称可用作在终端上的屏幕显示。

1.1.4.调谐下载信道消息的修改定义

其为DCT下载控制消息的一子命令的这一信息经过修改。tune_download_function字段的定义得到了增强。重新定义了一先前保留的数值以指定是否将消息应用到“virtual_application”或一固定的或标准的应用程序。

所有虚拟应用程序(除了一系统宽默认应用程序以外)的调谐下载信道消息必须在消息前文中包含configured_for_MAM解码器条件。因此，只有configured_for_MAM终端将处理这一信息。这可确保不运行具MAM能力的固件平台程序代码的终端将不能通过解码器条件测试，而且不能获得一虚拟应用程序。

如果一虚拟应用程序是在调谐下载信道消息内指定，虚拟应用程序便可通过在信息中的obj_application_ID字段识别。然后，这一虚拟应用程序与虚拟应用程序表(home_VAT)中为object_application_ID字段中所识别的一记录相互关联，该虚拟应用程序表由多种应用程序管理器中所保持。而且，在调谐下载信道消息中的obj_application_ID、tune_object_name和tune_object_version应与用于虚拟应用程序的DCT下载消息中的application_ID、object_name和object_version相互关联。

用于系统宽默认虚拟应用程序的调谐下载信道消息是一例外。configured_for_MAM解码器条件不用于此默认应用程序。结果，所有终端将始终可获得系统宽默认应用程序。

1.1.5.下载控制消息的修改功能

同样是DCT下载控制消息的一子命令的此信息作为本发明的一隐含式(implication)而从功能上进行了修改。既然MAM含有关于应用程序必须启动、禁用(disabled)、清除等的信息(经由VAT)，下载器可不再根据下载控制子命令消息的接收而直接动作。因此，如果在一终端上启动MAM，在虚拟应用程序的一DCT下载控制子命令消息中所指定的“禁用”、“删除”与“清除”功能即会为终端中的下载器模块所忽略。

此外，如果启动MAM，在一虚拟应用程序的DCT下载控制子命令消息中所指定的“启动”功能可使下载器询问多种应用程序管理器模块，以检查该应用程序是否应实际启动。MAM可通过是否启动或禁用虚拟应用程序的信息来响应。

1.1.6.虚拟信道Config消息的修改功能

这一信息是DCT Config消息的一子命令，作为本发明的一隐含式而从功能上进行了修改。如果启动MAM且该默认虚拟应用程序具有一经过定义的VCT_source_ID，则该终端将忽略由此信息所指定的tumon_VC_defined、turnon_VC、turnoff_VC_defined以及turnoff_VC字段。在此情况下，终端将调谐到与该默认虚拟应用程序的给定VCT_source_ID相关的信道。

                          结论

现在应认识到，本发明提供了一种系统结构，用以管理在大规模网络中的多种应用程序的安全特性。特别是通过配置一MAM来确定是否应下载时常传送的应用程序数据，减少了安全处理器的处理负荷。该安全处理器配置了一种终端的授权状态。在响应中，MAM建立表示哪些应用程序可授权下载的一局部虚拟应用程序表，亦即应用程序的所需授权状态与该终端所配置的授权状态相互关联。

虽结合各个优选实施例而描述了本发明，但应认识到，可作各种不同的修改与改造而不致背离本权利要求书中所提出的本发明范围。

例如，本发明的原理可扩大到操作系统的证明(authentication)、授权与计费、底稿编制(scripting)语言内容(例如网页)等。

Claims (16)

1.一种用以处理一数字用户终端数据的方法，其包含下列步骤：

将包括至少终端授权权力、结构数据、与下载消息的数据提供给该终端；

该下载消息包含用于在该终端上执行的应用程序的应用程序数据；

该等应用程序具有相关的所要的授权请求；

在该终端的一安全处理器上处理该等终端授权权力，以配置该终端的一授权状态；

在该终端的一多种应用程序管理器(multiple applications manager)上处理该结构数据，以配置该终端来接收该应用程序数据；

该多种应用程序管理器可询问该安全处理器，以建立该等应用程序的一数据库，该等应用程序所需的授权状态是与该终端的授权状态相互关联；及

处理该等下载消息，以确定是否根据该数据库下载或废弃在该终端上接收的该应用程序数据。

2.如权利要求1的方法，其中：

该等下载消息在与该多种应用程序管理器有关的一下载器上进行处理，而无需询问该安全处理器。

3.如权利要求1的方法，其中：

该安全处理器可处理在该终端上接收的新终端授权权力，以更新该终端的授权状态。

4.如权利要求3的方法，其中：

该多种应用程序管理器可询问该安全处理器，以建立该等应用程序的一更新的数据库，该等应用程序的需要授权状态与该终端更新授权状态相互关联。

5.如权利要求1的方法，其中：

该多种应用程序管理器可询问该安全处理器，以建立该等应用程序的一更新数据库，该等应用程序的需要授权状态与该终端的一更新授权状态相互关联。

6.如权利要求1的方法，其中：

该等下载消息可重复传送给该终端。

7.如权利要求1的终端，其中：

当该等下载消息处理时，该安全处理器便任意执行其它工作。

8.如权利要求1的方法，其中：

该用户终端是在一宽带通信网络。

9.一种用以处理数据的数字用户终端，其包含：

用以将包括至少终端授权、结构数据、与下载消息的数据提供给该终端的装置；

该等下载消息包含用于在该终端上执行的应用程序的应用程序数据；

该等应用程序具有相关的所需的授权请求；

一安全处理器，用以处理该等终端授权权力，以配置该终端的一授权状态；

一多种应用程序管理器，用以处理该结构数据，以配置该终端来接收该应用程序数据；其中：

该多种应用程序管理器可询问该安全处理器，以建立该等应用程序的一数据库，该等应用程序所需的授权状态是与该终端的授权状态相互关联；及

一下载器，其与该多种应用程序管理器有关，用以处理该等下载消息，以确定是否根据该数据库而下载或废弃在该终端上接收的应用程序数据。

10.如权利要求9的终端，其中：

该下载器可处理该等下载消息，而不需询问该安全处理器。

11.如权利要求9的终端，其中：

该安全处理器可处理在该终端上接收的新终端授权权力，以更新该终端的授权状态。

12.如权利要求11的终端，其中：

该多种应用程序管理器可询问该安全处理器，以建立该等应用程序的一更新数据库，该等应用程序的需要授权状态与该终端更新授权状态相互关联。

13.如权利要求9的终端，其中：

该多种应用程序管理器可询问该安全处理器，以建立该等应用程序的一更新数据库，该等应用程序的需要授权状态与该终端的一更新授权状态相互关联。

14.如权利要求9的终端，其中：

该等下载消息可重复传送给该终端。

15.如权利要求9的终端，其中：

当该等下载消息处理时，该安全处理器可任意执行其它的工作。

16.如权利要求9的终端，其中：

该终端是在一宽带通信网络。

Images