JP2006318383A - プログラムダウンロード方法および通信システム - Google Patents

Abstract

【課題】 端末装置の処理機能を変更するサービスを提供する場合において、顧客管理が容易に実現でき、サービスの柔軟な提供が行えると共に、悪意のあるユーザによる不正行為を監視し、公正なサービス提供を可能とする。
【解決手段】 提供する装置のファームウェアやアプリケーションプログラムごとに識別番号を与え、この識別番号を、ダウンロード実行時にオペレーションシステムの顧客データベースの中に記録しておく。さらに、端末装置のプログラムの変更を検出するため、プログラムの識別番号をプログラム内部に埋め込んでおく。このプログラム識別番号を端末装置から加入者終端装置へ送り、顧客データベースに登録されているプログラム識別番号と一致しているか確認する。
【選択図】 図４

Description

本発明は、通信サービスをユーザに提供するための装置に利用する。特に、端末装置のファームウェアや端末装置上で起動されるアプリケーションプログラムを通信事業者（通信サービス提供者）が管理するための技術に関する。

通信サービスでは、サービスの監視または保守のためＯＮＵ(Optical Network Unit)やＤＳＵ(Digital Service Unit)などの端末装置を、ユーザ宅に設置する。例えば、ユーザがインターネットを利用する場合には、ユーザ装置であるパソコンと端末装置との間を、イーサケーブルで接続することにより、インターネットへ接続が可能となる。

従来の通信システムにおいて、装置のファームウェアの変更や、装置のアプリケーションプログラムの変更を目的とした、プログラムのダウンロード方式が提案されている。例えば、特許文献１の電話装置は、端末装置が電話機である場合において、端末装置にプログラムをダウンロードする通信システムとなっている。すなわち、電話利用者が選択したアプリケーションプログラムを、電話局装置から電話機に対してダウンロードする通信システムである。この通信システムにおける、従来のダウンロード方法を、図７を使って説明する。

従来の通信システムでは、電話局装置７２０と電話機７１０とが、電話回線網７０１を介して接続されている。電話機７１０はプログラムのダウンロード処理を行うローダ７１１と、アプリケーションプログラムを記述するフラッシュメモリ７１２とＲＡＭ７１３と、アプリケーションプログラムを選択する入出力器７１４と、選択結果を電話局装置に通知する制御部７１５とを有する。

電話局装置７２０は、アプリケーションプログラムを蓄積しておくメモリ７２２とダウンロードの制御を行う制御部７２１とを備える。

電話利用者は希望するアプリケーションプログラムを、入出力器７１４により選択する。アプリケーションプログラムが選択されると、制御部７１５を介して、電話局装置７２０に当該アプリケーションプログラムのダウンロード要求が送られる。この要求にしたがって、制御部７２１は、選択されたアプリケーションプログラムをメモリ７２２から選択し、電話機７１０にプログラムの送信を行う。電話機では、送信されたアプリケーションプログラムをローダ７１１がＲＡＭ７１３に記述し、すべてのプログラムがダウンロードされた後に、フラッシュメモリ７１２に書き込みが行われる。プログラムの更新が終了した後、電話局装置７２０から電話機７１０に対し、再起動が行われる。電話機７１０は、新たなアプリケーションプログラムを使って起動することになり、新たなアプリケーションが使用可能となる。

特開２０００−１１５３７３号公報

従来のプログラムダウンロード方法では、ユーザからの申告に基づいて、通信システムの端末装置の機能変更を実現していた。しかし、複数種類のアプリケーションプログラムが存在する場合には、端末装置にダウンロードされているアプリケーションプログラムが、正常なものかを、通信事業者が確認する機能がなかった。

複数のプログラムの中から、ユーザの選択ミスで、希望とは異なるプログラムを選択したとする。ユーザは希望する通信サービスを受けられないことになるが、選択ミスをしたと気づかずに何らかの故障があったものと認識する場合がある。故障と認識したユーザは、通信事業者にサービス機能が異常であることを問い合わせる。通信事業者は、ユーザの端末装置にインストールされているプログラムが正しいものかを確認し、対応することになる。しかし、従来のプログラムダウンロード方法では、プログラムが正常なものかを確認する手段がないため、ユーザ宅へ訪問し調査しなければならないという課題を生じた。

従来のプログラムダウンロード方法において、例えば、ローダ７１１が端末装置にインストールされているプログラムの識別番号を保管する方法が考えられる。通信事業者が端末装置にダウンロードされているプログラムの識別番号を確認する場合には、ローダ７１１に保管されているプログラムの識別番号を読み出す。読み出された識別番号から、どのような通信サービスを提供するプログラムであるかを手作業で調べ、ユーザに確認を取るという手法となる。

このような従来のプログラムダウンロード方法を改良した方法では、通信事業者がユーザ宅に訪問しなくてもプログラムの識別番号を遠隔操作によって読み出し、プログラムの誤りの有無を確認することができるが、そのためのユーザからの問い合わせ処理の対応が複雑になるという課題が生じる。また、この方法によっても、ユーザからの問い合わせを受けてから初めてプログラムの誤りの有無を確認することになり、根本的な問題の解決には至らない。

さらに、端末装置の製造過程の都合上、直接プログラムをダウンロードする端子を端末装置が有している。この端子を使用すれば、ユーザは独自でプログラムの変更が行える。ユーザ独自でプログラムを変更すれば、プログラムの識別番号を悪意を持って書き換えることが可能となる。従来の端末装置では、ユーザによるプログラムの変更が行われたときに、通信事業者が変更されたことを認識する手段が無く、不法な使用が行われたとしても、これを排除する手段が無いという課題があった。

本発明は、このような背景に行われたものであって、端末装置の処理機能を変更するサービスを提供する場合において、顧客管理が容易に実現でき、サービスの柔軟な提供が行えると共に、悪意のあるユーザによる不正行為を監視することが可能となり、公正なサービス提供を可能とするプログラムダウンロード方法および通信システムを提供することを目的とする。

本発明は、提供する装置のファームウェアやアプリケーションプログラムごとに識別番号を与え、この識別番号を、ダウンロード実行時にオペレーションシステムの顧客データベースの中に記録しておくことで、各ユーザが使用しているプログラムを管理することが可能となる。これにより、ユーザが使用するファームウェアやアプリケーションプログラムの管理を一元的に行え、サービス料金の請求などに使用することができるという副次的な効果も期待できる。

さらに、端末装置のプログラムの変更を検出するため、プログラムの識別番号をプログラム内部に埋め込んでおく。このプログラム識別番号を端末装置から加入者終端装置へ送り、顧客データベースに登録されているプログラム識別番号と一致しているか確認する。これにより、ユーザが異なるプログラムへ変更したとしても、変更された事象を、通信事業者は認識することが可能となる。

すなわち、本発明の第一の観点は、ユーザ装置が接続された端末装置と加入者網を介して接続される加入者終端装置が、前記端末装置の要求に応じて前記端末装置にプログラムをダウンロードするプログラムダウンロード方法である。

ここで、本発明の特徴とするところは、前記加入者終端装置は、前記端末装置へのプログラムのダウンロードに先立って、前記端末装置の正常性の確認および認証および前記端末装置に既にインストールされているプログラムの正常性の確認を行った後に前記端末装置に新たなプログラムのダウンロードを行い、当該新たなプログラムには、識別番号が付与され、顧客データベースに、当該識別番号を、前記新たなプログラムをインストールした前記端末装置の識別情報と対応付けて保持するところにある。

このように、正常かつ正当な端末装置に対し、新たなプログラムをインストールした場合には、このプログラムの識別番号を、当該端末装置の識別情報と共に保持することによって、誤ったプログラムのインストールの発見を容易にすると共に、端末装置にインストールされたプログラムに対する悪意のユーザの不正行為を発見することができる。

より詳細には、例えば、前記端末装置は、自装置にインストールされているプログラムの識別番号の情報を前記加入者終端装置に対して定期的に送信し、前記加入者終端装置は、前記端末装置から送信された前記プログラムの識別番号の情報と前記顧客データベースに保持されている前記端末装置にインストールされた前記プログラムの識別番号の情報とが不一致である場合には前記プログラムの異常と判断する。

また、このときに、前記加入者終端装置は、前記不一致が所定回数連続したときに前記プログラムの異常と判断することができる。これによれば、例えば、加入者網の通信品質の劣化によって識別番号に誤りが生じた場合などにおける誤判定を回避することができる。

なお、前記不一致の検出は、前記加入者終端装置で行ってもよいし、あるいは、前記顧客データベースを管理するサーバで行ってもよい。

本発明の第二の観点は、ユーザ装置が接続される端末装置と、この端末装置と加入者網を介して接続される加入者終端装置と、この加入者終端装置と監視制御網を介して接続されるサーバとを備え、前記サーバには、前記端末装置にインストールするためのプログラムが格納されたプログラムデータベースが設けられ、前記加入者終端装置は、前記端末装置の要求に応じて前記サーバを介して前記プログラムデータベースに格納されているプログラムを前記端末装置にダウンロードする手段を備えた通信システムである。

ここで、本発明の特徴とするところは、前記加入者終端装置は、前記端末装置へのプログラムのダウンロードに先立って、前記端末装置の正常性の確認および認証および前記端末装置に既にインストールされているプログラムの正常性の確認を行った後に前記端末装置に新たなプログラムのダウンロードを行う手段を備え、当該新たなプログラムには、識別番号が付与され、この識別番号を、当該新たなプログラムをインストールした前記端末装置の識別情報と対応付けて保持する顧客データベースを備えたところにある。

より詳細には、例えば、前記端末装置は、自装置にインストールされているプログラムの識別番号の情報を前記加入者終端装置に対して定期的に送信する手段を備え、前記加入者終端装置は、前記端末装置から送信された前記プログラムの識別番号の情報と前記顧客データベースに保持されている前記端末装置にインストールされた前記プログラムの識別番号の情報とが不一致である場合には前記プログラムの異常と判断する手段を備える。

また、このときに、前記判断する手段は、前記不一致が所定回数連続したときに前記プログラムの異常と判断する手段を備えることができる。

本発明によれば、端末装置の処理機能を変更するサービスを提供する場合において、顧客管理が容易に実現でき、サービスの柔軟な提供が行える。さらに、端末装置にインストールされたプログラムの誤りの発見を容易にすると共に、悪意のあるユーザによる不正行為を監視することが可能となり、公正なサービス提供が可能となる。特に、ユーザからの問い合わせを受けてからではなく、常時、プログラムの誤りを能動的に監視できるため、ユーザに対するサービス品質向上の効果は大きい。

本発明の実施形態を、図１の通信システムの構成図、図２の加入者装置の構成図、図３の端末装置の構成図を使って説明する。

図１の通信システムは、複数の端末装置１０１〜１０３と加入者終端装置１２１とが、加入者網１１１を介して接続されており、加入者終端装置１２１には監視制御網１３１と通信網１３２とが接続されている。監視制御網１３１には、オペレーションシステムを実現する、サーバ１４１と顧客データベース（顧客ＤＢと図示）１４２とプログラムデータベース（プログラムＤＢと図示）１４３とがつながっている。

この通信システムにおいて、ユーザ装置１５１から送られた通信データは、端末装置１０２、加入者網１１１、加入者終端装置１２１を転送されて、通信網１３２につながることになる。この通信網１３２は、インターネット、電話網、専用線網などの通信サービスを提供する網である。監視制御網１３１は、論理的に通信網と分離していれば良く、通信網１３２と同じ伝送路を共用することもある。

図２の加入者終端装置１２１は、通信データや監視制御データを、通信網１３２や監視制御網１３１に転送する通信処理、または、その逆方向の通信処理を実現するための装置である。加入者終端装置１２１は、加入者網へつながる伝送路の物理終端を行う物理終端回路２０１、通信網へつながる伝送路の物理終端を行う物理終端回路２０２、監視制御網との物理終端を行う物理終端回路２０３、通信データの転送処理と監視制御データの処理などを行う通信処理部２１１、監視制御網との通信を実現する通信処理部２１２、加入者終端装置１２１の監視制御とプログラムダウンロードの監視制御とを行う監視制御部２２１から構成される。

図３の端末装置１０２は、ユーザ装置１５１からの通信データを加入者網１１１へ送出する、また、その逆の通信処理を行う装置である。端末装置１０２は、ユーザ装置へつながる伝送路の物理終端を行う物理終端回路３０１、加入者網へつながる伝送路の物理終端を行う物理終端回路３０２、通信データ・パケットの処理および監視制御データ・パケットの処理を行う通信処理部３１１、端末装置の監視制御とプログラムのダウンロードの処理を行う監視制御部３２１、ダウンロードされたプログラムを一時的に蓄積するＲＡＭ３２２から構成されている。なお、通信処理部３１１は、プロセッサ３２４と、プログラムを蓄積しておくＲＯＭ３２３から構成されており、プロセッサ３２４は、メモリやインタフェース用の回路などの周辺回路と論理回路から構成されている。プロセッサ３２４は、装置のファームウェアや、アプリケーションプログラムを動作させる。以下では、ファームウェアとアプリケーションプログラムを含めて、プログラムと記述していく。また、複数のプログラムを識別するため、各プログラムにはプログラム識別番号が割り振られているものとする。

すなわち、本実施例のプログラムダウンロード方法は、図１に示すように、ユーザ装置１５１が接続された端末装置１０２と加入者網１１１を介して接続される加入者終端装置１２１が、端末装置１０２の要求に応じて端末装置１０２にプログラムをダウンロードするプログラムダウンロード方法である。

ここで、本実施例の特徴とするところは、加入者終端装置１２１は、端末装置１０２へのプログラムのダウンロードに先立って、端末装置１０２の正常性の確認および認証および端末装置１０２に既にインストールされているプログラムの正常性の確認を行った後に端末装置１０２に新たなプログラムのダウンロードを行い、当該新たなプログラムには、識別番号が付与され、顧客データベース１４２に、当該識別番号を、前記新たなプログラムをインストールした端末装置１０２の識別情報と対応付けて保持するところにある。

より詳細には、端末装置１０２は、自装置にインストールされているプログラムの識別番号の情報を加入者終端装置１２１に対して定期的に送信し、加入者終端装置１２１は、端末装置１０２から送信された前記プログラムの識別番号の情報と顧客データベース１４２に保持されている端末装置１０２にインストールされた前記プログラムの識別番号の情報とが不一致である場合には前記プログラムの異常と判断する。

また、このときに、加入者終端装置１２１は、前記不一致が所定回数連続したときに前記プログラムの異常と判断する。

また、本実施例の通信システムは、図１に示すように、ユーザ装置１５１が接続される端末装置１０２と、この端末装置１０２と加入者網１１１を介して接続される加入者終端装置１２１と、この加入者終端装置１２１と監視制御網１３１を介して接続されるサーバ１４１とを備え、サーバ１４１には、端末装置１０２にインストールするためのプログラムが格納されたプログラムデータベース１４３が設けられ、加入者終端装置１２１は、端末装置１０２の要求に応じてサーバ１４１を介してプログラムデータベース１４３に格納されているプログラムを端末装置１０２にダウンロードする監視制御部２２１を備えた通信システムである。

ここで、本実施例の特徴とするところは、加入者終端装置１２１の監視制御部２２１は、端末装置１０２へのプログラムのダウンロードに先立って、端末装置１０２の正常性の確認および認証および端末装置１０２に既にインストールされているプログラムの正常性の確認を行った後に端末装置１０２に新たなプログラムのダウンロードを行う手段を備え、当該新たなプログラムには、識別番号が付与され、この識別番号を、当該新たなプログラムをインストールした端末装置１０２の識別情報と対応付けて保持する顧客データベース１４２を備えたところにある。

より詳細には、端末装置１０２は、自装置にインストールされているプログラムの識別番号の情報を加入者終端装置１２１に対して定期的に送信する監視制御部３２１を備え、加入者終端装置１２１の監視制御部２２１は、端末装置１０２から送信された前記プログラムの識別番号の情報と顧客データベース１４２に保持されている端末装置１０２にインストールされた前記プログラムの識別番号の情報とが不一致である場合には前記プログラムの異常と判断する手段を備える。

また、監視制御部２２１は、前記不一致が所定回数連続したときに前記プログラムの異常と判断する手段を備える。

（第一実施例）
本発明の第一実施例として、端末装置１０２にプログラムをダウンロードする手順を、図４の手順（４００〜４０６）と図１、２、３の通信システム構成に基づいて説明する。プログラムをダウンロードする契機として、ユーザからプログラムの変更の申請があった場合が考えられる。プログラム変更の申請を契機として、通信事業者のオペレータの操作、または、通信事業者が保有するサーバの自動化プログラムにより、プログラムのダウンロードが実施されることになる。本実施例では、プログラムのダウンロードの手順が開始された後の動作について、説明するものとする。

プログラムのダウンロード開始（４００）の後、申告のあったユーザの端末装置１０２が正常であることの確認、正規のユーザの申し込みであることの確認、インストールされているプログラムが正常であることの確認のため、端末装置１０２の状態情報、認証番号、プログラム識別番号を取得する（４０１）。得られた情報をもとに、正常性の確認が行われる（４０２）。

最初に、端末装置１０２の正常性の確認について説明する。監視制御部３２１では、常に装置の監視を行っており、監視結果を監視制御部３２１内に、状態情報として保持している。ダウンロードの実施を契機として、監視制御部３２１から状態情報が、通信処理部３１１へ渡され、監視制御パケットのデータ部に状態情報が書き込まれて、加入者終端装置１２１へ送られる。加入者終端装置１２１では、通信処理部２１１において監視パケットから端末装置１０２の状態情報が抜き出され、監視制御部２２１へ渡される。監視制御部２２１は、端末装置１０２の状態情報をみて、状態が正常であることを確認する。

手順（４０２）の正規ユーザの申し込みであることの確認と、プログラムが正常であることの確認の方法について説明する。正規ユーザである確認は、端末装置１０２の認証番号が正常であるかを見て実施される。端末装置１０２の認証番号は、装置の出荷時に、監視制御部３２１のＲＯＭ３２３の中で書き換え不可な領域に書き込まれている。この認証番号を、通信処理部３１１が監視制御パケットのデータ部に書き込み、加入者終端装置１２１へ送信する。また、プログラム識別番号は通信処理部３１１が使用するプログラムの中に埋め込まれており、通信処理部３１１がプログラム識別番号を記載した監視制御パケットを加入者終端装置１２１へ送信する。

加入者終端装置１２１は、通信処理部３１１から受け取った端末装置の認証番号とプログラム識別番号とを、通信処理部２１１において、監視制御パケットから取り出し、監視制御部２２１へ渡す。監視制御部２２１では、通信処理部２１１から受け取った端末装置の認証番号とプログラム識別番号とを蓄積していた認証番号とプログラム識別番号と比較し、正常であるかを確認する。

なお、認証番号とプログラム識別番号の正常性確認は、監視制御網１３１を介して、サーバ１４１へ送られ、顧客データベース１４２に蓄積されている認証番号とプログラム識別番号とをサーバ１４１が比較する方法を用いてもよい。

手順（４０２）の結果、異常があった場合には、オペレータに異常警報を通知する（４０５）。警報通知を終了した後、プログラムダウンロード手順を終了する（４０６）。

手順（４０２）の結果、正常であった場合には、ユーザから申請のあったプログラムを、プログラムデータベース１４３から、監視制御網１３１、加入者終端装置１２１、加入者網１１１を介して、端末装置１０２へ送付する（４０３）。このプログラムデータの送信は次のように行われる。プログラムデータは、監視制御網１３１、物理終端回路２０３、通信処理部２１２を介して、監視制御部２２１へ取り込まれる。監視制御部２２１から通信処理部２１１へプログラムデータが送られ、監視制御パケットのデータ部にプログラムデータが書き込まれる。

プログラムデータを有する監視制御パケットは、物理終端回路２０１と加入者網１１１とを介して、端末装置１０２へ送られる。端末装置１０２に到着した監視制御パケットから、通信処理部３１１において、プログラムデータが取り出され、監視制御部３２１へ送られる。

プログラムデータは、ＲＡＭ３２２に一時的に蓄積される。手順（４０３）により、全てのプログラムのダウンロードが終了した後、顧客データベース１４２に、ダウンロードしたプログラム識別番号を登録する（４０４）。プログラム識別番号の登録後、端末装置１０２を再起動することで、ダウンロードしたプログラムを有効とする（４０５）。この後、一連のダウンロードの手順を終了する（４０６）。

上記の一連の手順の中で、監視制御に必要な情報とプログラムデータとは、監視制御パケットのデータ部に書き込まれる場合を説明した。これは、通信事業者が使用するパケットとユーザのデータを転送するパケットを分けて使用する場合である。ユーザの通信に影響を与えないため、通信事業者がデータを転送する領域と、ユーザのデータを転送する領域とが分かれていれば、同一パケットをユーザと通信事業者とが共用することができる。例えば、ユーザのデータを転送する通常のパケットの中に、監視制御に必要な情報を書き込む領域をオーバヘッド内に定義し、これを用いて監視制御に必要な情報を転送することもできる。

以上の手順により、プログラムダウンロードを実行することにより、通信サービス毎に端末装置に実装されるプログラムを変更した場合でも、容易に顧客管理を実施できる。

（第二実施例）
本発明の第二実施例として、図１、２、３の通信システム構成において、端末装置１０２が実行するプログラム正常性確認の手順を図５の手順（５０１〜５０９）に基づいて、加入者終端装置１２１が実行するプログラム正常性確認手順を図６の手順（６０１〜６０６）に基づいて説明する。

プログラムの正常性確認として、次のような手順をとる。端末装置１０２の通信処理部３１１に実装されているプログラムの識別番号を、監視制御パケットの中に記載し、加入者終端装置１２１へ送る。

加入者終端装置１２１では、通信処理部２１１において、受信した監視制御パケットからプログラム識別番号を取り出す。監視制御部２２１では、あらかじめ顧客データベース１４２に記録されているプログラム識別番号を通知されており、監視制御部２２１の中にこのプログラム識別番号を保持している。通信処理部２１１から監視制御部２２１へ渡されたプログラム識別番号と、保持していたプログラム識別番号とを比較し、一致すれば、プログラムが正常であると判断をする。なお、監視制御部２２１で正常性の判断をするのではなく、サーバ１４１において判断する方法も可能である。この場合には、通信処理部２１１において取り出されたプログラム識別番号は、監視制御網１３１を介してサーバ１４１へ送られ、顧客データベース１４２から読み出したプログラム識別番号と比較して正常性の確認が行われる。

プログラムの正常性確認処理に関して、通信処理部３１１において行われる監視制御パケット送信処理と、加入者終端装置１２１の監視制御部２２１において行われるプログラム識別番号の確認処理について、詳細な手順を以下に説明する。

通信処理部３１１における、監視制御パケットの送出処理の手順を説明する。端末装置１０２にプログラムがダウンロードされた後、プロセッサ３２４を再起動する。再起動後、図５に示すプログラムの正常性確認処理が開始される（５００）。開始後、監視制御パケットの送出順を管理するための、シリアル番号を０にリセットする（５０１）。

次に、監視制御パケットの送出タイミングを決定する時間Ｔのパラメータを”−Δｔ”にリセットする（５０２）。次に、時間ＴにΔｔを加える（５０３）。ここでΔｔは、監視制御パケットの送出タイミングを判定するための周期であり、例えば、パケット長に等しい時間を使用するか、クロックカウンタの値を使用することができる。次に、時間Ｔが時間Ｔｍａｘを越えているかどうかを判定する（５０４）。ここでＴｍａｘは、監視制御データ・パケットを送出する間隔として、最長の時間を決めるための定数である。

時間ＴがＴｍａｘを超えた場合は、監視制御データ・パケットを送出する手順（５０８）を実行することになる。手順（５０４）において、時間ＴがＴｍａｘを超えていない場合は、送信待ちの通信データ・パケットが存在するかを確認する（５０５）。通信データ・パケットが存在する場合は、これを送出し、手順（５０３）へ進む（５０６）。手順（５０５）において、通信データ・パケットが存在しない場合は、時間Ｔが監視制御パケットの送出間隔Ｔ0を超えているかを確認する（５０７）。

時間Ｔが送出間隔Ｔ0を超えていない場合は、手順（５０３）へ進む。時間Ｔが送出間隔Ｔ0を越えた場合は、監視制御パケットを送出する（５０８）。さらに、監視制御パケットのシリアル番号を一つ増やし、手順（５０２）へ進む（５０９）。以上の手順を繰り返すことで、監視制御パケットの送信処理を実現する。

次に、加入者終端装置１２１の監視制御部２１１において実行される、プログラム識別番号の正常性確認手順を、図６の加入者終端装置におけるプログラム正常性確認手順に基づいて説明する。

監視制御パケットが加入者終端装置１２１の通信処理部２１１に到着したときに、プログラム識別番号と監視制御パケットのシリアル番号が読み出される。２つのパラメータが、監視制御部２２１に渡された後に、正常性の確認処理が開始される（６００）。監視制御部２２１は、プログラム識別番号と、そのプログラム識別番号が取り出された監視制御パケットのシリアル番号とを読み出す（６０１）。

端末装置１０２に実装されているプログラム識別番号は、顧客データベース１４２から情報を渡されており、監視制御部２２１のなかに保持している。顧客データベース１４２に登録されているプログラム識別番号と、端末装置１０２から送られたプログラム識別番号とを比較し、一致していれば、正常と判断し、不一致ならば異常と判断する（６０２）。

正常と判断された場合は、次の監視制御パケットの到着に備え、正常性確認処理を終了する（６０６）。異常と判断された場合には、監視制御パケットが転送中に受けた通信エラーによるものか、端末装置１０２の異常によるものなのかを分別するため、監視制御パケットのシリアル番号を確認し、Ｎ回連続して異常である場合は異常と判断し、Ｎ回連続しなかった場合は異常とは判断しない（６０３）。ここで、Ｎは整数であり、加入者網１１１の誤り率を考慮して決められる値である。

異常と判断された場合は、異常をオペレータに知らせるために、警報発出処理を実行する（６０４）。異常とは判断されなかった場合には、監視制御パケットのシリアル番号を監視制御部２２１の中に保持しておき、次のプログラム識別番号の正常性確認処理における、連続性の確認に使用する（６０５）。手順（６０４）と手順（６０５）のいずれかの処理が終了した後に、プログラムの正常性確認処理を終了する（６０６）。

プログラム識別番号を端末装置１０２の中で登録しておく場所として、例えば、監視制御部３２１の中に登録しておいた場合には、異なるプログラムを端末装置１０２に実装しながら、プログラムの識別番号だけを当初の識別番号を書き換えておくことで、本実施例の正常性確認処理を欺くことが可能となる。悪意を持ったユーザが、安い通信サービスを契約しておきながら、プログラム識別番号を書き換えてしまうことで、付加価値の高いプログラムを端末装置１０２に実装し、登録されている通信サービス以外のサービスを受けることができる。

これを避けるために、端末装置１０２に実装されているプログラムの識別番号を暗号化し、プログラムの中に埋め込んでしまうことで、ユーザがプログラム識別番号を変更できないようになり、悪意のユーザへの対策が可能となる。

以上に説明したように、プログラム識別番号の確認を行うことで、端末装置に対する不正なプログラムの実装が行われていないかを監視することが可能となる。

以上説明したように、本発明により、端末装置の処理機能を変更するサービスを提供する場合において、顧客管理が容易に実現でき、サービスの柔軟な提供が行える、通信システムの実現が可能となる。さらに、悪意のあるユーザによる不正行為を監視することが可能となり、公正なサービス提供が可能となる。

本発明の実施例を示す通信システムの構成図。 本発明の実施例を示す加入者終端装置の構成図。 本発明の実施例を示す端末装置の構成図。 本発明における実施例を示すサーバにおけるプログラムダウンロード手順を示すフローチャート。 本発明における実施例を示す端末装置におけるプログラムの正常性確認手順を示すフローチャート。 本発明における実施例を示す加入者終端装置におけるプログラム正常性確認手順を示すフローチャート。 従来のプログラムダウンロード方式を示す図。

符号の説明

１０１〜１０３ 端末装置
１１１ 加入者網
１２１ 加入者終端装置
１３１ 監視制御網
１３２ 通信網
１４１ サーバ
１４２ 顧客データベース
１４３ プログラムデータベース
１５１ ユーザ装置
２０１〜２０３、３０１、３０２ 物理終端回路
２１１、２１２、３１１ 通信処理部
２２１、３２１ 監視制御部
３２２、７１３ ＲＡＭ
３２３ ＲＯＭ
３２４ プロセッサ
（４００〜４０５）、（５００〜５０９）、（６００〜６０６） 手順
７０１ 電話回線網
７１０ 電話機
７１１ ローダ
７１２ フラッシュメモリ
７１４ 入出力器
７１５、７２１ 制御部
７２０ 電話局装置
７２２ メモリ

Claims (6)

1. ユーザ装置が接続された端末装置と加入者網を介して接続される加入者終端装置が、前記端末装置の要求に応じて前記端末装置にプログラムをダウンロードするプログラムダウンロード方法において、
   前記加入者終端装置は、前記端末装置へのプログラムのダウンロードに先立って、前記端末装置の正常性の確認および認証および前記端末装置に既にインストールされているプログラムの正常性の確認を行った後に前記端末装置に新たなプログラムのダウンロードを行い、
   当該新たなプログラムには、識別番号が付与され、
   顧客データベースに、当該識別番号を、前記新たなプログラムをインストールした前記端末装置の識別情報と対応付けて保持する
   ことを特徴とするプログラムダウンロード方法。
2. 前記端末装置は、自装置にインストールされているプログラムの識別番号の情報を前記加入者終端装置に対して定期的に送信し、
   前記加入者終端装置は、前記端末装置から送信された前記プログラムの識別番号の情報と前記顧客データベースに保持されている前記端末装置にインストールされた前記プログラムの識別番号の情報とが不一致である場合には前記プログラムの異常と判断する
   請求項１記載のプログラムダウンロード方法。
3. 前記加入者終端装置は、前記不一致が所定回数連続したときに前記プログラムの異常と判断する請求項２記載のプログラムダウンロード方法。
4. ユーザ装置が接続される端末装置と、この端末装置と加入者網を介して接続される加入者終端装置と、この加入者終端装置と監視制御網を介して接続されるサーバとを備え、
   前記サーバには、前記端末装置にインストールするためのプログラムが格納されたプログラムデータベースが設けられ、
   前記加入者終端装置は、前記端末装置の要求に応じて前記サーバを介して前記プログラムデータベースに格納されているプログラムを前記端末装置にダウンロードする手段を備えた通信システムにおいて、
   前記加入者終端装置は、前記端末装置へのプログラムのダウンロードに先立って、前記端末装置の正常性の確認および認証および前記端末装置に既にインストールされているプログラムの正常性の確認を行った後に前記端末装置に新たなプログラムのダウンロードを行う手段を備え、
   当該新たなプログラムには、識別番号が付与され、この識別番号を、当該新たなプログラムをインストールした前記端末装置の識別情報と対応付けて保持する顧客データベースを備えた
   ことを特徴とする通信システム。
5. 前記端末装置は、自装置にインストールされているプログラムの識別番号の情報を前記加入者終端装置に対して定期的に送信する手段を備え、
   前記加入者終端装置は、前記端末装置から送信された前記プログラムの識別番号の情報と前記顧客データベースに保持されている前記端末装置にインストールされた前記プログラムの識別番号の情報とが不一致である場合には前記プログラムの異常と判断する手段を備えた
   請求項４記載の通信システム。
6. 前記判断する手段は、前記不一致が所定回数連続したときに前記プログラムの異常と判断する手段を備えた請求項５記載の通信システム。

Images