JP5523834B2 - 受信装置 - Google Patents

Description

関連出願の相互参照

本出願は、２００７年１０月３０日に出願された日本国特許出願２００７−２８２３２８号の優先権を主張するものであり、この先の出願の開示全体をここに参照のために取り込む。

本発明は、データ信号を含むストリームを受信する受信装置に関するものである。

近年のテレビ放送は、デジタル放送の普及により多チャンネル化が進み、視聴者に対して多くの番組コンテンツを放送可能になっている。また、インターネット環境においても、高速インターネットの普及に伴って、動画コンテンツを配信するサービスも増加している。

このようなデジタル放送やインターネット等のコンテンツ配信サービスにより配信されるコンテンツには、データ信号からなる付属データ（例えばデジタル放送におけるデータ放送）が付加される場合もある。この付属データには、例えばメール等のアプリケーションプログラム（以下、単に「アプリケーション」と言う）を実行したり、メモリにデータを書き込んだり、という動作をするスクリプトや、外部のＵＲＬ（インターネットアドレス）などにジャンプするリンクが含まれる場合もある。

このため、コンテンツ配信サービスでは、視聴するユーザに対して、配信するコンテンツの安全性を保証する必要がある。さもないと、ユーザが正当なコンテンツのストリームを受信していても、途中から悪意ある攻撃者により意図しないストリームにすげ替えられて、前後の関連性が保証されないパケットを含む不正ストリームを受信してしまうことも考えられる。

例えば、デジタル放送においては、画像データおよび音声データは元の放送のままで、双方向通信可能なデータ放送が改竄された不正ストリームを受信する恐れがある。このような場合、ユーザは、信頼できる放送局が提供した安全な情報と信じて、データ放送に含まれるアプリケーションの実行や、リンク先へのジャンプ等を実行してしまうことも考えられる。その結果、ユーザは、フィッシング詐欺にあったり、視聴・録画予約情報が書き換えられたり、不揮発性メモリに不所望なデータが書き込まれたり等の重大な実害を蒙るおそれがある。さらに、データ放送のストリームが安全であるか否かをユーザが判断するまでもなく、悪意のある不正なスクリプトが自動で実行されてしまうことも考えられる。

特に、最近、いわゆるワンセグ放送（携帯電話・移動体端末向けの１セグメント部分受信サービス）により、コンテンツの配信を局所的に行う形態も登場している。例えば、本来、電波の届きにくい地域や場所の受信特性を改善するために用いるギャップフィラーのような装置が提案されている。また、複数の狭いエリアにそれぞれ異なるワンセグ動画コンテンツを手軽に配信することが可能な微弱電波を利用したワンセグ放送装置のような技術も提案されている。

このような局所的なコンテンツ配信システム等が普及し、それが悪意のある者に利用されると、改竄された不正な放送が行われる危険性が一層高くなることから、上述のような問題が一層多く発生するものと考えられる。したがって、デジタル放送において、コンテンツのストリームを構成するデータが真正なものかどうかを判定する技術は、極めて重要である。

このような問題に対処し得るものとして、例えば特開２００３−１５４７０７号公報には、放送局側は、コンテンツに基づいて作成した認証用データをコンテンツに付加して放送するものが提案されている。この放送を受信するコンテンツ受信装置は、認証用データを取得すると認証処理を行い、認証ができない場合、当該コンテンツの再生処理を停止する。

この特開２００３−１５４７０７号公報に記載の受信装置によれば、認証用データの認証ができて初めてコンテンツの再生が行われる。このため、受信装置を用いてデジタル放送を視聴しているユーザが、例えば不正なコンテンツなど認証のできないコンテンツを不所望に受信して視聴してしまうことは回避される。

しかしながら、この特開２００３−１５４７０７号公報に記載の受信装置は、例えばワンセグ放送視聴可能な携帯電話のような移動体端末の場合のように、常に通信品質が確保されるとは限らず、むしろパケットロスなどが頻繁に発生するような状況においては、認証用データの認証を行うことができない。このため、正規のコンテンツによる放送までもが視聴を制限されてしまう恐れがある。

例えば、図１３のタイムチャートの左方から中央にかけて時間の経過に沿って示すように、例えばワンセグ放送に含まれる正規の放送であるデータ放送Ａを、所定の間隔で送信される認証用データと共に受信装置にて受信する場合を検討する。特開２００３−１５４７０７号公報に開示されている方法では、認証用データの認証が成功すればデータ放送の再生処理を行い、認証用データの認証が失敗した場合にはコンテンツ再生を停止する処理を行っている。しかしながら、受信装置が携帯端末である場合には、受信場所における電波の強弱などの原因により、図１３に示すように、パケットロスが頻繁に発生し得る。そのため、このようなパケットロス発生時には認証用データの認証ができず、次の認証用データにより認証が成功するまでは、たとえ正規の放送によるストリームであってもコンテンツの再生処理は停止することになる。したがって、その間のコンテンツ視聴（画面表示されるデータ放送）は制限されてしまう。

この問題に対処するために、例えば一度認証に成功した放送のストリームについては、２度目以降の認証を行わないように制御することも考えられる。しかしながら、この場合、図１３中央から右方にかけて時間の経過に沿って示すように、例えば正規の放送であるデータ放送Ａの認証が一度成功した後に、認証用データを含まない不正な放送であるデータ放送Ｃに切り替えられるような不正な処理が行われると問題が生じる。すなわち、一度認証に成功した後は認証処理が行われないため、不正なデータ放送Ｃは不正と判定されず、不正なコンテンツの再生処理が停止されないままになってしまう。このような状況では、不正なデータ放送のストリームに含まれる不正なスクリプト等の機能が実行されるなどして不所望な動作が行われる。その結果、ユーザは、フィッシング詐欺などの被害に遭う恐れもあり、デジタル放送のコンテンツを安全に利用することができない。

したがって、かかる事情に鑑みてなされた本発明の目的は、ユーザの利便性を損なうことなく、データ信号によるコンテンツを安全に利用することができる受信装置を提供することにある。

上記目的を達成する第１の観点に係る受信装置の発明は、
データ信号を含み、送信元の認証用データを所定周期で含むストリームを受信する受信部と、
該受信部で受信中のストリームから当該ストリームのデータ信号を分離する信号分離部と、
該信号分離部で分離したデータ信号に基づいて当該データ信号の更新を検知する更新検知部と、
認証に成功したストリームにおいて、前記更新検出部により前記データ信号の更新が検知されないと前記受信中のストリームの送信元の認証を行わず、前記更新検知部により前記データ信号の更新が検知されると前記受信中のストリームの送信元の認証を前記認証用データに基づいて行う認証部と、
前記認証部により前記ストリームの送信元の認証が成功するまでは、前記更新されたデータ信号に基づく所定の機能の実行を制限するよう制御する制御部と、
を備えることを特徴とするものである。

第２の観点に係る発明は、第１の観点に係る受信装置において、
前記制御部は、前記データ信号に含まれる所定のスクリプトの実行を禁止することを特徴とするものである。

第３の観点に係る発明は、第１の観点に係る受信装置において、
前記制御部は、前記データ信号に含まれる外部へのリンクの実行を禁止することを特徴とするものである。

第４の観点に係る発明は、第１の観点に係る受信装置において、
前記信号分離部で分離したデータ信号を記憶する記憶部と、
前記ストリームに基づく表示を行う表示部と、
前記認証部により前記ストリームの送信元の認証が成功するまでは、前記更新されたデータ信号の前記記憶部への記憶、および前記更新されたデータ信号に基づく前記表示部への表示を禁止するよう制御する制御部と、
をさらに備えることを特徴とするものである。

さらに、第５の観点に係る発明は、第１の観点に係る受信装置において、
前記認証部により前記ストリームの送信元の認証が成功していないデータ信号を記憶する未認証領域と、前記ストリームの送信元の認証が成功したデータ信号を記憶する認証済領域とを有する記憶部と、
前記記憶部の認証済領域に記憶されたデータ信号に基づく表示を行う表示部と、
前記更新検知部により前記データ信号の更新が検知されると、当該更新されたデータ信号を前記記憶部の未認証領域に記憶し、前記認証部により前記ストリームの送信元の認証が成功すると、前記未認証領域に記憶されているデータ信号を前記認証済領域に移行するよう制御する制御部と、
をさらに備えることを特徴とするものである。

本発明の第１実施の形態に係る受信装置の機能ブロック図である。 第１実施の形態にて認証成功前は実行を制限すべきスクリプト命令の例を示す図である。 第１実施の形態に係る受信装置の動作を説明するフローチャートである。 第１実施の形態に係る受信装置の動作を説明するタイムチャートである。 第１実施の形態に係る受信装置の動作を説明するタイムチャートである。 第２実施の形態に係る受信装置の動作を説明するフローチャートである。 第２実施の形態に係る受信装置の動作を説明するタイムチャートである。 第２実施の形態に係る受信装置の動作を説明するタイムチャートである。 第３実施の形態に係る受信装置の機能ブロック図である。 第３実施の形態に係る受信装置の動作を説明するフローチャートである。 第３実施の形態に係る受信装置の動作を説明するタイムチャートである。 第３実施の形態に係る受信装置の動作を説明するタイムチャートである。 従来の受信装置の動作を説明するタイムチャートである。

符号の説明

１ 制御部
２、４ アンテナ
３ 無線部
５ チューナ部
６ 復調部
７ 分離部
８ 音声処理部
９ 映像処理部
１０ データ処理部
１１ 音声出力部
１２ 表示部
１３ 音声入力部
１４ 記憶部
１５ 操作キー部
１６ 更新処理部
１７ データ放送再生制御部
１８ 認証部
３１ 未認証領域
３２ 認証済領域

以下、本発明の実施の形態について、図を参照して説明する。

（第１実施の形態）
図１は、本発明の第１実施の形態に係る受信装置の要部の概略構成を示すブロック図である。本実施の形態の受信装置１００は、例えばインターネットへのネットワーク通信が可能な携帯電話端末に、地上デジタルＴＶ放送である、いわゆるワンセグ放送を視聴するためのＴＶ受信機能を搭載した携帯通信端末とすることができる。この受信装置１００は、全体を制御する制御部１と、無線通信部を構成する通信回線用のアンテナ２および無線部３と、地上デジタル放送を受信する受信部を構成する放送受信用のアンテナ４およびチューナ部５とを有している。

無線部３は、制御部１で処理された音声情報、電子メール等を変調してアンテナ２から図示しない基地局に無線で送信するとともに、基地局から無線により送信されアンテナ２で受信された電子メールや音声情報、Ｗｅｂブラウザ用データ等の各種情報を復調して制御部１に送出する。

一方、チューナ部５は、制御部１の制御により、アンテナ４が受信した放送受信信号を選局する。
復調部６は、このように選局された放送受信信号を復調して、放送データであるトランスポートストリーム（ＴＳ）パケットを取り出し、分離部７に供給する。分離部７は、供給されたパケットを、パケットＩＤに応じて、音声処理部８、映像処理部９、データ処理部１０に分離する。音声処理部８は、分離された音声情報をデコードしてから音声出力部１１に出力し、音声出力部１１はデジタル放送の音声を出力する。映像処理部９およびデータ処理部１０は、それぞれ分離された映像情報およびデータ放送用のデータを、それぞれデコードおよび処理してから表示部１２に表示する。

さらに、受信装置１００は、通話の音声を入力するためのマイクで構成される音声入力部１３、各種データを格納する記憶部１４、ユーザによる受信装置１００の操作を受け付ける操作キー部１５を有している。記憶部１４には、各種のアプリケーションを実行するプログラム、視聴予約データ、スケジュール、アドレス等を記憶させるとともに、プログラム等を実行する作業領域を確保し、さらにデジタル放送のストリームに含まれるデータ放送用のデータも保持する。操作キー部１５は、機械式キーやタッチパネルキーからなるテンキーや方向キー等の各種の操作キーを備えている。操作キー部１５を構成する所定の操作キーには、ワンセグ放送に含まれるデータ放送によって表示部１２に表示される機能のスクリプトを実行する要素（表記名）を選択するための選択キーを割り当てる。

なお、データ処理部１０は、更新検知部１６と、データ放送再生制御部１７とを含んでいる。更新検知部１６は、分離部７で分離されたデータ放送用のデータの更新情報を取得することにより、データ放送の更新を検知して、その結果を制御部１に返信する。データ放送再生制御部１７は、記憶部１４に記憶されたデータ放送用のデータに基づいてデータ放送を表示部１２にて再生するよう制御する。さらに、制御部１は、デジタル放送のストリームに含まれる認証用データを検出して認証処理を行う認証部１８を含んでいる。

一般的に、デジタル放送におけるデータ放送では、ISO/IEC13818-6として国際標準化されたDSM-CC(Digital Storage Media Command and Control)データカルーセル仕様に基づいて、所定の期間中、放送局から受信装置に対して同じデータが繰り返し送信される。この繰り返しの期間中、受信装置の表示部には、一般に同じデータ放送が表示される。

データカルーセル仕様においては、データ放送のデータ本体であるＤＤＢ(DownloadDataBlock)メッセージと、DSM-CCコントロールメッセージに属するＤＩＩ(DownloadInfoIndication)メッセージとを用いてデータが伝送される。ＤＩＩメッセージのデータ構造に含まれる種々のフィールドの中には、ダウンロード識別(downloadId)と、モジュールバージョン(moduleVersion)というフィールドがある。これらのフィールドにおいて、ダウンロード識別フィールド（３２ビット）の上位４ビットに符号化されるデータイベント識別(data_event_id)、および８ビットのモジュールバージョンの値を更新することによって、データ放送が更新されることを示す。データイベント識別の値の更新はデータ放送の内容全体の更新を意味し、モジュールバージョンの値の更新はデータ放送のコンテンツを構成するモジュールの一部の更新を意味している。以下、このダウンロード識別およびモジュールバージョンの値を、適宜「更新情報」という。

本実施の形態の受信装置１００は、ユーザによる操作キー部１５の操作などに基づいてデジタル放送の視聴が開始されると、データ放送のデータ（ＤＤＢメッセージ）の受信を開始して、このデータを記憶部１４に記憶する。コンテンツを構成するデータ放送のデータの組が記憶部１４に揃うと、表示部１２にデータ放送の内容を表示することができる。その後、データ放送が更新されると、受信装置１００は、ＤＩＩメッセージに含まれるデータ放送の更新情報を取得し、この更新情報に基づいて更新されたデータ放送のデータ（ＤＤＢメッセージ）の組を記憶部１４に記憶する。これにより、受信装置１００は、更新されたデータ放送の内容を、記憶部１４から読み出すことにより表示部１２に表示する。

データ放送のデータが記憶部１４に記憶されると、受信装置１００は、記憶したデータ放送に所定の機能を実行するスクリプトやリンク情報が含まれている場合には、操作キー部１５への入力に基づいて、または自動で、各スクリプトおよびリンク情報に対応した機能を実行する。

本実施の形態では、ＤＩＩメッセージに含まれる更新情報であるデータイベント識別またはモジュールバージョンの値の変化を更新検知部１６が検知すると、制御部１は、データ放送が更新されたと判定し、当該更新されたデータ放送のデータの受信および取得を開始する。一方、記憶部１４に記憶する更新されたデータ放送に所定のスクリプト命令が含まれていた場合は、制御部１は、このスクリプト命令を実行しないように制御する。実行を制限するスクリプト命令は、例えば、図２に示すスクリプト命令（関数名）として、予め定めておく。

ひとつのコンテンツを構成するデータ放送のデータの組を記憶部１４に記憶し終えると、データ放送再生制御部１７は、当該データ放送を表示部１２に表示するように制御する。しかしながら、この時点では、まだ当該データ放送の認証は成功していないため、制御部１は、データ放送に含まれるスクリプト命令による所定の機能の実行は制限したままにする。

このように、スクリプト命令を実行しないよう制御することで所定の機能の実行を制限する場合、制御部１は、データ放送が表示部１２に表示される前後に関わらず、所定のスクリプト命令が自動で実行されないように制御する。また、データ放送を表示部１２に表示した後であれば、制御部１は、実行が制限されているスクリプトの機能の表示をするにあたり、当該制限された機能表示の部分だけ表示部１２に表示されないようにできる。あるいは、実行が制限されているスクリプトの機能の表示は行うが、その箇所をユーザが操作キー部１５により選択できないようにしてもよい。さらに、実行が制限されているスクリプトの機能を通常どおりに選択可能に表示して、その箇所をユーザが選択すると「データ放送が未認証のため機能制限中」の旨または「データ放送が未認証のため機能の実行を保留中」の旨の表示してもよい。このようにすれば、ユーザは、所定の機能の実行に制限がかかっていることを知ることができる。

ストリームに含まれるデータ放送のデータが、正規の送信元から送信されたデータであるかどうかを認証部１８が認証する処理を行うにあたり、デジタル放送の放送局では、所定の認証用データをストリームに所定の間隔で付加してから送信する。この認証用データは、例えば特開２００３−１５４７０７号公報に記載されているようなデータを付加することができる。

更新検知部１６がデータ放送の更新情報を検知すると、制御部１は、このデータ放送の更新情報検知後に受信する認証用データを認証部１８が認証するように制御する。この認証が失敗した場合、制御部１は、認証部１８がその後の認証用データの認証に成功するまで所定の機能の実行を制限したままにする。ひとたび認証部１８が認証用データの認証に成功すると、制御部１は、制限されている機能がある場合には、その機能のスクリプト命令を実行可能にする。

表示部１２に所定の期間表示するのに必要なデータ放送のデータは記憶部１４に記憶されているため、制御部１は、次にデータ放送が更新されるまでは、記憶部１４に記憶されているデータ放送のデータを適宜読み出して表示部１２に表示する。一度認証に成功した後も、所定の間隔で認証用データがストリームに付加されて送信されて来る。しかしながら、一度認証に成功したデータ放送については、次にデータ放送が更新されるまで（更新検知部１６が更新情報を検知するまで）は、制御部１は、認証用データを取得および認証しないように認証部１８を制御する。

次に、図３のフローチャートを参照しながら、本実施の形態に係る受信装置１００によるデジタル放送の受信動作について説明する。

ステップＳ１０１にて、操作キー部１５の操作などに基づいてデジタル放送の選局が行われ視聴を開始する操作が行われると、受信装置１００はデジタル放送の受信を開始する（ステップＳ１０２）。次にステップＳ１０３にて、ユーザによる操作キー部１５の操作または環境設定（もしくは初期設定）などにより、デジタル放送のデータ放送を表示するモードに移行すると、制御部１は、「更新フラグ」をオンにする（ステップＳ１０４）。この「更新フラグ」は、上述した認証用データを認証部１８が受信したら認証処理を開始するためのフラグである。ステップＳ１０４では、デジタル放送の視聴を開始した直後なので、データ放送のデータは記憶部１４に記憶されていないため、制御部１は、データ放送用のデータを新規に全部取得し、記憶部１４に記憶するよう制御する（ステップＳ１０５）。

ステップＳ１０６では、更新検知部１６が、更新情報（データイベント識別またはモジュールバージョンの値）の変化に基づいてデータ放送の更新を検知したか否かを判定する。デジタル放送の視聴を開始した直後にデータ放送用のデータを新規取得した時点では更新はないため、ステップＳ１０９に移行する。一方、デジタル放送の視聴を既に開始した後の視聴中に、ステップＳ１０６でデータ放送の更新が検知された場合、制御部１は、上述した更新フラグをオンにする（ステップＳ１０７）。それから、制御部１は、検知した更新情報に基づいて、更新されたデータ放送のデータを取得するように制御する（ステップＳ１０８）。

次に、ステップＳ１０９では、制御部１は、更新フラグがオンになっているか否かを判定する。このとき、デジタル放送の視聴開始直後、またはデータ放送の視聴中で更新検知後のため更新フラグがオンになっている場合には、制御部１は、前述した所定の機能の実行制限を開始すると共に、記憶部１４に記憶されたデータ放送の内容を表示部１２に表示するよう制御する（ステップＳ１１０）。それと同時に、更新フラグがオンの場合、制御部１は、認証部１８が認証用データを取得して認証処理を行うように制御する。

ステップＳ１１１にて、認証部１８は、デジタル放送のストリームに含まれる認証用データを取得できた場合、取得した認証用データの送信元の認証を行う（ステップＳ１１２）。ステップＳ１１３にて認証用データの認証が成功した、すなわち、受信しているデジタル放送のストリームの送信元が正規の送信元であると確認が取れた場合には、制御部１は更新フラグをオフにする（ステップＳ１１４）。この更新フラグをオフした後、制御部１は、所定の機能の実行制限を解除し、スクリプト命令の実行を可能にする。なお、更新フラグがオフである間に次の認証用データを受信しても、認証部１８は、当該認証用データを取得および認証しない。

ステップＳ１１４にて更新フラグがオフになった後は、ステップＳ１１５に移行し、データ放送を表示するモードが継続している限り、ステップＳ１０６に戻って処理を続行する。なお、ステップＳ１１３にて、認証部１８が認証用データの認証に失敗した場合、認証に失敗した旨を表示部１２に表示して（ステップＳ１１６）、更新フラグはオンのまま、すなわち所定の機能の実行を制限したまま、ステップＳ１１５に移行する。

また、ステップＳ１０９にて更新フラグがオンでない、つまりオフになっている場合、すなわち、一度認証用データの認証に成功し、かつその後データ放送の更新情報が検知されていない場合、処理はステップＳ１１７に移行する。ステップＳ１１７において、制御部１は、所定の機能の実行制限を行うことなく、既に取得済みのデータ放送用データを記憶部１４から読み出して表示部１２に表示するよう制御して、ステップＳ１１５に移行する。

このように、本実施の形態では、例えば図４の左方から中央にかけて時間の経過に沿って示すように、デジタル放送の視聴が開始されてから一度送信元の認証が成功した正規のデータ放送（データ放送Ａ）については、次に更新情報を検知するまでは認証処理を行わず、所定の機能の実行制限は行わない。したがって、所定の間隔で送信されてくる認証用データが、例えば図４に示すようにパケットロスなどにより失われるなどしても、所定の機能の実行制限はかからない。このため、正規の放送局から送信されるデータ放送であるにもかかわらず所定の機能の実行が制限されてしまうという不都合は解消する。

また、図４の中央から右方にかけて時間の経過に沿って示すように、受信するデータ放送がデータ放送Ａからデータ放送Ｂに更新された場合、受信装置１００は、更新されたデータ放送のデータが記憶部１４に記憶されるとすぐに表示部１２に表示を開始する。しかしながら、受信装置１００は、更新情報を検知すると同時に所定の機能の実行に制限をかける。そのため、更新後のデータ放送Ｂが、例えばなりすましによる不正なデータ放送であった場合に、悪意のあるスクリプト命令やリンク情報を実行してしまうというリスクは解消する。以後、受信装置１００は、更新情報が検知された後の認証用データを取得して認証を行い、この認証が成功するまでは、データ放送の表示は行うが、所定の機能の実行には制限をかけたままにする。

更新後のデータ放送Ｂも正規の送信元から送信されるデータ放送である場合、正規の認証用データによる認証が一度成功すれば、所定の機能の制限を解除し、その後はデータ放送の次の更新情報が検知されるまでは認証を行わない。したがって、認証用データを受信する度に毎回認証を行う場合に比べると、受信装置１００の処理負荷が著しく低減され、消費電力を抑制できるという効果もある。

さらに、図５に示すように、受信するデータ放送が正規のデータ放送（データ放送Ａ）から、認証用データを含まない不正なデータ放送（データ放送Ｃ）に切り替わった場合について検討する。この場合、更新されたデータ放送は更新後すぐに表示部１２に表示されるが、更新情報を検知すると同時に所定の機能の実行には制限がかかる。その後、正規の認証用データを取得して認証が成功するまで、不正なデータ放送の表示はされるものの、所定の機能には実行制限がかかったままになるため、悪意のあるスクリプト命令やリンクを実行してしまうというリスクはない。

なお、更新検知部１６が、データ放送の更新情報として、データイベント識別の値ではなくモジュールバージョンの値の更新を検知する場合、すなわちデータ放送を構成するコンテンツ全体が更新されるのではなく一部のモジュールのみの更新の場合も想定される。この場合は、当該更新されるモジュールに関連する機能のみの実行に制限をかけるようにするのが好適である。こうすることにより、一度認証が成功しているデータ放送に含まれるスクリプト命令やリンクに基づく機能を実行している最中に、一部のモジュールが更新されたため、これ以後認証用データの認証が成功するまで所定の機能の全てに実行制限がかかるということはない。したがって、既に実行している機能が、認証成功まで突然制限されるという不都合は解消される。

このように、本実施の形態では、データ放送が更新された場合だけストリームの送信元の認証処理を行い、データ放送が更新されてからその認証が完了するまではデータ放送に含まれる所定のスクリプト命令やリンクを実行しない。このため、ユーザは利便性を損なうことなく、データ放送によるコンテンツを安全に利用することができる。

（第２実施の形態）
次に、本発明の第２実施の形態に係る受信装置について説明する。本実施の形態の受信装置は、図１で説明した第１実施の形態に係る受信装置１００において、更新検知部１６がデータ放送の更新情報を検知しても、所定の機能の実行を制限する制御は行わない。

このため、本実施の形態では、更新検知部１６が更新情報を検知すると、認証部１８は、ストリームに含まれる認証用データを取得および認証する。さらに、認証用データの認証が成功するまでは、更新されたデータ放送のデータを受信しても、記憶部１４は、このデータ放送のデータを記憶しない。

認証部１８が認証用データの認証に成功した時点から、制御部１は、更新されたデータ放送のデータを取得して記憶部１４に記憶するように制御を行う。更新されたデータ放送のデータの組が記憶部１４に記憶されると、制御部１は、更新されたデータ放送の内容を、記憶部１４から読み出すことにより表示部１２に表示する。その後、更新検知部１６が次の更新情報を検知するまでは、認証部１８は認証処理を行わない。その他の動作は、第１実施の形態と同様である。

次に、図６のフローチャートを参照しながら、本実施の形態に係る受信装置１００によるデジタル放送の受信動作について説明する。

ステップＳ２０１にて、デジタル放送の選局が行われ視聴を開始する操作が行われると、受信装置１００はデジタル放送の受信を開始する（ステップＳ２０２）。次に、ステップＳ２０３にてデータ放送を表示するモードに移行すると、制御部１は、第１実施の形態で説明した「更新フラグ」をオンにする（ステップＳ２０４）。

次に、ステップＳ２０５にて、既に取得して記憶部１４に記憶済みのデータ放送のデータがあるか否かを判定する。データ放送のデータの受信を開始した直後は、記憶部１４に記憶済みのデータ放送用データは存在しないため、制御部１は、表示部１２に、例えば「データ放送用データ認証中」の旨または「データ放送用データ取得中」の旨などを表示する（ステップＳ２０６）。ステップＳ２０５にて既にデジタル放送の視聴を開始した後の視聴中で、ストリームに含まれる認証用データの認証に一度成功している場合は、認証成功後のデータ放送のデータを取得して記憶部１４に記憶している。この場合、制御部１は、当該取得済みのデータ放送用データを記憶部１４から読み出して表示部１２に表示するよう制御する（ステップＳ２０７）。

ステップＳ２０８では、更新検知部１６が、更新情報の変化に基づいてデータ放送の更新を検知したか否かを判定する。デジタル放送の視聴開始直後にデータ放送用のデータを新規取得した時点では更新はないため、ステップＳ２１０に移行する。一方、デジタル放送の視聴を既に開始した後の視聴中に、ステップＳ２０８でデータ放送の更新が検知された場合、制御部１は、更新フラグをオンにしてから（ステップＳ２０９）、ステップＳ２１０に移行する。

ステップＳ２１０では、制御部１は、更新フラグがオンになっているか否かを判定し、更新フラグがオンである時に認証用データを受信した場合には（ステップＳ２１１のＹＥＳ）、認証部１８は、取得した認証用データの送信元の認証処理を行う（ステップＳ２１２）。

ステップ２１３にて認証部１８が認証用データの認証に成功すると、先に取得した更新情報に基づいて、更新されたデータ放送のデータを取得して、記憶部１４に記憶する（ステップＳ２１４）。なお、ステップＳ２１３で行った認証が、デジタル放送を視聴してから最初の認証であった場合には、ここでデータ放送用データを初めて取得することになるので、データ放送を構成するデータの組を全て取得する。

ステップＳ２１４でデータ放送のデータを記憶すると、制御部１は、更新フラグをオフにする（ステップＳ２１５）。ステップ２１６にてデータ放送を表示するモードが継続していれば、制御部１は、ステップＳ２１６のＮＯ、ステップＳ２０５のＹＥＳを経て、記憶部１４を参照することにより、取得したデータ放送を読み出して表示部１２に表示する（ステップＳ２０７）。

なお、ステップＳ２１３にて、認証部１８が認証用データの認証に失敗した場合、認証に失敗した旨を表示して（ステップＳ２１７）、更新フラグはオンのままステップＳ２１６に移行する。

また、ステップＳ２１０にて更新フラグがオンでない、つまりオフになっている場合は、認証部１８は、認証用データを受信しても、これを取得および認証せずに、ステップＳ２１６に移行する。なお、ステップＳ２１１にて、認証用データを受信していない場合は、更新フラグはオンのままステップＳ２１６に移行する。

このように、本実施の形態では、第１実施の形態と同様に、例えば図７の左方から中央にかけて時間の経過に沿って示すように、デジタル放送の視聴が開始されてから一度送信元の認証が成功した正規のデータ放送（データ放送Ａ）については、次に更新情報を検知するまでは認証処理を行わない。そのため、所定の間隔で送信されてくる認証用データが、例えば図７に示すようにパケットロスなどにより失われるなどしても、それが原因で、正規の放送局から送信されるデータ放送の視聴が制限されたり、データ放送に基づく所定の機能の実行が制限されたりするという不都合はない。したがって、本実施の形態でも、認証用データを受信する度に毎回認証を行う場合に比べると、受信装置１００の処理負荷が著しく低減され、消費電力を抑制できるという効果がある。

また、図７に時間の経過に沿って示すように、受信するデータ放送がデータ放送Ａからデータ放送Ｂに更新された場合、受信装置１００は、デジタル放送のストリームに含まれる認証用データの認証が成功するまでは、未認証のデータ放送用データの取得または記憶部１４への記憶を行わない。本実施の形態では、制御部１は、認証が成功していないデータ放送に含まれるスクリプト命令などに基づく所定の機能の実行に制限をかける制御は行わないが、未認証のデータ放送用データは取得しないため、結果としてこれら所定の機能の実行は制限されることになる。したがって、本実施の形態でも、更新後のデータ放送Ｂが、例えばなりすましによる不正なデータ放送であった場合に、悪意のあるスクリプト命令を実行してしまうというリスクは解消され、第１実施の形態と同様の効果が得られる。

さらに、本実施の形態においては、未認証のデータ放送用データは取得しないため、データ放送が更新されても、認証が成功するまではデータ放送が表示部１２に表示されない。したがって、例えば図８に時間の経過に沿って示すように、受信するデータ放送が正規のデータ放送（データ放送Ａ）から、認証用データを含まない不正なデータ放送（データ放送Ｃ）に切り替わった場合、認証用データの認証が成功しない（認証処理が行われない）。このため、不正なデータ放送が表示部１２に表示されることはない。したがって、本実施の形態では、不正なデータ放送を視聴してしまうリスクも回避される。

（第３実施の形態）
図９は、本発明の第３実施の形態に係る受信装置の要部の回路構成を示すブロック図である。本実施の形態の受信装置３００は、図１にて説明した第１実施の形態に係る受信装置１００の記憶部１４の内部構成を変更したものである。受信装置３００の記憶部１４は、その内部に、未認証領域３１と、認証済領域３２とを備えている。未認証領域３１は、認証用データにより認証が成功していないデータ放送用データを一時的に格納する領域である。また、認証済領域３２は、未認証領域３１に格納されているデータ放送用データを、認証用データにより送信元の認証が成功した後に、移管して格納する領域である。

前述の第２実施の形態では、認証用データの認証が成功するまでは、更新されたデータ放送のデータを受信しても、これを取得または記憶しないように制御した。本実施の形態では、更新検知部１６が更新情報を検知すると、認証部１８は、ストリームに含まれる認証用データを取得および認証し、一方記憶部１４は、更新されたデータ放送のデータを未認証領域３１に格納する。したがって、データ放送のデータが更新されると、制御部１は、送信元の認証がまだ成功していないデータの取得は行うが、未認証領域３１に記憶された未認証のデータ放送用データを読み出してスクリプト命令やリンクを実行したり、表示部１２に表示したりしないように制御する。

更新されたデータ放送用データを未認証領域３１に記憶した後、認証部１８が認証用データを取得してその認証に成功した時点で、制御部１は、未認証領域３１に記憶されている更新されたデータ放送のデータを、認証済領域３２に移動する。更新されたデータ放送のデータが認証済領域３２に移動されると、制御部１は、更新されたデータ放送の内容を、認証済領域３２から読み出すことにより表示部１２に表示する。その後、更新検知部１６が次の更新情報を検知するまでは、認証部１８による認証処理を行わない。

次に、図１０のフローチャートを参照しながら、本実施の形態に係る受信装置３００によるデジタル放送の受信動作について説明する。

ステップＳ３０１にて、デジタル放送の選局が行われ視聴を開始する操作が行われると、受信装置３００はデジタル放送の受信を開始する（ステップＳ３０２）。次に、ステップＳ３０３にてデータ放送を表示するモードに移行すると、制御部１は、上述した「更新フラグ」をオンにして（ステップＳ３０４）、データ放送のデータを新規に全取得すると共に、これを未認証領域３１に記憶する（ステップＳ３０５）。

次に、ステップＳ３０６にて、取得して既に認証が成功したデータ放送のデータが認証済領域３２にあるか否かを判定する。データ放送のデータの受信を開始した直後は、認証済領域３２に記憶済みのデータ放送用データは存在しないため、制御部１は、表示部１２に例えば「データ放送用データ認証中」の旨または「データ放送用データ取得中」の旨などを表示する（ステップＳ３０７）。ステップＳ３０６にて既にデジタル放送の視聴を開始した後の視聴中で、ストリームに含まれる認証用データの認証に一度成功している場合は、認証成功後のデータ放送のデータを認証済領域３２に記憶している。この場合、制御部１は、この認証済みデータ放送用データを認証済領域３２から読み出して表示部１２に表示するよう制御する（ステップＳ３０８）。

ステップＳ３０９では、更新検知部１６が、更新情報の変化に基づいてデータ放送の更新を検知したか否かを判定する。デジタル放送の視聴開始直後にデータ放送用のデータを新規取得した時点では更新はないため、ステップＳ３１２に移行する。一方、デジタル放送の視聴を既に開始した後の視聴中に、ステップＳ３０９でデータ放送の更新が検知された場合、制御部１は、更新フラグをオンにしてから（ステップＳ３１０）、更新情報に基づいて、更新されたデータ放送のデータを取得して、未認証領域３１に記憶する（ステップＳ３１１）。

ステップＳ３１２では、制御部１は、更新フラグがオンになっているか否かを判定し、更新フラグがオンである時に認証用データを受信した場合には（ステップＳ３１３のＹＥＳ）、認証部１８は、取得した認証用データの送信元の認証処理を行う（ステップＳ３１４）。

ステップ３１５にて認証部１８が認証用データの認証に成功すると、制御部１は、未認証領域３１に記憶されていた、認証に成功したデータ放送のデータを認証済領域３２に移動させる（ステップＳ３１６）。

データ放送のデータを認証済領域３２に移動すると、制御部１は、更新フラグをオフにする（ステップＳ３１７）。ステップ３１８にてデータ放送を表示するモードが継続していれば、制御部１は、ステップＳ３１８のＮＯ、ステップＳ３０６のＹＥＳを経て、認証済領域３２を参照することにより、取得したデータ放送を読み出して表示部１２に表示する（ステップＳ３０８）。

なお、ステップＳ３１５にて、認証部１８が認証用データの認証に失敗した場合、認証に失敗した旨を表示して（ステップＳ３１９）、更新フラグはオンのままステップＳ３１８に移行する。

また、ステップＳ３１２にて更新フラグがオンでない、つまりオフになっている場合は、認証部１８は、認証用データを受信しても、これを取得および認証せずに、ステップＳ３１８に移行する。なお、ステップＳ３１３にて、認証用データを受信していない場合は、更新フラグはオンのままステップＳ３１８に移行する。

このように、本実施の形態では、第１および第２実施の形態と同様に、例えば図１１の左方から中央にかけて時間の経過に沿って示すように、一度認証が成功した正規のデータ放送（データ放送Ａ）は、次に更新情報を検知するまで認証処理を行わない。そのため、所定の間隔で送信されてくる認証用データが、例えば図１１に示すようにパケットロスなどにより失われても、それが原因で、正規の放送局から送信されるデータ放送の視聴が制限されたり、データ放送に基づく所定の機能の実行が制限されたりするという不都合はない。したがって、本実施の形態でも、認証用データを受信する度に毎回認証を行う場合に比べると、受信装置３００の処理負荷が著しく低減され、消費電力を抑制できるという効果がある。

また、図１１に時間の経過に沿って示すように、受信するデータ放送がデータ放送Ａからデータ放送Ｂに更新された場合、受信装置３００は、更新されたデータ放送のデータの取得を即座に開始する。しかしながら、このとき、デジタル放送のストリームに含まれる認証用データの認証が成功するまでは、未認証のデータ放送用データを未認証領域３１に記憶しておく。本実施の形態では、未認証領域３１に記憶されているデータ放送のデータは表示部１２に表示しない。このため、第１および第２実施の形態と同様に、更新後のデータ放送Ｂが、例えばなりすましによる不正なデータ放送であった場合に、悪意のあるスクリプト命令やリンクを実行してしまうというリスクは解消される。

さらに、本実施の形態では、受信装置３００は、認証部１８が認証用データの認証に成功した時点では、更新されたデータ放送のデータを既に取得および記憶している。そのため、制御部１は、未認証領域３１に記憶した更新されたデータ放送用データを認証済領域３２に移すだけで、即座に表示部１２に表示できる。したがって、本実施の形態では、正規のデータ放送の認証が成功した後に、当該データ放送を、第２実施の形態の場合よりも早く表示することが可能になる。

また、本実施の形態においては、上述したように、未認証のデータ放送用データを取得しても未認証領域３１に留めておくため、データ放送が更新されても、認証が成功するまではデータ放送が表示部１２に表示されない。すなわち、例えば図１２に時間の経過に沿って示すように、受信するデータ放送が正規のデータ放送（データ放送Ａ）から、認証用データを含まない不正なデータ放送（データ放送Ｃ）に切り替わった場合、認証が成功しない（認証処理が行われない）。このため、不正なデータ放送が表示部１２に表示されることもない。したがって、本実施の形態でも、不正なデータ放送を視聴してしまうリスクも回避される。

なお、本発明は、上記実施の形態に限定されるものではなく、幾多の変形または変更が可能である。例えば、上述した各実施の形態において、放送局から受信装置に送信される認証用データは、特許文献１に記載されている認証方式のように、ハッシュ関数を用いてストリームデータ（またはその一部）のハッシュ値を求め、それをメタデータとしてデータに付加して送信するものに限定されない。本発明において、放送局から受信装置に送信される認証用データは、ストリームに所定の間隔で含まれて送信され、送信元の認証を行うことが可能な認証用データであれば、任意のものとすることができる。

本発明によれば、データ信号の更新が検知されると、ストリームの送信元の認証を行って、不正な放送に対する安全性を確保すると共に、一度認証が成功したストリームについては、次の更新が検知されるまで認証処理を行わない。したがって、正規のコンテンツの利用が阻害されてユーザの利便性が損なわれることはなくなる。

Claims (5)

1. データ信号を含み、送信元の認証用データを所定周期で含むストリームを受信する受信部と、
   該受信部で受信中のストリームから当該ストリームのデータ信号を分離する信号分離部と、
   該信号分離部で分離したデータ信号に基づいて当該データ信号の更新を検知する更新検知部と、
   認証に成功したストリームにおいて、前記更新検出部により前記データ信号の更新が検知されないと前記受信中のストリームの送信元の認証を行わず、前記更新検知部により前記データ信号の更新が検知されると前記受信中のストリームの送信元の認証を前記認証用データに基づいて行う認証部と、
   前記認証部により前記ストリームの送信元の認証が成功するまでは、前記更新されたデータ信号に基づく所定の機能の実行を制限するよう制御する制御部と、
   を備えることを特徴とする受信装置。
2. 前記制御部は、前記データ信号に含まれる所定のスクリプトの実行を禁止することを特徴とする、請求項１に記載の受信装置。
3. 前記制御部は、前記データ信号に含まれる外部へのリンクの実行を禁止することを特徴とする、請求項１に記載の受信装置。
4. 前記信号分離部で分離したデータ信号を記憶する記憶部と、
   前記ストリームに基づく表示を行う表示部と、
   前記認証部により前記ストリームの送信元の認証が成功するまでは、前記更新されたデータ信号の前記記憶部への記憶、および前記更新されたデータ信号に基づく前記表示部への表示を禁止するよう制御する制御部と、
   をさらに備えることを特徴とする、請求項１に記載の受信装置。
5. 前記認証部により前記ストリームの送信元の認証が成功していないデータ信号を記憶する未認証領域と、前記ストリームの送信元の認証が成功したデータ信号を記憶する認証済領域とを有する記憶部と、
   前記記憶部の認証済領域に記憶されたデータ信号に基づく表示を行う表示部と、
   前記更新検知部により前記データ信号の更新が検知されると、当該更新されたデータ信号を前記記憶部の未認証領域に記憶し、前記認証部により前記ストリームの送信元の認証が成功すると、前記未認証領域に記憶されているデータ信号を前記認証済領域に移行するよう制御する制御部と、
   をさらに備えることを特徴とする、請求項１に記載の受信装置。

Images