TW201417568A - 可用作機上盒的裝置及其在媒介傳送設備中使用的方法 - Google Patents

Abstract

本發明公開了並行雙向環境中的機上盒應用程序，其中，機上盒或類似設備利用虛擬化技術將安全設備資源與包括在所述設備中的非信任軟體框架隔離。在一個實施例中，對於傳統機上盒應用程序的安全執行提供第一虛擬機容器，同時利用第二虛擬機容器來管理軟體框架或者軟體框架的非信任部分。安全存取客戶端/服務器介面提供為支援第一虛擬機容器與第二虛擬機容器之間交互。虛擬容器構造在各種實施方式中可採用不同級別的硬體沙盒。在更多實施方式中，軟體框架可分為在單獨虛擬機容器中執行的受信任部分和非信任部分。

Description

可用作機上盒的裝置及其在媒介傳送設備中使用的方法

本發明大體上涉及處理系統，更特定地，涉及當在受信任或者安全操作系統環境中包括非信任元件(諸如機上盒)時使用虛擬化技術。

試圖適應某些類型設備中相對非信任的軟體應用程序或框架可能使根據一個或者一個以上行業定義認證標準或者測試程序執行的適用認證過程複雜化。例如，由有線電視運營商使用的許多機上盒的廠商認證經由測試實現諸如DOCSIS^®、PacketCable^TM、CableHome^TM和OpenCable^TM規格的設備互用性和安全合規性的嚴格認證過程而進行。所述設備的成功認證通常需要完全的端至端安全。同樣，在特定設備或者組件(諸如片上系統)中實現的數位權限管理(DRM)和其它技術可能需要不容許與不安全操作系統(OS)環境或者軟體框架的某些交互的不同認證過程。

一般地，如果未隔離，則機上盒或者類似設備中的媒介路徑的任何不安全部分會造成所述路徑的認證失敗。大多數常規機上盒設計為提供通過所述設備的各種元件的單一安全且認證的路徑。在一些最新多處理器機上盒中，通過在常規認證路徑與非信任組件之間創建硬體邊界，常規認證路徑與非信任組件分開。特別是，第一處理模組用於提供安全功能(例如，解碼操作)，同時安全級別較低的單獨處理模組用於支援非信任框架。

衆所周知，軟體框架可提供底層操作系統不提供的應用程序 編程介面功能和服務，並且從而在某些實施例中可提供一定程度的平臺獨立性。框架往往設計為可重複使用且可自適應的軟體系統或子系統。例如，Android已經成為增長最快的移動設備操作系統/框架之一。Android，由開源Linux社區貢獻構建，為構建可跨許多不同類型設備(諸如智能手機或者平板設備)部署的應用程序提供開發工具和可重複使用組件。

典型Android框架為基於Linux的“多用戶”系統，其中每個Android應用程序為不同“用戶”，所述“用戶”具有代碼，所述代碼大體上與其它應用程序隔離運行。所述進程隔離(或者應用程序“沙盒”)提供某個程度的安全性。然而，由應用程序使用的各種組件、進程、線程等當整合在機上盒式設備中時可能不需要充分保護，導致Android當用於所述設備中時視為“非信任”框架。例如，從未認證第三方存取任意網頁或者接收代碼的應用程序可能導致非信任JavaScript代碼在機上盒上執行，有可能提升權限。所述代碼可利用其它代碼(例如，瀏覽器代碼)中弱點並且接收未授權文件系統存取等，從而影響設備安全性，揭露受保護數據或者引入系統不穩定性。

如上所述，一些設備的處理單元可具有多個處理器或者處理核以提供更高性能和/或多任務處理功能。在這些多處理器系統的一些多處理器系統中，當多個應用程序或者程序正在運行時，通常需要存取控制以將正在多個處理器上運行的應用程序的功能分開。正在不同處理器上運行的不同應用程序和/或任務的分開或者隔離有助於確保一個應用程序不會干擾另一個應用程序執行。同樣，指派給一個處理器的數據不應由另一個處理器存取，除非在所述兩個處理器之間共享數據。所述分開通常通過使用虛擬儲存器來處理，其中每個進程具有不可從外部進程存取的獨特儲存器視角。硬體存取可通過內核或者設備驅動器介面來處理，所述內核或者設備驅動器介面提供某個程度的安全性。即使在多處理器 系統中，其中一個處理器環境提供受信任或者安全操作，而另一個處理器在不安全或者受限制環境中操作，然而，當操作系統正在管理所述分開時，從不安全區侵入到安全區實際上有可能。

例如，在容許用戶接收電視訊號並且也容許用戶存取網際網路的機上盒中，安全環境可運行與由有線電視或者衛星電視提供商或者其它服務運營商提供的某些頻道或者內容的接收、解密和顯示有關的應用程序(包括安全機上盒應用程序)。機上盒中不安全環境可執行諸如基於Android的應用程序的應用程序，所述應用程序容許用戶存取網際網路進行網頁瀏覽、遊戲等。在本例中，內容提供商一般不會希望用戶或者其他人存取與廣播或者付費頻道有關的應用程序。然而，如果控制兩個環境存取的軟體有共性，諸如運行相同操作系統來管理兩個環境中存取，那麽存取違規風險可能較高。所述違規，無論有意或者無意，可能導致不安全地衝破機上盒的安全應用程序，諸如面向網頁侵入到受保護電視頻道。

因此，需要獲得將非信任框架、框架組件和應用程序與安全機上盒應用程序高效整合的方法。

根據本發明的一個實施方式，提供了一種可用作機上盒的裝置，包括：處理電路；機上盒應用程序，用於執行安全媒介處理操作；軟體框架，用於支援相對非信任的軟體應用程序；以及由該處理電路執行的操作系統，該操作系統被構造為建立：特許操作系統環境，以執行安全媒介處理操作；以及受限操作系統環境，該機上盒應用程序在該特許操作系統環境中執行並且該軟體框架在該受限操作系統環境中執行。

進一步地，該特許操作系統環境包括第一虛擬機容器並且該受限操作系統環境包括第二虛擬機容器。

進一步地，該操作系統為基於Linux的對稱多處理操作系統。

進一步地，該軟體框架包括Android框架的至少一個版本。

進一步地，該操作系統還包括安全存取介面以支援該第一虛擬機容器與該第二虛擬機容器之間的交互。

進一步地，該操作系統包括安全操作系統內核，該安全存取介面調節該受限操作系統環境與該安全操作系統內核之間的交互。

進一步地，該安全存取介面執行選自由以下組成的群組的至少一個操作：句柄和指針驗證；非指針參數驗證；堆區隔離；和在受限進程終止以後的硬體資源釋放。

進一步地，該安全存取介面包括安全存取服務器和安全存取客戶端，該安全存取客戶端包括在該軟體框架中。

進一步地，其中，該安全存取服務器與安全存取客戶端之間的交互至少部分通過進程間通訊調用進行。

根據本發明的另一實施方式，提供了一種在媒介傳送設備中使用的方法，該媒介傳送設備具有操作系統和受信任應用軟體，該設備支援與非信任軟體框架交互，該方法包括以下步驟：建立特許操作系統環境以通過該受信任應用軟體執行安全媒介處理操作；建立受限操作系統環境以管理該非信任軟體框架；並且提供安全存取介面以支援該受信任應用軟體與該非信任軟體框架的組件之間的交互。

進一步地，該特許操作系統環境包括第一虛擬機容器並且該受限操作系統環境包括第二虛擬機容器。

進一步地，該操作系統為基於Linux的對稱多處理操作系統。

進一步地，該非信任軟體框架包括Android框架的至少一個版本。

進一步地，該設備還具有用於執行媒介處理操作的硬體資源，其中，與該第二虛擬機容器相比，該安全存取介面允許通過該第一虛擬機容器相對更大地存取該硬體資源。

進一步地，該設備具有第一處理單元和第二處理單元，其中，該第一虛擬機容器在該第一處理單元上執行並且該第二虛擬機容器在該第二處理單元上執行。

根據本發明的又一實施方式，提供了一種裝置，包括：處理電路；用於支援軟體應用程序的軟體框架，該軟體框架包括受信任部分和非信任部分；以及由該處理電路執行的操作系統，該操作系統被配置為建立至少一個特許操作系統環境和至少一個受限操作系統環境，該軟體框架的該受信任部分在該至少一個特許操作系統環境中執行並且該軟體框架的該非信任部分在該至少一個受限操作系統環境中執行。

進一步地，該裝置還包括機上盒應用程序，該機上盒應用程序在該至少一個特許操作系統環境中執行。

進一步地，該至少一個特許操作系統環境包括第一虛擬機容器並且該至少一個受限操作系統環境包括第二虛擬機容器。

進一步地，該軟體框架包括Android框架的至少一個版本。

進一步地，該設備還包括安全存取介面以支援該至少一個特許操作系統環境與該至少一個受限操作系統環境之間的交互。

100‧‧‧非信任框架

102‧‧‧安全OS內核

104‧‧‧安全設備

106‧‧‧安全存取客戶端

108‧‧‧安全存取服務器

110‧‧‧安全軟體抽象層

202‧‧‧非信任框架

204‧‧‧機上盒應用程序

206‧‧‧對稱多處理(SMP)Linux內核環境

208‧‧‧安全存取內核驅動程序

210‧‧‧全存取介面

212‧‧‧更受限客體存取介面

214‧‧‧存取客戶端

216‧‧‧存取服務器

218‧‧‧存取客戶端

220‧‧‧應用程序和應用程序支援

222‧‧‧瀏覽器功能

224‧‧‧操作系統存取功能

226‧‧‧通過最小客體Linux服務存取介面

228‧‧‧主Linux服務存取

230‧‧‧第一虛擬機(VM)客體Linux容器

232‧‧‧第二VM主Linux容器

302‧‧‧機上盒應用程序

304‧‧‧非信任客戶端應用程序/框架

306‧‧‧虛擬容器

308‧‧‧虛擬容器

310‧‧‧安全Linux內核環境

312‧‧‧存取最小客戶端

314‧‧‧存取客戶端

316‧‧‧存取最小“客體”Linux服務存取

318‧‧‧“管理”Linux服務存取

320‧‧‧全主體根文件系統

322‧‧‧單獨分區或者磁盤上最小客體根文件系統

324‧‧‧框架“聚合器”

400‧‧‧非信任部分

402‧‧‧非信任部分

404‧‧‧單獨虛擬機容器

406‧‧‧機上盒應用程序

408‧‧‧單獨虛擬機容器

410‧‧‧操作系統存取介面

412‧‧‧安全Linux內核環境

414‧‧‧安全存取內核驅動程序

416‧‧‧支援受信任用戶模式功能的全存取介面

418‧‧‧客體存取介面

420‧‧‧存取服務器

422‧‧‧全主體Linux服務存取

424‧‧‧最小客體Linux服務存取

426‧‧‧全主體根文件系統

428‧‧‧獨分區或者磁盤上最小客體根文件系統428支援非信任用戶模式環境

502‧‧‧認證應用程序

504‧‧‧初級機上盒應用程序

506‧‧‧虛擬機容器

508‧‧‧虛擬機容器

510‧‧‧裝操作系統和/或框架

600‧‧‧SMP Linux內核

602‧‧‧客體虛擬機

604‧‧‧主體虛擬機

606‧‧‧單獨線程可隔離和/或受限地存取I/D高速緩衝儲存器

608‧‧‧L2高速緩衝儲存器

700‧‧‧SMP Linux內核

702‧‧‧客體虛擬機

704‧‧‧主體虛擬機

706‧‧‧I/D高速緩衝儲存器

708‧‧‧I/D高速緩衝儲存器

710‧‧‧L2高速緩衝儲存器

800‧‧‧支援安全存取服務器

802‧‧‧Android框架客戶端

804‧‧‧硬體加速方塊

806‧‧‧DRM功能

901‧‧‧根據本發明實施方式的機上盒(STB)/閘道器(GW)

905‧‧‧有線和無線網路/鏈路與住宅網路基礎設施

907‧‧‧外部媒介系統

911‧‧‧處理電路和儲存器

915‧‧‧(廣域網)介面電路

917‧‧‧通訊介面電路

923‧‧‧服務支援

925‧‧‧解碼/編碼/轉碼功能

927‧‧‧電源管理

928‧‧‧橋接

929‧‧‧媒介服務器-接收器服務

931‧‧‧電視或者顯示介面模組

933‧‧‧音頻介面

935‧‧‧遠端控制介面

937‧‧‧用戶界面

939‧‧‧遊戲界面

940‧‧‧電源管理介面

941‧‧‧功能提供為使設備

943‧‧‧功能提供為使設備

945‧‧‧功能提供為使設備

947‧‧‧功能提供為使設備

949‧‧‧功能提供為使設備

1002‧‧‧步驟

1004‧‧‧步驟

1006‧‧‧步驟

919A‧‧‧調諧器電路

919B‧‧‧收發器

920A‧‧‧類比數位轉換器(ADC)電路

920B‧‧‧數位類比轉換器(DAC)電路

921A‧‧‧解調電路

921B‧‧‧解調和調製電路

922A‧‧‧前向糾錯(FEC)電路

922B‧‧‧FEC

圖1示出根據本發明實施方式的非信任框架和安全操作系統內核的整合。

圖2示出根據本發明各種實施方式的非信任框架被整合為機上盒應用程序客戶端。

圖3示出根據本發明各種實施方式的機上盒應用程序和利用虛擬容器的非信任框架的並行操作。

圖4示出根據本發明實施方式的框架分割為受信任部分和非信任部分。

圖5示出根據本發明各種實施方式利用認證應用程序的機上盒架構。

圖6示出根據本發明實施方式的受信任部分和非信任軟體在單處理器環境中的整合。

圖7示出根據本發明實施方式的受信任部分和非信任軟體在多處理器環境中的整合。

圖8為根據本發明各種實施方式的支援操作系統環境的硬體分離的多處理器系統的框圖。

圖9為根據本發明實施方式的機上盒(STB)/閘道器(GW)的示意框圖。

圖10為根據本發明實施方式的支援特許操作系統環境與非信任軟體框架之間的交互的方法的邏輯圖。

儘管某些實施方式結合Android框架和/或Linux操作系統進行了說明，但本發明的其它實施方式可利用多種當前或者未來操作系統/內核和框架來實行，並且採用可能利用多個處理器、處理核和/或處理電路的多種計算電路、設備、服務器和/或系統。此外，本文中某些插圖說明在所述實施方式中提供處理功能的設備的處理模組、處理器或者CPU(例如，CPU1、CPU2)。然而，應當理解，在其它實施方式中可使用多種其它設備和/或術語以在實踐本發明時提供處理功能。本發明可容易適於存在多個處理環境(區、域等)的其它用途，其中，期望兩個或者兩個以上的區之間分開和/或分離。同樣地，儘管某些實施方式說明為通過機上盒(STB)或者執行受信任媒介處理操作的類似媒介處理設備來實現，但是新穎架構和方法全部或者部分適用於其它設備，包括媒介消費設備(諸如PVR)、DVD播放器、接入點、電視機、計算設備、智能手機等。

圖1示出根據本發明實施方式的安全設備104(諸如認證機上盒設備)內的非信任框架100(諸如Android框架)與安全操作系統(OS)內核102的整合。一般地，OS內核102可視為操作系統 的心臟(或者環0)，在系統硬體與操作系統的其餘部分以及已安裝應用程序之間提供介面。

正如下文更詳細說明的，安全軟體抽象層110被提供為隔離存取設備的底層軟體、硬體和安全組件。非信任框架100與安全OS內核102之間通訊和數據交換可經由由安全存取客戶端106和安全存取服務器108組成的安全存取層或者介面進行，安全存取客戶端106和安全存取服務器108支援應用程序編程介面(API)和安全進程間通訊(IPC)調用或者內核驅動程序。在某些實施方式中，安全存取客戶端106可為框架100的一部分或者可通過框架100進行存取，而安全存取服務器108包括在安全操作系統環境中或者執行為安全內核模組。在一個實施方式中，通過執行通過硬體(適用時)的參數驗證/檢查和周邊範圍檢查，句柄和指針驗證、堆區隔離和在受限制進程終止以後硬體資源釋放，安全存取介面可有助於防止由不良數據或者參數導致系統漏洞或者不穩定。

圖2示出根據本發明各種實施方式的非信任框架202整合為機上盒應用程序(“STB應用程序”)204的客戶端。如圖所示，STB應用程序204被提供為執行機上盒200的基本操作，並且與非信任“客戶端”框架(諸如Android框架202)連接。在本實施方式中，STB應用程序204在安全或者特許Linux內核環境(諸如對稱多處理(SMP)Linux內核環境206)中執行，所述對稱多處理(SMP)Linux內核環境206包括安全存取內核驅動程序208和存取服務器216，所述存取服務器216包括經由存取客戶端218由STB應用程序204使用的全存取介面210以及由Android框架202使用的更受限客體存取介面212。STB應用程序204包括存取客戶端214功能，所述存取客戶端214功能支援與全存取介面210進行通訊並且例如使用基於容器的虛擬化，使Android框架202能夠作為安全Linux內核環境206的非信任客戶端運行。正如可 以理解，客戶端/服務器架構容許非信任進程崩潰或者終止，而不會影響底層硬體並且引起系統不穩定。

除存取客戶端218外，所示實施方式的Android框架202可包括應用程序和應用程序支援220、JavaScript解譯、瀏覽器功能222、插件(例如，Adobe Flash插件)和Dalvik虛擬機。Android框架202還包括平臺或者操作系統存取功能224，所述平臺或者操作系統存取功能224使通過最小客體Linux服務存取介面226能夠有限地存取安全Linux內核環境206的必要組件。

如述，Android為開發移動應用程序提供基於組件的框架。每個應用程序可包括不同數目和類型的組件。舉例來說，所述組件可包括“Activity”組件，所述“活動”組件形成用戶界面的基礎，其中呈現給用戶的每個屏幕為不同Activity。背景處理由“Service”組件進行，所述“Service”組件也定義用於與其它應用程序進行通訊的任意介面。“內容提供商”組件功能為共享關係數據庫形式訊息，而“廣播接收器”組件作為異步消息郵箱從系統和/或其它組件操作。所公開實施方式的Android框架202支援應用程序之間不同程度的協作和依賴性。

然而，由應用程序用於提供服務且與其它應用程序或者底層操作系統進行通訊的介面必須受到保護以防範違規和一般違法行為。默認情況下，典型Android框架中應用程序沒有權限執行可能負面影響其它系統組件(諸如讀取或者寫入私有數據或者另一個應用程序的文件，執行網路存取等)的操作。因為Android基本上從彼此“沙盒”應用程序，所以應用程序必須通過申明在基本沙盒外部的另外功能所需的權限來明確共享資源和數據。例如，應用程序可靜態申明它需要的權限，並且在安裝時，Android框架可能提示用戶適當的同意。如上所述，在背景技術中，並且在沒有嚴格硬體分離和分開執行環境中，從非信任框架的未授權代碼的執行潛力可能影響整個系統安全性並且負面影響諸如本文 所述缺乏某些設備的方法和架構(例如，安全存取服務器)的認證程序。

在所示實施方式中，非信任Android框架202在(多個)第一虛擬機(VM)客體Linux容器230(諸如“LXC”或者Linux資源容器)中執行以與安全進程和資源進一步隔離。在本實施方式中，STB應用程序可相似地在具有完全主Linux服務存取228的第二VM主Linux容器232中操作。簡單地說，一般地，基於容器的虛擬化(或者操作系統級虛擬化)容許內核與安裝於它上的多個隔離虛擬機或者虛擬環境一起運行。每個虛擬環境可專用於運行特定應用程序，並且通常不是完整操作系統實例，而是與管理操作系統內核中虛擬化層(或者硬體資源抽象層)一起工作的操作系統的部分實例。

雖然虛擬化可减輕非信任組件的硬體分開的需要，但是在某些實施方式中，具有不同安全級別的多個處理器可能受益於虛擬容器構造，所述虛擬容器構造經由所述處理器之一而整體操作，而其它容器可跨越多個處理器(例如，參見圖7所示實施方式)。在一個所述實施方式中，(多個)第一處理器可專用於執行非安全功能，而(多個)第二安全處理器可專用於常規STB功能。在各種替代性實施方式中，非信任框架可為例如經由非處理器硬體/外圍設備、與處理器和/外設的儲存器隔離等的硬體。可以設想安全且非信任軟體與硬體之間各種其它劃分(例如，將非信任框架或者應用程序它們本身劃分為“受信任”部分和“非信任”部分)，其例子如下所述。此外，通過利用硬體和操作系統虛擬化特徵，多個操作系統可在同一硬體上同時運行。

圖3示出根據本發明各種實施方式分別利用虛擬容器306和308的機上盒應用程序302和非信任客戶端應用程序/框架304的並行操作。在所示實施方式中，非信任客戶端應用程序和框架通過應用程序IPC調用和存取最小客戶端312與底層機上盒平臺的 安全部分交互，包括機上盒應用程序302和安全Linux內核環境310，所述存取最小客戶端312存取最小“客體”Linux服務存取316。同樣地，受信任用戶模式(或者“特許”)操作系統環境中應用程序經由存取客戶端314接收對於“管理”Linux服務存取318的全存取。受信任用戶模式環境可由全主體根文件系統320支援，而單獨分區或者磁盤上最小客體根文件系統322可支援非信任用戶模式(或者“受限制”)操作系統環境。

在一些實施方式中，機上盒平臺的某些資源(諸如媒介處理和硬體加速資源(用於音頻/視頻編碼和解碼、使用標準化API的二維和三維圖形渲染(諸如開放圖形庫或者“OpenGL”)、DRM、加密/解密等)和聯網介面)可由非信任客戶端應用程序/框架304通過由網路套接字(network socket)進行通訊的IPC調用進行存取。同樣地，事件(諸如IR控制訊號)可通過IPC調用(諸如調用Android API或者按鈕)從機上盒平臺傳送到非信任客戶端應用程序/框架304。

在所示實施方式中，框架“聚合器”324可用於接受和擴展與各種框架的操作。以此方式，例如，服務提供商可將對於系統資源的安全存取提供給第三方框架和其它“中間件”產品。舉例來說並且不受限制，所述產品可包括Adobe Air、Adobe Flash、Apple iOS、Microsoft Silverlight、Java applets和類似並列技術。框架聚合器324可包括一組定制操作系統庫和HTML功能以支援所述技術以及用戶界面網頁引擎存取等。

在某些實施方式中，由框架聚合器324支援的用戶界面可使用戶能夠推出由Android框架支援的應用程序。例如，框架聚合器324可提供一系列“按鈕”，包括提供可用Android應用程序的可視化顯示的Android按鈕。此外，Android框架和框架聚合器324可共享圖形屏幕。以此方式，將功能連接到可能有必要的Android框架可能沒必要。請注意，在給定設備中，Android框架 可使用與由由框架聚合器324支援的其它框架利用的工具鏈不同的工具鏈進行構建。

圖4示出根據本發明替代性實施方式的框架被分割為受信任部分和非信任部分400和402。在本實施方式中，(Android)框架400、網頁瀏覽器等的(多個)受信任部分400以及(多個)對應非信任部分402分別在一個或者一個以上單獨虛擬機容器404和408中執行。受信任部分400可包括安全平臺和操作系統存取介面410。除受信任部分400外，機上盒應用程序406可在虛擬機容器404中或者在(多個)單獨且安全的虛擬機容器中操作。

使用涉及網頁瀏覽器的例子，執行潛在不安全Flash或者JavaScript代碼(諸如渲染引擎)的瀏覽器部分可在具有受限文件系統和外設存取的“非信任”虛擬機容器408中執行，而存取底層平臺硬體和敏感操作系統資源的瀏覽器部分可在一個或者一個以上“受信任”虛擬機容器404中執行。在更多實施方式中，受信任部分400可包括安全框架克隆或者支援安全應用程序和/或應用程序安全部分的變形版本。在所述實施方式中，不安全應用程序或其部分可由常駐於非信任或者受限制用戶域或者容器中的框架部分執行。如上所述，硬體沙盒的各種方法可用於進一步隔離框架的非信任部分並且支援受限操作系統域或環境。

本實施方式的安全Linux內核環境412包括安全存取內核驅動程序414和存取服務器420，所述存取服務器420提供支援受信任用戶模式功能的全存取介面416和支援非信任用戶模式功能的客體存取介面418。全主體Linux服務存取422和最小客體Linux服務存取424分別提供給受信任用戶模式環境和非信任用戶模式環境。如上，受信任用戶模式環境可由全主體根文件系統426支援，而單獨分區或者磁盤上最小客體根文件系統428支援非信任用戶模式環境。

圖5示出根據本發明的利用認證應用程序502的機上盒或者 其它安全架構500。在所示實施方式中，認證應用程序502可預安裝或者例如從由服務運營商或者基於雲端的源提供的認證應用程序目錄下載。舉例來說，所述應用程序可包括媒介流應用程序(例如，Netflix)、遊戲應用程序、網頁瀏覽應用程序、基於iOS的應用程序、Android應用程序等。在一些實施方式中，可能有必要包括或者下載另外操作系統以支援對應認證應用程序類別。或可，給定應用程序的不同認證版本可使得可用於支援多種已安裝操作系統和/或框架510。認證應用程序502可在一個或者一個以上虛擬機容器508中執行。圖5中其它所示元件功能如上所述。

在一個示例性實施方式中，初級機上盒應用程序504被構造為在(多個)虛擬機容器506中執行的Android應用程序。根據相關Android框架的功能，非標準API或者庫可能需要支援某個機上盒功能，諸如PVR、圖中圖、轉碼和頻道調諧操作。此外，本方法可能需要特殊介面(例如，將字符串傳送到介面以創建編碼路徑作為硬體調用一部分)或者提供非標準功能(或者甚至應用程序)以解決可能缺乏相關框架或者認證所需的服務和功能。例如，Android框架可擴展為包括非標準功能-而不會負面影響兼容性-通過提供“隱藏”在Android移植層下並且接收和解譯通過所述層的統一資源標識符(“URI”)的服務。

在其它實施方式中，下載(或者預安裝)的每個應用程序包括全安全性定義，而不是端至端安全性定義由源管理或者由內容本身(或者相關聯元數據)定義。例如，每個應用程序可具有其自己的可下載條件存取安全性(dCAS)或者可下載DRM元件/定義。例如，對應認證過程可涉及認證整個安全路徑一部分，其中一個或者一個以上應用程序提供認證的最後部分。或可，可提供多個預定義條件存取機制，其中(已下載)應用程序定義將使用哪個機制。然後認證安全“邊界”可能可行，而不考慮特定公司或者媒介的條件存取要求。

在各種實施方式中，機上盒或者類似設備可與媒介消費網路中其它設備(例如，PVR、DVD播放器、接入點、電視機、計算設備、智能手機等)交換功能以對於應用程序要求進行比較。一旦完成比較，若有，應用程序就可選擇它將允許的哪一個或者一個以上操作模式。如果機上盒無法支援所述模式(由於資源競爭或者其它原因)，那麽所述模式變為不可用。如果可用，那麽一組操作模式可選定且在媒介流傳送期間動態切換為其它傳輸模式，所述其它傳輸模式可能需要與應用程序或者源協調以支援過渡(可能需要媒介流質量變化)。

圖6示出根據本發明實施方式的受信任軟體和非信任軟體在單處理器(CPU1)環境中的整合。在本實施方式中，SMP Linux內核600功能為控制硬體且基於性能和/或安全隔離要求將客體虛擬機602(支援Linux“客體”實例並且運行非信任應用程序)和主體虛擬機604(運行受信任應用程序核心服務)鎖定為一個或者一個以上單獨CPU線程。

例如，當期望最大性能時，SMP Linux內核600可對於兩個虛擬機中跨多個CPU線程或者和核的進程執行負載平衡。此外，受到客體虛擬機602控制的主體虛擬機604可終止，並且如果它行為不端或者受到影響，那麽重啟客體虛擬機602(或者整個容器)中進程。硬限制可設置於通過客體虛擬機的CPU利用上以防止核心底層設備功能中斷並且促進失控進程終止。操作中，單獨線程可隔離和/或受限地存取I/D高速緩衝儲存器606和L2高速緩衝儲存器608。

圖7示出根據本發明實施方式的受信任軟體和非信任軟體在多處理器系統中的整合。所示系統可在設備、模組、電路板等中實現。所述系統的一個或者一個以上組件也可在集成電路芯片上或者在多個集成電路芯片上實現。圖7中特定實施方式示出分別識別為CPU1和CPU2的兩個處理模組。雖然示出兩個處理模組， 但是其它實施方式可具有兩個以上處理模組或者處理器，並且請注意，CPU1和CPU2可包括各種處理設備、電路等。在一個實施方式中，CPU1和CPU2可包括單個CPU的不同處理核或者某個其它處理電路。

更特定地，參考附圖，SMP Linux內核700用於控制硬體且基於性能和/或安全隔離要求將(多個)客體虛擬機702 Linux實例(運行非信任應用程序)和(多個)主體虛擬機704(運行受信任應用程序核心服務)鎖定為一個或者一個以上單獨線程1-4。例如，非信任應用程序可在跨越CPU1和CPU2兩者的虛擬機容器中執行。正如下文更充分地說明，I/D高速緩衝儲存器706和708以及L2高速緩衝儲存器710的各種部分可限制於特定線程或者CPU，或者與適當的保障措施共享。

圖8為根據本發明各種實施方式支援操作系統環境的硬體分離的另一個多處理器系統的框圖。例如，(多個)第一處理器CPU1可專用於常規STB功能並且支援安全存取服務器800，而(多個)第二處理器(網頁)CPU2可專用於執行非安全功能和非信任應用程序(例如，Android框架客戶端802或者網頁瀏覽器)。由CPU1支援的受信任執行環境可限制存取某個核心STB功能，包括硬體加速方塊804、DRM功能806等。

在一個實施方式中，當處於“沙盒(sandboxing)”模式時，CPU1和CPU2都隔離為單獨且不同的區。在另一個實施方式中，受信任CPU1設置為具有其自己的隔離儲存區並且也給予在CPU2的儲存映射部分的一些或者所有地址範圍內的存取權利。一般地，當在單獨或者隔離區、環境或者域中操作時，兩個CPU在不同應用程序上操作，使得CPU1執行一組指令，而CPU2執行一組不同指令。這個性質的隔離或者分開通常稱為沙盒技術或者沙盒模式。大多數沙盒技術的目的為防止一個區存取另一個區中功能或者控制一個區存取到另一個區中。在一些情況下，兩個區可受 限制存取另一個區或者僅控制區間存取。在一些應用中，一個區可視為安全、特許或者受信任區，並且另一個區可視為受限制、不安全或者非信任區，其中防止通過在非安全區上操作的應用程序存取或者控制存取在安全區中運行的某些應用程序。

如上所述，許多設備利用多個處理器或者處理核以運行單獨程序、應用程序等。在一個區無法存取第二區的情況下，確保這個分開的一個方法為通過檢查對於系統儲存器的存取。即，通過確保分配給CPU1的存取無法由CPU2存取，除非存取位置為共享位置，在CPU2上運行的應用程序可防止違反功能分開。實現這個保護的一個方法為提供存取檢查和存取控制以確保正確處理模組正在存取所述處理模組的許可位置。在所示實施方式中，CPU1和CPU2可通過網路套接字、IPC調用等進行直接通訊。

圖9為根據本發明實施方式的機上盒(STB)/閘道器(GW)901的示意框圖。STB/閘道器901提供許多功能，包括訊號從外部源轉換為可由網路設備消費的內容。STB/閘道器901還可作為閘道器進行操作，所述閘道器支援單向或者雙向通訊以及網路設備間橋接。

所示實施方式的STB/閘道器901經由一個或者一個以上有線和無線網路/鏈路與住宅網路基礎設施905和外部媒介系統907交互。有線和無線網路/鏈路可利用各種傳輸媒介中一個或者一個以上-諸如同軸電纜、屏蔽雙絞線、光纖電纜、電力線和無線媒介(射頻、微波、衛星、紅外等)-並且根據多種通訊和聯網協議(TCP/IP、UPnP、IPv6等)進行操作。此外，有線和無線網路/鏈路可包括利用生成樹協議、直接無線連接、對等鏈路等的多跳網路。

例如，外部媒介系統907可包括有線電視、衛星電視和/或地面電視系統中一個或者一個以上。各種前端設備和服務可由這些系統利用，諸如接收電視訊號的有線電視前端，用於進一步處理和分布，並且可提供各種其它服務，諸如網際網路連接和VoIP服 務。

所示實施方式的STB/閘道器901包括廣播/單播/多播前端913，所述廣播/單播/多播前端913操作為從外部媒介系統907或者住宅網路基礎設施905接收未壓縮或者已壓縮數位視頻、數位音頻和其它數據訊號，用於進一步處理和分布。前端913包括調諧器電路919a，所述調諧器電路919a可操作為隔離特定頻道。來自調諧器電路919a的訊號然後提供給類比數位轉換器(ADC)電路920a和解調電路921a，用於轉換為二進制格式/流。一旦處於二進制格式，前向糾錯(FEC)電路922a檢查所接收二進制流的完整性。從二進制流提取的音頻、視頻和數據然後可解碼(例如，通過解碼925)為適合由下游設備消費的格式。請注意，解調電路921a可支援一個或者一個以上調製技術，諸如正交相移鍵控(QPSK)、正交幅度調製(QAM)、編碼正交頻分複用(COFDM)等。

前端913可集成到一個或者一個以上半導體設備中，例如，所述一個或者一個以上半導體設備可進一步支援交互數位電視、網路DVR功能、DOCSIS應用程序上IP視頻和三維圖形支援。此外，為不同調製方案和電視標準(諸如PAL、NTSC、ATSC、SECAM、DVB-C、DVB-T(2)、DVB-H、ISDB、T-DMB、Open Cable)可提供多個調諧器電路919a(包括帶內和帶外調諧器)、ADC電路920a和解調電路921a。

在本發明的一個替代性實施方式中，STB/閘道器901的功能由智能手機或者移動計算設備執行。在本實施方式中，“前端”913包括一個或者一個以上無線介面(包括PHY和基帶功能)，諸如蜂窩式(3G、4G、高級IMT等)或者廣域網(HetNet、Wi-Fi、WiMax等)介面。所述介面可支援一個或者一個以上調製和複用技術，諸如OFDM、OFDMA、SC-FDMA、QPSK、QAM、64QAM、CSMA、MIMO等。在所示實施方式中，無線介面包括收發器919b、 類比數位轉換器(ADC)和數位類比轉換器(DAC)電路920b、解調和調製電路921b以及FEC(諸如渦輪碼或者LDPC碼)電路922b。編碼、解碼和轉碼925功能可由處理電路和儲存器911提供。

STB/閘道器901還包括(廣域網)介面電路915，用於與住宅網路基礎設施905和/或外部媒介系統907進行通訊。通過通訊介面電路915，STB/閘道器901可與上游資源直接進行通訊，或者在所述資源與耦合到STB/閘道器901的設備(例如，設備941-949)之間提供(雙向)橋接通訊。

在圖9實施方式中，STB/閘道器901經由通訊介面電路917與多種設備941-949交互。例如，電視或者顯示介面模組931與(數位)電視941或者其它媒介顯示設備進行通訊以轉播電視節目並且啟用可用交互媒介服務。在某些實施方式中，電視或者顯示介面模組931可包括遠端用戶界面(RUI)服務器。同樣地，音頻介面933提供對於音頻系統943的音頻節目或者音頻庫存取。

通訊介面電路917還包括遠端控制介面935，用於從遠端控制945接收控制訊號。除傳統遠端控制操作外，遠端控制945還可提供音頻和/或手勢控制訊號，所述音頻和/或手勢控制訊號轉播或者映射到相關消費設備。也提供用戶界面937，用於與一個或者一個以上用戶界面設備947進行通訊。遊戲界面939功能為提供與遊戲系統949的交互通訊。例如，所述通訊可涉及在社交網路成員和/或遊戲平臺中外部玩家之間的在線、多人遊戲。電源管理介面940功能提供為使設備941-949之間省電操作成為可能。

所示實施方式的STB/閘道器901包括處理電路、(多個)操作系統和儲存器911(其組件可包括硬體、軟體或者它們組合)、服務支援923和解碼/編碼/轉碼功能925，以支援諸如如上所述網路交互。本實施方式中服務支援923包括各種功能，諸如電源管理927、橋接928和媒介服務器-接收器服務929。STB/閘道器的 其它傳統特徵也可包括。例如，處理電路911可包括片上系統或者(多個)類似設備，所述類似設備提供核處理器、音頻/視頻解碼器、媒介處理/DSP、圖形核心、加密/解密核心、自適應轉碼等。

圖10為根據本發明實施方式的支援特許操作系統環境與媒介傳送設備的非信任軟體框架之間的交互的方法1000的邏輯圖。在所示實施方式的步驟1002中，特許操作系統環境被建立為執行諸如由主體認證機上盒應用程序執行的安全媒介處理操作和相關功能。接著，在步驟1004中，受限操作系統環境被建立為管理且支援非信任軟體框架，諸如Android框架。在一個實施方式中，特許操作系統環境和受限操作系統環境都使用虛擬機容器來構造。在步驟1006中，安全存取介面或者層(諸如上文所述)被提供為支援且調節特許操作系統環境的組件與受限操作系統環境的組件之間的交互。例如，安全存取介面可用於限制存取由機上盒應用程序或者其它受信任軟體控制的底層設備資源。

正如本文中可以使用的，術語“基本上”和“大約”為其對應術語和/或項目之間相關性提供行業可接受的公差。所述行業可接受的公差範圍從1%以下到50%，並且對應於但不限於組件值、集成電路工藝變化、溫度變化、升降時間和/或熱噪聲。所述項目間相關性範圍從百分之幾差異到巨大差異。也如本文中可以使用，(多個)術語“可操作地耦合到”、“耦合到”和/或“耦合”包括項目間直接耦合和/或項目間經由中間項目(例如，項目包括但不限於組件、元件、電路和/或模組)的間接耦合，其中，對於間接耦合，中間項目不會修改訊號訊息，而是可調整其電流電平、電壓電平和/或功率電平。還如本文中可以使用，推斷耦合(即，其中一個元件通過推斷耦合到另一個元件)包括在兩個項目之間以與“耦合到”相同的方式的直接和間接耦合。還如本文中可以使用，術語“可操作為”或者“可操作地耦合到”表示項目包括一個或者一個以上電源連接、(多個)輸入、(多個)輸出等，以 當激活時執行一個或者一個以上其對應功能，並且還可包括推斷耦合到一個或者一個以上其它項目。還如本文中可以使用，術語“與…相關聯”包括單獨項目的直接和/或間接耦合和/或一個項目嵌入於另一個項目內。正如本文中可以使用，術語“有利地比較”表示兩個或者兩個以上項目、訊號等之間比較提供期望關係。例如，當期望關係為訊號1比訊號2具有更大幅值時，當訊號1的幅值大於訊號2的幅值時，或者當訊號2的幅值小於訊號1的幅值時，可實現有利比較。

也如本文中可以使用，術語“處理模組”、“模組”、“處理電路”和/或“處理單元”可為單個處理設備或者多個處理設備。所述處理設備可為微處理器、微控制器、數位訊號處理器、微計算機、中央處理單元、現場可編程門陣列、可編程邏輯設備、狀態機、邏輯電路、類比電路、數位電路和/或基於電路硬編碼和/或操作指令操縱訊號(類比和/或數位)的任何設備。處理模組、模組、處理電路和/或處理單元可具有相關聯儲存器和/或集成儲存器元件，所述儲存器和/或集成儲存器元件可為單個儲存器設備、多個儲存器設備和/或處理模組、模組、處理電路和/或處理單元的嵌入式電路。所述儲存器設備可為祇讀儲存器、隨機存取儲存器、易失性儲存器、非易失性儲存器、靜態儲存器、動態儲存器、快閃儲存器、緩存儲存器和/或儲存數位訊息的任何設備。請注意，如果處理模組、模組、處理電路和/或處理單元包括一個以上處理設備，所述處理設備可集中式分布(例如，經由有線和/或無線總線結構直接耦合在一起)或者可分布式分布(例如，經由經局域網和/或廣域網間接耦合的雲端計算)。還請注意，如果處理模組、模組、處理電路和/或處理單元經由狀態機、類比電路、數位電路和/或邏輯電路實現其一個或者一個以上功能，儲存對應操作指令的儲存器和/或儲存器元件可嵌入於包括狀態機、類比電路、數位電路和/或邏輯電路的電路內或者在所述電路外部。還請注意，儲 存器元件可儲存與一個或者一個以上圖中所示步驟和/或功能中至少一些對應的硬編碼和/或操作指令，並且處理模組、模組、處理電路和/或處理單元執行所述硬編碼和/或操作指令。所述儲存器設備或者儲存器元件可包括在物品中。

上文借助於說明指定功能及其關係的性能的方法步驟對於本發明已經作出說明。為了便於說明，這些功能構成方塊和方法步驟的界限和順序在本文中已經任意定義。只要指定功能和關係適當地實現，就可定義替代性界限和順序。任何所述替代性界限或者順序因此在本發明範圍和精神內。此外，為了便於說明，這些功能構成方塊的界限已經任意定義。只要某些重要功能適當地執行，就可定義替代性界限。同樣地，流程圖方塊在本文中也可任意定義以說明某些重要功能。為了廣泛使用，流程圖方塊界限和順序可以其它方式定義並且仍執行某些重要功能。功能構成方塊和流程圖方塊和順序的所述替代性定義因此在本發明範圍和精神內。本領域一般技術人員也應當理解，功能構成方塊和本文中其它說明性方塊、模組和組件可實現為說明性或者通過分立組件、應用特定集成電路、執行適當軟體等的處理器或者它們的任何組合來實現。

本發明也可至少部分從一個或者一個以上實施方式方面進行說明。本發明實施方式在本文中用於說明本發明、本發明方面、本發明特徵、本發明概念和/或本發明實施例。體現本發明的裝置、物品、機器和/或進程的物理實施方式可包括參考本文所述實施方式中一個或者一個以上進行說明的一個或者一個以上方面、特徵、概念、實施例等。此外，從圖到圖，實施方式可包括可使用相同或者不同引用數字的相同或者相似命名的功能、步驟、模組等，這樣，功能、步驟、模組等可為相同或者相似功能、步驟、模組等或者不同功能、步驟、模組等。

除非特別說明，本文中提出的任何圖中到元件、從元件和/或 元件之間的訊號可為類比或者數位、連續時間或者離散時間和單端或者差分。例如，如果訊號路徑示出為單端路徑，那麽它也表示差分訊號路徑。同樣地，如果訊號路徑示出為差分路徑，那麽它也表示單端訊號路徑。雖然本文中說明一個或者一個以上特定架構，但是本領域一般技術人員應當理解，使用未明確示出的一個或者一個以上數據總線、元件間直接連接和/或其它元件間間接耦合的其它架構同樣可實現。

術語“模組”用於說明本發明各種實施方式。模組包括經由硬體實現的功能方塊，以執行一個或者一個以上模組功能，諸如處理一個或者一個以上輸入訊號以產生一個或者一個以上輸出訊號。實現模組的硬體本身可結合軟體和/或固件進行操作。正如本文中使用，模組可含有一個或者一個以上子模組，所述子模組本身為模組。

雖然本發明的各種功能和特徵的特定組合在本文中已經明確說明，但是這些特徵和功能的其它組合同樣可行。本發明並不限於本文中公開的特定實施例，並且明確包括這些其它組合。

202‧‧‧非信任框架

204‧‧‧機上盒應用程序

206‧‧‧對稱多處理(SMP)Linux內核環境

208‧‧‧安全存取內核驅動程序

210‧‧‧全存取介面

212‧‧‧更受限客體存取介面

214‧‧‧存取客戶端

216‧‧‧存取服務器

218‧‧‧存取客戶端

220‧‧‧應用程序和應用程序支援

222‧‧‧瀏覽器功能

224‧‧‧操作系統存取功能

226‧‧‧通過最小客體Linux服務存取介面

228‧‧‧主Linux服務存取

230‧‧‧第一虛擬機(VM)客體Linux容器

232‧‧‧第二VM主Linux容器

Claims (10)

1. 一種可用作機上盒的裝置，包括：處理電路；機上盒應用程序，用於執行安全媒介處理操作；軟體框架，用於支援相對非信任的軟體應用程序；以及由所述處理電路執行的操作系統，所述操作系統被構造為建立：特許操作系統環境，以執行安全媒介處理操作；以及受限操作系統環境，所述機上盒應用程序在所述特許操作系統環境中執行並且所述軟體框架在所述受限操作系統環境中執行。
2. 根據請求項1所述的裝置，其中，所述特許操作系統環境包括第一虛擬機容器並且所述受限操作系統環境包括第二虛擬機容器。
3. 根據請求項2所述的裝置，其中，所述操作系統為基於Linux的對稱多處理操作系統，並且所述軟體框架包括Android框架的至少一個版本。。
4. 根據請求項2所述的裝置，所述操作系統還包括安全存取介面以支援所述第一虛擬機容器與所述第二虛擬機容器之間的交互。
5. 根據請求項4所述的裝置，所述操作系統包括安全操作系統內核，所述安全存取介面調節所述受限操作系統環境與所述安全操作系統內核之間的交互。
6. 根據請求項5所述的裝置，所述安全存取介面執行選自由以下項組成的群組中的至少一個操作：句柄和指針驗證；非指針參數驗證；堆區隔離；和在受限進程終止以後的硬體資源釋放。
7. 根據請求項5所述的裝置，所述安全存取介面包括安全存取服務器和安全存取客戶端，所述安全存取客戶端包括在所述軟 體框架中。
8. 根據請求項7所述的裝置，其中，所述安全存取服務器與安全存取客戶端之間的交互至少部分通過進程間通訊調用進行。
9. 一種在媒介傳送設備中使用的方法，所述媒介傳送設備具有操作系統和受信任應用軟體，所述設備支援與非信任軟體框架交互，所述方法包括：建立特許操作系統環境以通過所述受信任應用軟體執行安全媒介處理操作；建立受限操作系統環境以管理所述非信任軟體框架；並且提供安全存取介面以支援所述受信任應用軟體與所述非信任軟體框架的組件之間的交互。
10. 一種裝置，包括：處理電路；用於支援軟體應用程序的軟體框架，所述軟體框架包括受信任部分和非信任部分；以及由所述處理電路執行的操作系統，所述操作系統被配置為建立至少一個特許操作系統環境和至少一個受限操作系統環境，所述軟體框架的所述受信任部分在所述至少一個特許操作系統環境中執行並且所述軟體框架的所述非信任部分在所述至少一個受限操作系統環境中執行。