WO2013190598A1

WO2013190598A1 - 放送受信装置のプログラム書き換え方法、放送受信装置およびプログラム

Info

Publication number: WO2013190598A1
Application number: PCT/JP2012/004022
Authority: WO
Inventors: 耕二川地; 和敏安達
Original assignee: パイオニア株式会社
Priority date: 2012-06-21
Filing date: 2012-06-21
Publication date: 2013-12-27

Abstract

　放送ネットワークの運用開始後に、ＣＡＳの切り換えを可能とすることを課題とする。本発明のＳＴＢは、第１ブートローダー、第２ブートローダーおよびアプリケーションを記憶するメモリーを有しており、所定のトリガーを取得するトリガー取得手段１１０と、所定のトリガーの取得に伴って新規第２ブートローダーおよび新規アプリケーションを含む新規動作プログラムを取得し、当該新規動作プログラムをメモリーに格納する新規動作プログラム格納手段１２０と、認証先情報をメモリー内における新規動作プログラムの格納アドレスに書き換える認証先情報書き換え手段１３０と、起動時に第１ブートローダーによって新規第２ブートローダーを認証する第１の認証手段１４０と、第１の認証手段１４０が認証「ＯＫ」の場合、新規第２ブートローダーによって新規アプリケーションを認証する第２の認証手段１５０と、を備えた。

Description

放送受信装置のプログラム書き換え方法、放送受信装置およびプログラム

　本発明は、システム変更要望に伴う放送受信装置のプログラム書き換え方法、放送受信装置およびプログラムに関する。

　従来、ケーブルテレビ放送や衛星放送、地上波テレビ放送、ＩＰ放送などの放送信号を受信し、テレビで視聴可能な信号に変換する装置として、ＳＴＢ（Set　Top　Box）と称される放送受信装置が知られている。この種の放送受信装置は、契約されている放送ネットワークに応じたアプリケーションで動作するため、サービス提供形態を定義する運用仕様の変更を行う場合、動作プログラムを書き換える必要がある。また、ハッキングなどの不正行為が発生した場合も、動作プログラムの書き換えが必要になる。このような事態に対応すべく、例えば特許文献１では、オペレーティングシステムの切り換えを、放送局からのダウンロードによって実現している。

特開２００２－３３３９８２号公報

　ところで、ＳＴＢでは、現在Ｂ－ＣＡＳ（Conditional　Access　System）カードやＣ－ＣＡＳカードなどのＩＣカードによって限定受信制御を行っている。これにより、例えば顧客Ａは、スポーツチャンネルのみを視聴可能とし、顧客Ｂは、映画チャンネルのみを視聴可能とする、などの規制が可能となる。ところが、悪意の第三者によって、アプリケーションが改ざんされ、ＳＴＢ内でＣＡＳの処理を行うソフトウェア部分（以降、ＣＡＳライブラリと呼ぶ）の動作がモニターされる危険性がある。ＣＡＳライブラリがモニターされると、ＣＡＳデータが漏洩し、不正な番組視聴を可能にする結果に繋がってしまう。このため、アプリケーションの改ざんの可能性がある場合は、ＳＴＢのＣＡＳ（限定受信制御を行うための仕組み）を切り換える必要がある。ところが、上記特許文献１では、ＣＡＳの切り換え方法について言及されていない。

　本発明は、上記の問題点に鑑み、放送ネットワークの運用開始後に、ＣＡＳの切り換えが可能な放送受信装置のプログラム書き換え方法、放送受信装置およびプログラムを提供することを目的とする。

　本発明の放送受信装置のプログラム書き換え方法は、第１ブートローダー、第２ブートローダーおよびアプリケーションを起動する放送受信装置のプログラム書き換え方法であって、プログラム書き換えのための所定のトリガーを取得するトリガー取得ステップと、所定のトリガーの取得に伴って、新規の第２ブートローダーである新規第２ブートローダーおよび新規のアプリケーションである新規アプリケーションを含む新規動作プログラムを取得し、当該新規動作プログラムをメモリーに格納する新規動作プログラム格納ステップと、起動時の認証先を示す認証先情報を、メモリー内における新規動作プログラムの格納アドレスに書き換える認証先情報書き換えステップと、起動時に認証先情報を参照し、第１ブートローダーによって新規第２ブートローダーを認証する第１の認証ステップと、第１の認証ステップで認証ＯＫの場合、新規第２ブートローダーによって新規アプリケーションを認証する第２の認証ステップと、を実行することを特徴とする。

　本発明の放送受信装置は、第１ブートローダー、第２ブートローダーおよびアプリケーションを記憶するメモリーと、プログラム書き換えのための所定のトリガーを取得するトリガー取得手段と、所定のトリガーの取得に伴って、新規の第２ブートローダーである新規第２ブートローダーおよび新規のアプリケーションである新規アプリケーションを含む新規動作プログラムを取得し、当該新規動作プログラムをメモリーに格納する新規動作プログラム格納手段と、起動時の認証先を示す認証先情報を、メモリー内における新規動作プログラムの格納アドレスに書き換える認証先情報書き換え手段と、起動時に認証先情報を参照し、第１ブートローダーによって新規第２ブートローダーを認証する第１の認証手段と、第１の認証手段が認証ＯＫの場合、新規第２ブートローダーによって新規アプリケーションを認証する第２の認証手段と、を備えたことを特徴とする。

　これらの構成によれば、新規アプリケーションと新規第２ブートローダーをセットで取得し、第１ブートローダーによる新規第２ブートローダーの認証と、新規第２ブートローダーによる新規アプリケーションの認証、といった２段階の認証を行うため、大幅なシステム変更の場合でも、アプリケーションの正当性を確実に判定できる。例えば、放送ネットワークで使用するＣＡＳを切り換える場合、元々記憶されていた第１ブートローダー（例えば、ハードウェアの初期化や各ＣＡＳに対応する第２ブートローダーの認証を行うための専用ブートローダー）では、新規アプリケーションの認証ができない。このため、ＣＡＳの切り換えを行う場合は、処理を行うアプリケーションだけでなく、その正当性判定を行う第２ブートローダーをセットで取得する必要がある。本構成によれば、このように新規第２ブートローダーと新規アプリケーションをセットで取得し、さらに２段階の認証を行うため、新規アプリケーションの正当性を正確に判別できる。
　なお、放送受信装置は、Ｂ－ＣＡＣカードやＣ－ＣＡＳカードなどのＩＣカードを装着可能な構成でも良いし、ＣＡＳデータ（ＩＣカードに書き込まれる限定受信制御を行うための情報）を、装置内に記憶しておく構成でも良い。
　また、新規動作プログラムは、放送波（トランスポートストリーム）を介して取得しても良いし、インターネットを介して取得しても良い。また、外部装置（ＰＣなど）から無線／有線通信を介して取得しても良いし、ＵＳＢメモリーなどの外部記憶媒体を介して取得しても良い。

　上記の放送受信装置のプログラム書き換え方法において、第１の認証ステップは、第１ブートローダーが持つ新規第２ブートローダーに対応する公開キーを用いて新規第２ブートローダーを認証し、第２の認証ステップは、新規第２ブートローダーが持つ新規アプリケーションに対応する公開キーを用いて新規アプリケーションを認証することを特徴とする。

　この構成によれば、公開鍵暗号化方式を用いて、信頼性の高い認証を行うことができる。

　上記の放送受信装置のプログラム書き換え方法において、新規動作プログラム格納ステップは、新規動作プログラムの他、新規第２ブートローダーのみ、新規アプリケーションのみ、の取得が可能であり、認証先情報書き換えステップは、第２ブートローダーの認証先を示すブートローダー認証先情報と、アプリケーションの認証先を示すアプリケーション認証先情報と、を独立して書き換えることを特徴とする。

　この構成によれば、アプリケーションのみ、または第２ブートローダーのみの書き換えを実現できる。前者のニーズとしては、アプリケーションの機能アップなどが考えられる。また、後者のニーズとしては、放送受信装置の出荷後に第２ブートローダーに不具合が見つかった場合の修正などが考えられる。このように、必要に応じて、第２ブートローダーとアプリケーションのセットでの書き換え、第２ブートローダー単体の書き換え、アプリケーション単体の書き換えを使い分けることができる。

　上記の放送受信装置のプログラム書き換え方法において、メモリーは、少なくとも２つの第２ブートローダーおよび２つのアプリケーションを記憶するための複数のブートローダー領域および複数のアプリケーション領域を有しており、新規動作プログラム格納ステップは、現在動作している第２ブートローダーおよびアプリケーションを残した状態で、異なるブートローダー領域およびアプリケーション領域に、それぞれ新規第２ブートローダーおよび新規アプリケーションを格納することを特徴とする。

　この構成によれば、現行の動作プログラムを残しつつ新規動作プログラムを格納するため、新規動作プログラムのダウンロード中に不具合が生じた場合でも、現行の動作プログラムに戻すことができる。

　上記の放送受信装置のプログラム書き換え方法において、所定のトリガーは、放送受信装置の電源ＯＮ、放送受信装置の電源ＯＦＦ、放送チャンネル切り換え信号の受信、放送波に重畳されるプログラム書き換え開始信号による指示、放送受信装置に接続された外部装置の電源ＯＮ、外部装置の電源ＯＦＦ、外部装置によるプログラム書き換え指示、インターネット経由でのプログラム書き換え指示、ユーザーによるプログラム書き換え指示、のいずれかであることを特徴とする。

　この構成によれば、放送受信装置の電源ＯＮ／ＯＦＦ、放送チャンネル切り換え信号の受信、外部装置の電源ＯＮ／ＯＦＦ、プログラム書き換え指示（放送波やインターネットを介した指示、外部装置からの指示、ユーザーのプログラム書き換え操作に基づく）などをトリガーとして、新規動作プログラムを取得することができる。
　なお、「外部装置」とは、放送受信装置に装着または接続可能なＵＳＢメモリーやＵＳＢ　ＨＤＤなどが挙げられる。つまり、これらＵＳＢメモリー等に新規動作プログラムを格納し、そのヘッダ部分または別ファイルとして、プログラム書き換え（ＣＡＳの切り換え）を指示するコマンドを保存しておく構成でも良い。
　また、これらのトリガーのうち、どれを採用するかについてユーザーが設定可能としても良い。また、その場合、２以上のトリガーを設定可能としても良い。

　上記の放送受信装置のプログラム書き換え方法において、新規動作プログラム格納ステップは、放送波を介して新規動作プログラムを取得することを特徴とする。

　この構成によれば、デジタル放送波の多重化信号（トランスポートストリーム）を用いて、新規動作プログラムを取得できる。これにより、ユーザーに手間をかけることなく、プログラムの書き換えを行うことができる。また、放送受信装置に、プログラムを取得するための構成（ＰＣなどの外部装置を接続するための接続端子やＵＳＢメモリー用のスロットなど）を必要としない。

　本発明のプログラムは、コンピューターに、上記に記載の放送受信装置のプログラム書き換え方法における各ステップを実行させることを特徴とする。

　このプログラムを用いることにより、動作プログラムの書き換えの際に、アプリケーションの正当性を確実に判定可能な放送受信装置のプログラム書き換え方法を実現できる。

ＳＴＢのハードウェア構成を示すハードウェア構成図である。フラッシュＲＯＭのメモリー構成を示す図である。ＥＥＰＲＯＭのメモリー構成を示す図である。ＳＴＢの機能構成を示す機能ブロック図である。認証の過程を示す説明図である。図５に続く、説明図である。新規動作プログラムダウンロード処理の流れを示すフローチャートである。起動時処理の流れを示すフローチャートである。変形例に係る、新規動作プログラムダウンロード処理の流れを示すフローチャートである。変形例に係る、フラッシュＲＯＭのメモリー構成を示す図である。

　以下、本発明の一実施形態に係る放送受信装置のプログラム書き換え方法、放送受信装置およびプログラムについて、添付図面を参照しながら詳細に説明する。図１は、ＳＴＢ１（Set　Top　Box，放送受信装置）のハードウェア構成を示すハードウェア構成図である。ＳＴＢ１は、放送受信部２、映像処理部３、音声処理部４、テレビ通信部５、赤外線信号受信部６、電源部７、記憶部８および制御部１０を備えている。

　放送受信部２は、デジタルチューナー等により構成され、デジタル放送波を受信する。また、受信したデジタル放送波に、復調処理およびエラー訂正処理を行い、トランスポートストリームとして制御部１０に出力する。制御部１０は、トランスポートストリームを構成するトランスポートパケットのヘッダからパケットＩＤを読み取り、データ種類を識別する。例えば、識別結果が映像データの場合は、映像処理部３に出力し、音声データの場合は、音声処理部４に出力する。また、識別結果が、動作プログラム（第２ブートローダーのみ、アプリケーションのみ、第２ブートローダーとアプリケーションの組み合わせ、のいずれか）の場合はダウンロード処理を行う。当該動作プログラムのダウンロード処理については後述する。

　映像処理部３は、制御部１０から出力された映像データを、ＣＡＳデータに基づいて復号化すると共に、所定のフォーマットで伸張し、テレビ通信部５に出力する。ＣＡＳデータとは、限定受信制御を行うための情報であり、ＳＴＢ１ごとに一意に割り当てられたＩＤ番号と暗号鍵を含むデータである。当該ＣＡＳデータは、アプリケーションのＣＡＳライブラリ（図示省略）、ＳＴＢ１が読み取り可能なスマートカード等の記憶媒体、記憶部８、などに含まれている。また、音声処理部４は、制御部１０から出力された音声データを、ＣＡＳデータに基づいて復号化すると共にデータ伸張し、テレビ通信部５に出力する。テレビ通信部５は、これら映像データおよび音声データを、テレビ２０（外部装置）に送信する。

　赤外線信号受信部６は、赤外線通信により、リモコン１５の操作信号を受信する。操作信号としては、ＳＴＢ１の電源ＯＮ／ＯＦＦ信号、ＳＴＢ１に対するチャンネル切り換え信号、などが含まれる。電源部７は、リモコン１５の操作信号、またはＳＴＢ１の本体に設けられた不図示の電源スイッチの操作にしたがい、ＳＴＢ１の電源状態を切り換える。

　記憶部８は、フラッシュＲＯＭ（Read-Only　Memory）１１（メモリー）およびＥＥＰＲＯＭ（Electrically　Erasable　Programmable　Read-Only　Memory）１２を含む。フラッシュＲＯＭ１１は、第１ステージのブートローダー（以下、「第１ブートローダー」と称する）、第２ステージのブートローダー（以下、「第２ブートローダー」と称する）およびアプリケーションなどを記憶する。

　また、ＥＥＰＲＯＭ１２は、更新すべき新規の第２ブートローダーや新規のアプリケーションの有無を示すフラグや、ＳＴＢ１の起動時に認証すべき認証先（フラッシュＲＯＭ１１内のアドレス）を示す認証先情報を記憶する。なお、記憶部８は、フラッシュＲＯＭ１１やＥＥＰＲＯＭ１２に限らず、他の不揮発性メモリーで構成しても良い。

　制御部１０は、放送波の受信制御、テレビ２０とのデータ入出力制御、ＣＡＳデータに基づく限定受信制御、動作プログラム書き換え制御など、ＳＴＢ１を統括的に制御する。なお、後述するＳｏＣ３１（System-on-a-chip）は、当該制御部１０をはじめ、映像処理部３および音声処理部４を一つの半導体チップに実装した集積回路を指す（図５等参照）。

　制御部１０は、新規動作プログラムダウンロード処理として、所定のトリガーの取得に伴い動作プログラムをダウンロードし、フラッシュＲＯＭ１１内に格納する。また、ＥＥＰＲＯＭ１２のフラグ書き換え処理や、第１・第２ブートローダーおよびアプリケーションの認証・起動処理等を行う。詳細については、後述する。

　次に、図２を参照し、フラッシュＲＯＭ１１のメモリー構成について説明する。フラッシュＲＯＭ１１は、取得した動作プログラムを一時的に記憶する新規動作プログラム領域と、第１ブートローダーを記憶する第１ブートローダー領域と、第２ブートローダーを記憶する２つのブートローダー領域Ａ・Ｂと、アプリケーションを記憶する２つのアプリケーション領域Ａ・Ｂと、を有している。

　第１ブートローダーとは、ハードウェアの初期化や第２ブートローダーの認証を行うための専用ブートローダーである。一方、動作プログラムとは、上記のとおり、アプリケーションのみ、第２ブートローダーのみ、若しくは第２ブートローダーとアプリケーションをセットにしたプログラムを指す。なお、説明の便宜上、現在使用している第２ブートローダーを「現行第２ブートローダー」、現在使用しているアプリケーションを「現行アプリケーション」、これら「現行第２ブートローダー」と「現行アプリケーション」の集合体を「現行動作プログラム」と称する。これに対し、新しくダウンロードした第２ブートローダーを「新規第２ブートローダー」、新しくダウンロードしたアプリケーションを「新規アプリケーション」、これら「新規第２ブートローダー」と「新規アプリケーション」の集合体を「新規動作プログラム」と称する。

　次に、図３を参照し、ＥＥＰＲＯＭ１２のメモリー構成について説明する。ＥＥＰＲＯＭ１２は、第２ブートローダーの更新が必要か否かを示すフラグを記憶する新規ブートローダーフラグ領域と、アプリケーションの更新が必要か否かを示すフラグを記憶する新規アプリケーションフラグ領域と、第２ブートローダーの認証先情報を記憶するブートローダー認証先情報領域と、アプリケーションの認証先情報を記憶するアプリケーション認証先情報領域と、を有している。

　新規ブートローダーフラグ領域および新規アプリケーションフラグ領域は、更新処理が不要な場合「０」を記憶し、必要な場合「１」を記憶する。また、ブートローダー認証先情報領域は、認証先情報をフラグで記憶し、認証すべき第２ブートローダーがフラッシュＲＯＭ１１のブートローダー領域Ｂに記憶されている場合「０」を記憶し、ブートローダー領域Ａに記憶されている場合「１」を記憶する。同様に、アプリケーション認証先情報領域は、認証先情報をフラグで記憶し、認証すべきアプリケーションがアプリケーション領域Ｂに記憶されている場合「０」を記憶し、アプリケーション領域Ａに記憶されている場合「１」を記憶する。

　次に、図４を参照し、ＳＴＢ１の機能構成について説明する。ＳＴＢ１は、主な機能構成として、トリガー取得手段１１０、新規動作プログラム格納手段１２０、認証先情報書き換え手段１３０、第１の認証手段１４０、第２の認証手段１５０を有している。

　トリガー取得手段１１０は、動作プログラムを書き換えるための所定のトリガーを取得する。本実施形態では、所定のトリガーの一例として、ＳＴＢ１の電源ＯＦＦ信号を取得するものとする。

　新規動作プログラム格納手段１２０は、所定のトリガーの取得に伴って、新規動作プログラム（新規第２ブートローダーおよび／または新規アプリケーション）を、放送波を介して取得し、当該新規動作プログラムをフラッシュＲＯＭ１１に格納する。つまり、新規動作プログラム取得手段および新規動作プログラム格納手段を含む概念である。なお、以下の説明において「ダウンロード処理」とは、新規動作プログラムの取得処理および格納処理を含む概念である。また、本実施形態において、ダウンロード処理は、第１ブートローダーによって第２ブートローダーのダウンロード処理を行い、第２ブートローダーによってアプリケーションのダウンロード処理を行うものとする。

　新規動作プログラム格納手段１２０は、放送ネットワークで使用するＣＡＳの切り換えなど、大幅なプログラム変更を行う場合、「新規動作プログラム」として「新規第２ブートローダー」および「新規アプリケーション」を取得する。なお、「ＣＡＳの切り換え」とは、ＣＡＳライブラリやＣＡＳデータなど限定受信を実現する仕組み（システム）を変更することを指す。

　また、新規動作プログラム格納手段１２０は、アプリケーションの機能アップなど、軽微なプログラム変更を行う場合、「新規動作プログラム」として「新規アプリケーション」のみを取得する。さらに、第２ブートローダーの不具合修正の場合は、「新規動作プログラム」として「新規第２ブートローダー」のみを取得する。

　また、新規動作プログラム格納手段１２０は、「新規第２ブートローダー」および／または「新規アプリケーション」をダウンロードした場合、「現行第２ブートローダー」および／または「現行アプリケーション」がＡ，Ｂのどちらの領域に記憶されているかを判別し、記憶されていない方の領域に、「新規第２ブートローダー」および／または「新規アプリケーション」を格納する（図２参照）。このように、フラッシュＲＯＭ１１内に２つのブートローダー領域Ａ，Ｂおよびアプリケーション領域Ａ，Ｂを有しているため、現行動作プログラムを残しつつ、新規動作プログラムを格納することができる。

　認証先情報書き換え手段１３０は、ＳＴＢ１が起動した時の認証先を示す認証先情報を、フラッシュＲＯＭ１１内における新規動作プログラムの格納アドレスに書き換える。但し、新規第２ブートローダーのみ、または新規アプリケーションのみの取得も考えられるため、第２ブートローダーの認証先を示すブートローダー認証先情報と、アプリケーションの認証先を示すアプリケーション認証先情報と、を独立して書き換える。

　第１の認証手段１４０は、ＳＴＢ１の起動時に、ＥＥＰＲＯＭ１２のブートローダー認証先情報を参照し、当該ブートローダー認証先情報が示す格納アドレスから第２ブートローダーを読み出して認証する。このとき、第１の認証手段１４０は、第１ブートローダーが持つ第２ブートローダーに対応するパブリックキー（公開キー）を用いて第２ブートローダーを認証する。

　第２の認証手段１５０は、第１の認証手段１４０による認証後、ＥＥＰＲＯＭ１２のアプリケーション認証先情報を参照し、当該アプリケーション認証先情報が示す格納アドレスからアプリケーションを読み出して認証する。このとき、第２の認証手段１５０は、第２ブートローダーが持つアプリケーションに対応するパブリックキーを用いてアプリケーションを認証する。

　次に、図５および図６を参照し、認証の過程について説明する。図５は、フラッシュＲＯＭ１１内に記憶されている「現行動作プログラム」に対して認証を行う過程を示したものである。つまり、ブートローダー認証先情報およびアプリケーション認証先情報は、それぞれ「現行第２ブートローダー」および「現行アプリケーション」が格納されている領域のアドレスを示しているものとする。

　まず、ＳｏＣ３１に組み込まれているパブリックキーを用いて、第１ブートローダーのサインを認証する（認証ａ）。さらに、第１ブートローダーが持つ現行第２ブートローダーに対応するパブリックキーを用いて、「現行第２ブートローダー」のサインを認証し（認証ｂ）、最後に「現行第２ブートローダー」が持つ現行アプリケーションに対応するパブリックキーを用いて、「現行アプリケーション」のサインを認証する（認証ｃ）。

　図６は、フラッシュＲＯＭ１１内に記憶されている「新規動作プログラム」に対して認証を行う過程を示したものである。つまり、ブートローダー認証先情報およびアプリケーション認証先情報は、それぞれ「新規第２ブートローダー」および「新規アプリケーション」が格納されているアドレスを示しているものとする。この場合、「現行動作プログラム」も、フラッシュＲＯＭ１１内に存在するが、認証対象とはならない（起動されない）。認証ａ工程は、図５と同様である。認証ｂの工程では、第１ブートローダーが持つ新規第２ブートローダーに対応するパブリックキーを用いて、「新規第２ブートローダー」のサインを認証する（第１認証ステップ）。また、認証ｃの工程では、「新規第２ブートローダー」が持つ新規アプリケーションに対応するパブリックキーを用いて、「新規アプリケーション」のサインを認証する（第２認証ステップ）。

　次に、図７のフローチャートを参照し、新規動作プログラムダウンロード処理１について説明する。ＳＴＢ１は、所定のトリガー取得（Ｓ０１）によって、新規動作プログラムダウンロード処理を開始する。所定のトリガーとは、上記のとおりＳＴＢ１の電源ＯＦＦである。つまり、電源ＯＦＦ後、一時的にＳＴＢ１が起動状態となりダウンロードを開始する。

　所定のトリガーを取得すると（Ｓ０１：Ｙｅｓ，トリガー取得ステップ）、「新規第２ブートローダー」の有無を判別する（Ｓ０２）。つまり、放送波のトランスポートストリームに「新規第２ブートローダー」が含まれているか否かを判別する。含まれている場合は（Ｓ０２：Ｙｅｓ）、「新規第２ブートローダー」を取得し（Ｓ０３）、フラッシュＲＯＭ１１内の新規動作プログラム領域（図２参照）に格納する（Ｓ０４）。その後、ＥＥＰＲＯＭ１２内の新規ブートローダーフラグ領域（図３参照）にフラグをセットする（フラグを「１」にする，Ｓ０５）。

　続いて（Ｓ０２：Ｎｏの場合、またはＳ０５の後）、ＳＴＢ１は、「新規アプリケーション」の有無を判別する（Ｓ０６）。つまり、放送波のトランスポートストリームに「新規アプリケーション」が含まれているか否かを判別する。含まれている場合は（Ｓ０６：Ｙｅｓ）、「新規アプリケーション」を取得し（Ｓ０７）、フラッシュＲＯＭ１１内の新規動作プログラム領域に格納する（Ｓ０８）。その後、ＥＥＰＲＯＭ１２内の新規アプリケーションフラグ領域にフラグをセットする（フラグを「１」にする，Ｓ０９）。

　なお、ダウンロード時に、「新規第２ブートローダー」および／または「新規アプリケーション」の有無を判別するのではなく、動作プログラムをダウンロードした後にこれらの有無を判別し、「新規第２ブートローダー」および／または「新規アプリケーション」が存在する場合、これらをＲＡＭ（ワークエリア）等に格納した後、図７のフローチャートを実行する構成としても良い。

　次に、図８のフローチャートを参照し、起動時処理について説明する。ＳＴＢ１が起動されると、まず新規ブートローダーフラグ領域を参照し、フラグの状態を判別する（Ｓ１１）。新規ブートローダーフラグが「１」の場合、「新規第２ブートローダー」があると判断し（Ｓ１１：Ｙｅｓ）、現在のブートローダー認証先情報が示すブートローダー領域とは異なるブートローダー領域内に、新規動作プログラム領域から取り出した「新規第２ブートローダー」を格納する（Ｓ１２，格納ステップ）。その後、ブートローダー認証先情報を、Ｓ１２で格納した「新規第２ブートローダー」の格納アドレスを示すフラグに書き換える（Ｓ１３）。

　続いて（Ｓ１１：Ｎｏの場合、またはＳ１３の後）、ＳＴＢ１は、新規アプリケーションフラグ領域を参照し、フラグの状態を判別する（Ｓ１４）。新規アプリケーションフラグが「１」の場合、「新規アプリケーション」があると判断し（Ｓ１４：Ｙｅｓ）、現在のアプリケーション認証先情報が示すアプリケーション領域とは異なるアプリケーション領域内に、新規動作プログラム領域から取り出した「新規アプリケーション」を格納する（Ｓ１５，格納ステップ）。その後、アプリケーション認証先情報を、Ｓ１５で格納した「新規アプリケーション」の格納アドレスを示すフラグに書き換える（Ｓ１６）。

　ＳＴＢ１は、Ｓ１１～Ｓ１６の処理を完了すると、続いてＳｏＣ３１により第１ブートローダーを認証し、認証「ＯＫ」の場合、第１ブートローダーを起動する（Ｓ１７）。その後、必要に応じて、新しいＣＡＳに対応するＣＡＳデータの切り替えを行う（Ｓ１８）。さらに、ＣＡＳデータの切り換え後、ブートローダー認証先情報を参照して、ブートローダー認証先情報が示すブートローダー領域内の第２ブートローダーを認証し、認証「ＯＫ」の場合、当該第２ブートローダーを起動する（Ｓ１９，第１認証ステップ）。また、第２ブートローダーが認証「ＯＫ」の場合は、さらにアプリケーション認証先情報を参照して、アプリケーション認証先情報が示すアプリケーション領域内のアプリケーションを認証し、認証「ＯＫ」の場合、当該アプリケーションを起動する（Ｓ２０，第２認証ステップ）。

　なお、Ｓ１７，Ｓ１９，Ｓ２０で認証「ＮＧ」の場合は、再度起動処理をやり直しても良いし、所定のエラー処理を実行しても良い。また、Ｓ１２，Ｓ１５の後、若しくは起動時処理終了後、新規動作プログラム領域内の「新規第２ブートローダー」および「新規アプリケーション」は削除される。

　以上説明したとおり、本実施形態によれば、「新規動作プログラム」を取得した場合、第１ブートローダーによる「新規第２ブートローダー」の認証と、「新規第２ブートローダー」による「新規アプリケーション」の認証、といった２段階の認証を行うため、ＣＡＳの切り換えなど大幅なシステム変更の場合でも、アプリケーションの正当性を確実に判定できる。これにより、放送ネットワークの運用開始後でも、アプリケーション改ざんの危険性がある場合などに、ＣＡＳの切り換えが可能となり、ＣＡＳデータの漏洩を防止することができる。

　また、フラッシュＲＯＭ１１内に２つの第２ブートローダー領域と２つのアプリケーション領域を設けているため、「現行動作プログラム」を残しつつ、「新規動作プログラム」を格納することができる。これにより、新規動作プログラムのダウンロード中に不具合が生じた場合でも、現行のプログラムに戻すことができる。

　また、デジタル放送波のトランスポートストリームを用いて、新規動作プログラムを取得するため、ユーザーに手間をかけることなく（ユーザーが、新規動作プログラムが格納されているＰＣを接続したり、ＵＳＢメモリーを装着したりすることなく）、プログラムの書き換えを行うことができる。また、ＳＴＢ１の電源ＯＦＦをトリガーとして、新規動作プログラムをダウンロードするため、映像の視聴に影響を与えることがない。

　また、上記の実施形態では、新規動作プログラムをダウンロードした場合、ダウンロード時ではなく、再起動後に新規動作プログラムの格納処理や認証先情報の更新処理を行うため（図８参照）、ＳＴＢ１の電源ＯＦＦなどでダウンロード処理が中断された場合でも、再実行時のやり直し処理量を少なくすることができる。

　［変形例１］
　なお、上記の実施形態に限らず、以下の変形例を採用可能である。例えば、図９は、ダウンロード処理の変形例である、新規動作プログラムダウンロード処理２を示すフローチャートである。新規動作プログラムダウンロード処理２は、新規動作プログラムの取得に伴い、ブートローダー領域および／またはアプリケーション領域への格納と認証先情報の更新を行うことを特徴とする。なお、本例においては、ＥＥＰＲＯＭ１２内に、新規ブートローダーフラグ領域および新規アプリケーションフラグ領域は不要である（図３参照）。

　ＳＴＢ１は、まず所定のトリガーを取得すると（Ｓ３１：Ｙｅｓ，トリガー取得ステップ）、放送波のトランスポートストリームに「新規第２ブートローダー」が含まれているか否かを判別し、含まれている場合は（Ｓ３２：Ｙｅｓ）、「新規第２ブートローダー」を取得する（Ｓ３３）。ここで、取得した「新規第２ブートローダー」を認証し（Ｓ３４）、認証「ＯＫ」の場合、現在のブートローダー認証先情報が示すブートローダー領域とは異なるブートローダー領域内に、取得した「新規第２ブートローダー」を格納する（Ｓ３５，格納ステップ）。その後、ブートローダー認証先情報を、Ｓ３５で格納した「新規第２ブートローダー」の格納アドレスを示すフラグに書き換える（Ｓ３６）。

　続いて（Ｓ３２：Ｎｏの場合、またはＳ３６の後）、ＳＴＢ１は、放送波のトランスポートストリームに「新規アプリケーション」が含まれているか否かを判別し、含まれている場合は（Ｓ３７：Ｙｅｓ）、「新規アプリケーション」を取得する（Ｓ３８）。ここで、取得した「新規アプリケーション」を認証し（Ｓ３９）、認証「ＯＫ」の場合、現在のアプリケーション認証先情報が示すアプリケーション領域とは異なるアプリケーション領域内に、取得した「新規アプリケーション」を格納する（Ｓ４０，格納ステップ）。その後、アプリケーション認証先情報を、Ｓ４０で格納した「新規アプリケーション」の格納アドレスを示すフラグに書き換える（Ｓ４１）。

　なお、新規動作プログラムダウンロード処理２の後、ＳＴＢ１を起動させた場合は、図８に示したフローチャート内のＳ１７～Ｓ２０の処理を実行することとなる。

　［変形例２］
　また、上記の実施形態では、第２ブートローダーとアプリケーションを個別にダウンロードしたが、「動作プログラム」として、まとめてダウンロードしても良い。この場合、図１０に示すように、フラッシュＲＯＭ内の構成を簡素化することができる。また、変形例２では、プログラム格納時に「現行動作プログラム」がプログラム領域Ａ，Ｂのどちらに記憶されているかを判別し、同図に示すように、プログラム領域Ａに記憶されている場合、「新規動作プログラム」をプログラム領域Ｂに格納する。逆に、「現行動作プログラム」がプログラム領域Ｂに記憶されている場合は、「新規動作プログラム」をプログラム領域Ａに格納する。このように、フラッシュＲＯＭ１１内に２つのプログラム領域Ａ，Ｂを有することにより、「現行動作プログラム」を残しつつ「新規動作プログラム」を古い動作プログラムに上書きすることができる。

　また、変形例２において「新規アプリケーション」のみをダウンロードする場合は、例えば「現行第２ブートローダー」がプログラム領域Ａに記憶されている場合、「新規アプリケーション」をプログラム領域Ｂに格納し、さらに「現行第２ブートローダー」をコピーしてプログラム領域Ｂに格納する。つまり、認証対象となる第２ブートローダーとアプリケーションは、常に同じプログラム領域内に格納しておく。「新規第２ブートローダー」のみをダウンロードする場合も同様である。このように、認証対象となる第２ブートローダーおよびアプリケーションを、常に同じプログラム領域に格納しておくことで、認証先情報として１つの格納アドレスのみを記憶すればよく、次回新規動作プログラムの書き換えも容易に行うことができる。

　なお、「新規アプリケーション」または「新規第２ブートローダー」のみをダウンロードする場合は、「現行アプリケーション」または「現行第２ブートローダー」に上書きする構成でも良い。また、「現行第２ブートローダー」が記憶されていない領域に「新規アプリケーション」を格納し、一方のプログラム領域内の「現行ブートローダー」によって他方のプログラム領域の「新規アプリケーション」を認証する構成でも良い。

　［その他変形例］
　また、上記の実施形態では、ダウンロード処理を開始するための所定のトリガーとして、ＳＴＢ１の電源ＯＦＦを例示したが（トリガー取得手段１１０）、ＳＴＢ１の電源ＯＮ、リモコン１５による放送チャンネル切り換え信号の受信、テレビ２０の電源ＯＮ、テレビ２０の電源ＯＦＦ、プログラム書き換え指示（放送波やインターネットを介した指示、ＵＳＢメモリー等の外部装置からの指示、ユーザーのプログラム書き換え操作に基づく）などであっても良い。但し、ＳＴＢ１の起動中にダウンロードを行う場合は、「ダウンロードを開始しますか？」などのメッセージをテレビ２０の画面上に表示し、ユーザーより「ＯＫ」の指示があった場合にダウンロード処理を開始することが好ましい。また、これらのトリガーのうち、どれを採用するかについてユーザーが設定可能としても良い。その場合、２以上のトリガーを設定可能としても良い。なお、設定手段は、リモコン１５またはＰＣなどの外部装置からの情報取得によって実現可能である。

　また、上記の実施形態では、第１ブートローダーによって第２ブートローダーのダウンロード処理を行い、第２ブートローダーによってアプリケーションのダウンロード処理を行うものとしたが、トリガーによっては、放送視聴中に動作する任意のアプリケーションによって、ダウンロード処理を行っても良い。

　また、上記の実施形態では、フラッシュＲＯＭ１１内に、２つのブートローダー領域および２つのアプリケーション領域を有するものとしたが、それぞれ３つ以上の領域を有する構成としても良い。この場合、取得した「新規第２ブートローダー」および／または「新規アプリケーション」を、保存されているプログラムのうち、最も古いプログラムに上書きすることが好ましい。

　また、上記の実施形態では、放送波を介して動作プログラムをダウンロードしたが、ＰＣや各種タブレット端末などの外部装置から有線／無線ＬＡＮ若しくはインターネット等を介して、動作プログラムを取得しても良い。また、ＵＳＢメモリーなどの外部記憶媒体を介して、動作プログラムを取得しても良い。

　また、上記の実施形態に示したＳＴＢ１の各機能および各処理工程をプログラムとして提供することも可能である。また、そのプログラムを各種記憶媒体（ＣＤ－ＲＯＭ、フラッシュメモリ等）に格納して提供することも可能である。すなわち、コンピューターをＳＴＢ１の各機能として機能させるためのプログラム、コンピューターにＳＴＢ１の各処理工程を実行させるためのプログラムおよびそれを記録した記憶媒体も、本発明の権利範囲に含まれるものである。

　また、上記の実施形態では、本発明をＳＴＢ１に適用した場合を例示したが、上記の実施形態のＳＴＢ１の機能をテレビに実行させても良い。つまり、ＳＴＢの機能を内蔵したテレビに、本発明を適用しても良い。その他、本発明の要旨を逸脱しない範囲で、適宜変更が可能である。

　１…ＳＴＢ　２…放送受信部　３…映像処理部　４…音声処理部　５…テレビ通信部　６…赤外線信号受信部　７…電源部　８…記憶部　１０…制御部　１１…フラッシュＲＯＭ　１２…ＥＥＰＲＯＭ　１５…リモコン　２０…テレビ　３１…ＳｏＣ

Claims

　第１ブートローダー、第２ブートローダーおよびアプリケーションを起動する放送受信装置のプログラム書き換え方法であって、
　プログラム書き換えのための所定のトリガーを取得するトリガー取得ステップと、
　前記所定のトリガーの取得に伴って、新規の前記第２ブートローダーである新規第２ブートローダーおよび新規の前記アプリケーションである新規アプリケーションを含む新規動作プログラムを取得し、当該新規動作プログラムをメモリーに格納する新規動作プログラム格納ステップと、
　起動時の認証先を示す認証先情報を、前記メモリー内における前記新規動作プログラムの格納アドレスに書き換える認証先情報書き換えステップと、
　起動時に前記認証先情報を参照し、前記第１ブートローダーによって前記新規第２ブートローダーを認証する第１の認証ステップと、
　前記第１の認証ステップで認証ＯＫの場合、前記新規第２ブートローダーによって前記新規アプリケーションを認証する第２の認証ステップと、を実行することを特徴とする放送受信装置のプログラム書き換え方法。
　前記第１の認証ステップは、前記第１ブートローダーが持つ前記新規第２ブートローダーに対応する公開キーを用いて前記新規第２ブートローダーを認証し、
　前記第２の認証ステップは、前記新規第２ブートローダーが持つ前記新規アプリケーションに対応する公開キーを用いて前記新規アプリケーションを認証することを特徴とする請求項１に記載の放送受信装置のプログラム書き換え方法。
　前記新規動作プログラム格納ステップは、前記新規動作プログラムの他、前記新規第２ブートローダーのみ、前記新規アプリケーションのみ、の取得が可能であり、
　前記認証先情報書き換えステップは、前記第２ブートローダーの認証先を示すブートローダー認証先情報と、前記アプリケーションの認証先を示すアプリケーション認証先情報と、を独立して書き換えることを特徴とする請求項１または２に記載の放送受信装置のプログラム書き換え方法。
　前記メモリーは、少なくとも２つの前記第２ブートローダーおよび２つの前記アプリケーションを記憶するための複数のブートローダー領域および複数のアプリケーション領域を有しており、
　前記新規動作プログラム格納ステップは、現在動作している前記第２ブートローダーおよび前記アプリケーションを残した状態で、異なる前記ブートローダー領域および前記アプリケーション領域に、それぞれ前記新規第２ブートローダーおよび前記新規アプリケーションを格納することを特徴とする請求項３に記載の放送受信装置のプログラム書き換え方法。
　前記所定のトリガーは、前記放送受信装置の電源ＯＮ、前記放送受信装置の電源ＯＦＦ、放送チャンネル切り換え信号の受信、放送波に重畳されるプログラム書き換え開始信号による指示、前記放送受信装置に接続された外部装置の電源ＯＮ、前記外部装置の電源ＯＦＦ、外部装置によるプログラム書き換え指示、インターネット経由でのプログラム書き換え指示、ユーザーによるプログラム書き換え指示、のいずれかであることを特徴とする請求項１に記載の放送受信装置のプログラム書き換え方法。
　前記新規動作プログラム格納ステップは、放送波を介して前記新規動作プログラムを取得することを特徴とする請求項１に記載の放送受信装置のプログラム書き換え方法。
　第１ブートローダー、第２ブートローダーおよびアプリケーションを記憶するメモリーと、
　プログラム書き換えのための所定のトリガーを取得するトリガー取得手段と、
　前記所定のトリガーの取得に伴って、新規の前記第２ブートローダーである新規第２ブートローダーおよび新規の前記アプリケーションである新規アプリケーションを含む新規動作プログラムを取得し、当該新規動作プログラムを前記メモリーに格納する新規動作プログラム格納手段と、
　起動時の認証先を示す認証先情報を、前記メモリー内における前記新規動作プログラムの格納アドレスに書き換える認証先情報書き換え手段と、
　起動時に前記認証先情報を参照し、前記第１ブートローダーによって前記新規第２ブートローダーを認証する第１の認証手段と、
　前記第１の認証手段が認証ＯＫの場合、前記新規第２ブートローダーによって前記新規アプリケーションを認証する第２の認証手段と、を備えたことを特徴とする放送受信装置。
　コンピューターに、請求項１ないし６のいずれか１項に記載の放送受信装置のプログラム書き換え方法における各ステップを実行させるためのプログラム。