BRPI0619172A2 - método e aparelho para distribuição de chave para apresentações seguras de cinema digital - Google Patents

Abstract

MéTODO E APARELHO PARA DISTRIBUIçAO DE CHAVE PARA APRESENTAçõES SEGURAS DE CINEMA DIGITAL. A distribuição de chave dentro de uma instalação de apresentação de cinema digital (140) ocorre de acordo com um processo de recuperação (200,300) que proporciona a recuperação automática em uma hora programada. O processo também inclui mecanismos redundantes para transferir as chaves necessárias, em maneiras diferentes, para possibilitar que o pessoal do cinema obtenha a chave requerida em uma variedade de maneiras diferentes.

Description

"MÉTODO E APARELHO PARA DISTRIBUIÇÃO DE CHAVE PARA APRESENTAÇÕES SEGURAS DE CINEMA DIGITAL"

REFERÊNCIA CRUZADA COM PEDIDOS RELACIONADOS

Esse pedido reivindica a prioridade sob 35 U.S.C. 119(e) ao Pedido de Patente Provisório U.S. 60/742.478, de- positado em 20 de dezembro de 2005, os ensinamentos do qual são incorporados aqui.

CAMPO DA INVENÇÃO

A presente invenção se refere ao cinema digital, e mais especificamente à distribuição adequada, confiável de chaves para apresentações de cinema digital.

ANTECEDENTES DA INVENÇÃO

O termo "cinema digital" se refere, de forma ge- ral, à apresentação teatral de imagens animadas (bem como outros tipos de trabalhos audiovisuais) por dispositivo ele- trônico, tal como o uso de projetores que recebem os dados digitais e transformam esses dados em fluxo ótico para a projeção em uma tela. Para facilitar a coordenação entre os criadores de conteúdo, distribuidores de conteúdo, provedo- res de equipamento e cinemas, sete estúdios de imagem anima- da: Disney, Fox, Metro-Goldwyn-Mayer, Paramount Pictures, Sony Pictures Entertainment, Universal Studios e Warner Bros. Studios, criaram uma entidade conhecida como iniciati- vas de cinema digital, LLC (DCI), que publicou o Digital Ci- nema System Specification Vl.0 (especificação DCI) em 20 de julho de 2005. A finalidade primária da DCI foi estabelecer especificações uniformes que finalmente permitiriam a reali- zação completa dos benefícios do cinema digital para audiên- cias de cinema, donos de cinema, produtores de filme e dis- tribuidores.

A especificação DCI descreve a formatação de ar- quivos representando imagens animadas, áudio e outros dados para distribuição para cinemas. No cinema, tais arquivos provêem uma versão sem desvanecimento, sem rabiscos de uma apresentação audiovisual que proporciona a mesma alta quali- dade de apresentação para espectadores toda e cada vez, de modo que a apresentação aparenta tão boa na sua última exi- bição quanto ela estava durante sua exibição inicial. A grande vantagem do cinema digital o torna muito atrativo pa- ra piratas de midia. Assim, existe um perigo que os piratas de midia tentem adquirir uma cópia dos arquivos digitais i- maculados a fim de fazer e vender DVDs falsificados de alta qualidade e façam isso à frente do cronograma de liberação planejado do estúdio.

A especificação DCI detalha um mecanismo para ga- rantir apresentações de cinema digital continuamente, até o momento que a apresentação aparece na tela do cinema. Cole- tivamente, os arquivos representando uma apresentação com- preendem um "pacote". Cada arquivo do pacote é criptografado com uma chave simétrica diferente no momento do empacotamen- to. Essas mesmas chaves se tornam necessárias para decripto- grafar os arquivos correspondentes quando reproduzido para a apresentação.

Cada cinema receberá o mesmo pacote contendo os arquivos de midia criptografados. Entretanto, embora cada pacote permaneça o mesmo, cada cinema recebe uma chave dife- rente para cada tela. Ao invés de distribuir essas chaves em uma maneira insegura, as próprias chaves sofrem criptografi- a. Além do que, para cada tela existe uma criptografia dife- rente. Cada tela (isto é, cada auditório individual) tipica- mente tem seu próprio sistema de gerenciamento de tela (SMS) que inclui o bloco de midia seguro (isto é, decodificador de midia) e um projetor associado, ____________ o equipamento necessário para exibir uma apresentação. Como um resultado da criptografia diferente usada para cada tela, a chave para o SMS alvo não terá uso em um outro SMS. Em outros ____________ cada SMS exigirá sua própria chave. Um cinema tendo múlti- plas telas tipicamente terá um sistema de gerenciamento de cinema (TMS) para controlar cada SMS individual.

Na prática, a criptografia especificada para as chaves faz uso de uma técnica de chave pública assimétrica. Cada SMS alvo mostrando apresentações complacentes com DCI terá um certificado digital seguro. 0 SMS alvo associado com esse certificado digital seguro tem uma chave privada cor- respondente para decriptografia. 0 distribuidor proverá o certificado que representa a chave pública correspondendo com a chave privada conhecida somente pelo alvo. Dessa ma- neira, o distribuidor pode preparar e criptografar o pacote e distribui-lo para todos os cinemas, tal como pela difusão por satélite. Os conteúdos não têm uso para qualquer pessoa sem as chaves para decriptografia.

Um distribuidor montará e criptografará as chaves para decriptografia do pacote usando o certificado provido, assim criando uma "mensagem de distribuição de chave" (KDM) que compreende uma coleção criptografada de chaves somente legível pelo SMS alvo cujo certificado foi usado. Quando preparadas dessa maneira, as KDMs são únicas para cada tela de cinema autorizada a exibir a apresentação. Tipicamente, as KDMs têm um tamanho relativamente pequeno (por exemplo, vários quilobytes).

A especificação DCI não provê muitos detalhes para a distribuição das KDMs. Entretanto, a especificação DCI re- almente exige uma conexão de modem de discagem como o dispo- sitivo para transportar as KDMs. A especificação permite a provisão de interfaces alternativas.

A especificação DCI também encoraja que o TMS ou SMS, seguinte a recepção (isto é, ingestão) de um pacote completo no cinema, verifique a disponibilidade de uma KDM e exiba a janela de tempo correspondente para exibir o conteú- do. Um cronograma de exibição gerado pelo TMS ou SMS pode revelar conflitos entre a KDM e as exibições planejadas. A- lém disso, a especificação DCI encoraja que o TMS ou SMS a- lerte o projetista ou gerenciamento do cinema quando uma KDM expirará dentro de 48 horas da hora atual.

As implementações experimentais atuais do cinema digital tipicamente encontram KDMs colocadas em um disposi- tivo de armazenamento FLASH removível tendo uma interface USB. Esses pequenos dispositivos de armazenamento altamente portáteis podem ser fisicamente enviados por correio ou pes- soalmente transportados para o sistema alvo. Uma vez coloca- do no sistema alvo e instalado, um projetista usa uma inter- face de controle no SMS alvo para navegar para a unidade FLASH. A seguir, o projetista navega manualmente através da estrutura do diretório e seleciona uma KDM apropriada e co- manda o sistema alvo para carregar a KDM.

Em certas circunstâncias, por exemplo, uma estréi- a, onde uma apresentação especifica é restrita a uma tela particular, então somente uma única KDM é necessária. Entre- tanto, restrições desnecessárias amarrando uma apresentação a uma tela especifica geralmente provam ser indesejáveis. Se um cinema tem quatro telas de cinema digital e reserva três filmes, o distribuidor proverá preferivelmente KDM separada para cada uma das doze combinações possíveis. A proliferação do resultado de KDMs torna o gerenciamento manual da chave difícil.

A combinação das implementações de cinema digital atuais e os comportamentos especificados ou recomendados pe- la especificação DCI fez surgir a necessidade de gerenciar uma grande quantidade de informação do cinema pelo operador, assim originando numerosas oportunidades de falhas em encon- trar ou adequadamente recuperar uma KDM. Adicionalmente, a inconveniência simples gerada pela introdução de chaves de segurança cria um artefato não atualmente encontrado nos sistemas de projeção de filme, e pode resultar finalmente na incapacidade de exibir uma apresentação em uma hora deseja- da. Existe uma necessidade de superar esse inconveniente.

SUMÁRIO DA INVENÇÃO

Brevemente, de acordo com uma modalidade preferida dos presentes princípios, é provido um método para distribu- ição de chave em uma instalação de apresentação de cinema digital, que é um cinema de cinema digital, tendo uma plura- lidade de telas. 0 método começa recebendo, dentro da insta- lação de apresentação, pelo menos uma mensagem de distribui- ção de chave para decriptografar uma dada apresentação de cinema digital (por exemplo, um filme). Uma determinação é então feita se a dada apresentação de cinema digital a ser decriptografada por esse método de distribuição de chave tem uma hora de apresentação dentro de um intervalo de validade associada com a mensagem de distribuição da chave. Se afir- mativo, a mensagem de distribuição da chave é roteada dentro da instalação de apresentação para possibilitar a exibição da apresentação do cinema digital em uma tela pré- selecionada.

BREVE DESCRIÇÃO DOS DESENHOS

A figura 1 representa um diagrama de blocos de um sistema de cinema digital mostrando componentes para distri- buição da mensagem de distribuição de chave (KDM),

A figura 2 representa um fluxograma mostrando as etapas de um método para distribuição da KDM conduzido por um sistema de gerenciamento de cinema (TMS) dentro de um sistema de apresentação de cinema digital,

A figura 3 representa um fluxograma mostrando as etapas de um método para distribuição da KDM conduzido por um sistema de gerenciamento de tela (SMS) e

A figura 4 representa uma linha de tempo ilustran- do eventos significativos dentro da duração de uma KDM de acordo com os presentes princípios.

DESCRIÇÃO DETALHADA A presente invenção provê uma maneira efetiva para distribuir uma KDM gerada para um sistema de apresentação correspondente em um cinema.

A figura 1 mostra um sistema de distribuição da mensagem de distribuição de chave (KDM) 100 que aceita uma KDM de um gerador de mensagem de chave 110. O sistema de distribuição da KDM 100 compreende o distribuidor de mensa- gem de chave 120 que inclui um dispositivo de armazenamento 122, para distribuir uma ou mais KDMs via a Internet 130 pa- ra uma instalação de apresentação de cinema digital, repre- sentada na figura 1 como o cinema 140. Na eventualidade da incapacidade do gerenciador de distribuição de chave 120 su- prir uma KDM, um terminal remoto 180, conectado na Internet 130, poderia servir como uma cópia de segurança. Como discu- tido a seguir, o terminal remoto 180 inclui um dispositivo de armazenamento associado 190 para armazenar uma KDM de se- gurança.

A distribuição de uma KDM poderia ocorrer usando um satélite 176 para o enlace descendente para um receptor de satélite 174 dentro do cinema 140. (Um enlace ascendente correspondente existiria do distribuidor da mensagem de cha- ve 120 para o satélite 176, mas não aparece na figura 1.). A distribuição do satélite da KDM permanece menos preferida quando comparada com a distribuição através da Internet 130.

Dentro do cinema 140 existe pelo menos um bloco de midia seguro 160. Para as finalidades, o bloco de midia se- guro 160 compreende pelo menos um projetor de cinema digital e mecanismos associados para decriptografar e pelo menos temporariamente armazenar uma apresentação de cinema digi- tal. Tais mecanismos para criptografar e armazenar a apre- sentação do cinema digital poderiam existir dentro do pró- prio projetor ou como elementos separados. Dito de uma outra forma, o bloco de midia seguro 160 compreende componentes dentro de um sistema de cinema digital que serve para de- criptografar, armazenar e apresentar uma apresentação de ci- nema digital em uma tela especifica dentro do cinema 140. Assim, em um cinema de múltiplas telas, múltiplos blocos de midia seguros 160 existirão, um para cada tela. As várias descrições do bloco de midia seguro 160 não são planejadas para serem especificamente limitadoras, exceto quanto a cer- tas funções relacionadas com questões de segurança que devem ocorrer em porções especificas dos pedaços específicos de equipamento. Nenhuma descrição dentro dessa revelação deve ser interpretada como contradizendo uma exigência do docu- mento de especificação DCI.

De acordo com a especificação DCI, o bloco de mí- dia seguro 160 tem um certificado digital unicamente associ- ado provido por uma autoridade de certificado, um processo bem conhecido. Para criar uma KDM específica para o bloco de mídia seguro 160 para uma apresentação particular (uma Λcom- posição na especificação DCI), o gerador da mensagem de chave 110 exige uma cópia do certificado para o bloco de mí- dia seguro 160 e usa esse certificado para criptografar um conjunto de chaves e para também coletar essas chaves crip- tografadas.

Como discutido acima, o distribuidor de mensagem de chave 120 recebe uma KDM do gerador de mensagem de chave 110 para armazenamento em um dispositivo de armazenamento 122. De acordo com a especificação DCI, a própria KDM espe- cifica sua associação com o bloco de mídia seguro correspon- dente 160. Detalhes dessa associação podem aparecer em um banco de dados (não mostrado), ou em uma porção do nome do arquivo da KDM, ou podem aparecer na natureza da estrutura do diretório do dispositivo de armazenamento 122 armazenando a KDM. Um sistema de alto desempenho poderia escolher arma- zenar a KDM e sua associação em um banco de dados seguro (não mostrado). Em contraste, o sistema com pouco código ex- tra pode eleger armazenar a KDM correspondendo com o bloco de mídia seguro 160 em um diretório associado com esse bloco seguro. Um tal diretório constituiria um subdiretório de um diretório associado com o cinema 140.

De preferência, sistemas apropriados podem acessar uma KDM mantida pelo distribuidor de mensagem de chave 120 através de uma ou mais interfaces. Em uma ordem preferida sugerida pela eficiência e conveniência, os presentes prin- cípios prescrevem que uma seqüência de sistemas busca aces- sar a KDM e provê-la para o bloco de mídia seguro 160. Exis- te uma expectativa que o sucesso subseqüente pelos sistemas posteriores no preferido superará qualquer carência de su- cesso pelos sistemas anteriores na ordem preferida. Essa es- calação provê alta confiabilidade diante de" múltiplas falhas de equipamento e procedural.

Como indicado, o cinema 140 inclui pelo menos um bloco seguro de mídia 160. Para as finalidades dessa discus- são, o bloco de mídia seguro 160 incorpora presumivelmente a funcionalidade de um sistema de gerenciamento de tela, como discutido pela especificação DCI. Na eventualidade de múlti- plas telas, e, portanto, múltiplos blocos de mídia seguros 160, o cinema 140 poderia possuir um sistema de gerenciamen- to de cinema 150, para gerenciar cada bloco de mídia seguro 160. Dentro do cinema 140, uma rede local (LAN) interliga o sistema de gerenciamento do cinema 150 com cada bloco de mí- dia seguro 160 através do roteador da LAN 170. Esses dispo- sitivos têm acesso a uma rede remota (WAN), por exemplo, a Internet 130, através de uma interface da WAN 172. A inter- face da WAN 172 poderia compreender um modem de discagem configurado para chamar um provedor de serviço da Internet. De preferência, a interface da WAN 172 provê uma conexão de largura de banda maior, tal como um modem DSL ou modem a ca- bo. Se a interface da WAN 172 possui múltiplos modos de co- nectividade na WAN, a interface poderia fornecer prioridade para a conexão mais rápida, ou a conexão considerada mais segura.

Na prática, o cinema 140 recebe conteúdo cripto- grafado (por exemplo, uma ou mais apresentações de cinema digital) em um receptor de satélite 174 via um enlace des- cendente de um satélite 17 6. Embora o bloco de mídia seguro 160 possa receber o conteúdo criptografado diretamente do receptor de satélite 174, de preferência, o sistema de ge- renciamento do cinema 150, ou um servidor de ingestão sepa- rado (não mostrado), recebe o conteúdo criptografado para a acumulação e distribuição via o roteador da LAN 170. Para essa finalidade, o sistema de gerenciamento do cinema 150 inclui um dispositivo de armazenamento 152, tal como uma u- nidade de disco ou arranjo de unidades de disco, para arma- zenar o conteúdo subseqüentemente direcionado para o bloco de midia seguro apropriado 160. Alternativamente, o bloco de midia seguro 160 poderia recuperar o conteúdo criptografado no sistema de gerenciamento de cinema 150. Até tal momento quando o bloco de midia seguro 160 possui ambos o conteúdo criptografado e uma KDM correspondendo com esse conteúdo criptografado e com o próprio bloco de midia seguro, o con- teúdo criptografado permanecerá inacessível. Se o bloco de mídia seguro 160 falha em receber a KDM em modo adequado, o bloco de mídia seguro falhará em exibir a apresentação.

A distribuição da KDM e do conteúdo criptografado pode ocorrer em qualquer ordem. Em outras palavras, a dis- tribuição da KDM pode preceder a distribuição do conteúdo criptografado ou vice-versa. De preferência, o sistema de gerenciamento do cinema 150 tentará reunir a(s) KDM(s) do distribuidor de mensagem de chave 120 apropriada(s) para o(s) bloco(s) de mídia seguro (s) 160 dentro do cinema 140. Na modalidade ilustrada, o dispositivo de armazenamento 122 dentro do distribuidor de mensagem de chave possui uma dis- posição de diretório para armazenar uma KDM para um dado bloco de mídia seguro 160 em um dado cinema 140 em um subdi- retório especificamente alocado nesse bloco de mídia seguro. O subdiretório do bloco de mídia seguro reside como um sub- diretório especificamente alocado para o cinema 140.

Para obter a(s) KDM(s) requerida(s) para o seu ci- nema 140, o sistema de gerenciamento do cinema 150 iniciaria uma conexão do protocolo de transferência de arquivo (FTP) para o distribuidor de mensagem de chave 120 através do ro- teador da LAN 170, da interface da WAN 172 e da Internet 130. De preferência, o sistema de gerenciamento do cinema 150 conduzirá a sessão FTP em uma maneira segura sob um nome de usuário associado com o cinema 140. O diretório inicial para o nome do usuário associado com o cinema 140 correspon- derá com o subdiretório associado com esse cinema. Dessa ma- neira, o sistema de gerenciamento do cinema 150 pode obter acesso a um subdiretório contendo um subdiretório para cada bloco de mídia seguro 160, que por sua vez, contém a(s) KDM(s) correspondente(s) previamente gerada(s) e suprida(s) do gerador de mensagem de chave 110. O dispositivo de arma- zenamento 152 do sistema de gerenciamento do cinema 150 co- piará cada KDM assim encontrada via o FTP, tomando cuidado para evitar a duplicação ou sobreposição de qualquer KDM distinta previamente obtida como discutido abaixo.

De preferência, o sistema de gerenciamento do ci- nema 150 recupera automaticamente a(s) KDM(s) de acordo com um cronograma regular. Por exemplo, nos Estados Unidos, a liberação de novos filmes tende a ocorrer às sextas-feiras. Assim, o sistema de gerenciamento do cinema 150 dentro de um cinema dos EU poderia se conectar com o distribuidor de men- sagem de chave 120 toda terça-feira à noite para permitir tempo para que processos alternativos se empenhem no caso onde a recuperação programada não consiga obter uma KDM ne- cessária. A recuperação de uma KDM pelo sistema de gerencia- mento do cinema 150 pode também ocorrer manualmente. Por e- xemplo, se o gerente do cinema 140 tem uma conversação com um operador humano do distribuidor da mensagem de chave 120 indicando o desejo de obter uma KDM previamente ausente do armazenamento 122 no momento de recuperação programado, en- tão uma seqüência de recuperação manualmente iniciada encon- traria com sucesso a KDM previamente ausente. Depois de ob- ter a KDM necessária, o sistema de gerenciamento do cinema 150 poderia enviar essa KDM para o bloco de midia seguro correspondente 160. Alternativamente, uma mensagem do siste- ma de gerenciamento do cinema 150 indicando a disponibilida- de da KDM dispararia o bloco de midia seguro 160 para recu- perar a KDM do dispositivo de armazenamento 152. Ademais, o bloco de midia seguro 160 poderia buscar automaticamente a KDM, por exemplo, se esse bloco de midia seguro ainda não obteve a KDM para uma apresentação programada para ocorrer no futuro próximo.

No caso de uma falha do sistema de gerenciamento do cinema 150, o bloco de midia seguro 160, através do seu sistema de gerenciamento interno, poderia se comprometer a obter a KDM diretamente do distribuidor de chave 120. 0 blo- co de midia seguro 160 faria uma tal conexão usando as mes- mas credenciais especificas do cinema. Seguinte a uma tal conexão, a navegação subseqüente no arquivo levaria ao sub- diretório associado com o bloco de midia seguro 160 para possibilitar o acesso a cada KDM apropriada.

Na eventualidade de uma falha do sistema de geren- ciamento do cinema 150 em obter e distribuir a KDM, o bloco de mídia seguro 160 conectaria no distribuidor da mensagem de chave 120 automaticamente, e de acordo com um cronograma relacionado com uma necessidade pela KDM (isto é, uma apre- sentação programada pendente). Em um modo de falha mais se- vero, a interface da WAN 172 poderia passar por uma perda sustentada de serviço. Nesse caso, nem o sistema de gerenci- amento do cinema 150, nem o bloco de mídia seguro 160 pode- ria se conectar diretamente com o distribuidor da mensagem de chave 120. Sob tais circunstâncias, o sistema de gerenci- amento do cinema 150 poderia gerar um aviso (por exemplo, "0 distribuidor da mensagem de chave 120 ficou inacessível"). Alternativamente, ou além desse aviso, o bloco de mídia se- guro 160 poderia gerar também um aviso (por exemplo, "Nenhu- ma KDM existe para uma apresentação pendente"). O distribui- dor de mensagem de chave 120 poderia também gerar um aviso (por exemplo, "Uma KDM para o cinema 140 não foi recupera- da"). Tal(is) mensagem(ns) apareceria(m) para o gerente do cinema 140, o projetista responsável pelo bloco de mídia se- guro e projetor 160 e os operadores do distribuidor da men- sagem de chave 120, respectivamente.

Na eventualidade de uma falha da interface da WAN 172, o pessoal responsável pelo cinema 140 faria organiza- ções para obter a KDM através do terminal remoto 180 que po- deria compreender um computador pessoal ou outro tal sistema capaz de acessar a Internet 130, direta ou indiretamente, e transferir a informação dela. Por exemplo, o terminal remoto 180 poderia compreender o computador residencial do gerente do cinema 140. Sob tais circunstâncias, o distribuidor da mensagem de chave 120 poderia passar um e-mail da KDM atra- vés da Internet 130 (via servidores de correio ou semelhan- tes, não mostrados) para recuperação no terminal remoto 180.

O e-mail do distribuidor de mensagem de chave incluiria a KDM como um arquivo anexado ao e-mail. 0 operador do cinema poderia então salvar o arquivo da KDM anexado em uma midia removível 190. De preferência, a mídia removível 190 compre- ende um dispositivo de memória FLASH com uma interface USB.

Alternativamente, o distribuidor da mensagem de chave 120 poderia apresentar uma interface da rede. Usando um navegador da rede funcionando em um terminal remoto 180, o gerente do cinema ou outro funcionário autorizado repre- sentando o cinema 140 poderia se conectar na interface da rede, prover nome de usuário e credenciais de senha e obter o acesso de transferência para a KDM ainda não obtida. A KDM transferida seria salva na mídia removível 190. Embora o terminal remoto 180 possa compreender uma máquina proprietá- ria e/ou fazer uso de uma aplicação proprietária para obter uma KDM, de preferência, o terminal remoto 180 pode tomar a forma de qualquer computador pronto para a Internet facil- mente disponível tipicamente configurado. Em uma situação de pânico, tal como uma ameaça iminente de falha de uma apre- sentação, o gerente do cinema poderia recorrer a um café próximo com Internet para obter a KDM ausente vital.

No ramo final das trajetórias de distribuição re- dundantes da KDM, se o funcionário responsável pelo cinema 140 ainda não tiver tido sucesso na recuperação da KDM, o operador do distribuidor da mensagem de chave 120 pode manu- almente coletar uma KDM necessária pelo cinema 140, colocar essa KDM na midia removível como 190 e organizar a expedição dessa mídia removível para o cinema 140 para carregamento em tempo para a apresentação correspondente. 0 sistema de ge- renciamento do cinema 150 acessaria tal mídia removível em uma interface 200, que poderia compreender uma porta USB na eventualidade que a mídia removível compreenda uma memória FLASH. Caso a mídia removível compreenda um dispositivo de armazenamento magnético ou magneto-ótico, a interface 200 compreenderia uma leitora capaz de ler um tal dispositivo de armazenamento. Dessa maneira, o sistema de gerenciamento do cinema 150 pode detectar a presença da mídia removível e au- tomaticamente notar que uma KDM está presente. Alternativa- mente, um operador pode disparar manualmente o sistema de gerenciamento do cinema 150 para procurar uma KDM. Em qual- quer eventualidade, a KDM, quando recebida, passa pelo arma- zenamento no dispositivo de armazenamento 152 e distribuição subseqüente para o bloco de mídia seguro correspondente 160 como previamente descrito. Para garantir redundância adicio- nal, o bloco de mídia seguro 200 pode também possuir uma in- terface 210, similar à interface 200 associada com o sistema de gerenciamento do cinema 150, para possibilitar a busca e o carregamento de uma KDM, seguinte a um disparo automático ou manual.

Na modalidade ilustrada, os dispositivos de arma- zenamento 122 e 152 manterão hierarquias de subdiretório a- nálogas. De preferência, a mídia removível 190 replica essa hierarquia também. Dessa maneira, o método de execução de uma busca por uma KDM correspondendo com um bloco de midia seguro específico 160 permanece significativamente similar se o sistema de gerenciamento do cinema 150 procura uma mí- dia removível ou o dispositivo de armazenamento 122, ou se o bloco de mídia seguro 160 procura uma mídia removível, o dispositivo de armazenamento de gerenciamento do cinema 152 ou o dispositivo de armazenamento do distribuidor de chave 122.

A figura 2 representa na forma de fluxograma um processo 200 para a recuperação da KDM executada pelo siste- ma de gerenciamento do cinema 150 da figura 1. 0 método pode começar com a etapa 210 durante a qual o funcionário do ci- nema dispara manualmente a recuperação da chave. Tipicamen- te, a recuperação manual ocorre depois de anexar uma mídia removível (tal como a mídia removível 190) no sistema de ge- renciamento do cinema 150. A seguir, a etapa 212 ocorre du- rante a qual o sistema de gerenciamento do cinema 150 veri- fica a presença de qualquer mídia removível. Se o sistema de gerenciamento do cinema 150 da figura 1 encontra uma mídia removível e a mídia contém uma ou mais KDMs, o processo 200 continua na etapa 214. Sem a detecção de uma mídia removível ou que a mídia removível não contém quaisquer KDMs pertinen- tes, o processo de recuperação 200 continua na etapa 222.

Durante a etapa 214, a recuperação de cada KDM pertinente ocorre. A etapa 216 segue a etapa 214 durante a qual um processo de consolidação 250 ocorre como a sub- rotina descrita abaixo. A etapa 222 segue a etapa 212 na au- sência da descoberta de qualquer mídia recuperável ou se a mídia carece de uma KDM pertinente. Na operação comum, a e- tapa 222 seguirá a etapa 220 que dispara o processo de recu- peração 200 para funcionar periodicamente (por exemplo, uma vez por semana). O disparo programado que ocorre durante a etapa 220 não tenta encontrar ou examinar a mídia removível, mas de preferência leva para a etapa 222. Durante a etapa 222, o sistema de gerenciamento do cinema 150 tenta se co- nectar via a interface da WAN 172 e a Internet 130 da figura 1 no distribuidor da mensagem de chave 120 da figura 1. Com uma conexão bem-sucedida, o processo de recuperação 200 con- tinua na etapa 224, mas se a conexão falha, o processo de recuperação 200 continua na etapa 230.

Durante a etapa 224, a recuperação de cada KDM pertinente disponível do distribuidor da mensagem de chave 120 ocorre. Subseqüentemente, durante a etapa 226, a execu- ção do processo de consolidação 250 ocorre. Se qualquer KDM, coletada seguinte à execução do processo de consolidação 250 durante qualquer uma das etapas 216 ou 226 ou coletada pre- viamente, permanece não recuperada pelo bloco de mídia segu- ro correspondente 160 da figura 1, então durante a etapa 230, a sinalização do bloco de mídia seguro correspondente para recuperar qualquer KDM correspondente ocorrerá. Em uma modalidade alternativa da etapa 230, uma KDM não distribuída pode ser impelida para o bloco de mídia seguro corresponden- te 160 da figura 1.

O processo de consolidação 250 constitui uma sub- rotina que examina cada KDM encontrada para determinar se incorporar essa KDM na coleção existente. 0 processo de con- solidação 250 começa na etapa de partida 260 e a seguir en- tra em um laço na etapa 262 para examinar cada KDM recupera- da. Dentro desse laço, cada KDM recuperada primeiro é exami- nada para verificar a sua validade durante a etapa 264. Ao encontrar a KDM recuperada válida, então a etapa 268 segue para determinar se a KDM recuperada duplica uma KDM previa- mente recuperada. A detecção de uma KDM inválida durante a etapa 264 resulta na produção de pelo menos uma recepção de notificação de entrada de registro de uma KDM inválida (não mostrada) seguida pela etapa 266 durante a qual o descarte da mensagem de chave recuperada ocorre. Uma KDM duplicada detectada durante a etapa 268 não exigirá uma entrada de re- gistro, mas uma KDM duplicada também passa pelo descarte du- rante a etapa 266. Uma KDM encontrada válida durante a etapa 264 e não duplicada durante a etapa 268 passa pelo armazena- mento durante a etapa 270 antes de prosseguir para a etapa 272 para fazer uma determinação se qualquer KDM adicional precisa de exame. Se afirmativo, o processo prossegue para a etapa 262 como discutido acima. Se nenhuma KDM adicional e- xiste para exame, a sub-rotina de consolidação 250 termina na etapa 274, retornando para a rotina que a chamou.

Como indicado acima, sob circunstâncias ótimas, o processo de recuperação da chave 200 funciona uma vez por semana, automaticamente, de acordo com um cronograma come- çando na etapa 220, e recupera com sucesso uma KDM corres- pondendo com cada apresentação para o cinema 140 da figura 1 e cada bloco de mídia seguro 160 para o qual o sistema de gerenciamento do cinema 150 é responsável. Assim, se o cine- ma 140 tem quatro blocos de midia seguros 160 (isto é, qua- tro projetores de cinema digital) e o cinema 140 está pro- gramado para exibir três filmes na semana seguinte, o siste- ma de gerenciamento do cinema 150 transferirá uma KDM para cada uma das doze combinações possíveis de bloco de midia seguro & filme. Mesmo embora a proliferação das KDMs possa tornar o gerenciamento manual difícil, a técnica dos presen- tes princípios remove amplamente a necessidade do gerencia- mento manual, exceto em circunstâncias extremas.

A figura 3 representa na forma de fluxograma as etapas de um processo de recuperação de chave 300 executado pelo sistema de gerenciamento de tela compreendendo parte do bloco de mídia seguro 160. O processo de recuperação de cha- ve 300 tem muitas similaridades com o processo de recupera- ção de chave 200 da figura 2, mas é tomado da perspectiva de uma tela individual. Sob condições ótimas, tal como quando uma apresentação programada se torna iminente (uma medida de tempo discutida mais completamente com relação à figura 4), a hora para a apresentação se situará dentro de uma janela predeterminada, iniciando a etapa 350. Alternativamente, se uma apresentação é recentemente planejada para uma hora den- tro de um limite predeterminado, a etapa 350 ocorrerá imediatamente.

A etapa 352 segue a etapa 350 durante a qual uma verificação ocorre para determinar a presença de cada KDM necessária para a apresentação programada. Na ausência de uma KDM necessária para a apresentação programada, a execu- ção do processo ramifica para a etapa 318. De outra forma, com cada KDM necessária para uma apresentação programada já no bloco de midia seguro 160, então o processo de recupera- ção 300 termina na etapa 336.

Como indicado, a etapa 318 começará quando uma ne- cessidade existe de recuperar pelo menos uma KDM. Durante a etapa 318, o acesso ao armazenamento da KDM 152 dentro do sistema de gerenciamento do cinema 150 começa. Com o acesso bem-sucedido, e a existência da KDM apropriada dentro do dispositivo de armazenamento 152, então a etapa 320 começa- rá. De outra forma, se o acesso não foi bem sucedido ou o dispositivo de armazenamento 152 não contém a KDM pertinen- te, então o processo de recuperação 300 continua na etapa 324. Durante a etapa 320, a recuperação de cada KDM perti- nente ocorrerá. Subseqüentemente, a sub-rotina do processo de consolidação 250 passa pela execução quando chamada du- rante a etapa 322. Seguinte a etapa 322, ou na ausência da descoberta de uma KDM pertinente durante a etapa 318, o pro- cesso de recuperação 300 continua na etapa 324.

Durante a etapa 324, uma verificação ocorre quanto a se a execução atual do processo 300 resultou do disparo automático durante a etapa 350 e se cada KDM necessária para o desempenho programado já foi obtida. Se afirmativo, então o processo de recuperação da chave 300 prossegue para a eta- pa 336 e termina. Essa cadeia de eventos constitui o curso normal de operação. Se a iniciação do processo de recupera- ção da chave 300 ocorreu manualmente (discutido abaixo), ou na ausência de qualquer KDM necessária para uma exibição programada, então o processo ramifica para a etapa 326.

Em um modo de falha, tal como quando o sistema de gerenciamento do cinema 150 da figura 1 ficou sem conexão ou o dispositivo de armazenamento 152 foi corrompido, o sistema de gerenciamento de tela associado com o bloco de mídia se- guro 160 prosseguirá para a etapa 326 e tentará se conectar com o distribuidor da mensagem de chave 120 diretamente. Na ausência de uma conexão, ou na ausência de uma KDM disponí- vel, a execução do processo continua na etapa 332. Assumindo uma conexão bem-sucedida e a disponibilidade de pelo menos uma KDM pertinente, então a recuperação da KDM ocorre duran- te a etapa 328 seguindo pela execução da etapa 330 que dis- para a execução da sub-rotina de consolidação 250 da figura 2.

Seguinte à conclusão da etapa 330, a execução do processo ramifica para a etapa 332 durante a qual uma veri- ficação ocorre para determinar se uma KDM está ausente para uma apresentação de exibição pendente. Na ausência da KDM necessária, então um alarme é gerado durante a etapa 334 pa- ra notificar os funcionários no cinema 140 da figura 1, em particular, o gerente do cinema, o gerente de cabine e o projetista responsável pela tela associada com o bloco de mídia seguro 160 da figura 1, e preferivelmente o(s) opera- dor (es) do distribuidor da mensagem de chave 120 da figura 1.0 alarme pode tomar a forma de um ou mais alertas suspen- sos na tela, e-mails, páginas do serviço de mensagem curta (SMS), chamadas telefônicas de resposta de voz interativa (IVR) de longo curso, etc. Idealmente, tantos indivíduos responsáveis quanto possíveis devem receber o alarme para alertar pelo menos um deles da necessidade urgente para ado- tar ação corretiva em vista da falha de impedimento em apre- sentar a apresentação programada na hora de exibição programada.

0 processo 300 da figura 3 provê uma escalação na etapa 326 no processo de recuperação da KDM onde o bloco de mídia seguro 160 da figura 1 tenta contatar diretamente o distribuidor da mensagem de chave 120 da figura 1. A etapa 326 provê um mecanismo para tratar a situação urgente resul- tante da incapacidade de obter a KDM necessária através das etapas prévias no processo de recuperação. De preferência, embora não essencial para a técnica de gerenciamento da KDM dos presentes princípios, o sistema de gerenciamento do ci- nema 150 da figura 1 deve fazer conexões regulares freqüen- tes de modo que tempo de sobra precedente e oportunidades existem para novas tentativas posteriores. Tais conexões re- gulares feitas pelo sistema de gerenciamento do cinema 150 devem minimizar as circunstâncias onde cada bloco de mídia seguro 160 deve iniciar uma conexão externa com o distribui- dor da mensagem de chave 120 da figura 1. Os processos de recuperação 200 e 300 das figuras 2 e 3 atingem esse objetivo.

No cenário do pior caso, quando a comunicação de rede dentro do cinema 140 se torna indisponível, o que impe- diria que um sistema de gerenciamento de tela associado com o bloco de mídia seguro 160 contatasse o sistema de gerenci- amento do cinema 150 ou o distribuidor de mensagem de chave 120, o bloco de mídia seguro 160 deve ter a capacidade de aceitar uma KDM provida por um meio removível provido via a interface 210 da figura 1. O processo de recuperação 300 da figura 3 provê essa contingência começando com a iniciação de uma partida manual na etapa 310. 0 operador do bloco de mídia seguro 160 poderia explicitamente iniciar a partida manual pressionando um botão ou executando um tipo similar de atividade manual. A partida manual iniciada durante a e- tapa 310 poderia ocorrer implicitamente em resposta à detec- ção pelo bloco de mídia seguro 160 da nova inserção de uma mídia removível na interface 210. A etapa 312 segue a etapa de partida manual 310, por meio da qual o bloco de mídia se- guro 160 da figura 1 tenta acessar a mídia removível 190. Com um acesso bem-sucedido e a descoberta de pelo menos uma KDM pertinente, o processo 300 da figura 3 continua na etapa 314. De outra forma, o processo continua na etapa 318, dis- cutida acima.

Cada KDM pertinente encontrada em uma mídia remo- vível 190 passa pela transferência na interface 214 durante a etapa 314 e consolidação durante a etapa 316 via o proces- so de consolidação 250 da figura 2. 0 processo continua a seguir na etapa 318.

A figura 4 mostra uma linha do tempo 410 ilustran- do pontos significativos no ciclo de vida 400 de uma KDM de acordo com os presentes princípios. O evento 412 corresponde com a criação de uma KDM criada pelo gerador de mensagem de chave 110 da figura 1. A KDM (e a chave que ela inclui) e- xistirá durante o intervalo 422 que termina no evento 420 correspondendo com a exclusão da KDM. Sob algumas circuns- tâncias, o dono dos direitos do conteúdo protegido pela KDM (tipicamente, o estúdio) não deseja a KDM distribuída imedi- atamente com a criação (evento 412). De preferência, o dono dos direitos requererá um retardo para tornar a KDM acessí- vel até um certo momento posterior correspondendo com o e- vento 414. Tipicamente, a chave personificada na KDM perma- nece acessível durante um intervalo 424 que termina no even- to 418 correspondendo com a expiração da chave dentro da KDM. Observe que o intervalo 422 durante o qual a chave den- tro da KDM existe pode exceder o intervalo 424 durante o qual a chave na KDM permanece acessível. Embora a KDM exista até a exclusão (evento 428), a expiração da chave na KDM (e- vento 418) efetivamente impede o acesso da chave depois des- se momento.

Dentro do intervalo de tempo 422 durante o qual a KDM e sua chave personificada existem, outros eventos tipi- camente ocorrem. Por exemplo, o tempo de recuperação do ci- nema preferido (evento 430) ocorrerá. Da mesma forma, um tempo de recuperação urgente (evento 442) também ocorrerá durante o intervalo 422 algum tempo depois do evento 430.

A chave personificada com uma KDM se torna válida em um tempo prescrito (evento 415) e permanece válida duran- te o intervalo 426 que expira com o evento 418. Observe que o tempo no qual a chave dentro da KDM se torna válida (even- to 415) para permitir a decriptografia do conteúdo cripto- grafado ocorre algum tempo depois da criação da KDM (evento 412) e quando a KDM se torna acessível. Na modalidade ilus- trada, o evento 415 também ocorre depois do evento 442.

Na modalidade ilustrada da figura 4, manter duas hierarquias de arquivo paralelas serve para manter uma dife- rença entre a acessibilidade da chave dentro da KDM durante o intervalo 424 e a existência da chave na KDM durante o in- tervalo 422. A primeira hierarquia, que é projetada para no- vas chaves, porém não liberadas, é usada quando as chaves são entregues, em primeiro lugar, do gerador de mensagem de chave 110. Essa primeira hierarquia permanece inacessível para o cinema 14 0. Quando o dono dos direitos permite acesso à chave na KDM depois do evento 414, qualquer KDM afetada passa por um movimento da primeira hierarquia para a segunda hierarquia acessível. De preferência, a acessibilidade de uma KDM ocorre suficientemente antes do tempo de recuperação do cinema preferido (evento 430), em cujo momento o sistema de gerenciamento do cinema 150 é programado para iniciar o processo de recuperação da chave 200 na etapa 220 da figura 2. Qualquer execução anterior dos processos 200 e 300 falha- rá em recuperar uma KDM que não entrou no seu intervalo de acessibilidade 424.

Como provido na especificação DCI, cada KDM tem embutido dentro dela um par de datas, correspondendo com os eventos 416 e 418, respectivamente, na figura 4 entre os quais a KDM pode decriptografar uma apresentação de maneira permissível. O intervalo de validade 426 corre entre essas duas datas. Uma hora de exibição programada (evento 440) de- ve se situar dentro do intervalo de validade 426 a fim de que a apresentação se realize. O tempo de recuperação urgen- te (evento 442) deve ocorrer suficientemente antes da hora de exibição programada (evento 440) se a KDM necessária ain- da não foi obtida. O tempo de recuperação urgente (evento 442) disparará a execução do processo de recuperação da cha- ve 300 na etapa 350 da figura 3 se a KDM necessária ainda não foi obtida.

Se o processo de recuperação da chave 200 da figu- ra 2 falha em obter uma KDM necessária no tempo de recupera- ção preferido (evento 430), o sistema de gerenciamento do cinema 150 pode fazer uma tentativa secundária programando um tempo de nova tentativa (não mostrado) antes do tempo de recuperação urgente (evento 442). Essa abordagem constitui um curso preferível de ação quando, por exemplo, a interface da WAN 172, ou o distribuidor da mensagem de chave 120, fica indisponível no tempo de recuperação preferido (evento 430).

De preferência, o tempo de recuperação urgente (e- vento 442) deve ocorrer suficientemente antes da hora de e- xibição programada (evento 440), de modo que o pessoal do cinema tem tempo suficiente para responder aos alertas gera- dos durante a etapa 334 da figura 3 e obter a KDM requerida por dispositivo extraordinário, tal como esses previamente descritos com relação ao terminal remoto 180 da figura 1 ou por outros dispositivos. Sob esse aspecto, o distribuidor de mensagem de chave 120 da figura 1 deve possuir a capacidade de detectar a falha em recuperar uma KDM depois que ela se torna válida no evento 416. Tal detecção poderia ocorrer fa- zendo um registro no dispositivo de armazenamento 122 da fi- gura 1 sobre cada distribuição da KDM. Com a ocorrência do evento 416, se não existe registro da distribuição da KDM correspondente, então, o dispositivo de armazenamento 122 pode apropriadamente registrar a falha na recuperação da KDM, sugerindo que o cinema correspondente 140 não programou apropriadamente uma apresentação para uma KDM gerada, e po- deria estar em perigo de perder a hora de exibição da apre- sentação. Um tal alerta pref erivelmente vai para o mesmo pessoal que foi alertado durante a etapa 334 da figura 3.

Aqueles versados na técnica entenderão as muitas modalidades alternativas possíveis sugeridas aqui sem se a- fastar do ensinamento dos presentes princípios. Em particu- lar, variações dos protocolos específicos descritos no exem- plo acima poderiam ser utilizadas. Os protocolos poderiam ser selecionados que exigem mais ou menos segurança (por e- xemplo, VPN, SSL, credenciais dinâmicas, etc.) ou que usam representações básicas diferentes. Por exemplo, o distribui- dor de mensagem de chave 120 poderia implementar um serviço de banco de dados respondendo a uma consulta em parâmetros ao invés de implementar um serviço de arquivo remoto (tais como FTP, NFS, etc.). Ao invés de armazenar uma KDM como um arquivo discreto em um sistema de arquivo ou banco de dados, o gerador da mensagem de chave 110 poderia gerar uma KDM sob demanda trabalhando em harmonia com o distribuidor de mensa- gem de chave 120. Uma única transferência de um conjunto in- teiro de KDMs convenientemente para o cinema 140 poderia o- correr por vários modos (por exemplo, um arquivo .zip, ou uma cópia recursiva do subdiretório associado com o cinema 140).

Claims (15)

1. Método para a distribuição de chave em uma ins- talação de apresentação de cinema digital, CARACTERIZADO pe- lo fato de que compreende as etapas de: receber na instalação de apresentação do cinema digital pelo menos uma mensagem de distribuição de chave tendo uma chave para decriptografar uma apresentação de ci- nema digital, determinar se a apresentação do cinema digital tem uma hora de exibição programada dentro de um intervalo de validade associado com a chave para decriptografar essa a- presentação, e se afirmativo, rotear a mensagem de distribuição da chave dentro da instalação de apresentação para possibilitar a apresenta- ção da apresentação do cinema digital em uma tela pré- selecionada dentro da instalação de apresentação do cinema digital.

2. Método, de acordo com a reivindicação 1, CARACTERIZADO pelo fato de que a etapa de recepção também compreende a etapa de periodicamente acessar um armazenamen- to de mensagens de distribuição de chave para recuperar a pelo menos uma mensagem de distribuição de chave.

3. Método, de acordo com a reivindicação 2, CARACTERIZADO pelo fato de que também onde cada acesso peri- ódico ocorre antes da hora de exibição programada.

4. Método, de acordo com a reivindicação 2, CARACTERIZADO pelo fato de que também compreende a etapa de consolidar a pelo menos uma mensagem de distribuição de cha- ve recuperada com pelo menos uma mensagem de distribuição de chave previamente recuperada.

5. Método, de acordo com a reivindicação 4, CARACTERIZADO pelo fato de que a etapa de consolidação tam- bém compreende as etapas de: verificar a pelo menos uma mensagem de distribui- ção de chave quanto a validade, verificar a pelo menos uma mensagem de distribui- ção de chave quanto a duplicação com pelo menos uma mensagem de distribuição de chave previamente recuperada e reter a pelo menos uma mensagem de distribuição de chave quando válida e não duplicada.

6. Método, de acordo com a reivindicação 5, CARACTERIZADO pelo fato de que também compreende a etapa de descartar a pelo menos uma mensagem de distribuição de chave quando inválida ou duplicada.

7. Método, de acordo com a reivindicação 1, CARACTERIZADO pelo fato de que a etapa de recepção inclui a etapa de manualmente recuperar a pelo menos uma mensagem de distribuição de chave.

8. Método de gerenciamento de chave para uso por um sistema de apresentação de cinema digital, CARACTERIZADO pelo fato de que compreende as etapas de: determinar se uma hora de apresentação programada para uma apresentação de cinema digital se tornou iminente, e se afirmativo, verificar se o sistema de apresentação de cinema digital possui uma chave para decriptografar a apresentação do sistema digital, mas se não obter a chave para decriptografar a apresentação de cinema digital a partir de uma fonte disponível.

9. Método, de acordo com a reivindicação 8, CARACTERIZADO pelo fato de que a etapa de obter a chave tam- bém compreende a etapa de acessar um armazenamento de mensa- gens de distribuição de chave para recuperar pelo menos uma mensagem de distribuição de chave contendo a chave para de- criptograf ar a apresentação do cinema digital.

10. Método, de acordo com a reivindicação 9, CARACTERIZADO pelo fato de que também compreende a etapa de consolidar a pelo menos uma mensagem de distribuição de cha- ve recuperada com pelo menos uma mensagem de distribuição de chave previamente recuperada.

11. Método, de acordo com a reivindicação 10, CARACTERIZADO pelo fato de que a etapa de consolidação tam- bém compreende as etapas de: verificar a pelo menos uma mensagem de distribui- ção de chave quanto a validade, verificar a pelo menos uma mensagem de distribui- ção de chave quanto a duplicação com a pelo menos uma mensa- gem de distribuição de chave previamente recuperada e reter a pelo menos uma mensagem de distribuição de chave quando válida e não duplicada.

12. Método, de acordo com a reivindicação 11, CARACTERIZADO pelo fato de que também compreende a etapa de descartar a pelo menos uma mensagem de distribuição de chave quando inválida ou duplicada.

13. Método, de acordo com a reivindicação 8, CARACTERIZADO pelo fato de que a etapa de obter a chave tam- bém compreende a etapa de manualmente recuperar uma mensagem de distribuição de chave contendo a chave de uma midia remo- vivel.

14. Método, de acordo com a reivindicação 8, CARACTERIZADO pelo fato de que a etapa de obter a chave tam- bém compreende a etapa de manualmente recuperar uma mensagem de distribuição de chave de um terminal remoto.

15. Método, de acordo com a reivindicação 8, CARACTERIZADO pelo fato de que também compreende a etapa de gerar um alarme na eventualidade que a chave não possa ser obtida.