CN101529904B - 检测安全处理器的异常使用的方法 - Google Patents

Abstract

本发明涉及一种检测安全处理器的异常使用的方法，其中，由至少一个接收终端来调用所述安全处理器，以便对由至少一个运营商供应给所述接收终端的加扰的数字内容进行访问控制。该方法包括以下步骤：对在预设的观察时段T_obs期间的安全处理器的使用进行分析，基于所述分析，确定在所述观察时段T_obs期间，在每时间单位中的所述安全处理器的调用次数的平均值M_ECM，将所述平均值M_ECM与预设的阈值S_max进行比较，以及如果所述平均值M_ECM大于所述阈值S_max，则向所述终端应用严格性级别渐进增加的制裁。

Description

检测安全处理器的异常使用的方法

技术领域

本发明属于多媒体服务访问控制的领域，并且，更具体地涉及用于检测安全处理器的异常使用的方法，其中，由至少一个接收终端来调用该安全处理器，以便对加扰的数字内容进行访问控制，其中，该加扰的数字内容是由至少一个运营商向所述接收终端提供的。

本发明还涉及安全处理器，其用于对加扰的数字内容进行访问控制，其中，该加扰的数字内容是由至少一个运营商向至少一个接收终端提供的。

本发明的适用性与支持网络的类型或内容的类型(电视直播、视频点播VOD、个人视频录像机(PVR))无关。

背景技术

采用了访问控制的接收系统的两种非法使用是已知的。第一种非法使用的目的是通过向被用在接收机中的访问控制处理器呈现句法上错误的消息(例如，该消息具有错误的签名，或者不完整，或包括非法的命令字符串)，来对该被用在接收机中的访问控制处理器的操作进行欺骗性地分析，第二种使用旨在对接收系统的有条件的访问资源进行非正常授权的使用。所述第二种使用可通过以下方式来实现：共享该接收系统，尤其是共享其安全处理器(典型地为卡共享)，或者共享或重新分配控制字(CW共享)。

更特别地，在对接收系统资源进行共享使用的情况中，多个终端经由双向通信网络、通过向其安全处理器呈现句法上正确但在数量或多样性上过多的消息来调用所述其安全处理器。

本发明的目的是阻止上述各种形式的欺骗行为。

本发明具有当安全处理器和终端之间的接口未被保护时的特别的但非排他的应用。

文献EP 1447976A1描述了用于防止安全处理器被多个终端共享的方法。

该方法包括：测量分离两个连续的授权控制消息(ECM)的表示的时间，以及验证如此观测到的消息处理时间是否遵从了预设的速率模式。

该方法不允许ECM消息处理串中有任何干扰，这是因为事实上对安全处理器呈现ECM消息这一操作尤其取决于：

——如何来对将这些ECM消息附加到节目的操作进行组织，其取决于对节目的访问是否取决于一个总体访问条件，或取决于针对各个视频、音频或其它内容的多个访问条件，

——解码器所提供的用于处理单个节目或同时处理多个节目的能力(如同可允许记录一个节目的同时观看另一个节目的多调谐器接收机的情况)，

——用户的习惯(用户通过反复地“转换频道(zapping)”造成了稳定的ECM消息处理串中的中断)。

本发明的另一个目的是克服上述现有技术的缺点。

发明内容

本发明介绍了一种方法，用于使得安全处理器能够检测超出正常授权使用范围的不合法地使用所述安全处理器的情况。

该方法包括以下步骤：

——对在预设的观察时段T_obs期间的安全处理器的使用进行分析，

——基于所述分析，确定在所述观察时段T_obs期间，在每时间单位中的所述安全处理器的调用次数的平均值M_ECM，

——将所述平均值M_ECM与预设的阈值S_max进行比较，以及

——如果所述平均值M_ECM大于所述阈值S_max，则向所述终端应用严格性级别渐进增加的制裁，其中，在所述观察时段T_obs期间，在所述安全处理器的活动时段T_Act期间确定所述平均值M_ECM，所述活动时段T_Act是通过累积由所述安全处理器的不活动的最小时段T_InaMin所分隔的多个连续的活动时段来建立的。

鉴于比较步骤使用了每个时间单位中调用次数的平均值M_ECM，本发明的方法本质上是统计学意义的，并且不会在所处理的节目的时间结构中被本地化干扰伪造和被用户行为的改变伪造。

活动时段表示累积时隙，在该时隙期间，会以连续的时间跨度调用安全处理器。必须具有最小时段T_ActMin，以便确保可得到分析的重要特征。关于该最小时段，是指将安全处理器的偶尔重要的、正常和合法的使用检测为安全处理器的不适当使用的风险降低。

在本发明的方法的一个特定的实施例中，每次对安全处理器的调用包括向其呈现与加扰的内容有关的ECM访问控制消息，并且包括携带控制字CW和至少一个访问条件的描述。

在此情况中，对安全处理器的使用的分析包括以下步骤：

——确定在所述活动时段T_act期间由所述安全处理器所处理的ECM消息的数量N_Ecm，

——计算平均值M_ECM＝N_Ecm/T_Act，

——比较所述平均值M_ECM和所述阈值S_max，

——如果所述平均值M_ECM大于所述阈值S_max，则应用所述制裁。

在此实施例中，对安全处理器的使用的分析包括以下操作：

在当前日期t_c，

——如果日期t_c-T_Diff小于ECM消息的分配日期t，，则确定具有与所述当前日期t_c处于同一时期的(contemporary)分配日期的ECM消息，并将所述ECM消息呈现给所述安全处理器，以用于内容的第一次使用；否则，则确定具有分配日期先前于所述当前日期t_c的ECM消息，并将所述ECM消息呈现给所述安全处理器，以用于对内容进行重新使用，其中，T_Diff表示先前指定的分隔所述日期t和所述日期t_c的最小延时。

在一个实施例变型中，对成功处理的处在同一时期的ECM消息的数量N_ECM进行计数包括以下操作：

——将所述日期t与所述日期t_c-T_Diff进行比较，

——如果所述日期t_c-T_Diff小于所述日期t，则增加所述数量N_ECM，否则，将所述数量N_ECM维持在当前值，

——如果所述日期t在所述日期t_c和日期t_c+T_InaMin之间，则将活动时段T_Act增加值t-t_c，否则，将所述活动时段T_Act维持在当前值。

根据本发明另一个优势特征，根据以下步骤来渐进地应用所述制裁：

——首先，以严格性级别n_i应用所述制裁预设的次数R_i次，

——其次，以下一个严格性级别n_i+1应用所述制裁预设的次数R_i+1次，

——最后，当达到最后的级别n_imax时，应用最大制裁。

在变化实施例中，所述制裁包括第一级别、第二级别和第三级别，所述第一级别包括临时对内容接收进行阻止，所述第二级别包括对内容接收进行阻止，并需要联系所述运营商来供应所述内容，以及所述第三级别包括永久地阻止所述内容的接收。

优选地，通过在所述安全处理器中内建的软件来分析安全处理器的使用。

为此，后者包括：

——第一模块，用于对在预设的观察时段T_obs期间的所述安全处理器的使用进行分析，

——第二模块，用于基于所述分析，确定在所述观察时段T_Obs期间、在每时间单位中的所述安全处理器的调用次数的平均值M_ECM，并且用于将所述平均值M_ECM与预设的阈值S_max进行比较，以及

——第三模块，用于在所述平均值M_ECM大于所述阈值S_max的情况下，向所述终端应用严格性级别渐进增加的制裁，其中，在所述观察时段T_obs期间，在所述安全处理器的活动时段T_Act期间确定所述平均值M_ECM，所述活动时段T_Act是通过累积由所述安全处理器的不活动的最小时段T_InaMin所分隔的多个连续的活动时段来建立的。

附图说明

参考附图，通过作为非限制性实例的以下描述，本发明的其他特征和优点将会变得显而易见，在附图中：

——图1概略地示出在观察时段T_obs期间、在每时间单位中的所述安全处理器的调用次数的平均值的计数的流程图；

——图2概略地示出了根据本发明进行分析和制裁的步骤。

具体实施方式

将会在由条件访问系统(CAS)所保护的视听节目的运营商所进行的分配的上下文环境中描述本发明。意在将这些节目提供给多个订户终端，其中，每个订户终端都装备有安全处理器，通常是芯片卡。

在此上下文环境中，有运营商通过以下方式来控制对加扰的节目的访问：使内容的访问以“终端拥有控制字CW”为条件，以及使内容的访问以“商业授权是可用的”为条件。为此，运营商把访问条件附加到内容上，订户必须满足该接收条件才能访问所述内容。控制字CW和访问条件的描述被经由特定的授权控制消息(ECM)传输给订户终端。在每个终端中，向安全处理器呈现ECM消息，以便检查这些ECM消息的安全性。当安全处理器已检查过这些消息的有效性时，将这些消息所携带的访问条件与被存放在安全处理器的非易失性存储器中的访问资格进行比较。在其本身已知的某种方式中，终端经由授权管理消息(EMM)预先接收了这些访问资格。如果访问条件满足了这些访问资格中的一个，那么，安全处理器会通过解密来获得控制字CW并且将其提供给终端，由此来使得内容解扰。在其本身已知的某种方式中，ECM和EMM消息由加密方法来进行保护，利用了算法和密钥来确保所述消息的完整性、其可信性，以及其可能携带的敏感数据的机密性，并且，特定的安全EMM管理消息特别地对所述密钥进行更新。

根据依照上下文环境所选择的变量策略，习惯上以或大或小的频率修改控制字的随机值。例如，在常规的方式中，在广播电视或极端的情况下，可以针对由订户个人定制的每部只通过视频点播方式提供的影片，每十秒对控制字进行一次修改。

在此上下文环境中，实现本方法的目的是使安全处理器能够检测任何不适当的使用(安全处理器可能已被投入该使用)并且对其做出反应。这里所考虑的使用是对内容访问进行控制，因此，其是通过由安全处理器对ECM消息进行处理来表示的。

为了检测不适当的使用，对表示安全处理器的使用的参数进行统计学上的测量，并且，将该参数与预设的表示所述安全处理器的正常使用的阈值做比较。

对安全处理器的使用进行测量包括：分析在预设的观察时段T_obs期间对该安全处理器的调用，然后，以所述分析为基础，确定在所述观察时段T_obs期间每时间单位的调用次数的平均值M_ECM。

将所述平均值M_ECM与预设的阈值S_max做比较可使得安全处理器的任何不适当使用在所考虑的观察时段T_obs中被检测出来。

通过在重要的观察时段中检查用户的平均行为来确立阈值S_max。

为了由最终用户来覆盖接收终端的至少一个特征使用周期，在所述观察时段T_obs期间，指定安全处理器活动的时段，该时段表示一个时隙，在该时隙期间，会在连续的时间跨度内调用后者，而与是否合法无关。还指定了活动的最小时段T_ActMin，该时段表示由活动时段所获得的时段，以便确保在活动时段期间安全处理器的使用的分析的重要的特征。关于该最小时段，是指可将检测到卡的不适当使用的风险降到最低，尽管该卡总的来说都是正常的，但这种不适当使用有的时候是重要的。的确，通常在大量地“转换频道”的情况中，正常使用会呈现出临时的调用尖峰，这与在不适当使用的上下文环境中的卡调用的情况类似。

还指定了不活动的最小时段T_InaMin，该时段代表了自上一个对ECM消息的成功处理之后已流逝的时间，并且认为在那之后先前的活动时段就结束了。

此外，将当前日期(date)与旧的ECM消息日期相分离的最小时段以参数T_Diff表示，以便在与上一个对ECM消息进行的成功处理相对应的当前日期t_c来确定以下两种消息：一方面，与所述当前日期t_c处在同一时期的ECM消息，该消息被呈现给安全处理器，以进行内容的第一使用，另一方面，与日期t_c相关的旧ECM消息，该消息被呈现给安全处理器，以进行内容的重新使用，并且考虑：如果该ECM消息的日期比t_c提前了大于或等于T_Diff的时段，那么将ECM消息呈现给安全处理器，以进行内容的重新使用。

应当注意：ECM消息的分配日期可以由其本身已知的不同的技术方案来确定。例如，可由ECM消息生成器(ECM-G)将访问条件和控制字存入该ECM消息中，并且，当该ECM消息被处理时，由安全处理器来进行提取。

将在下文中参考图1和图2描述本发明中的一些处理步骤。

图1示出了对ECM消息的数量N_Ecm进行计数(该ECM消息是由安全处理器在活动时段T_Act期间来进行处理的)以及对所述活动时段T_act进行准同步测量的步骤。

参考图1，在始于时刻t₀的观察时段T_obs期间的当前日期tc，安全处理器接收具有分配日期t的消息ECM_t(步骤10)。

在步骤12中，安全处理器对消息ECM_t的句法、可信性和完整性进行分析，然后，确定其日期t和访问标准。

在步骤14中，安全处理器对访问标准的有效性以及消息的可信性和完整性进行验证。

如果后者不满足或者消息不是可信的或完整的，那么，安全处理器会分析下一个ECM消息(箭头16)。

如果满足了接收标准(箭头18)，那么，安全处理器会对消息ECM_t进行处理，并且在步骤20中将消息ECM_t的日期t与日期t_c-T_diff进行比较，以便确定消息ECM_t是针对内容的第一使用还是针对在其被记录之后的重新使用而被呈现的。

如果t_c-T_diff小于t，换句话说，如果消息ECM_t是有关于加扰的节目的第一使用的，那么，安全处理器会在步骤22中增加由一个单元所处理的ECM消息的数量。

如果消息ECM_t的日期t是在日期t_c和t_c+T_InaMin之间(步骤24)，那么，安全处理器会断定：先前的活动时段还没结束，在步骤26中，会将活动的当前时段T_Act的持续时间增加持续日期t-t_c。

因此，确定活动时段T_Act，并且由安全处理器所处理的ECM消息的数量N_Ecm被计数直到观察时段T_obs结束为止。

图2概略地示出了根据本发明对安全处理器的使用和制裁进行分析的步骤。

在步骤30中，安全处理器对关系M_ECM＝M_ECM/T_act进行计算，其中，M_Ecm表示了所计数的ECM消息的数量，并且，T_Act表示了在观察时段T_obs期间的活动时段的总持续时间。

在步骤32中，安全处理器检查T_Act是否大于或等于预设的持续时间T_ActMin。此步骤的目的是检查活动时段T_Act足以确保分析的重要的特征。

如果T_Act小于T_ActMin，那么，安全处理器在步骤54中对包含在消息ECM_t中的控制字进行解密，然后在步骤34中检查观察时段T_obs是否结束。

倘若出现肯定的答复，那么安全处理器会将值N_Ecm、T_act和t₀重新初始化(步骤36)。

倘若出现否定的答复，那么所述值不会被重新初始化。

在这两种情况中，过程继续进行到步骤38，该步骤包括检查消息ECM_t的日期t是否在当前日期t_c之后。

如果是，则将日期t赋给为当前日期t_c。

过程从计数步骤10(图1)继续进行。

如果T_Act大于或等于T_ActMin，那么，安全处理器检查(步骤50)所计算的平均值M_ECM是否大于阈值S_max。

如果是，则应用制裁，并且制裁的数量n和/或所应用的制裁的水平被增加(步骤52)，并且，值N_ECM、T_Act、t₀被重新初始化(步骤53)。

否则，控制字CW被解密并且被传输给终端，以使得内容能够被解扰(步骤54)。

然后，过程继续进行到步骤34，其包括检查持续时间(t-t₀)是否大于观察时段的持续时间T_Obs。

倘若出现肯定的答复，那么安全处理器会将值N_Ecm、T_act和t₀重新初始化(步骤36)。

倘若出现否定的答复，那么这些值不会被重新初始化。

在这两种情况中，过程继续进行到步骤38，该步骤包括检查消息ECM_t的日期t是否在当前日期t_c之后。

如果消息ECM_t的分配日期t在日期t_c之后，那么，在步骤40中，将日期t赋给当前日期t_c，并且，过程从计数步骤10(图1)继续进行。

在步骤52中，制裁管理包括增加制裁的数量n和/或制裁级别。该制裁管理是本发明的特征。给定本方法基于以下将要描述的现有建模来对安全处理器的调用进行统计学分析，指定单个制裁并且一旦检测到不适当的使用就立即应用制裁是过度的，并可能会使得本发明最终无效。为了从通过统计学分析所带来的对不适当的处理器使用的检测的渐进性中获益，最合适的制裁管理以及因此该方法中所固有的特征是渐进性管理。所述管理定义了多个增加严格性和被按阶段渐进地进行应用的制裁级别。

例如，初始检测到对安全处理器的不适当使用通过阻止对内容访问的解扰来中断内容访问。当由于确认不适当使用而重复进行了特定次数的这种低严格性制裁时，应用另一个平均的严格性制裁，其包括临时阻止终端，这就需要用户联系他的运营商来对终端进行解阻止。当该第二制裁被应用特定次数的时候，如果不适当的使用还持续，则应用高严格性的最终制裁，其包括了永久地禁用安全处理器。

上述处理使用了参数，所述该参数在EEPROM类型(电可擦除可编程只读存储器)的安全处理器存储器中被频繁地更新，以便确保在发生安全处理器电源供应中断的情况下分析的连续性。

事实上，此类型的存储器支持有限次数的写操作。因此，为了弥补这一技术上的限制，最常被计算所调用的参数N_ECM、t_c和T_Act被存储在非永久存储器(RAM)中并且被定期地存入EEPROM存储器中。

为此，指定了以下的新参数：

——自从参数N_ECM、t_c和T_Act最后一次被传输进EEPROM存储器之后，ECM消息被成功地处理的数量N_buf。

——表示对EEPROM存储器中的参数N_ECM、t_c和T_Act进行更新的数量N_Buf的最大阈值的数量N_max。

之后，通过以下方式来对参数N_ECM、t_c和T_Act进行管理：

当安全处理器被供电，或者安全处理器的使用分析被激活时，参数N_ECM、t_c和T_Act被创建，并且如果这些参数先前还没被存入EEPROM存储器中，则将这些参数以其初始值存入。

在安全处理器被供电之后，或者当激活了所述安全处理器的使用的分析时：

——参数N_ECM、t_c和T_Act被载入RAM存储器

——这些参数的任何实现都在RAM存储器中进行

——如果N_Buf＞N_max，则它们的值被在EEPROM存储器中额外地更新。

这样，每当在时段T_obs期间所成功处理的ECM消息的数量增加了预设的阈值N_max时，参数N_ECM、t_c、和T_Act就被传输到EEPROM存储器中。

应当注意到：如果值N_ECM、t_c、和T_Act是已知的，有恶意的运营商就可以通过定期地使安全处理器下电来使本方法无效。之后，所存储的值丢失，这阻止了安全处理器的使用被分析，并且由此使得骗子可以将其共享而完全免受惩罚。

为了防止本方法以这样的方法被不合法地规避，一种解决方案是将阈值N_max的新的较低值下载到安全处理器。另一个解决方案包括：在每次关闭电源之后，分别增加T_Act和N_ECM以及T_Act，ini(校正的活动时间)和N_ECM，ini(校正的被成功处理的ECM消息的数量)的值。

这相当于调低了阈值N_max。

在优选的实施例中，运营商可以通过发送EMM消息来对分析的参数化(parameterisation)和激活进行编程。

该参数化还可以在卡定制阶段被实现。

其包括：

——从给定列表中选择每个平均和高严格性级别的制裁；

——设置低和平均严格性的制裁的重复次数。

另外，所述EMM消息携带以下参数中的至少一个：

——观察时段的持续时间T_obs，

——活动的最小时段T_ActMin，

——延时T_Diff，

——非活动的最小时段T_InaMin，

——阈值S_max，

——阈值N_buf。

这些参数通过与方法的实现有关的以下参数来进行补充：

N_max：表示为多个ECM消息的存储阈值，

T_Act，ini：对以秒表示的活动时间的校正，

N_ECM，ini：对成功处理的ECM消息的数量的校正，

T_SFA：以秒表示的在低严格性级别制裁条件下的不处理ECM的持续时间，

R_SFA：低严格性级别制裁的重复次数，

R_SMO：平均严格性级别制裁的重复次数。

以下描述通过对安全处理器的正常使用进行建模产生的这种参数化的例子。

考虑如下情形，用户的行为在一周中的每一天是不同的，但是从一周到下一周是重复的。

此外，该分析基于以下假设的：

——转换频道的假设：每次转换频道时的一个额外的ECM消息，

——低级别的转换频道：每小时20个额外的ECM消息，即每三分钟一个，

——中级别的转换频道：每小时60个额外的ECM消息，即每分钟一个，

——正常的转换频道：每小时120个额外的ECM消息，即每30秒一个，

——过量的转换频道：每小时1000个额外的ECM消息，即每3秒一个。

在将描述的实施例的示例中，在7天的观察时段中对分析进行测试，然后是15天的观察时段。在节目包括多个加扰的部分的情况下，只有主要ECM路径(例如与视频有关)被计数。

之后，设置以下值：

——最小非活动时间：15秒

——向后延时：5分钟，

——加密时段：10秒

——在接收系统中的调谐器的数量被限制到2，使得能够同时访问两个内容，一个直接显示，另一个记录在终端的大型存储装置上。

——观察时段：7到14天，

基于上述假设和已知的使用，已经绘示了接收系统的合法使用和不合法使用的多个概况。为了能够区别这两类使用概况，建模使得参数T_Obs、T_ActMin和S_Max的以下值被确定：

——观察时段T_Obs是14天，即1209600秒。

——每秒调用0.22个ECM使得能够进行区分，这需要安全的余量，该安全的余量使得具有一个或两个调谐器的接收系统的合法用户的行为可以有广泛的行动自由。最大合法调用S_Max被设置为该值。

——最小活动时间T_ActMin被设置为30小时，即108000秒。

本发明的方法通过安全处理器来实现，包括：

——第一模块，用于在预设的观察时段T_obs期间对其使用进行分析，

——第二模块，用于基于所述分析，确定在所述观察时段T_Obs期间、在所述安全处理器的每时间单位中的调用次数的平均值M_ECM，并且用于将所述平均值M_ECM与预设的阈值S_max进行比较，以及

——第三模块，用于在所述平均值M_ECM大于所述阈值S_max的情况下，向所述终端应用严格性级别渐进增加的制裁。

本安全处理器利用的软件包括：

——用于分析在预设的观察时段T_Obs期间的所述终端对所述芯片卡的使用的指令，

——用于基于所述分析，确定在所述观察时段T_Obs期间，所述终端在每时间单位中对所述芯片卡的调用次数的平均值M_ECM，并且用于将所述平均值M_ECM与预设的阈值S_max进行比较的指令，

——用于在所述平均值M_ECM大于所述阈值S_max的情况下，向所述终端应用严格性级别渐进增加的制裁的指令。

已在以下状况中描述了本方法：进行计数和分析的ECM是成功处理的ECM(即被识别为句法上正确的、可信的、完整的和满足特别授权的ECM)，从而允许对内容进行访问。作为替代，本方法还可通过考虑被安全处理器认为是错误的(特别是在句法、可信性和/或完整性上是错误的)ECM来实现。这样，就可以将通过故意地反复呈现不正确的ECM来进行的暴力攻击的方式有效地集成到对不适当处理器使用的分析中。在这种情况中，不执行图中的步骤14，图1中的方法继续进行步骤20。

Claims (12)

1.一种检测安全处理器的异常使用的方法，其中，由至少一个接收终端来调用所述安全处理器，以便对由至少一个运营商供应给所述接收终端的加扰的数字内容进行访问控制，所述方法的特征在于包括以下步骤：

——对在预设的观察时段T_obs期间的安全处理器的使用进行分析，

——基于所述分析，确定在所述观察时段T_obs期间，在每时间单位中的所述安全处理器的调用次数的平均值M_ECM，

——将所述平均值M_ECM与预设的阈值S_max进行比较，以及

——如果所述平均值M_ECM大于所述阈值S_max，则向所述终端应用严格性级别渐进增加的制裁，

其中，在所述观察时段T_obs期间，在所述安全处理器的活动时段T_Act期间确定所述平均值M_ECM，所述活动时段T_Act是通过累积由所述安全处理器的不活动的最小时段T_InaMin所分隔的多个连续的活动时段来建立的。

2.根据权利要求1所述的方法，其特征在于，对所述安全处理器的每次调用包括：向其呈现与加扰的内容有关的ECM访问控制消息，并且携带控制字CW和至少一个访问条件的描述，以便向所述终端供应所述控制字以用于对所述内容进行解扰，

并且，对安全处理器的使用的分析包括以下步骤：

——确定在所述活动时段T_Act期间由所述安全处理器所处理的ECM消息的数量N_Ecm，

——计算平均值M_ECM＝N_Ecm/T_Act，

——比较所述平均值M_ECM和所述阈值S_max，

——如果M_ECM大于S_max，则应用所述制裁。

3.根据权利要求2所述的方法，其中，通过在所述安全处理器中内建的软件来分析安全处理器的使用。

4.根据权利要求1所述的方法，其中，根据以下步骤来渐进地应用所述制裁：

——首先，以严格性级别n_i将所述制裁应用预设的次数R_i次，

——其次，以下一个严格性级别n_i+1将所述制裁应用预设的次数R_i+1次，

——最后，当达到最后的级别n_imax时，应用最大制裁。

5.根据权利要求4所述的方法，其中，所述制裁包括第一级别、第二级别和第三级别，所述第一级别包括临时对内容接收进行阻止，所述第二级别包括对内容接收进行阻止，并需要联系供应所述内容的所述运营商，以及所述第三级别包括永久地阻止所述内容的接收。

6.根据权利要求2所述的方法，其中，对所述安全处理器的使用的分析包括以下操作：

在当前日期t_c，

——如果日期t_c-T_Diff小于ECM消息的分配日期t，则确定具有与所述当前日期t_c处于同一时期的分配日期的ECM消息，所述ECM消息被呈现给所述安全处理器，以用于内容的第一次使用；否则，则确定具有先前于所述当前日期t_c的分配日期的ECM消息，所述ECM消息被呈现给所述安全处理器，以用于对内容进行重新使用，

其中T_Diff表示先前指定的分隔所述日期t和所述日期t_c的最小延时。

7.根据权利要求6所述的方法，其中，在所述日期t_c，对成功处理的处在同一时期的ECM消息的数量N_ECM进行计数包括以下操作：

——将所述日期t与所述日期t_c-T_Diff进行比较，

——如果所述日期t_c-T_Diff小于所述日期t，则增加所述数量N_ECM，否则，将所述数量N_ECM维持在当前值，

——如果所述日期t在所述日期t_c和日期t_c+T_InaMin之间，则将活动时段T_Act增加值t-t_c，否则，将所述活动时段T_Act维持在当前值。

8.根据权利要求6所述的方法，其中，在开始于时刻t₀的观察时段期间，对安全处理器的使用的分析包括以下操作：

——计算平均值M_ECM＝N_ECM/T_Act，

——检查T_Act是否大于或等于活动的最小时段T_ActMin以及M_ECM是否大于S_max，

如果是，

——应用所述制裁，

——增加所应用的所述制裁的数量n和/或制裁的级别，

——重新初始化N_ECM、T_Act和t₀的值，

否则，

——对所述控制字CW进行解密，

—如果持续时间t-t₀大于所述观察时段T_Obs，

——则重新初始化N_ECM、T_Act和t₀的值，

—如果所述日期t大于所述日期t_c，

——则用所述日期t替代所述日期t_c。

9.根据权利要求8所述的方法，其中，当在所述时段T_Obs期间成功处理的ECM消息的数量已经增加了预设的阈值N_max时，将所述参数N_ECM、t_c和T_Act传输到EEPROM存储器中。

10.根据权利要求6所述的方法，其中，可由运营商通过发送EMM消息来对分析的参数化和激活进行编程。

11.根据权利要求10所述的方法，其中，所述EMM消息携带以下参数中的至少一个：

——预设的观察时段T_Obs，

——活动的最小时段T_ActMin，

——所述延时T_Diff，

——不活动的最小时段T_InaMin，

——所述阈值S_max。

12.一种安全处理器，其用于对由至少一个运营商供应给至少一个接收终端的加扰的数字内容进行访问控制，所述安全处理器的特征在于包括：

——第一模块，用于对在预设的观察时段T_obs期间的所述安全处理器的使用进行分析，

——第二模块，用于基于所述分析，确定在所述观察时段T_Obs期间、在每时间单位中的所述安全处理器的调用次数的平均值M_ECM，并且用于将所述平均值M_ECM与预设的阈值S_max进行比较，以及

——第三模块，用于在所述平均值M_ECM大于所述阈值S_max的情况下，向所述终端应用严格性级别渐进增加的制裁，

其中，在所述观察时段T_obs期间，在所述安全处理器的活动时段T_Act期间确定所述平均值M_ECM，所述活动时段T_Act是通过累积由所述安全处理器的不活动的最小时段T_InaMin所分隔的多个连续的活动时段来建立的。

Images