CN1192620C - 供加密广播信号的接收器使用的智能卡以及接收器 - Google Patents

Abstract

一种用在加密的广播信号的接收器上的智能卡，包括一个用于控制所述信号解密的微处理器。一个存储器，连接在该微处理器上。该微处理器适于借助在存储器上动态生成的区域控制来自这种信号的各广播提供商的多个这种信号的单独解密，该动态生成的区域用于存储与所述各广播提供商有关的解密数据。

Description

供加密广播信号的接收器使用 的智能卡以及接收器

技术领域

本发明涉及在广播和接收系统供加密广播信号使用的智能卡，和用于接收广播信号并将其解密的接收器/解码器，用于广播加密信号的装置和方法。

背景技术

具体但不排它地说，本发明涉及到大众传播的广播系统，它具有某些或全部下列最佳特征：

*是一种信息广播系统，最好是一种无线电广播和/或电视广播系统；

*是一种卫星系统(尽管可应用于有线或地面传输)；

*是一种最好是使用MPEG、更好是使用MPEG-2的数字系统，是用于数据/信号传输的压缩系统；

*能提供交互。

此处所用的“智能卡”是指广义的，并包括(并不排它)许多以微处理器作支持的卡片或具有类似功能和性能的物体。

发明内容

根据本发明的第一方面，提供一种用在加密的广播信号接收机上的智能卡，该智能卡包括：

一微处理器，用于对所述信号解密或控制对所述信号的解密；以及

一连接在所述微处理器上的存储器；

所述微处理器适于通过在所述存储器分别动态地创建的各区域而使能或控制来自这种信号的广播提供商的多个这种信号的单独解密，所述动态创建的每个区域可以存储与各个所述广播提供商有关的解密数据。

在智能卡中动态创建(和去除)的区域允许借助由接收器/解码器接收的并发送给智能卡的由广播商定期发送的诸如EMM，使智能卡方便且快速地改变来将权利提供给用户。

最好，所述智能卡还包括与所述广播提供商的各个提供商有关的标识和至少一个解密关键字，所述标识和/或关键字存储在所述动态创建的区域之一中，并对具有与该标识对应的身份的广播信号解密，且利用与该解密关键字对应的加密关键字加密。

该智能卡可以还包括用于每个区域的一个存储的分组标识和另一个标识其在该分组中的标识，并且对具有与所存储的分组标识对应的身份的广播信号解密。

所述智能卡上可保持有包含各广播提供商身份的第一系列存储区和第二系列动态创建的存储区，在第二系列中的存储区的每一个都标有广播提供商的身份并且包含包括解密数据的数据，该解密数据用于处理从该提供商处接收的广播信号，在第二系列中的多个存储区具有一个公共的身份标识并且包括不同级的与从广播提供商处接收的广播信号的处理有关的数据。

最好，所述智能卡可动态地创建所述第一系列的存储区。该动态创建的存储区可以是连续的。

最好，智能卡还包括一个管理存储区，用来存储用于控制所述动态创建的区域的动态创建的数据。

其中所述动态创建的区域之一包含代表由广播提供商具体选定的广播条目的权利数据，据此可使智能卡的用户去解密，该智能卡可利用所述权利数据对该广播提供商广播的条目进行解密。

在所述动态创建的区域之外还在智能卡中定义一个交易存储区，并且还包括与广播提供同广播的条目有关的权利数据，借此可使智能卡的用户仅根据可在用户的控制下由智能卡产生的交易输出信号进行解密。

该智能卡还包括一个计数器，用于对随着所述交易输出信号的输出而广播的条目的出现次数计数，智能卡还根据由所述计数器所达到的计数值门控该条目的解密。

根据本发明的第二个方面，提供一种用在上述智能卡上的接收器/解码器，该接收器/解码器包括一个智能卡读出器，并可在用户智能卡的控制下对广播加密的信号进行解密。

该接收器/解码器可用来对加密广播视频和/或音频信号解密，以产生对应的视频和/或音频输出。

最好，接收器/解码器具有用于接收所述加密的广播信号的较高带宽的输入口，和用于将输出控制信号送回广播发射机的较低带宽的输出口。

最好，该接收器/解码器包含一个存储的标识，并仅在智能卡具有一个对应的存储标识时才工作。

根据本发明的第三个方面，提供一种用于将加密的信号播送到接收器/解码器的装置，该装置包括用于产生广播控制信号多个分类中的两个分类的装置，其中这种控制信号的每个分类都包括用于有选择地使具有对应ID的接收器/解码器去响应这一分类的控制信号的接收器/解码器ID数据，所述接收器/解码器ID数据包括分组ID数据，用于使一或多组接收器/解码器全部响应这种控制信号的公共分类，该装置还具有数据库装置，以根据输入信息在不同ID分组之间动态地分配单个的接收器/解码器。

该数据库装置可响应从接收器/解码器上接收的各信号去改变各分组之间的接收器/解码器的分配。

该装置可用于根据所述输入信息广播用于改变各分组之间接收器/解码器的分配的控制信号。

不同的控制信号分类可使广播加密数据流的不同部分被解密。

最好，输入信息包括付费信息。控制信号的分类包括控制预定用的分类，以从不同的广播供应商处将加密的广播信号解密。控制信号的分类可包括控制购买的权利的分类，以在不同的时帧中对广播加密数据信号解密。

最好，该加密的广播信号是视频和/或音频信号。

每个分组具有最多达256位的会员。

根据本发明的第四个方面，提供一种用于接收加密的广播信号的接收器/解码器，该接收器/解码器包括一组ID并响应与具有所述分组ID对应的ID的广播控制信号的分类，该接收器/解码器适于根据另一控制信号改变其分组ID。

该另一控制信号包括一广播信号，由所述接收器/解码器来接收所述广播信号和所述加密的广播信号。

最好，该分组ID是录在可移动地插入在接收器/解码器中的智能卡上的。该加密的广播信号可以为视频和/或音频信号。

根据本发明的第五个方面，提供一种包括与前述的接收器/解码器共用的如前述的装置的用于广播和接收数字数据信号的系统。

根据本发明的第六个方面，提供一种向接收器/解码器播送加密信号的方法，该方法包括产生两个或多个广播控制信号的分类，这些信号的每个分类包括接收器/解码器ID数据，用于有选择地使具有相应ID的接收器/解码器响应这种控制信号的分类，并根据输入信息在不同的ID分组之间动态地分配各个接收器/解码器。

输入信息最好包括付费信息，且所述控制信号的分类可使接收器/解码器有选择地对加密的广播视频和/或音频数据流的部分解密。

第七方面，提供一种用于向接收器/解码器播送加密信号的装置，该装置包括用于控制或使所述加密的信号进行解密的控制信号的装置，用于将控制信号与所述广播信号中的各节目发送相关的装置，该相关装置包括用于产生识别在同一节目中一系列的发送中每个发送的信号的装置。

最好，该装置还包括产生用于设定在可解密的所述系列中的多个发送中的接收器/解码器的限制的信号的装置。该装置根据来自接收器/解码器的输入信号去改变所述限制。

最好，该装置适于将所述视频和/或音频数据流发送到轨道中的卫星上。

第八方面，提供一种用于接收和解密有偿收视(PPV)模式下的广播信号的接收器/解码器，该接收器/解码器包括用于检测控制信号的装置，该控制信号可控制使所述广播信号中特定节目传送解密，所述控制信号包括识别在一系列同类节目的发送中的每个发送的信息，该接收器/解码器还包括与所述检测装置相连的限制装置，用于限制可被解密的所述系列中传送的数目。

最好，该限制装置包括一个计数器，该计数器根据所述系列中对一个发送的每个连续观看朝着存储的限制值递增或递减。

该接收器/解码器最好还包括根据所接收的广播信号调节所述限制值的装置。

最好该限制装置包括一个可移动地插入到接收器/解码器中的智能卡。

在第九方面，本发明提供一种用于接收加密广播信号并对其解密的接收器/解码器，该接收器/解码器包括：

智能卡读卡器；

与智能卡读卡器相连并根据从读智能卡的输出对所述信号解密的处理器；

包含所存储的接收器/解码器的ID的存储装置；

用来将所述存储的ID与由读卡器读出的智能卡ID相比较的装置；以及

根据比较结果允许或禁止对所述信号解密的装置。

允许使用智能卡的装置可允许使用该智能卡或禁用该智能卡。

处理器可根据接收器/解码器和智能卡之间的握手信号允许使用所述智能卡。

接收器/解码器可用于接收广播的视频和/或音频信号并对其解密。

在第十个方面，本发明提供一种用在上述接收器/解码器上的智能卡，所述智能卡包括一个含有各接收器/解码器的ID清单的存储器，借此清单可表明智能卡是否可与所列的接收器/解码器一起工作。

在第十一方面，提供一种如上所述的接收器/解码器与如上所述的智能卡的组合，所述接收器/解码器还包括用于读出所述智能卡的存储器中所列的每个接收器/解码器的ID并指明其相关性以确定该智能卡是否可与该接收器/解码器一起使用的装置。

在第十二个方面，提供一种用在加密的广播信号接收机上的智能卡，该智能卡包括：

一个用于控制所述信号解密的微处理器；

一个与所述微处理器相联的存储器；

所述微处理器适于借助所述存储器中的各区控制对来自这种信号的各广播提供商的多个这种信号的单独的解密，所述区的每个区都用来存储与所述广播提供商各个相关的解密数据，所述解密数据包括由各广播提供商分配给智能卡的优先权级，并且所述微处理器可使与广播提供商广播的优先权级有关的信号解密。

该优先权级可以是借助广播提供商广播的控制信号分配给智能卡的。

在第十三个方面，提供一种用于向接收器/解码器播送加密的广播信号的装置，所述接收器/解码器已经被分配有各优先权级，该装置包括：

用于产生控制所述广播信号解密的控制信号的装置，每个控制信号都具有一个地址部分，以有选择地使具有对应地址的接收器/解码器解密；

用于以所述控制信号有选择地根据其各优先权级寻址接收器/解码器的装置。

该装置可以还包括用于产生与广播信号的各广播提供商有关的第一组控制信号和与各节目有关的第二组控制信号，在第二组中的控制信号具有一开关部分，用于栅控由所述接收器/解码器所进行的解密，在所述第二组中的控制信号具有所述地址部分。

该装置可以分区地对选定地理位置中的选定节目解密。

附图说明

以下参照附图以纯粹举例的方式说明本发明的最佳特征，在附图中：

图1示出了本发明最佳实施例的数字电视系统的总体结构；

图2示出了上述数字电视系统的有条件访问系统的结构；

图3示出了上述有条件访问系统中所使用的权限管理消息的结构；

图4是本发明一个最佳实施例的用户授权系统(SAS)的硬件的概略图；

图5是上述SAS的结构的概略图；

图6是构成上述SAS一部分的用户技术管理(SubscriberTechnical Management)服务器的概略图；

图7是如上述SAS所实现的用于自动地更新预订的过程的流程图；

图8是上述自动更新过程中所使用的组预订位图的概略图；

图9示出了上述自动更新过程中所使用的EMM的结构；

图10详细地示出了上述EMM的结构；

图11是一订单集中服务器在用于直接通过通信服务器接收命令时的概略图；

图12概略地说明了图2的一部分，它示出了本发明的一个实施例；

图13是一订单集中服务器在用于按收来自用户授系统的命令以便请求回叫时的概略图；

图14是所述通信服务器的概略图；

图15示出了EMM发射周期率随PPV事件的时间而变的方式；

图16是用于发射EMM的消息发射器(Message Emitter)的概略图；

图17是显示将EMM存储到上述消息发器内的方式的概略图；

图18是一智能卡(smartcard)的概略图；

图19是上述智能卡的存储器中存储区结构的概略图，以及

图20是PPV事件描述的概略图。

具体实施方式

图1示出了本发明数字电视广播和接收系统100的概貌。本发明包括一通常的数字电视系统2000，它使用周知的MPEG-2压缩系统来传送压缩后的数字信号。具体地说，广播中心内的MPEG-2压缩器2002接收数字信号流(一般是视频信号流)。压缩器2002通过线路2006与一多路复用器和扰码器2004相连。多路复用器2004接收多个其它输入信号、汇集一个或多个传输流并将压缩后的数字信号通过线路2010传给广播中心的发射器2008，所说的线路当然可以呈包括电信线路在内的多种形式。发射器2008通过上行线路2012将电磁信号传给卫星收发器2014，在该收发器中，对所述电磁信号作电学处理并通过理论上的下行线路2016将其广播给地面接收器2018，所述地面接收器通常呈最终用户所拥有或租借的抛物面天线的形式。将接收器2018所接收的信号传给最终用户所拥有或租借的并与最终用户的电视机2022相连的集成接收器/解码器2020。接收器/解码器2020将压缩后的MPEG-2信号解码成用于电视机2022的电视信号。

有条件访问系统3000与多路复用器2004和接收器/解码器2020相连并部分地位于广播中心内、部分地位于所述解码器内。有条件访问系统3000能使得最终用户访问来自一个或多个广播提供商的数字电视广播。可将能对涉及到商业节目(也就是说，广播提供商所出售的一种或多种电视节目)的消息进行解密的智能卡插进接收器/解码器2020。最终用户可利用解码器2020和智能卡以预订模式方式或有偿收视服务模式购买节目事件。

交互系统4000也与多路复用器2004和接收器/解码器2020相连并且也部分地位于广播中心内、部分地位于所述解码器内，而且能使得最终用户通过带调制解调器的反向信道4002与多种应用相交互。

以下详细说明有条件访问系统3000。

参照图2，从总体上说，有条件访问系统3000包括一用户授权系统(SAS)3002。SAS3002通过相应的TCP-IP线路3006(也可以使用其它类型的线路)与一个或多个用户管理系统(SMS)3004相连，每个广播提供商均使用一个SMS。另外，也可以在两个广播提供商之间共享一个SMS，或者，一个提供商使用两个SMS，等等。

使用“母”智能卡3010的呈加密器3008形式的第一加密装置通过线路3012与SAS相连。使用母智能卡3016的也呈加密器3014形式的第二加密装置通过线路3018与多路调制器2004相连。接收器/解码器2020接收一“子”智能卡3020。通信服务器(CommunicationServer)3022通过带调制解调器的反向信道4002将接收器/解码器2020直接连接于SAS3002。SAS还根据请求将预订权限发送给所说的子智能卡。

所述智能卡包含有一个或多个商业操作者的密码。所述“母”智能卡对不同种类的消息进行加密，而“子”智能卡则在有权限时对该消息解密。

第一和第二加密器3008和3014分别包括一支架、一带有存储在EEPROM中的软件的电子VME卡、多达20个的电子卡以及智能卡3010和3016，对于每个电子卡来说，一个智能卡(智能卡3016)用于对ECM进行加密，一个智能卡(智能卡3010)用于对EMM进行加密。

以下参照电视系统2000和有条件访问系统3000的各种组件来详细说明数字电视系统的有条件访问系统3000的操作。

多路复用器和扰码器

参照图1和图2，在广播中心内，首先用MPEG-2压缩器2002压缩(或降低位速率)数字视频信号。然后，通过线路2006将压缩后的信号传给多路复用器和扰码器2004，以便将该信号与诸如其它压缩数据之类的其它数据复用。

所述扰码器生成一控制字，它在扰码过程中使用并且包括在多路复用器2004中的MPEG-2数据流内。所述控制字是在内部生成的并且能使得最终用户的集成接收器/解码器2020对节目进行解扰码。

将表示如何使节目商业化的访问标准也增加到MPEG-2数据流内。可按多种“预订”模式中的一种和/或多种“有偿收视服务”(PPV)模式或事件中的一种来使节目商业化。在预订模式中，最终用户预订一种或多种商业节目或“节目集合”，从而获得观看所述集合内的每一个频道的权限。在上述最佳实施例中，可从频道集合中选出多达960种商业节目。在有偿收视服务中，最终用户可以按需购买节目。这可以通过事先预约节目(“预约模式”)或通过一进行广播就购买节目事件(“随机模式”)来加以实现。在上述最佳实施例中，不管用户是否是预订模式还是按PPV模式来观看，所有的用户都是订户，当然，PPV的观看者不一定都是订户。

所述控制字和访问标准用于形成权限控制消息(EntitlementControl Message，ECM)；权限控制消息是一种按与扰码后的节目有关的方式所发送的消息。该消息包含有一控制字(它使得能对节目进行解扰码)以及广播节目的访问标准。通过线路3018将所述访问标准和控制字传给第二加密器3014。在该加密器中，生成一ECM并将其加密且传给多路复用器和扰码器2004。

数据流中由广播提供商所提供的各个服务性广播节目均包括多种不同的成份，例如，电视节目包括视频成份、音频成份、字幕成份等等。对一种服务的这些成份中的每一种分别进行扰码和加密以便随后广播给收发器2014。就所述服务的各个经扰码的成份而言，需要有一个独立的ECM。

节目发送

多路复用器2004接收电信号，这些电信号包括来自SAS3002的加密EMM、来自第二加密器3014的加密ECM以及来自压缩器2002的压缩节目。多路复用器2004对节目进行扰码并将扰码后的节目、加密的EMM和加密的ECM作为电信号通过线路2010传给广播中心的发射器2008。发射器2008通过上行线路将电磁信号发送给卫星收发器2014。

节目接收

卫星收发器2014接收并处理发射器2008所发射的电磁信号并将该信号通过下行线路2016传给通常呈用户拥有或租用的抛物面天线形式的地面接收器2018。将接收器2018所接收的信号传给最终用户拥有或租借的并与最终用户的电视机2022相连的集成接收器/解码器2020。接收器/解码器2020对信号进行多路复用以获得带有加密EMM和加密ECM的经过扰码的节目。

如果节目未被扰码，也就是说，未连同MPEG-2一道传送ECM，那么，接收器/解码器2020就对数据进行解压缩并将信号转换成视频信号以便传给电视机2022。

如果节目经过了扰码，那么，接收器/解码器2020就从MPEG-2数据流中抽出相应的ECM并将该ECM传给最终用户的“子”智能卡3020。“子”智能卡3020嵌在接收器/解码器2020中的槽口内。子智能卡3020控制着最终用户是否有权对ECM进行解密并访问所说的节目。如果不是这样的话，就将一否定的状态传给接收器/解码器2020以指示不能对节目进行解扰码。如果最终用户有权限，则对ECM进行解密并抽取出所说的控制字。然后，解码器2020用上述控制字对节目进行解扰码。对MPEG-2数据流进行解压缩并将其转换成视频信号以便转交给电视机2022。

用户管理系统(SMS)

用户管理系统(SMS)3004包括一数据库3024，它除其它工作以外还对所有最终用户文件、(诸如收费标准和宣传之类的)商业数据、顶订情况、PPV细节以及涉及到最终用户消费和授权的数据进行管理。SMS在物理上可远离SAS。

各个SMS3004通过相应的线路3006将指示对要传给最终用户的权限管理消息(EMM)进行修改或创建的消息传给SAS3002。

SMS3004还将指示不修改或创建EMM而是仅指示最终用户状态变化(涉及到在订购节目时授于最终用户的权限或者对最终用户的收费量)的消息传给SAS3002。

如下所述，SAS3002将消息(通常是诸如回叫信息或记帐信息之类的请求信息)发送给SMS3004，因此，可以看出，以上两者之间的通信是双向的。

权限管理消息(EMM)

EMM是仅为个别最终用户(订户)或一组最终用户所专用的消息(与ECM相反，ECM是仅为一个经扰码的节目所专用或者在一组经扰码的节目是同一商业节目的一部分的情况下为该组节目所专用的消息)。每一组最终用户可包含给定数量的最终用户。组织成组的目的在于使带宽达到最佳，也就是说，访问一组用户可以与若干最终用户进行联系。

在将本发明付诸实践时可使用多种特定类型的EMM。个别的EMM为个别的用户所专用并通常在提供有偿收视服务时使用，EMM包含分组标识以及用户在该组中的位置。所谓的“组(Group)”预订EMM为例如由256个用户构成的用户组所专用并通常在对某些预订服务进行管理时使用。这种EMM具有组标识和用户组位图。观众EMM为所有观众所专用并且可例如为一特定的操作者所使用以提供某些免费服务。“观众”是用户的总称，这些用户具有带相同操作者标识(OperatorIdentifier OPI)的智能卡。最后，“唯一”(unique)EMM是指所述智能卡的唯一标识。

以下参照图3说明典型的EMM的结构。实现为一系列数字数据位的EMM基本上包括一头标3060、EMM主体3062以及一特征码3064。头标3060又包括：一类型标识3066，它用于标识出所说的类型是个体、组、听众还是某种其它类型；一长度标识3068，它给出了EMM的长度；一用于EMM的可选地址3070；一操作者标识3072；以及，一关键字标识3074。当然，EMM主体3062可随EMM类型的不同而有很大变化。最后，通常为8字节长的特征码3064对EMM中其余数据的问题进行多种检验。

用户授权系统(SAS)

将SMS3004所生成的消息通过线路3006传给用户授权系统(SAS)3002，SAS3002则又生成证实收到SMS3004所生成的消息的消息并将这些证实消息传给SMS3004。

如图4所示，上述SAS在硬件层次上以周知的方式包括：一主机3050(在本实施例中，该主机是DEC机)，它与一个成多个用于数据和命令输入的键盘3052相连；一个或多个视频显示装置(VDU)3054，它同于显示输出信息；以及，数据存储装置3056。还可在硬件上提供某些其它设备。

在本实施例中，上述SAS在软件层次上运行于标准的开放式VMS操作系统，以下将参照图5在总体上说明这套软件的结构，应该认识到，也可以用硬件来实现所说的软件。

从总体上说，所述SAS包括：一预订链接区(Subscription Chainarea)3100，它可给出对预订模式的权限并每月自动地更新该权限；一有偿收视链接区(Pay Per View Chain area)3200，它可给出对PPV事件的权限；以及，一EMM发射器(EMM Injector)3300，它用于将预订和PPV链接区所创建的EMM传给多路复用器和扰码器2004从而给MPEG流加上EMM。如果要授与诸如就将计算机软件下载到用户个人计算机而言的有偿文档(Pay Per File，PPF)权限之类的其它权限，也可以设置其它类似的链接区。

SAS3002的一个功能是根据商品化的不同模式(预约模式、随机模式)来管理对电视节目的访问权限，所说的电视节目可以是预订模式中的商业节目或者是作为PPV事件而出售的。SAS3002根据上述权限和接收自SMS3004的信息生成用于用户的EMM。

预订链接区3100包括一命令接口(Command Interface，CI)3102、一用户技术管理(STM)服务器3104、一消息生成器(MessageGenerator，MG)3106以及一加密器(Ciphering Unit)3008。

PPV链接区3200包括：一授权服务器(Authorisation Server，AS)3202；一关系数据库3204，它用于存储最终用户的相关详细资料；一本地黑名单数据库3205；用于上述数据库的数据库服务器(Database Server)3206；一订单集中服务器(Order CentralizedServer，OCS)3207；一用于节目广播器的服务器(Server forProgramme Broadcaster，SPB)3208；一消息生成器(MG)3210，其功能与用于上述预订链接区的功能基本上相同，以下不再予以说明；以及，加密器3008。

EMM发射器3300包括多个消息发射器(Message Emitter，ME)3302、3304、3306和3308以及软件多路复用器(SoftwareMultiplexer，SMUX)3310和3312。在上述最佳实施例中，有两个用于消息生成器3106的ME3302和3304以及另外两个用于消息生成器3210的ME3306和3308。ME3302和3306与SMUX3310相连，而ME3304和3308则与SMUX3312相连。

以下对SAS的三个主要组成部分的每一个均作详细说明(预订链接区、PPV链接区和EMM发射器)。

预订链接区

首先说明预订链接区3100，命令接口3102主要用于将消息从SMS3004传给STM服务器3104和OCS3206并将消息从OCS传给SMS。命令接口将直接命令或包含有命令的批文件当作来自SMS的输入。命令接口对来自STM服务器的消息进行句法分析并且能在消息出错(参数越界、缺少参数等)时发射准确的消息。命令接口跟踪一跟踪文件3110中呈文本形式的输入命令而且还跟踪一重播文件3112中呈二进制形式的输入命令，以便对一系列命令进行重播。可禁止跟踪并限制文件的大小。

以下具体参照图6详细说明STM服务器3104。STM服务器是上述预订链接区的主引擎并能管理免费权限、创建新用户以及更新现有用户。如图6所示，将命令按一定的格式传给消息生成器3106，所说的格式不同于将命令传给STM服务器时所用的格式。对每个命令来说，STM服务器都能仅在已成功地处理命令并将其发送给MG时将一确认消息发送给CI。

所述STM服务器包括一用户数据库3120，其中存储有用户的相关参数(智能卡号、商业数据、状态、组及在该组中的位置等等)。上述数据库对照该数据库的内容对CI3102所发送的命令进行语义检查并在命令有效时更新该数据库。

所述STM服务器还对STM服务器与MG之间的先进先出(FIFO)缓冲存储器3122以及备份盘的FIFO3124进行管理。上述FIFO的作用是在MG因任何原因而暂时不能进行响应时使来自CI的命令流平均化。上述FIFO还能确保在STM服务器或MG崩溃的情况下不会丢失命令，这是因为，在重新启动时，所述STM会将FIFO清空(也就是说发送给MG)。上述FIFO可实现为文件。

所述STM服务器的核心包括一自动更新服务器3126，它可自动地进行更新并在操作者要求的情况下生成免费权限。在这种情况下，尽管应该认识到在SMS处初始化新权限的形成，但是，可将进行更新看作是包括第一次形成权限。正如会看到的那样，这两者可大致用相同的命令和EMM来加以处理。

使STM分离于SAS并且使自动更新服务器位于SAS内而不是(像在周知系统中那样)位于SMS3004内是一项特别重要的特征，这是因为，它能显著地减少需要从SMS传给SAS的命令数(记住，SMS和SAS可能处于不同的地点并由不同的操作者来控制)。事实上，自SMS所请求的两个主命令仅仅是应该开始一新的预订服务并(例如在未付费的情况下)中止一现有预订服务的命令。通过使SMS与SAS之间的命令交换减至最少，可以降低这两者之间的线路3006中的命令传输故障的概率，而且，SMS的结构一般也无需考虑有条件访问系统3000的特点。

按图7的流程图所示的方式进行自动更新。为了降低带宽，假定非常高的更新百分比是标准的，那么，就在用户组中进行更新，在本最佳实施例中，每组有256个个别用户。所述流程图始于开始步骤3130并前进至步骤3132，在该步骤中，按月启动更新功能(当然，应该注意，也可以有其它频率)。在按月频率的情况下，就如不进行更新权限就会到期的当前月份和所有以后月份而言，将权限赋给最终用户。

在步骤3134中，就每一组以及该组中的个别用户访问用户数据库3120，以确定是否要更新特定个体的权限。

在步骤3136中，根据上述用户数据库的内容形成如图8所示的组预订位图。该位图包括一组标识(在这种情况下是组1-“G1”)3138以及256个个别用户存储区3140。根据特定用户是否要对其权限进行更新而将上述位图中的各个设置成1或0。图8中示出了一组典型的二进制数据。

在步骤3142中，将包括在组预订位图在内的适当命令传给消息生成器3106。在步骤3143中，所述消息生成器设置一过期日期以向智能卡指明这样的日期，超过该日期特定预约EMM将不再有效，一般将这一日期设是为下一个月的月末。

在步骤3144，所述消息生成器根据上述命令生成适当的组预订EMM并要求加密器3008对EMM进行加密，然后，将加密后的EMM传给EMM发射器3300，在步骤3146中，EMM发射器3300将EMM加进MPEG-2数据流。

步骤3148表明，对每一组重复上述过程。这一过程最后在结束步骤3150结束。

事实上，以上参照图7所述的流程图具体涉及到对预订的更新。所述STM还以相似的方式管理免费观众的权限以及新用户。

就用于特定电视节目或成组的这种节目的免费观众权限而言，可通过STM将一命令传给消息生成器以生成带有过期日期即给定的天数(或周数)的适当观众EMM(用于整个观众)，从而可获得这种权限。MG根据上述STM命令来计算精确的过期日期。

就新用户而言，涉及到两个阶段。首先，购买时接收器/解码器2020内的智能卡能向用户提供一段给定时间(一般是几天)的免费权限(如果操作者希望的话)。这一点可通过生成用于用户的并且包括相关过期日期的位图来实现。然后，用户将其完整的书面材料交给(在SMS)对用户进行管理的操作者。一旦对所述书面材料进行了处理，SMS就向SAS提供一用于该特定用户的开始命令。一旦SAS接收到开始命令，STM就命令MG将一唯一地址赋给该新用户(包括特定的组号和在该组中的位置)并生成一特殊的所谓的“商业节目”预订EMM(与通常的用于更新的“组”收费EMM相反)以向特定的用户提供权限直至下一个月月末。从这时开始，就如上所述那样自动地进行用户更新。利用上述两阶段的过程，可以向新用户授权直至SMS发出一中止命令。

应该注意，所述商业节目预订EMM用于新用户并用于重新启用现有用户。所述组预订EMM用于进行更新和挂起。

参照图9，由上述过程生成的典型的预订EMM主体(也即忽略了头标和特征码)包括下列主要部分即：256位预订(或用户组)位图3152；用于对EMM加密的128位管理加密关键字3154；64位私用加密关键字3154，它使得智能卡3020对控制字进行解密以访问广播节目；以及，16位过期日期3158，它指明了这样的日期，超过该日期智能卡就会忽略上述EMM。事实上，在上述最佳实施例中，设置在三组私用关键字，一组用于当前月份，一组用于下一个月、一组用于在系统出故障时进行恢复。

更具体地说，除管理加密关键字3154外，所述组预订EMM主体具有所有的上述组成部分。所述商业节目预订EMM主体(它用于个别用户)包括代替整个用户组位图3152的组ID(标识)后面是在该组中的位置，然后是管理加密关键字3154和三组私用关键字3156，随后是相关的到期日期3158。

消息生成器3106用于将STM服务器3104发出的命令转换成EMM以便传给消息发射器3302。参照图5，首先，MG生成EMM主体并将其传给加密器3008以便相对管理和私用关键字进行加密。CU将特征码3064填加到EMM上并将该EMM传回给MG，在MG中加上头标3060。因此，传给消息发射器的EMM是完整的EMM。所述消息生成器还确定广播开始和结束的时间以及EMM的发射速率并将这些内容作为适当的指令连同EMM传给消息发射器。所述MG仅生成一给定的EMM一次，这就是进行周期性传送的ME。

参照图5，消息生成器包括自己的EMM数据库3160，该数据库在相关EMM的生命周期内存储着该EMM。一旦其发射期限已满，就删除该EMM。所述数据库用于确保MG与ME之间的一致性，因此，例如，在将最终用户挂起时，ME不会继续发送更新信号。在这方面，MG计算相关的操作并将它们发送给ME。

一旦生成了一EMM，MG就将一唯一的标识赋给该EMM。当MG将该EMM传给ME时，也就传递了上述EMM标识(ID)。这就能在MG和ME处识别一特定的EMM。

参照预订链接区，消息生成器包括两个FIFO3162和3164，一个用于EMM发射器3300内的各个相关的消息发射器3302和3304，一个同于存储加密后的EMM。由于预订链接区和EMM发射器可分隔开显著的距离，故即使上述两者之间的线路3166和3168出现故障，使用FIFO也可使EMM的传送有完全的连续性。在有偿收视链接区内设置有相类似的FIFO。

具体地说是消息生成器在总体上说是在条件访问系统的一个特征涉及到通过将长度参数和标识参数混合起来从而减少EMM主体3062的长度以节省空间这种方法。以下参照图10对此进行说明，图10说明了一个示例性的EMM(事实上，它是一个PPV EMM，这种EMM是最简单的EMM)。在Pid(数据包或“参数”标识)3170中减少了长度。该Pid包括两部分即实际的ID3172以及用于数据包3174的长度参数(此参数是必需的，以便能确认出下一个数据包的起点)。整个Pid为刚好一个字节的信息，4位供ID使用，4位供长度参数使用。由于4位不足以按纯二进制的方式限定所说的长度，故使用了位与实际长度之间的对应关系，这种对应关系体现在一对照表中，该对照表存储在消息生成器中的存储区3178内(见图5)。所述对应关系通常如下：

0000＝0

0001＝1

0010＝2

0011＝3

0100＝4

0101＝5

0110＝6

0111＝7

1000＝8

1001＝9

1010＝10

1011＝11

1100＝12

1101＝16

1110＝24

1111＝32

可以看出，所述长度参数并不与数据包的实际长度成正比，它们的关系部分地是平方关系而不是线性关系。这就使得数据包的长度有较大的范围。

有偿收视链接区

就有偿收视链接区3200而言，参照图5，具体地说，授权服务器3202具有订单集中服务器3207作为客户机，所述订单集中服务器请求有关与通信服务器3022相连以购买PPV节目的各个用户的信息。

如果从AS3202中已知有用户，则可进行一组交易。如果就订单对用户进行了授权，则AS就会形成一帐单并将其发送给OCS。否则，就将未对订单授权的信号发给OCS。

如果已对至少一个交易进行了授权，那么，AS仅在上述成组交易结束时通过数据库服务器(DBAS)3206来更新最终用户数据库3204，这就能使数据库访问的次数达到最优。

AS授权进行购买所依据的标准存储在上述数据库中，可通过DBAS过程来加以存取。在一个实施例中，上述数据库与STM所访问的数据库相同。

可根据客户的情况拒绝进行授权(PPV_Forbidden，Casino_Forbidden...)。STM3104代表SMS3004对上述标准进行更新。

还要检查如(用信用卡、自动付款或每天合法代币购买量等)购买限制之类的其它参数。

就用信用卡付款而言，要对照存储在本地黑名单数据库3205内的本地黑名单来检查卡号。

当所有的验证均成功时，所述AS就：

1、生成帐单并将其发送给OCS，OCS填写该帐单并将其存储到一个文件中，以后将此文件发送给SMS以便进行处理(客户的实际的帐单)；以及

2、更新上述数据库以便主要地设置新的购买限制。

这种如果可以就检查并生成帐单的机制适用于各个命令，用户可在单个连接期间进行请求(可在一次会话中预定例如5部电影)。

应该注意，与SMS所具有的信息量相比，AS具有减少了的与用户有关的信息量。例如，AS没有用户的姓名或地址。另一方面，AS具有用户的智能卡号、用户消费级别(因此，可将不同的节目服务用于不同的用户)以及各种标志，这些标志例如是表示用户是赊购还是用户暂停还是智能卡被盗的状态。使用减少了的信息量有助于减少对特定用户的请求进行授权所花费的时间。

DBAS3206的主要目的是通过并行访问提高从AS来看的数据库效率(所以，仅用一个DBAS来限定一种结构实际上是没有意义的)。一个AS参数限定了应连接多少个DBAS。一个给定的DBAS可仅与一个AS相连接。

OCS2307主要处理PPV命令。该OCS按多种模式进行操作。

首先，OCS处理SMS所发出的诸如节目更新(例如，如果SMS已存储了帐单，那么，OCS就不生成帐单)、更新智能卡3020中的钱夹以及取消/更新会话之类的命令。

上述过程中的各个步骤是：

1、(用AS3202)确认相关的用户；

2、如果有效，就向消息生成器生成适当的命令，收便发送一适当的EMM。命令可以是：

节目订购，

更新钱夹，

会话删除。

请注意，上述操作并不意味着形成记帐信息，这是因为，业已从SMS周知有帐单。使这些操作与“免费节目”的购买相一致。

其次，OCS处理经由通信服务器3022接收自用户的命令。可通过与接收器/解码器2020相连的调制解调器或通过用电话4001的语音启动或通过用MINITEL、PRESTEL或可用的类似系统来接收这些命令。

再次，OCS处理SMS发出的回叫请求。以下详细说明后两种操作模式。

在上述第二种模式中，说明了OCS处理经由通信服务器3022直接接收自最终用户(订户)的命令。这些命令包括(诸如用于特定PPV事件的)节目订购、用户所请求的预订修改以及对父母关注码的重置(父母关注码是这样的代码，父母可用该代码来限制对某些节目或某类节目的观看权限)。

以下参照图11详细地说明处理上述命令的方式。

用户订购节目包括下列步骤：

1、利用AS确认通过CS3022进行呼叫以订购特定节目的主叫用户；

2、用AS对主叫用户请求的有效性进行检查(用接收器/解码器2020将订单发到AS，可通过验证智能卡3020的详细资料来做到这一点)；

3、确定购买的价格；

4、检查上述价格不会超过主叫用户的信用卡限额等；

5、从AS接收部分帐单；

6、填写帐单中的其它项目，以形成一完整的帐单；

7、将上述完整的帐单增加到记帐信息存储文件3212中以便进行后续处理；以及，

8、将相应的命令发送给PPV消息生成器3210以生成相关的EMM。

如果用户用接收器/解码器2020发出节目订单，那么，就在调制解调器线路4002上发送所述EMM(以下将详细说明其细节)，否则，就广播上述EMM。(在用户使用接收器/解码器2020发出订单的情况下)一个例外是调制解调器的连线有某种故障，在这种情况下，对EMM进行无线广播。

用户所请求的预订修改包括：

1、(用AS)确认主叫用户；

2、将信息发送给命令接口，该CI又将该信息发送给SMS；以及

3、(如果可以修改，根据修改的费用)OCS通过CI接收来自SMS的应答。

如果用接收器/解码器2020请求修改，OCS就向SMS生成一确认信息。否则，例如就电话或Minitel而言，提醒用户进行确认并通过OCS和CI将应答发送给SMS。

重置父母关注码包括：

1、(用AS)确认主叫用户；以及

2、将一命令发送给MG以生成一带有适当重置口令的适当EMM。

就重置父母关注码而言，出于安全的原因不允许重置该代码的命令产生于接收器/解码器。只有SMS、电话和MINITEL或类似的系统才能产生这种命令。所以，在这种特定的情况下，仅用无线的方式而不是用电话线来广播EMM。

从上述OCS的不同操作模式的实例中可以看出，用户可直接访问SAS特别是OCS和AS，因为，通信服务器直接与SAS特别是与OCS相连。这种重要的特征涉及到减少用户将其命令传给SAS的时间。

以下参照图12进一步说明上述特征，从图12中可以看出，最终用户的机顶盒(Set-Top-Box)特别是其接收器/解码器2020能够直接与通信服务器3022相通信，而通讯服务器3022则与SAS3002相联。从最终用户到SAS3002的通信服务器3022的连接不通过SMS3004，而是直接连到SAS3002上。

事实上，如上所述，提供了两种直接连接的方法。

第一种直接连接方法是通过电话4001的语言线路和适当的电话线(和/或通过MINITEL或可用的类似连接方法)，在这种情况下，与经由SMS3004的通信相比，最终用户还必须要输入一系列语音命令或代码号，但能节省时间。

第二种直接连接方法源于接收器/解码器2020，通过最终用户插入他自己的子智能卡3020来自动地输入数据，从而能减少最终用户必须输入相关数据的工作，这又能降低所花费的时间并减少输入时出错的可能性。

源于上述说明中的另一个特征是降低将最后的EMM传给最终用户所花费的时间，从而能鼓励选定节目的用户进行收视。

从广意上说，参照图12，可通过使最终用户的接收器/解码器2020具有直接与和SAS3002相联的通信服务器3022进行通信的能力来实现上述特征。

如前所述，集成接收器/解码器2020通过带调制解调器的反向信道4002直接与通信服务器3022相连，因此，可由SAS3002处理来自解码器2020的命令，生成消息(包括EMM)，然后经由反向信道4002将其直接送回至解码器2020。在CS3022与接收器/解码器2020之间的通信过程中使用一种协议(以下将予以说明)，因此，CS对接收到相关EMM的确认信息进行接收，从而将确定性增加给上述过程。

因此，例如就预约模式而言，SAS3002借助于智能卡和解码器2020的调制解调器以及电话线4002接收来自最终用户的请求访问特定事件/节目的消息，并将一适当的EMM通过电话线4002和调制解调器返回给解码器2020，所述调制解调器和解码器最好同时位于机顶盒(STB)内。因此，在不必经由多路复用器和扰码器2004、上行线路2012、卫星2014和数据线路2016来传送MPEG-2数据流2002中的EMM的情况下就能实现这一点，从而能使得最终用户收视到所说的事件/节目。这就能显著地节省时间和带宽。实际确定性的前提条件如下：用户一旦为其购买行为付了款，EMM就会到达接收器/解码器2020。

在上述OCS3207的第三种操作模式中，OCS处理SAS发出的回叫请求。参照图13说明了这一点。典型的回叫请求是为了确保接收器/解码器2020通过带调制解调器的反向信道4002用SAS所需要的接收器/解码器信息来回叫SAS。

正如命令接口3102所指令的那样，预订链接区的消息生成器3106生成一回叫EMM并将其发送给接收器/解码器2020。加密器3008出于安全上的原因对该EMM进行加密。所述EMM在未被明确请求的情况下包含有接收器/解码器应该被唤醒并对自身进行回叫的时间/日期，所述EMM一般还可包含有终端用户必须拨叫的电话号码、不成功拨叫之后的试拨次数以及两次拨叫之间的延迟时间。

所述接收器/解码器在接收到EMM或在指定的时间-日期与通信服务器3022相连接。OCS3207首先用AS3202确认主叫用户并验证诸如智能卡操作者和用户详细资料之类的某些详细资料。然后，OCS要求智能卡3020发送各种加密信息(如相关会话号、何时监视会话、允许用户观查该会话几次、观查会话的方式、剩余的代币数、预约会话的次数等等)。PPV链接区的生成器3210用加密器3008对这些信息解密。OCS将这些信息加进回叫信息存储文件3214以便以后进行处理并传给SMS3004。出于安全的原因对这些信息进行加密。重复上述整个的过程直至从智能卡中不能读出更多的内容。

上述回叫功能的一个最佳特征是：在读取智能卡之前(即刚好在如上所述那样用AS3202确认了主叫同户之后)由SAS3002检查接收器/解码器确实是真的而不是盗版或计算机伪造品。按下列方式进行上述检查。SAS生成一随机数，该随机数由接收器/解码器所接收、加密、然后返回给SAS。SAS对该随机数进行解密。如果解密成功并检索到原始的随机数，就可得出结论说该接收器/解码器是真的，所述过程继续进行。否则，该过程就中止。

回叫过程中的其它功能是删除智能卡上的过时会话或增加钱夹的钱数(以下在题为“智能卡”一节中对后者加以说明)。

就PPV链接区3200而言，以下说明通信服务器3022。在该最佳实施例，通信服务器3022在硬件层次上包括一有四个并行处理器的DEC机。参照图14，通信服务器在软件结构层次上的许多方面都是常规的通信处理器。与常规结构的一个具体差异是所述通信服务同时为接收器/解码器2020和用常规电话4001的语音通信进行服务并可以为MINITEL或类似系统服务。

看图时应该注意，图14中示出了两个订单集中服务器3207(为“OCS1”和“OCS2”)，很自然，可以设置任何预定数量的订单集中服务器。

所述通信服务器包括两个主服务器(“CS1”和“CS2”)以及多个前端服务器(“Frontal1”和“Frontal2”)，图14中示出了两个前端服务器，一般地说，每个主服务器可配备10或12个前端服务器。的确，尽管业已示出了两个主服务器CS1和CS2以及两个前端服务器Frontal1和Frontal2，但可以使用任何数量的主服务器和两个前端服务器。通常应有某些富余。

CS1和CS2通过高层TCP/IP线路3230连接于OCS1和OCS2，而CS1和CS2则通过另一TCP/IP线路3232连接于Frontal1和Frontal2。

如前所述，CS1和CS2包括用于“SENDR”(发送)、“RECVR”(接收)、“VTX”(MINITEL、PRESTEL或类似系统)、“VOX”(语音通信)以及“TRM”(与接收器/解码器相通信)的服务器。它们与“BUS”(总线)相连以便将信号传给前端服务器。

CS1和CS2通过带调制解调器的反向信道4002用X25公用网络共用协议直接与接收器/解码器2020相通信。在一个最佳实施例中，通信服务器3022与接收器/解码器2020之间的较低层协议是以国际CCITT的V42标准协议为基础的，该协议通过错误检测和数据再传功能来保证可靠性并使用检查和(checksum)例程来检查再传输的完整性。还提供一种换码机制以防止传送不允许的字符。

另一方面，通过前端通信服务器来进行语音电话通信，每个前端通信服务器都能通过高速“T2”(E1)标准的电话ISDN线接收如30个从连接器3234到本地电话网的同步语音连接。

通信服务器的上述软件部分的三个特殊功能(它们当然可完全用硬件来加以实现)首先是将接收自接收器/解码器的较低层次的协议信息转换成输出给OCS的较高层次的协议信息，第二是减少或控制同步连接的数量，第三是在没有任何混淆的情况下提供若干同步信道。在最后一个方面中，通信服务器起多路调制器的作用，并且，一事实上在整个通信链路中都使用的给定会话ID(标识)限定了特定信道链路中的交互方式。

最后，就有偿收视链接区3200而言，参照图5，用于节目广播的服务器(SPB)3208与一个或多个节目广播器3250(它一般都位于远离SAS的位置)以接收节目信息。SPB滤出与PPV事件(会话)相对应的信息以供使用。

一个重要的特征是SPB将滤出的节目事件信息传给MG，MG则依次向ME发出指令(控制命令)以便改变给定环境下的EMM的周期发射率，通过ME用相关会话标识找出所有的EMM并改变分配给该EMM的周期率来做到这一点。可将这一特征可看作是为特定的EMM动态地分配带宽。在以下涉及到EMM发射器的章节中详细地说明EMM的周期性发射。

以下参照图15说明改变周期率的环境，图15示出了在特定PPV事件之前直至事件结束时如何在短时间(例如10分钟)将周期率3252从例如每隔30分钟的低周期率提高至例如每隔30秒至1分钟的高周期率，以便满足预定超级用户在这段时间对PPV事件的需求。通过这种方式，可根据预定用户的需求自动地分配带宽。这就有助于减少整个的带宽要求。

还可以改变其它EMM的周期率。例如，可通过多路复用器和扰码器2004发送适当的位速率指令来改变预订EMM的周期率。

EMM发射器

就EMM发射器3300而言，以下参照图16说明消息发射器3302至3308的详细内容，消息发射器3302至3308构成了EMM发射器的一部分并起用于消息生成器的输出装置的作用。它们的功能是获取EMM并通过相应的线路3314和3316将EMM(按轮转的方式)周期性地传给软件多路复用器3310和3312以及硬件多路复用器和扰码器2004。作为回答，软件多路复用器和扰码器2004生成一控制整个周期率的全球位速率指令，为了做到这一点，ME要考虑诸如周期时间、EMM的大小等之类的多种参数。在图16中，EMM_X和EMM_Y是用于操作者X和Y的组EMM，而EMM_Z则是用于操作者X或操作者Y的其它EMM。

以下对消息发射器的一个实例作进一步说明，应该注意，其余的ME以类似的方式操作。ME在特别是传送开始和结束时间和发射速率以及若EMM是PPV EMM则还有会话号等来自MG的指令的控制下进行操作。就发射速率而言，在本最佳实施例中，所述相关指令可以取从很快到很慢的五种值中的一个。在指令中并不指定上述数字值，而是由ME将该指令映射成SAS的相关部分所提供的实际数字值。在本最佳实施例中，所述五种发射速率如下：

1、很快  每30秒

2、快    每分钟

3、中速  每15分钟

4、慢    每30分钟

5、很慢  每30分钟。

ME具有一第一和第二数据库3320和3322。第一数据库用于尚未获得广播日期的EMM，这些EMM存储在所述数据库中的一系列时序文件中。第二数据库用于立即进行广播的EMM。在系统崩溃的情况下，ME具有重新读取相关的存储文件并进行正确广播的能力。当MG希望保持输入指令之间的一致性并且EMM已被发送给ME时，就根据来自MG的请求更新所有存储在上述数据库中的文件。实际广播的EMM也存储在随机存取存储器3324内。

消息生成器中的FIFO3162和3164与消息发射器中的数据库3320和3322的组合是指如果这两者之间的线路3166临时中断，则它们能以独立的方式进行操作，ME仍能广播EMM。

软件多路复用器(SMUX)3310和3312提供了ME与硬件多路复用器2004之间的接口。在本最佳实施例中，尽管从总体上说不对可与一个SMUX相连的ME数量进行限制，但它们可各接收来自两个ME的EMM。SMUX将EMM集中起来然后根据EMM的类型将其传给适当的硬件多路复用器。这是必需的，因为，硬件多路复用器处理不同类型的EMM并将它们放到MPEG-2数据流中的不同位置。SMUX还将全球位速率指令从硬件多路复用器传给ME。

ME的一个特别重要的特征是它按随机的次序发射EMM。原因如下。消息发射器不能检测或控制将什么消息发射给了多路复用器。所以，消息发射器连续传送两个要由接收器/解码器2020所接收和解码的EMM。在这种情况下，如果EMM没有充分的间隔，则接收器/解码器和智能卡就不能适当地检测出第二个EMM并对其解码。按随机的次序周期性地发射EMM可以解决这一问题。

以下参照图17说明随机化的方式，在这一实施例中，用ADA计算机语言实现必要的软件逻辑。随机化的一个特别重要的部分是将EMM正确地存储到数据库3320和3322(用于作备份)和RAM3324内。就具体的周期率和操作者而言，以两维阵列的方式按序列3330(例如从A至Z)以及该序列中的号码3332(从0至N)来存储EMM。将周期率3334加到第三维内，因此，有与周期率同样多的两维矩列。在这一最佳实施例中，有256种序列，每种序列中通常有200或300个EMM，有5种周期率。由不同的操作者来增加所述矩阵的最后一维，有与操作者同样多的三维阵列。在MG要删除特定EMM的情况下，按这种方式存储数据能快速检索。

按“杂凑”(hash)算法(周知为“单向杂凑函数”)来存储EMM。这是靠取模方法来进行的，因此，在使用上述序列中的较大的号码之前填写连续的序列，并且，每个序列中的EMM的数量大致保持恒定。当MG向ME发送一带标识(ID)1的EMM时，将序列“1”分配给该EMM，并且，该EMM用序列3330中的第一个号码3332。将序列“2”分配给带有ID2的EMM等等，直至序列256。(根据取模函数)将序列“1”分配给带有ID257的EMM，该EMM占用第一序列中的第二个号码，等等。

例如在删除MG所请求的特定EMM时，用与以上相反的过程来检索特定的EMM。杂凑算法适用于EMM ID以获得听说的序列，此后，查找该序列中的号码。

在用随机化装置3340根据周期性从RAM3324中检索出EMM时，就会进行实际的随机化，所说的随机化装置是用消息发射器的硬件和/或软件来实现的。所说的检索是随机的并且是基于上述杂凑算法的。首先，选定一随机数(在上述实例中，开始时在1至256的范围内)以形成一有意义的特定序列。第二，选定另一个随机数以形成上述序列中的特定号码。根据给定序列中的EMM的总数来选择所说的另一个随机数。一旦选定并广播了一给定的EMM，就用杂凑函数将其移至RAM3324中的第二个同样的存储区内。所以，在广播该EMM时，可按这样的程度减少第一存储区的大小即：一旦使用了整个的序列，就将其删除。一旦第一存储区完全变空，就在新一轮EMM广播之前用第二存储区代替第一存储区，反之亦然。

在上述方式中，在EMM的两个或三个周期之后，可在统计上忽略连续传送为同一最终用户指定的任何两个EMM的概率。

在存储EMM的同时，计算机3050按规律的间隔计算存储的字节数并据此计算出来自上述多路复用器和软件多路复用器的全球位速率指令所给出的发射位速率。

参照备份数据库3320和3322。事实上，在本实施例中，这些数据库是顺序文件存储器，它们具有RAM3324中内容的备份。在消息发射器出故障并随后重新启动时，或更概括地说在无论因什么原因而重新启动ME时，就会在RAM与数据库之间形成链路，可在该链路上将存储的EMM上载至RAM。通过这种方式，可消除在出故障时丢失EMM的危险。

就预订EMM而言，可与以上所述相类似的方式存储PPV EMM，并且，所说的序列一般对应于给定的操作者且所述序列中的号码对应于会话号。

智能卡

图18概略地示出了一子或“订户”智能卡3020，该卡包括一诸如Motorola 6805微处理器之类的8位微处理器110，它具有一与一组标准触点120相连的输入/输出总线，所述触点在使用中与接收器/解码器2020的读卡器中的相应一组触点相连接，所述读卡器具有常规的结构。微处理器110还与最佳的掩模ROM130、RAM140和EEPROM150作总线连接。所述智能卡符合ISO7816-1、78162和7816-3标准协议，这些协议分别决定了智能卡的物理参数、触点在芯片上的位置以及外部系统(特别是接收器/解码器2020)与智能卡之间的特定通信，本文对这些协议不作进一步的说明。正如所说明的那样，微处理器110的一个功能是管理智能卡中的存储器。

EEPROM150包含有某些动态创建的操作员存储区154、155、156和动态创建的数据区，以下参照图19对此进行说明。

参照图19，EEPROM150包括一8位的永久“卡ID”(或生产商)区151，该区包含有智能卡3020生产商所设置的永久用户智能卡标识。

在重置智能卡时，微处理器110发信号给接收器/解码器2020，所述信号包括一智能卡所使用的有条件访问系统的标识以及根据存储在智能卡中的包括卡ID在内的数据所生成的数据。接收器/解码器2020存储上述信号并在以后用所存储的数据来检查该智能卡是否与接收器/解码器2020所使用的有条件访问系统相兼容。

EEPROM150还包含有一永久的“随机数发生器”区152，该区包含有用于生成伪随机数的程序。所述随机数用于增加智能卡3020产生的并被送回至广播器的交易输出信号的种类。

在随机数发生器区152的下面设置有一144字节的永久“管理”区153。如下所述，永久管理区153是动态创建(和删除)区154、155、156中的ROM130中的程序所使用的特定操作者区。永久管理区153包含有与智能卡创建或删除存储区的权限有关的数据。

用于动态创建和删除区域的程序可响应特定的存储区创建(或删除)EMM，这些EMM由SAS3002所传送并被接收器/解码器2020所接收且被传给用户智能卡3020。为了形成所说的EMM，操作者需要上述管理区所专用的特定关键字。这就能防止一个操作者删除与另一操作者有关的存储区。

在管理区153的下方是一系列“操作者ID”区154、155、156，它们分别由于操作者1、2...N。通常将至少一个操作者ID区预装进用户智能卡3020的EEPROM内，因此，最终用户可通过该操作者对节目广播进行解密。但是，正如以下将说明的那样，最终用户(订户)可在以后用管理区域153响应其智能卡3020所生成的交易输出信号来自动地创建另一个操作者ID区。

每个操作者区154、155、156均包含有智能卡3020所属的组的标识以及智能卡在该组中的位置。这一数据能使智能卡(以及组中的其它智能卡)响应一具有该组地址(不是智能卡在该组的位置)的广播“组”预订EMM并响应仅发送给组内该智能卡的“个别”(或商业节目预订)EMM。每组可以有256个成员智能卡，所以，这一特征可显著地降低广播EMM所需的带宽。

为了进一步减少广播“组”预订EMM所需的带宽，可连续地更新智能卡3020及其它子智能卡的EEPROM里的每个操作者区154、155、156和所有相似的存储区中的组数据，从而使一特定的智能卡改变在各组中的位置，以填补例如删除组成员所形成的空缺。正如在有一空缺表的STM服务器3104中那样，所说的空缺可由SAS3002来填补。

通过这种方式，可以减少碎片，并且将各组的成员数保持在或接近最多的256个成员。

每个操作者区154、155、156均与存储在EEPROM150内的一个或多个“操作者数据对象”相关联。如图19所示，一系列动态创建的“操作者数据”对象157-165位于操作者ID区的下方。这些对象中的每一个对象均标记有：

a)一“标识”1、2、3...N，它们对应于相关的操作者1、2、3...N，如图19中左面部分所示；

b)一“ID”，它指明了对象的类型；以及

c)一为数据保留的“数据”区，如图19中各相关操作者对象的右面部分所示。应该认识到，各个操作者均与一组类似的数据对象相关联，因此，以下对操作者1的数据对象中的数据类型的说明也适用于所有其它操作者的数据对象。还应注意，所述数据对象位于EEPROM的相邻物理区内，它们的顺序并不重要。

删除数据对象会在智能卡中形成一“空缺”166，也就是说，被删除的对象先前占用的字节未被立即占用。因此，将“被闲置”的字节或“空缺”标记有：

a)一“标识”0；以及

b)一“ID”，它指明上述字节是空的以接收一对象。

所创建的下一个数据对象填补标识0所标记的空缺。通过这种方式，能充分地利用EEPROM150的有限存储容量(4千字节)。

以下参照与各操作者相关联的数据对象组来说明前述数据对象的实例。

数据对象157包含有EMM关键字，它用于对接收器/解码器2020所接收的加密EMM进行解密。所述EMM关键字永久地存储在数据对象157内。可在发放智能卡3020之前创建数据对象157，并且/或者，在创建一新操作者区(如前所述)时动态地创建数据对象157。

数据对象159包含有ECM关键字，它们是由相关操作者(在本例中是操作者1)所发送的，以便使最终用户能够对他所预订的特定节目组进行解密。一般每个月都发送新的ECM以及组预订(更新)EMM，这种EMM可对整个晚上都在观看来自操作者1(在本例中)的广播的最终用户进行更新。使用独立的EMM和ECM关键字允许按不同方式(在本实施例中通过预订和个别(有偿收视服务)的方式)购买收视权限并且还能提高安全性。以下将说明有偿收视服务(PPV)模式。

由于周期性地发送新ECM关键字，因此，关键是防止用户例如通过关闭接收器/解码器或重置时钟以防旧的ECM到期从而越过接收器/解码器中的计时器来使用旧的ECM关键字。因此，操作者区154包括这样的区域(一般具有2字节的大小)，该区域包含有ECM关键字的到期日期。智能卡3020能将这一日期与包含在所接收到的ECM中的当前日期作比较并且若当前日期比前述到期日期晚就阻止进行解密。如上所述，通过EMM来传送所说的到期日期。

数据对象161包含有一64位的预订位图，它可精确地表示用户所预定的广播操作者的节目。每一位都表示一个节目，并且，若节目已被预订，则将该位设成“1”，若节目未被预订，则将该位设成“0”。

数据对象163包含有一定量的代币，用户在PPV模式中可用该代币例如根据免费预告或其它广告来购买对即将到来的广播的收视权限。数据对象163还包含有一限制值，它可被设置为例如为负值以允许用户赊账。可例如用信用卡并通过带调制解调器的反向信道4002或者用与信用卡相结合的语音服务器来购买代币。可将特定的节目事件收费为一个代币或多个代币。

数据对象165包含有对PPV事件的描述，如图20的表167所示。

PPV事件描述表167包含有：一“会话ID”168，它标识出(与节目以及广播时间和日期相对应的)收视会话；一“会话模式”169，它指示如何购买收视权限(例如按预约模式购买)；一“会话下标”170；以及，一“会话收视服务”171。

就按PPV模式接收节目而言，接收器解码器2020确定该节目是否是按PPV模式出售的节目。如果是这样的话，解码器2020就用存储在PPV事件描述表167中的项目来检查该节目的会话ID是否存入了描述表167。如果描述表中已存入了会话ID，就从ECM中抽取出所说的控制字。

如果描述表中未存有会话ID，接收器/解码器2020就通过一专门的应用程序将一消息显示给最终用户以指示该用户具有如从ECM中读出那样按例如25个代币的费用来收视会话的权限或者具有与通信服务器3022相连以购买节目事件的权限。在使用代币的情况下，如果最终用户(用遥控器2026(见图2))回答“是”，则解码器2020就将ECM发送给智能卡，智能卡将该卡3020的钱夹中减去25个代币并将会话ID168、会话模式169、会话下标170以及会话收视服务171写进PPV事件描述表167且从ECM中抽出所述控制字并对其解密。

在“预约”模式中，将一EMM传给智能卡3020，因此，该智能卡会用上述EMM将会话ID168、会话模式169、会话下标170以及会话收视服务171写进PPV事件描述表167。

可将会话下标170设置成使一个广播节目区别于另一个广播节目。这一特征允许对广播节目的一个子集例如五分之三的广播节目进行授权。一将带有与存储在PPV事件描述表167内的当前会话下标170不同的会话下标的ECM传给智能卡，就将会话收视服务171减一。当会话收视服务达到零时，智能卡就拒绝对带有与当前会话下标不同的会话下标的ECM进行解密。

会话收视服务的初始值仅取决于广播节目提供商希望限定所涉及到节目事件的方式，用于相应节目事件的会话收视服务可取任何值。

智能卡中的微处理器110执行一计数和比较程序以检测何时达到了对特定节目收视次数的限制。

可用前述“回叫”过程来从智能卡中抽取出PPV事件描述表167中的所有会话ID168、会话模式169、会话下标170和会话收视服务171。

每个接收器/解码器2020均包含有一标识，它可唯一地标识出上述接收器/解码器2020或标识出该接收器/解码器的生产厂商或者可按某种其它方式对接收器/解码器进行分类，以使该接收器/解码器仅能同一种特定的智能卡、由相同或相应生产厂商制造的特定类的智能卡或者仅能供该类接收器/解码器使用的任何其它类的智能卡一道工作。

通过这种方式，可防止由一个广播节目提供商所提供给用户的接收器/解码器2020使用未经授权的子智能卡3020。

除智能卡与接收器之间“握手”以外，智能卡3020的EEPPOM可包含有说明接收器/解码器2020能发挥作用的类型的字段或位图。这些类型是在生产所述智能卡3020的过程中或者由特定的EMM来指定的。

存储在智能卡3020中的位图一般包括多达80个接收器/解码器的列表，每个接收器/解码器均标识有一相应的接收器/解码器ID，智能卡可与该ID一道使用。与各接收器/解码器相关联的是状态“1”或“0”，它们分别指示智能卡是否能与接收器/解码器一道使用。接收器/解码器的存储器2024中的程序在存储于智能卡内的位图中查找接收器/解码器的标识。如果找到该标识，且与该标识相关的值是“1”，则智能卡“有效”，如果未找到该标识，则智能卡不能与所述接收器/解码器一道使用。

此外，如果通常是因为操作者之间有协议而希望授权在特定的接收器/解码器中使用其它的智能卡，则将一特定的EMM发送给这些智能卡以通过收发器2014改变智能卡的位图。

各广播节目的提供商均根据某些特定的标准来区分它的用户。例如，可将某些用户分成“VIP”。因此，各广播节目提供商可将其用户分成多个子集，每个子集均包括任何数量的用户。

将特定用户所属的子集设定在SMS3004中。SAS3002将EMM传给这样的用户，该用户将与他所属的子集有关的信息(一般长度为一个字节)写进智能卡的EEPROM的相关操作者数据区例如154内。当广播节目提供商广播节目事件时，就连同该事件传送一通常为256位的ECM，以指示哪个子集的用户可以收视所说的事件，如果正如ECM所确定的那样依照存储在操作者区内的信息用户不具有收视前述事件的权限，则拒绝收视节目。

例如可利用这一功能在传送特定节目特别是与一特定地理区域内举行的运动会有关的节目期间关闭该地理区域内的所有给定操作者的智能卡。通过这一方式，足球俱乐部或其它运动实体可以出售他们所在地之外的广播权限同时能防止地方支持者在电视中收视运动会。通过这种方式，可以鼓励地方支持者购票参加运动会。

与存储区151至172有关的各个特点均可看作是与动态创建存储区无关的独立发明。

应该认识到，以上完全是以举例的方式来说明本发明的，在本发明的范围内可对细节进行改进。

可独立地或以任何适当的组合形式来提供本说明书中公开的各个特征以及(在适当情况下)权利要求和附图。

在上述最佳实施例中，用计算机软件实现了本发明的某些特征。但是，对专家来说当然是很清楚，也可用硬件来实现这些特征中的任何一个。此外，应该认识到，可用电或类似的信号来实现用硬件、计算机软件或类似手段所实现的功能。

交叉引用了我们共同未决的申请书，所有这些申请书有着相同的提交日期，题目为：“信号生成与广播”(代理人委托号PC/ASB/19707)，“供加密广播信号的接收器使用的智能卡以及接收器”(代理人委托号PC/ASB/19708)，“广播和接收系统以及用于上述系统的有条件访问系统(代理人委托号PC/ASB/197010)，“通过接收器/解码器将计算机文件从发射器下载到计算机上”(代理人委托号PC/ASB/19711)，“电视节目和其它数据的传送和接收”(代理人委托号PC/ASB/19712)，“下载数据”(代理人委托号PC/ASB/19713)，“计算机存储器组织”(代理人委托号PC/ASB/19714)，“电视或无线电控制系统的开发”(代理人委托号PC/ASB/19715)，从传递的数据流中抽取数据部(代理人委托号PC/ASB/19716)，“访问控制系统”(代理人委托号PC/ASB/19717)，“数据处理系统”(代理人委托号PC/ASB/19718)，“广播和接收系统以及用于该系统的接收器/解码器和遥控器”(代理人委托号PC/ASB/19720)。本文引用了这些文件的内容。上述申请书清单包括了本申请书。

Claims (13)

1.一种用在加密的广播信号接收机上的智能卡，加密的广播信号通过至少一个广播提供商来广播，该智能卡包括：

一微处理器，用于启动或控制对加密的广播信号的解密；以及

一连接在所述微处理器上的存储器；

其特征在于：所述微处理器适于通过在所述存储器中分别动态地创建的各区域而实现或控制来自加密的广播信号的各广播提供商的多个加密的广播信号的单独解密，所述动态创建的每个区域存储与各个所述广播提供商有关的解密数据，智能卡还包括一管理存储区，包含与智能卡控制所述动态创建的区域的动态创建或清除的权利相关的数据。

2.如权利要求1的智能卡，还包括与所述广播提供商的各个提供商有关的标识和至少一个解密密钥，所述标识和/或每一密钥存储在所述动态创建的区域之一中，并对具有与该标识对应的身份的广播信号解密并且利用与该解密密钥对应的加密密钥加密。

3.如权利要求1的智能卡，还包括智能卡所属分组的标识和另一个标识智能卡在该分组中的位置的标识，而智能卡所属分组的标识和另一个标识智能卡在该分组中的位置的标识存储在一个动态创建的区域中，并设置为对具有与智能卡所属分组的标识对应的身份的广播信号解密。

4.如权利要求1的智能卡，所述智能卡上保持有包含各广播提供商身份的第一系列存储区，和

第二系列动态创建的存储区，在第二系列中的存储区的每一个都标有广播提供商的身份并且包含包括解密数据的数据，该解密数据用于处理从该提供商处接收的广播信号，在第二系列中的多个存储区具有一个公共的身份标识并且包括不同级的与从广播提供商处接收的广播信号的处理有关的数据。

5.如权利要求4的智能卡，所述智能卡可动态地创建所述第一系列的存储区。

6.如权利要求1-3之一的智能卡，其中动态创建的存储区是连续的。

7.如权利要求1-5任意之一的智能卡，其中所述动态创建的区域的一个包含权利数据，该权利数据表示对广播提供商广播的广播条目的具体选定进行解密的权利，该智能卡可利用所述权利数据对该广播提供商广播的条目进行解密。

8.如权利要求1-3之一的智能卡，其中在所述动态创建的区域之外还在智能卡中定义一个交易存储区，并且还包括与广播提供商广播的条目有关的权利数据，智能卡的用户有权仅根据可在用户的控制下由智能卡产生的交易输出信号进行解密该条目。

9.如权利要求8的智能卡，还包括一个计数器，用于对随着所述交易输出信号的输出而广播的条目的出现次数计数，智能卡还根据由所述计数器所达到的计数值控制该条目的解密。

10.一种组合设备，包括：

如权利要求1-9中任意之一的智能卡；

接收器/解码器；

其中该接收器/解码器包括一个智能卡读出器，该接收器/解码器可在智能卡的控制下对广播加密的信号进行解密。

11.如权利要求10的组合设备，所述接收器/解码器用来对加密广播视频和/或音频信号解密，和产生对应的视频和/或音频输出。

12.如权利要求10的组合设备，所述接收器/解码器具有用于接收所述加密的广播信号的较高带宽的输入口，和用于将输出控制信号送回广播发射机的较低带宽的输出口。

13.如权利要求10的组合设备，所述接收器/解码器包含一个存储的标识，并仅在智能卡具有一个对应的存储标识时才工作。

Images