CN1192623C

CN1192623C - 鉴别和许可时期的方法

Info

Publication number: CN1192623C
Application number: CNB018014526A
Authority: CN
Inventors: E·J·斯普朗恩克
Original assignee: General Instrument Corp
Current assignee: Arris Technology Inc
Priority date: 2000-05-26
Filing date: 2001-05-02
Publication date: 2005-03-09
Anticipated expiration: 2021-05-02
Also published as: CN100361526C; KR20020019575A; WO2001093586A2; WO2001093586A3; WO2001093580A9; WO2001093577B1; CA2379128A1; AU2001261146A1; CA2377678A1; WO2001093580A3; AU2001261179A1; US20020002706A1; JP2003535519A; EP1285532A2; EP1290887A2; AU2001261152A1; WO2001093577A3; CA2377679A1; CA2377729A1; WO2001093577A2

Abstract

根据本发明，揭示一种用于使与内容接收机相关联的目标安全的方法，所述内容接收机是条件接入系统的一部分，所述方法包括下列步骤：由内容接收机经由安全信道接收目标；检验目标的许可状态；当该许可状态表明该目标被许可时，把目标装载到内容接收机的存储器中；开始定时器计数；确定定时器何时期满；执行因确定该定时器已期满而产生的一个事件，其中，对该事件的执行引起安全动作的产生；以及当确定该定时器已期满时，改变该许可状态。

Description

鉴别和许可时期的方法

本申请是2000年5月26日提交的第09/580,303号美国专利申请的部分继续申请。

技术领域

本发明一般涉及安全接入系统，尤其涉及在与条件接入系统相关联的内容接收机中的安全信息。

背景技术

有线电视(TV)提供器借助条件接入(CA)系统把视频流分发给用户。CA系统从有线电视提供器的头端(headend)把视频流分发给与用户相关联的机顶盒。头端包括接收视频流并把它们分发到CA系统中的机顶盒的硬件。根据有线电视提供器发送到机顶盒的授权信息，允许选择机顶盒对某些视频流进行解码。以相似的方法，其它视频节目提供器使用卫星抛物面天线把视频内容无线地分发到机顶盒。

向所有机顶盒广播视频节目，但是只给予这些机顶盒的子设备接入特定的视频节目。例如，即使每个机顶盒可以接收拳击比赛的加密数据流，但是只允许已经预订付费观看的那些机顶盒用户观看拳击比赛。一旦用户预订按观看付费节目，就以加密的形式把授权消息广播到所有机顶盒。只有授权消息指定的特定机顶盒可以对加密的授权消息进行解密。在加密的授权消息中有一个密钥，该密钥将对每个按观看付费节目进行解密。当机顶盒实时接收按观看付费节目时，机顶盒用该密钥对它进行解密。某些系统用标志表示授权消息。

只有在最近，具有多个小时的存储量的视频才变成现实。把每个视频节目作为压缩的MPEG2数据流发送到机顶盒。一个小时的视频相当于约1千兆字节的压缩数据。由于当今多个千兆的存储量是很普通的，所以现在可以存储多个小时的视频。对比之下，传统CA系统设想内容是短暂的，而且不能存储。换言之，传统系统的设计是假设视频节目太大以致用任何时间周期都无法保存。熟悉本技术领域的人员会理解，存储多个千兆视频节目的能力引起对于在CA系统中的另外的安全措施的需求。

某些系统使个人计算机与电视机结合以显示内容。诸如WebTV^TM之类的产品把网(web)浏览和电子邮件特征与电视机结合。在其它系统中，把个人计算机(PC)连接到互联网服务提供器(ISP)，所述互联网服务提供器提供网浏览和电子邮件特征的内容。诸如电子邮件程序之类的软件程序趋向于小型化和便于存储。熟悉本技术领域的人员会理解，这些PC机不提供合适的安全性，致使它们容易受到病毒和黑客的影响。

如上所述，传统CA系统只检查视频流的授权。随着较大存储量和较小的互联网有关程序的出现，可以使内容无限期地存储和驻留在用户处。需要另外的安全措施来保持对这个内容的控制。

发明内容

根据本发明的一个方面，提供一种用于使与内容接收机相关联的目标安全的方法，所述内容接收机是条件接入系统的一部分，所述方法包括下列步骤：

由内容接收机经由安全信道接收目标；

检验目标的许可状态；

当该许可状态表明该目标被许可时，把目标装载到内容接收机的存储器中；

开始定时器计数；

确定定时器何时期满；

执行因确定该定时器已期满而产生的一个事件，其中，对该事件的执行引起安全动作的产生；以及

当确定该定时器已期满时，改变该许可状态。

根据本发明的另一方面，提供一种用于使与内容接收机相关联的目标安全的方法，所述内容接收机是条件接入系统的一部分，所述方法包括下列步骤：

通过内容接收机接收目标；

检验目标的许可状态；

开始使用计数器计数；

确定使用计数器何时到达极限；

在确定步骤之后询问内容接收机的用户购买目标；以及

当确定使用计数器到达极限时，改变该许可状态。

附图说明

以下结合所附的图描述本发明：

图1是方框图，示出内容传递系统的一个实施例；

图2是示出机顶盒的一个实施例的方框图，所述机顶盒连接到它的环境；

图3是示出一个过程的实施例的流程图，用于按第一安全等级分发目标；

图4是示出一个过程的实施例的流程图，用于按第二安全等级分发目标；

图5是方框图，描绘许可消息的一个实施例；

图6是方框图，示出软件消息的一个实施例；

图7是方框图，示出签名组的一个实施例，所述签名组包括许可消息和软件消息的一部分；

图8是方框图，示出“权利”消息的一个实施例；

图9是方框图，示出在功能单元之间的交互的实施例；

图10是描绘一个过程的实施例的流程图，用于按第三安全等级装载目标；

图11是示出一个过程的实施例的流程图，用于按第四安全等级装载目标；

图12是描绘一个过程的另一个实施例的流程图，用于按第四安全等级装载目标；

图13是示出一个过程的实施例的流程图，用于按第五安全等级检查连续运行的目标；

图14A是示出一个过程的实施例的流程图，用于按第六安全等级免费预检目标；

图14B是示出一个过程的另一个实施例的流程图，用于按第六安全等级免费预检目标；

图15A是示出一个过程的实施例的流程图，用于按安全等级7监测返回到头端的报告；

图15B是示出一个过程的实施例的流程图，用于按安全等级7监测安全检查；

图15C是示出一个过程的另一个实施例的流程图，用于按安全等级7监测安全检查；

图16A是一个过程的实施例的流程图，用于按第八安全等级产生部分加密的目标；

图16B是描绘一个过程的实施例的流程图，用于使用执行标志来实现第八安全等级；

图16C是描绘一个过程的实施例的流程图，用于使用部分下载来实现第八安全等级；

图17是方框图，示出在机顶盒中的不同目标之间的关系。

具体实施方式

以后的描述只提供较佳示例实施例，但不想用以限制本发明的范围、应用或配置。相反，以下描述的较佳示例实施例将向熟悉本技术领域的人员提供实施本发明的较佳示例实施例的一个说明。可以理解，可以对功能和元件配置进行各种变化而不偏离所附权利要求书所限定的本发明的精神和范围。

本发明确认在电视(TV)机顶盒中授权使用诸如软件之类的功能单元。目标和资源是功能单元的两个例子。依靠时间和用途计数器来触发目标上的检查点，目标驻留在机顶盒内。检查点包括检验目标的鉴定和/或许可。这些连续的检查对条件接入系统中的目标提供了正在进行的控制。

在图中，相似的组成部分和/或特征可以用相同的标号。此外，通过在标号后面跟随一个破折号和区分相似组成部分的第二标号可以区分相同类型的各种组成部分。如果在说明中只使用第一标号，则描述可应用于具有相同第一标号的任何一个相似的组成部分而不管第二标号。

首先参考图1，图中示出内容传递系统100的一个实施例的方框图。传递系统100根据所满足的某些条件把内容选择地提供给许多用户。在系统100中包括头端104、许多机顶盒108、本地编程接收机112、卫星抛物面天线116以及互联网120。

头端104接收内容并把该内容分发给用户。内容可以包括视频、音频、交互视频、软件、固件和/或数据。从多种源接收这个内容，所述源可以包括卫星抛物面天线116、本地编程接收机112、微波接收机、分组交换网、互联网120等。每个机顶盒108具有唯一的地址，所述唯一的地址允许把授权信息发送到各个机顶盒108。如此，一个机顶盒108-1可能有权利拥有某个特定的内容，而另一个108-2可能无权拥有。在头端104内调节机顶盒108的子设备的设备有权利处理某些特定内容。

一般通过包含多个内容流的模拟载波信道以数字形式分发内容。使所有内容流一起多路复用到根据模拟载波信道调制的一个数字流中。通过分组识别(PID)信息跟踪各单独的内容流，致使可以根据各个内容流的唯一的PID信息取出个别内容流。在系统100的实施例中约有一百二十个模拟载波信道。其它实施例可以用传递机构分发内容，所述传递机构包括卫星抛物面天线、微波天线、RF发射机、分组交换网、蜂窝数据调制解调器、载波电流、电话线路和/或互联网。

接着参考图2，图中示出显示系统200的实施例的方框图。这个实施例通过多种安全机构提供目标和资源安全的多个等级。在显示系统200中包括机顶盒108、网络208、打印机212、电视(TV)显示器216以及无线输入装置218。使这些项目如此地结合，致使用户能够欣赏通过内容提供器传统地分发的内容。内容可以包括视频、音频、软件、固件、交互电视、数据、文本和/或其它信息。在本实施例中，内容提供器是有线电视提供器或多个系统操作器(MSO)。

网络208用作机顶盒108和有线电视提供器的头端104之间传送信息的输送管道。在本实施例中，网络208具有一百二十个模拟信道和双向控制数据信道。一般，模拟信道携带内容而控制数据信道携带控制和授权信息。每个模拟载波信道具有多路复用到一个数据流的许多数字信道，其中，通过分组识别符(PID)来区分各数字信道。双向控制信道是带外信道，它用一个频率向机顶盒108广播数据，而用另一个频率从机顶盒108接收数据。使用本技术领域中众知的存储-和-传递方法，可以使返回数据排队，以降低高峰使用期间的过载。其它实施例可以使用有线调制解调器、数字用户线路(DSL)、蜂窝数据、卫星链路、微波链路、载波电流输送、或用于控制信息和内容两者的其它网络连接，其中，使内容格式化为分组交换数据。

打印机212是任选的附件，某些用户可以购买并添加到他们的显示系统200上。当为个人计算机任务使用机顶盒108时，打印机212允许打印诸如电子邮件、网页、单据信息等数据。如将在下面进一步说明，通过许可检查来调整使用诸如打印机之类的外围设备的能力。使用这个调整特征，与机顶盒108兼容的打印机212不工作，除非得到正确的许可为该机顶盒108启动打印机212。

电视显示器216向用户显示相应于内容的音频、文本和/或视频。显示器216一般接收调制在载波上的模拟视频信号，所述载波相应于信道3、信道4或组合信道。例如，机顶盒108产生调制到合适信道上的NTSC信号。其它实施例可以使用视频监视器或数字显示器来代替电视显示器216。使用数字显示器将减轻对于通过机顶盒108的模拟转换的需求，因为诸如液晶显示器之类的数字显示器使用数字信息来形成所显示的图像。

无线输入装置218允许在用户和机顶盒108之间的交互。装置218可以是远程控制器、鼠标、键盘、游戏控制器、光笔输入板或其它输入机构。在输入装置218上的红外收发器与在机顶盒108上的相似收发器进行通信，以允许无线通信。在其它实施例中，可以使用RF链路或有线链路来代替红外收发器。

机顶盒108具有执行目标和资源的鉴别和许可的组成部分。目标是诸如软件、驱动器、固件、数据、视频或音频之类的数字信息的任何收集。软件可以包括软件程序和/或一个软件动态链路库或许多软件动态链路库。资源是目标按指定进行操作所需要的任何东西，诸如另外的目标或物理装置。在机顶盒108中包括控制器220、存储器228、打印机端口232、网络端口236、接入控制处理器240、显示接口244以及红外(IR)端口248。这些块经过总线230相互通信，在总线上，每个块具有不同的地址，以在总线230上唯一地识别它。一般，机顶盒108是一个独立的装置，但是也可以和电视显示器216、计算机、信息设备或个人视频记录器(PVR)结合在一起。

控制器220使用可信或安全操作系统管理机顶盒108的操作。在控制器220中执行诸如数字目标解密和解除压缩之类的功能，以及诸如交换用户的电视信道和向用户显示菜单之类的功能。在控制器220中包括处理器、加密引擎、本地存储器以及在计算机系统中通用的其它项目。

在其它实施例中，为了密钥保护或密码处理的目的，控制器220还可以包含附加的安全微处理器。这在要求高度安全的某些系统中可能是合适的。

机顶盒108包括存储器228的块。存储器228是固态存储器，它可以包括RAM、ROM、闪存以及其它类型的易失性和非易失性存储器。把目标和资源存储在存储器中，用于在较晚时间运行。在执行期间，把程序装载到存储器228中，并在存储器228中执行，而且还使用存储器228，用于中间结果暂存器空间。可以把密钥、序列号和许可存储在非易失性快速存储器中。

本实施例包括打印机端口232，用于连接到任选的打印机212。除非许可，程序不可得到打印机端口232的资源。如下进一步说明，每个目标必须具有使用诸如打印机端口232之类的资源的许可。借助有线或无线传送机构，以串行或并行的格式，把数据从打印机端口232发送到打印机212。

通常规定，检查点是确认功能单元的鉴别和/或许可状态的时间上的一个点或处理的步骤。当请求打印时碰到一个检查点。检查点对请求打印的目标进行许可和鉴别。当在另一个目标上运行鉴别和/或许可(例如，操作系统检查正在运行的应用程序的鉴别和许可)时，把检查点放置在一个目标中。理想地，当目标的目的变得显露时执行检查点。在打印机端口232的情况下，当使用它打印一些东西时，它的目的变得显露。相应地，当打印任何东西时，触发一个检查点来检查使用打印机端口232资源的目标。一般，用于打印的检查点是在操作系统中的。

其它类型的目标将具有相应于一个检查点的其它目的，以致当目的变得显露时需要鉴别和/或许可。例如，可以把一个目标存储在长期存储器中。从长期存储器读出目标将触发一个检查点。当把目标装载到短期固态存储器中时，碰到其它检查点。当把目标从长期存储器移动到短期存储器中时，可以计算新的签名。任何时候当从短期读出目标，并通过控制器220处理时，可能碰到另一个检查点。此外，如果把目标显示在屏幕上或通过扬声器再现，则可能碰到另一个检查点。各个实施例可能具有一个或多个这种检查，所述检查是机顶盒200在处理的不同阶段执行的。

网络端口236允许机顶盒108和头端104之间的双向通信。在网络端口236中包括调谐器和解调器，用于调谐到模拟载波信道和解调MPEG数据流以允许内容的单向传递。在网络端口236中还包括控制数据收发机或有线调制解调器，它允许控制数据信息和/或内容的双向通信。可以使用存储和传递方法，以把控制数据路径的装载更均匀地分发到头端104。

通过显示接口244执行调制，把数字视频信号调制到与电视显示器216兼容的模拟信号上。如上所述，电视显示器216一般接收调制在信道3、信道4或组合信道上的信号。对于诸如LCD显示器之类接收数字输入的显示器，显示接口244执行数字输入所需要的任何格式。

红外端口248与无线输入装置218进行双向通信。在红外端口248中包括红外收发器，它把无线通信路径提供给输入装置218。在红外端口248中的其它电子线路把通过收发器接收的模拟信号转换成相应的数字信号，并把相应的数字信号转换成发送到收发器的模拟信号。控制器220处理数字信号，以致用户可以控制在机顶盒108中的某些功能。

接入控制处理器(ACP)240调整在机顶盒108中的安全功能。例如，ACP 240在控制器220的引导下，或独立于控制器220而执行鉴别和许可，这将在下面的讨论中变得清楚。ACP 240包括处理器、RAM和ROM以执行它的任务，所述处理器、RAM和ROM结合在一起以执行独立于控制器220的软件。ACP 240还包括解密引擎和散列函数(hash function)，用于对内容解密和计算签名。把检查点嵌入软件运行中，所述软件运行触发ACP 240以执行安全检查。在本实施例中，在硬件中实施ACP 240，但是其它实施例可以在软件中执行ACP 240的功能。

ACP 240还可以屏蔽操作系统(OS)以保证操作系统的正确功能。通过监视目标的发送(launch)，ACP 240可以监测哪个应用程序目标正在运行。如果需要，如果检查点检测到差错或如果许可已期满，则ACP 240可以切断或停止运行应用程序的执行。此外，ACP 240可以监测存储器228，以检测在存储器228中有任何未许可的应用程序。还应该监测中间结果暂存器的大小，以检测隐藏在暂存器中的应用程序。此外，ACP 240可以随机地执行在存储器228中的目标上的检查点，以确认它们的许可和/或可靠性。把ACP 240碰到的问题向操作系统或头端104报告。用这些方法，ACP 240在机顶盒108中的作用是作为软件安全保护泥塞(bot)，以致检测和报告异常的性能。

接着参考图3，图中示出一个过程的实施例的流程图，用于按第一安全等级分发目标。在步骤304中开始该过程，其中在头端104中制定授权消息。在授权消息中包括可以对相关联的目标进行解密的密钥。在步骤308中，经过网络208把授权消息和目标发送到机顶盒108。在接收授权消息和目标之后，在步骤316中使它们相关在一起。在步骤320、324和328中，从授权消息获取密钥，并在把目标写入存储器228之前使用密钥对目标进行解密。通过使用加密，这个过程提供目标的鉴别和许可两者。

在某些实施例中，在把机顶盒108运送给用户之前，在受控制的环境中把密钥装载到机顶盒108中。例如，在工厂中装配期间，把对称和不对称密钥装载到机顶盒108中。在每个机顶盒108中可能存储唯一的密钥或共用的密钥(global keys)，以允许经过加密信道保护内容的多点传输或单点传输(singlecast)。可以使用这个信道以在以后添加、删除和改变密钥。通过使用密钥，多个系统操作员(MSO)可以控制接入到内容而无需与用户进行交互。

接着参考图4，图中示出一个过程的实施例的流程图，用于按第二安全等级分发目标。在第二等级的安全中，使用签名来鉴别下载的目标。换言之，当下载时，第二等级的安全把检查点施加在目标上。在签名组上产生签名，所述签名组包括在步骤404中的头端104中的部分许可消息和目标信息。许可消息是与目标消息有关的元数据，而目标消息包含打算供机顶盒108用的目标。

在步骤408中，经过网络208分别把在许可消息和目标中的签名发送到机顶盒108。最好使用不对称签名(例如，基于RSA、DSA或ECC的)，但是也可以使用对称签名(例如，DES或三重-DES)。在接收到签名和目标，并在存储目标之前，在步骤420和424中通过ACP 240计算和检查签名。如果计算的签名和接收的签名匹配，则在步骤428中存储目标。另一方面，如果不匹配，则在步骤432中丢弃目标，处理环路返回步骤412，以等待另一个目标的拷贝。

参考图5-7，以方框图形式分别示出许可消息500、软件消息600和签名组700。在图5的许可消息500中包括许可标头504、许可数据结构508、签名512以及第一检查和516。许可消息500具有用于鉴别和许可软件消息600的信息。目标标头604、软件目标608和第二检查和612形成图6的软件消息。软件消息600的作用是作为软件目标608的传送器。签名组700包括安排成终端对终端的许可消息500和软件消息600的组成部分。尤其，图7的签名组700包括许可标头504、许可数据结构508、目标标头604、以及软件目标608。在整个签名组700上计算签名512。

许可标头504表示许可消息500的组成。在许可标头504中包括子类型识别符和消息版本。子类型识别符使各种类型的许可消息500相互区分。在本实施例中，存在相应于软件目标和资源的许可消息子类型。软件目标子类型具有相应的软件消息600，但是资源子类型没有。相应地，使用子类型识别符来确定是否存在与许可消息500相关联的软件消息600。对于给定的系统，可能有数种类型的软件目标子类型和资源子类型，而消息版本允许区分各种类型。

许可数据结构508提供到机顶盒108的功能单元的要求。功能单元是软件目标或资源。在相应于软件目标的许可消息子类型的情况下，许可数据结构508包含目标或功能单元识别符、软件版本、成本信息、权利信息、寿命信息以及一个或多个程序层(program tier)。目标识别符对于每个软件目标608是唯一的，并允许把许可消息500赋予它相应的软件消息600。版本信息包括在数据结构508中，以表示软件目标608的版本。

使用部分许可数据结构508来确定到机顶盒108的软件目标608的可用性。成本信息向机顶盒108表示，并且有时向用户表示，与软件目标608相关联的价格。使用授权信息来确定是否许可特定机顶盒108接收软件目标608。如果用对称密钥对软件目标608进行加密，则授权信息可以包括密钥。如果不许可机顶盒108接收软件目标608，则当接收时不需要处理相应的软件目标608。寿命信息允许定出软件目标608的终止期限，以防止在某个日期或时间之后使用。使用程序层把软件目标608的许可限制到预定的层，致使机顶盒108只能访问在预定层中的软件目标608。

使用签名512来验证许可消息500和相应的软件消息600两者的一部分是可信的。在整个签名组上运行诸如SHA-1或MD5之类的散列函数，此后，通过诸如RSA、ECC和DSA之类的签字算法运行结果以产生签名。另一方面，可以对于散列函数使用简单的CRC算法，此后，可以通过诸如三重-DES或DES之类的加密算法发送结果以产生签名512。当汇编许可消息500时，在把签名512插入许可消息500之前，头端104在整个签名组700上计算签名512。机顶盒108根据许可和软件消息500、600两者的接收而计算签名组700的签名。一旦计算了签名，就把所接收签名512对照许可和软件消息500、600两者的鉴别部分进行检查。如果签名不匹配，则因为机顶盒108假定软件消息600是从不合适的源来的而丢弃软件消息600。除了其它原因之外，某些实施例可能使用多个签名来支持在系统100中的不同机顶盒108。

用线性或非线性算法计算第一和第二检查和516、612。当数据经过网络216传送到机顶盒108时，这些检查和516、612验证数据的完整性。例如，检查和可能是循环冗余检查(CRC)，它对于在消息中的每个字节执行无进位的二进制加法。当正在发送消息500时，消息假脱机系统208计算检查和516，并把检查和516附到消息500的结束处。相反，机顶盒108在接收消息500时计算检查和，并对照在所接收消息500中的检查和516来检查计算的检查和。如果计算的检查和与接收的检查和不匹配，则在发送中发生差错。丢弃有差错的消息500、600，此后，头端104可能发送替代消息500、600。某些实施例可能使用数字签名而不是检查和。

目标标头604包括软件消息600的属性。在目标标头604中包括标头长度、软件目标长度、目标识别符、软件版本以及域识别符。标头长度和软件目标长度分别表示目标标头604的长度和软件目标608的长度。如上所述，目标识别符提供唯一的代码，所述代码允许把许可消息500赋予软件消息600。软件版本表示软件目标的版本。把域识别符分配给不同的有线提供器，致使可能接收软件目标608的所有机顶盒108可以筛选与它们的域相关联的软件目标608。

软件目标608包括设计系统200的内容以传递到机顶盒108。在软件目标中可以嵌入数种类型的信息，诸如可执行的程序、固件升级、运行-时间程序(例如，Java或ActiveX)、编程调度、单据信息、视频、音频或数据。可以紧接在鉴别和许可之后立即使用软件目标608或在较晚时间使用。此外，可以对许可进行编程以在某个时间量之后期满。

特别参考图7，图中示出签名组700。组700包括许可消息500和软件消息600两者的一部分。在签名组700中包括用于计算签名512的所有数据。因为签名512需要来自许可消息500和软件消息600两者的组成部分，所以失败的签名检查表示不能够验证许可消息500和软件消息600中之一是从可信的源始发的。可信的源是产生签名512的头端104。如果有多个签名512，则机顶盒108选择它认为能鉴别签名组700的至少一个签名512。

接着参考图8，在图中以方框图形式示出“权利”消息800的实施例。权利消息800传递权利以使用功能单元。功能单元可以是目标或资源。一般，每个机顶盒108有一个权利消息800，它指定对于所有功能单元的任何权利。对照权利检查从与目标和资源相关联的许可消息500来的要求，以确定是否许可与其它目标或资源进行交互。权利消息800允许把新权利从远处添加到与机顶盒108相关联的功能单元。虽然未示出，但是授权消息800一般包括数字签名，以验证在传送期间消息800的完整性。在某些实施例中，可以使用检查和来代替数字签名。

权利标头804包括授权消息800的属性。在权利标头804中包括标头长度、权利数据结构长度、机顶盒108识别符以及域识别符。标头长度和权利数据结构长度分别表示权利标头804和权利数据结构808的长度。为了鉴别的目的，机顶盒108识别符提供唯一的代码，它允许把权利消息800赋予系统100中的特定的机顶盒108。

使用在权利数据结构808中的信息把权利传递到所有功能单元。给定的功能单元可以具有使用数个其它功能单元的权利。在权利数据结构808中包含这些权利。每个功能单元识别符列出层权利，使用所述层权利把权利赋予特定的功能单元。功能单元可以已经在机顶盒108中，或可以在较晚时间下载。

接着参考图9，以方框图形式示出功能单元之间的交互。与机顶盒108相关联的功能单元包括机顶盒资源904、打印机驱动器目标908、电子邮件目标912以及打印机端口资源914。在这些功能单元的正常交互期间，碰到触发许可检查的检查点。下表使权利和要求与图9中的每个功能单元相关。功能单元识别符的作用是使目标消息600与权利消息800相关。

表

功能单元识别符	功能单元	要求	权利
功能单元识别符	功能单元	要求	权利	904	机顶盒	NA	电子邮件、打印机驱动器等
912	电子邮件	有	打印机驱动器	904	机顶盒	NA	电子邮件、打印机驱动器等
912	电子邮件	有	打印机驱动器	908	打印机驱动器	有	打印机端口
914	打印机端口	有	无	908	打印机驱动器	有	打印机端口

机顶盒资源904对于电子邮件目标912是高级的。当装载电子邮件目标912时，在目标912中的检查点检查正确的权利。通过电子邮件目标912本身的要求920-2定义正确的权利。如果电子邮件权利916_1符合电子邮件目标要求920-2的标准，则电子邮件目标912继续执行通过检查点。在与电子邮件权利916-1和电子邮件目标要求920-2相关联的功能单元904、912分别装载它们之后，ACP 240实际执行鉴别。

在用户收到机顶盒904之后，用户可以添加任选的打印机212。在本实施例中，打印的能力是一个附加的特征，在所有机顶盒904中都不包括这个特征。如果打印机212是内容提供者许可购买的，则从头端104在权利消息800中把打印机驱动器权利916-2、916-4以及打印机端口权利916-3发送到机顶盒904。

某些实施例可以把权利提供给能够使用打印机端口920-3的功能单元的子集。例如，可以把打印机驱动器权利916-4给予电子邮件目标912，但是机顶盒资源904没有接收到打印机驱动器权利916-2。如此，只有电子邮件目标916-2可以使用打印机端口920-3，而其它目标不能使用。

把打印机212挂上打印机端口914可以触发在电视显示器216上显示请求包括打印机212的秘密代码的消息。在用户输入密码之后，就向头端104请求启动打印机212的权利消息800。一旦头端104接收并验证密码，就发送根据密码在密钥中加密的一组启动的权利消息800。在本实施例中，在工厂内装载打印机驱动器目标908，但是其它实施例可能当需要时使用目标消息600来装载这个目标908。

当电子邮件目标912正在运行时，用户可以尝试打印电子邮件消息。在打印之前，显示鉴别正确的权利916的数个检查点。电子邮件目标912用要求打印的信息呼叫打印机驱动器908。在打印机驱动器908中的检查点停止处理，直到检测到许可电子邮件目标912。把购买打印机时下载的打印机驱动器权利916-4和用于鉴别的打印机驱动器要求920-1一起装载到ACP 240。假定鉴别是成功的，则打印机驱动器目标908使打印机212使用的打印信息格式化，并把它传递到打印机端口资源914。

打印机端口资源914是与连接到打印机212的电缆连接的硬件端口。一旦把信息发送到打印机端口资源914，检查点就暂停处理，以检查打印机驱动器目标908已经正确许可。把要求920-3和权利916-3装载到ACP 240用于鉴别。一旦鉴别打印机驱动器目标908的使用，就使其余的打印任务对于用于打印的打印机端口资源914假脱机。

在某些实施例中，一个功能单元的权利916可以由另一个功能单元来继承。可以把权利916传递到可能使用该功能单元的其它目标608。例如，起初可以使使用打印机端口232的权利916单独与电子邮件目标912相关联，当用户购买打印机212时，把该权利916传递到电子邮件目标912。在较晚时间，头端104可以对可能使用打印机端口232的所有其它功能单元或功能单元的子集许可继承权利916。如此，另外的功能单元可以使用打印特征。

接着参考图10，图中描绘一个过程的实施例，用于按第三安全等级装载目标。在发送之前，本实施例鉴别网络操作器是目标的源。在第一步骤1004中，控制器220从存储器228的非易失性部分读出许可和目标消息500、600。在步骤1008中把目标消息600装载到ACP 240，而在步骤1012中装载许可消息500。

一旦装载目标和许可消息600、500两者，则ACP 240可得到签名组700的所有组成部分。在步骤1016中，ACP 240计算在签名组700上的签名。在步骤1024中，ACP 240按照在许可消息500中的签名512是否与计算的签名匹配而作出确定。如果匹配，则许可目标608，并通过OS(操作系统)把目标608装载到存储器228和允许执行。另一方面，如果签名不匹配，则ACP 240丢弃目标608，并把出错通知操作系统。存储期间的不可靠、非法翻印代替目标608或病毒腐蚀目标608都会引起签名512的不匹配。

参考图11，图中示出一个过程的实施例，用于按第四安全等级装载目标。在发送目标608之前，本实施例检查许可机顶盒108使用目标。类似于上述等级1的安全性，本实施例使用加密来得到许可检查。可以把对称或不对称密钥用于加密。在第一步骤1104中，以加密形式把目标消息600写入存储器228的非-易失部分。在某些实施例中，从网络208接收加密形式的目标消息600，致使在存储之前不需要另外的加密步骤。

当要求装载目标608时，在步骤1108中从非易失性存储器228取得许可和目标消息500、600。许可消息500包括对目标消息600进行解密所必需的密钥。在步骤1112中，把密钥和目标消息600装载到ACP。在步骤1116中对目标608进行解密。如果解密所使用的密钥不是许可用于目标608的那个密钥，则解密过程将不成功，并且所产生的结果是不可解密的。另一方面，在步骤1120中如果密钥是正确的，则使明码文本目标返回到用于执行的操作系统。

在一个实施例中，把目标608以加密的形式装载到易失性存储器中。由于只把来自目标消息600的目标608存储在存储器中，所以目标608通过它自己加密。可以使用相同的密钥或不同的密钥来执行加密。当碰到接着的检查点时，可以在存储器中的经加密目标608上执行许可。例如，当从存储器读出目标608用于再现或观看时，对它进行解密以再次验证许可。在许可过程期间不需要诸如输入密码之类的用户交互。

接着参考图12，在图中示出一个过程的另一个实施例的流程图，用于按第四安全等级装载目标。在本实施例中，为了在装载目标608之前确认目标608是得到许可的，检查在许可消息500中的权利。在步骤1204中，从存储器228读出许可消息500。接着，在步骤1208中控制器220把许可消息500装载到ACP 240。

一旦ACP 240具有许可消息500，就在步骤1212中检查其中的授权信息。在步骤1216中，通过检查授权信息，判断目标608是否得到许可。如果许可目标608，则通过操作系统把它装载到存储器中并执行。另一方面，如果不存在使用目标608的权利，则在步骤1224中把许可尝试失败通知操作系统，并丢弃目标608。

虽然上面没有表述，但是一般大约在与执行等级3的鉴别的同时，并在装载目标608之前，执行等级4的许可。在鉴别之前执行许可，因为许可是一个较快的过程。在执行鉴别和许可之后，返回到操作系统的状态是：不许可、许可但是不鉴别或许可和鉴别。

参考图13，在图中描绘一个过程的实施例的流程图，用于按第五安全等级连续地检查运行的目标。第五安全等级和第六安全等级(下面描述)涉及通过时间或应用触发的检查点。可以理解，还应该对正在运行的目标进行鉴别，以保证未曾对它们进行替代或修改。此外，对许可的周期性验证允许已经连续运行一段时间的应用的期限终止。可以使用预定的周期，也可以使用不预定的变化周期。

在步骤1304中开始所述过程，其中，从存储器228读出目标608。在装载目标608之前，目标608具有第一签名，但是在把目标608装载到存储器228中之后，经装载的目标608的签名可能变化。熟悉本技术领域的人员会理解，地址从虚拟地址转换到物理地址，致使签名可能变化。相应地，在步骤1308中重新计算签名，以产生表示经装载的目标的第二签名。要注意，应该如此地把目标608装载和保存在存储器228中致使第二签名不改变。例如，经装载的目标不应该具有使签名改变的自己-修改代码。然而，当改变发生时，某些实施例可能允许修改成第二签名。

操作系统具有触发周期性的鉴别和许可的以规定时间间隔调度的检查点。在步骤1312中，过程等待下一个经调度的检查点。一般，这些经调度的检查点至少每周或每月发生。当每月支付有线电视服务时，需要在结帐周期之后检查未经许可的继续运行的应用，然而，可以使用任何时间间隔。在步骤1316中，通过把许可消息500、经装载的目标和第二签名装载到ACP 240而执行鉴别和许可。使用第二签名进行鉴别。

在步骤1320中判断步骤1316中执行的鉴别和许可两者是否成功。如果成功，则过程环路返回到步骤1312，在该步骤中，过程等待下一个检查点。另一方面，当许可或鉴别检查失败时，从存储器228中取出目标并丢弃。最好，ACP 240是确定经调度的检查点的时间源。ACP 240对于设置时钟倒退以避免许可期满的袭击是较不灵敏的。此外，ACP 240不运行可能改变时间的应用程序软件，而需要安全命令来改变时间。安全命令可以使用加密或签名来保证鉴别任何时间改变。可以使用于解密的密钥期满，或可以发送新的授权消息800，使之重写和除去使用目标的权利而终止许可期限。

虽然前述实施例依靠时间周期来触发检查点，但是其它实施例可以用其它方法触发检查点。例如，可以用计数器来监测应用而触发检查点。在预定的装载数或预定的累计运行时间之后，检查点可能要求重新验证目标。

接着参考图14A，在图中示出一个过程的实施例的流程图，用于允许按安全等级6自由地预检目标。第六等级的安全允许根据在需要购买之前的某些示例而使用软件。如在本技术领域中众知，在用户可能购买软件之前，他要求试用软件。相应地，第六等级的安全允许在请求购买之前对软件使用一段时间。

在步骤1404中开始所述过程，在该步骤中，从存储器228的存储部分取得目标608。在步骤1408中，把目标608装载到存储器228的执行部分，在那里启动目标608的执行。在步骤1412中开始减法计数(countdown)定时器，该定时器进行减法计数到零，以标志试验周期的结束。可以理解，另外，也可以用加法计数定时器来确定试验周期的期满。在步骤1416中，用户对目标608取样直到试验周期结束。在步骤1420中，当减法计数定时器期满或到达它的为零的下边界时，通过通知来确定取样周期的结束。当定时器期满时，试验周期的临时许可也期满。

在步骤1424中，给予用户购买目标608的选择，同时推迟应用程序的许可。购买将使许可恢复原状。配制一个购买屏幕，并通过机顶盒向用户显示，以提示目标608的购买。如果没有选择购买，则在步骤1432中从存储器228中取出目标608并丢弃。另一方面，如果同意购买，则在步骤1428中，使目标608保留在存储器228中，并使授权信息更新以反映购买和许可。

其它实施例可以使用能永远运行的削弱演示软件(crippled demonstrationsoftware)，但是将丢失在购买版本中存在的某些特征。如果用户喜欢削弱版本，则用户很可能要购买全部版本才能得到丢失的特征。购买非削弱的目标608并认可缺少的特征。要注意，与在图13中所描绘的方法相似，在某些实施例中，全部版本可能受使用应用程序的权利的期限支配。

接着参考图14B，在图中示出一个过程的另一个实施例的流程图，用于允许按安全等级6自由地预检目标。在本实施例中，通过许多用户或某些其它测量值来定义目标的试验周期。例如，在要求购买之前软件程序可以装载两次。

在步骤1436中开始所述过程，在该步骤中，从存储器228的存储部分取得目标608。在步骤1440中，把目标608装载到存储器228的程序执行部分，在那里进行执行。在步骤1444中开始加法应用计数器，当使用目标时，该计数器开始进行加法计数。可以理解，另外的减法计数器也可以确定何时到达应用极限。在步骤1448中，用户对目标608取样，并且在步骤1452中，取样导致应用计数器递增。在本实施例中的每个应用计数相应于程序装载或某些其它动作。在步骤1456中，当应用计数器到达它的上边界时，通过通知来确定取样周期的结束。当到达极限时，试验周期许可期限终止。

在步骤1460中，给予用户购买目标608的选择，同时推迟应用程序的许可。购买将使许可恢复原状。配制一个购买屏幕，并通过机顶盒108向用户显示，以提示目标608的购买。如果没有选择购买，则在步骤1468中从存储器228中取出目标608并丢弃。另一方面，如果同意购买，则在步骤1464中，使目标保留在存储器中，并使授权信息更新以反映购买和许可。

虽然上述实施例测量整个目标608的应用，但是其它实施例可以以更高级的方法来监测应用。目标608的个别功能可以有测定的接入。例如，在要求购买打印能力之前可以允许电子邮件程序打印20个电子邮件消息。

参考图15A，在图中示出一个过程的实施例的流程图，用于按安全等级7监测返回到头端104的报告。在头端104中的监测计算机期望在系统100中的每个ACP240通过网络208把安全报告周期性地发送回头端104。假定在预定时间周期中没有发送回报告的那些ACP 240是不能正常工作的ACP 240，它可能表示有黑客，否则是不能正常工作的机顶盒108。在本实施例中，头端期望每天至少有一个安全报告。在图15A中只示出用于监测单个机顶盒108的过程，但是可以理解，在系统100中，在大量机顶盒108上并行地执行该过程。

在步骤1502中，把返回报告定时器设置到一天的初始值。在设置之后，返回报告定时器开始按时间进行减法计数。对于属于该过程的机顶盒108，在步骤1506中，头端104监测来自机顶盒108的任何返回报告。在步骤1510中，执行测试以确定是否已经接收到安全报告。如果接收到报告，则处理继续进行到步骤1546，在该步骤中，为任何识别的安全问题分析报告。当存在安全问题时，在步骤1518中可以禁止机顶盒1518。当不存在安全问题时，处理环路返回到步骤1502。

如果在步骤1510之前没有接收到报告，则处理继续进行到步骤1514，在该步骤中，执行进一步的测试来确定返回报告定时器是否已经期满。如果定时器尚未期满，则处理环路返回到步骤1506。如果定时器已经期满，则在步骤1518中禁止相应于期满定时器的机顶盒108。期满定时器将表示ACP 240不再正确地报告安全问题。在步骤1518中，可以发送禁止机顶盒3的密钥功能的新权利消息800，诸如红外端口资源，以禁止机顶盒108。此外，可以在机顶盒108上显示一个消息，通知用户与用户支援部门联系，以重新-启动红外端口资源。

虽然本实施例根据相反的安全报告来禁止整个机顶盒，但是某些实施例可以只禁止引起安全问题的目标608。如果在机顶盒108中的操作系统(OS)在存储器中损坏，例如，不能正确地响应接着的检查点，则当观察到检查点趋向于不执行之后，ACP 240将报告这个差错。头端104可以向机顶盒108发送一个命令，以重新装载操作系统，希望可以去除这个差错。如果接收到进一步的报告，则可能禁止机顶盒108。

接着参考图15B，在图中示出一个过程的实施例的流程图，用于按安全等级7通过机顶盒108报告安全检查。当碰到和应该碰到检查点时，ACP 240监测目标608和操作系统的正确操作。例如，当任何时候装载、发送或访问目标608时，某些实施例就执行检查点。ACP 240应弄清楚要执行鉴别和/或许可，并且有相反的结果作用在其上。在安全报告中向头端104报告不能正确地处理检查点。

在步骤1522中，设置返回报告定时器。返回报告定时器设置机顶盒108一般把安全报告发送回头端104的周期。在本实施例中，ACP 240每小时发送报告。把这些报告附加到来自操作系统和控制器220的鉴别和许可差错报告中。在步骤1526中，ACP 240独立地确定操作系统和目标608何时应该碰到检查点。在步骤1530和1534中，ACP 240确定是否根据检查点执行鉴别和/或许可。如果每个测试都失败，则ACP 240进一步确定控制器220是否把差错向头端104回报。把ACP 240包括在鉴别和/或许可过程中，并可以确定何时执行这些过程。通过ACP 240检查系统总线230上的话务可以进行差错报告的监测，以观察网络端口208是否正确地发送差错报告。

如果忽略检查点或不根据其作用，则在步骤1542中立即把安全报告发送到头端104。安全报告包括自从最后的返回报告定时器周期开始以来发生的所有差错。如果正确地执行检查点，则处理继续进行到步骤1538，在该步骤中，测试一小时报告返回周期的期满。在步骤1542中，当定时器期满时，ACP 240发送安全报告，否则，处理环路从步骤1538返回到步骤1526，进行进一步的监测。在本实施例中，ACP 240在其余的机顶盒108上执行简单的检查，以独立地检查安全问题，并且还把这些问题向头端104回报。

参考图15C，以流程图的形式描绘过程的另一个实施例，用于按安全等级7监测安全检查。在本实施例中，ACP 240屏蔽操作系统，对经常碰到的检查点进行两次检查。在步骤1504中开始所述过程，其中，记录最后操作系统检查点的时间。由于使ACP 240包括在本实施例的鉴别和许可过程中，所以ACP 240可以跟踪检查点的执行。在步骤1508中，开始减法计数定时器。我们再次注意，这个计数器可以是加法计数而不是减法计数。

在步骤1512中，判断ACP 240是否观察到检查点。如果观察到检查点，则处理环路返回到步骤1504，在该步骤中，使减法计数定时器复位，以致再次从起始处开始。另一方面，如果没有观察到检查点，则在步骤1516中执行定时器的检查。如果计数器尚未期满，则处理环路返回到步骤1512，再次测试检查点的观察。当定时器期满而没有到达检查点时，处理继续进行到步骤1520，在该步骤中，ACP 240向头端104回报差错。

虽然上述实施例讨论在单个目标608上对检查点的测试，但是可以理解，可以以上述方法对于在机顶盒108中的每个目标608发生检查点的测试，致使并行地执行许多所描绘的过程。在某些实施例中，可以对每个目标608设计定制的准则，以便检测在对于该目标608为唯一的执行中的差错。此外，我们注意到，通常可信的或安全的操作系统可能不需要ACP 240以这种严格的方法来检测异常的性能。检查操作系统的正常功能(即，检查正规的检查点)添加安全的额外的层，以阻挡黑客、盗版、病毒和存储器差错。

参考图16A，在图中示出一个过程的实施例的流程图，用于按安全的第8等级产生部分加密的目标。对目标的一部分进行加密，以防止未许可的目标发送，直到购买目标608。例如，可以得到目标608的削弱的版本，直到购买而导致标志的解密，以便重新配制目标608的未-削弱的版本。对标志进行解密有效地许可未-削弱版本的使用，致使可以以明文的形式得到整个目标608。在本实施例中，目标608用于标志的一部分小于整个目标608的大小的一半。

在步骤1602中开始所述处理，其中，选择目标608的一部分，以进行加密而作为标志。选择所述部分，致使目标608缺少所述部分而不允许目标608的执行。在步骤1606中，对所取出的部分进行加密而作为标志。可以执行对称或不对称加密，然而，本实施例使用对称加密。在步骤1610中，把削弱的或安全的目标发送到机顶盒108。在安全目标中包括标志和明文形式的目标608的余留部分。在步骤1614中，经过安全信道把对称密钥发送到机顶盒108。

如果用户购买目标608，则对标志进行解密，并且重新插入目标608，致使重新配制的目标是可执行的。在步骤1618中把表示产生购买的一个消息从机顶盒108发送到头端104。在步骤1622中，用户的帐户正确地作为购买目标608的借方。在步骤1626中，发送许可使用目标的更新权利消息800。虽然本实施例从头端104得到最终的许可，但是某些实施例可以免除这个许可而立即开始使用目标。例如，在存储-和-传递系统中，来自头端104的许可可能是不切实际的。

接着参考图16B，在图中示出一个过程的实施例的流程图，用于使用标志来得到安全的第8等级。本实施例使用密文标志来控制目标608的许可。密文标志是目标608的加密部分，是目标608的正常操作或它的某些子-功能所必需的。对密文标志进行解密产生插入到目标608中的明文标志，致使目标按明文形式重新配制。

在步骤1604中，通过从头端接收密文标志和目标608的明文余留部分而开始所述过程。虽然本实施例依靠头端104产生密文标志，但是某些实施例可以在接收到目标608之后在机顶盒108中执行标志的加密。在步骤1608中，把明文余留部分和密文标志存储在存储存储器228中。在步骤1612中，接收对密文标志进行解密所需要的密钥，并存储在ACP 240中。

在步骤1616中，过程进行等待，直到用户购买目标608。在步骤1618中，从目标608中除去密文标志，并发送到ACP 240，用于进行解密。在步骤1620和1624中，使所产生的明文标志返回到操作系统，并结合到目标608中，以构成目标608功能。在步骤1628中，向头端104报告购买。在执行目标608之前，可以要求来自头端104的以权利消息800形式的进一步许可。通过只对目标608的一部分而不是对整个目标608进行加密，加速了解密过程。

上述讨论涉及在操作系统上运行应用程序或目标608。这些概念可以等效地应用于运行在Java^TM虚拟机(JVM)(它运行在操作系统的顶部)上的Java^TM应用程序。联系图17说明上位(superordination)和下位(subordination)的概念以帮助这种抽象观念。上位和下位定义哪个目标608有责任把检查点放置在另一个目标上。在与其它目标608和资源发生的正常交互期间，把检查点放置在目标608上。

参考图16C，在图中示出一个过程的另一个实施例的流程图，用于使用部分下载来得到安全的第8等级。本实施例把目标分成明文部分和明文余留部分。头端104分发明文余留部分，但是在分发明文部分之前等待购买。没有明部分分削弱于目标608，致使不可能对它执行。在本实施例中，明文部分的大小小于明文余留部分的大小的十分之一。

在步骤1650中，通过机顶盒108接收目标608的明文余留部分，并在步骤1654中存储在存储器228中。不处置明文余留部分，除非在步骤1658中的用户购买而使用它。借助网络208向头端104返回购买报告。一旦根据购买请求执行任何验证，头端104就发送在步骤1666中接收的丢失的明文部分。使用安全信道把明文部分发送到购买目标608的机顶盒108。

在步骤1670中，结合明文部分和余留部分，以在机顶盒108处重新配制目标608。本实施例进一步要求来自头端104的新权利消息800，以启动目标的使用。新权利消息800将代替老权利消息800，并提供使用目标608的权利。

参考图17，在图中示出机顶盒108的某些功能单元。朝向图17的底部的功能单元对于接近图17的顶部的功能单元是上位。就是说，朝向图17的顶部的功能单元对于在图中较低处的那些功能单元是下位。上位功能单元的责任是把检查点放置在下位功能单元上。例如，硬件1704把检查点放置在下位阶层以上的BIOS 1708、OS 1712等上。BIOS 1708把检查点放置在OS 1712上，但是不放在硬件1704上。在相同分类阶层中的功能单元，当它们进行交互时，可以把检查点放置在在该阶层中的另一个功能单元上。例如，应用程序1716可以要求在驱动器1718上的检查点的执行。

设计上位功能单元来启动连同ACP 240的检查点的执行，并且设计下位目标使检查点放置在它们上面。例如，在执行和/或同时周期性运行期间，BIOS 1708要求在引导过程期间执行在OS 1712上的检查点。当安装或正常操作期间的练习时，驱动器目标1718受检查点的支配。任何时候当访问在文件中的数据时，数据文件目标1722受检查点的支配。任何时候当浏览器应用程序1716解译HTML目标1728时，作为检查点的一部分再检查HTML目标1728。

根据上述说明，不费力地明白了本发明的许多优点。当目标运行时对目标执行鉴别和/或许可。在要求购买目标之前，用使用计数器和时间计数器提供免费检验周期。设置为预定或随机计数的使用计数器和时间计数器可以触发检查点以检验目标的使用。

上面已经联系特定设备和方法描述本发明的原理，可以清楚地理解，说明书只是借助例子描述本发明，而不是作为对本发明的限制。

Claims

1.一种用于使与内容接收机相关联的目标安全的方法，所述内容接收机是条件接入系统的一部分，所述方法包括下列步骤：

由内容接收机经由安全信道接收目标；

检验目标的许可状态；

开始定时器计数；

确定定时器何时期满；

当确定该定时器已期满时，改变该许可状态。

2.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，安全动作包括一检查点步骤。

3.如权利要求2所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，检查点包括通过内容接收机许可目标的使用的步骤。

4.如权利要求2所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，检查点包括鉴别目标的源的步骤。

5.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，执行步骤包括询问内容接收机的用户购买目标的步骤。

6.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，安全动作产生改变许可状态的步骤。

7.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，接收步骤包括从许可的数据信道下载目标的步骤。

8.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，装载步骤包括把目标装载在易失性存储器中的步骤。

9.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，开始步骤包括确定定时器测量的时间值的步骤。

10.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，在独立于通用处理器的安全处理器上执行确定步骤。

11.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，进一步包括根据改变步骤从存储器除去目标的步骤。

12.如权利要求2所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，检查点步骤包括下列步骤中的至少一个步骤：

鉴别目标的源；以及

通过内容接收机许可目标的使用。

13.如权利要求2所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，安全动作产生改变许可状态的步骤。

14.如权利要求2所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，接收步骤包括从许可的数据信道下载目标的步骤。

15.如权利要求2所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，装载步骤包括把目标装载在易失性存储器中的步骤。

16.如权利要求9所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，所述时间值是预定时间值或随机时间值之一。

17.如权利要求2所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，进一步包括根据改变步骤从存储器除去目标的步骤。

18.如权利要求1所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，进一步包括使用加密命令远程地改变用于内容接收机的时间的步骤，其中，定时器与时间相关。

19.如权利要求5所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，进一步包括当用户购买该目标时改变许可状态的步骤。

20.如权利要求5所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，接收步骤包括从许可的数据信道下载目标的步骤。

21.如权利要求5所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，装载步骤包括把目标装载在易失性存储器中的步骤。

22.如权利要求5所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，开始步骤包括确定定时器测量的时间值的步骤。

23.如权利要求5所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，在独立于通用处理器的安全处理器上执行确定步骤。

24.如权利要求5所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，进一步包括根据改变步骤从存储器除去目标的步骤。

25.一种用于使与内容接收机相关联的目标安全的方法，所述内容接收机是条件接入系统的一部分，所述方法包括下列步骤：

通过内容接收机接收目标；

检验目标的许可状态；

开始使用计数器计数；

确定使用计数器何时到达极限；

在确定步骤之后询问内容接收机的用户购买目标；以及

当确定使用计数器到达极限时，改变该许可状态。

26.如权利要求25所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，进一步包括当用户购买该目标时，改变许可状态的步骤。

27.如权利要求25所述的用于使与内容接收机相关联的目标安全的一种方法，其特征在于，进一步包括根据改变步骤从存储器除去目标的步骤。