CN1214620C - 目标和资源的权利 - Google Patents

Abstract

本发明涉及在安全接入系统中使信息安全。在一个实施例中，一种方法使条件接入系统中的信息安全，以核准一个功能单元。本发明提供了一种使条件接入系统中的信息安全的方法，所述方法包括下列步骤：提供功能单元；提供与功能单元有关的要求数据；授权单独的数据流或发送管道给内容接收机；接收与功能单元有关的权利数据；通过内容接收机，使权利数据与要求数据相关；以及通过内容接收机，对照要求数据检查权利数据，以确定内容接收机的任意权利都能满足功能单元要求的范围。在本发明的另一方面，揭示了一种用于条件接入系统的内容接收机，在所述系统中允许内容接收机有选择地使用功能单元。

Description

目标和资源的权利

本申请要求1999年9月3日提出的美国临时申请第60/152,385号的利益。

发明背景

本发明一般涉及安全接入系统，尤其，涉及在安全接入系统中的安全信息。

有线电视(TV)提供器用条件接入(CA)系统的方法把视频流分配给用户。条件接入系统从有线电视提供器的头端把视频流分配到与用户相关联的机顶盒。头端包括硬件，所述硬件接收视频流，并把它们分配到条件接入系统中的机顶盒。根据有线电视提供器发送到机顶盒的权利信息，允许选择机顶盒，以对某些视频流进行解码。

以数字形式或模拟形式把视频节目分配给机顶盒。在大多数有线电视系统中，大约有一百二十个模拟载波信道。载波信道携带一个模拟视频流或携带多个数字视频流。在载波上调制模拟视频馈送，而且一个模拟视频馈送占据整个载波信道。在相同的载波信道上，可以统计地多路复用约8到14个数字视频流，以使带宽最大。通过分组识别(PID)信息隔开独立的数字视频流，致使独立内容流可以根据唯一的PID信息被除去。

向所有机顶盒广播视频流，但是只给予那些机顶盒的子集接入特定的视频流。例如，即使每个机顶盒可以接收加密形式的拳击比赛，但是只允许已经预订按观看付费的那些机顶盒观看拳击比赛。一旦用户预订按观看付费节目，就以加密的形式把权利消息广播到所有机顶盒。只有权利消息指定的特定机顶盒可以对它进行解密。在加密的权利消息中有一个密钥，该密钥将对按观看付费的节目进行解密。当机顶盒按实时接收按观看付费节目作为模拟视频流或数字视频流时，机顶盒用该密钥对它进行解密。相应地，在下载期间，只能对整个视频流给予权利。

不提供条件接入的某些系统使个人计算机与电视机结合，用于显示节目。例如，诸如WebTVTM之类的产品把web浏览和电子邮件程序与电视机结合。在这些系统中，把个人计算机(PC)放置在接近电视机处。把个人计算机连接到互联网服务提供器(ISP)，所述互联网服务提供器提供web浏览和电子邮件程序的内容。这些系统提供内容而不象条件接入系统所要求的那样检查权利。

发明内容

本发明涉及在安全接入系统中的安全信息。在一个实施例中，一种方法使在条件接入系统中的信息安全，以核准一个功能单元。本发明提供了一种使条件接入系统中的信息安全的方法，在所述系统中允许内容接收机有选择地使用功能单元，所述方法包括下列步骤：提供功能单元，所述功能单元包括硬件单元、软件、数据或内容；提供与功能单元有关的要求数据，其中所述要求数据指定了用于功能单元的要求；授权单独的数据流或发送管道给内容接收机，所述内容接收机包括机顶盒、计算机、信息装置、电视机或个人录像机，其中所述授权允许该内容接收机即使在其他内容接收机可能监听该经授权发送管道的情况下，使用所述授权发送管道，而其他没有授权的内容接收机则不能使用该经授权的发送管道；接收与功能单元有关的权利数据，其中所述权利数据指定了内容接收机与功能单元有关的权利；通过内容接收机，使权利数据与要求数据相关；以及通过内容接收机，对照要求数据检查权利数据，以确定内容接收机的任意权利都能满足功能单元要求的范围。

在本发明的另一方面，揭示了一种用于条件接入系统的内容接收机，在所述系统中允许内容接收机有选择地使用功能单元，所述接收机包括：主体，包括机顶盒、计算机、信息装置、电视显示器或个人录像机，其中所述主体仅是所述条件接入系统中许多主体之一；从内容提供器到该主体的加密信道，其中所述加密信道以密码安全方式将信息连接到主体；所述加密信道可以被多个主体接收，但只能由这些主体中的某些主体组成的子集使用，并且所述主体子集包括该主体；功能单元，包括硬件单元、软件、数据或内容，其中所述功能单元位于该主体中；存储要求数据消息和权利数据消息的存储器，其中：所述要求数据消息与功能单元有关，所述要求数据消息指定了用于功能单元的要求；以及所述权利数据消息与功能单元有关，所述权利数据消息指定了内容接收机与功能单元有关的权利；以及对照要求数据消息检查权利数据消息，以核准功能单元的使用。

参考说明书的其余部分，包括附图和权利要求书，将理解本发明的其它特征和优点。下面将相对于附图描述本发明的其它特征和优点，以及本发明的各种实施例的结构和操作。在附图中，相同的标号表示相同的或功能相似的元件。

附图简述

图1是方框图，示出内容传递系统的一个实施例；

图2是示出机顶盒的一个实施例的方框图，所述机顶盒连接到它的环境；

图3是描绘目标消息的实施例的方框图；

图4是示出“权利”消息的实施例的方框图；

图5是示出“要求”消息的实施例的方框图；

图6是示出在机顶盒中不同目标之间的关系的方框图；

图7是示出功能单元之间的交互的一个实施例的方框图；

图8是流程图，示出分发功能单元的过程的一个实施例；

图9是流程图，描绘接收功能单元和核准它们的过程的一个实施例；

图10是流程图，示出鉴别和核准软件目标的过程的一个实施例；

图11是流程图，示出鉴别和核准运行软件目标的过程的一个实施例；

图12是流程图，示出鉴别和核准运行软件目标的过程的另一个实施例；

特定实施例的描述

本发明使核准在电视(TV)机顶盒中使用的诸如软件之类功能单元合法化。目标和资源是功能单元的两个例子。在把功能单元安装在机顶盒中之后，当输入检查点时，执行核准和/或鉴别检查。例如，当在机顶盒中的功能单元相互交互时，触发检查点。

在图中，相似的元件和/或特征可能具有相同的标号。此外，通过在标号后面跟随一个破折号和区分相似元件的第二标号可以区分相同类型的各种元件。如果在说明中只使用第一标号，则描述可应用于具有相同第一标号的任何一个相似的元件而不管第二标号。

首先参考图1，图中示出内容传递系统100的一个实施例的方框图。传递系统100根据所满足的某些条件把内容选择地提供给许多用户。在系统100中包括头端104、许多机顶盒108、本地编程接收机112、卫星抛物面天线116以及互联网120。

头端104接收内容并把该内容分发给用户。内容可以包括视频、音频、交互视频、软件、固件和/或数据。从多种源接收这个内容，所述源可以包括卫星抛物面天线116、本地编程接收机112、微波接收机、分组交换网、互联网120等。每个机顶盒108具有唯一的地址，所述唯一的地址允许把权利信息发送到各个机顶盒108。如此，一个机顶盒108-1可能有权利做某个特定的内容，而另一个108-2可能无权做。在头端104内调节机顶盒108的子集的设备有权利做某些特定内容。

一般通过包含多个内容流的模拟载波信道以数字形式分发内容。使所有内容流一起多路复用到根据模拟载波信道调制的一个数字流中。通过分组识别(PID)信息跟踪各单独的内容流，致使可以根据各个内容流的唯一的PID信息取出个别内容流。在系统100的实施例中约有一百二十个模拟载波信道。其它实施例可以用传递机构分发内容，所述传递机构包括卫星抛物面天线、微波天线、RF发射机、分组交换网、蜂窝数据调制解调器、载波电流、电话线路和/或互联网。

接着参考图2，图中示出显示系统200的实施例的方框图。这个实施例通过多种安全机构提供目标和资源安全的多个等级。在显示系统200中包括机顶盒108、网络208、打印机212、电视(TV)显示器216以及无线输入装置218。使这些项目如此地结合，致使用户能够欣赏通过内容提供器有条件地分发的内容。内容可以包括视频、音频、软件、固件、交互电视、数据、文本和/或其它信息。在本实施例中，内容提供器是有线电视提供器或多个系统操作器(MSO)。

网络208的作用是在机顶盒108和有线电视提供器的头端104之间传送信息的管道。在本实施例中，网络具有一百二十个模拟信道和一个双向控制数据信道。一般，模拟信道携带内容而控制数据信道携带控制和权利信息。每个模拟载波信道具有多路复用到一个数据流的许多数字信道，其中，通过分组识别符(PID)来区分各数字信道。双向控制信道是带外信道，它用一个频率向机顶盒108广播数据，而用另一个频率从机顶盒108接收数据。使用本技术领域中众知的存储和传递方法，可以使返回数据排队，以降低高峰使用期间的过载。其它实施例可能使用有线调制解调器、数字用户线路(DSL)、蜂窝数据、卫星链路、微波链路、或用于控制信息和内容两者的载波电流技术，其中，使内容格式化成为分组交换数据。

打印机212是任选的附件，某些用户可以购买并添加到他们的显示系统200上。当为个人计算机任务使用机顶盒108时，打印机212允许打印诸如电子邮件、网页、单据信息等数据。如将在下面进一步说明，通过核准检查来调整使用诸如打印机之类的外围设备的能力。使用这个调整特征，除非得到确定的核准来启动该机顶盒108的打印机212，与机顶盒108兼容的打印机212不工作。

电视显示器216向用户显示相应于内容的音频、文本和/或视频。显示器216一般接收调制在载波上的模拟视频信号，所述载波相应于信道3、信道4或组合信道。例如，机顶盒108产生调制到合适信道上的NTSC信号。其它实施例可以使用视频监视器或数字显示器来代替电视显示器216。使用数字显示器将减轻对于通过机顶盒108的模拟转换的需求，因为诸如液晶显示器之类的数字显示器使用数字信息来形成所显示的图像。

无线输入装置218允许在用户和机顶盒108之间的交互。装置218可以是远程控制器、鼠标、键盘、游戏控制器、光笔输入板或其它输入机构。在输入装置218上的红外收发器与在机顶盒108上的相似收发器进行通信，以允许无线通信。在其它实施例中，可以使用RF链路或有线链路来代替红外收发器。

机顶盒108具有执行目标和资源的鉴别和核准的元件部分。目标是诸如软件、驱动器、固件、数据、视频或音频之类的数字信息的任何收集。资源是目标按诸如另外的目标或物理装置所指定而进行操作所需要的任何东西。在机顶盒108中包括控制器220、存储器228、打印机端口232、网络端口236、接入控制处理器240、显示接口244以及红外(IR)端口248。这些块经过总线230相互通信，在总线上，每个块具有不同的地址，以在总线230上唯一地识别它。一般，机顶盒108是一个独立的装置，但是也可以和电视显示器216、计算机、信息设备或个人视频记录器(PVR)结合在一起。

控制器220使用可信或安全操作系统管理机顶盒108的操作。在控制器220中执行诸如数字目标解密和解压缩之类的功能，以及诸如交换用户的电视信道和向用户显示菜单之类的功能。在控制器中包括处理器、加密引擎、本地存储器以及在计算机系统中通用的其它项目。

在其它实施例中，为了密钥保护或密码处理的目的，控制器220还可以包含附加的安全微处理器。这在要求高度安全的某些系统中可能是合适的。

机顶盒108包括存储器228的块。存储器228是固态存储器，它可以包括RAM、ROM、闪存以及其它类型的易失性和非-易失性存储器。把目标和资源存储在存储器中，用于在较晚时间运行。在执行期间，把程序装载到存储器228中，并在存储器228中执行，而且还使用存储器228，用于中间结果暂存器空间。可以把密钥、序号和核准存储在非-易失性闪速存储器中。

本实施例包括打印机端口232，用于连接到任意的打印机212。除非核准，程序不可得到打印机端口232的资源。如下进一步说明，每个目标必须具有使用诸如打印机端口232之类的资源的核准。通过有线或无线传送机构，以串行或并行的格式，把数据从打印机端口232发送到打印机212。

通常规定，检查点是确认功能单元的鉴别和/或核准状态的时间上的一个点或处理的步骤。当请求打印时碰到一个检查点。检查点对请求打印的目标进行核准和鉴别。当在另一个目标上运行鉴别和/或核准(例如，操作系统检查正在运行的应用程序的鉴别和核准)时，把检查点放置在一个目标中。理想地，当目标的目的变得显露时执行检查点。在打印机端口232的情况下，当使用它打印一些东西时，它的目的变得显露。相应地，当打印任何东西时，触发一个检查点来检查使用打印机端口232资源的目标。一般，用于打印的检查点是在操作系统中的。

网络端口236允许机顶盒108和头端104之间的双向通信。在网络端口236中包括调谐器和解调器，用于调谐到模拟载波信道和解调MPEG数据流以允许内容的——路传递。在网络端口236中还包括控制数据收发机或有线调制解调器，它允许控制数据信息和/或内容的双向通信。可以使用存储和传递方法，以把控制数据路径的装载更均匀地分发到头端104。

通过显示接口244执行调制，把数字视频信号调制到与电视显示器216兼容的模拟信号上。如上所述，电视显示器216一般接收调制在信道3、信道4或组合信道上的信号。对于接收诸如LCD显示器之类数字输入的显示器，显示接口244执行数字输入所需要的任何格式化。

红外端口248与无线输入装置218进行双向通信。在红外端口248中包括红外收发器，它提供与输入装置218的无线通信路径。在红外端口248中的其它电子线路把通过收发器接收的模拟信号转换成相应的数字信号，并把相应的数字信号转换成发送到收发器的模拟信号。控制器220处理数字信号，以致用户可以控制在机顶盒108中的某些功能。

接入控制处理器(ACP)240调整在机顶盒108中的安全功能。例如，ACP 240在控制器220的引导下，或独立于控制器220而执行鉴别和核准，这将在下面的讨论中变得清楚。ACP 240包括处理器、RAM和ROM以执行它的任务，所述处理器、RAM和ROM结合在一起以执行独立于控制器220的软件。ACP 240还包括解密引擎和散列函数，用于对内容解密和计算签名。把检查点嵌入运行的软件中，所述运行的软件触发ACP 240以执行安全检查。在本实施例中，在硬件中实施ACP 240，但是其它实施例可以在软件中执行ACP 240的功能。

ACP 240还可以遮蔽操作系统(OS)以保证操作系统的正确功能。通过观察目标的发送(launch)，ACP 240可以监测哪个应用程序目标正在运行。如果需要，如果检查点检测到差错或如果核准已期满，则ACP 240可以切断运行的应用程序。此外，ACP 240可以监测存储器228，以检测在存储器228中有任何未核准的应用程序。还应该监测暂时存储器的大小，以检测隐藏在暂时存储器中的应用程序。此外，ACP 240可以随机地执行在存储器中的目标上的检查点，以确认它们的核准和/或鉴别。把ACP 240碰到的问题向操作系统或头端104报告。用这些方法，ACP 240在机顶盒108中的作用是作为软件安全保护泥塞(bot)，以致检测和报告异常的性能。

参考图3，图中以方框图形式示出目标消息300的一个实施例。目标消息300把功能单元从网络208传递到机顶盒108，致使在把信息投入现场之后，可以把信息发送到机顶盒108。形成目标消息300的是目标标头304、目标308以及要求312。本实施例包括在目标消息300中的要求信息，然而，其它实施例可以使用独立的“要求”消息来传递这个信息。虽然在图3中未示出，但是使用检查或数字签名，使无差错地从头端104传送到机顶盒108的目标消息300合法化。

目标标头304包括目标消息300的属性。在目标标头304中包括标头长度、目标长度、功能单元识别符、软件版本以及域识别符。标头和目标长度分别表示目标标头304的长度和目标308的长度。尤其，为了鉴别的目的，功能单元识别符提供唯一的代码，所述代码允许把“权利”消息赋予目标消息300。软件版本表示目标的更改次数。把域识别符分配给不同的有线电视提供器，致使可能接收目标308的所有机顶盒108可以筛选与目标的域相关联的目标308。

目标308包括设计系统100的内容，以传递到机顶盒108。根据目标308的下载，进行鉴别和核准，以验证目标消息300的源，以及到接收机顶盒108的目标308的可得到性。在目标中可以嵌入数种类型的内容或信息，诸如可执行的程序、固件升级、运行-时间程序(例如，Java或ActiveX)、编程调度、单据信息、视频、音频和/或数据。可以紧接在鉴别和核准之后立即使用目标308，或在较晚时间使用。此外，可以对核准进行编程，以在某个时间量之后期满，或当使用目标308时可以周期性地重新检查。

要求数据结构312允许内容提供器限制把目标308接入所有机顶盒108的预定子集。把功能单元识别符映射到一个或多个权利。在“权利”消息中传送权利，使功能单元的操作成为可能，所述功能单元是映射到在要求数据结构312中的那些权利的。

接着参考图4，图中以方框图形式示出“权利”消息400的一个实施例。权利消息400传递权利以使用功能单元。功能单元可以是一个目标或资源。一般，对于每个机顶盒108有一个权利消息400，所述每个机顶盒108为所有功能单元指定任何权利。对照权利检查与目标和资源相关联的要求，以确定是否核准与另一目标或资源的交互。权利消息400允许把新权利在远处添加到与机顶盒108相关联的功能单元。虽然未示出，但是权利消息400一般还包括数字签名，以验证消息400在传送期间的完整性。在某些实施例中，可以使用检查和来代替数字签名。

权利标头404包括权利消息400的属性。在权利标头404中包括标头长度、权利数据结构长度、功能单元识别符以及域识别符。标头长度和权利数据结构长度分别表示权利标头404和权利数据结构408的长度。为了鉴别的目的，功能单元识别符提供唯一的代码，所述代码允许把权利消息400赋予特定功能单元。

使用在权利数据结构408中的信息把权利传递到功能单元。给定的功能单元可能有使用数个其它功能单元的权利。把这些权利包括在权利数据结构408中。使用在权利标头404中的功能单元识别符把权利赋予特定功能单元。功能单元可以已经存在于机顶盒108中，或可以在某个较晚时间下载。

接着参考图5，以方框图形式示出“要求”消息500的一个实施例。对于已经驻留在机顶盒108中的资源，使用要求消息500。在要求消息500中包括要求标头504以及要求数据结构508。要求消息500与目标消息300相似，除了没有嵌入的目标308，因为它已经位于机顶盒108中。虽然未示出，要求消息500一般包括数字签名，以验证消息500在传送期间的完整性。

要求标头504包括要求消息500的属性。在要求标头304中包括标头长度、要求数据结构长度以及域识别符。标头和要求数据结构长度分别表示要求标头504和要求数据结构308的长度。把域识别符分配给不同的有线电视提供器，致使可能接收目标308的所有机顶盒108可以筛选与它们的域相关联的目标308。

要求数据结构508允许内容提供器限制把资源接入所有机顶盒108的预定子集。通过要求数据结构508，把每个功能单元识别符映射到一个或多个要求。在权利消息400中传送权利，只要在权利消息400中的权利满足在用于该功能单元的要求数据结构508中的要求，就使功能单元的操作成为可能。

通过在信息300、500两者上的签名，使目标消息300与相关联的要求消息500唯一地耦合。即使是分开传送的，共同的签名也保证在传送期间不修改一对消息300、500。

参考图6，图中示出机顶盒108的某些功能单元。向着图6的底部的功能单元比接近图6的顶部的功能单元高级。就是说，向着图6的顶部的功能单元从属于在图中较低处的功能单元。高级功能单元负责把检查点放置在从属功能单元上。例如，硬件640把检查点放置在从属级别以上的BIOS 608、OS 612等上。BIOS 608把检查点放置在OS 612上，但是不在硬件604上。相同规格等级的功能单元可以把一个检查点放置在该等级中的另一个功能单元上，当它们交互时。例如，应用程序616可以要求在驱动器618上的检查点的执行。

设计高级功能单元以启动连同ACP 240的检查点的执行，而设计从属目标使检查点放置在它们上面。例如，在引导过程期间，在执行和/或周期性运行期间，BIOS 608要求执行在OS 612上的检查点。当安装或在正常操作期间的训练时，驱动器目标618从属于检查点。任何时候当访问文件中的数据时，数据文件目标622从属于检查点。任何时候当浏览器应用程序616解译HTML目标628时，检查HTML目标628作为检查点的一部分。

参考图7，图中以方框图的形式示出功能单元之间的交互。与机顶盒108相关联的的功能单元包括机顶盒资源704、打印机驱动器目标708、电子邮件目标712以及打印机端口资源716。在这些功能单元的正常交互期间，碰到触发鉴别检查的检查点。在图7中，唯一的表使权利和要求与每个功能单元相关。功能单元识别符的作用是使目标消息300和权利消息400相关。

                           表

功能单元识别符	功能单元	要求	权利
				604	机顶盒	NA	电子邮件、打印机驱动器等

612	电子邮件	有	打印机驱动器
				608	打印机驱动器	有	打印机端口
614	打印机端口	有	无

机顶盒资源704对于电子邮件目标712是高级的。当装载电子邮件目标712时，在目标712中的检查点检查正确的权利。电子邮件目标712本身的要求720-2定义正确的权利。如果电子邮件权利716-1符合电子邮件目标要求720-2的标准，则电子邮件目标712继续执行通过检查点。实际上，在通过与电子邮件权利716-1和电子邮件目标要求720-2相关联的功能单元704、712分别装载它们之后，ACP 240执行鉴别。

在用户接收机顶盒704之后，用户可以添加任选的打印机212。在本实施例中，打印的能力是一种添加特征，该特征并不包括在所有机顶盒704中。如果打印机212是内容提供器许可购买的，则打印机驱动器权利716-2、716-4和打印机端口权利716-3是在权利消息400中从头端104发送到机顶盒704的。

某些实施例可以把权利提供给功能单元的子集，这些功能单元是能够使用打印机端口720-3的。例如，可以把打印机驱动器权利716-4给予电子邮件目标712，但是机顶盒资源704将不会接收打印机驱动器权利716-2。这样，只有电子邮件目标716-2可以使用打印机端口720-3，其它目标不能使用。

把打印机挂到打印机端口可以触发显示在电视机216上的消息，询问包括打印机的密码。在用户输入密码之后，对头端104作出请求，请求启动打印机的权利消息400。一旦头端接收并验证密码，就发送根据密码在密钥中加密的权利消息400的启动组。在本实施例中，打印机驱动器目标708是在工厂内装载的，但是其它实施例可以在当需要使用目标消息300时装载这个目标708。

当正在运行电子邮件目标712时，用户可以试验打印电子邮件消息。在打印之前，存在数个检查点鉴别正确权利716。电子邮件目标712用要求打印的消息呼叫打印机驱动器708。在打印机驱动器708中的一个检查点停止处理，直到检查到电子邮件目标712的核准。把当购买打印机时下载的打印机驱动器权利716-4与用于鉴别的打印机驱动器要求720-1一起装载到ACP 240。假定鉴别是成功的，则打印机驱动器目标708将用于打印机212的打印信息格式化，并把它传递到打印机端口资源714。

打印机端口资源714是硬件端口，它与连接到打印机212的电缆连接。一旦把信息发送到打印机端口资源714，则一个检查点停止处理，以检查已经正确核准打印机驱动器目标708。把要求720-3和权利716-3装载到ACP 240，用于鉴别。一旦鉴别到通过打印机驱动器目标708的使用，则把余留的打印任务并行联机(spooled)到打印机端口资源714，用于打印。

在某些实施例中，一个功能单元的权利716可以由另一个功能单元继承。可以把权利716传递到可能使用该功能单元的其它目标308。例如，起初，使用打印机端口232的权利716可以只与电子邮件目标712相关联，因为当用户购买打印机212时，把权利716传递到电子邮件目标712。在较晚时候，头端104可以核准可能使用打印机端口232的所有其它功能单元或功能单元的子集继承该权利712。这样，另外功能单元可以使用打印特征。

参考图8，图中示出装载功能单元的过程的实施例的流程图。本实施例允许功能单元的工厂装载或现场装载。在设计功能单元的步骤804中开始该过程。功能单元可以是目标和/或资源。资源包括硬件，诸如机顶盒108和在机顶盒108内的硬件元件。在步骤804期间，定义功能单元的各种要求。

在步骤808中，关于在工厂中安装功能单元还是在现场安装功能单元作出决定。熟悉本技术领域的人员会理解，是实际设备的资源一般是在工厂中安装的。一般，可以在工厂中或在现场安装可电气地存储的目标，然而，某些目标是在工厂中安装的，诸如操作系统612的一些部分。

如果所安装的特定功能单元是在工厂中装载的，则处理继续进行到步骤812，在该步骤中，把功能单元安装到机顶盒外壳内。一般，在工厂中安装实际设备和大多数目标，致使机顶盒在运输到用户手中之前已可以工作。然而，某些目标308在到现场之后才装载到机顶盒108。

对于现场装载的目标，处理从步骤808转向步骤820，在该步骤中，把目标分发到内容提供器。分发过程包括通过诸如分组交换网之类的某些类型的数据链路电气地发送目标308。在步骤824中，内容提供器把目标308嵌入目标消息300中，并经过有权利的信道把目标308广播到机顶盒108。信道的权利过程包括把密钥发送到有权利的机顶盒，致使它们可以对在信道上的数据流进行解码。在步骤828中，内容提供器确定运行目标的权利716。在步骤832中分发权利消息400。一般只允许广播目标308的机顶盒108的子集对相应的权利消息400进行解码。在本实施例中，在权利消息400之前发送目标消息300，但是其它实施例可以使发送消息300、400的次序相反。

接着参考图9，以流程图的形式示出接收目标308的过程的实施例。本实施例在鉴别目标和权利消息300、400的使用之前接收它们。在步骤904和908中，通过有权利的信道从有线电视提供器接收目标和权利消息300、400。信道的权利包括使用对称或不对称加密技术，对一个或多个机顶盒108的信道加密。还可以使用签名来验证消息300、400的源是确实的，并验证核准在机顶盒108上使用它们。其它实施例可以在目标消息300之前接收权利消息400。

一旦成功地接收消息300、400并对它们进行解密，就在步骤916中使用功能单元识别符使它们彼此相关。在步骤920中，对照在权利消息400中的权利716检查嵌入目标308中的要求720。这个对照要求720而检查权利716允许在步骤924中判定是否核准目标308。如果没有核准目标308，则把差错回报头端104，并在步骤928和932中丢弃目标308。另一方面，如果权利716满足要求720，则在步骤936中允许使用目标308。这样，把目标308发送到机顶盒108，并检查核准。

虽然上述实施例下载目标308并核准它，其它实施例可以核准已经在机顶盒108中的资源而无需资源的下载。在这个情况下，对照已经存储在机顶盒108中的要求来检查权利消息400。

参考图10，图中示出一个流程图，所述流程图示出鉴别和核准软件目标308的过程的一个实施例。在步骤1004中开始所述过程，在该步骤中，从存储器228把软件目标308读入控制器220。在步骤1008中，检查与软件目标308相关联的签名，以确定是否鉴别目标308。如上所述，可以经过目标消息300和要求消息500两者产生签名，以用单个签名来鉴别消息300、500两者。把软件目标308和要求消息500装载到ACP 240以计算签名。对照从头端104发送的原始签名检查经计算签名，以检查鉴别。

如果在步骤1012中判定软件目标对于所确定的鉴别是失败的，则处理继续进行到步骤1016和1020。在步骤1016中，向头端104报告差错。当可用双向控制数据信道时，这可能立即发生，或当使用存储-和-传递方法时，这可能在较晚时间发生。在真实性测试中失败的目标308是不可靠的，在步骤1020中把它丢弃。在鉴别失败之后，可以向用户显示消息或可以不向用户显示消息。

在步骤1032中，对于使用目标308的资源执行核准检查。对照用于资源的要求720检查机顶盒108的权利716。要注意，资源可以是正在执行的相同的目标308，致使检查点导致那个包括检查点的目标308的核准检查。在这个核准过程中包括ACP 240，以对照要求安全地检查权利。

在步骤1036中，作出关于是否核准目标308和资源之间的交互的判定。如果没有核准使用，则在步骤1040中，向用户和/或头端108报告差错。例如，在屏幕上可以出现一条消息，通知用户不可得到打印机端口，应该联系内容提供器来启动这个特征。如果核准检查是成功的，则在步骤1024中允许目标308开始执行。

在另一个实施例中，可以在鉴别之前检查核准而不是反过来。一般，核准是比鉴别快的检查，而且从核准检查得到的否定结果可以避免不必要地检查鉴别。

在再一个实施例中，目标308访问的资源也可能碰到需要鉴别的检查点。例如，打印机端口资源232可以具有需要通过相应的权利716满足的要求720。再次使用ACP 240来执行这个鉴别。这样，各种功能单元具有施加于它们的检查点，以检查鉴别和/或核准。

参考图11，在图中示出一个流程图，所述流程图示出一个过程的实施例，用于鉴别软件目标的运行以及用于核准该软件目标308。在步骤1104中开始该步骤，其中，从存储器228把软件目标308读入控制器220。在步骤1108中检查软件目标308，以判定目标308是否鉴别和核准。

如果在步骤1112中，判定软件目标对所确定的核准或鉴别是失败的，则处理继续进行到步骤1116和1120。在步骤1116中，向头端104报告差错。当可用双向控制数据信道时，这可能立即发生，或当使用存储-和-传递方法时，这可能在较晚时间发生。在鉴别或核准测试中失败的目标308是不可靠的，在步骤1120中把它丢弃。在失败之后，可以向用户显示消息或可以不向用户显示消息。

假定在步骤1112中判定对软件目标308进行核准和鉴别，则在步骤1124中开始软件目标308的执行。在执行期间，在步骤1128中碰到在需要核准的软件目标308中的检查点。一般，把检查点添加到软件目标308中目标308的目的成为显露的地方。例如，在使用打印机驱动器访问打印机端口232之前，打印机驱动器将具有一个检查点。检查点可以要求目标的核准和/或鉴别，所述目标包括检查点和/或另外的资源。

在步骤1132中，执行对于目标308的资源核准的检查。对照目标的资源要求720检查机顶盒118的资源权利716。注意，所需要的资源可以是正在执行的相同的目标308，致使检查点导致那个包括检查点的目标308的核准检查。在这个核准过程中包括ACP 240，以对照要求安全地检查权利。

在步骤1136中，作出关于是否核准目标308和需要资源之间的交互的判定。如果没有核准使用，则在步骤1140中，向用户和/或头端118报告差错。例如，在屏幕上可以出现一条消息，通知用户不可得到打印机端口，应该联系内容提供器来启动这个特征。如果核准检查是成功的，则在步骤1144中允许目标308使用资源。

检查软件目标的核准和鉴别，以及软件目标访问的资源的核准，可有许多的替换。这里只描述这些替换中的某一些，但是可以理解本发明包括这些替换。上述实施例在执行之前检查软件目标的核准和鉴别，并在执行期间检查检查点处的资源的核准。然而，其它实施例可以在执行软件目标之前执行资源的核准，而且检查点可以再次执行软件目标的核准和鉴别。

参考图12，在图中示出一个流程图，所述流程图示出鉴别软件目标的运行和核准该软件目标308的过程的另一个实施例。在步骤1204中开始该过程，其中，从存储器228把软件目标308读入控制器220。在步骤1208中，检查与软件目标308相关联的签名，以确定是否鉴别目标308。如上所述，可以经过目标消息300和要求权利消息400 500两者产生签名，以用单个签名提供消息300、400 500两者的鉴别。把软件目标308和权利要求消息400 500装载到ACP 240以计算签名。对照从头端124发送的原始签名检查经计算签名。

如果在步骤1212中判定软件目标对于所确定的核准是失败的，则处理继续进行到步骤1216和1220。在步骤1216中，向头端124报告差错。当可用双向控制数据信道时，这可能立即发生，或当使用存储-和-传递方法时，这可能在较晚时间发生。在鉴别测试中失败的目标308是不可靠的，在步骤1220中把它丢弃。在核准失败之后，可以向用户显示消息或可以不向用户显示消息。

假定在步骤1212中判断软件目标308是有效的，则在步骤1224中开始软件目标308的执行。在执行期间，在步骤1228中碰到在需要核准的软件目标308中的检查点。一般，把检查点添加到软件目标308中目标308的目的成为显露的地方。例如，在使用打印机驱动器访问打印机端口232之前，打印机驱动器将具有一个检查点。检查点可以要求目标的核准和/或鉴别，所述目标包括检查点和/或另外的资源。

在步骤1232中，执行对于目标308使用资源的核准检查。对照目标308的要求720检查机顶盒128的资源权利716。注意，资源可以是正在执行的相同的目标308，致使检查点导致那个包括检查点的目标308的核准检查。在这个核准过程中包括ACP 240，以对照要求安全地检查权利。

在步骤1236中，作出关于是否核准目标308和资源之间的交互的判定。如果没有核准使用，则在步骤1240中，向用户和/或头端128报告差错。例如，在屏幕上可以出现一条消息，通知用户不可得到打印机端口，应该联系内容提供器来启动这个特征。如果核准检查是成功的，则在步骤1244中允许目标308使用资源。

根据上述说明，已经明白本发明的许多优点。在任何时间，通过检查鉴别和/或核准碰到一个检查点时，可以在计算机系统中控制诸如目标或资源之类的功能单元。在系统中使用功能单元期间的多个时刻，这个能力允许条件接入和验证功能单元。熟悉本技术领域的人员会理解，这些技术降低病毒的威胁以及功能单元的其它不希望的修改或替代。

也可以使用本发明的许多变更和修改。某些实施例可以使用ACP来执行鉴别和核准检查，而其它实施例可以用相似的软件算法执行这些检查。

虽然参考本发明的特定实施例描述了本发明，但是实施例只是作为本发明的例子，而不是限制，本发明通过所附的权利要求书来确定其范围。

Claims (19)

1.一种使条件接入系统中的信息安全的方法，在所述系统中允许内容接收机有选择地使用功能单元，所述方法包括下列步骤：

提供功能单元，所述功能单元包括硬件单元、软件、数据或内容；

提供与功能单元有关的要求数据，其中所述要求数据指定了用于功能单元的要求；

授权单独的数据流或发送管道给内容接收机，所述内容接收机包括机顶盒、计算机、信息装置、电视机或个人录像机，其中所述授权允许该内容接收机即使在其他内容接收机可能监听该经授权发送管道的情况下，使用所述授权发送管道，而其他没有授权的内容接收机则不能使用该经授权的发送管道；

接收与功能单元有关的权利数据，其中所述权利数据指定了内容接收机与功能单元有关的权利；

通过内容接收机，使权利数据与要求数据相关；以及

通过内容接收机，对照要求数据检查权利数据，以确定内容接收机的任意权利都能满足功能单元要求的范围。

2.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，进一步包括下述步骤：

当所述功能单元是软件、数据或内容单元时，对发送所述功能单元的源进行鉴别。

3.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，进一步包括如果权利数据满足要求数据，则核准使用功能单元。

4.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，授权发送管道包括对通过发送管道的信息进行解密。

5.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，所述方法进一步包括通过内容接收机确定用于功能单元的要求数据的步骤。

6.如权利要求1所述的使条件接入系统中的信息安全的方法，所述方法包括确定与内容接收机相关联的权利数据。

7.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，允许从第一功能单元到第二功能单元继承权利。

8.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，进一步包括发送权利数据到功能单元。

9.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，进一步包括使权利数据与功能单元相关的步骤。

10.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，授权发送管道包括对传递到发送管道的信息进行加密。

11.如权利要求1所述的使条件接入系统中的信息安全的方法，其特征在于，进一步包括对功能单元进行鉴别。

12.一种用于条件接入系统的内容接收机，在所述系统中允许内容接收机有选择地使用功能单元，所述接收机包括：

主体，包括机顶盒、计算机、信息装置、电视显示器或个人录像机，其中所述主体仅是所述条件接入系统中许多主体之一；

从内容提供器到该主体的加密信道，其中

所述加密信道以密码安全方式将信息连接到主体；

所述加密信道可以被多个主体接收，但只能由这些主体中的某些主体组成的子集使用，并且所述主体子集包括该主体；

功能单元，包括硬件单元、软件、数据或内容，其中所述功能单元位于该主体中；

存储要求数据消息和权利数据消息的存储器，其中：

所述要求数据消息与功能单元有关，

所述要求数据消息指定了用于功能单元的要求；以及

所述权利数据消息与功能单元有关，

所述权利数据消息指定了内容接收机与功能单元有关的权利；以及

对照要求数据消息检查权利数据消息，以核准功能单元的使用。

13.如权利要求12所述的用于条件接入系统的内容接收机，其特征在于，进一步包括第二功能单元，其中，第二功能单元继承功能单元的权利数据。

14.如权利要求12-13中任一权利要求所述的用于条件接入系统的内容接收机，其特征在于，对提供功能单元的源进行鉴别。

15.如权利要求1所述的使条件接入系统(100)中的信息安全的方法，所述方法包括下列步骤：

提供与第一要求数据相关联的第一功能单元；

提供与第一权利数据相关联的第二功能单元；

启动第一和第二功能单元之间的交互；

响应于第一和第二功能单元之间的交互的启动，对照第一要求数据检查第一权利数据；以及

通过第二功能单元核准第一功能单元的使用。

16.如权利要求15所述的使条件接入系统中的信息安全的方法，其特征在于，进一步包括下述步骤：

当所述功能单元是软件、数据或内容单元时，对发送所述功能单元的源进行鉴别。

17.如权利要求15所述的使条件接入系统中的信息安全的方法，其特征在于，进一步包括授权单独的数据流或发送管道，用于传送第一功能单元和第二功能单元中的至少一个，其中所述授权允许该内容接收机即使在其他内容接收机可能监听所述经授权发送管道的情况下，使用该经授权发送管道，而其他没有授权的内容接收机则不能使用该经授权发送管道。

18.如权利要求1所述的方法，其特征在于，进一步包括通过经授权发送管道接收功能单元的步骤。

19.如权利要求1-11、15和17中任一权利要求所述的方法，其特征在于，所述接收步骤包括通过经授权发送管道接收权利数据。

Images