CN1893634A

CN1893634A - 用于控制“n次播放”型数字权限的方法和设备

Info

Publication number: CN1893634A
Application number: CNA2006101054358A
Authority: CN
Inventors: 扬-梅伊·当-塔尔潘; 阿兰·迪朗; 法比安·巴蒂尼; 让-路易·迪亚斯科恩; 埃里克·迪尔
Original assignee: Thomson Licensing SAS
Current assignee: Thomson Licensing SAS; Thomson Licensing LLC
Priority date: 2005-07-07
Filing date: 2006-07-06
Publication date: 2007-01-10
Anticipated expiration: 2026-07-06
Also published as: KR20070006579A; CN1893634B; EP1742441A1; JP5382983B2; FR2888355A1; US8612354B2; US20070112580A1; JP2007020189A; KR101286182B1; EP1742441B1

Abstract

本发明涉及一种用于控制针对称作受控内容(132)的数字音频和/或视频内容(132)的“N次播放”型数字权限的方法，其中消费者在消费设备(112)或将权限的控制授权于消费设备的另一设备上消费受控内容。根据本发明，该方法的特征在于在以下情况的至少一种中，禁止对一次附加使用的收费：消费者在消费受控内容(132)的同一设备(112)上暂时消费其他内容，然后返回受控内容(132)；消费者在使用受控内容(132)时进行暂停操作；消费者对受控内容执行快进操作(132)；消费者对受控内容执行倒带操作(132)。

Description

用于控制“N次播放”型数字权限的方法和设备

技术领域

本发明涉及一种控制数字音频和/或视频内容的“N次播放”型数字权限的使用的方法，以及实现该方法的设备。具体地，本发明涉及在固定授权次数的条件下，对电视接收器、计算机、音频再现设备、读盘器、便携式个人系统、移动电话或电子日记上的音频内容(例如音乐)和/或视频内容(例如电影)的播放控制。

背景技术

为了控制通过数字网络(例如因特网)散发的产品的使用，并为了避免盗版行为，多媒体内容(作为非限制性的示例：电影、记录片、音乐、音乐视频、视频游戏、视听材料、服务或其他内容，等等)的生产商实行与让与消费者的内容相关联的数字权限管理(以下称作DRM)方法。

例如，与内容相关联的权限可以允许在特定累积时间段(“多时间单元播放”型的权限)和/或特定次数(“N次播放”型的权限)使用内容。因此，必须在消费者消费内容的时候渐进地实施对让与消费者的权限的监控。

为了达到技术期望，发明人已经观察了消费者在消费数字内容时的可能行为。

实际上，本发明是由如下观察引起的，即，在“N次播放”型数字权限的框架中，目前不可能在考虑下列情况的同时，在用于消费内容的设备(称作消费设备或管理设备)之中计算使用次数：

-在消费内容时，消费者真实、正常的期望和行为(具体地，“转换频道”、倒带、快进和暂停)以及

-限制N次使用的要求，使得可以并只可以消费N次内容。

例如，当消费者消费拥有N次许可使用的内容时，消费者可能希望在几秒的时间段内消费另一产品(称作“转换频道”的操作)；返回内容段中的稍前点，特别是因为错过了一些内容(称作倒带的操作)；或者执行快进操作。

在转换频道、倒带、快进或暂停的相似情况下，当前消费者使用次数的计算方法对播放中的内容进行一次附加计数。

对于消费者，这样的成本高，并且在任何情况下都是不合理的。

发明内容

因此，本发明旨在解决上述问题，其包括允许消费设备记录其相关数字权限是“N次播放”型内容的N次许可使用，并同时根据消费者的期望，允许针对转换频道和/或倒带和/或快进和/或暂停的可配置性能。

如果结合适当操作装置并且消费者需要，该方法不仅能在消费设备本身内部，还能在权限受其管理的其他消费设备内部实现。

因此，本发明涉及一种用于控制针对称作受控内容的数字音频和/或视频内容的“N次播放”型数字权限的方法，其中消费者在消费设备或将权限的控制授权于该消费设备的其他设备上消费受控内容，其特征在于在以下情况的至少一种中禁止对一次附加使用的收费：

-消费者在消费受控内容的同一设备上暂时消费其他内容，然后返回受控内容，

-消费者在回放受控内容时进行暂停操作，

-消费者对受控内容执行快进操作，

-消费者对受控内容执行倒带操作。

由于本发明，消费者能够在回放受控内容期间，消费其他内容(转换频道)，然后返回受控内容，而不会出现新使用收费。

由于根据本发明的方法，还可以执行其他功能，特别是快进和暂停功能。

根据一个实施例，受控内容将标记元素至少结合在受控内容的特定部分之内。

在一个实施例中，如果消费者在短于倒带阈值时间段的使用期间执行受控内容的倒带，则禁止附加使用的收费。

根据一个实施例，倒带阈值时间段是与消费设备相关的、受控内容总持续时间的固定百分比。

在一个实施例中，倒带阈值时间段与受控内容相关，并独立于消费设备。可以将该阈值包含在与受控内容相关的许可之内。

根据一个实施例，标记元素是位置指示符；该指示符形成数值序列并周期性地插入受控内容中，以便形成贯穿受控内容的索引序列，在受控内容的开头插入此序列的最小数。

因此，对序列进行排序，并且在该实施例中，序列递增。可以设想，在该实施例的变体中，序列是递减的。

在一个实施例中，在使用包括索引的部分受控内容期间，与存储装置和消费设备相关联的处理装置采样出现在所消费的部分内容中的索引，以便将其与之前采样和存储的索引进行比较，并且：

-如果最新索引大于或等于存储的索引，则没有新使用的要求，

-如果最新索引小于存储的索引，则计算两个索引之间的差值：

·如果差值大于倒带阈值时间段，则做出了新使用的要求，

·如果差值不大于倒带阈值时间段，则没有新使用的要求。

因此，转换频道，暂停和快进操作不会引起新使用的要求。实际上，当消费者返回受控内容，与要处理内容相关的序列定位指示符必定大于或等于离开主内容时所存储的最后的序列指示符。

如果低于倒带阈值，倒带不会引起新使用要求。

根据一个实施例，将索引引入规则地放置于整个受控内容中的控制数据分组中。

在一个实施例中，处理装置包含与每个受控内容相关的、由针对该内容的标识符代表的数据库，其包含至少一个以下数据值：

-初始可使用量，

-一个或多个加密密钥，

-仍可使用的更新次数，

-最新控制数据分组的索引，

-可以在其上执行倒带而不会引起新使用要求的控制数据分组的最大量。

根据一个实施例，受控内容包括划分成段的可控部分，每段包含至少一个称作控制消息的控制数据分组，该控制消息包括称作标志的标记元素；则在消费设备中，所述处理包括步骤：

-在消费受控内容时，渐进地检测受控内容的可控部分之内的每个标志，以及

-计数标志的数目，以便能够控制可控部分的已消费段的数目。

为了控制受控内容的使用，通常对形成了受控内容的数据流中所包括的数据进行编码(实际上，编码是加扰或加密)。

有利地，本发明与加密内容所用的算法无关，并可以利用按照任何类型的分割(例如加密段(cryptoperiods))进行加密的内容来实现。

在一个实施例中，受控内容还包括不可控部分。

因此，为了限制使用，可以控制内容的特定部分，同时允许以不受限的方式自由消费同一内容的其他部分(例如，在电影的情况下，可控部分可以是电影，而不可控部分可以是广告或其他电影的预告片)。

根据一个实施例，标志是令牌(token)。

在一个实施例中，标志是无令牌。

根据一个实施例，在消费设备内，形成数据库，其包括针对由消费设备控制的每个内容的、称为计数结构的数据值集合，每个计数结构包括针对该内容的标识符和称作TOV数的数值，其代表能够在该受控内容的单个回放期间检测和计数的标志的最大许可数目。

在一个实施例中，对于可控部分的每个新的已消费段，将针对当前回放操作而检测到并收费的标志数与TOV数相比较，如果检测并收费的标志数超过TOV数，则正在进行的回放终止，并产生新回放要求。

根据一个实施例，每个计数结构包括称作使用裕度(margin)的数目，其代表相对于TOV数可被检测并计数的最大附加标志数，如果检测并计数的标志数超过TOV数与使用裕度之和，则正在进行的使用终止，并产生新回放要求。

由于本发明，数字权限内容提供商能够提供在内容的单个使用情况下暂停、倒回部分内容或使用快进的可能性(提供商还能够通过修改本发明所固有的特定参数，特别是TOV数和使用裕度，来管制该可能性)。

在一个实施例中，每个计数结构包括针对每个数字内容的仍可使用数，称作STP数。

根据一个实施例，新使用要求的结果包括：

-如果STP数为零，禁止新使用；

-或者，如果STP数非零，授权新使用，并因此减少STP数。

在一个实施例中，将参与控制与内容相关的权限的安全存储和处理装置分配给消费设备。

根据一个实施例，安全存储和处理装置包括针对计数结构的数据库。

在一个实施例中，在消费设备的存储装置内，以加密方式存储针对计数结构的数据库，安全存储和处理装置包括允许解密该数据库的计数结构的加密密钥。

根据一个实施例，通过称作外部内容的内容改编(adaptation)来获得由消费设备控制其使用的受控内容，当向消费设备传送外部内容时，该改编允许消费设备控制受控内容的使用。

因此，本发明有利地允许当内容传送进入消费设备时，将其与其许可分离。

实际上：

-只需要进行一次进入消费设备的内容传送(并且与该次传送相关的数字处理)，

-如果针对同一内容的使用，传送各种许可，并且如果这些许可授予同一类权限，则针对每个许可，可以重新使用传送进入并在消费设备中处理的同一内容。

在一个实施例中，当将外部内容转换成受控内容时，将针对外部内容的控制数据分组转换成针对受控内容的控制数据分组，在传送期间，将标记元素引入针对受控内容的特定控制数据分组中。

本发明还涉及一种消费设备，其特征在于实现了根据前述实施例之一所述的控制方法。

在一个实施例中，消费设备是便携式设备。

有利地，针对固定和便携式消费设备，本发明同等地允许控制“N次播放”型的数字权限。

本发明还允许在消费设备本身或其使用受控于该消费设备的其他设备上控制使用，不论其是便携式的还是固定的。

根据一个实施例，消费设备是个人多媒体播放器。

附图说明

通过以下使用非限制性示例并参考附图的描述中，本发明的其他特征和优势将显而易见，其中：

-图1示意性地示出本发明一个实施例，

-图2示意性地示出本发明一个实施例的特定步骤，

-图3a示出内容数据流的可能结构，

-图3b示意性地示出受控内容的数据流结构，

-图4示意性地示出本发明一个实施例所需数据库的产生和更新步骤，

-图5示意性地示出本发明一个实施例中对内容访问的控制步骤，

-图6示意性地示出本发明一个实施中受控内容的数据流，

-图7示意性地描述实现本发明一个实施例的消费设备的一部分结构，

-图8示意性地描述本发明一个实施例中受控内容的处理。

具体实施方式

涉及一种用于“N次播放”型数据权限管理的方法的本发明能够具有多个实施例，这些实施例尤其依赖于消费设备的选择和该设备的应用。

换言之，对内容的消费可以在或者不在：

-消费设备本身上，依赖于其可使用的技术装置，

-或将“N次播放”数据权限控制功能(至少部分)授权给该消费设备(也可以本身不拥有消费装置)的其他设备上。

以下描述范例实施例：消费设备是便携式，更精确地，是个人多媒体播放器。该个人播放器包括于属于同一消费者并与数字内容的使用相关的设备组合之中。该设备组合称作“客户域”。

图1中示意性地示出这种客户域100：视频和/或音频内容提供商102(i)，1＜＝i＜＝n，提供称作提供商内容103的数字内容103，以及与提供商内容103相关并包括于许可101中的称作提供商权限的权限，其中许可101称作提供商许可101。

当针对与提供商权限相关联的内容103的订单来自客户域100的消费者所有者时，通过与客户域100的访问设备106(例如连接到因特网的计算机)相连的提供商网络104(i)，1＜＝i＜＝n，进行供应。

为了提供该内容，每个提供商102(i)和访问设备106之间，在访问设备106的DRM模块114(i)中实现DRM方法，其中DRM方法特别地管理对来自提供商的内容和与其相关联的权限(权限结合在提供商许可101中)以及与远程销售点(remote point of sale)相关联的付费。

在该实施例中，数字内容遵循允许对音频/视频内容的供应进行条件访问的音频/视频标准：DVB-MPEG2(“数字视频广播运动图像专家组”)标准。

图3a示意性地示出该标准中内容200的范例结构。

这里由一系列称作加密段CP202(i)或密钥长度(keylength)202(i)的段形成音频和视频内容200。

这些加密段具有提供商102(i)定义的持续时间。该持续时间通常是10秒。每个加密段CP202(i)包括称作A/V分组206的音频/视频数据分组206，其中用控制字CW(i)对其进行加扰。

在同一加密段202(i)的控制数据或控制消息分组204(i)(称作DECM(i)(“DRM权利控制消息”的缩写)分组204(i))内放置加密段202(i)的每个控制字CW(i)。DECM(i)分组204(i)也可以包括其他数据，特别是称作CID的内容标识符，其在同一内容的各个加密段中恒定不变。

在该发明实施例中，使用由访问设备106管理的DRM过程所特有的对称密钥K_drm加密包括在DECM(i)分组204(i)中的数据。该加密函数表示为E_Kdrm(在本发明的变体中没有DECM(i)加密，或者如果有，可能是不对称的)。则：

DECM(i)＝packet 204(i)＝{E_Kdrm(CID，CW(i)，…)}

图3a中，为简化起见，示出的内容200中每个加密段202(i)只有一个DECM(i)分组，但是实际上每个加密段202(i)可以包括多个DECM(i)分组。

一旦已经将提供商内容103和提供商许可101(图1)传送给了客户域100的访问设备106，则必须将结果内容124和结果许可126传送给个人播放器112。

为了在个人播放器112上消费内容，可以实现两种安全内容和权限传送过程：

-称作主/次过程的传送过程，和/或

-称作访问/隔离过程的传送过程。

在向实现主/次过程的个人播放器112进行传送期间，当其连接到访问设备106以获取内容时，个人播放器112接收消费者希望在个人播放器112中使用的内容和权限，这些权限包括于称作次许可的许可内，并与内容相关联。

为此，个人播放器112实现称作次或便携式DRM过程的、个人播放器112特有的DRM过程，其不同于与每个提供商102(i)相关联的DRM模块114(i)中实现的主DRM过程。次DRM过程的目的是要在个人播放器112中控制地内容的访问，并且其具有自己的许可格式。当消费者使内容从他的访问设备106向个人播放器112传送时，主DRM过程产生具有与次DRM过程兼容的格式的次许可。

每个主DRM过程也管理与次DRM过程的交互。

然后，个人播放器112中的内容单独与个人播放器112相关联。将内容载入个人播放器112是安全操作。次许可也是安全的。

个人播放器112包括：

-用于存储内容的装置136，以及用于实现次DRM过程的装置130，称作次或便携式DRM模块130，

-用来存储秘密数据，特别是密钥，并执行密码操作的安全存储和处理装置。在该实施例中，这些装置包括智能卡。优选地在安全存储和处理装置中包括DRM模块130。

因此，访问设备106的主DRM过程产生次级许可，其包括在个人播放器112中使用内容所需的次级权限(从初级权限中得到，并因此形成子集)中。

然后，作为传输给个人播放器112的权限的函数，主DRM方法更新主许可。

随后，连同次许可，将内容以安全模式从访问设备106传输到个人播放器112。

最后，消费者在个人播放器112中消费内容。根据消费者的使用以及次许可或个人播放器112中的许可，次DRM过程控制对便携式设备中内容的访问，并更新次权限。

可以采用称作访问/隔离过程的另一安全过程来向个人播放器112传送内容，特别是在不希望将使用限制在个人播放器112之内以便该使用可以在个人播放器112或者由个人播放器112管理的客户域100的设备部分之内发生的情况下。实际上，个人播放器112不一定必须包括消费装置(例如，显示屏)，可以只包括存储内容的装置。

已开发了权限保护方法来保护部分域100之内的特定提供商权限，并验证这些部分之内发生的内容使用合法，特别是在访问设备106和包括通过连续通信链接(电缆、以太网、无线等)连接到访问设备106的消费设备108和110的域100的部分107。

特别在以下文档中描述了用于保护与内容相关联的权限的方法：

-在题为“Digital Home Network and method for creating andupdating such a network”的文档WO00/62505 A1中

-或在题为“Process for managing a symmetric key in acommunications network and devices for the implementation ofthis process”的文档EP1 253 762 A1中，其定义了管理方法，其中使用网络部分107的消费设备108和110已知的对称密钥对内容进行编码和解码。

在访问/隔离传送过程(图1)中，采用以上引用的专利中描述的过程将内容103和许可101转换成个人化内容124和个人化许可126。

然后，获得包括编码视频和音频分组的内容124，其中以包括在网络部分107的消费设备108和110内使用内容124所需的信息的规定方式结合分组。

当用户希望在其个人播放器112或其域的分离消费设备118和122商消费内容时，在将内容从访问设备106向个人播放器112传送时，对个人化内容124和个人化许可126进行改编，并以分离内容132和分离许可134的形式存储在个人播放器112中。

为此，使用个人播放器112的便携式DRM模块130。

需要注意，模块130是通用的，换言之，其不依赖内容102(i)的提供商，并且是安全的，意味着能够防止欺骗，并存储加密和使用清除数据。

在安全内容传送过程的最后，个人播放器112的存储装置136包含：

-从数字内容124获得、针对从分离设备112的受控分布而改编的分离内容132，

-以及称作分离许可的许可134，其从个人化许可126获得，并包含消费者希望在域100内(特别是分离部分111中)，从分离设备112使用的权限，以及许可该使用所需的数据。

也可以通过扣除向分离设备112传输的权限来执行访问设备106中保留权限的更新。

因此，定义了本发明的范例实施例(特别地，消费设备是包括于客户域内并消费MPEG2格式内容的个人播放器，并且采用上述两种传送过程中的一个或另一个向其传送内容)。

以下描述随所用标记元素的函数而变化的两个主要发明实施例(及其变体)：实现标记或索引序列的实施例和实现令牌的实施例。

如下参考图2所述，在实现标记序列的实施例中，本发明的控制方法使用主/次传送过程，以及作为变体的访问/分离过程。

根据以下步骤，个人播放器112的便携式DRM模块将访问设备106接收的内容103转换成内容132：

-第一步150：将包含DECM分组140和包含数据分组144(称作DEMM分组)的关联许可的内容103载入个人系统112的存储装置136，

-第二步152：向DRM模块130发送DEMM分组144以便模块130获知相关权限，

-第三步154：将DECM分组140转换成控制数据分组142PECM，并在个人系统112中产生和存储称作PCD表的控制数据表146；PCD表146特别地用于计量消费的使用数目，

-第四步156：特别地，通过将PECM分组142结合到内容103中，将其转换成内容132。

PECM分组142和PCD控制表146包含用于控制内容132的使用的所有信息。

接下来，在该发明实施例的框架内，详细描述针对“N次播放”型权限控制具体需要的特定步骤，即：

1)内容转换(从内容103到内容132)，

2)产生PCD控制表146，以及

3)“N次播放”型权限控制

以下列形式进行从内容103到内容132的转换：

当个人播放器112接收许可101时，如果与该许可相关联的内容103已经存储在存储装置136中但还未被转换，则个人系统112从DRM模块请求按照主/次过程和作为变体的访问/分离过程将DECM分组140转换成PECM分组142。

除了称作CID标识符的内容标识符和称作CW(i)、用于解扰加密段(i)数据的控制字，PECM分组142还包括称作标记或索引序列的序列(k＝0、1、2、…L-1)，其对内容132内的PECM分组进行索引。

这些标记用于检测内容使用的模式，特别是倒带、快进、暂停和“频道转换”。

在该发明实施例中，采用对称密钥K_c加密PECM分组。针对密钥K_c的管理有多种可能方法：

-第一选项：K_c依赖于给定的便携式设备112。在这种情况下，同一密钥K_c保护便携式设备112中包括的所有内容。

-第二选项：K_c依赖于内容。在这种情况下，便携式设备112中包括的每个内容使用不同密钥K_c。

在主/次过程的情况下，以密钥K_drm加密密钥K_c，密钥K_drm是主DRM的密钥，且在DEMM分组144内传送。

将K_drm对K_c的加密结果插入PECM分组142。

因此，该实施例中，PECM分组142表示为：

E_Kc(CID|CW|k)|E_Kdrm(K_c)

其中E_K表示采用密钥K的加密函数，并且|表示数据级联函数。

如图2中所示，当接收到许可101内包括的DEMM分组144和内容103内包括的DECM分组140时，个人系统112的DRM模块130产生PECM分组142。

DEMM分组144包括，特别地，CID内容标识符、内容数字权限(例如，观看给定电影两次的权限)和用于保护DECM分组140的密钥K_drm。

DECM分组140具有格式E_Kdrm(CID，CW)。

为了转换内容，便携式DRM模块130将索引重置为0，并从DEMM分组144中提取加密密钥K_drm。

如果密钥K_c依赖于内容，则DRM便携式模块130随机产生密钥K_c。然后，DRM便携式模块130DRM针对每个DECM数据分组140执行下列操作：

-采用密钥K_drm解密DECM数据分组140，并且提取控制字CW，

-加上索引k，

-产生PECM数据分组214，以及

-递增索引。

图3b示意性示出在转换步骤之后获得的内容300的格式。图1和图3中的受控内容132在该图中称作内容300，包括加密段306(i)。每个加密段306(i)包括含有标记或索引k的PECM分组302(i)以及含有编码音频和视频信息的A/V分组304。要注意，尽管图3b中示出的每个加密段306(i)只有一个PECM分组302(i)，但实际上，同一加密段中可以包括多个分组PECM(k)，每个分组PECM(k)含有自身唯一的索引k，在该示例中，索引k大于形成内容300的数据流内的在先PECM分组的索引k-1。

便携式DRM模块130管理PCD控制数据表，其中每个条目表示为PCD[CID]，对应于便携式设备中的内容。

PCD使用控制表包含针对每个被管理内容的下列信息：

-CID内容标识符，

-使用规则(“消费N次”)，

-主DRM的密钥K_drm：在DEMM数据分组210内接收密钥K_drm，

-仍然有效的更新的使用数目，表示为pn。对于“消费N次”的使用权限，将该数目重置为N。每次消费内容时递减pn，

-最新消费数据分组302(i)PECM(k)的索引或标记，表示为k_PCD。

-可以在倒带时重播的数据分组PECM(k)的最大数目，表示为M。数目M可以是固定的或在DEMM收集分组内传输。

总之，与内容相关联的PCD使用控制表的每个条目表示为：

图4示意性示出与PCD表的内容相关联的条目(表示为PCD[CID])的产生步骤。

在步骤402，当便携式DRM模块130接收与内容相关联的DEMM分组时，其在步骤404使用CID标识符验证PCD表中是否已经有条目PCD[CID]：

-如果PCD表中没有条目PCD[CID]，则，在新步骤406，产生新条目PCD[CID]，其中将pn和索引k_PCD分别重置为N和0。如果数据分组DEMM中含有M值，则将M重置为该值。否则，M固定为默认值。

-如果PCD表中已经有条目PCD[CID]，则，在新步骤408，通过将更新的仍可用数目pn加上N来更新条目。

当用户在个人播放器上消费具有CID的内容(例如电影)时，个人系统的便携式DRM模块在PCD表中寻找条目PCD[CID]。如果找不到该条目PCD[CID](意思是电影许可不可用)，则拒绝使用。否则，如图5中示意性地所示，实现对内容的访问控制。

在第一步骤502，个人系统的DRM模块接收带有索引k的数据分组PECM(k)。然后，在步骤504，其将k与条目PCD[CID]中包括的索引k_PCD进行比较：

如果k≥k_PCD(与沿正常方向使用内容相对应)，则在步骤506中用值k更新k_PCD。在步骤508，解密数据分组PECM(k)，并且可在个人系统上观看电影。

否则(对于倒带操作)，在步骤510，DRM模块130计算表示为bpn(针对“倒带数目”)的值(k_PCD-k)。然后，在步骤512，比较bpn值和M。然后，有两种可能情况：

-如果bpn小于M，则解密数据分组PECM(k)并且能够消费对应内容。在这种情况下，不更新k_PCD，

-如果bpn大于M，则认为有新使用要求(可能或不依赖于剩余权限)。个人播放器和DRM模块警告用户。

在步骤514，验证pn是否为零。如果pn非零，则在步骤516，个人播放器要求用户确认是否希望再次消费内容。如果用户确认是，则减小仍然可能的使用数目，并将k_PCD重置为0(步骤518)。然后，解密数据分组PECM(k)并可以消费内容(回到步骤508)。如果用户拒绝，则不解密数据分组PECM(k)，并不更新k_PCD(步骤520)。然后，用户能够进一步向前重新定位内容，并就继续正在进行的使用。如果pn等于0，则在终止内容使用(步骤520)之前通知用户(步骤522)；然后，个人播放器的DRM模块可以提示用户获取新许可。

作为变体，要注意，可以使用内容总长度的特定百分比，而不用数据分组PECM(k)的精确数目M，其中可以倒序地重播数据分组PECM(k)而不进行附加使用的计数。

当用户擦除个人播放器内容的CID标识符时，擦除PCD表的条目PCD[CID]。

条目PCD[CID]的擦除方法的变体是执行批擦除操作：可以周期性地执行(例如每天)或者在必须时，例如当没有可用存储器时。

个人播放器的DRM模块是存储PCD表的理想位置。如果其资源受限，可选解决方法是在个人播放器的DRM模块外部存储部分PCD表(密钥K_drm一定不在该部分中)。但是，必须保证PCD表的完整性。

例如，必须在便携式DRM模块中存储PCD表的签名。在这种情况下，在使用PCD表之前，必须验证其完整性。在更新PCD表之后，必须更新签名。可以通过简单的散列函数产生签名。

便携式设备的DRM模块可采用以下装置形成：

-智能卡，例如用于移动电话的SIM卡(“订户身份模块”的缩写)，或

-机载安全处理器，或

-使用带有防欺诈保护的软件的标准处理器。

密钥K_c能够根据内容而变化，并能采用AES标准(高级加密标准的缩写)对其加密(用密钥K_drm)，与带有用密钥K_c加密的分组PECM(k)的一部分一样。

在本发明的一个范例实施例中，M具有默认值10800。这与具有每10秒一个分组PECM(k)的视频内容的30分钟倒带相对应。只有在消费设备的许可不包含任何M的值时才使用该默认值。

本发明的另一个可能实施例在形成受控内容的数据流的特定部分中实现令牌或无令牌。

该发明实施例的实现假设存在含有可以改变的标志(更精确地，令牌)的内容。

该发明实施例的第一步骤是产生含有令牌的内容。

可以将标志与数字数据(称作令牌)的存在或不存在相链接。

在一个实施例中，令牌可以是内容数据流中包含的布尔变量，例如，如果令牌看作存在，则变量等于1；或者如果看作不存在，则变量等于0。

将内容(即载有用户消费的音频/视频信息的数据流)划分成规则的分段(称作加密段CP(I)或密钥长度)。

每个加密段包括称作A/V分组的已编码音频和/或视频信息，以及与A/V分组混合的控制消息。

控制消息包含表示为CW的控制字，其允许对一部分内容的A/V分组进行解码。

因为安全原因，控制消息部分未加密，部分加密。但是，由于签名，控制消息的未加密部分的子部是安全的。签名本身包含在控制消息内。

控制消息还包含内容标识符，表示为CID。对于同一内容的所有控制消息，CID标识符的值都相同，只有从一个内容到另一个内容时才变化。

另外，内容许可伴随着内容。内容许可包含使用内容的规则。许可中包含的信息也受到保护。可以在控制消息内包括许可，或者将其与内容分离。

控制许可特别地包含以下值：

-内容的仍可用数，表示为STP数(表示“仍可播放”)，

-与内容的全部使用等效的令牌数，表示为TOV数(表示“一次观看的令牌”)，

-针对在使用进行期间已经使用的令牌的计数器，表示为TAU(表示“已用令牌”)，以及

-可选的，授予消费者的、与被认为正在使用的一次使用的TOV数相对的裕度，该裕度称作TM(“令牌裕度”)。

当将内容传送进消费设备，向每个控制消息加上一个令牌，从而形成已修改的控制消息。

可以不将令牌加到内容的一部分。这样允许只控制内容的特定部分，同时允许完全自由地使用其他部分。这种功能称作“互补功能”。

该发明实施例的一个变体，称作“隐含(implicit)令牌变体”，默认所有控制消息包含令牌。在这种情况下，控制消息实际上不包含与令牌相关的附加信息。

在该变体中，只有在使用互补功能的情况下修改控制消息：在这种情况下，内容不可控部分的控制消息包含附加信息，指示其不包含令牌。

令牌与加密段CP(i)相关联。所以，在已修改的控制消息中，令牌与控制字CW相关联。如果在已修改的控制消息(表示为ECM分组)内有多于一个的CW，则只有需要计数功能的控制字CW具有相关联的令牌。

如果令牌必须与加密段相关联，则载有针对该加密段的控制字CW的所有分组或许可必须包括令牌，这是因为不能真正地确定在解码(或解扰)内容时选择哪个ECM分组或许可。

在与实令牌变体相反的、称作“逆令牌变体”的隐含令牌变体中，载有针对未标记加密段(即不带有令牌)的控制字CW的所有ECM分组必须包含消息“不计数”。

图6示意性地示出内容600的数据流，其已经部分地使用实令牌(实令牌比隐含令牌更加“形象”)标记过。

将流划分成加密段602(i)，每个加密段602(i)具有时间段603，例如10s的持续时间，并且图6示出了段602(n-2)、602(n-1)、602(n)、602(n+1)和602(n+2)。

每段602(i)包含多个ECM分组604。例如，两个ECM分组之间的时间608是100ms。

允许将一段602(i)解码的控制字CW(i)出现在以下位置：

-在段602(i)之前(在时间606期间，称作段602(i-1)的“ECMadvance”)的特定ECM分组内，其允许解码装置在段602(i)到来之前做好准备，

-在段602(i)的所有ECM分组内，以及

-在段602(i+1)的一些分组内。

因此，每个ECM分组604包含两个控制字CW610：CW(i)610(i)和CW(i-1)610(i-1)或CW(i+1)610(i+1)。

如下文所述，如果必须标记段602(i)，则通过将令牌612与控制字CW(i)610(i)相关联来执行称作标记操作的、在内容中定位标记的操作；并且如果不必标记段602(i)，则通过将令牌612与控制字CW(i)610(i)不相关联来执行上述操作。

在图6中，段602(n)未标记。

在该图示中，控制消息是ECM分组604。

该发明实施例的另一部分是存储内容、针对该内容的许可以及与该内容的令牌相关联的计数结构。

以加密形式在消费设备上存储内容及其相关联的许可。

消费设备包括安全存储和处理装置，称作“安全存储装置”，其能结合：

-智能卡(例如用于移动电话的SIM卡)或

-机载安全处理器，或

-使用防欺诈保护软件的标准处理器。

该安全存储装置在其存储器中保留针对消费设备上可用的每个内容的CID标识符和许可信息。

该存储装置还包含数据库，其包括针对每个可用内容的计数数据集合，称作RCS(读计数结构的简称)。RCS结构将CID内容标识符与该内容的STP、TOV、TAU数相链接。可选地，该条目还包含与内容相关联的TM裕度。

因此，RCS结构与每个内容相关联：

RCS(content j)＝{CIDj，STPj，TOVj，TMj，TAUj}.

安全存储装置将包含与消费设备上可用的内容类型同样多的RCS结构。

可以限制或不限制RCS结构的存储容量。

因为安全存储装置的存储容量一般较低，在存储了RCS结构的情况下，通常限制RCS结构的数据库(以下称作“RCS数据库”)。

在这种情况下，如果达到安全存储装置的容量限制，可以有多种变体：

-在第一变体中，可以不允许添加新内容。那么，如果用户希望向消费设备添加新内容，则必须首先清除之前保存在消费设备中的内容。

-在第二变体中，当用户希望向消费设备添加新内容时，从消费设备的存储器中自动擦除一批或多批旧内容。根据与内容有关的标准进行自动擦除操作，例如，所述标准可以是距最后一次使用已经过了最长的时间或在消费设备中存储了最长的时间。

如果在个人播放器的主存储器(可以是硬盘)内存储RCS结构，因为相对于此类存储的容量，RCS数据库非常小，所有不限制RCS数据库。

在个人播放器的主存储器内存储RCS结构的情况下，必须加密该数据库，以避免个人播放器的用户能够修改它。在这种情况下，在安全存储装置中存储用于执行加密的加密密钥。

为了在消费设备上消费内容，必须首先使用控制消息中包括的解密密钥(也称作“控制字”CW)对其解密。

在解密操作期间，如果消费设备证实了其消费内容的权限，则消费设备向安全存储装置发送来自内容的控制消息。

然后，安全存储装置提取解密所需的信息(特别是解密密钥或控制字)，以便使其对消费设备可用。

根据本发明，消费设备对消费内容权限的证实包括验证STP数大于0的步骤。

为此，安全存储装置读取控制消息中的CID标识符，然后访问对应于该CID标识符的RCS结构以获取STP数。如果STP数大于0，则安全存储装置允许使用内容。相反，其阻止该内容的使用。

如果允许另一使用，每次提取包含标记或令牌的解密密钥(控制字CW)时，安全存储装置增加已用令牌计数器TAU。

该令牌计数与内容的使用模式无关(快进或倒带、正常速度、高速或减速)。

因此，例如，如果用户滥用倒带操作，或者如果他消费同一内容序列的次数过多，则最后他消费了他的所有使用额度。那么，即使他还没有达到内容结尾，也会阻止其使用内容。

为此，在一个实施例中，令牌的TOV数值大于内容包含的令牌数(大于50％到100％)。

因此，即使用户有可能在用完权限之前还没达到内容结尾，但在实际中，这应该涵盖大多数情况。

需要注意，只有在消费新ECM分组时才增加令牌计数器TAU：意思是如果连续消费同一加密段而不换到新加密段，则只在首次消费加密段时增加TAV计数器，而不会针对后续使用增加。

除了监控STP数，安全存储装置连续验证令牌计数器TAU的值，特别是在每次安全存储装置提取解密密钥时。

如果令牌计数器TAU变得比等效于内容的完全使用的令牌TOV数更大，或者，在一个变体中，比令牌TOV数和令牌裕度TM之和更大，则在RCS的数据库中的RCS计数结构内：

-仍然可用的STP数减1并且

-将令牌计数器TAU重置为0。

该方法的一个变体只包括修改计数器TAU而STP和TOV数以及TM裕度保持不变：每次为了消费来处理解密密钥(或控制字)时，增加令牌计数器TAU。安全存储装置连续地验证令牌计数器TAU的值，并且如果令牌计数器TAU大于STP数与TOV数之积(或者在一个变体中，比STP数与TOV数和TM裕度之和的积更大)，则控制设备阻止内容的使用。

涉及使用令牌来控制“N次播放”数字权限的方法的本发明实施例能够有多种变体，特别是，其依赖于消费设备的选择和该消费设备的应用。

可以通过便携式消费设备实现本发明的实施例，例如，图1所述客户域中包括的个人多媒体系统。

在本实施例中，个人播放器包括安全智能卡。

访问设备是装备有一个或多个DRM软件应用程序的台式计算机，其中DRM软件应用程序允许实现一个或多个DRM方法。

个人播放器中消费的内容是MPEG2标准格式。

在该实施例中，消费者可以如前所述地在客户域100上消费数字内容103(图1)。

已经开发了权限保护方法，以在域100的特定部分保护特定提供商权限，并且如上所述地控制该部分中内容的合法使用。

在通过令牌控制使用的实施例中，控制消息是图3a中特别所示的插入音频/视频内容的DECM分组。当将内容传送进个人播放器时，将DECM分组转换成受控内容特有的控制数据分组，如前所述表示为PECM分组，其包括或不包括令牌(取决于所作选择—带有令牌或隐含令牌)。

当将内容传送进个人播放器时，安全智能卡在其RCS数据库中产生新条目，该条目中存储仍然可用的STP数值、一次使用所允许的令牌TOV数值和可选的、增补令牌的TM裕度，在伴随内容的许可中接收这些值。

图7中示意性地描述了令牌计数的方法。

针对之前已传送到个人播放器的内容(因此是受控内容)的数据流704被传输到个人系统中包括的解码器700。

多路分离装置706从数据流704中提取PECM分组720，并向解密装置710发送结果流708。

智能卡702使用处理装置722解密PECM分组720(如果被允许)以便获得，特别是：

-控制字CW 750，

-内容标识符CID 724，以及

-使用条件726(即，“观看N次”)。

向存储RCS数据库条目的智能卡安全存储器736发送内容标识符CID 724。

因此，从安全存储器736中提取下列信息：

-与其标识符为标识符724的内容相关联的已消费令牌数TAU738，

-与其标识符为标识符724的内容相关联的、一次使用所允许的令牌数TOV 740，

-与其标识符为标识符724的内容相关联的仍可用数STP 742，

-与其标识符为标识符724的内容相关联的数字权限728。

然后，在比较装置730中比较权限738与使用条件726：如果该比较允许使用要被许可的当前加密段，则向提供更新的已消费令牌数TAU 734的令牌计数器732发送消息，即，安全存储736提供的已消费令牌数TAU 738加1，然后在存储器736包括的RCS数据库中保存更新的已消费令牌数TAU 734。

然后，用于控制智能卡702的装置744验证数738 TAU、740 TOV和742 STP，如果验证是肯定的，则向装置748发送授权746，以便提取控制字。

如果验证是否定的，则因为智能卡不会向解码器700发送解密内容所需的控制字750而阻止了使用。

利用此授权746，选择装置748向解密装置710发送之前从处理装置722接收的控制字750。

解密装置710使用控制字750解密输入加密流708，以便输出发送给解码和消费装置714的流712。

最后，向再现数字数据的装置718(特别是显示屏、扬声器、耳机、气味发生器)发送新的结果数据流716。

安全智能卡包含受保护的存储器。如果数目十分有限，则该存储器能够容纳所有计数结构或RCS数据库条目。

但是，在大多数情况下，该数目大于智能卡存储器的容量。为此，优选的是，将令牌计数数据结构存储在多媒体个人播放器的主存储器中所包括的数据库中。在该实施例中，该主存储器实际上是硬盘。

图8示意性地描述在多媒体个人播放器800的硬盘804中存储令牌计数数据结构的情况下这些结构的存储和提取操作。

在硬盘804上存储之前，加密数据库的所有元素。

实际上，包括在硬盘804中的数据库是加密值数据库。

在包括于个人播放器800中的安全智能卡806的受保护的存储器808中存储密钥818，密钥818用于数据库所含元素的加密和解密，表示为Kcs密钥818。

硬盘804还用来存储加密内容数据流802。然后，向解密装置，接着向再现装置发送从硬盘804输出的流810。

在硬盘804上以其加密形式RCS_E进行存储之前，加密如前定义的每个RCS计数数据结构：

RCS_E＝E_Kcs(RCS)，其中E是使用Kcs密钥818的加密函数。

在该实施例中，选择标准化加密函数AES(美国国家标准技术协会所定义的“高级加密标准”的简称)，作为加密函数。

RCSE＝AES_Kcs(RCS)，其中Kcs是秘密AES128位密钥。

在AES加密装置812中执行使用AES函数的加密操作。

将每个加密RCS_E结构816存储在硬盘上。为了从RCS_E计数结构数据库中高效提取数据，硬盘804上的每个RCS_E附带有未编码索引和未编码CID标识符。

当安全智能卡806读取加密计数数据结构816数据库，以便从中提取数据时，卡806搜索硬盘上具有与想要处理的内容相同的CID内容标识符的结构816。一旦卡806找到了该结构816，卡读取该结构并根据以下公式，在AES解密装置814中进行解密。

RCS＝AES^-1 _Kcs(RCS_E)

所提取的RCS数据结构820用来保存对一部分内容已被消费的次数的计数。

本发明能够有多种变体。因此，可以在除个人娱乐系统之外的多种便携式设备中(特别是在移动电话或电子日记(PDA)中)实现本发明。

Claims

1.一种用于控制针对称作受控内容(132，300，600，704)的数字音频和/或视频内容(132，300，600，704)的“N次播放”型数字权限的方法，其中消费者在消费设备(112，800)或将权限的控制授权于消费设备的其他设备上消费受控内容(132，300，600，704)，其特征在于在以下情况的至少一种中禁止对一次附加使用的收费：

-消费者在消费受控内容的同一设备(112，800)上暂时消费其他内容，然后返回受控内容，

-消费者在回放受控内容时进行暂停操作，

-消费者对受控内容执行快进操作，

-消费者对受控内容执行倒带操作。

2.根据权利要求1所述的方法，其特征在于受控内容(132，300，600，704)将标记元素至少结合在受控内容的特定部分之内。

3.根据权利要求1和2所述的方法，其特征在于如果消费者在短于倒带阈值时间段的使用期间执行受控内容(132，300)的倒带，则禁止对附加使用收费。

4.根据权利要求3所述的方法，其特征在于倒带阈值时间段是与消费设备(112)相关的、受控内容(132，300)总持续时间的固定百分比。

5.根据权利要求3所述的方法，其特征在于倒带阈值时间段与受控内容(132，300)相关，并独立于消费设备(112)。

6.根据权利要求2所述的方法，其特征在于标记元素是位置指示符；指示符形成数值序列并被周期性地插入受控内容(132，300)中，以便形成贯穿受控内容的索引序列，在受控内容(132，300)的开头插入此序列的最小数。

7.根据权利要求3和6所述的方法，其特征在于，在使用包括索引的部分受控内容(132，300)期间，与存储装置(130)和消费设备(112)相关联的处理装置(130)采样出现在所消费的部分内容中的索引，以便将其与之前采样和存储的索引进行比较，在所述处理中：

·如果差值大于倒带阈值时间段，则做出了新使用的要求，

·如果差值不大于倒带阈值时间段，则没有新使用的要求。

8.根据权利要求6和7中任何一项所述的方法，其特征在于将索引引入规则地放置于整个受控内容(132，300)中的控制数据分组(142，302(i))中。

9.根据权利要求6、7和8所述的方法，其特征在于处理装置(130)包含与每个受控内容(132，300)相关的、由针对该内容的标识符代表的数据库，其包含至少一个以下数据值：

-初始可使用量，

-一个或多个加密密钥，

-仍可使用的更新次数，

-最新控制数据分组(142，302(i))的索引，

-可以在其上执行倒带而不会引起新使用要求的控制数据分组(142，302(i))的最大量。

10.根据权利要求2所述的方法，其特征在于受控内容(132，600，704)包括划分成段(602(i))的可控部分，每段包含至少一个称作控制消息的控制数据分组(604)，该控制消息包括称作标志(612)的标记元素；则在消费设备(112，800)内，所述处理包括步骤：

-计数标志的数目，以便能够控制可控部分的已消费段(602(i))的数目。

11.根据权利要求10所述的方法，其特征在于受控内容(132，600，704)还包括不可控部分(602(n))。

12.根据权利要求10和11中任何一项所述的方法，其特征在于标志(612)是令牌。

13.根据权利要求10和11中任何一项所述的方法，其特征在于标志是无令牌。

14.根据权利要求10到13中任何一项所述的方法，其特征在于在消费设备(112，800)内，形成数据库，其包括针对由消费设备控制的每个内容的、称为计数结构的数据值集合，每个计数结构包括针对内容的标识符(724)和称作TOV数(740)的数，其代表能够在受控内容(132，600，704)的单个使用期间检测和计数的标志(612)的最大许可数目。

15.根据权利要求14所述的方法，其特征在于对于可控部分的每个新的已消费段，将针对当前使用而检测到并收费的标志数(612)与TOV数(740)相比较，如果检测到并收费的标志数(612)超过TOV数(740)，则正在进行的使用终止，并产生新使用要求。

16.根据权利要求14所述的方法，其特征在于每个计数结构包括称作使用裕度的数目，其代表相对于TOV数(740)可被检测并计数的最大附加标志数(612)，如果检测并计数的标志数(612)超过TOV数(740)与使用裕度之和，则正在进行的使用终止，并产生新使用要求。

17.根据权利要求14所述的方法，其特征在于每个计数结构包括针对每个数字内容的仍可使用数，称作STP数(742)。

18.根据权利要求15和17所述的方法，其特征在于新使用要求的结果包括：

-如果STP数(742)为零，禁止新使用；

-或者，如果STP数(742)非零，清除新使用，并因此减少STP数(742)。

19.根据权利要求16和17所述的方法，其特征在于新使用要求的结果包括：

-如果STP数(742)为零，禁止新使用；

20.根据权利要求14所述的方法，其特征在于在消费设备的存储装置(136，804)内，以加密方式存储针对计数结构的数据库，消费设备的安全存储和处理装置(136，804)中包括允许对数据库的计数结构进行解密的加密密钥。

21.一种消费设备(112，800)，其特征在于实现了根据权利要求1到20中任何一项所述的用于控制“N次播放”型数字权限的方法。