JP2005520412A - コマンドメッセージを生成するローカルアクションのためのリモートコントロールプロトコル - Google Patents

Abstract

本発明は、コマンドメッセージ（ＯＭ）を生成するローカルアクションのためのリモートコントロールプロトコルに関し、このプロトコルは、放送局が少なくとも１つの受信局におけるローカルアクションを制御できるようにし、このプロトコルは、放送局から受信局へ権限メッセージ（ＨＭ）を送信するステップと、受信局それぞれに記憶されたパラメータについて、送信された信頼性パラメータおよびアドレスについて、この受信局において検証するステップ（４）と、を備える。ローカルに計算されたコマンドメッセージ（ＯＭ）を受信局のレベルで生成するアクション（ＣＭ）を権限メッセージ（ＨＭ）が備えるとともに、検証ステップ（４）の条件として、権限メッセージ（ＨＭ）とともに送信したアクション（ＣＭ）を解釈するステップ（１０）と、この解釈ステップ（１０）に応答してコマンドメッセージ（ＯＭ）をローカルに生成するステップ（２０）とを備えることを本発明の特徴とする。上記は、特に、エンコードされたテレビジョン情報（Ｉ＊）の送信に適用されるものである。

Description

本発明は、コマンドメッセージを生成するローカルアクションのためのリモートコントロールプロトコル、ならびに、このプロトコルを使った記録および再送装置に関する。

このタイプの制御技術は、特にネットワークを介した情報伝送に用いられる。これにより、後に実行されるコマンドメッセージのローカル生成を制御することができる。一般に、このようなコマンドメッセージは、受信機のローカルパラメータを使って生成される。

この技術は、フランス国特許ＦＲ−Ａ−９０ ０７ １６５およびＦＲ−Ａ９６ １０ ３０２で開示されたような「トランスコントロール（transcontrol）」の条件の下で、限定受信方式（conditional access）でテレビプログラムを放送する分野で使われる。

これらの文献で開示された技術により、許可された受信機は、スクランブル情報によるサービスメッセージをローカルに計算された新しいメッセージに置き替えることができる。これにより、特に、ローカルパラメータを使って暗号解除した後に、実行すべき新しい制御ワードの暗号化が可能となる。

しかし、これらの技術は、使用時におけるセキュリティの面で大きな問題がある。

初期の送信機は、受信機位置で情報を管理できる受信された制御ワードの使用の制御が制限されるのみである。

結果として、情報が記録されもしくは再送されたとき、初期の送信機もしくは放送送信機は、ローカルに計算されたコマンドメッセージに関係する情報からなる使用の制御下とはならない。

同様に、衛星によって再送局に伝送できる範囲内で、各局は、送信された情報の全てについてアクセスし変換する手段を備えなければならない。

例えば、ハイレベルイネーブリングコードを含むカードに集積されるセキュリティプロセッサがある。

しかし、その多様性のために、再送局における装置の構成物品の物理的なセキュリティを確保するのは難しい。

したがって、既存の装置では、その使用中に、セキュリティに関してある特定の問題をもたらすことが明らかである。

本発明の目的は、送信機が受信機による受信情報により作られた使用を部分的にあるいは全体的に制御することができるようにすることによって使用中のセキュリティに関するこれらの問題を解決することにある。

本発明は、少なくとも１つの受信局におけるローカルアクションを制御するために、放送送信機からの、コマンドメッセージをローカルに生成するアクションのためのリモートコントロールプロトコルに関する。ここで、受信局は、デコーディングターミナルと、格納場所に格納された信頼性(authenticity)およびアドレスの検証パラメータを備えるセキュリティプロセッサであって格納場所に接続されたセキュリティプロセッサに備えられたアクセス制御モジュールと、を少なくとも備え、このプロトコルは、
放送送信局から受信局へ、信頼性およびアドレスの検証パラメータを含むフィールドとデータを含むフィールドとを備えるイネーブリングメッセージを送信するステップと、
受信局において、受信局のそれぞれに記憶されたパラメータに関係する信頼性およびアドレスの検証パラメータを検証するステップと、を備える。このリモートコントロールプロトコルは、
イネーブリングメッセージは、ローカルに計算されるコマンドメッセージを受信局において生成するアクションをデータフィールド無いに備えることと、プロトコルが、検証ステップの条件の形として、少なくとも、
イネーブリングメッセージにおいて伝送されるアクションを解釈するステップと、
この解釈ステップに応答してコマンドメッセージをローカルに生成するステップと、を備えることを特徴とする。

本発明の他の態様によれば、以下のとおりである。
すなわち、イネーブリングメッセージのデータフィールドは、条件の論理的組合せで配置される複数の指示ブロックを備え、真か偽かの論理的検証に対するそのバイナリ結果が、ブロックとブロックに含まれる処理すべき指示との間で条件ブランチを作ることができる。

また、アクションは、ローカルに生成されるべきコマンドメッセージのフォーマットを表すパラメータを含むフィールドを備え、このアクションを解釈するステップは、少なくとも、これらフォーマットパラメータにしたがってコマンドメッセージの要素を生成する動作を実行するために、フォーマットパラメータを考慮するステップを備える。

また、解釈ステップ中に実行される動作は、暗号化、復号化、および／または再度の暗号化（over-encrypting）の各動作を含む。

また、アクションに含まれるフォーマットパラメータは、ターミナルのユーザの非書込みのアクセスが可能な格納場所に格納されたローカルパラメータに対するリファレンスを備え、このローカルパラメータは、アクションを解釈するステップの動作中に使用される。

また、アクションに含まれるフォーマットパラメータは、ターミナルのユーザの書込みのアクセスが可能な格納場所に格納されたローカルパラメータに対するリファレンスを備え、このローカルパラメータは、アクションを解釈するステップの動作中に使用される。

また、アクションは、イネーブリングパラメータを含むフィールドを備え、アクションを解釈するステップは、イネーブリングパラメータに少なくとも基づき、かつ、フォーマットパラメータを考慮するステップの実行に必要な動作に従って、セキュリティパラメータを生成してコマンドメッセージに対するセキュリティパラメータを規定するステップを少なくとも備える。

また、アクションは、データを含むフィールドを備え、アクションを解釈するステップは、イネーブリングパラメータに少なくとも基づき、かつ、フォーマットパラメータを考慮するステップの実行に必要な動作に従って、データを処理してコマンドメッセージのデータを規定するステップを少なくとも備える。

また、アクションのデータフィールドは、条件の論理的組合せで配置された複数の指示ブロックを備え、真か偽かの論理的検証に対するそのバイナリ結果が、ブロックとブロックに含まれる処理すべき指示との間で条件ブランチを作ることができる。

また、生成ステップは、セキュリティパラメータを含むフィールドと、データを含むフィールドとを備えるコマンドメッセージを伝送する。

また、コマンドメッセージのデータフィールドは、条件の論理的組合せで配置された複数の指示ブロックを備え、真か偽かの論理的検証に対するそのバイナリ結果が、ブロックとブロックに含まれる処理すべき指示との間で条件ブランチを作ることができる。

また、このプロトコルは、コマンドメッセージをローカルに生成するステップに加え、このコマンドメッセージを実行するステップを備える。

また、このコマンドメッセージを実行するステップは、コマンドメッセージ中に含まれるセキュリティパラメータを検証することと、コマンドメッセージ中に含まれるデータを読み取って処理することとを備える。

また、ローカルに生成されたコマンドメッセージは、上述のように規定されたイネーブリングメッセージである。

また、放送送信機は、制御ワードに含まれたサービスキーを使って、スクランブル情報(scrambled information)を送信するのに適しており、そのスクランブル情報の送信は、オペレーションキーによって暗号化された制御ワードの暗号文の送信に付随し、各受信機におけるデコーディングターミナルは、スクランブル情報をスクランブル解除するターミナルを構成するとともに、オペレーションキーおよび暗号化された制御ワードから制御ワード中に含まれるサービスキーを再構成するためにオペレーションキーをコントロールモジュールのセキュリティプロセッサ中に備え、各スクランブル解除ターミナルは、スクランブル情報を、再構成されたサービスキーに基づいてスクランブル解除することができ、イネーブリングメッセージは、放送送信機から受信機へ伝送されたスクランブル情報のフロー中に多重化することによって送信される。

また、アクションのデータフィールドは、制御ワードの暗号文を少なくとも備える。

また、アクションのデータフィールドは、スクランブル情報と多重化されるイネーブリングメッセージを、ローカルに生成されたコマンドメッセージに置き換え、コマンドメッセージをローカルに生成するステップの後には、イネーブリングメッセージをスクランブル情報中のコマンドメッセージに置き換えるステップがある。

また、このプロトコルは、ローカルに生成されたコマンドメッセージと多重化されるスクランブル情報を不揮発性キャリア上に記録するステップを備える。

また、セキュリティパラメータ、および／または、コマンドメッセージのデータは、不揮発性キャリア上に記録されるスクランブル情報へアクセスする基準を備え、このプロトコルはさらに、
記録されたスクランブル情報へのアクセスを要求するステップと、
これらアクセス基準の検証時に、記録されたスクランブルデータにアクセスする権限を送信するために、コマンドメッセージのアクセス基準を検証するステップと、を備える。

また、このアクセス基準は、
ターミナルのイネーブリングレベル、
アクセス権限の期限日、
日および／または時で規定された継続時間、
耐用年数、および、
権限付与された要求の最大数
のパラメータによって構成されたグループ中のパラメータから選択される。

そして、このプロトコルは、ローカルに生成されたコマンドメッセージと多重化されるスクランブル情報を、受信局から１つもしくはそれより多い第２の受信局へ再送するステップを備え、
イネーブリングメッセージの全てもしくは一部は、送信の機密性を確保するために送信ステップの前に暗号化され、信頼性およびアドレスパラメータの検証をするステップは、イネーブリングメッセージを復号するステップに結び付けられる。

本発明はまた、デコーディングおよび記録するターミナルに関し、このターミナルは、例えばマイクロプロセッサとユーザの非書込みのアクセスが可能な格納場所とを備える着脱可能なカード上に、集積化されたセキュリティプロセッサに接続されるデコーダを備え、このターミナルは情報を記録するための不揮発性キャリアをさらに備え、そして、上述のプロトコルを使うのに適していることを特徴とする。

本発明はまたさらに、デコーディングおよび記録するターミナルに関し、このターミナルは、セキュリティプロセッサ、または、マイクロプロセッサとユーザの非書込みのアクセスが可能な格納場所とを備える着脱可能なカード、に接続されるデコーダを備え、このターミナルは情報を送信するための手段をさらに備え、そして、上述のプロトコルを使うのに適していることを特徴とする。

本発明は、添付の図面を参照して単に例示的に示された、以下の説明を読むことによって一層理解されるであろう。

図１は、本発明による、コマンドメッセージを生成するローカルアクションについてのリモートコントロールプロトコルのメインステップを示すフローチャートである。

このプロトコルは、参照符号ＨＭで示されるイネーブリングメッセージを、放送送信局から１つもしくはそれより多い受信局へ送信するステップ２でスタートする。

このイネーブリングメッセージＨＭは、図２に例示されているように、信頼性およびアドレスのパラメータを含むフィールドＨＭ＿Ｈと、データフィールドＨＭ＿Ｄと、を備える。

本発明によれば、データフィールドＨＭ＿Ｄは、参照符号ＯＭで示されるコマンドメッセージを受信局において生成するアクションＣＭを含むフィールドをさらに備える。

図１を参照すると、このプロトコルは、送信ステップ２のあとに、受信ステップ３と、イネーブリングメッセージＨＭの受信者の信頼性およびアドレスを検証するステップ４と、を備えることが理解できよう。

このステップ４はいつもどおりに実行され、送信されたメッセージが変更されていないことと、受信局がこのメッセージの目的の受信者であり、それを処理することの権限が付与されていることとを検証する。

信頼性およびアドレスのパラメータの検証が済んだ場合、受信局はデータフィールドＨＭ＿Ｄを読み出して処理する。

いつもどおりのやり方で、データフィールドＨＭ＿Ｄを、条件の論理的組合せで配置される複数のブロックに組織してもよく、真か偽かの論理的検証に対するそのバイナリ結果が、ブロックとブロックに含まれる処理すべき指示との間で条件ブランチを作ることができる。

各ブロックは、アクションもしくは実行すべきアクションのリストを備えてもよい。

一般的には、以下の論理的関係を含むよう構築された論理フェーズにしたがってフィールドＨＭ＿Ｄを配置することができる。すなわち、
もし条件論理表現が検証されたなら、
そのときは、この状況に対してブロックに記述されたアクションもしくはアクションのリスト、または、検証された条件に関係するアクションのリスト、を実行し、
あるいはさもなければ、検証されなかった条件に関連するアクションもしくはアクションのリストに対して、記述ブロックに記述されたアクションもしくはアクションのリストが実行される。

データフィールドＨＭ＿Ｄは、少なくとも、そして唯一のオプションとして、受信局においてコマンドメッセージＯＭを生成するアクションＣＭを含む。

図３には、コマンドメッセージを生成するアクションＣＭのフォーマットの詳細が記述されている。ＣＭは、イネーブリングパラメータを含むフィールドＣＭ＿Ｈと、フォーマットパラメータを含むフィールドＣＭ＿Ｆと、データを含むフィールドＣＭ＿Ｄとを含んでいる。

解釈ステップ１０中に、コマンドメッセージＯＭのローカルな生成に必要な要素全てを生成するために、アクションＣＭが解釈される。

結果として、アクションＣＭを解釈するステップ１０は、コマンドメッセージＯＭのフォーマットを規定するために、フィールドＣＭ＿Ｆのフォーマットパラメータを考慮するステップ１２を備え、そしてこのやり方によって、コマンドメッセージを生成するために実行すべき動作を規定する。

解釈ステップ１０は、アクションＣＭのフィールドＣＭ＿Ｈに含まれるイネーブリングパラメータに少なくとも基づいて、かつ、フィールドＣＭ＿Ｆのフォーマットパラメータを適用するのに必要な動作に従って、セキュリティパラメータを生成してコマンドメッセージＯＭに対するセキュリティパラメータを規定するステップ１４をさらに備えることができる。

最後に、解釈ステップ１０はまた、アクションＣＭのフィールドＣＭ＿Ｄに含まれるデータに少なくとも基づいて、かつ、フィールドＣＭ＿Ｆのフォーマットパラメータを適用するのに必要な動作に従って、フィールドＣＭ＿Ｄのデータを処理してコマンドメッセージＯＭのデータを規定するステップ１６を備えることができる。

そして、アクションＣＭを解釈するステップ１０中に規定される要素の全ては、コマンドメッセージＯＭをローカルに生成するステップ２０を実行するのに使われる。

図４は、ステップ２０の終りに生成されたコマンドメッセージＯＭの詳細を例示する。

このメッセージＯＭは、ステップ１４中に規定されたセキュリティパラメータを含むフィールドＯＭ＿Ｈと、ステップ１６中に規定されたデータを含むフィールドＯＭ＿Ｄと、を備える。

すぐにもしくはその後に、コマンドメッセージＯＭは、実行ステップ２５中で実行され、その間、フィールドＯＭ＿Ｈのセキュリティパラメータが検証され、データフィールドＯＭ＿Ｄが読み出されて処理される。

このやり方では、受信機においてローカルに生成されたコマンドメッセージＯＭは、すぐにもしくはその後に使用されることが意図されているコマンドメッセージであって、このコマンドメッセージの全てもしくは一部がイネーブリングメッセージＨＭの送信機によって規定されているコマンドメッセージ、を構築する。

ステップ１２のおかげで、メッセージＯＭは、アクションＣＭのフィールドＣＭ＿Ｆに規定されたフォーマットに従う。

同様に、フィールドＣＭ＿Ｈに規定されるイネーブリングパラメータとアクションＣＭのフィールドＣＭ＿Ｄに含まれるデータとに少なくとも基づいて、フィールドＣＭ＿Ｆに規定されたフォーマットパラメータによって指示される動作を実行することによって、セキュリティパラメータとコマンドメッセージＯＭのデータとを規定する。

したがって、放送送信機が、イネーブリングメッセージＨＭに含まれるアクションＣＭを規定するにあたり、ローカルメッセージを生成するステップ２０の間に使われる要素の全てを規定し、このやり方によって、コマンドメッセージＯＭの生成の制御が維持されることが理解できよう。

有利には、データフィールドＨＭ＿Ｄのように、アクションＣＭのデータフィールドＣＭ＿Ｄは、指示もしくは指示のリストを含み、これらは、構築された論理フェーズにしたがって論理的組合せに配置される。

生成ステップ２０の終りには、コマンドメッセージＯＭは、フィールドＯＭ＿Ｄ中に、フィールドＣＭ＿Ｄのデータの全てもしくはいくつかを含み、これにより、コマンドメッセージＯＭもまた、コマンドメッセージＯＭを実行するステップ２５の間に実行されることになるであろう論理的組合せに配置された指示もしくは指示のリストを含むことができるようになる。

オプションとして、ステップ２０の終りで生成されたコマンドメッセージＯＭは、上述のメッセージＨＭのタイプのイネーブリングメッセージを構築し、ステップ２５中におけるその実行により、第２のコマンドメッセージの生成に至ることになる。

スクランブルされたテレビ情報の送信に関して、本発明のプロトコルの動作をより詳細に説明する。

テレビ情報の送信では、上記で引用した特許文献で説明されているように、従来、一般的な制御メッセージであるＥＸＭと呼ばれるメッセージ、および／または、例えばＥＣＭと呼ばれるアクセス制御メッセージやＥＭＭと呼ばれるアクセス権利管理メッセージ（access entitlement message）や他の特定の管理メッセージのような、特定のメッセージに分割できる応答メッセージがあることが理解できよう。

本発明をスクランブルされたテレビ情報の送信に適用する範囲内で、上述のように規定されたイネーブリングメッセージＨＭは、二重の機能を有することができ、同時にイネーブリングメッセージおよびＥＸＭタイプのメッセージであることができる。

図５では、スクランブル情報の送信の基本原理が詳細に説明されている。

情報Ｉは、スクランブル情報Ｉ＊を送信するために、制御ワードＣＷに含まれるサービスキーを使ってスクランブルされる。

制御ワードＣＷは、制御ワードの暗号文ＣＣＷを送信するために、サービスキーＳＯＫを使って暗号化される。

暗号文ＣＣＷは、情報のフローにおいて、スクランブル情報Ｉ＊と多重化されるＥＸＭタイプのメッセージに挿入される。

受信時に、情報Ｉ＊およびサービスメッセージＥＸＭは、制御ワードの暗号文ＣＣＷを含むメッセージＥＸＭを抽出するために、逆多重化される。

受信局に格納されたオペレーションキーＳＯＫを使って、制御ワードの暗号文ＣＣＷは、サービスキーを含む制御ワードＣＷを得るために復号されるが、このサービスキーにより、情報Ｉ＊をスクランブル解除して情報Ｉを再構築することができる。

図６は、本発明のプロトコルをスクランブル情報の受信に適用する場合を示す。

この図では、イネーブリングメッセージを受信したときにアクションを起こす受信局の要素を概略的に例示している。

この受信局は、信頼性およびアドレスのパラメータを検証するモジュール３０を備え、このモジュール３０は、計算モジュール３２が接続されたデマルチプレクサ３１に、接続されている。モジュール３２はまた、受信局のユーザの非書込みのアクセスが可能な格納場所３３、および、このユーザの書込みのアクセスが可能な格納場所３４にも接続されている。

計算モジュール３２の出力は、コマンドメッセージＯＭを送信するマルチプレクサ３５に接続される。

受信時、スクランブル情報Ｉ＊は逆多重化され、イネーブリングメッセージＨＭが分離される。

受信後、受信局は、従来タイプの検証モジュール３０を使って、信頼性およびアドレスのパラメータを検証するステップ４を実行する。

モジュール３０の出力では、アクションＣＭがデータフィールドＨＭ＿Ｄから抽出されてデマルチプレクサ３１に入力され、デマルチプレクサ３１は、フィールドＣＭ＿Ｈに含まれるイネーブリングパラメータとフィールドＣＭ＿Ｄに含まれるデータとフィールドＣＭ＿Ｆに含まれるフォーマットパラメータとを計算モジュール３２のアテンション（ａｔｔｅｎｔｉｏｎ）に対して出力し、この計算モジュール３２は、アクションＣＭを解釈するステップ１０を実行する。

フォーマットパラメータＣＭ＿Ｆに従って、計算モジュール３２は、フィールドＣＭ＿Ｈに含まれるイネーブリングパラメータとフィールドＣＭ＿Ｄに含まれるデータとに対して異なる動作を実行する。

同様に、これらのパラメータに従って、計算モジュール３２は、受信局に格納されたパラメータを使う動作を実行する。

この場合、フィールドＣＭ＿ＦのフォーマットパラメータもしくはフィールドＣＭ＿Ｈのイネーブリングパラメータは、例えばストレージアドレスのシステムを使って、ローカルパラメータを参照する。

例えば、これらの動作は、受信局のユーザの非書込みのアクセスが可能な格納場所３３に記録されたパラメータを使う。

計算モジュール３２は、受信局のユーザの書込みのアクセスが可能な格納場所３４に記録されたパラメータを使うこともできる。

このやり方では、計算モジュール３２は、受信局に固有のパラメータで再度暗号化する前に、フィールドＣＭ＿Ｄに含まれるデータを復号することができる。

例えば、送信されたとき、制御ワードの暗号文ＣＣＷはイネーブリングメッセージＨＭのデータフィールドＨＭ＿Ｄに集積され、そしてスクランブル情報Ｉ＊と多重化される。このやり方では、受信時には、復号し再度暗号化する動作は、制御ワードの暗号文ＣＣＷに適用することができる。

ステップ１０が一旦完了すると、計算手段３２は、コマンドメッセージＯＭのデータとともにセキュリティパラメータを構築する要素を送信する。

これらパラメータおよびデータの全ては、マルチプレクサ３５へ送出され、マルチプレクサ３５は、コマンドメッセージを生成するステップ２０を実行しコマンドメッセージＯＭを送信し、このコマンドメッセージＯＭは、スクランブル情報Ｉ＊と多重化される。

このやり方では、イネーブリングメッセージは、送信機によって規定されたアクションＣＭにしたがって部分的に生成されてイネーブリングメッセージＨＭ中に送信されるコマンドメッセージＯＭと置き換えられる。

本発明のプロトコルを実行する２つの特定の方法について、図７および８を参照して説明する。

図７は、一般的なやり方として、記録の制御でスクランブル情報を送信するシステムを例示する。

このシステムは、放送送信機５０と複数の受信ターミナル５１とを備える。

ターミナル５１は、少なくとも１つの受信アンテナ５２を備え、これを使って、イネーブリングメッセージＨＭに多重化されるスクランブル情報Ｉ＊を受信する。

各ターミナル５１は、入力に、セキュリティプロセッサに接続されるデコーダ５３を備える。セキュリティプロセッサは、着脱可能なスマートカード５４に集積することができ、このスマートカード５４は、マイクロプロセッサ５５と、ターミナル５１のユーザの非書込みのアクセスが可能な不揮発性の格納場所５６とを備えるが、ここでは、制御ワードの暗号文ＣＣＷを記憶する間に使われるオペレーションキーＳＯＫのコピーを少なくとも格納する。

好適には、格納場所５６はまた、読出しアクセス可能ではない。

送信機５０は、電波による従来のやり方で、スクランブルされたテレビプログラムＩ＊を受信ターミナル５１へ送信する。

受信時に、デコーダ５３は、スクランブル情報Ｉ＊からイネーブリングメッセージＨＭを分離し、処理のために、イネーブリングメッセージＨＭを着脱可能なカード５４のマイクロプロセッサ５５へ送出する。

そしてマイクロプロセッサ５５は、本方法のステップ４を実行し、従来の検証およびアドレス検証動作を実行する。この検証ステップ４は、格納場所５６に格納されたローカルに固定されたパラメータと送信されたパラメータとの比較に基づく。

放送送信機５０によって送信される前に、イネーブリングメッセージＨＭの全てもしくは一部は、有利には、秘密にするために暗号化される。この場合、信頼性を検証するステップ４は、メッセージＨＭを再構築するためのステップに関係付けられる。

例えば、実行されるステップ４で従来のやり方で再構築ステップが実行されるよう、信頼性のパラメータは暗号化されない。

このやり方では、同じイネーブリングメッセージを、アドレスパラメータに従って単一のターミナルもしくはターミナルのグループへ仕向けることができる。

検証ステップ４において肯定的な結果となる場合、マイクロプロセッサ５５は、アクションＣＭを解釈するステップ１０を開始する。

例えば、フィールドＣＭ＿Ｆのフォーマットパラメータは、フィールドＣＭ＿Ｆのイネーブリングパラメータおよび格納場所５６に格納されたローカルパラメータを使って、フィールドＣＭ＿Ｄのデータに対して実行すべき計算を指示する。典型的には、この計算は、ＳＯＫキーを使った制御ワードの暗号文ＣＣＷを復号することと、これをマイクロプロセッサ５５の格納場所５６に格納されたローカル暗号化で再度暗号化することとからなる。

必要ならば、暗号文ＣＣＷに対してさらなる暗号化（over−encrypting）もしくはその他の変換を実行してもよい。

好適には、暗号化および復号化動作は、マイクロプロセッサ５５においてのみ実行することができるので、制御ワードＣＷは、受信局のユーザにとってはアクセス可能ではない。

このやり方では、マイクロプロセッサは、コマンドメッセージＯＭに関係すべきセキュリティおよびデータのパラメータを計算する。

結果として、マイクロプロセッサ５５は、メッセージＯＭを送信するために、アセンブルされた上述のように規定したエレメントでコマンドメッセージＯＭをローカルに生成するステップ２０を実行する。

そして、出力されたメッセージＯＭは、データフィールドＯＭ＿Ｄ内で、動作を実行するマイクロプロセッサ５５内に格納されたローカルキーで暗号化された制御ワードの新しい暗号文を備える。

その後に、メッセージＯＭは、もう一度スクランブル情報Ｉ＊と多重化され、例えばビデオカセットのような情報を記憶する不揮発性キャリア５７に格納される。

このやり方では、コマンドメッセージは、記憶されたスクランブル情報Ｉ＊がもう一度アクセスされたとき、逆多重化されて実行される。

この実行処理は、フィールドＯＭ＿Ｈのセキュリティパラメータの検証と、データフィールドＯＭ＿Ｄのデコーディングとを備える。制御ワードの暗号文は、情報を受信したときに使われるプロセッサ５５を使って復号され、このフィールドに位置する。

再暗号化に使われるキーがマイクロプロセッサ５５に固有のものであるとき、スクランブル情報Ｉ＊へアクセスできるようにするために、このマイクロプロセッサ５５のみが暗号文を復号し、これを制御ワードから抽出することができる。

同様に、再暗号化に使われるキーが受信局のグループに固有のものであるとき、このグループのターミナルのみが、スクランブル情報へアクセスすることができるであろう。

ローカルキーを使ったこのような再暗号化により、放送送信機５０が、例えば、スクランブル情報へのアクセスを制限したり、あるいは、必要ならば、オペレーションキーＳＯＫの受信局を修正できるようにすることができる。

記録されたスクランブル情報が再度アクセスされる度に、メッセージＯＭは、有利には再計算され、例えばカウンタや制限使用日などの使用のためのパラメータが使用される。

例えば、アクションＣＭを生成するフォーマットフィールドＣＭ＿Ｆは、コマンドメッセージＯＭの作成日をコマンドメッセージＯＭのデータフィールドＯＭ＿Ｄ内に挿入をさせる。

同様に、アクションＣＭのデータフィールドＣＭ＿Ｄは、この日付を検証する指示を備える。メッセージＯＭが生成されたとき、データフィールドＣＭ＿Ｄは、転送されて、コマンドメッセージＯＭのデータフィールドＯＭ＿Ｄの一部を構築する。

このやり方では、コマンドメッセージＯＭとともに記憶されたスクランブル情報Ｉ＊がもう一度アクセスされたとき、コマンドメッセージＯＭが実行される。フィールドＯＭ＿Ｈのセキュリティパラメータが検証された後、フィールドＯＭ＿Ｄの指示が実行されて、日付による条件であるブランチが実行できるよう、作成日が検証される。

例えば、この日付について検証基準が検証されたとき、ディスプレイ媒体５８に表示するために情報Ｉ＊がスクランブル解除される。

このやり方では、本発明のプロトコルを使って、メッセージＨＭの送信器５０は、受信局で記録された情報の使用を管理し、イネーブリングメッセージＨＭのアクションＣＭにおいて送信されたパラメータに従ってローカルに生成されたコマンドメッセージＯＭと多重化されるスクランブル情報Ｉ＊を記録および再読み出しする可能性を制御する。

図８には、衛星、地上波、光ファイバ、同軸ファイバあるいはその他の手段による再送システムの場合における本発明の第２の実施例が記載されている。

一例として、本システムは、放送送信機５０、衛星７０、再送局７１および受信局７２を備える。

各再送局７１は、セキュリティプロセッサに接続されるデコーダ７３を備えてもよい。このプロセッサは着脱可能なカード７４内に集積化することができ、この着脱可能なカード７４は、格納場所７６に接続されたマイクロプロセッサ７５を備え、この格納場所７６は、再送局７１のオペレータの非書込みのアクセスが可能であり、この再送局７１は、制御ワードＣＷを暗号化するときに使うオペレーションキーＳＯＫの少なくともコピーを備える。

この局７１はまた、例えばクライアントコードや特定の暗号鍵など、各局７１に固有のデータを格納するデータベース７７を備える。

放送送信機５０は、イネーブリングメッセージＨＭと多重化されるスクランブル情報Ｉ＊を衛星７０に送信するが、衛星７０は、この情報を再送局７１に再送する。

受信時に、マイクロプロセッサ７５は、本方法のステップ４を実行し、メッセージＨＭについていつもどおりの信頼性およびアドレスの検証を実行する。この検証ステップ４は、特に、送信されたパラメータと格納場所７６に格納されたローカルパラメータとの比較に基づく。

この方法では、アドレスパラメータに従って、同じイネーブリングメッセージを、単一のターミナルあるいはターミナルのグループへ仕向けてもよい。

検証ステップ４が満足のいくものであるとわかったならば、マイクロプロセッサ７５は、アクションＣＭを解釈するステップ１０を開始する。

このやり方では、フィールドＣＭ＿Ｆに含まれるアクションＣＭのフォーマットパラメータにより、データベース７７から得られたローカル計算パラメータを使うことができる。

このローカルパラメータ、フォーマッチパラメータおよびアクションＣＭのイネーブリングパラメータを使って、プロセッサ７５は、コマンドメッセージＯＭを構築する要素を生成する。

例えば、フィールドＣＭ＿Ｆのパラメータは、この局のクライアントに対して、局７１のオペレータによって規定されるアドレスコードを参照する。

ステップ１４中は、フィールドＯＭ＿Ｈに仕向けられたセキュリティパラメータは、これらアドレスコードを使ってマイクロプロセッサ７５によって計算される。

そして、マイクロプロセッサ７５は、ステップ２０を実行し、デコーダ７３のアテンションに対してメッセージＯＭを送信する。

このコマンドメッセージＯＭは、受信局７２へ送信される前に、スクランブル情報Ｉ＊で再度多重化される。

メッセージＯＭを情報Ｉ＊から分離した後、受信局７２は、ステップ２５を実行し、メッセージＯＭを実行する。

そして局７２は、フィールドＯＭ＿Ｈのセキュリティパラメータの検証を実行し、フィールドＯＭ＿Ｄのデータを読み出して処理する。

説明した例では、フィールドＯＭ＿Ｈのセキュリティパラメータは、ステップ１０を実行した局７１のクライアントのアドレスコードおよび検証コードを含んでいる。このやり方では、これらのクライアントだけが、フィールドＯＭ＿Ｈのセキュリティパラメータに従い、かつ、情報Ｉ＊をスクランブル解除する制御ワードの暗号文ＣＣＷを含むフィールドＯＭ＿Ｄのデータにアクセスすることができる。

このやり方では、送信機５０は、イネーブリングメッセージＨＭのアクションＣＭを規定するにおいて、コマンドメッセージＯＭの生成を制御し、ステップ１０の計算の間に使われるローカルパラメータのリファレンスを特定する。

したがって、本発明のプロトコルにより、イネーブリングメッセージＨＭに送信されるコマンドメッセージを生成するアクションＣＭを用いたスクランブル情報の使用についての最適かつ変更可能な制御を、放送送信機は保持できることが理解できよう。

さらに、生成されたコマンドメッセージは、その実行が新しいコマンドメッセージの生成をもたらすようなイネーブリングメッセージでもよい。

本発明のプロトコルについて、理解を容易にするためにテレビプログラムの放送を例にとって説明した。しかし、このプロトコルは、他の分野にも適用することができ、特にネットワークを介した数値情報の伝送にも適用することができる。

同様に、デコーディングターミナルは、例えばテレビ受像機セットやマイクロコンピュータなどのようなあらゆるタイプの適当なターミナルであってもよい。

ターミナルの構成部品のタイプや規格、特に、デコーダ、マイクロプロセッサおよび格納場所の配置は、ニーズや環境に応じて適応させることができる。

最後に、提示した２つの実施例で述べた動作は、本発明のプロトコルを所望の用途に適応させるために組合せおよび／または修正することができる。

本発明のプロトコルの概略的なフローチャートである。 本発明のプロトコルで使われるメッセージのフォーマットを概略的に示す図である。 本発明のプロトコルで使われるメッセージのフォーマットを概略的に示す図である。 本発明のプロトコルで使われるメッセージのフォーマットを概略的に示す図である。 スクランブル情報の従来の送信について概略的に例示する図である。 本発明による、スクランブル情報に対する受信および処理動作について概略的に例示する図である。 本発明を使った記録システムのブロック図である。 本発明を使った再送システムのブロック図である。

Claims (24)

1. デコーディングターミナル（５３；７３）と、格納場所（５６；７６）に格納された信頼性およびアドレス検証のパラメータを備えるセキュリティプロセッサ（５５；７５）であって前記格納場所（５６；７６）に接続されたセキュリティプロセッサ（５５；７５）に備えられたアクセス制御モジュール（５４；７４）と、を少なくとも備える少なくとも１つの受信局（５１；７１）におけるローカルアクションを制御するため、放送送信機（５０）からの、コマンドメッセージ（ＯＭ）をローカルに生成するアクションのためのリモートコントロールプロトコルであって、該プロトコルは、
   前記放送送信機（５０）から前記受信局（５１；７１）へ、信頼性およびアドレスパラメータを含むフィールド（ＨＭ＿Ｈ）とデータを含むフィールド（ＨＭ＿Ｄ）とを備えるイネーブリングメッセージ（ＨＭ）を送信するステップ（２）と、
   前記受信局（５１；７１）において、該受信局（５１；７１）のそれぞれに格納されたパラメータに関係する信頼性およびアドレスのパラメータを検証するステップ（４）と、を備えるリモートコントロールプロトコルにおいて、
   前記イネーブリングメッセージ（ＨＭ）は、ローカルに計算されるコマンドメッセージ（ＯＭ）を前記受信局（５１；７１）において生成するアクション（ＣＭ）を、前記のデータフィールド（ＨＭ＿Ｄ）に備えることと、
   前記プロトコルが、前記検証するステップ（４）の条件の形で、
   前記イネーブリングメッセージ（ＨＭ）内に送信されたアクション（ＣＭ）を解釈するステップ（１０）と、
   該解釈するステップ（１０）に応答して、コマンドメッセージ（ＯＭ）をローカルに生成するステップ（２０）とを少なくとも備えること、とを特徴とするリモートコントロールプロトコル。
2. 前記イネーブリングメッセージ（ＨＭ）の前記データフィールド（ＨＭ＿Ｄ）は、条件の論理的組合せで配置された複数の指示ブロックを備え、真か偽かの論理的検証に対するそのバイナリ結果が、前記ブロックと前記ブロックに含まれる処理すべき指示との間で条件ブランチを作ることができることを特徴とする請求項１に記載のプロトコル。
3. 前記アクション（ＣＭ）は、ローカルに生成すべき前記コマンドメッセージ（ＯＭ）のフォーマットを表すパラメータを含むフィールド（ＣＭ＿Ｆ）を備え、前記アクション（ＣＭ）を解釈するステップ（１０）は、これらフォーマットパラメータに従って前記コマンドメッセージ（ＯＭ）を生成する動作を実行するために、前記フォーマットパラメータを考慮するステップ（１２）を少なくとも備えることを特徴とする請求項１または２に記載のプロトコル。
4. 前記解釈するステップ（１０）中に実行される動作は、暗号化、復号化および／またはさらなる暗号化の各動作を含むことを特徴とする請求項３に記載のプロトコル。
5. 前記アクション（ＣＭ）に含まれる前記フォーマットパラメータは、前記ターミナル（５１；７１）のユーザの非書込みのアクセスが可能な格納場所（５６；７６）に格納されるローカルパラメータに対するリファレンスを備え、前記ローカルパラメータは、前記アクション（ＣＭ）を解釈するステップ（１０）の動作中に使われることを特徴とする請求項３または４に記載のプロトコル。
6. 前記アクション（ＣＭ）に含まれる前記フォーマットパラメータは、前記ターミナル（５１；７１）のユーザの書込みのアクセスが可能な格納場所（５６；７６）に格納されるローカルパラメータに対するリファレンスを備え、前記ローカルパラメータは、前記アクション（ＣＭ）を解釈するステップ（１０）の動作中に使われることを特徴とする請求項３〜５のいずれか一項に記載のプロトコル。
7. 前記アクション（ＣＭ）は、イネーブリングパラメータを含むフィールド（ＣＭ＿Ｈ）を備え、前記アクション（ＣＭ）を解釈するステップ（１０）は、少なくとも、前記イネーブリングパラメータに基づき、かつ、前記フォーマットパラメータを考慮するステップ（１２）を実行するのに必要な動作に従って、セキュリティパラメータを生成して前記コマンドメッセージ（ＯＭ）に対するセキュリティパラメータを規定するステップ（１４）を少なくとも備えることを特徴とする請求項３〜６のいずれか一項に記載のプロトコル。
8. 前記アクション（ＣＭ）は、データを含むフィールド（ＣＭ＿Ｄ）を備え、前記アクション（ＣＭ）を解釈するステップ（１０）は、少なくとも、前記アクション（ＣＭ）の前記データフィールド（ＣＭ＿Ｄ）に含まれるデータに基づき、かつ、前記フォーマットパラメータを考慮するステップ（１２）を実行するのに必要な動作に従って、データを処理して前記コマンドメッセージ（ＯＭ）のデータを規定するステップ（１６）を少なくとも備えることを特徴とする請求項３〜７のいずれか一項に記載のプロトコル。
9. 前記アクション（ＣＭ）の前記データフィールド（ＣＭ＿Ｄ）は、条件の論理的組合せで配置される複数の指示ブロックを備え、真か偽かの論理的検証に対するそのバイナリ結果が、前記ブロックと前記ブロックが含む処理すべき指示との間で条件ブランチを作ることができることを特徴とする請求項８に記載のプロトコル。
10. 前記生成するステップ（２０）は、セキュリティパラメータを含むフィールド（ＯＭ＿Ｈ）とデータを含むフィールド（ＯＭ＿Ｄ）とを備えるコマンドメッセージ（ＯＭ）を送信することを特徴とする請求項１〜９のいずれか一項に記載のプロトコル。
11. 前記コマンドメッセージ（ＯＭ）のデータフィールド（ＯＭ＿Ｄ）は、条件の論理的組合せで配置される複数の指示ブロックを備え、真か偽かの論理的検証に対するそのバイナリ結果が、前記ブロックと前記ブロックが含む処理すべき指示との間で条件ブランチを作ることができることを特徴とする請求項１０に記載のプロトコル。
12. コマンドメッセ−ジをローカルに生成するステップ（２０）に加え、前記コマンドメッセージ（ＯＭ）を実行するステップ（２５）を備えることを特徴とする請求項１〜１１のいずれか一項に記載のプロトコル。
13. 前記コマンドメッセージ（ＯＭ）を実行するステップ（２５）は、前記コマンドメッセージ（ＯＭ）に含まれるセキュリティパラメータの検証と、その後の前記コマンドメッセージ（ＯＭ）に含まれるデータの読出しおよびその処理とを備えることを特徴とする請求項１２に記載のプロトコル。
14. ローカルに生成された前記コマンドメッセージ（ＯＭ）は、請求項１〜１３のいずれか一項で規定されたようなイネーブリングメッセージ（ＨＭ）であることを特徴とする請求項１〜１３のいずれか一項に記載のプロトコル。
15. 前記放送送信機（５０）は、制御ワード（ＣＷ）に含まれるサービスキーを使ってスクランブル情報（Ｉ＊）を送信するのに適しており、前記スクランブル情報の前記の送信は、前記制御ワードの暗号文（ＣＣＷ）の送信を伴っており、前記制御ワードの暗号文（ＣＣＷ）はオペレーションキー（ＳＯＫ）を使って暗号化され、各受信機の前記デコーディングターミナルは、前記スクランブル情報をスクランブル解除するターミナルを構築するとともに、前記オペレーションキーおよび暗号化された前記制御ワード（ＣＣＷ）から、前記制御ワード（ＣＷ）に含まれるサービスキーを再構築するために、前記コントロールモジュール（５４；７４）の前記セキュリティプロセッサ（５５；７５）に前記オペレーションキー（ＳＯＫ）を備え、各スクランブル解除するターミナルによって、再構築された前記サービスキーに基づいて前記スクランブル情報（Ｉ＊）をスクランブル解除することができ、前記イネーブリングメッセージ（ＨＭ）は、前記放送送信機（５０）から前記受信局（５１；７１）へ送信されるスクランブル情報のフローにおいて多重化することによって送信されることを特徴とする請求項１〜１４のいずれか一項に記載のプロトコル。
16. 前記アクション（ＣＭ）の前記データフィールド（ＣＭ＿Ｄ）は、前記制御ワードの暗号文（ＣＣＷ）を少なくとも備えることを特徴とする請求項１０および１５ともに記載のプロトコル。
17. 前記アクション（ＣＭ）の前記データフィールド（ＣＭ＿Ｄ）は、前記スクランブル情報（Ｉ＊）と多重化される前記イネーブリングメッセージ（ＨＭ）を、ローカルに生成された前記コマンドメッセージ（ＯＭ）に置き換える指示を備えることと、コマンドメッセージをローカルに生成する前記ステップ（２０）の後に、前記イネーブリングメッセージ（ＨＭ）を前記スクランブル情報中の前記コマンドメッセージ（ＯＭ）に置き換えるステップが続くこと、とを特徴とする請求項１５または１６に記載のプロトコル。
18. ローカルに生成された前記コマンドメッセージ（ＯＭ）と多重化される前記スクランブル情報（Ｉ＊）を、不揮発性キャリア（５７）に記録するステップを備えることを特徴とする請求項１７に記載のプロトコル。
19. 前記セキュリティパラメータ、および／または、前記コマンドメッセージ（ＯＭ）の前記データは、不揮発性キャリア（５７）に記録された前記スクランブル情報（Ｉ＊）にアクセスする基準を備え、前記プロトコルは
    前記記録されたスクランブル情報へのアクセスを要求するステップと、
    これらアクセス基準の検証時に、記録されたスクランブルデータにアクセスする権限を送信するために、前記コマンドメッセージ（ＯＭ）のアクセス基準を検証するステップと、をさらに備えることを特徴とする請求項１８に記載のプロトコル。
20. 前記アクセス基準は、
    前記ターミナルのイネーブリングレベルと、
    アクセス権限の期限日と、
    日付および／または時間で規定された持続期間と、
    耐用年数と、
    権限付与されたアクセス要求の最大数と、
    の各パラメータによって構築されるグループ中のパラメータから選択されることを特徴とする請求項１９に記載のプロトコル。
21. ローカルに生成された前記コマンドメッセージ（ＯＭ）と多重化される前記スクランブル情報（Ｉ＊）を、前記受信局（７１）から１つもしくはそれより多い第２の受信局（７２）へ再送するステップを備えることを特徴とする請求項１５〜２０のいずれか一項に記載のプロトコル。
22. 前記イネーブリングメッセージ（ＨＭ）の全てもしくは一部は、送信の機密性を確保するために前記送信するステップ（２）の前に暗号化され、前記信頼性およびアドレスのパラメータを検証するステップ（４）は、このイネーブリングメッセージ（ＨＭ）を復号するステップに関連することを特徴とする請求項１〜２１のいずれか一項に記載のプロトコル。
23. セキュリティプロセッサに接続されるデコーダ（５３）を備える、スクランブル情報をデコードし記録するターミナルであって、該ターミナルは、請求項１〜２２のいずれか一項に記載のプロトコルに従い、ローカルに生成されたコマンドメッセージと多重化されるスクランブル情報を記録する不揮発性キャリア（５７）をさらに備えることを特徴とするターミナル。
24. セキュリティプロセッサに接続されるデコーダを備える、スクランブル情報をデコードし再送するターミナルであって、該ターミナル（７１）は、請求項１〜２２のいずれか一項に記載のプロトコルに従い、ローカルに生成されたコマンドメッセージ（ＯＭ）とともにスクランブル情報（Ｉ＊）を再送する手段を備えることを特徴とするターミナル。

Images