JP2007034835A - Ｉｃカード、受信装置、端末リスト生成装置及び端末認証方法 - Google Patents

Abstract

【課題】リボークリストの配布が容易であり、またICカード等のセキュリティモジュールでの検証処理負荷の軽減を得られる。
【解決手段】受信装置のメモリ部から端末認証リスト及び受信装置ＩＤを受け取るデータ取り込み部（119a）と、前記端末認証リストが無効端末リストであるか有効端末リストであるかを、第１の識別情報を参照して第１の判別結果を得る第１の判別部（119b）と、前記端末認証リストに前記受信装置ＩＤが含まれるか否かを判別し第２の判別結果を得る第２の判別部（119c）と、前記第１の判別結果と第２の判別結果の内容に応じて、前記受信装置が有効端末であるか否かを示す応答信号を前記受信装置に返信する返信部（119d）を備える。
【選択図】 図６

Description

この発明は、ＩＣカード、受信装置、端末リスト生成装置及び端末認証方法に関し、特にディジタル放送を受信するディジタル放送受信装置や通信ネットワーク経由でコンテンツ視聴を行う受信機に適用されて有効である。

近年、通信衛星や放送衛星を用いた衛星ディジタル放送や地上波ディジタル放送が行われている。衛星ディジタル放送では有料放送が行われており、チャンネル単位、番組単位、時間単位など様々な方法で視聴制御を可能にする限定受信システムが運用されている（例えば、公知例文献１参照）。

この限定受信システムでは、利用者の契約状態等に応じた個別契約情報を受信装置に伝送し、受信装置や受信装置に挿入して用いるＩＣカードに設定する。

以下、ＩＣカード等のセキュリティモジュールに設定する場合も含めて受信装置に設定すると説明する。各受信装置に伝送する個別の視聴契約情報はＥＭＭ（Entitlement Management Message）データと呼ばれている。

ＥＭＭデータには受信装置固有のＩＤ(Identification)番号が付加されている。

ＥＭＭデータは、受信装置固有のＩＤ毎にユニークなマスター鍵（Ｋｍ）により暗号化された後、放送信号に多重されて放送局側のセンタ装置から各受信装置へ伝送される。

また、映像、音声、データ等のコンテンツは、スクランブル鍵（Ｋｓ）によりスクランブル化された後、放送信号に多重されて放送局側のセンタ装置から各受信装置へ伝送される。

スクランブル鍵（Ｋｓ）はＥＭＭデータの一部として伝送されるワーク鍵（Ｋｗ）によって暗号化された後、ＥＣＭ（Entitlement Control Message）として放送信号に多重されて放送局側のセンタ装置から各受信装置へ伝送される。

現在、国内のディジタル放送はARIB-STD B25に準拠した方式で運用されており、上述したようなECM、EMMを利用した３重鍵構造になっている。ここで使用される暗号方式は共通鍵暗号方式であり、情報の送り手と受け手が同じ鍵を共有することで暗号化された情報を送受するものである。

次に、ICカードを発行管理する鍵管理センタ、放送を行う放送局、放送を受信する受信機、受信機に接続されるICカード間での情報のやり取りを説明する。

鍵管理センタはICカードに固有のIDとマスター鍵（Km）を埋め込んでICカードを発行する。発行されたICカードが接続される受信機で番組を視聴するためは、受信機と放送局間での契約が行われる。この契約の方法としては、各種の方法がある。例えば、ユーザが書面あるは電話で、放送局へ番組視聴の申し込みを行なう。

番組視聴の契約が成立すると、放送局から鍵管理センタに対して、ワーク鍵（Kw）を含むEMMを対象のICカードのマスター鍵（Km）で暗号化する依頼が行われる。放送局は、マスター鍵（Ｋｍ）で暗号化されたＥＭＭを放送経由で受信機へ配信する。

EMMを受信した受信機は、それをICカードに送り、ICカードでは設定されているKmでＥＭＭを復号化し、ワーク鍵（Ｋｗ）を抽出し、これをメモリに記憶する。

番組視聴時には、受信機は、放送経由で取得したECMをICカードに送る。ICカードではワーク鍵（Kw）でECMを復号してスクランブル鍵（Ks）を抽出し、それを受信機に返す。受信機はそのスクランブル鍵（Ks）でコンテンツを復号する。

しかしながら、受信機とＩＣカードという分離した装置間で送受されるスクランブル鍵（Ks）は暗号化されていない。このため、スクランブル鍵（Ks）をハッキングされる恐れがあること、コンテンツ保護を守らない不正な受信機でもスクランブル鍵（Ks）を取得できてしまうこと、このような受信機を排除するする機能がないという問題がある。

ARIB-STD B25でもこの対策として、受信機とICカードは動作開始時、認証情報を用いて認証動作を行う旨の記載があるが、具体的な規定はなされていない。

一般にこのような認証処理においては、リボークリストとも呼ばれる端末認証リストが鍵管理機関から発行され、たとえば配信事業者を通じて配布され利用されることが多い。たとえば、公知例文献２のようなものがある。リボークリストはICカードのようなセキュリティモジュール内で認証処理を実行し、その結果に基づいて上記のスクランブル鍵（Ks）のような復号鍵の受け渡しを制御する。

リボークリストには不正利用が認められた無効端末が記載されているか、あるいは正しい利用がなされている有効端末が記載されている。このリボークリストは、これを配布するのに利用する伝送帯域の削減という観点やICカード等のセキュリティモジュールでの検証処理負荷の軽減という観点から、そのデータ量はできる限り小さいことが望ましい。

ところが、リボークリストのデータ量は、配布からの時間経過にしたがって大きく変動する可能性がある。たとえば、対象端末（無効端末、或いは有効端末）が増加していくと一般にデータ量は増加する傾向になる。また、メーカや機種等の端末実装によってセキュリティ強度にばらつきはあり、不正利用端末がいったん発生するとインターネット等での不正手段の開示によって短期間に対象の無効端末が急増する可能性がある。この結果、突発的にこのデータ量が大きく増減する場合もある。
特許 ２９４１３９８号 RFC3280 X509.2（ Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List Profile version2）

この発明は、リボークリストの配布が容易であり、またICカード等のセキュリティモジュールでの検証処理負荷の軽減を得られる端末認証方式およびその装置を提供することを目的とする。またこの発明は、不正な受信機の排除を円滑かつ迅速に実現することが可能なＩＣカード、受信装置、端末リスト生成装置及び端末認証方法を提供することを目的とする。

上記の目的を達成するために、この発明の一実施形態に係るＩＣカードでは、受信装置のメモリ部から端末認証リスト及び受信装置ＩＤを受け取るデータ取り込み部と、前記端末認証リストが無効端末リストであるか有効端末リストであるかを、前記端末認証リストに含まれる第１の識別情報を参照して判別した第１の判別結果を得る第１の判別部と、前記端末認証リストに前記受信装置ＩＤが含まれるか否かを判別した第２の判別結果を得る第２の判別部と、前記第１の判別結果と第２の判別結果の内容に応じて、前記受信装置が有効端末であるか否かを示す応答信号を前記受信装置に返信する返信部と、を備える。

また、この発明の一実施形態に係る受信装置では、放送波を受信する受信部と、前記受信部の受信出力をデスクランブルし、デコードし、映像及び音声を復号する信号処理部と、外部ネットワークに接続される通信処理部と、前記通信処理部を介してサーバーから取得した端末認証リストのグループ識別情報を判定するグループ識別情報判定部と、グループ識別情報が、自身を特定するグループであるときに、前記端末認証リストをメモリ部に格納するリスト取り込み部と、視聴契約情報が設定されるＩＣカードを接続するインターフェースと、少なくとも前記インターフェースが動作活性化されたとき、前記端末認証リストと受信装置ＩＤを前記インターフェースに出力する認証開始部と、前記ＩＣカードから前記端末認証リストと受信装置ＩＤとの検査結果で、認証できない旨の応答があったときに、その応答結果を前記表示処理部に出力する認証結果表示処理部とを有する。

また、この発明の一実施形態に係る端末リスト生成装置では、端末のグループ別分類を行なうグループ分類部と、所定のグループに分類された端末の端末リストにグループ識別情報を付加するグループ識別付加部と、前記所定のグループの端末の端末リストを、有効端末の端末リスト、無効端末の端末リストに分けて集合する第１、第２の端末ＩＤ収集部と、前記第１、第２の端末ＩＤ収集部からの有効端末の端末リスト、無効端末の端末リストにそれぞれ有効、無効の識別情報を付加する識別情報付加部と、前記有効、無効の識別情報が付加された有効端末の端末リスト、無効端末の端末リストのうち、データ量の少ないリストを伝送用として選択する切換え部を有する。

なお、装置に係る本発明は方法に係る発明としても成立し、方法に係る本発明は装置に係る発明としても成立する。

また、装置または方法に係る本発明は、コンピュータに当該発明に相当する手順を実行させるための（あるいはコンピュータを当該発明に相当する手段として機能させるための、あるいはコンピュータに当該発明に相当する機能を実現させるための）プログラムとしても成立し、該プログラムを記録したコンピュータ読み取り可能な記録媒体としても成立する。

本発明により、比較的簡便な方法で受信機とICカード間での認証を行うことができ、不正受信機の排除が円滑かつ迅速に可能となる。

以下、図面を参照しながら本発明の実施の形態について説明する。

（第１の実施形態）
図１は、本発明の一実施形態に係る受信装置の構成を示すブロック図である。なお、この実施形態では、コンテンツを放送経由で受信するものとして説明するが、本発明は必ずしもこれに限定されず、コンテンツを通信ネットワーク経由やケーブル経由で受信する場合にも本発明を適用することができる。

図１において、ディジタル放送受信装置１０１は、チューナ部１０２、デスクランブラ１０３、ＴＳデコード部１０４、映像音声デコード部１０５、表示処理部１０６、制御部１０７、キー入力部１０８、ＩＣカードＩ／Ｆ部１１０、メモリ部１１２、通信処理部１１１から構成されている。

チューナ部１０２は、ディジタル放送受信装置１０１に入力された放送波から所望のチャンネルを選局し、この選局したチャンネルのトランスポートストリーム（以下、ＴＳと記す）をデスクランブラ１０３へ出力する。ＴＳはコンテンツ保護のためにスクランブルされている。

デスクランブラ１０３は、チューナ部１０２から入力されたＴＳをデスクランブルしてＴＳデコード部１０４へ出力する。

ＴＳデコード部１０４は、デスクランブラ１０３から入力されたＴＳからＰＳＩ(Program Specific Information)を基に必要なパケットを分離し、この分離したパケットから更に、放送番組信号（映像、音声）の抽出や各種多重データ（各種ＳＩ（Service Information）データやＥＣＭ，ＥＭＭ等）を分離する。また、ＴＳデコード部１０４は、分離した放送番組信号（映像、音声）は映像音声デコード部１０５へ出力する。

映像音声デコード部１０５は、ＴＳデコード部１０４から入力された放送番組信号（映像、音声）のデコードを行い、表示処理部１０６へ出力する。

表示処理部１０６は、映像音声デコード部１０５から入力された放送番組信号（映像、音声）を図示しない外部のモニタへ出力し表示・音声再生させる。また、表示処理部１０６は、ユーザとのインターフェース機能を果たすために各種エラー情報の表示画像信号を生成し、この生成した画像信号を放送番組信号（映像、音声）に代えて出力、或いは放送番組信号（映像、音声）と合成して出力する機能を有している。また、表示処理部１０６は、ＴＳデコード部１０４で分離されたＳＩデータから構成されたＥＰＧ(Electric Program Guide)画像信号を生成し、この生成した画像信号を放送番組信号（映像、音声）に代えて出力、或いは放送番組信号（映像、音声）と合成して出力する機能を有している。

キー入力部１０８は、リモートコントローラ（リモコン）１０９等のユーザインターフェース機器からの赤外線等による遠隔操作信号を受信する機能を有している。

メモリ部１１２はＲＡＭ、不揮発性メモリで構成され、不揮発性メモリには少なくとも鍵管理機関より発行された受信装置の端末ＩＤがディジタル放送受信装置１０１の製造時等に設定される。

通信処理部１１１は、Ethernet（登録商標）等のネットワーク回線に接続され、ネットワークを介してデータの送受を行うものであり、コンテンツ配信事業者のサーバーからコンテンツの受信、ＥＣＭやＥＭＭを受信する機能の他、受信装置の端末ＩＤリスト（端末認証リスト）を取得する機能を有している。この取得された端末認証リストは、メモリ部１１２に記憶される。

端末認証リストは、放送波を受信した受信部から取得、または、通信処理部を介してサーバーから取得される。端末認証リストは、必ずしもサーバーから取得しなくてもよい。

制御部１０７は、上記した各機能を統合して制御する機能を有しており、バス接続やシリアル通信接続等で各機能をコントロールする。

ＩＣカードＩ／Ｆ部１１０は、ＩＳＯ規格であるＩＳＯ７８１６に準拠したＩＣカードインターフェースである。

ＩＣカード１１５は契約管理や視聴制御を行うものであり、ＣＰＵ１１９，ＲＯＭ１１６，ＲＡＭ１１７，不揮発性メモリ１２０，Ｉ／Ｆ部１１８等から構成されており、ディジタル放送受信装置１０１とはＩＳＯ規格であるＩＳＯ７８１６に準拠したインターフェースで接続される。ＩＣカード１１５内の不揮発性メモリ１２０には、少なくともカードＩＤ、カード固有の鍵が予め設定されている。

制御部１０７は、ＴＳデコード部１０４でＴＳから分離されたＥＭＭやＥＣＭを、ＩＣカードＩ／Ｆ部１１０を介してＩＣカード１１５へ出力する。

ＩＣカード１１５は、ＩＣカードＩ／Ｆ部１１０からＥＭＭが入力された場合、カード固有の鍵で復号して、ワーク鍵（Ｋｗ）等契約により取得される情報をＩＣカード１１５内の不揮発性メモリ１２０に記憶する。また、ＩＣカード１１５は、ＩＣカードＩ／Ｆ部１１０からＥＣＭが入力された場合、ＩＣカード１１５内の不揮発性メモリ１２０に記憶しているワーク鍵（Ｋｗ）で復号して、番組を視聴可能か否かの判定後、視聴可能な場合にはスクランブルを解くためのスクランブル鍵（Ｋｓ）をディジタル放送受信装置１０１へ出力する。

ディジタル放送受信装置１０１では、制御部１０７がＩＣカード１１５から入力されたスクランブル鍵（Ｋｓ）をデスクランブラ１０３にセットすることにより、デスクランブラ１０３にてコンテンツのデスクランブルが行われて番組を視聴可能となる。

次に、上記のように構成された受信装置の動作について図を用いて詳細に説明する。本発明では、ディジタル放送受信装置１０１とＩＣカード１１５とは認証を行う。

（通常の認証シーケンス）
図２に、上記ディジタル放送受信装置１０１の電源オン（ＯＮ）時（ＩＣカードインターフェース活性化時）に起動する認証シーケンスの例を示す。

ディジタル放送受信装置１０１とＩＣカード１１５との認証シーケンスの起動タイミングとしては、（１）ディジタル放送受信装置１０１の電源ＯＮ時、（２）ＩＣカードインターフェース１１０活性化時、（３）ＩＣカード１１５からの指示、（４）通信中のサーバーからの指示、（５）ディジタル放送受信装置１０１の時計機能による定期的起動、等がある。

先にも説明したが、メモリ部１１２はＲＡＭ、不揮発性メモリで構成され、不揮発性メモリには少なくとも鍵管理機関より発行された受信装置の端末ＩＤがディジタル放送受信装置１０１の製造時等に設定されている。また、ディジタル放送受信装置１０１は、前回までの起動で通信処理部１１１を介して配信事業者のサーバーから取得した、当該端末ＩＤに対応する端末認証リスト（端末ＩＤリスト）をメモリ部１１２に記憶している。もし、ディジタル放送受信装置１０１が、端末認証リストをメモリ部１１２に記憶していなければ、通信処理部１１１を介して配信事業者のサーバーから端末認証リストを取得する。以下、図２を共に参照しながら説明しながら、各部の動作を個々に説明する。したがって、図２、図３、図４において対応する部分のステップには、同じ符号が付されている。

（ディジタル放送受信装置１０１の動作）
図３はディジタル放送受信装置１０１の電源ＯＮ時（ＩＣカードインターフェース活性化時）のディジタル放送受信装置１０１の動作を示すフローチャートである。

ステップＳ３０１：電源ＯＮ時（インターフェース活性化時）、ディジタル放送受信装置１０１内の制御部１０７は、メモリ部１１２から読み出した端末ＩＤと端末認証リストとをＩＣカードへ出力し、ステップＳ３０２へ進む。

ステップＳ３０２：ＩＣカード１１５からのレスポンスが認証ＯＫの場合には、正常処理でありステップＳ３０３へ進み、認証ＮＧの場合にはステップＳ３０４へ進む。

ステップＳ３０３：インターフェースでの交信信号を暗号化するために、ディジタル放送受信装置１０１とＩＣカード１１５間で暗号用の鍵（共通鍵）を交換（共有）する処理が行われる。この処理は、共通鍵によるチャレンジレスポンスや公開鍵を使った手法（ｄｉｆｆｅ−Ｈｅｌｍａｎ等）により行われる。

ステップＳ３０４：制御部１０７は、通信処理部１１１を介して端末認証リスト（端末ＩＤリスト）を取得してメモリ部１１２に記憶し、ステップＳ３０５へ進む。

ステップＳ３０５：制御部１０７は、メモリ部１１２から読み出した端末ＩＤと端末認証リストとをＩＣカードへ出力し、ステップＳ３０６へ進む。

ステップＳ３０６：ＩＣカード１１５からのレスポンスが認証ＯＫの場合には正常処理でありステップＳ２０３へ進み、認証ＮＧの場合にはステップＳ３０７へ進む。

ステップＳ３０７：制御部１０７は、表示処理部１０６に対して認証エラーのメッセージを表示するための表示画像信号を生成させる。この生成した画像信号は、放送番組信号（映像、音声）に代えて出力、或いは放送番組信号（映像、音声）と合成して出力される。

（ＩＣカード１１５の動作）
図４はディジタル放送受信装置１０１の電源ＯＮ時（ＩＣカードインターフェース活性化時）のＩＣカード１１５の動作を示すフローチャートの概要である。

ステップＳ４０１：ＩＣカード１１５のＩ／Ｆ部１１８を介して、ＩＣカード１１５内のＣＰＵ１１９は、ディジタル放送受信装置１０１から端末ＩＤと端末認証リストとを受け取り、ステップＳ４０２へ進む。

ステップＳ４０２：ＣＰＵ１１９は、端末認証リスト（或いは端末ＩＤ）の改ざん検出の計算を実行することにより、改ざんの有無をチェックし、ステップＳ４０３へ進む。なお、この改ざんチェック方法については後で詳細に説明する。

ステップＳ４０３：ＣＰＵ１１９は、ステップＳ４０２における改ざんチェックの結果が改ざんなしと判定すればステップＳ４０４へ進み、改ざんありと判定すればステップＳ４０９へ進む。

ステップＳ４０４：ＣＰＵ１１９は、ＩＣカード１１５内の不揮発性メモリ１２０が記憶している端末認証リストの更新番号と、ディジタル放送受信装置１０１から受信した端末認証リスト内の更新番号とを比較し、ステップＳ４０５へ進む。

ステップＳ４０５：ＣＰＵ１１９は、ステップＳ４０４での比較の結果、ディジタル放送受信装置１０１から受信した端末認証リスト内の更新番号が、不揮発性メモリ１２０が記憶している端末認証リストの更新番号以上（同じ更新番号、または、より新しい更新番号）であるか否かを判定する。更新番号以上の場合にはこの更新番号で得られた最新の更新番号の端末認証リストを実際に採用した端末認証リストとして設定しステップＳ４０６へ進み、未満（古い）の場合にはステップＳ４０９へ進む。

ステップＳ４０６：ＣＰＵ１１９は、ステップＳ４０５にて実際に採用した端末認証リストとディジタル放送受信装置１０１から受け取った端末ＩＤとを照合する端末認証処理を実行し、ステップＳ４０７へ進む。

ステップＳ４０７：ＣＰＵ１１９は、ステップＳ４０６でのチェックの結果、認証ＯＫであればステップＳ４０８へ進み、認証ＮＧであればステップＳ４０９へ進む。

ステップＳ４０８：ＣＰＵ１１９は、レスポンスとして認証ＯＫをＩ／Ｆ部１１８を介して、ディジタル放送受信装置１０１へ返す。

ステップＳ４０９：ＣＰＵ１１９は、レスポンスとして認証ＮＧをＩ／Ｆ部１１８を介して、ディジタル放送受信装置１０１へ返す。

ここで図５に列挙型の場合の端末認証リスト（端末ＩＤリスト）のデータ構造の一例を示す。この例ではlistInfoという要素の属性type（リストの種別）で有効端末リスト／無効端末リストの端末識別を設定している。インスタンスでは無効端末が指定された場合を示しており、termId要素で記載される端末ID200、365、594、720が無効端末である。

また、図４のステップＳ４０６に対応するICカードでの端末認証処理の詳細を図６に示す。図６において、ステップS６０１でlistInfoという要素の属性typeの値からリストの種別として無効端末であるか有効端末であるかを判定する。端末認証リストが、無効端末リストであればステップS６０２へ進み、端末リスト中の最初のエントリ（termId要素のデータ）を読み込む。そして、ステップＳ６０３でディジタル放送受信装置１０１から受信した端末ＩＤとの照合を行い、一致していれば無効端末と判定し、ステップＳ６０４で認証ＮＧをディジタル放送受信装置１０１へレスポンスする。

一致しない場合にはステップＳ６０５に進む。端末認証リストの全エントリのチェックが終了していなければステップＳ６０６で次のエントリへ読み出しポインタを進めステップＳ６０２へ戻り、以下この処理を繰り返す。

そして、ステップＳ６０５で全エントリを終了し、すべてのエントリに対して、ディジタル放送受信装置１０１の端末ＩＤが不一致であれば、ディジタル放送受信装置１０１は、有効端末であると判定する。この場合は、ステップＳ６０７に進み認証OKをディジタル放送受信装置１０１へレスポンスする。

なお、ステップＳ６０１で、端末認証リストが有効端末リストである判定した場合には、ステップＳ６０８に進み、同様に端末リスト中の最初のエントリ（termId要素のデータ）を読み込む。そして、ステップＳ６０９でディジタル放送受信装置１０１の端末ＩＤとの照合を行う。一致（認証ＯＫ）していればこのディジタル放送受信装置１０１が有効端末であると判定し、ステップ（Ｓ６１０）で認証ＯＫをディジタル放送受信装置１０１へレスポンスする。

一致しない（認証ＮＧ）場合にはステップＳ６１１に進み、端末認証リストの全エントリのチェックが終了していなければステップＳ６１２で次のエントリへ読み出しポインタを進めステップＳ６０８へ戻り、以下この処理を繰り返す。

そして、ステップＳ６１１で全エントリを終了し、すべてのエントリに対してディジタル放送受信装置１０１の端末ＩＤが不一致であれば、このディジタル放送受信装置１０１は無効端末であると判定する。そして、ステップＳ６１３に進み認証ＮＧをディジタル放送受信装置１０１へレスポンスする。

なお、本実施例では双方向通信に基づき、XML記述形式での端末認証リストを取得、処理する場合について説明したが、この環境、形式に制限されるものではない。たとえば放送経由で取得してもよいし、また、データ構造はたとえば放送でのセクション形式で記述してもよい。

上記した端末認証リストでは、有効端末のリストであるか無効端末のリストであるかの識別情報を送っている。また対象端末ＩＤが列挙されている。ＩＣカード側では、端末リストの中に受信装置１０１のＩＤがあるか否かを判定している。この判定結果と、有効端末リストであるか、無効端末リストであるかに応じて、ＩＣカードでは、認証ＯＫか、認証ＮＧかの判定結果を出力している。

上記したように、端末認証リストに、有効端末リストであるが、無効端末リストであるかの識別情報を与えている。このために、有効端末リストのデータ量が多くなれば、データ量の少ない無効端末リストを送信し、無効端末リストのデータ量が多くなれば、データ量の少ない有効端末リストを送信することが可能である。これにより、ＩＣカードでのデータ処理負担が軽減できる。以下に説明する実施形態においても同じ効果を得ることができる。

（第２の実施形態）
ここでは第２の実施例として、範囲指定型の場合の端末認証リストのデータ構造とその処理を説明する。第２の実施形態では、有効端末リストあるいは無効端末リスト内に、対象端末ＩＤが列挙されるのではなく、対象端末ＩＤの範囲が記述されている。

図７はこの場合の端末認証リストの一例を示している。この例でもlistInfoという要素の属性type（リストの種別）で有効端末／無効端末の端末識別を設定している。インスタンスでは有効端末が指定された場合を示しており、from要素からto要素までで指定される端末IDの範囲に含まれる場合、このインスタンスでは201〜1999、2001〜15000が有効端末である。

また、第１の実施形態における図６と同様、図８はこの場合のＩＣカードでの端末認証処理手順を示している。ステップS８０１でlistInfoという要素の属性typeの値からリストの種別として無効端末リストであるか有効端末リストであるかを判定する。ここで、有効端末リストであればステップＳ８０２へ進み、端末リスト中の最初のエントリ（from要素およびto要素の各データＮ１，Ｎ２）を読み込む。そして、ステップＳ８０３でディジタル放送受信装置１０１から受信した端末ＩＤとの照合を行う。この照合の結果、この端末ＩＤがエントリで指定される範囲内にあれば、ディジタル放送受信装置１０１は有効端末であると判定し、ステップＳ８０４で認証ＯＫをディジタル放送受信装置１０１へレスポンスする。

範囲内にない場合にはステップＳ８０５に進み、端末認証リストの全エントリのチェックが終了していなければステップＳ８０６で次のエントリへ読み出しポインタを進めステップＳ８０２へ戻る。以下この処理を繰り返す。

そして、ステップＳ８０５で全エントリを終了し、すべてのエントリに対して範囲内になければ無効端末であると判定し、ステップＳ８０７に進み認証NGをディジタル放送受信装置１０１へレスポンスする。

なお、ステップＳ８０１で無効端末リストと判定した場合には、ステップＳ８０８に進み、同様に端末リスト中の最初のエントリ（from要素およびto要素の各データＮ１，Ｎ２）を読み込む。そして、ステップＳ８０９でディジタル放送受信装置１０１から受信した端末ＩＤとの照合を行う。この照合の結果、この端末ＩＤがエントリで指定される範囲内にあれば、ディジタル放送受信装置１０１は無効端末と判定し、ステップＳ８１０で認証ＮＧをディジタル放送受信装置１０１へレスポンスする。範囲内にない場合にはステップＳ８１１に進み、端末認証リストの全エントリのチェックが終了していなければステップＳ８１２で次のエントリへ読み出しポインタを進めステップＳ８０８へ戻る。以下この処理を繰り返す。

そして、ステップＳ８１１で全エントリを終了し、すべてのエントリに対して範囲内にないのであれば有効端末であると判定し、ステップＳ８１３に進み認証OKをディジタル放送受信装置１０１へレスポンスする。

なお、本実施例でも双方向通信に基づき、XML記述形式での端末認証リストを取得、処理する場合について説明したが、この環境、形式に制限されるものではない。たとえば放送経由で取得してもよいし、また、データ構造はたとえば放送でのセクション形式で記述してもよい。

（第３の実施形態）
さらに第３の実施例として、端末認証リストを放送で伝送する場合のデータ構造を図９に示す。この例では、ARIB STD-B21にあるようなデータカルーセル伝送方式によるダウンロード方式で実現できる。DII(DownloadInfoIndication)のcompatibilityDescrirtorを使って端末識別情報（メーカID、モデルID、対象バージョンなど）を伝送し、受信機側ではこれをチェックして対象となる端末認証リストの伝送情報抽出を行う。さらに、ここから指定されるDDB(DownloadDataBlock)で、図９に示すような端末認証リスト本体を伝送し、受信機で受信する。

そして、この場合のICカードでの端末認証処理詳細に関しては、たとえば第２の実施形態における図８と第１の実施形態における図６とをlistInfo_styleフィールドの値がblock（範囲指定型）か否（列挙型）かでそれぞれ適用する。

図１０は、例えばサーバーにおける端末認証リストの生成部を示すブロック図である。対象となる端末ＩＤは、グループ別分類部３１１において、例えば端末ベンダ、機種毎に分類され、グループ分けされる。つまりグルーブ毎に端末認証リストを生成し、個々の端末認証リストのデータ容量を低減している。グループ分けされた、端末ＩＤは、グループ情報付加部３１２において、そのグループの識別番号が設定される。次に、有効端末ＩＤ収集部３１３では、有効端末のＩＤが収集され、有効端末リストが生成され、無効端末ＩＤ収集部３１４では、無効端末のＩＤが収集され無効端末リストが生成される。有効端末リストには、有効端末リスト識別フラグが、識別フラグ付加部３１５で付加され、無効端末リストには、無効端末リスト識別フラグ、識別フラグ付加部３１６で付加される。各識別フラグ付加部３１５、３１６で処理された有効端末リスト、無効端末リストは、切換え部３１７に入力されて、いずれか一方が選択され取り出される。取り出された端末リストは、更新情報付加部３１９において、更新日時あるいは、インクリメントされた更新番号が付加されて、受信装置へ送信状態となる。

切換え部３１７では、無効端末リストと、有効端末リストのデータ量が比較され、少ない方が選択されて出力される。これにより、ＩＣカードで処理するデータ量ができるだけ少なくなるように工夫されている。

ここで、例えば、識別フラグ付加部３１５、３１６において、端末リストが図５、図７、或いは図９で示したタイプのいずれであるのかの識別情報が付加されてもよい。この場合は、ＩＣカードにおいて、いずれのタイプにも対応できるように、それぞれのタイプ識別ステップと、各タイプに対応したデータ処理プログラムが格納される。

なお、本発明は上記実施形態がいずれもそのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせてもよい。

本発明の第１の実施形態におけるディジタル放送受信装置のブロック構成を示す図。 本発明の第１の実施形態における認証シーケンスを示す図。 本発明の第１の実施形態における受信機の処理フローを示す図。 本発明の第１の実施形態におけるICカードの処理フローを示す図。 本発明の第１の実施形態における端末認証リストのデータ構造の概要を示す説明図。 本発明の第１の実施形態におけるICカードの処理フローであり、図４のステップＳ４０６をさらに詳しく示す図。 本発明の第２の実施形態における端末認証リストのデータ構造の概要を示す説明図。 本発明の第２の実施形態におけるICカードの処理フローを示す図。 本発明の第３の実施形態における端末認証リストのデータ構造の例を示す説明図。 本発明に係るサーバーにおける端末認証リストの生成部の例を示す説明図。

符号の説明

１０１…ディジタル放送受信装置、１０２…チューナ部、１０３…デスクランブラ、１０４…ＴＳデコード部、１０５…映像音声デコード部、１０６…表示処理部、１０７…制御部、１０８…キー入力部、１１０…ＩＣカードＩ／Ｆ部、１１２…メモリ部、１１１…通信処理部、１１５…ＩＣカード。

Claims (10)

1. 受信装置のメモリ部から端末認証リスト及び受信装置ＩＤを受け取るデータ取り込み部と、
   前記端末認証リストが無効端末リストであるか有効端末リストであるかを、前記端末認証リストに含まれる第１の識別情報を参照して判別した第１の判別結果を得る第１の判別部と、
   前記端末認証リストに前記受信装置ＩＤが含まれるか否かを判別した第２の判別結果を得る第２の判別部と、
   前記第１の判別結果と第２の判別結果の内容に応じて、前記受信装置が有効端末であるか否かを示す応答信号を前記受信装置に返信する返信部と、
   を具備したことを特徴とするＩＣカード。
2. 前記返信部は、
   第１の判別結果が「無効端末リスト」を示し、第２の判別結果が「含まれる」を判別したときは、前記受信装置が無効端末であることを返信し、
   第１の判別結果が「有効端末リスト」を示し、第２の判別結果が「含まれる」を判別したときは、前記受信装置が有効端末であることを返信し、
   第１の判別結果が「無効端末リスト」を示し、第２の判別結果が「含まれない」を判別したときは、前記受信装置が有効端末であることを返信し、
   第１の判別結果が「有効端末リスト」を示し、第２の判別結果が「含まれない」を判別したときは、前記受信装置が無効端末であることを返信する、
   請求項１記載のＩＣカード。
3. 前記端末認証リストには、有効又は無効の端末ＩＤが列挙されており、
   前記第２の判別部は、前記端末認証リストに前記受信装置ＩＤが含まれるか否かを総当りによるチェックで判別する
   請求項１記載のＩＣカード。
4. 前記端末認証リストには、有効又は無効の端末ＩＤが指定範囲で特定されており、
   前記第２の判別部は、前記指定範囲内に前記受信装置ＩＤが含まれるか否かを比較処理により判別する
   請求項１記載のＩＣカード。
5. 放送波を受信する受信部と、
   前記受信部の受信出力をデスクランブルし、デコードし、映像及び音声を復号する信号処理部と、
   外部ネットワークに接続される通信処理部と、
   前記放送波を受信した受信部から取得、または、前記通信処理部を介してサーバーから取得した端末認証リストのグループ識別情報を判定するグループ識別情報判定部と、
   グループ識別情報が、自身を特定するグループであるときに、前記端末認証リストをメモリ部に格納するリスト取り込み部と、
   視聴契約情報が設定されるＩＣカードを接続するインターフェースと、
   少なくとも前記インターフェースが動作活性化されたとき、認証を開始させるために前記端末認証リストと受信装置ＩＤを前記インターフェースに出力する認証開始部と、
   前記ＩＣカードから前記端末認証リストと受信装置ＩＤとの検査結果で、認証できない旨の応答があったときに、その応答結果を前記表示処理部に出力する認証結果表示処理部と
   を有した放送受信装置。
6. 前記認証開始部は、さらに、電源がオンしたとき、又は、前記インターフェースに前記ＩＣカードが装着されたとき、又は、前記通信処理部を介してサーバーからの指令があったとき、又は時計機能による定期的駆動があったときのいずれかによって、認証を開始させることを特徴とする請求項５記載の放送受信装置。
7. 端末のグループ別分類を行なうグループ分類部と、
   所定のグループに分類された端末の端末リストにグループ識別情報を付加するグループ識別付加部と、
   前記所定のグループの端末の端末リストを、有効端末の端末リスト、無効端末の端末リストに分けて集合する第１、第２の端末ＩＤ収集部と、
   前記第１、第２の端末ＩＤ収集部からの有効端末の端末リスト、無効端末の端末リストにそれぞれ有効、無効の識別情報を付加する識別情報付加部と、
   前記有効、無効の識別情報が付加された有効端末の端末リスト、無効端末の端末リストのうち、データ量の少ないリストを伝送用として選択する切換え部と
   を有したことを特徴とする端末認証リスト生成装置。
8. さらに前記有効端末の端末リスト、無効端末の端末リストに対して、さらに端末ＩＤが列挙されて特定されているのか、指定範囲を記載されて特定されているのかを識別した、識別情報を付加する付加部を有することを特徴とする請求項６記載の端末認証リスト生成装置。
9. さらに前記有効端末の端末リスト、無効端末の端末リストに対して、内容が最新のものであることを識別させるための更新情報を付加する更新情報付加部を有することを特徴とする請求項６記載の端末認証リスト生成装置。
10. サーバーの端末認証リスト生成装置は、
    所定のグループに分類した端末の端末リストのうち、有効端末の端末リストと無効端末の端末リストのうちのデータ量の少ない方の端末リストを選択し、そして、グループ識別情報及び有効又は無効の識別情報を付加した端末認証リストを生成して送信し、
    受信装置は、上記端末認証リストを受信して、受信装置ＩＤと共にインターフェースに接続されたＩＣカードに送信し、
    前記ＩＣカードは、
    前記端末認証リスト及び受信装置ＩＤを受け取り、
    前記端末認証リストが無効端末リストであるか有効端末リストであるかを、前記端末認証リストに含まれる有効又は無効の識別情報を参照して判別して第１の判定結果を得て、
    前記端末認証リストに前記受信装置ＩＤが含まれるか否かを判別して第２の判定結果を得て、
    前記第１の判別結果と第２の判別結果の内容に応じて、前記受信装置が有効端末であるか否かを示す応答信号を前記受信装置に返信する、
    ことを特徴とする端末認証方法。

Images