JP2007525126A - 選択的データ伝送のためのシステム - Google Patents

Abstract

選択的データ伝送のためのシステム及び方法が記載されている。該システムは、送信機Ｓと複数の受信機（Ｒ１〜Ｒ４）とを含んでいる。上記送信機は複数の基本キー（ｋ１〜ｋ４）を有する関連する暗号化手段（２４）を有している。受信機（Ｒ１〜Ｒ４）は、各々、関連する解読手段（３４）を有し、各解読手段はキーの受信機集合を有している。ここで、キーの各受信機集合は上記基本キー（ｋ１〜ｋ４）の部分集合である。受信機の第１の認可されたグループに対するデータの安全な選択的送信のために、上記暗号化手段は、上記データを上記基本キーのうちの少なくとも２つにより反復的に暗号化するように構成される。この場合、これら少なくとも２つの基本キーは全て上記認可されたグループの受信機の受信機集合に含まれ、これらキーのうちの少なくとも１つは認可されていない受信機のグループの各受信機集合には含まれない。

Description

本発明は、選択的なデータ伝送のためのシステム、対応するシステムに使用する送信機及び受信機、放送システム、選択的なデータ伝送のための方法、並びに送信機及び複数の受信機を含むシステムを動作させる方法に関する。

データ伝送システムにおいては、データは送信機からチャンネルを介して複数の受信機のうちの少なくとも１つに送信される。データ伝送に使用される物理的チャンネルは、本発明の範囲外であり、如何なる既知の形態のデータ伝送方法及び如何なるタイプの媒体も含むことができる。本開示により扱われる問題は、如何にしてデータを１以上の受信機に選択的に伝送すると共に、他の受信機を、該データを受信することから除外するかである。この選択性は、このタスクのために特別に適合された暗号方法により達成される。

対応するシステム、送信機、受信機及び方法は、既に知られている。チャンネルを介して送信されるデータはスクランブル処理され、該データを解読するための必要なキー情報は事前に受信機に分配されるので、所望の選択性、即ち何の受信機が当該メッセージを解読することができ、何の受信機が該メッセージを解読することができないか、が達成される。採用される暗号化により、これらのシステムは、伝送のチャンネル及び方法が受信機の数を制限することがないような放送用途に非常に適している。

送信機から複数の受信機へのデータ送信は、“マルチキャスト”又は“ポイントツーマルチポイント”送信と呼ばれる。選択的なマルチキャスト送信は、有料ＴＶ等の分野に既に適用されている。しかしながら、インターネット通信及び移動体通信でさえ、選択的マルチキャストを利用することができる。

選択的なマルチキャストシステムを達成する１つの方法は、事前にスクランブルキー（ここでは、“マルチキャストキー”と呼ぶ）を、送信機及び当該データを受信することを認可された全ての受信機（ここでは、“マルチキャストグループ”と呼ぶ）に分配することである。しかしながら、この方法は会員資格（membership）の変更に対して非常に柔軟性がない。以前に認可された受信機が当該マルチキャストグループを離脱（leave）した場合、該除外された受信機にとり更なる送信が、最早、読取可能とならないように、以前に使用されたマルチキャストキー（共有秘密）は変更されねばならない。新たなマルチキャストキーは、残りの受信機のみに安全、且つ、選択的に送信されねばならない。有料視聴番組（pay-per-view）システムを含む有料ＴＶのような幾つかの用途においては、会員資格は非常に動的であり得る。これらの用途の場合、必要なキー変更に関連するオーバーヘッドは、小さく維持されるべきである。

動的会員資格に対して使用することができるシステムは、各受信機に対して固有のキーを割り当てることを含む。これは、個々の受信機キーの全てを保持する送信機に、各受信機との安全なユニキャスト（ポイントツーポイント）通信を可能にする。このシステムを、マルチキャストキーを確立し、該マルチキャストキーを送信機から認可された受信機の各々に対して各受信機の個々のキーを使用して暗号化された形で分配することにより、安全なマルチキャストのために使用することが可能であろう。このように、マルチキャストグループを確立することができ、該マルチキャストグループは、非認可受信機を除き、上記マルチキャストキーにより暗号化されたデータを安全に通信することができる。

上述したシステムは、キーの記憶に関して課す受信機側の要求は低いが、マルチキャストキーの変更に対して、膨大な帯域幅要件（Ｎ個の受信機に対して、当該キーのＮ回の送信を含む）につながる。例えば有料ＴＶ用途においては、マルチキャストキーが非常に頻繁に（例えば、毎分）変更されることを考慮すると、これらの帯域幅要件は大きなマルチキャストグループにとっては許容不可能となる。

上述した問題に対処した選択的データ伝送のためのシステムの一例が、米国特許第６０４９８７８号に示されている。該システムは、送信機と複数の受信機とを含んでいる。各受信機において、複数のキーがアクセス可能である。マルチキャストキー（ここでは、ＴＥＫ（トラフィック暗号キー）と呼ばれる）は、送信機及び全ての他の受信機と共用される。更に、各受信機は複数のキー暗号キー（ＫＥＫ）を保持する。該システムの論理構造は二進ツリーのものであり、送信機がルート部となり、受信機が葉部となる。各葉部は、ルート部から葉部への経路に配置されたキーを保持する。

離脱処理の場合、即ち受信機が、最早、データを受信することを許可されない場合、離脱する送信機への経路における全てのキーは、ボトムアップ態様で変更される。そして、マルチキャストキー（ＴＥＫ）は、当該離脱する受信機を除外するように変更される。更なるトラフィックは、新たな変更されたＴＥＫを用いてスクランブルされ、これは当該離脱する受信機によっては、最早、読み取られ得ない。

米国特許第６０４９８７８号に示されたシステム及び方法は、離脱処理の場合に要する帯域幅を低減することに成功している。しかしながら、全ての離脱処理に対して、論理ツリーにおける全経路の再キー処理が必要である。

本発明の目的は、選択的データ伝送のためのシステム及び方法、対応するシステムに使用する送信機及び受信機、放送システム並びに上記システムを動作させる方法であって、高度に動的なマルチキャストグループにおける通信に非常に適したものを提案することにある。

本発明によれば、この目的は、請求項１に記載のシステム、請求項１０及び１１に記載の斯様なシステムのための送信機及び受信機、請求項１２に記載の放送システム、請求項１３に記載の選択的データ伝送のための方法、並びに請求項１５に記載のシステムを動作させる方法により解決される。

本発明の中心的思想は、複数の連続的に使用されるキーによる反復的暗号化を採用することにより選択的データ伝送を達成するというものである。この反復的暗号化（本筋書においては、“キーチェーン処理（key chaining）”とも呼ばれる）は、第１キーによりデータを暗号化して第１暗号化データを得るステップ、該第１暗号化データを更に第２キーを用いて暗号化して第２暗号化データを得るステップ、等々を含む。明らかなことに、複数のキーによる反復的暗号化の後の最終的に得られる結果は、同じキーによる反復的解読（順番が重要な場合は、通常は逆の順序での）の後にのみ読み取ることができる。対応して反復的に暗号化されたデータを読み取るために、当該反復暗号化処理に使用されたキーの完全な組み合わせが、受信機に対して利用可能である必要がある。このように、異なる受信機に対して異なるキーの組み合わせを分配することにより、所望の選択性（即ち、何の受信機がメッセージを読むことができ、何の受信機ができないか）を、認可された受信機により共有されるキーを用いて該メッセージを反復的に暗号化することにより達成することができる。認可されていない受信機は、当該反復暗号化チェーンにおいて該認可されていない受信機により保持されていないような少なくとも１つのキーを使用することにより除外される。

本発明による基本的システム及び方法は、送信機と少なくとも２台の受信機とを含む。上記送信機は、該送信機に関連する暗号化手段を有し、複数の基本キー（base keys）を保持する。各受信機は、関連する解読手段を有し、該解読手段は、各々、キーの受信機集合を保持する。斯かる受信機集合は、上記基本キーの部分集合であり、好ましくは対的に互いには含まれない。

上記送信機から第２受信機への選択的データ送信のために、上記暗号化手段は反復的暗号化のために上記基本キーのうちの少なくとも２つを使用する。使用される基本キーは、これらキーが両方とも（２より多い場合は全て）、該（認可された）第２受信機の受信機集合に含まれるように選択される。また、これらキーは、使用されるキーの少なくとも１つが、除外されるべき第１受信機の受信機集合に含まれないように、選択される。

このようにして反復的に暗号化され、伝送チャンネルを介して送信される１つのデータは、両受信機において拾うことができる。しかしながら、（認可された）第２受信機は該データを反復的に解読することができる一方、（認可されていない）第１受信機は少なくとも１つのキーが不足し、従って該データを解読することができない。

本発明の発展例によれば、当該システム及び方法は選択的マルチキャストに使用される。上述した第２受信機と更なる第３受信機とからなるマルチキャストグループは、上記データを受信することを許可される。従って、上記反復的暗号化に使用されるキーは、これらキーの全てが（認可された）第２及び第３受信機の受信機集合に含まれる一方、これら使用されるキーのうちの少なくとも１つが（認可されていない）第１受信機の受信機集合には含まれないように、選択される。

本発明は、広範囲の用途に適用可能であることに注意すべきである。使用されるチャンネルは、如何なるタイプの伝送方法及び／又は媒体とすることもできる。また、実際には、データを暗号化するためにキーを使用するような如何なる暗号化方法も使用することができる。これは、特に、対称的及び非対称的暗号化方法の両方の使用を意味する。対称的暗号化方法は暗号化及び解読のために同一のキーを使用する一方、非対称的暗号化方法においては、“キー”は実際にはキー対であり、該キー対の一方のキー部分（通常、“公開キー”と称される）は暗号化に使用され、他方の部分（“秘密キー”）は解読に使用される。両タイプの方法を、本発明によるシステムに使用することができる。また、該システムは特定の数の受信機に限定されるものではない。明らかに、該システムの利点は、一層大きなシステムにおいて、即ち、例えば２０、５０、１００、１０００又はそれ以上のような多数の受信機を伴う場合に一層明確になる。後に好ましい実施例に関連して説明するように、比較的少ない基本キーの使用で、既に、非常に多数の受信機をアドレス指定する（即ち、斯かる受信機に異なる組み合わせを割り当てる）ことを可能にする。

複数の受信機（各受信機がキーの固有の受信機集合を保持する）の一般的場合においては、データは、該複数の受信機のうちの認可されたグループに選択的に送信されなければならない。これを達成するため、送信機における暗号化手段は、該データを複数のキー（即ち、基本キーの特定の組み合わせ）で反復的に暗号化する。この特定の組み合わせは、該組み合わせにおいて使用されるキーの全てが該認可されたグループの受信機により保持されるように、選択される。このグループの受信機は、結果として、上記データを、正にこのキーの組み合わせを用いて反復的に解読することができる。一方、上記キーの組み合わせは、認可されていない各受信機に対して、当該組み合わせのうちのキーの少なくとも１つが当該受信機の対応する受信機集合に含まれないように、選択される。このように、認可されていない受信機の各々は、該データを解読するための少なくとも１つのキーが不足し、結果として、これら認可されていない受信機の何れも平文データを読むことができない。

更なる発展例によれば、受信機の認可されたグループに対するデータの選択的伝送は、該認可されたグループを複数のサブグループに分割することにより複数の送信で達成される。これは、認可された受信機の特別に指定されたグループへの選択的送信が必要とされるが、選択的マルチキャストを保証するために上記要件を満たすような単一のキー組み合わせが利用可能でない場合に、必要であり得る。これらの場合、同一のデータが、キーの異なる集合（即ち、異なるキーの組み合わせ）により暗号化されて複数回送信される。使用される異なるキーの組み合わせの各々は、上述した要件を満足する。即ち、当該組み合わせにおける全てのキーが対応するサブグループの受信機により保持され、該サブグループに属さない他の各受信機は該組み合わせのうちの少なくとも１つのキーが不足する。

本発明の発展例によれば、特定の類の暗号化方法が提案される。好ましい類の暗号化方法は、暗号化の間において、キー数による少なくとも１つの指数化を含む。この類の暗号化方法は、逆演算（離散対数問題）が容易に解くことができないという事実に依拠している。通常、キー数による反復的指数化を有するであろう、上述したような複数のキーによる反復的暗号化は、このように、キー数の簡単な乗算及び該乗算の結果による只１つの指数化として計算することができる。指数化処理は計算的に高価であり、乗算処理はそうでないので、上記好ましい類からの暗号化方法の使用は、反復的暗号化の間における計算的労力を大いに低減する。好ましくは、選択される暗号化方法は、同じ方法で複数のキーを使用する（即ち、キー数を乗算し、その結果による只１回の指数化処理することによる）解読を可能にするものとする。対応する暗号化方法の一例は、良く知られたＲＳＡアルゴリズムである。

本発明の更なる発展例によれば、受信機の全体が複数のグループに分割されるような発行方法（issuing scheme）が提案される。各グループに対して、前述したような通信方法が確立される。即ち、各グループに対して、基本キーのグループ集合が利用可能となる。或るグループに属する受信機は、当該グループのグループ集合の部分集合であるようなキーを保持する。異なるグループのグループ集合は対的に相違し、好ましくは対的に互いに素でさえある。

全体の受信機の複数のグループへの分割は、非常に多数の受信機を、各受信機に記憶されねばならない相対的に小さな数のキーによりアドレス指定するのを可能にさせる。

異なる受信機が異なる数の基本キーを保持することは一般的に可能であるが、各受信機が同数の基本キーを保持すること、即ち前記受信機集合が同じ基数（cardinal number）を有することが好ましい。

上述したように、本発明によるシステム及び方法は、認可されていない受信機を除外しながら、認可された受信機のグループに対する安全な選択的マルチキャストのために使用することができる。更に説明したように、これは、注意深く選択されるべきキーの組み合わせにより、メッセージを反復的に暗号化することにより達成することができる。全ての認可された受信機を含めると共に全ての認可されていない受信機を除外するような単一のキーの組み合わせを見付けることが通常は好ましいが、これは、所与のキーの分配（発行方法）及び認可された／認可されていない受信機の特定の筋書（加入ベクトル：joining vector）に対しては可能ではないことがあり得る。これらの場合、前述したように、メッセージをその都度異なる組み合わせで暗号化して複数回順次送信し、最終的に全ての認可された受信機が該メッセージを受信することができるように、複数のキーの組み合わせによる複数の送信を使用することができる。

本発明の発展例による上述した１以上の組み合わせを決定するために、前記送信機は、認可された及び／又は認可されていない受信機についての情報を持つ関連する記憶手段と、認可されていない受信機を除外しながら、認可された受信機に選択的にメッセージを送信するために使用されるべき基本キーの１以上の組み合わせを決定するための分配制御手段とを有する。勿論、上記分配制御手段は、上述した特定の選択的送信を達成するのに必要な基本キーの最小数の組み合わせを決定することが好ましい。

本発明の更なる発展例は、基本キーの組み合わせの受信機間での分配（発行方法）に関するものである。Ｎ個の受信機、送信機に存在するｋ個の基本キー、及び各受信機がこれらキーのうちのｍ個を保持する場合を考察する。この筋書では、利用可能な基本キーのｋ対ｍ（k over m）の異なる組み合わせが可能であり、従って最大でｋ対ｍの受信機をアドレス指定することができる。基本キーの全て又は略全ての可能な組み合わせが受信機に確かに分配されるような発行方法は“網羅的”と呼ばれる一方、最小限の利用可能なキーの組み合わせのみが実際に使用される方法は“非網羅的”と呼ばれる。異なる発行方法が、それらの冗長度に関して評価された。冗長度とは、特定の状況下で、どれだけ多くの送信（基本キーの組み合わせ）が必要であるかと理解される。適用される評価規準は、多数の可能な加入シナリオ（認可された／認可されていない受信機の組み合わせ）にまたがってとられる平均冗長度、又は多数のシナリオにまたがってとられる必要な送信の最大数を示すような最悪ケースの冗長度であり得る。

一般的に、低い冗長度（即ち、少ない数の必要な送信）は中間の網羅的発行方法、即ちｋ対ｍ（k over m）がＮよりかなり大きい（好ましくは、少なくとも１０％、又は２５％より大きい）方法、により達成されることが分かった。このように、全ての可能な組み合わせを実際に使用する代わりに、一層良好な性能を達成するために、これら組み合わせのうちの限られた一部のみを使用することが提案される。また、非序に非網羅的発行方法は、一般的に資源の浪費であり、幾つかの場合においては劣った性能さえ示すので、ｋ対ｍが中程度の指数でのＮの巾乗により制限される（例えばｋ対ｍ＜Ｎ^10）方法を使用することが通常は好ましい。これは、必要とされる最小値より最大で約１０倍大きい数の基本キーを使用することに相当する。

本発明の更なる発展例によれば、基本キーは全動作を通して必ずしも同一のままである必要はない。幾つかの状況の下では、時には、例えば安全保護の理由から、基本キーの１以上を交換することが望ましいかも知れない。勿論、新たな基本キーは、交換された基本キーを保持するのを許可された受信機のみに選択的ではあるが、受信機に通知されなければならない。これは、１以上の新たな基本キーの発生後に、この新たな基本キーを該キーを受信すべき受信機に正確に選択的に送信するために、選択的データ伝送のための上記システム及び方法を使用することにより達成される。

本発明による送信機は、上述した伝送システムに使用することができる。該送信機は複数の基本キーを保持する。暗号化手段は、データを上述したように反復的に暗号化するように構成される。

同様にして、本発明による受信機は、キーの受信機集合を保持すると共に、データを複数のこれらキーにより反復的に解読するように構成された解読手段を有する。

本発明は、更に、放送システムに関するものでもある。放送システムは、送信機及び複数の受信機を備えた、上述した伝送システムを有する。該放送システムは放送送信機を更に有し、該放送送信機はスクランブル処理されたコンテンツを放送する。該コンテンツは、スクランブル手段及びスクランブルキーを用いてスクランブル処理される。“スクランブル処理”なる用語は、ここでは如何なる種類の暗号化にも関係し、好ましくはブロック暗号法であることに注意すべきである。ここでは、コンテンツのスクランブル処理を上述したメッセージの暗号化から区別するために、“スクランブル処理”なる用語が“暗号化”の代わりに使用される。

スクランブル処理されたコンテンツは連続して放送されるので、この放送を受信する受信機の数は本質的に限定されない。しかしながら、スクランブル処理されたコンテンツをスクランブル解除するために、受信機はスクランブルキーを必要とする。スクランブルキーは、上述した伝送システムにより、認可された受信機に選択的に送信される。前記放送送信機及び該伝送システムの送信機は１つの同一のものとすることができるが、これは必ずしも必要ではないことに注意すべきである。

本発明は、更に、送信機及び複数の受信機を含むシステムを動作させる方法にも関する。該方法は、発行方法を決定するステップ、基本キーを発生するステップ、及び加入する受信機に基本キーを分配するステップを有する。発行方法は前述したとおりである。前述したように、異なる発行方法は、異なる冗長度故に、性能が大きく変化する。冗長度は当該システムの動作の間に必要な帯域幅に直接対応するので、良好な平均／最悪のケースの冗長度が極めて望ましい。このように、基本キーの数、受信機の（最大）数及びこれらの受信機の各々に記憶される基本キーの数が与えられた場合、発行方法を事前に決定することが推奨される。この発行方法（即ち、基本キーが如何にして受信機の間で分配されるかの計画）の発生は、計算的に非常に費用が掛かる。しかしながら、このステップは事前に実行されるので、リアルタイム規準が満たされる必要はない。更に、発行方法は実際の基本キー及び実際に使用される暗号化方法とは完全に関係がないので、該ステップは１度限りで実行することができる。

以下、本発明の好ましい実施例を、図面を参照して説明する。

図１は、本発明の一実施例による基本伝送システム１０を示す。該システムは、送信機Ｓと複数の受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４とを有している。送信機Ｓは、チャンネルＣを介して受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４の各々に接続される。チャンネルＣは、本例では、送信機から受信機へと単一方向にのみ通信を許可する。該チャンネルは、送信機Ｓから送信されたデータが受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４の各々において受信され得るような性質のものである。システム１０は一般例であり、チャンネルＣは、例えば大気を介しての無線放送、コンピュータネットワークにおけるデータ伝送又はその他等の如何なるタイプの媒体及び伝送方法も含むことができることに注意すべきである。

送信機Ｓはデータベース１２に接続され、該データベースは複数の暗号キーｋ１、ｋ２、ｋ３、ｋ４を記憶している。これらキーの各々は、暗号化方法を用いてデータを暗号化するために使用することができる。好ましい実施例においては、使用される暗号化方法はＲＳＡアルゴリズムであり、キーｋ１、ｋ２、ｋ３、ｋ４はＲＳＡ公開キーである。この暗号化方法は後に更に説明する。しかしながら、本発明は、この特定の暗号化方法に限定されるものではなく、代わりに如何なる暗号化方法も使用することができることに注意すべきである。

キーｋ１、ｋ２、ｋ３、ｋ４は、以下、システム１０の基本キーと呼ぶ。これらキーは基本キー集合を形成し、示された例における斯かるキーの基数（cardinal number）は４である。しかしながら、本発明による好ましいシステムにおいては、より大きな数の基本キー及び一層多数の受信機が存在するであろうことに注意すべきである。

受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４の各々は、局部データベース１４.１、１４.２、１４.３、１４.４を有している。データベース１４.１、１４.２、１４.３、１４.４の各々には、暗号キーが記憶される。各データベース１４.１、１４.２、１４.３、１４.４は異なる組み合わせの基本キーを記憶し、斯かる組み合わせは、ここでは、関連する受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４の受信機集合と呼ぶ。例えば、データベース１４.１に記憶された第１受信機Ｒ１の受信機集合は基本キーｋ１、ｋ２、ｋ３を有する一方、データベース１４.２に記憶された第２受信機Ｒ２の受信機集合は基本キーｋ１、ｋ３、ｋ４を有する。

基本キーの異なる組み合わせは、確立キーとも呼ぶ。合計で、ｋ個の基本キーが利用可能である（本例においては、ｋは４に等しい）。このように、これら基本キーの２^ｋ−１個の組み合わせが利用可能である。しかしながら、図１の例におけるように、好ましい実施例においては、キーの受信機集合の各々は、同数の基本キーを有する（即ち、同一の基数ｍ（図１の例では、ｍは３に等しい）を有する）。

このように、

なる数のキーの組み合わせが利用可能であるので、この数の異なる受信機キー集合を持つ受信機が存在し得る。図１の例においては、４つの全ての利用可能な組み合わせが受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４に分配される。どれだけ多くの基本キーが利用可能であるべきか、どれだけ多くのキーが各受信機に記憶されるべきか、及び何のキーの組み合わせが使用されるべきか、なる選択は、ここでは、“発行方法（issuing scheme）”と呼ぶ。発行方法は、後に更に議論する。

図２ａに示すように、図１の送信機Ｓはメッセージユニット２２と、反復暗号化ユニット２４と、送信ユニット２６とを有している。メッセージユニット２２はデータＤを供給し、該データは暗号化ユニット２４において暗号化データＤ’に暗号化される。暗号化データＤ’は、チャンネルＣを介して送信されるべく送信ユニット２６に供給される。

暗号化ユニット２４は、基本キーｋ１、…、ｋｎを伴うデータベース１２と、暗号化モジュール２８とを含んでいる。暗号化モジュール２８は入力データＤ及び暗号キーｋを取り込み、データＤをキーｋにより暗号化する。前述したように、暗号化モジュール２８で実施される実際の暗号化方法は限定されるものではない。多数の暗号化方法が既知である。好ましい実施例では、ＲＳＡアルゴリズムが使用される。ＲＳＡ暗号化アルゴリズムの詳細は当業者によって良く知られているが、該アルゴリズムを簡単に要約する。

ＲＳＡ暗号化アルゴリズムにおけるキーは、実際には、公開キーとプライベートキーとを有するキーの対である。公開キーは数ｅに対応し、該数は(p-1)(q-1)に対して素であり、ここで、ｐ及びｑは秘密に保たれる大きな素数である。プライベートキーは、d*e mod(((p-1)(q-1))=1となるような数ｄに対応する。基数（base）ｎも公開とされ、該基数は大きな素数ｐ及びｑの積である。暗号化の間において、数ｘ（但し、０≦ｘ≦ｎ）に対応するメッセージは、既知の基数ｎと公開キーｅのみを用いて、y:=x^e mod nとして暗号化される。一方、解読はプライベートキーを必要とし、x = y^d mod nにより実行される。

図２ａの例において、暗号化モジュール２８は、データＤを上述したような単一のＲＳＡ暗号化ステップにより暗号化する。

しかしながら、暗号化ユニット２４全体は、データベース１２からの複数のキーを用いて特別な暗号化を実施する。該暗号化は、モジュール２８の幾つかの呼び出しを含むもので、ここでは、反復暗号化と呼ぶ。図２ｂは、この暗号化の過程を図示している。入力データＤは、最初に暗号化モジュール２８を介して先ず通過され、第１キーｋ_１を用いて暗号化される。得られた暗号化データは、次いで、更に暗号化モジュール２８を通過され、第２キーｋ_２を用いて更に暗号化される。この反復手順は、暗号化が所望の組み合わせのキーｋ_１、ｋ_２、…、ｋ_ｎの全てにより実行されるまで継続される。最終的に得られた暗号化データＤ’は、この反復暗号化処理の最終結果である。

図３ａは一般的受信機Ｒを示し、該受信機は図１の受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４に対応する。受信機Ｒは受信ユニット３２と、解読ユニット３４と、処理ユニット３６とを有している。送信機Ｓからの放送データは受信ユニット３２において受信される。受信されたデータは解読ユニット３４で解読され、更なる処理のために処理ユニット３６に供給される。

図２ａ及び２ｂを参照して説明した反復暗号化と同様に、解読も反復的に実行される。解読ユニット３８が、複数のキーｋ_ｎ、ｋ_ｎ−１、…、ｋ_１でもって反復的に用いられる。該反復解読の過程が図３ｂに概念的に示されており、該図において、各ステップにおいては前のステップからの解読データが次のキーを用いて更に解読される。

一般的に、暗号化ユニット２８において実行されるような暗号化処理は多数の計算を必要とし得るので、複数のキーを用いた反復暗号化は、潜在的に、計算上複雑なタスクになり得る。しかしながら、使用される暗号化方法がＲＳＡであり、且つ、使用される全てのキーｋ_１、ｋ_２、…が同一の基数ｎを共有するなら、該反復暗号化処理は簡単化され得る。複数の反復指数化（exponentiation）処理に代えて、指数の乗算を実行することができる：

同様にして、反復解読は、

と、簡素化することができる。

複数のＲＳＡキーを同一の基数ｎで使用することは、キーの安全性を減少させる可能性があり得る。しかしながら、計算に関する節約は非常に大きい。このように、多くの用途に関しては、安全性の低下と劇的に限定される計算的要求との間の取引は許容可能であり得る。例えば、有料ＴＶ用途においては、全体としてのキーの安全性は絶対的に厳しいものではなく、解読ハードウェアに対するユーザ側の低い要求のほうが大きな利点を提供する。

潜在的な安全性の問題は、同一の基数ｎで全てのキーを選択するのではなく、同一の基数を持つ例えば各々が２〜１０個のキーの、キーの部分集合を有するが、基数が異なるグルーブに対して異なるようにすることにより、計算的複雑さの増加を犠牲にして低減することができる。この場合、同一の部分集合からのキーのチェーン処理は乗算により実行することができるが、異なる部分集合からのチェーン処理は複数の指数化処理演算を必要とするであろう。

図４は、システム１０内での第１通信例を示す。システム１０の構成は、図１に示した通りである。当該送信機は暗号化ユニット２４（図４には図示せず）を有し、該暗号化ユニットは基本キーｋ_１、ｋ_２、ｋ_３、ｋ_４を保持している。受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４の各々は、対応する解読ユニット３４.１、３４.２、３４.３、３４.４、及び個々の受信機のキーの受信機集合を保持するデータベース１４.１、１４.２、１４.３、１４.４を有している。

第１例では、送信機Ｓは平文メッセージ４０に対応するデータを送信する。しかしながら、メッセージ４０は平文でではなく暗号化データ４２として送信される。図４に示すように、平文メッセージ４０は基本キーｋ_４、ｋ_３、ｋ_１をこの順に使用して反復的に暗号化される。

暗号化メッセージ４２は全ての受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４に送信される。全ての受信機は、上記メッセージを受信し、該メッセージを解読しようと試みる。しかしながら、第２受信機Ｒ２のみが、メッセージ４０を解読するのに要するキー組み合わせ（基本キーｋ_１、ｋ_３、ｋ_４）を有している。他の全ての受信機Ｒ１、Ｒ３及びＲ４は少なくとも１つの基本キーが不足している。即ち、受信機Ｒ１は必要とされる基本キーｋ_４を保持しておらず、Ｒ３はｋ_３を保持しておらず、Ｒ４はｋ_１を保持していない。

このように、システム１０においては、如何なる他の受信機によっても平文を受信することができないような、ユニキャスト通信（送信機Ｓから受信機Ｒ２への）を実行することができる。

図５は、システム１０内での第２の通信例を示している。ここでも、当該構成は図１に示された通りである。送信機Ｓは、基本キーｋ_４、ｋ_１を使用して反復的に暗号化されたメッセージ４０を暗号化メッセージ５２として送信する。全ての受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４により受信される上記暗号化メッセージ５２は、基本キーｋ_１及びｋ_４の両方を保持している受信機、即ち第２受信機Ｒ２及び第３受信機Ｒ３によってのみ解読することができる。他の受信機は、各々、解読用の１つのキーが不足している。即ち、Ｒ１はｋ_４を保持しておらず、Ｒ４はｋ_１を保持していない。このように、図５は如何なる他の受信機によっても解読することができないような安全なマルチキャスト（送信機Ｓから受信機Ｒ２及びＲ３を有するグルーブへの）の一例を示している。

図６は、システム１０内での第３の通信例を示している。該第３通信例は、図５に示した第２通信例に対して相補的である。送信機Ｓは、キーｋ_２、ｋ_３により反復的に暗号化されたメッセージ４０に対応するような暗号化データ６２を送信する。前記と同様に、図６は、送信機Ｓから専ら受信機Ｒ１及びＲ４への安全なマルチキャストの一例を示している。

図４〜６には示されていないが、通常、暗号化されたメッセージは、該メッセージを解読するために何のキーが（順番が重要である場合は、何の順番で）必要であるかに関する情報を含むべきである。

４つの基本キーのみ及び４つの受信機のみによる図１の簡単な例を用いて上記に示したものは、一般的に真であり、多数の受信機を伴う筋書きにも容易に適用することができる。

各ケースにおいて、送信を受信するのを認可された或る数の受信機が存在し、残りの受信機は認可されていないであろう。これを表すために、全ての受信機の集合に対応する０又は１の何れかの数のリストであるような、加入ベクトル（joining vector）が定義される。該加入ベクトルは、認可された受信機に対して１のエントリを有し、認可されていない受信機に対して０のエントリを有する。図５の第１通信例の場合、該加入ベクトルは（０，１，１，０）である一方、図６による第２の例においては、該加入ベクトルは（１，０，０，１）であろう。

上述したように、伝送システムの構成に関する主要な問題は、選択される発行方法、即ち異なる基本キーの組み合わせを受信機間にどの様に分配するかである。

当該発行方法を支配する主なパラメータは、最大の受信機数Ｎ、各受信機により保持される基本キーの数ｍ及び利用可能な基本キーの合計数ｋである。

基本的に、受信機において利用可能な基本キーの数ｍは異なり得る。しかしながら、下記においては、ｍが全ての受信機に対して同一であるような発行方法のみが考察される。これらの発行方法の冗長性は、各受信機における基本キーの数が相違する場合の発行方法のものに対して、少なくとも等しいか、又は殆どの場合において一層良好であることを示すことができる。

実用的な用途に対する値ｍは一般的に小さく維持されるべきであることに注意すべきである。好ましいシステムは多数の受信機を含むので、対応する解読手段（解読ユニット３４）及びキー記憶手段（データベース１４.１、１４.２、１４.３、１４.４）は多数必要であり、従って、安価なハードウェアを使用することができることが好ましい。しかしながら、斯様な安価なハードウェアは多数のキーを記憶することはできないであろう。

先に示した図４、図５及び図６に関する通信例は、異なる加入ベクトルに対して安全なマルチキャストがどの様に達成され得るかを示している。これらの例では、全ての認可された受信機（加入ベクトルにおいて１なるエントリを伴う）に対してメッセージが１つの送信のみにおいて供給された。しかしながら、これは常に可能であるとは限らない。加入ベクトル及び発行方法に依存して、全ての認可された受信機に到達するために２つの送信が必要とされる、即ち、認可された受信機のうちの第１サブグルーブに到達するために第１の送信が、そして、残りの認可された受信機に到達するために第２の送信が必要とされるような状況が存在するであろう。同様に、３つ、４つ又はそれ以上の送信が必要とされ得る。最悪のケースでは、送信の数が受信機の数と等しくなり得る。勿論、多数の送信が必要である場合、当該伝送システムの全体的効率は低下される。

従って、必要な送信回数（ここでは、“冗長度”と呼ぶ）は、当該伝送システムの性能を規定する。前述したように、これは前記加入ベクトル及び発行方法に依存する。伝送システムの動作の間における加入行動は事前には分からず、殆どの場合は推計的にしか記述することができず、完全にランダムでさえあり得るので、良好な全体的性能を持つ発行方法を選択することが望ましい。発行方法の冗長度は、例えば、多数の又は全ての可能な２^Ｎの加入ベクトルに対する平均冗長度として測定することができる。冗長度は、最悪なケースとして、即ち大きなグルーブ又は全ての加入ベクトルに対する必要な送信の最大数として定義することもできる。

既述したように、異なる発行方法の評価のために、全ての可能な基本キーの部分組み合わせが確かに個々の受信機に割り当てられるなら、発行方法を網羅的と呼ぶ。従って、可能な組み合わせのうちの非常に小さな部分しか受信機キー集合として使用されないなら、発行方法を最小に網羅的と呼ぶ。中間の網羅的発行方法は、これら２つの極端の間であり、可能な組み合わせのうちの最小に網羅的なものより多くを使用するが、網羅的発行方法より少なくしか使用しない。発行方法の性能に関しては、中間の網羅的発行方法が、より低い冗長性を有す傾向にあることが分かった。

図７及び図８には、６個の受信機（Ｎ＝６）の場合の異なる発行方法に対する例が示されている。図７はｋ＝４の基本キーの四面的方法を示し、これらキーのうち、各受信機集合はｍ＝２を含んでいる。このように、図７の発行方法は最大に網羅的、

である。図８の六角的発行方法は、ｋ＝６の基本キーを有し、これらのうち、各受信機集合はｍ＝２を含んでいる。ここで、

であるので、実際に使用されるＮ＝６の組み合わせは、図８の該六角的発行方法を中間の網羅的なものとさせる（全組み合わせのうちの４０％のみが使用される）。

ここで、上述した発行方法を（１，０，１，１，０，１）なる加入ベクトルに関して考察する。明らかに、上記両方の場合において、メッセージを４つの全ての認可された受信機Ｒ１、Ｒ３、Ｒ４、Ｒ６に対して１つの送信のみで送信することはできない。代わりに、図７の四面的発行方法は４つの送信を必要とする：
到達される受信機 使用される基本キーの組み合わせ
Ｒ１ ｋ１，ｋ２
Ｒ３ ｋ１，ｋ４
Ｒ４ ｋ２，ｋ３
Ｒ６ ｋ３，ｋ４

このように、示された例では、加入ベクトルは与えられた発行方法に関してはあまりに不都合なので、メッセージは４つのユニキャスト送信で送信されねばならない。しかしながら、同じ加入ベクトルは、図８による発行方法では２つの送信しか必要としない：
到達される受信機 使用される基本キーの組み合わせ
Ｒ１，Ｒ６ ｋ１
Ｒ３，Ｒ４ ｋ４

図８の六角的方法に関しては最悪のケースの冗長度は３である、即ち最大で３回の送信が必要であることを示すことができる。このように、６個の受信機を持つ伝送システムにおいては、最悪のケースの冗長度を、２つの追加の基本キーを発行及び記憶することにより４から３に低減することができる。

一般的に、最適化された発行方法を見付けるために下記の方法を使用することができる。下記に示すアルゴリズムは、最適な又は準最適な解を見付けるべく、全ての可能な加入ベクトルに関して多数の発行方法の平均的及び／又は最悪のケースの冗長性を実際に評価する：
１．全Ｎ（受信機の数）、例えば１０〜１００に関して：
２．長さＮの全ての可能な発行方法のリストＬ_schemesを作成する、
３．Ｌ_schemes内の全発行方法に関して：
４．２^Ｎの全ての可能な加入ベクトルのリストＬ_joiningを作成する、
５．Ｌ_joiningにおける全加入ベクトルに関して：
６．現在の加入ベクトルに対する現在の発行方法の冗長度を決定する、
７．現在の発行方法の平均的及び／又は最悪のケースの冗長度を決定する、
８．平均的及び／又は最悪のケースの冗長度に関して、Ｌ_schemesから最良の発行方法を決定する。

上述したアルゴリズムを大きな範囲の長さＮに対して実行することは、計算的に非常に複雑な仕事となるであろうことに注意すべきである。しかしながら、当該最適化は、メッセージシステムを確立するのに先立ち１回だけ実行すればよい。リアルタイム要件は満たす必要がないので、上記最適化を実行するために充分な処理能力が利用可能であろう。

特別な類の発行方法は、グループ化された発行方法である。全体の受信機が受信機グループに分割される。各グループに対して、利用可能な基本キーの集合が存在する。異なるグループの基本キー集合は対的に互いに素である。

図９は、グループ化発行方法の一般例を示し、該例において各グループは或るサイズｇの受信機を有し、各受信機はｇ−１の基本キーを有する。受信機Ｒ１〜Ｒ_ｇを含むグループ９０ａに対しては、基本キーｋ_１〜ｋ_ｇが利用可能である。また、ｇ個の受信機Ｒ_ｇ＋１〜Ｒ_２ｇを含む第２グループ９０ｂに対しても、ｇ個の基本キーｋ_ｇ＋１〜ｋ_２ｇが利用可能である。

図９において、個々のグループ９０ａ、９０ｂ内の発行方法は同一であることに注意すべきである。このように、上記最適化アルゴリズムを実行する場合、或る数Ｎの受信機に対して見つかる好適な発行方法を、サイズＮのグループに対するグループ化発行方法において使用することができる。かくして、例えば１０，０００より多いような多数の受信機を伴う通信システムに対しては、上記アルゴリズムはＮ＝１０，０００で実行される必要はなく、斯かる１０，０００のユーザはグループサイズが１００の１００個のグループに分割することができ、Ｎ＝１００に対して上記アルゴリズムにより決定された最適化された発行方法を、これらグループの各々において使用することができる。

上述したように、暗号化に対してＲＳＡアルゴリズムを使用し、同一の基数ｎを共有するキーを使用することが、計算的に有利である。グループ化された発行方法においては、同一のグループ内のキーのみが同一の基数ｎを共有するのが好ましく、これは、潜在的な安全性の問題を低減すると共に、キーの発生を簡単化する。

意図する最大数の受信機Ｎ（又は対応するグループサイズ）に対する発行方法が決定され、必要な数の基本キーが発生された後、データ伝送システムは下記の方法で確立することができる。所定の受信機キー集合毎の３つの可能性のあるエントリ、即ち“活動状態”、“非活動状態”及び“不使用”を持つ状態リストが発生され、ここで、初期的には全ての値は“不使用”である。この状態リストは当該通信システムの全寿命期間にわたり維持され、対応する加入者の状態に関する情報を提供する。また、当該サービスから離脱したユーザに関する識別子のリスト（離脱リスト）も維持される。

ここで、個々の受信機が当該システムに加入する。受信機の加入に際して、当該受信機が離脱リスト内にあるかが、先ず決定される。これに当てはまる場合、該受信機は、以前に保持していた受信機キー集合を渡される。対応する状態タグは“非活動状態”から“活動状態”に変更される。当該加入する受信機が離脱リストに含まれていない場合は、“不使用”なる状態を持つ所定の（例えば、第１の）ユーザキー集合が当該ユーザに渡される。対応する状態タグは“活性状態”に設定される。

当該受信機が離脱した場合、状態は“活性状態”から“非活性状態”へ変更される。安全性の理由から、再加入する受信機に新たな受信機キー集合を送信することは防止されるべきである。受信機が以前のキー集合のコピーを維持することは排除することができないので、何回かの離脱及び再加入の後に、受信機は多数のキーを収集し得、これは少なくともかなりの期間の間に殆ど全ての送信を解読するのを可能にするかも知れない。

当該伝送システムの寿命がユーザの平均加入時間と較べて長い場合、システム管理者は後に利用可能なキー集合の空間が略尽きそうであることがわかり得る。この場合は、１以上の基本キーを交換することが提案される。交換された基本キーを含む受信機キー集合の全てに対して、対応する状態リストが“非活動状態”エントリを示す場合、該キーは単に送信機において交換することができる。しかしながら、現在“活動状態”のユーザが、交換されるべき基本キーの１つを保持する場合、新たに発生されたキーは、これらのユーザに対して前記暗号化アルゴリズムを使用することにより安全に分配することができ、その場合、新たな基本キーが暗号化されたメッセージである。加入時におけるユーザキー集合の初期送信とは異なり、交換された基本キーの送信は、別の安全なチャンネルを必要としない。

以下では、多数の受信機を伴うような通信システムに関しての幾つかの例を示す。

第１の例では、各受信機が１０個のキーを記憶する。合計で、１５の基本キーが利用可能である。これは、約３０００の可能性のある異なるキー組み合わせとなり、これら組み合わせのうちの１０００（３３％）のみが最大で１０００個の受信機をアドレス指定するために使用される。使用される個々の組み合わせ（発行方法）は、Ｎ＝１０００に対し前記アルゴリズムを使用して決定される。

第２の例では、受信機の全体が、最大で２００個の受信機のグループに分割される。受信機の合計数は無制限である。各受信機は、グループ当たり合計で１２の利用可能な基本キーのうちの８個のキーを保持する。最小の最悪のケースの冗長性に関して、中間の網羅的発行方法（使用される可能な４９５の組み合わせのうちの４０％）が決定される。

第３の例では、合計で３０の基本キーが利用可能であり、これら基本キーのうち、各受信機は１５を保持する。このように、非常に多数（１億５千５百万より多い）のキー組み合わせが利用可能であるので、中間の網羅的発行方法でも、多数の受信機をアドレス指定することができる。

以下においては、上述したデータ伝送システムの放送システムへの拡張を説明する。

図１０は、放送システム１００の一般構成を示している。該放送システム１００は放送送信機Ｓｂを有している。コンテンツ・ソース１０２は、コンテンツデータＦ１、Ｆ２、Ｆ３、…を放送送信機Ｓｂに連続して供給する。また、マルチキャストキー発生器１０４がマルチキャストキーｍ_１、ｍ_２、ｍ_３、…を連続して放送送信機Ｓｂに供給する。放送送信機Ｓｂは、図１１ａに示すようなスクランブル処理ユニット１１０を含んでいる。スクランブル処理ユニット１１０は、スクランブルキー（マルチキャストキー）ｍを使用して、入力されたコンテンツデータＦをスクランブル化コンテンツデータＦ’にスクランブル処理する。

放送送信機Ｓｂは、スクランブル化コンテンツデータを連続して放送する。供給されたコンテンツデータＦ１、Ｆ２、Ｆ３、…は、供給されたマルチキャストキーｍ_１、ｍ_２、ｍ_３、…を用いて連続的にスクランブル処理され、結果としてのスクランブル化コンテンツデータＦ１’、Ｆ２’、Ｆ３’、…が放送される。

上記スクランブル処理された放送データは、基本的に無制限な数の受信機により受信することができる。ここでも、放送媒体又はチャンネルはこれ以上考察されない。

放送システム１００は更に送信機Ｓを有し、該送信機Ｓは、図１による通信システムの送信機Ｓと同一であると共に、同図に関連して説明した複数の基本キーを保持している。送信機Ｓも、キー発生ユニット１０４からマルチキャストキーｍ_１、ｍ_２、ｍ_３、…を連続して入力する。送信機Ｓは、認可された及び認可されていない受信機についての情報を持つ記憶手段を含んでいるか又は斯かる記憶手段に関連している。送信機Ｓは、実際のマルチキャストキーｍ_１、ｍ_２、ｍ_３、…を基本キーの選択された組み合わせを反復的に用いて連続して暗号化し、この様にして暗号化されたキー情報を暗号化メッセージ１０６として放送する。

該放送システムは更に４つの受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４を含んでいる。一方において、これらの受信機は図１による通信システム１０におけるものと対応し、反復暗号化ユニット２４及びキーデータベース１４を含む。基本キーの斯かる受信機間での分配は、図１に示したのと同じである。他方において、受信機Ｒ１、Ｒ２、Ｒ３、Ｒ４は、各々、スクランブル解除ユニット１１２及びマルチキャストキー記憶部１１４を含んでいる。

図１１ｂは、スクランブル処理されたコンテンツデータＦ’を処理するスクランブル解除ユニット１１２を示している。データＦ’はマルチキャストキー記憶部１１４から取り出されたマルチキャストキーｍを用いてスクランブル解除され、平文データＦを再生する。送信機におけるスクランブルユニット１１０及び受信機のスクランブル解除ユニット１１２は互いに逆に動作する。斯かるスクランブル及びスクランブル解除処理に対しては、一般的に、如何なるタイプの暗号化方法も使用することができる。高速ブロック暗号法（fast block cipher）を使用するのが好ましい。

次に、上記放送システム１００の動作を説明する。放送システム１００は、例えば有料ＴＶシステムとすることができ、その場合、ＴＶコンテンツはスクランブル処理された形で連続して放送され、加入しているユーザ（認可された受信機）のみが該コンテンツを見ることができるべきである。当該システムは高度に動的であるように構成されているので、例えば有料番組視聴（pay-per-view）が可能である。従って、スクランブルキー（マルチキャストキー）は時間にわたり極めて頻繁に（例えば、毎分）変更される。

ソース１０２から供給された実際のＴＶコンテンツデータＦ１、Ｆ２、Ｆ３、…は、異なる時点で有効なマルチキャストキーを使用して連続的に暗号化される。図１２は、変化するマルチキャストキーｍ_１、ｍ_２、ｍ_３、…により連続的にスクランブル処理されるコンテンツデータの記号的表現を示す。

放送送信機Ｓｂのスクランブル処理された放送と並行して、送信機Ｓは何れかの所与の時点で有効なマルチキャストキーを認可された受信機に対して連続的に分配する。

図１０の例においては、受信機Ｒ２及びＲ３のみが認可され、受信機Ｒ１及びＲ４は認可されていない。キー発生器１０４は、マルチキャストキーｍ_１を発生し、該キーを放送送信機Ｓｂ及び送信機Ｓの両方に供給する。送信機Ｓはマルチキャストキーｍ_１を基本キーｋ_１、ｋ_４により暗号化し、対応する暗号化メッセージ１０６を全受信機に送信する。選択された基本キーの組み合わせにより、認可された受信機Ｒ２及びＲ３のみが該メッセージを解読し、マルチキャストキーｍ_１を受信することができる。受信機Ｒ２及びＲ３は、自身のキー記憶部１１４.２、１１４.３にマルチキャストキーｍ_１を各々記憶する。受信機Ｒ１及びＲ４は暗号化メッセージ１０６を解読することができないので、これら受信機の各キー記憶部１１４.１、１１４.４は有効なマルチキャストキーｍ_１を含むことはない。

放送送信機Ｓｂは、並行して、現在の番組作品Ｆ１を現在のマルチキャストキーｍ_１でスクランブル処理し、該スクランブル処理されたコンテンツデータＦ１’を全受信機に放送する。受信機Ｒ１〜Ｒ４の全てが該暗号化データを受信するが、認可された受信機Ｒ２、Ｒ３のみが現在のマルチキャストキーｍ_１を事前に獲得しているので、これら受信機は上記メッセージＦ１’をスクランブル解除して現在のＴＶ作品Ｆ１を取り出すことができる。

上述した動作は、連続する作品Ｆ１、Ｆ２，Ｆ３、…及び連続的に変化するマルチキャストキーｍ_１、ｍ_２、ｍ_３、…に対しても連続して繰り返される。加入者が変化した場合（例えば、受信機Ｒ３が作品Ｆ３を視聴契約しない場合）、送信機Ｓは通知され、それに対応してマルチキャストキーｍ_３の暗号化が変更される。示された例においては、送信機Ｓはマルチキャストキーｍ_３を基本キーｋ_１、ｋ_３、ｋ_４で反復的に暗号化するので、視聴契約した受信機Ｒ２のみがマルチキャストキーｍ_３を受信し、結果として作品Ｆ３をスクランブル解除することができる。

図１０の例においては、放送送信機Ｓｂ及び送信機Ｓは別個の主体として示されているが、これら送信機は実際には組み合わすことができることに注意されたい。特に、暗号化されたキーデータ１０６及びスクランブル処理されたコンテンツデータＦ’は、同じチャンネル上で同様の方法で送信することができ、好ましくは単一のデータストリームとして一緒に結合することができる。

上記説明は、通信システム、これらシステム内での通信、発行方法、通信方法、動作方法、並びに放送システム及び方法の例を示したが、これら例は単に解説目的で選択されたもので、本発明の範囲を限定するものと見なしてはならない。上述したシステム及び方法の多数の変形例及び拡張例が可能である。

図１は、本発明による伝送システムの一実施例の概念図を示す。 図２ａは、反復暗号化手段を備える、図１に示したシステムにおける送信機の概念図である。 図２ｂは、反復暗号化のステップを概念的に示す。 図３ａは、解読システムを備える、図１の受信機の概念図を示す。 図３ｂは、反復解読のステップを概念的に示す。 図４は、ユニキャスト通信による第１通信例を概念的に示す。 図５は、第１グループの受信機に対するマルチキャスト通信による第２通信例を概念的に示す。 図６は、第２グループの受信機に対するマルチキャスト通信による第３通信例を概念的に示す。 図７は、第１発行方法を用いたテーブルを示す。 図８は、第２発行方法を用いたテーブルを示す。 図９は、第３のグループ化された発行方法を用いたテーブルを示す。 図１０は、放送システムの一実施例を示す。 図１１ａは、スクランブル処理システムの概念図を示す。 図１１ｂは、スクランブル解除システムの概念図を示す。 図１２は、一連のスクランブルされたコンテンツ断片を示す。

Claims (15)

1. − 送信機と、
   − 少なくとも第１及び第２受信機と、
   を備える選択的データ伝送のためのシステムにおいて、
   − 前記送信機と組み合わされた暗号化手段であって、複数の基本キーを有するような暗号化手段と、
   − 前記送信機から前記受信機へ暗号化データを送信するための伝送チャンネルと、
   − 前記受信機の各々に組み合わされた解読手段であって、各々がキーの受信機集合を有し、キーの各受信機集合が前記基本キーの部分集合であるような解読手段と、
   を備え、
   − 少なくとも前記第２受信機に対するデータの送信のために、前記暗号化手段は前記データを少なくとも２つの基本キーにより反復的に暗号化するように構成され、これらキーは該第２受信機の前記受信機集合に含まれ、これらキーの少なくとも１つは前記第１受信機の前記受信機集合には含まれず、
   − 前記第２受信機の前記解読手段は前記データを前記少なくとも基本キーにより反復的に解読するよう構成されている、
   ことを特徴とするシステム。
2. 請求項１に記載のシステムにおいて、
   − 当該システムは、前記基本キーの部分集合であるようなキーの受信機集合を有する解読手段を備える第３受信機を更に有し、
   − 前記第１、第２及び第３受信機の前記受信機集合は対的に相違し、
   − 前記第２受信機の前記受信機集合と前記第３受信機の前記受信機集合とは少なくとも２つの共通基本キーを有し、これら少なくとも２つの共通基本キーのうちの少なくとも１つは前記第１受信機の前記受信機集合に含まれず、
   − 前記第２受信機及び前記第３受信機を少なくとも有するグループにデータを送信するために、前記暗号化手段は前記データを少なくとも前記２つの共通基本キーにより反復的に暗号化するように構成され、
   − 前記第２及び第３受信機の前記解読手段は、各々、前記データを少なくとも前記２つの共通基本キーにより反復的に解読するように構成されている、
   ことを特徴とするシステム。
3. 請求項１又は請求項２に記載の選択的データ伝送のためのシステムにおいて、
   − 各々がキーの受信機集合を有する関連する解読手段を備えるような複数の受信機であって、これら受信機集合が対的に相違するような複数の受信機、
   を備え、
   − これら受信機のうちの認可されたグループは前記データを受信することを許可され、
   − 前記認可されたグループの受信機に前記データを送信するために、前記暗号化手段は前記データを複数の基本キーにより反復的に暗号化するように構成され、これら基本キーの全てが前記認可されたグループの受信機の前記受信機集合に含まれ、前記認可されたグループに属さない各受信機に対しては、これら基本キーの少なくとも１つが対応する受信機集合に含まれず、
   − 前記認可されたグループの受信機の前記解読手段は、前記データを前記複数の基本キーにより反復的に解読するように構成されている、
   ことを特徴とするシステム。
4. 請求項３に記載のシステムにおいて、
   − 受信機の前記認可されたグループは、少なくとも２つのサブグループに分割され、
   − 前記認可されたグループの受信機に対して前記データを送信するために、前記データは少なくとも２回の送信でこれら受信機に送信され、これら送信の各々において前記データは異なる集合の基本キーにより反復的に暗号化され、これら基本キーの全てが、対応するサブグループの受信機の前記受信機集合に含まれる、
   ことを特徴とするシステム。
5. 請求項１ないし４の何れか一項に記載のシステムにおいて、
   − 前記暗号化手段は、複数の暗号化ステップにより反復的に暗号化するように構成され、各暗号化ステップにおいては１つのデータが基本キーにより暗号化されて、暗号化されたデータを算出し、
   − 前記暗号化ステップの各々は、前記基本キーに関連するキー数による少なくとも１つの指数化の計算を含み、
   − 前記暗号化手段は、複数の基本キーを用いて前記暗号化ステップを、これら基本キーに関連するキー数を乗算し、該乗算の結果により指数化を計算することにより、反復的に適用するように構成されている、
   ことを特徴とするシステム。
6. 請求項１ないし５の何れか一項に記載のシステムにおいて、
   − 複数の受信機、
   を備え、
   − これら受信機は複数のグループに分割され、
   − これらグループの各々に対して、前記暗号化手段は基本キーのグループ集合を有し、これらグループ集合は対的に互いに相違し、
   − 前記受信機の各々の前記解読手段はキーの受信機集合を有し、該受信機集合は当該受信機がメンバであるグループの前記グループ集合の部分集合である、
   ことを特徴とするシステム。
7. 請求項１ないし６の何れか一項に記載のシステムにおいて、
   − 複数の受信機であって、これら受信機の各々に組み合わされた解読手段を備え、これら解読手段がキーの受信機集合を各々有し、これらキーの受信機集合の各々が前記基本キーの部分集合であるような複数の受信機、
   を備え、
   − 前記キーの受信機集合の各々が、同数の基本キーを有する、
   ことを特徴とするシステム。
8. 請求項１ないし７の何れか一項に記載のシステムにおいて、
   − 複数の受信機と、
   − 前記送信機と組み合わされた記憶手段であって、前記複数の受信機のうちの第１の認可された受信機のグループに関する及び／又は前記複数の受信機のうちの第２の認可されていない受信機のグループに関する情報を記憶するような記憶手段と、
   を備え、
   − 前記送信機はメッセージ送信を制御するための分配制御手段を有し、該分配制御手段は前記基本キーの１以上の組み合わせを、前記組み合わせにより反復的に暗号化されたメッセージが前記第１グループに属する前記受信機においてのみ解読可能であり、前記第２グループに属する前記受信機においては解読可能でないように、決定するように構成されている、
   ことを特徴とするシステム。
9. 請求項１ないし８の何れか一項に記載のシステムにおいて、
   − ｋ個の基本キーと、
   − Ｎ個の受信機であって、これら受信機の各々に組み合わされた解読手段を備え、これら解読手段がキーの受信機集合を各々有し、キーの各受信機集合が前記基本キーの部分集合であるようなＮ個の受信機と、
   を備え、
   − キーの各受信機集合は前記基本キーのうちのｍ個を含み、
   −
   

   

   がＮより大幅に大きい、
   ことを特徴とするシステム。
10. 請求項１ないし９の何れか一項に記載のシステムにおいて使用する送信機において、
    − 複数の基本キーを有する暗号化手段であって、これら基本キーのうちの少なくとも２つによりデータを反復的に暗号化するように構成された暗号化手段と、
    − 伝送チャンネルを介して前記暗号化されたデータを送信する送信手段と、
    を備えることを特徴とする送信機。
11. 請求項１ないし９の何れか一項に記載のシステムにおいて使用する受信機において、
    − 伝送チャンネルの暗号化されたデータを受信する受信手段と、
    − キーの受信機集合を有する解読手段と、
    を備え、
    − 前記解読手段が、前記暗号化されたデータを前記キーのうちの少なくとも２つにより反復的に解読するように構成されている、
    ことを特徴とする受信機。
12. 放送システムであって、
    − コンテンツをスクランブルキーによりスクランブル処理するスクランブル手段と、
    − 前記スクランブル処理されたコンテンツを、チャンネルを介して放送する放送送信機と、
    を備え、
    − 当該放送システムは、前記スクランブルキーを選択的に伝送する送信機及び受信機を備える請求項１ないし９の何れか一項に記載の選択的データ伝送のためのシステムを更に有し、
    − 前記受信機が、前記スクランブルキーにより前記スクランブル処理されたコンテンツをスクランブル解除するスクランブル解除手段を各々有している、
    ことを特徴とする放送システム。
13. 選択的データ伝送のための方法において、暗号化されたデータが、
    − 複数の基本キーを有する送信機から、
    − 少なくとも第１及び第２受信機であって、各受信機がキーの受信機集合を有し、キーの各受信機集合が前記基本キーの部分集合であるような少なくとも第１及び第２受信機に、
    送信され、
    − 前記第２受信機へのデータの選択的送信のために、当該方法が、
    − 前記送信機において前記データを少なくとも２つのキーにより反復的に暗号化するステップであって、これらキーが前記第２受信機の前記受信機集合に含まれ、これらキーのうちの少なくとも１つが前記第１受信機の前記受信機集合に含まれていないようなステップと、
    − 前記暗号化されたデータを、伝送チャンネルを介して送信するステップと、
    − 前記第２受信機において、前記暗号化されたデータを前記少なくとも２つのキーにより反復的に解読するステップと、
    を有することを特徴とする方法。
14. 請求項１３に記載の方法において、該方法が、
    − 交換すべき少なくとも１つの基本キーを決定するステップと、
    − 少なくとも１つの新しい基本キーを発生するステップと、
    − 前記新しい基本キーを複数の基本キーにより反復的に暗号化し、該暗号化されたキーを複数の受信機に送信するステップと、
    を有することを特徴とする方法。
15. 送信機と複数の受信機とを含むシステムを動作させる方法において、
    − 複数の基本キーを複数の受信機に対して発行する発行方法を決定するステップであって、これら受信機の各々が前記基本キーのうちの複数を保持するようなステップと、
    − 前記基本キーを発生するステップと、
    − 前記受信機の加入に際して、前記基本キーを前記受信機に前記予め決定された発行方法に従って分配するステップと、
    を有することを特徴とする方法。

Images