JP2007528170A - スマートカード動的管理 - Google Patents

Abstract

【課題】携帯セキュリティモジュールと解読要素とがクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にし、解読要素の使用のための携帯セキュリティモジュールを保護するための方法を提供する。
【解決手段】命令メッセージのシーケンスを携帯セキュリティモジュールで解析し、シーケンスの命令メッセージが異なった時間に受信される。
【選択図】図３

Description

本発明はスクランブルをかけられた視聴覚情報のスクランブルを解くために適用される携帯セキュリティモジュールに関する。

背景技術及び発明が解決しようとする課題

スクランブルをかけられた視聴覚情報が、次のテレビ番組のためにスクランブルをかけられた視聴覚情報のスクランブルを解くことができるデコーダ又はレシーバ／デコーダを所有している多くの加入者へ地上波のエミッタ又は衛星又はケーブルネットワークを通す通常放送である場合に、暗号化されたデータの伝達は、有料テレビシステムの分野でよく知られている。

代表的なシステムにおいて、スクランブルをかけられた視聴覚情報は、制御言語を用いてスクランブルを解かれる。システムのセキュリティを導入しようとするため、制御言語は１０秒毎或いはそれ以上で通常変えられる。１０秒毎で、それぞれの加入者が受信し、ＥＣＭ（ライセンス制御メッセージ）において、制御言語が伝達表示を受け入れるためにスクランブルをかけられた視聴覚情報のスクランブルを解く必要がある。

制御言語自体は、開発キーにより暗号化されＥＣＭにおいて暗号化された形態で伝達される。スクランブルをかけられた視聴覚情報と暗号化された制御言語とは、契約者の場合、デコーダに挿入された、例えばスマートカードのような携帯セキュリティモジュールに保存された開発キーを利用できるデコーダにより受信される。暗号化された制御言語はスマートカードにより開発キーを使用して解読される。スマートカードは制御言語をデコーダへ伝達する。スクランブルをかけられた視聴覚情報はデコーダにより解読された制御言語を使用してスクランブルを解かれる。デコーダは、実際には、スクランブルをかけられた視聴覚情報のリアルタイムスクランブル解析を提供するに十分効果的である。

開発キーはそれ自体定期的に例えば毎月ほど変化される。ＥＭＭ（ライセンス管理メッセージ）は、デコーダにより月１回受信されてスマートカードにおいて伝達される。ＥＭＭはエンコードされた形態の開発キーを含む。スマートカードを割り当てられたグループキーはエンコードされた開発キーを解読できる。

従って、デコーダはスマートカードへコマンドメッセージを定期的に送信する。

コマンドメッセージはＥＣＭであるかもしれない、すなわち、デコーダは、暗号化された形態の制御言語をスマートカードへ伝達する。スマートカードは開発キーを使い制御言語を解読する。制御言語の伝達は実際１０秒ごとに起こる。

視聴者が第一チャンネルから第二チャンネルへチャンネル変える場合、デコーダは、暗号化された形態の第一制御言語の伝達の後に暗号化された形態の第二制御言語をスマートカードへ伝達する。第一制御言語と第二制御言語とは、第一チャンネルと第二チャンネルとに比較的一致する。従って、スマートカードはチャンネルのザッピングのせいで１０秒毎よりもっと頻繁にライセンス制御メッセージを受信することとなる。

コマンドメッセージはＥＭＭでもあるかもしれない、すなわち、デコーダは暗号化された形態の開発キー、又はデコーダからのその他のコマンドメッセージをスマートカードへ伝達する。

図１は従来技術によりスマートカードを図式的に示す。スマートカード１１は、例えばデコーダ（図示しない）からのライセンス制御メッセージＥＣＭｎのようなメッセージの受信により起動され、デコーダはマスターとして、スマートカードはスレーブとして役割を果たす。スマートカードの演算処理装置１２はデコーダより受信された命令メッセージのみを実行する。スマートカード１１は、パラメータが格納される、例えば電気的消去可能ロム１３のようなパラメータメモリを含む。演算処理装置１２は、エラー１３の中へ格納されたパラメータが正しいことを確認する。パラメータは、例えば受信されるライセンス制御メッセージの大きさである。演算処理装置は、受信されるライセンス制御メッセージＥＣＭｎに含まれた暗号化された制御言語を解読する前に、受信されるライセンス制御メッセージＥＣＭｎが適当なサイズを有するということを確認することとなる。

スマートカードは、単一のデコーダと共に伝達することを一般的に目的とする。しかしながら、不正ユーザーは、単一のスマートカードと複数個のデコーダとの間のサーバーにセットアップしようと試みるかもしれない。サーバーは、例えば、電気ワイヤを経由して直接的に複数個のデコーダに伝達するスプリッタである。サーバーは、例えばインターネットネットワークのようなネットワークを経由して複数個のデコーダに伝達する制御言語サーバーでもある。

図２は、従来技術によるスプリッタ構成の例を図式的に示す。

第一デコーダ２４Ａは、第一チャンネルに対応する第一スクランブルをかけられた視聴覚情報Ｅｃｗ１（ｍ１）を連続的に受信する。第二デコーダ２４Ｂは、第一チャンネルに対応する第二スクランブルをかけられた視聴覚情報Ｅｃｗ２（ｍ２）を連続的に受信する。第一デコーダ２４Ａ及び第二デコーダ２４Ｂは、第一スクランブルをかけられた視聴覚情報Ｅｃｗ１（ｍ１）と第二スクランブルをかけられた情報Ｅｃｗ２（ｍ２）とのリアルタイムスクランブル解析を個々に提供することを可能とする。

第一スクランブルをかけられた視聴覚情報Ｅｃｗ１（ｍ１）と第二にスクランブルをかけられた情報Ｅｃｗ２（ｍ２）とは、第一デコーダ２４Ａの第一メモリ２５Ａに格納された第一制御言語ＣＷ１と第二デコーダ２４Ｂの第二メモリ２５Ｂに格納された第二制御言語ＣＷ２とを用いながら個々にスクランブル解析される。

それぞれの暗号時間で、言い換えれば例えば１０秒ごとに、第一デコーダ２４Ａと第二デコーダ２４Ｂとは、第一ライセンス制御メッセージＥＣＭ１と第二ライセンス制御メッセージＥＣＭ２とをそれぞれ受信する。

スプリッタ構成において、第一デコーダ２４Ａと第二デコーダ２４Ｂとは、暗号時間の間に第一ライセンス制御メッセージＥＣＭ１と第二ライセンス制御メッセージＥＣＭ２とを、例えばスプリッタ２２のような単一のサーバーへそれぞれ伝達する。

スプリッタ２２は、例えばＥＣＭ１のような伝達されたライセンス制御メッセージのひとつを例えばスマートカード２１のような単一の形態セキュリティモジュールへ転送する。スマートカードメモリ２６の中へ格納された開発キーを用いながら、スマートカードは、転送されたライセンス制御メッセージ（ＥＣＭ１）の受信を受けた上で例えばＣＷ１のような対応する制御言語を解読する。対応する制御言語ＣＷ１はスプリッタ２２へ伝達される。一旦、スプリッタ２２が伝達された制御言語ＥＣＷ１を受信すると、スプリッタ２２は、例えばＣＷ２のような伝達されたライセンス制御メッセージの間の異なるライセンス制御メッセージをスマートカード２１へ転送する。スマートカードは、転送されたライセンス制御メッセージ（ＥＣＭ２）の受信を受けた上で例えばＣＷ２のような対応する制御言語を解読する。対応する制御言語ＣＷ２はスプリッタ２２へ伝達される。

スプリッタ２２は解読された制御言語ＣＷ１へ転送し、ＣＷ２は第一デコーダ２４Ａと第二デコーダ２４Ｂとへそれぞれ転送する。

サーバーは、単一のスマートカードを有するスクランブルをかけられた視聴覚情報のスクランブルを解くために複数個のデコーダを許可する。

つまり、契約者は例えばスマートカードのような単一の携帯セキュリティモジュールを一般的に備える。しかしながら、例えばスプリッタ又は制御言語サーバーのような不正なユーザーのセットアップに対する記述のようにサーバーは、単一のスマートカードを有するスクランブルをかけられた視聴覚情報のスクランブルを解くために複数個のデコーダを許可する。従って、契約者は、どんなスマートカードも所有しない一つ或いはそれ以上の非認定ユーザーに対して契約者に解読された視聴覚情報へのアクセスを提供することができる。

スプリッタ構成においてサーバーの使用をブロックする方法が必要である。しかしながら、スマートカードで直接的に伝達するデコーダを所有する通常契約者は問題に遭遇するべきではない。

第一手段は、スローイングソフトウェアがそれぞれのスマートカードの演算処理を低下させるようなスローイングソフトウェアをスマートカードの中へ導入することを含む。従って、スマートカードは、例えば１０秒の暗号時間の間で複数の制御言語を解読することができない。

第二手段は、例えば３秒毎のような短い暗号化時間でライセンス制御メッセージを発令することを含む。

第一手段と第二手段の両方は、暗号化時間毎に単一のＥＣＭを演算処理することを制限させる。結果として、サーバーは複数個のデコーダと単一のスマートカードとの間で通信を同期することが一般的にできない。単一のデコーダのみが単一のスマートカードで正確に機能することとなる。

しかしながら、単一のデコーダを所有する通常の契約者が比較的高いザッピング率でひとつのチャンネルから他のチャンネルへチャンネルを変えるならば、暗号化時間毎の複数個の受信されたＥＣＭを解読することにもスマートカードは失敗することとなる。従って、通常の契約者は、さまざまに提供された視聴覚情報の間でザッピングをできなくなる。実際、通常の契約者のスクリーンは、加入者が通常の契約者であれば、ザッピングアクションで何も見えなくなるかもしれない。

第一の特徴として、本発明は、携帯セキュリティモジュールと解読要素とがスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にする解読要素の使用のための携帯セキュリティモジュールを保護ための方法を提供する。該方法は、スクランブルをかけられた視聴覚情報のスクランブル解析を可能するために携帯セキュリティモジュールで受信されたライセンス制御メッセージ（ＥＣＭ）を携帯セキュリティモジュールで演算処理することを含む。該方法は、ＥＣＭのシーケンスを携帯セキュリティモジュールで解析し、ＥＣＭのシーケンスが新しいＥＣＭと前回受信された前ＥＣＭとを含み、シーケンスのＥＣＭが異なった時間に受信され、解析が新しいＥＣＭの受信により実行される。エラーレジスタは、決められた解析結果上で解析することでインクリメントして、演算処理を低下させるために演算処理での不感時間を導入することによりエラーレジスタの値に依存している携帯セキュリティモジュールにペナルティを適用する。

好適な第一実施形態において、ＥＣＭがライセンス管理メッセージ（ＥＭＭ）に置換される。

好適な第二実施形態において、不感時間がエラーレジスタの値に依存する継続時間を有する。

好適な第三実施形態において、不感時間の継続時間は最高時間値より短い。最高時間値は単一の暗号化時間の間で携帯セキュリティモジュールが複数のライセンス制御メッセージを演算処理することを回避するために十分高い。

好適な第四実施形態において、ライセンス制御メッセージそれぞれは、チャンネル識別子を含む。チャンネル識別子は決定チャンネルと関連付けられている。ＥＣＭのシーケンス解析は、新しいＥＣＭのチャンネル識別子と前ＥＣＭのチャンネル識別子とを比較することを含む。

好適な第五実施形態において、ライセンス制御メッセージそれぞれは第一暗号化制御言語と第二暗号化制御言語とを含む。第一制御言語が、第一暗号化時間の間にスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にし、第二制御言語が、第一暗号化時間とは異なる第二暗号化時間の間にスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にする。ＥＣＭのシーケンス解析は、前ＥＣＭの第二制御言語５３ｎを新しいＥＣＭ５４ｎ＋１の第一制御言語５２ｎと比較することを含む。

好適な第六実施形態において、ＥＣＭのシーケンス解析は、ＥＣＭのシーケンスの第一ＥＣＭの決定内容をＥＣＭのシーケンスの第二ＥＣＭの第二決定内容と比較することを含む。

好適な第七実施形態において、リセット不感時間は、ライセンス制御メッセージのそれぞれの演算処理でリセットにおいて導入される。該リセット不感時間は、リセット後に携帯セキュリティモジュールで受信された多くのライセンス制御メッセージに依存する継続時間を有する。継続時間は、リセットに即座に続く第一演算処理で第一リセット時間値と等しい。第一リセット時間値は最大時間値より小さい。

好適な第八実施形態において、更なるリセットの種類は中間命令メッセージの中間グループによりを判断される。中間グループが更なるリセットに先行する前リセットの後に受信されたＥＣＭを更に含む。

好適な第九実施形態において、中間ＥＣＭの数をカウントされる。比較結果は更なるリセットの種類を判断可能にする。該中間ＥＣＭの数がリセット限界数と比較される。更なるリセットが間違って判断されれば、リセットエラーレジスタが更なるリセットの後にインクリメントされる。リセットエラーレジスタがリセットエラー閾値より高い値を有するならば、携帯セキュリティモジュールはブロックされる。

好適には、携帯セキュリティモジュールはスマートカードであり、解読要素はデコーダーである。

第二の特徴として、本発明は、携帯セキュリティモジュールと解読要素とがスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にする解読要素の使用のための携帯セキュリティモジュールを提供する。携帯セキュリティモジュールは、ライセンス制御メッセージ（ＥＣＭ）を受信するための受信手段と、スクランブルをかけられた視聴覚情報のスクランブル解析を可能にするために携帯セキュリティモジュールで受信されたＥＣＭを演算処理するための演算処理手段とを含む。該携帯セキュリティモジュールは、前回受信した中へ前ＥＣＭに命令メッセージメモリが格納されることとなり、ＥＣＭのシーケンスを解析するためで、ＥＣＭのシーケンスが新しいＥＣＭと前ＥＣＭとを含み、シーケンスのＥＣＭが異なった時間に携帯セキュリティモジュールで受信され、そして解析が新しいＥＣＭのそれぞれの受信で実行されている解析手段をさらに含む。該携帯セキュリティモジュールは、ＥＣＭシーケンスの新しいＥＣＭ及び前ＥＣＭを比較するための比較手段と、エラーレジスタと、比較結果に依存しているエラーレジスタをインクリメントするためのインクリメント手段と、演算処理を低下させるためにそれぞれの演算処理で不感時間を導入するための遅延手段とを更に含む。

好適な第十実施形態において、遅延手段がリセットに続くそれぞれの演算処理でリセット不感時間を導入することをリセットの後にも可能とする。リセット不感時間はリセットに続く多くの演算処理に依存する継続時間を有する。継続時間はリセットに即座に続く第一演算処理で第一リセット時間値と等しい。

好適な第十一実施形態において、携帯セキュリティモジュールは、多くの中間ＥＣＭを格納することを可能しているカウンタレジスタを更に含む。中間ＥＣＭは前リセットの後に携帯セキュリティモジュールで受信される。該携帯セキュリティモジュールはフラグを更に含む。フラグは、リセット限界数に対するカウンタレジスタの比較結果に依存する値を有する。リセットエラーレジスタは更なるリセットの後にフラグの値に依存してインクリメントされる。ブロック手段はリセットエラーレジスタの値により携帯セキュリティモジュールをブロックすることを可能にする。

好適な第十二実施形態において、ＥＣＭがライセンス管理メッセージ（ＥＭＭ）に置換される。

第三の特徴として、本発明は、携帯セキュリティモジュールと共に使用するためのソフトウェアを提供する。ソフトフェアは本発明による方法を導入ことを可能とする。

第三の特徴として、本発明は、携帯セキュリティモジュールを保護するための方法を提供する。方法は、製造で本発明の第三の特徴によるソフトウェアをダウンロードすることを含む。

第三の特徴として、本発明は、携帯セキュリティモジュールを保護するための方法を提供する。方法は、本発明の第三の特徴によるソフトウェアをダウンロードすることを含む。ダウンロードは、解読要素から少なくともひとつの構成メッセージを携帯セキュリティモジュールで受信することを含む。

本発明の他の特徴及び利益は、次の発明の詳細及び添付された特許請求の範囲により明らかにされる。

図３は、本発明による携帯セキュリティモジュールの一例を示す。例えばスマートカードのような携帯セキュリティモジュール３１は、例えばデコーダのような解読機器（図示しない）と用いられるために発明される。携帯セキュリティモジュールと解読機器とはスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にする。携帯セキュリティモジュール３１は、例えばライセンス制御メッセージのような複数個の情報を受信する。携帯セキュリティモジュールは、デコーダへ送信されるための制御言語ＣＷｎ＋１を展開するためにそれぞれ受信されたライセンス制御メッセージＥＣＭｎ＋１を演算処理することを可能にする。

従来技術の携帯セキュリティモジュール同様、本発明によるスマートカード３１は、携帯セキュリティモジュールで受信されたライセンス制御メッセージ又は他のメッセージだけを演算処理する演算処理ユニット３２を備える。携帯セキュリティモジュール３１は、パラメータが格納された、例えば電気的消去可能ロム３３のようなパラメータメモリを含む。処理ユニット３２は、電気的消去可能ロム３３の中へ格納されたパラメータが正確であることを確認する。

本発明の携帯セキュリティモジュール３１は、一連の命令メッセージ（CMｎ＋１、CMｎ）を解析するための解析手段３５を含む。シーケンス（CMｎ＋１、CMｎ）の命令メッセージは、異なった時間に携帯セキュリティモジュール３１で受け取られる。

一般的に、新しい命令メッセージCMｎ＋１が受信されるときはいつでも、解析は形成される。命令メッセージのシーケンスは、新しい命令メッセージCMｎ＋１と、新しい命令メッセージＣＭｎ＋１の前に例えば即座に受信される命令メッセージＣＭnとを含む。命令メッセージのシーケンスは、少なくともひとつ以上の命令メッセージをさらに含むことになる。

解析は、命令メッセージ（CMｎ＋１、CMｎ）のシーケンスの命令メッセージの決定内容を比較することを含む。エラーレジスタ３７は、比較する決定結果の上でインクリメントされる。

従って、本発明のスマートカードは、新しい命令メッセージＣＭｎ＋１の前に受信される命令メッセージと展開された情報が比較されていることで、例えばエラーレジスタ３７の値のような情報を展開することが可能である。ペナルティは、エラーレジスタ３７の値に依存しているスマートカード３１へ適用されるかもしれない。本発明によるそのような手段は、第一手段及び第二手段とは異なり、比較的高いザッピング率でひとつのチャンネルから他へチャンネルを変える単一のデコーダを所有している通常の契約者に悪影響をもたらすことを回避することができる。

スマートカード３１は、連続して受け取られたメッセージの間の少なくともひとつの命令メッセージが格納される命令メッセージメモリ３６を更に備える。

また、命令メッセージメモリは、例えば解析手段の一部であり、一般的に、命令メッセージメモリは解析手段又はその他の演算処理手段の単一のレジスタである。

解析手段３５は、図３で示されるような演算処理ユニット３２とは異なるハードウェアデバイスであるかもしれない。できるだけ、解析手段は、スマートカードの中へ備えられる解析ソフトウェアである。中央演算処理ユニットは演算処理ソフトウェアと解析ソフトウェアとを備える。

図４は、本発明のスマートカードによって実行されるアルゴリズムの一例を示す。スマートカードはメッセージを受信する。受信されたメッセージは、例えばＥＣＭ又はＥＭＭ又はその他の決定メッセージのような命令メッセージである。新しい命令メッセージＣＭｎ＋１が受信されると（箱４０１）、命令メッセージのシーケンス解析が形成される。一般的に、新しい命令メッセージＣＭｎ＋１は、その時以前に受信された前の命令メッセージＣＭｎと比較される（箱４０２）。新しい命令メッセージＣＭｎ＋１と前の命令メッセージＣＭｎとの比較は、例えば識別子のようなそれぞれの命令メッセージ（ＣＭｎ＋１、ＣＭｎ）の決定部分を含む。その比較は、例えばスマートカードにより解読される制御言語ようなそれぞれの命令メッセージ（ＣＭｎ、ＣＭｎ＋１）の展開された情報を比較することも含む。

エラーレジスタ ｅｒｒｏｒ＿ｒｅｇは、比較結果によりインクリメントされる（箱４０３）。アルゴリズムは、スマートカードに受信されたライセンス制御メッセージのそれぞれの演算処理に不感時間τを導入することを更に含む（箱４０４）。そのような不感時間ペナルティは、スマートカードを低下されることになる。本発明の手段において、不感時間τは、エラーレジスタ ｅｒｒｏｒ＿ｒｅｇの値に依存する継続時間を有する。一般的に不感時間τの継続時間はエラーレジスタの値に伴い増加する。

スプリッタ構成の場合、スマートカードは暗号化時間ごとに複数のＥＣＭを受信する。スマートカードは、スクランブルをかけられた視聴覚情報をスクランブル解析することを可能にするためにそれぞれ受信されたＥＣＭを演算処理する。しかしながら、解析は、例えば１０秒毎にそれぞれの暗号化時間で問題を検出するので、エラーレジスタは比較的高い値を有することとなる。従って、不感時間τは、単一のスマートカードを備える複数の送信された視聴覚問題のスクランブル解析を中断させるような、それぞれの暗号化時間でスマートカードが複数のＥＣＭの演算処理をすることを妨げる比較的高い暗号化時間を有する。

通常の解読システムを所有している通常の契約者において、通常の契約者は、あるチャンネルから他へザッピングする場合に、エラーレジスタ ｅｒｒｏｒ＿ｒｅｇの２、３のインクリメントを発生させるかもしれない。結果として、不感時間τはペナルティとして導入される、しかし不感時間τは比較的小さい継続時間を有する。そのよな短い不感時間は、暗号化時間の間で単一のデコーダーから単一の通常のＥＣＭをスマートカードが演算処理することを可能にする。本発明による手段は、例えばスプリッタ構成のような非認定構成とともにスクランブル解析を中断するのみである。

不感時間τの値はＲＡＭメモリに格納される。非認定構造において、スクランブル解析が中断されれば、非認定ユーザーは、不感時間τをリセットして通常のスクランブル解析を可能するために、スマートカードをリセットする。従って、アルゴリズムは、スマートカードのリセット（箱４０５）の上でリセットされた不感時間τ＿ｒｅｓｅｔによりインクリメントされることを含む。リセットされた不感時間τ＿ｒｅｓｅｔは、そのリセットに従うスマートカードで受信された多くのＥＣＭに依存する継続時間を有する。リセットに即座に続く第一処理演算で、リセットされた不感時間τ＿ｒｅｓｅｔの継続時間は、比較的高い第一リセット時間値と同等である。従って、スマートカードをリセットする非認定のユーザーは通常のスクランブル解析を取得し損ねる。

スマートカードの低下に加え、ペナルティを課すことはスマートカードのブロッキングを含む。スマートカードが前の命令メッセージを解析する場合、カードのブロッキングのため比較的少ない不感時間の導入からペナルティを課すことが可能である。

さらに、ハッカーは、本質的なパラメータを展開するために多数の攻撃メッセージと共にスマートカードを攻撃するかもしれない。従来において、スマートカードは、命令メッセージのシーケンス解析を提供し損ねる。前回受信された命令メッセージのシーケンス解析を提供することにより、本発明の手段はそのような攻撃を検出できるようにする。十分な解析が形成されるならば、攻撃メッセージは実際には比較的同等であり、エラーレジスタ エラー＿レジスタは比較的高い値を有することとなる。例えば不感時間τの導入やスマートカードのブロッキングのようなスマートカードへ適用されたペナルティは、攻撃を低下又は止めさせることとなる。

ＥＣＭ数列の解析

図５Ａ及び図５Ｂは、本発明による携帯セキュリティモジュールにより受信された命令メッセージのシーケンスの一例を示す。示されたシーケンスは、二つの成功したライセンス制御メッセージを含む。図５Ａの命令メッセージのシーケンスは、通常の構成において用いられている、例えばスマートカードのような携帯セキュリティモジュールにより受信される。実質的には、前のライセンス制御メッセージＥＣＭｎの受信の後に通常の契約者が決定チャンネルｉから第二チャンネルｊへチャンネルを変える場合、図５Ｂの命令メッセージのシーケンスは、スプリッタ構成において用いられているスマートカードにより、或いは通常の構成で用いられるスマートカードにより受信される。

図５Ａと図５Ｂとの両方のライセンス制御メッセージ（５４ｎ、５４ｎ＋１）は最初に暗号化された制御言語（５２ｎ、５２ｎ＋１）を含む。スマートカードは、最初に暗号化された制御言語（５２ｎ、５２ｎ＋１）を解読することを可能にする。前のライセンス制御メッセージＥＣＭｎから展開された第一制御言語ＣＷｉ［１］は、第一暗号化時間の間に決定チャンネルｉのスクランブルをかけられた視聴覚情報のスクランブル解析を可能にする。

本発明の第一の実施形態のおいて、ライセンス制御メッセージ（５４ｎ、５４ｎ＋１）は、第二暗号化制御言語（５３ｎ、５３ｎ＋１）を更に含む。スマートカードは、第二暗号化制御言語（５３ｎ、５３ｎ＋１）を解読することを可能にする。前のライセンス制御メッセージＥＣＭｎから展開された第二制御言語ＣＷｉ［２］は、第一暗号化時間とは異なる第二暗号化時間の間に決定チャンネルｉのスクランブルをかけられた視聴覚情報のスクランブル解析を可能にする。第二暗号化時間は第一暗号化時間を即座に続くこととなる。

通常の構成において、図５Ａに示されるように、通常の契約者が決定チャンネルのひとつだけの番組を視聴する場合、前のライセンス制御メッセージＥＣＭｎから展開された第二制御言語ＣＷｉ［２］は新しいライセンス制御メッセージＥＣＭｎ＋１の第一制御言語ＣＷｉ［２］と同様である。

前のライセンス制御メッセージＥＣＭｎの受信と後のライセンス制御メッセージＥＣＭ’ｎ＋１の受信との間の実質的なザッピングの場合、図５Ｂに示すように、スマートカードは、決定チャンネルｉとは異なる第二チャンネルｊと関連付けられるライセンス制御メッセージＥＣＭ’ｎ＋１を後のライセンス制御メッセージとして受信する。従って、前のライセンス制御メッセージＥＣＭｎから展開された第二制御言語ＣＷｊ［２］は新しいライセンス制御メッセージＥＣＭ’ｎ＋１の第一制御言語ＣＷｉ［１］とは異なる。

スプリッタ構成の場合、図５Ｂに示すように、スマートカードは、対応するチャンネルのスクランブルをかけられた視聴覚情報のフローをスクランブル解析することを可能にする多数のデコーダからライセンス制御メッセージを受信する。例えば、スプリッタは、スマートカードが二つのデコーダと共に伝達することを許可するならば、異なるユーザーとして明確になるであろう二つの関連するチャンネルは必ずしも同じテレビ番組を見ることはない。

対応するチャンネルが異なる場合、それぞれ対応するチャンネルよりスクランブルをかけられた視聴覚情報をスクランブル解析することを可能にする制御言語は異なる。従って、前のライセンス制御メッセージＥＣＭｎから展開された第二制御言語ＣＷｉ［２］は、新しいライセンス制御メッセージＥＣＭ’ｎ＋１の第一制御言語ＣＷｊ［１］とは異なる。

第一実施形態において、命令メッセージのシーケンスの解析は、前のライセンス制御メッセージから新しいライセンス制御メッセージの第一制御言語へ展開された第二制御言語と比較するなかで例えば構成される。そのような解析は、新しいライセンス制御メッセージのそれぞれの受信で、又は定期的に形成されることとなる。

新しいライセンス制御メッセージが比較される前のライセンス制御メッセージは新しいライセンス制御メッセージより前に即座に受信される。さらに具体的に言うと、二重のストリーミングの場合、前のライセンス制御メッセージは前の決定命令により選択される。

図５Ａ及び図５Ｂにも示される本発明の第二実施形態において、受信されたライセンス制御メッセージ（５４ｎ、５４ｎ＋１）はチャンネル識別子（５１ｎ、５４ｎ＋１）を含む。前のライセンス制御メッセージ５４ｎのチャンネル識別子５１ｎは、第一制御言語ＣＷｉ［１］がスクランブルを解くことを可能にするということを決定チャンネルへ関連付ける。

通常の構成の場合、図５Ａで示されるように、通常の契約者が前のライセンス制御メッセージＥＣＭｎの受信と新しいライセンス制御メッセージＥＣＭｎ＋１の受信との間で実質的にチャンネルを変えないならば、決定チャンネルからのスクランブルをかけられた視聴覚情報はスクランブルを解かれるのみである。従って、前のライセンス制御メッセージＥＣＭｎのチャンネル識別子５１ｎは新しいライセンス制御メッセージＥＣＭｎ＋１のチャンネル識別子５１ｎ＋１と同じである。

前のライセンス制御メッセージＥＣＭｎの受信と後のライセンス制御メッセージＥＣＭ’ｎ＋１の受信との間の実質的のザッピングの場合、図５Ｂに示すように、スマートカードは、決定チャンネルｉとは異なる第二チャンネルｊと関連付けられるライセンス制御メッセージＥＣＭ’ｎ＋１を後のライセンス制御メッセージとして受信する。従って、前のライセンス制御メッセージＥＣＭｎのチャンネル識別子５１ｎは新しいライセンス制御メッセージＥＣＭ’ｎ＋１のチャンネル識別子５１ｎ＋１とは異なる。

スプリッタ構成の場合、図５Ｂにも示されるように、前段の説明にあるように、少なくとも二つの異なるチャンネルと関連付けられたライセンス制御メッセージをスマートカードは恐らく受信する。従って、前のライセンス制御メッセージＥＣＭｎのチャンネル識別子５１ｎは、新しいライセンス制御メッセージＥＣＭ’ｎ＋１のチャンネル識別子５１ｎ＋１とは異なる。

第二実施形態において、命令メッセージのシーケンス解析は、例えば新しいライセンス制御メッセージのチャンネル識別子と前のライセンス制御メッセージのチャンネル識別子を比較する時に存在する。そのような解析は、新しいＥＣＭのそれぞれの受信で、又は定期的に形成される。新しいライセンス制御メッセージが比較される前のライセンス制御メッセージは新しいライセンス制御メッセージの前に即座に受信されることとなる。

二重のストリームの場合、第二実施形態は、通常の構成においてチャンネル識別子の変更がなくスプリッタ構成のチャンネル識別子の少なくともひとつの変更を検出することを可能にする。この後者の構成において、暗号化時間中、スマートカードは、少なくとも、

第一デコーダ及び第一ストリームと関連付けられた第一ＥＣＭ Ａと、

第一デコーダ及び第二ストリームと関連付けられた第二ＥＣＭ Ａ’と、

第二デコーダ及び第一ストリームと関連付けられた第三ＥＣＭ Ｂと、

第二デコーダ及び第二ストリームと関連付けられた第四ＥＣＭ Ｂ’とを受信する。

第一ＥＣＭと第二ＥＣＭと第三ＥＣＭと第四ＥＣＭとは、以下の命令：Ａ、Ａ’、Ｂ、Ｂ’において受信される。解析は、チャンネル識別子の少なくともひとつの変更を検出する。ＥＣＭと第二ＥＣＭと第三ＥＣＭと第四ＥＣＭとが以下の命令：Ａ、Ｂ、Ａ’、Ｂ’において受信されることとなるならば、解析はチャンネル識別子の少なくとも三つの変更を検出する。

ザッピングなしの通常の構成における二重のストリーミングの場合、第一ＥＣＭ Ａ及び第二ＥＣＭ Ａ’のみが受信され、そしてチャンネル識別子の変更がないことを検出される。この後者の場合、本発明の第一実施形態による手段は、前のライセンス制御メッセージの第二制御言語と新しいライセンス制御メッセージの第一制御言語との間の変更を検出する。解析において二重のストリーミングを考慮にいれる必要があり、前のライセンス制御メッセージは決定命令により選ばれる。第二実施形態はそのような警戒を避けることを可能にする。

しかしながら、ハッカーが比較的似かよった数多くの攻撃のライセンス制御メッセージと共にスマートカードを攻撃するならば、第一実施形態による手段は、前のライセンス制御メッセージの第二制御言語と新しいライセンス制御メッセージの第一制御言語との間の数多くの変更を検出することを可能にする。第二実施形態の手段は、チャンネル識別子において変更がないことを検出することとなる。

図５Ａ及び図５Ｂに示されるように、受信されたライセンス制御メッセージはチャンネル識別子（５１ｎ、５１ｎ＋１）と第二暗号化制御言語（５３ｎ、５３ｎ＋１）とを含む。第一実施形態の比較と第二実施形態の比較とは、命令メッセージのシーケンス解析として両方ともに形成されることとなる。

解析は、例えばＥＭＭ又はリセットメッセージのようなスマートカードで受信されたその他のメッセージ上で形成される。解析は、例えばチャンネル識別子のような決定内容又は例えば制御言語のような展開された情報と、二つの命令メッセージを比較する中でなされる。比較された決定内容及び又は展開された情報が異なるならば、エラーレジスタはインクリメントされることとなる。ペナルティは、エラーレジスタの値に依存しながら適用される。ペナルティの適用は、ライセンス制御メッセージのそれぞれの演算処理をする不感時間を導入しながら一般的にはなされる。

不感時間の管理

図６Ａは、本発明による携帯セキュリティモジュールのエラーレジスタの値の考えられるシーケンスを示す。

図６Ｂは、本発明による携帯セキュリティモジュールの不感時間の継続時間の値の考えられるシーケンスを示す。図６Ｂの不感時間シーケンスは、図６Ａのエラーレジスタシーケンスに相当する。

両方のシーケンスは、リセット後に受信される多くのライセンス制御メッセージの要素としてプロットされる。

示されるシーケンスは、スプリッタ構成において又は通常の契約者の高い頻度のザッピング行為において見られるかもしれない。受信されたライセンス制御メッセージの解析は、連続して受信されたライセンス制御メッセージの比較された決定内容及び／又は展開された情報における違いを検出することを可能にする。リセットに続く第一フェーズ６１の間で、従って、エラーレジスタは、例えば１つのライセンス制御メッセージをそれぞれ受信するような通常のインクリメントをされる。

図６Ａ及び図６Ｂに示される例において、あるチャンネルから他のチャンネルへチャンネルを変える通常の契約者に悪影響を与えることを避けるために、エラーレジスタの値が最小の閾値Ｃ＿ｍｉｎ＿ｔｈｒより小さい場合、不感時間は、ゼロに等しい継続時間を有する。

第二フェーズ６２の間で、エラーレジスタの値は最小閾値Ｃ＿ｍｉｎ＿ｔｈｒと等しくなり、従って、不感時間の継続時間は、空値ではなくエラーレジスタの値と共に増加する。しかしながら、不感時間の継続時間は、エラーレジスタの最大閾値Ｃ＿ｍａｘ＿ｔｈｒに対応している最大時間値τ＿ｍａｘより小さいままである。最大時間値τ＿ｍａｘは、スマートカードが単一の暗号化時間の間に複数のライセンス制御メッセージを演算処理することを妨げるに十分である。二重のストリーミングにおいて、与えられたデコーダは、それぞれの暗号化時間で与えらた多くのライセンス制御メッセージを送り、最大時間値τ＿ｍａｘは、多数のデコーダが与えられた多くのライセンス制御メッセージの演算処理することを防ぐ。一般的に、スマートカードは、暗号化時間ごとにたった一つの与えられたライセンス制御メッセージを演算処理することとなる。

不感時間が最大時間値と実質的に等しい継続時間を有するならば、スマートカードは複数個のデコーダから複数個のスクランブルをかけられた視聴覚情報のスクランブル解析を行うことに失敗する。少なくとも１人の非認定ユーザー、又は非認定ユーザーと共にそのスマートカードを共有する契約者は、スクリーンが空白になることを目撃するかもしれない。

あるチャンネルから他のチャンネルへチャンネルを多く変える通常の契約者は、不感時間の増加を発生させ、付加的なザッピングの後にある暗号化時間の間にスクリーンが空白になることを目撃するかもしれない。通常の契約者は空白のスクリーンを放送問題として考え、エラーレジスタの値を増加ながら他のチャンネルを見ようする。図６Ａに示される例において、エラーレジスタの値は、スマートカードの過度の負担を避けるために、常に最大値Ｃ＿ｍａｘ以下である。しかしながら、最大時間値τ＿ｍａｘや最小閾値Ｃ＿ｍｉｎ＿ｔｈｒ等のパラメータは、スクリーンが空白になることを通常の契約者が目撃することを避けるために選択されることとなる。

もはや特にスプリッタ構成の場合において、不感時間の継続時間が最大時間値τ＿ｍａｘと等しいならば、エラーレジスタは第三フェーズ６３の間で増加し続けるかもしれない。

エラーレジスタは循環原理に基づいており、古いライセンス制御メッセージにより作成された早期のインクリメントは消去される。例えば、決められたサイズを有する循環レジスタは、エラーレジスタを評価するために用いられることとなる。解析が形成される時はいつでも、循環レジスタの２進値は移行されたままとなる。従って、循環レジスタの左端で元の記憶場所の２進値は消去される。解析結果に依存する新しい２進値は循環レジスタの右端で現在空の場所に書き込まれる。一般的には、解析されたライセンス制御メッセージの比較された決定内容及び／又は展開された情報の間での違いが検出されれば、「１」と書き込まれ、検出されなければ、「０」と書き込まれる。

エラーレジスタは、循環レジスタの２進値の合計に等しい値を有する。従って、エラーレジスタの値は、循環レジスタの大きさに対応する最大値と常に小さいか或いは等しく、もし等しければ、循環レジスタの場所すべてが「１」となる。最大値は、図６Ａにおいて説明された最大値Ｃ＿ｍａｘであるかもしれない。

解析されたライセンス制御メッセージの比較された決定内容及び／又は展開された情報の間での違いがもはや検出されなければ、図６Ａに示されるように、エラーレジスタの値もまた減少するかもしれない。その減少はさまざまな理由によるかもしれない。スプリッタ構成において、非認定ユーザーはそれらのデコーダを消すかもしれない。通常の契約者はもはやチャンネルをその他に変えることはない。

また、エラーレジスタは、命令メッセージのシーケンス解析の結果に依存しながらインクリメント又はデクリメントされる単一の整数であるかもしれない。

エラーレジスタの値が、例えば最大閾値Ｃ＿ｍａｘ＿ｔｈｒのような減少域よりも高い間は、不感時間の継続時間は最大時間値τ＿ｍａｘと等しいままである。

第四フェーズ６４で、エラーレジスタの値が最大閾値Ｃ＿ｍａｘ＿ｔｈｒより小さくなる場合、不感時間の継続時間は減少し始める。

スプリッタ構成の場合、非認定ユーザーが第三フェーズ６３でデコーダを保有し続けるならば、不感時間の継続時間は最大時間値τ＿ｍａｘのままである。非認定ユーザーが第四フェーズ６４でデコーダを交換するならば、エラーレジスタは再度増加し始める（シーケンスを図示しない）。

非認定ユーザーは不感時間の継続時間の値をリセットするために第三フェーズでスマートカードもリセットするかもしれない。不感時間の継続時間の値とエラーレジスタの値とは、リセット直後に消去される揮発性メモリに実際には格納されることとなる。

図６Ｃは、本発明による携帯セキュリティモジュールの不感時間の継続時間の値のシーケンスの一例を示す。シーケンスは、リセットの後に受信された多くのライセンス制御メッセージの要素としてプロットされる。図６Ｂに示されるシーケンスの例とは違い、図６Ｃのシーケンスの例は、リセットの後に即座に空値でない値を有する。リセットされた不感時間は、リセットの後にひとつのライセンス制御メッセージの各演算処理で導入される。リセットされた不感時間は、リセットの後にスマートカードで受信された多くのライセンス制御メッセージに依存する継続時間を有する。リセット不感時間の継続時間は、リセットに即座に続き受信されたライセンス制御メッセージの数を減少する第一演算処理で第一リセット時間値τ＿ｒｅｓｅｔ＿ｍａｘと等しい。

リセット不感時間の導入と不感時間の導入とは単一のソフトウェアプログラムの中に導入され、全体の不感時間は、電気的消去可能ロムにおいて読み取られるリセット不感時間と揮発性メモリに格納された循環レジスタから判断される不感時間との合計と等しくなる。

従って、スマートカード演算処理は、リセットの上のリセット不感時間により低下させられる。

第一リセット時間値τ＿ｒｅｓｅｔ＿ｍａｘは、例えば停電によるような通常のリセットの後に通常の契約者に悪影響があることを回避するために、不感時間の最大時間値τ＿ｍａｘよりもできるだけ小さいほうがよい。

第一リセット時間値τ＿ｒｅｓｅｔ＿ｍａｘが最大時間値τ＿ｍａｘよりも小さい場合、非認定ユーザーは、スクランブルをかけられた視聴覚情報のスクランブル解析が正しく動作しない時はいつでもスマートカードをリセットしようと試みるかもしれない。ハッカーは、正しいスクランブル解析を実行するため又は攻撃目的のために、各暗号化時間でスマートカードのリセットをもはや作成するかもしれない。

スマートカードブロッキング

図７は、本発明による携帯セキュリティモジュールの中に導入されたアルゴリズムの一例を示す。図７のアルゴリズムは、介在する命令メッセージの介在するグループにより更にリセットの種類を判断することを可能にする。介在するグループは、更なるリセットに先行している前リセットの後に受信された、例えばライセンス制御メッセージのような命 令メッセージのシーケンスを含む。

メッセージがスマートカードで受信される時、スマートカードは、メッセージがＥＣＭであるか否かを検証する（箱７１）。メッセージがＥＣＭであれば、スマートカードは、例えばスマートカードがライセンス制御メッセージの中で含まれた暗号化された制御言語を解読するようなライセンス制御メッセージを演算処理する。多くの介在する命令メッセージは、各演算処理の後にカウントレジスタ ｎｂ＿ＥＣＭをインクリメントすることによりカウントされる（箱７２）。

介在する命令メッセージの数はリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎと比較される（箱７３）。比較結果は、更なるリセットの種類を判断することを可能とし、カウントレジスタ ｎｂ＿ＥＣＭがリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎと等しいならば、それぞれのリセットの後に、例えば「０」のようなＮＯＫ値を有するフラグ（箱７５）が、例えば「１」のようなＯＫ値（箱７４）に設定される。

カウントレジスタ ｎｂ＿ＥＣＭがリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎよりも高ければ、フラグはＯＫ値を既に有する。カウントレジスタ ｎｂ＿ＥＣＭがリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎよりも小さければ、フラグはＮＯＫ値を有する。従って、フラグの値は、介在する命令メッセージの数値がリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎよりも高いかどうかを示す。フラグの値は不揮発性メモリに格納される。更なるリセットが起こる時（箱７６）、フラグの値はＮＯＫ値へ導かれ比較される（箱７７）。

例えばスマートカードが、前リセットからライセンス制御メッセージのリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎ以上を受信した場合のような、フラグ値がＯＫである場合、更なるリセットは正しく判断される。フラグは再びＮＯＫ値へリセットされ（箱７５）、スマートカードは新しいメッセージを待つ（箱７８）。それぞれ新しいＥＣＭが演算処理され（箱７２）、ライセンス制御メッセージのリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎが、前段落の記述のように、受信され演算処理されるまで、フラグはＮＯＫ値のままである。

フラグの値がＮＯＫならば、つまり前リセットから介在する命令メッセージの数がリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎよりも小さい場合、更なるリセットは疑わしいと判断される。リセットエラーレジスタ ｎｂ＿ｒｅｓｅｔ＿ｏｆｆはインクリメントされ（箱７９）その値はリセットエラー閾値ｒｅｓｅｔ＿ｍａｘ（箱７１０）と比較される。

リセットエラーレジスタ ｎｂ＿ｒｅｓｅｔ＿ｏｆｆの値がリセットエラー閾値ｒｅｓｅｔ＿ｍａｘと等しければ、スマートカードはブロックされる（箱７１１）。リセットエラーレジスタ ｎｂ＿ｒｅｓｅｔ＿ｏｆｆの値がリセットエラー閾値ｒｅｓｅｔ＿ｍａｘより小さければ、スマートカードはメッセージを待ち（箱７８）介在する命令メッセージを更にカウントする。リセットエラーレジスタ ｎｂ＿ｒｅｓｅｔ＿ｏｆｆの値がリセットエラー閾値ｒｅｓｅｔ＿ｍａｘと等しい時スマートカードはブロックされるので、リセットエラーレジスタ ｎｂ＿ｒｅｓｅｔ＿ｏｆｆの値がリセットエラー閾値ｒｅｓｅｔ＿ｍａｘより高くなることはない。

そのようなアルゴリズムは、スクランブルをかけられた視聴覚情報が間違ってスクランブル解析を行われるときはいつでもスマートカードをリセットし、或いは数少ない暗号化時間の後にスマートカードを自動的にリセットする非認定ユーザーにペナルティを科す。

アルゴリズムは、攻撃命令の間でリセットと共にそれらを受信するスマートカードをブロックすることも可能にする。

リセットエラー閾値ｒｅｓｅｔ＿ｍａｘやリセット限界数 ｎｂ＿ＥＣＭ＿ｍｉｎのようなパラメータは、通常の契約者、及び非認定ユーザー、及びハッカーの起こりうる動作に適応されるに十分な値を有する。

ペナルティを管理するためのその他のアルゴリズムはスマートカードにおいて適用されることとなり、例えば、エラーレジスタの値が最大閾値 Ｃ＿ｍａｘ＿ｔｈｒより高くなる限界値に近づく場合に、スマートカードはブロックされることとなる。

命令メッセージのシーケンス解析は、新しいライセンス制御メッセージと前のライセンス制御メッセージとを比較する場合にできるだけ含むこととなる。また、ＥＭＭ又はリセットメッセージ又はスマートカードで受信されたその他のメッセージは解析されることとなる。前リセットの種類を判断するために二つのリセットの間で多くの介在する命令メッ セージをカウントする中に命令メッセージのシーケンス解析は存在する。

解析は、できるだけ前記解析の組み合わせであり、例えば、スマートカードの保護を強化するために、それぞれの新しいライセンス制御メッセージは前のライセンス制御メッセージと比較され、二つのリセット間での多くのライセンス制御メッセージはカウントされる。前記解析の組み合わせの他の例は、それぞれ新しいＥＣＭと前ＥＣＭとの、及びそれぞれ新しいＥＭＭと前のＥＭＭとの、及び新しい他の命令メッセージと前の他の命令メッセージとの比較する中に含まれる。両方のＥＣＭ及びＥＭＭ及びの命令メッセージはリセットを判断するためにカウントされることとなる。また、３つの異なるカウント手段は、ユーザーの行動の完全な理解を提供するためにインクリメントされ、従って十分なペナルティを適用する。

また、スマートカードに適用されるペナルティはＥＣＭの演算処理を中断することを可能にする。ペナルティは、ＥＭＭ演算処理、又はスマートカードでのメッセージの受信、又はスマートカードのその他の動作も中断することを可能にする。

本発明による手段を導入することを可能にするソフトウェアもまた本発明の範囲の中にも含まれる。

ソフトウェアは、携帯セキュリティモジュールの生産でダウンロードされることとなる。また、既に加入者により使用中で、ソフトウェアをダウンロードすることを許可している場合、少なくともひとつの構成メッセージが携帯セキュリティモジュールで受信される。両方の手段は本発明の範囲の中に含まれる。

本発明は限られた数の実施例に関しての説明であったので、本開示の恩恵を有する当業者は、ここに開示されるように発明の範囲から逸脱することのなく他の実施例が考案されうることを認識する。従って、発明の範囲は添付された特許請求の範囲によりのみ制限されるべきである。

従来技術によるスマートカードの一例を図式的に示す。 従来技術によるスプリッタ構成の一例を図式的に示す 本発明による携帯セキュリティモジュールの一例を示す。 本発明によるスマートカードにより実行されるためのアルゴリズムの一例を示す。 （Ａ）及び（Ｂ）は、本発明による携帯セキュリティモジュールにより受信された命令メッセージのシーケンスの一例を示す。 本発明による携帯セキュリティモジュールにおけるエラーレジスタの値の起こりうるシーケンスを示す。 本発明による携帯セキュリティモジュールにおける不感時間の継続時間の値の起こりうるシーケンスを示す。 本発明による携帯セキュリティモジュールの不感時間の継続時間の値のシーケンスの一例を示す。 本発明による携帯セキュリティモジュールにおいて導入されるためのアルゴリズムの一例を示す。

符号の説明

３１・・・携帯セキュリティモジュール、３２・・・処理ユニット、３３・・・電気的消去ロム

Claims (16)

1. 携帯セキュリティモジュールと解読要素とがスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にする解読要素の使用のための携帯セキュリティモジュールを保護するために、
   スクランブルをかけられた視聴覚情報のスクランブル解析を可能するために携帯セキュリティモジュールで受信されたライセンス制御メッセージ（ＥＣＭ）を携帯セキュリティモジュールで演算処理することを含む方法において、
   ＥＣＭのシーケンスを携帯セキュリティモジュールで解析し、ＥＣＭのシーケンスが新しいＥＣＭと前回受信された前ＥＣＭとを含み、シーケンスのＥＣＭが異なった時間に受信され、解析が新しいＥＣＭの受信により実行され（４０２）、
   決められた解析結果上のエラーレジスタを解析することでインクリメントして（４０３）、
   演算処理を低下させるために演算処理での不感時間を導入することによりエラーレジスタの値に依存している携帯セキュリティモジュールにペナルティを適用する（４０４）、ことを含むことを特徴とする方法。
2. ＥＣＭがライセンス管理メッセージ（ＥＭＭ）に置換される請求項１記載の方法。
3. 不感時間がエラーレジスタ（４０４）の値に依存する継続時間を有する請求項１記載の方法。
4. 不感時間の継続時間が最高時間値より短く、最高時間値が単一の暗号化時間の間で携帯セキュリティモジュール（３１）が複数のＥＣＭを演算処理することを回避するために十分高いことを特徴とする請求項１乃至３の何れかに記載の方法。
5. ＥＣＭ（５４ｎ、５４ｎ＋１）それぞれは、決定チャンネルと関連付けられているチャンネル識別子（５１ｎ、５１ｎ＋１）を含み、
   ＥＣＭのシーケンス解析は、新しいＥＣＭ５４ｎ＋１のチャンネル識別子５１ｎ＋１と前ＥＣＭ５４ｎのチャンネル識別子５１ｎとを比較することを含むことを特徴とする請求項請求項１、３又は４の何れかに記載の方法。
6. ＥＣＭ（５４ｎ、５４ｎ＋１）それぞれは第一暗号化制御言語（５２ｎ、５２ｎ＋１）と第二暗号化制御言語（５３ｎ、５３ｎ＋１）とを含み、
   第一制御言語が、第一暗号化時間の間にスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にし、
   第二制御言語が、第一暗号化時間とは異なる第二暗号化時間の間にスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にし、
   ＥＣＭのシーケンス解析は、前ＥＣＭ５４ｎの第二制御言語５３ｎを新しいＥＣＭ５４ｎ＋１の第一制御言語５２ｎと比較することを含むことを特徴とする請求項請求項１、３又は４の何れかに記載の方法。
7. ＥＣＭのシーケンス解析は、ＥＣＭのシーケンスの第一ＥＣＭの決定内容をＥＣＭのシーケンスの第二ＥＣＭの第二決定内容と比較することを含むことを特徴とする請求項１、３又は４の何れかに記載の方法。
8. リセット不感時間は、リセット後に携帯セキュリティモジュールで受信された多くのＥＣＭに依存し、リセットに即座に続く第一演算処理で第一リセット時間値と等しい継続時間を有し、
   第一リセット時間値が最大時間値より小さい、
   ＥＣＭのそれぞれの演算処理でのリセット不感時間をリセット上で導入することを更に含むことを特徴とする請求項１又は３乃至７の何れかに記載の方法。
9. 中間ＥＣＭの中間グループにより更なるリセットの種類を判断し、中間グループが更なるリセットに先行する前リセットの後に受信されたＥＣＭを更に含むことを特徴とする請求項１又は３乃至８の何れかに記載の方法。
10. 中間ＥＣＭの数をカウントし（７２）、
    比較結果が更なるリセットの種類を判断可能にするような、中間ＥＣＭの数とリセット限界数を比較し（７３）、
    更なるリセットが間違って判断されれば、更なるリセットの後にリセットエラーレジスタをインクリメントし（７９）、
    リセットエラーレジスタがリセットエラー閾値より高い値を有するならば、携帯セキュリティモジュールをブロックする（７１１）ことを更に含むことを特徴とする請求項９記載の方法。
11. 携帯セキュリティモジュールと解読要素とがスクランブルをかけられた視聴覚情報のスクランブルを解くことを可能にする解読要素の使用のための携帯セキュリティモジュール（３１）で、
    ライセンス制御メッセージを受信するための受信手段（ＥＣＭ）と、
    スクランブルをかけられた視聴覚情報のスクランブル解析を可能にするために携帯セキュリティモジュールで受信されたＥＣＭを演算処理するための演算処理手段（３２）とを含む携帯セキュリティモジュールにおいて、
    前回受信した中へ前ＥＣＭ（ＥＣＭｎ）に命令メッセージメモリが格納されることとなり（３６）、
    ＥＣＭのシーケンスを解析するためで、ＥＣＭのシーケンスが新しいＥＣＭと前ＥＣＭとを含み、シーケンスのＥＣＭが異なった時間に携帯セキュリティモジュールで受信され、そして解析が新しいＥＣＭ（ＥＣＭｎ＋１）のそれぞれの受信で実行されている解析手段（３５）と、
    ＥＣＭシーケンスの新しいＥＣＭ及び前ＥＣＭを比較するための比較手段と、
    エラーレジスタ（３７）と、
    比較結果に依存しているエラーレジスタをインクリメントするためのインクリメント手段と、
    演算処理を低下させるためにそれぞれの演算処理で不感時間を導入するための遅延手段とを更に含むことを特徴とする携帯セキュリティモジュール。
12. 遅延手段がリセットに続くそれぞれの演算処理でリセット不感時間を導入することをリセットの後にも可能とし、
    リセット不感時間は、リセットに続く多くの演算処理に依存する継続時間を有し、継続時間がリセットに即座に続く第一演算処理で第一リセット時間値と等しいことを特徴とする請求項１１記載の携帯セキュリティモジュール（３１）。
13. カウンタレジスタが多くの中間ＥＣＭを格納することを可能し、中間ＥＣＭが前リセットの後に携帯セキュリティモジュールで受信され、
    リセット限界数に対するカウンタレジスタの比較結果に依存する値を有するフラグと、
    更なるリセットの後にフラグの値に依存してインクリメントされるリセットエラーレジスタと、
    リセットエラーレジスタの値により携帯セキュリティモジュールをブロックするためのブロック手段とを更に含むことを特徴とする請求項１１又は１２記載の何れかに記載の携帯セキュリティモジュール（３１）。
14. ＥＣＭがライセンス管理メッセージ（ＥＭＭ）に置換されることを特徴とする請求項１１乃至１３の何れかに記載の携帯セキュリティモジュール。
15. 携帯セキュリティモジュールと共に使用するためのコンピュータプログラムであって、請求項１乃至１０の何れかに記載の方法を導入するようなコンピュータプログラム。
16. 請求項１乃至１０何れかに記載の手段を導入することを可能にするソフトウェアをダウンロードしている携帯セキュリティモジュールを保護するための方法であって、ダウンロードが携帯セキュリティモジュールで少なくともひとつの構成メッセージを解読要素から受信することを含むことを特徴とする方法。

Images