JP4358226B2 - クライアントの装置をリモート制御するための機構 - Google Patents

Description

（関連出願の説明）
本出願は、２００２年５月２４日出願、同時継続出願である米国実用特許出願シリアル番号１０／１５４，４９５、“ＡＰＰＡＲＡＴＵＳ ＦＯＲ ＥＮＴＩＴＬＩＮＧ ＲＥＭＯＴＥ ＣＬＩＥＮＴ ＤＥＶＩＣＥＳ”の一部継続出願である。これは、ここにすべて引例として組み込まれている。

（発明の分野）
本発明は一般に、中でも加入者テレビジョンシステム等の通信システムに関し、特に詳しくは、サービスを通信システムの装置に選択的に提供することに関する。

（発明の背景）
一般に、ブロードバンドシステムは、テレビジョン信号および番組を、条件付きアクセスシステムまたは加入者ネットワークシステムの加入者に送信する。ケーブルテレビジョンシステムおよび衛星テレビジョンシステム等のブロードバンドシステムは、典型的には、番組および／またはデータを様々なソースから受信して、配信システムを介して番組および他のデータを加入者へ再配信する、ヘッドエンドを含む。ヘッドエンドは、番組信号をコンテンツプロバイダまたは受給権エージェント等の各種のソースから受信して、様々なソースからの信号を合成して、配信システムを介して合成した信号を加入者装置へ送信する。加入者ネットワークシステムは、システムの加入者に、これに限定しないが、インターネットサービスおよび電話サービスおよび場合によっては何百もの番組セレクションまたはサービスインスタンス等のサービスを提供する。サービスインスタンスは、これに限定しないが、１回放送分の音声または映像または音声／映像番組を含む。サービスインスタンスを、条件付きアクセスシステムの全加入者、一部の加入者、または１人の加入者に放送することができる。サービスインスタンスは、通常番組、ペイパービュー等の特別番組およびパーソナルテレビ等の加入者が要求したサービスを含む。

加入者位置で、デジタル加入者通信端末（ＤＳＣＴ）は典型的には、短い同軸ケーブルにより同軸コンセントに接続しており、同軸コンセントは、ブロードバンド配信システムに接続している。今日、多くの加入者装置がある。これに限定しないが、サービスインスタンスおよび他の情報を加入者ネットワークから受信することができる、スマート機器、ラップトップコンピュータ、携帯情報端末（ＰＤＡ）、ビデオカセットレコーダ（ＶＣＲ）およびテレビジョン等である。

ＤＳＣＴおよび加入者装置は、有線またはワイヤレスまたはそれらの組み合わせとすることができるローカルエリアネットワーク（ＬＡＮ）を介して、ともに接続していることもある。有線通信経路は、中でも、家庭用電話回線および同軸ケーブルを用い、それぞれｌ、１０、および１００Ｍｂｐｓまでのデータ転送速度であるＨｏｍｅＰＮＡ１、２および３、データ転送速度が１４ＭｂｐｓであるＨｏｍｅＰｌｕｇ、およびイーサネット（登録商標）を含む。ＤＳＣＴを他の加入者装置に接続する他の機構は、同軸ケーブルを介したＱＡＭ変調を用いて伝送することを含む。有線通信は、配線をＤＳＣＴから加入者装置に延長して、既存の加入者の住居を改装しなければならず、費用がかかってしまうという欠点がある。従って、特に携帯計算装置の普及により、一般に、ワイヤレス通信を用いて加入者装置をＤＳＣＴに接続することが望ましい。ワイヤレス通信により、加入者のＤＳＣＴを介して加入者ネットワークに接続したまま、複数の部屋を同軸ケーブルまたは他の配線で配線するに必要なしに、加入者が、加入者の携帯計算装置、スマート機器および他のクライアント装置を加入者のワイヤレスＬＡＮ内で簡単に移動することができる。ワイヤレス技術の進歩により、ワイヤレス接続を介してデータを素早く転送することができる。電気電子学会（ＩＥＥＥ）８０２．１１ｂ規格により、約１０Ｍｂｐｓのイーサネット（登録商標）のデータ転送速度とほぼ等しい速度でユーザがデータを転送することができる。これは、一般にワイヤレスイーサネット（登録商標）と呼ばれている。ＩＥＥＥ８０２．１１ａにより、５４Ｍｂｐｓまでの転送速度が可能である。産業協働により、Ｂｌｕｅｔｏｏｔｈ２．０により、約１０Ｍｂｐｓの速度でユーザがデータを転送することができる。Ｂｌｕｅｔｏｏｔｈ２．０等のＢｌｕｅｔｏｏｔｈ規格を推進する数社の同じ企業が後援する別の産業協働であるＨｏｍｅＲＦ２．０は、最大データ転送速度が約１０Ｍｂｐｓである。

しかしながら、ローカルエリアネットワークは、支払いや、サービスおよびプライバシーの盗用等の問題のために、加入者ネットワークシステムのオペレータにセキュリティおよび制御の問題を投げかけている。従って、これらの問題に向けたシステムが必要となっている。

（好適な実施の形態の詳細な説明）
添付の図面を参照して、さらに詳細に本発明の好適な実施の形態について説明する。いくつかの図面について、同じ数字は同じ要素を示し、本発明の例示の実施の形態を示す。しかしながら、本発明は、多くの異なる形式で実施することもでき、ここに述べる実施の形態に限定されると解釈する必要はない。ここに述べる例は非限定的な例であり、他の可能な例のうちの例に過ぎないものである。

好適な一実施の形態では、加入者の敷地にあるデジタル加入者通信端末（ＤＳＣＴ）が、加入者テレビジョンシステム（ＳＴＳ）のヘッドエンドからサービスを受信する。ＤＳＣＴが、加入者の敷地のローカルエリアネットワーク（ＬＡＮ）を管理して、サービスをＬＡＮに接続したクライアント受信機に提供する。ＤＳＣＴおよびクライアント受信機は好ましくは、ＴＣＰ／ＩＰパケットで送信するＨＴＴＰによりフォーマット化したメッセージ等の、ウェブベースのプロトコルを用いて通信する。中でも、当業者が周知のＨＴＴＰウェブページまたは他のウェブベースのプロトコル等のウェブベースのフォーマットでヘッドエンドから受信したサービスをクライアント受信機へ選択的に提供するように、ＤＳＣＴを構成する。

好適な一実施の形態では、ＤＳＣＴがコンテンツをヘッドエンドから受信して、コンテンツをクライアント受信機に提供する前に、コンテンツを任意のフォーマットから新しいフォーマットへ選択的に変換する。ＤＳＣＴは、これに限定しないが、クライアント受信機とＤＳＣＴとの間の送信経路および／またはクライアント受信機の装置の種類等の基準を用いて、新しいフォーマットを選択する。

さらに別の好適な実施の形態では、加入者のクライアント受信機を用いて、ＳＴＳが提供したサービスへ加入者がアクセスする。加入者が、ウェブベースのブラウザを用いてサービスのインデックスを表示する。典型的には、インデックスは電子番組ガイドの形式である。電子番組ガイドでは、サービスをハイパーリンクとして表示する。加入者が、選択したサービスのハイパーリンクをクリックすることにより、サービスを選択する。これにより、メッセージをＤＳＣＴへ送信する。ＤＳＣＴは、クライアント受信機に選択したサービスを受信する権利があるかどうか判定する。もし権利があれば、選択したサービスのコンテンツをウェブベースのフォーマットでクライアント受信機に送信する。その場合は、クライアント受信機のウェブブラウザは、典型的には、新しいウインドウを開いて、選択したサービスのコンテンツを表示する。

本発明の好適な実施の形態の論理を、ハードウェア、ソフトウェア、ファームウェアまたはそれらの組み合わせで実施することができる。好適な実施の形態では、論理をメモリに格納して、適した命令実行システムで実行するソフトウェアまたはファームウェアで実施する。別の実施の形態としてハードウェアで実施する場合は、すべて周知の技術である、以下の技術の任意のものまたはこれらの組み合わせにより、論理を実施することができる。データ信号に基づいて論理関数を実行する論理ゲートを有するディスクリート論理回路、適した組み合わせ論理ゲートを有する特定用途向け集積回路（ＡＳＩＣ）、プログラム可能なゲートアレイ（ＰＧＡ）、利用者書き込み可能ゲートアレイ（ＦＰＧＡ）等である。また、本発明の範囲は、本発明の好適な実施の形態の機能をハードウェアまたはソフトウェアで構成した媒体で実行する論理で実施することを含む。

フローチャートの処理の説明またはブロックについてはいずれも、処理の特定の論理機能またはステップを実行する１つ以上の実行可能命令を含む、モジュール、セグメントまたはコードの一部を表すものとして理解するべきである。別の実施例は本発明の好適な実施の形態に含まれ、本発明の相応の当業者が理解するように、必要とする機能により、基本的に同時にまたは逆の順序等の、図示または説明したものとは順不同で機能を実行することもできる。また、フローチャートの処理の説明またはブロックについて、当業者が周知の状態機械等のハードウェア構造が行う決定を表すものとして理解するべきである。

加入者テレビジョンシステムの説明を、以下に示す。初めに、加入者テレビジョンシステムの概要を図１に示し、次に、ヘッドエンドの機能および構成要素の説明を図２に示し、次に図３〜図８に、ＤＳＣＴの機能および構成要素の説明を示す。図９および図１０では、加入者の敷地でのクライアント受信機の機能および構成要素の説明を示す。本発明の限定しない実施の形態について、加入者の位置でのＤＳＣＴという文脈で説明する。

加入者テレビジョンシステムの概要
この説明では、双方向インタラクティブデジタル加入者テレビジョンシステムまたはデジタル加入者ネットワークについても、デジタルブロードバンドデリバリシステム（ＤＢＤＳ）と呼ぶ。例示のＤＢＤＳの概要は、米国特許番号第６，１５７，７１９号、“Ｃｏｎｄｉｔｉｏｎａｌ Ａｃｃｅｓｓ Ｓｙｓｔｅｍ”に示されている。これは、ここにすべて引例として組み込まれている。ＤＢＤＳの機能は、コンテンツプロバイダ、サービスプロバイダおよび受給権エージェントに対するインターフェースの提供、コンテンツおよびサービスへのアクセスおよび使用に関する制御、コンテンツおよびサービスの加入者への配信である。この開示の目的として、受給権エージェントはＤＢＤＳの加入者に受給権エージェントに対応付けられたサービスおよびコンテンツの受給権を供給するエンティティで、受給権はサービスにアクセスする権限である。コンテンツプロバイダおよびサービスプロバイダは、ＤＢＤＳの加入者の受給権を管理する業務を行いたがらないこともある。その場合は、コンテンツ・サービスプロバイダからのコンテンツおよびサービスを受給権エージェントに対応付けて、受給権エージェントが、対応付けられたコンテンツおよびサービスの受給権を提供する。また、受給権エージェントに対応付けられたサービスおよびコンテンツは、受給権エージェントがＤＢＤＳに提供したサービスおよびコンテンツを含む。

加入者ネットワークシステムが、これに限定しないが、インターネットサービスおよび電話サービスや、場合によっては数百もの番組セレクションまたはサービスインスタンス等のシステムサービスを加入者に提供する。サービスインスタンスは、これに限定しないが、１回放送分の音声または映像または音声／映像番組を含む。サービスインスタンスを、条件付きアクセスシステムの全加入者、一部の加入者または１人の加入者に放送することができる。サービスインスタンスは、通常番組、ペイパービュー等の特別番組、パーソナルテレビ等の加入者が要求したサービスを含む。

配信システムは、複数の帯域内信号を処理できる各種の媒体を含むことができる。典型的には、ケーブルテレビジョンシステム等の加入者システムでは、帯域内信号は６ＭＨｚ幅で、従来のアナログテレビジョン番組を転送するのに用いられる帯域幅に対応する。今日、多くの番組およびサービスインスタンスを、これに限定しないが、動画符号化専門家会合（ＭＰＥＧ）等のデジタルフォーマットで送信しているのは、ＭＰＥＧ番組が従来のアナログ番組よりも狭い帯域幅で良いからである。

ＭＰＥＧ番組
デジタルフォーマットでは、ビデオ、音声等の番組を基本部分に符号化する。一般に、番組は２つ以上のオーディオトラックを用いることができるので、番組を英語、仏語、スペイン語、またはドイツ語等のいくつかの異なる言語で視聴することができ、各オーディオトラックが番組の基本ストリームである。また、番組は、クローズドキャプション等の付随するデータトラックを持つこともできる。基本部分を複数のパケットにパケット化するように、番組をさらに符号化する。ＭＰＥＧは、デジタル番組をパケット化する共通のフォーマットである。パケット識別子（ＰＩＤ）は各パケットを識別する。番組の基本部分を構成するパケットはすべて、同じＰＩＤ値を有する。例えば、ビデオパケットがすべて２５１のＰＩＤ値を有し、英語音声パケットがすべて２５５のＰＩＤ値を有し、英語のクローズドキャプションが２５６であるなどとしても良い。

従来のアナログシステムでは、アナログ番組を１つだけ６ＭＨｚ幅のパイプを介して送信しているが、６ＭＨｚ幅のパイプは、数本の多重化デジタル番組を含むトランスポートストリームを伝送することができる。一般に、トランスポートストリームは、ともに多重化した複数の番組またはサービスインスタンスから構成されている。番組またはサービスインスタンスを、基本ストリームまたはＰＩＤストリームで伝送する。これは同じＰＩＤ値を持つパケットストリームで、トランスポートストリームの各ＰＩＤストリームは一意の値を有する。番組のパケットを適切な時間で受信して、番組を視聴する際にビデオおよび音声を同期するように、番組のパケットを同期方式で送信する。本開示の目的として、デジタルトランスポートストリームをＭＰＥＧトランスポートストリームの観点から説明するが、これは例示のためだけである。

ＭＰＥＧトランスポートストリームでは、ＰＩＤ値は０から８，１９１の範囲である。０および８，１９１等の特定のＰＩＤ値を逆にして、特定の情報または機能を有するパケットに割り当てる。例えば、８，１９１のＰＩＤ値が割り当てられているスタッフパケットは、送信用パケットが他に利用できない時に、トランスポートストリームに挿入されている充填パケットである。番組対応テーブル（ＰＡＴ）を、０のＰＩＤ値に割り当てて、番組を番組マップテーブル（ＰＭＴ）にマッピングするのに用いる。（トランスポートストリームの各番組は、一意の番組番号を有する。）例えば、”ダーティーダズンズ”等の番組は、番組番号１５を有することができる。その場合はＰＡＴが、番組番号１５をＰＭＴ２５６等のＰＭＴにマッピングする。ＰＭＴ２５６はＰＩＤ値２５６を有するトランスポートストリームのパケットで、ＰＭＴ２５６は番組１５の基本ストリームをそのＰＩＤストリームにマッピングする。例えば、ＰＭＴ２５６は、”ダーティーダズンズ”のビデオストリームをＰＩＤストリーム２６２にマッピングして、英語音声ストリームをＰＩＤストリーム２６３にマッピングする。

本出願で参照するＭＰＥＧを、ＭＰＥＧ−１、ＭＰＥＧ−２およびＭＰＥＧ−４規格として説明する。ＭＰＥＧ−１規格（ＩＳＯ／ＩＥＣ１１１７２）、ＭＰＥＧ−２規格（ＩＳＯ／ＩＥＣ１３８１８）およびＭＰＥＧ−４規格（ＩＳＯ／ＩＥＣ１４４９６）は、国際標準化機構文書ＩＳＯ／ＤＢＣＪＴＣ１／ＳＣ２９／ＷＧ１１Ｎに詳細に記載されている（１９９６年６月ＭＰＥＧ−１、１９９６年７月ＭＰＥＧ−２、および１９９８年１０月ＭＰＥＧ−４）。これは、ここに引例として組み込まれている。

加入者テレビジョンネットワーク
図１を参照すると、デジタルブロードバンド配信システム（ＤＢＤＳ）１００は、中でも、ヘッドエンド１０２、複数のハブ１０４、複数のノード１０６、複数の加入者位置１０８、および複数のデジタル加入者通信端末（ＤＳＣＴ）１１０の一例を含む。ヘッドエンド１０２が、通信リンク１６２を介して、ＤＢＤＳ１００とコンテンツ・サービスプロバイダ１１４との間、または放送事業者、インターネットサービスプロバイダ等の受給権エージェントとの間のインターフェースを構成する。ヘッドエンド１０２とコンテンツ・サービスプロバイダ１１４との間の伝送媒体１６２は、典型的には双方向なので、ＤＢＤＳ１００を介したインターネットアクセス、ビデオオンデマンド、双方向番組ガイド等の双方向インタラクティブサービスが可能である。好適な実施の形態では、ハブ１０４も、通信リンク１６２を介してコンテンツ・サービスプロバイダ１１４と直接双方向通信を行って、双方向インタラクティブサービスを提供する。

好適な実施の形態では、ヘッドエンド１０２が、通信リンク１５０を介してハブ１０４と直接通信を行う。また、ヘッドエンド１０２が、通信リンク１５２を介してノード１０６とおよび直接通信を行って、通信リンク１５４を介して加入者位置１０８と直接通信を行う。ヘッドエンド１０２が加入者位置１０８と直接通信行うかどうかについては、実施例に関する事柄である。

ハブ１０４が、典型的にはＡＴＭまたはイーサネット（登録商標）等のプロトコルである、番組および他の情報を、伝送媒体１５０を介してヘッドエンド１０２から受信する。ハブ１０４が、伝送媒体１５２を介して情報および番組をノード１０６へ送信して、次に伝送媒体１５４を介して情報を加入者位置１０８へ送信する。ハブ１０４が加入者位置１０８またはノード１０６と直接通信するかどうかについては、実施例に関する事柄である。好適な実施の形態では、ハブ１０４についても、伝送媒体１５４を介して情報および番組直接を加入者位置１０８へ送信するように構成する。

好適な実施の形態では、伝送媒体１５０および１５２を光ファイバとして、高品質で高速の信号を配信できるようにして、伝送媒体１５４をブロードバンド同軸ケーブルまたは光ファイバのいずれかとする。ヘッドエンド１０２からＤＳＣＴ１１０への通信経路は、同軸ケーブルおよび光ケーブルの組み合わせを含む。通信経路は一般に、ハイブリッドファイバ同軸（ＨＦＣ）通信経路と呼ばれる。別の実施の形態では、伝送媒体１５０、１５２および１５４は、光ファイバ、同軸ケーブル、衛星、直接放送、地上波デジタル、マルチチャネルマルチポイント配信システム（ＭＭＤＳ）またはが周知の他の伝送媒体等の、１つ以上の各種の媒体を含むことができる。典型的には、伝送媒体１５０、１５２および１５４は、帯域内情報および帯域外情報の両方を送信する双方向通信媒体である。伝送媒体１５０、１５２、および１５４を介して、加入者位置１０８は、ヘッドエンド１０２および／またはハブ１０４と直接または間接的に双方向通信を行う。典型的には、ＤＳＣＴ１１０がヘッドエンド１０２と衛星、ＭＭＤＳ、または地上波デジタル放送通信を行う場合は、通信経路はヘッドエンド１０２からＤＳＣＴ１１０へと一方向であるが、その場合は、ＤＳＣＴ１１０およびヘッドエンド１０２は、電話ネットワーク（図示せず）を介して双方向通信を行う。

ハブ１０４は、番組およびサービスをサブ配信ネットワーク１６０へ導入するミニヘッドエンドとして機能する。サブ配信ネットワーク１６０は、ハブ１０４およびハブ１０４に接続した複数のノード１０６を含む。ミニヘッドエンドとして機能する複数のハブ１０４を有することにより、異なる番組、データおよびサービスをＤＢＤＳ１００の異なるサブ配信ネットワークに導入することが容易になる。例えば、加入者位置１０８（ｂ）および１０８（ｃ）が互いに物理的に近似しているとしても、ノード１０６（ｂ）に接続している加入者位置１０８（ｂ）は、ヘッドエンド１０２に直接接続している加入者位置１０８（ｃ）で利用できるサービス、データおよび番組とは異なるサービス、データおよび番組を利用することができる。加入者位置１０８（ｂ）のためのサービス、データおよび番組を、ハブ１０４およびノード１０６（ｂ）を介して送信する。ハブ１０４は、ヘッドエンド１０２を介して利用できるサービス、データおよび番組をＤＢＤＳ１００に導入することができる。また、好適な一実施の形態では、ハブ１０４およびハブのサブ配信ネットワーク１６０のＤＳＣＴ１１０が双方向通信を行うことにより、ハブ１０４がリアルタイムでそのＤＳＣＴ１１０に条件付きアクセスを行うことができる。ヘッドエンド１０２がＤＢＤＳ１００のＤＳＣＴ１１０に条件付きアクセスを行う詳細について、以下に説明する。ハブ１０４がミニヘッドエンドとして機能するので、同じまたは類似の手順を実行して、条件付きアクセスを行う。

加入者の敷地１０８に位置するＤＳＣＴ１１０は、中でも、ＤＢＤＳ１００と加入者との間の双方向インターフェースを構成する。ＤＳＣＴ１１０は、信号を復号化してさらに処理を行って、他の例のうちのテレビジョン受信機（ＴＶ）１１２またはコンピュータモニタ等の表示装置に表示する。別の実施の形態では、初めに信号を復号化してさらに処理を行う装置を、これに限定しないが、中でも、ＤＳＣＴ、コンピュータ、ＴＶ、モニタまたはＭＰＥＧデコーダ等の各種の装置内に配置できることが、当業者ならば理解するであろう。

ヘッドエンド１０２とＤＳＣＴ１１０との間のセキュアな通信を好ましくは、リベスト−シャミール−アルドレマン（ＲＳＡ）公開鍵暗号化技術等の、当業者に周知の対称鍵の対を用いて達成する。簡単に説明するが、対称鍵の対は、一般に配信した公開鍵と、配信されていない秘密鍵とを含む。公開鍵を用いて暗号化したコンテンツは、対応する秘密鍵を用いなければ復号化することができない。秘密鍵を用いて署名したメッセージを、対応する公開鍵で認証する。ヘッドエンド１０２およびＤＳＣＴ１１０は、公開鍵を交換した後で、安全に通信を行うことができる。

ヘッドエンド１０２は、ＤＢＤＳ１００内の各ＤＳＣＴ１１０の公開鍵を有するデータベース（図示せず）を含む。ヘッドエンド１０２は、特定のＤＳＣＴ１１０の公開鍵を用いてメッセージのコンテンツを暗号化することにより、特定のＤＳＣＴ１１０と安全に通信することができる。対応する秘密鍵を持つ特定のＤＳＣＴ１１０だけが、メッセージのコンテンツを復号化することができる。ヘッドエンド１０２の秘密鍵も、メッセージに署名することができる。その場合は、ＤＳＣＴ１１０は、ヘッドエンド１０２の公開鍵を用いてメッセージを認証する。相応の当業者が理解するように、暗号化の詳細については、Ｂｒｕｃｅ Ｓｃｈｎｅｉｅｒ、”Ａｐｐｌｉｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ”、Ｊｏｈｎ Ｗｉｌｅｙ＆Ｓｏｎｓ社、１９９４年を参照のこと。ＤＳＣＴ１１０も、公開鍵秘密鍵暗号化を用いてヘッドエンド１０２と通信することができる。

好適な実施の形態では、ＤＳＣＴ１１０を製造する際に、シリアル番号を割り当てて、それ自体の秘密鍵公開鍵対およびアクセス制御権の公開鍵を備える。鍵を安全なやり方でＤＳＣＴ１１０に備えて、ＤＳＣＴ１１０内の保護されたメモリに格納する。ＤＳＣＴの製造業者が、製造御者が製造する各ＤＳＣＴ１１０公開鍵およびシリアル番号を含むデータベースを維持する。ＤＢＤＳ１００内の各ＤＳＣＴ１１０は一意のシリアル番号を有し、ＤＳＣＴ１１０のＭＡＣアドレスとすることができるシリアル番号を用いて、ＤＳＣＴ１１０にメッセージをアドレッシングする。製造業者が、ＤＢＤＳ１００内の各ＤＳＣＴ１１０の公開鍵およびシリアル番号のコピーをＤＢＤＳ１００のオペレータに提供する。その場合は、製造業者は、任意の公開鍵が特定のＤＳＣＴ１１０に属しているＤＢＤＳ１００のオペレータに対して認証する鍵認証機関である。ＤＢＤＳ１００のオペレータが、ＤＢＤＳ１００内の各ＤＳＣＴ１１０の公開鍵およびシリアル番号のデータベースを維持する。

好適な実施の形態では、ＤＳＣＴ１１０の製造中に、複数の公開鍵を備える。ＤＳＣＴ１１０が暗黙的にこれらの公開鍵を信頼するのは、製造中に安全なやり方でＤＳＣＴ１１０に備えられるからである。その結果、ＤＳＣＴ１１０は、これらの信頼できる公開鍵の１つに対応する秘密鍵が署名した任意のメッセージを信頼する。少なくとも１つの信頼できる公開鍵を異なる公開鍵と置き換えることができ、これが次に信頼できる公開鍵となる。特定の信頼できる公開鍵を置き換えることにより、ＤＳＣＴ１１０が、それに含まれる新しい公開鍵を有する２つのメッセージを受信する。異なる秘密鍵が、２つのメッセージそれぞれに署名する。各秘密鍵は、ＤＳＣＴ１１０に格納した信頼できる公開鍵の１つに対応する。しかしながら、署名を行う秘密鍵が、置き換えた特定の信頼できる公開鍵に対応するわけではない。ＤＳＣＴ１１０は、その信頼できる公開鍵を用いて、対応する秘密鍵のうちの１つが署名したメッセージであることを検証して、メッセージが検証された場合にのみ、ＤＳＣＴ１１０がその信頼できる公開鍵を置き換える。

ＤＳＣＴ１１０がサービスインスタンスを受信して、ヘッドエンド１０２からアクセスする前に、ＤＳＣＴ１１０をヘッドエンド１０２に登録して、サービスインスタンスに対する権利を受ける。ＤＳＣＴ１１０をＤＢＤＳ１００に接続する場合は、ＤＳＣＴ１１０のシリアル番号を含むメッセージをヘッドエンド１０２に送信する。ＤＢＤＳ１００のオペレータは、ＤＳＣＴ１１０のシリアル番号をデータベースと比較して、データベースがＤＳＣＴ１１０のシリアル番号を含んでいる場合は、ＤＳＣＴ１１０を登録する。一般に、ＤＢＤＳ１００のオペレータが、ＤＳＣＴ１１０の信頼できる公開鍵の１つをそれ自身の信頼できる公開鍵と置き換える。これを、ＤＳＣＴ１１０の製造業者にそれぞれ新しい信頼できる公開鍵を含むＤＳＣＴ１１０宛の２つのメッセージにデジタルで署名させることにより行う。次に、２つのメッセージをＤＳＣＴ１１０に送信する。

好適な一実施の形態では、ＤＢＤＳ１００のオペレータが、加入者ネットワークに対するアクセスを制御するアクセス制御権として動作する。別の実施の形態では、中でも、ＤＳＣＴ１１０の製造業者がアクセス制御権として動作する。アクセス制御権がＤＢＤＳ１００へのアクセス制御のために用いる、ヘッドエンド１０２で実行する条件付きアクセス権（ＣＡＡ）論理がある。条件付きアクセス権が、ＤＳＣＴ１１０に受給権管理メッセージ（ＥＭＭ）等のセキュアなメッセージを送信する。これは、条件付きアクセス権の秘密鍵がデジタルで署名したものである。この開示のために、受信者がメッセージのソースを検証できて、受信したメッセージのコンテンツが改ざんされたり、送信の際に破壊されたりしていないか検証できるように、限定しない例として、セキュアなメッセージは、送信者がデジタルで署名したメッセージを含む。送信者がコンテンツを機密にしようとする場合は、セキュアなメッセージのコンテンツを暗号化することもできるし、コンテンツを暗号化せずに送信することができる。

好適な実施の形態では、条件付きアクセス権の秘密鍵は、ＤＳＣＴ１１０の信頼できる公開鍵の１つに対応する。ＤＳＣＴ１１０が、条件付きアクセス権の信頼できる公開鍵を用いてＥＭＭを認証して、ＥＭＭを条件付きアクセス権から送信されたと認証する場合に限ってＥＭＭに基づいて動作する。中でも、条件付きアクセス権がＥＭＭを用いて、ＤＳＣＴ１１０に受給権エージェントが提供するサービスインスタンスに関連する受給権情報のメモリの一部を割り当てるように命令して、ＤＳＣＴ１１０に受給権エージェントの公開鍵を提供させる。

ＤＳＣＴ１１０がメモリの一部を受給権エージェントに割り当てるようにメモリを分割して、次にＤＳＣＴに受給権エージェントの公開鍵を提供することにより、ＣＡＡが、受給権エージェントをＤＳＣＴに設定する。一旦受給権エージェントをＤＳＣＴに設定したならば、ＤＳＣＴ１１０が、その公開鍵を受給権エージェントに送信する。その後、署名して暗号化したメッセージを用いて安全に通信することができる。受給権エージェントをＣＡＡが認証して、割り当てたメモリの一部を管理して、受給権エージェントに対応付けられたサービスの受給権を与える。

ＤＳＣＴ１１０は好ましくは、通信リンク１２０を介してクライアント受信機１２２と通信する。好適な実施の形態では、通信リンク１２０は、これに限定しないが、電子電気学会（ＩＥＥＥ）規格８０２．１１ａ、８０２．１１ｂ、８０２．１１ｇ、ＨｙｐｅｒＬＡＮ／２、ＨｏｍｅＲＦ２、Ｂｌｕｅｔｏｏｔｈ２、および８０２．１５．３等のワイヤレスである。別の実施の形態では、ＤＳＣＴ１１０は、これに限定しないが、より線またはイーサネット（登録商標）、電話回線、電源線および同軸ケーブル等の、１つ以上の通信リンクを介して複数のクライアント受信機と通信する。

クライアント受信機１２２は、ＤＳＣＴ１１０と双方向通信を行って、それから情報およびサービスインスタンスを受信する。一実施の形態では、ＤＳＣＴ１１０は、クライアント受信機１２２のプロキシとして動作する。その場合は、ヘッドエンド１０２がサービスインスタンスおよびメッセージをＤＳＣＴ１１０に送信して、クライアント受信機１２２に再送信する前に、ＤＳＣＴ１１０が次にサービスインスタンスを処理する。この実施の形態では、ヘッドエンド１０２は、クライアント受信機１２２を認識していてもいなくても良い。ＤＳＣＴ１１０がクライアント受信機１２２のプロキシとなるので、ヘッドエンド１０２およびクライアント受信機１２２がＤＳＣＴ１１０と通信するだけでよく、ヘッドエンド１０２もクライアント受信機１２２も、どちらも互いの存在を認識する必要はない。この構成の利点は、ヘッドエンド１０２のソフトウェアを変更する必要がないこと、または最小限変更するだけで良いこと、クライアント受信機１２２がＤＳＣＴ１１０と接続するだけであることである。これにより、設計が簡単になる。

別の実施の形態では、クライアント受信機１２２をヘッドエンド１０２が認識して、ヘッドエンド１０２がＤＳＣＴ１１０を介してクライアント受信機１２２と通信する。ＤＳＣＴ１１０がやはりヘッドエンド１０２とクライアント受信機１２２との間の通信メッセージを処理するが、この実施の形態では、ＤＳＣＴ１１０が、クライアント受信機１２２のプロキシとしてではなく、ファシリテータとして動作する。例えば、一実施の形態では、ＤＳＣＴ１１０は、クライアント受信機１２２に宛てたヘッドエンド１０２からのメッセージを認証して、必要な場合は復号化して、他の場合はコンテンツを直接クライアント受信機１２２に送る。

別の実施の形態では、ＤＳＣＴ１１０はクライアント受信機１２２のゲートウェイであって、クライアント受信機１２２とヘッドエンド１０２との間の通信を単に送るだけである。さらに別の実施の形態では、ＤＳＣＴ１１０がヘッドエンド１０２からのメッセージや他の情報を復号化して、再暗号化して、クライアント受信機１２２に送信する。

後者の２つの実施の形態では、ヘッドエンド１０２およびクライアント受信機１２２が、どのＤＳＣＴ１１０を認識しないかという機密を共有しても良いことに留意されたい。ＤＳＣＴ１１０が単にメッセージを送るだけで復号化することができないので、これにより、ヘッドエンド１０２からのサービスに対するクライアント受信機１２２のアクセスプライバシーを保護する。

好適な一実施の形態では、ＤＳＣＴは、クライアント受信機１２２をヘッドエンドに接続するゲートウェイである。これにより、ＩＰアドレスをクライアント受信機１２２に割り当てて、クライアント受信機１２２にヘッドエンド１０２のドメインネームサーバ（ＤＮＳ）のＩＰアドレスを提供する。ＤＮＳが、クライアント受信機１２２にＤＳＣＴ１１０のＩＰアドレスを提供する。

好適な実施の形態では、加入者位置１０８のＬＡＮは自己認識型である。新しいクライアント受信機１２２をＬＡＮに導入すると、クライアント受信機１２２がネットワークを確認して、ＤＳＣＴ１１０と通信する。一実施の形態では、クライアント受信機１２２およびＤＳＣＴ１１０が、オープンサーバゲートウェイインターフェース（ＯＳＧｉ）等の規格を介して通信する。他の限定しない実施の形態は、ユニバーサルプラグアンドプレイ（ＵＰｎＰ）、ホームオーディオビデオインターオペラビリティ（ＨＡＶｉ）、Ｊｉｎｉ、ＣａｂｌｅＬａｂｓ ＣａｂｌｅＨｏｍｅ規格を介して通信を行うことを含む。通信プロトコルの選択は、実施例に関する事柄であって、通信プロトコルを選択する要因は、ＤＳＣＴ１１０をクライアント受信機１２２に接続する通信リンクの種類と、クライアント受信機１２２の種類とを含む。クライアント受信機１２２は、これに限定しないがラップトップコンピュータ、コンピュータ、携帯情報端末（ＰＤＡ）、ＶＣＲ、別のＤＳＣＴ１１０、またはテレビジョン等の、加入者ネットワークシステムから情報またはサービスインスタンスを受信するように構成した、任意のスマート機器とすることができる。

中でも、ＤＳＣＴ１１０は好ましくは、ウェブベースのサービスおよびコンテンツをクライアント受信機１２２に提供するウェブサーバを含む。クライアント受信機１２２およびＤＳＣＴ１１０は互いに通信し、これに限定しないが、ＴＣＰ／ＩＰパッケージで送信するＨＴＴＰ等のウェブベースのプロトコルを用いて、ウェブサーバと通信する。

これに限定しないが、当業者に周知のウェブブラウザまたは他のウェブベースの技術を用いて、サービスインスタンス、電子番組ガイド、広告、および他のシステム情報等のコンテンツを受信して、受給権のあるクライアント受信機１２２がコンテンツにアクセスできるようコンテンツを処理できるように、ウェブサーバを構成する。

ヘッドエンド
図２を参照すると、本発明の好適な実施の形態典型的なシステムでは、ヘッドエンド１０２がコンテンツを各種の入力ソースから受信する。これに限定しないが、直接の供給源（図示せず）、ビデオカメラ（図示せず）、アプリケーションサーバ（図示せず）、および他の入力ソース（図示せず）を含むことができる。入力信号を、各種の通信リンク１６２を介して、コンテンツプロバイダ１１４からヘッドエンド１０２へ送信する。これに限定しないが、衛星（図示せず）、地上波放送送信機（図示せず）およびアンテナ（図示せず）、および直接配線（図示せず）を含む。コンテンツプロバイダまたは受給権エージェントが送信する信号は、１つの番組または多重化した番組を含むことができる。

ヘッドエンド１０２は一般に、それぞれコンテンツソースに対応付けられた複数の受信機２１８を含む。一般に、コンテンツを、トランスポートストリーム２４０として受信機２１８から送信する。ローカル番組ビデオカメラから供給されたもの等のコンテンツをデジタルで暗号化する、エンコーダ２２０等のＭＰＥＧエンコーダが含まれる。典型的には、エンコーダ２２０が、可変ビットレートトランスポートストリームを生成する。信号の中には、変調する前にマルチプレクサ２２２が行う信号多重化等の処理をさらに必要とするものもある。

非同期転送モード（ＡＴＭ）スイッチ２２４等のスイッチが、アプリケーションサーバ（図示せず）に対するインターフェースを構成する。中でも、データサービス、インターネットサービス、ネットワークシステムまたは電話システム等の、各種のサービスを提供する複数のアプリケーションサーバがある。サービス・コンテンツプロバイダ１１４（図１に示す）は、ＤＢＤＳ１００内に位置するアプリケーションサーバまたはＤＢＤＳ１００と通信するアプリケーションサーバにコンテンツをダウンロードしても良い。アプリケーションサーバを、ヘッドエンド１０２内、またはハブ１０４等のＤＢＤＳ１００内のいずれかに配置しても良い。

典型的には、ヘッドエンド１０２は、ビデオオンデマンド（ＶＯＤ）ポンプ２２６等のサーバを含む。ＶＯＤポンプ２２６は、ＶＯＤペイパービュー番組等のビデオおよびオーディオ番組を、ＤＢＤＳの加入者１００に提供する。通常、ＶＯＤポンプ２２６からのコンテンツを、トランスポートストリーム２４０の形式で提供する。

複数の並行サービスを加入者位置１０８に提供するようにＶＯＤポンプ２２６を構成することにより、ＤＳＣＴ１１０のユーザがサービスの１つにアクセスでき、クライアント受信機１２２のユーザが別のサービスにアクセスできることに留意されたい。ヘッドエンド１０２から１つの加入者位置１０８に提供するサービスの数は、ＤＢＤＳ１００の帯域幅および数または加入者位置でのクライアント受信機１２２により制限される。

次に、ヘッドエンド１０２への様々な入力を、ローカル番組および制御情報等のＤＢＤＳ１００に特定の他の情報と合成する。ヘッドエンド１０２は、マルチトランスポートストリーム受信送信機２２８を含む。これは、複数のトランスポートストリーム２４０を受信して、複数のトランスポートストリーム２４２を送信する。好適な実施の形態では、マルチトランスポートストリーム受信送信機２２８は、これに限定しないが、受信したトランスポートストリーム２４０を、伝送媒体２８０を介して送信するのに適した変調出力信号に変換する直交振幅変調（ＱＡＭ）変調器等の複数の変調器を含む。

好適な実施の形態では、出力トランスポートストリーム２４２の帯域幅は、各トランスポートストリーム２４２の所定の周波数を中心とした６ＭＨｚである。任意のトランスポートストリームを同じ周波数で別のトランスポートストリームと合成しないように、任意のトランスポートストリーム２４２の周波数を選択する。言い換えれば、異なる周波数で変調したトランスポートストリームだけを合成できるので、トランスポートストリーム２４２Ａ〜Ｄの周波数は、互いに異なっている。トランスポートストリーム２４２Ｅ〜Ｈの周波数も同様である。マルチトランスポートストリーム受信送信機２２８からのトランスポートストリーム２４２を、コンバイナ２３０等の装置を用いて合成して、伝送媒体１５０へ入力して、合成した信号を、帯域内配信経路２５４を介して加入者位置１０８へ送信する。

好ましくはここに述べる機能を備えるコンピュータハードウェアおよびソフトウェアを含む、システム制御装置２３２等の制御システムにより、ＤＢＤＳシステムのオペレータがＤＢＤＳ１００の機能および動作を制御して監視することができる。ＤＢＤＳ１００の番組のチャネルラインアップ、各加入者への課金、および加入者に配信するコンテンツの条件付きアクセス等の機能を監視および／または制御するために、システム制御装置２３２が、通信リンク２７０を介して、様々な構成要素と接続する。システム制御装置２３２が、マルチトランスポートストリーム受信送信機２２８への入力を備えて、中でも、システム固有のＭＰＥＧテーブルパケット構成または条件付きアクセス情報等の、そのオペレーティングパラメータを設定する。

中でも、システム制御装置２３２が、ＤＢＤＳ１００内のＤＳＣＴ１１０に周期的に送信する電子番組ガイド等のシステム固有の情報を用意する。システム制御装置２３２はまた、ドメインネームサーバを含み、これが、ＤＢＤＳ１００の様々な構成要素のＩＰアドレスをクライアント受信機１２２へ提供する。

一実施の形態では、システム制御装置２３２はまた、中央ウェブサーバを備え、これが、インターネットウェブサービスをＤＳＣＴ１１０およびクライアント受信機１２２へ提供する。この実施の形態では、システム制御装置２３２が提供するインターネットベースのサービスを、ＤＢＤＳ１００の加入者だけに提供する。従って、ＤＢＤＳ１００のインターネットベースのウェブサービスは、ワールドワイドウェブ（ＷＷＷ）から仕切られており、ＤＢＤＳを通常は、“壁に囲まれた庭”と呼ばれる。インターネットベースのサービスは、中でも、小売りサービスを番組サービスに統合することができ、これは一般に、テレビ電子商取引またはＴコマースと呼ばれる。例えば、一実施の形態では、ウェブブラウザを介して、情報コマーシャル等のウェブベースのサービスのサービスインスタンスを加入者は視聴することができる。情報コマーシャルを表示するウェブページは典型的には、情報コマーシャルに含まれる少なくとも１つのアイテムを購入するのに加入者が用いる”購入”ボタンを含む。加入者が“購入”ボタンをクリックするのに応答して、新しいウェブページ、購入／発送フォームが現れる。これに限定しないが、”購入者”、”請求先住所”、”送付先住所”、”支払い方法”、”合計”、および対応する”数量”フィールドのアイテムのプルダウンメニュー等のフィールドを含む。加入者がフォームに記入し終わった後、次に情報をシステム制御装置２３２に送信して、注文を処理する。典型的には、加入者は、ＤＢＤＳ１００の自分の加入者アカウントに購入したアイテムを課金することができる。別の実施の形態では、加入者とＤＢＤＳ１００のオペレータとの間に継続した関係があるので、ＤＢＤＳ１００のオペレータがすでに”請求先住所”、”送付先住所”、および”支払い方法”等の情報をわかっているため、結果として、フィールドのいくつかは前もって読み込むことができる。

システム制御装置２３２は、データベース２４０、条件付きアクセス権（ＣＡＡ）２３４の論理、受給権生成器２３６およびＥＭＭ生成器２３８を含む。データベース２４０は、中でも、ＤＢＤＳ１００のＤＳＣＴ１１０のシリアル番号および公開鍵を含む。ＥＭＭ生成器２３８はデータベース２４０を用いて、アドレス可能ＥＭＭテンプレート、複数のＤＳＣＴ１１０およびクライアント受信機１２２のＥＭＭテンプレート、およびグローバルＥＭＭテンプレートを個別に生成する。

以下の説明では、様々な実施の形態で、注記がない場合や逆に内容から明らかになる場合を除いて、ＤＳＣＴに言及することは、ＤＳＣＴ１１０、クライアント受信機のプロキシとなるＤＳＣＴ、およびクライアント受信機１２２を含んでも良いことに留意されたい。

ＣＡＡ２３４をアクセス制御権が用いることにより、ＤＳＣＴ１１０がサービスインスタンスの受給権を受信することができる。ＣＡＡ２３４がＥＭＭテンプレートをＥＭＭ生成器２３８から受信して、ＥＭＭテンプレートを用いてＥＭＭを生成する。ＥＭＭを生成するには、ＣＡＡ２３４は、ＥＭＭテンプレート内にメッセージコンテンツおよび認証トークンを組み込む。ＣＡＡ２３４が、メッセージコンテンツを暗号化する必要があるかどうか判定する。暗号化する必要がある場合は、データベース２４０から検索したＥＭＭの受信者の公開鍵を用いて、ＣＡＡ２３４が、メッセージコンテンツを暗号化する。ＥＭＭの認証トークンは一般に、メッセージコンテンツの一方向ハッシュダイジェストである。これは、ＣＡＡ２３４の秘密鍵がデジタルで署名したものである。好適な実施の形態では、受信者、すなわち、ＤＳＣＴ１１０が、ＣＡＡ２３４からの認証トークンを有する任意のＥＭＭを暗黙的に信頼するのは、ＣＡＡ２３４が、ＤＳＣＴ１１０に格納した信頼できる公開鍵の１つ対応する秘密鍵でハッシュダイジェストに署名するからである。

一方向のセキュアなハッシュ関数は、いくつかの数値演算を介して入力を実行して、固定長で、可能ならば一意のハッシュダイジェストの出力を生成する暗号演算である。ハッシュダイジェストは、少なくとも２つの特性を有する。（１）任意のハッシュダイジェストが、事実上不可能であるか、あるいは少なくとも計算上困難である場合は、ハッシュ関数に対する入力を判定することと、（２）入力に対するハッシュダイジェストが基本的に一意であることである。言い換えれば、２つの異なる入力が同じ出力になる確立は非常に小さい。この開示で述べるハッシュダイジェストはすべて、セキュアな一方向ハッシュ関数から生成したものであって、署名したハッシュダイジェストは、秘密鍵で処理したハッシュダイジェストである。ハッシュダイジェストを秘密鍵で署名することにより、ハッシュダイジェストを第１の値から第２の値へ変換して、第２の値を対応する公開鍵で再署名することにより、それを第１の値に戻す。第２の値を第１の値に再変換するただ１つの方法は、もともとハッシュダイジェストを署名した秘密鍵に対応する公開鍵で第２の値を再署名することである。

好適な実施の形態では、ＤＳＣＴ１１０が分割可能なメモリを含み、およびＣＡＡ２３４がＥＭＭを用いてＤＳＣＴ１１０のメモリを分割する。ＤＳＣＴ１１０は、ＣＡＡ２３４からのＥＭＭに応答して、そのメモリを分割するだけである。ＣＡＡ２３４は、ＤＳＣＴ１１０にそのメモリの一部を受給権生成器２３６に割り当てるように命令して、ＤＳＣＴ１１０に受給権生成器２３６の公開鍵を提供する。一旦ＤＳＣＴ１１０が受給権生成器２３６の公開鍵を有したならば、受給権生成器２３６は安全にＤＳＣＴ１１０と通信できるので、サービスインスタンスの受給権をＤＳＣＴ１１０に提供できる。ＣＡＡ２３４はまた、ＤＳＣＴ１１０にメモリを割り当てさせないことにより、受給権生成器２３６をディスエーブルにすることもできる。ＤＳＣＴにメモリを割り当てて構成することについての詳細は、Ｐｉｎｄｅｒらの、米国特許番号第５，７４２，６７７号、１９９５年４月３日出願、Ｉｎｆｏｒｍａｔｉｏｎ Ｔｅｒｍｉｎａｌ Ｈａｖｉｎｇ Ｒｅｃｏｎｆｉｇｕｒａｂｌｅ Ｍｅｍｏｒｙを参照のこと。これは、ここにすべて引例として組み込まれている。

受給権生成器２３６が、暗号化情報およびサービスインスタンスに対するＤＳＣＴの受給権を生成する。受給権生成器２３６が、暗号化情報をマルチトランスポートストリーム送信機２２８に提供して、それから制御語を生成して、サービスインスタンスを暗号化する。好適な実施の形態では、暗号化情報は、日、週、または月等の、有効期間が比較的長いマルチセッション鍵（ＭＳＫ）である。ＭＳＫを、受給権生成器２３６が生成したＥＭＭでＤＳＣＴ１１０に送信する。

受給権生成器２３６が、ＥＭＭテンプレートをＥＭＭ生成器２３８から受信して、ＥＭＭを生成する。受給権生成器２３６からのＥＭＭはまた、認証トークンを含み、受給権生成器２３６の秘密鍵でデジタルで署名したハッシュダイジェストであって、ハッシュダイジェストはメッセージコンテンツのダイジェストである。ある状況では、受給権生成器２３６が、メッセージコンテンツの少なくとも一部のハッシュダイジェストと、受信者がわかっている機密とを生成する。受給権生成器２３６が、メッセージコンテンツを暗号化するかどうか判定する。暗号化すると判定したならば、受信者の秘密鍵を用いてメッセージコンテンツを暗号化する。典型的には、コンテンツがＭＳＫを含んでいる場合などのように、メッセージコンテンツを機密にすると判定した場合は、暗号化を行う。

別の実施の形態では、システム制御装置２３２は、メインコンピュータおよび複数のトランザクション暗号化装置を含む。これらは、セキュアな専用イーサネット（登録商標）接続等のセキュアなリンクを介してメインコンピュータに接続している。各トランザクション暗号化装置は、暗号アルゴリズムを実行するプロセッサおよびメモリを含む。この実施の形態ではＣＡＡ２３４は第１のトランザクション暗号化装置に存在し、受給権生成器２３６は各残りのトランザクション暗号化装置に存在する。受給権生成器を有するトランザクション暗号化装置はそれぞれ、受給権エージェントまたはコンテンツプロバイダのいずれかに対応付けられている。受給権エージェントまたはコンテンツプロバイダは、加入者の対応付けられたトランザクション暗号化装置を用いて、受給権をＤＳＣＴ１１０に提供することができる。この方法により、複数の受給権エージェントまたはコンテンツプロバイダが、コンテンツをＤＢＤＳ１００に提供でき、ＤＢＤＳ１００のオペレータが受給権を提供する責任を、受給権エージェントまたはコンテンツプロバイダに委任することができる。

ＥＭＭ等の制御情報および他のデータを、帯域内配信経路２５４を介してＤＳＣＴ１１０に通信したり、帯域外配信経路２５６を介してヘッドエンド１０２に接続したＤＳＣＴ１１０に通信したりできる。これに限定しないが、４位相位相偏移変調（ＱＰＳＫ）モデムアレイ２６０、またはデータオーバーケーブルサービスインターフェース規格（ＤＯＣＳＩＳ）モデムアレイ、または当業者に周知の他の手段により、伝送媒体１５４の帯域外ダウンストリーム経路２５８を介して帯域外データを送信する。双方向通信は、帯域外配信システムのアップストリーム部２６２を利用する。ＤＳＣＴ１１０が、伝送媒体１５４を介して帯域外データを送信して、帯域外アップストリーム経路２６２を介してヘッドエンド１０２に帯域外データを受信する。帯域外データを、ルータ２６４を介してアプリケーションサーバ、またはＶＯＤポンプ２２６、またはシステム制御装置２３２に転送する。帯域外制御情報は、ペイパービュー購買命令や、加入者位置１０８（図１に示す）からビデオオンデマンド型アプリケーションサーバへの視聴ポーズコマンド、およびパーソナルテレビセッション等のセッションを設定して制御する他のコマンドといった情報を含む。ＱＰＳＫモデムアレイ２６０についても、通信リンク１５２（図１）に接続して、ノード１０６に接続したＤＳＣＴ１１０と双方向通信を行う。

ルータ２６４を用いて、伝送媒体１５０を介してハブ１０４と通信する。典型的には、他の情報の中でもコマンドおよび制御情報をヘッドエンド１０２とハブ１０４との間で、これに限定しないがインターネットプロトコル等のプロトコルを用いて、伝送媒体１５０を介して通信する。ヘッドエンド１０２とハブ１０４との間のＩＰトラフィック２７２は、ハブ１０４に接続したＤＳＣＴ１１０と送受信する情報を含むことができる。

好適な実施の形態では、コンテンツを変調して送信する前にコンテンツを暗号化するように、マルチトランスポートストリーム受信送信機２２８を構成する。典型的には、データ暗号化規格（ＤＥＳ）またはトリプルＤＥＳ（３ＤＥＳ）、デジタルビデオ放送（ＤＶＢ）コモンスクランブルまたは他の暗号アルゴリズムまたは当業者に周知の技術等の暗号アルゴリズムを用いて、コンテンツを暗号化する。マルチトランスポートストリーム受信送信機２２８が、入力トランスポートストリーム２４０に含まれる番組の処理に関する命令をシステム制御装置２３２から受信する。入力トランスポートストリーム２４０は、下流側に送信しない番組を含むことがある。その場合は、システム制御装置２３２が、マルチトランスポートストリーム受信送信機２４０にこれらの番組を除去するように命令する。システム制御装置２３２から受信した命令に基づいて、マルチトランスポートストリーム受信送信機２２８が、入力トランスポートストリーム２４０に含まれる一部またはすべての番組を暗号化して、次に、暗号化した番組を出力トランスポートストリーム２４２に組み込む。入力トランスポートストリーム２４０に含まれる番組の中には、暗号化する必要がないものもある。その場合は、システム制御装置２３２が、マルチトランスポートストリーム送信受信機２２８にこれらの番組を暗号化せずに送信するように命令する。マルチトランスポートストリーム受信送信機２２８が、ＤＳＣＴ１１０に暗号化した番組を復号化するのに用いる情報を送信する。この開示の目的は、”番組”とは従来のテレビジョン番組を越えたものであり、ビデオ、オーディオ、ビデオオーディオ番組およびサービスおよびデジタル化コンテンツの他の形式を含むことを理解されたい。“受給権を受けた”ＤＳＣＴ１１０およびクライアント受信機１２２は、暗号化したコンテンツを復号化する復号化情報を用いることができる。この詳細について、以下に述べる。

マルチトランスポートストリーム送信受信機２２８が、システム制御装置２３２からのＭＳＫを用いてサービスインスタンスを暗号化する。マルチトランスポートストリーム送信受信機２２８は、２秒ごとまたはその程度で数値を生成するカウンタ、およびエンクリプタを含む。エンクリプタが、ＭＳＫを用いてカウンタ値を暗号化して、制御語を生成する。制御語をエンクリプタが鍵として用いて、サービスインスタンスの一部を暗号化する。

マルチトランスポートストリーム送信受信機２２８は、カウンタ値を受給権制御メッセージ（ＥＣＭ）に組み込む。これを、出力トランスポートストリーム２４２に多重化する。典型的には、ＤＳＣＴが、制御語を生成する前にＥＣＭのコンテンツを復号化する時間を費やさなくても良いように、ＥＣＭを暗号化しないで送信する。しかしながら、ＥＣＭは、認証トークンを含む。これを用いて、メッセージコンテンツを認証して、それに対するアクセスを制限する。以下に詳細に説明する。典型的には、認証トークンは、メッセージコンテンツのハッシュダイジェストで、ＭＳＫ等のＤＳＣＴ１１０が共有する機密である。ＭＳＫを有するＤＳＣＴだけが、ＥＣＭのカウンタ値を暗号化して、サービスインスタンスを復号化する制御語を生成することができる。

好適な実施の形態では、受給権生成器２３６が、各暗号化したサービスインスタンスを一意の受給権指定子と対応付けて、これをＥＣＭに組み込む。ＤＳＣＴ１１０が、受給権指定子を用いて、ＤＳＣＴ１１０がサービスインスタンスの受給権があるかどうか判定する。

好適な実施の形態では、ミニヘッドエンドとして機能するハブ１０４は、ヘッドエンド１０２と同じ構成要素の多くまたはすべてを含む。帯域内経路２５４に含まれるトランスポートストリーム２４２を受信して、そのサブ配信ネットワーク１６０全体でその中のコンテンツを再配信するように、ハブ１０４を構成する。ハブ１０４は、ＱＰＳＫモデムアレイ（図示せず）を含む。これは、通信リンク１５２および１５４に接続して、そのサブ配信ネットワーク１６０に接続したＤＳＣＴ１１０と双方向通信を行う。従って、そのサブ配信ネットワーク１６０に接続したＤＳＣＴ１１０、ヘッドエンド１０２、およびコンテンツプロバイダ１１４とも通信するように構成する。

ＤＳＣＴ１１０
図３を参照すると、ＤＳＣＴ１１０は好ましくは、入力ポート３０２、複数のタイマ３０４、デマルチプレクサ３０６、送受信機３０８、メモリ３１０、プロセッサ３１２、セキュアな要素３１４、ユーザインターフェース３１６、暗号装置３１８、クライアント受信機インターフェース３２０、出力ポート３２２、記憶装置３２４、およびリフォーマッタ３２６を含む。

入力ポート３０２で帯域内通信および帯域外通信を受信して、クライアント受信機インターフェース３２０で出力ポート３２２を介して信号を出力するように、ＤＳＣＴ１１０を構成する。出力ポート３２２がコネクタ３２８と接続している。これにより、ＤＳＣＴ１１０と、これに限定しないが、テレビ、ＶＣＲ、コンピュータ等の加入者装置との間の通信リンクを構成する。

好適な実施の形態では、通信リンク１２０はワイヤレス通信リンクで、クライアント受信機インターフェース３２０は、ユーザまたは資格のある技術者がＤＳＣＴ１１０にインストールすることができるカードである。クライアント受信機インターフェース３２０は、クライアント受信機１２２と通信する送受信機を含む。好適な実施の形態では、クライアント受信機インターフェース３２０の帯域幅は、複数のクライアント受信機１２２と通信することができるようなものである。一実施の形態では、複数のクライアント受信機インターフェース３２０を受け付けて、複数のクライアント受信機１２２と通信するように、ＤＳＣＴ１１０を構成する。別の実施の形態では、クライアント受信機インターフェース３２０は、ＤＳＣＴ１１０とクライアント受信機１２２との間の有線通信リンクの送受信機を含む。有線通信リンクを、これに限定しないが、より線対、イーサネット（登録商標）、電話回線および電気配線とすることができる。さらに別の実施の形態では、ＤＳＣＴ１１０は、２つ以上のクライアント受信機１２２と通信する複数のクライアント受信機インターフェース３２０を含む。別の実施の形態では、加入者がインストールするカードであるクライアント受信機インターフェース３２０の代わりに、クライアント受信機インターフェース３２０をＤＳＣＴ１１０の固定部品とする。クライアント受信機インターフェース３２０がインストール可能なカードであるかないかは、実施例に関する事柄である。

典型的には、チューナ３０４の数は、送受信機３０８の数に１つ足したもので、チューナの１つを出力ポート３２２に対応付けて、残りのチューナ３０４を複数のクライアント受信機インターフェース３２０に対応付ける。

ＤＳＣＴ１１０の動作を初めに出力ポート３２２に接続したテレビジョンについて説明して、そして、次に、クライアント受信機１２２に対して説明する。ＤＳＣＴ１１０は、選択したサービスインスタンスを視聴する”ユーザチャネル”を選択する等のコマンドをユーザが入力する赤外線受信機等の、ユーザインターフェース３１６を含む。忘れてはいけない重要なことは、”ユーザチャネル”が従来のテレビジョンチャネルでないことである。ケーブルテレビジョンシステムの従来のテレビジョンチャネルは、特定の周波数を中心とした、６ＭＨｚ帯域（１つのアナログプログラムを伝送する）である。しかしながら、本発明の好適な実施の形態では、今日の”ユーザチャネル”は概念的に、サービスインスタンスまたはサービスインスタンスのストリングに対応する。一般に、複数のサービスインスタンスを、トランスポートストリームに多重化して、トランスポートストリームを６ＭＨｚ帯域でＲＦ変調して送信する。従って、１つの６ＭＨｚ帯域が、複数のサービスインスタンスまたはユーザチャネルを伝送する。新しいユーザチャネルを選択することにより、ユーザがプログラムまたはサービスインスタンスを変更する場合は、新しいユーザチャネルおよび古いユーザチャネルを、同じ６ＭＨｚ帯域または異なる６ＭＨｚ帯域で伝送する場合もある。従って、従来のチャネルとユーザチャネルとを区別することは重要である。ユーザチャネルが一種の通信チャネルを表すことを理解されたい。通信チャネルは、これに限定しないが、一般に周波数分割多重化（ＦＤＭ）と呼ばれる周波数と、一般に時分割多重化（ＴＤＭ）と呼ばれる時間と、および一般にコード分割多重化（ＣＤＭ）と呼ばれるコードにより分けられる通信信号を含む。

好適な実施の形態では、送受信機３０８が帯域外通信２５８を入力ポート３０２から受信する。帯域外通信データは、中でも、システムテーブルおよびＥＭＭ等のセキュアなメッセージを含むメッセージを含む。ＥＭＭを、セキュアな要素３１４に送信して処理して、システムテーブルをメモリ３１０に格納する。

また、帯域外データは好ましくは、電子プログラムガイドおよび他のシステム固有の情報等の情報を含む。一実施の形態では、システム固有の情報を、放送ファイルシステム（ＢＦＳ）サーバが概念的に、ヘッドエンド１０２から周期的に送信する。ＢＦＳサーバが送信する情報はカルーセル上にあって、周期的に送信される。ＢＦＳは、カルーセルに含まれる情報のインデックスを周期的に送信して、ＤＳＣＴがインデックスを用いて、カルーセルの固有情報をいつ送信するかどうか判定する。ＢＦＳのカルーセル上の情報をいつ送信するか判定できるように、ＤＳＣＴ１１０が、インデックスをメモリ３１０に格納する。典型的には、ＢＦＳのカルーセルから現在何を送信しているかということと、カルーセル上のいくつかの所望の情報との間の連続した関係とを判定することにより、判定を行う。

衛星および他の一方向媒体、ダウンストリーム“帯域外”データ、およびデータカルーセルの別の実施の形態を、プログラム情報と多重化する。

好適な実施の形態では、送受信機３０８は、所定の周波数範囲で同調可能で、プロセッサ３１２が制御する。別の実施の形態では、ＤＳＣＴ１１０は複数の同調可能送受信機を含み、送受信機をそれぞれ、プロセッサ３１２またはクライアント受信機１２２の１つにより、制御する。他の別の実施の形態は、衛星、ＭＭＤＳ、または地上波デジタル放送を介してサービスを受信するＤＳＣＴ１１０を含む。

好適な実施の形態では、メモリ３１０に格納したシステムテーブルは、暗号化テーブル等のシステム情報テーブルであって、中でも、プログラムを暗号化するかどうか識別する。システムテーブルをシステム制御装置２３２が用意して、帯域内または帯域外通信経路を介してＤＳＣＴ１１０に送信する。

プロセッサ３１２がユーザインターフェース３１６からユーザ一入力を受信して、選択したユーザチャネルを含む周波数帯域を判定する。一般に、多重化サービスインスタンスは、ＭＰＥＧプログラムの形式である。その場合は、プロセッサ３１２がメモリ３１０に格納したシステム情報テーブルを参照して、選択したユーザチャネルの周波数帯域および選択したユーザチャネルのＭＰＥＧ番組番号を判定する。プロセッサ３１２が、チューナ３０４に所望の周波数帯域に同調するように命令する。

チューナ３０４が、帯域内通信を伝送媒体１５４に接続した入力ポート３０２から受信する。プロセッサ３１２からの命令に応答して、チューナ３０４が指定の周波数帯域に同調する。

デマルチプレクサ３０６が、チューナ３０４からトランスポートストリーム２４２を受信して、ＰＡＴ（ＰＩＤ＝０）を受信したトランスポートストリームから抽出する。プロセッサ３１２が、ＰＡＴを用いて選択したユーザチャネルのＰＭＴを判定して、ＰＭＴを用いて、選択したユーザチャネルで伝送するプログラムを構成する基本ストリームのＰＩＤ値を判定する。デマルチプレクサ３０６が、ユーザチャネルで伝送するプログラムの基本ストリームを抽出して、基本ストリームを暗号装置３１８に送信する。

プロセッサ３１２が、メモリ３１０に格納した暗号化テーブルを用いて、基本ストリームを暗号化するかどうか判定する。基本ストリームを暗号化した場合は、暗号装置が、セキュアな要素３１４からの復号化情報を用いて復号化する。暗号化しない基本ストリームを、暗号装置３１８を介してリフォーマッタ３２６に送る。

一般に、サービスインスタンスのＰＭＴは、サービスインスタンスのＥＣＭのＰＩＤ値を含む。その場合は、プロセッサ３１２が、チューナ３０４にこれらのＥＣＭを抽出して、セキュアな要素３１４に送信するように命令する。ＥＣＭは、選択したサービスインスタンスを復号化するのに用いる情報を含み、受給権指定子も含む。

セキュアな要素３１４を、中でも、暗号装置３１８に選択したサービスインスタンスを復号化するのに用いる制御語を提供するのに用いる。ＤＢＤＳ１００の条件付きアクセスシステムにおいて、ＤＳＣＴ１１０が選択したサービスインスタンスの復号化に用いるのに必要な鍵を有しているとしても、ＤＳＣＴ１１０が選択したサービスインスタンスにアクセスできないこともあることに留意するのは重要である。言い換えれば、選択したサービスインスタンスにアクセスするのに用いる鍵をすべて有していることに加えて、ＤＳＣＴ１１０は、選択したサービスインスタンスにアクセスする”権利を受ける”必要がある。ＤＳＣＴ１１０が、サービスインスタンスの受給権をシステム制御装置２３２の受給権生成器２３６から受信する。

ＤＳＣＴ１１０が、選択したサービスインスタンスの受給権がある場合は、セキュアな要素３１４が、暗号装置３１８に選択したサービスインスタンスを復号化するのに用いる制御語を提供する。暗号装置３１８が、セキュアな要素３１４からの制御語を用いて選択したサービスインスタンスを復号化して、復号化したサービスインスタンスを出力ポート３２２に送信する。セキュアな要素３１４がＤＳＣＴ１１０に権利を与えるかどうか判定する方法について、以下に詳細に説明する。

リフォーマッタ３２６が、復号化したＭＰＥＧパケットを暗号装置３１８から受信して、ＭＰＥＧパケットのコンテンツを、これに限定しないが、Ｒｅａｌ Ｖｉｄｅｏ８、Ｗｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏ８、Ｗｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏ９、ＱｕｉｃｋＴｉｍｅ、Ｈ．３２３、ＭＰＥＧ−４、Ｈ．２６４、ＭＰＥＧ−２、Ｍａｃｒｏｍｅｄｉａ Ｆｌａｓｈ、Ｍａｃｒｏｍｅｄｉａ Ｓｈｏｃｋｗａｖｅ Ｎａｔｉｏｎａｌテレビジョン方式審議委員会（ＮＴＳＣ）フォーマット等の、別のフォーマットに変換する。また、出力フォーマットがＭＰＥＧの場合は、ＰＩＤを再マッピングして、タイムスタンプを再同期して、多重分離化して、および／またはストリームを再多重化したり、またはプロセッサ３１２からの命令に従って、ＭＰＥＧトランスポートストリームに対して他の調整を行ったりするように、リフォーマッタを構成する。コンテンツをどのように変換する必要があるか、ユーザが選択したサービスを受信する装置の種類や、ＤＳＣＴ１１０とユーザ装置との間の通信リンク等の基準を用いて変換する必要があるかどうか、必要ならばプロセッサ３１２が判定する。例えば、出力ポート３２２に接続したユーザ装置がＴＶまたはＶＣＲの場合は、リフォーマッタが、選択したサービスをＭＰＥＧフォーマットからＮＴＳＣフォーマットへ変換する。また、好適な一実施の形態では、ＭＰＥＧパケット等のアプリケーションパケットを、これに限定しないが、イーサネット（登録商標）パケット等のネットワークパケットに封入するように、リフォーマッタ３２６をやはり構成する。従って、サービスインスタンスを、ネットワークプロトコルを用いて、ＬＡＮを介してクライアント受信機１２２へ送信することができる。

好適な一実施の形態では、リフォーマッタ３２６を更新することができ、コンテンツを上記の任意の例示のフォーマットに再フォーマットすることに限定しないことを強調する必要がある。これに限定しないが、Ｒｅａｌ Ｖｉｄｅｏ、Ｗｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏ、またはＱｕｉｃｋＴｉｍｅ等の新しいフォーマットまたは新しいプログラムが公開される際には、更新した論理／新しい論理を、ヘッドエンド１０２からＤＳＣＴ１１０へダウンロードする。リフォーマッタ３２６が、ダウンロードした論理がコンテンツを別のフォーマットに変換するように、させる。従って、新しい規格または既存の規格の新しいものが公開されたために、ＤＳＣＴ１１０が旧型になってしまうということがない。

リフォーマッタ３２６は、再フォーマットしたコンテンツを、出力ポート３２２、または暗号装置、またはクライアント受信機インターフェース３２０へ送信することができる。ユーザ選択したサービスのコンテンツにユーザ装置に接続した出力ポート３２２を介してアクセスする場合は、コンテンツを一般に、フォーマッタ３２６から出力ポート３２２に送信する。しかしながら、クライアント受信機１２２を介してコンテンツにアクセスする場合は、次に、コンテンツを暗号化することをプロセッサ３１２が決定することもある。その場合は、再フォーマットしたコンテンツを暗号装置３１８に提供して、コンテンツを暗号化して、その装置からクライアント受信機インターフェース３２０に送信する。

プロセッサ３１２が、再フォーマットしたコンテンツを暗号化しないと決定することもある。その場合は、リフォーマッタ３２６が、コンテンツをクライアント受信機インターフェース３２０に提供する。再フォーマットしたコンテンツを暗号化するかどうか判定する際に、プロセッサ３１２が、これに限定しないが、再フォーマットしたコンテンツの忠実度等の基準を用いることができる。ＭＰＥＧフォーマットで伝送するサービスインスタンスは、忠実度の程度が高く、コピーが簡単にできる。コピーは、オリジナルのものと忠実度の程度が同じである。しかしながら、サービスインスタンスをＲｅａｌ Ｖｉｄｅｏ、またはＮＴＳＣフォーマット等の忠実度が低いフォーマットに変換する場合は、プロセッサ３１０が、再フォーマットしたコンテンツに暗号化しないことを決定することができる。その場合は、暗号化しない再フォーマットしたコンテンツを、クライアント受信機インターフェース３２０へ提供する。

ＤＳＣＴ１１０はまた、サービスインスタンスを格納する記憶装置３２４を含むこともできる。ユーザは、ユーザインターフェース３１６を用いて、ＤＳＣＴ１１０に受信したサービスインスタンスを記憶装置３２４に格納することを命令できる。別の実施の形態では、記憶装置をＤＳＣＴ１１０の外部に配置する。その場合は、サービスインスタンスを、出力ポート３２２を介して、または入力／出力インターフェース（図示せず）を介して外部記憶装置に送信する。

加入者は、クライアント受信機１２２を用いて、ＤＢＤＳ１００が提供するサービスを選択することができる。クライアント受信機１２２が、通信リンク１２０を介してそのユーザ入力をクライアント受信機インターフェース３２０へ送信する。典型的には、ユーザが選択したサービスをクライアント受信機１２２に送信する前に、ＤＳＣＴ１１０が、中でも、クライアント受信機１２２に送信する情報を暗号化する暗号化手法を判定して、クライアント受信機１２２に選択したサービスの受給権があるかどうか判定する。

一実施の形態では、ＤＳＣＴ１１０が、クライアント受信機１２２に、ＨＴＴＰ等のインターネットプロトコルに従ってフォーマットしたコンテンツを提供する。これに、クライアント受信機１２２でウェブブラウザによりアクセスすることができる。この実施の形態では、メモリ３１０が、プロセッサ３１２が実行してウェブベースのサービスを提供するウェブサーバ論理を含む。ＤＳＣＴ１１０のウェブサーバ機能を、条件付きアクセスが統括して実行することを強調する必要がある。この例示の詳細については、ここで説明する。一般に、条件付きアクセス統括とは、ウェブサーバが中でも、例として、どのサービスをクライアント受信機１２２に提供するか判定すること、受給権をサービスに設定して削除すること、クライアント受信機１２２の装置の種類に基づいて選択的にサービスを提供すること、クライアント受信機１２２のユーザに基づいて選択的にサービスを提供することを行えることを意味する。さらに、ヘッドエンド１０２がウェブサーバに命令して、受給権をクライアント受信機１２２へ追加したり削除したりすることができる。クライアント受信機がヘッドエンドと直接関係があり、ＤＳＣＴ１１０が暗号化したデータを処理できないとしても、クライアント受信機１２２へのトラフィックをブロックするように命令することができ、やはりサービスをディスエーブルするのに用いることができる。例えば、支払いが行われない場合にこの機能を起動しても良い。

メモリ３１０はまた、クライアント受信機テーブルを含む。これを好ましくは、中でも、クライアント受信機１２２の識別およびセキュアな通信の設定に用いる。好適な一実施の形態では、ＤＳＣＴ１１０がワイヤレスＬＡＮを管理する。ＬＡＮに導入する際に、ワイヤレスＬＡＮを認識するようにクライアント受信機１２２を構成する。別の実施の形態では、ＤＳＣＴ１１０が有線ＬＡＮを管理して、クライアント受信機１２２がネットワークを認識して、ネットワークを介してクライアント受信機１２２をＤＳＣＴ１１０に接続する際に、ネットワークがクライアント受信機１２２を認識する。別の実施の形態では、クライアント受信機にＤＳＣＴを通知して、ローカルネットワークを用いて接続する。別の実施の形態では、中でも、ＤＳＣＴの赤外線リモート制御を介して管理するＤＳＣＴ上のグラフィックインターフェースを介して、クライアント受信機の存在をＤＳＣＴに通知する。

また、好適な一実施の形態では、メモリ３１０がやはり、ユーザアカウントを設定して管理する論理を含む。世帯の様々な構成員または他の選択した人々がＤＳＣＴ１１０を介してＤＢＤＳ１００にアクセスできるように、ＤＢＤＳの加入者１００はユーザアカウントを設定できる。典型的には、ユーザアカウントにアクセスするには、ユーザは、ユーザ名およびパスワードを入力する必要がある。次に、これを、メモリ３１０に格納した設定したユーザ名およびパスワードに一致させる。この実施の形態では、サービスを、ログインユーザに基づいて制限することができる。例えば、親がユーザインターフェース３１６を用いて子供のアカウントを設定して、次に、テレビ電子商取引または親が子供にアクセスさせたくない他のコンテンツへアクセスできないように、アカウントを制限する。あるいは、制限したサービスを要求する際に限って、パスワードまたはユーザ名／パスワードの組み合わせを必要としても良い。一実施の形態では、ユーザ名、パスワード、アカウント許可等を、セキュアな要素３１２に格納する。

クライアント受信機１２２が、クライアント受信機１２２に関するハードウェア情報を含むメッセージをＤＳＣＴ１１０に送信する場合は、プロセッサ３１２が、メモリ３１０のクライアント受信機テーブルを用いてクライアント受信機１２２の装置の種類を識別する。例えば、中でも、クライアント受信機１２２がラップトップまたは携帯情報端末またはセットトップ装置等の計算装置であるかどうか判定するのにプロセッサ３１２が用いるハードウェア情報が、受信したメッセージに含まれる場合である。ＤＳＣＴ１１０およびクライアント受信機１２２が、当業者に周知のプロトコルを用いて通信を設定する。これに限定しないが、オープンサーバゲートウェイインターフェース（ＯＳＧｉ）、Ｊｉｎｉ、ホームオーディオ／ビデオインターオペラビリティ（ＨＡＶｉ）、およびユニバーサルプラグアンドプレイ（ＵＰｎＰ）等である。これらの規格の１つを用いて提供するクライアント受信機に関する情報により、どの暗号化機構やどのビデオ暗号化フォーマットが可能か設定しても良い。

別の限定しない実施の形態では、ＤＳＣＴ１１０が、メッセージをクライアント受信機１２２から受信して、少なくともメッセージの一部をヘッドエンド１０２に転送する。システム制御装置２３２がＤＳＣＴ１１０からのメッセージを用いて、データベース２４０にクライアント受信機１２２を識別させて、システム制御装置２３２がメッセージをＤＳＣＴ１１０に送信して、クライアント受信機１２２とセキュアな通信をどのように設定するか、または設定するかどうか、ＤＳＣＴ１１０に命令する。

メモリ３１０は、動的に暗号化手法を判定する論理を含む。動的暗号化手法判定論理の限定しない例は、これに限定しないが、セキュアソケットレイヤ（ＳＳＬ）プロトコル、デジタル伝送コンテント保護（ＤＴＣＰ）、書き込み可能媒体コンテント保護（ＣＰＲＭ）、およびトランスポートレイヤセキュリティ（ＴＬＳ）プロトコルを含む。当業者に周知のこれらのプロトコルおよび他の動的暗号化手法判定論理を、本発明の範囲に入るように構成する。

一般に、ＤＳＣＴ１１０からクライアント受信機１２２に送信するコンテンツを、通信のプライバシーを保護するように送信する。ＤＳＣＴ１１０およびクライアント受信機１２２が実行する暗号化手法を、クライアント受信機１２２の装置の種類、通信媒体、およびコンテンツ等の要因を考慮して判定する。例えば、クライアント受信機１２２がラップトップの場合は、暗号化手法は、クライアント受信機１２２がＰＤＡまたはセットトップの場合と異なっても良い。同様に、送信が敷地を抜けて、不正な者が受信する可能性があるので、ワイヤレス通信を用いることにより、より厳重なレベルのセキュリティを必要としても良い。

これから図４を参照すると、ステップ４００を実行して、ＤＳＣＴ１１０とクライアント受信機１２２との間で専用の通信を設定する。ステップ４０２では、ＤＳＣＴ１１０が、クライアント受信機識別メッセージをクライアント受信機から受信する。クライアント受信機１２２が、ＤＳＣＴ１１０が維持するＬＡＮを認識した場合は、メッセージをＤＳＣＴ１１０に送信する。メッセージは、クライアント受信機１２２に関するハードウェア情報等の装置情報を含む。これは、クライアント受信機１２２がセットトップ、ラップトップコンピュータ、コンピュータ、ＰＤＡ、スマート機器等かどうか、クライアント受信機１２２の装置の種類を識別する。

ステップ４０４では、プロセッサ３１２が、メモリ３１０に格納したクライアント受信機テーブルおよび受信したクライアント受信機識別メッセージを用いて、クライアント受信機１２２の機密種別を判定する。プロセッサ３１２が、クライアント受信機１２２の機密種別を用いて、情報を通信する暗号化手法およびクライアント受信機１２２へのサービスを判定する。プロセッサ３１２は、ＤＳＣＴ１１０とクライアント受信機１２２との間でメッセージを通信する第１の暗号化手法と、クライアント受信機１２２へサービスインスタンスを通信する異なる暗号化手法（または暗号化手法ではない）とを判定することができる。

ステップ４０６では、プロセッサ３１２が、暗号化手法を判定する論理を実行する。好適な実施の形態では、クライアント受信機１２２をローカルエリアネットワークに接続する場合に、暗号化手法を動的に判定する。別の実施の形態では、クライアント受信機１２２に配信するコンテンツの量等の、ローカルエリアネットワークでの動的な変化に応答して、あるいはユーザ入力に応答して、暗号化手法を動的に判定する。例えば、クライアント受信機１２２のユーザが、判定したものとは異なるレベルの暗号化を行いたい場合がある。その場合は、ユーザは、高いまたは低い異なるレベルを選択して、ユーザの入力に基づいて、ＤＳＣＴ１１０が新しいレベルのセキュリティを判定する。しかしながら、好適な実施の形態では、少なくとも所定の最低レベルのセキュリティを維持するように、暗号化手法を判定する際にＤＳＣＴ１１０がユーザの入力をオーバーライドすることができる。

別の限定しない例では、受信機に送信するコンテンツの種類に対応して、暗号化手法を動的に判定する。例えば、コンテンツタイプが、暗号化をしないでヘッドエンド１０２からＤＳＣＴ１１０へ送信するプログラムまたはサービスインスタンスである場合は、暗号化を全くしないか、または低いレベルの暗号化を行って、コンテンツをクライアント受信機に送信する。それに対して、コンテンツタイプが暗号化したプログラムまたは暗号化したサービスインスタンスである場合は、次に、高いレベルの暗号化を行って、コンテンツタイプをクライアント受信機に送信する。従って、クライアント受信機１２２のユーザが、あるユーザチャネルから別のものへ変えたり、異なるタイプのコンテンツを要求したりする場合は、暗号化手法を動的に再判定する。

一旦ＤＳＣＴ１１０が暗号化手法を判定したならば、ＤＳＣＴ１１０およびクライアント受信機１２２が安全に、機密に通信できるように、クライアント受信機１２２に暗号化手法を通知する。一実施の形態では、ＤＳＣＴ１１０およびクライアント受信機１２２がともに暗号化手法を判定する。この実施の形態では、ＤＳＣＴ１１０が一致する必要がある所定の最小セキュリティ閾値を有し、ＤＳＣＴが最小セキュリティ閾値を下回る暗号化手法を判定することはない。典型的には、クライアント受信機１２２が、ＤＳＣＴ１１０に、クライアント受信機１２２がある暗号化手法を実行できることを通知して、ＤＳＣＴ１１０が次に、その最小セキュリティ閾値に一致し、クライアント受信機１２２が実行できる暗号化手法を判定する。

図５を参照すると、ステップ５００を、プロセッサ３１２およびセキュアな要素３１４が実行する。ステップ５０２では、ＤＳＣＴ１１０が、クライアント受信機１２２からサービスインスタンスに対する要求を受信する。サービスインスタンスは一般に、クライアント受信機１２２のユーザが選択した番組等の、ユーザが選択したサービスインスタンスである。別の実施の形態では、サービスインスタンスは、インターネット接続等のサービスである。

ステップ５０４では、クライアント受信機１２２に与えた受給権のマップを維持するセキュアな要素３１２が、クライアント受信機１２２に要求したサービスインスタンスの受給権を与えるかどうか判定する。受給権マップが、サービスを受給権と対応付ける。クライアント受信機１２２にサービスインスタンスの受給権を与える場合は、プロセッサ３１２がステップ５０６に進んで、ＤＳＣＴ１１０でサービスインスタンスに現在アクセス可能かどうか判定する。ユーザの要求に応じて、ＤＳＣＴ１１０は、サービスインスタンスのいくつかにアクセス可能である。例えば、ＤＢＤＳ１００がパーソナルテレビを含むことにより、サービスインスタンスの送信をユーザが制御することも可能である。これは、ちょうどＶＣＲのように、送信を一時停止したり、巻き戻したりすることができることを意味する。要求したサービスインスタンスの別の限定しない例は、ペイパービュー番組を含む。

選択したサービスインスタンスが現在ＤＳＣＴ１１０でアクセスできない場合は、ステップ５０８で、ＤＳＣＴ１１０がサービスインスタンスの要求をヘッドエンド１０２に送信する。好適な実施の形態では、セキュアな要素３１４がユーザ要求についてのセキュアなメッセージを生成して、送受信機３０８にそれを送信して、ヘッドエンド１０２に送信する。別の実施の形態では、プロセッサ３１２が、サービス要求をクライアント受信機１２２からヘッドエンド１０２へ転送する。さらに別の実施の形態では、プロセッサ３１２がクライアント受信機１２２へのサービス要求を生成する。サービスに対する要求に応答して、ヘッドエンド１０２がサービスをＤＳＣＴ１１０へ提供しても良い。しかしながら、別の場合は、システム制御装置２３２が、要求したサービスインスタンスを送信しないことを決定しても良い。一般に、選択したサービスを次に、トランスポートストリーム２４２に組み込む。

ステップ５１０では、クライアント受信機１２２に、選択したサービスインスタンスの受給権を提供する。好適な実施の形態では、セキュアな要素３１４が選択したサービスインスタンスに対する受給権を生成して、受給権をクライアント受信機１２２に提供する。典型的には、セキュアな要素３１４が受給権を含むＥＭＭを生成して、通信リンク１２０を介して受給権をクライアント受信機１２２に送信する。この実施の形態では、ＤＳＣＴ１１０がクライアント受信機１２２への受給権許可権限として動作する。ＤＳＣＴ１１０が、クライアント受信機１２２にサービスインスタンスの受給権を許可する権限および機能を有する。

また、サービスに対応付けられた受給権の状態が新しく許可された受給権に対応するように、セキュアな要素３１４が受給権マップを更新する。従って、クライアント受信機１２２に受給権を与えるか（または受給権を与えないか）どうか、セキュアな要素３１４が容易に判定することができる。すなわち、単に受給権マップをチェックすることにより、サービスインスタンスの受信が許可されているか（またはされていないか）どうか判定することができる。また、セキュアな要素３１４がシステム制御装置２３２に、クライアント受信機１２２に受給権が与えられたことを示すメッセージを送信する。理由の中でも、加入者に受給権を受けたサービスの課金ができるように、システム制御装置２３２に、受給権をクライアント受信機１２２に許可したことを通知する。

好適な一実施の形態では、セキュアな要素３１４が、クライアント受信機１２２に対して選択したサービスインスタンスの受給権を要求するセキュアなメッセージを生成して、セキュアなメッセージを受給権生成器２３６に送信する。一般に、セキュアなメッセージは、受給権生成器の公開鍵で暗号化したメッセージコンテンツおよびＤＳＣＴ１１０の秘密鍵が署名したメッセージコンテンツのハッシュダイジェストである認証トークンを含む。

受給権生成器２３６がセキュアなメッセージをＤＳＣＴ１１０から受信して、ＤＳＣＴ１１０に対する選択したサービスインスタンスの受給権をＥＭＭに備える。ＤＳＣＴ１１０のセキュアな要素３１４は次に、ＥＭＭを処理して、受給権をクライアント受信機１２２に提供する。ステップ５１２では、選択したサービスインスタンスを、クライアント受信機１２２に提供する。ステップ５００は単に例示であって、別の実施の形態ではある程度、ステップを実行することに留意されたい。例えば、別の限定しない例では、クライアント受信機１２２に選択したサービスインスタンスの受給権を与えるべきかどうかどうか、プロセッサ３１２が判定する。この実施の形態では、ＤＳＣＴ１１０を用いて、クライアント受信機１２２へ提供するサービスインスタンスを調整することができる。

好適な一実施の形態では、ＤＳＣＴ１１０がサービス要求をクライアント受信機１２２から受信して、処理を行わずにヘッドエンド１０２へ転送する。その場合は、ヘッドエンド１０２が、サービスインスタンスをクライアント受信機１２２に送信するのに用いられる暗号化手法を決定する。ＤＳＣＴ１１０が、クライアント受信機１２２のゲートウェイとして動作する。ヘッドエンド１０２へ転送するサービス要求が、ＤＢＤＳ１００の複数の加入者のうちの特定の加入者を識別する加入者表示部を含み、ヘッドエンド１０２が加入者表示部を用いて、特定の加入者を判定する。加入者表示部を、中でも、ＤＳＣＴ１１０のシリアル番号／ＭＡＣアドレス、または加入者の公開鍵に対応付けられたシリアル番号とすることができる。その場合は、サービス要求に、加入者の秘密鍵で署名する。ヘッドエンド１０２は、加入者の課金状況および／またはサービスを提供するかどうか判定するためのクライアント受信機１２２のハードウェアタイプおよびクライアント受信機１２２に対してサービスを通信する暗号化手法を判定する知識に関する情報を用いることができる。

好適な一実施の形態では、ＤＳＣＴ１１０が、サービス要求をクライアント受信機１２２から受信して、処理する。セキュアな要素３１４がサービス要求のセキュアなメッセージを生成して、ヘッドエンド１０２が、クライアント受信機１２２に選択したサービスの受給権を与えるかどうか判定する。また、ヘッドエンド１０２が、クライアント受信機１２２に要求したサービスを供給すると決定する場合は、ヘッドエンド１０２はまた、選択したサービスの暗号化手法を判定することができる。この場合は、サービス要求を転送してヘッドエンド１０２に判定を行わせることにより、ＤＳＣＴ１１０がクライアント受信機１２２のプロキシとして動作する。

好適な一実施の形態では、ＤＳＣＴ１１０またはヘッドエンド１０２が、クライアント受信機１２２に要求したサービスインスタンスを受給しないと判定する場合は、ＤＳＣＴ１１０がサービス否定メッセージをクライアント受信機１２２に送信する。サービス否定メッセージを受信すると、クライアント受信機１２２が、サービスが否定されたことを、クライアント受信機１２２を用いて加入者に通知する。典型的には、加入者が加入者に対する請求額を支払わなかった場合にサービスを拒否する。しかしながら、適切な暗号化手法の判定に失敗したり、クライアント受信機１２２が適切なハードウェアおよび／またはソフトウェアを有していなかったり、またはクライアント受信機１２２のセキュリティに欠陥があるとわかっていたりするなどといった理由で、サービスを拒否することもできる。

好適な一実施の形態では、ＤＳＣＴ１１０がサービス要求をクライアント受信機１２２から受信する場合は、要求したサービスがローカルで利用可能であることに基づいて、ＤＳＣＴ１１０が、要求したサービスをクライアント受信機に供給するかどうか判定する。要求したサービスを現在ＤＳＣＴ１１０または異なるクライアント受信機が利用している場合は、ＤＳＣＴ１１０が、クライアント受信機１２２に要求したサービスを提供しないことを決定できる。

これから図６を参照すると、好適な実施の形態では、ステップ６００で実行する論理が、セキュアな要素３１４、プロセッサ３１２および暗号装置３１８に存在する。ステップ６０２では、選択したサービスインスタンスをデマルチプレクサ３０６が受信する。これは、プロセッサ３１２が制御する。別の実施の形態では、選択したサービスインスタンスを記憶装置３２４に格納して、検索する。

ステップ６０４では、プロセッサ３１２が、システムテーブルを用いてサービスインスタンスを暗号化するかどうか判定する。選択したサービスインスタンスをヘッドエンドで暗号化した場合は、プロセッサ３１２が、ステップ６０６でサービスインスタンスを復号化する必要があるかどうか判定する。プロセッサ３１２が、メモリ３１０に格納したシステム情報テーブルをその判定に用いる。サービスインスタンスのコンテンツを復号化する必要がない場合は、プロセッサ３１２が、復号化しないでサービスインスタンスをクライアント受信機インターフェース３２０に送るように、暗号装置３１８に命令する。次にステップ６１６では、クライアント受信機インターフェース３２０がサービスインスタンスをクライアント受信機１２２に送信する。

一方、プロセッサ３１２がサービスインスタンスを復号化すると判定する場合は、次にステップ６０８で、プロセッサ３１２が、セキュアな要素３１４が提供する制御語を用いてサービスインスタンスを復号化して、サービスインスタンスをリフォーマッタ３２６に提供するように、暗号装置３１８に命令する。

ステップ６１０では、リフォーマッタ３２６が暗号化しないサービスインスタンスを暗号装置３１８から受信して、プロセッサ３１２からの命令を再フォーマットする。ユーザ選択したサービスインスタンスを伝送するＭＰＥＧパケットのコンテンツをＭＰＥＧから他のフォーマットに変換するように、リフォーマッタ３２６を構成し、再フォーマットしないでパケットを送るように構成する。典型的には、クライアント受信機１２２がＭＰＥＧコンテンツを復号化するように構成したセットトップ装置または他の装置である場合は、プロセッサ３１０が、リフォーマッタ３２６にコンテンツを再フォーマットしないように命令することができる。

ステップ６１２では、プロセッサ３１２が、選択したサービスインスタンスの暗号化手法を判定する。暗号化手法は、選択したサービスインスタンスを暗号化してもしなくても良い。この判定を、復号化したサービスインスタンスと、受信した暗号化しないサービスインスタンスとの両方に行う。プロセッサ３１２が、その判定にメモリ３１０に格納したシステムテーブルを用いる。一実施の形態では、判定は、コンテンツをクライアント受信機１２２に送信する等の要因を含む。例えば、コンテンツがインターネット情報、電子メール等の場合は、情報を暗号化しないでヘッドエンド１０２へ送信した場合であっても、コンテンツを暗号化してユーザのプライバシーを保護することもできる。

暗号化するかしないかという判定もまた、コンテンツのフォーマット等の要因を含むことができる。例えば、比較的忠実度が低いコンテンツならば暗号化しないで送信する。しかしながら、ＭＰＥＧフォーマット等の、忠実度が高いフォーマットでコンテンツを提供する場合は、コンテンツを典型的には暗号化して、不正者が高品位の不正コピーを生成しないようにする。しかしながら、これに限定しないが、ＮＴＳＣ等の比較的低い忠実度のフォーマットにコンテンツを再フォーマットした後は、コンテンツ所有者は、不正コピーについてあまり考慮することがない。その場合は、コンテンツを暗号化しないで送信する。

プロセッサ３１２がサービスインスタンスを暗号化すると判定する場合は、次にステップ６１４で、サービスインスタンスを暗号装置３１８に提供して、ＤＳＣＴ１１０が動的に判定した暗号化手法を用いて、暗号装置３１８がサービスインスタンスを暗号化する。典型的には、セキュアな要素３１４が、暗号装置３１８に暗号装置３１８が用いる暗号鍵を提供して、サービスインスタンスを暗号化する。

一方、プロセッサ３１２が選択したサービスインスタンスを暗号化しないと判定する場合は、選択したサービスインスタンスをクライアント受信機インターフェース３２０に提供する。ステップ６１６では、クライアント受信機インターフェース３２０がサービスインスタンスをクライアント受信機１２２に送信する。

図７を参照すると、セキュアな要素３１４は、プロセッサ７０２と、プロセッサ７０２にしかアクセスできないメモリ７０４とを含む。メモリ７０８は、受給権７０６、機密７０８および鍵７１０を含む。好適な実施の形態では、プロセッサ７０２以外の他の装置がメモリ７０４にアクセスできないように、プロセッサ７０２およびメモリ７０４をタンパー防止パッケージに実装する。タンパー防止パッケージにより、メモリ７０４のコンテンツを保護して、機密情報が確実に機密で、部外秘であるままになるようにする。

鍵７１０は、その製造中にセキュアな要素３１４に備えられる、ＤＳＣＴ１１０の公開鍵秘密鍵対と、ＤＳＣＴ１１０が管理するＬＡＮ内のクライアント受信機１２２の公開鍵とを含む。ＤＳＣＴ１１０の秘密鍵をメモリ７０４に格納して、プロセッサ７０２以外のプロセッサには供給しないようにする。しかしながら、ＤＳＣＴ１１０の公開鍵を、システム制御装置２３２のＣＡＡ２３４および受給権生成器２３６等のＤＢＤＳ１００の他の装置や、クライアント受信機１２２に供給する。ＤＳＣＴの公開鍵の所有者は、ＤＳＣＴ１１０の秘密鍵が署名したメッセージの認証や、ＤＳＣＴ１１０に送信したメッセージの暗号化に、公開鍵を用いることができる。

機密７０８は、ＤＳＣＴ１１０とクライアント受信機１２２との間で共有する機密である。好適な実施の形態では、中でも、クライアント受信機１２２に提供するサービスインスタンスの暗号化、クライアント受信機１２２に送信するメッセージの認証トークンの生成、クライアント受信機１２２からのメッセージの認証に、機密７０８を用いることができる。

受給権７０６は、クライアント受信機１２２に備えられた受給権の受給権マップを含む。受給権マップが、サービスインスタンスに対応付けられた受給権識別子（ＩＤ）を、クライアント受信機のそのサービスインスタンス受給権に対応付ける。例えば、例示の受給権マップ７０６では、クライアント受信機１２２は、受給権ＩＤ９に対応付けられたサービスインスタンスへのアクセス権ではなく、ＩＤ１０に対応付けられたサービスインスタンスへのアクセス権が受給されている。中でも、受給権マップ７０６を課金のために用いて、加入者に適切に課金できるように、クライアント受信機１２２に許可された受給権を追跡し、どのサービスに対してクライアント受信機ｌ２２の受給権があるか判定する。典型的には、プログラムまたはサービスに対応付けられたＥＣＭは、ＥＣＭが受給権マップ７０６のＤＳＣＴ１１０の受給権を検索できるように、プログラムの受給権ＩＤに対する参照を含む。

メモリ７０４はまた、割り当てられたメモリ７１２を含む。これは、受給権生成器２３６に割り当てられたものである。割り当てられたメモリ７１２は、受給権生成器２３６がＤＳＣＴ１１０にサービスインスタンスへアクセスさせる受給権７１４と、制御語を生成してサービスインスタンスを復号化するのに用いる機密７１６と、ＣＡＡ２３４および受給権生成器２３６からの鍵７１８とを含む。鍵７１８は、受給権生成器２３６の公開鍵を含む。これを、ＣＡＡ２３４がＤＳＣＴ１１０へＥＭＭで送信する。

プロセッサ７０２は、認証／受給権管理モジュール（ＡＥＭＭ）７２０を含む。ＡＥＭＭ７２０が、クライアント受信機１２２にサービスインスタンスの受給権を提供する。ＡＥＭＭ７２０はまた、クライアント受信機１２２からのメッセージを認証して、クライアント受信機１２２へセキュアなメッセージを生成する。好適な実施の形態では、ＡＥＭＭ７２０が、ＤＳＣＴ１１０へのＥＭＭをヘッドエンド１０２から受信して、ＡＥＭＭ７２０が認証するセキュアなメッセージをクライアント受信機１２２から受信する。ＥＭＭがＤＳＣＴ１１０宛であって、ＡＥＭＭ７２０が認証する場合は、ＤＳＣＴ１１０がＥＭＭに応答して、これを実行する。

これから図８Ａを参照すると、受給権管理メッセージ８００は、アドレスフィールド８０２、メッセージコンテンツ８０４および認証トークン８０６を含む。ＥＭＭ８００は、ヘッドエンド１０２とＤＳＣＴ１１０との間、ヘッドエンド１０２とクライアント受信機１２２との間、およびＤＳＣＴ１１０とクライアント受信機１２２との間で、確実に情報を送信するために用いられる典型的なＥＭＭである。ＥＭＭ８００はまた、例示のセキュアなメッセージである。

アドレスフィールド８０２は、受信者のアドレスを含む。例えば、ヘッドエンド１０２からＤＳＣＴ１１０へのＥＭＭのアドレスフィールド８０２は、ＤＳＣＴ１１０のＩＰアドレスまたはシリアル番号を含む。一方、ＤＳＣＴ１１０からクライアント受信機１２２へ送信するＥＭＭ８００では、アドレスフィールド８０２は、ＤＳＣＴ１１０が維持するローカルエリアネットワーク内のクライアント受信機１２２のアドレスを含む。別の実施の形態では、アドレスフィールド８０２は、クライアント受信機のＩＰアドレスまたは一意の識別子である。これは、ＤＢＤＳ１００のクライアント受信機１２２に一意のものである。典型的には、アドレスを、テーブルおよびメモリ３１０を用いてプロセッサ３１２がセキュアな要素３１４美提供する。メッセージコンテンツ８０４は、メッセージの実体である。これは、送信者が受信者に宛てた情報を含む。含まれる情報により、メッセージコンテンツ８０４を暗号化したりしなかったりすることができる。ＡＥＭＭ７２０が、メッセージコンテンツを暗号化するかどうか判定する。

データフィールド８０８は、ＥＭＭ８００を処理するためのデータを含む。データフィールド８０８は、ＥＭＭ８００の一部を暗号化して署名するのに用いる鍵を識別するために用いられる、鍵識別子を含む。例えば、コンテンツ８０４を受信者の公開鍵が暗号化した場合は、データフィールド８０８は、コンテンツ８０４が暗号化されていて、公開鍵を用いて暗号化したことを表す。

プライバシーを所望するかどうかによってメッセージコンテンツ８０４を暗号化したりしなかったりする。例えば、メッセージコンテンツ８０４が、典型的にはＤＢＤＳ１００の複数の要素に分散する公開鍵の場合は、次に、メッセージコンテンツ８０４を暗号化しないこともある。一方、メッセージコンテンツ８０４が受給権、または暗号化、または復号化に関する場合は、次に、メッセージコンテンツ８０４をまず間違いなく暗号化する。メッセージコンテンツ８０４を暗号化するかどうかは、実施例に関する事柄であって、ＤＢＤＳ１００のセキュリティレベルを求めた後による。

認証トークン８０６を用いて、ＥＭＭ８００のいわゆる送信者を認証して、メッセージコンテンツ８０４確認する。すなわち、受信したメッセージコンテンツが送信したものと同じであることをチェックする。言い換えれば、中でも、ＥＭＭ８００の受信者が認証トークン８０６を用いて、送信する間にメッセージコンテンツ８０４が改ざんされておらず、文字化けにしていないことを確認する。典型的には、以下に述べるように、送信者の秘密鍵が認証トークン８０６に署名する。

図８Ｂは、認証トークン８０６の生成の一例を示す。円が処理または機能を表し、矩形がオブジェクトまたは出力を表す。ＭＤ５等のセキュアな一方向ハッシュ関数８１２が、入力８１０を受信して、ハッシュダイジェスト８１４を生成する。入力８１０は、暗号化しないメッセージコンテンツ８０４または少なくともその一部を含む。別の実施の形態では、入力８１０はまた、ＥＭＭ８００の受信者と共有する機密を含む。典型的には、受信者が個別のＥＭＭ内の機密を受信して、機密を次のＥＭＭの認証に用いることができるように、機密を格納する。例えば、機密７１６は、受給権生成器２３６がＤＳＣＴ１１０に与えた機密で、機密７０８は、ＤＳＣＴ１１０がクライアント送信機１２２に与えた機密である。

ハッシュダイジェスト８１４は、入力８１０に依存する値である。入力８１０を変更する場合は、ハッシュダイジェストの値もやはり変わる。

ハッシュダイジェスト８１４に、ＲＳＡ等の暗号技術を用いてデジタル署名機能８１６がデジタルで署名して、署名したハッシュダイジェスト８１８を生成する。デジタルで署名したハッシュダイジェスト８１４が、ハッシュダイジェスト８１４の値を第１の値から異なる値へ変換する。正しいデジタル署名機能８１６により正しい鍵を署名したハッシュダイジェスト８１８に適用することにより、署名したハッシュダイジェスト８１８の値をハッシュダイジェスト８１４のもともとの第１の値に戻す。好適な実施の形態では、デジタル署名機能が秘密鍵をハッシュダイジェスト８１４に適用して、署名したハッシュダイジェスト８１８を生成して、対応する公開鍵を認証トークン８１８に用いて、ハッシュダイジェスト８１４を生成する。好適な実施の形態では、システム制御装置２３２のＣＡＡ２３４および受給権生成器２３６、ＤＳＣＴ１１０およびクライアント受信機１２２が、署名したハッシュダイジェスト８１８を生成する論理を含む。これらを、次に認証トークン８０６として用いる。

図７を再び参照すると、ＡＥＭＭ７２０は、受信したＥＭＭ８００を認証して復号化する論理を含む。ＥＭＭを暗号化した場合は、ＡＥＭＭ７２０が、ＤＳＣＴ１１０の秘密鍵を用いてメッセージコンテンツを復号化することにより、暗号文コンテンツ８０４を平文コンテンツに変換する。ＡＥＭＭ７２０が平文コンテンツおよび認証トークン８０６を用いて、ＥＭＭを認証する。

一般に、ＡＥＭＭ７２０が、データフィールド８０８に含まれる情報を用いて、共有の機密がハッシュダイジェストの一部であるかどうか判定する。一部である場合は、次に、共有の機密をメモリ７０４から検索する。共有の機密が存在しなかった場合は、ＡＥＭＭ７２０が、平文コンテンツのハッシュダイジェストを生成する。しかしながら、共有の機密が存在した場合は、ＡＥＭＭ７２０が、平文コンテンツのハッシュダイジェストおよび共有の機密を生成する。次に、ＡＥＭＭ７２０がＥＭＭ８００のデータフィールド８０８を用いてＥＭＭ８００のいわゆる送信者を判定して、いわゆる送信者の公開鍵を用いて認証トークン８０６の値をもともとのハッシュダイジェスト８１４の値に変換する。最後に、もともとのハッシュダイジェスト８１４および受信者が生成したハッシュダイジェストが同じ値であれば、次に、ＡＥＭＭ７２０が、ＥＭＭ８００に正当性が有り有効であることを判定する。言い換えれば、ＥＭＭ８００がそのいわゆる送信者から実際に送信されたものであり、およびメッセージコンテンツ８０４が破壊されていず、改ざんされてもいないと、ＡＥＭＭ７２０が判定する。

ＡＥＭＭ７２０はまた、メッセージコンテンツ８０４に含まれる命令を実行する論理を含む。例えば、ＣＡＡ２３４がＥＭＭ８００をＤＳＣＴ１１０に送信して、受給権生成器２３６をＤＳＣＴ１１０に設定する。ＡＥＭＭ７２０が、ＥＭＭ８００はシステム制御装置２３２のＣＡＡ２３４から送信されたと認証して、メモリ７０４を分割して、割り当てメモリ７１２を生成する。メモリの割り当ての詳細は、Ｐｉｎｄｅｒ、米国特許第５，７４２，６７７号を参照のこと。これは、すべて引例としてここに組み込まれている。ＡＥＭＭ７２０は次に、受給権生成器２３６の公開鍵を鍵７１８に格納する。公開鍵を、ＣＡＡ２３４からＥＭＭでＤＳＣＴ１１０に提供する。

受給権生成器２３６は、割り当てメモリ７１２を用いて、ＤＢＤＳ１００に供給するサービスインスタンスの受給権を提供することができる。受給権生成器２３６が、ＤＳＣＴ１１０に受給権生成器２３６の秘密鍵が署名したＥＭＭ８００を送信する。ＡＥＭＭ７２０が、割り当てメモリ７１２に格納した受給権生成器２３６の公開鍵を用いてＥＭＭを認証する。ＥＭＭ８００が有効な場合は、ＡＥＭＭ７２０がこれらのＥＭＭに基づいて動作する。例えば、ＥＭＭ８００のメッセージコンテンツ８０４が、ＡＥＭＭ７２０に受給権７１４を変更するように命令することができる。好適な実施の形態では、受給権生成器２３６からのサービスインスタンスの受給権を、受給権７１４にアレイとして格納する。各暗号化したサービスインスタントを受給権アレイの要素に対応付ける。任意のサービスインスタンスのＥＣＭに含まれる受給権指定子を用いて、任意のサービスインスタンスに対してＤＳＣＴ１１０の受給権を有するアレイ要素を判定する。限定しない例では、”ダーティーダズンズ”の受給権指定子が２５で、受給権７１４の２５番目のアレイ要素が”ダーティーダズンズ”に対するＤＳＣＴ１１０の受給権である。一般に、受給権は、ＹＥＳまたはＮＯ、１または２といったバイナリである。従って、ＤＳＣＴは、サービスインスタンスの受給権があるかないかのどちらかである。ＤＳＣＴ１１０は、サービスインスタンスにアクセスする鍵をすべて有することができるが、サービスインスタンスの受給権はまだなく、受給権が与えられない場合は、ＤＳＣＴ１１０は選択したサービスインスタンスを復号化しないことに留意されたい。

ユーザがサービスインスタンスを選択する場合は、セキュアな要素３１４が、ＤＳＣＴ１１０にサービスインスタンスの受給権を与えるかどうか判定する。ＡＥＭＭ７２０が、選択したサービスインスタンスに対応付けられたＥＣＭを受信して、ＥＣＭを認証する。ＥＣＭは、受給権指定子と、制御語表示部（カウンタ値）と、制御語表示部のハッシュダイジェストで共有の機密である認証トークンとを含む。

一般に、共有の機密はＭＳＫである。これは、ＥＭＭの前に受給権生成器２３６がＤＳＣＴ１１０に送信したもので、現在機密７１６に格納されている。ＡＥＭＭ７２０が、制御語表示部のハッシュダイジェストおよび共有の機密を生成して、生成したハッシュダイジェストを認証トークンと比較する。これらが違う場合は、ＥＣＭは送信中に文字化けしたか、改ざんされている。いずれの場合も、ＥＣＭを無視する。

ＥＣＭを２秒ごとに受信する。片方が文字化けしていた場合はすぐ後で別のものを受信して、これを次に認証する。ＥＣＭを正常に認証する場合は、すなわち、改ざんされず、文字化けもしなかったということである。次に、ＡＥＭＭ７２０が、選択したサービスインスタンスに対するＤＳＣＴ１１０の受給権をチェックする。ＡＥＭＭ７２０が、ＥＣＭの受給権指定子および受給権７１４を用いて、ＤＳＣＴの受給権を判定する。ＤＳＣＴ１１０に受給権を与える場合に限って、セキュアな要素３１４が暗号装置３１８にサービスインスタンスを復号化する制御語を提供する。好適な実施の形態では、ＭＳＫを暗号鍵として用いて制御語表示部を暗号化することにより、制御語を生成する。

好適な実施の形態では、ＡＥＭＭ７２０は、サービスインスタンスに対する受給権をクライアント受信機１２２に許可する論理を含む。ＡＥＭＭ７２０がクライアント受信機１２２からサービスインスタンスに対する要求を受信する場合は、ＡＥＭＭ７２０が、受給権７０６をチェックすることにより、クライアント受信機１２２に、サービスインスタンスに対する現在受給権が与えられているかどうか判定する。クライアント受信機１２２に受給権が与えられていない場合は、ＡＥＭＭ７２０が、クライアント受信機１２２に受給権を与えるかどうか判定する。ＡＥＭＭ７２０が、受給権をクライアント受信機１２２に許可すると判定する場合は、ＡＥＭＭ７２０がＥＭＭを介してクライアント受信機１２２に受給権を提供して、ＡＥＭＭ７２０が、新しく許可した受給権を反映するように受給権７０６を変更する。言い換えれば、サービスインスタンスに対応付けられた要素７０６のアレイ要素を、ＮＯからＹＥＳへ、または０から１へ変更する。ＡＥＭＭ７２０はまた、サービスインスタンスに対応付けられたアレイ要素を変更することにより、サービスインスタンスに対するクライアント受信機１２２の受給権を削除することができる。好適な実施の形態では、クライアント受信機１２２は、受信したサービスインスタンスにアクセスするのに用いる受給権マップを含む。クライアント受信機１２２にクライアント受信機１２２の新しい受給権を含むＥＭＭを送信することにより、ＡＥＭＭ７２０が、クライアント受信機の受給権マップを更新することができる。クライアント受信機１２２が、ＥＭＭを受信して処理することにより、その受給権を更新する。

別の実施の形態では、メモリ７０４は、クラス認証マップ（図示せず）を含む。これは、クライアント受信機のクラスに受給権エージェントがサービスインスタンスを許可する認証をマッピングする。ＡＥＭＭ７２０がサービスインスタンスに対するクライアント受信機１２２の受給権７０６をチェックする前に、クラス認証マップをチェックして、クライアント受信機がそのサービス受信することを認証するかどうか判定する。クライアント受信機１２２がサービスを受信するという認証を、クラス認証マップが示さない限り、ＡＥＭＭ７２０は、サービスインスタンスの受給権を許可しない。システム制御装置２３２からのＥＭＭに応答する場合に限って、ＡＥＭＭ７２０は、認証マップを変更したり、更新したりする。クラス認証マップが、装置の種類の機密種別による認証をマッピングする。認証マップを受給権エージェントが用いて、クライアント受信機の異なる機密種別に提供するサービスを、選択的に制御することができる。従って、セットトップ装置であるクライアント受信機を、ＤＢＤＳ１００の全サービスに対して認証することができ、計算装置を、サービスのサブセットに対して認証することができる。セキュリティが侵害された場合は、クライアント受信機の全クラスについての認証を削除するように、認証マップを更新することができる。

好適な実施の形態では、システム制御装置２３２が、ＥＭＭ８００をＡＥＭＭ７２０に送信して、サービスインスタンスに対するクライアント受信機１２２の受給権を一時停止することができる。システム制御装置２３２が、ＤＳＣＴ１１０に接続した特定のクライアント受信機１２２またはＤＳＣＴ１１０に接続した全クライアント受信機の受給権を一時停止する、受給権一時停止ＥＭＭを送信することができる。システム制御装置２３２が、クライアント受信機１２２のハードウェアの種類に基づいて、受給権一時停止ＥＭＭを送信しても良い。例えば、ＤＢＤＳ１００のオペレータが、任意のオペレーティングシステムを有するコンピュータ等の、ハードウェアの特定の機密種別のセキュリティが危険にさらされていることがわかった場合は、オペレータは次に、セキュリティ侵害が確認されるまで、システム制御装置２３２に、ＤＢＤＳ１００に接続した全クライアント受信機１２２の受給権を一時停止させることができる。ＤＳＣＴ１１０が受給権一時停止ＥＭＭを受信した場合は、ＤＳＣＴ１１０が、サービスインスタンスのクライアント受信機１２２Ｅの送信を一時停止する。

好適な実施の形態では、クライアント受信機１２２が、セキュアなメッセージを用いて、サービスまたはサービスインスタンスを要求する。プロセッサ７０２が、受給権７０６を用いて、クライアント受信機１２２が現在要求したサービスインスタンスに対する受給権を与えられているかどうか判定する。受給権が与えられていない場合は、プロセッサ７０２がプロセッサ３１２に、クライアント受信機１２２が特定のサービスまたはサービスインスタンスを要求したことを示すメッセージを送信する。プロセッサ３１２がテーブルメモリ３１０を用いて、特定のサービスまたはサービスインスタンスがブロックされているかどうか判定する。この実施の形態では、ユーザが、メモリ３１０のテーブルに格納した入力情報に対するユーザインターフェース３１６を用いて、クライアント受信機１２２に提供するサービスまたはサービスインスタンスをブロックすることができる。従って、ＤＳＣＴ１１０がフィルタとして動作して、成人向けコンテンツ等の特定のコンテンツをクライアント受信機１２２に提供しないようにすることができる。要求したサービスインスタンスをブロックしない場合は、プロセッサ７０２が、選択したサービスインスタンスの受給権を許可して、受給権７０６を更新する。サービスインスタンスの受給権を、ＥＭＭ８００でクライアント受信機１２２に送信する。

システム制御装置２３２はまた、ＤＳＣＴ１１０がプロセッサ３１２にクライアント受信機１２２の暗号化手法をもう判定しないように命令するＥＭＭを送信することができる。その場合は、ヘッドエンド１０２が、ＤＳＣＴ１１０とクライアント受信機１２２との間で情報を通信するのに用いる暗号化手法を判定する。ヘッドエンドが、クライアント受信機１２２のハードウェアおよびソフトウェア、ＤＳＣＴ１１０とクライアント受信機１２２との間の通信リンク１２０の種類、および加入者の支払い状況に関する情報を用いる。

クライアント受信機
図９を参照すると、一例のクライアント受信機１２２は、中でも、通信リンク１２０を介してＤＳＣＴ１１０と双方向通信を行うようになっている。クライアント受信機１２２は、送受信機９０２、プロセッサ９０４、メモリ９０６、セキュアな要素９０８、ユーザインターフェース９１０、暗号装置９１２および出力ポート／インターフェース９１６を含む。送受信機９０２が、通信リンク１２０を介して、ＤＳＣＴ１１０から、データ、受給権、認証、コマンドおよびサービスインスタンス等の情報を受信する。通信リンク１２０を介して情報をＤＳＣＴ１１０に送信するように、送受信機９０２を構成する。

好適な実施の形態では、クライアント受信機１２２をＬＡＮに導入する際に自己認識して、ＤＳＣＴ１１０が管理するＬＡＮを認識するように、クライアント受信機１２２を構成する。プロセッサ９０４およびメモリ９０６は、自己認識論理を含む。自己認識論理の限定しない例は、ＯＳＧｉ、ＵＰｎＰ、ＨＡＶｉ、およびＪＩＮＩを含む。これらをすべて、本発明の範囲で用いるように構成する。メモリ９０６は、中でも、システムテーブル、ハードウェア情報、ウェブブラウザロジックおよび自己認識論理を含む。クライアント受信機１２２をＤＳＣＴ１１０のＬＡＮに導入する場合は、プロセッサ９０４が、ハードウェア情報およびメモリ９０６の自己認識論理を用いてメッセージを生成する。メッセージを、送受信機９０２に提供する。通信リンク１２０を介してＤＳＣＴ１１０に送信する。ハードウェア情報が、クライアント受信機１２２に含まれるハードウェアの種類を識別して、ＤＳＣＴ１１０が用いてＤＳＣＴ１１０が通信する装置の種類を判定する。別の実施の形態は、ＤＳＣＴ１１０上のユーザインターフェース３１６またはクライアント受信機１２２上のユーザインターフェース９１０のいずれかを用いて、クライアント受信機１２２を登録することを含む。

ユーザインターフェース９１０は、信号をリモート制御装置（図示せず）から受信する赤外線検出器である。他の実施の形態では、ユーザインターフェース９１０は、キーボード、キーパッド、タッチスクリーン、またはユーザがコマンドをクライアント受信機１２２に入力することができる当業者に周知の他のインターフェースである。

ユーザインターフェース９１０が、コマンドをユーザから受信して、プロセッサ９０４に提供して処理を行う。ユーザインターフェース９１０を用いることにより、ユーザが、サービスを要求して、ユーザチャネルを変更して、ウェブブラウザウインドウを開くことなどを行える。

ユーザがサービスを要求する場合は、プロセッサ９０４が、ＤＳＣＴ１１０または、送受信機９０２を介して、例えば受給権生成器２３６等のヘッドエンド１０２の要素に宛てて、メッセージを送信する。一般に、メッセージはセキュアなメッセージである。これは、認証トークンを含む。その場合は、セキュアな要素９０８が、セキュアなメッセージを生成して、およびセキュアなメッセージを送受信機９０２に提供して送信する。

好適な実施の形態では、セキュアな要素９０８は、改ざん防止パッケージに含まれるプロセッサ（図示せず）およびメモリ（図示せず）を含む。中でも、セキュアな要素９０８が、セキュアなメッセージを生成して、受信したＥＭＭを処理して、暗号装置９１２の制御語を生成する。セキュアな要素９０８は、クライアント受信機１２２に許可した受給権、メッセージを認証して制御語を生成するための機密、およびクライアント受信機１２２の秘密鍵公開鍵対や他の公開鍵等の鍵を含む。他の公開鍵は、信頼できる公開鍵、条件付きアクセス権２３４の公開鍵およびＤＳＣＴ１１０の公開鍵を含む。

好適な実施の形態では、セキュアな要素９０８を製造する際に、製造業者がそれにシリアル番号およびその公開鍵秘密鍵対を割り当てる。製造業者が、セキュアな要素９０８のシリアル番号および公開鍵をＤＢＤＳ１００のオペレータに提供して、次に、それらをそのデータベース２４０に組み込む。クライアント受信機１２２を初めにＤＳＣＴ１１０のＬＡＮに導入する場合は、ＤＳＣＴ１１０に、それ自体を識別して、その暗号化／復号化機能を識別するメッセージを送信する。ＤＳＣＴ１１０が、クライアント受信機１２２を登録しようとすることをＣＡＡ２３４に通知するセキュアなメッセージを、ＣＡＡ２３４に送信する。ＣＡＡ２３４が、クライアント受信機１２２がそのデータベース２４０に含まれているかどうか判定する。含まれている場合は、ＣＡＡ２３４が登録を起動する。これには、クライアント受信機１２２の信頼できる公開鍵のうちの１つをＣＡＡ２３４の公開鍵と交換することを含むことができる。ＣＡＡ２３４が、ＤＳＣＴを介して、ＤＳＣＴ１１０の公開鍵を含むＥＭＭをクライアント受信機１２２に送信する。これを次に、セキュアな要素９０８に格納する。クライアント受信機１２２が、ＤＳＣＴ１１０の公開鍵を信頼できる鍵として受け付ける。

一実施の形態では、セキュアな要素９０８は、ユーザが適切に構成したコンピュータにインストール可能な、ＰＣメモリカード等のスマートカードである。別の実施の形態では、クライアント受信機１２２がセットトップ端末である場合などは、セキュアな要素をユーザがインストールできない。

クライアント送信機１２２が、送受信機９０２でＤＳＣＴ１１０からサービスインスタンスを受信する。サービスインスタンスを平文で送信する場合は、すなわち、暗号化しない場合は、サービスインスタンスを出力ポート９１６に提供する。サービスインスタンスを暗号文として送信する場合は、すなわち暗号化した形式で送信する場合は、サービスインスタンスを暗号装置９１２に提供して復号化する。好適な実施の形態では、セキュアな要素９０８が制御語を暗号装置９１２に提供して復号化する。暗号化したサービスインスタンス典型的には、ビデオディスプレイまたはスピーカ等のユーザ装置（図示せず）を出力ポート９１６に接続して、サービスインスタンスを加入者に提供する。

一実施の形態では、クライアント受信機１２２が、ネットワークパケットに封止したコンテンツをＤＳＣＴ１１０から受信する。典型的には、ネットワークパケットは、ＭＰＥＧパケット等の複数のアプリケーションパケットを伝送するイーサネット（登録商標）パケットである。プロセッサ９０４がＭＰＥＧパケットを開封して、ＭＰＥＧパケットを暗号装置９１２に提供して復号化する。

好適な実施の形態では、中でも、コンテンツを加入者に提供して、加入者と接続するための、論理メモリ９０６に格納したウェブブラウザ論理をプロセッサ９０４が実行する。図１０は、クライアント受信機１２２でウェブベースのサービスにアクセスする例示のステップを示す。

ステップ１００２では、加入者が、ユーザインターフェース９１０を用いてウェブブラウザ論理を起動する。典型的には、ウェブベースのサービスのインデックスを、加入者に対してウェブブラウザのウインドウに表示する。電子プログラムガイドとすることができるインデックスは、ウェブベースのサービスに対応付けられたハイパーリンクを含む。

ステップ１００４では、集められたサービスに対応付けられたハイパーリンクをクリックすることにより、ユーザがウェブベースのサービスを選択する場合は、ウェブブラウザがサービスの要求をＤＳＣＴ１１０へ送信する。サービスの要求は、サービスの統一資源位置指定子（ＵＲＬ）等の情報を含む。

クライアント受信機１２２にサービスの受給権を与えると検証したならば、またはサービスの受給権を許可したならば、選択したサービスをクライアント受信機１２２に送信する。ステップ１００６では、ブラウザが新しいブラウザウインドウを開いて、選択したサービスを表示する。クライアント受信機１２２に選択したサービス受給権を与えない場合、および／または受給権が得られない場合は、ブラウザが”サービス拒否”という新しいウインドウに表示する。

ステップ１００８では、ＤＳＣＴ１１０からのサービスインスタンスを新しいブラウザウインドウに表示する。典型的には、加入者がウェブブラウザインターフェースを用いて、ＤＢＤＳ１００が提供するテレビ電子商取引を行うことができる。加入者がサービスインスタンスを視聴している間、ポップアップの追加が現れる。ポップアップの追加のコンテンツは、サービスインスタンスのコンテンツに対応する。例えば、加入者がゴルフトーナメントを視聴しているならば、ポップアップの追加は、現在ゴルフトーナメントの首位となっているゴルファーのゴルフクラブのブランドをセールスポイントとしている。加入者は次に、ポップアップの追加をクリックして、ゴルフクラブセットを購入することができる。

一実施の形態では、ウェブブラウザを用いて加入者がウェブブラウザを起動する場合は、加入者が、ユーザ名およびパスワードを提供して、ＤＳＣＴ１１０に送信する。ＤＳＣＴ１１０は次に、ユーザ名およびパスワードを検証して、条件付きでサービスをクライアント受信機１２２に提供する。条件付きで提供したサービスを、少なくともクライアント受信機１２２の装置の種類に基づいて提供して、ＤＢＤＳ１００の加入者がユーザに許可を与えて、他の基準に基づいて、クライアント受信機１２２に受給権を与えることができる。

クライアント受信機１２２が、上記よりも多くまたは少なくモジュールを含むことができることを、当業者ならば理解するであろう。例えば、限定しない別の実施の形態では、クライアント受信機１２２はセキュアな要素９０８を含まない。プロセッサ９０４が、暗号装置９１２に制御語を提供して、受信したサービスインスタンスを復号化する。

本発明の例示の好適な実施の形態について示し、述べてきたが、説明した本発明についての数多くの変更、変形、または代替を行っても良いことが、当業者にとって明らかであろう。いずれも、本発明の範囲から逸脱するものではない。変更、変形および代替は従って、本発明の範囲内にあるものとして理解するべきである。本発明の上記の実施の形態、特に、”好適な実施の形態”は、実施例についてのいずれも単に可能な限定しない例であり、本発明の原理を明白に理解するために述べたものであることについても強調する必要がある。

図１は、発明の好適な実施の形態を用いるケーブルテレビジョンシステム等のブロードバンド通信システムのブロック図である。 図２は、本発明の好適な実施の形態を用いるブロードバンド通信システムのヘッドエンドのブロック図である。 図３は、デジタル加入者通信端末のブロック図である。 図４は、暗号化手法を動的に設定するステップのフローチャートである。 図５は、サービスインスタンスをクライアント装置へ提供するかどうか判定する際のステップのフローチャートである。 図６は、サービスインスタンスをクライアント装置へ提供するステップのフローチャートである。 図７は、セキュアな要素のブロック図である。 図８Ａは、受給権管理メッセージのブロック図である。図８Ｂは、受給権管理メッセージで用いられる認証トークンの生成を示すブロック図である。 図９は、クライアント受信機のブロック図である。 図１０は、クライアント装置でウェブベースのサービスにアクセスするステップのフローチャートである。

Claims (35)

1. 加入者テレビジョンシステムのヘッドエンドにウェブサーバを介して接続されたローカルエリアネットワーク内のクライアント受信機にコンテンツを提供する方法であって、前記方法は、前記ローカルエリアネットワーク内で前記ウェブサーバにおいてインプリメントされ、前記ウェブサーバは、前記ヘッドエンドおよび前記クライアント受信機と通信し、
   前記方法は、
   前記ウェブサーバにおいて、前記ヘッドエンドから複数のストリームのパケットを受信するステップであって、各ストリームのパケットは、１つの物理チャネルに含まれる複数のサービスに対応し、各パケットは、第１のプロトコルによりフォーマットされたコンテンツを有するペイロードを含む、ステップと、
   前記ウェブサーバにおいて、１つのストリームのパケットからなるサービスに対する要求を前記ローカルエリアネットワーク内のクライアント受信機から受信するステップであって、前記要求は、第２のプロトコルによりフォーマットされたメッセージである、ステップと、
   前記ウェブサーバにおいて、前記クライアント受信機に要求されたサービスを受信する受給権を与えることを前記ウェブサーバに格納された第１の受給権データが示すか否かに基づいて、前記クライアント受信機に要求されたサービスを受信する受給権を与えるか否かを決定するステップであって、前記第１の受給権データは、前記クライアント受信機に要求されたサービスを受信する受給権を与えるか否かを示すインジケータを含む、ステップと、
   前記クライアント受信機に要求されたサービスを受信する受給権を与えると決定したことに応答して、前記要求されたサービスを前記クライアント受信機に提供するステップであって、前記要求されたサービスのストリームのパケットは、前記受信された複数のストリームのパケットに含まれている、ステップと
   を含む、方法。
2. 前記クライアント受信機の装置の種類を決定するステップと、
   前記クライアント受信機の装置の種類を用いて前記第２のプロトコルを決定するステップと、
   前記第２のプロトコルにより前記サービスに対する要求をフォーマットするステップと、
   前記要求されたサービスのコンテンツを前記第１のプロトコルから前記第２のプロトコルへと再フォーマットするステップであって、前記要求されたサービスのコンテンツは、前記第２のプロトコルによりフォーマットされて前記クライアント受信機へ提供される、ステップと
   をさらに含む、請求項１に記載の方法。
3. 前記第１のプロトコルが、ＭＰＥＧプロトコルを含む、請求項２に記載の方法。
4. 前記第２のプロトコルが、Ｒｅａｌ Ｖｉｄｅｏ８プロトコルを含むＲｅａｌ Ｖｉｄｅｏプロトコルである、請求項２に記載の方法。
5. 前記第２のプロトコルが、Ｗｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏ８プロトコルおよびＷｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏ９プロトコルを含むＷｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏプロトコルである、請求項２に記載の方法。
6. 前記第２のプロトコルが、ウェブベースのプロトコルである、請求項２に記載の方法。
7. 前記ウェブベースのプロトコルが、Ｈ．３２３、ＭＰＥＧ−４、Ｈ．２６４、ＭＰＥＧ−２、Ｍａｃｒｏｍｅｄｉａ Ｆｌａｓｈ、およびＭａｃｒｏｍｅｄｉａ Ｓｈｏｃｋｗａｖｅのプロトコルのうちの少なくとも１つである、請求項６に記載の方法。
8. 前記要求されたサービスのコンテンツを復号化するステップと、
   前記ウェブサーバにおいて、前記要求されたサービスの暗号化手法を決定するステップと、
   前記提供するステップの前に、前記再フォーマットされたコンテンツを暗号化するステップと
   をさらに含む、請求項２に記載の方法。
9. 前記復号化するステップの前に、前記ウェブサーバにおいて、前記ウェブサーバに要求されたサービスを受信する受給権を与えることを前記ウェブサーバに格納された第２の受給権データが示すか否かに基づいて、前記ウェブサーバに前記要求されたサービスにアクセスする受給権を与えるか否かを決定するステップであって、前記要求されたサービスのコンテンツは、前記ウェブサーバに要求されたサービスにアクセスする受給権を与える場合に限って復号化され、前記第２の受給権データは、前記ウェブサーバに要求されたサービスを受信する受給権を与えるか否かを示すインジケータを含む、ステップをさらに含む、請求項８に記載の方法。
10. 前記ウェブサーバに要求されたサービスにアクセスする受給権が与えられていないと前記ウェブサーバが決定したことに応答して、前記ウェブサーバが要求されたサービスにアクセスする要求を前記ウェブサーバから前記加入者テレビジョンシステムのヘッドエンドへ送信するステップと、
    前記ウェブサーバにおいて、前記ウェブサーバが前記要求されたサービスにアクセスする認証を前記ヘッドエンドから受信するステップと
    をさらに含む、請求項９に記載の方法。
11. 前記ウェブサーバが、前記クライアント受信機に、前記要求されたサービスを受信する受給権を許可するステップをさらに含む、請求項１に記載の方法。
12. 前記ウェブサーバにおいて、前記ウェブサーバが前記クライアント受信機に前記要求されたサービスを受信する受給権を許可する認証を前記ヘッドエンドから受信するステップをさらに含む、請求項１１に記載の方法。
13. 前記ウェブサーバに要求されたサービスにアクセスする受給権が与えられていないと前記ウェブサーバが決定したことに応答して、前記ウェブサーバが前記要求されたサービスにアクセスする要求を前記ウェブサーバから前記加入者テレビジョンシステムのヘッドエンドへ送信するステップと、
    前記ウェブサーバにおいて、前記ウェブサーバが前記要求されたサービスにアクセスする認証を前記ヘッドエンドから受信するステップと
    をさらに含む、請求項１１に記載の方法。
14. 前記要求されたサービスを提供するステップの前に、
    前記ウェブサーバにおいて、前記クライアント受信機の装置の種類の情報が含まれているメッセージを前記クライアント受信機から受信するステップと、
    少なくとも前記クライアント受信機の装置の種類の情報から、前記要求されたサービスを送信するための暗号化手法を決定するステップと、
    前記暗号化手法をインプリメントして前記要求されたサービスを暗号化するステップであって、前記提供される要求されたサービスは、前記決定された暗号化手法により暗号化される、ステップと
    をさらに含む、請求項１に記載の方法。
15. 前記要求されたサービスを提供するステップの前に、
    前記ウェブサーバにおいて、前記クライアント受信機の装置の種類の情報が含まれているメッセージを前記クライアント受信機から受信するステップと、
    前記要求されたサービスを暗号化するか否かを決定するステップと
    をさらに含み、
    前記要求されたサービスを暗号化すると決定したことに応答して、
    少なくとも前記クライアント受信機の装置の種類の情報から、前記要求されたサービスを送信するための暗号化手法を決定するステップと、
    前記暗号化手法をインプリメントして前記要求されたサービスを暗号化するステップであって、前記提供される要求されたサービスは、前記決定された暗号化手法により暗号化される、ステップと
    をさらに含む、請求項１に記載の方法。
16. 前記要求されたサービスを提供するステップの前に、
    前記ウェブサーバにおいて、暗号化手法インジケータが含まれているメッセージを前記ヘッドエンドから受信するステップと、
    前記暗号化手法インジケータから、前記クライアント受信機に送信するコンテンツを暗号化するための暗号化手法を決定するステップと、
    前記暗号化手法をインプリメントして前記要求されたサービスを暗号化するステップであって、前記提供される要求されたサービスは、前記決定された暗号化手法により暗号化される、ステップと
    をさらに含む、請求項１に記載の方法。
17. 前記ウェブサーバにおいてメッセージをヘッドエンドから受信するステップの前に、装置の種類のインジケータが含まれている第２のメッセージを前記ウェブサーバから前記ヘッドエンドに送信するステップであって、前記ヘッドエンドは、少なくとも前記装置の種類のインジケータを用いて前記暗号化手法を決定する、ステップをさらに含む、請求項１６に記載の方法。
18. 前記第２のメッセージは、各ウェブサーバに固有の加入者識別子を含み、前記ヘッドエンドは、前記第２のメッセージを処理し、前記加入者識別子により識別された加入者が有効なアカウントを有しているか否かを決定し、前記加入者が有効なアカウントを有していることに応答して、前記ヘッドエンドは、前記暗号化手法を決定する、請求項１７に記載の方法。
19. 加入者テレビジョンシステムのヘッドエンドにウェブサーバを介して接続されたローカルエリアネットワーク内のクライアント受信機でコンテンツにアクセスする方法であって、前記ウェブサーバは、前記ローカルエリアネットワーク内に位置し、前記ウェブサーバは、前記ヘッドエンドおよび前記クライアント受信機と通信し、
    前記方法は、
    前記クライアント受信機のユーザに対して、加入者テレビジョンシステムサービス情報が含まれているウェブページをウェブブラウザの第１のウインドウに表示するステップと、
    前記クライアント受信機から、ユーザが選択したサービスインスタンスに対する要求を前記ローカルエリアネットワーク内の前記ウェブサーバへ送信するステップと、
    前記ウェブサーバにおいて、それぞれ、前記クライアント受信機および前記ウェブサーバに要求されたサービスインスタンスを受信する受給権を与えることを前記ウェブサーバに格納された第１の受給権データおよび第２の受給権データが示すか否かに基づいて、前記ウェブサーバおよび前記クライアント受信機のそれぞれに、要求されたサービスインスタンスにアクセスする受給権を与えるかどうかを決定するステップであって、前記第１の受給権データは、前記クライアント受信機に要求されたサービスインスタンスを受信する受給権を与えるか否かを示すインジケータを含み、前記第２の受給権データは、前記ウェブサーバに要求されたサービスインスタンスを受信する受給権を与えるか否かを示すインジケータを含む、ステップと、
    前記ウェブサーバおよび前記クライアント受信機の両方に要求されたサービスインスタンスにアクセスする受給権を与えると前記ウェブサーバが決定したことに応答して、前記ユーザが選択したサービスインスタンスを含むストリームのパケットを前記ウェブサーバから前記クライアント受信機へ送信するステップと、
    前記ユーザが選択したサービスインスタンスをウェブブラウザの第２のウインドウに表示するステップであって、前記ユーザが選択したサービスインスタンスは、加入者テレビジョンサービスインスタンスの前記ヘッドエンドから前記ウェブサーバにおいて受信された複数のサービスインスタンスのうちの１つのサービスインスタンスである、ステップと
    を含む、方法。
20. 前記ユーザが、前記表示されたウェブページ内のリンクを用いて前記サービスインスタンスを選択する、請求項１９に記載の方法。
21. 前記選択されたサービスインスタンスの要求は、ウェブベースのプロトコルを用いて前記ウェブサーバへ送信される、請求項１９に記載の方法。
22. 前記ウェブベースのプロトコルが、ＨＴＴＰプロトコルである、請求項２１に記載の方法。
23. 前記ユーザが選択したサービスインスタンスを含むストリームのパケットをウェブサーバからクライアント受信機へ送信するステップの前に、前記ウェブサーバにおいて、前記選択されたサービスインスタンスを復号化するステップであって、前記選択されたサービスインスタンスは、前記加入者テレビジョンシステムの前記ヘッドエンドから、ストリームのパケットで前記ウェブサーバに伝送され、前記ストリームのパケットの各パケットは、暗号化されたコンテンツを含み、前記コンテンツは、第１のプロトコルによりフォーマットされている、ステップと、
    前記ウェブサーバにおいて、前記選択されたサービスインスタンスを再フォーマットするステップであって、前記選択されたサービスインスタンスは、第２のプロトコルに従うフォーマットで前記クライアント受信機に送信される、ステップと
    をさらに含む、請求項１９に記載の方法。
24. 前記第１のプロトコルが、ＭＰＥＧプロトコルを含む、請求項２３に記載の方法。
25. 前記第２のプロトコルが、Ｒｅａｌ Ｖｉｄｅｏ８プロトコルを含むＲｅａｌ Ｖｉｄｅｏプロトコルである、請求項２３に記載の方法。
26. 前記第２のプロトコルが、Ｗｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏ８プロトコルおよびＷｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏ９プロトコルを含むＷｉｎｄｏｗｓ（登録商標） Ｍｅｄｉａ Ｖｉｄｅｏプロトコルである、請求項２３に記載の方法。
27. 前記第２のプロトコルが、ＱｕｉｃｋＴｉｍｅプロトコルである、請求項２３に記載の方法。
28. 前記第２のプロトコルが、Ｈ．３２３、ＭＰＥＧ−４、Ｈ．２６４、ＭＰＥＧ−２、Ｍａｃｒｏｍｅｄｉａ Ｆｌａｓｈ、およびＭａｃｒｏｍｅｄｉａ Ｓｈｏｃｋｗａｖｅのプロトコルのうちの少なくとも１つである、請求項２３に記載の方法。
29. 前記ウェブサーバから前記クライアント受信機へ第２のサービスインスタンスを送信するステップであって、前記第２のサービスインスタンスは、前記第１のサービスインスタンスに関連したサービスか、前記第１のサービスインスタンスに関連した物品の広告かである、ステップをさらに含む、請求項１９に記載の方法。
30. 前記クライアント受信機において前記第２のサービスインスタンスを表示するステップと、
    前記ウェブブラウザにおいて、前記第１のサービスインスタンスに関連したサービスか、前記第１のサービスインスタンスに関連した物品の注文かを受信するステップと
    をさらに含む、請求項２９に記載の方法。
31. 前記クライアント受信機においてウェブブラウザの第３のウインドウを開くステップであって、前記第３のウインドウにおいて、前記第２のサービスインスタンスが表示される、ステップをさらに含む、請求項２９に記載の方法。
32. 前記ユーザが選択したサービスインスタンスを含むストリームのパケットを送信するステップの前に、
    前記ウェブサーバにおいて、前記クライアント受信機の装置の種類の情報を含むメッセージを前記クライアント受信機から受信するステップと、
    少なくとも前記クライアント受信機の装置の種類の情報から、前記ユーザが選択したサービスインスタンスを送信するための暗号化手法を決定するステップと、
    前記暗号化手法をインプリメントして前記ユーザが選択したサービスインスタンスを暗号化するステップであって、前記ユーザが選択したサービスインスタンスは、前記決定された暗号化手法により暗号化される、ステップと
    をさらに含む、請求項１９に記載の方法。
33. 前記ユーザが選択したサービスインスタンスを含むストリームのパケットを送信するステップの前に、
    前記ウェブサーバにおいて、暗号化手法インジケータを含むメッセージを前記ヘッドエンドから受信するステップと、
    前記暗号化手法インジケータから、前記クライアント受信機に送信するコンテンツを暗号化するための暗号化手法を決定するステップと、
    前記暗号化手法をインプリメントして前記ユーザが選択したサービスインスタンスを暗号化するステップであって、前記ユーザが選択したサービスインスタンスは、前記決定された暗号化手法により暗号化される、ステップと
    をさらに含む、請求項１９に記載の方法。
34. 前記ウェブサーバにおいてメッセージをヘッドエンドから受信するステップの前に、
    装置の種類のインジケータを含む第２のメッセージを前記ウェブサーバから前記ヘッドエンドへ送信するステップであって、前記ヘッドエンドは、少なくとも前記装置の種類のインジケータを用いて前記暗号化手法を決定する、ステップをさらに含む、請求項３３に記載の方法。
35. 前記第２のメッセージが、各ウェブサーバに固有の加入者識別子を含み、前記ヘッドエンドは、前記第２のメッセージを処理し、前記加入者識別子により識別された加入者が有効なアカウントを有しているか否かを決定し、前記加入者が有効なアカウントを有していることに応答して、前記ヘッドエンドは、前記暗号化手法を決定する、請求項３４に記載の方法。

Images