JP5313447B2 - 条件付きアクセスを認可する方法および装置 - Google Patents

Description

本発明は、暗号化されたデジタルデータプロダクトに対する条件付きアクセスを認可する方法に関し、この方法は、
各々がプロダクト識別子および満了情報を含む、少なくとも１つの権利の組を、安全装置の中に格納するステップと、
制御ワードを用いて暗号化されたデジタルデータプロダクトを解読する装置を含むデコーダシステムから、各々がプロダクト識別子を含む権利制御メッセージを受け取るステップと、
第１のモードにおいて、プロダクト識別子が、権利が有効であることを示す満了情報を含む、格納された権利の中のプロダクト識別子と一致するのであれば、プロダクト識別子を含む権利制御メッセージに応答して、少なくとも１つの制御ワードを返すステップと、
第２のモードにおいて、プロダクト識別子が、権利の満了を示す満了情報を含む、格納された権利の中のプロダクト識別子と一致し、かつ、カウンタが、初期値と予め定められた値との間の値であれば、カウンタを予め定められた値まで累進的に加減して、やはりプロダクト識別子を含む権利制御メッセージに応答して、少なくとも１つの制御ワードを返すステップとを有している。

本発明は、また、暗号化されたデジタルデータプロダクトに対する条件付きアクセスを認可するシステムに関し、このシステムは、
各々がプロダクト識別子および満了情報を含む、少なくとも１つの権利の組を格納するための安全なメモリと、暗号化されたデジタルデータプロダクトを解読する装置を含むデコーダシステムに対するインターフェースとを有する認可装置を備えていて、前記インターフェースは、認可装置が、それぞれのプロダクト識別子を含む権利制御メッセージを受け取ることを可能にし、
前記認可装置は、少なくとも第１および第２のモードのうちの１つにおいて動作するように構成されていて、
第１のモードにおいて、プロダクト識別子が、権利が有効であることを示す満了情報を含む、格納された権利の中のプロダクト識別子と一致するのであれば、認可装置は、インターフェースを通して受け取られ、かつプロダクト識別子を含む権利制御メッセージに応答して、少なくとも１つの制御ワードを返し、
第２のモードにおいて、プロダクト識別子が、権利の満了を示す満了情報を含む、格納された権利の中のプロダクト識別子と一致し、かつ、カウンタが、初期値と予め定められた値との間の値であれば、認可装置は、カウンタを予め定められた値まで累進的に加減して、やはり、インターフェースを通して受け取られ、かつプロダクト識別子を含む権利制御メッセージに応答して、少なくとも１つの制御ワードを返す。

本発明は、また、デジタルメッセージに関する。

本発明は、また、コンピュータプログラムに関する。

このような方法およびシステムの具体例は、ＥＰ−Ａ１−１ ０９４ ６６７から公知である。その文書は、ブロードキャストアプリケーション用の条件付きアクセスシステムを動作させる方法について述べている。条件付きアクセスシステムは、多くの加入者を有していて、各々は、条件付きアクセスモジュールおよび権利を格納するための安全装置を有する端末を持っている。各権利は、権利を受けている加入者が見ることができるサービスを示している。権利管理メッセージ（ＥＭＭ）は、安全装置または安全装置のグループに送られ、前記ＥＭＭは、各々、権利および対応する満了日を提供する。権利は、満了日を更新するＥＭＭを送ることによって、それらの満了日に従って、周期的にリフレッシュされる。リフレッシュメントＥＭＭを受け取らなかったことによる権利の満了は、安全装置の全ベースに、一組の延長ＥＭＭを送ることによって防止される。各延長ＥＭＭは、安全装置に対して、予め決められた第１の期間内、すなわち特定の日数内の満了日を有する全権利が、予め決められた第２の期間の間、有効のままであり得ることを知らせる。このように、全てのスマートカードの権利は、第２の期間の間、延長される。
欧州特許出願公開第１ ０９４ ６６７号明細書

周知の方法の課題は、加入者の機器が比較的長い時間の間スイッチオフされるのであれば、それが「ブラックアウト」を防止する目的にはあまり適さないことである。延長ＥＭＭを含むＥＭＭは、比較的まれに送られるので、長い間スイッチオフされたままにされた端末は、それがオンされて、かつ比較的長い時間の間オンのままにされた後にのみ、第１の期間が既に過ぎていなければ、リフレッシュメントＥＭＭまたは延長ＥＭＭを受け取るために、ブロードキャスト信号をデコードし始める。この課題は、移動電話機ハンドセットに対するブロードキャストサービスが展開され始めたとき、より深刻になった。なぜなら、これらの装置は、バッテリーパワーを節約するために、しばしば比較的長い時間の間オフのままにされるからである。

本発明の目的は、時間通りに更新することができなかった満了した権利のせいで、暗号化されたデジタルデータプロダクトにアクセスすることができない長い期間の発生を防止するのを助ける、上述したタイプの方法、システム、デジタルメッセージおよびコンピュータプログラムを提供することである。

この目的は、本発明による方法によって達成され、この方法は、権利の満了を示す満了情報を含む、格納された権利の中のプロダクト識別子と一致するプロダクト識別子を含む権利制御メッセージを受け取ったら、カウンタを初期値にセットして、第２のモードにおける動作を開始することを特徴とする。

安全装置は、いたずらが防止され、かつ／または、いたずらが明白になるようにする機能を備えた装置であり、この機能は、ソフトウェアまたはハードウェアの中で実現され得る。このように、安全装置は、無認可の人が、その中に格納されたデータを変更することを抑止する機能を備えている。満了情報は、時点、すなわち、時点の、安全装置またはデコーダシステム内の計時システムによって示されるような現在の時刻または日付に対する関係によって与えられる、満了または有効の表示を示すのみでもよい。その場合、権利が有効であることを示す満了情報は、将来の時点の表示に相当する。

第２のモードにおける動作は、権利制御メッセージを受け取ると開始するので、いかなるブラックアウトも、通常と同程度長く持続する。なぜなら、解読の開始は、最初の権利制御メッセージに応答して、デコーダシステムが認可装置から制御ワードを受け取るまで、常に遅れるからである。権利が満了したことを示す満了情報を含む、格納された権利の中のプロダクト識別子と一致するプロダクト識別子は、第２の動作モードへの変化を引き起こす。従って、カウンタは、必要なときに初期化されるだけである。それは、累進的に加減され、すなわち予め決められた値に向かってインクリメントまたはデクリメントされ、かつ、カウンタが初期値と予め決められた値との間の値である場合にのみ、制御ワードは供給されるので、満了した権利の延長は、限られた使用期間のみの間である。従って、条件付きアクセスは、長い目で見れば回避することができない。

一実施形態において、初期値は、安全装置に格納された値に基づく。

このように、第２の動作モードの有効性は、特定の期間内に特定のメッセージを受け取ることによらない。初期値は、猶予期間の長さを定め、猶予期間は、外部通信が、長い期間、受信されなかった場合であっても、開始することができる。

一実施形態において、初期値は、安全装置に格納されていて、かつ複数のデコーダモードを示すデータを捜して、このようなデータが見つかったら、最初の値を、このようなデータから導き出される倍数と乗算することによって得られる。

このように、より長い猶予の期間が、複数のデコーダモードにおいて動作するように認可された安全装置に見込まれる。このような装置は、留守番録画機能を有するパーソナルビデオレコーダまたは統合されたレシーバデコーダとの接続用として適している。

一実施形態において、カウンタは、第２のモードにおいて返される各制御ワードによって、予め決められた量ずつ加減される。

この実施形態は、権利制御メッセージ（ＥＣＭ）の正しいストリームを探すときに、統合されたレシーバデコーダで起こる、いわゆる非ページロック動作モードを考慮に入れている。このようなモードにおいて、安全装置は、それが制御ワードを返し始めるまで、多くの様々なＥＣＭを備えている。上述した方法の特徴は、カウンタが、非ページロックモードにおいて、あまりにすぐに、予め決められた値に達するのを防止することである。

一実施形態において、格納された権利の組の中の権利の各々が、それぞれの権利の満了を示す満了情報を含むと判定された場合にのみ、第２のモードにおける動作は開始される。

このように、加入者がもはや関連するプロダクトにアクセスすることを認可されていないので、１つの権利が満了した状況と、安全装置が、更新された満了情報を受け取ることができなかったので、全ての権利が満了した状況とが識別される。安全装置は、いくつかの権利の組を格納し得ることに注意されたい。例えば、スマートカードは、一般に複数のセクタを備えている。この説明という意味においては、１つのセクタ内の権利は、通常、１つの権利の組に対応する。

一実施形態において、少なくとも第１および第２のモードにおいて、格納された権利の組の中の１つの権利に含まれている満了情報は、第１のタイプの権利管理メッセージに応答して更新され、権利に含まれていて、かつデコーダシステムによって安全装置に転送されるプロダクト識別子に対応するプロダクトを識別する。

これは、第２の動作モードの中で費やされる時間を制限する。カウンタ値は、そう速くは、予め決められた値に達しない。

一実施形態において、権利は、第２のタイプの権利管理メッセージを受け取ったら、格納された権利の組から削除され、権利に含まれていて、かつデコーダシステムによって安全装置に転送されるプロダクト識別子に対応するプロダクトを識別する。

これは、加入者がもはや関連するプロダクトにアクセスすることが許されないために、１つの権利が満了した場合に、第２の動作モードが永続することを防止する。

一実施形態において、デコーダシステムは、特定の通信チャネル上で権利管理メッセージを検索するためのチューナを備えていて、方法は、第２のモードにおける動作が開始した後に、要求をデコーダシステムに提供して、チューナを特定の通信チャネルにセットするステップを有している。

これは、格納された権利の組の中の権利を削除または修正する、いかなる権利管理メッセージ（ＥＭＭ）も受け取る充分な時間があることを保証する。第２のモードの中で費やされる時間は、更に制限される。

一実施形態は、組の中の格納された権利の各々が、権利が有効であることを示す満了情報を含むと判定されたら、第２のモードにおける動作から第１のモードにおける動作に切り替わるステップを有している。

従って、カウンタの予め決められた値に、それほど急速に達しない。また、連続動作が保証される。なぜなら、第２のモードに属している間にカウンタが予め決められた値に達すると、制御ワードの供給は止められるからである。

一実施形態において、初期値は、デコーダシステムによって安全装置に転送されるメッセージから得られる値、または、安全装置に格納されていて、デコーダシステムによって安全装置に転送されるメッセージに応じて修正される値に基づく。

メッセージは、初期値を再初期化するための手段を提供する。これは、使用が再び始まる時、ブラックアウトの出現なしで、安全装置の不使用の長期の期間の潜在的に無制限の数を可能にする。

他の態様によれば、本発明によるシステムは、認可装置が、権利の満了を示す満了情報を含む、格納された権利の中のプロダクト識別子と一致するプロダクト識別子を含む権利制御メッセージを受け取ったら、カウンタを初期値にセットして、第２のモードにおける動作を開始するように構成されていることによって特徴付けられる。

初期値は、安全装置に格納された値、または権利制御メッセージに含まれている値に基づいてもよい。従って、解読の急速起動が保証される一方で、安全装置の介入が必要であるという事実は、アクセスが認可になお依存していることを保証する。

一実施形態において、認可装置は、本発明による方法を実行するように構成されている。

システムの一実施形態は、デコーダシステムおよびデコーダシステムに対するネットワークリンクを介して、認可装置に、新しいカウンタ値を表す情報を運んでいて、認可装置が新しいカウンタ値の初期値に基づくことを促すようなフォーマットに配列された権利メッセージを供給するシステムを更に備えている。

これは、使用が再び始まる時、ブラックアウトの出現なしで、安全装置の不使用の長期の期間の潜在的に無制限の数を可能にする。

本発明の別の態様では、本発明によるシステムの定義の中で備えられているような、サーバからデコーダシステムおよび認可装置のうちの少なくとも１つにデータリンクを通じて伝送されるデジタルメッセージが提供され、新しいカウンタ値を表していて、認可装置が新しいカウンタ値の初期値に基づくことを促すようなフォーマットに配列された情報を運ぶ。

本発明の別の態様では、コンピュータプログラムが、機械で読み取り可能な媒体の中に組み込まれるとき、システムに情報処理能力を持たせて、本発明による方法を実行することが可能な一組の命令を含んでいる。

ここで、本発明が、添付の図面を参照して更に詳細に説明される。

例として図１に示すヘッドエンドシステム１は、暗号化されたデジタルデータプロダクトおよび暗号化されたデジタルデータプロダクトを解読するための権利メッセージを生成するのに適している。一実施形態において、暗号化されたデジタルデータプロダクトは、ファイルであり、デジタル権利管理（Digital Rights Management；ＤＲＭ）システムを実施する別の情報を備えている。このような情報は、使用のタイプを特定し、それは、暗号化されたデータプロダクトでできていてもよい。ファイルは、データキャリア、例えば光学または磁気ディスクに記録され得る。代替案として、それらは、例えば、セルラー移動電話ネットワーク、衛星ネットワークおよび／またはケーブルまたは地上放送ネットワークを含む、通信ネットワークを通じてレシーバによってダウンロードされ得る。他の実施形態では、図１に示したように、暗号化されたデジタルデータプロダクトは、ヘッダおよびペイロードを有するデジタルデータパケットによって構成される、１つ以上のデジタルデータストリームの組を含んでいる。ヘッダは、関係するデータパケットが属するストリームを示す識別子を含んでいる。説明の便宜上ここで用いられる、共通の実施形態において、デジタルデータプロダクトは、１つ以上のＭＰＥＧ−２トランスポートストリームを含むプロダクトである。このようなデータストリームの形式は、例えば国際標準ＩＳＯ／ＩＥＣ １３８１８−１から、当然公知である。暗号化されたトランスポートストリーム（ＴＳ）パケットの１つ以上のストリームを含む暗号化されたプロダクトが、ユニキャスト、マルチキャストまたはブロードキャストとして、セルラー移動電話ネットワーク−その場合、例えば、ＴＳパケットは、インターネットプロトコル（ＩＰ）パケットで運ばれる−、および衛星、ケーブルまたは地上放送ネットワークのうちのいずれか１つ以上を通じて、レシーバに提供される。

図１に示したヘッドエンドシステム１は、デジタルビデオ放送のためのSimulcrypt規格に従っている。プログラムに属する、コンテンツデータの１つ以上のエレメンタリストリームを含むデジタルデータストリーム、例えば映像および音声成分は、記憶システム２から得られる。この文脈におけるプログラムは、一まとまりのデータストリームである。時間ベースで提供されるデータストリームのそれらは、共通の時間ベースを持っていて、エレメンタリストリームの中のタイミング情報によって示されるような同期表示を意図している。

多重化システム３は、入力データストリームの時分割多重化を実行して、出力としてＭＰＥＧ−２トランスポートストリームを供給する。ＭＰＥＧ−２トランスポートストリームは、一連のＴＳパケットによって形成される。各パケットのペイロードは、１つのエレメンタリストリームに属するデータの１つ以上の単位を運ぶ。

記憶システム２からのエレメンタリストリームの他に、多重化システム３は、ＰＳＩ発生器４からプログラム特定情報（ＰＳＩ）を受け取り、ＥＣＭ発生器５から権利制御メッセージ（ＥＣＭ）のストリームを受け取り、かつＥＭＭ発生器６から権利管理メッセージ（ＥＭＭ）のストリームを受け取る。条件付きアクセスのプロバイダ（ＣＡプロバイダ）は、プログラム特定情報をＰＳＩ発生器４に提供するカスタムＰＳＩ発生器７を操作する。ＰＳＩ発生器４およびカスタムＰＳＩ発生器７の両方が存在する理由のために、いくつかの他のＣＡプロバイダの条件付きアクセスシステム（図示せず）が、ヘッドエンドシステム１の中に備えられていてもよい。１つのＣＡプロバイダの条件付きアクセスシステムと関連する図示したシステムは、カスタムＰＳＩ発生器７、ＥＣＭ発生器５およびＥＭＭ発生器６を備えている。

ヘッドエンドシステム１は、ここでは制御ワードと称する一連の暗号化キーを生成する制御ワード（ＣＷ）発生器８を更に備えている。ネットワーク管理システム９は、各種要素の動作を制御する。

ＣＷ発生器８によって生成される制御ワードは、同期システム１０に供給される。同期システム１０は、制御ワードをＥＣＭ発生器に供給し、代わりにＥＣＭを受け取る。各ＥＣＭは、条件付きアクセスシステムの認可装置が制御ワードを得ることを可能にする、少なくとも一組のキー情報を含んでいる。ＥＣＭは、多重化システムによって生成される多重の中の別々に識別されたＴＳパケットのストリームの中に供給される。それらは、多重の中に含まれているプログラム特定情報によって、それらがアクセスを提供するプログラムにリンクされる。

同期システム１０は、また、制御ワードをスクランブルシステム１１に供給する。スクランブルシステム１１は、多重化システム３からの出力として得られるＭＰＥＧ−２ ＴＳパケットのうちの少なくとも特定の１つのペイロードの少なくとも一部をスクランブルする。同期システム１０によって実行される１つの機能は、ＥＣＭのストリームを、スクランブルされたＭＰＥＧ−２トランスポートストリームと同期させることである。同期は、一実施形態において、ＭＰＥＧ−２ ＴＳパケットの中のタイムスタンプによって遂行され、それによって、ＥＣＭを運ぶＴＳパケットおよびコンテンツデータを運ぶスクランブルされたＴＳパケットに共通の時間ベースを提供する。同期は、多重の中のＴＳパケットの順序を維持するためのシステムと協働して、ＥＣＭを運ぶＴＳパケットおよびスクランブルされたコンテンツデータを運ぶそれらのストリームが多重化される順序によって遂行され得る。他の実施形態において、キーメッセージが、別のチャネルにわたって使い切られることと、基準時間が、このキーメッセージのストリームを、スクランブルされたコンテンツデータを運ぶＴＳパケットのストリームと同期させるために用いられることとが観察される。

図示した実施形態において、ＥＣＭは、制御ワードを表していて、かつセッションキーの下で暗号化されたデータを運ぶ。ＥＣＭ発生器５は、ＥＭＭ発生器６からセッションキーを得るが、これは、加入者または加入者のグループに宛てられた、キーを運ぶタイプのＥＭＭの中のセッションキー、さらに正確な表現をすれば、加入者に対して発行されるアクセストークンを含んでいる。ここで述べられる全てのタイプのＥＭＭは、周知の方法で、多重化システム３によって生成されるＭＰＥＧ−２トランスポートストリームの中で、加入者に送られる。

スクランブルシステム１１は、ＴＳパケットのペイロードの少なくとも一部をスクランブルする。別々の制御ワード値が、制御ワード期間に対応するプログラムの連続したセクションのために用いられる。ＥＣＭの中のデータは、同期情報を含んでいて、暗号化された制御ワードを、関連した制御ワード期間にリンクさせるので、レシーバは、プログラムの特定のセクションを解読するための正しい制御ワード値を得ることができる。これは、データストリームよりむしろファイルを含んでいる暗号化されたデジタルデータプロダクトにも当てはまる。ファイルは、順序づけられたセクションのシーケンスに分割されることも可能であり、連続したものが、別々の制御ワード値の下で暗号化される。

多重化システム３によって生成される多重は、それぞれのプログラムに対応する複数組のストリームを含んでいる。プログラムに対応する各組のストリームは、他のプログラムとは独立して暗号化され、ＥＣＭのそれ自身のシーケンスを持つ。別々のプログラムに関するＥＣＭが、１つのＴＳパケットストリームで運ばれ得る（すなわち、それらのヘッダの中に共通のパケット識別子を有するパケットで）。各ＥＣＭは、制御ワードの検索を可能にする一組のキー情報に加えて、プログラムに対して固有で、かつＥＣＭの中のキー情報の組に関連するプロダクト識別子を運ぶ。

図２は、非常に模式的な方法で、レシーバ／デコーダ１３を含む加入者機器１２を示している。ここで述べるシステムおよび方法は、特に、モバイル機器、例えばセルラー電話機ハンドセット（図示せず）の中に含まれている加入者装置における実施に従うことは理解されるべきである。これは、加入者装置が、絶え間なく、それがヘッドエンドからデータ特にＥＭＭおよびＥＣＭを受け取るモードの中にいる必要はないからである。効果は、モバイル機器においてバッテリーパワーが節約されるということである。

図示した実施形態において、レシーバ／デコーダ１３は、ネットワークインターフェース１４と、ヘッドエンドシステム１に対する物理リンクを実現するチューナ／デモジュレータ１５とを備えている。この実施形態は、衛星、ケーブルまたは地上放送リンクを通しての伝送に適している。他の実施態様において、述べたように、リンクは、セルラー電話ネットワークを通る。その場合には、ネットワークに対する物理インターフェースは異なる。

デマルチプレクサ１６は、処理ユニット１７によって命令されたとき、プログラムに属するＴＳパケットをフィルタにかける。周知の方法において、チューナ／デモジュレータ１５から得られるデジタルデータストリームの中のプログラムマップテーブルは、プログラムおよびＥＣＭ及びＥＭＭのストリームに属するＴＳパケットのヘッダの中のそれらに対応するパケット識別子の値を含んでいる。従って、少なくとも部分的にスクランブルされたペイロードを有するＥＭＭ、ＥＣＭ、およびＴＳパケットが得られる。

レシーバ／デコーダ１３は、スマートカード１９という形での認可装置またはアクセストークンに対するインターフェース１８を備えている。スマートカード１９は、このような認可装置の一例に過ぎない。他の実施態様において、条件付きアクセスモジュールとスマートカードの組合せが用いられる。別の実施形態では、スマートカード１９の機能は、移動電話機ハンドセットの加入者識別モジュール（ＳＩＭ）カードのセクタ上で提供される。更に別の実施形態では、スマートカード１９の機能は、レシーバ／デコーダ１３の中の処理ユニット１７または他のプロセッサによって実行されるソフトウェアモジュールを含むアクセストークンの中で実現される。このような実施形態において、処理ユニット１７およびソフトウェアモジュールの実行可能なコードを有するシステムが、コードを逆行分析する試みに対して安全が確保されるようにする、コードおよび／またはデータあいまい化技術が用いられる。分離した物理認可装置が実施され得る。通常の場合、付加的な保護ハードウェア機能が、分離した構成要素としてここで示される、認可装置のメモリおよびデータ処理ユニット、例えばスマートカード１９の処理ユニット２０および不揮発性メモリ２１を保護するために設けられる。

図示した実施形態において、レシーバ／デコーダ１３のインターフェース１８は、分離した携帯用の認可装置であるスマートカード１９のインターフェース２２と協働する。

図３は、条件付きアクセスシステムの中で認可装置として機能するスマートカード１９によって実行される方法の例を示している。スマートカード１９に格納されたコンピュータプログラムコードは、スマートカード１９が、図示した方法を実行するように構成されている。スマートカード１９は、そのメモリ２１の中に権利のテーブル２３を格納している。権利に対応するテーブル２３の中の各エントリは、プロダクト識別子と、時点、例えば日付およびオプションとして時刻を表すデータとを含んでいる。

スマートカード１９は、いくつかのテーブル、例えば図示したテーブル２３を格納し得ることに注意されたい。これは、スマートカード１９が複数のセクタを有している場合である。各テーブル２３は、従って、別々の権利の組を形成し、各組は、通常、異なるＣＡプロバイダに属している。

テーブル２３には、第１のタイプのＥＭＭに対応するエントリが配置されている。これらのＥＭＭも、条件付きアクセスシステムのＥＭＭ発生器６によって生成される。それらは、プロダクト識別子および関連する満了情報を表すデータを含んでいる。関係するプロダクトを識別していて、かつレシーバ／デコーダ１３によってスマートカード１９に転送される第２のタイプのＥＭＭを受け取ると、権利はテーブル２３から取り除かれる。キーを運ぶＥＭＭと同様に、第１および第２のタイプのＥＭＭを得るために、処理ユニット１７は、チューナ／デモジュレータおよび／またはデマルチプレクサ１６に、適切なチューニングコマンドを供給する。後者の介入は必要である。なぜなら、ＥＭＭは、通常、別々のチャネル上に（すなわち多重の中の別々に識別されるＴＳパケットストリームの中に）送られるからである。ＥＭＭがバンドの外から受け取られる実施形態において、他のタイプのチューニングコマンドが、他のタイプのチューニング装置（図示せず）向けに、処理ユニットによって発行される。

既にテーブル２３に格納されている権利に含まれている満了情報を更新するＥＭＭを含む、第１のタイプのＥＭＭは、レシーバ／デコーダ１３に、１５分より長い間隔で送られる。従って、レシーバ／デコーダ１３は、テーブル２３の中の権利の完全な更新を得ることを確実にするために、非常に長い期間、スイッチオンされ、かつチューニングされていなければならない。加入者装置１２が短い時間間隔でのみ用いられるのであれば、テーブル２３の中の全ての権利が更新されるわけではない非常に高い可能性がある。ＣＡプロバイダは、セキュリティのために、短い期間、権利を与えることを選択することもできる。これも、権利を更新するための第１のタイプのＥＭＭがスマートカード１９に転送される前に、テーブル２３の中の権利のうちの１つ以上が満了する可能性を増加させる。

プログラムに対する権利が満了したとしても、プログラムに対する継続的なアクセスを許容するために、スマートカード１９は、いわゆる猶予期間を実行することができる。猶予期間が続く間、スマートカード１９は、第１または通常の動作モードと区別するために、ここでは第２の動作モードと称するモードで動作する。

スマートカード１９によって用いられる方法である図３に示した詳細な実施形態は、ここで単なる例として用いられるだけである。第１のステップ２４で、スマートカード１９は、ＥＣＭを受け取る。ＥＣＭは、レシーバ／デコーダ１３によって、インターフェース１８，２２を介して、スマートカード１９に転送される。それは、プロダクト識別子と、制御ワード期間に対応するプログラムストリームのセクションを解読するためにデスクランブラ２５によって用いられるための制御ワードに対応する少なくとも一組の暗号化されたキー情報とを含んでいる。第２のステップ２６で、スマートカード１９は、ＥＣＭからプロダクト識別子を取り出す。

第３のステップ２７で、スマートカード１９は、テーブル２３の中に、一致するプロダクト識別子を含む権利があるかどうかをチェックする。スマートカード１９が第１のモードで動作しているか第２のモードで動作しているかに関係なく、ＥＣＭの中のプロダクト識別子がテーブル２３の中の権利の中のプロダクト識別子と一致する場合にのみ、スマートカード１９は、ＥＣＭの中の制御ワードを解読して返す処理を進める。従って、このような権利がないのであれば、方法は、第１のステップ２４で再開され、そこで次のＥＣＭが受け取られる。

ＥＣＭの中で識別された権利が見つかったら、スマートカード１９は、少なくとも、その権利の有効性をチェックする。図示した実施形態においては、少なくとも識別されたプロダクトに対応する権利が満了したら、スマートカード１９は、テーブル２３の中に含まれている全ての権利の有効性をチェックする。有効性チェックは、第４のステップ２８において実行される。一実施形態において、スマートカード１９は、リアルタイムクロックを実装していて、各権利に含まれている満了情報は、時点を示す。従って、満了情報が、権利の満了を示しているのか、またはそれが有効であることを示しているのかは、リアルタイムクロックから得られる、現在の時刻の値との比較を実行することによって判定される。別の実施形態において、現在の時刻は、スマートカード１９によって、ＥＣＭの中のタイムスタンプから導き出される時間である。別の実施形態において、満了情報は、カウンタであり、このカウンタは、受け取られかつ処理された各ＥＣＭによって、予め決められた量ずつ加減され、権利の中で識別されたプロダクトのセクションを解読するための制御ワードを生成する。

図示した実施形態において、スマートカード１９が通常動作モードにあり、かつＥＣＭの中のプロダクト識別子と一致するプロダクト識別子を含む権利が満了し、しかし他の全ての権利が満了したのではないのであれば、ＥＣＭは更に処理されることはない。第１のステップ２４が、次のＥＣＭ上で実行される。一方、スマートカード１９が通常動作モードにあり、かつＥＣＭの中のプロダクト識別子と一致するプロダクト識別子を含む権利が、権利が有効であることを示す満了情報を含んでいるのであれば、ＥＣＭの中のキー情報の組を解読するステップ２９が実行され、デスクランブラ２５にメッセージの中の明瞭な制御ワードを返すステップ３０が続く。

図示した実施形態において、ＥＣＭの中のプロダクト識別子と一致するプロダクト識別子を含む権利が、権利が満了したことを示す満了情報を含み、かつ、テーブル２３の中の他の全ての権利が、同様に満了していたのであれば、スマートカードは、第２の動作モードに入る。すなわち猶予期間が始まる。なお、別の実施形態においては、ＥＣＭの中で識別されたプロダクトの権利が満了しさえすれば、猶予期間は、すでに始まる。更に別の実施形態においては、満了された権利の数の閾値があってもよく、閾値より上で、スマートカード１９は、第２のモードにおける動作を開始する。

第２のモードにおける動作を開始するために、カウンタ３１が初期値にセットされる（ステップ３２）。１つの変形例において、初期値は、第１のステップ２４で受け取ったＥＣＭの中にエンコードされた値から導き出される。この実施形態において、ＥＣＭは、このように、ヘッドエンドシステム１からスマートカード１９への伝送のためのデジタルメッセージとして用いられ、新しいカウンタ値を表す情報を運ぶ。ＥＣＭは、スマートカード１９が、カウンタ３１の初期値が新しいカウンタ値に基づくことを促すのに適したフォーマットにある。別の実施形態においては、初期値は、スマートカード１９の中のメモリ２１に格納された値に基づく。メモリ２１に格納された値は、スマートカード１９の初期化でプログラムされる。スマートカード１９を返さなければならないことを避けるために、メモリ２１に格納された値は、第３のタイプのＥＭＭを受け取ると更新される。一実施形態において、メモリ２１に格納された値を置き換えるための新しい値は、ＥＭＭの中にエンコードされる。このように、ヘッドエンドシステム１は、第３のタイプのＥＭＭの形で、デジタルデータメッセージを送信し、スマートカード１９に、格納された値を新しい値と置き換えさせる。

いくらかの実施形態においては、加入者装置１２は、実質的に同時に複数のプログラムを解読する機能を備えている。これらの実施形態は、留守番録画機能を有するパーソナルビデオレコーダおよびセットトップボックスまたはデジタルテレビ受像機を備えている。適切な権利、すなわち複数の暗号化されたプログラムに対するアクセスを認可するための権利があるのであれば、１つのスマートカード１９は、これらのプログラムの各々の解読を認可するために用いられる。その場合、初期値は、同時に解読され得るプロダクトの数を表す整数との乗算によって得られる。
一実施形態において、初期値は、スマートカード１９の中のメモリ２１に格納されていて、かつ複数のデコーダモードを示すデータを捜して、このようなデータが見つかったら、最初の値を、このようなデータから導き出される倍数と乗算することによって得られる。

スマートカードが第２のモードで動作している間、スマートカードは、カウンタ３１が初期値と予め決められた最終値、例えば０との間の値を持っているかどうかをチェックする（ステップ３３）。持っているのであれば、カウンタは、予め決められた量ずつ加減され（ステップ３４）、制御ワードを解読して、解読された制御ワードをレシーバ／デコーダ１３に返すステップ３５，３６も実行される。制御ワードが返される場合にのみ、カウンタ３１はデクリメントされる。効果は、スマートカードが非ページロックモードで動作する時、カウンタ３１は、あまり急速に値０に達しないことである。非ページロックモードにおいて、レシーバ／デコーダ１３の処理ユニット１７は、プロダクト識別子によってデマルチプレクサ１６によって取り出されたＥＣＭをフィルタにかけないが、異なるプロダクト識別子を含むＥＣＭを提供する。

テーブル２３の中に含まれている全ての権利が削除されるか、または権利が有効であることを示す新しい満了情報が提供されるまで、スマートカード１９は第２の動作モードであり続ける。そして、第３のステップ２７を実行したとき、テーブルの全ての権利の中の満了情報が、有効であることに関する権利を示していると判定されたら、スマートカード１９は、第２の動作モードから第１の動作モードに切り替わる。カウンタ３１の現在の値を表す情報は、メモリ２１に格納される（明示的に図３に示されてはいない）。

少なくとも１つの実施形態において、第２のモードにおける動作を開始した後に、スマートカード１９は、レシーバ／デコーダ１３に、第２のタイプのＥＭＭが送信されるチャネル（すなわちエレメンタリストリーム）にチューニングされた状態を保つための要求を出す。一実施形態において、要求は、レシーバ／デコーダ１３が十分に長くチューニングされた状態を保つことを保証するように、時間またはプロダクト識別子の組を特定する。別の実施形態においては、カウンタをセットするステップ３２で、エラーメッセージがレシーバ／デコーダ１３に返され、このエラーメッセージは、レシーバ／デコーダ１３のユーザーインターフェース上に出力される。この出力は、ユーザに対して、一定期間、加入者装置１２をスイッチオフしないことを要求する。

従って、スマートカード１９が、加入者によって要求されたプロダクトの解読を認可し続ける間、テーブル２３の中に格納された権利が更新されることが保証される。すなわちブラックアウトは防止される。それに伴う効果は、権利を更新するためのヘルプデスクまたは加入者管理センターへの電話が避けられることである。

本発明は、詳細にここで述べた実施形態に限られず、添付の請求項の範囲内で変更され得る。例えば、デジタルデータプロダクトが非対称の暗号を用いて暗号化されるとき、ＥＣＭは、デジタルデータプロダクトまたはデジタルデータプロダクトの一部を暗号化するために用いられるキーとのキーペアを形成するキーを含む。デスクランブラ２５は、スマートカード１９の中に備えられていてもよいし、スマートカード１９とレシーバ／デコーダ１３との間をインターフェースする、分離した条件付きアクセスモジュールの中に備えられていてもよい。ＤＲＭシステムを実施している実施形態において、スマートカード１９は、プロダクト識別子を含んでいて、ＥＣＭに対応する要求に応答して、デジタル権利管理オブジェクトの中に解読キーを発行する。デジタル権利管理オブジェクトは、詳細にここで述べてきた実施形態における制御ワードに対応するキーを含む。

条件付きアクセスシステムの構成要素を備えているヘッドエンドシステムを模式的な方法で示している。 条件付きアクセスシステムの後続の部分と組み合わされるレシーバ／デコーダを模式的な方法で示している。 条件付きアクセスを認可する方法における多くのステップを示しているフローチャートである。

符号の説明

１３ レシーバ／デコーダ
１９ スマートカード
２１ 不揮発性メモリ
２３ テーブル
２５ デスクランブラ
３１ カウンタ

Claims (15)

1. 暗号化されたデジタルデータプロダクトに対する条件付きアクセスを認可する方法において、
   少なくとも１つの権利の組を、安全装置の中に格納するステップを有していて、各権利は、プロダクト識別子および満了情報を含んでいて、
   更に、前記安全装置において、制御ワードを用いて暗号化されたデジタルデータプロダクトを解読する装置を備えるデコーダシステムから、権利制御メッセージを受け取るステップを有していて、各権利制御メッセージは、プロダクト識別子を含んでいて、
   更に、第１のモードにおいて、権利が有効であることを示す満了情報を含む格納された権利の中の格納されたプロダクト識別子と一致するプロダクト識別子を含む権利制御メッセージに応答して、前記安全装置が、少なくとも１つの制御ワードを返すステップを有していて、
   更に、第２のモードにおいて、カウンタが初期値と予め定められた値との間の値であることと、権利が満了したことを示す満了情報を含む格納された権利の中の格納されたプロダクト識別子と一致するプロダクト識別子を含む権利制御メッセージに応答して、前記安全装置が、ａ）カウンタを予め定められた値に向かって累進的に加減して、ｂ）少なくとも１つの制御ワードを返すステップを有していて、
   更に、前記第１のモードにおいて、権利が満了したことを示す満了情報を含む格納された権利の中の格納されたプロダクト識別子と一致するプロダクト識別子を含む権利制御メッセージを受け取ることに応答して、前記安全装置が、カウンタを初期値にセットして、前記第２のモードにおける動作を開始するステップを有している
   ことを特徴とする方法。
2. 前記初期値は、安全装置に格納された値に基づくことを特徴とする請求項１に記載の方法。
3. 前記初期値は、安全装置に格納されていて複数のデコーダモードを示すデータを捜して、このようなデータが見つかれば、最初の値を、このようなデータから導き出される倍数と乗算することによって得られることを特徴とする請求項１または２に記載の方法。
4. 前記カウンタは、第２のモードにおいて返される各制御ワードによって、予め定められた量ずつ加減されることを特徴とする請求項１から３のうちのいずれか一項に記載の方法。
5. 格納された権利の組の中の権利の各々が、それぞれの権利の満了を示す満了情報を含むと判定された場合にのみ、第２のモードにおける動作は開始されることを特徴とする請求項１から４のうちのいずれか一項に記載の方法。
6. 少なくとも第１および第２のモードにおいて、デコーダシステムによって安全装置に転送される第１のタイプの権利管理メッセージに応答して、格納された権利の組の中の権利の中に含まれている満了情報が更新され、この権利管理メッセージは、権利の中に含まれているプロダクト識別子に対応するプロダクトを識別することを特徴とする請求項１から５のうちのいずれか一項に記載の方法。
7. デコーダシステムによって安全装置に転送される第２のタイプの権利管理メッセージを受け取ったら、権利は、格納された権利の組から削除され、この権利管理メッセージは、権利の中に含まれているプロダクト識別子に対応するプロダクトを識別することを特徴とする請求項１から６のうちのいずれか一項に記載の方法。
8. デコーダシステムは、特定の通信チャネル上で権利管理メッセージを検索するためのチューナを備えていて、この方法は、デコーダシステムに要求を提供して、第２のモードにおける動作が開始した後に、特定の通信チャネルにチューナをセットするステップを有していることを特徴とする請求項１から７のうちのいずれか一項に記載の方法。
9. 格納された権利の組の中の格納された権利の各々が、権利が満了していないことを示す満了情報を含むと判定されたら、第２のモードにおける動作から第１のモードにおける動作に切り替えるステップを有していることを特徴とする請求項１から８のうちのいずれか一項に記載の方法。
10. 前記初期値は、デコーダシステムによって安全装置に転送されるメッセージから得られる値、または、安全装置に格納されていて、デコーダシステムによって安全装置に転送されるメッセージに応じて修正される値に基づくことを特徴とする請求項１から９のうちのいずれか一項に記載の方法。
11. 暗号化されたデジタルデータプロダクトに対する条件付きアクセスを認可するシステムにおいて、
    少なくとも１つの権利の組を格納するための安全なメモリを有していて、各権利は、プロダクト識別子および満了情報を含んでいて、更に、デコーダシステムに対するインターフェースを有している認可装置を備えていて、前記デコーダシステムは、暗号化されたデジタルデータプロダクトを解読する装置を含んでいて、前記インターフェースは、認可装置がデコーダシステムから権利制御メッセージを受け取ることを可能にし、前記権利制御メッセージは、それぞれのプロダクト識別子を含んでいて、
    前記認可装置は、少なくとも第１および第２のモードのうちの１つにおいて動作するように構成されていて、
    第１のモードにおいて、権利が有効であることを示す満了情報を含む格納された権利の中の格納されたプロダクト識別子と一致するプロダクト識別子を含み、インターフェースを通して受け取られる権利制御メッセージに応答して、認可装置が、少なくとも１つの制御ワードを返し、
    第２のモードにおいて、カウンタが初期値と予め定められた値との間の値であることと、権利が満了したことを示す満了情報を含む格納された権利の中の格納されたプロダクト識別子と一致するプロダクト識別子を含み、インターフェースを通して受け取られる権利制御メッセージに応答して、認可装置が、ａ）カウンタを予め定められた値に向かって累進的に加減して、ｂ）少なくとも１つの制御ワードを返し、
    前記第１のモードにおいて、権利が満了したことを示す満了情報を含む格納された権利の中の格納されたプロダクト識別子と一致するプロダクト識別子を含む権利制御メッセージを受け取ることに応答して、認可装置が、カウンタを初期値にセットして、前記第２のモードにおける動作を開始する
    ことを特徴とするシステム。
12. 前記認可装置は、請求項１から１０のうちのいずれか一項に記載の方法を実行するように構成されていることを特徴とする請求項１１に記載のシステム。
13. デコーダシステムおよびデコーダシステムに対するネットワークリンクを介して、認可装置に、新しいカウンタ値を表していて、認可装置に新しいカウンタ値の初期値に基づかせるようなフォーマットで配列された情報を運ぶ権利メッセージを供給するシステムを更に備えていることを特徴とする請求項１１または１２に記載のシステム。
14. サーバから請求項１１から１３のうちのいずれか一項に記載のデコーダシステムおよび認可装置のうちの少なくとも１つへのデータリンク上での伝送のためのデジタルメッセージにおいて、前記デジタルメッセージが、新しいカウンタ値を表していて、認可装置に新しいカウンタ値の初期値に基づかせるようなフォーマットで配列された情報を運ぶことを特徴とするデジタルメッセージ。
15. 機械で読み取り可能な媒体に組み込まれたとき、情報処理能力を持つシステムに、請求項１から１０のうちのいずれか一項に記載の方法を実行させることが可能な一組の命令を含むコンピュータプログラム。

Images