JP6397357B2 - 送信装置および受信装置 - Google Patents

Description

本発明は、限定受信システムにおいて、コンテンツのスクランブル鍵を当該鍵の関連情報により配送する関連情報サブシステムの切り替えを行う送信装置および受信装置に関する。

従来、デジタル放送では、有料放送を実現するために、契約者のみに放送を限定して受信させることができる限定受信システムを採用している。この限定受信システムでは、放送されるコンテンツはスクランブルされており、そのスクランブルを解くためのスクランブル鍵を安全に配送する仕組みとして、鍵の関連情報を用いてスクランブル鍵を配送する関連情報サブシステム（３重鍵方式）を実装している（非特許文献１参照）。

この関連情報サブシステムが実現する限定受信方式には、放送サービスの目的に応じて、例えば、有料放送を実現するＣＡＳ（Conditional Access System）、コンテンツ保護に特化した放送を実現するＲＭＰ（Rights Management and Protection）等がある。
また、異なる関連情報サブシステムを並列運用する手法として、現在のデジタル放送では、サイマルクリプト方式が採用されている。
このサイマルクリプト方式は、限定受信方式を特定する限定受信方式記述子を、プログラムマップテーブル（ＰＭＴ：Program Map Table）や限定受信テーブル（ＣＡＴ：Conditional Access Table）に複数並列に記載する手法である（特許文献１、非特許文献２参照）。

限定受信方式では、コンテンツを暗号化するスクランブル鍵は、ＥＣＭ（Entitlement Control Message）と呼ばれる受信装置共通の鍵情報に、符号化および暗号化されてコンテンツとともに伝送される。このＥＣＭは、限定受信方式ごとに符号化フォーマットや暗号方式が異なる。そして、複数の異なる限定受信方式を採用する場合、複数のＥＣＭは並行して伝送される。
この場合、サイマルクリプト方式では、ＥＣＭを伝送するパケットを識別するためのパケット識別を含んだ限定受信方式記述子をＰＭＴに限定受信方式ごとに複数記載し、そのＰＭＴを予め受信装置に伝送しておく。そして、受信装置は、ＰＭＴに記載されている複数の限定受信方式記述子の中で、自身の限定受信方式に適合する限定受信方式記述子に記述されているパケット識別によって、放送ストリームから、対応するＥＣＭを抽出する。

また、限定受信方式では、契約情報などを個別に受信装置に伝送するために、ＥＭＭ（Entitlement Management Message）と呼ばれる受信装置個別の鍵情報が用いられる。このＥＭＭも、限定受信方式ごとに符号化フォーマットや暗号方式が異なる。そして、複数の異なる限定受信方式を採用する場合、複数のＥＭＭは並行して伝送される。
この場合、サイマルクリプト方式では、ＥＭＭを伝送するパケットを識別するためのパケット識別を含んだ限定受信方式記述子をＣＡＴに限定受信方式ごとに複数記載し、そのＣＡＴを予め受信装置に伝送しておく。そして、受信装置は、ＣＡＴに記載されている複数の限定受信方式記述子の中で、自身の限定受信方式に適合する限定受信方式記述子に記述されているパケット識別によって、放送ストリームから、対応するＥＭＭを抽出する。

特許第５１１３９５４号公報

「デジタル放送におけるアクセス制御方式 標準規格（ＡＲＩＢ ＳＴＤ−Ｂ２５） 第３部」、６．２版、一般社団法人電波産業会、平成２４年９月２５日改定 「地上デジタルテレビジョン放送運用規定 技術資料（ＡＲＩＢ ＴＲ−Ｂ１４） 第五編第二部」、４．８版、Ｐ１１２−１１３、一般社団法人電波産業会、平成２４年２月１４日改定

限定受信方式の鍵の配送を行う関連情報サブシステムは、サービスの種類（例えば、課金機能）やセキュリティ強度に応じて複数実現することができる。
また、放送事業者からは、各社のビジネスモデルに応じて、関連情報サブシステムを選択し、有料放送や無料放送のサービスを切り替えたり、暗号に使用する鍵長やアルゴリズムを更新して安全性を高めたいという要望がある。
この要望に応えるべく、同じ限定受信方式において、サービスの種類やセキュリティ強度が異なる関連情報サブシステムを選定することを考える。

関連情報サブシステムは、必ずしも正しく動作する保障がない。この場合、不具合を修正した関連情報サブシステムの最新バージョンを受信装置に配布することになる。しかし、放送事業者は、放送波が片方向伝送のため、どの受信装置でどのバージョンの関連情報サブシステムが使用されているか把握できない。従って、不具合が残っている旧バージョンの関連情報サブシステムが、受信装置で使用され続ける可能性がある。

本発明は、このような問題に鑑みてなされたものであり、放送事業者が、受信装置で起動される関連情報サブシステムのバージョンを管理することが可能な送信装置および受信装置を提供することを課題とする。

前記課題を解決するため、本発明の限定受信システムを構成する送信装置および受信装置は、以下の構成とした。
すなわち、本発明に係る送信装置は、限定受信方式により、放送ストリームに多重化したスクランブルコンテンツを受信装置に限定受信させる送信装置において、第１の限定受信方式情報設定手段と、第２の限定受信方式情報設定手段と、ＣＡロード記述子設定手段と、を備える構成とした。

かかる構成において、送信装置は、第１の限定受信方式情報設定手段によって、限定受信方式を識別する限定受信方式識別と、受信装置共通の鍵情報の位置情報と、を含んだ限定受信方式情報を放送ストリームに多重化される第１テーブルに設定する。これによって、送信装置は、受信装置に対して、受信装置の限定受信方式に適合した、受信装置共通の鍵情報を取得するための位置情報を通知することができる。

また、送信装置は、第２の限定受信方式情報設定手段によって、限定受信方式識別と、受信装置個別の鍵情報の位置情報と、を含んだ限定受信方式情報を放送ストリームに多重化される第２テーブルに設定する。これによって、送信装置は、受信装置に対して、受信装置の限定受信方式に適合した、受信装置個別の鍵情報を取得するための位置情報を通知することができる。

さらに、送信装置は、ＣＡロード記述子設定手段によって、受信装置に予め複数記憶された限定受信方式識別で特定される限定受信方式におけるスクランブル鍵の鍵配送処理を実行するプログラムである関連情報サブシステムプログラムの起動に必要なＣＡロード記述子を第１テーブル又は第２テーブルの少なくとも一方に設定する。

ここで、ＣＡロード記述子設定手段は、ＣＡロード記述子として、限定受信方式識別と、プログラムに固有の識別子およびバージョンが含まれる第１プログラム識別と、第１プログラム識別のバージョンのみをロード対象とする単独指定、または、第１プログラム識別のバージョン以上もしくは以下をロード対象とする範囲指定であるかを示す範囲指定情報と、範囲指定情報が範囲指定のときに範囲指定情報で指定されるロード対象範囲の中で最旧バージョンまたは最新バージョンをロード対象とすることを示すバージョン指定情報とが含まれる第１ロード指示と、プログラムに固有の識別子およびバージョンが含まれる第２プログラム識別と、第２プログラム識別のバージョンが単独指定または範囲指定であるかを示す範囲指定情報が含まれる第２ロード指示と、を第１テーブル又は第２テーブルの少なくとも一方に設定する。

これによって、送信装置は、受信装置に対して、受信装置の限定受信方式に適合した関連情報サブシステムプログラムの中で、起動させたい関連情報サブシステムプログラムのバージョンを指定することができる。

また、本発明に係る受信装置は、限定受信方式により、送信装置で放送ストリームに多重化されたスクランブルコンテンツを限定受信する受信装置において、第１の限定受信方式情報解析手段と、第２の限定受信方式情報解析手段と、鍵情報取得手段と、限定受信制御手段と、ＣＡロード記述子解析手段と、プログラム選定手段と、を備える構成とした。

かかる構成において、受信装置は、第１の限定受信方式情報解析手段によって、放送ストリームに多重化された第１テーブルに設定されている、限定受信方式を識別する限定受信方式識別と、受信装置共通の鍵情報の位置情報と、を含んだ限定受信方式情報から、受信装置共通の鍵情報の位置情報を抽出する。

また、受信装置は、第２の限定受信方式情報解析手段によって、放送ストリームに多重化された第２テーブルに設定されている、限定受信方式識別と、受信装置個別の鍵情報の位置情報と、を含んだ限定受信方式情報から、受信装置個別の鍵情報の位置情報を抽出する。
これによって、受信装置は、限定受信方式で用いる受信装置共通の鍵情報および受信装置個別の鍵情報の所在を認識することができる。

そして、受信装置は、鍵情報取得手段によって、第１および第２の限定受信方式情報解析手段で抽出された位置情報に基づいて、受信装置共通の鍵情報および受信装置個別の鍵情報を取得する。例えば、位置情報として、放送ストリームのパケットＩＤを通知された場合、鍵情報取得手段は、放送ストリームで通知されたパケットＩＤのパケットを抽出することで、鍵情報を取得することができる。

また、受信装置は、限定受信制御手段に、限定受信方式におけるスクランブル鍵の鍵配送処理を実行するプログラムである関連情報サブシステムプログラムを複数記憶しておく。

そして、受信装置は、ＣＡロード記述子解析手段によって、放送ストリームに多重化された第１テーブル又は第２テーブルの少なくとも一方に設定されている、限定受信方式識別と、プログラムに固有の識別子およびバージョンが含まれる第１プログラム識別と、第１プログラム識別のバージョンのみをロード対象とする単独指定、または、第１プログラム識別のバージョン以上もしくは以下をロード対象とする範囲指定であるかを示す範囲指定情報および範囲指定情報が範囲指定のときに範囲指定情報で指定されるロード対象範囲の中で最旧バージョンまたは最新バージョンをロード対象とすることを示すバージョン指定情報が含まれる第１ロード指示と、プログラムに固有の識別子およびバージョンが含まれる第２プログラム識別と、第２プログラム識別のバージョンのみをロード対象とする単独指定、または、第２プログラム識別のバージョン以上もしくは以下をロード対象とする範囲指定であるかを示す範囲指定情報が含まれる第２ロード指示と、を含んだＣＡロード記述子から、第１プログラム識別と、第１ロード指示と、第２プログラム識別と、第２ロード指示とを抽出する。

そして、受信装置は、プログラム選定手段によって、ＣＡロード記述子解析手段で抽出された第１プログラム識別および第１ロード指示により第１ロード対象範囲を決定し、第２プログラム識別および第２ロード指示により第２ロード対象範囲を決定し、第１ロード対象範囲および第２ロード対象範囲が重複する場合、ＡＮＤ条件により最終的なロード対象範囲を求め、第１ロード対象範囲および第２ロード対象範囲が重複しない場合、ＯＲ条件により最終的なロード対象範囲を求め、バージョン指定情報に基づいて最終的なロード対象範囲の中で最旧バージョンまたは最新バージョンの関連情報サブシステムプログラムを選定し、限定受信制御手段に対して、当該プログラムの起動を指示する。

そして、受信装置は、限定受信制御手段によって、起動を指示された関連情報サブシステムプログラムにより、鍵情報取得手段で取得した鍵情報を用いてスクランブル鍵を生成する。
これによって、受信装置は、送信装置から指示された限定受信方式識別に対応する複数の関連情報サブシステムプログラムの中から１つバージョンを選定して動作させることができる。

本発明は、以下に示す優れた効果を奏するものである。
本発明に係る送信装置は、１つの限定受信方式に対して複数の関連情報サブシステムプログラムを受信装置の限定受信制御手段に記憶しておき、送信装置から限定受信方式とそれに対応する関連情報サブシステムプログラムのバージョンを受信装置に指定する。そして、本発明に係る受信装置は、送信装置から指定された関連情報サブシステムプログラムのバージョンに切り替えて鍵配送処理を実行する。
これによって、本発明は、放送事業者のビジネスモデルに応じて、例えば、セキュリティ強度や機能の異なる関連情報サブシステムプログラムのバージョンを、送信装置が受信装置に切り替えさせることができる。

本発明の第１実施形態に係る限定受信システムの構成を示すシステム構成図である。 本発明の第１実施形態に係る送信装置の構成を示すブロック構成図である。 （ａ）はプログラムマップテーブル（ＰＭＴ）のデータ例を示すデータ構造図、（ｂ）はＰＭＴに設定される限定受信方式情報のデータ例を示すデータ構造図である。 （ａ）は限定受信テーブル（ＣＡＴ）のデータ例を示すデータ構造図、（ｂ）はＣＡＴに設定される限定受信方式情報のデータ例を示すデータ構造図、（ｃ）はＣＡＴに設定されるＣＡロード記述子のデータ例を示すデータ構造図である。 （ａ）はＣＡロード記述子に設定されるプログラム識別のデータ例を示すデータ構造図、（ｂ）はＣＡロード記述子に設定されるロード指示のデータ例を示すデータ構造図である。 （ａ）〜（ｃ）はＣＡロード記述子とロード対象範囲との関係を説明する説明図である。 本発明の第１実施形態に係る受信装置の構成を示すブロック構成図である。 図７の受信装置に実装する関連情報サブシステムプログラムの構成を示すブロック構成図である。 本発明の第１実施形態に係る限定受信システムにおける関連情報サブシステムの切り替え動作を示すフローチャートである。 図９のプログラム選定処理を示すフローチャートである。 本発明の実施形態に係る限定受信システムにおける限定受信動作を示すフローチャートである。 本発明の第２実施形態に係る限定受信システムの構成を示すシステム構成図である。 本発明の第２実施形態に係る送信装置の構成を示すブロック構成図である。 （ａ）はプログラムマップテーブル（ＰＭＴ）のデータ例を示すデータ構造図、（ｂ）はＰＭＴに設定される限定受信方式情報のデータ例を示すデータ構造図、（ｃ）はＰＭＴに設定されるＣＡロード記述子のデータ例を示すデータ構造図である。 （ａ）は限定受信テーブル（ＣＡＴ）のデータ例を示すデータ構造図、（ｂ）はＣＡＴに設定される限定受信方式情報のデータ例を示すデータ構造図である。 本発明の第２実施形態に係る受信装置の構成を示すブロック構成図である。 本発明の第２実施形態に係る限定受信システムにおける関連情報サブシステムの切り替え動作を示すフローチャートである。

（第１実施形態）
以下、本発明の各実施形態について図面を参照して説明する。なお、各実施形態において、同一の機能を有する手段には同一の符号を付し、説明を省略した。
［限定受信システムの概要］
最初に、図１，図２を参照して、本発明の第１実施形態に係る限定受信システムＳの概要について説明する。

限定受信システムＳは、放送事業者が有するデジタル放送の送信装置１と、各家庭等に設置されたデジタル放送の受信装置２，２，…とで構成され、コンテンツ（映像、音声等）Ｃをスクランブルするスクランブル鍵Ｋｓの関連情報として、限定受信方式を識別する限定受信方式識別に対応付けた受信装置２共通の鍵情報と受信装置２個別の鍵情報とを用いる限定受信方式により、送信装置１から受信装置２にコンテンツＣを限定受信させるものである。
なお、デジタル放送の放送波Ｗは、地上デジタル放送、衛星放送、ケーブル放送等、無線、有線を問わない。また、このデジタル放送は、ＩＰネットワーク等の通信回線を介して伝送する形態であっても構わない。

ここで、受信装置２には、耐タンパ性を有するモジュール内に、関連情報サブシステムを実現するプログラム（関連情報サブシステムプログラムＰ１，Ｐ２，…）Ｐが複数記憶されている。この関連情報サブシステムプログラムＰは、ＣＡＳ等の限定受信方式のスクランブル鍵Ｋｓの鍵配送処理を実行するプログラムであって、スクランブルされたコンテンツＣをデスクランブルするためのスクランブル鍵Ｋｓを放送ストリーム（放送信号）から抽出するものである。

この受信装置２には、限定受信方式を識別する限定受信方式識別に対して、それぞれ１つ以上のプログラム識別で識別される関連情報サブシステムプログラム（Ｐ１，Ｐ２，……）Ｐを予め記憶しておく。この関連情報サブシステムプログラムＰは、例えば、異なる鍵長（６４ビット、１２８ビット等）によってセキュリティ強度を変えたものや、課金方式（番組に対する課金、チャンネルに対する課金等）が異なるものとして構成することができる。

一方、送信装置１は、関連情報サブシステムプログラムＰを特定するための情報（ＣＡロード記述子〔限定受信方式識別、第１プログラム識別等〕）を、限定受信方式に関するテーブルである限定受信テーブル（ＣＡＴ、第２テーブル）に記載して、放送ストリームに多重化して伝送する。
そして、受信装置２は、ＣＡＴを解析し、指定された関連情報サブシステムプログラムＰを選択して動作させる。

なお、限定受信方式における鍵情報の所在を示す位置情報（放送ストリームのパケット識別等）は、プログラムマップテーブル（ＰＭＴ、第１テーブル）およびＣＡＴにそれぞれ限定受信方式ごとに記載されて伝送される。
すなわち、受信装置２，２，…に共通の鍵情報である、スクランブル鍵Ｋｓを含んだ共通鍵情報（ＥＣＭ：Entitlement Control Message）の位置情報（パケット識別等）は、限定受信方式を識別する限定受信方式識別ごとに、ＰＭＴに記載されて伝送される。

また、受信装置２ごとの個別の鍵情報である、ワーク鍵Ｋｗを含んだ個別鍵情報（ＥＭＭ：Entitlement Management Message）の位置情報（パケット識別等）は、限定受信方式識別ごとに、ＣＡＴに記載されて伝送される。
これによって、限定受信システムＳは、放送事業者が、限定受信方式ごとの複数の関連情報サブシステムプログラムＰのバージョンを受信装置２において切り替えて動作させることができる。
以下、限定受信システムＳを構成する送信装置１および受信装置２について順次説明を行う。

［送信装置の構成］
まず、図２を参照（適宜図１参照）して、本発明の第１実施形態に係る送信装置１の構成について説明する。
送信装置１は、コンテンツＣをスクランブルするスクランブル鍵Ｋｓの関連情報として、限定受信方式を識別する限定受信方式識別に対応付けた受信装置２共通の鍵情報と受信装置２個別の鍵情報とを用いる限定受信方式により、放送ストリームに多重化したスクランブルコンテンツＳＣを受信装置２に限定受信させるものである。また、送信装置１は、受信装置２に実装される関連情報サブシステムプログラムＰを切り替えて動作させるものである。
ここでは、送信装置１は、スクランブル手段１０と、ＥＣＭ生成手段１１と、ＥＭＭ生成手段１２と、ＰＭＴ生成手段１３と、ＣＡＴ生成手段１４と、多重化手段１５と、を備える。

スクランブル手段１０は、入力されたコンテンツ（映像、音声等）Ｃをスクランブル鍵Ｋｓでスクランブル（暗号化）するものである。このスクランブル鍵Ｋｓによる暗号化は、一般的な共通鍵暗号アルゴリズムを用いればよく、例えば、ＭＵＬＴＩ２暗号により暗号化する。そして、スクランブル手段１０は、スクランブルしたコンテンツＣ（スクランブルコンテンツＳＣ）を、多重化手段１５に出力する。
なお、スクランブル鍵Ｋｓは、数秒に１回程度更新され、ここでは、適宜外部から新たなスクランブル鍵Ｋｓが入力されることで更新されるものとする。

ＥＣＭ生成手段（共通鍵情報生成手段）１１は、スクランブル手段１０で用いるスクランブル鍵Ｋｓをワーク鍵Ｋｗで暗号化し、暗号化したスクランブル鍵Ｋｓを含んだ受信装置２共通の鍵情報である共通鍵情報を生成するものである。このワーク鍵Ｋｗによる暗号化には、一般的な共通鍵暗号アルゴリズムを用いればよい。

なお、ワーク鍵Ｋｗは、スクランブル鍵Ｋｓに比べ、更新時間が長く、例えば、１ヶ月程度で更新される。ここでは、ワーク鍵Ｋｗは、適宜外部から新たなワーク鍵Ｋｗが入力されることで更新されるものとする。

この共通鍵情報は、社団法人電波産業会（ＡＲＩＢ）のＳＴＤ−Ｂ２５で規定されているＥＣＭ（Entitlement Control Message）として生成することができる。
ここでは、ＥＣＭ生成手段１１は、生成した共通鍵情報（ＥＣＭ）を、多重化手段１５に出力する。このとき、ＥＣＭ生成手段１１は、ＥＣＭをパケット化し、そのヘッダ領域に、後記するＰＭＴ生成手段１３で設定された鍵情報の位置情報であるＥＣＭのパケット識別（ＥＣＭ＿ＰＩＤ）を設定しておく。

ＥＭＭ生成手段（個別鍵情報生成手段）１２は、ＥＣＭ生成手段１１で用いるワーク鍵Ｋｗをマスタ鍵Ｋｍで暗号化し、暗号化したワーク鍵Ｋｗを含んだ受信装置２個別の鍵情報である個別鍵情報を生成するものである。このマスタ鍵Ｋｍによる暗号化には、一般的な共通鍵暗号アルゴリズムを用いればよい。
なお、マスタ鍵Ｋｍは、予め個々の受信装置２に付与されている固有の鍵であって、予め図示を省略した記憶手段に記憶されているものとする。

この個別鍵情報は、ＡＲＩＢのＳＴＤ−Ｂ２５で規定されているＥＭＭ（Entitlement Management Message）として生成することができる。
ここでは、ＥＭＭ生成手段１２は、生成した個別鍵情報（ＥＭＭ）を、多重化手段１５に出力する。このとき、ＥＭＭ生成手段１２は、ＥＭＭをパケット化し、そのヘッダ領域に、後記するＣＡＴ生成手段１４で設定された鍵情報の位置情報であるＥＭＭのパケット識別（ＥＭＭ＿ＰＩＤ）を設定しておく。

以上説明したＥＣＭ生成手段１１およびＥＭＭ生成手段１２は、異なる限定受信方式に対して、それぞれ複数備えられる。例えば、ＥＣＭ生成手段１１およびＥＭＭ生成手段１２は、ＣＡＳ方式、ＲＭＰ方式等に対応してそれぞれの方式を実装する手段として備えられる。
また、ここでは、ＥＭＭ生成手段１２が、受信装置２個別のマスタ鍵Ｋｍでワーク鍵Ｋｗを暗号化することとしたが、限定受信方式の管理単位を受信機メーカや受信機機種といったデバイス単位とする場合、当該単位で予め受信装置２に割り当てられたデバイス鍵でワーク鍵Ｋｗを暗号化することとする。

ＰＭＴ生成手段１３は、受信装置２共通の鍵情報の所在を特定する位置情報を指定したテーブル情報を生成するものである。このテーブル情報は、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されているプログラムマップテーブル（ＰＭＴ）のデータ形式とすることができる。このＰＭＴ生成手段１３は、生成したＰＭＴを多重化手段１５に出力する。
ここでは、ＰＭＴ生成手段１３は、限定受信方式情報設定手段１３０を備える。

なお、このＰＭＴ生成手段１３は、限定受信方式情報以外にも、例えば、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されている放送番組を構成する種々の符号化信号を伝送するパケットの位置情報（ＰＩＤ）を設定することができるが、本発明においては直接関係がないため、図示とその説明を省略する。

限定受信方式情報設定手段（第１の限定受信方式情報設定手段）１３０は、限定受信方式を識別する限定受信方式識別と受信装置２共通の鍵情報の位置情報とを含んだ限定受信方式情報を、プログラムマップテーブル（ＰＭＴ）に設定するものである。

＜ＰＭＴのデータ構造＞
ここで、図３を参照して、ＰＭＴ生成手段１３が生成するＰＭＴのデータ構造の例について説明する（適宜図２参照）。

図３（ａ）に示すように、ＰＭＴ生成手段１３は、ＰＭＴを他のテーブル情報と識別するためのテーブル識別等を含んだセクションヘッダと、各種の記述子を配置する記述子領域と、ＣＲＣ（チェックサム）とで構成されるテーブル情報を生成する。
この記述子領域には、限定受信方式情報設定手段１３０によって、限定受信方式情報（限定受信方式記述子）が設定される。

この限定受信方式情報（限定受信方式記述子）は、図３（ｂ）に示すように、記述子を識別する記述子タグと、記述子長と、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）と、鍵情報の位置情報（ＣＡ＿ＰＩＤ）と、を各項目としたデータで構成される。なお、ＰＭＴ内に設定する鍵情報の位置情報（ＣＡ＿ＰＩＤ）は、共通鍵情報（ＥＣＭ）のパケット識別（ＥＣＭ＿ＰＩＤ）である。

ここで、「限定受信方式識別」は、限定受信方式ごとに予め割り当てられた識別子である。このＰＭＴに設定された限定受信方式識別は、受信装置２において、ＰＭＴが受信装置２に実装された限定受信方式に対応するテーブル情報であるか否かを識別するために使用される。
また、「鍵情報の位置情報」は、共通鍵情報（ＥＣＭ）を伝送するパケットを識別するパケット識別（ＰＩＤ）である。
この限定受信方式情報（限定受信方式識別、鍵情報の位置情報）は、外部から入力される。
図２に戻って、送信装置１の構成について説明を続ける。

ＣＡＴ生成手段１４は、受信装置２個別の鍵情報の所在を特定する位置情報を指定したテーブル情報を生成するものである。このテーブル情報は、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されているＣＡＴのデータ形式とすることができる。このＣＡＴ生成手段１４は、生成したＣＡＴを多重化手段１５に出力する。
ここでは、ＣＡＴ生成手段１４は、限定受信方式情報設定手段１４０と、ＣＡ（Conditional Access）ロード記述子設定手段１４１と、を備える。

なお、このＣＡＴ生成手段１４は、限定受信方式情報、ＣＡロード記述子以外にも、例えば、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されている限定受信放送の種々の関連情報を伝送するパケットの位置情報（ＰＩＤ）を設定することができるが、本発明においては直接関係がないため、図示とその説明を省略する。

限定受信方式情報設定手段（第２の限定受信方式情報設定手段）１４０は、限定受信方式識別と受信装置２個別の鍵情報の位置情報とを含んだ限定受信方式情報を、限定受信テーブル（ＣＡＴ）に設定するものである。

ＣＡロード記述子設定手段１４１は、限定受信方式に対応したＣＡロード記述子を限定受信テーブル（ＣＡＴ）に設定するものである。ここでは、ＣＡロード記述子設定手段１４１は、ＣＡロード記述子として、限定受信方式識別と、第１プログラム識別と、第１ロード指示と、第２ロード指示フラグと、第２プログラム識別と、第２ロード指示と、除外プログラム識別数と、除外プログラム識別と、ロードセキュリティ情報長と、ロードセキュリティ情報とをＣＡＴに設定することとする。

なお、限定受信方式情報設定手段１４０における限定受信方式情報の設定と、ＣＡロード記述子設定手段１４１におけるＣＡロード記述子の設定とは、同時に行う必要がない。

＜ＣＡＴのデータ構造＞
ここで、図４，図５を参照して、ＣＡＴ生成手段１４が生成するＣＡＴのデータ構造の例について説明する（適宜図２参照）。

図４（ａ）に示すように、ＣＡＴ生成手段１４は、ＣＡＴを他のテーブル情報と識別するためのテーブル識別等を含んだセクションヘッダと、各種の記述子を配置する記述子領域と、ＣＲＣ（チェックサム）とで構成されるテーブル情報を生成する。

この記述子領域には、限定受信方式情報設定手段１４０によって、限定受信方式情報（限定受信方式記述子）が設定される。
また、記述子領域には、ＣＡロード記述子設定手段１４１によって、ＣＡロード記述子が設定される。

限定受信方式情報（限定受信方式記述子）は、図４（ｂ）に示すように、記述子を識別する記述子タグと、記述子長と、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）と、鍵情報の位置情報（ＣＡ＿ＰＩＤ）と、を各項目としたデータで構成される。なお、ＣＡＴ内に設定する鍵情報の位置情報（ＣＡ＿ＰＩＤ）は、個別鍵情報（ＥＭＭ）のパケット識別（ＥＭＭ＿ＰＩＤ）である。

ここで、「限定受信方式識別」は、限定受信方式情報設定手段１３０で設定される限定受信方式識別と同様、限定受信方式ごとに予め割り当てられた識別子である。このＣＡＴに設定された限定受信方式識別は、受信装置２において、ＣＡＴが受信装置２に実装された限定受信方式に対応するテーブル情報であるか否かを識別するために使用される。

また、「鍵情報の位置情報」は、限定受信方式情報設定手段１３０で設定される鍵情報の位置情報とは異なり、個別鍵情報（ＥＭＭ）を伝送するパケットを識別するパケット識別（ＰＩＤ）である。なお、受信装置２に外部のサーバから個別鍵情報（ＥＭＭ）を取得させる場合、個別鍵情報（ＥＭＭ）の位置情報は、当該サーバのネットワークアドレス（ＩＰアドレス）としてもよい。
この限定受信方式情報（限定受信方式識別、鍵情報の位置情報）は、外部（例えば、放送事業者）から入力される。

ＣＡロード記述子は、図４（ｃ）に示すように、記述子を識別する記述子タグと、記述子長と、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）と、第１プログラム識別（ＣＡ＿ｐｒｏｇ＿ＩＤ）と、第１ロード指示と、第２ロード指示フラグと、第２プログラム識別（ＣＡ＿ｐｒｏｇ＿ＩＤ）と、第２ロード指示と、除外プログラム識別数と、除外プログラム識別と、ロードセキュリティ情報長と、ロードセキュリティ情報と、を各項目としたデータで構成される。

ここで、「限定受信方式識別」は、限定受信方式ごとに予め割り当てられた識別子である。このＣＡＴに設定された限定受信方式識別は、受信装置２において、ＣＡＴが受信装置２に実装された限定受信方式に対応するテーブル情報であるか否かを識別するために使用される。

また、「第１プログラム識別」は、受信装置２に予め複数記憶された関連情報サブシステムプログラムＰを識別するための情報である。なお、第１プログラム識別は、図５（ａ）に示すように、プログラムごとに固有のＩＤと、プログラムのバージョンを特定する情報とから構成されている。

また、「第１ロード指示」は、受信装置２に記憶されている関連情報サブシステムプログラムＰのロード（起動）を指示するための情報である。つまり、第１ロード指示は、１以上のバージョンが存在する関連情報サブシステムプログラムＰの中から１つバージョンを選定するための情報である。この第１ロード指示は、後記する範囲指定情報とバージョン指定情報とを含んでいる。なお、範囲指定情報およびバージョン指定情報は、詳細を後記する。

また、「第２ロード指示フラグ」は、後記する第２ロード指示および第２プログラム識別が含まれているか否かを示す情報である。例えば、第２ロード指示フラグは、“０”の場合、第２ロード指示が無いことを示し、“１”の場合、第２ロード指示が有ることを示す。

また、「第２プログラム識別」は、第１プログラム識別と同様、受信装置２に予め複数記憶された関連情報サブシステムプログラムＰを識別するための情報である。
また、「第２ロード指示」は、第１ロード指示と同様、受信装置２に記憶されている関連情報サブシステムプログラムＰのロード（起動）を指示するための情報である。
なお、第２プログラム識別および第２ロード指示は、第２ロード指示フラグが“０”の場合、その値が設定されない。また、第２ロード指示フラグが“０”の場合、第２プログラム識別および第２ロード指示の項目自体を削除してもよい。

また、「除外プログラム識別数」は、後続する除外プログラム識別の項目に記述されたプログラム識別の数を表す情報である。
また、「除外プログラム識別」は、受信装置２で起動させない関連情報サブシステムプログラムＰのプログラム識別が１以上記述された情報である。

また、「ロードセキュリティ情報長」は、後続するロードセキュリティ情報の項目に記述されたデータのバイト長を表す情報である。
また、「ロードセキュリティ情報」は、関連情報サブシステムプログラムＰの改竄を検出するための情報である。例えば、ロードセキュリティ情報は、受信装置２に記憶されている関連情報サブシステムプログラムＰのハッシュデータである。このハッシュデータは、プログラム識別とハッシュ値とを対としたデータである。このハッシュ値は、関連情報サブシステムプログラムＰを、予め受信装置２で既知のハッシュ関数（ＳＨＡ２５６等）によって演算した値である。

なお、ロードセキュリティ情報は、このハッシュデータを取得できる参照情報（例えば、ハッシュデータを格納したハッシュサーバのＵＲＬやＩＰアドレス）であってもよい。
また、ロードセキュリティ情報は、それぞれの受信装置２において、異なる関連情報サブシステムプログラムＰがロード対象となる場合、少なくともロード対象となるプログラム識別ごとにハッシュデータが設定される。

第１ロード指示は、図５（ｂ）に示すように、範囲指定情報と、バージョン指定情報とが含まれる。例えば、第１ロード指示は、７ビットの情報である。
なお、図５（ｂ）の範囲指定情報は、４ビット目から６ビットまでが予約領域（reserved future use）であることを示す。

ここで、「範囲指定情報」は、第１プログラム識別のバージョンが単独指定または範囲指定であるかを示す３ビットの情報である。
例えば、範囲指定情報は、“００１”の場合、第１プログラム識別に含まれるバージョン以上（以降）の関連情報サブシステムプログラムＰをロード対象とすることを示す。
また、範囲指定情報は、“０１０”の場合、第１プログラム識別に含まれるバージョン以下（以内）の関連情報サブシステムプログラムＰをロード対象とすることを示す。
また、範囲指定情報は、“０１１”の場合、第１プログラム識別に含まれるバージョンのみの関連情報サブシステムプログラムＰをロード対象とすることを示す。
つまり、範囲指定情報は、“００１”または“０１０”の場合に範囲指定となり、“０１１”の場合に単独指定となる。

また、「バージョン指定情報」は、範囲指定情報が範囲指定の場合、最旧（最小）バージョンまたは最新（最大）バージョンの選定を示す１ビットの情報である。
例えば、バージョン指定情報は、“０”の場合、範囲指定情報で指定されるロード対象範囲の中で、最新バージョンの関連情報サブシステムプログラムＰをロード対象とすることを示す。
また、バージョン指定情報は、“１”の場合、範囲指定情報で指定されるロード対象範囲の中で、最旧バージョンの関連情報サブシステムプログラムＰをロード対象とすることを示す。

なお、第２ロード指示は、バージョン指定情報が第１ロード指示と矛盾することを防止するため、バージョン指定情報が設定されず、範囲指定情報のみ設定される。
また、ＣＡロード記述子（限定受信方式識別、第１プログラム識別、第１ロード指示、第２ロード指示フラグ、第２プログラム識別、第２ロード指示、除外プログラム識別数、除外プログラム識別、ロードセキュリティ情報長、ロードセキュリティ情報）は、外部（例えば、放送事業者）から入力される。
また、ここでは、図３〜図５に示したように、ＡＲＩＢのＳＴＤ−Ｂ１０に準拠して、ＭＰＥＧ−２ ＴＳの記述子形式でテーブル情報（ＰＭＴ、ＣＡＴ）を構成した例を示した。しかし、ＰＭＴやＣＡＴは、必ずしも記述子形式で記述する必要はなく、例えば、ＩＰプロトコルのセッション記述プロトコル（ＳＤＰ：Session Description Protocol１）形式、ＭＭＴ（MPEG Media Transport）で規定される制御メッセージ形式として記述しても構わない。
また、前記した共通鍵情報や個別鍵情報についても、ＥＣＭやＥＭＭのデータ形式とする必要はなく、ＩＰプロトコルのセッション記述プロトコル形式、ＭＭＴで規定される制御メッセージ形式としても構わない。

＜ＣＡロード記述子とロード対象範囲との関係＞
図６を参照し、ＣＡロード記述子の設定内容と、ロード対象になる関連情報サブシステムプログラムＰのバージョンとの関係について、３つの具体例を説明する。
ここで、受信装置２には、“１．０”、“１．５”、“２．０”および“３．０”という４つのバージョンの関連情報サブシステムプログラムＰが記憶されていることとする。つまり、各関連情報サブシステムプログラムＰは、識別子が同一（例えば、“Ａ”）であり、バージョンが異なっている。

第１例では、第１プログラム識別には、識別子＝“Ａ”、バージョン＝“１．５”が設定される。また、第１ロード指示の範囲指定情報には、“００１（以上）”が設定される。そして、第１ロード指示のバージョン指定情報には、“０（最新）”が設定される。さらに、除外プログラム識別には、識別子＝“Ａ”、バージョン＝“２．０”が設定される。

この場合、図６（ａ）に示すように、バージョン“１．５”以上がロード対象範囲となり（ハッチング部分参照）、バージョン“１．０”がロード対象範囲外となる。さらに、ロード対象範囲のバージョン“１．５”，“２．０”および“３．０”のうち、バージョン“２．０”がロード対象範囲から除外され、最新バージョン“３．０”の関連情報サブシステムプログラムＰが選定される。

なお、図６（ａ）において、ＣＡロード記述子の除外プログラム識別に、バージョン＝“２．０”ではなく、バージョン＝“３．０”が設定された場合を考える。この場合、関連情報サブシステムプログラムＰは、ロード対象範囲のバージョン“１．５”，“２．０”および“３．０”のうち、バージョン“３．０”がロード対象範囲から除外されるので、最新バージョン“２．０”の関連情報サブシステムプログラムＰが選定される（不図示）。

第２例では、第１プログラム識別には、識別子＝“Ａ”、バージョン＝“１．５”が設定される。また、第１ロード指示の範囲指定情報には、 “００１（以上）”が設定される。第１ロード指示のバージョン指定情報には、“０（最新）”が設定される。
第２ロード指示フラグには、“１（有り）”が設定される。また、第２プログラム識別には、識別子＝“Ａ”、バージョン＝“２．０”が設定される。そして、第２ロード指示の範囲指定情報には、“０１０（以下）”が設定される。

この場合、図６（ｂ）に示すように、バージョン“１．５”以上が第１ロード対象範囲となり、バージョン“２．０”以下が第２ロード対象範囲となる。ここで、第１ロード対象範囲および第２ロード対象範囲が重複するため、これらのＡＮＤ条件により、最終的なロード対象範囲を求める。つまり、第１ロード対象範囲および第２ロード対象範囲の両方に含まれるバージョン“１．５”以上“２．０”以下が、最終的なロード対象範囲となる（ハッチング部分参照）。一方、バージョン“１．０”および“３．０”がロード対象範囲外となる。そして、最終的なロード対象範囲のうち、最新バージョン“２．０”の関連情報サブシステムプログラムＰが選定される。

なお、第１ロード対象範囲とは、第１プログラム識別および第１ロード指示の範囲指定情報から求まるロード対象範囲である。
また、第２ロード対象範囲とは、第２プログラム識別および第２ロード指示の範囲指定情報から求まるロード対象範囲である。

第３例では、第１プログラム識別には、識別子＝“Ａ”、バージョン＝“２．０”が設定される。また、第１ロード指示の範囲指定情報には、“００１（以上）”が設定される。第１ロード指示のバージョン指定情報には、“０（最新）”が設定される。
第２ロード指示フラグには、“１（有り）”が設定される。また、第２プログラム識別には、識別子＝“Ａ”、バージョン＝“１．０”が設定される。そして、第２ロード指示の範囲指定情報には、“０１０（以下）”が設定される。

この場合、図６（ｃ）に示すように、バージョン“３．０”以上が第１ロード対象範囲となり、バージョン“１．０”以下が第２ロード対象範囲となる。ここで、第１ロード対象範囲および第２ロード対象範囲が重複しないため、これらのＯＲ条件により、最終的なロード対象範囲を求める。つまり、第１ロード対象範囲または第２ロード対象範囲のどちらかに含まれるバージョン“１．０”以下または“２．０”以上が、最終的なロード対象範囲となる（ハッチング部分参照）。一方、バージョン“１．５”がロード対象範囲外となる。そして、最終的なロード対象範囲のうち、最新バージョン“３．０”の関連情報サブシステムプログラムＰが選定される。
図２に戻って、送信装置１の構成について説明を続ける。

多重化手段１５は、スクランブル手段１０でスクランブルされたスクランブルコンテンツＳＣに、ＥＣＭ生成手段１１で生成されたＥＣＭと、ＥＭＭ生成手段１２で生成されたＥＭＭと、ＰＭＴ生成手段１３で生成されたＰＭＴと、ＣＡＴ生成手段で生成されたＣＡＴとを、生成されたタイミングで逐次多重化するものである。
この多重化手段１５は、多重化した放送ストリーム（例えば、ＭＰＥＧ２ ＴＳ）を、図示を省略した送信変調装置を介して、放送波Ｗとして、受信装置２に送信する。

以上説明したように送信装置１を構成することで、送信装置１は、限定受信方式ごとに、受信装置２で動作させる関連情報サブシステムプログラムＰのバージョンを選定して動作させることができる。

［受信装置の構成］
次に、図７を参照（適宜図１参照）して、本発明の第１実施形態に係る受信装置２の構成について説明する。
受信装置２は、コンテンツＣをスクランブルするスクランブル鍵Ｋｓの関連情報として、限定受信方式を識別する限定受信方式識別に対応付けた受信装置２共通の鍵情報と受信装置２個別の鍵情報とを用いる限定受信方式により、送信装置１で放送ストリームに多重化されたスクランブルコンテンツＳＣを限定受信するものである。
ここでは、受信装置２は、選局・復調手段２０と、多重分離手段２１と、ＰＭＴ解析手段２２と、ＣＡＴ解析手段２３と、鍵情報取得手段２４と、プログラム選定手段２５と、限定受信制御手段２６と、デスクランブル手段２７と、を備える。

選局・復調手段２０は、放送波Ｗ（放送信号）から、図示を省略したリモコン装置等を介して視聴者が選局した放送ストリームを復調するものである。この選局・復調手段２０は、復調した放送ストリーム（例えば、ＭＰＥＧ２ ＴＳ）を多重分離手段２１に出力する。さらに、選局・復調手段２０は、選局されたことを示す選局通知を、ＣＡＴ解析手段２３に出力する。

多重分離手段２１は、選局・復調手段２０で選局および復調された放送ストリームのパケットを分離するものである。
ここでは、多重分離手段２１は、放送ストリームに多重化されて伝送されてくるプログラムマップテーブル（ＰＭＴ）を分離して、ＰＭＴ解析手段２２に出力する。また、多重分離手段２１は、放送ストリームに多重化されて伝送されてくる限定受信テーブル（ＣＡＴ）を分離して、ＣＡＴ解析手段２３に出力する。

また、多重分離手段２１は、放送ストリームに多重化されて伝送されてくる共通鍵情報（ＥＣＭ）および個別鍵情報（ＥＭＭ）を分離して、鍵情報取得手段２４に出力する。
さらに、多重分離手段２１は、放送ストリームに多重化されて伝送されてくる放送番組であるスクランブルコンテンツ（映像、音声等）ＳＣを分離して、デスクランブル手段２７に出力する。

ＰＭＴ解析手段２２は、多重分離手段２１で分離されたプログラムマップテーブル（ＰＭＴ）を解析するものである。ここでは、ＰＭＴ解析手段２２は、限定受信方式情報解析手段２２０を備える。
なお、このＰＭＴ解析手段２２は、限定受信方式情報以外にも、例えば、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されている放送番組を構成する種々の符号化信号を伝送するパケットの位置情報（ＰＩＤ）を解析して抽出することができるが、本発明においては直接関係がないため、図示とその説明を省略する。

限定受信方式情報解析手段（第１の限定受信方式情報解析手段）２２０は、ＰＭＴに設定されている限定受信方式情報から、当該受信装置２に予め設定されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応する受信装置２共通の鍵情報の位置情報を抽出するものである。
ここでは、限定受信方式情報解析手段２２０は、限定受信制御手段２６の限定受信方式識別通知手段２６１から、当該受信装置２の限定受信方式を識別する識別子である限定受信方式識別を取得し、その限定受信方式識別に対応する限定受信方式情報をＰＭＴから抽出する。
そして、限定受信方式情報解析手段２２０は、抽出した限定受信方式情報のうち、共通鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）を鍵情報取得手段２４に出力する。

ＣＡＴ解析手段２３は、多重分離手段２１で分離された限定受信テーブル（ＣＡＴ）を解析するものである。ここでは、ＣＡＴ解析手段２３は、限定受信方式情報解析手段２３０と、ＣＡロード記述子解析手段２３１と、を備える。
なお、このＣＡＴ解析手段２３は、限定受信方式情報、ＣＡロード記述子以外にも、例えば、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されている限定受信放送の種々の関連情報を伝送するパケットの位置情報（ＰＩＤ）を解析して抽出することができるが、本発明においては直接関係がないため、図示とその説明を省略する。

限定受信方式情報解析手段（第２の限定受信方式情報解析手段）２３０は、ＣＡＴに設定されている限定受信方式情報から、当該受信装置２に予め設定されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応する受信装置２個別の鍵情報の位置情報を抽出するものである。
ここでは、限定受信方式情報解析手段２３０は、限定受信制御手段２６の限定受信方式識別通知手段２６１から、当該受信装置２の限定受信方式を識別する識別子である限定受信方式識別を取得し、その限定受信方式識別に対応する限定受信方式情報をＣＡＴから抽出する。
そして、限定受信方式情報解析手段２３０は、抽出した限定受信方式情報のうち、個別鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）を鍵情報取得手段２４に出力する。

ＣＡロード記述子解析手段２３１は、ＣＡＴに設定されているＣＡロード記述子から、当該受信装置２に予め設定されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応する第１プログラム識別および第１ロード指示を抽出するものである。

ここでは、ＣＡロード記述子解析手段２３１は、選局・復調手段２０から選局通知が入力された場合、限定受信制御手段２６から、当該受信装置２の限定受信方式を識別する識別子である限定受信方式識別を取得し、その限定受信方式識別に対応する第１プログラム識別および第１ロード指示をＣＡＴから抽出する。
そして、ＣＡロード記述子解析手段２３１は、抽出した第１プログラム識別および第１ロード指示をプログラム選定手段２５に出力する。

なお、ＣＡロード記述子解析手段２３１は、ＣＡロード記述子に、第２ロード指示フラグ、第２プログラム識別、除外プログラム識別数、除外プログラム識別、ロードセキュリティ情報長およびロードセキュリティ情報が含まれていれば、第１プログラム識別および第１ロード指示に加えて、これらの情報も抽出する。

鍵情報取得手段２４は、ＰＭＴ解析手段２２の限定受信方式情報解析手段２２０で抽出された共通鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）に基づいて共通鍵情報（ＥＣＭ）を取得し、ＣＡＴ解析手段２３の限定受信方式情報解析手段２３０で抽出された個別鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）に基づいて個別鍵情報（ＥＭＭ）を取得するものである。

ここでは、鍵情報取得手段２４は、多重分離手段２１で分離されたＥＣＭから、限定受信方式情報解析手段２２０で抽出された共通鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）と同じパケット識別のパケットを抽出することで、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応したＥＣＭを取得する。
また、鍵情報取得手段２４は、多重分離手段２１で分離されたＥＭＭから、限定受信方式情報解析手段２３０で抽出された個別鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）と同じパケット識別のパケットを抽出することで、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応したＥＭＭを取得する。

すなわち、鍵情報取得手段２４は、多重分離手段２１で分離されたＥＣＭおよびＥＭＭのうちで、ＰＭＴの限定受信方式情報に記載されている鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）と同じ値のパケットと、ＣＡＴの限定受信方式情報に記載されている鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）と同じ値のパケットと、を通過させるＰＩＤフィルタとして機能する。
この鍵情報取得手段２４は、取得したＥＣＭおよびＥＭＭを限定受信制御手段２６に出力する。

なお、鍵情報取得手段２４は、ＣＡＴの限定受信方式情報に記載されている鍵情報の位置情報が、外部のサーバ（不図示）のネットワークアドレス（ＩＰアドレス等）である場合、当該アドレスから、通信制御手段（不図示）を介して、鍵情報を取得することとする。

プログラム選定手段２５は、ＣＡＴ解析手段２３のＣＡロード記述子解析手段２３１で抽出された第１プログラム識別、…、ロードセキュリティ情報により、限定受信制御手段２６に記憶されている関連情報サブシステムプログラムＰの１つを選定し、限定受信制御手段２６に対して、当該プログラムの起動を指示するものである。
ここでは、プログラム選定手段２５は、プログラム識別取得手段２５０と、ロード指示判定手段２５１と、ロード指示手段２５２と、を備える。

プログラム識別取得手段２５０は、限定受信制御手段２６から、限定受信制御手段２６に予め記憶されている関連情報サブシステムプログラムＰのプログラム識別のリストを取得するものである。ここでは、プログラム識別取得手段２５０は、限定受信制御手段２６のプログラム識別通知手段２６３を介して、プログラム識別のリストを取得する。
これによって、プログラム選定手段２５は、限定受信制御手段２６に予め記憶されている関連情報サブシステムプログラムＰを認識することができる。
このプログラム識別取得手段２５０は、取得したプログラム識別のリストをロード指示判定手段２５１に出力する。

ロード指示判定手段２５１は、プログラム識別取得手段２５０で取得した１以上のプログラム識別に対して、ＣＡＴ解析手段２３で抽出された第１ロード指示、…、ロードセキュリティ情報に適合するか否かを判定するものである。
そして、ロード指示判定手段２５１は、規則に適合するプログラム識別を１つ決定し、ロード指示手段２５２に、当該プログラム識別を出力する。なお、ロード指示判定手段２５１によるプログラム識別の決定手法は、その詳細を後記する（図１０）。

ロード指示手段２５２は、限定受信制御手段２６に対して、ロード指示判定手段２５１で決定されたプログラム識別に対応する関連情報サブシステムプログラムＰを起動（ロード）する旨を指示するものである。
なお、このとき、ロード指示手段２５２は、ロード対象となるプログラム識別とともに、ＣＡＴ解析手段２３で抽出されたロードセキュリティ情報のうち、当該プログラム識別に対応するロードセキュリティ情報（図４（ｃ）参照）を、限定受信制御手段２６に出力する。

限定受信制御手段２６は、鍵情報取得手段２４で取得された鍵情報（ＥＣＭ，ＥＭＭ）によって、スクランブル鍵Ｋｓを生成するものである。
なお、この限定受信制御手段２６は、鍵情報を用いてスクランブル鍵Ｋｓを生成する関連情報サブシステムプログラムＰを実装した耐タンパ性を有するモジュールである。

ここでは、限定受信制御手段２６は、限定受信方式識別記憶手段２６０と、限定受信方式識別通知手段２６１と、プログラム記憶手段２６２と、プログラム識別通知手段２６３と、ロード手段２６４と、改竄検出手段２６５と、鍵記憶手段２６６と、ワークメモリ２６７と、を備える。

限定受信方式識別記憶手段２６０は、限定受信方式ごとに予め割り当てられた識別子である限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）を記憶するものである。この限定受信方式識別記憶手段２６０には、限定受信制御手段２６で動作させる限定受信方式に対応する識別子、例えば、有料放送を実現するＣＡＳ、コンテンツ保護に特化した放送を実現するＲＭＰ等を識別する識別子が予め記憶されている。

限定受信方式識別通知手段２６１は、限定受信方式識別の取得要求に応じて、限定受信方式識別記憶手段２６０に記憶されている限定受信方式識別を読み出して通知するものである。ここでは、限定受信方式識別通知手段２６１は、ＰＭＴ解析手段２２やＣＡＴ解析手段２３から、限定受信方式識別の取得要求を受け付け、限定受信方式識別をＰＭＴ解析手段２２、ＣＡＴ解析手段２３に通知する。

プログラム記憶手段２６２は、限定受信方式識別記憶手段２６０に記憶されている限定受信方式識別に対応した関連情報サブシステムプログラムＰを１以上記憶するものである。この関連情報サブシステムプログラムＰは、固有のプログラム識別（ＣＡ＿ｐｒｏｇ＿ＩＤ）を有し、個々の関連情報サブシステムプログラムＰ１，Ｐ２，…が識別される。
なお、プログラム識別は、関連情報サブシステムプログラムＰとは別のデータで、関連情報サブシステムプログラムＰと対応付けたものであってもよいし、関連情報サブシステムプログラムＰの内部（例えば、先頭の所定バイト数）に埋め込まれた情報であってもよい。

また、プログラム記憶手段２６２には、予め複数の関連情報サブシステムプログラムＰ１，Ｐ２，…を記憶しておくこととしてもよいし、メモリカード等の記憶媒体から、別途読み込み手段（不図示）を介して、関連情報サブシステムプログラムＰを追加することとしてもよい。

ここで、図８を参照（適宜図６参照）して、関連情報サブシステムプログラムＰの構成について説明する。図８に示すように、関連情報サブシステムプログラムＰは、ＥＭＭ処理手段３０と、ＥＣＭ処理手段３１と、を備える。すなわち、関連情報サブシステムプログラムＰは、限定受信制御手段２６内の図示を省略したコンピュータを、ＥＭＭ処理手段３０、ＥＣＭ処理手段３１として機能させることで、関連情報サブシステムを実現するプログラムである。

ＥＭＭ処理手段（個別鍵情報処理手段）３０は、鍵情報取得手段２４で取得された個別鍵情報（ＥＭＭ）を、鍵記憶手段２６６に記憶されているマスタ鍵Ｋｍで復号し、ワーク鍵Ｋｗを取得するものである。このＥＭＭ処理手段３０は、復号したワーク鍵Ｋｗを、ＥＣＭ処理手段３１に出力する。

ＥＣＭ処理手段（共通鍵情報処理手段）３１は、鍵情報取得手段２４で取得された共通鍵情報（ＥＣＭ）を、ＥＭＭ処理手段３０で復号されたワーク鍵Ｋｗで復号し、スクランブル鍵Ｋｓを取得するものである。このＥＣＭ処理手段３１は、復号したスクランブル鍵Ｋｓを、デスクランブル手段２７に出力する。
これによって、関連情報サブシステムプログラムＰは、鍵情報（ＥＣＭ，ＥＭＭ）から、スクランブル鍵Ｋｓを生成することができる。

なお、個々の関連情報サブシステムプログラムＰ１，Ｐ２，…は、例えば、ＥＭＭ処理手段３０、ＥＣＭ処理手段３１において異なる鍵長を用いたり、番組に対する課金、チャンネルに対する課金等の異なる課金方式を用いたりすることで、セキュリティ強度や課金方式の異なるプログラムとすることができる。
図７に戻って、受信装置２の構成について説明を続ける。

プログラム識別通知手段２６３は、プログラム識別の取得要求に応じて、プログラム記憶手段２６２に記憶されている関連情報サブシステムプログラムＰ１，Ｐ２，…のプログラム識別のリストを通知するものである。ここでは、プログラム識別通知手段２６３は、プログラム選定手段２５から、プログラム識別のリストの取得要求を受け付け、プログラム識別のリストをプログラム選定手段２５に通知する。

ロード手段２６４は、プログラム選定手段２５で選定されたプログラム識別に対応する関連情報サブシステムプログラムＰを、プログラム記憶手段２６２から読み出して、ワークメモリ２６７に展開（ロード）し、当該プログラムを起動させるものである。
なお、ここでは、ロード手段２６４は、選定されたプログラム識別に対応する関連情報サブシステムプログラムＰが改竄されていない場合のみ、ワークメモリ２６７に展開することとする。

すなわち、ロード手段２６４は、関連情報サブシステムプログラムＰをワークメモリ２６７に展開する前に、プログラム選定手段２５から通知されたプログラム識別およびロードセキュリティ情報を、改竄検出手段２６５に通知し、プログラム識別に対応する関連情報サブシステムプログラムＰが改竄されていないかを検査させる。そして、ロード手段２６４は、検査結果として、改竄が行われていない旨を通知された場合だけ、関連情報サブシステムプログラムＰをワークメモリ２６７に展開し、起動させる。

改竄検出手段２６５は、プログラム記憶手段２６２に記憶され、ロード対象となる関連情報サブシステムプログラムＰの改竄を検出するものである。
ここでは、改竄検出手段２６５は、ロード手段２６４から、ロード対象となる関連情報サブシステムプログラムＰのプログラム識別とロードセキュリティ情報とを入力し、そのプログラム識別で指定された関連情報サブシステムプログラムＰに対して、ハッシュ関数（ＳＨＡ２５６等）によってハッシュ値を演算する。

ここで、ロードセキュリティ情報にハッシュデータが格納されている場合、改竄検出手段２６５は、演算結果のハッシュ値と、ロードセキュリティ情報のハッシュデータが示すハッシュ値とを比較する。そして、改竄検出手段２６５は、ハッシュ値が同じであれば関連情報サブシステムプログラムＰが改竄されていないことを示す検査結果を生成し、ハッシュ値が異なれば関連情報サブシステムプログラムＰが改竄されていることを示す検査結果を生成して、ロード手段２６４に出力する。

なお、改竄検出手段２６５は、ロードセキュリティ情報に参照情報が格納されている場合、図示を省略したハッシュデータ取得手段に参照情報を出力する。すると、ハッシュデータ取得手段は、参照情報が示すハッシュデータサーバからハッシュデータを取得し、取得したハッシュデータを改竄検出手段２６５に出力する。以後の改竄検出手順は、ロードセキュリティ情報にハッシュデータが格納されている場合と同様のため、説明を省略する。

鍵記憶手段２６６は、受信装置２個別のマスタ鍵Ｋｍを記憶するもので、半導体メモリ等の一般的な記憶媒体である。なお、当該受信装置２の限定受信方式の管理単位が受信機メーカや受信機機種といったデバイス単位である場合、デバイス鍵を記憶しておく。

ワークメモリ２６７は、関連情報サブシステムプログラムＰを展開してコンピュータ（ＣＰＵ〔Central Processing Unit〕）を動作させるための記憶装置である。このワークメモリ２６７は、ＲＡＭ（Random Access Memory）等の一般的なメモリで構成される。
ここでは、ロード手段２６４によって、ワークメモリ２６７に関連情報サブシステムプログラムＰが展開された後、図示を省略したＣＰＵによって、当該プログラムが実行されることで、限定受信制御手段２６において、関連情報サブシステムが動作する。

デスクランブル手段２７は、多重分離手段２１で分離された、スクランブルされたコンテンツ（映像、音声等）ＳＣのパケットを、限定受信制御手段２６で生成されたスクランブル鍵Ｋｓでデスクランブル（復号）するものである。このデスクランブル手段２７で復号されたコンテンツＣは、図示を省略した表示装置等に出力され、視聴者が視聴可能なデータにデコードされて表示される。

以上説明したように受信装置２を構成することで、受信装置２は、送信装置１からの指示によって、同じ限定受信方式で、関連情報サブシステムプログラムＰのバージョンを任意に切り替えることができる。

［限定受信システムの動作］
次に、限定受信システムＳの動作について説明する。ここでは、図９，図１０を用いて、本発明の特徴となる関連情報サブシステムの切り替え動作について説明し、図１１を用いて、関連情報サブシステムによる限定受信動作について説明する。

〔関連情報サブシステムの切り替え動作〕
最初に、図９を参照（構成については、適宜図１，図２，図７参照）して、限定受信システムＳにおける関連情報サブシステムの切り替え動作について説明する。

まず、送信装置１は、ＣＡＴ生成手段１４のＣＡロード記述子設定手段１４１によって、ＣＡロード記述子をＣＡＴに設定する（ステップＳ１０）。
具体的には、ＣＡロード記述子設定手段１４１が、外部から、限定受信方式識別、…、ロードセキュリティ情報を入力し、ＣＡＴに設定する（図４参照）。

そして、送信装置１は、多重化手段１５によって、ステップＳ１０で生成されたＣＡＴを、放送ストリームに多重化する。この放送ストリームは、図示を省略した送信変調装置を介して、受信装置２に送信される（ステップＳ１１）。

一方、受信装置２は、選局・復調手段２０によって、選局された放送ストリームを復調し（ステップとして図示せず）、多重分離手段２１によって、放送ストリームから、ＣＡＴを分離する（ステップＳ１２）。

受信装置２は、ＣＡＴ解析手段２３のＣＡロード記述子解析手段２３１によって、選局・復調手段２０から選局通知が入力されたか否かにより、選局の有無を判定する（ステップＳ１３）。

選局有の場合（ステップＳ１３でＹｅｓ）、受信装置２は、ＣＡロード記述子解析手段２３１によって、ＣＡＴに設定されているＣＡロード記述子から、当該受信装置２の限定受信方式（限定受信方式識別）に対応するＣＡロード記述子（第１プログラム識別、…、ロードセキュリティ情報）を抽出する。

すなわち、ＣＡロード記述子解析手段２３１は、限定受信制御手段２６から、限定受信方式識別記憶手段２６０に記憶されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）を、限定受信方式識別通知手段２６１を介して取得し、その限定受信方式識別と一致するＣＡロード記述子（第１プログラム識別、…、ロードセキュリティ情報）を、ＣＡＴから抽出する（ステップＳ１４）。

受信装置２は、プログラム選定手段２５によって、ステップＳ１４で抽出されたＣＡロード記述子に基づいて、限定受信制御手段２６のプログラム記憶手段２６２に記憶されている複数の関連情報サブシステムプログラムＰ１，Ｐ２，…から１つを選定するプログラム選定処理を行う（ステップＳ１５）。

受信装置２は、プログラム選定手段２５のロード指示判定手段２５１によって、プログラム選定処理でのエラーの有無を判定する（ステップＳ１６）。
プログラム選定処理でエラー無の場合（ステップＳ１６でＹｅｓ）、受信装置２は、ステップＳ１５で選定したプログラム識別と、当該プログラム識別に対応した、ステップＳ１４で抽出したＣＡロード記述子のロードセキュリティ情報を、限定受信制御手段２６に通知する（ステップＳ１７）。

その後、受信装置２は、限定受信制御手段２６の改竄検出手段２６５によって、ステップＳ１７で通知されたプログラム識別に対応する関連情報サブシステムプログラムＰに対して、ハッシュ値を演算する（ステップＳ１８）。

受信装置２は、改竄検出手段２６５によって、ステップＳ１７で通知されたロードセキュリティ情報のハッシュ値と、ステップＳ１８で演算したハッシュ値とが一致するか否かにより、改竄の有無を検出する（ステップＳ１９）。

改竄無の場合（ステップＳ１９でＹｅｓ）、受信装置２は、ロード手段２６４によって、ステップＳ１５で選定されたプログラム識別に対応する関連情報サブシステムプログラムＰをプログラム記憶手段２６２から読み出して、ワークメモリ２６７に展開（ロード）し、当該プログラムを起動させる（ステップＳ２０）。

選局無の場合（ステップＳ１３でＮｏ）、エラー有の場合（ステップＳ１６でＮｏ）、または、改竄有の場合（ステップＳ１９でＮｏ）、受信装置２は、指定された関連情報サブシステムプログラムＰのロード、起動を行わずに処理を終了する。
なお、ステップＳ１６，Ｓ１９でＮｏの場合、限定受信制御手段２６は、プログラム選定手段２５にその旨を通知し、プログラム選定手段２５が、エラーメッセージを画面上に表示することとしてもよい（ステップＳ２１）。

以上の動作によって、限定受信システムＳは、送信装置１からの指示によって、受信装置２において動作する関連情報サブシステムプログラムＰを切り替えることができる。
これによって、限定受信システムＳは、限定受信方式識別ごとに、セキュリティ強度や機能の異なる関連情報サブシステムプログラムＰを柔軟に指定することができ、放送事業者のビジネスモデルに応じて、きめ細かく関連情報サブシステムプログラムＰを切り替えることができる。

また、限定受信システムＳは、受信装置２で所持する関連情報サブシステムプログラムＰが、受信装置２ごとに異なる場合であっても、関連情報サブシステムプログラムＰを適切に切り替えることができ、放送システム全体のセキュリティ強度を最新限に高めながら放送サービスを運用することができる。

〔プログラム選定処理〕
次に、図１０を参照（構成については、適宜図１，図２，図７参照）して、図９のプログラム選定処理について説明する。

具体的には、受信装置２は、プログラム識別取得手段２５０によって、プログラム識別通知手段２６３を介して、プログラム記憶手段２６２に記憶されている関連情報サブシステムプログラムＰ１，Ｐ２，…のプログラム識別をリストとして取得する（ステップＳ１５０）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第１ロード指示の範囲指定情報を取得する（ステップＳ１５１）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第１プログラム識別と、ステップＳ１５１で取得した第１ロード指示の範囲指定情報とに基づいて、第１ロード対象範囲を決定する。
つまり、ロード指示判定手段２５１は、第１プログラム識別のバージョンのみをロード対象、そのバージョン以上をロード対象、または、そのバージョン以下をロード対象というように、第１ロード対象範囲を決定する（ステップＳ１５２）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第２ロード指示フラグに基づいて、第２ロード指示の有無を判定する（ステップＳ１５３）。
なお、第２ロード指示無の場合（ステップＳ１５３でＮｏ）、ステップＳ１５２で決定した第１ロード対象範囲が、最終的なロード対象範囲となる。

第２ロード指示有の場合（ステップＳ１５３でＹｅｓ）、受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第２ロード指示の範囲指定情報を取得する（ステップＳ１５４）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第２プログラム識別と、ステップＳ１５４で取得した第２ロード指示の範囲指定情報とに基づいて、第２ロード対象範囲を決定する。
つまり、ロード指示判定手段２５１は、第２プログラム識別のバージョンのみをロード対象、そのバージョン以上をロード対象、または、そのバージョン以下をロード対象というように、第２ロード対象範囲を決定する（ステップＳ１５５）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１５２で決定した第１ロード対象範囲と、ステップＳ１５５で決定した第２ロード対象範囲とのＡＮＤまたはＯＲにより、最終的なロード対象範囲を決定する。
ここで、第１ロード対象範囲および第２ロード対象範囲が重複する場合、ロード指示判定手段２５１は、これらのＡＮＤ条件により、最終的なロード対象範囲を求める。
一方、第１ロード対象範囲および第２ロード対象範囲が重複しない場合、ロード指示判定手段２５１は、これらのＯＲ条件により、最終的なロード対象範囲を求める（ステップＳ１５６）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１５０で取得したプログラム識別のリストから、最終的なロード対象範囲に含まれるプログラム識別（ロード対象プログラム識別）を１以上抽出する（ステップＳ１５７）。
受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した除外プログラム識別数が“０”であるか否かによって、除外プログラム識別の有無を判定する（ステップＳ１５８）。

除外プログラム識別有の場合（ステップＳ１５８でＹｅｓ）、受信装置２は、ロード指示判定手段２５１によって、ステップＳ１５７で抽出されたロード対象プログラム識別から、ステップＳ１４で抽出した除外プログラム識別に含まれるものを除外する。
つまり、ロード指示判定手段２５１は、除外プログラム識別に含まれる関連情報サブシステムプログラムＰを、最終的なロード対象範囲から除外する（ステップＳ１５９）。

受信装置２は、ロード指示判定手段２５１によって、最終的なロード対象範囲に含まれるプログラム識別の数を判定する（ステップＳ１６０）。
プログラム識別の数が“０”の場合（ステップＳ１６０で“０”）、受信装置２は、ロード指示判定手段２５１によって、関連情報サブシステムプログラムＰをロードできないため、エラーをリターンする（ステップＳ１６１）。

プログラム識別の数が“１”の場合（ステップＳ１６０で“１”）、受信装置２は、ロード指示判定手段２５１によって、そのプログラム識別をリターンする（ステップＳ１６２）。

プログラム識別の数が“２”以上の場合（ステップＳ１６０で“２以上”）、受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第１ロード指示のバージョン指定情報を取得する（ステップＳ１６３）。
受信装置２は、ロード指示判定手段２５１によって、ステップＳ１６３で取得したバージョン指定情報に基づいて、２以上のプログラム識別から、最旧（最小）バージョンまたは最新（最大）バージョンを表すプログラム識別を１つ選定し（ステップＳ１６４）、ステップＳ１６２の処理に戻る。

〔限定受信動作〕
次に、図１１を参照（構成については、適宜図１，図２，図７，図８参照）して、限定受信システムＳにおける関連情報サブシステムによる限定受信動作について説明する。

まず、送信装置１は、ＣＡＴ生成手段１４の限定受信方式情報設定手段１４０によって、限定受信方式情報をＣＡＴに設定する（ステップＳ３０）。
具体的には、限定受信方式情報設定手段１４０が、外部から、限定受信方式ごとに予め割り当てられた「限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）」と、当該限定受信方式に対応して、個別鍵情報（ＥＭＭ）を伝送するパケット識別等を示す「鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）」と、を入力し、ＣＡＴに設定する（図４参照）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３０で生成されたＣＡＴを、放送ストリームに多重化する（ステップＳ３１）。

また、送信装置１は、ＰＭＴ生成手段１３の限定受信方式情報設定手段１３０によって、限定受信方式情報をＰＭＴに設定する（ステップＳ３２）。
具体的には、限定受信方式情報設定手段１３０が、外部から、限定受信方式ごとに予め割り当てられた「限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）」と、当該限定受信方式に対応して、共通鍵情報（ＥＣＭ）を伝送するパケット識別等を示す「鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）」と、を入力し、ＰＭＴに設定する（図３参照）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３２で生成されたＰＭＴを、放送ストリームに多重化する（ステップＳ３３）。

また、送信装置１は、ＥＭＭ生成手段１２によって、外部から入力されたワーク鍵Ｋｗをマスタ鍵Ｋｍで暗号化し、暗号化したワーク鍵Ｋｗを含んだ受信装置２個別の鍵情報である個別鍵情報（ＥＭＭ）を生成する（ステップＳ３４）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３４で生成されたＥＭＭを、放送ストリームに多重化する（ステップＳ３５）。

また、送信装置１は、ＥＣＭ生成手段１１によって、外部から入力されたスクランブル鍵Ｋｓをワーク鍵Ｋｗで暗号化し、暗号化したスクランブル鍵Ｋｓを含んだ受信装置２共通の鍵情報である共通鍵情報（ＥＣＭ）を生成する（ステップＳ３６）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３６で生成されたＥＣＭを、放送ストリームに多重化する（ステップＳ３７）。

さらに、送信装置１は、スクランブル手段１０によって、外部から入力されたコンテンツＣをスクランブル鍵Ｋｓでスクランブルし、スクランブルコンテンツＳＣを生成する（ステップＳ３８）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３８で生成されたスクランブルコンテンツＳＣを、放送ストリームに多重化する（ステップＳ３９）。

以上の動作によって、送信装置１は、スクランブルコンテンツＳＣを放送ストリームで送信するとともに、スクランブルコンテンツＳＣをデスクランブルするための鍵情報を放送ストリームに多重化して、送信することができる。
なお、ここでは、説明を簡単にするために、ＣＡＴ、ＰＭＴ、ＥＭＭ、ＥＣＭおよびコンテンツＣを、順次放送ストリームに多重化する流れで動作を説明した。しかし、これらの情報は、厳密には、個別のタイミングで放送ストリームに多重化される。

一方、受信装置２は、選局・復調手段２０によって、選局された放送ストリームを復調しつつ以下の動作を行う。
すなわち、受信装置２は、放送ストリームにＣＡＴが多重化されている場合、多重分離手段２１によって、放送ストリームから当該ＣＡＴを分離する（ステップＳ４０）。

そして、受信装置２は、ＣＡＴ解析手段２３の限定受信方式情報解析手段２３０によって、ステップＳ４０で分離されたＣＡＴに設定されている限定受信方式情報から、当該受信装置２に予め設定されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応する受信装置２個別の鍵情報の位置情報（ＥＭＭ位置情報〔ＥＭＭ＿ＰＩＤ〕）を抽出する（ステップＳ４１）。

また、受信装置２は、放送ストリームにＰＭＴが多重化されている場合、多重分離手段２１によって、放送ストリームから当該ＰＭＴを分離する（ステップＳ４２）。
そして、受信装置２は、ＰＭＴ解析手段２２の限定受信方式情報解析手段２２０によって、ステップＳ４２で分離されたＰＭＴに設定されている限定受信方式情報から、当該受信装置２に予め設定されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応する受信装置２共通の鍵情報の位置情報（ＥＣＭ位置情報〔ＥＣＭ＿ＰＩＤ〕）を抽出する（ステップＳ４３）。

また、受信装置２は、放送ストリームにＥＭＭが多重化されている場合、多重分離手段２１によって、放送ストリームから当該ＥＭＭを分離する。さらに、受信装置２は、鍵情報取得手段２４によって、分離したＥＭＭの中から、ステップＳ４３で抽出された位置情報であるＥＭＭ＿ＰＩＤのパケット識別を有するＥＭＭを抽出する（ステップＳ４４）。

そして、受信装置２は、限定受信制御手段２６のワークメモリ２６７に展開されて動作している関連情報サブシステムプログラムＰのＥＭＭ処理手段３０によって、ステップＳ４４で抽出したＥＭＭを、鍵記憶手段２６６に記憶されているマスタ鍵Ｋｍで復号することで、ワーク鍵Ｋｗを抽出する（ステップＳ４５）。

また、受信装置２は、放送ストリームにＥＣＭが多重化されている場合、多重分離手段２１によって、放送ストリームから当該ＥＣＭを分離する。さらに、受信装置２は、鍵情報取得手段２４によって、分離したＥＣＭの中から、ステップＳ４１で抽出された位置情報であるＥＣＭ＿ＰＩＤのパケット識別を有するＥＣＭを抽出する（ステップＳ４６）。

そして、受信装置２は、限定受信制御手段２６のワークメモリ２６７に展開されて動作している関連情報サブシステムプログラムＰのＥＣＭ処理手段３１によって、ステップＳ４６で抽出したＥＣＭを、ステップＳ４５で抽出したワーク鍵Ｋｗで復号することで、スクランブル鍵Ｋｓを抽出する（ステップＳ４７）。

また、受信装置２は、多重分離手段２１によって、放送ストリームに多重化されているスクランブルコンテンツＳＣを分離する（ステップＳ４８）。
そして、受信装置２は、デスクランブル手段２７によって、ステップＳ４８で分離したスクランブルコンテンツＳＣを、ステップＳ４７で抽出したスクランブル鍵Ｋｓでデスクランブル（復号）する（ステップＳ４９）。

以上の動作によって、受信装置２は、放送ストリームに多重化して送信される、スクランブルコンテンツＳＣをデスクランブルするための鍵情報によって、スクランブルコンテンツＳＣを限定受信することができる。

（第２実施形態）
［限定受信システムの概要］
以下、図１２を参照して、本発明の第２実施形態に係る限定受信システムＳＢの概略について、第１実施形態と異なる点を説明する。
限定受信システムＳＢは、ＣＡロード記述子をＣＡＴではなくプログラムマップテーブル（ＰＭＴ）に記載する点が、第１実施形態と異なる。

図１２のように、限定受信システムＳＢは、送信装置１Ｂと、受信装置２Ｂ，２Ｂ，…とを備える。そして、送信装置１Ｂは、ＣＡロード記述子をプログラムマップテーブル（ＰＭＴ）に記載して、放送ストリームに多重化して伝送する。さらに、受信装置２Ｂは、ＰＭＴを解析し、指定された関連情報サブシステムプログラムＰを選択して動作させる。

［送信装置の構成］
図１３を参照（適宜図１２参照）して、本発明の第２実施形態に係る送信装置１Ｂの構成について、第１実施形態と異なる点を説明する。
図１３のように、送信装置１Ｂは、スクランブル手段１０と、ＥＣＭ生成手段１１と、ＥＭＭ生成手段１２と、ＰＭＴ生成手段１３Ｂと、ＣＡＴ生成手段１４Ｂと、多重化手段１５とを備える。
なお、スクランブル手段１０、ＥＣＭ生成手段１１、ＥＭＭ生成手段１２および多重化手段１５は、第１実施形態と同様のため、説明を省略する。

ＰＭＴ生成手段１３Ｂは、プログラムマップテーブル（ＰＭＴ）を生成し、生成したＰＭＴを多重化手段１５に出力するものである。このＰＭＴ生成手段１３Ｂは、限定受信方式情報設定手段１３０と、ＣＡロード記述子設定手段１３１とを備える。
ＣＡロード記述子設定手段１３１は、限定受信方式に対応したＣＡロード記述子をプログラムマップテーブル（ＰＭＴ）に設定するものである。
なお、限定受信方式情報設定手段１３０は、第１実施形態と同様のため、説明を省略する。

＜ＰＭＴのデータ構造＞
ここで、図１４を参照して、ＰＭＴ生成手段１３Ｂが生成するＰＭＴのデータ構造の例について説明する（適宜図１３参照）。

図１４（ａ）に示すように、ＰＭＴ生成手段１３Ｂは、ＰＭＴを他のテーブル情報と識別するためのテーブル識別等を含んだセクションヘッダと、各種の記述子を配置する記述子領域と、ＣＲＣ（チェックサム）とで構成されるテーブル情報を生成する。
この記述子領域には、限定受信方式情報設定手段１３０によって、限定受信方式情報（限定受信方式記述子）が設定される。また、記述子領域には、ＣＡロード記述子設定手段１３１によって、ＣＡロード記述子が設定される。
なお、限定受信方式情報およびＣＡロード記述子のデータ構造は、第１実施形態と同様のため、説明を省略する。

図１３に戻って、送信装置１Ｂの構成について説明を続ける。
ＣＡＴ生成手段１４Ｂは、ＣＡＴを生成し、生成したＣＡＴを多重化手段１５に出力するものである。このＣＡＴ生成手段１４Ｂは、限定受信方式情報設定手段１４０を備える。

なお、図１５のように、ＣＡＴ生成手段１４Ｂが生成するＣＡＴは、ＣＡロード記述子が設定されない以外、第１実施形態と同様である。このため、ＣＡＴ生成手段１４ＢおよびＣＡＴのデータ構造の説明を省略する。

以上説明したように送信装置１Ｂを構成することで、送信装置１Ｂは、限定受信方式ごとに、受信装置２Ｂで動作させる関連情報サブシステムプログラムＰのバージョンを選定して動作させることができる。

［受信装置の構成］
図１６を参照（適宜図１２参照）して、本発明の第２実施形態に係る受信装置２Ｂの構成について、第１実施形態と異なる点を説明する。
図１６のように、受信装置２Ｂは、選局・復調手段２０と、多重分離手段２１と、ＰＭＴ解析手段２２Ｂと、ＣＡＴ解析手段２３Ｂと、鍵情報取得手段２４と、プログラム選定手段２５と、限定受信制御手段２６と、デスクランブル手段２７と、を備える。
なお、選局・復調手段２０、多重分離手段２１、鍵情報取得手段２４、プログラム選定手段２５、限定受信制御手段２６およびデスクランブル手段２７は、第１実施形態と同様のため、説明を省略する。

ＰＭＴ解析手段２２Ｂは、多重分離手段２１で分離されたプログラムマップテーブル（ＰＭＴ）を解析するものである。ここでは、ＰＭＴ解析手段２２Ｂは、限定受信方式情報解析手段２２０と、ＣＡロード記述子解析手段２２１とを備える。
なお、限定受信方式情報解析手段２２０は、第１実施形態と同様のため、説明を省略する。

ＣＡロード記述子解析手段２２１は、ＰＭＴに設定されているＣＡロード記述子から、当該受信装置２Ｂに予め設定されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応する第１プログラム識別および第１ロード指示を抽出するものである。
そして、ＣＡロード記述子解析手段２２１は、抽出した第１プログラム識別および第１ロード指示をプログラム選定手段２５に出力する。
なお、ＣＡロード記述子解析手段２２１の処理は、第１実施形態（図７のＣＡロード記述子解析手段２３１）と同様のため、説明を省略する。

ＣＡＴ解析手段２３Ｂは、多重分離手段２１で分離された限定受信テーブル（ＣＡＴ）を解析するものである。このＣＡＴ解析手段２３は、限定受信方式情報解析手段２３０を備える。
なお、ＣＡＴ解析手段２３Ｂは、ＣＡＴのＣＡロード記述子から第１プログラム識別および第１ロード指示を抽出しない以外、第１実施形態と同様である。このため、ＣＡＴ解析手段２３Ｂの説明を省略する。

以上説明したように受信装置２Ｂを構成することで、受信装置２Ｂは、送信装置１Ｂからの指示によって、同じ限定受信方式で、関連情報サブシステムプログラムＰのバージョンを任意に切り替えることができる。

〔関連情報サブシステムの切り替え動作〕
図１７を参照（構成については、適宜図１２，図１３，図１６参照）して、限定受信システムＳＢにおける関連情報サブシステムの切り替え動作について、第１実施形態と異なる点を説明する。

まず、送信装置１Ｂは、ＰＭＴ生成手段１３ＢのＣＡロード記述子設定手段１３１によって、ＣＡロード記述子をＰＭＴに設定する（ステップＳ１０Ｂ）。
具体的には、ＣＡロード記述子設定手段１３１が、外部から、限定受信方式識別、…、ロードセキュリティ情報を入力し、ＰＭＴに設定する（図１４参照）。

そして、送信装置１Ｂは、多重化手段１５によって、ステップＳ１０Ｂで生成されたＰＭＴを、放送ストリームに多重化する。この放送ストリームは、図示を省略した送信変調装置を介して、受信装置２Ｂに送信される（ステップＳ１１Ｂ）。

一方、受信装置２Ｂは、選局・復調手段２０によって、選局された放送ストリームを復調し（ステップとして図示せず）、多重分離手段２１によって、放送ストリームから、ＰＭＴを分離する（ステップＳ１２Ｂ）。

受信装置２Ｂは、ＰＭＴ解析手段２２ＢのＣＡロード記述子解析手段２２１によって、選局・復調手段２０から選局通知が入力されたか否かにより、選局の有無を判定する（ステップＳ１３Ｂ）。

選局有の場合（ステップＳ１３ＢでＹｅｓ）、受信装置２Ｂは、ＣＡロード記述子解析手段２２１によって、ＰＭＴに設定されているＣＡロード記述子から、当該受信装置２Ｂの限定受信方式（限定受信方式識別）に対応するＣＡロード記述子（第１プログラム識別、…、ロードセキュリティ情報）を抽出する。

すなわち、ＣＡロード記述子解析手段２２１は、限定受信制御手段２６から、限定受信方式識別記憶手段２６０に記憶されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）を、限定受信方式識別通知手段２６１を介して取得し、その限定受信方式識別と一致するＣＡロード記述子（第１プログラム識別、…、ロードセキュリティ情報）を、ＰＭＴから抽出する（ステップＳ１４Ｂ）。

なお、ステップＳ１５以降の処理は、第１実施形態と同様のため、説明を省略する。また、関連情報サブシステムによる限定受信動作も第１実施形態と同様のため、説明を省略する。

以上の動作によって、限定受信システムＳＢは、送信装置１Ｂからの指示によって、受信装置２Ｂにおいて動作する関連情報サブシステムプログラムＰを切り替えることができる。
これによって、限定受信システムＳＢは、限定受信方式識別ごとに、セキュリティ強度や機能の異なる関連情報サブシステムプログラムＰを柔軟に指定することができ、放送事業者のビジネスモデルに応じて、きめ細かく関連情報サブシステムプログラムＰを切り替えることができる。

また、限定受信システムＳＢは、受信装置２Ｂで所持する関連情報サブシステムプログラムＰが、受信装置２Ｂごとに異なる場合であっても、関連情報サブシステムプログラムＰを適切に切り替えることができ、放送システム全体のセキュリティ強度を最新限に高めながら放送サービスを運用することができる。

以上、本発明の各実施形態に係る限定受信システムＳ，ＳＢ、送信装置１，１Ｂおよび受信装置２，２Ｂの構成および動作について説明したが、本発明は、これら実施形態に限定されるものではない。

各本実施形態では、図４，図１４に示したように、ＣＡＴ又はＰＭＴに設定するＣＡロード記述子にロードセキュリティ情報を設定し（図４（ｃ），図１４（ｃ）参照）、受信装置２，２Ｂにおいて起動させる関連情報サブシステムプログラムＰの改竄を検出することとした。
しかし、耐タンパモジュールである限定受信制御手段２６の安全性が高ければ、改竄検出の処理を省略して簡易に限定受信システムＳ，ＳＢを構成しても構わない。

その場合、送信装置１において、ＣＡＴ生成手段１４のＣＡロード記述子設定手段１４１で、ロードセキュリティ情報の設定を省略することとする（ＣＡロード記述子設定手段１３１も同様）。
また、受信装置２，２Ｂの限定受信制御手段２６において、改竄検出手段２６５を構成から省き、ロード手段２６４が、プログラム選定手段２５で選定されたプログラム識別に対応する関連情報サブシステムプログラムＰを改竄検出することなく、プログラム記憶手段２６２から読み出して、ワークメモリ２６７に展開し、当該プログラムを起動させることとすればよい。

第１ロード指示および第２ロード指示の範囲指定情報に“０１１（のみ）”が設定されることもある。この場合、ロード指示判定手段２５１は、第１プログラム識別および第２プログラム識別で特定される２つのバージョンをロード対象範囲として決定する。そして、ロード指示判定手段２５１は、第１ロード指示のバージョン指定情報を取得する。さらに、ロード指示判定手段２５１は、取得したバージョン指定情報に基づいて、２つのバージョンのうち、最旧（最小）バージョンまたは最新（最大）バージョンを表すプログラム識別を１つ選定する。

各実施形態では、選局される都度、ＣＡＴ解析手段２３又はＰＭＴ解析手段２２ＢがＣＡロード記述子を解析することとした。しかし、ＣＡＴ解析手段２３は、ＣＡＴのバージョンが変化しないことをもって、ＣＡロード記述子の解析結果をキャッシュし、その解析結果を再利用してもよい（ＰＭＴ解析手段２２Ｂも同様）。
また、本実施形態では、限定受信方式としてサイマルクリプト方式を適用してもよい。

各実施形態では、ＣＡＴ又はＰＭＴの何れか一方にＣＡロード記述子を設定することとして説明したが、送信装置１は、ＣＡＴ及びＰＭＴの両方にＣＡロード記述子を設定してもよい。この場合、受信装置２には、ＣＡＴ又はＰＭＴの何れに含まれるＣＡロード記述子を参照するか、予め設定しておく。

Ｓ，ＳＢ 限定受信システム
１，１Ｂ 送信装置
１０ スクランブル手段
１１ ＥＣＭ生成手段（共通鍵情報生成手段）
１２ ＥＭＭ生成手段（個別鍵情報生成手段）
１３，１３Ｂ ＰＭＴ生成手段
１３０ 限定受信方式情報設定手段（第１の限定受信方式情報設定手段）
１４，１４Ｂ ＣＡＴ生成手段
１４０ 限定受信方式情報設定手段（第２の限定受信方式情報設定手段）
１３１，１４１ ＣＡロード記述子設定手段
１５ 多重化手段
２，２Ｂ 受信装置
２０ 選局・復調手段
２１ 多重分離手段
２２，２２Ｂ ＰＭＴ解析手段
２２０ 限定受信方式情報解析手段（第１の限定受信方式情報解析手段）
２３，２３Ｂ ＣＡＴ解析手段
２３０ 限定受信方式情報解析手段（第２の限定受信方式情報解析手段）
２２１，２３１ ＣＡロード記述子解析手段
２４ 鍵情報取得手段
２５ プログラム選定手段
２５０ プログラム識別取得手段
２５１ ロード指示判定手段
２５２ ロード指示手段
２６ 限定受信制御手段
２６０ 限定受信方式識別記憶手段
２６１ 限定受信方式識別通知手段
２６２ プログラム記憶手段
２６３ プログラム識別通知手段
２６４ ロード手段
２６５ 改竄検出手段
２６６ 鍵記憶手段
２６７ ワークメモリ
２７ デスクランブル手段
Ｐ 関連情報サブシステムプログラム
３０ ＥＭＭ処理手段（個別鍵情報処理手段）
３１ ＥＣＭ処理手段（共通鍵情報処理手段）

Claims (2)

1. 限定受信方式により、放送ストリームに多重化したスクランブルコンテンツを受信装置に限定受信させる送信装置において、
   前記限定受信方式を識別する限定受信方式識別と、受信装置共通の鍵情報の位置情報と、を含んだ限定受信方式情報を前記放送ストリームに多重化される第１テーブルに設定する第１の限定受信方式情報設定手段と、
   前記限定受信方式識別と、受信装置個別の鍵情報の位置情報と、を含んだ限定受信方式情報を前記放送ストリームに多重化される第２テーブルに設定する第２の限定受信方式情報設定手段と、
   前記受信装置に予め複数記憶された当該限定受信方式識別で特定される限定受信方式におけるスクランブル鍵の鍵配送処理を実行するプログラムである関連情報サブシステムプログラムの起動に必要なＣＡロード記述子を前記第１テーブル又は前記第２テーブルの少なくとも一方に設定するＣＡロード記述子設定手段と、を備え、
   前記ＣＡロード記述子設定手段は、前記ＣＡロード記述子として、
   前記限定受信方式識別と、
   前記プログラムに固有の識別子およびバージョンが含まれる第１プログラム識別と、
   前記第１プログラム識別のバージョンのみをロード対象とする単独指定、または、前記第１プログラム識別のバージョン以上もしくは以下をロード対象とする範囲指定であるかを示す範囲指定情報と、前記範囲指定情報が範囲指定のときに前記範囲指定情報で指定されるロード対象範囲の中で最旧バージョンまたは最新バージョンをロード対象とすることを示すバージョン指定情報とが含まれる第１ロード指示と、
   前記プログラムに固有の識別子およびバージョンが含まれる第２プログラム識別と、
   前記第２プログラム識別のバージョンのみをロード対象とする単独指定、または、前記第２プログラム識別のバージョン以上もしくは以下をロード対象とする範囲指定であるかを示す範囲指定情報が含まれる第２ロード指示と、
   を前記第１テーブル又は前記第２テーブルの少なくとも一方に設定することを特徴とする送信装置。
2. 限定受信方式により、送信装置で放送ストリームに多重化されたスクランブルコンテンツを限定受信する受信装置において、
   前記放送ストリームに多重化された第１テーブルに設定されている、前記限定受信方式を識別する限定受信方式識別と、受信装置共通の鍵情報の位置情報と、を含んだ限定受信方式情報から、前記受信装置共通の鍵情報の位置情報を抽出する第１の限定受信方式情報解析手段と、
   前記放送ストリームに多重化された第２テーブルに設定されている、前記限定受信方式識別と、受信装置個別の鍵情報の位置情報と、を含んだ限定受信方式情報から、前記受信装置個別の鍵情報の位置情報を抽出する第２の限定受信方式情報解析手段と、
   前記第１および第２の限定受信方式情報解析手段で抽出された位置情報に基づいて、前記受信装置共通の鍵情報および前記受信装置個別の鍵情報を取得する鍵情報取得手段と、
   前記限定受信方式におけるスクランブル鍵の鍵配送処理を実行するプログラムである関連情報サブシステムプログラムを複数記憶し、起動を指示された関連情報サブシステムプログラムによって、前記鍵情報取得手段で取得した鍵情報により、前記スクランブル鍵を生成する限定受信制御手段と、
   前記放送ストリームに多重化された第１テーブル又は第２テーブルの少なくとも一方に設定されている、前記限定受信方式識別と、前記プログラムに固有の識別子およびバージョンが含まれる第１プログラム識別と、前記第１プログラム識別のバージョンのみをロード対象とする単独指定、または、前記第１プログラム識別のバージョン以上もしくは以下をロード対象とする範囲指定であるかを示す範囲指定情報および前記範囲指定情報が範囲指定のときに前記範囲指定情報で指定されるロード対象範囲の中で最旧バージョンまたは最新バージョンをロード対象とすることを示すバージョン指定情報が含まれる第１ロード指示と、前記プログラムに固有の識別子およびバージョンが含まれる第２プログラム識別と、前記第２プログラム識別のバージョンのみをロード対象とする単独指定、または、前記第２プログラム識別のバージョン以上もしくは以下をロード対象とする範囲指定であるかを示す範囲指定情報が含まれる第２ロード指示と、を含んだＣＡロード記述子から、前記第１プログラム識別と、前記第１ロード指示と、前記第２プログラム識別と、前記第２ロード指示とを抽出するＣＡロード記述子解析手段と、
   このＣＡロード記述子解析手段で抽出された第１プログラム識別および第１ロード指示により第１ロード対象範囲を決定し、前記第２プログラム識別および前記第２ロード指示により第２ロード対象範囲を決定し、前記第１ロード対象範囲および前記第２ロード対象範囲が重複する場合、ＡＮＤ条件により最終的なロード対象範囲を求め、前記第１ロード対象範囲および前記第２ロード対象範囲が重複しない場合、ＯＲ条件により前記最終的なロード対象範囲を求め、前記バージョン指定情報に基づいて前記最終的なロード対象範囲の中で最旧バージョンまたは最新バージョンの関連情報サブシステムプログラムを選定し、前記限定受信制御手段に対して、当該プログラムの起動を指示するプログラム選定手段と、
   を備えることを特徴とする受信装置。