JP6471038B2 - 受信装置 - Google Patents

Description

本発明は、限定受信システムにおいて、コンテンツのスクランブル鍵を当該鍵の関連情報により配送する関連情報サブシステムの切り替えを行う受信装置に関する。

従来、デジタル放送では、有料放送を実現するために、契約者のみに放送を限定して受信させることができる限定受信システムを採用している。この限定受信システムでは、放送されるコンテンツはスクランブルされており、そのスクランブルを解くためのスクランブル鍵を安全に配送する仕組みとして、鍵の関連情報を用いてスクランブル鍵を配送する関連情報サブシステム（３重鍵方式）を実装している（非特許文献１参照）。

この関連情報サブシステムが実現する限定受信方式には、放送サービスの目的に応じて、例えば、有料放送を実現するＣＡＳ（Conditional Access System）、コンテンツ保護に特化した放送を実現するＲＭＰ（Rights Management and Protection）等がある。
また、異なる関連情報サブシステムを並列運用する手法として、現在のデジタル放送では、サイマルクリプト方式が採用されている。
このサイマルクリプト方式は、限定受信方式を特定する限定受信方式記述子を、プログラムマップテーブル（ＰＭＴ：Program Map Table）や限定受信テーブル（ＣＡＴ：Conditional Access Table）に複数並列に記載する手法である（特許文献１、非特許文献２参照）。

限定受信方式では、コンテンツを暗号化するスクランブル鍵は、ＥＣＭ（Entitlement Control Message）と呼ばれる受信装置共通の鍵情報に、符号化および暗号化されてコンテンツとともに伝送される。このＥＣＭは、限定受信方式ごとに符号化フォーマットや暗号方式が異なる。そして、複数の異なる限定受信方式を採用する場合、複数のＥＣＭは並行して伝送される。
この場合、サイマルクリプト方式では、ＥＣＭを伝送するパケットを識別するためのパケット識別を含んだ限定受信方式記述子をＰＭＴに限定受信方式ごとに複数記載し、そのＰＭＴを予め受信装置に伝送しておく。そして、受信装置は、ＰＭＴに記載されている複数の限定受信方式記述子の中で、自身の限定受信方式に適合する限定受信方式記述子に記述されているパケット識別によって、放送ストリームから、対応するＥＣＭを抽出する。

また、限定受信方式では、契約情報などを個別に受信装置に伝送するために、ＥＭＭ（Entitlement Management Message）と呼ばれる受信装置個別の鍵情報が用いられる。このＥＭＭも、限定受信方式ごとに符号化フォーマットや暗号方式が異なる。そして、複数の異なる限定受信方式を採用する場合、複数のＥＭＭは並行して伝送される。
この場合、サイマルクリプト方式では、ＥＭＭを伝送するパケットを識別するためのパケット識別を含んだ限定受信方式記述子をＣＡＴに限定受信方式ごとに複数記載し、そのＣＡＴを予め受信装置に伝送しておく。そして、受信装置は、ＣＡＴに記載されている複数の限定受信方式記述子の中で、自身の限定受信方式に適合する限定受信方式記述子に記述されているパケット識別によって、放送ストリームから、対応するＥＭＭを抽出する。

特許第５１１３９５４号公報

「デジタル放送におけるアクセス制御方式 標準規格（ＡＲＩＢ ＳＴＤ−Ｂ２５） 第３部」、６．２版、一般社団法人電波産業会、平成２４年９月２５日改定 「地上デジタルテレビジョン放送運用規定 技術資料（ＡＲＩＢ ＴＲ−Ｂ１４） 第五編第二部」、４．８版、Ｐ１１２−１１３、一般社団法人電波産業会、平成２４年２月１４日改定

限定受信方式の鍵の配送を行う関連情報サブシステムは、サービスの種類（例えば、課金機能）やセキュリティ強度に応じて複数実現できる。また、放送事業者からは、各社のビジネスモデルに応じて、関連情報サブシステムを選択し、有料放送や無料放送のサービスを切り替えたり、暗号に使用する鍵長やアルゴリズムを更新して安全性を高めたいという要望がある。さらに、関連情報サブシステムに不具合が発生することもある。
そこで、関連情報サブシステムを実現するプログラム（関連情報サブシステムプログラム）を改修することが行われている。

しかし、関連情報サブシステムプログラムを改修したバージョンに更新する際、以下のような問題がある。
従来の受信装置は、自身の限定受信方式に対応した限定受信方式識別が１つに固定されている。この場合、関連情報サブシステムプログラムのバージョンの更新に伴って、ＥＣＭおよびＥＭＭのパケット識別を変更することができない。さらに、関連情報サブシステムプログラムのバージョンの更新は、全ての受信装置に対して、同時、かつ、瞬時に行えるものではない。つまり、限定受信システムでは、新バージョンの関連情報サブシステムプログラムを使用している受信装置と、旧バージョンの関連情報サブシステムプログラムを使用している受信装置とが混在する。

このため、ＥＣＭおよびＥＭＭは、関連情報サブシステムプログラムの新旧バージョンの両方に対応できるように、互換性を保っていなければならない。一方、新旧バージョンの関連情報サブシステムプログラムの差異（改修の規模）が大きくなる程、ＥＣＭおよびＥＭＭの互換性を保つことが困難になる。

本発明は、関連情報サブシステムプログラムのバージョンを更新する際、関連情報サブシステムプログラムや鍵情報の互換性を考慮する必要がない受信装置を提供することを課題とする。

前記課題を解決するため、本発明の限定受信システムを構成する受信装置は、以下の構成とした。
すなわち、本発明に係る受信装置は、コンテンツをスクランブルするスクランブル鍵の関連情報として、スクランブル鍵の鍵配送処理を実行するプログラムである関連情報サブシステムプログラムのバージョンごとに、受信装置共通の鍵情報と受信装置個別の鍵情報とを用いる限定受信方式により、送信装置で放送ストリームに多重化されたスクランブルコンテンツを限定受信する受信装置であって、マッピング情報解析手段と、プログラム選定手段と、第１の限定受信方式情報解析手段と、第２の限定受信方式情報解析手段と、鍵情報取得手段と、限定受信制御手段と、を備える構成とした。

かかる構成において、受信装置は、マッピング情報解析手段によって、放送ストリームに多重化された第１テーブルまたは第２テーブルに設定されているマッピング情報から、第１プログラム識別と第１ロード指示とを抽出する。
ここで、送信装置は、マッピング情報として、限定受信方式を識別する限定受信方式識別と、プログラムに固有の識別子およびバージョンが含まれる第１プログラム識別と、第１プログラム識別が単独指定または範囲指定であるかを示す範囲指定情報および範囲指定情報が範囲指定のときに最旧バージョンまたは最新バージョンの選定を示すバージョン指定情報が含まれる第１ロード指示と、を第１テーブルまたは第２テーブルに設定し、受信装置に送信する。

ここで、限定受信方式識別を１つに固定するのではなく、新旧バージョンの関連情報サブシステムプログラムで異なる限定受信方式識別が設定されている。従って、新旧バージョン用に別々の鍵情報の位置情報を指定できるので、新旧バージョン用の鍵情報が記述可能となる。

また、受信装置は、プログラム選定手段によって、このマッピング情報解析手段で抽出された第１プログラム識別および第１ロード指示により、プログラム記憶手段に記憶されている関連情報サブシステムプログラムの１つを選定する。

ここで、プログラム選定手段が関連情報サブシステムプログラムを１つ選定できた場合、マッピング情報に記述された限定受信方式識別が、選定した関連情報サブシステムプログラムに対応していると言える。
従って、受信装置は、マッピング情報解析手段によって、プログラム選定手段が関連情報サブシステムプログラムを選定できた場合、マッピング情報から限定受信方式識別を抽出し、抽出した限定受信方式識別を第１および第２の限定受信方式情報解析手段に通知する。

また、受信装置は、第１の限定受信方式情報解析手段によって、放送ストリームに多重化された第１テーブルに設定されている、限定受信方式識別と、受信装置個別の鍵情報の位置情報と、を含んだバージョンごとの限定受信方式情報のうち、マッピング情報解析手段より通知された限定受信方式識別を有する限定受信方式情報から、受信装置個別の鍵情報の位置情報を抽出する。

また、受信装置は、第２の限定受信方式情報解析手段によって、放送ストリームに多重化された第２テーブルに設定されている、限定受信方式識別と、受信装置共通の鍵情報の位置情報と、を含んだバージョンごとの限定受信方式情報のうち、マッピング情報解析手段より通知された限定受信方式識別を有する限定受信方式情報から、受信装置共通の鍵情報の位置情報を抽出する。

また、受信装置は、鍵情報取得手段によって、第１および第２の限定受信方式情報解析手段で抽出された位置情報に基づいて、受信装置個別の鍵情報および受信装置共通の鍵情報を取得する。例えば、位置情報として、放送ストリームのパケットＩＤを通知された場合、鍵情報取得手段は、放送ストリームで通知されたパケットＩＤのパケットを抽出することで、鍵情報を取得することができる。

また、受信装置は、プログラム記憶手段を備えた限定受信制御手段に、関連情報サブシステムプログラムを記憶しておく。そして、受信装置は、限定受信制御手段によって、プログラム選定手段で選定された関連情報サブシステムプログラムにより、鍵情報取得手段で取得した鍵情報を用いてスクランブル鍵を生成する。

本発明は、以下に示す優れた効果を奏するものである。
本発明に係る受信装置は、関連情報サブシステムプログラムのバージョンを更新する際、関連情報サブシステムプログラムや鍵情報の互換性を考慮する必要がなくなる。これによって、本発明に係る受信装置は、関連情報サブシステムプログラムを簡略化し、互換性に起因した関連情報サブシステムプログラムの不具合を減少させることができる。

本発明の第１実施形態に係る限定受信システムの構成を示すシステム構成図である。 本発明の第１実施形態に係る送信装置の構成を示すブロック構成図である。 （ａ）はプログラムマップテーブル（ＰＭＴ）のデータ例を示すデータ構造図、（ｂ）はＰＭＴに設定される限定受信方式情報のデータ例を示すデータ構造図である。 （ａ）は限定受信テーブル（ＣＡＴ）のデータ例を示すデータ構造図、（ｂ）はＣＡＴに設定される限定受信方式情報のデータ例を示すデータ構造図、（ｃ）はＣＡＴに設定されるマッピング情報のデータ例を示すデータ構造図である。 （ａ）はマッピング情報に設定されるプログラム識別のデータ例を示すデータ構造図、（ｂ）はマッピング情報に設定されるロード指示のデータ例を示すデータ構造図である。 （ａ）〜（ｃ）はマッピング情報とロード対象範囲との関係を説明する説明図である。 本発明の第１実施形態に係る受信装置の構成を示すブロック構成図である。 図７の受信装置に実装する関連情報サブシステムプログラムの構成を示すブロック構成図である。 本発明の第１実施形態に係る限定受信システムにおける関連情報サブシステムの切り替え動作を示すフローチャートである。 図９のプログラム選定処理を示すフローチャートである。 本発明の第１実施形態に係る限定受信システムにおける限定受信動作を示すフローチャートである。 本発明の第２実施形態に係る限定受信システムの構成を示すシステム構成図である。 本発明の第２実施形態に係る送信装置の構成を示すブロック構成図である。 （ａ）はプログラムマップテーブル（ＰＭＴ）のデータ例を示すデータ構造図、（ｂ）はＰＭＴに設定される限定受信方式情報のデータ例を示すデータ構造図、（ｃ）はＰＭＴに設定されるマッピング情報のデータ例を示すデータ構造図である。 （ａ）は限定受信テーブル（ＣＡＴ）のデータ例を示すデータ構造図、（ｂ）はＣＡＴに設定される限定受信方式情報のデータ例を示すデータ構造図である。 本発明の第２実施形態に係る受信装置の構成を示すブロック構成図である。 本発明の第２実施形態に係る限定受信システムにおける関連情報サブシステムの切り替え動作を示すフローチャートである。

（第１実施形態）
［限定受信システムの概要］
以下、本発明の各実施形態について図面を参照して説明する。
最初に、図１，図２を参照して、本発明の第１実施形態に係る限定受信システムＳの概要について説明する。

限定受信システムＳは、放送事業者が有するデジタル放送の送信装置１と、各家庭等に設置されたデジタル放送の受信装置２，２，…とで構成されている。また、限定受信システムＳは、コンテンツ（映像、音声等）Ｃをスクランブルするスクランブル鍵Ｋｓの関連情報として、関連情報サブシステムプログラムＰのバージョンごとに、受信装置２共通の鍵情報と受信装置２個別の鍵情報とを用いる限定受信方式により、送信装置１から受信装置２にコンテンツＣを限定受信させるものである。
なお、デジタル放送の放送波Ｗは、地上デジタル放送、衛星放送、ケーブル放送等、無線、有線を問わない。また、このデジタル放送は、ＩＰネットワーク等の通信回線を介して伝送する形態であっても構わない。

ここで、受信装置２には、耐タンパ性を有するモジュール内に、関連情報サブシステムを実現するプログラム（関連情報サブシステムプログラムＰ１，Ｐ２，…）Ｐが複数記憶されている。この関連情報サブシステムプログラムＰは、ＣＡＳ等の限定受信方式のスクランブル鍵Ｋｓの鍵配送処理を実行するプログラムであって、スクランブルされたコンテンツＣをデスクランブルするためのスクランブル鍵Ｋｓを放送ストリーム（放送信号）から抽出するものである。

この受信装置２には、関連情報サブシステムプログラム（Ｐ１，Ｐ２，……）Ｐを予め記憶しておく。この関連情報サブシステムプログラムＰ１，Ｐ２は、例えば、異なる鍵長（６４ビット、１２８ビット等）によってセキュリティ強度を変えたものや、課金方式（番組に対する課金、チャンネルに対する課金等）が異なるものとして構成することができる。また、関連情報サブシステムプログラムＰ１，Ｐ２は、それぞれ複数のバージョンが存在してもよい。

一方、送信装置１は、関連情報サブシステムプログラムＰを特定するための情報（マッピング情報〔限定受信方式識別、第１プログラム識別等〕）を、限定受信方式に関するテーブルである限定受信テーブル（ＣＡＴ、第１テーブル）に記載して、放送ストリームに多重化して伝送する。
そして、受信装置２は、ＣＡＴを解析し、指定された関連情報サブシステムプログラムＰを選択して動作させる。

なお、限定受信方式における鍵情報の所在を示す位置情報（放送ストリームのパケット識別等）は、プログラムマップテーブル（ＰＭＴ、第２テーブル）およびＣＡＴにそれぞれ限定受信方式ごとに記載されて伝送される。
すなわち、受信装置２，２，…に共通の鍵情報である、スクランブル鍵Ｋｓを含んだ共通鍵情報（ＥＣＭ：Entitlement Control Message）の位置情報（パケット識別等）は、限定受信方式識別ごとに、ＰＭＴに記載されて伝送される。

また、受信装置２ごとの個別の鍵情報である、ワーク鍵Ｋｗを含んだ個別鍵情報（ＥＭＭ：Entitlement Management Message）の位置情報（パケット識別等）は、限定受信方式識別ごとに、ＣＡＴに記載されて伝送される。
これによって、限定受信システムＳは、放送事業者が、関連情報サブシステムプログラムＰのバージョンを受信装置２において切り替えて動作させることができる。

＜バージョンの更新＞
ここで、関連情報サブシステムプログラムＰのバージョンを更新する例について、簡単に説明する。この例では、受信装置２は、旧バージョンの関連情報サブシステムプログラムＰが記憶されていることとする。
なお、関連情報サブシステムプログラムＰのバージョンを単に「バージョン」と略記することがある。

限定受信システムＳでは、バージョンを更新する移行期間中、新旧バージョンの関連情報サブシステムプログラムＰに対応させて、別々の限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）が割り当てられる。また、限定受信システムＳでは、新旧バージョン用として、別々の共通鍵情報および個別鍵情報のパケット識別（ＥＣＭ＿ＰＩＤ、ＥＭＭ＿ＰＩＤ）が割り当てられる。

移行期間中、送信装置１は、新旧バージョン用の共通鍵情報および個別鍵情報のパケット識別をそれぞれ、新旧バージョン用の限定受信方式情報（限定受信方式記述子）に記載する。そして、送信装置１は、新旧バージョン用の限定受信方式情報をそれぞれ、ＰＭＴおよびＣＡＴに記述する（サイマルクリプト方式）。さらに、送信装置１は、新バージョンの関連情報サブシステムプログラムＰに対応した限定受信方式識別と、新バージョンの関連情報サブシステムプログラムＰを特定する第１プログラム識別とをマッピング情報に記述する。その後、送信装置１は、このマッピング情報もＣＡＴに記述し、ＰＭＴおよびＣＡＴを受信装置２に伝送する。

移行期間中、受信装置２は、放送を介して、関連情報サブシステムプログラムＰの新バージョンをダウンロード（取得）する。
なお、関連情報サブシステムプログラムＰを取得する手法は、放送に限られず、通信ネットワークを介してもよいし、メモリカード等の記憶媒体から取得してもよい。

また、受信装置２は、ＣＡＴを解析し、マッピング情報で指定された新バージョンの関連情報サブシステムプログラムＰを選定する。そして、受信装置２は、関連情報サブシステムプログラムＰを選定できた場合、マッピング情報から限定受信方式識別を抽出する。さらに、受信装置２は、ＰＭＴおよびＣＡＴを参照し、抽出した限定受信方式識別を有する限定受信方式情報から、新バージョン用の共通鍵情報および個別鍵情報のパケット識別を抽出する。さらに、受信装置２は、抽出した共通鍵情報および個別鍵情報のパケット識別によるフィルタリングを行い、新バージョン用の共通鍵情報（ＥＣＭ）および個別鍵情報（ＥＭＭ）を取得する。その後、受信装置２は、新バージョンの関連情報サブシステムプログラムＰと、新バージョン用の共通鍵情報および個別鍵情報とを用いて、限定受信を行う。

なお、移行期間は、限定受信システムＳを構成する各受信装置２が、関連情報サブシステムプログラムＰを更新できる期間（例えば、半年）に設定する。そして、移行期間終了後、限定受信システムＳでは、サイマルクリプトを終了し、新バージョンの関連情報サブシステムプログラムＰで運用を行う。

［送信装置の構成］
以下、限定受信システムＳを構成する送信装置１および受信装置２について順次説明を行う。
まず、図２を参照（適宜図１参照）して、本発明の第１実施形態に係る送信装置１の構成について説明する。

送信装置１は、コンテンツＣをスクランブルするスクランブル鍵Ｋｓの関連情報として、関連情報サブシステムプログラムＰのバージョンごとに、受信装置２共通の鍵情報と受信装置２個別の鍵情報とを用いる限定受信方式により、放送ストリームに多重化したスクランブルコンテンツＳＣを受信装置２に限定受信させるものである。また、送信装置１は、受信装置２に実装される関連情報サブシステムプログラムＰを切り替えて、受信装置２で動作させるものである。
ここでは、送信装置１は、スクランブル手段１０と、ＥＣＭ生成手段１１と、ＥＭＭ生成手段１２と、ＰＭＴ生成手段１３と、ＣＡＴ生成手段１４と、多重化手段１５と、を備える。

スクランブル手段１０は、入力されたコンテンツ（映像、音声等）Ｃをスクランブル鍵Ｋｓでスクランブル（暗号化）するものである。このスクランブル鍵Ｋｓによる暗号化は、一般的な共通鍵暗号アルゴリズムを用いればよく、例えば、ＭＵＬＴＩ２暗号により暗号化する。そして、スクランブル手段１０は、スクランブルしたコンテンツＣ（スクランブルコンテンツＳＣ）を、多重化手段１５に出力する。
なお、スクランブル鍵Ｋｓは、数秒に１回程度更新され、ここでは、適宜外部から新たなスクランブル鍵Ｋｓが入力されることで更新されるものとする。

ＥＣＭ生成手段１１は、スクランブル手段１０で用いるスクランブル鍵Ｋｓをワーク鍵Ｋｗで暗号化し、暗号化したスクランブル鍵Ｋｓを含んだ受信装置２共通の鍵情報である共通鍵情報を生成するものである。このＥＣＭ生成手段１１は、移行期間中、関連情報サブシステムプログラムＰのバージョンごとに共通鍵情報を生成する。このワーク鍵Ｋｗによる暗号化には、一般的な共通鍵暗号アルゴリズムを用いればよい。

なお、ワーク鍵Ｋｗは、スクランブル鍵Ｋｓに比べ、更新時間が長く、例えば、１ヶ月程度で更新される。ここでは、ワーク鍵Ｋｗは、適宜外部から新たなワーク鍵Ｋｗが入力されることで更新されるものとする。

この共通鍵情報は、社団法人電波産業会（ＡＲＩＢ）のＳＴＤ−Ｂ２５で規定されているＥＣＭ（Entitlement Control Message）として生成することができる。
ここでは、ＥＣＭ生成手段１１は、生成した共通鍵情報（ＥＣＭ）を、多重化手段１５に出力する。このとき、ＥＣＭ生成手段１１は、ＥＣＭをパケット化し、そのヘッダ領域に、後記するＰＭＴ生成手段１３で設定された鍵情報の位置情報であるＥＣＭのパケット識別（ＥＣＭ＿ＰＩＤ）を設定しておく。

ＥＭＭ生成手段１２は、ＥＣＭ生成手段１１で用いるワーク鍵Ｋｗをマスタ鍵Ｋｍで暗号化し、暗号化したワーク鍵Ｋｗを含んだ受信装置２個別の鍵情報である個別鍵情報を生成するものである。このＥＭＭ生成手段１２は、移行期間中、関連情報サブシステムプログラムＰのバージョンごとに個別鍵情報を生成する。このマスタ鍵Ｋｍによる暗号化には、一般的な共通鍵暗号アルゴリズムを用いればよい。
なお、マスタ鍵Ｋｍは、予め個々の受信装置２に付与されている固有の鍵であって、予め図示を省略した記憶手段に記憶されているものとする。

この個別鍵情報は、ＡＲＩＢのＳＴＤ−Ｂ２５で規定されているＥＭＭ（Entitlement Management Message）として生成することができる。
ここでは、ＥＭＭ生成手段１２は、生成した個別鍵情報（ＥＭＭ）を、多重化手段１５に出力する。このとき、ＥＭＭ生成手段１２は、ＥＭＭをパケット化し、そのヘッダ領域に、後記するＣＡＴ生成手段１４で設定された鍵情報の位置情報であるＥＭＭのパケット識別（ＥＭＭ＿ＰＩＤ）を設定しておく。

以上説明したＥＣＭ生成手段１１およびＥＭＭ生成手段１２は、異なる限定受信方式に対して、それぞれ複数備えられる。例えば、ＥＣＭ生成手段１１およびＥＭＭ生成手段１２は、ＣＡＳ方式、ＲＭＰ方式等に対応してそれぞれの方式を実装する手段として備えられる。
また、ここでは、ＥＭＭ生成手段１２が、受信装置２個別のマスタ鍵Ｋｍでワーク鍵Ｋｗを暗号化することとしたが、限定受信方式の管理単位を受信機メーカや受信機機種といったデバイス単位とする場合、当該単位で予め受信装置２に割り当てられたデバイス鍵でワーク鍵Ｋｗを暗号化することとする。

ＰＭＴ生成手段１３は、受信装置２共通の鍵情報の所在を特定する位置情報を指定したテーブル情報を生成するものである。このテーブル情報は、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されているプログラムマップテーブル（ＰＭＴ）のデータ形式とすることができる。このＰＭＴ生成手段１３は、生成したＰＭＴを多重化手段１５に出力する。
ここでは、ＰＭＴ生成手段１３は、限定受信方式情報設定手段１３０を備える。

なお、このＰＭＴ生成手段１３は、限定受信方式情報以外にも、例えば、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されている放送番組を構成する種々の符号化信号を伝送するパケットの位置情報（ＰＩＤ）を設定することができるが、本発明においては直接関係がないため、図示とその説明を省略する。

限定受信方式情報設定手段１３０は、限定受信方式を識別する限定受信方式識別と受信装置２共通の鍵情報の位置情報とを含んだ限定受信方式情報を、プログラムマップテーブル（ＰＭＴ）に設定するものである。この限定受信方式情報設定手段１３０は、移行期間中、関連情報サブシステムプログラムＰのバージョンごとに限定受信方式情報をＰＭＴに設定する。

＜ＰＭＴのデータ構造＞
ここで、図３を参照して、ＰＭＴ生成手段１３が生成するＰＭＴのデータ構造の例について説明する（適宜図２参照）。

図３（ａ）に示すように、ＰＭＴ生成手段１３は、ＰＭＴを他のテーブル情報と識別するためのテーブル識別等を含んだセクションヘッダと、各種の記述子を配置する記述子領域と、ＣＲＣ（チェックサム）とで構成されるテーブル情報を生成する。
この記述子領域には、限定受信方式情報設定手段１３０によって、限定受信方式情報が設定される。

この限定受信方式情報は、図３（ｂ）に示すように、記述子を識別する記述子タグと、記述子長と、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）と、鍵情報の位置情報（ＣＡ＿ＰＩＤ）と、を各項目としたデータで構成される。なお、ＰＭＴ内に設定する鍵情報の位置情報（ＣＡ＿ＰＩＤ）は、共通鍵情報（ＥＣＭ）のパケット識別（ＥＣＭ＿ＰＩＤ）である。

ここで、「限定受信方式識別」は、限定受信方式およびバージョンごとに予め割り当てられた識別子である。このＰＭＴに設定された限定受信方式識別は、受信装置２において、ＰＭＴが受信装置２に実装された限定受信方式に対応するテーブル情報であるか否かを識別するために使用される。
また、「鍵情報の位置情報」は、共通鍵情報（ＥＣＭ）を伝送するパケットを識別するパケット識別（ＰＩＤ）である。
この限定受信方式情報（限定受信方式識別、鍵情報の位置情報）は、外部から入力される。
図２に戻って、送信装置１の構成について説明を続ける。

ＣＡＴ生成手段１４は、受信装置２個別の鍵情報の所在を特定する位置情報を指定したテーブル情報を生成するものである。このテーブル情報は、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されているＣＡＴのデータ形式とすることができる。このＣＡＴ生成手段１４は、生成したＣＡＴを多重化手段１５に出力する。
ここでは、ＣＡＴ生成手段１４は、限定受信方式情報設定手段１４０と、ＣＡ（Conditional Access）ロード記述子設定手段１４１と、を備える。

なお、このＣＡＴ生成手段１４は、限定受信方式情報、マッピング情報以外にも、例えば、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されている限定受信放送の種々の関連情報を伝送するパケットの位置情報（ＰＩＤ）を設定することができるが、本発明においては直接関係がないため、図示とその説明を省略する。

限定受信方式情報設定手段１４０は、限定受信方式識別と受信装置２個別の鍵情報の位置情報とを含んだ限定受信方式情報を、限定受信テーブル（ＣＡＴ）に設定するものである。この限定受信方式情報設定手段１４０は、移行期間中、関連情報サブシステムプログラムＰのバージョンごとに限定受信方式情報をＣＡＴに設定する。

マッピング情報設定手段１４１は、限定受信方式に対応したマッピング情報を限定受信テーブル（ＣＡＴ）に設定するものである。ここでは、マッピング情報設定手段１４１は、マッピング情報として、限定受信方式識別と、第１プログラム識別と、第１ロード指示と、第２ロード指示フラグと、第２プログラム識別と、第２ロード指示と、除外プログラム識別数と、除外プログラム識別と、ロードセキュリティ情報長と、ロードセキュリティ情報とをＣＡＴに設定することとする。

なお、限定受信方式情報設定手段１４０における限定受信方式情報の設定と、マッピング情報設定手段１４１におけるマッピング情報の設定とは、同時に行う必要がない。

＜ＣＡＴのデータ構造＞
ここで、図４，図５を参照して、ＣＡＴ生成手段１４が生成するＣＡＴのデータ構造の例について説明する（適宜図２参照）。

図４（ａ）に示すように、ＣＡＴ生成手段１４は、ＣＡＴを他のテーブル情報と識別するためのテーブル識別等を含んだセクションヘッダと、各種の記述子を配置する記述子領域と、ＣＲＣ（チェックサム）とで構成されるテーブル情報を生成する。

この記述子領域には、限定受信方式情報設定手段１４０によって、限定受信方式情報が設定される。
また、記述子領域には、マッピング情報設定手段１４１によって、マッピング情報が設定される。

限定受信方式情報（限定受信方式記述子）は、図４（ｂ）に示すように、記述子を識別する記述子タグと、記述子長と、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）と、鍵情報の位置情報（ＣＡ＿ＰＩＤ）と、を各項目としたデータで構成される。なお、ＣＡＴ内に設定する鍵情報の位置情報（ＣＡ＿ＰＩＤ）は、個別鍵情報（ＥＭＭ）のパケット識別（ＥＭＭ＿ＰＩＤ）である。

ここで、「限定受信方式識別」は、限定受信方式情報設定手段１３０で設定される限定受信方式識別と同様、限定受信方式およびバージョンごとに予め割り当てられた識別子である。このＣＡＴに設定された限定受信方式識別は、受信装置２において、ＣＡＴが受信装置２に実装された限定受信方式に対応するテーブル情報であるか否かを識別するために使用される。

また、「鍵情報の位置情報」は、限定受信方式情報設定手段１３０で設定される鍵情報の位置情報とは異なり、個別鍵情報（ＥＭＭ）を伝送するパケットを識別するパケット識別（ＰＩＤ）である。なお、受信装置２に外部のサーバから個別鍵情報（ＥＭＭ）を取得させる場合、個別鍵情報（ＥＭＭ）の位置情報は、当該サーバのネットワークアドレス（ＩＰアドレス）としてもよい。
この限定受信方式情報（限定受信方式識別、鍵情報の位置情報）は、外部（例えば、放送事業者）から入力される。

マッピング情報は、図４（ｃ）に示すように、記述子を識別する記述子タグと、記述子長と、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）と、第１プログラム識別（ＣＡ＿ｐｒｏｇ＿ＩＤ）と、第１ロード指示と、第２ロード指示フラグと、第２プログラム識別（ＣＡ＿ｐｒｏｇ＿ＩＤ）と、第２ロード指示と、除外プログラム識別数と、除外プログラム識別と、ロードセキュリティ情報長と、ロードセキュリティ情報と、を各項目としたデータで構成される。

ここで、「限定受信方式識別」は、限定受信方式情報設定手段１３０で設定される限定受信方式識別と同様、限定受信方式およびバージョンごとに予め割り当てられた識別子である。このＣＡＴに設定された限定受信方式識別は、受信装置２において、ＣＡＴが受信装置２に実装された限定受信方式に対応するテーブル情報であるか否かを識別するために使用される。

また、「第１プログラム識別」は、受信装置２に予め複数記憶された関連情報サブシステムプログラムＰを識別するための情報である。なお、第１プログラム識別は、図５（ａ）に示すように、プログラムごとに固有のＩＤと、プログラムのバージョンを特定する情報とから構成されている。

また、「第１ロード指示」は、受信装置２に記憶されている関連情報サブシステムプログラムＰのロード（起動）を指示するための情報である。つまり、第１ロード指示は、１以上のバージョンが存在する関連情報サブシステムプログラムＰの中から１つバージョンを選定するための情報である。この第１ロード指示は、後記する範囲指定情報とバージョン指定情報とを含んでいる。なお、範囲指定情報およびバージョン指定情報は、詳細を後記する。

また、「第２ロード指示フラグ」は、後記する第２ロード指示および第２プログラム識別が含まれているか否かを示す情報である。例えば、第２ロード指示フラグは、“０”の場合、第２ロード指示が無いことを示し、“１”の場合、第２ロード指示が有ることを示す。

また、「第２プログラム識別」は、第１プログラム識別と同様、受信装置２に予め複数記憶された関連情報サブシステムプログラムＰを識別するための情報である。
また、「第２ロード指示」は、第１ロード指示と同様、受信装置２に記憶されている関連情報サブシステムプログラムＰのロード（起動）を指示するための情報である。
なお、第２プログラム識別および第２ロード指示は、第２ロード指示フラグが“０”の場合、その値が設定されない。また、第２ロード指示フラグが“０”の場合、第２プログラム識別および第２ロード指示の項目自体を削除してもよい。

また、「除外プログラム識別数」は、後続する除外プログラム識別の項目に記述されたプログラム識別の数を表す情報である。
また、「除外プログラム識別」は、受信装置２で起動させない関連情報サブシステムプログラムＰのプログラム識別が１以上記述された情報である。

また、「ロードセキュリティ情報長」は、後続するロードセキュリティ情報の項目に記述されたデータのバイト長を表す情報である。
また、「ロードセキュリティ情報」は、関連情報サブシステムプログラムＰの改竄を検出するための情報である。例えば、ロードセキュリティ情報は、受信装置２に記憶されている関連情報サブシステムプログラムＰのハッシュデータである。このハッシュデータは、プログラム識別とハッシュ値とを対としたデータである。このハッシュ値は、関連情報サブシステムプログラムＰを、予め受信装置２で既知のハッシュ関数（ＳＨＡ２５６等）によって演算した値である。

なお、ロードセキュリティ情報は、このハッシュデータを取得できる参照情報（例えば、ハッシュデータを格納したハッシュサーバのＵＲＬやＩＰアドレス）であってもよい。
また、ロードセキュリティ情報は、それぞれの受信装置２において、異なる関連情報サブシステムプログラムＰがロード対象となる場合、少なくともロード対象となるプログラム識別ごとにハッシュデータが設定される。

第１ロード指示は、図５（ｂ）に示すように、範囲指定情報と、バージョン指定情報とが含まれる。例えば、第１ロード指示は、７ビットの情報である。
なお、図５（ｂ）の範囲指定情報は、４ビット目から６ビットまでが予約領域（reserved future use）であることを示す。

ここで、「範囲指定情報」は、第１プログラム識別が単独指定または範囲指定であるかを示す３ビットの情報である。
例えば、範囲指定情報は、“００１”の場合、第１プログラム識別に含まれるバージョン以上（以降）の関連情報サブシステムプログラムＰをロード対象とすることを示す。
また、範囲指定情報は、“０１０”の場合、第１プログラム識別に含まれるバージョン以下（以内）の関連情報サブシステムプログラムＰをロード対象とすることを示す。
また、範囲指定情報は、“０１１”の場合、第１プログラム識別に含まれるバージョンのみの関連情報サブシステムプログラムＰをロード対象とすることを示す。
つまり、範囲指定情報は、“００１”または“０１０”の場合に範囲指定となり、“０１１”の場合に単独指定となる。

また、「バージョン指定情報」は、範囲指定情報が範囲指定の場合、最旧（最小）バージョンまたは最新（最大）バージョンの選定を示す１ビットの情報である。
例えば、バージョン指定情報は、“０”の場合、範囲指定情報で指定されるロード対象範囲の中で、最新バージョンの関連情報サブシステムプログラムＰをロード対象とすることを示す。
また、バージョン指定情報は、“１”の場合、範囲指定情報で指定されるロード対象範囲の中で、最旧バージョンの関連情報サブシステムプログラムＰをロード対象とすることを示す。

なお、第２ロード指示は、バージョン指定情報が第１ロード指示と矛盾することを防止するため、バージョン指定情報が設定されず、範囲指定情報のみ設定される。
また、マッピング情報（限定受信方式識別、第１プログラム識別、第１ロード指示、第２ロード指示フラグ、第２プログラム識別、第２ロード指示、除外プログラム識別数、除外プログラム識別、ロードセキュリティ情報長、ロードセキュリティ情報）は、外部（例えば、放送事業者）から入力される。
また、ここでは、図３〜図５に示したように、ＡＲＩＢのＳＴＤ−Ｂ１０に準拠して、ＭＰＥＧ−２ ＴＳの記述子形式でテーブル情報（ＰＭＴ、ＣＡＴ）を構成した例を示した。しかし、ＰＭＴやＣＡＴは、必ずしも記述子形式で記述する必要はなく、例えば、ＩＰプロトコルのセッション記述プロトコル（ＳＤＰ：Session Description Protocol１）形式、ＭＭＴ（MPEG Media Transport）で規定される制御メッセージ形式として記述しても構わない。
また、前記した共通鍵情報や個別鍵情報についても、ＥＣＭやＥＭＭのデータ形式とする必要はなく、ＩＰプロトコルのセッション記述プロトコル形式、ＭＭＴで規定される制御メッセージ形式としても構わない。

＜マッピング情報とロード対象範囲との関係＞
図６を参照し、マッピング情報の設定内容と、ロード対象になる関連情報サブシステムプログラムＰのバージョンとの関係について、３つの具体例を説明する。
ここで、受信装置２には、“１．０”、“１．５”、“２．０”および“３．０”という４つのバージョンの関連情報サブシステムプログラムＰが記憶されていることとする。つまり、各関連情報サブシステムプログラムＰは、識別子が同一（例えば、“Ａ”）であり、バージョンが異なっている。

第１例では、第１プログラム識別には、識別子＝“Ａ”、バージョン＝“１．５”が設定される。また、第１ロード指示の範囲指定情報には、“００１（以上）”が設定される。そして、第１ロード指示のバージョン指定情報には、“０（最新）”が設定される。さらに、除外プログラム識別には、識別子＝“Ａ”、バージョン＝“２．０”が設定される。

この場合、図６（ａ）に示すように、バージョン“１．５”以上がロード対象範囲となり（ハッチング部分参照）、バージョン“１．０”がロード対象範囲外となる。さらに、ロード対象範囲のバージョン“１．５”，“２．０”および“３．０”のうち、バージョン“２．０”がロード対象範囲から除外され、最新バージョン“３．０”の関連情報サブシステムプログラムＰが選定される。

なお、図６（ａ）において、マッピング情報の除外プログラム識別に、バージョン＝“２．０”ではなく、バージョン＝“３．０”が設定された場合を考える。この場合、関連情報サブシステムプログラムＰは、ロード対象範囲のバージョン“１．５”，“２．０”および“３．０”のうち、バージョン“３．０”がロード対象範囲から除外されるので、最新バージョン“２．０”の関連情報サブシステムプログラムＰが選定される（不図示）。

第２例では、第１プログラム識別には、識別子＝“Ａ”、バージョン＝“１．５”が設定される。また、第１ロード指示の範囲指定情報には、 “００１（以上）”が設定される。第１ロード指示のバージョン指定情報には、“０（最新）”が設定される。
第２ロード指示フラグには、“１（有り）”が設定される。また、第２プログラム識別には、識別子＝“Ａ”、バージョン＝“２．０”が設定される。そして、第２ロード指示の範囲指定情報には、“０１０（以下）”が設定される。

この場合、図６（ｂ）に示すように、バージョン“１．５”以上が第１ロード対象範囲となり、バージョン“２．０”以下が第２ロード対象範囲となる。ここで、第１ロード対象範囲および第２ロード対象範囲が重複するため、これらのＡＮＤ条件により、最終的なロード対象範囲を求める。つまり、第１ロード対象範囲および第２ロード対象範囲の両方に含まれるバージョン“１．５”以上“２．０”以下が、最終的なロード対象範囲となる（ハッチング部分参照）。一方、バージョン“１．０”および“３．０”がロード対象範囲外となる。そして、最終的なロード対象範囲のうち、最新バージョン“２．０”の関連情報サブシステムプログラムＰが選定される。

なお、第１ロード対象範囲とは、第１プログラム識別および第１ロード指示の範囲指定情報から求まるロード対象範囲である。
また、第２ロード対象範囲とは、第２プログラム識別および第２ロード指示の範囲指定情報から求まるロード対象範囲である。

第３例では、第１プログラム識別には、識別子＝“Ａ”、バージョン＝“２．０”が設定される。また、第１ロード指示の範囲指定情報には、“００１（以上）”が設定される。第１ロード指示のバージョン指定情報には、“０（最新）”が設定される。
第２ロード指示フラグには、“１（有り）”が設定される。また、第２プログラム識別には、識別子＝“Ａ”、バージョン＝“１．０”が設定される。そして、第２ロード指示の範囲指定情報には、“０１０（以下）”が設定される。

この場合、図６（ｃ）に示すように、バージョン“３．０”以上が第１ロード対象範囲となり、バージョン“１．０”以下が第２ロード対象範囲となる。ここで、第１ロード対象範囲および第２ロード対象範囲が重複しないため、これらのＯＲ条件により、最終的なロード対象範囲を求める。つまり、第１ロード対象範囲または第２ロード対象範囲のどちらかに含まれるバージョン“１．０”以下または“２．０”以上が、最終的なロード対象範囲となる（ハッチング部分参照）。一方、バージョン“１．５”がロード対象範囲外となる。そして、最終的なロード対象範囲のうち、最新バージョン“３．０”の関連情報サブシステムプログラムＰが選定される。
図２に戻って、送信装置１の構成について説明を続ける。

多重化手段１５は、スクランブル手段１０でスクランブルされたスクランブルコンテンツＳＣに、ＥＣＭ生成手段１１で生成されたＥＣＭと、ＥＭＭ生成手段１２で生成されたＥＭＭと、ＰＭＴ生成手段１３で生成されたＰＭＴと、ＣＡＴ生成手段で生成されたＣＡＴとを、生成されたタイミングで逐次多重化するものである。
この多重化手段１５は、多重化した放送ストリーム（例えば、ＭＰＥＧ２ ＴＳ）を、図示を省略した送信変調装置を介して、放送波Ｗとして、受信装置２に送信する。

以上説明したように送信装置１を構成することで、送信装置１は、限定受信方式ごとに、受信装置２で動作させる関連情報サブシステムプログラムＰのバージョンを選定して動作させることができる。

［受信装置の構成］
次に、図７を参照（適宜図１参照）して、本発明の第１実施形態に係る受信装置２の構成について説明する。
受信装置２は、コンテンツＣをスクランブルするスクランブル鍵Ｋｓの関連情報として、関連情報サブシステムプログラムＰのバージョンごとに、受信装置２共通の鍵情報と受信装置２個別の鍵情報とを用いる限定受信方式により、送信装置１で放送ストリームに多重化されたスクランブルコンテンツＳＣを限定受信するものである。
ここでは、受信装置２は、選局・復調手段２０と、多重分離手段２１と、ＰＭＴ解析手段２２と、ＣＡＴ解析手段２３と、鍵情報取得手段２４と、プログラム選定手段２５と、限定受信制御手段２６と、デスクランブル手段２７と、を備える。

選局・復調手段２０は、放送波Ｗ（放送信号）から、図示を省略したリモコン装置等を介して視聴者が選局した放送ストリームを復調するものである。この選局・復調手段２０は、復調した放送ストリーム（例えば、ＭＰＥＧ２ ＴＳ）を多重分離手段２１に出力する。さらに、選局・復調手段２０は、選局されたことを示す選局通知を、ＣＡＴ解析手段２３に出力する。

多重分離手段２１は、選局・復調手段２０で選局および復調された放送ストリームのパケットを分離するものである。
ここでは、多重分離手段２１は、放送ストリームに多重化されて伝送されてくるプログラムマップテーブル（ＰＭＴ）を分離して、ＰＭＴ解析手段２２に出力する。また、多重分離手段２１は、放送ストリームに多重化されて伝送されてくる限定受信テーブル（ＣＡＴ）を分離して、ＣＡＴ解析手段２３に出力する。

また、多重分離手段２１は、放送ストリームに多重化されて伝送されてくる共通鍵情報（ＥＣＭ）および個別鍵情報（ＥＭＭ）を分離して、鍵情報取得手段２４に出力する。
さらに、多重分離手段２１は、放送ストリームに多重化されて伝送されてくる放送番組であるスクランブルコンテンツ（映像、音声等）ＳＣを分離して、デスクランブル手段２７に出力する。

ＰＭＴ解析手段２２は、多重分離手段２１で分離されたプログラムマップテーブル（ＰＭＴ）を解析するものである。ここでは、ＰＭＴ解析手段２２は、限定受信方式情報解析手段２２０を備える。
なお、このＰＭＴ解析手段２２は、限定受信方式情報以外にも、例えば、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されている放送番組を構成する種々の符号化信号を伝送するパケットの位置情報（ＰＩＤ）を解析して抽出することができるが、本発明においては直接関係がないため、図示とその説明を省略する。

限定受信方式情報解析手段（第２の限定受信方式情報解析手段）２２０は、ＰＭＴに設定されているバージョンごとの限定受信方式情報のうち、プログラム選定手段２５で選定された関連情報サブシステムプログラムＰに対応した限定受信方式情報から、受信装置２共通の鍵情報の位置情報を抽出するものである。
ここでは、限定受信方式情報解析手段２２０は、ＣＡＴ解析手段２３のマッピング情報解析手段２３１から限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）が通知され、通知された限定受信方式識別が含まれる限定受信方式情報をＰＭＴから抽出する。
そして、限定受信方式情報解析手段２２０は、抽出した限定受信方式情報に含まれる共通鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）を鍵情報取得手段２４に出力する。

ＣＡＴ解析手段２３は、多重分離手段２１で分離された限定受信テーブル（ＣＡＴ）を解析するものである。ここでは、ＣＡＴ解析手段２３は、限定受信方式情報解析手段２３０と、マッピング情報解析手段２３１と、を備える。
なお、このＣＡＴ解析手段２３は、限定受信方式情報、マッピング情報以外にも、例えば、ＡＲＩＢのＳＴＤ−Ｂ１０で規定されている限定受信放送の種々の関連情報を伝送するパケットの位置情報（ＰＩＤ）を解析して抽出することができるが、本発明においては直接関係がないため、図示とその説明を省略する。

限定受信方式情報解析手段（第１の限定受信方式情報解析手段）２３０は、ＣＡＴに設定されているバージョンごとの限定受信方式情報のうち、プログラム選定手段２５で選定された関連情報サブシステムプログラムＰに対応した限定受信方式情報から、受信装置２個別の鍵情報の位置情報を抽出するものである。
ここでは、限定受信方式情報解析手段２３０は、ＣＡＴ解析手段２３のマッピング情報解析手段２３１から限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）が通知され、通知された限定受信方式識別が含まれる限定受信方式情報をＣＡＴから抽出する。
そして、限定受信方式情報解析手段２３０は、抽出した限定受信方式情報に含まれる個別鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）を鍵情報取得手段２４に出力する。

マッピング情報解析手段２３１は、ＣＡＴに設定されているマッピング情報から、第１プログラム識別および第１ロード指示を抽出するものである。
ここでは、マッピング情報解析手段２３１は、選局・復調手段２０から選局通知が入力された場合、マッピング情報から第１プログラム識別および第１ロード指示を抽出する。
そして、マッピング情報解析手段２３１は、抽出した第１プログラム識別および第１ロード指示をプログラム選定手段２５に出力する。

なお、マッピング情報解析手段２３１は、マッピング情報に、第２ロード指示フラグ、第２プログラム識別、除外プログラム識別数、除外プログラム識別、ロードセキュリティ情報長およびロードセキュリティ情報が含まれていれば、第１プログラム識別および第１ロード指示に加えて、これらの情報も抽出する。

ここで、前記したプログラム選定手段２５が関連情報サブシステムプログラムＰを１つ選定できた場合、マッピング情報に記述された限定受信方式識別が、選定した関連情報サブシステムプログラムＰに対応している。
従って、マッピング情報解析手段２３１は、ロード指示手段２５２からプログラム識別が入力された場合、ＣＡＴに記述されたマッピング情報から、そのまま限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）を抽出する。そして、マッピング情報解析手段２３１は、抽出した限定受信方式識別を、限定受信方式情報解析手段２２０および限定受信方式情報解析手段２３０に通知する。

鍵情報取得手段２４は、ＰＭＴ解析手段２２の限定受信方式情報解析手段２２０で抽出された共通鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）に基づいて共通鍵情報（ＥＣＭ）を取得し、ＣＡＴ解析手段２３の限定受信方式情報解析手段２３０で抽出された個別鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）に基づいて個別鍵情報（ＥＭＭ）を取得するものである。

ここでは、鍵情報取得手段２４は、多重分離手段２１で分離されたＥＣＭから、限定受信方式情報解析手段２２０で抽出された共通鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）と同じパケット識別のパケットを抽出することで、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応したＥＣＭを取得する。
また、鍵情報取得手段２４は、多重分離手段２１で分離されたＥＭＭから、限定受信方式情報解析手段２３０で抽出された個別鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）と同じパケット識別のパケットを抽出することで、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応したＥＭＭを取得する。

すなわち、鍵情報取得手段２４は、多重分離手段２１で分離されたＥＣＭおよびＥＭＭのうちで、ＰＭＴの限定受信方式情報に記載されている鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）と同じ値のパケットと、ＣＡＴの限定受信方式情報に記載されている鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）と同じ値のパケットと、を通過させるＰＩＤフィルタとして機能する。
この鍵情報取得手段２４は、取得したＥＣＭおよびＥＭＭを限定受信制御手段２６に出力する。

なお、鍵情報取得手段２４は、ＣＡＴの限定受信方式情報に記載されている鍵情報の位置情報が、外部のサーバ（不図示）のネットワークアドレス（ＩＰアドレス等）である場合、当該アドレスから、通信制御手段（不図示）を介して、鍵情報を取得することとする。

プログラム選定手段２５は、ＣＡＴ解析手段２３のマッピング情報解析手段２３１で抽出された第１プログラム識別、…、ロードセキュリティ情報により、限定受信制御手段２６に記憶されている関連情報サブシステムプログラムＰの１つを選定し、限定受信制御手段２６に対して、当該プログラムの起動を指示するものである。
ここでは、プログラム選定手段２５は、プログラム識別取得手段２５０と、ロード指示判定手段２５１と、ロード指示手段２５２と、を備える。

プログラム識別取得手段２５０は、限定受信制御手段２６から、限定受信制御手段２６に予め記憶されている関連情報サブシステムプログラムＰのプログラム識別のリストを取得するものである。ここでは、プログラム識別取得手段２５０は、限定受信制御手段２６のプログラム識別通知手段２６１を介して、プログラム識別のリストを取得する。
これによって、プログラム選定手段２５は、限定受信制御手段２６に予め記憶されている関連情報サブシステムプログラムＰを認識することができる。
このプログラム識別取得手段２５０は、取得したプログラム識別のリストをロード指示判定手段２５１に出力する。

ロード指示判定手段２５１は、プログラム識別取得手段２５０で取得した１以上のプログラム識別に対して、ＣＡＴ解析手段２３で抽出された第１ロード指示、…、ロードセキュリティ情報に適合するか否かを判定するものである。
そして、ロード指示判定手段２５１は、規則に適合するプログラム識別を１つ決定し、ロード指示手段２５２に、当該プログラム識別を出力する。なお、ロード指示判定手段２５１によるプログラム識別の決定手法は、その詳細を後記する（図１０）。

ロード指示手段２５２は、限定受信制御手段２６に対して、ロード指示判定手段２５１で決定されたプログラム識別に対応する関連情報サブシステムプログラムＰを起動（ロード）する旨を指示するものである。
なお、このとき、ロード指示手段２５２は、ロード指示判定手段２５１で決定されたプログラム識別をマッピング情報解析手段２３１に出力する。
また、ロード指示手段２５２は、ロード対象となるプログラム識別とともに、ＣＡＴ解析手段２３で抽出されたロードセキュリティ情報のうち、当該プログラム識別に対応するロードセキュリティ情報（図４（ｃ）参照）を、限定受信制御手段２６に出力する。

限定受信制御手段２６は、鍵情報取得手段２４で取得された鍵情報（ＥＣＭ，ＥＭＭ）によって、スクランブル鍵Ｋｓを生成するものである。
なお、この限定受信制御手段２６は、鍵情報を用いてスクランブル鍵Ｋｓを生成する関連情報サブシステムプログラムＰを実装した耐タンパ性を有するモジュールである。

ここでは、限定受信制御手段２６は、プログラム記憶手段２６０と、プログラム識別通知手段２６１と、ロード手段２６２と、改竄検出手段２６３と、鍵記憶手段２６４と、ワークメモリ２６５と、を備える。

プログラム記憶手段２６０は、関連情報サブシステムプログラムＰを記憶するものである。この関連情報サブシステムプログラムＰは、固有のプログラム識別（ＣＡ＿ｐｒｏｇ＿ＩＤ）を有し、個々の関連情報サブシステムプログラムＰ１，Ｐ２，…のような種類およびそのバージョンが識別される。
なお、プログラム識別は、関連情報サブシステムプログラムＰとは別のデータで、関連情報サブシステムプログラムＰと対応付けたものであってもよいし、関連情報サブシステムプログラムＰの内部（例えば、先頭の所定バイト数）に埋め込まれた情報であってもよい。

また、プログラム記憶手段２６０には、予め関連情報サブシステムプログラムＰを記憶しておくこととしてもよいし、メモリカード等の記憶媒体から、別途読み込み手段（不図示）を介して、関連情報サブシステムプログラムＰを追加することとしてもよい。さらに、プログラム記憶手段２６０には、放送や通信ネットワークを介して、関連情報サブシステムプログラムＰをダウンロード（取得）してもよい。

ここで、図８を参照（適宜図６参照）して、関連情報サブシステムプログラムＰの構成について説明する。図８に示すように、関連情報サブシステムプログラムＰは、ＥＭＭ処理手段３０と、ＥＣＭ処理手段３１と、を備える。すなわち、関連情報サブシステムプログラムＰは、限定受信制御手段２６内の図示を省略したコンピュータを、ＥＭＭ処理手段３０、ＥＣＭ処理手段３１として機能させることで、関連情報サブシステムを実現するプログラムである。

ＥＭＭ処理手段３０は、鍵情報取得手段２４で取得された個別鍵情報（ＥＭＭ）を、鍵記憶手段２６４に記憶されているマスタ鍵Ｋｍで復号し、ワーク鍵Ｋｗを取得するものである。このＥＭＭ処理手段３０は、復号したワーク鍵Ｋｗを、ＥＣＭ処理手段３１に出力する。

ＥＣＭ処理手段３１は、鍵情報取得手段２４で取得された共通鍵情報（ＥＣＭ）を、ＥＭＭ処理手段３０で復号されたワーク鍵Ｋｗで復号し、スクランブル鍵Ｋｓを取得するものである。このＥＣＭ処理手段３１は、復号したスクランブル鍵Ｋｓを、デスクランブル手段２７に出力する。
これによって、関連情報サブシステムプログラムＰは、鍵情報（ＥＣＭ，ＥＭＭ）から、スクランブル鍵Ｋｓを生成することができる。

なお、個々の関連情報サブシステムプログラムＰ１，Ｐ２，…は、例えば、ＥＭＭ処理手段３０、ＥＣＭ処理手段３１において異なる鍵長を用いたり、番組に対する課金、チャンネルに対する課金等の異なる課金方式を用いたりすることで、セキュリティ強度や課金方式の異なるプログラムとすることができる。
図７に戻って、受信装置２の構成について説明を続ける。

プログラム識別通知手段２６１は、プログラム識別の取得要求に応じて、プログラム記憶手段２６０に記憶されている関連情報サブシステムプログラムＰ１，Ｐ２，…のプログラム識別のリストを通知するものである。ここでは、プログラム識別通知手段２６１は、プログラム選定手段２５から、プログラム識別のリストの取得要求を受け付け、プログラム識別のリストをプログラム選定手段２５に通知する。

ロード手段２６２は、プログラム選定手段２５で選定されたプログラム識別に対応する関連情報サブシステムプログラムＰを、プログラム記憶手段２６０から読み出して、ワークメモリ２６５に展開（ロード）し、当該プログラムを起動させるものである。
なお、ここでは、ロード手段２６２は、選定されたプログラム識別に対応する関連情報サブシステムプログラムＰが改竄されていない場合のみ、ワークメモリ２６５に展開することとする。

すなわち、ロード手段２６２は、関連情報サブシステムプログラムＰをワークメモリ２６５に展開する前に、プログラム選定手段２５から通知されたプログラム識別およびロードセキュリティ情報を、改竄検出手段２６３に通知し、プログラム識別に対応する関連情報サブシステムプログラムＰが改竄されていないかを検査させる。そして、ロード手段２６２は、検査結果として、改竄が行われていない旨を通知された場合だけ、関連情報サブシステムプログラムＰをワークメモリ２６５に展開し、起動させる。

改竄検出手段２６３は、プログラム記憶手段２６０に記憶され、ロード対象となる関連情報サブシステムプログラムＰの改竄を検出するものである。
ここでは、改竄検出手段２６３は、ロード手段２６２から、ロード対象となる関連情報サブシステムプログラムＰのプログラム識別とロードセキュリティ情報とを入力し、そのプログラム識別で指定された関連情報サブシステムプログラムＰに対して、ハッシュ関数（ＳＨＡ２５６等）によってハッシュ値を演算する。

ここで、ロードセキュリティ情報にハッシュデータが格納されている場合、改竄検出手段２６３は、演算結果のハッシュ値と、ロードセキュリティ情報のハッシュデータが示すハッシュ値とを比較する。そして、改竄検出手段２６３は、ハッシュ値が同じであれば関連情報サブシステムプログラムＰが改竄されていないことを示す検査結果を生成し、ハッシュ値が異なれば関連情報サブシステムプログラムＰが改竄されていることを示す検査結果を生成して、ロード手段２６２に出力する。

なお、改竄検出手段２６３は、ロードセキュリティ情報に参照情報が格納されている場合、図示を省略したハッシュデータ取得手段に参照情報を出力する。すると、ハッシュデータ取得手段は、参照情報が示すハッシュデータサーバからハッシュデータを取得し、取得したハッシュデータを改竄検出手段２６３に出力する。以後の改竄検出手順は、ロードセキュリティ情報にハッシュデータが格納されている場合と同様のため、説明を省略する。

鍵記憶手段２６４は、受信装置２個別のマスタ鍵Ｋｍを記憶するもので、半導体メモリ等の一般的な記憶媒体である。なお、当該受信装置２の限定受信方式の管理単位が受信機メーカや受信機機種といったデバイス単位である場合、デバイス鍵を記憶しておく。

ワークメモリ２６５は、関連情報サブシステムプログラムＰを展開してコンピュータ（ＣＰＵ〔Central Processing Unit〕）を動作させるための記憶装置である。このワークメモリ２６５は、ＲＡＭ（Random Access Memory）等の一般的なメモリで構成される。
ここでは、ロード手段２６２によって、ワークメモリ２６５に関連情報サブシステムプログラムＰが展開された後、図示を省略したＣＰＵによって、当該プログラムが実行されることで、限定受信制御手段２６において、関連情報サブシステムが動作する。

デスクランブル手段２７は、多重分離手段２１で分離された、スクランブルされたコンテンツ（映像、音声等）ＳＣのパケットを、限定受信制御手段２６で生成されたスクランブル鍵Ｋｓでデスクランブル（復号）するものである。このデスクランブル手段２７で復号されたコンテンツＣは、図示を省略した表示装置等に出力され、視聴者が視聴可能なデータにデコードされて表示される。

以上説明したように受信装置２を構成することで、受信装置２は、送信装置１からの指示によって、同じ限定受信方式で、関連情報サブシステムプログラムＰのバージョンを任意に切り替えることができる。

［限定受信システムの動作］
次に、限定受信システムＳの動作について説明する。ここでは、図９，図１０を用いて、本発明の特徴となる関連情報サブシステムの切り替え動作について説明し、図１１を用いて、関連情報サブシステムによる限定受信動作について説明する。

〔関連情報サブシステムの切り替え動作〕
最初に、図９を参照（構成については、適宜図１，図２，図７参照）して、限定受信システムＳにおける関連情報サブシステムの切り替え動作について説明する。

まず、送信装置１は、ＣＡＴ生成手段１４のマッピング情報設定手段１４１によって、マッピング情報をＣＡＴに設定する（ステップＳ１０）。
具体的には、マッピング情報設定手段１４１が、外部から、限定受信方式識別、…、ロードセキュリティ情報を入力し、ＣＡＴに設定する（図４参照）。

そして、送信装置１は、多重化手段１５によって、ステップＳ１０で生成されたＣＡＴを、放送ストリームに多重化する。この放送ストリームは、図示を省略した送信変調装置を介して、受信装置２に送信される（ステップＳ１１）。

一方、受信装置２は、選局・復調手段２０によって、選局された放送ストリームを復調し（ステップとして図示せず）、多重分離手段２１によって、放送ストリームから、ＣＡＴを分離する（ステップＳ１２）。

受信装置２は、ＣＡＴ解析手段２３のマッピング情報解析手段２３１によって、選局・復調手段２０から選局通知が入力されたか否かにより、選局の有無を判定する（ステップＳ１３）。

選局有の場合（ステップＳ１３でＹｅｓ）、受信装置２は、マッピング情報解析手段２３１によって、ＣＡＴからマッピング情報（第１プログラム識別、…、ロードセキュリティ情報）を抽出する（ステップＳ１４）。

受信装置２は、プログラム選定手段２５によって、ステップＳ１４で抽出されたマッピング情報に基づいて、限定受信制御手段２６のプログラム記憶手段２６０に記憶されている関連情報サブシステムプログラムＰの１つを選定するプログラム選定処理を行（ステップＳ１５）。

受信装置２は、プログラム選定手段２５のロード指示判定手段２５１によって、プログラム選定処理でのエラーの有無を判定する（ステップＳ１６）。
プログラム選定処理でエラー無の場合（ステップＳ１６でＹｅｓ）、受信装置２は、ロード指示手段２５２によって、ステップＳ１５で選定したプログラム識別をマッピング情報解析手段２３１に出力する。
受信装置２は、マッピング情報解析手段２３１によって、マッピング情報から限定受信方式識別を抽出する（ステップＳ１７）。

受信装置２は、ロード指示手段２５２によって、ステップＳ１５で選定したプログラム識別と、当該プログラム識別に対応した、ステップＳ１４で抽出したマッピング情報のロードセキュリティ情報を、限定受信制御手段２６に通知する（ステップＳ１８）。

その後、受信装置２は、限定受信制御手段２６の改竄検出手段２６３によって、ステップＳ１８で通知されたプログラム識別に対応する関連情報サブシステムプログラムＰに対して、ハッシュ値を演算する（ステップＳ１９）。

受信装置２は、改竄検出手段２６３によって、ステップＳ１８で通知されたロードセキュリティ情報のハッシュ値と、ステップＳ１９で演算したハッシュ値とが一致するか否かにより、改竄の有無を検出する（ステップＳ２０）。

改竄無の場合（ステップＳ２０でＹｅｓ）、受信装置２は、ロード手段２６２によって、ステップＳ１５で選定されたプログラム識別に対応する関連情報サブシステムプログラムＰをプログラム記憶手段２６０から読み出して、ワークメモリ２６５に展開（ロード）し、当該プログラムを起動させる（ステップＳ２１）。

選局無の場合（ステップＳ１３でＮｏ）、エラー有の場合（ステップＳ１６でＮｏ）、または、改竄有の場合（ステップＳ２０でＮｏ）、受信装置２は、指定された関連情報サブシステムプログラムＰのロード、起動を行わずに処理を終了する。
なお、ステップＳ１６，Ｓ２０でＮｏの場合、限定受信制御手段２６は、プログラム選定手段２５にその旨を通知し、プログラム選定手段２５が、エラーメッセージを画面上に表示することとしてもよい（ステップＳ２２）。

以上の動作によって、限定受信システムＳは、送信装置１からの指示によって、受信装置２において動作する関連情報サブシステムプログラムＰを切り替えることができる。
これによって、限定受信システムＳは、限定受信方式識別ごとに、セキュリティ強度や機能の異なる関連情報サブシステムプログラムＰを柔軟に指定することができ、放送事業者のビジネスモデルに応じて、きめ細かく関連情報サブシステムプログラムＰを切り替えることができる。

また、限定受信システムＳは、受信装置２で所持する関連情報サブシステムプログラムＰが、受信装置２ごとに異なる場合であっても、関連情報サブシステムプログラムＰを適切に切り替えることができ、放送システム全体のセキュリティ強度を最新限に高めながら放送サービスを運用することができる。

〔プログラム選定処理〕
次に、図１０を参照（構成については、適宜図１，図２，図７参照）して、図９のプログラム選定処理について説明する。

具体的には、受信装置２は、プログラム識別取得手段２５０によって、プログラム識別通知手段２６１を介して、プログラム記憶手段２６０に記憶されている関連情報サブシステムプログラムＰ１，Ｐ２，…のプログラム識別をリストとして取得する（ステップＳ１５０）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第１ロード指示の範囲指定情報を取得する（ステップＳ１５１）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第１プログラム識別と、ステップＳ１５１で取得した第１ロード指示の範囲指定情報とに基づいて、第１ロード対象範囲を決定する。
つまり、ロード指示判定手段２５１は、第１プログラム識別のバージョンのみをロード対象、そのバージョン以上をロード対象、または、そのバージョン以下をロード対象というように、第１ロード対象範囲を決定する（ステップＳ１５２）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第２ロード指示フラグに基づいて、第２ロード指示の有無を判定する（ステップＳ１５３）。
なお、第２ロード指示無の場合（ステップＳ１５３でＮｏ）、ステップＳ１５２で決定した第１ロード対象範囲が、最終的なロード対象範囲となる。

第２ロード指示有の場合（ステップＳ１５３でＹｅｓ）、受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第２ロード指示の範囲指定情報を取得する（ステップＳ１５４）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第２プログラム識別と、ステップＳ１５４で取得した第２ロード指示の範囲指定情報とに基づいて、第２ロード対象範囲を決定する。
つまり、ロード指示判定手段２５１は、第２プログラム識別のバージョンのみをロード対象、そのバージョン以上をロード対象、または、そのバージョン以下をロード対象というように、第２ロード対象範囲を決定する（ステップＳ１５５）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１５２で決定した第１ロード対象範囲と、ステップＳ１５５で決定した第２ロード対象範囲とのＡＮＤまたはＯＲにより、最終的なロード対象範囲を決定する。
ここで、第１ロード対象範囲および第２ロード対象範囲が重複する場合、ロード指示判定手段２５１は、これらのＡＮＤ条件により、最終的なロード対象範囲を求める。
一方、第１ロード対象範囲および第２ロード対象範囲が重複しない場合、ロード指示判定手段２５１は、これらのＯＲ条件により、最終的なロード対象範囲を求める（ステップＳ１５６）。

受信装置２は、ロード指示判定手段２５１によって、ステップＳ１５０で取得したプログラム識別のリストから、最終的なロード対象範囲に含まれるプログラム識別（ロード対象プログラム識別）を１以上抽出する（ステップＳ１５７）。
受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した除外プログラム識別数が“０”であるか否かによって、除外プログラム識別の有無を判定する（ステップＳ１５８）。

除外プログラム識別有の場合（ステップＳ１５８でＹｅｓ）、受信装置２は、ロード指示判定手段２５１によって、ステップＳ１５７で抽出されたロード対象プログラム識別から、ステップＳ１４で抽出した除外プログラム識別に含まれるものを除外する。
つまり、ロード指示判定手段２５１は、除外プログラム識別に含まれる関連情報サブシステムプログラムＰを、最終的なロード対象範囲から除外する（ステップＳ１５９）。

受信装置２は、ロード指示判定手段２５１によって、最終的なロード対象範囲に含まれるプログラム識別の数を判定する（ステップＳ１６０）。
プログラム識別の数が“０”の場合（ステップＳ１６０で“０”）、受信装置２は、ロード指示判定手段２５１によって、関連情報サブシステムプログラムＰをロードできないため、エラーをリターンする（ステップＳ１６１）。

プログラム識別の数が“１”の場合（ステップＳ１６０で“１”）、受信装置２は、ロード指示判定手段２５１によって、そのプログラム識別をリターンする（ステップＳ１６２）。

プログラム識別の数が“２”以上の場合（ステップＳ１６０で“２以上”）、受信装置２は、ロード指示判定手段２５１によって、ステップＳ１４で抽出した第１ロード指示のバージョン指定情報を取得する（ステップＳ１６３）。
受信装置２は、ロード指示判定手段２５１によって、ステップＳ１６３で取得したバージョン指定情報に基づいて、２以上のプログラム識別から、最旧（最小）バージョンまたは最新（最大）バージョンを表すプログラム識別を１つ選定し（ステップＳ１６４）、ステップＳ１６２の処理に戻る。

〔限定受信動作〕
次に、図１１を参照（構成については、適宜図１，図２，図７，図８参照）して、限定受信システムＳにおける関連情報サブシステムによる限定受信動作について説明する。

まず、送信装置１は、ＣＡＴ生成手段１４の限定受信方式情報設定手段１４０によって、限定受信方式情報をＣＡＴに設定する（ステップＳ３０）。
具体的には、限定受信方式情報設定手段１４０が、外部から、限定受信方式およびバージョンごとに予め割り当てられた「限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）」と、個別鍵情報（ＥＭＭ）を伝送するパケット識別等を示す「鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）」とを入力し、ＣＡＴに設定する（図４参照）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３０で生成されたＣＡＴを、放送ストリームに多重化する（ステップＳ３１）。

また、送信装置１は、ＰＭＴ生成手段１３の限定受信方式情報設定手段１３０によって、限定受信方式情報をＰＭＴに設定する（ステップＳ３２）。
具体的には、限定受信方式情報設定手段１３０が、外部から、限定受信方式およびバージョンごとに予め割り当てられた「限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）」と、共通鍵情報（ＥＣＭ）を伝送するパケット識別等を示す「鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）」とを入力し、ＰＭＴに設定する（図３参照）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３２で生成されたＰＭＴを、放送ストリームに多重化する（ステップＳ３３）。

また、送信装置１は、ＥＭＭ生成手段１２によって、外部から入力されたワーク鍵Ｋｗをマスタ鍵Ｋｍで暗号化し、暗号化したワーク鍵Ｋｗを含んだ受信装置２個別の鍵情報である個別鍵情報（ＥＭＭ）を生成する（ステップＳ３４）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３４で生成されたＥＭＭを、放送ストリームに多重化する（ステップＳ３５）。

また、送信装置１は、ＥＣＭ生成手段１１によって、外部から入力されたスクランブル鍵Ｋｓをワーク鍵Ｋｗで暗号化し、暗号化したスクランブル鍵Ｋｓを含んだ受信装置２共通の鍵情報である共通鍵情報（ＥＣＭ）を生成する（ステップＳ３６）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３６で生成されたＥＣＭを、放送ストリームに多重化する（ステップＳ３７）。

さらに、送信装置１は、スクランブル手段１０によって、外部から入力されたコンテンツＣをスクランブル鍵Ｋｓでスクランブルし、スクランブルコンテンツＳＣを生成する（ステップＳ３８）。
そして、送信装置１は、多重化手段１５によって、ステップＳ３８で生成されたスクランブルコンテンツＳＣを、放送ストリームに多重化する（ステップＳ３９）。

以上の動作によって、送信装置１は、スクランブルコンテンツＳＣを放送ストリームで送信するとともに、スクランブルコンテンツＳＣをデスクランブルするための鍵情報を放送ストリームに多重化して、送信することができる。
なお、ここでは、説明を簡単にするために、ＣＡＴ、ＰＭＴ、ＥＭＭ、ＥＣＭおよびコンテンツＣを、順次放送ストリームに多重化する流れで動作を説明した。しかし、これらの情報は、厳密には、個別のタイミングで放送ストリームに多重化される。

一方、受信装置２は、選局・復調手段２０によって、選局された放送ストリームを復調しつつ以下の動作を行う。
すなわち、受信装置２は、放送ストリームにＣＡＴが多重化されている場合、多重分離手段２１によって、放送ストリームから当該ＣＡＴを分離する（ステップＳ４０）。

そして、受信装置２は、ＣＡＴ解析手段２３の限定受信方式情報解析手段２３０によって、ステップＳ４０で分離されたＣＡＴに設定されている限定受信方式情報のうち、ステップＳ１７で抽出された限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）を有する限定受信方式情報から、受信装置２個別の鍵情報の位置情報（ＥＭＭ位置情報〔ＥＭＭ＿ＰＩＤ〕）を抽出する（ステップＳ４１）。

また、受信装置２は、放送ストリームにＰＭＴが多重化されている場合、多重分離手段２１によって、放送ストリームから当該ＰＭＴを分離する（ステップＳ４２）。
そして、受信装置２は、ＰＭＴ解析手段２２の限定受信方式情報解析手段２２０によって、ステップＳ４２で分離されたＰＭＴに設定されている限定受信方式情報のうち、ステップＳ１７で抽出された限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）を有する限定受信方式情報から、受信装置２共通の鍵情報の位置情報（ＥＣＭ位置情報〔ＥＣＭ＿ＰＩＤ〕）を抽出する（ステップＳ４３）。

また、受信装置２は、放送ストリームにＥＭＭが多重化されている場合、多重分離手段２１によって、放送ストリームから当該ＥＭＭを分離する。さらに、受信装置２は、鍵情報取得手段２４によって、分離したＥＭＭの中から、ステップＳ４３で抽出された位置情報であるＥＭＭ＿ＰＩＤのパケット識別を有するＥＭＭを抽出する（ステップＳ４４）。

そして、受信装置２は、限定受信制御手段２６のワークメモリ２６５に展開されて動作している関連情報サブシステムプログラムＰのＥＭＭ処理手段３０によって、ステップＳ４４で抽出したＥＭＭを、鍵記憶手段２６４に記憶されているマスタ鍵Ｋｍで復号することで、ワーク鍵Ｋｗを抽出する（ステップＳ４５）。

また、受信装置２は、放送ストリームにＥＣＭが多重化されている場合、多重分離手段２１によって、放送ストリームから当該ＥＣＭを分離する。さらに、受信装置２は、鍵情報取得手段２４によって、分離したＥＣＭの中から、ステップＳ４１で抽出された位置情報であるＥＣＭ＿ＰＩＤのパケット識別を有するＥＣＭを抽出する（ステップＳ４６）。

そして、受信装置２は、限定受信制御手段２６のワークメモリ２６５に展開されて動作している関連情報サブシステムプログラムＰのＥＣＭ処理手段３１によって、ステップＳ４６で抽出したＥＣＭを、ステップＳ４５で抽出したワーク鍵Ｋｗで復号することで、スクランブル鍵Ｋｓを抽出する（ステップＳ４７）。

また、受信装置２は、多重分離手段２１によって、放送ストリームに多重化されているスクランブルコンテンツＳＣを分離する（ステップＳ４８）。
そして、受信装置２は、デスクランブル手段２７によって、ステップＳ４８で分離したスクランブルコンテンツＳＣを、ステップＳ４７で抽出したスクランブル鍵Ｋｓでデスクランブル（復号）する（ステップＳ４９）。

以上のように、受信装置２は、新旧バージョンで別々のＥＣＭおよびＥＭＭのパケット識別を指定できるので、新旧バージョン用のＥＣＭおよびＥＭＭが記述可能となる。そして、受信装置２は、関連情報サブシステムプログラムＰに対応した限定受信方式識別を用いて、限定受信を行うことができる。

これによって、受信装置２は、関連情報サブシステムプログラムＰのバージョンを更新する際、関連情報サブシステムプログラムＰやＥＣＭおよびＥＭＭの互換性を考慮する必要がなくなる。さらに、受信装置２は、関連情報サブシステムプログラムＰを簡略化し、ＥＣＭおよびＥＭＭの互換性に起因した関連情報サブシステムプログラムＰの不具合を減少させることができる。

（第２実施形態）
［限定受信システムの概要］
以下、図１２を参照して、本発明の第２実施形態に係る限定受信システムＳＢの概略について、第１実施形態と異なる点を説明する。
限定受信システムＳＢは、マッピング情報をＣＡＴではなくプログラムマップテーブル（ＰＭＴ）に記載する点が、第１実施形態と異なる。

図１２のように、限定受信システムＳＢは、送信装置１Ｂと、受信装置２Ｂ，２Ｂ，…とを備える。そして、送信装置１Ｂは、マッピング情報をプログラムマップテーブル（ＰＭＴ）に記載して、放送ストリームに多重化して伝送する。さらに、受信装置２Ｂは、ＰＭＴを解析し、指定された関連情報サブシステムプログラムＰを選択して動作させる。

［送信装置の構成］
図１３を参照（適宜図１２参照）して、本発明の第２実施形態に係る送信装置１Ｂの構成について、第１実施形態と異なる点を説明する。
図１３のように、送信装置１Ｂは、スクランブル手段１０と、ＥＣＭ生成手段１１と、ＥＭＭ生成手段１２と、ＰＭＴ生成手段１３Ｂと、ＣＡＴ生成手段１４Ｂと、多重化手段１５とを備える。
なお、スクランブル手段１０、ＥＣＭ生成手段１１、ＥＭＭ生成手段１２および多重化手段１５は、第１実施形態と同様のため、説明を省略する。

ＰＭＴ生成手段１３Ｂは、プログラムマップテーブル（ＰＭＴ）を生成し、生成したＰＭＴを多重化手段１５に出力するものである。このＰＭＴ生成手段１３Ｂは、限定受信方式情報設定手段１３０と、マッピング情報設定手段１３１とを備える。
マッピング情報設定手段１３１は、限定受信方式に対応したマッピング情報をプログラムマップテーブル（ＰＭＴ）に設定するものである。
なお、限定受信方式情報設定手段１３０は、第１実施形態と同様のため、説明を省略する。

＜ＰＭＴのデータ構造＞
ここで、図１４を参照して、ＰＭＴ生成手段１３Ｂが生成するＰＭＴのデータ構造の例について説明する（適宜図１３参照）。

図１４（ａ）に示すように、ＰＭＴ生成手段１３Ｂは、ＰＭＴを他のテーブル情報と識別するためのテーブル識別等を含んだセクションヘッダと、各種の記述子を配置する記述子領域と、ＣＲＣ（チェックサム）とで構成されるテーブル情報を生成する。
この記述子領域には、限定受信方式情報設定手段１３０によって、限定受信方式情報（限定受信方式記述子）が設定される。また、記述子領域には、マッピング情報設定手段１３１によって、マッピング情報が設定される。
なお、限定受信方式情報およびマッピング情報のデータ構造は、第１実施形態と同様のため、説明を省略する。

図１３に戻って、送信装置１Ｂの構成について説明を続ける。
ＣＡＴ生成手段１４Ｂは、ＣＡＴを生成し、生成したＣＡＴを多重化手段１５に出力するものである。このＣＡＴ生成手段１４Ｂは、限定受信方式情報設定手段１４０を備える。

なお、図１５のように、ＣＡＴ生成手段１４Ｂが生成するＣＡＴは、マッピング情報が設定されない以外、第１実施形態と同様である。このため、ＣＡＴ生成手段１４ＢおよびＣＡＴのデータ構造の説明を省略する。

以上説明したように送信装置１Ｂを構成することで、送信装置１Ｂは、限定受信方式ごとに、受信装置２Ｂで動作させる関連情報サブシステムプログラムＰのバージョンを選定して動作させることができる。

［受信装置の構成］
図１６を参照（適宜図１２参照）して、本発明の第２実施形態に係る受信装置２Ｂの構成について、第１実施形態と異なる点を説明する。
図１６のように、受信装置２Ｂは、選局・復調手段２０と、多重分離手段２１と、ＰＭＴ解析手段２２Ｂと、ＣＡＴ解析手段２３Ｂと、鍵情報取得手段２４と、プログラム選定手段２５と、限定受信制御手段２６と、デスクランブル手段２７と、を備える。
なお、選局・復調手段２０、多重分離手段２１、鍵情報取得手段２４、プログラム選定手段２５、限定受信制御手段２６およびデスクランブル手段２７は、第１実施形態と同様のため、説明を省略する。

ＰＭＴ解析手段２２Ｂは、多重分離手段２１で分離されたプログラムマップテーブル（ＰＭＴ）を解析するものである。ここでは、ＰＭＴ解析手段２２Ｂは、限定受信方式情報解析手段２２０と、マッピング情報解析手段２２１とを備える。
なお、限定受信方式情報解析手段２２０は、第１実施形態と同様のため、説明を省略する。

マッピング情報解析手段２２１は、ＰＭＴに設定されているマッピング情報から、当該受信装置２Ｂに予め設定されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）に対応する第１プログラム識別および第１ロード指示を抽出するものである。
そして、マッピング情報解析手段２２１は、抽出した第１プログラム識別および第１ロード指示をプログラム選定手段２５に出力する。
なお、マッピング情報解析手段２２１の処理は、第１実施形態（図７のマッピング情報解析手段２３１）と同様のため、説明を省略する。

ＣＡＴ解析手段２３Ｂは、多重分離手段２１で分離された限定受信テーブル（ＣＡＴ）を解析するものである。このＣＡＴ解析手段２３は、限定受信方式情報解析手段２３０を備える。
なお、ＣＡＴ解析手段２３Ｂは、ＣＡＴのマッピング情報から第１プログラム識別および第１ロード指示を抽出しない以外、第１実施形態と同様である。このため、ＣＡＴ解析手段２３Ｂの説明を省略する。

以上説明したように受信装置２Ｂを構成することで、受信装置２Ｂは、送信装置１Ｂからの指示によって、同じ限定受信方式で、関連情報サブシステムプログラムＰのバージョンを任意に切り替えることができる

〔関連情報サブシステムの切り替え動作〕
図１７を参照（構成については、適宜図１２，図１３，図１６参照）して、限定受信システムＳＢにおける関連情報サブシステムの切り替え動作について、第１実施形態と異なる点を説明する。

まず、送信装置１Ｂは、ＰＭＴ生成手段１３Ｂのマッピング情報設定手段１３１によって、マッピング情報をＰＭＴに設定する（ステップＳ１０Ｂ）。
具体的には、マッピング情報設定手段１３１が、外部から、限定受信方式識別、…、ロードセキュリティ情報を入力し、ＰＭＴに設定する（図１４参照）。

そして、送信装置１Ｂは、多重化手段１５によって、ステップＳ１０Ｂで生成されたＰＭＴを、放送ストリームに多重化する。この放送ストリームは、図示を省略した送信変調装置を介して、受信装置２Ｂに送信される（ステップＳ１１Ｂ）。

一方、受信装置２Ｂは、選局・復調手段２０によって、選局された放送ストリームを復調し（ステップとして図示せず）、多重分離手段２１によって、放送ストリームから、ＰＭＴを分離する（ステップＳ１２Ｂ）。

受信装置２Ｂは、ＰＭＴ解析手段２２Ｂのマッピング情報解析手段２２１によって、選局・復調手段２０から選局通知が入力されたか否かにより、選局の有無を判定する（ステップＳ１３Ｂ）。

選局有の場合（ステップＳ１３ＢでＹｅｓ）、受信装置２Ｂは、マッピング情報解析手段２２１によって、ＰＭＴに設定されているマッピング情報から、当該受信装置２Ｂの限定受信方式（限定受信方式識別）に対応するマッピング情報（第１プログラム識別、…、ロードセキュリティ情報）を抽出する。

すなわち、マッピング情報解析手段２２１は、限定受信制御手段２６から、限定受信方式識別記憶手段２６０に記憶されている限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）を、限定受信方式識別通知手段２６１を介して取得し、その限定受信方式識別と一致するマッピング情報（第１プログラム識別、…、ロードセキュリティ情報）を、ＰＭＴから抽出する（ステップＳ１４Ｂ）。

なお、ステップＳ１５以降の処理は、第１実施形態と同様のため、説明を省略する。また、関連情報サブシステムによる限定受信動作も第１実施形態と同様のため、説明を省略する。

以上の動作によって、限定受信システムＳＢは、送信装置１Ｂからの指示によって、受信装置２Ｂにおいて動作する関連情報サブシステムプログラムＰを切り替えることができる。
これによって、限定受信システムＳＢは、限定受信方式識別ごとに、セキュリティ強度や機能の異なる関連情報サブシステムプログラムＰを柔軟に指定することができ、放送事業者のビジネスモデルに応じて、きめ細かく関連情報サブシステムプログラムＰを切り替えることができる。

また、限定受信システムＳＢは、受信装置２Ｂで所持する関連情報サブシステムプログラムＰが、受信装置２Ｂごとに異なる場合であっても、関連情報サブシステムプログラムＰを適切に切り替えることができ、放送システム全体のセキュリティ強度を最新限に高めながら放送サービスを運用することができる。

（変形例１）
以上、本発明の各実施形態に係る限定受信システムＳ，ＳＢ、送信装置１，１Ｂおよび受信装置２，２Ｂの構成および動作について説明したが、本発明は、各実施形態に限定されず、その趣旨を逸脱しない範囲で変形を加えることができる。

本実施形態では、図４，図１４に示したように、ＣＡＴ又はＰＭＴに設定するマッピング情報にロードセキュリティ情報を設定し（図４（ｃ），図１４（ｃ）参照）、受信装置２，２Ｂにおいて起動させる関連情報サブシステムプログラムＰの改竄を検出することとした。
しかし、耐タンパモジュールである限定受信制御手段２６の安全性が高ければ、改竄検出の処理を省略して簡易に限定受信システムＳを構成しても構わない。

その場合、送信装置１において、ＣＡＴ生成手段１４のマッピング情報設定手段１４１で、ロードセキュリティ情報の設定を省略することとする（マッピング情報設定手段１３１も同様）。
また、受信装置２，２Ｂの限定受信制御手段２６において、改竄検出手段２６３を構成から省き、ロード手段２６２が、プログラム選定手段２５で選定されたプログラム識別に対応する関連情報サブシステムプログラムＰを改竄検出することなく、プログラム記憶手段２６０から読み出して、ワークメモリ２６５に展開し、当該プログラムを起動させることとすればよい。

（変形例２）
第１ロード指示および第２ロード指示の範囲指定情報に“０１１（のみ）”が設定されることもある。この場合、ロード指示判定手段２５１は、第１プログラム識別および第２プログラム識別で特定される２つのバージョンをロード対象範囲として決定する。そして、ロード指示判定手段２５１は、第１ロード指示のバージョン指定情報を取得する。さらに、ロード指示判定手段２５１は、取得したバージョン指定情報に基づいて、２つのバージョンのうち、最旧（最小）バージョンまたは最新（最大）バージョンを表すプログラム識別を１つ選定する。

（変形例３）
本実施形態では、ＰＭＴおよびＣＡＴに記載される限定受信方式情報として限定受信方式記述子を例示したが、本発明は、限定受信方式情報としてアクセス制御記述子を用いてもよい。
すなわち、ＰＭＴおよびＣＡＴには、限定受信方式情報として、限定受信方式記述子を２つ記述するだけでなく、アクセス制御記述子を２つ記述してもよく、限定受信方式記述子およびアクセス制御記述子を１つずつ記述してもよい。

なお、アクセス制御記述子は、下記の参考文献１に記載されているため、これ以上の説明を省略する。
参考文献１：「デジタル放送に使用する番組配列情報 標準規格（ＡＲＩＢ ＳＴＤ−Ｂ１０） 第２部」、５．３版、一般社団法人電波産業会、平成２６年３月１８日改定

（変形例４）
本実施形態では、選局される都度、ＣＡＴ解析手段２３がマッピング情報を解析することとした。しかし、ＣＡＴ解析手段２３は、ＣＡＴのバージョンが変化しないことをもって、限定受信方式識別（ＣＡ＿Ｓｙｓｔｅｍ＿ＩＤ）および個別鍵情報の位置情報（ＥＭＭ＿ＰＩＤ）をキャッシュし、再利用してもよい。さらに、ＰＭＴ解析手段２２は、ＣＡＴ解析手段２３と同様、共通鍵情報の位置情報（ＥＣＭ＿ＰＩＤ）をキャッシュし、再利用してもよい（ＰＭＴ解析手段２２Ｂも同様）。
また、本実施形態では、限定受信方式としてサイマルクリプト方式を適用してもよい。

各実施形態では、ＣＡＴ又はＰＭＴの何れか一方にマッピング情報を設定することとして説明したが、送信装置１，１Ｂは、ＣＡＴ及びＰＭＴの両方にマッピング情報を設定してもよい。この場合、受信装置２，２Ｂには、ＣＡＴ又はＰＭＴの何れに含まれるマッピング情報を参照するか、予め設定しておく。

Ｓ，ＳＢ 限定受信システム
１，１Ｂ 送信装置
１０ スクランブル手段
１１ ＥＣＭ生成手段
１２ ＥＭＭ生成手段
１３，１３Ｂ ＰＭＴ生成手段
１３０ 限定受信方式情報設定手段
１４，１４Ｂ ＣＡＴ生成手段
１４０ 限定受信方式情報設定手段
１３１，１４１ マッピング情報設定手段
１５ 多重化手段
２，２Ｂ 受信装置
２０ 選局・復調手段
２１ 多重分離手段
２２，２２Ｂ ＰＭＴ解析手段
２２０ 限定受信方式情報解析手段（第２の限定受信方式情報解析手段）
２３，２３Ｂ ＣＡＴ解析手段
２３０ 限定受信方式情報解析手段（第１の限定受信方式情報解析手段）
２２１，２３１ マッピング情報解析手段
２４ 鍵情報取得手段
２５ プログラム選定手段
２５０ プログラム識別取得手段
２５１ ロード指示判定手段
２５２ ロード指示手段
２６ 限定受信制御手段
２６０ プログラム記憶手段
２６１ プログラム識別通知手段
２６２ ロード手段
２６３ 改竄検出手段
２６４ 鍵記憶手段
２６５ ワークメモリ
２７ デスクランブル手段
Ｐ 関連情報サブシステムプログラム
３０ ＥＭＭ処理手段
３１ ＥＣＭ処理手段

Claims (3)

1. コンテンツをスクランブルするスクランブル鍵の関連情報として、前記スクランブル鍵の鍵配送処理を実行するプログラムである関連情報サブシステムプログラムのバージョンごとに、受信装置共通の鍵情報と受信装置個別の鍵情報とを用いる限定受信方式により、放送ストリームに多重化されたスクランブルコンテンツを限定受信する受信装置であって、
   前記放送ストリームに多重化された第１テーブルまたは第２テーブルに設定されている、前記限定受信方式を識別する限定受信方式識別と、前記プログラムに固有の識別子およびバージョンが含まれる第１プログラム識別と、前記第１プログラム識別が単独指定または範囲指定であるかを示す範囲指定情報および前記範囲指定情報が範囲指定のときに最旧バージョンまたは最新バージョンの選定を示すバージョン指定情報が含まれる第１ロード指示と、を含んだマッピング情報から、前記第１プログラム識別と前記第１ロード指示とを抽出するマッピング情報解析手段と、
   このマッピング情報解析手段で抽出された第１プログラム識別および第１ロード指示により、プログラム記憶手段に記憶されている関連情報サブシステムプログラムの１つを選定するプログラム選定手段と、
   前記放送ストリームに多重化された第１テーブルに設定されている、前記限定受信方式識別と、前記受信装置個別の鍵情報の位置情報と、を含んだ前記バージョンごとの限定受信方式情報のうち、前記マッピング情報解析手段より通知された限定受信方式識別を有する限定受信方式情報から、前記受信装置個別の鍵情報の位置情報を抽出する第１の限定受信方式情報解析手段と、
   前記放送ストリームに多重化された第２テーブルに設定されている、前記限定受信方式識別と、前記受信装置共通の鍵情報の位置情報と、を含んだ前記バージョンごとの限定受信方式情報のうち、前記マッピング情報解析手段より通知された限定受信方式識別を有する限定受信方式情報から、前記受信装置共通の鍵情報の位置情報を抽出する第２の限定受信方式情報解析手段と、
   前記第１および第２の限定受信方式情報解析手段で抽出された位置情報に基づいて、前記受信装置個別の鍵情報および前記受信装置共通の鍵情報を取得する鍵情報取得手段と、
   前記関連情報サブシステムプログラムを前記プログラム記憶手段に記憶し、前記プログラム選定手段で選定された関連情報サブシステムプログラムによって、前記鍵情報取得手段で取得した鍵情報により、前記スクランブル鍵を生成する限定受信制御手段と、を備え、
   前記マッピング情報解析手段は、前記プログラム選定手段が関連情報サブシステムプログラムを選定できた場合、前記マッピング情報から前記限定受信方式識別を抽出し、抽出した前記限定受信方式識別を前記第１および第２の限定受信方式情報解析手段に通知することを特徴とする受信装置。
2. 前記マッピング情報解析手段は、前記受信装置が選局した場合、前記第１テーブルまたは第２テーブルに設定されている前記マッピング情報から、前記第１プログラム識別と前記第１ロード指示とを抽出することを特徴とする請求項１に記載の受信装置。
3. 前記マッピング情報解析手段は、第２ロード指示の有無を示す第２ロード指示フラグと、前記プログラムに固有の識別子およびバージョンが含まれる第２プログラム識別と、前記第２プログラム識別のバージョンが単独指定または範囲指定であるかを示す範囲指定情報が含まれる第２ロード指示と、を含んだ前記マッピング情報から、前記第２プログラム識別および前記第２ロード指示を抽出し、
   前記プログラム選定手段は、当該マッピング情報解析手段で抽出された第１プログラム識別と第１ロード指示と第２プログラム識別と第２ロード指示とにより、前記プログラム記憶手段に記憶されている関連情報サブシステムプログラムの１つを選定することを特徴とする請求項１または請求項２に記載の受信装置。