JPH11238017A - 受信機 - Google Patents

Abstract

(57)【要約】 【課題】 内部の記憶情報への不正アクセス時にデータ
を保護し、また廃棄時に容易にセキュリティに関する部
分を使用不能な状態にする受信機を提供する。 【解決手段】 アクセス監視部８２は、ＥＥＰＲＯＭ８
１へのアクセスを要求するアクセスコードを受付ける
と、自らが持つ正規のアクセスコードとの照合を行いア
クセスコードの一致／不一致を判断する。この判断でア
クセスコードが一致した場合は、ＥＥＰＲＯＭ８１への
アクセスを許可するが、不一致の場合には、許可するこ
となくリトライカウンタ８３のカウント値を１つ増加さ
せ、再びアクセスコードの入力を待つ。リトライカウン
タ８３は、カウント値が予め定めた値に達するとアクセ
ス監視部８２へその旨を通知する。アクセス監視部８２
は、この通知以後、さらにアクセスコードの不一致を判
断した場合は、ＥＥＰＲＯＭ８１内のデータの消去を行
う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、受信機に関し、よ
り特定的には、衛星通信システムやインターネット等に
おいて伝送されるデジタル画像，ソフトウエア等をダウ
ンロードしたデータに対し、第三者の不正盗用を防止す
る受信機に関する。

【０００２】

【従来の技術】図１２に、従来の受信機の構成の一例と
して、デジタル衛星通信システム等で受信機として使用
されるインテリジェント・レシーバー・デコーダ（Inte
lligent Receiver and Decoder）のブロック図を示す。
図１２において、従来の受信機は、復調部１０１と、デ
スクランブル部１０２と、ランダム・アクセス・メモリ
（ＲＡＭ）１０４と、中央演算処理装置（ＣＰＵ）１０
５と、リード・オンリー・メモリ（ＲＯＭ）１０６と、
出力処理部１０７と、ＥＥＰＲＯＭ（Electrically Era
sable and Programmable ＲＯＭ)１８１とを備える。こ
れらの各構成は、バス１１０により相互に接続されてい
る。

【０００３】衛星から受信した電波は、復調部１０１で
デジタル符号データに変換される。変換されたデジタル
符号データは、デスクランブル部１０２において予め定
めた規則の下暗号を解読される。暗号解読後のデータ
は、通常、ＲＡＭ１０４に一旦格納され（ただし、受信
データが連続している場合には、ＲＡＭ１０４に格納す
ることなく直ちに出力処理部７を介して出力することも
ある）、その後、出力処理部１０７を介してテレビ受像
器やパーソナル・コンピュータ等の外部端末（以下、外
部ＰＣと称する）へ出力される（図示せず）。ここで、
受信データが受信機のシステムソフトダウンロード用の
データであった場合、ＣＰＵ１０５は、ＲＡＭ１０４に
格納された暗号解読後のデータをさらにＥＥＰＲＯＭ１
８１に記憶する。

【０００４】なお、上記受信データが、例えば、ＭＰＥ
Ｇ２（Moving Picture Experts Group 2）方式のデータ
である場合には、暗号解読後に内蔵するＭＰＥＧ２デコ
ード部（図示せず）によってデータがデコードされる。

【０００５】このように、通常、データはメモリ（ＲＡ
Ｍ１０４，ＥＥＰＲＯＭ１８１）に格納され、その後外
部ＰＣに出力する等、ユーザが自由に使用することがで
きる。特に、衛星通信における上記従来の受信機では、
システムソフトは、衛星回線からのダウンロードによっ
ていつでも更新が可能なようにＥＥＰＲＯＭ１８１に格
納されている。

【０００６】

【発明が解決しようとする課題】上述したように、従来
の受信機は、受信したデータをメモリに格納している。
しかし、従来の受信機は、これらの格納データに対し何
らセキュリティ対策を施していないため、第三者の不正
アクセスにより格納データが容易にコピーされてしま
う。特に、コピーされた格納データが著作権のあるデー
タの場合には、著作権侵害等の問題が発生してしまう。

【０００７】また、受信機内のＥＥＰＲＯＭ１８１に格
納されているデータは、受信機を分解して直接ＥＥＰＲ
ＯＭ１８１を読み出すことによっても第三者が自由に得
ることができ、これによっても著作権侵害等の問題が発
生してしまう。このため、通常、受信機の廃棄の際に
は、廃棄物を解析されても問題がないように受信機のセ
キュリティに関連するデバイスを完全に使用不能状態に
してから廃棄する。しかし、このようにデバイスを完全
に使用不能状態にするには、手間やコストがかかる等の
問題がある。

【０００８】それ故、本発明の目的は、受信機内に記憶
している情報への不正アクセス時にデータを保護し、ま
た、廃棄時に容易にセキュリティに関する部分を使用不
能な状態にすることが可能な受信機を提供することであ
る。

【０００９】

【課題を解決するための手段および発明の効果】第１の
発明は、ダウンロードした受信データを電気的書き換え
可能な不揮発性半導体メモリ（以下、ＥＥＰＲＯＭとい
う）に格納する受信機であって、ＣＰＵと、暗号化され
た受信データに対し、暗号解読を行うデスクランブル手
段と、暗号解読後のデータを格納するＥＥＰＲＯＭと、
ＥＥＰＲＯＭに対して要求されるアクセスが正規なアク
セスか不正なアクセスかを判断し、当該判断に応じてＥ
ＥＰＲＯＭへのアクセス許可／不許可を制御するアクセ
ス監視手段と、アクセス監視手段に対する不正なアクセ
スの回数をカウントし、当該カウントの値が予め定めた
値に達した場合、アクセス監視手段へその旨を通知する
リトライカウンタとを少なくとも備え、アクセス監視手
段は、リトライカウンタから通知があった場合、ＥＥＰ
ＲＯＭ内のデータを消去することを特徴とする。

【００１０】上記のように、第１の発明によれば、第三
者の不正アクセスがあった場合、予め定めた回数に達す
ると自動的にＥＥＰＲＯＭ内のデータを消去する。これ
により、第三者への情報の漏洩防止を図ることができ
る。

【００１１】第２の発明は、ダウンロードした受信デー
タを電気的書き換え可能な不揮発性半導体メモリ（以
下、ＥＥＰＲＯＭという）に格納する受信機であって、
ＣＰＵと、暗号化された受信データに対し、暗号解読を
行うデスクランブル手段と、暗号解読後のデータを格納
するＥＥＰＲＯＭと、ＥＥＰＲＯＭに格納されているデ
ータとは異なるデータが保存された偽データＥＥＰＲＯ
Ｍと、ＥＥＰＲＯＭに対して要求されるアクセスが正規
なアクセスか不正なアクセスかを判断し、当該判断に応
じてＥＥＰＲＯＭまたは偽データＥＥＰＲＯＭへのアク
セス許可／不許可を制御するアクセス監視手段と、アク
セス監視手段に対する不正なアクセスの回数をカウント
し、当該カウントの値が予め定めた値に達した場合、ア
クセス監視手段へその旨を通知するリトライカウンタと
を少なくとも備え、アクセス監視手段は、リトライカウ
ンタから通知があった場合、偽データＥＥＰＲＯＭに対
するアクセス許可を行うことを特徴とする。

【００１２】上記のように、第２の発明によれば、第三
者の不正アクセスがあった場合、予め定めた回数に達す
ると自動的に偽データを出力する。これにより、ＥＥＰ
ＲＯＭ内のデータを消去することなく、第三者への情報
の漏洩防止を図ることができる。

【００１３】第３の発明は、第２の発明において、アク
セス監視手段は、偽データＥＥＰＲＯＭに対するアクセ
ス許可の後、さらに不正なアクセスがあった場合には、
ＥＥＰＲＯＭ内のデータを消去することを特徴とする。

【００１４】上記のように、第３の発明によれば、第２
の発明において、出力したデータが偽データであると判
断されても、その後に不正アクセスがあった場合には、
自動的にＥＥＰＲＯＭ内のデータを消去する。従って、
第１の発明と同様に、確実に第三者への情報の漏洩防止
を図ることができる。

【００１５】第４の発明は、ダウンロードした受信デー
タを電気的書き換え可能な不揮発性半導体メモリ（以
下、ＥＥＰＲＯＭという）に格納する受信機であって、
ＣＰＵと、暗号化された受信データに対し、暗号解読を
行うデスクランブル手段と、暗号解読後のデータを格納
するＥＥＰＲＯＭと、ＥＥＰＲＯＭに対して要求される
アクセスが正規なアクセスか不正なアクセスかを判断
し、当該判断に応じてＥＥＰＲＯＭへのアクセス許可／
不許可を制御するアクセス監視手段と、アクセス監視手
段に対する不正なアクセスの回数をカウントし、当該カ
ウントの値が予め定めた値に達した場合、アクセス監視
手段へその旨を通知するリトライカウンタとを少なくと
も備え、アクセス監視手段は、リトライカウンタから通
知があった場合、当該通知以後のアクセスを受付けない
ことを特徴とする。

【００１６】上記のように、第４の発明によれば、第三
者の不正アクセスがあった場合、予め定めた回数に達す
るとアクセスを受付けない状態にする。これにより、第
三者への情報の漏洩防止を図ることができる。

【００１７】第５の発明は、第４の発明において、アク
セス監視手段は、アクセスを受付けない状態に遷移した
後であっても、アクセスを行う際の方法とは異なる予め
定めた方法によりアクセスの受付けが可能な状態に復帰
させることを特徴とする。

【００１８】上記のように、第５の発明によれば、第４
の発明において、アクセスする方法とは異なる方法を用
いて状態を復帰できるようにする。これにより、正規の
ユーザは、容易に元の状態に復帰させることができる。

【００１９】第６の発明は、第５の発明において、アク
セス監視手段は、異なる予め定めた方法において不正な
行為が行われた場合には、ＥＥＰＲＯＭ内のデータを消
去することを特徴とする。

【００２０】上記のように、第６の発明によれば、第５
の発明において、異なる方法の存在を知られても不正な
行為を行った場合には、自動的にＥＥＰＲＯＭ内のデー
タを消去する。従って、第１の発明と同様に、確実に第
三者への情報の漏洩防止を図ることができる。

【００２１】第７の発明は、第１，第３および第６の発
明において、受信データをＥＥＰＲＯＭにダウンロード
するための動作プログラムを別途記憶する記憶手段をさ
らに備え、アクセス監視手段は、ＥＥＰＲＯＭ内のデー
タを消去した場合、記憶手段に記憶している動作プログ
ラムをＥＥＰＲＯＭに読み出すとともに、同一の受信デ
ータを再び受信してＥＥＰＲＯＭにダウンロードするこ
とを特徴とする。

【００２２】上記のように、第７の発明によれば、第
１，第３および第６の発明において、ダウンロードに必
要な動作プログラムを記録した記憶手段をさらに備えて
いる。これにより、ＥＥＰＲＯＭ内のデータを消去して
も、その後、記憶手段から動作プログラムを読み込むこ
とにより消去したデータを復元することができる。

【００２３】第８の発明は、第１〜第７の発明におい
て、データに固有の識別情報を付加するＩＤ付加手段を
さらに備え、ＥＥＰＲＯＭには、固有の識別情報を付加
した後のデータを格納することを特徴とする。

【００２４】上記のように、第８の発明によれば、第１
〜第７の発明において、データに固有の識別情報を付加
するＩＤ付加手段をさらに備える。これにより、万一デ
ータが不正に盗用されたても、付加された固有の識別情
報から盗用データであると判断することができる。従っ
て、第三者の不正行為の摘発が容易になり、ひいては事
前に不正行為を抑制するという効果がある。

【００２５】第９の発明は、第１〜第８の発明におい
て、デスクランブル手段は、電気的に書き換え可能な素
子を用いて回路が構成されており、アクセス監視手段
は、リトライカウンタから通知があった場合、ＥＥＰＲ
ＯＭ内のデータを消去するとともに、デスクランブル手
段の回路を消去することを特徴とする。

【００２６】上記のように、第９の発明によれば、第１
〜第８の発明において、デスクランブル手段の回路を電
気的に書き換え可能な素子を用いて構成する。そして、
第三者の不正アクセスがあった場合、予め定めた回数に
達すると自動的にＥＥＰＲＯＭ内のデータを消去し、か
つ、デスクランブル手段の回路を電気的に消去する。こ
れにより、第三者への情報の漏洩防止を図ることができ
るとともに、セキュリティに関連する情報の漏洩防止を
図ることができる。

【００２７】第１０の発明は、第１〜第９の発明におい
て、デスクランブル手段は、電気的に書き換え可能な素
子を用いて回路が構成されており、ＣＰＵは、外部から
の指示に従って、ＥＥＰＲＯＭ内のデータの消去、およ
びデスクランブル手段の回路の消去を行うことを特徴と
する。

【００２８】上記のように、第１０の発明によれば、第
１〜第９の発明において、デスクランブル手段の回路を
電気的に書き換え可能な素子を用いて構成する。そし
て、外部からの指示によりＥＥＰＲＯＭ内のデータの消
去、およびデスクランブル手段の回路の電気的消去を行
えるようにする。これにより、廃棄時においても、確実
にセキュリティに関連する情報の漏洩防止を図ることが
できる。

【００２９】第１１の発明は、送信されるデータを受信
し、当該受信したデータを内部に格納または外部へ出力
する受信機であって、送信されるデータを受信する受信
手段と、受信手段から出力されるデータに固有の識別情
報を付加するＩＤ付加手段と、固有の識別情報が付加さ
れたデータを内部に格納または外部へ出力する処理手段
とを少なくとも備える。

【００３０】上記のように、第１１の発明によれば、デ
ータに固有の識別情報を付加した後、内部に格納または
外部へ出力する。これにより、データがどの受信機から
取得されたものかを判断することができる。従って、第
三者の不正行為を事前に抑制するとともに、第三者の不
正行為があった場合は摘発が容易になる。

【００３１】

【発明の実施の形態】以下、本発明の実施形態につい
て、デジタル衛星通信システム等で受信機として使用さ
れるインテリジェント・レシーバー・デコーダを一例に
挙げて説明する。

【００３２】（第１の実施形態）図１は、本発明の第１
の実施形態に係る受信機の構成を示すブロック図であ
る。図１において、本第１の実施形態に係る受信機は、
復調部１と、デスクランブル部２と、ＲＡＭ４と、ＣＰ
Ｕ５と、ＲＯＭ６と、出力処理部７と、記憶部８とを備
える。これらの各構成は、バス１０によって相互に接続
されている。また、記憶部８は、ＥＥＰＲＯＭ８１と、
アクセス監視部８２と、リトライカウンタ８３とを備え
る。

【００３３】復調部１は、受信データをデジタル符号デ
ータに変換する。デスクランブル部２は、復調部１でデ
ジタル符号化したデータの暗号を解読する。ＲＡＭ４
は、データを格納する。ＣＰＵ５は、受信機全体の制御
を行う。また、ＣＰＵ５は、アクセスに必要な予め定め
たアクセスコードを記憶している。ＲＯＭ６は、受信機
が行う制御プログラムを格納している。出力処理部７
は、デスクランブル部２の出力をテレビ受像器等（図示
せず）へ出力する。ＥＥＰＲＯＭ８１は、上記受信デー
タが受信機のシステムソフトダウンロード用のデータで
あった場合、当該データを記憶する。アクセス監視部８
２は、アクセスに必要な予め定めたアクセスコードを記
憶している。なお、上記ＣＰＵ５が記憶するアクセスコ
ードとアクセス監視部８２が記憶するアクセスコードと
は同じものである。リトライカウンタ８３は、アクセス
監視部８２が行うアクセスコードの照合回数をカウント
する。

【００３４】衛星から電波として受信されたデータは、
復調部１においてデジタル符号データに変換される。変
換されたデジタル符号データは、デスクランブル部２に
おいて予め定めた規則の下、暗号が解読される。暗号解
読後のデータは、通常、ＲＡＭ４に一旦格納され（ただ
し、受信データが連続している場合には、ＲＡＭ４に格
納することなく直ちに出力処理部７を介して出力するこ
ともある）、その後、出力処理部７を介して外部ＰＣ
（図示せず）へ出力される。なお、上記受信データが、
例えば、ＭＰＥＧ２方式のデータである場合には、内蔵
するＭＰＥＧ２デコード部（図示せず）によって暗号解
読後のデータがデコードされる。

【００３５】ここで、受信データが受信機のシステムソ
フトダウンロード用のデータであった場合、ＣＰＵ５
は、ＲＡＭ４に格納された暗号解読後のデータをさらに
ＥＥＰＲＯＭ８に記憶すべく、アクセス監視部８２へア
クセスを行う。

【００３６】このＣＰＵ５とアクセス監視部８２との間
のアクセスは、まず、ＣＰＵ５が自らが記憶するアクセ
スコードを、アクセス監視部８２へ通知する。そして、
アクセス監視部８２は、ＣＰＵ５から通知されたアクセ
スコードと、アクセス監視部８２自らが記憶しているア
クセスコードとを照合し、一致した場合にのみＥＥＰＲ
ＯＭ８１へのアクセスを許可する。従って、正常なアク
セスの場合には、ＣＰＵ５およびＥＥＰＲＯＭ８１の双
方のアクセスコードが同一であるため、問題なくアクセ
スが可能となる。

【００３７】一方、不正行為を行う第三者は、自らの機
器（以下、不正機器と称する）を使用してＥＥＰＲＯＭ
８１の内容を読み取ろうとする。この場合、第三者が行
うアクセスは、不正機器内のＣＰＵを使用して行われる
ことになる。従って、このような不正行為が行われて
も、不正機器内のＣＰＵがアクセスコードを通知する必
要があることを知らないため、また、通知する必要があ
ること知っていても不正機器のＣＰＵが固有に記憶する
誤ったアクセスコードであるため、アクセス監視部８２
がこのアクセスを拒絶する（アクセスコードを照合して
も、一致しないからである）。これに対して、第三者
は、何回か異なる任意のアクセスコードを試みると考え
られる。しかし、リトライカウンタ８３は、アクセス監
視部８２がアクセスを拒絶した回数をカウントしてお
り、予め定めた回数が行われたときにはアクセス監視部
８２へその旨を通知する。この通知を受けたアクセス監
視部８２は、最終的な対応として、ＥＥＰＲＯＭ８１内
の格納データを消去する。

【００３８】このように、アクセスを試みることができ
る回数を予め制限することで、不正行為を行う第三者の
アクセスコードが正規のアクセスコードと合致する確率
をきわめて低くできる（もちろん、アクセスコードのビ
ット数にも関係する）。

【００３９】以下、上記構成による第１の実施形態に係
る受信機の不正アクセスに対する動作を、図２を参照し
つつ説明する。図２は、本発明の第１の実施形態に係る
受信機における状態遷移を示す図である。図２において
は、リトライカウンタ８３がアクセス監視部８２へ通知
を行うカウント数を「３」としている。

【００４０】まず、初期状態として、アクセス監視部８
２は、アクセスコードを受け付ける第１のアクセスコー
ド待ち状態にある（状態Ｓ１）。また、リトライカウン
タ８３は、初期値「０」であるとする。ある者がアクセ
スを試みる（トライ）、すなわち、アクセスコードが通
知されてくると、アクセス監視部８２は、通知されたア
クセスコードと自ら記憶しているアクセスコードとを照
合する。ここで、通知されたアクセスコードが正規のも
のである場合、アクセス監視部８２は、アクセスを許可
する。

【００４１】一方、通知されたアクセスコードが不正な
ものである場合、アクセス監視部８２は、アクセスコー
ド不一致と判断し、リトライカウンタ８３を１つ増加さ
せ「１」とする。このときは、まだ状態Ｓ１にあり、再
びアクセスコードを受け付ける状態となる。再び不正ア
クセスコードが入力されると、アクセス監視部８２は、
またアクセスコード不一致と判断し、さらにリトライカ
ウンタ８３を１つ増加させ「２」とする。同様に、状態
Ｓ１において、再び不正アクセスコードが入力される
と、アクセス監視部８２は、アクセスコード不一致と判
断し、さらにリトライカウンタ８３を１つ増加させ
「３」とする。ここで、リトライカウンタ８３のカウン
ト値が「３」に達したため、リトライカウンタ８３は、
アクセス監視部８２へその旨を通知する。アクセス監視
部８２は、この通知を受けて第２のアクセスコード待ち
状態へ遷移する（状態Ｓ２）。

【００４２】状態Ｓ２において、再び不正アクセスコー
ドが入力されると、アクセス監視部８２は、アクセスコ
ード不一致と判断するとともに、ＥＥＰＲＯＭ８１内の
格納データを消去する（状態Ｓ３）。一方、状態Ｓ２に
おいて、正規のアクセスコードが入力された場合は、ア
クセス監視部８２は、アクセスを許可するとともに、状
態Ｓ１へ遷移させ、さらにリトライカウンタ８３のカウ
ント値をリセットする。

【００４３】以上のように、本発明の第１の実施形態に
係る受信機は、不正アクセスの回数をカウントし、予め
定めた回数が行われた場合には、ＥＥＰＲＯＭ８１内の
格納データを消去する。これにより、アクセスコードを
知らない第三者の不正アクセス行為があった場合、デー
タ漏洩防止を図ることができる。

【００４４】（第２の実施形態）図３は、本発明の第２
の実施形態に係る受信機の構成を示すブロック図であ
る。図３において、本第２の実施形態に係る受信機は、
復調部１と、デスクランブル部２と、ＲＡＭ４と、ＣＰ
Ｕ５と、ＲＯＭ６と、出力処理部７と、記憶部８ａとを
備える。これらの各構成は、バス１０によって相互に接
続されている。また、記憶部８ａは、ＥＥＰＲＯＭ８１
と、アクセス監視部８２と、リトライカウンタ８３と、
偽データＥＥＰＲＯＭ８４とを備える。

【００４５】図３に示すように、本第２の実施形態に係
る受信機の記憶部８ａは、上記第１の実施形態に係る受
信機の記憶部８に偽データＥＥＰＲＯＭ８４をさらに加
えた構成である。偽データＥＥＰＲＯＭ８４は、ＥＥＰ
ＲＯＭ８１に格納しているデータとは異なる偽のデータ
を格納している。なお、本第２の実施形態に係る受信機
のその他の構成は、上記第１の実施形態に係る受信機の
構成と同様であり、当該構成については同一の参照番号
を付してその説明を省略する。

【００４６】第２の実施形態に係る受信機は、アクセス
監視部８２がリトライカウンタ８３から通知を受けた場
合、最終的な対応としてＥＥＰＲＯＭ８１内の格納デー
タを消去する前に、偽データを出力する。

【００４７】以下、上記構成による第２の実施形態に係
る受信機の不正アクセスに対する動作を、図４を参照し
つつ説明する。図４は、本発明の第２の実施形態に係る
受信機における状態遷移を示す図である。図４において
は、リトライカウンタ８３がアクセス監視部８２へ通知
を行うカウント数を「３」としている。なお、状態Ｓ１
および状態Ｓ３は、上記第１の実施形態に係る受信機の
場合と同様であるため、その説明は省略する。

【００４８】リトライカウンタ８３は、カウント値が
「３」に達するとアクセス監視部８２へその旨を通知す
る。アクセス監視部８２は、この通知を受けて、外部か
らはあたかも正規のアクセスコードに合致したかのよう
に偽データＥＥＰＲＯＭ８４に格納している偽データを
出力する（状態Ｓ４）。

【００４９】このとき、第三者が偽データだと気づい
て、再び不正アクセスコードが入力されると、アクセス
監視部８２は、アクセスコード不一致と判断するととも
に、ＥＥＰＲＯＭ８１内の格納データを消去する（状態
Ｓ３）。一方、状態Ｓ４において、正規のアクセスコー
ドが入力された場合は、アクセス監視部８２は、アクセ
スを許可するとともに、状態Ｓ４から状態Ｓ１へ遷移さ
せ、さらにリトライカウンタ８３のカウント値をリセッ
トする。

【００５０】なお、状態Ｓ４から状態Ｓ３への遷移は、
１回の不正アクセスですぐに行うようにするほか、状態
Ｓ１から状態Ｓ４への遷移と同様に、リトライカウンタ
８３を使用して予め定めた回数の不正アクセスがあった
場合に行うようにしてもよい（図１１を参照）。

【００５１】以上のように、本発明の第２の実施形態に
係る受信機は、不正アクセスの回数をカウントし、予め
定めた回数が行われた場合には、ＥＥＰＲＯＭ８１内の
格納データを消去する前に、まず偽のデータを出力す
る。これにより、アクセスコードを知らない第三者の不
正アクセス行為があった場合、格納データの消去を極力
避けつつもデータ漏洩防止を図ることができる。

【００５２】（第３の実施形態）図５は、本発明の第３
の実施形態に係る受信機の構成を示すブロック図であ
る。図５において、本第３の実施形態に係る受信機は、
復調部１と、デスクランブル部２と、ＲＡＭ４と、ＣＰ
Ｕ５と、ＲＯＭ６と、出力処理部７と、記憶部８とを備
える。これらの各構成は、バス１０によって相互に接続
されている。また、記憶部８は、ＥＥＰＲＯＭ８１と、
アクセス監視部８２と、リトライカウンタ８３とを備え
る。

【００５３】図５に示すように、本第３の実施形態に係
る受信機は、構成的には上記第１の実施形態に係る受信
機と同様の構成である。本第３の実施形態に係る受信機
が上記第１の実施形態に係る受信機と異なる点は、図２
における状態Ｓ２で行う処理である。なお、本第３の実
施形態に係る受信機のその他の構成は、上記第１の実施
形態に係る受信機の構成と同様であり、当該構成につい
ては同一の参照番号を付してその説明を省略する。

【００５４】以下、上記構成による第３の実施形態に係
る受信機の不正アクセスに対する動作を、図６を参照し
つつ説明する。図６は、本発明の第３の実施形態に係る
受信機における状態遷移を示す図である。図６において
は、リトライカウンタ８３がアクセス監視部８２へ通知
を行うカウント数を「３」としている。なお、状態Ｓ１
および状態Ｓ３は、上記第１の実施形態に係る受信機の
場合と同様であるため、その説明は省略する。

【００５５】リトライカウンタ８３は、カウント値が
「３」に達するとアクセス監視部８２へその旨を通知す
る。アクセス監視部８２は、この通知を受けて、アクセ
スコードの受付けを完全に拒絶する（状態Ｓ５）。ここ
で、この状態Ｓ５にある場合、復帰コード（アクセスコ
ードとは別の信号線を規定の状態にするコード）の入力
により復帰できるようにする。すなわち、状態Ｓ５にお
いて、正規のアクセスコードが入力された場合には、状
態Ｓ１へ遷移するようにする。一方、第三者が復帰コー
ドの存在を知っていても、正規の復帰コードまでを知り
得ることは希であり、不正な復帰コードで再び試みた場
合には、上記と同様にＥＥＰＲＯＭ８１内の格納データ
を消去する（状態Ｓ３）。このような処理を行うこと
で、状態Ｓ５のまま第三者が不正アクセスを断念した場
合には、正規のユーザが復帰コードを入力することで、
容易に状態Ｓ１へ遷移させることができる。

【００５６】なお、状態Ｓ５から状態Ｓ３への遷移は、
１回の不正な復帰コードの入力によりすぐに行うように
する他、状態Ｓ１から状態Ｓ５への遷移と同様に、リト
ライカウンタ８３を使用して予め定めた回数の不正な復
帰コードの入力があった場合に行うようにしてもよい。

【００５７】以上のように、本発明の第３の実施形態に
係る受信機は、不正アクセスの回数をカウントし、予め
定めた回数が行われた場合には、アクセスを完全に拒絶
し、極秘の復帰コードの受付け状態にする。これによ
り、アクセスコードを知らない第三者の不正アクセス行
為があった場合、格納データの消去を極力避けつつもデ
ータ漏洩防止を図ることができる。

【００５８】（第４の実施形態）図７は、本発明の第４
の実施形態に係る受信機の構成を示すブロック図であ
る。図７において、本第４の実施形態に係る受信機は、
復調部１と、デスクランブル部２と、ＲＡＭ４と、ＣＰ
Ｕ５と、ＲＯＭ６と、出力処理部７と、記憶部８とを備
える。これらの各構成は、バス１０によって相互に接続
されている。また、記憶部８は、ＥＥＰＲＯＭ８１と、
アクセス監視部８２と、リトライカウンタ８３とを備え
る。

【００５９】図７に示すように、本第４の実施形態に係
る受信機は、構成的には上記第１の実施形態に係る受信
機と同様の構成である。本第４の実施形態に係る受信機
が上記第１の実施形態に係る受信機と異なるのは、ＲＯ
Ｍ６内にダウンロードに関するソフトウエアのすべて
（以下、ダウンロードモジュールという）を格納する部
分ＤＭ６１を有している点である。このＤＭ６１へのダ
ウンロードモジュールの格納は、例えば、受信機の出荷
段階で行えばよい。なお、本第５の実施形態に係る受信
機のその他の構成は、上記第１の実施形態に係る受信機
の構成と同様であり、当該構成については同一の参照番
号を付してその説明を省略する。

【００６０】以下、上記構成による第５の実施形態に係
る受信機の不正アクセスに対する動作を説明する。リト
ライカウンタ８３は、カウント値が「３」に達するとア
クセス監視部８２へその旨を通知する。アクセス監視部
８２は、この通知を受けて、第２のアクセスコード待ち
状態へ遷移する（図２における状態Ｓ２を参照）。状態
Ｓ２において、再び不正アクセスコードが入力される
と、アクセス監視部８２は、アクセスコード不一致と判
断するとともに、ＥＥＰＲＯＭ８１内の格納データを消
去する。その後、アクセス監視部８２は、ダウンロード
モジュールをＲＯＭ６内のＤＭ６１から読み出して再び
ＥＥＰＲＯＭ８１内に格納する処理を自動的に行う。

【００６１】以上のように、本発明の第４の実施形態に
係る受信機は、不正アクセスの回数をカウントし、予め
定めた回数が行われた場合には、ＥＥＰＲＯＭ８１内の
格納データを消去する。そして、その後、消去した格納
データのうちダウンロードモジュールのみを自動的に復
元する。これにより、アクセスコードを知らない第三者
の不正アクセス行為によりＥＥＰＲＯＭ８１内の格納デ
ータが消去された場合でも、衛星から送られてくる同一
データを再び受信してＥＥＰＲＯＭ８１に再格納するこ
とで、容易に消去データの復元を行うことができる。

【００６２】なお、本第４の実施形態において示したＲ
ＯＭ６内のＤＭ６１にダウンロードモジュールを格納す
る構成は、上記第１の実施形態に係る受信機のみならず
上記第２および第３の実施形態に係る受信機においても
同様に用いることが可能である。

【００６３】（第５の実施形態）図８は、本発明の第５
の実施形態に係る受信機の構成を示すブロック図であ
る。図８において、本第５の実施形態に係る受信機は、
復調部１と、デスクランブル部２と、ＲＡＭ４と、ＣＰ
Ｕ５と、ＲＯＭ６と、出力処理部７と、記憶部８と、Ｉ
Ｄ（identification）付加部９とを備える。これらの各
構成は、バス１０によって相互に接続されている。ま
た、記憶部８は、ＥＥＰＲＯＭ８１と、アクセス監視部
８２と、リトライカウンタ８３とを備える。

【００６４】図８に示すように、本第５の実施形態に係
る受信機は、上記第１の実施形態に係る受信機に、ＩＤ
付加部３を加えたものである。ＩＤ付加部３は、受信機
固有のＩＤ情報を電子すかしの手法で受信データ内に埋
め込む処理を行う。なお、本第５の実施形態に係る受信
機のその他の構成は、上記第１の実施形態に係る受信機
の構成と同様であり、当該構成については同一の参照番
号を付してその説明を省略する。

【００６５】ＩＤ付加部３においてＩＤ情報を埋め込む
データは、ＲＡＭ４に格納される前のデータであっても
よいし、外部ＰＣ等へ出力する際にＲＡＭ４から読み出
されるデータであってもよい。

【００６６】以上のように、本発明の第５の実施形態に
係る受信機は、データ保護の処理を行う前に受信データ
に受信機固有のＩＤ情報を埋め込む。これにより、万一
アクセスコードが一致して第三者に不正にデータが盗用
されても、埋め込まれたＩＤ情報からデータが不正盗用
されたものであるという判断ができる。従って、第三者
の不正行為の摘発が容易になり、ひいては事前に不正行
為を抑制するという効果がある。

【００６７】なお、本第５の実施形態において示した受
信データに受信機固有のＩＤ情報を埋め込む手法は、上
記第１の実施形態に係る受信機のみならず上記第２〜第
４の実施形態に係る受信機においても同様に用いること
が可能である。また、本第５の実施形態において示した
受信データに受信機固有のＩＤ情報を埋め込む手法は、
必ずしも上記第１〜第４の実施形態とともに使用しなけ
ればならないものではなく、事前に不正行為を抑制する
という意味において単独で用いることも可能である。

【００６８】（第６の実施形態）図９は、本発明の第６
の実施形態に係る受信機の構成を示すブロック図であ
る。図９において、本第６の実施形態に係る受信機は、
復調部１と、ＦＰＧＡ(Field Programmable gate arra
y）デスクランブル部２ａと、ＲＡＭ４と、ＣＰＵ５
と、ＲＯＭ６と、出力処理部７と、記憶部８とを備え
る。これらの各構成は、バス１０によって相互に接続さ
れている。また、記憶部８は、ＥＥＰＲＯＭ８１と、ア
クセス監視部８２と、リトライカウンタ８３とを備え
る。

【００６９】図９に示すように、本第６の実施形態に係
る受信機は、上記第１の実施形態に係る受信機のデスク
ランブル部２を、ＦＰＧＡデスクランブル部２ａに代え
たものである。また、ＦＰＧＡデスクランブル部２ａの
内部回路を書き換えるための専用の信号線２６が、アク
セス監視部８２からＦＰＧＡデスクランブル部２ａへ接
続されている。なお、本第６の実施形態に係る受信機の
その他の構成は、上記第１の実施形態に係る受信機の構
成と同様であり、当該構成については同一の参照番号を
付してその説明を省略する。

【００７０】ＦＰＧＡデスクランブル部２ａとは、ＦＰ
ＧＡによって回路構成されたデスクランブル部である。
そして、ＦＰＧＡとは、外部からの電気的処理により回
路プログラムが可能なゲートアレーをいう。従って、Ｆ
ＰＧＡ回路は、電気的に消去することも可能なのであ
る。

【００７１】以下、上記構成による第６の実施形態に係
る受信機の不正アクセスに対する動作を説明する。リト
ライカウンタ８３は、カウント値が「３」に達するとア
クセス監視部８２へその旨を通知する。アクセス監視部
８２は、この通知を受けて、第２のアクセスコード待ち
状態へ遷移する（図２における状態Ｓ２を参照）。状態
Ｓ２において、再び不正アクセスコードが入力される
と、アクセス監視部８２は、アクセスコード不一致と判
断するとともに、ＥＥＰＲＯＭ８１内の格納データを消
去し、かつ、信号線２６を使用してＦＰＧＡデスクラン
ブル部２ａのＦＰＧＡ回路データを消去する。

【００７２】以上のように、本発明の第６の実施形態に
係る受信機は、デスクランブル部をＦＰＧＡ回路で構成
する。さらに、不正アクセスの回数をカウントし、予め
定めた回数が行われた場合には、ＥＥＰＲＯＭ８１内の
格納データとともにＦＰＧＡデスクランブル部２ａのＦ
ＰＧＡ回路データをも消去する。これにより、アクセス
コードを知らない第三者の不正アクセス行為があった場
合、ＥＥＰＲＯＭ８１内の格納データを消去することに
よりデータ漏洩防止を図るとともに、暗号解読を行うＦ
ＰＧＡデスクランブラ部２ａの回路をも消去するため、
セキュリティに関連する情報の漏洩防止も図ることがで
きる。

【００７３】なお、本第６の実施形態において示したデ
スクランブル部をＦＰＧＡ回路によって構成すること
は、上記第１の実施形態に係る受信機のみならず上記第
２〜第５の実施形態に係る受信機においても同様に用い
ることが可能である。

【００７４】（第７の実施形態）図１０は、本発明の第
７の実施形態に係る受信機の構成を示すブロック図であ
る。図１０において、本第７の実施形態に係る受信機
は、復調部１と、ＦＰＧＡデスクランブル部２ａと、Ｒ
ＡＭ４と、ＣＰＵ５と、ＲＯＭ６と、出力処理部７と、
記憶部８とを備える。これらの各構成は、バス１０によ
って相互に接続されている。また、記憶部８は、ＥＥＰ
ＲＯＭ８１と、アクセス監視部８２と、リトライカウン
タ８３とを備える。

【００７５】図１０に示すように、本第７の実施形態に
係る受信機は、上記第１の実施形態に係る受信機のデス
クランブル部２を、ＦＰＧＡデスクランブル部２ａに代
えたものである。また、ＦＰＧＡデスクランブル部２ａ
の内部回路を書き換えるための専用の信号線２７が、Ｃ
ＰＵ５からＦＰＧＡデスクランブル部２ａへ接続されて
いる。なお、本第７の実施形態に係る受信機のその他の
構成は、上記第１の実施形態に係る受信機の構成と同様
であり、当該構成については同一の参照番号を付してそ
の説明を省略する。

【００７６】上記構成による第７の実施形態に係る受信
機は、不正アクセスに対するデータ保護動作は上記第１
〜第６の実施形態に係る受信機と同様であるが、廃棄時
の処理が異なる。すなわち、受信機の廃棄時に、ＣＰＵ
５から再度ＥＥＰＲＯＭ８１内の格納データを消去する
とともに、信号線２７を使用してＦＰＧＡデスクランブ
ル部２ａのＦＰＧＡ回路データを消去するのである。

【００７７】以上のように、本発明の第７の実施形態に
係る受信機は、デスクランブル部をＦＰＧＡ回路で構成
する。そして、受信機の廃棄時には、ＣＰＵ５からＥＥ
ＰＲＯＭ８１内の格納データおよびＦＰＧＡデスクラン
ブル部２ａのＦＰＧＡ回路データの消去を行う。これに
より、セキュリティに関連するデータおよび機能をすべ
て使用不能とした後に受信機を廃棄することができ、セ
キュリティに関連する情報の漏洩防止をより確実に図る
ことができる。

【００７８】なお、本第７の実施形態において示したＥ
ＥＰＲＯＭ８１内の格納データおよびＦＰＧＡデスクラ
ンブル部２ａのＦＰＧＡ回路データを受信機の廃棄時に
消去する処理は、上記第１の実施形態に係る受信機のみ
ならず上記第２〜第６の実施形態に係る受信機において
も同様に用いることが可能である。

【００７９】また、本発明に係る受信機は、上記第１〜
第７の実施形態で示したように無線の通信システムにの
み用いられるものではなく、インターネット等の有線に
よる通信システムにも同様に用いることができる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係る受信機の構成を
示すブロック図である。

【図２】本発明の第１の実施形態に係る受信機における
状態遷移を示す図である。

【図３】本発明の第２の実施形態に係る受信機の構成を
示すブロック図である。

【図４】本発明の第２の実施形態に係る受信機における
状態遷移を示す図である。

【図５】本発明の第３の実施形態に係る受信機の構成を
示すブロック図である。

【図６】本発明の第３の実施形態に係る受信機における
状態遷移を示す図である。

【図７】本発明の第４の実施形態に係る受信機の構成を
示すブロック図である。

【図８】本発明の第５の実施形態に係る受信機の構成を
示すブロック図である。

【図９】本発明の第６の実施形態に係る受信機の構成を
示すブロック図である。

【図１０】本発明の第７の実施形態に係る受信機の構成
を示すブロック図である。

【図１１】他の状態遷移の一例を示す図である。

【図１２】従来の受信機の構成の一例を示すブロック図
である。

【符号の説明】

１、１０１…復調部 ２、２ａ、１０２…デスクランブル部 ３…ＩＤ付加部 ４、１０４…ＲＡＭ ５、１０５…ＣＰＵ ６、１０６…ＲＯＭ ７、１０７…出力処理部 ８、８ａ…記憶部 １０、１１０…バス ２６、２７…信号線 ６１…ダウンロードモジュール（ＤＭ） ８１、１８１…ＥＥＰＲＯＭ ８２…アクセス監視部 ８３…リトライカウンタ ８４…偽データＥＥＰＲＯＭ

Claims (11)

【特許請求の範囲】
1. 【請求項１】 ダウンロードした受信データを電気的書
   き換え可能な不揮発性半導体メモリ（以下、ＥＥＰＲＯ
   Ｍという）に格納する受信機であって、 ＣＰＵと、 暗号化された受信データに対し、暗号解読を行うデスク
   ランブル手段と、 前記暗号解読後のデータを格納する前記ＥＥＰＲＯＭ
   と、 前記ＥＥＰＲＯＭに対して要求されるアクセスが正規な
   アクセスか不正なアクセスかを判断し、当該判断に応じ
   て前記ＥＥＰＲＯＭへのアクセス許可／不許可を制御す
   るアクセス監視手段と、 前記アクセス監視手段に対する不正なアクセスの回数を
   カウントし、当該カウントの値が予め定めた値に達した
   場合、前記アクセス監視手段へその旨を通知するリトラ
   イカウンタとを少なくとも備え、 前記アクセス監視手段は、前記リトライカウンタから前
   記通知があった場合、前記ＥＥＰＲＯＭ内のデータを消
   去することを特徴とする、受信機。
2. 【請求項２】 ダウンロードした受信データを電気的書
   き換え可能な不揮発性半導体メモリ（以下、ＥＥＰＲＯ
   Ｍという）に格納する受信機であって、 ＣＰＵと、 暗号化された受信データに対し、暗号解読を行うデスク
   ランブル手段と、 前記暗号解読後のデータを格納する前記ＥＥＰＲＯＭ
   と、 前記ＥＥＰＲＯＭに格納されているデータとは異なるデ
   ータが保存された偽データＥＥＰＲＯＭと、 前記ＥＥＰＲＯＭに対して要求されるアクセスが正規な
   アクセスか不正なアクセスかを判断し、当該判断に応じ
   て前記ＥＥＰＲＯＭまたは前記偽データＥＥＰＲＯＭへ
   のアクセス許可／不許可を制御するアクセス監視手段
   と、 前記アクセス監視手段に対する不正なアクセスの回数を
   カウントし、当該カウントの値が予め定めた値に達した
   場合、前記アクセス監視手段へその旨を通知するリトラ
   イカウンタとを少なくとも備え、 前記アクセス監視手段は、前記リトライカウンタから前
   記通知があった場合、前記偽データＥＥＰＲＯＭに対す
   るアクセス許可を行うことを特徴とする、受信機。
3. 【請求項３】 前記アクセス監視手段は、前記偽データ
   ＥＥＰＲＯＭに対するアクセス許可の後、さらに不正な
   アクセスがあった場合には、前記ＥＥＰＲＯＭ内のデー
   タを消去することを特徴とする、請求項２に記載の受信
   機。
4. 【請求項４】 ダウンロードした受信データを電気的書
   き換え可能な不揮発性半導体メモリ（以下、ＥＥＰＲＯ
   Ｍという）に格納する受信機であって、 ＣＰＵと、 暗号化された受信データに対し、暗号解読を行うデスク
   ランブル手段と、 前記暗号解読後のデータを格納する前記ＥＥＰＲＯＭ
   と、 前記ＥＥＰＲＯＭに対して要求されるアクセスが正規な
   アクセスか不正なアクセスかを判断し、当該判断に応じ
   て前記ＥＥＰＲＯＭへのアクセス許可／不許可を制御す
   るアクセス監視手段と、 前記アクセス監視手段に対する不正なアクセスの回数を
   カウントし、当該カウントの値が予め定めた値に達した
   場合、前記アクセス監視手段へその旨を通知するリトラ
   イカウンタとを少なくとも備え、 前記アクセス監視手段は、前記リトライカウンタから前
   記通知があった場合、当該通知以後のアクセスを受付け
   ないことを特徴とする、受信機。
5. 【請求項５】 前記アクセス監視手段は、前記アクセス
   を受付けない状態に遷移した後であっても、アクセスを
   行う際の方法とは異なる予め定めた方法によりアクセス
   の受付けが可能な状態に復帰させることを特徴とする、
   請求項４に記載の受信機。
6. 【請求項６】 前記アクセス監視手段は、前記異なる予
   め定めた方法において不正な行為が行われた場合には、
   前記ＥＥＰＲＯＭ内のデータを消去することを特徴とす
   る、請求項５に記載の受信機。
7. 【請求項７】 受信データを前記ＥＥＰＲＯＭにダウン
   ロードするための動作プログラムを別途記憶する記憶手
   段をさらに備え、 前記アクセス監視手段は、前記ＥＥＰＲＯＭ内のデータ
   を消去した場合、前記記憶手段に記憶している動作プロ
   グラムを前記ＥＥＰＲＯＭに読み出すとともに、同一の
   受信データを再び受信して前記ＥＥＰＲＯＭにダウンロ
   ードすることを特徴とする、請求項１または３若しくは
   ６のいずれかに記載の受信機。
8. 【請求項８】 データに固有の識別情報を付加するＩＤ
   付加手段をさらに備え、 前記ＥＥＰＲＯＭには、前記固有の識別情報を付加した
   後のデータを格納することを特徴とする、請求項１〜７
   のいずれかに記載の受信機。
9. 【請求項９】 前記デスクランブル手段は、電気的に書
   き換え可能な素子を用いて回路が構成されており、 前記アクセス監視手段は、前記リトライカウンタから前
   記通知があった場合、前記ＥＥＰＲＯＭ内のデータを消
   去するとともに、前記デスクランブル手段の回路を消去
   することを特徴とする、請求項１〜８のいずれかに記載
   の受信機。
10. 【請求項１０】 前記デスクランブル手段は、電気的に
    書き換え可能な素子を用いて回路が構成されており、 前記ＣＰＵは、外部からの指示に従って、前記ＥＥＰＲ
    ＯＭ内のデータの消去、および前記デスクランブル手段
    の回路の消去を行うことを特徴とする、請求項１〜９の
    いずれかに記載の受信機。
11. 【請求項１１】 送信されるデータを受信し、当該受信
    したデータを内部に格納または外部へ出力する受信機で
    あって、 送信されるデータを受信する受信手段と、 前記受信手段から出力されるデータに固有の識別情報を
    付加するＩＤ付加手段と、 前記固有の識別情報が付加されたデータを内部に格納ま
    たは外部へ出力する処理手段とを少なくとも備える、受
    信機。