NO323019B1 - Smartkort for bruk sammen med en mottager av krypterte kringkastingssignaler, samt kombinasjon av dette smartkort og en mottager/dekoder - Google Patents

Description

Foreliggende oppfinnelse gjelder et smartkort for bruk sammen med en mottager av krypterte kringkastingssignaler i et kringkastings- og mottagningssystem, en mottager/dekoder for å motta og dekryptere kringkastingssignaler, en anordning for kringkasting av krypterte signaler og en fremgangsmåte for å kringkaste krypterte signaler.

Særlig, men ikke utelukkende, gjelder oppfinnelsen et kringkastingssystem beregnet på forbrukermarkedet og som har noen av eller alle de etterfølgende foretrukne trekk: • Det er et informasjonskringkastingssystem, fortrinnsvis et radio- og/eller fjernsyns-kringkastingssystem. • Det er et satellittsystem (skjønt oppfinnelsen kan anvendes på kabel- eller jordbundet transmisjon). • Det er et digitalt system som fortrinnsvis utnytter kompresjonssystemet MPEG, enda bedre MPEG-2, for data/signaloverføring.

• Det gir muligheten for interaktivitet.

• Det benytter smartkort.

Uttrykket "smartkort" brukes her i en bred betydning og innbefatter (men ikke utelukkende) ethvert mikroprosessorbasert kort eller gjenstand med lignende funksjon og ytelse.

US 5 144 663 beskriver et CPTV-kort (Card Pay Television) for bruk sammen med en dekoder i et kringkastingssystem. CPTV-kortet har en mikroprosessor med en ikke-flyktig hukommelse. Fra en mikroprosessor i dekoderen mottar kortet chifrerte nøkler og returnerer dechifrerte nøkler til mikroprosessoren når et fjernsynsprogram er blitt kjøpt. Kortet har en liste i en hukommelse over programmer som er blitt kjøpt for å tillate kortet å returnere den dechifrerte nøkkel til mikroprosessoren bare når programmet er blitt kjøpt. For å kjøpe en utsendelse vises det frem på fjernsynsskjermen en liste over kommende programmer sammen med pris, dato for kringkasting og annen informasjon. Dersom kreditten som står til rådighet for brukeren (slik den er lagret på kortet) er tilstrekkelig for kjøp av et ønsket program, kjøpes programmet og legges til listen over kjøpte programmer lagret på kortet og prisen på programmet trekkes fra kreditten på kortet. Kortet er i stand til å huske all konfidensiell og hemmelig informasjon som er nødvendig for å gjenopprette et omkastet program. Kortet forvalter kreditt, husker de programmer som er kjøpt og tillater gjenoppretting av kjøpte programmer. Kortet kan tilbakestilles og alle lagrede data kan endres. Det er således mulig å modifisere nøklene for gjenoppretting og bruke kortet på nytt etter at det er blitt omprogrammert.

WO96/06504 beskriver en betalingsfjernsynstjeneste hvor en bruker som ønsker å gjøre tilgang til tjenesten, setter inn et smartkort i en kortleser i en apparattopp-terminal. En sikkerhetsprosessor på smartkortet behandler mottatte ECM- og EMM-data for å generere nøkler for gjenoppretting og som via en mikromaskinstyring i terminalen over-føres til en gjenoppretter i terminalen hvor et inngangssignals omkastede komponent gjenopprettes.

EP 0 679 029 beskriver et system hvor det sendes abonnentinformasjon hvor en ID er tilordnet en dekoder og en ID er tilordnet et smartkort. Nøkler for bruk ved dekryptering av programmers audio- og videosignaler krypteres to ganger ved å bruke begge disse Ideer, hvilket fører til at smartkortet bruk innskrenkes til én bestemt dekoder. Systemet tillater også at smartkortet erstattes etter et brudd på sikkerheten.

I et første aspekt fremskaffer foreliggende oppfinnelse et smartkort for bruk sammen med en mottager av krypterte kringkastingssignaler, idet smartkortet omfatter:

- en mikroprosessor for å muliggjøre eller styre dekryptering av nevnte signaler, og

- en hukommelse koblet til nevnte mikroprosessor.

På denne bakgrunn av prinsipielt kjent teknikk har da smartkortet i henhold til oppfinnelsen som særtrekk at mikroprosessoren er tilpasset for å muliggjøre eller styre enkeltdekryptering av flere sådanne signaler fra forskjellige kringkastingsleverandører av sådanne signaler ved hjelp av respektive dynamisk skapte soner i nevnte hukommelse, idet hver av de dynamisk skapte soner er innrettet for å lagre dekrypteringsdata knyttet til en respektiv av nevnte kringkastingsleverandører, mens smartkortet også omfatter en forvalterhukommelsessone innrettet for å inneholde data som gjelder smartkortet rettigheter til å styre dynamisk opprettelse og fjerning av de dynamisk skapte soner.

Dynamisk opprettelse (og fjerning) av soner i smartkortet gjør det mulig for rettighetene gitt til en abonnent å bli lett og raskt endret ved hjelp av f.eks. EMM'er (Entitlement Management Messages) som periodisk sendes av kring kasteren, mottas av mottager/- dekoderen og formidles til smartkortet.

Fortrinnsvis har smartkortet også en identifikator og i det minste en hemmelig krypteringsnøkkel knyttet til en enkelt av nevnte kringkastingsleverandører, idet nevnte identifikator og nøkkel (eller nøkler) er lagret i en av de dynamisk skapte soner og ordnet for å dekryptere kringkastingssignaler som har en identitet som tilsvarer vedkommende identifikator og som er kryptert ved bruk av en krypteringsnøkkel som tilsvarer vedkommende dekrypteringsnøkkel.

For hver sone kan smartkortet også ha en lagret gruppeidentifikator og en ytterligere identifikator som identifiserer den innenfor vedkommende gruppe og er ordnet for å dekryptere kringkastingssignaler som har en identitet tilsvarende den lagrede gruppeidentifikator.

Smartkortet kan være innrettet for å vedlikeholde en første rekke hukommelsessoner som inneholder de forskjellige kringkastingsleverandørers identitet og en andre rekke dynamisk skapte hukommelsessoner, idet hver av sonene i den andre rekke er merket med en kringkasters identitet og inneholder data som innbefatter nevnte krypteringsdata som brukes for å håndtere mottatte kringkastingssignaler fra vedkommende leverandør, og flere hukommelsessoner i den andre rekke som har et felles identitetsmerke og inneholder forskjellige klasser data som gjelder håndteringen av mottatte kringkastingssignaler fra vedkommende kringkastingsleverandør.

Smartkortet er fortrinnsvis innrettet for dynamisk å skape hukommelsessonene i den første rekke. De dynamisk skapte hukommelsessoner kan være fortløpende.

En av de dynamisk skapte soner kan inneholde rettighetsdata som angir et bestemt utvalg kringkastingsutsendelser som kringkastes av en kringskastingsleverandør og som brukeren av smartkortet er berettiget til å dekryptere, idet smartkortet er innrettet for å utnytte disse rettighetsdata for å dekryptere utsendelser kringkastet av vedkommende leverandør.

I tillegg til nevnte dynamisk skapte soner kan en transaksjonshukommelsessone være definert på smartkortet, som inneholder ytterligere rettighetsdata som gjelder utsendelser kringkastet av en kringkastingsleverandør og som en bruker av smartkortet er berettiget til å dekryptere bare som reaksjon på et transaksjonsutgangssignal som kan genereres av smartkortet under styring av brukeren.

Smartkortet kan også omfatte en teller for å telle antallet anledninger som en utsendelse kringkastes ved etter avgivelse av nevnte transaksjonsutgangssignal, idet smartkortet er innrettet for å portstyre dekrypteringen av vedkommende utsendelse avhengig av teller-verdien nådd av nevnte teller.

I et andre aspekt fremskaffer foreliggende oppfinnelse en kombinasjon av det ovenfor beskrevne smartkort og en mottager/dekoder for bruk sammen med smartkortet, idet mottager/dekoderen omfatter en smartkortleser og er innrettet for å dekryptere krypterte kringkastingssignaler under styring av smartkortet.

Mottager/dekoderen kan være innrettet for å dekryptere krypterte, kringkastede video-og/eller audiosignaler for å generere tilsvarende video- og/eller audioutgangssignaler.

Mottager/dekoderen har fortrinnsvis en inngangsport med forholdsvis stor båndbredde for å motta nevnte krypterte kringkastingssignaler og en utgangsport med forholdsvis liten bandbredde anordnet for å sende utgangsstyresignaler tilbake til en kringkastingssender.

Mottager/dekoderen inneholder fortrinnsvis en lagret identifikator og er innrettet for å arbeide bare sammen med et smartkort som har en tilsvarende lagret identifikator.

Foretrukne trekk ved foreliggende oppfinnelse vil nå bli beskrevet bare som eksempel med henvisning til de vedføyde tegninger, på hvilke: Fig. 1 viser den samlede arkitektur av et digitalt fjernsynssystem i samsvar med den

foretrukne utførelse av foreliggende oppfinnelse,

fig. 2 viser arkitekturen av et betinget tilgangssystem i det digitale fjernsynssystem,

fig. 3 viser strukturen for en berettigelsesforvaltermelding som benyttes i det betingede

tilgangssystem,

fig. 4 er et skjematisk diagram av maskinvaren i et abonnentautoriseringssystem (SAS)

i samsvar med en foretrukket utførelse av foreliggende oppfinnelse,

fig. 5 er et skjematisk diagram av arkitekturen av SAS'et,

fig. 6 er et skjematisk diagram av en teknisk abonnentforvaltertjener som utgjør en del

av SAS'et,

fig. 7 er et flytskjema av prosedyren for automatisk fornyelse av abonnementer slik

den er realisert ved hjelp av SAS'et,

fig. 8 er et skjematisk diagram av en gruppeabonnementsmatrise som brukes i den automatiske fornyelsesprosedyre,

fig. 9 viser strukturen av en EMM som brukes i den automatiske fornyelsesprosedyre, fig. 10 viser i detalj strukturen av EMM'en,

fig. 11 er et skjematisk diagram av en sentralisert ordretjener når den brukes for å

motta kommandoer direkte gjennom kommunikasjonstjenere,

fig. 12 viser skjematisk en del av fig. 2, som viser en utførelse av foreliggende

oppfinnelse,

fig. 13 er et skjematisk diagram av den sentraliserte ordretjener når den brukes for å

motta kommandoer fra abonnentautoriseringssystemet for å anmode om en

tilbakemelding,

fig. 14 er et skjematisk diagram av kommunikasjonstjenerene,

fig. 15 anskueliggjør den måte som EMM-sendesyklushastigheten varieres på i samsvar

med tidsstyringen av en PPV-hendelse,

fig. 16 er et skjematisk diagram av en meldingssender som brukes for å sende ut

EMM'er,

fig. 17 er et skjematisk diagram som viser den måte som EMM'er lagres på i

meldingssenderen,

fig. 18 er et skjematisk diagram av et smartkort,

fig. 19 er et skjematisk diagram av et arrangement av sonene i hukommelsen på

smartkortet, og

fig. 20 er et skjematisk diagram av en PPV-hendelsesbeskrivelse.

En oversikt over et digitalt fjemsynskringkastings- og mottagningssystem 1000 i henhold til foreliggende oppfinnelse er vist i fig. 1. Oppfinnelsen omfatter et i hovedsak konven-sjonelt digitalt fjernsynssystem 2000 som utnytter det kjente MPEG-2-kompresjons-system for å sende komprimerte digitale signaler. Mer detaljert mottar MPEG-2-komprimatoren 2002 i et kringkastingssenter en digital signalstrøm (typisk en strøm av videosignaler). Komprimatoren 2002 er forbundet med en multiplekser og omkaster (scrambler) 2004 over en lenking 2006. Multiplekseren 2004 mottar flere ytterligere inngangssignaler for å assemblere en eller flere transportstrømmer og sende komprimerte digitale signaler til en sender 2008 i kring kasting ssenteret via en lenking 2010 som selvsagt kan ha mange slags forskjellige former, slik som telekommunikasjonsforbind-elser. Senderen 2008 sender elektromagnetiske signaler via en forbindelse 2012 oppover mot en satellit-transponder 2014 hvor signalene behandles elektronisk og kringkastes via en tenkt forbindelse 2016 nedover mot en jordmottager 2018 som vanligvis har form av en reflektorskål som eies eller leies av sluttbrukeren. Signalene som mottas av mottageren 2018 overføres til en integrert mottager/dekoder 2020 som eies eller leies av sluttbrukeren og er forbundet med sluttbrukerens fjernsynsapparat 2022. Mottager/dekoderen 2020 dekoder det komprimerte MPEG-2-signal til et fjernsynssignal for fjernsynsapparatet 2022.

Et betinget tilgangssystem 3000 er forbundet med multiplekseren 2004 og mottager/- dekoderen 2020, og befinner seg delvis i kringkastingssenteret og delvis i dekoderen. Dette gjør det mulig for sluttbrukeren å gjøre tilgang til digitale fjensynsutsendelser fra en eller flere kringkastingsleverandører. Et smartkort som er i stand til å dekryptere meldinger som gjelder kommersielle tilbud (dvs. et eller flere fjernsynsprogrammer som selges av kringkastingsleverandøren) kan føres inn i mottager/dekoderen 2020. Ved å bruke dekoderen 2020 og smartkortet kan sluttbrukeren kjøpe hendelser enten i abonnementsmodus eller en betal pr. visning-modus.

Et interaktivt system 4000 som også er forbundet med multiplekseren 2004 og mottager/dekoderen 2020, og som også befinner seg delvis i kringkastingssenteret og delvis i dekoderen, gjør det mulig for sluttbrukeren å kommunisere med forskjellige brukerprogrammer via en modemtilkoblet bakoverkanal 4003.

Systemet 3000 for betinget tilgang skal nå beskrives mer detaljert.

Det henvises til fig. 2 som i en oversikt over det betingede tilgangssystem 3000 omfatter et abonnentautoriseringssystem (SAS) 3002. SAS'et 3002 er forbundet til et eller flere abonnentforvaltersystemer (SMS) 3004, dvs. et SMS for hver kringkastingsleverandør, via respektive TCP-IP-lenkinger 3006 (skjønt andre typer forbindelser alternativt kan benyttes). Alternativt kan et SMS deles mellom to kringkastingsleverandører eller en leverandør kan bruke to SMS'er, osv.

Første krypterende enheter i form av chifreringsenheter 3008 som utnytter "moder"-smartkort 3010, er forbundet med SAS'et via en lenking 3012. Andre krypterende enheter som også har form av chifreringsenheter 3014 og som også utnytter "moder"-smartkort 3016 er forbundet med multiplekseren 2004 via en lenking 3018. Mottager/- dekoderen 2020 mottar et "datter"-smartkort 3020. Den er forbundet direkte med SAS'et 3002 ved hjelp av kommunikasjonstjenere 3022 via den modemtilkoblede bakoverkanal 4002. SAS'et sender bl.a. på anmodning abonnementsrettigheter til dattersmartkortet. Smartkortene inneholder hemmelighetene til et eller flere kommersielle driftsselskaper (eller operatører). "Moder"-smartkortet krypterer forskjellige typer meldinger og "datter"-smartkortene dekrypterer meldingene dersom de har rett til å gjøre det.

De første og andre chifreringsenheter 3008 og 3014 omfatter et stativ, et elektronisk VME-kort med programvare lagret i en EEPROM, inntil 20 elektronikkort og et smartkort 3010 eller 3016 for hvert elektronikkort, dvs. ett kort (3016) for kryptering av ECIvVer og ett kort (3010) for kryptering av EMM'er.

Virkemåten for det betingede tilgangssystem 3000 i det digitale fjernsynsstystem vil nå bli beskrevet mer detaljert med henvisning til de forskjellige komponenter i fjernsyns-systemet 2000 og det betingede tilgangsstystem 3000.

Multiplekser og om kaster

Med henvisning til fig. 1 og 2 blir det digitale videosignal i kringkastingssenteret først komprimert (eller bithastigheten senket) ved å utnytte MPEG-2-komprimatoren 2002. Dette komprimerte signal sendes så til multiplekser- og omkasteren 2004 via lenkingen 2006 i den hensikt å bli multiplekset med andre data, slik som andre komprimerte data.

Omkasteren generer et styreord som utnyttes i omkastningsprosessen for i multiplekseren 2004 å bli innlemmet i MPEG-2-strømmen. Styreordet genereres internt og gjør det mulig for sluttbrukerens integrerte mottager/dekoder 2020 å gjenopprette (descramble) programmet.

Tilgangskriterier som angir hvordan programmet er kommersialisert blir også lagt til MPEG-2-strømmen. Programmet kan være kommersialisert i en av et antall "abonnements"-modi og/eller en av et antall betal pr. visning (PPV - Pay Per View)-modi eller -hendelser. I abonnementsmodus abonnerer sluttbrukeren på ett eller flere kommersielle tilbud, eventuelt "buketter" for således å få rettigheter til å se på hver kanal inneholdt i sådanne buketter. I den foretrukne utførelse kan inntil 960 kommersielle tilbud velges fra en bukett av kanaler. I modusen betal pr. visning gis sluttbrukeren muligheten til å kjøpe hendelser etter som han ønsker. Dette kan oppnås enten ved forhåndsbestilling av vedkommende hendelse på forhånd ("forhåndsbestillingsmodus") eller ved å kjøpe hendelsen så snart den kringkastes ("impulskjøpmodus"). I den foretrukne utførelses-form er alle brukere abonnenter enten de ser på i abonnements- eller PPV-modus, men PPV-seere behøver naturligvis nødvendigvis ikke være abonnenter.

Både styreord og tilgangskriterier benyttes for å bygge opp en berettigelsesstyremelding (ECM - Entitlement Control Message). Dette er en melding som sendes i sammenheng med et omkastet program, idet meldingen inneholder et styreord (som åpner for gjenoppretting av programmet) og det kringkastede programs tilgangskiriteria. Tilgangskriteriene og styreordet sendes til den andre krypterende enhet 3014 via lenkingen 3018. I denne enhet genereres en ECM som krypteres og sendes videre til multiplekser- og omkasteren 2004.

Hver tjenesteutsendelse fra en kringkastingsleverandør omfatter et antall adskilte komponenter i en datastrøm. For eksempel inneholder et fjernsynsprogram en videokompo-nent, en audiokomponent, en teksting-komponent, osv. Hver av disse komponenter i en tjeneste omkastes og krypteres hver for seg for påfølgende kringkasting til transponderen 2014. For hver omkastet komponent i tjenesten fordres det en adskilt en ECM.

Programutsendelse

Multeplekseren 2004 mottar elektriske signaler som omfatter krypterte EMM'er fra SAS'et 3002 og krypterte ECM'er fra den andre krypterende enhet 3014 samt komprimerte programmer fra komprimatoren 2002. Multiplekseren 2004 omkaster programmene og overfører de omkastede programmer, de krypterte EMM'er og de krypterte ECM'er, som elektriske signaler til en sender 2008 i kringkastingssenteret via lenkingen 2010. Senderen 2008 sender ut elektromagnetiske signaler mot satellittransponderen 2014 via oppoverforbindelsen 2012.

Programmottagelse

Satellittransponderen 2014 mottar og behandler de elektromagnetiske signaler sendt ut fra senderen 2008 og sender signalene videre til jordmottageren 2018 som vanligvis har form av en reflektorskål som eies eller leies av sluttbrukeren, via nedoverforbindelsen 2016. Signalene som mottas av mottageren 2018, sendes til den integrerte mottager/- dekoder 2020 som eies eller leies av sluttbrukeren og er forbundet med sluttbrukerens fjensynsapparat 2022. Mottager/dekoderen 2020 demultiplekser signalene for å oppnå omkastede programmer sammen med de krypterte EMM'er og krypterte ECM'er.

Dersom programmet ikke er omkastet, dvs. ingen ECM ble sendt ut sammen med MPEG-2-strømmen, dekomprimerer mottager/dekoderen 2020 dataene og omformer signalet til et videosignal for overføring til fjernsynsapparatet 2022.

Dersom programmet er omkastet, trekker mottager/dekoderen 2020 ut den tilhørende ECM fra MPEG-2-strømmen og sender ECM'en til sluttbrukerens "datter"-smartkort 3020. Dette passer inn i en spalte i huset for mottager/dekoderen 2020. Dattersmartkortet 3020 undersøker om sluttbrukeren har rett til å dekryptere ECM'en og få tilgang til programmet. Hvis ikke, sendes negativ status til mottager/dekoderen 2020 for å angi at programmet ikke kan gjenopprettes. Dersom sluttbrukeren har rettighetene, blir ECM'en dekryptert og styreordet trukket ut. Dekoderen 2020 kan så gjenopprette programmet ved å utnytte dette styreord. MPEG-2-strømmen dekomprimeres og omdannes til et videosignal for videreformidling til fjernsynsapparatet 2022.

Abonnentforvaltersvstemet

Abonnentforvaltersystemet (SMS - Subscriber Management System) 3004 omfatter en database 3024 som bl.a. forvalter alle sluttbrukerfiler, kommersielle tilbud (slik som priser og salgsfremmende tiltak), abonnementer, detaljer angående betaling pr. visning (PPV) og data angående sluttbruker-forbruk og -autorisering. SMS'et kan fysisk befinne seg fjernt fra SAS'et.

Hvert SMS 3004 sender ut meldinger til SAS'et 3002 via respektive lenkinger 3006, som innebærer modifikasjoner i eller at det opprettes berettigelsesforvaltermeldinger (EMM'er) som skal sendes til sluttbrukere.

SMS'et 3004 sender også ut meldinger til SAS'et 3002 som ikke innebærer modifikasjoner i eller at det opprettes EMM'er, men ganske enkelt medfører en endring i en sluttbrukers status (som gjelder den autorisasjon som gis til sluttbrukeren når han bestiller produkter eller det beløp som sluttbrukeren vil bli belastet).

Som beskrevet senere sender SAS'et 3002 meldinger (som typisk anmoder om informasjon om f.eks. tilbakemelding eller regningsutsendelse) til SMS'et 3004, slik at det vil være klart at kommunikasjonen mellom de to, er toveis.

Berettiqelsesforvaltermeldinqene

En berettigelsesforvaltermelding (EMM - Entitlement Management Messages) er en dedikert melding til bare én enkelt sluttbruker (abonnent) eller bare en gruppe sluttbrukere (i motsetning til en ECM som er beregnet på bare ett omkastet program eller et sett omkastede programmer, dersom det er del av det samme kommersielle tilbud). Hver gruppe kan inneholde et gitt antall sluttbrukere. En sådan organisering i form av en gruppe har til hensikt å optimallisere båndbredden, dvs. at tilgang til en gruppe tillater at et stort antall sluttbrukere kan nås.

Forskjellige spesifikke EMM-typer utnyttes for å sette foreliggende oppfinnelse ut i livet. Enkelte EMM'er er beregnet på enkeltabonnenter og benyttes typisk for å skaffe tilveie tjenester av typen betaling pr. visning, idet disse inneholder gruppeidentifikatoren og abonnentens stilling i vedkommende gruppe. Såkalte "gruppeabonnements"-EMM'er er beregnet på grupper bestående av f.eks. 256 enkeltbrukere og benyttes typisk for å administrere visse abonnementstjenester. Denne type EMM har en gruppeidentifikator og en abonnentgruppematrise (bitmap). Publikums-EMM'er er beregnet på hele publikummet og kan f.eks. benyttes av et bestemt driftsselskap for å frembringe visse gratis tjenester. Et "publikum" er den samlede skare abonnenter som har smartkort som bærer den samme selskapsidentifikator (OPI - Operator Identifier). Endelig adresseres en "unik" EMM til smartkortets unike identifikator.

En typisk EMM's struktur skal nå beskrives med henvisning til fig. 3. I grunnen omfatter en EMM som er realisert som en rekke digitale databiter, et innledende felt 3060, selve EMM'en 3062 og en signatur 3064. Det innledende felt 3060 omfatter i sin tur en type-identifikator 3066 for å angi om typen er indiviuell, gruppe, publikum eller en annen type, en lengdeidentifikator 3068 som gir EMM'ens lengde, en valgfri adresse 3070 for EMM'en, en selskapsidentifikator 3072 og en nøkkelidentifikator 3074. Selve EMM-kjernen 3062 varierer selvsagt i stor grad, avhengig av sin type. Endelig gir signaturen 3064 som typisk har en lengde på 8 byte, et antall kontroller mot korrumpering av de øvrige data i EMM'en.

Abonnentautoriseringssvtemet

De meldinger som genereres av SMS'et 3004 passerer via en lenking 3006 til abonnent-autoriseringssytemet (SAS - Subscriber Authorization System) 3002 som i sin tur generer meldinger som erkjenner mottagelse av meldinger generert av SMS'et 3004, og sender disse erkjennelser til SMS'et 3004.

Som vist i fig. 4 består SAS'et på maskinvarenivået på kjent måte av en stormaskin 3050 (i den foretrukne utførelse en DEC-datamaskin) forbundet med ett eller flere tastaturer 3052 for inntasting av data og kommandoer, en eller flere fremviserenheter (VDU - Visual Display Unit) 3054 for å vise frem utgangsinformasjon og datalagerutstyr 3056. Det kan sørges for en viss redundans med hensyn til maskinvare.

I den foretrukne utførelse arbeider SAS'et på programvarenivået med en programvare-pakke hvis arkitektur nå skal generelt beskrives med henvisning til fig. 5, på et åpent, standard VMS-operativsystem, idet det skal forstås at programvaren alternativt kunne vært realisert i maskinvare.

Grovt sett omfatter SAS'et et abonnementskjedeområde 3100 for å gi rettigheter for abonnementsmodus og for automatisk å fornye rettighetene hver måned, et PPV-kjedeområde 3200 for å gi rettigheter for hendelser av typen betaling pr. visning og en EMM-injektor 3300 for å bringe EMM'er skapt av abonnements- og PPV-kjedeområdene videre til multiplekser- og omkasteren 2004 for derved å mate MPEG-strømmen med EMM-er.

Dersom det skal gis andre rettigheter, slik som rett til betaling pr. fil (PPF - Pay Per File) i tilfellet av nedlasting av programvare til en brukers personlige datamaskin (PC - Personal Computer), er andre lignende områder også anordnet.

En funksjon ved SAS 3002 er å forvalte tilgangsrettighetene til fjernsynsprogrammer som er tilgjengelige som kommersielle tilbud i abonnementsmodus eller som selges som PPV-hendelser i samsvar med forskjellige typer kommersialisering (forhåndsbestillingsmodus, impulskjøpmodus). I henhold til sådanne rettigheter og informasjon mottatt fra SMS'et 3004 genererer SAS'et 3002 EMM'er for abonnenten.

Abonnementskjedeområdet 3100 omfatter et kommandogrensesnitt (Cl - Command Interface) 3102, en tjener 3104 for teknisk abonnentforvaltning (STM - Subscriber Technical Management), en meldingsgenerator (MG) 3106 samt en chifreringsenhet 3008.

PPV-kjedeområdet 3200 omfatter en autoriseringstjener (AS - Authorization Server) 3202, en relasjonsdatabase 3204 for å lagre relevante detaljer om sluttbrukerene, en lokal database 3205 for svartelisting, databasetjenere 3206 for databasen, en sentralisert ordretjener (OCS - Order Centralized Server) 3207, en tjener for programkringkasteren (SPB - Server for Programme Broadcaster) 3208, en meldingsgenerator (MG) 3210 hvis funksjon i hovedsak er den samme som den i abonnementskjedeområdet og som derfor ikke blir nærmere beskrevet, samt en chifreringsenhet 3008. EMM-injektoren 3300 omfatter flere meldingssendere (ME - Message Emitter) 3302, 3304, 3306 og 3308, og programvaremultipleksere (SMUX - Software Multiplexers) 3310 og 3312. I den foretrukne utførelse foreligger det to meldingssendere (ME) 3302 og 3304 for meldingsgeneratoren 3106, mens de to andre meldingssendere 3306 og 3308 er for meldingsgeneratoren 3210. Meldingssenderene 3302 og 3306 er forbundet med SMUX'en 3310 mens meldingssenderene 3304 og 3308 er forbundet med SMUX'en 3312.

Hver av de tre hovedkomponenter i SAS'et (abonnementskjedeområdet, PPV-kjedeområdet og EMM-injektoren) skal nå betraktes mer detaljert.

Abonnementskjedeområdet

Først betraktes abonnementskjedeområdet 3100 hvor kommandogrensesnittet 3102 primært er for å ekspedere meldinger fra SMS'et 3004 tii STM-tjeneren 3104 såvel som til OCS'en 3206, samt fra OCS'en til SMS'et. Som inngang fra SMS'et tar kommandogrensesnittet enten kommandoer direkte eller satsfiler som inneholder kommandoer. Det utfører en syntaktisk analyse av meldingene som kommer fra STM-tjeneren og er i stand til å sende ut nøyaktige meldinger når en feil opptrer i en melding (en melding som er utenfor sitt verdiområde, en manglende parameter, osv.). Det sporer innkommende kommandoer i tekstform til en sporfil 3110 og også i binær form til en avspillingsfil 3112 for å være i stand til å avspille en rekke kommandoer. Spor kan sperres og størrelsen av filene begrenses.

En detaljert drøftelse av STM-tjeneren 3104 skal nå gis med særlig henvisning til fig.6. STM-tjeneren er i grunnen hovedmaskinen i abonnementskjedeområdet og har som formål å forvalte frie rettigheter, skape nye abonnenter og fornye eksisterende abonnenter. Som vist i figuren sendes kommandoer videre til meldingsgeneratoren

3106, skjønt i et annet format enn det som kommandoene sendes til STM-tjeneren med.

STM-tjeneren er slik innrettet at for hver kommando sender den en erkjennelsesmelding til kommandogrensesnittet bare når det har lykkes å behandle den relevante kommando og den er blitt sendt til meldingsgeneratoren.

STM-tjeneren har en abonnentdatabase 3120 hvor alle relevante parametre om abonnentene er lagret (smartkortnummer, kommersielle tilbud, status, gruppe og stilling i gruppen, osv.). Databasen utfører semantiske kontroller av kommandoene som sendes av kommandogrensensittet 3102 mot innholdet i databasen, og oppdaterer databasen når kommandoene er gyldig.

STM-tjeneren forvalter også en buffer 3122 av typen først inn - først ut (FIFO) mellom STM-tjeneren og meldingsgeneratoren (MG), såvel som et FIFO-reserveplatelager 3124. Formålet for FIFO'ene er å ta gjennomsnittet av flyten av kommandoer fra kommandogrensesnittet dersom meldingsgeneratoren av en eller annen grunn en stund ikke er i stand til å reagere. De kan også sikre at dersom STM-tjeneren eller meldingsgeneratoren bryter sammen, vil ingen kommando bli mistet, siden STM-tjeneren er innrettet for å tømme (dvs. sende til meldingsgeneratoren) sine FIFO'er når den startes påny. FIFO'ene er realisert i form av filer.

I sin kjerne har STM-tjeneren en automatisk fornyelsestjener 3126 som automatisk genererer fornyelse og dersom det fordres av driftsselskapet, gratis rettigheter. I denne sammenheng kan genereringen av fornyelser betraktes som å innbefatte første gangs generering av rettigheter, skjønt det vil forstås at generering av nye rettigheter iverk-settes ved SMS'et. Som det vil fremgå kan de to håndteres med omtrent de samme kommandoer og EMM'er.

Det å ha STM'en adskilt fra SAS'et og den automatiske fornyelsestjener innenfor SAS'et

i stedet for (slik som i kjente systemer) i SMS'et 3004, er et særlig viktig trekk, siden det i vesentlig grad kan redusere antallet kommandoer som behøver å bli sendt fra SMS'et

til SAS'et (idet det minnes om at SMS'et og SAS'et kan befinne seg på forskjellige steder og drives av forskjellige selskaper). Faktisk er de to hovedkommandoer som fordres fra SMS'et bare kommandoer om at et nytt abonnement skal startes og at et eksisterende abonnement skal stanses (f.eks. i tilfellet av manglende betaling). Ved å gjøre kommandoutvekslingen mellom SMS'et og SAS'et så liten som mulig, reduseres også muligheten for feil ved kommandooverføringen over lenkingen 3006 mellom de to, og dessuten behøver konstruksjonen av SMS'et generelt ikke ta hensyn til trekkene ved det betingede tilgangssystem 3000.

Den automatiske fornyelse skjer på den måte som er angitt i flytskjemaet vist i fig. 7. For å minske båndbredden og gitt at en meget stor andel av alle fornyelser er av standard type, skjer fornyelsen for grupper av abonnenter, og i de foretrukne utførelser er det 256 enkeltabonnenter pr. gruppe. Flytskjemaet begynner ved starttrinnet 3130 og fortsetter til trinnet 3132 hvor en månedlig aktivering av fornylesesfunksjonen gjøres

(skjønt det selvsagt vil forstås at andre hyppigheter også er mulig). Med en månedlig hyppighet blir rettigheter gitt til en sluttbruker for den løpende måned og alle etter-følgende måneder på det tidspunkt de vil utløpe dersom de ikke fornyes.

I trinnet 3134 gjøres det tilgang til abonnentdatabasen 3120 med hensyn til hver gruppe og hver enkelt innenfor vedkommende gruppe, for å avgjøre om rettigheter skal fornyes for en bestemt enkeltabonnent.

I trinnet 3136 settes det opp en gruppeabonnementsmatrise i samsvar med innholdet i abonnentdatabasen, slik som vist i fig. 8. Matrisen omfatter en gruppeidentifikator (i dette tilfelle for gruppe 1, dvs. "G1") 3138 samt 256 individuelle abonnentsoner 3140. De enkelte biter i matrisen innstilles til "1" eller "0" i samsvar med om vedkommende abonnent skal få sine rettigheter fornyet, eller ikke. I figuren er det vist et typisk sett av binære data.

I trinnet 3142 bringes de passende kommandoer, innbefattet gruppeabonnements-matrisen, til meldingsgeneratoren 3106. I trinnet 3143 innstiller meldingsgeneratoren en foreldelsesdato for overfor smartkortet å angi den dato fra hvilken vedkommende abonnement-EMM ikke er gyldig, og denne dato blir typisk innstilt til slutten av neste måned.

Ut fra kommandoene genererer i trinnet 3144 meldingsgeneratoren passende gruppeabonnement-EMM'er og ber chifreringsenheten 3008 chifrere EMM'ene, hvoretter de chifrerte EMM'er blir sendt til EMM-injektoren 3300 som i trinnet 3141 setter EMM'ene inn i MPEG-2-datastrømmen.

Trinn 3148 angir at den ovenfor beskrevne prosedyre gjentas for hver eneste gruppe. Prosessen bringes så til sist til sin avslutning ved stopptrinnet 3150.

Flytskjemaet som ovenfor er beskrevet med henvisning til fig. 7 gjelder faktisk spesielt fornyelse av abonnementer. På en lignende måte administrerer STM'en frie publikumsrettigheter og nye abonnenter.

I tilfellet av frie eller gratis publikumsrettigheter som er tilgjengelig for spesifikke fjernsynsprogrammer eller grupper av sådanne programmer, gjøres de tilgjengelig av STM'en som utsteder en kommando til meldingsgeneratoren for å generere passende publikums-EMM'er (for hele publikummet) med en foreldelsesdato et gitt antall dager (eller uker) senere. Meldingsgeneratoren beregner den nøyaktige foreldelsesdato på grunnlag av STM-kommandoen.

I tilfellet av nye abonnenter blir disse håndtert i to trinn. Ved innkjøp gir for det første smartkortet i mottager/dekoderen 2020 abonnenten frie rettigheter (dersom selskapet ønsker det) for en viss periode (typisk noen få dager). Dette oppnås ved å generere en bit-matrise (bitmap) for abonnenten som inneholder den relevante foreldelsesdato. Abonnenten sender så sine utfylte skjemaer til det selskap som forvalter abonnenten (ved SMS'et). Så snart skjemaene er blitt behandlet gir SMS'et en startkommando for vedkommende abonnent til SAS'et. Når SAS'et mottar startkommandoen kommanderer STM'en meldingsgeneratoren til å tildele en entydig adresse til den nye abonnent (med et spesielt gruppenummer og stilling innenfor gruppen) og til å generere en spesiell, såkalt "kommersielt tilbud"-abonnements-EMM {i motsetning til den mer vanlige "gruppe"-abonnements-EMM som brukes ved fornyelser) for å gi vedkommende abonnent rettigheter inntil slutten av neste måned. Deretter kan fornyelse av abonnementet skje automatisk, slik som beskrevet ovenfor. Ved hjelp av denne totrinns-prosess er det mulig å gi nye abonnenter rettigheter inntil SMS'et utsteder en stopp-kommando.

Det skal bemerkes at EMM'en for abonnement på et kommersielt tilbud brukes for nye abonnenter og for fornyet aktivering av eksisterende abonnenter. EMM'en for gruppeabonnement brukes for fornyelses- og utelukkelsesformål.

Med henvisning til fig. 9 inneholder typisk selve abonnements-EMM'en (dvs. bortsett fra det innledende felt og signaturen) generert ved hjelp av prosedyren ovenfor, de etter-følgende hovedpartier, nemlig typisk en 256 biters abonnements(gruppe)matrise 3152, 128 biter for forvalterchiffernøkler 3154 for chifrering av EMM'en, 64 biter for hver evaluerende chiffernøkket 3156 for å gjøre det mulig for smartkortet 3020 å dechiffrere et styreord og derved frembringe tilgang til kringkastingsprogrammer, og 16 biter for foreldelsesdatoen 3158 for å angi den dato etter hvilken smartkortet vil overse EMM'en.

I den foretrukne utførelse er det faktisk fremskaffet tre evalueringsnøkler, dvs. et sett for den aktuelle måned, et sett for neste måned og et sett for gjenopptagelsesformål i tilfellet av systemsvikt.

Mer detaljert inneholder EMM-kjernen for gruppeabonnement alle de ovenfor nevnte komponenter, unntatt forvalterchifreringsnøklene 3154. Selv EMM'en for abonnement på et kommersielt tilbud (og som gjelder for en enkelt abonnent) inneholder i stedet for den fulle abonnementsgruppes matrise 3152, gruppens ID etterfulgt av posisjonen inne gruppen, og deretter forvalterchifreringsnøkler 3154 og tre evalueringsnøkler 3156, etterfulgt av den aktuelle foreldelsesdato 3158.

Meldingsgeneratoren 3106 tjener til å omdanne kommandoer utstedt av STM-tjeneren 3104 til EMM'er for overføring tii meldingssenderen 3302. Med henvisning til fig. 5 frembringer først meldingsgeneratoren selv EMM'ene og sender dem til chifreringsenheten 3008 for chiffrering med hensyn til forvalter- og evalueringsnøklene. Chtffer-enheten (CU) fullfører signaturen 3064 i EMM'en (se fig. 3} og sender EMM'en tilbake til meldingsgeneratoren (MG) hvor det innledende felt 3060 tilføyes. De EMM'er som sendes til meldingssenderen er således komplette EMM'er. Meldingsgeneratoren bestemmer også start- og stopptiden for kringkastingen samt sendehastigheten for EMM'ene, og sender dem som passende deklarasjoner sammen med EMM'ene til meldingssenderen. Meldingsgeneratoren (MG) genererer en gitt EMM bare én gang, og det er meldingssenderen (ME) som utfører dens sykliske utsendelse.

Det henvises igjen til fig. 5 hvor meldingsgeneratoren har sin egen EMM-database 3160 som lagrer en relevant EMM i dens levetid. Den slettes så snart dens sendevarighet har utløpt. Databasen brukes for å sikre overensstemmelse mellom meldingsgeneratoren og meldingssenderen, slik at når f.eks. en sluttbruker blir utelukket, vil meldingssenderen ikke fortsette å sende fornyelser. I dette henseende beregner meldingsgeneratoren de relevante operasjoner og sender dem til meldingssenderen.

Ved genereringen av en EMM tilordner meldingsgeneratoren en entydig identifikator til EMM'en. Når meldingsgeneratoren sender EMM'en til meldingssenderen sender den også EMM'ens ED. Dette gjør det mulig å identifisere en bestemt EMM både i meldingsgeneratoren og i meldingssenderen.

Når det gjelder abonnementskjedeområdet innbefatter meldingsgeneratoren også to FIFO'er 3162 og 3164, dvs. en for hver av de relevante meldingssendere 3302 og 3304 i EMM-injektoren 3300 for å lagre chifrerte EMM'er. Siden abonnementskjedeområdet og EMM-injektoren kan befinne seg i stor avstand fra hverandre, kan bruken av FIFO'er tillate full kontinuitet i EMM-utsendelsen selv om lenkene 3166 og 3168 mellom de to, skulle svikte. Likeledes er det anordnet FIFO'er i kjedeområdet for betaling pr. visning.

Ett bestemt trekk ved meldingsgeneratoren spesielt og det betingede tilgangssystem generelt gjelder den måte som det reduserer lengden av selve EMM'en 3062 på, ved å blande sammen parameterlengden og identifikatoren for å spare plass. Dette blir nå beskrevet med henvisning til fig. 10 som viser et eksempel på en EMM (i virkeligheten en PPV-EMM som er den enkleste EMM). Reduksjonen med hensyn til lengde skjer i Pid'en (Pakke- eller "parameter"-identifikatoren) 3170. Denne består av to partier, dvs. den faktiske ID 3172 og lengdeparameteren for pakken 3174 (som er nødvendig for at begynnelsen på den neste pakke kan bli identifisert). Hele Pid'en uttrykkes i bare en informasjonsbyte, idet 4 biter er reservert for ID'en og 4 for lengden. Siden 4 biter ikke er tilstrekkelig til å angi lengden på en sann binær måte, brukes en annen sammenheng mellom bitene og den faktiske lengde, og denne sammenheng representeres i en oppslagstabell lagret i lagerområdet 3178 i meldingsgeneratoren (se fig. 5). Denne sammenheng er typisk som følger: 0000 = 0

0001 = 1

0010 = 2

0011 = 3

0100 = 4

0101 = 5

0110= 6

0111 = 7

1000 = 8

1001 = 9

1010= 10

1011 = 11

1100= 12

1101 = 16

1110= 24

1111 = 32

Det vil sees at lengdeparameteren ikke er direkte proporsjonal med pakkens faktiske lengde, idet forholdet tildels er mer kvadratisk enn lineær. Dette åpner for et større område av pakkelengder.

Kjedeområdet for betaling pr. visning

Når det gjelder kjedeområdet 3200 for betaling pr. visning henvises det til fig. 5 hvor autorisasjonstjeneren 3202 mer detaljert har som sin klient, den sentraliserte ordretjener 3207 som anmoder om informasjon om hver abonnent som knytter seg til kommunikasjonstjeneren 3022 for å kjøpe et PPV-produkt.

Dersom abonnenten er kjent fra autorisasjonstjeneren (AS) 3202 finner det sted et sett transaksjoner. Dersom abonnenten er autorisert for ordren, skaper autorisasjonstjeneren en regning og sender den til den sentrale ordretjener (OCS - Order Sentralized Server).

I andre tilfeller signallerer den til OCS'en at ordren ikke er autorisert.

Det er bare ved slutten av dette sett av transaksjoner at autorisasjonstjeneren oppdaterer sluttbrukerens database 3204 via databasetjenerene (DBAS) 3206, dersom i det minste én transaksjon var autorisert, hvilket optimaliserer antallet databasetilganger.

De kriterier i samsvar med hvilke autorisasjonstjeneren autoriserer kjøp, er lagret i databasen som aksepteres via DBAS-prosesser. I en utførelse er databasen den samme som den database som STM'en gjør tilgang til.

Avhengig av forbrukerprofil kan autorisasjonen bli avslått (PPV_Forbudt, Casino_For-budt, osv.). På vegne av SMS'et 3004 blir denne type kriterier oppdatert av STM'en 3104.

Andre parametre, slik som sådanne som muliggjør grenser for kjøp (enten ved hjelp av kreditkort, automatisk betaling eller antallet kjøp av autoriserte kuponger pr. dag ), blir kontrollert.

I tilfellet av betaling med kreditkort, kontrolleres kortnummeret mot en lokal svarteliste lagret i den lokale database 3205 for svartelisting.

Når alle verifiseringer har lykkes, vil autorisasjonstjeneren (AS):

1. Generere en regning og sende den til OCS'en som kompletterer denne regning og lagrer den i en fil, og denne fil blir senere sendt til SMS'et for behandling (den

faktiske regningsutstedelse til kunde), og

2. Oppdatere databasen, hovedsakelig ved å sette nye kjøpsgrenser.

Denne mekanisme innebærer kontroll og generering av regning dersom "OK" gjelder for hver kommando som en abonnent kan anmode om i løpet av en eneste forbindelse eller oppkobling (det er mulig å bestille f.eks. 5 filmer i en eneste sesjon).

Det skal bemerkes at autorisasjonstjeneren (AS) besitter en redusert mengde informasjon angående abonnenten sammenlignet med den som SMS'et har. For eksempel kjenner autorisasjonstjeneren ikke abonnentens navn eller adresse. På den annen side kjenner autorisasjonstjeneren abonnentens smartkortnummer, abonnentens forbruker-kategori (slik at forskjellige tilbud kan gis til forskjellige abonnenter) og diverse flagg som f.eks. angir om abonnenten kan kjøpe på kredit eller om han er utelukket, eller om hans smartkort er blitt stjålet. Bruk av en minsket mengde informasjon kan bidra til å redusere den tid det tar å autorisere en bestemt abonnentanmodning.

Hovedformålet med det DBAS'ene 3206 er å øke databasens ytelse slik den sees fra AS'en ved å ordne tilgangene parallelt (slik at det ikke har noen mening å definere en konfigurasjon med bare én DBAS). En AS-parameter bestemmer hvor mange DBAS'er som skal tilkobles. En gitt DBAS kan være forbundet med bare en AS.

OCS'en 2307 arbeider i hovedsak med PPV-kommandoer. Den arbeider i diverse modi.

For det første arbeider den for å behandle kommandoer avgitt av SMS'et, slik som produktoppfriskning (dersom f.eks. regningen allerede er lagret i SMS'et, blir ingen regning generert av OCS'en) og med oppdatering av "lommeboken" i smartkortet 3020 samt sesjonskansellering/oppdatering.

Prosedyrens forskjellige trinn er:

1. Identifisering av vedkommende abonnent (ved å utnytte AS'en 3202),

2. Ved gyldighet å generere adekvate kommandoer til meldingsgeneratoren i den hensikt å sende en passende EMM. Kommandoen kan være:

Produktkommandoer,

Oppdatering av lommeboken,

Sletting av sesjon.

Legg merke til at disse operasjoner ikke innebærer at det skapes regningsinformasjon, siden regningsutskrivingen allerede er kjent fra SMS'et. Disse operasjoner tas opp i kjøp av "gratis produkter".

For det andre arbeider OCS'en med kommandoer mottatt fra abonnenter via kommunikasjonstjenerene 3022. Disse kan mottas enten via et modem forbundet med mottager/- dekoderene 2020 eller ved hjelp av stemmeaktivering via en telefon 4001, eventuelt ved tast-aktivering via MINITEL, PRESTEL eller lignende system når det er tilgjengelig.

For det tredje arbeider OCS'en med tilbakemeldingsanmodninger utstedt av et SMS'et. Disse to siste arbeidsmodi blir nå drøftet mer detaljert.

Med den andre type modus beskrevet ovenfor ble det angitt at OCS'en arbeider med kommandoer mottatt direkte fra sluttbrukere (abonnenter) via kommunikasjonstjenerene 3022. Disse inneholder produktordre (slik som for en bestemt PPV-hendelse), en abonnementsmodifikasjon anmodet om av abonnenten og tilbakestilling av en "foreldrekode" (idet en foreldrekode er en kode ved hjelp av hvilken foreldre kan begrense tilgangsrettigheten til visse programmer eller klasser av programmer).

Den måte som disse kommandoer håndteres på, skal nå bli beskrevet mer detaljert med henvisning til fig. 11.

En produktordre fra en abonnent innebærer de etterfølgende trinn:

1. Via AS'en identifisere den anroper som gjør et anrop via CS'en 3022 for å bestille et bestemt produkt, 2. Kontrollere gyldigheten av anroperens anmodning, ved igjen å utnytte AS'en (hvor ordren er plassert ved bruk av mottager/dekoderen 2020, idet dette oppnås ved å

verifisere detaljene på smartkortet 3020),

3. Finne ut prisen på kjøpet,

4. Kontrollere at prisen ikke overskrider anroperens kreditgrense, osv.,

5. Motta en delregning fra AS'en,

6. Fylle ut tilleggsfelt i regningen for å danne en komplett regning,

7. Legge den kompletterte regning til en lagringsfil 3212 for regningsinformasjon, for senere behandling, og 8. Sende tilsvarende kommando(er) til PPV-meldingsgeneratoren 3210 for å generere den eller de relevante EMM'er.

EMM'en(e) sendes enten på modemlinjen 4002 dersom forbrukeren plasserte produkt-ordren ved å bruke mottager/dekoderen 2020 (flere detaljer vil bli beskrevet senere), mens den (de) i andre tilfeller blir kringkastet. Det eneste unntak fra dette skjer dersom det er en feil ved modemforbindelsen (når forbrukeren plasserte ordren ved å utnytte mottager/dekoderen), hvor EMM'en i dette tilfelle kringkastes over eteren.

En abonnementsmodifikasjon anmodet om av en abonnent, innebærer:

1. Identifisering av anroperen (ved bruk av AS'en),

2. Sending av informasjon til kommandogrensesnittet, som i sin tur fremsender denne informasjon til SMS'et, og 3. Via kommandogrensesnittet (Cl) mottar OCS'en et svar fra SMS'et (med hensyn til kostnadene ved modifikasjonen, dersom modifikasjon er mulig).

Dersom det ble anmodet om modifikasjon ved bruk av mottager/dekoderen, genererer OCS'en en bekreftelse til SMS'et. I andre tilfeller, f.eks. i tilfellet av en telefon eller MINITEL, blir abonnenten spurt om bekreftelse, og dette svar sendes til SMS'et via OCS'en eller Clen.

Tilbakestilling av en foreldrekode innebærer:

1. Identifisering av anroperen (ved bruk av AS'en), og

2. Sending av en kommando til MG'en for å generere en passende EMM som bærer et passende passord for tilbakestilling.

I tilfellet av tilbakestilling av foreldrekode, tillates kommandoen for å tilbakestille koden av sikkerhetsgrunner ikke å stamme fra mottager/dekoderen. Bare SMS'et, telefonen og MINITEL eller lignende kan være opprinnelsen for en sådan kommando. I dette spesielle tilfelle blir således EMM'en(e) kringkastet bare over eteren og aldri på en telefonlinje.

Av eksemplene ovenfor på forskjellige arbeidsmodi for OCS'en vil det forstås at en bruker kan ha direkte tilgang til SAS'et, og særlig OCS'en og AS'en, ved at kommunikasjonstjenerene er forbundet direkte med SAS'et, og særlig OCS'en. Dette viktige trekk har betydning for å redusere den tid som brukeren behøver for å kommunisere sin kommando til SAS'et.

Dette trekk er ytterligere anskueliggjort med henvisning til fig. 12 av hvilken det kan sees at sluttbrukerens "apparat-toppboks" (Set-Top-Box), og særlig dens mottager/dekoder 2020, er i stand til å kommunisere direkte med kommunikasjonstjenerene 3022 knyttet til SAS'et 3002. I stedet for å forbinde sluttbrukeren med kommunikasjonstjenerene 3022 i SAS'et 3002 via SMS'et 3004, er forbindelsen direkte med SAS'et 3002.

Faktisk er det rent ut sagt anordnet to direkte forbindelser.

Den første direkte forbindelse har form av en stemmelenke via en telefon 4001 og en passende telefonlinje (og/eller ved hjelp av MINITEL eller en likedan forbindelse, når en sådan er tilgjengelig), hvor sluttbrukeren fortsatt må legge inn en rekke stemme-kommandoer eller kodetall, men hvor tid spares sammenlignet med kommunikasjon via SMS'et 3004.

Den andre direkte forbindelse skjer fra mottager/dekoderen 2020, og innføringen av data oppnås automatisk av sluttbrukeren som setter inn sitt eget dattersmartkort 3020, noe som gjør at sluttbrukeren slipper jobben med å måtte legge inn de relevante data, hvilket i sin tur minsker den tid det tar å legge inn vedkommende data og sannsynligheten for at feil kan oppstå.

Et annet viktig trekk som kommer ut av drøftelsen ovenfor gjelder minskning av den tid det tar for at den resulterende EMM skal sendes til sluttbrukeren i den hensikt å iverk-sette visning av det valgte produkt for sluttbrukeren.

Kort sagt, og med henvisning til fig. 12, blir dette trekk igjen oppnådd ved å gi sluttbrukerens mottager/dekoder 2020 muligheten av å kommunisere direkte med kommunikasjonstjenerene 3022 knyttet til SAS'et 3002.

Som tidligere beskrevet, er den integrerte mottager/dekoder 2020 forbundet direkte med kommunikasjonstjenerene 3022 ved hjelp av den modemtilkoblede bakoverkanal 4002 slik at kommandoer fra dekoderen 2020 behandles av SAS'et 3002 og meldinger (innbefattet EMM'er) genereres, for så å bli sendt tilbake direkte til dekoderen 2020 via bakoverkanalen 4002. En protokoll brukes for kommunikasjonen mellom CS'en 3022 og mottager/dekoderen 2020 (slik det beskrives senere), slik at CS'en mottar erkjennelse ved mottagning av den relevante EMM, for derved å tilføre prosedyren ytterligere sikkerhet.

I tilfellet av f.eks. forhåndsbetillingsmodus vil således SAS'et 3002 som mottar meldinger fra sluttbrukeren via smartkortet og dekoderen 2020 samt sitt modem og telefonlinjen 4002, som anmoder om tilgang til en bestemt hendelse eller et bestemt produkt, sende tilbake en passende EMM via telefonlinjen 4002 og modemet, til dekoderen 2020, idet modemet og dekoderen fortrinnsvis begge befinner seg i en apparat-toppboks (STB - Set-Top-Box). Dette oppnås således uten å måtte sende EMM'en i MPEG-2-data-strømmen 2002 via multiplekser- og omkasteren 2004, forbindelsen 2012 oppover, satellitten 2014 og forbindelsen 2016 nedover for å gjøre det mulig for sluttbrukeren å se hendelsen/produktet. Dette kan spare betraktelig tid og båndbredde. Tilsynelatende visshet er frembragt for at så snart abonnenten har betalt for sitt kjøp, vil EMM'en ankomme mottager/dekoderen 2020.

I den tredje type arbeidsmodus for OCS'en 3207 beskrevet ovenfor, håndterer OCS'en tilbakemeldingsanmodninger avgitt av SAS'et. Dette er anskueliggjort med henvisning til fig. 13. Typiske tilbakemeldingsanmodninger har det formål å sikre at mottager/dekoderen 2020 via den modemtilkoblede bakoverkanal 4002 melder tilbake til SAS'et den informasjon som SAS'et fordrer om mottager/dekoderen.

Slik kommandogrensesnittet 3102 instruerer om, genererer abonnementskjedens meldingsgenerator 3106 en tilbakemeldings-EMM som sendes til mottager/dekoderen 2020. Av sikkerhetsgrunner chifreres denne EMM av chifferenheten 3008. EMM'en kan inneholde det tidspunkt og/eller den dato hvor mottager/dekoderen bør "våkne opp" for på egenhånd å utføre en tilbakemelding uten eksplisitt å ble forespurt, og EMM'en kan typisk også inneholde de telefonnumre som termnalen må slå og det ytterligere antall forsøk som skal gjøres etter et mislykkede anrop sammen med forsinkelsen mellom to anrop.

Når EMM'en mottas, eller på det spesifiserte tidspunkt/dato, kobler mottager/dekoderen seg til kommunikasjonstjenerene 3022. Først identifiserer OCS'en 3207 anroperen ved å bruke AS'en 3202 og verifiserer så visse detaljer, slik som smartkortselskap og abonnentopplysninger. OCS'en ber så smartkortet 3020 om å sende forskjellig chifrert informasjon (slik som det relevante sesjonsnummer, når sesjonen ble betraktet, hvor mange ganger abonnenten er tillatt å se sesjonen påny, den måte som sesjonen ble sett på, antallet gjenværende kuponger, antallet forhåndsbestilte sesjoner, osv.). Denne informasjon dechifreres av PPV-kjedens meldingsgenerator 3210 ved igjen å utnytte chifferenheten 3008. OCS'en legger denne informasjon til en lagerfil 3214 for tilbake- meldingsinformasjon, for senere behandling og overføring til SMS'et 3004. Av sikkerhetsgrunner chifreres denne informasjon. Hele prosedyren gjentas inntil det ikke er mer som skal leses fra smartkortet.

Et særlig foretrukket trekk ved denne tilbakemeldingsfunksjon er at før smartkortet leses (dvs. like etter at anroperen er identifisert ved å benytte AS'en 3202, slik som beskrevet ovenfor), utfører SAS'et 3002 en kontroll av om at mottager/dekoderen virkelig er en ekte sådan og ikke en piratversjon eller en datamaskin-simulering. En sådan kontroll utføres på den etterfølgende måte. SAS'et genererer et vilkårlig tall som mottas av mottager/- dekoderen for å bli chifrert og sendt tilbake til SAS'et. SAS'et dechifrerer dette tall. Dersom dechifreringen lykkes og det opprinnelig vilkårlige tall gjenvinnes konkluderes det med at mottager/dekoderen er ekte, og prosedyren fortsetter. I andre tilfeller blir prosedyren avbrutt.

Andre funksjoner som kan opptre under tilbakemeldingen er sletting av foreldede sesjoner på smartkortet eller fylling av lommeboken (idet sistnevnte også beskrives senere under overskriften "Smartkortet").

Også med hensyn til kjedeområdet 3200 for betaling pr. visning skal det nå gjøres en beskrivelse av kommunikasjonstjenerene 3022. I en foretrukket utførelse omfatter disse på maskinvarenivået en DEC-datamaskin med fire parallelle prosessorer. På programvare-arkitekturnivået er, med henvisning til fig. 14, kommunikasjonstjenerene i mange henseender konvensjonelle. Et spesielt avvik fra vanlig konstruksjon stammer fra det forhold at tjenerene må betjene både mottager/dekodere 2020 og talekommunikasjon med vanlige telefoner 4001, såvel som eventuelt MINITEL, eller lignende systemer.

Det skal forøvrig bemerkes at to sentraliserte ordretjenere 3207 er vist i fig. 14 (som "OCS1" og "OCS2"), men naturligvis kan et hvilket som helst ønsket antall anordnes.

Kommunikasjonstjenerene omfatter to hovedtjenere ("CS1" og "CS2"), såvel som et antall fronttjenere ("Frontal 1" og"Frontal 2"), og skjønt to fronttjenere er vist i figuren, kan typisk 10 eller 12 sådanne anordnes pr. hovedtjener. Skjønt to hovedtjenere CS1 og CS2 samt to fronttjenere, Frontal 1 og Frontal 2, er vist, kan faktisk et hvilket som helst antall benyttes. En viss redundans er vanligvis ønskelig.

CS1 og CS2 er koblet til OCS1 og OCS2 via TCP/IP-lenkinger 3230 på høyt nivå, mens CS1 og CS2 er koblet til Frontal 1 og Frontal 2 via ytterligere TCP/IP-lenkinger 3232.

Som vist omfatter CS1 og CS2 tjenere for sending "SENDR", for mottagning "RECVR", en "VTXMjener (for MINITEL, PRESTEL, eller lignende), en 'VOXMjener (for talekommunikasjon) og en "TRMMjener (for kommunikasjon med mottager/dekodere). Disse er koblet til en "BUS" for kommunikasjon av signaler til fronttjenerene.

CS1 og CS2 kommuniserer direkte med mottager/dekoderene 2020 via deres modemtilkoblede bakoverkanaler 4202 ved å benytte den vanlige X.25-protokoll for offentlige nett. I en foretrukket utførelse er protokollen på forholdsvis lavt nivå mellom kommunikasjonstjeneren 3022 og mottager/dekodere 3020 basert på den vanlige internasjonale CCITT-protokoll V.42 som sørger for pålitelighet ved å ha funksjoner for feilpåvisning og fornyet overføring av data, og som utnytter en kontrollsumrutine for å kontrollere gjen-utsendelsens integritet. Det finnes også en unnslippelsesmekanisme for å forhindre overføring av ikke tillatte tegn.

På den annen side utføres telefonstemme-kommunikasjon via frontkommunikasjons-tjenerene, som hver er i stand til å ta opp f.eks. 30 samtidige taleforbindelser fra forbindelsen 3234 til det lokale telefonnett via vanlige ISDN-telefonlinjer "T2" (E1) med høy hastighet.

Først må tre spesielle funksjoner i kommunikasjonstjenerenes programvaredel (som selvsagt alternativt kan realiseres fullt ut i maskinvare) omdanne informasjonen på det forholdsvis lave protokollnivå mottatt fra mottager/dekoderen, til informasjon på forholdsvis høyt protokollnivå for avgivelse til OCS'en, og for det andre minske eller regulere antallet samtidige forbindelser som gjøres, samt for det tredje frembringe diverse samtidige kanaler uten noen sammenblanding. Med hensyn til det siste spiller kommunikasjonstjenerene rollen av en multiplekser, idet samvirket i en bestemt kanal er definert ved en gitt sesjons-ID (identifikator) som faktisk benyttes gjennom hele kommunikasjonskjeden.

Med hensyn til kjedeområdet 3200 for betaling pr. visning er til sist, med henvisning igjen til fig. 5, tjeneren for programutsendelse (SPB - Server for Programme Broadcast) 3208 koblet til en eller flere programkringkastere 3250 (som typisk befinner ser fjernt fra SAS'et) for å motta programinformasjon. Med tanke på videre utnyttelse filtrerer SPB'en ut informasjon som samsvarer med PPV-hendelser (-sesjoner).

Et særlig viktig trekk er at den filtrerte informasjon om programhendelser formidles av SPB'en til MG'en som i sin tur sender en deklarasjon (styrekommando) til meldingssenderen (ME) for under gitte betingelser å endre hastigheten av den sykliske utsendelse av EMM'ene, idet dette gjøres ved at ME'en finner alle EMM'er med den relevante sesjonsidentifikator og endrer syklushastigheten tilordnet sådanne EMM'er. Dette trekk kan tenkes på som en dynamisk tildeling av båndbredde for spesifikke EMM'er. Syklisk EMM-utsendelse drøftes mer detaljert i avsnittet nedenfor, som gjelder EMM-injektoren.

De situasjoner hvor syklushastigheten endres, skal nå beskrives med henvisning til fig.

15 som anskueliggjør hvordan syklushastigheten 3252 heves en kort stund (f.eks. 10 min.) før en bestemt PPV-programhendelse, inntil slutten av hendelsen, fra en sakte syklushastighet på f.eks. én gang hvert 30 min. til en rask syklushastighet på f.eks. én gang hvert 30 sek. -1 min., for å imøtekomme den antatte ekstra brukeretterspørsel for PPV-hendelser på disse tidspunkter. På denne måte kan båndbredde tildeles dynamisk

i samsvar med den antatte brukeretterspørsel. Dette kan bidra til å minske fordringen til samlet båndbredde.

Andre EMM'ers syklushastighet kan også varieres. For eksempel kan syklushastigheten for abonnements-EMM'er varieres av multiplekser- og omkasteren 2004 som sender ut passende deklarasjoner om bithastighet.

EMM- lniektoren

Med hensyn til EMM-injektoren 3300 blir nå detaljer ved meldingssenderene 3302 - 3308 som utgjør en del av EMM-injektoren og virker som utgangsutstyr for meldingsgeneratoren, nå beskrevet med henvisning til fig. 16. Deres oppgave er å ta EMM'ene og formidle dem syklisk (på en tilsvarende måte som en karusell) via de respektive lenkinger 3314 og 3316, til programvaremultipleksere 3310 og 3312 og således til maskinvaremultipleks-ere og omkastere 2004. Til gjengjeld genererer programvaremultipleksere og omkaster-ene 2004 en global bithastighetsdeklarasjon for å styre den samlede syklushastighet for EMM'ene, og for å gjøre dette tar ME'ene hensyn til forskjellige parametre, slik som syklustid, EMM-størrelse osv. I figuren er EMM_X og EMM_Y grupper av EMM'er for selskapene X og Y, mens EMM_Z er andre EMM'er for enten selskapet X eller selskapet Y.

Den videre beskrivelse fortsetter med et eksempel på en meldingssender (ME), idet det vil forstås at de øvrige ME'er arbeider på en lignende måte. ME'en arbeider under styring av deklarasjoner fra MG'en, som spesielt angår start- og stopptidspunkt for sending, samt sendehastighet, såvel som sesjonsnummer, dersom EMM'en er en PPV-EMM. Med hensyn til sendehastighet kan i en foretrukket uførrelse, den relevante deklarasjon ha en av fem verdier fra meget rask til meget sakte. De nummeriske verdier er ikke spesifisert i deklarasjonen, i stedet avtegner ME'en deklarasjonen som en faktisk nummerisk verdi som tilføres den relevante del av SAS'et. I den foretrukne utførelse er de fem sendehastigheter som følger:

1. Meget rask - hvert 30 sek.,

2. Rask - hvert min.,

3. Middels - hvert 15 min.,

4. Sakte - hvert 30 min.,

5. Meget sakte - hvert 30 min.

Meldingssenderen (ME) har første og andre databaser 3320 og 3322. Den første database er beregnet på sådanne EMM'er som ennå ikke har nådd sin utsendelsesdato, og disse lagres i en rekke kronologiske filer i databasen. Den andre database er beregnet på EMM'er som skal kringkastes umiddelbart. I tilfellet av et systemsammen-brudd er ME'en innrettet slik at den kan lese påny den aktuelle lagrede fil og utføre riktig kringkasting. Alle filer lagret i databasen oppdateres ved anmodning fra MG'en, når MG'en ønsker å opprettholde samsvar mellom innkommende deklarasjoner og EMM'er som allerede er sendt til ME'en. De EMM'er som faktisk blir sendt ut, lagres også i en direktehukommelse 3324 (RAM - Random Access Memory).

En kombinasjon av FIFO'ene 3162 og 3164 i meldingsgeneratoren og databasene 3320 og 3322 i meldingssenderen betyr at de to kan arbeide i frittstående modus dersom lenken 3166 mellom dem kortvarig brytes, og ME'en kan fortsatt kringkaste EMM'er.

Programvaremultiplekserene 3310 og 3312 (SMUX - Software Multiplexer) sørger for et grensensitt mellom ME'ene og maskinvaremultiplekserene 2004. I en foretrukket utførelse kan de motta EMM'er fra to av ME'ene, skjønt det generelt ikke er noen begrensning på det antall ME'er som kan forbindes med en SMUX. SMUX'ene konsentrerer EMM'ene og videresender dem i samsvar med en EMM-type til den passende maskinvaremultiplekser. Dette er nødvendig fordi maskinvaremultiplekserene tar de forskjellige typer EMM'er og plasserer dem på forskjellige steder i MPEG-2- strømmen. SMUX'ene fremsender også globale bithastighetsdeklarasjoner fra maskinvaremultiplekserene til ME'ene.

Et særlig viktig trekk ved meldingssenderen (ME) er at den sender EMM'er i vilkårlig rekkefølge. Grunnen til dette er som følger. Meldingssenderen har ingen evne eller mulighet til å avføle eller styre hva den sender til multiplekseren. Det er således mulig at den kan sende to EMM'er som skal mottas og dekodes av mottager/dekoderen 2020, etterhverandre. I sådanne tilfeller kan det dessuten være mulig at dersom EMM'ene er utilstrekkelig adskilt, vil mottager/dekoderen og smartkortet ikke være i stand til å avføle og dekode den andre av EMM'ene på riktig måte. Syklisk utsendelse av EMM'ene i vilkårlig rekkefølge kan løse dette problem.

Den måte som vilkårliggjøringen oppnås på, vil nå bli beskrevet med henvisning til fig. 17. I en foretrukket utførelse implementeres den nødvendige programvarelogikk i data-språket ADA. En særlig viktig del av vilkårliggjøringen er den korrekte lagring av EMM'ene i databasene 3320 og 3322 (som brukes for reserveformål) og i direktehukommelsen (RAM) 3324. For en bestemt syklushastighet og et bestemt selskap lagres EMM'ene i en todimensjonal tabell ifølge en rangering 3330 (som går fra f.eks. A til Z) og nummeret i en rad 3332 (som går fra 0 til N). En tredje dimensjon legges til ved syklusraten 3334, slik at det foreligger like mange todimensjonale tabeller som det finnes syklushastigheten I den foretrukne utførelse finnes det 256 rader og typisk 200 eller 300 EMM'er i hver rad, idet det er 5 syklushastigheter. En endelig tabelldimensjon legges til av nærværet av forskjellige selskaper, og det foreligger like mange tredimensjonale tabeller som det finnes selskaper. Lagring av data på denne måte kan tillate rask gjenvinning dersom meldingsgeneratoren (MG) ønsker å slette en bestemt EMM.

Lagring av EMM'er finner sted i samsvar med spredealgoritmen ("hash algorithm", også kjent som "one-way hash function"). Denne arbeider på en modul-løsning, slik at påfølgende rader eller nivåtall fylles før et høyere nummer i raden benyttes og antallet EMM'er i hver rad forblir derved nærmest konstant. Det betraktes et eksempel hvor det er 256 rader. Når MG'en sender ME'en en EMM med indentifikator (ID) lik 1, tildeles nivåtallet "1" denne EMM og den tar det første nummer 3332 i rangeringen 3330. En EMM med ID 2 tildeles nivåtallet "2", osv. opp til nivåtallet 256. Den EMM som har ID 257 tildeles igjen "1" (basert på modulo-funksjonen) og tar det andre nummer i den første rangering, osv.

Gjenvinning av en spesifikk EMM f.eks. når meldingsgeneratoren fordrer sletting av en spesifikk EMM, utføres ved hjelp av det omvendte av det som er beskrevet ovenfor. Fordelingsalgoritmen anvendes på EMM-ID'en for å oppnå rangeringen eller nivåtallet, og deretter finnes nummeret i raden.

Den faktiske vilkårliggjøring skjer når EMM'ene på syklisk grunnlag gjenvinnes fra direktehukommelsen (RAM) 3324 ved å bruke vilkårliggjøringsutstyret 3340 som er implementert i meldingssenderens maskinvare og/eller programvare. Gjenvinningen er vilkårlig og nok en gang basert på fordelingsalgoritmen. Først velges et vilkårlig tall (innledningsvis i området 1 - 256 i eksempelet overfor) for å få en bestemt rangering som er av interesse. For det andre velges ytterligere vilkårlig tall for å få det spesielle nummer i rangeringen. Det ytterligere vikårlige tall velges i samsvar med det samlede antall EMM'er i en gitt rangering. Så snart en gitt EMM er blitt valgt og kringkastet, flyttes den til et andre, identisk lagringsområde i direktehukommelsen (RAM) 3324, nok en gang ved å utnytte fordelings- eller nøkkeltallfunksjonen. Således minsker størrelsen av det første område ettersom EMM'er blir kringkastet, i en slik grad at så snart en komplett rangering eller rad er blitt brukt, slettes den. Så snart det første lagringsområde er helt tomt, erstattes det med det andre lagringsområde før en ny runde EMM-kringkasting, og omvendt.

Etter to eller tre sykluser av EMM'er er på denne måte statistisk sett sjansene for at to vilkårlige EMM'er bestemt for samme sluttbruker blir sendt etter hverandre (back to back), neglisjerbar.

Mens EMM'ene blir lagret, beregner datamaskinen 3050 ved regelmessige mellomrom det antall byte som er lagret, og beregner ut fra dette sendebithastigheten, gitt den globale bithastighetsdeklarasjon fra multiplekseren og programvaremultiplekseren.

Ovenfor ble det henvist til reservedatabasene 3320 og 3322. I en foretrukket utførelse har disse faktisk form av sekvensielle fillagre som inneholder en reserveversjon av det som er i direktelageret (RAM) 3324. I tilfellet av en feil i meldingssenderen og en påfølgende ny oppstarting, eller mer generelt, når meldingssenderen starter påny uansett grunn, opprettes det en lenke mellom direktehukommelsen og databasene over hvilken lagrede EMM'er lastes opp til direktehukommelsen. På denne måte kan risikoen for å miste EMM'er i tilfellet av feil, fjernes.

En lignende lagring som den beskrevet ovenfor i sammenheng med abonnements-EMM'er skjer også for PPV-EMM'er, idet rangereringen typisk tilsvarer et gitt selskap og nummeret i rangeringen tilsvarer et sesjonsnummer.

Smartkortet

I fig. 18 er det skjematisk vist et datter- eller "abonnenf-smartkort 3020 som omfatter en 8 biters mikroprosessor 110, slik som en Motorola 6805-mikroprosessor, som har en inngangs/utgangsbuss koblet til en standard kontaktrekke 120 som brukes for å kobles til en tilsvarende kontaktrekke i kortleseren i mottager/dekoderen 2020, idet kortleseren er av konvensjonell utførelse. Mikroprosessoren 110 er også forsynt med bussforbindelse til en fortrinnsvis maskert lesehukommelse (ROM) 130, en direktehukommelse (RAM) 140 og EEPROM 150. Smartkortet følger standardprotokollene ISO 7816 - 1, 7816 - 2 og 7816 - 3 som fastlegger visse fysiske parametre for smartkortet, plasseringen av kontaktene på brikken og visse kommunikasjoner mellom henholdsvis det ytre system (og særlig mottager/dekoderen2020) og smartkortet, og som derfor ikke vil bli nærmere beskrevet her. En funksjon for mikroprosessoren 110 er å forvalte hukommelsen i smartkortet, slik som det nå vil bli beskrevet.

EEPROM'en 150 inneholder visse dynamisk skapte driftsselskapssoner 154,155, 156 og dynamisk skapte datasoner som nå vil bli beskrevet med henvisning til fig. 19.

Under henvisning til fig. 19 omfatter EEPROM'en 150 en permanent "kort-ID"-sone (eller produsentsone) 151 på 8 byte som inneholder en permanent abonnentsmartkort-identifikator innstilt av produsenten av smartkortet 3020.

Når smartkortet tilbakestilles, utsteder mikroprosessoren 110 et signal til mottager/- dekoderen 2020, som omfatter en identifikator av det betingede tilgangssystem som brukes av smartkortet og data generert ut fra data lagret i smartkortet, innbefattet kortets ID. Dette signal lagres av mottager/dekoderen 2020 som deretter utnytter det lagrede signal til å kontrollere om smartkortet er kompatibelt med det betingede tilgangssystem som benyttes av mottager/dekoderen 2020.

EEPROM'en 150 inneholder også en permanent "vilkårlig tallgenerator"-sone 152 som inneholder et program for å generere pseudovilkårlige tall. Sådanne vilkårlige tall benyttes for å diversifisere transaksjonsutgangssignalene som genereres av smartkortet og sendes tilbake til kringkasteren.

Under den vilkårlige tallgeneratorsone 152 er det anordnet en permanent "forvalter"-sone 153 på 144 byte. Denne permanente forvaltersone 153 er en spesifikk driftselskapssone som utnyttes av et program i lesehukommelsen (ROM) 130 under den dynamiske opprettelse (og fjerning) av sonene 154,155, 156, slik som beskrevet nedenfor. Den permanente forvaltersone 153 inneholder data som gjelder smartkortets rettigheter til å skape og fjerne soner.

Programmet for dynamisk å skape og fjerne soner reagerer på spesielle EMM'er for å skape (eller fjerne) soner, som sendes av SAS'et 3002 og mottas av mottager/dekoderen 2020 for og formidles videre til abonnentsmartkortet 3020. I den hensikt å skape EMM'er, fordrer driftsselskapet spesielle nøkler dedikert til forvaltersonen. Dette hindrer et driftsselskap fra å slette soner som gjelder et annet driftsselskap.

Under forvaltersonen 153 befinner det seg en rekke "selskaps-ID"-soner 154, 155,156 for henholdsvis dritsselskap 1, 2,N. Normalt vil i det minste en selskaps-ID-sone være lastet på forhånd inn i EEPROM'en på abonnentsmartkortet 3020, slik at sluttbrukeren kan dekryptere programmer kringkastet av vedkommende selskap. Imidlertid kan ytterligere selskaps-1D-soner deretter bli dynamisk skapt ved å utnytte forvaltersonen 153 som reaksjon på et transaksjonsutgangssignal generert av sluttbrukeren (abonnenten) via hans smartkort 3020, slik det vil bli beskrevet nedenfor.

Hver selskapssone 154, 155, 156 inneholder identifikatoren for den gruppe som smartkortet 3020 tilhører og smartkortets posisjon innenfor gruppen. Disse data gjør det mulig for smartkortet (sammen med andre smartkort i sin gruppe) å reagere på en abonnements-EMM for den "krin kasti ngsgruppe" som har denne gruppes adresse (men ikke smartkortets posisjon innen gruppen) så vel som en "individuell" EMM (eller en abonnements-EMM for kommersielle tilbud) adressert bare til vedkommende smartkort innenfor gruppen. I hver sådan gruppe kan det befinne seg 256 medlemssmartkort og dette trekk reduserer derfor i vesentlig grad den båndbredde som fordres for kringkastings-EMM'er.

For ytterligere å begrense den båndbredde som fordres for "gruppeabonnements"-EMM'er for kringkasting, blir gruppedataene i hvert selskaps sone 154,155, 156 og alle tilsvarende soner i EEPROWen og smartkortet 3020 og andre dattersmartkort, kontinuer-lig oppdatert for å gjøre det mulig for et smartkort å endre sin posisjon i hver gruppe, for å fylle ethvert hull skapt f.eks. ved sletting av et medlem i gruppen. Hullene fylles av SAS'et 3002, hvor det, slik som i STM-tjeneren 3104, befinner seg en liste over sådanne hull.

På denne måte reduseres oppstykkingen og hver gruppes medlemsskap opprettholdes ved eller nær det største antall på 256 medlemmer.

Hver selskapssone 154, 155, 156 er knyttet til ett eller flere "selskapsdataobjekter" lagret i EEPROM'e«n 150. Som vist i fig. 19 er en rekke dynamisk skapte "selskapsdataobjekter 157- 165 plassert under selskaps-ID-sonene. Hver av disse objerkter er merket med : a) en "indentifikator" 1,2,3 ..., N som tilsvarer det tilhørende selskap 1, 2, 3, ... N, som vist i den venstre del av fig. 19,

b) en "ID" som angir objekttype, og

c) en "data"-sone reservert for data, som vist i høyre del av hvert selskaps relevante

objekt i fig. 19.

Det skal forstås at hvert selskap er knyttet til et lignende sett dataobjekter slik at den etterfølgende beskrivelse av datatypene i dataobjektene for selskap 1, også gjelder dataobjektene for alle andre selskaper. Det skal også bemerkes at dataene er plassert i tilstøtende fysiske områder av EEPROM'en og at deres rekkefølge er uten betydning.

Sletting av et dataobjekt skaper et "hull" 166 i smartkortet, dvs. at antallet byte som det slettede objekt tidligere hadde opptatt, ikke blir umiddelbart besatt. Disse således "frigjorte" antall byte eller "hull" blir merket med:

a) en "identifikator" lik 0, og

b) en "ID" som angir at nevnte byte er ledig for å motta et objekt.

Det neste dataobjekt som skapes, fyller hullene angitt ved identifikatoren 0. På denne

måte blir den begrensede hukommelseskapasitet (4 k byte) i EEPROM'en 150 effektivt utnyttet.

Når det gjelder settet av dataobjekter knyttet til hvert driftsselskap, skal eksempler på dataobjekter nå beskrives.

Dataobjektet 157 inneholder en EMM-nøkkel som brukes for å dekryptere krypterte EMM'er mottatt av mottager/dekoderen 2020. Denne EMM-nøkkel er permanent lagret i dataobjektet 157. Dette dataobjekt 157 kan skapes forut for distribusjonen av smartkortet 3020 og/eller det kan skapes dynamisk når det skapes en ny driftselskapsone (som beskrevet ovenfor).

Dataobjektet 159 inneholder ECM-nøkler som sendes av det tilhørende driftsselskap (i dette tilfelle selskap 1) for å gjøre det mulig for sluttbrukeren å dekryptere den spesielle "bukett" av programmer som han har abonnert på. Nye ECM-nøkler sendes typisk hver måned sammen med en "fornyende" gruppeabonnements-EMM som fornyer sluttbrukerens generelle rett til å se på det som kringkastes fra (i dette tilfellet) selskap 1. Bruken av adskilte EMM- og ECM-nøkler gjør det mulig å kjøpe seerrettigheter på forskjellige måter (i denne utførelse ved abonnement og enkeltvis (dvs. med betaling pr. visning)) og øker også sikkerheten. Modusen betaling pr. visning (PPV - Pay Per View) vil nå bli beskrevet.

Siden nye ECM-nøkler sendes periodisk, er det essensielt å hindre en bruker fra å utnytte gamle ECM-nøkler, ved f.eks. å slå av mottager/dekoderen eller tilbakestille en klokke for å hindre utløpet av en gammel ECM-nøkkel, slik at en tidtager i mottager/- dekoderen 2020 kan overstyres. Følgelig omfatter selskapssonen 154 et område (som typisk har en størrelse på 2 byte) som inneholder en foreldelsesdato for ECM-nøklene. Smartkortet 3020 er innrettet for å sammenligne denne dato med den løpende dato som inneholdes i de mottatte ECM'er og for å hindre dekryptering dersom den løpende dato er senere enn foreldelsesdatoen. Foreldelsesdatoen sendes via EMM'er slik som beskrevet ovenfor.

Dataobjektet 161 inneholder et 64 biters abonnementsbitkart som er en nøyaktig representasjon av de av kringkastingsselskapets programmer som abonnenten har abonnert på. Hver bit representerer et program og er innstilt til "1" dersom det er abonnert på, og til "0" om så ikke er tilfellet.

Dataobjektet 163 inneholder en mengde kuponger som kan brukes av forbrukeren i PPV-modus for å kjøpe seerrettigheter til en nært forestående utsendelse, f.eks. som reaksjon på en gratis forhåndsvisning eller annen annonsering. Dataobjektet 163 inneholder også en grenseverdi som f.eks. innstilles til en negativ verdi for å innrømme en forbruker kredit. Kuponger kan innkjøpes f.eks. på kredit og via den modemtilkoblede bakoverkanal 4002 eller f.eks. ved å utnytte en taletjener i kombinasjon med et kreditkort. En bestemt hendelse kan belastes som en kupong eller et antall kuponger. Dataobjektet 165 inneholder en beskrivelse av en PPV-hendelse, slik som vist med henvisning til tabell 167 i fig. 20.

Beskrivelsen 167 av PPV-hendelsen inneholder en "sesjons-ID" 168 som identifiserer visningssesjonen (tilsvarende vedkommende program og tidspunktet og datoen for utsendelse), en "sesjonsmodus" 169 som angir hvordan seerrettigheten er innkjøpt (f.eks. i forhåndsbestillingsmodus), en "sesjonsindeks" 170 og en "sesjonsvisning" 171.

Med hensyn til det å motta et program i PPV-modus, avgjør mottager/dekoderen 2020 om programmet er solgt i PPV-modus. Dersom det er tilfellet, kontrollerer dekoderen 2020 ved utnyttelse av opplysningene lagret i PPV-hendelsesbeskrivelsen 167, om sesjons-ID'en for programmet er lagret i denne. Dersom sesjons-ID'en er lagret der, trekkes styreordet ut fra ECM'en.

Dersom sesjons-ID'en ikke lagret der, viser mottager/dekoderen 2020 ved hjelp av et spesielt brukerprogram, frem en melding overfor sluttbrukeren som angir at han har rett til å se sesjonen for en pris på f.eks. 25 kuponger slik den leses ut fra ECM'en eller til å koble seg til kommunikasjonstjeneren 3022 for innkjøp av hendelsen. Brukes kuponger og sluttbrukeren svarer "ja" (ved hjelp av fjernstyringen 2026, se fig. 2), sender dekoderen 2020 ECM'en til smartkortet og smartkortet minsker lommeboken på smartkortet 3020 med 25 kuponger, skriver inn sesjons-ID'en 168, sesjonsmodusen 169, sesjonsindeksen 170 og sesjonsvisningen 171 i PPV-hendelsesbeskrivelsen 167 og trekker ut og dechifrerer styreordet fra ECM'en.

I "forhåndsbestillings"-modusen vil en EMM bli sendt til smartkortet 3020 slik at smartkortet vil skrive inn sesjons-ID'en 168, sesjonsmodusen 169, sesjonsindeksen 170 og sesjonsvisningen 171 i PPV-hendelsesbeskrivelsen 167 ved å utnytte EMM'en.

Sesjonsindeksen 170 kan innstilles for å skille en utsendelse fra en annen. Dette trekk gjør det mulig å gi autorisasjon for et delsett av kringkastinger eller utsendelser, f.eks. for 3 ganger av 5 utsendelser. Så snart en ECM med en sesjonsindeks som er forskjellig fra den løpende sesjonsindeks 170 lagret i PPV-hendelsesbeskrivelsen 167, sendes til smartkortet, blir antallet sesjonsvisninger 171 økt med 1. Når sesjonsvisningen når 0, vil smartkortet avslå å dechifrere en ECM som har en sesjonsindeks forskjellig fra den løpende sesjonsindeks.

Sesjonsvisningens innledningsvise verdi er bare avhengig av den måte som kring-kastingsleverandøren ønsker å definere den hendelse som den gjelder på, og sesjonsvisningen for den enkelte hendelse kan anta en hvilken som helst verdi.

Mikroprosessoren 110 i smartkortet implementerer telle- og sammenligningsprogram for å påvise når grensen for antallet visninger av et bestemt program er blitt nådd.

Alle størrelsene sesjons-ID 168, sesjonsmodus 169, sesjonsindeks 170 og sesjonsvisning 171 i PPV-hendelsesbeskrivelsen 167 kan trekkes ut fra smartkortet ved å benytte "tilbakemeldings"-prosedyren beskrevet tidligere.

Hver mottager/dekoder 2020 inneholder en identifikator som enten entydig kan identifisere vedkommende mottager/dekoder eller identifisere produsent, eventuelt klassifisere den på en eller annen annen måte for å gjøre den i stand til å arbeide med bare ett eneste bestemt smartkort, en bestemt klasse smartkort fremstilt av den samme eller en tilsvarende produsent, eller en hvilken som helst annen klasse smartkort som utelukkende er beregnet på bruk sammen med vedkommende klasse mottager/dekodere.

På denne måte blir mottager/dekodere 2020 som er blitt levert til kunden av en kringkastingsleverandør beskyttet mot bruk av ikke-autoriserte dattersmartkort 3020.

I tillegg til eller som alternativ til dette første "håndtrykk" mellom smartkortet og mottageren, kan EEPROM'en i smartkortet 3020 inneholde et felt eller bitkart som beskriver de kategorier mottager/dekodere 2020 som det kan virke sammen med. Disse kan spesifiseres enten under produksjonen av smartkortet 3020 eller ved hjelp av en spesifikk EMM.

Bitkartet lagret i smartkortet 3020 omfatter typisk en liste på inntil 80 mottager/dekodere, som hver er identifisert med en tilsvarende mottager/dekoder-ID som smartkortet kan brukes sammen med. Til hver mottager/dekoder er det knyttet henholdsvis et nivå "1" eller "0" som angir om smartkortet kan brukes sammen med mottager/dekoderen, eller ikke. Et program i mottager/dekoderens hukommelse 2024 søker etter identifikatoren for mottager/dekoderen i bitkartet lagret i smartkortet. Dersom identifikatoren finnes og verdien knyttet til identifikatoren er lik "1", "åpnes" smartkortet for bruk, og hvis ikke, vil smartkortet ikke virke sammen med vedkommende mottager/dekoder.

Dersom det typisk på grunn av en avtale mellom driftsselskaper er ønskelig å autorisere bruken av andre smartkort i en bestemt mottager/dekoder, vil dessuten spesifikke EMM'er bli sendt via transponderen 2014 til disse smartkort for å endre deres bitkart.

Hver kringkastingsleverandør kan skille mellom sine abonnenter i samsvar med visse forutbestemte kriteria. Som et eksempel kan et antall abonnenter bli klassifisert som "VIP"-abonnenter. Følgelig kan hver kringkastingsleverandør inndele sine abonnenter i flere delmengder, idet hver delmengde kan omfatte et hvilket som helst antall abonnenter.

Den delmengder eller undergruppe som en bestemt abonnent tilhører, innstilles i SMS'et 3004. I sin tur sender SAS'et 3002 en EMM til abonnenten som skriver informasjonen (typisk med en lengde på 1 byte) som gjelder den undergruppe som abonnenten tilhører, inn i det relevante driftsselskaps datasone, f.eks. sonen 154, i PROM'en på smartkortet. Ettersom hendelser kringkastes av kringkastingsleverandøren, sendes i sin tur en ECM på typisk 256 biter sammen med hendelsen for å angi hvilke av abonnentundergruppene som kan se hendelsen. Dersom abonnenten i henhold til informasjonen lagret i selskapssonen ikke har rett til å se hendelsen, slik det bestemmes av ECM'en, blir programvisning nektet.

Denne funksjon kan f.eks. utnyttes for å slå av alle smartkort tilhørende et gitt driftsselskap i et bestemt geografisk område under utsendelse av et bestemt program, særlig et program som gjelder en idrettskonkurranse som finner sted i vedkommende geografiske område. På denne måte kan fotballklubber og andre idrettsforeninger selge kringkastingsrettigheter utenfor deres lokalområde samtidig som lokale tilhengere hindres fra å se konkurransen på fjernsyn. På denne måte blir lokale tilhengere oppmuntret til å kjøpe billetter og overvære konkurransen.

Hvert av trekkene knyttet til sonene 151 - 172 anses å utgjøre en separat oppfinnelse uavhengig av den dynamiske opprettelse av soner.

Det skal forstås at ovenfor er oppfinnelsen blitt beskrevet utelukkende som et eksempel, og modifikasjoner av detaljer kan gjøres innenfor oppfinnelsens omfang.

Hvert trekk angitt i beskrivelsen og i kravene eller på tegningene (når dette er aktuelt) kan frembringes uavhengig av hverandre eller i en hvilken som helst passende kombinasjon.

I de tidligere nevnte foretrukne utførelsesformer er visse trekk ved foreliggende oppfinnelse implementert ved å benytte programvare for datamaskiner. Det vil imidlertid selvsagt være klart for fagfolk at et hvilket som helst av disse trekk kan realiseres ved å benytte maskinvare. Videre vil det lett forstås at de funksjoner som utføres av maskinvaren, datamaskin-programvaren og lignende utføres på eller ved å benytte elektriske signaler, eller lignende.

Claims (13)

1. Smartkort (3020) for bruk sammen med en mottager av krypterte kringkastingssignaler, idet smartkortet omfatter: - en mikroprosessor (110) for å muliggjøre eller styre dekryptering av nevnte signaler, og - en hukommelse (150) koblet til nevnte mikroprosessor, karakterisert vedat mikroprosessoren (110) er tilpasset for å muliggjøre eller styre enkeltdekryptering av flere sådanne signaler fra forskjellige kringkastings-leverandører av sådanne signaler ved hjelp av respektive dynamisk skapte soner (154 -165) i nevnte hukommelse, idet hver av de dynamisk skapte soner er innrettet for å lagre dekrypteringsdata knyttet til en respektiv av nevnte kringkastingsleverandører, mens smartkortet også omfatter en forvalterhukommelsessone (153) innrettet for å inneholde data som gjelder smartkortets rettigheter til å styre dynamisk opprettelse og fjerning av de dynamisk skapte soner.

2. Smartkort som angitt i krav 1, og som også omfatter en identifikator og i det minste en hemmelig dekrypteringsnøkkel knyttet til en respektiv av nevnte kringkastingsleveran-dører, idet nevnte identifikator og den ene eller hver nøkkel er lagret i en av nevnte dynamisk skapte soner (157, 159) og er innrettet for å dekryptere kringkastingssignaler som har en identitet tilsvarende vedkommende identifikator og som er kryptert ved bruk av en krypteringsnøkkel tilsvarende vedkommende dekrypteringsnøkkel.

3. Smartkort som angitt i krav 2, og som for hver sone (154, 155, 156) også omfatter en lagret gruppeidentifikator og en ytterligere identifikator som identifiserer det innenfor vedkommende gruppe og er ordnet for å dekryptere kringkastingssignaler som har en identitet tilsvarende den lagrede gruppeidentifikator.

4. Smartkort som angitt i et av de foregående krav, og som er innrettet for å vedlikeholde en første rekke hukommelsessoner (154 - 156) som inneholder identitetene for de respektive kringkastingsleverandører og en andre rekke dynamisk skapte hukommelsessoner (157 - 165), idet hver hukommelsessone i den andre rekke er merket med identi-teten til en kringkastingsleverandør og inneholder data som omfatter nevnte dekrypteringsdata som brukes for å håndtere mottatte kringkastingssignaler fra vedkommende leverandør, idet flere hukommelsessoner i nevnte andre rekke har et felles identitets merke og inneholder forskjellige klasser av data som gjelder håndteringen av mottatte kringkastingssignaler fra vedkommende kringkastingsleverandør.

5. Smartkort som angitt i krav 4, og som er innrettet for dynamisk å skape hukommelsessonene (154 - 157) i den første rekke.

6. Smartkort som angitt i et av de foregående krav, og hvor de dynamisk skapte hukommelsessoner er fortløpende.

7. Smartkort som angitt i et av de foregående krav, og hvor en av de dynamisk skapte soner (161) inneholder rettighetsdata som angir et bestemt utvalg kringkastingsutsendelser som kringkastes av en kringkastingsleverandør og som brukeren av smartkortet er berettiget til å dekryptere, idet smartkortet er innrettet for å utnytte nevnte rettighetsdata for å dekryptere utsendelser kringkastet av vedkommende leverandør.

8. Smartkort som angitt i et av de foregående krav, og hvor det i tillegg til nevnte dynamisk skapte soner er definert en transaksjonshukommelsessone (165) på smartkortet, som inneholder ytterligere rettighetsdata som gjelder utsendelser kringkastet av en kringkastingsleverandør og som en bruker av smartkortet er berettiget til å dekryptere bare som reaksjon på et transaksjonsutgangssignal som kan genereres av smartkortet under styring av brukeren.

9. Smartkort som angitt i krav 8, og som også omfatter en teller for å telle antallet anledninger som en utsendelse kringkastes ved etter avgivelsen av nevnte transaksjonsutgangssignal, og hvor smartkortet er innrettet for å portstyre dekrypteringen av vedkommende utsendelse i avhengighet av den tellerverdi som er nådd av nevnte teller.

10. Kombinasjon av et smartkort som angitt i krav i et av de foregående krav og en mottager/dekoder (2020) for bruk sammen med smartkortet, karakterisert vedat mottager/dekoderen omfatter en smartkortleser og er innrettet for å dekryptere krypterte kringkastingssignaler under styring av smartkortet.

11. Kombinasjon som angitt i krav 10, og hvor mottager/dekoderen (2020) er innrettet for å dekryptere krypterte kringkastingsvideo- og/eller -audiosignaler, og generere et tilsvarende video- og/eller audioutgangssignal.

12. Kombinasjon som angitt i krav 10 eller 11, og hvor mottager/dekoderen (2020) har en inngangsport med forholdsvis stor båndbredde for å motta nevnte krypterte kringkastingssignaler og en utgangsport med forholdsvis liten båndbredde innrettet for å sende utgangsstyresignaler tilbake til en kringkastingssender.

13. Kombinasjon som angitt i et av kravene 10 - 12, og hvor mottager/dekoderen (2020) inneholder en lagret identifikator og er innrettet for å arbeide bare med et smartkort som har en tilsvarende lagret identifikator.