FR 2846831 A1 20040507 FR 0213733 A 20021104 - 1 La présente invention concerne un système d'émission réception pour mettre à la disposition d'un grand nombre d'utilisateurs, et au moyen d'un réseau de diffusion, des Informations Elémentaires (de gros volume, lEs) simultanément, de manière sure et apparemment sans délai lorsque la bande passante du réseau constitue une limitation. Dans toutes les situations ou beaucoup d'utilisateurs doivent pouvoir choisir et disposer d'flEs parmi un ensemble d'lEs mis à disposition par un centre de données au moyen d'un réseau, le délai de mise à disposition est difficilement maîtrisé. Dans certains cas (réseaux informatiques), la 10 transmission est traditionnellement réalisée en " point à point " entre l'émetteur et chaque récepteur. L'IE est consommée après téléchargement en mémoire locale ou en temps réel (streaming). La transmission semble immédiate mais la mobilisation du serveur de données et du réseau augmente proportionnellement au nombre d'utilisateurs, entraînant un délai d'obtention en 15 téléchargement plus grand ou une qualité d'obtention en temps réel insuffisante. La situation n'est pas véritablement améliorée par les systèmes qui visent à " mutualiser " les transmissions entre utilisateurs au moyen d'un réseau de diffusion " point à multipoint". Leur objectif est de décharger le serveur de données et le réseau en déterminant des groupes de récepteurs qui 20 ont choisi les mêmes lEs. Ce principe induit par nature un délai entre le choix et la mise à disposition d'une IE, délai statistiquement proportionnel au nombre de récepteurs " mutualisés " pour cette IE. Dans d'autres cas, (réseaux de télévision par satellite), la transmission est traditionnellement organisée en " point à multipoint" vers tous les récepteurs (broadcast) et l'IE est consommée 25 en temps réel (visualisation sur l'écran de télévision ou enregistrement). Les services de type "Pay-Per-View" réalisent la " mutualisation " des utilisateurs en les invitant à se synchroniser sur les débuts des lEs et il est généralement nécessaire de répéter plusieurs fois la diffusion de chaque IE pour leur confort. En résumé: le problème naît des limitations en bande passante du réseau et en 30 serveur de données lorsque le nombre d'utilisateurs augmente. Une solution passe certainement par l'emploi de transmissions " point à multipoint " mais alors un délai non maîtrisé de mise à disposition des lEs choisis par les utilisateurs semble incontournable. Il en résulte une impossibilité de produire un système d'information sans délai pour la fourniture d'un service de transmission 35 d'IE à la demande en masse auprès d'un grand nombre d'utilisateurs. -2 Le système selon l'invention permet de remédier partiellement à ces inconvénients en profitant d'une mémoire de stockage sur les équipements récepteurs. Il ne permet pas pour autant à tous les utilisateurs quel que soit leur 40 nombre de disposer de toute IE instantanément car cela est strictement impossible, dans l'hypothèse d'étude ou la bande passante du réseau constitue une limitation. Mais il permet, en s'appuyant sur des transmissions " point à multipoints ", de faire en sorte que l'utilisateur du récepteur puisse disposer immédiatement d'une IE qu'il désire parmi un ensemble d'lEs déjà enregistrées 45 (localement) dans son récepteur, et de faire en sorte que l'émetteur n'ait pas à répéter les transmissions d'lEs de manière à augmenter leur probabilité d'utilisation. Parallèlement le système selon l'invention assure la protection des contenus (IEs) enregistrés dans les récepteurs. 1. Le système (figure 1) se compose selon une première caractéristique 50 d'un réseau de diffusion (1) qui permet à l'émetteur (2) de transmettre simultanément des données, et en particulier des lEs, vers des boîtiers (8) équipés d'un récepteur (3). Chaque transmission simultanée est initiée par l'émetteur (2) sur un canal connu a priori par les récepteurs (3, à l'inverse du modèle " client serveur " traditionnel ou des transactions sont initiées par les 55 récepteurs). 1.1 Selon une première variante de réalisation, le réseau de diffusion (1) réalise plusieurs transmissions simultanées sur plusieurs canaux simultanément, le nombre maximum de canaux étant limité par des caractéristiques physiques (bande passante, nombre de filtres électroniques des équipements de réception). 1.2 Selon une deuxième variante de réalisation, 60 le réseau de diffusion (1) dispose d'une voie de retour des récepteurs (3) vers l'émetteur (2). La méthode de transmission des données (protocole réseau) utilise cette voie de retour pour garantir l'acheminement de l'intégralité des données. Cette variante est indépendante du centre de contrôle (6) ci-après, bien qu'elle puisse correspondre (éventuellement pour partie) au même réseau 65 physique que celui-ci utilise (voir figure 1). 1.3 Selon une troisième variante de réalisation, le réseau de diffusion (1) transporte des données de manière chiffrée afin d'assurer leur confidentialité. Cette variante est indépendante des moyens enregistrement / chiffrement (5) et centre de contrôle (6) décrits ci après. 2. Le système se compose selon une deuxième caractéristique d'un émetteur (2) qui transmet les lEs les unes à la suite des autres sans délai sur un canal du réseau de diffusion (1). La totalité des lEs à diffuser constituant un -3 ensemble fini, l'émetteur reprend la transmission de la première IE après celle de la dernière sans délai, organisant ainsi un cycle infini. 2.1 Selon une 75 première variante de réalisation, l'émetteur (2) transmet des données descriptives des lEs en même temps que les IlEs. Ces données sont parties intégrantes de l'IE ou (de manière préférentielle) elles sont transmises par un autre canal du réseau de diffusion (1) en même temps que l'IE (voir la première variante de réalisation de 1). Les données descriptives d'une IE portent de 80 l'information sur la nature du contenu de cette IE. Il s'agit au minimum d'une identification textuelle qui permet à l'utilisateur de reconnaître chaque IE. Des données descriptives dites " particulières " portent également de l'information additionnelle servant à forcer le comportement des boîtiers (8), c'est à dire le comportement conjoint du récepteur (3) et du moyen d'enregistrement / 85 chiffrement (5). Il peut s'agir d'une priorité de l'IE affectée par l'émetteur (2), de sa popularité (estimation de la proportion d'utilisateurs ayant consommé l'IE, connue a priori ou mesurée grâce au centre de contrôle 6, voir la troisième variante de réalisation de 6) ou encore d'un ordre de verrouillage de l'IE (voir le moyen de présentation / sélection 4) dans le moyen d'enregistrement / 90 chiffrement (5), sans que cette liste ne soit limitative. Cette variante permet au concepteur du système d'organiser la promotion des lEs auprès des boîtiers (8) selon des critères répondants à un modèle d'information recherché. 2.2 Selon une deuxième variante de réalisation, l'émetteur (2) réalise la transmission cyclique de plusieurs ensembles d'lEs sur plusieurs canaux simultanément et 95 indépendamment en exploitant la première variante de réalisation du réseau de diffusion (1). 2.3 Selon une troisième variante de réalisation, l'émetteur (2) modifie l'ensemble des lEs diffusés dans le cycle pour adapter sa publication à des critères externes (choix éditoriaux), ou pour tenir compte des mesures de consommation des lEs (lorsque le centre de contrôle 6 est présent), ou encore 100 pour tenir compte de demandes d'utilisateurs effectuées par un moyen hors du champ de la présente invention (par exemple l'élection de nouvelles lEs à diffuser). 2.4 Selon une quatrième variante de réalisation lorsque le centre de contrôle (6) est présent, l'émetteur (2) fournit dans les informations descriptives particulières d'une IE le secret de chiffrement (clef de session) qui doit être 105 utilisé par les moyens d'enregistrement / chiffrement (5) des boîtiers (8). Cette variante suppose l'existence d'un réseau de communication entre l'émetteur (2) et le centre de contrôle (6) hors du champ de l'invention. L'émetteur (2) obtient par ce réseau l'identifiant unique du doublet de secrets et le secret de -4 chiffrement lui-même (selon la cinquième variante de réalisation du centre de 110 contrôle 6) qu'il transmet dans les données descriptives particulières avec l'IE. Cette variante laisse au concepteur du système selon l'invention la possibilité de faire chiffrer l'IE d'une manière commune par tous les boîtiers (8). 3. Le système se compose selon une troisième caractéristique de récepteurs (3) dotés des moyens électroniques nécessaires à la réception des 115 données issues du réseau de diffusion (1), leur déchiffrement éventuel (selon la troisième variante de réalisation du réseau de diffusion 1), et leur filtrage. Le récepteur (3) est physiquement localisé dans le boîtier (8). Pour les besoins de la description de l'invention, le récepteur (3) est considéré comme doté d'une unité centrale de traitement (microprocesseur). Par convention et sans préjuger 120 d'autres possibilités de réalisations de l'invention, cette unité de traitement joue un rôle fédérateur des équipements situés dans le boîtier (8), c'est à dire le récepteur (3), le moyen d'enregistrement / chiffrement (5) et le moyen de consommation (7). Le récepteur (3) est également doté d'une électronique optionnelle de connexion via un réseau vers le centre de contrôle (6) et / ou 125 vers le moyen de présentation / sélection (4, voir deuxième variante de réalisation). Ce réseau n'est pas le réseau de diffusion (1), en ce sens que ce n'est pas un réseau de diffusion mais un support de transactions de type client serveur entre 8 et 6 ou entre 4 et 8. Il peut emprunter (éventuellement pour partie) le même réseau physique que (1). Ici également cette électronique de 130 connexion est affectée par convention au récepteur (3) pour les besoins de la description de l'invention. On devra retenir uniquement qu'elle est située dans le boîtier (8). Le récepteur (3) est réglé pour recevoir les lEs sur un canal donné du réseau de diffusion (1) et éventuellement les données de description sur un autre canal de ce réseau (selon la première variante de l'émetteur 2). Il opère 135 un processus d'écoute et de filtrage et lorsqu'une IE répond aux critères de sélection locaux (voir la première variante de réalisation ci-après), il transmet les données correspondantes issues du réseau de diffusion (1) vers le moyen enregistrement / chiffrement (5). L'unité de traitement du récepteur (3 ou éventuellement 5 lui-même) procède par remplacement des lEs enregistrées 140 antérieurement une fois la mémoire de stockage de (5) complètement remplie. La stratégie quant au choix de/des l'IE(s) remplacée(s) utilise leur ancienneté, la quantité de mémoire potentiellement libérée et potentiellement toutes les informations descriptives et descriptives particulières disponibles dans le cas de la première variante du moyen caractéristique émetteur (2). Elle s'applique uniquement sur les lEs qui n'ont pas été verrouillées en mémoire par l'utilisateur (voir le moyen de présentation / sélection 4). L'algorithme correspondant à cette stratégie n'est pas en lui-même caractéristique de l'invention. L'unité de traitement du récepteur (3 ou éventuellement le moyen d'enregistrement / chiffrement 5 lui-même) ré-attribue l'espace mémoire 150 correspondant d'une IE une fois qu'elle a été transmise à l'utilisateur (pour la dernière fois autorisée, voir la quatrième variante ci-après) par l'intermédiaire du moyen de consommation (7). Lorsque le centre de contrôle (6) est présent, le récepteur (3) dispose d'un secret d'authentification du boîtier (8) auprès de (6, voir première variante de 6). Ce secret est stocké dans une mémoire 155 permanente localisée dans le boîtier (8) et autant que possible d'une manière cachée de tout équipement électronique externe. Il est important que le secret d'authentification ne puisse être découvert ni que le boîtier (8) dans son ensemble ne puisse être répliqué. Au moment de la consommation d'une IE par l'utilisateur, le récepteur (3) se connecte au centre de contrôle en utilisant le 160 secret d'authentification et une signature pour prouver l'identité du boîtier (8). Il transmet ensuite l'indication de consommation de l'IE, et lorsque le moyen enregistrement / chiffrement (5) réalise du chiffrement (voir la première variante de réalisation de 5), il reçoit (de manière confidentielle) le secret de déchiffrement associé au boîtier (8, voir le centre de contrôle 6). Lorsque le 165 centre de contrôle (6) n'est pas présent, le récepteur (3) ne dispose pas d'un secret d'authentification et le secret de déchiffrement éventuel et nécessaire à l'opération de consommation est alors obtenu localement (voir troisième variante ci-après). 3.1 Selon une première variante de réalisation, le récepteur filtre les données de description (selon la première variante de réalisation de 170 l'émetteur 2) et ne fait enregistrer par (5) que certaines lEs répondant à des critères de sélection. La vérification de ces critères est réalisée par l'unité de traitement du récepteur selon toute suite d'opérations syntaxique, arithmétique et logiques portant sur les données descriptives et des données de réglage du récepteur (3). Ces données de réglages sont prédéfinies dans une mémoire 175 permanente située dans le boîtier (8) ou elles sont saisies par l'utilisateur par l'intermédiaire du moyen de présentation / sélection (4, voir troisième variante de réalisation). Cette variante permet à l'utilisateur du boîtier (8) d'adapter le comportement d'enregistrement local de son boîtier (figure 2). 3.2 Selon une deuxième variante de réalisation, le récepteur (3) opère le filtrage et 180 l'enregistrement précédemment décrit sur plus d'un canal simultanément et -6 indépendamment (première variante de réalisation du réseau de diffusion 1) . 3.3 Selon une troisième variante de réalisation, le récepteur (3) fait réaliser ou non le chiffrement des contenus des lEs enregistrés par le moyen d'enregistrement / chiffrement (5). Dans l'affirmative et si le centre de contrôle 185 (6) n'est pas présent, le secret de chiffrement est (de manière préférentielle) conservé dans une mémoire permanente située dans le boîtier (8) ou (de manière non préférentielle) obtenu de l'utilisateur par le moyen de présentation / sélection (4). Dans l'affirmative également et si le centre de contrôle (6) est présent, le secret de chiffrement est (de manière préférentielle) obtenu de (6) 190 par l'intermédiaire de transactions prévues à cet effet, ou (de manière non préférentielle) obtenu de l'utilisateur par le moyen de présentation / sélection (4) et à l'initiative de l'utilisateur. Ce secret doit être autant que possible caché des systèmes électroniques externes lorsque le moyen d'enregistrement / chiffrement (5) utilise un algorithme symétrique (voir quatrième variante du 195 moyen 5, dans le cas contraire, il s'agit d'une clef publique). 3.4 Selon une quatrième variante de réalisation, le récepteur (3) ou le centre de contrôle (6) autorise plus d'une consommations successives d'une même IE (figure 3). Dans le premier cas, le nombre de consommations autorisées est issu des données descriptives particulières de l'IE ou il est prédéfini pour toutes les lEs. 200 Dans le deuxième cas, le nombre de consommations autorisées restant est transmis lors de la transaction avec le centre de contrôle (6) initiée par le récepteur (3) au moment de la consommation. 3. 5 Selon une cinquième variante de réalisation, le récepteur (3) fait réaliser le chiffrement de l'IE à partir d'un secret de chiffrement (clef de session) reçue dans les données 205 descriptives particulières. Il fait également mémoriser avec l'IE chiffrée l'identifiant unique du doublet de secrets (voir cinquième variante de réalisation du centre de contrôle 6). Cet identifiant est ultérieurement utilisé au moment de la consommation pour obtenir la clef de déchiffrement de IE du centre de contrôle (6). 210 4. Le système se compose selon une quatrième caractéristique d'un moyen de présentation et de sélection (4) des lEs enregistrées et de réglages du boîtier (8). L'utilisateur a la possibilité par son intermédiaire de visualiser les descriptions des lEs et d'envoyer des ordres vers l'unité centrale du récepteur (3, selon la convention de description). L'ordre de verrouillage d'une IE indique 215 à (3, ou indique à 3 d'indiquer au moyen d'enregistrement chiffrement 5) de ne plus la remplacer par une autre reçue à partir de cet instant et ce jusqu'à ce que -7 I'IE soit consommée (pour la dernière fois autorisée) ou déverrouillée. L'ordre de consommation indique à (3, ou indique à 3 d'indiquer au moyen d'enregistrement chiffrement 5) de transmettre l'IE vers l'utilisateur en utilisant le moyen de 220 consommation (7) et de ré attribuer l'espace mémoire correspondant ensuite (pour la dernière consommation autorisée, voir la quatrième variante de réalisation du récepteur 3). L'ordre de déverrouillage indique l'inverse de l'ordre de verrouillage (figure 3). La présentation des lEs à l'utilisateur comprend au minimum et pour chaque IE son identifiant et une indication de son état 225 (verrouillé ou non, nombre de fois qu'il a été consommé selon quatrième variante de réalisation du récepteur 3). 4.1 Selon une première variante de réalisation, la présentation comporte tout ou partie des informations descriptives connues du récepteur (3) et / ou déterminées par (3) et par le moyen d'enregistrement / chiffrement (5). 4.2 Selon une deuxième variante de réalisation le moyen de 230 présentation / sélection (4) est localisé dans le boîtier (8) ou il est distant du boîtier (8) relié par un réseau au boîtier. Ce réseau n'est pas le réseau de diffusion (1), en ce sens que ce n'est pas un réseau de diffusion mais un support de transactions de type client serveur entre 4 et 8. Il peut emprunter (éventuellement pour partie) le même réseau physique que (1). Selon la 235 convention de description de l'invention, le moyen de connexion du récepteur (3) est utilisé à cet effet. 4.3 Selon une troisième variante de réalisation, le moyen de présentation / sélection (4) permet à l'utilisateur de régler les critères de sélection des lEs (correspondant à la première variante de réalisation du récepteur 3). 4.4 Selon une quatrième variante de réalisation (non recommandée), le moyen de 240 présentation / sélection (4) permet à l'utilisateur de saisir le secret d'authentification logiquement associé au boîtier (8). 4.5 Selon une cinquième variante de réalisation (non recommandée) et si le moyen caractéristique (6) n'est pas présent, le moyen de présentation I sélection (4) permet de saisir le secret de chiffrement et le secret de déchiffrement associé au boîtier (8) , ainsi 245 que le secret de chiffrement à utiliser pour un équipement distant (voir la deuxième variante de réalisation de 7). 5. Le système se compose selon une cinquième caractéristique d'un moyen d'enregistrement des lEs avec chiffrement éventuel (5). Le moyen enregistrement / chiffrement (5) est physiquement localisé dans le boîtier (8). La 250 capacité de stockage est d'un ordre de grandeur minimum de 20 fois le volume maximum des lEs. Lorsque le récepteur (3) lui indique d'enregistrer une nouvelle -8 IE, le moyen d'enregistrement / chiffrement (5) reçoit du récepteur (3) les données de l'IE et les données descriptives associées éventuelles (selon la 255 première variante de réalisation de 2). 5.1 Selon une première variante de réalisation, le moyen d'enregistrement / chiffrement (5) chiffre ou non les données. Dans l'affirmative, il transforme les données d'une IE reçue du récepteur (3) à la volée par un algorithme réversible utilisant un secret de chiffrement logiquement associé au boîtier (8). Inversement au moment de 260 l'opération de consommation, lorsque le récepteur (3, sous l'effet du moyen de présentation / sélection 4 et selon la convention de description) demande de consommer une IE, le moyen d'enregistrement / chiffrement (5) relit les données correspondants au contenu enregistré de l'IE, les déchiffre au moyen du secret de déchiffrement logiquement associé au boîtier (8) et les transmet 265 vers le moyen de consommation (7, voir première variante de réalisation). Le moyen d'enregistrement / chiffrement (5) peut à la demande du récepteur (3, sous l'effet d'une demande du moyen de présentation / sélection 4 et selon la convention de description), réaliser le processus de lecture / déchiffrement précédent et en plus réaliser un re-chiffrement du contenu de l'IE au moyen 270 d'un autre secret de chiffrement logiquement associé à un autre boîtier (8), avant de le transmettre vers le moyen de consommation (7, voir deuxième variante de réalisation). Ici on considère pour le besoin de la description de l'invention que le moyen d'enregistrement / chiffrement (5) est en charge de la fonction re-chiffrement précédente. Il ne s'agit que d'une convention de 275 description qui ne préjuge pas d'autres réalisations possibles (voir aussi la troisième variante de réalisation du moyen de consommation 7). 5.2 Selon une deuxième variante de réalisation, le moyen d'enregistrement / chiffrement (5) réalise plusieurs opérations simultanément comme a) enregistrement avec chiffrement b) lecture avec déchiffrement et c) re chiffrement. Il comprend 280 plusieurs moyens électroniques et/ou logiciels pour permettre que les opérations a+b (enregistrement de nouvelles lEs pendant la consommation de l'une d'entre elle), b+c (consommation par un équipement), ou plus soient possibles sans délai. 5. 3 Selon une troisième variante de réalisation, le moyen d'enregistrement / chiffrement (5) permet l'enregistrement chiffrement 285 indépendant de plusieurs lEs correspondant à plusieurs canaux selon la première variante du réseau de diffusion (1, cette variante pouvant s'envisager par logiciel en multiplexant dans le temps les processus de chiffrement). 5.4 Selon une quatrième variante de réalisation, le moyen d'enregistrement / chiffrement (5) utilise un algorithme à clef publique ou un algorithme 290 symétrique. L'algorithme lui-même n'est pas caractéristique de l'invention. 5.5 Selon une cinquième variante de réalisation (en particulier lorsque le centre de contrôle 6 n'est pas présent), le moyen d'enregistrement / chiffrement (5) conserve dans sa mémoire locale, ou dans une mémoire permanente située dans le boîtier (8), les secrets de chiffrement et de déchiffrement logiquement 395 associés au boîtier (8), et donc ne les obtient pas du récepteur (3). Il est important que ces secrets soient protégés des système électroniques externes. 5.6 Selon une sixième variante de réalisation (en particulier lorsque le centre de contrôle 6 est présent), le moyen d'enregistrement / chiffrement obtient du centre de contrôle (6) les secrets de chiffrement et de déchiffrement associés 300 au boîtier (8), et ce via le récepteur (3) selon la convention de description. 6. Le système se compose selon une sixième caractéristique optionnelle d'un centre de contrôle (6) qui vérifie la consommation effective des IlEs par les boîtiers (8). De manière optionnelle le centre de contrôle (6) fournit les secrets de chiffrement et de déchiffrement associés aux boîtiers. Il peut également 305 changer ces secrets au cours du temps. Le boîtier (8) est relié au centre de contrôle (6) par l'intermédiaire d'un réseau qui n'est pas le réseau de diffusion (1), en ce sens que ce n'est pas un réseau de diffusion mais un support de transactions de type client serveur entre (8) et (6) mais qui peut correspondre (éventuellement pour partie) le même réseau physique que (1). Pour les 310 besoins de la description et par convention, on considère que le boîtier (8) utilise le moyen de connexion du récepteur (3) à cet effet. Lorsque le centre de contrôle (6) est présent, le récepteur (3) informe le centre de contrôle lors de chaque opération de consommation d'IE par une transaction. 6.1 Selon une première variante de réalisation, le centre de contrôle (6) présente un serveur 315 de transaction client serveur sécurisé ou non aux récepteurs (3). Dans l'affirmative (recommandée), et lors de chaque transaction, le récepteur (3) prouve l'identité du boîtier (8) au moyen d'une signature électronique utilisant le secret d'authentification du boîtier (8, voir la description du récepteur 3) au centre de contrôle (6). Le centre de contrôle (6) reçoit l'indication de 320 consommation d'une IE et fournit éventuellement le secret de déchiffrement de l'IE de manière confidentielle. 6.2 Une deuxième variante de réalisation consiste pour le centre de contrôle (6) à utiliser un système de chiffrement à clef public ou symétrique (correspondant à la quatrième variante de 5). Dans le cas d'un algorithme à clef public, il faut retenir pour toutes les descriptions que - 1 0 325 le secret de chiffrement est une clef publique qui n'a pas à être protégée, que ce soit dans les transactions client serveur, ou dans les mémoires permanentes située dans le boîtier (8). 6.3 Une troisième variante de réalisation consiste pour le centre de contrôle (6) à informer l'émetteur (2) sur les mesures de consommation effectives des lEs par les boîtiers (8). On considère ici que 330 l'émetteur (2) et le centre de contrôle (6) sont reliés par un réseau hors du champ de l'invention. Cette possibilité est exploitée par l'émetteur (2) pour fournir des mesures effectives de popularité des lEs diffusées dans les données descriptives, et par le récepteur (3) pour en tenir compte dans les critères de sélection des IlEs. 6.4 Une quatrième variante de réalisation consiste pour le 335 centre de contrôle (6) à modifier les secrets de chiffrement des boîtiers (8) au cours du temps. Dans ce cas, il fournit le nouveau secret de chiffrement de chaque boîtier (8) au moment d'une transaction de consommation d'IE par ce boîtier et en même temps que l'ancien secret de déchiffrement, ou lors de transactions prévues à cet effet et initiées par les boîtiers (8). 6.5 Une 340 cinquième variante de réalisation consiste pour la centre de contrôle à attribuer et à fournir à l'émetteur (2, selon la quatrième variante de réalisation de l'émetteur) des secrets de chiffrement et de fournir aux boîtiers les secrets de déchiffrements correspondants. Le doublet est repéré de façon unique par un identifiant attribué par le centre de contrôle (6) et transmis avec la clef de 345 chiffrement à l'émetteur (2). 7. Le système se compose selon une septième caractéristique d'un moyen de consommation des lEs (7) par l'utilisateur. L'utilisateur est soit un équipement qu'on suppose non doté de moyen d'enregistrement numérique (en général indirectement un être humain), soit un autre équipement électronique 350 doté d'un moyen d'enregistrement numérique. L'équipement est relié par une interface au moyen de consommation (7). Le moyen de consommation (7) est physiquement localisé dans le boîtier (8). Sous l'effet d'une demande du moyen de présentation / sélection (4), le récepteur (3) utilise le moyen d'enregistrement / chiffrement (5) pour lire (et déchiffrer) l'IE et le moyen de consommation (7) 355 pour transmettre le contenu de l'IE vers l'extérieure du système (notez le caractère conventionnel pour la description de l'invention de ce rôlefédérateur du récepteur 3). 7.1 Selon une première variante de réalisation, le moyen de consommation (7) transmet l'IE " en clair ", éventuellement déchiffrée par (5), vers un équipement sans moyen d'enregistrement numérique (par exemple 360 vers un écran de visualisation dans le cas d'un utilisateur humain). Le moyen - 1I1 de consommation effectue éventuellement une opération de traitement de décodage de I'IE pour qu'elle puisse être interprétée par l'équipement. 7. 2 Dans une deuxième variante de réalisation, le moyen de consommation (7) livre M'IE " embrouillée ", déchiffré par le moyen d'enregistrement chiffrement (5) puis re 365 chiffréerce même moyen (5, selon la convention de description utilisée pour le moyen d'enregistrement / chiffrement 5 qui consiste à considérer que 7 ne dispose pas d'un moyen de chiffrement propre) pour un équipement doté de moyen d'enregistrement numérique vers l'interface. Cet équipement est considéré comme un autre boîtier au sens du secret de chiffrement. Le secret 370 est obtenue soit via le récepteur (3, selon la convention de description) du centre de contrôle (6), soit de l'équipement lui-même par le protocole de communication, soit par une saisie utilisateur par l'intermédiaire du moyen de présentation / sélection (4). 7.3 Dans une troisième variante de réalisation, le moyen de consommation (7) dispose d'un moyen propre pour réaliser le re375 chiffrement de l'IE vers l'équipement doté d'un moyen d'enregistrement numérique. Le secret de chiffrement est obtenu par les mêmes méthodes que dans la deuxième variante ci avant. 8 Le système se compose selon une huitième caractéristique d'un boîtier (8) qui regroupe le récepteur (3), le moyen enregistrement / chiffrement (5) et le 380 moyen de consommation (7). Le sens du boîtier (8) est que les 3 moyens caractéristiques précédents sont localisés en son sein, et que les secrets de chiffrement et de déchiffrement sont logiquement associés au boîtier (8), soit par le centre de contrôle (6), soit par le fait qu'il sont conservés dans une mémoire permanente située dans le boîtier (8). On entend par local les 385 équipements situé dans le, et les fonctions réalisées à l'intérieur du, boîtier (8). 8.1 Selon une première variante de réalisation, le boîtier peut avoir ou non une réalité physique. Les dessins annexés illustrent l'invention: La figure 1 présente les composants du système. La figure 2 illustre le comportement de filtrage et 390 enregistrement de deux récepteurs. Sur cette figure, I'lEi,3 est enregistrée simultanément dans les deux boîtiers. La figure 3 présente les états successifs des emplacements mémoires correspondants aux lEs en réponse aux événements extérieures sur le boîtier (8). La figure 4 montre une architecture matérielle du boîtier (8) et du moyen de présentation sélection (4) dans laquelle 395 (4) est "proche" de (8) et dans laquelle le moyen de consommation (7) ne dispose pas de moyen de chiffrement propre (selon deuxième variante de 7). - 12 L'invention est particulièrement destinée à la réalisation de systèmes de vidéo à la demande en télévision numérique ou en informatique. Dans le cas de la télévision numérique, elle peut être mise en oeuvre au moyen des décodeurs 400 ou Set Top Boxes (STB) de la dernière génération qui disposent d'un disque dur de forte capacité (de l'ordre 80 giga octets) et dont une partie serait alors réservée au fonctionnement de l'invention. Une IE telle qu'un programme vidéo de 1 h 30 en qualité MPEG2 à 2 Mbps correspond à environ 1, 5 giga octets donc 20 lEs correspondent à 30 giga octets. De plus des méthodes récentes de 405 compression MPEG2 (cas d'application en dehors de la norme qui spécifie un débit minimum de 1,5 Mbps), et MPEG4 permettent d'utiliser des débits d'encodages de l'ordre de 1 Mbps d'une qualité visuelle et sonore acceptable. L'émetteur (2) est un fournisseur de service (une chaîne de télévision numérique) qui diffuse un ensemble de fichiers programmes vidéo MPEG2 (les 410 lEs) selon la norme Digital Video Broadcasting (DVB) en DSM-CC (Data Storage Management, méthode de transmission pour les fichiers de données). L'émetteur (2) diffuse également des données de descriptions de l'ensemble des sujets du cycle dans les tables normalisées "EIT schedule" du standard DVB (les applications interactives du genre EPG pour "Electronic Program 415 Guide" exploitent ce type de tables de données pour présenter aux utilisateurs les programmes à venir sur les différents services). Une application résidente du STB (ou une application interactive téléchargée à partir du service) opère le filtrage de ces descriptions et fait réaliser l'enregistrement des 'lEs dans le disque dur du STB. Le chiffrement (5) doit de préférence être réalisé par un 420 moyen électronique dédié couplé au disque dur de manière à permettre un chiffrement déchiffrement à la volée. Il peut également être réalisé par logiciel mais dans ce cas, il est probablement nécessaire d'admettre les conséquences suivantes: 1) le moyen d'enregistrement sera inopérant pendant un délai lié à l'opération de chiffrement après chaque réception d'IE. 2) Il existera un temps 425 de latence nécessaire au déchiffrement du programme entre le choix et la consommation (notez cependant que ce temps est borné et ne dépend pas du nombre d'utilisateurs du système). Une possibilité consiste à utiliser et enregistrer directement le programme reçu en DVB TS (Transport Stream, méthode de transmission pour les données en temps réél). Lorsque le réseau 430 de diffusion (1) utilise du chiffrement (par un système de contrôle d'accès DVB), cette solution est plus facilement mise en òuvre que le chiffrement local. Elle correspond au cas ou les clefs de sessions sont transmises dans les données - 13 descriptives particulière de l'IE. Le chiffrement du programme n'est pas spécifique du STB dans lequel ce programme est enregistré. En d'autres 435 termes, tous les STB détiennent la même image chiffrée de l'IE. La présentation / sélection (4) est réalisée par le STB au moyen de son OSD (On Screen Display), moyen électronique en télévision numérique qui permet aux application interactives d'afficher de l'information sur l'écran de télévision en surimpression de la vidéo, et par la télécommande et les commandes de face 440 avant manuelles. Les programmes (IEs) peuvent être présentés de la même manière qu'une application EPG ou "Pay-per-View" dans le but d'unifier la perception qu'a l'utilisateur des programmes disponibles immédiatement (selon l'invention) et des programmes disponibles traditionnellement (c'est à dire) dans le future. Le centre de contrôle (6) est un serveur informatique sécurisé (par 445 exemple au moyen du protocole client serveur " Secure Socket Layer ", SSL) recevant une connexion initiée par le modem du STB et véhiculée par le réseau public terrestre par exemple. Pour l'authentification, chaque récepteur est muni d'une clef privée unique connue de lui seul. Cette clef est la seule information à protéger dans la mémoire permanente du STB. Les chiffrements utilisent par 450 exemple un algorithme à clef publique. La clef publique (utilisée pour le chiffrement) n'a pas à être protégées, seule les clefs privées le sont. Le centre de contrôle (6) gère donc uniquement la clef privée de chaque STB. Au moment de la consommation, le STB s'authentifie auprès de (6) puis obtient sa clef privée de déchiffrement de manière confidentielle et il est le seul à pouvoir le 455 faire. Le centre de contrôle (6) lui indique le nombre de consommation restantes autorisées en retour. Dans l'hypothèse de re-chiffrement vers un équipement distant, le STB utilise la clef publique de celui ci (qui n'est pas un secret). Cette clef est donc par exemple saisie par la télécommande, et vérifiée ou directement obtenue par le protocole entre équipements, ou encore obtenue 460 du centre de contrôle (6). La consommation locale est réalisée par relecture du fichier sur le disque, déchiffrement à la volée, et alimentation des données TS sur l'entrée du circuit décodeur MPEG2 du STB. La consommation vers un équipement distant est la même opération excepté que les données sont dirigées (re-)chiffrées vers l'interface équipement du STB (une liaison parallèle 465 ou un port série haut débit comme USB). Dans le cas de l'informatique, l'invention est mise en oeuvre au moyen des réseaux qui supportent les transmissions simultanées (capacité de transmettre simultanément le même message à plusieurs récepteurs). Il s'agit par exemple - 14 de l'extension multicast du protocole IPv4 selon le RFC1112 et du protocole 470 multicast " natif " dans IPv6. Le principe de réalisation est similaire à ce qui précède excepté qu'un ordinateur joue les rôles de (3), (5), (7) et (8). Il écoute et reçoit des fichiers audio vidéo (IEs) sur un canal IP multicast (adresse de classe D en lPv4). Le processus de chiffrement peut être réalisé par un équipement dédié couplé au disque dur ou par logiciel en acceptant alors 475 comme précédemment et probablement un temps mort après chiffrement de chaque IE, et un délai temporel borné entre le choix d'un programme et sa consommation. Une application possible de l'invention est de que le boîtier (8) constituent une tête de réseau assurant une fonction de cache mémoire entre un réseau multicast de faible bande passante (par exemple un canal sur un 480 réseau DVB-RCS par satellite ou par câble) et un réseau local (LAN) ou métropolitain (MAN) de forte bande passante. Le moyen de sélection / présentation (4) est réalisé par un poste de travail distant qui réalise le téléchargement du fichier programme au travers du réseau large bande (dans la mesure ou le réseau large bande supporte le nombre d'utilisateurs), le poste 485 de travail joue donc également le rôle d'un " autre équipement ". Le principe de livraison des contenus re- chiffrés par le boîtier pour un équipement distant garantit la sécurité des programmes téléchargés sur les postes de travail. -15 REVENDICATIONS 1 1) Système d'émission réception permettant à un groupe de boîtiers électroniques (8) de disposer d'informations élémentaires (lEs) issues d'un émetteur électronique (2) par l'intermédiaire d'un réseau de diffusion (1) caractérisé en ce que les lEs sont filtrées par chaque récepteur (3) puis enregistrées spontanément, c'est à dire sans 5 intervention de l'utilisateur du boîtier (8), dans une mémoire de stockage (5) d'une capacité largement supérieure au volume de toute IE. 2) Système selon la revendication 1 caractérisé en ce que le centre de contrôle (6) est informé et autorise les consommations d'IE par 10 l'utilisateur du boîtier (8). 3) Système selon la revendication 2 caractérisé en ce que les lEs sont enregistrés chiffrés dans les mémoires de stockages (5) des boîtiers (8). 4) Système selon la revendication 1 caractérisé en ce que le centre de 15 contrôle et absent et les lEs sont enregistrés chiffrés dans les mémoires de stockages (5) des boîtiers (8). ) Système selon la revendication 1 caractérisé en ce que l'émetteur (2) réalise la transmission en cycle d'un ensemble d'lEs, chacune à destination du groupe de récepteurs (3) et simultanément entre les 20 récepteurs (3) au moyen d'un réseau de diffusion (1). 6) Système selon la revendication 1 caractérisé en ce que l'émetteur (2) transmet des données descriptives des lEs en même temps que les lEs au groupe de récepteurs au moyen du réseau de diffusion (1). 7) Système selon la revendication 6 caractérisé en ce que l'émetteur (2) 25 influe le comportement d'enregistrement des boîtiers (8) moyennant l'envoi d'une information de priorité associée à l'IE dans les données descriptives. 8) Système selon la revendication 6 caractérisé en ce que l'émetteur (2) influe le comportement d'enregistrement des boîtiers (8) moyennant 30 l'envoi d'une mesure de la popularité associée à I'IE dans les données descriptives. 9) Système selon la revendication 2 caractérisé en ce que l'émetteur (2) utilise le centre de contrôle (6) pour déterminer la popularité des lEs. - 16 )Système selon la revendication 5 caractérisé en ce que l'émetteur (2) 35 modifie l'ensemble des IlEs diffusés. I 1)Système selon la revendication 1 caractérisé en ce que le boîtier (8) remplace les anciennes IlEs enregistrées dans la mémoire de stockage (5) par les nouvelles reçues. 12)Système selon la revendication 6 caractérisé en ce que le boîtier (8) 40 dispose de critères de sélection, applicables sur des données descriptives des lEs et conditionnant l'enregistrement des IlEs dans le moyen de stockage (5). 13)Système selon la revendication 11 caractérisé en ce que les lEs enregistrées dans le boîtier on un caractère non verrouillé ou verrouillé 45 indiquant si elle peuvent être remplacées ou non. 14)Système selon la revendications 1 caractérisé en ce que l'acheminement de la totalité des données composant l'IE est garanti moyennant l'emploi d'un protocole de communication adéquat dans le réseau de diffusion (1). 15)Système selon les revendications 2 ou 3 caractérisé en ce que le centre de contrôle (6) authentifie le boîtier (8) au moyen d'une signature numérique et d'un secret détenu par le boîtier (8). 16)Système selon les revendications 3 ou 4 caractérisé en ce que les données correspondant à chaque IE sont enregistrées chiffrées dans 55 la mémoire (5) d'une manière spécifique du boîtier (8), c'est à dire au moyen d'un secret (ou d'une clef publique) différent pour chaque boîtier (8). 17)Système selon la revendications 3 caractérisé en ce que le centre de contrôle (6) transmet le secret de déchiffrement au boîtier (8) pour que 60 le moyen d'enregistrement / chiffrement (5) déchiffre les lEs enregistrées. 18)Système selon la revendications 4 caractérisé en ce que le boîtier (8) dispose d'un secret de déchiffrement qui est utilisé par le moyen d'enregistrement I chiffrement (5) pour déchiffrer les lEs enregistrées. 65 19)Système selon les revendications 6 caractérisé en ce que l'émetteur (2) transmet aux boîtiers (8) le secret de chiffrement dans les données descriptives d'une IE, permettant ainsi un chiffrement identique de cette IE dans tous les boîtiers. - 17 20)Système selon la revendication 3 caractérisé en ce que le centre de contrôle modifie les secrets de chiffrement et de déchiffrement des boîtiers (8) au cours du temps. 21)Système selon la revendication 1 caractérisé en ce que l'utilisateur du boîtier (8) consomme les lEs déjà enregistrées dans la mémoire de 75 stockage (5) par l'intermédiaire du moyen de consommation (7), avec ou sans mémorisation numérique. 22)Système selon la revendication 21 caractérisé en ce que l'utilisateur du boîtier (8) utilise les lEs sans autre délai que le délai inhérent à la capacité de lecture et de déchiffrement local de l'IE par le moyen 80 d'enregistrement / chiffrement (5) et que le délai de traitement du moyen de consommation (7). 23)Système selon la revendication 21 caractérisé en ce que l'utilisateur sans moyen d'enregistrement numérique du boîtier (8) consomme l'IE sous forme déchiffrée. 24)Système selon la revendication 21 caractérisé en ce que un utilisateur (équipement) doté d'une capacité d'enregistrement numérique des lEs, consomme l'IE sous forme (re-)chiffrée. )Système selon la revendication 24 caractérisé en ce le (re-)chiffrement est réalisé spécifiquement pour l'équipement, au moyen d'un secret ou 90 d'une clef de chiffrement transmis par l'équipement au moyen de consommation (7). 26)Système selon les revendications 3 et 24 caractérisé en ce le (re) chiffrement est réalisé spécifiquement pour l'équipement, au moyen d'un secret ou d'une clef de chiffrement obtenue du centre de contrôle 95 (6). 27)Système selon les revendications 4 et 24 caractérisé en ce le (re) chiffrement est réalisé par un algorithme à clef publique pour l'équipement, et au moyen d'une clef publique saisie par l'intermédiaire 100 du moyen de présentation / sélection. 28)Système selon la revendications 13 caractérisé en ce que le moyen de présentation / sélection (4) permet à l'utilisateur d'indiquer un ordre de verrouillage ou de déverrouillage sur chaque IE enregistrée au boîtier (5). - 18 29)Système selon la revendications 12 caractérisé en ce que le moyen de présentation I sélection (4) permet à l'utilisateur de saisir / modifier les critères de sélection applicables par le boîtier (5) aux nouvelles lEs. 30)Système selon la revendication (1) caractérisé en ce que le moyen de présentation I sélection (4) peut être distant du boîtier (8). 31)Système selon les revendications 5, 6, 7, 8, 9,10, 28, 29, et 30 caractérisé en ce que le processus de sélection des lEs dans chaque boîtier (8) dépend des lEs émis par l'émetteur (2), des réglages locaux 115 de ce boîtier, des informations descriptives d'lEs transmises par (2, dont les informations de forçage des comportement d'enregistrement des boîtiers), de sorte que les ensembles d'lEs enregistrés dans chaque moyen d'enregistrement / chiffrement (5) résulte effectivement d'un comportement interactif entre l'ensemble des utilisateurs des 120 boîtiers (8) et l'émetteur (2). 32)Système selon la revendication 1 caractérisé en ce que le récepteur (3) , le moyen d'enregistrement chiffrement (5) et le moyen de consommation (7) sont localisés dans un boîtier (8).