(57)【要約】複数の相互接続された装置(101-105)を有し、プロテクトされたコンテンツ・アイテムに対する条件付アクセスを前記装置(101-105)に提供するように構成されたシステム(100)であり、前記プロテクトされたコンテンツ・アイテムを含む同時セッション数を所定の合計の制限に制約するように構成されることを特徴とするシステム(100)である。好ましくは、前記システム(100)は、同時にアクセスされ得るコンテンツ・アイテムの数を所定の制限に制約する。このため、スマートカードのようなセキュリティモジュール(300)が使用され得る。各セキュリティモジュール(300)は、同時にアクセスを提供するコンテンツ・アイテムの数を個々の制限に制約し、その個々の制限は時間と共に変化する。前記システムは、個々の制限の合計を所定の合計の制限に制約する。制限に到達すると、更なるセッションが拒否され、又は減少した品質レベルで許可されることがある。
2005524163.tif 000002
【特許請求の範囲】
【請求項１】
複数の相互接続された装置を有し、プロテクトされたコンテンツ・アイテムに対する条件付アクセスを前記装置に提供するように構成されたシステムであって、
前記プロテクトされたコンテンツ・アイテムを含む同時セッション数を所定の合計の制限に制約するように構成されることを特徴とするシステム。
【請求項２】
請求項１に記載のシステムであって、
同時にアクセスされ得るコンテンツ・アイテムの数を前記所定の制限に制約するように構成されたシステム。
【請求項３】
請求項２に記載のシステムであって、
前記装置に前記条件付アクセスを提供し、同時にアクセスされ得るコンテンツ・アイテムの数を前記所定の制限に制約するように構成された少なくとも１つのセキュリティモジュールを有するシステム。
【請求項４】
請求項３に記載のシステムであって、
前記システムに追加される新しいセキュリティモジュールが、前記システムに対して自分自身を認証しなければならず、
その認証の間に、前記新しいセキュリティモジュールが、提供するように構成されたコンテンツへの同時アクセス数を報告するように構成されたシステム。
【請求項５】
請求項４に記載のシステムであって、
前記報告された数が所定の個々の制限を超える場合に、前記新しいセキュリティモジュールの認証を拒否するように構成されたシステム。
【請求項６】
請求項４に記載のシステムであって、
前記報告された数が所定の個々の制限を超える場合に、同時に提供し得る同時アクセスの最大数を前記新しいセキュリティモジュールに指示するように構成されたシステム。
【請求項７】
請求項４に記載のシステムであって、
最後に前記新しいセキュリティモジュールが前記システムに追加されてから十分な期間が経過した場合にのみ、前記新しいセキュリティモジュールを認証するように構成されたシステム。
【請求項８】
請求項３に記載のシステムであって、
複数のセキュリティモジュールを有し、
各セキュリティモジュールが、同時にアクセスを提供するコンテンツ・アイテムの数を個々の制限に制約するように構成され、
前記システムが、前記個々の制限の合計を前記所定の合計の制限に制約するように構成されたシステム。
【請求項９】
請求項８に記載のシステムであって、
前記複数のセキュリティモジュールのうちの１つが、前記複数のセキュリティモジュールのうちのその他のものがその個々の制限を減少させることに応じて、前記個々の制限を増加させるように構成されたシステム。
【請求項１０】
請求項９に記載のシステムであって、
複数の容量マスターのセキュリティモジュールと、複数の容量スレーブのセキュリティモジュールとを有し、
容量マスターのセキュリティモジュールがその個々の制限を減少させることのみに応じて、容量スレーブのセキュリティモジュールがその個々の制限を増加させるように構成されたシステム。
【請求項１１】
請求項８に記載のシステムであって、
複数のセッション・トークンを前記複数のセキュリティモジュールに分配するように構成され、
前記の数が前記所定の合計の制限に対応し、
各セキュリティモジュールが、同時にアクセスを提供するコンテンツ・アイテムの数を、そのセキュリティモジュールに分配されたセッション・トークンの数に制約するように構成されたシステム。
【請求項１２】
請求項２に記載のシステムであって、
第１の形式のコンテンツへの同時アクセスの数を第１の所定の合計の制限に制約し、第２の形式のコンテンツへの同時アクセスの数を第２の所定の合計の制限に制約するように構成されたシステム。
【請求項１３】
請求項１２に記載のシステムであって、
前記第１の形式がペイパービューのコンテンツであり、前記第２の形式が無料放送のコンテンツであるシステム。
【請求項１４】
請求項１に記載のシステムであって、
同時に動作中の装置の数を前記所定の合計の制限に制約するように構成されたシステム。
【請求項１５】
請求項１ないし１４のうちのいずれか１項に記載のシステムであって、
重み付けの方法で前記所定の合計の制限に到達したか否かを決定するように構成され、
異なる形式のセッションが異なる重みを割り当てられるシステム。
【請求項１６】
請求項１ないし１５のうちのいずれか１項に記載のシステムであって、
第１の形式の同時セッションの数を第１の所定の合計の制限に制約し、第２の形式の同時セッションの数を第２の所定の合計の制限に制約するように構成されたシステム。
【請求項１７】
請求項１６に記載のシステムであって、
前記第１の形式がコンテンツ・アイテムの処理を有し、前記第２の形式がコンテンツ・アイテムの記録を有するシステム。
【請求項１８】
請求項１ないし１７のうちのいずれか１項に記載のシステムであって、
セッションの許可により同時セッションの数が前記所定の合計の制限を超えることになる場合に、セッションを拒否するように構成されたシステム。
【請求項１９】
請求項１ないし１８のうちのいずれか１項に記載のシステムであって、
セッションの許可により同時セッションの数が前記所定の合計の制限を超えることになる場合に、セッションを減少した品質レベルで許可するように構成されたシステム。
【請求項２０】
請求項１９に記載のシステムであって、
全ての同時セッションの品質レベルを減少させるように構成されたシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、複数の相互接続された装置を有し、プロテクトされたコンテンツ・アイテムに対する条件付アクセスを前記装置に提供するように構成されたシステムに関するものである。
【背景技術】
【０００２】
近年、コンテンツプロテクトシステムの総数が急速に伸びてきている。そのシステムのうちのいくつかは不正コピーに対してコンテンツをプロテクトするのみであるが、ユーザがコンテンツに対するアクセスを取得することを妨げるものもある。第１のカテゴリーはコピープロテクト(CP:Copy  Protection)システムと呼ばれる。この種類のコンテンツプロテクトは安価に実装され、コンテンツプロバイダと双方向の相互作用を必要としないと考えられているため、CPシステムは、もともとは家電(CE)装置で主な焦点になっていた。いくつかの例は、コンテンツ・スクランブル・システム(CSS:Content  Scrambling  System)と、DVD-ROMディスクのプロテクトシステムと、DTCP(IEEE1394接続用のプロテクトシステム)がある。
【０００３】
第２のカテゴリーはいくつかの名前で知られている。放送界では、このカテゴリーのシステムは一般的に条件付アクセス(CA)システムとして知られ、インターネット界では、一般的にデジタル著作権管理(DRM:Digital  Rights  Management)システムとして知られる。
【０００４】
いくつかの種類のCPシステムはまた、CA又はDRMシステムとのインタフェースになるサービスを提供することができる。その例は、DVB-CPTサブグループと、TV-Anytime  RMPグループにより現在開発中のシステムである。その目的は、一式の装置が双方向通信を通じて相互に認証することができるシステムである。この認証に基づいて、前記装置は相互に信頼し、プロテクトされたコンテンツを交換することが可能になる。付随のライセンスは、どの権利をユーザが所有しており、コンテンツを実行するために何の動作をユーザが許可されているかを記述する。ライセンスはいくつかの一般的なネットワークの機密を用いてプロテクトされ、そのネットワークの機密は特定の家庭内の装置間でのみ交換される。この装置のネットワークは認証ドメイン(AD)と呼ばれる。
【０００５】
認証ドメインについての現在のいくつかの提案において、装置の数が認証ドメインのサイズの主な制限になっている。その提案(Thomson  Multimediaにより開発されたSmartRightシステム等)は、認証ドメインの部分になり得る装置数の固定の最大値を有する。ドメインのサイズを制限する主な理由は、ドメインがインターネット上で無限に広がることを回避することである。インターネットでは他方の世界の完全な他人に認証ドメインを開放する。認証ドメインのサイズを制限することにより、自分の装置のみがドメインの部分になることを可能にするインセンティブを有する。
【発明の開示】
【発明が解決しようとする課題】
【０００６】
認証ドメインにおけるこの装置数の固定の最大値は、多数の欠点を有する。１つの欠点は、ドメインへの装置の許可は中央で制御されていないことがあり、どの特定の装置が如何なる時もドメインの部分になるかということが記録されていないため、装置が故障し又は盗難されると、認証ドメインのその装置に関する権利を回復することが困難なことである。
【０００７】
固定の最大値の更なる欠点は、最大値の妥当な値が何であるかを事前に決定することが非常に困難であるという事実にある。特に、将来的により多くのネットワーク装置がホームネットワークに接続されると、今日では妥当であると思われる値が、将来的に小さすぎることになることがある。しかし、将来的に最大値を容易に更新することを可能にする方法で、そのような固定の最大値を実装することは非常に困難である。
【課題を解決するための手段】
【０００８】
特定のドメインのサイズが制限され得るシステムを提供し、特定のドメインにおける装置数の固定の最大値に関連する欠点を克服することが本発明の目的である。
【０００９】
この目的は、前記プロテクトされたコンテンツ・アイテムを含む同時セッション数を所定の合計の制限に制約するように構成されることを特徴とするシステムにおいて、本発明に従って達成される。このように、同時に動作中のセッション数が、ドメインのサイズの指標又は識別表示として使用される。この数は、例えば、同時にアクセスされるコンテンツ・アイテムの数、又は作動する処理装置の数になり得る。システムにおける装置数は制限がないが、全てが同時に制限なく動作できないことがある。
【００１０】
好ましくは、同時にアクセスされ得るコンテンツ・アイテムの数は、所定の制限に制約される。このため、スマートカードのようなセキュリティモジュールが使用され得る。新たに追加されたセキュリティモジュールは、提供するように構成されたコンテンツへの同時アクセス数を報告し、システムは新たなセキュリティモジュールを認証するか否かを決定し、又は提供し得る同時アクセス数を制約することを決定することが可能になる。
【００１１】
例えば、セキュリティモジュールとして、(すなわちスマートカードを保持する装置で)１つのみのセッションに対応するスマートカードを使用することができ、同時にドメインで使用可能なスマートカードの総数が特定の最大値に制限される。
【００１２】
その他の実施例では、装置は通常の方法により認証ドメインで自分自身を登録する必要があるが、登録できる装置の総数に制限はない。この登録に加えて、装置はスマートカードのようなセキュリティモードに対してセッションを開放する必要がある。この実施例では、ネットワークのサイズの合計の制限は、セキュリティモジュールが対応するセッションの数を制限すると共に、セキュリティモジュールの数を制限することにより達成される。
【００１３】
システムが複数のセキュリティモジュールを有する場合、各セキュリティモジュールは、同時アクセスを提供するコンテンツ・アイテムの数を個々の制限に制約するように構成され、その個々の制限は時間により変化し得る。次に、システムは個々の制限の総数を所定の合計の制限に制約する。例えば１つのセキュリティモジュールは、その他のセキュリティモジュールがその個々の制限を減少させることに応じて、その個々の制限を増加させるように構成されることがある。
【００１４】
その他の実施例では、前記システムは、同時に動作中の装置の数を所定の合計の制限に制約するように構成される。更にその他の実施例では、前記システムは、第１の形式のコンテンツへの同時アクセス数を第１の所定の合計の制限に制約し、第２の形式のコンテンツへの同時アクセス数を第２の所定の合計の制限に制約するように構成される。例えば、前記第１の形式はペイパービューのコンテンツを有してもよく、前記第２の形式は無料放送のコンテンツを有してもよい。このことはシステムの柔軟性を増加させる。
【００１５】
所定の合計の制限に到達したか否かを決定するために、前記システムは重み付けの方法で制限を計算することができ、その重み付け方法では異なる形式のセッションが異なる重みを割り当てられる。
【００１６】
実施例において、前記システムは第１の形式の同時セッション数を第１の所定の合計の制限に制約し、第２の形式の同時セッション数を第２の所定の合計の制限に制約するように構成される。
【００１７】
実施例において、セッションの許可により同時セッション数が所定の合計の制限を超えることになると、前記システムはセッションを拒否するように構成される。代替では、セッションの許可により同時セッション数が所定の合計の制限を超えることになると、低下した品質レベルでセッションを許可し、又は全ての同時セッションの品質レベルを低下するように構成される。このことは短時間では許容可能なことがあり、ユーザが同時に“多すぎる”セッションを時折見ることが可能になる。
【００１８】
同時に、この実施例は、家庭で重複するCPドメインの形成を阻止する。そのようなドメインが形成されると、近隣の人が映画を見ることを決め、ラジオをつけたままにすることを決めるため、好みのサッカーの試合が突然に品質面で低下し、又は音声の解説が突然に中止されることを意味する。
【００１９】
重要な追加選択肢は、“セッション・ホッピング(session-hopping)”を回避することである。‘セッション・ホッピング(session-hopping)’は、インターネットでセッションを供給する可能な機構である。自分のドメインに予備(未使用)のセッションを有する人は、インターネットでそのセッションを共有したいと考えることがあり、それにより認証ドメインで設定された基本要件から免れる(すなわち、インターネットでのコンテンツ配信を制限する)。この問題は、装置が唯一の認証ドメインで登録されることを可能にするような機構を設置し、例えば１日当たりの登録の変更を制限する時間遅延を設置することにより、対処され得る。このことはドメイン所有者の積極的な動作(場合によっては１つのドメインの装置の物理的な動作)を必要とすることと交換又は結合され得る。
【発明を実施するための最良の形態】
【００２０】
本発明の前記及び他の態様が、図面に示された例示的な実施例を参照して明らかになる。
【００２１】
図面を通じて、同じ参照数字は類似の又は対応する機能を示している。図面に示されえた機能のうちのいくつかは、ソフトウェアモジュール又はオブジェクトのようなソフトウェア要素を表すものとして、一般的にソフトウェアで実装される。
【００２２】
図１はネットワーク110を介して相互接続された装置101-105を有するシステム100を概略的に示したものである。この実施例では、システム100はホームネットワークである。一般的なデジタルホームネットワークは、複数の装置(例えばラジオ受信機、チューナ/デコーダ、CDプレイヤ、一対のスピーカ、テレビ、VCR、テープデッキ等)を有する。これらの装置は、１つの装置(例えばテレビ)がその他のもの(例えばVCR)を制御可能なように、通常は相互接続される。例えばチューナ/デコーダ又はセットトップボックス(STB)のような１つの装置は、通常は中央装置であり、他のものに対して中央制御を提供する。
【００２３】
一般的に音楽、歌曲、映画、TV番組、絵画、本等のようなものを有し、更にインタラクティブサービスを有するコンテンツは、住宅用ゲートウェイ又はセットトップボックス101を通じて受信される。ソースは、ブロードバンドケーブルネットワーク、インターネット接続、衛星ダウンリンク等と接続され得る。コンテンツは、ネットワーク110上で処理用のシンク(sink)に転送され得る。シンク(sink)は、例えばテレビディスプレイ102、携帯用表示装置103、携帯電話104及び／又は音声再生装置105になり得る。
【００２４】
コンテンツ・アイテムが処理される的確な方法は、装置の種類とコンテンツの種類に依存する。例えばラジオ受信機では、処理は、音声信号を生成し、その信号をスピーカに供給することを有する。テレビ受信機では、処理は、音声及び映像信号を生成し、その信号をディスプレイスクリーンとスピーカに供給することを一般的に有する。他の種類のコンテンツでは、同様の適切な動作が行わなければならない。処理はまた、受信信号の解読又はスクランブル解除、音声と映像信号の同期等のような動作を有してもよい。
【００２５】
セットトップボックス101又はシステム100のその他の装置は、適切な大きさのハードディスクのような記憶媒体S1を有してもよく、受信コンテンツの処理とその後の再生を可能にする。記憶媒体S1は、いくつかの種類のパーソナルデジタルレコーダ(PDR:Personal  Digital  Recorder)(例えばDVD+RWレコーダ)であることがあり、そのPDRにセットトップボックス101が接続される。コンテンツはまた、コンパクトディスク(CD)又はデジタル多用途ディスク(DVD)のようなキャリア120に格納され、システム100に入力され得る。
【００２６】
携帯用表示装置103と携帯電話104は、基地局111を使用して(例えばBluetooth又はIEEE802.11bを使用して)ネットワーク110に無線で接続される。他の装置は、従来の有線接続を使用して接続される。装置101-105が相互作用できるように、いくつかの相互運用性の標準が利用可能であり、その相互運用性の標準により異なる装置がメッセージ及び情報を交換し、相互に制御することが可能になる。１つの周知の標準は、ホーム・オーディオ/ビデオ・インターオペラビリティ(HAVi:Home  Audio/Video  Interoperability)標準の1.0版であり、それは2000年1月に公表され、http://www.havi.org/のアドレスでインターネットから入手可能である。他の周知の標準は、ドメスティック・デジタル・バス(D2B:domestic  digital  bus)標準と、IEC1030に記載された通信プロトコルと、ユニバーサル・プラグアンドプレイ(Universal  Plug  and  Play)(http://www.upnp.org)である。
【００２７】
ホームネットワークの装置101-105がコンテンツの無許可のコピーを行わないように確保することがしばしば重要である。このため、一般的にデジタル著作権管理(DRM:Digital  Rights  Management)と称されるセキュリティのフレームワークが必要である。
【００２８】
１つのそのようなフレームワークにおいて、ホームネットワークは概念的に条件付アクセス(CA)ドメインとコピープロテクト(CP)ドメインに分割される。一般的にシンク(sink)はCPドメインに配置される。このことは、コンテンツがシンクに提供されると、コピープロテクト機構がCPドメインにあるため、コンテンツの無許可のコピーが行われることが不可能になることを確保する。CPドメインの装置は、一時的なコピーを行う記憶媒体を有してもよいが、そのようなコピーはCPドメインから持ち出されることはない。このフレームワークは、本発明と同じ出願人による欧州特許出願01204668.6(代理人整理番号PHNL010880)に記載されている。
【００２９】
選択される特有の手法に関わらず、セキュリティのフレームワークを実装するホームネットワーク内の全ての装置は、実装の要件に従って実行する。このフレームワークを使用して、前記装置は相互に認証し、コンテンツを安全に配信することができる。コンテンツへのアクセスはセキュリティシステムにより管理される。これは、プロテクトされていないコンテンツが無許可の装置に対して情報が漏れることと、信頼されていない装置がシステムに入ることを回避する。
【００３０】
図２は、図１のシステムをCAドメインとCPドメインに概略的に分割したものを概略的に示したものである。図２において、システム100は、ソースと、シンク(sink)と、２つの記憶媒体S1とS2とを有する。ほとんどのコンテンツは、セットトップボックス101(ソース)を通じてCAドメインのホームネットワークに入る。一般的に、シンク(例えばテレビシステム102や音声再生装置105)はCPドメインに配置される。このことは、コンテンツがシンクに提供されると、コピープロテクト機構がCPドメインにあるため、コンテンツの無許可のコピーが行われることが不可能になることを確保する。
【００３１】
CA→CPゲートウェイは、CAドメインとCPドメインの間に提供される。このゲートウェイは、コンテンツをCPドメインに入れる役割をする。この処理は、コンテンツのコード変換及び／又は(再)暗号化や、コンテンツに関連するデジタル著作権をCPドメインで対応するフォーマットに変換すること等を必要とすることがある。
【００３２】
CPドメインは記憶媒体S2を有し、その記憶媒体S2にコンテンツの(一時的な)コピーがコピープロテクト規則に従って格納され得る。そのコピーは、コンテンツの時間シフトした再生に使用され得るが、そのコピーはCPドメインから持ち出されることはない。
【００３３】
装置は、CPドメインに既にあるその他の装置に接続することにより、又はこれらの装置を接続するバスに接続することにより、CPドメインの一部になる。装置が追加されると、特定の期間の間に(例えば1日)その装置はその特定のCPドメインに留まらなければならない。
【００３４】
図３は、ここではスマートカード300の形式で示されるセキュリティモジュールの好ましい実施例を概略的に示したものである。無許可のコピーに対してコンテンツを保護するために、コンテンツのインスタンスは、暗号化された形式でシステム100に提供される。そのインスタンスは、処理され得る前に、制御ワードを使用して解読される必要がある。制御ワードの処理及び／又はコンテンツのインスタンスの解読は、セキュリティモジュールの役割である。従って、セキュリティモジュールは不正に対して適切に保護されなければならない。
【００３５】
当然のことながら、セキュリティモジュールを実装する多数の方法が存在する。一般的なセキュリティの解決策は、スマートカードの形式でセキュリティモジュールを具体化することである。セキュリティモジュールはまた、装置101-105のうちの１つの統合構成要素として、又は別個の装置として、提供され得る。セキュリティモジュールは、ハードウェア、ソフトウェア又はその組み合わせに具体化される。
【００３６】
スマートカード300は、条件付アクセスモジュール310と、安全記憶モジュール331とを有する。スマートカードは、通常のコンピュータ又はソフトウェアに比べて損なわれ難いため、条件付アクセスサービスの条件付の形態をプロテクトする優れた方法を提示する。１つ以上の装置101-105は、スマートカードリーダを備えており、そのスマートカードリーダにユーザがスマートカード300を挿入することができる。
【００３７】
コンテンツを解読するために必要な制御ワードは、スマートカード300の安全記憶モジュール311に格納され得る。このように、ユーザが制御ワードを取得することは非常に困難であるため、ユーザがコンテンツに対して支払うことなく、コンテンツにアクセスすることは非常に困難である。スマートカード300は解読モジュール312を有してもよく、その解読モジュール312は制御ワードを使用してコンテンツのインスタンスを解読し、解読されたインスタンスをテレビ102のような処理装置に供給する。
【００３８】
代替として、スマートカード300はその他の装置に制御ワードを供給することができ、その他の装置がインスタンスを解読する。この場合、コンテンツを単に解読するのではなく、その代わりに制御ワードを格納し、又は無許可で暗号化していないコンテンツを格納するような方法で、前記の他の装置が不正に変更されるというリスクが存在する。そのような変更された装置が制御ワードにアクセスすることを回避するために、スマートカード300は、前記装置が不正に変更されたか否かを確認するために、認証機構を使用してもよい。
【００３９】
この認証機構は、例えばスマートカードに暗号化された‘チャレンジ(challenge)’を前記装置に発行させることにより実現され、前記装置はその‘チャレンジ’を解読してスマートカード300に返信しなければならない。前記装置が正確にチャレンジを解読できない場合、それは準拠した装置ではなく、制御ワードへのアクセスを得ないことがある。代替として、スマートカード300は、例えばデジタル署名を確認することにより、装置により実行されるプログラムコードのいくつかの部分の完全性を検査することができる。
【００４０】
制御ワードは、暗号化サービスを提供するサービスプロバイダによりシステム100に送信される共通情報(ECM:Entitlement  Control  Message)で提供されることがある。それはまた、スマートカード300に永続的に格納されることがある。このECMはスマートカード300に提供され、それによって条件付アクセスモジュール310に提供される。その条件付アクセスモジュール310は、ECMから制御ワードを取得する。制御ワードは、しばしば暗号化された形式でECMに存在するため、条件付アクセスモジュール310は最初に制御ワードを解読する必要がある。制御ワードを解読するために必要な暗号鍵は、安全記憶モジュール311に格納され得る。
【００４１】
本発明によると、スマートカード300にはセッション管理モジュール313も備えられている。“セッション”という用語は、コンテンツ・アイテムの特有のインスタンスの処理を示し、特にインスタンスを解読して解読されたインスタンスを処理装置に供給することを示す。処理は、インスタンスの一部(例えば映画の音声チャネル又は映像ストリーム)に制限されてもよく、全体のインスタンス(音声、映像、テレテキスト情報等)をカバーしてもよい。“セッション”のその他の定義は、動作中の装置の数、又は動作中の“表示”装置(例えばTV、モニタ、音声増幅器等)の数になり得る。スマートカード300は、この処理の中心の存在である。
【００４２】
２つの処理装置が同時に同じテレビ番組を処理していてもよく、１つの処理装置が音楽の部分を再生しており、記憶装置が同時に音楽の同じ部分のコピーを行っていてもよい。双方の場合において、双方の装置が同じデータのストリームで動作している場合でも、システム100は２つの同時セッションを処理している。
【００４３】
セッション管理モジュール313は、スマートカード300が処理可能な同時セッションの数を制限するように動作可能である。このように、システム100の所有者は、システム100に無限の数の装置を接続することができるが、同時に多数のコンテンツのインスタンスを視聴又は傾聴することはできない。全体のシステム100が１つの家庭内に配置されている場合、同時セッションの数の適当な上限が選択されることを仮定すると、このことは問題ではない。
【００４４】
システム100の装置が特定の地域の多様な家に分散されている場合、同じ上限が装置の使用を深刻に制限する。例えば、上限が12個の同時セッションに設定されている場合、平均の家庭の全てのメンバは容易に好みのテレビ番組を視聴し、ラジオを聞き、同時にその他のチャンネルの好みの映画を記録することができる。しかし、システム100に５つの家庭からの装置が存在する場合、12個の同時セッションの上限は、これら家庭の全員が好みのコンテンツを視聴することを可能にするには低すぎる。
【００４５】
当然のことながら、セッション管理モジュール313が同時セッションの数を制限することを可能にする多数の方法が存在する。簡単な実装は、スマートカード300が新しいセッションを受け入れる毎に増加するカウンタを使用し、カウンタが最大値を超えると、スマートカード300が新しいセッションを受け入れることを回避する。
【００４６】
スマートカード300により同時に処理される全てのセッションを追跡するために、その他の実施例では、各セッションIDがテーブル又はレジスタのようなメモリ位置に格納され得る。このテーブルのエントリーの数、又は利用可能なレジスタの数を制限することにより、全てのエントリーが占有されている場合に、その他のセッションを受け入れることが不可能になる。
【００４７】
エントリー又はレジストリの望ましい最大数に厳密に必要なもの以上のメモリを単にスマートカード300に提供しないことにより、この制限が導入され得る。その制限はまた、同時に使用され得るエントリーの最大数を示すカウンタを実装することにより、拘束され得る。このカウンタは如何なる時でも増加又は減少することが可能であり、後に最大値を変更することが容易になる。
【００４８】
当然のことながら、当業者は前述の多数の変形形態と、スマートカードにより許可される同時セッション数を制限する多様な代替の方法とを容易に設計することができる。
【００４９】
特定のスマートカードが対応するセッションの最大数は、カード自体に印刷され得る。このように、異なるセッション処理機能を有する異なるスマートカードを市場に出して販売することが非常に容易になる。小さい最大数を備えたカードは低価格で販売され、高い最大数を備えたカードは高価格で販売され得る。ユーザは、その状況に最も適したカードを選択することができる。
【００５０】
スマートカード300がセッションの要求を受け取ったが、そのセッションの処理により許可された同時セッションの最大数を超える場合、スマートカード300はセッションの受領を拒否するべきである。そのセッションを要求する装置は、ユーザに拒否を通知する。装置とスマートカードの間の相互作用プロトコルは、最大値に到達したことを示す特有のメッセージで拡張され得る。
【００５１】
当然のことながら、システム100は１つ以上のセキュリティモジュールを有してもよい。例えば、システム100の各セットトップボックス101は、別個のスマートカードを必要としてもよい。システム100の各スマートカードは、前述の通り、対応する同時セッションの数を制限し、システム100で許可されるセッションの最大数が、個々のスマートカードにより許可された数の合計に等しくなる。
【００５２】
新しいセキュリティモジュールがシステム100に追加されると、そのセキュリティモジュールは、システム100に既にある少なくとも１つの他のセキュリティモジュールに対して自分自身を認証しなければならない。このように、システム100は、全てのセキュリティモジュールが信頼できることを確保する。認証手順の一部として、新たに追加されたセキュリティモジュールは、対応する同時セッションの数を通知することができる。このように、システム100の他のセキュリティモジュールは、どの程度の余分の容量が現在利用可能であるかを認識する。例えばこの数は、場合によっては潜在的に可能な利用可能なセッション数と共に、ユーザに通知される。
【００５３】
個々のセキュリティモジュールにより拘束される個々の最大値に関わらず、システム100内で可能な同時セッションの最大数を定めることも望ましいことがある。システム100の同時セッションのこの最大数は、如何なる時点でもシステムのセキュリティモジュールの所定の数より多く許可しないことにより、拘束され得る。セキュリティモジュールのこの所定の数がシステム100に既に存在している場合には、新たに追加されたセキュリティモジュールの認証は失敗する。
【００５４】
代替として、対応する同時セッションの最大数が高くなりすぎると、他のセキュリティモジュールは、新たに追加されたセキュリティモジュールの認証を拒否することがある。このように、複数の家庭がそのそれぞれの装置で結合したドメインを作り、全員が非常に大きい容量のいくつかのセキュリティモジュールを購入することが回避される。
【００５５】
例えば、セキュリティモジュールは、システム100が決して64個の同時セッションより多く対応しないという認識を事前にプログラムされ得る。ユーザは32個の同時セッションに対応するスマートカードを購入し、その後に16個の同時セッションに対応するその他のスマートカードを購入することができる。この全ての容量は、システム100で使用されることが可能である。
【００５６】
しかし、ユーザが32個の同時セッションに対応するその他のスマートカードを後に購入すると、事前にプログラムされた64個の同時セッションの上限を超える。システム100に登録することにより、この後に購入されたスマートカードは、32個の同時ID登録のうち16個より多く使用できないこと、又はそのカウンタの最大値を16に制限することを認識する。この問題に対応するその他の方法は、そのようなカードを登録することを拒否することである。
【００５７】
セキュリティモジュールは、相互に未使用のセッション処理容量を再分配することができる。新しいセキュリティモジュールがシステム100に追加されると、既にシステム100にある他のセキュリティモジュールにクエリ送出し、その他のセキュリティモジュールが対応を許可されている全てのセッションを処理しているか否かが検出される。処理していない場合には、予備の容量のうちのいくつかが新しいセキュリティモジュールに割り当てられる。
【００５８】
セキュリティモジュールはまた、定期的に、又は新しいセッションが開始されたときに、未使用のセッション処理容量を再分配することができる。このことにより、対応できる同時セッション数の点で、システムがより動的になる。更に、システムは特定の装置により必要な容量にシフトするように、より良く応答することができる。
【００５９】
ある場合には、特定のセキュリティモジュールは、１つの特定の処理装置に対してのみセッションを処理することが可能であることがある。例えば、テレビ102に設置された読取機に挿入されたスマートカードは、一般的にテレビ102についてのみセッションを処理することができる。テレビ102が複数の同時セッションを必要とすることはあまり生じない。その“予備”の容量のうちのいくつかは、システム100のその他のセキュリティモジュールに割り当てられ得る。
【００６０】
従って、テレビ102のこのスマートカードが16個の同時セッションに対応しており(以前の例)、そのテレビ102が２つのみを必要とする場合、そのテレビ102はシステム100の他の全てのセキュリティモジュールにこの事実を公表する。次に、32個の同時セッションに対応するスマートカードは、予備の容量を“借り”、その後に許可される同時セッションの自分の最大数を16から30に上げる。当然のことながら、この種類の再配分はまた、複数の他のセキュリティモジュールがテレビ102のスマートカードの予備の容量のいくつかを“借りる”ことを含み得る。
【００６１】
スマートカードの間で予備の容量を再配分することにより、それぞれの個々のスマートカードのプログラムされた最大数が重要でなくなる。システム100が64個より多い同時セッションを許可しない場合、全てのセッションが単一のセキュリティモジュールにより処理されているか否か、又は64個の異なるセキュリティモジュールにより処理されているか否かは重要ではない。しかし、同時セッションの最大数を追跡する中央サーバがシステム100内に存在しない場合、セキュリティモジュールは相互に作用して、望ましい最大値に拘束しなければならない。
【００６２】
そのような協調システムの可能な実装は、各セキュリティモジュールが複数の“セッション・トークン”を所有する場合である。この数は対応可能なセッション数と異なり得る。トークンの数がその容量より小さい場合、より多くのセッションに対応することができるが、許可されていない。必要に応じて、セキュリティモジュールはセッション・トークンを他のセキュリティモジュールに分配する。トークンは前述の如何なる方法においても実装され得る。そのようなシステムにおいて、セキュリティモジュールは、セキュリティモジュールの特有のインスタンスで利用可能なトークンの数をユーザに通知する方法を必要とすることがある。
【００６３】
前述のことを行うその他の方法は、２種類のセキュリティモジュール(容量マスターと容量スレーブ)の区別を導入することである。容量マスターのセキュリティモジュールは、システム100が処理可能な同時セッションの数を示す事前にプログラムされた最大値を備えている。容量スレーブのセキュリティモジュールは、容量マスターのセキュリティモジュールから予備の容量を借りることができるのみであり、システム100に許可されている同時セッションの最大数を増加させることはできない。
【００６４】
ユーザは、特定の状況に適した同時セッションの最大数を提供する１つの容量マスターのセキュリティモジュール(すなわちマスターのスマートカード)を購入することができる。その後にユーザが自分のスマートカードを必要とする装置を購入した場合、ユーザは低価格で利用可能な容量スレーブのスマートカードを購入することができる。しかし、システムの全容量は増加しない。容量マスターのセキュリティモジュールにより拘束される最大値が小さすぎることが判明すると、ユーザはその他の容量マスターのセキュリティモジュールを購入してその最大値を増加させることができる。
【００６５】
この２種類のセキュリティモジュールを製造することは、システムで許可される同時セッションの最大数が記録され得るレジスタを各モジュールに単に提供することにより、容易になり得る。容量スレーブのセキュリティモジュールについては、この数は0に設定される。容量マスターのセキュリティモジュールについては、その数は如何なる任意の値に設定され得る。この値は、例えばスマートカードの前面に大きい活字で印刷することにより、潜在的な購入者に明確に伝達されるべきである。
【００６６】
同時セッションの最大数は、セッションの種類に関係なく選択され得る。しかし、異なる種類のセッションに対して複数の最大値が定められると、より大きい柔軟性が達成される。例えば、例えばペイパービュー(pay-per-view)のテレビ番組と無料放送のテレビ番組との区別を行うことが可能である。例えば、システム100は3個以上のテレビセットがペイパービューのテレビ番組を同時に処理することを可能にせず、その一方で同時に10個の無料放送のテレビ番組が処理されることを可能にする。
【００６７】
異なる種類のコンテンツを区別するために、好ましくはメタデータがコンテンツの形式を示すコンテンツのインスタンスに提供される。例えば、このメタデータはMPEG-2転送ストリームで使用されるような番組情報テーブルで提供され、又は電子番組ガイド(EPG:Electronic  Program  Guide)情報ストリームに供給される。メタデータはまた、インターネットのサーバ又はその他のソースから読み取られ得る。
【００６８】
メタデータはまた、透かし又は他の電子迷彩技術を使用してインスタンスに埋め込まれ得る。このように、インスタンスがその後にコード変換され、又はその番組情報テーブルから分離されたとしても、メタデータは失われない。
【００６９】
同じ種類の区別が、会話の音声や音楽や写真やテレビ番組や映画のような、コンテンツの分類で行われ得る。ラジオ番組のような音声コンテンツは、映画のような視聴覚コンテンツより大きい最大値が割り当てられることがある。このことにより、テレビ102で映画を見ている如何なる人の性能と干渉することなく、何人かの人が同時にラジオを聞くことが可能になる。
【００７０】
セッションはまた、最大値に到達したか否かを決定するときに、重み付けの方法で数えられることも可能である。例えば、ラジオ番組は1.0として数えられ、テレビ番組は2.0として数えられ、映画は2.5として数えられる。10個の同時セッションの最大値では、ラジオを10個の装置で聞くことはできるが、テレビ番組を5個のみの装置でしか見ることができず、映画を4個のみの装置で見ることしかできない。当然のことながら、ユーザはまた、2つのテレビ番組を視聴し、２つの映画を録画し、１つのラジオを受信することができる。
【００７１】
行われ得るセッション間のその他の区別は、セッションの目的で区別することである。記憶装置に格納できるコンテンツを処理するために利用可能なセッション数が、コンテンツを処理するのに利用可能なセッション数と異なることが想像できる。
【００７２】
留意すべき点は、前述の実施例は本発明の限定のためではなく、説明のためであり、当業者は特許請求の範囲を逸脱することなく、多数のその他の実施例を設計することができる。
【００７３】
例えば、最大数に到達した時に新しいセッションを処理することを拒否するのではなく、新しいセッションが低品質で処理されることも可能であり、又は全てのセッションの処理品質が減少することも可能である。
【００７４】
家庭で重複するCPドメインの形成を阻止するその他の方法は、ドメインへのアクセスを有する全ての装置又はユーザがコンテンツを消去し、設定を変更し、その他にドメインの構成を変更することを可能にすることがある。ユーザは自分が記録したコンテンツを消去し、又は近隣の人に自分のテレビの構成に変更を行わせることを近隣の如何なる人にも希望しないと思われる。
【００７５】
同様に、ドメインへのアクセスを有する装置又はユーザは、特定のプライバシーに敏感な情報に自動的にアクセスを認められることがある。例えば、好みのものを視聴及び／又は聴取することは、全てのユーザに読取可能であることがある。一般的に、ユーザはこの種の情報を近隣の人と共有することを望まない。
【００７６】
本発明によるシステムはまた、新しいセッションが開始されることを可能にするために、特定のセッションを中止する機能を有することがある。前記システムは、１つのセッション(例えば最も古い動作セッション又はランダムに選択されたセッション)を自分で選択することができ、又はセッションを中止するようにユーザに指示することができる。このことはまた、システム100の全ユーザ間の協調を必要とするため、家庭を超えてドメインが拡張することを阻止する。
【００７７】
特許請求の範囲において、括弧の間にある如何なる参照記号も特許請求の範囲を限定するものとして解釈されるべきでない。“有する”という用語は、特許請求の範囲に列挙されたもの以外の要素又はステップの存在を除外するものではない。要素の前の“１つ”という用語は、複数のそのような要素の存在を除外するものではない。本発明は、いくつかの別個の要素を有するハードウェアを用い、適切にプログラムされたコンピュータを用いて実装され得る。
【００７８】
いくつかの手段を列挙する装置の請求項において、その手段のうちのいくつかは、ハードウェアの同一のアイテムにより具体化され得る。相互に異なる独立項に特定の手段が記載されているという単なる事実は、その手段の組合せが有利に使用できないことを示すものではない。
【図面の簡単な説明】
【００７９】
【図１】ネットワークを介して相互接続された装置を有するシステムを概略的に示したものである。
【図２】図１のシステム100をCAドメインとCPドメインに概略的に分割したものを概略的に示したものである。
【図３】図１のシステムで使用するスマートカードの形式のセキュリティモジュールの好ましい実施例を概略的に示したものである。
【図１】
2005524163.tif 000003
【図２】
2005524163.tif 000004
【図３】
2005524163.tif 000005
【国際調査報告】
2005524163.tif 000006
2005524163.tif 000007