(57)【要約】本発明は、スクランブルされたデータのアクセス権を無効化／消去するためのプロトコルに関する。本発明によれば、アクセス・コントロール・モジュールに入力されたアクセス権は、アクセス権識別番号変数（R_ID）と、アクション日変数（AD_V）と、権利状態変数（S_V）と、の変数を備える。この状態変数は、有効化、無効化又は消去された権利の３つの符号化された値のうち１つを持ちうる。本発明のプロトコルは、アクセス権識別番号変数（R_IDx）と、アクション日変数（AD_Vx）と、有効化、無効化、消去された変数に対応する状態割当変数（S_Vx）を備える少なくとも１つのアクセス権マネジメントとメッセージの送信（Ａ）と、入力されたアクセス権のアクション日（AD_V）へのメッセージのアクション日（AD_Vx）の割当（Ｂ）と、入力されたアクセス権の状態変数（S_V）への有効化、無効化、又は消去されたアクセス権に対応するメッセージの状態割当変数の割当（Ｃ）と、からなる。本発明は有償テレビジョンに好適である。
2005519416.tif 000002
【特許請求の範囲】
【請求項１】
送信センターから、セキュリティ・プロセッサを有するアクセス・コントロール・モジュールに連結された少なくとも１つの逆スクランブル端末へ、と送信される、スクランブルされたデータのアクセス権を、入力し、無効化し、又は消去するためのプロトコルであって、
これらアクセス権は、前記アクセス・コントロール・モジュールに入力されており、
前記スクランブルされたデータは、アクセス基準と、周期的に変更されオペレーション鍵を使用して暗号化されるコントロール・ワードの暗号文と、を搬送するアクセス・コントロール・メッセージの周期的な送信によるアクセス・コントロールに従い、
各セキュリティ・プロセッサにおいて、入力されたアクセス権の少なくとも１つが、アクセス基準に対して真値をとることが検証されることを条件として、コントロール・ワードの暗号文を、前記オペレーション鍵を用いて複号化することにより、
復元されたコントロール・ワードを逆スクランブル端末に送信し、そして、スクランブルされたデータを復元されたコントロール・ワードを用いて逆スクランブルする、プロトコルにおいて、
前記アクセス・コントロール・モジュールに入力された任意のアクセス権を、アクセス権識別番号変数の他、少なくとも、入力されたアクセス権のアクション日変数と、アクセス権の有効化、アクセス権の無効化又はアクセス権の消去を意味する、３つの符号化された値のうち１つを持ちうる状態変数と、を備える独立した変数及びリンクされた変数の集合として形成し、
入力されたアクセス権識別番号変数の他、少なくとも、アクション日変数と、有効化されたアクセス権、無効化されたアクセス権又は消去されたアクセス権に対応する符号化された値の状態割当変数と、を備える、少なくとも１つのアクセス権マネジメント・メッセージを、前記送信センターから、各逆スクランブル端末及びこの逆スクランブル端末に連結されたアクセス・コントロール・モジュールに送信して、前記アクセス権マネジメント・メッセージを前記アクセス・コントロール・モジュールにて受信し、
前記アクセス権マネジメント・メッセージのアクセス権識別番号変数に対応する入力されたアクセス権に前記アクション日を割り当て、
前記対応する入力されたアクセス権の前記状態変数に、有効化されたアクセス権、無効化されたアクセス権又は消去されたアクセス権に対応する前記状態割当変数を割り当てる、
ことを特徴とするプロトコル。
【請求項２】
アクセス・コントロール・モジュール内に所定のアクセス権を入力する動作のために、
前記アクセス権マネジメント・メッセージの前記アクション日変数は入力の日に対応し、
状態割当変数は、有効化されたアクセス権に対応する符号化された値であり、
入力動作は、そのアクション日が前記入力日のアクション日であり、その状態変数が有効化されたアクセス権に対応する前記状態変数である所定のアクセス権を、前記アクセス・コントロール・モジュールに入力する、
ことを特徴とする請求項１に記載のプロトコル。
【請求項３】
前記所定のアクセス権の真の入力動作に先立って、前記アクセス・コントロール・モジュールにおいて、
前記アクセス・コントロール・モジュール内における、前記所定のアクセス権に対応し、かつその状態変数がアクセス権有効化又はアクセス権無効化を意味する符号化された値に対応する、入力されたアクセス権の存在を検証し、
前記の存在の検証に対する答えが肯定的であるとき、前記と同一のアクセス権のアクション日に対する入力日に対応する前記アクション日変数の後発性を検証し、
前記の後発性の検証に対する答えが肯定的であるとき、入力日に対応する前記アクション日に基づいて、前記同一のアクセス権の前記アクション日変数の更新を行ない、
有効化されたアクセス権に対応する符号化された値を前記同一のアクセス権の前記状態変数に割り当てて、前記入力されたアクセス権を有効化することを可能にする、
ことを特徴とする請求項２に記載のプロトコル。
【請求項４】
前記の同一のアクセス権の存在の検証へ答えが否定的な場合、入力日に対応するアクション日を有するこのアクセス権の最初の入力によって、さらに更新を行なうことを特徴とする請求項２又は３に記載のプロトコル。
【請求項５】
アクセス・コントロール・モジュール内に入力されたアクセス権を無効化する動作のために、
前記アクセス権マネジメント・メッセージの前記アクション日変数は無効化の日に対応し、
状態割当変数は、無効化されたアクセス権に対応する符号化された値であり、
無効化動作は、前記入力されたアクセス権の前記状態変数に前記の無効化されたアクセス権に対応する前記符号化された値を割り当て、前記無効化の日に基づいて前記入力されたアクセス権の前記アクション日を更新する、
ことを特徴とする請求項１に記載のプロトコル。
【請求項６】
真の無効化動作に先立って、
前記マネジメント・メッセージの前記アクセス権に対応する、入力されたアクセス権の存在を前記アクセス・コントロール・モジュール上において検証し、
前記入力されたアクセス権の前記アクション日変数に対する無効化の日に対応する前記アクション日変数の後発性を検証する、
ことを特徴とする請求項５に記載のプロトコル。
【請求項７】
消去されたアクセス権に対応するマネジメント・メッセージの任意の状態割当変数と、
アクセス・コントロール・モジュール内に入力され、かつその状態変数が有効化されたアクセス権又は無効化されたアクセス権に対応する任意のアクセス権と、
について、
前記入力されたアクセス権のアクション日を更新し、
消去されたアクセス権に対応するマネジメント・メッセージの前記状態割当変数を、前記入力されたアクセス権の前記状態変数へと、割り当てることとし、
このような割当動作が、前記入力されたアクセス権についての仮想的消去動作をなす、
ことを特徴とする請求項１〜６のいずれか一項に記載のプロトコル。
【請求項８】
前記入力されたアクセス権の前記の更新段階、及び前記の仮想的消去段階は、
前記マネジメント・メッセージの前記アクセス権に対応する、入力されたアクセス権の存在を、前記アクセス・コントロール・モジュールにおいて検証する段階と、
前記入力されたアクセス権の前記アクション日変数に対する前記マネジメント・メッセージの前記アクション日変数の後発性を検証する段階と、
の後に行なわれることを特徴とする請求項７に記載のプロトコル。
【請求項９】
前記仮称的消去動作に続いて、前記アクセス権の実際の消去動作が行なわれることを特徴とする請求項７又は８に記載のプロトコル。
【請求項１０】
前記実際の消去動作は直ちに行なわれるか、または延期されることを特徴とする請求項９に記載のプロトコル。
【請求項１１】
消去されたアクセス権に対応する状態割当変数を有する、入力されたアクセス権について、有効化されたアクセス権に対応する状態変数が割り当てられ、かつそのアクション日が入力日に対応するこのアクセス権の最初の入力により更新を行なう、
ことを特徴とする請求項２又は３に記載のプロトコル。
【請求項１２】
消去されたアクセス権に対応する状態割当変数を有する、入力されたアクセス権について、無効化されたアクセス権に対応する状態変数が割り当てられ、かつそのアクション日が入力日に対応するこのアクセス権の最初の入力により更新を行なう、
ことを特徴とする請求項５又は６に記載のプロトコル。
【請求項１３】
前記の対応するアクセス権の存在の検証に対する答えが否定的なとき、そのアクション日が無効化の日に対応し、かつ無効化されたアクセス権に対応する状態変数が割り当てられた、このアクセス権の最初の入力により更新を行なう、
ことを特徴とする請求項５又は６に記載のプロトコル。
【請求項１４】
送信センターから少なくとも一つの逆スクランブル端末に送信される、スクランブルされたデータへのアクセスをコントロールするために、前記逆スクランブル端末に連結されるアクセス・コントロール・モジュールであって、
このアクセス・コントロール・モジュール内のメモリに入力される、独立した変数及びリンクされた変数の集合により形成される少なくとも１つのアクセス権を備え、
これら変数の集合は、入力されたアクセス権の識別番号変数と有効期間日変数の他、少なくとも、入力されたアクセス権のアクション日変数と、アクセス権の有効化、アクセス権の無効化又はアクセス権の消去を意味する、３つの符号化された値のうち１つを持ちうる状態変数と、
を備えることを特徴とするアクセス・コントロール・モジュール。
【請求項１５】
前記アクセス・コントロール・モジュールはセキュリティ・プロセッサに取り付けられるマイクロプロセッサ・カードと、安全な不揮発性プログラマブル・メモリとを備え、前記少なくとも１つのアクセス権は、前記安全な不揮発性プログラマブル・メモリに入力されることを特徴とする請求項１４に記載のアクセス・コントロール・モジュール。
【請求項１６】
有償テレビジョンサービス用のスクランブルされたデータのアクセス・コントロールのために、前記アクセス権は、前記スクランブルされたデータへのアクセス態様を定める前記アクセス権、及び前記アクセス・コントロール・モジュールの保有者である加入者ユーザに割り当てられる電子財布にわたることを特徴とする請求項１４又は１５に記載のアクセス・コントロール・モジュール。
【発明の詳細な説明】
【背景技術】
【０００１】
現代において、スクランブルされたデータのアクセス権を入力、無効化及び／又は消去するプロトコルは、スクランブルされたデータのアクセス・コントロールの分野において可能な、最も流動的かつ最もフレキシブルなサービス提供マネジメントの提供に、大きな意味をもっている。
【０００２】
これは、有料テレビジョンの分野のような、サービスや提案されるサービス提供が、非常に多様化したサービス及び提供の範囲にわたる傾向がある分野の場合に著しい。
【０００３】
特に、上記分野においては、加入者の加入申し込みの周期的な更新は、延長を示す新しいデータや加入者により申し込まれた新しい加入申し込みの追加や入力を必要とする。
【０００４】
アクセス権マネジメントは、アクセス権の搬送が可能なＥＭＭメッセージとして知られるマネジメント・メッセージを介して取り扱われ、またアクセス・コントロールは、暗号化されたアクセス・コントロール・ワードを備え、サービス鍵及びアクセス基準として働くＥＣＭと呼ばれるアクセス・コントロール・メッセージの送信によって取り扱われる。したがって、加入申し込みがなされて各加入者に割り当てられたアクセス権マネジメントと、アクセス・コントロールそれ自体と、の間を独立させると、上記のような更新は、デコーダやアクセス・コントロール・モジュールに連結されたセキュリティ・プロセッサのメモリ内への新しいデータの入力を伴うことになる。
【０００５】
アクセス・コントロール・モジュールは、一般にバンクカード形式のマイクロプロセッサ・カードを備え、このバンクカード形式のマイクロプロセッサ・カードのメモリ資源は必然的に制限される。
【０００６】
このような理由により、アクセス権を入力するための上記の手順は、期限の切れたアクセス権を消去する機能を伴う。しかしながら、この後者の機能の目的は単に、アクセス・コントロール・モジュール又はカード内のメモリ空間を開放し、最終的にはそれが満杯になることを回避することである。
【０００７】
このような入力／消去プロセスは、アクセス・コントロール・モジュール又は各加入者に割り当てられたカードに入力された、アクセス権の流動的なマネジメントを、必要な全てのフレキシビリティとセキュリティをもって供給することができない。
【０００８】
これは例えば、加入者側における支払い経過の追跡や、加入者が加入していた加入申し込みを変更するときのフレキシブルな加入申し込みの内容についても、当てはまることである。
【０００９】
セキュリティ基準の観点からは、現在の消去手順の性質がやや大雑把であれば、何者かの悪徳加入者により、そのアクセス権を減じる又は制御することを目的とする消去メッセージを、フィルタリング又は妨害されることがあろう。
【００１０】
さらに、アクセス権の入力のためのＥＭＭメッセージを、違法に再生手順（replay procedure）に送信することを目的とした、アクセス権入力ＥＭＭメッセージを保存する手順を排除することができない。
【００１１】
最後に、現在の、ＥＭＭメッセージによるアクセス権入力及び／又は消去手順は、適切なシークェンスが順守されないと、これらの動作に誤作動を生じることがある。
【発明の開示】
【発明が解決しようとする課題】
【００１２】
本発明の目的は、スクランブルされたデータのアクセス権を入力し、無効化し、及び／又は消去するためのプロトコルを実現し、一方では、入力されたアクセス権の、極めてフレキシブルで流動的なアクセス権コントロール及びマネジメントを提供し、他方では、提供されるセキュリティのレベルを著しく改善することである。
【００１３】
特に、本発明の目的は、アクセス権の各入力動作、各無効化動作及び／又は各消去動作が、例えばアクション日（action date）のような先行の参照データに条件付けられる、スクランブルされたデータのアクセス権を入力し、無効化し、及び／又は消去するためのプロトコルを実現することである。
【００１４】
本発明のもう一つの目的はまた、アクセス権の入力動作、無効化動作及び／又は消去動作が、セキュリティを改善し、対応するコマンド・メッセージが妨害されて繰り返し使用されることを防止するためにエンコードされる、スクランブルされたデータのアクセス権を入力し、無効化し、及び／又は消去するためのプロトコルを実現することである。
【００１５】
最後に、本発明のもう一つの目的は、自己のプログラマブル・メモリ内にアクセス権を入力することができるアクセス・コントロール・モジュールと、本発明の対象であるプロトコルを実現するための電子財布と、を実現することである。
【課題を解決するための手段】
【００１６】
本発明の対象である、スクランブルされたデータのアクセス権を、入力し、無効化し、及び／又は消去するためのプロトコルは、送信センターから、セキュリティ・プロセッサを有するアクセス・コントロール・モジュールに連結された少なくとも１つの逆スクランブル端末へ、と送信される、スクランブルされたデータについて実行される。
これらアクセス権は、アクセス・コントロール・モジュールに入力されており、
スクランブルされたデータは、アクセス基準と、周期的に変更されオペレーション鍵を使用して暗号化されるコントロール・ワードの暗号文と、を搬送するアクセス・コントロール・メッセージの周期的な送信によるアクセス・コントロールに従う。
そして、各セキュリティ・プロセッサにおいて、入力されたアクセス権の少なくとも１つが、アクセス基準に対して真値をとることが検証されることを条件として、コントロール・ワードの暗号文を、オペレーション鍵を用いて複号化することにより、復元されたコントロール・ワードを逆スクランブル端末に送信し、そして、スクランブルされたデータを復元されたコントロール・ワードを用いて逆スクランブルする。
【００１７】
上記プロトコルが、少なくとも、アクセス・コントロール・モジュールに入力された任意のアクセス権を、アクセス権識別番号変数の他、少なくとも、入力されたアクセス権のアクション日変数と、アクセス権の有効化、アクセス権の無効化又はアクセス権の消去を意味する、３つの符号化された値のうち１つを持ちうる状態変数と、とを備える独立した変数及びリンクされた変数の集合として形成すること、及び、入力されたアクセス権識別番号変数の他、少なくとも、アクション日変数と、有効化されたアクセス権、無効化されたアクセス権又は消去されたアクセス権に対応する符号化された値の状態割当変数と、を備える、少なくとも１つのアクセス権マネジメント・メッセージを、送信センターから、各逆スクランブル端末及びこの逆スクランブル端末に連結されたアクセス・コントロール・モジュールに送信することに注目すべきである。
【００１８】
最後に、アクセス権マネジメント・メッセージを受信すると、アクセス・コントロール・モジュールにおいて、アクセス権マネジメント・メッセージのアクセス権識別番号変数に対応する入力されたアクセス権にアクション日を割り当て、そして、対応する入力されたアクセス権の状態変数に、有効化されたアクセス権、無効化されたアクセス権又は消去されたアクセス権に対応する状態割当変数を割り当てる。
【００１９】
本発明の対象である、送信センターから少なくとも一つの逆スクランブル端末に送信される、スクランブルされたデータへのアクセスをコントロールするために、逆スクランブル端末に連結されるアクセス・コントロール・モジュールは、このアクセス・コントロール・モジュール内のメモリに入力される、独立した変数及びリンクされた変数の集合により形成される少なくとも１つのアクセス権を備え、これら変数の集合は、入力されたアクセス権の識別番号変数と有効期間日変数の他、少なくとも、入力されたアクセス権のアクション日変数と、アクセス権の有効化、アクセス権の無効化又はアクセス権の消去を意味する、３つの符号化された値のうち１つを持ちうる状態変数と、を備えることに注目するべきである。
【００２０】
本発明の対象であるプロトコル及びアクセス・コントロール・モジュールは、特に有償テレビジョンのようなスクランブルデータの一対多送信だけでなく、例えばＩＰプロトコルによる、ネットワーク内におけるビデオ画像データ又はサービス実行データの一対一送信にも適用可能である。
【００２１】
これらは、以下の図面に関する説明及び備考を読むことにより、より良く理解されるであろう。
【発明を実施するための最良の形態】
【００２２】
本発明の目的に合致するスクランブルされたデータのアクセス権を入力し、無効化し、及び／又は消去するためのプロトコルを、図１及びこれに続く図面に関連して、より詳細に説明する。
【００２３】
原則として、本発明の対象であるプロトコルが、送信センターから複数の逆スクランブル端末へと送信される、スクランブルされたデータのアクセス権を管理するために使用されることを記憶されたい。各端末Ｔｋは、あるセキュリティ・プロセッサに取り付けられる付属のアクセス・コントロール・モジュールを有している。
【００２４】
従来的に、各アクセス・コントロール・モジュールは、例えば、前記セキュリティ・プロセッサを含むマイクロプロセッサ・カードと、復号鍵を保存するセキュアメモリ（secure memory）と、そして真正性チェック演算と、を具備することとしてよい。各アクセス・コントロール・モジュールにはプログラマブル不揮発性メモリが取り付けられ、アクセス・コントロール・モジュールに入力された、スクランブルされたデータのアクセス権は、前記のプログラマブル不揮発性メモリに入力される。
【００２５】
スクランブルされたデータは、ＥＣＭメッセージとして知られるアクセス・コントロール・メッセージの周期的な送信による、アクセス・コントロールに従う。これらのアクセス・コントロール・メッセージは、アクセス基準と、周期的に変更されかつオペレーション鍵（operation key）を使用して暗号化されたコントロール・ワードの暗号文と、を搬送する。
【００２６】
各セキュリティ・プロセッサにおいて、入力されたアクセス権の少なくとも１つが、アクセス・コントロール・メッセージにより搬送されるアクセス基準に対して真値をとることが検証されることを条件として、コントロール・ワードの暗号文を、セキュリティ・プロセッサの安全な不揮発性メモリに保存されたオペレーション鍵を用いて複号化して、アクセス・コントロール・モジュールにより復元されたコントロール・ワードを逆スクランブル端末に送信し、そして、スクランブルされたデータを、前記逆スクランブル端末内において、復元されたコントロール・ワードを用いて逆スクランブルすることにより、アクセス・コントロールが実行される。
【００２７】
前記のスクランブルされたデータのアクセス・コントロール手順との関係において、本発明の対象であるプロトコルは、それが、少なくとも、アクセス・コントロール・モジュール内に入力される任意のアクセス権を、独立した変数及びリンクされた変数の集合として形成し及び定めることにある、という点において注意すべきものである。これらの変数は、アクセス権識別番号変数及び有効期間日変数（validity date variable）に加えて、アクセス・コントロール・モジュールに入力されるアクセス権アクション日変数と、３つの符号化された値、すなわち、アクセス権の有効化、アクセス権の無効化、またはアクセス権の消去のうち１つを持ちうる状態変数とを、少なくとも具備する。
【００２８】
参照される前記の図１では、下記表記ルールが使用されている。
R_IDは、アクセス権識別番号変数を示す。
V_Dは、有効期間日変数を示す。
A_VDは、入力されたアクセス権のアクション日変数を示す。
S_Vは、３つの符号化された値、すなわち、アクセス権の有効化、アクセス権の無効化、またはアクセス権の消去のうち１つを持ちうる状態変数を示す。
【００２９】
非限定的な例示として、前記３つの符号化された値は、S_V＝０のとき無効化されたアクセス権に対応し、S_V＝１のとき有効化されたアクセス権に対応し、S_V＝２のとき消去されたアクセス権に対応することを示す。
【００３０】
前記考察を考慮すると、本明細書において前述したアクセス権の定義と構成とが、本発明の対象であるプロトコルの実現に不可欠なものであることが、自然に理解できる。このステップは、図１のステップＯに示されている。そして、各アクセス権ARは、次の構文に対応するものとしてよい。
【００３１】
AR = [V_D] R_ID [R_SID] AD_V S_V                                          (1)
参照する前記関係では、角括弧に挟まれる変数のいずれも、前記アクセス権の具体的なコーディングに応じて任意であるとみなされることを示している。
【００３２】
有効期間日変数V_Dは独立した変数であるが、例えば、入力されたアクセス権には、このアクセス権の特定の値に対応して有効期間日変数が欠如することもある、といった具体的なコーディング上の理由に応じて、この変数は、任意的であるとしてよい。
【００３３】
これとは反対に、アクセス権サブ識別番号変数R_SIDは、アクセス権識別番号変数R_IDにリンク（関連）している。
【００３４】
これらの状況において、独立的なアクセス権識別番号変数R_IDと、アクション日変数AD_Vと、状態変数S_Vの存在は、主に入力されたアクセス権について実現され、かつ任意的であるにせよ有効期間日変数を具備する、本発明の対象であるプロトコルの実現に不可欠であると考えられる。
【００３５】
したがって、上記関係（１）を参照すると、これらの変数について以下のことが理解される。
V_Dは有効期間の期間を示す。この変数は、アクセス権の開始日及び終了日によって固定されかつ表わされることとしてよく、または日数として変化するよう定義されることとしてよく、あるいは失効期日によって表わされることとしてよい。またこの有効期間は、例えば最初の使用日に固定された値に変換されることとしてよい。
R_ID及びR_SIDは、それぞれ入力されたアクセス権の識別子及びサブ識別子に対応し、当然の事ながら、アクセス・コントロール・メッセージＥＣＭによって搬送されるアクセス基準内のアクセス権を参照するために使用される。
AD_Vは、入力されたアクセス権上で動作が実行された日付を示す。より具体的には、前記変数は、カード上で何ら動作が行なわれないときに該カード内にアクセス権が入力された日付、これと反対に、その後に続く動作の最後の実行日（アクション日）や、本説明書にて後述されるような、特に更新日や無効化の日、または消去の日、のいずれかを示すことが示される。
S_Vは、状態変数の符号化された値を示す。図１を参照すると、この符号化された変数は、前記の０、１、２の値を持つことができることとしてよく、または、例えばその他の明確な又は暗号化された値を持つことができることとしてよい、ことが示される。
図１を参照すると、アクセス権を前記の通り形成し定義するステップが完了したものと考えられる。
【００３６】
前記ステップＯに続いて、本発明の対象であるプロトコルはステップＡに移り、少なくとも１つの、ＥＸＭメッセージと記されるアクセス権マネジメント・メッセージを、送信センターから、各逆スクランブル端末Ｔｋへ、そしてまた当然に各逆スクランブル端末Ｔｋにリンクされた（連結された）アクセス・コントロール・モジュールへと送信する。
【００３７】
図１に示すとおり、このメッセージは、少なくとも入力されたアクセス権の識別番号変数（この変数はR_IDxと示される）と、アクション日変数（この変数はAD_Vxと示される）と、を備えており、このアクション日は、以下本明細書にて説明するとおり、マネジメント・メッセージの送信日、言い換えれば、当該マネジメント・メッセージに含まれる識別番号変数R_IDxに対応する識別番号変数R_IDについて入力されたアクセス権の上で、マネジメント動作が実行された日に対応している。メッセージはさらに、V_Dxと示される有効期間日変数を含むこととしてよい。最後に、マネジメント・メッセージＥＸＭは、S_Vxと示され、有効化されたアクセス権、無効化されたアクセス権、及び消去されたアクセス権に対応する符号化された値からなる状態割当変数を含む。この変数S_Vxは、前記の通り０、１、２の値を持つことができる。
【００３８】
逆スクランブル端末にリンクされたアクセス・コントロール・モジュール内にＥＸＭメッセージが受信されると、本発明の対象であるプロトコルはステップＢに移る。ここで、アクセス権マネジメント・メッセージ内のアクセス権識別番号変数に対応する入力されたアクセス権に対して、アクション日が割り当てられる。そして、ステップＣにおいて、有効化されたアクセス権、無効化されたアクセス権、又は消去されたアクセス権に対応する状態割当変数S_Vxを、入力されたアクセス権の状態変数S_Vに割り当てる。
【００３９】
ステップＢの実行に関して、このステップが、論理的な「もし（Ｉｆ）…ならば（ｔｈｅｎ）」形式のコマンドにより実行可能であることが示されている。
このような場合には、図１に示された前記ステップＢは、入力されたアクセス権の識別番号変数R_IDの値と、ＥＸＭメッセージ内に含まれる入力されたアクセス権の識別番号変数（言い換えれば変数R_IDx）と一致比較（match comparison）による比較を行なうこととしてよい。この一致比較は、サブ識別番号変数R_SIDや有効期間日変数、これに適する他のいかなる変数、のような変数に関する一連の複数の比較を備えることとしてよい。
【００４０】
この一致が検証されると、条件付きで、アクション日変数AD_VにＥＸＭマネジメント・メッセージ内のアクション日変数AD_Vxの値が割り当てられる。前記条件は、変数AD_Vに対する変数AD_Vxの後発性（AD_Vx変数AD_Vに対して、変数AD_Vxが後となること）を検証することである。その後ＥＸＭマネジメント・メッセージに含まれる状態割当変数S_Vxが、入力されたアクセスの状態変数に割り当てられる。この動作は、ステップＣにおいて、次の等式により示される、入力されたアクセス権状態（S_V）のアクセス権状態S_Vの状態変数を、生成（インスタンス化:instantiating）することにより実行される。
S_V = S_Vx
【００４１】
有効化されたアクセス権の入力、アクセス権の無効化、そして入力された権利の消去に関する、本発明の対象であるプロトコルの実行の詳細な説明を、図２ａ〜２ｄと共に行なう。
【００４２】
所定のアクセス権をアクセス・コントロール・モジュール内に入力する動作のために、ＥＸＭマネジメント・メッセージ内のアクション日変数AD_Vxがこのアクセス権の入力日に対応し、割当変数S_Vxが有効化されたアクセス権に対応する符号化された値（言い換えれば、S_Vx=1となる符号化された値）となる。
【００４３】
アクセス権の真の入力動作（入力動作本体）は、アクセス・コントロール・モジュール内へ、特にその不揮発性メモリ内へ、所定のアクセス権と、前記入力日のアクション日と、このアクセス権についてのS_Vx=1となる状態変数とを入力することにある。
【００４４】
図２ａを参照すると、ステップＢ０ａにおいて、逆スクランブル端末ＴｋにてＥＸＭメッセージを受信することによって開始される入力動作が示される。
ＥＸＭメッセージの逆多重化の後、アクセス・コントロール・モジュールは、ＥＸＭメッセージから生成される変数R_IDx、V_Dx、AD_Vx、S_Vx=1と、（実際にアクセス権が入力されていれば）アクセス・コントロール・モジュール内に入力されたアクセス権の変数R_ID、V_D、AD_V、S_Vと、を有する。
【００４５】
上記入力動作のために、本発明の対象であるプロトコルは、図２ａに示すとおり、ステップＢ１ａにおいて対応する入力されたアクセス権の存在を検証する。このテストは下記の通り示される。
∃R_ID = R_IDx
【００４６】
このテストは、当該アクセス権が消去済である状態に属さないこと、すなわちS_V≠2であることを確かめるテストを伴うが、これは、アクセス権に関する再入力動作を目的として、無効化された状態又は入力された状態にあるアクセス権について入力動作を実行することを可能とするためである。ステップＢ１ａにおいて実行されるテストは下記の関係式を検証する。
∃R_ID = R_IDx  AND  S_V≠2
【００４７】
ステップＢ１ａに対する答えが肯定的な場合には、本発明の対象であるプロトコルは、対応するアクセス権のアクション日に関連する、入力日に対応するアクション日変数の後発性を検証する。この動作はステップＢ２ａにおいて、アクション日と、入力されたアクセス権アクション日AD_Vに関連するＥＸＭメッセージ内にあるアクション日変数AD_Vxとのいずれか優位であるかを比較することによって実行できる。
【００４８】
上記ステップＢ２ａのテストに対する答えが否定的な場合には、入力動作は入力終了ステップＢ３ａによって終了される。この場合アクセス権の入力動作は履行されない。
【００４９】
これとは反対に、上記ステップＢ２ａのテストに対する答えが肯定的な場合には、該ステップに続いてステップＢ４ａが実行され、ここで入力日に対応するアクション日に基づいて、対応するアクセス権のアクション変数の更新が行なわれる。
この動作は次の関係式により表わされる。
AD_V = AD_Vx
【００５０】
その後、更新ステップＢ４ａに続き、同一のアクセス権の状態変数S_Vに対して、有効化されたアクセス権に対応する符号化された値、又はS_Vx=1を割り当てる割当ステップＣが実行される。そして、従前にアクセス・コントロール・モジュール内に入力されていたアクセス権は、新しくされるか又は更新される。
【００５１】
入力動作に対する本発明の対象であるプロコトルは、当然であるが、アクセス・コントロール・モジュールへのアクセス権の最初の入力の実行に関しても実行可能である。
【００５２】
この状態では、ＥＸＭメッサージ内には、アクセス権識別変数である変数R_IDxに対応する、入力されたアクセス権は存在せず、ステップＢ１ａにおいて実行されるテスト内の関連性一致比較は検証されない。
【００５３】
その結果、上記ステップのテストに対する答えが否定的、すなわち∃R_ID = R_IDx AND S_V≠2の関係式の検証に対する答えが否定的な場合には、本発明の対象であるプロコトルは、さらに、そのアクション日が入力日に対応しているアクセス権を最初に入力することによって更新を実行する。
【００５４】
この動作は、図２ａにおいて、ステップＢ１ａに対する答えが否定的な場合に更新ステップAD_V= AD_Vxへのアクセスすることによって示される。
【００５５】
このアクセスは、ステップＢ５ａにおいて、入力が実行されるアクセス権の変数R_IDに対して、ＥＸＭマネジメント・メッセージに存在する値R_IDxを割り当て、その後ステップＢ６ａにおいて、有効期間変数V_Dに対して有効期間日変数V_Dxを割り当てることによって実行されることとしてよい。
【００５６】
ステップＣの割当動作は、この場合、最初の入力に対応する。
【００５７】
同様に、図２ａを参照すると、既に消去されたアクセス権に対応する状態割当変数（S_V=2の場合）を有しているが、実際にはまだ存在する、入力されたアクセス権についても、テストＢ１ａに対する答えが否定的になるため、ステップＢ５ａ、Ｂ６ａ及びＢ４ａのアクセス権の新規入力が有利に実行される。その後この入力されたアクセス権には、ステップＣにおいて、入力されたアクセス権に対応する状態変数が割り当てられる。
【００５８】
本発明の対象であるプロトコルに適合する、アクセス・コントロール・モジュール内に入力されたアクセス権を無効化するための動作の詳細な説明を、図２ｂと共に行なう。
【００５９】
このような状態において、アクセス権マネジメント・メッセージのアクション日変数は無効化の日付に対応し、そして状態割当変数S_Vxは、無効化されたアクセス権に対応する符号化された値（すなわち前記説明で既に示した例ではゼロの値）である。
【００６０】
これらの条件において、アクセス・コントロール・モジュール内に入力されたアクセス権を無効化するための動作は、入力されたアクセス権の状態変数S_Vに対して、アクセス権の無効化に対応する符号化された値、すなわち符号化された値S_Vx=0を割り当てる。そして当然ながら、無効化の日付に基づいて、入力されたアクセス権のアクション日を更新する。
【００６１】
このために、無効化動作は、図２ｂに示すようにこの動作に関するＥＸＭマネジメント・メッセージを逆スクランブル端末Ｔｋにおいて受信するためのステップとともに開始する。
【００６２】
図２ｂにて参照されるこのステップＢ０ｂでは、ＥＸＭメッセージには、アクセス権識別番号変数R_IDx、有効期間日変数V_Dx、アクション日変数AD_Vx、状態割当変数S_Vx=0とが含まれ、アクセス・コントロール・モジュール内には、入力されたアクセス権のアクセス権割当変数R_ID、有効期間日変数V_D、アクション日変数AD_V、状態変数S_Vと、が存在する。
【００６３】
これらの状態において、本発明の対象であるプロトコルは、図２ｂに示すように真の無効化動作（無効化動作本体）に先だって、ステップＢ１ｂにおいて、対応する入力されたアクセス権の存在の検証をアクセス・コントロール・モジュール上で行なう。テストＢ１ｂは、図１ａのテストＢ１ａと同様である。
【００６４】
さらに、このテスト動作は、対応する入力されたアクセス権が、実行されるべき無効化動作に関する有効化または無効化されたアクセス権であるかのどうかの検証を、限定されない方法によって、図１ａのテストＢ１ａにあるように行なう。
【００６５】
このために、ステップＢ１ｂで実行されるテストは、次の関係式を検証する。
∃R_ID = R_IDx  AND  S_V≠2
【００６６】
ステップＢ１ｂに対する答えが肯定的な場合、ステップＢ１ｂの後にステップＢ２ｂが続けられ、入力されたアクセス権のアクション日変数に関する、無効化の日に対応するアクション日変数の後発性を検証する。この動作は、テストステップＢ２ｂにおいて、次の関係式にしたがって実行される。
AD_Vx > AD_V
【００６７】
上記ステップＢ２ｂのテストに対する答えが否定的な場合には、図２ｂに示すように、無効化終了ステップＢ３ｂへの呼び出しがなされる。このような動作は、真の無効化動作（無効化動作本体）にセキュリティ手段を導入するために使用される。
【００６８】
これとは反対に、ステップＢ２ｂで実行されるテストに対する答えが肯定的な場合には、ステップＢ４ｂにおいてアクション日の更新ステップが実行され、この更新動作は、図２ａに示す有効化されたアクセス権の入力に関する更新ステップＢ４ｂと同じ関係式を検証する。
【００６９】
その後、ステップＢ４ｂに続いて真の無効化ステップ（無効化ステップ本体）Ｃが実行され、ここで無効化されたアクセス権に対応する符号化された値S_Vx=0が、入力されたアクセス権の状態変数S_Vに割り当てられる。
【００７０】
図２ｂを参照すると、本発明の対象であるプロトコルは、さらに、アクセス・コントロール・モジュール内になお存在する消去されたアクセス権S_V=2を無効化するために実行される。このような場合、上記ステップＢ１ｂに対する答えが否定となり、ステップＢ４ｂの更新が実行され、その後ステップＣで無効化動作、S_V=S_Vx=0、が実行される。そして、図２ａの場合にあるように、ステップＢ４ｂは、図２ａのステップＢ5ａ及びＢ6ａにそれぞれに類似するステップＢ5ｂ及びステップＢ6ｂに続いて実行される。
【００７１】
上記の状態において、本発明の対象であるプロトコルは、そのアクション日が無効化の日付に対応しているアクセス権を入力することによってアクセス権の更新を実行する。この入力されたアクセス権には、無効化されたアクセス権に対応する状態変数が割り当てられている。
【００７２】
上記の動作は、アクセス権を無効化状態に位置付ける又は入力することにより、より早いアクション日を有するメッセージによって、このアクセス権がその後も入力されることを防止するために使用される。
【００７３】
本発明の対象であるプロトコルにしたがって実行される、入力されたアクセス権を消去するための動作のより詳細な説明を、図２ｃ及び図２ｄと共に行なう。
【００７４】
これらの条件において、入力されたアクセス権を消去する動作は、その状態割当変数S_Vx=2が消去されたアクセス権に対応するＥＸＭメッセージに基づいて実行される。
【００７５】
これらの条件において、消去動作は、図２ｃに示すように逆スクランブル端末ＴｋにおけるＥＸＭマネジメント・メッセージの受信とともに開始する。そして、本明細書において入力及び無効化動作について先に説明した変数が存在する。但し、状態割当変数は、S_Vx=2である。
【００７６】
消去動作は、アクセス・コントロール・モジュール内にある、状態変数が有効化されたアクセス権又は無効化されたアクセス権に対応するアクセス権について実行される。
【００７７】
これらの条件において、ＥＸＭメッセージの受信ステップＢ０ｃに続いて、対応する入力されたアクセス権がアクセス・コントロール・モジュール上に存在するか否かの検証を行なうテストステップＢ１ｃが実行される。前記テストＢ１ｃは、図２ａ又は図２ｂに示したテストＢ１ａ又はＢ１ｂに類似し、同じ関係式を検証する。テストＢ１ｃに対する答えが否定的な場合には、消去の終了ステップＢ２ｃが呼び出される。テストＢ１ｃに対する答えが肯定的な場合には、ステップＢ１ｃに続いてステップＢ３ｃが実行され、入力されたアクセス権のアクション日変数AD_Vに関する、マネジメント・メッセージのアクション日変数AD_Vxの後発性を検証する。このステップは、次の関係式にしたがって優位性を比較することによって実行される。
AD_Vx > AD_V
【００７８】
上記テストＢ３ｃに対する答えが否定的な場合、図２ｂとともに説明したアクセス権の無効化の終了における条件と同様の条件において、消去の終了ステップＢ２ｃの呼び出しへの復帰が実行される。
【００７９】
これと反対に、ステップＢ３ｃのテストに対する答えが肯定的な場合には、本発明の対象であるプロトコルによる消去動作は、次の関係式にしたがって、入力されたアクセス権のアクション日を更新するステップＢ４ｃを呼び出す。
AD_V = AD_Vx
【００８０】
そして、前記更新ステップに続いて、真の消去ステップ（消去ステップ本体）が、ステップＣにおいて実行され、入力されたアクセス権の仮想的な消去が行なわれる。
【００８１】
本発明の対象であるプロトコルの特に有利なある実施例によれば、仮想的な消去ステップでは、入力されたアクセス権の状態変数S_Vに対して、消去されたアクセス権に対応するマネジメント・メッセージの状態割当変数S_V、すなわちS_Vx=2の割り当てが行なわれる。
【００８２】
実際にはこの仮想的な消去の概念は、アクセス・モジュールの不揮発性メモリ内に入力されたアクセス権の実際の存在を維持しておき、しかし、消去されたアクセス権に対応する符号化された値を単に割り当てることによって、このアクセス権を使用不能にするという概念にわたっている。
【００８３】
本発明の対象であるプロトコルの特に有利なある実施例によれば、入力されたアクセス権の仮想的な消去ステップは、このアクセス権を含むアクセス・コントロール・モジュールの不揮発性メモリ内に、このアクセス権がまだ実際に存在していても、このアクセス権の使用する可能性が完全にない場合に対応する。そして、真の消去動作（消去動作本体）、言い換えれば、入力されたアクセス権のいずれかの実際の消去は、関連するアクセス権に対応するスクランブルされたデータの加入者のアクセスやアクセス・コントロールに依存せずに、系統的に（システマティックに）実行される。
【００８４】
特に、図２ｄに示すように、すでに仮想的な消去状態とされたアクセス権の実際の消去は、直ちに実行されてよく、又は延期して実行されてもよい。
【００８５】
適切であれば、実際の消去状態の実行は、例えば、図２ｄとともにより詳細に説明される時間指向基準（time-oriented criterion）のような、特定の基準に条件付けられてもよい。
【００８６】
前記の図を参照すると、本発明の対象であるプロトコルの実行に従い、また本明細書において図２ｃと共に既に図示され説明された実施例により、入力されたアクセス権が仮想的な消去状態にあるとみなされている。
【００８７】
この状態では、S_Vx=2を有するＥＸＭメッセージが受信され、また仮想的な消去状態は、本明細書にて既に説明した関係式S_V=S_Vx=2に対応する。対応する仮想的な消去状態は、図２ｄの状態Ｃ０ｄに示される。
【００８８】
入力されたアクセス権の実際の真の消去（消去それ自体）は、ステップＣ１ｄにおいて、時間指向テスト（time-oriented test）のようなテストに従って実行されることとしてよい。
【００８９】
上記テストでは、非限定的な例として、ＥＸＭメッセージのアクション日変数（すなわち変数AD_Vx）と、入力されたアクセス権の有効期間の終了日の変数V_Dと、を優勢比較により比較することとしてよい。
【００９０】
テストＣ１ｄへの答えが肯定的であるとき、消去アクション日は、入力されたアクセス権の有効期間日よりも遅いので、対応するステップＣ３ｄが呼ばれることにより実際の消去が直ちに実行される。
【００９１】
これと反対にテストＣ１ｄへの答えが否定的であるとき、消去アクション日は、入力されたアクセス権の有効期間日V_Dよりも早いので、実際の消去を延期するステップＣ２ｄが呼ばれる。これにより消去は、連続する全てのＥＸＭ消去メッセージのアクション日AD_Vxが、入力されたアクセス権の有効期間の終了日よりも小さいか等しいかぎり延期されることになる。実際の消去の延期の維持は、テストＣ１ｄへの帰還によって表わされている。
【００９２】
上記の消去延期の実行によって、入力されたアクセス権が、未だカード上に実在してるが仮想的消去状態にあり、この入力されたアクセス権を有する加入者によって使用できない間の、入力されたアクセス権の実際の消去の系統的なマネジメントを与えることができることがわかる。
【００９３】
ある所定の加入者について、マネジメント・メッセージ（先行技術の場合にはＥＭＭメッセージであり、本発明の対象であるプロトコルに従う場合ＥＸＭメッセージ）の周期的な送信に関連して定まるある周期の間に、アクセス・コントロール・モジュールが存在しない、言い換えればこのアクセス・コントロール・モジュールを逆スクランブル端末又はデコーダに割り当てたカードがなく、該当する場合には、デコーダの動作が利用できない、と仮定した場合において、先行技術によるアクセス権の消去、削除の実現例と、本発明の対象であるプロトコルによる実現例の比較例を、本明細書に以下説明する。
【００９４】
したがって、この例では、従来技術の手順の場合のＥＭＭ形式のマネジメント・メッセージ、及び本発明の対象であるプロコトルを実行した場合のＥＸＭ形式のマネジメント・メッセージの周期的なブロードキャスティングを検討する。
【００９５】
この例では、先行技術の手順に関する表１にしたがって、ＥＭＭ形式のマネジメント・メッセージが、ある第１サイクルで送信される場合について検討する。さらにここでは、表に示されるとおり、表のサイクル１にある区間Ａのセルによる対応するアクション日の間、アクセス・コントロール・モジュール又は逆スクランブル端末がサービスエリアの外にあるとする。
【００９６】
【表１】
2005519416.tif 000003
【００９７】
前記表１では、アクション日がメッセージの送信日を指定するが、しかし、本発明の対象であるプロコトルの実行に使用されるＥＸＭと異なり、このメッセージにはアクション日が含まれないことを銘記されたい。
【００９８】
サイクル１の後、異なる日付を有するサイクル２が続けられ、次に、「ｎサイクル１」と示されるサイクルの１つである複数のサイクル１が続けられる。
【００９９】
第１のサイクル１の送信上において、アクセス権の入力、又はアクセス権の削除（言い換えれば消去）のための動作がいくつか実行されているが、当然のことながら、アクセス・コントロール・モジュール（言い換えればカード及び／又は逆スクランブル端末）がサービスエリア外にあった区間Ａ内のセルについては、これらの動作は実行されない。
【０１００】
サイクル１と異なるサイクル２の送信上においては、アクセス・コントロール・モジュール、及び／又は端末がサービスエリア内にあったため、入力されたアクセス権の識別番号変数について、対応する動作が同様に実行される。
【０１０１】
これとは反対に、サイクル１の反復において（言い換えればテーブル１にて「ｎサイクル１」と示されたサイクルのセルについて）、区間Ｂに対応するセルが示されている。この区間は、連続して入力され消去される送信されたアクセス権R_ID1が、アクション日によるコントロールが実行されないため、アクセス・コントロール・モジュール（言い換えればカード）等において、有効に確立されることができないことを示している。
【０１０２】
先行技術にしたがった手順では、消去されたアクセス権の再入力を不可とする制御ができないのに対し、本発明の対象であるプロトコルの実行に関する表２では、下記の同様の状況において、ＥＸＭマネジメント・メッセージが動作不良を生じる場合を低減する。
【０１０３】
【表２】
2005519416.tif 000004
【０１０４】
これらの状況におけるアクセス・コントロール・モジュールにおける処理ルールは以下に示す通りである。
アクセス権が無効化されると、無効化された（Ｉ）とマーキングされる。
無効化された権利は、条件付きでのみ復活されることが可能である。
アクション日（言い換えれば、ＥＸＭメッセージのアクション日）が、入力されたアクセス権のアクション日以下のとき、そのメッセージのアクションはカード内で無視される（ｉ）。
ＥＸＭメッセージのアクション日が、入力されたアクセス権のアクション日より大きいとき、入力されたアクセス権は再更新される（言い換えれば、無効化又は消去されたものとして実際に更新される）。
【０１０５】
表２では、表１のように、サイクル１について区間Ａがダウンタイム又はアクセス・コントロール・モジュール及び／又は逆スクランブル端末の動作不良期間に対応する。
【０１０６】
区間Ｉは、入力されたアクセス権が無効化メッセージ（すなわちS_V=S_Vx=0）によって無効化されたことを示す。
区間ｉのセルでは、ＥＸＭメッセージのアクション日が、入力されたが無効化されたアクセス権のアクション日以下であるかどうかに従って、その状態が調べられ、対応するアクションは、アクセス・コントロール・モジュールにおいて無視される。
【０１０７】
このことは、アクセス・コントロール・モジュールに入力された全てのアクセス権のよりフレキシブルで、より流動的なマネジメントが存在することを示している。
【０１０８】
当然のことながら、本発明の対象であるプロトコルの実行について、送信センターから逆スクランブル端末へ送信された、スクランブルされたデータへのアクセスをコントロールするモジュールにリンク（連結）された逆スクランブル端末を有することが重要である。
【０１０９】
図３ａに示すように、対応する逆スクランブル端末にリンクされたアクセス・コントロール・モジュールは、アクセス・コントロール・モジュールのメモリに入力された、独立した変数及びリンクされた変数の集合により形成される少なくとも１つアクセス権を備える。この集合は、入力されたアクセス権の識別番号変数R_IDに加えて、少なくとも入力されたアクセス権のアクション日変数AD_Vと、有効化されたアクセス権であるか、無効化されたアクセス権であるか、あるいは消去されたアクセス権であるかを示すための、本明細書で前記の３つの符号化された値の１つを持ちうる状態変数を備える。アクセス・コントロール・モジュールは、さらに、有効期間日変数V_Dを含むこととしてよい。
【０１１０】
原則として、アクセス・コントロール・モジュールは、ソフトウェア構成要素又はハードウェア構成要素、特に上記ソフトウェア要素を実現するバーチャル・カード（virtual card）や、本明細書で前記のセキュリティ・プロセッサに取り付けられたマイクロプロセッサ・カードを備えることとしてよい。
【０１１１】
アクセス・コントロール・モジュールがソフトウェア構成要素であるとき、このソフトウェア構成要素は、例えば、逆スクランブル端末に配置されることとしてよい。この場合、図３に示すように、前記独立した変数及びリンクされた変数の集合により形成されたアクセス権は、例えばハードディスク（図示せず）のような恒久的なメモリに保存されることとしてよく、逆スクランブル端末のワーキングメモリに系統的にロードされることとしてよい。ここにワーキングメモリは、逆スクランブル端末のセキュリティ・プロセッサＣＰＵ＿Ｓに接続されていることとする。
【０１１２】
これとは反対に、アクセス・コントロール・モジュールは、図３ｂに示すように、セキュリティ・プロセッサに取り付けられたマイクロプロセッサ・カードを備えることとしてよい。このマイクロプロセッサはまた、セキュリティ・プロセッサにリンクされた安全な不揮発性のプログラマブル・メモリにも取り付けられている。この場合では、前記図３ｂに示すように、前記独立した変数及びリンクされた変数の集合により形成されたアクセス権は、前記の安全な不揮発性のプログラマブル・メモリに入力される。
【０１１３】
特に、カードの入出力回路（Ｉ／Ｏと示す）へのバスリンクを用いて、前記のセキュリティ・プロセッサＣＰＵ＿Ｓの制御下にある前記入出力回路Ｉ／Ｏによって、アクセス権の入力、アクセス権の無効化、または反対にプログラマブル不揮発性メモリのアクセス権の消去のいずれかを行なう、逆スクランブル端末からの命令のやりとりが実現される、と理解される。
【０１１４】
最後に、同じ図３ｂを参照すると、スクランブルされたデータのアクセス・コントロール・サービスのより特定の場合、このデータへのアクセスが支払いに依存して認められる、例えば有償テレビジョン・サービスの場合では、前記独立した変数及びリンクされた変数の集合により形成されるアクセス権の概念と、スクランブルされたデータへのアクセスの態様を定めるという概念は、アクセス・コントロール・モジュールを保有する加入者ユーザに電子財布を割り当てることにわたる。
【０１１５】
このため、図３ｂには、アクセス権ARと同様の方法で符号化された、電子財布の表示がなされている。電子財布は、アクセス権と同様に、例えば、財布IDと記される電子財布識別番号変数と、有効期間日変数V_Dと、電子財布アクション日変数AD_Vと、状態変数S_Vと、を含むこととしてよい。
最後に、財布ユニットと記されるアカウント・ユニット変数が与えられることとしてよい。
【０１１６】
電子財布識別番号変数は、財布サブIDと記されるリンクされる変数にリンクされることとしてよいことが示される。アクセス権ARに関する先の表記ルールに従うこの財布サブIDは、例えば、任意的であるとしてよい。
【０１１７】
これらの条件において、財布ＩＤによって参照される所定の電子財布に関して、ある特定のアプリケーション又は特定のサービスについて、各財布サブID変数によりサブ財布を定めることができると理解される。
【０１１８】
ある例では、財布ユニット変数が適用される。この変数は同様の表記ルールに従って、リンクされる任意的変数REにリンクされることとしてよい。前記リンクされる変数REは、「持ち越し」変数を示すこととしてよく、関係する電子財布の内容やこの電子財布の預金残高を、同一の識別子を有する同じ形式の電子財布や同じ電子財布に持ち越すために使用される。
【０１１９】
これらの条件において、アクセス権ARの場合と同様に、電子財布の符号化された構文は、アクセス権ARのそれと類似する下記形式をとる。
PU = 財布ID [財布サブID] V_D AD_V S_V 財布ユニット [RE]
【図面の簡単な説明】
【０１２０】
【図１】本発明の対象であるプロトコルを実現するためのステップの概略的なフローを、指標として示す図である。
【図２ａ】加入者に割り当てられたアクセス・コントロール・モジュール内に有効化されたアクセス権を入力する動作における、本発明の対象であるプロトコルを実現するためのステップの具体的なフローを、指標として示す図である。
【図２ｂ】加入者に割り当てられたアクセス・コントロール・モジュール内に入力されたアクセス権を無効化する動作における、本発明の対象であるプロトコルを実現するためのステップの具体的なフローを、指標として示す図である。
【図２ｃ】実際のアクセス権の消去が僅かに遅れて行なわれるという意味において仮想の消去動作に対応する消去動作によって、入力されたアクセス権を消去する動作における、本発明の対象であるプロトコルを実現するためのステップの具体的なフローを、指標として示す図である。
【図２ｄ】例えば時間指向基準（time-oriented criterion）のような特定の基準に条件付けられた、入力されたアクセス権の実際の消去の導入部の具体的なフローを、指標として示す図である。
【図３ａ】本発明によるアクセス・コントロール・モジュールを示す図である。
【図３ｂ】本発明によるアクセス・コントロール・モジュールを示す図である。
【図１】
2005519416.tif 000005
【図２ａ】
2005519416.tif 000006
【図２ｂ】
2005519416.tif 000007
【図２ｃ】
2005519416.tif 000008
【図２ｄ】
2005519416.tif 000009
【図３ａ】
2005519416.tif 000010
【図３ｂ】
2005519416.tif 000011
【国際調査報告】
2005519416.tif 000012
2005519416.tif 000013
2005519416.tif 000014
2005519416.tif 000015