(57)【要約】　【課題】　本発明は、サービスオペレータにより提供されるマルチメディアデジタルデータにアクセスするために少なくとも１つのデコーダ（１）を遠隔的に非アクティブにするための方法に関する。【解決手段】　デコーダはオペレータに既知の特殊な識別子（ＩＤ）をもっている。所定の識別子（ＩＤ）を用いてデコーダを非アクティブにするために、オペレータにデコーダを接続された通信ネットワークにより、オペレータはデコーダに組み込まれたソフトウェアの一部又は全てを破壊するための破壊コマンドを送信し、この破壊コマンドはオペレータにより指定された特殊な識別子（ＩＤ）を用いてデコーダにアドレスされる。　本発明は又、デコーダがデコーダにアドレスされた破壊コマンドを受信するとき、デコーダに組み込まれたソフトウェアの一部又は全部を消去するための適切な消去器ソフトウェアモジュールから構成されるデコーダに関する。【選択図】　図２
2004135335.tif 000002
【特許請求の範囲】
【請求項１】
　サービスオペレータにより提供されるマルチメディアデジタルデータにアクセスするために少なくとも１つのデコーダ（１）を遠隔的に非アクティブにするための方法であって、デコーダはデコーダからオペレータに接続する通信ネットワーク（３、４）を通じてオペレータが送信するオペレータに既知の特殊な識別子（ＩＤ）をもち、ソフトウェアの一部又は全てを破壊するための破壊コマンド（Ｃｍｄ（ＩＤ、非アクティブ）はデコーダに組み込まれ、前記破壊コマンドはオペレータにより指定された特殊な識別子を用いてデコーダにアドレスされる、ことを特徴とする方法。
【請求項２】
　請求項１に記載の方法であって、破壊コマンド（Ｃｍｄ（ＩＤ、非アクティブ）を送信するために用いられる通信ネットワークは双方向性ネットワーク（４）である、ことを特徴とする方法。
【請求項３】
　請求項２に記載の方法であって、破壊コマンドは破壊コマンドがアドレスされるデコーダのみに送信される、ことを特徴とする方法。
【請求項４】
　請求項１に記載の方法であって、破壊コマンド（Ｃｍｄ（ＩＤ１、非アクティブ）、（Ｃｍｄ（ＩＤ５、非アクティブ）、（Ｃｍｄ（ＩＤｎ、非アクティブ）を送信するために用いられる通信ネットワークは一方向性ネットワーク（３）である、ことを特徴とする方法。
【請求項５】
　請求項４に記載の方法であって、前記一方向性ネットワーク（３）はオペレータから全てのデコーダにデータを放送するためのネットワークであり、且つ前記破壊コマンドはオペレータによるデータの放送を用いて全てのデコーダに送信される、ことを特徴とする方法。
【請求項６】
　マルチメディアデジタルデータにアクセスするためのデコーダ（１）であって、デコーダがデコーダにアドレスされた破壊コマンド（Ｃｍｄ（ＩＤ、非アクティブ）を受信するときにデコーダに組み込まれたソフトウェアの一部又は全部を消去するために適切な消去器ソフトウェアモジュール（４６）から構成される、ことを特徴とするデコーダ。
【請求項７】
　請求項６に記載のデコーダであって、特徴的な識別子（ＩＤ）を有し、破壊コマンドがデコーダにアドレスされたとき、受信された破壊コマンドは前記特徴的な識別子を含む、ことを特徴とするデコーダ。
【請求項８】
　請求項６又は７の何れかに記載のデコーダであって、組み込まれたソフトウェアの完全性を確認する（４１１）ため及び否定的な確認のイベントにおいて新しいソフトウェアをダウンロードする（４１２）ように意図されたデコーダ（４１）を初期化するためのモジュールから構成され、デコーダに組み込まれたソフトウェアの少なくとも一部が消去モジュール（４６）により予め消去されていないことを確認する（４１０）ために前記初期化モジュールが更に適切であり、前記初期化モジュールはソフトウェアの一部が予め消去されていないときにのみ組み込まれたソフトウェアの完全性を確認する、ことを特徴とするデコーダ。
【請求項９】
　請求項６乃至８の何れかに記載のデコーダであって、消去モジュールはデコーダにアドレスされた新しい破壊コマンドの各々の受信に伴いデコーダに組み込まれるソフトウェアモジュールを消去する、ことを特徴とするデコーダ。
【請求項１０】
　請求項９に記載のデコーダであって、デコーダのソフトウェアモジュールは、
−第１にアクセス制御モジュール（４３）、
−第２にユーザインタフェースモジュール（４４）、並びに
−第３にオーディオ／ビデオ復号化モジュール、
の順序で消去する、ことを特徴とするデコーダ。
【発明の詳細な説明】
【技術分野】
【０００１】
　本発明は、マルチメディアのデジタルデータにアクセスするためのデコーダの不正コピーに対する戦いの分野に関する。本発明は、特に、遠隔的動作停止手段から構成されるデコーダばかりでなくそのようなデコーダの遠隔的動作停止のための方法に関する。
【背景技術】
【０００２】
　オペレータの放送による有料オーディオビジュアルプログラムは、通例、受信料を払うことにより同じプログラムにユーザがアクセスすることを可能にするデコーダを、それらのプログラムの受信を希望するユーザに供給する。プログラムを構成するデジタルデータは、デコーダを所有しないユーザが同じものにアクセスできないように、通常、実際には、暗号化されたフォームで送信される。デコーダは、特に、デジタルデータを暗号化し且つ復号化するための手段を含む。更に正確には、デコーダは、一般に、データの暗号化のために必要な１つ又はそれ以上の暗号化キーはもとよりソフトウェアモジュールを内蔵したカードが挿入されるチップカードリーダから構成される。チップカードリーダは又、一般に、デコーダのユーザが獲得する権利に関する情報（例えば、ユーザにとってどのチャンネルがアクセス可能か、どれ位の期間、等）を含む。
【０００３】
　もはや、ユーザがオペレータからのプログラムを受信するために支払うことを望まないとき、原則的に、ユーザはオペレータ又はデコーダを設置する責任をもつ中間業者にデコーダを返却しなければならない。オペレータは、それにも拘らず、それらのデコーダの違法コピーの問題に直面する場面が多くなっている。実際には、一部のユーザは彼らの受信料を滞納するが、デコーダは返却しない。その後、彼らは、オペレータによるプログラムの放送にアクセスする権利を延期することを可能にする不正コピーされたチップカードを作る。一部のデコーダは、不正コピーされたチップカードと共に用いるために設置業者の自動車から盗まれることすらある。
【発明の開示】
【課題を解決するための手段】
【０００４】
　本発明の目的は、上述の問題点を解決することである。更に詳しくは、本発明の目的は、盗まれた又は戻って来ないデコーダを使用できないようにし、又はせめてデコーダの動作を低下させることである。
【０００５】
　従って、本発明は、サービスオペレータにより提供されるマルチメディアデジタルデータのための少なくとも１つのデコーダの遠隔的非アクティブ化についての方法に関連し、デコーダはオペレータに既知の特殊な識別子を有する。その方法は、オペレータにデコーダを接続する通信ネットワークによりオペレータが送信することからなり、ソフトウェアの一部又は全部を破壊するための破壊コマンドはデコーダに組み込まれ、この破壊コマンドはオペレータにより指定された特殊な識別子を用いてデコーダにアドレスされる。
【０００６】
　このように、デコーダが返却されないか又は盗まれたとき、オペレータは、デコーダを部分的に又は全体的に使用できないようにするようなやり方でデコーダの動作に必要であるソフトウェアの部分的又は全体的な破壊を引き起こす。
【０００７】
　本発明の第１の実施形態に従って、破壊コマンドを送信するために必要な通信ネットワークは双方向性ネットワークである。この第１の実施形態において、破壊コマンドは破壊コマンドがアドレスされるデコーダのみに送信される。
【０００８】
　本発明の第２の実施形態に従って、破壊コマンドを送信するために用いられる通信コマンドは一方向性ネットワークである。好ましくは、それはオペレータから全てのデコーダにデータを放送するためのネットワークであり、破壊コマンドはオペレータによるデータ放送を用いて全てのデコーダに送信される。
【０００９】
　本発明は又、マルチメディアデジタルデータにアクセスするためのデコーダであって、デコーダがデコーダにアドレスされた破壊コマンドを受信するときにデコーダに組み込まれたソフトウェアの一部又は全部を消去するために適切な消去器ソフトウェアモジュールから構成されるデコーダに関する。
【００１０】
　本発明の特定の特性に従って、デコーダは特徴的な識別子（ＩＤ）を有し、破壊コマンドがデコーダにアドレスされたとき受信された破壊コマンドはこの特徴的な識別子を含む。
【００１１】
　本発明の他の特長に従って、デコーダは、組み込まれたソフトウェアの完全性を確認するため及び否定的な確認のイベントにおいて新しいソフトウェアをダウンロードするように意図されたデコーダを初期化するためのモジュールから構成され、デコーダに組み込まれたソフトウェアの少なくとも一部が消去モジュールにより予め消去されていないことを確認するために前記初期化モジュールが更に適切であり、前記初期化モジュールはソフトウェアの一部が予め消去されていないときにのみ組み込まれたソフトウェアの完全性を確認する。
【００１２】
　本発明の特定の実施形態に従って、消去モジュールはデコーダにアドレスされた新しい破壊コマンドの各々の受信に伴いデコーダに組み込まれるソフトウェアモジュールを消去する。
【００１３】
　この実施形態の特定の特性に従って、デコーダのソフトウェアモジュールは、第１にアクセス制御モジュール、第２にユーザインタフェースモジュール及び第３にオーディオ／ビデオ復号化モジュール、の順序で消去する。
【発明を実施するための最良の形態】
【００１４】
　図１を参照するに、デコーダ１はプログラム、即ち、一般に、オペレータの放送センタ２から視聴覚プログラム又は対話型プログラムを受信する。デコーダ１は、これらのプログラムを、一方向性放送ネットワーク３によってこれらのプログラムを受信する。この放送経路は、しばしば、単純に“ブロードキャストパス”と呼ばれる。デコーダ１は又、双方向性通信ネットワーク４によりオペレータのサーバ５に接続されている。一般に、デコーダからサーバに接続する“リターンパス”と呼ばれる。当然のことながら、図２には識別子ＩＤをもつたった１つのデコーダのみが示されているが、実際には、放送センタ２から受信し且つサーバ５に接続された異なる識別子をもつ多数のデコーダがある。
【００１５】
　通例、ブロードキャストパスはプログラムの一般の放送のため、即ち全てのデコーダに同時に行われるグローバルな放送のために用いられる一方、リターンパスはデコーダからオペレータへの個々の通信のために用いられる。リターンパスは、ユーザがゲーム又は投票に参加してとき、或いは“ペイパービュー方式”に従ったプログラムを実際に注文するために、対話型プログラムのコンテクスト内で、特に、用いられる。
【００１６】
　ブロードキャストパスは、衛星放送、ケーブル放送により又は放送電波における送信の様式に影響される。
【００１７】
　リターンパスに影響するために、デコーダ１は通信ネットワーク４に接続されたモデム（図１には示していない）から構成される。これは、ＳＴＮ（Switched Telephone Network（交換電話ネットワーク）の略語）に接続されたモデム、従来の電話回線に接続されたＡＤＳＬ（Asymmetric Digital Subscriber Lineの略語）モデム又はケーブルによるネットワークに接続されたケーブルモデムとすることが可能である。又、それは、好ましくは、ワイヤレス通信ネットワークに接続されたワイヤ接続のないモデムであって、例えば、ＧＰＲＳ（General Packet Radio Serviceの略語）、ＧＳＭ（Global System for Mobile
communicationsの略語）又はＵＭＴＳ（Universal Mobile communicationsの略語）タイプのモデムとすることが可能である。
各々のデコーダは、デコーダに含まれるメモリの保護された領域に好ましく記憶される特殊な識別子ＩＤを有している。オペレータによりユーザに供給されるデコーダにおける全ての識別子は又、オペレータのデータベースに記憶される。ユーザが、もはや彼の申し込みに対して支払わないでしかも識別子をもつ彼のデコーダを返さないとき、或いは、識別子ＩＤをもつデコーダが盗まれたことをオペレータが認識したとき、オペレータは、本発明に従って、デコーダに内蔵されたソフトウェアの一部又は全部を破壊する破壊コマンドを送信する。
デコーダのソフトウェアを破壊するための特別なコマンドの送信は、実行することができる２つの可能な経路、即ちリターンパスとブロードキャストパスを経由する経路がある。
【００１８】
　先ず、図２を参照して、リターンパスを用いる実施形態について説明する。この実施形態は、好適には、デコーダとリモートサーバとの間において双方向性の対話を可能にする。
【００１９】
　図２は、デコーダ１とサーバ５において実行された方法の段階と共に、この２つの装置間でやりとりされるコマンドについて示している。
【００２０】
　トリガーイベントが起こる度に、図２の段階１０において表されているように、デコーダは、コマンド“要求状態（ＩＤ）”を送信することにリモートサーバに質問し、その動作状態を確認するために段階１１に送信される。トリガーイベントは、デコーダのスタンバイモードを終了すること、デコーダの電力量を上げること、双方向性ネットワーク４にデコーダのモデムを接続すること、又は通常の間隔（少なくとも１日に１回）において生じる特殊なトリガーイベントとすることが可能である。
【００２１】
　段階１２において、段階１１において送信されたコマンドのパラメータとして送信されたデコーダの識別子ＩＤは、加入者についてのオペレータのデータベースに受信される。次いで、識別子ＩＤをもつデコーダに結びつけられる申し込みが終わっていないかどうかを確認するために、テストが段階１３において実行される。その申し込みが通用する場合、即ち、デコーダ１のユーザが彼の申し込みについて支払いを伴い最新である場合、テスト１３に対する返答は“いいえ”であり、段階１４においてサーバ５はデコーダ１にコマンド“Ｃｍｄ（ＩＤ、アクティブ）”を返す。デコーダは、次いで、段階１５において通常モードの動作になる。
【００２２】
　他方、デコーダ１に結び付けられる申し込みが終わっている場合、又は識別子ＩＤをもつデコーダに関してオペレータにより申し込みの手続きが成されていない場合、テスト１３に対する返答は“はい”であり、段階１６の間に、サーバはデコーダ１にコマンド“Ｃｍｄ（ＩＤ、非アクティブ）”を送信する。デコーダがこのコマンドを受信したとき、デコーダ１は段階１７により表されるその動作の劣化モードになる。この劣化モードにおいて、デコーダに内蔵されたソフトウェアは、以下に説明する実施形態に従って、一部又は全部が破壊される。
【００２３】
　この実施形態が用いられる際には、 “不法コピー”ユーザが彼らのモデムの接続を非常に簡単に非接続にすることによってもこの攻撃を回避することはできないように、好ましくは、コネクションレスモデム（ＧＰＲＳ、ＧＭＳ又はＵＭＴＳタイプ）を備えたデコーダを設けるようにできる、ことに留意されたい。
【００２４】
　高い安全性のために、好ましくは、第１実施形態と並列に用いられるべきである本発明の第２の実施形態は、所謂“ブロードキャスト”パスを一部について用いられる。
【００２５】
　この実施形態の原理に従って、ビデオストリーム及びオーディオストリームを共に用いて、申し込みが終わっておらず、オペレータに戻っておらず、又は申し込みがまだなされていないデコーダに内蔵されたソフトウェアの一部又は全部を破壊するためのコマンドを、オペレータが放送する。
【００２６】
　図３は、この実施形態に従って実行される動作について示したものである。
【００２７】
　オペレータの放送センタ２は、オペレータのデータベースから、ソフトウェアが部分的に又は全部破壊されるべきであるデコーダ全ての識別子ＩＤ１、ＩＤ５、．．．、ＩＤｎを含むメッセージ２０“終了済み（ＩＤ１、ＩＤ５、．．．、ＩＤｎ）”を定期的に受信する。次いで、破壊コマンドが、各々の識別子ＩＤ１、ＩＤ５、．．．、ＩＤｎのために生成され、その後、オペレータのデコーダ全てに、オーディオ／ビデオデータと共に、放送センタ２により放送される。
【００２８】
　図３には、参照符号がそれぞれＩＤ２及びＩＤ５である２つのデコーダを示している。これら２つのデコーダは破壊コマンド２１乃至２６全てを受信し、破壊コマンドのパラメータに含まれる識別子を、デコーダ自身の識別子に一致するかどうかを確認するために、フィルタリングする。
【００２９】
　識別子ＩＤ２をもつデコーダがその識別子から構成される何れの破壊コマンドも受信しないとき、デコーダは動作の通常モード２７を継続する。
【００３０】
　識別子ＩＤ５をもつデコーダがパラメータにＩＤ５を含む破壊コマンド２４を受信するとき、デコーダはそれ自身の識別子を認識し、次いで、動作の劣化モード２８に移行する。
【００３１】
　上述の実施形態の１つに従って後者が破壊コマンドを受信するときのデコーダの機能の劣化を実行する方法については、以下で非常に詳しく説明する。
【００３２】
　本発明の原理に従って、識別子をもつデコーダがパラメータに識別子ＩＤを含む破壊コマンドを受信するとき、検出器は内蔵されたソフトウェアの一部又は全部を消去する。この消去は、デコーダの従来のソフトウェアモジュールに付加され、デコーダに存在するソフトウェアの一部又は全部を消去する機能を有している“消去器”と呼ぶソフトウェアモジュールにより実行される。
【００３３】
　図４には、デコーダの動作方法のフローチャートを示している。デコーダが“スタンバイ”モードにあるとき、開始４０が生じる。このとき、“ブートローダー”モジュール４１が呼び出される。このモジュールの通常のタスクは、デコーダのソフトウェアの完全性を確認することと、ソフトウェアはもはや完全ではない場合に新しいソフトウェアをダウンロードすることである。本発明に従って、ソフトウェアが消去器モジュールにより消去されなかったことを予め確認する新しい機能をデコーダに付加する。
【００３４】
　このように、段階４１０においては、ソフトウェアの少なくとも一部が消去器モジュールにより消去されたかどうかを確認するためのテストが実行される。このテストに対する返答がいいえである場合、存在するソフトウェアの完全性を確認するためにテスト４１１が実行される。後者が完全でない場合、“ブートローダー”モジュールは段階４１２において新しいソフトウェアをダウンロードし、デコーダを適切にオフにすることからなる方法がデコーダの“リセット”（段階４７）を伴って継続する（ソフトウェアモジュールのインテリジェント停止、ＲＡＭメモリのゼロへのリセット、等）。又、デコーダの“リセット”は、スイッチを“スタンバイ”モードにし、この“スタンバイ”モードから自動的に抜けるようにする、ことに留意されたい。
【００３５】
　ソフトウェアが完全であることをテスト４１１が明らかにし、又はソフトウェアの少なくとも一部が消去されたことをテスト４１０が明らかにするとき、デコーダの名目上の動作を可能にするソフトウェアモジュールを呼び出すことにより方法は継続する。
【００３６】
　オーディオ／ビデオ復号化モジュール４２は、オーディオ及びビデオを表すデジタルデータを復号化する機能を有している。アクセス制御モジュール４３は、一方では、ユーザにより得られた権利の機能としての（例えば、ユーザの申し込みの機能としての）プログラムからなるオーディオ／ビデオデータにデコーダがアクセスできるかどうかを確認し、他方では、受信されたプログラムが暗号化される（又は、共通の用語で“暗号化される”）かどうかオーディオ／ビデオデータのスクランブルを解いて確認する機能を有している。特に、プログラムを選択するかデコーダのパラメータを調整するために、ユーザインタフェースモジュール４４は、その一部として、デコーダのメニュによりナビゲートする機能を有している。
【００３７】
　ソフトウェアの一部が消去されたとき、当然、この部分に対応するモジュールは呼び出されないことに留意されたい。
【００３８】
　３つのモジュール４２、４３及び４４は、動作のためにそれらの時間帯を割り当てるリアルタイムの“オペレーティングシステム（ＯＳ）”（図示せず）の管理の下で並列に動作する。
【００３９】
　 又、検出器の名目上の動作の間に、破壊コマンド（図２の段階１６又は図３のコマンド２１乃至２６において送信されるコマンドのような）がデコーダにより受信されたかどうかを確認するために、テスト４５を実行する。これに対する返答がいいえである場合、デコーダの名目上の動作は継続する。
【００４０】
　他方、テスト４５に対する返答がはいである場合、“消去器”ソフトウェアモジュール４６は、デコーダに内蔵されたソフトウェアの一部又は全部を破壊するために呼び出される。この後、この方法はデコーダの“リセット”により継続し（段階４７）、この段階４７は始めの段階４０に一巡して元に戻る。
【００４１】
　消去器４６による内蔵されたソフトウェアの消去は、完全又は漸次的にすることができる。デコーダソフトウェアは、主に次のような４つの部分から構成され、デコーダのフラッシュメモリに記憶される。
−　フラッシュメモリの保護領域、即ち工場においてのみ消去することができる領域に記憶された保護モジュール（例えば、“ブートローダー”モジュール又は“消去器”モジュール）；
−　オーディオ／ビデオ復号化モジュール（例えば、モジュール４２）；
−　アクセス制御モジュール（例えば、モジュール４３）；並びに
−　ユーザインタフェースモジュール（例えば、モジュール４４）
　オーディオ／ビデオ復号化モジュール、アクセス制御モジュール及びユーザインタフェースモジュールは、フラッシュメモリの消去可能及び書き換え可能領域にそれらの一部について記憶される。それらは、図４の段階４１２において実行されるように新しいソフトウェアをダウンロードすることにより実際に更新されることが可能である。
【００４２】
　本発明の原理に従って、消去器モジュールが呼び出されたとき、それは、完全に又は漸次的に、メモリの消去可能部分に記憶されたソフトウェアモジュールを消去する。
【００４３】
　好ましくは、アクセス制御モジュールを消去することから始める。このように、ユーザは、もはや暗号化されたプログラムにアクセスすることはできない。ユーザはプレーンテキストのような送信されたプログラムのみにアクセスすることができる。
【００４４】
　この場合、ユーザがオペレータを用いて新しい申し込みをする場合、ユーザのデコーダの次の破壊についてユーザに情報提供することにより、ユーザへの明示的メッセージの表示を提供する。
【００４５】
　ユーザが申し込みをしなかったと主張するために新しい破壊コマンドが受信される場合、第２にユーザインタフェースモードは消去され、これにより、ユーザは“ホッピング”とメニュによるナビゲーティングのあらゆる可能性を奪う。
【００４６】
　最終的に、オーディオ及びビデオ復号化モジュールは消去され、デコーダは使用不能の状態に置かれる。
【００４７】
　当然、ソフトウェアモジュールは、まさに前述したことから異なる順序で消去される。デコーダに内蔵されたソフトウェアが上述以外のモジュールから構成される場合、それらは漸次的に消去されることが可能である。
【図面の簡単な説明】
【００４８】
【図１】オペレータにより供給されるプログラムを受信し且つ送信するためのアセンブリを示す図である。
【図２】本発明の第１の実施形態について示す図である。
【図３】本発明の第１の実施形態に関連する本発明の第２の実施形態について示す図である。
【図４】本発明に従ったデコーダを動作させるための方法のフロー図である。
【符号の説明】
【００４９】
１　　　デコーダ
２　　　放送センタ
３　　　一方向性放送ネットワーク
４　　　双方向性放送ネットワーク
５　　　サーバ
１０　　トリガーイベントの段階
１１　　動作状態を確認する段階
１２　　加入者についてデータベースにＩＤを受信する段階
１３　　申し込みが終わったかどうかのテストの段階　
１４　　サーバがデコーダにコマンドＣｍｄを送る段階　
１５　　通常動作の段階　
１６　　サーバがデコーダにコマンドＣｍｄを返す段階　
１７　　動作の劣化モードの段階　
２０　　メッセージ
２１　　破壊コマンド
２２　　破壊コマンド
２３　　破壊コマンド
２４　　破壊コマンド
２５　　破壊コマンド
２６　　破壊コマンド
２７　　通常動作モード　
２８　　劣化動作モード　
４０　　開始　
４１　　ブートローダーモジュール　
４２　　Ａ／Ｖ復号化モジュール　
４３　　アクセス制御モジュール　
４４　　ユーザインタフェースモジュール　
４５　　破壊コマンドがデコーダに受信されたかどうか確認するテスト　
４６　　消去器モジュール　
４７　　リセット　
４１０　ソフトウェアが消去されたかどうか確認するテスト　
４１１　ソフトウェアの完全性を確認するテスト　
４１２　新しいソフトウェアのダウンロード　
【図１】
2004135335.tif 000003
【図２】
2004135335.tif 000004
【図３】
2004135335.tif 000005
【図４】
2004135335.tif 000006