(57)【特許請求の範囲】
【請求項１】
時間の検証のシステムであって、
送信手段と、端末（１）と、許可デバイス（６）とを備え、
前記送信手段は、いくつかの搬送周波数（ａ〜ｅ）で前記端末へタイム・スタンプを送信するものであり、
前記端末は、前記送信手段により前記端末へ送信される前記搬送周波数（ａ〜ｅ）の１つのものへ同調する同調手段を備え、
前記許可デバイスは、ユーザによる前記端末の使用を許可するものであり、前記端末と通信することが可能であり、且つ、前記送信手段により前記端末へ送信される前記搬送周波数から、タイム・スタンプを取り出すために前記端末により使用される搬送周波数を選択する選択手段を備える、
システム。
【請求項２】
請求項１に記載のシステムであって、前記タイム・スタンプが、前記端末（１）が同時に同調できる搬送周波数の数を上回るいくつかの異なる搬送周波数（ａ〜ｅ）で送信される、システム。
【請求項３】
請求項１または２に記載のシステムであって、前記送信手段により送信されるそれぞれのタイム・スタンプが、前記端末へ前記タイム・スタンプを送信する前記搬送周波数を特定するためのフィールド（３３）と、日付を表すフィールド（３１）と、時刻を表すフィールド（３２）と、暗号化された署名（３４）とを備える、システム。
【請求項４】
請求項１ないし３の何れかに記載のシステムであって、前記許可デバイス（６）が、タイム・スタンプを取り出すために同調する搬送周波数をランダムに選択する手段（８）を備える、システム。
【請求項５】
請求項１ないし４の何れかに記載のシステムであって、リアルタイム・クロック（９）と、タイム・スタンプから取り出された前記時刻（３２）に前記リアルタイム・クロック（９）を設定する手段とを更に備えるシステム。
【請求項６】
請求項５に記載のシステムであって、更なるタイム・スタンプを繰り返し取り出し、取り出した前記タイム・スタンプのうちの少なくとも１つの前記タイム・スタンプから取り出した前記時刻（３２）と、前記リアルタイム・クロック（９）による時刻との比較を行うための手段を備えるシステム。
【請求項７】
請求項１ないし６の何れかに記載のシステムであって、指定された時間間隔の間、前記端末（１）の使用を許可するための手段（１０）を備えるシステム。
【請求項８】
請求項１ないし７の何れかに記載のシステムであって、前記タイム・スタンプへ情報を追加し、前記情報と前記タイム・スタンプとを、搬送周波数を有する変調された信号の少なくとも１つへ挿入する手段を備える請求項１ないし７の何れかに記載のシステム。
【請求項９】
許可デバイス（６）であって、請求項１ないし８の何れかに記載のシステムにおけるタイム・スタンプを取り出すために同調する搬送周波数を選択するための選択手段を備える許可デバイス（６）。
【請求項１０】
請求項１ないし８の何れかに記載のシステムにおける端末（６）をユーザが使用することを許可する許可デバイス（６）としてプログラマブル・デバイスを動作させるように、前記プログラマブル・デバイスへロードするためのコンピュータ・プログラムであって、
前記コンピュータ・プログラムは前記プログラマブル・デバイスにより実行されて、前記プログラマブル・デバイスが
前記送信手段により前記端末へ送信される前記搬送周波数から搬送周波数を選択するステップと、
選択された前記搬送周波数を前記端末へ送るステップであって、選択された前記搬送周波数は、タイム・スタンプを取り出すために前記端末により使用されるものである、ステップと
を行うようにされる、
コンピュータ・プログラム。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、いくつかの異なる搬送周波数に同調するための手段を備えた端末と、その端末と通信することができる許可デバイス、例えば、スマート・カードと、搬送周波数を有する変調された信号を使用して端末へタイム・スタンプを送る手段とを備える時刻検証（time validation）のためのシステムに関する。また、本発明は、そのようなシステムにおける端末および許可デバイスにも関する。更に、本発明は、そのようなシステムにおける許可デバイスとして使用するため、プログラマブル・デバイス、例えば、スマートカードにロードするためのコンピュータ・プログラムに関する。
【０００２】
【従来の技術】
そのようなシステムにおける端末のユーザが、特定の時刻においてだけその端末を使用する権利を有する場合、端末における現在時刻の表示を検証して、現在時刻が、そのような特定の時刻であるかどうかを確認しなければならない。いくつかのシステムは、タイム・スタンプだけを使用して時刻を保つ。他のシステムは、時刻を保つために、端末にクロックを備えることが可能である。クロックおよびタイム・スタンプによる時刻は、その２つの値を互いに対して検査することによって検証することができる。
【０００３】
【発明が解決しようとする課題】
ただし、時刻検証のための既存のシステムは、一般に、信頼のおけるものではない。そのようなシステムの複雑さおよび費用を低く抑えるため、通常、許可デバイスだけを不正解析に対して安全にしている。端末は、通常、標準のタイプのものであり、ハッキングに耐えるように作られていない。端末のクロックを、異なる時刻に設定することや、場合によっては、減速または加速することが可能である。端末へ送られるタイム・スタンプを記録し、後に「スプーフィング」攻撃において再生することができる。
【０００４】
本発明は、従来の欠点を解決した時刻検証を目的とする。
【０００５】
【課題を解決するための手段】
時刻（時間）を信頼のおけるように検証（確認）するシステムを得るため、本発明によるシステムは、許可デバイスが、タイム・スタンプを取り出すために同調（チューン）する搬送周波数を選択する手段を含むことを特徴とする。即ち、事前にどの搬送周波数で送るかを知らなければならないため、偽のタイム・スタンプを端末へ提供することが不可能である。その知識は、安全である許可デバイスからのみ獲得することができる。
【０００６】
本発明によるシステムの好ましい実施形態では、タイム・スタンプが、端末が同時に同調できる搬送周波数の数を上回るいくつかの異なる搬送周波数で送られる。これにより、いくつかの異なる搬送周波数で偽のタイム・スタンプを送ることが実行不可能になる。
【０００７】
本発明によるシステムの別の好ましい実施形態では、各タイム・スタンプが、搬送周波数を特定するフィールドと、日付を表すフィールドと、時刻を表すフィールドと、暗号化された署名とを備える。この署名は、真正のタイム・スタンプが端末へ送られたことをスマートカードが確認するための、更なる方法を提供する。
【０００８】
本発明によるシステムの有利な実施形態では、許可デバイスが、タイム・スタンプを取り出すために同調する搬送周波数をランダムに選択する手段を備える。即ち、タイム・スタンプを取り出すのにどの搬送周波数が選択されるかを事前に予測することは、理論上でも可能ではない。
【０００９】
【発明の実施の形態】
本発明を添付の図面を参照して更に詳細に説明する。
図１のもののような有料ＴＶシステムが、信頼のおける時刻検証の必要とされるシステムの典型的な例である。各加入者が、放送された信号を受信するための端末１を有する。端末１は、汎用であること、即ち、いくつかの異なる有料ＴＶシステムにおける使用に適していることが可能である。端末１の所有者は、端末１を変更することなく、自らのサブスクリブション（契約）を変更すること、またはいくつかのサービスを契約することができる。この場合、加入した有料ＴＶシステムにおいて端末１の使用を許可するための何らかの手段が、放送機関によって所有者に提供され、例えば、端末１へ入れるコードやスマートカードが提供される。また、端末１が、放送業者に特有であることも可能である。この場合、端末は、一般に、加入（契約）の一環として提供される。それでも、放送業者によって使用される特定の有料ＴＶシステムによっては、端末１でスマートカードを使用するのが必要である可能性がある。
【００１０】
図１の端末１は、衛星パラボラ・アンテナ２に接続されている。端末１を使用して、搬送周波数に同調し、この周波数で伝送される情報をＴＶ（テレビ）３で利用可能にする。情報は、衛星６を介して放送局４から受信器へ放送される。放送局４は、いくつかの異なる周波数で情報を放送する。放送局４は、デジタル形式またはアナログ形式で情報を端末１へ放送することができる。信号の内容が非加入者からアクセス可能になるのを防止するために、信号を圧縮したり、暗号化したりすることが可能である。
【００１１】
図１は、衛星通信を使用する有料ＴＶシステムを示しているが、本発明は、衛星を介する放送に限定されない。他の有料ＴＶシステムは、光ファイバ・ケーブルまたは導電ケーブルのネットワークを使用する。また、信号を伝送およびピックアップするためにアンテナを使用する地上放送の有料ＴＶシステムでも、本発明を役立てることができる。更に、例えば、ビデオまたはＤＶＤからの記録された信号をチューナに再生することができる。この場合、ビデオ信号が、放送局４と見なすことができる再生デバイス、例えば、ビデオ・レコーダによって使用され、搬送周波数を有する変調された信号が生成される。各場合において、端末１は、搬送周波数に同調し、伝送された情報を取り出すための手段を備えるか、またはその手段に接続されている。
【００１２】
端末１を有するが加入していない誰かが情報を受信するのを防止するため、放送業者は、図１のスマートカードのような許可デバイス６を発行する。また、スマートカードに類似するデバイス、例えば、トランスポンダ・キーを使用することも可能である。前述したとおり、端末１へ伝送される情報を伝送前に暗号化または圧縮することができる。この場合、許可デバイス６は、端末１による圧縮解除または暗号解読を可能にするためのキーを含むことが可能である。また、暗号化、圧縮、およびスクランブリングの組み合わせも構想することができ、その場合、許可デバイス６および端末１は、いくつかのプロセスを行って放送情報をユーザが利用できるようにしなければならない。
【００１３】
システムの様々な構成要素をより詳細に説明するため、図２を参照する。この場合、端末１が、搬送周波数に同調するための手段７、７’を備える。示した実施形態では、端末１は、任意の一時点で２つの異なる周波数に同調することができる。このことが２つの手段７、７’によって表されているが、２つの手段７、７’は、１つの単一同調回路のサブ回路であることも可能である。放送局４が、１つまたは複数の搬送周波数ａ〜ｅで端末１へ情報を放送する。この場合も、どのように伝送が実現されるかは、定義された搬送周波数で変調された信号を生成するように信号が使用される限り、重要ではない。
【００１４】
タイム・スタンプが、ユーザの関心のある情報とともに伝送される。即ち、情報は、端末１のユーザに利用可能とされた時間（時刻）にリンクされている。これにより、情報へのアクセスを特定の時間期間に制限することが可能になる。更に、信号を記録して、後の時点で再生することが防止される。端末１はタイム・スタンプを取り出さなければならず、このタイム・スタンプもまた、複数の利用可能な搬送周波数ａ〜ｅの１つにより特徴付けされる１つまたは複数の変調された信号に含まれる。以下に説明するとおり、許可された端末１だけがタイム・スタンプを取り出すための正しい時点で正しい搬送周波数に同調できる、ということにより、時刻関連アクセス制御が提供される。
【００１５】
図２の例における端末１は、２つの異なる搬送周波数に同時に同調することができるので、少なくとも３つの異なる搬送周波数を使用してタイム・スタンプを分配することが有利である。タイム・スタンプが、すべての搬送周波数で同時に伝送されるのではなく、異なる搬送周波数を使用して伝送される場合、端末同調手段７、７’が、搬送周波数ａ〜ｅの間で繰り返して切替えを行うことが必要となる。
【００１６】
端末１に接続された許可デバイス６は、関連するメモリを有するマイクロ・コントローラ８を備え、マイクロ・コントローラ８が、タイム・スタンプを取り出すために同調する周波数を選択する。許可デバイス６は、周波数を選択するための規則が与えられている。これらの規則は秘密に保たれる。また、デバイス６に乱数発生器を備え、搬送周波数ａ〜ｅのどれが次に選択されるかを推測するのを理論上不可能にすることも可能である。
【００１７】
端末１、または、場合によっては許可デバイス６が、リアルタイム・クロック９を備える。このクロック９は、放送業者がタイム・スタンプに関して使用するのと同じ形式および同じ基準時刻を使用して時刻を維持する。最初に取り出されたタイム・スタンプを使用して、正しい時刻でクロック９をスタートさせる。リアルタイム・クロック９の目的は、端末１のユーザが、特定の時刻に、または特定の時間間隔中にアクセスできるようにすることである。これは、放送業者によって設定された加入（契約）の条件に依存する。リアルタイム・クロック９による時刻が、アクセスの許可される時刻に照らして確認される。このようにして、ＴＶ番組を一回だけ見るための支払いを行った人は、信号を記録して後の時点で再生することができない。
【００１８】
リアルタイム・クロック９が、設定された後に不正に変更されないようにするため、リアルタイム・クロック９を定期的に検査することが有利である。これは、更に取り出されるタイム・スタンプを使用して容易に行うことができる。この場合、これらのタイム・スタンプによる時刻をリアルタイム・クロック９による時刻と比較する。時間の差が、特定の時間ウインドウの範囲を外れる場合、端末１をディスエーブル（不能）にする。時間ウインドウは、比較における誤差、ならびに信号の処理および伝送に起因するあらゆる不可避の時間遅れを見込んでいる。リアルタイム・クロック９による時刻の検証により、記録された信号を再び見るために視聴者がクロック９を戻すということができなくなる。
【００１９】
ユーザが、搬送周波数を有する１つまたは複数の変調された信号に含まれる情報にアクセスするのを望む通常の場合に、端末１は、端末の使用を許可するための手段１０を備え、手段１０が、許可されたユーザに情報を選択的に提供する。これらの手段１０は、原則として、関連するメモリを有するマイクロ・コントローラの形態である。
【００２０】
情報に対する選択的アクセスが、特定のシステムに応じて、これらの手段１０によって様々な方法で提供されることが可能である。簡単な実施形態では、ユーザに許可がない場合、端末が完全にシャットダウン（停止）され、ユーザが許可されている場合、端末に電源が投入される。別法では、ユーザ許可プロセスの結果に応じて、特定のチャネルに対するアクセスを阻止または解放することが可能である。別の代替策として、基地局４からの情報に対して暗号化、符号化、またはスクランブルを行うことができる。この場合、端末の使用を許可するための手段１０は、情報へユーザがアクセスすることを許可されていると判定された場合に、その情報の暗号解読、復号化、またはスクランブル解除を行うためのモジュールを備える。
【００２１】
図２の例では、端末の使用を許可するための手段１０が、許可デバイス６に記憶されたキーを使用する暗号解読器１１を備える。端末１の使用をディスエーブルにすべきであると許可デバイス６が判定した場合、暗号解読が停止される。これは、使用のために許された時間間隔が経過したときや、システムに不正変更が加えられたときに行なわれる。
【００２２】
情報を暗号解読するためのキーを頻繁に変更するのが有利である。これは、新しいキーを暗号化した形態で送信することによって行なうことができる。キーの暗号解読を行うための手段が、資格管理メッセージによって提供され、より長い間隔でユーザに提供される。資格管理メッセージは、ある期間中、有効であることが可能である。従って、情報にタイム・スタンプを付けて特定の期間中だけその情報がアクセス可能であるようにするのと全く同様に、資格管理メッセージにタイム・スタンプを付けて、特定の期間中だけそのメッセージが使用可能であるということを確実にするのが有利である。本発明の実施形態は、例えば、資格管理メッセージをタイム・スタンプに付加することにより、またはこのメッセージをタイム・スタンプの付いた放送情報とともに送信することにより、容易にこの特徴を備えることが可能である。
【００２３】
図２に示す端末１は、２つの搬送周波数に同時に同調することができる。これを有利に使用することができる。手段７、７’のどちらかを使用して、タイム・スタンプを取り出す搬送周波数に同調し、一方、もう１つを情報が伝送される搬送周波数に同調することができる。これにより、タイム・スタンプが、情報と同じ搬送周波数で放送されない場合に、接続されたデバイス３に対する信号の配送の中断が防止される。別法では、または更には、端末１は、タイム・スタンプを取り出すために必要な短い期間中に視聴が中断されるのを防止するために、暗号解読の前に復調された信号を記憶するための何らかの種類の記憶手段１２を有することが可能である。
【００２４】
図３は、４つのフィールドを有するタイム・スタンプの例を示している。１つのデータ・フィールドがデータ３１を含み、別のフィールドが時刻３２を含む。もちろん、これら２つのフィールドは、１つに結合することも可能である。第３のデータ・フィールドが、搬送波識別情報３３、即ち、この特定のタイム・スタンプを伝送するのにどの搬送周波数が使用されるかの指示を含む。タイム・スタンプの最後のフィールドは、暗号化された署名３４である。署名は、各搬送周波数ごとに特有である。暗号化された署名３４の暗号解読により、署名の中のその他のデータ３１、３２、３３のどれか、またはすべてに関する情報が与えられる。これは、システムの信頼性を更に高めるための、偽のタイム・スタンプに対する保護策である。資格メッセージがタイム・スタンプに含められる場合、メッセージは、図３に示していないタイム・スタンプの中の更なるフィールドに含まれることが可能である。
【００２５】
前述した重要な態様をまとめると、図４が、システムによって実行される時刻検証のプロセスの例を示している。端末１のスイッチがオンにされた後、許可デバイス６が、タイム・スタンプを取り出すために同調する搬送周波数を選択する。理想的には、これは、乱数発生器を使用して行なわれる。タイム・スタンプの要求（タイム・スタンプ・リクエスト）が、そのタイム・スタンプを取り出すために同調される搬送周波数とともに端末１へ送信される。許可デバイス６は、要求した周波数を把握しておき、取り出されたタイム・スタンプに含まれる搬送波識別情報３３および暗号化された署名３４に照らして検査できるようにする。これらは、もちろん、許可デバイス６が真正である場合には、一致しなければならない。
【００２６】
端末１が、タイム・スタンプの要求、およびタイム・スタンプを取り出すのに使用する関係のある搬送周波数を受信する。同調手段７、７’のどちらかが、その搬送周波数に同調し、タイム・スタンプが取り出される。タイム・スタンプは、許可デバイス６へ直接に送信されるか、または、許可デバイス６によって供給されるキーを使用して署名が最初に端末１で暗号解読される。どちらにしても、暗号解読された署名３４は、タイム・スタンプが要求された搬送周波数を有する信号から実際に取り出されたことを証明する。次に、時刻３２をタイム・スタンプから取り出すことができる。
【００２７】
これが最初に取り出されたタイム・スタンプである場合、このタイム・スタンプを使用してリアルタイム・クロック９を開始する。次に、プロセス全体を繰り返して、第２のタイム・スタンプを取り出すことができる。最初に取り出されるタイム・スタンプではない任意のタイム・スタンプを使用して、時刻を検証すること、即ち、リアルタイム・クロック９がなおも正しい時刻に設定されているのを確認することができる。リアルタイム・クロック９による時刻と最新のタイム・スタンプによる時刻との差の大きさを判定する。この大きさが、特定の許容可能なウインドウ（範囲）より小さい場合には、時刻は正しい。その時点において情報を受信することが端末１のユーザに許可されているという条件で、受信された信号を暗号解読器１１で暗号解読し、端末１に接続されたデバイス、例えば、ＴＶ３へ渡すことができる。ある時間遅延の後、時刻検証のプロセスを再び繰り返す。
【００２８】
本発明は、例として提示する前述した実施形態に限定されないことは、明白である。本発明は、特許請求の範囲内で変更可能である。即ち、搬送周波数を有する変調された信号の使用を許すすべての通信方法を、本発明によるシステムにおいて使用することができる。また、タイム・スタンプとともに情報が伝送されるかどうかや、伝送される場合、どのような種類の情報が伝送されるかも、重要ではない。
【図面の簡単な説明】
【図１】図１は、本発明によるシステムの特徴を備えた有料ＴＶシステムの例を示す図である。
【図２】図２は、本発明によるシステムの実施形態を示す概略図である。
【図３】図３は、タイム・スタンプの例を示す図である。
【図４】図４は、本発明によるシステムにおいて実行されるプロセスを示す流れ図である。
【図１】
0004216534.tif 000002
【図２】
0004216534.tif 000003
【図３】
0004216534.tif 000004
【図４】
0004216534.tif 000005