способ и система для условного доступа

Формула изобретения

1. Способ предоставления доступа к системе (1), в которой различные услуги распространяют по распределительной сети (4) и в которой пользовательский терминал (3) используют для декодирования этих услуг, отличающийся тем, что доступ предоставляют пользовательскому терминалу (3) посредством виртуальной карты, причем указанную карту загружают по распределительной сети (4) посредством дополнительного потока (18) данных с системного блока (17) и принимают пользовательским терминалом (3).

2. Способ по п.1, отличающийся тем, что поток (18) данных, загружающий виртуальную карту, передает уникальный идентификатор пользователя.

3. Способ по п.1 или 2, отличающийся тем, что поток данных (18), загружающий виртуальную карту, передает те же функции, которые содержатся в традиционной карте (16) условного доступа (УД).

4. Способ по п.1, отличающийся тем, что виртуальную карту сохраняют в памяти (19) пользовательского терминала (3).

5. Способ по п.4, отличающийся тем, что указанную память реализуют в виде флэш-памяти.

6. Способ по п.4, отличающийся тем, что указанную память реализуют в виде памяти с произвольным доступом (RAM).

7. Способ по п.1, отличающийся тем, что указанная загрузка виртуальной карты включает в себя меры для безопасной передачи.

8. Способ по п.7, отличающийся тем, что указанные меры включают в себя шифрование.

9. Способ по п.7 или 8, отличающийся тем, что указанные меры включают в себя требование к пользователю ввести код в пользовательский терминал (3) до приема указанной виртуальной карты.

10. Способ по п.1, отличающийся тем, что указанный системный блок является инжектором (17) виртуальной загрузки для условного доступа (ВЗУД), основной задачей которого является генерация виртуальных карт.

11. Способ по п.1, отличающийся тем, что пользовательский терминал (3) представляет собой компьютерную приставку (3) к телевизору.

12. Способ по п.1, отличающийся тем, что распределительная сеть (4) является сетью цифрового телевидения (ТВ).

13. Способ по п.1, отличающийся тем, что указанные услуги содержат по меньшей мере одну из следующих услуг: ТВ-каналы, ТВ-программы, кино или игры.

14. Способ по п.1, отличающийся тем, что указанную загрузку заказывает пользователь посредством мобильного терминала пользователя, причем серверное устройство (20), подключенное к сети мобильной связи, посылает команду на указанный серверный блок (17) о создании виртуальной карты и отправке ее пользователю.

15. Способ по п.1, отличающийся тем, что указанный дополнительный поток данных содержит уникальный идентификатор указанного пользовательского терминала, посредством которого указанная виртуальная карта может быть загружена только в этот пользовательский терминал.

16. Система, распределяющая различные услуги по распределительной сети (4), в которой пользовательский терминал (3) используется для декодирования этих услуг, отличающаяся тем, что содержит средства предоставления доступа к указанной системе пользовательскому терминалу (3) посредством виртуальной карты, а также средства загрузки виртуальной карты по распределительной сети (4) посредством дополнительного потока (18) данных с системного блока (17) для приема пользовательским терминалом (3).

17. Система по п.16, отличающаяся тем, что системный блок выполнен с возможностью загрузки виртуальной карты посредством потока (18) данных, содержащего уникальный идентификатор пользователя.

18. Система по п.16 или 17, отличающаяся тем, что системный блок выполнен с возможностью загрузки виртуальной карты посредством потока (18) данных, содержащего те же функции, которые содержатся в традиционной карте (16) условного доступа (УД).

19. Система по п.16, отличающаяся тем, что система содержит память (19) в пользовательском терминале (3), в которой хранится виртуальная карта.

20. Система по п.19, отличающаяся тем, что указанная память представляет собой флэш-память.

21. Система по п.19, отличающаяся тем, что указанная память представляет собой память с произвольным доступом (RAM).

22. Система по п.16, отличающаяся тем, что указанные средства загрузки виртуальной карты включают в себя средства для безопасной передачи.

23. Система по п.22, отличающаяся тем, что указанные средства для безопасной передачи содержат аппаратуру шифрования.

24. Система по п.16, отличающаяся тем, что указанный системный блок является инжектором (17) виртуальной загрузки для условного доступа (ВЗУД), основной задачей которого является генерация виртуальных карт УД.

25. Система по п.16, отличающаяся тем, что пользовательский терминал (3) представляет собой компьютерную приставку (3) к телевизору.

26. Система по п.16, отличающаяся тем, что распределительная сеть (4) является сетью цифрового телевидения (ТВ).

27. Система по п.16, отличающаяся тем, что указанные услуги содержат по меньшей мере одну из следующих услуг: ТВ-каналы, ТВ-программы, кино или игры.

28. Система по п.16, отличающаяся тем, что указанный пользовательский терминал имеет уникальный идентификатор и указанный дополнительный поток данных содержит этот уникальный идентификатор, посредством которого указанная виртуальная карта может быть загружена только в данный пользовательский терминал.

Описание изобретения к патенту

Область техники, к которой относится изобретение.

Настоящее изобретение относится к способу и системе для предоставления доступа к системе распределения различных услуг по распределительной сети, в которой пользовательский терминал используется для декодирования этих услуг в соответствии с пунктами формулы изобретения 1 и 15.

Предшествующий уровень техники

У пользователя платной телевизионной системы имеется декодер, включенный между ТВ-отводом и ТВ-приемником пользователя. Основная часть системы транслирует кодированные и некодированные сигналы, принимаемые декодером от ТВ-отвода. Кодированные и некодированные сигналы могут представлять собой аналоговые или цифровые кодированные и некодированные ТВ-программы/каналы, и декодер может дешифровать часть из них или все кодированные сигналы, в зависимости от прав доступа пользователя, а следовательно, и прав доступа декодера, т.e. те каналы/программы, доступ к которым пользователь оплатил.

Современные системы зачастую бывают цифровыми, т.e. система транслирует цифровые сигналы, декодируемые цифровым декодером. Преимуществом цифровых систем перед аналоговыми является возможность передачи существенно большего объема данных, а следовательно, существенно большего числа ТВ-каналов. Большая емкость цифровых систем позволяет также предоставлять дополнительные услуги, в частности интерактивные, например игры и Интернет-серфинг, где пользователь может взаимодействовать с изображением на экране ТВ-приемника по обратному каналу системы.

Общим для аналоговых и цифровых систем платного телевидения является то, что пользователь должен пройти процедуру аутентификации в системе и получить от системы информацию об авторизации для получения доступа к услугам. Такая процедура авторизации в современных системах цифрового ТВ осуществляется посредством так называемых карт условного доступа (УД, СА), содержащих идентификатор пользователя и предоставляющих доступ к выбору программ, к которым пользователь имеет доступ (которые он оплатил). Пользователь вставляет свою УД-карту в декодер, после чего может начать использование декодера. Информация об авторизации, получаемая декодером, может содержать ключ к конкретной услуге, заказанной пользователем, а также индикацию, например, каналов, которые пользователь оплатил и к которым, следовательно, имеет доступ. Если информация об авторизации показывает, что пользователь имеет право смотреть некоторый канал, декодер дешифрует этот канал. Кодированные каналы/услуги декодируются посредством УД-карты, что позволяет открыть доступ только к каналам и услугам, заказанным пользователем.

УД-карта представляет собой так называемую смарт-карту, которую пользователь получает от провайдера услуг. Оперирование такими картами весьма дорого, что представляет существенную проблему для оператора цифрового ТВ. В эту стоимость может входить изготовление и распределение карт, и, кроме того, хранение, администрирование и так далее.

Таким образом, существует потребность в усовершенствованном способе авторизации пользователя системы платного ТВ, в котором вышеупомянутые стоимостные показатели, относящиеся к обработке карт, могли бы быть снижены.

Сущность изобретения

Задачей настоящего изобретения является создание способа авторизации пользователя и предоставления этому пользователю доступа к системе без дорогостоящей обработки карт.

В соответствии с настоящим изобретением эта задача решается введением дополнительного потока данных, передающего на пользовательский терминал виртуальную карту. Этот поток данных, или виртуальная карта, обладает теми же функциями, что и современные УД-карты, включая уникальный идентификатор пользователя. Таким образом, нужда в дорогостоящих физических УД-картах отпадает, и они могут быть полностью удалены из системы.

В соответствии с предпочтительным вариантом осуществления виртуальная карта хранится в памяти декодирующего терминала пользователя. Таким образом, пользовательский терминал больше не нуждается в наличии устройства для чтения карт, что позволяет создавать более простые, а следовательно, более дешевые терминалы.

В соответствии с другим предпочтительным вариантом осуществления упомянутая память представляет собой флэш-память, что дает преимущество сохранения виртуальной карты в памяти даже при отключении пользовательского терминала. В этом случае отсутствует необходимость загрузки виртуальной карты всякий раз, когда пользователь захочет воспользоваться своим терминалом.

Еще один предпочтительный вариант осуществления предполагает использование памяти с произвольным доступом (RAM памяти), что позволяет снизить стоимость терминала еще больше, так как в общем случае RAM память дешевле, чем, например, флэш-память. Недостаток этого подхода заключается в том, что виртуальная карта требует загрузки при каждом включении терминала.

В соответствии с еще одним вариантом осуществления процесс загрузки виртуальной карты содержит средства для более безопасной передачи карты. Таким образом затрудняется мошенничество посредством перехвата отправленных виртуальных карт. В соответствии с предпочтительным вариантом осуществления меры безопасности включают в себя шифрование потока данных. Это широко известный способ затруднения перехвата, и существует выбор из большого числа алгоритмов шифрования. В другом предпочтительном варианте осуществления меры безопасности требуют от пользователя ввода кода на пользовательском терминале перед приемом карты, т.e. перед дешифрованием карты. Этот способ желательно использовать в комбинации с шифрованием, что позволит добиться практически безопасной передачи виртуальных карт.

В соответствии с предпочтительным вариантом осуществления системный блок, генерирующий виртуальные карты, содержит инжектор виртуальной загрузки для условного доступа (ВЗУД, VCD), основной задачей которого является генерация виртуальных карт. Системный блок конструируется таким образом, чтобы его легко можно было адаптировать к множеству различных систем.

В соответствии с предпочтительным вариантом осуществления пользовательский терминал содержит компьютерную приставку для телевизора (set-top-box). Такие приставки уже существуют на рынке и могут быть с успехом использованы в настоящем изобретении.

В соответствии с предпочтительным вариантом осуществления изобретение применяется в цифровой ТВ-сети. Таким образом, предлагается существенно усовершенствованный по сравнению с существующими на текущий момент в цифровых платных ТВ-сетях способ авторизации пользователей.

В соответствии с предпочтительным вариантом осуществления пользовательский терминал содержит уникальный идентификатор, этот уникальный идентификатор содержится также в дополнительном потоке данных. Таким образом, виртуальная карта, предназначенная конкретному пользовательскому терминалу, может быть загружена только в этот пользовательский терминал. Это обеспечивает безопасную передачу виртуальной карты и практически устраняет опасность мошенничества посредством загрузки виртуальной карты в неавторизованный пользовательский терминал.

Настоящее изобретение относится также к такой системе.

Другие преимущества, которые содержатся в различных аспектах изобретения, будут показаны в последующем детальном описании.

Краткое описание чертежей

На Фиг. 1 схематично изображены различные части традиционной системы платного ТВ в соответствии с архитектурой SimulCrypt, определенной цифровым телевизионным вещанием (ЦТВ, DVB).

На Фиг. 2 изображено настоящее изобретение в традиционной системе платного ТВ.

На Фиг. 3 показано, как, в соответствии с настоящим изобретением, виртуальная карта может быть загружена в терминал пользователя.

Детальное описание предпочтительных реализаций

Используемое в описании понятие компьютерная приставка к телевизору (КПТ) (set-top-box (STB)) подразумевает терминал, устанавливаемый у пользователя и имеющий встроенный декодер, преобразующий входящие шифрованные сигналы в формат, пригодный для отображения телевизионным приемником.

Для того, чтобы пояснить использование настоящего изобретения, сначала описаны существенные части существующей системы платного ТВ, в которой применяется изобретение. Хотя настоящее изобретение описано применительно к архитектуре SimulCrypt, которую используют современные УД-системы (системы условного доступа), при наличии соответствующей подготовки легко понять, что это изобретение может быть использовано и в других системах. Архитектура SimulCrypt содержит четыре основных компонента: Систему авторизации абонента (САА, SAS) 14, инжектор 13 сообщений об управлении правами пользования (СУПП, ЕММ) генерирующий информацию авторизации, инжектор 11 контрольных сообщений о предоставлении права пользования (КСППП, ЕСМ), генерирующий сообщения о контрольном слове и, наконец, модуль декодера, устанавливаемый у пользователя. Далее следует краткое описание этих компонентов.

На Фиг. 1 показана традиционная система платного ТВ 1, в которой может быть применен предпочтительный вариант осуществления настоящего изобретения. Система 1 содержит ТВ-приемник 2 и компьютерную приставку 3 к телевизору (КПТ) (set-top-box (STB), подключенную к ТВ-приемнику 2. Далее, КПТ 3 и/или ТВ-приемник 2 подключены к распределительной сети 4, которая может быть наземной распределительной ТВ-сетью, спутниковой распределительной ТВ-сетью, либо кабельной ТВ-сетью. Распределительная сеть 4 в настоящее время зачастую является цифровой, в которой для передачи информации используются стандарты, разработанные цифровым телевизионным вещанием (ЦТВ, DVB). Описываемая система по существу является однонаправленной, в ней отсутствует обратный канал, по которому поставщик мог бы принимать верификационную информацию от клиента, и не существует способа проверить, является ли данный приемник авторизованным. Однонаправленная сеть исключает возможность реализации процедуры установления связи по обратному каналу.

Кроме того, к распределительной сети 4 подключен мультиплексор 5, объединяющий потоки информации 6, 7, 8, 9, 10 для отправки по распределительной сети 4 и контролирующий широковещание потоков информации 6, 7, 8, 9, 10. Потоки информации 6, 7, 8, 9, 10 содержат частично ТВ-каналы и ТВ-программы 6, распространяемые по распределительной сети 4, частично радио и другую аудиоинформацию (например, звук ТВ-программ) 7, частично, например, игры и другую информацию 8, такую, как, например, информацию о ставках, телетекст и субтитры, а частично служебную информацию 9, 10, которая детально описана ниже.

Каждый провайдер услуг платного ТВ имеет свою собственную систему платного ТВ, и для обеспечения возможности совместного функционирования нескольких систем платного ТВ в одной распределительной сети был разработан стандарт, получивший название SimulCrypt, позволяющий осуществлять широковещание служебной информации нескольких провайдеров услуг в общей распределительной сети.

Первый поток контрольной информации 9 содержит сообщения о контрольных словах, КСППП сообщения (контрольные сообщения о предоставлении права пользования) 9, генерируемые в инжекторе КСППП 11. КСППП сообщения 9 содержат информацию (например, ключи), позволяющую дешифровать различные программы (например, ТВ-каналы). Конкретное КСППП сообщение 9 может передаваться с высокой частотой, например, несколько раз в секунду, чтобы пользователь мог его принять немедленно по включении ТВ-приемника. Модуль безопасности 12 в приставке КПТ 3 считывает КСППП сообщения 9 и СУПП сообщения 10 с целью приема информации об авторизации и ключей для дешифрования различных программ. Модуль безопасности 12 может быть интегрирован в КПТ 3 или представлять собой отдельный модуль, устанавливаемый в КПТ 3. В настоящее время идентификатор пользователя хранится на смарт-карте, так называемой УД-карте, которую пользователь должен каким-либо образом получить у оператора и установить в КПТ 3, при этом карта подключается к модулю безопасности 12 посредством устройства для считывания карт. Информация об авторизации, используемая в определенной КПТ 3, извлекается из одного или нескольких СУПП сообщений 10 (сообщений об управлении правами пользования), представляющих собой второй поток контрольной информации 10 и используемых для передачи информации об авторизации пользователя в КПТ. СУПП сообщения 10 генерируются инжектором 13 СУПП и содержат информацию об идентификации приемника и об услугах, которые приемник должен дешифровать. Модуль безопасности 12 в КПТ 3 считывает СУПП сообщения 10, чтобы определить, что именно приставка КПТ 3 должна дешифровать и сделать доступным пользователю, после чего использует КСППП сообщения 9 как дешифрующие ключи для дешифрования выбранных услуг.

Права доступа, которые должен получить пользователь, т.e. какие СУПП сообщения 10 должны быть отправлены в пользовательскую КПТ 3, определяются системой авторизации абонента (САА, SAS) 14, системой, работающей под управлением системы управления абонентами (СУА, SMS) 15. СУА 15 является системой, управляющей информацией о пользователях и отправляющей запросы на активацию услуг САА 14, которая, в свою очередь, транслирует информацию, полученную от СУА 15 в СУПП сообщения 10 и контролирует их содержание, чтобы установленный в пользовательском терминале модуль безопасности 12 получал корректную информацию об авторизации для декодирования нужных услуг. СУА 15 в большей или меньшей степени уникальна для каждого провайдера услуг, и может быть сконструирована таким образом, чтобы оператор мог вручную вводить информацию о том, какие пользователи к каким услугам получают доступ.

Как было указано ранее, эксплуатация УД-карт 16 обходится оператору цифрового ТВ весьма недешево. В соответствии с настоящим изобретением такие карты могут быть удалены из системы, что детально описано далее со ссылкой на Фиг. 2.

Вместо предоставления физических УД-карт 16 каждому пользователю оператор цифрового ТВ может включить в систему специальный системный узел, инжектор 17 виртуальной загрузки для условного доступа (ВЗУД, VCD), задачей которого является создание виртуальных УД-карт. Такие виртуальные УД-карты содержат ту же информацию и выполняют те же функции, что и современные физические УД-карты. При добавлении нового пользователя создается новая виртуальная УД-карта, которая помещается в так называемую карусель, представляющую собой циркулярный список элементов, содержащих программные коды различных виртуальных УД-карт. Эти элементы содержатся в списке в течение заданного периода времени, после чего удаляются. Указанный период времени должен соответствовать времени, необходимому КПТ 3 для загрузки виртуальной УД-карты.

Как было указано выше, для данного изобретения не важно, какая именно УД-система используется; основной частью изобретения является ВЗУД инжектор 17, главной задачей которого является генерация виртуальных УД-карт. Это устройство может быть легко адаптировано к различным системам.

Если новый пользователь захочет в первый раз использовать свою КПТ 3, она должна быть инициирована, что осуществляется посредством загрузки виртуальной УД-карты в пользовательскую КПТ 3. Загрузка виртуальной УД-карты выполняется посредством дополнительного потока данных 13, получившего название потока 18 данных виртуальной загрузки для условного доступа (ВЗУД, VCD), передаваемого пользователю по распределительной сети совместно с другой информацией, транслируемой оператором. Данный поток 18 данных ВЗУД содержит все функции, что и современные традиционные УД-карты, а кроме всего прочего, идентификатор пользователя.

Информация, транслируемая оператором цифрового ТВ, принимается большим количеством КПТ. Одной из функций КПТ 3 является определение, должна ли полученная информация быть декодирована, или нет, т.e. авторизован ли пользователь для доступа к конкретной информации, как было пояснено выше. Данная КПТ 3 прослушивает поток информации, который теперь содержит дополнительный поток 18 данных ВЗУД, и принимает виртуальную УД-карту, предназначенную данной конкретной КПТ 3. Принятая виртуальная карта сохраняется в памяти 19 КПТ 3, желательно во флэш-памяти. Преимуществом сохранения во флэш-памяти является то, что виртуальная УД-карта остается в памяти даже при выключении КПТ 3. В качестве альтернативы можно использовать обычную оперативную память произвольного доступа (ОППД, RAM), но это потребует загрузки виртуальной УД-карты при каждом включении КПТ 3, что может быть воспринято пользователем как лишняя задержка.

Во избежание перехвата и загрузки потока 18 данных ВЗУД неавторизованным пользователем можно применить различные способы его защиты. Одним из способов затруднить работу потенциальному перехватчику является шифрование информации с генерацией ключа для шифрования и дешифрования, например, базирующегося на идентификаторе КПТ 3 и идентификаторе пользователя. Существует множество способов шифрования информации и широкий выбор алгоритмов шифрования, однако, это не является существенным для данного изобретения, и далее рассматриваться не будет.

Кроме того, пользователь может вводить код непосредственно на своей КПТ 3, что позволит еще более повысить уровень безопасности.

В соответствии с предпочтительным вариантом осуществления пользовательский терминал содержит уникальный идентификатор. Например, в качестве уникального идентификатора КПТ 3 может быть использован серийный номер процессора КПТ 3. Другими словами, все оборудование однозначно идентифицируемо. Дополнительный поток 18 данных ВЗУД содержит, кроме всего прочего, эти уникальные идентификаторы. Поэтому виртуальная карта, предназначенная определенному пользователю, может быть загружена только в определенный пользовательский терминал. Это обеспечивает безопасный способ передачи виртуальной карты, и затрудняет или полностью предотвращает мошенничество посредством загрузки на неавторизованные пользовательские терминалы.

В соответствии с вариантом осуществления, показанным на Фиг. 3, пользователь, желающий загрузить виртуальную карту в дополнительную КПТ 3, может сделать это посредством своего мобильного терминала. Используя специальное серверное устройство 20, описанное в заявке на патент Швеции (0103546-8, поданной 2001-10-24, тем же заявителем), пользователь может создать временное соединение между своим мобильным терминалом и дополнительной КПТ 3 в системе 1. В соответствии с настоящим изобретением серверное устройство 20 предоставляет пользователю возможность загрузить виртуальную УД-карту посредством своего мобильного телефона. Данное серверное устройство 20 выполняет задачу открытия параллельного способа создания СУПП сообщений 10 через САА 14 и создания с помощью инжектора 17 ВЗУД виртуальных УД-карт для данной КПТ 3, которые, в конечном счете, предоставляют авторизацию данной КПТ 3 для декодирования определенной услуги (например, ТВ-канала). Такая авторизация может быть временной, СУПП сообщение может быть действительно, например, только для одной услуги (например, ТВ-программы). Кроме того, серверное устройство обеспечивает тарификацию этих услуг. Пользователь, желающий загрузить виртуальную УД-карту, чтобы иметь в дальнейшем возможность заказать услугу, связывается с серверным устройством 20 со своего мобильного терминала и идентифицируется через сеть мобильной связи. В этом случае, например, сначала пользователь идентифицирует себя посредством введения PIN-кода персонального идентификационного номера (ПИН), соответствующего его SIM-карте (модулю идентификации абонента) при активации мобильного терминала, после чего SIM-карта идентифицирует себя в сети мобильной связи посредством номера IMSI (Международного идентификатора мобильного абонента) SIM-карты. Таким образом, сеть мобильной связи однозначно определяет пользователя, а уникальный идентификатор пользователя, например, в виде телефонного номера пользователя, направляется совместно с запросом на установление связи серверному устройству 20, которое в дальнейшем использует эту информацию как основание для идентификации и тарификации.

При установлении связи с серверным устройством 20 пользователь сообщает о желании получить виртуальную УД-карту, после чего передает идентификатор КПТ 3, в которую он/она хочет получить виртуальную УД-карту. Далее серверное устройство 20 отправляет на инжектор 17 ВЗУД информацию о пользователе и КПТ 3, в которую следует отправить виртуальную УД-карту. В дальнейшем серверное устройство 20 может отправить код на инжектор 17 ВЗУД, в этом случае тот же код соответственно отправляется пользователю по сети мобильной связи. Инжектор 17 ВЗУД транслирует информацию с серверного устройства 20 на виртуальную карту и отправляет шифрованный поток 18 данных ВЗУД, принимаемый соответствующей КПТ 3, как было пояснено выше. Код, принимаемый пользователем по сети мобильной связи, вводится пользователем в КПТ 3 (например, посредством пульта дистанционного управления) и сравнивается с кодом, полученным КПТ 3 от инжектора 17 ВЗУД. В случае соответствия кодов виртуальная УД-карта может быть дешифрована, и КПТ 3 может начать дешифрование защищенных УД-услуг. Таким образом, обеспечивается практически безопасный способ передачи УД-карты.

Безусловно, возможен заказ виртуальной УД-карты и другим способом, например, посредством телефонного звонка оператору или письмом.