декодер и система для обработки данных платного телевидения и способ управления двумя и более декодерами

Формула изобретения

1. Декодер для обработки данных платного телевидения, взаимосвязанный с, по меньшей мере, одним съемным модулем защиты посредством обмена идентификационных данных, содержащихся в указанном декодере и съемном модуле защиты, причем декодер содержит модуль дешифратора, отличающийся тем, что дополнительно содержит средства для деактивации обработки данных платного телевидения и счетчик, воздействующий на указанные средства деактивации в соответствии со значением счетчика.

2. Декодер по п.1, отличающийся тем, что дополнительно содержит, по меньшей мере, один элемент памяти, содержащий специфические идентификационные данные съемного модуля защиты, отличного от съемного модуля защиты, с которым связан декодер, и средства сравнения специфических идентификационных данных, сохраненных в памяти, с идентификационными данными съемного модуля защиты, содержащегося в декодере, причем инициализация счетчика производится средствами сравнения идентификационных данных.

3. Декодер по п.1, отличающийся тем, что дополнительно выполнен с возможностью сохранения параметра деактивации и содержит средства сравнения данного параметра деактивации со значением указанного счетчика.

4. Декодер по п.3, отличающийся тем, что параметр деактивации представляет собой срок действия, дату или числовое значение.

5. Декодер по п.1, отличающийся тем, что содержит средства приема команды, воздействующей на значение указанного счетчика.

6. Декодер по п.5, отличающийся тем, что он локально соединен со съемным модулем защиты, причем средства приема команды осуществляют прием команды, воздействующей на значение указанного счетчика, от съемного модуля защиты.

7. Система управления данными платного телевидения, содержащая, по меньшей мере, два декодера, каждый из которых взаимосвязан с, по меньшей мере, одним съемным модулем защиты посредством обмена идентификационных данных, содержащихся в указанном декодере и указанном съемном модуле защиты, причем каждый из декодеров содержит модуль дешифратора и средства деактивации обработки данных платного телевидения, отличающаяся тем, что каждый декодер дополнительно содержит счетчик, воздействующий на указанные средства деактивации, причем, по меньшей мере, один из съемных модулей защиты назначен ведущим модулем защиты и содержит средства реинициализации указанных счетчиков декодеров.

8. Система по п.7, отличающаяся тем, что каждый из декодеров содержит элемент памяти, содержащий идентификационные данные, относящиеся к ведущему модулю защиты, и средства сравнения идентификационных данных, сохраненных в памяти, с идентификационными данными съемного модуля защиты, содержащегося в декодере, причем инициализация счетчика каждого из декодеров производится средствами сравнения указанных идентификационных данных.

9. Система по п.7, отличающаяся тем, что только съемный модуль защиты, назначенный ведущим модулем защиты, содержит средства реинициализации указанных счетчиков.

10. Система по п.7, отличающаяся тем, что содержит дополнительный относительно числа декодеров съемный модуль защиты, причем данный дополнительный съемный модуль защиты назначен ведущим модулем защиты и содержит средства реинициализации указанных счетчиков декодеров.

11. Способ управления, по меньшей мере, двумя декодерами для обработки данных платного телевидения, каждый из которых приписан подписчику и содержит средства деактивации обработки данных платного телевидения и счетчик, воздействующий на указанные средства деактивации, причем каждый подписчик имеет, по меньшей мере, два съемных модуля защиты, которые могут быть локально подключены к, по меньшей мере, одному декодеру, причем способ включает следующие этапы:

определяют, по меньшей мере, один ведущий модуль защиты из съемных модулей защиты, принадлежащих подписчику,

сохраняют идентификационные данные ведущего модуля защиты в каждом из декодеров подписчика,

деактивируют обрабатывающий данные декодер при помощи счетчика и в соответствии с, по меньшей мере, одним заранее определенным критерием,

осуществляют реинициализацию счетчика посредством введения ведущего модуля защиты в деактивированный декодер.

12. Способ по п.11, отличающийся тем, что включает этап проверки соответствия идентификационных данных ведущего модуля защиты.

13. Способ по п.12, отличающийся тем, что этап проверки соответствия идентификационных данных ведущего модуля защиты включает этап аутентификации уникального идентификационного номера ведущего модуля защиты при помощи ключа, связывающего данный ведущий модуль защиты с реактивируемым декодером.

14. Способ по п.11, отличающийся тем, что деактивацию обработки данных дополнительно производят путем посылки сообщения, по меньшей мере, одному из декодеров подписчика, причем посылка данного сообщения производится центром управления.

15. Способ по п.11, отличающийся тем, что реинициализацию счетчика производят с использованием значения параметра деактивации, сохраненного в каждом декодере.

16. Способ по п.15, отличающийся тем, что указанное значение параметра деактивации передают декодерам при помощи, по меньшей мере, одного сообщения управления полномочиями EMM.

17. Способ по п.11, отличающийся тем что декодер подключен к ведомому модулю защиты, у которого отсутствуют полномочия на реинициализацию счетчика указанного декодера, причем способ включает следующие этапы:

сохраняют операции по обработке данных платного телевидения в декодере,

обнаруживают введение ведущего модуля защиты,

передают данные по обработке данных ведущему модулю защиты.

18. Способ по п.11 или 17, отличающийся тем, что производят передачу данных обработки, сохраненных в ведущем модуле защиты, в центр управления.

19. Способ по п.18, отличающийся тем, что производят передачу служебных данных, связанных с подписчиком, в центр управления.

Описание изобретения к патенту

Область техники, к которой относится изобретение

Настоящее изобретение относится к декодерам для обработки данных платного телевидения. Оно также относится к системе управления данными платного телевидения и процессу управления, по меньшей мере, двумя декодерами для обработки данных платного телевидения.

Уровень техники

В общем случае для получения доступа к зашифрованной информации, относящейся к программам, транслируемым операторами платного телевидения, например фильмам, спортивным программам и т.п., бывает необходимо приобрести подписку, декодер и модуль защиты. Некоторые подписчики могут использовать по несколько декодеров и несколько модулей защиты так, чтобы несколько пользователей могли получать доступ к программам, транслируемым на несколько телевизионных установок, расположенных в разных помещениях.

В этом случае цена дополнительных экземпляров подписки, декодеров и/или модулей защиты обычно бывает ниже, чем цена первой подписки, декодера и/или модуля защиты. Однако задача заключается в том, чтобы предотвратить случаи приобретения подписчиком нескольких наборов из декодеров и модулей защиты по сниженной цене, предусмотренной для приобретения дополнительных наборов, и предоставления сторонним лицам, не являющимся подписчиками, возможности использования таких сниженных цен, или перепродажи этих наборов по ценам, более низким, чем стандартная цена приобретения набора.

Решение, предотвращающее возникновение подобных ситуаций, заключается во введении операции, слабо ограничивающей возможности подписчика, который добросовестно использует несколько декодеров и прилагаемых к ним модулей защиты в пределах одного дома, но значительно ограничивающей возможности подписчика, перепродающего декодеры и модули защиты, или покупателя таких модулей. Кроме того, без проведения такой операции расшифровка транслируемой информации становится невозможной.

Система, частично обеспечивающая достижение этой цели, описана в европейском патенте, опубликованном под номером ЕР 0826288. Этот документ описывает систему платного телевидения, содержащую несколько телевизионных установок, каждая из которых связана с конкретным подписчиком. Каждая установка содержит, по меньшей мере, два декодера, каждый из которых связан с микропроцессорной картой (также называемой смарт-картой), предназначенной для обеспечения расшифровки информации, посылаемой на декодеры, соединенные с телевизионной системой. Каждая микропроцессорная карта содержит определенный объем данных, обеспечивающих ее идентификацию. Эта информация, называемая «связывающими данными», может представлять собой подпись, ключ или другой идентифицирующий элемент. Все карты, связанные с одним и тем же подписчиком, имеют, по меньшей мере, один общий элемент связывающих данных. Карты разных подписчиков не имеют общих элементов данных.

Микропроцессорные карты подписчика или, по крайней мере, одна из них могут быть деактивированы (выключены) в соответствии с заранее установленными критериями. В качестве таких критериев может использоваться, например, определенная дата или длительность периода использования. После деактивации карты расшифровка контрольных слов не производится. Информация, посылаемая на данный декодер, не может быть расшифрована без контрольных слов, соответствующих транслируемым программам.

Деактивированная карта может быть реактивирована, если подписчик имеет активную карту и декодер, связанный с этим же подписчиком. Для осуществления этой операции известная система по указанному изобретению использует следующие действия.

Данные, связанные с активной картой, сохраняют в декодере, в который вставлена эта карта. При деактивации карты ее следует вставить в декодер, соответствующий активной карте данного подписчика. Связывающие данные, такие как подпись, ключ и т.п., сохраненные в декодере, сопоставляют со связывающими данными деактивированной карты. Если эти данные совпадают, то счетчик, содержащий, например, дату следующей деактивации или длительность периода использования, увеличивается так, чтобы обеспечить возможность использования карты в течение определенного времени. Если связывающие данные не совпадают, реинициализация счетчика для деактивированной карты не происходит, расшифровка контрольных слов остается невозможной, и информация остается зашифрованной.

В такой системе реактивация деактивированной карты разрешена, если одни связывающие данные соответствуют другим, т.е. если они принадлежат одному и тому же подписчику, независимо от того, какой декодер подключен к активной карте подписчика. При этом, если карты подписчика были проданы покупателям, географическое положение которых близко к положению исходного подписчика, то владельцы деактивированных карт могут вставить эти карты в любой декодер, соединенный с активной картой подписчика, и такие карты снова будут работать. Таким образом, функция ограничения, составляющая задачу изобретения, осуществлена лишь частично.

Кроме того, существует простой способ обхода ограничений, связанных с процессом по указанному патенту. Покупателю неавторизованного набора декодера или микропроцессорной карты достаточно приобрести два набора. Таким образом, он всегда может реактивировать карту после ее деактивации.

Другая проблема возникает в случае, когда деактивированы все карты. Это может произойти, если подписчик редко смотрит телевидение или отсутствует от момента деактивации первой карты до деактивации последней карты. В этом случае реактивация карты невозможна, и единственное решение заключается в приобретении новой карты.

В соответствии с изобретением, описанном в патентной публикации ЕР 0826288, вся существенная информация, т.е. все связывающие данные и данные, относящиеся к дате деактивации, хранятся на карте. Декодеры только играют роль «буферной памяти» для передачи связывающих данных с активной карты на другую, деактивированную, карту в процессе реактивации.

Другое изобретение, обеспечивающее решение вышеупомянутой задачи, описано в патентной публикации США №5748732. Этот документ относится к системе платного телевидения, содержащей управляющий (ведущий) декодер и один или несколько управляемых (ведомых) декодеров, оборудованных микропроцессорными картами. Микропроцессорные карты управляемых декодеров имеют относительно короткий ограниченный срок действия, причем по окончании указанного срока действия такие карты теряют способность расшифровки шифрованных данных. Для реактивации микропроцессорной карты, срок действия которой истек, центр управления посылает на управляющий декодер сообщение авторизации EMM (Entitlement Management Message, сообщения управления полномочиями). Управляющий декодер обрабатывает это сообщение и извлекает из него новые рабочие данные управляемой микропроцессорной карты. Данные сохраняются в управляющем декодере. Для реактивации управляемой карты пользователь должен вставить ее в управляющий декодер, который передает на эту карту сохраненные данные. После этого карта, вставленная в управляемый декодер, снова может работать.

В соответствии с этим изобретением, как и в предыдущем случае, все существенные данные, в частности данные, относящиеся к срокам действия управляемых карт, хранятся на самих картах. Управляющий декодер только играет роль «буферной памяти», которая используется для передачи обновленных данных с управляющей карты на управляемую. В частности, этот декодер не содержит счетчика, который мог бы регулировать сроки активации карт.

Раскрытие изобретения

Настоящее изобретение направлено на предложение альтернативного решения, которое обеспечило бы защищенный и управляемый доступ к информации, посылаемой оператором. Задача, на решение которой направлено настоящее изобретение, заключается в обеспечении возможности гибкого регулирования длительности срока действия декодера и адаптации рабочих параметров при помощи модуля защиты в любой момент.

Другая задача, на решение которой направлено изобретение, заключается в обеспечении возможности глобального управления каждым подписчиком. Так, подписчику, перепродающему один или несколько наборов из декодера и модуля защиты, может быть выставлен счет за просмотр информации пользователями этих наборов. Это значительно усиливает эффект сдерживания, достижение которого входит в задачи настоящего изобретения.

Кроме того, изобретение обеспечивает возможность сбора и обработки информации, предоставляемой наборами из декодеров и модулей защиты, например служебных данных или данных, связанных с импульсивными покупками программ, которые могут использоваться как для составления счетов, так и для статистической обработки.

Для решения поставленной задачи в соответствии с изобретением предлагается декодер для обработки данных платного телевидения, связанный с, по меньшей мере, одним съемным модулем защиты посредством идентификационных данных, содержащихся в указанном декодере и модуле защиты, причем декодер содержит модуль дешифратора, характеризующийся тем, что дополнительно содержит средства для деактивации обработки данных платного телевидения и счетчик, воздействующий на указанные средства деактивации в соответствии со значением счетчика.

Для решения поставленной задачи также предлагается система управления данными платного телевидения, содержащая, по меньшей мере, два декодера, каждый из которых связан с, по меньшей мере, одним съемным модулем защиты посредством идентификационных данных, содержащихся в указанном декодере и указанном модуле защиты, причем каждый из декодеров содержит модуль дешифратора и средства деактивации обработки данных платного телевидения, характеризующаяся тем, что каждый декодер дополнительно сдержит счетчик, воздействующий на указанные средства деактивации, причем, по меньшей мере, один из модулей защиты назначен ведущим модулем и содержит средства реинициализации указанных счетчиков декодеров.

Кроме того, для решения поставленной задачи предлагается способ управления, по меньшей мере, двумя декодерами для обработки данных платного телевидения, каждый из которых приписан подписчику и содержит средства деактивации обработки данных платного телевидения и счетчик, воздействующий на указанные средства деактивации, причем каждый подписчик имеет, по меньшей мере, два съемных модуля защиты, которые могут быть локально подключены к, по меньшей мере, одному декодеру, а процесс включает следующие этапы:

- определение, по меньшей мере, одного ведущего модуля защиты из модулей защиты, принадлежащих подписчику,

- сохранение идентификационных данных ведущего модуля защиты в каждом из декодеров подписчика,

- деактивация обрабатывающего данные декодера при помощи счетчика и в соответствии с, по меньшей мере, одним заранее определенным критерием,

- и реинициализация счетчика посредством введения ведущего модуля защиты в деактивированный декодер.

Краткое описание чертежей

Изобретение станет более ясно из нижеследующего подробного описания, содержащего ссылки на прилагаемые чертежи, которые иллюстрируют пример осуществления изобретения, не вносящий каких-либо ограничений. На чертежах:

- на фиг.1 изображены элементы, расположенные у подписчика, и элементы, расположенные в центре трансляции программ платного телевидения,

- на фиг.2а представлена блок-схема операций, связанных с активацией первого декодера в соответствии с первым вариантом осуществления изобретения,

- на фиг.2b представлена блок-схема операций, связанных с активацией второго декодера для того же подписчика в соответствии с вариантом осуществления изобретения по фиг.2а,

- на фиг.3 представлена блок-схема, иллюстрирующая работу части устройства по изобретению,

- на фиг.4а представлена блок-схема операций, связанных с активацией первого декодера в соответствии со вторым вариантом осуществления изобретения,

- на фиг.4b представлена блок-схема операций, связанных с активацией второго декодера для того же подписчика в соответствии с вариантом осуществления изобретения по фиг.4а,

- фиг.5 изображает систему по изобретению, работающую в соответствии с третьим вариантом осуществления,

- на фиг.6а представлена блок-схема операций, связанных с активацией первого декодера в соответствии с третьим вариантом осуществления изобретения, также проиллюстрированном на фиг.5,

- на фиг.6b представлена блок-схема операций, связанных с активацией второго декодера для того же подписчика соответствии с вариантом осуществления изобретения по фиг.6а,

- фиг.7а, 7b, 7с и 7d изображают возможные конфигурации устройства по изобретению.

Осуществление изобретения

В нижеследующем описании нескольких вариантов осуществления изобретения предполагается, что подписчик имеет несколько декодеров STB1, STB2, STB3..., каждый из которых связан с модулем ICC1, ICC2, ICC3... защиты, который может быть выполнен, например, в виде микропроцессорной карты или интегральной микросхемы. Каждый декодер содержит модуль дешифратора (дескремблера), предназначенный для обработки зашифрованных данных и обеспечения возможности их просмотра, память, предназначенную для хранения идентификационных данных, и средства деактивации, осуществляющие разрешение или запрещение доступа к информации платного телевидения.

В соответствии с вариантом осуществления изобретения, проиллюстрированным на фиг.2а и 2b, при приобретении пользователем первого контракта С1 подписки на платное телевидение (этап 20 на фиг.2а) им также приобретается первый декодер STB1, связанный с первым модулем ICC1 защиты. Это действие проиллюстрировано на фиг.2а этапом 21. Как хорошо известно специалистам в данной области, модуль защиты осуществляет регулирование прав, связанных с транслируемыми программами, и отсылает на декодер контрольные слова, которые позволяют декодеру обрабатывать информацию платного телевидения и, следовательно, декодировать зашифрованную информацию, относящуюся к таким программам.

При приобретении пользователем всех элементов, требуемых для расшифровки программ, т.е. подписки, декодера и модуля защиты, он должен сначала активировать эти элементы так, чтобы привести их в рабочее состояние. Без такой активации установка не может производить обработку информации платного телевидения.

В соответствии с конкретным вариантом осуществления изобретения для первой активации декодера STB1 и модуля ICC1 защиты подписчик должен связаться с центром CG управления и сообщить свои идентификационные данные, в частности идентификационный номер С1, связанный с контрактом подписки, уникальный идентификационный номер SN_s, связанный с модулем защиты, уникальный идентификационный номер SN_d, связанный с декодером, и, возможно, свое имя (Sub1, Sub2) для проверки подлинности контракта.

Эти действия проиллюстрированы на фиг.2а этапом 22. Идентификационные номера также называют серийными номерами. Эти операции обычно осуществляются оператором, который устанавливает систему в доме подписчика.

Центр управления использует данную информацию для регистрации подписчика (Sub1, Sub2) в сочетании с декодером STB и модулем ICC защиты, приобретенными им с целью составления пары из декодера и модуля защиты. Следует отметить, что декодер и модуль защиты могут быть приобретены по отдельности, поэтому до получения центром управления соответствующей информации центр управления не имеет данных о том, какой модуль защиты соединен с определенным декодером.

Как показано на фиг.1 под общим обозначением CG, центр управления содержит, по меньшей мере, одну базу данных, в которой хранятся данные, обеспечивающие возможность соединения модуля защиты с декодером. В частности, база данных центра управления содержит уникальный идентификационный номер SN_d для каждого декодера STB, управляемого данным центром. Этот уникальный номер связан с, по меньшей мере, одним ключом U_k шифрования (симметричного или асимметричного типа), своим для каждого декодера. Этот ключ шифрования, называемый «связывающим ключом», также хранится в самом декодере. После произведенной подписчиком идентификации декодера при помощи уникального номера SN_d и указания уникального номера SN_s модуля защиты центр управления связывает в своей базе данных модуль защиты с декодером. На фиг.1 содержимое базы данных изображено в виде трех таблиц. Одна из таблиц 15 содержит список всех декодеров STB, управляемых центром управления, связанных с их уникальными идентификационными номерами, а также с соответствующими им ключами U_k.

Вторая таблица 16 содержит список всех модулей ICC защиты и их уникальные идентификационные номера SN_s. Третья таблица 17 содержит список контрактов С1, С2... подписки и подписчиков Sub1, Sub2..., каждый из которых связан, с одной стороны, с соответствующим декодером STB, а с другой стороны, с модулем ICC защиты. Эта таблица также содержит список продуктов Р, приобретенных подписчиком, и указание на функцию ведущего (М) или ведомого (S), сущность которой объяснена ниже. Таблица 17 также может использоваться для хранения других данных, называемых служебными данными, что также разъяснено ниже. Продукты Р, т.е., в частности, программы, просмотр которых разрешен данному подписчику, могут быть связаны с контрактами подписки или с модулями защиты. Это означает, что продукты могут быть одинаковыми для всех модулей защиты данного подписчика или, напротив, могут быть различными для разных модулей. Следовательно, можно, например, ограничить круг продуктов, доступных для конкретного набора из декодера и модуля защиты. Специалисту в данной области очевидно, что продукты могут представлять собой каналы трансляции, пакеты из нескольких каналов или отдельные программы. Этап, включающий поиск данных и создание связей в базе данных, обозначен на фиг.2а номером 23.

После этого необходимо переслать на модуль 1СС1 защиты ключ U_k1 шифрования, связанный с уникальным номером SN_d1 декодера STB1, чтобы обеспечить возможность шифрования передачи информации между этим модулем защиты и декодером. Этот ключ обычно пересылают в управляющем сообщении EMM, зашифрованном глобальным личным ключом оператора, одинаковым для всех модулей защиты, управляемых данным оператором. Декодер, связанный с данным модулем защиты, которому предназначено данное сообщение, может получить это сообщение и передать его модулю защиты, который расшифровывает сообщение при помощи глобального личного ключа оператора и извлекает из него связывающий ключ U_k1. Этот связывающий ключ сохраняется в памяти первого модуля ICC1 защиты с уникальным номером SN_d декодера. Этап формирования пары обозначен на фиг.2а номером 24. На следующем этапе 25 в модуль защиты загружают права расшифровки для продуктов Р, определенные в соответствии с информацией таблицы 17 базы данных.

База данных центра управления назначает модулю защиты, соединенному с первым декодером, функцию М ведущего, как проиллюстрировано на фиг.2а этапом 26.

После ввода всех данных в базу данных и передачи связывающего ключа U_k1 модулю защиты декодер STB1 должен быть активирован для обеспечения возможности декодирования, как проиллюстрировано этапом 27. При этом центр управления посылает данному декодеру «команду декодера». «Команда декодера» представляет собой команду, предназначенную для декодера, передаваемую в виде сообщения авторизации EMM и обрабатываемую модулем защиты, т.к. декодер не содержит достаточного объема памяти, необходимого для прямой обработки этой команды. Сообщение авторизации EMM передается зашифрованным при помощи глобального ключа оператора. Модуль защиты расшифровывает сообщение при помощи глобального ключа. Поскольку модуль защиты может определить, что данная команда не относится к нему, этот модуль зашифровывает данную команду при помощи связывающего ключа U _k1 и отсылает ее декодеру, который расшифровывает это сообщение и исполняет команду.

Такая «команда декодера» содержит идентификационные данные управляющего модуля защиты, которые обычно представляют собой идентификационный номер SN _M данного модуля или могут представлять собой другие данные, обеспечивающие идентификацию модуля защиты, и параметр деактивации, который обычно представляет собой значение времени. Идентификационные данные сохраняют в памяти декодера, а параметр деактивации приписывают счетчику декодера. Следует отметить, что в представленном примере идентификационный номер SN_M управляющего модуля защиты совпадает с идентификационным номером SN _s1 первого модуля защиты, причем этот первый модуль защиты имеет функцию управляющего модуля.

На этом этапе декодер запрашивает уникальный номер SN_s модуля защиты и сравнивает его с номером, полученным в сообщении, содержащим «команду декодера». Если эти значения совпадают, что происходит в случае, если исходный модуль не был заменен на другой модуль, декодер воздействует на средства деактивации так, чтобы разблокировать передачу управляющих сообщений ЕСМ программ модулю защиты, и контрольные слова могут быть расшифрованы. При этом также активируется счетчик декодера. Если подписчик имеет только один декодер и только один модуль защиты, они работают в паре, как описано в патентной заявке WO 99/57901, причем расшифровка зашифрованной информации производится известным методом.

В приведенном выше описании обмен информацией между модулем защиты и декодером осуществляется в зашифрованном виде с использованием связывающего ключа U_k1. Однако пересылаемая информация также может быть зашифрована с использованием сеансового ключа, который отличается от связывающего ключа, но создается на его основе.

При приобретении подписчиком второго декодера он, разумеется, должен приобрести второй модуль защиты. Весь процесс активации второго декодера представлен на фиг.2b. Приобретение второго декодера STB2 и второго модуля ICC2 защиты проиллюстрировано этапом 30. Как и ранее, подписчик должен связаться с центром CG управления и сообщить идентификационные данные, содержащие, в частности, уникальные номера SN_d2 и SN _s2 второго декодера STB2 и второго модуля ICC2, номер подписки и, возможно, имя Sub1 для проверки подлинности на этапе 31, изображенном на фиг.2b. На этапе 32 производится поиск необходимых данных в базе данных и внесение в базу данных новой информации, как описано выше со ссылками на фиг.2а. База данных позволяет найти связывающий ключ U_k2, который затем сохраняется в декодере STB2. Этот связывающий ключ U_k 2 связывается в базе данных с уникальным номером SN _d2 второго декодера STB2. На этапе 33 связывающий ключ U_k2 посылается второму модулю защиты для обеспечения возможности обмена зашифрованной информацией между модулем защиты и декодером. На этапе 34 центр управления также посылает второму модулю ICC2 защиты список продуктов. На этапе 35 второму модулю ICC2 защиты приписывается в базе данных центра управления функция S ведомого. Как и ранее, второму декодеру посылается «команда декодера» в виде зашифрованного сообщения авторизации EMM. Эта команда содержит параметр деактивации и идентификационный номер SN_M управляющего модуля защиты. На фиг.2b эта операция проиллюстрирована этапом 36. Как и ранее, эти два элемента данных сохраняются в декодере, причем идентификационные данные сохраняются в памяти, а параметр деактивации приписывается к счетчику данного декодера.

На этом этапе декодер и его модуль защиты еще не активированы; поэтому расшифровка транслируемых программ, зашифрованных оператором, не разрешена. Декодер и модуль защиты с функцией ведомого должны быть активированы ведущим модулем ICC_М защиты, который в приведенном выше примере соответствует первому модулю ICC1 защиты. Для этого подписчик получает сообщение, предлагающее ему вставить первый модуль ICC1 защиты или ведущий модуль ICC _М защиты во второй декодер STB2 или ведомый декодер S. Эта операция проиллюстрирована на фиг.2b этапом 37. Одновременно с выводом этого сообщения или после него декодер посылает содержащемуся в нем модулю защиты команду для получения идентификационного номера SN_s данного модуля. Этот номер сравнивается с идентификационным номером SN_M ведущего модуля защиты, полученным от центра CG управления и сохраненным во втором декодере, при помощи средств сравнения идентификационных данных. Если эти два номера совпадают, декодер активирует обработку потока данных и запускает счетчик данного декодера. Он также выводит сообщение для пользователя, предлагающее ему вставить второй модуль ICC2 защиты во второй декодер STB2. После проведения требуемой операции включаются средства деактивации, что обеспечивает возможность обработки информации платного телевидения и просмотра программ. Таким образом, активация второго декодера STB2, проиллюстрированная этапом 38, завершается.

В случае приобретения подписчиком третьего или n-го декодера производятся те же действия, что и в случае второго декодера. Подписчик идентифицирует себя в центре CG управления и сообщает уникальный номер SN_d декодера и уникальный номер SN_s соответствующего ему модуля защиты. Эти элементы регистрируются в качестве ведомых компонентов S. Связь между ведомым модулем защиты и декодером устанавливается обычным методом, аналогичным случаю загрузки продуктов Р.

Затем декодер сохраняет в памяти значение времени и уникальный идентификационный номер SN1 управляющего модуля, содержащийся в «команде декодера», посланной центром управления. Это значение может быть уникальным для каждой пары из модуля защиты и декодера или одинаковым для некоторых или всех таких пар. На этом этапе ведомый декодер запрашивает уникальный номер STBn модуля защиты. Если этот номер совпадает с номером управляющего модуля, декодер активируется. Однако для получения возможности просмотра программ необходимо снова вставить в декодер соответствующий ведомый модуль защиты.

Следует отметить, что в данном описании предполагается, что первый модуль защиты также является ведущим модулем защиты, что, разумеется, верно в случае, если подписчик имеет только один набор из декодера и модуля защиты. С другой стороны, если подписчик имеет несколько декодеров, первый из них может быть зарегистрирован в качестве ведущего по умолчанию, однако впоследствии функция ведущего может быть приписана любому другому декодеру. Для этого следует отправить запрос в центр управления, который изменяет параметры в базе данных, а также в соответствующих модулях защиты и всех декодерах. Только один из модулей защиты, принадлежащих данному подписчику, получает функцию ведущего; все остальные модули защиты рассматриваются как ведомые.

После проведения вышеописанной процедуры различные наборы из декодеров и модулей защиты подписчика дают возможность дешифровки и просмотра программ платного телевидения. Параметр деактивации (значение времени), сохраненный в счетчике каждого декодера, используется для управления средствами деактивации и предотвращения дешифровки в случае выполнения определенных критериев, например, по истечении определенного времени.

В первом примере осуществления изобретения параметр деактивации (значение времени) соответствует определенному сроку действия, например, равному 30 суткам. Таким образом, деактивация декодера происходит по истечении этого срока действия длительностью в 30 суток. Параметр деактивации сохраняется в каждом декодере.

В нормальных условиях эксплуатации, т.е. когда модуль защиты вставляют в соответствующий декодер, значение счетчика, сохраненное в декодере, уменьшается через регулярные интервалы, например каждый день или каждый час, на такое количество единиц, которое обеспечивает достижение счетчиком нулевого значения по истечении заранее установленного периода. Также может быть предусмотрено увеличение значения счетчика до достижения им заранее определенного значения. Этот процесс проиллюстрирован на фиг.3. На этой схеме предполагается, что модуль ICC1 защиты является ведущим модулем, а модуль ICC2 защиты - ведомым модулем. Декодеры STB1 и STB2 связаны соответственно с модулями ICC1 и ICC2. На этапе 40 декодер опрашивает содержащийся в нем модуль защиты через регулярные интервалы, чтобы определить его идентификационный номер SN _s. Если этот номер совпадает с идентификационным номером SN2 второго модуля защиты, то на этапе 41 производится проверка на равенство значения счетчика нулю.

Если значение счетчика не равно нулю, то значение счетчика второго декодера уменьшается по заранее установленному правилу. Эта операция производится на этапе 42, изображенном на фиг.3.

Если значение счетчика равно нулю или достигло заранее установленного значения, как проиллюстрировано этапом 43, средства деактивации используются так, что подписчик теряет возможность просмотра программ. Функциональные возможности средств деактивации позволяют запрограммировать несколько вариантов деактивации доступа к информации платного телевидения. Так, декодер может быть переведен в режим блокирования передачи управляющих сообщений ЕСМ, содержащих данные, относящиеся к программам, на модуль защиты, причем эти сообщения не достигают модуля защиты. Также может быть отключено получение декодером расшифрованных контрольных слов, посылаемых обратно модулем защиты. Еще одна возможность заключается в блокировании звука и изображения, поступающих из модуля дешифратора декодера, причем дешифровка производится в нормальном режиме, но пользователь не получает информации на экране телевизионной установки. Во всех случаях блокирование отображения программ производится декодером.

После обнуления счетчика или достижения им заранее установленного значения для обеспечения возможности дешифровки программ необходимо провести реактивацию набора. Следует отметить, что в соответствии с данным вариантом осуществления изобретения для реактивации набора необязательно ждать достижения счетчиком нулевого значения. Реактивация может быть проведена до этого путем сброса счетчика, что позволяет избежать его обнуления. Для этого декодер может быть снабжен средствами индикации состояния счетчика.

Реактивация декодера, деактивированного при достижении счетчиком нулевого значения, производится следующим образом. Предположим, что счетчик второго декодера STB2 достиг нулевого значения или заранее установленного значения, и счетчик был деактивирован. Модуль ICC2 защиты, связанный с деактивированным декодером, вынимают из декодера. На этапе 44, изображенном на фиг.3, в этот декодер вставляют ведущий модуль защиты или первый модуль ICC1 защиты. Ведомый декодер посылает команду для получения уникального идентификационного номера SN _s данного модуля защиты в данном декодере. Затем декодер проверяет при помощи средств сравнения, совпадает ли уникальный идентификационный номер ведущего модуля защиты с идентификационным номером SN_M, сохраненным в декодере при его инициализации. Эта операция производится на этапе 45, изображенном на фиг.3. Если номера совпадают, на этапе 46 производится реинициализация декодера, и в счетчик вводится новый параметр деактивации (значение времени). Этот параметр деактивации обычно соответствует значению, сохраненному в декодере. Следует отметить, что параметр деактивации, сохраненный в декодере, может быть изменен при помощи сообщения авторизации EMM, посланного центром управления. В этом случае при каждой реактивации используется новое значение, сохраненное в декодере. Оно также может представлять собой значение, непосредственно полученное от центра управления в сообщении авторизации EMM, отправленном модулю защиты. Если это значение не сохранено в декодере, оно используется только в текущей реактивации. После этого ведущий модуль защиты может быть вынут из декодера, и в него может быть вставлен ведомый модуль ICC2 защиты, связанный с данным декодером для дешифровки информации, посылаемой оператором. Если идентификационный номер ведущего модуля защиты не совпадает с сохраненным номером, реинициализация счетчика не производится, и возможность просмотра программ не предоставляется. В предпочтительном варианте на экране телевизионной установки, связанной с деактивированным декодером, отображаются инструкции для подписчика, обеспечивающие пошаговое проведение им необходимых операций.

В предпочтительном варианте осуществления для реинициализации счетчика необязательно дожидаться появления на экране соответствующего сообщения. Операция реинициализации по существу может быть произведена в любой момент посредством помещения ведущего модуля защиты в один из ведомых декодеров.

В соответствии с одним из вариантов осуществления может быть предусмотрена возможность увеличения значения счетчика «вручную» на величину, соответствующую относительно короткому периоду времени, например, равному двум часам. Это позволяет пользователю закончить просмотр текущей программы несмотря на достижение счетчиком декодера нулевого значения. В соответствии с другим вариантом осуществления может быть предусмотрено выведение на экран сообщения, предупреждающего подписчика о том, что модуль защиты может работать только в течение относительно короткого периода, например, равного 48 часам.

Эта функция может быть осуществлена путем определения значения счетчика через регулярные интервалы. Таким образом, подписчик получает возможность увеличения значения счетчика в течение определенного промежутка времени путем ввода ведущего модуля защиты до деактивации модуля защиты.

Первый модуль защиты, связанный с первым декодером, которому приписан статус ведущего, работает так же, как и ведомые модули. Однако, т.к. обычно этот первый модуль защиты устанавливают в первый декодер, реинициализация счетчика производится через регулярные интервалы. В нормальных условиях эксплуатации при достижении этим счетчиком нулевого значения ведущий модуль защиты немедленно производит его реинициализацию. Таким образом, ведущий модуль защиты и связанный с ним декодер обычно всегда могут производить дешифровку программ.

В соответствии с другим вариантом осуществления изобретения декодер через регулярные интервалы посылает команду для получения уникального идентификационного номера модуля безопасности, вставленного в данный декодер. Если этот идентификационный номер совпадает с идентификационным номером ведущего модуля, производится реинициализация счетчика. В этом случае при нормальной эксплуатации, т.е., если ведущий модуль защиты установлен в соответствующем декодере, счетчик декодера, связанного с ведущим модулем, никогда не достигает нулевого значения.

Этот альтернативный вариант также удобен для подписчика, декодеры которого соединены с ведомыми модулями защиты, т.к. он позволяет производить реинициализацию счетчика в любой момент, независимо от реального значения счетчика. В этом случае управляющий модуль защиты можно оставить в одном из декодеров, соединенном с ведомым модулем до генерации декодером очередной команды поиска идентификационного номера. Также может быть обеспечена ручная активация этого элемента управления пользователем или выдача автоматической команды при каждом помещении модуля защиты в декодер.

Также может быть предусмотрено решение, при котором интервал между выдачей двух команд поиска идентификационного номера относительно велик при больших значениях счетчика и уменьшается по мере уменьшения значения счетчика. Так, если предупреждающее сообщение информирует подписчика о необходимости ввода ведущего модуля защиты в какой-либо декодер в течение относительно короткого периода во избежание обнуления счетчика, подписчик должен оставить ведущий модуль защиты в декодере для реинициализации до следующей выдачи команды, чтобы получить идентификационный номер, передаваемый декодером. Длительность этого периода обычно составляет несколько сотен миллисекунд.

В альтернативном варианте осуществления изобретения счетчик содержит определенную дату. Поток данных, посылаемый центром управления, содержит сигнал, содержащий информацию о времени суток и дате, обозначаемый сокращением TDT (Time & Date Table). Ведомый декодер через регулярные интервалы сравнивает значение счетчика с текущей датой, содержащейся в сигнале TDT. Если дата, установленная в счетчике, больше текущей даты, декодер работает нормально, т.е. осуществляется дешифровка информации.

Если текущая дата, передаваемая с сигналом TDT, оказывается равной или большей даты счетчика, декодер блокирует передачу управляющих сообщений ЕСМ модулю защиты так, что дешифровка информации программ становится невозможной. Следует отметить, что, как и в предыдущем случае, значение счетчика может быть увеличено вручную на несколько часов, чтобы избежать необходимости проведения операции обновления данных во время просмотра программы подписчиком. Подписчик получает сообщение, предлагающее ему вставить ведущий модуль защиты в ведомый декодер.

В соответствии с одним из вариантов осуществления счетчик содержит числовое значение, соответствующее определенному количеству временных импульсов. Поток данных, в котором содержатся программы, включает данные о времени, посылаемые через регулярные интервалы. При каждом получении декодером импульса его счетчик увеличивается, например, на одну единицу. Интервал между двумя импульсами также может варьироваться для изменения интервала между двумя реактивациями.

В этих вариантах осуществления центр управления может зашифровывать значения счетчика в «команде декодера», адресованной непосредственно одному модулю защиты или группе таких модулей. Модуль защиты, которому адресована такая команда, расшифровывает ее и, зашифровав ее при помощи связывающего ключа, снова отсылает декодеру, который исполняет направленную ему команду, тем самым изменяя значение соответствующего счетчика.

Как описано выше, увеличение значения счетчиков ведомых декодеров производится в соответствии со значением времени, сохраненным в перезапускаемом декодере. Сообщение авторизации EMM также может быть отправлено конкретному декодеру в составе «команды декодера», причем для данного декодера устанавливается параметр деактивации (значение времени). В этом случае новое значение применяется только к декодеру или декодерам, которым адресовано сообщение. Этот метод позволяет, например, провести немедленную деактивацию декодера, законность приобретения которого вызывает сомнения.

В соответствии со вторым вариантом осуществления изобретения, проиллюстрированным на фиг.4а и 4b при приобретении пользователем контракта С1 подписки на платное телевидение пользователь также приобретает первый декодер STB1, связанный с первым модулем ICC1 защиты. Активация набора из декодера и модуля защиты производится точно так же, как было описано выше со ссылками на фиг.2а. Таким образом, обозначения на фиг.4а совпадают с обозначениями на фиг.2а.

Вкратце, в базе DB данных центра CG управления производится поиск данных, связанных с данным пользователем, его первым декодером и первым модулем защиты. Связывающий ключ U_k 1 передается модулю защиты так же, как транслируемые продукты и функция управления. «Команда декодера», содержащая параметр деактивации (значение времени) и идентификационный номер ведущего модуля защиты, посылается декодеру. Установка активируется, в результате чего обеспечивается возможность дешифровки данных и просмотра программ.

При приобретении подписчиком второго декодера он, разумеется, должен приобрести и второй модуль защиты. Весь процесс активации второго декодера изображен на фиг.4b. В первой части процесса, т.е. на этапах 30-36, активация производится так же, как описано выше со ссылками на фиг.2b. Таким образом, подписчик связывается с центром управления, который производит поиск соответствующих данных в своей базе данных. Формирование пары из второго модуля ICC2 защиты и второго декодера STB2 производится обычным методом при помощи передачи связывающего ключа U _k2 модулю защиты. Права, связанные с продуктами, также передаются так, как было описано выше, после чего декодеру посылается «команда декодера», содержащая параметр деактивации (значение времени) и идентификационный номер ведущего модуля защиты.

Следующий этап 47 отличается от этапа, описанного для варианта по фиг.2b. По существу, на этапе 47 производится связывание ведущего модуля ICC_М защиты или первого модуля ICC1 защиты со вторым декодером STB2. Для этого на экран выводится сообщение, предлагающее подписчику вставить первый модуль ICC1 защиты или ведущий модуль ICC_М защиты во второй декодер STB2 или ведомый декодер S. На этом этапе процесса активации центр CG управления посылает ведущему модулю защиты сообщение, зашифрованное при помощи глобального ключа оператора и содержащее связывающий ключ U_k2 из второго декодера STB2 и второго модуля ICC2 защиты. Этот ключ используется для шифрования обмена информацией между вторым декодером STB2 и первым модулем ICC1 защиты или вторым модулем ICC2 защиты. Этот ключ сохраняется в таблице соответствий, сохраняемой в ведущем модуле защиты.

На этом этапе ведомый декодер STB2 запрашивает уникальный номер модуля защиты. Если этот номер совпадает с номером SN_M ведущего модуля, декодер активирует обработку потока данных и обеспечивает возможность просмотра программ. На этом активация второго декодера STB2, проиллюстрированная этапом 47, завершается. Следует отметить, что для просмотра программ необходимо снова вставить второй модуль ICC2 защиты во второй декодер STB2, что проиллюстрировано на фиг.4b этапом 48. Возможность расшифровки информации любого декодера ведущим модулем защиты может быть предусмотрена, но на практике такое решение нежелательно. Обычно дешифровка разрешается при связи декодера только с одним модулем защиты, и наоборот.

В случае приобретения подписчиком третьего или n-го декодера производятся те же действия, что и в случае приобретения второго декодера. Подписчик идентифицирует себя в центре CG управления и сообщает уникальный номер SN _d декодера и уникальный номер SN_s соответствующего ему модуля защиты. Эти элементы регистрируются в качестве ведомых компонентов S. Загрузка продуктов Р и связывание n-го декодера STBn с n-ым модулем ICCn защиты производятся обычным методом при помощи связывающего ключа U_k n. Затем производится связывание декодера, идентифицируемого обозначением STBn, с ведущим модулем ICCM защиты или первым модулем ICC1 защиты при помощи связывающего ключа U_k n. После этого декодер сохраняет параметр деактивации и уникальный идентификационный номер SN1 ведущего модуля, содержащиеся в «команде декодера», переданной центром управления. Это значение может быть различным для каждой пары из модуля защиты и декодера или одинаковым для всех или некоторых таких пар. Затем ведущим модулем защиты производится активация набора из модуля и декодера. Дешифровка программ становится возможной после повторного ввода n-го модуля ICCn защиты в n-й декодер STBn.

Деактивация декодеров производится в данном варианте осуществления так же, как описано выше со ссылками на фиг.2а и 2b.

По существу, реактивация декодера в вариантах осуществления по фиг.4а и 4b и по фиг.2а и 2b производится сходным образом. Однако в варианте осуществления по фиг.4а и 4b декодер не ограничивается простой проверкой уникального идентификационного номера ведущего модуля защиты. Проводится, по существу, полная проверка подлинности (аутентификация) этого модуля. Возможно использование различных методов аутентификации. Один из этих методов описан ниже. Ведомый декодер, например STB2, генерирует случайное число, которое он посылает в простом текстовом формате ведущему модулю защиты, например ICC1. Модуль зашифровывает указанное число при помощи связывающего ключа U_k2, предназначенного для шифрования обмена информацией между данным декодером STB2 и ведущим модулем ICC1 защиты. Затем он снова отсылает зашифрованное число декодеру STB2, который дешифрует указанное число при помощи связывающего ключа U _k2 и сравнивает полученное число с исходным числом. Операция аутентификации также может производиться в обратном порядке. В этом случае ведущий модуль защиты генерирует случайное число и посылает его в простом текстовом формате декодеру, который шифрует это число при помощи связывающего ключа U _k2 и снова отсылает его модулю защиты. Модуль защиты дешифрует указанное число и сравнивает его с исходным числом. Если сравнение показывает, что два числа идентичны, производится реинициализация счетчика, и снова обеспечивается возможность просмотра программ. При получении негативного результата сравнения чисел обработка данных не разрешается.

Этот вариант осуществления изобретения обеспечивает более надежную защиту от незаконного использования несоответствующего модуля защиты.

На фиг.5, 6а и 6b представлен частный вариант осуществления изобретения, в котором подписчик имеет дополнительный модуль защиты помимо обычных наборов из декодеров и модулей защиты.

Как иллюстрирует этап 60 на фиг.6а, пользователь услуг платного телевидения сначала должен приобрести контракт С1. При приобретении подписчиком первого декодера STB1 он, как и в ранее описанных вариантах, должен приобрести первый модуль ICC1 защиты, что проиллюстрировано на фиг.6а этапом 62. Одновременно с приобретением подписки он также должен приобрести дополнительный модуль защиты, называемый «контрактным модулем» ICC_C, что проиллюстрировано этапом 61. В оптимальном варианте этот контрактный модуль можно легко отличить от других модулей защиты, например, благодаря тому, что он отличается от них цветом, как показано на фиг.5.

Как и в предыдущем варианте осуществления, центр CG управления содержит базу данных с уникальными идентификационными номерами SN_d декодеров и связывающими ключами U_k, приписанными к этим номерам. На этапе 63, изображенном на фиг.6а, когда новый подписчик связывается с центром управления для инициализации своего декодера, он должен указать уникальный идентификационный номер SN_C контрактного модуля, уникальный идентификационный номер SN_s первого модуля защиты, идентификационный номер SN_d декодера и номер контракта. Эта информация позволяет связать в базе данных данные, соответствующие модулю защиты, с данными, соответствующими декодеру. Этот этап обозначен номером 64.

После ввода этой информации в базу данных подписчику предлагается вставить первый модуль ICC1 защиты в декодер STB1. Эта операция производится на этапе 65. После этого центр управления посылает связывающее сообщение и инициализирующее сообщение. Связывающее сообщение содержит связывающий ключ U_k1 для связывания первого декодера STB1 с первым модулем ICC1 защиты. Инициализирующее сообщение содержит параметр деактивации (значение времени), а также уникальный идентификационный номер ICC_C контрактного модуля. Параметр деактивации сохраняется в первом декодере. Затем на этапе 66 в первый модуль защиты загружаются права, относящиеся к продуктам Р, право на дешифровку которых получает подписчик.

После ввода этой информации в базу данных подписчику предлагается вставить контрактный модуль ICC _C в первый декодер STB1, что соответствует этапу 67. Затем производится связывание контрактного модуля и первого декодера при помощи связывающего ключа U_k1, сохраняемого в базе данных, который позволяет, с одной стороны, связывать первый декодер STB1 с первым модулем ICC1 защиты, а с другой стороны, связывать первый декодер STB1 с контрактным модулем ICC_C защиты. Это связывание производится так же, как описано выше. Следует отметить, что, как правило, контрактный модуль не дает разрешения на дешифровку зашифрованной информации. По завершении связывания этого модуля защиты с первым декодером подписчику предлагается снова вставить в декодер первый модуль ICC1 защиты. На этапе 68 первому декодеру STB1 посылается команда активации в виде «команды декодера» для активации первого набора из декодера и модуля защиты и обеспечения возможности дешифровки программ. При этом на этапе 69 в декодер должен быть вставлен первый модуль 1СС1 защиты для обеспечения возможности обработки данных.

При приобретении подписчиком второго декодера STB2, связанного со вторым модулем ICC2 защиты (этап 70 на фиг.6b), подписчик должен связаться с центром управления (этап 71). На этапе 72 производится обновление данных, связанных с подписчиком и набором из декодера и модуля защиты. Затем, на этапе 73, второй декодер STB2 связывается со вторым модулем ICC2 защиты, как описано выше. Декодеру посылается «команда декодера», содержащая параметр деактивации (значение времени), который может быть идентичным параметру деактивации первого декодера или отличаться от него, а также уникальный идентификационный номер SN _c контрактного модуля. Права, связанные с продуктами Р, загружаются на второй модуль защиты на этапе 74. Второй модуль защиты вынимают из декодера и вставляют в него контрактный модуль ICC_c. Эти два элемента связываются в пару при помощи связывающего ключа U_k2, содержащегося в базе данных. Это связывание производится на этапе 75. Для связывания второго декодера со вторым модулем защиты используется тот же связывающий ключ, что и для связывания декодера с контрактным модулем защиты. Счетчик второго декодера активируется на этапе 76.

Затем, на этапе 77, контрактный модуль вынимают, а второй модуль ICC2 защиты снова вставляют в декодер. На этом этапе возможен просмотр зашифрованных программ.

Процедура активации третьего или n-го набора из декодера и модуля защиты производится так же, как описанная выше процедура для второго набора.

Как уже отмечалось выше, контрактный модуль обычно не предназначен для дешифровки шифрованной информации. Однако может быть предусмотрен контрактный модуль, который, напротив, способен к дешифровке зашифрованной информации, получаемой от любого декодера определенного подписчика, или к ограничению возможностей дешифровки одного или нескольких декодеров. Выбор используемого варианта производится оператором, транслирующим зашифрованную информацию.

Если, как предполагалось выше, параметр деактивации (значение времени) модуля защиты представляет собой длительность периода использования, значение счетчика уменьшается через регулярные интервалы. Когда оно достигает нуля, дешифровка информации блокируется, а пользователь получает соответствующее сообщение. Это сообщение информирует подписчика о том, что он должен реактивировать свой набор из декодера и модуля защиты. Для этого подписчик должен сначала вынуть модуль защиты из данного декодера, а затем вставить в декодер контрактный модуль ICC_М. Аутентификация этого контрактного модуля производится либо путем простой проверки уникального идентификационного номера, либо путем проведения полной процедуры аутентификации с использованием случайного числа, как описано выше. Реинициализация счетчика производится так же, как описано для случая использования первого модуля защиты в качестве ведущего модуля защиты.

Как было указано выше, ведущий модуль ICC_М защиты или контрактный модуль ICC_C защиты содержит таблицу связывающих ключей. Эта таблица обеспечивает хранение ключей, связывающих ведущий модуль с каждым декодером определенного подписчика. Помимо этих ключей таблица также содержит другие данные, например данные, относящиеся к «потребленным» программам, и служебные данные. В таблице 17 на фиг.1 эти данные представлены столбцами IPPV и Serv. соответственно. Эти столбцы соответствуют данным, обычно сохраняемым в модулях защиты после их передачи в центр управления.

Данные, относящиеся к потребленным программам, включают, в частности, номера и идентификаторы программ, приобретенных в режиме «импульсивной покупки» (обозначаемом сокращением IPPV = Impulsive pay-per-view). В настоящее время, если импульсивная покупка программ возможна, кредит для таких импульсивных покупок хранится в модуле защиты. При каждой импульсивной покупке программы этот кредит уменьшается на величину, соответствующую стоимости определенной программы. После окончания исходного кредита подписчик должен связаться с центром управления и запросить реинициализации (возобновления) своего кредита.

При использовании системы по изобретению управление IPPV может осуществляться двумя различными методами. Первый метод описан выше, т.е. предполагает, что для заказа программы пользователь связывается с центром управления. На практике пользователь может произвести заказ, сообщив о своем выборе оператору или, например, используя кнопки устройства дистанционного управления.

При использовании второго метода операция производится следующим образом. При осуществлении импульсивной покупки сохраняются данные, относящиеся к этой покупке, т.е., в частности, идентификатор программы и ее цена. Указанные данные могут быть сохранены в модуле 1СС защиты или в декодере STB. При введении в декодер ведущего модуля защиты, в частности, с целью увеличения значения счетчика этого декодера, данные, в т. ч. относящиеся к IPPV, передаются ведущему модулю защиты или контрактному модулю защиты. Если данные были сохранены в декодере, они могут быть прямо переданы ведущему модулю в зашифрованном виде или в простом текстовом формате. Если данные были сохранены в модуле защиты, они сначала должны быть переданы в область буферной памяти декодера. При введении в декодер ведущего модуля защиты эти данные вводятся в таблицу ведущего модуля. После передачи этих данных ведущему модулю может быть произведена реинициализация счетчика.

Операция «сбора» данных производится ведущим модулем или контрактным модулем одинаковым образом для всех ведомых модулей. Следовательно, ведущий модуль защиты содержит соответствующие данные, полученные от всех модулей, принадлежащих определенному подписчику. При введении ведущего модуля защиты в декодер, содержащий модем, подключенный к линии обратной связи (кабельной сети или обычной телефонной сети), некоторые и все данные отсылаются в центр управления. Как правило, такие данные отсылаются в зашифрованном виде. Поскольку центр управления располагает всеми ключами, он легко может провести дешифровку содержимого сообщения. Таким образом, можно точно определить содержание программ, потребленных подписчиком с использованием каждого конкретного декодера, что позволяет составить общий счет за все потребленные программы. При передаче этих данных в центр управления он, в частности, получает информацию о состоянии кредита на каждом модуле защиты. Поэтому центр управления также может увеличивать этот кредит, что позволит подписчику производить новые импульсивные покупки. Это также обеспечивает возможность гибкого и точного регулирования кредита, предоставляемого каждому подписчику.

Точная информация о программах, потребленных каждым подписчиком и каждым декодером каждого подписчика, позволяет получить многочисленные преимущества. С одной стороны, как указано выше, упрощается регулирование кредитов, предоставляемых для импульсивных покупок. С другой стороны, появляется возможность получения различных статистических данных, например, по периодам использования каждого декодера для каждого канала. В частности, это позволяет определять уровни потребления различных продуктов и оплачивать затраты в соответствии с реальным потреблением, а не на основе предварительных оценок. Это также позволяет составлять точные статистические профили для каждого декодера и, таким образом, дает возможность вырабатывать для пользователей этих декодеров предложения, связанные с программами или продуктами, соответствующими этим требованиям.

Таблица также может содержать служебные данные. Эти данные могут, например, описывать уровни приема сигнала, чтобы, в частности, информировать подписчика о неоптимальной ориентации антенны и необходимости вызова специалиста для ее настройки. Это также позволяет точно определять положение спутниковых антенн телевизионной связи для формирования оптимальной зоны покрытия. Другие служебные данные могут, например, описывать периоды эксплуатации декодеров любых типов или содержать любую другую информацию, которая может быть полезна для достижения оптимального функционирования системы и вычисления статистических данных, как описано выше. Служебные данные также могут содержать информацию, касающуюся версий программного обеспечения или дат обновления такого программного обеспечения.

Эта информация также собирается ведущим или контрактным модулем защиты, а затем передается в центр управления при введении этого модуля в декодер, соединенный с подключенным к сети модемом.

Если оборудование декодера подписчика не содержит модема, или ни один из декодеров не подключен к телефонной линии, подписчику может быть предложено произвести отсылку контрактного модуля защиты по почте. В этом случае центр управления, требующий отсылки этого модуля, может принять меры к тому, чтобы во время отсутствия этого модуля у подписчика выполнение функций декодирования не прерывалось. Для этого может быть произведена проверка параметров деактивации (значений времени) и увеличение тех значений, обнуление которых возможно в течение того периода, когда подписчик не имеет контрактного модуля. Центр управления может увеличить кредит подписчика, поскольку размер израсходованного кредита точно известен.

Получение всех данных по всем декодерам, зарегистрированным на имя одного и того же подписчика, удобно тем, что позволяет составлять единый счет за все программы, потребленные каждым подписчиком. Кроме того, это оказывает сдерживающее воздействие, сходное с упомянутым в задачах изобретения, поскольку подписчик, перепродающий свой набор из модуля защиты и декодера другому пользователю, получает счета этого другого пользователя. Кроме того, если возможны импульсивные покупки, подписчик не может контролировать объем импульсивных покупок, производимых этим другим пользователем, и получает соответствующие счета за них.

Фиг.7a-7d иллюстрируют различные конфигурации декодера, которые могут быть использованы в устройстве по изобретению. Устройство по фиг.7а иллюстрирует обычный декодер, содержащий внутренний модуль D дешифровки и съемный модуль ICC1 защиты. Эта наиболее часто используемая конфигурация соответствует приведенному выше описанию.

На фиг.7b представлен декодер по фиг.7а, дополнительно содержащий второе устройство для чтения модулей защиты. В этом случае ведомый модуль ICC1 защиты, связанный с декодером, может быть оставлен в декодере.

Во второе устройство чтения может быть вставлен ведущий модуль ICC1 защиты или контрактный модуль защиты, если его использование необходимо.

На фиг.7с изображен вариант осуществления, в котором декодер содержит, с одной стороны, устройство для чтения модуля ICC _C защиты, и с другой стороны, модуль ICC1 защиты, встроенный в декодер и выполненный в виде стандартного электронного модуля. В нормальных условиях эксплуатации обычно используется модуль защиты, встроенный в декодер. При необходимости реинициализации счетчика используется внешний модуль защиты. Этот модуль защиты является по определению контрактным модулем. Этот вариант осуществления изобретения также позволяет использовать съемный модуль в случае, когда дальнейшее использование внутреннего модуля невозможно, например, после существенного изменения функций, выполняемых этим модулем.

Фиг.7d аналогична фиг.7с с тем отличием, что внутренний модуль защиты встроен в одну из интегральных схем модуля D дешифратора.

Функции модуля защит также могут быть интегрированы в модуль D дешифратора.

В вышеприведенном описании предполагалось, что первый модуль ICC1 защиты является ведущим модулем в случае, если подписчик не использует контрактный модуль. Если подписчик использует контрактный модуль, этот модуль выполняет функции ведущего модуля. Поэтому, если иное прямо не оговорено в тексте, ведущий модуль защиты может быть одним из модулей защиты, связанных с декодером, которому была приписана функция ведущего, или контрактным модулем.