JP2010028398A - 放送受信装置、及びその制御方法 - Google Patents

Abstract

【課題】不正受信機のリボケーションの際に正規の受信機のユーザによるコンテンツの視聴が不可能になる状態の発生を抑制する。
【解決手段】複数のチャンネルを含む放送波を受信する放送受信装置であって、メモリに格納されたプログラムに従い、第１種暗号鍵を生成する手段と、放送波からチャンネルを選択する手段と、選択したチャンネルから暗号化された第２種暗号鍵及び暗号化されたコンテンツを取得する手段と、第１種暗号鍵を用いて暗号化された第２種暗号鍵を復号し、復号された第２種暗号鍵を用いて暗号化されたコンテンツを復号する手段と、更新された第１種暗号鍵を生成するための更新されたプログラムを受信する手段と、選択可能な全てのチャンネルについて、更新された第１種暗号鍵を用いて復号可能な暗号化された第２種暗号鍵を取得可能か否かを判定する手段と、取得可能と判定した場合、メモリに格納されたプログラムを更新する手段とを備える。
【選択図】図６

Description

本発明は、放送受信装置、及びその制御方法に関し、特に、コンテンツの保護に関連する技術に関する。

地上デジタル放送では、コンテンツがスクランブル化されて送信されている。コンテンツのスクランブルは限定受信システム（ＣＡＳ：Ｃｏｎｄｉｔｉｏｎａｌ Ａｃｃｅｓｓ Ｓｙｓｔｅｍ）を用いて行われる。現在は限定受信システムとして、ＩＣカードを用いるＢ−ＣＡＳ方式のシステムが運用されている。

放送受信装置においてコンテンツ（特に、コンテンツの著作権）を保護する方式はＲＭＰ（Ｒｉｇｈｔｓ ｍａｎａｇｅｍｅｎｔ ａｎｄ Ｐｒｏｔｅｃｔｉｏｎ）と呼ばれる。ＲＭＰ方式として、暗号鍵を用いてコンテンツを暗号化する方式が用いられている。例えば、現行のＢ−ＣＡＳ方式の場合、暗号鍵としてスクランブル鍵、ワーク鍵、及びマスター鍵という３種類の暗号鍵が階層的に使用される（非特許文献１参照）。

また、一方、非特許文献１の「第３部：受信時の制御方式（コンテンツ保護方式）」において、新たなコンテンツ保護方式（以下、「新ＲＭＰ方式」と呼ぶ）が規格化された。新ＲＭＰ方式では、暗号鍵としてスクランブル鍵、ワーク鍵、及びデバイス鍵という３種類の暗号鍵が階層的に使用される。

スクランブル鍵は、コンテンツ保護の確実性を向上するために数秒毎に変更される。スクランブル鍵は、ワーク鍵を用いて暗号化された形で送信される。暗号化されたスクランブル鍵は、ＥＣＭ（Ｅｎｔｉｔｌｅｍｅｎｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ）と呼ばれるデータに含まれる。

ワーク鍵もまた暗号化されて送信される。ワーク鍵を暗号化する鍵は、従来のＲＭＰ方式の場合はマスター鍵であり、新ＲＭＰ方式の場合はデバイス鍵である。暗号化されたワーク鍵は、ＥＭＭ（Ｅｎｔｉｔｌｅｍｅｎｔ Ｍａｎａｇｅｍｅｎｔ Ｍｅｓｓａｇｅ）と呼ばれるデータに含まれる。

マスター鍵は、Ｂ−ＣＡＳカードに記述されている、カード毎に与えられる鍵である。一方、デバイス鍵は、メーカー毎或いは機種毎に与えられる鍵である。従って、同一メーカーの放送受信装置、或いは同一機種の放送受信装置は、同一のデバイス鍵を所有する。また、放送受信装置は、デバイス鍵に対応するデバイスＩＤを有する。放送受信装置は、デバイスＩＤに対応するデバイス鍵情報からデバイス鍵を生成するプログラムと、デバイスＩＤとを、ファームウェアとして保持する。

新ＲＭＰ方式は、コンテンツの保護を不正に回避する放送受信装置（以下、「不正受信機」と呼ぶ）を無効化する仕組みを有する。不正受信機の無効化は、コンテンツの暗号化に用いる暗号鍵と正規の受信機（不正受信機以外の放送受信装置）が持つ暗号鍵とを更新することにより実現される。その際、不正受信機は暗号鍵の更新を行うことができず、その結果、コンテンツを復号することができなくなる（特許文献１、及び非特許文献１参照）。

不正受信機を無効化することをリボーク、無効化する処理をリボケーションと呼ぶ。デバイス鍵はリボケーションを実行するために更新可能なように設計されている。例えば、デバイス鍵の漏洩が発生した場合、古いデバイス鍵は無効化される。この場合、放送局がワーク鍵の暗号化に使用するデバイス鍵、及び放送受信装置が使用するデバイス鍵の両方を新しいものに更新することが必要である。
電波産業会標準規格「デジタル放送におけるアクセス制御方式」（ＡＲＩＢ ＳＴＤ Ｂ−２５ Ｖｅｒ５．１） 特開２００６―７４２０９号公報

しかしながら、上述した従来の技術でリボケーションを実行するとき、以下の問題が発生する。

特定のデバイスＩＤを持つ放送受信装置が不正受信機として認定された場合を考える。この場合、放送事業者はそのデバイスＩＤを持つ放送受信装置に対してリボケーションを行う。しかし、そのデバイスＩＤを持つ放送受信装置には、不正受信機のみならず正規の受信機も含まれる。

従って、リボケーション実行時、そのデバイスＩＤを持つ正規の受信機は、不正なく利用されているにもかかわらず無効化されることになる。そのため、正規の受信機のユーザは、放送されているコンテンツの視聴が不可能になるという被害を受ける。

実際には、正規の受信機のユーザの被害を防止するために、放送受信装置のメーカーは正規の受信機に対して、新たなデバイスＩＤと、これに対応する新たなデバイス鍵を生成するプログラムとを配布する。これらの情報は前述の通りファームウェアに含まれるので、ここでの配布は、放送受信装置によるファームウェアのアップデートとして実現される。従って、正規の受信機のユーザは、ファームウェアのアップデートを実行することが必要になる。

しかしながら、放送局が使用するデバイス鍵が更新される前に放送受信装置がファームウェアのアップデートを実行すると、その放送受信装置はコンテンツを復号することができず、ユーザによるコンテンツの視聴が不可能になる。

本発明はこのような状況に鑑みてなされたものであり、不正受信機のリボケーションの際に正規の受信機のユーザによるコンテンツの視聴が不可能になる状態の発生を抑制することを目的とする。

上記課題を解決するために、第１の本発明は、複数のチャンネルを含む放送波を受信する放送受信装置であって、メモリに格納されたプログラムに従い、第１種暗号鍵を生成する生成手段と、前記放送波からチャンネルを選択する選択手段と、前記選択手段が選択したチャンネルから、暗号化された第２種暗号鍵、及び暗号化されたコンテンツを取得する取得手段と、前記生成手段が生成した第１種暗号鍵を用いて前記暗号化された第２種暗号鍵を復号し、当該復号された第２種暗号鍵を用いて前記暗号化されたコンテンツを復号する復号手段と、更新された第１種暗号鍵を前記生成手段が生成するための更新されたプログラムを受信する受信手段と、前記選択手段が選択可能な全てのチャンネルについて、前記更新された第１種暗号鍵を用いて前記復号手段が復号可能な暗号化された第２種暗号鍵の前記取得手段による取得が可能であるか否かを判定する判定手段と、前記取得が可能であると前記判定手段が判定した場合に、前記メモリに格納された前記プログラムを前記更新されたプログラムに更新する更新手段と、を備えることを特徴とする放送受信装置を提供する。

また、第２の本発明は、複数のチャンネルを含む放送波を受信する放送受信装置の制御方法であって、メモリに格納されたプログラムに従い、第１種暗号鍵を生成する生成工程と、前記放送波からチャンネルを選択する選択工程と、前記選択工程で選択したチャンネルから、暗号化された第２種暗号鍵、及び暗号化されたコンテンツを取得する取得工程と、前記生成工程で生成した第１種暗号鍵を用いて前記暗号化された第２種暗号鍵を復号し、当該復号された第２種暗号鍵を用いて前記暗号化されたコンテンツを復号する復号工程と、更新された第１種暗号鍵を前記生成工程で生成するための更新されたプログラムを受信する受信工程と、前記選択工程で選択可能な全てのチャンネルについて、前記更新された第１種暗号鍵を用いて前記復号工程で復号可能な暗号化された第２種暗号鍵の前記取得工程における取得が可能であるか否かを判定する判定工程と、前記取得が可能であると前記判定工程で判定された場合に、前記メモリに格納された前記プログラムを前記更新されたプログラムに更新する更新工程と、を備えることを特徴とする制御方法を提供する。

なお、その他の本発明の特徴は、添付図面及び以下の発明を実施するための最良の形態における記載によって更に明らかになるものである。

以上の構成により、本発明によれば、不正受信機のリボケーションの際に正規の受信機のユーザによるコンテンツの視聴が不可能になる状態の発生を抑制することが可能となる。

以下、実施例を説明する。

図１は、本発明の実施例１に係る放送受信装置１００の構成を示すブロック図である。

図１において、選局部１０２は、アンテナ１０１が受信した放送波を受信し、ここから所望のチャンネルを選択する。復調部１０３は、変調されている信号を復調する。復号部１０４は、スクランブルされた（即ち、暗号化された）コンテンツをスクランブル鍵を用いて復号する。

ＴＳデマルチプレクサ１０５は、トランスポートストリーム（ＴＳ）から必要なストリームを取り出す。ＭＰＥＧデコーダ１０６は、ＭＰＥＧデータを復号して映像データを取り出す。画像処理部１０７は、映像信号のフォーマット変換や、輝度や色調の調整を行い、映像信号としてこれを出力する。ディスプレイ１０８は、映像信号を表示する。

システム制御部１０９は、放送受信装置１００の各ブロックを制御する。

ここで図２を参照して、システム制御部１０９のハードウェア構成を説明する。システム制御部１０９は、マイクロプロセッサ１５０、ＤＲＡＭ１５１、フラッシュメモリ１５２、インタフェース（Ｉ／Ｆ）１５３、及びバス１５４を備える。

マイクロプロセッサ１５０は、プログラムとして記述された命令を順次処理するプロセッサである。ＤＲＡＭ１５１は、プログラムやデータを記憶する揮発性のメモリである。フラッシュメモリ１５２は、プログラムや初期データ、更にはデバイスＩＤ等を記憶する、不揮発性のメモリである。

フラッシュメモリ１５２には受信機を制御するプログラム、新ＲＭＰ方式を実現するプログラム、新ＲＭＰ方式で用いるデバイス鍵を生成するアルゴリズムを実装したプログラム、初期データ等がファームウェアとして記録されている。

以下、説明を簡潔にするために、放送受信装置１００のプログラム（ファームウェア）のうち新ＲＭＰ方式に関連する部分を単に「ＲＭＰ」と表記する。

Ｉ／Ｆ１５３は、放送受信装置１００の他のブロックと通信するためのインタフェースである。

バス１５４は、システム制御部１０９の各ブロックを接続するバスであり、各ブロックはバス１５４を介してデータを通信する。

図１に戻り、システム制御部１０９は、スクランブル鍵復号部１１０、ワーク鍵復号部１１１、デバイス鍵生成部１１２、及びアップデート制御部１１３を備える。これらのブロックの機能は、マイクロプロセッサ１５０がプログラム（ＲＭＰ）を実行することにより実現される。

スクランブル鍵復号部１１０は、暗号化されたスクランブル鍵をワーク鍵（第２種暗号鍵）を用いて復号する。ワーク鍵復号部１１１は、暗号化されたワーク鍵をデバイス鍵（第１種暗号鍵）を用いて復号する。デバイス鍵生成部１１２は、ＲＭＰのアルゴリズムに従い、デバイスＩＤに対応したデバイス鍵情報を受信してデバイス鍵を生成する。

前述の復号部１０４は、直接的にはスクランブル鍵を用いてコンテンツを復号するが、スクランブル鍵を取得するためには、スクランブル鍵復号部１１０がワーク鍵を用いてスクランブル鍵を復号する必要がある。従って、概念上は、復号部１０４とスクランブル鍵復号部１１０とが協働し、ワーク鍵を用いてコンテンツを復号すると考えることができる。

アップデート制御部１１３は、システム制御部１０９が実行するファームウェアのアップデートを制御する。ファームウェアはフラッシュメモリ１５２に記憶され、放送受信装置１００が動作するときにはＤＲＡＭ１５１に展開されて実行される。

次に、図３を参照して、放送受信装置１００の起動時の動作を説明する。フラッシュメモリ１５２には、圧縮されたファームウェア１６０１と、データのコピーや圧縮されたデータを展開するソフトウェア１６００とが記録されている。

放送受信装置１００に電源が投入されると、まずソフトウェア１６００のコピー展開処理が実行される。この処理はフラッシュメモリ１５２に存在するファームウェア１６０１をＤＲＡＭ１５１上にコピーする。その結果、圧縮されたファームウェア１６０２がＤＲＡＭ１５１に格納される。次に、コピー展開処理は、圧縮されたファームウェア１６０２の展開を行う。その結果、展開されたファームウェア１６０３がＤＲＡＭ１５１に格納される。

マイクロプロセッサ１５０は、コピー展開処理の最後にファームウェア１６０３の先頭番地にジャンプする。これによりファームウェアが起動し、放送受信装置１００の起動が完了する。

次に、図４を参照して、リボケーション前後における放送波の状態及びＲＭＰの更新タイミングを説明する。図４の横軸は時間を示し、左から右に向かって時間が経過する。

放送事業者は、スクランブル鍵を用いてコンテンツを暗号化して送信し、ワーク鍵を用いてスクランブル鍵を暗号化して送信し、更にデバイス鍵を用いてワーク鍵を暗号化して送信している。従って、図１の選局部１０２が選択したチャンネルからは、暗号化されたワーク鍵と、暗号化されたコンテンツとが取得される。

ここで、リボケーションによる更新前のワーク鍵をＫｗ０、更新後のワーク鍵をＫｗ１とする。また、ＲＭＰの更新前の放送受信装置１００のデバイスＩＤをｄ０、更新後のデバイスＩＤをｄ１、更新前のデバイス鍵をＫｄ０、更新後のデバイス鍵をＫｄ１とする。

不正受信機の存在が発覚する前は、放送事業者はスクランブル鍵をワーク鍵Ｋｗ０を用いて暗号化して送信し、更にワーク鍵Ｋｗ０をデバイス鍵Ｋｄ０を用いて暗号化したＫｄ０［ｋｗ０］を送信している。

時刻Ａにおいて不正受信機の存在が発覚したとする。これにより放送事業者はリボケーションを行うことを決定する。そして放送事業者は放送受信装置のメーカーに対してリボケーションを実行する旨と実行する日時とを連絡する。

これを受けて、メーカーはアップデート用のＲＭＰを含むファームウェアを準備する。ユーザが視聴不能にならないようにするためには、メーカーはリボケーションの時刻（即ち、ワーク鍵Ｋｗ０を用いてコンテンツを復号できなくなる時刻）より十分前にアップデート用のＲＭＰを準備する必要がある。このＲＭＰを含むファームウェアには、新たに発行されたデバイスＩＤ「ｄ１」及びデバイス鍵生成アルゴリズムが実装されている。

時刻Ｂにおいて、メーカーはアップデート用のファームウェアの配信を開始する。ファームウェアは放送波を介して送信される。或いはインターネット等の通信回線を用いて配信されてもよい。

時刻Ｃにおいて、一部の放送局が、新たに発行されたデバイスＩＤ「ｄ１」を用いてデバイス鍵Ｋｄ１を生成し、これを用いてワーク鍵を暗号化することでＫｄ１［Ｋｗ０］を生成し、Ｋｄ１［Ｋｗ０］の送信を開始する。

放送局は複数存在するが、各放送局が新デバイスＩＤ「ｄ１」やこれに対応するワーク鍵Ｋｄ１［Ｋｗ０］の送信を開始するタイミングが同時であることは保証されない。

時刻Ｄにおいて、全ての放送局が新たに発行されたデバイスＩＤ「ｄ１」及びデバイス鍵Ｋｄ１で暗号化されたワーク鍵Ｋｄ１［Ｋｗ０］の送信している状態になる。従って、放送受信装置１００は、時刻Ｄ以降にＲＭＰの更新を行う必要がある。

例えば、時刻Ｅにおいて放送受信装置１００がＲＭＰのアップデートを行うとする。これにより放送受信装置１００のデバイスＩＤはｄ１に変更される。また、更新されたＲＭＰが備えるデバイス鍵生成アルゴリズムにより、デバイス鍵生成部１１２は更新されたデバイス鍵Ｋｄ１を生成する。これにより放送受信装置１００はＫｄ１［Ｋｗ０］を復号してＫｗ０を取得することが可能となる。

時刻Ｆにおいて、各放送局はリボケーションを実施する。これにより、各放送局から送信されるＥＭＭに含まれるワーク鍵は更新され、Ｋｄ１［Ｋｗ１］となる。従って、放送受信装置１００は、時刻Ｆ以前にＲＭＰの更新を行う必要がある。

不正受信機はこれらの鍵を更新できない。その結果、不正受信機はデバイス鍵Ｋｄ１を持つことができず、Ｋｄ１［Ｋｗ１］を復号してＫｗ１を取得することができない。従って、時刻Ｆ以降、不正受信機はコンテンツの視聴が不可能になる。

一方、正規の受信機はすでに時刻ＥにおいてＫｄ１を取得しているため、時刻Ｆ以降もＫｄ１［Ｋｗ１］をＫｄ１を用いて復号することによりＫｗ１を取得することが可能であり、コンテンツの視聴を行うことが可能である。

ここで、放送受信装置１００がＲＭＰを更新すべきタイミングについて更に詳細に説明する。放送受信装置１００が時刻Ｄより前にＲＭＰを更新した場合、一部の放送局がまだＫｄ１［Ｋｗ０］の送信を開始していないため、放送受信装置１００はその放送局用のＫｗ０を取得できず、コンテンツを復号することができなくなる。

また、放送受信装置１００が時刻Ｆより後の時点でまだＲＭＰの更新を行っていない場合、Ｋｄ１［Ｋｗ１］を復号することができないので、コンテンツを復号することができなくなる。

従って、ＲＭＰの更新を実行すべき期間は時刻Ｄと時刻Ｆとの間である。

以下、図５及び図６を参照して、放送受信装置１００がＲＭＰを更新する処理の流れを説明する。図５及び図６に示す各ステップの処理は、マイクロプロセッサ１５０（図２）がファームウェア１６０３（図３）を実行することにより実現される。

放送受信装置１００は、所定のタイミング（例えば、１日１回、或いは１週間に１回）で、ファームアップデート処理を起動する。ファームアップデート処理は図５のＳ１００１から開始される。

Ｓ１００２で、放送受信装置１００は、更新されたファームウェアが存在するか否かを判定する。この処理はＰＳＩ（番組特定情報）に含まれるＳＤＴＴ（Ｓｏｆｔｗａｒｅ Ｄｏｗｎｌｏａｄ Ｔｒｉｇｇｅｒ Ｔａｂｌｅ）を確認することにより行われる。新しいファームウェアが存在しない場合、Ｓ１０２０に進み、ファームアップデート処理を終了する。新しいファームウェアが存在する場合、Ｓ１００３に進む。

Ｓ１００３で、放送受信装置１００は、更新されたファームウェアのダウンロード（受信）を行う。

Ｓ１００４で、放送受信装置１００は、更新されたファームウェアに更新されたＲＭＰが含まれているか否かを判定する。更新されたファームウェアには、特定の位置に予めＲＭＰの更新の有無を示すフラグが設けられている。従って、放送受信装置１００は、このフラグを確認することによりこの判定を行う。

Ｓ１００４において更新されたＲＭＰが存在しないと判定された場合、放送受信装置１００は通常のアップデート処理を行う。即ち、放送受信装置１００は、Ｓ１０１０でフラッシュメモリ１５２のファームウェア１６０１の消去を行い、次にＳ１０１１で新しいファームウェアをフラッシュメモリ１５２の空き領域に記録する。更に、放送受信装置１００は、Ｓ１０１２で新しいファームウェアをＤＲＡＭ１５１上に展開し、Ｓ１０１３で展開された新しいファームウェアの先頭番地にジャンプする。これによりファームアップデート処理が完了する。

一方、Ｓ１００４において更新されたＲＭＰが存在すると判定された場合、Ｓ１００５で、放送受信装置１００は、スキャンすべきチャンネルのリストを生成する。スキャンすべきチャンネルは、選局部１０２が選択可能な全てのチャンネルである。また、ＲＭＰの方式がバンドごとに異なるので、このリストは、例えば地上デジタル放送といった同一バンド枠にグループ分けされたものから生成される。

Ｓ１００６で、放送受信装置１００は、Ｓ１００３においてダウンロードした新しいファームウェアをＤＲＡＭ１５１に展開し、更にＳ１００７でアップデートフラグをセットする。このフラグはファームウェアをアップデートしている最中であることを示す。この後、放送受信装置１００は、Ｓ１００８で新しいファームウェアの先頭番地にジャンプする（図６に続く）。

図６のＳ１１０１は新しいファームウェアの先頭番地を示し、放送受信装置１００は、Ｓ１１０１から処理を開始する。

Ｓ１１０２で、放送受信装置１００は、アップデートフラグをチェックする。アップデートフラグがアップデート中でないことを示す値である場合、Ｓ１１２０に進み、放送受信装置１００は通常の受信処理を開始する。アップデートフラグがアップデート中であることを示す値である場合、Ｓ１１０３に進む。

Ｓ１１０３で、放送受信装置１００は、時計（不図示）から取得した現在時刻がリボーク予定時刻より前であるか否かを判定する。リボーク予定時刻は放送波、或いはインターネット等の通信回線を介して取得（検出）される。現在時刻がリボーク予定時刻より前であればＳ１１０４に進む。一方、既にリボーク予定時刻を過ぎている場合、Ｓ１１１０に進み、放送受信装置１００はファームウェアのアップデートを実行する（詳細は後述）。即ち、リボーク予定時刻以降は、以下で説明する判定結果に関わらず、放送受信装置１００はファームウェアのアップデートを実行する。

Ｓ１１０４からＳ１１０９までの処理は、全チャンネルにおいて新しいデバイス鍵Ｋｄ１に対応したワーク鍵が送信されていることを確認する処理である。

Ｓ１１０４で、放送受信装置１００は、受信するチャンネルを決定する。ループ内の１回目の処理においてはチャンネルリスト上の最初のチャンネルを受信するように選局部１０２を設定する。２回目以後はリスト上のチャンネルの並び順にチャンネルを変更する。

Ｓ１１０５で、放送受信装置１００は、新しいデバイスＩＤ「ｄ１」に対応するデバイス鍵情報を受信し、これをデバイス鍵生成部１１２に入力することにより新しいデバイス鍵Ｋｄ１を得る。この処理は新たにダウンロードされたファームウェアで実行されているので、デバイス鍵生成部１１２も更新されたアルゴリズムに従って動作する。そのため、生成されるデバイス鍵は新しいデバイス鍵Ｋｄ１である。

Ｓ１１０６で、放送受信装置１００は、暗号化されたワーク鍵を受信し、新しいデバイス鍵Ｋｄ１を用いて復号する。このとき、暗号化されたワーク鍵がＫｄ１［Ｋｗ０］であれば正しいワーク鍵Ｋｗ０が生成され、そうでなければ不定のデータ列が生成される。放送受信装置１００は、復号されたワーク鍵（但し、これは不定のデータ列かもしれない）をスクランブル鍵復号部１１０に存在するレジスタにセットする。スクランブル鍵復号部１１０は正常にスクランブル鍵が生成できなかった場合、エラーフラグに１をセットする。

Ｓ１１０８で、放送受信装置１００は、エラーフラグを判定することによりワーク鍵が正しいか否かを確認する。エラーが発生していない場合はＳ１１０９に進む。エラーが発生している場合、Ｓ１１１４に進み、放送受信装置１００はエラーメッセージを表示する。エラーメッセージには、例えば、更新されたＲＭＰに対応したワーク鍵をまだ送信していない放送局が存在することや、ファームウェアの更新を後日行うことなどが記述される。次いでＳ１１１５で、放送受信装置１００は、旧ファームウェアをＤＲＡＭ１５１に再展開し、その先頭番地にジャンプする。

一方、Ｓ１１０９では、放送受信装置１００は、選局部１０２が選択可能な全てのチャンネルについてＳ１１０４乃至Ｓ１１０８の処理を完了したか否かを判定する。完了した場合はＳ１１１０に進み、完了していない場合はＳ１１０４に戻って次のチャンネルに対して同様の処理を繰り返す。

選局部１０２が選択可能な全てのチャンネルが新しいデバイス鍵Ｋｄ１を用いて復号可能なワーク鍵を送信している場合（Ｓ１１０９からＳ１１１０へ進んだ場合）、放送受信装置１００はアップデート処理を行う。これは、リボーク予定時刻が過ぎている場合（Ｓ１１０３からＳ１１１０へ進んだ場合）も同様である。

即ち、放送受信装置１００は、Ｓ１１１０でフラッシュメモリ１５２のファームウェア１６０１の消去を行い、次にＳ１１１１で新しいファームウェアをフラッシュメモリ１５２の空き領域に記録する。更に、放送受信装置１００は、Ｓ１１１２で新しいファームウェアをＤＲＡＭ１５１上に展開し、Ｓ１１１３で展開された新しいファームウェアの先頭番地にジャンプする。これによりファームアップデート処理が完了する。

以上説明したように、本実施例によれば、放送受信装置１００は、選択可能な全てのチャンネルにおいてワーク鍵を暗号化するデバイス鍵の更新がなされたことを確認した後、ＲＭＰの更新を実行する。

これにより、不正受信機のリボケーションの際に正規の受信機のユーザによるコンテンツの視聴が不可能になる状態の発生を抑制することが可能となる。

次に、実施例２を説明する。本実施例において、放送受信装置１００の構成は実施例１と同様であるため、その説明を省略する。実施例２では、放送受信装置１００は、更新されたＲＭＰを実際に実行するのではなく、ＥＭＭに含まれる更新番号（識別情報）を用いて、選択可能な全てのチャンネルにおいてデバイス鍵の更新がなされたか否かを判断する。

放送受信装置１００は、ＥＭＭ更新番号を各チャンネルについてそれぞれ取得し、これをＥＭＭ更新番号リストとしてフラッシュメモリ１５２に記憶している。

以下、図７及び図８を参照して、放送受信装置１００がＲＭＰを更新する処理の流れを説明する。図７及び図８に示す各ステップの処理は、マイクロプロセッサ１５０（図２）がファームウェア１６０３（図３）を実行することにより実現される。

放送受信装置１００は、ＲＭＰアップデート確認処理を図７のＳ２１０１から開始する。まず、Ｓ２１０２で、放送受信装置１００は、近い将来リボークの予定があるか否かを判定する。リボークの予定に関する情報は、放送波やインターネット回線などを介して取得可能である。Ｓ２１０２にてリボーク予定が無いと判定された場合はＲＭＰをアップデートする必要は無いので、Ｓ２１０７に進んで処理を終了する。リボーク予定がある場合は、Ｓ２１０３に進む。

Ｓ２１０３で、放送受信装置１００は、リボーク予定時刻を取得し、Ｓ２１０４で新しいデバイスＩＤを取得し、Ｓ２１０５でスキャンすべきチャンネルのリストを生成し、Ｓ２１０６でＲＭＰアップデート処理へジャンプする（図８に続く）。

放送受信装置１００はＲＭＰアップデート処理を図８のＳ２００１から開始する。図８において、図６と同一の処理が行われるステップには同一の符号を付し、説明を省略する。

Ｓ２００２で、放送受信装置１００は、時計（不図示）から取得した現在時刻がＳ２１０３で取得したリボーク予定時刻より前であるか否かを判定する。現在時刻がリボーク予定時刻より前であればＳ２００３に進む。一方、既にリボーク予定時刻を過ぎている場合、Ｓ２００９に進み、放送受信装置１００はファームウェアのアップデートを実行する（詳細は後述）。即ち、リボーク予定時刻以降は、以下で説明する判定結果に関わらず、放送受信装置１００はファームウェアのアップデートを実行する。

Ｓ２００３からＳ２００７までの処理は、全チャンネルにおいて新しいデバイス鍵Ｋｄ１に対応したワーク鍵が送信されていることを確認する処理である。

Ｓ２００３で、放送受信装置１００は、受信するチャンネルを決定する。ループ内の１回目の処理においてはチャンネルリスト上の最初のチャンネルを受信するように選局部１０２を設定する。２回目以後はリスト上のチャンネルの並び順にチャンネルを変更する。

Ｓ２００４で、放送受信装置１００は、選択中のチャンネルからＥＭＭの更新番号を取得し、Ｓ２００５で、取得したＥＭＭ更新番号をＤＲＡＭ１５１に記憶する。更新番号の取得には、すでに取得してある新デバイスＩＤを用い、このデバイスＩＤに対応したＥＭＭ更新番号を取得する。

Ｓ２００６で、放送受信装置１００は、選択中のチャンネルについて、取得したＥＭＭ更新番号と過去に保存してあるＥＭＭ更新番号とを比較する。ＥＭＭ更新番号が変化した場合（例えば、比較結果が不一致でかつ取得したＥＭＭ更新番号のほうが１だけ大きい場合）、Ｓ２００７に進む。そうでない場合はＳ２０３０に進み、放送受信装置１００はＳ１１１４と同様、エラーメッセージを表示する。そして、Ｓ２０３１で、放送受信装置１００はアップデート処理を終了する。

一方、Ｓ２００７では、放送受信装置１００は、選局部１０２が選択可能な全てのチャンネルについてＳ２００３乃至Ｓ２００６の処理を完了したか否かを判定する。完了した場合はＳ２００９進み、完了していない場合はＳ２００３に戻って次のチャンネルに対して同様の処理を繰り返す。

Ｓ２００９で、放送受信装置１００は、更新されたＲＭＰを含む更新されたファームウェアを受信する。即ち、本実施例では、放送受信装置１００は、選択された全てのチャンネルにおいて新しいデバイス鍵Ｋｄ１に対応したワーク鍵が送信されていることを確認した後に更新されたファームウェアを受信する。

次いで、Ｓ１１１０以降で、放送受信装置１００は、実施例１と同様にファームウェアのアップデートを実行する。

新ファームウェアが実行されると、新ファームウェアに含まれる更新されたＲＭＰが動作する。そして新デバイスＩＤを用いてデバイス鍵が生成され、ワーク鍵が更新され、スクランブル鍵が復号される。そしてＥＭＭの更新番号は＋１されているので、放送受信装置１００はＥＭＭ更新番号リストを更新し、フラッシュメモリ１５２に記憶する。

以上説明したように、本実施例によれば、放送受信装置１００は、更新されたＲＭＰを実際に実行するのではなく、ＥＭＭに含まれる更新番号（識別情報）を用いて、選択可能な全てのチャンネルにおいてデバイス鍵の更新がなされたか否かを判断する。

これにより、デバイス鍵の更新を確認する処理に要する時間を短縮することができる。

［その他の実施例］
上述した各実施例の機能を実現するためには、各機能を具現化したソフトウェアのプログラムコードを記録した記録媒体をシステム或は装置に提供してもよい。そして、そのシステム或は装置のコンピュータ（又はＣＰＵやＭＰＵ）が記録媒体に格納されたプログラムコードを読み出し実行することによって、上述した各実施例の機能が実現される。この場合、記録媒体から読み出されたプログラムコード自体が上述した各実施例の機能を実現することになり、そのプログラムコードを記録した記録媒体は本発明を構成することになる。このようなプログラムコードを供給するための記録媒体としては、例えば、フロッピィ（登録商標）ディスク、ハードディスク、光ディスク、光磁気ディスクなどを用いることができる。或いは、ＣＤ−ＲＯＭ、ＣＤ−Ｒ、磁気テープ、不揮発性のメモリカード、ＲＯＭなどを用いることもできる。

また、上述した各実施例の機能を実現するための構成は、コンピュータが読み出したプログラムコードを実行することだけには限られない。そのプログラムコードの指示に基づき、コンピュータ上で稼動しているＯＳ（オペレーティングシステム）などが実際の処理の一部又は全部を行い、その処理によって上述した各実施例の機能が実現される場合も含まれている。

更に、記録媒体から読み出されたプログラムコードが、コンピュータに挿入された機能拡張ボードやコンピュータに接続された機能拡張ユニットに備わるメモリに書きこまれてもよい。その後、そのプログラムコードの指示に基づき、その機能拡張ボードや機能拡張ユニットに備わるＣＰＵなどが実際の処理の一部又は全部を行い、その処理によって上述した各実施例の機能が実現される場合も含むものである。

本発明の実施例１に係る放送受信装置の構成を示すブロック図である。 実施例１に係る放送受信装置のシステム制御部のハードウェア構成を示す図である。 実施例１に係る放送受信装置の起動時の動作を説明する図である。 リボケーション前後における放送波の状態及びファームウェアの更新タイミングを説明する図である。 実施例１に係る放送受信装置がファームウェアを更新する処理の流れを示すフローチャートである。 実施例１に係る放送受信装置がファームウェアを更新する処理の流れを示すフローチャートである。 実施例２に係る放送受信装置がファームウェアを更新する処理の流れを示すフローチャートである。 実施例２に係る放送受信装置がファームウェアを更新する処理の流れを示すフローチャートである。

Claims (5)

1. 複数のチャンネルを含む放送波を受信する放送受信装置であって、
   メモリに格納されたプログラムに従い、第１種暗号鍵を生成する生成手段と、
   前記放送波からチャンネルを選択する選択手段と、
   前記選択手段が選択したチャンネルから、暗号化された第２種暗号鍵、及び暗号化されたコンテンツを取得する取得手段と、
   前記生成手段が生成した第１種暗号鍵を用いて前記暗号化された第２種暗号鍵を復号し、当該復号された第２種暗号鍵を用いて前記暗号化されたコンテンツを復号する復号手段と、
   更新された第１種暗号鍵を前記生成手段が生成するための更新されたプログラムを受信する受信手段と、
   前記選択手段が選択可能な全てのチャンネルについて、前記更新された第１種暗号鍵を用いて前記復号手段が復号可能な暗号化された第２種暗号鍵の前記取得手段による取得が可能であるか否かを判定する判定手段と、
   前記取得が可能であると前記判定手段が判定した場合に、前記メモリに格納された前記プログラムを前記更新されたプログラムに更新する更新手段と、
   を備えることを特徴とする放送受信装置。
2. 前記判定手段は、
   前記受信手段が前記更新されたプログラムを受信した後に、前記生成手段に前記更新されたプログラムに従い前記更新された第１種暗号鍵を生成させ、
   前記選択手段が選択可能な全てのチャンネルについて、前記復号手段に前記更新された第１種暗号鍵を用いて前記取得手段が取得した暗号化された第２種暗号鍵を復号させ、復号できた場合に前記取得が可能であると判定する
   ことを特徴とする請求項１に記載の放送受信装置。
3. 前記取得手段は、前記選択手段が選択したチャンネルから取得可能な暗号化された第２種暗号鍵を識別する識別情報を取得し、
   前記判定手段は、前記選択手段が選択可能な全てのチャンネルについて、前記取得手段が取得した識別情報が変化した場合に前記取得が可能であると判定し、
   前記受信手段は、前記取得が可能であると前記判定手段が判定した後に前記更新されたプログラムを受信する
   ことを特徴とする請求項１に記載の放送受信装置。
4. 前記復号手段が前記復号された第２種暗号鍵を用いて前記暗号化されたコンテンツを復号できなくなる時刻を検出する検出手段を更に備え、
   前記更新手段は、前記時刻が過ぎている場合、前記判定手段の判定結果に関わらず前記更新を実行する
   ことを特徴とする請求項１乃至３のいずれか１項に記載の放送受信装置。
5. 複数のチャンネルを含む放送波を受信する放送受信装置の制御方法であって、
   メモリに格納されたプログラムに従い、第１種暗号鍵を生成する生成工程と、
   前記放送波からチャンネルを選択する選択工程と、
   前記選択工程で選択したチャンネルから、暗号化された第２種暗号鍵、及び暗号化されたコンテンツを取得する取得工程と、
   前記生成工程で生成した第１種暗号鍵を用いて前記暗号化された第２種暗号鍵を復号し、当該復号された第２種暗号鍵を用いて前記暗号化されたコンテンツを復号する復号工程と、
   更新された第１種暗号鍵を前記生成工程で生成するための更新されたプログラムを受信する受信工程と、
   前記選択工程で選択可能な全てのチャンネルについて、前記更新された第１種暗号鍵を用いて前記復号工程で復号可能な暗号化された第２種暗号鍵の前記取得工程における取得が可能であるか否かを判定する判定工程と、
   前記取得が可能であると前記判定工程で判定された場合に、前記メモリに格納された前記プログラムを前記更新されたプログラムに更新する更新工程と、
   を備えることを特徴とする制御方法。

Images