CN1066950A

CN1066950A - 用于数字式可改进的电视信号解码器的独立外部安全性模块

Info

Publication number: CN1066950A
Application number: CN92103389A
Authority: CN
Inventors: K·甘米; R·K·米田; 胡业新; W·谢尔德里克
Original assignee: Scientific Atlanta LLC
Current assignee: Scientific Atlanta LLC
Priority date: 1991-03-29
Filing date: 1992-03-28
Publication date: 1992-12-09
Anticipated expiration: 2007-03-28
Also published as: JPH05145923A; ATE180373T1; PH31140A; EP0679029B1; DE69229235T2; US5237610A; AU1384092A; ATE144670T1; DE69229408D1; ATE181196T1; BR9201106A; JP3476481B2; DE69229235D1; EP0679029A1; EP0683614A1; SG44801A1; DE69214698T2; CN1030955C; EP0506435B1; MY131301A

Abstract

用于传输信号的安全系统包括：(1)对信号编码的编码装置(701)，它包括：对信号扰频并输出被扰频的信号和用于对被扰频信号去除扰频的关键码的扰频装置(703)，耦合到此扰频装置上的第一关键码加密装置(710)，和第二关键码加密装置(711)；和(2)用来接收并对被扰频信号去除扰频的解码装置(706)，它包括：第一关键码解密装置(719)，一个包含第二关键码解密装置(718)的可更换的安全模块(714)，耦合到第一和第二关键码解密装置上的信号去扰频装置(708)。

Description

本发明总的涉及扰频和传输系统，具体来说涉及一种广播、卫星或电缆电视传输系统的电视信号解码器的一个外部安全性模块。另外，更明确地说本发明涉及一种将用户信息传输到收费电视信号分配器的方法，和转换电视信号解码器以接受数字电视信号的方法。本发明具体应用了B-型多通道模拟分量（B-MAC）卫星转输，但也可用于NTSC（国家电视标准委员会），PAL，SECAM，或建议的高清晰度电视制式。还有，本发明的扰频系统可用于一些相关领域：如电子银行存贮网络，电话交换系统，蜂窝式电话网络，计算机网络，等等。该系统可特别应用于所谓的“有条件使用”的多频道电视系统，在这种系统中观看者可以收看几个“基本的”频道，一个或多个需要“额外费用”或附加费的频道，以及“付款观看”（pay-per-view）“或自动付款观看”（implse pay-per-view）节目。

在收费电视系统中，收费电视服务提供者典型地通过扰频保护信号以防止未经批准的用户和侵权者使用。

对下面讨论的目的及本发明的目的，“付款用户”指付电视服务费的人。“付款用户”因而可以是在自己家中有一个解码器的个人用户，或可以是一个系统操作人员（如一个当地电缆电视操作人员），或一个小网络的操作人员（如一个旅店/汽车旅店操作人员，他具有用于旅店或汽车旅店所有电视的一个中心解码器）。另外，“付款用户”可以是一个工业用户，如与本申请是同一受让人的美国专利4，866，770所述，并在此通过引用结合到本申请中。

为了本发明的目的，一个网络被定义为一个节目源，（如一个收费电视提供者），一个编码器，（有时称为一个“起点”），一个传输装置（卫星，电缆，无线电波，等等）和如上所述的被用户所使用的一系列解码器。一个系统被定义为一个节目源、一个编码器、一个传输装置、和一个信号接收解码器。这种系统模型被用来描述在一个网络中的一个个人解码器如何与编码器互相配合。

扰频过程是通过一个本身可以是被加密的关键码来完成的。对每个希望收到信号的用户提供一个解码器，该解码器有其独有的鉴别数码。只要交了合适的服务费，解码器可以分别地被批准具有一个关键码对扰频的信号解除扰频影响。通过将与关键码（和其它信息）结合工作的去除扰频的算法分配给付款用户，并且拒绝把这种信息给非用户及所有可能的侵权者来实现核准。

关键码可以以埋在正常电视传输中的数据信号形式与解码器的鉴别数码结合而被传输。在一个典型的电视信号中，有所谓的在每一场里出现的“垂直消隐间隔”（VBI）和在色度和亮度信号之间的每一行中发生的“水平消隐间隔”（HBI）。各种其它信号可以在垂直和水平消隐间隔中的“带内”传送，包括附加的声音通道，数据，和电传信息。关键码可以象已有技术熟知的那样被嵌在这这“消隐间隔”中。请注意美国专利4，829，569（转让给本申请的同一受让人）并在此引入作为参考，该专利表明了这样一些数据怎样被嵌在B-MAC信号中。另外，关键码可以在一个分离的数据通道上或甚至在一个电话线上“带外”传送。

维持一个有条件使用电视网络中的安全性取决于下面一些要求：

（ⅰ）信号扰频技术必须足够复杂以保证直接编码图攻击不可行。

（ⅱ）分配给一个核准的解码器上的关键码不能被读出并传输到其它解码器上。

第一个条件可以通过现在可以得到的如DES（数据编码标准）的可行的扰频算法或相关的算法来满足。

第二个条件要求电视信号解码器中某些装置的物理安全性，并且相当难以满足。这样一个装置必须防止观察到关键码的解码过程和部分解码后的关键码信号。

图1表示一个用于卫星传输的已有技术的有条件使用系统。在编码器101中，包括图像信号、声音信号和数据的源节目信息102在节目扰频器103中利用一个来自关键码存贮器104的关键码被扰频。所采用的扰频技术可以是该领域公知的任何一种这类技术，关键码可以是一个用于扰频过程的信号或代码数字，该信号或代码数字在解码器106的节目去扰频器108中需要“打开”节目或对节目去掉扰频。实际上，可以用一个关键码（单层编码）或多于一个关键码（未示出）。关键码通常随时间变化（如按月）以挫败侵权者。被扰频的节目和关键码通过卫星线路105传输，并由有条件使用解码器106接收。解码器106从被接收的信号中恢复关键码，把它贮存在关键码存贮器107中，并把它用于节目去扰频器108中，节目去扰频器108对通过卫星线路105接收的扰频节目去除扰频，输出去除了扰频影响的节目109。这种系统不是完全安全的，这是由于关键码不设障碍地通过通道传输并可能被侵权者得到并再现。

为克服此困难并参考已有技术图2，一个在分配过程中保护信关键码的方法被引进图1的系统。在传输前，在节目扰频器203中用于对源节目202扰频的关键码从关键码存贮器204中被再现，并且该关键码本身用来自秘密序号代码数据库211的秘密序号代码（SSN）在关键码加密器210中被加密，秘密序号代码数据库211包括所有被认可用户的一个秘密库号代码表。这些秘密序号可以与上面提到的用于一个这样一些译码器网络的每个解码器独有的鉴别数字相关。现在已用关键码对源节目扰频，并且关键码本身已用一个秘密序号加密。因而，与图1的系统相比在传输过程中该关键码不会被泄露秘密或再现。为了对节目去掉扰频，侵权者必须首先得到一个被认可解码器的秘密序号，把它与已适当加密的关键码配合，对该关键码解密，并然后对节目去掉扰频。该秘密序号被设置在解码器206中，例如，在制造过程中置于解码器206内的SSN存贮器212中。这样，只要解码器206在物理上保持安全性，该秘密序号不会被侵者所得。

每个秘密序号为了它的安全性对一个个别的解码器是唯一的，或至少对一组解码器是唯一的，通过对一个数据库211的循环，加密的关键码就被各自传送到每个解码器中，数据库包含了编码器201中该网络的所有秘密序号，并在一个编址数据包中形成一个独立的各自对网络中的每个被认可的解码器编址的关键码分配信息，单个解码器通过读出附加在该加密关键码上的关键码分配信息识别出何时已接收到它的加密关键码，一个典型的编址数据包绘在图9上并在下面更详细地描述。

在已知的B-MAC系统中，关键码分配在一个编址数据包中，靠其独有的鉴别数码各自被读取到特定的用户解码器中。该编址数据包一般被插到垂直消隐间隔的第4到第8行中。每个编址数据包一般被读取到一个单独的解码器上。由于在一个B-MAC或NTSC电视信号中每秒钟产生60场（每两个隔行场组成的30帧），以每场一个编址数据包的速率，每秒钟可以对60个不同的解码器（或解码器组）编址，或3600个/分钟，215，000/小时，和5，000，000/天。由于每个解码器只有当服务等级或编码等级变化时才需被编址，即使在大系统中也有足够的帧可以用来分别对每个解码器编址。通过每场传输多于一个的编址数据包可以增加解码器的寻址速率。附加的数据包可以插到每帧的垂直消隐间隔或水平消隔间隔中。有可能被编址的解码器的总数目是解码器地址可利用的数据的位数的函数。B-MAC格式一般使用28位作为解码器地址，允许超过268，000，000个可能的解码器地址。注意美国先进电视系统委员会报告T2/62，“多通道模拟分量电视广播系统参数说明”，在此引入作为参考，它描述了一个B-MAC信号中的数据格式。

在接收到编址数据包之后，关键码解密器213利用存贮在SSN存贮器212中的秘密序号代码对关键码解密。如果要终止对网络中任何一个解码器206的服务，只需简单地从SSN数据库211中删去该秘密序号代码，这样从下一个关键码周期开始起解码器206就被解除认可。

在如图2所示的这样一个解码器中，收费电视提供者必须依靠解码器盒本身的物理安全性来防止侵权者读取或改变秘密序号代码和在解码器中的关键码存贮器，或发现关键码的解密过程。为了提供必要的物理安全性，解码器盒可以配备以防破坏的封印，尤其是配备带帽螺钉和扣紧件，或其它防破坏的包装以使得解码器不易发生物理损害。付款用户可以意识到破坏解码器将改变防破坏封印或毁坏解码器，并会在下一次的检查中被发现。

依靠解码器的物理安全性来保持系统的安全性有几个缺点。首先，收费电视提供者必须保持网络的所有解码器的所有权及对它的控制，然后把解码器出租或租赁给付款用户。收费电视提供者因而有责任保养所有的解码器，并必须维持昂贵的另部件库存和维修人员。另外，为了开始服务，一个服务人员必须亲自到付款用户居住地去安装解码器。在收费电视卫星系统中，这样的安装和服务要求对于可能位于世界各地遥远的安装可能是相当昂贵的。另外，如果一个侵权者在分配过程中或从一个单独付款用户家中偷得一个解码器，解码器的物理安全性将被破坏而且不怕被发现。

因此，图2的系统只有在下列条件下才是安全的：

（ⅰ）必须不可能读出或改变SSN和解码器中的关键码存贮器。

（ⅱ）必须不可能发现关键码的解密过程，或解码器的4个元件（207，208，212和213）之间的连线。

达到这两个目的的一种方法是采用一个所谓的“安全微处理机”。

图3表示一个典型已有技术微处理机320的方框图，该微处理机带有处理器321、程序存贮器322、存贮地址总线328、存贮数据326和存贮数据总线327。在这样一个设备中，根据贮存在程序存贮器322中的程序处理输入数据323，产生输出数据324。程序存贮器322可以通过存贮数据总线327“读出”。即是，通过存贮地址总线328送进到程序存贮器322中的相继增加的存贮地址325，该存贮器被一步步前进。来自存贮数据总线327的输出存贮数据326将展现微处理机320的所有程序内容，包括任何一种被贮存的去除扰频的算法和秘密序号代码。有了这些数据，一个侵者能很容易地对一个通过图2的卫星线路205传输的关键码解密。

图4表示根据本发明的一个方面用来保护一个算法及秘密序号代码的一个理想的安全微处理机420的方框图。图4的安全微处理机420与图3微处理机320的主要区别在于其没有存贮地址总线328和存贮数据总线327，因而没有办法为了读出或写入的目的一步步地前进程序存贮器422。存贮器的访问是由处理器421根据不能改变的掩码编程代码来执行。所有输入的数据423作为需要处理的数据被处理，所有输出数据424是处理输入数据423的结果。没有通过数据输入来读出或改变程序存贮器422内容的机构。

一些现代装置很接近这种理想的安全微处理机。然而，有一个要求造成了不同于这种理想的安全微处理机。制造后，必须有一个机构可以用来把解码器特有的秘密序号代码430及解密算法434写入存贮器422。如果该装置能为侵者得到，他为了非法复制的目的可以改变秘密序号代码。因而，这样的装置在秘密序号代码已被输入之后必须永久性地被损坏。

多种不同技术可用于损坏写入该存贮器的装置。可使安全微处理机420具有在芯片上的可熔断的数据线路431，一个软件锁，或类似的使秘密序号代码430和去扰频算法434在制造时加进存贮器422上的装置。然后，例如，毁坏虚线所示的可熔断的线路，使得侵权者无法得到存贮在程序存贮器422中的去扰频算法434或秘密序号代码430。

在另一个实施例中，图4中的微处理机可用一个“E²位”保险。当有人企图读出存贮器的内容时，“E²位”（一种形式的软件锁）将使整个存贮器（典型地是EEPROM）被擦去。“E²位”提供两个优点;第一，使存贮器保险以防可能的侵犯，第二，存贮的擦抹表示破坏已经发生过。

为了从这样一个安全微处理机中泄露秘密，侵者将不得不利用大批昂贵的微芯片装置和相当可观的预算。破坏处理器和内容，处理器的物理安全性将必须被破坏。然而，集成电路技术不断改进和意想不到的发展有可能可以进行比现在可得到的更经济的微观水平的攻击。另外，用于卫星传输的侵权解码器的世界范围的市场将对为了泄露这样一个部件秘密的更趋完善的侵权电子学工业提供经济的刺激。

复制单独一个包括一个图4的微处理机的解码器，这将导致基于在那个单个解码器中的单独一个秘密序号代码的解码器的大量非法复制。如发现将导致那个秘密序号码的终止，并因而也终止了所有这些非法复制品。然而，一个侵权者可以选择使用该单独一个被泄露秘密的部件来再现该关键码。侵权者这样就可以开发一个解码器设计，它可接收关键码作为直接输入。这些侵权部件就可能非法地分发到用户，用户将每月付款给侵权者以取得每月更新的关键码。安全性失败的后果是给收费电视提供者造成极大的损失。

如果保险只是依靠安全微处理机的物理安全性，收费电视提供者因而将冒风险。图5表示一个装置，它试图以可更换的安全模块514的形式提供一个安全装置来克服图1和图2装置的缺陷。可更换的安全模块514包括关键码解密器513、秘密序号代码存贮器512和关键码存贮器507。如图2中一样，编码器501用来自关键码存贮器504的一个关键码在节目扰频器503中对包括有图像信号、声音信号和数据的源节目502进行扰频。关键码在关键码加密器510中用来自秘密序号代码数据库511的一个秘密序号代码（SSN）来加密，秘密序号代码数据库包括所有合法用户的秘密序号代码表。

相同的SSN被安装在可更换的安全模块514中的秘密序号代码存贮器512中，可更换的安全模块514是可拆卸地连在解码器506上。可更换的安全模块514的关键码解密器513利用存贮在秘密序号代码存贮器512中的秘密序号代码对关键码解密。解密后的关键码贮存于关键码存贮器507中。不像图2，整个可更换的安全模块是可拆卸地连于解码器506上。节目去扰频器508从可更换的安全模块514中的关键码存贮器507中读出解密后的关键码，并用此关键码去除扰频并输出去扰频后的节目509。可拆卸的安全模块514被设计得可由用户更换，最好不用特殊工具，因而，最方便情况是用一个插入式模块。

使用插入式外部模块，通过将它以很低价换出，给予了收费电视提供者提高该安全装置工艺的能力。在发生安全性破坏时，一个新的包含节目扰频算法和SSN的可更换的安全模块可以邮寄到被认可的用户。被认可的用户可以从他们的解码器上取下旧的可更换的安全模块，并由他们自己插入新的可更换的安全模块。这样就恢复了系统的安全性，不用花钱整个更换解码器，或花钱派一个维修人员去更换在每个解码器中的可更换的安全模块。另外，收费电视提供者不必自己拥有解码器。解码器可以是一种由用户购买的普通的商业可得到的部件，或甚至可结合于电视本身。为了开始服务，收费电视提供者仅需将可更换的安全模块邮寄给用户而无需上门服务。

尽管可更换的安全模块提供了保证网络的安全性破坏后可以恢复的优点，它也有一些缺点。所有的安全性都在可更换的安全模块514中，解码器506本身是一个普通部件。由可更换的安全模块514产生的关键码信号在其到解码器506的传输点处是可以被发现的。因而，关键码应足够经常地变化以保证其对潜在的侵权者没有价值。

这种方法的问题是一个给定的可拆卸的安全模块514要与任何解码器506一起工作，并且破坏可更换的安全块514不会损坏解码器506。结果是如果可更换的安全模块514泄露秘密，侵权行为将会非常迅速地扩展。

尽管如上所描述的装置表示了单独一个用于对节目信号扰频的关键码（所谓的“单层加密”），任何一个已有技术装置可采用一个多重关键码（“二层”，“三层”，等等）的扰频系统。具体应用于电缆电视环境的一个多重关键码加密系统在美国专利4，890，319（Seth-Smith，1989年12月26公开）上被叙述，在此作为参考。图6表示一个已有技术二层加密编码器601的一个例子。编码器601包含秘密序号代码数据库611，数据库包含一个由所有被认可用户的秘密序号代码组成的表，这些序号代码最好是56位长。关键码存贮器604贮存“月关键码”（KOM），在此实施例中“月关键码”可以是对偶数月（2、4、6月，等等）是一个“偶数”关键码，或者对奇数月（1、3、5月等等）是一个“奇数”关键码。取决于这样一个关键码可利用的数据位数，关键码还可以对一年中每个月都不同，或甚至可以更加独特。另外，与这里所示的以每月为基础相比，关键码可以变化得更频繁或更不频繁。这些KOM最好是56位长。

关键码加密器610对从关键码存贮器604中选取的关键码加密，并输出一系列每个用一个来自秘密序号代码数据库611的秘密序号代码加密的加密关键码SSN〔KOM〕到一个多路通道635。种子存贮器636包含一个用于对声音和图像信号进行扰频的“种子”。该“种子”还可以是类似于上面描述的关键码的一个数据代码或一个信号。最好，种子每1/4秒变化一次。种子加密器637对种子用该月关键码加密并将加密的种子E_KOM〔SEED〕输出到数据多路通道635。这样，关键码已用秘密序号代码加密，而该种子已用该关键码加密。在传输过程中，关键码和种子都不易被恢复。

在此实施例中，源节目602包括一个带有上面提到的典型的色度及亮度信号的多通道的模拟图像（MAC）信号639，以及可以含有几个不同声音与非声音（数据）信号的多通道声音数据638。例如，可能至少有二个声音通道（立体声）和一个为听力损坏的人附加的电传信息通道。另外，可能有与图像信号相关的声音的附加通道，如外语翻译，非相关的声音信号（如广播节目）或数据信号（如用户信息、计算机数据等等）。象该领域中公知的那样把所有这些信号数字化并一起多路传输，并且所得的多路传输的模拟分量、数据638已准备好被扰频。

种子通过伪随机位定序器（PRBS）643，并然后被附加到在加法器644中的被多路传输的声音数据638中。伪随机位定序器（PRBS）643和加法器644组成了一个本领域熟知的逐位加密器645。合成的扰频了的多路传输的声音数据被传至数据多路通道635，并与加密的种子和关键码一起多路传输。

在线路中继扰频器603中对MAC图像信号639进行扰频，线路中继扰频器利用来自种子存贮器636中的“种子”以扰频算法对MAC信号线路进行扰频。所得到的扰频MAC信号然后送至多路通道632上，多路通道将扰频后的MAC信号与从数据多路通道的输出一起多路传输。把数据多路通道635的多路传输数据输出用P.A.M.调制器645调制成脉冲振幅调制（PAM）形式。输出的B-MAC信号646包括都用种子扰频了的MAC图像信号639和多路传输的PAM声音数据638、以及用月关键码扰频过的种子，和一系列已经用用户解码器的秘密序号代码加密了的月关键码，所有这些一起被多路传输。

为了对B-MAC信号646解除扰频，侵权者必须能够对这些加密的关键码中的一个解码，并且利用那个关键码对种子解密。然而，如在图2所描述的单层编码装置中一样，为了获得一个秘密序号代码侵权者只需泄露一个这种解码器的秘密，就可对关键码解密。用此关键码，侵权者可以对种子解密，用此种子对节目信号去除扰频。附加的加密“层”（即更多的种子和关键码）使侵权更麻烦，这是由于侵权者必须对更多种子和关键码解密，然而，一旦第一关键码已被解密，接着的关键码和种子也可被解密。在图6所示的实施例中，为了能全年对节目信号解除扰频，侵权者必须每月对关键码解密。图6中所用的秘密序号代码，种子和关键码可被收费电视提供者有效地利用，通过秘密序号代码来终止一个特定的解码器，并且挫败业余人员的窃用。然而，尽管系统还没被泄露秘密，一个决意的侵权者可能借助于一个被泄密的解码器来泄露这样一个多层加密系统的秘密，这种侵权的中心是得到一个秘密序号代码。

一个具体的问题涉及将加密的种子和/或编码的月关键码（KOM）与节目信号一起传输到个人用户的问题，这些用户可从有他们自己的天线、一般是后院中的抛物面接收天线。参考图11，已有系统使用一个中心控制器1181以把编址数据包或其它与用户相关的信息插入节目信号中，直接认可那些直接接收加密信号的而不是通过一个当地分配器接收的个人用户接收机。中央控制器1181通过专用线路1185把编址数据包传输到上行线广播电台1183（如Home Box Office，Cinemax，等），广播电台1183再将该编址数据包与节目信号（通常被编码）一起多路传输。这些信号传输到卫星1105并然后典型地通过后院接收天线1187返回到个人接收器1189。如果个人想接收某一节目，他应通过电话线1188向中央控制器1181打电话。中央控制器再将该个人的认可要求通过专用线1185转发给广播电台1183。上行线广播电台将该个人的新认可的代码与他们的特定的加密节目信号一起进行多路传输。信号然后通过卫星发送一应答器1105转发给个人天线1187，并进入到其解码盒内，在那里新的认可要求会允许这些解码器对新的节目信号解密。这样的一个系统现在为通用仪器公司的图像密码Ⅱ-TM系统所用。重要的是，由于专用线1185（典型地是电话线）传输的限制，一个广播电台不能迅速与所有用户通话。

已有技术的另一个问题涉及接收数字电视信号的现有电视解码器的改进。首先，当地的电缆电视分配机构必须用适合数字电视信号的新的转换盒来代替所有用户家中现有的转换盒。这将花费很大，因为必须分配新的解码器盒，收集旧的盒，且通常很费时。作为另一种办法，一个当地电缆电视分配机构可分配新的只接收数字电视信号的解码器盒。这样，用户可以有他们原来的接收模拟信号的解码器盒，同时可用新盒接收数字信号。这也将花费很多，这是因为除了前面提到的其它麻烦外，在二盒中的许多电路是多余的，必须在用户家中增加分流器以提供给二个盒子的二个同轴输入。

鉴于上述已有技术装置的缺陷，在该领域中仍需要提供一种收费电视的扰频系统，该系统不只是依靠解码器部件的物理安全性来维持系统的完整性。

因而，本发明的一个目的是提供一个带有可折卸的安全模块的数据接口的解码器。

本发明的另一个目的是提供一个可执行由内部安全模块执行的所有功能的可更换的安全模块。

本发明的另一个目的是提供一个利用对一个用户解码器和可拆卸的安全模块指定的两个不同的秘密序号代码对关键码进行双重加密的系统。

本发明的另一个目的是提供一个电视信号解码器的可更换的安全模块，其中该可更换的安全模块仅与一个解码器一起工作，而不能与另一个解码器工作。

本发明还有另一个目的是提供一个解码器，其中外部的安全模块可以更换而不中断用户接收被认可的信号。

本发明另一个目的是提供一个在多通道上将一些同样的认可信号传输给各个个人收费电视接收器的方法。

本发明更进一步目的是提供一个低费用的、可以容易地将一个解码器盒转变成可以接收模拟和数字电视信号，而没有多余电路的方法。

用本发明的原理解决了上面提到的已有技术加密装置的许多问题及相关的问题，本发明的这种原理是能够在传输前对关键码进行二次加密，第一次用的是用户的可拆卸的外部安全模块的一个第一秘密序号代码（SSN₀），然后再用用户解码器的一个第二秘密序号代码（SSN₁）。双重加密技术阻拦复制可拆卸的外部安全模块，这是由于每个可拆卸的安全模块只与它配套的解码器一起工作。该系统在系统损坏后还允许更换该可更换的安全模块，因而允许重新恢复系统的安全性。另外，更换外部安全模块后通过提供三步解密、本发明允许不间断地传输解密的信号。首先，在一个新的可更换的外部安全模块插入解码器之前，用用户解码器的第二秘密序号代码对输入信号解密。第二，一个有效的月关键码（KOM）被传送到内部安全模块，在那里用一个备用的秘密序号代码（SSN）对它解密。该软件包然后被转到新的外部安全模块，在那对它进一步解密，并存贮有效的KOM。最后，把输入信号的解码送到外部安全模块，这样外部安全模块成了有效的安全元件。

系统包括一个编码器用来给一个信号编码，该编码器包括一个信号扰频器和一个第一和第二关键码加密器。信号扰频器对信号扰频并输出一个被扰频的信号和一个为了对被扰频信号去除扰频影响的关键码。该第一关键码加密器耦合到信号扰频器上，用一个第一秘密序号代码对关键码进行第一次加密，并输出一个一次加密的关键码。第二关键码加密器耦合到第一关键码加密器，并在一次加密关键码上用第二秘密序号代码进一步进行加密，并输出一个二次加密的关键码。

该系统还包括一个与信号扰频器和第二关键码加密器相偶合的传输器，用于传输被扰频的信号和二次加密的关键码。

系统还包括一个与传输器耦合的用于接收扰频信号并去除扰频影响的线路管理解码器。该解码器包括一个第一和第二关键码解密器和一个去扰频器。在两次加密方式中，该第一关键码解密器与传输器偶合，并对二次加密的关键码用该第二秘密序号代码进行第一次关键码的解密，并输出部分解密的关键码。第二关键码解密器与第一关键码解密器偶合，并对部分被解密的关键码用该第一秘密序号代码进行第二次关键码的解密，并输出解密后的关键码。扰频器与第二关键码解密器和传输器偶合，并用被解密的关键码对扰频信号去除扰频影响，并输出去除了扰频的信号。该解码器可以在不使用可拆卸的安全模块下发挥作用。一旦发生系统损坏或服务等级的变化，一个可更换的安全模块可插入到该解码器中以“改善”解码器。

在本发明的另一实施例中，认可信号从一个主上行线通过一个卫星发送一应答器传输到一个回送上行线。在回送上行线中，节目声音和图像信号与认可信号结合，并被送回卫星发送一应答器，然后到个人收费电视信号接收器。

在本发明的一个另外的实施例中，描述了一个易连接的模块或“侧舱”，其允许一个标准解码器盒同时接收模拟及数字电视信号。此数字侧舱可以改善现存转换器盒，而无需有二套非图像部件。

本发明这些及其它目的和优点，以及该示例实施例的细节，可从下面说明书及附图更充分地理解，其中不同图中的类似元件配有相同的最后两位数字作为它们的参考号（如图7的解码器706和图8的解码器806）。

图1表示一个用于卫星传输的已有技术的有条件使用系统，其中关键码不设障碍地被送到解码器。

图2表示一个采用单独一个关键码加密技术的用于卫星传输的已有技术的有条件使用系统。

图3表示一个不带安全存贮器的已有技术的微处理机。

图4表示一个带有安全存贮器和可熔断的数据线路的微处理机，其适于贮存根据本发明的一个算法及秘密序号代码。

图5表示具有包含第一秘密序号代码的可更换的安全模块的用于卫星传输的有条件使用系统。

图6表示采用一个附加加密层的用于卫星传输的有条件使用系统。

图7表示一个本发明的有条件使用系统的示范性实施例，该系统带有一个用第一和第二秘密序号代码对关键码加密的加密器;一个卫星传输系统;和一个解码器;该解码器含有一个第一秘密序号代码及一个包含一个第二秘密序号代码的可更换的安全模块。

图8表示图7解码器的扩展图。

图9表示一个编址数据包的结构格式。

图9A表示一个系统数据包的结构格式。

图10表示一个安全微处理机（内部或外部的）和线路管理器之间的联系。

图11表示在中央控制器和个人电视用户之间传输认可信号和编址数据包的已有技术系统。

图12表示本发明将一些同样的认可信号在多路通道上从一个中央控制器传输到个人电视用户的另一个具体实施例。

图13表示本发明的另一个实施例，其中图7和图8中描绘出的解码器可以很容易地被改善以接收模拟及数字电视信号。

图7表示本发明的加密系统，包括一个对源节目702编码的编码器701，通过一个卫星线路705至少向一个解码器706传输。根据图7，关键码被加密并被个人解码器读取，与图5中的装置相似。然而，在此情况下，关键码可被两次加密。

编码器701有一个包含有效安全性选择器的有效安全性选择存贮器721。有效安全性选择器可选择固定的安全元件719或可更换的安全元件714作为有效的安全元件。只有有效安全元件可接收B-MAC信号并把种子传送给节目扰频器703。

一个关键码存贮704包括有效安全性选择器721和用于对节目扰频器703中的节目702进行扰频的种子。作为另一种选择，如图6，关键码存贮器604可以包含一些可用来对种子加密的月关键码（KOMs）。这个种子用来对源节目702加密。在此双加密技术中，KOM首先在第一关键码加密器710中用贮存在SSN₀数据库711中的第一秘密序号代码（SSN₀）加密。KOM在第二关键码加密器715中用来自SSN₁数据库716中的第二秘密序号代码（SSN₁）被进一步加密。这个过程不断地对每个SSN进行，以制造出一系列加密的关键码，这些关键码与被扰频的节目一起通过多路通道732多路传输，并经卫星线路705传送。

解码器706接收并通过信号分离器733分离被加密的节目及被加密的关键码，并且在内部安全模块719（解码器706的组成部分）内进行第一次关键码的解密。第二次解密发生在一个可更换的外部安全元件714中，该元件例如，作为一个插入模块被固定在解码器706的外部。作为另一种选择，加密的关键码可与加密的节目分别送到两个分开的通道，如同共同未决的473，442号申请中所述的那样，该申请在此作为参考被结合进来。

内部固定的安全模块719在可更换的外部安全模块714没有安装时是有缺陷的安全元件。内部安全模块719将接收路线管理器708那里送来的系统数据。认可和控制数据最好包含或包括如图9所示的编址数据包和图9A所示的系统数据包。编址数据包9e最好包括一个28位的用户鉴别数码或地址码9a，以非加密形式传送。此用户地址码对应于包含在内部和外部安全模块719和714中的用户地址。线路管理器708只读出（唯一的）内部安全模块719的用户地址，并相应地将整个编址数据包9e送到该指定的安全模块。接着该用户地址的是二位未加密的二进制位9b和9c。第一位9b决定该编址数据包最终是被送入内部安全模块719或是送入外部安全模块714。第二位9c决定接下来的信息、被加密的信息9d是被一次加密或两次加密。如果二进制数码9c指示双重加密，则需要内部安全模块719和外部安全模块714对它进行解密。被加密的数据9d的位数包括认可和控制数据，例如，月关键码，用户认可数据，如使用者层信息、付款收看信息，或其它用户专门的或解码器专用的数据。通常，认可数据决定一个特定的用户或解码器是否被认可去接收并解密一个特定的节目或收看付款收看节目，等等。控制数据可能包括决定数据包送去哪里、能量管理数据，防盗报警数据，或其它解码部件启动信号。

表1表示怎样根据位9b和9c的值来确定编址数据包9e的路线。

目的地位9b	加密位9c	编址数据包（ADP）结果的路线
			内部	单	ADP只到内部安全模块
内部	双	ADP先到外部模块，然后到内部
			外部	单	ADP只到外部安全模块
外部	双	ADP先到内部模块，然后到外部

表1

图9A所示的系统数据包包含节目专门信息并被传送到所有解码器并由它们处理。系统数据包9h包括一个类似于编址数据包9e中的位9b的内部/外部目的地位9f。位9f依靠路线管理器708决定该系统数据包送去哪里，更确切地说，决定包9h进到内部或是外部安全模块。接下来的信息，9g，是被加密的信息，该信息包括：加密种子，确定特定的节目位于哪层的节目层信息，付款收看节目的价格，核对和数位，和任何该节目或通道（系统数据包9h在其中传输的系统）所专用的附加信息。再次说明，系统数据包9h是一个特定节目或通道所专有的，并最好由节目广播电台插入（如图11的1183和图12的1286）。每个节目最好用其特有的种子加密。

如前面参考图6所讨论，内部和外部安全模块必须首先接收并对它们的特有的编址数据包解密以再现月关键码，然后，使用此月关键码。内部和外部安全模块将使用此月关键码来对来自系统数据包9h的种子解密。最后，种子从安全模块通过路线管理器传送到图像去扰频器873或声音/数据解密器874来对一个节目的图像或声音解密。

所有包含在编址数据包9e和系统数据包9h中的数据由内部安全模块719处理。类似地，当外部安全模块714安装后，它可以代替内部安全模块719的功能。当系统数据包9h的未加密数据位9f指示时，外部安全模块714被用作有效安全元件。这允许外部安全模块714在系统把有效安全元件从内部安全模块719换到外部安全模块714之前，被配置、插入并用编址数据包信息（尤其是，KOM）加以认可。这一过程下面将详述。如前所述，编址数据包9e包含了未加密的并对每个内部安全模块719是唯一的用户地址码9a。外部安全模块714还有一个唯一的用户地址码用来追踪外部模块的位置。一旦外部安全模块714被插入，通过把内部安全模块719的用户地址码送到外部安全模块714（此外部模块可在安全存贮器720中贮存这个地址码）中，外部安全模块714可以自己改成内部安全模块719的用户地址码。

编址数据包9e用来把解码器专用的信息传送到一个单个的解码器，最好采用下面按图12描述的环回方法。在一个B-MAC电视信号中，编址数据包最好如在本发明背景技术中所讨论的那样，在每帧的垂直消隐间隔期间被传输。每个用户有一个与其解码器706对应的唯一的编址数据包。每个解码器被分配一个单独的用户地址和相应的一个秘密序号代码（SSN）。用户地址和相应的秘密序号代码不相同，也没有关联。最好，秘密序号代码是由一个随机数码发生器产生。当一个带有相应的用户地址的编址数据包被接收时，数据包可被解密，因而显露了KOM和数据。所有被解密的数据（例如，KOM，分层数据，PPV，等等）保存在模块（707或720）中的安全存贮器中。包最好包括一个核对和数，用来核实数据的正确接收和解密。所有编址数据包被路线管理器708接收，并且，根据位9b的值，被送到所指示的安全模块去解密。在安全模块中的有条件使用软件或节目认可软件用被解密的并已贮存的数据，根据一个用户的分层，付款收看户头等等，决定是否要对一个特别节目解密。安全模块714和719还决定是否要在其安全存贮器模块中放置一个特定的加密数据片。例如，调制解码器875所用的回访电话号码不需要贮存在安全存贮器中，并因而被传至调制解调器。

可以根据图4的原则构建可更换的安全模块714和解码器706的一个内部安全元件719。例如，第二秘密序号代码SSN₁可以通过可熔断的线路输入模块714的SSN₁存贮器717中，然后在制造中将这些线路被毁掉。类似地，内部安全元件719的SSN₀存贮器712可以在制造期间通过一个可熔断的线路被输入，并然后毁掉线路。还通过一个可熔断的线路，在制造期间将算法输入关键码解密器718、713中，并然后毁掉可熔断的线路。

可更换的安全模块通过向所有被认可用户寄出新的可更换的安全模块为收费电视提供者提供更换系统保险的选择。如果线路未被破坏，通过重新对SSN₀和SSN₁数据库711和716编程序以对应于解码器706的第一秘密序号代码与安全模块714的第二秘密序号代码的结合，回收的可更换的安全模块714可为一个不同的解码器再次使用。收回的可更换的安全模块714最好被废掉，并把一个新的可更换的安全模块714送至用户，结合了安全技术的变化及改进以挫败可能的侵权。一旦发生安全性毁坏，为了恢复系统的安全，只需更换可更换的安全模块而不必更换整个解码器。最大的优点是，用户不用特别的帮助就可以更换外部安全模块，并将旧模块还给服务提供者。

参考图8，表示一个放大的编码器706的图，具体地说，更详细地描绘了节目去扰频器/线路管理器708。进来的电视信号，最好是B-MAC电视信号，被输入多路信号分离器833。多路分离器把图像、数字声音、电传信息及认可和控制数据分离。认可和控制数据，尤其是编址数据包9e和系统数据包9h，被输入显示及通讯处理器870。多路分离器833还为进来的信号提供错误改正和数据再现。还有，进来的信号被格式化成为一种可被显示器及通讯处理器870更易使用的形式。

认可和控制数据，尤其是编址数据包9e被输进用户接口逻辑线路871和显示及通讯处理器870的安全性线路管理器872。具体地说，进来数据速率通常对处理器870来说太快而不能处理，因而多路信号分离器833存贮并将数据格式化，并把它平行输入到用户接口逻辑线路871及安全性线路管理器872。如果编址数据包9e包含这个特定解码器806独特的用户地址9a而且解密位9c被设置成单独一次加密，用户接口逻辑线路871命令安全性路线管理器872将编址数据包送到内部安全模块（机内安全元件或ISE）819，如果目的地位9b被这样设置的话。一种可能是，如果目的地位9b被设置成到外部安全模块814，安全性路线管理器872通过耦合器879把编址数据包传递到外部安全模块（外侧保险元件或OSE）814。见表1。

如果编码位9c设置为单独一次加密，则取决于目的地位9b，由内部或外部安全模块对加密的编址数据包信息9d解密。一旦KOM被解密，它被贮存在安全存贮器720和707中，然后用来对种子解密。这个种子，与KOM相比最好非常频繁地变化（例如，每1/4秒），然后从内部或外部安全模块通过线路管理器872被送到图像去扰频器873或声音/数据解密器874。种子被用在图像去扰频器873和声音/数据解密器874中。以分别对图像及声音/数据解密。由于种子变化如此频繁（每1/4秒），种子未加密就被送到图像去扰频器873和声音/数据解密器874不是至关紧要的。

如果加密位9c设置为双加密并且目的地位9c被设置在外部，则一个进来的编址数据包9e首先在内部安全模块中用一个第一秘密/机密序号代码被部分解密，并然后在外部安全模块中用一个第二秘密/机密序号代码被最终解密。KOM再一次被贮存在安全模块720中并用来对种子解密。

耦合器879也被连接到声音/数据解密器874以允许通过一个外部安全模块814改善声音/数据解密器，该外部安全模块814包含仅针对声音/数据的附加解密算法。如果现在的声音加密已经泄露秘密，这将增加编码声音的安全性。

电话调制解调器875包括一个微处理机，该微处理机允许通过电话线路使内部或外部安全模块819和814同编码器701或其它设施进行通讯。这一性能将在下面更详细讨论。

还在图8上显示了前面板显示器878，其包括为用户所用的输入键和一个显示器（最好在解码器盒806的前面）。屏幕显示器/电传器877保证屏幕信息或电传信息在用户电视屏幕上重复占位或显示。

从内部安全模块到外部安全模块转移安全功能的过程将在下面描述。最初，所有安全功能由内部安全模块719来完成。如果发生了安全性毁坏，可以通过生产和分配带有安装到解码器706说明的外部安全模块来防护安全性。这时，外部安全元件在其安全存贮器720中既没有有效的月关键码，也没有任何对该特定用户合适的层和节目号码。因而，外部安全元件714还不能执行任何独立的安全功能。

用加密的编址数据包9e把KOM传送到内部和外部安全模块。由于安装了外部安全元件以改善保险性，用对每个内部和外部安全模块独有的KOM对内部安全模块和外部安全的编址数据包进行不同的加密。因而，未加密的位9b如上面的表1所示决定了编址数据包9e的目的地。

在此过渡期间，载有下一个KOM的编址数据包带着设置到外部安全模块上的目的地位9b、带着设置到双加密的加密位9c被传输。路线管理器708仍首先把编址数据包9e传送到内部安全模块，但现在内部安全模块用包含在其秘密序号代码存贮器712中的备用秘密序号代码对寻址数据包9d解密。这个备用秘密序号代码不是内部安全模块通常用来对编址数据包9d解密的那个代码。用备用秘密序号代码解密的结果被送回到路线管理器872并转送到外部安全模块814以便用外部安全模块的秘密序号代码最后解密。这样，月关键码被二次加密，第一次用备用秘密序号代码，第二次用外部安全模块的秘密序号代码。既然两次解码的专门的解密必定是成功，这种二次加密避免了在解码器706之间外部安全模块的偶然移动。再次说明，在过渡阶段，用存贮在内部安全模块的安全存贮器中的一个秘密序号代码，和存贮在外部安全模块（为现存的每个内部和外部保险模块）的安全存贮器中的一个秘密序号代码，对KOM进行二次加密。

如果KOM不用一个备用SSN进行二次加密，则一个侵权者可改变目的地位和编码位9b和9c以在安全模块之间传送一个被解密的KOM，在传送期间截取它。通过使用备用的SSN，如果发生纂改目的地位和编码位，内部安全模块将相信加密的KOM是用普通SSN加密的，因而不能对KOM解密。只有部分解密的KOM在模块间通过并只在双加密的状态下。现在的系统在解密器之间禁止交换外部安全模块的使用，这是由于两个SSN必须与一个二次加密的KOM相对应。

当下一个KOM已经传输到并贮存在所有的解码器706中时，编码器701最好把系统数据包目的地位9f改变成外部安全模块并将加密位9c改变成双重加密。外部安全模块714现在就变成了有效安全元件并承担了所有的安全功能。因而，正在解密的种子现在用KOM解密，并且从外部安全模块714通过安全性路线管理器872被送到图像去扰频器873和声音/数据解密器874。由于外部安全模块在其不易失的安全存贮器内现在还包含用户认可数据如节目和服务层，和付款收看认可，它可以有条件地把种子释放给与内部安全模块独立的解密专用节目。类似地，作为一个独立的安全模块，外部安全模块可以从用户接口逻辑线路871记录自动付款收看过程的购买，并可以通过电话调制解调器875用如下所述的加密通讯把此信息加载于电话管理器上。加密位9c如需要可改为单加密。增加一个外部安全模块的原因是在内部安全模块已被泄密之后恢复安全性。因而，在优选的实施例中，采用双加密并且在内部安全模块泄露秘密时外部安全模块成为有效的安全元件。

一旦外部安全模块已被安置，新的安全功能（包括新的秘密序号代码，编码算法，软件或物理安全性）可被结合到内部安全模块中，使得在分配了外部安全模后被分配的新的解码器盒中不需要一个外部安全模块，仍然提供一个供将来的外部安全模块用的空的耦合器879。在新解码器盒中的内部安全模块为了对将来外部安全模块提供兼容的传输，在这些新解码器中的内部安全模块在功能上必须模仿前代内部安全模块，并且发挥和内-外安全模块结合时同样的功能，并且必须对编址数据包目的地位9b及位9c作出响应。

如果以前分配的一个外部安全模块泄露秘密，则配置一个新的外部安全模块，由用户取下旧的并插入新的。新的外部安全模块没有月关键码，或用户认可及控制数据如层或节目代码。因而，为了维持服务的连贯性，应暂时让所有安全及认可功能回到内部安全模块。在分配/寄生新的外部安全模块之前，编址数据包连同设置在内部安全模块上的目的地位9b和设置在单个上的位9c一起被传输。在这之后，将加密位9c改变成双重加密来完成前面叙述过的步骤。以允许新的KOM被二次解密并贮存在新的外部安全模块中。最后，安全性，认可和控制功能随加密位被设置到双加密被转到外部安全模块上。

概况地说，如果一个系统发生毁损，收费电视提供者则寄出可更换的外部安全模块给用户，把解码转到内部安全模块直到所有解码器有了新的KOM，然后利用仅通过外部安全模块的解码或使用双重加密技术，这样恢复了系统的安全性。选择使用可更换的外部安全模块还有其它吸引人的优点。没有为额外费用频道付款的用户不会被寄送一个可更换的安全模块，因为“基本”频道可能仅用一次加密关键码或甚至无障碍地传送。如果用户希望提高等级能收到额外付费频道（一个或多个），收费电视提供者可给该用户邮寄合适的可更换的安全模块。

另外，可更换的安全模块可被用来增加其它附加特性。许多电缆电视系统提供选择服务如IPPV（自动付款收看），这需要在解码器706和起点之间的双向联系。在过去，如果一个用户希望升级得到IPPV服务，则必需通过在内部插入一个IPPV模块或在外部附加一个IPPV“侧舱”改变用户解码器。作为另一种选择，必需更换整个解码器。所有这三种选择都需上门服务，对用户造成不便，和收费电视提供者造成费用问题。类似地，当收费电视提供者希望改善其整个编码器/解码器系统时，它必须对每个用户提供一个新的解码器，该解码器在过渡时期将用新旧两种编码技术工作，这是由于几乎不可能同时更换所有的用户解码器。因而，为了在更换期间的几个月内用收费电视提供者的旧编码器发挥作用，解码器生产者面临为其现有解码器提供额外电路的附加费用。

在所有上面这些改善现有服务的例子中，可更换的安全模块714可用来改善解码器706而没有上门服务带来的费用和不便。可更换的安全模块714可邮寄到用户，用户可将可更换的安全模块插入，并立即改善了解码器或增加了附加的功能（如IPPV），改变了解码技术，或提供了一个附加水平的安全性。最好，把IPPV加入到解码器706中。值得注意的是，可更换的安全模块714可以对解码器增加附加的软件功能。

可更换的安全模块714可采取多种形式中的一种。在优选实施例中，模块可包括一个“灵巧卡”，一张带有内装式微处理器（如一个68HC11微处理器）的塑料“信用卡”，如由国际标准组织在标准ISO7816/1和ISO7816/2所描述的那种微处理器。应注意1989年6月20日公布的美国专利4，841，133并在此引入作为参考，它描述这样一个“灵巧卡”。“灵巧卡”可能配备有一系列连接到耦合器879触点的电触点。最好提供16个触点以允许有充足的扩充余地（以备将来增加附加功能），虽然本发明只用6-8个触点。触点可为卡提供电源、时钟信号和数据传输。可提供附加的触点以允许耦合器879到声音/数据解密器874之间的连接。这些附加触点允许应用附加的解码算法，可以与包含在解密器874中的那些解算法结合使用也可以独立地使用或为了其它的目的。

付款收看节目发送在此定义为用户可以要求认可收看一个特定节目的节目发送。在许多付款收看系统中，付款收看节目用于体育项目（拳击、摔跤，等等）这些节目不是以正规的时间基础传输。希望收看此节目的用户必须以特殊去扰频机构的形式，或以传输或输入一个特殊代码到用户解码器的型式认可。某些付款收看电视系统允许用户要求观看一个付款收看节目（如电影）。付款收看电视提供者然后传输该被要求的节目并认可那个用户的解码器接收该信号。

自动付款收看（IPPV）节目发送在此定义为用户有一个存在其个人解码器中的预先被认可的“分”数的任何节目发送。如果一个用户希望收看一个特别节目，用户仅仅启动解码器，适当的分数从用户剩下的分数中被去除，用户可立即收看节目。付款收看电视系统，例如在Block的美国专利4，484，217和4，163，254中公开，在此引入作为参考。

在本发明的付款收看实施例中，解码器通过电话控制器/调制解码器875向起点传送一个认可请求信号以对一个付款收看节目解码。然而最好是，安全存贮器720和707先存贮付款收看节目的认可信息（如信用状）而安全模块通过电话控制器/调制解调器875在较后时传送实际的付款收看数据。

电话控制器940可以是一个计算机调制解调型设备，或用接通音调信号工作以与起点联系。最好，电话控制器是一个调制解调型设备，用一个移频键或FSK方式与起点联系。应注意1990年5月15日公布的美国专利4，926，444，描述了FSK操作并在此引入作为参考。收费电视提供者于是可向用户发送合适的认可信息（TEL），该信息用用户秘密电话号（STN）加密。秘密电话号并不是常规意义上的电话号，而是另一种类型的秘密序号代码，它可分配给一个给定的电话控制器/调制解调器875或一系列电话控制器。一旦被解码器906的处理器870接收到，认可信息可被确定传送路线，并被用来启动一个或多个特别付款收看节目的去除扰频。

在另一个实施例中，它可与上述付款收看实施例结合使用，电话控制器/调制解调器可用来接收用秘密电话号加密的KOM。加密的节目信号被输入到解码器806，通过调制解调器875进入处理器870。调制解调器875必须能提供多路信号分离器833的功能以分离编址数据包9e，把它们输入到处理器870，处理器870然后送它们进到规定的安全模块。

电话控制器875可被编程在一个预定的时间或在一个预定的时间间隔内或者在接到来自起点的信号后去呼号起点，或最好在电话使用最少时候（如清早时间）电话控制器可通过一个免费的1-800号码，一个所谓的“瓦特”线，或通过一个当地电话到一个商业数据线线如TYMNET或TELENET与起点通话。本发明最好使用在题目为“用于电视传输系统的数据返回”流水号为_的申请中所描述的数据返回系统，在此引入作为参考。一旦通话被连接上且建立通讯，解码器806向起点加一个用秘密电话号STN₁加密的付款收看使用记录的负载。起点向解码器806输送类似地加密了的数据，包括新的信息符号，秘密序号代码，或解密算法。加密的关键码或其它加密的数据可被送到内部安全元件819，或可更换的安全模块814。从起点传输的信息借助于电话线通过调制解调器875进入处理器870或最好通过卫星电视输入到盒833并进入处理器870。

如上所讨论，一个新的秘密序号代码或解密算法是用秘密电话号码加密的，它可从起点通过电话控制器875传送到一个解码器。编码的秘密序号代码或解密算法然后被解密并存贮在选定的安全模块中。这种借助于电话控制器875卸下解密算法和秘密序号代码的方法有时被称为一个“E²插入码”（E²patch），并允许收费电视提供者通过把新的信息加进解码器的EEPROM来维持或恢复系统的安全性。一个E²插入码不必须要求改变在解码器806中的整个解密算法。只需被改变秘密序号代码或仅仅解密算法的一部分，如一个特定的位或数据表就足以改变解密算法。E²插入码允许收费电视提供者改进加密系统以解决“故障”并恢复系统的安全性。

通过电话控制器875接收一个信号以后，起点将向解码器发送一个回执信号，表明信息已经收到。类似地，在数据已经通过电话控制器/调制解调器从起点卸到解码器以后，解码器将通过调制解调器875返回一个回执信号到起点，表示数据已经收到。对于这个，本发明最好使用在题目为“一个电视传输系统的数据返回”的申请中描述的那种数据返回系统，其流水号为_，在此引入作参考。

除了付款收看请求或记录之外，电话控制器还可用来加载其它来自解码器的信号。例如，如结合图4所述的破坏防护信息可被发送以表明解码器是否已被破坏。另外，为了电视评估的目的（如Nitlson评估）节目观看信息可以加载于收费电视提供者。

通常，任何可借助于图9的B-MAC（或NTSC，PAL，SECAM等）输入而传送的数据也可通过电话控制器875卸载。这样的信息包括但不限于消隐码，分层信息，个人信息，可利用的信用“分”数，组鉴别号码，和其它系统数据。通常，电话控制器875用于不频繁的通讯，如周期性改变安全等级和IPPV请求，这是由于电话线有限的带宽和经由电话比B-MAC输入来传送信息增加费用。

用秘密电话号码（STN）加密的电话信息（TEL）在解码器806期间仍是被加密的并只在安全模块中被解密。为了避免被侵权者探测到，解密后的电话信息并不传出该安全模块。解码器806对被扰频的节目解除扰频时，必须有通过B-MAC输入接收到的电话信息和编址数据包。依靠这两个信息源，窃用实际上不可能，因为潜在的侵权者必须侵入收费电视提供者的电话系统并对一个二次加密的关键码解密。

图10表示在一个安全性微处理机（内部或外部）和线路管理器之间的通讯。解码器1006包括带有安全存贮器1052的安全性微处理机1050。安全性存贮器1052包括一组秘密序号代码SSN₀，一个对那个解码器或一系列解码器是独有的秘密电话号码（该秘密电话号码在制造过程中被装入并如结合图4讨论过的那样用“E²位”（见图4）或其它安全措施保证安全性），加密算法E，和其它认可信息。加密的节目信号E_KOMO（SYS）1053和一次加密的月关键码E_SSNO（KOMO）1054与选择的加密电话数据E_SSNO（TFL）1055一起被输入解码器1006。

安全微处理机1050用贮存在安全存贮器1052中的秘密电话号码STN₀对加密的电话数据E_STNO（TEL）解密。被解密的电话数据（TEL）也贮存在安全存贮器1052中以防止被侵权者探测到。电话数据（TEL）可为解码器1006提供认可信息，即关于现在解码器1006是否被认可对一些或所有接收到的加密节目进行解密。另外，其它信息可在解码器和起点之间传输（如结合图9的讨论）。

至于带有编址数据包9e的加密信号的传输，以前的系统在广播发送的上行线中加入一个中央控制。如以前所讨论并参考图11，以前的系统采用一中央控制器1181把编址数据包或其它用户相关信息插入节目信号中，以直接认可那些收到被加密信号的个人接收者，而不通过一个当地分配器。中央控制器1181通过专用线1185把编址数据包传输到上行线广播电台1183（例如，Home Box Cffice，Cinemax等等）它接着多路传输编址数据包和它们的通常总是加密的节目信号。

在新系统情况下并参考图12，提供一个用户认可计算机1282和监控计算机1280，它们通过编址和系统数据包9e和9h把相同的用户和系统数据输入给主上行线1284。用户认可计算机1282和监控计算机1280都是由科学-Atlanta制造并销售的现行产品。用户认可计算机1282在一个大数据库中包含所有用户或解码器特有数据。这个用户特别数据然后被格式化进入编址数据包9e以便同声音和图像一起在主上行线1284中多路传输。类似地，用户认可计算机1282在一个大数据库中包含了特定节目所特有的系统宽频信息，并被格式化进入系统数据包9h以便传输。主上行线1284多路传输带有声音和图像的系统和编址数据包以产生一个典型的B-MAC信号。这个信号可以被任何一个可使用数据包对节目解密的用户接收。编址和系统数据包9e和9h然后在一个通道中通过卫星上行线1283与声音和图像一起被传送到卫星发送一应答器1205上。

信号从卫星发送一应答器1205反射到卫星接收器和上行线1283。编址和系统数据包被回送上行线1286接收，在此它们与插入主上行线1284中的声音及图像节目信息分离。包然后与不同的声音及图像节目信号一起多路传输并被再传输到卫星发送一应答器1205。然后该组合信号通过接收器1283被传输到个人接收据1289中并对它们解密。用此系统，编址数据包可被几个回送上行线广播电台接收，电台把这些包连同它们被扰频了的节目信号一起多路传输。它们还可以从系统数据包9h中取出选择的部分，例如，层信息，付款收看费用数据，等。以此方式，所有回送上行线广播电台最好传送具有数据包的广播B-MAC节目信号到所有的用户。一个用户可以调谐到任一通道来接收被扰频的节目和对节目解密的数据包可以在回送上行线1286上被结合的系统宽频数据最好包括回呼数据，它在流水号为_，题目为“电视传输的数据返回”的申请中被描述，在此作为参考。

在此系统中，既然编址数据包可从主上行线1284传输到不同节目分配器（如，HBO，Cinemax，等）的不同回送上行线1286，可避免每个广播电台必须用专用线1185。编址和系统数据包分别为图9和9A描述的形式，并最好置成B-MAC格式。因此，回送上行线1286必须对B-MAC信号解密以除去回送格式，这样可取出每个个人的被加密的编址数据包9e以便与它们的特定的被加密的节目信号一起多路传输。

另外，本发明可以一个全场KOM方式操作，此方式可迅速读取网络中所有的解码器706。在一个B-MAC电视信号中，编址数据包最好如本发明背景技术所讨论的在每帧的垂直消隐间隔期间传送。典型地，KOM和编址数据包在每场垂直消隐间隔的5行当中传送。这大约产生每秒6，000个字节的数据。此数据量可在已有技术的专用线路1185上传输。然而，如果广播电台想迅速寻址所有的用户，它们被专用线1185的传输能力所限制，典型地是受电话公司电话线传输能力的限制。在本发明的情况下，以全场方式大约可以传送每秒500千字节的数据。以此方式，每场可得到204行图像线加5条垂直消隐间隔线以传输编址数据包。因此，如果一个广播电台想迅速认可PPV或IPPV收看一个现在即将到来的节目（如，一场拳击比赛），广播电台可用现在的系统作到。屏幕文字消息可出现在所有用户的电视机上以指示正在发生什么。

用此系统，具有卫星接收抛物线型天线的个人用户可接收来自所有卫星的节目信号和数据包，不管他调在哪个频道。如果他被认可对一个特定节目信号解密，此信号将包含他独有的编址数据包，该编址数据包由处理器870发送并由特定的安全模块解密。

参考图13，表示一个把模拟解码器盒（图7中所描绘的706和图8中所描绘的806）从一个模拟结构转变为也能接收数字电视信号的方法。原来的模拟解码器盒被绘为1306，其中进来的信号在下转换器1365中被下转换。最好进来的信号在L频带，频率在0.95-1.45千兆赫，然而，任何其它频率也可使用。这些频率下转换为一个了解码器容易操作的固定频率，最好转换成612兆赫的中间频率。信号然后在FM解调器1366上解调并通过开关1367传输到解码器1368上。最好，信号是B-MAC型，因此解码器1368对该B-MAC信号解密，解密成声音，NTSC图像和频道3信号以输入到一个标准电视接收器。

为改善系统以接收数字信号，可以通过使用一个简单的4导线连接器增加一个“数字侧舱”1390。抽头1397允许被下转换的信号输入侧舱1390的直角相移关键码解调器1391中。最好使用一个每秒40兆字节的解调器。解调后的信号然后输入错误改正和多路信号分离器1392中。块1392还为数字侧舱1390中的信号提供正确的定时。

开关1367可被置于一个第二位置以接收数字信号，借此来自数模（D/A）转换器1396的模拟信号输入到解码器卡1368上。耦合到解码器1368的调谐微处理机1367用来控制发送一应答器的调谐功能。另外，调谐微处理机1376还可控制音量和在解码器盒1390的前面板上显示数据。重要的是，调谐微处理机1376通过解码器1368为盒1392提供了调谐信息以允许多路信号分离器1392从所有包含在一个特定通道中的进来信号中选择一个特定的数据子通道。具体地说，显示器和通讯处理器870接收未加密的频道地址位，它可用来定位和选择一个特定的发送一应答号码（或通道号码）和子发送一应答器（或子通道号码）。这个通道变换在题目为“一个多路传输的模拟分量（MAC）电视系统的虚拟通道”，流水号为_的申请中更详细地被描述，在此引入作参考。另外，来自安全模块的图像解密种子也被传输到盒1392以允许被选择的子通道被解密。

盒1392利用带有检验和或奇偶位的正向误差校正法（FEC）校正信号中的误差。信号与选择的子通道输入一起被多路传输到图像解压缩器1393中。典型的数字图像解压缩可是离散的余弦变换（DCT）或本领域技术人员熟悉的其它数字高压缩技术。

解压缩的/扩展的数字图像信号然后在解密的1399中解密。如果图像信号要被数字传输，最好用一个关键码代码加密，而不是象以前描述的用一个种子对模拟信号扰频。结果，解码器1368的外部和内部安全模块1314和1319分别为解码器1399提供关键码的解密。安全模块1314和1319的功能与前面叙述过的功能是一样的。

解密的去压缩的/扩展的数字图像信号然后用本领域技术人员熟悉的技术处理以重新形成一个B-MAC信号。扩展的数字图像信号输入到YUV存贮器1395，其中存贮有每行或帧的亮度信号Y。类似地，色度信号U和V也在帧的基础上存贮。盒1392还输入B-MAC数据到存贮控制器1394，存贮控制器1394在正确的定时的间隔内通过D/A转换器1396向解码器1368输出存贮的亮度和色度信息。来自转换器1396的信号是典型的具有图像，声音和其它数据的B-MAC信号。标准模拟信号从解码器1368输入到电视接收机。

此实施例允许数字侧舱解压缩和扩展低位速率的信号成一个全B-MAC图像信号。系统数据、系统和编址数据包9e和9h，电传文字和数字声音未被压缩并且被送到解码器1368而不在侧舱1390上解压缩。

开关1376可以是微处理机控制的，使得系统数据或编址数据包中的“压缩-启动”位被读取并引起开关1367启动解压缩的数字侧舱1390。因此，带有数字侧舱1390的解码器可以对模拟及数字图像信号进行接收和去扰频。另外，图13中的抽头1397是一个环路。这个环路可以是一个单独的引线，然而，此环为扩展增加的灵活性。

尽管本发明是根据优选的实施例及其改进而公开，在以下权利要求的范围内，本领域的普通技术人员显然可作出一些其它的改进。本发明并不限于这些公开，其保护范围完全由下面提及的权利要求确定。

Claims

1、一个用于传输信号的安全系统包括：

对所说信号编码的编码装置(701)，所说编码装置(701)包括：

对所说信号扰频并输出被扰频的信号和用于对所说的被扰频信号去除扰频的关键码的扰频装置(703)，

耦合到所说信号扰频装置(703)上的第一关键码加密装置(710)，用于对所说关键码用一个第一机密序号代码有选择地执行一个第一次加密并输出一个加密的关键码，

耦合到所说扰频装置上的第二关键码加密装置(711)，用于对所说的关键码用一个第二机密序号代码有选择地执行一个第二次加密，并输出一个加密的关键码，和

用来接收并对所说被扰频信号去除扰频的解码装置(706)，所说的解码装置(706)包括：

第一关键码解密装置(719)，用于如果所说的关键码用所说的第一机密序号代码加密时，用所说的第一机密序号代码对所说的被加密的关键码执行一个第一次关键码解密，

一个可更换的安全模块(714)，可拆卸地固定在所说解码装置(706)上并包含一个第二关键码解密装置(718)，用于如果所说的加密关键码用所说的第二机密序号代码加密时，对所说加密的关键码用一个第二机密序号代码执行一个第二次关键码解密，和

耦合到所说第一和第二关键码解密装置上的信号去扰频装置(708)，用于利用所说的被解密的关键码去对所说被扰频的信号去除扰频。

2、权利要求1的安全系统，其中所说的编码装置（701）还包括：

耦合到所说信号扰频装置（703）上的用于贮存所说关键码的关键码存贮装置（704）。

3、权利要求1的保险系统，其中所说的编码装置（701）还包括：

耦合到所说第一关键码加密装置（710）的第一机密序号代码数据库（711），包含由一系列第一机密序号代码组成的一张表，和

耦合到所说第二关键码加密装置（711）的第二机密序号代码库（716），包含由一系列第二机密序号代码组成的一张表。

4、一个用来接收信号并对信号去除扰频的解码器，该信号已经用一个被选择性地加密的关键码进行扰频，所说解码器包括：

耦合到所说解码器的第一关键码解密装置（718），用于当所说的关键码用所说第一机密序号代码加密时，对所说加密关键码用该第一机密序号代码进行一个第一次关键码解密并输出被解密的关键码，

一个可更换的安全模块（714），可拆卸地连接到所说解码器上并包含一个关键码解密装置（719），用于当所说的关键码用所说第二机密序号代码加密时，对所说关键码用该第二机密序号代码进行一个第二次关键码解密并输出一个被解密的关键码，

耦合到所说第二关键码解密器上的信号去扰频装置（708），用于利用所说被解密的关键码对所说被扰频的信号去除扰频。

5、权利要求1或4的解码器，进一步包括：

耦合到所说第一和第二关键码解密器装置（713，718）的第一和第二关键码存贮装置（707，720），用于贮存所说被解密的关键码。

6、权利要求1或4的解码器，还包括：

耦合到所说第一和第二关键码解密装置（713，718）的第一和第二机密序号代码存贮装置，以贮存第一和第二机密序号代码。

7、权利要求1或4的系统，其中所说的信号是电视信号。

8、权利要求7的解码器，其中所说电视信号是B-MAC型电视信号。

9、权利要求1或4的解码器进一步还包括：

电话接口装置（875），用于传送数据到电视提供者和从电视提供者接收数据。

10、权利要求9的安全系统，其中用户输入数据由可更换的安全模块（714）通过所说电话接口装置（875）被传输。

11、权利要求1或4的可更换的安全模块（714），其中所说第一和第二存贮装置进一步包括：

安全装置，用于只允许所说第一和第二关键码解码装置（713，718）读取所说第一和第二机密序号代码存贮装置（712，717）的内容。

12、权利要求1或4的解码器，进一步包括：

用于接收（1306）多个带有多个地址的压缩数字信号的装置，每个地址对应一个特定的数字信号：

通过鉴别该特定地址来选择（1392）一个特定数字信号的装置;

耦合到该选择装置上、用于对该数字信号解压缩（1393）的装置;和

用于可拆卸地耦合（1397）连接在该接收装置和该选择装置之间的装置。

13、对一个信号解码的方法包括下面步骤：

在解码器（706）中接收一个扰频的信号和一个被加密的关键码，

如果所说关键码用所说第一机密序号代码加密，用该第一机密序号代码对所说加密的信息符号进行一个第一次解密以产生被解密的关键码信号，

如果所说信息符号用所说第二机密序号代码加密，在一个可更换的安全模块（714）中用第二机密序号代码对所说加密的关键码完成一个第二次解密以产生一个被解密的关键码，可更换的安全模块（714）可拆卸地被固定在所说解码器上，和

用所说的被解密的关键码对所说被扰频信号去除扰频以产生一个去掉扰频的信号。

14、权利要求1、4或13的解码器或方法，其中所说的第一机密序号代码被分配给所说的解码器（706）。

15、权利要求1、4或13的解码器或方法，其中所说的第二机密序号代码被分配给所说可更换的安全模块（714）。

16、权利要求13的方法，进一步包括步骤：

提供包括所说被加密的关键码和在一个第一源处的所说第一及第二机密序号代码的用户信息;

在多个第二源处提供多个节目信号;

把该用户信息传送到该第二源;

结合用该户信息及该节目信号以产生一个结合的信号;和

把该结合的信号传送给所说的解码器。

17、把模拟接收系统转换为接收模拟和数字信号的装置包括：

接收（1306）具有多个地址来的多个压缩数字信号的装置，每个地址对应一个特定的数字信号;

通过鉴别该特定的地址选择（1392）一个特定的数字信号的装置;

耦合到该选择装置上、用于对数字信号解压缩（1393）的装置;和

用来可拆卸地耦合（1397）连接在该接收装置和该选择装置之间的装置。

18、权利要求13或17的装置进一步包括对耦合到所说解压缩装置上的所说电视信号解密（1399）的装置。

19、在一个节目环境中把用户信息传播到节目信号广播电台的方法包括下面步骤：

在一个第一源处提供该用户信息;

在多个第二源处提供该多个节目信号;

把该用户信息传输到该第二源;

把该用户信息与该节目信号结合以产生一个结合的信号;和

把该结合的信号广播到至少一个用户。

20、用于对一个用第一机密序号代码或第二机密序号代码或两者来加密的关键码解密的一个解码器，该解码器特征在于：

响应于一个被探测到的信号、在解码器中的一个第一关键码解密装置（719）和可拆卸地固定在解码器上的一个可更换的安全模块（714）之间进行有效转换（708）的装置，以便有效地对关键码解密。

21、一个用来对一个已用第一机密序号代码或第二机密序号代码或两者来加密的关键码解码的解码器，该解码器特征在于：

响应于一个被接收到的信号，用来在第一和第二关键码解密装置（714，719）之间有效转换（708）的装置，以有效地对关键码解密。

22、一个对单个解码器或一组解码器编址的合成数据包包括：

包含用于对该个人或一组解码器的编址的未加密数据的一个第一数据包（9a）;

包含用于决定在解码器中是否至少启动一个第一和第二关键码解密装置（714，719）的未加密数据的一个第二数据包（9c）;和

包含为解码器使用的被加密数据的一个第三数据包（9d）。

23、权利要求22的合成数据包，进一步包括一个第四数据包（9b），此第四数据包包含有未加密数据，用于确定如果第三数据包已经二次加密时通过该第一和第二关键码解密装置（714，719）对该第三数据包解密的顺序。

24、权利要求22的合成数据包进一步包括：

一个用来接收该合成数据包的解码器（706），此解码器包括该第一和第二关键码解密装置（714，719）。

25、一种把一个可更换的安全模块（714）更换进权利要求1的系统中而不泄露系统安全性的方法，其中该系统现在正用由第一机密序号代码加密的关键码进行操作，此方法包括下面步骤：

用一个新的第一机密序号代码对一个新的关键码编码;

用该第二机密序号代码对此新的关键码加密，因而产生一个二次加密的关键码;

把此二次加密的关键码传输到该第一关键码解密装置（719）;

用该第一关键码解密装置（719）对该二次加密关键码解密，因而产生一个一次解密的关键码;

用该可更换的安全模块（714）对该一次解密的关键码解密;和

此后仅用该第二机密序号代码对该关键码加密。