DE69802421T2 - Verfahren und anlage zur fernladung verschiedener benutzerdekoder - Google Patents

Description

• Die Erfindung betrifft den Bereich der Dekoder, die von Digital-TV-Teilnehmern verwendet werden, insbesondere mit an Bedingungen gebundenem Zugriff.
• Die Mehrzahl der gegenwärtig in Europa ausstrahlenden Betreiber des digitalen Fernsehens bieten Dekoder zur Miete an. Diese Dekoder gestatten es, die Gesamtheit der Dienste eines einzigen Betreibers zu empfangen. Im Ausland werden Dekoder in Verteilungsnetzen zum Kauf angeboten. Jeder Dekoder aber ist einem einzigen Betreiber oder einer genau definierten und unveränderlichen Gruppe von Betreibern gewidmet. Der Verbraucher zögert, dieses relativ kostspielige Produkt zu kaufen, wenn er sich in der Beurteilung des Programmangebots des Betreibers nicht sicher ist oder wenn er weiß, dass der Dekoder, den er erwirbt, nicht verwendbar ist, um ein in der Zukunft erscheinendes Bouquet zu empfangen.
• Die ständige Zunahme der Zahl der Fernsehbetreiber und der Zusatzdienste, die sie anbieten, wie elektronische Programmführung, Pay-TV, usw., macht diese Situation für den Benutzer immer weniger akzeptabel.
• Die materiellen Plattformen der Dekoder für den direkten Satellitenfernsehempfang sind standardisiert. Durch die Norm NVB des ETSI wird für alle Hersteller eine gemeinsame materielle Struktur für die Dekoder festgelegt. Außerdem sieht diese Norm optionsweise eine gemeinsame Schnittstelle vor, die es gestattet, Module zur Zugangskontrolle zu verschiedenen Bouquets anzuschließen, und zwar in Form einer in einen Dekoderverbinder einführbaren PCMCIA-Karte. Sie erfordert eine Verdoppelung von zahlreichen Funktionen. Sie gestattet zwar durch Wechsel der Karte den Empfang von Fernsehsendungen, die von mehreren Betreibern kommen, macht aber im allgemeinen nicht die zugeordneten Dienste zugänglich.
• Eine zusätzliche Schwierigkeit kommt daher, dass die Empfangsplattformen ein und desselben Bouquets von mehreren Lieferanten kommen können, die verschiedene Hardwares verwenden, die einfach eine durch den Betreiber festgelegte gemeinsame Anwendungsmaschine haben, wie OPEN TV, MEDIA HIGHWAY, DAVID (Digital Audio-Video Interacting Decoding), die eine Softwarezwischenebene bilden. Aber verschiedene Betreiber verlangen im allgemeinen verschiedene Anwendungsmaschinen. Außerdem kann eine spätere Version ein und derselben Plattform zusätzliche Funktionalitäten besitzen, die Zugriff auf Dienste gestatten, die gegenwärtig für Besitzer älterer Versionen unzugänglich bleiben.
• Die Schriften US-A-5 440 632 und US-A-5 619 250, die man heranziehen kann, beschreiben TV-Terminals, die eine Plattform besitzen, die vorgesehen ist, um Updates des Steuerprogramms des Mikroprozessors aller Terminals, nur einiger Terminals oder eines einzigen Terminals fernzuladen. Diese Schriften sehen aber nicht die Möglichkeit vor, dass von einem Betreiber zum anderen übergegangen werden kann.
• Ziel der Erfindung ist es insbesondere, ein Verfahren und eine Vorrichtung zu schaffen, die eine Universaldekoderplattform dazu geeignet machen, Sendungen zu empfangen, die von verschiedenen Betreibern kommen, ob sie nun denselben Zugriffssteuermodus und/oder dieselbe Anwendungsmaschine verwenden oder nicht.
• Zu diesem Zweck schlägt die Erfindung insbesondere ein Verfahren zum Fernladen von einem Betreiber eigener Anwendungssoftware in eine Universaldekoderplattform für das digitale Fernsehen gemäß dem Anspruch 1 vor.
• Auf diese Weise kann der Benutzer anfangs oder während eines späteren Ladens den Betreiber seiner Wahl aus einer Liste von Betreibern auswählen, die mit dem Hersteller des Dekoders einen Vertrag geschlossen haben, obwohl sie voneinander sehr verschiedene Sprachen (API) verwenden können, um ihre Anwendungen oder Dienste zu beschreiben.
• Dieses Verfahren unterscheidet sich in seiner Struktur und in seiner Funktion vollständig von dem einfachen Update-Fernladen einer Ergänzungssoftware, die den Teilnehmern eines einzigen Betreibers vorbehalten ist. Es unterscheidet sich auch sehr von der einfachen Übertragung von Mitteilungen zur Verwaltung von Zugriffsrechten, EMM genannt. Es gestattet nämlich auf einfache Weise den Zugriff auf ein beliebiges von mehreren verschiedenen Bouquets von einer gemeinsamen Plattform aus.
• Es können zwei verschiedene Fälle auftreten; beide können durch Anwendung der Erfindung behandelt werden.
• Der erste Fall ist derjenige des Betreibers, der einem Anwender, der über einen Dekoder verfügt, ermöglichen möchte, das Bouquet eines Konkurrenten zugunsten des seinen aufzugeben. In diesem Fall kündigt der Anwender sein Abonnement für das Konkurrenzbouquet. Er abonniert das neue Bouquet durch eine Maßnahme, die herkömmlich sein kann und die Fernladung der Anwendungssoftware des Bouquets, das er empfangen möchte, verlangt. Der Betreiber schließt in die Ausstrahlung der Software die Filtrierelemente ein, die nur diesem Plattformbesitzer die Speicherung des Programms gestatten. Dann ruft der Benutzer beispielsweise mit Hilfe seiner Fernbedienung das Initialisierungsladeprogramm auf, das ihm ein Menü bietet, das ihm die Eingabe der Parameter des Transponders des Bouquets, das er empfangen möchte, gestattet. Er löst das Fernladeprogramm aus, dessen Dauer von der Bandbreite abhängt, die vom Betreiber dieser Funktionalität in seiner Sendung zugewiesen wird.
• Die ferngeladene Anwendungssoftware wird in einem Programmspeicher beschrieben. Dieser kann ein Flashspeicher sein, dessen Schreibzeit groß ist. Der Betreiber, der nur 1 diese Möglichkeit vorsieht, kann sich darauf beschränken, die Anwendungssoftware, die den Zugriff auf sein Bouquet erlaubt, nur nachts und in Form von aufeinanderfolgenden Paketen zu übertragen, die in großen Zeitintervallen übertragen werden, was den für das Fernsehen und für Daten anderer Natur verfügbaren Durchsatz nur sehr wenig belastet.
• Der andere Fall ist derjenige, in dem die konkurrierenden Betreiber das "zapping" eines gemeinsamen Teilnehmers zwischen Bouquets zulassen. In diesem Fall können häufige Fernladungen eines Anwendungsprogramms stattfinden, das dazu bestimmt ist, ein gespeichertes Programm zu ersetzen. Um ein zu langes Warten zu vermeiden (infolge der Schreibzeit in einem Flashspeicher), werden die Programme dabei in einem Programm-Lebendspeicher gespeichert und ausgeführt, der den Flashspeicher ersetzt oder frontal begleitet. Das Vorhandensein eines Flashspeichers zusätzlich zu einem Lebendspeicher gestattet es, eine Programmversion in nichtflüchtiger Form aufzubewahren. Im Fall des Fehlens eines Flashspeichers wird nach jeder Unterbrechung der Versorgung eine Fernladung vorgenommen.
• Es ist möglich, zusätzlich zu den auf Initiative des Teilnehmers durchgeführten Fernladungen, Update- oder Zusatzfernladungen von Funktionalitäten vorzusehen, die einen obligatorischen Charakter haben, um Änderungen des Betriebs zu berücksichtigen.
• Das Verfahren muss zwei Anforderungen entsprechen. Es muss selektiv sein, d. h. muss die Anpeilung nur von gewissen Plattformen gestatten; es muss wirksam sein und es gestatten, in ein und derselben Mitteilung alle Plattformen zu benennen, die die gleiche Softwareversion erhalten sollen.
• Diese beiden Funktionen können durch eine Operation erfüllt werden, die man als "Filtrierung" bezeichnen kann und die darin besteht, dass man durch die Angaben, die entweder im Kopf eines Softwarefernladeflusses oder in den Diensten zugeordneten Informationstafeln (PSI und SI) eingeschrieben sind, die von diesem Fluss betroffenen Dekoder benennt. Zu diesem Zweck kann der Kopf (oder die PSI/SI) mehrere Felder aufweisen, die Merkmale definieren, die auch in die Plattformen eingeschrieben sind. Diese Merkmale können, wie die des Hardwareteils, definitiv sein, und andere, wie die des Softwareteils, können veränderlich sein.
• Die Erfindung schlägt auch eine Anlage zum Fernladen von Anwendungssoftware in Dekoderplattformen des digitalen Fernsehens vor, umfassend:
• - in jeder Plattform Mittel zum Auswählen und zur Extraktion eines Datenflusses, der eine spezielle Anwendungssoftware des von einem Betreiber angebotenen Bouquets darstellt, und einen wiederbeschreibbaren programmierbaren Speicher zum Speichern dieser Software und zur Verarbeitung, um die Plattform zum Zweck der Nutzung der durch die Software identifizierten Dienste zu steuern, und
• - auf Höhe des Verbreiters, Mittel zum repetitiven Einfügen in die verbreiteten digitalen Daten einerseits eines diese spezielle Anwendungssoftware darstellenden Datenflusses und andererseits von Informationen, die die Merkmale der Dekoder beschreiben, die allein dazu bestimmt sind, die Software zu empfangen.
• Die Auswahl- und Extraktionsmittel können aus einem betreiberunabhängigen Universalverarbeitungsmodul bestehen, das alle Funktionen erfüllt.
• Bei einer Ausführungsvariante kann das ganze Programm oder ein Programmteil (ohne eine Zugriffssoftware zu diesem Programm) über das Fernsprechnetz übertragen werden, sofern die Plattform Mittel zur Kopplung an dieses Netz besitzt. Diese Komplikation ist im allgemeinen jedoch nicht erforderlich, da der erforderliche Durchlassbereich zum Übertragen eines Anwendungsprogramms in einer vernünftigen Zeit klein bleibt. Wenn man beispielsweise den Fall eines Betreibers betrachtet, der einen Satellitenkanal mit einer Breite von 36 MHz verwendet und vier Transponder betreibt, genügt es, 1% des verfügbaren Durchsatzes, d. h. etwa 1,2 Mbits/s, dem Laden einer mittleren Software von 1 Mo in etwa 8 s zu widmen.
• Wenn nur ein Programmladen im Ausnahmefall vorgesehen ist, um einen Abonnementwechsel vorzunehmen, kann die Übertragung mit einem äußerst geringen mittleren Durchsatz durchgeführt werden, der keinen merklichen Einfluss auf die verfügbare Bandbreite hat.
• Die oben genannten Merkmale sowie andere Merkmale ergeben sich aus der folgenden Beschreibung eines besonderen, nicht begrenzenden Ausführungsbeispiels. In dieser Beschreibung wird auf die beiliegende Zeichnung Bezug genommen. In dieser Zeichnung zeigen:
• Fig. 1 ein Prinzipschaltbild der materiellen Architektur einer Plattform eines einem Fernsehgerät zugeordneten Dekoders,
• Fig. 2 ein Schema der Fernladung,
• Fig. 3 eine Darstellung einer möglichen Ausbildung eines Kopfs (oder eines privaten Deskriptivs in einer PSI- oder SI-Tafel), die eine Filtrierung gestattet,
• Fig. 4 die Darstellung einer Ladesequenz,
• Fig. 5 ein Schema, das eine mögliche Art der Verwaltung der Schlüssel zeigt.
• Die Erfindung wird im wesentlichen in ihrer Anwendung auf einen Dekoder zum Empfang von Digital-TV-Signalen vom Typ MPEG2 beschrieben, die aus einem von aufeinanderfolgenden Paketen gebildeten Multiplex bestehen. Die Pakete transportieren:
• - die Audio- und Video-Komponenten,
• - digitale Daten, zu denen die fernzuladenden Softwares gehören.
• Die Architektur der Plattform eines Dekoders ist im allgemeinen die in Fig. 1 schematisch dargestellt Architektur. Sie umfasst:
• - eine Netzschnittstelle 10, die die Funktionen Empfang und Demodulation gewährleistet und deren Ausbildung von dem Netz abhängt (Bodenkabelnetz, direkte Ausstrahlung über Satellit, Funknetz);
• - einen Zeitdemultiplexer 12, der auch die Entwirrung vornimmt und die Komponenten des empfangenen Signals trennt;
• - Dekoder, und zwar einen Audiodekoder 14 und einen Videodekoder 16;
• - ein Modul 18 zur Datenverarbeitung und Verwaltung des Dekoders.
• Der Demultiplexer 12 arbeitet unter der Abhängigkeit von dem Modul 18. Er leitet die Videopakete zu dem Videodekoder 14, die Audiopakete zu dem Audiodekoder 16 und die Daten zu dem Modul 18. Er entwirrt die Komponenten, die durch die Steuerung des Zugriffs auf die Sendung verwirrt wurden.
• Die Dekoder 14 und 16 für Audio und Video gewährleisten die MPEG2-Dekomprimierung und liefern die dekomprimierte digitale Information Digital-Analog-Wandlern 20 und 22, aus denen Audio- und Videosignale austreten, die von einem Fernseher verwertet werden können.
• Das Modul 18 verwaltet die Gesamtheit der inneren Elemente des Dekoders und auch der Benutzerschnittstellenelemente 24, wie Tastatur, IR-Fernsteuerempfänger 23, Anzeige. Es kann auch eine Eingangs-Ausgangs-Schnittstelle 25 mit fakultativen Elementen steuern, die das Hören der Funktionalitäten gestatten, wie ein Fernsprechmodem 26 oder eine schnelle Schnittstelle 28 zum Anschluss an einen Mikrorechner. Der Prozessor ist im allgemeinen auch mit einem Verbinder 29 zur Aufnahme einer Mikroschaltungskarte oder Chipkarte verbunden, die beispielsweise die Schaltungen zur Berechnung eines Entwirrungsschlüssels enthält.
• Da Modul 18 besitzt einen Prozessor 30, der durch einen Bus 32 mit Speichern verbunden ist. In klassischer Weise umfassen diese Speicher:
• - einen Festspeicher 34, der nichtflüchtig ist und nicht wiederprogrammierbar ist (außer durch materiellen Eingriff), der durch den Prozessor direkt adressierbar ist,
• - einen flüchtigen Lebendarbeitsspeicher 36, der durch den Prozessor direkt adressierbar ist und zur Manipulation der Daten bestimmt ist.
• Um die Durchführung der Erfindung zu gestatten, besitzen die Speicher auch zusätzliche Speicherräume, die es insbesondere gestatten, folgendes zu speichern:
• - ein Initialisierungs- und Startladeprogramm oder Startprogramm, als "boot loader" bezeichnet, das in einer nichtflüchtigen, geschützten nichtwiederbeschreibbaren Speicherzone liegt (der nichtwiederbeschreibbare Charakter der Zone kann beispielsweise durch Maskierung bei der Herstellung erreicht werden);
• - die vollständige Operationssoftware eines digitalen Bouquets eines privaten Betreibers, und zwar in einer wiederbeschreibbaren Zone.
• In dem in Fig. 1 dargestellten Fall umfassen die Speicher zu diesem Zweck:
• - einen nichtflüchtigen wiederprogrammierbaren Speicher 38, der durch den Prozessor direkt adressierbar ist und dazu bestimmt ist, die Anwendungssoftware zu empfangen, wie z. B. einen Flashspeicher; dieser Speicher kann vorgesehen sein, um die spezifischen Programme von mehreren Bouquets zu speichern, wenn die Plattform dazu vorgesehen ist, ein zapping zu gestatten, ohne auf ein Nachladen warten zu müssen; er enthält im allgemeinen die Operationssoftware;
• - einen nichtflüchtigen Speicher 40, der dazu bestimmt ist, Konfigurationsdaten des Dekoders aufzunehmen; dieser Speicher, der nicht notwendigerweise durch den Prozessor adressierbar ist, kann ein elektrisch wiederprogrammierbarer Festwertspeicher oder EEPROM-Speicher sein.
• Der Festwertspeicher 34 kann ein nicht veränderbarer Teil des Speichers 38 sein, wenn dieser ein Flashspeicher ist.
• Die Softwarearchitektur des Dekoders kann als Architektur mit drei Funktionalitätsebenen oder -schichten betrachtet werden, der Angriffsschicht, der Systemschicht und der Schicht interaktive Anwendungen.
• Die Angriffsschicht oder "Driver" ist spezifisch und an die Hardwarearchitektur angepasst. Sie gestattet die Durchführung der vom Dekoder angebotenen materiellen Funktionen.
• Die Systemschicht verwaltet die Plattform und bietet die 1 für ihren Betrieb erforderlichen allgemeinen Dienste, zu denen die Anwendungsmaschine gehört, und die von den interaktiven Anwendungen aufgerufenen Dienste. Zur Erfüllung dieser Funktion besitzt die Systemschicht im allgemeinen einen Interpreter, der die Umwandlung eines Quellkodes in einen Zielcode gestattet. Ein Compiler ist dagegen nicht erforderlich, da es genügt, dass die Umwandlung bei jeder neuen Verwendung der Systemschicht stattfindet.
• Die Schicht interaktive Anwendungen gewährleistet die örtliche Interaktivität und benutzt die Anwendungsmaschine; sie kann auch vorgesehen sein, um eine Schnittstelle mit dem Modem 26 zur Verbindung mit dem Fernsprechnetz zu bilden. Diese Schicht besitzt Schnittstellenanwendungen mit dem Anwender, die die von der Systemschicht angebotenen Dienste benutzen.
• Die Anwendungen und die zugeordneten Hilfsquellen sind zum Teil resident, d. h. im Festwertspeicher des Dekoders permanent gespeichert, und zum Teil ferngeladen durch die Systemschicht aus dem TV-Signal mit der Norm MPEG2.
• Die Schnittstellenanwendungen mit dem Anwender sind im allgemeinen in Script-Sprache geschrieben. Die Systemschicht interpretiert die Informationen in Script-Sprache und verwaltet die Aktivierung und die Fernladung der interaktiven Anwendungen. Diese Systemschicht wird auf die Plattform in einem durch den Prozessor 30 direkt interpretierbaren Kode geladen.
• Der Übergang von einem Bouquet zu einem anderen entspricht hauptsächlich einer Umkonfigurierung der Speicher.
Fernladeoperationen
• Das Fernladen eines Anwendungsprogramms läuft folgendermaßen ab:
• Der Bouquetwechsel beinhaltet, dass die Gesamtheit der die Verarbeitung des Bouquets gestattenden Software geladen wird, und zwar unabhängig von den Besonderheiten der Art der Zugriffskontrolle.
• Zu diesem Zweck muss ein Laden oder Ändern der in dem Dekoder residenten Softwares stattfinden, was durch Reinitialisierung des gesamten Programmspeichers 38, im allgemeinen eines Flashspeichers, geschieht.
• Die Daten, die bei der Fernladung zum Reinitialisieren des Flashspeichers 38 übertragen werden, sind bei allen Plattformen mit gleichem materiellen Aufbau die gleichen. Das Schema von Fig. 2 entspricht dem Fall einer Fernladung, die den Teil "Daten" des verbreiteten Flusses benutzt. Die zu ladende Software liegt in Form einer Datei vor. In der Plattform wird sie extrahiert und in den Lebendspeicher 36 adressiert, in dem sie wieder zusammengesetzt wird, bevor sie in den Programmspeicher 38 geschrieben wird, der zum Schluss also die Angriffsschicht, die Systemschicht und die Anwendungsschicht einschließlich der Anwendungsmaschine enthält.
• In anderen Fällen kann die Fernladung über die Eingangs- Ausgangs-Schnittstelle 25 mit Hilfe eines Modems oder eines Mikrorechners stattfinden.
• Die Fernladung umfasst in allen Fällen auf der Ebene des Verbreiters die Erzeugung der Bilddateien, die in den Programmspeicher 38 der Plattform zu schreiben sind. Diese Dateien können sehr verschiedene Naturen haben:
• - bereits kompilierte Zieldateien,
• - in Script-Sprache geschriebene Anwendungen,
• - andere Funktionen, wie z. B. Bibliothek.
• Die auf diese Weise gebildeten "Bild"-Dateien werden dann formatiert, um sie an den angewendeten Übertragungsmodus anzupassen, d. h. entweder über das Verbreitungsnetz der Fernsehprogramme oder über das Drahtnetz.
• In beiden Fällen ist die erste Operation, die in der Plattform bei Empfang der Dateien durchgeführt wird, eine Selektivitätsfiltrierung, damit nur die Anwendungsprogramme geladen werden, die von einem bestimmten Programmlieferanten kommen. Diese Operation kann, wie man im Nachstehenden sehen wird, von der Kontrolle einer elektronischen Signatur im Kopf des Datenflusses begleitet sein, der die zu ladende Anwendungssoftware bildet.
Filtrierung
• Die Selektivitätsfiltrierung gestattet es, das Anwendungsprogramm nur in identifizierte Plattformen zu laden und es in alle diese Plattformen zu laden. Nun sind zu einem bestimmten Zeitpunkt zahlreiche Typen von Plattformen in Betrieb, die im allgemeinen verschiedene Softwares enthalten. Wenn die Plattformen, obwohl sie unterschiedlichen Typs sind, ursprünglich für ein und denselben Programmbetreiber oder -lieferanten vorgesehen sind, besitzen sie die gleiche Anwendungsmaschine. Aber diese Anwendungsmaschine ändert sich, wenn man von einer Plattform, die programmiert ist, um das Bouquet eines besonderen Lieferanten oder Betreibers zu empfangen, auf eine Plattform übergeht, die für einen anderen Betreiber programmiert ist: Sie muss im Anwendungsspeicher ausgetauscht werden.
• Von den Elementen, die sich je nach Ursprung des Dekoders und je nach Hardwarearchitektur des Dekoders ändern können, sind zu nennen:
• - der Hersteller des Dekoders, der häufig eine Eigentümerarchitektur benutzt,
• - die Art der Erwerbung des Dekoders (Kauf, bezuschusster Kauf, durch den der Dekoder für eine bestimmte Zeit einem besonderen Betreiber zugewiesen wird, Miete), die sich in verschiedenen Zugriffskontrollfunktionen und damit verschiedenen Systemschichten äußern kann,
• - Datum der Erwerbung, wobei sich die Software in der Zeit geändert haben konnte.
• Alle diese Elemente sind in einem Kennzeichen des Dekoders enthalten, das insbesondere die folgenden Felder besitzen kann:
• C&sub1;: Identifizierung des Herstellers,
• C&sub2;: Version der materiellen Plattform,
• C&sub3;: Art der Erwerbung (Miete, bezuschusster Verkauf, nicht bezuschusster Verkauf u.s.w.),
• C&sub4;: Identifizierung der Software, die die laufende Version der in den Dekoder geladenen Software angibt,
• C&sub5;: individuelle Seriennummer des Decoders.
• Das Feld C4 wird im Gegensatz zu den anderen bei jeder Fernladung geändert.
• Um die Filtrierung zu gestatten, ist in jedem Dekoder eine Kennung vorgesehen und besitzt jeder Datenfluss, der eine Anwendungssoftware darstellt, Parameter, die die Durchführung der Lade- oder Aktualisierungsoperationen nur auf den geeigneten Dekodern gestatten.
• Dieser Kopf besitzt Felder, die jeweils einem dieser Parameter zugewiesen sind.
• Fig. 3 zeigt als Beispiel eine mögliche Ausbildung des Kopfs eines Datenflusses; dieser Kopf besteht aus einem Block von N Bytes, dem ein die Zahl N angebendes Byte vorausgeht.
• Jedem Feld des Dekoders entspricht entweder ein einziger Selektionsfilter, der durch das entsprechende Feld des Kopfs materialisiert wird, oder mehrere. Die Ladung in einen Dekoder ist nur möglich, wenn alle Filtrierungsoperationen ein positives Ergebnis erbringen.
• Das erste Feld C&sub1; kann sich auf einen einzigen Filter F1 beschränken, der in den Festwertspeicher eingeschrieben ist und den betreffenden Hersteller mit seiner Identifizierungsnummer ID angibt.
• Das zweite Feld C&sub2; kann mehrere Filter, die verschiedenen Versionen der Plattform entsprechen, und einen aus einer Oder-Funktion bestehenden Filtrationsoperator aufweisen: damit das Ergebnis der Filtrierung positiv ist, genügt es, dass einer der in den Festwertspeicher eingeschriebenen Filter F2i mit C&sub2; identisch ist.
• Das Feld C&sub3; kann aus einem einzigen Filter F3 bestehen, wobei der Filtrationsoperator eine Konjunktion ist. Das Ergebnis der Filtrierung ist positiv, wenn C&sub3;ΛF&sub3; nicht null ist.
• Das Feld C&sub4; besitzt ein einziges Filter F&sub4; und der Filtrationsoperator ist hierbei der Vergleich C&sub4; (F&sub4;: die Ladung muss nämlich auf dem ganzen noch nicht aktualisierten Dekoder vorgenommen werden.
• Das Feld C&sub5; ist im allgemeinen länger als die anderen und umfasst beispielsweise 32 Bits; es enthält beispielsweise mehrere Filter F5j, die jeweils eine untere und eine obere Grenze liefern und eine Reihe von Dekodern identifizieren, auf denen eine Aktualisierung vorzunehmen ist. Das Ergebnis der Filtrierung ist positiv, wenn der im Feld C&sub5; der Kennung enthaltene Wert zwischen den beiden von mindestens einem der Filter F5j gegebenen Werten liegt.
• Das Feld C6 gibt den Betreiber (oder die Betreiber) an, bei dem bzw. bei denen ein Teilnehmer eingetragen ist. Es weist einen oder mehrere Filter F&sub6; auf, die in den wiederbeschreibbaren Speicher eingeschrieben sind.
Adressierung
• Die in den Anwendungsspeicher 38 einzuschreibenden Daten werden zu dem Dekoder mit Angabe der Adresse übertragen, bei der sie im Speicher 38 umkopiert werden sollen.
• Insbesondere wenn ein Formatierungslebendspeicher 36 vor dem Programmspeicher 38 angeordnet ist, kann es geschehen, dass die vollständige Programmdatenerfassung nicht in einer einzigen Operation und mit nur einer Adresse vor sich gehen kann.
• In diesem Fall werden die Daten, die die fernzuladende Software darstellen, zu dem Dekoder in Form von aufeinanderfolgenden Blöcken von aneinander anschließenden Daten übertragen und werden die Daten eines Blocks an einer gemeinsamen Adresse des Programmspeichers 38 umkopiert. Die Sequenzierung der Ladung einer Software im Programmspeicher 38 kann nun die in Fig. 4 schematisch dargestellte Form haben. Die aufeinanderfolgenden Datenblöcke besitzen jeweils eine Ausgangsadresse A&sub1;, ..., An, die eine Adresse im Programmspeicher 38 angeben, den Datenteil D&sub1;, ..., Dn und einen Fehlerkorrekturkode. Ihnen geht die Sendung eines Kopfblocks 44 voraus, der einen Anwendungsbeschreiber DA und Beschreiber DD&sub1;, ..., DDn der aufeinanderfolgenden Blöcke aufweist. Die Ausgangsadressen gestatten die unmittelbare Einschreibung in den Programmspeicher 38.
• Der Kopfblock identifiziert die zu ladende Anwendung und liefert die Liste der Blöcke, aus denen er zusammengesetzt ist. Die Datenblöcke, aus denen die Anwendung zusammengesetzt ist, werden aus Bildblöcken erzeugt, denen Informationen zur Sicherung des Transports hinzugefügt sind, die aus einem Erfassungs-(und ggf. Fehlerkorrektur-)kode bestehen. Es kann sich dabei insbesondere um einen redundanten zyklischen Kode handeln, der im allgemeinen mit der Abkürzung CRC bezeichnet wird.
• Praktisch geht die Fernladung im Fall des Abonnementwechsels folgendermaßen vor sich: Nach Unter-Spannung-Setzen löst der Teilnehmer das Fernladeprogramm (downloader) durch Einwirkung auf eine der speziellen Tasten seiner Fernbedienung aus. Dieses Programm besitzt ein Menü, das dem Benutzer gestattet, mit Hilfe seiner Fernbedienung Parameter des Master-Transponders (home transponder) des neuen Bouquets einzugeben (mindestens Frequenz, Polarisierung, Grad des Fehlerkorrekturkodes und Symboldurchsatz). Zum Erleichtern dieser Aufgabe können diese Informationen in kompakter Form eingeführt werden, beispielsweise in Form einer Anzahl von einigen Dezimalzahlen, die der Betreiber bei Abonnementabschluss liefert. Durch Drücken auf die Validationstaste wird die Fernladung ausgelöst. Diese Fernladung beinhaltet Kontroll- und Selektionsfunktionen, die die Felder C&sub1;-C&sub6; benutzen. Und zwar gibt es:
• - Kontrolle des Betreibers, der Versionsnummer, des Herstellers,
• - Selektion der Versionsnummer, des Herstellers, der Serie, wobei diese Selektion ohne Authentifizierungsprozess stattfinden kann.
• Wie oben erwähnt wurde, ist die Fernladung gesichert, um folgendes zu verhindern:
• - Fernladungen von Daten, die nicht von einem zugelassenen Betreiber übertragen werden,
• - Fernladungen von Daten in eine Plattform, die nicht befugt ist, sie zu empfangen.
• Die Sicherung kann auf einer Chiffrierung mit privaten und/oder öffentlichen Schlüsseln beruhen. Man weiß, dass die Chiffrierung mit öffentlichem Schlüssel einen schwer umkehrbaren Algorithmus benutzt, so dass die Kenntnis des öffentlichen Schlüssel und der chiffrierten Mitteilung es nicht ohne Berechnungen von unrealistischer Dauer erlaubt, zur ursprünglichen Mitteilung vorzudringen.
• Fig. 4 zeigt in unterbrochenen Linien die Hinzufügungen, die am Kopf 44 vorzunehmen sind, um die Mitteilung zu sichern.
• Jedem Datenblock ist eine Signatur S&sub1;, ..., Sn zugeordnet, die im Kopf enthalten ist. Die Signatur, die aus den Daten des jeweiligen Blocks berechnet wird, gestattet die Überprüfung der Authentizität dieses Blocks.
• Außerdem besitzt der Kopf eine Signatur, die in einer chiffrierten Form 5 übertragen wird. Der Chiffrieralgorithmus der Signatur des Kopfblocks ist ein rithmus der Signatur des Kopfblocks ist ein Algorithmus mit Privatschlüssel, beispielsweise vom Typ RSA. Den Privatschlüssel hat nur der Hersteller inne. Die Errechnung der nicht chiffrierten Signatur aus der chiffrierten Signatur S geschieht im Dekoder durch einen Algorithmus mit öffentlichem Schlüssel, der im Festwertspeicher 34 oder in einer geschützten Zone des Programmspeichers 38 gespeichert ist, wenn es sich um einen Flashspeicher handelt.
• Die Signatur S gestattet die Überprüfung der Authentizität des Kopfblocks und damit der Daten, die er transportiert, und insbesondere der Signaturen S&sub1;, ..., Sn.
• Die Verteilung der Schlüssel und der Funktionen, wenn mehrere Betreiber 1, ..., i sich zusammenschließen, um gemeinsame private Schlüssel zu verwenden, kann die in Fig. 5 dargestellte Verteilung sein. Ausgehend von den gemeinsamen privaten Schlüsseln liefern die Betreiber dem Hersteller der Dekodersoftware die öffentlichen Schlüssel, die gleichzeitig mit den Filtern F&sub1;, F2i, F5j in den Festwertspeicher 34 eingeschrieben werden.
• Die Startinstruktionen des Dekoders bei der Inbetriebnahme sind ebenfalls im Festwertspeicher gespeichert, desgleichen der Aktualisierungslader des Terminals. Um den Fällen der Zerstörung des Programmspeichers 38, insbesondere wenn es sich um einen Flashspeicher handelt, infolge einer Unterbrechung während des Ladens zu begegnen, ist die Funktion der Aktualisierung des Terminals direkt verbunden mit der Funktion des Startens des Prozessors des Dekoders, wenn eine Zerstörung festgestellt wird.
• Die Erfindung gestattet es, die Beziehungen zwischen Betreibern und Anwendern auf einfache Weise zu ändern. Auf Grund der Tatsache, dass die Identifizierung des Betreibers, im Gegensatz zu den anderen im ROM angeordneten Parametern, im Flashspeicher gespeichert ist, ist es möglich, einen gemieteten Dekoder neu zuzuweisen, wenn er zurückgegeben wird. Ein Dekoder kann von der Bindung an einen besonderen Betreiber "befreit" werden. Die Selektion geht mit Hilfe von einfachen logischen Operationen vor sich, und zwar implizit durch Vorgabe.
• Im besonderen Fall einer Verbreitung gemäß der Norm MPEG2 werden die Daten zur Aktualisierung und Ladung von Anwendungssoftware in einem Privatdatendienst DVB transportiert, wie er in der Norm mit "terminal update" bezeichnet wird. Die die zu ladende Software bildenden Blöcke werden in Elemente mit einer maximalen Größe von 4064 Bytes zerschnitten, wobei jedes Element einen Kopf von 16 Bytes hat. Die Identifizierung eines Dienstes zur Aktualisierung oder Ladung einer Software geht ausgehend von Zeichengabedaten des Netzes vor sich.
• Das erfindungsgemäße Verfahren zum Fernladen von Anwendungssoftware interferiert überhaupt nicht mit den Fernladungen zur Aktualisierung der Software des laufenden Betreibers, d. h. des Betreibers, bei dem der Benutzer abonniert ist.

Claims (10)

1. Verfahren zum Fernladen von einem Betreiber unter mehreren zugehöriger Operationssoftware in eine Universaldekoderplattform des digitalen Fernsehens, gemäß welchem

- bei der Herstellung ein für alle Male in einer geschützten und nicht wiederbeschreibbaren Speicherzone der Plattform ein Initialisierungs- und Startlader gespeichert wird, der dem Dekoder eigene Filtrierfelder (C1-C6) aufweist,

- in dem digitalen Fernsehsignal, das von jedem der Betreiber kommt, die eine Vereinbarung mit dem Hersteller getroffen haben und dafür vorgesehen sind, zugänglich zu sein, periodisch eine Mitteilung verbreitet wird, die die Plattform identifiziert und die Operationssoftware enthält, die die Plattform in die Lage versetzt, den Datenfluss des Fernsehsignals dieses Betreibers zu dekodieren und seine Dienste zu verarbeiten, wobei diese Mitteilungen eine

elektronische Signatur enthalten,

- die Mitteilungen, die die Operationssoftware enthalten und die Plattform und den Betreiber identifizieren, bei Empfang auf Wahlanforderung des Benutzers mit Hilfe der Filtrierfelder (C1-C6) gefiltert und in den wiederbeschreibbaren Programmspeicher (38) eingeschrieben werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Operationssoftware in Form von zu programmierenden Daten in den beschreibbaren Speicher in Datenblöcken übertragen wird, die jeweils an einer in einem Kopfteil des Blocks gelieferten Adresse (A&sub1;, ..., An) umkopiert werden.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass man den Datenblöcken einen Kopfblock vorhergehen lässt, der eine Beschreibung der Anwendung und jedes der Datenblöcke enthält.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass jeder Datenblock einen Fehlerkorrekturkode wie einen redundanten zyklischen Kode aufweist.

5. Verfahren nach Anspruch 3 oder 4, dadurch gekennzeichnet, dass der Kopfteil mindestens eines der folgenden Felder umfasst:

- Identifizierung (C&sub1;) des Herstellers der Plattform,

- Version (C&sub2;) der materiellen Plattform,

- Erfassungsart des Dekoders (C&sub3;),

- Identifizierung der gängigen Version der Software (C&sub4;) und

- individuelle Seriennummer des Dekoders (C&sub5;).

6. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass SI- oder PSI-Informationen, die den verbreiteten Mitteilungen zugeordnet sind und Operationssoftwares enthalten, mindestens eines der folgenden Felder aufweisen:

- Identifizierung des Herstellers der Plattform,

- Version der materiellen Plattform,

- Erfassungsart des Dekoders,

- Identifizierung der gängigen Version der Software und

- individuelle Seriennummer des Dekoders.

7. Verfahren nach Anspruch 4, 5 oder 6, dadurch gekennzeichnet, dass jedem der Datenblöcke eine Ziffernsignatur zugeordnet ist, die in den Kopfteil eingeschlossen ist, und dass der Kopfteil selbst eine Ziffernsignatur aufweist.

8. Anlage zum Fernladen von Anwendungssoftware in Dekoderplattformen des digitale Fernsehens, umfassend:

- in jeder Plattform ein unabhängiges universelles Betreiber-Verarbeitungsmodul, das Identifizierung schlüssel enthält und gewährleistet: die Extraktion eines Datenflusses, der eine spezielle Operationssoftware des von einem Betreiber angebotenen Pakets darstellt und von demjenigen von mehreren Betreibern kommt, der zu diesem Zeitpunkt vom Benutzer ausgewählt ist, Authentifizierung durch Anwendung der Identifizierungsschlüssel und Einschreiben der Software in einen wiederbeschreibbaren programmierbaren Speicher (38) zum Speichern dieser Software und Steuerung des Dekoders zur Nutzung der durch die Software identifizierten Dienste, und

- auf Höhe des Verbreiters, Mittel zum repetitiven Einfügen in den verbreiteten digitalen Datenfluss einerseits von einer diese spezielle Software darstellenden Sequenz von Blöcken und andererseits von Informationen, die die Merkmale der Dekoder beschreiben, die allein dazu bestimmt sind, geladen zu werden.

9. Anlage nach Anspruch 8, dadurch gekennzeichnet, dass das Verarbeitungsmodul zusätzlich zu dem wiederbeschreibbaren Speicher (38) einen Prozessor (30), einen flüchtigen Lebendarbeitsspeicher (36), der durch den Prozessor direkt adressierbar ist, und eine geschützte, nicht wiederbeschreibbare, nicht flüchtige, zugangsgesicherte Speicherzone (34) umfasst.

10. Anlage nach Anspruch 9, dadurch gekennzeichnet, dass die nicht flüchtige und geschützte Speicherzone (34) Teil eines Flash-Speichers (38) bildet.