CN1650613A - 用于有限制的有条件访问的安全模块 - Google Patents

Abstract

一个包含多个互连的装置(101－105)并被安排成向装置(101－105)提供有条件访问受保护的内容的系统(100)，特征在于该系统(100)被安排成把涉及所述受保护的内容项目的同时发生的会话的数量限制到一个预定的总限度。该系统(100)最好把能同时被访问的内容项目的个数限制到该预定限度。诸如智能卡的安全模块(300)可用于这个用途。每个安全模块(300)可以被安排成把它同时提供访问的内容项目的个数限制到一个能随时间推移而改变的个别的限度。该系统把各个别的限度的和限制到该预定的总限度。如果达到了该限度，进一步的会话可以被拒绝或者允许以降低的质量水平进行。

Description

用于有限制的有条件访问的安全模块

发明领域

本发明涉及一种包含互连的装置并被安排成向这些装置提供对受保护的内容项目的有条件访问的系统。

技术背景

近年来，内容保护系统的数量一直在快节奏地增长。这些系统有一些只保护内容不被非法复制，而另一些也禁止用户访问该内容。第一类被称作复制保护(CP)系统。CP系统传统上对消费电子装置来说一直是主要焦点，因为这类内容保护被认为在实现上是费用低廉的，并且不需要与内容提供者的双向互动。某些例子是内容加扰系统(CSS)、DVD ROM盘和DTCP的保护系统、IEEE 1394连接保护系统。

第二类已知有若干个名字。在广播世界里，这类的系统一般被称作有条件访问(CA)系统，而在因特网世界里，它们一般被称作数字权力管理(DRM)系统。

有些类型的CP系统也能提供与CA或DRM系统相结合的服务。例子是目前由DVB-CPT子组和TV-Anytime RMP组开发中的系统。目标是其中多个装置的集合能通过双向连接互相认证的系统。根据这个认证，装置将互相信任，这将使它们能(允许它们)交换受保护的内容。随附的许可证说明用户有哪些权利以及允许用户对内容进行哪些操作。许可证通过某种一般的网络秘密得到保护，这种秘密只在某个家庭内的各装置之间交换。这个装置的网络被称作授权域(AuthorizedDomain，AD)。

在一些对授权域的当前的建议中，装置的数量是授权域的大小的主要限制。这些建议(像由Thomson Multimedia开发的SmartRight系统)对能成为授权域中一部分的装置规定了固定的最大个数。限制域的大小的主要理由是防止域无节制地在因特网上扩散，以至人们向世界另一端完全陌生的人开放他们的授权域。通过限制授权域的大小，人们就有理由只允许他们自己的装置是域的一部分。

在授权域中限定装置的固定的最大数，有许多缺点。一个缺点是这样的事实，即当一个装置坏掉或被偷时，重新获得与授权域中这个装置相关联的权利是困难的，因为域对装置的准入，可能不是中央控制的，并且，在任何时候也没有对哪些特定装置是域的一部分进行归档。

固定的最大数的另外一个缺点是这样的事实，即要事先确定什么是最大数的合理值是很困难的。特别是在将来，有更多的连网装置连上家庭网络时，今天似乎合理的值在将来可能太低。然而，要以允许在将来容易对最大数升级的方式实现这样的固定最大数，是非常复杂的。

发明内容

本发明的一个目的是提供一种其中能限制一个特定域的大小、同时克服与该特定域中装置个数的固定最大数相关联的缺点的系统。

这个目的按照本发明是在一个系统中实现的，该系统的特征在于，它被安排成把涉及所述受保护的内容的项目同时发生会话(sessions)的数量限制到一个预定总限度(limit)。这样，同时活动的会话的个数，被用作域大小的一种量度标准(measure)或指标(indication)。这个个数例如可以是同时被访问的内容项目的个数，或者是被激活的呈现装置(rendering devices)的个数。对系统中装置的个数不作限制，尽管并不是所有的装置都能无限制地同时操作。

最好把能同时被访问的内容项目的个数限制到预定的限度。为此，可以使用一个诸如智能卡的安全模块。新添加的安全模块然后应当报告它被安排提供的对内容同时进行访问的个数，系统然后能决定是认证该新的安全模块，还是决定限制它可以提供的同时访问的数量。

人们例如可以把这样一个智能卡用作安全模块，该智能卡只支持一个会话(即持有该智能卡的装置的会话)，并且在一个时间允许在域中使用的智能卡的总数被限制到某个最大值。

在另一个实施例中，装置需要以正常方式在授权域对自己进行登记，但是能登记的装置的总数是没有限制的。除了这个登记，装置还需要向一个诸如智能卡的安全模块开放一个会话。在这个实施例中网络大小的总限度是通过限制安全模块的个数并协同地限制一个安全模块支持的会话的个数而完成的。

如果系统包含多个安全模块，可以将每个安全模块安排得把它提供同时访问的内容项目的个数限制到一个个别的限度，这个限度能随时间的推移而改变。系统然后把各个别限度的总和限制到预定总限度。例如，可以将一个安全模块安排得随着另一个安全模块降低其个别的限度而增加它的个别的限度。

在另一个实施例中，将系统安排得把同时活动的装置的个数限制到预定总限度。在另一个实施例中，把对第一种类的内容的同时进行的访问的个数限制到第一预定总数，把对第二种类的内容的同时进行的访问的个数限制到第二预定总限度。例如，第一种类可包含按收视付费(pay-per-view)的内容，第二种类可包含免费播放(free-to-air)的内容。这增加系统的灵活性。

要确定是否已经达到预定总限度，系统可以加权方式计算限度，其中不同种类的会话被赋予不同的权重。

在一个实施例中，系统被安排成把同时进行的第一种类的会话的个数限制到第一预定总限度，把同时进行的第二种类的会话的个数限制到第二预定总限度。

在另一个实施例中，把系统安排得如果允许一个会话会导致同时进行的会话的个数超过预定总限度，就拒绝所述会话。或者把系统安排得如果允许一个会话会导致同时进行的会话的个数超过预定总限度，就以降低的质量水平允许所述会话，或者降低所有同时进行的会话的质量水平。这在短时间是可接收的，因此对于偶尔同时观看“太多”会话的用户来说成为可能。

与此同时，这个实施例阻止重叠(overlap)各家庭的CP域的形成。假如形成这样一个域，就意味着某人喜爱的足球比赛突然被降低了质量，或者音频解说突然停止，因为邻居决定观看一个电影并让收音机开着。

一个重要的额外选择是防止“会话跳跃”(session-hopping)。“会话跳跃”是一种在因特网上共享会话的可能机制。在他们自己的域内有闲置(不用的)会话的人们，可能想要在因特网上分享这些会话，由此逃避对授权域设定的基本要求，即限制内容在因特网上的散布。这个问题可通过建立只允许一个装置在一个授权域登记的机制以及建立延迟而把改变登记限制到例如每天一次而解决。这可以用需要域持有人的积极行动代替或者需要与域持有人的积极行动相结合，这种行动可能是对某一域装置的物理行动。

附图说明

本发明的这些和其它方面，将在参照附图中所示的示例性实施例变得明显并得到阐明。附图中：

图1示意性地表示包含通过一个网络而互连的各装置的系统；

图2示意性地表示把图1的系统100示意性地划分成一个CA域和一个CP域；

图3示意性地表示一个用于图1的系统的、智能卡形式的安全模块的优选实施例。

所有附图中相同的标注号表示相似的或对应的功能部件。附图中指示的功能部件有些一般是以软件实现的，因此代表软件实体，诸如软件模块或对象。

具体实施方式

图1示意性地表示一个包含通过一个网络110互连的装置101-105的系统100。在这个实施例中，系统100是一个家庭内(in-home)的网络。典型的数字家庭网络包括许多装置，例如无线电接收机、调谐器/解码器、CD播放机、一对喇叭、电视机、VCR、磁带机、等等。这些装置通常被互连起来，以允许例如一个电视机的装置去控制另一个装置，例如VCR。一个装置，例如调谐器/解码器或机顶盒(STB)，一般是中央装置，提供对其它装置的控制。

内容通常包括诸如音乐、歌曲、电影、电视节目、图画、书等材料，但是也包括交互式服务。内容是通过住宅网关或机顶盒101接收的。内容源可能是与一个宽带电缆网络的连接、因特网连接、卫星下传链路等等。内容能在因特网上传输到一个接收器(sink)供呈现。接收器例如可以是电视显示器102、便携式显示装置103、移动电话104和/或音频回放装置105。

内容项目的被呈现的具体方式与装置的类型和内容的类型有关。例如，在无线电接收机中，呈现包含生成音频信号并把它们输送到扬声器。对于电视接收机来说，呈现一般包含生成音频和视频信号，并把它们输送到一个显示屏和扬声器。对于其它类型的内容，必须采取类似的适当行动。呈现也可以包括诸如对所接收的信号解密和解扰、使音频和视频信号同步等操作。

机顶盒101或系统中的任何其它装置，可以包含一个允许记录并在以后回放所接收内容的存储介质S1，诸如适当大的硬盘。存储介质S1可以是一个与机顶盒101相连的某种个人数字记录器(PDR)，诸如DVD+RW记录器。内容也可以被输入到系统100，存储在诸如光盘(CD)或数字通用盘(DVD)的载体120上。

便携式显示装置103和移动电话104利用基站111，利用例如蓝牙或IEEE802.11b，以无线方式与网络110相连。其它装置利用常规的有线连接连接。为了允许装置101-105互动，有几种互用性(interoperability)标准可用，它们允许装置101-105交换消息和信息，并互相控制。一个有名的标准是家庭音频/视频互用性(HAVi)标准1.0版，它在2000年1月公布，在因特网上可获得，地址为http：//www/havi.org/。其它有名的标准是IEC 1030中描述的一种通信协议—家用数字总线(D2B)标准，以及通用即插即放(UniversalPlug and Play)( http：//www.upnp.org)。

确保家庭网络中的装置101-105不制作未经授权的内容拷贝经常是重要的。为此，一个通常被称作的数字权力管理(DRM)的安全架构是必需的。

在一个这样的架构中，将家庭网络在概念上划分为有条件访问(CA)域和复制保护(CP)域。一般来说，接收器位于CP域中。这确保当内容被提供到该接收器时，未经授权的内容拷贝不会被制作，因为CP域中有复制保护方案。CP域中的装置可以包含一个用于制作临时拷贝的存储介质，但是这种拷贝不可以从CP域输出。这个架构在与本发明的同一个申请人申请的欧洲专利申请01204668.6(代理人卷号PHNL010880)中描述。

不管所选择的具体方式如何，家庭网络中所有执行该安全架构的装置都按照实现要求这样做。采用这个架构，这些装置能互相认证并能安全地分发内容。对内容的访问由安全系统管理。这防止未经保护的内容被泄露给未经授权的装置，并防止源于不可靠的装置的数据进入系统。

图2示意性地表示把图1的系统100示意性地划分成一个CA域和一个CP域。在图2中，系统100包含一个源，一个接收器和两个存储介质S1和S2。多数内容通过机顶盒101(源)进入CA域中的家庭网络。一般来说，例如电视系统102和音频回放装置105的接收器位于CP域中。这确保当内容被提供到接收器时，未经授权的内容拷贝不能被制作，因为CP域中有适当的复制保护方案。

在CA域与CP域之间提供一个CA→CP网关。这个网关负责让内容进入CP域。这个过程可以要求对内容进行代码转换和/或(再)加密，把与该内容相关联的数字权利翻译成在CP域中受支持的格式，等等。

CP域包含一个存储介质S2，上面能按照复制保护规则存储内容的(临时)拷贝。这些拷贝能被用于被偏移后的时间回放内容，但是这些拷贝不可以从CP域输出。

一个装置通过连接到CP域中的另一个装置、或者通过与连接这些装置的总线相连，就变成CP域的一部分。一旦某个装置被加入后，它就必须在该特定CP域中保持某个时期，例如一天。

图3示意性地表示一个安全模块的优选实施例，该模块在这里被表示为智能卡300的形式。为了保护内容不受未经授权的复制，以加密的形式向系统100提供内容的实例。需要先用一个控制字对内容的实例解密，才能呈现内容的实例。处理控制字和解密内容的实例是安全模块的责任。因此应当很好地保护安全模块不被篡改。

当然，有许多实现安全模块的方式。一个普通的安全解决方案是以智能卡的形式体现安全模块。也能以装置101-105的其中之一的集成部件的形式或者以一个单独的装置的形式，提供安全模块。安全模块可以体现为硬件、软件或它们的组合。

智能卡300包含一个有条件访问模块310和一个安全存储模块311。智能卡比普通计算机或软件更难损害，因此提供一种更好的保护有条件访问的有条件方面(conditional aspects)的方式。所以要为装置101-105的一个或多个配备一个智能卡读卡机，用户能在读卡机中插入智能卡300。

把内容解密所必需的控制字，可以存储在智能卡300的安全存储模块311中。这样，用户要获得控制字是很困难的，因此他要不付费就访问内容是很困难的。智能卡300可以包含一个解密模块312，它用控制字把内容的实例解密，并把解了密的实例提供给一个诸如电视102的呈现装置。

或者，智能卡300能把控制字提供给另一个装置，后者解密该实例。在这种情况中具有的风险是，该另外的装置已经被以某种方式篡改过，以致它将不是简单地解密该内容，而是未经授权就存储控制字或者存储未加密的内容。为了防止这样一个被修改过的装置访问控制字，智能卡300可以采用一个鉴定机制来验证是否该装置已经被篡改过。

这个鉴定机制例如通过让智能卡向该装置发出一个加密的“询问”。该装置必须解密该询问，并把它发回智能卡300。如果该装置不能正确地解密该询问，它就是一个不符合的装置，不能取得控制字。或者，智能卡300能—例如通过验证一个数字签名—检查要被该装置执行的程序码的某个部分的完整性。

控制字可以在由提供加密服务的服务提供商向系统100发送的权利控制消息(ECM)中提供。控制字也可以被永久地存储在智能卡300中。这个ECM然后被提供给智能卡300，由此被提供给有条件访问模块310，它从ECM获得控制字。控制字将经常以加密的形式出现在ECM中，因此有条件访问模块310将需要首先对控制字解密。于是可以把解密控制字所必需的解密钥存储在安全存储模块311中。

按照本发明，智能卡300也配备一个会话管理模块313。术语“会话”指的是一个内容项目的特定实例的处理，特别是解密该实例并把经解密的实例提供给呈现装置。处理可以被限制在该实例的一部分(例如一部电影的音频信道或视频流)，或者包括该实例的整体(例如音频、视频、图文信息等等)。“会话”的另一个定义可以是活动装置的数量、或活动“显示”装置(例如电视、监视器、音频放大器、…)的数量。智能卡300是这个这个过程的中心实体。

两个呈现装置可以同时地呈现相同的电视节目，或者，在一个呈现装置正在回放一首音乐时，一个存储装置可以同时地制作该同一首音乐的一个拷贝。在两种情况中，系统100都是在处理两个同时进行的会话，即使两个装置是在操作相同的数据流。

会话管理模块313可用来限制智能卡300允许处理的同时进行的会话的个数。这样，系统100的所有人能把无限数量的装置连接到系统100，但是他将不能同时观看或收听许多内容实例。如果整个系统100位于一个住户内，假定对同时进行的会话的个数选择一个合理的上限，这不是一个问题。

如果系统100中的装置分布在一个具体地区的不同的家中，则相同的上限严重影响装置的使用。例如，如果把上限设定为12个同时进行的会话，一个一般的住户的所有成员应当容易能观看他们喜爱的电视节目、听收音机、同时录制他们喜爱的另一个频道上的电影。然而，如果系统100中有来自五个住户的装置，要让这些住户的每个人观看和收听他们喜爱的内容，则12个同时进行的会话的上限就太低了。

当然，会话管理模块313有许多方式能限制同时进行的会话的个数。一个直截了当的实现是使用一个计数器，它在智能卡300每次接受一个新会话时递增，如果计数器超过一个最大值，就阻止智能卡300接受新的会话。

为了跟踪智能卡300所同时处理的全部会话，在另一个实施例中可以把各相应会话的ID存储在存储单元中，例如在表或寄存器中。通过限制这个表的项数或可用的寄存器数，则在所有的项都已占用时再接受另外的会话就成为不可能的。

只要向智能卡300提供的为存储希望的项目或寄存器的最大数不超过严格的必需数量的存储器，就能设置这个限制。这个限制也可以通过实现一个指示在一个时间可以使用的项目的最大数的计数器而实施。这个计数器然后能在任何时候递增或递减，这使得以后更容易修改最大数。

当然，所述技术领域的熟练人员将很容易地能设计上述的许多变体，以及限制智能卡所允许的同时进行的会话的数量的许多替代方式。

可以把一个特定智能卡所支持的会话的最大个数印在该卡本身上。这样，销售具有不同处理容量的不同智能卡就变得非常容易。最大个数低的卡可以低价销售，最大个数高的卡可以较高价销售。用户于是能选择最适合他们的情况的卡。

如果智能卡300接收对一个会话的请求，但是处理该会话将超过允许的同时进行的会话的最大个数，智能卡300应当拒绝接受该会话。请求该会话的装置可把该拒绝报告用户。可以用一个表示最大数已经达到的特定消息来扩展装置与智能卡之间的互动协议。

当然，系统100可以有多于一个的安全模块。例如，系统100中的每一个机顶盒101都可能需要一个单独的智能卡。如果系统100中的每一个智能卡都如以上解释的那样限制它支持的同时进行的会话的数量，则系统100中所允许的会话的最大数目等于各个智能卡所允许的数目的和。这允许在选择由系统100所支持的同时进行的会话的最大数量时有很大的灵活性。

当把一个新的安全模块增加到系统100中时，它必须向已经在系统100中的至少一个其它安全模块证明它自己。这样，系统100确保所有安全模块都是可信的。作为认证过程的一部分，该新增加的安全模块能报告它支持的同时进行的会话的数目。这样，系统100中的其它安全模块就知道现在可用的额外容量。这个数目例如可能连同潜在地能被启用的可用会话的数目一起被报告给用户。

可能也需要定义在系统100内允许的同时进行的会话的最大数目，而不管单独的安全模块所实行的最大数如何。系统100中同时进行的会话的这个最大数目，通过在任何时刻不允许安全模块的数目超过一定数目而实行。如果系统100中已经存在该一定数目安全模块，则对新增加安全模块的认证将失败。

或者，如果新增加的安全模块支持的同时进行的会话的最大数目太高，其它安全模块可能拒绝认证新增加的安全模块。这样就能防止多个家庭用各自的装置创建一个组合域并且都购买几个具有很高容量的安全模块。

例如在知道系统100任何时候都不支持超过64个同时进行的会话的情况下可以事先对安全模块进行程序设置。用户于是能先买一个支持32个同时进行的会话的智能卡，以后再买一个支持16个同时进行的会话的智能卡。所有这个容量然后都能用于系统100中。

然而，如果用户后来购买另一个支持32个同时进行的会话的智能卡，则预先程序设置的64个同时进行的会话的上限就被突破。在向系统100登记时，这个后来购买的智能卡了解到它不可以使用它的32个会话ID寄存器中的16以上的寄存器，或者它应当把它的计数器的最大值限定在16。解决这个问题的另一个方式是拒绝登记这样一个卡。

安全模块可以在互相之间再分配未使用的会话处理容量。当一个新的全模块然后被增加到系统100中时，它查询已经在系统100上的其它安全模块，以查明它们是否都在处理允许它们支持的全部会话。如果不是这样，就可以将这个空闲容量的一些分配给该新的安全模块。

安全模块也可以按有规则的间隔时间或者在一个新会话被启动时再分配它们未使用的会话处理容量。这使系统在它能支持的同时进行的会话的数量方面更加动态。此外，系统这时能更好地响应特定装置所要求的容量的转移。

在有些情况下，某特定安全模块可能只能为一个特定的呈现装置处理会话。例如，一个插入到电视机102中安装的读卡机中的智能卡，一般只能为电视机102处理会话。电视机102很可能不需要许多同时进行的会话。于是能把它的“空闲”容量分配给系统100中的另一个安全模块。

所以，假若电视机102中的这个智能卡支持16同时进行的会话(如前面的例子中那样)，并且它只需要两个，则它可以将这个事实向系统100中的其它安全模块通告。支持32个同时进行会话的智能卡于是就能“借用”空闲容量，随后把它自己所允许的同时进行会话的最大数目从16提高到30。当然，这种再分配也可以让多个其它安全模块每个都“借用”电视机102中的智能卡的一些空闲容量。

通过在智能卡之间再分配空闲容量，每个单独的智能卡的预先程序设置的最大数就变得较不重要。如果系统100不允许同时进行的会话超过64个，所有会话是由一个安全模块处理还是由64个不同的安全模块处理并不要紧。然而，如果没有一个中央服务器来跟踪系统100中的同时进行的会话的最大数量，各安全模块必须共同工作才能实行预期的最大数。

这种协作系统的一个可能实现，是每个安全模块持有一定数量的“会话标记”(session token)。这个数量可以与它能支持的会话的数量不同。当标记的数量低于它的容量时，它能支持更多的会话，但是不被允许这样做。如果需要的话，安全模块能把会话标记分配给其它安全模块。标记能在以上指出的任何方法中实现。在这样的系统中，安全模块可能需要用于通知用户在某个特定安全模块实例中可用的标记的数量的方法。

另一个方式是引入两种安全模块之间的区别：容量控制者(capacity masters)和容量从属者(capacity slaves)。容量控制者安全模块具有预先编程设置的最大数，该最大数指明系统100被允许处理的同时进行的会话的个数。容量从属者安全模块只能从容量控制者安全模块中借用空闲容量，但是不能增加系统100中所允许的同时进行的会话的最大个数。

用户于是就能购买容量控制者安全模块(即主安全模块)，该容量控制者安全模块向用户提供适合用户的特定情况的同时进行的会话的最大个数。如果用户随后购买需要它们自己的智能卡的装置，用户可以购买以较低价格就能获得的从属智能卡。不过，系统的总的容量并不增加。如果容量控制者安全模块实行的最大数变得太低，用户可以购买另一个容量控制者安全模块，以增加这个最大数。

这两种安全模块的制造可以变得相当容易，只要为每个模块提供一个可以在其中记录系统所允许的同时进行的会话的最大个数的寄存器。对于容量从属者安全模块来说，这个个数则被设定到零。对于容量控制者安全模块来说，这个个数能被设定到任意值。这个值然后要被清楚地通报给潜在的购买者，例如以大字号印在智能卡的正面。

不管会话的类型如何，都能选择同时进行的会话的最大个数。然而，如果为不同范畴或类型的会话定义多个最大数，则能实现更大的灵活性。例如，有可能在例如按收视付费的电视节目与免费播放的电视节目之间作出区别。系统100例如允许不多于3个电视机同时呈现按收视付费的电视节目，同时允许同时呈现10个免费播放的电视节目。

为了区分不同类型的内容，最好为内容的实例提供指示内容的类型的元数据。这个元数据例如可以在一个用于MPEG-2传输流中的节目信息表中提供，或者被提供到一个电子节目指南(EPG)信息流。也可以从因特网上的服务器或者从任何其它源读出元数据。

也可以利用水印或steganographic技术将元数据嵌置在实例中。这样，如果该实例随后被转换代码或与其节目信息表分离时，元数据将不丢失。

也可以在诸如口语音频、音乐、图画、电视节目和电影的各类内容之间作出同样的区别。可以向诸如无线电广播节目的音频内容分配一个比诸如电影的音频视频内容更高的最大数。这使得有可能让几个人同时在收听无线电广播，而不干扰任何人观看电视机102上的电影的能力。

在确定是否已经达到最大数时也可以以加权的方式计算一个会话。例如，将无线电广播节目按1.0计算，将电视节目按2.0计算，将电影按2.5计算。在最多同时进行10个会话的条件下，现在有可能在10个装置上收听无线电广播，但是只能在5个装置上观看电视节目，或者在4个装置上看电影。当然，用户也可以观看两个电视节目、记录两个电影和一个无线电广播。

在会话之间可以作出的另外的区分是区分会话的目的。人们可以想象得到，可用于处理内容—以便能在存储装置上存储内容—的会话的个数，是不同于可用于呈现内容的会话的个数的。

应当注意的是，以上的实施例解释而非限制本发明，所属技术领域的熟练人员在不偏离后附的权利要求书的情况下能够设计许多可替代的实施例。

例如，不是在已经达到最大数时拒绝处理新的会话，而是可以以低的呈现质量处理新的会话，也可以降低所有会话的呈现质量。

另一个阻止形成家庭的CP域重叠的方式可以是，允许对该域有访问权的所有用户和装置删除内容、改变设置或以其它方式改变该域的配置。用户不大可能愿意让邻居中的任何人删除他们自己记录的内容，或者让邻居对他们自己的电视的配置作出改变。

类似地，也可以自动地授予对该域有访问权的装置或用户对某种隐私敏感信息的访问权。例如，观看和/或收听偏好可以是所有用户可读的。人们一般不想与邻居中的任何人共享这类信息。

按照本发明的系统也具有为了新会话的启动而停止某些会话的功能。系统自己能选择会话的其中之一(例如最老的运行会话、或者随机选择的会话)，或者让用户挑选一个要停止的会话。这个用户最好是请求该新会话的用户。这也要求系统100的所有用户之间的合作，因此阻止该域扩展到这些家庭以外。

在权利要求书中，任何置于括号内的标注符都不应被解释为限定权利要求。“包含”一词并不排斥权利要求中所列的以外的元件和步骤的存在。元件之前的“一个”一词并不排斥多个这样的元件的存在。本发明可以通过包含几个不同元件的硬件实现，并且可以通过适当地编程的计算机实现。

在枚举若干个装置的装置权利要求中，这些装置的几个可以由同一个硬件体现。某些措施在互相不同的从属权利要求中被表述，仅仅这个事实并不表明不能有益地运用这些措施的某种组合。

Claims (20)

1.一个系统(100)，包含多个互连的装置(101-105)并被安排成向这些装置(101-105)对受保护的内容提供有条件的访问，特征在于，该系统(100)被安排成把涉及所述受保护的内容项目的同时发生的会话的数量限制到一个预定的总限度。

2.权利要求1的系统(100)，被安排成把能同时被访问的内容项目的个数限制到该预定限度。

3.权利要求2的系统(100)，包含至少一个用于向该装置(101-105)提供有条件访问、并被安排成把能同时被访问的内容项目的个数限制到该预定限度的安全模块(300)。

4.权利要求3的系统(100)，其中，要被添加到系统中的新的安全模块必须向系统认证它自己，在认证期间，该新的安全模块被安排成要报告它被安排提供的对内容同时进行访问的个数。

5.权利要求4的系统(100)，被安排成如果所报告的个数超过一个预定个体限度则拒绝认证该新的安全模块。

6.权利要求4的系统(100)，被安排成如果报告的个数超过一个预定个别的限度则向该新的安全模块指示它可以同时提供的同时访问的最大数量。

7.权利要求4的系统(100)，被安排成只有在该新的安全模块上一次被添加到系统中后已经过去了一个足够的时期才能认证该新的安全模块。

8.权利要求3的系统(100)，包含多个安全模块，每个安全模块被安排成把它同时提供访问的内容项目的数量限制到一个个别的限度，该系统被安排成把各个别的限度的和限制到该预定总限度。

9.权利要求8的系统(100)，其中，所述多个安全模块中的一个安全模块被安排成响应所述多个安全模块的另一个安全模块降低其个别的限度而增加其个别的限度。

10.权利要求9的系统(100)，包含多个容量控制者安全模块和多个容量从属者安全模块，一个容量从属者安全模块被安排成只有响应容量控制者安全模块降低其个别的限度才能增加其个别的限度。

11.权利要求8的系统(100)，被安排成向该多个安全模块分配一定数目的会话标记，所述数目对应于该预定总限度，每个安全模块被安排成把它同时提供访问的内容项目的数目限制到分配给该安全模块的会话标记的数目。

12.权利要求2的系统(100)，被安排成把对第一类型的内容的同时访问的数目限制到第一预定总限度，把对第二类型的内容的同时访问的数目限制到第二预定总限度。

13.权利要求12的系统(100)，其中，第一类型包含按收视付费的内容，第二类包含免费播放的内容。

14.权利要求1的系统(100)，被安排成把同时活动的装置(101-105)的数目限制到该预定总限度。

15.前述任何权利要求的系统(100)，被安排成以加权的方式确定是否已经达到该预定总限度，其中，向不同类型的会话分配不同的权重。

16.前述任何权利要求的系统(100)，被安排成把第一类型的同时进行的会话的数目限制到第一预定总限度，把第二类型的同时进行的会话的数目限制到第二预定总限度。

17.权利要求16的系统(100)，其中，第一类型包含内容项目的呈现，第二类型包含内容项目的记录。

18.前述任何权利要求的系统(100)，被安排成如果允许一个会话将导致同时进行的会话的数目超过该预定总限度则拒绝所述会话。

19.前述任何权利要求的系统(100)，被安排成如果允许一个会话将导致同时进行的会话的数目超过该预定总限度则允许降低质量水平的所述会话。

20.权利要求19的系统(100)，被安排成降低所有同时进行的会话的质量水平。

Images