CN1604791A - 访问控制系统 - Google Patents

Abstract

一访问控制系统包括一服务器(11)、一访问管理数据库存储设备(12)、第一和第二客户机设备(13和15)及数据存储设备(14和16)。第一和第二客户机设备(13和15)构成对等文件交换系统，并能访问服务器(11)。访问管理数据库存储设备(12)存储一访问管理列表。当从第二客户机设备(15)接收一数据请求时，第一客户机设备(13)向服务器(11)查询是否能够访问所请求数据。服务器(11)通过使用访问管理列表确定是否能够访问所述数据。

Description

访问控制系统

技术领域

本发明涉及在网络上对等数据交换的访问控制系统。

背景技术

最近几年，对等计算已引起注意。对等计算是一种技术，它能使通过网络彼此连接的设备直接交换数据，从而共享计算机资源(CPU功效、硬盘空间等)和各种服务(消息交换系统、文件交换系统等)，甚至允许设备间的协作。在这样的对等文件交换系统中，终端用户的设备(客户机设备)能直接彼此通信以交换由设备管理的文件。

在对等文件交换系统中，客户机设备自己决定其管理的文件能否由另一个客户机设备访问。要被访问的客户机设备(数据提供方设备)所完成的访问控制，典型地如下执行：数据提供方设备向访问客户机设备(数据目的方设备)要求密码，且只有当从数据目的方设备传输来的密码有效时，数据提供方设备才允许访问它自己所管理的文件。数据提供方设备通过使用访问日期和/或数据目的方设备的标识符，或者通过对数据提供方设备所管理的每个文件设置唯一的控制信息，甚至能进一步完成复杂的访问控制。

如果数据提供方设备是由具有高处理能力的个人计算机实现的，则很容易达到这样的复杂访问控制，但如果是由具有有限处理能力的消费电子产品实现的，就很困难了。而且，不象个人计算机，在购买以后更换装在消费电子产品中的软件是非常困难的。因此，几乎不可能增加或改变如上所述的访问控制方案。

对于另一种访问控制，提供以可通信方式连接至上述文件交换系统的服务器，用于将存储在该系统的客户机设备中的文件作为列表管理。这个服务器所管理的列表包含文件的名称和管理这些文件的客户机设备的名称。系统中的客户机设备查阅列表来了解所需要的文件是否存在于系统中，且如果存在，了解是哪个客户机管理这个文件。然而，这个服务器不能完成如上所述的访问控制。在这种情况下，访问控制是由管理所希望的文件的数据提供方设备完成的。

因此，本发明的目标是提供能够在对等文件交换系统的客户机设备中完成所希望的访问控制的访问控制系统。

概述

要实现上述目标，本发明有以下几个方面。

本发明的第一方面针对一访问控制系统，在这个系统中，当终端用户的一客户机设备由另一个设备请求直接传送存储在该客户机设备中的数据时，确定是否能够访问这个数据。访问控制系统包括客户机设备和一服务器。服务器以可通信的方式连接至客户机设备，并管理包含哪个数据能被访问的访问管理列表。服务器包括一访问允许/禁止判定单元，可运行以在响应一数据访问查询时，参考访问管理列表确定数据是否能够访问并发送判定结果。客户机设备包括一访问允许/禁止查询单元和一数据传输单元。访问允许/禁止查询单元当其它设备请求该客户机设备直接传输数据时，向访问允许/禁止判定单元给出是否能够访问数据的数据访问查询。当从访问允许/禁止判定单元接收的判定结果指示能够访问数据时，数据传输单元直接传输所请求的数据给该其它设备。

按照第一方面，数据提供方客户机设备将访问查询交给服务器。由此，对等数据交换的访问控制由处理能力较高的服务器完成。因此，适当地完成更为复杂的访问控制是可能的。用所完成的复杂访问控制，在客户机设备之间直接交换数据本身，因而在没有在网络的频带上强加大的负荷的情况下允许数据交换。此外，即使客户机设备是由具有有限处理能力的消费电子产品实现的，上述复杂访问控制也能由服务器完成。因此，具有有限处理能力的消费电子产品间的对等数据交换能够通过增加以上复杂访问控制方便地完成。

而且，由服务器管理的访问管理列表可包含哪个设备能够访问由客户机设备管理的哪个数据。在这种情况下，对于请求被传输的每个数据，访问允许/禁止查询单元向访问允许/禁止判定单元给出数据访问查询。响应于访问允许/禁止查询单元所给出的数据访问查询，访问允许/禁止判定单元确定是否能够访问数据，并发送判定结果。这样，有可能为由客户机设备管理的每个数据设置关于数据能否被访问。

作为一第一条件，由服务器管理的访问管理列表进一步包含一时间条件，它指示每个数据的可访问时间。在这种情况下，访问允许/禁止判定单元通过查阅基于从访问允许/禁止查询单元接收数据访问查询的时间的时间条件确定是否能够访问数据。这样，有可能为由客户机设备管理的每个数据设置关于数据在指示可访问时间的条件下能否被访问。

作为一第二条件，由服务器管理的访问管理列表进一步包含次数条件，它指示每个数据被允许访问的次数。在这种情况下，访问允许/禁止判定单元通过查阅基于数据已访问了多少次的次数条件确定是否能够访问数据。这样，有可能为由客户机设备管理的每个数据设置关于数据在指示可允许访问次数的条件下能否被访问。

作为一第三条件，由服务器管理的访问管理列表进一步包含复制条件，它指示为每个数据提供的复制限制。在这种情况下，在响应由访问允许/禁止查询单元给出的数据访问查询时，访问允许/禁止判定单元确定是否能够访问数据，并发送判定结果和复制条件。然后，当从访问允许/禁止判定单元接收的判定结果指示能够访问数据时，数据传输单元直接向该其它设备传输带有复制条件的所请求数据。这样，有可能为由客户机设备管理的每个数据提供访问后的复制限制。

可替换地，服务器可通过代理设备以可通信方式连接至客户机设备。这样，即使数据提供方客户机设备和服务器不能直接彼此通信，通过代理设备查询是否能够访问数据也是可能的。由此，对等数据交换的访问控制由处理能力较高的服务器完成。

可替换地，访问允许/禁止查询单元可向访问允许/禁止判定单元给出与证明客户机设备的第一证书和证明其它设备的第二证书一起的数据访问查询。在这种情况下，访问允许/禁止判定单元用第一和第二证书认证由访问允许/禁止查询单元给出的数据访问查询，然后确定是否能够访问数据并发送该判定结果。通过认证第一和第二证书，服务器可确定通信是由经过授权的客户机设备进行的。

第一和第二证书可以是X.509证书。在这种情况下，通过使用这样的X.509证书，服务器能方便而可靠地确定通信是由经过授权的客户机设备进行的。

本发明的一第二方面是针对于一访问控制系统，在该系统中，当终端用户的一第一客户机设备由一第二设备请求直接传输存储于第一客户机设备的数据时，确定是否能够访问该数据。访问控制系统包括第一和第二客户机设备和一服务器。服务器至少以可通信的方式连接至第二客户机设备，并管理包含哪个数据能被访问的访问管理列表。服务器包括访问允许/禁止判定单元，在响应数据访问查询时，可运行以参考访问管理列表确定是否能够访问数据并发送判定结果。第二客户机设备包括一访问允许/禁止查询单元、数据请求单元和数据接收单元。访问允许/禁止查询单元当第二客户机设备请求第一客户机设备直接传输数据时，向访问允许/禁止判定单元给出关于是否能够访问数据的数据访问查询。当判定结果指示能够访问数据时，数据请求单元向第一客户机设备给出请求直接传输数据连同访问允许/禁止判定单元接收的判定结果。第一客户机设备包括一数据传输单元，当从数据请求单元接收的判定结果指示能够访问数据时，直接发送由数据请求单元请求的数据至第二客户机设备。数据接收单元响应由数据请求单元给出的请求，直接接收从数据传输单元传输的数据。

按照第二方面，第二客户机设备，它是数据目的方客户机设备，向服务器给出一个访问查询。由此，对等数据交换的访问控制由处理能力较高的服务器完成。因此，适当地完成更为复杂的访问控制是可能的。用所完成的复杂访问控制，在客户机设备之间直接交换数据本身，因而在没有在网络频带上强加大的负荷的情况下允许数据交换。而且，即使客户机设备是由具有有限处理能力的消费电子产品实现，以上复杂访问控制也由服务器完成。因此，具有有限处理能力的消费电子产品之间的对等数据交换能通过增加以上复杂访问控制而方便地完成。

此外，由服务器管理的访问管理列表可包含哪个客户机设备能访问哪个数据。在这种情况下，对于每个请求传输的数据，访问允许/禁止查询单元向访问允许/禁止判定单元给出数据访问查询。在响应由访问允许/禁止查询单元给出的数据访问查询时，访问允许/禁止判定单元确定是否能够访问数据，并发送判定结果。

作为第一条件，由服务器管理的访问管理列表进一步包含一时间条件，它指示每个数据的可访问时间。在这种情况下，访问允许/禁止判定单元通过查阅时间条件根据从访问允许/禁止查询单元接收数据访问查询的时间确定是否能够访问数据。

作为第二条件，由服务器管理的访问管理列表进一步包含次数条件，它指示每个数据允许被访问的次数。在这种情况下，访问允许/禁止判定单元通过查阅基于数据已访问的次数的次数条件确定是否能够访问数据。

作为第三条件，由服务器管理的访问管理列表进一步包含复制条件，它指示为每个数据提供的复制限制。在这种情况下，在响应由访问允许/禁止查询单元给出的数据访问查询时，访问允许/禁止判定单元判定数据能否访问，并发送判定结果和复制条件。然后，当从访问允许/禁止判定单元接收的判定结果表明数据能够访问时，数据请求单元将直接传输数据的请求与判定结果和复制条件一起交给第一客户机设备。当从访问数据请求单元接收的判定结果表明数据能够访问时，数据传输单元直接向数据接收单元传输由数据请求单元请求的数据和复制条件。然后，数据接收单元直接接收从数据传输单元传输的数据，由复制条件限制数据的进一步复制。这样，即使第二客户机设备，它是数据目的客户机设备，向服务器查询有关是否能够访问数据，为由客户机设备管理的每个数据提供访问后的复制限制是可能的。

可替换地，服务器可通过代理设备以可通信的方式连接至第二客户机设备。这样，即使服务器和询问服务器的第二客户机设备不能直接彼此通信，通过代理设备查询是否能够访问数据也是可能的。由此，对等数据交换的访问控制由处理能力较高的服务器完成。

可替换地，访问允许/禁止查询单元可向访问允许/禁止判定单元给出数据访问查询，以请求第一客户机设备直接传输与证明第二客户机设备的证书一起的数据。在这种情况下，访问允许/禁止判定单元使用证书认证由访问允许/禁止查询单元给出的数据访问查询，然后确定是否能够访问数据并随后发送判定结果。通过认证证书，服务器可确定通信是由经过授权的第二客户机设备进行的。可替换地，访问允许/禁止判定单元可发送附加签名的判定结果以证明判定结果来自服务器。在这种情况下，当从访问允许/禁止判定单元接收的判定结果指示能够访问数据时，数据请求单元将直接请求第一客户机设备直接传输与附加签名和证书的判定结果一起的数据。然后，数据传输单元通过使用附加在其上的签名首先认证由数据请求单元接收的判定结果，并当判定结果指示能够访问数据时，将由数据请求单元请求的数据和复制条件直接传输至数据接收单元。用这个签名，在判定结果通信期间防止篡改是可能的。而且，第一客户机设备能够确定该判定结果确实来自服务器。此外，证书可以是X.509证书。

本发明的第三方面是针对一服务器，用于当数据直接在客户机设备之间传输和接收时，确定由一组终端用户的客户机设备管理的数据能否被访问。服务器包括一访问管理单元和一访问允许/禁止判定单元。访问管理单元管理包含哪个数据能由哪个客户机设备访问的访问管理列表。访问允许/禁止判定单元响应由一个客户机设备给出的数据访问查询，参考由访问管理单元管理的访问管理列表确定是否能够访问数据，并向给出数据访问查询的客户机设备发送判定结果。

按照第三方面，当由客户机设备查询来完成数据交换时，对等数据交换的访问控制由处理能力较高的服务器完成。因此，适当地完成更为复杂的访问控制是可能的。

本发明的第四方面是针对终端用户的一客户机设备，当另一个设备向该客户机设备请求直接传输数据时，该客户机设备引起一可通信的服务器确定是否能够访问存储于该客户机设备中的数据，该服务器管理一包含哪个数据能够被访问的访问管理列表。客户机设备包括一访问允许/禁止查询单元和一数据传输单元。访问允许/禁止查询单元当其它设备向该客户机设备请求直接传输数据时，向服务器给出与是否能够访问的数据有关的查询。在响应由访问允许/禁止查询单元给出的查询时，当服务器确定能够访问数据时，数据传输单元直接传输由其它设备请求的数据。

按照第四方面，当由被请求传输数据的客户机设备查询时，对等数据交换的访问控制由处理能力较高的服务器完成。因此，构造能够适当完成复杂访问控制的客户机设备是可能的。此外，即使数据提供方客户机设备是由具有有限处理能力的消费电子产品实现，以上复杂访问控制也由服务器完成。因此，具有有限处理能力的消费电子产品之间的对等数据交换能够通过增加以上复杂访问控制方便地完成。

第五方面是针对终端用户的一客户机设备，客户机设备引起可通信的服务器当该客户机设备向其它设备请求直接传输数据时，确定是否能够访问存储在另一设备中的数据，服务器管理包含哪个数据能够被访问的访问管理列表。客户机设备包括一访问允许/禁止查询单元和一数据请求单元。访问允许/禁止查询单元当客户机设备给其它设备直接传输数据的请求时，向服务器发出与该数据是否能够被访问有关的查询。在响应由访问允许/禁止查询单元给出的查询时，当从服务器接收的判定结果指示能够访问数据时，数据请求单元向该其它设备请求直接传输数据，并还给出判定结果。

按照第五方面，当由给出传输数据请求的客户机设备查询时，对等数据交换的访问控制由处理能力较高的服务器完成。因此，构造能够适当完成复杂访问控制的客户机设备是可能的。此外，即使数据提供方客户机设备和数据目的方客户机设备是由具有有限处理能力的消费电子产品实现，以上复杂访问控制也由服务器完成。因此，具有有限处理能力的消费电子产品之间的对等数据交换能够通过增加以上复杂访问控制方便地完成。

第六方面是针对终端用户的一客户机设备，根据来自另一设备的请求直接传输数据。客户机设备包括一接收单元和一数据传输单元。接收单元接收来自其它设备的直接传输数据的请求，和指示是否能够访问数据的判定结果。当由接收单元接收的判定结果指示能够访问数据时，数据传输单元直接传输由其它设备请求的数据。

按照第六方面，将对等数据交换中的判定结果与传输数据的请求一起传输。这样，被请求传输数据的客户机设备能根据判定结果确定是否能够访问数据。因此，构造能够适当完成复杂访问控制的客户机设备是可能的。而且，即使数据提供方客户机设备是由具有有限处理能力的消费电子产品实现，数据提供方客户机设备不需要完成访问控制。因此，具有有限处理能力的消费电子产品之间的对等数据交换能够通过增加以上复杂访问控制方便地完成。

此外，可为判定结果提供证明判定结果真实性的签名。在这种情况下，数据传输单元通过认证判定结果上提供的签名鉴定判定结果的真实性，并且当判定结果是有效的且指示能够访问数据时，直接传输由该其它设备请求的数据。用与对等数据交换中传输数据的请求一起传输的在判定结果上所提供的这个签名，在判定结果通信期间防止篡改是可能的。此外，数据提供方客户机设备能肯定地鉴定判定结果的真实性。

第七方面是针对一访问控制方法，用于在一终端用户的客户机设备由另一设备请求直接传输存储于该客户机设备中的数据时，引起一以可通信的方式连接到客户机设备上的服务器确定是否能够访问数据。访问控制方法包括一访问管理步骤、一访问允许/禁止查询步骤、一访问允许/禁止判定步骤和一数据传输步骤。在访问管理步骤中，由服务器管理一包含哪个数据能够被访问的访问管理列表。在访问允许/禁止查询步骤中，由客户机设备向服务器给出一与是否能够访问由其它设备请求的直接传输的数据的查询。在访问允许/禁止判定步骤中，由服务器在响应在查询步骤中的查询时，参考在访问管理步骤中管理的访问管理列表，确定是否能够访问数据，且将判定结果发送至客户机设备。在数据传输步骤中，当在判定步骤中获得的判定结果指示能够访问数据时，将所请求的数据直接从客户机设备传输至其它设备。

按照第七方面，数据提供方客户机设备向服务器给出一访问查询。由此，对等数据交换的访问控制由处理能力较高的服务器完成。因此，适当地完成更为复杂的访问控制是可能的。用所完成的复杂访问控制，在客户机设备之间直接交换数据本身，因而在没有在网络频带上强加大的负荷的情况下允许数据交换。此外，即使客户机设备是由具有有限处理能力的消费电子产品实现，以上复杂访问控制也由服务器完成。因此，具有有限处理能力的消费电子产品之间的对等数据交换能由增加以上复杂访问控制方便地完成。

第八方面是针对一访问控制方法，用于当终端用户的一第一客户机设备由一第二客户机设备请求直接传输存储于第一客户机设备中的数据时，引起以可通信的方式连接至第二客户机设备的服务器确定是否能够访问数据。访问控制方法包括一访问管理步骤、一访问允许/禁止查询步骤、一访问允许/禁止判定步骤、一请求给出步骤、一数据传送步骤和一数据接收步骤。在访问管理步骤中，由服务器管理一包含哪个数据能够访问的访问管理列表。在访问允许/禁止查询步骤中，第二客户机设备向服务器给出一与是否能够访问由第二客户机设备请求第一客户机设备直接传输的数据的查询。在访问允许/禁止判定步骤中，由服务器在响应查询步骤中的查询时，参考在访问管理步骤中管理的访问管理列表，确定是否能够访问数据，且向第二客户机设备发送判定结果。在请求给出步骤中，当判定步骤中发送的判定结果指示能够访问数据时，向第一客户机设备给也一请求直接传输数据和判定结果。在数据传输步骤中，当请求给出步骤中所给出的判定结果指示能够访问数据时，将请求给出步骤中所请求的数据直接从第一客户机设备传输至第二客户机设备。在数据接收步骤中，在数据传输步骤中从第一客户机设备传输的数据直接由第二客户机设备接收。

按照第八方面，第二客户机设备，它是数据目的客户机设备，向服务器给出一访问查询。由此，对等数据交换的访问控制由处理能力较高的服务器完成。因此，适当地完成更为复杂的访问控制是可能的。用所完成的复杂访问控制，在客户机设备之间直接交换数据本身，因而在没有在网络频带上强加大的负荷的情况下允许数据交换。此外，即使客户机设备是由具有有限处理能力的消费电子产品实现，以上复杂访问控制也由服务器完成。因此，具有有限处理能力的消费电子产品之间的对等数据交换能由增加以上复杂访问控制方便地完成。

第九方面是针对记录介质，记录一访问控制程序，用于在由终端用户的客户机设备管理的数据在客户机设备之间直接传输和接收时，引起以可通信的方式连接至客户机设备的服务器确定是否能够访问数据。可由服务器读取的程序包括一访问管理步骤和一访问允许/禁止判定步骤。在访问管理步骤中，管理一包含哪些数据能够由相应的客户机设备访问的访问管理列表。在访问允许/禁止判定步骤中，在响应从客户机设备到服务器的关于数据直接传输和接收的数据访问查询时，参考在访问管理步骤中管理的访问管理列表，确定是否能够访问数据，且发送判定结果至客户机设备。

按照第九方面，对等数据交换的访问控制由处理能力较高的服务器完成。通过向服务器给出一来自客户机设备的用于数据交换的访问查询，适当地完成更为复杂的访问控制是可能的。

第十方面是针对记录介质，记录一访问控制程序，用于当终端用户的客户机设备由另一个设备请求直接传输存储于该客户机设备中的数据时，引起可通信的服务器通过使用一包含哪个数据能够被访问的访问管理列表确定是否能够访问数据。客户机设备可读取的记录介质包括一访问允许/禁止查询步骤和一数据传输步骤。在访问允许/禁止查询步骤中，当客户机设备由其它设备请求直接传输数据时，向服务器给出一与是否能够访问数据的查询。在数据传输步骤中，当从服务器接收的判定结果指示能够访问数据时，在响应在查询给出步骤中给出的查询时，将所请求的数据直接从客户机设备传输至其它的设备。

按照第十方面，对等数据交换的访问控制由处理能力较高的服务器完成。通过向服务器给出一来自客户机设备的请求传输数据的访问查询，适当地完成更为复杂的访问控制是可能的。此外，即使数据提供方客户机设备是由具有有限处理能力的消费电子产品实现，以上复杂访问控制也由服务器完成。因此，具有有限处理能力的消费电子产品之间的对等数据交换能由增加以上复杂访问控制方便地完成。

第十一方面是针对记录介质，记录一访问控制程序，用于当终端用户的客户机设备请求另一个设备直接传输存储于其它设备中的数据时，引起可通信的服务器通过使用一包含哪个数据能够被访问的访问管理列表确定是否能够访问数据。客户机设备可读取的记录介质包括一访问允许/禁止查询步骤和一请求给出步骤。在访问允许/禁止查询步骤中，当客户机设备请求其它设备直接传输数据时，向服务器给出一与是否能够访问数据有关的查询。在请求给出步骤，在响应在访问允许/禁止查询步骤中给出的查询时，当判定结果指示能够访问数据时，将直接传输数据的请求与从服务器接收的判定结果一起直接给该其它设备。

按照第十一方面，对等数据交换的访问控制由处理能力较高的服务器完成。通过向服务器给出一来自客户机设备的请求数据传输的访问查询，适当地完成更为复杂的访问控制是可能的。此外，即使数据提供方客户机设备和数据目的客户机设备是由具有有限处理能力的消费电子产品实现，以上复杂访问控制也由服务器完成。因此，具有有限处理能力的消费电子产品之间的对等数据交换能由增加以上复杂访问控制方便地完成。

本发明的这些和其它目标、特征、方面和优点将在结合附图从下列本发明详细描述中变得更为显而易见。

附图说明

图1是一示意图，用于演示按照本发明的第一个实施例的访问控制系统的完整结构；

图2是一个功能方框图，示出在图1中所示的服务器11的内部结构；

图3是一功能方框图，示出在图1中所示的第一客户机设备13的内部结构；

图4是一功能方框图，示出在图1中所示的第二客户机设备15的内部结构；

图5是一流程图，示出在图1中所示的服务器11和第一与第二客户机设备13与15的完整操作；

图6是一示意图，用于演示一存储在图1所示的访问管理数据库存储设备12中的访问管理列表的数据结构；

图7是一子例程，说明由访问允许/禁止判定单元111在图5的步骤S11中所执行的访问判定过程的详细操作的一个实例；

图8是一个子例程，说明由访问允许/禁止判定单元111在图5的步骤S11中所执行的访问判定过程的详细操作的另一个实例；

图9是一个示意图，用于演示按照本发明的第二个实施例的访问控制系统的完整结构；

图10是一个功能方框图，示出在图9中所示的服务器21的内部结构；

图11是一个功能方框图，示出在图9中所示的第一客户机设备23的内部结构；

图12是一个功能方框图，示出在图9中所示的第二客户机设备25的内部结构；

图13是一个流程图，示出由在图9中所示的服务器21和第一与第二客户机设备23与25所执行的完整操作。

详细说明

(第一实施例)

参考图1，所描述的是依照本发明第一实施例的访问控制系统的完整配置。图1中，访问控制系统包括一服务器11、一访问管理数据库存储设备12、一第一客户机设备13、一数据存储设备14、一第二客户机设备15和一数据存储设备16。第一和第二客户机设备13和15是终端用户的设备，每个都具有一CPU并通过彼此直接通信完成对等计算，从而实现对等文件交换系统。服务器11以可通信方式连接至放置在对等文件交换系统中的客户机设备，且至少能被第一客户机设备13访问。数据存储设备14和16是存储设备，每个存储分别由第一和第二客户机设备13和15管理的文件及其它内容。访问管理数据库存储设备12是一存储设备，存储由服务器11管理的访问管理列表(将在稍后描述)和其它数据。

在本实施例中，为了简化，假设第二客户机设备15访问第一客户机设备13以接收存储在第一客户机设备13所管理的数据存储设备14中的想得到的文件。因此，第一客户机设备13是数据提供方客户机设备，同时第二客户机设备15是数据目的方设备。此外，在访问控制系统中，可放置两个或多个客户机设备，但只描述从事上述文件访问的客户机设备。

接着，参考图2，描述服务器11的内部结构。图2是说明服务器11的内部结构的功能方框图。图2中，服务器11包括一访问允许/禁止判定单元111、一数据库控制单元112和一客户机通信单元113。客户机通信单元113使用诸如TCP/IP这样的协议完成第一客户机设备13和服务器11之间的通信。数据库控制单元112控制存储在访问管理数据库存储设备12中的数据。例如，数据库控制单元112在访问管理数据库存储设备中查找由访问允许/禁止判定单元111请求的特定数据，并在查找后更新数据。此外，数据库控制单元112根据通过客户机通信单元113来自客户机设备的请求，向存储于访问管理数据库存储设备12的数据添加新数据或删除现有的数据。根据通过客户机通信单元113来自第一客户机设备13的请求，访问允许/禁止判定单元111查阅存储于访问管理数据库存储设备12的访问管理列表，以返回判定结果至客户机通信单元113。取决于判定结果，当必须更新访问管理列表时，访问允许/禁止判定单元111指示数据库控制单元112更新列表。

接下来，参考图3，描述第一客户机设备13的内部结构。图3是说明第一客户机设备13的内部结构的功能方框图。在图3中，第一客户机设备13包括一服务器通信单元131、一访问允许/禁止查询单元132、一数据传输单元133、一客户机通信单元134和一存储设备控制单元135。服务器通信单元131使用诸如TCP/IP这样的协议完成第一客户机设备13和服务器11之间的通信。客户机通信单元134使用诸如TCP/IP这样的协议完成第一客户机设备13和第二客户机设备15之间的通信。当一个由第二客户机设备15对存储于数据存储设备14中数据列表的请求通过客户机通信单元134到来时，数据传输单元133在存储设备控制单元135的控制下，生成存储于数据存储设备14的数据列表，并将该数据列表提供给第二客户机设备15。当服务器11报告允许访问时，数据传输单元133通过存储设备控制单元135的控制，从数据存储设备14中检索所请求的数据，并在客户机通信单元134的控制下传输数据至第二客户机设备15。当接收来自第二客户机设备15的数据请求时，访问允许/禁止查询单元132通过服务器通信单元131询问服务器111以确定能否提供数据。注意第一客户机设备13具有唯一的标识符，它存储在标识符存储单元中(未示出)。这个标识符可以是唯一提供给结合在第一客户机设备13中的CPU的信息，或者可以是一IP地址。

接下来，参考图4，描述第二客户机设备15的内部结构。图4是说明第二客户机设备13的内部结构的功能方框图。图4中，第二客户机设备15包括一客户机通信单元151、一数据请求单元152、一数据接收单元153、一存储设备控制单元154、一显示设备155和一输入设备156。客户机通信单元151使用诸如TCP/IP这样的协议完成第一和第二客户机设备13和15之间的通信。显示设备155显示，例如，通过客户机通信单元151从第一客户机设备13接收到的数据列表，以提示第二客户机设备15的用户选择想要的数据。用户操作输入设备156，从数据列表中选择想要的数据。数据请求单元152为请求数据，通过客户机通信单元151完成与第一客户机设备13的通信。当允许数据请求时，数据接收单元153通过客户机通信单元151接收来自第一客户机设备13的数据。然后，存储设备控制单元154控制数据存储设备16在其中存储数据。注意第二客户机设备15有一唯一的标识符，它存储于标识符存储单元中(未示出)。这个标识符可以是唯一提供给结合在第二客户机设备15中的CPU的信息，或者可以是一IP地址。

在本实施例中，第一和第二客户机设备13和15在结构上是不同的。这样的不同来源于上述假设，即第一客户机设备13是数据提供方设备以及第二客户机设备15是数据目的方设备。因此，当便于使第一和第二客户机设备13和15两者都能够提供和接收数据的时候，则给两个设备提供这两者的功能。

接下来，参考图5，描述访问控制系统的完整处理。图5是一流程图，示出由配置访问控制系统的服务器11和第一和第二客户机设备13和15执行的操作。为了描述访问控制系统中的完整操作，假设第一客户机设备13是一数据提供方设备，而第二客户机设备15是一数据目的方设备。而且，所描述的是这样一种情况，第二客户机设备15检索存储于由第一客户机设备13管理的数据存储设备14中的想要的数据。访问控制系统中的操作，分别由相应于服务器11和第一和第二客户机设备13和15的存储在包括在各自的设备中的存储区域内的访问控制程序执行。然而，这些访问控制程序也可存储在另外的存储介质中，只要它们能由服务器11和第一和第二客户机设备13和15读取和执行。

在图5中，要请求由第一客户机设备13管理的数据列表，第二客户机设备15的数据请求单元152向第一客户机设备13请求数据列表(步骤S1)。在步骤S1中，第二客户机设备15的用户操作输入设备156向数据请求单元152传输对数据列表的请求。然后，数据请求单元152通过客户机通信单元151向第一客户机设备13请求数据列表。

接下来，第一客户机设备13的客户机通信单元134接收来自第二客户机设备15的对数据列表的请求，并向数据传输单元133报告对数据列表的请求(步骤S2)。数据传输单元133然后通过控制存储设备控制单元135查找由数据存储设备14管理的数据，并生成由数据存储设备14管理的数据列表(步骤S3)。数据传输单元133通过客户机通信单元134传输在步骤S3中生成的数据列表至第二客户机设备15(步骤S4)。

接下来，第二客户机设备15的客户机通信单元151接收在步骤S4中从第一客户机设备13传输的数据列表，且第二客户机设备15的显示设备155显示接收的数据列表(步骤S5)。然后，第二客户机设备15的用户操作输入设备156，从显示在显示设备155上的数据列表中选择想要的数据，并将选择结果报告给数据请求单元152(步骤S6)。为请求数据，数据请求单元152随后通过客户机通信单元151，将在步骤S6中所选择的数据的文件名及标识它自己的标识符(即第二客户机设备15的标识符)传输至第一客户机设备13(步骤S7)。

第一客户机设备13的客户机通信单元134接收由第二客户机设备15请求的数据的文件名及数据目的方标识符(data-destination identifier)，并将它们转送至访问允许/禁止查询单元132(步骤S8)。然后，为确定是否允许对第二客户机设备15请求的数据的访问，访问允许/禁止查询单元132通过服务器通信单元131发送文件名、数据目的方标识符和数据提供方标识符(data-provider identifier)(即第一客户机设备13的标识符)至服务器11，以给出关于请求的询问(步骤S9)。

服务器11的客户机通信单元113然后发送由第一客户机设备13作为请求询问发送来的文件名、数据目的方标识符和数据提供方标识符，至访问允许/禁止判定单元111(步骤S10)。访问允许/禁止判定单元111然后通过控制数据库控制单元112查阅存储于访问管理数据库存储设备12中的访问管理列表，以判定能否访问所请求数据(步骤S11)。步骤S11中访问判定过程的操作将在后面详细描述。访问允许/禁止判定单元111然后通过客户机通信单元113发送关于步骤S11中所请求的数据的判定结果至第一客户机设备13(步骤S12)。而且，当在步骤S11中从访问管理列表中所查阅的登记数据包含“复制条件(duplicate condition)”的限制时，这个复制条件将在以后描述，指示复制条件的信息(下文被称为复制条件信息)在步骤S12中也被传输至第一客户机设备13。

第一客户机设备13的服务器通信单元131然后接收从服务器11传输的访问判定结果，随后转送至数据传输单元133(步骤S13)。数据传输单元133然后根据访问判定结果，确定能否访问在步骤S8中第二客户机设备15所请求的数据(步骤S14)。如果访问判定结果指示能够访问数据，数据传输单元133控制存储设备控制单元135，在数据存储设备14上查找在步骤S8中第二客户机设备15所请求的数据，并通过客户机通信单元134传输所找到的数据至第二客户机设备15(步骤S15)。当在步骤S12中同时传输复制条件信息，将所请求的数据与复制条件信息一起传输至第二客户机设备15。另一方面，如果访问判定结果指示不能访问数据，则数据传输单元133拒绝将数据传输至第二客户机设备15。

第二客户机设备15的客户机通信单元151然后接收在步骤S15中所传输的数据，并将它转送至数据接收单元153(步骤S16)。数据接收单元153然后控制存储设备控制单元154，将在步骤S16中所接收的数据存储在数据存储设备16中或将数据显示在显示设备155上。当在步骤S16中与复制条件信息一起接收数据时，数据受限于与将来的复制有关的复制条件信息。这种复制的限制将在后面描述。

接下来，参考图6，所描述的是存储在访问管理数据库存储设备12中的访问管理列表的数据结构。图6是存储于访问管理数据库存储设备12的访问管理列表的一个实例。图6中，存储于访问管理数据库存储设备12的访问管理列表包含由七个项组成的数据，即，“编号”、“数据提供方标识符”、“文件名”、“数据目的方标识符”、“时间条件”、“次数条件”和“复制条件”。

在访问管理列表中，“编号”表示为管理访问管理数据库存储设备12中每个登记数据而唯一提供的自然数。

在访问管理列表中，“数据提供方标识符”表示为指定一数据提供方客户机设备而唯一提供给每个客户机设备的标识符。

在访问管理列表中，“文件名”表示要访问的数据的文件名。注意文件名可以是内容ID(内容标识符)，它是对于要访问的内容唯一的标识符信息。

在访问管理列表中，“数据目的方标识符”表示用于指定一数据目的方客户机设备，对于每个客户机设备唯一的标识符。注意“数据目的方标识符”不仅能指定特定的客户机设备，而且如果数据能由任一客户机设备访问，则还能包含“无限制的(unlimited)”。而且，如果数据不能由任一客户机设备访问，则“数据目的方标识符”包含“无限制的”或没有描述。

在访问管理列表中，“时间条件”表示为指定数据能够允许提供的日期或数据能够提供的一段时间的时间限制。如果没有提供数据访问的时间限制，“时间条件”包含“无限制的”。

在访问管理列表中，“次数条件”表示关于数据能由数据提供方设备提供的次数的限制。对于在其“次数条件”设置了任意次数的数据，当服务器11允许访问数据时，对于更新递减所设置的次数。当次数变为0时，下一次的访问是不允许的。如果访问管理列表中的数据能够访问任意次数，则“次数条件”包含“无限制的”。

在访问管理列表中，“复制条件”表示是否允许数据目的方设备复制数据的限制。如果不允许在数据目的方设备中复制，则“复制条件”包含“不允许(not allowed)”。如果在没有任何特定限制情况下允许复制，则“复制条件”包含“无限制的”。如果复制的生成(generation)的次数是有限的，则“复制条件”包含生成的次数(例如，对于“编号”4“只允许生成一次(allowed onlyone generation)”)。

通过上述每一项将每个登记数据包含在访问管理列表中。例如，具有在“编号”中包含“1”的登记数据是一个数据，用于管理访问存储在客户机设备中的一个文件名为“babyfirstcry.wav”的音频文件，其“数据提供方标识符”为“1111”。这个音频文件只能由“数据目的方标识符”为“2222”的设备访问。关于由具有标识符“2222”的设备允许访问的日期和次数没有限制。不允许具有标识符“2222”的数据目的方设备进一步复制所提供的文件“babyfirstcry.wav”。

而且，例如，具有包含“4”的“编号”的登记数据是一个数据，用于管理对存储在“数据提供方标识符”为“1111”的客户机设备上的其“文件名”为“children.jpg”的图像文件的访问。这个图像文件只能由分别为“2222”和“3333”的“数据目的方标识符”的设备访问。具有标识符“2222”和“3333”的设备可访问这个图像文件直至2002年7月31日，如“时间条件”中所限制的，且在此之后不能访问这个图像文件。由具有标识符“2222”和“3333”的设备访问的次数是无限制的。此外，具有标识符“2222”和“3333”的设备被允许进一步复制所提供文件“children.jpg”只生成一次。

而且，具有包含“9”的“编号”的登记数据是管理专用访问的一个数据。这个登记数据是用于管理一“数据提供方标识符”为“4444”的设备对“数据目的方标识符”为“1111”的设备的访问，但“文件名”包含“无限制的”。也就是说，所有存储在具有“4444”的设备中的所有文件都能由具有“1111”的设备访问。例如，这样的用法可在同一个人同时具有“1111”和“4444”的设备时使用，且因此允许无条件地访问文件。

在下列条件的任意一个条件下，登记数据被包含在存储于访问管理数据库存储设备12的访问管理列表中：

条件1：由服务器11管理其访问的所有客户机设备所管理的所有数据中的，可无条件地提供或在一定条件下可提供给其它客户机设备的数据包含在访问管理列表中(即，不包含在访问管理列表中的数据不能被访问)。

条件2：所有由服务器11管理其访问的客户机设备所管理的所有数据中的，不可提供或在一定条件下可提供的数据包含在访问管理列表中(即，不包含在访问管理列表中的数据能够被访问)。

接下来详细描述的是由访问允许/禁止判定单元111在步骤Sll中执行的访问判定过程(参见图5)。图7是步骤S11的子例程，示出由访问允许/禁止判定单元111执行的详细的访问判定过程的一个实例。这里假设登记数据是在上述条件1下包含在存储于访问管理数据库存储设备12的访问管理列表中的(即，不包含在访问管理列表中的数据不能被访问)。

在图7中，访问允许/禁止判定单元111接收一个包括用于识别数据提供方客户机设备的数据提供方标识符、用于识别数据目的方客户机设备的数据目的方标识符及用于识别要提供的数据的文件名在内的访问查询(步骤S111)。然后，访问允许/禁止判定单元111初始化设置一个临时变量n为1，用于在这个子例程中使用(步骤S112)。

访问允许/禁止判定单元111确定在步骤S111中所接收到的数据提供方标识符是否与存储在访问管理数据库存储设备12的访问管理列表中具有包含“n”的“编号”的登记数据的数据提供方标识符相符(步骤S113)。如果所接收的数据提供方标识符与它相符，则过程进行至步骤S114。否则，过程进行至步骤S119。

在步骤S114中，访问允许/禁止判定单元111确定在步骤S111中所接收的文件名是否与“编号”为n的登记数据的文件名相符。如上所述，在访问管理列表的“文件名”可包括“无限制的”。在这种情况下，访问允许/禁止判定单元111确定在步骤S111中所接收的文件名与包含在访问管理列表的“文件名”中的文件名相符。然后，如果所接收的文件名与包含在“文件名”中的文件名相符，过程进行至步骤S115。否则，过程进行至步骤S119。

在步骤S115中，访问允许/禁止判定单元111确定在步骤S111中所接收的数据提供方标识符是否包含在访问管理列表的“编号”为n的登记数据的“数据提供方标识符”中的数据提供方标识符相符。如上所述，在访问管理列表的“数据提供方标识符”中可包含“无限制的”。在这种情况下，访问允许/禁止判定单元111确定数据提供方标识符与包含在访问管理列表的“数据提供方标识符”中的数据提供方标识符相同。然后，如果所接收的数据提供方标识符与包含在“数据提供方标识符”中的数据提供方标识符相符，则过程进行至步骤S116。否则，过程进行至步骤S119。

在步骤S116中，访问允许/禁止判定单元111比较当前时间与包含在访问管理列表的“编号”为“n”的登记数据中的时间，以确定是否允许或禁止访问。在这个由访问允许/禁止判定单元111执行的比较中，确定如果“时间条件”包含“无限制的”则允许访问。如果“时间条件”包含一个时间限制，则根据当前时间是否满足时间限制确定允许还是禁止访问。然后，如果确定允许访问，则过程进行至S117。否则，过程进行至步骤S119。

在步骤S117中，访问允许/禁止判定单元111查阅访问管理列表的“编号”为“n”的登记数据的“次数条件”，以确定是允许还是禁止访问。在由访问允许/禁止判定单元111执行的这个判断时，如果“次数条件”包含“无限制的”或“一次或多次”，则确定允许访问。如果“次数条件”包含“0”，则确定禁止访问。在根据“次数条件”包含“一次或多次”确定允许访问之后，访问允许/禁止判定单元111通过将包含在“次数条件”中的次数减1更新访问管理列表。然后，如果访问允许/禁止判定单元111在步骤S117中确定允许访问，则过程进行至步骤S118。如果访问允许/禁止判定单元111在步骤S117中确定禁止访问，则过程进行至步骤S119。

在步骤S117中，已经描述如何更新访问管理列表的“次数条件”的一个实例方案，在其中如果确定允许访问，则由任何设备访问该次数总是被减1。然而，当“数据目的方标识符”包含一组标识符时(即，存在多个数据目的方客户机设备)时，“次数条件”可能不在这些数据目的方客户机设备中共享，但可为每个数据目的方客户机设备设置“次数条件”。

在步骤S118中，访问允许/禁止判定单元111在响应在步骤S111中所接收的访问查询时确定允许访问，并结束这个子例程。只有当访问允许/禁止判定单元111通过步骤S113至S117确定在步骤S111中所接收的访问查询的每个项与通过步骤S113至S117访问管理列表中的相应项相符，而且也满足每个访问条件的时候，过程才能进行至步骤S118。因此，访问允许/禁止判定单元111只确定具有与访问管理列表中登记数据的相应项相符的项且满足每个条件的客户机设备。

如上所述，另一方面，如果在步骤S111所接收的访问查询的任何项不满足步骤S113至S117中的条件，则过程进行至步骤S119。在步骤S119中，访问允许/禁止判定单元111将临时变量n加1至n+1，用于进一步进行至步骤S120。

在步骤S120中，访问允许/禁止判定单元111确定当前的临时变量n是否大于访问管理列表中的登记数据项的数量N。如果n＞N，则访问允许/禁止判定单元111确定已经处理了访问管理列表中的所有登记数据项，然后过程进行至步骤S121。另一方面，如果n≤N，则访问允许/禁止判定单元111确定在访问管理列表中的任何登记数据项还有未被处理，则过程返回至步骤S113，以执行对具有在步骤S119中重新设置的“编号”的数据的处理。

在步骤S121中，访问允许/禁止判定单元111在响应在步骤S111中所接收的访问查询时确定禁止访问，然后结束这个子例程。注意当访问允许/禁止判定单元111在步骤S111所接收的访问查询的任何项与通过步骤S113至S117的访问管理列表中的相应项不相符，并且也不满足任何访问条件的时候，执行这个步骤S121。因此，访问允许/禁止判定单元111确定该客户机设备不符合访问管理列表中的登记数据的任何项或者不满足任何条件。

已经在一种情况下参考图7描述了由访问允许/禁止判定单元111执行的访问判定过程，这种情况是根据上述条件1，登记数据被包括在存储于访问管理数据库存储设备12的访问管理列表中。可替换地，可根据上述条件2(即能够访问不包含在访问管理列表中的数据)包含登记数据。在这种情况下，访问判定过程只在下列步骤中改变。也就是说，参考图8，如果访问允许/禁止判定单元111在步骤S115至S117中确定“否”，则过程进行至步骤S121，在其中访问允许/禁止判定单元111在响应在步骤S111中所接收的访问查询时确定禁止访问，并结束这个子例程。如果在步骤S120中n＞N，过程进到步骤S118，在其中访问允许/禁止判定单元111在响应在步骤S111中所接收的访问查询时确定允许访问，并结束这个子例程。象这样，访问允许/禁止判定单元111使用一个依赖于用于产生访问管理列表的条件的适当过程，适当地确定是允许还是禁止访问。

注意，在第一个实施例中，没有提到用于证明第一和第二客户机设备13和15的任何方案。然而，可在服务器11与第一和第二客户机设备13和15之间进行认证，用于证明是由授权的客户机设备所作的通信。也就是说，对于从第二客户机设备15至第一客户机设备13的通信，将一个证明第二客户机设备15的证书(在下文中被称为第二证书)从第二客户机设备15传送至服务器11。对于从第一客户机设备13至服务器11的通信，将证明第二客户机设备15的第二证书和证明第一客户机设备13的证书(在下文中，第一证书)传送至服务器11。这样，通过接收这些证书，服务器11能够确认由授权的客户机设备进行的通信。一个实例证书可以是一个X.509证书，它提供一个标准的方式，它是一个公用密钥证书和一个证书撤回列表。

此外，当服务器11将访问判定结果与复制条件信息一起传输至第一客户机设备13时，服务器11对复制条件信息执行预定的加密。例如，服务器11使用它的保密密钥(secret key)在复制条件信息上放置一个签名，从而为第二客户机设备15确保应用复制条件的数据。按照DRM(数字权限管理)方案加密应用这个复制条件的数据。例如，当第一客户机设备13，它是一个数据提供方设备，从服务器11接受与复制条件信息一起的访问判定结果时，第一客户机设备13用第二客户机设备15的公用密钥对应用复制条件信息的数据加密，并将加密的数据和复制条件信息传输至第二客户机设备15。第二客户机设备15将保密密钥存储在防篡改区域中，用于甚至对设备的用户保持其秘密。这样，即使由未经授权的设备复制数据(而不是第二客户机设备15)，则不能解码数据，并因此限制复制。而且，当在复制条件下复制数据，通过用第二客户机设备15的保密密钥一次解码加密的数据而限制复制，然后再用数据目的方设备的公用密钥加密已解密的数据。这里，尽管直接用公用密钥加密数据，但是可用一个公共密钥方案(common-key scheme)的加密密钥加密数据，可由第一客户机设备13用第二客户机设备15的公用密钥进一步对所使用的加密密钥加密，然后可将加密的加密密钥与加密的数据一起传输。如果放置在复制条件信息上的签名是被篡改的签名(即，这个信息不是来自服务器11的)，则不能复制应用复制条件信息的数据。

在第一实施例中，还没有描述任何用于完成通信的一个路线的安全性和防篡改的特定方案，这个路线用于在服务器11和第一与第二客户机设备13和15之间进行通信。不过，可用一个加密方案结合一个保密密钥方案和一个会话密钥(session-key)方案完成加密的通信。实例加密的通信可使用SSL(安全套接字接口层)。

此外，在第一个实施例中，在步骤S3中，第一客户机设备13生成存储在由它自己管理的数据存储设备14中的数据列表。可替换地，数据列表可只包含能由第二客户机设备15访问的数据。在这种情况下，在步骤S2中，第一客户机设备13从第二客户机设备15接收一个对数据列表的请求，并向服务器11给出一个访问查询，用于接收与能由第二客户机设备15访问的数据有关的信息。根据所接收的信息，第一客户机设备13生成只包含能由第二客户机设备15访问的数据的数据列表。注意，用这样的数据列表，第一客户机设备13甚至在第二客户机设备15给出一个数据请求之后，再一次向服务器11给出一个访问查询。

象这样，按照第一个实施例的访问控制系统，数据提供方客户机设备向服务器给出一个访问查询。由此，用于对等数据交换的访问控制可由高处理性能的服务器完成。因此，有可能适当地完成更复杂的访问控制。用所完成的复杂访问控制，直接在客户机设备之间交换数据本身，因此在网络的频带上不强加大负载的情况下允许数据交换。而且，即使由一个具有有限处理能力的消费电子产品实现客户机设备，仍由服务器完成上述复杂访问控制。因此，在具有有限处理能力的消费电子产品之间的对等数据交换，可通过给其加上上述复杂访问控制而容易地完成。

(第二个实施例)

参考图9，所述的是按照本发明的第二个实施例的访问控制系统的完整配置。注意，在第一个实施例中，数据提供方客户机设备(即，要访问的第一客户机设备13)向服务器11给出一个访问查询。在第二个实施例中，另一方面，数据目的方客户机设备(即，访问客户机设备)向服务器给出一个访问查询。

在图9中，访问控制系统包括一服务器21、一访问管理数据库存储设备22、一第一客户机设备23、一数据存储设备24、一第二客户机设备25和一数据存储设备26。第一和第二客户机设备23和25是终端用户的设备，每个具有一CPU并通过彼此之间直接的通信完成对等计算，因此构成一个对等的文件交换系统。服务器21以可通信的方式连接至放置在对等的文件交换系统中的客户机设备，并可由至少第一客户机设备25访问。数据存储设备24和26是存储设备，每个存储设备分别存储由第一和第二客户机设备23和25管理的文件或其它内容。访问管理数据库存储设备22是一个存储设备，用于存储由服务器21管理的一个访问管理列表(将在后面讨论)和其它内容。

在本实施例中，为了简单，假设第二客户机设备25访问第一客户机设备23，以接收存储在由第一客户机设备23管理的数据存储设备24中的一个想要的文件。因此，第一客户机设备23是一个数据提供方客户机设备，而第二客户机设备25是一数据目的方客户机设备。而且，在这个访问控制系统中，可放置三个或多个客户机设备，但只描述参与上述文件访问的客户机设备。

接下来，参考图10，描述服务器21的内部结构。图10是一个功能方框图，说明服务器21的内部结构。在图10中，服务器21包括一访问允许/禁止判定单元211、一数据库控制单元212和一客户机通信单元213。客户机通信单元213使用诸如TCP/IP这样的协议完成第二客户机设备和服务器21之间的通信。数据库控制单元212控制存储在访问管理数据库存储设备22中的数据。例如，数据库控制单元212在访问管理数据库存储设备22中搜索由访问允许/禁止判定单元211请求的特定数据，并在搜索之后更新这个数据。此外，数据库控制单元212根据通过客户机通信单元213来自客户机设备的请求，对存储在访问管理数据库存储设备22中的数据，添加新的数据或删除现有的数据。根据通过客户机通信单元213来自第二客户机设备25的请求，访问允许/禁止判定单元211查阅存储在访问管理数据库存储设备22中的访问管理列表，以向客户机通信单元213返回判定结果。取决于判定结果，当必须更新访问管理列表时，访问允许/禁止判定单元213指示数据库控制单元212更新这个列表。

接下来，参考图11，描述第一客户机设备23的内部结构。图11是一功能方框图，说明第一客户机设备23的内部结构。在图11中，第一客户机设备23包括一客户机通信单元231、一数据传输单元232和一存储设备控制单元233。客户机通信单元231使用诸如TCP/IP这样的协议完成第一客户机设备23和第二客户机设备25之间的通信。当一个对于存储在数据存储设备24中的数据列表的请求从第二客户机设备25通过客户机通信单元231到来时，数据传输单元232通过存储设备控制单元233生成存储在数据存储设备24中的数据列表，并向第二客户机设备25提供这个数据列表。当从第二客户机设备25报告服务器21已经确定访问是允许的时候，数据传输单元232通过存储设备控制单元233从数据存储设备24检索所请求的数据，并在客户机通信单元231的控制下将数据传输至第二客户机设备。注意，第一客户机设备23具有一唯一的标识符，它被存储在一个标识符存储单元(未示出)中。这个标识符可以是向结合在第一客户机设备23中的CPU唯一地提供的信息，或者可以是一个IP地址。

接下来，参考图12，描述第二客户机设备25的内部结构。图12是一个功能方框图，说明第二客户机设备25的内部结构。在图12中，第二客户机设备25包括一服务器通信单元251、一访问允许/禁止查询单元252、一数据请求单元253、一客户机通信单元254、一存储设备控制单元255、一数据请求单元256、一显示设备257和一输入设备258。服务器通信单元251使用诸如TCP/IP这样的协议完成第二客户机设备25和服务器21之间的通信。显示设备257显示，例如，通过客户机通信单元254从第一客户机设备23接收的数据列表，以提示第二客户机设备25的用户选择想要的数据。用户操作输入设备258从数据列表中选择想要的数据。数据请求单元253指示访问允许/禁止查询单元252查询关于允许还是禁止对用户所选择的数据的访问。根据判定结果，数据请求单元253随后通过客户机通信单元254与第一客户机设备23通信，用于请求数据。当从数据请求单元253接收数据请求时，访问允许/禁止查询单元252通过服务器通信单元251向服务器21给出一个查询，以确定是否能够访问这个数据。当允许这个数据请求时，数据请求单元256通过客户机通信单元254接收来自第一客户机设备的数据。然后，存储设备控制单元255控制数据存储设备26以将数据存储在其中。注意，第二客户机设备25具有一唯一标识符，它被存储在一个标识符存储单元(未示出)中。这个标识符可以是向结合在第二客户机设备25中的CPU唯一地提供的信息，或者可以是一个IP地址。

在本实施例中，第一和第二客户机设备23和25在结构上是不同的。这样的差异来自于上述假设，即第一客户机设备23是一个数据提供方设备，以及第二客户机设备25是一个数据目的方设备。因此，当便于使第一和第二客户机设备23和25两者都能够提供和接收数据时，可为两个设备提供两者的功能。

接下来，参考图13，描述按照第二个实施例的访问控制系统的整个处理。图13是一个流程图，示出由配置访问控制系统的服务器21和第一与第二客户机设备23与25执行的操作。为了描述在访问控制系统中的完整操作，假设第一客户机设备23是一个数据提供方设备，以及第二客户机设备25是一个数据目的方设备。而且，所述的是第二客户机设备25检索存储在由第一客户机设备23管理的数据存储设备24中的想要的数据的情况。在访问控制系统中的操作，是由各自相应于服务器21和第一与第二客户机设备23与25、被分别存储在包括在各自设备的存储区域中的访问控制程序执行的。不过，这些访问控制程序，可以被存储在另一个存储介质中，只要它们能由服务器21和第一与第二客户机设备23与25读和执行。

在图13中，要请求一个由第一客户机设备23管理的数据列表，第二客户机设备25的数据请求单元253向第一客户机设备23请求数据列表(步骤S21)。在步骤S21中，第二客户机设备25的用户操作输入设备258将对数据列表的请求传输至数据请求单元253。然后，数据请求单元253通过客户机通信单元254向第一客户机设备23请求这个数据列表。

接下来，第一客户机设备23的客户机通信单元231从第二客户机设备25接收对数据列表的请求，并将这个对数据列表的请求报告至数据传输单元232(步骤S22)。然后数据传输单元232通过控制存储设备控制单元233搜索由数据存储设备24管理的数据，并生成由数据存储设备24管理的一个数据列表(步骤S23)。数据传输单元232将在步骤S23中生成的数据列表通过客户机通信单元231传输至第二客户机设备25(步骤S24)。

接下来，第二客户机设备25的客户机通信单元254从第一客户机设备23接收在步骤S24中传输的数据列表，并且第二客户机设备25的显示设备257显示所接收的数据列表(步骤S25)。然后，第二客户机设备25的用户操作输入设备258以从显示在显示设备257上的数据列表中选择想要的数据，并将选择结果汇报至数据请求单元253(步骤S26)。然后数据请求单元253将在步骤S26中所选择的数据的文件名和一个用于识别的数据提供方标识符(即，第一客户机设备23的标识符)传输至访问允许/禁止查询单元252。要确定是否能够访问由数据请求单元253请求的数据，访问允许/禁止查询单元252接着通过服务器通信单元151，将所请求的数据的文件名、数据提供方标识符和用于识别它自己的数据目的方标识符(即，第二客户机设备25的标识符)作为一个用于这个请求的访问查询传输至服务器21(步骤S27)。

服务器21的客户机通信单元213，将所接收的数据的文件名、数据提供方标识符和数据目的方标识符作为从第二客户机设备25所传输的访问查询，转送至访问允许/禁止判定单元211(步骤S28)。然后访问允许/禁止判定单元213通过控制数据库控制单元212，查阅存储在访问管理数据库存储设备22中的访问管理列表，以确定是否能够访问所请求的数据(步骤S29)。在步骤S29中的访问判定过程的操作将在后面详细地描述。然后访问允许/禁止判定单元211使用一预定的加密方案加密与在步骤S29中请求的数据有关的访问判定结果，然后将加密的结果通过客户机通信单元213传输至第二客户机设备25(步骤S30)。而且，当在步骤S29中从访问管理列表查阅的登记数据包含一个“复制条件”的限制，将在后面描述，这个复制也在步骤S30中被传输至第二客户机设备25。

在步骤S30中所执行的访问判定结果的加密，是要确保在服务器21中所获得的访问判定结果的真实性。例如，通过用第一客户机设备23的公用密钥加密访问判定结果或者通过将访问判定结果与用服务器21的保密密钥签名的数据一起传输，可确保真实性。也就是说，用加密可防止对通信的篡改。而且，当鉴定第一客户机设备23的真实性时，将在后面描述，有可能确保是由服务器21提供的访问判定结果。

然后，第二客户机设备25的服务器通信单元251接收从服务器21传输的访问判定结果，接着将它转送至数据请求单元253(步骤S31)。然后数据请求单元253根据访问判定结果确定是否能够访问在步骤S26中所请求的数据。如果访问判定结果指示能够访问数据，数据请求单元253将文件名与从服务器21传输的访问判定结果一起，通过客户机通信单元254传输至第一客户机设备23，因此向第一客户机设备23请求这个数据(步骤S33)。当在步骤S30中同时传输复制条件信息时，则所请求的数据与复制条件信息一起被传输至第一客户机设备23。另一方面，如果访问判定结果指示不能访问数据，则第二客户机设备25终止向第一客户机设备23请求这个数据。

然后，第一客户机设备23的客户机通信单元231接受第二客户机设备25所请求的数据的文件名和访问判定结果，接着将它们转送至数据传输单元232(步骤S34)。然后数据传输单元232通过例如是否是在服务器21中获得该访问判定结果，鉴定访问判定结果的真实性。在步骤S35中，数据传输单元232解码由服务器21加密的访问判定结果以确定其真实性。如果能够认证访问判定结果，则数据传输单元232通过控制存储设备控制单元233，在数据存储设备24中搜索第二客户机设备25所请求的数据，并将找到的数据通过客户机通信单元231传输至第二客户机设备25(步骤S36)。当在步骤S33中将数据与复制条件信息一起传输时，将所请求的数据与复制条件信息一起传输至第二客户机设备25。另一方面，如果不能认证访问判定结果，则数据传输单元232拒绝将数据传输至第二客户机设备25。

第二客户机设备25的客户机通信单元254接收在步骤S36传输的数据，并将它转送至数据请求单元256(步骤S37)。然后数据接收单元256控制存储设备控制单元255将在步骤S37中所接收的数据存储在数据存储设备26中或使数据显示在显示设备257上。当在步骤S37中将数据与复制条件信息一起接收时，有关这个数据的将来的复制是在复制是条件信息下受限制。这个复制的限制将在后面描述。

存储在访问管理数据库存储设备22中的访问管理列表的数据结构与按照参考图6所述的第一个实施例的访问管理数据库存储设备相似。而且，由访问允许/禁止判定单元211在步骤S29(参考图13)中所执行的访问判定过程的详细操作与按照第一个实施例参考图7或图8的子例程相似。也就是说，同样在第二个实施例中，访问允许/禁止判定单元211能够通过使用依赖已经用于生成访问管理列表的哪个条件所选择的过程，可适当地确定是允许还是禁止访问。因此，在第二个实施例中，不描述访问管理列表的数据结构和由访问允许/禁止判定单元211执行的访问判定过程的详细操作。

注意，在第二个实施例中，第一客户机设备23生成存储在由它自己管理的数据存储设备24中的数据作为数据列表。可替换地，可通过第二客户机设备25查询有关只能通过第一客户机设备23访问的数据，从服务器21获得数据列表。更明确地说，第二客户机设备25通过在步骤S21中传输一个对数据列表的请求，给服务器21一个访问查询，使得服务器21返回能够被访问的数据列表。服务器21然后在访问管理列表中搜索由第二客户机设备25能够访问的数据，以生成数据列表。这样，有可能生成只包含可访问的数据的数据列表，并将数据列表传输至第二客户机设备25。

此外，在第二个实施例中，还没有提到用于证明第二客户机设备25的任何方案。然而，可在服务器21和第一与第二客户机设备23与25之间进行认证，用于证明通信是由一个经过授权的客户机设备进行的。也就是说，对于从第二客户机设备25至第一客户机设备23或服务器21的通信，一个证明第二客户机设备25的证书(在下文中，第二证书)被传输至第一客户机设备23或服务器21。这样，通过接收这些证书，第一客户机设备23和服务器21能够检查通信是由经过授权的客户机设备进行的。一个实例证书可以是一个X.509证书，它提供一个标准的方式，是一个公用密钥证书和一个证书撤回列表。

另外，当服务器21将访问判定结果与复制条件信息一起传输至第二客户机设备25时，服务器21对复制条件信息执行预定的加密。例如，服务器21使用它的保密密钥在复制条件信息上放置一个签名，因此为第二客户机设备25确保应用复制条件的数据。按照一个DRM(数字权限管理)方案对应用这个复制条件的数据加密。例如，当第一客户机设备23，一个数据提供方设备，从服务器21接收访问判定结果连同复制条件信息的时候，第一客户机设备23用第二客户机设备25的公用密钥对应用复制条件信息的数据加密，并将加密的数据和复制条件信息传输至第二客户机设备25。第二客户机设备25将一个保密密钥存储在一个防篡改区域，用于甚至对设备的用户保持秘密。这样，即使是由未经授权的设备(而不是第二客户机设备25)复制数据，不能解码这个数据，并因此限制复制。而且，当在复制条件下复制数据时，可通过用第二客户机设备25的保密密钥一次解码加密的数据以限制复制，然后再一次用复制目的方设备的公用密钥加密已解密的数据。这里，尽管直接用公用密钥加密数据，但是可用一个公共密钥方案的加密密钥加密数据，可由第一客户机设备23用第二客户机设备25的公用密钥进一步加密所使用的加密密钥，然后可将加密的加密密钥与加密的数据一起传输。如果放置在复制条件信息上的签名是被篡改的签名(即，这个信息不是来自服务器21的)，则应用复制条件信息的数据不能被复制。

在第二个实施例中，还没有描述任何用于完成一个路线的安全性和防篡改的特定方案，这个路线用于在服务器21和第一与第二客户机设备23与25之间所执行的通信。不过，可用一个加密方案结合一个保密密钥方案和一个会话密钥方案，完成加密的通信。实例加密的通信可使用SSL(安全套接字协议层)。

象这样，按照第二个实施例的访问控制系统，数据目的方客户机设备向服务器给出一个访问查询。由此，由高处理性能的服务器完成对对等数据交换的访问控制。因此，有可能适当地执行更复杂的访问控制。用所完成的复杂访问控制，在客户机设备之间直接交换数据本身，因此在网络的频带上不强加一个大负荷的情况下允许数据交换。而且，即使由一个具有有限处理性能的消费电子产品实现客户机设备，由服务器执行上述复杂的访问控制。因此，在具有有限处理性能的消费电子产品之间的对等数据交换，可通过将上述复杂的访问控制添加到其上而容易地完成。

在按照上述第一个和第二个实施例的访问控制系统中，直接连接至服务器的客户机设备请求服务器确定是允许还是禁止访问，以及服务器将判定结果传输至客户机设备。可替换地，给出上述请求的客户机设备可不直接连接至服务器。只要服务器以可通信的方式连接至放置在对等文件交换系统中的客户机设备，以及给出上述请求的客户机设备能够通过一个能够直接与服务器通信的代理客户机设备(在下文中，第三客户机设备)彼此通信，就可完成本发明。例如，在第一个实施例中，如果第一客户机设备13不能直接与服务器11通信，则它们通过第三客户机设备彼此通信，因此构成一个与在第一个实施例中相似的访问控制系统。此外，在第二个实施例中，如果第二客户机设备25不能直接与服务器21通信，则它们通过第三客户机设备彼此通信，因此构成一个与在第二个实施例中相似的访问控制系统。不必说，当使用第三客户机设备用于以上述方式构成一个访问控制系统时，可使用一个证明第三客户机设备的证书(在下文中，第三证书)，用于认证客户机设备和服务器，因此确定通信是由经过授权的客户机设备进行的。

尽管已经详细地描述了本发明，但是前面的描述在所有方面是说明性而不是限制性的。要理解在不脱离本发明的范围的情况下，能设计众多的其它修改方案和变化方案。

工业应用性

如上所述，本发明能完成一个访问控制系统，这个系统能使在一个对等文件交换系统中的客户机设备执行想得到的访问控制。

Claims (27)

1.一访问控制系统，在所述访问控制系统中，当一终端用户的一客户机设备(13)由另一个设备(15)请求直接传输存储在所述客户机设备(13)中的数据时，确定是否能够访问所述数据，所述访问控制系统包括：

一服务器(11)，以可通信的方式连接至所述客户机设备(13)，以及管理一包含哪个数据能够被访问的访问管理列表，

所述服务器(11)包括一访问允许/禁止判定单元(111)，可运行以在响应一数据访问查询时，参考所述访问管理列表确定是否能够访问所述数据，以及发送一判定结果，以及

所述客户机设备(13)包括

一访问允许/禁止查询单元(132)，可运行以在所述其它设备(15)向所述客户机设备(13)请求直接传输所述数据的时候，向所述访问允许/禁止判定单元(111)给出所述关于是否能够访问所述数据的数据访问查询；以及

一数据传输单元(133)，可运行以在从所述访问允许/禁止判定单元(111)接收的所述判定结果指示能够访问所述数据的时候，将所述请求的数据直接传输至所述其它设备(15)。

2.如权利要求1所述的访问控制系统，其特征在于，

由所述服务器(11)管理的所述访问管理列表包含哪个设备能够访问由所述客户机设备(13)管理的哪个数据，

所述访问允许/禁止查询单元(132)向所述访问允许/禁止判定单元(111)给出对于要被传输的请求的每个数据的数据访问查询，以及

在响应由所述访问允许/禁止查询单元(132)给出的所述数据访问查询时，访问允许/禁止判定单元(111)确定是否能够访问所述数据，以及发送判定结果。

3.如权利要求2所述的访问控制系统，其特征在于

所述访问管理列表还包含一指示对于每个数据的可访问时间的时间条件，以及

所述访问允许/禁止判定单元(111)通过基于从所述访问允许/禁止查询单元(132)接收所述数据访问查询的时间查阅所述时间条件，确定是否能够访问所述数据。

4.如权利要求2所述的访问控制系统，其特征在于

所述访问管理列表还包含一指示允许访问每个数据的次数的次数条件，以及

所述访问允许/禁止判定单元(111)通过基于已经访问所述数据的次数查阅所述次数条件，确定是否能够访问所述数据。

5.如权利要求2所述的访问控制系统，其特征在于

所述访问管理列表还包含一指示为每个数据提供的复制限制的复制条件，

在响应由所述访问允许/禁止查询单元(132)给出的所述数据访问查询时，所述访问允许/禁止判定单元(111)确定是否能够访问所述数据，以及发送判定结果和所述复制条件，以及

所述数据传输单元(133)当从所述访问允许/禁止判定单元(111)接收的所述判定结果指示能够访问所述数据的时候，直接将所述请求的数据与所述复制条件一起传输至所述其它设备(15)。

6.如权利要求1所述的访问控制系统，其特征在于

所述服务器(11)以可通信的方式通过一代理设备连接至所述客户机设备(13)。

7.如权利要求1所述的访问控制系统，其特征在于

所述访问允许/禁止查询单元(132)向所述访问允许/禁止判定单元(111)给出所述数据访问查询，连同一证明所述客户机设备(13)的第一证书和一证明所述其它客户机设备(15)的第二证书，以及

所述访问允许/禁止判定单元(111)通过使用所述第一和第二证书，认证由所述访问允许/禁止查询单元(132)给出的所述数据访问查询，然后确定是否能够访问所述数据以及发送所述判定结果。

8.如权利要求7所述的访问控制系统，其特征在于

所述第一和第二证书是X.509证书。

9.一访问控制系统，在所述访问控制系统中，当一终端用户的一第一客户机设备(23)由一第二客户机设备(25)请求直接传输存储在所述第一客户机设备(23)中的数据，确定是否能够访问所述数据，所述访问控制系统包括：

一服务器(21)以可通信的方式连接到至少所述第二客户机设备(25)，以及管理一包含哪个数据能够被访问的访问管理列表，

所述服务器(21)包括一访问允许/禁止判定单元(211)，可运行以在响应一数据访问查询时，参考所述访问管理列表确定是否能够访问所述数据，以及发送一判定结果，以及

所述第二客户机设备(25)包括

一访问允许/禁止查询单元(252)，可运行以在所述第二客户机设备(25)向所述第一客户机设备(23)请求直接传输所述数据的时候，向所述访问允许/禁止判定单元(211)给出所述关于是否能够访问所述数据的数据访问查询；以及

一数据请求单元(253)，可运行以在所述判定结果指示能够访问所述数据的时候，向所述第一客户机设备(23)请求直接传输所述数据连同从所述访问允许/禁止判定单元(211)接收的判定结果，

所述第一客户机设备(23)包括

一数据传输单元(232)，可运行以在从所述数据请求单元(253)接收的所述判定结果指示能够访问所述数据的时候，将由所述数据请求单元(253)请求的数据直接传输至所述第二设备(25)，以及

所述第二客户机设备(25)还包括

一数据请求单元(256)，可运行以在响应由所述数据请求单元(253)给出的请求时，直接接收从所述数据传输单元(232)传输的数据。

10.如权利要求9所述的访问控制系统，其特征在于

由所述服务器(21)管理的所述访问管理列表包含哪个客户机设备能够访问哪个数据，

访问允许/禁止查询单元(252)向所述访问允许/禁止判定单元(211)给出对于请求传输的每个数据的数据访问查询，以及

在响应由所述访问允许/禁止查询单元(252)给出的所述数据访问查询时，访问允许/禁止判定单元(211)确定是否能够访问所述数据，以及发送判定结果。

11.如权利要求10所述的访问控制系统，其特征在于

所述访问管理列表还包含一指示可访问每个数据的时间的时间条件，以及

访问允许/禁止判定单元(211)通过基于从所述访问允许/禁止查询单元(252)接收所述数据访问查询的时间查阅所述时间条件，确定是否能够访问所述数据。

12.如权利要求10所述的访问控制系统，其特征在于

所述访问管理列表还包含一指示允许对每个数据访问的次数的次数条件，以及

所述访问允许/禁止判定单元(211)通过基于已经访问所述数据的次数查阅次数条件，确定是否能够访问所述数据。

13.如权利要求10所述的访问控制系统，其特征在于

所述访问管理列表还包含一指示为每个数据提供的复制限制的复制条件，

在响应由所述访问允许/禁止查询单元(252)给出的所述数据访问查询时，所述数据访问允许/禁止判定单元(211)确定是否能够访问所述数据，以及发送判定结果和所述复制条件，

所述数据请求单元(253)当从所述访问允许/禁止判定单元(211)接收的所述判定结果指示能够访问所述数据时，向所述第一客户机设备(23)请求直接传输所述数据，连同所述判定结果和所述复制条件，

所述数据传输单元(232)当从所述数据请求单元(253)接收的判定结果指示能够访问所述数据时，直接将由所述数据请求单元(253)请求的数据和所述复制条件传输至所述数据接收单元(256)，以及

数据接收单元(256)直接接收从所述数据传输单元(232)传输的数据，由所述复制条件限制对所述数据的进一步复制。

14.如权利要求9所述的访问控制系统，其特征在于

所述服务器(21)以可通信的方式通过一代理设备连接至所述第二客户机设备(25)。

15.如权利要求9所述的访问控制系统，其特征在于

所述访问允许/禁止查询单元(252)向所述访问允许/禁止判定单元(211)给出所述数据访问查询以请求所述第一客户机设备(23)直接传输所述数据，连同一证明所述第二客户机设备(25)的证书，以及

所述访问允许/禁止判定单元(211)通过使用所述证书，认证由所述访问允许/禁止查询单元(252)给出的所述数据访问查询，然后确定是否能够访问所述数据以及接着发送判定结果。

16.如权利要求15所述的访问控制系统，其特征在于

所述访问允许/禁止判定单元(211)发送附加有一用于证明所述判定结果是来自所述服务器(21)的签名的所述判定结果，以及

所述数据请求单元(253)当从所述访问允许/禁止判定单元(211)接收的判定结果指示能够访问所述数据时，向所述第一客户机设备(23)请求直接传输所述数据连同附加所述签名和所述证书的所述判定结果，以及

所述数据传输单元(232)首先通过使用附加在其上的所述签名认证从所述数据请求单元(253)接收的所述判定结果，然后当所述判定结果指示能够访问所述数据时，直接将由所述数据请求单元(253)请求的所述数据和所述复制条件传输至所述数据接收单元(256)。

17.如权利要求15所述的访问控制系统，其特征在于

所述证书是一X.509证书。

18.一服务器(11，21)，用于当在所述客户机设备(13，15，23，25)之间传输和接收所述数据的时候，确定由一组终端用户的客户机设备(13，15，23，25)管理的数据是否能够被访问，所述服务器(11，21)包括：

一访问管理单元(112，212)，可运行以管理一包含哪个客户机设备能够访问哪个数据的访问管理列表；以及

一访问允许/禁止判定单元(111，211)，可运行以在响应由一客户机设备(13，15，23，25)给出的一数据访问查询时，参考由所述访问管理单元(112，212)管理的所述访问管理列表确定是否能够访问所述数据，以及发送一判定结果至已经给出所述数据访问查询的所述客户机设备(13，15，23，25)。

19.一终端用户的一客户机设备(13)，所述客户机设备使一可通信的服务器(11)当另一个设备(15)向所述客户机设备请求直接传输所述数据时，确定是否能够访问存储在所述客户机设备中的数据，所述服务器(11)管理一包含哪个数据能够被访问的访问管理列表，所述客户机设备(13)包括：

一访问允许/禁止查询单元(132)，可运行以当所述其它设备(15)向所述客户机设备请求直接传输所述数据的时候，向所述服务器(11)给出一与是否能够访问所述数据的有关的查询；以及

一数据传输单元(133)，可运行以当所述服务器(11)在响应由所述访问允许/禁止查询单元(132)给出的所述查询时，确定能够访问所述数据的时候，直接传输由所述其它设备(15)请求的数据。

20.一终端用户的一客户机设备(25)，所述客户机设备使一可通信的服务器(21)当所述客户机设备向所述其它设备请求直接传输所述数据的时候，确定是否能够访问存储在另一个设备(23)中的数据，所述服务器(21)管理一包含哪个数据能够被访问的访问管理列表，所述客户机设备包括：

一访问允许/禁止查询单元(252)，可运行以当所述客户机设备向所述其它设备(23)请求直接传输所述数据的时候，向所述服务器(21)给出一与是否能够访问所述数据有关的查询；以及

一数据请求单元(253)，可运行以向所述其它设备(23)请求直接传输所述数据，以及在响应由所述访问允许/禁止查询单元(252)给出的所述查询时，当所述判定结果指示能够访问所述数据的时候，还给出一从所述服务器(21)接收的判定结果。

21.一终端用户的一客户机设备(23)，用于根据来自另一个设备(25)的请求直接传输数据，所述客户机设备包括：

一接收单元(231)，可运行以接收一来自所述其它设备(25)的直接传输所述数据的请求，以及一指示是否能够访问所述数据的判定结果，以及

一数据传输单元(233)，可运行以当由所述接收单元(231)接收的所述判定结果指示能够访问所述数据的时候，直接传输由所述其它设备(25)请求的数据。

22.如权利要求21所述的客户机设备(23)，其特征在于

为所述判定结果提供一证明所述判定结果的真实性的签名，以及

数据传输单元(232)通过认证在所述判定结果上所提供的签名鉴定所述判定结果的真实性，当所述判定结果是有效的并且指示能够访问所述数据时，直接传输由所述其它设备(25)请求的数据。

23.一访问控制方法，用于当一终端用户的一客户机设备(13)由另一个设备(15)请求直接传输存储在所述客户机设备中的数据时，引起一以可通信的方式连接至所述客户机设备的服务器(11)确定是否能够访问所述数据，所述访问控制方法包括：

一步骤(12)，由所述服务器(11)管理一包含哪个数据能够被访问的访问管理列表；以及

一步骤(S9)，由所述客户机设备(13)向所述服务器(11)给出一与是否能够访问由所述其它设备(15)请求直接传输的数据有关的查询；

一步骤(S11，S12)，由所述服务器(11)在响应在所述查询步骤(S9)中的所述查询时，参考在所述访问管理步骤(12)中管理的访问管理列表，确定(S118，S121)是否能够访问所述数据，以及发送(S12)一判定结果至所述客户机设备(13)；以及

一步骤(S15)，当在所述确定步骤(S11，S12)中获得的所述判定结果指示能够访问所述数据时(S14)，直接将由所述客户机设备(13)请求的数据传输至所述其它设备(15)。

24.一访问控制方法，用于当一终端用户的一第一客户机设备(23)由一第二客户机设备(25)请求直接传输存储在所述第一客户机设备(23)中的数据时，引起一以可通信的方式连接至一第二客户机设备(25)的服务器(21)确定是否能够访问所述数据，所述访问控制方法包括：

一步骤(22)，由所述服务器(21)管理一包含哪个数据能够被访问的访问管理列表；

一步骤(S27)，由所述第二客户机设备(25)向所述服务器(21)给出一与是否能够访问由所述第二客户机设备(25)向所述第一客户机设备(23)请求直接传输的数据的查询；

一步骤(S29，S30)，由所述服务器(21)在响应在所述查询步骤(S27)中的所述查询时，参考在所述访问管理步骤(22)中管理的所述访问管理列表，确定(S118，S121)是否能够访问所述数据，以及发送(S30)一判定结果至所述第二客户机设备(25)；

一步骤(S33)，当在所述确定步骤(S29，S30)中发送的所述判定结果指示能够访问所述数据时，向所述第一客户机设备(23)请求直接传输所述数据和所述判定结果；

一步骤(S36)，当在所述请求给出步骤(S33)中给出的所述判定结果指示能够访问所述数据时(S35)，直接将在所述请求给出步骤(S33)中请求的数据从所述第一客户机设备(23)传输至所述第二客户机设备(25)；以及

一步骤(S37)，由所述第二客户机设备(25)直接接收在所述数据传输步骤(S36)中由所述第一客户机设备(23)传输的数据。

25.一记录一访问控制程序的记录介质，所述访问控制程序用于当由终端用户的客户机设备(13，15，23，25)管理的数据在所述客户机设备(13，15，23，25)之间被直接传输和接收时，引起一以可通信的方式连接至所述客户机设备(13，15，23，25)的服务器确定是否能够访问所述数据，所述程序是所述服务器(11，21)可读的并且包括：

一步骤(112，212)，管理一包含哪个数据能够由相应的客户机设备(13，15，23，25)访问的访问管理列表；以及

一步骤(S29，S30)，在响应一从所述客户机设备(13，15，23，25)至所述服务器(11，21)的、与直接传输和接收所述数据有关的数据访问查询时，参考在所述访问管理步骤(112，212)中管理的所述访问管理列表，确定(S118，S121)是否能够访问所述数据，  以及发送(S30)一判定结果至所述客户机设备(13，15，23，25)。

26.一记录一访问控制程序的记录介质，所述访问控制程序用于当一终端用户的一客户机设备(13)由另一个设备(15)请求直接传输存储在所述客户机设备中的数据时，引起一可通信的服务器(11)通过使用一包含哪个数据能够被访问的访问管理列表，确定是否能够访问所述数据，所述记录介质是所述客户机设备可读的并且包括：

一步骤(S9)，当所述客户机设备(13)由所述其它设备(15)请求直接传输所述数据时，向所述服务器(11)给出一与是否能够访问所述数据有关的查询；以及

一步骤(S15)，在响应在所述查询给出步骤(S9)中给出的所述查询时，当从所述服务器(11)接收的—判定结果指示能够访问所述数据时(S14)，直接将所述请求的数据从所述客户机设备(13)传输至所述其它设备(15)。

27.一记录一访问控制程序的记录介质，所述访问控制程序用于当一终端用户的一客户机设备(25)请求另一个设备直接传输存储在所述其它设备(23)中的数据时，引起一可通信的服务器(21)通过使用一包含哪个数据能够被访问的访问管理列表，确定是否能够访问所述数据，所述记录介质是所述客户机设备可读的并且包括：

一步骤(S27)，当所述客户机设备(23)请求所述其它设备直接传输所述数据时，向所述服务器(21)给出一与是否能够访问所述数据有关的查询；以及

一步骤(S33)，在响应在所述查询给出步骤(S27)中给出的所述查询时，当所述判定结果指示能够访问所述数据的时候(S32)直接向所述其它设备(23)给出一对于直接传输所述数据的请求连同一从所述服务器(21)接收的判定结果。

Images