JP4250089B2 - コンテンツ再生装置およびコンテンツ再生制御方法 - Google Patents

Description

本発明は、コンテンツ再生装置およびコンテンツ再生制御方法に関する。

近年、インターネットの普及により、コンテンツやライセンスをインターネットを通じてＰＣ（パーソナルコンピュータ）へ販売したり、携帯電話網を通じて携帯電話へ販売するビジネス形態が出現し、今後、ますます増加する傾向を示している。配信されたコンテンツはＰＣや携帯電話、専用再生端末等で再生される。

コンテンツとは文字、音声、映像、地図などを電子化したデータや、ゲームやソフトウェアなどや、または、これらを組み合わせたものである。コンテンツの再生とは、例えば文字や映像であればディスプレイに表示したり、音声であればスピーカから音を出力したりすることである。

ライセンスとは、コンテンツに対して著作権保護を行うために、コンテンツの再生や配信、蓄積の許可を行うための情報であり、利用条件の記述やコンテンツ復号鍵を含む場合がある。利用条件とはコンテンツの再生の制御を行うための情報であり、例えばコンテンツの再生回数制限や再生期限制限、再生累計時間制限等の情報である。コンテンツ復号鍵とはコンテンツを暗号化して配信、蓄積する場合にコンテンツを復号する鍵である。

従来のコンテンツ配信システムでは、サーバから、暗号化したコンテンツやユーザ固有鍵で暗号化したコンテンツ復号鍵を含むライセンスを端末に配信し、それらを端末の記憶媒体に記憶していた。また、端末では、コンテンツのライセンスの検証およびライセンスの更新や、コンテンツ復号鍵の復号化の処理を行ってコンテンツの復号を行い、コンテンツを再生していた。さらに、端末では、ライセンスの検証やライセンスの更新等のコンテンツの利用制御をセキュアに行うために、セキュアＬＳＩや耐タンパモジュール等を使用していた。また、コンテンツ再生に使用される端末は、コンテンツ配信システム毎の専用端末である場合が多い。

ところで、最近、携帯電話や携帯端末（ＰＤＡ）等の汎用的な端末においてセキュアかつ拡張性のあるコンテンツの利用制御を行いたいという要求が高まっている。

コンテンツの再生時にはコンテンツのライセンスに関する処理を行うアプリケーション（ライセンス処理アプリ）により、ライセンスの検証や更新が行われる。さらに、コンテンツデータがデコーダに送られ、そこでコンテンツが復号化される。例えば、コンテンツデータがＡＡＣフォーマットの音楽データである場合、ＡＡＣ用のデコーダを利用して復号化し、そのデコーダに接続されたスピーカから音を出す。

ここで、コンテンツの復号化とライセンスの検証をデコーダの外部で行って、平文のコンテンツデータをデコーダに渡して再生する方法がある。しかし、これでは、デコーダへ平文のコンテンツデータを渡す際に盗聴される可能性がある。そこで、これを防止するためにデコーダの外部でライセンスの検証を行い、デコーダに暗号化コンテンツデータと平文のコンテンツ復号鍵を渡して、デコーダ内でコンテンツの復号化を行って再生を行う方法がある。しかし、これでは、平文のコンテンツ復号鍵をデコーダへ渡す際に盗聴される可能性がある。そこで、これを防止するためにデコーダの外部でライセンスの検証を行い、暗号化コンテンツデータと、デコーダの公開鍵で暗号化されたコンテンツ復号鍵をデコーダに渡し、デコーダ内に保持されているデコーダの秘密鍵でコンテンツ復号鍵を復号化し、さらにコンテンツ復号鍵でコンテンツデータを復号化して再生を行う方法がある。しかし、これでは、デコーダの公開鍵で暗号化されたコンテンツ復号鍵をデコーダへ渡す際に盗聴され、それを再利用することによる、いわゆるライセンス処理アプリの成りすましが行われる可能性がある。また、デコーダに暗号化コンテンツデータとライセンスを渡し、デコーダ内部でライセンスの検証とコンテンツの復号化を行う方法がある。しかし、通常ライセンスはコンテンツ配信／再生サービスに依存するものであり、また、デコーダはハードウェアとして構成されソフトウェアのように処理内容を書き換えられないものである場合が多いので、デコーダ内部でライセンスの検証を行うにはデコーダ自身がコンテンツ配信／再生サービスに依存することになり、その結果、ユーザはコンテンツ配信／再生サービス毎の端末を用意する必要がある。

また、利用条件として再生可能時間の総時間が記述されている場合、その時間だけコンテンツを再生したら自動的に再生を停止しなければならない。このため、再生に要した時間を測定し、利用条件を書き換えることによるライセンスの更新、つまり利用条件として記述されている再生可能時間の総時間の値から再生に要した時間の値を引く処理を行う必要がある。また、利用条件として再生可能回数が記述され、さらに１回の再生とみなす再生時間が記述されている場合、その１回の再生とみなす再生時間再生した場合のみ、利用条件を書き換えることによるライセンスの更新、つまり利用条件として記述されている再生可能回数を１減らす必要がある。

これを実現するためにデコーダ内で再生時間の測定とライセンスの更新を行う方法がある。しかし、通常ライセンスはコンテンツ配信／再生サービスに依存するものであり、また、デコーダはハードウェアとして構成されソフトウェアのように処理内容を書き換えられないものである場合が多いので、デコーダ内部でライセンスの更新を行うにはデコーダ自身がコンテンツ配信／再生サービスに依存することになり、その結果、ユーザはコンテンツ配信／再生サービス毎の端末を用意する必要がある。

また、デコーダの外部で再生時間の測定とライセンスの更新を行う方法がある。しかし、デコーダの外部でコンテンツの再生時間を正確に測定することは困難である。コンテンツの再生時間とは実際にコンテンツが再生されていた時間であるが、単純にユーザが「再生ボタン」を押してから「停止ボタン」を押すまでの時間を計測しても、デコーダがコンテンツデータを読み込んでから再生を始めるまでの時間等があり、また、デコーダに送られるコンテンツデータのデータサイズを測定しても、データサイズと再生時間は比例しているとは限らないので、デコーダの外部で正確に再生時間を測定することは困難である。

本発明の目的は、汎用的な端末においてセキュアでかつ拡張性のあるコンテンツの利用制御を行うことができるコンテンツ再生装置およびコンテンツ再生制御方法を提供することである。

本発明の一形態によれば、コンテンツ再生装置は、コンテンツの利用条件を記述したライセンスデータを取得する取得手段と、利用条件に反しない場合、再生命令を含んだ利用許可情報をライセンスデータに基づいて作成する作成手段と、利用許可情報の正当性を判定する判定手段と、前記判定手段によって正当性が認められた場合、再生命令に従ってコンテンツを再生する再生手段とを具備する。

本発明の他の形態によれば、コンテンツ再生制御方法は、コンテンツの利用条件を記述したライセンスデータを取得する取得ステップと、利用条件に反しない場合、再生命令を含んだ利用許可情報をライセンスデータに基づいて作成する作成ステップと、利用許可情報の正当性を判定する判定ステップと、前記判定ステップにおいて正当性が認められた場合、再生命令に従ってコンテンツを再生する再生ステップとを具備する。

本発明のコンテンツ再生装置およびコンテンツ再生制御方法では、耐タンパモジュール（Tamper Resistant Module：ＴＲＭ）をもつセキュアデバイスと、ライセンス処理アプリと、デコーダとを組み合わせて用いる。すなわち、セキュアデバイスと相互認証を行ったライセンス処理アプリが、セキュアデバイスの署名がついた利用許可情報を作成する。なお、以下の説明では、セキュアデバイスの署名がついた利用許可情報を利用許可証明という。そして、デコーダＩ／Ｆライブラリが利用許可情報と署名の正当性を判定する。これにより、いわゆるライセンス処理アプリの成りすましを防ぐことができる。

また、デコーダは、コンテンツ復号鍵と正当な利用許可情報の双方を受け取った場合にのみコンテンツを再生する。例えばオーディオデコーダであれば、スピーカに接続されている。１つのデコーダに対して再生指示を出したり、再生するコンテンツデータを渡したりできるのは、１つのコンテンツ再生装置の中で１つのデコーダのみである。利用許可情報には、例えば日時のように毎回異なるデータが含まれるようにし、デコーダまたはデコーダＩ／Ｆライブラリ内にそのデータを記憶しておくようにする。

また、利用許可情報に再生回数や再生時間と共に「実際に再生した再生時間を通知する」等の情報が入っている。そして、デコーダＩ／Ｆライブラリが、ライセンス処理アプリに再生時間を通知したり、デコーダに再生停止命令を行う。ライセンス処理アプリは、デコーダＩ／Ｆライブラリからの通知または命令を受けた後に、ライセンスデータの更新を行う。これにより、コンテンツの再生制御を正確に行うことができる。

以下、本発明の実施の形態について、添付図面を参照して詳細に説明する。

（実施の形態１）
図１は、本発明の実施の形態１に係るコンテンツ再生装置の構成を示すブロック図である。コンテンツ再生装置は、コンテンツ再生装置に予め備えられたメモリにライセンス処理アプリ２０を格納している。ライセンス処理アプリ２０は、例えばｊａｖａライブラリ拡張として実行される。また、コンテンツ再生装置は、デコーダＩ／Ｆライブラリ３０およびオーディオデコーダ４０を備える。デコーダＩ／Ｆライブラリ３０およびオーディオデコーダ４０は、ハードウェアとして構成される。また、コンテンツ再生装置には、着脱可能な記憶メディアであるセキュアデバイス１０が装着される。

セキュアデバイス１０において、フラッシュメモリ１０１はデータ記憶領域１０２を有し、このデータ記憶領域１０２には、コンテンツサーバから取得されたコンテンツやそのコンテンツのライセンスが記憶される。また、ＴＲＭ１０３は、例えばＷＡＰフォーラムで定義されているＷＩＭ機能のような署名機能１０４および重要情報格納領域１０５を有する。重要情報格納領域１０５には、フィンガープリント等の重要な情報が格納される。

ライセンス処理アプリ２０において、ライセンス受渡部２０１は、セキュアデバイス１０とライセンス処理アプリ２０との間で、暗号化されたコンテンツ復号鍵およびライセンスデータの受け渡しを行う。ライセンスデータ処理部２０２は、フィンガープリントの検証、ライセンスデータの更新、利用許可情報の作成、重要情報格納領域１０５へのフィンガープリントの登録、ライセンス受渡部２０１を介してデータ記憶領域１０２への更新済みライセンスの格納を行う。署名部２０３は、ライセンスデータ処理部２０２から利用許可情報を受け取り、ダイジェストを作成し、利用許可情報にセキュアデバイス１０の署名機能１０４を用いて作成した署名を行って利用許可証明を作成する。送信部２０４は、ライセンス受渡部２０１から暗号化されたコンテンツ復号鍵を、署名部２０３から利用許可証明をそれぞれ受け取り、暗号化されたコンテンツ復号鍵に利用許可証明を付随させてデコーダＩ／Ｆライブラリ３０の受信部３０１に送る。

デコーダＩ／Ｆライブラリ３０において、受信部３０１は、ライセンス処理アプリ２０の送信部２０４から送られたコンテンツ復号鍵および利用許可証明を受け取り、暗号化されたコンテンツ復号鍵を再生命令部３０４に送り、利用許可証明を判定部３０２に送る。判定部３０２は、受信部３０１から利用許可証明を受け取り、署名の正当性の判定と、利用許可情報に含まれる動的情報を用いて利用許可情報の正当性の判定を行う。判定後、判定部３０２は、動的情報を動的情報格納領域３０３に格納するとともに、利用許可情報に含まれる再生コマンドを再生命令部３０４に送る。動的情報格納領域３０３には、これまでの動的情報が格納される。再生命令部３０４は、再生コマンドと暗号化されたコンテンツ復号鍵をオーディオデコーダ４０に送る。

オーディオデコーダ４０において、再生部４０１は、重要情報格納領域４０２に格納されているデコーダ秘密鍵でコンテンツ復号鍵を復号化し、再生コマンドに従ってコンテンツを復号化して再生する。

次いで、本実施の形態に係るコンテンツ再生装置での処理手順について図２を用いて説明する。

セキュアデバイスのフラッシュメモリには、コンテンツ復号鍵で暗号化されたコンテンツ本体が格納されている。コンテンツ復号鍵はさらにデコーダ公開鍵で暗号化され、ライセンスデータとともにフラッシュメモリに格納されている。このライセンスデータは、コンテンツの再生可能回数や、再生可能時間等、コンテンツの利用条件が記述されたデータである。暗号化されたコンテンツ復号鍵とライセンスデータとによってライセンスが構成される。なお、ライセンスデータの構成は後述する。

ライセンス処理アプリで行われる処理手順は以下のようになる。（１）まず、フラッシュメモリからライセンスが読み出され、ライセンスが取得される。（２）次いで、ライセンスデータに対してフィンガープリントの検証が行われる。（３）次いで、ライセンスの検証とライセンスデータの更新が行われる。具体的な更新方法は後述する。（４）次いで、ライセンスデータが示す利用条件に反しない場合、ライセンスデータに基づいて利用許可情報が作成される。この利用許可情報は、デコーダＩ／Ｆライブラリにおいて正当性が判定される。また、この利用許可情報には再生コマンドを含める。利用許可情報の具体的な作成方法は後述する。（５）次いで、更新後のライセンスデータに基づいてフィンガープリントが作成されてセキュアデバイスのＴＲＭに登録される。（６）次いで、更新後のライセンスデータを含むライセンスがセキュアデバイスのフラッシュメモリに保存される。（７）次いで、セキュアデバイスの署名機能を用いて利用許可情報へ署名を行う。署名後の利用許可情報は、利用許可証明となる。なお、セキュアデバイスの署名機能は、セキュアデバイス秘密鍵により実現される。また、利用許可情報への署名は、セキュアデバイスと相互認証を行った正しいライセンス処理アプリのみが行うことができる。（８）次いで、ライセンスから取り出されたコンテンツ復号鍵に利用許可証明を付随させて、デコーダＩ／Ｆライブラリに送る。以上が、ライセンス処理アプリでの処理手順である。なお、（６）の処理は（７）または（８）の処理、または後述する（９）の処理の後で行ってもよい。

（９）次いで、デコーダＩ／Ｆライブラリでは、コンテンツ復号鍵に付随している利用許可証明の正当性が判定される。すなわち、署名に対する正当性の判定と、利用許可情報に対する正当性の判定が行われて、コンテンツの利用可否が判定される。そして、その署名が正当なもので、かつ、利用許可情報が正当なものである場合に、コンテンツの再生が許可される。署名の正当性は、セキュアデバイス証明書を用いて判定される。セキュアデバイス証明書は上記（８）の処理においてコンテンツ複合鍵および利用許可証明と共に取得する。また、本処理手順とは別に、事前に取得しておいてもよい。利用許可情報の正当性は、利用許可情報に含まれる動的情報に基づいて行われる。（１０）次いで、オーディオデコーダでは、デコーダＩ／Ｆライブラリで正当性が認められた場合だけ、再生コマンドに従ってコンテンツが再生される。すなわち、オーディオデコーダでは、デコーダ秘密鍵でコンテンツ復号鍵が復号化された後、そのコンテンツ復号鍵でコンテンツ本体が復号化されることによりコンテンツが再生される。

次いで、ライセンスデータの構成について図３を用いて説明する。図３に示すように、ライセンスデータは、デコーダ公開鍵で暗号化されたコンテンツ復号鍵と共にライセンスを構成する。ライセンスデータは、ライセンスＩＤと、コンテンツＩＤと、コンテンツ関連情報と、Usage Ruleとから構成される。また、またUsage Ruleは、Static PropertiesとVariable Propertiesとから構成される。

コンテンツ関連情報には、コンテンツが楽曲である場合には、曲名やアーティスト名が含まれる。

Usage Ruleはコンテンツの利用条件が記述される部分であり、Static Propertiesには再生期限等、ライセンス処理アプリによって更新されない情報が含まれており、また、Variable Propertiesには、再生可能回数や再生可能時間等、コンテンツの再生の度に更新される情報が含まれている。

次いで、利用許可証明の構成について図４を用いて説明する。上述したように、利用許可証明とは、セキュアデバイスによる署名が行われた利用許可情報である。つまり、利用許可証明は、ライセンス処理アプリ内においてライセンスが検証されたことを証明するものである。

また、利用許可情報は、動的情報と、再生コマンド等のコマンドと、再生制御情報とから構成される。この利用許可情報は、ライセンスデータが示す利用条件に反しない場合に、ライセンスデータの主にUsage Ruleに基づいて作成される。

動的情報は、利用許可情報の作成毎に値が異なる情報である。例えば、利用許可情報を作成した日時を示す日時情報、乱数、連番等である。デコーダＩ／Ｆライブラリでは、これまでの動的情報と今回の動的情報を比較することにより利用許可情報の正当性を判定してコンテンツの利用可否を判定する。具体的には、以下のように判定する。

動的情報が日時情報または乱数の場合には、これまでの動的情報をすべて格納する。そして、再度同じ内容の動的情報を持つ利用許可情報がデコーダＩ／Ｆライブラリに入力された場合には、いわゆるライセンス処理アプリの成りすましとみなし、その利用許可情報の正当性を認めず、コンテンツの再生を行わない。一方、格納されたこれまでの動的情報のいずれにも一致しない動的情報を持つ利用許可情報がデコーダＩ／Ｆライブラリに入力された場合には、その利用許可情報の正当性を認めて、コンテンツを再生する。

動的情報が連番の場合には、前回の動的情報（連番ｎ）を格納しておく。そして、デコーダＩ／Ｆライブラリに今回入力された利用許可情報の持つ動的情報が“ｎ＋１”の場合だけ、その利用許可情報の正当性を認めて、コンテンツを再生する。その他、前回の動的情報と今回の動的情報との間のルールは、デクリメント“−１”や倍数“×２”でもよく、これらのルールに則った動的情報を持つ利用許可情報が入力された場合にのみ、その利用許可情報の正当性を認める。また、ルールとして前回の動的情報より小さい値／大きい値とした場合は、今回の動的情報が前回の動的情報より小さい場合／大きい場合のみ、利用許可情報の正当性を認める。

前回の動的情報より大きい値とするルールは、日時情報にも適用できる。例えば、１回目の利用許可情報の作成日時が２００２年３月４日で、２回目の利用許可情報の作成日時が２００２年３月７日で、３回目の利用許可情報の作成日時が２００２年３月９日であるものとする。これらの日時情報を含む利用許可情報が、１回目→２回目→３回目の順番でデコーダＩ／Ｆライブラリに入力された場合には、これらの日時情報を比較すると順に大きい値となっているため、１回目、２回目、３回目共に利用許可情報の正当性を認めて、コンテンツを再生する。一方、２回目の日時情報を持つ利用許可情報が、３回目の日時情報を持つ利用許可情報よりも後にデコーダＩ／Ｆライブラリに入力された場合には、これらの日時情報を比較すると、３回目の日時情報よりも２回目の日時情報の方が小さい値となっているため、２回目の日時情報を持つ利用許可情報の正当性は認められず、コンテンツは再生されない。

このように、利用許可情報に利用許可情報の作成毎に値が異なる動的情報を含めることにより、コンテンツ復号鍵の不正使用を防止することができ、いわゆるライセンス処理アプリの成りすましを防ぐことができる。

次いで、利用許可情報のコマンドと再生制御情報の設定方法について説明する。

まず、図５に示すように、Usage RuleのStatic Propertiesが“ＮＵＬＬ”で、Variable Propertiesに“Ｃｏｕｎｔ（再生可能回数）”が記述されている場合について説明する。この場合には、再生回数による再生制御が行われる。すなわち、ライセンスデータの更新処理では、“Ｃｏｕｎｔ≧１”ならばＣｏｕｎｔを１減算（Ｃｏｕｎｔ−１）して、ライセンスデータが更新される。また、“Ｃｏｕｎｔ≧１”ならば利用条件に反しないため、図６に示す利用許可情報が作成される。すなわち、コマンドが“再生”で、再生制御情報が“ＮＵＬＬ”の利用許可情報が作成される。これらのライセンスの検証、ライセンスの更新、および利用許可情報の作成はライセンス処理アプリが行う。この利用許可情報に含まれる再生コマンドに従ってコンテンツが１回再生される。よって、当初“Ｃｏｕｎｔ”に記述されている回数だけコンテンツを再生することができる。一方、“Ｃｏｕｎｔ＝０”ならば利用条件に反するため、利用許可情報は作成されない。よって、“Ｃｏｕｎｔ＝０”ならばコンテンツの再生も行われない。

次に、図７に示すように、Usage RuleのStatic Propertiesに“Ｌｉｍｉｔ（再生期限）”が記述されていて、Variable Propertiesが“ＮＵＬＬ”である場合について説明する。この場合には、再生期間による再生制御が行われる。すなわち、利用許可情報作成時点の日時が“Ｌｉｍｉｔ”内ならば利用条件に反しないため、図８に示すように、コマンドが“再生”で、再生制御情報が“ＮＵＬＬ”の利用許可情報が作成される。これらのライセンスの検証、ライセンスの更新、および利用許可情報の作成はライセンス処理アプリが行う。この利用許可情報に含まれる再生コマンドに従ってコンテンツが１回再生される。よって、“Ｌｉｍｉｔ”に記述されている期限までコンテンツを再生することができる。一方、利用許可情報作成時点の日時が“Ｌｉｍｉｔ”外ならば利用条件に反するため、利用許可情報は作成されない。よって、利用許可情報作成時点の日時が“Ｌｉｍｉｔ”外ならばコンテンツの再生も行われない。

なお、“Ｌｉｍｉｔ（再生期限）”の設定に関しては以下の３つが考えられる。すなわち、（１）コンテンツサーバが再生可能期限を設定したライセンスを販売する。（２）コンテンツサーバが再生可能期間を設定したライセンスを販売し、端末側がライセンスをフラッシュメモリに格納する時にその再生可能期間に基づいて再生可能期限を設定する。例えば、コンテンツサーバから端末に送られるライセンスデータに再生可能期間（例えば、２週間）が設定されている場合、端末側では、ライセンスをフラッシュメモリに格納する時に、“ライセンスデータ格納時の日時＋ライセンスデータに設定されている再生可能期間”を“Ｌｉｍｉｔ（再生期限）”に設定する。（３）コンテンツサーバが再生可能期間を設定したライセンスを販売し、端末側がコンテンツの初回再生時にその再生可能期間に基づいて再生可能期限を設定する。例えば、コンテンツサーバから端末に送られるライセンスデータに再生可能期間（例えば、２週間）が設定されている場合、端末側では、コンテンツの初回再生時に“初回再生時の日時＋ライセンスデータに設定されている再生可能期間”を“Ｌｉｍｉｔ（再生期限）”に設定する。

なお、ライセンス処理アプリはコンテンツ再生装置内に複数存在してもよい。例えば、コンテンツ配信／再生サービス毎に別個のライセンス処理アプリが同一のコンテンツ再生装置内に複数存在してもよい。

また、デコーダ秘密鍵を格納するための重要情報格納領域をデコーダではなくデコーダＩ／Ｆライブラリに存在させて、コンテンツの復号化をデコーダＩ／Ｆライブラリで行ってもよい。

また、ライセンスデータはそのデータサイズが小さい場合等は、セキュアデバイスのフラッシュメモリではなく、セキュアデバイスのＴＲＭに格納してもよい。

また、ライセンスデータのUsage RuleのVariable Propertiesは更新される情報であるが、これを更新されない初期値の部分と更新される現在値の２つに分割し、現在値の部分のみを更新するようにしてもよい。

また、デコーダおよびデコーダＩ／Ｆライブラリは、対応するライセンスが存在しない平文のコンテンツ、つまり著作権保護されていない通常のコンテンツにも対応可能である。デコーダＩ／Ｆライブラリに対して平文のコンテンツデータが渡された場合は、利用許可情報が無くても再生可能である。

また、フラッシュメモリに格納されるコンテンツやライセンスのフォーマットは、コンテンツ再生装置がこれらを取得した際のフォーマットを変換した後に格納してもよい。つまり、配信時のコンテンツとライセンスの保護法式から、ｊａｖａライブラリ拡張やセキュアデバイスに特化した保護法式へ変換してもよい。

また、ライセンスのVariable Propertiesはコンテンツの再生の度に更新されるが、このようにライセンス内のVariable Propertiesではなく、ライセンスの外部に動的情報を保持してライセンス自体は更新せず、ライセンスとその外部の動的情報との関連を保つ方式としてもよい。

また、コンテンツを再生時に、ライセンスに対する処理を行う前にコンテンツタイプをチェックし、コンテンツ再生処理装置にて再生可能なコンテンツの場合のみライセンスに対する処理を行ってもよい。これにより、再生できないコンテンツに対してライセンスを消費してしまうことを防ぐことが可能となる。

このように、本実施の形態によれば、コンテンツの利用条件を記述したライセンスデータに基づいて作成する利用許可情報の正当性が認められた場合にだけコンテンツの再生が許可されるので、コンテンツデータの盗聴や、いわゆるライセンス処理アプリの成りすましを防ぐことができ、コンテンツの不正な利用を防止することができる。また、利用許可情報の作成毎に値が異なる動的情報を用いて利用許可情報の正当性を判定するため、利用許可情報の正当性の判定を正確に行うことができ、一度作成した利用許可情報の不正な再利用を防止することができるので、コンテンツの利用可否を正確に判定することができる。また、利用許可情報にセキュアデバイスの署名を行うので、利用許可情報の改竄を防止することができる。

（実施の形態２）
本実施の形態に係るコンテンツ再生装置は、コンテンツ再生装置の汎用性を保ちつつ、正確な再生制御を行うための再生制御情報を利用許可情報に含めるものである。また、ライセンス処理アプリが、コンテンツの再生結果または再生経過を通知させるための通知命令を制御情報として利用許可情報に含め、デコーダＩ／Ｆライブラリが、その通知命令に基づいてコンテンツの再生結果または再生経過をライセンス処理アプリへ通知するものである。また、ライセンス処理アプリが、再生結果または再生経過の通知に基づいてライセンスデータを更新するものである。

図９は、本発明の実施の形態２に係るコンテンツ再生装置の構成を示すブロック図である。なお、図９において、実施の形態１（図１）と同一の部分には同一の符号を付し、その説明を省略する。

ライセンス処理アプリ２０において、ライセンスデータ処理部２０５は、フィンガープリントの検証、利用許可情報の作成を行う。また、デコーダＩ／Ｆライブラリ３０からの通知を待って、ライセンスデータの更新、重要情報格納領域１０５へのフィンガープリントの登録、ライセンス受渡部２０１を介してデータ記憶領域１０２への更新済みライセンスの格納を行う。つまり、利用許可情報を作成してから、デコーダＩ／Ｆライブラリ３０からの通知を受けるまで待ち状態となる。このように、ライセンスデータ処理部２０５が、デコーダＩ／Ｆライブラリ３０からの通知に基づいてライセンスデータを更新する点が実施の形態１と相違する。

デコーダＩ／Ｆライブラリ３０において、再生制御部３０５は、判定部３０２から送られた再生制御情報に基づいて、再生コマンドと暗号化されたコンテンツ復号鍵をオーディオデコーダ４０に送る。また、再生制御情報に基づいてコンテンツの再生制御（再生時間の測定、再生回数のカウント、再生の停止等）を行い、その後、再生制御情報で指示された再生結果の通知や再生経過の通知を行うためのデータ（再生した時間、再生した回数、再生終了等を示すデータ）を作成して通知部３０６に送る。通知部３０６は、再生制御部３０５で作成されたデータをライセンス処理アプリ２０のライセンスデータ処理部２０５に通知する。

オーディオデコーダ４０において、再生部４０３は、重要情報格納領域４０２に格納されているデコーダ秘密鍵でコンテンツ復号鍵を復号化し、再生コマンドに従ってコンテンツを復号化して再生する。また、再生制御部３０５からの停止命令によりコンテンツの再生を停止する。

次いで、本実施の形態に係るコンテンツ再生装置での処理手順について図１０を用いて説明する。

（１）まず、フラッシュメモリからライセンスが読み出され、ライセンス処理アプリにライセンスが取得される。（２）次いで、ライセンスデータに対してフィンガープリントの検証が行われる。（３）次いで、ライセンスの検証を行い、ライセンスデータが示す利用条件に反しない場合、ライセンスデータに基づいて利用許可情報が作成される。利用許可情報には、コンテンツの利用条件に適合する再生制御を行うための再生制御情報を含める。また、利用許可情報には、コンテンツの再生結果や再生経過を通知させるための通知命令を含める。（４）次いで、セキュアデバイスの署名機能を用いて利用許可情報へ署名を行う。署名後の利用許可情報は、利用許可証明となる。（５）次いで、ライセンスから取り出されたコンテンツ復号鍵に利用許可証明を付随させて、デコーダＩ／Ｆライブラリに送る。（６）次いで、デコーダＩ／Ｆライブラリでは、コンテンツ復号鍵に付随している利用許可証明の正当性が判定される。すなわち、署名に対する正当性の判定と、利用許可情報に対する正当性の判定が行われて、コンテンツの利用可否が判定される。そして、その署名が正当なもので、かつ、利用許可情報が正当なものである場合に、コンテンツの再生が許可される。（７）コンテンツの再生が許可されると、利用許可情報に含まれる再生制御情報に従って再生回数や再生時間、再生品質等の再生制御が行われる。（８）次いで、オーディオデコーダでは、デコーダＩ／Ｆライブラリで正当性が認められた場合だけ、再生コマンドに従ってコンテンツが再生される。すなわち、オーディオデコーダでは、デコーダ秘密鍵でコンテンツ復号鍵が復号化された後、そのコンテンツ復号鍵でコンテンツ本体が復号化されることによりコンテンツが再生される。この際、デコーダＩ／Ｆライブラリからの再生制御に従ってコンテンツを再生する。（９）次いで、デコーダＩ／Ｆライブラリが、利用許可情報に含まれる通知命令に従って、コンテンツの再生結果や再生経過をライセンス処理アプリに通知する。（１０）再生結果や再生経過の通知を受けたライセンス処理アプリでは、この通知に応じてライセンスデータが更新される。（１１）次いで、更新後のライセンスデータに基づいてフィンガープリントが作成されてセキュアデバイスのＴＲＭに登録される。（１２）次いで、更新後のライセンスデータを含むライセンスがセキュアデバイスのフラッシュメモリに保存される。なお、（３）の処理後に一旦ライセンスをセキュアデバイスのフラッシュメモリに格納しておき、（１１）の処理前に再びセキュアデバイスのフラッシュメモリから読み出してもよい。

また、デコーダＩ／Ｆライブラリが再生制御情報およびコンテンツの再生経過や再生結果を不揮発性メモリに記憶しておき、ライセンス処理アプリに再生経過や再生結果を通知した後、不揮発性メモリの情報を消去するようにしてもよい。コンテンツ再生装置の起動時にデコーダＩ／Ｆライブラリの不揮発性メモリに再生制御情報および再生経過や再生結果が残っている場合は、ライセンスデータの更新が行われる前に予期せぬ状態で処理が終わってしまったことを表している。その場合、上記（９）の処理から再び処理を開始してもよい。これにより、ライセンス更新前に例えば電源が切られるなどにより処理が中断してしまった場合にも再生経過や再生結果を保持し、処理が再開された時に正しくライセンスを更新することができる。

次いで、利用許可情報のコマンドと再生制御情報の設定方法について説明する。

まず、上記図５のライセンスデータに示すように、Usage RuleのStatic Propertiesが“ＮＵＬＬ”で、Variable Propertiesに“Ｃｏｕｎｔ（再生可能回数）”が記述されていて、かつ、ユーザから連続再生指示があった場合について説明する。この場合には、再生回数による再生制御が行われる。すなわち、“Ｃｏｕｎｔ≧１”ならば利用条件に反しないため、図１１に示すように、コマンドが“再生”で、再生制御情報が“Ｃｏｕｎｔ以下で複数回再生、再生が終了したら再生回数をライセンス処理アプリに通知”という利用許可情報が作成される。この利用許可情報に含まれる再生コマンドおよび再生制御情報に従ってコンテンツが複数回“Ｃ＿ｐｌａｙ”（但し、Ｃｏｕｎｔ以下）だけ再生される。複数回の再生後、再生結果、具体的には、再生回数“Ｃ＿ｐｌａｙ”がデコーダＩ／Ｆライブラリからライセンス処理アプリに通知される。この再生結果の通知を受けたライセンス処理アプリでは、図５に示すライセンスデータの“Ｃｏｕｎｔ（再生可能回数）”が“Ｃ＿ｐｌａｙ”だけ減らされて、ライセンスデータが更新される。このようにして、複数回の連続再生を可能にすることができる。

また、再生回数制御の別の方法としては、利用許可情報作成時に、再生希望の指示回数以下の再生を許可する再生命令を作成し、以後、再生実行回数が再生希望の指示回数と同じになるまで、利用許可情報の作成とライセンスデータの更新とを繰り返すような方法でも構わない。

具体的には、例えば、Usage RuleのStatic Propertiesが“ＮＵＬＬ”で、Variable Propertiesに“Ｃｏｕｎｔ（再生可能回数）”が記述されていて、かつ、ユーザから連続再生指示があった場合に、以下のようにして再生回数による再生制御を行ってもよい。すなわち、“Ｃｏｕｎｔ≧１”ならば利用条件に反しないため、コマンドが“再生”で、再生制御情報が“再生が終了した旨をライセンス処理アプリに通知”という利用許可情報が作成される。この利用許可情報に含まれる再生コマンドおよび再生制御情報に従ってコンテンツが１回再生され、再生が終了した旨がデコーダＩ／Ｆライブラリからライセンス処理アプリに通知される。ライセンス処理アプリでは、この再生結果の通知を受ける度に、ライセンスデータの“Ｃｏｕｎｔ（再生可能回数）”が１だけ減らされてライセンスデータが更新される。そして、ライセンスデータが更新される度に、“Ｃｏｕｎｔ≧１”かどうかの検証が行われ、“Ｃｏｕｎｔ≧１”ならば、再び、コマンドが“再生”で、再生制御情報が“再生が終了した旨をライセンス処理アプリに通知”という利用許可情報が作成される。以上の処理を繰り返すことによっても、複数回の連続再生を可能にすることができる。このようにすることにより、再生回数の管理をデコーダＩ／Ｆライブラリで行わなくてもよくなるため、デコーダＩ／Ｆライブラリの処理の負荷を軽減することができる。なお、再生回数（利用条件のデクリメント数）は１ではなく複数でも、また、毎回一定でなくても構わない。

なお、デコーダＩ／Ｆライブラリでの再生回数のカウントの仕方は、例えば、コンテンツを最後まで再生したら１回、および再生途中で巻き戻しても１回、および再生途中で終了しても１回とカウントする。

また、通知については、ライセンス処理アプリへの通知だけではなく、コンテンツ再生装置利用者に対する通知を行ってもよい。例えば、再生終了後、更新後の再生可能回数を液晶ディスプレイ等に表示してもよい。以下に説明する通知についても、これと同様、コンテンツ再生装置利用者に対する通知を行ってもよい。

次に、図１２のライセンスデータに示すように、Usage RuleのStatic Propertiesに“Ｔ＿ｍｉｎ（１回の再生とみなす再生時間）”が記述され、Variable Propertiesに“Ｃｏｕｎｔ（再生可能回数）”が記述されている場合について説明する。“Ｃｏｕｎｔ≧１”ならば利用条件に反しないため、図１３に示すように、コマンドが“再生”で、再生制御情報が“１回再生、再生途中でもＴ＿ｍｉｎの再生が終了した時点でライセンス処理アプリに通知”という利用許可情報が作成される。この利用許可情報に含まれる再生コマンドおよび再生制御情報に従ってコンテンツが１回だけ再生される。そして、その再生途中において“Ｔ＿ｍｉｎ”経過した時点で、再生経過、具体的には、“Ｔ＿ｍｉｎ”経過した旨がデコーダＩ／Ｆライブラリからライセンス処理アプリに通知される。この際、コンテンツの再生は続行されている。この再生経過の通知を受けたライセンス処理アプリでは、図１２に示すライセンスデータの“Ｃｏｕｎｔ（再生可能回数）”が１だけ減らされて、ライセンスデータが更新される。一方、“Ｔ＿ｍｉｎ”まで再生されなかった場合にはその旨がデコーダＩ／Ｆライブラリからライセンス処理アプリに通知される。“Ｔ＿ｍｉｎ”まで再生されなかった場合にはライセンスデータの更新は行われない。このようにすることにより、短時間の再生は１回の再生とみなさないという制御が可能になる。

なお、デコーダＩ／Ｆライブラリでの経過した再生時間の計測において、例えば、一時停止中の時間は再生時間に含めないようにする。

また、図１２のライセンスデータの場合に、コマンドが“再生”で、再生制御情報が“１回再生、再生途中でもＴ＿ｍｉｎの再生が終了する毎にライセンス処理アプリに通知”という利用許可情報を作成してもよい。このような利用許可情報が作成された場合は、コンテンツの再生途中において“Ｔ＿ｍｉｎ”経過する毎にその旨が再生経過としてデコーダＩ／Ｆライブラリからライセンス処理アプリに通知される。この際、コンテンツの再生は続行されている。ライセンス処理アプリでは、この再生経過の通知を受ける度に、図１２に示すライセンスデータの“Ｃｏｕｎｔ（再生可能回数）”が１ずつ減らされて、ライセンスデータが更新される。

次に、上記図７のライセンスデータに示すように、Usage RuleのStatic Propertiesに“Ｌｉｍｉｔ（再生期限）”が記述されていて、Variable Propertiesが“ＮＵＬＬ”である場合について説明する。この場合には、再生期間による再生制御が行われる。すなわち、利用許可情報作成時点の日時が“Ｌｉｍｉｔ”内ならば利用条件に反しないため、図１４に示すように、コマンドが“再生”で、再生制御情報が“指定時間（Ｌｉｍｉｔ−現在の日時）以内の時間で再生”という利用許可情報が作成される。この利用許可情報に含まれる再生コマンドおよび再生制御情報に従ってコンテンツが指定時間以内で再生される。換言すれば、指定時間再生したらその時点で再生が停止される。このようにして、時間単位の厳密な再生制御を行うことができる。

次に、図１５のライセンスデータに示すように、Usage RuleのStatic Propertiesが“ＮＵＬＬ”で、Variable Propertiesに“Ｔ＿ａｌｌ（再生可能時間）”が記述されている場合について説明する。“Ｔ＿ａｌｌ＞０”ならば利用条件に反しないため、図１６に示すように、コマンドが“再生”で、再生制御情報が“Ｔ＿ａｌｌ以内の時間で再生、再生が終了したら実際の再生時間Ｔ＿ｐｌａｙをライセンス処理アプリに通知”という利用許可情報が作成される。この利用許可情報に含まれる再生コマンドおよび再生制御情報に従ってコンテンツが“Ｔ＿ａｌｌ”以内で再生される。換言すれば、“Ｔ＿ａｌｌ”だけ再生したらその時点で再生が停止される。再生後、実際の再生時間“Ｔ＿ｐｌａｙ”がデコーダＩ／Ｆライブラリからライセンス処理アプリに通知される。この通知を受けたライセンス処理アプリでは、図１５に示すライセンスデータの“Ｔ＿ａｌｌ（再生可能時間）”が“Ｔ＿ｐｌａｙ”だけ減らされて、ライセンスデータが更新される。

なお、再生可能回数や再生可能時間による再生制御方法において、指定時間の再生や指定回数の再生を行ったときにライセンス処理アプリへその旨の通知を行い、ライセンス処理アプリにおいてコマンドが“停止”の利用許可情報を作成して再生時と同様にデコーダＩ／Ｆライブラリに送り、デコーダＩ／Ｆライブラリが停止命令をオーディオデコーダに送って再生を停止してもよい。

これら再生回数や再生時間以外にも、再生制御情報には再生制御を行うための様々な情報を設定することが可能である。例えば、音質や画質等の再生品質を設定することが可能である。例えば、再生制御情報に音質が設定されている場合、オーディオデコーダは、その音質で楽曲コンテンツを再生する。

なお、本実施の形態では、ライセンスの利用条件に従った再生を行うために、ライセンス処理アプリでのライセンスの検証とデコーダＩ／Ｆライブラリでの利用許可証明の検証を行っている。ライセンス処理アプリでは実際の再生時間や再生品質、再生の範囲等を正確に計測、制御することが困難である。また、デコーダＩ／Ｆライブラリにてすべての制御を行おうとすると、ライセンスのフォーマット等に依存したデコーダＩ／Ｆライブラリが必要となり、その結果、コンテンツ配信／再生サービスに依存したデコーダＩ／Ｆライブラリが必要となる。従って、実際の再生時間や再生品質、再生の範囲等の計測、制御は、デコーダＩ／Ｆライブラリによって、その他のコンテンツ配信／再生サービスに依存する制御に関してはライセンス処理アプリによって行うようにする。

このように、本実施の形態によれば、利用許可情報に再生制御を行うための再生制御情報が含まれるため、コンテンツ再生装置の汎用性を保ちつつ、正確な再生制御を行うことができる。

すなわち、ライセンスの利用条件として再生可能回数が記述されている場合、コンテンツ再生回数を計測できるので、コンテンツ再生装置の汎用性を保ちつつ、再生可能回数を制限することができる。また、ライセンスの利用条件として再生可能時間が記述されている場合、正確なコンテンツ再生時間を計測できるので、コンテンツ再生装置の汎用性を保ちつつ、再生可能時間を制限することができる。また、ライセンスの利用条件として再生品質が記述されている場合、再生品質を指定できるので、コンテンツ再生装置の汎用性を保ちつつ、再生品質を制限することができる。さらに、ライセンスの利用条件として例えば再生可能回数および１回の再生とみなす最低再生時間が記述されている場合、コンテンツ再生時間を計測できるので、コンテンツ再生装置の汎用性を保ちつつ、再生可能回数を制限することができる。

また、ライセンスの利用条件として例えば再生可能時間が記述されている場合、正確なコンテンツ再生時間を計測し、それによってライセンスの利用条件に記述された再生可能時間を書き換えることによるライセンスの更新ができる。また、ライセンスの利用条件として例えば再生可能回数および１回の再生とみなす最低再生時間が記述されている場合、コンテンツ再生時間を計測し、それによってライセンスの利用条件に記述された再生可能回数を書き換えることによるライセンスの更新ができる。よって、コンテンツ再生装置の汎用性を保ちつつ、再生可能時間の制限や再生可能回数の制限をすることができる。

（実施の形態３）
本実施の形態では、コンテンツのデータ構造、フィンガープリントのデータ構造、およびコンテンツサーバからのコンテンツの取得方法について説明する。

コンテンツのデータ構造は、図１７に示すようになる。すなわち、コンテンツＩＤと、コンテンツ関連情報と、ライセンスＩＤと、ライセンス取得ＵＲＬと、コンテンツ復号鍵で暗号化されたコンテンツ本体とから構成される。コンテンツ関連情報は、コンテンツが楽曲である場合は例えば曲名やアーティスト名等、コンテンツに関連する情報である。ライセンスＩＤは、コンテンツに対応するライセンスのＩＤであり、同一コンテンツに複数のライセンスが対応する場合もある。例えば、同一のコンテンツに対して、再生回数無制限のライセンスと再生回数１０回のお試し版ライセンスとを用意し、それらを別個の価格で販売することもできる。ライセンス取得ＵＲＬは、ライセンス取得（購入）時に参照するＵＲＬである。コンテンツ本体は、楽曲データ、ビデオデータ、イメージデータ、ドキュメントデータ、プログラムデータ等である。楽曲とそのジャケットイメージと歌詞データ等、コンテンツ本体に複数種類のデータが含まれることもあり、これらはそれぞれ別個のコンテンツ復号鍵で暗号化されることもある。

フィンガープリントのデータ構造は、図１８に示すようになる。すなわち、ライセンスＩＤとライセンスダイジェストから構成される。ライセンスダイジェストは、ライセンスデータをハッシュしたデータである。

次いで、コンテンツサーバからのコンテンツの取得方法について図１９を用いて説明する。コンテンツ取得の処理手順は以下のようになる。すなわち、（１）コンテンツ再生装置のコンテンツ取得アプリがコンテンツサーバからコンテンツをダウンロードし、ｊａｖａライブラリ拡張へコンテンツを渡す。（２）ダウンロードされたコンテンツは、ｊａｖａライブラリ拡張を介してセキュアデバイスのフラッシュメモリに格納される。

なお、コンテンツの取得と後述するライセンスの購入の順序はどちらが先でもよく、再生時にこの２つがそろってさえいればよい。

（実施の形態４）
本実施の形態では、コンテンツ復号鍵がデコーダ公開鍵で暗号化され、さらにセキュアデバイス公開鍵で暗号化されている場合について説明する。また、ダウンロードするライセンス対してダウンロードサーバによって署名されている場合について説明する。これらの場合のライセンス購入処理と、コンテンツの再生処理は以下のようになる。

図２０は、本実施の形態に係るライセンス購入処理の手順を示す図である。（１）まず、コンテンツ再生装置のライセンス購入アプリがコンテンツサーバからライセンスをダウンロード（購入）し、ｊａｖａライブラリ拡張へライセンスを渡す。このライセンスには、ダウンロードサーバによって署名がなされている（署名１）。（２）次いで、セキュアデバイスのＴＲＭの署名機能を用いてｊａｖａライブラリ拡張において署名１の検証が行われ、署名の正当性が判定される。（３）次いで、ライセンスのフィンガープリントがＴＲＭに格納される。（４）次いで、セキュアデバイス秘密鍵を用いて、ＴＲＭが署名をし直す（署名２）。つまり、署名が署名１から署名２に付け替えられる。署名の付け替えを行うのは、コンテンツの再生時にライセンスデータが更新されるからである。（５）署名付け替え後のライセンスは、セキュアデバイスのフラッシュメモリに格納される。購入されたライセンスは、以上のようにして、ｊａｖａライブラリ拡張を介してセキュアデバイスのフラッシュメモリに格納される。

図２１は、本実施の形態に係るコンテンツ再生処理の手順を示す図である。（１）まず、フラッシュメモリからｊａｖａライブラリ拡張にライセンスが読み出される。（２）次いで、セキュアデバイスの署名機能を用いて署名２の検証が行われ、署名２の正当性が判定される。（３）次いで、ライセンスデータに対してフィンガープリントの検証が行われる。（４）次いで、ライセンスデータのUsage Ruleの検証が行われる。（５）次いで、ライセンスデータのVariable Propertiesが更新される。（６）次いで、更新後のライセンスデータに基づいてフィンガープリントが作成されてセキュアデバイスのＴＲＭに登録される。（７）次いで、セキュアデバイスの署名機能を用いて再署名が行われる。（８）次いで、コンテンツデータが示す利用条件に反しない場合、ライセンスデータに基づいて利用許可情報が作成される。（９）次いで、セキュアデバイスの署名機能を用いて利用許可情報へ署名を行う。署名後の利用許可情報は、利用許可証明となる。（１０）次いで、セキュアデバイス秘密鍵でコンテンツ復号鍵が復号化される。この段階では、まだ、コンテンツ復号鍵はデコーダ公開鍵で暗号化されている。（１１）次いで、更新後のライセンスデータを含むライセンスがセキュアデバイスのフラッシュメモリに保存される。（１２）次いで、ライセンスから取り出されたコンテンツ復号鍵に利用許可証明を付随させて、デコーダＩ／Ｆライブラリに送る。（１３）次いで、デコーダＩ／Ｆライブラリでは、コンテンツ復号鍵に付随している利用許可証明の正当性が判定される。そして、オーディオデコーダでは、デコーダＩ／Ｆライブラリで正当性が認められた場合だけ、再生コマンドに従ってコンテンツが再生される。すなわち、オーディオデコーダでは、デコーダ秘密鍵でコンテンツ復号鍵が復号化された後、そのコンテンツ復号鍵でコンテンツ本体が復号化されることによりコンテンツが再生される。

（実施の形態５）
本実施の形態では、コンテンツ復号鍵がセキュアデバイス公開鍵で暗号化されている場合について説明する。また、購入したライセンスに対する一連の処理を、セキュアデバイスのＴＲＭで行う場合について説明する。これらの場合のライセンス購入処理と、コンテンツの再生処理は以下のようになる。

図２２は、本実施の形態に係るライセンス購入処理の手順を示す図である。（１）まず、コンテンツ再生装置のライセンス購入アプリがコンテンツサーバからライセンスをダウンロード（購入）し、ｊａｖａライブラリ拡張を介してセキュアデバイスのＴＲＭへライセンスを渡す。このライセンスには、ダウンロードサーバによって署名がなされている（署名１）。（２）次いで、セキュアデバイスのＴＲＭによって署名１の検証が行われ、署名の正当性が判定される。（３）次いで、ライセンスのフィンガープリントがＴＲＭ内に登録される。（４）次いで、セキュアデバイス秘密鍵を用いて、ＴＲＭが署名をし直す（署名２）。つまり、署名が署名１から署名２に付け替えられる。（５）署名付け替え後のライセンスは、ｊａｖａライブラリ拡張を介してセキュアデバイスのフラッシュメモリに格納される。

図２３は、本実施の形態に係るコンテンツ再生処理の手順を示す図である。（１）まず、フラッシュメモリからｊａｖａライブラリ拡張を介してＴＲＭにライセンスが読み出される。（２）次いで、ＴＲＭでは、署名２の検証が行われ、署名２の正当性が判定される。（３）次いで、ライセンスデータに対してフィンガープリントの検証が行われる。（４）次いで、ライセンスデータのUsage Ruleの検証が行われる。（５）次いで、ライセンスデータのVariable Propertiesが更新される。（６）次いで、更新後のライセンスデータに基づいてフィンガープリントが作成されてＴＲＭ内に登録される。（７）次いで、セキュアデバイスの再署名が行われる。（８）次いで、ＴＲＭが、セキュアデバイス秘密鍵でコンテンツ復号鍵を復号化した後、再度、コンテンツ復号鍵をデコーダ公開鍵で暗号化する。つまり、鍵の付け替えを行う。（９）次いで、コンテンツデータが示す利用条件に反しない場合、ライセンスデータに基づいて利用許可情報が作成される。（１０）次いで、利用許可情報へ署名を行う。署名後の利用許可情報は、利用許可証明となる。（１１）次いで、更新後のライセンスデータを含むライセンスが、ｊａｖａライブラリ拡張を介してセキュアデバイスのフラッシュメモリに保存される。（１２）次いで、ライセンスから取り出されたコンテンツ復号鍵に利用許可証明を付随させて、デコーダＩ／Ｆライブラリに送る。（１３）次いで、デコーダＩ／Ｆライブラリでは、コンテンツ復号鍵に付随している利用許可証明の正当性が判定される。そして、オーディオデコーダでは、デコーダＩ／Ｆライブラリで正当性が認められた場合だけ、再生コマンドに従ってコンテンツが再生される。すなわち、オーディオデコーダでは、デコーダ秘密鍵でコンテンツ復号鍵が復号化された後、そのコンテンツ復号鍵でコンテンツ本体が復号化されることによりコンテンツが再生される。

なお、上記ライセンス購入処理の手順（５）を図２４に示すようにして行うことも可能である。すなわち、（５）署名付け替え後のライセンスを、ｊａｖａライブラリ拡張を介さずに、セキュアデバイス内においてＴＲＭからフラッシュメモリへ直接格納する。

また、コンテンツ復号鍵をセキュアデバイス公開鍵で暗号化することも可能である。この場合には、着脱可能な１つのセキュアデバイスを複数の端末間で相互に付け替えることにより、複数の端末のうちセキュアデバイスを装着された端末においてのみコンテンツを再生可能なようにすることができる。つまり、セキュアデバイスにバインドしたライセンスを実現することができる。

また、上記コンテンツ再生処理の手順（１）〜（１２）を、図２５に示すようにして、ｊａｖａライブラリ拡張を介さずに、すべてＴＲＭ内で行うことも可能である。

また、ライセンス処理アプリをセキュアデバイス内に格納しておき、セキュアデバイスと相互認証を行った再生装置のみがライセンス処理アプリを読み出して、ライセンス処理を行うことも可能である。

また、ライセンス処理アプリをセキュアデバイスのＴＲＭ内で実行されるカードアプリとして実装し、ライセンス処理をセキュアデバイスのＴＲＭで行うことも可能である。さらに、必要に応じてライセンス処理アプリをコンテンツサーバからダウンロードして利用することも可能である。

（実施の形態６）
本実施の形態では、コンテンツ復号鍵がセキュアデバイス公開鍵で暗号化され、さらにＳＩＭカードのユニーク鍵で暗号化されている場合について説明する。この場合、ライセンスはＳＩＭカード、つまりＳＩＭカードの所有者であるユーザにバインドされており、ＳＩＭカードが端末に装着状態にあるときのみコンテンツを再生することが可能となる。

ＳＩＭカードとは、ＧＳＭ（Global System for Mobile Communication）方式の携帯電話で利用されるＩＣチップであり、携帯電話の端末のみでは電話は作動せず、ＳＩＭカードの装着が必要となる。ＳＩＭカード内部には携帯電話番号、電話帳等の情報が記憶されている。

図２６は、本実施の形態に係るライセンス購入処理の手順を示す図である。図２４のライセンス購入処理手順と比較して（３）端末に装着されたＳＩＭカードからＳＩＭカードのユニーク鍵を読み出し、コンテンツ復号鍵をＳＩＭカードのユニーク鍵で暗号化する処理が新たに追加されたことのみが異なる。

図２７は、本実施の形態に係るコンテンツ再生処理の手順を示す図である。図２５のコンテンツ再生処理手順と比較して（８）デコーダ公開鍵で再暗号化する際、端末に装着されたＳＩＭカードからＳＩＭカードのユニーク鍵を読み出し、ＳＩＭカードのユニーク鍵でコンテンツ復号鍵を復号化し、さらにセキュアデバイス秘密鍵でコンテンツ復号鍵を復号化した後、再度、コンテンツ復号鍵をデコーダ公開鍵で暗号化する処理のみが異なる。

本実施の形態では、コンテンツ復号鍵をＳＩＭカードのユニーク鍵およびセキュアデバイス公開鍵の両方で暗号化することにより、特定のＳＩＭカードとセキュアデバイスの組み合わせの場合のみコンテンツの再生を可能とすることができる。

また、図２、図１０のようにコンテンツ復号鍵をデコーダ公開鍵で暗号化することにより端末にバインドすること、図２３、図２５のようにコンテンツ復号鍵をセキュアデバイス公開鍵で暗号化することによってセキュアデバイスにバインドすること、図２１のようにコンテンツ復号鍵をデコーダ公開鍵とセキュアデバイス公開鍵で暗号化することによって端末とセキュアデバイスの両方にバインドすることがそれぞれ可能となる。また、特定の機器やユーザ、セキュアデバイスのみではなく、複数の機器や複数のユーザに共通のユニーク鍵を設定し、コンテンツ復号鍵をそのユニーク鍵で暗号化することによって機器群やユーザ群にバインドすることが可能となる。

（実施の形態７）
本実施の形態では、ライセンスをコンテンツ再生装置外へ出力（アップロード）し、権利のバックアップを行う場合について説明する。この場合、ライセンスのアップロードおよび再ダウンロードの処理は以下のようになる。

図２８は、本実施の形態に係るライセンスのアップロードおよび再ダウンロードの処理の手順を示す図である。（１）まず、コンテンツ再生装置１のライセンスをコピーし、ネットワーク上のバックアップサーバへアップロードする。（２）再生回数制限等の再生によってライセンスの状態が変化する（残り再生回数が減少する）場合、ネットワーク上のバックアップサーバのライセンスと、コンテンツ再生装置１上のライセンスの状態の同期を取る。（３）コンテンツ再生装置１が故障または紛失によってセキュアデバイスも含めて使用不可となる。（４）バックアップサーバ上で、コンテンツ復号鍵をコンテンツ再生装置１に装着されていたセキュアデバイスの公開鍵から、コンテンツ再生装置２に装着されているセキュアデバイスの公開鍵へ再暗号化を行う。（５）コンテンツ再生装置２へライセンスを再ダウンロードする。

本実施の形態では、ライセンスをネットワーク上のサーバにバックアップすることにより、セキュアデバイスまでも含めたコンテンツ再生装置の故障、紛失に対応すると共に、再生回数制限等の再生によって状態が変化するライセンスにも対応することができる。

また、コンテンツ再生処理装置側からライセンスをアップロードするのではなく、ライセンス購入時にサーバ側で購入を記録しておき、それをアップロードしたライセンスの代わりとしてもよい。

また、図２９に示すように、ライセンスのコピーを残さないようにアップロードし、再ダウンロード先の装置をアップロード元のコンテンツ再生装置のみに限定することにより、セキュアデバイスのフラッシュメモリの空き容量を一時的に増加させることも可能である。

以上説明したように、本発明によれば、汎用的な端末においてセキュアでかつ拡張性のあるコンテンツの利用制御を行うことができる。

すなわち、本発明のコンテンツ再生装置は、コンテンツの利用条件を記述したライセンスデータを取得する取得手段と、利用条件に反しない場合、再生命令を含んだ利用許可情報をライセンスデータに基づいて作成する作成手段と、利用許可情報の正当性を判定する判定手段と、前記判定手段によって正当性が認められた場合、再生命令に従ってコンテンツを再生する再生手段とを具備する構成を採る。

この構成によれば、コンテンツの利用条件を記述したライセンスデータに基づいて作成する利用許可情報の正当性が認められた場合にだけコンテンツの再生が許可されるので、コンテンツデータの盗聴や、いわゆるライセンス処理アプリの成りすましを防ぐことができ、コンテンツの不正な利用を防止することができる。

その際、例えば、前記作成手段は、利用許可情報の作成毎に値が異なる動的情報を利用許可情報に含め、前記判定手段は、動的情報に基づいて利用許可情報の正当性を判定する構成を採る。

この構成によれば、利用許可情報の作成毎に値が異なる動的情報を用いて利用許可情報の正当性を判定するため、利用許可情報の正当性の判定を正確に行うことができ、一度作成した利用許可情報の不正な再利用を防止することができるので、コンテンツの利用可否を正確に判定することができる。

また、例えば、前記作成手段は、利用条件に適合する再生制御を行うための制御情報をさらに含んだ利用許可情報を作成し、前記再生手段は、再生命令および制御情報に従ってコンテンツを再生する構成を採る。

この構成によれば、利用許可情報に再生制御を行うための制御情報が含まれるため、コンテンツ再生装置の汎用性を保ちつつ、正確な再生制御を行うことができる。

また、例えば、前記作成手段は、コンテンツの再生回数を示す回数情報を制御情報として利用許可情報に含め、前記再生手段は、その再生回数以下の回数でコンテンツを再生する構成を採る。

この構成によれば、ライセンスの利用条件として再生可能回数が記述されている場合、コンテンツ再生回数を計測できるので、コンテンツ再生装置の汎用性を保ちつつ、再生可能回数を制限することができる。

また、例えば、前記作成手段は、コンテンツの再生時間を示す時間情報を制御情報として利用許可情報に含め、前記再生手段は、その再生時間以内の時間でコンテンツを再生する構成を採る。

この構成によれば、ライセンスの利用条件として再生可能時間が記述されている場合、正確なコンテンツ再生時間を計測できるので、コンテンツ再生装置の汎用性を保ちつつ、再生可能時間を制限することができる。

また、例えば、前記作成手段は、コンテンツの再生品質を示す品質情報を制御情報として利用許可情報に含め、前記再生手段は、その再生品質でコンテンツを再生する構成を採る。

この構成によれば、ライセンスの利用条件として再生品質が記述されている場合、再生品質を指定できるので、コンテンツ再生装置の汎用性を保ちつつ、再生品質を制限することができる。

また、例えば、前記作成手段は、コンテンツの再生結果を通知させるための通知命令を制御情報として利用許可情報に含め、その通知命令に基づいてコンテンツの再生結果を通知する通知手段をさらに具備する構成を採る。

この構成によれば、ライセンスの利用条件として例えば再生可能時間が記述されている場合、正確なコンテンツ再生時間を計測できるので、コンテンツ再生装置の汎用性を保ちつつ、再生可能時間を制限することができる。

また、例えば、前記作成手段は、コンテンツの再生経過を通知させるための通知命令を制御情報として利用許可情報に含め、その通知命令に基づいてコンテンツの再生経過を通知する通知手段をさらに具備する構成を採る。

この構成によれば、ライセンスの利用条件として例えば再生可能回数および１回の再生とみなす最低再生時間が記述されている場合、コンテンツ再生時間を計測できるので、コンテンツ再生装置の汎用性を保ちつつ、再生可能回数を制限することができる。

また、例えば、上記コンテンツ再生装置は、前記通知手段からの通知に基づいてライセンスデータを更新する更新手段をさらに具備する構成を採る。

この構成によれば、ライセンスの利用条件として例えば再生可能時間が記述されている場合、正確なコンテンツ再生時間を計測し、それによってライセンスの利用条件に記述された再生可能時間を書き換えることによるライセンスの更新ができる。また、ライセンスの利用条件として例えば再生可能回数および１回の再生とみなす最低再生時間が記述されている場合、コンテンツ再生時間を計測し、それによってライセンスの利用条件に記述された再生可能回数を書き換えることによるライセンスの更新ができる。よって、コンテンツ再生装置の汎用性を保ちつつ、再生可能時間の制限や再生可能回数の制限をすることができる。

また、例えば、上記コンテンツ再生装置は、利用許可情報に署名を行う署名手段をさらに具備し、前記判定手段は、その署名の正当性を判定する構成を採る。

この構成によれば、利用許可情報に対し、例えばセキュアデバイス等を利用した署名を行うので、利用許可情報の改竄を防止することができる。

また、例えば、上記コンテンツ再生装置は、ユニークなＩＤ（特定の機器、ユーザ、蓄積メディア、特定の機器の種別等）にバインドされたライセンス、例えばそのユニークなＩＤに関連する暗号化が施されたライセンスを取得する構成を採る。

この構成によれば、ライセンスの利用を、特定の機器（例えばライセンスを配信した端末）や特定のユーザ（例えばライセンスを購入したユーザ）、特定の種別の機器に限定することができる。

また、例えば、上記コンテンツ再生装置は、ライセンスを外部へ出力するライセンス出力手段をさらに備え、コンテンツ再生装置が保持しているライセンスをネットワーク上のサーバやＰＣへアップロード／バックアップする構成を採る。

この構成によれば、端末の故障／紛失等時や通常の機種交換時にアップロード先のネットワーク上のサーバやＰＣから再ダウンロードすることが可能となる。さらにメモリ空き領域の一時的確保等が可能となる。

また、例えば、上記コンテンツ再生装置は、外部のライセンスとの同期を取るライセンス同期手段をさらに備え、ネットワーク上のサーバやＰＣ上、及びコンテンツ再生装置上の両方にライセンスを保持する場合、ネットワーク上のサーバやＰＣのライセンスと、コンテンツ再生装置上のライセンスの状態の同期を取る構成を採る。

この構成によれば、再生回数制限等の再生によってライセンスの状態が変化する（例えば残り再生回数が減少する）場合であっても、その状態も含めた権利のバックアップが可能となる。

本発明のライセンス管理装置は、コンテンツの利用条件を記述したライセンスデータを取得する取得手段と、利用条件に反しない場合、再生命令を含んだ利用許可情報をライセンスデータに基づいて作成する作成手段と、利用許可情報を送出する送出手段とを具備する構成を採る。

また、本発明のコンテンツ再生装置は、コンテンツの利用条件を記述したライセンスデータに基づいて作成された利用許可情報であって、再生命令を含む利用許可情報を取得する取得手段と、利用許可情報の正当性を判定する判定手段と、前記判定手段によって正当性が認められた場合、再生命令に従ってコンテンツを再生する再生手段とを具備する構成を採る。

これらの構成によれば、コンテンツの利用条件を記述したライセンスデータに基づいて作成する利用許可情報の正当性が認められた場合にだけコンテンツの再生が許可されるので、コンテンツデータの盗聴や、いわゆるライセンス処理アプリの成りすましを防ぐことができ、コンテンツの不正な利用を防止することができる。

本発明のコンテンツ再生制御方法は、コンテンツの利用条件を記述したライセンスデータを取得する取得ステップと、利用条件に反しない場合、再生命令を含んだ利用許可情報をライセンスデータに基づいて作成する作成ステップと、利用許可情報の正当性を判定する判定ステップと、前記判定ステップにおいて正当性が認められた場合、再生命令に従ってコンテンツを再生する再生ステップとを具備するようにした。

この方法によれば、コンテンツの利用条件を記述したライセンスデータに基づいて作成する利用許可情報の正当性が認められた場合にだけコンテンツの再生が許可されるので、コンテンツデータの盗聴や、いわゆるライセンス処理アプリの成りすましを防ぐことができ、コンテンツの不正な利用を防止することができる。

本発明のライセンス管理プログラムは、コンテンツの利用条件を記述したライセンスデータを取得する取得ステップと、利用条件に反しない場合、再生命令を含んだ利用許可情報をライセンスデータに基づいて作成する作成ステップと、利用許可情報を送出する送出ステップとを具備するようにした。

また、本発明のコンテンツ再生プログラムは、コンテンツの利用条件を記述したライセンスデータに基づいて作成された利用許可情報であって、再生命令を含む利用許可情報を取得する取得ステップと、利用許可情報の正当性を判定する判定ステップと、前記判定ステップにおいて正当性が認められた場合、再生命令に従ってコンテンツを再生する再生ステップとを具備するようにした。

これらのプログラムによれば、コンテンツの利用条件を記述したライセンスデータに基づいて作成する利用許可情報の正当性が認められた場合にだけコンテンツの再生が許可されるので、コンテンツデータの盗聴や、いわゆるライセンス処理アプリの成りすましを防ぐことができ、コンテンツの不正な利用を防止することができる。

本明細書は、２００２年３月２９日出願の特願２００２−０９７８４６に基づく。この内容はすべてここに含めておく。

本発明は、コンテンツ配信システムにおけるコンテンツ再生装置およびライセンス管理装置に適用することができる。

本発明の実施の形態１に係るコンテンツ再生装置の構成を示すブロック図 本発明の実施の形態１に係るコンテンツ再生装置での処理手順を示す図 本発明の実施の形態１に係るライセンスデータの構成を示す図 本発明の実施の形態１に係る利用許可証明の構成を示す図 本発明の実施の形態１に係るライセンスデータの内容を示す図 本発明の実施の形態１に係る利用許可情報の内容を示す図 本発明の実施の形態１に係るライセンスデータの内容を示す図 本発明の実施の形態１に係る利用許可情報の内容を示す図 本発明の実施の形態２に係るコンテンツ再生装置の構成を示すブロック図 本発明の実施の形態２に係るコンテンツ再生装置での処理手順を示す図 本発明の実施の形態２に係る利用許可情報の内容を示す図 本発明の実施の形態２に係るライセンスデータの内容を示す図 本発明の実施の形態２に係る利用許可情報の内容を示す図 本発明の実施の形態２に係る利用許可情報の内容を示す図 本発明の実施の形態２に係るライセンスデータの内容を示す図 本発明の実施の形態２に係る利用許可情報の内容を示す図 本発明の実施の形態３に係るコンテンツのデータ構造を示す図 本発明の実施の形態３に係るフィンガープリントのデータ構造を示す図 本発明の実施の形態３に係るコンテンツ取得の処理手順を示す図 本発明の実施の形態４に係るライセンス購入処理の手順を示す図 本発明の実施の形態４に係るコンテンツ再生処理の手順を示す図 本発明の実施の形態５に係るライセンス購入処理の手順を示す図 本発明の実施の形態５に係るコンテンツ再生処理の手順を示す図 本発明の実施の形態５に係るライセンス購入処理の手順を示す図 本発明の実施の形態５に係るコンテンツ再生処理の手順を示す図 本発明の実施の形態６に係るライセンス購入処理の手順を示す図 本発明の実施の形態６に係るコンテンツ再生処理の手順を示す図 本発明の実施の形態７に係るライセンスアップロード処理の手順を示す図 本発明の実施の形態７に係るライセンスアップロード処理の手順を示す図

Claims (5)

1. 再生に関する情報及びコンテンツの利用条件、を記述したライセンスデータをメモリに格納するセキュアデバイスと、
   前記セキュアデバイスと電気的に接続し、前記セキュアデバイスから前記ライセンスデータを取得し、前記再生に関する情報が前記利用条件を満たす場合に、再生命令及び作成毎に値が異なる動的情報、を含んだ利用許可情報を作成し、前記再生に関する情報を更新して前記ライセンスデータを前記セキュアデバイスの前記メモリに保存するライセンス処理アプリと、
   前記ライセンス処理アプリと電気的に接続し、前記ライセンス処理アプリから前記利用許可情報を取得し、過去に取得した利用許可情報の動的情報を記憶し、新たに取得した利用許可情報の動的情報が前記過去に取得した動的情報のいずれにも一致しない場合に前記新たに取得した利用許可情報の正当性を認め、正当性が認められた場合に前記新たに取得した利用許可情報の再生命令に従ってコンテンツを再生するデコーダと、
   を具備するコンテンツ再生装置。
2. 前記ライセンス処理アプリは、前記再生に関する情報が前記利用条件を満たす場合に、前記再生命令及び前記動的情報に加えて、前記利用条件に適合する再生制御を行うための制御情報をさらに含んだ利用許可情報を作成し、
   前記デコーダは、前記新たに取得した利用許可情報の再生命令および制御情報に従ってコンテンツを再生する、
   請求項１記載のコンテンツ再生装置。
3. 前記ライセンス処理アプリは、前記再生に関する情報が前記利用条件を満たす場合に、前記再生命令及び前記動的情報に加えて、コンテンツの再生結果または再生経過を通知させるための通知命令を制御情報として利用許可情報に含め、前記デコーダから通知されたコンテンツの再生結果または再生経過に基づいて前記再生に関する情報を更新し、
   前記デコーダは、前記ライセンス処理アプリから新たに取得した利用許可情報の通知命令に基づいてコンテンツの再生結果または再生経過を前記ライセンス処理アプリに通知する、
   請求項２記載のコンテンツ再生装置。
4. 前記利用条件は、再生可能回数あるいは再生期限である、請求項１から請求項３のいずれかに記載のコンテンツ再生装置。
5. 再生に関する情報及びコンテンツの利用条件、を記述したライセンスデータをメモリに格納するセキュアデバイスと、前記セキュアデバイスと電気的に接続するライセンス処理アプリと、前記ライセンス処理アプリと電気的に接続するデコーダと、を有するコンテンツ再生装置におけるコンテンツ再生制御方法であって、
   前記ライセンス処理アプリが前記セキュアデバイスから前記ライセンスデータを取得する取得ステップと、
   前記ライセンス処理アプリが、前記再生に関する情報が前記利用条件を満たす場合に、再生命令及び作成毎に値が異なる動的情報、を含んだ利用許可情報を作成する作成ステップと、
   前記ライセンス処理アプリが、前記再生に関する情報を更新して前記ライセンスデータを前記セキュアデバイスの前記メモリに保存する保存ステップと、
   前記デコーダが、前記ライセンス処理アプリから新たに取得した利用許可情報の動的情報が過去に取得した動的情報のいずれかに一致するか否かにより、前記新たに取得した利用許可情報の正当性を判定する判定ステップと、
   前記デコーダが、前記新たに取得した利用許可情報の動的情報が過去に取得した動的情報のいずれにも一致しない場合に前記新たに取得した利用許可情報の正当性を認め、正当性が認められた場合に前記新たに取得した利用許可情報の再生命令に従ってコンテンツを再生する再生ステップと、
   を具備するコンテンツ再生制御方法。

Images