CN101116080A - 创建授权域的方法、设备、系统、令牌 - Google Patents

Abstract

本发明涉及一种在设备(200)上创建授权域(102)的方法，该授权域用于在第一人(105)和第二人(106)之间共享内容项(104)的权利(103)。该方法消除了终端用户管理授权域的麻烦。如果所述第一人被绑定(107)到权利(103)，所述设备被绑定(108)到第一人(105)，则设备(200)响应于设备(200)关联(109)到第二人(106)授予(110)第二人(106)所述权利(103)。

Description

创建授权域的方法、设备、系统、令牌

本发明涉及一种用于创建授权域的方法。

本发明进一步涉及一种用于创建授权域的设备和令牌(token)，以及其上存储有指令的计算机可读介质，所述指令用于使一个或多个处理单元执行根据本发明的方法。

本发明还涉及一种创建的授权域和实施所创建的授权域的数字权利管理系统。

近年来，内容保护系统的量快速增加。这些系统中的一部分系统只保护内容不被非法拷贝，而其他系统还禁止用户访问所述内容。第一类别被称作拷贝保护(CP)系统。CP系统传统上是消费者电子(CE)设备的主要焦点，这是因为这种类型的内容保护被认为能够廉价地实现并且不需要与内容提供商进行双向交互。一些例子是内容加扰系统(CSS)、DVDROM盘的保护系统和DTCP(用于IEEE 1394连接的保护系统)。

已知第二类别具有以下若干名称。在广播世界中，这类系统通常被称为条件访问(CA)系统，而在因特网世界中它们通常被称为数字权利管理系统。

家庭网络可以被定义为一组设备，所述设备使用某种网络技术(例如以太网、IEEE 1394、蓝牙、802.11b、802.11g等等)互连。尽管网络技术允许不同的设备能够通信，但是这不足以允许设备能够进行互操作。为了能够这样，设备需要能够发现并寻址存在于网络内其他设备中的功能。家庭联网中间件提供这种互操作性。家庭联网中间件的例子是Jini、HAVi、UPnP、AVC。

授权域的概念旨在发现同时满足内容所有者(想要保护他们的版权的人)和内容消费者(想要无限制地使用内容的人)的兴趣的解决方案。基本原理是具有可控制的网络环境，在所述网络环境中只要内容不越过授权域的边界就可以相对自由地使用所述内容。典型地，授权域以家庭环境为中心，它也被称为家庭网络。当然，其他方案也是可能的。例如用户可以在旅途中随身携带具有有限数量内容的音频和/或视频便携式设备，并且在他的旅馆房间中使用该设备以便访问或下载在他家里的个人音频和/或视频系统上所存储的其他内容。尽管便携式设备在家庭网络外面，但是它是用户授权域的一部分。通过这种方式，授权域是用于允许所述域中的设备而不是任何其它设备访问内容的系统。

对于授权域使用等更广泛的介绍，参见S.A.F.A.van den Heuvel、W.Jonker、F.L.A.J.Kamperman、P.J.Lenoir，“Secure ContentManagement in Authorized Domains”，Philips Research，荷兰，IBC 2002会议出版物，第474页，2002年9月12-16日举办。

在某种程度上存在实现授权域概念的各种建议。

一种先前的解决方案包括基于设备的授权域。这种系统的例子是SmartRight(Thomson Multimedia)、xCP和NetDRM(Matshushita)。相同申请人在国际专利申请WO03/098931(律师案卷号PHNL020455)中例如给出了基于设备的授权域的进一步例子。

在典型的基于设备的授权域中，所述域由特定设备组和内容形成。只允许域的特定设备组访问、使用该域的内容等等。特定设备组的各个用户没有任何区别。

基于设备的授权域系统的缺点在于它们典型情况下并不提供用户所想要或需要的典型的灵活性，这是因为用户被限制在特定且有限的设备组。通过这种方式，不允许用户在他所选择的任何时间和任何地点运用其获得权利。例如，如果用户拜访朋友家，那么他不能在朋友的设备上访问他合法购买的内容，因为这些设备典型情况下并不是特定且有限的设备组的一部分，其中所述设备组形成了包括所述用户的内容的域。

另一种先前的解决方案是基于人的授权域，其中所述域是基于人而不是和基于设备的授权域一样基于设备。由相同申请人在序列号为IB2003/004538(律师案卷号PHNL021063)的国际专利申请中例如描述了这种系统的例子，其中把内容耦合到人，所述人然后被分组到域中。

在典型的基于人的授权域中，只允许特定且有限的用户组访问被绑定到该授权域的内容，但是例如可以使用任何相适应的设备。基于人的授权域与基于设备的授权域相比较典型地提供了更容易的域管理。

但是，基于人的系统要求人标识，其并不总是为用户带来方便或所偏爱。此外，你家里的客人可能想要访问你的内容。由于他并不具有该域的人id设备，所以他不可能访问内容。如果属于所述域的家用设备可以使客人访问域内容，那么这是优选的。

所以需要一种混合型基于人和设备的授权域，其具有每种系统的各自的优点。由相同申请人在序列号为03102281.7(律师案卷号PHNL030926)的欧洲专利申请中提出了这种混合型基于人和设备的授权域。在该申请中，提出了组合两种不同的方法来定义授权域的授权域。在设备和人方法之间的连接部分是域标识符。所述设备优选经由域设备证书(DDC)被一起进行分组，而人优选经由域用户证书(DUC)被单独地分组，并且其中内容直接或间接地链接到人。

然而，这种授权域的缺点在于当把内容例如从传送数字权利管理和/或CA系统导入(import)到域中时(典型为在设备上所进行的动作)，并不直接清楚所述内容必须归于哪个人。换言之，在导入时，系统需要关于必须把内容链接到谁的附加信息。

因此，需要一种简单的创建授权域的方法，其中所述的有关导入内容所需的附加信息是可以容易和/或直接地获得的。这种方法利用本相同申请人在序列号为04101256(律师案卷号PHNL040315)的欧洲专利申请中建议的授权域实现。在该申请中提出了产生授权域的方法，在该方法中选择唯一地标识授权域的域标识符，其中将用户绑定到所述域标识符，将内容项绑定到该用户，以及将设备绑定到该用户。并非将内容项、设备和用户中的每个绑定到授权域，仅仅将用户绑定到授权域，内容项和设备进而又被绑定到用户。

上述现有技术方法的缺点在于典型通过终端用户明确地管理授权域。这包含添加用户、设备和内容项到所述授权域，这需要相当大的精力耗费。

为了解决上述问题，特别是授权域的管理，本发明的目的是提供一种用于创建授权域的方法，该方法不需要如所指的授权域的明确管理。

该目的利用在一个设备上创建授权域的方法实现，该授权域用于在第一人和第二人之间共享内容项的权利，所述第一人被绑定到该权利，所述设备被绑定到该第一人，该方法包括：

-将所述设备与第二人相关联；以及

-响应于所述关联授予第二人所述权利。

所述方法借此在设备上创建用于在第一和第二人之间共享内容项的权利的授权域，这是因为给第二人授予所述第一人被绑定到的权利。

所述设备可以包括用于现有技术授权域所使用的装备，像音频和/或视频播放器、机顶盒、播放mp3文件的便携式播放器、个人计算机、流传送实时内容项的广播计算机等等的任何一部分。

所述授权域在设备上创建，正如从第二人被授权行使第一人的权利可明显看出。所述授权域存在于设备上。为了授权域的安全，如在现有技术中已知的那样所述设备需要是相适应或可信的设备。只有实施设备上的授权域的设备才能够行使所述权利，例如解密和再现内容项。该设备可能必须证实其可信性和相适应性来接收许可证(license)或密钥。对于信任建立和设备认证已知有许多协议。为了有效地限制授权域的大小，设备本身可能需要在大小方面受到限制，例如不允许设备功能分布在网络上。

所述权利可以例如是访问或再现内容项的权利。进一步的例子包括接收、发送、打开、关闭、解密、加密、解码、编码、缓冲、存储、修改、处理、流处理、加水印、或删除内容项的权利。所述权利可以涉及单个内容项，但是它另外地可以涉及另一个内容项，或一组内容项。

所述内容项可以包括实时音频和/或视频资料、或像多媒体娱乐、一件艺术品、游戏等等的其他资料。该内容项可以具有像在存储介质如光盘、磁盘、固态存储器、只读存储器、USB钥匙、智能卡等等上的文件的格式。所述文件可以包括要在中央处理器上执行或解释的像汇编代码、编译器输出、字节码等等的指令。

应该注意到术语人旨在覆盖人类或替换地表示人的令牌，或二者的组合。该令牌可以例如是识别设备、智能卡、移动电话、rfid标签等等。替换地，该令牌可以被用于例如识别或认证人，增强用于用户的方法的便利性，因为令牌可以例如提供认证人所需要的凭证。一个例子是设备绑定第一人，因为第一人将智能卡放置在设备的顶部，并且这样例如通过近场通信触发了智能卡和设备之间的通信，从而给设备提供在该卡中存储的第一人的凭证。

上述术语人的概念适用于第一人和第二人。

在例如完成登录过程之后或作为该过程的一部分或在执行交换凭证的协议之后所述设备能够绑定到第一人。

所述设备能够例如通过第二人在设备上识别，或通过第二人按压设备上的按钮，关联到第二人。

被绑定到所述权利的所述第一人意味着在应用方法之前，第一人已经有权行使设备上内容项的权利。这可以利用绑定第一人到所述权利的现有步骤实现。这个步骤可以通过例如第一人购买或租用权利，或者通过第一人购买像智能卡的令牌实现。

被绑定到第一人的所述设备意味着在应用方法之前，该设备已经被绑定到第一人。这可以利用第一人登录到设备上或在该设备上进行识别或认证的现有步骤实现。

在本方法的第一步骤中，所述设备被关联到第二人。这可以以若干的方式实现。在第一种方式中，所述设备响应于第二人按压设备上的按钮关联到第二人。在第二种方式中，第二人选择设备的菜单选项。在第三种方式中，所述第二人登录到设备上。在第四种方式中，所述设备例如通过第二人携带发射机应答器或RFID标签，检测第二人接近设备。再一种方式有可能是触发设备关联第二人。关联到第二人比与绑定到第一人较不安全。可替换地，设备关联到第二人可以包括设备绑定到第二人。因此所述关联可以通过绑定第二人实现。这种关联的优点包括绑定人所使用的相同过程可以用于关联人，以及所述关联可以更为安全。

在本方法的第二步骤中，第二人被响应于所述关联而授予权利。作为授权的效果，第二人被添加到授权域。在执行本方法之前，第二人可能无权行使所述权利，但是在执行本方法之后，第二人有权在设备上行使权利。所述授权不需要将该权利转移到第二人。该授权具有第二人可以在该设备上使用或行使权利的效果。

本发明至少在某种程度上基于如下观察：所述设备响应于设备绑定到第一人，可以在该设备上为第一人创建授权域，以及响应于设备关联到其他人，所述设备可以添加其他人到授权域。可以认为响应于设备绑定第一人而创建授权域。该授权域仅仅随着设备关联到第二人而变得明显，这是因为当设备仅仅被绑定到第一人时有很少共享。

根据本发明方法的其他优点包括该方法容易理解，因为该方法仅仅依赖于对于终端用户来说熟悉的概念。而且，不需要在实际使用这些设备和内容之前单独管理设备和内容，现有技术解决方案典型需要这种单独的管理。进一步，授权域的概念对于终端用户可能表现不自然，因为它不映射到用户自然地已经知道的任何事情。而且该方法节省必须的管理动作，以及不需要持久存储授权域配置，从而不需要回答像在哪里存储信息和如何发布信息的费解的问题。进一步，该方法减少了对于因特网连接的需要，因为所述设备可以是单独的。另外，该方法使得能够相对容易地定义限制授权域的规则，以及该方法自然地区别家庭成员和不其享设备的其他人。

有利地，所述方法具有权利要求2的特征。通过仅仅有条件授予所述权利，可以根据确定的条件而有效地限制授权域的大小。这样所具有的优点是所述授权可以根据若干参数而作出，从而创建授权域的方法更好地匹配发现人和内容产业之间利益平衡的商业需求。还应该注意到如果没有权利要求2的特征，由于权利要求1规定两个人都可以访问所述设备因此所述授权域受在大小方面是有限的。

所述确定可以典型地通过利用软件评估布尔表达式而被执行。如果评估所述表达式产生值真则所述条件成立。该条件可以由若干的准则构成。

有利地，所述方法具有权利要求3的特征。通过建立时间间隔，和根据时间间隔来确定，所述授权还变得取决于时间或动态的方面。所述条件可以明确取决于时间，例如其中仅在特定的日历日子、或在绑定第一人之后的两个小时等等允许所述授权。这使得例如从设备到第一人的绑定能够自动的过期，包括诸如从系统删除遗忘的绑定，和该系统对于随着时间的过去打破信任来说是故障安全的优点。

有利地，所述方法具有权利要求4的特征。在设备中保存相关事件的历史使得所述条件，并因此使得所述授权能够经受各种限制。这允许授权域更好地匹配特定商业场合或使用环境。例子包括所述权利可以仅可以被授权一次给第二人的限制，和基于从设备到第一人绑定的最大数量授权的限制，以及对于每一天来说所述权利可以仅被授权给总共至多四个不同的人的限制。

有利地，所述方法具有权利要求5的特征。该方法还可以包括行使权利，因为这可以通过一口气授予和行使所述权利而简化实施授权域的大小。这可以例如节省系统实现复杂度，因为(1)可以通过终端用户行为例如对内容项的规则操作触发授权域的创建，(2)这是相对容易实现的和(3)可以导致对于终端用户来说所述方法和系统的简单概念视图。另外，如果单个处理器运行单个软件例程，而不是分布所述授权和行使，这可以例如节省上下文转换。该行使可能需要在所述设备或在其他设备上存储、访问、检索、解密、处理、和再现内容项。

有利地，所述方法具有权利要求6的特征。如果所述关联包括认证第二人以使其通过设备被绑定，防止内容项权利的未认证使用。这可以增强系统的安全性和提高授权域的紧密性(tightness)。

有利地，所述方法具有权利要求7的特征。认证第二人防止权利被授予给第二人的假冒者。登录的优点是可以重用用户登录到设备的现有和紧密的基础设施。所提供的身份和/或密码可专用于该设备。使用智能卡的优点是它是廉价的和防止窜改的硬件以及可以为用户提供方便。进一步，智能卡可以存储权利要求4的历史。使用令牌提供直觉的使用以及令牌可以容易地销售和被人所携带。使用近场通信可以在短距离上以少许的成本提供安全通信，并且增加便利性。提供生物统计学(biometry)提供了人不能够忘记它或遗忘它的便利性，这是因为它被固有地携带在人周围，从而对于人来说生物统计学总是可获得的。提供人物理上位于设备邻近的验证可以减少人与设备的明确交互作用的需要，因为接近设备对于关联和/或绑定而言就足够了。

有利地，所述方法具有权利要求8的特征。评估至少一个准则进一步增强匹配该方法和商业需求的灵活性和通用性。将设备关联或绑定到其他人的准则使得产生例如只有第一人和第二人可以在该设备上共享权利的方案。将设备关联或绑定到超出了门限的数量的其他人的准则，使得产生例如至多该数量的其他人可以在该设备上共享权利的方案。将其他设备绑定到第一人的准则使得产生例如第一人不可以被绑定到其他设备以在该设备上共享权利的方案。将其他设备关联到第二人的准则使得例如产生第二人不可以被关联到其他设备以在该设备上共享权利的方案。将一个数量的其他设备绑定到第一人以及该数量超出门限的准则，使得产生例如第一人可以至多被绑定到该数量的其他设备以在该设备上共享权利的方案。将一个数量的其他设备关联到第二人以及该数量超出门限的准则，使得例如产生第二人可以至多被关联到该数量的其他设备以在该设备上共享权利的方案。所述设备在时间间隔之外的瞬间绑定第一人的准则，使得产生例如像快乐时间的方案，其中在时间间隔内的绑定使得能够共享所述权利。确定和设备绑定第一人的瞬间之间的时间间隔超出门限的准则，使得能够产生例如随着时间在该门限已经过去之后所述绑定过期的过期方案。确定和设备最后授予所述权利的瞬间之间的时间间隔低于门限的准则，使得能够产生以门限为倒数的频率最大化随着时间过去授权的速率的方案。在时间间隔中授权瞬间的数量超出门限的准则，使得能够产生时间窗口的方案。在时间间隔中关联瞬间的数量超出门限的准则可以用于最大化随着时间过去授权的速率。这些准则中的每个准则提供增加所述方法通用性的优点。

如果满足至少一个评估的准则确定条件不成立具有决定退出(opt-out)方案的优点，其中可以随意地添加附加的准则而不改变已经存在的准则，并且不危及大小限制。

有利地，所述方法具有权利要求9的特征。取消(revoke)先前授予的其他权利是一种保持在设备上同时授权数量不改变的简单方式，同时考虑到不同的人随着时间的过去获得被授权的所述权利。这可以用于限制授权域的大小。类似地和所述授予一样，取消不必需要转移权利。相反，设备可以被安排用于禁止第二人在取消之后使用或行使权利。所述其他内容项可以是仅提供内容项的同时授权限制的内容项。所述其他人可以是第一人。其他人可以是具有最旧授权的人，或具有最新授权的人等等。这可能导致将会首先取消例如‘拥有’授权最长时间的人的方案。

基本上，由于设备被绑定到第一人，本发明方法的授权步骤允许授权域增加。类似地，由于设备被解除到第一人的绑定所述授权域可以缩小。这可以被表述为：所述方法还包括响应于设备解除绑定第一人，取消先前授予给第二人的权利。如果例如第一人明确注销所述设备，则第二人不再被允许使用权利。由于设备不再被关联到第二人所述授权域可以缩小。这可以被表述为：所述方法还包括响应于使设备分离第二人，取消先前授予给第二人的权利。如果例如第二人明确注销所述设备，第二人不再被允许使用权利。这些措施用于实施根据需要在所述授权域上施加的大小限制。

还存在若干方式放松对于绑定、解除绑定、关联和分离的顺序要求，同时保持授权域的基本功能。

在第一种方式中，所述方法还可以包括仅响应于定时器的到期解除绑定第一人。该定时器可以设置成在预定的时间，或者自设备绑定到第一人已经过去一段时间之后而到期。这允许第一人例如从设备注销一段时间周期，其中第二人仍可以响应于所述关联被授予权利。

类似地，但是在第二种方式中，所述方法可以包括保证宽限期，其中在第一人从设备解除绑定之后第二人仍被授予权利。这允许第一人从设备解除绑定或注销同时第二人可以继续被授予权利。

在第三种方式中，所述方法还可以包括在一个时间间隔已经过去之后分离第二人。这保证了第二人有规律地再次关联。如果该方法包括响应于分离而取消授权这是特别有效的。

在第四种方式中，所述方法还可以包括在一个时间间隔过去之后取消授权。这提供了所述授权的自动到期。然而其他方式也是可能的。

可以加密所述内容项以及所述权利可包括访问用于解密内容项的解密密钥。因此所述方法还可以包括访问解密密钥和利用访问的解密密钥解密内容项。

根据本发明的设备、系统和令牌的有利实施例对应于方法的实施例并且同理具有相同的优点。

进一步，本发明还涉及在其上存储指令的计算机可读介质，这些指令使得一个或多个处理单元执行根据本发明的方法。

本发明还涉及通过根据本发明的方法或系统已经生成的授权域。

根据参考附图中所示的示例性实施例并且参考实施例的阐述本发明的这些和其他方面将会显而易见，其中：

图1利用结构关系示意性图示了内容、人、和设备200；

图2示意性图示了内容、人、和设备200之间的动态以及它们之间的关系；

图3示意性图示了用于在设备200上实施授权域102的规则的例子；

图4示意性图示了从设备200的观点出发在具有两个人和六个内容项的两个设备上的两个授权域的例子；

图5示意性图示了从人的观点出发在具有三个人和八个内容项的两个设备上的三个授权域的例子；

图6示意性图示了根据本发明的数字权利管理系统400的实施例，其为适应的授权域102数字权利管理系统400。

图7示意性图示了根据本发明包括智能卡阅读器的设备200的实施例。

图8示意性图示了根据本发明方法100的实施例的某些使用情况。

图9示意性图示了根据本发明方法100的实施例的两个其他使用情况。

图10、11和12示意性图示了根据本发明方法100的实施例的时序图。

在整个附图中，相同的附图标记指示类似或相应的特征。在附图中指示的部分特征典型以软件实现，并且同样地表示诸如软件模块或对象的软件实体。

在创建授权域102的当前方法中，典型通过用户管理授权域102。这些方法和创建的授权域102可能对于用户难以理解这是因为它们不与现实的概念或对象直接相关。

典型地，授权域102系统400包括限制授权域102的大小的装置。这可以通过限制113作为域的一部分的设备的数量，或通过限制113作为域一部分的用户的数量实现。

在某些已知的系统中，在技术上难以管理表示授权域102状态的信息对象。为了确认用户可以使用设备200再现内容项104，网络访问定位于因特网上包含状态信息的设备通常是必须的。例如，Fairplay，耦合至Apple iTunes的数字权利管理解决方案，通过允许用户在相同的时间登录到三个计算机上，从而允许他在多个计算机上欣赏他的内容。但是这种登录过程要求用户在线连接到因特网并且要求与因特网上的后端系统400进行交互作用，这可能对于用户来说是不想要的并且是不方便的，或者它可能在某些情况中在技术上是不可能的或者不适合于一定的用户接口。

不包括访问多个机器上内容的概念的其他数字权利管理系统简单地限制对一个设备200的访问。这违反了大量的用户要求以及像转移个人使用的内容到另一种环境如汽车、或工作中的情况。

为了解决上述问题，根据本发明的方法100基于对于授权域102的用户来说已知的概念。如果以问题域中熟悉的术语处理使用授权域102，它可以被简化。所以，方法100基于在图1中图示的三个概念：

1.人105、106，识别个别的用户。

2.表示例如能够被购买、拷贝、再现等等的多媒体内容的内容项104。

3.设备200，例如能够对内容执行动作如拷贝、再现等等的具有多媒体或存储能力的设备。

应该注意到这些概念是熟知的并且已经被应用在授权域102解决方案中。但是，利用本发明的方法100，所述概念及其使用之间的关系不同。方法100使用三个概念之间的两个直接的关系：

1.存在从人105、106到内容104的关系107、110。人持有权利103对内容104执行一定的动作。

2.存在从设备200到人105、106的关系108、109。设备200持有(若干)人105、106、120的身份。该身份可以以任何适当的形式像唯一标识符、证书、密钥、或用户参考等等被持有。

这些关系的方向是重要的。人105通过权利103绑定到内容104。从内容104到人105没有直接的关系，这意味着内容104可以被绑定107到许多人105。从内容项104不能直接地看出谁具有内容项104的权利103。在原理上必须检查每个人105他是否具有内容104的权利103。

相同的推理适用于设备200和人105、106之间的关系。每个设备200可以持有人105、106的身份。从人105到设备200没有直接的关系。每个人105可以将其本身注册到许多设备200。如果想知道哪个设备200在被人105‘使用’，必须检查每个设备200以查看是否它持有人105的身份。

根据本发明系统400中的关系107-110基于用户的发起创建。该用户控制关系107-100。

人105和内容104之间的关系107例如当用户创建内容104时，或当用户购买访问一定内容104的权利103时创建。用户可以明确地放弃对内容项104的权利103。这将会导致关系107的移除。例如，在一种情况下，对内容项104的权利103可以被转移到另一个人120，例如作为礼物。

同理设备200和人之间的关系108、109基于用户的发起创建。设备200可以绑定108到人105。这种处理在本文中还被称为登录。人(用户)可以通过例如在设备200进行识别来触发绑定108。在登录期间，设备200可以获得和持有人105的身份。

相反的处理被称为注销或解除绑定。设备200可以解除绑定已绑定的人。人(用户)可以例如通过明确的注销明确地触发所述解除绑定，强制设备200删除与人身份的关系108。

设备200可以类似地绑定108第一人105，关联109到第二人106。关联109人105、106的要求可以较绑定108人105、106的要求不是那么严格。

内容项104的条件使用被称作内容项104的权利103。内容项104的权利103可以包括访问、再现、修改、所有权等等。内容项104可以例如通过设备200访问或在设备200上被再现。

如在图2和3中所示，并且根据本发明，如果内容项104与已经例如登录到设备200的人相关107，则设备200仅被允许行使权利103，例如访问或再现内容项104。这保证了用户必须例如登录到设备200以便能够在那里再现他的内容。如果用户未被绑定108，设备200没有再现该内容的特权。进一步，如果设备200关联109到第二人106，该第二人则被授予110在设备200上对内容项104的权利103。

为了限制授权域102和实施边界，设备200可被安排用于仅仅在一段时间周期上持有一组有限的人身份。为了在空间上限制授权域102的大小，它可以被自适应以便当人位于设备200的附近时仅仅能够执行登录。

在根据本发明的数字权利管理系统400中，如在图7中所示，授权域102具有以下的特性：

1.授权域102通过用户与设备200交互的方式形成。

2.授权域102包括经常共享设备200的人可获得的所述组内容项。

3.授权域102可以通过以下组合进行大小方面的限制：

a.登录设备200的到期，和

b.通过物理标识的方式对每个人登录的限制。

根据本发明方法100、数字权利管理系统400和授权域102的优点包括：

1.几乎不存在任何用户管理的必要。用户唯一需要的管理是购买内容项和登录到设备。

2.其相对简单所以对于用户更易于理解。

3.用户并不被限制于使用一组有限的设备或内容项。

4.例如在家庭中经常共享设备200的用户，可以容易地共享内容。但是，与不经常物理共享设备200的人，例如典型在Kazaa用户之间共享内容项104，变得不可能或至少是不实际的。

5.增强的用户隐私，因为不存在能够跟踪个别用户的内容项使用的中央服务器。

6.系统400相对简单，因为它仅仅需要跟踪少数关系。另外，在设备上分布跟踪116，以便它良好地定标(scale)。

7.每个设备200需要持有仅仅少数人的身份。

8.人仅仅被绑定到内容项，这在实践中可以使用通过设备所存储的许可证完成。

在以下的段落中更详细地说明上述的主题。

授权域102通过用户与设备200交互作用的方式形成。用户可以登录到该用户可以访问的设备200。在该用户直接周围的其他人也将这样做。通过共享设备，人们能够共享内容104。其他人将访问有关该用户凭证的内容，在人之间实际上不需要转移内容权利103。

典型地这些人是经常见面的亲密的朋友，或者处于同一家庭中的人。类似于正当使用的概念，在经常地相互使用内容的人之间可以允许共享。例如，如果Joost经常地与朋友共享CD，那么他也愿意共享他的在线购买内容。通过建立在自然的，现存的人们之间的现实世界关系上，期望人将不会感到自身在其数字内容的日常使用中被消弱或者限制。在不具有任何关系的人之间共享内容，如通过像Kazaa的工具所提供的内容是不可能的，因为这些人不共享设备200。

根据本发明的授权域102能够从不同的观点看待：

1.从设备200的观点出发，参见图4，授权域102包括与登录到该设备200的人相关的所有内容项。

2.从人的观点出发，授权域102包括被绑定到登录到所述人登录到的所有设备的所有人的所有内容项。这组内容项包括被绑定到所述人的内容，以及另外包括已经登录到该设备的其他人的内容项。后者因设备200的不同而不同。参见图5，所述人能够例如访问其他人的内容，但是仅仅是其他人所登录到的那些设备上的那些内容。

3.从内容的观点出发，授权域102通过具有对该内容的权利103的人所登录到的所有设备形成。

从用户来说需要的唯一管理是执行登录到他想要使用的设备。不进行明确的域创建或管理。

图4中描述的域是通过个别的设备所见的域。由于仅持有P2的身份，而不像D1持有P1的身份，D2比D1具有较小的域。

图5中描述的域是通过个别的人所见的域。在图5的实例中，人P1能够访问他自身和P2在设备200 D1上的内容。当他没有登录到任何其他设备200时，这是他能够访问的所有内容。

人P3能够访问他自身和P3在设备200 D2上的内容。当他没有登录到任何其他设备200时，这是他能够访问的所有内容。

人P2能够访问所有内容。但是，有一个限制。人P1没有登录到设备200 D2，人P3没有登录到设备200 D1。这意味着人P2能够访问在两个设备上他的所有内容，但是仅仅能访问设备200 D1上P1的内容和访问设备200 D2上P3的内容。

由于P1和P3不共享设备所以对于P2的限制是有效的。

例子可以置于如下的现实世界环境中。John(P1)和Charles(P3)相互并不认识，但是他们具有相互的朋友Wim(P2)。进一步，Charles(P3)拥有TV(D2)以及John(P1)拥有收音机(D1)。由于John和Charles相互不认识，他们不能够相互访问内容。而且，Wim只能够在他朋友的设备上访问其朋友的内容。

在另一种环境中，Ariana(P1)和Joost(P2)形成一个家庭并共享TV(D1)。Joost拥有偶尔拜访他的朋友Paul。Paul拥有流媒体(streamium)DVD播放器(D2)。Ariaha和Joost能在TV上相互访问内容。如果Joos t已经在他的其中一次拜访期间登录到设备200，Paul则能够在他的流媒体DVD播放器上访问Joost的内容。但是Paul和Ariaha相互之间没有直接的关系并且不能够相互访问内容。

在根据本发明的系统400中，将进行很少的一点管理。一个原因是在所述设备上高度地分布管理信息。每个设备200可以只记住一组有限的已经登录一段时间周期的人的身份。

进一步，不需要对单个人实施苛刻的并行登录的最大数量。正如他所希望的，人可以使用或拥有许多设备。为了防止505授权域无限地增加，设备200可以被如此安排以便使得登录到期。另外，如果想要需要用户或令牌的物理接近，可以采取措施来保证不可能远程登录到所述设备。

授权域102系统400的一个重要方面是授权域102大小的限制。必须不可能创建横跨整个世界的授权域102。根据本发明有三种机制限制授权域102的大小：

1.权利总是被绑定到单个人。这消除了权利由大群人所共享的可能性。权利可以例如是内容许可证。

2.通过限制113登录的数量，限制共享设备的人数，并因此对共享内容的可能性创建限制。登录限制可以使用两种补充的策略实现：

a.通过限制113特定人能够登录到的所述组设备，和

b.通过限制113每个设备200上的登录。

以下说明两种策略。

3.登录到期提供设备200共享的减少。如果人没有登录到设备200一段时间，他的登录可能到期并且将不再通过设备200再现他的内容。所以授权域102自动地适于反映‘现实世界’，在现实世界中人动态地形成和结束社会关系。当用户与设备交互作用时，系统400通过添加和删除共享可能性进行跟踪。添加通过共享设备的人实现。删除可以通过用户触发的明确删除，或通过到期而实现，其中系统400被安排用于在一段时间之后从设备删除身份信息。作为到期的结果，当人们不再碰面时，他们不再能够共享内容。所述时间值可以根据几分钟、小时、天、或月。

有限制每个设备200的登录数量的各种机制：

-可以给用户提供明确从设备200注销的可能性。在注销之后设备200不再再现与注销的人有关的内容。这限制了内容项的共享。

-设备200可以被安排用于限制可以同时登录的人数。这可以通过限制113设备200能够持有的身份来实现。身份数量的限制113限制了设备200可获得内容的数量并因此限制了在人们之间所共享的内容的数量。当达到身份的限制和执行新的登录时，可以删除其中的一个旧身份。这可以通过给用户提供选择将要删除的身份的选择，或者通过安排设备200来选择人，或用户和设备200的选择的组合而实现。用于设备200选择将要删除的身份的选项包括：从已登录的身份中随机地选择一个，选择最常使用的，选择最旧的，选择最新的，选择最少使用的等等。选择最旧身份的效果类似登录到期措施的效果。如果仅仅用户可以选择而设备200不可以选择，较不想要的情形变得可能，其中拥有许多内容的人执行可以接下来被永远共享的一次登录。登录的到期可以防止505这种情形。

-设备200可以限制每个时间帧登录的次数以便由设备200实施策略。这样可以防止505大规模的滥用，其中用户快速地登录和注销以获得实际上在世界中任何内容项104的访问。

并不是所有的设备必须遵守相同的限制113策略。根据设备200的本质和情况，可以使用不同的策略。例如，公共铁路车站中的收听设备200可能具有用于零大小身份的存储器或高速缓存器，这意味着只要你离开登录就会到期，从而有效地禁止其他人在该设备200上使用你的内容项。对于定位于家中的设备200，高速缓存器大小即同时绑定到设备的人的最大数量，可以被设置相对地大以容纳家庭的所有成员。

可推荐让身份高速缓存器的大小足够的大以容纳大多数人群。太小的高速缓存器大小可导致尴尬的情况，其中家庭有6个人，而设备200将仅仅持有5个登录。这些情况可以通过增加身份高速缓存器大小来防止。

可以动态地设置高速缓存器大小并因此具有弹性：当在小的时间周期中发生许多的登录，高速缓存器大小可以增加。而且，到期机制已经删除了旧的登录，限制113每个设备200的登录数量。这使得在一个设备200中持有的身份数量可以相当的大，同时仍然有效地限制113授权域102的大小。

限制登录的第二种方式是在选择他所登录到的设备中限制人。每人登录的次数可以明确地固定，但这可以被包含。另一种方式是通过受限制的用户移动性限制授权域102的大小。例如，登录可以需要对用户存在或令牌500存在的安全认证。尽管这种方式不提供明确的每个人登录次数的苛刻限制，它提供软的或更自然的限制。用户仅仅一次位于一个地点以及用户不到处都去，这样产生以下事实即用户只能够登录到能够访问的有限数量的设备。应该注意到这还适于每个设备200的限制，这是因为这都有关两个设备之间的交互作用。

在与到期机制的组合中，根据用户的移动性对于系统400中的用户来说大规模共享内容变得不实际，因为他必须到达在不同位置的许多设备以保持在这些设备上同时发生的登录会话。这对于抑制人大规模共享内容是足够的。在这种系统400中，共享仅仅在经常见面的人之间，以及一个家庭中的人之间是实际的，所述经常见面的人典型是亲近的朋友。

注意到对于不具有和令牌500像智能卡对接的装置的设备200，在例如USB上的认证协议是替换的，其中主机转移人凭证到设备200。这不如令牌500安全，因为USB具有模拟物理存在或接近的证明的最大电缆长度，但是这种证明是弱的，因为USB可以被在不同的介质上隧穿。所以这种替换需要特殊的措施。登录信息的大规模分布要被防止发生，因为这破坏授权域102大小的限制。所以，登录信息可以存储在防篡改令牌像智能卡、物理不可克隆功能(PUF)中，或基于例如人的生物统计学。

参见图6，在一个实施例中修改传统的典型授权域102数字权利管理系统400。授权域102系统400具有有关域管理的特殊部分，其中人和设备明确地使用两个证书，即DomainUsers和DomianDevices相互地进行相关。在修改的系统400中，删除并通过允许从设备200到人的简单直接关系的一个部分替换这个部分。

应该注意到有许多替换的实施例。事实上能够使用或修改许多现有的数字权利管理系统以实现轻量级授权域102的概念。

相适应的设备可以保持已经证明其到设备200的物理存在的人的用户ID列表。这可以使用智能卡安全地实现。在到期时间之后通过设备200使用户ID列表中的每个条目无效。这可以利用具有特定有效时间周期例如一个月的每个条目实现。在这个有效时间周期之后例如通过从列表中删除它使用户ID无效。人可以利用后来的登录刷新该条目。后来的登录可以复位所述到期时间。每当人例如通过证实他的存在进行登录时，所述条目可以变得在一个月内有效。

例如利用UPnP、OMA等等经由网络可以获得或交换内容和许可证。这是图7中内容管理器的作用。所述模型基于相适应或受信任的设备200的概念。假设只有实施至少一个上述大小限制策略的设备200能够解密和再现内容。所以设备200可能必须证明它的可信任性和适应性以接收许可证或密钥。已知有许多协议用于信任建立和设备200认证。这些协议可以包括在内容管理器中，因为在可以交换许可证之前需要建立信任。

相适应的设备200可以访问/或再现所有内容，对于该内容存在与它的用户ID列表中所保存的至少一个人相关的适当的许可证。这可以通过匹配用户ID与所述许可证来检查是否许可证属于已经登录的人而实现。如果该许可证包含在用户ID列表中存在的ID，设备200可以评估在本实施例中产生内容密钥的许可证，该内容密钥能够用于解密相关的内容项104。

在本实施例中智能卡包含认证119人的密码信息，例如身份证书和相应的公共/私有密钥对。所述智能卡支持适当的认证协议以认证人到设备200。该智能卡提供安全性以防止人的私有密钥被克隆和泄漏。

其中的一个好处是简化有关域管理的方法。创建、删除和改变域作为用户与系统400交互作用的自然顺序。明确的域管理不是必须的。在每个设备200上只拥有一小组用户ID。这些组可以本地创建和维护，避开了现有解决方案的许多不实际的特性。

用户信息集中管理的缺失带来了终端用户隐私的优点。设备不需要通知有关谁登录、谁何时访问什么内容。而且，所有许可证处理都是本地完成。不需要服务器交互作用验证是否允许设备200再现人的某些内容。跟踪特定人的活动是相对困难的。

应当认为本领域的普通技术人员知道如何利用本发明应用许可证和进行处理。

本发明的优点是对用户容易进行说明，因为在应用到期机制时基本上存在四个规则：

1.如果你想要使用设备200上你的内容项104权利103，则进行登录；

2.你能够使用最近登录到设备200上的其他人的内容项权利；

3.如果你不想其他人使用设备200上你的内容项104权利：则从该设备200注销；

4.如果你一段时间内没有使用设备200，你可能需要再次登录。

有时候，由于到期，用户可能不再使用其他人的内容。设备200可以具有足够的信息以在这些时间显示有用的反馈。设备200能够例如显示应该进行登录以使得能够再次再现内容项104的人的用户名。

图8所示为显示在设备200上随时间的动态特性的某些使用情况。在该图中，时间流从顶部到底部。垂直时间线被描绘用于称为用户A和用户B的两个人105、106、设备200、以及标记为内容X和内容Y的两个内容项104。从始发时间线到目的地时间线的水平箭头指示在相应实体之间交换的消息传送、功能调用、事务处理、或事件。

在图8中，假设内容X104被绑定107到用户A105以及内容Y104被绑定107到用户B105。

情况1所示为如果人105、106中任何一个人尝试访问103还没有由设备200所绑定108的人105的内容104发生的情况。首先，用户A105在设备200没有被绑定108到用户A105的情况下尝试访问1他的内容。第二，设备200确定2用户A105既没有被绑定也没有被关联到设备200。第三，设备200利用‘未关联错误’3返回3不允许用户A105访问103内容X104的指示。

情况1所示为用于用户A105的情况，但是当试图访问内容Y以及内容X时，用户B105、106将获得相同的结果。

情况2所示为绑定108到人105(用户A)的设备200是设备200的一种状态，在该状态中他的内容104是可用的。在人105已经登录4之后所述访问试图6接着发生9，所述登录使得设备200被绑定108到人105。

情况3所示为在关联10自身106之后，用户B106也能够访问103用户A105的内容104。应该注意到使用户B106的内容104不可用，因为用户B106关联10自身和设备200，并且仍未绑定18自身到设备200。

情况4所示为用户B106尝试访问103他的内容项104(内容Y)，他被关联10，但是未被绑定18到设备200。这种情况失败17。

情况5所示为在使用登录18之后用户B105被绑定108到设备200。结果使内容Y104可用，并且可以被用户B105以及用户A105访问103，因为两个用户都被绑定108到设备200。

情况6所示为响应于用户A105注销28，设备200解除绑定人105。结果，对于包括用户A105的所有人105、106来说，用户A105的所有内容104变得不可用。情况6通过用户B106尝试30访问103内容X104示出导致失败32的这种情况。

情况7所示为例如通过定时器的方式用户B105登录18的到期33。到期33具有和注销相同的结果，因为用户B105的所有内容104对于所有人105、106变得不可用。这通过用户B105访问103内容Y104的尝试35示出，这种情况导致失败37。

图9所示为两种进一步的情况，其图示了使用以下准则的权利要求8方法的实施例：绑定设备200到一个数量的其他人121，所述数量超出门限122；绑定一个数量的其他设备125到第一人105以及所述数量超出门限122；关联一个数量的其他设备125到第二人106以及所述数量超出门限122。如果满足至少一个评估的准则确定条件112不成立。

门限122可以被视为允许同时绑定数量的极限或最大值。

图9例子的前提是：

-设备X200已经几乎达到它的最大允许绑定数量的最大值，或者，换言之，门限122等于通过设备200所绑定的其他人121的数量。

-用户A，他可以是第一用户105或第二用户106，已经几乎达到他的允许绑定的极限，或者，换言之，门限122等于被绑定到称为用户A的人的其他设备的数量。

情况8所示为OK情况的绑定到设备X的用户A的例子，但是因此用户A达到他的极限，或者，换言之，被绑定到称为用户A的人的其他设备的数量现在超出门限122。

作为结果并根据本发明方法的本实施例，用户A不能够再绑定到设备Y。

情况9继续这个例子，假设作为在第一情况中用户A绑定的结果，设备X在他允许绑定的极限上，或者换言之，被绑定到设备的人的数量现在超出门限122。结果，可以允许用户B106被关联，但是绑定导致错误，因为在设备X超出了允许绑定的门限。在另一种情况中，例如在设备X上实现不同策略，同样由于设备X关联的限制所述关联也将会失败。

图10图示使用以下准则的权利要求8方法的实施例，即设备200在时间间隔133之外的瞬间126绑定第一人105。如果设备200是在太长时间之前绑定第一人105的，则不被授予权利，这有效地实现了绑定的到期。

图11图示使用以下准则的权利要求8方法的实施例，即在确定111和设备200绑定第一人105的瞬间126之间的时间间隔133超出门限122；在确定111和设备200最后授予权利103的瞬间126之间的时间间隔133低于门限122。如果两个瞬间126都位于时间间隔133内，则授予权利，但是如果任何一个瞬间126在时间间隔133之外，则不授予权利。这有效地实现了绑定的到期和授权的到期。

图12图示了使用以下准则的权利要求8方法的实施例，即在时间间隔133中授权110瞬间132的数目超出门限122，在时间间隔133中关联109瞬间132的数目超出门限122。这有效地实现了随时间授权或关联的数目限制。

而且在授权域102的领域之外，通过没有内容项104访问权利103的用户A106应用条件访问103设备200上内容项104的方法可以是有利的，借此如果用户B105可以访问103内容项104以及如果两个用户A106和用户B105都登录到设备200上，则允许110用户A106访问103内容项104。

在权利要求中，不应当将置于括号内的任何参考符号解释为是对权利要求的限制。词“包括”并不排除那些没有在权利要求中列出的元件或步骤的存在。位于元件之前的词“一”或“一个”并不排除存在多个这样的元件。

本发明可以借助于包括若干不同元件的硬件来实现，也可以借助于适当编程的计算机来实现。在列举若干装置的设备权利要求中，这些装置中的几个可以通过同一个硬件项来实施。某些措施在彼此不同的从属权利要求中描述，仅仅这个事实并不表明这些措施的组合不能被有利地使用。

Claims (15)

1.一种用于在设备(200)上创建授权域(102)的方法(100)，该授权域用于在第一人(105)和第二人(106)之间共享内容项(104)的权利(103)，所述第一人被绑定(107)到权利(103)，所述设备被绑定(108)到第一人(105)，该方法(100)包括：

-将该设备(200)关联(109)到第二人(106)；以及

-响应于该关联(109)授予(110)第二人(106)所述权利(103)。

2.根据权利要求1用于创建授权域(102)的方法(100)，还包括：

-确定(111)一个条件(112)是否成立；

-如果该条件(112)成立，通过仅仅授予(110)所述权利(103)来限制(113)该授权域(102)。

3.根据权利要求2用于创建授权域(102)的方法(100)，其中所述确定(111)包括建立(114)一个时间间隔(133)，并且所述确定(111)取决于所建立的时间间隔(133)。

4.根据权利要求2用于创建授权域(102)的方法(100)，其中所述确定(111)包括保存(116)以下组中至少一项的历史(503)：

-所述第一人被绑定(107)到权利(103)；

-设备被绑定(108)到第一人(105)；

-关联(109)设备(200)到第二人(106)；以及

-授予(110)第二人(106)权利(103)，

其中所述确定(111)取决于保存的历史(503)。

5.根据权利要求1用于创建授权域(102)的方法(100)，还包括行使(118)权利(103)，其中所述行使(118)包括在所述设备(200)或其他设备(124)上存储、访问、检索、解密、处理、和再现内容项(104)的该组中的至少一项。

6.根据权利要求1用于创建授权域(102)的方法(100)，其中所述关联(109)包括认证(119)要通过设备(200)进行关联的第二人(106)。

7.根据权利要求6用于创建授权域(102)的方法(100)，其中所述认证(119)包括以下组中的至少一项，即登录、提供第二人(106)的身份、提供密码、使用智能卡、使用令牌(500)、使用近场通信、提供生物统计学、提供物理存在的证明、提供第二人(106)物理位于设备(200)附近的证明。

8.根据权利要求2用于创建授权域(102)的方法(100)，还包括评估以下组中的至少一个准则：

-设备(200)被绑定到其他人(137)；

-设备(200)被绑定到一个数目的其他人(121)，以及该数目超出门限(122)；

-其他设备(124)被绑定到第一人(105)；

-其他设备(124)被关联到第二人(106)；

-一个数目的其他设备(125)被绑定到第一人(105)以及该数目超出门限(122)；

-一个数目的其他设备(125)被关联到第二人(106)以及该数目超出门限(122)；

-在时间间隔(133)之外的瞬间(126)设备(200)绑定第一人(105)；

-在所述确定(111)和设备(200)绑定第一人(105)的瞬间(126)之间的时间间隔(133)超出门限(122)；

-在所述确定(111)和设备(200)最后授予权利(103)的瞬间(126)之间的时间间隔(133)低于门限(122)；

-在时间间隔(133)中授权(110)瞬间(132)的数目超出门限(122)；

-在时间间隔(133)中关联(109)瞬间(132)的数目超出门限(122)；

其中如果满足至少一个评估的准则，则确定条件(112)不成立。

9.根据权利要求1用于创建授权域(102)的方法(100)，其中授权(110)包括取消(134)先前授予给其他人(137)的对其他内容项(136)的其他权利(135)。

10.一种在设备(200)上创建授权域(102)的设备(200)，该授权域用于在第一人(105)和第二人(106)之间共享内容项(104)的权利(103)，所述第一人被绑定(107)到权利(103)，所述设备被绑定(108)到第一人(105)，该设备(200)包括：

-用于将设备(200)关联(109)到第二人(106)的关联装置(201)，以及该设备(200)被安排用于：

-响应于该关联(109)授予(110)第二人(106)所述权利(103)。

11.一种在其上存储指令的计算机可读介质(300)，该指令用于使至少一个处理单元(301)执行根据权利要求1所述的方法(100)。

12.一种用于在第一人(105)和第二人(106)之间共享内容项(104)的权利(103)的授权域(102)，其中该授权域(102)通过根据权利要求1所述的方法(100)产生。

13.用于保证内容项(104)使用安全的数字权利管理系统(400)，其中该系统(400)被安排用于在设备(200)上实施授权域(102)，该授权域用于在第一人(105)和第二人(106)之间共享内容项(104)的权利(103)，所述第一人被绑定(107)到权利(103)，所述设备被绑定(108)到第一人(105)，该系统(400)包括：

-用于关联(109)设备(200)到第二人(106)的关联装置(201)，

以及该系统(400)被安排用于：

-响应于该关联(109)授予(110)第二人(106)所述权利(103)。

14.一种在设备(200)上创建授权域(102)的令牌(500)，该授权域用于在第一人(105)和第二人(106)之间共享内容项(104)的权利(103)，所述第一人被绑定(107)到权利(103)，所述设备被绑定(108)到第一人(105)，该设备(200)包括：

-用于关联(109)设备(200)到第二人(106)的关联装置(201)，

该令牌(500)包括：

-当令牌(500)接近设备(200)时触发所述关联装置的触发装置(501)，

该设备(200)被安排用于：

-响应于该关联(109)授予(110)第二人(106)所述权利(103)。

15.根据权利要求14所述的用于创建授权域(102)的令牌(500)，还包括：

-用于存储事件(505)的至少一个特性(504)的历史(503)的存储器(502)，所述事件(505)导致创建所述授权域，

该令牌(500)被安排用于：

-使用存储的历史(503)，设备(200)根据历史(503)来授予(110)权利(103)。

Images