CN101297317A

CN101297317A - 支持动态权限和资源共享的方法和系统

Info

Publication number: CN101297317A
Application number: CNA2006800394543A
Authority: CN
Inventors: T·塔; M·恩古耶; E·J·陈; X·王; T·德玛蒂尼
Original assignee: Contentguard Holdings Inc
Current assignee: Contentguard Holdings Inc
Priority date: 2005-10-24
Filing date: 2006-10-04
Publication date: 2008-10-29
Also published as: JP5486658B2; KR20080059465A; JP2009512955A; US20100186085A1; EP1941446A2; KR101332147B1; EP1941446A4; US20070094145A1; JP2012256374A; JP2012256373A; US7720767B2; US20150193603A1; WO2007050254A2; JP5342050B2; WO2007050254A3

Abstract

本发明涉及一种用于从权限导出子权限的方法，该权限包括各自指定权限一方面的多个组分。例如，组分可以是主体、动作、资源和条件。本发明还涉及一种用于将第一权限与第二权限集成的方法。此外，本发明涉及一种通过从权限导出子权限、允许使用子权限、以及将子权限与权限集成来共享权限的方法。

Description

支持动态权限和资源共享的方法和系统

技术领域

本发明涉及数字权限管理(DRM)和数字资源管理的领域，尤其涉及权限和资源的分发和共享。

背景技术

在现有技术的DRM系统中，在一组潜在用户-可能是人或诸如设备或服务的非人类实体-之间共享权限的功能在商用产品中可以获得。一组已授予权限以及如何共享这些权限通常以许可的形式指定。

专用于权限共享的一种许可形式称为并发用户许可(也称为站点许可或网络许可)。并发用户许可表示一个与网络服务器连结的许可的池；只有该网络上的用户能访问该许可，且只有最大数目的用户能并发地访问它。

在并发用户许可的常规实现中，能够访问该许可的每个用户被授予在该许可中指定的全部权限-即所有用户具有相同的权限。通过Macrovision FLEXnet对该类许可的更先进实现使并发用户许可的用户能够动态地共享一组权限。与指定每个用户可具有的一组权限不同，该许可指定所有用户能够共享的最大一组权限。这些权限如何共享取决于许可的购买者，并且可使用由选项文件和软件插件程序模块构成的定制访问控制机制来进行配置。选项文件可以用于控制许可池中对特定用户或用户组可用的多个许可的预约、用户或用户组能够访问的某些特定特征的预约、以及谁能够从池中借取许可以供离线使用的约定等等。为了示出由选项文件支持的特征中的一部分，“为用户robert预约1个install(安装)”为用户“robert”预约一个许可用于特征“安装”；“为会计组预约4个播放”为会计组预约4个许可以播放内容；“INCLUDE_BORROWplay USER tom”将用户“tom”包括在能够借取特征“播放”的用户列表中。除了共享之外，选项文件包括报告使用情况的选项。实际上也就是使该许可对用户强加跟踪使用情况的条件的一种方式。在确定用户是否能够访问内容的授权过程期间，该许可由一般许可管理员处理，而选项文件由插件程序处理以产生经组合的响应。

即使Macrovision FLEXnet的方法向用户给出根据其需要控制权限共享的额外机制，但是它的确具有其局限性。例如，许可被连结到网络服务器，只有该网络上的用户才能访问或借取该许可。而且，选项文件由人来配置并且容易出错。例如，当为部门中不同的组预约许可时管理员可能犯错，使得所预约的许可数超出池的容量。这种错误可能未被发现，并且某个组可能最终共享比预期更少的许可。选项文件以及因此的共享分布是清晰的文本文件。它只被管理员的口令所保护。许可服务器无法执行与对许可所做的相同权限管理任务，即验证选项的真实性和一致性。此外，基于选项文件对许可的访问控制限制了内容的便携性，因为只能在存在访问控制机制的情况下才能访问内容。当内容离开周界(网络服务器的域)时，则目标访问控制不再适用。

报告使用情况的硬编码选项只是许可购买者期望对许可用户强加的可能条件之一。许可的购买者应该能够向已分发的权限添加其自己的条件。定制访问控制机制只支持一个级别的委托。只有管理员能够向网络用户分发权限，而网络用户无法进一步分发其权限。这种委托在要求多级委托的分级结构中并不适合。共享集中在特定动作的访问方面或控制。这不是由规则或策略管理的通用资源共享机制。这种设计是以控制软件程序的动作为中心的。它并不旨在控制诸如文档、音频和视频文件的其它类型的数字资源。

通常允许在个人域内共享的另一种形式的许可称为终端用户许可。该类许可要求许可自身绑定到特定环境，诸如设备或用户ID。共享被限制在一组特定设备类型和/或最大数目的设备，这取决于权限所有者所支持的商业模型。或者所有共享设备具有相同权限，或者是每个设备具有自身的一组独立权限。

在终端用户许可的一示例中，微软视窗媒体权限管理系统可以向内容购买者授予一组权限，包括在他的PC上播放内容以及将内容传递到其它设备的权限。传递权限指定了有资格接收内容的设备类型以及这些设备的一些预定权限。作为传递的结果，并根据PC上的许可，每个目标设备具有其自身的一组独立权限。

在另一示例中，Real Networks(实际网络)Helix DRM向诸如PC、机顶盒、家庭媒体服务器或移动电话的全部网络连接设备(称为本机设备)提供获取自身内容和许可的能力。Helix设备DRM支持从本机设备向安全接收器设备的传递，该安全接收器设备是要求到本机设备的连接，以用于数据传递和该数据的商业规则的实施。安全接收器设备的示例包括个人音乐播放器、PDA和个人视频播放器。只有回放权限在安全接收器设备上是可用的。

在又一示例中，FLEXnet节点锁定许可可被绑定到特定设备，从而要求只能在该设备上使用该许可；或者它可被绑定到特定用户名，从而要求设备具有相同用户名以使用该许可。在两个要求中，前者不允许共享，而后者允许在具有相同用户名的设备之间共享，这并不十分实用，因为设备较佳地是根据名称来区分的。

在再一示例中，FLEXnet移动许可被绑定到FLEXnet ID。如果经授权的用户决定在新设备上使用该许可，则必须将包含FLEXnet ID的硬件(dongle)移动到新设备。

因此，终端用户许可所允许的共享方案并不能允许用户将所获取的权限用作他能够以他认为合适的任何方式使用的最大权限。

发明概述

于是，需要一种支持允许用户根据其需要共享权限的动态权限共享的系统。在该系统中，所获取的许可表示一权限池，其中每个权限可被进一步划分成子权限。子权限是用于权限分发的单元。

本发明涉及一种用于从权限导出子权限的方法，权限包括多个组分，每个组分指定该权限的一方面。该方法通常包括接收子权限的步骤，子权限包括这些组分中的至少一个，每个组分指定该子权限的一方面，以及确认该子权限的组分值能够从权限的对应组分值导出的步骤。例如，组分可以是主体、动作、资源和条件。

本发明还涉及一种用于将第一权限与第二权限集成的方法。在这种情形中，该方法包括能够通过验证第一权限组分的每一个可以从其对应的第二权限组分导出而确定第一权限是否能从第二权限导出的步骤，以及将第一权限的组分与第二权限的对应组分相组合的步骤。

此外，本发明涉及一种共享权限的方法。该方法包括从权限导出子权限的步骤，允许使用该子权限的步骤，以及将该子权限与该权限集成的步骤。于是，能够进一步导出子权限以供共享。此外，可以在许可中指定权限，并且该方法还包括在设备上安装许可，并且卸载许可，使它们可用于其它安装。

此外，本发明涉及一种通过允许从权限导出子权限来支持权限共享的系统，权限包括多个组分，每个组分指定权限的一方面，该系统包括用于接收子权限的接收模块，该子权限包括各自指定子权限一方面的多个组分；以及用于确认子权限的组分值能够从权限的对应组分值导出的确认模块。该系统还包括用于在设备上安装组许可、使其可用于共享并卸载已安装的组许可、使其不可用于在当前设备上共享的安装模块，跟踪安装/卸载组许可的安装跟踪模块，跟踪组许可的权限状态的跟踪模块，以及共享模块。

本发明还涉及一种用于从由授予者向被授予者授予的权限池导出子权限以用于控制计算环境内的资源使用的方法，该计算环境具有用于在环境内实施权限以根据权限来控制资源使用的机制，该方法包括：由被授予者从授予者处接收权限池(权限池与至少一个资源相关联)；由被授予者将权限池解析成各自指定权限池一方面的一个或多个权限组分；从权限组分的至少一个导出子权限组分，该子权限组分是对应权限组分的子集；以及从子权限组分创建指定子权限的许可，该许可可由计算环境实施以根据子权限并在权限池的范围内控制资源的使用。该方法还可包括以下步骤：向次被授予者授予许可；由次被授予者将许可中作为次权限池的权限解析成各自指定次权限池一方面的一个或多个第二权限组分；从第二权限组分的至少一个导出第二子权限组分，该第二子权限组分是对应的第二权限组分的子集；以及从第二子权限组分创建指定亚子权限的子许可，该子许可可由计算环境实施以根据亚子权限并在次权限池的范围内控制资源的使用。

为了示出子权限的已公开概念，考虑播放电子书(ebook)5次的权限。该权限的子权限可以是播放电子书n次的权限，其中0＜n＜5。只要共享是在池容量之内，该系统就允许用户自由划分和分发所获取的权限，无论是将权限分发给同一网络还是不同网络上的用户，还是所分发的权限是由接收者使用还是被进一步分发到其它获授权实体。该系统提供维护权限池的机制，诸如将权限划分成子权限并将子权限的剩余部分集成到池中以供它用的方法。

附图简述

图1示出已授予权限的数据模型与伪表达语言之间的映射。

图2示出伪表达语言的无条件权限。

图3示出具有播放次数条件的已授予权限。

图4示出具有时间条件的已授予权限。

图5示出具有一个以上条件的已授予权限。

图6示出图2所示的已授予权限的MPEG-REL表示。

图7示出图3所示的已授予权限的MPEG-REL表示。

图8示出图4所示的已授予权限的MPEG-REL表示。

图9示出图5所示的已授予权限的MPEG-REL表示。

图10示出基于主体而从图4所示的已授予权限导出的权限。

图11示出基于主体和条件而从图4所示的已授予权限导出的权限。

图12示出基于指定主体而从已授予权限导出权限的过程。

图13示出基于条件而从已授予权限导出权限的过程。

图14示出其中从可划分权限导出新权限的情形。

图15示出其中从无条件并发权限导出新权限的情形。

图16示出其中从条件并发权限导出新权限的情形。

图17示出从可共享权限导出新权限的情形。

图18示出组许可。

图19示出其中从组许可导出新组许可的情形。

图20示出导出第二代组许可的过程。

图21示出其中向组许可返回权限的情形。

图22示出图18所示的组许可的MPEG REL表示。

图23示出图19所示的组许可的MPEG-REL表示。

图24示出组许可的导出分级结构。

图25示出典型的DRM系统。

图26示出支持动态共享权限的基本组件。

图27示出支持共享权限的基本组件的一种可能配置。

图28示出支持共享权限的基本组件的一种可能配置。

图29示出支持共享权限的基本组件的一种可能配置。

图30示出协作应用的基本组件的一种可能配置。

图31示出安装组许可的进程。

图32示出跟踪信息的较佳结构。

图33示出卸载组许可的进程。

图34示出证明并验证权限状态的进程。

图35示出安装组许可的进程。

图36示出构建和授权一安装请求的进程。

图37示出通常作为共享请求一部分的信息。

图38示出用于处理共享请求的示例性数据流。

图39示出权限导出过程。

本发明的详细描述

定义：

“权限”表示权限被授予者通常可以在指定情况或一组条件下对资源执行动作或行动的声明。

“权限表达”是数字形式的权限体现。权限表达的示例包括，但不限于，基于XML的权限表达语言，诸如ISO MPEG REL、XrML、SAML、XACML、ODRL、OMA REL；数据结构；以及位字段。

“许可”是使用权限表达记载的规则的表示。许可传达所授予权限的全部背景。在许可中记载的信息可以包括权限的授予者、权限的被授予者、资源、批准以及相关联的条款和条件。

“资源”表示其访问、使用、操纵和/或分发都受一组规则或策略来管理和控制的任何内容、服务、甚至权限。

如在本公开中定义的“动态权限共享”实现以权限被授予者的判断而非权限授予者的判断来共享的能力。权限授予者指定权限的界限。在这些界限条件内，权限被授予者能够对特定权限共享机制作出决定。权限被授予者还可以是多层权限授予链中的授予者。

“权限共享”涉及将已授予权限划分成子权限。于是，将子权限发放给一组次被授予者。依此类推，每个被授予者或次被授予者能够进一步与授予链下游的其它次被授予者共享子权限。例如，中央图书馆X购买30个书籍副本的权限。图书馆X随后决定将其30个副本中的10个分发给其姊妹图书馆Y。由此，图书馆X担当向图书馆Y发放对10个副本的子权限的权限授予者。已从图书馆X收到10个副本的图书馆Y进一步与其本地图书馆之一Z共享这些副本中的3个。

本发明的第一方面是一种用于从权限导出子权限并将子权限集成回导出它们的原始权限的方法。贯穿本发明，子权限还称为导出权限。权限的导出和集成作为在权限被授予者之间共享权限的基本机制。权限被授予者通过为他人导出新的子权限来共享其权限。于是，每个新的子权限被授予者能够使用或进一步与他人共享该子权限。

本发明的第二方面是组许可，它在用于向一组一个或多个权限被授予者授予最大权限、并且允许这些权限在他们之间动态共享的系统中使用。组许可的共享机制是基于导出子权限并发放包含这些子权限的共享许可的能力的。共享许可自身可以是能够进一步共享的组许可。因此，组许可支持动态和多层权限共享。

本发明的第三方面是一种实现组许可来支持在权限被授予者组之中以及权限被授予者组之间的动态权限共享和多层权限共享的系统。所公开的系统能够在可以授予权限使用并跟踪权限使用情况和状态的任何DRM系统中实现。

本发明首先公开一种从给定权限导出子权限的方法。该方法确保子权限落在导出这些子权限的原始权限的界限之内。该方法可以用于动态权限共享系统中的权限划分。

每个子权限向下一权限被授予者(或多个被授予者)授予导出该子权限的部分或全部权限。于是，每个子权限的使用是从导出该子权限的权限或者从其它子权限独立授权的。因此，导出子权限的能力是动态权限共享的基本机制。

本发明还提出称为组许可的新概念。组许可是向一个或多个被授予者授予最大权限的许可，从而在组许可允许的情况下允许这些被授予者根据被授予者的共享策略来共享已授予权限。在组许可允许的情况下，共享成员可以扩展到这些被授予者之外，以包括其它获授权用户。

组许可的语义采用所公开的方法来导出子权限规范。组许可系统可以导出子权限作为其权限发放授权过程的一部分。仅当在发放时子权限落在许可的限制之内时，组许可系统才授权包含子权限的许可的发放。已发放的许可能够由被授予者使用或者进一步划分以包括组许可。此外，组许可的语义支持将子权限的未使用部分集成回导出子权限的权限中。

本发明还提出一种处理组许可以便在权限被授予者之间动态共享的示例性系统。该系统还具有将未使用的共享权限集成回组许可的能力。所公开的系统包含一组基本组分，这些组分能够被设计成不同配置并集成到支持权限授权和跟踪的DRM系统中。除了较佳的示例性系统之外，其它实现可以被设计成结合所公开的概念。

导出用于共享的权限的方法

当前权限共享机制是针对特定应用而具体实现的，需要中央授权以控制共享，或者需要在特定环境内进行共享。这种共享方案限制了权限被授予者共享其权限的能力。本发明公开一种基于权限导出的新权限共享方法。所公开的方法使权限能够在权限被授予者之间动态地共享，并且共享权限能够进一步与其它权限被授予者共享。所公开的方法是普适的；它们能够应用到需要权限和资源共享的任何系统。

本发明首先介绍一种能够映射到现有权限实现的一般权限数据模型。然后，本发明公开一种从已授予权限导出子权限并将子权限集成回原始已授予权限的方法。连同导出权限的方法一起，本发明还描述所公开方法如何能被应用到当前共享方案以解决其某些限制。

权限的数据模型

权限的一般数据模型u可以表示如下：

u＝(p，a,r,c)

其中，

p是向其授予动作a的主体、一组主体或匿名主体。因此p表示权限被授予者或多个被授予者。

a是允许p执行的动作或行动。

r是与动作a相关联的资源，以及

c＝{ci|i＝0..n}是构成p可以对r执行a所处的指定情况的一组条件。c_i被称为与u相关联的条款和条件。

将在u中指定的p、a、r和c_i的每一个被称为已授予权限u的组分。出于说明目的，该一般数据模型可以映射到以下伪表达语言：

GRANTED RIGHTS(已授予权限)

PRINCIPAL(主体) p

ACTION(动作) a

RESOURCE(资源) r

CONDITIONS(条件) c

图1示出权限u(100)的数据模型与以上伪表达语言101之间的映射，其中已授予权限u映射到表达“GRANDTED RIGHTS(已授予权限)”，主体p映射到表达“PRINCIPAL p(主体p)”，动作a映射到表达“RIGHTS a(权限a)”，资源r映射到表达“RESOURCE r(资源r)”，并且条件c映射到表达“CONDITIONS c(条件c)”。

权限的该数据模型也适于通用资源共享。当a被定义为诸如“使用”或“拥有”之类的普通动作时，该数据模型以及本发明中公开的系统和方法能够用于实现由c中指定的条件所管理的广泛资源共享。在这种情况下，权限u中指定的动作a对任何使用都开放。因此，本发明剩余部分中公开的共享系统和方法可被视为资源共享系统和方法。例如，计算资源的所有者旨在共享CPU循环以便于对学术研究项目进行并行处理。所有者不想要获知将由可信同事使用闲置CPU循环执行的程序的具体类型。在这种使用情况中，所有者发放权限u，该权限将主体p定义成可信研究团体中任何成员、将动作a定义成任何使用、将资源r定义成CPU循环、以及将条件c定义成10pm至6am之间的任何时刻。通过这种已授予权限，允许可信研究团体的成员在10pm至6am之间共享CPU循环。在该实例中，共享的主要目标是资源r而不是动作a。

本文描述的以下附图提供以上述伪表达语言表达的已授予权限的示例。图2示出不带条件的已授予权限120，其中标识为Alice的主体被授予观看标题为“Gone With The Wind(乱世佳人)”的DVD的权限。图3示出带有一个条件的已授予权限130。标识为Music Club(音乐俱乐部)的主体被授予播放LouisArmstrong的CD“What a wonderful word(世界多精彩)”的权限。已授予权限具有将CD播放限制为100次的条件131。图4示出带有一个条件的已授予权限140。标识为Music Club(音乐俱乐部)的主体被授予播放Louis Armstrong的CD“What a wonderful word(世界多精彩)”的权限。已授予权限具有将可以播放该CD的时间限制于不在2006年1月之后的条件141。图5示出带有两个条件的已授予权限150。标识为Music Club(音乐俱乐部)的主体被授予播放Louis Armstrong的CD“What a wonderful word(世界多精彩)”的权限。已授予权限具有将CD播放限制在100次的条件151以及将可以播放CD的时间限制与不在2006年1月之后的条件152。

即使出于说明目的而在本发明中使用以上伪表达语言，但是本发明并未限制于任何特定权限表达语言、数据结构、表示等。

权限的数据模型是多功能的，并且能够模拟任何形式的权限表达。例如，图6、图7、图8和图9使用MPEG REL(125、135、145和155)来表达与图2、图3、图4和图5中相同的已授予权限。

在另一示例中，以上权限数据模型能够用于模拟拷贝控制信息位(CCI位)的结构，它是表示诸如永不拷贝、自由拷贝、拷贝一代之类的受保护内容的保护状态的两个位，如下：

u＝(p＝空，a＝CCI，r＝空，c)

其中p是指内容接收设备，a是拷贝动作，r是指与CCI位相关联的内容，以及条件c是对拷贝动作的约束。这些约束包括永不拷贝、自由拷贝或拷贝一代。

在第三示例中，以下FLEXnet许可向能够访问许可服务器机器“lulu”的所有设备授予针对特征“f1”的两个许可、针对特征“f2”的六个许可以及针对特征“f3”的一个许可

“SERVER lulu 17007ea8

VENDOR已采样

FEATURE f1已采样1.001-jan-20052SIGN＝签名1

FEATURE f2已采样1.001-jan-20056SIGN＝签名2

FEATURE f3已采样1.001-jan-20051SIGN＝签名3”

通过使用以上权限数据模型，以上FLEXnet许可可以如下映射到三个独立权限。主体p是FLEXnet浮动许可中授权服务器的主机ID或者FLEXnet特征所绑定的节点的主机ID。在以上FLEXnet示例中，主体p是可以访问许可服务器“lulu”的所有设备。动作a是执行在FLEXnet许可的FEATURE(特征)行中指定的特征的权限。资源r是在FLEXnet许可中指定的特征。在以上示例中，资源r是FLEXnet的FEATUREf1、f2以及f3。条件c是在FLEXnet许可的FEATURE(特征)行中指定的限制。在以上示例中，FEATURE f1的条件是两个许可，FEATURE f2的条件是六个许可，以及FEATURE f3的条件是三个许可。

基于权限的数据模型，权限可以是无条件的，这意味着它不具有相关联的条件，诸如图2中所示的已授予权限。另一方面，权限可以是有条件的，这意味着它与一个或多个条件相关联，诸如图3和图4所示的已授予权利示例。

在已授予权限u＝(p，a，r，c)中指定的条件c通常是为了便于主体p对资源r执行动作a所必须满足的条件或者必须履行的义务。存在可与权限相关联的两种类型的条件，即无状态条件和状态条件。

无状态条件是不与状态相关联的条件。这些条件是为了实施已授予权限而必须履行的义务。它们不与已授予权限的寿命直接相关。无状态条件通常与商业规则(诸如支付方法、必须向各有关方进行支付的百分比等)、授权规则(诸如实施权限的寻找批准)、系统要求等等相关。

状态条件是与一个或多个状态相关联的条件。这些条件与在已授予权限的寿命期间的某些行动直接相关，诸如能够实施已授予权限的次数、可以实施已授予权限的时间窗等等。状态条件可以取决于其状态的特征而进一步划分成两类。

参考条件是在不修改它们的情况下读取状态的状态条件。通过这类条件，状态从当前值向下一值的转变与已授予权限的实施或使用无关。例如，图4示出约定可以实施已授予权限的时间窗的条件。在该示例中，状态的当前值继续随时间流逝而改变，无论是否实施了该已授予权限。

可分条件是读取和更新状态的状态条件。通过这类条件，状态从当前值向下一值的转变在每次执行该已授予权限时被触发。例如，图3示出约定已授予权限可以实施的次数的条件。在该示例中，每次实施已授予权限时，状态的当前值减小一。

为了结合条件对状态的依赖性，如上公开的已授予权限的数据模型u＝(p，a，r，c)可被扩展如下：

u＝(p，a，r，c_i＝＞Q_i：i＝1，...n)

其中(c_i＝＞Q_i：i＝1...n)是指Q_i是与条件c_i相关联的状态，其中i＝1，...n。如果条件c_i是无状态条件，则Q_i为空。权限的状态由与该权限相关联的所有条件的状态来表示。

权限的导出和集成

在已授予权限u＝(p，a，r，c_i＝＞Q_i：i＝1，...n)中指定的主体p可以表示一组主体而非单个主体。例如，图4示出向Music Club(音乐俱乐部)授予的播放Louis Armstrong的CD“What a wonderful word(世界多精彩)”的权限，该权限具有将实施限制于不在2006年1月之后的条件。“Music Club(音乐俱乐部)”是指一组人，并且作为音乐俱乐部成员的任何人都可以播放CD，只要当前时间不在2006年1月之后。

如果被标识为Alice的主体是音乐俱乐部的成员，则Alice能够实施在图4中指定的播放CD“What a wonderful word(世界多精彩)”的权限。然而，如图10所示，Alice还被授予了播放CD“What a wonderful word(世界多精彩)”的权限142，该权限具有与图4中所指定的己授予权限相同的条件141。对于主体Alice，图4和图10中指定的两种已授予权限是完全相同的。因此，由于图10中的已授予权限是图4中已授予权限的特定实例，图10中的已授予权限可被视为从图4中的已授予权限导出的权限。类似地，图11示出从图4中的已授予权限导出的权限143。在该实例中，条件144被改变，但仍然保持在图4中已授予权限的条件141的范围内。

与主体p类似，u＝(p，a，r，c_i＝＞Q_i：i＝1，...n)中的p、a、r、c_i可以分别单独指代一组主体、动作、资源或条件。因此存在不同权限在给定上下文中完全相同的情况。在这种情况下，这些权限相关，并且其一可以从其它权限导出。

导出规则

令u＝(p，a，r，c_i＝＞Q_i：i＝1，...n)和v＝(p’，a’，r’，c’_i＞Q’_i：i＝1，...m)为两个权限。如果m≤n并且应用以下规则，则认为v是从u导出的：

规则D1：p＝＞p’，a＝＞a’，r＝＞r’

规则D2：

&ForAll; i \leq m

，c_i＝＞c_i’

规则D2.1：如果Q_i是表示c_i可能状态值的无序集，则Q’_i＝Q_i，0-Q_i，其中Q_i，0是导出v之前u的状态。

规则D2.2：如果Q_i只包含表示c_i累积值的一个值，则||Q’_i||≤||Q_i，0||，||Q_i||≤||Q_i，0||以及||Q_i||+||Q’_i||≤||Q_i，0||，其中Q_i，0表示在导出v之前c_i的状态，并且符号||Q_i||表示Q_i的范数(即值)。

规则D2.3：如果Q_i是表示c_i的可能范围值的有序集，则

{Q^{'}}_{i} &Subset; Q_{i, 0},

并且Q′_i∩Q_i＝Ф，其中Q_i，0表示在导出v之前u的状态。

符号p＝＞p’表示p包含p’或者p导出p’或者p’是从p导出的。例如，Alice也已知为“Key Holder A(密钥持有者A)”，所以Alice是指“密钥持有者A”。确定p＝＞p’是否正确的规则是与应用相关的。然而，存在特殊情况：如果p’与p相同或者p’是p的实例或者p为空，则p＝＞p’。

规则D1定义，子权限必须仅指定由导出其的权限允许的那些主体、动作和资源。具体而言，规则D1对子权限要求如下。主体p’必须是从p导出的。作为实例，如果p是“来自部门X的任何雇员”，则在Alice确实是来自部门X的雇员的情况下，p’＝“Alice”被认为是从p导出的。动作a’必须是从a导出的。作为实例，如果a是“修改动作(包括注释动作)和进行变化的动作”，则a’＝“注释动作”被认为是从a导出的。资源r’必须是从r导出的。作为实例，如果r是“来自出版商Y的任何书籍”，则在“学习XML”是由出版商Y出版的情况下，r’＝“学习XML”被认为是从r导出的。

规则D2规定每个条件c’必须是从其对应的c_i导出的。条件状态的导出取决于该条件的类型、其可能的状态值、以及其当前状态值。规则D2.1-D2.3定义这种依赖性，如下所述。

为了说明D2.1，令c是将打印限制在多个不同章节的条件，诸如第1、3和5章，则Q＝{第1章、第3章、第5章}。对于第一子权限导出，有效的Q’集合是：{第1章}、{第3章}、{第5章}、{第1章、第3章}、{第1章、第5章}、{第3章、第5章}和{第1章、第3章、第5章}。在将{第1章}授予第一子权限之后，Q变成{第3章、第5章}而Q’只能是{第3章}、{第5章}和{第3章、第5章}之一。

为了说明规则D2.2，令c是将回放限制在3次的条件，则Q＝{3}。对于第一子权限导出，有效的Q’集合是：{1}、{2}和{3}。例如，如果{2}被授予第一子权限，则c的当前状态是1，并且Q’可以只是{1}。

为了说明规则D2.3，令c是将回放限制在11/1/2004与11/5/2004之间的有效时段的条件。令Q是11/1/2004-11/5/2004的所有可能子间隔的有序集，诸如{{11/1/2004-11/2/2004}，{11/1/2004-11/3/2004}，{11/21/2004-11/3/2004}}。在间隔{11/2/2004-11/3/2004}被授予第一子权限之后，Q变成{{11/1/2004-11/2/2004}，{11/3/2004-11/5/2004}}。

因此，以上定义的导出规则规定如果p包含p’，a包含a’，r包含r’，c_i包含c_i’，且

{Q^{'}}_{i} &Subset; Q_{i},

{&ForAll;}_{i} \leq m \leq n,

则已授予的权限v＝(p’，a’，r’，c’_i＝＞Q’_i：i＝1，...m)可以从u＝(p，a，r，c_i＝＞Q_i：i＝L，...n)导出。

注意，v可包含不能从u导出的条件。在本发明中，这些条件被称为“受约束条件”。受约束条件允许子权限的授予者在使用该子权限方面对权限被授予者进行进一步限制。如果子权限v包含任何受约束条件，则它有时被称为有条件的子权限。例如，如果Y部门实现部门目标的至少百分之八十，则X公司授予其Y部门10份DVD Z副本。当将v集成回u时，所有受约束的条件可被忽略。

p与p’之间、a与a’之间、r与r’之间以及c_i与c_i’之间的包含是与应用相关的。这些包含可以在应用中定义或者以权限表达进行表达。当在应用中定义包含时，该应用确定一个表达是否被其它表达包含。如果在权限表达中表达包含，则该应用可以通过对照权限表达评估这些表达来验证一个表达是否包含另一个表达。

当v＝(p’，a’，r’，c’_i＝＞Q’_i：i＝1，...m)是从u＝(p，a，r，c_i＝＞Q_i：i＝1,...n)导出时，v被认为是u或u的子权限的导出物。换言之，u被认为是v的集成。例如，图10和图11所示的已授予权限是图4中指定的已授予权限的子权限。如果v是从u导出的，则v被称为u的导出物或子权限。

图12示出已授予权限160的导出物。已授予权限160被授予主体图书馆A，并且具有与副本数相关的单个条件161。如果主体John Doe是图书馆A的成员，则可以从已授予权限160导出已授予权限162。在该实例中，已授予权限161包括两个条件。条件163给予John Doe单个资源副本。条件164对JohnDoe对该资源的使用指派时间约束。

类似地，图13示出供在另一设备上使用的已授予权限170的导出物。已授予权限170具有规定主体Jane可以使用资源的两个副本的一个条件171。导出权限172包括将Jane的使用限制在该资源的单个副本的条件173。

集成规则

集成权限的方法是导出权限方法的反转。

给定权限u和子权限v，将v集成回u的规则定义如下：

定义：令u＝(p，a，r，c_i，1＝＞Q_i ：i＝1，...n)是一权限，令v＝(p’，a’，r’，c’_i， ₂＝＞Q’_i：i＝1，...m)是u的子权限。如果m≤n并且应用以下规则，则权限u’＝(p，a，r，c_i＝＞Q^* _i：i＝1，...n)被定义为权限u及其子权限v的集成：

规则I1：p＝＞p’，a＝＞a’，r＝＞r’

规则I2：

&ForAll; i \leq m,

c_i＝＞c’_i

规则I2.1：如果Q_i是表示c_i的可能状态值的无序集，则Q’_i必须是表示c_i可能状态值的无序集并且

{Q_{i}}^{*} = Q_{i} \cup {Q^{'}}_{i} .

规则I2.2：如果Q_i只包含表示c_i累积值的一个值，则||Q_i ^*||≤Q_i||+||Q’_i||，其中||Q_i||表示Q_i的范数(即值)。

规则I2.3：如果Q_i是表示c_i的可能范围值的有序集，则Q’_i必须是表示c_i的可能范围值的有序集并且

{Q_{i}}^{*} = Q_{i} &CirclePlus; {Q^{'}}_{i},

表示与系统相关的定制并集操作。作为实例，系统可以定义范围的粒度，以及如何合并范围(包括在合并范围时如何处理间隙)。

规则I1定义了子权限必须只包含由导出它的权限所准许的那些主体、动作和资源。规则I2规定，每个条件c’_i必须从其对应的c_i导出。条件状态的导出取决于条件的类型、其可能的状态值、以及其当前状态值。规则I2.1-I2.3定义这种依赖性。特别地，规则I2.1表明，如果Q和Q’都是不同值的无序集，则经集成的Q^*是Q和Q’的并集。规则I2.2表明，如果Q和Q’各自具有表示累积值的一个元素，则经集成的累积值是这两个值之和。规则I2.3表明，如果Q和Q’是表示间隔的有序集，则经集成的Q^*是两个集合的并集。

可分权限、并发权限、可共享权限以及组许可

以上定义的导出规则是从给定权限导出子权限或者确定给定权限是否能从另一权限导出的一般机制。该规则指定，可以使用以下机制的任一个或两者来导出子权限：使用已授予权限的任何组分导出子权限或者划分任何状态条件以从已授予权限创建子权限。

然而，不同的应用可能只允许已授予权限的某些组分用于导出子权限或者只允许某些状态条件被划分以创建子权限。例如，图书馆应用可以允许使用在已授予权限中指定的主体来导出子权限，从而图书馆能够从向该图书馆授予的权利为其成员导出子权限。图12示出图书馆A为其成员John Doe从其已授予权限导出子权限。在图12中，子权限是基于主体导出的。

在另一示例中，家庭网络应用可以允许某些条件状态被划分。在这种情况下，家庭网络的用户可以从授予该用户的权限为用户的家庭网络内每个设备导出权限。图13示出其中用户Jane从Jane的已授予权限导出一权限以供在另一设备上使用的情形。在该示例中，子权限的导出是基于与授予权限相关联的条件状态的可分性的。

可以基于导出子权限的能力而将已授予权限分成以下类型：可分权限、并发权限、可共享权限以及组许可。以下描述每种类型的权限。

可分权限

可分权限是具有一个或多个状态条件的权限，它能够被划分以创建子权限同时该可分权限的其它组分保持不变。存在可分权限的许多用途。例如，它们可用于模拟消费者的公平使用权限。在获取权限之后，消费者可能将其划分成子权限以供在不同设备、不同位置、不同时间等使用。

当从可分权限导出子权限时，根据导出子权限的每一个中对应条件的初始状态以及该条件的状态函数，对原始的可分权限中每个可分条件的当前状态进行更新。例如，假设可分权限具有限制用户能够实施该权限的次数的条件，并且当前条件状态指示还剩余5次实施。当导出2作为最大实施次数的子权限时，发生导出的可分权限的该条件的当前状态被更新以反映三次剩余实施(从5次中扣除2次实施)。

可相对于原始可分权限的相同参考条件，对导出子权限的参考条件进行限制。例如，如果可分权限具有指定可以实施权限的时间范围的条件，则导出子权限也必须具有规定可以实施该权限的时间范围的参考条件，并且子权限的时间范围必须整个落在对该可分权限指定的时间范围之内。

因此，如果存在至少一个i使c_i是可分条件，则权限u＝(p，a，r，c_i＝＞Q_i：i＝1，...n)是可分权限。此外，如果以下成立，则v＝(p，a，r，c_i’＝＞Q’_i：i＝1，...m)是u的导出物或子权限：

存在至少一个i使c_i是可分条件；

v包含在u中指定的所有条件，使得c_i＝＞c’_i，i＝1...n，并且

{Q^{'}}_{i} &Subset; Q_{i},

&ForAll; i \leq m \leq n;

根据导出物v之前的c_i当前状态、导出物v的初始状态以及c_i的状态函数，对导出物v之后的u的每个可分状态c_i的当前状态进行更新；

对于所有参考条件c_i，c_i’是c_i或者c_i的限制。例如，如果条件c_i是不在时间t1之前并且不在t2之后，则导出条件c_i’可以是不在t3之前并且不在t4之后，其中t1＜＝t3＜＝t4＜＝t2并且符号＜＝是小于等于；以及

对于所有无状态条件c_i，c_i’是c_i。

图14示出从可分权限u(200)导出子权限v(210)的过程。在该示例中，可分权限u具有三个条件：

可分条件201规定10作为允许实施次数，且具有5次实施剩余的当前状态202；

参考条件203规定可实施权限的时间范围(不在2004年1月之前并且不在2006年1月之后)；以及

无状态条件204规定，广告Y必须在实施已授予权限时运行。

子权限v(210)是从具有同一组条件的u导出的。具体而言：

对于可分条件211，v具有规定2作为允许实施次数的条件。将u中相同条件的当前状态从5次剩余实施更新到3次剩余实施。

对于参考条件213，v具有规定可实施该权限的时间范围的条件。该条件是从u导出的，所以在v中规定的时间范围条件整个落入在u中规定的时间范围内。

对于无状态条件214，v具有与u完全相同的条件。

在导出之后，可分权限u(300)的当前状态205是3次剩余播放。

在该示例中，伪语言的格式被更改以反映已授予权限和条件的特征。因此“GRANTED RIGHTS(已授予权限)”被更改成“DIVISIBLE RIGHTS(可分权限)”，指示已授予权限是实际可分的。“CONDITION(条件)”被更改成“DIVISIBLE CONDITION(可分条件)”、“REFERENCE CONDITION(参考条件)”或仅仅“CONDITION(条件)”以反映条件类型。DIVISIBLECONDITION的声明包括条件的当前状态。

该格式变化并不提出任何具体实现。用于标识已授予权限和条件的类型的方法取决于实现。例如，类型可根据在表达式(如图14)中明确声明的名称来标识，或者通过使用任何其它机制来标识。然而，条件类型的显式声明的确有优点。同一条件(例如，允许实施的最大次数)可能在一个已授予权限中可分而在其它中不可分。可分条件的当前状态可在条件(如图14)内声明或者从已知授权源检索(诸如已授权跟踪设备、远程服务、中央服务等)。

并发权限

并发权限是可以基于主体导出子权限同时并发权限的其它组分保持不变的权限。在并发权限中，主体是指一组主体、具有多个标识的相同主体、或者两者。该组中的每个主体继承在并发权限中指定的相同权限。并发权限允许导出在已授予权限中指定的主体，使得能够为特定主体导出子权限。

并发权限可以包含状态条件，但是这些条件是不可分的。当从具有状态条件的并发权限导出子权限时，状态条件在子权限中原样再现(具有相同的状态值)。然后，对每个导出主体独立管理子权限中的条件状态。因此，每个导出主体单独维护状态以跟踪已授予权限的使用。

示例并发权限是将同一组权限传送到每个组成员的成员资格。在某些应用中，当权限使用设备不能证明特定主体确实属于在并发权限中主体所指定的组时，从并发权限导出子权限是必要的。

如果以下成立，则权限u＝(p，a，r，c_i＝＞Q_i：1，...n)是并发权限：

对于所有i，c_i不是可分条件；以及

存在至少一个p’，使得p＝＞p’并且权限v＝(p’，a，r，c_i＝＞Q_i：i＝1，...m)是u的导出物。例如，如果p是Music Club(音乐俱乐部)并且p’是音乐俱乐部的成员Alice，则p＝＞p’。在另一示例中，p是Alice，并且也已知Alice是“KeyHolder(密钥持有人)A”。则p＝＞p’，其中p’是“Key Holder(密钥持有人)A”。

图15示出授予音乐俱乐部的每个成员播放Louis Armstrong的“What awonderful world”CD的非限制权限的并发权限u(220)。在本示例中，主体JohnDoe是音乐俱乐部的成员。因此，John Doe可以导出授予主体John Doe播放同一CD的不受限制权限的子权限v(221)。

图16示出包含状态条件226的并发权限u(225)。在本示例中，并发权限指定，音乐俱乐部的成员能够将Louis Armstrong的“What a wonderful world”CD播放5次。导出之前的当前状态227是3次剩余。当导出子权限v(230)以及w(235)时，并发权限中状态条件的当前状态(来自初始最大值5次的3次播放剩余)分别在每个子权限中再现为条件231和236。在导出之后，子权限v和w的条件状态被独立跟踪。可以在中央授权服务器、用户设备等上对该组每个成员的条件状态进行跟踪。

可共享权限

可共享权限是可基于其可分条件(如果存在)的主体和状态从其导出子权限的权限。因此，可共享权限指定可以在所指定主体之间共享的最大权限。当导出主体从可共享权限导出子权限时，可以根据向导出子权限分配的条件状态而从可共享权限扣除条件状态。

并发权限和可分权限是可共享权限的特殊情况。具体而言，并发权限是不带可分条件的可共享权限的特殊情况，并且可分权限是带有至少一个可分条件但带有不可能从其导出的主体(该主体未指定组)的可共享权限的特殊情况。

可共享权限与并发权限之间的主要差异是如何跟踪导出子权限中状态条件的状态。由于并发权限中状态条件并不可分，所以可以单独跟踪每个导出子权限的条件状态(分别对每个子权限的主体跟踪状态)。由于可共享权限中的状态条件是可分的(所有导出子权限指向每个可分条件的相同状态)。这导致子权限的主体共享条件状态。

图17示出可共享权限u(240)，该权限向音乐俱乐部授予拥有“What awonderful world”CD的100个副本并将这100个副本在其成员之间分发的权限。在本示例中，可分条件的当前状态241指示迄今为止已经分发10个副本，剩余90个副本。在子权限v(242)中，作为音乐俱乐部的成员，主体John Doe被授予CD的一个副本。子权限v是从可共享权限u导出的，具有一个副本的状态243。可共享权限u中的可分条件的当前状态244减小到89个剩余副本。

存在可利用可共享权限的特征的许多应用，包括可分权限和并发权限的应用。以下描述称为“组许可”的一个这种应用。

组许可

组许可是向一个或多个获授权用户授予最大权限的许可，从而允许获授权用户根据其所拥有的共享策略在它们之间或者与另一组获授权用户共享已授予权限，允许获授权用户返回所共享的权限或者进一步与其它获授权用户共享每个共享权限。因此，组许可是允许子权限被返回或集成回组许可的可共享权限。

如本发明中所定义的，许可是向某些用户授予的权限。因此术语“许可”和“权限”是可以互换的。许多DRM系统可以具有许可的不同定义，但是许可必须至少包含已授予权限。因此，在本发明中，由DRM系统使用的许可的定义都可被映射到许可的定义。例如，在MPEG REL中，术语“许可”是一组已授予权限加上其它信息(诸如关于发放者、许可完整性等的信息)。所以，MPEG REL许可可被映射到如本发明中所定义的多个许可中。

可以使用可共享权限和权限集成的概念来实现如上定义的组许可的概念。组许可是可共享权限，所以它可被动态划分，以在获授权用户之间和/或获授权用户组之间共享。当对组许可进行划分以供共享时，创建新的许可并且在组许可中指定的条件状态被调节成扣除在新许可中指定的条件状态。所创建的新许可被称为共享许可，并且它还是组许可。因此，共享许可可由获授权用户使用或者进一步被划分以在获授权用户之间和/或获授权用户组之间共享。

由于共享许可也是组许可，因此共享许可的权限被授予者能够充当进一步从其共享许可导出新的共享许可以供下游共享的权限授予者。因此，诸如多层权限共享的动态权限共享、基于权限被授予者判断的共享、或者在不同主体组和/或设备组之间的共享得到支持。

一旦被创建，共享许可就可以用于使用。每次使用共享许可时，其条件状态就被更新以反映该使用情况。任何时候，都可以使用如上所述的权限集成方法来将共享许可的剩余权限返回给导出它的组许可。

组许可的概念涵盖权限和资源共享的所有方面：设备间共享、用户间共享、组织间共享等。组许可可以是实现权限和资源的动态共享的许多应用的基本构建块。这些应用包括，但不限于以下：

图书馆：图书馆被授予针对题为“Gone with the Wind(乱世佳人)”的书籍的特定副本数的组许可。在任何时候，图书馆都能够通过从其组许可导出共享许可而将该书的副本借与图书馆成员。当图书馆导出一共享许可时，可用副本的总数减1，直到该图书馆成员返回该书为止。

家庭网络：用户的家庭网络包括许多具有不同DRM能力的不同设备。用户期望如下便利：购买一许可以在用户的家庭网络中使用而无需预先指定哪个网络设备将使用该许可。为此，用户需要组许可并从其为家庭网络中的特定设备导出共享许可。

成员资格：组成员期望为自己导出特定许可来代替使用授予该组的通用许可，因为用户设备可能无法实施通用许可。

以下示例示出组许可的概念以及如何从组许可导出共享许可。

图18示出授予A公司对电影B的100个副本的权限的组许可250。当第一次创建时，组许可包含规定100作为最大副本数以及100副本剩余的当前状态的可分条件。A公司可以根据商业需要将电影B的100个副本的池在其雇员或雇员组之间划分。

图19示出A公司在组许可250中从其100个副本的池向其人力资源部10授予电影B的10个副本。A公司导出共享许可255，该共享许可向人力资源部授予对电影B的10个副本的权限，如条件256所反映的。图19还示出，图18中示出的组许可中条件状态251被更新，从而从100个副本的池中扣除10个副本，剩余90个副本。

A公司向人力资源部授予的共享许可255也是可被进一步划分的组许可。图20示出A公司的人力资源部向其雇员之一John Doe授予对电影B的1个副本的权限，如组许可257和条件261所反映的。图20还示出人力资源部的许可中条件状态256被如何更新成状态257，从而从其10个副本的池中扣除一个副本，剩余9个副本。图20还示出人力资源部向John Doe授予电影B的1个副本的动作不影响A公司原始组许可中的条件状态251(A公司仍然具有90个剩余副本)。

在授予John Doe电影B的1个副本之后，人力资源部决定将其9个剩余副本中的两个返回到A公司，如图21所示。在返回之后，A公司组许可250的剩余副本数从条件状态251中的90个副本增加两个到条件状态252中的92个副本，但是人力资源部许可255的剩余副本数从条件状态257中的9个副本减少两个到条件状态258中的7个副本。

图22示出允许共享电影B的100个副本的池的公司A的组许可(图18中所示)的伪MPEG REL表示260。A公司可以通过向每个组发放一共享许可而将该池在雇员组之间划分，只要副本总数不超过池的容量。分发的权限是通过使用发放权限来指定的，它是在seekApproval(寻求批准)条件的基础上有条件的。seekApproval条件依靠跟踪服务器来跟踪池中剩余副本数以及对共享许可请求的副本数。能够被分发的使用情况权限被包含在内部授予中。它包含作为接收用户组的身份的占位符的变量Y、作为分派给接收组的副本数的占位符的变量X、以及作为A公司期望向共享许可添加的任何定制条件的占位符的变量Z。

图23示出A公司人力资源部的许可的伪MPEG REL表示265(图19中所示)。变量Y、X和Z由人力资源(接收组的标识)、10(分派给人力资源的副本数)、以及报告使用情况(需要由指定服务器跟踪所有使用情况)。otherInfo(其它信息)标识当前许可以及导出当前许可的许可。

图24示出其中从组许可导出子组许可和共享许可两者的使用情形。中央图书馆C获得允许拷贝书籍B 100次的组许可280。中央图书馆基于需要从其组许可为本地图书馆创建子组许可281和282。C在子组许可282中将20个副本分发给本地图书馆X，并在子组许可281中将30个副本分发给本地图书馆Y。本地图书馆Y进一步在子组许可284中将其副本中的10个分发给图书馆Z。此外，可以从组许可280、子组许可282、子组许可281、或子组许可284发放共享许可283、286和287。

支持动态权限和资源共享的系统

以上公开的组许可概念涵盖了权限共享的所有方面。它可以由能够授权可共享权限的使用、发放包含已分发的共享权限的许可、以及管理组许可和可共享许可的权限状态的任何DRM系统来实现。图25示出这种DRM系统的示例。DRM系统300包括例如激活服务器302、授权服务器303、一个或多个权限使用设备305、受保护内容/资产分发服务器308、许可服务器310以及保护应用/服务311。授权服务器303可以与一个或多个密钥304相关联。权限使用设备305包括DRM组件306，并且可以与一个或多个许可307相关联。受保护内容/资产分发服务器308可以分发受保护的内容/资产309。许可服务器310向系统提供许可307。保护应用/服务311提供清晰的内容/资产312以及可包括权限和条件的权限供应313。

图26示出支持动态权限和资源共享的系统的基本组件。这些组件包括安装组件321、安装的跟踪组件(TCI)322、共享的跟踪组件(TCS)323、共享组件324、信任组件325、使用组件326、以及使用授权组件327。可以将每个组件实现为硬件组件、软件组件、设备、服务等等。一旦被权威机构发放，组许可就可被绑定或者不绑定到特定环境，在该特定环境下其使用情况被跟踪。在本发明的较佳实施方式中，组许可最初(在许可发放时)没有被绑定到一环境。该过程提供更多灵活性，因为能够在任何地点以及任何时间获取组许可而不限于特定环境。

如图26所示，如果组许可320未被绑定到一环境，则在它能够被共享或使用之前必须由安装组件(IC)321来安装。TCI 322授权这一安装。安装的目的是确保组许可320预先未被安装，以及随后将组许可绑定到跟踪该组许可的权限状态的称为共享跟踪组件(TCS)的跟踪组件323。

虽然组许可的权限状态可被存储在任何设备上，但是权限状态必须由控制权限共享的共享组件来证明和验证。例如，权限状态可被存储在与已安装的组许可相同的设备上、存储在与该组许可所绑定的授权组件相同的设备上、存储在远程设备上或者存储在该组许可之内。在本发明的图17、图18、图19、图20、图21中示出对权限状态的各种可能存储策略。如果权限状态被存储在组许可自身之内，则可以在每次更新权限状态(因为该许可已被使用或者权限已被实施)以反映新状态时变换该组许可。如果具有新状态的组许可是替换组许可，则一旦原始组许可被变换以反映替换组许可中的新状态，它就变得无效。

一旦被安装，组许可就被称为已安装组许可并且可用于共享。共享组件(SC)324通过解释已安装组许可、从TCS 323检索权限的当前状态、按照请求验证权限的当前状态、以及创建共享许可(在获授权情况下)来处理共享请求。可以使从已安装组许可导出的共享许可对信任组件325可用，以进行信任证明。

共享许可自身是可用于进一步共享的组许可。它可以采用以下形式之一：

绑定组许可：在创建时，这类许可就被绑定到TCS。共享许可所绑定的TCS可以与已安装组许可所绑定的TCS相同或者不同。对于较小组织，跟踪组件可以相同，但是对于较大组织或不同主体组跟踪组件可以不同。

未绑定组许可：在发放时，这类许可并未被绑定到特定TCS，但是可以在后来被绑定到TCS。这类许可是在当该许可产生时(例如创建用于与另一组权限被授予者、另一网络共享的许可等等)目标使用环境或目标TCS并不已知的情况下产生的。在另一种情形中，许可授予者期望通过使对绑定到TCS的选择保持开放而在许可中提供更大灵活性。在这种状况下，也有可能将TCS绑定权利委托给许可被授予者或另一方。

使用许可：这类许可主要是为使用而非共享而创建的。然而，它能够在获授权主体或设备之间共享。

图26中所示的基本组件可用于设计不同配置的系统。如果使用许可被创建，则在由使用授权组件327授权的情况下，使用组件326实现资源的使用。

图27示出包括两个主要设备的一个较佳实施方式：组许可设备350以及使用设备356。组许可设备350分别包括安装和共享组件351和352。它处理对组许可安装、卸载和共享许可创建的所有请求。使用设备356包括用于使用许可的使用组件357。在本示例配置中，安装跟踪组件(TCI)353、TCS 354、以及信任组件355位于组许可设备350外部。共享授权设备跟踪已经与之绑定的所有已安装组许可的权限状态。

图28示出使用替换配置的较佳实施方式。在本实施方式中，TCS 354位于组许可设备350内部。在本配置中，组许可设备350处理共享请求并跟踪所有已安装组许可的权限状态。因此，组许可设备350能够授权共享请求而不需要外部TCS。一旦共享请求已被授权，组许可设备350就创建共享许可并使该共享许可对信任设备355可用，以进行信任证明。

图29示出使用不同替换配置的又一较佳实施方式。在本配置中，TCS和信任组件354和355分别位于组许可设备350内部。组许可设备350处理所有共享请求，跟踪所有已安装组许可的权限状态，并且证实由该设备生成的共享许可。这是用于与现有技术DRM系统集成的最实用配置。

图30示出图29所示的配置对A公司的应用。在A公司的网络内，组许可设备360被安装在组许可服务器361上。组许可设备350专门用于处理公司网络内的所有设备的共享请求。组许可服务器361经由网络连接到包括安装授权设备370的安装授权服务器369，用于授权所有组许可请求的安装。A公司还将已安装有共享授权设备363的授权服务器362专用于跟踪在公司内使用的组许可的所有权限状态。此外，A公司的网络可以包括其它设备，诸如打印机364、工作站365、iBook 366以及可以包括自适应设备368的膝上型计算机367。例如，网络内的通信可以经由集线器371来进行。

跟踪组件

任何DRM系统都有跟踪组件。跟踪组件的功能是跟踪权限的使用情况或者状态。在本发明中，跟踪包括跟踪组许可的安装状况以及跟踪已安装组许可的权限状态。在本发明中，跟踪安装的组件称为安装跟踪组件(TCI)，并且跟踪组许可的权限状态的组件称为共享跟踪组件(TCS)。

TCI和TCS的功能可以由同一组件或不同组件来实现。这些功能可被配置在同一设备或服务、或者不同设备或服务中。无论跟踪设备或服务位于何处，它们必须取得系统中支持动态权限共享的其它组件的信任。存在建立这种信任的许多已知技术，诸如系统内所有组件都信任的权威机构的证明等等。

安装跟踪组件(TCI)

该组件跟踪组许可的安装状态以及已安装组许可的初始权限状态和共享跟踪组件标识(TCSID)，其中该共享跟踪组件跟踪已安装许可的权限状态。如上所述，跟踪安装状况的目的是确保组许可只被绑定到跟踪其权限状态的TCS。

图31示出如何跟踪安装请求。该过程的输入包括组许可和TSC的TCSID。在步骤400，确认组许可的完整性和真实性。确认完整性是为了确保组许可未被更改或伪造。确认真实性是为了确保组许可是由TCI所信任的权威机构发放的。如果所输入组许可是有效并且可信的，则在步骤401，对该组许可的过期和撤消进行检查。随后在步骤403，IAC检索跟踪信息，并且在步骤404，检查该组许可是否是当前安装的。如果该组许可无效、不可信、过期、撤消、或者当前已安装，则在步骤403，拒绝该请求。如果否，则在步骤405根据该组许可初始化权限初始状态并创建跟踪信息，并且在步骤406用权限初始状态更新跟踪信息。

如果该组许可是先前安装而非当前安装的，则TCI验证权限状态以确保在该组许可中指定的权限仍然有效。如果否，则安装请求被拒绝。

如果跟踪信息未被找到或者指示该组许可从未被安装过，则创建新的跟踪信息并用权限的初始状态对其进行更新，并且将该跟踪信息标记为已安装。如果组许可先前已被安装并且权限仍然有效，则将跟踪信息标记为已安装。

图32示出跟踪信息410的较佳结构。它包含已安装组许可或许可ID 411、跟踪权限状态的组件的TCSID 412(在卸载期间使用)、当前安装状况413、在其初次安装或在其被卸载时组许可的权限状态414、以及应用所需的其它信息415。

一旦安装请求被准予，就将存储在跟踪信息中的当前权限状态返回到请求者，即安装组件(IC)。安装组件随后将权限状态传递给共享组件(SC)，使得组许可的初始权限状态得到初始化。

一旦组许可被安装，它就不能被再次安装直到它被首次卸载。卸载过程从当前跟踪其权限状态的TCS释放该组许可。卸载过程需要已安装组许可或许可ID以及请求消息。请求消息是包含该组许可的当前权限状态的真实消息。

图33示出卸载过程。在步骤420，使用输入组许可或许可ID检索跟踪信息。然后在步骤421，验证该跟踪消息以确保它指示该组许可当前被安装。此外，在步骤422，依照跟踪信息验证该请求。如果未找到跟踪信息，组许可当前并未被安装，或者并未依照请求验证跟踪信息，则在步骤425，拒绝该请求。

如果组许可当前被安装，则在步骤422，存储在TCSID中的ID被用于验证请求消息。该请求消息包括已安装组许可的当前权限状态。许多已知机制可用于验证请求消息。例如，请求消息可由TCS签名，并且TCSID可以包含用于验证TCS签名的TCS密钥。如果TCS签名能得到验证，则该请求是可信的。否则，卸载请求是不可信的。

如果真实消息和已证实的当前权限状态得到验证，则在步骤423，TCI用组许可的当前权限状态更新跟踪信息，并在步骤424，通过经证实的当前权限状态将跟踪信息标记为已卸载。

共享跟踪组件(TCS)

该组件跟踪已安装组许可的权限状态。一旦被安装，组许可就被绑定到TCS。绑定到TCS的优点是确保只维护一组权限状态。这使许多不同组许可设备能够处理权限共享请求并发放共享许可而不会在组许可的权限状态中导致冲突。例如，在家庭网络中，能够连接到TCS所安装的设备的任何组许可设备都可以发放共享许可以供家庭网络中的设备使用。

当组许可被安装时，TCS(TCSID)的真实ID被检索并对TCI可用。TCSID随后用于认证卸载请求消息。一旦被安装，由TCI返回的组许可的权限状态就用于初始化存储在TCS中的权限状态。为了进一步增强安全性，TCS可以在将权限状态和其它信息存储在TCS中之前对它们签名。图34示出在将它们存储在TCS之前以及在从TCS检索它们之后签名、证实和验证权限状态的进程。

当已安装组许可被卸载时，TCS生成请求消息，即包含已卸载组许可的当前权限状态的真实消息。然后，当前权限状态被传递到目标TCI以供卸载。在为了使用、共享、集成而处理已安装许可的任何时候，在状态被更改的情况下用新的权限状态更新TCS。

在某些应用中，权限状态可以不存储在TCS所安装的设备上。无论将权限状态保留在何处，它们必须由TCS证实，以表明它们可信。例如，权限状态可被存储在组许可中。在这种情况下，组许可自身充当库。当权限状态因创建或集成共享许可而改变时，组许可同样被更改。具有新权限状态的组许可必须被目标TCS证实。经证实的组许可变成新的组许可并代替前一组许可。一旦被创建，新的组许可就被绑定到与前一组许可相同的TCS，并且前一组许可从TCS解除绑定。新的组许可和前一组许可可以共享同一ID。如果如此，则前一组许可的安装被传递到新的组许可。

安装组件

安装组件对TCI安装或卸载组许可，并且将已安装组许可与TCS绑定或解除绑定。绑定过程初始化TCS的已安装组许可的权限状态，使得所有获授权共享组件能够管理和跟踪权限状态。向TCI安装组许可确保已安装组许可无法进一步被安装以及绑定到另一TCS。这防止组许可中授予的权限在多个TCS上重复或复用。例如，如果授予电影A的2个副本的组许可被绑定到两个不同TCS，则每个TCS将已授予权限的状态初始化为2。这意味着每个TCS允许共享两个副本，从而违反组许可的条款和条件。

当组许可被获取或安装时，必须将安装跟踪组件(TCI)的ID传递到安装组件，使其能够从适当的TCI请求安装。存在用于进行这种通信的许多方法，诸如对已发放组许可中TCI的ID或地址进行编码、经由某种已知协议获得TCI的ID或地址、使用组许可权限授予者和被授予者之间的协定等等。在其它应用中，TCI可以是组许可权限被授予者系统的一部分。在其它应用中，TCI可以是独立服务。

如图34所示，绑定过程向组许可所绑定的TCS注册组许可的初始权限状态。在步骤430和431中，对权限状态计算完整性值，然后对其进行证实。一旦权限状态被初始化和证实，就将它们存储在状态库432中。随后在每次组许可被使用时，TCS管理并跟踪权限状态。某些应用或配置可以将TCS和TCI的功能组合到一个组件中，而其它应用或配置可以将这些功能分到不同组件中。例如，为组织Y发放组许可的系统Z的授权服务器X充当TCI，而组织Y内的授权服务器Z充当TCS。然而，如果系统Z针对信任顺应性对组织Y的授权服务器Z进行证实，则Z可以被允许用作TCI和TCS两者。

如上所述，安装将组许可绑定到TCS，使得权限状态被初始化并被管理。例如，可以在步骤433验证证书，在步骤434重新计算完整性值，以及在步骤435比较完整性值。然而，组许可可被存储在任何设备上，只要处理该组许可以供共享或使用的设备能够与TCS交互以使该组许可的权限状态能够得到正确管理。

以下章节更详细地描述组许可安装和卸载。

组许可安装

安装过程必须从TCI请求授权，以确保该组许可当前未被安装以及获取当前权限状态。安装过程用组许可的当前权限状态初始化TCS。

图35示出组许可安装过程，由以下步骤组成。第一步骤440是验证组许可的完整性和真实性以及该组许可的权限状态。验证组许可的完整性确保了它未被篡改，而验证组许可的真实性确保了它是由值得信任的源发放的。验证完整性和真实性的方法取决于组许可的表示。最常用的方法使用数字签名来确保组许可的完整性以及使用数字证书来确保组许可的真实性。然而，不同的应用可以采用不同的方法来确保组许可的完整性和真实性。如果验证组许可的权限状态判定，任何条件的当前状态表明该条件已经过期，则不对该组许可进行安装处理。

下一步骤441是从目标TCI请求授权。该步骤标识目标TCI和TCS。一旦TCI和TCS两者都被标识，就构造安装请求。然后，对TCS进行认证以及对其TCSID进行检索以构造安装请求。如图36所示，向目标TCI的授权请求包括组许可和TCS的TCSID。TCSID随后被用于认证卸载请求。TCI可以位于组许可所授予的组织之外或者是其一部分。TCI验证在安装请求之时所请求的组许可还未被安装。一旦安装请求被授权，则返回组许可的当前权限状态并且无法再次安装该组许可直到将其卸载。因此，安装有效地防止组许可的多次安装。

第三步骤442是通过目标TCS初始化已安装组许可的当前权限状态。TCS可被预先指定(诸如在组许可中)或者经由某种协议或协定来获得。通过TCS来初始化已安装组许可的权限状态的过程使TCS能够在每次这些状态改变时跟踪组许可的权限状态。

第四步骤443是将已安装组许可存储在许可库中。许可库与该组许可所绑定的TCS独立，尽管在某些配置中许可库可能是TCS的一部分。

图36示出构造和授权安装请求的过程。首先在步骤450，对组许可的TCI和TCS进行标识。如果标识成功，则在步骤451对目标TCS进行认证。如果目标TCS是真实的，则在步骤452中构造安装请求的组许可和TCSID。然后，在步骤453，对目标TCI进行认证。如果目标TCI是真实的，则下一步骤454是请求安装授权。如果请求被授权，则安装请求成功。如果以上步骤的任一个失败，则在步骤455，请求失败。

组许可卸载

卸载从目标TCI卸载组许可并从TCS释放对已卸载组许可的跟踪。一旦被卸载，就无法使用该组许可直到对其进行重新安装。卸载过程由验证卸载请求、从目标TCS释放对组许可的跟踪、以及从TCI卸载组许可的步骤构成。如果解除绑定的请求成功，则TCS返回具有已卸载组许可的当前权限状态的真实消息。在下一步骤中，将真实消息发送到卸载请求所针对的TCI。此外，卸载请求包含组许可或组许可ID以及由TCS返回的真实消息，该真实消息包含经证实的当前权限状态。TCI使用先前存储在TCI中的TCS的TCSID来验证TCS的真实消息以及当前权限状态。如果请求成功，则TCI更新跟踪信息以通过经证实的当前权限状态来指示该组许可被卸载。如果组许可当前未对TCI安装或者真实消息无法被验证，则卸载请求失败。

共享组件

共享组件创建(导出)用于由授权主体共享或使用的共享许可，并且将共享许可集成回导出它们的已安装组许可。

创建和集成共享许可的过程需要已安装组许可所绑定的TCS的授权。该TCS管理已安装组许可的权限状态，该组许可是共享组件确认共享请求所需的。如果当前权限状态指示允许共享请求，则创建共享许可并使其对信任组件可用，以按需进行信任证明。然后，对组许可的当前权限状态进行更新以反映新近创建的共享许可中的权限状态和初始状态。

取决于共享请求，不同方法可用于创建共享许可中的权限状态和初始状态，以及用于更新已安装组许可的当前权限状态，如上所述。

当共享许可被返回并且集成到起源组许可中时，共享组件确认集成请求以及共享许可所要返回的组许可。如果允许返回，则共享组件向该组许可所绑定的TCS发送请求以更新组许可的当前权限状态。

以下章节更详细地描述导出共享许可以及将共享许可集成回起源组许可的过程。

权限导出

权限导出是从已安装组许可创建共享许可的过程。共享请求可以直接来自权限被授予者或者间接来自要使用该共享许可的设备。如果目标使用设备在请求时是未知的，则从该请求得到的共享许可不被绑定到任何使用设备。在这种情况下，在将共享许可用于使用或进一步共享之前必须对其进行绑定。

图37示出通常作为共享请求一部分的信息460。请求类型461指示该请求是用于权限导出还是用于集成。导出是创建子权限的请求。集成是返回子权限的请求。请求设备信息462标识权限使用设备并用于验证该设备被授权接收所请求的子权限。设备信息是可任选的。所请求的权限信息463标识要从组许可共享的权限。可用许可464包括可以授予请求的组许可和授权请求和发放许可以满足请求所必需的其它许可。

在收到共享请求时，权限使用设备执行一组功能，以尝试产生满足该请求的许可。这些功能包括依照目标组许可验证该请求、验证该组许可和相关许可、向目标TCS请求与共享请求相关的组许可的当前权限状态、处理该请求、以及在获授权的情况下创建共享许可。如果请求被授权，则根据起源组许可中的当前权限状态以及共享许可中的初始权限状态来更新TCS中的目标组许可的权限状态。

图38示出用于处理共享请求的示例性数据流，它以共享组件接收共享请求开始并且以输出包含共享权限的许可结束。该过程由多个组分构成，这些组分是子过程和数据库。整个过程或其组分的任一个可以驻留在共享组件所处的组许可设备上。

将请求从使用设备组件470发送到组许可设备471，请求通常在此得到处理。组许可设备471包括负责处理共享请求的共享组件。在收到共享请求时，组许可设备通过从该请求或者从库472提取目标组许可来对其进行定位。在步骤473，对目标组许可和该请求进行确认，以确保其真实性和完整性。从该请求提取关于目标使用设备身份的信息并对其进行验证，以确保该使用设备被授权作出这一请求。目标使用设备通常是作出请求的辅助设备。

在步骤474，作出对来自目标TCS的当前权限状态的请求，并对共享请求进行处理。如果授权该请求，则在步骤475导出权限，并且由状态管理器476更新导出权限的状态477。图39示出权限导出进程。

权项导出包括以下步骤：

定位与该请求匹配的组许可和可共享权限：本步骤包括确认该请求、定位组许可、标识可共享权限、确认该许可等等；

标识与目标可共享权限相关联的一组状态；

依照目标可共享权限的当前状态和原始状态来确认该请求；

创建共享的权限；以及

创建包含共享权限的许可。该许可可以是允许获授权成员为其它组成员创建共享权限的新的组许可。

如图39所示，设置步骤480，以从输入许可获取许可，以及在步骤481确认该许可与共享请求相匹配。如果为否，则设置步骤482，以确定是否存在其它许可已待处理。如果没有许可待处理，则设置步骤488，以返回空输出。如果该许可与请求相匹配，则下一步骤483是从许可获取权限，并且在步骤484，判定该权限是否是可分的。如果是，则设置步骤485，以导出作为可分权限的部分的权限。然后在步骤486，将所得权限或不可分权限插入到输出许可中。然后设置步骤487，以判定是否有其它权限待处理。如果为否，则在步骤488，返回输出许可。

权限集成

权限集成是将共享权限集成回起源组许可并且创建新的组许可作为结果的过程。权限集成过程与以上所公开的权限导出过程类似。权限导出和权限集成的不同之处如下：

在权限集成的情况下，对目标组许可的权限状态进行更新以反映更多权限。

在权限集成的情况下，被集成的共享许可变成无效。

在权限导出的情况下，创建新的共享许可。

使用组件

使用组件对使用许可进行使用。如上所述，使用许可也是共享许可。然而，使用许可意在使用而非共享。对使用许可的使用需要授权，并且这种授权是由所有DRM系统指定的已知过程。授权过程包括依照许可确认请求、认证用户和设备、依照条件的当前状态验证请求、在获授权使用的情况下更新条件的当前状态等等。

使用许可由使用设备来使用，直到它过期或者被使用设备释放。一旦被释放，使用许可就可被发送到共享组件用于集成到导出它的组许可。

Claims

1.一种用于从权限导出子权限的方法，所述权限包括各自指定所述权限一方面的多个组分，所述方法包括：

接收子权限，所述子权限包括所述组分中各自指定所述子权限的一方面的至少一个；以及

确认所述子权限的组分值能够从所述权限的对应组分值导出。

2.如权利要求1所述的方法，其特征在于，所述接收步骤包括为所述子权限生成组分。

3.如权利要求1所述的方法，其特征在于，所述接收步骤包括接收对共享许可创建的请求。

4.如权利要求1所述的方法，其特征在于，所述确认步骤包括验证所述子权限的组分是所述权限的对应组分的步骤。

5.如权利要求1所述的方法，其特征在于，所述确认步骤包括在所述权限的对应组分表示集合的情形中，验证所述子权限的组分是所述权限的对应组分的一部分的步骤。

6.如权利要求1所述的方法，其特征在于，所述确认步骤包括在所述权限的对应组分表示类的情形中，验证所述子权限的组分是所述权限的对应组分的实例的步骤。

7.如权利要求6所述的方法，其特征在于，所述类表示所述组分的全体。

8.如权利要求1所述的方法，其特征在于，组分可以是主体、动作、资源和条件之一。

9.如权利要求8所述的方法，其特征在于，所述权限包含状态条件。

10.如权利要求9所述的方法，其特征在于，所述接收步骤包括基于所述权限中对应状态条件的容许状态值以及其当前状态，为所述子权限中的每个状态条件分配状态值。

11.如权利要求10所述的方法，其特征在于，所述分配包括从指定最大计数的状态条件导出，其中所述状态条件的当前状态表示累积计数。

12.如权利要求10所述的方法，其特征在于，所述分配包括从指定值范围的状态条件导出，其中所述状态条件的当前状态表示不再可用的所指定范围的子范围。

13.如权利要求8所述的方法，其特征在于，还包括创建新的条件以进一步约束子权限的使用。

14.如权利要求1所述的方法，其特征在于，还包括在导出之后更新权限表达的步骤。

15.如权利要求14所述的方法，其特征在于，所述更新步骤包括更新权限状态的步骤。

16.一种用于将第一权限与第二权限集成的方法，包括：

通过验证第一权限组分的每一个能够从其对应的第二权限组分导出，判定所述第一权限是否能够从第二权限导出；以及

将所述第一权限的组分与所述第二权限的对应组分相组合。

17.如权利要求16所述的方法，其特征在于，所述判定步骤包括在所述第二权限的对应组分表示集合的情形中，验证所述第一权限的组分是所述第二权限的对应组分的一部分的步骤。

18.如权利要求16所述的方法，其特征在于，所述判定步骤包括在所述第二权限的对应组分表示类的情形中，验证所述第一权限的组分是所述第二权限的对应组分的实例的步骤。

19.如权利要求18所述的方法，其特征在于，所述类表示组分的全体。

20.如权利要求16所述的方法，其特征在于，组分可以是主体、动作、资源和集合之一。

21.如权利要求20所述的方法，其特征在于，所述权限包含状态条件。

22.如权利要求21所述的方法，其特征在于，所述组合步骤包括将所述第一权限中每个状态条件的状态值与所述第二权限中对应状态条件的状态值合并。

23.如权利要求22所述的方法，其特征在于，所述组合步骤包括合并两个状态条件，每个状态条件指定可能状态值的无序集并且每个条件的当前状态跟踪已被使用的状态值。

24.如权利要求22所述的方法，其特征在于，所述组合步骤包括合并两个状态条件，每个状态条件指定最大计数并且每个状态条件的当前状态表示累积计数。

25.如权利要求22所述的方法，其特征在于，所述组合步骤包括合并两个状态条件，每个状态条件指定值范围并且每个状态条件的当前状态表示已被使用的子范围。

26.如权利要求16所述的方法，其特征在于，还包括在集成之后更新权限表达的步骤。

27.一种共享权限的方法，包括：

从权限导出子权限；

允许使用所述子权限；以及

将所述子权限与所述权限集成。

28.如权利要求27所述的方法，其特征在于，可以进一步导出子权限以供共享。

29.如权利要求27所述的方法，其特征在于，所述权限是在许可中指定的，并且所述方法还包括：

在设备上安装所述许可；以及

卸载所述许可，使其可用于其它安装。

30.如权利要求29所述的方法，其特征在于，所述权限的许可是用于在一组主体之间共享权限的组许可。

31.如权利要求30所述的方法，其特征在于，指定子权限的许可自身是允许进一步权限和资源共享的组许可。

32.如权利要求30所述的方法，其特征在于，权限状态存储在所述组许可中并在其中更新。

33.如权利要求29所述的方法，其特征在于，所述权限的许可是指定在一组主体之间共享的资源集合的组许可。

34.一种通过实现从权限导出子权限来支持权限共享的系统，所述权限包括各自指定所述权限一方面的多个组分，所述系统包括：

用于接收子权限的接收模块，所述子权限包括各自指定所述子权限一方面的多个组分；以及

确认模块，用于确认所述子权限的组分值能够从所述权限的对应组分值导出。

35.如权利要求34所述的系统，其特征在于，还包括：

安装模块，用于在设备上安装组许可，使其可用于共享；以及用于卸载已安装组许可，使其不可用于在所述当前设备上共享；

安装跟踪模块，跟踪所述已安装/已卸载组许可；

跟踪模块，跟踪组许可的权限状态；以及

共享模块，用于执行包括以下步骤的方法：

创建共享许可，包括以下步骤：(a)接收共享请求；(b)解释所述已安装组许可，包括提取权限状态的值以及授权所述请求；(c)导出共享许可并且将共享许可集成回所述组许可；以及

将共享许可集成到组许可，包括以下步骤：(a)验证所述共享许可是从所述组许可导出的；以及(b)使用所述共享许可的状态值更新所述组许可的状态值。

36.如权利要求35所述的系统，其特征在于，所述安装模块的安装过程包括：

验证所述组许可的完整性和真实性；

验证所述组许可中的可共享权限还没有过期；

用安装跟踪模块验证所述组许可还未在之前被安装；

使用状态跟踪模块跟踪权限的初始状态并随后在使用权限时更新所述权限状态；以及

将所述组许可存储在许可库中。

37.如权利要求35所述的系统，其特征在于，所述安装模块的卸载过程还包括：

调用所述状态跟踪模块来释放对所述组许可的权限状态的跟踪；以及

调用所述安装跟踪模块，所述安装跟踪模块随后更新跟踪信息以指示所述组许可的已卸载状态以及其在卸载时刻的经证实的权限状态。

38.一种从由授予者向被授予者授予的权限池导出子权限用于控制计算环境内的资源使用的方法，所述计算环境具有在所述环境中实施权限以根据所述权限控制资源使用的机制，所述方法包括：

由被授予者从授予者接收权限池，所述权限池与至少一个资源相关联；

由所述被授予者将所述权限池解析成各自指定所述权限池一方面的一个或多个权限组分，

从所述权限组分的至少一个导出子权限组分，所述子权限组分是对应权限组分的子集；以及

从所述子权限组分创建指定子权限的许可，所述许可可由所述计算环境实施以在权限池范围内根据所述子权限控制资源的使用。

39.如权利要求38所述的方法，其特征在于，还包括：

向次被授予者授予所述许可；

由所述次被授予者将所述许可中作为次权限池的权限解析成一个或多个第二权限组分，每个所述第二权限组分指定所述次权限池的一方面；

从所述第二权限组分的至少一个导出第二子权限组分，所述第二子权限组分是对应的第二权限组分的子集；以及

从第二子权限组分创建指定亚子权限的子许可，所述子许可可由所述计算环境实施以在次权限池范围内根据所述亚子权限控制资源的使用。

40.如权利要求38所述的方法，其特征在于，所述权限组分的至少一个是包括指定要被授予所述子权限的至少一个被授予者的信息的主体权限组分。

41.如权利要求40所述的方法，其特征在于，还包括验证所述主体权限组分包括指定要被授予所述子权限的至少一个被授予者的信息的步骤。

42.如权利要求41所述的方法，其特征在于，还包括验证所述主体权限组分是否包括指定要被授予所述子权限的每个指定被授予者的信息的步骤。

43.如权利要求40所述的方法，其特征在于，还包括验证在所述权限池并不指定要被授予所述子权限的至少一个被授予者的情况下所述主体权限组分为空的步骤。

44.如权利要求38所述的方法，其特征在于，所述权限组分的至少一个是包括指定可由所述被授予者执行的至少一个动作的信息的动作权限组分。

45.如权利要求44所述的方法，其特征在于，还包括验证所述动作权限组分包括指定可由所述被授予者执行的至少一个动作的信息的步骤。

46.如权利要求45所述的方法，其特征在于，还包括验证所述动作权限组分是否包括指定可由所述被授予者执行的每个动作的信息的步骤。

47.如权利要求44所述的方法，其特征在于，还包括验证在所述所授予权限并未指定可由所述被授予者执行的任一动作的情况下，所述动作权限组分为空的步骤。

48.如权利要求38所述的方法，其特征在于，至少一个权限组分是包括指定可由所述被授予者使用的至少一个资源的信息的资源权限组分。

49.如权利要求48所述的方法，其特征在于，还包括验证所述资源权限组分包括指定可由所述被授予者使用的至少一个资源的信息的步骤。

50.如权利要求49所述的方法，其特征在于，还包括验证所述资源权限组分是否包括可由所述被授予者使用的每个资源的信息的步骤。

51.如权利要求50所述的方法，其特征在于，还包括验证在所授予的权限并不指定可由所述被授予者使用的任一资源的情况下，所述资源权限组分为空的步骤。

52.如权利要求38所述的方法，其特征在于，所述一个或多个权限组分的至少一个是包括指定所述被授予者使用所述资源所处的至少一个条件的信息的条件权限组分。

53.如权利要求38所述的方法，其特征在于，所述权限组分的至少一个还基于所述权限池内至少一个权限的至少一个状态条件来指定至少一个状态条件组分。

54.如权利要求53所述的方法，其特征在于，从所述权限组分的至少一个导出子权限组分的步骤还包括，验证所述权限组分指定对应的状态条件组分。

55.如权利要求54所述的方法，其特征在于，还包括如果所述状态条件组分包括来自可能状态值的无序集的至少一个状态值，则通过将所述可能状态值的无序集分成从所述无序集选择的状态值子集，从所述状态条件组分导出子状态条件组分。

56.如权利要求53所述的方法，其特征在于，还包括如果所述状态条件包括含有累积值的状态值，则通过将状态值的累积值分成从所述累积值选择的状态值子集，从所述状态条件组分导出子状态条件组分。

57.如权利要求54所述的方法，其特征在于，还包括如果所述状态条件包括来自可能状态值的有序集的至少一个值，则通过将所述可能状态值的有序集分成从所述有序集选择的状态值子集，从所述状态条件组分导出子状态条件组分。

58.如权利要求38所述的方法，其特征在于，从所述子权限组分创建的全部许可之和具有与所述权限池相同的范围。