CN101690077A - Drm方案扩展 - Google Patents

Abstract

一种用于实现记录的活动的安全记录和存储的方法是基于扩展数字版权管理(DRM)系统的。记录和存储过程响应在用户设备(200a，200b)主管的装置(201)识别一个或多个触发器(202)而启动。基于所述一个或多个触发器，定位版权发行中心(204，RI)，并使用现有DRM标准从RI检索记录和存储指令(RSI)。基于RSI，定位用于存储记录的活动的信任的存储装置，并且由装置激活和管理(2:5)涉及一个或多个记录设备的一个或多个记录过程。在将记录的内容转发(2:6)到该信任的存储装置之前，根据RSI的内容从记录的内容生成保护的内容。

Description

DRM方案扩展

技术领域

本发明主要涉及用于保护数字记录的创建和存储的安全的方法和装置。具体来说，本发明涉及基于扩展数字版权管理(DRM)概念的防篡改和用户友好的记录和存储机制。

背景技术

在今天的社会中，在许多情况下能够再现来自某些活动或区域的细节将是有利的。

经常需要产生犯罪活动的某个位置中实际发生情况的具体化证据以便能够将罪犯绳之以法。然而，人们一般更不愿意介入或甚至指证已犯下或要发生的罪行，害怕卷入其中。也始终存在已犯下罪行的人即使被宣判有罪也将在服刑后进行报复的风险。众所周知，证人保护程序有缺陷，并且很少人准备好隐姓埋名地生活。证人的一种技术替代品是监控摄像机。监控摄像机是用于威慑和侦察犯罪以及对犯罪行为的起诉和定罪方面的重要工具。

然而，由于法律原因，监控摄像机的使用受到限制。此限制的一个原因是个人尊严的冲突要求，其中，人们之间的主导观点一般是他们希望能够在公共场所活动而不被观察和记录。例如，通常可在地铁列车上允许监控摄像机，但在等候大厅或街道中不允许。结果，有犯罪意图的人能轻松地避开被监视区域，并且在缺少产生具体化证据的手段的情况下，他们能继续其犯罪活动，因为受到惩罚的可能性低。另外，监控摄像机是昂贵的解决方案，特别是如果要覆盖大面积时。

对于监控摄像机的使用的一种备选方案是依赖在现场的人形成的记录。虽然执法人员可能准备好去拍摄照片或在胶片上记录犯罪活动，但私人可能不愿意这样做，因为这类的活动可能包含本人或记录设备成为下一目标的风险。

出于相同的原因，人们可能推迟拨打911以向执法人员报警，因为那将涉及留下个人详细信息和位置以及描述情况。所述报警的人可能觉得介入涉及太高的个人风险。还考虑到执法人员到达犯罪现场的时间，举报人员可能被要求留在该区域中以便接受进一步询问。另外，发出报警电话的人可能觉得有责任召唤执法人员，并因此可能在可疑情况中对此类涉及犹豫不决。一旦执法人员到达，也可能存在提供犯罪现场实际已发生情况的证据的相当多的问题。简而言之，目前鼓励守法公民在紧急或违法情况下提供帮助的技术支持很少。

例如拨打911的公共报警服务为人所熟知，但遭受与前面所述的相同的限制。

例如到移动电话的TV广播的具有中心网络发送器和外围接收器的实时空中媒体输送服务也为人所熟知。使用外围发送器很少见，但是确实出现，例如在个人健康信息通过移动网络发送到医疗人员的健康护理情形中。然而，健康服务是一般情况下只为某些个人提供的特殊服务。另外，在能使用前，它必须个人化和预配置。

DRM通常表示一种机制，用于控制访问和使用数字数据，例如软件、音乐、电影或硬件，其可用几种可用技术的任何技术来实现。DRM机制可由想要应用与数字作品的特定实例相关联的使用限制的内容提供商、出版商或著作权所有者来使用。DRM超出提供商提供的内容的物理输送，扩展到管理部分或完全的内容生命周期。DRM是一个广大的领域，其可涉及许多不同的组成部分，包括诸如包装、识别、加密、添加水印和跟踪等资产管理、诸如版权创建、内容关联、许可等版权管理以及诸如贸易和支付等其它领域。向拥有访问或使用他们自己设备上的数字数据的权限的最终用户部署DRM系统，这一般涉及防止最终用户超出访问和使用权限的技术保护措施，如密码术、防篡改HW、软件安全性等。密码术一般在传输期间对数据进行加密或完整性保护时被调用，并且与识别方案一起确保版权内容和许可在合法的用户设备上使用。诸如防篡改DRM模块等HW支持是保护用户设备的识别安全的合法用户设备的一部分，并且与软件混淆(softwareobfuscation)一起保护DRM系统的实现的安全。

DRM系统的一个常见实现是内容和相关联版权的逻辑分离。这使得同一内容能够用于不同的版权集，并实现一种版权贸易商业模型，其中，版权发行中心(Rights Issuer)(RI)能为特定的合法用户设备或用户设备群包装和销售或提供特定数据内容的版权对象(RO)。有关如上所述如何使用DRM的更多信息能从“DRM Architecture，OpenMobile Alliance，Approved version 2.0-3 2006年3月”检索到。

具体地说，任何DRM系统的一个弱点是对转发到诸如音乐/电影播放器或解析器等用户设备的DRM内容的保护，其中，数据最终必须以明文格式可用，以便能够被使用。已知用于保护DRM内容并且特别是用于在内容提供商与用户设备之间建立安全性关联的各种方案，例如OMA DRM版权对象获取协议(ROAP)。OMA DRM ROAP是一种认证协议，其也将与特定数字媒体关联的数字版权及要用于将内容解密和验证版权完整性的密码密钥一起传输。

可能对保护活动的证据安全感兴趣的另一领域是在双方或更多方将签署与彼此的协定时。许多情况下正在制定与彼此的协定的协商各方可能因对该协定的约束力的争议而结束协商。在协定签署中使用的数字声明可提供在法律上验证协定的更可靠方式。签署协定时使用此类数字声明的一种方法从专利申请US 2004/0139344中已知。此专利申请描述一种用于加强协定的数字声明的约束力的方法，其中与文档相关联的特性和与一个或更多签署方相关联的数字记录信息被组合并存储以用于将来检索。US 2004/0139344中描述的方法包括记录个人在通过文档做出协定的声明时做出的动作、陈述或资格(capacity)。将记录的内容与来自文档的特性进行链接的链接由例如个人的位置处的计算机来执行。通过存储连接的信息，可能在以后的场合检索该信息，以便验证协定是由参与的各人正确制定的。

然而，也存在与此应用相关联的缺陷。首先，在考虑到篡改记录的风险时以及在考虑到存储内容的安全性和保持内容不让未经授权的个人接触的能力时，能质疑记录的内容的安全性。

另外，同步多个活动所必需的过程涉及多个记录实体，可能是复杂的，其中在一个步骤中的故障或错误管理可危及签署过程的约束力以及记录的材料的预期证明价值。

发明内容

本发明的一个目的是基于扩展数字版权管理(DRM)概念，提供一种防篡改且用户友好的记录和存储机制，其将克服上述问题的至少一些。此类机制将提供一种管理活动的记录和在信任的存储装置存储记录的内容的新颖方式，从而提供防止篡改记录的内容的高级别完整性保护和安全性。

本发明提供可结合常规DRM功能性使用的由用户设备携带的装置和方法。

根据本发明的一个方面，提供一种方法，其中，由用户设备主管的装置保护记录的活动的记录和存储的安全。方法包括响应识别一个或多个触发器而定位版权发行中心(RI)的第一步骤。在另一步骤中，从RI检索记录和存储指令(RSI)。在下一步骤中，根据RSI的内容，在激活和管理在至少一个记录设备上的记录前，定位用于记录的内容的安全存储的信任的存储装置。保护的内容根据RSI的内容从记录的内容生成，并且保护的内容被传送到信任的存储装置。

根据另一方面，可通过例如机械部件的按下、菜单选项的选择、词句的说出和/或传感器、致动器(actuator)和/或报警器的激活来启动一个或多个触发器。

根据另一方面，可依赖一个或多个触发器和/或附加数据，选择从RI检索的RSI。在将RSI从RI提供到装置前，可由RI认证装置。RSI可还包括当生成保护的内容时要使用的至少一个密码密钥。

根据仍有的另一方面，RSI的内容包括依赖在激活和管理录制的步骤中已由装置确定的数据的特定指令和可执行指令。特定和可执行指令可取决于例如当天的时间、所述至少一个触发器、装置的位置、网络性能、可能的信任的存储装置的负载或用户交互。

根据仍有的另一方面，信任的存储装置可以是授权的实体管理和控制的数据的存储装置，或者它可以是对其的访问受DRM机制控制的保护的内容的存储装置。

根据一方面，诸如OMA DRM版权对象获取协议(ROAP)等标准化协议可用于将RSI输送到装置。

根据一方面，记录可包括视频记录、摄像机记录、音频记录和/或至少一个测量参数的记录之一或其组合。记录可立即、或在根据预定规则设置的延迟后、或随机地被激活。在将记录的内容转发到信任的存储装置之前，可将元数据添加到相应内容，其中，元数据可以是人提供的叙述文本或话音消息、用户设备时间、用户设备登记的位置、测量参数。测量参数可以是例如主管装置的用户设备的方向或海拔、加速度、温度的任何一项。

根据另一方面，用户匿名可由用户的运营商通过在将保护的内容转发到信任的存储装置之前去除与它相关联的用户/订户数据来提供。然而，在用户/订户身份与目的地地址和/或记录的时间之间的绑定可由运营商用于破解匿名。

根据另一方面，方法还包括一个步骤，在该步骤中，当装置已接收记录的内容部分已在信任的存储装置成功存储的指示时，从装置擦除相应的内容部分。

根据仍有的另一方面，提供一种在用户设备实现的装置，其中，该装置适合于管理活动的安全记录和存储。装置包括适合于响应识别一个或多个触发器而定位RI的定位部件。装置还包括用于从RI检索RSI的检索部件。定位部件还适合于定位用于记录的内容的安全存储的信任的存储装置。另外，装置包括激活和管理部件，该部件适合于根据RSI的内容来激活和记录一个或多个记录设备。装置的保护部件适合于用于根据RSI的内容来保护记录的内容，并且装置的传送部件适合于将保护的内容传送到信任的存储装置。

根据另一方面，定位部件还适合于识别一个或多个触发器，这些触发器可通过例如机械部件的激活、菜单选项的选择、词句的说出、传感器的激活或报警器的激活来启动。保护部件适合于使用从RSI检索的至少一个密码密钥对记录的内容进行加密和/或提供完整性保护。定位部件可适合于基于例如当天的时间、所述至少一个触发器、RSI的内容、装置的位置、网络性能、可能的信任的存储装置的负载或用户交互中的一项或其组合从多个信任的存储装置定位信任的存储装置。激活和确定部件可适合于确定RSI中包括的特定指令和可执行指令依赖的数据，而激活和管理部件可适合于管理记录，包括例如视频记录、摄像机记录、音频记录和/或至少一个测量参数的记录中的一项或其组合。

根据另一方面，保护部件可还适合于在将记录的内容转发到信任的存储装置之前将元数据添加到该内容，其中，元数据可以是例如人提供的叙述文本或话音消息、用户设备时间、用户设备登记的位置和/或测量参数中的一项或多项。

附图说明

现在将通过优选实施例并参照附图更详细地描述本发明。

-图1示意示出根据现有技术的数字版权管理(DRM)系统的架构。

-图2示意示出根据一个实施例的提供受保护记录服务的系统。

-图3示意示出适合在参照图2所述的系统中使用的用户设备。

-图4示出根据一个实施例的向便携式用户设备提供受保护记录服务的示例的系统。

-图5示出根据另一个实施例的向固定用户设备提供受保护记录服务的示例的系统。

-图6示意示出根据一个实施例的由用户设备200主管的记录代理201。

具体实施方式

简单地说，本发明涉及一种记录和存储机制，该机制是基于扩展DRM机制，其适合于提供进行记录以及输送并在信任的存储装置上存储记录的内容的安全方式。

如上所述，今天的可用数字版权管理(DRM)技术的主体关注保护内容的安全和控制其从内容拥有者信任的环境到用户设备中呈现单元(rendering unit)的使用。

现在将参照图1描述根据现有技术的DRM系统的功能架构。可以是固定或移动的用户设备100包括称为DRM代理101的信任的实体。DRM代理101负责执行与受DRM保护的内容相关联的允许和约束，以及用于根据从内容提供商102提供的版权对象(RO)中为DRM内容指定的规则和约束来控制对DRM内容的访问。在没有相关联RO的情况下，DRM内容不能由用户设备100使用。用户设备100的用户可从内容提供商102的内容发行中心(Content Issuer)(CI)103访问与内容的使用有关的某种限制相关联的DRM内容，例如，如预览试用版本或完全版本。在将可从内容提供商检索的内容识别为DRM内容时，调用用户设备100的DRM代理101。在第一步骤1:1中，将选定DRM内容从CI 103转发到DRM代理101。DRM内容通过对称内容加密密钥(CEK)进行加密，并且为了让用户设备100的用户得到对DRM内容的完全访问权，DRM代理101在下一步骤1:2a中从内容提供商102的版权发行中心(RI)104请求RO。所有DRM代理均提供有独特的密码密钥对和证书，这允许内容和版权发行中心使用标准PKI过程来安全地认证DRM代理。除版权信息外，例如能够是XML文档的RO包含一个或多个密码密钥和/或对于解密和验证DRM内容的完整性可能需要的其它数据。当请求的DRM代理101已被认证时，诸如一个或多个密码密钥等与输送的DRM内容相关联的RO的敏感部分在被加密后才输送到DRM代理101。现在在密码上绑定到DRM代理101的RO可使用任何可用的传输机制传输到用户设备100的DRM代理101。在DRM代理101，DRM内容被解析，使得相关联的DRM内容能根据RO中指定的使用规则和约束被呈现。

DRM内容只能通过有效RO访问，因此，DRM内容可自由地从一个用户设备分发到其它用户设备。这实现例如超级分发(superdistribution)，允许用户在他们之间自由地传递DRM内容。输送到用户设备100的DRM内容例如可转发到并存储在诸如可移动媒体等网络存储装置105中。这通过步骤1:3a示出。在步骤1:3b中，DRM代理101将检索的DRM内容分发到包括另一DRM代理107的另一用户设备106。然而，为了能够访问从用户设备100提供的DRM内容，用户设备106的DRM代理107必须从RI 104请求新RO。这在可选的下一步骤1:2b中完成。RI 104认证DRM代理107，并确定RO是否要被提供到用户设备106及其相关联的DRM代理107。如果RO被提供到DRM代理107，则用户设备106的用户也可获得对DRM内容的访问权。DRM代理107得到对DRM内容的完全访问权或受限访问权完全取决于检索的RO的指令，即，此RO可以不一定与以前提供到DRM代理101的RO目同。

本文档关注的是上述的使用DRM概念的一种备选方式。我们提议一种用于以安全和用户友好的方式来记录、传送和存储诸如视频、单个或一系列静态图片和/或音频等媒体的扩展DRM机制，而不是使用DRM向提供商保证某一内容已经以合法方式处置，其中DRM用于呈现数据。扩展DRM机制允许用户设备的用户触发用户设备以执行记录和根据内容相关的记录指令来传输记录的内容。通过利用已知DRM功能性，将在下面更详细描述的提议的扩展DRM机制能从记录的启动到记录的内容在信任的存储装置的存储对记录的内容提供高安全性。通过耦合到标准DRM系统，从记录到呈现来扩展保护。下面将进一步描述此扩展特征。

在针对上述的一种情形的特定实施例中，用户触发“不可反转”记录。期望的特征是启动记录的个人能确信在整个过程期间任何未经授权的个人将不可检索或篡改数据。对已记录、传送到并存储在信任的存储装置中的内容的访问受到限制，甚至可能排除记录人员能够对记录的内容有任何类型的访问。使用用于记录活动的扩展DRM机制的最终用户因此将不拥有记录的媒体，对记录的媒体也不具有版权的任何控制。一旦在安全的存储装置中存储后，只有诸如执法人员等经授权的人员将能够访问记录的内容。

提议的记录机制可用于记录匆忙发生、因此可能突然出现的意外事件。通过提供此类型的服务，向记录的个人提供此类高级别的安全性，记录例如犯罪行为的事件的意愿可能大大提升。此外，仅在知道例如上述机制的机制在公共中使用后，才可对意图进行犯罪行为的人起到威慑作用。

另外，提议的记录机制的引入还将提供更可靠的方式来保护任何类型的计划活动的安全，其中存在对于安全存储文献的需要。在需要能够在以后的场合访问原文献以及希望能够提供文档确实与原来签署的文档是相同文档的证据的情况下，例如当保护某次调查的文献安全时或当保护协定的签署安全时，这可以适用。

建议的记录机制的另一重要方面是它必须易于启动，即，激活记录的触发过程应优选地要求尽可能少的用户交互。

现在将参照图2，给出扩展DRM记录机制的一般描述，图2示出的用户设备200a，包括表示为记录代理201的装置，其适合于根据上面所述的来管理用于以安全方式记录和存储活动的过程。记录代理201可以是通过附加逻辑提供的常规DRM代理，适合于根据所要求权利的发明的一个实施例向用户设备200a提供记录设施，或者是专用于安全记录的管理的单独记录代理。可以是固定或便携式用户设备的用户设备200a连接到能够响应记录代理201识别触发器指示而由记录代理201管理的记录设备203和触发器202。记录设备203优选地包括自动配置的记录功能，该功能可在制造期间实现，适合于响应从版权发行中心(RI)204提供到记录设备203的指令而操作。

虽然只装备有一个触发器202和一个记录设备203，但应理解，备选地可有两个或更多记录设备连接到用户设备200a和相关联的记录代理201。还应理解，建议的记录代理201可配置成由两个或更多触发器来激活，其中，记录代理201的逻辑的激活可取决于一次一个触发器或不同触发器的组合。逻辑也可布置成启动不同活动或活动链，取决于已被激活的触发器的组合或多个不同触发器的哪个。

连接到外部触发器202和外部记录设备203的用户设备200a的一种备选方案示为200b，其中，备选用户设备200b作为集成实体来提供，包括集成触发器202以及集成记录设备203。还应理解，在不同的备选实施例中能轻松提供集成和分布式实体的组合，其中，相应实体可经任何类型的常规有线或无线通信协议相互通信。

在图2中，触发器202在第一步骤2:1中激活记录代理201。记录代理201的逻辑配置成将触发器识别为开始受保护记录过程的指令。受保护记录过程将由记录和存储指令(RSI)来指定，该指令是从服务提供商206的RI 204可检索的特定类型的版权对象(RO)，提供受保护记录服务。触发器或备选地触发器的组合因此将指示记录代理201的逻辑定位一个或多个可用RI的RI 204，并请求与特定记录过程相关联的RSI。除了包括用于一个或多个记录过程的执行的可执行指令和特定指令外，RSI一般包括指令用于如何定位，并且如果有多个储存部件，还用于如何选择存储装置，即信任的记录和存储过程的端接实体(terminating entity)。另外，RSI包括一个或多个密码密钥，这对于向提议的信任的记录和存储过程提供要求的安全性级别是必需的，例如，用于在记录的内容传输到选定存储装置前对其进行加密和/或完整性保护。

信任的记录服务因此可作为一个标准记录过程或作为多个不同记录过程来提供，其中多个不同记录过程的每个过程可适合于不同的情况和需求。在步骤2:2中请求相应的RSI，其中，所述请求包括与用户设备或记录代理的密码密钥关联的用户设备、记录代理的至少一个(随机)独特的标识符或任何其它标识符、凭据、证书等。RI 204借助于可由在RI 204与记录代理201之间的一个或几个消息交换组成的认证协议，认证记录媒体的所宣称的身份。一旦通过认证，便基于相应的一个或多个触发器及可能地还基于记录代理201的逻辑来选择RSI。在输送到记录代理201前，根据任何常规DRM机制，以对记录代理201适当的方式对RSI的所有或敏感部分进行加密和/或完整性保护。另外，RI 204可以数字方式签名RSI。在步骤2:3中，由此在密码上绑定到记录代理201的RSI随后被输送到记录代理。如上所述，诸如OMA DRAM ROAP等安全的标准化协议可用于RSI的认证和输送。应理解，多个已知加密和/或完整性保护机制的任何机制和/或其它信息安全技术可用于此目的。在本文档中将不进一步论述安全性细节。

记录代理201的逻辑将RIS的内容识别为用于在记录设备203激活指定的信任的记录过程的规则和约束。在一个实施例中，记录代理201的逻辑可基于相当简单的预配置指令，依赖详细的指令，指定信任的记录过程的管理。然而，在另一备选实施例中，记录代理201可包括详细记录指令，其只依赖与相应RSI一起输送的少数情况相关指令。信任的记录过程的管理因此由记录代理201确定的数据与相应RSI的指令之间的交互来确定。此类交互可取决于一个或多个参数，如当天的时间、至少一个触发器、记录代理的位置、网络性能、可能的信任的存储装置的负载或用户交互。

用于管理信任的记录过程的指令可适合于根据不同的情况来操作，例如，记录可配置成只要键盘按键被按下便继续，或者只要用户设备200a、200b的电池允许便继续。

在记录过程启动前，要定位信任的存储装置205。在当前环境下，信任的存储装置205应在最终用户认为值得信任的组织或机构的监督之下。在一个实施例中，可基于记录代理201的逻辑和/或基于相应RSI的指令来定位信任的存储装置。在另一实施例中，可以仅基于相应触发器或触发器的组合来确定相关信任的存储装置。在例如触发可疑犯罪活动的记录时，信任的存储装置优选由警察部门、本地警察局或信任的组织来管理。在签署协定的情况下，信任的存储装置205可转而由授权的公证人来管理。RI 204和信任的存储装置205一般均位于信任的记录服务提供商206的场所，但也可以是分布式的，并且甚至由不同的负责机构来控制。

一旦定位后，便在记录代理201与信任的存储装置205之间建立路径或任何其它传输规范。这通过下一步骤2:4示出。从记录过程开始的时刻起，直至它在信任的存储装置205中存储，由于信任的记录机制提供的密码保护，提议的信任的记录功能将提供记录的内容的保护，防止任何方的访问。

在路径或其它传输规范已建立的情况下，如下一步骤2:5中所示，记录代理201基于可能与记录代理201确定的数据组合的RSI的内容，激活在记录设备203的信任的记录。记录由指示记录设备203如何及何时记录活动的记录代理201来管理。记录的内容被转发到记录代理201，在那里它受到保护，以避免偷听和篡改内容。发送侧使用在以前步骤期间获得的密码密钥和其它信息和/或附加信息来对媒体进行加密和完整性保护，例如，通过使用PKCS(公共密钥密码标准)#7来保护静态照片，或使用SRTP(安全实时协议)来保护视频流等，由此将访问限于合法实体，并使得在传送期间能够检测操纵尝试。一般情况下，保护的内容在步骤2:6中在选定路径上被输送到信任的存储装置205前，在记录代理201的专用缓冲部件(未示出)中缓冲。

任何数据网络或传输服务可适合于内容到信任的存储装置的输送，例如，流传送的视频或音频可使用通过UDP和IP的实时传输协议(RTP)来传输，而照片可使用通过TCP和IP的文件传输协议来输送。其它媒体格式可用于提供时间戳的信息，如SMIL。

对称密钥可存储在记录设备203中以用于以后的法庭辩论以证明此用户设备确实进行了明确的记录。应注意的是，对记录设备203的认知，甚至到能够将它认证和视为合法的程度，也不暗示该用户执行该记录的任何认知。

在另一示范实施例中，发送方及接收方可执行协议，由此发送侧可执行盲签名操作以实现发送方的匿名。

由于上述保护机制，网络的网络运营商一般将不具有对录制内容的访问权。然而，网络运营商通常能识别和登记信息传送的发送方和接收方以及传送的时间。所述登记可包含有关IP地址或移动电话预订的信息，这可给出有关用户的一些信息。由于职业性机密，此类信息一般不可由任何其它方访问。用户匿名可由用户的运营商通过从传送到信任的存储装置的内容中去除用户和/或订户数据来提供。

然而，在仅于某些司法情形下可采用的合法侦听(LI)的例外情况下，此信息能向授权的机构公开，如警察局，并因此用于破解用户匿名。

可选的是，诸如由人提供的叙述文本或话音消息、由记录设备登记的时间、位置和/或例如用户设备400的方向或海拔、加速度、温度的其它测量参数等任何附加信息可作为附加元数据附连到记录的内容并与内容一起存储。

信任的存储装置205可向记录代理201逐渐指示输送的内容的成功接收和存储，之后，从记录代理201擦除相应成功输送和存储的内容部分，由此当完整的记录场景已转发到信任的存储装置205时在用户设备上不留下信任的记录的痕迹。此指示信息一般受到完整性保护以避免因意外或恶意引起的记录内容和相关联数据的去除的风险。

信任的存储装置205也可适合于生成到一个或多个指定地址的消息，通知信任的内容的成功接收，从而立刻让例如某个机构知道新内容。现在将参照图3，进一步详细地陈述根据上述实施例、适合于提供活动的安全记录和输送的示范用户设备200b。

图3所示的用户设备200b包括记录代理201，提供有记录逻辑300，适合于识别一个或多个触发器和RSI以及基于从一个或多个触发器和相关联RSI检索的信息来管理信任的记录和存储过程。一般情况下，记录代理201还包括专用缓冲器301，适合于缓冲从记录设备203接收的记录内容。

适合于经RSI的指令由记录代理201管理的记录设备203可以是例如用于记录一个或多个静态图片的静态图片摄像机、用于记录胶片序列的视频摄像机、用于记录音频的麦克风、用于记录物理参数的传感器或由致动器控制的任何类型的记录实体中的任何一项。

用户设备200b还包括触发部件202，该部件适合于从用户启动的机械激活或者从致动器或传感器的激活来对记录逻辑300提供一个或多个触发器。备选地，传感器或致动器可实现为作为触发部件操作的报警器的部分，其中，报警器可以对诸如移动、位置、温度、电平、光或声等任何一个或多个可测量参数敏感。

一般情况下，用户设备200b提供有机械部件，如专用于启动信任的记录的用户设备201的键盘的按键，允许仅需按下专用按键时便开始记录过程。另一备选解决方案是提供菜单选项，用户能轻松地从其选择选定的选项。第三个选项是为用户设备200b提供诸如麦克风等部件，其适合于将预定的词句的说出识别为开始提议的记录过程的命令。

包括键盘、麦克风、扩音器和显示器并可选还包括触摸屏以及其它备选部件的常规用户接口示为302a。如果用户设备的常规键盘、触摸屏和/或麦克风也用于所述信任的记录目的，则触发部件可以是用户接口的一部分。此类备选用户接口在图中表示为302b。

为了提供记录的内容的安全存储，用户设备通常提供有用于远程传送的单独部件303a。此类部件可包括用于例如GSM、UMTS、WIMAX的蜂窝通信或经例如PSTN或因特网的固定通信的常规通信部件。如果用户设备适合于与一个或多个外部触发器和/或传感器通信，则它也可提供有专用于近程通信的部件303b。此类可选的近程收发器可根据诸如WLAN、蓝牙、Zigbee或IrDa等通信协议来操作。

与提议的信任的记录过程的触发相关联的一个重要问题是错误启动信任的记录过程的风险低。此类风险可通过实现组合的触发机制而降低。例如，按下按键和说出预定单词的组合将大大消除了错误启动信任的记录的风险。

现在将参照图4，描述根据向便携式用户设备的用户提供信任的记录服务的第一实施例的所要求权利的发明。图4涉及信任的记录系统，该系统适合于为提供有诸如蜂窝电话、个人数字助理(PDA)或无线膝上型计算机等无线用户设备200的用户提供记录的活动的安全记录和存储，所述无线用户设备提供有参照图2和图3所述的记录代理(未示出)。无线用户设备200的记录代理适合于在收到触发器_1202a和触发器_2 202b的组合时启动信任的记录过程，其中，触发器_1可例如由用户在第一步骤4:1中按下专用按键来启动，而触发器_2可在第二步骤4:2中由用户根据当前环境说出诸如“警察”、“事故”或“调查”等单词来启动。通过预定义特定单词，此类触发过程可提供一个或多个不同的信任的记录过程之一，这些记录过程易于启动，而且适合于以适当的方式操作。在下一步骤4:3中记录代理的逻辑呈现触发，而在步骤4:4中定位RI 204，并请求RI 204的RSI。当记录代理已由RI 204认证时，在下一步骤4:5中请求的RSI被输送到无线用户设备200的记录代理。

一旦输送到记录代理，在步骤4:6中，记录代理的逻辑便解释RSI的内容，信任的存储装置205被定位，并且路径在记录代理与信任的记录服务提供商206的信任的存储装置205之间建立，其中，可根据可选地与记录代理的逻辑中指定的一个或多个预定准则组合的RSI的内容，选择路径及信任的存储装置。路径可经例如GSM或UMTS连接来建立，其中，无线用户设备200的常规通信部件正在经接入节点401访问无线网络400，例如，用户的家庭网络。应理解的是，表示为步骤4:4和4:5的无线用户设备200与版权发行中心204之间的通信以及表示为步骤4:6和4:10的无线用户设备200与信任的存储装置之间的通信可经相同路径来执行。

信任的存储装置205可以是多个可访问存储部件的任何一个，并且可在网络地址或其它定位符或目的地信息方面预定义，此类信息可包括在RSI中或者可由逻辑从另一目的地检索。一种特别重要的情形是当天的时间和指示例如发送或记录设备的位置的位置信息用于决定相关目的地的情形，例如在工作日的办公时间期间，记录的媒体可转移到由用户设备的位置确定的邻近保安人员，并且在办公时间之外，转移到24小时值班的地区警察局(也由用户设备的位置来确定)。备选地，用于记录的媒体的目的地可由例如“紧急触发器”、“交通违章触发器”等触发器的组合或选定触发器来指定，并且结果是，媒体和其它可选数据可路由到例如本地警察局、本地医院或交通监管中心。

除了将记录的内容输送到信任的存储装置205外，内容还可输送到另一机构服务器，该服务器可位于例如本地医院、危机中心的场所或其中的有资格人员可能需要例如事故的情形等重要实时信息或接近实时信息的任何其它地点。

接着，记录逻辑通过将从RSI检索的指令转发到可集成于或附连到无线用户设备200的摄像机203a、传感器203b来启动信任的记录过程。随后，根据检索到的RSI的内容，从记录代理来管理这两个部件，直至信任的记录过程终止。这两个部件的启动和管理分别示为步骤4:7a和4:7b，其中，记录过程可设置为立刻、或在根据预定规则设置的某个延迟之后或随机地开始，这完全取决于已在RSI中所指定的，并且可能也取决于记录代理的记录逻辑的配置。

分别在步骤4:8a和4:8b中，记录的内容被转发到记录代理。在用户设备中，可在专用缓冲器部件(未示出)中缓冲的记录的内容在步骤4:9中根据RSI的指令来保护。在最后的步骤4:10中，受保护的内容被输送到选定的信任的存储装置205。

根据上述实施例的系统优选地适用于以下情况：其中要求便携式用户设备用于使得能够适当地记录当前情况。然而，存在其中将不需要便携式用户设备来保护活动安全的情况。当两个或更多的人要在例如相应个人之一的场所签署协定时，此类情形可发生。

适合于根据第二实施例操作的系统包括固定用户设备500(在该例中是PC)，该设备包括记录代理(未示出)。PC 500的记录代理适合于在识别第一步骤5:1中可从例如菜单进行的用户选择激活的单个触发器202时，激活信任的记录过程。记录代理的记录逻辑在步骤5:2中识别与该触发器相关联的指令，这启动用于由触发器指定的从内容提供商206的RI 204检索RSI的步骤5:3。RI 204可由触发器预定义或识别。在下一步骤5:4中，在RSI被输送到记录代理前，RI 204认证记录代理。在步骤5:5中，记录代理解释检索到的RSI的指令，信任的存储装置被定位，并且经接入节点501，通过网络500到信任的存储装置的路径被建立。如前面关于第一实施例的描述所述，如何建立路径和在什么准则上选择信任的存储装置205可取决于不同的准则。一旦路径已在记录代理与信任的存储装置205之间建立，则记录逻辑要采取的下一步骤就是激活连接到固定用户设备500的多个记录设备203a、b、c、d，其中，记录设备适合于记录如触发器和RSI的内容所指定的、相应触发器202所寻址的不同类型的数据，例如协定的签署。在此示范实施例中，可以是分布式记录设备、连接到固定用户设备500或集成于固定用户设备500的不同记录设备203a、b、c、d包括：摄像机203a，例如视频或静态图片摄像机，适合于记录签署过程；麦克风203b，适合于记录在要记录的活动期间所说的内容；屏幕手柄(screen pad)203c，适合于记录例如要用于将参与的人绑定于签署的协定的签署；以及读卡器203d，适合于读取例如卡的数字签名。指示指令转发到记录设备203a、b、c、d的步骤示为步骤5:6a、b、c、d。此转发能够由记录逻辑在呈现检索的RSI时直接启动，或者由固定用户设备200的用户激活的菜单逻辑来启动。

相应记录设备记录的内容在前面的步骤5:7a、b、c、d中连续被输送到记录逻辑，其中，记录的内容在步骤5:8中受DRM保护，并且一般情况下还在专用缓冲器(未示出)中缓冲。在下一步骤5:9中，记录逻辑管理受保护的内容通过选定路径到信任的存储装置205的输送。在已检索并存储部分输送的内容时，信令连接可由内容提供商206用于向记录代理指示成功的存储，由此记录逻辑从缓冲器擦除相应内容部分。

现在将参照图6，描述根据一个实施例的、在用户设备200主管的记录代理201。为简明起见，图中已忽略用户设备的另外功能。适合于根据上述任何实施例执行信任的记录过程的记录代理201一般包括可分离成多个交互功能的记录逻辑300。根据此实施例，记录逻辑300包括定位部件600，该部件适合于识别设置为触发信任的记录过程的一个或多个触发器，并在已识别一个或多个触发器时，适合于定位适当的RI(204)。定位部件600还适合于在RSI已输送到记录代理201后定位信任的存储装置。RSI由实现例如ROAP的检索协议的检索部件601来检索。此外，激活和管理部件602适合于激活和管理记录，管理一个或多个记录设备以根据RSI的指令和其它数据的组合来执行信任的记录过程。保护部件603适合于在记录的内容和可选的相关联元数据被转发到信任的存储装置前保护记录的内容和可选的相关联元数据。保护部件604一般包括专用的基于硬件和/或软件的密码模块以用于实现密码功能性的加速处理。根据所述实施例的记录代理201还包括传送部件604，该部件适合于利用主管记录代理201的用户设备的传送功能，提供信任的内容的安全传送。记录代理还可包括用于缓冲记录的内容的缓冲部件301。

通过给予术语“信任的存储装置”与上面不同的解释，我们得到目前为止所述两个实施例的备选版本。

通信安全性能够以至少下面两个备选方式来获得，即：

使用安全性协议在传输期间保护信息，其中，依赖目的地的可信任性/完整性来维护信息的安全性。备选地，信息本身受到保护，并且任何可靠的传输和存储技术用于受保护的内容的传输和存储。

前两个实施例使用了第一通信安全性备选方案来描述信任的存储装置的概念。我们现在将陈述使用第二备选方案的部分实施例。

在此第三实施例中，触发、RSI的请求和检索及存储装置的定位以与第一实施例中相同的方式来完成。然而，不同于在信任方以明文格式来验证、解密和存储内容，内容在存储装置中仍受保护，并因此它能不带机密性要求被储存。在这种情况下，存储装置位于公共环境中。信息仍必须受到保护，防止意外或恶意更改，这些更改将可能检测到，但不一定可能从其恢复。

如上所述，此操作模式是基于已知DRM技术的。根据本发明的第三实施例，我们使用DRM技术，不但检索RSI，而且控制内容的呈现。

在请求时，RI生成RSI，该RSI包含将通过其保护内容的密码密钥。相同的密钥在此第三实施例中由RI在生成RO以授权内容的用户时使用。

以此方式，不同类别的用户能访问内容的不同部分，例如，在事故的情况下，警察能得到不同于医疗专家可访问的其它信息。当看到具有来自法庭的存储摄影的另一情形时，记者可被允许使用音频记录，而警官对存储的材料有完全访问权。

在RSI的请求时，RI能使用例如OMA域RO已经为指定的用户群准备好RO，OMA域RO为同一域中的用户提供对相同内容的访问权。RI能设计RSI和RO以适合预期用户和/或当前情况。在紧急情况下，例如可激活附加记录设备以从选定现场快速收集尽可能多的信息。

虽然本发明已参照特定示范实施例来描述，但这些描述一般仅旨在示出发明概念，并且不应视为限制本发明的范围。

Claims (27)

1.一种由用户设备(200a，200b)主管的装置(201)的方法，用于保护记录的活动的记录和存储的安全，包括以下步骤：

-响应识别至少一个触发器(202)，定位版权发行中心(RI，204)，

-从所述RI检索(2:3)记录和存储指令(RSI)，

-定位(2:4)用于记录的内容的安全存储的信任的存储装置(205)，

-根据所述RSI的内容，激活和管理(2:5)在至少一个记录设备(203)的记录，

-根据所述RSI的内容从所述记录的内容生成保护的内容，

-将所述保护的内容传送(2:6)到所述信任的存储装置。

2.如权利要求1所述的方法，其中所述至少一个触发器由以下的至少一项来启动：机械部件的按下、菜单选项的选择、词句的说出、传感器、致动器和/或报警器的激活。

3.如前面权利要求任一项所述的方法，其中依赖所述一个或多个触发器和/或附加数据，选择从所述RI检索的RSI。

4.如前面权利要求任一项所述的方法，其中，在将RSI从所述RI提供到所述装置之前，所述RI认证所述装置。

5.如前面权利要求任一项所述的方法，其中所述RSI还包括当生成所述保护的内容时要使用的至少一个密码密钥。

6.如权利要求1所述的方法，其中所述RSI的内容包括依赖在激活和管理记录的所述步骤中由所述装置确定的数据的特定指令和可执行指令。

7.如权利要求6所述的方法，其中所述特定和可执行指令取决于以下的至少一项：当天的时间、所述至少一个触发器、所述装置的位置、网络性能、可能的信任的存储装置的负载或用户交互。

8.如前面权利要求任一项所述的方法，其中所述至少一个信任的存储装置是由授权的实体管理和控制的数据的存储装置，或对其的访问由DRM机制来控制的保护的内容的存储装置。

9.如前面权利要求任一项所述的方法，其中标准化协议用于所述RSI到所述装置的输送。

10.如权利要求8所述的方法，其中所述标准化协议是OMADRM版权对象获取协议(ROAP)。

11.如前面权利要求任一项所述的方法，其中所述记录立刻、或在根据预定规则设置的延迟后、或随机地被激活。

12.如前面权利要求任一项所述的方法，其中所述记录包括以下之一或其组合：视频记录、摄像机记录、音频记录和/或至少一个测量参数的记录。

13.如前面权利要求任一项所述的方法，其中在将所述记录的内容转发到所述信任的存储装置之前，将元数据添加到所述内容。

14.如权利要求13所述的方法，其中所述元数据是以下至少一项：人提供的叙述文本或话音消息、所述用户设备时间、所述用户设备登记的位置、或测量参数。

15.如权利要求14所述的方法，其中所述至少一个测量参数是以下至少一项：主管所述装置的用户设备的方向或海拔、加速度、温度。

16.如前面权利要求任一项所述的方法，其中用户匿名由所述用户的运营商通过在将保护的内容转发到所述信任的存储装置之前去除与它相关联的所述用户/订户数据来提供。

17.如权利要求16所述的方法，其中在所述用户/订户身份与目的地地址和/或所述记录的时间之间的绑定能由所述运营商用于破解所述匿名。

18.如前面权利要求中任一项所述的方法，还包括以下步骤：

-在已接收记录的内容部分已在所述信任的存储装置成功存储的指示时，从所述装置擦除相应内容部分。

19.一种在用户设备(200a，200b)实现的装置(201)，适合于管理活动的安全记录和存储，包括：

-用于定位版权发行中心(204，RI)以响应识别至少一个触发器(202)的部件，

-用于从所述RI检索记录和存储指令(RSI)的部件，

-用于定位用于记录的内容的安全存储的信任的存储装置(205)的部件，

-用于根据所述RSI的内容来激活和管理在至少一个记录设备(203)的记录的部件，

-用于根据所述RSI的内容来保护所述记录的内容的部件，以及

-用于将所保护的内容传送到所述信任的存储装置的部件。

20.如权利要求19所述的装置，其中所述定位部件适合于识别由以下至少一项启动的至少一个触发器：机械部件的激活、菜单选项的选择、词句的说出、传感器的激活和/或报警器的激活。

21.如权利要求19或20所述的装置，其中所述保护部件适合于使用从所述RSI检索的至少一个密码密钥对记录的内容进行加密和/或提供完整性保护。

22.如权利要求19、20或21所述的装置，其中所述定位部件适合于基于以下至少一项从多个信任的存储装置定位信任的存储装置：当天的时间、所述至少一个触发器、所述RSI的内容、所述装置的位置、网络性能、可能的信任的存储装置的负载或用户交互。

23.如权利要求19-22的任一项所述的装置，其中所述激活和确定部件适合于确定所述RSI中包括的特定指令和可执行指令依赖的数据。

24.如权利要求19-23的任一项所述的装置，其中所述激活和管理部件适合于管理包括以下之一或其组合的记录：视频记录、摄像机记录、音频记录和/或至少一个测量参数的记录。

25.如权利要求19-24的任一项所述的装置，其中所述保护部件适合于在将所述记录的内容转发到所述信任的存储装置之前将元数据添加到所述内容。

26.如权利要求25所述的装置，其中所述元数据是以下任何项：人提供的叙述文本或话音消息、所述用户设备时间、所述用户设备登记的位置和/或测量参数。

27.如权利要求26所述的装置，其中所述至少一个测量参数是以下的至少一项：主管所述装置的用户设备的方向或海拔、加速度、温度。

Images