JP2005318538A - 権利管理端末、サーバ装置および利用情報収集システム - Google Patents

Abstract

【課題】 なりすましおよびプライバシーを守りつつ、利用情報をセキュアに通信することが可能な権利管理端末を提供する。
【解決手段】 権利管理端末は、端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含む第１公開鍵証明書と、当該第１公開鍵証明書に含まれる第１公開鍵とペアの第１秘密鍵とをセットで管理する第１証明書管理手段と、前記識別情報を含まない第２公開鍵証明書と、当該第２公開鍵証明書に含まれる第２公開鍵とペアの第２秘密鍵とをセットで管理する第２証明書管理手段と、前記第１公開鍵証明書および第１秘密鍵並びに前記第２公開鍵証明書および第２秘密鍵のいずれか一方をセットで選択する選択処理手段と、前記選択処理手段がセットで選択した公開鍵証明書と秘密鍵とを用いて、サーバ装置との通信に際して、認証処理を実行する認証処理手段とを備える。
【選択図】 図７

Description

本発明は、権利管理端末、サーバ装置および利用情報収集システムに関し、特に、端末装置で利用されたデジタルコンテンツの利用実績などの利用情報を、匿名で、かつなりすましを防止しつつ収集する技術に関する。

近年、通信や放送を介して、映像や音楽などのデジタルコンテンツ（以降、コンテンツと略す）をサーバ装置（単に「サーバ」とも記す。）から端末装置（以下、「端末」や「権利管理端末」とも記す。）に配信し、端末装置においてコンテンツを利用するコンテンツ配信サービスが実用化段階に入っている。一方、デジタル機器の発展に伴い、コンテンツの不正コピーなどが容易に行えるようになり、コンテンツの著作権が侵害されるという問題が増加している。そのため、コンテンツ配信サービスにおいては、コンテンツの不正利用を防止することを目的とした著作権保護技術（ＤＲＭ：Ｄｉｇｉｔａｌ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ）が用いられている。ここで、著作権保護技術とは、端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含む公開鍵証明書（以下、「通常証明書」とも記す。）と、当該公開鍵証明書に含まれる公開鍵とペアの秘密鍵とを用いた認証技術や暗号技術などにより、正規のユーザや端末装置にのみライセンスをセキュアに提供し、そのライセンスに設定された利用条件内でコンテンツの利用を許可する技術である。

ところで、特許文献１には、コンテンツ配信サービスで配信された各コンテンツの視聴率調査などを目的として、端末装置が利用したコンテンツの利用実績を記録しておき、その利用実績を定期的にサーバ装置に送信するといった利用実績収集システムの一例が記述されている。
特表２００２−５２２９９５号公報

サーバ装置が視聴率調査を正しく行うためには、正しい端末装置からの利用実績のみを受け付けて、なりすましといった不正な端末装置からの利用実績は排除する必要がある。この解決策としては、端末装置へライセンスを配信する場合と同じように、通常証明書を用いた認証技術を用いて、送信相手が正しい端末装置であることを確認して、利用実績を受信すればよい。

しかしながら、端末認証を行って利用実績を受信するとなると、通常証明書から識別情報がわかるので、端末や、ユーザが特定され、プライバシーの侵害に当たる可能性があるという問題がある。

このような問題は、利用実績を収集する場合に限られず、コンテンツの利用についてのアンケートを回収する場合など、広くユーザのコンテンツ利用に関する利用情報一般にいえることである。

そこで、本発明では、上記問題点に鑑み、なりすましおよびプライバシーを守りつつ、利用情報をセキュアに通信することが可能な権利管理端末、サーバ装置および利用情報収集システムを提供することを目的とする。

上記目的を達成するために、本発明に係る権利管理端末においては、コンテンツの利用条件を含むライセンスを用いて、当該コンテンツの著作権を管理する権利管理端末であって、端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含む第１公開鍵証明書と、当該第１公開鍵証明書に含まれる第１公開鍵とペアの第１秘密鍵とをセットで管理する第１証明書管理手段と、前記識別情報を含まない第２公開鍵証明書と、当該第２公開鍵証明書に含まれる第２公開鍵とペアの第２秘密鍵とをセットで管理する第２証明書管理手段と、前記第１公開鍵証明書および第１秘密鍵並びに前記第２公開鍵証明書および第２秘密鍵のいずれか一方をセットで選択する選択処理手段と、前記選択処理手段がセットで選択した公開鍵証明書と秘密鍵とを用いて、サーバ装置との通信に際して、認証処理を実行する認証処理手段とを備えることを特徴とする。

これにより、なりすましおよびプライバシーを守りつつ、利用情報をセキュアに通信することが可能となる。

また、本発明に係る権利管理端末においては、前記選択処理手段は、サーバ装置との通信に用いる実行コマンドの種類に応じて、認証処理で使用する公開鍵証明書と秘密鍵をセットで選択することを特徴とすることができる。

また、本発明に係る権利管理端末においては、前記選択処理手段は、前記実行コマンドが、ユーザによるコンテンツの利用に関する利用情報を前記サーバ装置に通知するものである場合には、前記第２公開鍵証明書と第２秘密鍵をセットで選択し、その他の場合には前記第１公開鍵証明書と第１秘密鍵をセットで選択することを特徴としてもよい。

また、本発明に係る権利管理端末においては、前記利用情報は、コンテンツの利用実績であり、前記選択処理手段は、前記実行コマンドが、前記利用実績を前記サーバ装置に通知するものである場合に、前記第２公開鍵証明書と第２秘密鍵をセットで選択することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記選択処理手段は、前記利用実績を前記サーバ装置に通知する実行コマンドを、当該端末装置を利用するユーザにより指示された場合、前記第２公開鍵証明書と第２秘密鍵をセットで選択することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記選択処理手段は、前記利用実績を前記サーバ装置に通知する実行コマンドを、前記サーバ装置から指示された場合、前記第２公開鍵証明書と第２秘密鍵をセットで選択することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記権利管理端末は、さらに前記利用実績を管理する利用実績管理手段を備え、前記利用実績管理手段は、前記利用実績が前記サーバ装置に通知された場合、管理する利用実績を削除することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記利用情報は、コンテンツの利用に関するアンケートであり、前記選択処理手段は、前記実行コマンドが、前記アンケートを前記サーバ装置に通知するものである場合に、前記第２公開鍵証明書と第２秘密鍵をセットで選択することを特徴とすることができる。

また、本発明に係る権利管理端末においては、前記第２証明書管理手段は、前記第２公開鍵証明書と、第２秘密鍵とをセットで予め管理することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記第２証明書管理手段は、当該端末装置を利用するユーザが権利管理システムに入会した場合に、前記サーバ装置から送られてくる前記第２公開鍵証明書と、第２秘密鍵とをセットで管理することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記第２公開鍵証明書と第２秘密鍵は、前記ライセンスに含まれており、前記第２証明書管理手段は、前記ライセンスと共に、前記第２公開鍵証明書と、第２秘密鍵とをセットで管理し、前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記ライセンスの中から取得することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記第２公開鍵証明書と第２秘密鍵は、前記コンテンツに含まれており、前記第２証明書管理手段は、前記コンテンツと共に、前記第２公開鍵証明書と、第２秘密鍵とをセットで管理し、前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記コンテンツの中から取得することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記第２公開鍵証明書と第２秘密鍵は、前記コンテンツまたはライセンスの概要を示すメタデータに含まれており、前記第２証明書管理手段は、前記メタデータと共に、前記第２公開鍵証明書と、第２秘密鍵とをセットで管理し、前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記メタデータの中から取得することもできる。

また、本発明に係る権利管理端末においては、前記第２公開鍵証明書と第２秘密鍵は、放送電波に含まれており、前記権利管理端末は、さらに前記放送電波内から前記第２公開鍵証明書と第２秘密鍵を取得する放送電波内証明書取得手段を備え、前記第２証明書管理手段は、前記放送電波内証明書取得手段が取得した前記第２公開鍵証明書と、第２秘密鍵とをセットで管理することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記第２公開鍵証明書と第２秘密鍵のペアは、端末を使用するユーザの属性を証明する属性証明書と、当該属性証明書に含まれる第３公開鍵とペアの第３秘密鍵とのペアで構成され、前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記属性証明書と第３秘密鍵をペアで取得することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記第２公開鍵証明書と第２秘密鍵のペアは、異なる属性が格納された複数の属性証明書と、各属性証明書ごとの第３秘密鍵とのペアの束で構成され、前記権利管理端末は、さらに端末を使用するユーザのプロファイルを管理するユーザプロファイル管理手段を備え、前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、束の中から前記プロファイルに一致する属性を含む前記属性証明書と第３秘密鍵をペアで取得することを特徴とすることもできる。

また、本発明に係る権利管理端末においては、前記第２証明書管理手段は、前記サーバ装置から送信されてきた所定の属性が格納された前記属性証明書と前記第３秘密鍵の１ペアを前記第２公開鍵証明書と第２秘密鍵として管理し、前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記第２証明書管理手段で管理される前記所定の属性が格納された属性証明書と第３秘密鍵をペアで取得することを特徴とすることもできる。

また、上記目的を達成するために、本発明に係るサーバ装置においては、コンテンツを利用する権利管理端末に必要となるライセンスを扱うサーバ装置であって、前記権利管理端末とデータ通信するに際して当該権利管理端末から送られてきた公開鍵証明書を用いて通信相手を認証する認証手段を備え、前記認証手段は、端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含まない第２公開鍵証明書が、権利管理端末から送られてきた場合、匿名のまま当該第２公開鍵証明書を用いて通信相手を認証することを特徴とする。

これによっても、なりすましおよびプライバシーを守りつつ、利用情報をセキュアに通信することが可能となる。

また、本発明に係るサーバ装置においては、前記サーバ装置は、さらに前記第２公開鍵証明書と、当該第２公開鍵証明書に含まれる第２公開鍵とペアの第２秘密鍵とをセットで権利管理端末に送信する証明書ペア送信手段を備え、前記認証手段は、前記証明書ペア送信手段が送信した第２公開鍵証明書と、前記権利管理端末から送信されてきた第２公開鍵証明書とが一致する場合に、当該権利管理端末が正当であると認証することを特徴とすることができる。

また、本発明に係るサーバ装置においては、前記サーバ装置は、さらに前記権利管理端末におけるユーザによるコンテンツの利用に関する利用情報を必要とする場合に、権利管理端末から当該利用情報を送信させるためのコマンドを送信するコマンド送信手段と、前記認証手段により正当であると認証された前記権利管理端末から送信されてきた利用情報を収集する利用情報収集手段とを備えることを特徴とすることもできる。

なお、本発明は、このような権利管理端末やサーバ装置として実現することができるだけでなく、権利管理端末とサーバ装置とから構成される利用情報収集システムとして構成したり、このような権利管理端末やサーバ装置が備える特徴的な手段をステップとする権利管理方法や、利用情報収集方法として実現したり、それらのステップをコンピュータに実行させるプログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ等の記録媒体やインターネット等の伝送媒体を介して配信することができるのは言うまでもない。

以上の説明から明らかなように、本発明によれば、利用実績やアンケートなどの利用情報を送信する場合、匿名認証用の公開鍵証明書と秘密鍵が選択され、これらを使用して認証処理が行われるので、端末装置の特定を行わずに、正しい端末装置からの利用情報であるということを確認して、利用情報を収集することができる。

したがって、コンテンツ配信サービスが実用化され、しかもプライバシーの尊重が重要視される今日における本願発明の実用的価値は極めて高い。

以下、本発明における実施の形態について、図面を用いて詳細に説明する。

（実施の形態１）
（システム構成の説明）
図１は、本発明における実施の形態に係る利用実績収集システムのシステム構成を示す図である。

図１に示されるように、本利用実績収集システム１は、サービス事業者１１が使用する会員管理サーバ１１１、ライセンス販売サーバ１１２、ライセンス管理サーバ１１３、利用実績収集サーバ１１４、コンテンツ配信サーバ１１５、ＬＡＮ１１６およびデータベース（以下、「ＤＢ」と略記する。）群１１７と、ユーザ２１が使用する権利管理端末（以下、「端末」あるいは「端末装置」とも記す。）２１１と、サービス事業者１１の各サーバとユーザ２１の権利管理端末２１１とを接続する有線または無線等の伝送路３１とから構成される。

ここで、会員管理サーバ１１１は、サービス事業者１１が提供するコンテンツ配信サービスへの入会を受け付けるサーバであって、権利管理端末２１１から入会要求を受け付けて、必要な入会手続き処理を実施する役割を果たす。

ライセンス販売サーバ１１２は、コンテンツを利用するに当たって必要となるライセンスを販売するサーバであって、権利管理端末２１１からライセンス購入要求を受け付けて、必要な購入手続き処理を実施する役割を果たす。

ライセンス管理サーバ１１３は、ユーザが購入したライセンスを発行するサーバであって、権利管理端末２１１からライセンス発行要求を受け付けて、その要求に対応するライセンスを発行する役割を果たす。なお、本実施の形態１では、ライセンス管理サーバ１１３は、利用実績を権利管理端末２１１から利用実績収集サーバ１１４に通知する際に使用される公開鍵証明書（匿名証明書）とこの匿名証明書に含まれる公開鍵とペアの秘密鍵とをライセンス中に含め、そのライセンスを権利管理端末２１１に配信する役割も果たす。

利用実績収集サーバ１１４は、ユーザが利用したコンテンツの利用実績を収集するサーバであって、権利管理端末２１１から利用実績通知要求を受け付けて、通知された利用実績を記録する役割を果たす。

コンテンツ配信サーバ１１５は、権利管理端末２１１に対して暗号化されたコンテンツを配信する役割を果たす。

ＬＡＮ１１６は、会員管理サーバ１１１、ライセンス販売サーバ１１２、ライセンス管理サーバ１１３、利用実績収集サーバ１１４、コンテンツ配信サーバ１１５およびＤＢ群１１７を接続するローカルエリアネットワークである。

ＤＢ群１１７は、会員情報を管理するＤＢ、ライセンス情報を管理するＤＢ、コンテンツ情報を管理するＤＢなどを総称したものである。

権利管理端末２１１は、ライセンス管理サーバ１１３やコンテンツ配信サーバ１１５からライセンスやコンテンツを取得する機能や、ライセンスの利用条件に従ってコンテンツの利用を制御する機能、コンテンツの利用実績を生成してサーバに通知する機能などを備えた端末装置である。また、権利管理端末２１１は、権利管理端末を一意に特定する識別子として、“０Ｃ０００００１”のクライアントＩＤを保持する。

最後に、伝送路３１は、ＡＤＳＬ（Ａｓｙｍｍｅｔｒｉｃ Ｄｉｇｉｔａｌ Ｓｕｂｓｃｒｉｂｅｒ Ｌｉｎｅ）や、ＦＴＴＨ（Ｆｉｂｅｒ Ｔｏ Ｔｈｅ Ｈｏｍｅ）などの通信媒体や、デジタル放送などの放送媒体、ＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）や、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）などの物理媒体などを示す。

以降では、本発明を説明するに当たって必要となるライセンス管理サーバ１１３や、利用実績収集サーバ１１４、権利管理端末２１１のモジュール構成やシーケンスなどを中心として、詳細に説明する。

（モジュール構成とＤＢ構成の説明）
始めに、ライセンス管理サーバ１１３、利用実績収集サーバ１１４および権利管理端末２１１のモジュール構成と、ＤＢ群１１７のＤＢ構成とを順次説明する。

（ライセンス管理サーバ１１３のモジュール構成）
図２は、ライセンス管理サーバ１１３のモジュール構成を示す図である。

図２に示されるように、ライセンス管理サーバ１１３は、ＤＢＩ／Ｆ１１３１、シナリオ制御部１１３２、ライセンス処理部１１３３および通信処理部１１３４から構成される。

ここで、ＤＢＩ／Ｆ１１３１は、ＤＢ群１１７の各ＤＢに対して、データ操作（データの検索、データの登録、データの削除など）を行うモジュールである。

シナリオ制御部１１３２は、通信処理部１１３４で受け付けた要求に対するシナリオの制御を行うモジュールである。

ライセンス処理部１１３３は、権利管理端末２１１に発行するライセンスに対して、ライセンス管理サーバ１１３の署名や利用実績通知に使用する公開鍵証明書（匿名証明書）と、この証明書の公開鍵とペアの秘密鍵をライセンスに付加する処理などを行うモジュールである。

最後に、通信処理部１１３４は、権利管理端末２１１からライセンス発行要求を受信し、該当するライセンスを含むライセンス発行応答を返信するモジュールである。

なお、ライセンス管理サーバ１１３の各モジュールを、ハードウエアで構成してもよく、プログラムを格納するＲＯＭ、当該プログラムを実行するＣＰＵ、当該プログラムの実行の際にワークエリアを提供するＲＡＭ等で構成してもよい。
このような各部は、アプリケーションと、ＰＣのＣＰＵ、メモリ等により実現される。

（利用実績収集サーバ１１４のモジュール構成）
図３は、利用実績収集サーバ１１４のモジュール構成を示す図である。

図３に示されるように、利用実績収集サーバ１１４は、ＤＢＩ／Ｆ１１４１、シナリオ制御部１１４２、利用実績判定処理部１１４３および通信処理部１１４４から構成される。

ここで、ＤＢＩ／Ｆ１１４１は、ＤＢ群１１７の各ＤＢに対して、データ操作を行うモジュールである。

シナリオ制御部１１４２は、通信処理部１１４４で受け付けた要求に対するシナリオの制御を行うモジュールである。

利用実績判定処理部１１４３は、権利管理端末２１１が端末認証のために使用した公開鍵証明書（匿名証明書）と、通知された利用実績に対応するＤＢ群１１７の公開鍵証明書が一致しているか否かを判定したり、ＳＡＣを形成したりするモジュールである。

通信処理部１１４４は、権利管理端末２１１から利用実績通知要求を受信し、処理結果を含む利用実績通知応答を返信するモジュールである。

なお、利用実績収集サーバ１１４の各モジュールを、ハードウエアで構成してもよく、プログラムを格納するＲＯＭ、当該プログラムを実行するＣＰＵ、当該プログラムの実行の際にワークエリアを提供するＲＡＭ等で構成してもよい。

（ＤＢ群１１７のＤＢ構成）
図４は、ＤＢ群１１７のＤＢ構成を示す図である。

図４に示されるように、ＤＢ群１１７は、会員情報ＤＢ１１７１、ライセンスＤＢ１１７２、購入情報ＤＢ１１７３、利用実績ＤＢ１１７４およびコンテンツＤＢ１１７５から構成される。

ここで、会員情報ＤＢ１１７１は、本サービスに加入する会員ユーザの名前や年齢や住所などのユーザ情報を管理するＤＢである。

ライセンスＤＢ１１７２は、販売するライセンスやライセンスの内容を説明するメタ情報（再生回数や再生期間など）、および利用実績通知時に使用する公開鍵証明書と秘密鍵の情報を管理するＤＢである。

購入情報ＤＢ１１７３は、ユーザが購入したライセンスの情報を管理するＤＢである。
利用実績ＤＢ１１７４は、権利管理端末２１１から通知された利用実績を管理するＤＢである。

コンテンツＤＢ１１７５は、暗号化されたコンテンツとコンテンツの内容を説明するメタ情報（タイトル名やアーティスト名など）を管理するＤＢである。

以下に、本発明を説明するに当たって必要となる会員情報ＤＢ１１７１と、ライセンスＤＢ１１７２のテーブル構成を説明する。

（会員情報ＤＢ１１７１のテーブル構成）
図５は、会員情報ＤＢ１１７１のテーブル構成を示す図である。

図５に示されるように、会員情報ＤＢ１１７１は、ユーザテーブルＴ５１と、クライアントテーブルＴ５２から構成される。

ユーザテーブルＴ５１では、会員ユーザを一意に特定するユーザＩＤと、このユーザＩＤに関連付けて、名前や、年齢や、住所などのユーザ情報とが管理される。

また、クライアントテーブルＴ５２では、ユーザが所有する権利管理端末２１１を一意に特定するクライアントＩＤと、ユーザＩＤとが関連付けられて管理される。このように、会員情報ＤＢ１１７１では、クライアントＩＤからユーザＩＤ、ユーザＩＤからユーザ情報を検索できる点に特徴がある。

（ライセンスＤＢ１１７２のテーブル構成）
図６は、ライセンスＤＢ１１７２のテーブル構成を示す図である。

図６に示されるように、ライセンスＤＢ１１７２は、ライセンステーブルＴ６１と、証明書テーブルＴ６２から構成される。

ライセンステーブルＴ６１では、ライセンスを一意に特定するライセンスＩＤと、このライセンスＩＤに関連付けて、ライセンスデータと、ライセンスの内容を示すライセンスメタ情報とが管理される。

また、証明書テーブルＴ６２では、「ライセンスＩＤ」と、このライセンスＩＤに関連付けて、発行ナンバーと、利用実績通知に使用する公開鍵証明書（匿名証明書）と、匿名証明書に含まれる公開鍵とペアである秘密鍵の情報が管理される。このように、ライセンスＤＢ１１７２では、ライセンス毎に利用実績通知時に使用する公開鍵証明書と秘密鍵の情報が管理されている点に特徴がある。

（権利管理端末２１１のモジュール構成）
図７は、権利管理端末２１１のモジュール構成を示す。

図７に示されるように、権利管理端末２１１は、通信処理部２１１１、証明書選択処理部２１１２、シナリオ制御部２１１３、ライセンス処理部２１１４、コンテンツ処理部２１１５、利用実績処理部２１１６、入出力Ｉ／Ｆ２１１７、コンテンツ出力Ｉ／Ｆ２１１８および端末ＤＢ２１１９から構成される。

ここで、通信処理部２１１１は、シナリオ制御部２１１３からの指示に従って、各サーバと通信を行うモジュールである。

証明書選択処理部２１１２は、シナリオ制御部２１１３から通知された外部装置（ここでは、各サーバ）と通信するための実行コマンドに応じて、各サーバとの認証処理に使用する公開鍵証明書と秘密鍵を選択するモジュールである。

シナリオ制御部２１１３は、入出力Ｉ／Ｆ２１１７で受け付けたユーザの要求に対するシナリオの実行制御を行うモジュールである。

ライセンス処理部２１１４は、ライセンスに含まれる利用条件の解釈や暗号化コンテンツを復号するためのコンテンツ鍵の取得など、ライセンスに関わる処理を担当するモジュールである。

コンテンツ処理部２１１５は、暗号化コンテンツの復号処理を行って、コンテンツ出力Ｉ／Ｆ２１１８に非暗号のコンテンツを提供するモジュールである。

利用実績処理部２１１６は、コンテンツ処理部２１１５からのコンテンツ利用の報告に従って、利用実績を生成するモジュールである。

入出力Ｉ／Ｆ２１１７は、ユーザから要求を受け付ける入力インターフェースの役割と、結果をユーザに表示する出力インターフェースの役割を果たすモジュールである。

コンテンツ出力Ｉ／Ｆ２１１８は、コンテンツをユーザに対して提示する出力インターフェースの役割を果たす。

最後に、端末ＤＢ２１１９は、各サーバから取得した暗号化コンテンツや、ライセンス、またサーバとの認証処理に使用する公開鍵証明書と秘密鍵、さらにコンテンツの利用実績を記録するＤＢである。

なお、権利管理端末２１１の各モジュールを、ハードウエアで構成してもよく、プログラムを格納するＲＯＭ、当該プログラムを実行するＣＰＵ、当該プログラムの実行の際にワークエリアを提供するＲＡＭ等で構成してもよい。

（シーケンス、フローチャート、データ構造の説明）
次に、図８から図１８を用いて、ライセンス発行シーケンスと、利用実績通知シーケンスを示し、その中で本発明に関係する処理のフローチャートを説明する。また、ライセンスと、公開鍵証明書のデータ構造についても説明する。

（ライセンス発行シーケンスの説明）
まず、ユーザが権利管理端末２１１を操作して、ライセンスを購入し、そのライセンスを取得するまでのシーケンス（ライセンス発行シーケンス）を説明する。

図８は、ライセンス発行シーケンスを示すシーケンス図である。
図８に示されるように、ユーザは、まず販売されているライセンスの一覧を確認するために、権利管理端末２１１に対して「リスト表示」を要求する。権利管理端末２１１のシナリオ制御部２１１３は、ユーザから「リスト表示」を入出力Ｉ／Ｆ２１１７を介して受け付けると、通信処理部２１１１を介してライセンス販売サーバ１１２が提供するライセンスリスト画面へアクセスし（Ｓ８０１）、図９に示されるリスト表示画面９０１を入出力Ｉ／Ｆ２１１７を介して表示する。ユーザは表示されたリストの中で気に入ったライセンス（例えば、黒い巨塔（最終回）や、野球（ダイエー対巨人））があった場合、入出力Ｉ／Ｆ２１１７に対して「購入」を要求する。シナリオ制御部２１１３は、ユーザから「購入」を入出力Ｉ／Ｆ２１１７を介して受け付けると、指示されたライセンスのＩＤ（ライセンスＩＤ）とユーザＩＤを含むライセンス購入要求を、通信処理部２１１１を介してライセンス販売サーバ１１２に送信する（Ｓ８０２）。

ライセンス購入要求があると、ライセンス販売サーバ１１２は、指定されたユーザＩＤに対して、ライセンスＩＤを関連付け、ライセンス登録を行う（Ｓ８０３）。その後、ライセンス管理サーバ１１３のＵＲＩなどのアクセス情報を含むライセンス購入応答（Ｓ８０４）を権利管理端末２１１に返信する。

権利管理端末２１１の証明書選択処理部２１１２は、通信処理部２１１１およびシナリオ制御部２１１３を介してライセンス購入応答（Ｓ８０４）を受信すると、ライセンス取得コマンドを実行する際に使用する公開鍵証明書を選択する（Ｓ８０５）。

この証明書の選択処理（Ｓ８０５）については、図１０に示されるサブルーチンのフローチャートに従って行なわれる。

図１０に示されるように、証明書選択処理部２１１２は、実行コマンドを受信すると、このコマンドが利用実績通知を実行するものであるか否か判断する（Ｓ１００１）。コマンドが利用実績通知を実行するものである場合（Ｓ１００１でＹｅｓ）、証明書選択処理部２１１２は、端末ＤＢ２１１９からライセンスデータを取得し（Ｓ１００２）、取得したライセンスデータから利用実績通知用の証明書（匿名証明書）および秘密鍵を抽出し、証明書の選択処理を終了する（Ｓ１００３）。これに対して、コマンドが利用実績通知を実行するものでない場合（Ｓ１００１でＮｏ）、証明書選択処理部２１１２は、端末ＤＢ２１１９から通常の端末の証明書（通常証明書）および秘密鍵を取得し（Ｓ１００４）、証明書の選択処理を終了する。

ここでは、Ｓ１００１の「利用実績通知を実行？」でＮｏと判定されるため、Ｓ１００４の「通常の端末の証明書を取得する」に遷移し、終了する。したがって、ライセンス取得コマンドでは、シナリオ制御部２１１３は、権利管理端末２１１のクライアントＩＤを含む通常の端末の公開鍵証明書（通常証明書）を使用して、サーバとの間で相互の認証処理を行い、安全な通信路ＳＡＣを形成する。すなわち、公開鍵証明書の選択後、シナリオ制御部２１１３は、ライセンス購入応答内に含まれるアクセス情報を参照して、ライセンスの取得を行うライセンス管理サーバ１１３を特定する。そして、選択した公開鍵証明書（通常証明書）と秘密鍵を用いてライセンス管理サーバ１１３と認証処理を行った後、ライセンスＩＤを含むライセンス取得要求（Ｓ８０６）を送信する。

なお、通常証明書は、図１１に示されるように、バージョン（例えば、０２）と、シリアル番号（例えば、端末を特定するクライアントＩＤである０Ｃ０００００１）と、発行者（例えば、事業者ＣＡ）と、有効期間（例えば、２００４年０１月０１日〜２００６年１２月３１日）、公開鍵（公開鍵データ）と、この通常証明書に対する署名とから構成される。したがって、権利管理端末２１１とライセンス管理サーバ１１３とは通信相手が誰であるかを認識した上で、つまりプライバシーを守ることなく、通信が行われることになる。

ここで、ライセンス取得を実行している際の表示画面の例を図１２に示す。
図１２に示されるように、本画面は、ユーザに対して現在行った認証処理を提示する点に特徴がある。

ライセンス管理サーバ１１３のライセンス処理部１１３３は、通信処理部１１３４およびシナリオ制御部１１３２を介してライセンス取得要求を受信すると、ライセンス発行処理を実行する（Ｓ８０７）。

このライセンス発行処理（Ｓ８０７）については、図１３に示されるサブルーチンのフローチャートに従って行なわれる。

図１３に示されるように、ライセンス処理部１１３３は、まず指定されたライセンスが購入されているか否かを確認する（Ｓ１３０１）。具体的には、認証処理の際に取得した公開鍵証明書（通常証明書）から権利管理端末２１１のクライアントＩＤを抽出し、そのクライアントＩＤに対応するユーザＩＤをＤＢ群１１７の会員情報ＤＢ１１７１を使用して特定する。そして、そのユーザＩＤに対して、ライセンス取得要求（Ｓ８０６）で指定されたライセンスＩＤが関連付けて記録されているか否かをＤＢ群１１７の購入情報ＤＢ１１７３を使用して判定する。

判定の結果、関連付けられていない場合は（Ｓ１３０１でＮｏ）、ライセンス処理部１１３３は、ライセンス発行処理を終了する。

これに対して、判定の結果、関連付けられている場合は（Ｓ１３０１でＹｅｓ）、ライセンスＩＤに対応するライセンスと、利用実績通知時の認証処理に使用する公開鍵証明書と秘密鍵のペアとをライセンスＤＢ１１７２から取得する（Ｓ１３０２）。

図１４は、ライセンスＤＢ１１７２から取得したライセンスのデータ構造を示す図である。

図１４に示されるように、ライセンスＤ１４０１は、ライセンスＩＤ（Ｄ１４０２）と、このライセンスの対象となる暗号化コンテンツを復号化するためのコンテンツ鍵と、このライセンスの対象となるコンテンツを特定するコンテンツ情報（コンテンツＩＤ）と、利用条件を含むデータ（Ｄ１４０３）から構成される。そして、利用条件には、コンテンツの利用回数（例えば、１回）と、利用期間（例えば、期限なし）と、利用実績の通知（例えば、必要）等とが含まれる。なお、利用実績の通知が「必要」を示している場合、ライセンスを購入したユーザは、コンテンツ利用後、その利用実績を通知する必要がある。

また、図１５は、ライセンスＤＢ１１７２から取得した公開鍵証明書（匿名証明書）のデータ構造を示す図である。

図１５に示されるように、利用実績通知用の公開鍵証明書は、通常の端末の公開鍵証明書ではクライアントＩＤが記述されていた個所に、ライセンスＩＤ（図１５では、０Ａ０００００１）などが記述されており、このライセンスＩＤが、端末ＩＤに関連付けられるものではないので、端末を特定できないように構成されている。具体的には、バージョン（例えば、０２）と、シリアル番号（例えば、ライセンスＩＤを示す０Ａ００００１）と、発行者（例えば、事業者ＣＡ）と、有効期間（２００４年０１月０１日〜２００６年１２月３１日）と、公開鍵（公開鍵データ）と、発行者による署名とから構成されている。なお、ここでは利用実績通知時の認証処理に使用する証明書の中に、クライアントＩＤの代わりとしてライセンスＩＤを記述したが、これに限定されるものでなく、コンテンツＩＤやサーバのＩＤなどの任意の文字列を記述してもよいし、また特に何も記述しなくてもよい。つまり、端末や、この端末を利用するユーザを特定する情報を含まない情報であればよく、これによりプライバシーの侵害を防止することができる。

このライセンスと公開鍵証明書と秘密鍵のペアとを取得すると、ライセンス管理サーバ１１３は、ライセンスＤ１４０１のＤ１４０３の利用条件を参照して、利用実績の通知が必要か否かを判定する（Ｓ１３０３）。

判定の結果、通知の必要がある場合は、すなわち利用実績の通知が必要を示している場合（Ｓ１３０３でＹｅｓ）、ライセンス処理部１１３３は、図１６に示されるように、ライセンスＤ１４０１中にＳ１３０２で取得した公開鍵証明書Ｄ１６０１と秘密鍵Ｄ１６０２のペアを付加して（Ｓ１３０４）、ライセンス管理サーバ１１３の署名Ｄ１６０３を付加する（Ｓ１３０５）。これに対して、判定の結果、通知の必要が無い場合は、すなわち利用実績の通知が必要なしを示している場合（Ｓ１３０３でＮｏ）、ライセンスＤ１４０１中にライセンス管理サーバ１１３の署名Ｄ１６０３のみを付加する（Ｓ１３０５）。その後、ＤＢ群１１７の購入情報ＤＢ１１７３の該当ライセンスを発行済みに更新し（Ｓ１３０６）、ライセンス発行処理を終了する。なお、ここでは、ライセンスに含まれる利用条件の利用実績の通知が必要を示し、このライセンスに公開鍵証明書Ｄ１６０１と秘密鍵Ｄ１６０２のペアが付加されたものとして説明する。

ライセンス発行処理（Ｓ８０７）で公開鍵証明書（匿名証明書）や、署名などの付加処理が終わると、シナリオ制御部１１３２は、このライセンスを含むライセンス取得応答を権利管理端末２１１に返信する（Ｓ８０８）。

権利管理端末２１１のライセンス処理部２１１４は、通信処理部２１１１およびシナリオ制御部２１１３を介してライセンス取得応答を受信すると、その中に含まれるライセンスを抽出し、端末ＤＢ２１１９に記録する（Ｓ８０９）。以上までが、ライセンス発行シーケンスに関する説明である。

なお、上述したライセンス発行シーケンスでは、ライセンス購入に対する課金処理は記述しなかったが、ライセンス購入に対して課金処理を行ってもよい。また、ライセンス購入の際に、権利管理端末２１１とライセンス販売サーバ１１２との間で、通常証明書を用いてＳＡＣを形成するようにしてもよい。

（利用実績通知シーケンスの説明）
次に、コンテンツを利用した際に生成される利用実績を利用実績収集サーバ１１４に通知するシーケンス（利用実績通知シーケンス）を説明する。

図１７は、権利管理端末２１１と利用実績収集サーバ１１４との間で行われる利用実績通知シーケンスを示すシーケンス図である。

権利管理端末２１１の利用実績処理部２１１６は、図１７に示されるように、ユーザから「利用実績通知」の要求を入出力Ｉ／Ｆ２１１７およびシナリオ制御部２１１３を介して受け付けると、該当する利用実績を端末ＤＢ２１１９から取得する（Ｓ１７０１）。そして、証明書選択処理部２１１２は、利用実績通知で使用する公開鍵証明書を選択する（Ｓ１７０２）。なお、ここでは、「利用実績通知」の要求は、ユーザからの指示をトリガとして開始されると説明したが、コンテンツの利用の終了後に自動的に開始されるとしてもよい。

上述した証明書の選択Ｓ１７０２については、図１０に示すフローチャートに従って行われる。ここでは、Ｓ１００１の「利用実績通知を実行？」でＹｅｓと判定されるため、利用実績に対応するライセンスを端末ＤＢ２１１９から取得し（Ｓ１００２）、そのライセンスから利用実績通知用の公開鍵証明書（匿名証明書）と秘密鍵を抽出する（Ｓ１００３）。

権利管理端末２１１のシナリオ制御部２１１３は、取得した公開鍵証明書と秘密鍵を使用して、利用実績収集サーバ１１４と認証処理を行い、ＳＡＣを形成した後、利用実績を含む利用実績通知要求を送信する（Ｓ１７０３）。

ここで、利用実績通知を実行している際の表示画面の例を図１８に示す。図１８に示されるように、本画面は、ユーザに対して現在行った認証処理を提示する点に特徴がある。

利用実績収集サーバ１１４の利用実績判定処理部１１４３は、通信処理部１１４４およびシナリオ制御部１１４２を介して利用実績通知要求Ｓ１７０３を受信すると、要求内に含まれる利用実績を抽出して、ＤＢＩ／Ｆ１１４１を介してＤＢ群１１７の利用実績ＤＢ１１７４に記録する（Ｓ１７０４）。利用実績記録後、利用実績判定処理部１１４３は、その処理の結果を含む利用実績通知応答を、シナリオ制御部１１４２および通信処理部１１４４を介して権利管理端末２１１に返信する（Ｓ１７０５）。

権利管理端末２１１の利用実績処理部２１１６は、利用実績通知応答を受信すると、通知した利用実績を端末ＤＢ２１１９から削除する（Ｓ１７０６）。以上までが、利用実績通知シーケンスに関する説明である。

したがって、利用実績通知シーケンスでは、匿名証明書とこの秘密鍵が選択され、この匿名証明書を用いた認証処理が行われるので、仮名としてのライセンスＩＤ等を知ることができるだけで、匿名性が保証され、正しい権利管理端末からの利用実績であることも確認される。これにより、端末装置の特定を行わずに、正しい端末装置からの利用情報であるということを確認して、利用情報を収集することができる。

なお、本発明における実施の形態１では、利用実績通知時に使用する公開鍵証明書（匿名証明書）と秘密鍵をライセンスの中に含めて配信すると説明したが、これに限定されるものでなく、図１９に示されるように暗号化コンテンツの中に匿名証明書とその秘密鍵を含めるようにしてもよい。また、コンテンツやライセンスの概要を示すメタデータの中に匿名証明書とその秘密鍵を含めるようにしてもよい。また、権利管理端末２１１の端末ＤＢ２１１９中に予め通常用と利用実績通知用の２種類の公開鍵証明書と秘密鍵を持たせておいてもよい。また、ユーザがこの利用実績収集システム１に入会した際に、匿名証明書と秘密鍵をサーバから配信するようにしてもよい。また、放送電波などを使用して匿名証明書とその秘密鍵を定期的に送信したりしてもよい。これらの場合には、ライセンス管理サーバ１１３の構成と同様に、匿名証明書とその秘密鍵を暗号化コンテンツ等に含める機能を、コンテンツ配信サーバ１１５、会員管理サーバ１１１等に設けるようにすればよい。

また、本発明における実施の形態１では、権利管理端末２１１は、ユーザの指示やコンテンツ利用の終了をトリガとして利用実績の通知を開始すると説明したが、これに限定されるものでなく、利用実績収集サーバ１１４から放送電波などを利用して利用実績通知トリガデータを送信し、権利管理端末２１１が図２０に示すフローチャートに従って、放送電波などを利用して送信される利用実績通知トリガデータを受信した際に、該当する利用実績を通知するとしてもよい。

具体的には、権利管理端末２１１の利用実績処理部２１１６は、通信処理部２１１１およびシナリオ制御部２１１３を介して利用実績通知トリガーデータを受信すると（Ｓ２００１）、端末ＤＢ２１１９に該当するライセンスがあるか否か判定する（Ｓ２００２）。

ここで、上述した利用実績通知トリガデータは、図２１に示すようなデータ構造をとり、ライセンスＩＤに関連付けて利用実績通知用公開鍵証明書と秘密鍵を持つ。そして、秘密鍵は証明書鍵で暗号化されている。

また、この際、権利管理端末２１１がライセンス管理サーバ１１３やコンテンツ配信サーバ１１５から取得するライセンスや暗号化コンテンツは、図２２や、図２３に示すようなデータ構造をとり、内部に証明書鍵を備える。つまり、ライセンスのデータ構造は、図２２に示されるように、暗号化された公開鍵証明書（匿名証明書）と秘密鍵を復号するための鍵である証明書鍵が、ライセンスに含められる構造である。また、コンテンツのデータ構造は、図２３に示されるように、コンテンツに証明書鍵が含められ、コンテンツおよび証明書鍵は、コンテンツ鍵で暗号化される構造である。

したがって、該当するライセンスが存在する場合（Ｓ２００２でＹｅｓ）、証明書選択処理部２１１２は、ライセンスから証明書鍵を取得し（Ｓ２００３）、利用実績通知トリガデータ内の公開鍵証明書（匿名証明書）と秘密鍵を、取得した証明書鍵で復号化する（Ｓ２００４）。

復号化が終わると、権利管理端末２１１のシナリオ制御部２１１３は、取得した公開鍵証明書と秘密鍵を使用して、利用実績収集サーバ１１４と認証処理を行い、ＳＡＣを形成した後、利用実績を通知する（Ｓ２００５）。

したがって、この場合においても、匿名証明書とこの秘密鍵が選択され、この匿名証明書を用いた認証処理が行われるので、仮名としてのライセンスＩＤ等を知ることができるだけで、匿名性が保証され、正しい権利管理端末からの利用実績であることも確認される。これにより、端末装置の特定を行わずに、正しい端末装置からの利用情報であるということを確認して、利用情報を収集することができる。

また、本発明における実施の形態１では、図１０の説明において、利用実績通知コマンドを実行する際は必ず利用実績通知用の公開鍵証明書と秘密鍵を使用して認証処理を行うと説明したが、これに限定されるものでなく、図２４に示されるように、利用実績通知コマンドを実行する場合でも（Ｓ２４０１でＹｅｓ）、ユーザが通常の端末の公開鍵証明書と秘密鍵を用いた認証処理を希望するか否か判断し（Ｓ２４０２）、ユーザの希望に応じて匿名証明書を取得したり（Ｓ２４０３，Ｓ２４０４）、通常証明書を取得したり（Ｓ２４０５）、選択できるようにしてもよい。

これにより、ユーザのプライバシーに対する意識の程度に合わせることができる。
また、本発明における実施の形態１では、図１０の説明において、利用実績通知コマンドを実行する場合のみ、通常と異なる匿名認証用の公開鍵証明書と秘密鍵を使用して認証処理を行うと説明したが、これに限定されるものでなく、図２５に示されるように、プライバシー保護などの観点より端末が特定されると問題があるコマンドを実行する場合は、つまり、匿名証明書が必要なコマンドを実行する場合でない場合（Ｓ２５０１でＮｏ）、すなわち通常証明書を選択するような場合においても、ユーザが匿名証明書と秘密鍵を用いた認証処理を希望するか否か判断し（Ｓ２５０４）、匿名認証が可能であれば（Ｓ２５０６でＹｅｓ）、通常と異なる匿名認証用の公開鍵証明書と秘密鍵に切り替えて認証を行う（Ｓ２５０３）としてもよい。また、この際も上述したようにユーザが希望する認証処理の方法を優先させてもよい。

これによっても、ユーザのプライバシーに対する意識の程度に一層合わせることができる。

（実施の形態２）
また、実施の形態１では、年齢や性別などに関係無く、同じ匿名証明書ペア（１種類の匿名証明書ペア）を使ってＳＡＣを確立したが、年齢や性別などの属性情報に応じて、異なる匿名証明書ペアを使いＳＡＣを確立するようにしてもよい。

具体的には、匿名証明書ペアは、図２６に示されるように、各端末に共通な複数の属性情報付き匿名証明書（属性証明書）と秘密鍵（＝属性証明書ペア）の束から構成され、各々の属性証明書には年齢や性別などの属性情報がそれぞれ記述されている。この属性情報は、例えば、ユーザを特定するものではないが、そのユーザのプロファイルを示すものである。そして、端末ＤＢ２１１９にはその端末を利用するユーザのプロファイル（ユーザプロファイル）も格納されている。

より詳しくは、属性証明書ａには、図２７（ａ）に示されるように、年齢１０代、性別女性等が格納されており、属性証明書ｂには、図２７（ｂ）に示されるように、年齢２０代、性別女性が格納されている。また、ユーザプロファイルには、図２７（ｃ）に示されるように、年齢２０代、性別女性が格納されている。

このように端末が構成されている場合、端末の証明書選択処理部２１１２は、サーバと通信をする際の証明書選択において、匿名証明書ペアの方を選択した場合には、端末を利用するユーザのプロファイルと比較して、匿名証明書ペア中の該当する属性証明書ペアを特定し（図２７の例では、属性証明書ペアｂ）、その属性証明書ペアを使用してＳＡＣを確立する。

このような属性情報を追加することによって、プライバシーを守りつつ、サーバは、ＳＡＣ確立相手のユーザプロファイルの特定まで可能となり、年代や性別のターゲットを絞った利用実績を収集したり、ユーザのコンテンツ利用に関するアンケートを回収することができる。

なお、このような属性情報を含む匿名証明書および秘密鍵の配布の仕方としては、実施の形態１で説明した属性情報を含まない匿名証明書の配付の仕方と同様に、ライセンスに匿名証明書および秘密鍵を含めて配布するパターン１や、暗号化コンテンツの中に匿名証明書とその秘密鍵を含めて配布するパターン２、メタデータの中に匿名証明書とその秘密鍵を含めて配布するパターン３、権利管理端末２１１の端末ＤＢ２１１９中に予め匿名証明書とその秘密鍵を持たせておくパターン４、ユーザがこの利用実績収集システム１に入会した際に、匿名証明書とその秘密鍵をサーバから配信するパターン５、放送電波などを使用して匿名証明書とその秘密鍵を定期的に送信するパターン６のうち、いずれであってもよい。

（実施の形態３）
ところで、実施の形態２では、複数の属性証明書ペアを含む匿名証明書ペアを端末に渡し、端末がＳＡＣ確立時にどの属性証明書ペアを使用するか選択するという手法であった。この手法には、属性のパターン数に比例して、匿名証明書ペアのデータコストが増えるため、端末に負荷がかかるという問題がある。そこで、新たな手法として、配布時に様々な属性パターンを含んだ属性証明書を渡すのではなく、該当する属性証明書ペアの１つだけを渡すようにしてもよい。

具体的には、図２８に示されるように、例えばサービス契約時に、Ｗｅｂなどでユーザのプロファイルを入力して貰い、そのレスポンスとして、該当する属性情報を含む属性証明書と秘密鍵の属性証明書ペアを渡すようにすればよい。

これにより、端末は、ユーザプロファイルや、不要な属性証明書を保持する必要もなく、該当する属性証明書のペアだけを保持すればよいので、端末の負荷を軽減することができる。

（実施の形態４）
また、上記実施の形態１では、ユーザによるコンテンツの利用履歴を通知する場合に匿名証明書を利用したが、この利用履歴に限られず、匿名アンケートを回収する場合など、コンテンツの利用に関する利用情報一般に適用してもよい。

例えば、匿名アンケートの回収の場合において、実施の形態３の手法を応用する場合は、図２９に示されるように、アンケート用紙配布に際して、Ｗｅｂなどでユーザのプロファイルを入力して貰い、そのレスポンスとして、該当する属性情報を含む属性証明書と秘密鍵の属性証明書ペアとアンケート用紙とを端末に渡す。

そして、端末とサーバとの間で属性証明書ペアを使用してＳＡＣを確立し、アンケート用紙を回収する。

アンケート用紙を回収すると、サーバは、アンケートに対するお礼として、プレゼント情報を端末に送信し、プレゼント情報に基づいてプレゼントを申し込むことができる。

したがって、この場合においても、プライバシーを守りつつ、サーバは、ＳＡＣ確立相手のユーザプロファイルの特定まで可能となり、年代や性別のターゲットを絞ったアンケートを回収することができる。

本発明に係る利用情報システムは、コンテンツ配信サービスにおいて利用情報を収集するシステムを構成するパーソナルコンピュータや携帯情報端末などの種々のコンピュータ装置に適用できる。

本発明の実施の形態１に係る利用実績収集システムのシステム構成を示す図である。 図１に示されるライセンス管理サーバ１１３のモジュール構成を示す図である。 図１に示される利用実績収集サーバ１１４のモジュール構成を示す図である。 図１に示されるＤＢ群１１７のＤＢ構成を示す図である。 図４に示される会員情報ＤＢ１１７１のテーブル構成を示す図である。 図４に示されるライセンスＤＢ１１７２のテーブル構成を示す図である。 図１に示される権利管理端末２１１のモジュール構成を示す図 利用実績収集システム１で行われるライセンス発行シーケンスを示す図である。 権利管理端末２１１におけるライセンスリスト表示画面を示す図である。 図８に示される証明書の選択処理（Ｓ８０５）のサブルーチンを示すフローチャートである。 端末ＤＢ２１１９で管理される通常の端末の公開鍵証明書（通常証明書）のデータ構造を示す図である。 権利管理端末２１１におけるライセンス取得中の画面を示す図である。 図８に示されるライセンス発行処理（Ｓ８０７）のサブルーチンを示すフローチャートである。 公開鍵証明書（匿名証明書）および秘密鍵を付加する前のライセンスのデータ構造を示す図である。 利用実績通知用の公開鍵証明書（匿名証明書）のデータ構造を示す図である。 公開鍵証明書（匿名証明書）および秘密鍵を付加した後のライセンスのデータ構造を示す図である。 権利管理端末２１１と利用実績収集サーバ１１４との間で行われる利用実績通知シーケンスを示す図である。 権利管理端末２１１における利用実績通知中の画面を示す図である。 本発明の他の実施の形態に係る暗号化コンテンツのデータ構造を示す図である。 本発明の他の実施の形態に係る利用実績通知トリガデータをもとに利用実績通知の行う際のフローチャートである。 本発明の他の実施の形態に係る利用実績通知トリガデータのデータ構造を示す図である。 本発明の他の実施の形態に係る証明書鍵を備えるライセンスのデータ構造を示す図である。 本発明の他の実施の形態に係る証明書鍵を備える暗号化コンテンツのデータ構造を示す図である。 本発明の他の実施の形態に係るユーザ選択を備えた証明書の選択のフローチャートである。 本発明の他の実施の形態に係る匿名認証コマンドに対する証明書の選択のフローチャートである。 本発明の実施の形態２に係る端末ＤＢ２１１９で管理される属性証明書ペアの束とユーザプロファイルを示す図である。 図２６に示される属性証明書とユーザプロファイルの構成例を示す図である。 本発明の実施の形態３に係る端末とサーバとの間で行われるユーザプロファイルと属性証明書ペアとのやりとりを示す図である。 本発明の実施の形態４に係る端末とサーバとの間で行われるユーザプロファイルと属性証明書ペアおよびアンケート用紙等とのやりとりを示す図である。

符号の説明

３１ 伝送路
１１１ 会員管理サーバ
１１２ ライセンス販売サーバ
１１３ ライセンス管理サーバ
１１４ 利用実績収集サーバ
１１５ コンテンツ配信サーバ
１１６ ＬＡＮ
１１７ ＤＢ群
２１１ 権利管理端末
１１３１ ＤＢＩ／Ｆ
１１３２ シナリオ制御部
１１３３ ライセンス処理部
１１３４ 通信処理部
１１４１ ＤＢＩ／Ｆ
１１４２ シナリオ制御部
１１４３ 利用実績判定処理部
１１４４ 通信処理部
１１７１ 会員情報ＤＢ
１１７２ ライセンスＤＢ
１１７３ 購入情報ＤＢ
１１７４ 利用実績ＤＢ
１１７５ コンテンツＤＢ
２１１１ 通信処理部
２１１２ 証明書選択処理部
２１１３ シナリオ制御部
２１１４ ライセンス処理部
２１１５ コンテンツ処理部
２１１６ 利用実績処理部
２１１７ 入出力Ｉ／Ｆ
２１１８ コンテンツ出力Ｉ／Ｆ
２１１９ 端末ＤＢ

Claims (28)

1. コンテンツの利用条件を含むライセンスを用いて、当該コンテンツの著作権を管理する権利管理端末であって、
   端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含む第１公開鍵証明書と、当該第１公開鍵証明書に含まれる第１公開鍵とペアの第１秘密鍵とをセットで管理する第１証明書管理手段と、
   前記識別情報を含まない第２公開鍵証明書と、当該第２公開鍵証明書に含まれる第２公開鍵とペアの第２秘密鍵とをセットで管理する第２証明書管理手段と、
   前記第１公開鍵証明書および第１秘密鍵並びに前記第２公開鍵証明書および第２秘密鍵のいずれか一方をセットで選択する選択処理手段と、
   前記選択処理手段がセットで選択した公開鍵証明書と秘密鍵とを用いて、サーバ装置との通信に際して、認証処理を実行する認証処理手段と
   を備えることを特徴とする権利管理端末。
2. 前記選択処理手段は、サーバ装置との通信に用いる実行コマンドの種類に応じて、認証処理で使用する公開鍵証明書と秘密鍵をセットで選択する
   ことを特徴とする請求項１記載の権利管理端末。
3. 前記選択処理手段は、前記実行コマンドが、ユーザによるコンテンツの利用に関する利用情報を前記サーバ装置に通知するものである場合には、前記第２公開鍵証明書と第２秘密鍵をセットで選択し、その他の場合には前記第１公開鍵証明書と第１秘密鍵をセットで選択する
   ことを特徴とする請求項２記載の権利管理端末。
4. 前記利用情報は、コンテンツの利用実績であり、
   前記選択処理手段は、前記実行コマンドが、前記利用実績を前記サーバ装置に通知するものである場合に、前記第２公開鍵証明書と第２秘密鍵をセットで選択する
   ことを特徴とする請求項３記載の権利管理端末。
5. 前記選択処理手段は、前記利用実績を前記サーバ装置に通知する実行コマンドを、当該端末装置を利用するユーザにより指示された場合、前記第２公開鍵証明書と第２秘密鍵をセットで選択する
   ことを特徴とする請求項４記載の権利管理端末。
6. 前記選択処理手段は、前記利用実績を前記サーバ装置に通知する実行コマンドを、前記サーバ装置から指示された場合、前記第２公開鍵証明書と第２秘密鍵をセットで選択する
   ことを特徴とする請求項４記載の権利管理端末。
7. 前記権利管理端末は、さらに前記利用実績を管理する利用実績管理手段を備え、
   前記利用実績管理手段は、前記利用実績が前記サーバ装置に通知された場合、管理する利用実績を削除する
   ことを特徴とする請求項４記載の権利管理端末。
8. 前記利用情報は、コンテンツの利用に関するアンケートであり、
   前記選択処理手段は、前記実行コマンドが、前記アンケートを前記サーバ装置に通知するものである場合に、前記第２公開鍵証明書と第２秘密鍵をセットで選択する
   ことを特徴とする請求項３記載の権利管理端末。
9. 前記第２証明書管理手段は、前記第２公開鍵証明書と、第２秘密鍵とをセットで予め管理する
   ことを特徴とする請求項１記載の権利管理端末。
10. 前記第２証明書管理手段は、当該端末装置を利用するユーザが権利管理システムに入会した場合に、前記サーバ装置から送られてくる前記第２公開鍵証明書と、第２秘密鍵とをセットで管理する
    ことを特徴とする請求項１記載の権利管理端末。
11. 前記第２公開鍵証明書と第２秘密鍵は、前記ライセンスに含まれており、
    前記第２証明書管理手段は、前記ライセンスと共に、前記第２公開鍵証明書と、第２秘密鍵とをセットで管理し、
    前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記ライセンスの中から取得する
    ことを特徴とする請求項１記載の権利管理端末。
12. 前記第２公開鍵証明書と第２秘密鍵は、前記コンテンツに含まれており、
    前記第２証明書管理手段は、前記コンテンツと共に、前記第２公開鍵証明書と、第２秘密鍵とをセットで管理し、
    前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記コンテンツの中から取得する
    ことを特徴とする請求項１記載の権利管理端末。
13. 前記第２公開鍵証明書と第２秘密鍵は、前記コンテンツまたはライセンスの概要を示すメタデータに含まれており、
    前記第２証明書管理手段は、前記メタデータと共に、前記第２公開鍵証明書と、第２秘密鍵とをセットで管理し、
    前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記メタデータの中から取得する
    ことを特徴とする請求項１記載の権利管理端末。
14. 前記第２公開鍵証明書と第２秘密鍵は、放送電波に含まれており、
    前記権利管理端末は、さらに前記放送電波内から前記第２公開鍵証明書と第２秘密鍵を取得する放送電波内証明書取得手段を備え、
    前記第２証明書管理手段は、前記放送電波内証明書取得手段が取得した前記第２公開鍵証明書と、第２秘密鍵とをセットで管理する
    ことを特徴とする請求項１記載の権利管理端末。
15. 前記第２公開鍵証明書と第２秘密鍵のペアは、端末を使用するユーザの属性を証明する属性証明書と、当該属性証明書に含まれる第３公開鍵とペアの第３秘密鍵とのペアで構成され、
    前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記属性証明書と第３秘密鍵をペアで取得する
    ことを特徴とする請求項１記載の権利管理端末。
16. 前記第２公開鍵証明書と第２秘密鍵のペアは、異なる属性が格納された複数の属性証明書と、各属性証明書ごとの第３秘密鍵とのペアの束で構成され、
    前記権利管理端末は、さらに端末を使用するユーザのプロファイルを管理するユーザプロファイル管理手段を備え、
    前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、束の中から前記プロファイルに一致する属性を含む前記属性証明書と第３秘密鍵をペアで取得する
    ことを特徴とする請求項１５記載の権利管理端末。
17. 前記第２証明書管理手段は、前記サーバ装置から送信されてきた所定の属性が格納された前記属性証明書と前記第３秘密鍵の１ペアを前記第２公開鍵証明書と第２秘密鍵として管理し、
    前記選択処理手段は、前記第２公開鍵証明書と第２秘密鍵をセットで必要とする場合に、前記第２証明書管理手段で管理される前記所定の属性が格納された属性証明書と第３秘密鍵をペアで取得する
    ことを特徴とする請求項１５記載の権利管理端末。
18. コンテンツを利用する権利管理端末に必要となるライセンスを扱うサーバ装置であって、
    前記権利管理端末とデータ通信するに際して当該権利管理端末から送られてきた公開鍵証明書を用いて通信相手を認証する認証手段を備え、
    前記認証手段は、端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含まない第２公開鍵証明書が、権利管理端末から送られてきた場合、匿名のまま当該第２公開鍵証明書を用いて通信相手を認証する
    ことを特徴とするサーバ装置。
19. 前記サーバ装置は、さらに前記第２公開鍵証明書と、当該第２公開鍵証明書に含まれる第２公開鍵とペアの第２秘密鍵とをセットで権利管理端末に送信する証明書ペア送信手段を備え、
    前記認証手段は、前記証明書ペア送信手段が送信した第２公開鍵証明書と、前記権利管理端末から送信されてきた第２公開鍵証明書とが一致する場合に、当該権利管理端末が正当であると認証する
    ことを特徴とする請求項１８記載のサーバ装置。
20. 前記サーバ装置は、さらに前記権利管理端末におけるユーザによるコンテンツの利用に関する利用情報を必要とする場合に、権利管理端末から当該利用情報を送信させるためのコマンドを送信するコマンド送信手段と、
    前記認証手段により正当であると認証された前記権利管理端末から送信されてきた利用情報を収集する利用情報収集手段と
    を備えることを特徴とする請求項１９記載のサーバ装置。
21. 請求項１記載の権利管理端末と、請求項１８記載のサーバ装置とから構成される利用情報収集システム。
22. コンテンツの利用条件を含むライセンスを用いて、当該コンテンツの著作権を管理する権利管理端末に用いられる権利管理方法であって、
    端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含む第１公開鍵証明書と、当該第１公開鍵証明書に含まれる第１公開鍵とペアの第１秘密鍵とをセットで管理する第１証明書管理ステップと、
    前記識別情報を含まない第２公開鍵証明書と、当該第２公開鍵証明書に含まれる第２公開鍵とペアの第２秘密鍵とをセットで管理する第２証明書管理ステップと、
    前記第１公開鍵証明書および第１秘密鍵並びに前記第２公開鍵証明書および第２秘密鍵のいずれか一方をセットで選択する選択処理ステップと、
    前記選択処理ステップにおいて、セットで選択した公開鍵証明書と秘密鍵とを用いて、サーバ装置との通信に際して、認証処理を実行する認証処理ステップと
    を含むことを特徴とする権利管理方法。
23. コンテンツを利用する権利管理端末に必要となるライセンスを扱うサーバ装置に用いられる利用情報収集方法であって、
    前記権利管理端末とデータ通信するに際して当該権利管理端末から送られてきた公開鍵証明書を用いて通信相手を認証する認証ステップを含み、
    前記認証ステップでは、端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含まない第２公開鍵証明書が、権利管理端末から送られてきた場合、匿名のまま当該第２公開鍵証明書を用いて通信相手を認証する
    ことを特徴とする利用情報収集方法。
24. コンテンツの利用条件を含むライセンスを用いて、当該コンテンツの著作権を管理する権利管理端末に用いられるプログラムであって、
    端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含む第１公開鍵証明書と、当該第１公開鍵証明書に含まれる第１公開鍵とペアの第１秘密鍵とをセットで管理する第１証明書管理ステップと、
    前記識別情報を含まない第２公開鍵証明書と、当該第２公開鍵証明書に含まれる第２公開鍵とペアの第２秘密鍵とをセットで管理する第２証明書管理ステップと、
    前記第１公開鍵証明書および第１秘密鍵並びに前記第２公開鍵証明書および第２秘密鍵のいずれか一方をセットで選択する選択処理ステップと、
    前記選択処理手段がセットで選択した公開鍵証明書と秘密鍵とを用いて、サーバ装置との通信に際して、認証処理を実行する認証処理ステップと
    をコンピュータに実行させるためのプログラム。
25. コンテンツを利用する権利管理端末に必要となるライセンスを扱うサーバ装置に用いられるプログラムであって、
    前記権利管理端末とデータ通信するに際して当該権利管理端末から送られてきた公開鍵証明書を用いて通信相手を認証する認証ステップを含み、
    前記認証ステップでは、端末および当該端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含まない第２公開鍵証明書が、権利管理端末から送られてきた場合、匿名のまま当該第２公開鍵証明書を用いて通信相手を認証させる
    ことをコンピュータに実行させるためのプログラム。
26. 請求項２４記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
27. 請求項２５記載のプログラムを記録したコンピュータ読み取り可能な記録媒体。
28. サーバ装置から送信されるコンテンツの利用条件を示す利用条件データと、
    権利管理端末において暗号化コンテンツを復号するための鍵であるコンテンツ鍵データと、
    権利管理端末および当該権利管理端末を使用するユーザの少なくとも一方を一意に識別する識別情報を含まない第２公開鍵証明書と、当該第２公開鍵証明書に含まれる第２公開鍵とペアの第２秘密鍵とのデータと
    を含むことを特徴とする媒体。

Images