JP2007079727A - バックアップ及びリストア方法、データ記憶装置、バックアップ及びリストアプログラム - Google Patents

Abstract

【課題】コンテンツの不正利用を確実に防止しつつ、ユーザに対する利便性を向上し得るようにする。
【解決手段】コンテンツ再生装置ＣＰ１内のデータの整合性を確認してから、コンテンツ再生装置内のデータをＵＳＢ機器にバックアップする。このときＵＳＢ機器には、機器識別子Ｄ１及び完全性保障値の検査値Ｄ７に基づき生成されたデータ正当性検査用バックアップデータを記録する。そしてデータ正当性検査用バックアップデータから得られる機器識別子Ｄ１及び完全性保障値の検査値Ｄ７を利用してＵＳＢ機器にバックアップされたデータの整合性を確認してから、バックアップされたデータをリストアすると共に、バックアップされたデータがリストアされたコンテンツ再生装置ＣＰ２で利用できるように、権利情報の完全性保障値Ｄ５と完全性保障値の検査値Ｄ７とを更新する。
【選択図】図６

Description

本発明はバックアップ及びリストア方法、データ記憶装置、バックアップ及びリストアプログラムに関し、例えば、コンテンツデータをバックアップ及びリストアする際に適用して好適なものである。

近年、映像や音楽などのコンテンツを配信するコンテンツ配信サーバから、ネットワークを介してコンテンツを取得し、これを再生するようになされたコンテンツ再生装置が広く普及している。

一般的に、このようなコンテンツ配信サーバから配信されるコンテンツには、著作権保護などの理由から、その音楽コンテンツを利用し得る権利があるか否かを示す権利情報が対応付けられている。

実際上、コンテンツ再生装置は、コンテンツ配信サーバからコンテンツに対応するコンテンツデータとその権利情報とを取得すると、この権利情報に対して既定の演算を実行することにより、この権利情報の正当性を検査するための権利情報検査値を算出し、この権利情報検査値を、取得したコンテンツデータとその権利情報と共に、コンテンツ再生装置内部のデータ記憶媒体（例えばハードディスクドライブ）に記憶する。

ちなみに、このようなコンテンツ再生装置は、その内部のデータ記憶媒体に記憶されている権利処理ソフトウェアにしたがって、権利情報に対して既定の演算を実行することにより権利情報検査値を算出するようになされている。ここで、この演算の方法は権利処理ソフトウェアに秘匿されているので、権利情報検査値の算出は権利処理ソフトウェアがインストールされたコンテンツ再生装置のみが実行できるものとなる。

この後、コンテンツ再生装置は、例えば、データ記憶媒体に記憶したコンテンツデータに対する再生指示が行われると、データ記憶媒体に記憶されている権利処理ソフトウェアにしたがって、このコンテンツデータに対応する権利情報に対して既定の演算を実行することにより得られた算出値と、データ記憶媒体に記憶されている権利情報検査値とを比較し、この比較の結果、算出値と権利情報検査値とが一致していれば、権利情報が正当なものであると判断する一方、算出値と権利情報検査値とが一致していなければ、権利情報が不正なものであると判断する。

そして権利情報が不正なものであると判断した場合、コンテンツ再生装置は、これ以降の処理を実行せず、その結果コンテンツデータは再生されない。これに対して権利情報が正当なものであると判断した場合、コンテンツ再生装置は、この権利情報にコンテンツデータを再生する権利が記されているか否かを確認し、この権利が記されていると確認できると、このコンテンツデータの再生処理を実行する。このようにしてこのコンテンツ再生装置では、権利情報の改竄などを防止して、コンテンツの不正利用をある程度防止し得るようになされている。

しかしながら、このようなコンテンツ再生装置では、データ記憶媒体の記憶内容（取得した多数のコンテンツデータと、これらに対応する権利情報と、権利情報検査値と、権利処理ソフトウェア）が、そのまま他のコンテンツ再生装置のデータ記憶媒体にコピーされると、コピー先のコンテンツ再生装置でもコンテンツが利用可能となり、結果として音楽コンテンツの不正利用を防ぎきれない。

このような状況を回避するため、権利処理ソフトウェアを、ＩＣ（Integrated Circuit）チップや回路基板などのハードウェアで実現すると共に、権利情報検査値を、データ記憶媒体とは異なる、この権利処理ハードウェア内に格納する方法が提案されている（例えば特許文献１参照）。これにより、コンテンツ再生装置では、データ記憶媒体の記憶内容が他のコンテンツ再生装置にコピーされても、権利処理ハードウェア内に格納された権利情報検査値はコピーされず、結果として、コンテンツの不正利用を一段と防止することができる。

さらにデータ記憶媒体や権利処理ハードウェアとは異なる場所に改竄困難なコンテンツ再生装置固有の機器識別子を保持し、その検査値を権利処理ハードウェア内の改竄困難な領域に保持することにより、コンテンツ再生装置とコンテンツとを強固に結びつけてコンテンツの不正利用をより一層確実に防止する方法も提案されている。
特開２００１−２２２７１公報

ところで、上述したようなコンテンツの不正利用防止は、著作権者からの要求であって、一般的なユーザからは、例えば、コンテンツ再生装置を買い換えたなどの正当な理由によりコンテンツデータをバックアップして、別のコンテンツ再生装置にリストア（移行）したいという要求がある。

しかしながら、上述したようにコンテンツの不正利用を確実に防止するために機器識別子を利用してコンテンツ再生装置とコンテンツとを強固に結びつけた場合、コンテンツデータを別のコンテンツ再生装置にリストアすることは困難であり、この結果、ユーザにとっては不便になるという問題が生じる。一方で、コンテンツデータのリストアを無条件に許可すれば、コンテンツの不正利用を防止することが困難になるという問題が生じる。

本発明は以上の点を考慮してなされたもので、コンテンツの不正利用を確実に防止しつつ、ユーザに対する利便性を向上し得るバックアップ及びリストア方法、データ記憶装置、バックアップ及びリストアプログラムを提案しようとするものである。

かかる課題を解決するため本発明においては、装置本体を識別する機器識別子を記憶する第１の記憶媒体と、権利保護されたコンテンツデータ、当該コンテンツデータに対応する権利情報、当該権利情報の完全性を保障するための完全性保障値を作成するための完全性保障値の作成鍵、及び、機器識別子及び権利情報に基づき完全性保障値の作成鍵により生成された権利情報の完全性保障値を記憶する第２の記憶媒体と、機器識別子から既定の演算方法により演算される機器識別子の検査値、及び権利情報の完全性保障値から既定の演算方法により算出される権利情報の完全性保障値の検査値を記憶する権利処理モジュールとを有する装置のデータをバックアップ及びリストアするバックアップ及びリストア方法において、第１の記憶媒体に記憶される機器識別子の正当性を、権利処理モジュールに記憶される機器識別子の検査値により評価すると共に、第２の記憶媒体に記憶される権利情報の完全性保障値の正当性を、権利処理モジュールに記憶される完全性保障値の検査値により評価することにより、装置内のデータの整合性を確認するデータ整合性確認ステップと、権利処理モジュールに記憶される完全性保障値の検査値と機器識別子とに基づきデータ正当性検査用バックアップデータを生成すると共に、権利保護されたコンテンツデータ、権利情報、権利情報の完全性保障値、完全性保障値の作成鍵、及びデータ正当性検査用バックアップデータを外部記憶媒体に記録するバックアップ実行ステップと、外部記憶媒体より読み出されたデータ正当性検査用バックアップデータより完全性保障値の検査値及び機器識別子を取得し、外部記憶媒体より読み出された権利情報の完全性保障値の正当性を、取得した完全性保障値の検査値により評価すると共に、取得した機器識別子及び外部記憶媒体より読み出された権利情報に基づき外部記憶媒体より読み出された完全性保障値の作成鍵により生成された権利情報の完全性保障値と、外部記憶媒体から読み出された権利情報の完全性保障値とを比較評価し、当該評価結果に応じて、外部記憶媒体より読み出された権利保護されたコンテンツデータ、権利情報、及び完全性保障値の作成鍵を第２の記憶媒体に記録し、さらに、読み出された権利情報及び第１の記憶媒体に記憶される機器識別子に基づき読み出された完全性保障値の作成鍵により新たに生成された権利情報の完全性保障値を第２の記憶媒体に記録すると共に、当該生成された権利情報の完全性保障値から既定の演算方法により算出された完全性保障値の検査値を、権利処理モジュールに記録するリストア実行ステップとを設けるようにした。

このように装置内のデータの整合性を確認してから、装置内の権利保護されたコンテンツデータ、権利情報、権利情報の完全性保障値、及び完全性保障値の作成鍵をバックアップ対象のデータとして、外部記憶媒体にバックアップする。また、このとき外部記憶媒体には、装置毎に異なる機器識別子及び完全性保障値の検査値に基づき生成されたデータ正当性検査用バックアップデータを記録する。そしてデータ正当性検査用バックアップデータから得られる機器識別子及び完全性保障値の検査値を利用して外部記憶媒体にバックアップされたデータの整合性を確認してから、バックアップされたデータをリストアすると共に、バックアップされたデータがリストアされた装置で利用できるように装置に依存する権利情報の完全性保障値と完全性保障値の検査値とをリストアされた装置で新たに生成するようにした。

これにより機器識別子と権利保護されたコンテンツデータとを強固に結び付けた装置で、必要に応じて正規の手順を踏めば、権利保護されたコンテンツデータをバックアップ及びリストアすることができる。

本発明によれば、装置内のデータの整合性を確認してから、装置内の権利保護されたコンテンツデータ、権利情報、権利情報の完全性保障値、及び完全性保障値の作成鍵をバックアップ対象のデータとして、外部記憶媒体にバックアップする。また、このとき外部記憶媒体には、装置毎に異なる機器識別子及び完全性保障値の検査値に基づき生成されたデータ正当性検査用バックアップデータを記録する。そしてデータ正当性検査用バックアップデータから得られる機器識別子及び完全性保障値の検査値を利用して外部記憶媒体にバックアップされたデータの整合性を確認してから、バックアップされたデータをリストアすると共に、バックアップされたデータがリストアされた装置で利用できるように装置に依存する権利情報の完全性保障値と完全性保障値の検査値とをリストアされた装置で新たに生成するようにしたことにより機器識別子と権利保護されたコンテンツデータとを強固に結び付けた装置で、必要に応じて正規の手順を踏めば、権利保護されたコンテンツデータをバックアップ及びリストアすることができ、かくしてコンテンツの不正利用を確実に防止しつつ、ユーザに対する利便性を向上することができる。

以下図面について、本発明の一実施の形態を詳述する。

（１）第１の実施の形態
（１−１）コンテンツ利用システムの構成
図１において、１は全体として音楽コンテンツを利用するコンテンツ利用システムを示し、音楽コンテンツを配信するコンテンツ配信サーバＳＶ_１と、音楽コンテンツを記録及び再生可能な複数のコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）とがネットワークＮＴを介して接続されている。そしてコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）は、コンテンツ配信サーバＳＶ_１から配信される音楽コンテンツをネットワークＮＴを介して取得し、この取得した音楽コンテンツを記録または再生するようになされている。

またコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）には、ネットワークＮＴを介して後述するリストアサーバＳＶ_２が接続されている。

（１−２）コンテンツ再生装置及びリストアサーバの機能構成
次に、図２を用いてコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）の機能的な構成について説明する。なお、複数のコンテンツ再生装置ＣＰ_１、ＣＰ_２、…それぞれの機能的な構成は全て同じであるため、ここでは一例としてコンテンツ再生装置ＣＰ_１の機能的な構成について説明し、他のコンテンツ再生装置ＣＰ_２、…の機能的な構成についてはその説明を省略する。

コンテンツ再生装置ＣＰ_１では、制御部２が、内蔵記録媒体７で駆動制御される内蔵記録媒体８から読み出した各種プログラムを一時記憶部４に展開して実行することにより全体を統括制御すると共に、各種処理を行うようになされている。また記憶部３には後述する機器識別子などが記録されている。

実際上、制御部２は、操作部５を介して、例えばネットワークＮＴ上のコンテンツ配信サーバＳＶ_１から配信される音楽コンテンツの取得操作がユーザにより行われたことを認識すると、これに応じて、音楽コンテンツの配信を要求する配信要求信号を、通信部６を介してネットワークＮＴ上のコンテンツ配信サーバＳＶ_１に送信する。

コンテンツ配信サーバＳＶ_１は、コンテンツ再生装置ＣＰ_１から配信要求信号を受信すると、これに応じて、要求された音楽コンテンツの配信にともなう対価をコンテンツ再生装置ＣＰ_１のユーザに対して課金するための課金処理を実行すると共に、要求された音楽コンテンツに対応する暗号化された音楽データ（以下、これを暗号化音楽データとも呼ぶ）と、この音楽コンテンツを利用する権利がある旨を示す権利情報とを、ネットワークＮＴを介して、コンテンツ再生装置ＣＰ_１に送信する。ちなみに、この場合の権利情報には、例えば、暗号化音楽データを復号する復号鍵の元となるデータ（いわゆる復号鍵の種）、音楽コンテンツの再生可能回数や転送可能回数などを示すコンテンツ利用条件、及び実際に音楽コンテンツが再生された回数や転送された回数などを示すコンテンツ利用状態などが記されている。

コンテンツ再生装置ＣＰ_１の制御部２は、コンテンツ配信サーバＳＶ_１から送信される暗号化音楽データとその権利情報とを、通信部６を介して受信すると、これらを内蔵記録媒体８に記録する。

このようにコンテンツ再生装置ＣＰ_１は、ネットワークＮＴ上のコンテンツ配信サーバＳＶ_１から音楽コンテンツを取得（ダウンロード）して、この音楽コンテンツを内蔵記録媒体８に記録し得るようになされている。

その後、制御部２は、操作部５を介して、内蔵記録媒体８に記録した音楽コンテンツに対する再生指示がユーザにより行われたことを認識すると、これに応じて、この音楽コンテンツに対応する暗号化音楽データとその権利情報とを内蔵記録媒体８から読み出し、権利情報を権利処理部９に送ると共に、暗号化音楽データを音楽処理部１０に送る。

権利処理部９は、内蔵記録媒体８から送られてきた権利情報に、暗号化音楽データを利用（この場合再生）する権利が記されているか否かを確認し、この権利が記されていると確認できると、この権利情報に対応する暗号化音楽データの利用（この場合再生）を許可する。そして権利処理部９は、この権利情報に基づいて暗号化音楽データの復号鍵を作成し、この復号鍵を音楽処理部１０に渡す。ここで、権利処理部９と音楽処理部１０とは専用経路で接続され、この専用経路を介して復号鍵の受け渡しを行うことで、この復号鍵が外部から不正に取得されるのを防止し得るようになされている。

音楽処理部１０は、内蔵記録媒体８から送られてきた暗号化音楽データを、権利処理部９から渡された復号鍵で復号することにより音楽データを得、さらにこの音楽データに対してデコード処理、デジタルアナログ変換処理及び増幅処理などを順次行うことにより音楽信号を得、この音楽信号を外部の音楽出力部１１に送出して、この音楽出力部１１から音楽信号に基づく音楽を出力させる。

このようにコンテンツ再生装置ＣＰ_１は、内蔵記録媒体８に記録した音楽コンテンツを再生し得るようになされている。

またコンテンツ再生装置ＣＰ_１の制御部２は、ユーザによる操作部５の操作に応じて、外部記録媒体駆動部１２で駆動制御される外部記録媒体１３に記録された音楽データを読み出し、この読み出した音楽データに対して音楽処理部１０でデコード処理、デジタルアナログ変換処理及び増幅処理などを順次行うことにより音楽信号を得、この音楽信号に基づく音楽を音楽出力部１１から出力させる。

さらに制御部２は、ユーザによる操作部５の操作に応じて、インタフェース部１４を介して接続される外部機器１５に記録された音楽データを読み出し、この読み出した音楽データに対して音楽処理部１０でデコード処理、デジタルアナログ変換処理及び増幅処理などを順次行うことにより音楽信号を得、この音楽信号に基づく音楽を音楽出力部１１から出力させる。

さらに制御部２は、ユーザによる操作部５の操作に応じて、外部の音楽入力部１６から音楽処理部１０に入力される音楽信号に対して音楽処理部１０でアナログデジタル変換処理、イコライジング処理、デジタルアナログ変換処理及び増幅処理などを順次行うことにより音楽信号を得、この音楽信号に基づく音楽を音楽出力部１１から出力させる。

このようにコンテンツ再生装置ＣＰ_１は、外部記録媒体１３や外部機器１５に記録された音楽コンテンツや、音楽入力部１６から入力される音楽コンテンツを再生し得るようにもなされている。ちなみに、外部記録媒体１３や外部機器１５に記録された音楽コンテンツが、上述したコンテンツ配信サーバＳＶ_１から取得した音楽コンテンツのように、権利情報と対応付けられた暗号化音楽データである場合は、この音楽コンテンツを、コンテンツ配信サーバＳＶ_１から取得して内蔵記録媒体８に記録した音楽コンテンツと同じように再生すればよい。

さらに制御部２は、ユーザによる操作部５の操作に応じて、外部記録媒体１３や外部機器１５に記録された音楽データを読み出し、この読み出した音楽データに対して音楽処理部１０でエンコード処理を行うと共に、このとき権利処理部９から与えられる暗号鍵で暗号化することにより暗号化音楽データを得、この暗号化音楽データと、このとき権利処理部９で作成される権利情報とを対応付けて内蔵記録媒体８に記録する。

さらに制御部２は、ユーザによる操作部５の操作に応じて、音楽入力部１６から音楽処理部１０に入力される音楽信号に対して音楽処理部１０でアナログデジタル変換処理及びエンコード処理などを順次行うと共に、このとき権利処理部９から与えられる暗号鍵で暗号化することにより暗号化音楽データを得、この暗号化音楽データと、このとき権利処理部９で作成される権利情報とを対応付けて内蔵記録媒体８に記録する。

このようにコンテンツ再生装置ＣＰ_１は、外部記録媒体１３や外部機器１５に記録された音楽コンテンツや、音楽入力部１６から入力される音楽コンテンツを内蔵記録媒体８に録音し得るようにもなされている。ちなみに、この録音時に行う音楽データの暗号化、及び権利情報の対応付けのそれぞれについては、必要に応じて（例えばユーザによる操作部５の操作に応じて）行えばよく、例えば、暗号化及び権利情報の対応付けを行うことなく、外部記録媒体１３や外部機器１５から読み出した音楽データをそのまま内蔵記録媒体８に記録するようにしてもよいし、音楽入力部１６から入力される音楽信号に対して、音楽処理部１０でアナログデジタル変換処理及びエンコード処理などを順次行うことにより音楽データを得、この音楽データをそのまま内蔵記録媒体８に記録するようにしてもよい。

さらに制御部２は、ユーザによる操作部５の操作に応じて、内蔵記録媒体８に記録した暗号化音楽データとその権利情報とを読み出し、または音楽データを読み出し、これらを外部記録媒体１３や外部機器１５に記録する。このようにコンテンツ再生装置ＣＰ_１は、内蔵記録媒体８に記録した音楽コンテンツを外部に転送し得るようにもなされている。

さらに制御部２は、内蔵記録媒体８から読み出した各種プログラムの実行結果（例えば音楽コンテンツの取得、再生、録音及び転送など）に基づく表示用データを表示処理部１７に送る。表示処理部１７は、制御部２から送られてくる表示用データに基づく画面を外部の表示部１８に表示する。このようにコンテンツ再生装置ＣＰ_１は、表示部１８を介して、音楽コンテンツの取得、再生、録音及び転送などに関する各種画面をユーザに視認させ得るようにもなされている。

なお、音楽出力部１１、外部機器１５、音楽入力部１６及び表示部１８は、コンテンツ再生装置ＣＰ_１に所定のケーブルを介して外部接続されていてもよいし、コンテンツ再生装置ＣＰ_１の筐体に直接取り付けられて内部接続されていてもよい。

さらに、上述した音楽コンテンツの取得、再生、録音及び転送などの他に、このコンテンツ再生装置ＣＰ_１は、必要に応じて、内蔵記録媒体８に記録した音楽コンテンツを、例えばインタフェース部１４を介して外部接続された外部機器１５にバックアップし得、さらにこのバックアップした音楽コンテンツを他の例えばコンテンツ再生装置ＣＰ_２がその内蔵記録媒体８にリストアし得るようになされている。

すなわち、コンテンツ再生装置ＣＰ_１の制御部２は、操作部５を介して、内蔵記録媒体８に記録されている音楽コンテンツのバックアップ指示がユーザにより行われたことを認識すると、これに応じて、音楽コンテンツをインタフェース部１４を介して外部接続された外部機器１５にバックアップする。

その後、コンテンツ再生装置ＣＰ_１から外された外部機器１５がコンテンツ再生装置ＣＰ_２のインタフェース部１４に接続された状態で、コンテンツ再生装置ＣＰ_２の制御部２が、操作部５を介して、外部機器１５にバックアップされている音楽コンテンツのリストア指示がユーザにより行われたことを認識すると、これに応じて、リストアの許可を要求する要求メッセージ（以下、これをリストア要求メッセージとも呼ぶ）を作成して、これを通信部６を介してネットワークＮＴ上のリストアサーバＳＶ_２に送信する。

リストアサーバＳＶ_２は、コンテンツ再生装置ＣＰ_２からリストア要求メッセージを受信すると、これに応じて、コンテンツ再生装置ＣＰ_２へのリストアを許可または禁止する旨を示す応答メッセージ（以下、これをリストア応答メッセージとも呼ぶ）を作成し、これをネットワークＮＴを介してコンテンツ再生装置ＣＰ_２に返信する。

コンテンツ再生装置ＣＰ_２の制御部２は、リストアサーバＳＶ_２からリストア応答メッセージを通信部６を介して受信すると、このリストア応答メッセージによりリストアが許可されていれば、リストアを実行する。このようにしてコンテンツ再生装置ＣＰ_１でバックアップされた音楽コンテンツが、リストアサーバＳＶ_２の管理の下に、コンテンツ再生装置ＣＰ_２にリストアされる。

つづいて、図３を用いてリストアサーバＳＶ_２の機能的な構成について説明する。リストアサーバＳＶ_２では、制御部２０が、内蔵記録媒体駆動部２６で駆動制御される内蔵記録媒体２７から読み出した各種プログラムを一時記憶部２２に展開して実行することにより全体を統括制御すると共に、各種処理を行うようになされている。また記憶部２１には、更新する必要のないデータなどが記録されている。

すなわち制御部２０は、通信部２３を介して例えばコンテンツ再生装置ＣＰ_２からリストア要求メッセージを受信すると、このリストア要求メッセージを受信した旨を示す表示用データを作成し、これを表示処理部２４に送る。表示処理部２４は、制御部２０から送られてくる表示用データに基づく画面を外部の表示部２５に表示する。これによりリストアサーバＳＶ_２は、コンテンツ再生装置ＣＰ_２からリストア要求メッセージを受信した旨をオペレータに通知することができる。

そして制御部２０は、このリストア要求メッセージの内容と、内蔵記録媒体駆動部２６で駆動制御される内蔵記録媒体２７に管理されているコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）の登録情報（詳細は後述する）とに基づいてリストア応答メッセージを作成し、これを通信部２３を介してネットワークＮＴ上のコンテンツ再生装置ＣＰ_２に返信する。

またこのとき制御部２０は、リストア応答メッセージを返信した旨を示す表示用データを作成し、これを表示処理部２４に送る。表示処理部２４は、制御部２０から送られてくる表示用データに基づく画面を外部の表示部２５に表示する。これによりリストアサーバＳＶ_２は、コンテンツ再生装置ＣＰ_２に対してリストア応答メッセージを返信した旨をオペレータに通知することができる。

（１−３）コンテンツ再生装置及びリストアサーバのハードウェア構成
次に、図４を用いて、上述したコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）の機能的な構成を具体的なハードウェア構成で実現した場合について説明する。なお、このハードウェア構成についても、複数のコンテンツ再生装置ＣＰ_１、ＣＰ_２、…の全てで同じであるため、ここでは一例としてコンテンツ再生装置ＣＰ_１のハードウェア構成について説明し、他のコンテンツ再生装置ＣＰ_２、…のハードウェア構成についてはその説明を省略する。

コンテンツ再生装置ＣＰ_１では、ＣＰＵ（Central Processing Unit）３０と各ハードウェアとがバス３１を介して接続され、ＣＰＵ３０がハードディスクドライブ３６から読み出した各種プログラムをＲＡＭ（Random Access Memory）３３に展開して実行することにより全体を統括制御すると共に、各種処理を行うようになされている。またＥＥＰＲＯＭ（Electronically Erasable and Programmable Read Only Memory）３２には後述する機器識別子などが記録されている。

実際上、ＣＰＵ３０は、コンテンツ再生装置ＣＰ_１の筐体などに設けられた操作キー３４を介して、例えばネットワークＮＴ上のコンテンツ配信サーバＳＶ_１から配信される音楽コンテンツの取得操作がユーザにより行われたことを認識すると、これに応じて、音楽コンテンツの配信を要求する配信要求信号を、ネットワークインタフェース３５を介してネットワークＮＴ上のコンテンツ配信サーバＳＶ_１に送信する。

コンテンツ配信サーバＳＶ_１は、コンテンツ再生装置ＣＰ_１から配信要求信号を受信すると、これに応じて、要求された音楽コンテンツの配信にともなう対価をコンテンツ再生装置ＣＰ_１のユーザに対して課金するための課金処理を実行すると共に、要求された音楽コンテンツに対応する暗号化音楽データと、この音楽コンテンツを利用する権利がある旨を示す権利情報とを、ネットワークＮＴを介して、コンテンツ再生装置ＣＰ_１に送信する。ちなみにこの場合の権利情報には、例えば、暗号化音楽データを復号する復号鍵の元となるデータ（いわゆる復号鍵の種）音楽コンテンツの再生可能回数や転送可能回数などを示すコンテンツ利用条件、及び実際に音楽コンテンツが再生された回数や転送された回数などを示すコンテンツ利用状態などが記されている。

コンテンツ再生装置ＣＰ_１のＣＰＵ３０は、コンテンツ配信サーバＳＶ_１から送信される暗号化音楽データとその権利情報とを、ネットワークインタフェース３５を介して受信すると、これらをハードディスクドライブ３６に記録する。

このようにコンテンツ再生装置ＣＰ_１は、ネットワークＮＴ上のコンテンツ配信サーバＳＶ_１から音楽コンテンツを取得（ダウンロード）して、この音楽コンテンツをハードディスクドライブ３６に記録し得るようになされている。

その後、ＣＰＵ３０は、操作キー３４を介して、ハードディスクドライブ３６に記録した音楽コンテンツに対する再生指示がユーザにより行われたことを認識すると、これに応じて、この音楽コンテンツに対応する暗号化音楽データとその権利情報とをハードディスクドライブ３６から読み出し、これらを権利処理及び音声処理モジュール３７に送る。

権利処理及び音声処理モジュール３７は、モジュール外から隠蔽されるマルチチップモジュールでなり、ローカルブリッジ３７Ａを介してモジュール外のバス３１に接続されると共に、このローカルブリッジ３７Ａに接続されるＤＳＰ（Digital Signal Processor）３７Ｂを介してモジュール外のアナログ処理回路３８に接続されている。そしてこの権利処理及び音声処理モジュール３７は、ハードディスクドライブ３６に記録されているＤＳＰ３７Ｂ用の暗号化されたファームウェアがＣＰＵ３０により読み出されて供給されると、これをローカルブリッジ３７Ａで復号してＲＡＭ３７Ｃに一次記憶し、このＲＡＭ３７Ｃに一次記憶したファームウェアをＤＳＰ３７Ｂが実行することにより、上述したコンテンツ再生装置ＣＰ_１の権利処理部９の処理と、音声処理部１０のデジタル処理と同様の処理を行うようになされている。またこの権利処理及び音声処理モジュール３７は、ＤＳＰ３７Ｂがアクセスし得るＥＥＰＲＯＭ３７Ｄを有し、このＥＥＰＲＯＭ３７Ｄにモジュール外から隠蔽したい秘匿情報などを記憶するようになされている。

すなわちこの権利処理及び音声処理モジュール３７は、ハードディスクドライブ３６から送られてきた暗号化音楽データとその権利情報とをローカルブリッジ３７Ａを介してＤＳＰ３７Ｂに入力する。ＤＳＰ３７Ｂは、この権利情報に、暗号化音楽データを利用（この場合再生）する権利が記されているか否かを確認し、この権利が記されていると確認できると、この権利情報と共に送られてきた暗号化音楽データの利用（この場合再生）を許可する。そしてＤＳＰ３７Ｂは、この権利情報に基づいて暗号化音楽データの復号鍵を作成し、この復号鍵で暗号化音楽データを復号することにより音楽データを得、さらにこの音楽データに対してデコード処理などのデジタル処理を行った後、このデジタル処理された音楽データをアナログ処理回路３８に送出する。

アナログ処理回路３８は、デジタル処理された音楽データに対してデジタルアナログ変換処理及び増幅処理などのアナログ処理を行うことにより音楽信号を得、この音楽信号を外部のスピーカ３９に送出して、このスピーカ３９から音楽信号に基づく音楽を出力させる。

このようにコンテンツ再生装置ＣＰ_１は、ハードディスクドライブ３６に記録した音楽コンテンツを再生し得るようになされている。

またコンテンツ再生装置ＣＰ_１のＣＰＵ３０は、ユーザによる操作キー３４の操作に応じて、ＣＤ（Compact Disc）ドライブ４０に装填されたＣＤ４１に記録された音楽データを読み出し、この読み出した音楽データに対して、権利処理及び音声処理モジュール３７でデコード処理などのデジタル処理を行った後、アナログ処理回路３８でデジタルアナログ変換処理及び増幅処理などのアナログ処理を行うことにより音楽信号を得、この音楽信号に基づく音楽をスピーカ３９から出力させる。

さらにＣＰＵ３０は、ユーザによる操作キー３４の操作に応じて、ＵＳＢ（Universal Serial Bus）インタフェース４２を介して接続されるＵＳＢ機器４３に記録された音楽データを読み出し、この読み出した音楽データに対して、権利処理及び音声処理モジュール３７でデコード処理などのデジタル処理を行った後、さらにアナログ処理回路３８でデジタルアナログ変換処理及び増幅処理などのアナログ処理を行うことにより音楽信号を得、この音楽信号に基づく音楽をスピーカ３９から出力させる。

さらにＣＰＵ３０は、ユーザによる操作キー３４の操作に応じて、チューナ４４や外部入力端子４５からアナログ処理回路３８に入力される音楽信号に対して、アナログ処理回路３８でアナログデジタル変換処理などのアナログ処理を行った後、権利処理及び音声処理モジュール３７でイコライジング処理などのデジタル処理を行い、さらにこの後アナログ処理回路３８でデジタルアナログ変換処理などのアナログ処理を行うことにより音楽信号を得、この音楽信号に基づく音楽をスピーカ３９から出力させる。

このようにコンテンツ再生装置ＣＰ_１は、ＣＤ４１やＵＳＢ機器４３に記録された音楽コンテンツや、チューナ４４や外部入力端子４５から入力された音楽コンテンツを再生し得るようにもなされている。ちなみに、ＣＤ４１やＵＳＢ機器４３に記録された音楽コンテンツが、上述したコンテンツ配信サーバから取得した音楽コンテンツのように、権利情報と対応付けられた暗号化音楽データである場合は、この音楽コンテンツを、コンテンツ配信サーバから取得してハードディスクドライブ３６に記録した音楽コンテンツと同じように再生すればよい。

さらにＣＰＵ３０は、ユーザによる操作キー３４の操作に応じて、ＣＤ４１やＵＳＢ機器４３に記録された音楽データを読み出し、この読み出した音楽データに対して、権利処理及び音声処理モジュール３７でエンコード処理を行うと共に、このとき権利処理及び音声処理モジュール３７で作成される暗号鍵で暗号化することにより暗号化音楽データを得、この暗号化音楽データと、このとき権利処理及び音声処理モジュール３７で作成される権利情報とを対応付けてハードディスクドライブ３６に記録する。

さらにＣＰＵ３０は、ユーザによる操作キー３４の操作に応じて、チューナ４４や外部入力端子４５からアナログ処理回路３８に入力される音楽信号に対して、アナログ処理回路３８でアナログデジタル変換処理などのアナログ処理を行った後、権利処理及び音声処理モジュール３７でエンコード処理などのデジタル処理を行うと共に、このとき権利処理及び音声処理モジュール３７で作成される暗号鍵で暗号化することにより暗号化音楽データを得、この暗号化音楽データと、このとき権利処理及び音声処理モジュール３７で作成される権利情報とを対応付けてハードディスクドライブ３６に記録する。

このようにコンテンツ再生装置ＣＰ_１は、ＣＤ４１やＵＳＢ機器４３に記録された音楽コンテンツや、チューナ４４や外部入力端子４５から入力される音楽コンテンツをハードディスクドライブ３６に録音し得るようにもなされている。ちなみに、この録音時に行う音楽データの暗号化、及び権利情報の対応付けのそれぞれについては、必要に応じて（例えばユーザによる操作キー３４の操作に応じて）行えばよく、例えば、暗号化及び権利情報の対応付けを行うことなく、ＣＤ４１やＵＳＢ機器４３から読み出した音楽データをそのままハードディスクドライブ３６に記録するようにしてもよいし、チューナ４４や外部入力端子４５から入力される音楽信号に対してアナログ処理回路３８及び権利処理及び音声処理モジュール３７でアナログ処理及びデジタル処理などを順次行うことにより音楽データを得、この音楽データをそのままハードディスクドライブ３６に記録するようにしてもよい。

さらにＣＰＵ３０は、ユーザによる操作キー３４の操作に応じて、ハードディスクドライブ３６に記録した暗号化音楽データとその権利情報とを読み出し、または音楽データを読み出し、これらをＣＤ４１やＵＳＢ機器４３に記録する。このようにコンテンツ再生装置ＣＰ_１は、ハードディスクドライブ３６に記録した音楽コンテンツを外部に転送し得るようにもなされている。

さらにＣＰＵ３０は、ハードディスクドライブ３６から読み出した各種プログラムの実行結果（例えば音楽コンテンツの取得、再生、録音及び転送など）に基づく表示用データを表示コントローラ４６に送る。表示コントローラ４６は、ＣＰＵ３０から送られてくる表示用データに基づく画面を外部のディスプレイ４７に表示する。このようにコンテンツ再生装置ＣＰ_１は、ディスプレイ４７を介して、音楽コンテンツの取得、再生、録音及び転送などに関する各種画面をユーザに視認させ得るようにもなされている。

なお、スピーカ３９、ＵＳＢ機器４３、チューナ４４、外部入力端子４５及びディスプレイ４７は、コンテンツ再生装置ＣＰ_１に所定のケーブルを介して外部接続されていてもよいし、コンテンツ再生装置ＣＰ_１の筐体に直接取り付けられて内部接続されていてもよい。

さらに、上述した音楽コンテンツの取得、再生、録音及び転送などの他に、このコンテンツ再生装置ＣＰ_１は、必要に応じて、ハードディスクドライブ３６に記録した音楽コンテンツを、例えばＵＳＢインタフェース４２を介して外部接続されたＵＳＢ機器４３にバックアップし得、さらにこのバックアップした音楽コンテンツを他の例えばコンテンツ再生装置ＣＰ_２がそのハードディスクドライブ３６にリストアし得るようになされている。

すなわち、コンテンツ再生装置ＣＰ_１のＣＰＵ３０は、操作キー３４を介して、ハードディスクドライブ３６に記録されている音楽コンテンツのバックアップ指示がユーザにより行われたことを認識すると、これに応じて、音楽コンテンツをＵＳＢインタフェース４２を介して外部接続されたＵＳＢ機器４３にバックアップする。

その後、コンテンツ再生装置ＣＰ_１から外されたＵＳＢ機器４３がコンテンツ再生装置ＣＰ_２のＵＳＢインタフェース４２に接続された状態で、コンテンツ再生装置ＣＰ_２のＣＰＵ３０が、操作キー３４を介して、ＵＳＢ機器４３にバックアップされている音楽コンテンツのリストア指示がユーザにより行われたことを認識すると、これに応じて、権利処理及び音楽処理モジュール３７を用いてリストアの許可を要求する要求メッセージ（以下、これをリストア要求メッセージとも呼ぶ）を作成し、これをネットワークインタフェース３５を介してネットワークＮＴ上のリストアサーバＳＶ_２に送信する。

リストアサーバＳＶ_２は、コンテンツ再生装置ＣＰ_２からリストア要求メッセージを受信すると、これに応じて、コンテンツ再生装置ＣＰ_２へのリストアを許可または禁止する旨を示す応答メッセージ（以下、これをリストア応答メッセージとも呼ぶ）を作成し、これをネットワークＮＴを介してコンテンツ再生装置ＣＰ_２に返信する。

コンテンツ再生装置ＣＰ_２のＣＰＵ３０は、リストアサーバＳＶ_２からリストア応答メッセージをネットワークインタフェース３５を介して受信すると、このリストア応答メッセージによりリストアが許可されていれば、権利処理及び音楽処理モジュール３７を用いてリストアを実行する。このようにしてコンテンツ再生装置ＣＰ_１でバックアップされた音楽コンテンツが、リストアサーバＳＶ_２の管理の下に、コンテンツ再生装置ＣＰ_２にリストアされる。

つづいて、図５を用いて上述したリストアサーバＳＶ_２の機能的な構成を具体的なハードウェア構成で実現した場合について説明する。リストアサーバＳＶ_２では、ＣＰＵ５０が、ハードディスクドライブ５６から読み出した各種プログラムをＲＡＭ５２に展開して実行することにより全体を統括制御すると共に、各種処理を行うようになされている。またＲＯＭ５１には、更新する必要のないデータなどが記録されている。

すなわちＣＰＵ５０は、ネットワークインタフェース５３を介して例えばコンテンツ再生装置ＣＰ_２からリストア要求メッセージを受信すると、このリストア要求メッセージを受信した旨を示す表示用データを作成し、これを表示コントローラ５４に送る。表示コントローラ５４は、ＣＰＵ５０から送られてくる表示用データに基づく画面を外部のディスプレイ５５に表示する。これによりリストアサーバＳＶ_２は、コンテンツ再生装置ＣＰ_２からリストア要求メッセージを受信した旨をオペレータユーザに通知することができる。

そしてＣＰＵ５０は、このリストア要求メッセージの内容と、ハードディスクドライブ５６に管理されているコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）の登録情報（詳細は後述する）とに基づいてリストア応答メッセージを作成し、これをネットワークインタフェース５３を介してネットワークＮＴ上のコンテンツ再生装置ＣＰ_２に返信する。

またこのときＣＰＵ５０は、リストア応答メッセージを返信した旨を示す表示用データを作成し、これを表示コントローラ５４に送る。表示コントローラ５４は、ＣＰＵ５０から送られてくる表示用データに基づく画面を外部のディスプレイ５５に表示する。これによりリストアサーバＳＶ_２は、コンテンツ再生装置ＣＰ_２に対してリストア応答メッセージを返信した旨をオペレータに通知することができる。

ちなみに、コンテンツ再生装置ＣＰ_１のＣＰＵ３０（図４）は上述した制御部２（図２）に相当し、ＥＥＰＲＯＭ３２は記憶部３に相当し、ＲＡＭ３３は一時記憶部４に相当し、操作キー３４は操作部５に相当し、ネットワークインタフェース３５は通信部６に相当し、ハードディスクドライブ３６は内蔵記録媒体駆動部７及び内蔵記録媒体８に相当し、権利処理及び音声処理モジュール３７及びアナログ処理回路３８は権利処理部９及び音声処理部１０に相当し、ＣＤドライブ４０は外部記録媒体駆動部１２に相当し、ＵＳＢインタフェース４２はインタフェース部１４に相当し、表示コントローラ４６は表示処理部１７に相当するものである。

またリストアサーバＳＶ_２のＣＰＵ５０は上述した制御部２０（図３）に相当し、ＲＯＭ５１は記憶部２１に相当し、ＲＡＭ５２は一時記憶部２２に相当し、ネットワークインタフェース５３は通信部２３に相当し、表示コントローラ５４は表示処理部２４に相当し、ハードディスクドライブ５６は内蔵記録媒体駆動部２６及び内蔵記録媒体２７に相当するものである。

なお、以下の説明では、コンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）及びリストアサーバＳＶ_２のハードウェア構成を用いることにする。

（１−４）音楽コンテンツの不正利用防止
上述したような機能にくわえて、この音楽コンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）では、ハードディスクドライブ３６の記録内容などが不正に複製されたとしても、権利保護された音楽コンテンツ（すなわち権利情報と対応付けられた暗号化音楽データ）が複製先で不正に利用できないように、以下のような方法で音楽コンテンツの不正利用を防止するようになされている。

すなわち、図４との対応部分に同一符号を付した図６に示すように、例えばコンテンツ再生装置ＣＰ_１は、出荷時、ＥＥＰＲＯＭ３２の書き換え禁止領域に、他のコンテンツ再生装置ＣＰ_２、…とは重複しないコンテンツ再生装置ＣＰ_１固有の機器識別子Ｄ１が書き込まれると共に、権利処理及び音楽処理モジュール３７のＥＥＰＲＯＭ３７Ｄに、機器識別子Ｄ１に対して例えば一方向関数でなる第１の演算方法を用いた演算を権利処理及び音楽処理モジュール３７で実行することにより算出された、機器識別子Ｄ１の正当性を検査するときに用いる機器識別子の検査値Ｄ２が書き込まれる。ちなみに、機器識別子Ｄ１としては、例えば同じアーキテクチャのコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）に対してユニークに割り当てられた製造番号などが適用される。

さらにコンテンツ再生装置ＣＰ_１では、ハードディスクドライブ３６に記録された全ての権利情報Ｄ３と、ＥＥＰＲＯＭ３２に書き込まれた機器識別子Ｄ１とを１つのデータとして、このデータに対してハードディスクドライブ３６に記録された所定の暗号鍵Ｄ４で暗号化することにより得られる権利情報の完全性保障値Ｄ５をハードディスクドライブ３６に記録するようになされている。ちなみに、暗号鍵（以下、これを完全性保障値の作成鍵とも呼ぶ）Ｄ４は、コンテンツ再生装置ＣＰ_１の出荷時にハードディスクドライブ３６に書き込まれる。

実際上、コンテンツ再生装置ＣＰ_１のＣＰＵ３０（図４）は、ハードディスクドライブ３６に対して暗号化音楽データＤ６とその権利情報Ｄ３とを記録する毎に、ＥＥＰＲＯＭ３２に記録された機器識別子Ｄ１と、ハードディスクドライブ３６に存在する全ての権利情報Ｄ３と、ハードディスクドライブ３６に記録された完全性保障値の作成鍵Ｄ４とを読み出し、これらを権利処理及び音楽処理モジュール３７に入力する。

権利処理及び音楽処理モジュール３７は、入力された機器識別子Ｄ１と権利情報Ｄ３と完全性保障値の作成鍵Ｄ４とをもとに最新の権利情報の完全性保障値Ｄ５を作成して、これを出力する。そしてＣＰＵ３０は、権利処理及び音楽処理モジュール３７が出力した最新の権利情報の完全性保障値Ｄ５をハードディスクドライブ３６に記録されている以前の権利情報の完全性保障値Ｄ５に上書きして更新するようになされている。

さらにコンテンツ再生装置ＣＰ_１では、権利処理及び音楽処理モジュール３７のＥＥＰＲＯＭ３７Ｄに、最新の権利情報の完全性保障値Ｄ５に対して例えば一方向関数でなる第２の演算方法を用いた演算を実行することにより算出された、権利情報の完全性保障値Ｄ５の正当性を検査するときに用いる完全性保障値の検査値Ｄ７を記録するようになされている。

実際上、権利処理及び音声処理モジュール３７は、ＣＰＵ３０の制御の下、権利情報の完全性保障値Ｄ５を作成する毎に、最新の権利情報の完全性保障値Ｄ５に対して第２の演算方法を用いた演算を実行することにより完全性保障値の検査値Ｄ７を算出し、これをＥＥＰＲＯＭ３７Ｄに記録されている以前の権利情報の完全保障値Ｄ７に上書きして更新するようになされている。

したがって、音楽コンテンツを正当に利用している状態であれば、ハードディスクドライブ３６に記録された権利情報の完全性保障値Ｄ５と権利処理及び音声処理モジュール３７に記録された完全性保障値の検査値Ｄ７との整合性が常に取れていることになり、一方で、例えば、コンテンツ再生装置ＣＰ_１のハードディスクドライブ３６に対して、別のコンテンツ再生装置ＣＰ_２のハードディスクドライブ３６の記録内容が不正に複製されると、権利情報の完全性保障値Ｄ５と完全性保障値の検査値Ｄ７とに不整合が生じ、このことをコンテンツ再生装置ＣＰ_１が認識することで音楽コンテンツの不正利用を防止することができる。

また上述したようにこのコンテンツ再生装置ＣＰ_１では、機器識別子Ｄ１から機器識別検査値Ｄ２を算出する第１の演算方法、及び権利情報の完全性保障値Ｄ５から完全性保障値の検査値Ｄ７を算出する第２の演算方法として一方向関数を利用したことにより、機器識別子の検査値Ｄ２から機器識別子Ｄ１が逆算されること、及び完全性保障値の検査値Ｄ７から権利情報の完全性保障値Ｄ５が逆算されることを防止し得るようになされている。

さらに上述したようにこのコンテンツ再生装置ＣＰ_１では、機器識別子Ｄ１をＥＥＰＲＯＭ３２の書き換え禁止領域に、機器識別子の検査値Ｄ２及び完全性保障値の検査値Ｄ７を外部から隠蔽された権利処理及び音楽処理モジュール３７に記録するようにしたことで、これらが外部から不正に書き換えられることを防止し得るようになされている。

またこのコンテンツ再生装置ＣＰ_１では、機器識別子の検査値Ｄ２及び完全性保障値の検査値Ｄ７を、例えばこのコンテンツ再生装置ＣＰ_１の製造側のみが知り得るデータ配置（データフォーマット）で権利処理及び音楽処理モジュール３７に記録するようになされている。これによりこのコンテンツ再生装置ＣＰ_１では、機器識別子の検査値Ｄ２及び完全性保障値の検査値Ｄ７のそれぞれが権利処理及び音楽処理モジュール３７のどこに記録されているのかを隠蔽することができる。この結果、例えば、権利処理及び音楽処理モジュール３７内に記録した機器識別子の検査値Ｄ２及び完全性保障値の検査値Ｄ７のうちの機器識別子の検査値Ｄ２のみが不正に読み出されたり、完全性保障値の検査値Ｄ７のみが不正に読み出されたりすることを防止することができるので、権利処理及び音楽処理モジュール３７内に記録した機器識別子の検査値Ｄ２と完全性保障値の検査値Ｄ７とは常に整合性が取れていることになる。

したがって、音楽コンテンツを正当に利用している状態であれば、ＥＥＰＲＯＭ３２に記録された機器識別子Ｄ１と、権利処理及び音楽処理モジュール３７に記録された機器識別子の検査値Ｄ２及び完全性保障値の検査値Ｄ７との整合性が常に取られていることになり、一方で、例えば、コンテンツ再生装置ＣＰ_１のＥＥＰＲＯＭ３２に記録された機器識別子Ｄ１が不正に書き換えられると、機器識別子Ｄ１と機器識別子の検査値Ｄ２及び完全性保障値の検査値Ｄ７とに不整合が生じ、このことをコンテンツ再生装置ＣＰ_１が認識することで音楽コンテンツの不正利用を防止することができる。

換言すれば、このコンテンツ再生装置ＣＰ_１では、機器識別子Ｄ１と、音楽コンテンツの権利情報Ｄ３とが強固に紐付けられていることにより、コンテンツ再生装置ＣＰ_１に記録された音楽コンテンツが他のコンテンツ再生装置ＣＰ_２に不正に複製されても利用できないようになされている。

さらにこのコンテンツ再生装置ＣＰ_１では、権利処理及び音楽処理モジュール３７内のＥＥＰＲＯＭ３７Ｄとは異なる領域に、コンテンツ利用システム１で共通なアーキテクチャ識別子Ｄ８とリストアサーバ公開鍵Ｄ９とが書き込まれている。アーキテクチャ識別子Ｄ８は、例えばコンテンツ利用システム１のバージョンを表すデータであり、またリストアサーバ公開鍵Ｄ９は、音楽コンテンツをリストアするときに、リストアサーバに送信するデータを暗号化するための鍵であり、これらの詳細については後述する。

ここで、実際に、機器識別子Ｄ１、機器識別子の検査値Ｄ２、権利情報の完全性保障値Ｄ５、及び完全性保障値の検査値Ｄ７の整合性が取れているか否かを確認するデータ整合性確認処理の手順（以下、これをデータ整合性確認処理手順とも呼ぶ）について、図７のフローチャートを用いて詳しく説明する。ちなみに、このデータ整合性確認処理手順は、ＣＰＵ３０が、ＥＥＰＲＯＭ３２にインストールされたプログラムにしたがって実行するものである。また、このデータ整合性確認処理手順は、ＣＰＵ３０が、随時、権利処理及び音楽処理モジュール３７を用いて実行する処理手順であるので、主体をＣＰＵ３０から権利処理及び音楽処理モジュール３７に、またはその逆に適宜変更しながら説明する。

コンテンツ再生装置ＣＰ_１のＣＰＵ３０は、コンテンツ再生装置ＣＰ_１の電源が投入されると、データ整合性確認処理手順ＲＴ１を開始してステップＳＰ１に移る。ステップＳＰ１においてＣＰＵ３０は、ＥＥＰＲＯＭ３２に記録された機器識別子Ｄ１を読み出し、この機器識別子Ｄ１を権利処理及び音楽処理モジュール３７に入力して次のステップＳＰ２に移る。

ステップＳＰ２において権利処理及び音楽処理モジュール３７は、ＣＰＵ３０の制御の下、入力された機器識別子Ｄ１に対して第１の演算方法を用いた演算を実行し、この結果得られた第１の算出値と、ＥＥＰＲＯＭ３７Ｄに記録された機器識別子の検査値Ｄ２とを比較して次のステップＳＰ３に移る。

ステップＳＰ３において権利処理及び音楽処理モジュール３７は、ステップＳＰ２での比較結果に基づいて、第１の算出値と機器識別子の検査値Ｄ２とが等しいか否か、すなわち機器識別子Ｄ１と機器識別子の検査値Ｄ２との整合性が取れているか否かを判定する。このステップＳＰ３で否定結果を得ると、このことはＥＥＰＲＯＭ３２に記録されている機器識別子Ｄ１と、権利処理モジュール及び音楽処理モジュール３７に記録されている機器識別子の検査値Ｄ２とに不整合が生じていることを表しており、このとき権利処理及び音楽処理モジュール３７は、ＥＥＰＲＯＭ３２に記録された機器識別子Ｄ１が不正なデータであり、コンテンツ再生装置ＣＰ_１に保持されているデータに不整合が生じていると判断して、この旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、エラー終了ステップＳＰ４に移り、例えば、データに不整合が生じている旨を表示コントローラ４６及びディスプレイ４７を順次介してユーザに通知した後、このデータ整合性確認処理手順ＲＴ１をエラー終了する。このようにしてエラー終了した場合、ＣＰＵ３０は、これ以降、例えば、音楽コンテンツの取得、再生、録音、転送及びリストアなどの操作命令を受け付けない。

これに対して、このステップＳＰ３で肯定結果を得ると、このことはＥＥＰＲＯＭ３２に記録されている機器識別子Ｄ１と、権利処理モジュール及び音楽処理モジュール３７に記録されている機器識別子の検査値Ｄ２との整合性が取れていることを表している。このとき権利処理及び音楽処理モジュール３７は、ＥＥＰＲＯＭ３２に記録された機器識別子Ｄ１が正当なデータであると判断して、この旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、ステップＳＰ５に移り、ハードディスクドライブ３６に記録された権利情報の完全性保障値Ｄ５を読み出し、この権利情報の完全性保障値Ｄ５を権利処理及び音楽処理モジュール３７に入力して次のステップＳＰ６に移る。

ステップＳＰ６において権利処理モジュール及び音楽処理モジュール３７は、入力された権利情報の完全性保障値Ｄ５に対して第２の演算方法を用いた演算を実行し、この結果得られた第２の算出値と、ＥＥＰＲＯＭ３７Ｄに記録された完全性保障値の検査値Ｄ７とを比較して次のステップＳＰ７に移る。

ステップＳＰ７において権利処理及び音楽処理モジュール３７は、ステップＳＰ６での比較結果に基づいて、第２の算出値と完全性保障値の検査値Ｄ７とが等しいか否か、すなわち権利情報の完全性保障値Ｄ５と完全性保障値の検査値Ｄ７との整合性が取れているか否かを判定する。このステップＳＰ７で否定結果を得ると、このことはハードディスクドライブ３６に記録されている権利情報の完全性保障値Ｄ５と、権利処理モジュール及び音楽処理モジュール３７に記録されている完全性保障値の検査値Ｄ７とに不整合が生じていることを表しており、このとき権利処理及び音楽処理モジュール３７は、ハードディスクドライブ３６に記録された権利情報Ｄ３が不正なデータであり、コンテンツ再生装置ＣＰ_１に保持されているデータに不整合が生じていると判断して、この旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、エラー終了ステップＳＰ４に移り、例えば、データに不整合が生じている旨を表示コントローラ４６及びディスプレイ４７を順次介してユーザに通知した後、このデータ整合性確認処理手順ＲＴ１をエラー終了する。この場合、ＣＰＵ３０は、これ以降、例えば、音楽コンテンツの取得、再生、録音、転送及びリストアなどの操作命令を受け付けない。

これに対して、このステップＳＰ７で肯定結果を得ると、このことはハードディスクドライブ３６に記録されている権利情報の完全性保障値Ｄ５と、権利処理モジュール及び音楽処理モジュール３７に記録されている完全性保障値の検査値Ｄ７との整合性が取れていることを表しており、このとき権利処理及び音楽処理モジュール３７は、ハードディスクドライブ３６に記録された権利情報Ｄ３が正当なデータであると判断する。つまりこの場合、ＥＥＰＲＯＭ３２に記録されている機器識別子Ｄ１とハードディスクドライブ３６に記録されている権利情報Ｄ３とが正当なデータであることを表し、このとき権利処理及び音楽処理モジュール３７は、コンテンツ再生装置ＣＰ_１に保持されているデータの整合性が取れていると判断して、この旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、正常終了ステップＳＰ８に移り、例えば、データの整合性が取れていることを確認できた旨を表示コントローラ４６及びディスプレイ４７を順次介してユーザに通知した後、このデータ整合性確認処理手順ＲＴ１を正常終了する。この場合、ＣＰＵ３０は、これ以降、例えば、音楽コンテンツの取得、再生、録音、転送及びリストアなどの操作命令を受け付ける。

このようなデータ整合性確認処理手順ＲＴ１にしたがい、ＣＰＵ３０は、コンテンツ再生装置ＣＰ_１に保持されているデータの整合性を確認し、データに不整合が生じていた場合には、それ以降、音楽コンテンツの利用を禁止することにより、音楽コンテンツの不正利用を防止し得るようになされている。

またこのデータ整合性確認処理手順ＲＴ１では、権利処理及び音楽処理モジュール３７内で機器識別子Ｄ１から第１の演算方法により機器識別子の検査値Ｄ２である第１の算出値を算出すると共に、権利情報の完全性保障値Ｄ５から第２の演算方法により完全性保障値の検査値Ｄ７である第２の算出値を算出するようにしたことにより、これら第１の演算方法及び２の演算方法による演算をモジュール外から隠蔽することができ、この結果、ＥＥＰＲＯＭ３２に記憶されている機器識別子Ｄ１やハードディスクドライブ３６に記録されている権利情報の完全性保障値Ｄ５が、第３者によって参照されたとしても、これら機器識別子Ｄ１や権利情報の完全性保障値Ｄ５をもとにして機器識別子の検査値Ｄ２や完全性保障値の検査値Ｄ７が算出されてしまうことを回避することができる。

（１−５）音楽コンテンツのバックアップ及びリストア
次に、上述したような方法で音楽コンテンツの不正利用を防止するようになされたコンテンツ再生装置ＣＰ_１が、ハードディスクドライブ３６に記録した音楽コンテンツをバックアップして、このバックアップした音楽コンテンツをコンテンツ再生装置ＣＰ_１とは別の例えばコンテンツ再生装置ＣＰ_２が、自身のハードディスクドライブ３６にリストアする方法について説明する。

ここでこのバックアップ及びリストア時に、実際にバックアップ及びリストアの対象となるデータ、及びその過程で必要となるデータは、図６に示した全てのデータである。このうち、機器識別子Ｄ１、機器識別子の検査値Ｄ２、アーキテクチャ識別子Ｄ８、リストアサーバ公開鍵Ｄ９は、上述したように、出荷時に予めコンテンツ再生装置ＣＰ_１に埋め込まれているデータであり、変更されることはないため、バックアップ及びリストアの対象とはしない。

また暗号化音楽データＤ６、権利情報Ｄ３、権利情報の完全性保障値Ｄ５、完全性保障値作成鍵Ｄ４、及び完全性保障値の検査値Ｄ７は出荷後にコンテンツ再生装置ＣＰ_１を使用していく過程で変更または追加され得るデータであるため、バックアップ及びリストアの対象とする。このうち、暗号化音楽データＤ６、権利情報Ｄ３、及び完全性保障値の作成鍵Ｄ４はコンテンツ再生装置ＣＰ_２へそのまま移行可能なデータである。これに対して、権利情報の完全性保障値Ｄ５及び完全性保障値の検査値Ｄ７は、機器識別子Ｄ１に依存するデータであるため、コンテンツ再生装置ＣＰ_１とは機器識別子Ｄ１の異なるコンテンツ再生装置ＣＰ_２へそのまま移行することはできない。

ここで、権利情報の完全性保障値Ｄ５は権利情報Ｄ３の正当性を確認するために必要であり、完全性保障値の検査値Ｄ７は権利情報の完全性保障値Ｄ５の正当性を確認するために必要であることから、バックアップ及びリストア時に一時的に正当性の検査を目的として使用した後に破棄して、リストア先のコンテンツ再生装置ＣＰ_２で新たに再作成するようになされている。

以上のことを踏まえた上で、バックアップ及びリストアの手順について説明する。まず図８に示すフローチャートを用いて、コンテンツ再生装置ＣＰ_１が、ハードディスクドライブ３６に記録した音楽コンテンツを、ＵＳＢインタフェース４２を介して外部接続されたＵＳＢ機器４３にバックアップする手順（以下、これをバックアップ手順とも呼ぶ）についてその概略を説明する。ちなみに、このバックアップ手順は、コンテンツ再生装置ＣＰ_１のＣＰＵ３０が、ハードディスクドライブ３６にインストールされたプログラムにしたがって実行するものである。また、ここではバックアップ先となるＵＳＢ機器４３として、音楽コンテンツをバックアップし得る容量の外部ストレージを想定して説明する。

コンテンツ再生装置ＣＰ_１のＣＰＵ３０は、操作キー３４を介して、ハードディスクドライブ３６に記録されている音楽コンテンツのバックアップ指示がユーザにより行われたことを認識すると、バックアップ手順ＲＴ２を開始してステップＳＰ１０に移る。ステップＳＰ１０においてＣＰＵ３０は、上述したデータ整合性確認処理（図７）と同様の処理を行うことにより、コンテンツ再生装置ＣＰ_１が保持するデータの整合性を検証し、整合性が取れていると判断した場合には、次のステップＳＰ１１に移り、不整合が生じていると判断した場合には、その旨を表示コントローラ４６及びディスプレイ４７を順次介してユーザに通知した後、音楽コンテンツのバックアップを行わずにこのバックアップ手順ＲＴ２を終了する。

ステップＳＰ１１に移るとＣＰＵ３０は、このステップＳＰ１１でハードディスクドライブ３６に記録されている音楽コンテンツのバックアップ実行処理（詳細は後述する）を行い、このバックアップ実行処理が終了すると、終了ステップＳＰ１２に移り、バックアップ手順ＲＴ２を終了する。このようなバックアップ手順ＲＴ２にしたがい、ＣＰＵ３０は、ハードディスクドライブ３６に記録されている音楽コンテンツのバックアップを行うようになされている。

ここで図９に示すフローチャートを用いて、バックアップ手順ＲＴ２のステップＳＰ１１で行うバックアップ実行処理の手順（以下、これをバックアップ実行処理手順とも呼ぶ）についてその詳細を説明する。ちなみに、このバックアップ実行処理手順は、ＣＰＵ３０が、随時、権利処理及び音楽処理モジュール３７を用いて実行する処理手順であるので、主体をＣＰＵ３０から権利処理及び音楽処理モジュール３７に、またはその逆に適宜変更しながら説明する。

ＣＰＵ３０は、バックアップ手順ＲＴ２のステップＳＰ１１に移ると、このバックアップ実行処理手順ＲＴ３を開始して、ステップＳＰ２０に移る。

ステップＳＰ２０においてＣＰＵ３０は、ＥＥＰＲＯＭ３７Ｄに記録されている機器識別子Ｄ１を権利処理及び音楽処理モジュール３７に入力する。権利処理及び音楽処理モジュール３７は、ＥＥＰＲＯＭ３７Ｄに記録されている完全性保障値の検査値Ｄ７を読み出し、この完全性保障値の検査値Ｄ７と入力された機器識別子Ｄ１とを連結することにより、図１０（Ａ）に示すように、データＸを作成して次のステップＳＰ２１に移る。

ステップＳＰ２１において権利処理及び音楽処理モジュール３７は、乱数を発生させると共に、この乱数を用いて、以降の処理で行う暗復号に用いる鍵の元となるベース鍵Ｄ１０を作成し、次のステップＳＰ２２に移る。ステップＳＰ２２において権利処理及び音楽処理モジュール３７は、ベース鍵Ｄ１０に対して例えば一方向関数でなる第３の演算方法を用いた演算を実行することにより、バックアップデータ暗号鍵を作成して、次のステップＳＰ２３に移る。

ステップＳＰ２３において権利処理及び音楽処理モジュール３７は、バックアップデータ暗号鍵でデータＸを暗号化することにより、リストア時にデータの正当性を検査するためのデータ正当性検査用バックアップデータＤ１１（図１０（Ａ））を作成して、次のステップＳＰ２４に移る。ステップＳＰ２４において権利処理及び音楽処理モジュール３７は、アーキテクチャ識別子Ｄ８を読み出すと共に、このアーキテクチャ識別子Ｄ８と機器識別子Ｄ１とを連結することにより、アーキテクチャに依らずコンテンツ再生装置ＣＰ_１固有のグローバルユニーク識別子Ｄ１２を作成して、次のステップＳＰ２５に移る。

ステップＳＰ２５において権利処理及び音楽処理モジュール３７は、リストアサーバ公開鍵Ｄ９を読み出すと共に、ベース鍵Ｄ１０とグローバルユニーク識別子Ｄ１２とを連結することによりデータＹを作成し、さらにこのデータＹに対して、リストアサーバ公開鍵Ｄ９で暗号化することにより、リストア時にリストアサーバＳＶ_１に送信するためのリストアサーバ送付用バックアップデータＤ１３を作成した後、このリストアサーバ送付用バックアップデータＤ１３と、先に作成したデータ正当性検査用バックアップデータＤ１１とを出力して、次のステップＳＰ２６に移る。ここで、このステップＳＰ２５で行うリストアサーバ公開鍵での暗号化には、公開鍵暗号方式による非対称暗号アルゴリズムを用いる。すなわちこの方式によれば、リストアサーバ公開鍵で暗号化したリストアサーバ送付用バックアップデータＤ１３は、このリストアサーバ公開鍵では復号できず、復号には対応する秘密鍵が必要となる

ステップＳＰ２６においてＣＰＵ３０は、ハードディスクドライブ３６から暗号化音楽データＤ６、権利情報Ｄ３、権利情報の完全性保障値Ｄ５、及び完全性保障値の作成鍵Ｄ４を読み出し、これらと権利処理及び音楽処理モジュール３７から出力されたデータ正当性検査用バックアップデータＤ１１及びリストアサーバ送付用バックアップデータＤ１３とを、ＵＳＢインタフェース４２を介して接続されたＵＳＢ機器（外部ストレージ）４３に保存することによりバックアップして、次の終了ステップＳＰ２７に移り、このバックアップ処理手順ＲＴ３を終了する。

このようなバックアップ処理手順ＲＴ３にしたがい、ＣＰＵ３０は、図１０（Ａ）、（Ｂ）及び（Ｃ）に示すように、暗号化音楽データＤ６、権利情報Ｄ３、権利情報の完全性保障値Ｄ５、完全性保障値の作成鍵Ｄ４、データ正当性検査用バックアップデータＤ１１及びリストアサーバ送付用バックアップデータＤ１３をバックアップデータとしてＵＳＢ機器（外部ストレージ）４３に保存するようになされている。

このようにコンテンツ再生装置ＣＰ_１では、音楽コンテンツそのものである暗号化音楽データＤ６にくわえて、これをリストアするときに必要となる、権利情報Ｄ３、権利情報の完全性保障値Ｄ５、完全性保障値の作成鍵Ｄ４、データ正当性検査用バックアップデータＤ１１、及びリストアサーバ送付用バックアップデータＤ１３をバックアップするようになされている。

次に、図１１に示すシーケンスチャートを用いて、コンテンツ再生装置ＣＰ_２が、ＵＳＢ機器（外部ストレージ）４３にバックアップされているバックアップデータを、ＵＳＢインタフェース４２を介してハードディスクドライブ３６にリストアする手順（以下、これをリストア手順とも呼ぶ）についてその概略を説明する。

コンテンツ再生装置ＣＰ_２のＣＰＵ３０は、操作キー３４を介して、ＵＳＢ機器（外部ストレージ）４３にバックアップされているバックアップデータのリストア指示がユーザにより行われたことを認識すると、ステップＳＰ３０においてリストア要求メッセージ作成処理（詳細は後述する）を実行することによりリストア要求メッセージを作成して、次のステップＳＰ３１に移る。ステップＳＰ３１においてＣＰＵ３０は、リストア要求メッセージをネットワークインタフェース３５を介してネットワークＮＴ上のリストアサーバＳＶ_２に送信する。ちなみに、詳細は後述するが、このリストア要求メッセージには、リストアサーバ送付用バックアップデータＤ１３が含まれる。

常時稼働しているリストアサーバＳＶ_２のＣＰＵ５０は、ステップＳＰ４０においてコンテンツ再生装置ＣＰ_２からネットワークＮＴを介して送信されてくるリストア要求メッセージを、ネットワークインタフェース５３を介して受信して、次のステップＳＰ４１に移る。ステップＳＰ４１においてＣＰＵ５０は、リストア応答メッセージ作成処理（詳細は後述する）を実行することによりリストア応答メッセージを作成して、次のステップＳＰ４２に移る。ステップＳＰ４２においてＣＰＵ５０は、リストア応答メッセージをネットワークインタフェース５３を介してネットワークＮＴ上のコンテンツ再生装置ＣＰ_２に返信する。

コンテンツ再生装置ＣＰ_２のＣＰＵ３０は、ステップＳＰ３２においてリストアサーバＳＶ_２からネットワークＮＴを介して返信されてくるリストア応答メッセージを、ネットワークインタフェース３５を介して受信して、次のステップＳＰ３３に移る。ステップＳＰ３３においてＣＰＵ３０は、リストア実行処理（詳細は後述する）を行い、このリストア実行処理が終了すると、終了ステップＳＰ３４に移り、リストア手順を終了する。このようなリストア手順にしたがい、コンテンツ再生装置ＣＰ_２のＣＰＵ３０は、ＵＳＢ機器（外部ストレージ）４３にバックアップされているバックアップデータを、ハードディスクドライブ３６にリストアするようになされている。

ちなみに、このリストア手順は、コンテンツ再生装置ＣＰ_２のＣＰＵ３０が、ハードディスクドライブ３６にインストールされたプログラムにしたがって実行すると共に、リストアサーバＳＶ_２のＣＰＵ５０がハードディスクドライブ５６にインストールされたプログラムにしたがって実行するものである。

ここで図１２に示すフローチャートを用いて、リストア手順のステップＳＰ３０で行うリストア要求メッセージ作成処理の手順（以下、これをリストア要求メッセージ作成処理手順とも呼ぶ）についてその詳細を説明する。ちなみに、このリストア要求メッセージ作成処理手順は、リストア先であるコンテンツ再生装置ＣＰ_２のＣＰＵ３０が、随時、コンテンツ再生装置ＣＰ_２の権利処理及び音楽処理モジュール３７を用いて実行する処理手順であるので、主体をＣＰＵ３０から権利処理及び音楽処理モジュール３７に、またはその逆に適宜変更しながら説明する。

また、ここでは説明を分かり易くするために、リストア元のコンテンツ再生装置ＣＰ_１に記録されていたデータに対しては、例えば機器識別子Ｄ１（ＣＰ_１）のように（ＣＰ_１）を追加した形で表記し、またリストア先のコンテンツ再生装置ＣＰ_２に記録されているデータに対しては、例えば機器識別子Ｄ１（ＣＰ_２）のように（ＣＰ_２）を追加した形で表記する。

ＣＰＵ３０は、上述したリストア手順のステップＳＰ３０に移ると、このリストア要求メッセージ作成処理手順ＲＴ４を開始して、ステップＳＰ５０に移る。

ステップＳＰ５０においてＣＰＵ３０は、ＵＳＢインタフェース４２を介して接続されたＵＳＢ機器（外部ストレージ）４３からバックアップデータのうちのリストアサーバ送付用バックアップデータＤ１３を読み出し、これを権利処理及び音楽処理モジュール３７に入力して、次のステップＳＰ５１に移る。

ステップＳＰ５１において権利処理及び音楽処理モジュール３７は、乱数を発生させると共に、この乱数を用いてリストアする毎に使い捨てるワンタイム値Ｄ１４を作成し、次のステップＳＰ５２に移る。ステップＳＰ５２において権利処理及び音楽処理モジュール３７は、リストアサーバ送付用バックアップデータＤ１３とワンタイム値Ｄ１４とを連結することにより、図１３に示すように、リストア要求メッセージＤ１５を作成して、次の終了ステップＳＰ５３に移り、このリストア要求メッセージ作成処理手順ＲＴ４を終了する。このようなリストア要求メッセージ作成処理手順ＲＴ４にしたがい、コンテンツ再生装置ＣＰ_２のＣＰＵ３０は、リストア要求メッセージＤ１５を作成するようになされている。

つづいて、図１４に示すフローチャートを用いて、リストア手順のステップＳＰ４１で行うリストア応答メッセージ作成処理の手順（以下、これをリストア応答メッセージ作成処理手順とも呼ぶ）についてその詳細を説明する。リストアサーバＳＶ_２のＣＰＵ５０は、上述したリストア手順のステップＳＰ４１に移ると、このリストア応答メッセージ作成処理手順ＲＴ５を開始して、ステップＳＰ６０に移る。

ステップＳＰ６０においてＣＰＵ５０は、ネットワークインタフェース５３を介して受信したリストア要求メッセージＤ１５（図１３）からリストアサーバ送付用バックアップデータＤ１３とワンタイム値Ｄ１４とを抜き出して、次のステップＳＰ６１に移る。ステップＳＰ６１においてＣＰＵ５０は、リストアサーバ送付用バックアップデータＤ１３の暗号化に使用したリストアサーバ公開鍵に対応するリストアサーバ秘密鍵でリストアサーバ送付用バックアップデータＤ１３を復号し、この復号結果（すなわち図１０（Ｂ）に示すデータＹ）からベース鍵Ｄ１０とグローバルユニーク識別子Ｄ１２（ＣＰ_１）を抜き出して、次のステップＳＰ６２に移る。

ステップＳＰ６２においてＣＰＵ５０は、ハードディスクドライブ５６に構築された、グローバルユニーク識別子Ｄ１２をコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）の登録情報として管理するデータベースに対して、リストアサーバ送付用バックアップデータＤ１３から得られたグローバルユニーク識別子Ｄ１２（ＣＰ_１）を照合する。この結果、このデータベースにリストアサーバ送付用バックアップデータＤ１３から得られたグローバルユニーク識別子Ｄ１２（ＣＰ_１）が存在すれば、そのまま次のステップＳＰ６３に移り、存在しなければ、このグローバルユニーク識別子Ｄ１２（ＣＰ_１）をデータベースに追加登録して、次のステップＳＰ６３に移る。

ステップＳＰ６３においてＣＰＵ５０は、図１５に示すように、リストアサーバ送付用バックアップデータＤ１３から得られたベース鍵Ｄ１０と、グローバル識別子Ｄ１２（ＣＰ_１）と、ワンタイム値Ｄ１４とを連結したデータを作成し、さらにこのデータに対する電子署名Ｓをリストアサーバ秘密鍵により作成して、次のステップＳＰ６４に移る。ステップＳＰ６４においてＣＰＵ５０は、電子署名Ｓと、リストアサーバ送付用バックアップデータＤ１３から得られたベース鍵Ｄ１０とを連結することによりリストア応答メッセージＤ１６を作成して、次の終了ステップＳＰ６５に移り、このリストア応答メッセージ作成処理手順ＲＴ５を終了する。このようなリストア応答メッセージ作成処理手順ＲＴ５にしたがい、リストアサーバＳＶ_２のＣＰＵ５０は、リストア応答メッセージＤ１６を作成するようになされている。

つづいて、図１６及び図１７に示すフローチャートを用いて、リストア手順のステップＳＰ３３で行うリストア実行処理の手順（以下、これをリストア実行処理手順とも呼ぶ）についてその詳細を説明する。ちなみに、このリストア実行処理手順は、リストア先であるコンテンツ再生装置ＣＰ_２のＣＰＵ３０が、随時、コンテンツ再生装置ＣＰ_２の権利処理及び音楽処理モジュール３７を用いて実行する処理手順であるので、主体をＣＰＵ３０から権利処理及び音楽処理モジュール３７に、またはその逆に適宜変更しながら説明する。

ＣＰＵ３０は、上述したリストア手順のステップＳＰ３３に移ると、このリストア実行処理手順ＲＴ６を開始して、ステップＳＰ７０に移る。

ステップＳＰ７０においてＣＰＵ３０は、ＵＳＢインタフェース４２を介して接続されたＵＳＢ機器（外部ストレージ）４３からバックアップデータのうちのデータ正当性検査用バックアップデータＤ１１、権利情報の完全性保障値Ｄ５（ＣＰ_１）及び完全性保障値の作成鍵Ｄ４（ＣＰ_１）を読み出し、これらとネットワークインタフェース３５を介して受信したリストア応答メッセージＤ１６（図１５）とを権利処理及び音楽処理モジュール３７に入力して、次のステップＳＰ７１に移る。

ステップＳＰ７１において権利処理及び音楽処理モジュール３７は、リストア応答メッセージＤ１６からベース鍵Ｄ１０を抜き出して次のステップＳＰ７２に移る。ステップＳＰ７２において権利処理及び音楽処理モジュール３７は、ベース鍵Ｄ１０に対して例えば一方向関数でなる第３の演算方法を用いた演算を実行することにより、バックアップデータ暗号鍵を作成して、次のステップＳＰ７３に移る。

ステップＳＰ７３において権利処理及び音楽処理モジュール３７は、バックアップデータ暗号鍵でデータ正当性検査用バックアップデータＤ１１を復号し、この復号結果（すなわち図１０（Ａ）に示すデータＸ）から完全性保障値の検査値Ｄ７（ＣＰ_１）及び機器識別子Ｄ１（ＣＰ_１）を抜き出して、次のステップＳＰ７４に移る。

ステップＳＰ７４において権利処理及び音楽処理モジュール３７は、アーキテクチャ識別子Ｄ８（ＣＰ_２）を読み出し、このアーキテクチャ識別子Ｄ８（ＣＰ_２）と機器識別子Ｄ１（ＣＰ_１）とを連結することによりグローバルローバル識別子Ｄ１２（ＣＰ_１）を作成して、次のステップＳＰ７５に移る。

ステップＳＰ７５において権利処理及び音楽処理モジュール３７は、ベース鍵Ｄ１０と、グローバル識別子Ｄ１２（ＣＰ_１）と、リストア要求メッセージ作成処理で作成したワンタイム値とを連結することにより、リストア応答メッセージＤ１６に含まれる電子著名Ｓの対象となる署名対象データを作成して、次のステップＳＰ７６に移る。ステップＳＰ７６において権利処理及び音楽処理モジュール３７は、リストア応答メッセージＤ１６から電子署名Ｓを抜き出して次のステップＳＰ７７に移る。

ステップＳＰ７７において権利処理及び音楽処理モジュール３７は、リストアサーバ公開鍵Ｄ９（ＣＰ_２）を読み出し、このリストアサーバ公開鍵Ｄ９（ＣＰ_２）により、署名対象データに対する電子署名としてリストア応答メッセージＤ１６から抜き出した電子署名Ｓが正しいか否かを検証した後、次のステップＳＰ７８に移る。ステップＳＰ７８において権利処理及び音楽処理モジュール３７は、ステップＳＰ７８での検証結果に基づき、電子署名の検証に成功したか否かを判定する。

このステップＳＰ７８で否定結果を得ると、このことは電子署名Ｓが正しくなく、コンテンツ再生装置ＣＰ_２でのリストアがリストアサーバＳＶ_２から許可されなかったことを表しており、このとき権利処理及び音楽処理モジュール３７は、リストアし得ない旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、エラー終了ステップＳＰ７９（図１７）に移り、例えば、リストアが許可されていない旨を表示コントローラ４６及びディスプレイ４７を順次介してユーザに通知した後、このリストア実行処理手順ＲＴ６をエラー終了する。

これに対して、このステップＳＰ７８で肯定結果を得ると、このことは電子署名Ｓが正しく、コンテンツ再生装置ＣＰ_２でのリストアがリストアサーバＳＶ_２から許可されたことを表しており、このとき権利処理及び音楽処理モジュール３７は、ステップＳＰ８０に移る。ちなみに、上述のステップＳＰ７４で得られる完全性保障値の検査値Ｄ７（ＣＰ_１）及び機器識別子Ｄ１（ＣＰ_１）は、暗号化された状態でバックアップされていたデータであるので、電子署名Ｓが正しければ、正当性が保障されることになり、以降の処理で、暗号化されずにバックアップされた権利情報の完全性保障値Ｄ５及び権利情報Ｄ３の正当性を検査するときに用いられる。ステップＳＰ８０において権利処理及び音楽処理モジュール３７は、権利情報の完全性保障値Ｄ５（ＣＰ_１）に対して第２の演算方法を用いた演算を実行し、この結果得られた第２の算出値と、完全性保障値の検査値Ｄ７（ＣＰ_１）とを比較して次のステップＳＰ８１（図１７）に移る。

ステップＳＰ８１において権利処理及び音楽処理モジュール３７は、ステップＳＰ８０での比較結果に基づいて、第２の算出値と完全性保障値の検査値Ｄ７（ＣＰ_１）とが等しいか否か、すなわち権利情報の完全性保障値Ｄ５（ＣＰ_１）と完全性保障値の検査値Ｄ７（ＣＰ_１）との整合性が取れているか否かを判定する。このステップＳＰ８１で否定結果を得ると、このことは権利情報の完全性保障値Ｄ５（ＣＰ_１）と完全性保障値の検査値Ｄ７（ＣＰ_１）とに不整合が生じていることを表しており、このとき権利処理及び音楽処理モジュール３７は、権利情報の完全性保障値Ｄ５（ＣＰ_１）が不正なデータでありバックアップデータに不整合が生じていると判断して、この旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、エラー終了ステップＳＰ７９に移り、例えば、バックアップデータに不整合が生じていることによりリストアが失敗した旨を表示コントローラ４６及びディスプレイ４７を順次介してユーザに通知した後、このリストア実行処理手順ＲＴ６をエラー終了する。

これに対して、このステップＳＰ８１で肯定結果を得ると、このことはバックアップデータである権利情報の完全性保障値Ｄ５（ＣＰ_１）と完全性保障値の検査値Ｄ７（ＣＰ_１）との整合性が取れていることを表しており、このとき権利処理及び音楽処理モジュール３７は、権利情報の完全性保障値Ｄ５（ＣＰ_１）が正当なデータであると判断して、この旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、ステップＳＰ８２に移り、ＵＳＢインタフェース４２を介して接続されたＵＳＢ機器（外部ストレージ）４３からバックアップデータのうちの暗号化音楽データＤ６（ＣＰ_１）と権利情報Ｄ３（ＣＰ_１）とを読み出して次のステップＳＰ８３に移る。

ステップＳＰ８３においてＣＰＵ３０は、暗号化音楽データＤ６（ＣＰ_１）及び権利情報Ｄ３（ＣＰ_１）と、上述のステップＳＰ７０で読み出しておいた完全性保障値の作成鍵Ｄ４（ＣＰ_１）とをハードディスクドライブ３６に保存すると共に、権利情報Ｄ３（ＣＰ_１）と、ＥＥＰＲＯＭ３２から読み出した機器識別子Ｄ１（ＣＰ_２）とを権利処理及び音楽処理モジュール３７に入力して次のステップＳＰ８４に移る。

ステップＳＰ８４において権利処理及び音楽処理モジュール３７は、権利情報Ｄ３（ＣＰ_１）と上述のステップＳＰ７３で得た機器識別子Ｄ１（ＣＰ_１）と上述のステップＳＰ７０で入力された完全性保障値の作成鍵Ｄ４（ＣＰ_１）とをもとに第３の算出値を得、この第３の算出値と、上述のステップＳＰ７０で入力された権利情報の完全性保障値Ｄ５（ＣＰ_１）とを比較して次のステップＳＰ８５に移る。

ステップＳＰ８５において権利処理及び音楽処理モジュール３７は、ステップＳＰ８４での比較結果に基づいて、第３の算出値と権利情報の完全性保障値Ｄ５（ＣＰ_１）とが等しいか否か、すなわち権利情報Ｄ３（ＣＰ_１）及び機器識別子Ｄ１（ＣＰ_１）と、権利情報の完全性保障値Ｄ５（ＣＰ_１）との整合性が取れているか否かを判定する。このステップＳＰ８５で否定結果を得ると、このことは権利情報Ｄ３（ＣＰ_１）及び機器識別子Ｄ１（ＣＰ_１）と、権利情報の完全性保障値Ｄ５（ＣＰ_１）とに不整合が生じていることを表しており、このとき権利処理及び音楽処理モジュール３７は、権利情報Ｄ３（ＣＰ_１）が不正なデータでありバックアップデータに不整合が生じていると判断して、この旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、エラー終了ステップＳＰ７９に移り、例えば、バックアップデータに不整合が生じていることによりリストアが失敗した旨を表示コントローラ４６及びディスプレイ４７を順次介してユーザに通知した後、このリストア実行処理手順ＲＴ６をエラー終了する。

これに対して、このステップＳＰ８５で肯定結果を得ると、このことは権利情報Ｄ３（ＣＰ_１）及び機器識別子Ｄ１（ＣＰ_１）と、権利情報の完全性保障値Ｄ５（ＣＰ_１）との整合性が取れていることを表しており、このとき権利処理及び音楽処理モジュール３７は、権利情報Ｄ３（ＣＰ_１）が正当なデータであると判断して、次のステップＳＰ８６に移る。ここまでの手順により、バックアップデータが正当なデータであると確認できたことになる。

ステップＳＰ８６において権利処理及び音楽処理モジュール３７は、上述のステップＳＰ８３で入力された機器識別子Ｄ１（ＣＰ_２）と権利情報Ｄ３（ＣＰ_１）と完全性保障値の作成鍵Ｄ４（ＣＰ_１）とをもとにコンテンツ再生装置ＣＰ_２用の最新の権利情報の完全性保障値Ｄ５（ＣＰ_２）を作成して出力し、次のステップＳＰ８７に移る。

ステップＳＰ８７においてＣＰＵ３０は、権利処理及び音楽処理モジュール３７から出力された最新の権利情報の完全性保障値Ｄ５（ＣＰ_２）をハードディスクドライブ３６に保存して、次のステップＳＰ８８に移る。

ステップＳＰ８８において権利処理及び音楽処理モジュール３７は、権利情報の完全性保障値Ｄ５（ＣＰ_２）に対して第２の演算方法を用いた演算を実行することにより最新の完全性保障値の検査値Ｄ７（ＣＰ_２）を作成して、次のステップＳＰ８９に移る。ステップＳＰ８９において権利処理及び音楽処理モジュール３７は、最新の完全性保障値の検査値Ｄ７（ＣＰ_２）をＥＥＰＲＯＭ３７Ｄに記録して、この旨をＣＰＵ３０に通知する。この通知を受けたＣＰＵ３０は、正常終了ステップＳＰ９０に移り、例えば、リストアが正常に完了した旨を表示コントローラ４６及びディスプレイ４７を順次介してユーザに通知した後、このリストア実行処理手順ＲＴ６を正常終了する。

このようなリストア実行処理手順ＲＴ６にしたがい、コンテンツ再生装置ＣＰ_２のＣＰＵ３０は、ＵＳＢ機器（外部ストレージ）４３に保存されたバックアップデータを自身のハードディスクドライブ３６にリストアするようになされている。

（１−６）第１の実施の形態による動作及び効果
以上の構成においてコンテンツ再生装置ＣＰ_１は、ハードディスクドライブ３６に記録されている音楽コンテンツのバックアップ指示を受け付けると、まずＥＥＰＲＯＭ３２に記録されている機器識別子Ｄ１、権利処理及び音楽処理モジュール３７に記録されている機器識別子の検査値Ｄ２、ハードディスクドライブ３６に記録されている権利情報の完全性保障値Ｄ５、及び権利処理及び音楽処理モジュール３７に記録されている完全性保障値の検査値Ｄ７を用いて、コンテンツ再生装置ＣＰ_１内のデータの整合性を確認する。

整合性が取れていると確認できると、コンテンツ再生装置ＣＰ_１は、ハードディスクドライブ３６に記録されている暗号化音楽データＤ６、権利情報Ｄ３、権利情報の完全性保障値Ｄ５、及び完全性保障値の作成鍵Ｄ４をバックアップ対象のデータとしてＵＳＢ機器４３に保存してバックアップする。また、このときコンテンツ再生装置ＣＰ_１は、ＥＥＰＲＯＭ３２に記録されている機器識別子Ｄ１及び権利処理及び音楽処理モジュール３７に記録されている完全性保障値の検査値Ｄ７に基づきデータ正当性検査用バックアップデータＤ１１を生成して、これをＵＳＢ機器４３に保存する。

次に、例えば、このＵＳＢ機器４３がコンテンツ再生装置ＣＰ_２に接続された状態で、ＵＳＢ機器４３にバックアップされているデータのリストア指示を受け付けると、コンテンツ再生装置ＣＰ_２は、ＵＳＢ機器４３から読み出したデータ正当性検査用バックアップデータＤ１１より得られる機器識別子Ｄ１及び完全性保障値の検査値Ｄ７を用いて、ＵＳＢ機器４３にバックアップされているデータの整合性を確認すると共に、ＵＳＢ機器４３から読み出した暗号化音楽データＤ６、権利情報Ｄ３、及び完全性保障値の作成鍵Ｄ４をハードディスクドライブ３６に保存する。

そして整合性が取れていると確認できると、コンテンツ再生装置ＣＰ_２は、ＵＳＢ機器４３から読み出した暗号化音楽データＤ６が利用できるように、コンテンツ再生装置ＣＰ_２に依存する権利情報の完全性保障値Ｄ５と完全性保障値の検査値Ｄ７とを新たに生成して、権利情報の完全性保障値Ｄ５をハードディスクドライブ３６に記録すると共に、完全性保障値の検査値Ｄ７を権利処理及び音楽処理モジュール３７に記録する。

これにより、機器識別子Ｄ１と暗号化音楽データＤ６とを強固に結び付けたコンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）で、必要に応じて、上述した正規のバックアップ手順及びリストア手順を踏めば、暗号化音楽データＤ６をバックアップ及びリストアすることができる。

また機器識別子Ｄ１及び完全性保障値の検査値Ｄ７を権利処理及び音楽処理モジュール３７内で生成されたバックアップデータ暗号鍵で暗号化することでデータ正当性検査用バックアップデータＤ１１を生成するようにしたことにより、このデータ正当性検査用バックアップデータＤ１１から機器識別子Ｄ１及び完全性保障値の検査値Ｄ７が不正に取り出されることを防ぎ、データ正当性検査用バックアップデータＤ１１と、暗号化音楽データＤ６、権利情報Ｄ３、権利情報の完全性保障値Ｄ５、及び完全性保障値の作成鍵Ｄ４とを元に暗号化音楽データＤ６が不正利用されることを一段と確実に防止することができる。

またリストア先の例えばコンテンツ再生装置ＣＰ_２は、リストアする前に、ＵＳＢ機器４３から読み出したリストアサーバ送付用バックアップデータＤ１３を元にリストア要求メッセージＤ１５を生成して、これをリストアサーバＳＶ_２に送信する。リストアサーバＳＶ_２は、コンテンツ再生装置ＣＰ_２から受信したリストアサーバ送付用バックアップデータＤ１３に基づき、リストアの許可または不許可を示すリストア応答メッセージＤ１６を生成して、これをコンテンツ再生装置ＣＰ_２に返信する。そしてコンテンツ再生装置ＣＰ_２は、リストアサーバＳＶ_２から返信されたリストア応答メッセージＤ１６に基づき、リストアが許可されていればリストアを実行する。

これにより不正なリストアを禁止すると共に、正当なリストアを許可するように、コンテンツ再生装置ＣＰ（ＣＰ_１、ＣＰ_２、…）でのリストアをリストアサーバＳＶ_２で管理することができる。

以上の構成によれば、データ記憶装置としてのコンテンツ再生装置ＣＰ内のデータの整合性を確認してから、コンテンツ再生装置内の暗号化音楽データＤ６、権利情報Ｄ３、権利情報の完全性保障値Ｄ５、及び完全性保障値の作成鍵Ｄ４をバックアップ対象のデータとして、ＵＳＢ機器４３にバックアップする。また、このときＵＳＢ機器４３には、コンテンツ再生装置ＣＰ毎に異なる機器識別子Ｄ１及び完全性保障値の検査値Ｄ７に基づき生成されたデータ正当性検査用バックアップデータＤ１１を記録する。そしてデータ正当性検査用バックアップデータＤ１１から得られる機器識別子Ｄ１及び完全性保障値の検査値Ｄ７を利用してＵＳＢ機器４３にバックアップされたデータの整合性を確認してから、バックアップされたデータをリストアすると共に、バックアップされたデータがリストアされたコンテンツ再生装置ＣＰで利用できるように、コンテンツ再生装置ＣＰに依存する権利情報の完全性保障値Ｄ５と完全性保障値の検査値Ｄ７とをリストアされたコンテンツ再生装置ＣＰで新たに生成するようにしたことにより、機器識別子Ｄ１と暗号化音楽データＤ６とを強固に結び付けたコンテンツ再生装置ＣＰで、必要に応じて正規の手順を踏めば、暗号化音楽データＤ６をバックアップ及びリストアすることができ、かくしてコンテンツの不正利用を確実に防止しつつ、ユーザに対する利便性を向上し得るバックアップ及びリストア方法、データ記憶装置、バックアップ及びリストアプログラムを実現することができる。

（２）第２の実施の形態
次に、本発明の第２の実施の形態を詳述する。この第２の実施の形態では、上述した第１の実施の形態をより概念的に説明する。

図１８に示すように、データ記憶装置１００（第１の実施の形態のコンテンツ再生装置ＣＰに相当）は、装置本体を識別する機器識別子を記憶する第１の記憶媒体１０１と、権利保護されたコンテンツデータ、当該コンテンツデータに対応する権利情報、当該権利情報の完全性を保障するための完全性保障値を作成するための完全性保障値の作成鍵、及び、機器識別子及び権利情報に基づき完全性保障値の作成鍵により生成された権利情報の完全性保障値を記憶する第２の記憶媒体１０２と、機器識別子から既定の演算方法により演算される機器識別子の検査値、及び権利情報の完全性保障値から既定の演算方法により算出される権利情報の完全性保障値の検査値を記憶する権利処理モジュール１０３と、これら第１の記憶媒体１０１、第２の記憶媒体１０２及び権利処理モジュール１０３を制御する制御部１０４とを有している。

そしてこの制御部１０４は、第１の記憶媒体１０１に記憶される機器識別子の正当性を、権利処理モジュール１０３に記憶される機器識別子の検査値により評価すると共に、第２の記憶媒体１０２に記憶される権利情報の完全性保障値の正当性を、権利処理モジュール１０３に記憶される完全性保障値の検査値により評価することにより、第１の記憶媒体１０１、第２の記憶媒体１０２、及び権利処理モジュール１０３内のデータの整合性を確認する。

データの整合性を確認した後、この制御部１０４は、権利処理モジュール１０３に記憶される完全性保障値の検査値と機器識別子とに基づきデータ正当性検査用バックアップデータを生成すると共に、権利保護されたコンテンツデータ、権利情報、権利情報の完全性保障値、完全性保障値の作成鍵、及びデータ正当性検査用バックアップデータを外部記憶媒体１０５に記録する。

そして制御部１０４は、外部記憶媒体１０５より読み出されたデータ正当性検査用バックアップデータより完全性保障値の検査値及び機器識別子を取得し、外部記憶媒体１０５より読み出された権利情報の完全性保障値の正当性を、取得した完全性保障値の検査値により評価すると共に、取得した機器識別子及び外部記憶媒体１０５より読み出された権利情報に基づき外部記憶媒体１０５より読み出された完全性保障値の作成鍵により生成された権利情報の完全性保障値と、外部記憶媒体１０５より読み出された権利情報の完全性保障値とを比較評価し、当該評価結果に応じて、外部記憶媒体１０５より読み出された権利保護されたコンテンツデータ、権利情報、及び完全性保障値の作成鍵を第２の記憶媒体１０２に記録し、さらに、読み出された権利情報及び第１の記憶媒体１０１に記憶される機器識別子に基づき読み出された完全性保障値の作成鍵により新たに生成された権利情報の完全性保障値を第２の記憶媒体１０２に記録すると共に、当該生成された権利情報の完全保障値から既定の演算方法により算出された完全性保障値の検査値を、権利処理モジュール１０３に記録する。

このようにデータ記憶装置１００では、装置内のデータの整合性を確認してから、装置内の権利保護されたコンテンツデータ、権利情報、権利情報の完全性保障値、及び完全性保障値の作成鍵をバックアップ対象のデータとして、外部記憶媒体１０５にバックアップする。また、このときデータ記憶装置１００は、外部記憶媒体１０５に、装置毎に異なる機器識別子及び完全性保障値の検査値に基づき生成されたデータ正当性検査用バックアップデータを記録する。

そしてデータ記憶装置１００は、データ正当性検査用バックアップデータから得られる機器識別子及び完全性保障値の検査値を利用して外部記憶媒体１０５にバックアップされたデータの整合性を確認してから、バックアップされたデータをリストアすると共に、バックアップされたデータがリストアされたデータ記憶装置１００で利用できるように装置に依存する権利情報の完全性保障値と完全性保障値の検査値とを新たに生成するようにした。

これにより機器識別子と権利保護されたコンテンツデータとを強固に結び付けたデータ記憶装置１００は、必要に応じて正規の手順を踏めば、権利保護されたコンテンツデータをバックアップ及びリストアすることができ、かくしてコンテンツの不正利用を確実に防止しつつ、ユーザに対する利便性を向上することができる。

ちなみに、このデータ記憶装置１００の第１の記憶媒体１０１は上述したコンテンツ再生装置ＣＰ_１（図４）のＥＥＰＲＯＭ３２に相当し、第２の記憶媒体１０２はハードディスクドライブ３６に相当し、権利処理モジュール１０３は権利処理及び音楽処理モジュール３７に相当し、制御部１０４はＣＰＵ３０に相当するものである。

（３）他の実施の形態
なお上述の第１の実施の形態においては、ユーザが利用し得るコンテンツのデータとして音楽データを適用した場合について述べたが、本発明はこれに限らず、文字データや、映像データ、プログラムなどのこの他種々のデータを適用してもよい。つまり第１の実施の形態では音楽コンテンツを記録再生するコンテンツ再生装置ＣＰを適用した場合について述べたが、本発明はこれに限らず、映像コンテンツを記録再生するコンテンツ再生装置を適用してもよいし、この他種々のコンテンツを記録再生するコンテンツ再生装置を適用してもよい。

また上述の第１の実施の形態においては、コンテンツ再生装置ＣＰの機器識別子Ｄ１として、コンテンツ再生装置ＣＰの製造番号などを適用した場合について述べたが、本発明はこれに限らず、ネットワークインタフェース３５（例えばＮＩＣ（Network Interface Card））に対してユニークに割り当てられている物理アドレスなどを適用してもよい。

さらに上述の第１の実施の形態においては、権利処理及び音楽処理モジュール３７などを制御する制御部として、ＲＡＭ３３に展開したプログラムを実行することにより各種処理を行うＣＰＵ３０を適用した場合について述べたが、本発明はこれに限らず、ＭＰＵ（Micro Processing Unit）などを適用してもよい。

さらに上述の第１の実施の形態においては、機器識別子Ｄ１を記憶する第１の記憶媒体として、ＥＥＰＲＯＭ３２を適用した場合について述べたが、本発明はこれに限らず、この第１の記憶媒体に、他の不揮発性メモリやＲＯＭなどのこの他種々の記憶媒体を適用してもよい。同様に、暗号化音楽データＤ６、権利情報Ｄ３、権利情報の完全性保障値Ｄ５、及び完全性保障値の作成鍵Ｄ４を記憶する第２の記憶媒体として、ハードディスクドライブ３６を適用した場合について述べたが、本発明はこれに限らず、この第２の記憶媒体に、不揮発性メモリなどのこの他種々の記憶媒体を適用してもよい。

さらに上述の第１の実施の形態においては、権利処理及び音楽処理モジュール３７を、ローカルブリッジ３７Ａ、ＤＳＰ３７Ｂ、ＲＡＭ３７Ｃ及びＥＥＰＲＯＭ３７Ｄで構成した場合について述べたが、本発明はこれに限らず、同様の機能を有するのであれば、この他種々の構成で権利処理及び音楽処理モジュール３７を構成してもよい。例えば、機器識別子の検査値Ｄ２及び完全性保障値の検査値Ｄ７を記憶するＥＥＰＲＯＭ３７Ｄを、他の不揮発性メモリなどのこの他種々の記憶媒体に代えてもよい。

さらに上述の第１の実施の形態においては、コンテンツ再生装置ＣＰが、装置内のデータをＵＳＢインタフェース４２を介して接続されたＵＳＢ機器４３にバックアップするようにした場合について述べたが、本発明はこれに限らず、例えばネットワークインタフェース３５を介して接続されたネットワークストレージや、ＣＤドライブ４０に装填された書き込み可能なＣＤ４１などに、装置内のデータをバックアップするようにしてもよい。

さらに上述の第１の実施の形態においては、リストアサーバＳＶ_２が、リストア要求メッセージＤ１５からグローバルユニーク識別子Ｄ１２を取得して、このグローバルユニーク識別子Ｄ１２をデータベースと照合し、このグローバル識別子Ｄ１２がデータベースに存在しない場合には、データベースに追加登録するようにした場合について述べたが、本発明はこれに限らず、例えば、グローバルユニーク識別子Ｄ１２をコンテンツ再生装置ＣＰの出荷時に、リストアサーバＳＶ_２のデータベースに登録し、リストア要求時にグローバル識別子Ｄ１２がデータベースに存在しない場合には、このときリストアを要求しているコンテンツ再生装置ＣＰで、不正にリストアを実行しようとしていると判断して、リストアの不許可を示すリストア応答メッセージＤ１７を生成して、これをコンテンツ再生装置ＣＰに送信するようにしてもよい。

さらに上述の第１の実施の形態においては、コンテンツ再生装置ＣＰ_１内のデータをバックアップして、これをコンテンツ再生装置ＣＰ_２にリストアするようにした場合について述べたが、本発明はこれに限らず、例えば、コンテンツ再生装置ＣＰ_１内のデータをバックアップしておき、何らかの理由でコンテンツ再生装置ＣＰ_１内のデータが壊れた際に、このバックアップしておいたデータをコンテンツ再生装置ＣＰ_１にリストアしてデータを復旧するようにしてもよい。

さらに上述の第１の実施の形態で説明した第１の演算方法、第２の演算方法、及び第３の演算方法としては、チェックサムやＣＲＣ（Cyclic Redundancy Check）、ＭＤ５（Message Digest 5）やＳＨＡ１（Secure Hash Algorithm 1）等のハッシュ関数、特定の鍵を用いたＨＭＡＣ（Keyed Hashing for Message Authentication Code）−ＭＤ５やＨＭＡＣ−ＳＨＡ１やＲＳＡやＥＣＤＳＡ（Elliptic Curve Digital Signature Algorithm）などを適用することができる。

さらに上述の第１の実施の形態においては、コンテンツ再生装置ＣＰにインストールされたプログラムに従って、ＣＰＵ３０が、随時、権利処理及び音楽処理モジュール３７を用いてデータ整合性確認処理、バックアップ及びリストアなどをソフトウェア的に実行する場合について述べたが、本発明はこれに限らず、これらの処理を実行するための専用の回路をコンテンツ再生装置ＣＰに設け、この回路によりこれらの処理をハードウェア的に実行するようにしても良い。またこれらデータ整合性確認処理、バックアップ及びリストアなどを実行するためのプログラムをＣＤ４１などの記録媒体に記録しておくようにしてもよい。

さらに上述の第１の実施の形態においては、コンテンツ再生装置ＣＰのＣＰＵ３０が、ハードディスクドライブ３６に書き込まれているプログラムにしたがって、各種処理（データ整合性確認処理、バックアップ及びリストアなど）を行うようにした場合について述べたが、本発明はこれに限らず、各種処理に対応するプログラムをＥＥＰＲＯＭ３２にインストールしておき、このＥＥＰＲＯＭ３２に書き込まれているプログラムにしたがって、ＣＰＵ３０が各種処理を行うようにしてもよい。

さらに上述の第１の実施の形態においては、リストアサーバＳＶ_２のＣＰＵ５０が、ハードディスクドライブ５６に書き込まれているプログラムにしたがって、各種処理（リストア応答メッセージ作成処理など）を行うようにした場合について述べたが、本発明はこれに限らず、各種処理に対応するプログラムをＲＯＭ５１にインストールしておき、このＲＯＭ５１に書き込まれているプログラムにしたがって、ＣＰＵ５０が各種処理を行うようにしてもよい。

本発明は、例えば、コンテンツデータを記憶するデータ記憶装置などに利用することができる。

第１の実施の形態におけるコンテンツ利用システムの構成を示す略線図である。 コンテンツ再生装置の機能構成を示すブロック図である。 リストアサーバの機能構成を示すブロック図である。 コンテンツ再生装置のハードウェア構成を示す略線図である。 リストアサーバのハードウェア構成を示す略線図である。 コンテンツ再生装置が保持する各種データを示す略線図である。 データ整合性確認処理手順を示すフローチャートである。 バックアップ手順の概要を示すフローチャートである。 バックアップ実行処理手順を示すフローチャートである。 バックアップ実行処理手順で保存されるデータを示す略線図である。 リストア手順の概要を示すシーケンスチャートである。 リストア要求メッセージ作成処理手順を示すフローチャートである。 リストア要求メッセージの構造を示す略線図である。 リストア応答メッセージ作成処理手順を示すフローチャートである。 リストア応答メッセージの構造を示す略線図である。 リストア実行処理手順を示すフローチャートである。 図１６のリストア実行処理手順のフローチャートにつづくフローチャートである。 第２の実施の形態におけるデータ記憶装置の構成を示すブロック図である。

符号の説明

１……コンテンツ利用システム、２、２０、１０４……制御部、３、２１……記憶部、４、２２……一次記憶部、５……操作部、６、２３……通信部、７、２６……内蔵記録媒体駆動部、８、２７……内蔵記録媒体、９……権利処理部、１０……音楽処理部、１１……音楽出力部、１２……外部記録媒体駆動部、１３……外部記録媒体、１４……インタフェース部、１５……外部機器、１６……音楽入力部、１７、２４……表示処理部、１８、２５……表示部、３０、５０……ＣＰＵ、３１……バス、３２、３７Ｄ……ＥＥＰＲＯＭ、３３、３７Ｃ、５２……ＲＡＭ、３４……操作キー、３５、５３……ネットワークインタフェース、３６、５６……ハードディスクドライブ、３７……権利処理及び音楽処理モジュール、３７Ａ……ローカルブリッジ、３７Ｂ……ＤＳＰ、３８……アナログ処理回路、３９……スピーカ、４０……ＣＤドライブ、４１……ＣＤ、４２……ＵＳＢインタフェース、４３……ＵＳＢ機器、４４……チューナ、４５……外部入力端子、４６、５４……表示コントローラ、４７、５５……ディスプレイ、５１……ＲＯＭ、１００……データ記憶装置、１０１……第１の記憶媒体、１０２……第２の記憶媒体、１０３……権利処理モジュール、１０５……外部記憶媒体、ＣＰ……コンテンツ再生装置、Ｄ１……機器識別子、Ｄ２……機器識別子の検査値、Ｄ３……権利情報、Ｄ４……完全性保障値、Ｄ５……権利情報の完全性保障値、Ｄ６……暗号化音楽データ、Ｄ７……完全性保障値の検査値、Ｄ８……アーキテクチャ識別子、Ｄ９……リストアサーバ公開鍵、Ｄ１０……ベース鍵、Ｄ１１……データ正当性検査用バックアップデータ、Ｄ１２……グローバルユニーク識別子、Ｄ１３……リストアサーバ送付用バックアップデータ、Ｄ１４……ワンタイム値、Ｄ１５……リストア要求メッセージ、Ｄ１６……リストア応答メッセージ、ＳＶ_１……コンテンツ配信サーバ、ＳＶ_２……リストアサーバ。

Claims (7)

1. 装置本体を識別する機器識別子を記憶する第１の記憶媒体と、
   権利保護されたコンテンツデータ、当該コンテンツデータに対応する権利情報、当該権利情報の完全性を保障するための完全性保障値を作成するための完全性保障値の作成鍵、及び、上記機器識別子及び上記権利情報に基づき上記完全性保障値の作成鍵により生成された権利情報の完全性保障値を記憶する第２の記憶媒体と、
   上記機器識別子から既定の演算方法により演算される機器識別子の検査値、及び上記権利情報の完全性保障値から既定の演算方法により算出される権利情報の完全性保障値の検査値を記憶する権利処理モジュールと
   を有する装置のデータをバックアップ及びリストアするバックアップ及びリストア方法において、
   上記第１の記憶媒体に記憶される上記機器識別子の正当性を、上記権利処理モジュールに記憶される上記機器識別子の検査値により評価すると共に、上記第２の記憶媒体に記憶される上記権利情報の完全性保障値の正当性を、上記権利処理モジュールに記憶される上記完全性保障値の検査値により評価することにより、装置内のデータの整合性を確認するデータ整合性確認ステップと、
   上記権利処理モジュールに記憶される上記完全性保障値の検査値と上記機器識別子とに基づきデータ正当性検査用バックアップデータを生成すると共に、上記権利保護されたコンテンツデータ、上記権利情報、上記権利情報の完全性保障値、上記完全性保障値の作成鍵、及び上記データ正当性検査用バックアップデータを外部記憶媒体に記録するバックアップ実行ステップと、
   上記外部記憶媒体より読み出されたデータ正当性検査用バックアップデータより完全性保障値の検査値及び機器識別子を取得し、上記外部記憶媒体より読み出された権利情報の完全性保障値の正当性を、上記取得した完全性保障値の検査値により評価すると共に、上記取得した機器識別子及び上記外部記憶媒体より読み出された権利情報に基づき上記外部記憶媒体より読み出された完全性保障値の作成鍵により生成された権利情報の完全性保障値と、上記外部記憶媒体から読み出された権利情報の完全性保障値とを比較評価し、当該評価結果に応じて、上記外部記憶媒体より読み出された権利保護されたコンテンツデータ、権利情報、及び完全性保障値の作成鍵を上記第２の記憶媒体に記録し、さらに、上記読み出された権利情報及び上記第１の記憶媒体に記憶される機器識別子に基づき上記読み出された完全性保障値の作成鍵により新たに生成された権利情報の完全性保障値を上記第２の記憶媒体に記録すると共に、当該生成された権利情報の完全性保障値から既定の演算方法により算出された完全性保障値の検査値を、上記権利処理モジュールに記録するリストア実行ステップと
   を具えることを特徴とするバックアップ及びリストア方法。
2. 上記リストア実行ステップの前段に、外部の管理装置に対して、上記バックアップ実行ステップでバックアップされたデータのリストア許可を要求するリストア要求メッセージを送信し、これに応じて管理装置から返信される、リストアの許可または不許可を示すリストア応答メッセージを受信する通信ステップを具え、
   上記リストア実行ステップでは、上記リストア応答メッセージに基づき、リストアが許可されていればリストアを実行する
   ことを特徴とする請求項１に記載のバックアップ及びリストア方法。
3. 上記データ正当性検査用バックアップデータは、
   上記権利処理モジュール内で生成される暗号鍵で暗号化されている
   ことを特徴とする請求項１に記載のバックアップ及びリストア方法。
4. 上記データ整合性確認ステップと、上記バックアップ実行ステップでの上記データ正当性検査用バックアップデータの生成と、上記リストア実行ステップでの上記権利情報の完全性保障値の正当性の評価、上記権利情報の完全性保障値の生成、当該生成した権利情報の完全性保障値と上記読み出された権利情報の完全性保障値との比較評価、上記新たな権利情報の完全性保障値の生成、及び上記完全性保障値の検査値の生成とを、上記権利処理モジュール内で実行する
   ことを特徴とする請求項１に記載のバックアップ及びリストア方法。
5. 装置本体を識別する機器識別子を記憶する第１の記憶媒体と、
   権利保護されたコンテンツデータ、当該コンテンツデータに対応する権利情報、当該権利情報の完全性を保障するための完全性保障値を作成するための完全性保障値の作成鍵、及び、上記機器識別子及び上記権利情報に基づき上記完全性保障値の作成鍵により生成された権利情報の完全性保障値を記憶する第２の記憶媒体と、
   上記機器識別子から既定の演算方法により演算される機器識別子の検査値、及び上記権利情報の完全性保障値から既定の演算方法により算出される権利情報の完全性保障値の検査値を記憶する権利処理モジュールと、
   上記第１の記憶媒体、上記第２の記憶媒体、及び上記権利処理モジュールを制御する制御部と
   を具え、
   上記制御部による制御に基づき、
   上記第１の記憶媒体に記憶される上記機器識別子の正当性を、上記権利処理モジュールに記憶される上記機器識別子の検査値により評価すると共に、上記第２の記憶媒体に記憶される上記権利情報の完全性保障値の正当性を、上記権利処理モジュールに記憶される上記完全性保障値の検査値により評価することにより、上記第１の記憶媒体、上記第２の記憶媒体、及び上記権利処理モジュール内のデータの整合性を確認し、
   上記権利処理モジュールに記憶される上記完全性保障値の検査値と上記機器識別子とに基づきデータ正当性検査用バックアップデータを生成すると共に、上記権利保護されたコンテンツデータ、上記権利情報、上記権利情報の完全性保障値、上記完全性保障値の作成鍵、及び上記データ正当性検査用バックアップデータを外部記憶媒体に記録し、
   上記外部記憶媒体より読み出されたデータ正当性検査用バックアップデータより完全性保障値の検査値及び機器識別子を取得し、上記外部記憶媒体より読み出された権利情報の完全性保障値の正当性を、上記取得した完全性保障値の検査値により評価すると共に、上記取得した機器識別子及び上記外部記憶媒体より読み出された権利情報に基づき上記外部記憶媒体より読み出された完全性保障値の作成鍵により生成された権利情報の完全性保障値と、上記外部記憶媒体から読み出された権利情報の完全性保障値とを比較評価し、当該評価結果に応じて、上記外部記憶媒体より読み出された権利保護されたコンテンツデータ、権利情報、及び完全性保障値の作成鍵を上記第２の記憶媒体に記録し、さらに、上記読み出された権利情報及び上記第１の記憶媒体に記憶される機器識別子に基づき上記読み出された完全性保障値の作成鍵により新たに生成された権利情報の完全性保障値を上記第２の記憶媒体に記録すると共に、当該生成された権利情報の完全性保障値から既定の演算方法により算出された完全性保障値の検査値を、上記権利処理モジュールに記録する
   ことを特徴とするデータ記憶装置。
6. 上記第１の記憶媒体、上記第２の記憶媒体、及び上記権利処理モジュール内のデータの整合性の確認と、上記データ正当性検査用バックアップデータの生成と、上記外部記憶媒体より読み出された上記権利情報の完全性保障値の正当性の評価と、上記権利情報の完全性保障値の生成と、当該生成した権利情報の完全性保障値と上記読み出された権利情報の完全性保障値との比較評価と、上記新たな権利情報の完全性保障値の生成と、上記完全性保障値の検査値の生成とを、上記権利処理モジュール内で実行する
   ことを特徴とする請求項５に記載のデータ記憶装置。
7. 装置本体を識別する機器識別子を記憶する第１の記憶媒体と、
   権利保護されたコンテンツデータ、当該コンテンツデータに対応する権利情報、当該権利情報の完全性を保障するための完全性保障値を作成するための完全性保障値の作成鍵、及び、上記機器識別子及び上記権利情報に基づき上記完全性保障値の作成鍵により生成された権利情報の完全性保障値を記憶する第２の記憶媒体と、
   上記機器識別子から既定の演算方法により演算される機器識別子の検査値、及び上記権利情報の完全性保障値から既定の演算方法により算出される権利情報の完全性保障値の検査値を記憶する権利処理モジュールと
   を具えるデータ記憶装置に対して、
   上記第１の記憶媒体に記憶される上記機器識別子の正当性を、上記権利処理モジュールに記憶される上記機器識別子の検査値により評価すると共に、上記第２の記憶媒体に記憶される上記権利情報の完全性保障値の正当性を、上記権利処理モジュールに記憶される上記完全性保障値の検査値により評価することにより、装置内のデータの整合性を確認するデータ整合性確認ステップと、
   上記権利処理モジュールに記憶される上記完全性保障値の検査値と上記機器識別子とに基づきデータ正当性検査用バックアップデータを生成すると共に、上記権利保護されたコンテンツデータ、上記権利情報、上記権利情報の完全性保障値、上記完全性保障値の作成鍵、及び上記データ正当性検査用バックアップデータを外部記憶媒体に記録するバックアップ実行ステップと、
   上記外部記憶媒体より読み出されたデータ正当性検査用バックアップデータより完全性保障値の検査値及び機器識別子を取得し、上記外部記憶媒体より読み出された権利情報の完全性保障値の正当性を、上記取得した完全性保障値の検査値により評価すると共に、上記取得した機器識別子及び上記外部記憶媒体より読み出された権利情報に基づき上記外部記憶媒体より読み出された完全性保障値の作成鍵により生成された権利情報の完全性保障値と、上記外部記憶媒体から読み出された権利情報の完全性保障値とを比較評価し、当該評価結果に応じて、上記外部記憶媒体より読み出された権利保護されたコンテンツデータ、権利情報、及び完全性保障値の作成鍵を上記第２の記憶媒体に記録し、さらに、上記読み出された権利情報及び上記第１の記憶媒体に記憶される機器識別子に基づき上記読み出された完全性保障値の作成鍵により新たに生成された権利情報の完全性保障値を上記第２の記憶媒体に記録すると共に、当該生成された権利情報の完全性保障値から既定の演算方法により算出された完全性保障値の検査値を、上記権利処理モジュールに記録するリストア実行ステップと
   を実行させるためのバックアップ及びリストアプログラム。

Images