JP2008504588A

JP2008504588A - 分散承認ドメイン管理

Info

Publication number: JP2008504588A
Application number: JP2007507896A
Authority: JP
Inventors: ツワルト，シュールド; セーイェーブリンク，ロベルテュス
Original assignee: Koninklijke Philips NV; Koninklijke Philips Electronics NV
Current assignee: Koninklijke Philips NV
Priority date: 2004-04-16
Filing date: 2005-04-08
Publication date: 2008-02-14
Also published as: CN1943223A; EP1741286A2; KR20070007821A; TW200621024A; US20070226372A1; WO2005101831A2; WO2005101831A3

Abstract

本発明は、複数の承認ドメインマネージャ（ADM）を有する承認ドメインに関する。単一のADM対策と比べて、複数のADMは、ADに継続的に接続される必要のない携帯用ADMを可能にする。本発明は、ADMを同期し続ける対策を提供する。この目的で、とりわけ、各ADMはマップを備えており、マップは、他の装置に対応する識別子を有する識別子領域と、識別子のプロパティを有する少なくとも１つのプロパティ領域とを有する。プロパティ領域は識別子領域にマッピングされる。プロパティは、その更新についての情報を提供するように構成される。他のADMのマップ内容を取得し、他のADMのマップ内容と自分のマップの内容とを比較することにより、ADMが自分のマップの何らかの更新を実行するか否かを決定することが可能になる。

Description

本発明は、承認ドメイン（AD：authorized domain）システム、ADを管理する方法、及びADマネージャとして使用される装置に関する。

承認ドメインの概念は、コンテンツ所有者（著作権の保護を希望する者）とコンテンツ利用者（コンテンツの無制限の使用を希望する者）との関心に役立つ対策を見つけようとする。基本原理は、ADの境界を超えない限り、コンテンツが比較的自由に使用可能になる制御ネットワーク環境を有することである。典型的には、承認ドメインは、ホームネットワークとも呼ばれる家庭環境を中心としている。当然に、他のシナリオも可能である。例えば、ユーザは携帯用テレビを旅行に持って行き、家のパーソナルビデオレコーダに格納されているコンテンツにアクセスするために、これをホテルの部屋で使用する。携帯用テレビはホームネットワークの外側にあるが、ユーザの承認ドメインの一部である。

ADの概念は、Philips ResearchのS.A.F.A. van den Heuvel、W. Jonker、F.L.A.J. Kamperman及びP.J. Lenoirによる“Secure Content Management In Authorized Domains”、IBC 2002 Conference paper、pp467-474に更に説明されている。この文献は、承認ドメインのモデルを記述しており、承認ドメインは複数の装置を有する。装置は、装置をそれぞれADに追加すること又はADから除去することにより、ADの一部として登録及び登録解除され得る。このAD管理は集中管理され、ADマネージャ（ADM：AD Manager）により行われる。ADMはADの一部である装置の１つに過ぎない。装置の登録中に、特定の条件が満たされた場合に、登録される装置はAD鍵又は識別子を取得する。装置の登録解除中に、装置のAD鍵又は識別子が除去される。

承認ドメインの概念をある程度実装する様々なシステムが既に存在する。装置に基づくシステムの例には、SmartRight（Thomson Multimedia）、xCP（4C、主にIBM）及びNetDRM（Matshushita）がある。装置に基づくADの更なる例には、例えば同一出願人による国際特許出願WO03/098931（管理番号PHNL020455）及び欧州特許出願第04100997.8（管理番号PHNL040288）が挙げられる。

他の種類の前の対策は、人に基づく承認ドメインであり、ドメインは、装置に基づくADの場合のような装置ではなく人に基づく。このようなシステムの例は、例えば同一出願人による国際特許出願第IB2003/004538（管理番号PHNL021063）に記載されている。この場合、コンテンツは人に連結し、人がドメインにグループ化される。

ハイブリッド型の人及び装置に基づく承認ドメインは、同一出願人による欧州特許出願第03102281.7（管理番号PHNL030926）及び欧州特許出願第04101256.8（管理番号PHNL040315）に提案されている。

しかし、ADの集中管理ADMの手法は、以下のことを含む多数の欠点を有する。

＊ADがユーザの家庭に制限される場合、以下の欠点が生じる。ユーザが多くの家を有する場合（例えばユーザが休暇用住居を有する場合）、ADMは住居のうち１つで装置を追加又は除去することしかできない。ADが本拠地の住居に構成されており、ユーザがADMの装置を休暇用住居（又は出張）に持って行き、そこでの滞在中に新規の装置を購入することを仮定する。ユーザは新規の装置をADに追加したいことがあるが、ユーザが本拠地の住居に戻ってADMをADに再接続するまで、このことは不可能である。同様に、家の他の人が、ADMが切断されている間に新規の装置をADに追加したいことがあるが、このことも不可能である。これはユーザフレンドリーな概念ではない。

＊ADの概念は非常に技術的であり、ユーザに説明するのが困難である。ユーザの観点からは、ADは利点ではなく、欠点のみを引き起こしている。例えば、ADが存在しない無制限の状態と比較して、ADはユーザを制限している。従って、概念はユーザに提示されておらず、このことはADMの概念にも当てはまる。唯一の装置がADMである場合に、このことは欠点になる。ユーザが装置を追加又は除去しようとすると、ADMは承認ドメインのネットワークに接続されなければならない。そうでなければ、追加又は除去が失敗する。従って、単一のADMの構成では、ユーザは何の装置がADMであるかを認識しなければならないが、ADMの概念について必ずしも学習する必要がない。このことは説明するのが困難である。

＊他の問題は、可用性の問題である。ADに唯一のADMが存在する場合、ADMの可用性は、この装置がオンになっており、ネットワーク（すなわちAD）に接続されているか否かに依存する。１つより多くのADMが存在する場合、“ADMサービス”の可用性が増加する。

従って、１つより多くのADM可能な装置（すなわち、ADMとして動作する機能を有する１つより多くの装置）をAD内に有することが有利である。当然に、全てのADM装置が同時にオフラインになるというリスクは依然として存在するが、唯一の中央管理ADMの構成と比較すると、このリスクは減少する。

マルチADM対策が適切に動作する要件の１つは、全てのADマネージャが相互に直接の接点を有することなく動作し、装置を及び追加／除去することができる点である。各ADマネージャは、何の装置がADにあり、何個の装置をADに追加することができるかを認識している。しかし、マルチADM構造では、ADマネージャは任意に接続及び切断することができ、装置は任意の時に追加／除去されることができるため、ADマネージャの管理データを同期し続けるという問題が存在する。この同期問題への既知の対策は存在しない。

複数のADマネージャを有するADで、ADを同期し続ける問題への対策を提供することが、本発明の目的である。

この目的は、特許請求の範囲の請求項１、８、９及び１１のいずれかに記載された発明により実現される。

従って、この一態様では、本発明は、承認ドメインを管理する装置を提供し、他の装置に対応する識別子を有する識別子領域と、識別子のプロパティを有する少なくとも１つのプロパティ領域とを有するマップを有する。この少なくとも１つのプロパティ領域は、このプロパティのうちそれぞれ個々のプロパティがこの識別子のうち個々のものにマッピングされるように、識別子領域にマッピングされる。プロパティは、その更新についての情報を提供するように構成される。装置は、同じ承認ドメインを管理する他の装置のマップ内容を取得する手段と、この他の装置のこのマップ内容と自分のマップの内容とを比較し、この比較に基づいて自分のマップの何らかの更新を実行するか否かを決定する手段とを更に有する。

この他の態様では、本発明は、ネットワークを用いて相互接続可能な複数の装置を有し、承認ドメインとして構成されるシステムを提供し、この複数の装置のうち少なくとも２つは承認ドメインマネージャとして動作する。この出願の目的で、ピア・ツー・ピア接続もネットワークと考えられる点に留意すべきである。各承認ドメインマネージャは、前記の第１の態様の装置に従って構成される。

従って、ADMマップのマップ内容が比較されるため、また、マップは識別子毎に何らかのプロパティの更新についての情報を有するため、本発明はADMの同期の成功の条件を提供し、異なる識別子（すなわち装置）についての正確な現在情報がADM間で交換可能になる。従って、マップの更新は、新規の識別子の追加、既存の識別子のプロパティの修正等を有する。

請求項２に記載の装置の実施例によれば、２つの含まれるプロパティ形式は、状態とシーケンス番号であり、少なくとも２つの種類の状態が存在し、シーケンス番号は状態変化を示す。これがADの変化を追跡する１つの対策であり、これによって何のプロパティデータが最近に更新されたかを見つけることが可能になる。その情報は、何らかのADMマップの古いプロパティデータを更新するために使用される。理解のため、状態が除去から追加に変化する毎に、シーケンス値がインクリメントし得ることが例示される。このことは、他のADMより多く当該装置の追加を登録したADMのマップにおいて、より大きいシーケンス番号をもたらす。

従って、例えば前述の休暇の場合のようにADMがADから切断され、装置がADに追加され又はADから除去されると、切断されたADMは、ADに留まっている他のADMと通信することにより、ADMに再接続した後に更新される。以下に説明するように、ADMがマップデータを交換する複数の他の可能な方法が存在する点に留意すべきである。

請求項６に記載の装置の実施例によれば、最近の変化を見つける動作は、１つ以上の特定の条件が満たされることを検査する手段を使用して行われる。休暇の場合を再び参照して、この実施例によれば、１つのこのような条件は、識別子が再接続されたADMのマップに存在しないということが挙げられる。この実施例によれば、他の条件は、実際に識別子が再接続されたADMのマップに存在するが、マップの１つ以上のプロパティの間の比較により実現される比較値が、ADに留まっているADMのマップのプロパティが最近更新されたことを示すということが挙げられる。

ちょうど前述した実施例に基づく請求項７に記載の装置の他の実施例によれば、等しいシーケンス番号の場合に、追加の状態と除去の状態とが異なる値で示されるように状態が比較される。例えば“除去”の値が“追加”の値より大きく、前述の例のように、シーケンス番号が除去から追加への状態変化で単に増加する場合、より大きい値は最近の変更を示す。

状態のセットは、例えば、盗難、故障、破棄等のような状態で拡張されてもよい。

この更なる態様では、本発明は、複数の装置を有する承認ドメインを管理する方法を提供し、このうち少なくとも２つは承認ドメインマネージャとして動作し、
−承認ドメインへの装置の追加及び承認ドメインからの装置の除去を少なくとも管理する機能を各承認ドメインマネージャに提供するステップと、
承認ドメインマネージャ毎に、
−識別子領域と少なくとも１つのプロパティ領域とを有するマップを構成するステップと、
−他の装置に対応する識別子を識別子領域に格納するステップと、
−識別子のプロパティをこの少なくとも１つのプロパティ領域に格納するステップと、
−このプロパティのうちそれぞれ個々のプロパティがこの識別子のうち個々のものにマッピングされるように、この少なくとも１つのプロパティ領域をこの識別子領域にマッピングするステップと、
−その更新についての情報を提供するように、このプロパティを構成するステップと、
−同じ承認ドメインを管理する他の承認ドメインマネージャのマップ内容を取得するステップと、
−この他の承認ドメインマネージャのこのマップ内容と自分のマップの内容とを比較するステップと、
−この比較に基づいて自分のマップの何らかの更新を実行するか否かを決定するステップと
を有する。

この更なる態様では、本発明は、承認ドメインマネージャとしてコンピュータを動作させるソフトウェアコード部を有し、承認ドメインへの装置の追加及び承認ドメインからの装置の除去を少なくとも管理することができ、デジタルコンピュータの内部メモリに直接ロード可能なコンピュータプログラムプロダクトを提供し、
−識別子領域と少なくとも１つのプロパティ領域とを有するマップを構成するステップと、
−装置に対応する識別子を識別子領域に格納するステップと、
−識別子のプロパティをこの少なくとも１つのプロパティ領域に格納するステップと、
−このプロパティのうちそれぞれ個々のプロパティがこの識別子のうち個々のものにマッピングされるように、この少なくとも１つのプロパティ領域をこの識別子領域にマッピングするステップと、
−その更新についての情報を提供するように、このプロパティを構成するステップと、
−同じ承認ドメインを管理する他の承認ドメインマネージャのマップ内容を取得するステップと、
−この他の承認ドメインマネージャのこのマップ内容と自分のマップの内容とを比較するステップと、
−この比較に基づいて自分のマップの何らかの更新を実行するか否かを決定するステップと
をコンピュータに実行させる。

装置及びシステムに関する前記の説明から、それぞれ方法及びコンピュータプログラムプロダクトに従って実行されるステップは、同様の対策及び利点を提供することが明らかである。

本発明の前記及び他の態様は以下に説明する実施例から明らかになり、これを参照して説明する。

本発明について、添付図面を参照して詳細に説明する。

図１は、ネットワーク110を介して相互接続された装置101-105を有し、承認ドメイン（AD：Authorized Domain）を構成するシステム100を概略的に示している。この実施例では、システム／AD100は、家庭内ネットワークである。このようなデジタルホームネットワークは、典型的には複数の装置（例えば、無線受信機、チューナ／デコーダ、CDプレイヤ、一対のスピーカ、携帯電話、テレビ、VCR、テープデッキ等）を有する。通常ではこれらの装置は相互接続され、１つの装置（例えばテレビ）が他の装置（例えばVCR）を制御することが可能になっている。

典型的には音楽、曲、映画、TV番組、写真、ゲーム、本等のようなものを有すると共に、インタラクティブサービスを有してもよいコンテンツは、レジデンシャル・ゲートウェイ又はセットトップボックス101を通じて受信される。コンテンツはまた、ディスクのような記憶媒体又は携帯用装置の使用のように、他のソースを介して家庭に入ってもよい。ソースは、ブロードバンドケーブルネットワーク、インターネット接続、衛星ダウンリンク等への接続でもよい。コンテンツは、ネットワーク110で処理用のシンクに転送され得る。例えば、シンクは、テレビディスプレイ102、携帯用ディスプレイ装置103、携帯電話104及び／又はオーディオ再生装置105でもよい。

コンテンツ項目が処理される正確な方法は、装置の種類とコンテンツの種類とに依存する。例えば、無線受信機では、処理は、オーディオ信号を生成し、これをスピーカに供給することを有する。テレビ受信機では、処理は、一般的にオーディオ及びビデオ信号を生成し、これらをディスプレイ画面及びスピーカに供給することを有する。他の種類のコンテンツでも、同様の適切な動作が行われなければならない。処理はまた、受信信号の復号化又は逆スクランブル、オーディオ及びビデオ信号の同期等のような動作を有してもよい。

セットトップボックス101又はシステム100の他の装置は、適度な大容量ハードディスクのような記憶媒体S1を有し、受信コンテンツの記録及び後の再生を可能にしてもよい。記憶媒体S1は、何らかの種類のパーソナル・デジタル・レコーダ（PDR：Personal Digital Recorder）（例えばDVD+RWレコーダ）でもよい。このパーソナル・デジタル・レコーダにセットトップボックス101が接続される。コンテンツはまた、コンパクトディスク（CD）又はデジタル多用途ディスク（DVD）のような担体に格納されて、システム100に入力してもよい。

携帯用ディスプレイ装置103及び携帯電話104は、例えばBluetooth又はIEEE802.11bを使用して、基地局111を使用してネットワーク110に無線で接続される。他の装置は、従来の有線接続を使用して接続される。装置101-105が相互接続できるようにするために、複数の相互接続標準が利用可能である。これらの相互接続標準により、異なる装置がメッセージ及び情報を交換し、相互に制御することが可能になる。１つの周知の標準は、2000年1月に公開され、http://www.havi.org/のアドレスでインターネットから入手可能なHAVi（Home Audio/Video Interoperability）標準の1.0版である。他の周知の標準には、D2B（domestic digital bus）標準、IEC130に記載の通信プロトコル、及びユニバーサル・プラグ・アンド・プレイ（Universal Plug and Play）（http://www.upnp.org）がある。

これらの装置のうちいずれか２つ以上がADM可能であり、ADM可能な装置のうちいずれか２つ以上がADマネージャとして実際に動作可能である。装置がADMとして動作し始める処理は、異なる方法で実行され得る。ADシステムの一実施例によれば、ADMとして動作することができる機能を備えた全ての装置は、ADに追加されるとすぐに、ADMとして動作し始める。将来的に全ての装置がADM可能になることも考えられる。可能な選択肢は、何らかの形式の取り決めが行われることである。すなわち、ADの少なくとも２つの装置がADマネージャとして指定される。

ADMの実施例は、図２に示すいくつかの特定の手段を有する。この手段は、ADM機能を装置に提供する。これらの機能提供手段は、ハードウェアと装置に追加されるソフトウェアとを用いて実現され得る。図２では、以下に説明するようにADM201、202の間のデータの交換を示すため、２つの同一の（それぞれ第１及び第２の）ADM201及び202が図示されている。従って、各ADM201/202は、例えば他のADMとマップ内容又は装置の追加／除去を交換するために他の装置と通信する手段203/204と、とりわけADM201/202のマップ211/212を格納するメモリ205/206と、マップの内容を更新するマップマネージャ207/208と、他のマップの内容と自分のマップの内容とを比較する比較手段209/210とを有する。ADM機能提供手段は、不正防止付でマップに格納されるように構成されることが好ましい。

図３に示す実施例によれば、マップ300は、異なる装置に対応する識別子用の識別子領域301と、２つのプロパティ領域302、303とを有する。プロパティ領域302、303は、識別子のプロパティを有する。一方のプロパティ領域はシーケンス番号領域302であり、他方のプロパティ領域は状態領域303である。説明の目的で、いくつかの異なる架空の識別子ID123、ID444等が識別子領域301に記載されている。シーケンス番号領域302はシーケンス番号のリストを有し、状態領域は状態のリストを有する。マップ300の各行は、その行の識別子にマッピングされた又は関連付けられたシーケンス番号と状態とを有する。各識別子は、AD100の一部である又はAD100の一部であった１つの装置を特定する。この実施例では、装置がなり得る２つの異なる状態（すなわち、それぞれ追加及び除去）が存在する。

ADの管理は以下のように行われる。装置が最初にAD100に追加されると、現時点でADの一部であるADMにより受け入れられなければならない。例えば、受け入れのために満たされる基準は、ADの装置の所定の総数を超過していないことでもよい。他の基準は、装置が準拠の要件を満たすことでもよい。例えば装置101がADM201として動作しており、以下では新規の装置と呼ばれる装置102がAD100に追加されることを仮定する。新規の装置の識別子がID555であると仮定する。新規の装置102はAD100に接続され、新規の装置の識別子ID555はADM201に通信される。この通信がどのように行われるかは、当業者にわかる多数の異なる方法で実行可能であるため、更に説明しない。ADM201は、識別子ID555が既に識別子領域301に存在するか否かを検査するために、このマップマネージャ207を使用する。この場合には、存在しないため、ADM201はID555をこの領域に格納し、“0”のシーケンス番号をシーケンス番号領域302に格納し、“追加”の状態を示す値を状態領域303に格納する。

他の／第２のADM202が同じ識別子データを格納していることを仮定する。第１のADM201がネットワークから切断され、第１のADMが切断されている時間中に、新規の装置102が除去されたことを仮定する。依然としてAD100の一部であり、ネットワークに接続された第２のADM202は、新規の装置102の除去を処理し、関連の状態を“追加”から“除去”に変化させる。この実施例によれば、シーケンス番号は除去から追加への変化の数を示す。従って、シーケンス番号は“0”のままである。第１のADM201が再びネットワークに接続されると、そのマップ211の内容を第２のADM202のマップ212の内容と同期させるために、通信手段203を用いて適切な時に第２のADM202に接続する。マップマネージャ207を使用する第１のADM201及びその比較手段209は、第２のADM202とマップ内容を交換し、これにより第２のADM202のマップ212のコピー212’をそのマップメモリ205に格納する。次に、識別子毎にコンテンツの識別子データを比較する。識別子データは、まさに識別子（例えばID555）とその識別子のプロパティのプロパティデータとを有する。第１のADM201が識別子データに相違を検出し、第２のADM202の識別子データが最近に更新されていることを決定すると、新規の識別子の場合には更新された識別子データを追加し、又は更新された識別子データでその識別子の既存の識別子データを上書きする。この実施例では、第１のADM201が更新する（すなわち、自分のマップ211の内容を第２のADM202のマップ212からの内容で上書きする又は他のマップから自分のマップ211に内容を追加する）一式の条件は、２つの条件で構成される。その第１の条件は、識別子が自分のマップ211にないことである。当然に、その識別子の識別子データは自分のマップ211に追加される。第２の代替の条件は、識別子自体が自分のマップ211に存在するが、識別子に関するプロパティデータが第２のADM202のマップ212で最後に更新されたことを比較値が示すことである。

従って、この実施例によれば、識別子毎に、第１のマップマネージャ207はシーケンス番号を比較することから始める。識別子ID555では、マップマネージャ207は、シーケンス番号が同じ（0）であると気付き、状態を比較することを続ける。この実施例によれば、状態は状態値により示され、“追加”の状態は“除去”の状態より小さい値を有する。比較は、負の比較値になる。すなわち、第１のADM201のマップ211に入力された状態は、第２のADM202のマップ212に入力された状態より小さい。このことは、第２のADM202からコピーされた状態の内容でID555の現在の状態のデータを上書きすることにより、第１のADM201のマップ211の更新を生じ、これによりID555の状態が“除去”に変化する。

同様に、第２のADM202のマップマネージャ208は、第１のADM201のマップ211の内容と自分のマップ212の内容とを比較する。しかし、ID555では、第２のADM202のマップマネージャ208は、状態データの調整がないことを示す状態の比較値を決定する。

第１のADM201が再びAD100から切断し、装置102が再び追加され、第２のADM202が装置102の追加を管理することを仮定する。マップマネージャ208は、ID555にマッピングされたシーケンス番号をインクリメントし、これによりシーケンス番号が1になる。第１のADM201がAD100に再び接続され、第２のADM202と同期すると、マップマネージャ207は、ID555等のシーケンス番号を比較したときに負の比較値を生成する。これは、第２のADM202のマップのものと対応するものにマップ211のシーケンス番号が変化し、状態が新しく修正することを生じ、これによりID555の状態が“追加”に変化する。

第１のADM201が切断されたときに装置が“追加”の状態にあり、次に第１のADM201がAD100に再接続する前に再び除去及び追加された場合について検討する。この場合、第１及び第２のADM201、202のマップの間の比較はシーケンス番号の違いを示すが、状態は同一（追加）である。

マップマネージャの動作の条件について、以下に数学的且つ集中的に説明し得る。

IDXが装置Xの識別子を示すものとし、SQXがIDXのシーケンス番号であるとし、STXがIDXの状態であるとする。マップは、IDX→(SQXxSTX)である。IDX_i→(SQX_ixSTX_i)は、i=1の場合に、第１のADM201のマップ211の装置xを表す識別子を示し、i=2の場合に、第２のADM202のマップ212の装置xを表す識別子を示す。まず、双方のマップ211、212でSQX_i=0であり、STX_i=“追加”である。第１のADM201のIDX₁のプロパティの代わりに第２のADM202のIDX₂のプロパティを代用することを決定する条件は、負の比較値である。すなわち、(SQX₁xSTX₁)<(SQX₂xSTX₂)⇔SQX₁<SQX₂又は(SQX₁=SQX₂且つSTX₁<STX₂)である。

ADMシステム及びADMの代替実施例によれば、マップ内容の交換は、ADMの外部にある手段を介してオンライン又はオフラインで行われる。

従って、図４に示す代替実施例では、マップの主のバージョンがマップ処理装置402に格納されている。マップ処理装置402はADM不可能な装置又はADM可能な装置でもよく、例えば通信手段として使用される。ADM201、202は、ネットワークに接続されるとマップ処理装置402に接続され、前述の２つのADM201、202の間と同様のマップ交換が行われる。安全な通信又は通信データの認証を確保するために、セキュリティ手段が取られている点に留意すべきである。

図４に示す他の代替実施例では、別個の又は取り外し可能な記憶手段401（CD-R、CD-RW、DVD+RWディスク等）が、そのマップ211、212の記憶装置として又は主のマップを格納する共通リソースとして、ADM201、202毎に使用される。この実施例では、同期は、ADM201、202の間での直接の交換と同様に、別個の記憶手段401からのマップ内容を読み取ることにより、又は別個の記憶手段とマップ内容を交換することにより、各ADMにより実行される。この実施例でも、前述と同様のセキュリティ手段が取られる。

他の実施例では、マップ300は、識別子がADMであるか否かに関する注記を識別子毎に有する更なるプロパティ領域304を有する。例えば、これはADの装置間でのマップ内容の安全な通信の目的で使用され得る。従って、許容レベルのセキュリティを提供するために、一実施例では、マップは当業者に周知の属性証明書（例えばx509）に格納される。証明書はADMにより署名される。このことは、証明書が更なる暗号化処理なしに格納及び通信され得ることを意味する。２つ以上のADM201、202があるため、複数のADMが証明書に署名することができる。各ADMは自分の秘密鍵で証明書に署名する。このことは、装置が異なるADMから証明書を受け入れるように指示されることを意味する。典型的には、ドメインを生成したADMは、装置が異なる証明書を受け入れることを許容する。他の実施例では、マップはADM201、202の公開鍵で暗号化される。この場合、各装置は自分のマップを読み取ることしかできない。マップ内容が他のADMに提供されると、例えばhttpsを使用してSAC（Secure Authenticated Channel）が設定される。送信装置はマップから暗号化を除去し、それを送信する。受信装置は自分の公開鍵で再び暗号化しなければならない。

前述の及び図面の手段は別個のユニットでもよく、それぞれの機能を実行することができる単一のプロセッサ又は他のユニットでもよい点に留意すべきである。更に、代替として本発明の範囲内で、手段は、前述の手段により実行され得る動作をコンピュータに行わせるコンピュータ実行可能命令を有するコンピュータプログラムのプログラムモジュールとして実装されてもよい。

従って、前述のように、本発明によれば、複数の承認ドメインマネージャ（ADM）により管理され、同期され続ける承認ドメイン（AD）が提供される。ADMをADから一時的に切断することが可能になり、その間に接続され続けており、それによってADの一部である他の装置の何らかの変更を登録しているADMと正確に同期させることが可能になる。この同期は、ADMの間の情報の直接交換又は間接交換により、オンライン又はオフラインで行われ得る。

承認ドメインの例本発明による承認ドメインマネージャとして動作する装置の実施例のブロック図本発明によるマップの実施例本発明によるマップ処理の異なる対策を示すブロック図

Claims

承認ドメインを管理する装置であって、
他の装置に対応する識別子を有する識別子領域と、前記識別子のプロパティを有する少なくとも１つのプロパティ領域とを有するマップを有し、
前記少なくとも１つのプロパティ領域は、前記プロパティのうちそれぞれ個々のプロパティが前記識別子のうち個々のものにマッピングされるように、前記識別子領域にマッピングされ、
前記プロパティは、その更新についての情報を提供するように構成され、
前記装置は、同じ承認ドメインを管理する他の装置のマップ内容を取得する手段と、前記他の装置の前記マップ内容と自分のマップの内容とを比較し、前記比較に基づいて自分のマップの何らかの更新を実行するか否かを決定する手段とを更に有する装置。
請求項１に記載の装置であって、
前記少なくとも１つのプロパティ領域は、前記プロパティに含まれる２つの異なる種類のプロパティを有する２つのプロパティ領域を有し、
前記２つのプロパティ領域の一方は、状態を有する状態領域であり、
その他方は、シーケンス番号を有するシーケンス番号領域であり、
前記状態のそれぞれは、追加の状態と除去の状態とを有する少なくとも２つの異なる種類の状態のセットのうち１つであり、
各状態は、前記異なる種類の状態の間で変化可能であり、
各シーケンス番号は、前記異なる種類の状態のうち少なくとも１つから前記異なる種類の状態のうち少なくとも他のものへの関連の状態の変化回数を示す装置。
請求項１又は２に記載の装置であって、
前記マップ内容を取得する手段は、前記他の装置とマップ内容を直接的に交換する手段を有する装置。
請求項１又は２に記載の装置であって、
前記マップ内容を取得する手段は、別個の記憶手段を読み取る手段を有する装置。
請求項１又は２に記載の装置であって、
前記マップ内容を取得する手段は、前記承認ドメインのマップ処理装置から前記マップ内容を取得するように構成される装置。
請求項１ないし５のうちいずれか１項に記載の装置であって、
前記識別子が自分のマップにないという条件と、
前記識別子が自分のマップに存在することと、前記識別子に関するプロパティデータが前記他の装置のマップで最後に作用したことを確保する比較値との複合条件と
を少なくとも有する一式の条件のうち少なくとも１つの条件を満たす場合に、
前記他の装置のマップの識別子に関するプロパティデータが自分のマップに追加されることを決定する手段を有し、
前記比較値は、自分のマップの前記プロパティのうち少なくとも１つのプロパティと前記他の装置のマップの対応するプロパティとの比較により決定される装置。
請求項６及び２に記載の装置であって、
自分のマップの前記プロパティのうち前記少なくとも１つのプロパティは、前記シーケンス番号を有し、
等しいシーケンス番号の場合に、前記状態を更に有し、
前記追加の状態と前記除去の状態とが異なる値で表される装置。
ネットワークを用いて相互接続可能な複数の装置を有し、承認ドメインとして構成されるシステムであって、
前記複数の装置のうち少なくとも２つは承認ドメインマネージャとして動作し、
各承認ドメインマネージャは、請求項１ないし７のうちいずれか１項に記載の装置を有するシステム。
複数の装置を有する承認ドメインを管理し、前記複数の装置のうち少なくとも２つの装置は承認ドメインマネージャとして動作する方法であって：
−前記承認ドメインへの装置の追加及び前記承認ドメインからの装置の除去を少なくとも管理する機能を各承認ドメインマネージャに提供するステップと；
承認ドメインマネージャ毎に、
−識別子領域と少なくとも１つのプロパティ領域とを有するマップを構成するステップと；
−他の装置に対応する識別子を前記識別子領域に格納するステップと；
−前記識別子のプロパティを前記少なくとも１つのプロパティ領域に格納するステップと；
−前記プロパティのうちそれぞれ個々のプロパティが前記識別子のうち個々のものにマッピングされるように、前記少なくとも１つのプロパティ領域を前記識別子領域にマッピングするステップと；
−その更新についての情報を提供するように、前記プロパティを構成するステップと；
−同じ承認ドメインを管理する他の承認ドメインマネージャのマップ内容を取得するステップと；
−前記他の承認ドメインマネージャの前記マップ内容と自分のマップの内容とを比較するステップと；
−前記比較に基づいて自分のマップの何らかの更新を実行するか否かを決定するステップと；
を有する方法。
請求項９に記載の方法であって、
前記決定するステップは：
−前記識別子が自分のマップにないという条件と、
前記識別子が自分のマップに存在することと、前記識別子に関するプロパティデータが前記他の承認ドメインマネージャのマップで最後に作用したことを確保する比較値との複合条件と
を少なくとも有する一式の条件のうち少なくとも１つの条件を満たす場合に、
前記他の承認ドメインマネージャのマップの識別子に関するプロパティデータが自分のマップに追加されることを決定するステップと；
−自分のマップの前記プロパティのうち少なくとも１つのプロパティと前記他の装置のマップの対応するプロパティとの比較により、前記比較値を決定するステップと；
を有する方法。
承認ドメインマネージャとしてコンピュータを動作させるソフトウェアコード部を有し、承認ドメインへの装置の追加及び承認ドメインからの装置の除去を少なくとも管理することができ、デジタルコンピュータの内部メモリに直接ロード可能なコンピュータプログラムであって：
−前記承認ドメインへの装置の追加及び前記承認ドメインからの装置の除去を少なくとも管理する機能を各承認ドメインマネージャに提供するステップと；
承認ドメインマネージャ毎に：
−識別子領域と少なくとも１つのプロパティ領域とを有するマップを構成するステップと；
−他の装置に対応する識別子を前記識別子領域に格納するステップと；
−前記識別子のプロパティを前記少なくとも１つのプロパティ領域に格納するステップと；
−前記プロパティのうちそれぞれ個々のプロパティが前記識別子のうち個々のものにマッピングされるように、前記少なくとも１つのプロパティ領域を前記識別子領域にマッピングするステップと；
−その更新についての情報を提供するように、前記プロパティを構成するステップと；
−同じ承認ドメインを管理する他の承認ドメインマネージャのマップ内容を取得するステップと；
−前記他の承認ドメインマネージャの前記マップ内容と自分のマップの内容とを比較するステップと；
−前記比較に基づいて自分のマップの何らかの更新を実行するか否かを決定するステップと；
をコンピュータに実行させるコンピュータプログラム。