JP2008523725A - プログラム・コンテンツを安全に通信するための技術 - Google Patents

Abstract

第１層、たとえば信頼されたドメイン、内の第１機器から、第２層、たとえば信頼されたドメインの外側、内の第２機器へプログラム・コンテンツを安全に転送するための技術が提示されている。使用者が第１機器に対して保護されたコンテンツを第２機器に転送することを要求する際、第１機器は第２機器を認証する必要がある。第２機器が認証された後、第１機器は第２機器に保護されたコンテンツを、それに関連する権利ファイルと一緒に転送する。権利ファイルは第２機器がその保護されたコンテンツを使用するための権利を、その安全保障を示す安全保障レベルに基づいて規定する。これらの権利は、たとえば第２機器が後ほどその保護されたコンテンツを他の機器へ転送できる回数、第２機器がその保護されたコンテンツを再生できる期間等に関する。第２機器の安全保障レベルが高ければ高いほど、より多くの権利がそれに許容される。実際、第２機器は保護されたコンテンツを受け取り保持するためには最小安全保障レベル要求を満たす必要がある。

Description

（関連出願）
本出願は米国特許出願シリアル番号１０／８９４，８８４号、２００４年７月２０日出願の一部継続出願であり、当該出願は此処に参照することにより全て組み込まれている。

本発明は通信技術に関わり、さらに詳細にはケーブルＴＶネットワークから発し当該ネットワーク外の機器へプログラム素材を安全に通信するための技術に関する。

セットトップ端末（ｓｅｔ−ｔｏｐ ｔｅｒｍｉｎａｌ：ＳＴＴ）は使用者のテレビと、プログラム・コンテンツを配信するケーブルＴＶネットワークとの間のゲートウェイとして機能する。そのようなプログラム・コンテンツは放送として配信される場合がある。またオンデマンド方式として配信される場合もあり、その場合ビデオ・オンデマンド（ＶＯＤ）、予約ＶＯＤ、映画オンデマンドなどがサービスとして提供される。加えて、「ネットワーク個人ビデオ録画機（ＮＰＶＲ：ｎｅｔｗｏｒｋ ｐｅｒｓｏｎａｌ ｖｉｄｅｏ ｒｅｃｏｒｄｅｒ）」サービスが開発されており、使用者がトリック・モード機能（巻き戻し、早送り、一時停止など）を提示中のプログラム・コンテンツに対してネットワークを使用して実行できるようにしている。実際、ＮＰＶＲサービスを実現するためのネットワーク構成および機能が、たとえば国際公開番号 ＷＯ ２００３／０９３９４４号、２００３年１１月１３日公開に記載されている。ＮＰＶＲサービスはまた、使用者が彼／彼女が再視聴するために、過去および将来のプログラムを「予約」することを可能としており、これはたとえそのような予約された番組がその使用者によって、それらの放送前に識別されたことが無い場合にもである。

ケーブルＴＶネットワークを介したＳＴＴサービスでは、プログラム・コンテンツは、たとえばデータ暗号化標準（ＤＥＳ：ｄａｔａ ｅｎｃｒｙｐｔｉｏｎ ｓｔａｎｄａｒｄ）技術に基づいて暗号化され、その配信の安全保証をしている。ＤＥＳは良く知られた対称暗号であり、これはメッセージの暗号化および復号化の両方に対して単一鍵を使用する。ＤＥＳアルゴリズムは公に既知であるので、ＤＥＳ鍵が分かると暗号化されたメッセージは誰からも読まれる。従って、メッセージ送信者および受信者はそのＤＥＳ鍵を他の人に対して秘密にしなければならない。ＤＥＳ鍵は典型的に各々８ビットを含む、８バイトのシーケンスである。ＤＥＳの完全性を強化するために、ＤＥＳアルゴリズムは逐次連続して適用される。この手法により、ＤＥＳアルゴリズムはデータの暗号化および復号化を行い、たとえば複数鍵を用いてシーケンス内で３回行うと、その結果いわゆる３重ＤＥＳ（３ＤＥＳ）技術となる。

ＤＥＳ技術と対照的に、公開鍵暗号化技術、たとえばＲＡＳ技術（開発者の名前、Ｒｉｖｅｓｔ，Ｓｈａｍｉｒ，およびＡｄｌｅｍａｎに基づいて名付けられた）は、２つの異なる鍵を使用する。第１鍵は秘密鍵と呼ばれ、使用者によって秘密に保持される。別の鍵は公開鍵と呼ばれ、その使用者と秘密裏に通信したいと望む全ての人が利用可能である。２つの鍵は互いにユニークに整合し、まとめて「公開鍵秘密鍵対」と呼ばれる。しかしながら秘密鍵は公開鍵から容易に導出することは出来ない。メッセージの使用者への送信を希望する当事者は、メッセージを送信する前にそれを公開鍵を用いて暗号化する。次に使用者は秘密鍵を用いてそのメッセージを復号する。逆に秘密鍵をメッセージを暗号化するために使用する場合もあり、その場合そのメッセージは続いて公開鍵で復号出来る。たとえば、ＲＡＳアルゴリズム用の鍵は、一部分素数を組み合わせて数学的に生成される。ＲＡＳアルゴリズムの安全保障は、非常に大きな数をその鍵として使用することに依存しており、これは通常５１２ビット長である。

公開鍵暗号化手法はしばしば認証目的で使用される。たとえばデータ・ファイルの認証を所望する第１当事者は既知のハッシュ関数（たとえば、ＳＨＡ−１アルゴリズム）をそのファイルに適用して、ハッシュ値を生成し、そのハッシュ値を秘密鍵を用いて符号化して、１つの符号値を作成する。この方法で生成された１つの符号化された値は、しばしばデジタル署名と呼ばれる。第１当事者はそのデータ・ファイルとデジタル署名とを第２当事者に送信する。第２当事者は続いて第１当事者の既知の公開鍵を用いてそのデジタル署名を復号し、復号された値を生成する。第２当事者は加えて既知のハッシュ関数を第１当事者から受信したデータ・ファイルに適用し、検証値を生成する。複合された値は検証値と比較され；複合された値と検証値とが一致する場合、第１当事者は送信者の身元として確信される。

上述の認証技術は第２当事者が第１当事者の公開鍵を知っている場合に有用である。しかしながら、多くの場合第２当事者はそのような知識を持たず、従って第１当事者の身元を認証するのに必要な手順を実施できない。この問題に対する一般的な解決方法は、一般的に知られている信頼された団体から発行される登録メッセージを使用することである。登録メッセージはたとえば、国際標準化機構により発行されたＩＳＯ／Ｘ．５０９標準に基づき生成されたデジタル証明書である。登録メッセージは第１および第２当事者の両者が信頼された団体を信用し、信頼された団体の公開鍵の知識を有する場合に価値がある。そのような場合、第１当事者はその公開鍵を含む「未署名」メッセージを生成して、そのメッセージを信頼された団体に、そのメッセージに「署名」要求とともに与える。信頼された団体は既知のハッシュ関数をそのメッセージの全てまたは一部に適用し、その秘密鍵を用いて結果として生成されたハッシュ値を符号化してデジタル署名を生成する。その信頼された団体はメッセージにその署名を添付し、生成された登録メッセージを第１当事者に返送する。第１当事者は続いて署名済登録メッセージを第２当事者に送り、彼は信頼された団体の公開鍵を用いて登録メッセージを検証し第１当事者の公開鍵をそこから抽出する。上述の方法で登録メッセージを発行する信頼された団体は「認証局」と呼ばれる場合がある。

認証「階層」が認証局を最高位（そして信頼された）権威として確立される。そのような認証階層を用いるシステムにおいて、当事者は認証局まで繋がる権威の連鎖を構築する複数の登録メッセージを維持することを要求される。その身元を認証するために当事者は、その身元が認証局で認識されることを明らかにするために必要なだけの、多数の登録メッセージを第２当事者に提供する。

従来技術において、プログラム・コンテンツはＤＥＳ鍵を用いて、ＤＥＳアルゴリズムに基づいて暗号化され、ケーブルＴＶシステムの中継局からＳＴＴへの配信の安全を保証していた。ＳＴＴが暗号化されたプログラム・コンテンツを復号化するために、そのＤＥＳ鍵は中継局からＳＴＴへ資格授与制御メッセージ（ｅｎｔｉｔｌｅｍｅｎｔ ｃｏｎｔｒｏｌ ｍｅｓｓａｇｅ：ＥＣＭ）の中で送信され、これは３ＤＥＳアルゴリズムに基づく３ＤＥＳ鍵を用いて暗号化されている。この３ＤＥＳ鍵（また「マルチセッション鍵」（ＭＳＫ）として知られている）が別の資格授与管理メッセージ（ｅｎｔｉｔｌｅｍｅｎｔ ｍａｎａｇｅｍｅｎｔ ｍｅｓｓａｇｅ：ＥＭＭ）の中でＳＴＴへ送られ、これは公開鍵アルゴリズムに基づいてＳＴＴ公開鍵を用いて暗号化されており、その対応する秘密鍵はＳＴＴ内に安全に保持されている。従って、暗号化されたＥＭＭおよびＥＣＭを受信した後、ＳＴＴは暗号化されたＥＭＭをＳＴＴ秘密鍵を用いて復号化しその中の３ＤＥＳ鍵を入手する。そのような３ＤＥＳ鍵を使用し、ＳＴＴは暗号化されたＥＣＭを復号化して、受信した暗号化されたプログラム・コンテンツを復号化することが出来る。

最近、ケーブルＴＶ向けＳＴＴの中にはデジタル・ビデオ録画機（ＤＶＲ）機能（「ＤＶＲ ＳＴＴｓ」）を組み入れるよう改良されたものもある。ＤＶＲ同様、たとえばＴｉｖｏまたは再生ＴＶ装置、ＤＶＲ ＳＴＴは一般的に、ＴＶプログラムをデジタル的に録画するためのハード装置、たとえばディスクを含む。またＤＶＲ同様、ＤＶＲ ＳＴＴはケーブルＴＶ加入者が彼／彼女が好むＴＶプログラムを後で観るために録画したり、期間限定オプションとして彼／彼女が好むプログラム番組を一定期間、放送回毎に録画出来るようにしている。これは使用者のためにプログラムを、彼／彼女の視聴傾向および嗜好に基づいて自動的に録画するはずである。

しかしながら、ケーブル運用者は加入者にコンテンツの無制限録画を提供することは、許容できないほど多量の不当コピーそして／または配布に繋がることに気付いている。従って、コンテンツを加入者がセーブすることを許す一方で、同時に認証されていない当事者へのコピーおよび配布を防止（または管理）するための戦略に対する継続した要求が存在する。この要求を解決するために多くの技術が開発されてきている。そのような技術の１つは指標、たとえば暗号化されたモード指標（ｅｎｃｒｙｐｔｉｏｎ ｍｏｄｅ ｉｎｄｉｃａｔｏｒ：ＥＭＩ）を使用することを含み、これは発信源装置から受信側装置へコンテンツを送信するために使用されるデータ・ストリームの中に挿入されている。ＥＭＩは受信側装置に対して、コンテンツの状態に関する情報を提供する：この状態はそのコンテンツが自由にコピーできるか、１度だけコピー出来るか、コピー不可であるか等を示す。受信側装置はこのＥＭＩを読んで、そのコンテンツをコピーするか否かを判断する。コピーが許されている場合、受信側装置はそのコンテンツをコピーする。そのようなコンテンツ保護技術の詳細は、「５Ｃデジタル送信コンテンツ保護白書」日立製作所他、版１．０，１９９８年７月１４日を参照出来る。

別の技術は保護コンテンツを送信しようとする装置が、受信装置がそのようなコンテンツの受信を認証されているか否かを判断することを要求している。そのような技術の１つは「広帯域デジタル・コンテンツ保護システム」デジタル・コンテンツ保護ＬＬＣ、版１．１、２００３年６月９日に開示されている。この開示された技術によれば、送信装置と受信装置の両者は秘密装置鍵の有効配列と対応する鍵選択ベクトルを有する。認証過程において、２つの装置は鍵選択ベクトルを交換する。受信装置は送信装置の鍵選択ベクトルを使用して、自身の秘密装置鍵の選択を生成し、続いて選択された秘密装置鍵を５６ビット二進数加算を用いて加算することにより値Ｋｍを計算する。送信装置は対応するＫｍ′を受信装置の鍵選択ベクトルを用いて計算する。各々の装置が秘密装置鍵の有効セットを有する場合、Ｋｍ＝Ｋｍ′である。受信装置がその正当性を確立した後にのみ、送信装置はそのコンテンツを送信する。

保護コンテンツの使用よび配信を管理するために用いられる別の方策は、デジタル権利管理（ｄｉｇｉｔａｌ ｒｉｇｈｔ ｍａｎａｇｅｍｅｎｔ：ＤＲＭ）システムを採用することである。ＤＲＭシステムの１例は、Ｗｉｎｄｏｗｓ メディア・デジタル権利管理システムであり、「Ｗｉｎｄｏｗｓ メディアＤＲＭ ＦＡＱ」、 ｈｔｔｐ：／／ｗｗｗ．ｍｉｃｒｏｓｏｆｔ．ｃｏｍ／ｗｉｎｄｏｗｓ／ｗｉｎｄｏｗｓｍｅｄｉａ／ｈｏｗｔｏ／ａｒｔｉｃｌｅｓ／ｄｒｍａｒｃｈｉｔｅｃｔｕｒｅ．ａｓｐｘに記載されている。このシステムによれば、デジタル・メディアファイルが「ライセンス鍵」で暗号化されロックされる。ライセンス鍵はメディアファイルとは別に配信されるライセンス・ファイルの中に格納されている。顧客は暗号化されたメディアファイルを、ウェッブサイトからダウンロードしたり、ディスクの形態で購入したりする。このデジタル・メディアファイルを再生するには、顧客は最初に対応するライセンス鍵を含むライセンス・ファイルを入手しなければならない。顧客はこのライセンス鍵を事前配達ライセンスにアクセスして入手するか；これに代わって、顧客が最初にそのファイルを再生する際、ライセンスをインターネット経由で取り出す手順が始動される場合もある。ライセンス鍵を具備したライセンスを入手した後、顧客はそのライセンスで指定された規則または権利に従ってメディアファイルを再生できる。

ＤＲＭシステムの別の例が「ＲｅａｌＳｙｓｔｅｍ Ｍｅｄｉａ Ｃｏｍｍｅｒｃｅ Ｓｕｉｔｅ（実システム・メディア商取引スイート）（技術白書）」、ｈｔｔｐ：／／ｄｏｃｓ．ｒｅａｌ．ｃｏｍ／ｄｏｃｓ／ｄｒｍ／ＤＲＭ ＷＰ１．ｐｄｆ に記載されている。コンテンツ・ファイルはシステム運用者によって暗号化され、保護コンテンツ・ファイルとなっており、そのファイル内のコンテンツを再生するために鍵を必要とする。この鍵は小売業者のデータ・ベース内にインポートされていて、保護コンテンツ・ファイルは消費者にたとえばＣＤのオフライン発送で提供される。小売業者はライセンス供給コンテンツの使用規則を設定する。顧客は保護コンテンツ・ファイルを手に入れ、小売業者のウェブ・サーバに信頼されたクライアントを通して接続し、そのコンテンツを再生するためのライセンスを入手する。小売業者のウェブ・サーバは運用者のライセンス・サーバから権利を要求し、これはそれぞれのコンテンツ・ファイル用の鍵を含む１つのライセンスを生成し、そのライセンスを小売業者のウェブ・サーバに提供する。小売業者のウェブ・サーバはこのライセンスを信頼されたクライアントに配送する。信頼されたクライアントはこのライセンスを鍵と共に受け取り、そのコンテンツ・ファイルをリトリーブしてその鍵を用いてコンテンツを再生する。

近年、家庭内の機器の相互接続を提供するための多数のシステムが開発されており、家庭ネットワークにケーブルＳＴＴ、パーソナル・コンピュータ、携帯電話機、ＰＤＡ装置などを含むことを可能としている。家庭内の種々の機器を相互接続するためのシステムの１例が国際公開第ＷＯ ０２／２１８４１号、２００３年３月１４日公開に記載されている。家庭ネットワーク人口の増加に伴い、使用者が保護コンテンツの認証された転送、たとえばコンテンツをＳＴＴから家庭ネットワーク内の第２機器へ、行うことを可能とする一方で、同時に保護コンテンツの不正配信は防止するための方策の必要性が増大している。

加えて、ケーブル業界では、ＣａｂｌｅＣＡＲＤ（また「ＰＯＤ（ｐｏｉｎｔ− ｏｆ− ｄｅｐｌｏｙｍｅｎｔ）モジュールとして知られている」）が開発されており、或る程度の安全要求を満たしながら、ケーブル・サービスを受信するためのホスト機器、たとえばセットトップ端末、デジタル・ケーブル・テレビ、ＤＶＲ、パーソナル・コンピュータ（ＰＣ）、集合デジタル・テレビなどの小売りを可能としている。ＰＣＭＣＩＡ装置を含むＣａｂｌｅＣＡＲＤはホスト機器に挿入することが出来て、視聴者がケーブル・システムの保護デジタル・ビデオ・サービス、たとえば有料ＴＶ、電子プログラム・ガイド、割り増し申し込みチャンネル等を受け取ることを可能としている。

特に、ＣａｂｌｅＣＡＲＤは条件付き接続機能、同様にメッセージを共通フォーマットに変換する機能を含む。従って、ＣａｂｌｅＣＡＲＤはケーブル運用者に加入者敷地で保護機器を提供し、それが接続されているネットワークの型式に関係なくホスト装置が単一プロトコルとして理解する必要のため、翻訳機として動作する。

たとえば、ケーブル運用者から提供されたＣａｂｌｅＣＡＲＤにより、たとえばオープンケーブル・アプリケーション・プラットフォーム（ＯｐｅｎＣａｂｌｅ Ａｐｐｌｉｃａｔｉｏｎｓ Ｐｌａｔｆｏｒｍ：ＯＣＡＰ）上で実行されるホスト機器は、小売業者店舗で販売される。（そのようなプラットフォームの詳細は、たとえば「オープンケーブル・アプリケーション・プラットフォーム仕様」ＯＣＡＰ２．０プロフィール、ＯＣ−ＳＰ−ＯＣＡＰ２．０−Ｉ０１−０２０４１９、ケーブル・テレビジョン研究所社、２００２年４月１９日を参照されたい。）ＯＣＡＰは北米のケーブルシステムで相互動作可能なホスト機器上で配備するための、共通ミドルウェア層にアプリケーションを構築することを可能とする。（そのようなホスト機器の機能要求の詳細は、たとえば「オープンケーブル^ＴＭホスト機器コア機能要求」、ＯＣ−ＳＰ−ＨＯＳＲ−ＣＦＲ−Ｉ１３−０３０７０７、ケーブル・テレビジョン研究所社、２００３年７月７日を参照されたい。）ＣａｂｌｅＣＡＲＤへの共通インタフェースにより、ホスト機器の使用者が彼／彼女の新たなケーブル運用者に接触して新たなＣａｂｌｅＣＡＲＤを入手する場合、ホストを１つの場所から別の場所へ移動することが可能である。（そのようなインタフェースの詳細は、たとえば「オープンケーブル^ＴＭＨＯＳＴ−ＰＯＤインタフェース仕様」、ＯＣ−ＳＰ−ＨＯＳＴＰＯＤ−ＩＦ−Ｉ１３−０３０７０７、ケーブル・テレビジョン研究所社、２００３年７月７日を参照されたい。）新たなＣａｂｌｅＣＡＲＤおよびホスト機器を提供するためには、ＣａｂｌｅＣＡＲＤがその中に挿入されているホスト機器がそのケーブル・ネットワークに接続される一方で、初期化および認証過程を実施する必要がある。初期化および認証過程は使用者がＣａｂｌｅＣＡＲＤそして／またはホスト機器のＩＤ（たとえばシリアル番号）をケーブル運用者に提示することにより開始される。ケーブル運用者はデータ・ベース内でＣａｂｌｅＣＡＲＤのＭＡＣアドレスを照会し、このＭＡＣアドレスは典型的にＣａｂｌｅＣＡＲＤ内にハード的に符号化されていて、そのＣａｂｌｅＣＡＲＤに関連づけられている。認証過程中にケーブル運用者は、たとえばＩＰアドレスをＣａｂｌｅＣＡＲＤに割り当てて、ケーブル・ネットワーク内での識別子とする。ケーブル運用者はまた、ホスト機器から製造者、型式およびホスト機器のＩＤ（たとえばそのシリアル番号）に関するデータを収集する。ケーブル運用者はＣａｂｌｅＣＡＲＤのＭＡＣアドレス（そして／またはＩＰアドレス）を使用者情報、たとえば彼／彼女の名前、アドレスなどを課金目的で関連づける。

本発明は従来技術の制約を、特に家庭ネットワーク内で保護コンテンツの不正使用および伝送を防止する多層権利管理を実施することにより解決する。たとえば本発明によれば、家庭ネットワークは多重層を含むと考慮されている。１つのそのような層は「信頼されたドメイン」であり、先に述べた米国出願シリアル番号第１０／８９４，８８４号、２００４年７月２０日出願に記載されている。たとえば、ケーブルＴＶシステムにおいて、信頼されたドメインはそこでプログラム・コンテンツが従来のように保護されており、かつケーブル運用者の全管理下にある、たとえば中継局、配信ネットワークなどを含むシステム部分のみならず、加入者の敷地における使用者機器、たとえばＳＴＴを含み、これはプログラム・コンテンツを予め定められた方法で受信し安全に格納することが可能である。ケーブル運用者は、信頼されたドメイン内に保持されているコンテンツに関する、特定加入者の接続および使用を管理できる。たとえばケーブル運用者の信頼されたドメイン内に保持されている（たとえば、ＳＴＴのハードディスク上）映画コンテンツは、インターネット上に視聴可能形式で配信することは出来ず、また複数視聴可能コピーの複製源とすることは出来ない。

第２層は信頼されたドメインの外側として定義される。本発明によれば、第２層内の機器にはその機器の安全の程度を示す指標が割り当てられている。たとえば、第２層内の機器が保護コンテンツを第１層から転送するように要求すると、第１層機器はその第２層機器を認証して保護コンテンツを受信する適法性を判定する。第２層機器が認証された後、第１層機器は保護コンテンツのみならず、その保護コンテンツに関連する規則一式を転送する。その規則の少なくともいくつかは指標に関連し、保護コンテンツの使用に関して第２層機器に適用可能である。

本発明は広く、保護コンテンツの不正使用を防止するための信頼されたドメインを含む多層権利管理の概念を包含する。本発明は構成内の特定機器の使用に限定されるものではない。たとえば、本発明はたとえばＤＶＲ ＳＴＴの機能を一緒に実現するＣａｂｌｅＣＡＲＤに接続されたホスト機器に等しく適用される。本発明の１つの実施例において、ホスト機器はプログラム・コンテンツを有し、これは暗号化されてその中の記憶装置内に格納されている。このモジュールはそのプログラム・コンテンツに接続する機器からの要求を受け取る。この要求は記憶装置内の暗号化されたプログラム・コンテンツに関連して格納されているデータ・パッケージを含む。この要求に対応して、前記モジュールはその機器がそのプログラム・コンテンツへのアクセスを許可されているかを第１データ・パッケージ内の情報（たとえば、使用権情報）に基づいて判定する。このモジュールは続いてホスト機器に対して、少なくとも記憶装置内の暗号化されたプログラム・コンテンツを複合するための暗号要素（たとえば暗号化鍵）に関するデータを供給する。

本発明の更なる目的、特徴および長所は本発明の図示された実施例を示す添付図を参照した以下の詳細な説明から明らかとなろう。

本発明は保護プログラム・コンテンツを１つの保護層から別の層へ、保護コンテンツの不正アクセスおよびコピーを防止して安全に転送するための技術を目指している。１つのそのような保護層は「信頼されたドメイン」と呼ばれる。ケーブルＴＶシステムにおいて、信頼されたドメインはプログラム・コンテンツが従来のように保護されたケーブル運用者の全管理下に有るシステム部、たとえば中継局、配信ネットワークなど、のみならず加入者の敷地内に有る、プログラム・コンテンツを受信し格納することの可能な使用者機器、たとえばＤＶＲ ＳＴＴ、を含み、以下に記述する条件付きアクセス機構を実施する。簡単のために条件付きアクセス機構を実施するＤＶＲ ＳＴＴをこれ以降「保護ＤＶＲ ＳＴＴ（ＳＤＶＲ ＳＴＴ）」と呼ぶことにする。

ケーブル運用者は信頼されたドメイン内に保持されたコンテンツに関して、特定加入者のアクセスおよび使用を管理することができる。たとえば、ケーブル運用者の信頼されたドメイン（たとえば、ＳＤＶＲ ＳＴＴ）内に保持された動画はインターネット上を視聴可能状態で配信することはできないし、また複数の視聴可能コピーとして複製するためのソースとなることもできない。本発明によれば、多層権利管理が設定されていて、コンテンツを１つの保護層（たとえば信頼されたドメイン）から別の層（たとえば信頼されたドメインの外側）へ安全に転送することを容易にしている。図示された実施例において、信頼されたドメイン内の第１機器は保護コンテンツを信頼されたドメイン外の第２機器へ、その第２機器がその保護コンテンツに関して多層権利管理に準拠すると認知し機能する場合、転送することを許されている。言葉を変えると、信頼されたドメイン外の第２機器は保護コンテンツを信頼されたドメイン内の第１機器から受信することはできるが、その保護コンテンツの第２機器による使用ならびに配信は、多層権利管理で規定された権利および制約の下にあるということである。

多層権利管理によれば、受信機器にはその機器の安全保障を示す安全保障レベルが割り当てられている。１つの実施例において、受信機器には安全保障レベル１（低信頼レベル）、２（中信頼レベル）、または３（高信頼レベル）が割り当てられている。受信機器の安全保障レベルは受信されたコンテンツに関してそれに認められた権利一式を決定する。

例として、信頼されたドメイン外の携帯メディア機器（ＰＭＤ）が、信頼されたドメイン内のＳＤＶＲ ＳＴＴから映画のコピーを要求する場合を想定する。ＰＭＤは、たとえばデジタル・ビデオ装置、パーソナル・コンピュータ（ＰＣ）、携帯情報端末（ＰＤＡ）、携帯電話などである。このＰＭＤが安全保障レベル１機器の場合、映画コンテンツを受信することは認証されない。このＰＭＤが安全保障レベル２機器の場合、映画コンテンツを受信することは認証されるが、その映画を再生し、その映画コンテンツを他の機器へ転送する権利は制限される。このＰＭＤが安全保障レベル３機器の場合、映画コンテンツを受信することは認証され、加えてその映画を再生し、他の機器（これらは順に多層権利管理で規定されるそれぞれの権利に縛られる）に転送する、無制限の権利を有する。

多層権利管理を実施するに際して、保護コンテンツ、たとえば映画のコンテンツを含むコンテンツ・ファイルは、受信機器がその保護コンテンツを使用する権利を定義する「権利」ファイルと関連づけられ、これらの機器がその保護ファイルをまず最初に受信することを許す、最小限の安全保障レベルを指定する。１つの実施例において、信頼されたドメイン外のＰＭＤが、信頼されたドメイン内のＳＴＴに対して保護映画コンテンツの送信を要求する際、ＳＴＴはＰＭＤを認証しその安全保障レベルを識別する。このＳＴＴは権利ファイルを調べて、そのＰＭＤが最小安全保障レベル要求に合致しているか判定する。合致する場合、そのＳＴＴはその映画コンテンツファイルをその権利ファイルと一緒にＰＭＤへ転送する。次にＰＭＤは受け取った権利ファイルを調べて、その映画コンテンツに関連して自身の権利を決定する。たとえば、そのＰＭＤが安全保障レベル２機器の場合、これは安全保障レベル２機器用に記述された権利ファイル内の権利一式に準拠してその映画コンテンツを使用する。別の実施例では、ＰＭＤが認証されると直ちにＳＴＴはコンテンツと権利ファイルとをＰＭＤに転送し、その際その安全保障レベルやそのＰＭＤが最小安全保障レベル容器夕に合致しているかを判定せずに行う。権利ファイル内に規定された安全保障レベルに関する権利、最初にその保護コンテンツを受け取り保持することが許可されているか否かを含む権利を自発的に順守することはＰＭＤにゆだねられている。

図１は本発明の原理を実施している広帯域通信システム、たとえばケーブルＴＶシステムの構成要素を図示する。中継局１２０は種々のプログラム・チャンネルに属するプログラム・コンテンツを受信し、ケーブル・テレビ・サービスを、たとえばＳＤＶＲ ＳＴＴ１５８−１から１５８−Ｍ、此処でＭは整数を表す、を含むＳＴＴに提供する。注意しなければならないのは、同じケーブル・テレビ・サービスはまた従来技術による、プログラム・コンテンツを格納する機能を持たないＳＴＴに対しても提供されているが、此処では関心は無い。用語「送信チャンネル」と「プログラム・チャンネル」を混同しないように注意されたい。「送信チャンネル」はそこを通して、プログラム・コンテンツそして／またはデータを含む輸送ストリームが転送される指定された周波数帯域を表す。「プログラム・チャンネル」は視聴者によって選択された、プログラム・コンテンツまたはサービスの発信源を表す。たとえば、ある使用者はＣＢＳから提供されるプログラム・コンテンツを視聴するためにプログラム・チャンネル２を選択し、ＥＳＰＮから提供されるプログラム・コンテンツを視聴するためにプログラム・チャンネル１４を選択する。

従来の方法では中継局１２０はプログラム・コンテンツを、下流のサービス地域内または近隣のＳＤＶＲ ＳＴＴ１５８−１から１５８−Ｍ、此処でＭは整数、に配信する。図１に示すように、ＳＤＶＲ ＳＴＴ１５８はネットワーク１５０にサービス領域ノード１６１を通して接続されている。この事例において、ネットワーク１５０は良く知られているハイブリッド同軸光（ｈｙｂｒｉｄ ｆｉｂｅｒ ｃｏａｘｉａｌ：ＨＦＣ）ケーブル・ネットワークである。

プログラム・コンテンツは下流側に、中継局１２０からＳＤＶＲ ＳＴＴ１５８に「帯域内（ｉｎ−ｂａｎｄ）」送信チャンネルを通して配信される。１つの実施例において、これらの送信チャンネルは６ＭＨｚ帯域の同軸ケーブルであって、たとえば３５０−７５０ＭＨｚ帯域のフォワード通過帯域（ｆｏｒｗａｒｄ ｐａｓｓｂａｎｄ）を搬送する。ハブ１３０内のＱＡＭ変調機バンク１３７は、プログラム・コンテンツを含む輸送ストリームを選択された対域内チャンネルに、ＱＡＭ手法に基づいて変調する。

加えて、下流データ（ｄｏｗｎｓｔｒｅａｍ ｄａｔａ）、たとえば制御メッセージ、緊急情報などは中継局１２０からＳＤＶＲ ＳＴＴ１５８に１つまたは複数の、フォワードデータ・チャンネル（ｆｏｒｗａｒｄ ｄａｔａ ｃｈａｎｎｅｌｓ：ＦＤＣｓ）を経由して通信され、これはしばしば「帯域外」チャンネルと呼ばれる。ＦＤＣは同軸ケーブルの７０−１３０ＭＨｚ帯域を占有する。ハブ１３０内のＱＰＳＫモデム・プール１３８は下流データを選択されたＦＤＣに、ＱＰＳＫ手法に基づいて変調する。

上流データ、たとえばアプリケーション・データ、ファイル要求などはＳＤＶＲ ＳＴＴ１５８から中継局１２０へ１つまたは複数のリバース・データ・チャンネル（ｒｅｖｅｒｓｅ ｄａｔａ ｃｈａｎｎｅｌ：ＲＤＣｓ）を経由して送信され、これは同軸ケーブルのリバース通過帯域（ｒｅｖｅｒｓｅ ｐａｓｓｂａｎｄ）、たとえば５−４０ＭＨｚ帯域を占有する。ＲＤＣを通過するデータはＱＰＳＫ手法に従って変調される。ハブ１３０内のＱＰＳＫモデム・プール１３８はデータを含むＱＰＳＫ信号をＲＤＣから受け取り、内在データを中継局１２０に送信する前に必要な復調を実施する。対話型テレビ国際標準作成団体（Ｄｉｇｉｔａｌ Ａｕｄｉｏ Ｖｉｓｕａｌ Ｃｏｕｎｃｉｌ：ＤＡＶＩＣ）により設定された、コンテンション方式接続機構（ｃｏｎｔｅｎｔｉｏｎ−ｂａｓｅｄ ａｃｃｅｓｓ ｍｅｃｈａｎｉｓｍ）、標準設定構成を用いて、各々のＳＴＴは１つのＲＤＣを別のＳＴＴとネットワーク内で共有できる。この機構はＳＴＴ、たとえばＳＤＶＲ ＳＴＴ１５８−１、がＱＰＳＫ変調機への専用接続を使用せずに上流メッセージを送信することを可能とする。この機構はまたＲＤＣを共有するＳＴＴに対して均等な接続を提供し、２つまたはそれ以上のＳＴＴが上流メッセージを同時に送信する際に発生する、逆経路通信衝突を検出し復帰することを可能とする。またＤＡＶＩＣで規定されているように、通信目的に対して、各々のＳＴＴおよびネットワーク制御器２０９はそれらに割り当てられたインターネット・プロトコル（ＩＰ）アドレスで識別される。しかしながら、これらのＩＰアドレスはその広帯域通信システムが再構成される際にランダムに割り当てられる。その結果、ＳＴＴまたはネットワーク制御器２０９のＩＰアドレスはシステム再構成後、変更される可能性がある。それにもかかわらず、各々のＳＴＴおよびネットワーク制御器２０９にはまた、メディア接続制御（ｍｅｄｉａ ａｃｃｅｓｓ ｃｏｎｔｒｏｌ：ＭＡＣ）アドレスが、いかなるシステム再構成にも耐えられるように永久不変形式で割り当てられている。

中継局１２０は、なかんずくプログラム番組処理ユニット２３１、アプリケーション・サーバ２２０、ネットワーク制御器２０９および切り替えユニット２３０を含む。良く知られているやり方で、プログラム番組処理ユニット２３１はプログラム・コンテンツを、異なるプログラム・チャンネルに属する種々の発信源から受け取り、そのプログラム・コンテンツを含む輸送ストリームを、たとえば良く知られているＭＰＥＧ−２手法に従って生成する。ネットワーク制御器２０９の制御の下、輸送ストリームは切り替えユニット２３０で、ハブ１３０内のＱＡＭ変調機バンク１３７の中の適切な変調機に切り替えられ、此処で輸送ストリームは対応する帯域内送信チャンネルに変調され、ネットワーク１５０を介してＳＴＴに配信される。

アプリケーション・サーバ２２０は１つまたは複数のサーバ・システムを含み、これはソフトウェア・アプリケーションおよびサービスをＳＴＴ使用者に提供する。たとえば、アプリケーション・サーバ２２０は１つまたは複数のソフトウェア・アプリケーションを含み、データ・ベース・サービス、ネットワーク管理サービス、対話形式プログラム案内サービス、課金サービスなどを提供する。サーバ２２０はメモリ２２０内に加入者登録、図２に３６０と示されている、を保持している。登録３６０は表形式で図示されており、此処で列３６３は、システム内の各ＳＴＴに対して、そのＳＴＴを識別する１つの識別子（ＳＴＩＤ）を含む。この例において、各ＳＴＴはＭＡＣアドレスで識別されている。たとえば、ＳＤＶＲ ＳＴＴ１５８−１はＭＡＣ−１で表されるＭＡＣアドレスで識別される。列３６４は加入者ＩＤ（たとえば、加入者氏名、ＩＤ番号など）を含み、各々それぞれのＳＴＴに関連するケーブル・テレビ・サービスに対して加入者を識別する。たとえば、行３６８−１を参照すると、ＳＴＴ１５８−１はＳ−１で識別される加入者に関連づけられている。この例において、加入者Ｓ−１は、たとえばＳＤＶＲ ＳＴＴ１５８−１を購入またはリースし、運用者に対してその使用者であると登録した個人である。指定された加入者は複数のＳＴＴに関連づけられる場合があることに注意されたい。行３６８−２を参照すると、たとえばＳＤＶＲ ＳＴＴ１５８−２がまた加入者Ｓ−１に関連づけられている。この例において、加入者Ｓ−１は彼または彼女の家で２番目のＳＴＴを使用するためにＳＳＴ１５８−２を購入またはリースした模様である。

この事例において、アプリケーション・サーバ２２０はまた、信頼されたドメインを実現する接続制御管理２２５を含み、信頼されたドメインには、先に述べた条件付き接続機構の対象となる、加入者の敷地に設置されたＳＤＶＲ ＳＴＴが含まれる。この目的に対して、管理２２５はＳＤＶＲ ＳＴＴそして／または加入者に属する、接続制御関連データを保持する。たとえば、管理２２５はメモリ２２２内にケーブルＴＶシステム内のＳＤＶＲ ＳＴＴに関連する機器公開鍵のライブラリを保持する。ＳＤＶＲ ＳＴＴが加入者に提供される際に、「公開鍵−秘密鍵対」がそのＳＤＶＲ ＳＴＴに対して割り当てられており、これはデータが公開鍵アルゴリズムに基づいて暗号化されることを見越してのことである。ＳＤＶＲ ＳＴＴの「機器秘密鍵」は保護メモリ内に格納されており、一方「機器公開鍵」は管理２２５に、ＳＤＶＲ ＳＴＴの初期化過程中に、ＲＤＣを通して送信される。これに代わって、ＳＤＶＲ ＳＴＴの登録時点で加入者がケーブル運用者にＳＤＶＲ ＳＴＴのシリアル番号を提供し、ケーブル運用者が未だそれを持っていない場合、ケーブル運用者がそのＳＤＶＲ ＳＴＴに関連する公開鍵を照会できるようにしている。機器公開鍵のライブラリが表形式で図３に２７３で図示されている。機器鍵表２７３は列２７６を含み、これはシステム内の各々のＳＤＶＲ ＳＴＴのＳＴＩＤを含み、これはこの事例ではそのＭＡＣアドレスである。たとえば、ＳＤＶＲ ＳＴＴ１５８−１は先に述べたようにアドレスＭＡＣ−１で識別される。列２７７は各々それぞれのＳＴＴに割り当てられた機器公開鍵を登録している。この例において、各機器公開鍵は５１２ビット長である。行２７９−１を参照すると、たとえばＳＴＴ１５８−１にはＤＰＵＢＫＥＹ−１で示される公開鍵が割り当てられている。表２７３は図示のみを目的としたものであることを理解されたい。別の実施例では、異なる識別し、たとえばＩＰアドレスが、ネットワーク内の種々のＳＴＴを識別するために表２７３の中で使用されている。

ＳＤＶＲ ＳＴＴに関連する各々の加入者にはまた、公開鍵アルゴリズムに基づいて別のデータが暗号化されることを見越して、公開鍵−秘密鍵対が割り当てられている。管理２２５は図４中に２８３で表される加入者鍵表を保持している。加入者鍵表２８３は列２８６を含み、これはＳＤＶＲ ＳＴＴ、たとえばＳ−１，Ｓ−２，Ｓ−３等に関連する各々の加入者の識別子を列挙している。列２８７および列２８８はそれぞれ、各加入者に割り当てられた「加入者公開鍵」および「加入者秘密鍵」の対の片側である。行２８９−１を参照すると、たとえば加入者Ｓ−１にはＳＰＵＢＫＥＹ−１と表される加入者公開鍵と、ＳＰＲＩＫＥＹ−１と表される加入者秘密鍵とが割り当てられている。このような鍵の対は加入者がサービス登録する際にケーブル運用者から各加入者に割り当てられる。加入者秘密鍵は秘密にされなければならないので、表２８３は管理２２５の保護メモリ２２７内に保持される。

図５は本発明に基づく一般的ＳＤＶＲ ＳＴＴ（たとえば１５８−１）の構成要素を図示し、これはなかんずくプロセッサ３３０、インタフェース２５０、メモリ２１０、記憶装置６１０、および暗号化モジュール１６５を含む。プロセッサ３３０はＳＤＶＲ ＳＴＴ１５８−１の動作を統合指揮する。インタフェース２５０はケーブル・モデム２５８を含み、帯域内チャンネルおよびＦＤＣからのプログラム・コンテンツおよびデータを含む信号の復調と、ＲＤＣへのデータ信号の変調を行うことができる。インタフェース２５０はまた、プログラム・コンテンツとデータを送信または受信するために必要な、その他の良く知られているフォーマッティングおよびリフォーマッティング機能も実行する。

メモリ２１０は種々のソフトウェア・アプリケーションおよびデータを格納しており、たとえばＳＤＶＲ ＳＴＴ１５８−１の基本機能を提供するオペレーティング・システム（図示せず）、ＳＤＶＲ ＳＴＴ１５８−１を識別するＳＴＩＤ２１４、これはこの事例ではそのＭＡＣアドレスＭＡＣ−１である、を含む。

ＳＴＴ１５８−１に割り当てられた先に述べた機器秘密鍵、すなわちＤＰＲＩＫＥＹ−１、は暗号化モジュール１６５内の保護メモリ２１２の中に、無警告で容易にまた確実に発見または改ざんされないような方式で記憶されている。一方ＳＴＴ１５８−１に割り当てられた機器公開鍵、すなわちＤＰＵＢＫＥＹ−１のコピーが先に述べたように中継局１２０の表２７３の中に登録されていて、メモリ２１０内に記憶されており、これは登録メッセージ（「ＳＴＴ登録メッセージ」）内に含まれている。メモリ２１０はまたケーブル運用者に関する公開鍵、ＯＰＵＢＫＥＹ６２２２も格納しており、これは本発明に基づく多層権利管理を実現するためである。

記憶装置６１０はプログラム・コンテンツを格納するために使用され、この事例ではこれは取り外し可能ハードディスク・ドライブである。記憶装置６１０はその他の形式のメモリ、たとえばデジタル・ビデオディスク（ＤＶＤ）、メモリ・スティック、ネットワーク型記憶装置等を含むことは理解されよう。プロセッサ３３０はまた、選択されたプログラム・コンテンツを１つまたは複数のメディアファイルに録画しそれらを記憶装置６１０内に格納するようなＤＶＲ機能も実行する。この事例において、メディアファイルはコンテンツ・ファイルおよびそれに関連する権利ファイルを含む。用語「コンテンツ・ファイル」は、此処では区別可能な個数のプログラム・コンテンツを保持する入れ物（ｃｏｎｔａｉｎｅｒ）を言う。コンテンツ・ファイルは、たとえば「市民ケーン」のような映画のデジタル録画版を含む。権利ファイルは拡張マークアップ言語（Ｅｘｔｅｎｓｉｂｌｅ Ｍａｒｋｕｐ ｌａｎｇｕａｇｅ：ＸＭＬ）ファイル、バイナリーファイル、テキストファイル等であり、これはメディアファイルの「ヘッダー」の一部を形成する。以下に詳しく説明するが、権利ファイルはプログラム・コンテンツに関して使用する権利の仕様を含む。この権利仕様はケーブル運用者によって作成される場合もあり、その場合プログラム番組処理ユニット２３１によって関連するプログラム・コンテンツを含むプログラム・ストリームの中に挿入される。これに代わって、その権利仕様がプログラム・コンテンツの発信源、たとえばＴＶ放映会社により作成される場合、権利仕様および関連するプログラム・コンテンツは共にユニット２３１で受け取られるプログラム・ストリームの中に含まれる。いずれの場合も、プログラム・コンテンツはＳＴＴ１５８−１に供給される際に関連する権利仕様を伴っている。ケーブル運用者は加入者にプログラム・コンテンツを無制限に保存する権利を与えると、しばしば許容できない量の不正コピーが行われることに気付いている。

従って、先に述べた条件付き接続機構は、そのような不正コピーが防止される信頼されたドメインを生成することにより実現されている。この機構によれば、暗号化モジュール１６５はコンテンツ鍵、たとえば３ＤＥＳ鍵を生成し、３ＤＥＳアルゴリズムに基づいてプロセッサ３３０から提供されるメディアファイルを格納する前に暗号化する。この図示を目的とした実施例では、各それぞれのメディアファイルを暗号化するために異なる鍵が生成されている。しかしながら、同一記憶装置内の全てのメディアフィルを暗号化するために単一のコンテンツ鍵を利用できることも理解されよう。また単一のメディアフィルを暗号化するために複数のコンテンツ鍵を使用できることも理解されよう。

加えて、モジュール１６５は各々生成されたコンテンツ鍵を暗号化して「暗号化されたコンテンツ鍵版１（Ｖ−１）」および「暗号化されたコンテンツ鍵版２（Ｖ−２）」を形成し、その暗号化されたコンテンツ鍵版（図６でそれぞれ６０３および６０４と示されている）を、対応する暗号化されたメディアフィル６０６と一緒に（すなわち、コンテンツ鍵の暗号化使用）、記憶装置６１０に格納する。図６に示されるように、メディアフィル６０６は暗号化されたプログラム・コンテンツを含む暗号化されたコンテンツ・ファイル６０２と、権利の仕様を含む暗号化された権利ファイル６０１を含み、これは暗号化されてはいるがファイル６０２内のそのようなプログラム・コンテンツを別の層内、たとえば信頼されたドメイン外の機器で、本発明に基づき使用するためである。この図示を目的とした実施例において、暗号化されたコンテンツ鍵Ｖ−１は、コンテンツ鍵をＳＤＶＲ ＳＴＴ１５８−１に割り当てられた機器公開鍵（すなわち、ＤＰＵＢＫＥＹ−１）で暗号化して形成される。一方、暗号化されたコンテンツ鍵Ｖ−２は、コンテンツ鍵を本事例ではＳＤＶＲ ＳＴＴ１５８−１に関連する、加入者Ｓ−１に割り当てられた加入者公開鍵（すなわち、ＳＰＵＢＫＥＹ−１）で暗号化して形成される。

一例として、加入者Ｓ−１がＳＤＶＲ ＳＴＴ１５８−１に指定のプログラム・コンテンツ、たとえば映画「市民ケーン」がケーブル・ネットワーク１５０上で放映されるので、それを録画するように指令する場合を考える。従って、プロセッサ３３０はインタフェース２５０から受け取った指定された映画コンテンツと権利仕様とを含むメディアフィルを生成する。図７はメディアフィルを暗号化し格納するための処理ルーチンを示す流れ図である。この処理ルーチンによれば、暗号化モジュール１６５はステップ３０８において、指定されたメディアフィルに関連する先に述べたコンテンツ鍵を生成する。ステップ３１０において、モジュール１６５はそのコンテンツ鍵を用い、先に述べた３ＤＥＳアルゴリズムに基づいてメディアフィルを暗号化する。ステップ３１５において、モジュール１６５は暗号化されたメディアフィル６０６を記憶装置６１０内に格納する。ステップ３１８において、暗号化モジュール１６５は機器公開鍵ＤＰＵＢＫＥＹ−１をメモリ２１０からリトリーブする。ステップ３２０において、モジュール１６５はＤＰＵＢＫＥＹ−１を用い、コンテンツ鍵を第１公開鍵アルゴリズム、たとえばＲＳＡアルゴリズムに基づいて暗号化する。先に述べたように、結果として生成される暗号化されたコンテンツ鍵は「暗号化されたコンテンツ鍵Ｖ−１」と呼ばれる。ステップ３２５において、モジュール１６５は６０３と表される暗号化されたコンテンツ鍵Ｖ−１を記憶装置６１０内に格納する。１つの実施例において、暗号化されたコンテンツ鍵Ｖ−１は暗号化されたメディアフィルに関連するメタデータの形式で格納される。

６０４で表される暗号化されたコンテンツ鍵Ｖ−２を生成するために、モジュール１６５は記憶装置６１０から暗号化されたコンテンツ鍵Ｖ−１を、保護メモリ２１２から機器秘密鍵ＤＰＲＩＫＥＹ−１を、そしてメモリ２１０から、この事例ではＭＡＣ−１であるＳＴＩＤ２１４をリトリーブする。モジュール１６５は、暗号化されたコンテンツ鍵Ｖ−１を復号化するためにＤＰＲＩＫＥＹ−１を用い、これによりコンテンツ鍵を明確に復元する。次にモジュール１６５はこのコンテンツ鍵を中継局１２０にＲＤＣを介して安全を保証した方式で送信する。コンテンツ鍵をＳＴＴ１５８−１から中継局１２０へ安全を保証して送信することは、従来技術による暗号化技術、たとえば従来技術による公開鍵暗号化技術を用いて実施可能であり、此処でシステム秘密鍵は中継局１２０内に格納されており、対応するシステム公開鍵は公開され、ＳＤＶＲ ＳＴＴ１５８−１を含む全てのＳＴＴ内に格納される。この事例において、ＳＤＶＲ ＳＴＴ１５８−１内のモジュール１６５は、アプリケーション・サーバ２２０内の接続制御管理２２５に、ＳＴＩＤ２１４を含むメッセージと、従来技術公開鍵暗号化技術に基づき、システム公開鍵を用いて暗号化されたコンテンツ鍵を送信する。

図８は１つの実施例に基づき暗号化されたコンテンツ鍵Ｖ−２を生成するための処理ルーチンを示す流れ図である。ステップ４２７において、管理２２５は暗号化されたコンテンツ鍵とＳＴＩＤ２１４とをＳＤＶＲ ＳＴＴ１５８−１からのメッセージに含めて受け取り、ステップ４３０で、先に述べたシステム秘密鍵を用いて、暗号化されたコンテンツ鍵を復号化し、コンテンツ鍵を明確に復元する。ステップ４３１において、管理２２５は加入者登録３６０に問い合わせ、ＳＴＩＤ２１４、この事例ではＭＡＣ−１、を使用し関連する加入者ＩＤ、この事例ではＳ−１を決定する。ステップ４３２において、管理２２５は加入者鍵表２８３から加入者公開鍵、Ｓ−１に関連するＳＰＵＢＫＥＹ−１をリトリーブする。ステップ４３５において、管理２２５は加入者公開鍵ＳＰＵＢＫＥＹ−１を用い、第２公開鍵アルゴリズムに基づいてコンテンツ鍵を暗号化し、これによって暗号化されたコンテンツ鍵Ｖ−２を生成する。ステップ４４０において、管理２２５は暗号化されたコンテンツ鍵Ｖ−２をＳＤＶＲ ＳＴＴ１５８−１にＦＤＣを経由して送信する。

暗号化されたコンテンツ鍵Ｖ−２を管理２２５から受け取った後、モジュール１６５は６０４と表示される暗号化されたコンテンツ鍵Ｖ−２を記憶装置６１０内に格納する。１つの実施例において、暗号化されたコンテンツ鍵Ｖ−２は暗号化されたメディアフィル６０６に関連するメタデータの形式で格納される。暗号化されたコンテンツ・ファイル６０２を復号化して、映画「市民ケーン」コンテンツを視聴するために、モジュール１６５は関連する暗号化されたコンテンツ鍵Ｖ−１（６０３）を、メモリ２１２内のＤＰＲＩＫＥＹ−１を用いて復号化し、これによりコンテンツ鍵が明確に復元される。次にモジュール１６５は、暗号化されたコンテンツ・ファイル６０２を復号化するために復元されたコンテンツ鍵を適用する。

これに代わって、ＳＴＴ１５８−１に加入者公開鍵ＳＰＵＢＫＥＹ−１が与えられる場合がある。暗号化されたコンテンツ鍵Ｖ−１を生成するために使用されたのと類似の処理で、モジュール１６５はＳＰＵＢＫＥＹ−１を用いて暗号化されたコンテンツ鍵Ｖ−２を生成する。

信頼されたドメイン内での暗号化されたメディアフィル６０６の可搬性を示すために、加入者Ｓ−１がＳＤＶＲ ＳＴＴ１５８−２を彼または彼女の家で第２ＳＴＴとして使用するために購入したと仮定すると、彼または彼女はそのメディアフィルをＳＤＶＲ ＳＴＴ１５８−２に転送し、ＳＤＶＲ ＳＴＴ１５８−２に接続されたテレビ上で番組を観たいと望むに違いない。これに代わって、ＳＤＶＲ ＳＴＴ１５８−１が故障するか何らかの理由で機能しなくなったと仮定すると、加入者Ｓ−１は格納されているプログラム・コンテンツを観るためにＳＤＶＲ ＳＴＴ１５８−２を使用したいと望むはずである。加入者Ｓ−１にこれらの様な制限された目的用にプログラム・コンテンツのコピーを許すために、条件付きアクセス機構は暗号化されたコンテンツ鍵Ｖ−２（６０４）に依存して、これはいずれかの個別の機器に関連するものではなく、第１機器（たとえばＳＴＴ１５８−１）上に格納されているプログラム・コンテンツを信頼されたドメイン内の第２機器（たとえばＳＴＴ１５８−２）に「移動」させる。特に、第２機器がＳＴＴ１５８−２内で暗号化されたメディアファイルのコピーを復号化するためのコンテンツ鍵を獲得するために、後者はそれに関連する暗号化されたコンテンツ鍵Ｖ−１が必要である。ＳＴＴ１５８−２に関するコンテンツ鍵は、ＳＴＴ１５８−２に関連する加入者がまたＳ−１で有る場合、暗号化されたコンテンツ鍵Ｖ−２（６０４）から首尾良く導出可能であり、これは今回事例に相当し図２の加入者登録３６０で反映されている。登録３６０の行３６８−１および３６８−２を参照すると、この事例ではＭＡＣ−１アドレスを有するＳＴＴ−１とＭＡＣ−２アドレスを有するＳＴＴ−２とは両者共にＳ−１に関連している。

図９内のＳＤＶＲ ＳＴＴ１５８−２が記憶装置９１０内に暗号化されたメディアフィル６０６（暗号化されたコンテンツ・ファイル６０２を含む）のコピーと、ＳＤＶＲ ＳＴＴ１５８−１からの暗号化されたコンテンツ鍵Ｖ−２（６０４）を有し（たとえば、物理的に記憶装置６１０をＳＤＶＲ ＳＴＴ１５８−１からＳＤＶＲ ＳＴＴ１５８−２へ移動する、すなわち記憶装置６１０は記憶装置９１０と同じ）、ＳＴＴ１５８−２の暗号化モジュール９６５が暗号化されたコンテンツ鍵Ｖ−２（６０４）を記憶装置９１０から、またＳＴＩＤ９１４をメモリ９９０からリトリーブすると仮定する。モジュール９６５は暗号化されたコンテンツ鍵Ｖ−２（６０４）とＳＴＩＤ９１４を含むメッセージを中継局１２０へ送信する。

中継局１２０において、暗号化されたコンテンツ鍵Ｖ−２（６０４）はＳＤＶＲ ＳＴＴ１５８−２に関連する暗号化されたコンテンツ鍵Ｖ−１を生成するために使用され、これはＳＴＴ１５８−２がコンテンツ・ファイル６０２を含む暗号化されたメディアフィル６０６を復号するためのコンテンツ鍵を導出するために必要である。図１０は本発明の１つの実施例に基づき、ＳＴＴ１５８−２に関連する暗号化されたコンテンツ鍵Ｖ−１を生成するための処理ルーチンを表す流れ図である。ステップ５７１において、中継局１２０内の管理２２５は新たなＳＴＴ１５８−２から暗号化されたコンテンツ鍵Ｖ−２（６０４）とＳＴＩＤ９１４とを受け取る。ステップ５７２において、管理２２５は加入者登録３６０に照会し、ＳＴＩＤ９１４（すなわちＭＡＣ−２）を用いて対応する加入者ＩＤ（すなわちＳ−１）を判定する。ステップ５７３において、管理２２５は加入者鍵表２８３から加入者Ｓ−１に関連する加入者秘密鍵ＳＰＲＩＫＥＹ−１をリトリーブする。ステップ５７４において、管理２２５は加入者秘密鍵を用いて暗号化されたコンテンツ鍵Ｖ−２（６０４）を復号し、これによりコンテンツ鍵を明確に復元する。

ステップ５７６において、管理２２５は機器鍵表２７３に照会し、ＳＴＩＤ９１４に関連する機器公開鍵ＤＰＵＢＫＥＹ−２、この事例ではＭＡＣ−２である、をリトリーブする。ステップ５７７において、管理２２５はＳＴＴ１５８−２に関連する機器公開鍵ＤＰＵＢＫＥＹ−２を用いてコンテンツ鍵を暗号化する。その結果のコンテンツ鍵の暗号化された版は「新機器（ｎｅｗ−ｄｅｖｉｃｅ：ＮＤ）暗号化されたコンテンツ鍵バージョン１（Ｖ−１）」と呼ばれる。ステップ５７９において、管理２２５はこのＮＤ暗号化されたコンテンツ鍵Ｖ−１をＳＴＴ１５８−２へＦＤＣを通して送信する。

ＳＤＶＲ ＳＴＴ１５８−２内のモジュール９６５はＮＤ暗号化されたコンテンツ鍵Ｖ−１を中継局１２０から受け取る。モジュール９６５はＮＤコンテンツ鍵Ｖ−１を記憶装置９１０に格納する。後のいずれかの時点で、モジュール９６５は機器公開鍵ＤＰＵＢＫＥＹ−２をメモリ９１２からリトリーブし、それを用いてＮＤ暗号化されたコンテンツ鍵Ｖ−１を復号化してコンテンツ鍵を復元する。モジュール９６５は次にそのコンテンツ鍵を用いて暗号化されたメディアフィル６０６、特にコンテンツ・ファイル６０２を「市民ケーン」映画コンテンツを視聴するために復号化する。

信頼されたドメイン外の機器（たとえばＰＭＤ）が保護コンテンツを信頼されたドメイン内（たとえばＳＤＶＲ ＳＴＴ）の他の機器から受け取るためには、両機器共に本発明に基づく多層権利構造に適合する用意が必要である。たとえば、多層権利構造の下で各々のそのようなＰＭＤにはその機器の安全保障を表す安全保障レベルが割り当てられている。１つのＰＭＤには安全保障レベル「１」（低信頼レベル）が割り当てられていて、この場合そのＰＭＤは「安全保障レベル１」機器と呼ばれる。同様に、「安全保障レベル２」機器は中信頼レベルに関連し、「安全保障レベル３」機器は高信頼レベルに関連する。機器の安全保障レベルは指定された保護コンテンツに関して許容される権利一式を判定する。

個別の機器に割り当てられる安全保障レベルは、たとえばケーブル運用者と機器の製造者との間の契約により決定され、ケーブル運用者がそれぞれの機器に許容する信頼のレベルを表す。従って、ケーブル運用者は、たとえばコンテンツを送受信する際に高度暗号技術を使用しコンテンツ・ファイルを保護メモリ内に保持する機器に、安全保障レベル３を割り当てるはずである。一方、コンテンツの送受信の際に通常暗号手法を使用しない高精細度テレビには安全保障レベル１を割り当てるであろう。

例として、使用者が映画「市民ケーン」のコピーを信頼されたドメイン内のＳＴＴ１５８−１から、信頼されたドメイン外のＰＭＤに転送を望んでいると想定する。この例において、このＰＭＤが安全保障レベル１機器の場合、映画コンテンツを受け取ることは認証されていない。このＰＭＤが安全保障レベル２機器の場合、映画コンテンツを受け取ることは認証されているが、映画を再生する権利、およびその映画を他の機器へ転送する権利は制限されている。このＰＭＤがレベル３機器の場合、映画コンテンツを受け取ることは認証されており、加えて映画を再生しそれを他の機器へ転送する無制限の権利を有する（他の機器それぞれの安全保障レベルに関する権利を前提として）。

図１１は１２６０で表されるＰＭＤの構成要素を図示する。ＰＭＤ１２６０は別のメディア機器、たとえばＳＤＶＲ ＳＴＴ１５８−１からデータを受け取ることが可能であり、多層権利構造に基づいて動作する。ＰＭＤ１２６０はプロセッサ１２６２、インタフェース１２６４、メモリ１２６６および暗号化モジュール１２８０を含む。ケーブル運用者の公開鍵のコピー、ＯＰＵＢＫＥＹ１２７１，およびＰＭＤ自身の公開鍵、ＰＭＤ−ＰＵＢＫＥＹ１２７９はメモリ１２６６内に格納されている。この事例では、ＰＭＤ−ＰＵＢＫＥＹ１２７９は登録メッセージ（「ＰＭＤ登録メッセージ」）に含まれており、これはまたなかんずくＰＭＤ１２６０の安全保障レベルに関するデータも含む。ＰＭＤ−ＰＵＢＫＥＹ１２７９の相手側の秘密鍵、すなわちＰＭＤ−ＰＲＩＫＥＹ１２８５、は保護メモリ１２８２内に格納されている。ＰＭＤ１２６０はまた記憶装置１２９３を含み、これは、たとえばハードディスク駆動装置である。

ＰＭＤ１２６０の使用者がそこに映画「市民ケーン」のコピーをＳＤＶＲ ＳＴＴ１５８−１から転送するよう要求すると仮定する。これに対応してＳＤＶＲ ＳＴＴ１５８−１およびＰＭＤ１２６０は彼らのそれぞれの登録メッセージを用いて認証手順を実行する。ＳＴＴ１５８−１およびＰＭＤ１２６０は、それらのそれぞれの公開鍵のみならず認証対象であるデジタル署名を含む、ＳＴＴ登録メッセージとＰＭＤ登録メッセージを保持する。１つの機器（ＳＴＴ１５８−１またはＰＭＤ１２６０）がその登録メッセージを通信の中でもう一方の機器（ＰＭＤ１２６０またはＳＴＴ１５８−１）へ送り、その通信を受け取った機器は、登録メッセージ内に含まれるそのデジタル署名を、ケーブル運用者の公開鍵を用いて復号化し、送信機器の識別子と権限とを認証する。受信機器はまた送信機器の公開鍵を登録メッセージから獲得する。通信には２つまたはそれ以上の登録メッセージが包含されていて、階層化メッセージ連鎖を形成している場合があり、此処で１つの登録メッセージは先行メッセージの信頼性を立証する。ライセンス階層の終端は最上位レベルライセンス権限（たとえばケーブル運用者）であり、これは他のライセンス権限からのメッセージを必要とすることなく信頼される。

ＰＭＤ１２６０はＳＤＶＲ ＳＴＴ１５８−１に映画「市民レケーン」の要求を提示し、ＳＤＶＲ ＳＴＴ１５８−１内のプロセッサ３３０はＰＭＤ１２６０が自身で認証するよう要求する。これに応じて、ＰＭＤ１２６０内のプロセッサ１２６２はＰＭＤ−ＰＵＢＫＥＹ１２７９を含むＰＭＤ登録メッセージをＳＤＶＲ ＳＴＴ１５８−３へ送信する。ＳＤＶＲ ＳＴＴ１５８−１内のプロセッサ３３０はＯＰＵＢＫＥＹ６２２２をメモリ２１０からリトリーブし、ＰＭＤ登録メッセージを復号化するためにそれを使用し、これによりライセンス階層を通してそのメッセージを認証する。ＳＤＶＲ ＳＴＴ１５８−１は加えて、ＰＭＤ−ＰＵＢＫＥＹ１２７９をＰＭＤ登録メッセージから獲得する。

ライセンス階層を通してＰＭＤ１２６０の認証を行った後、ＳＤＶＲ ＳＴＴ１５８−１内のプロセッサ３３０はそれ自身の公開鍵、ＤＰＵＢＫＥＹ−１，を含むＳＴＴ登録メッセージをＰＭＤ１２６０へ送る。ＰＭＤ１２６０内のプロセッサ１２６２はＯＰＵＢＫＥＹ１２７１をメモリ１２６６からリトリーブし、ＳＴＴ登録メッセージに含まれるデジタル署名を復号化するためにそれを使用し、これによりライセンス階層を通してそれを認証し、ＤＰＵＢＫＥＹ−１を得る。

別の実施例によれば、ＰＭＤ登録メッセージはユニークな機器識別子（「ＰＭＤ機器ＩＤ」）同様にＰＭＤ−ＰＵＢＫＥＹ１２７９およびＰＭＤ１２６０の安全保障レベルに関するデータを含む。この事例において、ＳＤＶＲ ＳＴＴ１５８−１がＰＭＤ登録メッセージを受け取る際、ＳＤＶＲ ＳＴＴ１５８−１はそのメッセージを中継局１２０内のネットワーク制御器２０９へ送信する。制御器２０９は格納されている表に照会し、これは有効機器識別子、および各々の関連する機器の公開鍵のリストを含む。制御器２０９は、登録メッセージに含まれるＰＭＤ機器ＩＤとＰＭＤ−ＰＵＢＫＥＹ１２７９が有効であるか否か確認し、ＰＭＤ１２６０の状態をＳＤＶＲ ＳＴＴ１５８−１へ報告する。ＰＭＤ１２６０が認証済み機器と判定されると仮定すると、ＳＤＶＲ ＳＴＴ１５８−１内のプロセッサ３３０はそれ自身の公開鍵、ＤＰＵＢＫＥＹ−１を含むＳＴＴ登録メッセージを、ＰＭＤ１２６０へ送信する。

ＰＭＤの公開鍵に加えて、ＳＤＶＲ ＳＴＴ１５８−１はＰＭＤ１２６０の安全保障レベルに関するデータをＰＭＤ登録メッセージから獲得する。この例ではＳＤＶＲ ＳＴＴ１５８−１が、ＰＭＤＰＭＤ登録メッセージによりＰＭＤ１２６０が安全保障レベル２機器であると判定すると仮定しよう。プロセッサ３３０が暗号化モジュール１６５に対して記憶装置６１０内のメディアフィル６０６を、先に述べた方法で復号させ、要求された映画コンテンツを含むコンテンツ・ファイルと関連する権利ファイルとを明瞭な形で作り出させる。しかしながら、全てのコンテンツおよび権利ファイルがＰＭＤ１２６０へ送信される前に、これらのファイルは再びＳＤＶＲ ＳＴＴ１５８−１内で生成されたランダムセッション（ｒａｎｄｏｍ ｓｅｓｓｉｏｎ）鍵を用いて暗号化され、結果「セッション暗号化」コンテンツおよび権利ファイルとなる。暗号化モジュール１６５は加えてそのセッション鍵をＰＭＤ−ＰＵＢＫＥＹ１２７９を用いて暗号化する。ＳＤＶＲ ＳＴＴ１５８−１は暗号化されたセッション鍵をＰＭＤ１２６０へ、セッション暗号化コンテンツおよび権利ファイルと共に送信する。ＰＭＤ１２６０内のプロセッサ１２６２はＰＭＤ−ＰＲＩＫＥＹ１２８５を保護メモリ１２８２からリトリーブし、それを用いて受け取った暗号化されたセッション鍵を復号化する。暗号化モジュール１２８０は復元されたセッション鍵を用いて受け取ったセッション暗号化コンテンツおよび権利ファイルを復号化し、その結果コンテンツ・ファイル１５２５および権利ファイル１５５０が明瞭な形で記憶装置１２９３内に作られる。従って、この事例ではコンテンツ・ファイル１５２５は要求された映画「市民ケーン」のデジタル版を含む。権利ファイル１５５０は、コンテンツ・ファイル１５２５に関して種々の機器に許される１つまたは複数の組の権利を規定する。図１２は権利ファイル１５５０を図示し、これは複数のデータ・ファイルを含む。ファイル５１００−５１２０は関連するコンテンツは関連するコンテンツの記述的な情報を含む。たとえば、コンテンツ形式フィールド５１００は関連するコンテンツの型式（映画）；タイトル・フィールド５１１０は映画のタイトル（市民ケーン）；俳優フィールド５１２０はその映画の俳優の名前を含む、など。

フィールド５１９０内のデータは１つのＳＴＴ、たとえばＳＤＶＲ ＳＴＴ１５８−１に許可された転送権利を規定する。この例ではフィールド５１９０は「２，３」を含み、１つのＳＴＴは安全保障レベル２機器および安全保障レベル３機器へコンテンツを転送することを認証されていることを示している。

フィールド５２１０−５４３０内のデータは、その関連するコンテンツ、すなわちコンテンツ・ファイル１５２５に関連する３つの個別の権利の組を規定する：第１の権利の組は安全保障レベル１機器用であり、第２の権利の組は安全保障レベル２機器用であり、そして第３の権利の組は安全保障レベル３機器用である。この例において、安全保障レベル１機器は関連する権利は何も得られない；従って安全保障レベル１機器はそのコンテンツを他の機器へ転送することは出来ず（フィールド５２１０）、そのコンテンツを一瞬たりとも再生することが出来ない（フィールド５２２０）。安全保障レベル１機器がそのコンテンツを他の機器に転送することを許されている回数はゼロである（フィールド５２３０）。

フィールド５３１０−５３３０は安全保障レベル２機器に許容された権利一式を規定する。フィールド５３１０は安全保障レベル２機器が許されている機器は、関連するコンテンツを転送することを明記している。この事例では、フィールド５３１０は値「２，３」を含み、安全保障レベル２機器は関連するコンテンツを安全保障レベル２機器または安全保障レベル３機器に転送しても良いことを示している。再生時間フィールド５３２０は安全保障レベル２機器がその関連するコンテンツを再生する期間を示す。この期間はＰＭＤ１２６０がコンテンツ・ファイル１５２５のコピーを受け取った時点から開始される。この事例では、安全保障レベル２機器はそのコンテンツを受け取ってから７２時間の間再生出来る。フィールド５３３０によれば、安全保障レベル２機器はその関連するコンテンツを他の機器に３回転送することを許されている。

フィールド５４１０−５４３０は安全保障レベル３機器に許容された権利一式を規定する。安全保障レベル３機器はそのコンテンツを安全保障レベル３機器に転送することは認証されているが、安全保障レベル１機器または安全保障レベル２機器へは認められていない（フィールド５４１０）。安全保障レベル３機器がそのコンテンツを再生出来る時間に関しての制限は無い（フィールド５４２０）。フィールド５４３０によれば、安全保障レベル３機器はコンテンツを他の機器に回数制限無しで転送できる。

図１３は、本発明の第１の実施例に基づき、信頼されたドメイン内の１つのＳＴＴ、たとえばＳＤＶＲ ＳＴＴ１５８−１が信頼されたドメイン外の他の機器、たとえばＰＭＤ１２６０へコンテンツを転送する処理ルーチンを表す流れ図である。ＰＭＤ１２６０から映画「市民ケーン」の要求を受けた後（ステップ１７１０）、ＳＤＶＲ ＳＴＴ１５８−１はＰＭＤ１２６０を認証してその機器の安全保障レベルを、先に説明した方法で判定する（ステップ１７３０）。ステップ１７３５において、ＳＤＶＲ ＳＴＴ１５８−１はその要求されたコンテンツを含むメディアフィル６０６にアクセスする。

ステップ１７４０において、ＳＤＶＲ ＳＴＴ１５８−１は要求されたコンテンツに関連する権利ファイルを調べ、ファイル６０１を先に述べた方法でそのコンテンツ鍵で復号化し、ＳＤＶＲ ＳＴＴ１５８−１自身が、ファイル６０２内のその映画コンテンツをＰＭＤ１２６０へ転送することを認証されているか否かを判定する。図１２のフィールド５１９０を参照すると、ＳＴＴは映画コンテンツを全ての安全保障レベル２機器または安全保障レベル３機器へ転送することを認証されている。ＰＭＤ１２６０はこの事例では安全保障レベル２機器なので、ＳＤＶＲ ＳＴＴ１５８−１はそのコンテンツをＰＭＤ１２６０へ転送するはずである。従ってブロック１７５０を参照すると、処理ルーチンはステップ１７６０へ進み、此処でＳＤＶＲ ＳＴＴ１５８−１はコンテンツ・ファイルと関連する権利ファイルのコピーをＰＭＤ１２６０へ提供する（これは暗号化されたコンテンツおよび権利ファイルを上記のセッション鍵と共に含むはずである）。再びブロック１７５０を参照すると、ＰＭＤ１２６０が十分高い権利レベルを持たない場合、そのコンテンツは転送できない。そのような場合、ＰＭＤ１２６０は所望のコンテンツを受け取ることを認証されていないことを通知し、処理ルーチンは終了する。

図１４は、本発明の第２の実施例に基づき、信頼されたドメイン内の１つのＳＴＴ、たとえばＳＤＶＲ ＳＴＴ１５８−１が信頼されたドメイン外の他の機器、たとえばＰＭＤ１２６０へコンテンツを転送する処理ルーチンを表す流れ図である。コンテンツの要求を機器からステップ１８１０で受け取った後、ＳＤＶＲ ＳＴＴ１５８−１はステップ１８３０で要求元機器を認証する。ステップ１８３５において、ＳＤＶＲ ＳＴＴ１５８−１は、要求されたコンテンツを含むメディアフィル６０６にアクセスする。ステップ１８６０において、ＳＴＴ１５８−１は要求されたコンテンツを含むコンテンツ・ファイルと関連する権利ファイルのコピーをＰＭＤ１２６０へ提供し、その結果コンテンツ・ファイル１５２５と権利ファイル１５５０とが記憶装置１２９３内に生成される。この第２実施例において、権利ファイル１５５０内の適切な権利一式に関連して作用する全ての責任は、要求元機器、すなわちＰＭＤ１２６０に任されている。たとえば、たとえ安全保障レベル１機器（たとえば、ＨＤＴＶテレビ）が映画「市民ケーン」をＳＤＶＲ ＳＴＴ１５８−１から要求したとしても、この第２実施例ではＳＤＶＲ ＳＴＴ１５８−１はコンテンツと権利ファイルのコピーとを、そのＨＤＴＶテレビが最小安全保障レベル要求（この事例では、これは２である）を満たしているか否か判定することなく自動的に提供する。このＨＤＴＶテレビは続いてその権利ファイル１５５０のコピーを調べ、その映画コンテンツを保持、再生または転送する権利を持たないことを判定し、それに従って行動する。

コンテンツ・ファイル１５２５に関するその動作が、権利ファイル１５５０内に規定された権利に適合するように、ＰＭＤ１２６０はコンテンツ活動データ・ベース１２７４をメモリ１２６６内に保持する。ファイル１５２５および１５５０を受け取った後、ＰＭＤ１２６０はコンテンツ活動データ・ベース１２７４内に、図１５に示すようなコンテンツ活動記録を、権利ファイル１５５０内のデータに基づき生成する。図１５を参照すると、記録１７２０はフィールド１７３０−１７３２を含み、これはコンテンツの形式、映画のタイトル、映画の俳優名をそれぞれ含む。ＰＭＤ１２６０はこの事例では安全保障レベル２機器であるので、プロセッサ１２６２は権利ファイル１５５０からコンテンツ活動記録１７２０に、安全保障レベル２機器に関する情報を抽出する。従って、たとえばコンテンツ活動記録１７２０のフィールド１７５６は、ＰＭＤ１２６０がコンテンツ・ファイル１５２５を安全保障レベル２機器または安全保障レベル３機器へ転送できることを示す。フィールド１７５８はＰＭＤ１２６０がコンテンツ・ファイル１５２５を７２時間に渡って再生できることを示している。フィールド１７５９はＰＭＤ１２６０がコンテンツ・ファイル１５２５を他の機器へ３度まで転送できることを示している。

加えてプロセッサ１２６２はフィールド１７７２の中に、そのコンテンツを受け取った、すなわちコンテンツ・ファイル１５２５が記憶装置１２９３に受け取られた日時を記録する。プロセッサ１２６２は加えて、フィールド１７７３内で指定される、終了時限値を表す終了時限を、フィールド１７５８内の再生時間をフィールド１７７２内の受け取り日時に加算して計算する。結果はフィールド１７７３に記録され、後ほどコンテンツ・ファイル１５２５が権利ファイル１５５０で許容された時限を超えて再生されないように保証する。プロセッサ１２６２はまた転送回数値をフィールド１７７６にゼロを入力することにより初期化する；この値は後ほどＰＭＤ１２６０がコンテンツ・ファイル１５２５を他の機器へ転送する毎に１増加更新される。

従って、ＰＭＤ１２６０はコンテンツ・ファイル１５２５に関するその活動を統制するためにコンテンツ活動記録１７２０を使用する。同時に、ＰＭＤ１２６０がコンテンツ・ファイル１５２５に関する動作を実施するたびに、プロセッサ１２６２は記録１７２０を更新する。例として、コンテンツ・ファイル１５２５を受け取った後に、使用者がＰＭＤ１２６０で映画「市民ケーン」を再生しようとすると仮定する。図１６を参照すると、所望のコンテンツの再生要求を受け取った後（ステップ１９１０）、プロセッサ１２６２はコンテンツ活動データ・ベース１２７４にアクセスし、活動記録１７２０の内容を調べる（ステップ１９２０）。ステップ１９３０において、プロセッサ１２６２はフィールド１７７３内の終了時限値を調べる。ブロック１９４０を参照すると、現在時刻が終了時限値以降の場合、プロセッサ１２６２はステップ１９７５へ進み、使用者にＰＭＤ１２６０が、関連する時限が切れているために要求されたコンテンツの再生を認証されていないことを通知する。現在時刻が終了時限値前の場合、プロセッサ１２６２はコンテンツ・ファイル１５２５にアクセスし、ステップ１９５０において、映画「市民ケーン」を再生させる。

使用者が映画「市民ケーン」のコピーを別の機器、たとえばパーソナル・コンピュータ（ＰＣ）に転送したいと望むと仮定する。この場合、ＰＣを認証してその安全保障レベルを判定した後、ＰＭＤ１２６０内のプロセッサ１２６２はコンテンツ活動記録１７２０にアクセスして、フィールド１７５６内の転送権利を調べ、そのＰＣが映画コンテンツの受け取りを認証されていることを検証する。次にプロセッサ１２６２はフィールド１７７６内の転送回数値をフィールド１７５９内に規定されている転送制限数と比較する。転送回数が転送制限数未満の場合、ＰＭＤ１２６０はコンテンツ・ファイル１５２５を権利ファイル１５５０と共にＰＣに転送し、フィールド１７７６内の転送回数を１増加させる。ＰＣは続いて、権利ファイル１５５０内に規定されている通り、コンテンツ・ファイル１５２５の使用権利を確認する。さもなければ、転送回数値が転送制限数に達している（すなわち、等しい）場合、プロセッサ１２６２は使用者にＰＭＤ１２６０がそのコンテンツの転送を認証されていないことを通知する。

（本発明のＣａｂｌｅＣＡＲＤおよびホストＳＴＴ ＤＶＲ実施例）
本発明は広く多層権利構造の概念を包含し、先に十分に説明した保護コンテンツの不正使用を防止するための信頼されたドメインを含む。本発明は、確かにこの構成の中で使用された特定機器（たとえば、ＳＤＶＲ ＳＴＴ、ＰＭＤ等）に限定されるものではない。実際、ＣａｂｌｅＣＡＲＤに接続されたホストＳＴＴ ＤＶＲを、本発明の構造の中で先に説明したＳＤＶＲ ＳＴＴ（たとえば１５８−１）で置き換え、同様の機能を実行させることは記述されていない。この実施例において、上記のＳＤＶＲ ＳＴＴの機能は、単純にホストＳＴＴ ＤＶＲ機器およびＣａｂｌｅＣＡＲＤの間で分割される。

図１７はそのような１つの代用ホストＳＴＴ ＤＶＲであり、１７０３で表され、１７０５で表された多元ストリームＣａｂｌｅＣＡＲＤ（ｍｕｌｔｉ−ｓｔｒｅａｍ ＣａｂｌｅＣＡＲＤ：「Ｍ−ＣＡＲＤ」）に接続されている。Ｍ−ＣＡＲＤ１７０５は多元ストリーム、たとえばネットワーク１５０からのＭＰＥＧ−２プログラム・ストリームを処理することが可能で、ホストＳＴＴ ＤＶＲ機器１７０３と動作するように構成されており、この機器はこの事例ではインタフェース１７０７内に多重チューナを含み、これは複数のプログラム・ストリームをそれぞれ搬送する異なる搬送派周波数に同時に同期する。この図示を目的とした実施例では、一般的にホストＤＶＲ機器１７０３上記のＳＤＶＲ ＳＴＴの全ての機能を仮定しているが、但したとえばコンテンツ暗号化鍵（たとえば、先に述べた３ＤＥＳ鍵）の生成、下記のコンテンツ管理情報（ｃｏｎｔｅｎｔ ｍａｎａｇｅｍｅｎｔ ｉｎｆｏｒｍａｔｉｏｎ（ＣＭＩ））の処理、機器１７０３内に先に格納されているコンテンツへのアクセス制御（たとえば、再生、コピー、保管など）は除き、それらの機能は此処ではＭ−ＣＡＲＤ１７０５へ移動されている。格納されているコンテンツ・ファイルへのアクセスはＭ−ＣＡＲＤ１７０５で制御されるが、ホストＳＴＴ ＤＶＲ機器１７０３はコンテンツ・ファイルの暗号化と復号化の責任を有する。Ｍ−ＣＡＲＤ１７０５はまた、従来技術によるＣａｂｌｅＣＡＲＤで要求される従来機能をも実行する。ＳＤＶＲ ＳＴＴの機能を機器１７０３とＭ−ＣＡＲＤ１７０５に分割するため、上記ＳＤＶＲ ＳＴＴ機能を実現するための、機器１７０３とＭ−ＣＡＲＤ１７０５との間の通信が此処での関心事となる。

Ｍ−ＣＡＲＤ１７０５は機器１７０３のインタフェース１７０７と、ＰＣＭＣＩＡ規格に基づいて接続するためのインタフェース１７０１を含む。先に説明したように、Ｍ−ＣＡＲＤ１７０５はコンテンツ鍵生成と機器１７０３によるネットワーク１５０から保護コンテンツへのアクセス制御に責任を持つ。次に機器１７０３がそのようなアクセスを要求し、そのようなＭ−ＣＡＲＤ１７０５で生成されたコンテンツ鍵を獲得するための通信について説明する。ＳＤＶＲ ＳＴＴと同様、機器１７０３はコンテンツ・ファイルを記憶装置１７１１内に格納する前に、コンテンツ・ファイルをコンテンツ鍵を用いて暗号化する必要がある。しかしながら、ＰＭＤ（たとえば１２６０）の様に、機器１７０３はネットワーク１５０からコンテンツ・ファイルを記録出来るようにする前にＭ−ＣＡＲＤ１７０５で認証される必要があり、またＭ−ＣＡＲＤ１７０５から記録特権を要求する必要がある。

使用者により機器１７０３から、または機器１７０３によって自動的に開始される記録事象に応答して、処理ユニット１７１３は記録要求をＭ−ＣＡＲＤ１７０５へ発する。この記録要求はなかんずく、記録を所望するプログラムを識別するインデックスを含む。図１８はＭ−ＣＡＲＤ１７０５内のプロセッサ１７３０で、受け取った要求に対して記録返答を生成するために実行される処理過程を図示する。図１８に示されるように、ステップ１８０３において、プロセッサ１７３０はホストＳＴＴ ＤＶＲ機器１７０３が要求されているプログラム・コンテンツを記録することを許されているか否かの判定を、たとえばそのプログラム・コンテンツに関連する機器１７０３の安全保障レベルに基づいて行う。ステップ１８０５において、プロセッサ１７３０はそのような判定結果を返答の中でＲｅｃｏｒｄ＿Ｅｎａｂｌｅフィールドの中に含める。プロセッサ１７０３はステップ１８０８において、要求対象であるプログラム・コンテンツを含む全てのファイルを暗号化するために使用されるコンテンツ暗号符（たとえば、３ＤＥＳ，ＡＥＳ１２８暗号符など）を識別する。ステップ１８１１において、プロセッサ１７０３はコンテンツ鍵の生成を行わせる。プロセッサ１７３０はステップ１８１４において、返答の中に含まれるべき２つの保護パッケージを生成し、その内の１つは「永続的保護パッケージ（ｐｅｒｓｉｓｔｅｎｔ ｓｅｃｕｒｉｔｙ ｐａｃｋａｇｅ（ＰＳＰ））」と呼ばれ、記憶装置１７１１内の全ての暗号化されたプログラム・コンテンツ・ファイルに関連して格納されるものである。もう一方の保護パッケージは「一時保護パッケージ（ｔｅｍｐｏｒａｒｙ ｓｅｃｕｒｉｔｙ ｐａｃｋａｇｅ（ＴＳＰ））」と呼ばれ、記憶装置１７１１内に格納する前にコンテンツ・ファイルを暗号化するために機器１７０３で即時消費されるものである。両パッケージとも機器１７０３でコンテンツ・ファイルを適切に管理するためのＣＭＩを含む。

図１９はＭ−ＣＡＲＤ ＣＭＩ１９０３およびＭ−ＣＡＲＤ署名１９０５を含むＰＳＰ１９００を図示する。ＣＭＩ１９０３は、なかんずくＭ−ＣＡＲＤ ＩＤを含むフィールド１９０８、これはユニークで信頼されたライセンス権限と共に登録されている；ホストＩＤ（すなわちこの事例では機器１７０３のＩＤ）を含むフィールド１９１１、これもまたユニークで信頼されたライセンス権限と共に登録されている；使用されるコンテンツ暗号符（たとえば、３ＤＥＳ，ＡＥＳ−１２８等）の識別子を含むフィールド１９１３；およびＭ−ＣＡＲＤ１７０５で生成され、メモリ１７３１内のＭ−ＣＡＲＤ公開鍵１７１５を用いて暗号化されたコンテンツ鍵を含むフィールド１９１５を含む。この時点で注意すべきは、フィールド１９１５内の暗号化されたコンテンツ鍵はＳＤＶＲ ＳＴＴ１５８−１のコンテンツ鍵Ｖ−１（６０３）に類似していることである。ＣＭＩ１９０３はまたコンテンツ安全保障レベルの識別子を含むフィールド１９１８；および対象としているコンテンツ・ファイルの使用権（たとえば、再生、コピー、記録、保管する権利等）を含むフィールド１９２１、も含む。Ｍ−ＣＡＲＤ署名１９０５は、従来型暗号化アルゴリズムに基づき、保護メモリ１７４０内のＭ−ＣＡＲＤ秘密署名鍵１７３７を用いて、ＣＭＩ１９０３に署名することにより生成される。

図２０はホストＣＭＩ２００３およびＭ−ＣＡＲＤ署名２００５を含む、ＴＳＰ２０００を図示する。ＣＭＩ２００３はなかんずく、ホストＩＤ（すなわち、この事例では機器１７０３のＩＤ）を含むフィールド２００８；使用されるコンテンツ暗号符（たとえば，３ＤＥＳ，ＡＥＳ−１２９等）の識別子を含むフィールド２０１１；およびフィールド１９１５の所で先に述べたコンテンツ鍵であるが、此処ではメモリ１７３１内のホスト公開鍵１７３３を用いて暗号化されたコンテンツ鍵を含む、フィールド２０１３、とを含む。Ｍ−ＣＡＲＤ署名２００５は、従来型暗号化アルゴリズムに基づき、保護メモリ１７４０内のＭ−ＣＡＲＤ秘密署名鍵１７３７を用いて、ＣＭＩ２００３に署名することにより生成される。

記録返答を受け取った後、機器１７０３内の処理ユニット１７１３は、対象としているプログラム・コンテンツを記録することが許されているか否かを、返答内のＲｅｃｏｒｄ＿Ｅｎａｂｌｅ フィールド内の値に基づいて判定する。許されていない場合、ユニット１７１３は使用者に記録要求の拒否を通知するメッセージを生成する。それ以外の場合、ユニット１７１３はそれぞれのＰＳＰ１９００およびＴＳＰ２０００内のＭ−ＣＡＲＤ署名１９０５および２００５を、メモリ１７０９内に記憶されているＭ−ＣＡＲＤ公開署名鍵１７２３を用いて確認する。加えて、ユニット１７１３はＴＳＰ２０００内のフィールド２００８のホストＩＤが、メモリ１７０９に格納されている機器１７０３のＩＤと一致するか、確認する。ＰＳＰ１９００とＴＳＰ２０００とが確認されると、ユニット１７１３はプログラム・コンテンツの記録を開始し、暗号化モジュール１７２０に対してフィールド２０１３内の暗号化されたコンテンツ鍵を、保護メモリ１７２２内のホスト秘密鍵１７２４、これはホスト公開鍵１７３３の相手側、を用いて復号化させる。ユニット１７１３は暗号化モジュール１７２０に対して、記録されたコンテンツを、記録されたコンテンツ鍵を用いて暗号化させる。結果として生成された暗号化されたコンテンツ・ファイルおよび、それに関連する受け取られたＰＳＰ１９００が、次に記憶装置１７１１内に格納される。

記憶装置１７１１内に格納されたコンテンツ・ファイルの再生事象に応答して、たとえば使用者が機器１７０３で開始する、ユニット１７１３はＭ−ＣＡＲＤ１７０５に再生要求を発し、これはその格納されたコンテンツ・ファイルに関連するＰＳＰ１９００を含む。図２１はＭ−ＣＡＲＤ１７０５内で再生返答を作成するためにプロセッサ１７３０で実行される処理過程を図示する。プロセッサ１７３０はステップ２１０３において、ＰＳＰ１９００内のＭ−ＣＡＲＤ署名１９０５を、鍵１７３７の相手側であるＭ−ＣＡＲＤ公開署名鍵を用いて確認する。プロセッサ１７３０はステップ２１０６において、ＰＳＰ１９００内のＭ−ＣＡＲＤ ＩＤ１９０８が、メモリ１７３１内に記憶されているＭ−ＣＡＲＤ１７０５のＩＤと一致するか確認する。プロセッサ１７３０はステップ２１０９において、要求された再生が許されるか否かを、たとえば関連するコンテンツ・ファイルに関する全ての再生権利を規定している、ＰＳＰ９００内の使用権フィールド１９２１をチェックすることにより、判定する。ステップ２１１２において、プロセッサ１７３０はそのような判定結果を返答内のＰｌａｙｂａｃｋ＿Ｅｎａｂｌｅフィールド内に含める。プロセッサ１７３０はステップ２１１５において、暗号化モジュール１７４５に対して、フィールド１９１５内の暗号化されたコンテンツ鍵を、保護メモリ１７４０内の、Ｍ−ＣＡＲＤ公開鍵１７１５の相手側であるＭ−ＣＡＲＤ秘密鍵１７４７を用いて復号化させる。プロセッサ１７３０はステップ２１１８において、復元されたコンテンツ鍵を、ホスト公開鍵１７３３を用いて暗号化する。ステップ２１２１において、ＰＳＰ１９００内の選択された情報に基づきプロセッサ１７３０は、返答の中に含まれるべきＴＳＰ、たとえばＴＳＰ２０００を、フィールド２０１３内の新たに暗号化されたコンテンツ鍵で生成する。ステップ２１２３において、プロセッサ１７３０はＰＳＰ１９００を返答の中に含めて機器１７０３へ戻す。ＴＳＰを生成した後、プロセッサ１７３０はＰＳＰ１９００を機器１７０３へ戻す前に修正することに注意されたい。しかしながら、修正されたＰＳＰはＣＭＩ１９０３が修正されているため、再署名される必要がある。

再生返答を受け取った後、機器１７０３内の処理ユニット１７１３は対象となるプログラム・コンテンツの再生が許されているか否かを、返答内のＰｌａｙｂａｃｋ＿Ｅｎａｂｌｅフィールドの値に基づいて判定する。許されていない場合、ユニット１７１３は再生要求が拒否されたことを使用者に通知するメッセージを作成する。そうでない場合、ユニット１７１３はそれぞれＰＳＰ１９００およびＴＳＰ２０００内のＭ−ＣＡＲＤ署名１９０５および２００５を、Ｍ−ＣＡＲＤ公開署名鍵１７２３を用いて確認する。加えて、ユニット１７１３はＴＳＰ２０００のフィールド２００８内のホストＩＤが機器１７０３のＩＤと一致するか確認する。ＰＳＰ１９００とＴＳＰ２０００が堪忍されると、ユニット１７１３は再生されるべき暗号化されたコンテンツ・ファイルに関連して現在格納されているＰＳＰを受け取ったＰＳＰで置き換える。ユニット１７１３は暗号化モジュール１７２０に対して、ホスト公開鍵１７３３の相手側である、保護メモリ１７２２内のホスト秘密鍵１７２４を用いて、受け取ったＴＳＰのフィールド２０１３内の暗号化されたコンテンツ鍵を復号化させる。ユニット１７１３は暗号化モジュール１７２０に対して、復元されたコンテンツ鍵を用いて、記憶装置１７１１内の対象としている暗号化されたコンテンツ・ファイルを復号化させ、コンテンツ・ファイルの明瞭な再生を開始する。

以上は本発明の原理を単に図示するのみである。従って、当業者は本発明の原理を実施する多数のその他の構造を考案可能であり、従ってそれらは本発明の精神ならびに範囲に含まれることは理解されよう。

たとえば、本発明に基づく多層権利構造内の機器（たとえば、信頼されたドメイン機器そして／またはＰＭＤ）は相互にネットワーク、たとえば家庭ネットワークにより接続可能であり、その技術は家庭内の異なる部屋の複数のＳＴＴを接続するために採用されている。

加えて、本発明に基づく多層権利構造内の機器はその中にプログラム・コンテンツを格納するための内部記憶装置を持たなくても構わない。しかしながら、そのような機器は補助記憶装置に接続されていて、それに対してこれらの機器が転送またはストリーミングによってコンテンツの配信を行うものである。

更に、図１に示される実施例において、ネットワーク搬送は図示的にＨＦＣケーブル・ネットワーク１５０を用いて実現されている。しかしながら、その他のネットワーク、たとえばデジタル加入者ライン（ＤＳＬ）ネットワーク、イーサネット・ネットワークおよび衛星ネットワークも代わりに使用できる。

最後に図１のシステム構成要素が此処では開示されていて、種々の機能が個別の機能ブロックで実行される形式で示されている。しかしながら、１つまたはいくつかのこれらの機能は、いずれか１つまたはいくつかのこれらのブロックまたは実際、これら機能の全てをたとえば１つまたはいくつかの適切にプログラムされたプロセッサで実現する１つの構成の中で等しく実施できる。

図１は本発明の１つの実施例に基づく、広帯域通信システムの構成要素を図示する。 図２は図１のシステムの中継局内に保持されている加入者登録を図示する。 図３は図１のシステムの中継局内に保持されている機器鍵テーブルを図示する。 図４は図１のシステムの中継局内に保持されている加入者鍵テーブルを図示する。 図５は本発明の１つの実施例に基づく第１保護デジタル録画機（ＳＤＶＲ）ＳＴＴの構成要素を図示する。 図６は第１ＳＤＶＲ ＳＴＴ内の記憶装置を図示する。 図７は本発明の１つの実施例に基づく、媒体ファイルを暗号化し格納するための処理ルーチンを示す流れ図。 図８は本発明の１つの実施例に基づく、加入者に関連する暗号化されたコンテンツ鍵を生成するための処理ルーチンを示す流れ図。 図９は本発明の１つの実施例に基づく第２ＳＤＶＲ ＳＴＴの構成要素を図示する。 図１０は本発明の１つの実施例に基づく、第２ＳＤＶＲ ＳＴＴに関連する暗号化されたコンテンツ鍵を生成するための処理ルーチンを示す流れ図。 図１１は本発明の１つの実施例に基づくパーソナル・メディア機器（ｐｅｒｓｏｎａｌ ｍｅｄｉａ ｄｅｖｉｃｅ：ＰＭＤ）の構成要素を図示する。 図１２は本発明の１つの実施例に基づく権利ファイルを図示する。 図１３は本発明の第１実施例に基づく、１つのＳＴＴから別の機器へコンテンツを転送するための処理ルーチンを示す流れ図。 図１４は本発明の第２実施例に基づく、１つのＳＴＴから別の機器へコンテンツを転送するための処理ルーチンを示す流れ図。 図１５は本発明の１つの実施例に基づくコンテンツ活動記録を図示する。 図１６は図１２の権利ファイルに指定された権利の対象となる、選択されたコンテンツを再生するための処理ルーチンを示す流れ図。 図１７は本発明の別の実施例に基づく、ホストＳＴＴ ＤＶＲ機器に接続されたＭ−ＣＡＲＤを図示する。 図１８は本発明に基づく、ホストＳＴＴ ＤＶＲ機器からの録画要求への返答を生成するためのＭ−ＣＡＲＤで実行される処理過程を示す流れ図。 図１９は本発明に基づく、前記返答に含まれる永続保護パッケージ（ｐｅｒｓｉｓｔｅｎｔ ｓｅｃｕｒｉｔｙ ｐａｃｋａｇｅ：ＰＳＰ）を図示する。 図２０は本発明に基づく、前記返答に含まれる一時保護パッケージ（ｔｅｍｐｏｒａｒｙ ｓｅｃｕｒｉｔｙ ｐａｃｋａｇｅ：ＴＳＰ）を図示する。 図２１は本発明に基づく、ホストＳＴＴ ＤＶＲ機器からのプレイバック要求への返答を生成するための、Ｍ−ＣＡＲＤで実行される処理過程を示す流れ図。

Claims (88)

1. １つの機器へプログラム・コンテンツを転送するための方法であって：
   機器の安全保障の程度がそれに対して割り当てられた指標で示されているところの前記機器から、それへのプログラム・コンテンツの転送要求を受け取り；
   前記要求に応答して、前記機器が前記プログラム・コンテンツを受け取る正当性を判定するために前記機器を認証し；
   前記機器が認証された後、前記機器へ前記プログラム・コンテンツと前記プログラム・コンテンツに関連する一式の規則であって、該一式の規則の少なくともいくつかは前記指標に関係し且つ前記プログラム・コンテンツの使用に関して前記機器で適用可能である、前記一式の規則とを転送することを含む、前記方法。
2. 請求項１記載の方法において、前記機器は機器により与えられるデジタル証明書内のデータを確認して認証される前記方法。
3. 請求項１記載の方法において、プログラム・コンテンツが映画コンテンツを含む、前記方法。
4. 請求項１記載の方法が更に、前記プログラム・コンテンツが機器に転送される前に、指標で示される前記機器の安全保障の程度が、一式の規則の或る１つに適合するか否かを判定する、前記方法。
5. 請求項４記載の方法において、指標で示される前記機器の安全保障の程度が、一式の規則の或る１つに適合することが判定された後に、プログラム・コンテンツが転送される、前記方法。
6. 請求項１記載の方法において、一式の規則の１つが前記機器が前記プログラム・コンテンツを他の機器へ転送できる回数に関する、前記方法。
7. 請求項１記載の方法において、一式の規則の１つが前記機器が前記プログラム・コンテンツを再生できる期間に関する、前記方法。
8. 請求項１記載の方法において、一式の規則の１つが前記機器がプログラム・コンテンツを別の機器へ転送する権利を、前記機器の安全保証の程度の関数として規定する、前記方法。
9. 機器の間でプログラム・コンテンツを転送するための方法であって：
   第１保護層を定義し、前記第１保護層内の機器はプログラム・コンテンツを、第１処理プロセスに準拠する他の機器へ相互に転送し；
   第２保護層を定義し、第１保護層内の第１機器が、第２処理プロセスに準拠する前記第２保護層内の第２機器に、選択されたプログラム・コンテンツを転送することを含み、此処で前記第２処理プロセスが：
   第２機器を認証して、前記第２機器が前記選択されたプログラム・コンテンツを受け取る正当性を有するか否かを判定し、前記第２機器にはその安全保障の程度を示す指標が割り当てられており；
   前記第２機器が認証された後、第２機器に選択されたプログラム・コンテンツとその選択されたプログラム・コンテンツに関連する一式の規則とを転送し、一式の規則の少なくともいくつかは前記指標に関連し且つ選択されたプログラム・コンテンツの使用に関して前記第２機器で適用可能である、ことを含む、前記方法。
10. 請求項９記載の方法において、前記第１機器が選択されたプログラム・コンテンツを広帯域通信ネットワークから受信するためのセットトップ端末を含む、前記方法。
11. 請求項１０記載の方法において、前記広帯域通信ネットワークがケーブル・ネットワークを含む、前記方法。
12. 請求項１１記載の方法において、前記規則一式がケーブル・ネットワークの運用者により制定される、前記方法。
13. 請求項９記載の方法において、前記規則一式が選択されたプログラム・コンテンツの提供者により制定される、前記方法。
14. 請求項９記載の方法において、前記第２機器が前記第２機器から提供されるデジタル証明書内のデータを確認することで認証される、前記方法。
15. 請求項９記載の方法において、前記選択されたプログラム・コンテンツが映画コンテンツを含む、前記方法。
16. 請求項９記載の方法が更に、前記選択されたプログラム・コンテンツが機器に転送される前に、指標で示される前記第２機器の安全保障程度が一式の規則の或る１つに適合するか否か判定することを含む、前記方法。
17. 請求項１６記載の方法において、前記指標で示される前記第２機器の安全保障の程度が、或る規則に適合したと判定された後に、前記プログラム・コンテンツが転送される、前記方法。
18. 請求項９記載の方法において、前記一式の規則の１つが、前記第２機器が前記選択されたプログラム・コンテンツを他の機器へ転送できる回数に関する、前記方法。
19. 請求項９記載の方法において、前記一式の規則の１つが、前記第２機器が前記選択されたプログラム・コンテンツを再生できる期間に関する、前記方法。
20. 請求項９記載の方法において、前記一式の規則の１つが前記第２機器が前記選択されたプログラム・コンテンツを別の機器へ転送する権利を、前記他の機器の安全保障の程度の関数として規定する、前記方法。
21. 保護コンテンツを受信するための機器内で使用するための方法であって：
    前記機器の安全保障の程度を示す指標を格納し；
    前記保護コンテンツの前記機器への転送要求を１つの装置に送り；
    前記装置に、該装置から前記保護コンテンツを受信する機器の正当性を検証するためのデータを提供し；
    前記装置から保護コンテンツと、該保護コンテンツに関係する一式の規則を受け取り、前記一式の規則の少なくともいくつかは前記指標に関連し且つ前記保護コンテンツの使用に関して前記機器で適用可能である、前記方法。
22. 請求項２１記載の方法において、前記装置が前記プログラム・コンテンツを広帯域通信ネットワークから受信するための、セットトップ端末を含む、前記方法。
23. 請求項２２記載の方法において、前記広帯域通信ネットワークがケーブル・ネットワークを含む、前記方法。
24. 請求項２３記載の方法において、前記規則一式がケーブル・ネットワークの運用者により制定される、前記方法。
25. 請求項２１記載の方法において、前記規則一式が保護コンテンツの提供者により制定される、前記方法
26. 請求項２１記載の方法において、前記データがデジタル証明書に含まれる、前記方法。
27. 請求項２１記載の方法において、前記保護コンテンツが映画コンテンツを含む、前記方法。
28. 請求項２１記載の方法において、前記一式の規則の１つが、前記機器が前記選択されたプログラム・コンテンツを他の機器へ転送できる回数に関する、前記方法。
29. 請求項２１記載の方法において、前記一式の規則の１つが、前記機器が前記選択されたプログラム・コンテンツを再生できる期間に関する、前記方法。
30. 請求項２１記載の方法において、前記一式の規則の１つが、前記機器が前記選択されたプログラム・コンテンツを別の機器へ転送する権利を、前記他の機器の安全保障の程度の関数として規定する、前記方法。
31. 暗号化され、機器内の記憶装置に格納されているプログラム・コンテンツを有する前記機器に接続可能なモジュール装置内で使用するための方法であって：
    前記機器から前記プログラム・コンテンツへの接続要求を受け取り、該要求は前記記憶装置内の暗号化されたプログラム・コンテンツに関連して格納されたデータ・パッケージを含み；
    前記要求に応答して、前記機器が前記プログラム・コンテンツへのアクセスを許されているかを、第１データ・パッケージ内の情報に基づいて判定し；
    前記機器に、少なくとも前記記憶装置内の暗号化されたプログラム・コンテンツを復号化するための暗号法要素に関するデータを提供し、これにより前記機器に前記プログラム・コンテンツへのアクセスを提供することを含む前記方法。
32. 請求項３１記載の方法において、前記情報が前記プログラム・コンテンツへアクセスする権利に関する、前記方法。
33. 請求項３２記載の方法において、前記権利が前記プログラム・コンテンツを再生する権利を含む、前記方法。
34. 請求項３２記載の方法において、前記権利が前記プログラム・コンテンツを記録する権利を含む、前記方法。
35. 請求項３２記載の方法において、前記暗号法要素が１つの暗号化鍵を含む、前記方法。
36. 請求項３５記載の方法において、前記データが前記暗号化鍵の暗号化された版を表す、前記方法。
37. 請求項３５記載の方法において、前記データ・パッケージが前記暗号化鍵の暗号化された版を表すデータを含む、前記方法。
38. 記憶装置を有し、モジュール装置に接続可能な１つの機器内で使用するための方法であって：
    前記モジュール装置に選択されたプログラム・コンテンツを記録するための要求を送り；
    前記モジュール装置から前記要求に対する返答を受け取り、該返答は暗号法要素に関するデータ、該暗号法要素の少なくとも１つの版を含むデータ・パッケージ、および前記選択されたプログラム・コンテンツに関連する、少なくとも１つの安全保障測度に基づいた、前記機器が前記選択されたプログラム・コンテンツの記録を許されているか否かの判定結果を含み；
    前記判定結果に基づき、前記選択されたプログラム・コンテンツを記録し；
    前記記録されたプログラム・コンテンツを前記データから導出された暗号化法要素で暗号化し；
    前記暗号化されたプログラム・コンテンツを前記データ・パッケージと関連して前記記憶装置内に格納する、以上を含む前記方法。
39. 請求項３８記載の方法において、前記暗号化法要素が１つの暗号化鍵を含む、前記方法。
40. 請求項３８記載の方法において、前記データが暗号化鍵の暗号化された版を表す、前記方法。
41. 請求項３８記載の方法において、前記機器がまた該機器に関連する安全保障レベルに基づいて前記選択されたプログラム・コンテンツの記録を許可される、前記方法。
42. 請求項３９記載の方法において、前記暗号化法要素の版が暗号化鍵の暗号化版を含む、前記方法。
43. 請求項３８記載の方法が更に、選択されたプログラム・コンテンツを通信ネットワークから受信することを含む、前記方法。
44. 請求項４３記載の方法において、通信ネットワークがケーブル・ネットワークを含む、前記方法。
45. １つの機器へプログラム・コンテンツを転送するための装置であって：
    機器の安全保障の程度がそれに対して割り当てられた指標で示されているところの前記機器から、それへのプログラム・コンテンツの転送要求を受け取るためのインタフェースと；
    前記要求に応答して、前記機器が前記プログラム・コンテンツを受け取る正当性を判定するために前記機器を認証するための機構と；
    前記機器が認証された後、前記機器へ前記プログラム・コンテンツと前記プログラム・コンテンツに関連する一式の規則であって、一式の規則の少なくともいくつかは前記指標に関係し且つ前記プログラム・コンテンツの使用に関して前記機器で適用可能である、前記一式の規則とを転送するようにプログラムされたプロセッサとを含む、前記装置。
46. 請求項４５記載の装置において、前記機構が前記機器を該機器により与えられるデジタル証明書内のデータを確認して認証する前記装置。
47. 請求項４５記載の装置において、プログラム・コンテンツが映画コンテンツを含む、前記装置。
48. 転送される前に、指標で示される前記機器の安全保障の程度が、一式の規則の或る１つに適合するか否かを判定される、前記装置。
49. 請求項４８記載の装置において、前記指標で示される前記機器の安全保障の程度が、或る規則に適合することが判定された後に、プログラム・コンテンツが転送される、前記装置。
50. 請求項４５記載の装置において、一式の規則の１つが、前記機器が前記プログラム・コンテンツを他の機器へ転送できる回数に関する、前記装置。
51. 請求項４５記載の装置において、一式の規則の１つが、前記機器が前記プログラム・コンテンツを再生できる期間に関する、前記装置。
52. 請求項４５記載の装置において、一式の規則の１つが、前記機器がプログラム・コンテンツを別の機器へ転送する権利を、前記機器の安全保証の程度の関数として規定する、前記装置。
53. 機器の間でプログラム・コンテンツを転送するためのシステムであって：
    第１保護層内の、プログラム・コンテンツを第１処理プロセスに準拠する他の機器へ相互に転送するための機器と；
    第１保護層内の、第２処理プロセスに準拠する前記第２保護層内の第２機器に、選択されたプログラム・コンテンツを転送する、前記第２処理プロセスを実行するようにプログラムされた第１機器を含み、此処で前記第２処理プロセスが：
    前記第２機器が前記選択されたプログラム・コンテンツを受け取る正当性を有するか否かを判定し、前記第２機器にはその安全保障の程度を示す指標が割り当てられており；
    前記第２機器が認証された後、第２機器に選択されたプログラム・コンテンツとその選択されたプログラム・コンテンツに関連する一式の規則とを転送し、一式の規則の少なくともいくつかは前記指標に関連し且つ選択されたプログラム・コンテンツの使用に関して前記第２機器で適用可能である、ことを含む、前記システム。
54. 請求項５３記載のシステムにおいて、前記第１機器が選択されたプログラム・コンテンツを広帯域通信ネットワークから受信するためのセットトップ端末を含む、前記システム。
55. 請求項５４記載のシステムにおいて、前記広帯域通信ネットワークがケーブル・ネットワークを含む、前記システム。
56. 請求項５５記載のシステムにおいて、前記規則一式がケーブル・ネットワークの運用者により制定される、前記システム。
57. 請求項５３記載のシステムにおいて、前記規則一式が選択されたプログラム・コンテンツの提供者により制定される、前記システム。
58. 請求項５３記載のシステムにおいて、前記第２機器が前記第２機器から提供されるデジタル証明書内のデータを確認することで認証される、前記システム。
59. 請求項５３記載のシステムにおいて、前記選択されたプログラム・コンテンツが映画コンテンツを含む、前記システム。
60. 請求項５３記載のシステムにおいて、前記選択されたプログラム・コンテンツが機器に転送される前に、指標で示される前記第２機器の安全保障の程度が一式の規則の或る１つに適合するか否か判定される、前記システム。
61. 請求項６０記載のシステムにおいて、前記指標で示される前記第２機器の安全保障の程度が、或る規則に適合したと判定された後に、前記プログラム・コンテンツが転送される、前記システム。
62. 請求項５３記載のシステムにおいて、前記一式の規則の１つが、前記第２機器が前記選択されたプログラム・コンテンツを他の機器へ転送できる回数に関する、前記システム。
63. 請求項５３記載のシステムにおいて、前記一式の規則の１つが、前記第２機器が前記選択されたプログラム・コンテンツを再生できる期間に関する、前記システム。
64. 請求項５３記載のシステムにおいて、前記一式の規則の１つが、前記第２機器が前記選択されたプログラム・コンテンツを別の機器へ転送する権利を、前記他の機器の安全保障の程度の関数として規定する、前記システム。
65. 保護コンテンツを受信するための機器であって：
    前記機器の安全保障の程度を示す指標と、前記保護コンテンツの前記機器への転送要求を格納するための記憶装置と；
    前記装置に、該装置から前記保護コンテンツを受信するための機器の正当性を検証するためのデータを提供するようにプログラムされたプロセッサと；
    前記装置から保護コンテンツと、該保護コンテンツに関係する一式の規則を受け取るインタフェースであって、前記一式の規則の少なくともいくつかは前記指標に関連し且つ前記保護コンテンツの使用に関して前記機器で適用可能である、前記インタフェースとを含む、前記機器。
66. 請求項６５記載の機器において、前記データがデジタル証明書に含まれる、前記機器。
67. 請求項６５記載の機器において、前記保護コンテンツが映画コンテンツを含む、前記機器。
68. 請求項６５記載の機器において、前記一式の規則の１つが、前記機器が前記選択されたプログラム・コンテンツを他の機器へ転送できる回数に関する、前記機器。
69. 請求項６５記載の機器において、前記一式の規則の１つが、前記機器が前記選択されたプログラム・コンテンツを再生できる期間に関する、前記機器。
70. 請求項６５記載の機器において、前記一式の規則の１つが、前記機器が前記選択されたプログラム・コンテンツを別の機器へ転送する権利を、前記他の機器の安全保障の程度の関数として規定する、前記機器。
71. 暗号化され、機器内の記憶装置に格納されているプログラム・コンテンツを有する前記機器に接続可能なモジュール装置であって：
    前記機器から前記プログラム・コンテンツへのアクセスするための要求を受け取り、該要求は前記記憶装置内の暗号化されたプログラム・コンテンツに関連して格納されたデータ・パッケージを含むインタフェースと；
    前記要求に応答して、前記機器が前記プログラム・コンテンツへのアクセスを許されているかを、第１データ・パッケージ内の情報に基づいて判定するように構成されたプロセッサと；
    前記機器に、少なくとも前記記憶装置内の暗号化されたプログラム・コンテンツを復号化するための暗号法要素に関するデータを提供し、これにより前記機器に前記プログラム・コンテンツへのアクセスを提供するための機構とを含む前記装置。
72. 請求項７１記載の装置において、前記情報が前記プログラム・コンテンツへアクセスする権利に関する、前記装置。
73. 請求項７２記載の装置において、前記権利が前記プログラム・コンテンツを再生する権利を含む、前記装置。
74. 請求項７２記載の装置において、前記権利が前記プログラム・コンテンツを記録する権利を含む、前記装置。
75. 請求項７２記載の装置において、前記暗号法要素が１つの暗号化鍵を含む、前記装置。
76. 請求項７５記載の装置において、前記データが前記暗号化鍵の暗号化された版を表す、前記装置。
77. 請求項７５記載の装置において、前記データ・パッケージが前記暗号化鍵の暗号化された版を表すデータを含む、前記装置。
78. ＣａｂｌｅＣＡＲＤを含む請求項７５記載の装置。
79. 請求項７８記載の装置において、前記ＣａｂｌｅＣＡＲＤがプログラム・コンテンツを含む複数のデータ・ストリームを同時に取り扱えるように構成されている、前記装置。
80. モジュール装置に接続可能な機器であって：
    前記モジュール装置に送られる、選択されたプログラム・コンテンツを記録するための要求を生成するように構成された処理ユニットと；
    前記モジュール装置から前記要求に対する返答を受け取るインタフェースで、該返答は暗号法要素に関するデータ、該暗号法要素の少なくとも１つの版を含むデータ・パッケージ、および前記選択されたプログラム・コンテンツに関連する、少なくとも１つの安全保障測度に基づいた前記機器が前記選択されたプログラム・コンテンツの記録を許されているか否かの判定結果を含み、前記選択されたプログラム・コンテンツが前記判定結果に基づき記録される、前記インタフェースと；
    前記記録されたプログラム・コンテンツを前記データから導出された暗号化法要素で暗号化するための機構と；
    前記暗号化されたプログラム・コンテンツを前記データ・パッケージと関連して前記記憶装置内に格納するための記憶装置とを含む前記機器。
81. 請求項８０記載の機器において、前記暗号化法要素が１つの暗号化鍵を含む、前記機器。
82. 請求項８０記載の機器において、前記データが暗号化鍵の暗号化された版を表す、前記機器。
83. 請求項８０記載の機器において、前記機器に関連する安全保障レベルに基づいて前記選択されたプログラム・コンテンツの記録を許可される、前記機器。
84. 請求項８１記載の機器において、前記暗号化法要素の版が暗号化鍵の暗号化版を含む、前記機器。
85. 請求項８０記載の機器において、選択されたプログラム・コンテンツが通信ネットワークから受信される、前記機器。
86. 請求項８５記載の機器において、選択されたプログラム・コンテンツがケーブル・ネットワークを含む通信ネットワークから受信される、前記機器。
87. 請求項８０記載の機器において、前記インタフェースが前記モジュール装置を前記機器に結合するように構成されている、前記機器。
88. 請求項８７記載の機器において、前記インタフェースがＣａｂｌｅＣＡＲＤを含む前記モジュール装置を前記機器に結合するように構成されている、前記機器。

Images