JP2009528752A - プライバシーを保持する方法でのブロードキャストされたデジタルコンテンツの記録 - Google Patents

Abstract

記録装置にブロードキャストされたコンテンツの前にスケジュールされた記録を行なう方法及び装置であって、認証されたユーザからのプライバシーの設定によるスケジュールされた記録の要求を受信するステップＳ２、要求されたスケジュールされた記録が前にスケジュールされた記録とコンフリクトするかを判定するステップＳ３、前にスケジュールされた記録とコンフリクトしていると判定されたスケジュールされた記録に従うコンテンツを記録するためにリモートレシーバに要求を伝達するステップＳ５、リモートレシーバから記録されたコンテンツを受信し、記録されたコンテンツを記憶するステップＳ６、プライバシーの設定に基づいて記憶されたコンテンツへのアクセスを制御するステップを含む。本発明によれば、コンフリクトを回避するため、記録装置のネットワークが使用される。コンフリクトが装置で生じたときに増加されるセキュリティ及び記録スケジュールのプライバシーと対処する代わりに、本発明は、多くの記録リソースを利用可能にし、これによりコンフリクトのリスクを低減する。

Description

本発明は、プライバシーを保持する方法で、すなわち、システムの他のユーザにとって知られた記録（又はその存在）をなすことなしに、記録装置にブロードキャストされたデジタルコンテンツを記録する方法に関する。
より詳細には、本発明は、記録装置にブロードキャストコンテンツの予めスケジュールされた記録をなす方法及び装置に関し、スケジュールされた記録要求は、認証されたユーザからプライバシーの設定と受信され、要求されたスケジュールされた記録が前にスケジュールされた記録とコンフリクトするかが判定される。

個人向け娯楽における近年の発展は、それぞれにユーザに、彼の好みのコンテンツを記録又は収集し、彼／彼女の個人のコンテンツのコレクションを維持し、彼自身のスタイルで楽しむ可能性を与えている。したがって、消費者の電子装置は、家族及び友人の多数の個人向けの娯楽環境を提供する必要がある。

かかる環境は、多数のマルチユーザの問題を生じ、これらの問題は、共有される装置、ストレージ、リソース及び使用の容易さのためのユーザインタラクションインタフェースを適切に管理することに関する。さらに、かかる環境は、ユーザ間のプライバシープロテクション、及び世界の他の国々に対するプライバシープロテクション、オーナーにより制御されるコンテンツシェアリングメカニズム、何処かからのコンテンツへのプライベートアクセスのようなプライバシーに関する幾つかの問題を生じる。重要な問題の１つは、プライバシーを強化する機能を有する接続された装置を使用した（たとえばテレビジョンといった）ブロードキャストされたコンテンツのプライバシーを保持するスケジューリング及び記録の問題である。多数のユーザに記録機能を提供することは、US6564005に記載されている。

典型的に、かかるシステムは、自動記録機能を提供する手段を含み、すなわち事前にコンテンツの記録をユーザが要求するのを可能にする。１つの例は、ブロードキャストされたＴＶコンテンツの予め設定された記録である。（たとえばＴＶチューナに接続された記憶装置といった）記録装置は、典型的に、記録間でコンフリクトが存在しないことを保証するため、自動記録スケジュール管理システムを有する（たとえば同時の記録の数が利用可能なチューナの数を超えたときに、かかるコンフリクトが生じる）。しかし、かかる管理システムは、スケジュールされた記録の詳細を典型的に露出し、したがってプライバシーの保持を不可能にする。スケジュールされた記録を完全に「隠す」ことにより、別のユーザは、新たな記録が以前にスケジュールされた（プライベートな）記録とコンフリクトする状況において、適切なフィードバックを受信することができない。

完全なプライバシーを保証するシンプルなやり方は、他のアクティビティがプライベートの記録に優先するように、記録に最も低い可能な優先度を割り当てることである。これは、プライベートの記録が他の記録に影響を及ぼさないことを保証し、したがって露出されない。他方で、プライベートの記録は、その低い優先度のために、作用されないという重要な危険を冒す。

別の代替は、プライベートの記録を部分的に隠すことであり、すなわち、記録の全ての詳細を利用不可能にするが、コンフリクトが生じたときにユーザに通知することである。次いで、ユーザは、以前にスケジュールされた記録を放棄又は無効にするオプションが与えられる。しかし、これは、記録がスケジュールされていることを見せており、別のユーザは、どの番組が実際に記録されているかを発見するためにシステムをモニタする。

したがって、プライバシーを保持する方法でコンテンツの記録を可能にすることが好ましい。より詳細には、記録に関する情報を見せることなしに、リソースが乏しいシステムにおけるスケジュールされた記録間のコンフリクトに対処することが好ましい。

本発明の第一の態様は、記録装置にブロードキャストされたコンテンツのスケジュールされた記録を行う方法に関するものであり、認証されたユーザからのプライバシーの設定をもつスケジュールされた記録要求を受信するステップ、要求されたスケジュールされた記録が前にスケジュールされた記録とコンフリクトするかを判定するステップ、前にスケジュールされた記録とコンフリクトしていると判定されたスケジュールされた記録に従うコンテンツを記録するために少なくとも１つのリモート受信機に要求を伝達するステップ、少なくとも１つの記録装置から受信されたコンテンツを受信するステップ、記録されたコンテンツを記憶するステップ、及びプライバシーの設定に基づいて記憶されたコンテンツへのアクセスを制御するステップを含む。

本方法によれば、記録装置のネットワークは、コンフリクトを回避するために使用される。ある装置でコンフリクトが生じるときに増加されるセキュリティ及び記録のスケジュールのプライバシーに対処する代わりに、本発明は、記録リソースを更に利用可能にすることを狙いとし、これによりコンフリクトのリスクを減少させる。

１実施の形態によれば、記録されたコンテンツは、記録装置により受信される前に、リモート受信機で中間的に記憶される。これは、フレキシビリティを増加するが、コンテンツのプライバシーが維持されること、すなわち装置がプライバシーに準拠すること、コンテンツへのアクセスが記録を要求したユーザに制限されることを必要とする。これは、リモート受信機がコンテンツのオーナシップをはじめに担い、このコンテンツに他社がアクセスするのを防止することで解決される。次いで、このオーナシップは、記録されたコンテンツが受信されたときに記録装置に移転され、最終的に、記録を要求したユーザが次回にリモート受信機で認証したときに、該記録を要求したユーザに移転される。代替的に、ユーザがリモート受信機に接続された任意の記録装置で認証したとき、オーナシップは、リモート受信機からユーザに直接に移転される。

別の実施の形態によれば、コンテンツは、中間的に記憶されることなしにリモート受信機から記録装置にセキュアなチャネルを通してストリーミングされる。これにより、リモート受信機でのセキュリティの要件の幾つかが除かれ、代わりに、リモート受信機及び記録装置は記録を通して接続されることが要求される。このケースでは、記録装置は、コンテンツのオーナシップをはじめに担う。このオーナシップは、ユーザが記録装置で認証するとき、記録装置からユーザに移すことができる。

記録されたコンテンツは、セキュアストレージで記憶されるか、デジタル著作権管理システムによりアクセスが制御される。

更なる実施の形態によれば、本方法は、前記記録の要求によりコンフリクトが生じたことを示す前記リモート受信機からのメッセージを受信するステップ、前記メッセージに応答して、前記コンテンツを記録するために更なるリモート受信機に要求を伝達するステップを含む。これにより、記録を実行することを要求された装置でコンフリクトがたとえ生じた場合であっても、記録が実行されたことを記録装置が保証するのを試みることを意味する。

代替的に、本方法は、前記記録の要求が更なるリモート受信機に中継されることを示すメッセージを前記リモート受信機から受信するステップ、前記更なるリモート受信機から前記コンテンツを受信するステップを含む。このケースでは、コンフリクトを回避し、記録が実行されるのを保証するため、リモート受信機がリレーを扱う。

記録の間にコンフリクトが生じる状況では、異なる記録装置でコンテンツが部分的に記録されることが可能である。

本発明の第二の態様は、ブロードキャストされたコンテンツの前にスケジュールされた記録を行う装置に関し、ブロードキャストされたコンテンツを受信し、それをストレージに記憶する記録ユニット、ユーザが記録をスケジュールし、記録のプライバシー設定を行うのを可能にする入力手段、スケジュールされた記録が前にスケジュールされた記録とコンフリクトするかを判定する制御ユニット、前にスケジュールされた記録とコンフリクトしていると判定されたスケジュールされた記録に従うコンテンツを記録するための要求を少なくとも１つのリモート受信機に伝達する手段、少なくとも１つの記録装置から記録されたコンテンツを受信する手段、プライバシーの設定に基づいたアクセス権限により、それを記憶媒体に記憶する手段を有する。

システムの利点は、本発明の第一の態様を参照して記載される利点と同様である。

本発明の第三の態様は、本発明の第一の態様に従って本方法のステップを実行するコンピュータコード部分を含む、コンピュータプログラムに関する。

本発明のこれらの態様及び他の態様は、本発明の好適な実施の形態を示す添付図面を参照して、更に詳細に記載される。

本発明の様々な実施の形態は、プライバシー及びアクセス権（フィジカルキー（physical key）、セキュアサブシステム（secure subsystem）、アセットキー（asset key）、アクセスメッセージ（access message）等）を扱う特定のアプローチを参照して記載される。なお、本発明は、このアプローチに限定されるものではない。

図１は、本発明の実施の形態に係る記録装置１を示す。記録装置には、たとえばＴＶチューナといったブロードキャストされたコンテンツを受信する受信機２、記録媒体１０にブロードキャストされたコンテンツを記憶する記録ユニット３が設けられる。記録装置は、セキュアサブシステム４により制御され、このセキュアサブシステム４に対して、ユーザは認証することができる。この例では、ユーザは、フィジカルキー５を使用して認証され、このキーは、セキュアなチャネルを通してセキュアサブシステムに接続される。記録装置１は、（ユーザのフィジカルキーを使用して彼自身を認証した後に）ユーザが個人的な記録をスケジュールするのを可能にするユーザインタフェース７をさらに含む。このため、ユーザは、どのコンテンツが記録されるべきかを定義する記録のスケジュール、及び記録されたコンテンツのプライバシーレベルを入力することができる。

セキュアサブシステムは、プライベート（非公開）であるとして定義されている記録されたコンテンツがそれをスケジュールしたユーザ、このユーザから共有された権利が与えられた他のユーザにのみアクセス可能であることを保証する。これは、適切なデジタル著作権の管理システムを実現することで達成される。

典型的に、ユーザは、記録が行われるときにオンラインではない（すなわち、彼のフィジカルキーは存在しない）。したがって、システムは、記録ファイルにコンテンツを書込み、それをプロテクトすることが可能である。２つのオプションが存在する。

１）スケジュールを記録するとき、ユーザは、空の記録ファイルを作成し、このファイルにデータを書き込む権利をシステムに与える。ユーザは、そのファイルのオーナである。このケースでは、システムは、ファイル名、記録チャネル及び時間のみを知る必要があり、要求の作成者のプライバシーが最大に保証される。しかし、このソリューションは、どの位多くの記録が行われるかをユーザが知るときにのみ適する。これは、たとえば、シリーズの記録のケースといったケースではない。

２）記録装置は、記録が開示されるたびに新たな記録ファイルを自発的に作成し、このファイルのオーナシップを担う。装置は、時間シフト機能（すなわち、おそらく時間遅延により記録されている間にコンテンツを見ること）を可能にするため、要求の作成者にアクセス権を即座に与える。記録が終了したとき、オーナシップは、要求の作成者に移され、全てのそれ自身の権利を手放す。

記載される実施の形態では、第二の代替が使用され、オーナシップの移転のプロトコルが更に詳細に記載される。

図１を参照して、記録装置１は、全てのスケジュールされた記録を扱うスケジューリングマネージャ８が設けられる。このマネージャは、任意のコンフリクト、すなわち（たとえば異なるＴＶ局といった）異なるソースの記録が同時にスケジュールされるときを検出する。記録装置には、記録装置のネットワークを互いに形成する他の記録装置１０１，１０２，１０３等と通信するインタフェース９が更に設けられる。ネットワークを通して、それぞれの記録装置におけるセキュアなサブシステムは、セキュアなやり方で互いに通信することができる。

セキュアなサブシステム及びプライベートキーは、図２に更に詳細に示される。

セキュアなサブシステム４は、コンテンツの暗号化及び解読のための暗号プロセッサ１１、フィジカルキーを受けるセキュアインタフェース１２、（たとえばコンテンツのストリーミングのために使用される）記録ユニットへのインタフェース１３、及びＲＡＭのようなメモリ１４を有する。

フィジカルキー５は、メッセージプロセッサ１５、及び、セキュアメモリ及びメインメモリを含むフラッシュメモリ又はＲＡＭメモリのようなメモリ１６を有する。メモリには、固有の秘密−公開鍵のペアは記憶される。ユーザの公開鍵（PK: Public Key）は、勿論、周知のものであり、秘密鍵（SK: Secret Key）は、メモリ１６のセキュアな部分に記憶され、フィジカルキー５の外に決して露出されない。メモリ１６のセキュアな部分は、鍵のペア及びアクセスメッセージを処理するためにプロセッサ１５によってのみアクセス可能である。メモリ１６のセキュアでないセクションは、主要なフィジカルキー機能（すなわち、認証、アクセスメッセージ処理等）のために必須ではないが、たとえばアクセスメッセージ、他の公開鍵、使用履歴、並びに、アプリケーションデータ及びコンテンツといったデータの多くの空間を有することが有効である。

この実施の形態によれば、コンテンツは２レイヤプロテクションモデルでプロテクトされ、それぞれプロテクトされたコンテンツアイテムは、対称な暗号鍵、すなわち暗号化鍵又はアセットキーを使用して暗号化される。アセットキーは、アクセスメッセージで暗号化及び記憶される。アクセスメッセージは、暗号化されたコンテンツ（アセット）の暗号化鍵（アセット鍵）、及び、セキュアなサブシステム４が再生のためにアセットを解読すべきかを判定する認証されたユーザのアクセス権を含む。アクセスメッセージは、メッセージプロセッサ１５により作成され、アクセスメッセージの目的に依存して、メモリ１６、メモリ１４又は任意の他のストレージに記憶することができる。

アクセスメッセージは、コンテンツオーナの秘密鍵を使用してデジタル署名され、これにより、メッセージの完全性が保証され、すなわちオーナのみがメッセージを作成することができる。このように、オーナは、彼がユーザに与えた権利をチェック及び変更することができる。他のユーザは、オーナの公開鍵を使用して、公開鍵で暗号化されたアセットキー又は権利データを含むアクセスメッセージを通して彼とデータを共有する。また、オーナは、共有している権利を無効にし、フィジカルキーを使用してオーナシップを移す。セキュアなサブシステムシステム４のメモリ１４のセキュアな部分は、（フィジカルキーにおける個人の鍵のペアに対応する）装置の鍵のペアを記憶し、この装置の鍵のペアは、この装置に固有である。装置の鍵のペアは、装置の認証、チャネル６のセットアップのために使用され、個人のフィジカルキーが存在しないときにスケジュールされた個人の記録のような機能について使用される。

セキュアシステム４及びフィジカルシステム５は、２レイヤプロテクションモデルを確実にするために使用される。秘密鍵５は、インタフェース１２に接続され、セキュアなチャネル６は、個人の鍵のペア及び装置の鍵のペアを使用して、プロセッサ１５及び１１により初期化される。セキュアなサブシステム４は、セキュアなチャネル６を介してフィジカルキー５から受信されるアセットキーを使用して記録ユニットからのコンテンツを暗号化又は解読することができる。ユーザが端末を通して彼の個人のコンテンツにアクセスするのを望むとき、ユーザのフィジカルキー及びセキュアなサブシステムが、彼のアクセスメッセージ及びコンテンツを解読するのを必要とする。

個人のフィジカルキー５は、メッセージの制限された処理能力及びセキュアなサブシステムへの制限されたインタフェースのスループットを必要とする。セキュアなサブシステム４は、記録装置に統合されるか、他のデジタルレンダリング装置に統合される。また、セキュアなサブシステム４は、旧式の装置のための携帯用のプラグインデバイスとすることができる。また、セキュアなサブシステム４は、ＡＶコンテンツのための広帯域幅の暗号化プロセッサ及びインタフェースを必要とする。個々のフィジカルキー５は、改ざんに耐性のある装置である。個人のフィジカルキー５は、たとえばキーリングＭＰ３プレーヤ又はモバイルフォンといったモバイルデバイスに埋め込まれる場合がある。個人のフィジカルキーは、スマートカードデバイスに埋め込まれるか、たとえば、１つの携帯用のセキュアな記憶媒体を提供するために生体測定技術を結合するThumbdrive Touchである場合がある（ユーザのフィジカルキー、したがって秘密鍵の許可されていない使用を防止する）。フィジカルキー５は、認証のためのユーザのアイデンティティであるだけでなく、ある人物がサーバ１上で彼のコンテンツを扱うための個人の権利のマネージャである。

プライベートコンテンツとして（たとえば記録されたＴＶ番組又はホームビデオといった）プレインテキストをプロテクトするため、ユーザは、彼のフィジカルキーをプラグインして記録装置に対して認証し、ストレージ１０の彼／彼女の個人の環境を開き、彼の個人のドメインにコンテンツファイルを記憶する。オーナは、コンテンツを解読してそれをプレインテキストで記憶することでプライベートコンテンツを公開する。オーナのフィジカルキー５を使用して、記録装置１は、（たとえばパスワード又はバイオマトリクスを使用して）コンテンツを公開し始める前に、認証の手順を完了するかをオーナに尋ねる。公開した後、サーバは、古いアクセスメッセージを除去し、コンテンツを他のユーザに知らせる。彼の個人の環境では、オーナは、ユーザ又はユーザのグループを選択し、それらに対するアクセス権を規定することで他のユーザに対するコンテンツファイルの共有する権利を与える。

アクセスメッセージ２０の例は、図３に示されており、メッセージ識別子２１、ユーザＩＤブロック２２、オーナＩＤブロック２３、２つのアセットブロック２４ａ、２４ｂ及びシグニチャブロック２５を有する。それぞれのブロックは、２５６バイトであり、これは、２０４８ビットの暗号化のために十分に大きい。１つのメッセージは、１ユーザが１つのアセット（コンテンツ）にアクセスするために作成される。

ユーザのＩＤブロック２２及びオーナのＩＤブロック２３は、ユーザの公開鍵及びオーナの公開鍵を含む。それらは、環境における公開情報であるので、プレインテキストとして記憶される。代替的に、全体のアクセスメッセージを暗号化することができ、一方のメッセージは、オーナの公開鍵でオーナにより保持され、別のメッセージは、ユーザの公開鍵をもつユーザのためのメッセージである。これらの２つのメッセージは、互いにリンクされるべきであり、余分のインデックス情報（メッセージ識別子、公開鍵及びアセットＩＤをもつテーブル）を必要とし、このインデックス情報は、効率的なやり方でシステムが動作するのを助ける。プライバシーの問題を回避するため、係るインデックス情報は、分割され、ユーザのフィジカルキーの間で分散される。

２つのアセットブロック２４ａ，２４ｂは、コンテンツプロファイルを示すアセットＩＤ、アセットの暗号化のために使用されるアセットキー、ユーザに与えられるアセット権利といった、アセットに関する同一の情報を含む。一方のブロックは、ユーザの公開キーで暗号化され、（ブロックを解読するのに必要な鍵ペアの秘密鍵はフィジカルキー内にあるため）ユーザのフィジカルキーでユーザによってのみ読取り可能である。他方のブロックは、オーナの公開鍵で暗号化される。このブロックは、オーナがユーザへのメッセージ（たとえばアクセス権）を変えるのを望むときに必要とされる。

シグニチャブロック２５は、（たとえばオーナシップの振りをするか、オーナにより認可されていないコンテンツに何かをする、といった）誰もアクセスメッセージを誤って使用することができないことを保証するために必要とされる。シグニチャブロックは、オーナのフィジカルキーにより作成される、暗号化されたアセットブロックを含む、他の４つのブロックのハッシングを含む。ハッシングは、４つのブロックにおける各ビットの完全性を保証する。次いで、シグニチャブロックは、オーナの秘密鍵により暗号化され、これにより、オーナのフィジカルキーのみがこのシグニチャを作成できることが保証される。任意のフィジカルキーは、オーナの公開鍵を使用してシグニチャブロックを解読し、シグニチャにおけるハッシングとユーザのフィジカルキーにより作成されたハッシングとを比較することでメッセージのオーナを確認することができる。

オーナは、彼のコンテンツにアクセスするために同じアクセスメッセージメカニズムを使用する。このケースでは、メッセージは、アセットブロックにおいてフルアクセス権を有し、ユーザのＩＤブロックとオーナのＩＤブロックは同じである。

（たとえば装置Ｂと装置Ａとの間、又は装置Ａと認証されたユーザとの間といった）２つのエンティティ間のオーナシップの転送は、図４及び表１に例示されるプロトコルを使用して行われる。

はじめに、ステップ４１では、現在のオーナ（たとえば装置Ｂといった第一のエンティティ）は、“Ownership takeover”をもつ特別のアクセスメッセージを作成し、このアクセスメッセージを意図された新たなオーナ（たとえば装置Ａ又はユーザといった第二のエンティティ）に送出する（矢印４２）。（たとえばセキュアなサブシステム又はフィジカルキーといった）受信のエンティティのセキュアな環境が特別のアクセスメッセージを受信するとき、エンティティのセキュアな環境は、オーナシップの移転の申し出をチェックする（ステップ４３）。たとえば、オーナは、公開鍵の鍵証明書を送出して、係るチェックをイネーブルにする。次いで、ステップ４４では、（たとえばセキュアなサブシステム又はフィジカルキーといった）新たなオーナのセキュアな環境は、特別のアクセスメッセージを使用して新たなオーナシップのアクセスメッセージを作成する。新たなオーナ（第二のユーザ）は、アセットキーを変更し、コンテンツを再び暗号化してフルオーナシップの引継ぎを保証する。

例示される例では、ステップ４５における（たとえば装置Ａといった）新たなオーナは、古いオーナに送出されるクリーンアップメッセージを作成する（矢印４６）。（たとえば装置Ｂといった）古いオーナは、ステップ４７におけるオーナシップのアクセスメッセージを取り除き、新たなオーナに確認を送出する（ステップ４８）。このように、オーナシップは、セキュアな方法で移転される。

図１における記録装置の使用は、図５及び表２を参照して記載される。

第一の、ユーザは、彼の秘密鍵を使用して記録装置１に対して認証を行い（ステップＳ１）、要求された記録スケジュール及びプライバシーの設定を入力する（ステップＳ２）。上述されたように、プライベートの記録は、他のユーザにその存在を露出しないため、最も低い可能な優先度を有するべきである。

次いで、スケジューリングマネージャ８は、この要求された記録と（様々なプライバシーの程度を有する）前にスケジューリングされた記録との間のコンフリクトを検出する（ステップＳ３）。（要求が入力されたときに即座に、又は後の時間で）スケジューリングマネージャがコンフリクトを検出したとき、ステップＳ４におけるセキュアなサブシステム４は、インタフェース９を介して、記録装置の何れか１つが記録を行うことができるかを調べるため、他の接続された記録装置１０１，１０２，．．．，のセキュアなサブシステムと通信する。かかる利用可能な記録装置１０１が発見された場合、この装置１０１のスケジューリングマネージャで記録がスケジューリングされる（ステップＳ５）。

スケジュールされた記録は、セキュアチャネルを通してストリーミングすることで、記録の間に、又は記録が終了した後に、記録装置１により受信及び記録される（ステップＳ６）。第一のケースでは、装置１及び１０１は、記録を通して接続される。後者のケースでは、コンテンツは、２つの装置がネットワークに同時に接続されるとすぐに受信することができる。

最後に、ユーザは、コンテンツへのアクセスを取得し、彼／彼女が記録装置１に認証を行う次回にコンテンツのオーナシップを担う（ステップＳ７）。コンテンツのプライバシーを維持するため、記録を形成する装置（１０１又は１）からユーザ（すなわちフィジカルキー）にコンテンツのオーナシップのセキュアな扱いを提供することが重要である。これはどのように達成されるかに関する幾つかの例が以下に与えられる。

コンフリクトは、記録をスケジュールした装置で後に生じる可能性がある。次いで、この装置は、要求している装置と通信し、記録をキャンセルし、その場合、要求している装置は、記録をスケジュールするために別の利用可能な記録装置を発見するのを試みる。代替的に、記録をスケジュールするのを受け入れた装置は、別の利用可能な記録装置を発見するのを試みる場合がある。成功した場合、オリジナルの装置に移転を通知する。このように、スケジュールされた個人の記録をキャンセルする確率は、最も小さい記録の優先度（プライベートの記録の完全に隠された要求）を有するときでさえ、スタンドアロンの装置のケースにおけるよりもかなり小さい。

更に別の状況は、記録の間に記録装置１でコンフリクトが生じることである。このケースでは、部分的なコンテンツが装置で記録されたが、装置は、（たとえばパート２又はパート３といった）記録の次の部分として、コンテンツの残りを記録することを別の装置１０１に尋ねるために先の手順を使用することができる。ギャップを回避するため、装置は、個人のスケジュールされた記録とコンフリクトする（たとえばＴＶ局といった）ソースを記録することに切り換える前に、数秒について記録を継続する場合がある。

他の装置１０１は、上述された同じ方法で、要求におけるパートの番号を使用してコンテンツの残りを記録する。コンフリクトが装置１０１においても生じるケースでは、要求は、それ自身のパートの番号の次の（たとえば３である）新たなパートの番号をもつ更に別のフリーな装置１０１に送出される。

幾つかの異なる装置で実行された終了された記録の後、認証されたユーザ（彼のフィジカルキー）は、上述されたオーナシッププロトコルの移転を使用してそれぞれ記録されたパートのオーナシップを担う。ユーザは、ある装置に、パートを１つのアイテムに結合させるか、又はそれらをあるリストでグループ化することを選択する。次いで、コンテンツは、全体として表示される。記録を完了するために利用可能な装置が発見されない場合、プライベートな記録の要求及び部分的に記録されたコンテンツをキャンセルすることができるか、同じコンテンツの次のブロードキャストによる後の完了のため記憶される。

代替的に、勿論、コンフリクトを有する記録装置は、記録を継続し、利用可能な記録装置を使用して、コンフリクトを形成した要求を無効にする。

上述されたように、記録されたコンテンツのオーナシップは、コンテンツを作成した（）すなわち記録されたコンテンツを記憶した）装置から記録を要求したユーザ（すなわち彼のフィジカルキー５）に移転される。このプロセスは以下に記載され、上述されたプロトコルの使用が前提とされる。勿論、満足のいくセキュリティをもつ他のオーナシップの移転のプロトコルが使用される。

第一の実施の形態によれば、オーナシップの直接的な移転は、コンテンツを実際に記録した装置と（ユーザのフィジカルキーを使用して）記録を要求したユーザとの間で行われる。

図６を参照して、（ユーザのフィジカルキー５をもつ）ユーザは、装置Ａで認証を行い（矢印６１）、プライベートな記録を要求する。装置Ａは、コンフリクトの状況を有し、記録を行うことができるネットワーク化された装置Ｂを発見する。装置Ａは、ユーザＩＤ（このプライベートな記録を要求した人物の公開鍵）、その装置ＩＤ、（チャネル、タイトル、ＥＰＧからのＩＤ等を含む）番組に関する詳細、時間（開始時間及び期間）、（たとえば完全に隠蔽といった）要求のプライバシーレベルを有する要求を送出する（矢印６２）。装置Ｂは、コンテンツを記録し、このコンテンツのオーナシップを担う。次いで、装置Ｂは、装置Ａに確認メッセージを送出する（矢印６３）。次回、ユーザが装置Ａを認証したとき（矢印６４）、（又は即座に、ユーザがなおオンラインである（認証された）場合）装置Ｂが促され、オーナシッププロトコルの移転は、ユーザ（彼のフィジカルキー５）と装置Ｂとの間で行われる（矢印６５）。

この実施の形態の変形例は、全てのネットワークの装置に確認メッセージを装置Ｂにブロードキャストさせることである。これにより、オーナシップの移転は、ユーザがこれらの装置の何れかを認証したときに行うことができる。更に別の変形例は、ユーザのスケジューリング要求においてユーザが、どの装置から、彼が記録されたコンテンツのオーナシップを再開するのを望むかを規定する。かかる手順は、勿論、オリジナルの装置が記録をなすために実際に使用されるときにも利用可能である。

オーナシップを直接に移転する問題は、装置Ｂが利用可能（オンライン）であるときにのみ行われる点である。

図７に例示される第二の実施の形態では、オーナシップの移転は、装置Ａと装置Ｂとの間で行われ、次いで、ユーザ（フィジカルキー５）に対して行われる。最初のプロセスは、図６におけるプロセスと同じであり（矢印６１及び６２に対応する矢印７１及び７２）、装置Ｂは、再び記録し、コンテンツのオーナシップを担う。記録の完了の後、しかし、装置Ｂは、装置Ａと通信し、オーナシップを装置Ａに即座に移転する（矢印７３）。装置Ａがオンラインではない場合、次回装置Ａ及びＢが同時にオンラインとなったときに移転が行われる。次回ユーザが装置Ａを認証したとき（矢印７４）、（又は即座に、ユーザがなおオンラインである（認証された）場合）オーナシッププロトコルの移転は、ユーザ（彼のフィジカルキー５）と装置Ａ（矢印７５）との間で行われる。

この実施の形態の変形例では、装置Ｂは、ユーザがそれら定義された装置の何れかを使用してオーナシップを担うように、（たとえばプライベートな番組の記録の要求においてユーザにより定義されるように）装置のセットにオーナシップを移転することができる。

この第二の実施の形態は、よりフレキシブルである、両方の装置が時々オフラインとなるのを可能にする。

図８に示される第三の実施の形態では、最初のプロセスは、図６におけるプロセスと同じである（矢印６１及び６２に対応する矢印８１及び８２）。今回は、装置Ｂは、コンテンツのオーナシップを担わない。代わりに、装置Ｂは、チューナとしてのみ使用され、コンテンツは、（それぞれのセキュアなサブシステム間の）セキュアなチャネルを通して装置Ａにストリーミングされる（矢印８３）、装置Ａは、コンテンツを記録し、コンテンツのオーナシップを担う。次いで、第二の実施の形態におけるようにユーザが装置Ａに認証したとき、オーナシップは、ユーザ（彼のフィジカルキー５）に移転される。

このソリューションは、両方の装置が記録の全体のプロセスの間のオンラインであることを必要とし、更に、（コンフリクトしている記録を実行することで占有される）装置Ａは、多数のストリームの記憶を扱うことができる必要がある。

本明細書で説明された実施の形態の記載された機能は、記録装置における適切なソフトウェア、及び／又はフィジカルキーのようなパーソナルセキュリティ装置により実現することができる。しかし、代わりに機能の一部、又は機能の組み合わせが、たとえばフィジカルキーにおける専用回路としてハードウェアとして実現することができる。

当業者は、上述された好適な実施の形態に本発明が決して限定されるものではないことを認識する。対照的に、多くの変更及び変形は、特許請求の範囲で可能である。たとえば、他のプロトコルは、記録されたコンテンツの作成者と記録を要求したユーザとの間でのオーナシップの移転を行うために使用される。

「有する“comprise”」、「含む“include”」、「組み込む“contain”」、「〜である“is”」及び「有する“have”」のような表現は、明細書及びその関連される請求項を解釈したとき、排他するものではない方法で解釈されるべきであり、すなわち、明示的に定義されない他のアイテム又はコンポーネントが存在することが可能であると解釈されるべきである。単数であることに対する参照は、複数に対する参照であるとも解釈され、逆も然りである。データがオーディオビジュアルデータとして参照されるとき、実施の形態の記載において時に示されない場合に、オーディオのみ、ビデオのみ、又は静止画のみ、若しくはその組み合わせを表わすことができる。

さらに、本発明は、本明細書で記載される実施の形態で提供されるよりも少ないコンポーネントで実施される場合があり、１つのコンポーネントは、多数の機能を実行する。同様に、本発明は、図１に示されるよりも多くのエレメントを使用して実施され、提供される実施の形態における１つのコンポーネントにより実行される機能は、多数のコンポーネントを通して分散される。

本発明の第一の実施の形態に係る記録装置の概念的なブロック図である。 更に詳細に図１におけるフィジカルキー及びセキュアサブシステムを示す図である。 アクセスメッセージの例を示す図である。 本発明の実施の形態における実現に適したオーナシップの移転プロセスの例を説明するフローチャートである。 本発明の第二の実施の形態に係る方法のフローチャートである。 記録を要求したユーザにオーナシップがどのように移転されるかに関する例を示す図である。 記録を要求したユーザにオーナシップがどのように移転されるかに関する例を示す図である。 記録を要求したユーザにオーナシップがどのように移転されるかに関する例を示す図である。

Claims (22)

1. 記録装置にブロードキャストされたコンテンツの前にスケジュールされた記録を行なう方法であって、
   認証されたユーザからのプライバシーの設定によるスケジュールされた記録の要求を受信するステップと、
   前記要求されたスケジュールされた記録が前にスケジュールされた記録とコンフリクトするかを判定するステップと、
   前にスケジュールされた記録とコンフリクトしていると判定されたスケジュールされた記録に従うコンテンツを記録するためにリモートレシーバに要求を伝達するステップと、
   前記リモートレシーバから前記記録されたコンテンツを受信するステップと、
   前記記録されたコンテンツを記憶し、前記プライバシーの設定に基づいて記憶されたコンテンツへのアクセスを制御するステップと、
   を含む方法。
2. 前記記録されたコンテンツは、前記記録装置により受信される前に、前記リモートレシーバで中間的に記憶される、
   請求項１記載の方法。
3. 前記記録されたコンテンツのオーナは、はじめに前記リモートレシーバである、
   請求項２記載の方法。
4. 前記コンテンツが前記記録装置により受信されたとき、前記リモートレシーバから前記記録装置にコンテンツのオーナシップが移転する、
   請求項３記載の方法。
5. 前記ユーザが前記記録装置で認証したときに前記記録装置から前記ユーザにコンテンツのオーナシップが移転する、
   請求項４記載の方法。
6. 前記ユーザが前記リモートレシーバに接続される記録装置で認証したとき、前記リモートレシーバから前記ユーザにコンテンツのオーナシップが移転する、
   請求項３記載の方法。
7. 前記コンテンツは、中間的に記憶されることなしに、セキュアなチャネルで前記記録装置にストリーミングされる、
   請求項１記載の方法。
8. 前記記録されたコンテンツのオーナは、はじめに記録装置である、
   請求項７記載の方法。
9. 前記ユーザが前記記録装置で認証したときに前記記録装置から前記ユーザにコンテンツのオーナシップが移転する、
   請求項８記載の方法。
10. コンフリクトが前記記録の要求で生じたことを示すメッセージを前記リモートレシーバから受信するステップと、
    前記メッセージに応答して、前記コンテンツを記録するために更なるリモートレシーバに要求を伝達するステップと、
    を更に含む請求項１記載の方法。
11. 前記記録の要求が更なるリモートレシーバに中継されたことを示すメッセージを前記リモートレシーバから受信するステップと、
    前記更なるリモートレシーバから前記コンテンツを受信するステップと、
    を更に含む請求項１記載の方法。
12. 前記コンテンツは、前記リモートレシーバで部分的に記録され、前記更なるリモートレシーバで部分的に記録される、
    請求項１０又は１１記載の方法。
13. 前記記録されたコンテンツは、セキュアなストレージに記憶される、
    請求項１乃至１１の何れか記載の方法。
14. 記憶されたコンテンツへのアクセスは、デジタル著作権の管理システムにより規制される、
    請求項１乃至１１の何れか記載の方法。
15. ブロードキャストされたコンテンツの前にスケジュールされた記録を行なう装置であって、
    ブロードキャストされたコンテンツを受信し、受信されたコンテンツを記憶媒体に記憶する記録ユニットと、
    記録及び該記録のプライバシーの設定をユーザがスケジュールするのを可能にする入力手段と、
    前記スケジュールされた記録が前にスケジュールされた記録とコンフリクトするかを判定する制御ユニットとを含み、
    前にスケジュールされた記録とコンフリクトしていると判定されたスケジュールされた記録に従うコンテンツを記録するためにリモートレシーバに要求を伝達する手段と、
    前記プライバシーの設定に基づくアクセス権により、前記少なくとも１つの記録装置から前記記録されたコンテンツを受信し、受信されたコンテンツを前記記憶媒体に記憶する手段と、
    を含む装置。
16. 前記記録装置に対してユーザが認証するのを可能にするため、個人のセキュリティ装置との通信を確立する手段を更に有する、
    請求項１５記載の装置。
17. 前記ストレージは、セキュアなストレージである、
    請求項１５又は１６記載の装置。
18. 記憶されたコンテンツへのアクセスは、デジタル著作権の管理システムにより規制される、
    請求項１５又は１６記載の装置。
19. 前記通信手段は、コンフリクトが前記記録の要求で生じたことを示すメッセージを前記リモートレシーバから受信し、前記メッセージに応答して、前記コンテンツを記録するために更なるリモートレシーバに要求を伝達する、
    請求項１５記載の装置。
20. 前記通信手段は、前記記録の要求が更なるリモートレシーバに中継されたことを示すメッセージを前記リモートレシーバから受信し、前記更なるリモートレシーバから前記コンテンツを受信する、
    請求項１５記載の装置。
21. コンピュータで実行されたとき、請求項１乃至１４の何れか記載の方法のステップを実行するコンピュータコードを含むコンピュータプログラム。
22. コンピュータ読取り可能な記録媒体に記憶される、請求項２１記載のコンピュータプログラム。
    

Images