JP4824021B2 - 情報セキュリティ装置、情報セキュリティシステム、情報セキュリティ方法、制御プログラムおよび集積回路 - Google Patents

Description

本発明は、コンテンツ情報等がチェインで流通した後、このコンテンツ情報の利用条件を同様のチェインをたどって変更できる情報セキュリティ装置に関する。

近年、デジタルカメラやカメラ付き携帯電話等の普及により、個人ユーザが静止画や動画等のデジタルコンテンツを容易に生成出来るようになった。以後、個人ユーザが生成したデジタルコンテンツのことを個人コンテンツと呼ぶことにする。また、それら個人コンテンツを、デジタルテレビやハイブリッドレコーダ、携帯機器等に転送して、視聴出来る環境が整いつつある。それに伴って、家族や友達と個人コンテンツを交換し合う機会が増えてきており、今後個人コンテンツの流通が活発に行われるようになると予想される。

現在、個人コンテンツの流通システムの一例としては、ピアツーピア型のファイル交換システム（例えば、非特許文献１参照）が挙げられる。ファイル交換システムでは、ネットワーク上のユーザが相互に個人コンテンツを交換し合う。ファイル交換システムにおいて、個人コンテンツを要求するユーザは、自己が所有する端末を利用して、個人コンテンツを所有するユーザの端末に対し、欲しい個人コンテンツを指定し、ネットワークを介して個人コンテンツをダウンロードする。ピアツーピア型のファイル交換システムでは、個人コンテンツを受け取ったユーザは、また別のユーザに自由に再配布（二次配布）出来る。そのため、コンテンツは活発に流通される。

一方、この二次配布により、どこに個人コンテンツが流通しているのかを把握困難になる恐れがある。従来の個人コンテンツの配布情報の管理方法として、個人コンテンツをチェインで順に配布する際、誰が誰に送信したのかを履歴管理サイトが集中して管理する方法が開示されている（例えば、特許文献１参照）。
伊藤直樹著「Ｐ２Ｐコンピューティング−技術解説とアプリケーション」、ソフトリサーチセンター出版、２００１年１２月 特開２００１−２５６４１３号公報

一般に、個人コンテンツは不特定の人には知られたくないプライベートな写真データ等も含まれる。そのため、個人コンテンツを生成したユーザ（生成ユーザ）には、生成した個人コンテンツの配布範囲を限定したいという要望がある。

しかしながら、非特許文献１に記載の従来技術では、生成ユーザの意図に関係なく、個人コンテンツを受け取ったユーザは自由に再配布（二次配布）出来ていた。つまり、一旦生成ユーザの手を離れてしまった個人コンテンツの二次配布を生成ユーザが制御することが出来ないという課題がある。

一方、特許文献１に記載の従来技術では、各ユーザがどこに流通させたのかといった情報が集中管理されている。この情報はそのユーザの友人関係の情報、つまりプライバシーに関連しており、それが他者に管理されているということはそのユーザにとって不快である。また、個人情報保護法の観点からも、運営側が管理サイトを安全に運営するための大きなリスクを負い、課題である。

本発明は、前記従来の課題を解決するもので、各ユーザがどこに流通させたかの情報を集中管理することなしに、流通させてしまった個人コンテンツの利用条件を、後から個人コンテンツ流通と同じチェインをたどって、変更、削除（回収）等できる情報セキュリティ装置を提供することを目的とする。

前記従来の課題を解決するために、本発明の情報セキュリティ装置は、送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置であって、前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも１つを受信する受信手段と、前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納手段と、前記条件変更コマンドに基づいて前記利用条件を変更する制御手段と、前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも１つを前記送信先装置に送信する送信手段とを備え、前記制御手段は、前記送信先装置の信頼度に応じて、前記受信手段で受信する前記条件変更コマンドを変更して、前記送信先装置に送付するように制御することを特徴とする。

本構成によって、前記制御手段において条件変更コマンドに基づいて利用条件を変更することにより、コンテンツの配布後に、利用条件の変更や、コンテンツの回収（削除）を行うことが可能となる。

また、本発明に係る情報セキュリティ装置は、さらに、前記コンテンツ情報の識別子、前記コンテンツ情報の送付元装置の識別子、前記コンテンツ情報の作成装置の識別子、前記コンテンツ情報の送付先装置の識別子の少なくとも１つ含む情報を、前記コンテンツ情報のチェイン情報として生成するチェイン情報生成手段と、前記チェイン情報を格納するチェイン情報格納手段とを備え、前記制御手段は、さらに、前記条件変更コマンドの対象となる前記コンテンツ情報のチェイン情報を参照して、前記条件変更コマンドの対象となるコンテンツ情報の利用条件を変更することを特徴とする。

この構成により、前記制御手段において、チェイン情報を参照して利用条件を変更でき、コンテンツ情報の管理を行うことが可能となる。

なお、前記目的を達成するために、本発明は、情報セキュリティ装置の特徴的な手段をステップとする情報セキュリティ方法として実現したり、コンピュータに各ステップを実行させるためのプログラムとして実現することもできる。そのようなプログラムは、ＣＤ−ＲＯＭ等の記録媒体やインターネット等の伝送媒体を通じて配信することができるのは言うまでもない。

本発明の情報セキュリティ装置によれば、ユーザは確実にネットワークを介した個人コンテンツ等のコンテンツの配布後に、条件の変更や、コンテンツの回収（削除）を行なうことができるため、自ら作成した個人コンテンツ等を、より気軽にネットワーク上に配布、公開できる。

以下、本発明の実施の形態について、図面を参照しながら説明する。なお、ここではコンテンツを流通させて、その後そのコンテンツを回収（削除）する場合を例として説明する。また、回収せずに、利用条件を変更することも可能である。なお、各情報セキュリティ装置は回収指示があればそれに従う正しい装置であると仮定する。

（実施の形態１）
図１は、本発明の実施の形態１に係る情報セキュリティシステムの全体構成例を示す図である。

図１において、情報セキュリティシステムは、通信路１、通信路２を介して順に接続される３つの情報セキュリティ装置を備える。それぞれ、情報セキュリティ装置１（１００）、情報セキュリティ装置２（２００）、情報セキュリティ装置３（３００）である。なお、図１では、情報セキュリティ装置は３つ示しているが、３つ未満であっても良いし、４つ以上であってもよい。なお、ここでは説明のため、情報セキュリティ装置１、２、３のユーザはそれぞれ、ＡＬＩＣＥ、ＨＡＮＡＫＯ、ＢＯＢとする。

情報セキュリティ装置は、パーソナルコンピュータ等のコンピュータ装置や、家電製品（デジタルテレビ、ビデオデッキ、ＤＶＤレコーダ、ハードディスクレコーダなど）、セットトップボックス、携帯電話、ＰＨＳ、デジタルスチルカメラ、デジタルビデオカメラ、マルチメディア再生端末、ＰＤＡ（Ｐｅｒｓｏｎａｌ Ｄｉｇｉｔａｌ Ａｓｓｉｓｔａｎｔ：携帯型情報端末装置）、車載情報端末、専用携帯端末等の、情報の入出力や記憶等の処理が可能ないわゆる情報処理端末装置である。通信路は、インターネットや電話線、無線通信等によって実現される、情報処理端末間の相互通信を可能とする情報伝達メディアである。

なお、本図の説明においては、情報セキュリティ装置が１対１の関係でコンテンツの送受信を行う場合を示しているが、情報セキュリティ装置の関係は１対多、又は多対１の関係でコンテンツの送受信を行う構成であっても構わない。

図２は、図１における情報セキュリティ装置２の内部構成例を示す図である。情報セキュリティ装置１および３も同様の構成であっても良い。情報セキュリティ装置２は、情報セキュリティ装置１よりコンテンツを受信し、これを蓄積して利用すると共に、情報セキュリティ装置３に送信する。

図２において、情報セキュリティ装置２００は、通信路１を介して情報セキュリティ装置１よりコンテンツおよび回収コマンドを受信する受信部２０１、コンテンツおよびその利用条件を格納するコンテンツ格納部２０２、受信した回収コマンドの正当性を確認する回収コマンド確認部２０３、コンテンツを削除するコンテンツ削除部２０４、コンテンツの送受信情報を含むチェイン情報を格納するチェイン情報格納部２０５、送信先リスト格納部２０６、通信路２を介してコンテンツおよび回収コマンドを情報セキュリティ装置３に送信する送信部２０７、回収コマンドの処理制御を行う制御部２０８、及びコンテンツと利用条件を参照してコンテンツを再生するコンテンツ再生部２０９を備える。

図３では、コンテンツを受信した場合の動作例を示している。図２を参照して説明する。

受信部２０１は、通信路１を介してコンテンツを受信する（ステップＳ４０１）。ここでのコンテンツのＩＤは１２３４とする。ここでは詳細に述べないが、コンテンツ受信と同時に、コンテンツの利用条件を受信してもよい。なお、利用条件とは、例えば、決められた回数だけ再生可能などとする。

受信部２０１は、受信したコンテンツをコンテンツ格納部２０２に格納する（ステップＳ４０２）。また、コンテンツの利用条件を受信した場合は、利用条件もコンテンツ格納部２０２に格納する。

次に、受信部２０１は、コンテンツ情報（コンテンツＩＤ、コンテンツ作成者、コンテンツ保存場所、コンテンツ重要度など）と、送信者の情報（送信元情報）をチェイン情報として、チェイン情報格納部２０５に格納する（ステップＳ４０３）。

制御部２０８は、受信部２０１がチェイン情報格納処理を完了した後、送信先リスト格納部２０６に格納されている送信先リストを参照し、送信先を決定する（ステップＳ４０４）。例えば、送信リスト格納部２０６に、ユーザ情報（ユーザＩＤやユーザ名など）と送信先アドレス（電話番号やＩＰアドレスやメールアドレスなど、通信先情報）と各ユーザに対する信頼度を組みにして送信リストとして保持している場合について、具体的に説明する。処理対象のコンテンツに付加されている重要度と、送信リストの信頼度とを比較して、送信先を決定する。信頼度は例えば０から１００（数字が大きいほど信頼していることを示す）で示し、重要度が一定以上のコンテンツは、信頼度８０以上のユーザを送信先として選ぶものとする。ここで情報セキュリティ装置２の持ち主ＨＡＮＡＫＯは、ＢＯＢを信頼しており、ＢＯＢの持つ情報セキュリティ装置３を、コンテンツ１２３４の送信先として選ぶものとする。

制御部２０８は、決定した送信先を送信先情報としてチェイン情報に格納することで、チェイン情報格納部２０５に格納されているチェイン情報を更新する（ステップＳ４０５）。

送信部２０７は、制御部２０８が決定した送信先（情報セキュリティ装置３）に、コンテンツを送信する（ステップＳ４０６）。

なお、情報セキュリティ装置２の利用者ＨＡＮＡＫＯは、情報セキュリティ装置３に送信する前や後に、コンテンツ格納部２０２内のコンテンツを、コンテンツ再生部２０９を用いて利用（再生）することができ、コンテンツ流通前後に対象コンテンツの内容を確認することが可能である。

図４では、図３のステップＳ４０３またはＳ４０５において処理するチェイン情報４００の一例を示す。

コンテンツＩＤ（１２３４）およびコンテンツ作成者は、コンテンツに付加されている情報を参照して記録する。また、ここでは情報セキュリティ装置１のユーザがＡＬＩＣＥで、情報セキュリティ装置３のユーザがＢＯＢであるため、コンテンツ送信元はＡＬＩＣＥ、送信先はＢＯＢとなる。また、コンテンツ保存場所とは、コンテンツ格納部２０２内の保存位置を示す情報である。なお、ここでの有効期限は、このチェイン情報を保持しておかなければならない期日であり、この間であれば、同じルートで回収コマンドが来たときに、コンテンツの流通チェインと同じルートで、回収コマンドを流通させることができる。この図４の例では、２００５．５．５まではこのチェイン情報を削除してはならず、これまでの間は回収コマンドをこのチェイン情報を参照して次にまわすことができる。一方、２００５．５．６以降は、このチェイン情報を削除しても良いとし、回収コマンドが行き渡る保証はなくなる。

図５は、図３で述べたコンテンツの流通後に、コンテンツ作成者ＴＡＲＯの意志で、コンテンツ１２３４を回収、つまり流通先で削除する場合の処理を示す。

受信部２０１は、通信路１を介して回収コマンドを受信する（ステップＳ５０１）。

回収コマンド確認部２０３は、受信した回収コマンドの正当性を確認する（ステップＳ５０２）。この場合、コンテンツ作成者ＴＡＲＯのデジタル署名を確認することで、不正な回収コマンドではないことを確認する。回収コマンドが不正である場合（ステップＳ５０２がＮＧ）、処理を終了する。一方、回収コマンドが正当である場合（ステップＳ５０２がＯＫ）、ステップＳ５０３に遷移する。

制御部２０８は、回収コマンドが対応するコンテンツのチェイン情報を、チェイン情報格納部２０５から取得し、内容を確認する（ステップＳ５０３）。例えば、対応するチェイン情報が、図４に示した内容の場合、このコンテンツをＢＯＢ（情報セキュリティ装置３）に送信したことが分かる。また、チェイン情報保持の有効期限内であることも分かる。この有効期限は、チェイン情報を保持しておかないといけない期日であるため、この期限を過ぎている場合は、回収コマンドを流通させないと判断し、期限内の場合のみ流通させてもよい。また、有効期限に関係なく、受け取った回収コマンドを流通させてもよい。ここでは、有効期限に関係なく、処理するものとする。

制御部２０８は、回収コマンドに従って、コンテンツ削除部２０４に対象のコンテンツの削除を指示し、コンテンツ削除部２０４は、コンテンツ格納部２０２に格納された、コンテンツを削除する（ステップＳ５０４）。

制御部２０８は、チェイン情報から取得した送信先（情報セキュリティ装置３）に、回収コマンドを送信する（ステップＳ５０５）。

以上により、情報セキュリティ装置は、コンテンツ配布後に回収コマンドを送信することで、流通先でのコンテンツの回収（削除）を行なうことが可能となり、気軽にコンテンツを流通することができる。また、チェイン情報は、各情報セキュリティ装置内にとどまるため、プライバシーの課題は生じない。

なお、本実施の形態１では、コンテンツ流通後に回収コマンド（すでに流通したコンテンツを無効化、あるいは削除するコマンド）を流通させるとしているが、コンテンツの利用条件の変更としてもよい。これは例えばコンテンツ流通と同時または別にコンテンツの利用条件（例えば１０回の視聴）を流通させると仮定し、その後、これを変更（例えば２０回にする）する場合に適用できる。また、１０ヶ月の利用期限であったものを、３ヶ月に短縮する場合にも同じチェインをたどってこのコマンドを流通する。従って、コンテンツ作成者が自己の都合により後から配布先の情報セキュリティ装置におけるコンテンツの利用形態を容易に変更でき、より気軽にコンテンツをネットワーク上に配信、公開することができる。

また、本実施の形態１では、コンテンツの回収コマンドに対する処理として、コンテンツ本体の削除としているが、コンテンツ利用不許可フラグであってもよい。コンテンツ利用時にはこのフラグが許可状態になっているのを確認後に初めて利用できるものとする。また、コンテンツを暗号化して保管している場合は、この鍵の削除であってもよい。また、削除時には、コンテンツとともにチェイン情報も削除してよい。また、コンテンツ削除方法として、これらのいずれとするかを、コンテンツに付加して指定しても良い。

また、回収コマンド確認部２０３では、コンテンツ作成者のデジタル署名を確認しているが、送信者（つまり情報セキュリティ装置１）のデジタル署名としてもよい。また、コマンドの正当性確認方法として、これらのいずれとするかを、予めコンテンツに付加して指定すれば、対応したデジタル署名が確認されたときのみに、回収コマンドを受け入れて処理する。

また、回収コマンド確認部２０３では、送信先の信頼度によりこのコマンドを受け入れるかを決めても良い。例えば、あまり信頼のない送信先から、その送信先のデジタル署名をつけて回収コマンドが来た場合、設定によっては、コンテンツを削除しなくてもよい。

また、有効期限を日付で表しているが、これはコンテンツが送信されてからの相対時間（例えば３０日など）であっても良い。また、精度としては日、時、分等、いずれであってもよい。

また、対象コンテンツとして、個人が撮影したビデオや写真等の個人コンテンツに限らない。商用コンテンツであっても良いし、口コミ情報のようなテキスト等の情報であってもよい。

また、回収コマンドは、他の情報セキュリティ装置（おそらく、コンテンツの作成者）から発行されるものとしているが、例えば送信先の信頼度が大幅に下がったこと等を契機にして、コンテンツの作成者の許可の元に途中の装置から発行しても良い。

また、送信先は、送信リストの信頼度とコンテンツの重要度から決定するとしているが、この方法だけでなくてもよい。友達、あるいは知り合いのリストを作成しておいて、その全員を送信先としても良い。あるいはその場にいて通信路が確立された情報セキュリティ装置を送信先としても良い。

また、情報セキュリティ装置は、条件変更のコマンドや回収コマンドが届いたときにはその指示に従う正しい装置であると仮定している。このために、情報セキュリティ装置間で、最初に正しい装置であるかを相互認証すると良い。認証の方法は、例えば公開鍵暗号の手法を用いて、正しい装置だけに配布されている証明書および秘密鍵を有しているかをチャレンジレスポンスの手法で確認するとよい。

また、通信路はコマンドやコンテンツが必ず相手の情報セキュリティ装置に伝送されると仮定しているが、これは何もリアルタイムである必要はない。もし、伝送路が確立できない場合は、何度か接続を試みたり、接続ができるまで待つ等、対処すればよい。例えば通信路がＰＡＮ（Ｐｅｒｓｏｎａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）など近距離の伝送路の場合には、情報セキュリティ装置同士が、近くに位置するまで待てばよい。

また、チェイン情報や送信先リストは、情報セキュリティ装置内に必ずしもとどまらない。例えば可搬できるセキュアメモリデバイスに保存しておいて、適宜情報セキュリティ装置に接続して利用しても良い。

次に、例えばメモリ領域の節約のために、チェインの途中に位置する情報セキュリティ装置において、不要と判断したコンテンツおよびチェイン情報を削除する場合について述べる。

図６は、情報セキュリティ装置２の意志で、コンテンツ１２３４と対応するチェイン情報を削除する場合の処理を示す。まず、コンテンツ１２３４の削除が決定し、処理を開始する。

制御部２０８は、コンテンツ削除部２０４に、削除対象のコンテンツであるコンテンツ１２３４の削除を指示し、コンテンツ削除部２０４は、コンテンツ格納部２０２に格納されたコンテンツ１２３４を削除する（ステップＳ６０１）。

制御部２０８は、コンテンツ１２３４に対応するチェイン情報を、チェイン情報格納部２０５から取得し、有効期限を確認する（ステップＳ６０２）。

そして、有効期限が切れていれば（ステップ６０３がＮＯ）、制御部２０８は、対応するチェイン情報をチェイン情報格納部２０５から削除する（ステップＳ６０４）。

一方、有効期限内であれば（ステップＳ６０３がＹＥＳ）、制御部２０８は、対応するチェイン情報を削除せずに、チェイン情報格納部２０５に残しておく。ただし、コンテンツ保存場所の項目を更新し、対応するコンテンツが存在しないことを示す（ステップＳ６０５）。

以上により、情報セキュリティ装置は、不要と判断したコンテンツを削除し、チェイン情報を残すことができる。これにより、有効期限内に回収コマンドを受け取った場合に、次のコンテンツ流通先である送信先に回収コマンドを送信することが可能となる。

（実施の形態２）
次に、本発明に係る情報セキュリティ装置の第二の実施の形態についての説明を行う。

図７は、本実施の形態２に係る情報セキュリティ装置２００の機能ブロック図を示す。なお、上述した図１の構成と同様の部分については同じ符号を付し、その詳細な説明は省略する。

外部入力部７０４は、キーボードやリモコン等のユーザインターフェースであり、ユーザは既に保持しているコンテンツを回収する「途中抜け」を行うと判断した場合には、この外部入力部７０４を用いて意思表示を行うことができる。なお、本実施の形態２において、ユーザが選択するコンテンツ回収方法には、下記において説明する（ａ）又は（ｂ）の「途中抜け」の方法を選択することができる。

判定部７０１は、コンテンツの「途中抜け」を行う場合において、コンテンツ格納部２０２に格納されている途中抜け対象となるコンテンツの利用条件、チェイン情報格納部２０５に格納されているチェイン情報、機器に埋め込まれているデフォルト値、期間などに基づいて、指定されたコンテンツの「途中抜け」が可能か否かを判定する。なお、コンテンツの利用条件には、コンテンツ回収である「途中抜け」に関するコンテンツ提供者の設定が含まれている。

そして、本実施の形態２の説明におけるコンテンツ回収を伴う「途中抜け」には以下の２種類ある。即ち、１つ目の「途中抜け」の方法は（以下（ａ）の方法と略す）、ＨＡＮＡＫＯから先のチェイン情報を全部切り離してしまう方法である。詳しく説明すると、ＨＡＮＡＫＯはＢＯＢに対してコンテンツ１２３４の回収コマンドを発行し、ＢＯＢから先の全部の情報セキュリティ装置から対応するコンテンツおよび関連するチェイン情報を削除する。この（ａ）に基づく「途中抜け」の方法においては、自分から後ろのチェインで、当該コンテンツを全て回収（削除）することができる。また、自分の友達リストは他の装置に通知する必要がない。

また、２つ目の「途中抜け」の方法は（以下（ｂ）の方法と略す）、情報セキュリティ装置２が保持するチェイン情報を、送信元の情報セキュリティ装置１および送信先の情報セキュリティ装置３に通知して、送信元と送信先の装置を直接チェインで接続する方法である。詳しく説明すると、情報セキュリティ装置２は情報セキュリティ装置１に、送信先のＢＯＢの情報を通知する。これに従って、情報セキュリティ装置１では、チェイン情報の送信先をＨＡＮＡＫＯからＢＯＢに書き換える。また、情報セキュリティ装置２は情報セキュリティ装置３に、送信元のＡＬＩＣＥの情報を通知する。これに従って、情報セキュリティ装置３では、チェイン情報の送信元を、ＨＡＮＡＫＯからＡＬＩＣＥに書き換える。従って回収コマンドがＡＬＩＣＥに届いたときには、このコマンドは直接ＢＯＢに送られることになる。この方法は、ＡＬＩＣＥおよびＢＯＢに、ＨＡＮＡＫＯのチェイン情報を渡すことになる。この（ｂ）による「途中抜け」の方法においては、チェインで繋いでいるコンテンツの流通において自装置だけ抜けて、前後の装置でチェインを繋ぐことができ、送信元装置に送信先装置の機器名を通知、送信先装置に送信元装置の機器名を通知するため、自らの友達リスト等の一部を明らかにする必要性がある。

なお、上記（ａ）又は（ｂ）のいずれの方法で対応するのかは、上述のように、予めコンテンツの付加情報としてコンテンツ作成者から送信されており、チェイン情報として保持しておいても良い。

回収コマンド生成部７０５は、外部入力部７０４を介してユーザにより上記（ａ）の途中抜け方法が選択された場合において、チェイン情報を参照して送信先装置に対して対象となったコンテンツの回収を指示するための回収コマンドを生成する。

チェイン情報通知部７０６は、外部入力部７０４を介してユーザにより上記（ｂ）の途中抜け方法が選択された場合において、送信部２０７を介して、チェイン情報に記述されている送信元装置に対しては少なくとも前記コンテンツ情報の識別子及び送信先装置の識別子を送信し、また、チェイン情報に記述されている送信先装置に対しては少なくとも前記コンテンツ情報の識別子及び送信元装置の識別子を通知する。

図９は、ユーザにより（ｂ）による途中抜けが選択された場合において、このチェイン情報通知部７０６を保持する情報セキュリティ装置２００から送信先の情報セキュリティ装置３００及び送信元の情報セキュリティ装置１００に送信される情報の一例を示す。

情報セキュリティ装置２００は、情報セキュリティ装置１００に対しては少なくともコンテンツ情報の識別子であるコンテンツＩＤ及び送信先装置である情報セキュリティ装置３００のアドレスが含まれた情報９０１、情報セキュリティ装置３００に対しては少なくともコンテンツ情報の識別子であるコンテンツＩＤ及び送信先装置である情報セキュリティ装置１００のアドレスが含まれた情報９０２を送信する。

また、情報セキュリティ装置２００の時間管理部７０２は、期限管理を行うための時間情報を保持する。機器デフォルト値格納部７０３は、メーカ側の都合により機器毎のデフォルト値等を管理している。

図８は、本実施の形態２に係る情報セキュリティ装置においてコンテンツの「途中抜け」を行う際の動作手順を示すフローチャートである。

最初に、判定部７０１は、外部入力部７０４を介してユーザから情報セキュリティ装置のユーザから「途中抜け」の指示があったか否かの確認を行う（ステップＳ８０１）。

そして、ユーザから「途中抜け」の指示があった場合には（ステップＳ８０１でＹｅｓ）、判定部７０１は、外部入力部７０４を介してユーザにより指示された「途中抜け」の方法が上述した（ａ）の方法に該当するかの判断を行う（ステップＳ８０２）。

そして、判定部７０１において（ａ）の方法に該当すると判断された場合には（ステップＳ８０２でＹｅｓ）、コンテンツ格納部２０２から途中抜けを行うコンテンツの利用条件を取得してコンテンツ提供者によって設定されている途中抜け方法として（ａ）の方法が認められているかを確認し（ステップＳ８０３）、その他、時間管理部７０２からの時間情報や、機器デフォルト値格納部７０３からの機器デフォルト値の確認を行い、（ａ）の方法が可能であると判定される場合には（ステップＳ８０３でＹｅｓ）、コンテンツ格納部２０２に格納されているコンテンツの回収を行うと共に（ステップＳ８０４）、回収コマンド生成部７０５に対して、チェイン情報を参照することにより送信先装置に対する途中抜けの対象となるコンテンツの回収コマンドを生成する指示を行い、送信部２０７は既に該コンテンツを送信した送信先の情報セキュリティ装置に対して回収コマンド生成部７０５において生成された回収コマンドの送信を行う（ステップＳ８０５）。なお、この回収コマンドには、少なくとも、コンテンツＩＤ、コンテンツ回収の指示、送信元となる自装置の情報が記述されている。

一方、判定部７０１において、ユーザに指示された「途中抜け」の方法が（ａ）の方法に該当しないと判定される場合、即ち、（ｂ）の方法であると判定される場合には（ステップＳ８０２でＮｏ）、コンテンツ格納部２０２から途中抜けを行うコンテンツの利用条件を取得してコンテンツ提供者によって設定されている途中抜け方法として（ｂ）の方法が認められているかを確認し（ステップＳ８０６）、その他、時間管理部７０２からの時間情報や、機器デフォルト値格納部７０３からの機器デフォルト値の確認を行い、（ｂ）の方法が可能であると判定される場合には（ステップＳ８０６でＹｅｓ）、コンテンツ格納部２０２に格納されているコンテンツの回収を行うと共に（ステップＳ８０７）、チェイン情報通知部７０６は、チェイン情報を参照して、上記図９の説明のように、情報セキュリティ装置１００に対しては少なくともコンテンツ情報の識別子であるコンテンツＩＤ及び送信先装置である情報セキュリティ装置３００のアドレスが含まれた情報を、情報セキュリティ装置３００に対しては少なくともコンテンツ情報の識別子であるコンテンツＩＤ及び送信先装置である情報セキュリティ装置１００のアドレスが含まれた情報を送信して（ステップＳ８０８）、一連の処理を終了する。

なお、チェイン情報通知部７０６から通知を受けた情報セキュリティ装置においては、チェイン情報に記述されている送信先装置又は送信元装置のアドレス情報を更新する処理を行うことにより、以降の装置間のコンテンツ回収等の処理を適切にチェインで繋ぐことが可能となる。

また、情報セキュリティ装置２００のユーザがコンテンツ回収方法である「途中抜け」を行う際の具体例としては、例えば、コンテンツ提供者が、上記（ｂ）によるコンテンツの途中抜けの方法を利用条件として設定していた。しかし、当該コンテンツを受信した機器オーナは送信先及び送信元となる前後の機器に自分の友人関係を教えたくなかった。そのため、コンテンツの「途中抜け」を断念するような場合がある。また、コンテンツ提供者は、上記（ａ）によるコンテンツの途中抜けの方法を指定していたが、機器オーナは後続の装置におけるコンテンツ削除は忍びなかったので、途中抜けを断念するような場合がある。さらに、コンテンツ提供者は、上記（ａ）及び（ｂ）の途中抜けの方法どちらとも可能であるとして利用条件を設定していた。そして、機器オーナは前後の送信元装置及び送信先装置が互いに友達であることを知っていたので、それぞれの装置のユーザに伝えて、途中抜けの方法として（ｂ）を選択する場合がある。またさらに、チェイン情報の有効期限が過ぎているために、上記（ａ）及び上記（ｂ）に示す途中抜けをせずに、コンテンツとチェイン情報を削除するような場合がある。

以上の説明のように、本実施の形態２に係る情報セキュリティ装置においては、ユーザがコンテンツ回収のための「途中抜け」を行う場合には、判定部７０１においてコンテンツ提供者により設定許可されているコンテンツの回収方法を利用条件より参照し、チェイン情報を用いた送信先装置及び送信元装置のアドレス情報、チェイン情報の有効期限等を参照してユーザにより指定されたコンテンツの「途中抜け」の可否を判定することができる。従って、コンテンツ回収方法として、コンテンツオーナの意思が尊重され、その範囲で、機器オーナのコンテンツの削除等の意思を反映させたコンテンツ回収を実現できる。

また、本実施の形態２に係る情報セキュリティ装置においては、上記実施の形態１と同様に、各情報セキュリティ装置においてチェイン情報を保存することにより、一旦流通させてしまった個人コンテンツの利用条件を、後からコンテンツ流通と同じチェインをたどって変更することができる。また、削除（回収）することもできる。プライバシーに関連するチェイン情報は各情報セキュリティ装置内のみに保存されているため、問題ない。また、チェイン情報を保持する有効期限を設けることにより、この有効期限内では、必ず回収できることを保証する。また、情報セキュリティ装置の都合でチェイン情報を有効期限内に削除する場合は、その装置の前と後ろに位置する情報セキュリティ装置に対してチェイン情報を通知することにより、有効期限内では、必ず回収できる。回収が保証されることにより、各ユーザは安心して気軽に個人コンテンツを流通させることができる。

（その他変形例）
なお、本発明を上記実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。

（１）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭまたはハードディスクユニットには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、各装置は、その機能を達成する。ここでコンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

（２）上記の各装置を構成する構成要素の一部または全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムにしたがって動作することにより、システムＬＳＩは、その機能を達成する。

（３）上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能なＩＣカードまたは単体のモジュールから構成されているとしてもよい。前記ＩＣカードまたは前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコンピュータシステムである。前記ＩＣカードまたは前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記ＩＣカードまたは前記モジュールは、その機能を達成する。このＩＣカードまたはこのモジュールは、耐タンパ性を有するとしてもよい。

（４）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。

また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよい。

また、本発明は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。

また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を、前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。

（５）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。

本発明に係る情報セキュリティ装置は、コンテンツの送受信機能を備えるコンピュータ装置や家電機器、携帯電話やＡＶ機器などの情報処理端末装置等に有用である。また、通信機能を備えたデジタルカメラ等にも応用できる。また、個人コンテンツだけでなく商用コンテンツ流通などの用途にも応答できる。

図１は、本発明の実施の形態１に係る情報セキュリティシステムの全体構成例を示す図である。 図２は、本発明の実施の形態１に係る情報セキュリティ装置の構成を示すブロック図である。 図３は、本発明の実施の形態１におけるコンテンツ流通時の情報セキュリティ装置の動作の一例を示すフローチャートである。 図４は、本発明の実施の形態１におけるチェイン情報の例を示す図である。 図５は、本発明の実施の形態１におけるコンテンツ回収時の情報セキュリティ装置の動作の一例を示すフローチャートである。 図６は、本発明の実施の形態１における情報セキュリティ装置の意志で、コンテンツと対応するチェイン情報を削除する場合の処理を示すフローチャートである。 図７は、本発明の実施の形態２に係る情報セキュリティ装置の機能ブロック図である。 図８は、本発明の実施の形態２に係る情報セキュリティ装置においてコンテンツの「途中抜け」を行う際の動作手順を示すフローチャートである。 図９は、チェイン情報通知部を保持する情報セキュリティ装置から送信先の情報セキュリティ装置及び送信元の情報セキュリティ装置に送信される情報の一例を示す図である。

符号の説明

１００，２００，３００ 情報セキュリティ装置
２０１ 受信部
２０２ コンテンツ格納部
２０３ 回収コマンド確認部
２０４ コンテンツ削除部
２０５ チェイン情報格納部
２０６ 送信先リスト格納部
２０７ 送信部
２０８ 制御部
２０９ コンテンツ再生部
７０１ 判定部
７０２ 時間管理部
７０３ 機器デフォルト値格納部
７０４ 外部入力部
７０５ 回収コマンド生成部
７０６ チェイン情報通知部

Claims (20)

1. 送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置であって、
   前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも１つを受信する受信手段と、
   前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納手段と、
   前記条件変更コマンドに基づいて前記利用条件を変更する制御手段と、
   前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも１つを前記送信先装置に送信する送信手段とを備え、
   前記制御手段は、前記送信先装置の信頼度に応じて、前記受信手段で受信する前記条件変更コマンドを変更して、前記送信先装置に送付するように制御する
   ことを特徴とする情報セキュリティ装置。
2. 前記受信手段で受信した前記条件変更コマンドは、前記コンテンツ格納手段に格納されている所定のコンテンツ情報の無効化を指示する無効化コマンドであって、
   前記制御手段は、前記無効化コマンドに従って前記コンテンツ情報の利用を無効化し、
   前記送信手段は、前記無効化コマンドを、無効化される前記コンテンツ情報の送信先装置に送信する
   ことを特徴とする請求項１記載の情報セキュリティ装置。
3. 前記制御手段は、前記コンテンツ情報格納手段から無効化されるコンテンツ情報を削除することで、前記コンテンツ情報の利用を無効化する
   ことを特徴とする請求項２記載の情報セキュリティ装置。
4. 前記制御手段は、前記無効化されるコンテンツ情報の使用条件に含まれる利用許可情報を利用不許可とすることで、前記コンテンツ情報の利用を無効化する
   ことを特徴とする請求項２記載の情報セキュリティ装置。
5. 前記コンテンツ情報格納手段は、さらに、前記コンテンツ情報を暗号化する際に使用した鍵を共に格納し、
   前記制御手段は、前記コンテンツ情報格納手段に格納された無効化されるコンテンツ情報の鍵を削除することで、前記コンテンツ情報の利用を無効化する
   ことを特徴とする請求項２記載の情報セキュリティ装置。
6. 前記情報セキュリティ装置は、さらに、
   前記条件変更コマンドの正当性を確認するコマンド確認手段を備え、
   前記制御手段は、前記コマンド確認手段で前記条件変更コマンドの正当性が確認された場合に前記利用条件の変更を行う
   ことを特徴とする請求項１記載の情報セキュリティ装置。
7. 前記コマンド確認手段は、前記条件変更コマンドの送信者のデジタル署名、又は前記コンテンツ情報の作成者のデジタル署名を用いて前記条件変更コマンドの正当性を確認する
   ことを特徴とする請求項６記載の情報セキュリティ装置。
8. 前記制御手段は、前記条件変更コマンドの送付元装置の信頼度に基づいて、対象となる前記コンテンツ情報の利用条件を変更する
   ことを特徴とする請求項１記載の情報セキュリティ装置。
9. 前記情報セキュリティ装置は、さらに、
   前記コンテンツ情報の識別子、前記コンテンツ情報の送付元装置の識別子、前記コンテンツ情報の作成装置の識別子、前記コンテンツ情報の送付先装置の識別子の少なくとも１つ含む情報を、前記コンテンツ情報のチェイン情報として生成するチェイン情報生成手段と、
   前記チェイン情報を格納するチェイン情報格納手段とを備え、
   前記制御手段は、さらに、前記条件変更コマンドの対象となる前記コンテンツ情報のチェイン情報を参照して、前記条件変更コマンドの対象となるコンテンツ情報の利用条件を変更する
   ことを特徴とする請求項１記載の情報セキュリティ装置。
10. 前記チェイン情報は、さらに、前記条件変更コマンドの正当性確認の方法、又は条件変更の方法の少なくとも一方を指定する情報を含み、
    前記コマンド確認手段は、前記チェイン情報により指定される方法でコマンドの正当性を確認し、
    前記制御手段は、前記コマンド確認手段において前記コマンドの正当性が確認された場合に、前記利用条件を変更する
    ことを特徴とする請求項９記載の情報セキュリティ装置。
11. 前記チェイン情報には、さらに、前記条件変更コマンドの有効期限を含み、
    前記制御手段は、前記条件変更コマンドの対象のコンテンツ情報に対応するチェイン情報を参照し、前記条件変更コマンドが有効期限内である場合には、前記利用条件を変更する
    ことを特徴とする請求項９記載の情報セキュリティ装置。
12. 前記チェイン情報には、さらに、当該チェイン情報の有効期限を含み、
    前記制御手段は、前記チェイン情報の有効期限内である場合には、前記条件変更コマンドの対象となるコンテンツ情報の利用条件を変更し、前記チェイン情報の有効期限が過ぎている場合は、前記チェイン情報の削除を許可する
    ことを特徴とする請求項１１記載の情報セキュリティ装置。
13. 前記情報セキュリティ装置は、さらに、
    外部から前記コンテンツ格納手段に格納されているコンテンツ情報、及び前記送信手段
    で既に前記送信先装置に送信したコンテンツ情報の条件変更の指示を受け付ける外部入力手段と、
    前記情報セキュリティ装置に関して予め与えられたデフォルト値を格納する機器デフォルト値格納手段と、
    時間情報を管理する時間管理手段と、
    前記外部入力手段、前記機器デフォルト値格納手段、前記時間管理手段、及び前記チェイン情報格納手段に格納されている情報の少なくとも１つを用いて、前記コンテンツ情報の条件変更が可能か否かを判定する判定手段と、
    前記判定手段において前記コンテンツ情報の条件変更が可能と判定された場合には、前記チェイン情報に記述されている送信先装置に対して、前記コンテンツ情報の条件変更を指示する条件変更コマンドを生成する条件変更コマンド生成手段とを備え、
    前記制御手段は、前記判定手段において前記コンテンツ情報の条件変更が可能と判定された場合には、前記コンテンツ格納手段に格納されているコンテンツ情報を消去し、
    前記送信手段は、前記条件変更コマンド生成手段において生成された前記条件変更コマンドを前記チェイン情報に記述されている送信先装置に送信する
    ことを特徴とする請求項９記載の情報セキュリティ装置。
14. 前記条件変更コマンドには、少なくとも、前記コンテンツ情報の識別子、前記コンテンツ情報の条件変更の指示、送信元となる自装置の情報が含まれる
    ことを特徴とする請求項１３記載の情報セキュリティ装置。
15. 前記外部入力手段は、さらに、外部から前記コンテンツ情報格納手段に格納されている前記コンテンツ情報のみを削除する指示を受け付け、
    前記情報セキュリティ装置は、さらに、
    前記外部入力手段を介して当該指示を受け付けた場合に、前記送信手段を介して、前記送信元装置に対しては少なくとも前記コンテンツ情報の識別子及び送信先装置の識別子を、前記送信先装置に対しては少なくとも前記コンテンツ情報の識別子及び送信元装置の識別子を通知するためのチェイン情報通知手段を備える
    ことを特徴とする請求項１３記載の情報セキュリティ装置。
16. 第１の情報セキュリティ装置から第２の情報セキュリティ装置、さらに第３の情報セキュリティ装置へと順にコンテンツ情報と前記コンテンツ情報の利用条件が送付され、その後同じ経路をたどって前記利用条件の条件変更コマンドが送付される情報セキュリティシステムであって、
    第２の情報セキュリティ装置は、
    前記第１の情報セキュリティ装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも１つを受信する受信手段と、
    前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納手段と、
    前記条件変更コマンドに基づいて前記利用条件を変更する制御手段と、
    前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも１つを前記第３の情報セキュリティ装置に送信する送信手段とを備え、
    前記制御手段は、前記第３の情報セキュリティ装置の信頼度に応じて、前記受信手段で受信する前記条件変更コマンドを変更して、前記第３の情報セキュリティ装置に送付するように制御する
    ことを特徴とする情報セキュリティシステム。
17. 前記第２の情報セキュリティ装置は、さらに、
    前記コンテンツ情報の識別子、前記第１の情報セキュリティ装置の識別子、前記コンテ
    ンツ情報の作成装置の識別子、前記第３の情報セキュリティ装置の識別子の少なくとも１つ含む情報を、前記コンテンツ情報のチェイン情報として生成するチェイン情報生成手段と、
    前記チェイン情報を格納するチェイン情報格納手段とを備え、
    前記制御手段は、さらに、前記条件変更コマンドの対象となる前記コンテンツ情報のチェイン情報を参照して、前記条件変更コマンドの対象となるコンテンツ情報の利用条件を変更する
    ことを特徴とする請求項１６記載の情報セキュリティシステム。
18. 送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置に用いる情報セキュリティ方法であって、
    前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも１つを受信する受信ステップと、
    前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納ステップと、
    前記条件変更コマンドに基づいて前記利用条件を変更する制御ステップと、
    前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも１つを前記送信先装置に送信する送信ステップとを含み、
    前記制御ステップでは、前記送信先装置の信頼度に応じて、前記受信ステップで受信する前記条件変更コマンドを変更して、前記送信先装置に送付するように制御する
    ことを特徴とする情報セキュリティ方法。
19. 送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置に用いる制御プログラムであって、
    前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも１つを受信する受信ステップと、
    前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納ステップと、
    前記条件変更コマンドに基づいて前記利用条件を変更する制御ステップと、
    前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも１つを前記送信先装置に送信する送信ステップとをコンピュータに実行さる、
    前記制御ステップでは、前記送信先装置の信頼度に応じて、前記受信ステップで受信する前記条件変更コマンドを変更して、前記送信先装置に送付するように制御する
    ことを特徴とする制御プログラム。
20. 送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置に用いる集積回路であって、
    前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも１つを受信する受信手段と、
    前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納手段と、
    前記条件変更コマンドに基づいて前記利用条件を変更する制御手段と、
    前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも１つを前記送信先装置に送信する送信手段とを備え、
    前記制御手段は、前記送信先装置の信頼度に応じて、前記受信手段で受信する前記条件変更コマンドを変更して、前記送信先装置に送付するように制御する
    ことを特徴とする集積回路。

Images