JP5637660B2 - アクセス制御を管理するシステム - Google Patents

Description

本発明は、予め定義されたデータアクセスフォーマットに従ってアクセス制御するコンテンツ配信システムにおいてアクセス制御を管理する方法であり、上記システムが、コンテンツデータ及び関連するメタデータを提供する少なくとも１つの組織と、上記コンテンツデータ及び関連するメタデータをレンダリングし、アプリケーションを実行するするレンダリング装置と、上記コンテンツデータ及び関連するメタデータを操作する少なくとも１つのアプリケーションとを有し、この方法は、上記予め定義されたデータアクセスフォーマットに従って上記組織に対してアクセスポリシを設定するステップであって、上記アクセスポリシは、上記レンダリング装置のリソースと上記コンテンツデータ及び関連するメタデータとへのアクセスを制御するアクセスパラメータを有する当該ステップと、上記組織の上記アクセスポリシを順守する少なくとも１つの組織のアプリケーションを提供するステップと、上記組織の上記アクセスポリシに従って上記レンダリング装置の上記リソースにアクセスする間、上記レンダリング装置が上記組織のアプリケーションを実行することを可能にするために、各々の上記組織の上記アクセスポリシを順守するコンテンツデータ及び関連するメタデータを提供するステップとを有する当該方法に関する。

本発明は、また、上記システムにおいて用いるコンピュータプログラム製品及びレンダリング装置に関する。レンダリング装置は、上記データ及び関連するメタデータをレンダリングする媒体信号を生成するレンダリング手段と、上記組織のアプリケーションを実行し、上記組織の上記アクセスポリシに従って当該レンダリング装置の上記リソースにアクセスするアクセス制御手段とを有する。

本発明は、映画会社のような組織によりユーザデバイス内にマルチメディア及び対話型アプリケーションを提供する分野に関連している。上記アプリケーションは、レンダリング画像、背景映像、ゲーム、表示データの収集及び記憶、テキストレビュー等を含み得る。一般に、そのような対話型のアプリケーションは、予め定義されたフォーマットに従って記憶されるコンテンツデータと関連するメタデータとに基づいている。特に、本発明は、通常組織により提供され、所有されている所有権を有する（proprietary）データへのアクセスを制御することに関する。

文献ＵＳ２００４／０１４８５１４公報には、記憶媒体を含むレンダリングシステム及びディスプレイ上に対話型アプリケーションの記憶されたデータ、例えばビデオをレンダリングする再生方法が記載されている。光ディスク再生機のようなレンダリング装置は、記憶されている情報、例えばデジタル化して圧縮されたビデオデータを含むオーディオ／ビデオ（ＡＶ）ストリームを記録担体から取り出す。ソフトウェアの発行者（又は組織）は、コンテンツデータ（例えばオーディオ／ビデオ）及び関連するメタデータ（例えば、再生制御データ、背景テキスト及び映像、対話型アプリケーション等）を提供し得る。上記文献は、そのようなデータへのアクセスを制御し、予め定義されたアクセス制御フォーマットに従ってアクセスポリシを実現する種々のやり方を説明している。例えば、そのようなデータへのアクセスを保護及び制御するための暗号化方法が説明されている。デジタル証明書が認証機関により発行され得る。上記アクセスポリシは、各々の発行者又は組織によって提供されるアプリケーションによる所有権を有するデータへのアクセスを制御するのに特に適している。また、上記アクセスポリシは、例えば、ローカルストレージ容量部、ネットワーク接続又は特定のシステムのデータにアクセスするための許可を経て、レンダリング装置内のリソースへのアクセスを制御し得る。

上記組織はアクセス制御フォーマットを順守しなければならないので、上記既知のシステムに従うアクセスポリシは、アプリケーション（これは、組織を意味する。）が適切に振る舞うという仮定に基づいて確立される。従って、上記アクセス制御システムは、上記組織により提供される又は各々の組織の制御の下で配信される当該アプリケーションに関するリソース又は所有権を有するデータにアクセスするアプリケーションの十分な制御を提供する。しかしながら、アプリケーションが、たとえアクセスポリシの全ての要求を順守するソースから作り出されていても、不正を行っている場合には問題が存在する。

本発明の目的は、アクセス制御される環境において確立されたアクセスポリシを順守するアプリケーションの更なる制御を可能にするアクセス制御システムを提供することにある。

この目的のために、本発明の第１の観点によれば、冒頭の段落において述べられた方法は、上記組織のアプリケーションに対して上記組織の上記アクセスポリシに関連して上記レンダリング装置の上記リソースへのアクセスを制限するユーザアクセスポリシを維持するステップと、上記組織のアプリケーションが上記組織の上記アクセスポリシに従って上記リソースにアクセスすることを選択的に許可する追加の信用データに基づいて、上記組織に対して上記ユーザアクセスポリシを調整するステップとを更に有する。

この目的のために、本発明の第２の観点によれば、冒頭の段落において述べられた装置において、上記アクセス制御手段が、上記組織のアプリケーションに対して上記組織の上記アクセスポリシに関連して当該レンダリング装置の上記リソースへのアクセスを制限するユーザアクセスポリシを維持し、上記組織のアプリケーションが上記組織の上記アクセスポリシに従って上記リソースにアクセスすることを選択的に許可する追加の信用データに基づいて、上記組織に対して上記ユーザアクセスポリシを調整するように設けられる。

ユーザアクセスポリシは、レンダリング装置のユーザのために作成される。このユーザアクセスポリシは、更にユーザのレンダリング装置のリソースへのアクセスを制限するルール及びパラメータのセットである。上記追加の信用データは、任意の好適なやり方、例えば、ユーザによりアクティブに、ユーザにより選択される外部ソースから、自動的に、インターネットを経由して等のやり方で提供され得る。従って、ユーザアクセスポリシの制限は、各々の組織のアプリケーションに関して利用可能な既に受け入れられ、認証されたアクセスポリシに影響を及ぼすように適用される。

上記対策は、レンダリングシステムにおいて、ユーザアクセスポリシが、アクセス制御フォーマットを順守する各々の組織のアクセスポリシの支配下に既にある組織のアプリケーションのユーザ制御を与えるように適用されるという効果を有する。有利なことに、そのようなアクセスがアクセスポリシにより許可可能であるにもかかわらず、ユーザがそのようなアクセスを望まない場合には、ユーザはレンダリング装置におけるリソースへのアクセスを制限する機会を有する。

本発明は、また、以下の認識に基づいている。所有者のみに対して又は特定の予め定義された第三者に対する所有権を有するデータへのアクセスを制御するためのアクセス制御フォーマットは、上述したように例えばＵＳ２００４／０１４８５１４公報から知られている。また、ＢＤフォーマット（ブルーレイ光ディスク；内容は、http://www.blu-raydisk.com 及び具体的にはhttp://www.blu-raydisk.com/Section-13628/Index.htmlにおいて入手可能であり、Section-13890はＢＤに関するＪａｖａ（登録商標）プログラミング言語の仕様を含んでいる。）及びＭＨＰ規格（ＥＴＳＩのウェブサイトhttp://www.etsi.orgから入手可能なDigital video Broadcasting Multimedia Home Platform Specification 1.0.3, ETSI TS 101 812 V1. 3. 1-2003-06）のようなマルチメディアコンテンツを配信する他のシステムは、アクセス制御ポリシの他の例を与えている。例えば、ＭＨＰ規格は、ファイル若しくはサブディレクトリにアクセスするため又はデバイスにおいて利用可能な他のリソースを使用するために許可が与えられることを可能にする。これらの例では、アクセスポリシは暗号で実行される。

しかしながら、本願発明者等は、ユーザによる更なる制御の必要があることを認識した。例えば、一度組織に対してアクセスポリシが確立されると、当該組織がもはや信用されないべきである場合であっても許可はこの組織により使用され得る。また、組織は幾らかのユーザに受け入れられるが、他のユーザには受け入れられないリソースを使用し得る。与えられる解決策は、レンダリング装置のリソースへのアクセスを更に制御するためにユーザアクセスポリシが確立されることである。組織の中には、他の組織と同様に信用され得ない組織もある。最近ビジネスをやめた何らかの組織の鍵は、当該組織の一般的なアクセス制御ポリシにより支配されるコンテンツ及びアプリケーションを作製するために依然として利用され得る。このコンテンツは、明らかな理由のために疑わしい信頼性のものである。さもなければ、組織は、ユーザがこの組織から映画を買うことに慣れていないために、ユーザに全く知られていないかもしれない。本願発明者等は、状況がインターネット上の「信用できないウェブサイト」の問題とは異なり、インターネットブラウザにより与えられる対策と同じ対策では解決され得ないことを認識した。インターネットブラウザは、クラス（イントラネット、信用できる、制限される）に基づいてサイトを分類し、各クラスについて信用のレベルが規定される。上記コンテンツ配信システムでは、アプリケーションはウェブサイトと同等である。しかしながら、アプリケーションは、ウェブサイトのようにクラス毎にグループ化され得ない。本願発明者等は、ソース毎（これは、組織毎を意味する。）にユーザアクセスポリシを与えることによりアプリケーションが制御され得ることを認識した。インターネットブラウザに受け入れられるもの（これは、各サイトが疑わしく、ユーザにより承認されるまで動作することができないことを意味する。）が、ユーザにより購入された、単に再生すべきである記録担体上のマルチメディアデータには受け入れられない。有利なことに、ユーザアクセスポリシは、配信されるコンテンツデータのレンダリングを可能にしながら、信用できない不審な組織のアプリケーションからの保護を与える。

一形態では、上記方法は、リモートデータベースエンティティにおいて信用データのセットを維持することと、上記ユーザアクセスポリシの上記調整のために上記セットから信用データを取り出すこととを有し、特定の場合に、ネットワークを経由して上記リモートデータベースエンティティにアクセスすることを更に有する。上記信用データは、任意の好適な担体、例えば記録担体を介して又はネットワークを経由して転送され得る。従って、データベースエンティティを実行する更なるパーティは、ユーザアクセスポリシを設定するレンダリング装置において適用される信用データを効果的に設定する。これは、ユーザがユーザのプリファレンスに従って信用データの最新のセットを維持するそのようなリモートデータベースエンティティを一旦選択することが可能な点で有利である。その後、ユーザアクセスポリシは、上記取り出された信用データに基づいて自動的に設定される。

上記方法の一形態では、上記ユーザアクセスポリシが、上記レンダリング装置において知られていない組織に対して信用されないレベルを最初に設定することを有し、上記信用されないレベルは、上記組織のアプリケーションが上記リソースにアクセスすることを許可しない。これは、ユーザが、ユーザアクセスポリシを設定することによりそのようなアクセスを積極的に許可しない限り、知られていないソースのアプリケーションがアクセス権を得ることができない点で有利である。

本発明による装置及び方法の更に好ましい形態は、最後に添付されている特許請求の範囲において与えられており、その開示は参照することにより本明細書に組み込まれるものとする。

本発明のこれらの観点及びその他の観点は、添付の図面を参照して以下に例として述べられる実施の形態から明らかであり、該実施の形態を参照して更に説明されるであろう。

添付の図面では、異なる図面において対応する構成要素は、同一の参照符号を有している。

図１は、トラック９と中心孔１０とを有する円盤状の記録担体１１を示している。トラック９は、情報を表す記録マークのシリーズの位置であり、情報層上のほぼ平行なトラックを構成するらせん状の回転パターンに従って配されている。この記録担体は、光学的に読取り可能であり、光ディスクと呼ばれている。光ディスクの例は、ＣＤ、ＤＶＤ及びブルーレイディスク（ＢＤ）と呼ばれる青色レーザを使用する高密度の光ディスクである。ＤＶＤディスクについての更なる詳細は、参考文献ECMA-267: 120mmDVD -Read-Only Disk- (1997)において見出され得る。情報は、トラックに沿って光学的に検出可能なマークにより情報層に表される。

上記記録担体１１は、ファイル管理システムの制御の下でブロックでデジタル情報を担持するように意図されている。上記情報は、連続的に再生されるリアルタイムの情報、特にＭＰＥＧ２又はＭＰＥＧ４のようなデジタル符号化されたビデオを表す情報を含んでいる。

新しい光ディスクの規格では、高精細度のビデオが、対話型の見る経験をもたらすようにグラフィクス及びアプリケーションと組み合わせられることが可能であり、例えば、ビデオは見る経験を高めるように対話型アプリケーションと組み合わせられ得る。典型的には、これらのアプリケーションは、ユーザがビデオコンテンツの再生を制御すること、視られているコンテンツ上のより多くの情報を得ること又は新しいサービスにアクセスすることを可能にする。新しいサービスに対して、ユーザデバイスは、インターネットのようなネットワークへの接続を確立する通信インターフェースを有し得る。この接続を介して、上記アプリケーションは、例えば、テレビジョン（ＴＶ）のような表示装置上において電子商取引、賭博及び情報サービスを提供し得る。ハードディスクドライブ（ＨＤＤ）のような「ローカルな」不揮発性の記憶媒体が、例えばダウンロードされる情報を記憶するために各記録媒体の再生機において利用可能である。

上記記憶媒体は、予め定義されたデータ記憶フォーマットに従ってコンテンツ情報及び関連するメタデータ、例えば、ビデオと、ボタン，グラフィック要素若しくはアニメーションのような仮想オブジェクト，コンテンツ情報の背景情報，追加のゲーム又は対話型ツール等を含む関連するメタデータとを担持している。上記コンテンツデータ及び関連するメタデータは、所謂組織（これは、コンテンツ提供者及び／又は所有者を意味する）により与えられる。この組織に関して、上記データはプロプライエタリと呼ばれ、これは、対応する組織の制御下にある及び／又は対応する組織が所持していることを意味する。予め定義されたデータ記憶フォーマットは、例えばＨＤＤ上のデータ及び通信インターフェースのようなサービスへのアクセスが制御されること、例えば暗号化方法を用いることにより、適用可能な著作権の規定に従ってのみ利用可能とされることを可能にする。予め定義されたデータアクセスフォーマットに従って特定の組織のために作られるパラメータ及びルールのセットは、アクセスポリシと呼ばれる。

図２は、リアルタイムの情報及びアクティブな情報を再生するレンダリング装置を示している。この装置は、記憶されている情報を取り出すヘッド２２を含む読出し手段と、上述したような記録担体１１のトラックを走査する走査手段とを含んでいる。上記走査手段は、記録担体１１を回転させるドライブユニット２１と、トラックの半径方向にヘッド２２を粗く位置決めする位置決めユニット２５と、制御ユニット２０とを含んでいる。ヘッド２２は、記録担体の情報層のトラック上の放射スポット２３に集束する光学素子によって案内される放射ビーム２４を生成する既知のタイプの光学システムを有している。放射ビーム２４は、放射源、例えばレーザダイオードにより生成される。上記ヘッドは、上記ビームの光軸に沿って放射ビーム２４の焦点を動かすフォーカシングアクチュエータと、トラックの中心上においてスポット２３を細かく半径方向に位置決めするトラッキングアクチュエータとを更に有している（図示せず）。

上記制御ユニット２０は、制御ライン２６、例えばシステムバスを介して、制御されるべき他のユニットに接続されている。この制御ユニット２０は、以下に説明されるように本発明による手続き及び機能を実行する制御回路、例えばマイクロプロセッサと、プログラムメモリと、制御ゲートとを有している。制御ユニット２０は、また、論理回路においてステートマシンとしても実現され得る。

読出しのために、上記情報層により反射した放射は、読出し信号と、上記トラッキング及びフォーカシングアクチュエータを制御するトラッキングエラー及びフォーカシングエラー信号を含む他の検出器信号とを生成するヘッド２２の通常のタイプの検出器、例えば四象限ダイオードにより検出される。上記読出し信号は、レンダリングユニット３０により処理される。レンダリングユニット３０は、記憶された情報をレンダリングし、モニタ又はテレビ受像機のようなディスプレイにこの記憶された情報を表示するため及び該記憶された情報の仮想オブジェクトにアクセスするための表示信号を生成する。上記表示とは、リアルタイム情報の再生中に、仮想オブジェクト、例えば、対話型ユーザインターフェースにおけるコマンドを呼び出すボタン又はアニメーションを表示し、実行することを含む。

本発明によれば、上記装置は、組織のアクセスポリシに従ってレンダリング装置のリソース４１にアクセスしながら、アプリケーションを実行するアクセス制御ユニット３１を備えている。リソース４１は、アプリケーションにより影響を及ぼされ得る又は用いられ得るレンダリング装置の任意の特徴を含んでおり、ネットワーク接続、例えばインターネットに接続するモデム、アプリケーションデータを記憶するハードディスク若しくはソリッドステートメモリのようなローカルストレージ、パレンタル制御の設定値若しくはサウンドレベルのような種々のシステムパラメータ若しくは装置パラメータ、又は、ユーザ名，ファミリデータ若しくはクレジットカードのデータのような個人ユーザデータを含み得る。

アプリケーションは、通常ソフトウェアを介して組織により上記レンダリング装置において利用可能とされる機能である。アプリケーションは、また、異なるソース、例えばレンダリング装置の製造業者により与えられるか、又は、汎用タイプのアプリケーションは独立したソフトウェア会社により与えられ得る。本発明に係るアクセス制御ユニット３１の固有の機能は、組織のアプリケーションが、組織のアクセスポリシと比べてレンダリング装置のリソース４１へのアクセスを初め制限するユーザアクセスポリシを維持することと、組織のアプリケーションが組織のアクセスポリシに従ってリソースにアクセスすることを選択的に許可する追加の信用データに基づいた組織に対するユーザアクセスポリシを調整することとであり、これは、図３を参照して以下に更に説明される。

アプリケーション、アプリケーションの一部又は関連する機能は、上記アクセス制御ユニットにおける常駐機能として実現され得ることに注意されたい。代替として、アプリケーションは、他の情報担体を介して又はネットワーク、例えばインターネットを経由して記録担体上に与えられ得る。アクセス制御ユニット３１は、制御ユニット２０におけるソフトウェア機能として、レンダリングユニット３０の一部として又は分離したユニットとして実現され得る。

上記装置は、書込み可能な又は書換え可能であるタイプの記録担体１１、例えばＤＶＤ＋ＲＷ又はＢＤ−ＲＥに情報を書き込むように設けられ得る。その場合、上記装置は、ヘッド２２を駆動するため書込み信号を生成するように入力情報を処理する書込みユニット２９を有する。

上記レンダリングシステムの一実施の形態では、レンダリング装置は、リモートソースからコンテンツデータ及び関連するメタデータを取り出し得る。ユーザロケーションにおけるレンダリング装置は、ネットワークを介してサーバに接続可能である。ユーザデバイス、例えばセットトップボックス（ＳＴＢ）は、ビデオのようなブロードキャストデータを受信する受信器を備えている。このユーザデバイスは、該デバイスをネットワーク、例えばインターネットに接続するネットワークインターフェース、例えばモデムを備えている。サーバもまた、サーバデバイスをネットワークに接続するネットワークインターフェースを備えている。ネットワークに接続可能であるユーザデバイスはマルチメディアデバイス（例えば、標準化されたマルチメディアホームプラットフォームＭＨＰ）、エンハンスド携帯電話、個人用携帯情報端末等も含むことに注意されたい。
図３は、予め定義されたデータアクセスフォーマットに従うアクセス制御を持つコンテンツ配信システムを示している。このシステム３００は、第１のコンテンツデータ及び関連するメタデータを提供する第１の組織３２と、第２のコンテンツデータ及び関連するメタデータを提供する第２の組織３３とを有している。コンテンツを配信するために、このシステムは、更に、第１の所有権を有するデータを担持する第１の記録担体３４と、第２の所有権を有するデータを担持する第２の記録担体３６とを有している。代替として、所有権を有するデータ又はその一部、例えば、関連するメタデータは、異なるチャンネル、例えばインターネットのようなネットワークにより配信され得る。第１の組織３２はまた、上記第１のコンテンツデータ及び関連するメタデータを操作する少なくとも１つの組織のアプリケーション３５を提供し得る。第２の組織３３はまた、対応する第２のデータを操作する少なくとも１つの組織のアプリケーション３７を提供し得る。

レンダリング装置３９は、矢印３４´，３６´及び３８´により示されているように、上記記録担体からのコンテンツデータ及び関連するメタデータをレンダリングするよう設けられている。このレンダリング装置は、ディスプレイ４０に結合され得るとともに、ネットワークインターフェースを介してネットワーク４３に結合され得る。一実施の形態では、レンダリング装置３９は、ネットワーク４３を経由してコンテンツデータ及び／又は関連するメタデータを受ける。アプリケーションは、レンダリング装置において効果的に実行される。アプリケーションは、レンダリング装置に最初に含まれていてもよいし、例えばネットワークを経由して別個に配信され、レンダリング装置に記憶されてもよい。上記記録担体は、コンテンツデータ及び関連するメタデータを担持するためのものであるが、アプリケーションも担持し得る。

各組織は、各々のアクセスポリシ（これは、予め定義されたアクセス制御フォーマットに従うルール及びパラメータのセットを意味している。）を持っている。第１の組織のアプリケーション３５は、第１のアクセスポリシに従って第１の所有権を有するデータにアクセスすることができ、第２の組織のアプリケーション３７は、第２の所有権を有するデータにアクセスすることができる。アプリケーションに対するアクセスポリシは、上記システムにより一部設定され（例えば、アプリケーション３５は、アプリケーション３７に関連する「ローカル」ストレージ上のデータにアクセスすることができない。）、組織自体により一部設定される（例えば、組織３２は、組織３３のアプリケーション３７がアプリケーション３５と関連するデータにアクセスすることを可能にする。）。使用許諾を受けている組織のみが、後者のポリシを作るための暗号鍵を有する。

上記システムは、それぞれが各々の所有権を有するデータを持つ更なる組織と、対応する更なる記録担体３８及び／又はアプリケーションとにより拡張されることが可能であり、各組織は、通常幾つかの所有権を有するデータのセット（例えば、映画製作と対応するユーザに対する追加機能）を有し、各セット（製作）は幾つかの記録担体上において商業的に増大することに注意されたい。

アクセス制御ユニット３１は、更に例えばユーザインターフェースを介したユーザ入力に基づいてユーザアクセスポリシを設定するように設けられている。ユーザアクセスポリシは、レンダリング装置のリソース４１へのアクセスを制限する。組織のアクセスポリシが、そもそも、データアクセスフォーマットにおいて定義されるように、リソースへのアクセスを制御するために実施されることに注意されたい。さらに、ユーザアクセスポリシが、ユーザのプリファレンスに従って上記アクセスに影響を及ぼし、制限する。ユーザは、所望の値にプリファレンスを明示的に設定するか、そうでなければそのような設定値は外部のソースからの信用データに基づいて設定又は調整され得る。例えば、レンダリング装置の製造業者は、通常、安全かつ制限されたレベルに初期プリファレンスを設定し、これはその後ユーザにより変更され得る。従って、上記アクセス制御ユニットは、追加の信用データに基づいてユーザアクセスポリシを調整するように設けられ、それにより組織のアプリケーションが組織のアクセスポリシに従って決定されるアクセスの最大の許可されるレベルまでリソースにアクセスすることを選択的に可能にする。

一実施の形態では、コンテンツ配信システム３００は、信用データのセットを維持するリモートデータベースエンティティ４２を有している。このリモートデータベースエンティティは、ネットワークに接続するネットワークインターフェース４４を介し、ネットワーク４３、例えばインターネット経由で上記レンダリング装置に結合され得る。データベースエンティティ４２は、データを記憶するデータベースユニット４５を備えており、このユニットは信用データのセットを維持するように設けられている。上記維持することは、とりわけ、不正を行っている組織に対して信用データを適応させること、新しい組織に対して新しい信用データを加えること、特定の組織に対してユーザフィードバックを用いること等を含み得る。上記レンダリング装置の要求に応じて、又は自動的若しくは周期的に、上記データベースエンティティは、上記セットからの必要な信用データのサブセットをネットワークインターフェース手段４４を介してレンダリング装置に転送する。その後、レンダリング装置は、組織のアプリケーションが組織のアクセスポリシに従ってリソースにアクセスすることを選択的に許可する信用データに基づいた組織に対するユーザアクセスポリシを調整する。例えば、上記リモートデータベースエンティティは、レンダリング装置の製造業者、消費者組織、プライバシ意識団体等により与えられ得る。アクセス制御ユニット３１は、ユーザアクセスポリシの調整のために信用データのセットから信用データを取り出すよう設けられている。

一実施の形態では、上記追加の信用データは、限定された数の信用レベル（例えば２つのみであり、完全に信用されるレベル又は全く信用されないレベル）を有している。第１のレベルが設定されると、組織のアプリケーションは、組織のアクセスポリシの設定に従ってリソースへのフルアクセスを得る。第２のレベルが設定されると、組織のアクセスポリシの設定はそのようなアクセスを許可するものの、組織のアプリケーションはリソースへのアクセスを全く得ない。他の実施の形態では、上記信用レベルは３つのレベルを有し、それは、組織のアプリケーションが組織のアクセスポリシに従って上記リソースに全面的にアクセスすることを可能にする完全に信用されるレベルと、組織のアプリケーションが予め定義されたリソースのサブセットにアクセスすることを可能にする部分的に信用されるレベルと、上記リソースへの組織のアプリケーションのアクセスを許可しない信用されないレベルとを意味する。また、アクセス制御ユニット３１は、上記部分的に信用されるレベルにおいて許可される特定のアクセス（例えば、データを記憶するアクセスは許可されるが、クレジットカードデータへのアクセスは許可されない。）を設定するように設けられ得る。

一実施の形態では、ユーザアクセスポリシは、レンダリング装置３９において知られていない組織に対して信用されないレベルを最初に設定することを含んでいる。この信用されないレベルは、組織のアプリケーションが上記リソースにアクセスすることを許可しない。アクセス制御ユニット３１は、新規の知られていない組織からの任意のアプリケーションに対するアクセスを初め妨げるように設定される。

図４は、ファイルアクセス制御のメカニズムを示している。この図は、ルートディレクトリ６１と、幾つかの組織に関する組織のサブディレクトリ６２とを備えたファイルシステム６０を模式的に示している。各組織は、幾つかの映画に関する更なる映画のサブディレクトリ６３を有している。各ディレクトリにはファイルが存在しており、例えば、サブディレクトリ６３「movie1a」にはオーディオビデオファイル６９及び「Xlet1a」と呼ばれるアプリケーションファイル６４が存在し、他のサブディレクトリには「Xlet1b」と呼ばれるアプリケーション７０及び「Xlet3a」と呼ばれるアプリケーション７１が存在する。各サブディレクトリ又はファイルは、サブディレクトリにアクセスする種々のユーザに対して読出し及び書込みを行う権限を示す許可インジケータ６６、例えば、「ＵＮＩＸ（登録商標）許可」を有している。データアクセスフォーマットに従って、各アプリケーションは信用証明書６５を有しており、この証明書６５は、所有権情報にアクセスするアクセス権を示す、アクセスパラメータを含み得る（通常は分離したファイル内の）追加の量のデータである。アプリケーション７０（Xlet1b）は、ファイル６９（Ａ／Ｖ２、グループ読出しアクセス権を持つ）への読出しアクセス権を得るが、矢印６８により示されているようにアプリケーション６４（専ら映画のオーナーアクセス権を持つXlet1a）を開始することは許可されないことに注意されたい。アプリケーション７１（Xlet3a）は、アプリケーション６４（Xlet1a）及びファイル６９（Ａ／Ｖ２）と同じグループ（組織１）内には存在していないので、矢印６７により示されているようにファイル６９（Ａ／Ｖ２）へのアクセス権を得るためには、例えば組織１により署名された特別な証明書６５を必要とする。

図４に示されているようなデータアクセスフォーマットの一実施の形態は、Ｊａｖａ（登録商標）をベースとしており、ブルーレイディスクＲＯＭフルフィーチャモードにおいて用いられ得る。そのようなＢＤ−ＲＯＭの再生機は、小さいアプリケーション（通常Xletsと呼ばれるプログラム）を動作させるＪａｖａ（登録商標）仮想マシンを含んでいる。これらのフレキシブルであり、強力なレンダリングマシンはまた、ネットワーク接続部を備えており、ハードディスクドライブ（ＨＤＤ）の形態のローカルストレージを有し得る。コンテンツの所有者（これは、組織を意味する。）は、ＢＤ−ＲＯＭディスクで又はネットワーク接続を介して映画とともにアプリケーションを配信することができる。そのようなシステムの標準的なアクセス制御では、保護されるメモリロケーション（キーロッカーとも呼ばれるデバイスリソース）内に任意のアクセスパラメータを記憶するオリジナルのアプリケーションのみが上記アプリケーションを取り出すことができる。

ＭＨＰ（上記の参考文献参照）に従うデータアクセスフォーマットは、Ｊａｖａ（登録商標）のサブセット及び拡張機能であり、ブラウジング、Ａ/Ｖデータとの対話等の目的のためにセットトップボックス（ＳＴＢ）上でＪａｖａ（登録商標） Ｘｌｅｔｓを走らせることを可能にする。アプリケーションは、ロードされると、最初に上記システムにより認証される。その後、このシステムは、属するグループ（「organization _id」）のホームディレクトリを伴って（ＵＮＩＸ（登録商標）オペレーティングシステムと同様の）システム上で（「application_id」に基づいて）アプリケーションをユーザとして取り扱う。上記アプリケーションには、アクセスポリシに従う（許可リクエストファイルと呼ばれる）アクセスパラメータが付いており、このアクセスパラメータを介してアプリケーションはシステムからあるリソース（ネットワークアクセス等）を要求し、これは、アクセスポリシファイルに依存して与えられ得る。

データアクセスフォーマットは、その後、レンダリング装置のローカルストレージに記憶されるデータに対して２層のアクセス構造を規定するためにこれらの特徴を用いる。
１．ＵＮＩＸ（登録商標）スタイルの許可権：（又はデフォルトのポリシ）データが通常のディレクトリツリーにおいてファイルとして記憶される。どのファイル及びディレクトリもみな、各レベルについて読出し／書込みアクセス許可６６を与えられる（ＭＨＰ、セクション12.6.2.7.2参照）。
ａ．アプリケーション（データを作成したアプリケーション）
ｂ．組織（上記作成アプリケーションと同じ組織に属するアプリケーション）
ｃ．ワールド（全てのアプリケーション）
２．証明書のメカニズム：上記メカニズムをオーバーライドするため及びよりきめの細かいアクセス権を与えるために、ファイル／ディレクトリの所有者は、（例えば他のグループからの）他のアプリケーションがそのようなファイル／ディレクトリにアクセスできることの（署名入りの）提示（statement）である証明書６５を用意することができる。証明書６５は、上述した許可リクエストファイルに含まれている。アプリケーションをロードするとすぐに、上記システムは、証明書及びポリシファイルに基づいて、アプリケーションが追加のファイルへのアクセス権を得るべきであるかを決定する（ＭＨＰ、セクション12.6.2.6参照）。上記ディレクトリ／ファイルのアクセス制御メカニズムは、ＢＤ−ＲＯＭのような記録担体に対して用いられ得る。その場合、「application_id」は特定のディスクと関連するアプリケーションに対応し、「organization_id」はある組織に対応する。

上記アクセス制御メカニズムを強化するために、上述したようにユーザアクセスポリシが作成される。他の例がこれから説明される。ブルーレイディスク（ＢＤ）のような新しいコンテンツ配信システムは、対話型のアプリケーションを可能にするようにＪａｖａ（登録商標）コードをサポートする。Ｊａｖａ（登録商標）がサポートされるやり方は、セキュリティ部を含むＧＥＭ（Globally Executable MHP，ＭＨＰ参考文献参照）にほぼ準拠している。その結果、ＢＤのセキュリティモデルは、信用されたアプリケーションに署名することにより悪質なコードからのユーザの保護を与える。各組織は、直接アプリケーションに署名すること又は（ソフトウェアに署名する）ソフトウェアの制作者が合法であることを証明することのいずれか一方により、当該組織が提供するアプリケーションが問題ないことを証明する。次に、証明機関（ＣＡ）は、組織の証明書が有効であることを証明する（以下参照）。

上記ユーザアクセスポリシは、セキュリティポリシを適用する際に、ユーザが各組織間の区別を行うことを可能にする。（組織の識別子、例えばOrganization_IDに基づいて選択される）異なる組織に対する別個のユーザアクセスポリシは、信用される組織によってもたらされるアプリケーションに関するリソースの制限されない使用と、知られていない組織からのアプリケーションによるリソースの幾らか制限された使用と、明らかに信用されない組織からのアプリケーションに関するリソースの非常に制限された使用とを可能にする。最後のケースでは、署名された、従って認証されたアプリケーション、換言するとデータアクセスフォーマットに従ってフルアクセス権を得るべきアプリケーションが、ユーザがそのソースを信用しないので、フルアクセス権を得ないことに注意されたい。要するに、ユーザアクセスポリシは、そのようなアプリケーションを認証されていないアプリケーションに戻す。

組織毎に信用のレベルを割り当てることにより、ユーザアクセスポリシは、新しいアプリケーションがユーザポリシが設定されている組織からであることを条件に、新しいアプリケーションに対して適切な信用のレベルを自動的に割り当てる。任意の新しい組織に対して最も低い信用のレベルを割り当てることにより、全ての組織のユーザポリシが設定される。ユーザは、組織に対して、従って該組織の全てのアプリケーションに対して自動的に信用のレベルをアップグレードする機会を持つ。このやり方は、信用レベルを管理する際のユーザに対する仕事の量が非常に制限される。有利なことに、このユーザの増大した便利さは、いかなるやり方においてもプラットフォームのセキュリティを減少させない。

組織毎にある区分けのオプションが存在する。一実施の形態では、組織を区分けすることをサポートするウェブサイトが作成される。このウェブサイトは、多数の組織に関する信用データのリストを保持する。いかなる不審な組織もが、任意の信用された組織と同様に、リスト上でそのようなものとして特定される。従って、レンダリング装置における区分けのプロセスは、インターネットを経由してそのようなウェブサイトとコンタクトを取ることにより、セキュリティに関して妥協することなく完全に自動化され得る。単に（クレジットカードの番号又はネットワーク接続のような）ある鍵リソースへのアクセスを制限するために、不審な組織からのディスクを阻止することが意図ではないことに注意されたい。特定の組織からの特定のアプリケーションは、組織の区分けに基づいて特定のアクセスのレベルを持つ。

データアクセスフォーマットは、以下のことを含み得る。認証されるアプリケーションは、ハッシュ値を求められ、マスタハッシュファイルのハッシュは、組織の秘密鍵を用いて該ハッシュを暗号化することにより署名される。シグネチャはディスクに与えられる。関連する公開鍵は、組織の証明書に含まれている。この証明書もまたディスクに与えられる。組織の証明書のハッシュは、再生機が公開鍵を持つ証明機関（ＣＡ）により署名される。このシグネチャもディスクに与えられる。これは、以下のように表され得る。

組織のアプリケーションにおいてＪａｖａ（登録商標）コードを認証するために、上記レンダリング装置はＣＡの公開鍵を用いて組織の証明書のシグネチャを確認する。これが正しく一致すると、組織の証明書からの組織の公開鍵がアプリケーションのシグネチャを確認するために用いられる。

アプリケーションを認定するためにＪａｖａ（登録商標）コードの作成者が自身の鍵のセットを用いる他の信用のレベルが存在し得る。その場合、組織は上記作成者の証明書に署名する必要がある。これは、以下のように表され得る。

上述したようなユーザアクセスポリシの関数を与えるアクセス制御ユニット３１は、ユーザデバイスにおいて実行されるコンピュータプログラム製品により与えられ得ることに注意されたい。上記プログラムは、標準的なユーザデバイス、例えばラップトップ型コンピュータのプロセッサにユーザアクセスポリシを維持し、調整するステップを実行させるように動作する。上記プログラムは、例えばインターネットを経由して若しくは記録担体上でソフトウェアプラグインとして配信されるか、又は任意の他のアプリケーション及びオーディオ／ビデオコンテンツとともにブロードキャストにより送信されてもよい。ロードされると、ソフトウェアは、アプリケーションがユーザアクセスポリシに従ってデバイスのリソースにアクセスするように該アプリケーションを制御する。

本発明が、主に光ディスクをベースとする実施の形態により説明されたが、他の記憶媒体又はコンテンツ及び／又はメタデータを配信する配信システムも適用され得る。しかしながら、本発明は、とりわけユーザのレンダリング装置において組織により与えられるデータに対するセキュリティポリシに関係があることに注意されたい。各組織は、当該組織に関連したデータを記憶するため及び更にリソースにアクセスするためにある量のローカルストレージを与えられ得る。上記データに関するアクセスポリシは、当該組織からであることを確認されるアプリケーションのみが当該データへのアクセス権を持つことである。例えば、許可はＪａｖａ（登録商標）言語を用いて与えられ得る。アプリケーションは、アクセスポリシのパラメータファイルと比較される許可リクエストファイルを持っている。以前は、不審な又は知られていない組織が所定の場所に証明機関（ＣＡ）によって有効である証明書を持っている状態において、ユーザがシステムリソースへのフルアクセス権を得ることから該組織を阻止することは可能ではなかった。本発明の場合、要求される許可がアクセスポリシにより可能にされても、ユーザアクセスポリシもそうようなアクセスを許可する場合にしか対応するリソースがアプリケーションに開放されない。

この文書において「有する」という語は記載されている構成要素又はステップ以外の他の構成要素又はステップの存在を排除するものではなく、構成要素の前に付されている単語「a」又は「an」はそのような構成要素の複数の存在を排除するものではなく、また、いかなる参照符号も特許請求の範囲を限定するものではなく、本発明はハードウェア及びソフトウェアの両方により実現され、幾つかの「手段」はハードウェアの同じアイテムにより表現され得ることに注意されたい。更に、本発明の範囲は上記実施の形態に限定されるものではなく、本発明は、上述した一つ一つの新規の特徴又は特徴の組み合わせに見出される。

記憶媒体を示している。 レンダリング装置を示している。 予め定義されたデータアクセスフォーマットに従ってアクセス制御するコンテンツ配信システムを示している。 ファイルアクセス制御のメカニズムを示している。

Claims (9)

1. 少なくとも１つの組織のアプリケーションによる、レンダリング装置のリソースへのアクセスを制御する方法であって、
   前記組織に対してアクセスポリシが設定されており、前記アクセスポリシは、前記レンダリング装置による前記組織のアプリケーションの実行の際、該アプリケーションによる前記リソースへのアクセスを制御するアクセスパラメータを有し、
   当該方法は、
   前記レンダリング装置の前記リソースへのアクセスを更に制御するパラメータを有するユーザアクセスポリシに基づいて、前記組織のアプリケーションが、前記アクセスポリシに従って前記リソースにアクセスすることを制限するステップと、
   前記組織のアプリケーションが前記組織のアクセスポリシに従って前記リソースにアクセスすることを選択的に許可する当該組織に対する信用データに基づいた前記ユーザアクセスポリシを調整するステップと
   を有する当該方法。
2. リモートデータベースエンティティにおいて信用データのセットを維持することと、
   前記ユーザアクセスポリシの前記調整のために、ネットワークを経由して前記リモートデータベースエンティティにアクセスし、前記信用データを取り出すこととを更に有する請求項１記載の方法。
3. 前記信用データは、限定された数の信用レベルを有する請求項１または２記載の方法。
4. 前記信用レベルは、
   前記組織のアプリケーションが前記組織の前記アクセスポリシに従って前記リソースに全面的にアクセスすることを許可する全面的に信用されるレベルと、
   前記組織のアプリケーションが予め定義された前記リソースのサブセットにアクセスすることを許可する部分的に信用されるレベルと、
   前記リソースへの前記組織のアプリケーションのアクセスを許可しない信用されないレベルと
   を有する請求項３記載の方法。
5. 前記ユーザアクセスポリシは、前記レンダリング装置において知られていない組織に対して信用されないレベルを最初に設定するものであり、前記信用されないレベルは、前記組織のアプリケーションが前記リソースにアクセスすることを許可しない請求項１から４いずれか１項記載の方法。
6. 前記レンダリング装置の前記リソースは、
   ネットワーク接続と、
   データを記憶するメモリロケーションと、
   システム又はデバイスパラメータと、
   名前又はクレジットカードのデータのような個人ユーザデータと
   のうちの少なくとも１つを有する請求項１から５いずれか１項記載の方法。
7. 少なくとも１つの組織のアプリケーションによるレンダリング装置のリソースへのアクセスを制御するコンピュータプログラムであって、前記プログラムは、請求項１ないし６のいずれか１項に記載の方法において前記ユーザアクセスポリシを維持及び調整することをプロセッサに実行させるように動作する当該コンピュータプログラム。
8. 少なくとも１つの組織のアプリケーションによる、レンダリング装置のリソースへのアクセスを制御する、前記レンダリング装置であって、
   前記組織に対してアクセスポリシが設定されており、前記アクセスポリシは、当該レンダリング装置による前記組織のアプリケーションの実行の際、該アプリケーションによる前記リソースへのアクセスを制御するアクセスパラメータを有し、
   当該レンダリング装置は、
   当該レンダリング装置の前記リソースへのアクセスを更に制御するパラメータを有するユーザアクセスポリシに基づいて、前記組織のアプリケーションが、前記アクセスポリシに従って前記リソースにアクセスすることを制限する手段と、
   前記組織のアプリケーションが前記組織のアクセスポリシに従って前記リソースにアクセスすることを選択的に許可する当該組織に対する信用データに基づいた前記ユーザアクセスポリシを調整する手段と
   を有する当該装置。
9. 前記ユーザアクセスポリシを調整する手段は、
   ネットワークを経由して信用データのセットを維持するように設けられたリモートデータベースエンティティにアクセスし、
   前記ユーザアクセスポリシの前記調整のために前記リモートデータベースエンティティから前記信用データを取り出す
   ように設けられた請求項８記載の装置。

Images