JPWO2005096157A1 - セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム - Google Patents

セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム Download PDF

Info

Publication number
JPWO2005096157A1
JPWO2005096157A1 JP2006519460A JP2006519460A JPWO2005096157A1 JP WO2005096157 A1 JPWO2005096157 A1 JP WO2005096157A1 JP 2006519460 A JP2006519460 A JP 2006519460A JP 2006519460 A JP2006519460 A JP 2006519460A JP WO2005096157 A1 JPWO2005096157 A1 JP WO2005096157A1
Authority
JP
Japan
Prior art keywords
domain
content
terminal device
outside
secure
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
JP2006519460A
Other languages
English (en)
Inventor
東　吾紀男
吾紀男 東
村上　弘規
弘規 村上
徳田　克己
克己 徳田
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Corp
Panasonic Holdings Corp
Original Assignee
Panasonic Corp
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Corp, Matsushita Electric Industrial Co Ltd filed Critical Panasonic Corp
Publication of JPWO2005096157A1 publication Critical patent/JPWO2005096157A1/ja
Withdrawn legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/109—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM] by using specially-adapted hardware at the client
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2153—Using hardware token as a secondary aspect

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Two-Way Televisions, Distribution Of Moving Picture Or The Like (AREA)

Abstract

ＩＣカード３００は、ＩＣカード３００を共用する端末装置か２００らなるドメインに属する端末装置２００に、コンテンツ利用を可能にする暗号鍵を供給し、ＩＣカード３００は、ドメイン外の端末装置２００に対するＩＣカード３００の利用条件を記憶するドメイン外利用条件保持部３０５と、ＩＣカード３００が端末装置２００に装着されたとき、利用条件に従ってＩＣカード３００の利用可否を判定するドメイン外利用可否判定部３０９とを備え、ＩＣカード３００は、さらに、ドメイン外利用可否判定部３０９によって利用可と判定されたとき、ドメイン外の端末装置２００に暗号鍵を供給する。

Description

本発明は、端末装置とセキュアデバイスとを含むセキュアシステムであって、例えば、複数のコンテンツ利用装置およびＩＣカードからなるコンテンツまたはライセンスを共有可能な範囲であるドメイン内外でのコンテンツの利用制御をおこなうコンテンツ利用システム、ＩＣカード、コンテンツ利用装置、方法およびプログラムに関する。
現行のデジタル放送において、有料放送を契約した会員だけにコンテンツを提供するため、ハードウェア的に耐タンパ化されたセキュリティ・モジュール（例えばＩＣカード）を用いて、コンテンツの利用を制御するコンテンツ利用システムがある。このようなシステムでは、ＩＣカードは、暗号化コンテンツを復号するために必要な暗号鍵をセキュアに格納し、限定された１台のコンテンツ利用装置においてコンテンツの復号を可能にする「ペアリング」とよばれる技術がしばしば用いられる。しかし、このようなコンテンツ利用システムにおいては、会員が複数台のコンテンツ利用装置を所有している場合に、特定の１台でしかＩＣカードが使用できないので、不便である。これは、例えば、コンテンツをいったんハードディスク等に蓄積して、会員が所望する時間に視聴する放送形態（サーバ型放送と呼ぶ。）においても、特定の１台のコンテンツ利用装置でしかＩＣカードが使用できないと不便である。なお、サーバ型放送規格については、ＡＲＩＢ（Ａｓｓｏｃｉａｔｉｏｎ ｏｆ Ｒａｄｉｏ Ｉｎｄｕｓｔｒｉｅｓ ａｎｄ Ｂｕｓｉｎｅｓｓｅｓ）により発行されているＳＴＤ−Ｂ２５などが詳しい。
また、日本における現行ＢＳ／ＣＳ／地上デジタル放送では、ＩＣカードとコンテンツ利用装置はペアリングされておらず、ＩＣカードはどのコンテンツ利用装置であっても利用可能である。しかし、多様なサービスを提供可能なサーバ型放送などにおいては、ＩＣカードが利用可能なコンテンツ利用装置を限定したい、というニーズは大きいと考えられる。
このような背景から、複数台のコンテンツ利用装置でＩＣカードを共用するコンテンツ利用システムが提案されている。例えば、特許文献１に開示されたコンテンツ利用システムでは、ＩＣカードを共用する複数のコンテンツ利用装置と複数のＩＣカードとからなるグループ（以降、ドメインと呼ぶ。）には共通の識別子が割り当てられ、コンテンツ利用装置は同じ識別子が割り当てられたＩＣカードを利用することができる。
特表２００１−５１８２５５号公報
しかしながら、上記従来技術によれば、ＩＣカードをドメイン外のコンテンツ利用装置で使用することができないので、ユーザの利便性が悪い場合が発生しうる。例えば、ユーザが友人宅にＩＣカードを持って行った場合に、友人宅のコンテンツ利用装置では、そのＩＣカードを一時的にでも一切使用するということができないので、極めて利便性が悪くなってしまう。
つまり、ＩＣカードは、そのＩＣカードと同じドメイン以外に属するコンテンツ利用装置に挿入しても、そのコンテンツ利用装置でコンテンツを再生することができない。
上記課題に鑑み、本発明は、コンテンツなどの秘匿データの保護を考慮しつつ、ドメイン外のコンテンツ利用装置においてもセキュアデバイスを利用可能にすることで、秘匿データの保護とユーザ利便性の両者のバランスをとるセキュアシステム、セキュアデバイス、コンテンツ利用装置、方法およびプログラムを提供することを目的とする。
上記目的を達成するため、本発明のセキュアシステムは、秘匿データを保持するセキュアデバイスと、セキュアデバイスを接続する端末装置とを含むセキュアシステムであって、セキュアデバイスおよび端末装置の何れかに備えられ、セキュアデバイスおよび端末装置のドメインを定義するドメイン情報とを記憶する第１記憶手段と、セキュアデバイスおよび端末装置の何れかに備えられ、ドメイン外におけるセキュアデバイスの利用条件であるドメイン外利用条件を記憶する第２記憶手段と、セキュアデバイスおよび端末装置の何れかに備えられ、前記ドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン内であるかドメイン外であるかを判定する第１判定手段と、セキュアデバイスおよび端末装置の何れかに備えられ、第１判定手段によってドメイン外であると判定されたとき、前記ドメイン外利用条件に従ってセキュアカードの利用可否を判定する第２判定手段と、セキュアデバイスおよび端末装置の何れかに備えられ、第１判定手段によってドメイン内と判定された場合、および、第２判定手段によって利用可能と判定された場合に、端末装置によるセキュアデバイスの利用を可能にする制御手段とを備える。
この構成によれば、ドメイン外でのセキュアデバイスの利用条件を示すドメイン外利用条件の範囲内でセキュアデバイスをドメイン外のコンテンツ利用装置でも使用することができるので、ユーザの利便性を向上させることができる。しかも、ドメイン外でのセキュアデバイスの使用は無制限ではなく、ドメイン外利用条件によって限定されるので、コンテンツなどの秘匿データの保護を図ることができる。
ここで、前記第１記憶手段はセキュアデバイスに備えられ、前記第１判定手段は、端末装置に備えられ、当該端末装置が現在ドメイン内であるかドメイン外であるかを判定し、前記制御手段はセキュアデバイスに備えられるようにしてもよい。
ここで、前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、前記秘匿データは前記コンテンツを復号するための暗号鍵であり、前記制御手段は、セキュアデバイスに備えられ、第１判定手段によってドメイン内と判定された場合、および、第２判定手段によって利用可能と判定された場合に、セキュアデバイスから端末装置に前記秘匿データを供給するようにしてもよい。
ここで、前記ドメイン外利用条件は、ドメイン外での（ａ）コンテンツ再生の回数、（ｂ）コンテンツ利用装置の台数、（ｃ）ドメイン数、（ｄ）有効期限、（ｅ）利用時間、（ｆ）端末ＩＤ数、（ｇ）ドメインＩＤ数、（ｈ）コンテンツの数および（ｉ）ライセンスの数、の少なくとも１つに関するようにしてもよい。
この構成によれば、ドメイン外利用条件として、例えば、ドメイン外では３回までコンテンツを利用可能であるとか、ドメイン外のコンテンツ利用装置は２台（２つの端末ＩＤ）まで利用可能であるとか、ドメイン外でのコンテンツ利用は１つまでであるとか、ドメイン外では４月１日まで使用可能であるとか、ドメイン外では２週間使用可能であるとか、ドメイン外では４月６日から使用可能であるとか、ドメイン外では１つのドメインＩＤに限定するとか、コンテンツ２種類まで、ライセンス（暗号鍵）２つまで等のドメイン外利用条件を設定することができるので、事業者の意向やコンテンツの特性に応じた利用条件を設定することによって、事業者の権利保護とユーザの利便性を十分に調整することができる。
ここで前記セキュアデバイスは、ドメイン外のコンテンツ利用装置における前記ドメイン外利用条件に基づくコンテンツの利用履歴を示すドメイン外利用履歴を記録する履歴記録手段を備え、前記第２判定手段は、前記ドメイン外利用履歴が前記利用条件に示される利用可能な範囲を超えないか否かを判定するようにしてもよい。
この構成によれば、第２判定手段はドメイン外での利用履歴（以下、ドメイン外利用履歴）とドメイン外利用条件に示される利用可能な範囲とを比較することにより容易に判定することができる。
ここで、第２記憶手段および第２判定手段は、前記セキュアデバイスに備えられる構成としてもよい。
この構成によれば、セキュアデバイス自身が利用可否を判定し、セキュアデバイス内にドメイン外利用履歴を記録するので、コンテンツ利用装置はほぼ従来の構成であっても利用することができる。また、ＩＣカードなどのセキュアデバイスはハードウェアレベルで耐タンパ化されているので、セキュリティレベルをより向上させることができる。さらに、ＩＣカードを新しいＩＣカードに交換することにより、ドメイン外利用条件などを含めたセキュリティの更新が可能となる。
ここで、第２記憶手段および第２判定手段は、前記コンテンツ利用装置に備えられる構成としてもよい。
この構成によれば、コンテンツ利用装置自身が利用可否を判定し、ドメイン外利用履歴を記録するので、セキュアデバイスはほぼ従来の構成であっても利用することができる。
ここで、前記セキュアデバイスは、さらに、所定の時期に前記ドメイン外利用履歴を消去する消去手段を備えてもよい。
ここで、前記消去手段は、セキュアデバイスが特定のドメイン内の何れかの前記コンテンツ利用装置のセキュアデバイススロットに挿入されたとき、前記ドメイン外利用履歴を消去するようにしてもよい。
ここで、前記消去手段は、前記セキュアデバイスが特定のドメイン内の特定のコンテンツ利用装置のセキュアデバイススロットに挿入されたとき、前記ドメイン外利用履歴を消去するようにしてもよい。
この構成によれば、利用条件に示される利用可能な範囲を全て使用した場合などに、ユーザは再度ドメイン外利用履歴を初期化（リセット）することができる。
ここで、前記消去手段は、コンテンツ利用装置から消去指示を受信したとき、前記ドメイン外利用履歴を消去するようにしてもよい。
この構成によれば、コンテンツ利用装置においてドメイン外利用履歴を初期化することを制御することができる。
ここで、前記コンテンツ利用装置は、外部から前記ドメイン外利用履歴の消去指示を受信し、セキュアデバイススロットに挿入されている同一ドメイン内のセキュアデバイスに当該消去指示を送信するようにしてもよい。
この構成によれば、例えば、事業者つまりコンテンツ配信装置がドメイン外利用履歴の初期化を制御することにより、ドメイン外でのセキュアデバイスの利用をきめ細かく制御することができる。
ここで、前記コンテンツ利用端末は、外部から新たなドメイン外利用条件を受信する受信手段を備え、前記第２記憶手段は、前記ドメイン外利用条件を新たなドメイン外利用条件に更新するようにしてもよい。
この構成によれば、例えば、事業者つまりコンテンツ配信装置が、利用条件の内容を自由に制御することにより、ドメイン外でのセキュアデバイスの利用を動的に、きめ細かく制御することができる。
ここで、前記受信手段は、コンテンツ配信サーバから送信されるライセンスに付加されたドメイン外利用条件を受信するようにしてもよい。
この構成によれば、ライセンス毎にコンテンツやライセンスの特性に適したドメイン外利用条件を設定することができる。
ここで、第２記憶手段は、デフォルトのドメイン外利用条件を記憶するようにしてもよい。
この構成によれば、ドメイン外利用条件を事後的に設定する処理を行うことなく、工場出荷時に予め利用条件をセキュアデバイスに記憶させることができる。
ここで、前記コンテンツ利用装置は、さらに、セキュアデバイススロットに挿入されたセキュアデバイスからドメイン外利用条件およびドメイン外利用履歴を取得する取得手段と、取得したドメイン外利用条件およびドメイン外利用履歴に基づいてドメイン外のコンテンツ利用装置における利用状況に関するガイダンスを表示する表示手段とを備えるようにしてもよい。
この構成によれば、ユーザはガイダンス表示によって利用状況を把握することができる。
ここで、前記表示手段は、前記ドメイン外利用履歴が前記ドメイン外利用条件に示される利用可能範囲に達しているとき、前記ドメイン外利用履歴の消去を促すガイダンスを表示するようにしてもよい。
この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった場合に、使い慣れないユーザでも対処することができる。
ここで、前記表示手段は、前記ドメイン外利用履歴の消去方法を示すヘルプメッセージを前記ガイダンスとして表示するようにしてもよい。
この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった場合に、使い慣れないユーザでも消去のための具体的な行動をすることができる。
ここで、前記表示手段は、前記ドメイン外利用履歴と前記ドメイン外利用条件に示される利用可能範囲との差分が一定以下のとき、その旨を前記ガイダンスとして表示するようにしてもよい。
この構成によれば、ドメイン外のコンテンツ利用装置では使用できなる前に、ユーザに対して警告することができる。
ここで、前記コンテンツ利用装置は、さらに、セキュアデバイススロットに挿入されたセキュアデバイスから前記ドメイン外利用条件および前記ドメイン外利用履歴を取得する取得手段と、取得した前記ドメイン外利用条件および前記ドメイン外利用履歴に基づいてドメイン外のコンテンツ利用装置における利用状況に関するガイダンスを表示する表示手段とを備えるようにしてもよい。
この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった場合に、その旨を警告するので、ユーザがセキュアデバイスの故障などと勘違いすることを防止することができる。
また、本発明のセキュアデバイス、コンテンツ利用装置、コンテンツ利用方法、プログラムについても上記と同様の作用・効果を奏する。
本発明のセキュアシステム、セキュアデバイス、コンテンツ利用装置、コンテンツ利用方法、プログラムによれば、利用条件の範囲内でドメイン外のコンテンツ利用装置においてもセキュアデバイスを利用可能にする。よって、コンテンツなどの秘匿データの保護を考慮しつつ、秘匿データの保護とユーザ利便性の両者のバランスをとることができる。
［図１］図１は、本発明の実施形態１におけるコンテンツ利用システムの概要を示す図である。
［図２］図２は、本コンテンツ利用システムの全体の構成を示すブロック図である。
［図３］図３は、コンテンツ蓄積部に蓄積されるコンテンツの一例を示す図である。
［図４］図４は、ライセンス情報蓄積部に蓄積されるライセンス情報例を示す図である。
［図５］図５は、ドメイン外利用条件蓄積部に蓄積される利用条件例を示す図である。
［図６］図６は、ドメイン情報蓄積部に蓄積されるドメイン情報例を示す図である。
［図７］図７は、ＥＭＭのデータ例を示す図である。
［図８］図８は、端末ＩＤ保持部のデータ例を示す図である。
［図９］図９は、ドメイン情報保持部に保持されるドメイン情報例を示す図である。
［図１０］図１０は、ドメイン外利用条件保持部に保持されるドメイン外利用条件例を示す図である。
［図１１］図１１は、ドメイン外利用記録蓄積部に蓄積される利用記録例を示す図である。
［図１２］図１２は、ドメイン外利用条件のＩＣカードへの設定処理についてのフローチャートを示す図である。
［図１３］図１３は、コンテンツ再生処理についてのフローチャートを示す図である。
［図１４］図１４は、ドメイン外利用記録の消去処理についてのフローチャートを示す図である。
［図１５］図１５は、本発明の実施形態２におけるセキュアシステムの概要を示す図である。
［図１６］図１６は、端末装置Ｔａとメモリカードの構成を示すブロック図である。
［図１７］図１７は、ドメイン情報保持部に保持されるドメイン情報の例を示す図である。
［図１８］図１８は、ドメイン情報保持部に保持されるドメイン情報の他の例を示す図である。
 符号の説明
１００ 配信装置
１０１ コンテンツ蓄積部
１０２ ライセンス情報蓄積部
１０３ ドメイン外利用条件蓄積部
１０４ ドメイン外利用条件付加部
１０５ ドメイン情報蓄積部
１０６ 端末リスト付加部
１０７ ＥＭＭ生成部
１０８ 放送信号多重送信部
２００ 端末装置
２０１ 放送信号受信分離部
２０２ コンテンツ記憶部
２０３ 再生部
２０４ ＥＭＭ取得部
２０５ 端末ＩＤ読み出し部
２０６ 端末ＩＤ保持部
２０７ ドメイン外利用条件取り出し部
２０８ 第１の送受信部
３００ ＩＣカード
３０１ 第２の送受信部
３０２ ドメイン情報保持部
３０３ 端末ＩＤ取得部
３０４ ドメイン情報処理部
３０５ ドメイン外利用条件保持部
３０６ ドメイン外利用条件取得部
３０７ ドメイン外利用記録蓄積部
３０８ ドメイン外利用記録更新部
３０９ ドメイン外利用可否判定部
本発明のセキュアシステムは、秘匿データを保持するセキュアデバイスと、セキュアデバイスを利用する複数の端末装置とを含む。ユーザがドメイン内の端末装置だけでなく、条件付きではあるけれどもドメイン外の端末装置でもセキュアデバイスを利用できるように構成されている。ここで、ドメインとは、ライセンスおよびコンテンツを共用する端末装置およびセキュアデバイスの集合をいう。ユーザがドメインＡに属するセキュアデバイスをドメインＡに属する端末装置に接続した場合は、当該端末装置は無条件でセキュアデバイスを利用できるだけでなく、ドメインＢに属する端末装置に接続した場合でも、当該端末装置がドメイン外利用条件の範囲内でセキュアデバイスを利用できるように構成されている。実施の形態１では、セキュアシステムとしてコンテンツ利用システムを、セキュアデバイスとしてＩＣカードを例にとって説明する。
（実施の形態１）
図１は、本発明の実施の形態１におけるコンテンツ利用システムの概要を示す図である。同図のように、本コンテンツ利用システムは、放送局１００、端末装置２００ａ〜２００ｃ、端末装置２００ｐ、２００ｑ、セキュアデバイスとしてＩＣカード３００ａ〜３００ｃを含み、ユーザがドメイン内の端末装置だけでなく、条件付でドメイン外の端末装置でＩＣカードを使用してコンテンツを視聴できるように構成されている。例えば、ユーザがドメインＡに属するＩＣカード３００ａを、ドメインＢに属する端末装置２００ｐに挿入した場合に、ドメイン外利用条件の範囲内で端末装置２００ｐがコンテンツを再生できる。
図２は、コンテンツ利用システムの全体構成を示すブロック図である。同図のように、本コンテンツ利用システムは、配信装置１００、端末装置２００、ＩＣカード３００を含む。
配信装置１００は、図１における放送局１００に相当し、コンテンツプロバイダやサービスプロバイダと呼ばれる事業者であり、限定受信方式および限定再生方式によるサーバ型放送によりセキュアにコンテンツを放送する。この配信装置１００は、コンテンツ蓄積部１０１、ライセンス情報蓄積部１０２、ドメイン外利用条件蓄積部１０３、ドメイン外利用条件付加部１０４、ドメイン情報蓄積部１０５、端末リスト付加部１０６、ＥＭＭ生成部１０７、放送信号多重送信部１０８を備える。
コンテンツ蓄積部１０１は、図３に示すようなコンテンツデータ３０００を蓄積する。図３に示すように、コンテンツデータ３０００は、コンテンツＩＤ３００１と、メタデータ３００２と、暗号化コンテンツ３００３とから成る。コンテンツＩＤ３００１は、デジタルコンテンツ配信システム内において、コンテンツを一意に特定するためのＩＤである。メタデータ３００２は、コンテンツの内容を説明するデータであり、コンテンツのタイトルやコンテンツの長さ等が記述されている。暗号化コンテンツ３００３は、音楽データや映像データ等のコンテンツを暗号化したものである。なお、コンテンツは、音楽データや映像データに限られたものではなく、電子新聞、電子ブック、電子マップ、電子辞書、静止画、ゲーム、コンピュータ用ソフトウェア等のデジタルコンテンツであってもよい。
ライセンス情報蓄積部１０２は、図４に示すようなコンテンツの再生に必要なライセンス４００と、暗号化されたライセンス４００の復号に必要なワーク鍵と呼ばれる暗号鍵とを蓄積する。図４に示すように、ライセンス４００は、ドメイン内の端末装置２００に対するコンテンツの利用条件を示す利用条件４０１と、ライセンス４００に対応する暗号化コンテンツの復号を行うためのコンテンツ鍵４０２と、ライセンス４００を共用してよいドメインを特定するドメインＩＤ４０３と、からなる。ここで、利用条件４０１の一例としては、ライセンス４００に対応するコンテンツを利用可能な回数（例えば「１０回」）や、利用可能な期間（例えば「２００４年４月１日〜２００４年５月３０日」）などである。なお、同図において、ライセンス４００は、ドメインＩＤ４０３を含む代わりに、あるいはドメインＩＤ４０３と併せて、それぞれユーザ、端末装置、ＩＣカードを一意に識別可能な、ユーザＩＤ、端末装置ＩＤ、ＩＣカードＩＤを含むようにしてもよい。なお、ライセンス４００は、コンテンツＩＤ３００１と関連付けるため、ライセンス４００にコンテンツＩＤ３００１を含めてもよい。ライセンス４００にコンテンツＩＤ３００１を含める代わりに、ライセンス４００を一意に特定するためのライセンスＩＤなどの識別子をライセンス４００に含めるようにしてもよい。また、ワーク鍵は、事業者と関連付けて蓄積され、定期的にＥＭＭなどにより更新される。
ドメイン外利用条件蓄積部１０３は、図５に示すような、ドメイン外の端末装置に対する複数のドメイン外利用条件をドメイン外利用条件テーブル５００として蓄積する。図５に示すように、ドメイン外利用条件テーブル５００は、ユーザＩＤ５０１とドメイン外利用条件５０２とを対応付けて蓄積する。ユーザＩＤ５０１は、本コンテンツ配信システム内において、ユーザを一意に特定するＩＤである。ユーザＩＤ５０１は、コンテンツ配信サービスを受けるために、事業者に会員登録処理をする際に割り当てられる。この会員登録処理は、ユーザが、ネットワーク上で事業者と通信して行われてもよいし、会員登録用書類の送付等、他の方法で行われてもよい。会員登録処理では、まず、事業者が、ユーザに対してユーザＩＤ５０１を割り当てる。その後、ユーザが所有する端末装置２００の端末ＩＤが、ネットワークもしくは書類等により事業者に対して通知される。この通知された端末ＩＤとユーザＩＤ５０１とが関連付けられて管理される。また、ＩＣカードＩＤ、ドメインＩＤの割り当ても同様にして、会員登録後随時行われる。ドメイン外利用条件５０２は、ＩＣカード３００をドメイン外の端末装置で使用する条件を定め、コンテンツ再生の回数、利用可能なドメイン外のコンテンツ利用装置の台数、利用可能なドメイン数、有効期限、有効期間、発効時期、最大の利用時間、端末ＩＤ数、ドメインＩＤ数、コンテンツの数、ライセンス（コンテンツ鍵）の数、などをドメイン外利用条件として定める。例えば、ユーザＩＤ「ＵＳＥＲ−ＩＤ−０００１」で特定されるユーザに対して「使用可能な端末装置の端末ＩＤが３つまで許可」というドメイン外利用条件５０２が与えられている。また、ユーザＩＤ「ＵＳＥＲ−ＩＤ−０００２」で特定されるユーザに対して、「３つ（回）まで許可」というドメイン外利用条件が与えられている。ユーザＩＤ「ＵＳＥＲ−ＩＤ−０００３」で特定されるユーザに対して「初回利用から１ヶ月経過後無効」、すなわち、ある端末で最初に利用してからドメイン外で１ヶ月間は有効、というドメイン外利用条件５０２が与えられている。このドメイン外利用条件に示される利用範囲内で、ユーザは、所有しているＩＣカードのドメイン外の端末装置でも、コンテンツを利用することが可能になる。なお、ドメイン外利用条件は複数の条件を含んでいてもよい。その場合、ドメイン外利用条件による利用可否は、複数の条件のＡＮＤ（複数の条件を全て満たす場合に利用可能）やＯＲ（複数の条件のいずれかを満たす場合に利用可能）により判定してもよい。
ドメイン外利用条件付加部１０４は、ＥＭＭ生成部１０７によって生成されるＥＭＭ（Ｅｎｔｉｔｌｅｍｅｎｔ Ｍａｎａｇｅｍｅｎｔ Ｍｅｓｓａｇｅ）にドメイン外利用条件５０２を付加する。ここでＥＭＭは、ユーザとの個別の契約情報やコンテンツ鍵を復号するためのワーク鍵などを含むメッセージであり、共通情報（ＥＣＭ：Ｅｎｔｉｔｌｅｍｅｎｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ）と対比して個別情報とも呼ばれる。なお、ＥＣＭは、番組情報やライセンス（コンテンツ鍵）などの全ユーザに共通の情報を含むメッセージである。ＥＭＭはユーザ個別に対して送信されるので、本実施形態におけるドメイン外利用条件付加部１０４は、ＥＭＭにドメイン外利用条件５０２を付加するものとしている。なお、ドメイン外利用条件付加部１０４は、ＥＭＭにドメイン外利用条件５０２を付加する代わりに他のメッセージ又は専用のメッセージにドメイン外利用条件５０２を付加するようにしてもよい。
ドメイン情報蓄積部１０５は、ドメインを管理するため、ユーザとドメインに属する端末装置及びＩＣカードとを関連付けるドメイン情報テーブルを有するデータベースであって、図６に示すように、ドメインＩＤ６０１と、ユーザＩＤ６０２と、端末リスト６０３と、ＩＣカードリスト６０４を含む。ドメインＩＤ６０１はドメインを一意に特定する識別子である。ユーザＩＤ６０２は、ドメインを使用するユーザの識別子である。端末リスト６０３は、ドメインに属する端末装置２００を示す端末装置ＩＤの一覧表である。ＩＣカードリスト６０４は、ドメインに属するＩＣカード３００を特定するＩＣカードＩＤの一覧表である。ＩＣカードリスト６０４は、ドメインに属するＩＣカードを特定するＩＣカードＩＤのリストである。ドメイン情報テーブルへの端末装置２００およびＩＣカード３００の登録は、会員登録後に随時行われる。なお、ドメイン情報テーブルは、ドメインＩＤ毎に当該ドメインの名称やニックネームを含んでいてもよい。また、ドメインは、端末装置のＩＤおよびＩＣカードＩＤによってドメインを定義（以下論理的なドメインと呼ぶ。）してもよいし、端末装置の存在する位置によってドメインを定義（以下物理的なドメインと呼ぶ。）してもよい。図６に示したドメイン情報テーブルは論理的なドメインの一例である。
端末リスト付加部１０６は、ＥＭＭ生成部１０７によって生成されユーザの端末装置に送信すべきＥＭＭにドメイン情報蓄積部１０５に蓄積されるドメイン情報を付加する。これにより、ＥＭＭを受信した端末装置２００およびＩＣカード３００はドメインの管理を行うことができる。
ＥＭＭ生成部１０７は、上記のＥＭＭを生成する。生成されたＥＭＭには、ドメイン外利用条件付加部１０４によってドメイン外利用条件５０２が付加され、端末リスト付加部１０６によってドメイン情報が付加される。図７にＥＭＭの一例を示す。同図のように、ＥＭＭ７００は、ヘッダ部７０１、ＥＭＭ本体７０２、ＣＲＣ７０４からなり、ＭＰＥＧ−２ Ｓｙｓｔｅｍｓ（ＩＥＣ／ＩＳＯ１３８１８−１）のプライベートセクション形式のデータである。ＥＭＭ本体７０２には、コンテンツ鍵４０２を復号するためのワーク鍵、プライベートデータ等の個別的な情報を含む。利用条件７０３は、ドメイン外利用条件付加部１０４によってＥＭＭ本体７０２内にプライベートデータとして付加されている。また、ＥＭＭ本体７０２には、端末リスト付加部１０６によってプライベートデータとして端末リストも付加される。なお、ＥＭＭ７００は、ＩＣカード３００固有のマスタ鍵で暗号化される。
放送信号多重送信部１０８は、ＥＭＭ生成部１０７によって生成されたＥＭＭ７００と、コンテンツ蓄積部１０１からの配信すべきコンテンツ等を多重化し放送する。これによる放送データは、デジタル放送の場合ＭＰＥＧ−２トランスポートストリーム（ＴＳ：Ｔｒａｎｓｐｏｒｔ Ｓｔｒｅａｍ）などの形式で送信される。多重化された放送データには、ＥＣＭ等のセクション形式の種々のデータも含まれるが、本発明と関連が薄いデータについては説明を省略する。
次に端末装置２００の構成について説明する。図２に示すように、端末装置２００は、図１における端末装置２００ａ〜２００ｃの代表として１つだけ図示してある。この端末装置２００は、放送信号受信分離部２０１、コンテンツ記憶部２０２、再生部２０３、ＥＭＭ取得部２０４、端末ＩＤ読み出し部２０５、端末ＩＤ保持部２０６、ドメイン外利用条件取り出し部２０７、第１の送受信部２０８および制御部２０９を備える。
放送信号受信分離部２０１は、配信装置１００から送信される放送データを受信し、受信したデータからコンテンツと、ドメイン外利用条件５０２を含むＥＭＭ７００と、その他のＰＳＩ／ＳＩ（Ｐｒｏｇｒａｍ Ｓｐｅｃｉｆｉｃ Ｉｎｆｏｒｍａｔｉｏｎ／Ｓｅｒｖｉｃｅ Ｉｎｆｏｒｍａｔｉｏｎ）等のセクション形式のデータとを分離する。
コンテンツ記憶部２０２は、放送信号受信分離部２０１によって分離されたコンテンツをパーシャルＴＳとして記憶する。なお、サーバ型放送のＴｙｐｅＩＩ（ファイル型）コンテンツであれば、タイムスタンプ付きＴＳやＪＰＥＧなどを蓄積する。
再生部２０３は、コンテンツ記憶部２０２に記憶されたコンテンツを復号して再生する。コンテンツ記憶部２０２に記憶されたコンテンツは暗号化されているので、再生部２０３は、コンテンツ鍵と、コンテンツ鍵の暗号化を解くためのワーク鍵とを用いて復号化（デクリプト）し、さらにＭＰＥＧ−２等に準拠した圧縮符号を伸張（デコード）する。そのため、再生部２０３はコンテンツ鍵をＥＣＭから取得するが、ワーク鍵はＩＣカード３００から第１の送受信部２０８を介して再生部２０３に供給される。
なお、ここでは、再生部２０３がコンテンツ鍵とワーク鍵とを用いて、コンテンツをデクリプトする場合の例を示したが、ＩＣカード３００にＥＣＭおよびＥＭＭを復号するためのＥＣＭ／ＥＭＭ復号部を備え、ＥＣＭ／ＥＭＭ復号部においてＥＣＭおよびＥＭＭを復号するようにしてもよい。この場合、ＥＣＭ／ＥＭＭ復号部でＥＭＭを復号することによってワーク鍵を取得し、ワーク鍵をＩＣカード内部で保持する。また、コンテンツを再生する場合には、再生部２０３がコンテンツに多重化されたＥＣＭをＩＣカード３００に送信し、ＥＣＭ／ＥＭＭ復号部がワーク鍵を用いてＥＣＭを復号することによってコンテンツ鍵を取得する。このように取得したコンテンツ鍵は、端末装置２００に送信され、再生部２０３において、コンテンツ鍵を用いて暗号化コンテンツを復号する。
ＥＭＭ取得部２０４は、放送信号受信分離部２０１によって分離されたＥＭＭ７００を取得し、ＥＭＭ本体７０２をドメイン外利用条件取り出し部２０７に出力する。
端末ＩＤ読み出し部２０５は、端末ＩＤ保持部２０６に保持された端末装置２００の端末ＩＤを読み出して、第１の送受信部２０８を介してＩＣカード３００に出力する。
端末ＩＤ保持部２０６は、端末装置２００の端末ＩＤ情報を保持する。図８に、端末ＩＤ保持部２０６が保持する端末ＩＤ情報の一例を示す。図８の例では、端末ＩＤ情報８００は、端末装置２００を特定する端末ＩＤ８０１、端末装置２００のユーザを特定するユーザＩＤ８０２、端末装置２００が属するドメインを特定するドメインＩＤ８０３を含む。
ドメイン外利用条件取り出し部２０７は、端末装置２００のＩＣカードスロットにドメイン内のＩＣカード３００が挿入されている場合、ＥＭＭ取得部２０４が取得したＥＭＭ本体７０２からドメイン外利用条件５０２や端末リスト６０３を取り出して内部に保持し、またＥＭＭ本体７０２を第１の送受信部２０８を介してＩＣカード３００に送信する。
第１の送受信部２０８は、ＩＣカードスロットに挿入されたＩＣカード３００と通信するためのインターフェースである。
制御部２０９は、ドメイン内のＩＣカード３００から暗号鍵の供給を受けるための制御と、ドメイン外のＩＣカード３００からも暗号鍵の供給を受けるための制御を行う。ドメイン外のＩＣカード３００からは、ドメイン外利用条件５０２に従って暗号鍵が供給される。
続いてＩＣカード３００の構成について説明する。ＩＣカード３００は、図１におけるＩＣカード３００ａ〜３００ｃの代表として１つだけ図示してある。図２に示すようにＩＣカード３００は、第２の送受信部３０１、ドメイン情報保持部３０２、端末ＩＤ取得部３０３、ドメイン情報処理部３０４、ドメイン外利用条件保持部３０５、ドメイン外利用条件取得部３０６、ドメイン外利用記録蓄積部３０７、ドメイン外利用記録更新部３０８、ドメイン外利用可否判定部３０９を備える。
第２の送受信部３０１は、ＩＣカード３００が端末装置２００のＩＣカードスロットに挿入されたときに端末装置２００と通信するためのインターフェースである。
ドメイン情報保持部３０２は、ＩＣカード３００のドメインに属する端末装置２００を示すドメイン情報を保持する。このドメイン情報は端末ＩＤリストを含み、ＩＣカードＩＤリストは含まなくてもよいし、含んでもよい。図９に、ドメイン情報保持部３０２に保持されるドメイン情報の一例を示す。図９の例では、ドメイン情報９００は、ＩＣカード３００が属するドメインを特定するドメインＩＤ９０１、ＩＣカード３００のユーザを特定するユーザＩＤ９０２、ドメインＩＤ９０１に特定されるドメインに属する端末装置２００を示す端末リスト９０３とを含む。なお、合わせて、端末ＩＤリストやＩＣカードＩＤリストの登録数、期間、サイズなどの最大値を管理するようにしても良い。また、このとき、最大値に達した場合は、古いものや、利用頻度が少ないものから削除／上書きするようにすると良い。
端末ＩＤ取得部３０３は、ＩＣカード３００が挿入された端末装置２００の端末ＩＤ８０１を取得する。
ドメイン情報処理部３０４は、端末ＩＤ取得部３０３に取得された端末ＩＤ８０１がドメイン情報保持部３０２に保持された端末リスト９０３に含まれるか否かを判定する。つまり、ドメイン情報処理部３０４は、ＩＣカード３００を装着した端末装置２００がドメイン内の端末装置２００であるのかドメイン外の端末装置２００であるのかを判定する。
ドメイン外利用条件保持部３０５は、端末装置２００から第２の送受信部３０１およびドメイン外利用条件取得部３０６を介して取得されたドメイン外利用条件５０２を保持する。図１０に、ドメイン外利用条件保持部３０５に保持されるドメイン外利用条件５０２の一例を示す。同図での例では、ドメイン外利用条件１０００は、ドメイン外の端末装置２００におけるコンテンツ利用可能範囲として「３回まで許可」という条件が保持されている。この場合、本ＩＣカードのユーザは、ドメイン外の端末装置２００において３回までコンテンツを利用することが可能となる。
ドメイン外利用条件取得部３０６は、端末装置２００から第２の送受信部３０１を介して取得されたＥＭＭ本体７０２からワーク鍵、端末リストおよびドメイン外利用条件５０２を取得し、ワーク鍵、端末リストを内部に保持し、ドメイン外利用条件保持部３０５に格納する。
ドメイン外利用記録蓄積部３０７は、ドメイン外のコンテンツ利用装置におけるドメイン外利用条件５０２に基づいてコンテンツが利用されたとき、その利用記録をドメイン外利用履歴として蓄積する。図１１に、利用記録の一例を示す。同図の例では、利用記録１１００は、利用日時１１０１、ＩＣカード３００を使用したドメイン外の端末装置２００を特定する端末ＩＤ１１０２、そのドメインを特定するドメインＩＤ１１０３、利用したライセンスを特定するためのライセンスＩＤ１１０４、実際に利用した時間を示す利用時間１１０５等を含む。
ドメイン外利用記録更新部３０８は、ドメイン外利用記録蓄積部３０７に対して利用記録（ドメイン外利用履歴）の消去と追加とを行う。具体的には、ドメイン外利用記録更新部３０８は、端末装置２００からの消去指示を受けたとき、ドメイン外利用記録蓄積部３０７に蓄積された利用記録を端末装置２００に送信した後に全て消去する。利用記録を消去する理由は、ユーザが、再度ＩＣカード３００のドメイン外での使用を、ドメイン外利用条件の範囲内で可能にするためである。また、ドメイン外利用記録更新部３０８は、ドメイン外の端末装置２００におけるドメイン外利用条件５０２に基づくコンテンツの利用について、その利用記録をドメイン外利用記録蓄積部３０７に記録することにより利用記録を更新する。この利用記録は、例えば、図１１に示した利用記録の１エントリーである。なお、ここでは、端末装置２００からの消去指示を受けたとき、ドメイン外利用記録蓄積部３０７に蓄積された利用記録を、端末装置２００に送信しているが、必ずしも送信しなくてもよい。
ドメイン外利用可否判定部３０９は、ドメイン情報処理部３０４によって、ＩＣカード３００を装着した端末装置２００がドメイン外の端末装置２００であると判定されたとき、当該端末装置がＩＣカード３００を利用可能か否か、を判定する。この判定は、ドメイン外利用記録蓄積部３０７に蓄積された利用記録が、ドメイン外利用条件に示される利用可能な範囲を超えないか否かによる。さらに、ドメイン外利用可否判定部３０９は、利用可能と判定した場合に、その旨を第２の送受信部３０１を介して装着先の端末装置２００に通知するとともに、ドメイン外利用条件取得部３０６にワーク鍵を端末装置２００に供給するように指示する。このワーク鍵の供給を受けることにより、ドメイン外の端末装置２００において、コンテンツを再生することが可能となる。
以上のように構成された本発明の実施の形態１におけるコンテンツ利用システムについて、以下、その動作を説明する。
図１２は、本コンテンツ利用システムにおいてＩＣカード３００にドメイン外利用条件を設定する処理を示すフローチャートである。同図のように、配信装置１００においてＥＭＭ生成部１０７はＥＭＭ７００を生成する（Ｓ１０１）。ドメイン外利用条件付加部１０４はドメイン外利用条件蓄積部１０３からＥＭＭ７００の対象となるユーザに対応するドメイン外利用条件５０２を読み出して、生成されたＥＭＭ７００に付加する（Ｓ１０２）。放送信号多重送信部１０８は、ドメイン外利用条件５０２が付加されたＥＭＭ７００を、コンテンツとともに多重化して放送データとして端末装置２００に送信する（Ｓ１０３）。
端末装置２００において、放送信号受信分離部２０１は放送データを受信し、ＥＭＭ本体７０２を分離する（Ｓ２０１）。分離されたＥＭＭ本体７０２は、さらにＥＭＭ取得部２０４によってドメイン外利用条件取り出し部２０７、第１の送受信部２０８を介してＩＣカード３００に送信される（Ｓ２０２）。
ＩＣカード３００において、第２の送受信部３０１はＥＭＭ本体７０２を受信し、ドメイン外利用条件取得部３０６にそのＥＭＭ本体７０２出力する（Ｓ３０３）。ドメイン外利用条件取得部３０６は、ＥＭＭ本体７０２からワーク鍵を取り出して内部に保持し、さらに、ドメイン外利用条件５０２を取り出して、ドメイン外利用条件保持部３０５に格納する（Ｓ３０４）。
このようにして配信装置１００において事業者等が作成したドメイン外利用条件５０２が、ＥＭＭ７００に付加されることにより、端末装置２００を経由してＩＣカード３００内に設定される。
図１３は、ＩＣカード３００が挿入された端末装置２００において、ユーザが再生開始操作をしたときのコンテンツの再生処理を示すフローチャートである。同図のように、端末装置２００において、端末ＩＤ読み出し部２０５は、端末ＩＤ保持部２０６から読み出した端末装置２００が保持する端末ＩＤ８０１を、第１の送受信部２０８を介してＩＣカード３００に送信する（Ｓ２１０）。その後、第１の送受信部２０８がＩＣカード３００から暗号鍵（ワーク鍵）の供給を受けた場合（Ｓ２１１）、再生部２０３はワーク鍵を用いてコンテンツ鍵を復号し、復号されたコンテンツ鍵を用いてコンテンツを復号し、さらに平文となったコンテンツを再生する（Ｓ２１２）。
一方、ＩＣカード３００において、第２の送受信部３０１を介して端末ＩＤ取得部３０３は端末ＩＤ８０１を受信する（Ｓ３１０）。ドメイン情報処理部３０４は、端末ＩＤ取得部３０３に取得された端末ＩＤ８０１がドメイン情報保持部３０２に保持された端末リスト９０３に含まれるか否かを判定することにより、ＩＣカード３００を装着された端末装置２００がドメイン内の端末装置２００であるのかドメイン外の端末装置２００であるかを判定する（Ｓ３１１）。ドメイン情報処理部３０４によってドメイン内の端末装置２００であると判定された場合、ドメイン外利用条件取得部３０６は保持しているワーク鍵を第２の送受信部３０１を介して端末装置２００に供給する（Ｓ３１２）。
ドメイン情報処理部３０４によってドメイン外の端末装置２００であると判定された場合、ドメイン外利用可否判定部３０９は、ドメイン外利用条件保持部３０５からドメイン外利用条件５０２を読み出し（Ｓ３１３）、ドメイン外利用記録蓄積部３０７からドメイン外利用履歴（利用記録１１００）を読み出し（Ｓ３１４）、当該端末装置２００でのＩＣカード３００の利用可否を判定する（Ｓ３１５）。利用不可と判定された場合、ＩＣカード３００はこの処理を終わる。利用可能と判定された場合、ドメイン外利用条件取得部３０６は保持しているワーク鍵を第２の送受信部３０１を介して端末装置２００に供給する（Ｓ３１６）。さらにドメイン外利用記録更新部３０８はドメイン外利用記録蓄積部３０７の利用記録を更新する（Ｓ３１７）。この更新のために、ドメイン外利用記録更新部３０８は、端末装置２００における再生動作の終了したコンテンツについて端末装置２００から再生時間、コンテンツＩＤ、ライセンスＩＤ等を取得して、利用記録１１００を生成する。さらに、ドメイン外利用記録更新部３０８は、更新後の利用記録およびドメイン外利用条件５０２を第２の送受信部３０１を介して端末装置２００に送信し、端末装置２００に利用記録をユーザに表示することを指示する（Ｓ３１８）。この指示に従って、端末装置２００では、送信されたコンテンツ外利用条件および利用記録に基づいてドメイン外の端末装置２００における利用状況に関するガイダンスを表示するようにしてもよい。
このような処理より、ユーザがＩＣカード３００をドメイン外の端末装置２００に挿入した場合でも、ドメイン外利用条件の範囲内で当該端末装置２００においてコンテンツを視聴することができる。
図１４は、端末装置２００及びＩＣカード３００における利用記録の消去処理を示すフローチャートである。端末装置２００において、第１の送受信部２０８はＩＣカードスロットにＩＣカード３００が新たに挿入されたかどうかを判定する（Ｓ２２０）。新たに挿入されたと判定された場合、第１の送受信部２０８は、端末ＩＤ読み出し部２０５によって端末ＩＤ保持部２０６から読み出された端末ＩＤ８０１を送信するとともに、ＩＣカード３００から送信されるＩＣカードＩＤを受信する（Ｓ２２１）。その後、第１の送受信部２０８がＩＣカード３００から利用記録１１００を受信した場合（Ｓ２２２）（端末装置２００とＩＣカード３００とが同じドメインに属する場合）、制御部２０９は、第１の送受信部２０８を介してＩＣカード３００に利用記録１１００の消去指示を送信する（Ｓ２２３）。さらに、制御部２０９は、利用記録１１００に基づいてドメイン外の端末装置２００における利用状況に関するガイダンスを表示する（Ｓ２２４）。
一方、ＩＣカード３００において、第２の送受信部３０１はＩＣカードスロットにＩＣカード３００が新たに挿入されたかどうかを判定する（Ｓ３２０）。新たに挿入されたと判定された場合、第２の送受信部３０１は、ＩＣカードＩＤを端末装置２００に送信するとともに、端末装置２００から送信される端末ＩＤ８０１を受信する（Ｓ３２１）。さらにドメイン情報処理部３０４は、第２の送受信部３０１および端末ＩＤ取得部３０３を介して受信された端末ＩＤ８０１と、ドメイン情報保持部３０２に保持された端末リスト９０３とを比較して、ＩＣカード３００を装着した端末装置２００がドメイン内の端末装置２００であるのかドメイン外の端末装置２００であるかを判定する（Ｓ３２２）。ドメイン外と判定された場合、ＩＣカード３００はこの消去処理を終わる。ドメイン内と判定された場合、ドメイン外利用記録更新部３０８は、ドメイン外利用記録蓄積部３０７から利用記録を読み出して（Ｓ３２３）、第２の送受信部３０１を介して端末装置２００に送信する（Ｓ３２４）。さらに、第２の送受信部３０１が端末装置２００から消去指示を受信した場合（Ｓ３２５）、ドメイン外利用記録更新部３０８はドメイン外利用記録蓄積部３０７内の利用記録１１００を消去する（Ｓ３２６）。
このような消去処理により、ドメイン外の端末装置２００でＩＣカード３００を使用しきった場合（ドメイン外利用条件が許す範囲を消耗した場合）に、二度と使用できなくなる事態を避けることができる。また、ドメイン外利用条件の許す範囲の全てを使いきっていない場合でも、ドメイン外利用条件の許す範囲を回復することができる。消去処理をドメイン内の端末装置２００にＩＣカード３００が挿入された場合に行っているのは、ユーザがドメイン外の端末装置２００で長期間にわたって（あるいは何度も繰り返し）ＩＣカード３００を使用することを防止している。これにより、ユーザはドメイン内の端末装置２００でのＩＣカード利用を原則としつつ、例外的にドメイン外の端末装置２００でＩＣカード３００を使用することを可能にしている。
以上説明してきたように、本発明の実施の形態１におけるコンテンツ利用システムによれば、ユーザはドメイン外利用条件の範囲内で、ＩＣカード３００をドメイン外の端末装置２００でも使用することができるので、ユーザの利便性を向上させることができる。しかも、ドメイン外でのＩＣカード３００の使用は無制限ではなくドメイン外利用条件５０２によって制限されるので、コンテンツを提供する事業者の権利保護を図ることができる。
また、ドメイン外利用履歴の消去処理を適宜行うことにより、ユーザがドメイン内の端末装置２００でＩＣカード３００を利用することを原則としつつ、例外的にドメイン外の端末装置２００でＩＣカード３００を使用することを可能にしている。
次に、本実施の形態におけるコンテンツ利用システムの変形例について説明する。
なお、上記実施の形態１では、ドメイン外利用記録更新部３０８とドメイン外利用可否判定部３０９はＩＣカード３００内に備えられているが、これらのいずれかを端末装置２００内に備える構成としてもよい。前者の場合は、既存の端末装置２００に対して少ない変更量で本発明を適用することでき、後者の場合は、既存のＩＣカード３００に対して少ない変更量で本発明を適用することができる。また、端末装置２００およびＩＣカード３００の両方に備える構成としても良い。
なお、上記実施の形態では、デジタル放送のＥＭＭを用いてドメイン外利用条件をＩＣカード３００に設定する場合の例を示したが、これに限られるものではなく、デジタル放送のＥＣＭ（Ｋｃ伝送用ＥＣＭ、ＥＣＭ−Ｋｗ、ＥＣＭ−Ｋｃ）やＡＣＩ（Ａｃｃｏｕｎｔ Ｃｏｎｔｒｏｌ Ｉｎｆｏｒｍａｔｉｏｎ）、Ｋｃ伝送用ＥＭＭ、グループ宛てＥＭＭなどを用いてドメイン外利用条件をＩＣカード３００に設定してもよいし、インターネットなどの通信経由で設定しても良い。またＩＣカード３００に限らず、端末装置２００に設定するようにしても良い。
また、上記実施の形態では、ＩＣカード３００が同じドメイン内のどの端末装置２００のＩＣカードスロットに挿入されたときでも、前記利用記録を消去するが、同じドメイン内の特定の端末装置２００のＩＣカードスロットに挿入されたときのみ消去するように構成してもよい。その場合、図１４のステップＳ２２３における消去指示の送信は、端末ＩＤ８０１とＩＣカードＩＤなどを用いて、特定の端末装置２００のみが行い、他の端末装置２００は行わないように構成すればよい。
さらに、特定ドメインの特定端末装置２００が、ドメイン内かドメイン外かに関わらずＩＣカードに消去指示を送信するようにしてもよい。
また、上記実施の形態では、ＩＣカード３００を端末装置２００のＩＣカードスロットに挿入したときにドメイン外利用履歴を消去するようにしたが、これに限らず、端末装置２００あるいはＩＣカード３００において、コンテンツやライセンスを利用した時点でドメイン外利用履歴を消去するようにしても良い。このときのコンテンツやライセンスは、特定コンテンツや特定ライセンスに限定してもよい。
また、ドメイン外利用記録更新部３０８は、端末装置２００からの消去指示がなくても、利用記録１１００を消去するようにしてもよい。例えば、１ヶ月に１回など、定期的に消去したり、ドメイン内の端末装置２００でのコンテンツ利用がＮ回（例えば１０回）なされる毎に消去するようにしてもよい。この場合、消去の頻度をドメイン外利用条件５０２の程度に応じて定めればよい。なお、この場合の消去の頻度を、ドメイン外利用条件５０２で指定するようにしてもよい。
また、ドメイン外利用履歴の消去にあたっては、通信や放送を介して、配信装置１００が消去指示をおこなうようにしても良い。この場合、ＩＣカード３００がドメイン内の端末装置２００に挿入されている場合のみに、ドメイン外利用履歴を消去するようにしても良い。
なお、上記実施の形態では、ドメイン外利用条件５０２は配信装置１００から端末装置２００を介してＩＣカード３００に設定されているが、ドメイン外利用条件保持部３０５はデフォルト（あらかじめ出荷時などに設定されていてもよいし、または、特定の方法により内部で生成してもよい）のドメイン外利用条件を保持するようにしてもよいし、端末装置２００がデフォルトで保持するドメイン外利用条件の設定を受けるようにしてもよい。
また、図１３のステップＳ３１８における利用記録１１００の表示指示を受けて、端末装置２００は、次のようなガイダンス表示をしてもよい。
（ａ）ドメイン外利用条件およびドメイン外利用履歴（利用記録）に基づいてドメイン外の端末装置２００における利用状況に関するガイダンス、
（ｂ）利用記録がドメイン外利用条件に示される利用可能範囲に達しているとき、利用記録の消去を促すガイダンス、
（ｃ）利用記録の消去方法を示すヘルプメッセージ記したガイダンス（例えば、「端末装置ＡＡＡにＩＣカードを挿入して消去してください」）、
（ｄ）利用記録とドメイン外利用条件に示される利用可能範囲との差分が一定以下のとき、その旨示すガイダンス（例えば、「ドメイン外ではあと１回だけ利用可能」「ドメイン外ではコンテンツＡのみ利用可能」「ドメイン外ではドメインＢでのみ利用可能」など）
（ｅ）利用記録とドメイン外利用条件に示される利用可能範囲との差分を示すガイダンス、
（ｆ）利用記録がドメイン外利用条件に示される利用可能範囲に達したとき、その旨をガイダンス（例えば「これ以上ドメイン外では利用できません」）、
（ｇ）利用記録とドメイン外利用条件に示される利用可能範囲との差分が小さくなるに連れて、ガイダンス表示の大きさおよび色の少なくとも一方を変化させる、
（ｈ）利用状況に応じて端末装置２００に備えられた発光部および音声出力部の少なくとも一方の出力態様をガイダンスとして変化させる、
（ｉ）外部から更新可能なスケジュールに従ってガイダンスを表示すること（例えば１ヶ月ごと、起動時、ＩＣカードＩＤの登録時／削除時、ＩＣカードの挿入時など）、
（ｊ）ＩＣカードの状態を示すガイダンス（例えば、ＩＣカード内の記憶容量、そのうちの空き容量、設定されているプロファイル（ユーザＩＤ、ドメインＩＤ、ＩＣカードＩＤなど）、保持されているライセンス数（コンテンツ鍵あるいはワーク鍵数）、コンテンツを保持するための空き容量など）
（ｋ）ＩＣカード３００と端末装置２００とが異なるドメインに属する旨のガイダンス。
なお、上記（ａ）〜（ｋ）のメッセージ表示は、ユーザ操作に基づいて行うようにしても良い。さらに、端末装置２００またはＩＣカード３００が属するドメインＩＤまたはドメイン名称を表示するようにしても良い。また、あるドメインに属する端末装置２００またはＩＣカード３００の一覧を表示するようにしても良い。これらの表示タイミングは、端末装置２００の起動時、ＩＣカード３００の挿抜時、端末装置２００またはＩＣカード３００のドメインへの登録／ドメインからの削除時、端末装置２００とＩＣカード３００の属するドメインが異なる場合、などが考えられる。
また、ドメインへの端末装置２００またはＩＣカード３００の登録／削除を促すメッセージを表示するようにしても良い。
また、図１４のステップＳ２２２において消去指示を送信しない場合に、ステップＳ２２４において上記（ａ）〜（ｋ）のガイダンス表示を行ってもよい。
また、端末装置２００またはＩＣカード３００は、上記各ガイダンス用の複数メッセージを予め記憶する記憶部を有していてもよいし、デジタル放送や通信経由で、放送局１０１から動的に更新できるようにしても良い。あるいは、ユーザ設定によって更新できるようにしても良い
なお、図１３のステップＳ３１６において、ＩＣカード３００は、コンテンツ鍵を供給するようにしてもよい。また、ワーク鍵を供給しないで利用可能というメッセージだけを応答することにより、端末装置２００とＩＣカード３００の組で利用可能かどうかを確認する手段として用いてもよい。
また、ドメインを構成する端末装置２００またはＩＣカード３００において、ドメインへの所属を有効期限で管理するようにしてもよい。
また、上記発明の実施形態では、全ての端末装置１０２およびＩＣカード３００において、ドメイン外利用条件５０２による制御を適用する場合の例を示したが、このような制御の対象外である端末装置２００、ＩＣカード３００、もしくは、複数の端末装置２００あるいはＩＣカード３００で構成するグループを設けるようにしても良い。
なお、端末装置２００またはＩＣカード３００でライセンス管理する場合に、ドメイン内で取得したライセンスとドメイン外で取得したライセンスとを区別するようにしてもよい。また、端末装置２００またはＩＣカード３００は、ドメイン外でのライセンスの取得を抑制するようにしても良い。但し、ここでのライセンスとは、少なくとも、コンテンツの利用条件とコンテンツ鍵とを含むデータ構造のことを指す。
また、ドメイン外利用条件保持部３０５は、複数のドメイン外利用条件５０２を保持してもよいし、この場合に、ドメイン外利用可否判定部３０９が状況に応じて選択するようにしてもよい。例えば、ドメイン毎やコンテンツ毎にドメイン外利用条件５０２を選択すればよい。また、ドメイン外利用可否判定部３０９が複数のドメイン外利用条件５０２を選択し、アンド条件またはオア条件として判定してもよい。
さらに、ドメイン外利用可否判定部３０９は、状況に応じて、ドメイン外利用条件を厳しくまたは緩く解釈して、利用可否を判定するようにしてもよい。このときのドメイン外利用条件５０２の解釈は、例えば、ドメイン外利用条件を示す数値を５割増しや５割引きした数値に換算すればよい。また、上記状況とは、端末装置２００またはＩＣカード３００が保持するライセンス、コンテンツ、プログラムや、加入しているサービス、端末装置２００やＩＣカード３００の種類／機能（グレード）、または、ユーザ操作などを含むものとする。
また、同一ドメインに属する端末装置２００あるいはＩＣカード３００の間で、連携することにより、ドメイン外利用条件やドメイン外利用履歴を共有、交換するようにしても良い。
また、上記実施の形態では、端末装置２００とＩＣカード３００とをバインドする場合の例を示したが、本発明は、端末装置２００上で動作する特定プログラムをＩＣカード３００とをバインドする場合や、端末装置２００とＩＣカード３００上の特定プログラムとをバインドする場合や、端末装置２００上の特定プログラムとＩＣカード上の特定プログラムとをバインドする場合にも適用することができるのは言うまでもない。
なお、上記実施の形態では、放送局１００で端末装置２００とＩＣカード３００のドメイン制御（ドメイン登録／削除）をおこなう場合の例を示したが、放送局１００でドメイン制御をおこなわず、全てローカルでおこなう方法も可能であるし、端末装置２００同士またはＩＣカード３００同士のドメイン制御は放送局１００で行うものの、端末装置２００とＩＣカード３００のドメイン制御、端末装置２００とＩＣカード３００の組の利用可否制御については、ローカルでおこなう方法も可能である。具体的には、
（Ａ）共通情報（暗号鍵やＩＤなど）を保持する端末装置２００とＩＣカード３００を同一ドメインとする。共通情報の設定／削除は、デジタル放送や通信でおこなってもよいし、ローカルで行ってもよい。
（Ｂ）ＩＣカード３００を端末装置２００に最初に挿入したときに自動的にドメイン登録をおこなう。ドメイン登録の方法は、共通情報を共有する方法でも良いし、端末ＩＤリストまたはＩＣカードリストに、端末ＩＤまたはＩＣカードＩＤを追加する方法でも良い。
（Ｃ）最初にコンテンツまたはライセンスを、利用または取得した端末装置２００とＩＣカード３００を同一ドメインとする（ドメイン登録する）。
（Ｄ）端末装置２００へのＩＣカード３００の挿抜回数、挿入期間で制御する。なお、この場合、端末装置２００へのＩＣカード３００の挿入時や端末装置２００の電源投入時などの、コンテンツを利用するタイミング以外に、ドメイン外利用条件判定を行うようにしてもよい。
などがあげられる。
また、ドメイン制御について、ＩＣカード３００で保持するライセンスあるいはコンテンツに応じて、端末装置２００とＩＣカード３００とのバインドを変更するようにしても良いし、利用するライセンスあるいはコンテンツによっても、端末装置２００とＩＣカード３００とのバインドを変更するようにしても良い。
また、端末装置２００同士またはＩＣカード３００同士が構築するドメインに連動して、端末装置２００とＩＣカード３００との間のドメイン制御（利用可能な組の制御）をおこなうようにしても良い。
また、ドメイン制御に必要な情報（共通情報や端末ＩＤリスト、ＩＣカードリスト）は、ホームネットワークに属する他の端末装置２００あるいはＩＣカード３００から取得／同期するようにしてもよい。
また、ドメイン制御に必要な情報は、デジタル放送や通信経由で、放送局１０１から動的に指示できるようにしてもよく、特に、放送局１０１からのドメインへの登録／削除指示を受信した時点で、端末装置２００に挿入されているＩＣカード３００と関連付けをおこなうようにしてもよい。通信の場合は、ＳＡＣ（Ｓｅｃｕｒｅ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｃｈａｎｎｅｌ）により、セキュアに登録／削除をおこなえばよい。
（実施の形態２）
本実施の形態におけるセキュアシステムは、企業内あるいは家庭内のシステムなどに本発明を適用する場合について説明する。また、ドメインは、端末装置の存在する位置などによって定義された物理的なドメインを用いる例を説明する。
図１５は、本発明の実施の形態２におけるセキュアシステムの概要を示す図である。同図のように、本セキュアシステムは、端末装置Ｔａ〜Ｔｃ、端末装置Ｔｐ、Ｔｑ、セキュアデバイスとしてメモリカードＣａ〜Ｃｃを含み、ユーザがドメイン内の端末装置だけでなく、条件付でドメイン外の端末装置でメモリカードを使用できるように構成されている。
同図のドメインＣ、Ｄは、物理的に定義されたドメインであり、例えば、企業内の事業所と事業所Ｂ、Ａ棟とＢ棟、部署Ａと部署Ｂ、学校内の校舎Ａと校舎Ｂ、１学年の教室と２学年の教室、ネットワークＡに接続された端末群とネットワークＢに接続された端末群、などである。
端末Ｔａは、パーソナルコンピュータＰＣ、モバイル機器（携帯電話機、ＰＤＡなど）などであり、メモリカードにセキュアに秘匿データを読み書きする。また、実施の形態１に示したコンテンツ利用端末や、セキュリティモジュール（ＩＣカード）を利用してデジタル放送を受信するためのセットトップボックス、デジタルＴＶ、ＤＶＤレコーダ、ハードディスクレコーダ、パーソナルコンピュータなどのコンテンツ再生装置、記録装置）であってもよい。他の端末Ｔｂ等についても同様である。
メモリカードＣａは、秘匿データをセキュアに保持するセキュアデバイスの一種である。例えば、ＳＤカード、メモリスティックといったセキュリティ保護機能付きメモリカードや、ｓｍａｒｔＳＤカード、ＭＯＰＡＳＳ（ＭＯｂｉｌｅ ＰＡＳＳ ｐｏｒｔ）カードといったＩＣカード機能付きメモリカードなどがある。秘匿データは、コンテンツの暗号鍵に限らず、機密文書や、暗号化されたコンテンツ（動画、音声、静止画など）などである。
図１６は、端末装置Ｔａとメモリカードの構成を示すブロック図である。同図の端末装置Ｔａは、図２の端末装置２００と比較して、放送信号受信分離部２０１、コンテンツ記憶部２０２、再生部２０３、ＥＭＭ取得部２０４が削除されている点と、ＧＰＳ部２１０が追加されている点と、端末ＩＤ読み出し部２０５の代わりに読み出し部２０５ａを備える点と、ドメイン外利用条件取り出し部２０７の代わりにドメイン外利用条件記憶部部２０７ａを備える点とが異なる。また、同図のメモリカードＣａは、図２のＩＣカード３００と比較して、ほぼ同様に構成されているが、ドメイン情報保持部３０２に保持されるドメイン定義情報が異なっている。以下、同じ点は説明を省略して異なる点を中心に説明する。
ＧＰＳ部２１０は、ＧＰＳ（Ｇｌｏｂａｌ Ｐｏｓｉｔｉｏｎｉｎｇ Ｓｙｓｔｅｍ）システムから端末装置の位置を検出する。検出される位置は、緯度、経度、高度などで表される。
読み出し部２０５ａは、端末ＩＤ読み出し部２０５の機能に加えて、ＧＰＳ部２１０によって検出された位置を示す情報を、端末ＩＤと共に第１の送受信部２０８を介してメモリカードＣａに出力する。
ドメイン外利用条件記憶部２０７ａは、ドメイン外利用条件を保持する。ドメイン外利用条件は実施の形態１と同様である。
ドメイン情報保持部３０２は、物理的に定義されたドメインを示すドメイン情報を保持する。
図１７は、ドメイン情報保持部３０２に保持されるドメイン情報の例を示す図である。同図のドメイン情報は、図９のドメイン情報と比較して、端末リストの代わりにドメイン定義データとして位置情報の組みが設定されている。例えば、位置情報の組みによって囲まれる範囲に存在する端末装置はドメイン内と判定される。位置情報に高さが含まれる場合は３次元の範囲としてドメインが定義される。なお、位置情報と半径の組みによってドメインが定義されてもよい。
図１８は、ドメイン情報保持部３０２に保持されるドメイン情報の他の例を示す図である。同図のドメイン定義データは、ネットワークＩＤを含む。この場合、ネットワークＩＤで特定されるネットワークに接続されていること端末装置は、ドメイン内と判定される。
本実施の形態におけるセキュアシステムが、会社の構内をドメインとする端末装置と、機密文書を保持するメモリカードとに適用される場合について説明する。
ユーザは原則として、会社の構内（ドメイン）において、会社の機密文書（秘匿データ）をメモリカード（セキュアデバイス）に記録し、会社が認定したセキュリティ対策済ＰＣ（端末装置Ｔａ）で機密文書を利用する。会社の構内であることは、ＧＰＳ部２１０により検出される位置に基づいて、ドメイン内であるかドメイン外であるかが判定される。ドメイン内かドメイン外かの判定の結果、会社の構内であれば、機密文書を自由に利用可能だが、会社の構内でない場合は、メモリカードＣａに記録しておいた時間制限／回数制限（ドメイン外利用条件）により、機密文書へのアクセスが限定されるが、例外的に利用可能となる。
ドメイン外利用条件を使い切ってしまった場合、会社の構内でメモリカードを端末装置Ｔａに挿入し、ドメイン内であることを確認できた時点で、ドメイン外利用条件がリセットされ、再度ドメイン外で利用可能な状態となる。
なお、物理的なドメイン定義は、例えば、ＧＰＳの利用により事前に登録された範囲、無線ＬＡＮ、ＲＦＩＤ（無線タグ）等の電波を受信できる範囲、特定ネットワークに接続されていることが確認できる端末装置、特定端末などから音や光が届く範囲、などとしてもよい。また、論理的なドメイン定義は、端末装置ＩＤ／セキュアデバイスＩＤのリスト以外でもよく、例えば、ドメイン鍵、ドメインＩＤ、リージョンコード、セキュアデバイスの挿抜回数／時間等で定義してもよい。また、これらは秘密にしていてもよい。
また、端末装置とセキュアデバイスとが同じドメインに属するかを判定する代わりに、端末装置とセキュアデバイスのそれぞれについて自身のドメインに属しているかを判定するようにしてもよい。この判定の結果、一方のみがドメインに属している場合には、セキュアデバイスの利用可否判定をセキュアに行うため、端末装置とセキュアデバイスとの間で相互認証を行ってもよい。
なお、ドメイン情報保持部３０２は、ＩＣカードＣａだけでなく端末装置Ｔａに備えられてもよいし、端末装置Ｔａのみに備えられてもよい。
また、端末装置Ｔａ等は、図２の端末装置２００に示した放送信号？受信分離部２０１やコンテンツ記憶部２０２を備え、外部からコンテンツ等を受信および記憶する構成であってもよい。
なお、端末装置Ｔａ等は、必ずしも端末ＩＤを保持しなくてよく、端末ＩＤ読み出し部２０５を備えていなくてもよく、また、端末ＩＤをメモリカードＣａ等に送信しなくてもよい。
また、実施の形態１のコンテンツ利用システムの各種変形例は、本実施の形態のセキュアシステムにも同様に適用できることはいうまでもない。
本発明は、端末装置とセキュアデバイスとを含むセキュアシステムに適している。特に、セキュアデバイスを共用するコンテンツ利用装置からなるドメインに属するコンテンツ利用装置にコンテンツ利用を可能にする暗号鍵を供給するセキュアデバイスを利用するコンテンツ利用システム、セキュアデバイス、コンテンツ利用装置、方法およびプログラムに適していて、例えば、セキュリティモジュール（ＩＣカード）を利用してデジタル放送を受信するためのセットトップボックス、デジタルＴＶ、ＤＶＤレコーダ、ハードディスクレコーダ、パーソナルコンピュータなどのコンテンツ再生装置、記録装置あるいはこれらの複合機器等に適している。
本発明は、端末装置とセキュアデバイスとを含むセキュアシステムであって、例えば、複数のコンテンツ利用装置およびＩＣカードからなるコンテンツまたはライセンスを共有可能な範囲であるドメイン内外でのコンテンツの利用制御をおこなうコンテンツ利用システム、ＩＣカード、コンテンツ利用装置、方法およびプログラムに関する。
現行のデジタル放送において、有料放送を契約した会員だけにコンテンツを提供するため、ハードウェア的に耐タンパ化されたセキュリティ・モジュール（例えばＩＣカード）を用いて、コンテンツの利用を制御するコンテンツ利用システムがある。このようなシステムでは、ＩＣカードは、暗号化コンテンツを復号するために必要な暗号鍵をセキュアに格納し、限定された１台のコンテンツ利用装置においてコンテンツの復号を可能にする「ペアリング」とよばれる技術がしばしば用いられる。しかし、このようなコンテンツ利用システムにおいては、会員が複数台のコンテンツ利用装置を所有している場合に、特定の１台でしかＩＣカードが使用できないので、不便である。これは、例えば、コンテンツをいったんハードディスク等に蓄積して、会員が所望する時間に視聴する放送形態（サーバ型放送と呼ぶ。）においても、特定の１台のコンテンツ利用装置でしかＩＣカードが使用できないと不便である。なお、サーバ型放送規格については、ＡＲＩＢ（Ａｓｓｏｃｉａｔｉｏｎ ｏｆ Ｒａｄｉｏ Ｉｎｄｕｓｔｒｉｅｓ ａｎｄ Ｂｕｓｉｎｅｓｓｅｓ）により発行されているＳＴＤ−Ｂ２５などが詳しい。
また、日本における現行ＢＳ／ＣＳ／地上デジタル放送では、ＩＣカードとコンテンツ利用装置はペアリングされておらず、ＩＣカードはどのコンテンツ利用装置であっても利用可能である。しかし、多様なサービスを提供可能なサーバ型放送などにおいては、ＩＣカードが利用可能なコンテンツ利用装置を限定したい、というニーズは大きいと考えられる。
このような背景から、複数台のコンテンツ利用装置でＩＣカードを共用するコンテンツ利用システムが提案されている。例えば、特許文献１に開示されたコンテンツ利用システムでは、ＩＣカードを共用する複数のコンテンツ利用装置と複数のＩＣカードとからなるグループ（以降、ドメインと呼ぶ。）には共通の識別子が割り当てられ、コンテンツ利用装置は同じ識別子が割り当てられたＩＣカードを利用することができる。
特表２００１−５１８２５５号公報
しかしながら、上記従来技術によれば、ＩＣカードをドメイン外のコンテンツ利用装置で使用することができないので、ユーザの利便性が悪い場合が発生しうる。例えば、ユーザが友人宅にＩＣカードを持って行った場合に、友人宅のコンテンツ利用装置では、そのＩＣカードを一時的にでも一切使用するということができないので、極めて利便性が悪くなってしまう。
つまり、ＩＣカードは、そのＩＣカードと同じドメイン以外に属するコンテンツ利用装置に挿入しても、そのコンテンツ利用装置でコンテンツを再生することができない。
上記課題に鑑み、本発明は、コンテンツなどの秘匿データの保護を考慮しつつ、ドメイン外のコンテンツ利用装置においてもセキュアデバイスを利用可能にすることで、秘匿データの保護とユーザ利便性の両者のバランスをとるセキュアシステム、セキュアデバイス、コンテンツ利用装置、方法およびプログラムを提供することを目的とする。
上記目的を達成するため、本発明のセキュアシステムは、秘匿データを保持するセキュアデバイスと、セキュアデバイスを接続する端末装置とを含むセキュアシステムであって、セキュアデバイスおよび端末装置の何れかに備えられ、セキュアデバイスおよび端末装置のドメインを定義するドメイン情報とを記憶する第１記憶手段と、セキュアデバイスおよび端末装置の何れかに備えられ、ドメイン外におけるセキュアデバイスの利用条件であるドメイン外利用条件を記憶する第２記憶手段と、セキュアデバイスおよび端末装置の何れかに備えられ、前記ドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン内であるかドメイン外であるかを判定する第１判定手段と、セキュアデバイスおよび端末装置の何れかに備えられ、第１判定手段によってドメイン外であると判定されたとき、前記ドメイン外利用条件に従ってセキュアカードの利用可否を判定する第２判定手段と、セキュアデバイスおよび端末装置の何れかに備えられ、第１判定手段によってドメイン内と判定された場合、および、第２判定手段によって利用可能と判定された場合に、端末装置によるセキュアデバイスの利用を可能にする制御手段とを備える。
この構成によれば、ドメイン外でのセキュアデバイスの利用条件を示すドメイン外利用条件の範囲内でセキュアデバイスをドメイン外のコンテンツ利用装置でも使用することができるので、ユーザの利便性を向上させることができる。しかも、ドメイン外でのセキュアデバイスの使用は無制限ではなく、ドメイン外利用条件によって限定されるので、コンテンツなどの秘匿データの保護を図ることができる。
ここで、前記第１記憶手段はセキュアデバイスに備えられ、前記第１判定手段は、端末装置に備えられ、当該端末装置が現在ドメイン内であるかドメイン外であるかを判定し、前記制御手段はセキュアデバイスに備えられるようにしてもよい。
ここで、前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、前記秘匿データは前記コンテンツを復号するための暗号鍵であり、前記制御手段は、セキュアデバイスに備えられ、第１判定手段によってドメイン内と判定された場合、および、第２判定手段によって利用可能と判定された場合に、セキュアデバイスから端末装置に前記秘匿データを供給するようにしてもよい。
ここで、前記ドメイン外利用条件は、ドメイン外での（ａ）コンテンツ再生の回数、（ｂ）コンテンツ利用装置の台数、（ｃ）ドメイン数、（ｄ）有効期限、（ｅ）利用時間、（ｆ）端末ＩＤ数、（ｇ）ドメインＩＤ数、（ｈ）コンテンツの数および（ｉ）ライセンスの数、の少なくとも１つに関するようにしてもよい。
この構成によれば、ドメイン外利用条件として、例えば、ドメイン外では３回までコンテンツを利用可能であるとか、ドメイン外のコンテンツ利用装置は２台（２つの端末ＩＤ）まで利用可能であるとか、ドメイン外でのコンテンツ利用は１つまでであるとか、ドメイン外では４月１日まで使用可能であるとか、ドメイン外では２週間使用可能であるとか、ドメイン外では４月６日から使用可能であるとか、ドメイン外では１つのドメインＩＤに限定するとか、コンテンツ２種類まで、ライセンス（暗号鍵）２つまで等のドメイン外利用条件を設定することができるので、事業者の意向やコンテンツの特性に応じた利用条件を設定することによって、事業者の権利保護とユーザの利便性を十分に調整することができる。
ここで前記セキュアデバイスは、ドメイン外のコンテンツ利用装置における前記ドメイン外利用条件に基づくコンテンツの利用履歴を示すドメイン外利用履歴を記録する履歴記録手段を備え、前記第２判定手段は、前記ドメイン外利用履歴が前記利用条件に示される利用可能な範囲を超えないか否かを判定するようにしてもよい。
この構成によれば、第２判定手段はドメイン外での利用履歴（以下、ドメイン外利用履歴）とドメイン外利用条件に示される利用可能な範囲とを比較することにより容易に判定することができる。
ここで、第２記憶手段および第２判定手段は、前記セキュアデバイスに備えられる構成としてもよい。
この構成によれば、セキュアデバイス自身が利用可否を判定し、セキュアデバイス内にドメイン外利用履歴を記録するので、コンテンツ利用装置はほぼ従来の構成であっても利用することができる。また、ＩＣカードなどのセキュアデバイスはハードウェアレベルで耐タンパ化されているので、セキュリティレベルをより向上させることができる。さらに、ＩＣカードを新しいＩＣカードに交換することにより、ドメイン外利用条件などを含めたセキュリティの更新が可能となる。
ここで、第２記憶手段および第２判定手段は、前記コンテンツ利用装置に備えられる構成としてもよい。
この構成によれば、コンテンツ利用装置自身が利用可否を判定し、ドメイン外利用履歴を記録するので、セキュアデバイスはほぼ従来の構成であっても利用することができる。
ここで、前記セキュアデバイスは、さらに、所定の時期に前記ドメイン外利用履歴を消去する消去手段を備えてもよい。
ここで、前記消去手段は、セキュアデバイスが特定のドメイン内の何れかの前記コンテンツ利用装置のセキュアデバイススロットに挿入されたとき、前記ドメイン外利用履歴を消去するようにしてもよい。
ここで、前記消去手段は、前記セキュアデバイスが特定のドメイン内の特定のコンテンツ利用装置のセキュアデバイススロットに挿入されたとき、前記ドメイン外利用履歴を消去するようにしてもよい。
この構成によれば、利用条件に示される利用可能な範囲を全て使用した場合などに、ユーザは再度ドメイン外利用履歴を初期化（リセット）することができる。
ここで、前記消去手段は、コンテンツ利用装置から消去指示を受信したとき、前記ドメイン外利用履歴を消去するようにしてもよい。
この構成によれば、コンテンツ利用装置においてドメイン外利用履歴を初期化することを制御することができる。
ここで、前記コンテンツ利用装置は、外部から前記ドメイン外利用履歴の消去指示を受信し、セキュアデバイススロットに挿入されている同一ドメイン内のセキュアデバイスに当該消去指示を送信するようにしてもよい。
この構成によれば、例えば、事業者つまりコンテンツ配信装置がドメイン外利用履歴の初期化を制御することにより、ドメイン外でのセキュアデバイスの利用をきめ細かく制御することができる。
ここで、前記コンテンツ利用端末は、外部から新たなドメイン外利用条件を受信する受信手段を備え、前記第２記憶手段は、前記ドメイン外利用条件を新たなドメイン外利用条件に更新するようにしてもよい。
この構成によれば、例えば、事業者つまりコンテンツ配信装置が、利用条件の内容を自由に制御することにより、ドメイン外でのセキュアデバイスの利用を動的に、きめ細かく制御することができる。
ここで、前記受信手段は、コンテンツ配信サーバから送信されるライセンスに付加されたドメイン外利用条件を受信するようにしてもよい。
この構成によれば、ライセンス毎にコンテンツやライセンスの特性に適したドメイン外利用条件を設定することができる。
ここで、第２記憶手段は、デフォルトのドメイン外利用条件を記憶するようにしてもよい。
この構成によれば、ドメイン外利用条件を事後的に設定する処理を行うことなく、工場出荷時に予め利用条件をセキュアデバイスに記憶させることができる。
ここで、前記コンテンツ利用装置は、さらに、セキュアデバイススロットに挿入されたセキュアデバイスからドメイン外利用条件およびドメイン外利用履歴を取得する取得手段と、取得したドメイン外利用条件およびドメイン外利用履歴に基づいてドメイン外のコンテンツ利用装置における利用状況に関するガイダンスを表示する表示手段とを備えるようにしてもよい。
この構成によれば、ユーザはガイダンス表示によって利用状況を把握することができる。
ここで、前記表示手段は、前記ドメイン外利用履歴が前記ドメイン外利用条件に示される利用可能範囲に達しているとき、前記ドメイン外利用履歴の消去を促すガイダンスを表示するようにしてもよい。
この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった場合に、使い慣れないユーザでも対処することができる。
ここで、前記表示手段は、前記ドメイン外利用履歴の消去方法を示すヘルプメッセージを前記ガイダンスとして表示するようにしてもよい。
この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった場合に、使い慣れないユーザでも消去のための具体的な行動をすることができる。
ここで、前記表示手段は、前記ドメイン外利用履歴と前記ドメイン外利用条件に示される利用可能範囲との差分が一定以下のとき、その旨を前記ガイダンスとして表示するようにしてもよい。
この構成によれば、ドメイン外のコンテンツ利用装置では使用できなる前に、ユーザに対して警告することができる。
ここで、前記コンテンツ利用装置は、さらに、セキュアデバイススロットに挿入されたセキュアデバイスから前記ドメイン外利用条件および前記ドメイン外利用履歴を取得する取得手段と、取得した前記ドメイン外利用条件および前記ドメイン外利用履歴に基づいてドメイン外のコンテンツ利用装置における利用状況に関するガイダンスを表示する表示手段とを備えるようにしてもよい。
この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった場合に、その旨を警告するので、ユーザがセキュアデバイスの故障などと勘違いすることを防止することができる。
また、本発明のセキュアデバイス、コンテンツ利用装置、コンテンツ利用方法、プログラムについても上記と同様の作用・効果を奏する。
本発明のセキュアシステム、セキュアデバイス、コンテンツ利用装置、コンテンツ利用方法、プログラムによれば、利用条件の範囲内でドメイン外のコンテンツ利用装置においてもセキュアデバイスを利用可能にする。よって、コンテンツなどの秘匿データの保護を考慮しつつ、秘匿データの保護とユーザ利便性の両者のバランスをとることができる。
本発明のセキュアシステムは、秘匿データを保持するセキュアデバイスと、セキュアデバイスを利用する複数の端末装置とを含む。ユーザがドメイン内の端末装置だけでなく、条件付きではあるけれどもドメイン外の端末装置でもセキュアデバイスを利用できるように構成されている。ここで、ドメインとは、ライセンスおよびコンテンツを共用する端末装置およびセキュアデバイスの集合をいう。ユーザがドメインＡに属するセキュアデバイスをドメインＡに属する端末装置に接続した場合は、当該端末装置は無条件でセキュアデバイスを利用できるだけでなく、ドメインＢに属する端末装置に接続した場合でも、当該端末装置がドメイン外利用条件の範囲内でセキュアデバイスを利用できるように構成されている。実施の形態１では、セキュアシステムとしてコンテンツ利用システムを、セキュアデバイスとしてＩＣカードを例にとって説明する。
（実施の形態１）
図１は、本発明の実施の形態１におけるコンテンツ利用システムの概要を示す図である。同図のように、本コンテンツ利用システムは、放送局１００、端末装置２００ａ〜２００ｃ、端末装置２００ｐ、２００ｑ、セキュアデバイスとしてＩＣカード３００ａ〜３００ｃを含み、ユーザがドメイン内の端末装置だけでなく、条件付でドメイン外の端末装置でＩＣカードを使用してコンテンツを視聴できるように構成されている。例えば、ユーザがドメインＡに属するＩＣカード３００ａを、ドメインＢに属する端末装置２００ｐに挿入した場合に、ドメイン外利用条件の範囲内で端末装置２００ｐがコンテンツを再生できる。
図２は、コンテンツ利用システムの全体構成を示すブロック図である。同図のように、本コンテンツ利用システムは、配信装置１００、端末装置２００、ＩＣカード３００を含む。
配信装置１００は、図１における放送局１００に相当し、コンテンツプロバイダやサービスプロバイダと呼ばれる事業者であり、限定受信方式および限定再生方式によるサーバ型放送によりセキュアにコンテンツを放送する。この配信装置１００は、コンテンツ蓄積部１０１、ライセンス情報蓄積部１０２、ドメイン外利用条件蓄積部１０３、ドメイン外利用条件付加部１０４、ドメイン情報蓄積部１０５、端末リスト付加部１０６、ＥＭＭ生成部１０７、放送信号多重送信部１０８を備える。
コンテンツ蓄積部１０１は、図３に示すようなコンテンツデータ３０００を蓄積する。図３に示すように、コンテンツデータ３０００は、コンテンツＩＤ３００１と、メタデータ３００２と、暗号化コンテンツ３００３とから成る。コンテンツＩＤ３００１は、デジタルコンテンツ配信システム内において、コンテンツを一意に特定するためのＩＤである。メタデータ３００２は、コンテンツの内容を説明するデータであり、コンテンツのタイトルやコンテンツの長さ等が記述されている。暗号化コンテンツ３００３は、音楽データや映像データ等のコンテンツを暗号化したものである。なお、コンテンツは、音楽データや映像データに限られたものではなく、電子新聞、電子ブック、電子マップ、電子辞書、静止画、ゲーム、コンピュータ用ソフトウェア等のデジタルコンテンツであってもよい。
ライセンス情報蓄積部１０２は、図４に示すようなコンテンツの再生に必要なライセンス４００と、暗号化されたライセンス４００の復号に必要なワーク鍵と呼ばれる暗号鍵とを蓄積する。図４に示すように、ライセンス４００は、ドメイン内の端末装置２００に対するコンテンツの利用条件を示す利用条件４０１と、ライセンス４００に対応する暗号化コンテンツの復号を行うためのコンテンツ鍵４０２と、ライセンス４００を共用してよいドメインを特定するドメインＩＤ４０３と、からなる。ここで、利用条件４０１の一例としては、ライセンス４００に対応するコンテンツを利用可能な回数（例えば「１０回」）や、利用可能な期間（例えば「２００４年４月１日〜２００４年５月３０日」）などである。なお、同図において、ライセンス４００は、ドメインＩＤ４０３を含む代わりに、あるいはドメインＩＤ４０３と併せて、それぞれユーザ、端末装置、ＩＣカードを一意に識別可能な、ユーザＩＤ、端末装置ＩＤ、ＩＣカードＩＤを含むようにしてもよい。なお、ライセンス４００は、コンテンツＩＤ３００１と関連付けるため、ライセンス４００にコンテンツＩＤ３００１を含めてもよい。ライセンス４００にコンテンツＩＤ３００１を含める代わりに、ライセンス４００を一意に特定するためのライセンスＩＤなどの識別子をライセンス４００に含めるようにしてもよい。また、ワーク鍵は、事業者と関連付けて蓄積され、定期的にＥＭＭなどにより更新される。
ドメイン外利用条件蓄積部１０３は、図５に示すような、ドメイン外の端末装置に対する複数のドメイン外利用条件をドメイン外利用条件テーブル５００として蓄積する。図５に示すように、ドメイン外利用条件テーブル５００は、ユーザＩＤ５０１とドメイン外利用条件５０２とを対応付けて蓄積する。ユーザＩＤ５０１は、本コンテンツ配信システム内において、ユーザを一意に特定するＩＤである。ユーザＩＤ５０１は、コンテンツ配信サービスを受けるために、事業者に会員登録処理をする際に割り当てられる。この会員登録処理は、ユーザが、ネットワーク上で事業者と通信して行われてもよいし、会員登録用書類の送付等、他の方法で行われてもよい。会員登録処理では、まず、事業者が、ユーザに対してユーザＩＤ５０１を割り当てる。その後、ユーザが所有する端末装置２００の端末ＩＤが、ネットワークもしくは書類等により事業者に対して通知される。この通知された端末ＩＤとユーザＩＤ５０１とが関連付けられて管理される。また、ＩＣカードＩＤ、ドメインＩＤの割り当ても同様にして、会員登録後随時行われる。ドメイン外利用条件５０２は、ＩＣカード３００をドメイン外の端末装置で使用する条件を定め、コンテンツ再生の回数、利用可能なドメイン外のコンテンツ利用装置の台数、利用可能なドメイン数、有効期限、有効期間、発効時期、最大の利用時間、端末ＩＤ数、ドメインＩＤ数、コンテンツの数、ライセンス（コンテンツ鍵）の数、などをドメイン外利用条件として定める。例えば、ユーザＩＤ「ＵＳＥＲ−ＩＤ−０００１」で特定されるユーザに対して「使用可能な端末装置の端末ＩＤが３つまで許可」というドメイン外利用条件５０２が与えられている。また、ユーザＩＤ「ＵＳＥＲ−ＩＤ−０００２」で特定されるユーザに対して、「３つ（回）まで許可」というドメイン外利用条件が与えられている。ユーザＩＤ「ＵＳＥＲ−ＩＤ−０００３」で特定されるユーザに対して「初回利用から１ヶ月経過後無効」、すなわち、ある端末で最初に利用してからドメイン外で1ヶ月間は有効、というドメイン外利用条件５０２が与えられている。このドメイン外利用条件に示される利用範囲内で、ユーザは、所有しているＩＣカードのドメイン外の端末装置でも、コンテンツを利用することが可能になる。なお、ドメイン外利用条件は複数の条件を含んでいてもよい。その場合、ドメイン外利用条件による利用可否は、複数の条件のＡＮＤ（複数の条件を全て満たす場合に利用可能）やＯＲ（複数の条件のいずれかを満たす場合に利用可能）により判定してもよい。
ドメイン外利用条件付加部１０４は、ＥＭＭ生成部１０７によって生成されるＥＭＭ（Ｅｎｔｉｔｌｅｍｅｎｔ Ｍａｎａｇｅｍｅｎｔ Ｍｅｓｓａｇｅ）にドメイン外利用条件５０２を付加する。ここでＥＭＭは、ユーザとの個別の契約情報やコンテンツ鍵を復号するためのワーク鍵などを含むメッセージであり、共通情報（ＥＣＭ：Ｅｎｔｉｔｌｅｍｅｎｔ Ｃｏｎｔｒｏｌ Ｍｅｓｓａｇｅ）と対比して個別情報とも呼ばれる。なお、ＥＣＭは、番組情報やライセンス（コンテンツ鍵）などの全ユーザに共通の情報を含むメッセージである。ＥＭＭはユーザ個別に対して送信されるので、本実施形態におけるドメイン外利用条件付加部１０４は、ＥＭＭにドメイン外利用条件５０２を付加するものとしている。なお、ドメイン外利用条件付加部１０４は、ＥＭＭにドメイン外利用条件５０２を付加する代わりに他のメッセージ又は専用のメッセージにドメイン外利用条件５０２を付加するようにしてもよい。
ドメイン情報蓄積部１０５は、ドメインを管理するため、ユーザとドメインに属する端末装置及びＩＣカードとを関連付けるドメイン情報テーブルを有するデータベースであって、図６に示すように、ドメインＩＤ６０１と、ユーザＩＤ６０２と、端末リスト６０３と、ＩＣカードリスト６０４を含む。ドメインＩＤ６０１はドメインを一意に特定する識別子である。ユーザＩＤ６０２は、ドメインを使用するユーザの識別子である。端末リスト６０３は、ドメインに属する端末装置２００を示す端末装置ＩＤの一覧表である。ＩＣカードリスト６０４は、ドメインに属するＩＣカード３００を特定するＩＣカードＩＤの一覧表である。ＩＣカードリスト６０４は、ドメインに属するＩＣカードを特定するＩＣカードＩＤのリストである。ドメイン情報テーブルへの端末装置２００およびＩＣカード３００の登録は、会員登録後に随時行われる。なお、ドメイン情報テーブルは、ドメインＩＤ毎に当該ドメインの名称やニックネームを含んでいてもよい。また、ドメインは、端末装置のＩＤおよびＩＣカードＩＤによってドメインを定義（以下論理的なドメインと呼ぶ。）してもよいし、端末装置の存在する位置によってドメインを定義（以下物理的なドメインと呼ぶ。）してもよい。図６に示したドメイン情報テーブルは論理的なドメインの一例である。
端末リスト付加部１０６は、ＥＭＭ生成部１０７によって生成されユーザの端末装置に送信すべきＥＭＭにドメイン情報蓄積部１０５に蓄積されるドメイン情報を付加する。これにより、ＥＭＭを受信した端末装置２００およびＩＣカード３００はドメインの管理を行うことができる。
ＥＭＭ生成部１０７は、上記のＥＭＭを生成する。生成されたＥＭＭには、ドメイン外利用条件付加部１０４によってドメイン外利用条件５０２が付加され、端末リスト付加部１０６によってドメイン情報が付加される。図７にＥＭＭの一例を示す。同図のように、ＥＭＭ７００は、ヘッダ部７０１、ＥＭＭ本体７０２、ＣＲＣ７０４からなり、ＭＰＥＧ−２ Ｓｙｓｔｅｍｓ（ＩＥＣ／ＩＳＯ１３８１８−１）のプライベートセクション形式のデータである。ＥＭＭ本体７０２には、コンテンツ鍵４０２を復号するためのワーク鍵、プライベートデータ等の個別的な情報を含む。利用条件７０３は、ドメイン外利用条件付加部１０４によってＥＭＭ本体７０２内にプライベートデータとして付加されている。また、ＥＭＭ本体７０２には、端末リスト付加部１０６によってプライベートデータとして端末リストも付加される。なお、ＥＭＭ７００は、ＩＣカード３００固有のマスタ鍵で暗号化される。
放送信号多重送信部１０８は、ＥＭＭ生成部１０７によって生成されたＥＭＭ７００と、コンテンツ蓄積部１０１からの配信すべきコンテンツ等を多重化し放送する。これによる放送データは、デジタル放送の場合ＭＰＥＧ−２トランスポートストリーム（ＴＳ：Ｔｒａｎｓｐｏｒｔ Ｓｔｒｅａｍ）などの形式で送信される。多重化された放送データには、ＥＣＭ等のセクション形式の種々のデータも含まれるが、本発明と関連が薄いデータについては説明を省略する。
次に端末装置２００の構成について説明する。図２に示すように、端末装置２００は、図１における端末装置２００ａ〜２００ｃの代表として１つだけ図示してある。この端末装置２００は、放送信号受信分離部２０１、コンテンツ記憶部２０２、再生部２０３、ＥＭＭ取得部２０４、端末ＩＤ読み出し部２０５、端末ＩＤ保持部２０６、ドメイン外利用条件取り出し部２０７、第１の送受信部２０８および制御部２０９を備える。
放送信号受信分離部２０１は、配信装置１００から送信される放送データを受信し、受信したデータからコンテンツと、ドメイン外利用条件５０２を含むＥＭＭ７００と、その他のＰＳＩ／ＳＩ（Ｐｒｏｇｒａｍ Ｓｐｅｃｉｆｉｃ Ｉｎｆｏｒｍａｔｉｏｎ／Ｓｅｒｖｉｃｅ Ｉｎｆｏｒｍａｔｉｏｎ）等のセクション形式のデータとを分離する。
コンテンツ記憶部２０２は、放送信号受信分離部２０１によって分離されたコンテンツをパーシャルＴＳとして記憶する。なお、サーバ型放送のＴｙｐｅII（ファイル型）コンテンツであれば、タイムスタンプ付きＴＳやＪＰＥＧなどを蓄積する。
再生部２０３は、コンテンツ記憶部２０２に記憶されたコンテンツを復号して再生する。コンテンツ記憶部２０２に記憶されたコンテンツは暗号化されているので、再生部２０３は、コンテンツ鍵と、コンテンツ鍵の暗号化を解くためのワーク鍵とを用いて復号化（デクリプト）し、さらにＭＰＥＧ−２等に準拠した圧縮符号を伸張（デコード）する。そのため、再生部２０３はコンテンツ鍵をＥＣＭから取得するが、ワーク鍵はＩＣカード３００から第１の送受信部２０８を介して再生部２０３に供給される。
なお、ここでは、再生部２０３がコンテンツ鍵とワーク鍵とを用いて、コンテンツをデクリプトする場合の例を示したが、ＩＣカード３００にＥＣＭおよびＥＭＭを復号するためのＥＣＭ／ＥＭＭ復号部を備え、ＥＣＭ／ＥＭＭ復号部においてＥＣＭおよびＥＭＭを復号するようにしてもよい。この場合、ＥＣＭ／ＥＭＭ復号部でＥＭＭを復号することによってワーク鍵を取得し、ワーク鍵をＩＣカード内部で保持する。また、コンテンツを再生する場合には、再生部２０３がコンテンツに多重化されたＥＣＭをＩＣカード３００に送信し、ＥＣＭ／ＥＭＭ復号部がワーク鍵を用いてＥＣＭを復号することによってコンテンツ鍵を取得する。このように取得したコンテンツ鍵は、端末装置２００に送信され、再生部２０３において、コンテンツ鍵を用いて暗号化コンテンツを復号する。
ＥＭＭ取得部２０４は、放送信号受信分離部２０１によって分離されたＥＭＭ７００を取得し、ＥＭＭ本体７０２をドメイン外利用条件取り出し部２０７に出力する。
端末ＩＤ読み出し部２０５は、端末ＩＤ保持部２０６に保持された端末装置２００の端末ＩＤを読み出して、第１の送受信部２０８を介してＩＣカード３００に出力する。
端末ＩＤ保持部２０６は、端末装置２００の端末ＩＤ情報を保持する。図８に、端末ＩＤ保持部２０６が保持する端末ＩＤ情報の一例を示す。図８の例では、端末ＩＤ情報８００は、端末装置２００を特定する端末ＩＤ８０１、端末装置２００のユーザを特定するユーザＩＤ８０２、端末装置２００が属するドメインを特定するドメインＩＤ８０３を含む。
ドメイン外利用条件取り出し部２０７は、端末装置２００のＩＣカードスロットにドメイン内のＩＣカード３００が挿入されている場合、ＥＭＭ取得部２０４が取得したＥＭＭ本体７０２からドメイン外利用条件５０２や端末リスト６０３を取り出して内部に保持し、またＥＭＭ本体７０２を第１の送受信部２０８を介してＩＣカード３００に送信する。
第１の送受信部２０８は、ＩＣカードスロットに挿入されたＩＣカード３００と通信するためのインターフェースである。
制御部２０９は、ドメイン内のＩＣカード３００から暗号鍵の供給を受けるための制御と、ドメイン外のＩＣカード３００からも暗号鍵の供給を受けるための制御を行う。ドメイン外のＩＣカード３００からは、ドメイン外利用条件５０２に従って暗号鍵が供給される。
続いてＩＣカード３００の構成について説明する。ＩＣカード３００は、図１におけるＩＣカード３００ａ〜３００ｃの代表として１つだけ図示してある。図２に示すようにＩＣカード３００は、第２の送受信部３０１、ドメイン情報保持部３０２、端末ＩＤ取得部３０３、ドメイン情報処理部３０４、ドメイン外利用条件保持部３０５、ドメイン外利用条件取得部３０６、ドメイン外利用記録蓄積部３０７、ドメイン外利用記録更新部３０８、ドメイン外利用可否判定部３０９を備える。
第２の送受信部３０１は、ＩＣカード３００が端末装置２００のＩＣカードスロットに挿入されたときに端末装置２００と通信するためのインターフェースである。
ドメイン情報保持部３０２は、ＩＣカード３００のドメインに属する端末装置２００を示すドメイン情報を保持する。このドメイン情報は端末ＩＤリストを含み、ＩＣカードＩＤリストは含まなくてもよいし、含んでもよい。図９に、ドメイン情報保持部３０２に保持されるドメイン情報の一例を示す。図９の例では、ドメイン情報９００は、ＩＣカード３００が属するドメインを特定するドメインＩＤ９０１、ＩＣカード３００のユーザを特定するユーザＩＤ９０２、ドメインＩＤ９０１に特定されるドメインに属する端末装置２００を示す端末リスト９０３とを含む。なお、合わせて、端末ＩＤリストやＩＣカードＩＤリストの登録数、期間、サイズなどの最大値を管理するようにしても良い。また、このとき、最大値に達した場合は、古いものや、利用頻度が少ないものから削除／上書きするようにすると良い。
端末ＩＤ取得部３０３は、ＩＣカード３００が挿入された端末装置２００の端末ＩＤ８０１を取得する。
ドメイン情報処理部３０４は、端末ＩＤ取得部３０３に取得された端末ＩＤ８０１がドメイン情報保持部３０２に保持された端末リスト９０３に含まれるか否かを判定する。つまり、ドメイン情報処理部３０４は、ＩＣカード３００を装着した端末装置２００がドメイン内の端末装置２００であるのかドメイン外の端末装置２００であるのかを判定する。
ドメイン外利用条件保持部３０５は、端末装置２００から第２の送受信部３０１およびドメイン外利用条件取得部３０６を介して取得されたドメイン外利用条件５０２を保持する。図１０に、ドメイン外利用条件保持部３０５に保持されるドメイン外利用条件５０２の一例を示す。同図での例では、ドメイン外利用条件１０００は、ドメイン外の端末装置２００におけるコンテンツ利用可能範囲として「３回まで許可」という条件が保持されている。この場合、本ＩＣカードのユーザは、ドメイン外の端末装置２００において３回までコンテンツを利用することが可能となる。
ドメイン外利用条件取得部３０６は、端末装置２００から第２の送受信部３０１を介して取得されたＥＭＭ本体７０２からワーク鍵、端末リストおよびドメイン外利用条件５０２を取得し、ワーク鍵、端末リストを内部に保持し、ドメイン外利用条件保持部３０５に格納する。
ドメイン外利用記録蓄積部３０７は、ドメイン外のコンテンツ利用装置におけるドメイン外利用条件５０２に基づいてコンテンツが利用されたとき、その利用記録をドメイン外利用履歴として蓄積する。図１１に、利用記録の一例を示す。同図の例では、利用記録１１００は、利用日時１１０１、ＩＣカード３００を使用したドメイン外の端末装置２００を特定する端末ＩＤ１１０２、そのドメインを特定するドメインＩＤ１１０３、利用したライセンスを特定するためのライセンスＩＤ１１０４、実際に利用した時間を示す利用時間１１０５等を含む。
ドメイン外利用記録更新部３０８は、ドメイン外利用記録蓄積部３０７に対して利用記録（ドメイン外利用履歴）の消去と追加とを行う。具体的には、ドメイン外利用記録更新部３０８は、端末装置２００からの消去指示を受けたとき、ドメイン外利用記録蓄積部３０７に蓄積された利用記録を端末装置２００に送信した後に全て消去する。利用記録を消去する理由は、ユーザが、再度ＩＣカード３００のドメイン外での使用を、ドメイン外利用条件の範囲内で可能にするためである。また、ドメイン外利用記録更新部３０８は、ドメイン外の端末装置２００におけるドメイン外利用条件５０２に基づくコンテンツの利用について、その利用記録をドメイン外利用記録蓄積部３０７に記録することにより利用記録を更新する。この利用記録は、例えば、図１１に示した利用記録の１エントリーである。なお、ここでは、端末装置２００からの消去指示を受けたとき、ドメイン外利用記録蓄積部３０７に蓄積された利用記録を、端末装置２００に送信しているが、必ずしも送信しなくてもよい。
ドメイン外利用可否判定部３０９は、ドメイン情報処理部３０４によって、ＩＣカード３００を装着した端末装置２００がドメイン外の端末装置２００であると判定されたとき、当該端末装置がＩＣカード３００を利用可能か否か、を判定する。この判定は、ドメイン外利用記録蓄積部３０７に蓄積された利用記録が、ドメイン外利用条件に示される利用可能な範囲を超えないか否かによる。さらに、ドメイン外利用可否判定部３０９は、利用可能と判定した場合に、その旨を第２の送受信部３０１を介して装着先の端末装置２００に通知するとともに、ドメイン外利用条件取得部３０６にワーク鍵を端末装置２００に供給するように指示する。このワーク鍵の供給を受けることにより、ドメイン外の端末装置２００において、コンテンツを再生することが可能となる。
以上のように構成された本発明の実施の形態１におけるコンテンツ利用システムについて、以下、その動作を説明する。
図１２は、本コンテンツ利用システムにおいてＩＣカード３００にドメイン外利用条件を設定する処理を示すフローチャートである。同図のように、配信装置１００においてＥＭＭ生成部１０７はＥＭＭ７００を生成する（Ｓ１０１）。ドメイン外利用条件付加部１０４はドメイン外利用条件蓄積部１０３からＥＭＭ７００の対象となるユーザに対応するドメイン外利用条件５０２を読み出して、生成されたＥＭＭ７００に付加する（Ｓ１０２）。放送信号多重送信部１０８は、ドメイン外利用条件５０２が付加されたＥＭＭ７００を、コンテンツとともに多重化して放送データとして端末装置２００に送信する（Ｓ１０３）。
端末装置２００において、放送信号受信分離部２０１は放送データを受信し、ＥＭＭ本体７０２を分離する（Ｓ２０１）。分離されたＥＭＭ本体７０２は、さらにＥＭＭ取得部２０４によってドメイン外利用条件取り出し部２０７、第１の送受信部２０８を介してＩＣカード３００に送信される（Ｓ２０２）。
ＩＣカード３００において、第２の送受信部３０１はＥＭＭ本体７０２を受信し、ドメイン外利用条件取得部３０６にそのＥＭＭ本体７０２出力する（Ｓ３０３）。ドメイン外利用条件取得部３０６は、ＥＭＭ本体７０２からワーク鍵を取り出して内部に保持し、さらに、ドメイン外利用条件５０２を取り出して、ドメイン外利用条件保持部３０５に格納する（Ｓ３０４）。
このようにして配信装置１００において事業者等が作成したドメイン外利用条件５０２が、ＥＭＭ７００に付加されることにより、端末装置２００を経由してＩＣカード３００内に設定される。
図１３は、ＩＣカード３００が挿入された端末装置２００において、ユーザが再生開始操作をしたときのコンテンツの再生処理を示すフローチャートである。同図のように、端末装置２００において、端末ＩＤ読み出し部２０５は、端末ＩＤ保持部２０６から読み出した端末装置２００が保持する端末ＩＤ８０１を、第１の送受信部２０８を介してＩＣカード３００に送信する（Ｓ２１０）。その後、第１の送受信部２０８がＩＣカード３００から暗号鍵（ワーク鍵）の供給を受けた場合（Ｓ２１１）、再生部２０３はワーク鍵を用いてコンテンツ鍵を復号し、復号されたコンテンツ鍵を用いてコンテンツを復号し、さらに平文となったコンテンツを再生する（Ｓ２１２）。
一方、ＩＣカード３００において、第２の送受信部３０１を介して端末ＩＤ取得部３０３は端末ＩＤ８０１を受信する（Ｓ３１０）。ドメイン情報処理部３０４は、端末ＩＤ取得部３０３に取得された端末ＩＤ８０１がドメイン情報保持部３０２に保持された端末リスト９０３に含まれるか否かを判定することにより、ＩＣカード３００を装着された端末装置２００がドメイン内の端末装置２００であるのかドメイン外の端末装置２００であるかを判定する（Ｓ３１１）。ドメイン情報処理部３０４によってドメイン内の端末装置２００であると判定された場合、ドメイン外利用条件取得部３０６は保持しているワーク鍵を第２の送受信部３０１を介して端末装置２００に供給する（Ｓ３１２）。
ドメイン情報処理部３０４によってドメイン外の端末装置２００であると判定された場合、ドメイン外利用可否判定部３０９は、ドメイン外利用条件保持部３０５からドメイン外利用条件５０２を読み出し（Ｓ３１３）、ドメイン外利用記録蓄積部３０７からドメイン外利用履歴（利用記録１１００）を読み出し（Ｓ３１４）、当該端末装置２００でのＩＣカード３００の利用可否を判定する（Ｓ３１５）。利用不可と判定された場合、ＩＣカード３００はこの処理を終わる。利用可能と判定された場合、ドメイン外利用条件取得部３０６は保持しているワーク鍵を第２の送受信部３０１を介して端末装置２００に供給する（Ｓ３１６）。さらにドメイン外利用記録更新部３０８はドメイン外利用記録蓄積部３０７の利用記録を更新する（Ｓ３１７）。この更新のために、ドメイン外利用記録更新部３０８は、端末装置２００における再生動作の終了したコンテンツについて端末装置２００から再生時間、コンテンツＩＤ、ライセンスＩＤ等を取得して、利用記録１１００を生成する。さらに、ドメイン外利用記録更新部３０８は、更新後の利用記録およびドメイン外利用条件５０２を第２の送受信部３０１を介して端末装置２００に送信し、端末装置２００に利用記録をユーザに表示することを指示する（Ｓ３１８）。この指示に従って、端末装置２００では、送信されたコンテンツ外利用条件および利用記録に基づいてドメイン外の端末装置２００における利用状況に関するガイダンスを表示するようにしてもよい。
このような処理より、ユーザがＩＣカード３００をドメイン外の端末装置２００に挿入した場合でも、ドメイン外利用条件の範囲内で当該端末装置２００においてコンテンツを視聴することができる。
図１４は、端末装置２００及びＩＣカード３００における利用記録の消去処理を示すフローチャートである。端末装置２００において、第１の送受信部２０８はＩＣカードスロットにＩＣカード３００が新たに挿入されたかどうかを判定する（Ｓ２２０）。新たに挿入されたと判定された場合、第１の送受信部２０８は、端末ＩＤ読み出し部２０５によって端末ＩＤ保持部２０６から読み出された端末ＩＤ８０１を送信するとともに、ＩＣカード３００から送信されるＩＣカードＩＤを受信する（Ｓ２２１）。その後、第１の送受信部２０８がＩＣカード３００から利用記録１１００を受信した場合（Ｓ２２２）（端末装置２００とＩＣカード３００とが同じドメインに属する場合）、制御部２０９は、第１の送受信部２０８を介してＩＣカード３００に利用記録１１００の消去指示を送信する（Ｓ２２３）。さらに、制御部２０９は、利用記録１１００に基づいてドメイン外の端末装置２００における利用状況に関するガイダンスを表示する（Ｓ２２４）。
一方、ＩＣカード３００において、第２の送受信部３０１はＩＣカードスロットにＩＣカード３００が新たに挿入されたかどうかを判定する（Ｓ３２０）。新たに挿入されたと判定された場合、第２の送受信部３０１は、ＩＣカードＩＤを端末装置２００に送信するとともに、端末装置２００から送信される端末ＩＤ８０１を受信する（Ｓ３２１）。さらにドメイン情報処理部３０４は、第２の送受信部３０１および端末ＩＤ取得部３０３を介して受信された端末ＩＤ８０１と、ドメイン情報保持部３０２に保持された端末リスト９０３とを比較して、ＩＣカード３００を装着した端末装置２００がドメイン内の端末装置２００であるのかドメイン外の端末装置２００であるかを判定する（Ｓ３２２）。ドメイン外と判定された場合、ＩＣカード３００はこの消去処理を終わる。ドメイン内と判定された場合、ドメイン外利用記録更新部３０８は、ドメイン外利用記録蓄積部３０７から利用記録を読み出して（Ｓ３２３）、第２の送受信部３０１を介して端末装置２００に送信する（Ｓ３２４）。さらに、第２の送受信部３０１が端末装置２００から消去指示を受信した場合（Ｓ３２５）、ドメイン外利用記録更新部３０８はドメイン外利用記録蓄積部３０７内の利用記録１１００を消去する（Ｓ３２６）。
このような消去処理により、ドメイン外の端末装置２００でＩＣカード３００を使用しきった場合（ドメイン外利用条件が許す範囲を消耗した場合）に、二度と使用できなくなる事態を避けることができる。また、ドメイン外利用条件の許す範囲の全てを使いきっていない場合でも、ドメイン外利用条件の許す範囲を回復することができる。消去処理をドメイン内の端末装置２００にＩＣカード３００が挿入された場合に行っているのは、ユーザがドメイン外の端末装置２００で長期間にわたって（あるいは何度も繰り返し）ＩＣカード３００を使用することを防止している。これにより、ユーザはドメイン内の端末装置２００でのＩＣカード利用を原則としつつ、例外的にドメイン外の端末装置２００でＩＣカード３００を使用することを可能にしている。
以上説明してきたように、本発明の実施の形態１におけるコンテンツ利用システムによれば、ユーザはドメイン外利用条件の範囲内で、ＩＣカード３００をドメイン外の端末装置２００でも使用することができるので、ユーザの利便性を向上させることができる。しかも、ドメイン外でのＩＣカード３００の使用は無制限ではなくドメイン外利用条件５０２によって制限されるので、コンテンツを提供する事業者の権利保護を図ることができる。
また、ドメイン外利用履歴の消去処理を適宜行うことにより、ユーザがドメイン内の端末装置２００でＩＣカード３００を利用することを原則としつつ、例外的にドメイン外の端末装置２００でＩＣカード３００を使用することを可能にしている。
次に、本実施の形態におけるコンテンツ利用システムの変形例について説明する。
なお、上記実施の形態１では、ドメイン外利用記録更新部３０８とドメイン外利用可否判定部３０９はＩＣカード３００内に備えられているが、これらのいずれかを端末装置２００内に備える構成としてもよい。前者の場合は、既存の端末装置２００に対して少ない変更量で本発明を適用することでき、後者の場合は、既存のＩＣカード３００に対して少ない変更量で本発明を適用することができる。また、端末装置２００およびＩＣカード３００の両方に備える構成としても良い。
なお、上記実施の形態では、デジタル放送のＥＭＭを用いてドメイン外利用条件をＩＣカード３００に設定する場合の例を示したが、これに限られるものではなく、デジタル放送のＥＣＭ（Ｋｃ伝送用ＥＣＭ、ＥＣＭ−Ｋｗ、ＥＣＭ−Ｋｃ）やＡＣＩ（Ａｃｃｏｕｎｔ Ｃｏｎｔｒｏｌ Ｉｎｆｏｒｍａｔｉｏｎ）、Ｋｃ伝送用ＥＭＭ、グループ宛てＥＭＭなどを用いてドメイン外利用条件をＩＣカード３００に設定してもよいし、インターネットなどの通信経由で設定しても良い。またＩＣカード３００に限らず、端末装置２００に設定するようにしても良い。
また、上記実施の形態では、ＩＣカード３００が同じドメイン内のどの端末装置２００のＩＣカードスロットに挿入されたときでも、前記利用記録を消去するが、同じドメイン内の特定の端末装置２００のＩＣカードスロットに挿入されたときのみ消去するように構成してもよい。その場合、図１４のステップＳ２２３における消去指示の送信は、端末ＩＤ８０１とＩＣカードＩＤなどを用いて、特定の端末装置２００のみが行い、他の端末装置２００は行わないように構成すればよい。
さらに、特定ドメインの特定端末装置２００が、ドメイン内かドメイン外かに関わらずＩＣカードに消去指示を送信するようにしてもよい。
また、上記実施の形態では、ＩＣカード３００を端末装置２００のＩＣカードスロットに挿入したときにドメイン外利用履歴を消去するようにしたが、これに限らず、端末装置２００あるいはＩＣカード３００において、コンテンツやライセンスを利用した時点でドメイン外利用履歴を消去するようにしても良い。このときのコンテンツやライセンスは、特定コンテンツや特定ライセンスに限定してもよい。
また、ドメイン外利用記録更新部３０８は、端末装置２００からの消去指示がなくても、利用記録１１００を消去するようにしてもよい。例えば、１ヶ月に１回など、定期的に消去したり、ドメイン内の端末装置２００でのコンテンツ利用がＮ回（例えば１０回）なされる毎に消去するようにしてもよい。この場合、消去の頻度をドメイン外利用条件５０２の程度に応じて定めればよい。なお、この場合の消去の頻度を、ドメイン外利用条件５０２で指定するようにしてもよい。
また、ドメイン外利用履歴の消去にあたっては、通信や放送を介して、配信装置１００が消去指示をおこなうようにしても良い。この場合、ＩＣカード３００がドメイン内の端末装置２００に挿入されている場合のみに、ドメイン外利用履歴を消去するようにしても良い。
なお、上記実施の形態では、ドメイン外利用条件５０２は配信装置１００から端末装置２００を介してＩＣカード３００に設定されているが、ドメイン外利用条件保持部３０５はデフォルト（あらかじめ出荷時などに設定されていてもよいし、または、特定の方法により内部で生成してもよい）のドメイン外利用条件を保持するようにしてもよいし、端末装置２００がデフォルトで保持するドメイン外利用条件の設定を受けるようにしてもよい。
また、図１３のステップＳ３１８における利用記録１１００の表示指示を受けて、端末装置２００は、次のようなガイダンス表示をしてもよい。
（ａ）ドメイン外利用条件およびドメイン外利用履歴（利用記録）に基づいてドメイン外の端末装置２００における利用状況に関するガイダンス、
（ｂ）利用記録がドメイン外利用条件に示される利用可能範囲に達しているとき、利用記録の消去を促すガイダンス、
（ｃ）利用記録の消去方法を示すヘルプメッセージ記したガイダンス（例えば、「端末装置ＡＡＡにＩＣカードを挿入して消去してください」）、
（ｄ）利用記録とドメイン外利用条件に示される利用可能範囲との差分が一定以下のとき、その旨示すガイダンス（例えば、「ドメイン外ではあと１回だけ利用可能」「ドメイン外ではコンテンツＡのみ利用可能」「ドメイン外ではドメインＢでのみ利用可能」など）
（ｅ）利用記録とドメイン外利用条件に示される利用可能範囲との差分を示すガイダンス、
（ｆ）利用記録がドメイン外利用条件に示される利用可能範囲に達したとき、その旨をガイダンス（例えば「これ以上ドメイン外では利用できません」）、
（ｇ）利用記録とドメイン外利用条件に示される利用可能範囲との差分が小さくなるに連れて、ガイダンス表示の大きさおよび色の少なくとも一方を変化させる、
（ｈ）利用状況に応じて端末装置２００に備えられた発光部および音声出力部の少なくとも一方の出力態様をガイダンスとして変化させる、
（ｉ）外部から更新可能なスケジュールに従ってガイダンスを表示すること（例えば１ヶ月ごと、起動時、ＩＣカードＩＤの登録時／削除時、ＩＣカードの挿入時など）、
（ｊ）ＩＣカードの状態を示すガイダンス（例えば、ＩＣカード内の記憶容量、そのうちの空き容量、設定されているプロファイル（ユーザＩＤ、ドメインＩＤ、ＩＣカードＩＤなど）、保持されているライセンス数（コンテンツ鍵あるいはワーク鍵数）、コンテンツを保持するための空き容量など）
（ｋ）ＩＣカード３００と端末装置２００とが異なるドメインに属する旨のガイダンス。
なお、上記（ａ）〜（ｋ）のメッセージ表示は、ユーザ操作に基づいて行うようにしても良い。さらに、端末装置２００またはＩＣカード３００が属するドメインＩＤまたはドメイン名称を表示するようにしても良い。また、あるドメインに属する端末装置２００またはＩＣカード３００の一覧を表示するようにしても良い。これらの表示タイミングは、端末装置２００の起動時、ＩＣカード３００の挿抜時、端末装置２００またはＩＣカード３００のドメインへの登録／ドメインからの削除時、端末装置２００とＩＣカード３００の属するドメインが異なる場合、などが考えられる。
また、ドメインへの端末装置２００またはＩＣカード３００の登録／削除を促すメッセージを表示するようにしても良い。
また、図１４のステップＳ２２２において消去指示を送信しない場合に、ステップＳ２２４において上記（ａ）〜（ｋ）のガイダンス表示を行ってもよい。
また、端末装置２００またはＩＣカード３００は、上記各ガイダンス用の複数メッセージを予め記憶する記憶部を有していてもよいし、デジタル放送や通信経由で、放送局１０１から動的に更新できるようにしても良い。あるいは、ユーザ設定によって更新できるようにしても良い
なお、図１３のステップＳ３１６において、ＩＣカード３００は、コンテンツ鍵を供給するようにしてもよい。また、ワーク鍵を供給しないで利用可能というメッセージだけを応答することにより、端末装置２００とＩＣカード３００の組で利用可能かどうかを確認する手段として用いてもよい。
また、ドメインを構成する端末装置２００またはＩＣカード３００において、ドメインへの所属を有効期限で管理するようにしてもよい。
また、上記発明の実施形態では、全ての端末装置１０２およびＩＣカード３００において、ドメイン外利用条件５０２による制御を適用する場合の例を示したが、このような制御の対象外である端末装置２００、ＩＣカード３００、もしくは、複数の端末装置２００あるいはＩＣカード３００で構成するグループを設けるようにしても良い。
なお、端末装置２００またはＩＣカード３００でライセンス管理する場合に、ドメイン内で取得したライセンスとドメイン外で取得したライセンスとを区別するようにしてもよい。また、端末装置２００またはＩＣカード３００は、ドメイン外でのライセンスの取得を抑制するようにしても良い。但し、ここでのライセンスとは、少なくとも、コンテンツの利用条件とコンテンツ鍵とを含むデータ構造のことを指す。
また、ドメイン外利用条件保持部３０５は、複数のドメイン外利用条件５０２を保持してもよいし、この場合に、ドメイン外利用可否判定部３０９が状況に応じて選択するようにしてもよい。例えば、ドメイン毎やコンテンツ毎にドメイン外利用条件５０２を選択すればよい。また、ドメイン外利用可否判定部３０９が複数のドメイン外利用条件５０２を選択し、アンド条件またはオア条件として判定してもよい。
さらに、ドメイン外利用可否判定部３０９は、状況に応じて、ドメイン外利用条件を厳しくまたは緩く解釈して、利用可否を判定するようにしてもよい。このときのドメイン外利用条件５０２の解釈は、例えば、ドメイン外利用条件を示す数値を５割増しや５割引きした数値に換算すればよい。また、上記状況とは、端末装置２００またはＩＣカード３００が保持するライセンス、コンテンツ、プログラムや、加入しているサービス、端末装置２００やＩＣカード３００の種類／機能（グレード）、または、ユーザ操作などを含むものとする。
また、同一ドメインに属する端末装置２００あるいはＩＣカード３００の間で、連携することにより、ドメイン外利用条件やドメイン外利用履歴を共有、交換するようにしても良い。
また、上記実施の形態では、端末装置２００とＩＣカード３００とをバインドする場合の例を示したが、本発明は、端末装置２００上で動作する特定プログラムをＩＣカード３００とをバインドする場合や、端末装置２００とＩＣカード３００上の特定プログラムとをバインドする場合や、端末装置２００上の特定プログラムとＩＣカード上の特定プログラムとをバインドする場合にも適用することができるのは言うまでもない。
なお、上記実施の形態では、放送局１００で端末装置２００とＩＣカード３００のドメイン制御（ドメイン登録／削除）をおこなう場合の例を示したが、放送局１００でドメイン制御をおこなわず、全てローカルでおこなう方法も可能であるし、端末装置２００同士またはＩＣカード３００同士のドメイン制御は放送局１００で行うものの、端末装置２００とＩＣカード３００のドメイン制御、端末装置２００とＩＣカード３００の組の利用可否制御については、ローカルでおこなう方法も可能である。具体的には、
（Ａ）共通情報（暗号鍵やＩＤなど）を保持する端末装置２００とＩＣカード３００を同一ドメインとする。共通情報の設定／削除は、デジタル放送や通信でおこなってもよいし、ローカルで行ってもよい。
（Ｂ）ＩＣカード３００を端末装置２００に最初に挿入したときに自動的にドメイン登録をおこなう。ドメイン登録の方法は、共通情報を共有する方法でも良いし、端末ＩＤリストまたはＩＣカードリストに、端末ＩＤまたはＩＣカードＩＤを追加する方法でも良い。
（Ｃ）最初にコンテンツまたはライセンスを、利用または取得した端末装置２００とＩＣカード３００を同一ドメインとする（ドメイン登録する）。
（Ｄ）端末装置２００へのＩＣカード３００の挿抜回数、挿入期間で制御する。なお、この場合、端末装置２００へのＩＣカード３００の挿入時や端末装置２００の電源投入時などの、コンテンツを利用するタイミング以外に、ドメイン外利用条件判定を行うようにしてもよい。
などがあげられる。
また、ドメイン制御について、ＩＣカード３００で保持するライセンスあるいはコンテンツに応じて、端末装置２００とＩＣカード３００とのバインドを変更するようにしても良いし、利用するライセンスあるいはコンテンツによっても、端末装置２００とＩＣカード３００とのバインドを変更するようにしても良い。
また、端末装置２００同士またはＩＣカード３００同士が構築するドメインに連動して、端末装置２００とＩＣカード３００との間のドメイン制御（利用可能な組の制御）をおこなうようにしても良い。
また、ドメイン制御に必要な情報（共通情報や端末ＩＤリスト、ＩＣカードリスト）は、ホームネットワークに属する他の端末装置２００あるいはＩＣカード３００から取得／同期するようにしてもよい。
また、ドメイン制御に必要な情報は、デジタル放送や通信経由で、放送局１０１から動的に指示できるようにしてもよく、特に、放送局１０１からのドメインへの登録／削除指示を受信した時点で、端末装置２００に挿入されているＩＣカード３００と関連付けをおこなうようにしてもよい。通信の場合は、ＳＡＣ（Ｓｅｃｕｒｅ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｃｈａｎｎｅｌ）により、セキュアに登録／削除をおこなえばよい。
（実施の形態２）
本実施の形態におけるセキュアシステムは、企業内あるいは家庭内のシステムなどに本発明を適用する場合について説明する。また、ドメインは、端末装置の存在する位置などによって定義された物理的なドメインを用いる例を説明する。
図１５は、本発明の実施の形態２におけるセキュアシステムの概要を示す図である。同図のように、本セキュアシステムは、端末装置Ｔａ〜Ｔｃ、端末装置Ｔｐ、Ｔｑ、セキュアデバイスとしてメモリカードＣａ〜Ｃｃを含み、ユーザがドメイン内の端末装置だけでなく、条件付でドメイン外の端末装置でメモリカードを使用できるように構成されている。
同図のドメインＣ、Ｄは、物理的に定義されたドメインであり、例えば、企業内の事業所と事業所Ｂ、Ａ棟とＢ棟、部署Ａと部署Ｂ、学校内の校舎Ａと校舎Ｂ、１学年の教室と２学年の教室、ネットワークＡに接続された端末群とネットワークＢに接続された端末群、などである。
端末Ｔａは、パーソナルコンピュータＰＣ、モバイル機器（携帯電話機、ＰＤＡなど）などであり、メモリカードにセキュアに秘匿データを読み書きする。また、実施の形態１に示したコンテンツ利用端末や、セキュリティモジュール（ＩＣカード）を利用してデジタル放送を受信するためのセットトップボックス、デジタルＴＶ、ＤＶＤレコーダ、ハードディスクレコーダ、パーソナルコンピュータなどのコンテンツ再生装置、記録装置）であってもよい。他の端末Ｔｂ等についても同様である。
メモリカードＣａは、秘匿データをセキュアに保持するセキュアデバイスの一種である。例えば、ＳＤカード、メモリスティックといったセキュリティ保護機能付きメモリカードや、ｓｍａｒｔＳＤカード、ＭＯＰＡＳＳ（MObile PASS port）カードといったＩＣカード機能付きメモリカードなどがある。秘匿データは、コンテンツの暗号鍵に限らず、機密文書や、暗号化されたコンテンツ（動画、音声、静止画など）などである。
図１６は、端末装置Ｔａとメモリカードの構成を示すブロック図である。同図の端末装置Ｔａは、図２の端末装置２００と比較して、放送信号受信分離部２０１、コンテンツ記憶部２０２、再生部２０３、ＥＭＭ取得部２０４が削除されている点と、ＧＰＳ部２１０が追加されている点と、端末ＩＤ読み出し部２０５の代わりに読み出し部２０５ａを備える点と、ドメイン外利用条件取り出し部２０７の代わりにドメイン外利用条件記憶部部２０７ａを備える点とが異なる。また、同図のメモリカードＣａは、図２のＩＣカード３００と比較して、ほぼ同様に構成されているが、ドメイン情報保持部３０２に保持されるドメイン定義情報が異なっている。以下、同じ点は説明を省略して異なる点を中心に説明する。
ＧＰＳ部２１０は、ＧＰＳ（Global Positioning System）システムから端末装置の位置を検出する。検出される位置は、緯度、経度、高度などで表される。
読み出し部２０５ａは、端末ＩＤ読み出し部２０５の機能に加えて、ＧＰＳ部２１０によって検出された位置を示す情報を、端末ＩＤと共に第１の送受信部２０８を介してメモリカードＣａに出力する。
ドメイン外利用条件記憶部２０７ａは、ドメイン外利用条件を保持する。ドメイン外利用条件は実施の形態１と同様である。
ドメイン情報保持部３０２は、物理的に定義されたドメインを示すドメイン情報を保持する。
図１７は、ドメイン情報保持部３０２に保持されるドメイン情報の例を示す図である。同図のドメイン情報は、図９のドメイン情報と比較して、端末リストの代わりにドメイン定義データとして位置情報の組みが設定されている。例えば、位置情報の組みによって囲まれる範囲に存在する端末装置はドメイン内と判定される。位置情報に高さが含まれる場合は３次元の範囲としてドメインが定義される。なお、位置情報と半径の組みによってドメインが定義されてもよい。
図１８は、ドメイン情報保持部３０２に保持されるドメイン情報の他の例を示す図である。同図のドメイン定義データは、ネットワークＩＤを含む。この場合、ネットワークＩＤで特定されるネットワークに接続されていること端末装置は、ドメイン内と判定される。
本実施の形態におけるセキュアシステムが、会社の構内をドメインとする端末装置と、機密文書を保持するメモリカードとに適用される場合について説明する。
ユーザは原則として、会社の構内（ドメイン）において、会社の機密文書（秘匿データ）をメモリカード（セキュアデバイス）に記録し、会社が認定したセキュリティ対策済ＰＣ（端末装置Ｔａ）で機密文書を利用する。会社の構内であることは、ＧＰＳ部２１０により検出される位置に基づいて、ドメイン内であるかドメイン外であるかが判定される。ドメイン内かドメイン外かの判定の結果、会社の構内であれば、機密文書を自由に利用可能だが、会社の構内でない場合は、メモリカードＣａに記録しておいた時間制限／回数制限（ドメイン外利用条件）により、機密文書へのアクセスが限定されるが、例外的に利用可能となる。
ドメイン外利用条件を使い切ってしまった場合、会社の構内でメモリカードを端末装置Ｔａに挿入し、ドメイン内であることを確認できた時点で、ドメイン外利用条件がリセットされ、再度ドメイン外で利用可能な状態となる。
なお、物理的なドメイン定義は、例えば、ＧＰＳの利用により事前に登録された範囲、無線ＬＡＮ、ＲＦＩＤ（無線タグ）等の電波を受信できる範囲、特定ネットワークに接続されていることが確認できる端末装置、特定端末などから音や光が届く範囲、などとしてもよい。また、論理的なドメイン定義は、端末装置ＩＤ／セキュアデバイスＩＤのリスト以外でもよく、例えば、ドメイン鍵、ドメインＩＤ、リージョンコード、セキュアデバイスの挿抜回数／時間等で定義してもよい。また、これらは秘密にしていてもよい。
また、端末装置とセキュアデバイスとが同じドメインに属するかを判定する代わりに、端末装置とセキュアデバイスのそれぞれについて自身のドメインに属しているかを判定するようにしてもよい。この判定の結果、一方のみがドメインに属している場合には、セキュアデバイスの利用可否判定をセキュアに行うため、端末装置とセキュアデバイスとの間で相互認証を行ってもよい。
なお、ドメイン情報保持部３０２は、ICカードＣａだけでなく端末装置Ｔａに備えられてもよいし、端末装置Ｔａのみに備えられてもよい。
また、端末装置Ｔａ等は、図２の端末装置２００に示した放送信号受信分離部２０１やコンテンツ記憶部２０２を備え、外部からコンテンツ等を受信および記憶する構成であってもよい。
なお、端末装置Ｔａ等は、必ずしも端末ＩＤを保持しなくてよく、端末ＩＤ読み出し部２０５を備えていなくてもよく、また、端末ＩＤをメモリカードＣａ等に送信しなくてもよい。
また、実施の形態１のコンテンツ利用システムの各種変形例は、本実施の形態のセキュアシステムにも同様に適用できることはいうまでもない。
本発明は、端末装置とセキュアデバイスとを含むセキュアシステムに適している。特に、セキュアデバイスを共用するコンテンツ利用装置からなるドメインに属するコンテンツ利用装置にコンテンツ利用を可能にする暗号鍵を供給するセキュアデバイスを利用するコンテンツ利用システム、セキュアデバイス、コンテンツ利用装置、方法およびプログラムに適していて、例えば、セキュリティモジュール（ＩＣカード）を利用してデジタル放送を受信するためのセットトップボックス、デジタルＴＶ、ＤＶＤレコーダ、ハードディスクレコーダ、パーソナルコンピュータなどのコンテンツ再生装置、記録装置あるいはこれらの複合機器等に適している。
図１は、本発明の実施形態１におけるコンテンツ利用システムの概要を示す図である。 図２は、本コンテンツ利用システムの全体の構成を示すブロック図である。 図３は、コンテンツ蓄積部に蓄積されるコンテンツの一例を示す図である。 図４は、ライセンス情報蓄積部に蓄積されるライセンス情報例を示す図である。 図５は、ドメイン外利用条件蓄積部に蓄積される利用条件例を示す図である。 図６は、ドメイン情報蓄積部に蓄積されるドメイン情報例を示す図である。 図７は、ＥＭＭのデータ例を示す図である。 図８は、端末ＩＤ保持部のデータ例を示す図である。 図９は、ドメイン情報保持部に保持されるドメイン情報例を示す図である。 図１０は、ドメイン外利用条件保持部に保持されるドメイン外利用条件例を示す図である。 図１１は、ドメイン外利用記録蓄積部に蓄積される利用記録例を示す図である。 図１２は、ドメイン外利用条件のＩＣカードへの設定処理についてのフローチャートを示す図である。 図１３は、コンテンツ再生処理についてのフローチャートを示す図である。 図１４は、ドメイン外利用記録の消去処理についてのフローチャートを示す図である。 図１５は、本発明の実施形態２におけるセキュアシステムの概要を示す図である。 図１６は、端末装置Ｔａとメモリカードの構成を示すブロック図である。 図１７は、ドメイン情報保持部に保持されるドメイン情報の例を示す図である。 図１８は、ドメイン情報保持部に保持されるドメイン情報の他の例を示す図である。
符号の説明
１００ 配信装置
１０１ コンテンツ蓄積部
１０２ ライセンス情報蓄積部
１０３ ドメイン外利用条件蓄積部
１０４ ドメイン外利用条件付加部
１０５ ドメイン情報蓄積部
１０６ 端末リスト付加部
１０７ ＥＭＭ生成部
１０８ 放送信号多重送信部
２００ 端末装置
２０１ 放送信号受信分離部
２０２ コンテンツ記憶部
２０３ 再生部
２０４ ＥＭＭ取得部
２０５ 端末ＩＤ読み出し部
２０６ 端末ＩＤ保持部
２０７ ドメイン外利用条件取り出し部
２０８ 第１の送受信部
３００ ＩＣカード
３０１ 第２の送受信部
３０２ ドメイン情報保持部
３０３ 端末ＩＤ取得部
３０４ ドメイン情報処理部
３０５ ドメイン外利用条件保持部
３０６ ドメイン外利用条件取得部
３０７ ドメイン外利用記録蓄積部
３０８ ドメイン外利用記録更新部
３０９ ドメイン外利用可否判定部

Claims (28)

  1. 秘匿データを保持するセキュアデバイスと、セキュアデバイスを接続する端末装置とを含むセキュアシステムであって、
    セキュアデバイスおよび端末装置の何れかに備えられ、セキュアデバイスおよび端末装置のドメインを定義するドメイン情報とを記憶する第１記憶手段と、
    セキュアデバイスおよび端末装置の何れかに備えられ、ドメイン外におけるセキュアデバイスの利用条件であるドメイン外利用条件を記憶する第２記憶手段と、
    セキュアデバイスおよび端末装置の何れかに備えられ、前記ドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン内であるかドメイン外であるかを判定する第１判定手段と、
    セキュアデバイスおよび端末装置の何れかに備えられ、第１判定手段によってドメイン外であると判定されたとき、前記ドメイン外利用条件に従ってセキュアデバイスの利用可否を判定する第２判定手段と、
    セキュアデバイスおよび端末装置の何れかに備えられ、第１判定手段によってドメイン内と判定された場合、および、第２判定手段によって利用可能と判定された場合に、端末装置によるセキュアデバイスの利用を可能にする制御手段と、
    を備えることを特徴とするセキュアシステム。
  2. 前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、
    前記秘匿データは前記コンテンツを復号するための暗号鍵であり、
    前記制御手段は、セキュアデバイスに備えられ、第１判定手段によってドメイン内と判定された場合、および、第２判定手段によって利用可能と判定された場合に、セキュアデバイスから端末装置に前記秘匿データを供給する
    ことを特徴とする請求項１記載のセキュアシステム。
  3. 前記ドメイン外利用条件は、ドメイン外での（ａ）コンテンツ再生の回数、（ｂ）コンテンツ利用装置の台数、（ｃ）ドメイン数、（ｄ）有効期限、（ｅ）利用時間、（ｆ）端末ＩＤ数、（ｇ）ドメインＩＤ数、（ｈ）コンテンツの数および（ｉ）ライセンスの数、の少なくとも１つに関する
    ことを特徴とする請求項２記載のセキュアシステム。
  4. 前記セキュアデバイスは、
    ドメイン外のコンテンツ利用装置における前記ドメイン外利用条件に基づくコンテンツの利用履歴を示すドメイン外利用履歴を記録する履歴記録手段を備え、
    前記第２判定手段は、前記ドメイン外利用履歴が前記利用条件に示される利用可能な範囲を超えないか否かを判定する
    ことを特徴とする請求項２記載のセキュアシステム。
  5. 第２記憶手段および第２判定手段は、前記セキュアデバイスに備えられる
    ことを特徴とする請求項２記載のセキュアシステム。
  6. 第２記憶手段および第２判定手段は、前記コンテンツ利用装置に備えられる
    ことを特徴とする請求項２記載のセキュアシステム。
  7. 前記コンテンツ利用装置は、外部から新たなドメイン外利用条件を受信する受信手段を備え、
    前記第２記憶手段は、前記ドメイン外利用条件を新たなドメイン外利用条件に更新する
    ことを特徴とする請求項２記載のセキュアシステム。
  8. 前記受信手段は、コンテンツ配信サーバから送信されるライセンスに付加されたドメイン外利用条件を受信する
    ことを特徴とする請求項７記載のセキュアシステム。
  9. 前記コンテンツ利用装置は、さらに、
    セキュアデバイススロットに挿入されたセキュアデバイスから前記ドメイン外利用条件および前記ドメイン外利用履歴を取得する取得手段と、
    取得した前記ドメイン外利用条件および前記ドメイン外利用履歴に基づいてドメイン外のコンテンツ利用装置における利用状況に関するガイダンスを表示する表示手段と
    を備えることを特徴とする請求項２記載のセキュアシステム。
  10. 端末装置に接続され、秘匿データを保持するセキュアデバイスであって、
    ドメイン外の端末装置に対するセキュアデバイスのドメイン外利用条件を記憶する条件記憶手段と、
    前記ドメイン外利用条件に従ってセキュアデバイスの利用可否を判定する判定手段と
    判定手段によって利用可能と判定された場合に、端末装置によるセキュアデバイスの利用を可能にする制御手段と、
    を備えることを特徴とするセキュアデバイス。
  11. 前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、
    前記秘匿データは前記コンテンツを復号するための暗号鍵であり、
    前記制御手段は、セキュアデバイスに備えられ、判定手段によって利用可能と判定された場合に、セキュアデバイスから端末装置に前記秘匿データを供給する
    ことを特徴とする請求項１０記載のセキュアシステム。
  12. 前記ドメイン外利用条件は、（ａ）コンテンツ再生の回数、（ｂ）コンテンツ利用装置の台数、（ｃ）ドメイン数、（ｄ）有効期限、（ｅ）利用時間、（ｆ）端末ＩＤ数、（ｇ）ドメインＩＤ数、（ｈ）コンテンツの数および（ｉ）ライセンスの数、の少なくとも１つに関する
    ことを特徴とする請求項１１記載のセキュアデバイス。
  13. 前記セキュアデバイスは、
    ドメイン外の端末装置における前記ドメイン外条件に基づくコンテンツの利用履歴を示す前記ドメイン外利用履歴を記録する履歴記録手段を備え、
    前記判定手段は、前記ドメイン外利用履歴が前記ドメイン外利用条件に示される利用可能な範囲を超えないか否かを判定する
    ことを特徴とする請求項１２記載のセキュアデバイス。
  14. 前記セキュアデバイスは、さらに、所定の時期に前記ドメイン外利用履歴を消去する消去手段を備える
    ことを特徴とする請求項１３記載のセキュアデバイス。
  15. 前記セキュアデバイスは、端末装置から新たなドメイン外利用条件を受信する受信手段を備え、
    前記条件記憶手段は、前記ドメイン外利用条件を新たなドメイン外利用条件に更新する
    ことを特徴とする請求項１１記載のセキュアデバイス。
  16. 条件記憶手段は、デフォルトのドメイン外利用条件を記憶する
    ことを特徴とする請求項１１記載のセキュアデバイス。
  17. 前記セキュアデバイスは、さらに、
    前記ドメイン外利用条件および前記ドメイン外利用履歴に基づいてドメイン外のコンテンツ利用装置における利用状況提示する表示手段を有する
    ことを特徴とする請求項１１記載のセキュアデバイス。
  18. 前記セキュアデバイスは、さらに、
    挿入されているセキュアデバイススロットの端末装置に、ドメインＩＤを送信する送信手段を備える
    ことを特徴とする請求項１１記載のセキュアデバイス。
  19. 前記セキュアデバイスは、さらに、
    挿入されているセキュアデバイススロットの端末装置に、前記ドメイン外利用履歴を送信する送信手段を備える
    ことを特徴とする請求項１１記載のセキュアデバイス。
  20. 秘匿データを保持するセキュアデバイスを接続する端末装置であって、
    ドメイン外の端末装置に対するセキュアデバイスの利用条件であるドメイン外利用条件を記憶する記憶手段と、
    前記ドメイン外利用条件に従ってセキュアデバイスの利用可否を判定する判定手段と
    判定手段によって利用可能と判定された場合に、端末装置によるセキュアデバイスの利用を可能にする制御手段と、
    を備えることを特徴とする端末装置。
  21. 前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、
    前記秘匿データは前記コンテンツを復号するための暗号鍵であり、
    前記制御手段は、セキュアデバイスに備えられ、判定手段によって利用可能と判定された場合に、セキュアデバイスから端末装置に前記秘匿データを供給する
    ことを特徴とする請求項２０記載のセキュアシステム。
  22. 前記ドメイン外利用条件は、（ａ）コンテンツ再生の回数、（ｂ）コンテンツ利用装置の台数、（ｃ）ドメイン数、（ｄ）有効期限、（ｅ）利用時間、（ｆ）端末ＩＤ数、（ｇ）ドメインＩＤ数、（ｈ）コンテンツの数および（ｉ）ライセンスの数、の少なくとも１つに関する
    ことを特徴とする請求項２１記載の端末装置。
  23. コンテンツ配信装置とコンテンツ利用装置とセキュアデバイスとを含むセキュアシステムであって、
    前記コンテンツ配信装置は、ドメイン外のコンテンツ利用装置に対するセキュアデバイスの利用条件であるドメイン外利用条件をコンテンツ利用装置に送信する送信手段を備え、
    前記セキュアデバイスは、セキュアデバイスを共用するコンテンツ利用装置からなるドメインに属するコンテンツ利用装置に、コンテンツ利用を可能にする暗号鍵を供給する供給手段を備え、
    前記コンテンツ利用装置は、前記送信手段から前記ドメイン外利用条件を受信する受信手段を備え、
    前記コンテンツ利用装置およびセキュアデバイスの一方は、
    セキュアデバイスおよび端末装置のドメインを定義するドメイン情報とを記憶する第１記憶手段と、
    受信手段に受信された利用条件を記憶する第２記憶手段と、
    前記ドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン内であるかドメイン外であるかを判定する第１判定手段と、
    第１判定手段によってドメイン外であると判定されたとき、前記ドメイン外利用条件に従ってセキュアデバイスの利用可否を判定する第２判定手段と
    を備え、
    前記供給手段は、さらに、前記判定手段によって利用可と判定されたとき、ドメイン外のコンテンツ利用装置に暗号鍵を供給する
    ことを特徴とするセキュアシステム。
  24. 秘匿データを保持するセキュアデバイスと、セキュアデバイスを接続する端末装置とを含むセキュアシステムにおけるセキュアデバイス利用方法であって、
    セキュアデバイスおよび端末装置の何れかに備えられたメモリから、セキュアデバイスおよび端末装置のドメインを定義するドメイン情報を読み出すステップと、
    読み出されたドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン内であるかドメイン外であるかを判定するステップと、
    セキュアデバイスおよび端末装置の何れかに備えられたメモリから、ドメイン外におけるセキュアデバイスの利用条件であるドメイン外利用条件を読み出すステップと、第１判定手段によってドメイン外であると判定されたとき、読み出されたドメイン外利用条件に従ってセキュアデバイスの利用可否を判定するステップと、
    ドメイン内と判定された場合、および、利用可能と判定された場合に、端末装置によるセキュアデバイスの利用を可能にする制御ステップと、
    を備えることを特徴とするセキュアデバイス利用方法。
  25. 前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、
    前記秘匿データは前記コンテンツを復号するための暗号鍵であり、
    前記制御ステップにおいて、セキュアデバイスに備えられ、第１判定手段によってドメイン内と判定された場合、および、第２判定手段によって利用可能と判定された場合に、セキュアデバイスから端末装置に前記秘匿データを供給する
    ことを特徴とする請求項２４記載のセキュアデバイス利用方法。
  26. 秘匿データを保持するセキュアデバイスと、セキュアデバイスを接続する端末装置とを含むセキュアシステムにおけるコンピュータ実行可能なプログラムであって、
    前記プログラムは、
    セキュアデバイスおよび端末装置の何れかに備えられたメモリから、セキュアデバイスおよび端末装置のドメインを定義するドメイン情報を読み出すステップと、
    読み出されたドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン内であるかドメイン外であるかを判定するステップと、
    セキュアデバイスおよび端末装置の何れかに備えられたメモリから、ドメイン外におけるセキュアデバイスの利用条件であるドメイン外利用条件を読み出すステップと、第１判定手段によってドメイン外であると判定されたとき、読み出されたドメイン外利用条件に従ってセキュアデバイスの利用可否を判定するステップと、
    ドメイン内と判定された場合、および、利用可能と判定された場合に、端末装置によるセキュアデバイスの利用を可能にするステップと、
    をコンピュータに実行させることを特徴とするプログラム。
    をコンピュータに実行させることを特徴とするプログラム。
  27. コンテンツ配信装置とコンテンツ利用装置とセキュアデバイスとを含むコンテンツ利用システムにおけるコンテンツ配信装置であって、
    ドメイン外のコンテンツ利用装置に対するセキュアデバイスの利用条件であるドメイン外利用条件をコンテンツ利用装置に送信する送信手段を備える
    ことを特徴とするコンテンツ配信装置。
  28. 前記ドメイン外利用条件は、ドメイン外での（ａ）コンテンツ再生の回数、（ｂ）コンテンツ利用装置の台数、（ｃ）ドメイン数、（ｄ）有効期限、（ｅ）利用時間、（ｆ）端末ＩＤ数、（ｇ）ドメインＩＤ数、（ｈ）コンテンツの数および（ｉ）ライセンスの数、の少なくとも１つに関する
    ことを特徴とする請求項２７記載のコンテンツ配信装置。
JP2006519460A 2004-03-31 2005-03-29 セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム Withdrawn JPWO2005096157A1 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2004106338 2004-03-31
JP2004106338 2004-03-31
PCT/JP2005/005817 WO2005096157A1 (ja) 2004-03-31 2005-03-29 セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム

Publications (1)

Publication Number Publication Date
JPWO2005096157A1 true JPWO2005096157A1 (ja) 2008-02-21

Family

ID=35063969

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006519460A Withdrawn JPWO2005096157A1 (ja) 2004-03-31 2005-03-29 セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム

Country Status (5)

Country Link
US (1) US20070165854A1 (ja)
EP (1) EP1736888A1 (ja)
JP (1) JPWO2005096157A1 (ja)
CN (1) CN1938692A (ja)
WO (1) WO2005096157A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013235342A (ja) * 2012-05-07 2013-11-21 Canon Inc 通信装置およびその制御方法

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4124216B2 (ja) * 2005-07-21 2008-07-23 コニカミノルタビジネステクノロジーズ株式会社 画像処理システムおよびその制御プログラム、ならびに、画像処理装置およびその制御プログラム
WO2007049654A1 (ja) * 2005-10-26 2007-05-03 Matsushita Electric Industrial Co., Ltd. データ処理装置
JP2007129320A (ja) * 2005-11-01 2007-05-24 Sony Corp 通信システム、通信装置及び通信方法、並びにコンピュータ・プログラム
JP2008269037A (ja) * 2007-04-17 2008-11-06 Hitachi Ltd 記録媒体の情報保護システム
KR20080107982A (ko) * 2007-06-07 2008-12-11 삼성전자주식회사 컨텐츠의 사용 가능 여부 결정 방법 및 그 장치
EP2192772B1 (en) * 2007-08-24 2015-08-12 Mitsubishi Electric Corporation Limited reception apparatus
KR101461945B1 (ko) * 2007-11-08 2014-11-14 엘지전자 주식회사 Ｄｒｍ에서 도메인 업그레이드 방법
JP4919944B2 (ja) * 2007-12-10 2012-04-18 富士通株式会社 情報処理装置及びライセンス配信システム
KR101529363B1 (ko) * 2008-06-20 2015-06-16 나그라비젼 에스에이 조건부 액세스 컨텐츠의 사용을 제어하는 방법 및 이를 구현하기 위한 멀티미디어 유닛
US9807086B2 (en) * 2015-04-15 2017-10-31 Citrix Systems, Inc. Authentication of a client device based on entropy from a server or other device
US10122709B2 (en) 2015-05-12 2018-11-06 Citrix Systems, Inc. Multifactor contextual authentication and entropy from device or device input or gesture authentication
USD888730S1 (en) 2016-05-10 2020-06-30 Citrix Systems, Inc. Display screen or portion thereof with graphical user interface

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TR199902273T2 (xx) * 1997-03-21 2000-01-21 Canal + Societe Anonyme �ifrelenmi� yay�n sinyallerinin al�c�s� ile kullan�m i�in ak�ll� kart, ve al�c�
EP0936812A1 (en) * 1998-02-13 1999-08-18 CANAL+ Société Anonyme Method and apparatus for recording of encrypted digital data
MXPA02011091A (es) * 2001-03-12 2003-06-09 Koninkl Philips Electronics Nv Aparato receptor para almacenar de manera segura un articulo de contenido y aparato reproductor.
US20020157002A1 (en) * 2001-04-18 2002-10-24 Messerges Thomas S. System and method for secure and convenient management of digital electronic content
US7539306B2 (en) * 2002-08-28 2009-05-26 Panasonic Corporation Key delivery apparatus, terminal apparatus, recording medium, and key delivery system
US20050071663A1 (en) * 2003-09-26 2005-03-31 General Instrument Corporation Separation of copy protection rules for digital rights management

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2013235342A (ja) * 2012-05-07 2013-11-21 Canon Inc 通信装置およびその制御方法

Also Published As

Publication number Publication date
EP1736888A1 (en) 2006-12-27
US20070165854A1 (en) 2007-07-19
WO2005096157A1 (ja) 2005-10-13
CN1938692A (zh) 2007-03-28

Similar Documents

Publication Publication Date Title
JPWO2005096157A1 (ja) セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム
JP2004350150A (ja) コンテンツ配信サービス提供装置及びコンテンツ配信サービス端末装置
JP2002198957A (ja) 無線通信システム、クライアント装置、サーバ装置および無線通信方法
US20130191626A1 (en) Recording device, terminal device, and content transmission system
US7949604B2 (en) Information providing system, and information processing apparatus and method
US7890775B2 (en) Information processing apparatus, content control method, and storage medium
JP2001258009A (ja) 電子メディア配信システム
JP6790262B2 (ja) コンテンツ視聴方法およびそれに用いる携帯情報端末
US7562231B2 (en) Apparatus and system for recording and reproducing contents
JP2003152696A (ja) メタデータ送信方法、メタデータ受信方法およびメタデータ送信装置、メタデータ受信装置ならびにメタデータ送信プログラム、メタデータ受信プログラム
JP2007135058A (ja) コンテンツ提示制御装置及びそのプログラム、並びに、放送用コンテンツ配信装置
JP5241945B2 (ja) デジタルコンテンツ受信装置、および、デジタルコンテンツ受信方法
JP2003152700A (ja) 情報端末装置およびコンテンツ復号方法
JP2011081764A (ja) コンテンツ受信機、コンテンツ再生機、コンテンツ再生システム、コンテンツ書き出し方法、視聴期限判定方法、プログラム、および記録媒体
JP2001077806A (ja) データ管理カード
JP2010206540A (ja) ファイル生成装置、ファイル再生装置およびコンピュータプログラム
JP5241946B2 (ja) デジタルコンテンツ送受信システム、および、デジタルコンテンツ送受信方法
JP4045137B2 (ja) データストリーム記録装置、データストリーム記録方法及びプログラム
JP5081512B2 (ja) デジタルコンテンツ受信装置及びデジタルコンテンツ受信方法
JP2002314910A (ja) ディジタルコンテンツ蓄積装置
JP2007251438A (ja) コンテンツの暗号化方法および復号化方法
JP2003018562A (ja) コンテンツ提供方法、コンテンツ受信端末およびセキュリティモジュール
JP4997362B2 (ja) デジタルコンテンツ送受信システム及びデジタルコンテンツ送受信方法
JP2012065239A (ja) 暗号化鍵管理装置、暗号化鍵管理方法及び情報再生装置
JP2001186495A (ja) 画像送信／受信装置とその方法及び画像配給システムとその方法

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20080304

A761 Written withdrawal of application

Free format text: JAPANESE INTERMEDIATE CODE: A761

Effective date: 20100809