WO2005096157A1 - セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム - Google Patents

セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム Download PDF

Info

Publication number
WO2005096157A1
WO2005096157A1 PCT/JP2005/005817 JP2005005817W WO2005096157A1 WO 2005096157 A1 WO2005096157 A1 WO 2005096157A1 JP 2005005817 W JP2005005817 W JP 2005005817W WO 2005096157 A1 WO2005096157 A1 WO 2005096157A1
Authority
WO
WIPO (PCT)
Prior art keywords
domain
secure
content
terminal device
usage
Prior art date
Application number
PCT/JP2005/005817
Other languages
English (en)
French (fr)
Inventor
Akio Higashi
Hiroki Murakami
Katsumi Tokuda
Original Assignee
Matsushita Electric Industrial Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matsushita Electric Industrial Co., Ltd. filed Critical Matsushita Electric Industrial Co., Ltd.
Priority to JP2006519460A priority Critical patent/JPWO2005096157A1/ja
Priority to US10/585,988 priority patent/US20070165854A1/en
Priority to EP05727841A priority patent/EP1736888A1/en
Publication of WO2005096157A1 publication Critical patent/WO2005096157A1/ja

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/109—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM] by using specially-adapted hardware at the client
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F2221/00—Indexing scheme relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/21—Indexing scheme relating to G06F21/00 and subgroups addressing additional information or applications relating to security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F2221/2153—Using hardware token as a secondary aspect

Definitions

  • the present invention relates to a secure system including a terminal device and a secure device.
  • the present invention relates to a secure system including a content using a plurality of content using devices and an IC card or a content within and outside a domain in which a license can be shared.
  • the present invention relates to a content use system for controlling use, an IC card, a content use device, a method, and a program.
  • a server-type broadcast For example, even in a broadcast format in which contents are temporarily stored on a hard disk or the like and watched at a desired time by a member (referred to as a server-type broadcast), only one specific content-using device can use an IC. It is inconvenient if the card cannot be used.
  • server-type broadcasting standards see ARIB (STD-B25, published by Association of Radio Industries and Businesses).
  • a content in which an IC card is shared by a plurality of content utilizing devices is used.
  • a usage system has been proposed.
  • a common identifier is assigned to a group (hereinafter, referred to as a domain) composed of a plurality of content use apparatuses sharing an IC card and a plurality of IC cards.
  • the content use device can use an IC card to which the same identifier is assigned.
  • Patent Document 1 Japanese Patent Publication No. 2001-518255
  • the IC card cannot be used in a content utilization device outside the domain, so that the convenience of the user may be poor.
  • the friend's house's content use device cannot use the IC card at all, even temporarily, which is extremely inconvenient.
  • the present invention provides protection of confidential data and user convenience by making it possible to use a secure device even in a content using device outside the domain, while taking into consideration the protection of confidential data such as content.
  • the purpose of the present invention is to provide a secure system, a secure device, a content utilization device, a method, and a program that balance both sex
  • a secure system is a secure system including a secure device that holds confidential data and a terminal device that connects the secure device.
  • Storage means for storing domain information that defines the domains of the secure device and the terminal device, and usage conditions for the secure device outside the domain, provided in either the secure device or the terminal device.
  • a second storage means for storing the out-of-domain usage condition, which is provided in one of the secure device and the terminal device, and determining whether the secure device or the terminal device is currently in the domain or out of the domain according to the domain information.
  • the second determining means provided in any of the secure device and the terminal device, and when the first determining means determines that the secure card is out of the domain, the second determining means determines whether or not the secure card can be used according to the out-of-domain use condition, Provided in either the secure device or the terminal device, the terminal device can use the secure device if it is determined to be within the domain by the first determination means and if it is determined to be usable by the second determination means. Control means for enabling the function.
  • the secure device can be used even with a content using device outside the domain within the range of the non-domain use condition indicating the use condition of the secure device outside the domain. Can be improved.
  • the use of secure devices outside of the domain is limited by non-domain usage conditions, which are not unlimited, so that confidential data such as contents can be protected.
  • the first storage means is provided in a secure device
  • the first determination means is provided in a terminal device, and determines whether the terminal device is currently in the domain or outside the domain.
  • the control means may be provided in a secure device.
  • the terminal device is a content use device that reproduces the encrypted content
  • the confidential data is an encryption key for decrypting the content
  • the control unit is provided in a secure device.
  • the secure device may supply the confidential data to the terminal device when the first determining means determines that the confidential data is within the domain and when the second determining means determines that the confidential data is available. .
  • the out-of-domain usage conditions include (a) the number of content playbacks outside the domain, (b) the number of content usage devices, (c) the number of domains, (d) expiration date, and (e) usage. At least one of time, (f) number of terminal IDs, (g) number of domain IDs, (h) number of contents, and (i) number of licenses may be used.
  • the content can be used up to three times outside the domain, or the content usage device outside the domain can be used up to two (two terminal IDs) ,
  • the use of content outside the domain is limited to one, the use outside the domain is possible until April 1, the use outside the domain is possible for two weeks, the use of the content outside the domain is four May 6 force is also available, one domain ID outside the domain
  • It is possible to set out-of-domain usage conditions such as limiting or up to two types of content and up to two licenses (encryption keys).
  • the secure device includes a history recording unit that records a usage history of the content based on the out-of-domain usage condition in the content usage device outside the domain, and the second determination unit includes Alternatively, it may be determined whether or not the out-of-domain use history does not exceed the usable range indicated in the use condition.
  • the second determination means easily compares the usage history outside the domain (hereinafter, the usage history outside the domain) with the usable range indicated in the usage outside the domain, thereby making it easier for the half-U. Can be specified.
  • the second storage unit and the second determination unit may be configured to be provided in the secure device.
  • the secure device itself determines whether or not the content can be used, and records the out-of-domain usage history in the secure device. Therefore, the content using device can be used even if it has a substantially conventional configuration. Also, since secure devices such as IC cards are tamper-resistant at the hardware level, the security level can be further improved. Furthermore, by exchanging the IC card with a new IC card, it is possible to update security including the conditions outside the domain.
  • the second storage means and the second determination means may be configured to be provided in the content use device.
  • the secure device since the content use device itself determines whether or not the content can be used and records the out-of-domain use history, the secure device can be used even if it has an almost conventional configuration.
  • the secure device may further include an erasing means for erasing the out-of-domain usage history at a predetermined time.
  • the erasing means performs the out-of-domain use You may try to delete your history.
  • the erasing means may erase the out-of-domain use history when the secure device is inserted into a secure device slot of a specific content using device in a specific domain. .
  • the user can initialize (reset) the out-of-domain use history again, for example, when the usable range indicated in the use condition is completely used.
  • the erasing means may delete the out-of-domain usage history when receiving an erasing instruction from the content using device.
  • the content use device receives the instruction to delete the extra-domain use history from outside, and transmits the delete instruction to a secure device in the same domain inserted in the secure device slot. May be.
  • the provider that is, the content distribution apparatus controls the initialization of the use history outside the domain, so that the use of the secure device outside the domain can be finely controlled.
  • the content use terminal includes a receiving unit that receives a new extra-domain use condition from outside, and the second storage unit updates the extra-domain use condition with a new extra-domain use condition. You may do so.
  • the business entity that is, the content distribution device, dynamically controls the use of the secure device outside the domain by freely controlling the content of the use condition. be able to.
  • the receiving means may receive an out-of-domain usage condition added to the license transmitted from the content distribution server.
  • the second storage means may store a default out-of-domain usage condition.
  • the use conditions can be stored in the secure device in advance at the time of factory shipment without performing the process of setting the extra-domain use conditions ex post facto.
  • the content using apparatus further comprises: an obtaining means for obtaining the extra-domain use condition and the extra-domain use history from the secure device inserted into the secure device slot; And display means for displaying guidance on the use status of the content use device outside the domain based on the outside use history.
  • the user can grasp the usage status by displaying the guidance.
  • the display unit displays guidance for urging deletion of the out-of-domain usage history. You can do it.
  • the display means may display a help message indicating a method of deleting the extra-domain use history as the guidance.
  • the display means displays that fact as the guidance. .
  • the content using apparatus further comprises: an obtaining means for obtaining the out-of-domain usage condition and the out-of-domain usage history from the secure device card inserted into the secure device slot; and the obtained domain Display means may be provided for displaying guidance on the use status of the content use device outside the domain based on the outside use condition and the outside domain use history.
  • the secure device, the content using apparatus, the content using method, and the program of the present invention also have the same functions and effects as described above.
  • the secure device can be used in a content using device outside the domain within the range of the use condition. Therefore, it is possible to take both the protection of confidential data and the convenience of the user while considering the protection of confidential data such as contents.
  • FIG. 1 is a diagram showing an outline of a content use system according to a first embodiment of the present invention.
  • FIG. 2 is a block diagram showing an overall configuration of the present content using system.
  • FIG. 3 is a diagram showing an example of content stored in a content storage unit.
  • FIG. 4 is a diagram showing an example of license information stored in a license information storage unit.
  • FIG. 5 is a diagram showing an example of use conditions stored in an extra-domain use condition storage unit.
  • FIG. 6 is a diagram showing an example of domain information stored in a domain information storage unit.
  • FIG. 7 is a diagram showing an example of EMM data.
  • FIG. 8 is a diagram showing an example of data in a terminal ID holding unit.
  • FIG. 9 is a diagram showing an example of domain information held in a domain information holding unit.
  • FIG. 10 is a diagram showing an example of an extra-domain use condition stored in an extra-domain use condition holding unit.
  • FIG. 11 is a diagram showing an example of usage records stored in an out-of-domain usage record storage unit.
  • FIG. 12 is a flowchart showing a process of setting out-of-domain use conditions to an IC card.
  • FIG. 13 is a diagram showing a flowchart of a content reproduction process.
  • FIG. 14 is a diagram showing a flowchart of processing for erasing out-of-domain usage records.
  • FIG. 15 is a diagram showing an outline of a secure system in Embodiment 2 of the present invention.
  • FIG. 16 is a block diagram showing a configuration of a terminal device Ta and a memory card.
  • FIG. 17 is a diagram showing an example of the domain information held in the domain information holding unit.
  • FIG. 18 is a diagram illustrating another example of the domain information stored in the domain information storage unit.
  • the secure system of the present invention includes a secure device that holds secret data, and a plurality of terminal devices that use the secure device. It is configured so that the secure device can be used by terminal devices outside the domain, although the user can only use the terminal devices within the domain.
  • the domain is a set of terminal devices and secure devices that share licenses and contents.
  • FIG. 1 is a diagram showing an outline of a content using system according to Embodiment 1 of the present invention.
  • this content use system includes a broadcasting station 100, terminal devices 200a to 200c, terminal devices 200p and 200q, and IC cards 300a to 300c as secure devices, and users can connect only to terminal devices within the domain. It is configured so that content can be viewed conditionally on a terminal device outside the domain using an IC card. For example, when a user inserts an IC card 300a belonging to domain A into a terminal device 200p belonging to domain B, The terminal device 200p can reproduce the content within the use conditions outside the domain.
  • FIG. 2 is a block diagram showing the overall configuration of the content use system. As shown in the figure, the present content utilization system includes a distribution device 100, a terminal device 200, and an IC card 300.
  • the distribution device 100 corresponds to the broadcasting station 100 in Fig. 1 and is a provider called a content provider / service provider, and securely broadcasts content by server-type broadcasting using a limited reception method and a limited reproduction method. I do.
  • the distribution device 100 includes a content storage unit 101, a license information storage unit 102, an outside domain use condition storage unit 103, an outside domain use condition addition unit 104, a domain information storage unit 105, a terminal list addition unit 106, an EMM generation unit 107, A broadcast signal multiplex transmission unit 108 is provided.
  • the content storage unit 101 stores content data 3000 as shown in FIG.
  • the content ID 3001 is an ID for uniquely specifying a content in the digital content distribution system.
  • the metadata 3002 is data that describes the content of the content, and describes the title of the content, the length of the content, and the like.
  • the encrypted content 3003 is obtained by encrypting content such as music data and video data. Note that the content is not limited to music data and video data, but may be digital content such as electronic newspapers, electronic books, electronic maps, electronic dictionaries, still images, games, and software for computers.
  • the license information storage unit 102 stores a license 400 required for reproducing the content as shown in FIG. 4, and an encryption key called a work key required for decrypting the encrypted license 400.
  • the license 400 includes a use condition 401 indicating a use condition of the content for the terminal device 200 in the domain, and a content key 402 for decrypting the encrypted content corresponding to the license 400.
  • the domain ID 403 that identifies the domains that may share the license 400.
  • the usage conditions 401 the number of times that the content corresponding to the license 400 can be used (for example, “10 times”) and the period during which the content can be used (for example, “April 1, 2004 to May 2004”). 30 days ").
  • a license 400 includes a user ID and a terminal device that can uniquely identify a user, a terminal device, and an IC card, respectively, instead of including the domain ID 403 or together with the domain ID 403. It may include the device ID and IC card ID.
  • the license 400 may include the content ID 3001 in order to associate the license 400 with the content ID 3001.
  • an identifier such as a license ID for uniquely identifying the license 400 may be included in the license 400.
  • the work key is stored in association with the operator, and is periodically updated by EMM or the like.
  • the extra-domain use condition storage unit 103 accumulates a plurality of extra-domain use conditions for terminal devices outside the domain as an extra-domain use condition table 500 as shown in FIG.
  • the extra-domain use condition table 500 stores a user ID 501 and an extra-domain use condition 502 in association with each other.
  • the user ID 501 is an ID for uniquely identifying a user in the content distribution system.
  • the user ID 501 is assigned when a member registration process is performed with a business operator to receive content distribution services. This member registration process may be performed by the user communicating with the business operator on the network, or may be performed by another method such as sending a member registration document. In the member registration process, first, a user ID 501 is assigned to a business operator user.
  • the terminal ID of the terminal device 200 owned by the user is notified to the business operator through a network or a document.
  • the notified terminal ID and user ID 501 are managed in association with each other.
  • the assignment of the IC car KID and the domain ID is performed at any time after the member registration.
  • the out-of-domain usage condition 502 defines the conditions for using the IC card 300 in a terminal device outside the domain, the number of times of content reproduction, the number of available content use devices outside the domain, the number of available domains, and the expiration date.
  • the validity period, validity period, maximum usage time, terminal ID number, domain ID number, content number, license (content key) number, etc. are defined as extra-domain usage conditions.
  • the out-of-domain use condition 502 of “allow up to three terminal IDs of available terminal devices” is given to the user specified by the user ID “USER-ID-0001”.
  • the user specified by the user ID “USER-ID-0002” is given “allow up to three (times)” and “out-of-domain usage conditions”.
  • “Invalid after 1 month from first use” that is, the first use on a certain terminal and the power is also out of the domain and valid for 1 month, outside the domain Terms of use 502 are given.
  • Users within the use range indicated in this extra-domain use condition Will be able to use the content on terminal devices outside the domain of the IC card it owns.
  • the extra-domain use conditions may include a plurality of conditions. In that case
  • the extra-domain use condition adding unit 104 adds an extra-domain use condition 502 to an EMM (Entitlement Management Message) generated by the EMM generation unit 107.
  • EMM Entitlement Management Message
  • the EMM is a message that includes individual contract information with the user and a work key for decrypting the content key, and is also called individual information in contrast to common information (ECM: Entitlement Control Message).
  • ECM Entitlement Control Message
  • the ECM is a message that contains information common to all users, such as program information and licenses (content keys). Since the EMM is transmitted to each user, the extra-domain use condition adding unit 104 in this embodiment adds the extra-domain use condition 502 to the EMM.
  • the extra-domain use condition adding unit 104 may add the extra-domain use condition 502 to another message or a dedicated message instead of adding the extra-domain use condition 502 to the EMM.
  • the domain information storage unit 105 is a database having a domain information table for associating a user with a terminal device and an IC card belonging to the domain in order to manage the domain.
  • a user ID 602, a terminal list 603, and an IC card list 604 are included.
  • the domain ID 601 is an identifier for uniquely specifying a domain.
  • the user ID 602 is an identifier of a user who uses the domain.
  • the terminal list 603 is a list of terminal device IDs indicating the terminal devices 200 belonging to the domain.
  • the IC card list 604 is a list of IC card IDs for specifying the IC cards 300 belonging to the domain.
  • the IC card list 604 is a list of IC card IDs for specifying IC cards belonging to the domain. Registration of the terminal device 200 and the IC card 300 in the domain information table is performed at any time after the member registration.
  • the domain information table may include the name or nickname of the domain for each domain ID.
  • the domain may be defined by the terminal device ID and the IC card ID (hereinafter referred to as a logical domain), or may be defined by the location of the terminal device (hereinafter referred to as the physical domain). Domain). Domain shown in Figure 6
  • the information table is an example of a logical domain.
  • the terminal list addition unit 106 adds the domain information stored in the domain information storage unit 105 to the EMM generated by the EMM generation unit 107 and transmitted to the user terminal device. As a result, the terminal device 200 and the IC card 300 that have received the EMM can manage the domain.
  • EMM generation section 107 generates the above EMM.
  • the out-of-domain usage condition adding unit 104 adds the out-of-domain usage condition 502 to the generated EMM, and the terminal list adding unit 106 adds the domain information.
  • Figure 7 shows an example of the EMM.
  • the EMM 700 has a header section 701, an EMM main body 702, and a CRC 704, and is data in a private section format of MPEG-2 Syst ems (IEC / IS013818-1).
  • the EMM body 702 includes individual information such as a work key for decrypting the content key 402 and private data.
  • the use condition 703 is added as private data in the EMM body 702 by the extra-domain use condition adding unit 104.
  • a terminal list is added as private data to the EMM body 702 by the terminal list adding unit 106.
  • EMM 700 is encrypted with a master key unique to IC card 300.
  • the broadcast signal multiplex transmission unit 108 multiplexes the EMM 700 generated by the EMM generation unit 107 with the content to be distributed from the content storage unit 101 and broadcasts the multiplexed content.
  • the broadcast data is transmitted in a format such as an MPEG-2 transport stream (TS).
  • TS MPEG-2 transport stream
  • the multiplexed broadcast data also includes various data in a section format such as ECM, etc. A description of data that is not closely related to the present invention will be omitted.
  • the terminal device 200 includes a broadcast signal reception separation unit 201, a content storage unit 202, a reproduction unit 203, an EMM acquisition unit 204, a terminal ID reading unit 205, a terminal ID holding unit 206, a non-domain use condition extraction unit 207, It includes one transmitting / receiving section 208 and a control section 209.
  • Broadcast signal reception separation section 201 receives broadcast data transmitted from distribution apparatus 100, and receives EMM 700 including received data content, out-of-domain usage condition 502, Separate from section data such as other PSlZ SI (Program Specific Information / Service Information).
  • PSlZ SI Program Specific Information / Service Information
  • Content storage section 202 stores the content separated by broadcast signal reception separation section 201 as a partial TS.
  • server type broadcasting Typell (file type) content time-stamped TS and JPEG are stored.
  • the reproduction unit 203 decodes and reproduces the content stored in the content storage unit 202. Since the content stored in the content storage unit 202 is encrypted, the reproducing unit 203 decrypts (decrements) the content using the content key and a work key for decrypting the content key. And expands (decodes) a compression code conforming to MPEG-2 or the like. Therefore, the reproducing unit 203 acquires the content key from the ECM. The work key is also supplied to the reproducing unit 203 via the first transmitting / receiving unit 208 with the IC card 300.
  • the playback unit 203 decrypts the content using the content key and the work key.
  • the ECMZEMM decryption unit for decrypting the ECM and EMM in the IC card 300 has been described.
  • the ECM and EMM may be decoded by the ECMZEMM decoding unit.
  • the work key is obtained by decrypting the EMM by the ECMZEMM decryption unit, and the work key is stored inside the IC card.
  • the reproduction unit 203 transmits the ECM multiplexed to the content to the IC card 300, and the ECMZEMM decryption unit obtains the content key by decrypting the ECM using the work key. .
  • the content key thus obtained is transmitted to the terminal device 200, and the reproducing unit 203 decrypts the encrypted content using the content key.
  • EMM obtaining section 204 obtains EMM 700 separated by broadcast signal reception separating section 201, and outputs EMM main body 702 to extra-domain use condition extracting section 207.
  • the terminal ID reading unit 205 reads the terminal ID of the terminal device 200 held in the terminal ID holding unit 206 and outputs the read terminal ID to the IC card 300 via the first transmitting / receiving unit 208.
  • the terminal ID holding unit 206 holds the terminal m information of the terminal device 200.
  • FIG. 8 shows an example of the terminal information held by the terminal ID holding unit 206.
  • the terminal I blue information 800 includes a terminal ID 801 for specifying the terminal device 200, a user ID 802 for specifying the user of the terminal device 200, and a domain ID 803 for specifying the domain to which the terminal device 200 belongs.
  • the extra-domain use condition extraction unit 207 outputs the extra-domain use condition from the EMM body 702 acquired by the EMM acquisition unit 204. 502 and the terminal list 603 are taken out and held inside, and the EMM body 702 is transmitted to the IC card 300 via the first transmission / reception unit 208.
  • the first transmission / reception unit 208 is an interface for communicating with the IC card 300 inserted into the IC card slot.
  • the control unit 209 performs control for receiving the supply of the encryption key from the IC card 300 in the domain and control for receiving the supply of the encryption key from the IC card 300 outside the domain.
  • An encryption key is supplied from the IC card 300 outside the domain in accordance with the outside domain use condition 502.
  • the IC card 300 includes a second transmitting / receiving unit 301, a domain information holding unit 302, a terminal ID obtaining unit 303, a domain information processing unit 304, an outside domain use condition holding unit 305, and an outside domain use condition acquisition.
  • the second transmission / reception unit 301 is an interface for communicating with the terminal device 200 when the IC card 300 is inserted into the IC card slot of the terminal device 200.
  • the domain information holding unit 302 holds domain information indicating the terminal devices 200 belonging to the domain of the IC card 300.
  • This domain information includes the terminal ID list, and may or may not include the IC card ID list.
  • FIG. 9 shows an example of the domain information held in the domain information holding unit 302.
  • the domain information 900 indicates a domain ID 901 that specifies the domain to which the IC card 300 belongs, a user ID 902 that specifies the user of the IC card 300, and the terminal device 200 that belongs to the domain specified by the domain ID 901.
  • the terminal list 903 is included.
  • the maximum value of the number of registered terminal ID lists and IC card ID lists, the period, and the size may be managed. At this time, if the maximum value is reached, it is recommended to delete the oldest one or the one that is used less frequently and overwrite it.
  • Terminal ID obtaining section 303 obtains terminal ID 801 of terminal device 200 in which IC card 300 is inserted.
  • the domain information processing unit 304 determines whether or not the terminal ID 801 acquired by the terminal ID acquiring unit 303 is included in the terminal list 903 held in the domain information holding unit 302. That is, the domain information processing unit 304 determines whether the terminal device 200 on which the IC card 300 is mounted is a terminal device 200 in the domain or a terminal device 200 outside the power domain.
  • the extra-domain use condition holding unit 305 holds the extra-domain use condition 502 acquired from the terminal device 200 via the second transmitting / receiving unit 301 and the extra-domain use condition acquisition unit 306.
  • FIG. 10 shows an example of the extra-domain use condition 502 stored in the extra-domain use condition holding unit 305.
  • the out-of-domain usage condition 1000 holds a condition of “permitted up to three times” as the content available range in the terminal device 200 outside the domain. In this case, the user of the present IC card can use the content up to three times in the terminal device 200 outside the domain.
  • the extra-domain use condition acquisition unit 306 acquires a work key, a terminal list, and an extra-domain use condition 502 from the EMM main body 702 acquired from the terminal device 200 via the second transmission / reception unit 301, and outputs the work key,
  • the terminal list is stored internally, and stored in the out-of-domain usage condition storage unit 305.
  • the out-of-domain usage record storage unit 307 stores the usage record as an out-of-domain usage history.
  • FIG. 11 shows an example of the usage record.
  • the usage record 1100 includes a usage date and time 1101, a terminal ID 1102 for identifying the terminal device 200 outside the domain using the IC card 300, a domain ID 1103 for identifying the domain, and a license for identifying the license used.
  • the license ID includes a license ID 1104, a usage time 1105 indicating an actually used time, and the like.
  • the out-of-domain usage record updating unit 308 deletes and adds a usage record (out-of-domain usage history) to the out-of-domain usage record storage unit 307. Specifically, the out-of-domain usage record update unit 308, upon receiving an erasure instruction from the terminal device 200, deletes all usage records stored in the out-of-domain usage record storage unit 307 after transmitting it to the terminal device 200. I do. The reason for deleting the usage record is to enable the user to use the IC card 300 again outside the domain within the range of the usage conditions outside the domain.
  • the out-of-domain usage record update unit 30 8 updates the use record by recording the use record of the content based on the extra-domain use condition 502 in the terminal device 200 outside the domain in the extra-domain use record storage unit 307.
  • This usage record is, for example, one entry of the usage record shown in FIG. Note that, here, when an erasure instruction is received from the terminal device 200, the usage record stored in the extra-domain usage record storage unit 307 is transmitted to the terminal device 200 without necessarily transmitting it.
  • the out-of-domain use availability determination unit 309 determines that the terminal device is the IC card 300 Is determined as the available power. This determination is based on whether or not the usage record stored in the extra-domain usage record storage unit 307 does not exceed the usable range indicated in the extra-domain usage condition. Further, if the out-of-domain use availability determination unit 309 determines that the out-of-domain use is possible, the out-of-domain use condition obtaining unit 306 notifies the terminal device 200 of the installation destination via the second transmission / reception unit 301 of that fact. To supply the work key to the terminal device 200. By receiving the supply of the work key, the terminal device 200 outside the domain can reproduce the content.
  • FIG. 12 is a flowchart showing a process of setting out-of-domain use conditions in the IC card 300 in the present content use system.
  • the EMM generation unit 107 in the distribution device 100 generates an EMM 700 (S101).
  • the extra-domain use condition adding unit 104 reads out the extra-domain use condition 502 corresponding to the user who is the target of the EMM 700 from the extra-domain use condition storage unit 103, and adds it to the generated EMM 700 (S102).
  • the broadcast signal multiplexing unit 108 multiplexes the EMM 700 to which the out-of-domain use condition 502 has been added together with the content, and transmits the multiplexed broadcast data to the terminal device 200 (S103).
  • the broadcast signal reception separation unit 201 receives the broadcast data and separates the EMM body 702 (S201).
  • the separated EMM body 702 is further transmitted to the IC card 300 by the EMM acquisition unit 204 via the extra-domain use condition extraction unit 207 and the first transmission / reception unit 208 (S202).
  • the second transmitting / receiving unit 301 receives the EMM body 702, and outputs the EMM body 702 to the out-of-domain use condition obtaining unit 306 (S303).
  • the extra-domain usage condition acquisition unit 306 extracts the work key from the EMM main body 702 and holds it inside, and also extracts the extra-domain usage condition 502 and stores it in the extra-domain usage condition holding unit 305 (S304). .
  • the information is set in the IC card 300 via the terminal apparatus 200.
  • FIG. 13 is a flowchart showing a content reproduction process when a user performs a reproduction start operation in terminal device 200 into which IC card 300 has been inserted.
  • the terminal ID reading unit 205 stores the terminal ID 801 held by the terminal device 200 read from the terminal ID holding unit 206 through the first transmitting / receiving unit 208 into the IC card 300. (S210).
  • the reproduction unit 203 decrypts the content key using the work key and decrypts the content key.
  • the content is decrypted using the content key, and the plaintext content is reproduced (S212).
  • terminal ID acquiring section 303 receives terminal ID 801 via second transmitting / receiving section 301 (S310).
  • the domain information processing unit 304 determines whether or not the terminal ID 801 obtained by the terminal ID obtaining unit 303 is included in the terminal list 903 held by the domain information holding unit 302, thereby mounting the IC card 300. It is determined whether the terminal device 200 is a terminal device 200 within the domain or a terminal device 200 outside the domain (S311). If the domain information processing unit 304 determines that the terminal device 200 is within the domain, the extra-domain use condition acquisition unit 306 supplies the held work key to the terminal device 200 via the second transmission / reception unit 301. (S312).
  • the outside domain use availability determination unit 309 reads the outside domain use condition 502 from the outside domain use condition holding unit 305 (S313). ), Reads out-of-domain usage history (usage record 1100) from out-of-domain usage record storage unit 307 (S314), and reads out IC card 300 in terminal device 200 concerned. The availability is determined (S315). If it is determined that the card cannot be used, the IC card 300 ends this processing. If it is determined that the work key can be used, the extra-domain use condition acquisition unit 306 supplies the held work key to the terminal device 200 via the second transmission / reception unit 301 (S316).
  • the extra-domain usage record updating unit 308 updates the usage record of the extra-domain usage record storage unit 307 (S317).
  • the out-of-domain usage record update unit 308 obtains a playback time, a content ID, a license ID, and the like from the terminal device 200 for the content whose playback operation has been completed in the terminal device 200, and stores the usage record 1100. Generate.
  • the out-of-domain usage record update unit 308 transmits the updated usage record and the out-of-domain usage condition 502 to the terminal device 200 via the second transmitting / receiving unit 301, and sends the usage record to the terminal device 200 to the user.
  • the display is instructed (S318).
  • terminal device 200 may display guidance on the usage status of terminal device 200 outside the domain based on the transmitted out-of-contents usage condition and the use record transmitted.
  • FIG. 14 is a flowchart showing the usage record erasing process in the terminal device 200 and the IC card 300.
  • the first transmitting / receiving unit 208 determines whether or not the IC card 300 has been newly inserted into the IC card slot (S220). If it is determined that the terminal ID is newly inserted, the first transmitting / receiving unit 208 transmits the terminal ID 801 read from the terminal ID holding unit 206 by the terminal ID reading unit 205, and the IC transmitted from the IC card 300. The card ID is received (S221).
  • the control section 209 sends the first transmitting / receiving section An instruction to delete the usage record 1100 is transmitted to the IC card 300 via 208 (S223). Further, the control unit 209 displays guidance on the usage status of the terminal device 200 outside the domain based on the usage record 1100 (S224).
  • second transmitting / receiving section 301 determines whether or not the force of newly inserting IC card 300 into the IC card slot (S320). Determined to be newly inserted
  • the second transmission / reception unit 301 transmits the IC card ID to the terminal device 200 and receives the terminal ID 801 transmitted from the terminal device 200 (S321).
  • the domain information processing unit 304 compares the terminal ID 801 received via the second transmission / reception unit 301 and the terminal ID acquisition unit 303 with the terminal list 903 held in the domain information holding unit 302, and It is determined whether the terminal device 200 to which the card 300 is attached is a terminal device 200 within the domain or a terminal device 200 outside the domain (S322).
  • the IC card 300 ends this erasing process. If it is determined that the data is within the domain, the out-of-domain usage record update unit 308 reads the usage record from the out-of-domain usage record storage unit 307 (S323), and transmits it to the terminal device 200 via the second transmission / reception unit 301. (S324). Further, when the second transmission / reception unit 301 receives an erasure instruction from the terminal device 200 (S325), the extra-domain usage record updating unit 308 erases the usage record 1100 in the extra-domain usage record storage unit 307 (S326). .
  • the user can use IC card 300 even with terminal device 200 outside the domain within the range of usage conditions outside the domain. Therefore, user convenience can be improved.
  • the use of the IC card 300 outside the domain is not unlimited but is limited by the use condition 502 outside the domain, it is possible to protect the right of the provider of the content.
  • the user can use the IC card 300 with the terminal device 200 within the domain in principle, and exceptionally, the user can use the terminal outside the domain. It is possible to use the IC card 300 with the terminal device 200.
  • the extra-domain usage record updating unit 308 and the extra-domain usage permission / non-permission determining unit 309 are provided in the terminal device 200 with any of the powers provided in the IC card 300. It may be configured. In the former case, the present invention can be applied to the existing terminal device 200 with a small amount of change, and in the latter case, the present invention can be applied to the existing IC card 300 with a small amount of change. Can be. Further, the configuration may be such that both the terminal device 200 and the IC card 300 are provided.
  • the out-of-domain use condition is set in the IC card 300 using the digital broadcast EMM.
  • the digital broadcast ECM Kc ECM for transmission, ECM—Kw, ECM-Kc), ACI (Account Control Information), EMM for Kc transmission, EMM for group, etc. It may be set via communication such as. Further, the setting is not limited to the IC card 300 but may be set to the terminal device 200.
  • the use record is deleted even when the IC card 300 is inserted into the IC card slot of any terminal device 200 in the same domain, but the specific terminal device in the same domain is deleted. It may be configured to erase only when inserted into 200 IC card slots. In this case, the transmission of the erasure instruction in step S223 in FIG. 14 is performed only by the specific terminal device 200 using the terminal ID 801 and the IC card ID, and the other terminal devices 200 are not transmitted.
  • the specific terminal device 200 of the specific domain may transmit an erasure instruction to the IC card regardless of whether the terminal is inside or outside the domain.
  • the ability to delete the extra-domain usage history when the IC card 300 is inserted into the IC card slot of the terminal device 200 is not limited to this.
  • the usage history outside the domain may be deleted when the content or license is used on the card 300! At this time, the content and the license may be limited to the specific content and the specific license.
  • the out-of-domain usage record update unit 308 may delete the usage record 1100 without a deletion instruction from the terminal device 200.
  • the content may be deleted periodically, such as once a month, or may be deleted every time the terminal device 200 in the domain uses N times (for example, 10 times).
  • the frequency of erasure may be determined according to the extent of the extra-domain usage condition 502.
  • the frequency of deletion in this case may be specified in the extra-domain usage conditions 502.
  • the distribution apparatus 100 may issue an erasure instruction via communication or broadcasting.
  • the use history outside the domain may be deleted only when the IC card 300 is inserted into the terminal device 200 in the domain.
  • the extra-domain usage condition 502 is set to the default value set in the IC card 300 from the distribution device 100 via the terminal device 200 to the extra-domain usage condition holding unit 305. May be set at the time of shipment, or may be generated internally by a specific method. Ii) The terms of use outside the domain may be retained. You may receive the setting of out-of-domain usage conditions held in ⁇
  • terminal device 200 may display the following guidance.
  • At least one output mode of the light emitting unit and the audio output unit provided in the terminal device 200 is changed as guidance in accordance with the use situation.
  • (j) Guidance indicating the status of the IC card for example, the storage capacity in the IC card, its free space, the set profile (user ID, domain, IC card ID, etc.) Number of licenses (number of content keys or work keys), free space to hold content, etc.)
  • the message display in the above (a) to (k) may be performed based on a user operation. Further, a domain ID or a domain name to which the terminal device 200 or the IC card 300 belongs may be displayed. Further, a list of the terminal devices 200 or the IC cards 300 belonging to a certain domain may be displayed. These display timings are determined when the terminal device 200 is activated, when the IC card 300 is inserted and removed, when the terminal device 200 or the IC card 300 is registered in the domain, when the terminal device 200 or the IC card 300 is deleted from the domain, and when the terminal device 200 and the IC card 300 belong to the domain. If there is a difference, it is possible.
  • a message prompting registration of the terminal device 200 or the IC card 300 to the domain Z deletion may be displayed.
  • step S224 If the erasure instruction is not transmitted in step S222 of FIG. 14, the guidance display of the above (a) to (k) may be performed in step S224!
  • the terminal device 200 or the IC card 300 may have a storage unit for storing a plurality of messages for each of the above guidances in advance, or may be dynamically transmitted from the broadcasting station 101 via digital broadcasting or communication. May be updated. Alternatively, it can be updated by user settings May be
  • the IC card 300 may supply a content key.
  • the terminal device 200 and the IC card 300 may be used as a means for confirming whether or not the terminal device 200 can be used.
  • the affiliation to the domain may be managed by the expiration date.
  • the control in which the control based on the out-of-domain use condition 502 is applied is excluded from the control target.
  • a certain terminal device 200, an IC card 300, or a group including a plurality of terminal devices 200 or IC cards 300 may be provided.
  • a license acquired in a domain and a license acquired outside a domain may be distinguished. Further, the terminal device 200 or the IC card 300 may suppress the acquisition of the license outside the domain.
  • the license here refers to a data structure including at least content usage conditions and a content key.
  • the extra-domain use condition holding unit 305 may hold a plurality of extra-domain use conditions 502, and in this case, the extra-domain use permission / non-permission determining unit 309 may select one according to the situation. You may. For example, the out-of-domain usage condition 502 may be selected for each domain or each content. Also, the out-of-domain use availability determination unit 309 may select a plurality of out-of-domain use conditions 502 and determine them as AND and OR conditions! /.
  • the out-of-domain use availability determination unit 309 may determine the availability by interpreting the out-of-domain use conditions strictly or loosely according to the situation.
  • the interpretation of the out-of-domain usage conditions 502 at this time may be, for example, converted into a value obtained by increasing the value indicating the out-of-domain usage conditions by 50% or discounting the value.
  • the above-mentioned situation refers to the licenses, contents, and programs held by the terminal device 200 or the IC card 300, the subscribed services, the type Z function (grade) of the terminal device 200 or the IC card 300, or the user. Operation shall be included. [0126]
  • the terminal device 200 or the IC card 300 belonging to the same domain may cooperate to share and exchange out-of-domain usage conditions and out-of-domain usage history.
  • domain control denial of domain registration Z
  • domain control is performed in broadcast station 100.
  • the method of domain registration may be a method of sharing common information or a method of adding a terminal ID or an IC card ID to a terminal ID list or an IC card list.
  • (D) The number of times the IC card 300 is inserted into and removed from the terminal device 200 and the insertion period are controlled.
  • the use conditions outside the domain may be determined other than the timing of using the content, such as when the IC card 300 is inserted into the terminal device 200 or when the terminal device 200 is powered on.
  • licenses or contents held by the IC card 300 are used.
  • the binding between the terminal device 200 and the IC card 300 may be changed depending on the license or the content to be used. ,.
  • the domain control (control of an available set) between the terminal device 200 and the IC card 300 may be performed in conjunction with the domain constructed by the terminal devices 200 or the IC cards 300. good.
  • Information necessary for domain control may be obtained from another terminal device 200 or IC card 300 belonging to the home network, and Z-synchronized.
  • the information necessary for domain control may be dynamically instructed from the broadcast station 101 via digital broadcasting or communication.
  • the registration Z deletion instruction to the domain from the broadcast station 101 may be transmitted.
  • the information may be inserted into the terminal device 200 and associated with the IC card 300.
  • the registration Z can be securely deleted by SAC (Secure Authenticated Channel).
  • FIG. 15 is a diagram showing an outline of a secure system according to Embodiment 2 of the present invention.
  • the secure system includes terminal devices Ta to Tc, terminal devices Tp and Tq, and memory cards Ca to Cc as secure devices. It is configured so that a memory card can be used with the terminal device.
  • Domains C and D in the figure are physically defined domains, for example, a business establishment and a business establishment B in a company, a building A and a building B, a department A and a department B, and a school building in a school.
  • a and school building B classrooms of the first and second grades, terminals connected to network A and terminals connected to network B, and so on.
  • the terminal Ta is a personal computer! ⁇ , A mobile device (mobile phone, PDA, etc.). It reads and writes confidential data securely on a memory card.
  • the content-using terminal described in the first embodiment a set-top box for receiving digital broadcasts using a security module (IC card), a digital TV, a DVD recorder, a hard disk recorder, a personal computer, etc. Content reproducing device, recording device). The same applies to other terminals Tb and the like.
  • the memory card Ca is a type of secure device that securely stores confidential data.
  • a memory card with a security protection function such as an SD card and a memory stick
  • a memory card with an IC card function such as a smartSD card and a MOPASS (MObile PASS port) card.
  • the confidential data is not limited to the encryption key of the content, but may be a confidential document, encrypted content (moving image, audio, still image, etc.).
  • FIG. 16 is a block diagram showing a configuration of the terminal device Ta and the memory card.
  • the terminal device Ta in the figure is different from the terminal device 200 in FIG. 2 in that the broadcast signal reception separation unit 201, the content storage unit 202, the reproduction unit 203, and the EMM acquisition unit 204 are deleted.
  • the point that the section 210 is added, the point that a reading section 205a is provided instead of the terminal ID reading section 205, and the point that the outside domain usage condition storage section 207a is provided instead of the outside domain usage condition extracting section 207 are provided.
  • the memory card Ca in FIG. 2 has almost the same configuration as the IC card 300 in FIG. 2, but differs in the domain definition information held in the domain information holding unit 302.
  • the same points will not be described, and different points will be mainly described.
  • GPS section 210 detects the position of the terminal device from a GPS (Global Positioning System) system.
  • the detected position is represented by latitude, longitude, altitude, and the like.
  • the reading unit 205a adds the function of the terminal ID reading unit 205 to the information indicating the position detected by the GPS unit 210, together with the terminal ID, via the first transmitting / receiving unit 208, and stores the memory capacity. Output to mode Ca.
  • the extra-domain use condition storage unit 207a holds extra-domain use conditions.
  • the use conditions outside the domain are the same as in the first embodiment.
  • the domain information holding unit 302 holds domain information indicating a physically defined domain.
  • FIG. 17 is a diagram showing an example of domain information held in the domain information holding unit 302.
  • the domain information in FIG. 9 has a set of location information as domain definition data instead of a terminal list.
  • a terminal device existing in a range surrounded by a set of location information is determined to be in a domain.
  • the location information includes height, the domain is defined as a three-dimensional range.
  • a domain may be defined by a combination of location information and a radius.
  • FIG. 18 is a diagram showing another example of the domain information held in the domain information holding unit 302.
  • the domain definition data shown in the figure includes a network ID.
  • the terminal device that is connected to the network specified by the network ID is determined to be within the domain.
  • the user records company confidential documents (confidential data) on a memory card (secure device) on the company premises (domain) and uses a security-certified PC (terminal device Ta) certified by the company.
  • Use confidential documents Whether it is within the company premises or not is determined based on the position detected by the GPS unit 210 as being within the domain or outside the domain.
  • confidential documents can be freely used if it is inside the company premises, but if it is not inside the company premises, the time limit recorded on the memory card Ca (External domain usage conditions) restrict access to confidential documents, but they can be used exceptionally.
  • the memory card When the out-of-domain usage conditions have been used up, the memory card is inserted into the terminal Ta at the company premises, and when it is confirmed that the in-domain usage is within the domain, the out-of-domain usage conditions are reset. Again, it can be used outside the domain.
  • the physical domain definition includes, for example, a range registered in advance by using GPS, a range in which radio waves such as wireless LAN and RFID (wireless tag) can be received, and a connection to a specific network. It may be a terminal device that can be confirmed, a specific terminal, or a range where noise or light can reach.
  • the logical domain definition may be other than the terminal device IDZ secure device ID list.
  • the logical domain definition may be defined by a domain key, a domain, a region code, the number of times of secure device insertion / removal Z time, or the like. They may also be kept secret.
  • the domain information holding unit 302 may be provided not only in the IC card Ca but also in the terminal device Ta, or may be provided only in the terminal device Ta.
  • the terminal device Ta or the like is the broadcast signal shown in the terminal device 200 in FIG.
  • a configuration may be provided in which a reception separation unit 201 and a content storage unit 202 are provided and content and the like are externally received and stored.
  • the terminal device Ta or the like does not necessarily need to have the terminal ID reading unit 205 that does not need to hold the terminal ID, and does not need to transmit the terminal ID to the memory card Ca or the like. Good.
  • the present invention is suitable for a secure system including a terminal device and a secure device.
  • a content usage system a secure device, a content usage device, a method, and a method using a secure device that supplies an encryption key enabling content usage to a content usage device belonging to a domain including content usage devices sharing a secure device.
  • It is suitable for programs and programs such as set-top boxes for receiving digital broadcasts using security modules (IC cards), digital TVs, DVD recorders, hard disk recorders, and personal computers. It is suitable for a playback device, a recording device, or a composite device thereof.

Abstract

　ＩＣカード３００は、ＩＣカード３００を共用する端末装置か２００らなるドメインに属する端末装置２００に、コンテンツ利用を可能にする暗号鍵を供給し、ＩＣカード３００は、ドメイン外の端末装置２００に対するＩＣカード３００の利用条件を記憶するドメイン外利用条件保持部３０５と、ＩＣカード３００が端末装置２００に装着されたとき、利用条件に従ってＩＣカード３００の利用可否を判定するドメイン外利用可否判定部３０９とを備え、ＩＣカード３００は、さらに、ドメイン外利用可否判定部３０９によって利用可と判定されたとき、ドメイン外の端末装置２００に暗号鍵を供給する。                                                                                 

Description

明 細 書
セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム 技術分野
[0001] 本発明は、端末装置とセキュアデバイスとを含むセキュアシステムであって、例えば 、複数のコンテンツ利用装置および ICカードからなるコンテンツまたはライセンスを共 有可能な範囲であるドメイン内外でのコンテンツの利用制御をおこなうコンテンツ利 用システム、 ICカード、コンテンツ利用装置、方法およびプログラムに関する。
背景技術
[0002] 現行のデジタル放送において、有料放送を契約した会員だけにコンテンツを提供 するため、ハードウェア的に耐タンパイ匕されたセキュリティ 'モジュール (例えば IC力 ード）を用いて、コンテンツの利用を制御するコンテンツ利用システムがある。このよう なシステムでは、 ICカードは、暗号ィ匕コンテンツを復号するために必要な暗号鍵をセ キュアに格納し、限定された 1台のコンテンッ利用装置においてコンテンッの復号を 可能にする「ペアリング」とよばれる技術がしばしば用いられる。しかし、このようなコン テンッ利用システムにおいては、会員が複数台のコンテンッ利用装置を所有して!/ヽ る場合に、特定の 1台でし力 ICカードが使用できないので、不便である。これは、例 えば、コンテンツをいつたんハードディスク等に蓄積して、会員が所望する時間に視 聴する放送形態 (サーバ型放送と呼ぶ。 )においても、特定の 1台のコンテンツ利用 装置でしか ICカードが使用できないと不便である。なお、サーバ型放送規格につい て ίま、 ARIB (Association of Radio Industries and Businessesノにより発行 されている STD— B25などが詳しい。
[0003] また、 日本における現行 BSZCSZ地上デジタル放送では、 ICカードとコンテンツ 利用装置はペアリングされておらず、 ICカードはどのコンテンツ利用装置であっても 利用可能である。しかし、多様なサービスを提供可能なサーバ型放送などにおいて は、 ICカードが利用可能なコンテンツ利用装置を限定したい、というニーズは大きい と考えられる。
[0004] このような背景から、複数台のコンテンツ利用装置で ICカードを共用するコンテンツ 利用システムが提案されている。例えば、特許文献 1に開示されたコンテンツ利用シ ステムでは、 ICカードを共用する複数のコンテンツ利用装置と複数の ICカードとから なるグループ（以降、ドメインと呼ぶ。）には共通の識別子が割り当てられ、コンテンツ 利用装置は同じ識別子が割り当てられた ICカードを利用することができる。
特許文献 1：特表 2001— 518255号公報
発明の開示
発明が解決しょうとする課題
[0005] し力しながら、上記従来技術によれば、 ICカードをドメイン外のコンテンツ利用装置 で使用することができないので、ユーザの利便性が悪い場合が発生しうる。例えば、 ユーザが友人宅に ICカードを持って行った場合に、友人宅のコンテンツ利用装置で は、その ICカードを一時的にでも一切使用するということができないので、極めて利 便性が悪くなつてしまう。
[0006] つまり、 ICカードは、その ICカードと同じドメイン以外に属するコンテンツ利用装置 に挿入しても、そのコンテンツ利用装置でコンテンツを再生することができない。
[0007] 上記課題に鑑み、本発明は、コンテンツなどの秘匿データの保護を考慮しつつ、ド メイン外のコンテンツ利用装置においてもセキュアデバイスを利用可能にすることで、 秘匿データの保護とユーザ利便性の両者のバランスをとるセキュアシステム、セキュ アデバイス、コンテンツ利用装置、方法およびプログラムを提供することを目的とする
課題を解決するための手段
[0008] 上記目的を達成するため、本発明のセキュアシステムは、秘匿データを保持するセ キュアデバイスと、セキュアデバイスを接続する端末装置とを含むセキュアシステムで あって、セキュアデバイスおよび端末装置の何れかに備えられ、セキュアデバイスお よび端末装置のドメインを定義するドメイン情報とを記憶する第 1記憶手段と、セキュ アデバイスおよび端末装置の何れかに備えられ、ドメイン外におけるセキュアデバイ スの利用条件であるドメイン外利用条件を記憶する第 2記憶手段と、セキュアデバイ スおよび端末装置の何れかに備えられ、前記ドメイン情報に従ってセキュアデバイス または端末装置が現在ドメイン内であるかドメイン外であるかを判定する第 1判定手 段と、セキュアデバイスおよび端末装置の何れかに備えられ、第 1判定手段によって ドメイン外であると判定されたとき、前記ドメイン外利用条件に従ってセキュアカードの 利用可否を判定する第 2判定手段と、セキュアデバイスおよび端末装置の何れかに 備えられ、第 1判定手段によってドメイン内と判定された場合、および、第 2判定手段 によって利用可能と判定された場合に、端末装置によるセキュアデバイスの利用を可 能にする制御手段とを備える。
[0009] この構成によれば、ドメイン外でのセキュアデバイスの利用条件を示すドメイン外利 用条件の範囲内でセキュアデバイスをドメイン外のコンテンッ利用装置でも使用する ことができるので、ユーザの利便性を向上させることができる。し力も、ドメイン外での セキュアデバイスの使用は無制限ではなぐドメイン外利用条件によって限定される ので、コンテンツなどの秘匿データの保護を図ることができる。
[0010] ここで、前記第 1記憶手段はセキュアデバイスに備えられ、前記第 1判定手段は、端 末装置に備えられ、当該端末装置が現在ドメイン内であるかドメイン外であるかを判 定し、前記制御手段はセキュアデバイスに備えられるようにしてもょ 、。
[0011] ここで、前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置 であり、前記秘匿データは前記コンテンツを復号するための暗号鍵であり、前記制御 手段は、セキュアデバイスに備えられ、第 1判定手段によってドメイン内と判定された 場合、および、第 2判定手段によって利用可能と判定された場合に、セキュアデバイ スカも端末装置に前記秘匿データを供給するようにしてもょ 、。
[0012] ここで、前記ドメイン外利用条件は、ドメイン外での（a)コンテンツ再生の回数、（b) コンテンツ利用装置の台数、（c)ドメイン数、（d)有効期限、（e)利用時間、（f)端末 I D数、（g)ドメイン ID数、（h)コンテンツの数および (i)ライセンスの数、の少なくとも 1 つに関するようにしてもよい。
[0013] この構成によれば、ドメイン外利用条件として、例えば、ドメイン外では 3回までコン テンッを利用可能であるとか、ドメイン外のコンテンツ利用装置は 2台（2つの端末 ID )まで利用可能であると力、ドメイン外でのコンテンツ利用は 1つまでであると力、ドメイ ン外では 4月 1日まで使用可能であるとか、ドメイン外では 2週間使用可能であるとか 、ドメイン外では 4月 6日力も使用可能であると力、ドメイン外では 1つのドメイン IDに 限定するとか、コンテンツ 2種類まで、ライセンス（暗号鍵) 2つまで等のドメイン外利用 条件を設定することができるので、事業者の意向やコンテンツの特性に応じた利用条 件を設定することによって、事業者の権利保護とユーザの利便性を十分に調整する ことができる。
[0014] ここで前記セキュアデバイスは、ドメイン外のコンテンツ利用装置における前記ドメィ ン外利用条件に基づくコンテンツの利用履歴を示すドメイン外利用履歴を記録する 履歴記録手段を備え、前記第 2判定手段は、前記ドメイン外利用履歴が前記利用条 件に示される利用可能な範囲を超えな 、か否かを判定するようにしてもょ 、。
[0015] この構成によれば、第 2判定手段はドメイン外での利用履歴 (以下、ドメイン外利用 履歴)とドメイン外利用条件に示される利用可能な範囲とを比較することにより容易に 半 U定することができる。
[0016] ここで、第 2記憶手段および第 2判定手段は、前記セキュアデバイスに備えられる構 成としてもよい。
[0017] この構成によれば、セキュアデバイス自身が利用可否を判定し、セキュアデバイス 内にドメイン外利用履歴を記録するので、コンテンツ利用装置はほぼ従来の構成で あっても利用することができる。また、 ICカードなどのセキュアデバイスはハードウェア レベルで耐タンパ化されているので、セキュリティレベルをより向上させることができる 。さらに、 ICカードを新しい ICカードに交換することにより、ドメイン外利用条件などを 含めたセキュリティの更新が可能となる。
[0018] ここで、第 2記憶手段および第 2判定手段は、前記コンテンツ利用装置に備えられ る構成としてちよい。
[0019] この構成によれば、コンテンツ利用装置自身が利用可否を判定し、ドメイン外利用 履歴を記録するので、セキュアデバイスはほぼ従来の構成であっても利用することが できる。
[0020] ここで、前記セキュアデバイスは、さらに、所定の時期に前記ドメイン外利用履歴を 消去する消去手段を備えてもょ ヽ。
[0021] ここで、前記消去手段は、セキュアデバイスが特定のドメイン内の何れかの前記コン テンッ利用装置のセキュアデバイススロットに挿入されたとき、前記ドメイン外利用履 歴を消去するようにしてもょ ヽ。
[0022] ここで、前記消去手段は、前記セキュアデバイスが特定のドメイン内の特定のコンテ ンッ利用装置のセキュアデバイススロットに挿入されたとき、前記ドメイン外利用履歴 を消去するようにしてもよ 、。
[0023] この構成によれば、利用条件に示される利用可能な範囲を全て使用した場合など に、ユーザは再度ドメイン外利用履歴を初期化（リセット）することができる。
[0024] ここで、前記消去手段は、コンテンツ利用装置から消去指示を受信したとき、前記ド メイン外利用履歴を消去するようにしてもょ ヽ。
[0025] この構成によれば、コンテンツ利用装置においてドメイン外利用履歴を初期化する ことを帘 U御することができる。
[0026] ここで、前記コンテンツ利用装置は、外部から前記ドメイン外利用履歴の消去指示 を受信し、セキュアデバイススロットに挿入されている同一ドメイン内のセキュアデバイ スに当該消去指示を送信するようにしてもよい。
[0027] この構成によれば、例えば、事業者つまりコンテンツ配信装置がドメイン外利用履 歴の初期化を制御することにより、ドメイン外でのセキュアデバイスの利用をきめ細か く制御することができる。
[0028] ここで、前記コンテンツ利用端末は、外部から新たなドメイン外利用条件を受信する 受信手段を備え、前記第 2記憶手段は、前記ドメイン外利用条件を新たなドメイン外 利用条件に更新するようにしてもよい。
[0029] この構成によれば、例えば、事業者つまりコンテンツ配信装置が、利用条件の内容 を自由に制御することにより、ドメイン外でのセキュアデバイスの利用を動的に、きめ 細力べ制御することができる。
[0030] ここで、前記受信手段は、コンテンツ配信サーノ から送信されるライセンスに付加さ れたドメイン外利用条件を受信するようにしてもょ ヽ。
[0031] この構成によれば、ライセンス毎にコンテンツやライセンスの特性に適したドメイン外 利用条件を設定することができる。
[0032] ここで、第 2記憶手段は、デフォルトのドメイン外利用条件を記憶するようにしてもよ い。 [0033] この構成によれば、ドメイン外利用条件を事後的に設定する処理を行うことなぐェ 場出荷時に予め利用条件をセキュアデバイスに記憶させることができる。
[0034] ここで、前記コンテンツ利用装置は、さら〖こ、セキュアデバイススロットに挿入された セキュアデバイスからドメイン外利用条件およびドメイン外利用履歴を取得する取得 手段と、取得したドメイン外利用条件およびドメイン外利用履歴に基づ!ヽてドメイン外 のコンテンツ利用装置における利用状況に関するガイダンスを表示する表示手段と を備えるようにしてもよ 、。
[0035] この構成によれば、ユーザはガイダンス表示によって利用状況を把握することがで きる。
[0036] ここで、前記表示手段は、前記ドメイン外利用履歴が前記ドメイン外利用条件に示 される利用可能範囲に達して ヽるとき、前記ドメイン外利用履歴の消去を促すガイダ ンスを表示するようにしてもょ ヽ。
[0037] この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった 場合に、使 、慣れな 、ユーザでも対処することができる。
[0038] ここで、前記表示手段は、前記ドメイン外利用履歴の消去方法を示すヘルプメッセ ージを前記ガイダンスとして表示するようにしてもょ 、。
[0039] この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった 場合に、使 、慣れな 、ユーザでも消去のための具体的な行動をすることができる。
[0040] ここで、前記表示手段は、前記ドメイン外利用履歴と前記ドメイン外利用条件に示さ れる利用可能範囲との差分が一定以下のとき、その旨を前記ガイダンスとして表示す るようにしてちょい。
[0041] この構成によれば、ドメイン外のコンテンツ利用装置では使用できなる前に、ユーザ に対して警告することができる。
[0042] ここで、前記コンテンツ利用装置は、さら〖こ、セキュアデバイススロットに挿入された セキュアデバイスカゝら前記ドメイン外利用条件および前記ドメイン外利用履歴を取得 する取得手段と、取得した前記ドメイン外利用条件および前記ドメイン外利用履歴に 基づ 、てドメイン外のコンテンツ利用装置における利用状況に関するガイダンスを表 示する表示手段とを備えるようにしてもょ ヽ。 [0043] この構成によれば、ドメイン外のコンテンツ利用装置ではもはや使用できなくなった 場合に、その旨を警告するので、ユーザがセキュアデバイスの故障などと勘違いする ことを防止することができる。
[0044] また、本発明のセキュアデバイス、コンテンツ利用装置、コンテンツ利用方法、プロ グラムについても上記と同様の作用 ·効果を奏する。
発明の効果
[0045] 本発明のセキュアシステム、セキュアデバイス、コンテンツ利用装置、コンテンツ利 用方法、プログラムによれば、利用条件の範囲内でドメイン外のコンテンツ利用装置 においてもセキュアデバイスを利用可能にする。よって、コンテンツなどの秘匿データ の保護を考慮しつつ、秘匿データの保護とユーザ利便性の両者のノ ンスをとること ができる。
図面の簡単な説明
[0046] [図 1]図 1は、本発明の実施形態 1におけるコンテンツ利用システムの概要を示す図 である。
[図 2]図 2は、本コンテンツ利用システムの全体の構成を示すブロック図である。
[図 3]図 3は、コンテンツ蓄積部に蓄積されるコンテンツの一例を示す図である。
[図 4]図 4は、ライセンス情報蓄積部に蓄積されるライセンス情報例を示す図である。
[図 5]図 5は、ドメイン外利用条件蓄積部に蓄積される利用条件例を示す図である。
[図 6]図 6は、ドメイン情報蓄積部に蓄積されるドメイン情報例を示す図である。
[図 7]図 7は、 EMMのデータ例を示す図である。
[図 8]図 8は、端末 ID保持部のデータ例を示す図である。
[図 9]図 9は、ドメイン情報保持部に保持されるドメイン情報例を示す図である。
[図 10]図 10は、ドメイン外利用条件保持部に保持されるドメイン外利用条件例を示す 図である。
[図 11]図 11は、ドメイン外利用記録蓄積部に蓄積される利用記録例を示す図である
[図 12]図 12は、ドメイン外利用条件の ICカードへの設定処理についてのフローチヤ ートを示す図である。 [図 13]図 13は、コンテンツ再生処理についてのフローチャートを示す図である。
[図 14]図 14は、ドメイン外利用記録の消去処理についてのフローチャートを示す図 である。
[図 15]図 15は、本発明の実施形態 2におけるセキュアシステムの概要を示す図であ る。
[図 16]図 16は、端末装置 Taとメモリカードの構成を示すブロック図である。
圆 17]図 17は、ドメイン情報保持部に保持されるドメイン情報の例を示す図である。 圆 18]図 18は、ドメイン情報保持部に保持されるドメイン情報の他の例を示す図であ る。
符号の説明
100 配信装置
101 コンテンツ蓄積部
102 ライセンス情報蓄積部
103 ドメイン外利用条件蓄積部
104 ドメイン外利用条件付加部
105 ドメイン情報蓄積部
106 端末リスト付加部
107 EMM生成部
108 放送信号多重送信部
200 端末装置
201 放送信号受信分離部
202 rノ §Li fe p[5
203 再生部
204 EMM取得部
205 端末 ID読み出し部
206 端末 ID保持部
207 ドメイン外利用条件取り出し部
208 第 1の送受信部 300 ICカード
301 第 2の送受信部
302 ドメイン情報保持部
303 端末 ID取得部
304 ドメイン情報処理部
305 ドメイン外利用条件保持部
306 ドメイン外利用条件取得部
307 ドメイン外利用記録蓄積部
308 ドメイン外利用記録更新部
309 ドメイン外利用可否判定部
発明を実施するための最良の形態
[0048] 本発明のセキュアシステムは、秘匿データを保持するセキュアデバイスと、セキュア デバイスを利用する複数の端末装置とを含む。ユーザがドメイン内の端末装置だけ でなぐ条件付きではあるけれどもドメイン外の端末装置でもセキュアデバイスを利用 できるように構成されている。ここで、ドメインとは、ライセンスおよびコンテンツを共用 する端末装置およびセキュアデバイスの集合を 、う。ユーザがドメイン Aに属するセキ ユアデバイスをドメイン Aに属する端末装置に接続した場合は、当該端末装置は無条 件でセキュアデバイスを利用できるだけでなぐドメイン Bに属する端末装置に接続し た場合でも、当該端末装置がドメイン外利用条件の範囲内でセキュアデバイスを利 用できるように構成されている。実施の形態 1では、セキュアシステムとしてコンテンツ 利用システムを、セキュアデバイスとして ICカードを例にとって説明する。
[0049] (実施の形態 1)
図 1は、本発明の実施の形態 1におけるコンテンツ利用システムの概要を示す図で ある。同図のように、本コンテンツ利用システムは、放送局 100、端末装置 200a〜20 0c、端末装置 200p、 200q、セキュアデバイスとして ICカード 300a〜300cを含み、 ユーザがドメイン内の端末装置だけでなぐ条件付でドメイン外の端末装置で ICカー ドを使用してコンテンツを視聴できるように構成されている。例えば、ユーザがドメイン Aに属する ICカード 300aを、ドメイン Bに属する端末装置 200pに挿入した場合に、 ドメイン外利用条件の範囲内で端末装置 200pがコンテンツを再生できる。
[0050] 図 2は、コンテンツ利用システムの全体構成を示すブロック図である。同図のように、 本コンテンツ利用システムは、配信装置 100、端末装置 200、 ICカード 300を含む。
[0051] 配信装置 100は、図 1における放送局 100に相当し、コンテンツプロバイダゃサー ビスプロバイダと呼ばれる事業者であり、限定受信方式および限定再生方式によるサ ーバ型放送によりセキュアにコンテンツを放送する。この配信装置 100は、コンテンツ 蓄積部 101、ライセンス情報蓄積部 102、ドメイン外利用条件蓄積部 103、ドメイン外 利用条件付加部 104、ドメイン情報蓄積部 105、端末リスト付加部 106、 EMM生成 部 107、放送信号多重送信部 108を備える。
[0052] コンテンツ蓄積部 101は、図 3に示すようなコンテンツデータ 3000を蓄積する。図 3 に示すように、 =3ンテンッデータ 3000は、 =3ンテンッ ID3001と、メタデータ 3002と、 暗号化コンテンツ 3003とから成る。コンテンツ ID3001は、デジタルコンテンツ配信 システム内において、コンテンツを一意に特定するための IDである。メタデータ 3002 は、コンテンツの内容を説明するデータであり、コンテンツのタイトルやコンテンツの 長さ等が記述されている。暗号ィ匕コンテンツ 3003は、音楽データや映像データ等の コンテンツを暗号ィ匕したものである。なお、コンテンツは、音楽データや映像データに 限られたものではなぐ電子新聞、電子ブック、電子マップ、電子辞書、静止画、ゲー ム、コンピュータ用ソフトウェア等のデジタルコンテンツであってもよい。
[0053] ライセンス情報蓄積部 102は、図 4に示すようなコンテンツの再生に必要なライセン ス 400と、暗号化されたライセンス 400の復号に必要なワーク鍵と呼ばれる暗号鍵と を蓄積する。図 4に示すように、ライセンス 400は、ドメイン内の端末装置 200に対す るコンテンツの利用条件を示す利用条件 401と、ライセンス 400に対応する暗号化コ ンテンッの復号を行うためのコンテンツ鍵 402と、ライセンス 400を共用してよいドメイ ンを特定するドメイン ID403と、力もなる。ここで、利用条件 401の一例としては、ライ センス 400に対応するコンテンツを利用可能な回数 (例えば「10回」）や、利用可能な 期間（例えば「2004年 4月 1日〜2004年 5月 30日」）などである。なお、同図におい て、ライセンス 400は、ドメイン ID403を含む代わりに、あるいはドメイン ID403と併せ て、それぞれユーザ、端末装置、 ICカードを一意に識別可能な、ユーザ ID、端末装 置 ID、 ICカード IDを含むようにしてもよい。なお、ライセンス 400は、コンテンツ ID30 01と関連付けるため、ライセンス 400にコンテンツ ID3001を含めてもよい。ライセン ス 400にコンテンツ ID3001を含める代わりに、ライセンス 400を一意に特定するため のライセンス IDなどの識別子をライセンス 400に含めるようにしてもよい。また、ワーク 鍵は、事業者と関連付けて蓄積され、定期的に EMMなどにより更新される。
ドメイン外利用条件蓄積部 103は、図 5に示すような、ドメイン外の端末装置に対す る複数のドメイン外利用条件をドメイン外利用条件テーブル 500として蓄積する。図 5 に示すように、ドメイン外利用条件テーブル 500は、ユーザ ID501とドメイン外利用 条件 502とを対応付けて蓄積する。ユーザ ID501は、本コンテンツ配信システム内 において、ユーザを一意に特定する IDである。ユーザ ID501は、コンテンツ配信サ 一ビスを受けるために、事業者に会員登録処理をする際に割り当てられる。この会員 登録処理は、ユーザが、ネットワーク上で事業者と通信して行われてもよいし、会員 登録用書類の送付等、他の方法で行われてもよい。会員登録処理では、まず、事業 者力 ユーザに対してユーザ ID501を割り当てる。その後、ユーザが所有する端末 装置 200の端末 IDが、ネットワークもしくは書類等により事業者に対して通知される。 この通知された端末 IDとユーザ ID501とが関連付けられて管理される。また、 ICカー KID,ドメイン IDの割り当ても同様にして、会員登録後随時行われる。ドメイン外利用 条件 502は、 ICカード 300をドメイン外の端末装置で使用する条件を定め、コンテン ッ再生の回数、利用可能なドメイン外のコンテンツ利用装置の台数、利用可能なドメ イン数、有効期限、有効期間、発効時期、最大の利用時間、端末 ID数、ドメイン ID数 、コンテンツの数、ライセンス (コンテンツ鍵)の数、などをドメイン外利用条件として定 める。例えば、ユーザ ID「USER— ID— 0001」で特定されるユーザに対して「使用 可能な端末装置の端末 IDが 3つまで許可」というドメイン外利用条件 502が与えられ ている。また、ユーザ ID「USER— ID— 0002」で特定されるユーザに対して、「3つ（ 回）まで許可」と ヽぅドメイン外利用条件が与えられて ヽる。ユーザ ID ruSER-ID - 0003」で特定されるユーザに対して「初回利用から 1ヶ月経過後無効」、すなわち、 ある端末で最初に利用して力もドメイン外で 1ヶ月間は有効、というドメイン外利用条 件 502が与えられている。このドメイン外利用条件に示される利用範囲内で、ユーザ は、所有している icカードのドメイン外の端末装置でも、コンテンツを利用することが 可能になる。なお、ドメイン外利用条件は複数の条件を含んでいてもよい。その場合
、ドメイン外利用条件による利用可否は、複数の条件の AND (複数の条件を全て満 たす場合に利用可能)や OR (複数の条件のいずれかを満たす場合に利用可能）に より半 IJ定してちよい。
[0055] ドメイン外利用条件付加部 104は、 EMM生成部 107によって生成される EMM (E ntitlement Management Message)にドメイン外利用条件 502を付カ卩する。ここ で EMMは、ユーザとの個別の契約情報やコンテンツ鍵を復号するためのワーク鍵 などを含むメッセージであり、共通情報（ECM : Entitlement Control Message) と対比して個別情報とも呼ばれる。なお、 ECMは、番組情報やライセンス (コンテンツ 鍵)などの全ユーザに共通の情報を含むメッセージである。 EMMはユーザ個別に対 して送信されるので、本実施形態におけるドメイン外利用条件付加部 104は、 EMM にドメイン外利用条件 502を付加するものとしている。なお、ドメイン外利用条件付加 部 104は、 EMMにドメイン外利用条件 502を付加する代わりに他のメッセージ又は 専用のメッセージにドメイン外利用条件 502を付加するようにしてもよい。
[0056] ドメイン情報蓄積部 105は、ドメインを管理するため、ユーザとドメインに属する端末 装置及び ICカードとを関連付けるドメイン情報テーブルを有するデータベースであつ て、図 6に示すように、ドメイン ID601と、ユーザ ID602と、端末リスト 603と、 ICカード リスト 604を含む。ドメイン ID601はドメインを一意に特定する識別子である。ユーザ I D602は、ドメインを使用するユーザの識別子である。端末リスト 603は、ドメインに属 する端末装置 200を示す端末装置 IDの一覧表である。 ICカードリスト 604は、ドメイ ンに属する ICカード 300を特定する ICカード IDの一覧表である。 ICカードリスト 604 は、ドメインに属する ICカードを特定する ICカード IDのリストである。ドメイン情報テー ブルへの端末装置 200および ICカード 300の登録は、会員登録後に随時行われる 。なお、ドメイン情報テーブルは、ドメイン ID毎に当該ドメインの名称やニックネームを 含んでいてもよい。また、ドメインは、端末装置の IDおよび ICカード IDによってドメイ ンを定義 (以下論理的なドメインと呼ぶ。）してもよいし、端末装置の存在する位置に よってドメインを定義（以下物理的なドメインと呼ぶ。）してもよい。図 6に示したドメイン 情報テーブルは論理的なドメインの一例である。
[0057] 端末リスト付加部 106は、 EMM生成部 107によって生成されユーザの端末装置に 送信すべき EMMにドメイン情報蓄積部 105に蓄積されるドメイン情報を付加する。こ れにより、 EMMを受信した端末装置 200および ICカード 300はドメインの管理を行う ことができる。
[0058] EMM生成部 107は、上記の EMMを生成する。生成された EMMには、ドメイン外 利用条件付加部 104によってドメイン外利用条件 502が付加され、端末リスト付加部 106によってドメイン情報が付加される。図 7に EMMの一例を示す。同図のように、 E MM700は、ヘッダ部 701、 EMM本体 702、 CRC704力もなり、 MPEG— 2 Syst ems (IEC/IS013818- 1)のプライベートセクション形式のデータである。 EMM 本体 702には、コンテンツ鍵 402を復号するためのワーク鍵、プライベートデータ等 の個別的な情報を含む。利用条件 703は、ドメイン外利用条件付加部 104によって E MM本体 702内にプライベートデータとして付カ卩されている。また、 EMM本体 702 には、端末リスト付加部 106によってプライベートデータとして端末リストも付加される 。なお、 EMM700は、 ICカード 300固有のマスタ鍵で暗号化される。
[0059] 放送信号多重送信部 108は、 EMM生成部 107によって生成された EMM700と、 コンテンツ蓄積部 101からの配信すべきコンテンツ等を多重化し放送する。これによ る放送データは、デジタル放送の場合 MPEG— 2トランスポートストリーム（TS :Tran sport Stream)などの形式で送信される。多重化された放送データには、 ECM等 のセクション形式の種々のデータも含まれる力 本発明と関連が薄いデータについて は説明を省略する。
[0060] 次に端末装置 200の構成について説明する。図 2に示すように、端末装置 200は、 図 1における端末装置 200a〜200cの代表として 1つだけ図示してある。この端末装 置 200は、放送信号受信分離部 201、コンテンツ記憶部 202、再生部 203、 EMM 取得部 204、端末 ID読み出し部 205、端末 ID保持部 206、ドメイン外利用条件取り 出し部 207、第 1の送受信部 208および制御部 209を備える。
[0061] 放送信号受信分離部 201は、配信装置 100から送信される放送データを受信し、 受信したデータ力 コンテンツと、ドメイン外利用条件 502を含む EMM700と、その 他の PSlZ SI (Program Specific Information/ Service Information)等の セクション形式のデータとを分離する。
[0062] コンテンツ記憶部 202は、放送信号受信分離部 201によって分離されたコンテンツ をパーシャル TSとして記憶する。なお、サーバ型放送の Typell (ファイル型）コンテン ッであれば、タイムスタンプ付き TSや JPEGなどを蓄積する。
[0063] 再生部 203は、コンテンツ記憶部 202に記憶されたコンテンツを復号して再生する 。コンテンツ記憶部 202に記憶されたコンテンツは暗号ィ匕されているので、再生部 20 3は、コンテンツ鍵と、コンテンツ鍵の暗号ィ匕を解くためのワーク鍵とを用いて復号化（ デクリブト）し、さらに MPEG— 2等に準拠した圧縮符号を伸張 (デコード)する。その ため、再生部 203はコンテンツ鍵を ECMから取得する力 ワーク鍵は ICカード 300 力も第 1の送受信部 208を介して再生部 203に供給される。
[0064] なお、ここでは、再生部 203がコンテンツ鍵とワーク鍵とを用いて、コンテンツをデク リプトする場合の例を示したが、 ICカード 300に ECMおよび EMMを復号するため の ECMZEMM復号部を備え、 ECMZEMM復号部にお!/、て ECMおよび EMM を復号するようにしてもよい。この場合、 ECMZEMM復号部で EMMを復号するこ とによってワーク鍵を取得し、ワーク鍵を ICカード内部で保持する。また、コンテンツ を再生する場合には、再生部 203がコンテンツに多重化された ECMを ICカード 300 に送信し、 ECMZEMM復号部がワーク鍵を用いて ECMを復号することによってコ ンテンッ鍵を取得する。このように取得したコンテンツ鍵は、端末装置 200に送信さ れ、再生部 203において、コンテンツ鍵を用いて暗号化コンテンツを復号する。
[0065] EMM取得部 204は、放送信号受信分離部 201によって分離された EMM700を 取得し、 EMM本体 702をドメイン外利用条件取り出し部 207に出力する。
[0066] 端末 ID読み出し部 205は、端末 ID保持部 206に保持された端末装置 200の端末 I Dを読み出して、第 1の送受信部 208を介して ICカード 300に出力する。
[0067] 端末 ID保持部 206は、端末装置 200の端末 m情報を保持する。図 8に、端末 ID 保持部 206が保持する端末 情報の一例を示す。図 8の例では、端末 Iひ f青報 800 は、端末装置 200を特定する端末 ID801、端末装置 200のユーザを特定するユー ザ ID802、端末装置 200が属するドメインを特定するドメイン ID803を含む。 [0068] ドメイン外利用条件取り出し部 207は、端末装置 200の ICカードスロットにドメイン 内の ICカード 300が挿入されて!、る場合、 EMM取得部 204が取得した EMM本体 702からドメイン外利用条件 502や端末リスト 603を取り出して内部に保持し、また E MM本体 702を第 1の送受信部 208を介して ICカード 300に送信する。
[0069] 第 1の送受信部 208は、 ICカードスロットに挿入された ICカード 300と通信するため のインターフェースである。
[0070] 制御部 209は、ドメイン内の ICカード 300から暗号鍵の供給を受けるための制御と 、ドメイン外の ICカード 300からも暗号鍵の供給を受けるための制御を行う。ドメイン 外の ICカード 300からは、ドメイン外利用条件 502に従って暗号鍵が供給される。
[0071] 続いて ICカード 300の構成について説明する。 ICカード 300は、図 1における IC力 ード 300a〜300cの代表として 1つだけ図示してある。図 2に示すように ICカード 300 は、第 2の送受信部 301、ドメイン情報保持部 302、端末 ID取得部 303、ドメイン情 報処理部 304、ドメイン外利用条件保持部 305、ドメイン外利用条件取得部 306、ド メイン外利用記録蓄積部 307、ドメイン外利用記録更新部 308、ドメイン外利用可否 判定部 309を備える。
[0072] 第 2の送受信部 301は、 ICカード 300が端末装置 200の ICカードスロットに挿入さ れたときに端末装置 200と通信するためのインターフェースである。
[0073] ドメイン情報保持部 302は、 ICカード 300のドメインに属する端末装置 200を示すド メイン情報を保持する。このドメイン情報は端末 IDリストを含み、 ICカード IDリストは含 まなくてもよいし、含んでもよい。図 9に、ドメイン情報保持部 302に保持されるドメイン 情報の一例を示す。図 9の例では、ドメイン情報 900は、 ICカード 300が属するドメイ ンを特定するドメイン ID901、 ICカード 300のユーザを特定するユーザ ID902、ドメ イン ID901に特定されるドメインに属する端末装置 200を示す端末リスト 903とを含 む。なお、合わせて、端末 IDリストや ICカード IDリストの登録数、期間、サイズなどの 最大値を管理するようにしても良い。また、このとき、最大値に達した場合は、古いも のや、利用頻度が少ないものから削除 Z上書きするようにすると良い。
[0074] 端末 ID取得部 303は、 ICカード 300が挿入された端末装置 200の端末 ID801を 取得する。 [0075] ドメイン情報処理部 304は、端末 ID取得部 303に取得された端末 ID801がドメイン 情報保持部 302に保持された端末リスト 903に含まれるカゝ否かを判定する。つまり、ド メイン情報処理部 304は、 ICカード 300を装着した端末装置 200がドメイン内の端末 装置 200であるの力ドメイン外の端末装置 200であるのかを判定する。
[0076] ドメイン外利用条件保持部 305は、端末装置 200から第 2の送受信部 301およびド メイン外利用条件取得部 306を介して取得されたドメイン外利用条件 502を保持する 。図 10に、ドメイン外利用条件保持部 305に保持されるドメイン外利用条件 502の一 例を示す。同図での例では、ドメイン外利用条件 1000は、ドメイン外の端末装置 200 におけるコンテンツ利用可能範囲として「3回まで許可」という条件が保持されている。 この場合、本 ICカードのユーザは、ドメイン外の端末装置 200において 3回までコン テンッを利用することが可能となる。
[0077] ドメイン外利用条件取得部 306は、端末装置 200から第 2の送受信部 301を介して 取得された EMM本体 702からワーク鍵、端末リストおよびドメイン外利用条件 502を 取得し、ワーク鍵、端末リストを内部に保持し、ドメイン外利用条件保持部 305に格納 する。
[0078] ドメイン外利用記録蓄積部 307は、ドメイン外のコンテンツ利用装置におけるドメイ ン外利用条件 502に基づ ヽてコンテンツが利用されたとき、その利用記録をドメイン 外利用履歴として蓄積する。図 11に、利用記録の一例を示す。同図の例では、利用 記録 1100は、利用日時 1101、 ICカード 300を使用したドメイン外の端末装置 200 を特定する端末 ID1102、そのドメインを特定するドメイン ID1103、利用したライセン スを特定するためのライセンス ID1104、実際に利用した時間を示す利用時間 1105 等を含む。
[0079] ドメイン外利用記録更新部 308は、ドメイン外利用記録蓄積部 307に対して利用記 録 (ドメイン外利用履歴)の消去と追加とを行う。具体的には、ドメイン外利用記録更 新部 308は、端末装置 200からの消去指示を受けたとき、ドメイン外利用記録蓄積部 307に蓄積された利用記録を端末装置 200に送信した後に全て消去する。利用記 録を消去する理由は、ユーザが、再度 ICカード 300のドメイン外での使用を、ドメイン 外利用条件の範囲内で可能にするためである。また、ドメイン外利用記録更新部 30 8は、ドメイン外の端末装置 200におけるドメイン外利用条件 502に基づくコンテンツ の利用について、その利用記録をドメイン外利用記録蓄積部 307に記録することによ り利用記録を更新する。この利用記録は、例えば、図 11に示した利用記録の 1ェント リーである。なお、ここでは、端末装置 200からの消去指示を受けたとき、ドメイン外利 用記録蓄積部 307に蓄積された利用記録を、端末装置 200に送信している力 必ず しも送信しなくてもよ ヽ。
[0080] ドメイン外利用可否判定部 309は、ドメイン情報処理部 304によって、 ICカード 300 を装着した端末装置 200がドメイン外の端末装置 200であると判定されたとき、当該 端末装置が ICカード 300を利用可能力否力、を判定する。この判定は、ドメイン外利 用記録蓄積部 307に蓄積された利用記録が、ドメイン外利用条件に示される利用可 能な範囲を超えないか否かによる。さらに、ドメイン外利用可否判定部 309は、利用 可能と判定した場合に、その旨を第 2の送受信部 301を介して装着先の端末装置 20 0に通知するとともに、ドメイン外利用条件取得部 306にワーク鍵を端末装置 200に 供給するように指示する。このワーク鍵の供給を受けることにより、ドメイン外の端末装 置 200において、コンテンツを再生することが可能となる。
[0081] 以上のように構成された本発明の実施の形態 1におけるコンテンツ利用システムに ついて、以下、その動作を説明する。
[0082] 図 12は、本コンテンツ利用システムにおいて ICカード 300にドメイン外利用条件を 設定する処理を示すフローチャートである。同図のように、配信装置 100において E MM生成部 107は EMM700を生成する（S101)。ドメイン外利用条件付加部 104 はドメイン外利用条件蓄積部 103から EMM700の対象となるユーザに対応するドメ イン外利用条件 502を読み出して、生成された EMM700に付加する（S102)。放送 信号多重送信部 108は、ドメイン外利用条件 502が付加された EMM700を、コンテ ンッとともに多重化して放送データとして端末装置 200に送信する（S 103)。
[0083] 端末装置 200において、放送信号受信分離部 201は放送データを受信し、 EMM 本体 702を分離する（S201)。分離された EMM本体 702は、さらに EMM取得部 2 04によってドメイン外利用条件取り出し部 207、第 1の送受信部 208を介して ICカー ド 300に送信される（S202)。 [0084] ICカード 300において、第 2の送受信部 301は EMM本体 702を受信し、ドメイン 外利用条件取得部 306にその EMM本体 702出力する（S303)。ドメイン外利用条 件取得部 306は、 EMM本体 702からワーク鍵を取り出して内部に保持し、さらに、ド メイン外利用条件 502を取り出して、ドメイン外利用条件保持部 305に格納する（S3 04)。
[0085] このようにして配信装置 100において事業者等が作成したドメイン外利用条件 502 力 EMM700に付加されることにより、端末装置 200を経由して ICカード 300内に 設定される。
[0086] 図 13は、 ICカード 300が揷入された端末装置 200において、ユーザが再生開始操 作をしたときのコンテンツの再生処理を示すフローチャートである。同図のように、端 末装置 200において、端末 ID読み出し部 205は、端末 ID保持部 206から読み出し た端末装置 200が保持する端末 ID801を、第 1の送受信部 208を介して ICカード 3 00に送信する（S210)。その後、第 1の送受信部 208が ICカード 300から暗号鍵 (ヮ ーク鍵)の供給を受けた場合 (S 211 )、再生部 203はワーク鍵を用 、てコンテンッ鍵 を復号し、復号されたコンテンツ鍵を用いてコンテンツを復号し、さらに平文となった コンテンッを再生する（S 212)。
[0087] 一方、 ICカード 300において、第 2の送受信部 301を介して端末 ID取得部 303は 端末 ID801を受信する（S310)。ドメイン情報処理部 304は、端末 ID取得部 303に 取得された端末 ID801がドメイン情報保持部 302に保持された端末リスト 903に含ま れるか否かを判定することにより、 ICカード 300を装着された端末装置 200がドメイン 内の端末装置 200であるのかドメイン外の端末装置 200であるかを判定する（S311) 。ドメイン情報処理部 304によってドメイン内の端末装置 200であると判定された場合 、ドメイン外利用条件取得部 306は保持しているワーク鍵を第 2の送受信部 301を介 して端末装置 200に供給する（S312)。
[0088] ドメイン情報処理部 304によってドメイン外の端末装置 200であると判定された場合 、ドメイン外利用可否判定部 309は、ドメイン外利用条件保持部 305からドメイン外利 用条件 502を読み出し (S313)、ドメイン外利用記録蓄積部 307からドメイン外利用 履歴 (利用記録 1100)を読み出し（S 314)、当該端末装置 200での ICカード 300の 利用可否を判定する（S315)。利用不可と判定された場合、 ICカード 300はこの処 理を終わる。利用可能と判定された場合、ドメイン外利用条件取得部 306は保持して いるワーク鍵を第 2の送受信部 301を介して端末装置 200に供給する（S316)。さら にドメイン外利用記録更新部 308はドメイン外利用記録蓄積部 307の利用記録を更 新する（S317)。この更新のために、ドメイン外利用記録更新部 308は、端末装置 20 0における再生動作の終了したコンテンツについて端末装置 200から再生時間、コン テンッ ID、ライセンス ID等を取得して、利用記録 1100を生成する。さら〖こ、ドメイン外 利用記録更新部 308は、更新後の利用記録およびドメイン外利用条件 502を第 2の 送受信部 301を介して端末装置 200に送信し、端末装置 200に利用記録をユーザ に表示することを指示する（S318)。この指示に従って、端末装置 200では、送信さ れたコンテンッ外利用条件および利用記録に基づ!/、てドメイン外の端末装置 200に おける利用状況に関するガイダンスを表示するようにしてもょ ヽ。
[0089] このような処理より、ユーザが ICカード 300をドメイン外の端末装置 200に挿入した 場合でも、ドメイン外利用条件の範囲内で当該端末装置 200にお 、てコンテンツを 視¾することができる。
[0090] 図 14は、端末装置 200及び ICカード 300における利用記録の消去処理を示すフ ローチャートである。端末装置 200において、第 1の送受信部 208は ICカードスロット に ICカード 300が新たに挿入された力どうかを判定する（S220)。新たに挿入された と判定された場合、第 1の送受信部 208は、端末 ID読み出し部 205によって端末 ID 保持部 206から読み出された端末 ID801を送信するとともに、 ICカード 300から送信 される ICカード IDを受信する（S221)。その後、第 1の送受信部 208が ICカード 300 から利用記録 1100を受信した場合 (S222) (端末装置 200と ICカード 300とが同じ ドメインに属する場合）、制御部 209は、第 1の送受信部 208を介して ICカード 300に 利用記録 1100の消去指示を送信する（S223)。さらに、制御部 209は、利用記録 1 100に基づ 、てドメイン外の端末装置 200における利用状況に関するガイダンスを 表示する（S224)。
[0091] 一方、 ICカード 300において、第 2の送受信部 301は ICカードスロットに ICカード 3 00が新たに挿入された力どうかを判定する（S320)。新たに挿入されたと判定された 場合、第 2の送受信部 301は、 ICカード IDを端末装置 200に送信するとともに、端末 装置 200から送信される端末 ID801を受信する（S321)。さらにドメイン情報処理部 304は、第 2の送受信部 301および端末 ID取得部 303を介して受信された端末 ID8 01と、ドメイン情報保持部 302に保持された端末リスト 903とを比較して、 ICカード 30 0を装着した端末装置 200がドメイン内の端末装置 200であるのかドメイン外の端末 装置 200であるかを判定する（S322)。ドメイン外と判定された場合、 ICカード 300は この消去処理を終わる。ドメイン内と判定された場合、ドメイン外利用記録更新部 308 は、ドメイン外利用記録蓄積部 307から利用記録を読み出して（S323)、第 2の送受 信部 301を介して端末装置 200に送信する（S324)。さらに、第 2の送受信部 301が 端末装置 200から消去指示を受信した場合 (S325)、ドメイン外利用記録更新部 30 8はドメイン外利用記録蓄積部 307内の利用記録 1100を消去する（S326)。
[0092] このような消去処理により、ドメイン外の端末装置 200で ICカード 300を使用しきつ た場合 (ドメイン外利用条件が許す範囲を消耗した場合)に、二度と使用できなくなる 事態を避けることができる。また、ドメイン外利用条件の許す範囲の全てを使いきつて いない場合でも、ドメイン外利用条件の許す範囲を回復することができる。消去処理 をドメイン内の端末装置 200に ICカード 300が挿入された場合に行っているのは、ュ 一ザがドメイン外の端末装置 200で長期間にわたって (あるいは何度も繰り返し) IC カード 300を使用することを防止している。これにより、ユーザはドメイン内の端末装 置 200での ICカード利用を原則としつつ、例外的にドメイン外の端末装置 200で IC カード 300を使用することを可能にして 、る。
[0093] 以上説明してきたように、本発明の実施の形態 1におけるコンテンツ利用システムに よれば、ユーザはドメイン外利用条件の範囲内で、 ICカード 300をドメイン外の端末 装置 200でも使用することができるので、ユーザの利便性を向上させることができる。 し力も、ドメイン外での ICカード 300の使用は無制限ではなくドメイン外利用条件 502 によって制限されるので、コンテンツを提供する事業者の権利保護を図ることができ る。
[0094] また、ドメイン外利用履歴の消去処理を適宜行うことにより、ユーザがドメイン内の端 末装置 200で ICカード 300を利用することを原則としつつ、例外的にドメイン外の端 末装置 200で ICカード 300を使用することを可能にしている。
[0095] 次に、本実施の形態におけるコンテンツ利用システムの変形例について説明する。
[0096] なお、上記実施の形態 1では、ドメイン外利用記録更新部 308とドメイン外利用可 否判定部 309は ICカード 300内に備えられている力 これらのいずれかを端末装置 200内に備える構成としてもよい。前者の場合は、既存の端末装置 200に対して少 ない変更量で本発明を適用することでき、後者の場合は、既存の ICカード 300に対 して少ない変更量で本発明を適用することができる。また、端末装置 200および IC力 ード 300の両方に備える構成としても良 、。
[0097] なお、上記実施の形態では、デジタル放送の EMMを用いてドメイン外利用条件を ICカード 300に設定する場合の例を示した力 これに限られるものではなぐデジタ ル放送の ECM (Kc伝送用 ECM、 ECM— Kw、 ECM-Kc)や ACI (Account Co ntrol Information)、 Kc伝送用 EMM、グループ宛て EMMなどを用いてドメイン 外利用条件を ICカード 300に設定してもよいし、インターネットなどの通信経由で設 定しても良い。また ICカード 300に限らず、端末装置 200に設定するようにしても良 い。
[0098] また、上記実施の形態では、 ICカード 300が同じドメイン内のどの端末装置 200の I Cカードスロットに挿入されたときでも、前記利用記録を消去するが、同じドメイン内の 特定の端末装置 200の ICカードスロットに挿入されたときのみ消去するように構成し てもよい。その場合、図 14のステップ S223における消去指示の送信は、端末 ID80 1と ICカード IDなどを用いて、特定の端末装置 200のみが行い、他の端末装置 200 は行わな 、ように構成すればょ 、。
[0099] さらに、特定ドメインの特定端末装置 200が、ドメイン内かドメイン外かに関わらず I Cカードに消去指示を送信するようにしてもょ ヽ。
[0100] また、上記実施の形態では、 ICカード 300を端末装置 200の ICカードスロットに揷 入したときにドメイン外利用履歴を消去するようにした力 これに限らず、端末装置 20 0あるいは ICカード 300にお!/、て、コンテンツやライセンスを利用した時点でドメイン 外利用履歴を消去するようにしても良い。このときのコンテンツやライセンスは、特定 コンテンツや特定ライセンスに限定してもよい。 [0101] また、ドメイン外利用記録更新部 308は、端末装置 200からの消去指示がなくても、 利用記録 1100を消去するようにしてもよい。例えば、 1ヶ月に 1回など、定期的に消 去したり、ドメイン内の端末装置 200でのコンテンツ利用が N回（例えば 10回）なされ る毎に消去するようにしてもよい。この場合、消去の頻度をドメイン外利用条件 502の 程度に応じて定めればよい。なお、この場合の消去の頻度を、ドメイン外利用条件 50 2で指定するようにしてもょ ヽ。
[0102] また、ドメイン外利用履歴の消去にあたっては、通信や放送を介して、配信装置 10 0が消去指示をおこなうようにしても良い。この場合、 ICカード 300がドメイン内の端末 装置 200に挿入されている場合のみに、ドメイン外利用履歴を消去するようにしても 良い。
[0103] なお、上記実施の形態では、ドメイン外利用条件 502は配信装置 100から端末装 置 200を介して ICカード 300に設定されている力 ドメイン外利用条件保持部 305は デフォルト（あら力じめ出荷時などに設定されていてもよいし、または、特定の方法に より内部で生成してもよ ヽ）のドメイン外利用条件を保持するようにしてもょ ヽし、端末 装置 200がデフォルトで保持するドメイン外利用条件の設定を受けるようにしてもょ ヽ
[0104] また、図 13のステップ S318における利用記録 1100の表示指示を受けて、端末装 置 200は、次のようなガイダンス表示をしてもよい。
[0105] (a)ドメイン外利用条件およびドメイン外利用履歴 (利用記録）に基づ!/ヽてドメイン外 の端末装置 200における利用状況に関するガイダンス、
[0106] (b)利用記録がドメイン外利用条件に示される利用可能範囲に達して 、るとき、利用 記録の消去を促すガイダンス、
[0107] (c)利用記録の消去方法を示すヘルプメッセージ記したガイダンス (例えば、「端末 装置 AAAに ICカードを挿入して消去してくださ 、」 )、
[0108] (d)利用記録とドメイン外利用条件に示される利用可能範囲との差分が一定以下の とき、その旨示すガイダンス (例えば、「ドメイン外ではあと 1回だけ利用可能」「ドメイン 外ではコンテンツ Aのみ利用可能」「ドメイン外ではドメイン Bでのみ利用可能」など） [0109] (e)利用記録とドメイン外利用条件に示される利用可能範囲との差分を示すガイダン ス、
[0110] (f)利用記録がドメイン外利用条件に示される利用可能範囲に達したとき、その旨を ガイダンス (例えば「これ以上ドメイン外では利用できません」）、
[0111] (g)利用記録とドメイン外利用条件に示される利用可能範囲との差分が小さくなるに 連れて、ガイダンス表示の大きさおよび色の少なくとも一方を変化させる、
[0112] (h)利用状況に応じて端末装置 200に備えられた発光部および音声出力部の少なく とも一方の出力態様をガイダンスとして変化させる、
[0113] (i)外部から更新可能なスケジュールに従ってガイダンスを表示すること (例えば 1ケ 月ごと、起動時、 ICカード IDの登録時 Z削除時、 ICカードの挿入時など）、
[0114] (j) ICカードの状態を示すガイダンス (例えば、 ICカード内の記憶容量、そのうちの空 き容量、設定されているプロファイル (ユーザ ID、ドメイン 、 ICカード IDなど）、保持 されているライセンス数 (コンテンツ鍵あるいはワーク鍵数）、コンテンツを保持するた めの空き容量など）
[0115] (k) ICカード 300と端末装置 200とが異なるドメインに属する旨のガイダンス。
[0116] なお、上記（a)〜（k)のメッセージ表示は、ユーザ操作に基づいて行うようにしても 良い。さらに、端末装置 200または ICカード 300が属するドメイン IDまたはドメイン名 称を表示するようにしても良い。また、あるドメインに属する端末装置 200または IC力 ード 300の一覧を表示するようにしても良い。これらの表示タイミングは、端末装置 20 0の起動時、 ICカード 300の挿抜時、端末装置 200または ICカード 300のドメインへ の登録 Zドメインからの削除時、端末装置 200と ICカード 300の属するドメインが異 なる場合、などが考えられる。
[0117] また、ドメインへの端末装置 200または ICカード 300の登録 Z削除を促すメッセ一 ジを表示するようにしても良 、。
[0118] また、図 14のステップ S222において消去指示を送信しない場合に、ステップ S22 4にお 、て上記（a)〜（k)のガイダンス表示を行ってもよ!、。
[0119] また、端末装置 200または ICカード 300は、上記各ガイダンス用の複数メッセージ を予め記憶する記憶部を有していてもよいし、デジタル放送や通信経由で、放送局 1 01から動的に更新できるようにしても良い。あるいは、ユーザ設定によって更新でき るようにしても良い
[0120] なお、図 13のステップ S316において、 ICカード 300は、コンテンツ鍵を供給するよ うにしてもよい。また、ワーク鍵を供給しないで利用可能というメッセージだけを応答 することにより、端末装置 200と ICカード 300の組で利用可能かどうかを確認する手 段として用いてもよい。
[0121] また、ドメインを構成する端末装置 200または ICカード 300において、ドメインへの 所属を有効期限で管理するようにしてもょ 、。
[0122] また、上記発明の実施形態では、全ての端末装置 102および ICカード 300におい て、ドメイン外利用条件 502による制御を適用する場合の例を示した力 このような制 御の対象外である端末装置 200、 ICカード 300、もしくは、複数の端末装置 200ある いは ICカード 300で構成するグループを設けるようにしても良 、。
[0123] なお、端末装置 200または ICカード 300でライセンス管理する場合に、ドメイン内で 取得したライセンスとドメイン外で取得したライセンスとを区別するようにしてもょ 、。ま た、端末装置 200または ICカード 300は、ドメイン外でのライセンスの取得を抑制す るようにしても良い。但し、ここでのライセンスとは、少なくとも、コンテンツの利用条件 とコンテンツ鍵とを含むデータ構造のことを指す。
[0124] また、ドメイン外利用条件保持部 305は、複数のドメイン外利用条件 502を保持して もよいし、この場合に、ドメイン外利用可否判定部 309が状況に応じて選択するように してもよい。例えば、ドメイン毎やコンテンツ毎にドメイン外利用条件 502を選択すれ ばよい。また、ドメイン外利用可否判定部 309が複数のドメイン外利用条件 502を選 択し、アンド条件またはオア条件として判定してもよ!/、。
[0125] さらに、ドメイン外利用可否判定部 309は、状況に応じて、ドメイン外利用条件を厳 しくまたは緩く解釈して、利用可否を判定するようにしてもよい。このときのドメイン外 利用条件 502の解釈は、例えば、ドメイン外利用条件を示す数値を 5割増しや 5割引 きした数値に換算すればよい。また、上記状況とは、端末装置 200または ICカード 3 00が保持するライセンス、コンテンツ、プログラムや、加入しているサービス、端末装 置 200や ICカード 300の種類 Z機能（グレード）、または、ユーザ操作などを含むも のとする。 [0126] また、同一ドメインに属する端末装置 200あるいは ICカード 300の間で、連携するこ とにより、ドメイン外利用条件やドメイン外利用履歴を共有、交換するようにしても良い
[0127] また、上記実施の形態では、端末装置 200と ICカード 300とをバインドする場合の 例を示したが、本発明は、端末装置 200上で動作する特定プログラムを ICカード 30 0とをバインドする場合や、端末装置 200と ICカード 300上の特定プログラムとをバイ ンドする場合や、端末装置 200上の特定プログラムと ICカード上の特定プログラムと をバインドする場合にも適用することができるのは言うまでもない。
[0128] なお、上記実施の形態では、放送局 100で端末装置 200と ICカード 300のドメイン 制御（ドメイン登録 Z削除)をおこなう場合の例を示したが、放送局 100でドメイン制 御をおこなわず、全てローカルでおこなう方法も可能であるし、端末装置 200同士ま たは ICカード 300同士のドメイン制御は放送局 100で行うものの、端末装置 200と IC カード 300のドメイン制御、端末装置 200と ICカード 300の組の利用可否制御につ いては、ローカルでおこなう方法も可能である。具体的には、
[0129] (A)共通情報 (暗号鍵や IDなど)を保持する端末装置 200と ICカード 300を同一ドメ インとする。共通情報の設定 Z削除は、デジタル放送や通信でおこなってもよいし、 ローカルで行ってもよ!ヽ。
[0130] (B) ICカード 300を端末装置 200に最初に挿入したときに自動的にドメイン登録をお こなう。ドメイン登録の方法は、共通情報を共有する方法でも良いし、端末 IDリストま たは ICカードリストに、端末 IDまたは ICカード IDを追加する方法でも良い。
[0131] (C)最初にコンテンツまたはライセンスを、利用または取得した端末装置 200と IC力 ード 300を同一ドメインとする（ドメイン登録する）。
[0132] (D)端末装置 200への ICカード 300の挿抜回数、挿入期間で制御する。なお、この 場合、端末装置 200への ICカード 300の挿入時や端末装置 200の電源投入時など の、コンテンツを利用するタイミング以外に、ドメイン外利用条件判定を行うようにして ちょい。
などがあげられる。
[0133] また、ドメイン制御について、 ICカード 300で保持するライセンスあるいはコンテンツ に応じて、端末装置 200と ICカード 300とのノインドを変更するようにしても良いし、 利用するライセンスあるいはコンテンツによっても、端末装置 200と ICカード 300との バインドを変更するようにしても良 、。
[0134] また、端末装置 200同士または ICカード 300同士が構築するドメインに連動して、 端末装置 200と ICカード 300との間のドメイン制御 (利用可能な組の制御）をおこなう ようにしても良い。
[0135] また、ドメイン制御に必要な情報 (共通情報や端末 IDリスト、 ICカードリスト）は、ホ ームネットワークに属する他の端末装置 200あるいは ICカード 300から取得 Z同期 するようにしてちょい。
[0136] また、ドメイン制御に必要な情報は、デジタル放送や通信経由で、放送局 101から 動的に指示できるようにしてもよぐ特に、放送局 101からのドメインへの登録 Z削除 指示を受信した時点で、端末装置 200に挿入されて 、る ICカード 300と関連付けを おこなうようにしてもよい。通信の場合は、 SAC (Secure Authenticated Chann el)により、セキュアに登録 Z削除をおこなえばよい。
[0137] (実施の形態 2)
本実施の形態におけるセキュアシステムは、企業内あるいは家庭内のシステムなど に本発明を適用する場合について説明する。また、ドメインは、端末装置の存在する 位置などによって定義された物理的なドメインを用いる例を説明する。
[0138] 図 15は、本発明の実施の形態 2におけるセキュアシステムの概要を示す図である。
同図のように、本セキュアシステムは、端末装置 Ta〜Tc、端末装置 Tp、 Tq、セキュ アデバイスとしてメモリカード Ca〜Ccを含み、ユーザがドメイン内の端末装置だけで なぐ条件付でドメイン外の端末装置でメモリカードを使用できるように構成されてい る。
[0139] 同図のドメイン C、 Dは、物理的に定義されたドメインであり、例えば、企業内の事業 所と事業所 B、 A棟と B棟、部署 Aと部署 B、学校内の校舎 Aと校舎 B、 1学年の教室と 2学年の教室、ネットワーク Aに接続された端末群とネットワーク Bに接続された端末 群、などである。
[0140] 端末 Taは、パーソナルコンピュータ!^、モパイル機器 (携帯電話機、 PDAなど)な どであり、メモリカードにセキュアに秘匿データを読み書きする。また、実施の形態 1 に示したコンテンツ利用端末や、セキュリティモジュール (ICカード)を利用してデジタ ル放送を受信するためのセットトップボックス、デジタル TV、 DVDレコーダ、ハードデ イスタレコーダ、パーソナルコンピュータなどのコンテンツ再生装置、記録装置）であ つてもよい。他の端末 Tb等についても同様である。
[0141] メモリカード Caは、秘匿データをセキュアに保持するセキュアデバイスの一種である 。例えば、 SDカード、メモリスティックといったセキュリティ保護機能付きメモリカードや 、 smartSDカード、 MOPASS (MObile PASS port)カードといった ICカード機能付き メモリカードなどがある。秘匿データは、コンテンツの暗号鍵に限らず、機密文書や、 暗号ィ匕されたコンテンツ (動画、音声、静止画など)などである。
[0142] 図 16は、端末装置 Taとメモリカードの構成を示すブロック図である。同図の端末装 置 Taは、図 2の端末装置 200と比較して、放送信号受信分離部 201、コンテンツ記 憶部 202、再生部 203、 EMM取得部 204が削除されている点と、 GPS部 210が追 加されている点と、端末 ID読み出し部 205の代わりに読み出し部 205aを備える点と 、ドメイン外利用条件取り出し部 207の代わりにドメイン外利用条件記憶部部 207aを 備える点とが異なる。また、同図のメモリカード Caは、図 2の ICカード 300と比較して 、ほぼ同様に構成されているが、ドメイン情報保持部 302に保持されるドメイン定義情 報が異なっている。以下、同じ点は説明を省略して異なる点を中心に説明する。
[0143] GPS部 210は、 GPS (Global Positioning System)システムから端末装置の位置を 検出する。検出される位置は、緯度、経度、高度などで表される。
[0144] 読み出し部 205aは、端末 ID読み出し部 205の機能にカ卩えて、 GPS部 210によつ て検出された位置を示す情報を、端末 IDと共に第 1の送受信部 208を介してメモリ力 ード Caに出力する。
[0145] ドメイン外利用条件記憶部 207aは、ドメイン外利用条件を保持する。ドメイン外利 用条件は実施の形態 1と同様である。
[0146] ドメイン情報保持部 302は、物理的に定義されたドメインを示すドメイン情報を保持 する。
[0147] 図 17は、ドメイン情報保持部 302に保持されるドメイン情報の例を示す図である。 同図のドメイン情報は、図 9のドメイン情報と比較して、端末リストの代わりにドメイン定 義データとして位置情報の組みが設定されている。例えば、位置情報の組みによつ て囲まれる範囲に存在する端末装置はドメイン内と判定される。位置情報に高さが含 まれる場合は 3次元の範囲としてドメインが定義される。なお、位置情報と半径の組み によってドメインが定義されてもょ 、。
[0148] 図 18は、ドメイン情報保持部 302に保持されるドメイン情報の他の例を示す図であ る。同図のドメイン定義データは、ネットワーク IDを含む。この場合、ネットワーク IDで 特定されるネットワークに接続されていること端末装置は、ドメイン内と判定される。
[0149] 本実施の形態におけるセキュアシステム力 会社の構内をドメインとする端末装置と 、機密文書を保持するメモリカードとに適用される場合について説明する。
[0150] ユーザは原則として、会社の構内（ドメイン）において、会社の機密文書 (秘匿デー タ）をメモリカード (セキュアデバイス）に記録し、会社が認定したセキュリティ対策済 P C (端末装置 Ta)で機密文書を利用する。会社の構内であることは、 GPS部 210によ り検出される位置に基づいて、ドメイン内であるかドメイン外であるかが判定される。ド メイン内かドメイン外かの判定の結果、会社の構内であれば、機密文書を自由に利 用可能だが、会社の構内でない場合は、メモリカード Caに記録しておいた時間制限 Z回数制限 (ドメイン外利用条件）により、機密文書へのアクセスが限定されるが、例 外的に利用可能となる。
[0151] ドメイン外利用条件を使い切ってしまった場合、会社の構内でメモリカードを端末装 置 Taに挿入し、ドメイン内であることを確認できた時点で、ドメイン外利用条件がリセ ットされ、再度ドメイン外で利用可能な状態となる。
[0152] なお、物理的なドメイン定義は、例えば、 GPSの利用により事前に登録された範囲 、無線 LAN、 RFID (無線タグ)等の電波を受信できる範囲、特定ネットワークに接続 されていることが確認できる端末装置、特定端末など力 音や光が届く範囲、などとし てもよい。また、論理的なドメイン定義は、端末装置 IDZセキュアデバイス IDのリスト 以外でもよぐ例えば、ドメイン鍵、ドメイン 、リージョンコード、セキュアデバイスの 挿抜回数 Z時間等で定義してもよい。また、これらは秘密にしていてもよい。
[0153] また、端末装置とセキュアデバイスとが同じドメインに属するかを判定する代わりに、 端末装置とセキュアデバイスのそれぞれにつ 、て自身のドメインに属して 、るかを判 定するようにしてもよい。この判定の結果、一方のみがドメインに属している場合には
、セキュアデバイスの利用可否判定をセキュアに行うため、端末装置とセキュアデバ イスとの間で相互認証を行ってもよ!、。
[0154] なお、ドメイン情報保持部 302は、 ICカード Caだけでなく端末装置 Taに備えられて もよいし、端末装置 Taのみに備えられてもよい。
[0155] また、端末装置 Ta等は、図 2の端末装置 200に示した放送信号？受信分離部 201 やコンテンツ記憶部 202を備え、外部からコンテンツ等を受信および記憶する構成で あってもよい。
[0156] なお、端末装置 Ta等は、必ずしも端末 IDを保持しなくてよぐ端末 ID読み出し部 2 05を備えていなくてもよぐまた、端末 IDをメモリカード Ca等に送信しなくてもよい。
[0157] また、実施の形態 1のコンテンツ利用システムの各種変形例は、本実施の形態のセ キュアシステムにも同様に適用できることはいうまでもない。
産業上の利用可能性
[0158] 本発明は、端末装置とセキュアデバイスとを含むセキュアシステムに適している。特 に、セキュアデバイスを共用するコンテンッ利用装置からなるドメインに属するコンテ ンッ利用装置にコンテンッ利用を可能にする暗号鍵を供給するセキュアデバイスを 利用するコンテンツ利用システム、セキュアデバイス、コンテンツ利用装置、方法およ びプログラムに適していて、例えば、セキュリティモジュール (ICカード）を利用してデ ジタル放送を受信するためのセットトップボックス、デジタル TV、 DVDレコーダ、ハー ドディスクレコーダ、ノ ーソナルコンピュータなどのコンテンツ再生装置、記録装置あ るいはこれらの複合機器等に適して 、る。

Claims

請求の範囲
[1] 秘匿データを保持するセキュアデバイスと、セキュアデバイスを接続する端末装置と を含むセキュアシステムであって、
セキュアデバイスおよび端末装置の何れかに備えられ、セキュアデバイスおよび端 末装置のドメインを定義するドメイン情報とを記憶する第 1記憶手段と、
セキュアデバイスおよび端末装置の何れかに備えられ、ドメイン外におけるセキュア デバイスの利用条件であるドメイン外利用条件を記憶する第 2記憶手段と、
セキュアデバイスおよび端末装置の何れかに備えられ、前記ドメイン情報に従って セキュアデバイスまたは端末装置が現在ドメイン内であるかドメイン外であるかを判定 する第 1判定手段と、
セキュアデバイスおよび端末装置の何れかに備えられ、第 1判定手段によってドメイ ン外であると判定されたとき、前記ドメイン外利用条件に従ってセキュアデバイスの利 用可否を判定する第 2判定手段と、
セキュアデバイスおよび端末装置の何れかに備えられ、第 1判定手段によってドメイ ン内と判定された場合、および、第 2判定手段によって利用可能と判定された場合に 、端末装置によるセキュアデバイスの利用を可能にする制御手段と、
を備えることを特徴とするセキュアシステム。
[2] 前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、 前記秘匿データは前記コンテンツを復号するための暗号鍵であり、
前記制御手段は、セキュアデバイスに備えられ、第 1判定手段によってドメイン内と 判定された場合、および、第 2判定手段によって利用可能と判定された場合に、セキ ユアデバイス力 端末装置に前記秘匿データを供給する
ことを特徴とする請求項 1記載のセキュアシステム。
[3] 前記ドメイン外利用条件は、ドメイン外での（a)コンテンツ再生の回数、（b)コンテンツ 利用装置の台数、（c)ドメイン数、（d)有効期限、（e)利用時間、（f)端末 ID数、（g)ド メイン ID数、（h)コンテンツの数および (i)ライセンスの数、の少なくとも 1つに関する ことを特徴とする請求項 2記載のセキュアシステム。
[4] 前記セキュアデバイスは、 ドメイン外のコンテンッ利用装置における前記ドメイン外利用条件に基づくコンテン ッの利用履歴を示すドメイン外利用履歴を記録する履歴記録手段を備え、
前記第 2判定手段は、前記ドメイン外利用履歴が前記利用条件に示される利用可 能な範囲を超えな 、か否かを判定する
ことを特徴とする請求項 2記載のセキュアシステム。
[5] 第 2記憶手段および第 2判定手段は、前記セキュアデバイスに備えられる
ことを特徴とする請求項 2記載のセキュアシステム。
[6] 第 2記憶手段および第 2判定手段は、前記コンテンツ利用装置に備えられる
ことを特徴とする請求項 2記載のセキュアシステム。
[7] 前記コンテンツ利用装置は、外部力 新たなドメイン外利用条件を受信する受信手 段を備え、
前記第 2記憶手段は、前記ドメイン外利用条件を新たなドメイン外利用条件に更新 する
ことを特徴とする請求項 2記載のセキュアシステム。
[8] 前記受信手段は、コンテンツ配信サーノ から送信されるライセンスに付加されたドメ イン外利用条件を受信する
ことを特徴とする請求項 7記載のセキュアシステム。
[9] 前記コンテンツ利用装置は、さらに、
セキュアデバイススロットに挿入されたセキュアデバイス力も前記ドメイン外利用条 件および前記ドメイン外利用履歴を取得する取得手段と、
取得した前記ドメイン外利用条件および前記ドメイン外利用履歴に基づいてドメイ ン外のコンテンッ利用装置における利用状況に関するガイダンスを表示する表示手 段と
を備えることを特徴とする請求項 2記載のセキュアシステム。
[10] 端末装置に接続され、秘匿データを保持するセキュアデバイスであって、
ドメイン外の端末装置に対するセキュアデバイスのドメイン外利用条件を記憶する 条件記憶手段と、
前記ドメイン外利用条件に従ってセキュアデバイスの利用可否を判定する判定手 段と
判定手段によって利用可能と判定された場合に、端末装置によるセキュアデバィ スの利用を可能にする制御手段と、
を備えることを特徴とするセキュアデバイス。
[11] 前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、 前記秘匿データは前記コンテンツを復号するための暗号鍵であり、
前記制御手段は、セキュアデバイスに備えられ、判定手段によって利用可能と判定 された場合に、セキュアデバイスカゝら端末装置に前記秘匿データを供給する ことを特徴とする請求項 10記載のセキュアシステム。
[12] 前記ドメイン外利用条件は、（a)コンテンツ再生の回数、（b)コンテンツ利用装置の台 数、（c)ドメイン数、（d)有効期限、（e)利用時間、（f)端末 ID数、（g)ドメイン ID数、（ h)コンテンッの数および (i)ライセンスの数、の少なくとも 1つに関する
ことを特徴とする請求項 11記載のセキュアデバイス。
[13] 前記セキュアデバイスは、
ドメイン外の端末装置における前記ドメイン外条件に基づくコンテンツの利用履歴 を示す前記ドメイン外利用履歴を記録する履歴記録手段を備え、
前記判定手段は、前記ドメイン外利用履歴が前記ドメイン外利用条件に示される利 用可能な範囲を超えないか否かを判定する
ことを特徴とする請求項 12記載のセキュアデバイス。
[14] 前記セキュアデバイスは、さらに、所定の時期に前記ドメイン外利用履歴を消去する 消去手段を備える
ことを特徴とする請求項 13記載のセキュアデバイス。
[15] 前記セキュアデバイスは、端末装置力 新たなドメイン外利用条件を受信する受信手 段を備え、
前記条件記憶手段は、前記ドメイン外利用条件を新たなドメイン外利用条件に更新 する
ことを特徴とする請求項 11記載のセキュアデバイス。
[16] 条件記憶手段は、デフォルトのドメイン外利用条件を記憶する ことを特徴とする請求項 11記載のセキュアデバイス。
[17] 前記セキュアデバイスは、さらに、
前記ドメイン外利用条件および前記ドメイン外利用履歴に基づいてドメイン外のコン テンッ利用装置における利用状況提示する表示手段を有する
ことを特徴とする請求項 11記載のセキュアデバイス。
[18] 前記セキュアデバイスは、さらに、
挿入されて ヽるセキュアデバイススロットの端末装置に、ドメイン IDを送信する送信 手段を備える
ことを特徴とする請求項 11記載のセキュアデバイス。
[19] 前記セキュアデバイスは、さらに、
挿入されて ヽるセキュアデバイススロットの端末装置に、前記ドメイン外利用履歴を 送信する送信手段を備える
ことを特徴とする請求項 11記載のセキュアデバイス。
[20] 秘匿データを保持するセキュアデバイスを接続する端末装置であって、
ドメイン外の端末装置に対するセキュアデバイスの利用条件であるドメイン外利用 条件を記憶する記憶手段と、
前記ドメイン外利用条件に従ってセキュアデバイスの利用可否を判定する判定手 段と
判定手段によって利用可能と判定された場合に、端末装置によるセキュアデバィ スの利用を可能にする制御手段と、
を備えることを特徴とする端末装置。
[21] 前記端末装置は、暗号化されたコンテンツを再生するコンテンツ利用装置であり、 前記秘匿データは前記コンテンツを復号するための暗号鍵であり、
前記制御手段は、セキュアデバイスに備えられ、判定手段によって利用可能と判定 された場合に、セキュアデバイスカゝら端末装置に前記秘匿データを供給する ことを特徴とする請求項 20記載のセキュアシステム。
[22] 前記ドメイン外利用条件は、（a)コンテンツ再生の回数、（b)コンテンツ利用装置の台 数、（c)ドメイン数、（d)有効期限、（e)利用時間、（f)端末 ID数、（g)ドメイン ID数、（ h)コンテンッの数および (i)ライセンスの数、の少なくとも 1つに関する ことを特徴とする請求項 21記載の端末装置。
[23] コンテンツ配信装置とコンテンツ利用装置とセキュアデバイスとを含むセキュアシステ ムであって、
前記コンテンツ配信装置は、ドメイン外のコンテンツ利用装置に対するセキュアデ バイスの利用条件であるドメイン外利用条件をコンテンツ利用装置に送信する送信 手段を備え、
前記セキュアデバイスは、セキュアデバイスを共用するコンテンツ利用装置カゝらなる ドメインに属するコンテンツ禾 lj用装置に、コンテンッ禾 lj用を可會 にする B音号鍵を供給 する供給手段を備え、
前記コンテンツ利用装置は、前記送信手段から前記ドメイン外利用条件を受信する 受信手段を備え、
前記コンテンツ利用装置およびセキュアデバイスの一方は、
セキュアデバイスおよび端末装置のドメインを定義するドメイン情報とを記憶する第
1記憶手段と、
受信手段に受信された利用条件を記憶する第 2記憶手段と、
前記ドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン内である かドメイン外であるかを判定する第 1判定手段と、
第 1判定手段によってドメイン外であると判定されたとき、前記ドメイン外利用条件に 従ってセキュアデバイスの利用可否を判定する第 2判定手段と
を備え、
前記供給手段は、さらに、前記判定手段によって利用可と判定されたとき、ドメイン 外のコンテンツ利用装置に暗号鍵を供給する
ことを特徴とするセキュアシステム。
[24] 秘匿データを保持するセキュアデバイスと、セキュアデバイスを接続する端末装置と を含むセキュアシステムにおけるセキュアデバイス利用方法であって、
セキュアデバイスおよび端末装置の何れかに備えられたメモリから、セキュアデバイ スおよび端末装置のドメインを定義するドメイン情報を読み出すステップと、 読み出されたドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン 内であるかドメイン外であるかを判定するステップと、
セキュアデバイスおよび端末装置の何れかに備えられたメモリから、ドメイン外にお けるセキュアデバイスの利用条件であるドメイン外利用条件を読み出すステップと、 第 1判定手段によってドメイン外であると判定されたとき、読み出されたドメイン外利用 条件に従ってセキュアデバイスの利用可否を判定するステップと、
ドメイン内と判定された場合、および、利用可能と判定された場合に、端末装置によ るセキュアデバイスの利用を可能にする制御ステップと、
を備えることを特徴とするセキュアデバイス利用方法。
[25] 前記端末装置は、暗号ィ匕されたコンテンツを再生するコンテンツ利用装置であり、 前記秘匿データは前記コンテンツを復号するための暗号鍵であり、
前記制御ステップにおいて、セキュアデバイスに備えられ、第 1判定手段によってド メイン内と判定された場合、および、第 2判定手段によって利用可能と判定された場 合に、セキュアデバイス力 端末装置に前記秘匿データを供給する
ことを特徴とする請求項 24記載のセキュアデバイス利用方法。
[26] 秘匿データを保持するセキュアデバイスと、セキュアデバイスを接続する端末装置と を含むセキュアシステムにおけるコンピュータ実行可能なプログラムであって、 前記プログラムは、
セキュアデバイスおよび端末装置の何れかに備えられたメモリから、セキュアデバイ スおよび端末装置のドメインを定義するドメイン情報を読み出すステップと、
読み出されたドメイン情報に従ってセキュアデバイスまたは端末装置が現在ドメイン 内であるかドメイン外であるかを判定するステップと、
セキュアデバイスおよび端末装置の何れかに備えられたメモリから、ドメイン外にお けるセキュアデバイスの利用条件であるドメイン外利用条件を読み出すステップと、 第 1判定手段によってドメイン外であると判定されたとき、読み出されたドメイン外利用 条件に従ってセキュアデバイスの利用可否を判定するステップと、
ドメイン内と判定された場合、および、利用可能と判定された場合に、端末装置によ るセキュアデバイスの利用を可能にするステップと、 をコンピュータに実行させることを特徴とするプログラム。
をコンピュータに実行させることを特徴とするプログラム。
[27] コンテンツ酉己信装置とコンテンツ禾 IJ用装置とセキュアデバイスとを含むコンテンツ禾 IJ 用システムにおけるコンテンツ配信装置であって、
ドメイン外のコンテンッ利用装置に対するセキュアデバイスの利用条件であるドメイ ン外利用条件をコンテンツ利用装置に送信する送信手段を備える
ことを特徴とするコンテンツ配信装置。
[28] 前記ドメイン外利用条件は、ドメイン外での（a)コンテンツ再生の回数、（b)コンテン ッ利用装置の台数、（c)ドメイン数、（d)有効期限、（e)利用時間、（f)端末 ID数、（g) ドメイン ID数、（h)コンテンツの数および (i)ライセンスの数、の少なくとも 1つに関する ことを特徴とする請求項 27記載のコンテンツ配信装置。
PCT/JP2005/005817 2004-03-31 2005-03-29 セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム WO2005096157A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
JP2006519460A JPWO2005096157A1 (ja) 2004-03-31 2005-03-29 セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム
US10/585,988 US20070165854A1 (en) 2004-03-31 2005-03-29 Secure system, secure device, terminal apparatus, method and program therefor
EP05727841A EP1736888A1 (en) 2004-03-31 2005-03-29 Secure system, secure device, terminal device, method, and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2004-106338 2004-03-31
JP2004106338 2004-03-31

Publications (1)

Publication Number Publication Date
WO2005096157A1 true WO2005096157A1 (ja) 2005-10-13

Family

ID=35063969

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2005/005817 WO2005096157A1 (ja) 2004-03-31 2005-03-29 セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム

Country Status (5)

Country Link
US (1) US20070165854A1 (ja)
EP (1) EP1736888A1 (ja)
JP (1) JPWO2005096157A1 (ja)
CN (1) CN1938692A (ja)
WO (1) WO2005096157A1 (ja)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007129320A (ja) * 2005-11-01 2007-05-24 Sony Corp 通信システム、通信装置及び通信方法、並びにコンピュータ・プログラム
JP2008269037A (ja) * 2007-04-17 2008-11-06 Hitachi Ltd 記録媒体の情報保護システム
WO2009028026A1 (ja) * 2007-08-24 2009-03-05 Mitsubishi Electric Corporation 限定受信装置
JP2009140438A (ja) * 2007-12-10 2009-06-25 Fujitsu Ltd 情報処理装置及びライセンス配信システム
JP4866858B2 (ja) * 2005-10-26 2012-02-01 パナソニック株式会社 データ処理装置及び処理方法
US9344886B2 (en) 2012-05-07 2016-05-17 Canon Kabushiki Kaisha Communication apparatus and control method
JP2018518738A (ja) * 2015-04-15 2018-07-12 サイトリックス システムズ，インコーポレイテッド サーバまたは他の装置からのエントロピーに基づくクライアント装置の認証
US10673845B2 (en) 2015-05-12 2020-06-02 Citrix Systems, Inc. Multifactor contextual authentication and entropy from device or device input or gesture authentication
USD886129S1 (en) 2016-05-10 2020-06-02 Citrix Systems, Inc. Display screen or portion thereof with graphical user interface

Families Citing this family (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4124216B2 (ja) * 2005-07-21 2008-07-23 コニカミノルタビジネステクノロジーズ株式会社 画像処理システムおよびその制御プログラム、ならびに、画像処理装置およびその制御プログラム
KR20080107982A (ko) * 2007-06-07 2008-12-11 삼성전자주식회사 컨텐츠의 사용 가능 여부 결정 방법 및 그 장치
KR101461945B1 (ko) * 2007-11-08 2014-11-14 엘지전자 주식회사 Ｄｒｍ에서 도메인 업그레이드 방법
WO2009153759A1 (en) * 2008-06-20 2009-12-23 Nagravision S.A. Method for controlling the use of a conditional access content and multimedia unit for implementing said method

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001518255A (ja) * 1997-03-21 2001-10-09 カナル プラス ソシエテ アノニム 暗号化放送信号の受信機と併用するためのスマートカード、および受信機
JP2004534291A (ja) * 2001-03-12 2004-11-11 コーニンクレッカ　フィリップス　エレクトロニクス　エヌ　ヴィ コンテンツアイテムを保護しながら記憶するための受信デバイスおよび再生デバイス
JP2004535623A (ja) * 2001-04-18 2004-11-25 モトローラ・インコーポレイテッド デジタル電子通信コンテンツを安全かつ便利に管理するためのシステムおよび方法

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP0936812A1 (en) * 1998-02-13 1999-08-18 CANAL+ Société Anonyme Method and apparatus for recording of encrypted digital data
WO2004023710A2 (en) * 2002-08-28 2004-03-18 Matsushita Electric Industrial Co., Ltd. Key delivery for operating an home network
US20050071663A1 (en) * 2003-09-26 2005-03-31 General Instrument Corporation Separation of copy protection rules for digital rights management

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001518255A (ja) * 1997-03-21 2001-10-09 カナル プラス ソシエテ アノニム 暗号化放送信号の受信機と併用するためのスマートカード、および受信機
JP2004534291A (ja) * 2001-03-12 2004-11-11 コーニンクレッカ　フィリップス　エレクトロニクス　エヌ　ヴィ コンテンツアイテムを保護しながら記憶するための受信デバイスおよび再生デバイス
JP2004535623A (ja) * 2001-04-18 2004-11-25 モトローラ・インコーポレイテッド デジタル電子通信コンテンツを安全かつ便利に管理するためのシステムおよび方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"IBM Response to DVB-CPT Call for Proposals for Content Protection & Copy Management: xCP Cluster Protocol.", 19 October 2001 (2001-10-19), pages 1 - 32, XP001148193, Retrieved from the Internet <URL:URL:http://www.almaden.ibm.com/software/ds/ContentAssurance/papers/xCP_DVB.pdf> [retrieved on 20050622] *

Cited By (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4866858B2 (ja) * 2005-10-26 2012-02-01 パナソニック株式会社 データ処理装置及び処理方法
JP2007129320A (ja) * 2005-11-01 2007-05-24 Sony Corp 通信システム、通信装置及び通信方法、並びにコンピュータ・プログラム
JP2008269037A (ja) * 2007-04-17 2008-11-06 Hitachi Ltd 記録媒体の情報保護システム
WO2009028026A1 (ja) * 2007-08-24 2009-03-05 Mitsubishi Electric Corporation 限定受信装置
JP5052616B2 (ja) * 2007-08-24 2012-10-17 三菱電機株式会社 限定受信装置
US8458454B2 (en) 2007-08-24 2013-06-04 Mitsubishi Electric Corporation Conditional access apparatus
JP2009140438A (ja) * 2007-12-10 2009-06-25 Fujitsu Ltd 情報処理装置及びライセンス配信システム
US9344886B2 (en) 2012-05-07 2016-05-17 Canon Kabushiki Kaisha Communication apparatus and control method
JP2018518738A (ja) * 2015-04-15 2018-07-12 サイトリックス システムズ，インコーポレイテッド サーバまたは他の装置からのエントロピーに基づくクライアント装置の認証
US10701065B2 (en) 2015-04-15 2020-06-30 Citrix Systems, Inc. Authentication of a client device based on entropy from a server or other device
US11558372B2 (en) 2015-04-15 2023-01-17 Citrix Systems, Inc. Authentication of a client device based on entropy from a server or other device
US10673845B2 (en) 2015-05-12 2020-06-02 Citrix Systems, Inc. Multifactor contextual authentication and entropy from device or device input or gesture authentication
USD888732S1 (en) 2015-05-12 2020-06-30 Citrix Systems, Inc. Display screen or portion thereof with transitional graphical user interface
US11297055B2 (en) 2015-05-12 2022-04-05 Citrix Systems, Inc. Multifactor contextual authentication and entropy from device or device input or gesture authentication
USD886129S1 (en) 2016-05-10 2020-06-02 Citrix Systems, Inc. Display screen or portion thereof with graphical user interface
USD888730S1 (en) 2016-05-10 2020-06-30 Citrix Systems, Inc. Display screen or portion thereof with graphical user interface
USD888731S1 (en) 2016-05-10 2020-06-30 Citrix Systems, Inc. Display screen or portion thereof with transitional graphical user interface
USD907652S1 (en) 2016-05-10 2021-01-12 Citrix Systems, Inc. Display screen or portion thereof with graphical user interface
USD915419S1 (en) 2016-05-10 2021-04-06 Citrix Systems, Inc. Display screen or portion thereof with transitional graphical user interface

Also Published As

Publication number Publication date
CN1938692A (zh) 2007-03-28
US20070165854A1 (en) 2007-07-19
EP1736888A1 (en) 2006-12-27
JPWO2005096157A1 (ja) 2008-02-21

Similar Documents

Publication Publication Date Title
WO2005096157A1 (ja) セキュアシステム、セキュアデバイス、端末装置、方法およびプログラム
US20110110516A1 (en) Content receiver, content reproducer, management server, content use system, content use method, method of write-out from content receiver, method of possible viewing time management on content reproducer, method of time limit fixation in management server, and program
JP2004350150A (ja) コンテンツ配信サービス提供装置及びコンテンツ配信サービス端末装置
GB2415525A (en) Transferring protected content between playback devices
JP2004139433A (ja) 端末装置とこの装置で使用する記録媒体、及びコンテンツ管理システムとその管理サーバ
EP2809029A1 (en) Recording apparatus, terminal apparatus, and content transfer system
KR20070035994A (ko) 기호 정보 처리 시스템, 기록 장치 및 정보 처리 장치, 및통신 방법
US7949604B2 (en) Information providing system, and information processing apparatus and method
JPWO2004086235A1 (ja) リボケーション情報の送信方法、受信方法及びその装置
CN101843109A (zh) 处理数据的方法和iptv接收设备
US20020101990A1 (en) Data receiving apparatus and data reproducing apparatus
JP6790262B2 (ja) コンテンツ視聴方法およびそれに用いる携帯情報端末
US7562231B2 (en) Apparatus and system for recording and reproducing contents
JP2003216500A (ja) デジタル著作権管理システム
JP2003152696A (ja) メタデータ送信方法、メタデータ受信方法およびメタデータ送信装置、メタデータ受信装置ならびにメタデータ送信プログラム、メタデータ受信プログラム
JP5258646B2 (ja) 放送受信装置、送信装置、放送システム、及び放送受信方法
US20090187942A1 (en) Receiving apparatus
JP5241945B2 (ja) デジタルコンテンツ受信装置、および、デジタルコンテンツ受信方法
JP5775140B2 (ja) デジタルコンテンツ送受信システム、および、デジタルコンテンツ送受信方法
EP1296477A1 (en) Content reproduction apparatus, content distribution server, and content distribution system
JP2001077806A (ja) データ管理カード
JP5241946B2 (ja) デジタルコンテンツ送受信システム、および、デジタルコンテンツ送受信方法
JP5081512B2 (ja) デジタルコンテンツ受信装置及びデジタルコンテンツ受信方法
JP4977834B2 (ja) 記録装置
JP2003018562A (ja) コンテンツ提供方法、コンテンツ受信端末およびセキュリティモジュール

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 2006519460

Country of ref document: JP

AK Designated states

Kind code of ref document: A1

Designated state(s): AE AG AL AM AT AU AZ BA BB BG BR BW BY BZ CA CH CN CO CR CU CZ DE DK DM DZ EC EE EG ES FI GB GD GE GH GM HR HU ID IL IN IS JP KE KG KP KR KZ LC LK LR LS LT LU LV MA MD MG MK MN MW MX MZ NA NI NO NZ OM PG PH PL PT RO RU SC SD SE SG SK SL SM SY TJ TM TN TR TT TZ UA UG US UZ VC VN YU ZA ZM ZW

AL Designated countries for regional patents

Kind code of ref document: A1

Designated state(s): GM KE LS MW MZ NA SD SL SZ TZ UG ZM ZW AM AZ BY KG KZ MD RU TJ TM AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HU IE IS IT LT LU MC NL PL PT RO SE SI SK TR BF BJ CF CG CI CM GA GN GQ GW ML MR NE SN TD TG

121 Ep: the epo has been informed by wipo that ep was designated in this application
WWE Wipo information: entry into national phase

Ref document number: 2005727841

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2007165854

Country of ref document: US

Ref document number: 10585988

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 200580009742.X

Country of ref document: CN

NENP Non-entry into the national phase

Ref country code: DE

WWW Wipo information: withdrawn in national office

Country of ref document: DE

WWP Wipo information: published in national office

Ref document number: 2005727841

Country of ref document: EP

WWP Wipo information: published in national office

Ref document number: 10585988

Country of ref document: US

WWW Wipo information: withdrawn in national office

Ref document number: 2005727841

Country of ref document: EP