(57)【要約】  本発明は、デジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための認証システムと方法に関する。加入者識別データを維持するために少なくとも一つの加入者管理システムが構成される。加入者認証システムは、加入者識別データとは別個に加入者受給権データを維持するように構成される。加入者管理システムは、加入者によるデジタルコンテンツ抽出要求を受信すると、当該加入者を識別し、そして上記要求されたデジタルコンテンツにアクセスする受給権を当該加入者に与えるオーダーを、加入者認証システムに対し生成するように構成される。加入者認証システムは、このようなオーダーを受信すると、要求されたデジタルコンテンツにアクセスするための加入者受給権を確認し、確認されると、該加入者に関連したシステムクライアントに、要求されたデジタルコンテンツにアクセスするための受給権を送信するように構成される。
2008533586.tif 000002
【特許請求の範囲】
【請求項１】
デジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための認証システムであって、
加入者識別データを維持するように構成された少なくとも一つの加入者管理システムと、
前記加入者識別データとは別個に加入者受給権データを維持するように構成された加入者認証システムと、を有する認証システムにおいて、
前記加入者管理システムは、加入者によるデジタルコンテンツ抽出要求を受信すると、前記加入者を識別し、そして前記要求されたデジタルコンテンツにアクセスする受給権を前記加入者に与えるオーダーを、前記加入者認証システムに対し生成するように構成され、
前記加入者認証システムは、このようなオーダーを受信すると、前記要求されたデジタルコンテンツにアクセスする加入者受給権を確認し、確認されると、前記要求されたデジタルコンテンツにアクセスする受給権を前記加入者に関連したシステムクライアントへ送信することを特徴とする認証システム。
【請求項２】
前記加入者受給権データは、前記加入者認証システムにより細分化された様式で維持されることを特徴とする、請求項１に記載の認証システム。
【請求項３】
前記細分化された加入者受給権データに対するキーは前記加入者管理システムにより維持されることを特徴とする、請求項２に記載の認証システム。
【請求項４】
前記要求されたデジタルコンテンツにアクセスする受給権を前記加入者に与える、前記加入者認証システムに対する前記オーダーは、前記細分化された加入者受給権データに対する前記キーを含むことを特徴とする、請求項３に記載の認証システム。
【請求項５】
前記加入者認証システムは、前記キーを使用することにより、前記要求されたデジタルコンテンツにアクセスする加入者受給権を確認するように構成されることを特徴とする、請求項４に記載の認証システム。
【請求項６】
前記加入者識別データに関連したメタデータは前記加入者管理システムにより維持されることを特徴とする、請求項１〜５のいずれか一項に記載の認証システム。
【請求項７】
個人加入情報の加入者に関連したシステムクライアントへの提示を可能にするために、前記受給権情報と、対応するメタデータおよび加入者識別データとを照合するように構成された照合モジュールをさらに含むことを特徴とする、請求項６に記載の認証システム。
【請求項８】
前記加入者受給権データは医療処方データを含むように構成され、これにより前記個人加入情報は個人医療処方情報を含むことを特徴とする、請求項７に記載の認証システム。
【請求項９】
所定時間の間、期限切れ受給権を追跡するように構成された受給権履歴機能をさらに含むことを特徴とする、請求項１〜４のいずれか一項に記載の認証システム。
【請求項１０】
デジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための方法であって、
加入者識別データを維持するために少なくとも一つの加入者管理システムを構成するステップと、
前記加入者識別データとは別個に加入者受給権データを維持するために加入者認証システムを構成するステップとを有する方法において、
加入者によるデジタルコンテンツ抽出要求を受信すると、前記加入者を識別し、そして前記要求されたデジタルコンテンツにアクセスする受給権を前記加入者に与えるオーダーを、前記加入者認証システムに対し生成する前記加入者管理システムを構成するステップと、
このようなオーダーを受信すると、前記要求されたデジタルコンテンツにアクセスするための前記加入者受給権を確認し、確認された場合、前記加入者に関連したシステムクライアントに、前記要求されたデジタルコンテンツにアクセスするための受給権を送信する前記加入者認証システムを構成するステップと、をさらに有することを特徴とする、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、請求項１の前文（所謂おいて部分、プリアンブル部分）に記載のデジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための認証システムに関する。
【０００２】
本発明は、また、請求項１０の前文に記載のデジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための方法に関する。
【背景技術】
【０００３】
条件付きアクセスシステム等のデジタルコンテンツ保護のための認証システムはよく知られており、現在利用可能な有料テレビシステムと併せて広く使用されている。現在、このようなシステムは、通常、セットトップボックスと加入パッケージごとのスマートカードとを有する加入者により受信される、制御ワードでスクランブルされたプログラムの送信に基づく。
【０００４】
特定サービスプロバイダーからの加入パッケージ用スマートカードにより、パッケージ内のスクランブルプログラムが逆スクランブルされ視聴される。同報通信ストリームは、さらに、スマートカードが同報通信を逆スクランブルするのに必要な受給権（entitlement）管理メッセージと受給権制御メッセージを含む。
【０００５】
条件付きアクセスアプリケーションでは、当然、収益を得るためにデジタルコンテンツを保護する要件があるが、また加入者個人のインテグリティを保護する要件もある。
【０００６】
デジタルコンテンツと加入者インテグリティの保護に対する厳格な要件を有するデジタルコンテンツの保管と配布に係る他のアプリケーションの数は、絶えず増加している。
【０００７】
このような他のアプリケーションの一例として、医療処方箋と薬局の分野が研究されてもよい。例えばスウェーデンなど多くの国では、薬局会社は、顧客による特別の合意なしに長期間処方情報を保持することが禁止される（例えば、現在、スウェーデンでは２か月を越えてはならない）。このため、該情報を利用する薬局会社が、処方箋を取り扱うために単一のコンピュータ化システムを維持することが厄介になる。同意しないクライアントと、２ヶ月後以降の有効期限を有する処方箋を有するクライアントは、該システムから取り除かれなければならない。
【０００８】
デジタルコンテンツの保護のために現在利用可能なシステムは個人のインテグリティを十分に保護しない。
【発明の開示】
【課題を解決するための手段】
【０００９】
本発明の一つの目的は、デジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための改善された認証システムを提供することであり、特に、加入者識別データを維持するように構成された少なくとも一つの加入者管理システムを含むデジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための改善された認証システムと、加入者識別データとは別個に加入者受給権データを維持するように構成された加入者認証システムとを提供することである。
【００１０】
この目的は請求項１に記載のシステムにより達成される。
【００１１】
加入者によるデジタルコンテンツ抽出要求を受信すると、加入者を識別し、そして上記要求されたデジタルコンテンツにアクセスする受給権を加入者に与えるオーダーを加入者認証システムに対し生成するように構成された加入者管理システムと、このようなオーダーを受信すると、要求されたデジタルコンテンツにアクセスする加入者受給権を確認し、確認されると、要求されたデジタルコンテンツにアクセスする受給権を該加入者に関連したシステムクライアントに送信するように構成された加入者認証システムと、を設けることにより、加入者インテグリティを保証するとともにデジタルコンテンツに対する高レベルの保護を提供する認証システムが提供される。
【００１２】
本発明のもう一つの目的は、デジタルコンテンツ配信システムにおいてデジタルコンテンツおよび加入者インテグリティの保護のための改良方法を提供することであり、特に、加入者識別データを維持する少なくとも一つの加入者管理システムを構成するステップと、加入者識別データとは別個に加入者受給権データを維持する加入者認証システムを構成するステップとを含む、デジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための改良方法を提供することである。
【００１３】
この目的は請求項１０に記載の方法により達成される。
【００１４】
さらに、加入者によるデジタルコンテンツ抽出要求を受信すると、加入者を識別し、そして上記要求されたデジタルコンテンツにアクセスする受給権を加入者に与えるオーダーを加入者認証システムに対し生成する加入者管理システムを構成するステップと、このようなオーダーを受信すると、要求されたデジタルコンテンツにアクセスする加入者受給権を確認し、確認されると、要求されたデジタルコンテンツにアクセスする受給権を該加入者に関連したシステムクライアントに送信する加入者認証システムを構成するステップとを設けることにより、加入者インテグリティを保証するとともに、デジタルコンテンツに対する高レベルの保護を提供する、デジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティを保護するための方法が提供される。
【００１５】
好ましい実施態様は従属請求項に記載される。
【００１６】
以下に、ほんの一例として、添付された図面を参照し本発明をさらに詳細に説明する。
【００１７】
本発明のさらに他の目的と特徴は、添付図面と併せ以下の詳細な説明から明らかになる。しかしながら、添付図面は本発明の限界の定義としてではなく単に例示のためにのみ設計されていると理解されたい。本発明の限界は添付の特許請求範囲を参照すべきである。添付図面は特記ある場合を除き必ずしも基準化されて描かれていないということ、そして添付図面は本明細書で説明される構成と手順をあくまでも概念的に例示することを意図しているということをさらに理解すべきである。
【発明を実施するための最良の形態】
【００１８】
本発明による認証システムまたは条件付きアクセスシステム（ＣＡＳ：conditional access system）は、デジタル受給権管理（例えば著作権付きデジタルコンテンツの販売に伴う収益の保護と回収）の維持を容易にし、かつデータとサービスの保管と配送と、システム内での強力なユーザインテグリティサービスとを確保するためのシステムとなることを意図している。ＣＡＳは、加入者が登録済みの加入に従って著作権付きデジタルコンテンツを受信することを認証するとともに、既存および将来の様々なサービスに対するセキュリティと機密性を保証するために使用される。
【００１９】
本発明によるＣＡＳは、認証された加入者に対する著作権付きデジタルコンテンツとサービスの保護とセキュアな配送のための包括的なプラットフォームとツールキットを提供する。これは、いくつかの異なるデータ通信インフラストラクチャ上のデータ伝送技術だけでなく、暗号手法、認証、およびアクセス制御を含む十分に確立したセキュアな配送技術と方法を使用することにより行われる。これらのインフラストラクチャは、例えば同報通信、ＩＰ、様々な無線、および移動体ネットワークを含む。同報通信のためのＣＡＳの主目的は、個々のどの受信機／セットトップ復号器（一体型受信機復号器（Integrated Receiver Decoders：ＩＤＲ）とも呼ばれる）が特定のプログラムサービスまたは個々のプログラムを視聴者に配信できなければならないかを判断することである。
【００２０】
ＣＡＳは、加入者がテレビとビデオコンテンツを視聴し、有料の端末装置にサービスを受信できるようにするアクセス制御システムとなる。ＣＡＳシステムは、様々な端末装置のＣＡＳクライアントソフトウエアだけでなく、データベースサーバー、バックエンドシステムなどのいくつかのサブシステムを含む。このシステムは、また、将来、例えば端末装置における外部ソフトウェアの実行を認証することができる。
【００２１】
同報通信の場合には、このシステムは、また、ヘッドエンド（Head-end）を含む。これは、同報通信送信のスクランブリング時に（スクランブル装置の支援により）支援するために使用されるサブシステムである。ＣＡＳは、また、バックアップおよびログサブシステム、受給権生成モジュール、キー生成モジュール、システム通信モジュール（円滑なシステムネットワーク通信を処理する）、システム監視モジュール（システム障害通知用）、およびシステム管理ツールを含む。
【００２２】
ＣＡＳは送信側においてコンテンツプロバイダー間で共有されるように意図されるので、そのシステムは２つの個別の機能要素、すなわち加入者管理システム（ＳＭＳ：Subscriber Management System）と加入者認証システム（ＳＡＳ：Subscriber Authorization System）に分割される。ＳＡＳは、エンドユーザが特定の内容にアクセスすることを認証するシステムであり、ＳＭＳはエンドユーザデータ（例えば、加入、プログラムまたはサービス等の個々の購入）を管理するシステムである。
【００２３】
ＳＡＳは、ＣＡＳ管理ツールとＳＭＳに依存しており、管理ＡＰＩを使用してシステムと通信を行わなければならない。いくつかのＳＭＳは、いくつかの管理プログラム（ＳＭＳ）に対し一つの支援（ＳＡＳ）という複雑な状況を生成するＳＡＳを管理することができる。ＳＡＳにおけるデータ上の競合または機密漏洩を回避するために、ＣＡＳは、すべてのＳＭＳは自身が生成したデータのみを管理することができるという一般規則を有する。これは、いくつかのＳＭＳが同じデータに同時に働きかけないために、または一つのＳＭＳが別のＳＭＳに属するデータを盗んだり操作したりしないために、セキュリティおよび冗長性の理由から特に重要である。ＳＡＳは通常、オペレータに所有されるが、ＳＭＳはビジネスクライアントサイトに設置してよい。異なるビジネスに属する２つのＳＭＳが同じＳＡＳを共有してもよい。
【００２４】
特別かつ限定された情報を入力する（例えば購入オーダーを入力する）ために使用されるすべての外部システム装置はＳＭＳの一部と考えられ、直接、ＳＡＳにではなくＳＭＳに接続されなければならない。これにより、ＳＡＳとＳＭＳ間のＡＰＩを制限し、ＳＭＳの柔軟性を強化する。しかしながら、外部ＡＰＩは非常に限定された機能を有しなければならなく、特別のセキュリティ規則、およびＳＭＳへの非常に限られたアクセス制御により厳密に制御される。それらの主目的は、エンドユーザに対するサービスを向上することであり、ＳＭＳ−ＳＡＳ入力フロー、主要ＣＡＳデータフローに対する補完と見なすべきでなく、むしろＳＭＳとのインタフェースを補完することである。いかなる外部システムもＳＡＳと直接相互連結されてはならない。
【００２５】
データベースは、受給権とシステムクライアントデータを格納するだけでなくエンドユーザおよび端末装置情報を管理するために維持される。極めて高度なセキュリティとインテグリティ要件のため、加入者管理データと加入者受給権データは論理的かつ物理的に分離される。これにより、エンドユーザに対する高度の個人のインテグリティを保証するだけでなく、受給権が簡単に操作されることを保護するための高度セキュリティを保証し、これによりアクセス制御はコンテンツを受信する受給権を与えられた加入者に限定され、その他の加入者にはアクセス制御は行われないことを保証する。
【００２６】
ＣＡＳの主要サブシステムはいわゆるバックエンドシステムであり、加入者管理システム（ＳＭＳ）と加入者認証システム（ＳＡＳ）とを結合したものである。ＳＭＳは、加入、アカウント情報、オーダー等すべての加入者データを取り扱い、一方ＳＡＳは、ＳＭＳのオーダーと仕様に基づき受給権を生成しそれを端末装置に送信する。
【００２７】
２番目に重要なＣＡＳサブシステムはいわゆるヘッドエンドシステムである。このシステムは、同報通信送信に対するアクセス制御を行うという目的を有する。このシステムは、同報通信送信と密接に一体化され、従って同報通信技術（地上、衛星、ケーブルまたは移動体）に若干依存して異なるかもしれない。従って、このシステムは、明瞭な同報通信ストリームの暗号化の最下位レイヤを取り扱うスクランブル装置と高度に一体化されなければならない。考慮すべき明確な同報通信送信の標準規格は存在するが、ＣＡＳは一般的にはセキュリティの理由で標準化されない。これらの場合において考慮すべき標準規格は、ＤＶＢ−Ｔ：地上送信に対処する標準規格集、ＤＶＢ−Ｓ：衛星送信に対処する標準規格集、ＤＶＢ−Ｃ：有線伝送に対処する標準規格集、ＤＶＢ−Ｈ：ハンドヘルド装置に対処する標準規格集である。
【００２８】
ＣＡＳクライアントは、いわゆる端末装置において実行するソフトウェアであり、ネットワーク接続と、ディジタルメディアコンテンツを表示することができるスクリーンを有する任意の電子装置であってよい。スクリーンは組み込まれてもよいし（例えば、ラップトップ、スマートフォン、ＰＤＡ、携帯用テレビ、または冷蔵庫にも）、あるいはスクリーンはケーブルを介して取り付けられてもよい（例えば、セットトップボックスまたは据置きコンピュータに）。クライアントは、受信した受給権を取り扱うとともに送信およびデジタルデータを逆スクランブル／解読するために使用される。
【００２９】
ＣＡＳクライアントは、セットトップボックスおよび他のコンピュータベースの端末装置のためのＬｉｎｕｘディストリビューションまたはＷｉｎｄｏｗｓ ＸＰのような端末装置固有のオペレーティングシステム上で実行される。ハンドヘルド装置は、通常、クライアントがＰＰＣ、Ｐａｌｍ ＯＳ、またはウィンドウズＣＥ、携帯電話装置用の製造者固有のオペレーティングシステム（例えばシンビアンＯＳ（Ｓｙｍｂｉａｎ ＯＳ））上で走ることを要請する。
【００３０】
システムアーキテクチャは情報分離モデルに基づく。加入者と加入者活動情報はＳＭＳとＳＡＳ間に分割される。ＳＭＳにおける情報は、受給権（または権利と呼ぶ）に関するいかなる情報（これは視聴者の予め選択した活動と見られる）も含まず、加入者に関する情報のみを含む。ＳＭＳにおけるすべての加入者は、ヌルキーから数個のキーまでをすべて含む一組の受給権キー（Ｅ−キー）を有する。これらのキーはＳＡＳにおける受給権となるが、受給権の性質についていかなる手掛かりも与えない（例えば、どの受給権がどの加入、どのオーダーまたは他の関連情報に接続されるかについて何も明らかにしない）。
【００３１】
一方、ＳＡＳは、いかなる加入者に関する情報も含まない。その代わり、ＳＡＳは、当該受給権を正しい端末装置に向けるためにシステムクライアント情報の一部だけでなく受給権も追跡する。特定の活動が抽出されると（例えば課金のため）、ＳＭＳは、照合サブシステム（matching sub-system）に対し、特定の受給権キー抽出のオーダーを与えると同時に加入者コンテンツを送信する。ＳＡＳはキーに応じて受給権を抽出し照合サブシステムにそれを送信する。この情報は照合システムにおいて組み立てられ人間が読むことができるようになる。
【００３２】
受給権は、ＳＭＳによりＳＡＳに送信されたオーダー情報を使用することによりＳＡＳにおいて生成され時間制限される。時間制限は受給権が生成されたときに設定されるが、わずか数分（または数秒も）から１年または数年までの有効期限を有してよい。受給権は、端末装置を介してオーダーを出すときにエンドユーザにより実行される特定のエンドユーザ要求により生成されるか、あるいは受信料が支払われると新規の受給権が再生成される加入者シナリオにおいて自動生成により生成される。ＳＡＳにおける受給権は、ＳＡＳに設置されたシステムクライアントまたはシステムクライアントの一部に関連付けられる。
【００３３】
受給権は、該受給権を正しい端末装置に向けるための端末装置物理的識別名に緩く関連付けられる。この端末装置識別名は、端末装置に関連する特定の識別判定基準と、この物理的識別名を生成する他の任意の識別可能な基準点に従って生成される。物理的識別名は、この端末装置についてＳＭＳ内に既に存在するデータ、またはエンドユーザが端末装置をＳＭＳに登録する時に入力されたデータの支援により、エンドユーザが端末装置をＣＡＳオペレータに登録する時に生成される論理的識別名である。次に、ＳＭＳは、ＳＡＳにオーダーし、エンドユーザ登録により入力された利用可能なデータにより物理的識別名を生成させる。但し、物理的識別名は、ＳＭＳにおいて加入者に直接関連付けられ得る直接識別名（例えばセットトップボックスＩＤ）から分離される。この物理的識別名は、ＳＭＳデータとＳＡＳデータ間の明確な論理的分離を保証し、これにより加入者に対するシステムプライバシーを保証する。
【００３４】
この分離モデルに従い、システムはシステムクライアントに対するインテグリティを生成するだけではなく、情報の細分化と配布によりセキュリティを生成する。このシステム設計モデルは、また、異なるＳＭＳ所有者間の情報漏洩が不可能であることを保証するシステムを生成する。ＳＡＳから加入者情報を取り除くことにより、システムは、いくつかのＳＭＳが一つのＳＡＳを共有するための条件を生成する。このシステムモデルは、また、システムを、メディア配送におけるＣＡＳ制御以外の他の目的に使用する条件を生成する。本システムは、個人のインテグリティが問題になる場合の多くに、例えば医療研究システム、銀行業務用セキュリティシステム、薬剤の領収書に適用され得る。
【００３５】
加入者がプログラムサービスまたは他のサービスをオーダーする場合、オーダーは、オーダーＩＤと一つまたは数個のキーＩＤにより生成される。オーダーは、特定の時刻にＳＡＳにおいて登録されたデータを表す。オーダーは一人の加入者により所有され、加入者は数個のオーダーを有してよい。オーダーは、ユーザが所有する受給権のエンドユーザ表現であり、この表現はＳＡＳにおいて受給権を生成するために使用される。
【００３６】
オーダーＩＤはすべてのオーダーに固有であり、常に一枚のオーダーシートに対応付けられる。オーダーシートに関連するキーＩＤは、ある時点で期限切れになる。期限切れとなったキーＩＤは、もはやエンドユーザにより使用されないが削除されない。キーＩＤは時間制限され、この時間制限が受給権の有効期限を決定する。
【００３７】
加入者システムシートはオーダーのＳＭＳ表現であり、この表現は加入者アカウント内に保持される。受給権は、加入者システムシート内に埋め込まれたＥキーにより表され、公には「秘密」にされる（例えば、いかなる汎用インタフェースを介しても無条件に表示されることはなく、これはシステムを稼動し管理する管理要員に対しても表示されないことを含む）。プログラムサービスまたは一般サービスもまた、数個の受給権キーから構成されてよく、従って特定のサービス用の数個のＥ−キーを埋め込む。
【００３８】
すべてのＥ−キーは、ＳＡＳにおける受給権を表し、全体オーダーに対する期限切れ時間である期限切れキー（キーＩＤ）をマッピングする。場合によっては、プログラムサービスまたは他のサービスもまた、Ｅ−キーにマッピングされる使用制限（例えば、使用されてよい回数に制限されたキー）を含む。通常、使用制限されたキーは、一回だけのＰＰＶサービスまたは何回かのＰＰＶサービス（例えばスポーツイベントに対するシーズン入場券）に対する様々なＰＰＶサービスに使用される。加入者システムシート内のコンテンツは動的であり時間とともに変化し得る。Ｅ−キーが期限切れになるとシートから削除される。しかしながら、Ｅ−キーをマッピングするために使用されるオーダーシート内のもとのキーＩＤは削除されなく、期限切れと印されるだけである。
【００３９】
すべての受給権は、ＳＡＳ内の固有の受給権識別名であるＥ−キーにより識別される。受給権は、ＳＡＳ内に格納されたシステムクライアント識別名の形式で表される端末装置に関連付けられる。
【００４０】
これまで同報通信システムにおける条件付きアクセスに関し概略的に説明してきたが、上述のように他の実施形態もまた考えられる。
【００４１】
一例として、医療および薬局サービスの実施形態に関するサービスに課される多くの特別の要件がある。これは通常、極めて高度なエンドユーザプライバシー要件に関し、ＳＭＳに対し特別の要件を与えるが、ＳＡＳソリューションは基本的に影響を受けない。この場合、すべての薬と服用量（例えばＩｐｒｅｎ ４００ｍｇ）はサービスとしてシステム内にマッピングされなければならなく、一方、診断（例えば、アンモニア、鬱病等）は標示識別名（Viewing Identity）としてマッピングされなければならない。
【００４２】
端末装置においてソフトウェアを起動し、端末装置とエンドユーザを認証するためには設定シナリオが必要である。このシナリオは、また、端末装置がＣＡＳソフトウェア実装を有する場合（例えば、加入者が有料放送テレビ（ｐａｙ−ＴＶ）のないサービス加入を有する場合）、キーと当初の受給権を受信するためにも必要である。
【００４３】
端末装置とエンドユーザを容易に、速い時間で、かつエンドユーザに対しトランスペアレントに識別することができるために、システムは、エンドユーザ識別名を予め識別し確認する必要がある。この目的のため、システムは、端末装置への論理的接続を生成する必要がある。論理的接続が存在するとき、識別名が手を付けられることなくそして端末装置がそのＳＭＳから受給権を受信すれば、システムは、サービスを円滑に配信することにより端末装置の機能を容易に維持することができる。この識別は設定シナリオにおいて実行されるが、一方、端末装置の確認は時々端末装置に「問い合わせをする」ことによりＳＡＳにより行われなければならない。
【００４４】
通常、ＣＡＳは物理的ハードウェア識別名に関する知識を予め有する。これは、同報通信送信（例えば、地上、衛星、ケーブル、と移動体装置用送信）を介してコンテンツを配信する端末装置にとって不可欠のものである。
【００４５】
ハードウェアの物理的識別名が知られていなく、かつ同報通信送信を目的としない場合、端末装置内のＣＡＳソフトウェアは既知の固有シリアルキーとして、物理的ハードウェア識別点（例えば、ブルートゥースアドレス）と他の外部の既知のハードウェア（例えば、既知のアクセスポイント）の環境を次にスキャンしなければならないソフトウェアを識別するために使用される。
【００４６】
顧客がオーダーを生成するとき、図１に示すようなオーダーシートが生成される。ＳＭＳはオーダーシートを受信し、それを処理し始める。個人加入者情報は加入者アカウントに格納される。ＳＡＳオーダーは、サービスラベルとＳＡＳ顧客ＩＤ（ＳＡＳがシステムクライアントを認識することができるマッピングテーブルのみ）を含んで生成される。このＩＤは、システムクライアントを認識するために標準文字で使用されてよいし、あるいはシステムクライアントＩＤを求めるための入力として使用されてよい。このＳＡＳオーダーは一時的に加入者アカウント内に格納されるが、また、ＳＡＳにも送信される。
【００４７】
ＳＡＳが、受給権を生成するためのＳＡＳオーダーを受信すると、ＳＡＳは当該情報を抽出し、そして既存のサービスパッケージと、（マッピングまたは計算により）認識されたシステムクライアントに従って受給権を生成する。従って、受給権はシステムクライアントに関連付けられて格納される。受給権を識別するＥ−キーは、ＳＡＳオーダー番号と共に送り返される。
【００４８】
ＳＡＳが特定のＳＡＳオーダー番号に関するすべてのＥ−キーを受信すると、加入者アカウント内に一時的に格納されたＳＡＳオーダーは送出され、加入者システムシートを使用することにより受給権キーと置換される。
【００４９】
図１では、オーダーは４つの受給権に細分化される。新規の加入者システムシートがまだ使用されていないのでＳＭＳもまた低レベルの粒状度（granularity）を選択したが、その代り、既存の加入者システムシートに情報が追加された。加入者個人情報はＳＭＳ内に保持され、オーダーは加入者アカウントと照合され、一方、受給権はＳＡＳ内に保持される。細分化された加入者受給権データに対するキーは加入者管理システムＳＭＳにより維持される。要求されたデジタルコンテンツにアクセスする受給権を加入者に与えるための、加入者認証システムに対するオーダーは、細分化された加入者受給権データに対するキーを含む。
【００５０】
図２に、システムのフレームワークを使用することにより受給権がどのように見えるかの例を示す。
【００５１】
生成された受給権は特定の送信時刻を有しなくてよい。この場合、受給権は送信カルーゼル内に置かれない。これらの受給権は、送信時刻を待ちつつ別々に格納される。送信時刻はエンドユーザを介して設定される。
【００５２】
ユーザがＳＭＳにオーダーを出すと、ＳＭＳはＥ−キーを使用することにより受給権抽出オーダーを出す。システムはＥ−キーを使用し、受給権を発見し、即時送信用の受給権カルーゼル内に受給権を置く。ＳＡＳはＳＭＳに成功通知を送信する。しかしながら、受給権が記憶装置内になければ期限切れになったものと考え、失敗通知がＳＭＳに送信される。
【００５３】
この目的は、オーダーされおそらく予め代金が支払われるサービスを提供することができるようにすることである。このようなサービスは、例えば、選択されたスポーツイベントのｘ番号に対するシーズン入場券を購入することであろう。別の可能なサービスは、長期処方箋から薬をオーダーすることであろう。ここでは様々な薬がＳＡＳにおける受給権に変換され、例えば、加入者受給権データは医療処方情報を含むように構成されてよく、これにより個人加入サービス情報は個人医療処方情報を含む。
【００５４】
受給権が期限切れになるとシステムにより除去され、そのこん跡はすべて消える。期限切れ通知により潜在的失敗通知を展開するために、期限切れ受給権を追跡できるシステムとして、システムは、所定の限定時間の間、期限切れ受給権を追跡するために受給権履歴機能を使用することができる。このとき、システムは失敗通知をＳＭＳへ送信する前に、受給権履歴を探索して期限切れ受給権を求めることができるであろう。
【００５５】
システムが、ＣＡＳ全体を介して個人プライバシーと情報インテグリティを保持する場合、照合は別のシステム機能または別のサブシステムを介して行われなければならない。システムは、もとのオーダーの照合と回復を取り扱わなければならない。
【００５６】
エンドユーザが登録済みのオーダー（例えば、スポーツイベントのｘ番号に対するシーズン入場券）を有し、このオーダーと履歴のステータスを見る必要がある場合、システムは当該情報を照合する必要がある。ＳＭＳはこのオーダーがどれだけの数の受給権を残しているかが分からず、ＳＡＳは誰に受給権が属するのかが分からないので、照合システムが介入して受給権とエンドユーザとをマッピングする必要がある。
【００５７】
ＳＭＳは、ＳＡＳに対し、関連するＥ−キーに対する照合オーダー番号（matching order number）を含む情報照合オーダーを出し、ＳＭＳが所有する情報を照合モジュール（Matching module）に送信する。該照合オーダーを受信すると、ＳＡＳは、受信した照合オーダー番号と共に受給権（例えば、期限切れ、送信済み、未使用等）についての情報を照合モジュールへ送信する。この情報は、ＳＭＳからの情報と照合され、照合データ（matching data）内に見出される仕様に従って解釈される。すなわち、照合モジュールは、例えば個人加入サービス情報の加入者に関連するシステムクライアントへの提示を可能にするために、対応するメタデータおよび加入者識別データと、受給権情報とを照合するように構成されてよい。
【００５８】
インボイスが生成される場合、インボイス処理システムはインボイス上に印刷された情報を必要とする。一般情報はＳＭＳにより提供されてもよいが、詳細情報については、システムは、ＳＡＳとＳＭＳからの情報を照合する必要がある。照合機能は、購入履歴のようなエンドユーザサービスを提供するため、そして使用されない受給権を管理することができるためにも必要である。
【００５９】
照合機能ができるだけ柔軟となるために、該機能はモジュールとして実装されなければならない。従って、照合機能は、セキュリティ要件に応じてＳＭＳ、ＳＡＳ、または第３の照合システム内に統合されてよい。ＳＭＳへの統合は安全性が低い実装であると考えられ、通常、避けるべきである。
【００６０】
照合機能が正しく動作するために、照合モジュールには照合オーダーが供給されなければならない。受給権が生成される場合、あるいは加入者識別データがシステム実装に依存した受給権情報と照合される場合、情報が逆アセンブルされるときにこれら照合オーダーはＳＭＳにより照合モジュールへ供給されなければならない。
【００６１】
送信のためにスケジューリングされた有効な受給権は待ち行列内に見出すことができ、未スケジューリングの受給権は受給権記憶装置内に見出すことができ、期限切れ受給権は受給権履歴に格納される。
【００６２】
生成された受給権は、さらに、システムにあまり多くの負担をかけることなく、配布済みキーを無効にできなければならない。
【００６３】
キー取消しは、サービスの発注と同様なやり方で取り扱われなければならない。すべての加入者システムシートは、加入者アカウント内の利用可能なすべてのサービスに対する埋込みキーを有する。この場合、ＳＭＳが受給権を発注するのと同様なやり方で、システムは受給権取消しのオーダーを出す。ＳＡＳは取消しオーダーを受信し、Ｅ−キーに関連した受給権を見出し、受給権を期限切れにする。任意の残余部分が受給権カルーゼルと関連待ち行列から削除される削除プロセスが開始される。
【００６４】
受給権を速やかに容易に無効にできるように、システムは単純明快な方法を有しなければならない。取消しはいくつかの理由により開始され得るが、Ｅ−キーを所有するＳＭＳにより常に開始される。
【００６５】
取消しの成功後、通知が端末装置へ返送されることになる。ＳＡＳは実際のサービスについて何も知らないので、取消しのエンドユーザ通知はＳＭＳにより取り扱われなければならない。
【００６６】
本発明によるデジタルコンテンツ配信システムにおけるデジタルコンテンツと加入者インテグリティの保護のための認証システムは、少なくとも一つの、加入者識別データを維持するように構成された加入者管理システムと、それに関連し、加入者受給権データを加入者識別データとは別個に維持するように構成された加入者認証システムとを含む。加入者管理システムＳＭＳは、加入者によるデジタルコンテンツ抽出要求を受信すると、加入者を識別し、そして上記要求されたデジタルコンテンツにアクセスする受給権を加入者に与えるオーダーを、加入者認証システムＳＡＳに対し生成するように構成される。加入者認証システムＳＡＳは、このようなオーダーをＳＭＳから受信すると、要求されたデジタルコンテンツにアクセスするための加入者受給権を確認し、確認されると、要求されたデジタルコンテンツにアクセスする受給権を該加入者に関連したシステムクライアント（例えばセットトップボックス）に送信するように構成される。キーはこの確認のために使用されてよい。
【００６７】
本明細書の他の部分でさらに詳細に説明されたように、加入者受給権データは細分化された様式で加入者認証システムＳＡＳにより維持されてよい。
【００６８】
本発明によると、デジタルコンテンツ配信システムにおけるデジタルコンテンツおよび加入者インテグリティの保護のための方法もまた想定される。本方法によると、加入者識別データを維持するために少なくとも一つの加入者管理システムが構成される。加入者認証システムは、加入者識別データとは別個に加入者受給権データを維持するように構成される。上記ステップに加え、本発明の方法によると、加入者管理システムは、加入者によるデジタルコンテンツ抽出要求を受信すると、加入者を識別し、そして上記要求されたデジタルコンテンツにアクセスする受給権を加入者に与えるオーダーを、加入者認証システムに対し生成するように構成される。加入者認証システムはさらに、このようなオーダーを受信すると、要求されたデジタルコンテンツにアクセスする加入者受給権を確認し、確認されると、要求されたデジタルコンテンツにアクセスする受給権を該加入者に関連したシステムクライアントへ送信するように構成される。
【００６９】
以下の実施例は、本システムと本システムソリューションが純粋なメディア駆動型市場以外の目的にどのように適用され得るかを示す。以下では、どのようにしてシステムソリューションと共に受給権が、個人インテグリティを有する処方箋セキュリティを管理するために使用され得るかを紹介する。このソリューションは、薬局環境または類似環境において使用されることを目的としている。
【００７０】
例えばスウェーデンのようないくつかの国では、顧客の特別な合意なしに所定期間を越えて会社が処方情報を保持することが禁止され、例えば、スウェーデンでは、この期間は現在２か月である。このため、この情報を使用する会社（通常、薬局）が単一のシステムを維持することが難しくなる。合意しないクライアントでかつ、所定期間より長い有効期間を有する処方箋を有するクライアントはシステムから削除されなければならない。最初に処方箋を匿名化し（受給権により）、その後、ラベルにより処方箋を製品仕様に細分化することにより、当該情報はもはや処方箋ではなく情報のフラグメントとなる。これにより、法的問題がもはや問題点とならないことを保証する。
【００７１】
本システムは、顧客が、情報を抽出するためにＳＭＳに対しオーダーを出すという原理に基づくが、このタスクは代りにＳＡＳにより行われる。これは変換プロセスを通して実行され、この変換プロセスでは抽出オーダーが顧客によりＳＭＳに与えられ、次にＳＭＳはさらにＳＡＳに対しそれが理解できる（Ｅ−キーを介して）フォーマットで該オーダーを与える。ＳＭＳは翻訳機（アダプター）として機能する。顧客からのオーダーは、ＳＭＳがそれをＥ−キーと抽出オーダー番号（受給権情報と、照合モジュール内の正しいメタデータと加入者データとを照合するための）に翻訳できる限り、任意の形状と大きさで生じてよい。加入者識別データに関連したメタデータは、加入者管理システムＳＭＳにより維持されてよい。図３に示すように、もとのオーダーシートは例えば薬の処方箋であろう。オーダーシートは例えば加入申込書であってよい。図３に仮の処方箋の例を示す。スウェーデンでは、高々２列の薬があるが、これは他の国々ではそうではないかもしれない。
【００７２】
処方箋は、存在し得るすべてのソリューションの変形におけるものと同じ一般的なシステム規則（例えば、上記メディア保護）に従って細分化される。処方箋は、最初に顧客情報と処方情報に従って細分化され、例えば処方情報を匿名にする。その後、処方情報は、さらに、単一サービス（例えば製品（例えば＜製品番号＞、＜製品名＞、＜製品仕様＞、＜製造者＞、＜情報＞など））に適合するフラグメントに細分化される。このサービスのグループ分けは、標示グループ原理（viewing group principle）に従って実行される。標示グループは、少なくとも一つのフィルム、チャンネル、または（プログラム、チャンネル、またはサービスＩＤにより識別される）他のサービスを含まなければならない。プログラム、フィルム、チャンネル、または他のサービスは、また、様々な組合せで一つにバンドル化されてよく、これにより、数個のプログラムまたはサービスＩＤ（例えば、数個の識別属性）をいわゆるプログラムサービスまたはサービスパッケージ内に含む、標示グループを作成する。プログラムサービスとサービスパッケージを特定の標示グループ内にバンドル化して複合サービスソリューションとすることも可能であろう。製品と、製品に関連した他の任意のサービスは、また、サービスパッケージング機能によりいわゆるサービスグループにパッケージ化される。
【００７３】
顧客専用データはＳＭＳにより保持され、一方、細分化された処方情報はＳＡＳに保持される。加入者システムシートは、粒状度が顧客のアカウントに追加される場合、常に使用される。最も細かい粒状度レベルは処方箋毎の加入者システムシートである。加入者システムシートが使用される場合、処方箋フレームワークに関するメタデータが生成され、抽出オーダーが顧客から受信されるまでＳＭＳ内に保持される。ＳＡＳはこの情報を決して必要としないので、メタデータは、ＳＡＳ抽出と再利用（例えば、構成要素の抽出と再利用）を維持するためにＳＡＳ内に決して保持されない。
【００７４】
図４に示すように、処方箋は、システムモデルに従ってＳＡＳとＳＭＳ間のシステムにおいて細分化される（陰影を付けた処方情報はＳＡＳに送信され、明澄な領域の顧客データはＳＭＳ内に残る）。処方箋枠（処方箋のメタデータ「レイアウト」）は照合する時点で照合モジュールに送信される。
【００７５】
このソリューションにおけるサービス番号は、図５に示すように製品番号のみを表すことができるが、例えば、製品番号、製品の使用方法に関する指示的フィルム、製品に関する重要な情報等を含むサービスでもよい。
【００７６】
図６の受給権における明澄な領域はＳＡＳ情報であって、「記入されなければならない」。しかしながら、陰影領域は任意であり、例えば受給権に関連する重要な情報を含んでよい。
【００７７】
図７に示すように、ＳＭＳは、生成された受給権キー（Ｅ−キー）を介してそれ自身の受給権を追跡する。Ｅ−キーと顧客とを関連付けるために、ＳＭＳは、受給権と顧客に属するアカウントとを関連付ける。さらにＳＭＳ情報を構造化し粒状化にするために、加入者システムシートは例えば、家族（母親とその子供）の処方箋を分離するように使用されてもよい。
【００７８】
システムから情報（例えば、照合情報（match information））を抽出するために、通常、薬局の顧客はオーダーを出す必要がある。これはＳＭＳに入力される電子的オーダーである。オーダーとは、顧客が、当該データを普通テキストで見ることができるために、自身のＥ−キーを抽出したいことを意味する。ＳＡＳは顧客を直接に認識しないので、顧客からのオーダーはＳＡＳにより管理することができない。その代りに、この最初の識別はＳＭＳにより実行される。
【００７９】
ＳＭＳが顧客を識別すると、ＳＭＳは、ＳＡＳに対し一つまたは数個のキーを含む抽出オーダーを出す。これは、加入者シートがＳＭＳにおいて使用されるかどうかとそれらの粒状度に依存する。加入者シートが使用される場合、粒状度は、処方箋フォーマットに応じて大いに増加させてよい。粒状度の増加は、顧客が処方箋における列を発見し抽出することができるためにより少ないＥ−キーを照合すればよいことを意味する。
【００８０】
上記例により示すように、最初に処方箋を匿名化し（受給権により）、その後、ラベルにより処方箋を製品仕様に細分化することにより、当該情報はもはや処方箋ではなく情報のフラグメントとなる。これにより、法的問題はもはや問題点とならないということを保証し、個人インテグリティが保証される。
【００８１】
図８に一般的なシステム展開を示す。メディアサービス（図ではＩと印される）と製品（同図ではｉと印される）の正確な展開は、業務上の要請とシステムに課されたセキュリティ要件により変わってもよい。図８で使用される参照番号は次のものを表す。
Ａ．  クライアント領域（ＳＭＳとＳＡＳ）
Ｂ．  ＳＭＳ領域
Ｃ．  ＳＡＳ領域
Ｄ．  ＳＭＳまたはＳＡＳ領域
ａ．  スマートフォン
ｂ．  ＰＤＡ
ｃ．  エンドユーザ
ｄ．  テレビ
ｅ．  セットトップボックス
ｆ．  コンピュータ
ｇ．  ＳＭＳ
ｈ．  照合
ｉ．  製品
ｊ．  ＳＡＳ
ｋ．  サービスパッケージング
Ｉ．  メディアサービス
【００８２】
同図は、次の３つの主要な領域：クライアント領域（Ａ）、ＳＭＳ領域、およびＳＡＳ領域（Ｃ）を示す。これらは、十分に定義されており、十分に確立した規則を介し通信を行う。ＳＭＳまたはＳＡＳ領域（図ではＤと印される）は、ＣＡＳに課されたセキュリティと機能要件とに従ってＳＭＳ領域またはＳＡＳ領域のいずれかに設置され得るシステム部を含む。
【００８３】
クライアント領域（Ａ）は、装置とクライアントハードウェアを保持し、バックエンドと通信を行うために要するクライアントソフトウエアを実行する。これらの装置は、ＣＡＳソフトウェアを実行するとともに、メディアまたはＣＡＳにより提供され保護されたサービスを表示することができる任意の装置でよい。同図に、クライアントソフトウエアを実行し得るいくつかの例示的ハードウェア：スマートフォン（ａ）、ＰＤＡ（ｂ）、セットトップボックス（ｅ）とコンピュータ（ｆ）を示す。エンドユーザ（ｃ）は、また、クライアント領域の一部であり、例えばＰＩＮコード、パスワード、使い捨てパスワード、電子署名等を使用する端末装置を介しシステムに対し自身を識別するための秘密を所有することができる。
【００８４】
エンドユーザは、提案された端末装置の一つを使用してＳＭＳ（ｇ）にオーダーを出す。ＳＭＳは、端末装置とエンドユーザを識別し、ＳＡＳにより送信された受給権データとＳＭＳにより送信された個人加入者データとを照合するための照合モジュール（ｈ）情報を送信するだけでなく、ＳＡＳ（ｊ）に対して抽出オーダーも出す。ＳＭＳは、また、クライアントへのさらなる送信のために格納される情報をメディアサービス（Ｉ）または／および製品システム（ｉ）に提供してよい。照合モジュールは、次に、照合情報を所定の端末装置へ送信する。しかし、ＳＡＳは、メディアと商品サービスにアクセスすることをクライアントに与える受給権を生成することができる前に、ＳＡＳはサービスパッケージにそれらをパッケージ化する（またはバンドル化する）必要がある。これはサービスパッケージャー（ｋ）で行われる。
【００８５】
本発明は上記実施形態に限定されなく、以下の特許請求項の範囲内で変更され得る。
【００８６】
このように、好ましい実施形態に適用された本発明の基本的かつ斬新な特徴を示し、説明し、指摘したが、例示した装置の様式と詳細において、また、それらの動作において、様々な省略、置換、および変更が当業者によりなされ得るということが理解される。例えば、同じ結果を達成するために実質的に同じやり方で、実質的に同じ機能を実行する上記要素のすべての組合せ、および／または方法のステップは、本発明の範囲に含まれるよう明確に意図される。さらに、本発明の任意の様式または実施形態と併せて示されおよび／または説明された構造および／または要素および／または方法のステップは、一般的な設計選択肢の問題として他の任意の様式または実施形態に組込まれ得ることを認識すべきである。従って、添付された特許請求項の範囲により示されたようにのみ限定されることを意図する。
【図面の簡単な説明】
【００８７】
【図１】オーダーシート生成の模式図である。
【図２】受給権がどのように見えるかの模式的な例を図示する。
【図３】もとのオーダーシートが薬の処方箋である例の模式図である。
【図４】ＳＡＳとＳＭＳ間のシステムにおいて処方箋がどのように細分化されるかを模式的に示す。
【図５】サービス番号が製品番号のみを表し得ることを模式的に例示する。
【図６】受給権における必須情報と任意情報をさらに模式的に例示する。
【図７】ＳＭＳが、生成された受給権キーを介しそれ自身の受給権をどのように追跡するかを模式的に示す。
【図８】システム相互作用とサブシステム展開領域の概要を模式的に示す。
【図１】
2008533586.tif 000003
【図２】
2008533586.tif 000004
【図３】
2008533586.tif 000005
【図４】
2008533586.tif 000006
【図５】
2008533586.tif 000007
【図６】
2008533586.tif 000008
【図７】
2008533586.tif 000009
【図８】
2008533586.tif 000010
【国際調査報告】
2008533586.tif 000011
2008533586.tif 000012
2008533586.tif 000013