(57)【要約】  ＩＣカードが受信機から受信した履歴ファイルが正しい履歴ファイルであることを確認し、ライセンスの重複入力を防止することが可能となる。  コンテンツの利用条件を含むライセンスを送信するサーバ（１００）であって、受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成部（１０１）と、コンテンツの利用条件を含むライセンスとを、分類キー生成部（１０１）が生成した分類キーと関連付けて発行するライセンス発行部（１０３）と、分類キーと、その分類キーに関連付けられたライセンスとを送信するサーバ通信部（１０４）とを備える。
2007040221.tif 000002
【特許請求の範囲】
【請求項１】
コンテンツの利用条件を含むライセンスを送信するサーバであって、
受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、
コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、
前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備える
ことを特徴とするサーバ。
【請求項２】
さらに、前記分類キー生成手段が生成した前記分類キーの履歴を含む分類キー生成履歴情報を記憶しているサーバ記憶手段を備え、
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤを選択し、選択した履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項１に記載のサーバ。
【請求項３】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を選択し、選択した前記書き込み行を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項４】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、生成する分類キーの順序を示す管理番号を生成し、生成した前記管理番号を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項５】
前記分類キー生成手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に前記履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを生成し、生成した前記分類キーを前記生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項６】
前記分類キー生成手段は、生成した分類キーと、さらに、前記ライセンス発行手段が当該分類キーに関連付けた前記ライセンスを一意に識別するためのライセンスＩＤとを関連付けて前記分類キー生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項７】
前記分類キー生成手段は、生成した分類キーと、前記ライセンスＩＤと、さらに、前記ライセンス発行手段が当該分類キーと関連付けた前記ライセンスの入力の履歴を保持すべき期限を示す履歴保持期限とを関連付けて前記分類キー生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項８】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、前記各履歴ファイルのサイズに偏りがないようにすることを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項４に記載のサーバ。
【請求項９】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、前記履歴ファイルの数が少なくなるようにすることを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項４に記載のサーバ。
【請求項１０】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、期限の過ぎた前記履歴保持期限に関連付けられた情報を更新することを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項７に記載のサーバ。
【請求項１１】
前記サーバ送信手段は、前記分類キーに含まれる前記履歴ファイルＩＤ以外の部分と、前記分類キーに関連付けられた前記ライセンスに含まれる前記ライセンスＩＤ以外の部分とを暗号化して送信する
ことを特徴とする請求項１に記載のサーバ。
【請求項１２】
さらに、前記経路情報を含む前記履歴ファイルＩＤを生成する履歴ファイルＩＤ生成手段を備える
ことを特徴とする請求項４に記載のサーバ。
【請求項１３】
さらに、前記履歴ファイルが破損したことを示す通知または、前記ライセンスの入力が拒否されたことを示す通知の少なくとも１つを受信するサーバ受信手段と、
前記サーバ受信手段が受信した通知を送信した機器をＣＲＬに記載するＣＲＬ処理手段とを備える
ことを特徴とする請求項１に記載のサーバ。
【請求項１４】
サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信機であって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信手段と、
前記複数の履歴ファイルを記憶している受信機記憶手段と、
前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、
前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、受信機に取り付けられているＩＣカードへ送信する受信機送信手段を備える
ことを特徴とする受信機。
【請求項１５】
前記受信機受信手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを受信し、
前記履歴取得手段は、さらに、前記分類キーに含まれる前記経路情報が示す前記履歴管理木の経路上のノードが持つ前記改ざん検証情報を取得し、
前記受信機送信手段は、さらに、前記履歴取得手段が取得した前記改ざん検証情報を受信機に取り付けられているＩＣカードへ送信する
ことを特徴とする請求項１４に記載の受信機。
【請求項１６】
受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うＩＣカードであって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信手段と、
前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、
前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える
ことを特徴とするＩＣカード。
【請求項１７】
さらに、前記分類キー、前記分類キーに関連付けられた前記ライセンス、前記履歴ファイル、および、履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木のノードのうち、少なくとも１つの改ざん検証を行う改ざん検証手段を備え、
前記ＩＣカード受信手段は、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスと、さらに、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記履歴管理木の根から当該履歴ファイルまでの経路にあるノードに含まれる改ざん検証情報とを、前記受信機から受信し、
前記履歴確認手段は、前記改ざん検証手段により改ざんが検出されなかった場合にのみ、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる前記履歴ファイルＩＤとを比較する
ことを特徴とする請求項１６に記載のＩＣカード。
【請求項１８】
さらに、前記ライセンス処理手段が前記ＩＣカード受信手段により受信されたライセンスに対して入力を行った場合に、前記ライセンス処理手段が行ったライセンスの入力の履歴を、当該ライセンスに関連付けて前記ＩＣカード受信手段により受信された、分類キーに含まれる履歴ファイルＩＤが示す履歴ファイルに記録する処理履歴記録手段を備える
ことを特徴とする請求項１６に記載のＩＣカード。
【請求項１９】
前記ＩＣカード受信手段は、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を含む分類キーを、前記受信機から受信し、
前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に、前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する
ことを特徴とする請求項１６に記載のＩＣカード。
【請求項２０】
前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に上書き記録で行う
ことを特徴とする請求項１９に記載のＩＣカード。
【請求項２１】
前記ＩＣカード受信手段は、さらに、各履歴ファイルの行毎に分類キーが生成された順序を示す管理番号を含む分類キーを、前記受信機から受信し、
前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に記録されている管理番号より、前記ＩＣカード受信手段が受信した分類キーに含まれる管理番号の方が新しく生成された分類キーに対応することを確認する
ことを特徴とする請求項１９に記載のＩＣカード。
【請求項２２】
前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に、前記分類キーに含まれる前記管理番号とともに上書き記録で行う
ことを特徴とする請求項２１に記載のＩＣカード。
【請求項２３】
さらに、前記処理履歴記録手段が更新した前記履歴ファイルを前記受信機へ送信するＩＣカード送信手段を備える
ことを特徴とする請求項１８に記載のＩＣカード。
【請求項２４】
さらに、前記分類キーに含まれる前記履歴ファイルＩＤに従って取得する前記履歴ファイルを決定し、決定した取得すべき履歴ファイルの前記履歴ファイルＩＤを前記受信機へ送信する取得履歴決定手段を備える
ことを特徴とする請求項１６に記載のＩＣカード。
【請求項２５】
さらに、取り付けられている受信機から、当該受信機が記憶している履歴ファイルの破損の通知を受け付け、当該破損の通知を受け付けた場合に、前記ライセンス処理手段における入力をロックするロック手段と、
サーバからロック解除の指示を受け付け、当該ロック解除の指示を受け付けた場合に、前記ロック手段によるロックを解除するロック解除手段とを備える
ことを特徴とする請求項１６に記載のＩＣカード。
【請求項２６】
コンテンツの利用条件を含むライセンスを送信する送信方法であって、
受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成ステップと、
コンテンツの利用条件を含むライセンスを、前記分類キー生成ステップにおいて生成した前記分類キーと関連付けて発行するライセンス発行ステップと、
前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信ステップとを含む
ことを特徴とする送信方法。
【請求項２７】
サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信方法であって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信ステップと、
前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記複数の履歴ファイルを記憶している受信機記憶手段から取得する履歴取得ステップと、
前記履歴取得ステップにおいて取得された前記履歴ファイルと、前記受信機受信ステップにおいて受信された前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、ＩＣカードへ送信する受信機送信ステップとを含む
ことを特徴とする受信方法。
【請求項２８】
受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うライセンス入力方法であって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信ステップと、
前記ＩＣカード受信ステップにおいて受信された分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信ステップにおいて受信された履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信ステップにおいて受信された前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認ステップと、
前記履歴確認ステップにおいて、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスの入力を拒否するライセンス処理ステップとを含む
ことを特徴とするライセンス入力方法。
【請求項２９】
コンテンツの利用条件を含むライセンスを送信するための送信プログラムであって、
受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成ステップと、
コンテンツの利用条件を含むライセンスを、前記分類キー生成ステップにおいて生成した前記分類キーと関連付けて発行するライセンス発行ステップと、
前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信ステップとをコンピュータに実行させる
ことを特徴とする送信方法。
【請求項３０】
サーバから送信されるコンテンツの利用条件を含むライセンスを受信するための受信プログラムであって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信ステップと、
前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記複数の履歴ファイルを記憶している受信機記憶手段から取得する履歴取得ステップと、
前記履歴取得ステップにおいて取得された前記履歴ファイルと、前記受信機受信ステップにおいて受信された前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、ＩＣカードへ送信する受信機送信ステップとをコンピュータに実行させる
ことを特徴とする受信プログラム。
【請求項３１】
コンテンツの利用条件を含むライセンスをＩＣカードに入力するためのライセンス入力プログラムであって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信ステップと、
前記ＩＣカード受信ステップにおいて受信された分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信ステップにおいて受信された履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信ステップにおいて受信された前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認ステップと、
前記履歴確認ステップにおいて、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスの入力を拒否するライセンス処理ステップとをコンピュータに実行させる
ことを特徴とするライセンス入力プログラム。
【請求項３２】
コンテンツの利用条件を含むライセンスを送信するサーバと、サーバから送信されるライセンスを受信する受信機と、受信機に取り付けられ、ライセンスの入力を行うＩＣカードとから構成されるライセンス管理システムであって、
サーバは、
受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、
コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、
前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備え、
受信機は、
前記サーバ送信手段により送信される前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを受信する受信機受信手段と、
前記複数の履歴ファイルを記憶している受信機記憶手段と、
前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、
前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、前記ＩＣカードへ送信する受信機送信手段を備え、
ＩＣカードは、
前記受信機送信手段により送信される、前記履歴ファイルと、前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを受信するＩＣカード受信手段と、
前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、
前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える
ことを特徴とするライセンス管理システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号化されたコンテンツの利用を、コンテンツ毎に定められたライセンスの利用条件により制限するコンテンツ配信システムにおいて、ライセンスの入力履歴を管理するサーバ、受信機およびＩＣカードを備えるライセンス管理システムに関するものである。
【背景技術】
【０００２】
放送や通信を利用して、コンテンツをリアルタイムやオンデマンドで配信するコンテンツ配信サービスが広く行われている。特に日本においては、サーバ型放送と呼ばれるコンテンツ配信サービスの実施が計画されている。【０００３】
サーバ型放送では、サーバは、受信機に対して暗号化コンテンツと暗号化ライセンスを送信し、受信機は、サーバから暗号化コンテンツと暗号化ライセンスを受信して蓄積する。受信機は、暗号化コンテンツを再生する前に、暗号化ライセンスを受信機に挿入されたセキュアモジュールであるＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）カードへ送信し、ＩＣカードは暗号化ライセンスを受信して復号し、復号したライセンスを管理する。この、ＩＣカードが暗号化ライセンスを復号して、復号したライセンスを管理する処理をライセンスの入力と呼ぶ。受信機は、暗号化コンテンツ再生時に、ＩＣカードに対して、コンテンツの利用可否を問い合わせる。受信機からコンテンツの利用可否の問い合わせを受けたＩＣカードは、ライセンスに含まれる利用条件に基づいてコンテンツの利用可否を判定し、利用可である場合、ライセンスに含まれるコンテンツ鍵を受信機へ送信する。受信機は、ＩＣカードから受信したコンテンツ鍵を用いて暗号化コンテンツを復号して再生する。【０００４】
ライセンスに含まれる利用条件には、例えば、加入者の契約に基づく特定のコンテンツの視聴可能回数などが含まれる。加入者はそのようなライセンスを使用してコンテンツを視聴する。ＩＣカードは、加入者がコンテンツを視聴する度に、そのコンテンツの視聴可能回数を１ずつ減らし、０になると加入者がそのコンテンツを視聴できなくなるようにライセンスを管理する。このようなライセンスを不正にＩＣカードに入力することにより、視聴可能回数をいつでも未使用の状態に戻せるならば、結局、ライセンスでコンテンツの視聴を制限できないことになる。このように、ライセンスを不正に重複入力できると、加入者のコンテンツの視聴を契約に基づいて管理できない等の不都合が生じる。【０００５】
このようなライセンスの重複入力を防ぐため、ＩＣカードはライセンス入力履歴を記録する。ライセンス入力履歴は既に入力処理されたライセンスの履歴である。ＩＣカードは、ライセンス入力履歴に記録されたライセンスの入力処理を拒否することで、ライセンスの重複入力を防ぐ。【０００６】
しかし、一般にＩＣカードの記憶容量は小さく、多くのライセンス入力履歴を管理することはできない。そこで、大きな記憶容量を持つ受信機でライセンス入力履歴を管理する必要がある。ただし、受信機でライセンス入力履歴が改ざんされる可能性があるため、ライセンス入力履歴の確認と改ざん検証はセキュアモジュールであるＩＣカードが行う必要がある。【０００７】
そこで、ライセンス入力履歴を複数の履歴ファイルに分割して構成し、ＩＣカードが、ライセンス入力処理の際に、受信機から複数の履歴ファイルの中から１つの履歴ファイルを受信して、入力履歴の確認と改ざん検証を行う。ただし、ライセンス入力履歴を複数の履歴ファイルで構成した場合、ＩＣカードはそれぞれの履歴ファイルに対して改ざん検証値を記憶する必要がある。しかし、ＩＣカードの記憶容量は小さいため、記憶可能な改ざん検証値には限度があり、ＩＣカードが記憶可能な改ざん検証値の数が履歴ファイルの数を制限する。履歴ファイルの数が制限されると、記録可能なライセンスの入力履歴の数も制限され、これは好ましくない。【０００８】
ここで、改ざん検証を行う必要がある複数のデータを管理する技術として、各データの改ざん検証値を木構造で管理する技術が従来あった（例えば、特許文献１参照）。この木では親が子の改ざん検証値を管理することで、データの数に関わらず、ＩＣカードが記憶する改ざん検証値を木の根の改ざん検証値のみとすることができる。【０００９】
改ざん検証値を木構造で管理する技術を用いると、複数の履歴ファイルそれぞれに対して改ざん検証値を管理しても、ＩＣカードが記憶する改ざん検証値を木の根の改ざん検証値のみとすることができ、履歴ファイルの数の制限が無くなる。【００１０】
受信機が、複数の履歴ファイルと履歴ファイルに対応する改ざん検証値を持つ木を記憶する場合、受信機は、コンテンツ再生前に、複数の履歴ファイルの内、コンテンツに対応する暗号化ライセンスの入力履歴が記録された履歴ファイルを選択し、暗号化ライセンス、履歴ファイル、履歴ファイルの改ざん検証値をＩＣカードへ送信する。ＩＣカードは、受信機から暗号化ライセンスと履歴ファイル、履歴ファイルの改ざん検証値を受信し、履歴ファイルの改ざん検証を行った後、入力履歴を確認して暗号化ライセンスの入力処理を行ってよいか判断する。
【特許文献１】特開２００５−３２１３０号公報
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかしながら、従来の技術では、複数の独立したデータを管理することのみを想定しており、複数のファイルに分割された履歴ファイルのように、１つのデータを分割して得られた複数のデータを管理する方法に関しては想定しておらず、次のような課題があった。【００１２】
受信機が１度利用し、利用条件を消費した暗号化ライセンスを重複入力するため、該暗号化ライセンスの入力履歴が記録された履歴ファイルと異なる履歴ファイルを該暗号化ライセンスと共にＩＣカードへ送信すると、ＩＣカードは受信機から受信した履歴ファイルに該暗号化ライセンスの入力履歴が記録されていないため、暗号化ライセンスの入力を許可し、入力処理を実行してしまう。すなわち、ＩＣカードは、受信機から受信した履歴ファイルが、入力対象のライセンスに対応した正しい履歴ファイルであることを確認する手段がなく、ＩＣカードに誤った履歴ファイルを参照させることによって、ライセンスが不正に重複入力されるという課題がある。【００１３】
本発明は、前記従来の課題を解決するもので、ＩＣカードが受信機から受信した履歴ファイルが正しい履歴ファイルであることを確認し、ライセンスの重複入力を防止するライセンス管理システムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
前記従来の課題を解決するために、本発明のサーバは、コンテンツの利用条件を含むライセンスを送信するサーバであって、受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備える。【００１５】
このように、本発明のサーバは、履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーと関連付けたライセンスを発行する。これにより、受信側でのライセンスの入力の履歴がいずれの履歴ファイルに記録されるかを管理することができる。したがって、サーバが発行する各ライセンスが書き込まれるべき履歴ファイルを特定することができ、ライセンスを入力する際に正しい履歴ファイルの参照が可能となるため、ライセンスの重複入力を防止することが可能になる。【００１６】
好ましくは、さらに、前記分類キー生成手段が生成した前記分類キーの履歴を含む分類キー生成履歴情報を記憶しているサーバ記憶手段を備え、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤを選択し、選択した履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーを前記分類キー生成履歴情報に記録する。【００１７】
このように、サーバは分類キーの生成履歴を記憶する。これにより、分類キーの生成の際に、予め定められた履歴ファイルの管理に関する規則に従って、ライセンスの入力履歴が書き込まれるべき履歴ファイルを選択し、選択した履歴ファイルを示す履歴ファイルＩＤを含む分類キーを生成することができる。したがって、サーバによって、履歴ファイルを管理することが可能となる。【００１８】
ここで、予め定められた履歴ファイルの管理に関する規則は、前記各履歴ファイルのサイズに偏りがないようにすることを内容としてもよく、前記履歴ファイルの数が少なくなるようにすることを内容としてもよく、また、期限の過ぎた前記履歴保持期限に関連付けられた情報を更新することを内容としてもよい。【００１９】
このような規則に従って選択された履歴ファイルＩＤを含む分類キーを生成することにより、サーバが、受信機に応じた履歴ファイルの管理をすることが可能となる。【００２０】
さらに好ましくは、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を選択し、選択した前記書き込み行を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する。【００２１】
また、前記分類キー生成手段は、生成した分類キーと、前記ライセンスＩＤと、さらに、前記ライセンス発行手段が当該分類キーと関連付けた前記ライセンスの入力の履歴を保持すべき期限を示す履歴保持期限とを関連付けて前記分類キー生成履歴情報に記録する。【００２２】
このように、サーバは、ライセンスの入力履歴を書き込むべき履歴ファイルだけでなく、その履歴ファイルにおいて履歴が書き込まれるべき書き込み行をも含む分類キーを生成する。これにより、受信側での履歴ファイルのどこに書き込むかを決定するための処理を省くことが可能になるとともに、サーバ側でより詳細な履歴ファイルの管理が可能となる。また、履歴保持期限が記録されている場合には、使用期限が過ぎたライセンスの入力履歴のような、不要となった履歴情報に、新たなライセンスの入力履歴を上書きして記録させることができる。したがって、サーバにより詳細な履歴ファイルの管理が可能になるとともに、履歴ファイルに含まれる不要となった履歴の削除など受信機側で必要となる処理を省くことが可能となる。【００２３】
さらに好ましくは、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、生成する分類キーの順序を示す管理番号を生成し、生成した前記管理番号を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する。【００２４】
このように、サーバは、さらに、管理番号を含む分類キーを生成する。これにより、受信側では、受信した分類キーに含まれる管理番号と、履歴ファイルに含まれる履歴の管理番号とを比較し、管理番号によって、より新しい分類キーに関連付けられたライセンスであることが示されている場合にのみ、そのライセンスを取り込むという処理を行うことができる。したがって、入力履歴の管理をより厳格にすることが可能となり、ライセンスの重複入力を防止することが可能になる。【００２５】
さらに好ましくは、前記分類キー生成手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に前記履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを生成し、生成した前記分類キーを前記生成履歴情報に記録する。【００２６】
このように、複数の履歴ファイルを木構造で管理される場合に、サーバは、その根から、葉である特定の履歴ファイルまでの経路情報を含む分類キーを生成する。これにより、サーバが特定する履歴ファイルの所在を検索するための受信機側での処理が軽減される。【００２７】
さらに好ましくは、前記サーバ送信手段は、前記分類キーに含まれる前記履歴ファイルＩＤ以外の部分と、前記分類キーに関連付けられた前記ライセンスに含まれる前記ライセンスＩＤ以外の部分とを暗号化して送信する。【００２８】
このように、暗号化して送信することにより、契約に関する情報など特に重要な情報を送受信する際の安全性を高めることが可能となる。【００２９】
さらに好ましくは、さらに、前記履歴ファイルが破損したことを示す通知または、前記ライセンスの入力が拒否されたことを示す通知の少なくとも１つを受信するサーバ受信手段と、前記サーバ受信手段が受信した通知を送信した機器をＣＲＬに記載するＣＲＬ処理手段とを備える。【００３０】
このように、サーバは、履歴ファイルの破損の通知を受けて、その破損が履歴ファイルを記憶している受信機のユーザの不正な操作によるものか、真に障害が発生しているのかを判断することができる。したがって、例えば、履歴ファイルを不正に破壊し、操作することによって、ライセンスを重複入力することを防止することが可能になる。【００３１】
また、本発明の請受信機は、サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信機であって、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信手段と、前記複数の履歴ファイルを記憶している受信機記憶手段と、前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、受信機に取り付けられているＩＣカードへ送信する受信機送信手段を備える。【００３２】
また、本発明のＩＣカードは、受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うＩＣカードであって、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信手段と、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える。【００３３】
このように、ＩＣカードは、分類キーに含まれる履歴ファイルＩＤと、受信した履歴ファイル自体の履歴ファイルＩＤとを照合する。これにより、受信した履歴ファイルが、サーバが選択した履歴ファイルであることを確認することができ、入力処理の対象となっているライセンスに対応する真正な履歴ファイルを受信したことを検証できる。したがって、入力処理の対象となっているライセンスに対応しない、不正な履歴ファイルを参照することによって、そのライセンスが未入力であると判断することによる、ライセンスの重複入力を防止することが可能となる。【００３４】
好ましくは、さらに、前記分類キー、前記分類キーに関連付けられた前記ライセンス、前記履歴ファイル、および、履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木のノードのうち、少なくとも１つの改ざん検証を行う改ざん検証手段を備え、前記ＩＣカード受信手段は、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスと、さらに、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記履歴管理木の根から当該履歴ファイルまでの経路にあるノードに含まれる改ざん検証情報とを、前記受信機から受信し、前記履歴確認手段は、前記改ざん検証手段により改ざんが検出されなかった場合にのみ、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる前記履歴ファイルＩＤとを比較する。【００３５】
このように、分類キー、ライセンス、履歴ファイルおよびノードの少なくとも１つの改ざんを検証する。これにより、改ざんした履歴ファイルをＩＣカードに参照させ、既に入力されているライセンスが未入力であると誤って判断させて、ライセンスを重複入力すること等、不正な操作によりライセンスを重複入力することを防止することが可能となる。【００３６】
さらに好ましくは、前記ＩＣカード受信手段は、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を含む分類キーを、前記受信機から受信し、前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に、前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する。【００３７】
また、前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に上書き記録で行う。【００３８】
このように、ＩＣカードは、ライセンスの入力履歴を書き込むべき履歴ファイルだけでなく、その履歴ファイルにおいて履歴が書き込まれるべき書き込み行をも含む分類キーを受信する。これにより、使用期限が過ぎたライセンスの入力履歴のような、不要となった履歴情報に、新たなライセンスの入力履歴を上書きして記録させることができる。したがって、不要となった履歴を削除するために、履歴ファイルに含まれる検索し、削除するというＩＣカードでの処理を省くことが可能となる。【００３９】
さらに好ましくは、前記ＩＣカード受信手段は、さらに、各履歴ファイルの行毎に分類キーが生成された順序を示す管理番号を含む分類キーを、前記受信機から受信し、前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に記録されている管理番号より、前記ＩＣカード受信手段が受信した分類キーに含まれる管理番号の方が新しく生成された分類キーに対応することを確認する。【００４０】
また、前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に、前記分類キーに含まれる前記管理番号とともに上書き記録で行う。【００４１】
このように、ＩＣカードは、各履歴ファイルの行毎に付与される管理番号を含む分類キーを受信し、受信した分類キーに含まれる管理番号と、履歴ファイルの書き込み行に含まれる管理番号とを比較し、管理番号によって、より新しい分類キーに関連付けられたライセンスであることが示されている場合にのみ、そのライセンスを取り込むという処理を行う。これにより、入力履歴の管理をより厳格にすることが可能となり、ライセンスの重複入力を防止することが可能になる。【００４２】
さらに好ましくは、さらに、取り付けられている受信機から、当該受信機が記憶している履歴ファイルの破損の通知を受け付け、当該破損の通知を受け付けた場合に、前記ライセンス処理手段における入力をロックするロック手段と、サーバからロック解除の指示を受け付け、当該ロック解除の指示を受け付けた場合に、前記ロック手段によるロックを解除するロック解除手段とを備える。【００４３】
このように、ＩＣカードは、履歴ファイルの破損の通知を受信機から受けて、ライセンスの入力処理をロックする。その破損が履歴ファイルを記憶している受信機のユーザの不正な操作によるものではなく、真に障害が発生していると判断したサーバのロック解除の指示を受け付けて、ＩＣカードはロックを解除する。したがって、例えば、履歴ファイルを不正に破壊し、操作することによって、ライセンスを重複入力することを防止することが可能になる。【００４４】
本構成によって、ＩＣカードは、受信機から受信した分類キーに含まれる履歴ファイルＩＤと、受信機から受信した履歴ファイルに含まれる履歴ファイルＩＤとを比較することで、受信機から受信した履歴ファイルが正しい履歴ファイルであることを確認することができ、ライセンスの重複入力を防止することが可能である。【００４５】
なお、本発明は、このような特徴的な手段を備えるサーバ、受信機およびＩＣカードとして実現することができるだけでなく、これらにより構成されるライセンス管理システムとして実現したり、それぞれに含まれる特徴的な手段をステップとする送信方法、受信方法およびライセンス入力方法として実現したり、それぞれに含まれる特徴的な手段としてコンピュータを機能させる送信プログラム、受信プログラムおよびライセンス入力プログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）等の記録媒体やインターネット等の通信ネットワークを介して流通させることができる。
【発明の効果】
【００４６】
本発明の分類キーは、ライセンス毎に設定され、該ライセンスの入力履歴が記録される履歴ファイルを指定する。ＩＣカードは、受信機から暗号化ライセンスと履歴ファイルと共に分類キーを受信し、分類キーを参照することで、受信機から受信した履歴ファイルが確かに暗号化ライセンスに対応した正しい履歴ファイルであることを確認することができる。これにより、ＩＣカードは、分割された複数の履歴ファイルの内、１つの履歴ファイルを確認するだけで、全てのライセンスの入力履歴の確認を行ったことと同様の効果を得て、ライセンスの重複入力を防止することが可能になる。
【図面の簡単な説明】
【００４７】
【図１】図１は、本発明の実施の形態におけるサーバ型放送システムの概観の一例を示す図である。
【図２】図２は、本発明の実施の形態におけるサーバ型放送システムが備える装置の構成を示すブロック図である。
【図３】図３は、本発明の実施の形態におけるライセンス情報の構成を示す図である。
【図４】図４は、本発明の実施の形態における履歴ファイルの構成を示す図である。
【図５】図５は、本発明の実施の形態における分類キー発行履歴の構成を示す図である。
【図６】図６は、本発明の実施の形態における履歴管理木のノードの構成を示す図である。
【図７】図７は、本発明の実施の形態における履歴管理木と履歴ファイルの構成例を示す図である。
【図８】図８は、サーバ型放送システムが備える各装置が実行する処理と各装置間で送受信される情報とを示すタイムチャートである。
【図９】図９は、本発明の実施の形態におけるサーバが実行する処理のフローチャートである。
【図１０】図１０は、本発明の実施の形態における受信機が実行する暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理Ｓ６０５の詳細およびそれらの送信処理Ｓ６０６のフローチャートである。
【図１１】図１１は、本発明の実施の形態におけるＩＣカードが実行するライセンスの入力に関連する処理のフローチャートである。
【図１２】図１２は、本発明の実施の形態におけるＩＣカードが実行するライセンス入力履歴確認処理Ｓ９０４の詳細を示すフローチャートである。
【符号の説明】
【００４８】
１００  サーバ
１０１  分類キー生成部
１０２  サーバ記憶部
１０３  ライセンス発行部
１０４  サーバ通信部
１１０  受信機
１１１  取得履歴決定部
１１２  受信機記憶部
１１３  履歴取得部
１１４  受信機通信部
１１５  コンテンツ再生部
１２０  ＩＣカード
１２１  履歴確認部
１２２  ＩＣカード記憶部
１２３  ライセンス入力処理部
１２４  利用条件判定部
１３０  ディスプレイ装置
２０１  ライセンスＩＤ
２０２  コンテンツ利用条件
２０３  分類キー
２０４  コンテンツ鍵
２０５  履歴ファイルＩＤ
２０６  書き込み行
２０７  管理番号
３０１  履歴情報
３０２  履歴ファイル改ざん検証値
３０３  履歴保持期限
５０１  ノードＩＤ
５０２  ノード改ざん検証値
５０３  子の改ざん検証情報リスト
【発明を実施するための最良の形態】
【００４９】
以下本発明の実施の形態について、図面を参照しながら説明する。【００５０】
本実施の形態では、ＩＣカードによるライセンスの入力処理の履歴が記録される履歴ファイルは、複数の履歴ファイルで構成される。それぞれの履歴ファイルには、異なるライセンスの入力履歴が記録されている。そして、履歴ファイルと、履歴ファイルに対応する改ざん検証情報を木構造で管理し、この木構造を履歴管理木と呼ぶ。【００５１】
ここで、改ざん検証情報とは、改ざん検証値を算出するために用いる情報である。改ざん検証値とは、一方向性関数から算出される値であり、より具体的にはハッシュ値などであるが、改ざん検証を行うことが可能な値であればその他の値でもよい。【００５２】
履歴管理木と履歴ファイルは、後述する図１に示す受信機１１０が記憶し、履歴管理木の根の改ざん検証値は、後述する図１に示すＩＣカード１２０が記憶する。また、ライセンスの入力処理の他、履歴ファイルの更新や改ざん検証値の算出などは、耐タンパ性に優れるセキュアモジュールの一例である、ＩＣカードが実行する。【００５３】
なお、履歴管理木は、履歴ファイルと履歴ファイルに対応する改ざん検証値を管理してもよい。また、履歴管理木の根の改ざん検証情報をＩＣカード１２０が記憶してもよい。【００５４】
本実施の形態では、本発明のライセンス管理システムを、サーバ型放送システムに適用した例により説明する。なお、本発明のライセンス管理システムは、サーバ型放送システムだけでなく、コンテンツ通信システムなどにも適用することができる。【００５５】
図１は、本発明の実施の形態におけるサーバ型放送システムの概観の一例を示す図である。実施の形態におけるサーバ型放送システムでは、コンテンツを放送する放送局に設置されたサーバから、コンテンツの視聴契約をした各加入者の下に設置される受信機に、コンテンツの視聴権限などを含むライセンスが送信される。【００５６】
本実施の形態におけるサーバ型放送システムは、サーバ１００と、受信機１１０と、ＩＣカード１２０と、ディスプレイ装置１３０とを備える。【００５７】
サーバ１００は、放送局が提供するコンテンツの視聴契約をした各加入者のライセンスに関する情報を生成し、生成したライセンスに関する情報を暗号化し、暗号化したライセンスと、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤとを含む、ライセンス情報を送信する。【００５８】
受信機１１０は、サーバ１００から送信されたライセンス情報を受信する。受信機１１０には、ＩＣカード１２０が取り付けられる。受信機１１０が受信したライセンス情報は、受信機１１０からＩＣカード１２０に送信される。ＩＣカード１２０は、受信したライセンス情報に含まれるライセンスを復号化し、復号化したライセンスを管理するという入力処理を実行する。【００５９】
ディスプレイ装置１３０は、加入者がコンテンツを閲覧するためのディスプレイであり、加入者は、ＩＣカード１２０に入力されたライセンスを使用して、そのライセンスに含まれる視聴権限の範囲でコンテンツを視聴できる。例えば、視聴回数が制限されたコンテンツ場合、ＩＣカード１２０は当該コンテンツの視聴により消費される加入者の視聴可能権限を管理する。【００６０】
図２は、本発明の実施の形態におけるサーバ型放送システムが備える装置の構成を示すブロック図である。【００６１】
図２に示すサーバ型放送システムは、図１と同様に、サーバ１００と、受信機１１０と、ＩＣカード１２０と、ディスプレイ装置１３０とを備える。サーバ１００と受信機１１０とは、放送により、サーバ１００から受信機１１０へデータを送信可能である。なお、サーバ１００と受信機１１０とは、インターネット、メディアなど、伝送媒体（ネットワーク）を介して片方向または双方向に通信可能であればよく、少なくともサーバ１００から受信機１１０へデータを送信可能であればよい。【００６２】
受信機１１０とディスプレイ装置１３０とは、ケーブルや無線ＬＡＮなど、伝送媒体を介して片方向または双方向に通信可能であり、少なくとも受信機１１０からディスプレイ装置１３０へデータを送信可能である。【００６３】
ＩＣカード１２０は、受信機１１０に挿入され接続される。なお、ＩＣカード１２０は耐タンパ構成を持つ。ただし、ＩＣカード１２０は受信機１１０に耐タンパ構成を持つセキュアモジュールとして実装されてもよい。また、受信機１１０とＩＣカード１２０は、挿入による接続に限らず、ケーブルや無線など、伝送媒体を介して双方向通信が可能な状態で取り付けられていればよい。【００６４】
図２において、サーバ１００は、受信機１１０に対して暗号化コンテンツと暗号化ライセンスとを送信し、受信機１１０は、サーバ１００から暗号化コンテンツと暗号化ライセンスとを受信して蓄積する。【００６５】
受信機１１０は、暗号化コンテンツを再生する前に、暗号化ライセンスをＩＣカード１２０へ送信し、ＩＣカード１２０は暗号化ライセンスを受信して復号し、復号したライセンスを管理する。この、ＩＣカード１２０が暗号化ライセンスを復号して、復号したライセンスを管理する処理をライセンスの入力と呼ぶ。【００６６】
受信機１１０は、暗号化コンテンツ再生時に、ＩＣカード１２０に対して、コンテンツの利用可否を問い合わせる。受信機１１０からコンテンツの利用可否の問い合わせを受けたＩＣカード１２０は、ライセンスに含まれる利用条件に基づいてコンテンツの利用可否を判定し、利用可である場合、ライセンスに含まれる後述する図３に示すコンテンツ鍵２０４を受信機１１０へ送信する。受信機１１０は、ＩＣカード１２０から受信したコンテンツ鍵２０４を用いて暗号化コンテンツを復号して再生し、ディスプレイ装置１３０へ表示する。【００６７】
さらに図２において、サーバ１００は、分類キー生成部１０１と、サーバ記憶部１０２と、ライセンス発行部１０３と、サーバ通信部１０４を備える。【００６８】
分類キー生成部１０１は、分類キー発行履歴に基づいて、後述する図３に示す分類キー２０３を生成する。【００６９】
サーバ記憶部１０２は、分類キー発行履歴や暗号化コンテンツ、ライセンスを生成するための情報など、サーバ処理に必要な情報を記憶している。【００７０】
ライセンス発行部１０３は、分類キー生成部１０１が生成した分類キー２０３およびサーバ記憶部１０２に記憶されているライセンスを生成するための情報に基づいてライセンスを生成し、暗号化して暗号化ライセンスを生成する。ただし、少なくともライセンスに含まれる後述する図３に示すライセンスＩＤ２０１と、分類キー２０３は暗号化しない。【００７１】
サーバ通信部１０４は、受信機１１０に対して暗号化ライセンスと暗号化コンテンツとを送信する。【００７２】
さらに図２において、受信機１１０は、取得履歴決定部１１１と、受信機記憶部１１２と、履歴取得部１１３と、受信機通信部１１４と、コンテンツ再生部１１５とを備える。【００７３】
取得履歴決定部１１１は、受信機記憶部１１２に記憶された暗号化ライセンスから分類キー２０３を取得し、分類キー２０３に基づいて受信機記憶部１１２から取得する履歴管理木のノードと履歴ファイルを決定する。【００７４】
受信機記憶部１１２は、履歴管理木と履歴ファイル、暗号化ライセンス、暗号化コンテンツなどを記憶する。【００７５】
履歴取得部１１３は、取得履歴決定部１１１が決定した履歴管理木のノードと履歴ファイルに加えて、暗号化ライセンスを受信機記憶部１１２から取得し、ＩＣカード１２０へ送信する。また、履歴取得部１１３は、ＩＣカード１２０から更新された履歴管理木のノードと履歴ファイルを受信し、受信機記憶部１１２に記憶させる。【００７６】
受信機通信部１１４は、サーバ１００から暗号化ライセンスと暗号化コンテンツを受信し、受信機記憶部１１２に記憶させる。【００７７】
コンテンツ再生部１１５は、ＩＣカード１２０へコンテンツの再生要求を送信し、ＩＣカード１２０がコンテンツの再生を許可した場合、ＩＣカード１２０からコンテンツ鍵２０４を受信し、受信機記憶部１１２に記憶された暗号化コンテンツを、コンテンツ鍵２０４を用いて復号化して再生し、ディスプレイ装置１３０に表示させる。【００７８】
さらに図２において、ＩＣカード１２０は、履歴確認部１２１と、ＩＣカード記憶部１２２と、ライセンス入力処理部１２３と、利用条件判定部１２４を備える。【００７９】
履歴確認部１２１は、履歴ファイルに基づいてライセンスの入力処理を許可するか拒否するかを決定する。また、ライセンス入力の処理履歴を履歴ファイルへ記録する。【００８０】
ＩＣカード記憶部１２２は、ライセンスや、履歴ファイルの改ざん検出情報、履歴管理木の根の改ざん検出情報などを記憶している。【００８１】
ライセンス入力処理部１２３は、受信機１１０から履歴管理木と履歴ファイルおよび暗号化ライセンスとを受信し、履歴確認部１２１がライセンス入力処理を許可した場合に、ライセンスの入力処理を行う。【００８２】
利用条件判定部１２４は、ＩＣカード記憶部１２２が記憶しているライセンスを取得し、ライセンスに基づいてコンテンツの利用条件判定を行い、コンテンツの利用を許可する場合は、ライセンスからコンテンツ鍵２０４を取得して受信機１１０へ送信する。【００８３】
図３は、本発明の実施の形態におけるライセンス情報の構成を示す図である。以下、ライセンス情報を、単に「ライセンス」という。【００８４】
図２において、ライセンスは、ライセンスＩＤ２０１と、コンテンツ利用条件２０２と、分類キー２０３と、コンテンツ鍵２０４とを含む。さらに、分類キー２０３は、履歴ファイルＩＤ２０５と、書込み行２０６と、管理番号２０７とを含む。【００８５】
ライセンスＩＤ２０１は、ライセンスを一意に識別するＩＤである。コンテンツ利用条件２０２は、ライセンスに対応するコンテンツの利用条件である。分類キー２０３は、ライセンスの入力処理の履歴を記録する履歴ファイルなどを特定する情報である。コンテンツ鍵２０４は、ライセンスに対応するコンテンツを暗号化コンテンツから復号するための鍵である。【００８６】
履歴ファイルＩＤ２０５は、ライセンスの入力履歴を記録する履歴ファイルのＩＤを示す。書き込み行２０６は、履歴ファイルＩＤ２０５が示す履歴ファイルの中でライセンスの入力履歴を記録する行を示す。管理番号２０７は、分類キー２０３が新しい分類キー２０３であるか古い分類キー２０３であるかを判定するための番号である。【００８７】
本実施の形態の履歴ファイルＩＤ２０５は、履歴管理木の根から履歴ファイルまでの経路を表すように設定される。これにより、履歴取得部１１３は、受信機記憶部１１２から履歴管理木のノードと履歴ファイルとを取得する際に、履歴管理木の根から履歴ファイルまでの経路計算を行う必要が無いという効果がある。典型的には、履歴ファイルＩＤ２０５は、図３に示すように、履歴管理木の各階層において、履歴ファイルへ到達するための子ノードの番号の組から構成される。【００８８】
なお、履歴ファイルＩＤ２０５は、必ずしも履歴管理木の根から履歴ファイルまでの経路を表すように設定する必要はなく、履歴ファイルを一意に識別できる値であればよい。【００８９】
履歴確認部１２１は、履歴ファイルにライセンスの入力処理履歴が記録されているか確認する場合、書き込み行２０６が示す行だけを確認する。書き込み行２０６により、履歴確認部１２１は、履歴ファイルにライセンスの入力処理履歴が記録されているか確認する場合、履歴ファイルに記録された全ての履歴を確認する必要がなく、書き込み行２０６が示す行だけを確認すればよいという効果がある。【００９０】
さらに、履歴確認部１２１は、履歴ファイルにライセンスの入力処理の履歴を記録する場合、書き込み行２０６が示す行に履歴を上書き記録する。書き込み行２０６により、履歴確認部１２１は、履歴ファイルにライセンスの入力処理の履歴を記録する場合、書き込み行２０６が示す行に履歴を上書き記録するだけでよく、履歴ファイルの中で履歴を記録するための行を得るため、履歴ファイルの中で、後述する図４に示す履歴保持期限３０３の切れた履歴を検索して削除する必要がないという効果がある。【００９１】
本実施の形態では、管理番号２０７は大きい数値であるほど、新しく生成された分類キー２０３であることを示す。履歴確認部１２１は、新しい分類キー２０３が設定されたライセンスの入力処理の履歴を、古い分類キー２０３に基づいて記録されたライセンスの入力処理の履歴に対してのみ上書き記録する。分類キー２０３が管理番号２０７を持つことで、履歴確認部１２１は、新しい分類キー２０３と古い分類キー２０３の違いがわかるので、新しい分類キー２０３に基づいて記録されたライセンスの入力処理履歴を、古い分類キー２０３により上書きすることを防止できる。【００９２】
なお、管理番号２０７は、分類キー２０３が新しい分類キー２０３であるか古い分類キー２０３であるかを判別できる値であればよく、必ずしも番号である必要はない。【００９３】
なお、ライセンスに分類キー２０３を含めず、ライセンスと分類キー２０３を一つのデータにまとめてサーバ１００が受信機１１０へ送信しても同様の効果が得られる。また、ライセンスに分類キー２０３を含めず、ライセンスとは別にサーバ１００が受信機１１０へ送信してもよい。ただし、この場合、分類キー２０３と分類キー２０３に対応するライセンスを関連付ける分類キー関連付け情報が必要であり、分類キー関連付け情報もサーバ１００から受信機１１０へ送信される。【００９４】
なお、ライセンスは、改ざん検証値を含んでもよい。【００９５】
なお、ライセンスは、ライセンスの入力処理履歴を保持すべき履歴保持期限３０３を含んでもよい。【００９６】
なお、ライセンスは、重複取込みを禁止する情報を含んでもよい。この場合、サーバ１００のライセンス発行手段が、ライセンスに重複取込みを禁止する情報を設定する。また、ＩＣカード１２０は、ライセンスに重複取込みを禁止する情報が設定されている場合にのみ、履歴ファイルを確認しライセンスの重複取込みを防止してもよい。【００９７】
なお、あるライセンスの有効期限が過ぎて無効となった後、無効となったライセンスのライセンスＩＤ２０１を別のライセンスのライセンスＩＤ２０１として再利用してもよい。ただし、この場合、無効となったライセンスの入力処理の履歴は、履歴ファイルから消えているものとする。ライセンスＩＤ２０１を再利用することで、ライセンスＩＤ２０１のバイト数を小さくすることができ、ライセンスのサイズや履歴ファイルのサイズを小さくできるという効果がある。【００９８】
なお、分類キー２０３を、ライセンスを一意に識別する値として利用してもよい。この場合、ライセンスＩＤ２０１は省略可能である。【００９９】
図４は、本発明の実施の形態における履歴ファイルの構成を示す図である。【０１００】
履歴ファイルは、ライセンスの入力処理の履歴を記録したファイルであり、受信機記憶部１１２に記憶されている。履歴ファイルは複数存在し、各履歴ファイルは同じ入力履歴が記録されることのない異なる履歴ファイルである。複数の履歴ファイルは受信機記憶部１１２に記憶される履歴管理木によって管理される。【０１０１】
図４において、履歴ファイルは、履歴ファイルＩＤ２０５と、履歴情報３０１と、履歴ファイル改ざん検証値３０２とを含む。履歴情報３０１は、既に入力処理が行われたライセンスのライセンスＩＤ２０１と、履歴を記録する際に用いた分類キー２０３に含まれる管理番号２０７と、ライセンスの入力処理の履歴を保持すべき期限である履歴保持期限３０３とを含む。履歴ファイル改ざん検証値３０２は、履歴ファイルの改ざん検証値である。【０１０２】
なお、履歴保持期限３０３は、サーバ１００が決定した値をＩＣカード１２０の履歴確認部１２１が設定する。典型的にはライセンスに設定された図２に示さない有効期限である。しかし、ライセンスに有効期限が存在しない場合などは、サーバ１００が定める規則に従って決定すればよく、履歴保持期限３０３は、予めＩＣカード１２０へ送信しておくか、適時ＩＣカード１２０へ送信してもよい。【０１０３】
なお、履歴保持期限３０３は、ＩＣカード１２０が履歴を削除する場合に利用することが可能であるが、ＩＣカード１２０が履歴を削除しない場合は、履歴ファイルには履歴保持期限３０３が含まれなくてもよい。【０１０４】
なお、履歴管理木が履歴ファイルの改ざん検証値を管理する場合は、履歴ファイルに履歴ファイル改ざん検証値３０２は含まれなくてもよい。【０１０５】
図４では、ライセンスＩＤ２０１が「Ａ」と「Ｂ」とであるライセンスの入力処理の履歴が記録されている例を示している。例えば、ライセンスＩＤ２０１が「Ａ」の入力履歴は、管理番号２０７が「５」で、履歴保持期限３０３が「２０１０年１月１日」であり、ライセンスＩＤ２０１が「Ｂ」の入力履歴は、管理番号２０７が「４」で、履歴保持期限３０３が「２０２０年１月１日」であることを示している。【０１０６】
図５は、本発明の実施の形態における分類キー発行履歴の構成を示す図である。【０１０７】
分類キー発行履歴は、分類キー生成部１０１が生成した分類キー２０３と、分類キー２０３が設定されたライセンスのライセンスＩＤ２０１と、履歴保持期限３０３が受信機毎に記録された分類キーの発行履歴とであり、サーバ記憶部１０２に記憶されている。【０１０８】
図５において、分類キー発行履歴は、受信機１２０に対して、分類キー生成部１０１が生成した分類キー２０３に設定された履歴ファイルＩＤ２０５と、書込み行２０６と、管理番号２０７とを含み、さらに、ライセンス発行部１０３が分類キー２０３を関連付けたライセンスのライセンスＩＤ２０１と、履歴保持期限３０３とを含む。【０１０９】
図５は、履歴ファイルＩＤ２０５が「１」、書き込み行２０６が「１」、管理番号２０７が「５」である分類キー２０３は、ライセンスＩＤ２０１が「Ａ」であり、履歴保持期限３０３が「２０１０年１月１日」であるライセンスに関連付けられて発行されたことを示している。【０１１０】
本実施の形態では、分類キー発行履歴は、受信機毎に記録された分類キーの発行履歴であるとしており、図５は受信機１２０に対する分類キーの発行履歴を示している。契約者は複数いるのが通常であり、分類キー発行履歴には、各契約者の下に設置される受信機毎の、図５と同様の情報が含まれる。【０１１１】
なお、１人の契約者の下に複数の受信機が設置されるような場合、分類キー発行履歴には、契約者毎の分類キーの発行履歴が含まれてもよい。さらに、分類キー発行履歴は、受信機毎や契約者ごとではなく、サーバ全体での分類キーの発行履歴として記録されていてもよい。【０１１２】
図６は、本発明の実施の形態における履歴管理木の各ノードの構成を示す図である。履歴管理木は受信機記憶部１１２に記憶される。【０１１３】
図６において、ノードは、ノードＩＤ５０１と、ノード改ざん検証値５０２と、子の改ざん検証情報リスト５０３とを含む。【０１１４】
ノードＩＤ５０１は、履歴管理木においてノードを一意に識別するＩＤである。【０１１５】
ノード改ざん検証値５０２は、ノードの改ざん検証値である。【０１１６】
子の改ざん検証情報リスト５０３は、履歴管理木においてノードに対する子の改ざん検証を行うために必要な情報のリストである。【０１１７】
子の改ざん検証情報リスト５０３は、図６に示すように、子１から子Ｎまでの全ての子の改ざん検証情報を持つ。子の改ざん検証情報とは、子のノード改ざん検証値５０２を算出するために用いる情報である。典型的には改ざん検証値を算出する度に値が変わる数値であるが、この限りではない。【０１１８】
なお、子の改ざん検証情報は、子の改ざん検証値そのものであってもよい。また、履歴ファイルを子に持つノードの子の改ざん検証情報リスト５０３は、履歴ファイルの改ざん検証値３０２を算出するために用いる情報のリストである。【０１１９】
なお、図６において、子の改ざん検証情報リスト５０３は、子の改ざん検証情報と共に対応する子を示す情報を持ってもよい。子を示す情報とは、子のノードＩＤ５０１や、子がノードに対して何番目の子であるかを示す番号などである。子の改ざん検証情報リスト５０３が子を示す情報を持つことで、子１から子Ｎまでの改ざん検証情報を全て持つことなく、必要な子の改ざん検証情報のみを持つことが可能になるという効果がある。必要な子の改ざん検証情報のみを持つことにより、履歴管理木は、必要なノードだけで構成可能である。さらにこの場合、履歴管理木に必要なノードが新たに増えた場合は、必要なノードが履歴管理木に追加され、追加されたノードの親が持つ子の改ざん検証情報リスト５０３に追加したノードの改ざん検証情報が追加される。【０１２０】
なお、履歴ファイルを、例えば履歴ファイルに記録される対象のライセンスを発行する事業者毎など、特定の管理単位毎に管理したい場合、履歴管理木は複数存在してもよい。この場合、ＩＣカード記憶部１２２は、各履歴管理木の根の改ざん検証値または改ざん検証情報を持つ。また、各履歴管理木の根は、対応する根の改ざん検証値または改ざん検証情報がＩＣカード記憶部１２２に記憶されている場所を示す情報を持ってもよい。これにより、履歴確認部１２１は、履歴管理木の根の改ざん検証値または改ざん検証情報をＩＣカード記憶部１２２から検索する動作を省略可能である。【０１２１】
なお、履歴管理木は、単体で存在する場合、複数存在する場合のいずれでも、履歴管理木の根の改ざん検証情報または改ざん検証値を持つＩＣカード１２０に関連付けて受信機記憶部１１２に記憶されてもよい。典型的には、履歴管理木の根のノードがＩＣカード１２０を一意に識別するＩＣカードＩＤを持つことで、履歴管理木とＩＣカード１２０を関連付けるが、その他の方法でもよい。履歴管理木とＩＣカード１２０を関連付けることにより、受信機１１０に対して複数のＩＣカード１２０を入れ替えて挿入した場合などに、現在挿入されているＩＣカード１２０に対応する履歴管理木を決定できる。【０１２２】
図７は、本発明の実施の形態における履歴管理木と履歴ファイルの構成例とを示す図である。【０１２３】
図７において、履歴管理木の根の改ざん検証値または履歴管理木の改ざん検証情報はＩＣカード記憶部１２２に記憶され、履歴管理木と履歴ファイルは受信機記憶部１１２に記憶される。また、図７において、改とは子の改ざん検証情報を示し、各履歴ファイルに記載された数字は履歴ファイルＩＤ２０５を示し、履歴ファイルＩＤ２０５は履歴管理木における根から履歴ファイルまでの経路を示す。履歴ファイルＩＤ２０５の３桁の数値の内、百の位は２階層目の子ノードの内何番目の子ノードを辿ればよいかを示し、十の位は３階層目の子ノードの内何番目の子ノードを辿ればよいかを示す。一の位は３階層目のノードが持つ履歴ファイルの内何番目の履歴ファイルが該履歴ファイルであるかを示す。【０１２４】
履歴管理木における各ノードのノードＩＤ５０１も同様の規則に従って割当てられている。ただし、ＩＤの各桁において値が「０」である場合、そのノードは「０」である桁が示す階層よりも上の階層に位置していることを示す。また、各階層において、左の子が１番目の子、右の子が２番目の子であるとする。【０１２５】
ここで、図７において、例えば履歴ファイルＩＤ２０５が「１２１」である履歴ファイルを履歴管理木の根から辿る方法について説明する。【０１２６】
まず、履歴ファイルＩＤ２０５の百の位は「１」であるから、ノードＩＤ５０１が「０００」のノードからノードＩＤ５０１が「１００」のノードを辿ればよい。次に、十の位は「２」であるから、ノードＩＤ５０１が「１００」のノードからノードＩＤ５０１が「１２０」のノードを辿ればよい。最後に、一の位は「１」であるから、ノードＩＤ５０１が「１２０」のノードの１番目の子が履歴ファイルＩＤ２０５の履歴ファイルである。【０１２７】
つまり、ある履歴ファイルに対応する履歴管理木のＮ階層目における親は、履歴ファイルＩＤ２０５の内Ｎ桁目以下を「０」にしたノードＩＤ５０１のノードである。従って、履歴ファイルから履歴管理木の根へ辿ることも容易にできる。【０１２８】
例えば、履歴ファイルＩＤ２０５が「２１２」の履歴ファイルから履歴管理木の根までは、ノードＩＤ５０１が「２１０」のノード、ノードＩＤ５０１が「２００」のノード、ノードＩＤ５０１が「０００」のノードを辿ればよい。ここでは、履歴ファイルＩＤ２０５が「１２１」の履歴ファイルについて説明したが、その他の履歴ファイルＩＤ２０５を持つ履歴ファイルに関しても同様である。【０１２９】
さらに図７において、履歴ファイルと各ノードの改ざん検証を行う方法について説明する。ただし、履歴ファイルと各ノードの改ざん検証とはＩＣカード１２０が行う。【０１３０】
例えば、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証を行う場合、親ノードはノードＩＤ５０１が「１２０」であるノードであるから、このノードが持つ、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証情報から履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証値３０２を算出する。【０１３１】
そして、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルに含まれる履歴ファイル改ざん検証値３０２と比較し、一致すれば改ざんが行われていないと判断できる。さらに、ノードＩＤ５０１が「１２０」であるノードが持つ改ざん検証情報の改ざん検証を、ノードＩＤ５０１が「１００」であるノードが持つ改ざん検証情報を用いて同様に行う。そして、ノードＩＤ５０１が「１００」であるノードが持つ改ざん検証情報の改ざん検証を、ノードＩＤ５０１が「０００」であるノードが持つ改ざん検証情報を用いて同様に行う。【０１３２】
最後に、ノードＩＤ５０１が「０００」であるノードが持つ改ざん検証情報の改ざん検証を、ＩＣカード記憶部１２２に記憶される履歴管理木の根の改ざん検証情報を用いて行う。このように、ある子ノードの改ざん検証を親ノードが持つ改ざん検証情報を用いて繰り返し行うことで、履歴ファイルと履歴管理木の各ノードの改ざん検証とが行える。【０１３３】
このように、履歴ファイルを分散することで、ＩＣカード１２０での履歴ファイルの検索の範囲を限定することができ、ＩＣカード１２０の処理負荷を軽減することが可能となる。【０１３４】
また、分散した履歴ファイルを木構造で管理することで、ＩＣカード１２０は、履歴管理木の根の改ざん検証情報のみを保持することで、改ざん検証ができるため、ＩＣカード１２０が保持すべき情報量を少なくすることが可能となる。さらに、履歴ファイルを更新した際にＩＣカード１２０が実行する改ざん検証値の再計算のための処理も少なくすることが可能となる。【０１３５】
一般に、ＩＣカード１２０は耐タンパ性に優れるが、記憶容量や処理能力が低いため、このようなＩＣカード１２０の記憶量や処理負荷の軽減は、実用上有益である。【０１３６】
図８は、サーバ型放送システムが備える各装置が実行する処理と、各装置間で送受信される情報とを示すタイムチャートである。すなわち、本図は、サーバ１００が暗号化ライセンスを受信機１１０へ送信し、受信機１１０が暗号化ライセンスをＩＣカード１２０へ送信して、ＩＣカード１２０がライセンスの入力処理を完了するまでの各装置における処理と、各装置間で送受信される情報とを示す。【０１３７】
サーバ１００は、サーバ１００が暗号化ライセンスを生成し（Ｓ６０１）、受信機１１０へその暗号化ライセンス６０３を送信する（Ｓ６０２）。【０１３８】
受信機１１０は、暗号化ライセンス６０３をサーバ１００から受信し（Ｓ６０４）する。受信機１１０は、受信した暗号化ライセンス６０３を受信機記憶部１１２へ記憶し、その記憶されている暗号化ライセンスを受信機記憶部１１２から取得し、暗号化ライセンスに含まれる情報に基づいて、履歴管理木および履歴ファイルを取得し（Ｓ６０５）、取得したこれらの情報と暗号化ライセンス６０７とを自身に取り付けられているＩＣカード１２０に送信する（Ｓ６０６）。【０１３９】
なお、受信機通信部１１４は、サーバ１００から暗号化ライセンスを受信すると（Ｓ６０４）、ＩＣカード１２０へ送信し、ＩＣカード１２０により暗号変換された暗号化ライセンスをＩＣカード１２０から受信して、受信機記憶部１１２に記憶させてもよい。【０１４０】
このとき、ＩＣカード１２０は、受信機１１０から受信した暗号化ライセンスを復号し、再度暗号化し暗号変換された暗号化ライセンスを生成する。ただし、ＩＣカード１２０は、暗号変換された暗号化ライセンスを生成するとき、少なくともライセンスＩＤ２０１と分類キー２０３は暗号化しない。【０１４１】
なお、受信機１１０が、暗号変換されたライセンスを受信機記憶部１１２に記憶させる場合、サーバ１００のライセンス発行部１０３は、ライセンスを生成して暗号化し暗号化ライセンスを生成するとき、ライセンスＩＤ２０１と分類キー２０３も暗号化してもよい。【０１４２】
ＩＣカード１２０は、暗号化ライセンスと、履歴管理木および履歴ファイル６０７とを受信し（Ｓ６０８）、ライセンスの入力を検証し（Ｓ６０９）、検証した結果、入力が許可されない場合には（Ｓ６１０でＮｏ）、入力許否６１２を受信機１１０に送信する（Ｓ６１１）。【０１４３】
受信機１１０は、入力拒否６１２を受信し（Ｓ６１３）、処理を終了する。【０１４４】
また、入力が許可された場合には（Ｓ６１０でＹｅｓ）、ＩＣカード１２０は、ライセンスを入力し（Ｓ６１４）、履歴管理木と履歴ファイルの改ざん検証情報と改ざん検証値とを更新し（Ｓ６１５）、更新したこれらの情報を含む入力許可６１７を受信機１１０に送信する（Ｓ６１６）。【０１４５】
受信機１１０は、更新した履歴管理木と履歴ファイルを含む入力許可６１７を受信し（Ｓ６１８）、受信機記憶部１１２に記憶された対応する履歴管理木のノードと履歴ファイルへ上書きし、処理を終了する。【０１４６】
続けて、ＩＣカード１２０は、入力したライセンスに含まれる権限に基づく加入者の番組の視聴があるか否かを判断し（Ｓ６１９）、番組の視聴がないと判断した場合には（Ｓ６１９でＮｏ）、加入者の番組の視聴があるか否かの判断処理（Ｓ６１９）を継続する。【０１４７】
また、番組の視聴があると判断した場合には（Ｓ６１９でＹｅｓ）、加入者のライセンスを使用する処理を実行する（Ｓ６２０）。【０１４８】
図９は、本発明の実施の形態におけるサーバが実行する処理のフローチャートである。本図に示すＳ７０１からＳ７０５までは、図８に示す暗号化ライセンス生成処理（Ｓ６０１）の詳細である。また、本図に示す暗号化ライセンス送信処理（Ｓ６０２）は、図８に示す同一の参照符号を付した処理と同一である。【０１４９】
Ｓ７０１：分類キー生成部１０１は、サーバ記憶部１０２から分類キー発行履歴を取得する。【０１５０】
Ｓ７０２：分類キー生成部１０１は、分類キー発行履歴に基づき、ライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と、書き込み行２０６と、管理番号２０７を選択する。選択した、履歴ファイルＩＤ２０５と、書き込み行２０６と、管理番号２０７とに基づき、分類キー２０３を生成する。【０１５１】
Ｓ７０３：ライセンス発行部１０３は、Ｓ７０２で生成した分類キー２０３とサーバ記憶部１０２に記憶されたライセンスとを生成するための情報に基づき、ライセンスを生成する。【０１５２】
Ｓ７０４：ライセンス発行部１０３は、Ｓ７０３で生成したライセンスを暗号化し、暗号化ライセンスを生成する。【０１５３】
Ｓ７０５：分類キー生成部１０１は、Ｓ７０２で生成した分類キー２０３の履歴ファイルＩＤ２０５、書き込み行２０６および管理番号２０７と、Ｓ７０３で生成されたライセンスのライセンスＩＤ２０１および履歴保持期限３０３とをサーバ記憶部１０２に記憶される分類キー発行履歴に記録する。【０１５４】
Ｓ６０２：サーバ通信部１０４は、暗号化ライセンスを受信機１１０へ送信する。【０１５５】
なお、Ｓ７０２において、分類キー生成部１０１が、分類キー発行履歴に基づいてライセンスの入力処理の履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択する方法は、サーバ１００で定める規則に従えばよい。【０１５６】
サーバ１００が定める規則には、各履歴ファイルに含まれる情報量が均一になるような規則、例えば、履歴が記録されている数が少ない履歴ファイルへ優先的に履歴を記録するように選択する規則がある。【０１５７】
また、サーバ１００が定める規則には、履歴ファイルに保持されているが不要となった情報を削除するような規則、例えば、履歴保持期限３０３が過ぎた履歴が記録されている行に対して履歴を優先的に記録するように選択する規則がある。【０１５８】
さらに、受信機１１０の処理能力が高い場合には、ファイルサイズが大きい履歴ファイルを短時間で処理することが可能であり、受信機１１０の処理能力が低い場合には、ファイルサイズが大きい履歴ファイルを処理するには長い時間が必要となる。そのため、サーバ１００が定める規則には、受信機１１０の処理能力に応じて、履歴ファイルのファイルサイズを制御する規則、例えば、処理能力が高い受信機１１０に対して履歴が記録される履歴ファイルの数が最も少なくなるように履歴を記録するように選択する規則がある。【０１５９】
さらに、サーバ１００が定める規則は、これら複数の規則に従って選択してもよい。もちろん、分類キー２０３を生成するたびに履歴ファイルＩＤ２０５と書き込み行２０６を選択する規則を変えてもよい。【０１６０】
このように、ライセンスの入力履歴を記録する履歴ファイルをサーバ１００が定める規則に従って選択することにより、ライセンスの入力履歴は適切な数量の履歴ファイルに、かつ、各履歴ファイルに含まれる情報量が均一になるように分散して記録することができる。したがって、ライセンスの入力履歴を記録するための各受信機の負荷を制御することが可能となる。【０１６１】
また、Ｓ７０２において、分類キー生成部１０１が、分類キー発行履歴に基づいて管理番号２０７を選択する方法は、サーバ１００とＩＣカード１２０で定める規則に従えばよい。【０１６２】
例えば、サーバ１００とＩＣカード１２０とで管理番号２０７の数値が大きいほど新しい分類キー２０３であると定めた場合、分類キー生成部１０１は、Ｓ７０２において分類キー発行履歴に記録された履歴ファイルＩＤ２０５と書き込み行２０６とを選択する場合、この履歴ファイルＩＤ２０５と書き込み行２０６とに対応する管理番号２０７より大きな数値を管理番号２０７として選択する。なお、分類キー発行履歴に記録されていない履歴ファイルＩＤ２０５と書き込み行２０６とを選択する場合、例えば「１」など、いずれの数値を管理番号２０７として選択してもよい。【０１６３】
さらに、Ｓ７０２において、分類キー生成部１０１は、分類キー発行履歴に加え、ライセンスの生成予定などから作られる分類キー２０３の生成予定に基づいてライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択してもよい。また、分類キー生成部１０１は、分類キー２０３の生成予定にのみ基づいてライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択してもよい。【０１６４】
次に、受信機１１０が実行する処理の詳細を図１０を参照して説明する。【０１６５】
図１０は、本発明の実施の形態における受信機１１０が実行する暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理（Ｓ６０５）の詳細およびそれらの送信処理（Ｓ６０６）のフローチャートである。本図に示すＳ８０１からＳ８０４までは、図８に示す暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理（Ｓ６０５）の詳細である。また、本図に示す暗号化ライセンスと履歴管理木および履歴ファイルとの送信処理（Ｓ６０６）は、図８に示す同一の参照符号を付した処理と同一である。本図に示す処理は、受信機１１０が暗号化ライセンスをＩＣカード１２０に対して送信する際の受信機１１０における処理であり、受信機１１０は、コンテンツを再生する前に、対応する暗号化ライセンスをＩＣカード１２０に対して送信する。【０１６６】
Ｓ８０１：履歴取得部１１３は、受信機記憶部１１２から暗号化ライセンスを取得する。【０１６７】
Ｓ８０２：取得履歴決定部１１１は、Ｓ８０１で取得した暗号化ライセンスから分類キー２０３を取得する。【０１６８】
Ｓ８０３：取得履歴決定部１１１は、Ｓ８０２で取得した分類キー２０３に含まれる履歴ファイルＩＤ２０５に基づいて、取得すべき履歴管理木のノードと履歴ファイルを決定する。取得すべき履歴管理木のノードは、履歴管理木の根から履歴ファイルを子に持つノードへの経路上の全てノードである。また、取得すべき履歴ファイルは、履歴ファイルＩＤ２０５が示す履歴ファイルである。【０１６９】
Ｓ８０４：履歴取得部１１３は、Ｓ８０３で決定した取得すべき履歴管理木のノードと履歴ファイルを受信機記憶部１１２から取得する。【０１７０】
Ｓ６０６：履歴取得部１１３は、Ｓ８０１で取得した暗号化ライセンスと、Ｓ８０４で取得した履歴管理木のノードと履歴ファイルとをＩＣカード１２０へ送信する。【０１７１】
なお、受信機１１０は、サーバ１００から暗号化ライセンスを受信した場合、受信機記憶部１１２に記憶することなく、受信後すみやかにＩＣカード１２０へ暗号化ライセンスを送信してもよい。この場合、Ｓ８０１は実行せずに、Ｓ８０２から実行される。【０１７２】
なお、Ｓ８０３において、分類キー２０３に含まれる履歴ファイルＩＤ２０５に基づいて、取得すべき履歴管理木のノードを決定する方法は、図６を用いて説明した方法によって履歴管理木の根から履歴ファイルまでの経路を決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、履歴管理木の根から履歴ファイルまでの経路を計算によって決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、履歴管理木の各ノードに親と子を指し示す情報を付与し、この情報に従って履歴管理木の根から履歴ファイルまでの経路を決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、その他の方法でもよい。【０１７３】
次に、ＩＣカード１２０がライセンスの入力のために実行する処理の詳細について、図１１と図１２とを参照して説明する。【０１７４】
図１１は、本発明の実施の形態におけるＩＣカードが実行するライセンスの入力に関連する処理のフローチャートである。ライセンスの入力に関連する処理とは、図８に示す、暗号化ライセンスと履歴管理木および履歴ファイルとの受信処理（Ｓ６０８）から、更新した履歴管理木と履歴ファイルとを含む入力許可の送信処理（Ｓ６１６）までである。【０１７５】
図１１に示す、暗号化ライセンスと履歴管理木および履歴ファイルとの改ざん検証処理（Ｓ９０２）から、ライセンス入力履歴確認処理（Ｓ９０４）までは、図８に示すライセンス入力検証処理（Ｓ６０９）の詳細であり、図１１に示す暗号化ライセンスと履歴管理木および履歴ファイルとの受信処理（Ｓ６０８）と、入力許可判断処理（Ｓ６１０）と、入力拒否の送信処理（Ｓ６１１）と、ライセンス入力処理（Ｓ６１４）から更新した履歴管理木と履歴管理ファイルとを含む入力許可の送信処理（Ｓ６１６）までとは、図８に示す同一の参照符号を付した処理と同一である。【０１７６】
Ｓ６０８：ライセンス入力処理部１２３は、受信機１１０から暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとを受信する。【０１７７】
Ｓ９０２：ライセンス入力処理部１２３は、Ｓ６０８で受信した暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとの改ざん検証を行う。履歴管理木のノードと履歴ファイルとの改ざん検証方法は、図６を用いて説明したように、親ノードが持つ改ざん検証情報を利用して行う。【０１７８】
Ｓ９０３：ライセンス入力処理部１２３は、Ｓ９０２において、暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとの内、いずれかに改ざんが検出された場合、Ｓ６１１を実行し、いずれにも改ざんが検出されなかった場合、Ｓ９０４を実行する。【０１７９】
Ｓ９０４：履歴確認部１２１は、後述するライセンス入力履歴確認処理を実行して、履歴ファイルに基づきライセンスの入力を許可するか拒否するかを判定する。許可した場合、入力処理を行うライセンスの情報を履歴ファイルに記録する。【０１８０】
Ｓ６１０：ライセンス入力処理部１２３は、Ｓ９０４において、ライセンスの入力が許可された場合Ｓ６１４を実行し、許可されなかった場合Ｓ６１１を実行する。【０１８１】
Ｓ６１４：ライセンス入力処理部１２３は、ライセンス入力処理として、暗号化ライセンスを復号し、復号したライセンスを管理する。【０１８２】
Ｓ６１５：ライセンス入力処理部１２３は、Ｓ９０４において更新された履歴ファイルに対して改ざん検証値を算出し、履歴ファイル改ざん検証値３０２に設定する。さらに、履歴ファイルの改ざん検証値の算出に用いた改ざん検証情報を、履歴ファイルを子として持つ履歴管理木のノードの子の改ざん検証情報リスト５０３に設定する。履歴ファイルを子として持つノードの改ざん検証値を算出し、履歴ファイルを子として持つノードのノード改ざん検証値５０２に設定して、改ざん検証値の算出に用いた改ざん検証情報を親ノードの子の改ざん検証情報リスト５０３に設定する。以後、子ノードの改ざん検証値を算出して設定し、子ノードのノード改ざん検証値５０２に設定し、設定した改ざん検証値の算出に用いた改ざん検証情報を親ノードの子の改ざん検証情報リスト５０３に設定することを繰り返す。ただし、履歴管理木の親ノードの改ざん検証値はＩＣカード記憶部１２２に記憶される。【０１８３】
Ｓ６１６：ライセンス入力処理部１２３は、Ｓ６１５で更新した履歴管理木のノードと履歴ファイルとを受信機１１０へ送信する。【０１８４】
Ｓ６１１：ライセンス入力処理部１２３は、Ｓ９０３において、暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとのいずれかに改ざんが検出された場合、またＳ６１０において、ライセンスの入力が許可されなかった場合、受信機１１０へライセンスの入力を拒否する旨を通知する。【０１８５】
図１２は、本発明の実施の形態におけるＩＣカードが実行するライセンス入力履歴確認処理（Ｓ９０４）の詳細を示すフローチャートである。【０１８６】
Ｓ１００１：履歴確認部１２１は、暗号化ライセンスから分類キー２０３を取得する。【０１８７】
Ｓ１００２：履歴確認部１２１は、Ｓ１００１で取得した分類キー２０３から履歴ファイルＩＤ２０５を取得し、分類キー２０３から取得した履歴ファイルＩＤと、受信機１１０から受信した履歴ファイルの履歴ファイルＩＤ２０５とを比較する。【０１８８】
Ｓ１００３：履歴確認部１２１は、Ｓ１００２での比較結果が一致する場合Ｓ１００４を実行し、一致しない場合Ｓ１０１０を実行する。【０１８９】
Ｓ１００４：履歴確認部１２１は、分類キー２０３から書き込み行２０６を取得し、履歴ファイルの中でこの書き込み行２０６が指定する行に、暗号化ライセンスのライセンスＩＤ２０１が記録されていないか確認する。【０１９０】
Ｓ１００５：履歴確認部１２１は、Ｓ１００４の確認で、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていないことを確認した場合Ｓ１００６を実行し、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていた場合Ｓ１０１０を実行する。【０１９１】
Ｓ１００６：履歴確認部１２１は、分類キー２０３から書き込み行２０６と管理番号２０７とを取得し、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で書き込み行２０６が指定する行の管理番号２０７より新しい値であるか確認する。ただし、本実施の形態では、サーバ１００とＩＣカード１２０が、管理番号２０７が大きい値であるほど新しい管理番号２０７であると定めた規則に従っているものとする。【０１９２】
Ｓ１００７：履歴確認部１２１は、Ｓ１００６で、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で分類キー２０３に含まれる書き込み行２０６が指定する行の管理番号２０７より新しいことを確認した場合Ｓ１００８を実行し、新しいことが確認できなかった場合Ｓ１０１０を実行する。【０１９３】
Ｓ１００８：履歴確認部１２１は、分類キー２０３から書き込み行２０６と管理番号２０７とを取得し、履歴ファイル中で書き込み行２０６が指定する行に、暗号化ライセンスのライセンスＩＤ２０１と管理番号２０７とを上書き記録する。さらに、履歴保持期限３０３も上書き記録する。上書き記録する履歴保持期限３０３の値は、予め定められた規則に従って設定され、例えば、暗号化ライセンスのコンテンツ利用条件２０２に設定された有効期限や、サーバ１００から別途送信された期限、サーバ１００による暗号化ライセンスの受信時からの予め定められた一定の期限などである。履歴ファイルに履歴保持期限３０３を持たない場合は、履歴保持期限３０３の上書き記録処理は省略可能である。【０１９４】
Ｓ１００９：履歴確認部１２１は、ライセンスの入力を許可する。【０１９５】
Ｓ１０１０：履歴確認部１２１は、Ｓ１００３において、分類キー２０３に含まれる履歴ファイルＩＤ２０５と履歴ファイルに含まれる履歴ファイルＩＤ２０５とが異なる場合、Ｓ１００５において、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていた場合、Ｓ１００７において、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で分類キー２０３に含まれる書き込み行２０６が指定する行の管理番号２０７より新しいことが確認できなかった場合、ライセンスの入力を拒否する。【０１９６】
なお、Ｓ１００６では、管理番号２０７の大きさを比較する方法に限らず、分類キー２０３が、分類キー２０３に含まれる書き込み行２０６の指定する行に書き込まれている履歴の書き込みを指定した分類キー２０３より新しいことを確認できればよい。例えば、分類キー２０３に含まれる書き込み行２０６が指定する行に記録された履歴保持期限３０３と、暗号化ライセンスのコンテンツ利用条件２０２などに設定された有効期限とを比較し、履歴保持期限３０３が有効期限より先の期限であれば、分類キー２０３が、分類キー２０３に含まれる書き込み行２０６が指定する行に書き込まれている履歴の書き込みを指定した分類キー２０３より新しいとする方法がある。【０１９７】
なお、図１１のＳ６１４において、ライセンス入力処理部１２３は、暗号化ライセンスを復号し、復号したライセンスを一時記憶し、さらにＳ６１５において、履歴管理木の親ノードの改ざん検証値を一時記憶してもよい。この場合、受信機１１０は、ＩＣカード１２０から更新された履歴管理木のノードと履歴ファイルを受信し、受信機記憶部１１２へ記憶した後、ＩＣカード１２０へ更新された履歴管理木のノードと履歴ファイルの記憶が終了したことを通知する。ＩＣカード１２０は、この通知を受けた後、一時記憶していたライセンスの管理を開始し、一時記憶していた履歴管理木の親ノードの改ざん検証値をＩＣカード記憶部１２２に記憶させる。【０１９８】
なお、図１１のＳ６１１において、ＩＣカード１２０のライセンス入力処理部１２３は、ライセンスの入力を拒否した場合、サーバ１００へライセンスの入力を拒否した旨を通知してもよい。ＩＣカード１２０からライセンスの入力を拒否した旨を通知されたサーバ１００は、予め定められた規則に従い、ライセンスの入力を拒否した旨を通知したＩＣカード１２０をＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ  Ｒｅｖｏｃａｔｉｏｎ  Ｌｉｓｔ）に記載し、リボークする処理を行ってもよいし、ＩＣカード１２０を一意に識別するＩＣカードＩＤを記録する処理などを行ってもよい。【０１９９】
なお、受信機記憶部１１２に記憶する履歴管理木もしくは履歴ファイルが破損した場合、受信機１１０は、履歴管理木もしくは履歴ファイルが破損した旨をサーバ１００へ送信してもよい。また、受信機１１０は、履歴管理木もしくは履歴ファイルが破損した旨をＩＣカード１２０へ送信し、ＩＣカード１２０が履歴管理木もしくは履歴ファイルが破損した旨をサーバ１００へ送信してもよい。【０２００】
サーバ１００は、履歴管理木もしくは履歴ファイルが破損した旨を通知された場合、予め定められた規則に従い、履歴管理木もしくは履歴ファイルが破損した旨を通知した受信機１１０またはＩＣカード１２０をＣＲＬに記載しリボークする処理を行ってもよいし、履歴管理木もしくは履歴ファイルを削除して、再作成することを許可する旨を該受信機１１０またはＩＣカード１２０へ通知し、復旧作業を行わせる処理などを行ってもよい。【０２０１】
また、ＩＣカード１２０は、履歴管理木もしくは履歴ファイルが破損した旨を通知された場合、受信機１１０からのライセンスの取り込み処理をロックし、サーバからの放送または通信経由の指示によりロックを解除してもよい。これにより、履歴管理木や履歴ファイルが破損した場合の対応をサーバが決定することができるため、ユーザが受信機１１０を介して不正にＩＣカード１２０へアクセスすることを防止することが可能となる。【０２０２】
なお、取得履歴決定部１１１は、受信機１１０ではなくＩＣカード１２０に含まれてもよい。この場合、受信機１１０は、ＩＣカード１２０へ暗号化ライセンスのみを送信する。すると、暗号化ライセンスを受信したＩＣカード１２０の取得履歴決定部１１１は、暗号化ライセンスから分類キー２０３を取得し、分類キー２０３に含まれる少なくとも履歴ファイルＩＤ２０５を受信機１１０へ送信する。分類キー２０３の少なくとも履歴ファイルＩＤ２０５を受信した受信機１１０の履歴取得部１１３は、受信した情報に基づいて履歴管理木のノードと履歴ファイルとを取得し、取得した履歴管理木のノードと履歴ファイルとをＩＣカード１２０へ送信する。この時点で、ＩＣカード１２０は、暗号化ライセンスと対応する履歴ファイルと履歴管理木のノードとを保持しており、以後の処理は、取得履歴決定部１１１が受信機１１０に含まれる場合と同様である。【０２０３】
なお、取得履歴決定部１１１が、受信機１１０ではなくＩＣカード１２０に含まれる場合、暗号化ライセンスのライセンスＩＤ２０１と分類キー２０３とは暗号化されていてもよく、ＩＣカード１２０に含まれる取得履歴決定部１１１は、暗号化ライセンスから分類キー２０３を取得する前に、暗号化ライセンスを復号する。
【産業上の利用可能性】
【０２０４】
本発明に係るライセンス入力履歴管理方式は、サーバがライセンスに分類キーを設定し、受信機が分類キーに基づいて必要な履歴ファイルを決定し、ＩＣカードが分類キーを用いて必要な履歴ファイルであることを正しく確認する方式であり、暗号化されたコンテンツの利用を、コンテンツ毎に定められたライセンスの利用条件により制限するコンテンツ配信システムにおいて、ライセンスの重複入力を防止するためのライセンスの入力履歴管理方式として有用である。【０２０５】
また、改ざん検証を行う必要があるデータを複数に分割してセキュアでないモジュールに記憶させ、セキュアなモジュールが適宜必要な分割データだけをセキュアでないモジュールから取得して利用する場合、セキュアなモジュールが必要な分割データであることを正しく確認し、必要な分割データだけの改ざん検証が行う必要があるデータ管理方式、データ利用方式にも応用できる。
【図１】
2007040221.tif 000003
【図２】
2007040221.tif 000004
【図３】
2007040221.tif 000005
【図４】
2007040221.tif 000006
【図５】
2007040221.tif 000007
【図６】
2007040221.tif 000008
【図７】
2007040221.tif 000009
【図８】
2007040221.tif 000010
【図９】
2007040221.tif 000011
【図１０】
2007040221.tif 000012
【図１１】
2007040221.tif 000013
【図１２】
2007040221.tif 000014
【手続補正書】
【提出日】平成20年3月24日(2008.3.24)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
コンテンツの利用条件を含むライセンスを送信するサーバであって、
受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、
コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、
前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備える
ことを特徴とするサーバ。
【請求項２】
さらに、前記分類キー生成手段が生成した前記分類キーの履歴を含む分類キー生成履歴情報を記憶しているサーバ記憶手段を備え、
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤを選択し、選択した履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項１に記載のサーバ。
【請求項３】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を選択し、選択した前記書き込み行を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項４】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、生成する分類キーの順序を示す管理番号を生成し、生成した前記管理番号を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項５】
前記分類キー生成手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に前記履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを生成し、生成した前記分類キーを前記生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項６】
前記分類キー生成手段は、生成した分類キーと、さらに、前記ライセンス発行手段が当該分類キーに関連付けた前記ライセンスを一意に識別するためのライセンスＩＤとを関連付けて前記分類キー生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項７】
前記分類キー生成手段は、生成した分類キーと、前記ライセンスＩＤと、さらに、前記ライセンス発行手段が当該分類キーと関連付けた前記ライセンスの入力の履歴を保持すべき期限を示す履歴保持期限とを関連付けて前記分類キー生成履歴情報に記録する
ことを特徴とする請求項２に記載のサーバ。
【請求項８】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、前記各履歴ファイルのサイズに偏りがないようにすることを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項４に記載のサーバ。
【請求項９】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、前記履歴ファイルの数が少なくなるようにすることを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項４に記載のサーバ。
【請求項１０】
前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、期限の過ぎた前記履歴保持期限に関連付けられた情報を更新することを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
ことを特徴とする請求項７に記載のサーバ。
【請求項１１】
前記サーバ送信手段は、前記分類キーに含まれる前記履歴ファイルＩＤ以外の部分と、前記分類キーに関連付けられた前記ライセンスに含まれる前記ライセンスＩＤ以外の部分とを暗号化して送信する
ことを特徴とする請求項１に記載のサーバ。
【請求項１２】
さらに、前記経路情報を含む前記履歴ファイルＩＤを生成する履歴ファイルＩＤ生成手段を備える
ことを特徴とする請求項４に記載のサーバ。
【請求項１３】
さらに、前記履歴ファイルが破損したことを示す通知または、前記ライセンスの入力が拒否されたことを示す通知の少なくとも１つを受信するサーバ受信手段と、
前記サーバ受信手段が受信した通知を送信した機器をＣＲＬに記載するＣＲＬ処理手段とを備える
ことを特徴とする請求項１に記載のサーバ。
【請求項１４】
さらに、前記履歴ファイルが破損したことを示す通知を、受信機またはＩＣカードから受信するサーバ受信手段を備え、
前記サーバ送信手段は、さらに、前記サーバ受信手段が通知を受信した場合に、予め定められた規則に従って、ＩＣカードへライセンス入力処理のロック解除指示、または、履歴ファイルの再作成指示のうち少なくとも１つを送信する
ことを特徴とする請求項１に記載のサーバ。
【請求項１５】
さらに、前記履歴ファイルが破損したことを示す通知を、受信機またはＩＣカードから受信するサーバ受信手段と、
前記サーバ受信手段が通知を受信した場合に、当該通知の通知元である受信機またはＩＣカードの固有情報を記録する機器情報記録手段とを備える
ことを特徴とする請求項１に記載のサーバ。
【請求項１６】
サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信機であって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信手段と、
前記複数の履歴ファイルを記憶している受信機記憶手段と、
前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、
前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、受信機に取り付けられているＩＣカードへ送信する受信機送信手段を備える
ことを特徴とする受信機。
【請求項１７】
前記受信機受信手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを受信し、
前記履歴取得手段は、さらに、前記分類キーに含まれる前記経路情報が示す前記履歴管理木の経路上のノードが持つ前記改ざん検証情報を取得し、
前記受信機送信手段は、さらに、前記履歴取得手段が取得した前記改ざん検証情報を受信機に取り付けられているＩＣカードへ送信する
ことを特徴とする請求項１６に記載の受信機。
【請求項１８】
受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うＩＣカードであって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信手段と、
前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、
前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える
ことを特徴とするＩＣカード。
【請求項１９】
さらに、前記分類キー、前記分類キーに関連付けられた前記ライセンス、前記履歴ファイル、および、履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木のノードのうち、少なくとも１つの改ざん検証を行う改ざん検証手段を備え、
前記ＩＣカード受信手段は、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスと、さらに、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記履歴管理木の根から当該履歴ファイルまでの経路にあるノードに含まれる改ざん検証情報とを、前記受信機から受信し、
前記履歴確認手段は、前記改ざん検証手段により改ざんが検出されなかった場合にのみ、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる前記履歴ファイルＩＤとを比較する
ことを特徴とする請求項１８に記載のＩＣカード。
【請求項２０】
さらに、前記ライセンス処理手段が前記ＩＣカード受信手段により受信されたライセンスに対して入力を行った場合に、前記ライセンス処理手段が行ったライセンスの入力の履歴を、当該ライセンスに関連付けて前記ＩＣカード受信手段により受信された、分類キーに含まれる履歴ファイルＩＤが示す履歴ファイルに記録する処理履歴記録手段を備える
ことを特徴とする請求項１８に記載のＩＣカード。
【請求項２１】
前記ＩＣカード受信手段は、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を含む分類キーを、前記受信機から受信し、
前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に、前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する
ことを特徴とする請求項１８に記載のＩＣカード。
【請求項２２】
前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に上書き記録で行う
ことを特徴とする請求項２１に記載のＩＣカード。
【請求項２３】
前記ＩＣカード受信手段は、さらに、各履歴ファイルの行毎に分類キーが生成された順序を示す管理番号を含む分類キーを、前記受信機から受信し、
前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に記録されている管理番号より、前記ＩＣカード受信手段が受信した分類キーに含まれる管理番号の方が新しく生成された分類キーに対応することを確認する
ことを特徴とする請求項２１に記載のＩＣカード。
【請求項２４】
前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に、前記分類キーに含まれる前記管理番号とともに上書き記録で行う
ことを特徴とする請求項２３に記載のＩＣカード。
【請求項２５】
さらに、前記処理履歴記録手段が更新した前記履歴ファイルを前記受信機へ送信するＩＣカード送信手段を備える
ことを特徴とする請求項２０に記載のＩＣカード。
【請求項２６】
さらに、前記分類キーに含まれる前記履歴ファイルＩＤに従って取得する前記履歴ファイルを決定し、決定した取得すべき履歴ファイルの前記履歴ファイルＩＤを前記受信機へ送信する取得履歴決定手段を備える
ことを特徴とする請求項１８に記載のＩＣカード。
【請求項２７】
さらに、取り付けられている受信機から、当該受信機が記憶している履歴ファイルの破損の通知を受け付け、当該破損の通知を受け付けた場合に、前記ライセンス処理手段における入力をロックするロック手段と、
サーバからロック解除の指示を受け付け、当該ロック解除の指示を受け付けた場合に、前記ロック手段によるロックを解除するロック解除手段とを備える
ことを特徴とする請求項１８に記載のＩＣカード。
【請求項２８】
さらに、取り付けられている受信機から、当該受信機が記憶している履歴ファイルの破損の通知を受け付け、当該破損の通知を受け付けた場合に、前記ライセンス処理手段における入力をロックするロック手段と、
サーバから履歴ファイルの再作成指示を受け付け、前記ロック手段が前記ライセンス処理手段における入力をロックしている間に、前記再作成指示を受け付けた場合に、履歴ファイルを再作成する履歴ファイル再作成手段とを備える
ことを特徴とする請求項１８に記載のＩＣカード。
【請求項２９】
コンテンツの利用条件を含むライセンスを送信する送信方法であって、
受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成ステップと、
コンテンツの利用条件を含むライセンスを、前記分類キー生成ステップにおいて生成した前記分類キーと関連付けて発行するライセンス発行ステップと、
前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信ステップとを含む
ことを特徴とする送信方法。
【請求項３０】
サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信方法であって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信ステップと、
前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記複数の履歴ファイルを記憶している受信機記憶手段から取得する履歴取得ステップと、
前記履歴取得ステップにおいて取得された前記履歴ファイルと、前記受信機受信ステップにおいて受信された前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、ＩＣカードへ送信する受信機送信ステップとを含む
ことを特徴とする受信方法。
【請求項３１】
受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うライセンス入力方法であって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信ステップと、
前記ＩＣカード受信ステップにおいて受信された分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信ステップにおいて受信された履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信ステップにおいて受信された前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認ステップと、
前記履歴確認ステップにおいて、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスの入力を拒否するライセンス処理ステップとを含む
ことを特徴とするライセンス入力方法。
【請求項３２】
コンテンツの利用条件を含むライセンスを送信するための送信プログラムであって、
受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成ステップと、
コンテンツの利用条件を含むライセンスを、前記分類キー生成ステップにおいて生成した前記分類キーと関連付けて発行するライセンス発行ステップと、
前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信ステップとをコンピュータに実行させる
ことを特徴とする送信方法。
【請求項３３】
サーバから送信されるコンテンツの利用条件を含むライセンスを受信するための受信プログラムであって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信ステップと、
前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記複数の履歴ファイルを記憶している受信機記憶手段から取得する履歴取得ステップと、
前記履歴取得ステップにおいて取得された前記履歴ファイルと、前記受信機受信ステップにおいて受信された前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、ＩＣカードへ送信する受信機送信ステップとをコンピュータに実行させる
ことを特徴とする受信プログラム。
【請求項３４】
コンテンツの利用条件を含むライセンスをＩＣカードに入力するためのライセンス入力プログラムであって、
ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信ステップと、
前記ＩＣカード受信ステップにおいて受信された分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信ステップにおいて受信された履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信ステップにおいて受信された前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認ステップと、
前記履歴確認ステップにおいて、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスの入力を拒否するライセンス処理ステップとをコンピュータに実行させる
ことを特徴とするライセンス入力プログラム。
【請求項３５】
コンテンツの利用条件を含むライセンスを送信するサーバと、サーバから送信されるライセンスを受信する受信機と、受信機に取り付けられ、ライセンスの入力を行うＩＣカードとから構成されるライセンス管理システムであって、
サーバは、
受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、
コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、
前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備え、
受信機は、
前記サーバ送信手段により送信される前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを受信する受信機受信手段と、
前記複数の履歴ファイルを記憶している受信機記憶手段と、
前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、
前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、前記ＩＣカードへ送信する受信機送信手段を備え、
ＩＣカードは、
前記受信機送信手段により送信される、前記履歴ファイルと、前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを受信するＩＣカード受信手段と、
前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、
前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える
ことを特徴とするライセンス管理システム。
【手続補正２】
【補正対象書類名】明細書
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、暗号化されたコンテンツの利用を、コンテンツ毎に定められたライセンスの利用条件により制限するコンテンツ配信システムにおいて、ライセンスの入力履歴を管理するサーバ、受信機およびＩＣカードを備えるライセンス管理システムに関するものである。
【背景技術】
【０００２】
放送や通信を利用して、コンテンツをリアルタイムやオンデマンドで配信するコンテンツ配信サービスが広く行われている。特に日本においては、サーバ型放送と呼ばれるコンテンツ配信サービスの実施が計画されている。
【０００３】
サーバ型放送では、サーバは、受信機に対して暗号化コンテンツと暗号化ライセンスを送信し、受信機は、サーバから暗号化コンテンツと暗号化ライセンスを受信して蓄積する。受信機は、暗号化コンテンツを再生する前に、暗号化ライセンスを受信機に挿入されたセキュアモジュールであるＩＣ（Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）カードへ送信し、ＩＣカードは暗号化ライセンスを受信して復号し、復号したライセンスを管理する。この、ＩＣカードが暗号化ライセンスを復号して、復号したライセンスを管理する処理をライセンスの入力と呼ぶ。受信機は、暗号化コンテンツ再生時に、ＩＣカードに対して、コンテンツの利用可否を問い合わせる。受信機からコンテンツの利用可否の問い合わせを受けたＩＣカードは、ライセンスに含まれる利用条件に基づいてコンテンツの利用可否を判定し、利用可である場合、ライセンスに含まれるコンテンツ鍵を受信機へ送信する。受信機は、ＩＣカードから受信したコンテンツ鍵を用いて暗号化コンテンツを復号して再生する。
【０００４】
ライセンスに含まれる利用条件には、例えば、加入者の契約に基づく特定のコンテンツの視聴可能回数などが含まれる。加入者はそのようなライセンスを使用してコンテンツを視聴する。ＩＣカードは、加入者がコンテンツを視聴する度に、そのコンテンツの視聴可能回数を１ずつ減らし、０になると加入者がそのコンテンツを視聴できなくなるようにライセンスを管理する。このようなライセンスを不正にＩＣカードに入力することにより、視聴可能回数をいつでも未使用の状態に戻せるならば、結局、ライセンスでコンテンツの視聴を制限できないことになる。このように、ライセンスを不正に重複入力できると、加入者のコンテンツの視聴を契約に基づいて管理できない等の不都合が生じる。
【０００５】
このようなライセンスの重複入力を防ぐため、ＩＣカードはライセンス入力履歴を記録する。ライセンス入力履歴は既に入力処理されたライセンスの履歴である。ＩＣカードは、ライセンス入力履歴に記録されたライセンスの入力処理を拒否することで、ライセンスの重複入力を防ぐ。
【０００６】
しかし、一般にＩＣカードの記憶容量は小さく、多くのライセンス入力履歴を管理することはできない。そこで、大きな記憶容量を持つ受信機でライセンス入力履歴を管理する必要がある。ただし、受信機でライセンス入力履歴が改ざんされる可能性があるため、ライセンス入力履歴の確認と改ざん検証はセキュアモジュールであるＩＣカードが行う必要がある。
【０００７】
そこで、ライセンス入力履歴を複数の履歴ファイルに分割して構成し、ＩＣカードが、ライセンス入力処理の際に、受信機から複数の履歴ファイルの中から１つの履歴ファイルを受信して、入力履歴の確認と改ざん検証を行う。ただし、ライセンス入力履歴を複数の履歴ファイルで構成した場合、ＩＣカードはそれぞれの履歴ファイルに対して改ざん検証値を記憶する必要がある。しかし、ＩＣカードの記憶容量は小さいため、記憶可能な改ざん検証値には限度があり、ＩＣカードが記憶可能な改ざん検証値の数が履歴ファイルの数を制限する。履歴ファイルの数が制限されると、記録可能なライセンスの入力履歴の数も制限され、これは好ましくない。
【０００８】
ここで、改ざん検証を行う必要がある複数のデータを管理する技術として、各データの改ざん検証値を木構造で管理する技術が従来あった（例えば、特許文献１参照）。この木では親が子の改ざん検証値を管理することで、データの数に関わらず、ＩＣカードが記憶する改ざん検証値を木の根の改ざん検証値のみとすることができる。
【０００９】
改ざん検証値を木構造で管理する技術を用いると、複数の履歴ファイルそれぞれに対して改ざん検証値を管理しても、ＩＣカードが記憶する改ざん検証値を木の根の改ざん検証値のみとすることができ、履歴ファイルの数の制限が無くなる。
【００１０】
受信機が、複数の履歴ファイルと履歴ファイルに対応する改ざん検証値を持つ木を記憶する場合、受信機は、コンテンツ再生前に、複数の履歴ファイルの内、コンテンツに対応する暗号化ライセンスの入力履歴が記録された履歴ファイルを選択し、暗号化ライセンス、履歴ファイル、履歴ファイルの改ざん検証値をＩＣカードへ送信する。ＩＣカードは、受信機から暗号化ライセンスと履歴ファイル、履歴ファイルの改ざん検証値を受信し、履歴ファイルの改ざん検証を行った後、入力履歴を確認して暗号化ライセンスの入力処理を行ってよいか判断する。
【特許文献１】特開２００５−３２１３０号公報
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかしながら、従来の技術では、複数の独立したデータを管理することのみを想定しており、複数のファイルに分割された履歴ファイルのように、１つのデータを分割して得られた複数のデータを管理する方法に関しては想定しておらず、次のような課題があった。
【００１２】
受信機が１度利用し、利用条件を消費した暗号化ライセンスを重複入力するため、該暗号化ライセンスの入力履歴が記録された履歴ファイルと異なる履歴ファイルを該暗号化ライセンスと共にＩＣカードへ送信すると、ＩＣカードは受信機から受信した履歴ファイルに該暗号化ライセンスの入力履歴が記録されていないため、暗号化ライセンスの入力を許可し、入力処理を実行してしまう。すなわち、ＩＣカードは、受信機から受信した履歴ファイルが、入力対象のライセンスに対応した正しい履歴ファイルであることを確認する手段がなく、ＩＣカードに誤った履歴ファイルを参照させることによって、ライセンスが不正に重複入力されるという課題がある。
【００１３】
本発明は、前記従来の課題を解決するもので、ＩＣカードが受信機から受信した履歴ファイルが正しい履歴ファイルであることを確認し、ライセンスの重複入力を防止するライセンス管理システムを提供することを目的とする。
【課題を解決するための手段】
【００１４】
前記従来の課題を解決するために、本発明のサーバは、コンテンツの利用条件を含むライセンスを送信するサーバであって、受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備える。
【００１５】
このように、本発明のサーバは、履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーと関連付けたライセンスを発行する。これにより、受信側でのライセンスの入力の履歴がいずれの履歴ファイルに記録されるかを管理することができる。したがって、サーバが発行する各ライセンスが書き込まれるべき履歴ファイルを特定することができ、ライセンスを入力する際に正しい履歴ファイルの参照が可能となるため、ライセンスの重複入力を防止することが可能になる。
【００１６】
好ましくは、さらに、前記分類キー生成手段が生成した前記分類キーの履歴を含む分類キー生成履歴情報を記憶しているサーバ記憶手段を備え、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤを選択し、選択した履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーを前記分類キー生成履歴情報に記録する。
【００１７】
このように、サーバは分類キーの生成履歴を記憶する。これにより、分類キーの生成の際に、予め定められた履歴ファイルの管理に関する規則に従って、ライセンスの入力履歴が書き込まれるべき履歴ファイルを選択し、選択した履歴ファイルを示す履歴ファイルＩＤを含む分類キーを生成することができる。したがって、サーバによって、履歴ファイルを管理することが可能となる。
【００１８】
ここで、予め定められた履歴ファイルの管理に関する規則は、前記各履歴ファイルのサイズに偏りがないようにすることを内容としてもよく、前記履歴ファイルの数が少なくなるようにすることを内容としてもよく、また、期限の過ぎた前記履歴保持期限に関連付けられた情報を更新することを内容としてもよい。
【００１９】
このような規則に従って選択された履歴ファイルＩＤを含む分類キーを生成することにより、サーバが、受信機に応じた履歴ファイルの管理をすることが可能となる。
【００２０】
さらに好ましくは、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を選択し、選択した前記書き込み行を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する。
【００２１】
また、前記分類キー生成手段は、生成した分類キーと、前記ライセンスＩＤと、さらに、前記ライセンス発行手段が当該分類キーと関連付けた前記ライセンスの入力の履歴を保持すべき期限を示す履歴保持期限とを関連付けて前記分類キー生成履歴情報に記録する。
【００２２】
このように、サーバは、ライセンスの入力履歴を書き込むべき履歴ファイルだけでなく、その履歴ファイルにおいて履歴が書き込まれるべき書き込み行をも含む分類キーを生成する。これにより、受信側での履歴ファイルのどこに書き込むかを決定するための処理を省くことが可能になるとともに、サーバ側でより詳細な履歴ファイルの管理が可能となる。また、履歴保持期限が記録されている場合には、使用期限が過ぎたライセンスの入力履歴のような、不要となった履歴情報に、新たなライセンスの入力履歴を上書きして記録させることができる。したがって、サーバにより詳細な履歴ファイルの管理が可能になるとともに、履歴ファイルに含まれる不要となった履歴の削除など受信機側で必要となる処理を省くことが可能となる。
【００２３】
さらに好ましくは、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、生成する分類キーの順序を示す管理番号を生成し、生成した前記管理番号を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する。
【００２４】
このように、サーバは、さらに、管理番号を含む分類キーを生成する。これにより、受信側では、受信した分類キーに含まれる管理番号と、履歴ファイルに含まれる履歴の管理番号とを比較し、管理番号によって、より新しい分類キーに関連付けられたライセンスであることが示されている場合にのみ、そのライセンスを取り込むという処理を行うことができる。したがって、入力履歴の管理をより厳格にすることが可能となり、ライセンスの重複入力を防止することが可能になる。
【００２５】
さらに好ましくは、前記分類キー生成手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に前記履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを生成し、生成した前記分類キーを前記生成履歴情報に記録する。
【００２６】
このように、複数の履歴ファイルを木構造で管理する場合に、サーバは、その根から、葉である特定の履歴ファイルまでの経路情報を含む分類キーを生成する。これにより、サーバが特定する履歴ファイルの所在を検索するための受信機側での処理が軽減される。
【００２７】
さらに好ましくは、前記サーバ送信手段は、前記分類キーに含まれる前記履歴ファイルＩＤ以外の部分と、前記分類キーに関連付けられた前記ライセンスに含まれる前記ライセンスＩＤ以外の部分とを暗号化して送信する。
【００２８】
このように、暗号化して送信することにより、契約に関する情報など特に重要な情報を送受信する際の安全性を高めることが可能となる。
【００２９】
さらに好ましくは、さらに、前記履歴ファイルが破損したことを示す通知または、前記ライセンスの入力が拒否されたことを示す通知の少なくとも１つを受信するサーバ受信手段と、前記サーバ受信手段が受信した通知を送信した機器をＣＲＬに記載するＣＲＬ処理手段とを備える。
【００３０】
このように、サーバは、履歴ファイルの破損の通知を受けて、その破損が履歴ファイルを記憶している受信機のユーザの不正な操作によるものか、真に障害が発生しているのかを判断することができる。したがって、例えば、履歴ファイルを不正に破壊し、操作することによって、ライセンスを重複入力することを防止することが可能になる。
【００３１】
また、本発明の請受信機は、サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信機であって、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信手段と、前記複数の履歴ファイルを記憶している受信機記憶手段と、前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、受信機に取り付けられているＩＣカードへ送信する受信機送信手段を備える。
【００３２】
また、本発明のＩＣカードは、受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うＩＣカードであって、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信手段と、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える。
【００３３】
このように、ＩＣカードは、分類キーに含まれる履歴ファイルＩＤと、受信した履歴ファイル自体の履歴ファイルＩＤとを照合する。これにより、受信した履歴ファイルが、サーバが選択した履歴ファイルであることを確認することができ、入力処理の対象となっているライセンスに対応する真正な履歴ファイルを受信したことを検証できる。したがって、入力処理の対象となっているライセンスに対応しない、不正な履歴ファイルを参照することによって、そのライセンスが未入力であると判断することによる、ライセンスの重複入力を防止することが可能となる。
【００３４】
好ましくは、さらに、前記分類キー、前記分類キーに関連付けられた前記ライセンス、前記履歴ファイル、および、履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木のノードのうち、少なくとも１つの改ざん検証を行う改ざん検証手段を備え、前記ＩＣカード受信手段は、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスと、さらに、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記履歴管理木の根から当該履歴ファイルまでの経路にあるノードに含まれる改ざん検証情報とを、前記受信機から受信し、前記履歴確認手段は、前記改ざん検証手段により改ざんが検出されなかった場合にのみ、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる前記履歴ファイルＩＤとを比較する。
【００３５】
このように、分類キー、ライセンス、履歴ファイルおよびノードの少なくとも１つの改ざんを検証する。これにより、改ざんした履歴ファイルをＩＣカードに参照させ、既に入力されているライセンスが未入力であると誤って判断させて、ライセンスを重複入力すること等、不正な操作によりライセンスを重複入力することを防止することが可能となる。
【００３６】
さらに好ましくは、前記ＩＣカード受信手段は、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を含む分類キーを、前記受信機から受信し、前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に、前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する。
【００３７】
また、前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に上書き記録で行う。
【００３８】
このように、ＩＣカードは、ライセンスの入力履歴を書き込むべき履歴ファイルだけでなく、その履歴ファイルにおいて履歴が書き込まれるべき書き込み行をも含む分類キーを受信する。これにより、使用期限が過ぎたライセンスの入力履歴のような、不要となった履歴情報に、新たなライセンスの入力履歴を上書きして記録させることができる。したがって、不要となった履歴を削除するために、履歴ファイルに含まれる検索し、削除するというＩＣカードでの処理を省くことが可能となる。
【００３９】
さらに好ましくは、前記ＩＣカード受信手段は、さらに、各履歴ファイルの行毎に分類キーが生成された順序を示す管理番号を含む分類キーを、前記受信機から受信し、前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に記録されている管理番号より、前記ＩＣカード受信手段が受信した分類キーに含まれる管理番号の方が新しく生成された分類キーに対応することを確認する。
【００４０】
また、前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に、前記分類キーに含まれる前記管理番号とともに上書き記録で行う。
【００４１】
このように、ＩＣカードは、各履歴ファイルの行毎に付与される管理番号を含む分類キーを受信し、受信した分類キーに含まれる管理番号と、履歴ファイルの書き込み行に含まれる管理番号とを比較し、管理番号によって、より新しい分類キーに関連付けられたライセンスであることが示されている場合にのみ、そのライセンスを取り込むという処理を行う。これにより、入力履歴の管理をより厳格にすることが可能となり、ライセンスの重複入力を防止することが可能になる。
【００４２】
さらに好ましくは、さらに、取り付けられている受信機から、当該受信機が記憶している履歴ファイルの破損の通知を受け付け、当該破損の通知を受け付けた場合に、前記ライセンス処理手段における入力をロックするロック手段と、サーバからロック解除の指示を受け付け、当該ロック解除の指示を受け付けた場合に、前記ロック手段によるロックを解除するロック解除手段とを備える。
【００４３】
このように、ＩＣカードは、履歴ファイルの破損の通知を受信機から受けて、ライセンスの入力処理をロックする。その破損が履歴ファイルを記憶している受信機のユーザの不正な操作によるものではなく、真に障害が発生していると判断したサーバのロック解除の指示を受け付けて、ＩＣカードはロックを解除する。したがって、例えば、履歴ファイルを不正に破壊し、操作することによって、ライセンスを重複入力することを防止することが可能になる。
【００４４】
本構成によって、ＩＣカードは、受信機から受信した分類キーに含まれる履歴ファイルＩＤと、受信機から受信した履歴ファイルに含まれる履歴ファイルＩＤとを比較することで、受信機から受信した履歴ファイルが正しい履歴ファイルであることを確認することができ、ライセンスの重複入力を防止することが可能である。
【００４５】
なお、本発明は、このような特徴的な手段を備えるサーバ、受信機およびＩＣカードとして実現することができるだけでなく、これらにより構成されるライセンス管理システムとして実現したり、それぞれに含まれる特徴的な手段をステップとする送信方法、受信方法およびライセンス入力方法として実現したり、それぞれに含まれる特徴的な手段としてコンピュータを機能させる送信プログラム、受信プログラムおよびライセンス入力プログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ  Ｄｉｓｃ  Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）等の記録媒体やインターネット等の通信ネットワークを介して流通させることができる。
【発明の効果】
【００４６】
本発明の分類キーは、ライセンス毎に設定され、該ライセンスの入力履歴が記録される履歴ファイルを指定する。ＩＣカードは、受信機から暗号化ライセンスと履歴ファイルと共に分類キーを受信し、分類キーを参照することで、受信機から受信した履歴ファイルが確かに暗号化ライセンスに対応した正しい履歴ファイルであることを確認することができる。これにより、ＩＣカードは、分割された複数の履歴ファイルの内、１つの履歴ファイルを確認するだけで、全てのライセンスの入力履歴の確認を行ったことと同様の効果を得て、ライセンスの重複入力を防止することが可能になる。
【発明を実施するための最良の形態】
【００４７】
以下本発明の実施の形態について、図面を参照しながら説明する。
【００４８】
本実施の形態では、ＩＣカードによるライセンスの入力処理の履歴が記録される履歴ファイルは、複数の履歴ファイルで構成される。それぞれの履歴ファイルには、異なるライセンスの入力履歴が記録されている。そして、履歴ファイルと、履歴ファイルに対応する改ざん検証情報を木構造で管理し、この木構造を履歴管理木と呼ぶ。
【００４９】
ここで、改ざん検証情報とは、改ざん検証値を算出するために用いる情報である。改ざん検証値とは、一方向性関数から算出される値であり、より具体的にはハッシュ値などであるが、改ざん検証を行うことが可能な値であればその他の値でもよい。
【００５０】
履歴管理木と履歴ファイルは、後述する図１に示す受信機１１０が記憶し、履歴管理木の根の改ざん検証値は、後述する図１に示すＩＣカード１２０が記憶する。また、ライセンスの入力処理の他、履歴ファイルの更新や改ざん検証値の算出などは、耐タンパ性に優れるセキュアモジュールの一例である、ＩＣカードが実行する。
【００５１】
なお、履歴管理木は、履歴ファイルと履歴ファイルに対応する改ざん検証値を管理してもよい。また、履歴管理木の根の改ざん検証情報をＩＣカード１２０が記憶してもよい。
【００５２】
本実施の形態では、本発明のライセンス管理システムを、サーバ型放送システムに適用した例により説明する。なお、本発明のライセンス管理システムは、サーバ型放送システムだけでなく、コンテンツ配信システムなどにも適用することができる。
【００５３】
図１は、本発明の実施の形態におけるサーバ型放送システムの概観の一例を示す図である。実施の形態におけるサーバ型放送システムでは、コンテンツを放送する放送局に設置されたサーバから、コンテンツの視聴契約をした各加入者の下に設置される受信機に、コンテンツの視聴権限などを含むライセンスが送信される。
【００５４】
本実施の形態におけるサーバ型放送システムは、サーバ１００と、受信機１１０と、ＩＣカード１２０と、ディスプレイ装置１３０とを備える。
【００５５】
サーバ１００は、放送局が提供するコンテンツの視聴契約をした各加入者のライセンスに関する情報を生成し、生成したライセンスに関する情報を暗号化し、暗号化したライセンスと、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤとを含む、ライセンス情報を送信する。
【００５６】
受信機１１０は、サーバ１００から送信されたライセンス情報を受信する。受信機１１０には、ＩＣカード１２０が取り付けられる。受信機１１０が受信したライセンス情報は、受信機１１０からＩＣカード１２０に送信される。ＩＣカード１２０は、受信したライセンス情報に含まれるライセンスを復号化し、復号化したライセンスを管理するという入力処理を実行する。
【００５７】
ディスプレイ装置１３０は、加入者がコンテンツを閲覧するためのディスプレイであり、加入者は、ＩＣカード１２０に入力されたライセンスを使用して、そのライセンスに含まれる視聴権限の範囲でコンテンツを視聴できる。例えば、視聴回数が制限されたコンテンツ場合、ＩＣカード１２０は当該コンテンツの視聴により消費される加入者の視聴可能権限を管理する。
【００５８】
図２は、本発明の実施の形態におけるサーバ型放送システムが備える装置の構成を示すブロック図である。
【００５９】
図２に示すサーバ型放送システムは、図１と同様に、サーバ１００と、受信機１１０と、ＩＣカード１２０と、ディスプレイ装置１３０とを備える。サーバ１００と受信機１１０とは、放送により、サーバ１００から受信機１１０へデータを送信可能である。なお、サーバ１００と受信機１１０とは、インターネット、メディアなど、伝送媒体（ネットワーク）を介して片方向または双方向に通信可能であればよく、少なくともサーバ１００から受信機１１０へデータを送信可能であればよい。
【００６０】
受信機１１０とディスプレイ装置１３０とは、ケーブルや無線ＬＡＮなど、伝送媒体を介して片方向または双方向に通信可能であり、少なくとも受信機１１０からディスプレイ装置１３０へデータを送信可能である。
【００６１】
ＩＣカード１２０は、受信機１１０に挿入され接続される。なお、ＩＣカード１２０は耐タンパ構成を持つ。ただし、ＩＣカード１２０は受信機１１０に耐タンパ構成を持つセキュアモジュールとして実装されてもよい。また、受信機１１０とＩＣカード１２０は、挿入による接続に限らず、ケーブルや無線など、伝送媒体を介して双方向通信が可能な状態で取り付けられていればよい。
【００６２】
図２において、サーバ１００は、受信機１１０に対して暗号化コンテンツと暗号化ライセンスとを送信し、受信機１１０は、サーバ１００から暗号化コンテンツと暗号化ライセンスとを受信して蓄積する。
【００６３】
受信機１１０は、暗号化コンテンツを再生する前に、暗号化ライセンスをＩＣカード１２０へ送信し、ＩＣカード１２０は暗号化ライセンスを受信して復号し、復号したライセンスを管理する。この、ＩＣカード１２０が暗号化ライセンスを復号して、復号したライセンスを管理する処理をライセンスの入力と呼ぶ。
【００６４】
受信機１１０は、暗号化コンテンツ再生時に、ＩＣカード１２０に対して、コンテンツの利用可否を問い合わせる。受信機１１０からコンテンツの利用可否の問い合わせを受けたＩＣカード１２０は、ライセンスに含まれる利用条件に基づいてコンテンツの利用可否を判定し、利用可である場合、ライセンスに含まれる後述する図３に示すコンテンツ鍵２０４を受信機１１０へ送信する。受信機１１０は、ＩＣカード１２０から受信したコンテンツ鍵２０４を用いて暗号化コンテンツを復号して再生し、ディスプレイ装置１３０へ表示する。
【００６５】
さらに図２において、サーバ１００は、分類キー生成部１０１と、サーバ記憶部１０２と、ライセンス発行部１０３と、サーバ通信部１０４を備える。
【００６６】
分類キー生成部１０１は、分類キー発行履歴に基づいて、後述する図３に示す分類キー２０３を生成する。
【００６７】
サーバ記憶部１０２は、分類キー発行履歴や暗号化コンテンツ、ライセンスを生成するための情報など、サーバ処理に必要な情報を記憶している。
【００６８】
ライセンス発行部１０３は、分類キー生成部１０１が生成した分類キー２０３およびサーバ記憶部１０２に記憶されているライセンスを生成するための情報に基づいてライセンスを生成し、暗号化して暗号化ライセンスを生成する。ただし、少なくともライセンスに含まれる後述する図３に示すライセンスＩＤ２０１と、分類キー２０３は暗号化しない。
【００６９】
サーバ通信部１０４は、受信機１１０に対して暗号化ライセンスと暗号化コンテンツとを送信する。
【００７０】
さらに図２において、受信機１１０は、取得履歴決定部１１１と、受信機記憶部１１２と、履歴取得部１１３と、受信機通信部１１４と、コンテンツ再生部１１５とを備える。
【００７１】
取得履歴決定部１１１は、受信機記憶部１１２に記憶された暗号化ライセンスから分類キー２０３を取得し、分類キー２０３に基づいて受信機記憶部１１２から取得する履歴管理木のノードと履歴ファイルを決定する。
【００７２】
受信機記憶部１１２は、履歴管理木と履歴ファイル、暗号化ライセンス、暗号化コンテンツなどを記憶する。
【００７３】
履歴取得部１１３は、取得履歴決定部１１１が決定した履歴管理木のノードと履歴ファイルに加えて、暗号化ライセンスを受信機記憶部１１２から取得し、ＩＣカード１２０へ送信する。また、履歴取得部１１３は、ＩＣカード１２０から更新された履歴管理木のノードと履歴ファイルを受信し、受信機記憶部１１２に記憶させる。
【００７４】
受信機通信部１１４は、サーバ１００から暗号化ライセンスと暗号化コンテンツを受信し、受信機記憶部１１２に記憶させる。
【００７５】
コンテンツ再生部１１５は、ＩＣカード１２０へコンテンツの再生要求を送信し、ＩＣカード１２０がコンテンツの再生を許可した場合、ＩＣカード１２０からコンテンツ鍵２０４を受信し、受信機記憶部１１２に記憶された暗号化コンテンツを、コンテンツ鍵２０４を用いて復号化して再生し、ディスプレイ装置１３０に表示させる。
【００７６】
さらに図２において、ＩＣカード１２０は、履歴確認部１２１と、ＩＣカード記憶部１２２と、ライセンス入力処理部１２３と、利用条件判定部１２４を備える。
【００７７】
履歴確認部１２１は、履歴ファイルに基づいてライセンスの入力処理を許可するか拒否するかを決定する。また、ライセンス入力の処理履歴を履歴ファイルへ記録する。
【００７８】
ＩＣカード記憶部１２２は、ライセンスや、履歴ファイルの改ざん検出情報、履歴管理木の根の改ざん検出情報などを記憶している。
【００７９】
ライセンス入力処理部１２３は、受信機１１０から履歴管理木と履歴ファイルおよび暗号化ライセンスとを受信し、履歴確認部１２１がライセンス入力処理を許可した場合に、ライセンスの入力処理を行う。
【００８０】
利用条件判定部１２４は、ＩＣカード記憶部１２２が記憶しているライセンスを取得し、ライセンスに基づいてコンテンツの利用条件判定を行い、コンテンツの利用を許可する場合は、ライセンスからコンテンツ鍵２０４を取得して受信機１１０へ送信する。
【００８１】
図３は、本発明の実施の形態におけるライセンス情報の構成を示す図である。以下、ライセンス情報を、単に「ライセンス」という。
【００８２】
図２において、ライセンスは、ライセンスＩＤ２０１と、コンテンツ利用条件２０２と、分類キー２０３と、コンテンツ鍵２０４とを含む。さらに、分類キー２０３は、履歴ファイルＩＤ２０５と、書込み行２０６と、管理番号２０７とを含む。
【００８３】
ライセンスＩＤ２０１は、ライセンスを一意に識別するＩＤである。コンテンツ利用条件２０２は、ライセンスに対応するコンテンツの利用条件である。分類キー２０３は、ライセンスの入力処理の履歴を記録する履歴ファイルなどを特定する情報である。コンテンツ鍵２０４は、ライセンスに対応するコンテンツを暗号化コンテンツから復号するための鍵である。
【００８４】
履歴ファイルＩＤ２０５は、ライセンスの入力履歴を記録する履歴ファイルのＩＤを示す。書き込み行２０６は、履歴ファイルＩＤ２０５が示す履歴ファイルの中でライセンスの入力履歴を記録する行を示す。管理番号２０７は、分類キー２０３が新しい分類キー２０３であるか古い分類キー２０３であるかを判定するための番号である。
【００８５】
本実施の形態の履歴ファイルＩＤ２０５は、履歴管理木の根から履歴ファイルまでの経路を表すように設定される。これにより、履歴取得部１１３は、受信機記憶部１１２から履歴管理木のノードと履歴ファイルとを取得する際に、履歴管理木の根から履歴ファイルまでの経路計算を行う必要が無いという効果がある。典型的には、履歴ファイルＩＤ２０５は、図３に示すように、履歴管理木の各階層において、履歴ファイルへ到達するための子ノードの番号の組から構成される。
【００８６】
なお、履歴ファイルＩＤ２０５は、必ずしも履歴管理木の根から履歴ファイルまでの経路を表すように設定する必要はなく、履歴ファイルを一意に識別できる値であればよい。
【００８７】
履歴確認部１２１は、履歴ファイルにライセンスの入力処理履歴が記録されているか確認する場合、書き込み行２０６が示す行だけを確認する。書き込み行２０６により、履歴確認部１２１は、履歴ファイルにライセンスの入力処理履歴が記録されているか確認する場合、履歴ファイルに記録された全ての履歴を確認する必要がなく、書き込み行２０６が示す行だけを確認すればよいという効果がある。
【００８８】
さらに、履歴確認部１２１は、履歴ファイルにライセンスの入力処理の履歴を記録する場合、書き込み行２０６が示す行に履歴を上書き記録する。書き込み行２０６により、履歴確認部１２１は、履歴ファイルにライセンスの入力処理の履歴を記録する場合、書き込み行２０６が示す行に履歴を上書き記録するだけでよく、履歴ファイルの中で履歴を記録するための行を得るため、履歴ファイルの中で、後述する図４に示す履歴保持期限３０３の切れた履歴を検索して削除する必要がないという効果がある。
【００８９】
本実施の形態では、管理番号２０７は大きい数値であるほど、新しく生成された分類キー２０３であることを示す。履歴確認部１２１は、新しい分類キー２０３が設定されたライセンスの入力処理の履歴を、古い分類キー２０３に基づいて記録されたライセンスの入力処理の履歴に対してのみ上書き記録する。分類キー２０３が管理番号２０７を持つことで、履歴確認部１２１は、新しい分類キー２０３と古い分類キー２０３の違いがわかるので、新しい分類キー２０３に基づいて記録されたライセンスの入力処理履歴を、古い分類キー２０３により上書きすることを防止できる。
【００９０】
なお、管理番号２０７は、分類キー２０３が新しい分類キー２０３であるか古い分類キー２０３であるかを判別できる値であればよく、必ずしも番号である必要はない。
【００９１】
なお、ライセンスに分類キー２０３を含めず、ライセンスと分類キー２０３を一つのデータにまとめてサーバ１００が受信機１１０へ送信しても同様の効果が得られる。また、ライセンスに分類キー２０３を含めず、ライセンスとは別にサーバ１００が受信機１１０へ送信してもよい。ただし、この場合、分類キー２０３と分類キー２０３に対応するライセンスを関連付ける分類キー関連付け情報が必要であり、分類キー関連付け情報もサーバ１００から受信機１１０へ送信される。
【００９２】
なお、ライセンスは、改ざん検証値を含んでもよい。
【００９３】
なお、ライセンスは、ライセンスの入力処理履歴を保持すべき履歴保持期限３０３を含んでもよい。
【００９４】
なお、ライセンスは、重複取込みを禁止する情報を含んでもよい。この場合、サーバ１００のライセンス発行手段が、ライセンスに重複取込みを禁止する情報を設定する。また、ＩＣカード１２０は、ライセンスに重複取込みを禁止する情報が設定されている場合にのみ、履歴ファイルを確認しライセンスの重複取込みを防止してもよい。
【００９５】
なお、あるライセンスの有効期限が過ぎて無効となった後、無効となったライセンスのライセンスＩＤ２０１を別のライセンスのライセンスＩＤ２０１として再利用してもよい。ただし、この場合、無効となったライセンスの入力処理の履歴は、履歴ファイルから消えているものとする。ライセンスＩＤ２０１を再利用することで、ライセンスＩＤ２０１のバイト数を小さくすることができ、ライセンスのサイズや履歴ファイルのサイズを小さくできるという効果がある。
【００９６】
なお、分類キー２０３を、ライセンスを一意に識別する値として利用してもよい。この場合、ライセンスＩＤ２０１は省略可能である。
【００９７】
図４は、本発明の実施の形態における履歴ファイルの構成を示す図である。
【００９８】
履歴ファイルは、ライセンスの入力処理の履歴を記録したファイルであり、受信機記憶部１１２に記憶されている。履歴ファイルは複数存在し、各履歴ファイルは同じ入力履歴が記録されることのない異なる履歴ファイルである。複数の履歴ファイルは受信機記憶部１１２に記憶される履歴管理木によって管理される。
【００９９】
図４において、履歴ファイルは、履歴ファイルＩＤ２０５と、履歴情報３０１と、履歴ファイル改ざん検証値３０２とを含む。履歴情報３０１は、既に入力処理が行われたライセンスのライセンスＩＤ２０１と、履歴を記録する際に用いた分類キー２０３に含まれる管理番号２０７と、ライセンスの入力処理の履歴を保持すべき期限である履歴保持期限３０３とを含む。履歴ファイル改ざん検証値３０２は、履歴ファイルの改ざん検証値である。
【０１００】
なお、履歴保持期限３０３は、サーバ１００が決定した値をＩＣカード１２０の履歴確認部１２１が設定する。ＩＣカード１２０の履歴確認部１２１が設定する履歴保持期限３０３の値は、予め定められた規則に従って設定され、例えば、暗号化ライセンスのコンテンツ利用条件２０２に設定された有効期限や、サーバ１００から別途送信された期限、サーバ１００による暗号化ライセンスの受信時からの予め定められた一定の期限などである。
【０１０１】
なお、履歴保持期限３０３は、ＩＣカード１２０が履歴を削除する場合に利用することが可能であるが、ＩＣカード１２０が履歴を削除しない場合は、履歴ファイルには履歴保持期限３０３が含まれなくてもよい。
【０１０２】
なお、履歴管理木が履歴ファイルの改ざん検証値を管理する場合は、履歴ファイルに履歴ファイル改ざん検証値３０２は含まれなくてもよい。
【０１０３】
図４では、ライセンスＩＤ２０１が「Ａ」と「Ｂ」とであるライセンスの入力処理の履歴が記録されている例を示している。例えば、ライセンスＩＤ２０１が「Ａ」の入力履歴は、管理番号２０７が「５」で、履歴保持期限３０３が「２０１０年１月１日」であり、ライセンスＩＤ２０１が「Ｂ」の入力履歴は、管理番号２０７が「４」で、履歴保持期限３０３が「２０２０年１月１日」であることを示している。
【０１０４】
図５は、本発明の実施の形態における分類キー発行履歴の構成を示す図である。
【０１０５】
分類キー発行履歴は、分類キー生成部１０１が生成した分類キー２０３と、分類キー２０３が設定されたライセンスのライセンスＩＤ２０１と、履歴保持期限３０３が受信機毎に記録された分類キーの発行履歴とであり、サーバ記憶部１０２に記憶されている。
【０１０６】
図５において、分類キー発行履歴は、受信機１２０に対して、分類キー生成部１０１が生成した分類キー２０３に設定された履歴ファイルＩＤ２０５と、書込み行２０６と、管理番号２０７とを含み、さらに、ライセンス発行部１０３が分類キー２０３を関連付けたライセンスのライセンスＩＤ２０１と、履歴保持期限３０３とを含む。
【０１０７】
図５は、履歴ファイルＩＤ２０５が「１」、書き込み行２０６が「１」、管理番号２０７が「５」である分類キー２０３は、ライセンスＩＤ２０１が「Ａ」であり、履歴保持期限３０３が「２０１０年１月１日」であるライセンスに関連付けられて発行されたことを示している。
【０１０８】
本実施の形態では、分類キー発行履歴は、受信機毎に記録された分類キーの発行履歴であるとしており、図５は受信機１２０に対する分類キーの発行履歴を示している。契約者は複数いるのが通常であり、分類キー発行履歴には、各契約者の下に設置される受信機毎の、図５と同様の情報が含まれる。
【０１０９】
なお、１人の契約者の下に複数の受信機が設置されるような場合、分類キー発行履歴には、契約者毎の分類キーの発行履歴が含まれてもよい。さらに、分類キー発行履歴は、受信機毎や契約者ごとではなく、サーバ全体での分類キーの発行履歴として記録されていてもよい。
【０１１０】
図６は、本発明の実施の形態における履歴管理木の各ノードの構成を示す図である。履歴管理木は受信機記憶部１１２に記憶される。
【０１１１】
図６において、ノードは、ノードＩＤ５０１と、ノード改ざん検証値５０２と、子の改ざん検証情報リスト５０３とを含む。
【０１１２】
ノードＩＤ５０１は、履歴管理木においてノードを一意に識別するＩＤである。
【０１１３】
ノード改ざん検証値５０２は、ノードの改ざん検証値である。
【０１１４】
子の改ざん検証情報リスト５０３は、履歴管理木においてノードに対する子の改ざん検証を行うために必要な情報のリストである。
【０１１５】
子の改ざん検証情報リスト５０３は、図６に示すように、子１から子Ｎまでの全ての子の改ざん検証情報を持つ。子の改ざん検証情報とは、子のノード改ざん検証値５０２を算出するために用いる情報である。典型的には改ざん検証値を算出する度に値が変わる数値であるが、この限りではない。
【０１１６】
なお、子の改ざん検証情報は、子の改ざん検証値そのものであってもよい。また、履歴ファイルを子に持つノードの子の改ざん検証情報リスト５０３は、履歴ファイルの改ざん検証値３０２を算出するために用いる情報のリストである。
【０１１７】
なお、図６において、子の改ざん検証情報リスト５０３は、子の改ざん検証情報と共に対応する子を示す情報を持ってもよい。子を示す情報とは、子のノードＩＤ５０１や、子がノードに対して何番目の子であるかを示す番号などである。子の改ざん検証情報リスト５０３が子を示す情報を持つことで、子１から子Ｎまでの改ざん検証情報を全て持つことなく、必要な子の改ざん検証情報のみを持つことが可能になるという効果がある。必要な子の改ざん検証情報のみを持つことにより、履歴管理木は、必要なノードだけで構成可能である。さらにこの場合、履歴管理木に必要なノードが新たに増えた場合は、必要なノードが履歴管理木に追加され、追加されたノードの親が持つ子の改ざん検証情報リスト５０３に追加したノードの改ざん検証情報が追加される。
【０１１８】
なお、履歴ファイルを、例えば履歴ファイルに記録される対象のライセンスを発行する事業者毎など、特定の管理単位毎に管理したい場合、履歴管理木は複数存在してもよい。この場合、ＩＣカード記憶部１２２は、各履歴管理木の根の改ざん検証値または改ざん検証情報を持つ。また、各履歴管理木の根は、対応する根の改ざん検証値または改ざん検証情報がＩＣカード記憶部１２２に記憶されている場所を示す情報を持ってもよい。これにより、履歴確認部１２１は、履歴管理木の根の改ざん検証値または改ざん検証情報をＩＣカード記憶部１２２から検索する動作を省略可能である。
【０１１９】
なお、履歴管理木は、単体で存在する場合、複数存在する場合のいずれでも、履歴管理木の根の改ざん検証情報または改ざん検証値を持つＩＣカード１２０に関連付けて受信機記憶部１１２に記憶されてもよい。典型的には、履歴管理木の根のノードがＩＣカード１２０を一意に識別するＩＣカードＩＤを持つことで、履歴管理木とＩＣカード１２０を関連付けるが、その他の方法でもよい。履歴管理木とＩＣカード１２０を関連付けることにより、受信機１１０に対して複数のＩＣカード１２０を入れ替えて挿入した場合などに、現在挿入されているＩＣカード１２０に対応する履歴管理木を決定できる。
【０１２０】
図７は、本発明の実施の形態における履歴管理木と履歴ファイルの構成例とを示す図である。
【０１２１】
図７において、履歴管理木の根の改ざん検証値または履歴管理木の改ざん検証情報はＩＣカード記憶部１２２に記憶され、履歴管理木と履歴ファイルは受信機記憶部１１２に記憶される。また、図７において、改とは子の改ざん検証情報を示し、各履歴ファイルに記載された数字は履歴ファイルＩＤ２０５を示し、履歴ファイルＩＤ２０５は履歴管理木における根から履歴ファイルまでの経路を示す。履歴ファイルＩＤ２０５の３桁の数値の内、百の位は２階層目の子ノードの内何番目の子ノードを辿ればよいかを示し、十の位は３階層目の子ノードの内何番目の子ノードを辿ればよいかを示す。一の位は３階層目のノードが持つ履歴ファイルの内何番目の履歴ファイルが該履歴ファイルであるかを示す。
【０１２２】
履歴管理木における各ノードのノードＩＤ５０１も同様の規則に従って割当てられている。ただし、ＩＤの各桁において値が「０」である場合、そのノードは「０」である桁が示す階層よりも上の階層に位置していることを示す。また、各階層において、左の子が１番目の子、右の子が２番目の子であるとする。
【０１２３】
ここで、図７において、例えば履歴ファイルＩＤ２０５が「１２１」である履歴ファイルを履歴管理木の根から辿る方法について説明する。
【０１２４】
まず、履歴ファイルＩＤ２０５の百の位は「１」であるから、ノードＩＤ５０１が「０００」のノードからノードＩＤ５０１が「１００」のノードを辿ればよい。次に、十の位は「２」であるから、ノードＩＤ５０１が「１００」のノードからノードＩＤ５０１が「１２０」のノードを辿ればよい。最後に、一の位は「１」であるから、ノードＩＤ５０１が「１２０」のノードの１番目の子が履歴ファイルＩＤ２０５の履歴ファイルである。
【０１２５】
つまり、ある履歴ファイルに対応する履歴管理木のＮ階層目における親は、履歴ファイルＩＤ２０５の内Ｎ桁目以下を「０」にしたノードＩＤ５０１のノードである。従って、履歴ファイルから履歴管理木の根へ辿ることも容易にできる。
【０１２６】
例えば、履歴ファイルＩＤ２０５が「２１２」の履歴ファイルから履歴管理木の根までは、ノードＩＤ５０１が「２１０」のノード、ノードＩＤ５０１が「２００」のノード、ノードＩＤ５０１が「０００」のノードを辿ればよい。ここでは、履歴ファイルＩＤ２０５が「１２１」の履歴ファイルについて説明したが、その他の履歴ファイルＩＤ２０５を持つ履歴ファイルに関しても同様である。
【０１２７】
さらに図７において、履歴ファイルと各ノードの改ざん検証を行う方法について説明する。ただし、履歴ファイルと各ノードの改ざん検証とはＩＣカード１２０が行う。
【０１２８】
例えば、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証を行う場合、親ノードはノードＩＤ５０１が「１２０」であるノードであるから、このノードが持つ、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証情報から履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証値３０２を算出する。
【０１２９】
そして、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルに含まれる履歴ファイル改ざん検証値３０２と比較し、一致すれば改ざんが行われていないと判断できる。さらに、ノードＩＤ５０１が「１２０」であるノードが持つ改ざん検証情報の改ざん検証を、ノードＩＤ５０１が「１００」であるノードが持つ改ざん検証情報を用いて同様に行う。そして、ノードＩＤ５０１が「１００」であるノードが持つ改ざん検証情報の改ざん検証を、ノードＩＤ５０１が「０００」であるノードが持つ改ざん検証情報を用いて同様に行う。
【０１３０】
最後に、ノードＩＤ５０１が「０００」であるノードが持つ改ざん検証情報の改ざん検証を、ＩＣカード記憶部１２２に記憶される履歴管理木の根の改ざん検証情報を用いて行う。このように、ある子ノードの改ざん検証を親ノードが持つ改ざん検証情報を用いて繰り返し行うことで、履歴ファイルと履歴管理木の各ノードの改ざん検証とが行える。
【０１３１】
このように、履歴ファイルを分散することで、ＩＣカード１２０での履歴ファイルの検索の範囲を限定することができ、ＩＣカード１２０の処理負荷を軽減することが可能となる。
【０１３２】
また、分散した履歴ファイルを木構造で管理することで、ＩＣカード１２０は、履歴管理木の根の改ざん検証情報のみを保持することで、改ざん検証ができるため、ＩＣカード１２０が保持すべき情報量を少なくすることが可能となる。さらに、履歴ファイルを更新した際にＩＣカード１２０が実行する改ざん検証値の再計算のための処理も少なくすることが可能となる。
【０１３３】
一般に、ＩＣカード１２０は耐タンパ性に優れるが、記憶容量や処理能力が低いため、このようなＩＣカード１２０の記憶量や処理負荷の軽減は、実用上有益である。
【０１３４】
図８は、サーバ型放送システムが備える各装置が実行する処理と、各装置間で送受信される情報とを示すタイムチャートである。すなわち、本図は、サーバ１００が暗号化ライセンスを受信機１１０へ送信し、受信機１１０が暗号化ライセンスをＩＣカード１２０へ送信して、ＩＣカード１２０がライセンスの入力処理を完了するまでの各装置における処理と、各装置間で送受信される情報とを示す。
【０１３５】
サーバ１００は、サーバ１００が暗号化ライセンスを生成し（Ｓ６０１）、受信機１１０へその暗号化ライセンス６０３を送信する（Ｓ６０２）。
【０１３６】
受信機１１０は、暗号化ライセンス６０３をサーバ１００から受信し（Ｓ６０４）する。受信機１１０は、受信した暗号化ライセンス６０３を受信機記憶部１１２へ記憶し、その記憶されている暗号化ライセンスを受信機記憶部１１２から取得し、暗号化ライセンスに含まれる情報に基づいて、履歴管理木および履歴ファイルを取得し（Ｓ６０５）、取得したこれらの情報と暗号化ライセンス６０７とを自身に取り付けられているＩＣカード１２０に送信する（Ｓ６０６）。
【０１３７】
なお、受信機通信部１１４は、サーバ１００から暗号化ライセンスを受信すると（Ｓ６０４）、ＩＣカード１２０へ送信し、ＩＣカード１２０により暗号変換された暗号化ライセンスをＩＣカード１２０から受信して、受信機記憶部１１２に記憶させてもよい。
【０１３８】
このとき、ＩＣカード１２０は、受信機１１０から受信した暗号化ライセンスを復号し、再度暗号化し暗号変換された暗号化ライセンスを生成する。ただし、ＩＣカード１２０は、暗号変換された暗号化ライセンスを生成するとき、少なくともライセンスＩＤ２０１と分類キー２０３は暗号化しない。
【０１３９】
なお、受信機１１０が、暗号変換されたライセンスを受信機記憶部１１２に記憶させる場合、サーバ１００のライセンス発行部１０３は、ライセンスを生成して暗号化し暗号化ライセンスを生成するとき、ライセンスＩＤ２０１と分類キー２０３も暗号化してもよい。
【０１４０】
ＩＣカード１２０は、暗号化ライセンスと、履歴管理木および履歴ファイル６０７とを受信し（Ｓ６０８）、ライセンスの入力を検証し（Ｓ６０９）、検証した結果、入力が許可されない場合には（Ｓ６１０でＮｏ）、入力許否６１２を受信機１１０に送信する（Ｓ６１１）。
【０１４１】
受信機１１０は、入力拒否６１２を受信し（Ｓ６１３）、処理を終了する。
【０１４２】
また、入力が許可された場合には（Ｓ６１０でＹｅｓ）、ＩＣカード１２０は、ライセンスを入力し（Ｓ６１４）、履歴管理木と履歴ファイルの改ざん検証情報と改ざん検証値とを更新し（Ｓ６１５）、更新したこれらの情報を含む入力許可６１７を受信機１１０に送信する（Ｓ６１６）。
【０１４３】
受信機１１０は、更新した履歴管理木と履歴ファイルを含む入力許可６１７を受信し（Ｓ６１８）、受信機記憶部１１２に記憶された対応する履歴管理木のノードと履歴ファイルへ上書きし、処理を終了する。
【０１４４】
続けて、ＩＣカード１２０は、入力したライセンスに含まれる権限に基づく加入者の番組の視聴があるか否かを判断し（Ｓ６１９）、番組の視聴がないと判断した場合には（Ｓ６１９でＮｏ）、加入者の番組の視聴があるか否かの判断処理（Ｓ６１９）を継続する。
【０１４５】
また、番組の視聴があると判断した場合には（Ｓ６１９でＹｅｓ）、加入者のライセンスを使用する処理を実行する（Ｓ６２０）。
【０１４６】
図９は、本発明の実施の形態におけるサーバが実行する処理のフローチャートである。本図に示すＳ７０１からＳ７０５までは、図８に示す暗号化ライセンス生成処理（Ｓ６０１）の詳細である。また、本図に示す暗号化ライセンス送信処理（Ｓ６０２）は、図８に示す同一の参照符号を付した処理と同一である。
【０１４７】
Ｓ７０１：分類キー生成部１０１は、サーバ記憶部１０２から分類キー発行履歴を取得する。
【０１４８】
Ｓ７０２：分類キー生成部１０１は、分類キー発行履歴に基づき、ライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と、書き込み行２０６と、管理番号２０７を選択する。選択した、履歴ファイルＩＤ２０５と、書き込み行２０６と、管理番号２０７とに基づき、分類キー２０３を生成する。
【０１４９】
Ｓ７０３：ライセンス発行部１０３は、Ｓ７０２で生成した分類キー２０３とサーバ記憶部１０２に記憶されたライセンスとを生成するための情報に基づき、ライセンスを生成する。
【０１５０】
Ｓ７０４：ライセンス発行部１０３は、Ｓ７０３で生成したライセンスを暗号化し、暗号化ライセンスを生成する。
【０１５１】
Ｓ７０５：分類キー生成部１０１は、Ｓ７０２で生成した分類キー２０３の履歴ファイルＩＤ２０５、書き込み行２０６および管理番号２０７と、Ｓ７０３で生成されたライセンスのライセンスＩＤ２０１および履歴保持期限３０３とをサーバ記憶部１０２に記憶される分類キー発行履歴に記録する。
【０１５２】
Ｓ６０２：サーバ通信部１０４は、暗号化ライセンスを受信機１１０へ送信する。
【０１５３】
なお、Ｓ７０２において、分類キー生成部１０１が、分類キー発行履歴に基づいてライセンスの入力処理の履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択する方法は、サーバ１００で定める規則に従えばよい。
【０１５４】
サーバ１００が定める規則には、各履歴ファイルに含まれる情報量が均一になるような規則、例えば、履歴が記録されている数が少ない履歴ファイルへ優先的に履歴を記録するように選択する規則がある。
【０１５５】
また、サーバ１００が定める規則には、履歴ファイルに保持されているが不要となった情報を削除するような規則、例えば、履歴保持期限３０３が過ぎた履歴が記録されている行に対して履歴を優先的に記録するように選択する規則がある。
【０１５６】
さらに、受信機１１０の処理能力が高い場合には、ファイルサイズが大きい履歴ファイルを短時間で処理することが可能であり、受信機１１０の処理能力が低い場合には、ファイルサイズが大きい履歴ファイルを処理するには長い時間が必要となる。そのため、サーバ１００が定める規則には、受信機１１０の処理能力に応じて、履歴ファイルのファイルサイズを制御する規則、例えば、処理能力が高いＩＣカード１２０が取り付けられている受信機１１０に対して履歴が記録される履歴ファイルの数が最も少なくなるように履歴を記録するように選択する規則がある。
【０１５７】
さらに、サーバ１００が定める規則は、これら複数の規則に従って選択してもよい。もちろん、分類キー２０３を生成するたびに履歴ファイルＩＤ２０５と書き込み行２０６を選択する規則を変えてもよい。
【０１５８】
このように、ライセンスの入力履歴を記録する履歴ファイルをサーバ１００が定める規則に従って選択することにより、ライセンスの入力履歴は適切な数量の履歴ファイルに、かつ、各履歴ファイルに含まれる情報量が均一になるように分散して記録することができる。したがって、ライセンスの入力履歴を記録するための各受信機の負荷を制御することが可能となる。
【０１５９】
また、Ｓ７０２において、分類キー生成部１０１が、分類キー発行履歴に基づいて管理番号２０７を選択する方法は、サーバ１００とＩＣカード１２０で定める規則に従えばよい。
【０１６０】
例えば、サーバ１００とＩＣカード１２０とで管理番号２０７の数値が大きいほど新しい分類キー２０３であると定めた場合、分類キー生成部１０１は、Ｓ７０２において分類キー発行履歴に記録された履歴ファイルＩＤ２０５と書き込み行２０６とを選択する場合、この履歴ファイルＩＤ２０５と書き込み行２０６とに対応する管理番号２０７より大きな数値を管理番号２０７として選択する。なお、分類キー発行履歴に記録されていない履歴ファイルＩＤ２０５と書き込み行２０６とを選択する場合、例えば「１」など、いずれの数値を管理番号２０７として選択してもよい。
【０１６１】
さらに、Ｓ７０２において、分類キー生成部１０１は、分類キー発行履歴に加え、ライセンスの生成予定などから作られる分類キー２０３の生成予定に基づいてライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択してもよい。また、分類キー生成部１０１は、分類キー２０３の生成予定にのみ基づいてライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択してもよい。
【０１６２】
次に、受信機１１０が実行する処理の詳細を図１０を参照して説明する。
【０１６３】
図１０は、本発明の実施の形態における受信機１１０が実行する暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理（Ｓ６０５）の詳細およびそれらの送信処理（Ｓ６０６）のフローチャートである。本図に示すＳ８０１からＳ８０４までは、図８に示す暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理（Ｓ６０５）の詳細である。また、本図に示す暗号化ライセンスと履歴管理木および履歴ファイルとの送信処理（Ｓ６０６）は、図８に示す同一の参照符号を付した処理と同一である。本図に示す処理は、受信機１１０が暗号化ライセンスをＩＣカード１２０に対して送信する際の受信機１１０における処理であり、受信機１１０は、コンテンツを再生する前に、対応する暗号化ライセンスをＩＣカード１２０に対して送信する。
【０１６４】
Ｓ８０１：履歴取得部１１３は、受信機記憶部１１２から暗号化ライセンスを取得する。
【０１６５】
Ｓ８０２：取得履歴決定部１１１は、Ｓ８０１で取得した暗号化ライセンスから分類キー２０３を取得する。
【０１６６】
Ｓ８０３：取得履歴決定部１１１は、Ｓ８０２で取得した分類キー２０３に含まれる履歴ファイルＩＤ２０５に基づいて、取得すべき履歴管理木のノードと履歴ファイルを決定する。取得すべき履歴管理木のノードは、履歴管理木の根から履歴ファイルを子に持つノードへの経路上の全てノードである。また、取得すべき履歴ファイルは、履歴ファイルＩＤ２０５が示す履歴ファイルである。
【０１６７】
Ｓ８０４：履歴取得部１１３は、Ｓ８０３で決定した取得すべき履歴管理木のノードと履歴ファイルを受信機記憶部１１２から取得する。
【０１６８】
Ｓ６０６：履歴取得部１１３は、Ｓ８０１で取得した暗号化ライセンスと、Ｓ８０４で取得した履歴管理木のノードと履歴ファイルとをＩＣカード１２０へ送信する。
【０１６９】
なお、受信機１１０は、サーバ１００から暗号化ライセンスを受信した場合、受信機記憶部１１２に記憶することなく、受信後すみやかにＩＣカード１２０へ暗号化ライセンスを送信してもよい。この場合、Ｓ８０１は実行せずに、Ｓ８０２から実行される。
【０１７０】
なお、Ｓ８０３において、分類キー２０３に含まれる履歴ファイルＩＤ２０５に基づいて、取得すべき履歴管理木のノードを決定する方法は、図６を用いて説明した方法によって履歴管理木の根から履歴ファイルまでの経路を決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、履歴管理木の根から履歴ファイルまでの経路を計算によって決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、履歴管理木の各ノードに親と子を指し示す情報を付与し、この情報に従って履歴管理木の根から履歴ファイルまでの経路を決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、その他の方法でもよい。
【０１７１】
次に、ＩＣカード１２０がライセンスの入力のために実行する処理の詳細について、図１１と図１２とを参照して説明する。
【０１７２】
図１１は、本発明の実施の形態におけるＩＣカードが実行するライセンスの入力に関連する処理のフローチャートである。ライセンスの入力に関連する処理とは、図８に示す、暗号化ライセンスと履歴管理木および履歴ファイルとの受信処理（Ｓ６０８）から、更新した履歴管理木と履歴ファイルとを含む入力許可の送信処理（Ｓ６１６）までである。
【０１７３】
図１１に示す、暗号化ライセンスと履歴管理木および履歴ファイルとの改ざん検証処理（Ｓ９０２）から、ライセンス入力履歴確認処理（Ｓ９０４）までは、図８に示すライセンス入力検証処理（Ｓ６０９）の詳細であり、図１１に示す暗号化ライセンスと履歴管理木および履歴ファイルとの受信処理（Ｓ６０８）と、入力許可判断処理（Ｓ６１０）と、入力拒否の送信処理（Ｓ６１１）と、ライセンス入力処理（Ｓ６１４）から更新した履歴管理木と履歴管理ファイルとを含む入力許可の送信処理（Ｓ６１６）までとは、図８に示す同一の参照符号を付した処理と同一である。
【０１７４】
Ｓ６０８：ライセンス入力処理部１２３は、受信機１１０から暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとを受信する。
【０１７５】
Ｓ９０２：ライセンス入力処理部１２３は、Ｓ６０８で受信した暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとの改ざん検証を行う。履歴管理木のノードと履歴ファイルとの改ざん検証方法は、図６を用いて説明したように、親ノードが持つ改ざん検証情報を利用して行う。
【０１７６】
Ｓ９０３：ライセンス入力処理部１２３は、Ｓ９０２において、暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとの内、いずれかに改ざんが検出された場合、Ｓ６１１を実行し、いずれにも改ざんが検出されなかった場合、Ｓ９０４を実行する。
【０１７７】
Ｓ９０４：履歴確認部１２１は、後述するライセンス入力履歴確認処理を実行して、履歴ファイルに基づきライセンスの入力を許可するか拒否するかを判定する。許可した場合、入力処理を行うライセンスの情報を履歴ファイルに記録する。
【０１７８】
Ｓ６１０：ライセンス入力処理部１２３は、Ｓ９０４において、ライセンスの入力が許可された場合Ｓ６１４を実行し、許可されなかった場合Ｓ６１１を実行する。
【０１７９】
Ｓ６１４：ライセンス入力処理部１２３は、ライセンス入力処理として、暗号化ライセンスを復号し、復号したライセンスを管理する。
【０１８０】
Ｓ６１５：ライセンス入力処理部１２３は、Ｓ９０４において更新された履歴ファイルに対して改ざん検証値を算出し、履歴ファイル改ざん検証値３０２に設定する。さらに、履歴ファイルの改ざん検証値の算出に用いた改ざん検証情報を、履歴ファイルを子として持つ履歴管理木のノードの子の改ざん検証情報リスト５０３に設定する。履歴ファイルを子として持つノードの改ざん検証値を算出し、履歴ファイルを子として持つノードのノード改ざん検証値５０２に設定して、改ざん検証値の算出に用いた改ざん検証情報を親ノードの子の改ざん検証情報リスト５０３に設定する。以後、子ノードの改ざん検証値を算出して設定し、子ノードのノード改ざん検証値５０２に設定し、設定した改ざん検証値の算出に用いた改ざん検証情報を親ノードの子の改ざん検証情報リスト５０３に設定することを繰り返す。ただし、履歴管理木の親ノードの改ざん検証値はＩＣカード記憶部１２２に記憶される。
【０１８１】
Ｓ６１６：ライセンス入力処理部１２３は、Ｓ６１５で更新した履歴管理木のノードと履歴ファイルとを受信機１１０へ送信する。
【０１８２】
Ｓ６１１：ライセンス入力処理部１２３は、Ｓ９０３において、暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとのいずれかに改ざんが検出された場合、またＳ６１０において、ライセンスの入力が許可されなかった場合、受信機１１０へライセンスの入力を拒否する旨を通知する。
【０１８３】
図１２は、本発明の実施の形態におけるＩＣカードが実行するライセンス入力履歴確認処理（Ｓ９０４）の詳細を示すフローチャートである。
【０１８４】
Ｓ１００１：履歴確認部１２１は、暗号化ライセンスから分類キー２０３を取得する。
【０１８５】
Ｓ１００２：履歴確認部１２１は、Ｓ１００１で取得した分類キー２０３から履歴ファイルＩＤ２０５を取得し、分類キー２０３から取得した履歴ファイルＩＤと、受信機１１０から受信した履歴ファイルの履歴ファイルＩＤ２０５とを比較する。
【０１８６】
Ｓ１００３：履歴確認部１２１は、Ｓ１００２での比較結果が一致する場合Ｓ１００４を実行し、一致しない場合Ｓ１０１０を実行する。
【０１８７】
Ｓ１００４：履歴確認部１２１は、分類キー２０３から書き込み行２０６を取得し、履歴ファイルの中でこの書き込み行２０６が指定する行に、暗号化ライセンスのライセンスＩＤ２０１が記録されていないか確認する。
【０１８８】
Ｓ１００５：履歴確認部１２１は、Ｓ１００４の確認で、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていないことを確認した場合Ｓ１００６を実行し、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていた場合Ｓ１０１０を実行する。
【０１８９】
Ｓ１００６：履歴確認部１２１は、分類キー２０３から書き込み行２０６と管理番号２０７とを取得し、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で書き込み行２０６が指定する行の管理番号２０７より新しい値であるか確認する。ただし、本実施の形態では、サーバ１００とＩＣカード１２０が、管理番号２０７が大きい値であるほど新しい管理番号２０７であると定めた規則に従っているものとする。
【０１９０】
Ｓ１００７：履歴確認部１２１は、Ｓ１００６で、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で分類キー２０３に含まれる書き込み行２０６が指定する行の管理番号２０７より新しいことを確認した場合Ｓ１００８を実行し、新しいことが確認できなかった場合Ｓ１０１０を実行する。
【０１９１】
Ｓ１００８：履歴確認部１２１は、分類キー２０３から書き込み行２０６と管理番号２０７とを取得し、履歴ファイル中で書き込み行２０６が指定する行に、暗号化ライセンスのライセンスＩＤ２０１と管理番号２０７とを上書き記録する。さらに、履歴保持期限３０３も上書き記録する。上書き記録する履歴保持期限３０３の値は、予め定められた規則に従って設定され、例えば、暗号化ライセンスのコンテンツ利用条件２０２に設定された有効期限や、サーバ１００から別途送信された期限、サーバ１００による暗号化ライセンスの受信時からの予め定められた一定の期限などである。履歴ファイルに履歴保持期限３０３を持たない場合は、履歴保持期限３０３の上書き記録処理は省略可能である。
【０１９２】
Ｓ１００９：履歴確認部１２１は、ライセンスの入力を許可する。
【０１９３】
Ｓ１０１０：履歴確認部１２１は、Ｓ１００３において、分類キー２０３に含まれる履歴ファイルＩＤ２０５と履歴ファイルに含まれる履歴ファイルＩＤ２０５とが異なる場合、Ｓ１００５において、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていた場合、Ｓ１００７において、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で分類キー２０３に含まれる書き込み行２０６が指定する行の管理番号２０７より新しいことが確認できなかった場合、ライセンスの入力を拒否する。
【０１９４】
なお、Ｓ１００６では、管理番号２０７の大きさを比較する方法に限らず、分類キー２０３が、分類キー２０３に含まれる書き込み行２０６の指定する行に書き込まれている履歴の書き込みを指定した分類キー２０３より新しいことを確認できればよい。例えば、分類キー２０３に含まれる書き込み行２０６が指定する行に記録された履歴保持期限３０３と、暗号化ライセンスのコンテンツ利用条件２０２などに設定された有効期限とを比較し、履歴保持期限３０３が有効期限より先の期限であれば、分類キー２０３が、分類キー２０３に含まれる書き込み行２０６が指定する行に書き込まれている履歴の書き込みを指定した分類キー２０３より新しいとする方法がある。
【０１９５】
なお、図１１のＳ６１４において、ライセンス入力処理部１２３は、暗号化ライセンスを復号し、復号したライセンスを一時記憶し、さらにＳ６１５において、履歴管理木の親ノードの改ざん検証値を一時記憶してもよい。この場合、受信機１１０は、ＩＣカード１２０から更新された履歴管理木のノードと履歴ファイルを受信し、受信機記憶部１１２へ記憶した後、ＩＣカード１２０へ更新された履歴管理木のノードと履歴ファイルの記憶が終了したことを通知する。ＩＣカード１２０は、この通知を受けた後、一時記憶していたライセンスの管理を開始し、一時記憶していた履歴管理木の親ノードの改ざん検証値をＩＣカード記憶部１２２に記憶させる。
【０１９６】
なお、図１１のＳ６１１において、ＩＣカード１２０のライセンス入力処理部１２３は、ライセンスの入力を拒否した場合、サーバ１００へライセンスの入力を拒否した旨を通知してもよい。ＩＣカード１２０からライセンスの入力を拒否した旨を通知されたサーバ１００は、予め定められた規則に従い、ライセンスの入力を拒否した旨を通知したＩＣカード１２０をＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ  Ｒｅｖｏｃａｔｉｏｎ  Ｌｉｓｔ）に記載し、リボークする処理を行ってもよいし、ＩＣカード１２０を一意に識別するＩＣカードＩＤを記録する処理などを行ってもよい。
【０１９７】
なお、受信機記憶部１１２に記憶する履歴管理木もしくは履歴ファイルが破損した場合、受信機１１０は、履歴管理木もしくは履歴ファイルが破損した旨をサーバ１００へ送信してもよい。また、受信機１１０は、履歴管理木もしくは履歴ファイルが破損した旨をＩＣカード１２０へ送信し、ＩＣカード１２０が履歴管理木もしくは履歴ファイルが破損した旨をサーバ１００へ送信してもよい。
【０１９８】
サーバ１００は、履歴管理木もしくは履歴ファイルが破損した旨を通知された場合、予め定められた規則に従い、履歴管理木もしくは履歴ファイルが破損した旨を通知した受信機１１０またはＩＣカード１２０をＣＲＬに記載しリボークする処理を行ってもよいし、履歴管理木もしくは履歴ファイルを削除して、再作成することを許可する旨を該受信機１１０またはＩＣカード１２０へ通知し、復旧作業を行わせる処理などを行ってもよい。
【０１９９】
また、ＩＣカード１２０は、履歴管理木もしくは履歴ファイルが破損した旨を通知された場合、受信機１１０からのライセンスの取り込み処理をロックし、サーバからの放送または通信経由の指示によりロックを解除してもよい。これにより、履歴管理木や履歴ファイルが破損した場合の対応をサーバが決定することができるため、ユーザが受信機１１０を介して不正にＩＣカード１２０へアクセスすることを防止することが可能となる。
【０２００】
なお、取得履歴決定部１１１は、受信機１１０ではなくＩＣカード１２０に含まれてもよい。この場合、受信機１１０は、ＩＣカード１２０へ暗号化ライセンスのみを送信する。すると、暗号化ライセンスを受信したＩＣカード１２０の取得履歴決定部１１１は、暗号化ライセンスから分類キー２０３を取得し、分類キー２０３に含まれる少なくとも履歴ファイルＩＤ２０５を受信機１１０へ送信する。分類キー２０３の少なくとも履歴ファイルＩＤ２０５を受信した受信機１１０の履歴取得部１１３は、受信した情報に基づいて履歴管理木のノードと履歴ファイルとを取得し、取得した履歴管理木のノードと履歴ファイルとをＩＣカード１２０へ送信する。この時点で、ＩＣカード１２０は、暗号化ライセンスと対応する履歴ファイルと履歴管理木のノードとを保持しており、以後の処理は、取得履歴決定部１１１が受信機１１０に含まれる場合と同様である。
【０２０１】
なお、取得履歴決定部１１１が、受信機１１０ではなくＩＣカード１２０に含まれる場合、暗号化ライセンスのライセンスＩＤ２０１と分類キー２０３とは暗号化されていてもよく、ＩＣカード１２０に含まれる取得履歴決定部１１１は、暗号化ライセンスから分類キー２０３を取得する前に、暗号化ライセンスを復号する。
【産業上の利用可能性】
【０２０２】
本発明に係るライセンス入力履歴管理方式は、サーバがライセンスに分類キーを設定し、受信機が分類キーに基づいて必要な履歴ファイルを決定し、ＩＣカードが分類キーを用いて必要な履歴ファイルであることを正しく確認する方式であり、暗号化されたコンテンツの利用を、コンテンツ毎に定められたライセンスの利用条件により制限するコンテンツ配信システムにおいて、ライセンスの重複入力を防止するためのライセンスの入力履歴管理方式として有用である。
【０２０３】
また、改ざん検証を行う必要があるデータを複数に分割してセキュアでないモジュールに記憶させ、セキュアなモジュールが適宜必要な分割データだけをセキュアでないモジュールから取得して利用する場合、セキュアなモジュールが必要な分割データであることを正しく確認し、必要な分割データだけの改ざん検証が行う必要があるデータ管理方式、データ利用方式にも応用できる。
【図面の簡単な説明】
【０２０４】
【図１】図１は、本発明の実施の形態におけるサーバ型放送システムの概観の一例を示す図である。
【図２】図２は、本発明の実施の形態におけるサーバ型放送システムが備える装置の構成を示すブロック図である。
【図３】図３は、本発明の実施の形態におけるライセンス情報の構成を示す図である。
【図４】図４は、本発明の実施の形態における履歴ファイルの構成を示す図である。
【図５】図５は、本発明の実施の形態における分類キー発行履歴の構成を示す図である。
【図６】図６は、本発明の実施の形態における履歴管理木のノードの構成を示す図である。
【図７】図７は、本発明の実施の形態における履歴管理木と履歴ファイルの構成例を示す図である。
【図８】図８は、サーバ型放送システムが備える各装置が実行する処理と各装置間で送受信される情報とを示すタイムチャートである。
【図９】図９は、本発明の実施の形態におけるサーバが実行する処理のフローチャートである。
【図１０】図１０は、本発明の実施の形態における受信機が実行する暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理Ｓ６０５の詳細およびそれらの送信処理Ｓ６０６のフローチャートである。
【図１１】図１１は、本発明の実施の形態におけるＩＣカードが実行するライセンスの入力に関連する処理のフローチャートである。
【図１２】図１２は、本発明の実施の形態におけるＩＣカードが実行するライセンス入力履歴確認処理Ｓ９０４の詳細を示すフローチャートである。
【符号の説明】
【０２０５】
１００  サーバ
１０１  分類キー生成部
１０２  サーバ記憶部
１０３  ライセンス発行部
１０４  サーバ通信部
１１０  受信機
１１１  取得履歴決定部
１１２  受信機記憶部
１１３  履歴取得部
１１４  受信機通信部
１１５  コンテンツ再生部
１２０  ＩＣカード
１２１  履歴確認部
１２２  ＩＣカード記憶部
１２３  ライセンス入力処理部
１２４  利用条件判定部
１３０  ディスプレイ装置
２０１  ライセンスＩＤ
２０２  コンテンツ利用条件
２０３  分類キー
２０４  コンテンツ鍵
２０５  履歴ファイルＩＤ
２０６  書き込み行
２０７  管理番号
３０１  履歴情報
３０２  履歴ファイル改ざん検証値
３０３  履歴保持期限
５０１  ノードＩＤ
５０２  ノード改ざん検証値
５０３  子の改ざん検証情報リスト
【手続補正３】
【補正対象書類名】図面
【補正対象項目名】全図
【補正方法】変更
【補正の内容】
【図１】
2007040221.tif 000015
【図２】
2007040221.tif 000016
【図３】
2007040221.tif 000017
【図４】
2007040221.tif 000018
【図５】
2007040221.tif 000019
【図６】
2007040221.tif 000020
【図７】
2007040221.tif 000021
【図８】
2007040221.tif 000022
【図９】
2007040221.tif 000023
【図１０】
2007040221.tif 000024
【図１１】
2007040221.tif 000025
【図１２】
2007040221.tif 000026
【国際調査報告】
2007040221.tif 000027
2007040221.tif 000028