(57)【要約】【課題】バックアップ、リストア、及びマージの際の不正コピーを確実に阻止する。【解決手段】コンテンツαを記録媒体１８にバックアップする記録装置１６（＃ａ）と、コンテンツをリストアする記録装置１６（＃ｂ）とを同じドメイングループに属するようにサーバ１２に登録する。記録装置１６（＃ｂ）へのコンテンツのリストアが試みられると、両記録装置１６が同じドメイングループに属している場合のみリストアが許可される。ドメイングループのリフレッシュ要求があった場合には、リフレッシュ期間を経過している場合に限りドメイングループが無効にされる。記録装置１６（＃ａ）に記録されたリフレッシュナンバーが、記録装置１６（＃ｂ）に記録されたリフレッシュナンバー以下であれば、記録装置１６（＃ｂ）は、記録装置１６（＃ａ）に記録されたコンテンツを記録媒体にバックアップしローカルマージできる。【選択図】図１
2009230745.tif 000002
【特許請求の範囲】
【請求項１】
第１の記録装置に記録されたコンテンツを、記録媒体にバックアップした後に、前記記録媒体を介して第２の記録装置にリストアする方法であって、
記録したコンテンツを記録媒体にバックアップすることが許可された記録装置と、前記記録媒体からコンテンツをリストアすることが許可された記録装置とを、同じドメイングループに属するようにサーバに登録することと、
前記同じドメイングループに属する各記録装置を、通信ネットワークを介して前記サーバに接続することと、
前記第１の記録装置に記録されたコンテンツのバックアップを記録した前記記録媒体から前記第２の記録装置へのリストアが試みられると、前記サーバが、前記第１及び第２の記録装置が前記同じドメイングループに属しているかをチェックすることと、
前記第１及び第２の記録装置が前記同じドメイングループに属している場合には、前記サーバが、前記第２の記録装置に対して前記リストアを許可することと、
前記第１及び第２の記録装置が前記同じドメイングループに属していない場合には、前記サーバが、前記第２の記録装置に対して前記リストアを許可しないことと、
前記通信ネットワークを介して接続されている何れかの記録装置から前記サーバに対して、前記ドメイングループをリフレッシュしたいとの要求があった場合には、前記サーバが、該記録装置が属するドメイングループの履歴を残したまま、該記録装置が属するドメイングループを無効にすることと、
前記サーバはリフレッシュ禁止期間を保持し、前記リフレッシュ禁止期間が経過する前に、前記ドメイングループに登録されている何れかの記録装置から、リフレッシュの要求があった場合には、前記サーバはリフレッシュを許可しないことと
を含むことを特徴とする方法。
【請求項２】
前記無効にされたドメイングループがリフレッシュされると、前記サーバは該ドメイングループに対してリフレッシュナンバーを付与することと、
前記サーバに接続されていた記録装置のうち、該ドメイングループに属していた記録装置が前記サーバに接続した場合、前記リフレッシュナンバーを前記サーバから取得することと
を更に含むことを特徴とする請求項１に記載の方法。
【請求項３】
前記第１の記録装置に記録されたリフレッシュナンバーが、前記第２の記録装置に記録されたリフレッシュナンバー以下である場合に、前記第２の記録装置は、前記第１の記録装置に記録されたコンテンツを、記録媒体にバックアップした後に、前記記録媒体を介してマージできることを特徴とする請求項２に記載の方法。
【請求項４】
前記通信ネットワークを介して接続されている何れかの記録装置から前記サーバに対して、前記ドメイングループから離脱したいとの要求があった場合には、前記サーバが、前記ドメイングループから該記録装置の登録を削除するとともに、該記録装置に記録されているコンテンツが削除されることを特徴とする請求項１乃至３のうち何れか１項に記載の方法。
【請求項５】
前記第１の記録装置は、前記コンテンツを前記記録媒体にバックアップする際には、前記ドメイングループに属するようにサーバに登録されていることを特徴とする請求項１乃至４のうち何れか１項に記載の方法。
【請求項６】
第１の記録装置に記録されたコンテンツを、記録媒体にバックアップした後に、前記記録媒体を介して第２の記録装置にリストアする方法を実行するサーバに適用されるプログラムであって、
記録したコンテンツを記録媒体にバックアップすることが許可された記録装置と、前記記録媒体からコンテンツをリストアすることが許可された記録装置とを、同じドメイングループに属するように登録する機能、
前記第１の記録装置に記録されたコンテンツのバックアップを記録した前記記録媒体から前記第２の記録装置へのリストアが試みられると、前記第１及び第２の記録装置が前記同じドメイングループに属しているかをチェックする機能、
前記チェックの結果、前記第１及び第２の記録装置が前記同じドメイングループに属している場合には、前記第２の記録装置に対して前記リストアを許可する機能、
前記チェックの結果、前記第１及び第２の記録装置が前記同じドメイングループに属していない場合には、前記第２の記録装置に対して前記リストアを許可しない機能、
前記通信ネットワークを介して接続されている何れかの記録装置から、前記ドメイングループをリフレッシュしたいとの要求があった場合には、該記録装置が属するドメイングループの履歴を保持したまま、該記録装置が属するドメイングループを無効にする機能、
リフレッシュ禁止期間を保持し、前記リフレッシュ禁止期間が経過する前に、前記ドメイングループに登録されている何れかの記録装置からリフレッシュの要求があった場合には、リフレッシュを許可しない機能
をコンピュータに実現させるためのプログラム。
【請求項７】
第１の記録装置に記録されたコンテンツを、記録媒体にバックアップした後に、前記記録媒体を介して第２の記録装置にリストアする方法を実行するサーバであって、
記録したコンテンツを記録媒体にバックアップすることが許可された記録装置と、前記記録媒体からコンテンツをリストアすることが許可された記録装置とを、同じドメイングループに属するように登録する登録手段と、
前記第１の記録装置に記録されたコンテンツのバックアップを記録した前記記録媒体から前記第２の記録装置へのリストアが試みられると、前記第１及び第２の記録装置が前記同じドメイングループに属しているかをチェックするチェック手段と、
前記チェックの結果、前記第１及び第２の記録装置が前記同じドメイングループに属している場合には、前記第２の記録装置に対して前記リストアを許可するリストア許可手段と、
前記チェックの結果、前記第１及び第２の記録装置が前記同じドメイングループに属していない場合には、前記第２の記録装置に対して前記リストアを許可しないリストア不許可手段と、
前記通信ネットワークを介して接続されている何れかの記録装置から、前記ドメイングループをリフレッシュしたいとの要求があった場合には、該記録装置が属するドメイングループの履歴を保持したまま、該記録装置が属するドメイングループを無効にする無効化手段と、
リフレッシュ禁止期間を保持し、前記リフレッシュ禁止期間が経過する前に、前記ドメイングループに登録されている何れかの記録装置からリフレッシュの要求があった場合にはリフレッシュを許可しないリフレッシュ不許可手段と
を備えることを特徴とするサーバ。
【請求項８】
コンテンツ鍵を用いて暗号化され、ドメイングループに固有のドメイングループ識別番号が記録されたコンテンツの再生を、同じドメイングループに登録された複数の再生装置に対して許可するサーバであって、
前記ドメイングループ識別番号と、再生装置に固有の再生装置識別番号とともに、前記再生装置から前記ドメイングループへの登録要求を受けると、前記再生装置識別番号を、前記ドメイングループ識別番号と関連付けて記憶するとともに、前記ドメイングループ識別番号を前記登録要求元の再生装置に記録させることにより、前記再生装置を前記ドメイングループへ登録する登録手段と、
前記再生装置が前記ドメイングループに登録されると、前記再生装置識別番号を用いて前記再生装置のためのユーザ鍵を生成し、前記生成したユーザ鍵を、前記再生装置の再生装置識別番号と関連付けて記憶するとともに、前記登録された再生装置へ配信するユーザ鍵配信手段と、
前記ユーザ鍵配信手段によって生成されたユーザ鍵を用いて前記コンテンツ鍵を暗号化し、前記暗号化されたコンテンツ鍵を、前記登録された再生装置がコンテンツを暗号化に用いるために、この再生装置へ配信するコンテンツ鍵配信手段と
を備えたサーバ。
【請求項９】
ある再生装置から、何れかのドメイングループに属する再生装置に対して再生が許可されたコンテンツに対する再生要求があった場合には、再生要求元の再生装置に記録されたドメイングループ識別番号と、前記再生要求されたドメイングループのドメイングループ識別番号とが一致するのであれば、この再生装置は、前記ユーザ鍵配信手段からユーザ鍵が配信され、このユーザ鍵が、前記ユーザ鍵配信手段から以前に配信されたユーザ鍵と一致するのであれば、このユーザ鍵を用いて、前記暗号化されたコンテンツ鍵を復号し、前記復号したコンテンツ鍵を用いて前記コンテンツを復号して再生できるようにした請求項８に記載のサーバ。
【請求項１０】
前記ドメイングループに登録済みの再生装置から、前記ドメイングループ識別番号と、前記再生装置識別番号とともに、前記ドメイングループから離脱する要求を受けると、前記ドメイングループ識別番号と前記再生装置識別番号とが関連付けて記憶されているかをチェックする第１のチェック手段と、
前記第１のチェック手段によって、前記ドメイングループ識別番号と前記再生装置識別番号とが関連付けて記憶されていると判定された場合には、前記ドメイングループ識別番号と前記再生装置識別番号との関連付けの記憶を削除するとともに、前記再生装置に記録されていた前記ドメイングループ識別番号を消去することによって、前記再生装置の前記ドメイングループへの登録を解除する登録解除手段と
をさらに備えた請求項８または請求項９に記載のサーバ。
【請求項１１】
前記ドメイングループ識別番号、前記ユーザ鍵、および前記暗号化されたコンテンツ鍵を、前記再生装置に接続された記憶媒体に記憶させるようにするとともに、前記再生装置に固有の再生装置識別番号に代えて、前記記憶媒体に固有の記憶媒体識別番号を用い、前記記憶媒体にさらに、前記記憶媒体識別番号を記憶させる請求項８乃至１０のうち何れか１項に記載のサーバ。
【請求項１２】
前記ドメイングループに登録済みの再生装置から、前記ドメイングループ識別番号と、前記再生装置識別番号とともに、前記ドメイングループに登録された全ての再生装置の登録解除を要求するリフレッシュ要求を受けると、前記ドメイングループ識別番号と前記再生装置識別番号とが関連付けて記憶されているかをチェックする第２のチェック手段と、
前記第２のチェック手段によって、前記ドメイングループ識別番号と前記再生装置識別番号とが関連付けて記憶されていると判定された場合には、このリフレッシュ要求が、前回になされたリフレッシュ要求から、予め定めた期間の経過後になされているのであれば、このリフレッシュ要求を許可するリフレッシュ許可手段と、
前記リフレッシュ許可手段によってリフレッシュ要求が許可されたならば、前記ドメイングループ識別番号と前記再生装置識別番号との全ての関連付けの記憶を削除することによって前記ドメイングループの登録された各再生装置のリフレッシュを実行し、前記リフレッシュが実行された累積回数を示すリフレッシュナンバーを、前記再生装置のおのおのおよびコンテンツに記録させるリフレッシュナンバー付与手段と
をさらに備えた請求項８乃至１１のうち何れか１項に記載のサーバ。
【請求項１３】
ある再生装置から、何れかのドメイングループに属する再生装置に対して再生が許可されたコンテンツに対する再生要求がなされた場合には、再生要求元の再生装置に記録されたドメイングループ識別番号と、前記再生要求されたドメイングループのドメイングループ識別番号とが一致し、かつ、前記コンテンツに記録されたリフレッシュナンバーが前記再生要求元の再生装置に記録されたリフレッシュナンバーよりも古いのであれば、前記ユーザ鍵を用いて、前記暗号化されたコンテンツ鍵を復号し、前記復号したコンテンツ鍵を用いて前記コンテンツを復号して再生できるようにした請求項１２に記載のサーバ。
【請求項１４】
前記ユーザ鍵は、保護された通信路を介して前記再生装置へ配信される請求項８乃至１３のうち何れか１項に記載のサーバ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、例えば、著作権等によって保護されるようなコンテンツのバックアップ及びリストアの方法、プログラム、及びサーバに関するものである。
【背景技術】
【０００２】
近年、音楽や映像、ゲーム等のデジタル著作物であるコンテンツを、インターネットやデジタル放送を介して配信する技術の進歩が著しい。
【０００３】
このように、インターネットやデジタル放送を介して配信されたコンテンツは、例えば、ＨＤＤレコーダやパソコンのような記録装置によって受信され記録されるが、記録装置の故障もしくはパーツ交換を考慮すると、バックアップ、リストア及びマージの機能を備えておくことが不可欠となる。
【０００４】
ここでバックアップとは、記録装置に記録されているコンテンツを、例えばＣＤ、ＤＶＤ、ＨＤＤのような他の媒体へ複製することを称し、リストアとは、複製されたコンテンツを、例えば別の記録装置で再生可能な状態にすることを称し、マージとは、記録装置上のコンテンツを保持しつつ別の記録装置のコンテンツを再生可能な状態にすることを称する。
【０００５】
しかしながら、このようなバックアップ、リストア及びマージを無制限に許可すると、コンテンツの不正コピーにつながってしまう。当然のことながら、コンテンツの不正コピーは、著作権保護の観点から許されるものではない。
【０００６】
したがって、バックアップ、リストア及びマージを、ある制約の下で許可することによって、コンテンツの不正コピーを阻止しつつ、ユーザの利便性を確保する技術が必要とされている。
【０００７】
例えば、特許文献１には、同一ユーザが所有する複数の記録装置間においてのみ複製や移動が制限される技術や、複製や移動が相互に可能な、ドメインと称されるグループを形成する技術が開示されている。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２００６−３０９５８９号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
しかしながら、このような従来の制限方法では、以下のような問題がある。
【００１０】
すなわち、特許文献１で開示された技術では、ドメインに登録可能な記録装置数に制限がないので、無数の記録装置にコピーできることから、結果的に不正コピーが可能となってしまうという問題がある。また、リフレッシュの仕組みやマージの機能がない為、ユーザの使い勝手が悪いという問題がある。
【００１１】
本発明はこのような事情に鑑みてなされたものであり、不正コピーを確実に阻止することが可能なバックアップ及びリストアの方法、プログラム、及びサーバを提供することを目的とする。
【課題を解決するための手段】
【００１２】
上記の目的を達成するために、本発明では、以下のような手段を講じる。
【００１３】
すなわち、請求項１の発明は、第１の記録装置に記録されたコンテンツを、記録媒体にバックアップした後に、前記記録媒体を介して第２の記録装置にリストアする方法である。この方法では、同じドメイングループに属する各記録装置が、通信ネットワークを介してサーバに接続されている。そして、記録したコンテンツを記録媒体にバックアップすることが許可された記録装置と、記録媒体からコンテンツをリストアすることが許可された記録装置とを、同じドメイングループに属するようにサーバに登録する。
【００１４】
次に、第１の記録装置に記録されたコンテンツのバックアップを記録した記録媒体から第２の記録装置へのリストアが試みられると、サーバが、第１及び第２の記録装置が同じドメイングループに属しているかをチェックする。そして、第１及び第２の記録装置が同じドメイングループに属している場合には、サーバが、第２の記録装置に対してリストアを許可し、第１及び第２の記録装置が同じドメイングループに属していない場合には、サーバが、第２の記録装置に対してリストアを許可しない。また、通信ネットワークを介して接続されている何れかの記録装置からサーバに対して、ドメイングループをリフレッシュしたいとの要求があった場合には、サーバが、該記録装置が属するドメイングループの履歴を保持したまま、該記録装置が属するドメイングループを無効にする。サーバはリフレッシュ禁止期間を保持し、リフレッシュ禁止期間が経過する前に、ドメイングループに登録されている何れかの記録装置からリフレッシュの要求があった場合には、リフレッシュを許可しない。
【００１５】
請求項２の発明は、請求項１の発明の方法において、更に、無効にされたドメイングループがリフレッシュされると、サーバが、該ドメイングループ対して、リフレッシュナンバーを付与する。また、前記サーバに接続されていた記録装置のうち、該ドメイングループに属していた記録装置が前記サーバに接続した場合、リフレッシュナンバーを前記サーバから取得する。
【００１６】
請求項３の発明は、請求項２の発明の方法において、第１の記録装置に記録されたリフレッシュナンバーが、第２の記録装置に記録されたリフレッシュナンバー以下である場合に、第２の記録装置は、第１の記録装置に記録されたコンテンツを、記録媒体にバックアップした後に、記録媒体を介してマージできる。
【００１７】
請求項４の発明は、請求項１乃至３のうち何れか１項の発明の方法において、通信ネットワークを介して接続されている何れかの記録装置からサーバに対して、ドメイングループから離脱したいとの要求があった場合には、サーバが、ドメイングループから該記録装置の登録を削除するとともに、該記録装置に記録されているコンテンツが削除される。
【００１８】
請求項５の発明は、請求項１乃至４のうち何れか１項の発明の方法において、第１の記録装置は、コンテンツを記録媒体にバックアップする際には、ドメイングループに属するようにサーバに登録されている。
【００１９】
請求項６の発明は、第１の記録装置に記録されたコンテンツを、記録媒体にバックアップした後に、記録媒体を介して第２の記録装置にリストアする方法を実行するサーバに適用されるプログラムである。
【００２０】
このプログラムは、以下に示すような各機能、すなわち、記録したコンテンツを記録媒体にバックアップすることが許可された記録装置と、記録媒体からコンテンツをリストアすることが許可された記録装置とを、同じドメイングループに属するように登録する機能、第１の記録装置に記録されたコンテンツのバックアップを記録した記録媒体から第２の記録装置へのリストアが試みられると、第１及び第２の記録装置が同じドメイングループに属しているかをチェックする機能、チェックの結果、第１及び第２の記録装置が同じドメイングループに属している場合には、第２の記録装置に対してリストアを許可する機能、チェックの結果、第１及び第２の記録装置が同じドメイングループに属していない場合には、第２の記録装置に対してリストアを許可しない機能、通信ネットワークを介して接続されている何れかの記録装置から、ドメイングループをリフレッシュしたいとの要求があった場合には、該記録装置が属するドメイングループの履歴を保持したまま、該記録装置が属するドメイングループを無効にする機能、サーバはリフレッシュ禁止期間を保持し、リフレッシュ禁止期間が経過する前に、ドメイングループに登録されている何れかの記録装置からリフレッシュの要求があった場合には、リフレッシュを許可しない機能をコンピュータに実現させる。
【００２１】
請求項７の発明は、第１の記録装置に記録されたコンテンツを、記録媒体にバックアップした後に、記録媒体を介して第２の記録装置にリストアする方法を実行するサーバである。
【００２２】
このサーバは、以下に示すような各手段、すなわち、記録したコンテンツを記録媒体にバックアップすることが許可された記録装置と、記録媒体からコンテンツをリストアすることが許可された記録装置とを、同じドメイングループに属するように登録する登録手段と、第１の記録装置に記録されたコンテンツのバックアップを記録した記録媒体から第２の記録装置へのリストアが試みられると、第１及び第２の記録装置が同じドメイングループに属しているかをチェックするチェック手段と、チェックの結果、第１及び第２の記録装置が同じドメイングループに属している場合には、第２の記録装置に対してリストアを許可するリストア許可手段と、チェックの結果、第１及び第２の記録装置が同じドメイングループに属していない場合には、第２の記録装置に対してリストアを許可しないリストア不許可手段と、通信ネットワークを介して接続されている何れかの記録装置から、ドメイングループをリフレッシュしたいとの要求があった場合には、該記録装置が属するドメイングループの履歴を保持したまま、該記録装置が属するドメイングループを無効にする無効化手段と、リフレッシュ禁止期間を保持し、リフレッシュ禁止期間が経過する前に、ドメイングループに登録されている何れかの記録装置から、リフレッシュの要求があった場合には、リフレッシュを許可しないリフレッシュ不許可手段とを備える。
【００２３】
請求項８の発明は、コンテンツ鍵を用いて暗号化され、ドメイングループに固有のドメイングループ識別番号が記録されたコンテンツの再生を、同じドメイングループに登録された複数の再生装置に対して許可するサーバである。このサーバは、登録手段と、ユーザ鍵配信手段と、コンテンツ鍵配信手段とを備えている。
【００２４】
登録手段は、ドメイングループ識別番号と、再生装置に固有の再生装置識別番号とともに、再生装置からドメイングループへの登録要求を受けると、再生装置識別番号を、ドメイングループ識別番号と関連付けて記憶するとともに、ドメイングループ識別番号を登録要求元の再生装置に記録させることにより、再生装置をドメイングループへ登録する。
【００２５】
ユーザ鍵配信手段は、再生装置がドメイングループに登録されると、再生装置識別番号を用いて再生装置のためのユーザ鍵を生成し、生成したユーザ鍵を、再生装置の再生装置識別番号と関連付けて記憶するとともに、登録された再生装置へ配信する。
【００２６】
コンテンツ鍵配信手段は、ユーザ鍵配信手段によって生成されたユーザ鍵を用いてコンテンツ鍵を暗号化し、暗号化されたコンテンツ鍵を、登録された再生装置がコンテンツを暗号化に用いるために、この再生装置へ配信する。
【００２７】
請求項９の発明は、請求項８の発明のサーバにおいて、ある再生装置から、何れかのドメイングループに属する再生装置に対して再生が許可されたコンテンツに対する再生要求があった場合には、再生要求元の再生装置に記録されたドメイングループ識別番号と、再生要求されたドメイングループのドメイングループ識別番号とが一致するのであれば、この再生装置は、ユーザ鍵配信手段からユーザ鍵が配信され、このユーザ鍵が、ユーザ鍵配信手段から以前に配信されたユーザ鍵と一致するのであれば、このユーザ鍵を用いて、暗号化されたコンテンツ鍵を復号し、復号したコンテンツ鍵を用いてコンテンツを復号して再生できるようにしている。
【００２８】
請求項１０の発明は、請求項８または請求項９の発明のサーバにおいて、第1のチェック手段と、登録解除手段とをさらに備えている。
【００２９】
第１のチェック手段は、ドメイングループに登録済みの再生装置から、ドメイングループ識別番号と、再生装置識別番号とともに、ドメイングループから離脱する要求を受けると、ドメイングループ識別番号と再生装置識別番号とが関連付けて記憶されているかをチェックする。
【００３０】
登録解除手段は、第１のチェック手段によって、ドメイングループ識別番号と再生装置識別番号とが関連付けて記憶されていると判定された場合には、ドメイングループ識別番号と再生装置識別番号との関連付けの記憶を削除するとともに、再生装置に記録されていたドメイングループ識別番号を消去することによって、再生装置のドメイングループへの登録を解除する。
【００３１】
請求項１１の発明は、請求項８乃至１０のうち何れか１項の発明のサーバにおいて、ドメイングループ識別番号、ユーザ鍵、および暗号化されたコンテンツ鍵を、再生装置に接続された記憶媒体に記憶させるようにするとともに、再生装置に固有の再生装置識別番号に代えて、記憶媒体に固有の記憶媒体識別番号を用い、記憶媒体にさらに、記憶媒体識別番号を記憶させる。
【００３２】
請求項１２の発明は、請求項８乃至１１のうち何れか１項の発明のサーバにおいて、第2のチェック手段と、リフレッシュ許可手段と、フレッシュナンバー付与手段とを備えている。
【００３３】
第２のチェック手段は、ドメイングループに登録済みの再生装置から、ドメイングループ識別番号と、再生装置識別番号とともに、ドメイングループに登録された全ての再生装置の登録解除を要求するリフレッシュ要求を受けると、ドメイングループ識別番号と再生装置識別番号とが関連付けて記憶されているかをチェックする。
【００３４】
リフレッシュ許可手段は、第２のチェック手段によって、ドメイングループ識別番号と再生装置識別番号とが関連付けて記憶されていると判定された場合には、このリフレッシュ要求が、前回になされたリフレッシュ要求から、予め定めた期間の経過後になされているのであれば、このリフレッシュ要求を許可する。
【００３５】
リフレッシュナンバー付与手段は、リフレッシュ許可手段によってリフレッシュ要求が許可されたならば、ドメイングループ識別番号と再生装置識別番号との全ての関連付けの記憶を削除することによってドメイングループの登録された各再生装置のリフレッシュを実行し、リフレッシュが実行された累積回数を示すリフレッシュナンバーを、再生装置のおのおのおよびコンテンツに記録させる。
【００３６】
請求項１３の発明は、請求項１２の発明のサーバにおいて、ある再生装置から、何れかのドメイングループに属する再生装置に対して再生が許可されたコンテンツに対する再生要求がなされた場合には、再生要求元の再生装置に記録されたドメイングループ識別番号と、再生要求されたドメイングループのドメイングループ識別番号とが一致し、かつ、コンテンツに記録されたリフレッシュナンバーが再生要求元の再生装置に記録されたリフレッシュナンバーよりも古いのであれば、ユーザ鍵を用いて、暗号化されたコンテンツ鍵を復号し、復号したコンテンツ鍵を用いてコンテンツを復号して再生できるようにしている。
【００３７】
請求項１４の発明は、請求項８乃至１３のうち何れか１項の発明のサーバにおいて、ユーザ鍵は、保護された通信路を介して再生装置へ配信される。
【発明の効果】
【００３８】
本発明によれば、不正コピーを確実に阻止することが可能なバックアップ、リストア及びマージの方法、プログラム、及びサーバを実現することができる。
【図面の簡単な説明】
【００３９】
【図１】第１の実施の形態に係るバックアップ及びリストアの制限方法を実現するシステムの構成例を示す機能ブロック図。
【図２】第１の実施の形態におけるサーバの構成例を示す機能ブロック図。
【図３】第１の実施の形態におけるチェック部、リストア許可部、及びリストア不許可部の処理の流れを示すフローチャート。
【図４】第１の実施の形態における無効化部の処理の流れを示すフローチャート。
【図５】第１の実施の形態における登録削除部の処理の流れを示すフローチャート。
【図６】第１の実施の形態におけるローカルマージの処理の流れを示すフローチャート。
【図７】第２の実施の形態に係るリストア及びマージを実現するシステムの構成例を示す機能ブロック図。
【図８】第２の実施の形態におけるサーバの構成例を示す機能ブロック図。
【図９】第２の実施の形態において、ＰＣである記録再生装置に設けられたシステム領域、保護領域、およびユーザデータ領域。
【図１０】第２の実施の形態における記録再生装置のドメイングループへの登録処理の流れを示す図。
【図１１】第２の実施の形態における記憶媒体に設けられたシステム領域、保護領域、およびユーザデータ領域。
【図１２】第２の実施の形態における記憶媒体のドメイングループへの登録処理の流れを示す概念図。
【図１３】第２の実施の形態におけるサーバからの鍵取得の処理の流れを示す概念図。
【図１４】第２の実施の形態におけるコンテンツ再生のための処理の流れを示す概念図。
【図１５】第２の実施の形態におけるリストア処理の流れを示す図。
【図１６】第２の実施の形態におけるバックアップ方法を説明するためのデータ構造図。
【図１７】第２の実施の形態におけるドメイン離脱処理の流れを示す図。
【図１８】第２の実施の形態におけるリフレッシュ処理の流れを示す図。
【図１９】第２の実施の形態におけるローカルマージ処理の流れを示す図。
【発明を実施するための形態】
【００４０】
以下に、本発明を実施するための最良の形態について図面を参照しながら説明する。
【００４１】
（第１の実施の形態）
図１は、本発明の第１の実施の形態に係るバックアップ及びリストアの方法を実現するシステムの構成例を示す機能ブロック図である。
【００４２】
すなわち、本実施の第１の実施の形態に係るバックアップ及びリストアの方法を実現するシステムは、例えばインターネットやケーブルテレビ回線のような通信ネットワーク１０を介して互いに接続されたサーバ１２及び複数の記録装置１６からなる。なお、図１では、５台の記録装置１６（＃ａ〜＃ｅ）のみを図示しているが、本発明では、５台に限定される訳ではなく、５台より多い場合も少ない場合もありうる。
【００４３】
また、図１に示すネットワーク構成は、イーサネット（登録商標）等のＬＡＮ、あるいは公衆回線や専用回線を介して複数のＬＡＮが接続されるＷＡＮ等からなりうる。ＬＡＮの場合には、必要に応じてルータを介した多数のサブネットから構成される。また、ＷＡＮの場合には、公衆回線に接続するためのファイアウォール等を適宜備えているが、ここではその図示及び詳細説明を省略する。
【００４４】
サーバ１２は、例えばＨＤＤレコーダやパソコン等の記録装置１６（＃ａ）に記録されたコンテンツαを、ＨＤＤ、ＤＶＤ、あるいはＣＤのような記録媒体１８にバックアップした後に、コンテンツαを記録媒体１８から、例えばＨＤＤレコーダやパソコン等の記録装置１６（＃ｂ）にリストアする際に、不正コピーを阻止するための様々な制限を課す。
【００４５】
サーバ１２は、図２に示す機能ブロック図の一例に示すように、登録部２０と、チェック部２２と、リストア許可部２４と、リストア不許可部２６と、無効化部２８と、有効化部３０と、リフレッシュ許可部３２と、リフレッシュ不許可部３３と、登録削除部３４と、インタフェース部３６と、記憶部３８とを備えている。
【００４６】
登録部２０は、図１の記録装置１６（＃ａ）のように、記録したコンテンツαを記録媒体１８にバックアップすること、及び、図１の記録装置１６（＃ｂ）のように、記録媒体１８からコンテンツをリストアすることが許可された記録装置を、同じドメイングループに属するように、記憶部３８内に格納されたドメインテーブル４０内に登録する。なお、記憶部３８は、ＨＤＤやメモリ等のハードウェアからなり、サーバ１２内に備えられるのに限定されず、サーバ１２の外部に設けられていてもよい。
【００４７】
図２には、ドメインテーブル４０の一例を示しているが、この例では、５台の記録装置１６（＃ａ，＃ｂ，＃ｃ，＃ｄ，＃ｅ）が、その機器ＩＤが書き込まれることによって登録されており、これら５台の記録装置１６（＃ａ，＃ｂ，＃ｃ，＃ｄ，＃ｅ）の間では、バックアップ及びリストアが許可されていることを示している。
【００４８】
なお、コンテンツαが記録媒体１８にバックアップされる際には、記録媒体１８には、コンテンツαのみならず、バックアップ元の記録装置１６の機器ＩＤ（各記録装置１６毎に記録されている）、ドメインテーブル４０の情報（サーバ１２から取得される）、更には、後述するリフレッシュナンバー（各記録装置１６毎に記録されている）も書き込まれる。リフレッシュナンバーとは、後述するように、リフレッシュ許可部３２に保持され、サーバより取得する番号である。なお、ドメインテーブル４０の情報は、サーバ１２から取得されるので、記録装置１６（＃ａ）は、コンテンツαを記録媒体１８にバックアップする際には、ドメイングループに属した状態でサーバ１２に登録されている必要がある。
【００４９】
例えば、バックアップ時にドメイングループに属していない場合には、以下の１）〜４）に示す手順で不正コピーが可能となってしまうが、本願では、上述のように、バックアップ時にドメイングループに属していることが要求されるので、以下の１）〜４）に示す手順による不正コピーを阻止する。
【００５０】
１）記録装置１６（＃ａ）が、どのドメイングループにも属していない状態で、記録媒体１８にバックアップを作成する。  
２）記録装置１６（＃ａ）をドメイングループＡに登録し、同じくドメイングループＡに属している記録装置１６（＃ｂ）にリストアする。  
３）記録装置１６（＃ａ）をドメイングループＡから離脱させる。  
４）記録装置１６（＃ａ）を別のドメイングループＢに登録し、１）で作成したバックアップを、ドメイングループＢに属している記録装置１６（＃ｃ）へリストアする。
【００５１】
次に、チェック部２２、リストア許可部２４、及びリストア不許可部２６について、図３のフローチャートを用いて説明する。
【００５２】
チェック部２２は、リストアが試みられた場合に、試みられた記録装置１６が、許可された記録装置１６であるか否かをチェックする部位である。例えば、記録装置１６（＃ａ）に記録されたコンテンツαのバックアップを記録した記録媒体１８から、記録装置１６（＃ｂ）へのリストアが試みられる（Ｓ３０）と、チェック部２２は、この記録媒体１８に書き込まれている記録装置１６（＃ａ）の機器ＩＤと、記録装置１６（＃ｂ）の機器ＩＤとを記録装置１６（＃ｂ）を介して取得し、コンテンツαを記録していた記録装置１６（＃ａ）と、リストアを試みる記録装置１６（＃ｂ）とが同じドメイングループに属しているかを、ドメインテーブル４０を参照することによりチェックする（Ｓ３１）。
【００５３】
リストア許可部２４は、チェック部２２によるチェックの結果、両記録装置１６（＃ａ），１６（＃ｂ）が同じドメイングループに属している場合（Ｓ３２：Ｙｅｓ）、すなわち、同じドメインテーブル４０に登録されている場合には、記録装置１６（＃ｂ）に対してリストアを許可する（Ｓ３３）。この場合、インタフェース部３６から通信ネットワーク１０を介して許可信号が記録装置１６（＃ｂ）に送られる。記録装置１６（＃ｂ）は、この許可信号を受信することにより、記録媒体１８を介してコンテンツαをリストアすることができる（Ｓ３４）。
【００５４】
リストア不許可部２６は、チェック部２２によるチェックの結果、両記録装置１６（＃ａ），１６（＃ｂ）が同じドメイングループに属していない場合（Ｓ３２：Ｎｏ）、すなわち、同じドメインテーブル４０に登録されていない場合には、記録装置１６（＃ｂ）に対してリストアを許可しない（Ｓ３５）。この場合、許可信号は発行されないので、記録装置１６（＃ｂ）は、許可信号を受信することはできず、よって、記録媒体１８を介してコンテンツαをリストアすることができない。
【００５５】
次に、無効化部２８について、図４のフローチャートを用いて説明する。
【００５６】
無効化部２８は、通信ネットワーク１０を介してサーバ１２に接続されている何れかの記録装置１６から、ドメイングループをリフレッシュしたい、すなわち、ドメインテーブル４０の内容をオールクリアしたいとの要求があった場合には、要求元の記録装置１６が属するドメイングループを所定期間保持したまま、要求元の記録装置１６が属するドメイングループを無効にする。
【００５７】
例えば、記録装置１６（＃ａ）から、ドメインテーブル４０に示すようなドメイングループの内容をオールクリアしたいとの要求があった場合（Ｓ４０）には、記録装置１６（＃ａ）が属するドメイングループをリフレッシュ禁止期間（例えば、半年あるいは１年）が過ぎているかどうかを確認した（Ｓ４１）後、記録装置１６（＃ａ）が属するドメイングループを無効にする。記録装置１６（＃ａ）が属するドメイングループを記録したドメインテーブル４０を消去せずに保持するものの、ドメインテーブル４０で定義されているドメイングループは存在しないものとしてサーバ１２を認識させる。
【００５８】
このようなリフレッシュ機能は、以下のような場合のために必要となる。例えば、ドメイングループに登録可能な記録装置１６が最大５台までと決められている場合、登録している５台中４台が故障した場合には、バックアップもリストアもできないことになる。このような場合には、リフレッシュ機能を使ってドメイングループをリフレッシュすることによって対応する。
【００５９】
すなわち、ドメイングループのリフレッシュが無制限に行われてしまうと、既に記録媒体１８にバックアップがとられた状態で新たにドメイン登録が行われることが繰り返され、コンテンツが不正にコピーされてしまう。そこで、本実施の形態では、リフレッシュ不許可部３３が、例えば、半年あるいは１年のようなリフレッシュ禁止期間を保持し、このリフレッシュ保持期間が経過する前に、ドメイングループに登録されている何れかの記録装置１６からリフレッシュの要求があっても（Ｓ４０）、ステップＳ４１においてリフレッシュ禁止期間が経過しているかを確認し（Ｓ４１）、リフレッシュ禁止期間が経過していない場合（Ｓ４１：Ｎｏ）には新たなリフレッシュをできなくする（Ｓ４２）ことにより、頻繁なリフレッシュを阻止し、不正コピーの蔓延を阻止するようにしている。
【００６０】
一方、ステップＳ４１において、リフレッシュ禁止期間が経過している場合（Ｓ４１：Ｙｅｓ）には、リフレッシュ許可部３２によってドメイングループがリフレッシュされる（Ｓ４３)。そして、リフレッシュされたドメイングループに属していた記録装置１６（＃ａ〜＃ｅ）に対して、インタフェース部３６から通信ネットワーク１０を介してリフレッシュナンバーが取得される（Ｓ４４）。リフレッシュナンバーを取得した各記録装置１６（＃ａ〜＃ｅ）は、最新のリフレッシュナンバーを記録する。
【００６１】
次に、登録削除部３４について、図５のフローチャートを用いて説明する。
【００６２】
登録削除部３４は、通信ネットワーク１０を介してサーバ１２に接続されている何れかの記録装置１６から、ドメイングループから離脱したいとの要求があった場合（Ｓ５０）には、ドメイングループから該記録装置１６の登録を削除する（Ｓ５１）。例えば、記録装置１６（＃ａ）から離脱要求があった場合には、ドメインテーブル４０から記録装置１６（＃ａ）の機器ＩＤを削除する。更に、インタフェース部３６から通信ネットワーク１０を介してコンテンツ削除信号が記録装置１６（＃ａ）に送られる（Ｓ５２）。記録装置１６（＃ａ）は、このコンテンツ削除信号を受信すると、記録しているコンテンツαを削除する（Ｓ５３）。これによって、この記録装置１６（＃ａ）が、離脱直後に新たなドメイングループに登録した場合であっても、コンテンツのバックアップもリストアもできなくなるので、不正コピーの蔓延を阻止するようにしている。
【００６３】
記録装置１６間でコンテンツのローカルマージを行う場合、ローカルマージする記録装置１６側では、以下に示すように、関係する２つの記録装置１６に対してリフレッシュナンバーを比較することによって、その可否を判断している。これを、記録装置１６（＃ａ）から記録装置１６（＃ｂ）へコンテンツαをローカルマージする場合を例に、図６のフローチャートを用いて説明する。
【００６４】
前述したように、記録装置１６（＃ａ）から記録媒体１８にコンテンツαがバックアップされる際にリフレッシュナンバーも記録媒体１８に記録される（Ｓ６０）。
【００６５】
そして、記録装置１６（＃ｂ）が、この記録媒体１８を介してコンテンツαのローカルマージを要求する（Ｓ６１）と、記録装置１６（＃ｂ）は、記録媒体１８に含まれている記録装置１６（＃ａ）のリフレッシュナンバーが、記録装置１６（＃ｂ）のリフレッシュナンバー以下であるかを確認する（Ｓ６２）。記録装置１６（＃ａ）のリフレッシュナンバーが、記録装置１６（＃ｂ）のリフレッシュナンバー以下でなければ（Ｓ６３：Ｎｏ）、ローカルマージすることはできない（Ｓ６４）。そして、記録装置１６（＃ａ）のリフレッシュナンバーが、記録装置１６（＃ｂ）のリフレッシュナンバー以下である場合（Ｓ６４：Ｙｅｓ）には、ローカルマージすることができる（Ｓ６５）。
【００６６】
これによって、新しい世代または同じ世代の記録装置１６へのローカルマージのみを許可し、古い世代の記録装置１６へのローカルマージを阻止するようにしている。なお、新しい世代の記録装置１６へのローカルマージは、サーバ１２に管理されている記録装置１６側へのローカルマージであるので、不正コピーの蔓延に至る恐れが少ないと判断し、許可する。
【００６７】
上記説明したようなサーバ１２の各部位の動作や、記録装置１６の動作は、例えば磁気ディスク等の記憶媒体に記録されたプログラムや、インターネット等の通信ネットワークを介してダウンロードしたプログラムを読み込み、このプログラムによって動作が制御される計算機（コンピュータ）によって実現される。
【００６８】
また、このプログラム（ソフトウェア手段）は、計算機（コンピュータ）に実行させることができるものであって、例えば磁気ディスク（フロッピー（登録商標）ディスク、ハ一ドディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒体に格納し、またインターネット等の通信媒体により伝送して頒布することもできる。
【００６９】
なお、記憶媒体に格納されるプログラムは、計算機に実行させるソフトウェア手段（実行プログラムのみならずテーブルやデータ構造も含む）を計算機内に構成させる設定プログラムをも含む。
【００７０】
更に、このプログラムは、記憶媒体から、あるいは通信媒体から計算機（コンピュータ）に読み込まれると、この計算機（コンピュータ）を動作させることによって上述した処理を実行させる。
【００７１】
上述したように、本実施の形態に係るバックアップ及びリストアの方法においては、サーバ１２が、例えばＨＤＤレコーダやパソコン等の記録装置１６（＃ａ）に記録されたコンテンツαを、ＨＤＤ、ＤＶＤ、あるいはＣＤのような記録媒体１８にバックアップした後に、コンテンツαを記録媒体１８から、例えばＨＤＤレコーダやパソコン等の記録装置１６（＃ｂ）にリストアする際に、不正コピーを阻止するための様々な制限を課すことができる。
【００７２】
先ず、記録装置１６（＃ａ）が、コンテンツαのバックアップを作成する際には、記録装置１６（＃ａ）は必ずドメイングループに属している必要があるので、上述した１）〜４）に示す手順による不正コピーを阻止することが可能となる。
【００７３】
また、記録装置１６（＃ａ）から作成されたバックアップを用いてコンテンツαをリストアすることができる記録装置１６（＃ｂ）は、同じドメインテーブル４０に登録されているものに限られるので、不正コピーの蔓延を阻止することができる。
【００７４】
更に、サーバ１２には、ドメイングループをリフレッシュする機能を備えているので、ドメイングループに登録されている記録装置１６のうち、故障等により１台しか使用可能ではない場合であっても、ドメイングループをリフレッシュすることができるので、バックアップおよびリストアともに行うことができる。
【００７５】
そして、リフレッシュ禁止期間（例えば、半年あるいは１年）が経過すると、ドメイングループがリフレッシュされるが、これによって、リフレッシュ期間が経過するまでは新たなリフレッシュをできなくなることから、頻繁なリフレッシュによる不正コピーを阻止することが可能となる。すなわち、ドメイングループのリフレッシュが無制限に行われてしまうと、既に記録媒体１８にバックアップがとられた状態で新たにドメイン登録が行われることが繰り返され、コンテンツが不正にコピーされてしまうが、所定期間が経過するまで新たなドメイングループが設定できないことにより、頻繁なリフレッシュを阻止し、不正コピーの蔓延を阻止することが可能となる。
【００７６】
更にまた、本実施の形態では、記録装置１６間でコンテンツのローカルマージを行うことができるが、ローカルマージする記録装置１６側において、関係する２つの記録装置１６に対してリフレッシュ信号が送られた累積回数を比較することによって、その可否が判断される。そして、コンテンツαを記録していた記録装置１６（＃ａ）の累積回数が、ローカルマージされる記録装置１６（＃ｂ）の累積回数以下である場合にのみ、ローカルマージできるようにしているので、古い世代の記録装置１６へのローカルマージを阻止することができる。
【００７７】
（第２の実施の形態）
図７は、本発明の第２の実施の形態に係るリストア及びマージを実現するシステムの構成例を示す機能ブロック図である。
【００７８】
すなわち、本実施の第２の実施の形態に係るリストア及びマージを実現するシステムは、例えばインターネットやケーブルテレビ回線のような通信ネットワーク７０を介して互いに接続されたサーバ７２及び複数の記録再生装置７６からなる。なお、図７では、５台の記録再生装置７６（＃ａ〜＃ｅ）のみを図示しているが、本発明では、５台に限定される訳ではなく、５台より多い場合も少ない場合もありうる。
【００７９】
また、図７に示すネットワーク構成は、イーサネット（登録商標）等のＬＡＮ、あるいは公衆回線や専用回線を介して複数のＬＡＮが接続されるＷＡＮ等からなりうる。ＬＡＮの場合には、必要に応じてルータを介した多数のサブネットから構成される。また、ＷＡＮの場合には、公衆回線に接続するためのファイアウォール等を適宜備えているが、ここではその図示及び詳細説明を省略する。
【００８０】
サーバ７２は、例えばＨＤＤレコーダやパソコン等の記録再生装置７６（＃ａ）に記録されたコンテンツαを、例えばＨＤＤレコーダやパソコン等の他の記録再生装置７６（＃ｂ〜＃ｄ）においてリストア及びマージする際に、不正使用を阻止するための様々な制限を課す。なお、コンテンツαは、ＨＤＤレコーダやパソコン等に記録されている場合に限るものではなく、ＣＤやＤＶＤ等の記録媒体に記録されている場合も含まれる。さらには、ＨＤＤレコーダやパソコン等から、バックアップのためにＣＤやＤＶＤ等の記録媒体に記録されている場合も含まれる。コンテンツαは、後述するコンテンツ鍵を用いて暗号化され、ドメイングループに固有のドメインＩＤが記録されている。
【００８１】
サーバ７２は、図８に示す機能ブロック図の一例に示すように、登録部８０と、ユーザ鍵配信部８１と、コンテンツ鍵配信部８２と、チェック部８３と、登録解除部８４と、リフレッシュ許可部８５と、リフレッシュナンバー付与部８６と、インタフェース部８７と、ＨＤＤ等の記録媒体に構築されたデータベース８８とを備えている。インタフェース部８７は、通信ネットワーク７０に接続されており、サーバ７２と、各記録再生装置７６との間の通信のために用いられる。図８では、これら構成要素が全て１つのサーバ７２に備えれた例を示しているが、これら構成要素は必ずしも１つのサーバに全て備えられている必要は無く、複数のサーバに分散させることもできる。
【００８２】
登録部８０は、記録再生装置７６（＃ａ〜＃ｅ）の、第１の実施の形態で説明したようなドメイングループへの登録処理を行う。
【００８３】
例として、ＰＣである記録再生装置７６（＃ａ）をドメイングループに登録する場合について説明する。ＰＣである記録再生装置７６（＃ａ）には、図９に示すように、システム領域９０と、保護領域９１と、ユーザデータ領域９２とが設けられている。システム領域とはデータ記録後に書き換えを行わない領域で、保護領域とはあるアプリケーションのみがアクセスしてデータを正しく読み書き可能な領域である。ユーザデータ領域とは誰でも読み書きができる領域で、ＨＤＤなどがこれに該当する。実装形態に関しては例えば特開２００８−２３４５９７号公報の方式で実現できる。
【００８４】
システム領域９０は、記録再生装置７６（＃ａ）に固有の識別番号（例えば、サーバから発行されるＰＣ−ＩＤ）９３を記憶している。
【００８５】
保護領域９１は、暗号化されたユーザ鍵９４と、リフレッシュナンバー９５と、ドメイングループ毎に固有の識別番号であるドメインＩＤ９６とを記憶している。ここで、ユーザ鍵９４において、Ｅｎｃ（Ｋｍｕ，Ｋｕｌｏｃａｌ）は、Ｋｕｌｏｃａｌ（ローカルコンテンツ用のユーザ鍵）をＫｍｕ（メディアユニーク鍵）で暗号化したものを、Ｅｎｃ（ＰＣ−ＩＤ、Ｋｕ１）は、Ｋｕ１（ユーザ鍵（ＩＤ＝１））をＰＣ−ＩＤ９３で暗号化したものを、Ｅｎｃ（ＰＣ−ＩＤ、Ｋｕ２）は、Ｋｕ２（ユーザ鍵（ＩＤ＝２））をＰＣ−ＩＤ９３で暗号化したものをそれぞれ示す。ここでＫｍｕは対応アプリケーションが識別番号から導出する鍵で、例えばＫｍｕ＝Ｅｎｃ（アプリケーション秘密鍵、ＰＣ−ＩＤ）  ｘｏｒ  ＰＣ−ＩＤで計算できる。また、リフレッシュナンバー９５は、後述するようなリフレッシュ処理が実行された累積回数を示す番号であり、リフレッシュナンバー付与部８６によって与えられる。また、ドメイングループに登録される前には、ドメインＩＤ９６は記録されていない。
【００８６】
ユーザデータ領域９２は、ドメインＩＤ９７と、暗号化されたコンテンツ鍵９８とを記憶している。ドメインＩＤ９７は、ドメインＩＤ９６と同一である。したがって、ドメイングループに登録される前には、ドメインＩＤ９７も記録されていない。また、コンテンツ鍵９８において、Ｅｎｃ（Ｋｕｌｏｃａｌ，Ｋｃ０１）は、Ｋｃ０１（コンテンツ鍵（ＩＤ＝１））をＫｕｌｏｃａｌ（ローカルコンテンツ用のユーザ鍵）で暗号化したものを、Ｅｎｃ（Ｋｕｌｏｃａｌ，Ｋｃ０２）は、Ｋｃ０２（コンテンツ鍵（ＩＤ＝２））をＫｕｌｏｃａｌ（ローカルコンテンツ用のユーザ鍵）で暗号化したものを、Ｅｎｃ（Ｋｕ１，Ｋｃ１１）は、Ｋｃ１１（コンテンツ鍵（ＩＤ＝１１））をＫｕ１（ユーザ鍵（ＩＤ＝１））で暗号化したものを、Ｅｎｃ（Ｋｕ２，Ｋｃ２１）は、Ｋｃ２１（コンテンツ鍵（ＩＤ＝２１））をＫｕ２（ユーザ鍵（ＩＤ＝２））で暗号化したものをそれぞれ示す。
【００８７】
なお、保護領域９１に記憶されているものとして説明されたリフレッシュナンバー９５およびドメインＩＤ９６を、ユーザデータ領域９２に記憶するようにしても良い。
【００８８】
記録再生装置７６（＃ａ）がドメイングループへの登録を要求する場合、図１０に示すように、登録したいドメインＩＤと、記録再生装置７６（＃ａ）に固有の識別番号であるＰＣ−ＩＤ９３とともに、サーバ７２に対して登録要求を送信する(Ｓ１０１)。なおこの場合、保護された通信路７０を介して送信されるようにする。この登録要求はサーバ７２のインタフェース部８７によって受信され、登録部８０に送られる。
【００８９】
登録部８０は、登録要求されたドメインＩＤへの登録が可能であるかをチェックし（Ｓ１０２）、可能であるのであれば、登録要求されたドメインＩＤと、記録再生装置７６（＃ａ）から送信されたＰＣ−ＩＤ９３とを関連付けてデータベース８８に記憶させる。この場合、同一のドメイングループに属する記録再生装置７６の識別番号を、図１に示すような同一のドメインテーブル４０内に記憶するようにしても良い。登録部８０はさらに、ドメインＩＤを記録再生装置７６（＃ａ）の保護領域９１およびユーザデータ領域９２内にドメインＩＤ９６、９７として記録させる(Ｓ１０３)。これによって、記録再生装置７６（＃ａ）のドメイングループへの登録を完了する（Ｓ１０４）。
【００９０】
また、別の例として、メモリカードのような記憶媒体７７（＃ｂ）が挿入された記録再生装置７６（＃ｂ）をドメイングループに登録する場合について説明する。例えばＳＤカードのようなメモリカードには、図１１に示すように、システム領域１１０と、保護領域１１１と、ユーザデータ領域１１２とが設けられている。それぞれの領域の性質はシステム領域９０と、保護領域９１と、ユーザデータ領域９２と同様である。実装方法としては例えばContent Protection for Recordable Media Specification for SD Memory Card, Revision 0.961, May 3, 2007.http://www.4centity.com/に開示されている方式で実現できる。
【００９１】
システム領域１１０は、メモリカード７７に固有の識別番号であるメディアＩＤ１１３を記憶している。
【００９２】
保護領域１１１は、暗号化されたユーザ鍵１１４を記憶している。ここで、Ｅｎｃ（Ｋｍｕ，Ｋｕｌｏｃａｌ）は、Ｋｕｌｏｃａｌ（ローカルコンテンツ用のユーザ鍵）をＫｍｕ（メディアユニーク鍵）で暗号化したものを、Ｅｎｃ（Ｋｍｕ、Ｋｕ１）は、Ｋｕ１（ユーザ鍵（ＩＤ＝１））をＫｍｕで暗号化したものを、Ｅｎｃ（Ｋｍｕ、Ｋｕ２）は、Ｋｕ２（ユーザ鍵（ＩＤ＝２））をＫｍｕで暗号化したものをそれぞれ示す。
【００９３】
ユーザデータ領域１１２は、ドメインＩＤ１１５と、暗号化されたコンテンツ鍵１１６と、リフレッシュナンバー１１７と、ドメインＩＤ１１８とを記憶している。ドメインＩＤ１１５とドメインＩＤ１１８と同一であり、ドメイングループに登録される前には、記録されていない。また、コンテンツ鍵１１６において、Ｅｎｃ（Ｋｕｌｏｃａｌ，Ｋｃ０１）は、Ｋｃ０１（コンテンツ鍵（ＩＤ＝１））をＫｕｌｏｃａｌ（ローカルコンテンツ用のユーザ鍵）で暗号化したものを、Ｅｎｃ（Ｋｕｌｏｃａｌ，Ｋｃ０２）は、Ｋｃ０２（コンテンツ鍵（ＩＤ＝２））をＫｕｌｏｃａｌ（ローカルコンテンツ用のユーザ鍵）で暗号化したものを、Ｅｎｃ（Ｋｕ１，Ｋｃ１１）は、Ｋｃ１１（コンテンツ鍵（ＩＤ＝１１））をＫｕ１（ユーザ鍵（ＩＤ＝１））で暗号化したものを、Ｅｎｃ（Ｋｕ２，Ｋｃ２１）は、Ｋｃ２１（コンテンツ鍵（ＩＤ＝２１））をＫｕ２（ユーザ鍵（ＩＤ＝２））で暗号化したものをそれぞれ示す。リフレッシュナンバー１１７は、リフレッシュナンバー９５と同様、リフレッシュ処理が実行された累積回数を示す番号であり、リフレッシュナンバー付与部８６によって与えられる。
【００９４】
なお、ユーザデータ領域１１２に記憶されるものとして説明されているリフレッシュナンバー１１７およびドメインＩＤ１１８を、保護領域１１１に記憶させるようにしても良い。
【００９５】
記録再生装置７６（＃ｂ）がドメイングループへの登録を要求する場合、例えば図１２に示すように、登録したいドメインＩＤ１２２と、記録再生装置７６（＃ｂ）に挿入されている記憶媒体７７（＃ｂ）のメディアＩＤ１１３とともに、保護された通信路である通信ネットワーク７０を介してサーバ７２に対して登録要求を送信する。この登録要求はインタフェース部８７によって受信され、登録部８０に送られる。
【００９６】
登録部８０は、登録要求されたドメインＩＤへの登録が可能であるかをチェックし、可能であるのであれば、登録要求されたドメインＩＤと、記録再生装置７６（＃ｂ）から送信されたメディアＩＤ１１３とを関連付けてデータベース８８に記憶させる。この場合、同一のドメイングループに属する記録再生装置７６や記憶媒体７７の識別番号を、図１に示すような同一のドメインテーブル４０内に記憶するようにしても良い。登録部８０はさらに、ドメインＩＤを記憶媒体７７（＃ｂ）のユーザデータ領域１１２内にドメインＩＤ１１５、１１８として記録させる。これによって、記憶媒体７７（＃ｂ）が挿入された記録再生装置７６（＃ｂ）のドメイングループへの登録を完了する。
【００９７】
このようにして記録再生装置７６がドメイングループに登録されると、ユーザ鍵配信部８１が、ＰＣ−ＩＤ９３またはメディアＩＤ１１３を用いて記録再生装置７６のためのユーザ鍵Ｋｕを生成する。例えば、記録再生装置７６（＃ａ）に対しては、ＰＣ−ＩＤ９３を用いてユーザ鍵Ｋｕを生成し、記憶媒体７７（＃ｂ）が挿入された記録再生装置７６（＃ｂ）に対してはメディアＩＤ１１３を用いてユーザ鍵Ｋｕを生成する。そして、これら生成されたユーザ鍵Ｋｕを、ＰＣ−ＩＤ９３またはメディアＩＤ１１３と関連付けてデータベース８８に記憶させるとともに、インタフェース部８７から通信ネットワーク７０を介して、対応する記録再生装置７６へ配信する。この場合も、保護された通信路である通信ネットワーク７０を介して配信する。
【００９８】
ＰＣである記録再生装置７６（＃ａ）に配信されたユーザ鍵Ｋｕは、保護領域９１に記憶され、メモリカード等の記憶媒体７７（＃ｂ）が挿入された記録再生装置７６（＃ｂ）に配信されたユーザ鍵Ｋｕは、図１２に示すように保護領域１１１に記憶される。
【００９９】
また、コンテンツ鍵配信部８２は、図１３に示すように、ユーザ鍵配信部８１によって生成されたユーザ鍵Ｋｕを用いてコンテンツ鍵Ｋｃを暗号化し、暗号化されたコンテンツ鍵Ｅｎｃ（Ｋｕ，Ｋｃ）１３０を、インタフェース部８７から通信ネットワーク７０を介して、対応する記録再生装置７６へ配信する。この場合、通信ネットワーク７０は、保護されている必要はない。
【０１００】
ＰＣである記録再生装置７６（＃ａ）に配信されたコンテンツ鍵（Ｅｎｃ（Ｋｕ，Ｋｃ））は、ユーザデータ領域９２に記憶され、メモリカード等の記憶媒体７７（＃ｂ）が挿入された記録再生装置７６（＃ｂ）に配信されたコンテンツ鍵Ｅｎｃ（Ｋｕ，Ｋｃ）１３０は、図１３に示すようにユーザデータ領域１１２に記憶される。これらコンテンツ鍵は、例えば記録再生装置７６（＃ａ）が、例えば記憶媒体１２１に格納されたコンテンツαの暗号および復号のために用いられる。
【０１０１】
次に、同じドメイングループに登録された複数の記録再生装置７６（＃ａ〜＃ｅ）に対して、サーバ７２によって、コンテンツの再生が許可される処理の流れについて図１４および図１５を用いて説明する。
【０１０２】
ある記録再生装置（例えば、メモリカードのような記憶媒体７７（＃ｃ）が挿入された記録再生装置７６（＃ｃ））が、記憶媒体１２１に格納された暗号化されたコンテンツα（Ｅｎｃ（Ｋｃ，Ｃｏｎｔｅｎｔ））を再生しようとして読み込みを行い（Ｓ１５１）、記録再生装置７６（＃ｃ）に記録された、あるいは記録再生装置７６（＃ｃ）に挿入された記憶媒体７７（＃ｃ）に記録されたドメインＩＤ９６あるいはドメインＩＤ１１５と、このコンテンツαが属するドメイングループのドメインＩＤとが一致するかをチェックする（Ｓ１５２)。そして、一致した場合には、記憶媒体７７（＃ｃ）がユーザ鍵Ｋｕを持っていることをチェックする（Ｓ１５３）。そして、記憶媒体７７（＃ｃ）がユーザ鍵Ｋｕを持っていることがチェックされると、記録再生装置７６（＃ｃ）は、メディアＩＤ１１３およびドメインＩＤとともに、ユーザ鍵Ｋｕの発行要求をサーバ７２に対して送る（Ｓ１５４）。すると、サーバ７２のチェック部８３が、データベース８８を探索し、対応するドメインＩＤにメディアＩＤ１１３が登録されているかをチェックする（Ｓ１５５）。そして、登録がなされている場合には、ユーザ鍵配信部８１が、メディアＩＤ１１３からユーザ鍵Ｋｕを生成し、インタフェース部８７から通信ネットワーク７０（保護された通信路）を介して記録再生装置７６（＃ｃ）へと配信する（Ｓ１５６）。
【０１０３】
記録再生装置７６（＃ｃ）は、配信されたユーザ鍵Ｋｕが、登録時に既に配信されているユーザ鍵Ｋｕと一致するのであれば、一致したユーザ鍵Ｋｕを用いて、暗号化されたコンテンツ鍵Ｅｎｃ（Ｋｕ，Ｋｃ）を復号し(Ｓ１５７)、復号したコンテンツ鍵Ｋｃを用いて、暗号化されたコンテンツα（Ｅｎｃ（Ｋｃ，Ｃｏｎｔｅｎｔ））を復号して再生する。
【０１０４】
上記図１４を用いて行った説明は、メモリカードのような記憶媒体７７（＃ｃ）が挿入された記録再生装置７６（＃ｃ）を対象としたものであるが、メモリカードのような記憶媒体を用いない例えばＰＣのような記録再生装置に対しても同様に実現可能であることは、当業者であれば理解できよう。
【０１０５】
次にバックアップの方法について図１６のデータ構造図を用いて説明する。バックアップの対象となるＰＣまたは記録媒体１６１に書かれているドメインＩＤ１６２、リフレッシュナンバー１６３、複数のユーザ鍵ＩＤ１６４、複数の暗号化コンテンツ鍵（例えば、ローカルコンテンツの暗号化コンテンツ鍵１６５（＃ａ）、配信コンテンツの暗号化コンテンツ鍵１６５（＃ｂ）、１６５（＃ｃ）・・・）のバックアップファイルとして書き出す。なおデータの改ざんや誤りを検出するために電子署名データ１６６を付加する場合も考えられる。
【０１０６】
次にバックアップファイルを利用したリストアの方法について説明する。リストアする機器はバックアップファイルからデータを読み出す。まずドメインＩＤ１６２がリストアする機器のものと同一かどうか調べる。もし不一致の場合は別ドメインのデータとみなして処理を中断する。次にリフレッシュナンバー１６３を調べ、当該機器のものと比較して、リストア可能かどうかを判断する。当該機器のリフレッシュナンバー１６３が小さい場合はリストア処理を中断する。次にユーザ鍵ＩＤ１６４をチェックして、当該機器が所有していないユーザ鍵がある場合には、そのユーザ鍵のダウンロードを実施する。あとは暗号化コンテンツ鍵１６５をＰＣまたは記録媒体１６１に記録する。
【０１０７】
次に図１７を用いて、記録再生装置７６がドメイングループに一旦登録した後に、そのドメイングループから離脱する、すなわち登録を解除する、ドメイン離脱処理について説明する。
【０１０８】
ドメイン離脱したい記録再生装置７６（例えば、記録再生装置７６（＃ｄ）とする）は、サーバ７２に対して、自己が属しているドメイングループのドメインＩＤと、ＰＣ−ＩＤ９３またはメディアＩＤ１１３のような識別番号とともに、ドメイン離脱要求を送る（Ｓ１７１）。
【０１０９】
サーバ７２は、インタフェース部８７において、このドメイン離脱要求を受け取ると、チェック部８３が、ドメイン離脱要求とともに送られたドメインＩＤと、ＰＣ−ＩＤ９３またはメディアＩＤ１１３のような識別番号とが関連付けられてデータベース８８に記憶されているかをチェックする（Ｓ１７２）。そして、関連付けて記憶されている場合には、登録解除部８４が、このドメインＩＤに関連付けられて記憶されている記録再生装置７６（＃ｄ）の識別番号（ＰＣ−ＩＤ９３またはメディアＩＤ１１３）を削除し（Ｓ１７３）、ドメイン離脱処理を完了する（Ｓ１７４）。
【０１１０】
次に図１８を用いて、ドメイングループをリフレッシュするリフレッシュ処理について説明する。ここで、リフレッシュ処理とは、同一のドメイングループに登録された全ての記録再生装置７６の登録を解除することである。
【０１１１】
すなわち、既にドメイングループに登録済みの記録再生装置７６が、そのドメイングループのドメインＩＤと、この記録再生装置７６の識別番号（ＰＣ−ＩＤ９３またはメディアＩＤ１１３）とともに、サーバ７２に対してリフレッシュ要求を送る（Ｓ１８１）と、サーバ７２のチェック部８３は、指定されたドメインＩＤと、この記録再生装置７６の識別番号とがデータベース８８において関連付けて記憶されているかをチェックする（Ｓ１８２）。そして、関連付けて記憶されていると判定された場合には、リフレッシュ許可部８５が、このリフレッシュ要求が、前回になされたリフレッシュ要求から、予め定めた期間であるリフレッシュ禁止期間の経過後になされているのかを、チェックする（Ｓ１８３）。そして、経過後になされているのであれば、このリフレッシュ要求を許可する。
【０１１２】
リフレッシュ許可部８５によってリフレッシュ要求が許可されたならば、リフレッシュナンバー付与部８６が、指定されたドメインＩＤに関連付けられて記憶されている全ての記録再生装置７６の識別番号をクリアすることによってリフレッシュを実行し（Ｓ１８４）、リフレッシュが実行された累積回数を示すリフレッシュナンバーを更新し（Ｓ１８５）、リフレッシュされた記録再生装置７６のおのおのおよびコンテンツに、更新されたリフレッシュナンバーを記録させる（Ｓ１８６）。これによって、リフレッシュ処理を完了する。
【０１１３】
次に、図１９を用いて、ローカルマージ処理について説明する。ローカルマージ処理では、ある記録再生装置（要求元記録再生装置）７６が、何れかのドメイングループに属する記録再生装置に対して再生が許可されたコンテンツの再生を試みて、コンテンツの読み込みを行う（Ｓ１９１）。そして、要求元記録再生装置７６は、要求元記録再生装置７６に記録されたドメインＩＤと、再生要求されたドメイングループのドメインＩＤ、すなわち、コンテンツαのドメインＩＤとが同じであるかをチェックする（Ｓ１９２）。要求元記録再生装置７６は、両ドメインＩＤの一致を確認すると、さらに、コンテンツに記録されたリフレッシュナンバーと、要求元記録再生装置７６に記録されたリフレッシュナンバーとの比較を行う（Ｓ１９３）。
【０１１４】
この場合、コンテンツαに記録されたリフレッシュナンバーが、要求元記録再生装置７６に記録されたリフレッシュナンバーよりも新しいのであれば、その後の処理を中止する（Ｓ１９４）。一方、コンテンツαに記録されたリフレッシュナンバーが、要求元記録再生装置７６に記録されたリフレッシュナンバーよりも古いのであれば、要求元記録再生装置７６は、ユーザ鍵Ｋｕを用いて、暗号化されたコンテンツ鍵Ｋｃを復号し、復号したコンテンツ鍵Ｋｃを用いてコンテンツを復号して再生する（Ｓ１９５）。
【０１１５】
上記説明したようなサーバ７２の各部位の動作や、記録再生装置７６の動作は、例えば磁気ディスク等の記憶媒体に記録されたプログラムや、インターネット等の通信ネットワークを介してダウンロードしたプログラムを読み込み、このプログラムによって動作が制御される計算機（コンピュータ）によって実現される。
【０１１６】
また、このプログラム（ソフトウェア手段）は、計算機（コンピュータ）に実行させることができるものであって、例えば磁気ディスク（フロッピー（登録商標）ディスク、ハ一ドディスク等）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤ等）、半導体メモリ等の記憶媒体に格納し、またインターネット等の通信媒体により伝送して頒布することもできる。
【０１１７】
なお、記憶媒体に格納されるプログラムは、計算機に実行させるソフトウェア手段（実行プログラムのみならずテーブルやデータ構造も含む）を計算機内に構成させる設定プログラムをも含む。
【０１１８】
更に、このプログラムは、記憶媒体から、あるいは通信媒体から計算機（コンピュータ）に読み込まれると、この計算機（コンピュータ）を動作させることによって上述した処理を実行させる。
【０１１９】
上述したような本実施の形態に係るシステムによれば、サーバ７２が、例えばＨＤＤレコーダやパソコン等の記録再生装置７６（＃ａ）に記録されたコンテンツαを、例えばＨＤＤレコーダやパソコン等の他の記録再生装置で再生する際に、暗号技術を適用することによって、第1の実施の形態で奏される作用効果に加えて、不正コピーのみならず、不正な再生をより効果的に阻止することが可能となる。
【０１２０】
以上、本発明を実施するための最良の形態について、添付図面を参照しながら説明したが、本発明はかかる構成に限定されない。特許請求の範囲の発明された技術的思想の範疇において、当業者であれば、各種の変更例及び修正例に想到し得るものであり、それら変更例及び修正例についても本発明の技術的範囲に属するものと了解される。
【符号の説明】
【０１２１】
１０…通信ネットワーク、１２…サーバ、１６…記録装置、１８…記録媒体、２０…登録部、２２…チェック部、２４…リストア許可部、２６…リストア不許可部、２８…無効化部、３０…有効化部、３２…リフレッシュ許可部、３３…リフレッシュ不許可部、３４…登録削除部、３６…インタフェース部、３８…記憶部、４０…ドメインテーブル、７０…通信ネットワーク、７２…サーバ、７６…記録再生装置、７７…記憶媒体、８０…登録部、８１…ユーザ鍵配信部、８２…コンテンツ鍵配信部、８３…チェック部、８４…登録解除部、８５…リフレッシュ許可部、８６…リフレッシュナンバー付与部、８７…インタフェース部、８８…データベース、９０…システム領域、９１…保護領域、９２…ユーザデータ領域、９３…ＰＣ−ＩＤ、９４…ユーザ鍵、９５…リフレッシュナンバー、９６，９７…ドメインＩＤ、９８…コンテンツ鍵、１１０…システム領域、１１１…保護領域、１１２…ユーザデータ領域、１１３…メディアＩＤ、１１４…ユーザ鍵、１１５…ドメインＩＤ、１１６…コンテンツ鍵、１１７…リフレッシュナンバー、１１８…ドメインＩＤ、１２１…記憶媒体、１２２…ドメインＩＤ、１３０…暗号化されたコンテンツ鍵、１６２…ドメインＩＤ、１６３…リフレッシュナンバー、１６４…ユーザ鍵ＩＤ、１６５…暗号化コンテンツ鍵、１６６…電子署名データ、α…コンテンツ、Ｋｕ…ユーザ鍵、Ｋｃ…コンテンツ鍵
【図１】
2009230745.tif 000003
【図２】
2009230745.tif 000004
【図３】
2009230745.tif 000005
【図４】
2009230745.tif 000006
【図５】
2009230745.tif 000007
【図６】
2009230745.tif 000008
【図７】
2009230745.tif 000009
【図８】
2009230745.tif 000010
【図９】
2009230745.tif 000011
【図１０】
2009230745.tif 000012
【図１１】
2009230745.tif 000013
【図１２】
2009230745.tif 000014
【図１３】
2009230745.tif 000015
【図１４】
2009230745.tif 000016
【図１５】
2009230745.tif 000017
【図１６】
2009230745.tif 000018
【図１７】
2009230745.tif 000019
【図１８】
2009230745.tif 000020
【図１９】
2009230745.tif 000021