"1つの機器へプログラムコンテンツを転送するための方法であって:機器の安全保障の程度がそれに対して割り当てられた指標で示されているところの前記機器から、それへのプログラムコンテンツの転送要求を受け取り;前記要求に応答して、前記機器が前記プログラムコンテンツを受け取る正当性を判定するために前記機器を認証し;前記機器が認証された後、前記機器へ前記プログラムコンテンツと前記プログラムコンテンツに関連する一式の規則であって、該一式の規則の少なくともいくつかは前記指標に関係し且つ前記プログラムコンテンツの使用に関して前記機器で適用可能である、前記一式の規則とを転送することを含む、前記方法。請求項1記載の方法において、前記機器は機器により与えられるデジタル証明書内のデータを確認して認証される前記方法。請求項1記載の方法において、プログラムコンテンツが映画コンテンツを含む、前記方法。請求項1記載の方法が更に、前記プログラムコンテンツが機器に転送される前に、指標で示される前記機器の安全保障の程度が、一式の規則の或る1つに適合するか否かを判定する、前記方法。請求項4記載の方法において、指標で示される前記機器の安全保障の程度が、一式の規則の或る1つに適合することが判定された後に、プログラムコンテンツが転送される、前記方法。請求項1記載の方法において、一式の規則の1つが前記機器が前記プログラムコンテンツを他の機器へ転送できる回数に関する、前記方法。請求項1記載の方法において、一式の規則の1つが前記機器が前記プログラムコンテンツを再生できる期間に関する、前記方法。請求項1記載の方法において、一式の規則の1つが前記機器がプログラムコンテンツを別の機器へ転送する権利を、前記機器の安全保証の程度の関数として規定する、前記方法。機器の間でプログラムコンテンツを転送するための方法であって:第1保護層を定義し、前記第1保護層内の機器はプログラムコンテンツを、第1処理プロセスに準拠する他の機器へ相互に転送し;第2保護層を定義し、第1保護層内の第1機器が、第2処理プロセスに準拠する前記第2保護層内の第2機器に、選択されたプログラムコンテンツを転送することを含み、此処で前記第2処理プロセスが:第2機器を認証して、前記第2機器が前記選択されたプログラムコンテンツを受け取る正当性を有するか否かを判定し、前記第2機器にはその安全保障の程度を示す指標が割り当てられており;前記第2機器が認証された後、第2機器に選択されたプログラムコンテンツとその選択されたプログラムコンテンツに関連する一式の規則とを転送し、一式の規則の少なくともいくつかは前記指標に関連し且つ選択されたプログラムコンテンツの使用に関して前記第2機器で適用可能である、ことを含む、前記方法。請求項9記載の方法において、前記第1機器が選択されたプログラムコンテンツを広帯域通信ネットワークから受信するためのセットトップ端末を含む、前記方法。請求項10記載の方法において、前記広帯域通信ネットワークがケーブルネットワークを含む、前記方法。請求項11記載の方法において、前記規則一式がケーブルネットワークの運用者により制定される、前記方法。請求項9記載の方法において、前記規則一式が選択されたプログラムコンテンツの提供者により制定される、前記方法。請求項9記載の方法において、前記第2機器が前記第2機器から提供されるデジタル証明書内のデータを確認することで認証される、前記方法。請求項9記載の方法において、前記選択されたプログラムコンテンツが映画コンテンツを含む、前記方法。請求項9記載の方法が更に、前記選択されたプログラムコンテンツが機器に転送される前に、指標で示される前記第2機器の安全保障程度が一式の規則の或る1つに適合するか否か判定することを含む、前記方法。請求項16記載の方法において、前記指標で示される前記第2機器の安全保障の程度が、或る規則に適合したと判定された後に、前記プログラムコンテンツが転送される、前記方法。請求項9記載の方法において、前記一式の規則の1つが、前記第2機器が前記選択されたプログラムコンテンツを他の機器へ転送できる回数に関する、前記方法。請求項9記載の方法において、前記一式の規則の1つが、前記第2機器が前記選択されたプログラムコンテンツを再生できる期間に関する、前記方法。請求項9記載の方法において、前記一式の規則の1つが前記第2機器が前記選択されたプログラムコンテンツを別の機器へ転送する権利を、前記他の機器の安全保障の程度の関数として規定する、前記方法。保護コンテンツを受信するための機器内で使用するための方法であって:前記機器の安全保障の程度を示す指標を格納し;前記保護コンテンツの前記機器への転送要求を1つの装置に送り;前記装置に、該装置から前記保護コンテンツを受信する機器の正当性を検証するためのデータを提供し;前記装置から保護コンテンツと、該保護コンテンツに関係する一式の規則を受け取り、前記一式の規則の少なくともいくつかは前記指標に関連し且つ前記保護コンテンツの使用に関して前記機器で適用可能である、前記方法。請求項21記載の方法において、前記装置が前記プログラムコンテンツを広帯域通信ネットワークから受信するための、セットトップ端末を含む、前記方法。請求項22記載の方法において、前記広帯域通信ネットワークがケーブルネットワークを含む、前記方法。請求項23記載の方法において、前記規則一式がケーブルネットワークの運用者により制定される、前記方法。請求項21記載の方法において、前記規則一式が保護コンテンツの提供者により制定される、前記方法請求項21記載の方法において、前記データがデジタル証明書に含まれる、前記方法。請求項21記載の方法において、前記保護コンテンツが映画コンテンツを含む、前記方法。請求項21記載の方法において、前記一式の規則の1つが、前記機器が前記選択されたプログラムコンテンツを他の機器へ転送できる回数に関する、前記方法。請求項21記載の方法において、前記一式の規則の1つが、前記機器が前記選択されたプログラムコンテンツを再生できる期間に関する、前記方法。請求項21記載の方法において、前記一式の規則の1つが、前記機器が前記選択されたプログラムコンテンツを別の機器へ転送する権利を、前記他の機器の安全保障の程度の関数として規定する、前記方法。暗号化され、機器内の記憶装置に格納されているプログラムコンテンツを有する前記機器に接続可能なモジュール装置内で使用するための方法であって:前記機器から前記プログラムコンテンツへの接続要求を受け取り、該要求は前記記憶装置内の暗号化されたプログラムコンテンツに関連して格納されたデータパッケージを含み;前記要求に応答して、前記機器が前記プログラムコンテンツへのアクセスを許されているかを、第1データパッケージ内の情報に基づいて判定し;前記機器に、少なくとも前記記憶装置内の暗号化されたプログラムコンテンツを復号化するための暗号法要素に関するデータを提供し、これにより前記機器に前記プログラムコンテンツへのアクセスを提供することを含む前記方法。請求項31記載の方法において、前記情報が前記プログラムコンテンツへアクセスする権利に関する、前記方法。請求項32記載の方法において、前記権利が前記プログラムコンテンツを再生する権利を含む、前記方法。請求項32記載の方法において、前記権利が前記プログラムコンテンツを記録する権利を含む、前記方法。請求項32記載の方法において、前記暗号法要素が1つの暗号化鍵を含む、前記方法。請求項35記載の方法において、前記データが前記暗号化鍵の暗号化された版を表す、前記方法。請求項35記載の方法において、前記データパッケージが前記暗号化鍵の暗号化された版を表すデータを含む、前記方法。記憶装置を有し、モジュール装置に接続可能な1つの機器内で使用するための方法であって:前記モジュール装置に選択されたプログラムコンテンツを記録するための要求を送り;前記モジュール装置から前記要求に対する返答を受け取り、該返答は暗号法要素に関するデータ、該暗号法要素の少なくとも1つの版を含むデータパッケージ、および前記選択されたプログラムコンテンツに関連する、少なくとも1つの安全保障測度に基づいた、前記機器が前記選択されたプログラムコンテンツの記録を許されているか否かの判定結果を含み;前記判定結果に基づき、前記選択されたプログラムコンテンツを記録し;前記記録されたプログラムコンテンツを前記データから導出された暗号化法要素で暗号化し;前記暗号化されたプログラムコンテンツを前記データパッケージと関連して前記記憶装置内に格納する、以上を含む前記方法。請求項38記載の方法において、前記暗号化法要素が1つの暗号化鍵を含む、前記方法。請求項38記載の方法において、前記データが暗号化鍵の暗号化された版を表す、前記方法。請求項38記載の方法において、前記機器がまた該機器に関連する安全保障レベルに基づいて前記選択されたプログラムコンテンツの記録を許可される、前記方法。請求項39記載の方法において、前記暗号化法要素の版が暗号化鍵の暗号化版を含む、前記方法。請求項38記載の方法が更に、選択されたプログラムコンテンツを通信ネットワークから受信することを含む、前記方法。請求項43記載の方法において、通信ネットワークがケーブルネットワークを含む、前記方法。1つの機器へプログラムコンテンツを転送するための装置であって:機器の安全保障の程度がそれに対して割り当てられた指標で示されているところの前記機器から、それへのプログラムコンテンツの転送要求を受け取るためのインタフェースと;前記要求に応答して、前記機器が前記プログラムコンテンツを受け取る正当性を判定するために前記機器を認証するための機構と;前記機器が認証された後、前記機器へ前記プログラムコンテンツと前記プログラムコンテンツに関連する一式の規則であって、一式の規則の少なくともいくつかは前記指標に関係し且つ前記プログラムコンテンツの使用に関して前記機器で適用可能である、前記一式の規則とを転送するようにプログラムされたプロセッサとを含む、前記装置。請求項45記載の装置において、前記機構が前記機器を該機器により与えられるデジタル証明書内のデータを確認して認証する前記装置。請求項45記載の装置において、プログラムコンテンツが映画コンテンツを含む、前記装置。転送される前に、指標で示される前記機器の安全保障の程度が、一式の規則の或る1つに適合するか否かを判定される、前記装置。請求項48記載の装置において、前記指標で示される前記機器の安全保障の程度が、或る規則に適合することが判定された後に、プログラムコンテンツが転送される、前記装置。請求項45記載の装置において、一式の規則の1つが、前記機器が前記プログラムコンテンツを他の機器へ転送できる回数に関する、前記装置。請求項45記載の装置において、一式の規則の1つが、前記機器が前記プログラムコンテンツを再生できる期間に関する、前記装置。請求項45記載の装置において、一式の規則の1つが、前記機器がプログラムコンテンツを別の機器へ転送する権利を、前記機器の安全保証の程度の関数として規定する、前記装置。機器の間でプログラムコンテンツを転送するためのシステムであって:第1保護層内の、プログラムコンテンツを第1処理プロセスに準拠する他の機器へ相互に転送するための機器と;第1保護層内の、第2処理プロセスに準拠する前記第2保護層内の第2機器に、選択されたプログラムコンテンツを転送する、前記第2処理プロセスを実行するようにプログラムされた第1機器を含み、此処で前記第2処理プロセスが:前記第2機器が前記選択されたプログラムコンテンツを受け取る正当性を有するか否かを判定し、前記第2機器にはその安全保障の程度を示す指標が割り当てられており;前記第2機器が認証された後、第2機器に選択されたプログラムコンテンツとその選択されたプログラムコンテンツに関連する一式の規則とを転送し、一式の規則の少なくともいくつかは前記指標に関連し且つ選択されたプログラムコンテンツの使用に関して前記第2機器で適用可能である、ことを含む、前記システム。請求項53記載のシステムにおいて、前記第1機器が選択されたプログラムコンテンツを広帯域通信ネットワークから受信するためのセットトップ端末を含む、前記システム。請求項54記載のシステムにおいて、前記広帯域通信ネットワークがケーブルネットワークを含む、前記システム。請求項55記載のシステムにおいて、前記規則一式がケーブルネットワークの運用者により制定される、前記システム。請求項53記載のシステムにおいて、前記規則一式が選択されたプログラムコンテンツの提供者により制定される、前記システム。請求項53記載のシステムにおいて、前記第2機器が前記第2機器から提供されるデジタル証明書内のデータを確認することで認証される、前記システム。請求項53記載のシステムにおいて、前記選択されたプログラムコンテンツが映画コンテンツを含む、前記システム。請求項53記載のシステムにおいて、前記選択されたプログラムコンテンツが機器に転送される前に、指標で示される前記第2機器の安全保障の程度が一式の規則の或る1つに適合するか否か判定される、前記システム。請求項60記載のシステムにおいて、前記指標で示される前記第2機器の安全保障の程度が、或る規則に適合したと判定された後に、前記プログラムコンテンツが転送される、前記システム。請求項53記載のシステムにおいて、前記一式の規則の1つが、前記第2機器が前記選択されたプログラムコンテンツを他の機器へ転送できる回数に関する、前記システム。請求項53記載のシステムにおいて、前記一式の規則の1つが、前記第2機器が前記選択されたプログラムコンテンツを再生できる期間に関する、前記システム。請求項53記載のシステムにおいて、前記一式の規則の1つが、前記第2機器が前記選択されたプログラムコンテンツを別の機器へ転送する権利を、前記他の機器の安全保障の程度の関数として規定する、前記システム。保護コンテンツを受信するための機器であって:前記機器の安全保障の程度を示す指標と、前記保護コンテンツの前記機器への転送要求を格納するための記憶装置と;前記装置に、該装置から前記保護コンテンツを受信するための機器の正当性を検証するためのデータを提供するようにプログラムされたプロセッサと;前記装置から保護コンテンツと、該保護コンテンツに関係する一式の規則を受け取るインタフェースであって、前記一式の規則の少なくともいくつかは前記指標に関連し且つ前記保護コンテンツの使用に関して前記機器で適用可能である、前記インタフェースとを含む、前記機器。請求項65記載の機器において、前記データがデジタル証明書に含まれる、前記機器。請求項65記載の機器において、前記保護コンテンツが映画コンテンツを含む、前記機器。請求項65記載の機器において、前記一式の規則の1つが、前記機器が前記選択されたプログラムコンテンツを他の機器へ転送できる回数に関する、前記機器。請求項65記載の機器において、前記一式の規則の1つが、前記機器が前記選択されたプログラムコンテンツを再生できる期間に関する、前記機器。請求項65記載の機器において、前記一式の規則の1つが、前記機器が前記選択されたプログラムコンテンツを別の機器へ転送する権利を、前記他の機器の安全保障の程度の関数として規定する、前記機器。暗号化され、機器内の記憶装置に格納されているプログラムコンテンツを有する前記機器に接続可能なモジュール装置であって:前記機器から前記プログラムコンテンツへのアクセスするための要求を受け取り、該要求は前記記憶装置内の暗号化されたプログラムコンテンツに関連して格納されたデータパッケージを含むインタフェースと;前記要求に応答して、前記機器が前記プログラムコンテンツへのアクセスを許されているかを、第1データパッケージ内の情報に基づいて判定するように構成されたプロセッサと;前記機器に、少なくとも前記記憶装置内の暗号化されたプログラムコンテンツを復号化するための暗号法要素に関するデータを提供し、これにより前記機器に前記プログラムコンテンツへのアクセスを提供するための機構とを含む前記装置。請求項71記載の装置において、前記情報が前記プログラムコンテンツへアクセスする権利に関する、前記装置。請求項72記載の装置において、前記権利が前記プログラムコンテンツを再生する権利を含む、前記装置。請求項72記載の装置において、前記権利が前記プログラムコンテンツを記録する権利を含む、前記装置。請求項72記載の装置において、前記暗号法要素が1つの暗号化鍵を含む、前記装置。請求項75記載の装置において、前記データが前記暗号化鍵の暗号化された版を表す、前記装置。請求項75記載の装置において、前記データパッケージが前記暗号化鍵の暗号化された版を表すデータを含む、前記装置。CableCARDを含む請求項75記載の装置。請求項78記載の装置において、前記CableCARDがプログラムコンテンツを含む複数のデータストリームを同時に取り扱えるように構成されている、前記装置。モジュール装置に接続可能な機器であって:前記モジュール装置に送られる、選択されたプログラムコンテンツを記録するための要求を生成するように構成された処理ユニットと;前記モジュール装置から前記要求に対する返答を受け取るインタフェースで、該返答は暗号法要素に関するデータ、該暗号法要素の少なくとも1つの版を含むデータパッケージ、および前記選択されたプログラムコンテンツに関連する、少なくとも1つの安全保障測度に基づいた前記機器が前記選択されたプログラムコンテンツの記録を許されているか否かの判定結果を含み、前記選択されたプログラムコンテンツが前記判定結果に基づき記録される、前記インタフェースと;前記記録されたプログラムコンテンツを前記データから導出された暗号化法要素で暗号化するための機構と;前記暗号化されたプログラムコンテンツを前記データパッケージと関連して前記記憶装置内に格納するための記憶装置とを含む前記機器。請求項80記載の機器において、前記暗号化法要素が1つの暗号化鍵を含む、前記機器。請求項80記載の機器において、前記データが暗号化鍵の暗号化された版を表す、前記機器。請求項80記載の機器において、前記機器に関連する安全保障レベルに基づいて前記選択されたプログラムコンテンツの記録を許可される、前記機器。請求項81記載の機器において、前記暗号化法要素の版が暗号化鍵の暗号化版を含む、前記機器。請求項80記載の機器において、選択されたプログラムコンテンツが通信ネットワークから受信される、前記機器。請求項85記載の機器において、選択されたプログラムコンテンツがケーブルネットワークを含む通信ネットワークから受信される、前記機器。請求項80記載の機器において、前記インタフェースが前記モジュール装置を前記機器に結合するように構成されている、前記機器。請求項87記載の機器において、前記インタフェースがCableCARDを含む前記モジュール装置を前記機器に結合するように構成されている、前記機器。本発明は従来技術の制約を、特に家庭ネットワーク内で保護コンテンツの不正使用および伝送を防止する多層権利管理を実施することにより解決する。たとえば本発明によれば、家庭ネットワークは多重層を含むと考慮されている。1つのそのような層は信頼されたドメインであり、先に述べた米国出願シリアル番号第10/894,884号、2004年7月20日出願に記載されている。たとえば、ケーブルTVシステムにおいて、信頼されたドメインはそこでプログラムコンテンツが従来のように保護されており、かつケーブル運用者の全管理下にある、たとえば中継局、配信ネットワークなどを含むシステム部分のみならず、加入者の敷地における使用者機器、たとえばSTTを含み、これはプログラムコンテンツを予め定められた方法で受信し安全に格納することが可能である。ケーブル運用者は、信頼されたドメイン内に保持されているコンテンツに関する、特定加入者の接続および使用を管理できる。たとえばケーブル運用者の信頼されたドメイン内に保持されているたとえば、STTのハードディスク上映画コンテンツは、インターネット上に視聴可能形式で配信することは出来ず、また複数視聴可能コピーの複製源とすることは出来ない。第2層は信頼されたドメインの外側として定義される。本発明によれば、第2層内の機器にはその機器の安全の程度を示す指標が割り当てられている。たとえば、第2層内の機器が保護コンテンツを第1層から転送するように要求すると、第1層機器はその第2層機器を認証して保護コンテンツを受信する適法性を判定する。第2層機器が認証された後、第1層機器は保護コンテンツのみならず、その保護コンテンツに関連する規則一式を転送する。その規則の少なくともいくつかは指標に関連し、保護コンテンツの使用に関して第2層機器に適用可能である。本発明は広く、保護コンテンツの不正使用を防止するための信頼されたドメインを含む多層権利管理の概念を包含する。本発明は構成内の特定機器の使用に限定されるものではない。たとえば、本発明はたとえばDVRSTTの機能を一緒に実現するCableCARDに接続されたホスト機器に等しく適用される。本発明の1つの実施例において、ホスト機器はプログラムコンテンツを有し、これは暗号化されてその中の記憶装置内に格納されている。このモジュールはそのプログラムコンテンツに接続する機器からの要求を受け取る。この要求は記憶装置内の暗号化されたプログラムコンテンツに関連して格納されているデータパッケージを含む。この要求に対応して、前記モジュールはその機器がそのプログラムコンテンツへのアクセスを許可されているかを第1データパッケージ内の情報たとえば、使用権情報に基づいて判定する。このモジュールは続いてホスト機器に対して、少なくとも記憶装置内の暗号化されたプログラムコンテンツを複合するための暗号要素たとえば暗号化鍵に関するデータを供給する。本発明の更なる目的、特徴および長所は本発明の図示された実施例を示す添付図を参照した以下の詳細な説明から明らかとなろう。本発明は保護プログラムコンテンツを1つの保護層から別の層へ、保護コンテンツの不正アクセスおよびコピーを防止して安全に転送するための技術を目指している。1つのそのような保護層は信頼されたドメインと呼ばれる。ケーブルTVシステムにおいて、信頼されたドメインはプログラムコンテンツが従来のように保護されたケーブル運用者の全管理下に有るシステム部、たとえば中継局、配信ネットワークなど、のみならず加入者の敷地内に有る、プログラムコンテンツを受信し格納することの可能な使用者機器、たとえばDVRSTT、を含み、以下に記述する条件付きアクセス機構を実施する。簡単のために条件付きアクセス機構を実施するDVRSTTをこれ以降保護DVRSTTSDVRSTTと呼ぶことにする。ケーブル運用者は信頼されたドメイン内に保持されたコンテンツに関して、特定加入者のアクセスおよび使用を管理することができる。たとえば、ケーブル運用者の信頼されたドメインたとえば、SDVRSTT内に保持された動画はインターネット上を視聴可能状態で配信することはできないし、また複数の視聴可能コピーとして複製するためのソースとなることもできない。本発明によれば、多層権利管理が設定されていて、コンテンツを1つの保護層たとえば信頼されたドメインから別の層たとえば信頼されたドメインの外側へ安全に転送することを容易にしている。図示された実施例において、信頼されたドメイン内の第1機器は保護コンテンツを信頼されたドメイン外の第2機器へ、その第2機器がその保護コンテンツに関して多層権利管理に準拠すると認知し機能する場合、転送することを許されている。言葉を変えると、信頼されたドメイン外の第2機器は保護コンテンツを信頼されたドメイン内の第1機器から受信することはできるが、その保護コンテンツの第2機器による使用ならびに配信は、多層権利管理で規定された権利および制約の下にあるということである。多層権利管理によれば、受信機器にはその機器の安全保障を示す安全保障レベルが割り当てられている。1つの実施例において、受信機器には安全保障レベル1低信頼レベル、2中信頼レベル、または3高信頼レベルが割り当てられている。受信機器の安全保障レベルは受信されたコンテンツに関してそれに認められた権利一式を決定する。例として、信頼されたドメイン外の携帯メディア機器PMDが、信頼されたドメイン内のSDVRSTTから映画のコピーを要求する場合を想定する。PMDは、たとえばデジタルビデオ装置、パーソナルコンピュータPC、携帯情報端末PDA、携帯電話などである。このPMDが安全保障レベル1機器の場合、映画コンテンツを受信することは認証されない。このPMDが安全保障レベル2機器の場合、映画コンテンツを受信することは認証されるが、その映画を再生し、その映画コンテンツを他の機器へ転送する権利は制限される。このPMDが安全保障レベル3機器の場合、映画コンテンツを受信することは認証され、加えてその映画を再生し、他の機器これらは順に多層権利管理で規定されるそれぞれの権利に縛られるに転送する、無制限の権利を有する。多層権利管理を実施するに際して、保護コンテンツ、たとえば映画のコンテンツを含むコンテンツファイルは、受信機器がその保護コンテンツを使用する権利を定義する権利ファイルと関連づけられ、これらの機器がその保護ファイルをまず最初に受信することを許す、最小限の安全保障レベルを指定する。1つの実施例において、信頼されたドメイン外のPMDが、信頼されたドメイン内のSTTに対して保護映画コンテンツの送信を要求する際、STTはPMDを認証しその安全保障レベルを識別する。このSTTは権利ファイルを調べて、そのPMDが最小安全保障レベル要求に合致しているか判定する。合致する場合、そのSTTはその映画コンテンツファイルをその権利ファイルと一緒にPMDへ転送する。次にPMDは受け取った権利ファイルを調べて、その映画コンテンツに関連して自身の権利を決定する。たとえば、そのPMDが安全保障レベル2機器の場合、これは安全保障レベル2機器用に記述された権利ファイル内の権利一式に準拠してその映画コンテンツを使用する。別の実施例では、PMDが認証されると直ちにSTTはコンテンツと権利ファイルとをPMDに転送し、その際その安全保障レベルやそのPMDが最小安全保障レベル容器夕に合致しているかを判定せずに行う。権利ファイル内に規定された安全保障レベルに関する権利、最初にその保護コンテンツを受け取り保持することが許可されているか否かを含む権利を自発的に順守することはPMDにゆだねられている。図1は本発明の原理を実施している広帯域通信システム、たとえばケーブルTVシステムの構成要素を図示する。中継局120は種々のプログラムチャンネルに属するプログラムコンテンツを受信し、ケーブルテレビサービスを、たとえばSDVRSTT158-1から158-M、此処でMは整数を表す、を含むSTTに提供する。注意しなければならないのは、同じケーブルテレビサービスはまた従来技術による、プログラムコンテンツを格納する機能を持たないSTTに対しても提供されているが、此処では関心は無い。用語送信チャンネルとプログラムチャンネルを混同しないように注意されたい。送信チャンネルはそこを通して、プログラムコンテンツそして/またはデータを含む輸送ストリームが転送される指定された周波数帯域を表す。プログラムチャンネルは視聴者によって選択された、プログラムコンテンツまたはサービスの発信源を表す。たとえば、ある使用者はCBSから提供されるプログラムコンテンツを視聴するためにプログラムチャンネル2を選択し、ESPNから提供されるプログラムコンテンツを視聴するためにプログラムチャンネル14を選択する。従来の方法では中継局120はプログラムコンテンツを、下流のサービス地域内または近隣のSDVRSTT158-1から158-M、此処でMは整数、に配信する。図1に示すように、SDVRSTT158はネットワーク150にサービス領域ノード161を通して接続されている。この事例において、ネットワーク150は良く知られているハイブリッド同軸光hybridfibercoaxial:HFCケーブルネットワークである。プログラムコンテンツは下流側に、中継局120からSDVRSTT158に帯域内in-band送信チャンネルを通して配信される。1つの実施例において、これらの送信チャンネルは6MHz帯域の同軸ケーブルであって、たとえば350-750MHz帯域のフォワード通過帯域forwardpassbandを搬送する。ハブ130内のQAM変調機バンク137は、プログラムコンテンツを含む輸送ストリームを選択された対域内チャンネルに、QAM手法に基づいて変調する。加えて、下流データdownstreamdata、たとえば制御メッセージ、緊急情報などは中継局120からSDVRSTT158に1つまたは複数の、フォワードデータチャンネルforwarddatachannels:FDCsを経由して通信され、これはしばしば帯域外チャンネルと呼ばれる。FDCは同軸ケーブルの70-130MHz帯域を占有する。ハブ130内のQPSKモデムプール138は下流データを選択されたFDCに、QPSK手法に基づいて変調する。上流データ、たとえばアプリケーションデータ、ファイル要求などはSDVRSTT158から中継局120へ1つまたは複数のリバースデータチャンネルreversedatachannel:RDCsを経由して送信され、これは同軸ケーブルのリバース通過帯域reversepassband、たとえば5-40MHz帯域を占有する。RDCを通過するデータはQPSK手法に従って変調される。ハブ130内のQPSKモデムプール138はデータを含むQPSK信号をRDCから受け取り、内在データを中継局120に送信する前に必要な復調を実施する。対話型テレビ国際標準作成団体DigitalAudioVisualCouncil:DAVICにより設定された、コンテンション方式接続機構contention-basedaccessmechanism、標準設定構成を用いて、各々のSTTは1つのRDCを別のSTTとネットワーク内で共有できる。この機構はSTT、たとえばSDVRSTT158-1、がQPSK変調機への専用接続を使用せずに上流メッセージを送信することを可能とする。この機構はまたRDCを共有するSTTに対して均等な接続を提供し、2つまたはそれ以上のSTTが上流メッセージを同時に送信する際に発生する、逆経路通信衝突を検出し復帰することを可能とする。またDAVICで規定されているように、通信目的に対して、各々のSTTおよびネットワーク制御器209はそれらに割り当てられたインターネットプロトコルIPアドレスで識別される。しかしながら、これらのIPアドレスはその広帯域通信システムが再構成される際にランダムに割り当てられる。その結果、STTまたはネットワーク制御器209のIPアドレスはシステム再構成後、変更される可能性がある。それにもかかわらず、各々のSTTおよびネットワーク制御器209にはまた、メディア接続制御mediaaccesscontrol:MACアドレスが、いかなるシステム再構成にも耐えられるように永久不変形式で割り当てられている。中継局120は、なかんずくプログラム番組処理ユニット231、アプリケーションサーバ220、ネットワーク制御器209および切り替えユニット230を含む。良く知られているやり方で、プログラム番組処理ユニット231はプログラムコンテンツを、異なるプログラムチャンネルに属する種々の発信源から受け取り、そのプログラムコンテンツを含む輸送ストリームを、たとえば良く知られているMPEG-2手法に従って生成する。ネットワーク制御器209の制御の下、輸送ストリームは切り替えユニット230で、ハブ130内のQAM変調機バンク137の中の適切な変調機に切り替えられ、此処で輸送ストリームは対応する帯域内送信チャンネルに変調され、ネットワーク150を介してSTTに配信される。アプリケーションサーバ220は1つまたは複数のサーバシステムを含み、これはソフトウェアアプリケーションおよびサービスをSTT使用者に提供する。たとえば、アプリケーションサーバ220は1つまたは複数のソフトウェアアプリケーションを含み、データベースサービス、ネットワーク管理サービス、対話形式プログラム案内サービス、課金サービスなどを提供する。サーバ220はメモリ220内に加入者登録、図2に360と示されている、を保持している。登録360は表形式で図示されており、此処で列363は、システム内の各STTに対して、そのSTTを識別する1つの識別子STIDを含む。この例において、各STTはMACアドレスで識別されている。たとえば、SDVRSTT158-1はMAC-1で表されるMACアドレスで識別される。列364は加入者IDたとえば、加入者氏名、ID番号などを含み、各々それぞれのSTTに関連するケーブルテレビサービスに対して加入者を識別する。たとえば、行368-1を参照すると、STT158-1はS-1で識別される加入者に関連づけられている。この例において、加入者S-1は、たとえばSDVRSTT158-1を購入またはリースし、運用者に対してその使用者であると登録した個人である。指定された加入者は複数のSTTに関連づけられる場合があることに注意されたい。行368-2を参照すると、たとえばSDVRSTT158-2がまた加入者S-1に関連づけられている。この例において、加入者S-1は彼または彼女の家で2番目のSTTを使用するためにSST158-2を購入またはリースした模様である。この事例において、アプリケーションサーバ220はまた、信頼されたドメインを実現する接続制御管理225を含み、信頼されたドメインには、先に述べた条件付き接続機構の対象となる、加入者の敷地に設置されたSDVRSTTが含まれる。この目的に対して、管理225はSDVRSTTそして/または加入者に属する、接続制御関連データを保持する。たとえば、管理225はメモリ222内にケーブルTVシステム内のSDVRSTTに関連する機器公開鍵のライブラリを保持する。SDVRSTTが加入者に提供される際に、公開鍵-秘密鍵対がそのSDVRSTTに対して割り当てられており、これはデータが公開鍵アルゴリズムに基づいて暗号化されることを見越してのことである。SDVRSTTの機器秘密鍵は保護メモリ内に格納されており、一方機器公開鍵は管理225に、SDVRSTTの初期化過程中に、RDCを通して送信される。これに代わって、SDVRSTTの登録時点で加入者がケーブル運用者にSDVRSTTのシリアル番号を提供し、ケーブル運用者が未だそれを持っていない場合、ケーブル運用者がそのSDVRSTTに関連する公開鍵を照会できるようにしている。機器公開鍵のライブラリが表形式で図3に273で図示されている。機器鍵表273は列276を含み、これはシステム内の各々のSDVRSTTのSTIDを含み、これはこの事例ではそのMACアドレスである。たとえば、SDVRSTT158-1は先に述べたようにアドレスMAC-1で識別される。列277は各々それぞれのSTTに割り当てられた機器公開鍵を登録している。この例において、各機器公開鍵は512ビット長である。行279-1を参照すると、たとえばSTT158-1にはDPUBKEY-1で示される公開鍵が割り当てられている。表273は図示のみを目的としたものであることを理解されたい。別の実施例では、異なる識別し、たとえばIPアドレスが、ネットワーク内の種々のSTTを識別するために表273の中で使用されている。SDVRSTTに関連する各々の加入者にはまた、公開鍵アルゴリズムに基づいて別のデータが暗号化されることを見越して、公開鍵-秘密鍵対が割り当てられている。管理225は図4中に283で表される加入者鍵表を保持している。加入者鍵表283は列286を含み、これはSDVRSTT、たとえばS-1,S-2,S-3等に関連する各々の加入者の識別子を列挙している。列287および列288はそれぞれ、各加入者に割り当てられた加入者公開鍵および加入者秘密鍵の対の片側である。行289-1を参照すると、たとえば加入者S-1にはSPUBKEY-1と表される加入者公開鍵と、SPRIKEY-1と表される加入者秘密鍵とが割り当てられている。このような鍵の対は加入者がサービス登録する際にケーブル運用者から各加入者に割り当てられる。加入者秘密鍵は秘密にされなければならないので、表283は管理225の保護メモリ227内に保持される。図5は本発明に基づく一般的SDVRSTTたとえば158-1の構成要素を図示し、これはなかんずくプロセッサ330、インタフェース250、メモリ210、記憶装置610、および暗号化モジュール165を含む。プロセッサ330はSDVRSTT158-1の動作を統合指揮する。インタフェース250はケーブルモデム258を含み、帯域内チャンネルおよびFDCからのプログラムコンテンツおよびデータを含む信号の復調と、RDCへのデータ信号の変調を行うことができる。インタフェース250はまた、プログラムコンテンツとデータを送信または受信するために必要な、その他の良く知られているフォーマッティングおよびリフォーマッティング機能も実行する。メモリ210は種々のソフトウェアアプリケーションおよびデータを格納しており、たとえばSDVRSTT158-1の基本機能を提供するオペレーティングシステム図示せず、SDVRSTT158-1を識別するSTID214、これはこの事例ではそのMACアドレスMAC-1である、を含む。STT158-1に割り当てられた先に述べた機器秘密鍵、すなわちDPRIKEY-1、は暗号化モジュール165内の保護メモリ212の中に、無警告で容易にまた確実に発見または改ざんされないような方式で記憶されている。一方STT158-1に割り当てられた機器公開鍵、すなわちDPUBKEY-1のコピーが先に述べたように中継局120の表273の中に登録されていて、メモリ210内に記憶されており、これは登録メッセージSTT登録メッセージ内に含まれている。メモリ210はまたケーブル運用者に関する公開鍵、OPUBKEY6222も格納しており、これは本発明に基づく多層権利管理を実現するためである。記憶装置610はプログラムコンテンツを格納するために使用され、この事例ではこれは取り外し可能ハードディスクドライブである。記憶装置610はその他の形式のメモリ、たとえばデジタルビデオディスクDVD、メモリスティック、ネットワーク型記憶装置等を含むことは理解されよう。プロセッサ330はまた、選択されたプログラムコンテンツを1つまたは複数のメディアファイルに録画しそれらを記憶装置610内に格納するようなDVR機能も実行する。この事例において、メディアファイルはコンテンツファイルおよびそれに関連する権利ファイルを含む。用語コンテンツファイルは、此処では区別可能な個数のプログラムコンテンツを保持する入れ物containerを言う。コンテンツファイルは、たとえば市民ケーンのような映画のデジタル録画版を含む。権利ファイルは拡張マークアップ言語ExtensibleMarkuplanguage:XMLファイル、バイナリーファイル、テキストファイル等であり、これはメディアファイルのヘッダーの一部を形成する。以下に詳しく説明するが、権利ファイルはプログラムコンテンツに関して使用する権利の仕様を含む。この権利仕様はケーブル運用者によって作成される場合もあり、その場合プログラム番組処理ユニット231によって関連するプログラムコンテンツを含むプログラムストリームの中に挿入される。これに代わって、その権利仕様がプログラムコンテンツの発信源、たとえばTV放映会社により作成される場合、権利仕様および関連するプログラムコンテンツは共にユニット231で受け取られるプログラムストリームの中に含まれる。いずれの場合も、プログラムコンテンツはSTT158-1に供給される際に関連する権利仕様を伴っている。ケーブル運用者は加入者にプログラムコンテンツを無制限に保存する権利を与えると、しばしば許容できない量の不正コピーが行われることに気付いている。従って、先に述べた条件付き接続機構は、そのような不正コピーが防止される信頼されたドメインを生成することにより実現されている。この機構によれば、暗号化モジュール165はコンテンツ鍵、たとえば3DES鍵を生成し、3DESアルゴリズムに基づいてプロセッサ330から提供されるメディアファイルを格納する前に暗号化する。この図示を目的とした実施例では、各それぞれのメディアファイルを暗号化するために異なる鍵が生成されている。しかしながら、同一記憶装置内の全てのメディアフィルを暗号化するために単一のコンテンツ鍵を利用できることも理解されよう。また単一のメディアフィルを暗号化するために複数のコンテンツ鍵を使用できることも理解されよう。加えて、モジュール165は各々生成されたコンテンツ鍵を暗号化して暗号化されたコンテンツ鍵版1V-1および暗号化されたコンテンツ鍵版2V-2を形成し、その暗号化されたコンテンツ鍵版図6でそれぞれ603および604と示されているを、対応する暗号化されたメディアフィル606と一緒にすなわち、コンテンツ鍵の暗号化使用、記憶装置610に格納する。図6に示されるように、メディアフィル606は暗号化されたプログラムコンテンツを含む暗号化されたコンテンツファイル602と、権利の仕様を含む暗号化された権利ファイル601を含み、これは暗号化されてはいるがファイル602内のそのようなプログラムコンテンツを別の層内、たとえば信頼されたドメイン外の機器で、本発明に基づき使用するためである。この図示を目的とした実施例において、暗号化されたコンテンツ鍵V-1は、コンテンツ鍵をSDVRSTT158-1に割り当てられた機器公開鍵すなわち、DPUBKEY-1で暗号化して形成される。一方、暗号化されたコンテンツ鍵V-2は、コンテンツ鍵を本事例ではSDVRSTT158-1に関連する、加入者S-1に割り当てられた加入者公開鍵すなわち、SPUBKEY-1で暗号化して形成される。一例として、加入者S-1がSDVRSTT158-1に指定のプログラムコンテンツ、たとえば映画市民ケーンがケーブルネットワーク150上で放映されるので、それを録画するように指令する場合を考える。従って、プロセッサ330はインタフェース250から受け取った指定された映画コンテンツと権利仕様とを含むメディアフィルを生成する。図7はメディアフィルを暗号化し格納するための処理ルーチンを示す流れ図である。この処理ルーチンによれば、暗号化モジュール165はステップ308において、指定されたメディアフィルに関連する先に述べたコンテンツ鍵を生成する。ステップ310において、モジュール165はそのコンテンツ鍵を用い、先に述べた3DESアルゴリズムに基づいてメディアフィルを暗号化する。ステップ315において、モジュール165は暗号化されたメディアフィル606を記憶装置610内に格納する。ステップ318において、暗号化モジュール165は機器公開鍵DPUBKEY-1をメモリ210からリトリーブする。ステップ320において、モジュール165はDPUBKEY-1を用い、コンテンツ鍵を第1公開鍵アルゴリズム、たとえばRSAアルゴリズムに基づいて暗号化する。先に述べたように、結果として生成される暗号化されたコンテンツ鍵は暗号化されたコンテンツ鍵V-1と呼ばれる。ステップ325において、モジュール165は603と表される暗号化されたコンテンツ鍵V-1を記憶装置610内に格納する。1つの実施例において、暗号化されたコンテンツ鍵V-1は暗号化されたメディアフィルに関連するメタデータの形式で格納される。604で表される暗号化されたコンテンツ鍵V-2を生成するために、モジュール165は記憶装置610から暗号化されたコンテンツ鍵V-1を、保護メモリ212から機器秘密鍵DPRIKEY-1を、そしてメモリ210から、この事例ではMAC-1であるSTID214をリトリーブする。モジュール165は、暗号化されたコンテンツ鍵V-1を復号化するためにDPRIKEY-1を用い、これによりコンテンツ鍵を明確に復元する。次にモジュール165はこのコンテンツ鍵を中継局120にRDCを介して安全を保証した方式で送信する。コンテンツ鍵をSTT158-1から中継局120へ安全を保証して送信することは、従来技術による暗号化技術、たとえば従来技術による公開鍵暗号化技術を用いて実施可能であり、此処でシステム秘密鍵は中継局120内に格納されており、対応するシステム公開鍵は公開され、SDVRSTT158-1を含む全てのSTT内に格納される。この事例において、SDVRSTT158-1内のモジュール165は、アプリケーションサーバ220内の接続制御管理225に、STID214を含むメッセージと、従来技術公開鍵暗号化技術に基づき、システム公開鍵を用いて暗号化されたコンテンツ鍵を送信する。図8は1つの実施例に基づき暗号化されたコンテンツ鍵V-2を生成するための処理ルーチンを示す流れ図である。ステップ427において、管理225は暗号化されたコンテンツ鍵とSTID214とをSDVRSTT158-1からのメッセージに含めて受け取り、ステップ430で、先に述べたシステム秘密鍵を用いて、暗号化されたコンテンツ鍵を復号化し、コンテンツ鍵を明確に復元する。ステップ431において、管理225は加入者登録360に問い合わせ、STID214、この事例ではMAC-1、を使用し関連する加入者ID、この事例ではS-1を決定する。ステップ432において、管理225は加入者鍵表283から加入者公開鍵、S-1に関連するSPUBKEY-1をリトリーブする。ステップ435において、管理225は加入者公開鍵SPUBKEY-1を用い、第2公開鍵アルゴリズムに基づいてコンテンツ鍵を暗号化し、これによって暗号化されたコンテンツ鍵V-2を生成する。ステップ440において、管理225は暗号化されたコンテンツ鍵V-2をSDVRSTT158-1にFDCを経由して送信する。暗号化されたコンテンツ鍵V-2を管理225から受け取った後、モジュール165は604と表示される暗号化されたコンテンツ鍵V-2を記憶装置610内に格納する。1つの実施例において、暗号化されたコンテンツ鍵V-2は暗号化されたメディアフィル606に関連するメタデータの形式で格納される。暗号化されたコンテンツファイル602を復号化して、映画市民ケーンコンテンツを視聴するために、モジュール165は関連する暗号化されたコンテンツ鍵V-1603を、メモリ212内のDPRIKEY-1を用いて復号化し、これによりコンテンツ鍵が明確に復元される。次にモジュール165は、暗号化されたコンテンツファイル602を復号化するために復元されたコンテンツ鍵を適用する。これに代わって、STT158-1に加入者公開鍵SPUBKEY-1が与えられる場合がある。暗号化されたコンテンツ鍵V-1を生成するために使用されたのと類似の処理で、モジュール165はSPUBKEY-1を用いて暗号化されたコンテンツ鍵V-2を生成する。信頼されたドメイン内での暗号化されたメディアフィル606の可搬性を示すために、加入者S-1がSDVRSTT158-2を彼または彼女の家で第2STTとして使用するために購入したと仮定すると、彼または彼女はそのメディアフィルをSDVRSTT158-2に転送し、SDVRSTT158-2に接続されたテレビ上で番組を観たいと望むに違いない。これに代わって、SDVRSTT158-1が故障するか何らかの理由で機能しなくなったと仮定すると、加入者S-1は格納されているプログラムコンテンツを観るためにSDVRSTT158-2を使用したいと望むはずである。加入者S-1にこれらの様な制限された目的用にプログラムコンテンツのコピーを許すために、条件付きアクセス機構は暗号化されたコンテンツ鍵V-2604に依存して、これはいずれかの個別の機器に関連するものではなく、第1機器たとえばSTT158-1上に格納されているプログラムコンテンツを信頼されたドメイン内の第2機器たとえばSTT158-2に移動させる。特に、第2機器がSTT158-2内で暗号化されたメディアファイルのコピーを復号化するためのコンテンツ鍵を獲得するために、後者はそれに関連する暗号化されたコンテンツ鍵V-1が必要である。STT158-2に関するコンテンツ鍵は、STT158-2に関連する加入者がまたS-1で有る場合、暗号化されたコンテンツ鍵V-2604から首尾良く導出可能であり、これは今回事例に相当し図2の加入者登録360で反映されている。登録360の行368-1および368-2を参照すると、この事例ではMAC-1アドレスを有するSTT-1とMAC-2アドレスを有するSTT-2とは両者共にS-1に関連している。図9内のSDVRSTT158-2が記憶装置910内に暗号化されたメディアフィル606暗号化されたコンテンツファイル602を含むのコピーと、SDVRSTT158-1からの暗号化されたコンテンツ鍵V-2604を有したとえば、物理的に記憶装置610をSDVRSTT158-1からSDVRSTT158-2へ移動する、すなわち記憶装置610は記憶装置910と同じ、STT158-2の暗号化モジュール965が暗号化されたコンテンツ鍵V-2604を記憶装置910から、またSTID914をメモリ990からリトリーブすると仮定する。モジュール965は暗号化されたコンテンツ鍵V-2604とSTID914を含むメッセージを中継局120へ送信する。中継局120において、暗号化されたコンテンツ鍵V-2604はSDVRSTT158-2に関連する暗号化されたコンテンツ鍵V-1を生成するために使用され、これはSTT158-2がコンテンツファイル602を含む暗号化されたメディアフィル606を復号するためのコンテンツ鍵を導出するために必要である。図10は本発明の1つの実施例に基づき、STT158-2に関連する暗号化されたコンテンツ鍵V-1を生成するための処理ルーチンを表す流れ図である。ステップ571において、中継局120内の管理225は新たなSTT158-2から暗号化されたコンテンツ鍵V-2604とSTID914とを受け取る。ステップ572において、管理225は加入者登録360に照会し、STID914すなわちMAC-2を用いて対応する加入者IDすなわちS-1を判定する。ステップ573において、管理225は加入者鍵表283から加入者S-1に関連する加入者秘密鍵SPRIKEY-1をリトリーブする。ステップ574において、管理225は加入者秘密鍵を用いて暗号化されたコンテンツ鍵V-2604を復号し、これによりコンテンツ鍵を明確に復元する。ステップ576において、管理225は機器鍵表273に照会し、STID914に関連する機器公開鍵DPUBKEY-2、この事例ではMAC-2である、をリトリーブする。ステップ577において、管理225はSTT158-2に関連する機器公開鍵DPUBKEY-2を用いてコンテンツ鍵を暗号化する。その結果のコンテンツ鍵の暗号化された版は新機器new-device:ND暗号化されたコンテンツ鍵バージョン1V-1と呼ばれる。ステップ579において、管理225はこのND暗号化されたコンテンツ鍵V-1をSTT158-2へFDCを通して送信する。SDVRSTT158-2内のモジュール965はND暗号化されたコンテンツ鍵V-1を中継局120から受け取る。モジュール965はNDコンテンツ鍵V-1を記憶装置910に格納する。後のいずれかの時点で、モジュール965は機器公開鍵DPUBKEY-2をメモリ912からリトリーブし、それを用いてND暗号化されたコンテンツ鍵V-1を復号化してコンテンツ鍵を復元する。モジュール965は次にそのコンテンツ鍵を用いて暗号化されたメディアフィル606、特にコンテンツファイル602を市民ケーン映画コンテンツを視聴するために復号化する。信頼されたドメイン外の機器たとえばPMDが保護コンテンツを信頼されたドメイン内たとえばSDVRSTTの他の機器から受け取るためには、両機器共に本発明に基づく多層権利構造に適合する用意が必要である。たとえば、多層権利構造の下で各々のそのようなPMDにはその機器の安全保障を表す安全保障レベルが割り当てられている。1つのPMDには安全保障レベル1低信頼レベルが割り当てられていて、この場合そのPMDは安全保障レベル1機器と呼ばれる。同様に、安全保障レベル2機器は中信頼レベルに関連し、安全保障レベル3機器は高信頼レベルに関連する。機器の安全保障レベルは指定された保護コンテンツに関して許容される権利一式を判定する。個別の機器に割り当てられる安全保障レベルは、たとえばケーブル運用者と機器の製造者との間の契約により決定され、ケーブル運用者がそれぞれの機器に許容する信頼のレベルを表す。従って、ケーブル運用者は、たとえばコンテンツを送受信する際に高度暗号技術を使用しコンテンツファイルを保護メモリ内に保持する機器に、安全保障レベル3を割り当てるはずである。一方、コンテンツの送受信の際に通常暗号手法を使用しない高精細度テレビには安全保障レベル1を割り当てるであろう。例として、使用者が映画市民ケーンのコピーを信頼されたドメイン内のSTT158-1から、信頼されたドメイン外のPMDに転送を望んでいると想定する。この例において、このPMDが安全保障レベル1機器の場合、映画コンテンツを受け取ることは認証されていない。このPMDが安全保障レベル2機器の場合、映画コンテンツを受け取ることは認証されているが、映画を再生する権利、およびその映画を他の機器へ転送する権利は制限されている。このPMDがレベル3機器の場合、映画コンテンツを受け取ることは認証されており、加えて映画を再生しそれを他の機器へ転送する無制限の権利を有する他の機器それぞれの安全保障レベルに関する権利を前提として。図11は1260で表されるPMDの構成要素を図示する。PMD1260は別のメディア機器、たとえばSDVRSTT158-1からデータを受け取ることが可能であり、多層権利構造に基づいて動作する。PMD1260はプロセッサ1262、インタフェース1264、メモリ1266および暗号化モジュール1280を含む。ケーブル運用者の公開鍵のコピー、OPUBKEY1271,およびPMD自身の公開鍵、PMD-PUBKEY1279はメモリ1266内に格納されている。この事例では、PMD-PUBKEY1279は登録メッセージPMD登録メッセージに含まれており、これはまたなかんずくPMD1260の安全保障レベルに関するデータも含む。PMD-PUBKEY1279の相手側の秘密鍵、すなわちPMD-PRIKEY1285、は保護メモリ1282内に格納されている。PMD1260はまた記憶装置1293を含み、これは、たとえばハードディスク駆動装置である。PMD1260の使用者がそこに映画市民ケーンのコピーをSDVRSTT158-1から転送するよう要求すると仮定する。これに対応してSDVRSTT158-1およびPMD1260は彼らのそれぞれの登録メッセージを用いて認証手順を実行する。STT158-1およびPMD1260は、それらのそれぞれの公開鍵のみならず認証対象であるデジタル署名を含む、STT登録メッセージとPMD登録メッセージを保持する。1つの機器STT158-1またはPMD1260がその登録メッセージを通信の中でもう一方の機器PMD1260またはSTT158-1へ送り、その通信を受け取った機器は、登録メッセージ内に含まれるそのデジタル署名を、ケーブル運用者の公開鍵を用いて復号化し、送信機器の識別子と権限とを認証する。受信機器はまた送信機器の公開鍵を登録メッセージから獲得する。通信には2つまたはそれ以上の登録メッセージが包含されていて、階層化メッセージ連鎖を形成している場合があり、此処で1つの登録メッセージは先行メッセージの信頼性を立証する。ライセンス階層の終端は最上位レベルライセンス権限たとえばケーブル運用者であり、これは他のライセンス権限からのメッセージを必要とすることなく信頼される。PMD1260はSDVRSTT158-1に映画市民レケーンの要求を提示し、SDVRSTT158-1内のプロセッサ330はPMD1260が自身で認証するよう要求する。これに応じて、PMD1260内のプロセッサ1262はPMD-PUBKEY1279を含むPMD登録メッセージをSDVRSTT158-3へ送信する。SDVRSTT158-1内のプロセッサ330はOPUBKEY6222をメモリ210からリトリーブし、PMD登録メッセージを復号化するためにそれを使用し、これによりライセンス階層を通してそのメッセージを認証する。SDVRSTT158-1は加えて、PMD-PUBKEY1279をPMD登録メッセージから獲得する。ライセンス階層を通してPMD1260の認証を行った後、SDVRSTT158-1内のプロセッサ330はそれ自身の公開鍵、DPUBKEY-1,を含むSTT登録メッセージをPMD1260へ送る。PMD1260内のプロセッサ1262はOPUBKEY1271をメモリ1266からリトリーブし、STT登録メッセージに含まれるデジタル署名を復号化するためにそれを使用し、これによりライセンス階層を通してそれを認証し、DPUBKEY-1を得る。別の実施例によれば、PMD登録メッセージはユニークな機器識別子PMD機器ID同様にPMD-PUBKEY1279およびPMD1260の安全保障レベルに関するデータを含む。この事例において、SDVRSTT158-1がPMD登録メッセージを受け取る際、SDVRSTT158-1はそのメッセージを中継局120内のネットワーク制御器209へ送信する。制御器209は格納されている表に照会し、これは有効機器識別子、および各々の関連する機器の公開鍵のリストを含む。制御器209は、登録メッセージに含まれるPMD機器IDとPMD-PUBKEY1279が有効であるか否か確認し、PMD1260の状態をSDVRSTT158-1へ報告する。PMD1260が認証済み機器と判定されると仮定すると、SDVRSTT158-1内のプロセッサ330はそれ自身の公開鍵、DPUBKEY-1を含むSTT登録メッセージを、PMD1260へ送信する。PMDの公開鍵に加えて、SDVRSTT158-1はPMD1260の安全保障レベルに関するデータをPMD登録メッセージから獲得する。この例ではSDVRSTT158-1が、PMDPMD登録メッセージによりPMD1260が安全保障レベル2機器であると判定すると仮定しよう。プロセッサ330が暗号化モジュール165に対して記憶装置610内のメディアフィル606を、先に述べた方法で復号させ、要求された映画コンテンツを含むコンテンツファイルと関連する権利ファイルとを明瞭な形で作り出させる。しかしながら、全てのコンテンツおよび権利ファイルがPMD1260へ送信される前に、これらのファイルは再びSDVRSTT158-1内で生成されたランダムセッションrandomsession鍵を用いて暗号化され、結果セッション暗号化コンテンツおよび権利ファイルとなる。暗号化モジュール165は加えてそのセッション鍵をPMD-PUBKEY1279を用いて暗号化する。SDVRSTT158-1は暗号化されたセッション鍵をPMD1260へ、セッション暗号化コンテンツおよび権利ファイルと共に送信する。PMD1260内のプロセッサ1262はPMD-PRIKEY1285を保護メモリ1282からリトリーブし、それを用いて受け取った暗号化されたセッション鍵を復号化する。暗号化モジュール1280は復元されたセッション鍵を用いて受け取ったセッション暗号化コンテンツおよび権利ファイルを復号化し、その結果コンテンツファイル1525および権利ファイル1550が明瞭な形で記憶装置1293内に作られる。従って、この事例ではコンテンツファイル1525は要求された映画市民ケーンのデジタル版を含む。権利ファイル1550は、コンテンツファイル1525に関して種々の機器に許される1つまたは複数の組の権利を規定する。図12は権利ファイル1550を図示し、これは複数のデータファイルを含む。ファイル5100-5120は関連するコンテンツは関連するコンテンツの記述的な情報を含む。たとえば、コンテンツ形式フィールド5100は関連するコンテンツの型式映画;タイトルフィールド5110は映画のタイトル市民ケーン;俳優フィールド5120はその映画の俳優の名前を含む、など。フィールド5190内のデータは1つのSTT、たとえばSDVRSTT158-1に許可された転送権利を規定する。この例ではフィールド5190は2,3を含み、1つのSTTは安全保障レベル2機器および安全保障レベル3機器へコンテンツを転送することを認証されていることを示している。フィールド5210-5430内のデータは、その関連するコンテンツ、すなわちコンテンツファイル1525に関連する3つの個別の権利の組を規定する:第1の権利の組は安全保障レベル1機器用であり、第2の権利の組は安全保障レベル2機器用であり、そして第3の権利の組は安全保障レベル3機器用である。この例において、安全保障レベル1機器は関連する権利は何も得られない;従って安全保障レベル1機器はそのコンテンツを他の機器へ転送することは出来ずフィールド5210、そのコンテンツを一瞬たりとも再生することが出来ないフィールド5220。安全保障レベル1機器がそのコンテンツを他の機器に転送することを許されている回数はゼロであるフィールド5230。フィールド5310-5330は安全保障レベル2機器に許容された権利一式を規定する。フィールド5310は安全保障レベル2機器が許されている機器は、関連するコンテンツを転送することを明記している。この事例では、フィールド5310は値2,3を含み、安全保障レベル2機器は関連するコンテンツを安全保障レベル2機器または安全保障レベル3機器に転送しても良いことを示している。再生時間フィールド5320は安全保障レベル2機器がその関連するコンテンツを再生する期間を示す。この期間はPMD1260がコンテンツファイル1525のコピーを受け取った時点から開始される。この事例では、安全保障レベル2機器はそのコンテンツを受け取ってから72時間の間再生出来る。フィールド5330によれば、安全保障レベル2機器はその関連するコンテンツを他の機器に3回転送することを許されている。フィールド5410-5430は安全保障レベル3機器に許容された権利一式を規定する。安全保障レベル3機器はそのコンテンツを安全保障レベル3機器に転送することは認証されているが、安全保障レベル1機器または安全保障レベル2機器へは認められていないフィールド5410。安全保障レベル3機器がそのコンテンツを再生出来る時間に関しての制限は無いフィールド5420。フィールド5430によれば、安全保障レベル3機器はコンテンツを他の機器に回数制限無しで転送できる。図13は、本発明の第1の実施例に基づき、信頼されたドメイン内の1つのSTT、たとえばSDVRSTT158-1が信頼されたドメイン外の他の機器、たとえばPMD1260へコンテンツを転送する処理ルーチンを表す流れ図である。PMD1260から映画市民ケーンの要求を受けた後ステップ1710、SDVRSTT158-1はPMD1260を認証してその機器の安全保障レベルを、先に説明した方法で判定するステップ1730。ステップ1735において、SDVRSTT158-1はその要求されたコンテンツを含むメディアフィル606にアクセスする。ステップ1740において、SDVRSTT158-1は要求されたコンテンツに関連する権利ファイルを調べ、ファイル601を先に述べた方法でそのコンテンツ鍵で復号化し、SDVRSTT158-1自身が、ファイル602内のその映画コンテンツをPMD1260へ転送することを認証されているか否かを判定する。図12のフィールド5190を参照すると、STTは映画コンテンツを全ての安全保障レベル2機器または安全保障レベル3機器へ転送することを認証されている。PMD1260はこの事例では安全保障レベル2機器なので、SDVRSTT158-1はそのコンテンツをPMD1260へ転送するはずである。従ってブロック1750を参照すると、処理ルーチンはステップ1760へ進み、此処でSDVRSTT158-1はコンテンツファイルと関連する権利ファイルのコピーをPMD1260へ提供するこれは暗号化されたコンテンツおよび権利ファイルを上記のセッション鍵と共に含むはずである。再びブロック1750を参照すると、PMD1260が十分高い権利レベルを持たない場合、そのコンテンツは転送できない。そのような場合、PMD1260は所望のコンテンツを受け取ることを認証されていないことを通知し、処理ルーチンは終了する。図14は、本発明の第2の実施例に基づき、信頼されたドメイン内の1つのSTT、たとえばSDVRSTT158-1が信頼されたドメイン外の他の機器、たとえばPMD1260へコンテンツを転送する処理ルーチンを表す流れ図である。コンテンツの要求を機器からステップ1810で受け取った後、SDVRSTT158-1はステップ1830で要求元機器を認証する。ステップ1835において、SDVRSTT158-1は、要求されたコンテンツを含むメディアフィル606にアクセスする。ステップ1860において、STT158-1は要求されたコンテンツを含むコンテンツファイルと関連する権利ファイルのコピーをPMD1260へ提供し、その結果コンテンツファイル1525と権利ファイル1550とが記憶装置1293内に生成される。この第2実施例において、権利ファイル1550内の適切な権利一式に関連して作用する全ての責任は、要求元機器、すなわちPMD1260に任されている。たとえば、たとえ安全保障レベル1機器たとえば、HDTVテレビが映画市民ケーンをSDVRSTT158-1から要求したとしても、この第2実施例ではSDVRSTT158-1はコンテンツと権利ファイルのコピーとを、そのHDTVテレビが最小安全保障レベル要求この事例では、これは2であるを満たしているか否か判定することなく自動的に提供する。このHDTVテレビは続いてその権利ファイル1550のコピーを調べ、その映画コンテンツを保持、再生または転送する権利を持たないことを判定し、それに従って行動する。コンテンツファイル1525に関するその動作が、権利ファイル1550内に規定された権利に適合するように、PMD1260はコンテンツ活動データベース1274をメモリ1266内に保持する。ファイル1525および1550を受け取った後、PMD1260はコンテンツ活動データベース1274内に、図15に示すようなコンテンツ活動記録を、権利ファイル1550内のデータに基づき生成する。図15を参照すると、記録1720はフィールド1730-1732を含み、これはコンテンツの形式、映画のタイトル、映画の俳優名をそれぞれ含む。PMD1260はこの事例では安全保障レベル2機器であるので、プロセッサ1262は権利ファイル1550からコンテンツ活動記録1720に、安全保障レベル2機器に関する情報を抽出する。従って、たとえばコンテンツ活動記録1720のフィールド1756は、PMD1260がコンテンツファイル1525を安全保障レベル2機器または安全保障レベル3機器へ転送できることを示す。フィールド1758はPMD1260がコンテンツファイル1525を72時間に渡って再生できることを示している。フィールド1759はPMD1260がコンテンツファイル1525を他の機器へ3度まで転送できることを示している。加えてプロセッサ1262はフィールド1772の中に、そのコンテンツを受け取った、すなわちコンテンツファイル1525が記憶装置1293に受け取られた日時を記録する。プロセッサ1262は加えて、フィールド1773内で指定される、終了時限値を表す終了時限を、フィールド1758内の再生時間をフィールド1772内の受け取り日時に加算して計算する。結果はフィールド1773に記録され、後ほどコンテンツファイル1525が権利ファイル1550で許容された時限を超えて再生されないように保証する。プロセッサ1262はまた転送回数値をフィールド1776にゼロを入力することにより初期化する;この値は後ほどPMD1260がコンテンツファイル1525を他の機器へ転送する毎に1増加更新される。従って、PMD1260はコンテンツファイル1525に関するその活動を統制するためにコンテンツ活動記録1720を使用する。同時に、PMD1260がコンテンツファイル1525に関する動作を実施するたびに、プロセッサ1262は記録1720を更新する。例として、コンテンツファイル1525を受け取った後に、使用者がPMD1260で映画市民ケーンを再生しようとすると仮定する。図16を参照すると、所望のコンテンツの再生要求を受け取った後ステップ1910、プロセッサ1262はコンテンツ活動データベース1274にアクセスし、活動記録1720の内容を調べるステップ1920。ステップ1930において、プロセッサ1262はフィールド1773内の終了時限値を調べる。ブロック1940を参照すると、現在時刻が終了時限値以降の場合、プロセッサ1262はステップ1975へ進み、使用者にPMD1260が、関連する時限が切れているために要求されたコンテンツの再生を認証されていないことを通知する。現在時刻が終了時限値前の場合、プロセッサ1262はコンテンツファイル1525にアクセスし、ステップ1950において、映画市民ケーンを再生させる。使用者が映画市民ケーンのコピーを別の機器、たとえばパーソナルコンピュータPCに転送したいと望むと仮定する。この場合、PCを認証してその安全保障レベルを判定した後、PMD1260内のプロセッサ1262はコンテンツ活動記録1720にアクセスして、フィールド1756内の転送権利を調べ、そのPCが映画コンテンツの受け取りを認証されていることを検証する。次にプロセッサ1262はフィールド1776内の転送回数値をフィールド1759内に規定されている転送制限数と比較する。転送回数が転送制限数未満の場合、PMD1260はコンテンツファイル1525を権利ファイル1550と共にPCに転送し、フィールド1776内の転送回数を1増加させる。PCは続いて、権利ファイル1550内に規定されている通り、コンテンツファイル1525の使用権利を確認する。さもなければ、転送回数値が転送制限数に達しているすなわち、等しい場合、プロセッサ1262は使用者にPMD1260がそのコンテンツの転送を認証されていないことを通知する。本発明のCableCARDおよびホストSTTDVR実施例本発明は広く多層権利構造の概念を包含し、先に十分に説明した保護コンテンツの不正使用を防止するための信頼されたドメインを含む。本発明は、確かにこの構成の中で使用された特定機器たとえば、SDVRSTT、PMD等に限定されるものではない。実際、CableCARDに接続されたホストSTTDVRを、本発明の構造の中で先に説明したSDVRSTTたとえば158-1で置き換え、同様の機能を実行させることは記述されていない。この実施例において、上記のSDVRSTTの機能は、単純にホストSTTDVR機器およびCableCARDの間で分割される。図17はそのような1つの代用ホストSTTDVRであり、1703で表され、1705で表された多元ストリームCableCARDmulti-streamCableCARD:M-CARDに接続されている。M-CARD1705は多元ストリーム、たとえばネットワーク150からのMPEG-2プログラムストリームを処理することが可能で、ホストSTTDVR機器1703と動作するように構成されており、この機器はこの事例ではインタフェース1707内に多重チューナを含み、これは複数のプログラムストリームをそれぞれ搬送する異なる搬送派周波数に同時に同期する。この図示を目的とした実施例では、一般的にホストDVR機器1703上記のSDVRSTTの全ての機能を仮定しているが、但したとえばコンテンツ暗号化鍵たとえば、先に述べた3DES鍵の生成、下記のコンテンツ管理情報contentmanagementinformationCMIの処理、機器1703内に先に格納されているコンテンツへのアクセス制御たとえば、再生、コピー、保管などは除き、それらの機能は此処ではM-CARD1705へ移動されている。格納されているコンテンツファイルへのアクセスはM-CARD1705で制御されるが、ホストSTTDVR機器1703はコンテンツファイルの暗号化と復号化の責任を有する。M-CARD1705はまた、従来技術によるCableCARDで要求される従来機能をも実行する。SDVRSTTの機能を機器1703とM-CARD1705に分割するため、上記SDVRSTT機能を実現するための、機器1703とM-CARD1705との間の通信が此処での関心事となる。M-CARD1705は機器1703のインタフェース1707と、PCMCIA規格に基づいて接続するためのインタフェース1701を含む。先に説明したように、M-CARD1705はコンテンツ鍵生成と機器1703によるネットワーク150から保護コンテンツへのアクセス制御に責任を持つ。次に機器1703がそのようなアクセスを要求し、そのようなM-CARD1705で生成されたコンテンツ鍵を獲得するための通信について説明する。SDVRSTTと同様、機器1703はコンテンツファイルを記憶装置1711内に格納する前に、コンテンツファイルをコンテンツ鍵を用いて暗号化する必要がある。しかしながら、PMDたとえば1260の様に、機器1703はネットワーク150からコンテンツファイルを記録出来るようにする前にM-CARD1705で認証される必要があり、またM-CARD1705から記録特権を要求する必要がある。使用者により機器1703から、または機器1703によって自動的に開始される記録事象に応答して、処理ユニット1713は記録要求をM-CARD1705へ発する。この記録要求はなかんずく、記録を所望するプログラムを識別するインデックスを含む。図18はM-CARD1705内のプロセッサ1730で、受け取った要求に対して記録返答を生成するために実行される処理過程を図示する。図18に示されるように、ステップ1803において、プロセッサ1730はホストSTTDVR機器1703が要求されているプログラムコンテンツを記録することを許されているか否かの判定を、たとえばそのプログラムコンテンツに関連する機器1703の安全保障レベルに基づいて行う。ステップ1805において、プロセッサ1730はそのような判定結果を返答の中でRecord_Enableフィールドの中に含める。プロセッサ1703はステップ1808において、要求対象であるプログラムコンテンツを含む全てのファイルを暗号化するために使用されるコンテンツ暗号符たとえば、3DES,AES128暗号符などを識別する。ステップ1811において、プロセッサ1703はコンテンツ鍵の生成を行わせる。プロセッサ1730はステップ1814において、返答の中に含まれるべき2つの保護パッケージを生成し、その内の1つは永続的保護パッケージpersistentsecuritypackagePSPと呼ばれ、記憶装置1711内の全ての暗号化されたプログラムコンテンツファイルに関連して格納されるものである。もう一方の保護パッケージは一時保護パッケージtemporarysecuritypackageTSPと呼ばれ、記憶装置1711内に格納する前にコンテンツファイルを暗号化するために機器1703で即時消費されるものである。両パッケージとも機器1703でコンテンツファイルを適切に管理するためのCMIを含む。図19はM-CARDCMI1903およびM-CARD署名1905を含むPSP1900を図示する。CMI1903は、なかんずくM-CARDIDを含むフィールド1908、これはユニークで信頼されたライセンス権限と共に登録されている;ホストIDすなわちこの事例では機器1703のIDを含むフィールド1911、これもまたユニークで信頼されたライセンス権限と共に登録されている;使用されるコンテンツ暗号符たとえば、3DES,AES-128等の識別子を含むフィールド1913;およびM-CARD1705で生成され、メモリ1731内のM-CARD公開鍵1715を用いて暗号化されたコンテンツ鍵を含むフィールド1915を含む。この時点で注意すべきは、フィールド1915内の暗号化されたコンテンツ鍵はSDVRSTT158-1のコンテンツ鍵V-1603に類似していることである。CMI1903はまたコンテンツ安全保障レベルの識別子を含むフィールド1918;および対象としているコンテンツファイルの使用権たとえば、再生、コピー、記録、保管する権利等を含むフィールド1921、も含む。M-CARD署名1905は、従来型暗号化アルゴリズムに基づき、保護メモリ1740内のM-CARD秘密署名鍵1737を用いて、CMI1903に署名することにより生成される。図20はホストCMI2003およびM-CARD署名2005を含む、TSP2000を図示する。CMI2003はなかんずく、ホストIDすなわち、この事例では機器1703のIDを含むフィールド2008;使用されるコンテンツ暗号符たとえば,3DES,AES-129等の識別子を含むフィールド2011;およびフィールド1915の所で先に述べたコンテンツ鍵であるが、此処ではメモリ1731内のホスト公開鍵1733を用いて暗号化されたコンテンツ鍵を含む、フィールド2013、とを含む。M-CARD署名2005は、従来型暗号化アルゴリズムに基づき、保護メモリ1740内のM-CARD秘密署名鍵1737を用いて、CMI2003に署名することにより生成される。記録返答を受け取った後、機器1703内の処理ユニット1713は、対象としているプログラムコンテンツを記録することが許されているか否かを、返答内のRecord_Enableフィールド内の値に基づいて判定する。許されていない場合、ユニット1713は使用者に記録要求の拒否を通知するメッセージを生成する。それ以外の場合、ユニット1713はそれぞれのPSP1900およびTSP2000内のM-CARD署名1905および2005を、メモリ1709内に記憶されているM-CARD公開署名鍵1723を用いて確認する。加えて、ユニット1713はTSP2000内のフィールド2008のホストIDが、メモリ1709に格納されている機器1703のIDと一致するか、確認する。PSP1900とTSP2000とが確認されると、ユニット1713はプログラムコンテンツの記録を開始し、暗号化モジュール1720に対してフィールド2013内の暗号化されたコンテンツ鍵を、保護メモリ1722内のホスト秘密鍵1724、これはホスト公開鍵1733の相手側、を用いて復号化させる。ユニット1713は暗号化モジュール1720に対して、記録されたコンテンツを、記録されたコンテンツ鍵を用いて暗号化させる。結果として生成された暗号化されたコンテンツファイルおよび、それに関連する受け取られたPSP1900が、次に記憶装置1711内に格納される。記憶装置1711内に格納されたコンテンツファイルの再生事象に応答して、たとえば使用者が機器1703で開始する、ユニット1713はM-CARD1705に再生要求を発し、これはその格納されたコンテンツファイルに関連するPSP1900を含む。図21はM-CARD1705内で再生返答を作成するためにプロセッサ1730で実行される処理過程を図示する。プロセッサ1730はステップ2103において、PSP1900内のM-CARD署名1905を、鍵1737の相手側であるM-CARD公開署名鍵を用いて確認する。プロセッサ1730はステップ2106において、PSP1900内のM-CARDID1908が、メモリ1731内に記憶されているM-CARD1705のIDと一致するか確認する。プロセッサ1730はステップ2109において、要求された再生が許されるか否かを、たとえば関連するコンテンツファイルに関する全ての再生権利を規定している、PSP900内の使用権フィールド1921をチェックすることにより、判定する。ステップ2112において、プロセッサ1730はそのような判定結果を返答内のPlayback_Enableフィールド内に含める。プロセッサ1730はステップ2115において、暗号化モジュール1745に対して、フィールド1915内の暗号化されたコンテンツ鍵を、保護メモリ1740内の、M-CARD公開鍵1715の相手側であるM-CARD秘密鍵1747を用いて復号化させる。プロセッサ1730はステップ2118において、復元されたコンテンツ鍵を、ホスト公開鍵1733を用いて暗号化する。ステップ2121において、PSP1900内の選択された情報に基づきプロセッサ1730は、返答の中に含まれるべきTSP、たとえばTSP2000を、フィールド2013内の新たに暗号化されたコンテンツ鍵で生成する。ステップ2123において、プロセッサ1730はPSP1900を返答の中に含めて機器1703へ戻す。TSPを生成した後、プロセッサ1730はPSP1900を機器1703へ戻す前に修正することに注意されたい。しかしながら、修正されたPSPはCMI1903が修正されているため、再署名される必要がある。再生返答を受け取った後、機器1703内の処理ユニット1713は対象となるプログラムコンテンツの再生が許されているか否かを、返答内のPlayback_Enableフィールドの値に基づいて判定する。許されていない場合、ユニット1713は再生要求が拒否されたことを使用者に通知するメッセージを作成する。そうでない場合、ユニット1713はそれぞれPSP1900およびTSP2000内のM-CARD署名1905および2005を、M-CARD公開署名鍵1723を用いて確認する。加えて、ユニット1713はTSP2000のフィールド2008内のホストIDが機器1703のIDと一致するか確認する。PSP1900とTSP2000が堪忍されると、ユニット1713は再生されるべき暗号化されたコンテンツファイルに関連して現在格納されているPSPを受け取ったPSPで置き換える。ユニット1713は暗号化モジュール1720に対して、ホスト公開鍵1733の相手側である、保護メモリ1722内のホスト秘密鍵1724を用いて、受け取ったTSPのフィールド2013内の暗号化されたコンテンツ鍵を復号化させる。ユニット1713は暗号化モジュール1720に対して、復元されたコンテンツ鍵を用いて、記憶装置1711内の対象としている暗号化されたコンテンツファイルを復号化させ、コンテンツファイルの明瞭な再生を開始する。以上は本発明の原理を単に図示するのみである。従って、当業者は本発明の原理を実施する多数のその他の構造を考案可能であり、従ってそれらは本発明の精神ならびに範囲に含まれることは理解されよう。たとえば、本発明に基づく多層権利構造内の機器たとえば、信頼されたドメイン機器そして/またはPMDは相互にネットワーク、たとえば家庭ネットワークにより接続可能であり、その技術は家庭内の異なる部屋の複数のSTTを接続するために採用されている。加えて、本発明に基づく多層権利構造内の機器はその中にプログラムコンテンツを格納するための内部記憶装置を持たなくても構わない。しかしながら、そのような機器は補助記憶装置に接続されていて、それに対してこれらの機器が転送またはストリーミングによってコンテンツの配信を行うものである。更に、図1に示される実施例において、ネットワーク搬送は図示的にHFCケーブルネットワーク150を用いて実現されている。しかしながら、その他のネットワーク、たとえばデジタル加入者ラインDSLネットワーク、イーサネットネットワークおよび衛星ネットワークも代わりに使用できる。最後に図1のシステム構成要素が此処では開示されていて、種々の機能が個別の機能ブロックで実行される形式で示されている。しかしながら、1つまたはいくつかのこれらの機能は、いずれか1つまたはいくつかのこれらのブロックまたは実際、これら機能の全てをたとえば1つまたはいくつかの適切にプログラムされたプロセッサで実現する1つの構成の中で等しく実施できる。"