JP4851464B2 - ライセンス管理システム - Google Patents

Description

本発明は、暗号化されたコンテンツの利用を、コンテンツ毎に定められたライセンスの利用条件により制限するコンテンツ配信システムにおいて、ライセンスの入力履歴を管理するサーバ、受信機およびＩＣカードを備えるライセンス管理システムに関するものである。

放送や通信を利用して、コンテンツをリアルタイムやオンデマンドで配信するコンテンツ配信サービスが広く行われている。特に日本においては、サーバ型放送と呼ばれるコンテンツ配信サービスの実施が計画されている。

サーバ型放送では、サーバは、受信機に対して暗号化コンテンツと暗号化ライセンスを送信し、受信機は、サーバから暗号化コンテンツと暗号化ライセンスを受信して蓄積する。受信機は、暗号化コンテンツを再生する前に、暗号化ライセンスを受信機に挿入されたセキュアモジュールであるＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）カードへ送信し、ＩＣカードは暗号化ライセンスを受信して復号し、復号したライセンスを管理する。この、ＩＣカードが暗号化ライセンスを復号して、復号したライセンスを管理する処理をライセンスの入力と呼ぶ。受信機は、暗号化コンテンツ再生時に、ＩＣカードに対して、コンテンツの利用可否を問い合わせる。受信機からコンテンツの利用可否の問い合わせを受けたＩＣカードは、ライセンスに含まれる利用条件に基づいてコンテンツの利用可否を判定し、利用可である場合、ライセンスに含まれるコンテンツ鍵を受信機へ送信する。受信機は、ＩＣカードから受信したコンテンツ鍵を用いて暗号化コンテンツを復号して再生する。

ライセンスに含まれる利用条件には、例えば、加入者の契約に基づく特定のコンテンツの視聴可能回数などが含まれる。加入者はそのようなライセンスを使用してコンテンツを視聴する。ＩＣカードは、加入者がコンテンツを視聴する度に、そのコンテンツの視聴可能回数を１ずつ減らし、０になると加入者がそのコンテンツを視聴できなくなるようにライセンスを管理する。このようなライセンスを不正にＩＣカードに入力することにより、視聴可能回数をいつでも未使用の状態に戻せるならば、結局、ライセンスでコンテンツの視聴を制限できないことになる。このように、ライセンスを不正に重複入力できると、加入者のコンテンツの視聴を契約に基づいて管理できない等の不都合が生じる。

このようなライセンスの重複入力を防ぐため、ＩＣカードはライセンス入力履歴を記録する。ライセンス入力履歴は既に入力処理されたライセンスの履歴である。ＩＣカードは、ライセンス入力履歴に記録されたライセンスの入力処理を拒否することで、ライセンスの重複入力を防ぐ。

しかし、一般にＩＣカードの記憶容量は小さく、多くのライセンス入力履歴を管理することはできない。そこで、大きな記憶容量を持つ受信機でライセンス入力履歴を管理する必要がある。ただし、受信機でライセンス入力履歴が改ざんされる可能性があるため、ライセンス入力履歴の確認と改ざん検証はセキュアモジュールであるＩＣカードが行う必要がある。

そこで、ライセンス入力履歴を複数の履歴ファイルに分割して構成し、ＩＣカードが、ライセンス入力処理の際に、受信機から複数の履歴ファイルの中から１つの履歴ファイルを受信して、入力履歴の確認と改ざん検証を行う。ただし、ライセンス入力履歴を複数の履歴ファイルで構成した場合、ＩＣカードはそれぞれの履歴ファイルに対して改ざん検証値を記憶する必要がある。しかし、ＩＣカードの記憶容量は小さいため、記憶可能な改ざん検証値には限度があり、ＩＣカードが記憶可能な改ざん検証値の数が履歴ファイルの数を制限する。履歴ファイルの数が制限されると、記録可能なライセンスの入力履歴の数も制限され、これは好ましくない。

ここで、改ざん検証を行う必要がある複数のデータを管理する技術として、各データの改ざん検証値を木構造で管理する技術が従来あった（例えば、特許文献１参照）。この木では親が子の改ざん検証値を管理することで、データの数に関わらず、ＩＣカードが記憶する改ざん検証値を木の根の改ざん検証値のみとすることができる。

改ざん検証値を木構造で管理する技術を用いると、複数の履歴ファイルそれぞれに対して改ざん検証値を管理しても、ＩＣカードが記憶する改ざん検証値を木の根の改ざん検証値のみとすることができ、履歴ファイルの数の制限が無くなる。

受信機が、複数の履歴ファイルと履歴ファイルに対応する改ざん検証値を持つ木を記憶する場合、受信機は、コンテンツ再生前に、複数の履歴ファイルの内、コンテンツに対応する暗号化ライセンスの入力履歴が記録された履歴ファイルを選択し、暗号化ライセンス、履歴ファイル、履歴ファイルの改ざん検証値をＩＣカードへ送信する。ＩＣカードは、受信機から暗号化ライセンスと履歴ファイル、履歴ファイルの改ざん検証値を受信し、履歴ファイルの改ざん検証を行った後、入力履歴を確認して暗号化ライセンスの入力処理を行ってよいか判断する。
特開２００５−３２１３０号公報

しかしながら、従来の技術では、複数の独立したデータを管理することのみを想定しており、複数のファイルに分割された履歴ファイルのように、１つのデータを分割して得られた複数のデータを管理する方法に関しては想定しておらず、次のような課題があった。

受信機が１度利用し、利用条件を消費した暗号化ライセンスを重複入力するため、該暗号化ライセンスの入力履歴が記録された履歴ファイルと異なる履歴ファイルを該暗号化ライセンスと共にＩＣカードへ送信すると、ＩＣカードは受信機から受信した履歴ファイルに該暗号化ライセンスの入力履歴が記録されていないため、暗号化ライセンスの入力を許可し、入力処理を実行してしまう。すなわち、ＩＣカードは、受信機から受信した履歴ファイルが、入力対象のライセンスに対応した正しい履歴ファイルであることを確認する手段がなく、ＩＣカードに誤った履歴ファイルを参照させることによって、ライセンスが不正に重複入力されるという課題がある。

本発明は、前記従来の課題を解決するもので、ＩＣカードが受信機から受信した履歴ファイルが正しい履歴ファイルであることを確認し、ライセンスの重複入力を防止するライセンス管理システムを提供することを目的とする。

前記従来の課題を解決するために、本発明のサーバは、コンテンツの利用条件を含むライセンスを送信するサーバであって、受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備える。

このように、本発明のサーバは、履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーと関連付けたライセンスを発行する。これにより、受信側でのライセンスの入力の履歴がいずれの履歴ファイルに記録されるかを管理することができる。したがって、サーバが発行する各ライセンスが書き込まれるべき履歴ファイルを特定することができ、ライセンスを入力する際に正しい履歴ファイルの参照が可能となるため、ライセンスの重複入力を防止することが可能になる。

好ましくは、さらに、前記分類キー生成手段が生成した前記分類キーの履歴を含む分類キー生成履歴情報を記憶しているサーバ記憶手段を備え、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤを選択し、選択した履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーを前記分類キー生成履歴情報に記録する。

このように、サーバは分類キーの生成履歴を記憶する。これにより、分類キーの生成の際に、予め定められた履歴ファイルの管理に関する規則に従って、ライセンスの入力履歴が書き込まれるべき履歴ファイルを選択し、選択した履歴ファイルを示す履歴ファイルＩＤを含む分類キーを生成することができる。したがって、サーバによって、履歴ファイルを管理することが可能となる。

ここで、予め定められた履歴ファイルの管理に関する規則は、前記各履歴ファイルのサイズに偏りがないようにすることを内容としてもよく、前記履歴ファイルの数が少なくなるようにすることを内容としてもよく、また、期限の過ぎた前記履歴保持期限に関連付けられた情報を更新することを内容としてもよい。

このような規則に従って選択された履歴ファイルＩＤを含む分類キーを生成することにより、サーバが、受信機に応じた履歴ファイルの管理をすることが可能となる。

さらに好ましくは、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を選択し、選択した前記書き込み行を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する。

また、前記分類キー生成手段は、生成した分類キーと、前記ライセンスＩＤと、さらに、前記ライセンス発行手段が当該分類キーと関連付けた前記ライセンスの入力の履歴を保持すべき期限を示す履歴保持期限とを関連付けて前記分類キー生成履歴情報に記録する。

このように、サーバは、ライセンスの入力履歴を書き込むべき履歴ファイルだけでなく、その履歴ファイルにおいて履歴が書き込まれるべき書き込み行をも含む分類キーを生成する。これにより、受信側での履歴ファイルのどこに書き込むかを決定するための処理を省くことが可能になるとともに、サーバ側でより詳細な履歴ファイルの管理が可能となる。また、履歴保持期限が記録されている場合には、使用期限が過ぎたライセンスの入力履歴のような、不要となった履歴情報に、新たなライセンスの入力履歴を上書きして記録させることができる。したがって、サーバにより詳細な履歴ファイルの管理が可能になるとともに、履歴ファイルに含まれる不要となった履歴の削除など受信機側で必要となる処理を省くことが可能となる。

さらに好ましくは、前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、生成する分類キーの順序を示す管理番号を生成し、生成した前記管理番号を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する。

このように、サーバは、さらに、管理番号を含む分類キーを生成する。これにより、受信側では、受信した分類キーに含まれる管理番号と、履歴ファイルに含まれる履歴の管理番号とを比較し、管理番号によって、より新しい分類キーに関連付けられたライセンスであることが示されている場合にのみ、そのライセンスを取り込むという処理を行うことができる。したがって、入力履歴の管理をより厳格にすることが可能となり、ライセンスの重複入力を防止することが可能になる。

さらに好ましくは、前記分類キー生成手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に前記履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを生成し、生成した前記分類キーを前記生成履歴情報に記録する。

このように、複数の履歴ファイルを木構造で管理する場合に、サーバは、その根から、葉である特定の履歴ファイルまでの経路情報を含む分類キーを生成する。これにより、サーバが特定する履歴ファイルの所在を検索するための受信機側での処理が軽減される。

さらに好ましくは、前記サーバ送信手段は、前記分類キーに含まれる前記履歴ファイルＩＤ以外の部分と、前記分類キーに関連付けられた前記ライセンスに含まれる前記ライセンスＩＤ以外の部分とを暗号化して送信する。

このように、暗号化して送信することにより、契約に関する情報など特に重要な情報を送受信する際の安全性を高めることが可能となる。

さらに好ましくは、さらに、前記履歴ファイルが破損したことを示す通知または、前記ライセンスの入力が拒否されたことを示す通知の少なくとも１つを受信するサーバ受信手段と、前記サーバ受信手段が受信した通知を送信した機器をＣＲＬに記載するＣＲＬ処理手段とを備える。

このように、サーバは、履歴ファイルの破損の通知を受けて、その破損が履歴ファイルを記憶している受信機のユーザの不正な操作によるものか、真に障害が発生しているのかを判断することができる。したがって、例えば、履歴ファイルを不正に破壊し、操作することによって、ライセンスを重複入力することを防止することが可能になる。

また、本発明の請受信機は、サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信機であって、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信手段と、前記複数の履歴ファイルを記憶している受信機記憶手段と、前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、受信機に取り付けられているＩＣカードへ送信する受信機送信手段を備える。

また、本発明のＩＣカードは、受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うＩＣカードであって、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信手段と、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える。

このように、ＩＣカードは、分類キーに含まれる履歴ファイルＩＤと、受信した履歴ファイル自体の履歴ファイルＩＤとを照合する。これにより、受信した履歴ファイルが、サーバが選択した履歴ファイルであることを確認することができ、入力処理の対象となっているライセンスに対応する真正な履歴ファイルを受信したことを検証できる。したがって、入力処理の対象となっているライセンスに対応しない、不正な履歴ファイルを参照することによって、そのライセンスが未入力であると判断することによる、ライセンスの重複入力を防止することが可能となる。

好ましくは、さらに、前記分類キー、前記分類キーに関連付けられた前記ライセンス、前記履歴ファイル、および、履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木のノードのうち、少なくとも１つの改ざん検証を行う改ざん検証手段を備え、前記ＩＣカード受信手段は、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスと、さらに、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記履歴管理木の根から当該履歴ファイルまでの経路にあるノードに含まれる改ざん検証情報とを、前記受信機から受信し、前記履歴確認手段は、前記改ざん検証手段により改ざんが検出されなかった場合にのみ、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる前記履歴ファイルＩＤとを比較する。

このように、分類キー、ライセンス、履歴ファイルおよびノードの少なくとも１つの改ざんを検証する。これにより、改ざんした履歴ファイルをＩＣカードに参照させ、既に入力されているライセンスが未入力であると誤って判断させて、ライセンスを重複入力すること等、不正な操作によりライセンスを重複入力することを防止することが可能となる。

さらに好ましくは、前記ＩＣカード受信手段は、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を含む分類キーを、前記受信機から受信し、前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に、前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する。

また、前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に上書き記録で行う。

このように、ＩＣカードは、ライセンスの入力履歴を書き込むべき履歴ファイルだけでなく、その履歴ファイルにおいて履歴が書き込まれるべき書き込み行をも含む分類キーを受信する。これにより、使用期限が過ぎたライセンスの入力履歴のような、不要となった履歴情報に、新たなライセンスの入力履歴を上書きして記録させることができる。したがって、不要となった履歴を削除するために、履歴ファイルに含まれる検索し、削除するというＩＣカードでの処理を省くことが可能となる。

さらに好ましくは、前記ＩＣカード受信手段は、さらに、各履歴ファイルの行毎に分類キーが生成された順序を示す管理番号を含む分類キーを、前記受信機から受信し、前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に記録されている管理番号より、前記ＩＣカード受信手段が受信した分類キーに含まれる管理番号の方が新しく生成された分類キーに対応することを確認する。

また、前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に、前記分類キーに含まれる前記管理番号とともに上書き記録で行う。

このように、ＩＣカードは、各履歴ファイルの行毎に付与される管理番号を含む分類キーを受信し、受信した分類キーに含まれる管理番号と、履歴ファイルの書き込み行に含まれる管理番号とを比較し、管理番号によって、より新しい分類キーに関連付けられたライセンスであることが示されている場合にのみ、そのライセンスを取り込むという処理を行う。これにより、入力履歴の管理をより厳格にすることが可能となり、ライセンスの重複入力を防止することが可能になる。

さらに好ましくは、さらに、取り付けられている受信機から、当該受信機が記憶している履歴ファイルの破損の通知を受け付け、当該破損の通知を受け付けた場合に、前記ライセンス処理手段における入力をロックするロック手段と、サーバからロック解除の指示を受け付け、当該ロック解除の指示を受け付けた場合に、前記ロック手段によるロックを解除するロック解除手段とを備える。

このように、ＩＣカードは、履歴ファイルの破損の通知を受信機から受けて、ライセンスの入力処理をロックする。その破損が履歴ファイルを記憶している受信機のユーザの不正な操作によるものではなく、真に障害が発生していると判断したサーバのロック解除の指示を受け付けて、ＩＣカードはロックを解除する。したがって、例えば、履歴ファイルを不正に破壊し、操作することによって、ライセンスを重複入力することを防止することが可能になる。

本構成によって、ＩＣカードは、受信機から受信した分類キーに含まれる履歴ファイルＩＤと、受信機から受信した履歴ファイルに含まれる履歴ファイルＩＤとを比較することで、受信機から受信した履歴ファイルが正しい履歴ファイルであることを確認することができ、ライセンスの重複入力を防止することが可能である。

なお、本発明は、このような特徴的な手段を備えるサーバ、受信機およびＩＣカードとして実現することができるだけでなく、これらにより構成されるライセンス管理システムとして実現したり、それぞれに含まれる特徴的な手段をステップとする送信方法、受信方法およびライセンス入力方法として実現したり、それぞれに含まれる特徴的な手段としてコンピュータを機能させる送信プログラム、受信プログラムおよびライセンス入力プログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ（Ｃｏｍｐａｃｔ Ｄｉｓｃ Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）等の記録媒体やインターネット等の通信ネットワークを介して流通させることができる。

本発明の分類キーは、ライセンス毎に設定され、該ライセンスの入力履歴が記録される履歴ファイルを指定する。ＩＣカードは、受信機から暗号化ライセンスと履歴ファイルと共に分類キーを受信し、分類キーを参照することで、受信機から受信した履歴ファイルが確かに暗号化ライセンスに対応した正しい履歴ファイルであることを確認することができる。これにより、ＩＣカードは、分割された複数の履歴ファイルの内、１つの履歴ファイルを確認するだけで、全てのライセンスの入力履歴の確認を行ったことと同様の効果を得て、ライセンスの重複入力を防止することが可能になる。

以下本発明の実施の形態について、図面を参照しながら説明する。

本実施の形態では、ＩＣカードによるライセンスの入力処理の履歴が記録される履歴ファイルは、複数の履歴ファイルで構成される。それぞれの履歴ファイルには、異なるライセンスの入力履歴が記録されている。そして、履歴ファイルと、履歴ファイルに対応する改ざん検証情報を木構造で管理し、この木構造を履歴管理木と呼ぶ。

ここで、改ざん検証情報とは、改ざん検証値を算出するために用いる情報である。改ざん検証値とは、一方向性関数から算出される値であり、より具体的にはハッシュ値などであるが、改ざん検証を行うことが可能な値であればその他の値でもよい。

履歴管理木と履歴ファイルは、後述する図１に示す受信機１１０が記憶し、履歴管理木の根の改ざん検証値は、後述する図１に示すＩＣカード１２０が記憶する。また、ライセンスの入力処理の他、履歴ファイルの更新や改ざん検証値の算出などは、耐タンパ性に優れるセキュアモジュールの一例である、ＩＣカードが実行する。

なお、履歴管理木は、履歴ファイルと履歴ファイルに対応する改ざん検証値を管理してもよい。また、履歴管理木の根の改ざん検証情報をＩＣカード１２０が記憶してもよい。

本実施の形態では、本発明のライセンス管理システムを、サーバ型放送システムに適用した例により説明する。なお、本発明のライセンス管理システムは、サーバ型放送システムだけでなく、コンテンツ配信システムなどにも適用することができる。

図１は、本発明の実施の形態におけるサーバ型放送システムの概観の一例を示す図である。実施の形態におけるサーバ型放送システムでは、コンテンツを放送する放送局に設置されたサーバから、コンテンツの視聴契約をした各加入者の下に設置される受信機に、コンテンツの視聴権限などを含むライセンスが送信される。

本実施の形態におけるサーバ型放送システムは、サーバ１００と、受信機１１０と、ＩＣカード１２０と、ディスプレイ装置１３０とを備える。

サーバ１００は、放送局が提供するコンテンツの視聴契約をした各加入者のライセンスに関する情報を生成し、生成したライセンスに関する情報を暗号化し、暗号化したライセンスと、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤとを含む、ライセンス情報を送信する。

受信機１１０は、サーバ１００から送信されたライセンス情報を受信する。受信機１１０には、ＩＣカード１２０が取り付けられる。受信機１１０が受信したライセンス情報は、受信機１１０からＩＣカード１２０に送信される。ＩＣカード１２０は、受信したライセンス情報に含まれるライセンスを復号化し、復号化したライセンスを管理するという入力処理を実行する。

ディスプレイ装置１３０は、加入者がコンテンツを閲覧するためのディスプレイであり、加入者は、ＩＣカード１２０に入力されたライセンスを使用して、そのライセンスに含まれる視聴権限の範囲でコンテンツを視聴できる。例えば、視聴回数が制限されたコンテンツ場合、ＩＣカード１２０は当該コンテンツの視聴により消費される加入者の視聴可能権限を管理する。

図２は、本発明の実施の形態におけるサーバ型放送システムが備える装置の構成を示すブロック図である。

図２に示すサーバ型放送システムは、図１と同様に、サーバ１００と、受信機１１０と、ＩＣカード１２０と、ディスプレイ装置１３０とを備える。サーバ１００と受信機１１０とは、放送により、サーバ１００から受信機１１０へデータを送信可能である。なお、サーバ１００と受信機１１０とは、インターネット、メディアなど、伝送媒体（ネットワーク）を介して片方向または双方向に通信可能であればよく、少なくともサーバ１００から受信機１１０へデータを送信可能であればよい。

受信機１１０とディスプレイ装置１３０とは、ケーブルや無線ＬＡＮなど、伝送媒体を介して片方向または双方向に通信可能であり、少なくとも受信機１１０からディスプレイ装置１３０へデータを送信可能である。

ＩＣカード１２０は、受信機１１０に挿入され接続される。なお、ＩＣカード１２０は耐タンパ構成を持つ。ただし、ＩＣカード１２０は受信機１１０に耐タンパ構成を持つセキュアモジュールとして実装されてもよい。また、受信機１１０とＩＣカード１２０は、挿入による接続に限らず、ケーブルや無線など、伝送媒体を介して双方向通信が可能な状態で取り付けられていればよい。

図２において、サーバ１００は、受信機１１０に対して暗号化コンテンツと暗号化ライセンスとを送信し、受信機１１０は、サーバ１００から暗号化コンテンツと暗号化ライセンスとを受信して蓄積する。

受信機１１０は、暗号化コンテンツを再生する前に、暗号化ライセンスをＩＣカード１２０へ送信し、ＩＣカード１２０は暗号化ライセンスを受信して復号し、復号したライセンスを管理する。この、ＩＣカード１２０が暗号化ライセンスを復号して、復号したライセンスを管理する処理をライセンスの入力と呼ぶ。

受信機１１０は、暗号化コンテンツ再生時に、ＩＣカード１２０に対して、コンテンツの利用可否を問い合わせる。受信機１１０からコンテンツの利用可否の問い合わせを受けたＩＣカード１２０は、ライセンスに含まれる利用条件に基づいてコンテンツの利用可否を判定し、利用可である場合、ライセンスに含まれる後述する図３に示すコンテンツ鍵２０４を受信機１１０へ送信する。受信機１１０は、ＩＣカード１２０から受信したコンテンツ鍵２０４を用いて暗号化コンテンツを復号して再生し、ディスプレイ装置１３０へ表示する。

さらに図２において、サーバ１００は、分類キー生成部１０１と、サーバ記憶部１０２と、ライセンス発行部１０３と、サーバ通信部１０４を備える。

分類キー生成部１０１は、分類キー発行履歴に基づいて、後述する図３に示す分類キー２０３を生成する。

サーバ記憶部１０２は、分類キー発行履歴や暗号化コンテンツ、ライセンスを生成するための情報など、サーバ処理に必要な情報を記憶している。

ライセンス発行部１０３は、分類キー生成部１０１が生成した分類キー２０３およびサーバ記憶部１０２に記憶されているライセンスを生成するための情報に基づいてライセンスを生成し、暗号化して暗号化ライセンスを生成する。ただし、少なくともライセンスに含まれる後述する図３に示すライセンスＩＤ２０１と、分類キー２０３は暗号化しない。

サーバ通信部１０４は、受信機１１０に対して暗号化ライセンスと暗号化コンテンツとを送信する。

さらに図２において、受信機１１０は、取得履歴決定部１１１と、受信機記憶部１１２と、履歴取得部１１３と、受信機通信部１１４と、コンテンツ再生部１１５とを備える。

取得履歴決定部１１１は、受信機記憶部１１２に記憶された暗号化ライセンスから分類キー２０３を取得し、分類キー２０３に基づいて受信機記憶部１１２から取得する履歴管理木のノードと履歴ファイルを決定する。

受信機記憶部１１２は、履歴管理木と履歴ファイル、暗号化ライセンス、暗号化コンテンツなどを記憶する。

履歴取得部１１３は、取得履歴決定部１１１が決定した履歴管理木のノードと履歴ファイルに加えて、暗号化ライセンスを受信機記憶部１１２から取得し、ＩＣカード１２０へ送信する。また、履歴取得部１１３は、ＩＣカード１２０から更新された履歴管理木のノードと履歴ファイルを受信し、受信機記憶部１１２に記憶させる。

受信機通信部１１４は、サーバ１００から暗号化ライセンスと暗号化コンテンツを受信し、受信機記憶部１１２に記憶させる。

コンテンツ再生部１１５は、ＩＣカード１２０へコンテンツの再生要求を送信し、ＩＣカード１２０がコンテンツの再生を許可した場合、ＩＣカード１２０からコンテンツ鍵２０４を受信し、受信機記憶部１１２に記憶された暗号化コンテンツを、コンテンツ鍵２０４を用いて復号化して再生し、ディスプレイ装置１３０に表示させる。

さらに図２において、ＩＣカード１２０は、履歴確認部１２１と、ＩＣカード記憶部１２２と、ライセンス入力処理部１２３と、利用条件判定部１２４を備える。

履歴確認部１２１は、履歴ファイルに基づいてライセンスの入力処理を許可するか拒否するかを決定する。また、ライセンス入力の処理履歴を履歴ファイルへ記録する。

ＩＣカード記憶部１２２は、ライセンスや、履歴ファイルの改ざん検出情報、履歴管理木の根の改ざん検出情報などを記憶している。

ライセンス入力処理部１２３は、受信機１１０から履歴管理木と履歴ファイルおよび暗号化ライセンスとを受信し、履歴確認部１２１がライセンス入力処理を許可した場合に、ライセンスの入力処理を行う。

利用条件判定部１２４は、ＩＣカード記憶部１２２が記憶しているライセンスを取得し、ライセンスに基づいてコンテンツの利用条件判定を行い、コンテンツの利用を許可する場合は、ライセンスからコンテンツ鍵２０４を取得して受信機１１０へ送信する。

図３は、本発明の実施の形態におけるライセンス情報の構成を示す図である。以下、ライセンス情報を、単に「ライセンス」という。

図２において、ライセンスは、ライセンスＩＤ２０１と、コンテンツ利用条件２０２と、分類キー２０３と、コンテンツ鍵２０４とを含む。さらに、分類キー２０３は、履歴ファイルＩＤ２０５と、書込み行２０６と、管理番号２０７とを含む。

ライセンスＩＤ２０１は、ライセンスを一意に識別するＩＤである。コンテンツ利用条件２０２は、ライセンスに対応するコンテンツの利用条件である。分類キー２０３は、ライセンスの入力処理の履歴を記録する履歴ファイルなどを特定する情報である。コンテンツ鍵２０４は、ライセンスに対応するコンテンツを暗号化コンテンツから復号するための鍵である。

履歴ファイルＩＤ２０５は、ライセンスの入力履歴を記録する履歴ファイルのＩＤを示す。書き込み行２０６は、履歴ファイルＩＤ２０５が示す履歴ファイルの中でライセンスの入力履歴を記録する行を示す。管理番号２０７は、分類キー２０３が新しい分類キー２０３であるか古い分類キー２０３であるかを判定するための番号である。

本実施の形態の履歴ファイルＩＤ２０５は、履歴管理木の根から履歴ファイルまでの経路を表すように設定される。これにより、履歴取得部１１３は、受信機記憶部１１２から履歴管理木のノードと履歴ファイルとを取得する際に、履歴管理木の根から履歴ファイルまでの経路計算を行う必要が無いという効果がある。典型的には、履歴ファイルＩＤ２０５は、図３に示すように、履歴管理木の各階層において、履歴ファイルへ到達するための子ノードの番号の組から構成される。

なお、履歴ファイルＩＤ２０５は、必ずしも履歴管理木の根から履歴ファイルまでの経路を表すように設定する必要はなく、履歴ファイルを一意に識別できる値であればよい。

履歴確認部１２１は、履歴ファイルにライセンスの入力処理履歴が記録されているか確認する場合、書き込み行２０６が示す行だけを確認する。書き込み行２０６により、履歴確認部１２１は、履歴ファイルにライセンスの入力処理履歴が記録されているか確認する場合、履歴ファイルに記録された全ての履歴を確認する必要がなく、書き込み行２０６が示す行だけを確認すればよいという効果がある。

さらに、履歴確認部１２１は、履歴ファイルにライセンスの入力処理の履歴を記録する場合、書き込み行２０６が示す行に履歴を上書き記録する。書き込み行２０６により、履歴確認部１２１は、履歴ファイルにライセンスの入力処理の履歴を記録する場合、書き込み行２０６が示す行に履歴を上書き記録するだけでよく、履歴ファイルの中で履歴を記録するための行を得るため、履歴ファイルの中で、後述する図４に示す履歴保持期限３０３の切れた履歴を検索して削除する必要がないという効果がある。

本実施の形態では、管理番号２０７は大きい数値であるほど、新しく生成された分類キー２０３であることを示す。履歴確認部１２１は、新しい分類キー２０３が設定されたライセンスの入力処理の履歴を、古い分類キー２０３に基づいて記録されたライセンスの入力処理の履歴に対してのみ上書き記録する。分類キー２０３が管理番号２０７を持つことで、履歴確認部１２１は、新しい分類キー２０３と古い分類キー２０３の違いがわかるので、新しい分類キー２０３に基づいて記録されたライセンスの入力処理履歴を、古い分類キー２０３により上書きすることを防止できる。

なお、管理番号２０７は、分類キー２０３が新しい分類キー２０３であるか古い分類キー２０３であるかを判別できる値であればよく、必ずしも番号である必要はない。

なお、ライセンスに分類キー２０３を含めず、ライセンスと分類キー２０３を一つのデータにまとめてサーバ１００が受信機１１０へ送信しても同様の効果が得られる。また、ライセンスに分類キー２０３を含めず、ライセンスとは別にサーバ１００が受信機１１０へ送信してもよい。ただし、この場合、分類キー２０３と分類キー２０３に対応するライセンスを関連付ける分類キー関連付け情報が必要であり、分類キー関連付け情報もサーバ１００から受信機１１０へ送信される。

なお、ライセンスは、改ざん検証値を含んでもよい。

なお、ライセンスは、ライセンスの入力処理履歴を保持すべき履歴保持期限３０３を含んでもよい。

なお、ライセンスは、重複取込みを禁止する情報を含んでもよい。この場合、サーバ１００のライセンス発行手段が、ライセンスに重複取込みを禁止する情報を設定する。また、ＩＣカード１２０は、ライセンスに重複取込みを禁止する情報が設定されている場合にのみ、履歴ファイルを確認しライセンスの重複取込みを防止してもよい。

なお、あるライセンスの有効期限が過ぎて無効となった後、無効となったライセンスのライセンスＩＤ２０１を別のライセンスのライセンスＩＤ２０１として再利用してもよい。ただし、この場合、無効となったライセンスの入力処理の履歴は、履歴ファイルから消えているものとする。ライセンスＩＤ２０１を再利用することで、ライセンスＩＤ２０１のバイト数を小さくすることができ、ライセンスのサイズや履歴ファイルのサイズを小さくできるという効果がある。

なお、分類キー２０３を、ライセンスを一意に識別する値として利用してもよい。この場合、ライセンスＩＤ２０１は省略可能である。

図４は、本発明の実施の形態における履歴ファイルの構成を示す図である。

履歴ファイルは、ライセンスの入力処理の履歴を記録したファイルであり、受信機記憶部１１２に記憶されている。履歴ファイルは複数存在し、各履歴ファイルは同じ入力履歴が記録されることのない異なる履歴ファイルである。複数の履歴ファイルは受信機記憶部１１２に記憶される履歴管理木によって管理される。

図４において、履歴ファイルは、履歴ファイルＩＤ２０５と、履歴情報３０１と、履歴ファイル改ざん検証値３０２とを含む。履歴情報３０１は、既に入力処理が行われたライセンスのライセンスＩＤ２０１と、履歴を記録する際に用いた分類キー２０３に含まれる管理番号２０７と、ライセンスの入力処理の履歴を保持すべき期限である履歴保持期限３０３とを含む。履歴ファイル改ざん検証値３０２は、履歴ファイルの改ざん検証値である。

なお、履歴保持期限３０３は、サーバ１００が決定した値をＩＣカード１２０の履歴確認部１２１が設定する。ＩＣカード１２０の履歴確認部１２１が設定する履歴保持期限３０３の値は、予め定められた規則に従って設定され、例えば、暗号化ライセンスのコンテンツ利用条件２０２に設定された有効期限や、サーバ１００から別途送信された期限、サーバ１００による暗号化ライセンスの受信時からの予め定められた一定の期限などである。

なお、履歴保持期限３０３は、ＩＣカード１２０が履歴を削除する場合に利用することが可能であるが、ＩＣカード１２０が履歴を削除しない場合は、履歴ファイルには履歴保持期限３０３が含まれなくてもよい。

なお、履歴管理木が履歴ファイルの改ざん検証値を管理する場合は、履歴ファイルに履歴ファイル改ざん検証値３０２は含まれなくてもよい。

図４では、ライセンスＩＤ２０１が「Ａ」と「Ｂ」とであるライセンスの入力処理の履歴が記録されている例を示している。例えば、ライセンスＩＤ２０１が「Ａ」の入力履歴は、管理番号２０７が「５」で、履歴保持期限３０３が「２０１０年１月１日」であり、ライセンスＩＤ２０１が「Ｂ」の入力履歴は、管理番号２０７が「４」で、履歴保持期限３０３が「２０２０年１月１日」であることを示している。

図５は、本発明の実施の形態における分類キー発行履歴の構成を示す図である。

分類キー発行履歴は、分類キー生成部１０１が生成した分類キー２０３と、分類キー２０３が設定されたライセンスのライセンスＩＤ２０１と、履歴保持期限３０３が受信機毎に記録された分類キーの発行履歴とであり、サーバ記憶部１０２に記憶されている。

図５において、分類キー発行履歴は、受信機１２０に対して、分類キー生成部１０１が生成した分類キー２０３に設定された履歴ファイルＩＤ２０５と、書込み行２０６と、管理番号２０７とを含み、さらに、ライセンス発行部１０３が分類キー２０３を関連付けたライセンスのライセンスＩＤ２０１と、履歴保持期限３０３とを含む。

図５は、履歴ファイルＩＤ２０５が「１」、書き込み行２０６が「１」、管理番号２０７が「５」である分類キー２０３は、ライセンスＩＤ２０１が「Ａ」であり、履歴保持期限３０３が「２０１０年１月１日」であるライセンスに関連付けられて発行されたことを示している。

本実施の形態では、分類キー発行履歴は、受信機毎に記録された分類キーの発行履歴であるとしており、図５は受信機１２０に対する分類キーの発行履歴を示している。契約者は複数いるのが通常であり、分類キー発行履歴には、各契約者の下に設置される受信機毎の、図５と同様の情報が含まれる。

なお、１人の契約者の下に複数の受信機が設置されるような場合、分類キー発行履歴には、契約者毎の分類キーの発行履歴が含まれてもよい。さらに、分類キー発行履歴は、受信機毎や契約者ごとではなく、サーバ全体での分類キーの発行履歴として記録されていてもよい。

図６は、本発明の実施の形態における履歴管理木の各ノードの構成を示す図である。履歴管理木は受信機記憶部１１２に記憶される。

図６において、ノードは、ノードＩＤ５０１と、ノード改ざん検証値５０２と、子の改ざん検証情報リスト５０３とを含む。

ノードＩＤ５０１は、履歴管理木においてノードを一意に識別するＩＤである。

ノード改ざん検証値５０２は、ノードの改ざん検証値である。

子の改ざん検証情報リスト５０３は、履歴管理木においてノードに対する子の改ざん検証を行うために必要な情報のリストである。

子の改ざん検証情報リスト５０３は、図６に示すように、子１から子Ｎまでの全ての子の改ざん検証情報を持つ。子の改ざん検証情報とは、子のノード改ざん検証値５０２を算出するために用いる情報である。典型的には改ざん検証値を算出する度に値が変わる数値であるが、この限りではない。

なお、子の改ざん検証情報は、子の改ざん検証値そのものであってもよい。また、履歴ファイルを子に持つノードの子の改ざん検証情報リスト５０３は、履歴ファイルの改ざん検証値３０２を算出するために用いる情報のリストである。

なお、図６において、子の改ざん検証情報リスト５０３は、子の改ざん検証情報と共に対応する子を示す情報を持ってもよい。子を示す情報とは、子のノードＩＤ５０１や、子がノードに対して何番目の子であるかを示す番号などである。子の改ざん検証情報リスト５０３が子を示す情報を持つことで、子１から子Ｎまでの改ざん検証情報を全て持つことなく、必要な子の改ざん検証情報のみを持つことが可能になるという効果がある。必要な子の改ざん検証情報のみを持つことにより、履歴管理木は、必要なノードだけで構成可能である。さらにこの場合、履歴管理木に必要なノードが新たに増えた場合は、必要なノードが履歴管理木に追加され、追加されたノードの親が持つ子の改ざん検証情報リスト５０３に追加したノードの改ざん検証情報が追加される。

なお、履歴ファイルを、例えば履歴ファイルに記録される対象のライセンスを発行する事業者毎など、特定の管理単位毎に管理したい場合、履歴管理木は複数存在してもよい。この場合、ＩＣカード記憶部１２２は、各履歴管理木の根の改ざん検証値または改ざん検証情報を持つ。また、各履歴管理木の根は、対応する根の改ざん検証値または改ざん検証情報がＩＣカード記憶部１２２に記憶されている場所を示す情報を持ってもよい。これにより、履歴確認部１２１は、履歴管理木の根の改ざん検証値または改ざん検証情報をＩＣカード記憶部１２２から検索する動作を省略可能である。

なお、履歴管理木は、単体で存在する場合、複数存在する場合のいずれでも、履歴管理木の根の改ざん検証情報または改ざん検証値を持つＩＣカード１２０に関連付けて受信機記憶部１１２に記憶されてもよい。典型的には、履歴管理木の根のノードがＩＣカード１２０を一意に識別するＩＣカードＩＤを持つことで、履歴管理木とＩＣカード１２０を関連付けるが、その他の方法でもよい。履歴管理木とＩＣカード１２０を関連付けることにより、受信機１１０に対して複数のＩＣカード１２０を入れ替えて挿入した場合などに、現在挿入されているＩＣカード１２０に対応する履歴管理木を決定できる。

図７は、本発明の実施の形態における履歴管理木と履歴ファイルの構成例とを示す図である。

図７において、履歴管理木の根の改ざん検証値または履歴管理木の改ざん検証情報はＩＣカード記憶部１２２に記憶され、履歴管理木と履歴ファイルは受信機記憶部１１２に記憶される。また、図７において、改とは子の改ざん検証情報を示し、各履歴ファイルに記載された数字は履歴ファイルＩＤ２０５を示し、履歴ファイルＩＤ２０５は履歴管理木における根から履歴ファイルまでの経路を示す。履歴ファイルＩＤ２０５の３桁の数値の内、百の位は２階層目の子ノードの内何番目の子ノードを辿ればよいかを示し、十の位は３階層目の子ノードの内何番目の子ノードを辿ればよいかを示す。一の位は３階層目のノードが持つ履歴ファイルの内何番目の履歴ファイルが該履歴ファイルであるかを示す。

履歴管理木における各ノードのノードＩＤ５０１も同様の規則に従って割当てられている。ただし、ＩＤの各桁において値が「０」である場合、そのノードは「０」である桁が示す階層よりも上の階層に位置していることを示す。また、各階層において、左の子が１番目の子、右の子が２番目の子であるとする。

ここで、図７において、例えば履歴ファイルＩＤ２０５が「１２１」である履歴ファイルを履歴管理木の根から辿る方法について説明する。

まず、履歴ファイルＩＤ２０５の百の位は「１」であるから、ノードＩＤ５０１が「０００」のノードからノードＩＤ５０１が「１００」のノードを辿ればよい。次に、十の位は「２」であるから、ノードＩＤ５０１が「１００」のノードからノードＩＤ５０１が「１２０」のノードを辿ればよい。最後に、一の位は「１」であるから、ノードＩＤ５０１が「１２０」のノードの１番目の子が履歴ファイルＩＤ２０５の履歴ファイルである。

つまり、ある履歴ファイルに対応する履歴管理木のＮ階層目における親は、履歴ファイルＩＤ２０５の内Ｎ桁目以下を「０」にしたノードＩＤ５０１のノードである。従って、履歴ファイルから履歴管理木の根へ辿ることも容易にできる。

例えば、履歴ファイルＩＤ２０５が「２１２」の履歴ファイルから履歴管理木の根までは、ノードＩＤ５０１が「２１０」のノード、ノードＩＤ５０１が「２００」のノード、ノードＩＤ５０１が「０００」のノードを辿ればよい。ここでは、履歴ファイルＩＤ２０５が「１２１」の履歴ファイルについて説明したが、その他の履歴ファイルＩＤ２０５を持つ履歴ファイルに関しても同様である。

さらに図７において、履歴ファイルと各ノードの改ざん検証を行う方法について説明する。ただし、履歴ファイルと各ノードの改ざん検証とはＩＣカード１２０が行う。

例えば、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証を行う場合、親ノードはノードＩＤ５０１が「１２０」であるノードであるから、このノードが持つ、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証情報から履歴ファイルＩＤ２０５が「１２１」である履歴ファイルの改ざん検証値３０２を算出する。

そして、履歴ファイルＩＤ２０５が「１２１」である履歴ファイルに含まれる履歴ファイル改ざん検証値３０２と比較し、一致すれば改ざんが行われていないと判断できる。さらに、ノードＩＤ５０１が「１２０」であるノードが持つ改ざん検証情報の改ざん検証を、ノードＩＤ５０１が「１００」であるノードが持つ改ざん検証情報を用いて同様に行う。そして、ノードＩＤ５０１が「１００」であるノードが持つ改ざん検証情報の改ざん検証を、ノードＩＤ５０１が「０００」であるノードが持つ改ざん検証情報を用いて同様に行う。

最後に、ノードＩＤ５０１が「０００」であるノードが持つ改ざん検証情報の改ざん検証を、ＩＣカード記憶部１２２に記憶される履歴管理木の根の改ざん検証情報を用いて行う。このように、ある子ノードの改ざん検証を親ノードが持つ改ざん検証情報を用いて繰り返し行うことで、履歴ファイルと履歴管理木の各ノードの改ざん検証とが行える。

このように、履歴ファイルを分散することで、ＩＣカード１２０での履歴ファイルの検索の範囲を限定することができ、ＩＣカード１２０の処理負荷を軽減することが可能となる。

また、分散した履歴ファイルを木構造で管理することで、ＩＣカード１２０は、履歴管理木の根の改ざん検証情報のみを保持することで、改ざん検証ができるため、ＩＣカード１２０が保持すべき情報量を少なくすることが可能となる。さらに、履歴ファイルを更新した際にＩＣカード１２０が実行する改ざん検証値の再計算のための処理も少なくすることが可能となる。

一般に、ＩＣカード１２０は耐タンパ性に優れるが、記憶容量や処理能力が低いため、このようなＩＣカード１２０の記憶量や処理負荷の軽減は、実用上有益である。

図８は、サーバ型放送システムが備える各装置が実行する処理と、各装置間で送受信される情報とを示すタイムチャートである。すなわち、本図は、サーバ１００が暗号化ライセンスを受信機１１０へ送信し、受信機１１０が暗号化ライセンスをＩＣカード１２０へ送信して、ＩＣカード１２０がライセンスの入力処理を完了するまでの各装置における処理と、各装置間で送受信される情報とを示す。

サーバ１００は、サーバ１００が暗号化ライセンスを生成し（Ｓ６０１）、受信機１１０へその暗号化ライセンス６０３を送信する（Ｓ６０２）。

受信機１１０は、暗号化ライセンス６０３をサーバ１００から受信し（Ｓ６０４）する。受信機１１０は、受信した暗号化ライセンス６０３を受信機記憶部１１２へ記憶し、その記憶されている暗号化ライセンスを受信機記憶部１１２から取得し、暗号化ライセンスに含まれる情報に基づいて、履歴管理木および履歴ファイルを取得し（Ｓ６０５）、取得したこれらの情報と暗号化ライセンス６０７とを自身に取り付けられているＩＣカード１２０に送信する（Ｓ６０６）。

なお、受信機通信部１１４は、サーバ１００から暗号化ライセンスを受信すると（Ｓ６０４）、ＩＣカード１２０へ送信し、ＩＣカード１２０により暗号変換された暗号化ライセンスをＩＣカード１２０から受信して、受信機記憶部１１２に記憶させてもよい。

このとき、ＩＣカード１２０は、受信機１１０から受信した暗号化ライセンスを復号し、再度暗号化し暗号変換された暗号化ライセンスを生成する。ただし、ＩＣカード１２０は、暗号変換された暗号化ライセンスを生成するとき、少なくともライセンスＩＤ２０１と分類キー２０３は暗号化しない。

なお、受信機１１０が、暗号変換されたライセンスを受信機記憶部１１２に記憶させる場合、サーバ１００のライセンス発行部１０３は、ライセンスを生成して暗号化し暗号化ライセンスを生成するとき、ライセンスＩＤ２０１と分類キー２０３も暗号化してもよい。

ＩＣカード１２０は、暗号化ライセンスと、履歴管理木および履歴ファイル６０７とを受信し（Ｓ６０８）、ライセンスの入力を検証し（Ｓ６０９）、検証した結果、入力が許可されない場合には（Ｓ６１０でＮｏ）、入力許否６１２を受信機１１０に送信する（Ｓ６１１）。

受信機１１０は、入力拒否６１２を受信し（Ｓ６１３）、処理を終了する。

また、入力が許可された場合には（Ｓ６１０でＹｅｓ）、ＩＣカード１２０は、ライセンスを入力し（Ｓ６１４）、履歴管理木と履歴ファイルの改ざん検証情報と改ざん検証値とを更新し（Ｓ６１５）、更新したこれらの情報を含む入力許可６１７を受信機１１０に送信する（Ｓ６１６）。

受信機１１０は、更新した履歴管理木と履歴ファイルを含む入力許可６１７を受信し（Ｓ６１８）、受信機記憶部１１２に記憶された対応する履歴管理木のノードと履歴ファイルへ上書きし、処理を終了する。

続けて、ＩＣカード１２０は、入力したライセンスに含まれる権限に基づく加入者の番組の視聴があるか否かを判断し（Ｓ６１９）、番組の視聴がないと判断した場合には（Ｓ６１９でＮｏ）、加入者の番組の視聴があるか否かの判断処理（Ｓ６１９）を継続する。

また、番組の視聴があると判断した場合には（Ｓ６１９でＹｅｓ）、加入者のライセンスを使用する処理を実行する（Ｓ６２０）。

図９は、本発明の実施の形態におけるサーバが実行する処理のフローチャートである。本図に示すＳ７０１からＳ７０５までは、図８に示す暗号化ライセンス生成処理（Ｓ６０１）の詳細である。また、本図に示す暗号化ライセンス送信処理（Ｓ６０２）は、図８に示す同一の参照符号を付した処理と同一である。

Ｓ７０１：分類キー生成部１０１は、サーバ記憶部１０２から分類キー発行履歴を取得する。

Ｓ７０２：分類キー生成部１０１は、分類キー発行履歴に基づき、ライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と、書き込み行２０６と、管理番号２０７を選択する。選択した、履歴ファイルＩＤ２０５と、書き込み行２０６と、管理番号２０７とに基づき、分類キー２０３を生成する。

Ｓ７０３：ライセンス発行部１０３は、Ｓ７０２で生成した分類キー２０３とサーバ記憶部１０２に記憶されたライセンスとを生成するための情報に基づき、ライセンスを生成する。

Ｓ７０４：ライセンス発行部１０３は、Ｓ７０３で生成したライセンスを暗号化し、暗号化ライセンスを生成する。

Ｓ７０５：分類キー生成部１０１は、Ｓ７０２で生成した分類キー２０３の履歴ファイルＩＤ２０５、書き込み行２０６および管理番号２０７と、Ｓ７０３で生成されたライセンスのライセンスＩＤ２０１および履歴保持期限３０３とをサーバ記憶部１０２に記憶される分類キー発行履歴に記録する。

Ｓ６０２：サーバ通信部１０４は、暗号化ライセンスを受信機１１０へ送信する。

なお、Ｓ７０２において、分類キー生成部１０１が、分類キー発行履歴に基づいてライセンスの入力処理の履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択する方法は、サーバ１００で定める規則に従えばよい。

サーバ１００が定める規則には、各履歴ファイルに含まれる情報量が均一になるような規則、例えば、履歴が記録されている数が少ない履歴ファイルへ優先的に履歴を記録するように選択する規則がある。

また、サーバ１００が定める規則には、履歴ファイルに保持されているが不要となった情報を削除するような規則、例えば、履歴保持期限３０３が過ぎた履歴が記録されている行に対して履歴を優先的に記録するように選択する規則がある。

さらに、受信機１１０の処理能力が高い場合には、ファイルサイズが大きい履歴ファイルを短時間で処理することが可能であり、受信機１１０の処理能力が低い場合には、ファイルサイズが大きい履歴ファイルを処理するには長い時間が必要となる。そのため、サーバ１００が定める規則には、受信機１１０の処理能力に応じて、履歴ファイルのファイルサイズを制御する規則、例えば、処理能力が高いＩＣカード１２０が取り付けられている受信機１１０に対して履歴が記録される履歴ファイルの数が最も少なくなるように履歴を記録するように選択する規則がある。

さらに、サーバ１００が定める規則は、これら複数の規則に従って選択してもよい。もちろん、分類キー２０３を生成するたびに履歴ファイルＩＤ２０５と書き込み行２０６を選択する規則を変えてもよい。

このように、ライセンスの入力履歴を記録する履歴ファイルをサーバ１００が定める規則に従って選択することにより、ライセンスの入力履歴は適切な数量の履歴ファイルに、かつ、各履歴ファイルに含まれる情報量が均一になるように分散して記録することができる。したがって、ライセンスの入力履歴を記録するための各受信機の負荷を制御することが可能となる。

また、Ｓ７０２において、分類キー生成部１０１が、分類キー発行履歴に基づいて管理番号２０７を選択する方法は、サーバ１００とＩＣカード１２０で定める規則に従えばよい。

例えば、サーバ１００とＩＣカード１２０とで管理番号２０７の数値が大きいほど新しい分類キー２０３であると定めた場合、分類キー生成部１０１は、Ｓ７０２において分類キー発行履歴に記録された履歴ファイルＩＤ２０５と書き込み行２０６とを選択する場合、この履歴ファイルＩＤ２０５と書き込み行２０６とに対応する管理番号２０７より大きな数値を管理番号２０７として選択する。なお、分類キー発行履歴に記録されていない履歴ファイルＩＤ２０５と書き込み行２０６とを選択する場合、例えば「１」など、いずれの数値を管理番号２０７として選択してもよい。

さらに、Ｓ７０２において、分類キー生成部１０１は、分類キー発行履歴に加え、ライセンスの生成予定などから作られる分類キー２０３の生成予定に基づいてライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択してもよい。また、分類キー生成部１０１は、分類キー２０３の生成予定にのみ基づいてライセンスの入力履歴を記録する履歴ファイルの履歴ファイルＩＤ２０５と書き込み行２０６とを選択してもよい。

次に、受信機１１０が実行する処理の詳細を図１０を参照して説明する。

図１０は、本発明の実施の形態における受信機１１０が実行する暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理（Ｓ６０５）の詳細およびそれらの送信処理（Ｓ６０６）のフローチャートである。本図に示すＳ８０１からＳ８０４までは、図８に示す暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理（Ｓ６０５）の詳細である。また、本図に示す暗号化ライセンスと履歴管理木および履歴ファイルとの送信処理（Ｓ６０６）は、図８に示す同一の参照符号を付した処理と同一である。本図に示す処理は、受信機１１０が暗号化ライセンスをＩＣカード１２０に対して送信する際の受信機１１０における処理であり、受信機１１０は、コンテンツを再生する前に、対応する暗号化ライセンスをＩＣカード１２０に対して送信する。

Ｓ８０１：履歴取得部１１３は、受信機記憶部１１２から暗号化ライセンスを取得する。

Ｓ８０２：取得履歴決定部１１１は、Ｓ８０１で取得した暗号化ライセンスから分類キー２０３を取得する。

Ｓ８０３：取得履歴決定部１１１は、Ｓ８０２で取得した分類キー２０３に含まれる履歴ファイルＩＤ２０５に基づいて、取得すべき履歴管理木のノードと履歴ファイルを決定する。取得すべき履歴管理木のノードは、履歴管理木の根から履歴ファイルを子に持つノードへの経路上の全てノードである。また、取得すべき履歴ファイルは、履歴ファイルＩＤ２０５が示す履歴ファイルである。

Ｓ８０４：履歴取得部１１３は、Ｓ８０３で決定した取得すべき履歴管理木のノードと履歴ファイルを受信機記憶部１１２から取得する。

Ｓ６０６：履歴取得部１１３は、Ｓ８０１で取得した暗号化ライセンスと、Ｓ８０４で取得した履歴管理木のノードと履歴ファイルとをＩＣカード１２０へ送信する。

なお、受信機１１０は、サーバ１００から暗号化ライセンスを受信した場合、受信機記憶部１１２に記憶することなく、受信後すみやかにＩＣカード１２０へ暗号化ライセンスを送信してもよい。この場合、Ｓ８０１は実行せずに、Ｓ８０２から実行される。

なお、Ｓ８０３において、分類キー２０３に含まれる履歴ファイルＩＤ２０５に基づいて、取得すべき履歴管理木のノードを決定する方法は、図６を用いて説明した方法によって履歴管理木の根から履歴ファイルまでの経路を決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、履歴管理木の根から履歴ファイルまでの経路を計算によって決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、履歴管理木の各ノードに親と子を指し示す情報を付与し、この情報に従って履歴管理木の根から履歴ファイルまでの経路を決定し、その経路上のノードを取得すべき履歴管理木のノードとする方法でもよいし、その他の方法でもよい。

次に、ＩＣカード１２０がライセンスの入力のために実行する処理の詳細について、図１１と図１２とを参照して説明する。

図１１は、本発明の実施の形態におけるＩＣカードが実行するライセンスの入力に関連する処理のフローチャートである。ライセンスの入力に関連する処理とは、図８に示す、暗号化ライセンスと履歴管理木および履歴ファイルとの受信処理（Ｓ６０８）から、更新した履歴管理木と履歴ファイルとを含む入力許可の送信処理（Ｓ６１６）までである。

図１１に示す、暗号化ライセンスと履歴管理木および履歴ファイルとの改ざん検証処理（Ｓ９０２）から、ライセンス入力履歴確認処理（Ｓ９０４）までは、図８に示すライセンス入力検証処理（Ｓ６０９）の詳細であり、図１１に示す暗号化ライセンスと履歴管理木および履歴ファイルとの受信処理（Ｓ６０８）と、入力許可判断処理（Ｓ６１０）と、入力拒否の送信処理（Ｓ６１１）と、ライセンス入力処理（Ｓ６１４）から更新した履歴管理木と履歴管理ファイルとを含む入力許可の送信処理（Ｓ６１６）までとは、図８に示す同一の参照符号を付した処理と同一である。

Ｓ６０８：ライセンス入力処理部１２３は、受信機１１０から暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとを受信する。

Ｓ９０２：ライセンス入力処理部１２３は、Ｓ６０８で受信した暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとの改ざん検証を行う。履歴管理木のノードと履歴ファイルとの改ざん検証方法は、図６を用いて説明したように、親ノードが持つ改ざん検証情報を利用して行う。

Ｓ９０３：ライセンス入力処理部１２３は、Ｓ９０２において、暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとの内、いずれかに改ざんが検出された場合、Ｓ６１１を実行し、いずれにも改ざんが検出されなかった場合、Ｓ９０４を実行する。

Ｓ９０４：履歴確認部１２１は、後述するライセンス入力履歴確認処理を実行して、履歴ファイルに基づきライセンスの入力を許可するか拒否するかを判定する。許可した場合、入力処理を行うライセンスの情報を履歴ファイルに記録する。

Ｓ６１０：ライセンス入力処理部１２３は、Ｓ９０４において、ライセンスの入力が許可された場合Ｓ６１４を実行し、許可されなかった場合Ｓ６１１を実行する。

Ｓ６１４：ライセンス入力処理部１２３は、ライセンス入力処理として、暗号化ライセンスを復号し、復号したライセンスを管理する。

Ｓ６１５：ライセンス入力処理部１２３は、Ｓ９０４において更新された履歴ファイルに対して改ざん検証値を算出し、履歴ファイル改ざん検証値３０２に設定する。さらに、履歴ファイルの改ざん検証値の算出に用いた改ざん検証情報を、履歴ファイルを子として持つ履歴管理木のノードの子の改ざん検証情報リスト５０３に設定する。履歴ファイルを子として持つノードの改ざん検証値を算出し、履歴ファイルを子として持つノードのノード改ざん検証値５０２に設定して、改ざん検証値の算出に用いた改ざん検証情報を親ノードの子の改ざん検証情報リスト５０３に設定する。以後、子ノードの改ざん検証値を算出して設定し、子ノードのノード改ざん検証値５０２に設定し、設定した改ざん検証値の算出に用いた改ざん検証情報を親ノードの子の改ざん検証情報リスト５０３に設定することを繰り返す。ただし、履歴管理木の親ノードの改ざん検証値はＩＣカード記憶部１２２に記憶される。

Ｓ６１６：ライセンス入力処理部１２３は、Ｓ６１５で更新した履歴管理木のノードと履歴ファイルとを受信機１１０へ送信する。

Ｓ６１１：ライセンス入力処理部１２３は、Ｓ９０３において、暗号化ライセンスと、履歴管理木のノードと、履歴ファイルとのいずれかに改ざんが検出された場合、またＳ６１０において、ライセンスの入力が許可されなかった場合、受信機１１０へライセンスの入力を拒否する旨を通知する。

図１２は、本発明の実施の形態におけるＩＣカードが実行するライセンス入力履歴確認処理（Ｓ９０４）の詳細を示すフローチャートである。

Ｓ１００１：履歴確認部１２１は、暗号化ライセンスから分類キー２０３を取得する。

Ｓ１００２：履歴確認部１２１は、Ｓ１００１で取得した分類キー２０３から履歴ファイルＩＤ２０５を取得し、分類キー２０３から取得した履歴ファイルＩＤと、受信機１１０から受信した履歴ファイルの履歴ファイルＩＤ２０５とを比較する。

Ｓ１００３：履歴確認部１２１は、Ｓ１００２での比較結果が一致する場合Ｓ１００４を実行し、一致しない場合Ｓ１０１０を実行する。

Ｓ１００４：履歴確認部１２１は、分類キー２０３から書き込み行２０６を取得し、履歴ファイルの中でこの書き込み行２０６が指定する行に、暗号化ライセンスのライセンスＩＤ２０１が記録されていないか確認する。

Ｓ１００５：履歴確認部１２１は、Ｓ１００４の確認で、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていないことを確認した場合Ｓ１００６を実行し、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていた場合Ｓ１０１０を実行する。

Ｓ１００６：履歴確認部１２１は、分類キー２０３から書き込み行２０６と管理番号２０７とを取得し、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で書き込み行２０６が指定する行の管理番号２０７より新しい値であるか確認する。ただし、本実施の形態では、サーバ１００とＩＣカード１２０が、管理番号２０７が大きい値であるほど新しい管理番号２０７であると定めた規則に従っているものとする。

Ｓ１００７：履歴確認部１２１は、Ｓ１００６で、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で分類キー２０３に含まれる書き込み行２０６が指定する行の管理番号２０７より新しいことを確認した場合Ｓ１００８を実行し、新しいことが確認できなかった場合Ｓ１０１０を実行する。

Ｓ１００８：履歴確認部１２１は、分類キー２０３から書き込み行２０６と管理番号２０７とを取得し、履歴ファイル中で書き込み行２０６が指定する行に、暗号化ライセンスのライセンスＩＤ２０１と管理番号２０７とを上書き記録する。さらに、履歴保持期限３０３も上書き記録する。上書き記録する履歴保持期限３０３の値は、予め定められた規則に従って設定され、例えば、暗号化ライセンスのコンテンツ利用条件２０２に設定された有効期限や、サーバ１００から別途送信された期限、サーバ１００による暗号化ライセンスの受信時からの予め定められた一定の期限などである。履歴ファイルに履歴保持期限３０３を持たない場合は、履歴保持期限３０３の上書き記録処理は省略可能である。

Ｓ１００９：履歴確認部１２１は、ライセンスの入力を許可する。

Ｓ１０１０：履歴確認部１２１は、Ｓ１００３において、分類キー２０３に含まれる履歴ファイルＩＤ２０５と履歴ファイルに含まれる履歴ファイルＩＤ２０５とが異なる場合、Ｓ１００５において、履歴ファイルに暗号化ライセンスのライセンスＩＤ２０１が記録されていた場合、Ｓ１００７において、分類キー２０３に含まれる管理番号２０７が、履歴ファイル中で分類キー２０３に含まれる書き込み行２０６が指定する行の管理番号２０７より新しいことが確認できなかった場合、ライセンスの入力を拒否する。

なお、Ｓ１００６では、管理番号２０７の大きさを比較する方法に限らず、分類キー２０３が、分類キー２０３に含まれる書き込み行２０６の指定する行に書き込まれている履歴の書き込みを指定した分類キー２０３より新しいことを確認できればよい。例えば、分類キー２０３に含まれる書き込み行２０６が指定する行に記録された履歴保持期限３０３と、暗号化ライセンスのコンテンツ利用条件２０２などに設定された有効期限とを比較し、履歴保持期限３０３が有効期限より先の期限であれば、分類キー２０３が、分類キー２０３に含まれる書き込み行２０６が指定する行に書き込まれている履歴の書き込みを指定した分類キー２０３より新しいとする方法がある。

なお、図１１のＳ６１４において、ライセンス入力処理部１２３は、暗号化ライセンスを復号し、復号したライセンスを一時記憶し、さらにＳ６１５において、履歴管理木の親ノードの改ざん検証値を一時記憶してもよい。この場合、受信機１１０は、ＩＣカード１２０から更新された履歴管理木のノードと履歴ファイルを受信し、受信機記憶部１１２へ記憶した後、ＩＣカード１２０へ更新された履歴管理木のノードと履歴ファイルの記憶が終了したことを通知する。ＩＣカード１２０は、この通知を受けた後、一時記憶していたライセンスの管理を開始し、一時記憶していた履歴管理木の親ノードの改ざん検証値をＩＣカード記憶部１２２に記憶させる。

なお、図１１のＳ６１１において、ＩＣカード１２０のライセンス入力処理部１２３は、ライセンスの入力を拒否した場合、サーバ１００へライセンスの入力を拒否した旨を通知してもよい。ＩＣカード１２０からライセンスの入力を拒否した旨を通知されたサーバ１００は、予め定められた規則に従い、ライセンスの入力を拒否した旨を通知したＩＣカード１２０をＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｅ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）に記載し、リボークする処理を行ってもよいし、ＩＣカード１２０を一意に識別するＩＣカードＩＤを記録する処理などを行ってもよい。

なお、受信機記憶部１１２に記憶する履歴管理木もしくは履歴ファイルが破損した場合、受信機１１０は、履歴管理木もしくは履歴ファイルが破損した旨をサーバ１００へ送信してもよい。また、受信機１１０は、履歴管理木もしくは履歴ファイルが破損した旨をＩＣカード１２０へ送信し、ＩＣカード１２０が履歴管理木もしくは履歴ファイルが破損した旨をサーバ１００へ送信してもよい。

サーバ１００は、履歴管理木もしくは履歴ファイルが破損した旨を通知された場合、予め定められた規則に従い、履歴管理木もしくは履歴ファイルが破損した旨を通知した受信機１１０またはＩＣカード１２０をＣＲＬに記載しリボークする処理を行ってもよいし、履歴管理木もしくは履歴ファイルを削除して、再作成することを許可する旨を該受信機１１０またはＩＣカード１２０へ通知し、復旧作業を行わせる処理などを行ってもよい。

また、ＩＣカード１２０は、履歴管理木もしくは履歴ファイルが破損した旨を通知された場合、受信機１１０からのライセンスの取り込み処理をロックし、サーバからの放送または通信経由の指示によりロックを解除してもよい。これにより、履歴管理木や履歴ファイルが破損した場合の対応をサーバが決定することができるため、ユーザが受信機１１０を介して不正にＩＣカード１２０へアクセスすることを防止することが可能となる。

なお、取得履歴決定部１１１は、受信機１１０ではなくＩＣカード１２０に含まれてもよい。この場合、受信機１１０は、ＩＣカード１２０へ暗号化ライセンスのみを送信する。すると、暗号化ライセンスを受信したＩＣカード１２０の取得履歴決定部１１１は、暗号化ライセンスから分類キー２０３を取得し、分類キー２０３に含まれる少なくとも履歴ファイルＩＤ２０５を受信機１１０へ送信する。分類キー２０３の少なくとも履歴ファイルＩＤ２０５を受信した受信機１１０の履歴取得部１１３は、受信した情報に基づいて履歴管理木のノードと履歴ファイルとを取得し、取得した履歴管理木のノードと履歴ファイルとをＩＣカード１２０へ送信する。この時点で、ＩＣカード１２０は、暗号化ライセンスと対応する履歴ファイルと履歴管理木のノードとを保持しており、以後の処理は、取得履歴決定部１１１が受信機１１０に含まれる場合と同様である。

なお、取得履歴決定部１１１が、受信機１１０ではなくＩＣカード１２０に含まれる場合、暗号化ライセンスのライセンスＩＤ２０１と分類キー２０３とは暗号化されていてもよく、ＩＣカード１２０に含まれる取得履歴決定部１１１は、暗号化ライセンスから分類キー２０３を取得する前に、暗号化ライセンスを復号する。

本発明に係るライセンス入力履歴管理方式は、サーバがライセンスに分類キーを設定し、受信機が分類キーに基づいて必要な履歴ファイルを決定し、ＩＣカードが分類キーを用いて必要な履歴ファイルであることを正しく確認する方式であり、暗号化されたコンテンツの利用を、コンテンツ毎に定められたライセンスの利用条件により制限するコンテンツ配信システムにおいて、ライセンスの重複入力を防止するためのライセンスの入力履歴管理方式として有用である。

また、改ざん検証を行う必要があるデータを複数に分割してセキュアでないモジュールに記憶させ、セキュアなモジュールが適宜必要な分割データだけをセキュアでないモジュールから取得して利用する場合、セキュアなモジュールが必要な分割データであることを正しく確認し、必要な分割データだけの改ざん検証が行う必要があるデータ管理方式、データ利用方式にも応用できる。

図１は、本発明の実施の形態におけるサーバ型放送システムの概観の一例を示す図である。 図２は、本発明の実施の形態におけるサーバ型放送システムが備える装置の構成を示すブロック図である。 図３は、本発明の実施の形態におけるライセンス情報の構成を示す図である。 図４は、本発明の実施の形態における履歴ファイルの構成を示す図である。 図５は、本発明の実施の形態における分類キー発行履歴の構成を示す図である。 図６は、本発明の実施の形態における履歴管理木のノードの構成を示す図である。 図７は、本発明の実施の形態における履歴管理木と履歴ファイルの構成例を示す図である。 図８は、サーバ型放送システムが備える各装置が実行する処理と各装置間で送受信される情報とを示すタイムチャートである。 図９は、本発明の実施の形態におけるサーバが実行する処理のフローチャートである。 図１０は、本発明の実施の形態における受信機が実行する暗号化ライセンスと履歴管理木および履歴ファイルとの取得処理Ｓ６０５の詳細およびそれらの送信処理Ｓ６０６のフローチャートである。 図１１は、本発明の実施の形態におけるＩＣカードが実行するライセンスの入力に関連する処理のフローチャートである。 図１２は、本発明の実施の形態におけるＩＣカードが実行するライセンス入力履歴確認処理Ｓ９０４の詳細を示すフローチャートである。

符号の説明

１００ サーバ
１０１ 分類キー生成部
１０２ サーバ記憶部
１０３ ライセンス発行部
１０４ サーバ通信部
１１０ 受信機
１１１ 取得履歴決定部
１１２ 受信機記憶部
１１３ 履歴取得部
１１４ 受信機通信部
１１５ コンテンツ再生部
１２０ ＩＣカード
１２１ 履歴確認部
１２２ ＩＣカード記憶部
１２３ ライセンス入力処理部
１２４ 利用条件判定部
１３０ ディスプレイ装置
２０１ ライセンスＩＤ
２０２ コンテンツ利用条件
２０３ 分類キー
２０４ コンテンツ鍵
２０５ 履歴ファイルＩＤ
２０６ 書き込み行
２０７ 管理番号
３０１ 履歴情報
３０２ 履歴ファイル改ざん検証値
３０３ 履歴保持期限
５０１ ノードＩＤ
５０２ ノード改ざん検証値
５０３ 子の改ざん検証情報リスト

Claims (33)

1. コンテンツの利用条件を含むライセンスを送信するサーバであって、
   受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、
   コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、
   前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備える
   ことを特徴とするサーバ。
2. さらに、前記分類キー生成手段が生成した前記分類キーの履歴を含む分類キー生成履歴情報を記憶しているサーバ記憶手段を備え、
   前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、受信側でのライセンスの入力の履歴を書き込むべき履歴ファイルを示す履歴ファイルＩＤを選択し、選択した履歴ファイルＩＤを含む分類キーを生成し、生成した分類キーを前記分類キー生成履歴情報に記録する
   ことを特徴とする請求項１に記載のサーバ。
3. 前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を選択し、選択した前記書き込み行を含む分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
   ことを特徴とする請求項２に記載のサーバ。
4. 前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、予め定められた前記履歴ファイルの管理に関する規則に従って、さらに、生成する分類キーの順序を示す管理番号を生成し、生成した前記管理番号を含む分類キーを生成し、生成した前記分類キーを前
   記分類キー生成履歴情報に記録する
   ことを特徴とする請求項２に記載のサーバ。
5. 前記分類キー生成手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に前記履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを生成し、生成した前記分類キーを前記生成履歴情報に記録する
   ことを特徴とする請求項２に記載のサーバ。
6. 前記分類キー生成手段は、生成した分類キーと、さらに、前記ライセンス発行手段が当該分類キーに関連付けた前記ライセンスを一意に識別するためのライセンスＩＤとを関連付けて前記分類キー生成履歴情報に記録する
   ことを特徴とする請求項２に記載のサーバ。
7. 前記分類キー生成手段は、生成した分類キーと、前記ライセンスＩＤと、さらに、前記ライセンス発行手段が当該分類キーと関連付けた前記ライセンスの入力の履歴を保持すべき期限を示す履歴保持期限とを関連付けて前記分類キー生成履歴情報に記録する
   ことを特徴とする請求項２に記載のサーバ。
8. 前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、前記各履歴ファイルのサイズに偏りがないようにすることを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
   ことを特徴とする請求項４に記載のサーバ。
9. 前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、前記履歴ファイルの数が少なくなるようにすることを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
   ことを特徴とする請求項４に記載のサーバ。
10. 前記分類キー生成手段は、前記分類キー生成履歴情報を参照し、期限の過ぎた前記履歴保持期限に関連付けられた情報を更新することを内容とする前記予め定められた前記履歴ファイルの管理に関する規則に従って、前記履歴ファイルＩＤ、前記書き込み行および前記管理番号のうち少なくとも１つを選択し、選択した前記履歴ファイルＩＤ、前記書き込み行および前記管理番号を含む前記分類キーを生成し、生成した前記分類キーを前記分類キー生成履歴情報に記録する
    ことを特徴とする請求項７に記載のサーバ。
11. 前記サーバ送信手段は、前記分類キーに含まれる前記履歴ファイルＩＤ以外の部分と、前記分類キーに関連付けられた前記ライセンスに含まれる前記ライセンスＩＤ以外の部分とを暗号化して送信する
    ことを特徴とする請求項１に記載のサーバ。
12. さらに、前記経路情報を含む前記履歴ファイルＩＤを生成する履歴ファイルＩＤ生成手段を備える
    ことを特徴とする請求項４に記載のサーバ。
13. さらに、前記履歴ファイルが破損したことを示す通知または、前記ライセンスの入力が拒否されたことを示す通知の少なくとも１つを受信するサーバ受信手段と、
    前記サーバ受信手段が受信した通知を送信した機器をＣＲＬに記載するＣＲＬ処理手段とを備える
    ことを特徴とする請求項１に記載のサーバ。
14. さらに、前記履歴ファイルが破損したことを示す通知を、受信機またはＩＣカードから受信するサーバ受信手段を備え、
    前記サーバ送信手段は、さらに、前記サーバ受信手段が通知を受信した場合に、予め定められた規則に従って、ＩＣカードへライセンス入力処理のロック解除指示、または、履歴ファイルの再作成指示のうち少なくとも１つを送信する
    ことを特徴とする請求項１に記載のサーバ。
15. さらに、前記履歴ファイルが破損したことを示す通知を、受信機またはＩＣカードから受信するサーバ受信手段と、
    前記サーバ受信手段が通知を受信した場合に、当該通知の通知元である受信機またはＩＣカードの固有情報を記録する機器情報記録手段とを備える
    ことを特徴とする請求項１に記載のサーバ。
16. サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信機であって、
    ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信手段と、
    前記複数の履歴ファイルを記憶している受信機記憶手段と、
    前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、
    前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、受信機に取り付けられているＩＣカードへ送信する受信機送信手段を備える
    ことを特徴とする受信機。
17. 前記受信機受信手段は、さらに、前記履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木の根から葉までの経路を示す経路情報を含む分類キーを受信し、
    前記履歴取得手段は、さらに、前記分類キーに含まれる前記経路情報が示す前記履歴管理木の経路上のノードが持つ前記改ざん検証情報を取得し、
    前記受信機送信手段は、さらに、前記履歴取得手段が取得した前記改ざん検証情報を受信機に取り付けられているＩＣカードへ送信する
    ことを特徴とする請求項１６に記載の受信機。
18. 受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うＩＣカードであって、
    ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信手段と、
    前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記
    ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、
    前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える
    ことを特徴とするＩＣカード。
19. さらに、前記分類キー、前記分類キーに関連付けられた前記ライセンス、前記履歴ファイル、および、履歴ファイルの改ざん検証を行うための改ざん検証情報をノードに持ち、葉に履歴ファイル持つ履歴管理木のノードのうち、少なくとも１つの改ざん検証を行う改ざん検証手段を備え、
    前記ＩＣカード受信手段は、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスと、さらに、ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記履歴管理木の根から当該履歴ファイルまでの経路にあるノードに含まれる改ざん検証情報とを、前記受信機から受信し、
    前記履歴確認手段は、前記改ざん検証手段により改ざんが検出されなかった場合にのみ、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる前記履歴ファイルＩＤとを比較する
    ことを特徴とする請求項１８に記載のＩＣカード。
20. さらに、前記ライセンス処理手段が前記ＩＣカード受信手段により受信されたライセンスに対して入力を行った場合に、前記ライセンス処理手段が行ったライセンスの入力の履歴を、当該ライセンスに関連付けて前記ＩＣカード受信手段により受信された、分類キーに含まれる履歴ファイルＩＤが示す履歴ファイルに記録する処理履歴記録手段を備える
    ことを特徴とする請求項１８に記載のＩＣカード。
21. 前記ＩＣカード受信手段は、さらに、ライセンスの入力の履歴を書き込むべき履歴ファイルにおいて履歴を書き込むべき行を示す書き込み行を含む分類キーを、前記受信機から受信し、
    前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に、前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する
    ことを特徴とする請求項１８に記載のＩＣカード。
22. 前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に上書き記録で行う
    ことを特徴とする請求項２１に記載のＩＣカード。
23. 前記ＩＣカード受信手段は、さらに、各履歴ファイルの行毎に分類キーが生成された順序を示す管理番号を含む分類キーを、前記受信機から受信し、
    前記履歴確認手段は、前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイ
    ルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルの中の、前記ＩＣカード受信手段が受信した分類キーに含まれる書き込み行に記録されている管理番号より、前記ＩＣカード受信手段が受信した分類キーに含まれる管理番号の方が新しく生成された分類キーに対応することを確認する
    ことを特徴とする請求項２１に記載のＩＣカード。
24. 前記処理履歴記録手段は、前記履歴ファイルへの記録を、前記履歴ファイルの中の前記分類キーに含まれる前記書き込み行が示す行に、前記分類キーに含まれる前記管理番号とともに上書き記録で行う
    ことを特徴とする請求項２３に記載のＩＣカード。
25. さらに、前記処理履歴記録手段が更新した前記履歴ファイルを前記受信機へ送信するＩＣカード送信手段を備える
    ことを特徴とする請求項２０に記載のＩＣカード。
26. さらに、前記分類キーに含まれる前記履歴ファイルＩＤに従って取得する前記履歴ファイルを決定し、決定した取得すべき履歴ファイルの前記履歴ファイルＩＤを前記受信機へ送信する取得履歴決定手段を備える
    ことを特徴とする請求項１８に記載のＩＣカード。
27. さらに、取り付けられている受信機から、当該受信機が記憶している履歴ファイルの破損の通知を受け付け、当該破損の通知を受け付けた場合に、前記ライセンス処理手段における入力をロックするロック手段と、
    サーバからロック解除の指示を受け付け、当該ロック解除の指示を受け付けた場合に、前記ロック手段によるロックを解除するロック解除手段とを備える
    ことを特徴とする請求項１８に記載のＩＣカード。
28. さらに、取り付けられている受信機から、当該受信機が記憶している履歴ファイルの破損の通知を受け付け、当該破損の通知を受け付けた場合に、前記ライセンス処理手段における入力をロックするロック手段と、
    サーバから履歴ファイルの再作成指示を受け付け、前記ロック手段が前記ライセンス処理手段における入力をロックしている間に、前記再作成指示を受け付けた場合に、履歴ファイルを再作成する履歴ファイル再作成手段とを備える
    ことを特徴とする請求項１８に記載のＩＣカード。
29. サーバから送信されるコンテンツの利用条件を含むライセンスを受信する受信方法であって、
    ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信ステップと、
    前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記複数の履歴ファイルを記憶している受信機記憶手段から取得する履歴取得ステップと、
    前記履歴取得ステップにおいて取得された前記履歴ファイルと、前記受信機受信ステップにおいて受信された前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、ＩＣカードへ送信する受信機送信ステップとを含む
    ことを特徴とする受信方法。
30. 受信機に取り付けられ、コンテンツの利用条件を含むライセンスの入力を行うライセンス入力方法であって、
    ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信ステップと、
    前記ＩＣカード受信ステップにおいて受信された分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信ステップにおいて受信された履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信ステップにおいて受信された前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認ステップと、
    前記履歴確認ステップにおいて、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスの入力を拒否するライセンス処理ステップとを含む
    ことを特徴とするライセンス入力方法。
31. サーバから送信されるコンテンツの利用条件を含むライセンスを受信するための受信プログラムであって、
    ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、当該分類キーに関連付けられたライセンスとを受信する受信機受信ステップと、
    前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記複数の履歴ファイルを記憶している受信機記憶手段から取得する履歴取得ステップと、
    前記履歴取得ステップにおいて取得された前記履歴ファイルと、前記受信機受信ステップにおいて受信された前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、ＩＣカードへ送信する受信機送信ステップとをコンピュータに実行させる
    ことを特徴とする受信プログラム。
32. コンテンツの利用条件を含むライセンスをＩＣカードに入力するためのライセンス入力プログラムであって、
    ライセンスの入力の履歴が分散して記録されている複数の履歴ファイルのうちの１つの
    履歴ファイルと、前記複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーと、前記分類キーに関連付けられたライセンスとを、前記受信機から受信するＩＣカード受信ステップと、
    前記ＩＣカード受信ステップにおいて受信された分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信ステップにおいて受信された履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信ステップにおいて受信された前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認ステップと、
    前記履歴確認ステップにおいて、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信ステップにおいて受信されたライセンスの入力を拒否するライセンス処理ステップとをコンピュータに実行させる
    ことを特徴とするライセンス入力プログラム。
33. コンテンツの利用条件を含むライセンスを送信するサーバと、サーバから送信されるライセンスを受信する受信機と、受信機に取り付けられ、ライセンスの入力を行うＩＣカードとから構成されるライセンス管理システムであって、
    サーバは、
    受信側におけるライセンス入力の履歴が分散して記録されている複数の履歴ファイルの各々を一意に識別するための履歴ファイルＩＤを含む分類キーを生成する分類キー生成手段と、
    コンテンツの利用条件を含むライセンスを、前記分類キー生成手段が生成した前記分類キーと関連付けて発行するライセンス発行手段と、
    前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを送信するサーバ送信手段とを備え、
    受信機は、
    前記サーバ送信手段により送信される前記分類キーと、当該分類キーに関連付けられた前記ライセンスとを受信する受信機受信手段と、
    前記複数の履歴ファイルを記憶している受信機記憶手段と、
    前記分類キーに含まれる前記履歴ファイルＩＤにより示される前記履歴ファイルを、前記受信機記憶手段から取得する履歴取得手段と、
    前記履歴取得手段が取得した前記履歴ファイルと、前記受信機受信手段が受信した前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを、前記ＩＣカードへ送信する受信機送信手段を備え、
    ＩＣカードは、
    前記受信機送信手段により送信される、前記履歴ファイルと、前記分類キーおよび前記分類キーに関連付けられた前記ライセンスとを受信するＩＣカード受信手段と、
    前記ＩＣカード受信手段が受信する分類キーに含まれる前記履歴ファイルＩＤと、前記ＩＣカード受信手段が受信する履歴ファイルに含まれる履歴ファイルＩＤとを比較し、比較の結果、両者の履歴ファイルＩＤが同一である場合に、当該履歴ファイルＩＤが示す履歴ファイルに前記ＩＣカード受信手段が受信した前記ライセンスの入力履歴が含まれているか否かを確認する履歴確認手段と、
    前記履歴確認手段により、前記ライセンスの入力履歴が含まれていないことが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスに対して入力を行い、前記ライセンスの入力履歴が含まれていることが確認された場合に、前記ＩＣカード受信手段により受信されたライセンスの入力を拒否するライセンス処理手段とを備える
    ことを特徴とするライセンス管理システム。

Images