JP5172681B2 - 改善されたｄｒｍシステム - Google Patents

Description

本発明は、デジタル権利管理（ＤＲＭ：Digital Rights Management）システムに関する。

近年、利用可能なコンテンツ保護システムの数が急速に増加している。これらシステムの幾つかは許可されていない複写に対してコンテンツを保護するのみである一方、他のものはコンテンツにアクセスするユーザの能力を制限している。これらのシステムは、しばしば、デジタル権利管理（ＤＲＭ）システムと呼ばれている。

消費者は、努力無しで且つ可能な限り少ない制限でコンテンツを楽しみたいと欲する。また、消費者は、全てのタイプのアプリケーションを可能にすると共に全てのタイプのコンテンツに容易にアクセスするように自身の装置をネットワーク化したいと欲する。また、消費者は、自身の家庭環境内で制限無しにコンテンツを共有／転送することができることを欲する。

［認可ドメイン］
認可ドメイン（ＡＤ：Authorized Domain）の概念は、コンテンツ所有者（自身の知的財産の保護を欲する）及びコンテンツ消費者（コンテンツの無制限な使用を欲する）の両者につくす解決策を見付けようと試みるものである。その基本原理は、認可ドメインの境界を越えない限りにおいてコンテンツを相対的に自由に使用することができるような管理されたネットワーク環境を持つというものである。典型的に、認可ドメインは家庭環境（ホームネットワークとも呼ばれる）を中心とするものである。

勿論、他の筋書きも可能である。例えば、ユーザは限られた量のコンテンツを持つオーディオ及び／又はビデオ用の携帯装置を旅行に携行し、該装置をホテルで使用して家の自身の個人的オーディオ及び／又はビデオシステムに記憶された追加のコンテンツにアクセスし又は斯かるコンテンツをダウンロードすることができる。該携帯装置はホームネットワークの外側にあるが、該ユーザの認可ドメインの一部である。このようにして、認可ドメイン（ＡＤ）は、当該ドメイン内の装置によるコンテンツへのアクセスは許可するが、如何なる他のものによるものも許可しないようなシステムである。

認可ドメインは、認可ドメイン識別、装置のチェックイン、装置のチェックアウト、権利のチェックイン、権利のチェックアウト、コンテンツのチェックイン、コンテンツのチェックアウト及びドメイン管理等の問題に対処する必要がある。認可ドメインの使用等の一層詳細な説明に関しては、２００２年９月１２〜１６日に開催されたＩＢＣ２００２会議広報第４６７〜４７４頁のオランダ、フィリップス・リサーチS.A.F.A. van den Heuvel、W. Jonker、F.L.A.J. Kamperman、P.J. Lenoirによる"Secure Content Management in Authorised Domains"又は２００５年９月１９〜２１日のオーストリア、ザルツブルグ におけるConference on Communications and Multimedia Security (CMS) 2005, LNCS 3677の第４２〜５４頁のPaul Koster、Frank Kamperman、Peter Lenoir及びKoen Vrielinkによる"Identity based DRM: Personal Entertainment Domain"を参照されたい。

［認可ドメインの幾つかの形態］
認可ドメインの概念を或る程度に実施化する種々の提案が存在する。所謂装置型ＡＤにおいては、ドメインは特定の組のハードウェア装置又はソフトウェアアプリケーション（以後、クライアントと総称する）と、コンテンツとにより形成される。クライアントの１以上、スマートカード又は他の装置とすることが可能なドメインマネージャ又はコントローラは、どのクライアントが当該ドメインに参加することができるかを管理する。当該ドメインにおける上記特定の組のクライアント（メンバ）だけが、該ドメインのコンテンツを利用すること（例えば、該コンテンツを開き、コピーし、再生し又はエクスポートすること）を許可される。このような装置型ＡＤの例は、出願人による国際特許出願公開第WO 03/098931号（代理人整理番号： PHNL020455）、国際特許出願公開第WO 2005/088896号（代理人整理番号： PHNL040288）及び国際特許出願公開第WO 04/027588号（代理人整理番号： PHNL030283）に示されており、これら文献の全ては参照により本明細書に組み込まれるものとする。

或るタイプの装置型ＡＤは、ドメインに拘束される一群の装置が該ドメインに拘束されるコンテンツにアクセスするのを許可する。この二重の拘束は、全てのメンバがコンテンツにアクセスすることができることを保証する。この構成は、しばしば、共有秘密キーにより拘束を実施することにより確立される。このキーはドメインマネージャにより選択され、全メンバに分配される。コンテンツが該ドメインに拘束された場合、上記共有キーによる暗号化により、ライセンスが該ドメインに暗号的にリンクされる。他の例として、コンテンツは１つのクライアントに直接拘束されるようにすることができ、クライアントはＡＤに拘束されたままとする。

他のタイプのアプリケーションは、所謂人型ＡＤであり、その場合、ドメインは装置の代わりに人に基づくものとなる。このようなシステムの一例は、出願人による国際特許出願公開第WO 04/038568号（代理人整理番号： PHNL021063）に記載されており、該文献は参照により本明細書に組み込まれるものとする。該システムにおいては、コンテンツは人に結合され、これら人がドメインにグループ化される。

所謂ハイブリッド認可ドメイン型ＤＲＭシステムは、コンテンツを、装置及び人を含むことができるグループに結合する。このグループは、典型的には：
１．コンテンツは、世帯に属するメンバ（例えばリビングのＴＶ、寝室のＴＶ、ＰＣ）の何れかにおいて見ることができ；
２．コンテンツは、世帯に属するユーザの誰かにより、何れかのクライアント（ホテルの部屋内のテレビジョン等）で認証された後に見ることができる。このような認証には、通常は、スマートカード等のユーザ認証装置が関わる；
のように、世帯に限定される。

ハイブリッドＡＤシステムの例は、国際特許出願公開第WO 2005/010879号（代理人整理番号： PHNL030926）及び国際特許出願公開第WO 2005/093544号（代理人整理番号： PHNL040315）に見ることができ、これら文献は参照により本明細書に組み込まれるものとする。

一般的に言って、ＡＤは一群のクライアント（Client）を有する。クライアントは、一般的に言って、ライセンス及びリンク（Link）を、これらライセンス及びリンクで表される権利に基づいてコンテンツ（Content）のインスタンスに対するアクセスを得る目的で取得及び分析する機能的主体である。典型的に、クライアントは１以上のソフトウェアアプリケーション及び／又はハードウェアコンポーネントとして実施化される。例えば、クライアントは携帯電話又は携帯音楽プレーヤ等の装置上のソフトウェアアプリケーションとして設けることができる。クライアントは、通常は、必要な処理を実行するプロセッサを有すると共に、該プロセッサにより実行されるべきコンテンツ及び／又は命令を記憶するメモリを備えている。ＡＤに含まれるクライアントは、メンバクライアント（Member Client）と又は短く単にメンバ（Member）と称する。

コンテンツは、１以上のライセンス所有者（License Owner：ＬＯ）によりメンバクライアントに利用可能にされる。ライセンス所有者は、一般的に言って、ドメイン（Domain）環境におけるユーザを表す主体である。ユーザは、当該システムと対話する個人である。ユーザは、コンテンツのインスタンスに対する権利を許諾され得る。このようなライセンスの許諾は、当該システムにおいては、コンテンツ（の特定のインスタンス）をライセンス所有者にリンクするライセンスを設けることにより表すことができる。ライセンス所有者は、データベース又はソフトウェアオブジェクトにおけるデータ構造、レコードに情報を設けることにより実施化することができる。ユーザとの関係は、システムにおいては明示的に規定されないが、例えば上記情報を含む装置を有するようなユーザにより実現することができる。

ライセンスは、関連するコンテンツアイテムに固有な許可及び制限を含む。ドメイン構成（ドメインコンフィギュレーション）には多数の（例えば、15,000の）ライセンスが存在し得、これらを発行し及びクライアントに通知することは、著しい量の資源がかかり得ることに注意されたい。

コンテンツにアクセスしようとするクライアントは、そのようにするようにライセンスを受けていなければならない。クライアントがライセンスを受けているかを判断するためには、
・コンテンツにアクセスする権利がライセンス所有者により"所有され"ており、且つ、
・該ライセンス所有者はドメインに関連付けられて（結合されて）おり、且つ、
・当該クライアントは、該ドメインのメンバである、
ことが証明されねばならない。

言い換えると、ライセンス所有者は当該コンテンツにアクセスする資格を有しなければならず、当該ドメインに関連付けられていなければならない。クライアントによるコンテンツにアクセスする能力は、全体の認可チェーン、
クライアント（Client）→ドメイン（Domain）→ライセンス所有者（License Owner）→コンテンツ（Content）
が整っており、全ての関係が有効であることを意味する。関係の確立された構成においてなされた変更は、一貫性を保持するために関係が無効化されることを要し得る。分割されたシステムにおいては、上記チェーンにおける全ての主体は、常時互いに接続されているとは限らない異なるホスト上に配置され得る。

図１は、クライアントからコンテンツへの上記のような認可チェーンを概念的に示し、該図において各関係は、記号"＊"により示されるように、各方向において１より大きな多様性を有し得る。ドメインコンフィギュレーションにおけるクライアント、ドメイン、ライセンス所有者及びコンテンツなる主体の間の関係は、証明（時には（デジタル）証明とも称す）において表すことができると共に権限を与えることができる。下記の証明を使用することができる：
・特定のライセンス所有者がコンテンツに対して有する権利は、該ライセンス所有者及び関連するコンテンツを参照するライセンスで表される。ライセンスは、典型的には、関連する情報をマシン読み取り可能なフォーマットで有するデジタル的に署名されたオブジェクトとして実現される。斯様なライセンスは、当該コンテンツへのアクセスが望まれる時点で評価されるべき、当該ライセンスにおける所謂制御オブジェクトに記憶された実行可能な制御コードで表された特定の許可及び制限規則も含む（許可及び制限は、例えばＸｒＭＬ等の準正式権利言語により表すこともできることに注意）。ここで使用する肯定的許諾モデルにおける許可は、例えば"再生（Play）"又は"コピー（Copy）"等の個別の権利であり、斯かる権利は例えば"１０回のみ"又は"20:00pm以降"又は"土曜日のみ"等の１以上の制限により限定することができる。許可との組み合わせで使用される制限は、許可の使用を限定する条件を規定する。全ての許可は、異なる制限を有することができる。各ライセンスは自身の組の許可及び斯かる許可に対する制限を有する（制御情報において）ことに注意されたい。元のコンテンツサービスプロバイダは、ライセンスにおいて、恐らくは複数の制限で拡張された許可を規定する。当該システムのユーザ（消費者）は、"彼の"ドメインにおける使用のために当該ライセンスに更に限定する制限を追加したいと望むかも知れない。元のコンテンツサービスプロバイダは例えば親の管理（ペアレンタルコントロール）制限は設定しないが、取得したコンテンツをドメインに解放するライセンス所有者は、そのようにすることを欲するかも知れない。一例として、ライセンス所有者は、複数のコンテンツアイテムに関して、22:00pmより前にはアクセス可能であるべきでない、又は当該コンテンツアイテムはクライアントを操作するユーザの何らかの適切な認証なしではアクセス可能ではないと規定する。このことは、異なる領域の管理、即ちサービスプロバイダに対するもの及び僅かに異なる特徴を持つライセンス所有者（ユーザ）に対するもの、につながる。サービスプロバイダの設定が変化することはありそうにない。即ち、ライセンスは必要な場合は全体的に無効にされ、結果としてライセンスの取り消しが必要となる。他方、ライセンス所有者（ユーザ）が自身の以前に定めた制限を変更したいと欲する可能性もあり、結果として当該ライセンスの変更をシステム中に行き渡らせることができることが必要となる。
・ライセンス所有者とドメインとの間の結合（関連付け）関係は、ドメインからライセンス所有者への有向リンク（LinkLOと呼ばれる）で表される。斯様なリンクは、当該リンクが使用されるべき時点で評価されるべき、該リンクの有効性を認め、当該リンク内の所謂制御オブジェクトに記憶される実行可能な制御コードで表された制限規則を含むことができる。斯様なリンクは、好ましくは、当該ドメイン及びライセンス所有者が識別されるデジタル的に署名されたオブジェクトを用いて作成される。
・クライアントとドメインとの間の会員（メンバシップ）関係は、クライアントからドメインへの有向リンク（LinkCと呼ばれる）で表される。斯様なリンクは、当該リンクが使用されるべき時点で評価されるべき、該リンクの有効性を認め、当該リンク内の所謂制御オブジェクトに記憶される実行可能な制御コードで表された制限規則を含むことができる。斯様なリンクは、好ましくは、当該クライアント及びドメインが識別されるデジタル的に署名されたオブジェクトを用いて作成される。

有効性の評価を支援すると共に、情報の伝送の目的で、属性をライセンス及びリンクに追加することができる。

ドメインのメンバである各クライアントは、ある時点でのドメインコンフィギュレーションを有する証明及びコンテンツ（のコピー）に、例えば斯かるコンテンツ及び証明を必要に応じてダウンロードすることによりアクセスすることができる。もっとも、このようなデータの幾つか又は全ては、さもなければ、放送又は配信することもできる。

クライアントがコンテンツにアクセスしようとする場合、該コンテンツに対するライセンスを評価し、該ライセンスで規定された許可及び制限をチェックする。この目的のために、クライアントにはライセンス評価モジュールが設けられ、該モジュールは例えばスマートカード上の安全なチップ及び／又はソフトウェアコンポーネントとして実現することができる。

各ライセンスには、クライアントに対して利用可能な異なりリンクを使用して、評価しているクライアントからライセンス所有者への有効経路（リンクのチェーン）が存在しなければならないという制限が存在する。この経路評価の間において、当該経路を形成するリンクに存在する如何なる制限（当該リンクの有効性を制限する条件である）も評価されねばならない。結果として、コンテンツには、評価しているクライアントと該コンテンツとの間に証明の経路が見つかる一方、各証明における全ての条件が満たされる場合にのみアクセスすることができる。このような経路が見つかった場合、ライセンス評価モジュールはコンテンツアクセスモジュールが、要求された態様で当該コンテンツにアクセスするのを可能にする。次いで、該コンテンツが使用規則に従ってレンダリング、コピー及び／又は配信することができる。

このシステムは、ドメインコンフィギュレーションに基づいてクライアントに権利を許諾するように、うまく動作する。確立された関係のコンフィギュレーションにおけるクライアントに対して以前に許諾された権利を変更し又は完全に取り去るには、当該システムにおける一貫性を保持するために、関係及び斯かる関係に関連する証明が無効化されることを要する。当該チェーンにおける主体は、互いに常に接続されることは必要とされないような異なる装置上に配置することができる。接続されていないクライアントは、証明が最早有効でないと単に"通知される"ことはできない。証明に関する他の問題は、証明がクライアント上で削除されたとしても、該証明の他のコピーが当該システムにおける他のホストから又はバックアップシステムから該クライアント上に（再）出現し得ることである。これは、権限のない悪意のユーザがクライアント上のコンテンツへのアクセスを得るための機会を与えてしまう。

無効にされるべき証明の全てのインスタンス（コピー）を削除することによる当該システムにおける証拠の無効化が可能ではないという事実故に、クライアントがコンテンツに対して有する権利を減少させることができるように、無効化の他の方法が必要とされる。

短く述べると、上述したようなシステムにおいて、コンテンツに対するアクセスが、ドメインのメンバであるクライアントに対し、ライセンス所有者により所有されるライセンスに従って許諾される。このことは、クライアントとドメインとの間に該クライアント及び該ドメインのコントローラの両方により維持される第１状態変数に反映されるようなメンバシップ関係が存在し、且つ、ライセンス所有者とドメインとの間に該ドメインのコントローラ及び該ライセンス所有者に関連付けられたライセンス所有者コントローラの両方により維持される第２状態変数に反映されるような結合関係が存在することを成功裏に（肯定的に）検証することを要する。

これら２つの検証ステップは、上記クライアントの上記ドメインに対するメンバシップ、及び上記ライセンス所有者（従って、該所有者のライセンスも）の上記ドメインとの関連付けを証明する。結果として、上記コンテンツに対するアクセスを許諾することができる。２つの当事者間の関係は、好ましくは、斯かる２つの当事者が識別されるような証明内で表される。この場合、斯様な証明（典型的には、信頼される団体によりデジタル署名される）の存在が、上記関係の検証において使用される。

このようなドメインにおいて特定のコンテンツへアクセスする可能性を不能化することは、当該ライセンスにおける制限により、又は該ライセンスの有効性をクライアントに通知することにより構成することができる。このようなドメインにおいて特定のライセンス所有者の如何なるコンテンツへもアクセスする可能性を不能化することは、ドメイン→ライセンス所有者リンク（LinkLO）における制限により、又は該リンクの有効性をクライアントに通知することにより構成することができる。単一のクライアントが如何なるドメインコンテンツにアクセスすることも不可能にするためには、装置→ドメインリンク（LinkC）に対して同様の処理を実行することができる。

クライアントに対して、当事者間のオンラインプロトコルを必要とすることなしにコンテンツへのアクセスに関して即座に使用することが可能なドメインコンフィギュレーションに関する新たな情報を提供する証拠を伝送することができれば、当該システムにとり有益である。１つの適用例は、新たなライセンス所有者がLinkLOで表現されてドメインに関連付けられると共に、該ライセンス所有者がLicenseで表現されてコンテンツをドメインに解放した場合、これら証明を当該コンテンツと一緒に何らかの媒体を用いて非接続クライアントに伝送することは、該クライアントが該コンテンツに他の当事者と接続する必要性無しにアクセスすることを可能にする。

他の一層望ましい適用例は、既存の結合されたライセンス所有者がコンテンツを取得し、該コンテンツをドメインに解放した場合、当該ライセンスを上記コンテンツと一緒に何らかの媒体を用いて非接続クライアントに伝送することができ、該クライアントが該コンテンツに他の当事者と接続する必要性無しにアクセスすることを可能にする。

このような状況において証明に対し普通に使用される制限は、有効期間の規定であり、該有効期間の後、該証明は自身で不能化される。リンクにおける有効期間の場合、自身のリンクをリフレッシュするために当該システムにおけるリンク発行者と接触していなかったクライアントは、最終的に、コンテンツに最早アクセスすることができなくなるであろう。ライセンスにおける有効期間は、そのうち、再発行されない場合に、クライアント上の特定のコンテンツにアクセスする可能性が終了することになる。

証明における有効期間に関わる欠点は：
１．有効性を再確認するために証明は定期的に更新されねばならず、オンライン発行者を必要とし、ネットワークトラフィックを生じ、更新された証明の発生及び署名を必要とする；
２．クライアント上の全ての証明がクライアント上で同時にタイムアウトするとは限らず、ライセンスが異なる時点にタイムアウトした場合に望ましくないユーザの体験が生じる；
３．システム内で一貫性を維持するために、発行された証明の有効期間が経過したことを確かめるために幾つかの処理に対して待ち時間を導入しなければならない；
４．長い時間（＞有効期間）接続されておらず、その間ドメインコンフィギュレーションに何の変更もない場合、クライアントはコンテンツにアクセスすることができないであろう。

上記に関わる問題の１つは、どのようにしてリンク従って関係を高信頼度で無効化又は不能にするかである。証明を削除することは関係を無効化するが、証明がコピー及び分配され得た場合、悪意の人は簡単に事前に証明をコピーし、該証明が削除された後に復旧させることができる。安全なメモリに証明を記憶及び管理することは、１つの選択枝であるが、安全なメモリは、特に多数の証明を扱う場合に高価となる。

従って、本発明の目的は、メンバシップ関係及び結合（関連付け）関係を無効化する一層有効な手段を提供することである。

上記目的は、
ドメインのコントローラとクライアントとの間でオンラインプロトコルを実行し、その後両者が第１状態変数を削除することによりメンバシップ関係を無効にするステップと、
ライセンス所有者のコントローラと前記ドメインのコントローラとの間でオンラインプロトコルを実行し、その後前記ドメインのコントローラが第２状態変数を削除し、その後前記ドメインに関する状態管理情報（state administration）が前記クライアントに伝搬されて、第２状態変数が該クライアントにより除去されるようにすることにより結合関係を無効にするステップと、
を有する方法により達成される。

一般的に言うと、本発明は上記課題を、当該リンクで識別される当事者に自身の関係に関する状態を維持させ、かくして、斯かる当事者が状態変数を単に削除してリンクを無効化することができるようにすることにより解決する。前記クライアントは、例えばコンテンツにアクセスして再生するように構成（コンフィギュレーション）された装置であり、ドメインのコンテンツにアクセスすることができるためにドメインのメンバであることを要する。前記ドメインはドメインコントローラにより管理され、該ドメインコントローラは、典型的には、ホームネットワークにおける中央装置である（もっとも、多くの他のコンフィギュレーションも、勿論、可能である）。

前記ライセンス所有者は、自身のコンテンツが"自身の"ドメインにおける装置に対して利用可能であるようなユーザを表す主体である。このことは、該ライセンス所有者とドメインとの間に結合関係を必要とする。結合のライセンス所有者側はコントローラ装置により管理され、斯かるコントローラ装置は、例えばユーザにより所有されるスマートカードとして、又は例えばインターネットを介して第三者により提供されるサーバとして実現することができる。

ドメインのコントローラ及びクライアントは、当該ドメインにおけるクライアントのメンバシップに関する各状態変数を維持する。メンバシップ関係が存在することを恋うて的に検証するためには、有効な状態変数の存在が必要とされる。両主体が、これらの状態変数を削除すると（そのようにすることに、オンラインプロトコルにおいて同意した後に）、関係は最早検証することはできない。

同じことが前記結合関係に対しても成り立つが、この場合は、ドメインコントローラが、ドメインに関する状態管理情報をクライアントに伝搬させて、該クライアントが自身の状態管理情報を更新し、当該結合関係を反映する状態変数を削除することも必要となる。

一実施例においては、結合関係及びメンバシップ関係の検証は、状態情報により表された当該関係の有効期間を評価し、該有効期間が経過していない場合にのみ当該結合を肯定的に検証するようなステップを有する。有効性の時間に基づく経過を有することが有利である。これを、状態情報を用いて表すことにより、有効期間を容易にチェックすることができる。

他の実施例では、ライセンス状態をガード（guard）するために、ドメインコントローラ及びクライアントは第３状態変数を維持する。これは、本発明のメカニズム、メンバシップ関係及び結合関係のためのみならず、ライセンスのためにも有利に使用する。この実施例は、第３状態変数を削除することによりライセンスの無効化を許可する。これは、コピーを回復させることによる経過した又はさもなければ無効化されたライセンスの回復を防止する。何故なら、上記状態変数は斯様な方法では操作することができないからである。この場合、ライセンスのコピーを制限する必要性もない。何故なら、ライセンスは有効な第３状態変数を有する者によってのみ受諾され得るからである。

好ましくは、この実施例において、ライセンス所有者のコントローラが第３状態変数を作成し、該第３状態変数をドメインコントローラに伝達し、該ドメインコントローラがクライアントに該第３変数を伝達する。これは、有利にも、ライセンス所有者コントローラしか第３状態変数を作成することができることを必要としない。というのは、他のものは該コントローラから第３状態変数を簡単に（直接的に又は間接的に）受信することができるからである。ライセンス所有者のコントローラは、好ましくは、例えばスマートカード等の安全なモジュールとして実施化されるので、いずれにせよ、状態変数の作成を保護する如何なる特別な対策も講ずる必要がない。

本発明は、ＩＴ及びＣＥ装置のための認可ドメインシステム、恐らくは接続されていない装置を伴う環境におけるコンテンツ保護システム、並びに消費者装置に対する資産共有を備えるコミュニティシステム等の分野に用途を有することができる。

図２は例示的システム１００を概念的に示し、該システムは認可ドメイン（ＡＤ）を形成する装置１０１〜１０５及び人１３０、１３１を有している。典型的なデジタルホームネットワークを表そうとするシステム１００は、例えばラジオ受信機、チューナ／デコーダ、ＣＤプレーヤ、一対のスピーカ、テレビジョン、ＶＣＲ、デジタルレコーダ、携帯電話、テープデッキ、パーソナルコンピュータ、パーソナルデジタルアシスタント、携帯表示ユニット等の複数の装置を含んでいる。これらの装置はネットワーク１１０を介して相互接続され、例えば上記テレビジョン等の一方の装置が例えば上記ＶＣＲ等の他方の装置を制御するのを可能にする。例えば上記チューナ／デコーダ又はセットトップボックス（ＳＴＢ）等の１つの装置が通常は中央装置となり、他のものに対して中央制御を提供する。

典型的には音楽、歌、映画、ＴＶ番組、画像、ゲーム、本等の物を有するが、対話的サービスをも含むことができるコンテンツは、住宅ゲートウェイ又はセットトップボックス１０１を介して受信される。コンテンツは、該家庭に、ディスク等の記憶媒体のような他のソースを介して又は携帯装置を用いて入ることもできる。上記ソースは、広帯域ケーブルネットワーク、インターネット接続、衛星ダウンリンク等への接続とすることもできる。この場合、上記コンテンツはネットワーク１１０を介して、レンダリングするためのシンクに転送することができる。シンクは、例えば、テレビジョン表示器１０２、携帯表示装置１０３、携帯電話１０４及び／又はオーディオ再生装置１０５とすることができる。

コンテンツがレンダリングされる正確な方法は、装置のタイプ及びコンテンツのタイプに依存する。例えば、ラジオ受信機においては、レンダリングはオーディオ信号を発生すること及び斯かる信号をスピーカに供給することを含む。テレビジョン受信機の場合、レンダリングは、一般的に、オーディオ及びビデオ信号を発生すること並びに斯かる信号を表示スクリーン及びスピーカに供給することを含む。他のタイプのコンテンツに関しても、同様の適切な動作がなされねばならない。レンダリングは、受信された信号を解読又はスクランブル解除する、オーディオ及びビデオ信号を同期させる等の処理を含むことができる。

セットトップボックス１０１又はシステム１００における何らかの他の装置は、適切な大きさのハードディスク等の記憶媒体Ｓ１を有することができ、受信されたコンテンツの記録及び後の再生を可能にする。記憶媒体Ｓ１は、セットトップボックス１０１が接続された例えばＤＶＤ−ＲＷレコーダ等の何らかのタイプのパーソナルデジタルレコーダ（ＰＤＲ）とすることができる。コンテンツは、コンパクトディスク（ＣＤ）又はデジタル汎用ディスク（ＤＶＤ）等の担体１２０上に記憶されてシステム１００に入ることもできる。

携帯表示装置１０３及び携帯電話１０４は、例えばブルートゥース又はIEEE 802.11b/gを用いた無線アクセスポイント１１１を用いてネットワーク１１０に無線で接続される。他の装置は、通常の有線接続を用いて接続される。装置１０１〜１０５が相互に作用するのを可能にするために、幾つかの相互運用性（インターオペラビリティ）規格が利用可能であり、これら規格は異なる装置がメッセージ及び情報を交換すると共に互いを制御するのを可能にする。１つの良く知られた規格は、ユニバーサルプラグアンドプレイ（http://www.upnp.org）である。

１つの例示的シナリオにおいて、ユーザ１３０、１３１のうちの少なくとも一方が、装置１０１〜１０５の１以上に加えて、当該認可ドメインに結合（bound）される。オプションとして、複数のコンテンツアイテム（図示略）も該認可ドメインに結合することができる。このユーザ及び／又はコンテンツの結合は、国際特許出願公開第WO04/038568号（代理人整理番号：PHNL021063）に開示されたような方法で、国際特許出願公開第WO2005/010879号（代理人整理番号：PHNL030926）に開示されたような方法で、又は国際特許出願第IB2005/050910号（代理人整理番号：PHNL040315）に記載されたような方法で実行することができる。

当該ホームネットワークにおける装置１０１〜１０５がコンテンツの許可されていないコピーを行うことがないことを保証することが、しばしば、重要である。これを行うために、典型的にはデジタル権利管理（ＤＲＭ）システムと称されるセキュリティ枠組みが必要である。デジタルデータの形態のコンテンツを保護する１つの方法は、
・受信側装置が、準拠した装置であると認証されており、且つ、
・当該コンテンツのユーザが該コンテンツを他の装置へ転送する（ムーブ及び／又はコピーする）権利を有している、
場合にのみ、コンテンツが装置１０１〜１０５の間で転送されることを保証することである。コンテンツの転送が許可された場合、該転送は、典型的には、該コンテンツがＣＤ−ＲＯＭドライブとパーソナルコンピュータ（ホスト）との間のバス等のトランスポートチャンネルから有効なフォーマットで不法にキャプチャされ得ないことを保証するために暗号化された方法で実行される。

［ＡＤメンバの認証］
特には何らかの形の認可ドメインとして設定されたもののようなコンテンツ保護システムは、通常、試験され安全な構成を有すると証明された装置によってのみ知られた何らかの秘密に基づく、メンバ間の保護された通信を伴う。該秘密を知っていることは、認証プロトコルを用いて試験される。通常、これらプロトコルは、一対の異なるキーを使用する公開キー暗号を利用する。この場合、上記の試験されるべき秘密は上記対のうちの秘密キー（時には、プライベートキーとも呼ばれる）であり、上記公開キーは該試験の結果を検証するために使用することができる。

公開キーの正しさを保証すると共にキーの対が証明された装置の合法的な対であるかをチェックするために、上記公開キーには、全ての装置に対する公開／プライベートキー対の分配を管理する組織である、証明当局（ＣＡ）によりデジタル的に署名された証明書が付随する。誰もがＣＡの公開キーを知っており、該公開キーを斯かる証明書上のＣＡの署名を検証するために使用することができる。簡単な構成では、ＣＡの公開キーは、当該装置の構成内にハードウェア的に符号化することができる。

上記を可能にするために、各クライアントは複数の秘密キーを保持する。これらのキー及び斯かるキーを使用する制御フローは良好に保護されるべきである。というのは、これらのキー又は制御フローの操作を知ることは、ハッカが当該コンテンツ保護システムを出し抜くのを許すことになるからである。

上記制御フローは、コンテンツへのアクセスがメンバのクライアントに対して許諾されるべきかを決定する。該制御フローの結果は、コンテンツがアクセスされてよいか否かの決定である。勿論、このようなアクセスは、当該コンテンツに対する、ライセンス所有者により所有される適用可能なライセンスに従うべきものである。上記決定のための情報は、システム主体の間の関係の存在からなる。

この場合、上記制御フローの評価は、クライアントとドメインとの間にメンバシップ関係が存在すること及びライセンス所有者と該ドメインとの間に結合関係が存在することを検証することを含む。この検証は、リンクと呼ばれる証明の評価、及びこれらの証明の有効性を反映する状態変数の検証を含む。

例えば装置１０２〜２０５のうちの何れかであるクライアント及び例えばセットトップボックス１０１であるドメインコントローラの両者は、クライアントとドメインとの間のメンバシップ関係を反映する第１状態変数を保持する。同様にして、上記ドメインコントローラ及びライセンス所有者に関連付けられたライセンス所有者コントローラの両者は、ライセンス所有者とドメインとの間の結合関係を反映する第２状態変数を保持する。上記ライセンス所有者コントローラは、例えばライセンス所有者により表されるユーザにより所有されるスマートカードである。

幾つかの実施例では、ドメインコントローラ及びクライアントが、ライセンスの状態をガード（guard）する第３状態変数を保持する。このような実施例においては、ライセンス所有者コントローラが第３状態変数を作成して該第３状態変数をドメインコントローラに伝達し、該ドメインコントローラが該第３状態変数をクライアントに伝達する。

ドメインコントローラは複数の（ゼロ、１又はそれ以上の）ドメインを管理及びサービスする。しかしながら、一つのドメインは単一のドメインコントローラによってのみ管理することができる。このコントローラは、該コントローラが管理するドメインに対するクライアントのメンバシップ関係に関する証明を発行する責任を負う。該コントローラは、埋め込まれた及びオープンなプラットフォーム上に配置することができる。ドメインの構成（composition）を作成、削除及び制御する認可は、ドメインポリシにより課される特定の規則又は制限に従うものとすることができる。

ライセンス所有者コントローラは、複数の（ゼロ、１又はそれ以上の）ライセンス所有者を管理及びサービスする。しかしながら、１つのライセンス所有者は単一のライセンス所有者コントローラによってのみ管理される。このコントローラは、ドメインとライセンス所有者との間の結合関係に関する証明を発行すると共に、これらリンク及び関係する状態変数をドメインコントローラに分配する責務を負う。該コントローラは、埋め込まれた及びオープンのプラットフォーム上に配置することができる。ライセンス所有者コントローラは、ライセンス所有者をドメインと（から）関連付け及び切断し、ライセンスを取得し、コンテンツをＡＤにインポートし、並びに取得された又はインポートされたコンテンツをドメイン又は個々のクライアントと共有する権限を許諾され得る。この権限は、ドメインポリシにより課される特定の規則又は制限を受け得る。

クライアント、ドメインコントローラ及びライセンス所有者コントローラ等の種々の主体を、単一の装置内でハードウェア及び／又はソフトウェアモジュールとして実施化することができることに注意されたい。例えばセットトップボックス１０１は上記においてはドメインコントローラとして説明したが、勿論、該セットトップボックスは特定のコンテンツにアクセスする必要がある場合はクライアントとして動作することもできる。

各主体が正確に何処で実施化されるかは、この技術的システムがサポートされる所望のビジネスモデル、及び利用可能な装置に関するセキュリティ配慮、技術的制約等に依存する。１つの素直な実施例では、クライアントは携帯電話又は携帯音楽プレーヤ等のエンドユーザ装置上で実現される一方、ドメインコントローラ及びライセンス所有者コントローラはインターネットを介して利用可能な中央サーバ上に配置される。この構成は、このサーバの運用者にドメイン及びコンテンツ供給に対する完全な管理権を提供する。

他の実施例においては、ドメインコントローラ及びライセンス所有者コントローラの両者は、家庭における（中央）装置（例えば、セットトップボックス１０１）において実現される。オプションとして、斯かる２つのコントローラは２つの別個の装置として実現することもできる。当該家庭における他の装置１０２〜１０５はクライアントとして動作する。このシナリオにおいて、コンテンツは、一旦取得されると、勿論ライセンスにより設定される制限及び当該ＡＤにおけるリンクにより課される如何なる制限の範囲内ではあるが、ユーザの支配の下となる。

更に他の実施例では、ライセンス所有者コントローラは第１インターネットサーバに設けられ、ドメインコントローラは家庭における（中央）装置において実現される。その逆も可能である。ライセンス所有者コントローラは、スマートカード上で実現することもできるが、これは、必要とされる機能に依存して常に実用的とは限らない。スマートカードは、ユーザを適切なライセンス所有者が使用されるように許可又は識別するのに使用することもできる。

本発明が依拠するメカニズムを、異なる組み合わせで適用されるのに応じて第１節で説明する。メカニズムの何の組み合わせを使用するかは、システム設計者が複雑さ、計算資源、（安全な）記憶容量及び当該システムに対する利用可能性要件をバランスさせるために行う推定に依存する。

第２節で説明する実施例は、網羅的ではなく、提示されたメカニズムの他の組み合わせも有益であり得る。

１．本発明で使用されるメカニズム
1.1 関係に関する個々の状態
認可のチェーンにおける主体により、関係の状態の安全な管理情報が維持される。安全なオンラインプロトコルにおいて、当事者（主体）間で状態値が交換される。この管理情報は関係が存在するか否かを判定し、オプションとして変更の検出をサポートするために関係の定義がバージョン番号で拡張される。証明（ライセンス及びリンク）も、同一の関係を表す。かくして、安全に管理された情報を、関係の存在を、及びこれにより同一の関係に対する如何なる証明もの有効性を判定するために使用することができる。このメカニズムが証明の有効性をガードするために使用される場合、該証明における制御コードは、当該証明が表そうとする関係が、評価している主体（典型的には、クライアント）の状態管理情報において存在し且つ有効であるとして管理されているかのチェックで拡張される。証明内に設定される有効期間等の如何なる他の条件も、依然として評価される。状態チェックを含む全ての条件は、当該証明が有効であるとして受諾される前に満たされねばならない。かくして、異なる主体の状態管理情報において関係を削除することは、当該システムにおける関係を無効化することができる。

状態の最も簡単な形態は、当該主体の当該チェーンにおける隣接者との自身の関係の管理情報のみのものである。両当事者（主体）は一緒にオンラインプロトコルにおいて両者の関係を切ると決定することができ、これは即座に両者の管理情報に反映され、当該両当事者に関する該関係のための全ての証明を無効化する。当該チェーンにおける他の当事者（主体）は後に該状態変化を通知され、依然として該証明を有効と見なすであろう。更新された状態情報の増殖を強制するために、該状態情報内に有効期間を示すことができる。該状態メカニズムは、無効化のために使用することができる。新たな関係の作成は、証明の発生及び安全なオンラインプロトコルを用いて伝達されねばならない状態変数の作成を含む。証明は、如何なる好適な方法でも伝達することができる。

個々の状態メカニズムに対する最もありふれたケースは、クライアントが無効化プロトコルにおける当事者であると共に証明の評価者でもあるような、クライアントのドメインに対するメンバシップ関係である。クライアントとドメインとが、両者の関係を切るオンラインプロトコルにおいて同意する場合、これはクライアントの状態管理情報に反映される。クライアントは当該関係に関する如何なる証明も即座に失効させ、如何なるドメイン関連コンテンツも当該クライアント上では最早アクセスすることはできない。関係が切られる際に評価者（クライアント）がプロトコルに参加しないような、もっと一般的なケースでは、状態変化を評価者に通知する遅れ（latency）問題が存在する。

1.2 リンクの有効期間
リンクにおける制御コードは、リンクの有効期間が経過していないことを検証する。経過している場合は、当該リンクは無効と見なされる。オプションとしての追加の状態メカニズムは別として、リンクを使用する当事者は、チェーンにおける関係が存在するかを判定するために、延長された有効期間での当該リンクの更新を受信すると共にオプションとして状態情報更新を受信するために当該チェーンにおける他の当事者に接触することを迫られるであろう。

1.3 ライセンスに付属されたドメインリンクの非接続クライアントへの拡散
ドメインにおけるリンクの有効性が、関係に対する個々の状態によりガードされていない場合、該リンク（証明）は自身で有効性の証明を提供することができる。各々がドメインコンフィギュレーションの一部を記述する斯様なリンクは、発行される場合にライセンスに付属させることができる。システムにとっては、該ドメインコンフィギュレーションに関するこの潜在的に新しい情報がクライアントに到達し、当事者間のオンラインプロトコルの必要性無しで即座にコンテンツアクセスのために使用することができれば有益である。このメカニズムは、例えば、ライセンス所有者のためのKinkLOを該ライセンス所有者により発行されるライセンスに付属させるために使用することができる。

クライアントが既にリンク又は該リンクの新しいバージョンを有している場合は、上記情報は使用されない。１つのパッケージで、クライアントは、コンテンツに対するライセンス及び発行するライセンス所有者のドメインに対するリンクを受信することができる。このライセンスパッケージは何らかの媒体上でコンテンツ自体を伴うことができ、クライアントが該コンテンツに当該システムにおける如何なる他の当事者に接続する必要性無しでアクセスするのを可能にする。ドメインコンフィギュレーションにおけるリンクの何れもが関係に対する個々の状態によりガードされていない場合、全てのリンクをライセンスに付属させることができ、関係するコンテンツにアクセスするために要する全組の証明を提供する。

このメカニズムは、メカニズム1.1"関係に関する個々の状態"がリンクに使用される場合は動作しないが、該メカニズムは、メカニズム1.4"状態による関係のためのコンフィギュレーション番号"及び1.5"リンクによる関係のためのコンフィギュレーション番号"とは一緒に動作する。

1.4 状態による関係のためのコンフィギュレーション番号
状態メカニズム1.1（関係に関する個々の状態）においては、状態値は単一の関係を表す。コンフィギュレーション番号は、無効化に関して等しく扱われるような関係の明示的集合を表す。斯かる集合から或る関係が削除される場合にのみ、コンフィギュレーション番号がインクリメントされ、当該集合の以前に一部であった全部ではない関係が依然として有効であることを示す。該集合に対する新たな関係の追加は該番号をインクリメントさせない。何故なら、無効化のみに関心があるからである。関連する関係の証明は、これらが発行される時点でのコンフィギュレーション番号の実際の値により属性を付され、これらの制御コードには、当該証明のコンフィギュレーション番号の値は評価する主体（典型的には、クライアント）の状態管理情報におけるコンフィギュレーション番号の値に等しいか又は該値より大きいという条件が付加される。この条件が満たされない場合、当該関係は無効であると見なされる。

このメカニズムは、新たな関係を追加する場合に当該システムにおける状態の更新を必要としない。即ち、新たな関係を有効に導入するためには、証明の通知のみで十分である。このメカニズムの欠点は、１つのみの関係が無効化されるべき場合に、当該集合における全ての他の関係が、それらの証明の属性としての新たなインクリメントされたコンフィギュレーション番号による更新により再確認されなければならない点にある。変更された状態情報の拡散は、個々の関係のための前記状態メカニズムと同様である。

このメカニズムは、認可のチェーンにおいて異なるレベルの関係に対して縦続関係で、オプションとしてメカニズム1.5、即ち"リンクによる関係のためのコンフィギュレーション番号"メカニズムとの組み合わせで使用することができる。

1.5 リンクによる関係のためのコンフィギュレーション番号
コンフィギュレーション番号の定義、並びに明示的集合へ関係を追加し及び斯かる集合から関係を削除する規則は、メカニズム1.4"状態による関係のためのコンフィギュレーション番号"に関して記載したものと同様である。違いは、当該チェーンにおける実際のコンフィギュレーション番号のクライアント主体への拡散、及び関連する関係の証明が有効性に関して試験される方法にある。関連する関係の証明は、これらが発行される時点でのコンフィギュレーション番号の実際の値により属性が付されるが、有効性のチェックに対する条件は、これらの制御情報（Control）には追加されない。コンフィギュレーション番号の実際の値は、属性として、当該認可チェーンのラインにおけるクライアントに向かう方向の次となるリンクに追加される。

関連する関係の証明に属性として付されたコンフィギュレーション番号を、該コンフィギュレーション番号の実際の値に対してチェックための条件は、上記リンクの制御コードに追加される。このリンクは、当該リンクに対して設定された有効期間により強制されて、クライアントに間に合って到達するであろう。ライセンスが目標とするライセンス所有者への経路のクライアントについての評価の間において、当該リンクが評価されると共に、該リンクにおけるコンフィギュレーション番号値が、関連する関係（典型的には、ライセンス）の証明におけるものと比較される。該証明の番号は、当該リンクにおける番号の値と等しいか又は該値より大きくなければならない。このメカニズムは、クライアントが接続されること無しには証明によりクライアントに関係を導入することができないことの影響を受けることはないことに注意されたい。何故なら、状態の操作は関わらないからである。

このメカニズムは、認可のチェーンにおいて異なるレベルの関係に対して縦続関係で、オプションとしてメカニズム1.4、即ち"状態による関係のためのコンフィギュレーション番号"メカニズムとの組み合わせで使用することができる。

1.6 状態による関係のバージョン番号
幾つかの関係（典型的には、コンテンツとライセンス所有者との間のもの）は、全体として無効化されるのみならず、適応化されることも必要とされる。これは、例えば既存のライセンスに対してユーザ定義の制限が変更されねばならない場合のケースである。バージョン管理（以前のバージョンの無効化）をサポートするために、バージョン番号が導入される。このバージョン番号は、当該関係において本質的な変更が生じた場合にインクリメントされる。

バージョン番号の現在の値は、バージョン条件をチェックするためにクライアントに通知されねばならない。関係の状態にバージョン番号の実際の値で属性を付すことが、これを行うことになり、この組み合わせは、他の状態メカニズムに関して既述したのと同様に、オンラインの安全なプロトコルを用い主体のチェーンを介して評価しているクライアントに伝送される。

関連する関係の証明は、これが発行される時点でバージョン番号の実際の値により属性が付され、その制御コードには、当該証明のバージョン番号の値は評価している主体（典型的には、クライアント）の状態管理情報における当該関係のバージョン番号の値に等しいか又は該値より大きいという条件が追加される。

このメカニズムの前提条件は、バージョン管理された関係のためのメカニズム1.1"関係に関する個々の状態"の使用である。

1.7 リンクによる関係のバージョン番号
バージョン番号の定義及び関係を変更する規則は、メカニズム1.6"状態による関係のバージョン番号"に関して記載したものと同様である。違いは、当該チェーンにおける実際のバージョン番号のクライアント主体への拡散、及び関連する関係の証明が有効性に関して試験される方法にある。

関連する関係の証明は、これが発行される時点でのバージョン番号の実際の値により属性が付されるが、有効性のチェックに対する条件は、その制御情報には追加されない。バージョン番号の実際の値及び関連する関係の識別子が、属性として、当該認可チェーンのラインにおけるクライアントに向かう方向の次となるリンクに追加される。このリンクは潜在的に関係／バージョン番号の組み合わせ（当該認可チェーンにおける１レベル高い各関係に対して１つずつ）の全体のリストを含むことに注意されたい。

関連する関係の証明に属性として付されたバージョン番号を、該バージョン番号の実際の値に対してチェックための条件は、上記リンクの制御コードに追加される。このリンクは、当該リンクに対して設定された有効期間により強制されて、クライアントに間に合って到達するであろう。ライセンスが目標とするライセンス所有者への経路のクライアントについての評価の間において、当該リンクが評価されると共に、当該リンクにおける評価中の関係に対するバージョン番号値が、関連する関係（典型的には、ライセンス）の証明におけるものと比較される。このメカニズムは、クライアントが接続されること無しには証明によりクライアントに関係を導入することができないことの影響を受けることはないことに注意されたい。何故なら、状態の操作は関わらないからである。

1.8 制御領域の分離のための並列ライセンスリンク処理
基本的思想においては、ライセンス所有者への有効な経路が証明されねばならず、該ライセンス所有者を目標とするライセンスにおける許可及び制限が満たされねばならない。この思想では、追加のユーザ定義制限は、ライセンスにおける制御情報に追加されねばならない。並列ライセンスリンク処理を用いて、これらのユーザ定義制限は、ライセンスの制御情報に設定された制限から分離される。ライセンス所有者を目標にするライセンスは、該ライセンスが取得された場合に、該ライセンス所有者から該ライセンスへの"新たな"リンクLinkLicにより明示的にリンクされる。該LinkLicは、ライセンスがしなければならないように、コンテンツ／ライセンス関係の多様性を処理する必要はないことに注意されたい。

当該ライセンスにおけるチェックは、ここでは、評価しているクライアントから該ライセンスへの有効な経路（リンクのチェーン）が存在しなければならないということになる。セキュリティの理由により、ライセンスへの経路に存在する特定のライセンス所有者がチェックされねばならない場合、評価しているクライアントからライセンス所有者への有効な経路に対する元のチェックを追加することができる。ここでは、ユーザ定義制限が、ライセンスの制御情報の代わりに、LinkLicにおける制御コードに追加される。結果として、ユーザがユーザ定義制限を追加又は変更したい場合、ライセンスの制御情報は変更される必要はなく、制御の領域を分離すると共に、全ての制限が単一の制御情報に結合される場合に生じるセキュリティ問題を解決する。

コンテンツ／ライセンス所有者の関係の無効化は、利用可能な無効化メカニズムの１つ又は組み合わせにより実行することができる。ここでは、単一の関係に対して２つの証明（ライセンス及びLinkLic）が存在することに注意されたい。これら並列の証明の両者は、クライアント上のコンテンツにアクセスすることができるために、利用可能であり且つ有効でなければならない。斯かる証明の一方が不能化されている場合、当該関係は無効化される。ここでは、バージョン管理（ユーザ定義制限のために典型的に必要とされる）を、ユーザ定義制限を含むLinkLicに選択的に適用することができる。

1.9 制御領域の分離のための直列ライセンスリンク処理
基本的思想においては、ライセンス所有者への有効な経路が証明されねばならず、該ライセンス所有者を目標とするライセンスにおける許可及び制限が満たされねばならない。この思想では、追加のユーザ定義制限は、ライセンスにおける制御情報に追加されねばならない。直列ライセンスリンク処理を用いて、これらのユーザ定義制限は、ライセンスの制御情報に設定された制限から分離される。ライセンスは、最早、ライセンス所有者を目標としない。即ち、ライセンスは単にコンテンツアイテム（又は複数のアイテム）を参照するのみで、元のコンテンツサービスプロバイダにより設定された許可及び制限を含む。ライセンスは、コンテンツとライセンス所有者との間の完全な関係は、最早、表すことはない。ライセンス所有者との関係は、ライセンス所有者がコンテンツに対するアクセスを許諾された場合に、該ライセンス所有者から該ライセンスへの"新たな"リンクLinkLicにより確立され、表される。該LinkLicは、コンテンツ／ライセンス関係の多様性を処理する必要はないことに注意されたい。これは、依然としてライセンスにより実行される。当該ライセンスにおけるチェックは、ここでは、評価しているクライアントから該ライセンスへの有効な経路（リンクのチェーン）が存在しなければならないということになる。ここでは、ユーザ定義制限が、ライセンスの制御情報の代わりに、LinkLicにおける制御コードに追加される。結果として、ユーザがユーザ定義制限を追加又は変更したい場合、ライセンスの制御情報は変更される必要はなく、制御の領域を分離すると共に、全ての制限が単一の制御情報に結合される場合に生じるセキュリティ問題を解決する。

コンテンツ／ライセンス所有者の関係の無効化は、LinkLic証明に対して作用する利用可能な無効化メカニズムの１つ又は組み合わせにより実行することができる。

ここでは、単一の関係に対して２つの証明（ライセンス及びLinkLic）が存在し、ライセンスは当該関係のコンテンツ部分を処理する一方、LinkLicは該関係のライセンス所有者部分を処理することに注意されたい。これら直列の証明の両者は、クライアント上のコンテンツにアクセスすることができるためには、利用可能であり且つ有効でなければならない。斯かる証明の一方が不能化されている場合、当該関係は無効化される。ここでは、バージョン管理（ユーザ定義制限のために典型的に必要とされる）を、ユーザ定義制限を含むLinkLicに選択的に適用することができる。

前の解決策では、コンテンツはライセンスにおける、更に詳細にはライセンスの制御コードにおけるライセンス所有者に、該ライセンス所有者はリンクの経路を介して到達可能でなければならないというチェックで目標とされた。このようなメカニズムによる解決策においては、ライセンス所有者の結合はLinkLicにおいて実行される。特定のライセンス所有者に対するアクセス権の許諾は、ライセンスには埋め込まれていない。斯かる権利が他のライセンス所有者に移動されるべき場合、ライセンスにおける制御情報は変更する必要はない。即ち、新たなライセンス所有者は、これを再使用することができる。新たなライセンス所有者は、既存の関係（LinkLic）を無効にしなければならない古いライセンス所有者と協力して、自身を参照する新たなLinkLicを確立しなければならない。

1.10 制御領域の分離のためのライセンス再定義
メカニズム1.8"制御領域の分離のための並列ライセンスリンク処理"及び1.9"制御領域の分離のための直列ライセンスリンク処理"により、既存のエレメントのライセンス及びリンクを用いて制御領域を分離する方法を述べた。この方法の代替例は、ライセンス及びLinkLicの上述した動作を組み合わせるような新たなエレメントの定義である。ライセンス及びLinkLicは常に組み合わせで現れるので、この新たなエレメントは、他の２つの組み合わせの置換であり得る。この代替例は、内部的に２つの異なる制御領域（１つは元のコンテンツサービスプロバイダにより設定された許可及び制限を含むためのもので、もう１つはユーザにより追加することができる制限のためである）を備える２つの制御情報をサポートするライセンスエレメントの再定義として提示することもできる。この場合、ライセンス所有者までのリンクの有効な経路が存在しなければならないという元のチェックが使用される。この代替例は両メカニズムを包含する。何故なら、前記並列及び直列パターンを、単一の新たなエレメントにより置換することができるからである。

２．好ましい実施例
提示される実施例は、下記の出発点を用いる：
・個々のライセンスには有効期間を有さない；
・リンクの使用が必要とされる；
・クライアントには如何なるソースからも証明を供給することができるが、典型的にはライセンスはライセンス所有者により提供され、ドメインリンクLinkC及びLinkLOはドメインにより提供される；
・証明の有効状態は、オンラインプロトコルにおいて当事者間で厳格に認可チェーンに従って伝送される；
・リンク上で有効期間を使用し、その場合において、LinkLOに対する有効期間は、必然ではないが、LinkCに対するものより大きいと仮定される。

当該メカニズムは、ここに提示されるもの以外のドメインコンフィギュレーション、即ち、典型的には依存性のチェーンを伴う３以上の分散された主体を有する全てのコンフィギュレーションにも使用することができることに注意されたい。

当該メカニズムは、上述した選択を使用しない実施例にも使用することができる。例えば：
・提供されるメカニズムがあるとすると、ドメインに対して解放されたライセンスに対し定義された有効期間による解決策は、定義するのがかなり容易であるが、［発明の開示］で述べた欠点を大きく被る。しかしながら、ライセンスの数が小さいか又は資源が制限のないものであるような状況では、ライセンスに対して適用される有効期間は有益であり得る；
・関係が個々の状態によりガードされる場合、リンクは、全体として削除することができるか、又は提示される解決策で使用されるようなリンクの幾つかの又は全ての属性を主体の状態管理情報に移動させることにより機能的に少なくとも減少させることができる；
・ドメインの代わりにライセンス所有者がLinkLOを発行する場合、LinkLOに情報が追加されるような解決策の幾つかは、リンクを発行する主体への情報の流れを可能にするように僅かに適合化されねばならない。

提示される実施例は、下記の表記的取り決めを用いて図に示される：
・当該認可チェーンにおける主体は、円により示され、楕円により示される複数の入れ子の状態変数（ｉｄ、コンフィギュレーション番号（ConfigNr）、有効期間（validityperiod））により属性を付すことができる。これらの属性は、主体により安全に管理される；
・当該認可チェーンにおける主体間の実線は、これらの間の関係を表す。他の実線は属性の関連付けを示す；
・点線は、関係の証明表現を示す；
・属性に対する多様性は"＊"により示される一方、関係に対する多様性は図には示されていない；
・関係を表す証明は、長方形により示され、楕円により示される複数の（状態）変数（ｉｄ、コンフィギュレーション番号、有効期間）により属性を付すことができる。これらの属性は、証明に安全に結合される；
・ライセンスは、リンク（ライセンスに対する結合リンクLinkC(s)及びLinkLO(s)）により属性を付すことができる。これらのリンク属性は、情報的なもので、証明に安全に結合される必要はない；
・これらの結合リンク（コピー）は、対応する関係を表す発行されたリンクと同一の情報（属性）を帯びる。しかしながら、斯かる属性は、ここでは、図に示されている；
・主体のホストにおいて、存在し／存在しなければならないが、安全に管理されることは必ずしも必要でない証明（コピー）は、図には示されていない；
・クライアントＩＤ（ClientId）、ドメインＩＤ（DomainId）、ライセンス所有者ＩＤ（LicenseOwnerId）及びライセンスＩＤ（LicenseId）は、これらの対応する主体を参照するために状態変数として使用されるが、これらは図においては斯かる主体の属性としては示されていない。

2.1 有効期間による強制なし
この実施例は、図３に示されている。適用されるメカニズムは：

である。

ライセンス所有者は、該ライセンス所有者を目標とするライセンスの何れかが変更され又は削除された場合にインクリメントされ、斯かるライセンスの１つに関する変更を示すようなlicenseConfigNrを有する。

このlicenseConfigNrは、プロトコルにおいて、各々の関連付けられたライセンス所有者に関する最も最近のlicenseConfigNrを安全に管理するドメインに通知されねばならないドメイン。ドメインは、ドメインコンフィギュレーションにおける関係の何れかが変化した場合にインクリメントされるようなdomainConfigNrを管理する。これらの変化は、ドメインに関連付けられたライセンス所有者の何れかのlicenseConfigNrのインクリメント、ドメインに対するライセンス所有者の関連付けの何れかの変更又は削除、及びドメインに対するクライアントのメンバシップの何れかの変更又は削除である。

domainConfigNrの現在の値は、例えばLinkC及びLinkLOを表す署名されたオブジェクトに該値を記録することにより、ドメインによりLinkC及びLinkLOに、並びにライセンス所有者によりドメインに新たに解放されたライセンスに関連付けられる。

domainConfigNrは、更新されたdomainConfigNrで新たなライセンスを発行することができるように、各々の関連付けられたドメインに関する最も最近のdomainConfigNrを安全に管理するライセンス所有者にプロトコルで先ず通知されねばならない。

ライセンス所有者におけるlicenseConfigNrのインクリメントの後、ライセンス所有者は、新たなライセンスを発行することができるようになる前に、ドメインの最も最近のリンクと一緒に最も最近のdomainConfigNrを受信すべく該ドメインとの通信を待つ必要がある。

ライセンス所有者により知られている全LinkLO及び全LinkCは、ドメインに解放される場合にライセンスに付属される。ライセンス所有者は、これらのリンクをドメインとのプロトコルで受信する。

かくして、ドメインのリンクは、ドメインとクライアントとの間の直接的通信により又はクライアントにより取得されるライセンスを介して該クライアントに到達することができる。クライアントは、該クライアントがメンバであるドメイン毎に、該クライアントにより知られている最も最近のdomainConfigNrに関する状態変数を管理する。このdomainConfigNrは、リンク及びライセンスに関する有効性を示す。これらの証明のうちの１つが、クライアントにより安全に管理されているものより小さな値を有するような属性としてのdomainConfigNrを有する場合、該証明は無効と見なされ、可能な場合は更新されねばならない。このチェックは、経路評価の間にリンクの制御情報内のコードにより実行され、評価中のライセンスにおけるdomainConfigNr及び評価中のリンクにおけるdomainConfigNrの値が、クライアントにより管理されているものより小さくてはならないことを要件とする。

クライアントは、自身のdomainConfigNrを、ドメインにより送信されるリンクにおいて又はライセンスにおいて一層大きな値に遭遇した場合、インクリメントすることによってのみ調整する。該domainConfigNrメカニズムにより、当該システムにおいて全関係を無効にすることができるが、クライアントがドメインに接触し又は新しいライセンスを解釈するような強制は存在しない。クライアントが該無効化情報を受け入れる唯一の動機は、当該システムにおいて無効化が行われた後にライセンスが発行されるようなコンテンツにアクセスしたいと望む場合である。

ライセンス所有者は、ライセンスに、該ライセンス所有者の管理情報（administration）において知られているdomainConfigNrで属性を付す。しかしながら、licenseConfigNrが増加され、ライセンスが解放されるのを許可される前に通信が必要とされるような場合を除き、ライセンス所有者がドメインに接触して新たなドメインコンフィギュレーション情報を受信する動機は存在しない。結果として、新たに解放されるライセンスに付属されるドメインコンフィギュレーション情報（LinkLO、LinkC及びdomainConfigNr）は、ドメインにより知られたドメインコンフィギュレーションにおける現在の状態より遅れる可能性がある。これは、最も最近のドメインコンフィギュレーション情報を有することを確実にするために、ライセンスがドメインに対して解放される前には常にライセンス所有者のドメインとの通信を要件とすることにより回避することができる。

この解決策は、クライアント上の証明の即座の無効化は果たさないが、ドメインコンテンツが到達する際に、クライアントは間に合って準拠することになるであろう。

解決策のフィーチャ：

2.2 クライアントに状態なし
この実施例は図４に示されている。適用されるメカニズムは：

である。

ライセンス所有者は、該ライセンス所有者を目標とするライセンスの何れかが変更され又は削除された場合にインクリメントされ、ライセンスの１つに関する変化を示すようなlicenseConfigNrを有する。ライセンス所有者がドメインに対してライセンスを解放する場合、該ライセンス所有者は該ライセンスにlicenseConfigNrの現在値により属性を付す。licenseConfigNrの現在値は、LinkLOにも属性として付される。このlicenseConfigNrは、新たなLinkLOを更新されたlicenseConfigNrで発行することができるように、各々の関連付けられたライセンス所有者に対して最も最近のlicenseConfigNrを安全に管理するドメインにプロトコルで先ず通知されるべきである。LinkLOにおける制御情報は、経路評価の間において、ライセンスに属性を付すlicenseConfigNrのLinkLOに属性を付すものによるチェックを実行する。

ライセンス所有者により知られたLinkLO及び全LinkCは、ドメインに解放される場合にライセンスに付属される。ライセンス所有者は、これらリンクをドメインとのプロトコルで受信する。ライセンスに付属されるリンクの分配は、ドメインからクライアントへの標準の分配に加えた、オプションとしての代替処理であるから、ライセンス所有者におけるlicenseConfigNrのインクリメントの後に、ライセンス所有者が更新されたlicenseConfigNrを持つLinkLOを受信するためにドメインとの通信を待つ必要があるかはオプションである。解放されたライセンスに付属されるLinkCは、ドメインにより知られているドメインコンフィギュレーションにおける現在の状態よりも遅れ得る。

LinkLOがドメインによってではなくライセンス所有者により発行された場合、ライセンス所有者はlicenseConfigNrをドメインに通知する必要はなく、ドメインはlicenseConfigNrを管理する必要はない。その場合、ライセンス所有者はLinkLOを直接現licenseConfigNrで発行する。

クライアント及びライセンス所有者は、LinkLO及びLinkC上の有効期間により、定期的に通信してドメインとの関係を再確認すると共に更新されたドメインコンフィギュレーション情報を受信するように強制される。これらの有効期間は、図ではLO-validityperiod及びC-validityperiodとして各々示されている。

解決策のフィーチャ：

2.3 LinkCに関する個々の状態
この実施例は図５に示されている。適用されるメカニズムは：

である。

ライセンス所有者とドメインとの間にはローカルな状態が存在するが、これは個々の状態がクライアントにより管理されることにはならないことに注意されたい。結合（関連付け）関係はドメインとライセンス所有者との間のオンラインプロトコルで無効化することが可能であり、その場合、両者は関連づけを終了させることに同意し、各々が自身の管理情報（administration）から関係する状態変数を削除する。

解決策2.2"クライアントに状態なし"で述べたように、licenseConfigNrはライセンス所有者の全ライセンスの状態をガードするために使用され、LinkLOにおける有効期間はLinkLOの有効性をガードする。

ライセンス所有者により知られたLinkLOのみが、ドメインに解放される場合にライセンスに付属される。ライセンス所有者は、このリンクをドメインとのプロトコルで受信する。ライセンスに付属されるLinkLOの分配は、ドメインからクライアントへの標準の分配に加えた、オプションとしての代替処理であるから、ライセンス所有者におけるlicenseConfigNrのインクリメントの後に、ライセンス所有者が更新されたlicenseConfigNrを持つLinkLOを受信するためにドメインとの通信を待つ必要があるかはオプションである。

解決策2.2"クライアントに状態なし"と比較して、メンバシップ関係はクライアントにおける個々の状態変数によりガードされるので、LinkCをライセンスに追加することは無駄である。何故なら、ライセンスを取得するクライアントは、メンバシップを確立するために自身でLinkCを使用することはできないからである。即ち、これはオンラインプロトコルでのみ実行可能である。

クライアントとドメインとの間のメンバシップ関係は、個々の状態のメカニズムにより決定される。メンバシップは、２つの当事者間のプロトコルを使用してのみ確立することができ、両者は、この事実を状態変数（クライアントに対するDomainId）で管理する。LinkCは、有効期間を伴って発行される。この場合、LinkCは、上記有効期間が経過しておらず、且つ、クライアントにおけるメンバシップLinkCに関係する状態変数DomainIdが依然として存在する場合にのみ有効である。これは、評価中のライセンスにおいて必要とされるライセンス所有者への経路を捜すLinkCを評価する場合に、LinkCの制御コードにおいてチェックされる。上記メンバシップ関係は、ドメインとクライアントとの間のオンラインプロトコルで無効にすることができ、その場合、両者はメンバシップを終了させることに同意し、各々が自身の管理情報から関係する状態変数を削除する。結果として、LinkCはクライアント上で不能化される。何故なら、最早、関係する状態変数が存在しないからである。

LinkLOは、有効期間を伴って発行される。この場合、LinkLOは、上記有効期間が経過しておらず、且つ、クライアントにおけるメンバシップに関係する状態変数DomainIdが依然として存在する場合にのみ有効である。これは、ライセンス所有者への経路を捜すLinkLOを評価する場合に、LinkLOの制御情報のコードでチェックされる。LinkLOにおける上記制御情報は、経路評価の間において、ライセンスに属性として付されたlicenseConfigNrのLinkLOに属性として付されたものに対するチェックを実行する。

ドメインリンクのDomainIdは、自身の暗黙的な方向管理情報（direction administration）から導出することができるが、一層強力な解決策はドメインに対する各リンクにDomainIdで属性を付すことである。しかしながら、これは図には示されていない。

解決策のフィーチャ：

2.4 LinkCに関する個々の状態及びLinkLOに関するドメイン状態
この実施例は図６に示されている。適用されるメカニズムは：

となる。

ライセンス所有者とドメインとの間にはローカルな状態が存在するが、これはクライアントにより管理された個々の状態とはならず、合成されたdomainConfigNr状態となるのみであることに注意されたい。結合（関連付け）関係はドメインとライセンス所有者との間のオンラインプロトコルで無効化することが可能であり、その場合、両者は関連づけを終了させることに同意し、各々が自身の管理情報から関係する状態変数を削除する。

ライセンス所有者は、該ライセンス所有者を目標とするライセンスの何れかが変更され又は削除された場合にインクリメントされ、ライセンスの１つに関する変化を示すようなlicenseConfigNrを有する。ライセンス所有者がドメインに対してライセンスを解放する場合、該ライセンス所有者は該ライセンスにlicenseConfigNrの現在値により属性を付す。licenseConfigNrの現在値は、LinkLOにも属性として付される。ドメインがLinkLOを発行すると仮定しているので、このlicenseConfigNrは、新たなLinkLOを更新されたlicenseConfigNrで発行することができるように、各々の関連付けられたライセンス所有者に対して最も最近のlicenseConfigNrを安全に管理するドメインにプロトコルで先ず通知されるべきである。該LinkLOにおける制御情報（Control）は、経路評価の間において、ライセンスに属性を付すlicenseConfigNrのLinkLOに属性を付すものによるチェックを実行する。

ライセンス所有者により知られたLinkLOは、ドメインに解放される場合にライセンスに付属される。ライセンス所有者は、このリンクをドメインとのプロトコルで受信する。ライセンスに付属されるLinkLOの分配は、ドメインからクライアントへの標準の分配に加えた、オプションとしての代替処理であるから、ライセンス所有者におけるlicenseConfigNrのインクリメントの後に、ライセンス所有者が更新されたlicenseConfigNrを持つLinkLOを受信するためにドメインとの通信を待つ必要があるかはオプションである。

クライアントとドメインとの間のメンバシップ関係は、個々の状態のメカニズムにより決定される。メンバシップは、２つの当事者間のプロトコルを使用してのみ確立することができ、両者は、この事実を状態変数（クライアントに対するDomainId）で管理する。LinkCは、有効期間を伴って発行される。この場合、LinkCは、上記有効期間が経過しておらず、且つ、クライアントにおけるメンバシップLinkCに関係する状態変数DomainIdが依然として存在する場合にのみ有効である。これは、評価中のライセンスにおいて必要とされるライセンス所有者への経路を捜すLinkCを評価する場合に、LinkCの制御情報のコードにおいてチェックされる。

上記メンバシップ関係は、ドメインとクライアントとの間のオンラインプロトコルで無効にすることができ、その場合、両者はメンバシップを終了させることに同意し、各々が自身の管理情報（administration）から関係する状態変数を削除する。結果として、LinkCはクライアント上で不能化される。何故なら、最早、関係する状態変数が存在しないからである。

ドメインは、ドメインコンフィギュレーションにおける関係の何れかが変化した場合にインクリメントされるようなdomainConfigNrを管理する。これらの変化は、ドメインに関連付けられたライセンス所有者の何れかのlicenseConfigNrのインクリメント、ドメインに対するライセンス所有者の関連付けの何れかの変更又は削除、及びドメインに対するクライアントのメンバシップの何れかの変更又は削除である。ドメインは、LinkC及びLinkLOにdomainConfigNrの現在値で属性を付す。

ドメインのリンクは、ドメインとクライアントとの間の直接的通信によりクライアントに到達することができる一方、LinkLOは、クライアントにより取得されるライセンスを介してクライアントに到達することができる。クライアントは、該クライアントがメンバであるドメイン毎に、該クライアントにより知られている最も最近のdomainConfigNrに関する状態変数を管理する。このdomainConfigNrは、リンクに関する有効性を示す。これらリンクのうちの１つが、クライアントにより安全に管理されているものより小さな値を有するような属性としてのdomainConfigNrを有する場合、該証明は無効と見なされ、可能な場合は更新されねばならない。このチェックは、経路評価の間にリンクの制御情報内のコードにより実行され、評価中のライセンスにおけるdomainConfigNrの値が、クライアントにより管理されているものより小さくてはならないことを要件とする。

クライアントは、自身がメンバである各ドメインに関してdomainConfigNr状態変数を管理する。この状態変数は、クライアントとドメインとの間のオンラインプロトコルで更新される。

かくして、クライアント上のリンクは、それらの有効期間が経過しておらず、且つ、クライアントにおけるメンバシップLinkCに関係する状態変数DomainIdが依然として存在し、且つ、それらのdomainConfigNr値がクライアント状態管理情報におけるものより小さくはない場合にのみ有効である。これは、評価中のライセンスにおいて必要とされるライセンス所有者への経路を捜すLinkCを評価する場合に、LinkCの制御情報のコードにおいてチェックされる。LinkLOにおける制御情報も、ライセンスに属性として付されたlicenseConfigNrのLinkLOに属性として付されたものによるチェックを実行する。

ここでは、LinkCに対して二重の状態管理情報が、即ち個々の状態（クライアントにおけるDomainId）によるもの及びdomainConfigNrを介してのものが存在することに注意されたい。他のコンフィギュレーションは、属性としてdomainConfigNrを有さないLinkCで、該LinkCをクライアントの状態管理情報におけるdomainConfigNrに対して試験しないようなものであり得る。動作は同様であるが、LinkCはdomainConfigNrの各変化に伴い発行される必要はない。

ドメインリンクのDomainIdは、自身の暗黙的な方向管理情報から導出することができるが、一層強力な解決策はドメインに対する各リンクにDomainIdで属性を付すことである。しかしながら、これは図には示されていない。

クライアント及びライセンス所有者は、LinkLO及びLinkC上の有効期間により、定期的に通信してドメインとの関係を再確認すると共に更新されたドメインコンフィギュレーション情報を受信するように強制される。これらの有効期間は、図ではLO-validityperiod及びC-validityperiodとして各々示されている。

解決策のフィーチャ：

2.5 LinkC及びLinkLOに関する個々の状態
この実施例は図７に示されている。適用されるメカニズムは：

となる。

ライセンス所有者は、該ライセンス所有者を目標とするライセンスの何れかが変更され又は削除された場合にインクリメントされ、ライセンスの１つに関する変化を示すようなlicenseConfigNrを有する。ライセンス所有者がドメインに対してライセンスを解放する場合、該ライセンス所有者は該ライセンスにlicenseConfigNrの現在値により属性を付す。

licenseConfigNrの現在値は、各々の関連付けられたライセンス所有者に対して最も最近のlicenseConfigNrを安全に管理するドメインにプロトコルで通知される。

ライセンス所有者とドメインとの間の結合（関連付け）関係は、個々の状態のメカニズムにより決定される。結合関係は、２つの当事者間のプロトコルを使用してのみ確立することができ、両者は、この事実を状態変数（ライセンス所有者に対するDomainId及びドメインに対するLicenseOwnerId）で管理する。該結合関係は、ドメインとライセンス所有者との間のオンラインプロトコルで無効にすることができ、その場合、両者は関連付けを終了させることに同意し、各々が自身の管理情報（administration）から関係する状態変数を削除する。ドメインの状態管理情報はクライアントに対して、両者が互いに接触しているか又は接触する場合に伝達される。

クライアントとドメインとの間のメンバシップ関係は、個々の状態のメカニズムにより決定される。メンバシップは、２つの当事者間のプロトコルを使用してのみ確立することができ、両者は、この事実を状態変数（クライアントに対するDomainId及びドメインに対するClientId）で管理する。

クライアントがメンバである各ドメインに対して、該クライアントは当該ドメインに関連付けられたライセンス所有者に関して該ドメインの状態管理情報のコピーを保持する。メンバシップ関係は、ドメインとクライアントとの間のオンラインプロトコルで無効にすることができ、その場合、両者はメンバシップを終了させることに同意し、各々が自身の管理情報（administration）から関係する状態変数を削除する。

ドメインのリンクは、ドメインとクライアントとの間の直接的通信によりクライアントに到達することができる。この場合、クライアント上のリンクは、それらの有効期間が経過しておらず、且つ、クライアント状態管理情報内のメンバシップに関係する状態変数DomainIdが依然として存在する場合にのみ有効である。これは、評価中のライセンスにおいて必要とされるライセンス所有者への経路を捜すリンクを評価する場合に、リンクの制御情報のコードにおいてチェックされる。LinkLOの制御コードは、該LinkLOに対するLicenseOwnerIdがクライアントの状態管理情報内に関連付けられたものとして依然として登録されていること、及び評価中のライセンスのLicenseConfigNrの値がクライアントの状態管理情報内のものに等しい又はそれより大きいことの追加のチェックを実行する。

ドメインリンクのDomainIdは、自身の暗黙的な方向管理情報から導出することができるが、一層強力な解決策はドメインに対する各リンクにDomainIdで属性を付すことであることに注意されたい。同様のことが、LinkLOに明示的なLicenseOwnerIdを追加することに関しても成り立つ。しかしながら、これは図には示されていない。

クライアント及びライセンス所有者は、LinkLO及びLinkC上の有効期間により、定期的に通信してドメインとの関係を再確認すると共に更新されたドメインコンフィギュレーション情報を受信するように強制される。これらの有効期間は、図ではLO-validityperiod及びC-validityperiodとして各々示されている。

解決策2.4"LinkCに関する個々の状態及びLinkLOに関するドメイン状態"と比較して、結合関係（LinkLO）はクライアントにおける個々の状態変数によりガードされるので、LinkLOをライセンスに追加することは無駄である。何故なら、ライセンスを取得するクライアントは、関連付けの証拠を確立するために自身でLinkLOを使用することはできないからである。即ち、これはオンラインプロトコルでのみ実行可能である。

この解決策の他の構成は、リンクの有効期間の属性（及び図示しない他の属性）を状態管理情報（state administration）に転送することであり得ることに注意されたい。これは、メンバシップ関係又は結合関係の検証は、状態情報により表される当該関係の有効期間を評価することを含み、当該関連付けの検証は当該有効期間が経過していない場合にのみ成功することを意味する。

解決策のフィーチャ：

2.6 LinkC、LinkLO及びライセンスに関する個々の状態
この実施例は図８に示されている。適用されるメカニズムは：

となる。

この解決策は、解決策2.5"LinkC及びLinkLOに関する個々の状態"とは、ライセンス所有者を目標とする全ライセンスの状態をガードするためにlicenseConfigNrのメカニズムが使用されるのではなく、全ライセンスがドメイン及びクライアントの状態管理情報における個々の状態変数を各々得るという事実で相違する。ここでは、クライアント上の全ての証明は、クライアントの状態管理情報における対応する状態変数がライセンス評価において有効と見なされることを必要とする。

ドメインのリンクは、ドメインとクライアントとの間の直接的通信によりクライアントに到達することができる。この場合、クライアント上のリンクは、それらの有効期間が経過しておらず、且つ、クライアント状態管理情報内のメンバシップに関係する状態変数DomainIdが依然として存在する場合にのみ有効である。これは、評価中のライセンスにおいて必要とされるライセンス所有者への経路を捜すリンクを評価する場合に、リンクの制御情報のコードにおいてチェックされる。LinkLOの制御コードは、該LinkLOに対するLicenseOwnerIdがクライアントの状態管理情報内に関連付けられたものとして依然として登録されていること、及び評価中のライセンスのLicenseIdがクライアントの状態管理情報内に依然として登録されていることの追加のチェックを実行する。このLicenseIdに関する最後のチェックは、ライセンス自体の制御コードに割り当てることもできることに注意されたい。後者の場合、これは、結果として、解決策のシステム固有のチェックが元のコンテンツプロバイダにより署名された制御情報に追加されねばならないか、又は解放されるライセンスがライセンス所有者により変更及び署名されることになる。

ライセンスのLicenseIdがライセンス内で利用可能でなければならないことに注意されたい。しかしながら、これは、主体の他のＩｄと同様に、図には示されていない。

主体の状態変数（安全なメモリ内の）を管理すると共に、それらの内部状態構造を更新するために斯かる状態変数を個々に他の主体に通知するための代替策は、状態を定義するような全構造を含む署名され且つバージョンが付された証明の定義である。これらの証明は、他の証明と同様に、主体間で自由に分配することができ、斯様な証明のバージョンに関する単一の状態変数のみが、主体により安全に管理されることを要する。

この解決策における一例として、ドメインは、該ドメインに関連付けられた全LicenseOwnerIdのリストを伴う証明を、対応するライセンス所有者を目標とすると共にドメインに解放されたライセンスのLicenseOwnerId毎の全LicenseIdと一緒に発行することができる。クライアントは、有効であるライセンスのｉｄを含む斯様なホワイトリストのバージョン番号を状態管理情報に従って安全に管理する。サイズが大きい可能性がある証明は、安全に記憶される必要はなく、クライアントにオンラインの安全なプロトコルにより伝達される必要もない。

バージョン変数の状態管理に対しての斯様なメカニズムに関する動作は、domainConfigNrに関して解決策2.1"有効期間による強制なし"で既に説明した。そこでは、当該技術は一連のリンクに対して使用され、ここでは、該技術は一連の如何なる構造の状態変数に対しても使用することができる。該技術は、本発明に関する別個のメカニズムとしては説明されないが、該技術は、勿論、他の解決策の大多数との組み合わせで適用することもできる。

この解決策に対する代替構成は、リンクの有効期間属性（及び他の図示せぬ属性）の状態管理情報への転送であり得ることに注意されたい。このことは、メンバシップ関係又は結合関係及びライセンスの有効性の検証が、状態情報により表された当該関係の有効期間を評価することを含み、当該関連付けは斯かる有効期間が経過していない場合にのみ成功裏に検証することになることを意味する。

解決策のフィーチャ：

2.7 ライセンスに対するバージョン管理を伴う全関係に関する個々の状態
この実施例は図９に示されている。適用されるメカニズムは：

となる。

この解決策は、状態でのライセンスのバージョンのサポートの点で、解決策2.6"LinkC、LinkLO及びライセンスに関する個々の状態"とは相違する。この場合、ライセンス所有者は、自身を目標とする各ライセンスに対して、自身の状態管理情報にLicControlVersionNrを有する。ライセンス所有者により開放されたライセンスはLicControlVersionNrの実際の値で属性を付され、該LicControlVersionNrはドメイン（又は複数のドメイン）に伝達され、そこから、それらの状態管理情報に組み込まれるべくクライアントに伝達される。

ライセンス所有者は、自身のLicControlVersionNrを、ライセンスに対して本質的な変更がなされた場合にインクリメントする。ドメインに対して解放されたライセンスの前のバージョンは（そのうちに）役に立たなくなるであろう。何故なら、これらはクライアントの状態管理情報に登録されたものより古いバージョンを有するからである。

評価中のライセンスのLicenseIdがクライアントの状態管理情報にDomainIdのエレメントとしてのLicenseOwnerIdのエレメントとして存在するかのチェックは、LicenseOwnerIdに対して登録されたLicControlVersionNrの値がライセンスに属性として付されたLicControlVersionNrの値より大きくはないというチェックにより拡張される。

ここでも、このようなチェックをLinkLOの制御コードに割り付けるか又はライセンス自身の制御コードに割り付けるかはオプションである。

この解決策の代替構成は、リンクの有効期間属性（及び他の図示せぬ属性）の状態管理情報への転送であり得ることに注意されたい。

解決策のフィーチャ：

2.8 並列ライセンスリンク処理
この実施例は図１０に示されている。適用されるメカニズムは：

である。

この解決策は、解決策2.7"ライセンスに対するバージョン管理を伴う全関係に関する個々の状態"で述べた構成に加えての、並列ライセンスリンク処理メカニズムの使用を示す。この解決策に対する参考として、前記並列メカニズムの説明を参照されたい。LinkLicは、ライセンス所有者から該ライセンス所有者を目標とするライセンスへのリンクである。この場合、LicControlVersionNrは、LinkLicに関する状態でのバージョン管理のために使用され、該制御情報は元のコンテンツプロバイダの制御情報によるライセンスより一層変化しそうである。ライセンスに対してバージョン処理も必要とされる場合、追加のバージョン番号（nr）をLicControlVersionNrと一緒に且つ独立に処理して使用することができる。

解決策2.7"ライセンスに対するバージョン管理を伴う全関係に関する個々の状態"によるのと同様のフィーチャに、分離された制御領域という利点が加わり、ユーザ定義制限を、ライセンスを変更せずに変更することができる。

2.9 直列ライセンスリンク処理
この実施例は図１１に示されている。適用されるメカニズムは：

である。

この解決策は、解決策2.7"ライセンスに対するバージョン管理を伴う全関係に関する個々の状態"で述べた構成に加えての、直列ライセンスリンク処理メカニズムの使用を示す。この解決策に対する参考として、前記直列メカニズムの説明を参照されたい。LinkLicは、ライセンス所有者から該ライセンス所有者を目標としないライセンスへのリンクである。該LinkLicは、コンテンツのライセンス所有者に対する結合を行い、このリンクをコンテンツ取得及び移動処理における必須エレメントにする。この場合、LicControlVersionNrは、LinkLicに関する状態でのバージョン管理のために使用され、該制御情報は元のコンテンツプロバイダの制御情報によるライセンスより一層変化しそうである。ライセンスに対してバージョン処理も必要とされる場合、追加のバージョン番号（nr）をLicControlVersionNrと一緒に且つ独立に処理して使用することができる。

解決策のフィーチャ：

解決策2.7"ライセンスに対するバージョン管理を伴う全関係に関する個々の状態"によるのと同様のフィーチャに、下記の利点が加わる：
・ユーザ定義制限を、ライセンスを変更することなしに変更することができるような、分離された制御の領域；
・元のコンテンツプロバイダにより署名されたライセンスの制御情報に、再目標処理が必要とされない。

［更なる改善］
ユーザ定義制限を、国際特許出願公開第WO05/111760号（代理人整理番号：PHNL040536）に開示された方法に従って追加することができる。

上述した幾つかの実施例では、ドメインからライセンス所有者の関連づけを外すことは、クライアントが該関連づけを外されるライセンス所有者の如何なるドメインコンテンツにも最早アクセスしなくなるまで、クライアントが或る期間（通常は、LO-validityperiodの残り）待つことを必要とする。この場合、この期間は、当該ドメインのドメインコンテンツが依然としてアクセス可能であるような猶予期間として働く。この猶予期間の後、ドメイン関連付けはキャンセルされる。

システムは、同時に存在することが可能な最大数のドメイン関連づけ（アクティブドメイン）を実施することができる。通常、これはドメインが作成された場合に増加され、ドメイン関連づけがキャンセルされた場合に減少されるカウンタによりなされる。このカウンタが上記最大値に等しく、且つ、ユーザが自身のドメインの１つからライセンス所有者の関連づけを外した場合、新たなドメイン関連付けの作成は猶予期間の終了まで許可されないであろう。何故なら、その時点でのみ、カウンタが減少されるからである。これは、ユーザにとり不便である。というのは、ユーザは、既存のドメインからライセンス所有者の関連づけを外す行為の直後に、新たなドメイン関連付けを作成することができると期待するからである。

上記を改善するためには、システムは、猶予期間におけるドメイン数のための別個のカウンタ（古ドメインカウンタ）を実施化しなければならない。ライセンス所有者がドメインから関連づけを外された直後に、前記アクティブドメインカウンタが１だけ減少される。このことは、直ぐに新たなドメイン関連づけの作成を可能にする。

上記アクティブドメインカウンタを減少させることに追えて、上記古ドメインカウンタが増加される。当該猶予期間の経過後に、該古ドメインカウンタは減少される。このようにして、アクティブドメインと、猶予期間内のドメインとが別々に追跡される。

上記アクティブドメインカウンタが自身の最大値に到達したら、新たなドメイン関連づけを作成することはできない。この場合、ユーザがドメインからライセンス所有者の関連づけを外すやいなや、アクティブドメインカウンタは減少されるので、前述した不便さは低減される。

ユーザは、ライセンス所有者の関連づけを外した直後には、依然として新たなドメイン関連づけは作成することはできないかもしれない。このようなことは、古ドメインカウンタが自身の最大値に到達し、アクティブドメインカウンタも自身の最大値に到達した場合に発生するであろう。しかしながら、これは極めて極端な、即ちユーザは最大数のアクティブドメインのみならず、猶予期間内に依然として最大数のドメインをも有さなければならないような、状況である。

両最大値を注意深く選択することにより、このような可能性は大幅に減少させることができる。

［最後の注記］
上記において、"min(Ａ，Ｂ)"なる表記は、Ａ及びＢのうちの小さい方と解釈されるべきであり、"max(Ａ，Ｂ)"なる表記は、Ａ及びＢのうちの大きい方と解釈されるべきである。

本明細書においては、下記の定義が使用されている：

尚、以上に述べた実施例は本発明を限定するというよりは解説するものであり、当業者であれば添付請求項の範囲から逸脱することなしに多数の代替実施例を設計することができることに注意すべきである。

また、図を通して同一の符号は同様の又は対応するフィーチャを示している。図面に示されたフィーチャの幾つかは、典型的にはソフトウェアで実施化され、従ってソフトウェアモジュール又はオブジェクト等のソフトウェア主体を表している。

また、請求項において括弧内に配された如何なる符号も請求項を限定するものと見なしてはならない。また、"有する"なる用語は、請求項に列挙されたもの以外の構成要素又はステップの存在を排除するものではない。また、単数形の構成要素は、複数の斯かる構成要素の存在を排除するものではない。また、本発明は、幾つかの個別要素を有するハードウェアにより、及び適切にプログラムされたコンピュータにより実施化することができる。

また、幾つかの手段を列挙する装置又はシステムの請求項において、これらの手段の幾つか又は全ては１つの同一の品目のハードウェアにより具現化することができる。特定の手段が相互に異なる独立請求項に記載されているという単なる事実は、これら手段の組み合わせを有利に使用することができないことを示すものではない。

図１は、クライアントからコンテンツまでの認可チェーンを概念的に示す。 図２は、認可ドメイン（ＡＤ）を形成する装置及び人を有する例示的システムを概念的に示す。 図３は、有効期間による強制のない実施例を示す。 図４は、クライアントにおける状態のない実施例を示す。 図５は、LinkCに関する個々の状態の場合の実施例を示す。 図６は、LinkCに関する個々の状態及びLinkLOに関するドメイン状態の場合の実施例を示す。 図７は、LinkC及びLinkLOに関する個々の状態の場合の実施例を示す。 図８は、LinkC、LinkLO及びライセンスに関する個々の状態の場合の実施例を示す。 図９は、ライセンスに対するバージョン管理を伴う全関係のための個々の状態の場合の実施例を示す。 図１０は、並列ライセンスリンク処理の場合の実施例を示す。 図１１は、直列ライセンスリンク処理の場合の実施例を示す。

Claims (8)

1. ドメインにおけるデジタル権利管理のための方法において、ライセンス所有者と前記ドメインとの間の関連付け関係は、前記ライセンス所有者及び前記ドメインが識別される証明書で表され、クライアント装置と前記ドメインとの間のメンバシップ関係は、前記クライアント装置及び前記ドメインが識別される証明書で表され、前記クライアント装置が、コンテンツにアクセスし、再生するように構成され、前記方法が、
   前記クライアント装置の許諾手段により、前記ライセンス所有者により所有されるライセンスに従って、前記ドメインのメンバである前記クライアント装置に対して、コンテンツに対するアクセスを許諾するステップであって、前記許諾が、
   前記クライアント装置のメンバシップ関係検証手段により、第１状態変数に反映される前記クライアント装置と前記ドメインとの間のメンバシップ関係の存在と、前記クライアント装置と前記ドメインとの間のメンバシップ関係を表す前記証明書に属性として付されたドメインコンフィギュレーション番号の値が、前記第１状態変数の値以上であり、前記第１状態変数が、前記クライアント装置の第１状態変数維持手段及び前記ドメインのコントローラの第１状態変数維持手段の両者により維持され、前記ドメイン内の関係が変化する場合にインクリメントされ、有効な第１状態変数の存在は、前記メンバシップ関係が存在することを検証するのに必要とされることとが検証され、
   前記クライアント装置の関連付け関係検証手段により、第２状態変数に反映される前記ライセンス所有者と前記ドメインとの間の関連付け関係の存在と、前記ライセンス所有者と前記ドメインとの間の関連付け関係を表す前記証明書に属性として付されたライセンスコンフィギュレーション番号の値が、前記第２状態変数の値以上であり、前記第２状態変数が、前記ドメインのコントローラの第２状態変数維持手段及び前記ライセンス所有者に対応するライセンス所有者コントローラの第２状態変数維持手段の両者により維持され、前記ライセンス所有者に対するライセンスが変化する場合にインクリメントされ、有効な第２状態変数の存在は、前記関連付け関係が存在することを検証するのに必要とされることとが検証される、
   ことに成功するという条件でなされる当該許諾するステップ、
   を有し、前記方法が、
   前記ドメインのコントローラのオンラインプロトコル手段及び前記クライアント装置のオンラインプロトコル手段により、前記ドメインのコントローラと前記クライアント装置との間の前記メンバシップ関係を無効にするオンラインプロトコルを実行し、両者が前記第１状態変数を削除するステップと、
   前記ライセンス所有者コントローラのオンラインプロトコル手段及び前記ドメインのコントローラのオンラインプロトコル手段により、前記ライセンス所有者コントローラと前記ドメインのコントローラとの間の前記関連付け関係を無効にするオンラインプロトコルを実行し、前記ドメインのコントローラが前記第２状態変数を削除し、前記クライアント装置により前記第２状態変数が削除されるように、前記関係が存在するか否かの情報を有する前記ドメインに関する状態管理情報が該クライアント装置に伝達されるステップと、
   を有するような方法。
2. 前記状態管理情報が、前記関連付け関係及び前記メンバシップ関係の有効期間を含み、前記関連付け関係及び前記メンバシップ関係に関する前記検証が、前記状態管理情報により表された当該関係の有効期間を評価し、該有効期間が経過していなかった場合にのみ当該関連付けを検証するのに成功するような請求項１に記載の方法。
3. 前記ライセンスの状態をガードするために、前記ドメインのコントローラ及び前記クライアント装置が第３状態変数を更に維持し、前記第３状態変数が、削除されることにより前記ライセンスの無効化を許可するような請求項１に記載の方法。
4. 前記第３状態変数が前記ライセンスの識別子の表示を含むような請求項３に記載の方法。
5. 前記ライセンス所有者コントローラが前記第３状態変数を作成すると共に該第３状態変数を前記ドメインのコントローラに伝達し、該ドメインのコントローラが前記第３状態変数を前記クライアント装置に伝達するような請求項３に記載の方法。
6. 前記証明書が自身の有効期間の識別情報を有するような請求項１に記載の方法。
7. 前記クライアント装置が、前記第１及び第２状態変数を有する状態管理情報を持ち、前記ドメインのコントローラが、前記ドメインに関する状態管理情報を前記クライアント装置に伝達し、前記クライアント装置が、これ自体の状態管理情報を更新し、前記関連付け関係を反映する前記第２状態変数を削除することができる、請求項１に記載の方法。
8. ドメインにおけるデジタル権利管理のためのシステムにおいて、前記システムは、クライアント装置、前記ドメインのコントローラ及びライセンス所有者コントローラを有し、ライセンス所有者と前記ドメインとの間の関連付け関係は、前記ライセンス所有者及び前記ドメインが識別される証明書で表され、前記クライアント装置と前記ドメインとの間のメンバシップ関係は、前記クライアント装置及び前記ドメインが識別される証明書で表され、前記クライアント装置は、許諾手段、メンバシップ関係検証手段及び関連付け関係検証手段を有し、
   前記許諾手段は、前記メンバシップ関係検証手段及び前記関連付け関係検証手段が検証に成功するという条件で、前記ライセンス所有者により所有されるライセンスに従って、前記ドメインのメンバである前記クライアント装置に対して、コンテンツに対するアクセスを許諾し、
   前記クライアント装置の前記メンバシップ検証手段は、第１状態変数に反映される前記クライアント装置と前記ドメインとの間のメンバシップ関係の存在と、前記クライアント装置と前記ドメインとの間のメンバシップ関係を表す前記証明書に属性として付されたドメインコンフィギュレーション番号の値が、前記第１状態変数の値以上であり、有効な第１状態変数の存在は、前記メンバシップ関係が存在することを検証するのに必要とされることとを検証し、
   前記クライアント装置の前記関連付け関係検証手段は、第２状態変数に反映される前記ライセンス所有者と前記ドメインとの間の関連付け関係の存在と、前記ライセンス所有者と前記ドメインとの間の関連付け関係を表す前記証明書に属性として付されたライセンスコンフィギュレーション番号の値が、前記第２状態変数の値以上であり、有効な第２状態変数の存在は、前記関連付け関係が存在することを検証するのに必要とされることとを検証し、
   前記クライアント装置及び前記ドメインのコントローラが、各々、前記第１状態変数を維持し、前記ドメインにおける関係が変化する場合に前記第１状態変数をインクリメントするように構成される第１状態変数維持手段を有し、各々、これら両者の間の前記メンバシップ関係を無効にし、両者が前記第１状態変数を削除するように構成されるオンラインプロトコル手段を有し、
   前記ドメインのコントローラ及び前記ライセンス所有者に対応するライセンス所有者コントローラが、各々、前記第２状態変数を維持し、前記ライセンス所有者に対するライセンスが変化する場合に前記第２状態変数をインクリメントするように構成される第２状態変数維持手段を有し、各々、これら両者の間の前記関連付け関係を無効にするオンラインプロトコルを実行し、両者が前記第２状態変数を削除するように構成されるオンラインプロトコル手段を有し、前記ドメインのコントローラが、更に、前記関係が存在するか否かの情報を有する前記ドメインに関する状態管理情報を前記クライアント装置に伝達して該クライアント装置に前記第２状態変数を削除させるように構成された、
   デジタル権利管理のためのシステム。

Images