WO2006132371A1

WO2006132371A1 - 情報セキュリティ装置

Info

Publication number: WO2006132371A1
Application number: PCT/JP2006/311645
Authority: WO
Inventors: Natsume Matsuzaki; Kaoru Yokota; Masao Nonaka
Original assignee: Matsushita Electric Industrial Co., Ltd.
Priority date: 2005-06-10
Filing date: 2006-06-09
Publication date: 2006-12-14
Also published as: US8015614B2; US20100023774A1; JPWO2006132371A1; JP4824021B2; CN101194268A

Abstract

　情報がチェインをたどって流通する場合に、流通後に、この情報の利用条件の変更や回収（削除）を可能とする情報セキュリティ装置を提供する。　情報セキュリティ装置（２００）は、コンテンツおよび回収コマンドを受信する受信部（２０１）、コンテンツおよびその利用条件を格納するコンテンツ格納部（２０２）、受信した回収コマンドの正当性を確認する回収コマンド確認部（２０３）、コンテンツを削除するコンテンツ削除部（２０４）、コンテンツの送受信情報を含むチェイン情報を格納するチェイン情報格納部（２０５）、送信先リスト格納部（２０６）、コンテンツおよび回収コマンドを送信する送信部（２０７）、及び回収コマンドの処理制御を行う制御部（２０８）を備え、コンテンツ配布後に回収コマンドを送信することで、流通先でのコンテンツの回収（削除）を行なうことができる。

Description

明細書

情報セキュリティ装置

技術分野

[0001] 本発明は、コンテンツ情報等がチェインで流通した後、このコンテンツ情報の利用条件を同様のチェインをたどって変更できる情報セキュリティ装置に関する。

背景技術

[0002] 近年、デジタルカメラやカメラ付き携帯電話等の普及により、個人ユーザが静止画や動画等のデジタルコンテンツを容易に生成出来るようになった。以後、個人ユーザが生成したデジタルコンテンツのことを個人コンテンツと呼ぶことにする。また、それら個人コンテンツを、デジタルテレビやハイブリッドレコーダ、携帯機器等に転送して、視聴出来る環境が整いつつある。それに伴って、家族や友達と個人コンテンツを交換し合う機会が増えてきており、今後個人コンテンツの流通が活発に行われるようになると予想される。

[0003] 現在、個人コンテンツの流通システムの一例としては、ピアツーピア型のファイル交換システム (例えば、非特許文献 1参照）が挙げられる。ファイル交換システムでは、ネットワーク上のユーザが相互に個人コンテンツを交換し合う。ファイル交換システムにおいて、個人コンテンツを要求するユーザは、自己が所有する端末を利用して、個人コンテンツを所有するユーザの端末に対し、欲しい個人コンテンツを指定し、ネットワークを介して個人コンテンツをダウンロードする。ピアツーピア型のファイル交換システムでは、個人コンテンツを受け取ったユーザは、また別のユーザに自由に再配布（二次配布）出来る。そのため、コンテンツは活発に流通される。

[0004] 一方、この二次配布により、どこに個人コンテンツが流通しているのかを把握困難になる恐れがある。従来の個人コンテンツの配布情報の管理方法として、個人コンテンッをチェインで順に配布する際、誰が誰に送信したのかを履歴管理サイトが集中して管理する方法が開示されている (例えば、特許文献 1参照)。

非特許文献 1：伊藤直榭著「P2Pコンピューティング—技術解説とアプリケーション」、ソフトリサーチセンター出版、 2001年 12月特許文献 1：特開 2001— 256413号公報

発明の開示

発明が解決しょうとする課題

[0005] 一般に、個人コンテンツは不特定の人には知られたくないプライベートな写真データ等も含まれる。そのため、個人コンテンツを生成したユーザ (生成ユーザ）には、生成した個人コンテンツの配布範囲を限定した、と、う要望がある。

[0006] し力しながら、非特許文献 1に記載の従来技術では、生成ユーザの意図に関係なく、個人コンテンツを受け取ったユーザは自由に再配布（二次配布）出来ていた。つまり、ー且生成ユーザの手を離れてしまった個人コンテンツの二次配布を生成ユーザが制御することが出来な、と、う課題がある。

[0007] 一方、特許文献 1に記載の従来技術では、各ユーザがどこに流通させたのかといつた情報が集中管理されている。この情報はそのユーザの友人関係の情報、つまりプライパシーに関連しており、それが他者に管理されているということはそのユーザにとつて不快である。また、個人情報保護法の観点からも、運営側が管理サイトを安全に運営するための大きなリスクを負い、課題である。

[0008] 本発明は、前記従来の課題を解決するもので、各ユーザがどこに流通させたかの情報を集中管理することなしに、流通させてしまった個人コンテンツの利用条件を、後から個人コンテンツ流通と同じチェインをたどって、変更、削除（回収)等できる情報セキュリティ装置を提供することを目的とする。

課題を解決するための手段

[0009] 前記従来の課題を解決するために、本発明の情報セキュリティ装置は、送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置であって、前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも 1つを受信する受信手段と、前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納手段と、前記条件変更コマンドに基づ、て前記利用条件を変更する制御手段と、前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも 1つを前記送信先装置に送信する送信手段とを備えることを特徴とする。

[0010] 本構成によって、前記制御手段において条件変更コマンドに基づいて利用条件を変更することにより、コンテンツの配布後に、利用条件の変更や、コンテンツの回収（削除)を行うことが可能となる。

[0011] また、本発明に係る情報セキュリティ装置は、さらに、前記コンテンツ情報の識別子

、前記コンテンツ情報の送付元装置の識別子、前記コンテンツ情報の作成装置の識別子、前記コンテンツ情報の送付先装置の識別子の少なくとも 1つ含む情報を、前記コンテンツ情報のチェイン情報として生成するチェイン情報生成手段と、前記チェィン情報を格納するチェイン情報格納手段とを備え、前記制御手段は、さらに、前記条件変更コマンドの対象となる前記コンテンツ情報のチェイン情報を参照して、前記条件変更コマンドの対象となるコンテンツ情報の利用条件を変更することを特徴とする

[0012] この構成により、前記制御手段において、チェイン情報を参照して利用条件を変更でき、コンテンツ情報の管理を行うことが可能となる。

[0013] なお、前記目的を達成するために、本発明は、情報セキュリティ装置の特徴的な手段をステップとする情報セキュリティ方法として実現したり、コンピュータに各ステップを実行させるためのプログラムとして実現することもできる。そのようなプログラムは、 C D— ROM等の記録媒体やインターネット等の伝送媒体を通じて配信することができるのは言うまでもない。

発明の効果

[0014] 本発明の情報セキュリティ装置によれば、ユーザは確実にネットワークを介した個人コンテンツ等のコンテンツの配布後に、条件の変更や、コンテンツの回収（削除）を行なうことができるため、自ら作成した個人コンテンツ等を、より気軽にネットワーク上に配布、公開できる。

図面の簡単な説明

[0015] [図 1]図 1は、本発明の実施の形態 1に係る情報セキュリティシステムの全体構成例を示す図である。

[図 2]図 2は、本発明の実施の形態 1に係る情報セキュリティ装置の構成を示すブロック図である。

[図 3]図 3は、本発明の実施の形態 1におけるコンテンツ流通時の情報セキュリティ装置の動作の一例を示すフローチャートである。

[図 4]図 4は、本発明の実施の形態 1におけるチヱイン情報の例を示す図である。

[図 5]図 5は、本発明の実施の形態 1におけるコンテンツ回収時の情報セキュリティ装置の動作の一例を示すフローチャートである。

[図 6]図 6は、本発明の実施の形態 1における情報セキュリティ装置の意志で、コンテンッと対応するチェイン情報を削除する場合の処理を示すフローチャートである。

[図 7]図 7は、本発明の実施の形態 2に係る情報セキュリティ装置の機能ブロック図である。

[図 8]図 8は、本発明の実施の形態 2に係る情報セキュリティ装置においてコンテンツの「途中抜け」を行う際の動作手順を示すフローチャートである。

[図 9]図 9は、チェイン情報通知部を保持する情報セキュリティ装置から送信先の情報セキュリティ装置及び送信元の情報セキュリティ装置に送信される情報の一例を示す図である。

符号の説明

100, 200, 300 情報セキュリティ装置

201 受信部

202 コンテンツ格納部

203 回収コマンド確認部

204 コンテンツ削除部

205 チェイン情報格納部

206 送信先リスト格納部

207 送信部

208 制御部

209 コンテンツ再生部

701 判定部

702 時間管理部 703 機器デフォルト値格納部

704 外部入力部

705 回収コマンド生成部

706 チェイン情報通知部

発明を実施するための最良の形態

[0017] 以下、本発明の実施の形態について、図面を参照しながら説明する。なお、ここではコンテンツを流通させて、その後そのコンテンツを回収（削除)する場合を例として説明する。また、回収せずに、利用条件を変更することも可能である。なお、各情報セキュリティ装置は回収指示があればそれに従う正しい装置であると仮定する。

[0018] (実施の形態 1)

図 1は、本発明の実施の形態 1に係る情報セキュリティシステムの全体構成例を示す図である。

[0019] 図 1において、情報セキュリティシステムは、通信路 1、通信路 2を介して順に接続される 3つの情報セキュリティ装置を備える。それぞれ、情報セキュリティ装置 1 (100)、情報セキュリティ装置 2 (200)、情報セキュリティ装置 3 (300)である。なお、図 1では、情報セキュリティ装置は 3つ示している力 3つ未満であっても良いし、 4つ以上であつてもよい。なお、ここでは説明のため、情報セキュリティ装置 1、 2、 3のユーザはそれぞれ、 ALICE、 HANAKO、 BOBとする。

[0020] 情報セキュリティ装置は、パーソナルコンピュータ等のコンピュータ装置や、家電製品（デジタルテレビ、ビデオデッキ、 DVDレコーダ、ハードディスクレコーダなど）、セットトップボックス、携帯電話、 PHS、デジタルスチルカメラ、デジタルビデオカメラ、マルチメディア再生端末、 PDA (Personal Digital Assistant:携帯型情報端末装置)、車載情報端末、専用携帯端末等の、情報の入出力や記憶等の処理が可能ないわゆる情報処理端末装置である。通信路は、インターネットや電話線、無線通信等によって実現される、情報処理端末間の相互通信を可能とする情報伝達メディアである。

[0021] なお、本図の説明においては、情報セキュリティ装置が 1対 1の関係でコンテンツの送受信を行う場合を示しているが、情報セキュリティ装置の関係は 1対多、又は多対 1 の関係でコンテンツの送受信を行う構成であっても構わない。

[0022] 図 2は、図 1における情報セキュリティ装置 2の内部構成例を示す図である。情報セキユリティ装置 1および 3も同様の構成であっても良い。情報セキュリティ装置 2は、情報セキュリティ装置 1よりコンテンツを受信し、これを蓄積して利用すると共に、情報セキユリティ装置 3に送信する。

[0023] 図 2において、情報セキュリティ装置 200は、通信路 1を介して情報セキュリティ装置 1よりコンテンツおよび回収コマンドを受信する受信部 201、コンテンツおよびその利用条件を格納するコンテンツ格納部 202、受信した回収コマンドの正当性を確認する回収コマンド確認部 203、コンテンツを削除するコンテンツ削除部 204、コンテンッの送受信情報を含むチェイン情報を格納するチェイン情報格納部 205、送信先リスト格納部 206、通信路 2を介してコンテンツおよび回収コマンドを情報セキュリティ装置 3に送信する送信部 207、回収コマンドの処理制御を行う制御部 208、及びコンテンッと利用条件を参照してコンテンツを再生するコンテンツ再生部 209を備える。

[0024] 図 3では、コンテンツを受信した場合の動作例を示している。図 2を参照して説明する。

[0025] 受信部 201は、通信路 1を介してコンテンツを受信する (ステップ S401)。ここでのコンテンツの IDは 1234とする。ここでは詳細に述べないが、コンテンツ受信と同時に、コンテンツの利用条件を受信してもよい。なお、利用条件とは、例えば、決められた回数だけ再生可能などとする。

[0026] 受信部 201は、受信したコンテンツをコンテンツ格納部 202に格納する（ステップ S 402)。また、コンテンツの利用条件を受信した場合は、利用条件もコンテンツ格納部 202に格納する。

[0027] 次に、受信部 201は、コンテンツ†青報（コンテンツ ID、コンテンツ作成者、コンテンツ保存場所、コンテンツ重要度など)と、送信者の情報 (送信元情報)をチェイン情報として、チェイン情報格納部 205に格納する (ステップ S403)。

[0028] 制御部 208は、受信部 201がチェイン情報格納処理を完了した後、送信先リスト格納部 206に格納されている送信先リストを参照し、送信先を決定する (ステップ S404 )。例えば、送信リスト格納部 206に、ユーザ情報 (ユーザ IDやユーザ名など）と送信先アドレス (電話番号や IPアドレスやメールアドレスなど、通信先情報）と各ユーザに対する信頼度を組みにして送信リストとして保持している場合について、具体的に説明する。処理対象のコンテンツに付加されている重要度と、送信リストの信頼度とを比較して、送信先を決定する。信頼度は例えば 0から 100 (数字が大きいほど信頼していることを示す)で示し、重要度が一定以上のコンテンツは、信頼度 80以上のユーザを送信先として選ぶものとする。ここで情報セキュリティ装置 2の持ち主 HANAKOは、 BOBを信頼しており、 BOBの持つ情報セキュリティ装置 3を、コンテンツ 1234の送信先として選ぶものとする。

[0029] 制御部 208は、決定した送信先を送信先情報としてチェイン情報に格納することで、チェイン情報格納部 205に格納されているチェイン情報を更新する (ステップ S405

) o

[0030] 送信部 207は、制御部 208が決定した送信先 (情報セキュリティ装置 3)に、コンテンッを送信する（ステップ S406)。

[0031] なお、情報セキュリティ装置 2の利用者 HANAKOは、情報セキュリティ装置 3に送信する前や後に、コンテンツ格納部 202内のコンテンツを、コンテンツ再生部 209を用いて利用（再生)することができ、コンテンツ流通前後に対象コンテンツの内容を確認することが可能である。

[0032] 図 4では、図 3のステップ S403または S405において処理するチェイン情報 400の一例を示す。

[0033] コンテンツ ID (1234)およびコンテンツ作成者は、コンテンツに付加されている情報を参照して記録する。また、ここでは情報セキュリティ装置 1のユーザが ALICEで、情報セキュリティ装置 3のユーザが BOBであるため、コンテンツ送信元は ALICE、送信先は BOBとなる。また、コンテンツ保存場所とは、コンテンツ格納部 202内の保存位置を示す情報である。なお、ここでの有効期限は、このチェイン情報を保持しておかなければならない期日であり、この間であれば、同じルートで回収コマンドが来たときに、コンテンツの流通チェインと同じルートで、回収コマンドを流通させることができる。この図 4の例では、 2005. 5. 5まではこのチェイン情報を削除してはならず、これまでの間は回収コマンドをこのチェイン情報を参照して次にまわすことができる。一方、 2005. 5. 6以降は、このチェイン情報を削除しても良いとし、回収コマンドが行き渡る保証はなくなる。

[0034] 図 5は、図 3で述べたコンテンツの流通後に、コンテンツ作成者 TAROの意志で、コンテンッ 1234を回収、つまり流通先で削除する場合の処理を示す。

[0035] 受信部 201は、通信路 1を介して回収コマンドを受信する (ステップ S501)。

[0036] 回収コマンド確認部 203は、受信した回収コマンドの正当性を確認する（ステップ S 502)。この場合、コンテンツ作成者 TAROのデジタル署名を確認することで、不正な回収コマンドではな、ことを確認する。回収コマンドが不正である場合 (ステップ S5 02が NG)、処理を終了する。一方、回収コマンドが正当である場合 (ステップ S502 が OK)、ステップ S503に遷移する。

[0037] 制御部 208は、回収コマンドが対応するコンテンツのチェイン情報を、チェイン情報格納部 205から取得し、内容を確認する (ステップ S503)。例えば、対応するチエイン情報力図 4に示した内容の場合、このコンテンツを BOB (情報セキュリティ装置 3) に送信したことが分かる。また、チェイン情報保持の有効期限内であることも分力る。この有効期限は、チェイン情報を保持しておかないといけない期日であるため、この期限を過ぎている場合は、回収コマンドを流通させないと判断し、期限内の場合のみ流通させてもよい。また、有効期限に関係なぐ受け取った回収コマンドを流通させてもよい。ここでは、有効期限に関係なぐ処理するものとする。

[0038] 制御部 208は、回収コマンドに従って、コンテンツ削除部 204に対象のコンテンツの削除を指示し、コンテンツ削除部 204は、コンテンツ格納部 202に格納された、コンテンッを削除する（ステップ S 504)。

[0039] 制御部 208は、チェイン情報力も取得した送信先 (情報セキュリティ装置 3)に、回収コマンドを送信する（ステップ S505)。

[0040] 以上により、情報セキュリティ装置は、コンテンツ配布後に回収コマンドを送信することで、流通先でのコンテンツの回収（削除)を行なうことが可能となり、気軽にコンテンッを流通することができる。また、チェイン情報は、各情報セキュリティ装置内にとどまるため、プライバシーの課題は生じない。

[0041] なお、本実施の形態 1では、コンテンツ流通後に回収コマンド（すでに流通したコンテンッを無効化、あるいは削除するコマンド)を流通させるとしている力コンテンツの利用条件の変更としてもょ、。これは例えばコンテンッ流通と同時または別にコンテンッの利用条件 (例えば 10回の視聴)を流通させると仮定し、その後、これを変更 (例えば 20回にする）する場合に適用できる。また、 10ヶ月の利用期限であったものを、 3ヶ月に短縮する場合にも同じチェインをたどってこのコマンドを流通する。従って、コンテンッ作成者が自己の都合により後から配布先の情報セキュリティ装置におけるコンテンッの利用形態を容易に変更でき、より気軽にコンテンツをネットワーク上に配信、公開することがでさる。

[0042] また、本実施の形態 1では、コンテンツの回収コマンドに対する処理として、コンテンッ本体の削除としている力コンテンツ利用不許可フラグであってもよい。コンテンツ利用時にはこのフラグが許可状態になっているのを確認後に初めて利用できるものとする。また、コンテンツを暗号ィ匕して保管している場合は、この鍵の削除であってもよい。また、削除時には、コンテンツとともにチェイン情報も削除してよい。また、コンテンッ削除方法として、これらのいずれとするかを、コンテンツに付加して指定しても良い。

[0043] また、回収コマンド確認部 203では、コンテンツ作成者のデジタル署名を確認しているが、送信者 (つまり情報セキュリティ装置 1)のデジタル署名としてもよい。また、コマンドの正当性確認方法として、これらのいずれとするかを、予めコンテンツに付加して指定すれば、対応したデジタル署名が確認されたときのみに、回収コマンドを受け入れて処理する。

[0044] また、回収コマンド確認部 203では、送信先の信頼度によりこのコマンドを受け入れるかを決めても良い。例えば、あまり信頼のない送信先から、その送信先のデジタル署名をつけて回収コマンドが来た場合、設定によっては、コンテンツを削除しなくてもよい。

[0045] また、有効期限を日付で表している力これはコンテンツが送信されてからの相対時間（例えば 30日など)であっても良、。また、精度としては日、時、分等、、ずれであってもよい。

[0046] また、対象コンテンツとして、個人が撮影したビデオや写真等の個人コンテンツに限らない。商用コンテンツであっても良いし、口コミ情報のようなテキスト等の情報であつてもよい。

[0047] また、回収コマンドは、他の情報セキュリティ装置（おそらぐコンテンツの作成者)から発行されるものとしているが、例えば送信先の信頼度が大幅に下がったこと等を契機にして、コンテンツの作成者の許可の元に途中の装置力発行しても良い。

[0048] また、送信先は、送信リストの信頼度とコンテンツの重要度力も決定するとして、る力この方法だけでなくてもよい。友達、あるいは知り合いのリストを作成しておいて、その全員を送信先としても良い。あるいはその場にいて通信路が確立された情報セキユリティ装置を送信先としても良い。

[0049] また、情報セキュリティ装置は、条件変更のコマンドや回収コマンドが届いたときにはその指示に従う正しい装置であると仮定している。このために、情報セキュリティ装置間で、最初に正しい装置であるかを相互認証すると良い。認証の方法は、例えば公開鍵暗号の手法を用いて、正し、装置だけに配布されて、る証明書および秘密鍵を有して、るかをチャレンジレスポンスの手法で確認するとよ、。

[0050] また、通信路はコマンドやコンテンツが必ず相手の情報セキュリティ装置に伝送されると仮定している力これは何もリアルタイムである必要はない。もし、伝送路が確立できない場合は、何度か接続を試みたり、接続ができるまで待つ等、対処すればよい。例えば通信路カ SPAN (Personal Area Network)など近距離の伝送路の場合には、情報セキュリティ装置同士が、近くに位置するまで待てばよい。

[0051] また、チェイン情報や送信先リストは、情報セキュリティ装置内に必ずしもとどまらない。例えば可搬できるセキュアメモリデバイスに保存しておいて、適宜情報セキユリティ装置に接続して利用しても良、。

[0052] 次に、例えばメモリ領域の節約のために、チヱインの途中に位置する情報セキユリティ装置において、不要と判断したコンテンツおよびチェイン情報を削除する場合について述べる。

[0053] 図 6は、情報セキュリティ装置 2の意志で、コンテンツ 1234と対応するチェイン情報を削除する場合の処理を示す。まず、コンテンツ 1234の削除が決定し、処理を開始する。 [0054] 制御部 208は、コンテンツ削除部 204に、削除対象のコンテンツであるコンテンツ 1 234の削除を指示し、コンテンツ削除部 204は、コンテンツ格納部 202に格納されたコンテンツ 1234を削除する（ステップ S601)。

[0055] 制御部 208は、コンテンツ 1234に対応するチェイン情報を、チェイン情報格納部 2 05から取得し、有効期限を確認する (ステップ S602)。

[0056] そして、有効期限が切れていれば (ステップ 603が NO)、制御部 208は、対応するチェイン情報をチェイン情報格納部 205から削除する (ステップ S604)。

[0057] 一方、有効期限内であれば (ステップ S603が YES)、制御部 208は、対応するチェイン情報を削除せずに、チェイン情報格納部 205に残しておく。ただし、コンテンツ保存場所の項目を更新し、対応するコンテンツが存在しなヽことを示す (ステップ S605

) o

[0058] 以上により、情報セキュリティ装置は、不要と判断したコンテンツを削除し、チェイン情報を残すことができる。これにより、有効期限内に回収コマンドを受け取った場合に、次のコンテンツ流通先である送信先に回収コマンドを送信することが可能となる。

[0059] (実施の形態 2)

次に、本発明に係る情報セキュリティ装置の第二の実施の形態についての説明を行う。

[0060] 図 7は、本実施の形態 2に係る情報セキュリティ装置 200の機能ブロック図を示す。

なお、上述した図 1の構成と同様の部分については同じ符号を付し、その詳細な説明は省略する。

[0061] 外部入力部 704は、キーボードやリモコン等のユーザインターフェースであり、ユーザは既に保持しているコンテンツを回収する「途中抜け」を行うと判断した場合には、この外部入力部 704を用いて意思表示を行うことができる。なお、本実施の形態 2において、ユーザが選択するコンテンツ回収方法には、下記において説明する（a)又は (b)の「途中抜け」の方法を選択することができる。

[0062] 判定部 701は、コンテンツの「途中抜け」を行う場合において、コンテンツ格納部 20 2に格納されている途中抜け対象となるコンテンツの利用条件、チェイン情報格納部 205に格納されているチェイン情報、機器に埋め込まれているデフォルト値、期間などに基づいて、指定されたコンテンツの「途中抜け」が可能か否かを判定する。なお、コンテンツの利用条件には、コンテンツ回収である「途中抜け」に関するコンテンツ提供者の設定が含まれている。

[0063] そして、本実施の形態 2の説明におけるコンテンツ回収を伴う「途中抜け」には以下の 2種類ある。即ち、 1つ目の「途中抜け」の方法は（以下 (a)の方法と略す）、 HAN AKO力も先のチェイン情報を全部切り離してしまう方法である。詳しく説明すると、 H ANAKOは BOBに対してコンテンツ 1234の回収コマンドを発行し、 BOBから先の全部の情報セキュリティ装置力対応するコンテンツおよび関連するチェイン情報を削除する。この（a)に基づく「途中抜け」の方法においては、自分から後ろのチェインで、当該コンテンツを全て回収（削除)することができる。また、自分の友達リストは他の装置に通知する必要がな、。

[0064] また、 2つ目の「途中抜け」の方法は（以下 (b)の方法と略す）、情報セキュリティ装置 2が保持するチェイン情報を、送信元の情報セキュリティ装置 1および送信先の情報セキュリティ装置 3に通知して、送信元と送信先の装置を直接チェインで接続する方法である。詳しく説明すると、情報セキュリティ装置 2は情報セキュリティ装置 1に、送信先の BOBの情報を通知する。これに従って、情報セキュリティ装置 1では、チェイン情報の送信先を HANAKOカゝら BOBに書き換える。また、情報セキュリティ装置 2は情報セキュリティ装置 3に、送信元の ALICEの情報を通知する。これに従って、情報セキュリティ装置 3では、チェイン情報の送信元を、 HANAKOから ALICEに書き換える。従って回収コマンドが ALICEに届いたときには、このコマンドは直接 BOB に送られることになる。この方法は、 ALICEおよび BOBに、 HANAKOのチェイン情報を渡すことになる。この（b)による「途中抜け」の方法においては、チェインで繋いで、るコンテンツの流通にぉ、て自装置だけ抜けて、前後の装置でチェインを繋ぐことができ、送信元装置に送信先装置の機器名を通知、送信先装置に送信元装置の機器名を通知するため、自らの友達リスト等の一部を明らかにする必要性がある。

[0065] なお、上記（a)又は（b)の!、ずれの方法で対応するのかは、上述のように、予めコンテンッの付加情報としてコンテンツ作成者力も送信されており、チェイン情報として保持しておいても良い。 [0066] 回収コマンド生成部 705は、外部入力部 704を介してユーザにより上記（a)の途中抜け方法が選択された場合において、チェイン情報を参照して送信先装置に対して対象となったコンテンツの回収を指示するための回収コマンドを生成する。

[0067] チェイン情報通知部 706は、外部入力部 704を介してユーザにより上記 (b)の途中抜け方法が選択された場合において、送信部 207を介して、チェイン情報に記述されている送信元装置に対しては少なくとも前記コンテンツ情報の識別子及び送信先装置の識別子を送信し、また、チェイン情報に記述されている送信先装置に対しては少なくとも前記コンテンツ情報の識別子及び送信元装置の識別子を通知する。

[0068] 図 9は、ユーザにより（b)による途中抜けが選択された場合において、このチェイン情報通知部 706を保持する情報セキュリティ装置 200から送信先の情報セキュリティ装置 300及び送信元の情報セキュリティ装置 100に送信される情報の一例を示す。

[0069] 情報セキュリティ装置 200は、情報セキュリティ装置 100に対しては少なくともコンテンッ情報の識別子であるコンテンツ ID及び送信先装置である情報セキュリティ装置 3 00のアドレスが含まれた情報 901、情報セキュリティ装置 300に対しては少なくともコンテンッ情報の識別子であるコンテンツ ID及び送信先装置である情報セキュリティ装置 100のアドレスが含まれた情報 902を送信する。

[0070] また、情報セキュリティ装置 200の時間管理部 702は、期限管理を行うための時間情報を保持する。機器デフォルト値格納部 703は、メーカ側の都合により機器毎のデフォルト値等を管理して、る。

[0071] 図 8は、本実施の形態 2に係る情報セキュリティ装置においてコンテンツの「途中抜け」を行う際の動作手順を示すフローチャートである。

[0072] 最初に、判定部 701は、外部入力部 704を介してユーザ力も情報セキュリティ装置のユーザから「途中抜け」の指示があつたか否かの確認を行う（ステップ S801)。

[0073] そして、ユーザから「途中抜け」の指示があった場合には (ステップ S801で Yes)、判定部 701は、外部入力部 704を介してユーザにより指示された「途中抜け」の方法が上述した (a)の方法に該当するかの判断を行う（ステップ S802)。

[0074] そして、判定部 701において (a)の方法に該当すると判断された場合には (ステツプ S802で Yes)、コンテンツ格納部 202から途中抜けを行うコンテンツの利用条件を取得してコンテンツ提供者によって設定されている途中抜け方法として (a)の方法が認められているかを確認し (ステップ S803)、その他、時間管理部 702からの時間情報や、機器デフォルト値格納部 703からの機器デフォルト値の確認を行い、（a)の方法が可能であると判定される場合には (ステップ S803で Yes)、コンテンツ格納部 20 2に格納されているコンテンツの回収を行うと共に (ステップ S804)、回収コマンド生成部 705に対して、チェイン情報を参照することにより送信先装置に対する途中抜けの対象となるコンテンツの回収コマンドを生成する指示を行い、送信部 207は既に該コンテンツを送信した送信先の情報セキュリティ装置に対して回収コマンド生成部 70 5において生成された回収コマンドの送信を行う（ステップ S805)。なお、この回収コマンドには、少なくとも、コンテンツ ID、コンテンツ回収の指示、送信元となる自装置の情報が記述されている。

[0075] 一方、判定部 701において、ユーザに指示された「途中抜け」の方法が（a)の方法に該当しないと判定される場合、即ち、（b)の方法であると判定される場合には (ステップ S802で No)、コンテンツ格納部 202から途中抜けを行うコンテンツの利用条件を取得してコンテンツ提供者によって設定されている途中抜け方法として (b)の方法が認められているかを確認し (ステップ S806)、その他、時間管理部 702からの時間情報や、機器デフォルト値格納部 703からの機器デフォルト値の確認を行い、（b)の方法が可能であると判定される場合には (ステップ S806で Yes)、コンテンツ格納部 2 02に格納されているコンテンツの回収を行うと共に（ステップ S807)、チェイン情報通知部 706は、チェイン情報を参照して、上記図 9の説明のように、情報セキュリティ装置 100に対しては少なくともコンテンツ情報の識別子であるコンテンツ ID及び送信先装置である情報セキュリティ装置 300のアドレスが含まれた情報を、情報セキュリティ装置 300に対しては少なくともコンテンツ情報の識別子であるコンテンツ ID及び送信先装置である情報セキュリティ装置 100のアドレスが含まれた情報を送信して (ステツプ S808)、一連の処理を終了する。

[0076] なお、チェイン情報通知部 706から通知を受けた情報セキュリティ装置においては、チェイン情報に記述されて 1、る送信先装置又は送信元装置のアドレス情報を更新する処理を行うことにより、以降の装置間のコンテンツ回収等の処理を適切にチエインで繋ぐことが可能となる。

[0077] また、情報セキュリティ装置 200のユーザがコンテンツ回収方法である「途中抜け」を行う際の具体例としては、例えば、コンテンツ提供者が、上記 (b)によるコンテンツの途中抜けの方法を利用条件として設定していた。しかし、当該コンテンツを受信した機器オーナは送信先及び送信元となる前後の機器に自分の友人関係を教えたくなかった。そのため、コンテンツの「途中抜け」を断念するような場合がある。また、コンテンッ提供者は、上記 (a)によるコンテンツの途中抜けの方法を指定していたが、機器オーナは後続の装置におけるコンテンツ削除は忍びな力つたので、途中抜けを断念するような場合がある。さらに、コンテンツ提供者は、上記 (a)及び (b)の途中抜けの方法どちらとも可能であるとして利用条件を設定していた。そして、機器オーナは前後の送信元装置及び送信先装置が互いに友達であることを知っていたので、それぞれの装置のユーザに伝えて、途中抜けの方法として (b)を選択する場合がある。またさらに、チェイン情報の有効期限が過ぎているために、上記 (a)及び上記 (b)に示す途中抜けをせずに、コンテンツとチヱイン情報を削除するような場合がある。

[0078] 以上の説明のように、本実施の形態 2に係る情報セキュリティ装置においては、ュ一ザがコンテンツ回収のための「途中抜け」を行う場合には、判定部 701においてコンテンッ提供者により設定許可されているコンテンツの回収方法を利用条件より参照し、チェイン情報を用いた送信先装置及び送信元装置のアドレス情報、チェイン情報の有効期限等を参照してユーザにより指定されたコンテンツの「途中抜け」の可否を判定することができる。従って、コンテンツ回収方法として、コンテンツオーナの意思が尊重され、その範囲で、機器オーナのコンテンツの削除等の意思を反映させたコンテンッ回収を実現できる。

[0079] また、本実施の形態 2に係る情報セキュリティ装置においては、上記実施の形態 1と同様に、各情報セキュリティ装置においてチェイン情報を保存することにより、一旦流通させてしまった個人コンテンツの利用条件を、後からコンテンツ流通と同じチェインをたどって変更することができる。また、削除（回収)することもできる。プライバシーに関連するチェイン情報は各情報セキュリティ装置内のみに保存されているため、問題ない。また、チェイン情報を保持する有効期限を設けることにより、この有効期限内では、必ず回収できることを保証する。また、情報セキュリティ装置の都合でチェイン情報を有効期限内に削除する場合は、その装置の前と後ろに位置する情報セキユリティ装置に対してチェイン情報を通知することにより、有効期限内では、必ず回収できる。回収が保証されることにより、各ユーザは安心して気軽に個人コンテンツを流通させることができる。

[0080] (その他変形例）

なお、本発明を上記実施の形態に基づいて説明してきた力本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる

[0081] (1)上記の各装置は、具体的には、マイクロプロセッサ、 ROM, RAM,ハードディスクユニット、ディスプレイユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記 RAMまたはハードディスクユニットには、コンピュータプロダラムが記憶されている。前記マイクロプロセッサ力前記コンピュータプログラムにしたがつて動作することにより、各装置は、その機能を達成する。ここでコンピュータプロダラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。

[0082] (2)上記の各装置を構成する構成要素の一部または全部は、 1個のシステム LSI ( Large Scale Integration:大規模集積回路）から構成されているとしてもよい。システム LSIは、複数の構成部を 1個のチップ上に集積して製造された超多機能 LSIであり、具体的には、マイクロプロセッサ、 ROM、 RAMなどを含んで構成されるコンビユータシステムである。前記 RAMには、コンピュータプログラムが記憶されている。前記マイクロプロセッサ力 S、前記コンピュータプログラムにしたがって動作することにより

、システム LSIは、その機能を達成する。

[0083] (3)上記の各装置を構成する構成要素の一部または全部は、各装置に脱着可能な ICカードまたは単体のモジュール力も構成されて、るとしてもよ、。前記 ICカードまたは前記モジュールは、マイクロプロセッサ、 ROM, RAMなどから構成されるコンピュータシステムである。前記 ICカードまたは前記モジュールは、上記の超多機能 L SIを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムにしたがって動作することにより、前記 ICカードまたは前記モジュールは、その機能を達成する。この ICカードまたはこのモジュールは、耐タンパ性を有するとしてもよ!/、。

[0084] (4)本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンビュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラム力もなるデジタル信号であるとしてもよい。

[0085] また、本発明は、前記コンピュータプログラムまたは前記デジタル信号をコンビユータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、 CD— R OM、 MO、 DVD, DVD-ROM, DVD -RAM, BD (Blu— ray Disc)、半導体メモリなどに記録したものとしてもよい。また、これらの記録媒体に記録されている前記デジタル信号であるとしてもよ、。

[0086] また、本発明は、前記コンピュータプログラムまたは前記デジタル信号を、電気通信回線、無線または有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。

[0087] また、本発明は、マイクロプロセッサとメモリを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムにしたがって動作するとしてもよい。

[0088] また、前記プログラムまたは前記デジタル信号を前記記録媒体に記録して移送することにより、または前記プログラムまたは前記デジタル信号を、前記ネットワーク等を経由して移送すること〖こより、独立した他のコンピュータシステムにより実施するとしてちょい。

[0089] (5)上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよ!/、。

産業上の利用可能性

[0090] 本発明に係る情報セキュリティ装置は、コンテンツの送受信機能を備えるコンビユータ装置や家電機器、携帯電話や AV機器などの情報処理端末装置等に有用である。また、通信機能を備えたデジタルカメラ等にも応用できる。また、個人コンテンツだけでなく商用コンテンッ流通などの用途にも応答できる。

Claims

請求の範囲

[1] 送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置であって、

前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも 1つを受信する受信手段と、

前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納手段と、前記条件変更コマンドに基づいて前記利用条件を変更する制御手段と、前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも 1つを前記送信先装置に送信する送信手段とを備える

ことを特徴とする情報セキュリティ装置。

[2] 前記受信手段で受信した前記条件変更コマンドは、前記コンテンツ格納手段に格納されている所定のコンテンツ情報の無効化を指示する無効化コマンドであって、前記制御手段は、前記無効化コマンドに従って前記コンテンツ情報の利用を無効化し、

前記送信手段は、前記無効化コマンドを、無効化される前記コンテンツ情報の送信先装置に送信する

ことを特徴とする請求項 1記載の情報セキュリティ装置。

[3] 前記制御手段は、前記コンテンツ情報格納手段から無効化されるコンテンツ情報を削除することで、前記コンテンツ情報の利用を無効化する

ことを特徴とする請求項 2記載の情報セキュリティ装置。

[4] 前記制御手段は、前記無効化されるコンテンツ情報の使用条件に含まれる利用許可情報を利用不許可とすることで、前記コンテンツ情報の利用を無効化する

ことを特徴とする請求項 2記載の情報セキュリティ装置。

[5] 前記コンテンツ情報格納手段は、さらに、前記コンテンツ情報を暗号化する際に使用した鍵を共に格納し、

前記制御手段は、前記コンテンツ情報格納手段に格納された無効化されるコンテンッ情報の鍵を削除することで、前記コンテンツ情報の利用を無効化することを特徴とする請求項 2記載の情報セキュリティ装置。

[6] 前記情報セキュリティ装置は、さらに、

前記条件変更コマンドの正当性を確認するコマンド確認手段を備え、

前記制御手段は、前記コマンド確認手段で前記条件変更コマンドの正当性が確認された場合に前記利用条件の変更を行う

ことを特徴とする請求項 1記載の情報セキュリティ装置。

[7] 前記コマンド確認手段は、前記条件変更コマンドの送信者のデジタル署名、又は前記コンテンツ情報の作成者のデジタル署名を用いて前記条件変更コマンドの正当性を確認する

ことを特徴とする請求項 6記載の情報セキュリティ装置。

[8] 前記制御手段は、前記条件変更コマンドの送付元装置の信頼度に基づ!、て、対象となる前記コンテンツ情報の利用条件を変更する

ことを特徴とする請求項 1記載の情報セキュリティ装置。

[9] 前記情報セキュリティ装置は、さらに、

前記コンテンツ情報の識別子、前記コンテンツ情報の送付元装置の識別子、前記コンテンツ情報の作成装置の識別子、前記コンテンツ情報の送付先装置の識別子の少なくとも 1つ含む情報を、前記コンテンツ情報のチェイン情報として生成するチエイン情報生成手段と、

前記チェイン情報を格納するチェイン情報格納手段とを備え、

前記制御手段は、さらに、前記条件変更コマンドの対象となる前記コンテンツ情報のチェイン情報を参照して、前記条件変更コマンドの対象となるコンテンツ情報の利用条件を変更する

ことを特徴とする請求項 1記載の情報セキュリティ装置。

[10] 前記チェイン情報は、さらに、前記条件変更コマンドの正当性確認の方法、又は条件変更の方法の少なくとも一方を指定する情報を含み、

前記コマンド確認手段は、前記チェイン情報により指定される方法でコマンドの正当性を確認し、

前記制御手段は、前記コマンド確認手段にお!、て前記コマンドの正当性が確認された場合に、前記利用条件を変更する

ことを特徴とする請求項 9記載の情報セキュリティ装置。

[11] 前記チェイン情報には、さらに、前記条件変更コマンドの有効期限を含み、

前記制御手段は、前記条件変更コマンドの対象のコンテンツ情報に対応するチェイン情報を参照し、前記条件変更コマンドが有効期限内である場合には、前記利用条件を変更する

ことを特徴とする請求項 9記載の情報セキュリティ装置。

[12] 前記チェイン情報には、さらに、当該チェイン情報の有効期限を含み、

前記制御手段は、前記チェイン情報の有効期限内である場合には、前記条件変更コマンドの対象となるコンテンツ情報の利用条件を変更し、前記チェイン情報の有効期限が過ぎている場合は、前記チェイン情報の削除を許可する

ことを特徴とする請求項 11記載の情報セキュリティ装置。

[13] 前記情報セキュリティ装置は、さらに、

外部カゝら前記コンテンツ格納手段に格納されてヽるコンテンツ情報、及び前記送信手段で既に前記送信先装置に送信したコンテンツ情報の条件変更の指示を受け付ける外部入力手段と、

前記情報セキュリティ装置に関して予め与えられたデフォルト値を格納する機器デフォルト値格納手段と、

時間情報を管理する時間管理手段と、

前記外部入力手段、前記機器デフォルト値格納手段、前記時間管理手段、及び前記チェイン情報格納手段に格納されている情報の少なくとも 1つを用いて、前記コンテンッ情報の条件変更が可能か否かを判定する判定手段と、

前記判定手段において前記コンテンツ情報の条件変更が可能と判定された場合には、前記チェイン情報に記述されている送信先装置に対して、前記コンテンツ情報の条件変更を指示する条件変更コマンドを生成する条件変更コマンド生成手段とを備え、

前記制御手段は、前記判定手段にお!、て前記コンテンツ情報の条件変更が可能と判定された場合には、前記コンテンツ格納手段に格納されてヽるコンテンツ情報を消去し、

前記送信手段は、前記条件変更コマンド生成手段において生成された前記条件変更コマンドを前記チェイン情報に記述されている送信先装置に送信する

ことを特徴とする請求項 9記載の情報セキュリティ装置。

[14] 前記条件変更コマンドには、少なくとも、前記コンテンツ情報の識別子、前記コンテンッ情報の条件変更の指示、送信元となる自装置の情報が含まれる

ことを特徴とする請求項 13記載の情報セキュリティ装置。

[15] 前記外部入力手段は、さらに、外部から前記コンテンツ情報格納手段に格納されている前記コンテンツ情報のみを削除する指示を受け付け、

前記情報セキュリティ装置は、さらに、

前記外部入力手段を介して当該指示を受け付けた場合に、前記送信手段を介して、前記送信元装置に対しては少なくとも前記コンテンツ情報の識別子及び送信先装置の識別子を、前記送信先装置に対しては少なくとも前記コンテンツ情報の識別子及び送信元装置の識別子を通知するためのチェイン情報通知手段を備えることを特徴とする請求項 13記載の情報セキュリティ装置。

[16] 前記制御手段は、前記送信先の信頼度に応じて、前記受信手段で受信する前記条件変更コマンドを変更して、前記送信先装置に送付するように制御する

ことを特徴とする請求項 1記載の情報セキュリティ装置。

[17] 第 1の情報セキュリティ装置から第 2の情報セキュリティ装置、さらに第 3の情報セキユリティ装置へと順にコンテンツ情報と前記コンテンツ情報の利用条件が送付され、その後同じ経路をたどって前記利用条件の条件変更コマンドが送付される情報セキユリティシステムであって、

第 2の情報セキュリティ装置は、

前記第 1の情報セキュリティ装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも 1 つを受信する受信手段と、

前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納手段と、前記条件変更コマンドに基づいて前記利用条件を変更する制御手段と、前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも 1つを前記第 3の情報セキュリティ装置に送信する送信手段とを備える

ことを特徴とする情報セキュリティシステム。

[18] 前記第 2の情報セキュリティ装置は、さらに、

前記コンテンツ情報の識別子、前記第 1の情報セキュリティ装置の識別子、前記コンテンッ情報の作成装置の識別子、前記第 3の情報セキュリティ装置の識別子の少なくとも 1つ含む情報を、前記コンテンツ情報のチェイン情報として生成するチェイン情報生成手段と、

ことを特徴とする請求項 17記載の情報セキュリティシステム。

[19] 送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置に用いる情報セキュリティ方法であって前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも 1つを受信する受信ステップと、

前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納ステップと、前記条件変更コマンドに基づいて前記利用条件を変更する制御ステップと、前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも 1つを前記送信先装置に送信する送信ステップとを含む

ことを特徴とする情報セキュリティ方法。

[20] 送信元装置からコンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置に用いる制御プログラムであって、前記送信元装置から前記コンテンツ情報、前記コンテンツ情報の利用条件、及び前記利用条件を変更指示するための条件変更コマンドの少なくとも 1つを受信する受信ステップと、

前記コンテンツ情報及び前記利用条件を格納するコンテンツ情報格納ステップと、前記条件変更コマンドに基づいて前記利用条件を変更する制御ステップと、前記コンテンツ情報、前記利用条件、及び前記条件変更コマンドの少なくとも 1つを前記送信先装置に送信する送信ステップとをコンピュータに実行させる

ことを特徴とする制御プログラム。

送信元装置力コンテンツ情報を受信して利用すると共に、前記コンテンツ情報を送信先装置に送信する情報セキュリティ装置に用いる集積回路であって、

ことを特徴とする集積回路。