情報アクセス管理方法および装置
【課題】ＡＡＣＳ等のアクセス管理方式を高度機密情報の保護に利用する。
【解決手段】ＡＡＣＳにより暗号鍵（Title Key）を用いて暗号化されたコンテンツあるいはオブジェクトが１以上記録されたメディアから特定のコンテンツを削除する。ここで、前記コンテンツを削除する際（ＳＴ４００）、同一メディア上にそのコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在しない場合は（ＳＴ４０２Ｎ）、そのコンテンツ削除と同時にそのコンテンツの暗号化に用いた暗号鍵も削除する（ＳＴ４０４）。
【解決手段】ＡＡＣＳにより暗号鍵（Title Key）を用いて暗号化されたコンテンツあるいはオブジェクトが１以上記録されたメディアから特定のコンテンツを削除する。ここで、前記コンテンツを削除する際（ＳＴ４００）、同一メディア上にそのコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在しない場合は（ＳＴ４０２Ｎ）、そのコンテンツ削除と同時にそのコンテンツの暗号化に用いた暗号鍵も削除する（ＳＴ４０４）。
【発明の詳細な説明】
【技術分野】
【０００１】
この発明は、暗号鍵等を利用した情報アクセス管理に関する。特に、高度機密情報（Highly Confidential Data）の保護に利用される鍵の削除方法に関する。
【背景技術】
【０００２】
近年、ディスクメディア等に記録されたコンテンツにアクセスするデジタル機器が種々開発されている。このような機器でアクセスされるディスクに記録されたデータには、不正アクセスあるいは違法コピーを防止するため、暗号化処理が施されている。この暗号化されたデータには、ＤＶＤ（Digital Versatile Disc）では主にＣＳＳ（Content Scramble System）方式に準拠した暗号化方式が採用されている。
【０００３】
一方、より高度な暗号化方式として、ＡＡＣＳ（Advanced Access Content System）が提案されている（特許文献１）。このＡＡＣＳ方式を採用する場合、例えばセットメーカーは、ライセンシーが持つ鍵マトリクスから特定の鍵セットを入手し、異なる組み合わせの鍵を暗号化して、個々の機器に組み込んでいる。
【特許文献１】特開２００５−３９４８０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ＡＡＣＳでは、コンテンツを正当に記録再生する機器毎に付与されたデバイスキーとランダムに発生させた乱数とにより、複数のキーそれぞれを暗号化して乱数とともにキーファイルに登録して、メディアに記録する。コンテンツを再生する場合には、このキーファイルに登録されている暗号化キーを、乱数と再生しようとする機器のデバイスキーとで復号化する。そして、復号化されたキーでコンテンツを復号化して、コンテンツを再生する。
【０００５】
この発明の課題の１つは、ＡＡＣＳ等のアクセス管理方式を高度機密情報（Highly Confidential Data）の保護に利用することである。
【課題を解決するための手段】
【０００６】
この発明の一実施の形態に係る情報アクセス管理では、所定の暗号化方式（ＡＡＣＳ）により暗号鍵（Title Key）を用いて暗号化されたコンテンツあるいはオブジェクトが１以上記録された情報記録媒体（１００）から特定のコンテンツを削除する。ここで、前記コンテンツを削除する際（ＳＴ４００）、前記情報記録媒体（１００：同一メディア上）にそのコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在しない場合は（ＳＴ４０２Ｎ）、そのコンテンツ削除と同時にそのコンテンツの暗号化に用いた暗号鍵も削除する（ＳＴ４０４）。
【発明の効果】
【０００７】
コンテンツ削除時に、その削除コンテンツと共通の鍵を用いている他のコンテンツ（または他のオブジェクト）の鍵を誤って消してしまうことを防ぐことができる。また不正コピーの抜け穴を塞ぐことができる。
【発明を実施するための最良の形態】
【０００８】
以下、図面を参照してこの発明の種々な実施の形態を説明する。光ディスク等の情報記録媒体に対して情報を記録する場合、情報を暗号化して記録することが要求される場合がある。その場合、例えば著作権保護されたコンテンツを暗号鍵で暗号化して暗号化コンテンツとし、さらに暗号化に用いた前記暗号鍵を秘匿させるため、他の暗号鍵で暗号化して暗号化鍵としている。そして前記暗号化鍵と暗号化コンテンツを一緒に記録媒体に記録し、違法コピー防止している。
【０００９】
現在、急速にマーケットを拡大しているＤＶＤ（Digital Versatile Disc）では、著作権保護に関して、次のような対応が図られている。即ち、ＤＶＤビデオでは、ＤＶＤ ＣＣＡ（DVD Copy Control Association）がライセンスしているＣＳＳ（Content Scramble System）方式を利用しており、ＤＶＤオーディオではＣＰＰＭ（Content Protection for Prerecorded Media）方式を利用している。また、記録メディアに記録されるコンテンツの著作権保護方式ではＣＰＲＭ（Content Protection for Recordable Media）方式が利用されている。ＣＰＰＭ方式とＣＰＲＭ方式のライセンスは、特定の団体（例えば４Ｃ Ｅｎｔｉｔｙ， ＬＬＣと称される団体）が行っている。
【００１０】
一方では、更に高精細映像や高品質多チャネル音声信号などを記録再生可能とする、大容量の次世代ＤＶＤ等の開発が進められている。このような次世代記録媒体へ高品位著作物を記録する場合の著作権保護方式は、従来以上にセキュリティー能力を高めた方式の導入が要求されている。その具体例として、ＡＡＣＳ（Advanced Access Content System）方式がある。以下、ＨＤ＿ＤＶＤ−ＶＲ（High Density Digital Versatile Disc Video Recording）フォーマットで採用するコンテンツ保護技術であるＡＡＣＳにおけるコンテンツ鍵の管理方法を説明する。
【００１１】
従来のＣＰＲＭ方式では、ディスクの中に存在するメディアキーブロック（ＭＫＢ）とメディアＩＤ（Media ID）を用いて暗号鍵を生成してコンテンツを暗号化していた。一方、ＡＡＣＳ方式では、ディスク内のコンテンツは共通の１つの暗号鍵ではなく、コンテンツ毎の暗号鍵によって暗号化されている。
【００１２】
図１はメディア１００内のデータの構成例を示す図である。この例では、同一のメディア内には、ＭＰＥＧ２−ＰＳなどの形式のコンテンツであるビデオオブジェクト（ＶＯＢ）、ＭＰＥＧ２−ＴＳなどの形式のコンテンツであるストリームオブジェクト（ＳＯＢ）をそれぞれ規格上最大１９９８個保存することが可能となっている。従来の方式ではこれらの全オブジェクトで１つの暗号鍵を使用しているが、ＡＡＣＳ方式ではコンテンツ毎にそれぞれ異なる暗号鍵によって暗号化がなされている。そしてこのコンテンツごとの暗号鍵はタイトルキーファイル（ＴＫＦ）に記憶されている。即ち、ビデオオブジェクト用タイトルキーファイルとストリームオブジェクト用タイトルキーファイルが設けられ、それぞれのタイトルキーファイルには暗号化されたタイトルキー（Encrypted Title Key：略してＥ−ＴＫ）が最大１９９８個保存可能となっている。
【００１３】
図２は、メデイア１００に記録された暗号化コンテンツ（Encrypted Contents）を復号する処理を説明する図である。図２には、コンテンツなどを記録したメディア１００に格納されている情報と、情報記録再生装置２００に設けられた処理機能及びそれらの間のデータの流れを表している。
【００１４】
ＨＤ＿ＤＶＤ Video Recording Formatで採用するコンテンツ保護技術はＡＡＣＳである。ＡＡＣＳにおけるコンテンツ鍵の管理方法を図２を用いて説明する。ＡＡＣＳ処理で使用するディスクの上書き換え不能な領域に記録されているデータには、
・Media ID
・Lead-in MKB
がある。
【００１５】
一方、ＡＡＣＳ処理で使用するものであってディスク１００上でファイルとして存在するデータには、
・Read Write MKB
・Title Key File
・Usage Rule File
がある。またTitle Key Fileの先頭アドレスのプロテクト領域にはBinding Nonceという乱数を基にしたデータが記録されている。
【００１６】
ＡＡＣＳでは、コンテンツを暗号化するための「タイトル鍵（Ｋｔ）」を生成する処理は、大きくいって、次の順番で実行される。すなわち、まずLead-in MKBとRead Write MKBのバージョンの新しいほうを使用してＭＫＢ処理を行う。この処理で生成される鍵を「メディア鍵（Ｋｍ）」と呼ぶ。このメディア鍵ＫｍとBinding Nonceを入力としてProtected Area Key処理（Ｋｐａ処理）を行うと「プロテクテッドエリアキー（Ｋｐａ）」が生成される。このＫｐａとUsage Rule FileのデータとTitle Key Fileのデータを入力としてTitle Key処理（ＴＫ処理）を行うことで、Title Key Fileに記載されている暗号化されたタイトル鍵（Encrypted Title Key）を本来のタイトル鍵Ｋｔに変換することができる。
【００１７】
ＭＫＢとはMedia Key Blockと呼ばれるデータであり、メディア鍵Ｋｍが暗号化されて記録されたものである。またＭＫＢには不正機器の情報も記録されており、不正機器はＫｍを取り出すことができないようになっている。不正機器の情報は更新されるため、ＭＫＢも新しいものを使うようにする必要がある。このためＨＤ＿ＤＶＤのＡＡＣＳでは、メディアのLead-in Areaに埋め込まれているLead-in MKB、ディスク上にファイルとして保存されているRead Write MKB、及び機器自体が内部の不揮発メモリに保存するDevice MKBの３種類のＭＫＢが存在し、このうちもっとも新しいＭＫＢをRead Write MKBに上書きすることが定められている。但し、ＭＫＢが新しいものに更新されるということはＫｍの値が変更されることになるため、Ｋｍ以降のすべての鍵情報（Ｋｐａ、Ｋｔ等）は再生成する必要がある。
【００１８】
なお、図２の情報記録再生装置２００には、制御部２１０、読み出し部２２０、書込み部２３０が設けられている。制御部２１０は、図２に示す情報記録再生装置２００の各機能及び各処理動作を制御する。読出し部２２０は、メディア１００よりデータを情報記録再生装置２００に読み込む。書込み部２３０は、情報記録再生装置２００内のデータをメディア１００に書き込む。
【００１９】
メディア１００の読み取り専用リードイン領域にはLead-in MKB（Media Key Block）が格納され、書き換え可能領域であるUser Data AreaにはRead Write MKBが格納されている。ＭＫＢは、コンテンツ暗号化のベース鍵であるメディアキー（Ｋｍ）を、情報記録再生装置２００に秘密鍵として設置されるデバイスキー（Ｋｄ）の集合体で暗号化して数学的体系を整えた、「メディアキーブロック」である。
【００２０】
図２のＳ１０において、メディア１００に記録されているLead-in MKBとRead Write MKBのバージョンを比較して、バージョンの新しいＭＫＢをMedia MKBとして読み出す。そして、Ｓ１１において情報記録再生装置２００で保存されているデバイスキーセット（Set of Device KeysあるいはDevice Key Set）とMedia MKBとを用いてＭＫＢ処理を行う。このデバイスキーセットは、複数のデバイスキーＫｄで構成されている。
【００２１】
ここで、ＭＫＢにはプロテクテッドエリアキー（Ｋｐａ）を生成するための情報が暗号化されて保存されているが、そのほかに、リボーク情報（Revoke Information：取消情報あるいは無効化情報）も含まれている。即ち、あるデバイスキーセットにセキュリティホールが存在し、ライセンサが該当するデバイスキーＫｄを使用禁止としたときは、該当するデバイスキーＫｄに関するリボーク情報が記載される。このリボーク情報によって、該当するデバイスキーＫｄを持ったデバイスでは暗号を解くことができなくなる（つまりリボークされた情報を再生できなくなる）。不正機器の情報は時間経過に伴い漸次更新されるため、ＭＫＢも新しいもの（最新の更新されたＭＫＢ）を使うようにする必要がある。そのため上述のようにバージョンの新しいほうをMedia MKBとして使用する。
【００２２】
このＭＫＢ処理によって、メディア鍵（Ｋｍ）が生成される。図２のＳ１２において、生成されたメディア鍵を検証する。生成されたメディア鍵が検証結果不正である場合は、デバイスキーセットが不正であるとみなして、ＡＡＣＳに関する処理を終了する。
【００２３】
一方、タイトルキーファイル（ＴＫＦ）の先頭アドレスのプロテクト領域には、Binding Nonceというファイルと結合した「乱数を基にしたデータ」が記録されている。このBinding Nonceは、例えば、ＰＣ（パソコン）のWrite命令ではコピー不可であり、ＡＡＣＳで定義された命令のみによってコピーが可能である。このように、ＡＡＣＳのライセンスを受けたハードでのみコピー可能とすることで、ＰＣを介した情報の流出を防いでいる。
【００２４】
次に、図２のＳ１３において、ＫｍとBinding Nonceを用いて、暗号処理であるＫｐａ処理を実施する。このＫｐａ処理には、暗号アルゴリズムであるＡＥＳ（Advanced Encrypted Standard）−Ｇを用いる。このＫｐａ処理の結果としてプロテクテッドエリアキー（Ｋｐａ）が生成される。
【００２５】
次に、Ｋｐａからタイトルキー（ＴＫ）を生成するための、タイトルキー処理について説明する。この処理は図２のＳ１４で示されている。タイトルキーファイル（ＴＫＦ）には、ＴＫＦＮ（Title Key File Nonce）という乱数データが記憶されている。このＴＫＦＮは暗号化処理（後述）において、タイトルキーを暗号化するために用いられた乱数データである。また、ディスク１００にはコンテンツの利用規則を記述したUsage Rule Fileが備わっている。このUsage Rule Fileには、複数の使用規則それぞれについて、その使用規則を適用するか否かの情報（Usage Rule）が、０または１のＢｉｔ情報として記述されている。
【００２６】
さらに、ディスク１００のリードイン領域より内側に設けられた読取専用のバーストカッティングエリア（ＢＣＡ）には、Media IDが記録されている。Media IDは、メディア毎に付加されている固有ＩＤである。そして、書き換え可能領域であるユーザデータエリアには、Media IDを用いた改ざん防止コードＭＡＣ（Message Authentication Code）であるMedia ID MACが格納されている。
【００２７】
図２のＳ１４に示すタイトルキー処理では、上述のUsage Ruleを処理した結果とＫｐａとＴＫＦＮとに基いてＡＥＳ−Ｄのアルゴリズムを用いた処理を行い、暗号化されたタイトルキー（Ｅ−ＴＫ）を復号してタイトルキー（ＴＫ）を生成する。なお、この際ＢＣＡに格納されているMedia IDを用いて生成したＭＡＣと、ディスクに格納されているMedia ID MACとを比較して改ざんがなされていないことが検証される。図２のＳ１５において、このようにして生成されたＴＫと暗号化されたコンテンツ（Encrypted contents）とをＡＥＳ−Ｇのアルゴリズムで処理してコンテンツキーを生成し、Ｓ１６において、このコンテンツキーを用いて暗号化されたコンテンツ（Encrypted contents）を復号してコンテンツを生成する。
【００２８】
図３は、コンテンツを暗号化してHD_DVD-R/RW/RAM等の光ディスク１００に記録する処理を説明する図である。なお、使用する用語は図２と同一であるため、重複する説明は省略する。図３のＳ２０において、メディア１００に記録されているLead-in MKBとRead Write MKBのバージョンを比較して、バージョンの新しいＭＫＢをMedia MKBとして読み出す。次に、Media MKBと、情報記録再生装置２００が保有するDevice MKBとのバージョンを比較する。Device MKBのバージョンの方が新しい場合は、Ｓ２１において、ＭＫＢ更新処理を起動しRead Write MKBにDevice MKBの値を更新する。但し、Media MKBのバージョンの方が新しい場合にDevice MKBの値を更新するかどうかは、セット仕様となる。そして、図３のＳ２２において、情報記録再生装置２００で保存されているデバイスキーセットとMedia MKBとを用いてＭＫＢ処理を行う。このＭＫＢ処理によって、メディア鍵（Ｋｍ）が生成される。
【００２９】
図３のＳ２３において、生成されたメディア鍵を検証し、生成されたメディア鍵が検証結果不正である場合は、デバイスキーセットが不正であるとみなしてＡＡＣＳに関する処理を終了する。一方、図３のＳ２４において、ＫｍとBinding Nonceとを用いて、暗号処理であるＫｐａ処理を実施する。ＡＥＳ−Ｇを用いたＫｐａ処理の結果としてプロテクテッドエリアキー（Ｋｐａ）が生成される。
【００３０】
図３のＳ２５において、タイトルキー（ＴＫ）とコンテンツとをＡＥＳ−Ｇのアルゴリズムで処理してコンテンツキーを生成する。そして、Ｓ２６において、このコンテンツキーを用いてコンテンツを暗号化してEncrypted contentsを生成し、メディア１００に記録する。また、Ｓ２７において、Media IDとＴＫとを用いてＭＡＣを生成し、メディア１００にMedia ID MACとして格納する。一方、Ｓ２８において、タイトルキーを暗号化するために用いられる乱数データを生成し、Title Key File Nonceとしてメディア１００に記録する。そして、Ｓ２９において、Usage Ruleをハッシュ処理（公知技術）した結果とＫｐａとＴＫとに基いてＡＥＳ−Ｅのアルゴリズムを用いた処理を行い、暗号化されたタイトルキー（Ｅ−ＴＫ）を生成してメディア１００に格納する。なお、Usage RuleはＳ３０においてメディア１００に記録する。
【００３１】
上述のように、コンテンツの暗号化、復号化においてはタイトルキー等が重要な役割を担っている。しかし、このタイトルキー等はRead/Write可能なファイルとしてメディア１００に記録されているため、メディア表面が例えば指紋などで汚れた場合、簡単にコンテンツの読み出し不能の状態に至るおそれがある。そこで、ＡＡＣＳではこれらのタイトルキー等の情報を格納したタイトルキーファイル（ＴＫＦ）についてバックアップが図られている。
【００３２】
図４は、タイトルキーファイルとそのバックアップファイルとしてのタイトルキーファイルの構造例を示す説明図である。なお、このバックアップ方法の説明では、タイトルキーファイルをＴＫＦ１とし、バックアップファイルとしてのタイトルキーファイルをＴＫＦ２，ＴＫＦ３と表す。なお、ＴＫＦ１〜３は、メディア１００に格納している。
【００３３】
それぞれのタイトルキーファイル（ＴＫＦ１〜３）は、Binding Nonce１〜３（ＢＮ１〜３）と、Title Key File Generation１〜３（ＴＫＦＧ１〜３）と、Title Key File Nonce〜３（ＴＫＦＮ１〜３）と、Encrypted Title Key１〜３（暗号化タイトルキーＥＴＫ１〜３）とをそれぞれ登録した構成となっている。ここで、Binding Nonce１〜３（ＢＮ１〜３）は、上述のように自身のタイトルキーファイルの暗号化に用いられる乱数データである。Title Key File Generation１〜３（ＴＫＦＧ１〜３）は、タイトルキーファイル（ＴＫＦ１〜３）それぞれの変更回数を表している。Title Key File Nonce〜３（ＴＫＦＮ１〜３）は、自身のタイトルキーファイルまたはバックアップファイル以外のファイルの暗号化タイトルキー（ＥＴＫ１〜３）を生成するための乱数である。
【００３４】
Encrypted Title Key１〜３（暗号化タイトルキー：ＥＴＫ１，ＥＴＫ２，ＥＴＫ３）は、次の（eq.1）〜（eq.3）式で示される：
ＥＴＫ１＝f（ＴＫ，ＢＮ１，ＴＫＦＮ３） …（eq.1）
ＥＴＫ２＝f（ＴＫ，ＢＮ２，ＴＫＦＮ１） …（eq.2）
ＥＴＫ３＝f（ＴＫ，ＢＮ３，ＴＫＦＮ２） …（eq.3）
ここで、ＴＫは暗号化されていない平文のタイトルキーを示し、暗号処理関数fは、第１パラメタ（ＴＫ）に第２パラメタ（ＢＮ１〜３）と第３パラメタ（ＴＫＦＮ１〜３）を暗号鍵として暗号処理を施すことを示している。暗号処理fには、たとえばＡＥＳ（Advanced Encryption Standard）などの公知の暗号アルゴリズムを用いればよい。
【００３５】
すなわち、ＴＫＦ１は、ＴＫＦ３と関連づけられており、タイトルキー（ＴＫ）を、（ＢＮ１）と、関連づけられたＴＫＦ３の（ＴＫＦＮ３）とで暗号化したものとなっている。また、ＴＫＦ２は、ＴＫＦ１と関連づけられており、タイトルキー（ＴＫ）を、（ＢＮ２）と、関連づけられたＴＫＦ１の（ＴＫＦＮ１）とで暗号化したものとなっている。さらに、ＴＫＦ３は、ＴＫＦ２と関連づけられており、タイトルキー（ＴＫ）を、（ＢＮ３）と、関連づけられたＴＫＦ２の（ＴＫＦＮ２）とで暗号化したものとなっている。
【００３６】
このようにタイトルキーファイルＴＫＦ１と各バックアップファイルＴＫＦ２，ＴＫＦ３は、互いに他のファイルと関連付けられており、暗号化タイトルキー（Ｅ−ＴＫ１，Ｅ−ＴＫ２，Ｅ−ＴＫ３）は、自己のファイルに登録された（ＢＮ１，ＢＮ２，ＢＮ２）と、関連づけられている他のファイルに登録されている（ＴＫＦＮ１，ＴＫＦＮ２，ＴＫＦＮ３）とでタイトルキー（ＴＫ）を暗号化したものとなっている。
【００３７】
上記のようにＴＫＦを３つ保存し、ＴＫＦＮを別ファイルに保存することにより、１つのＴＫＦがデータ破損などにより壊れてしまっても、残り２つのＴＫＦのデータから、壊れたデータを復元できる。
【００３８】
なお、前述したBinding Nonceを特殊なドライブ用コマンドでしか読み書きできないデータとしておくことにより、不正コピーを防止できる。すなわち、仮にＴＫＦがコピーされてもそれに付随するBinding Nonceはコピーされないため、悪意のある第三者による不正な暗号化／復号化行為を防ぐことができる。
【００３９】
なお、タイトルキーファイルと各バックアップファイルの他のファイルのＴＫＦＮとの関連づけは、上記（eq.1）〜（eq.3）式に限定されるものではなく、（eq.1）〜（eq.3）式以外のパターンでタイトルキーファイルとバックアップファイルのＴＫＦＮと関連付けるように構成してもよい。
【００４０】
図５、図６、図７を参照しつつ、ＡＡＣＳ方式の記録再生処理で必要となるメデイア上のデータを詳細に説明する。メディア１００上のProtected Area、即ち、Ｅ−ＴＫが格納されているファイルのProtected Areaには、Binding Nonce及びそのバックアップデータが格納されている。また、メディア１００の読取専用エリアにあるＢＣＡ（Burst Cutting Area）にはMedia IDが記録され、リードイン領域（後述する図１１では１１０）にはLead-in MKBが記録されている。
【００４１】
メディア１００上のユーザデータエリアには、ビデオオブジェクト（ＶＯＢ）および／またはストリームオブジェクト（ＳＯＢ）のCopy Protection Pointerに関する情報である管理情報が格納されている。また、ユーザデータエリアには、Read Write MKB、暗号化されたタイトルキー（Ｅ−ＴＫ）、Media ID MAC、Usage Rule及びそれらのバックアップファイルが格納されている。さらに、ユーザデータエリアは、暗号化されたコンテンツが最大１９９８個まで格納が可能となっている。
【００４２】
図８は、暗号化されたタイトルキーファイル（Ｅ−ＴＫＦ）の構造を示している。なお、図８はストリームオブジェクト（ＳＯＢ）についてのＥ−ＴＫＦの構造であるが、ビデオオブジェクト（ＶＯＢ）についても同様の構造である。バイト位置でいって０〜１５バイトには、タイトルキーファイルを特定するための固定情報（ＳＴＫＦ＿ＩＤ、ＨＲ＿ＳＴＫＦ＿ＥＡ）が記載され、３２〜３３バイトには、ＡＡＣＳのバージョン番号が記載されている。そして、１２８〜１４３バイトには、Title Key File Generationが格納され、１４４〜１５９バイトにはTitle Key File Nonceが格納されている。また、１６０〜６４０９５バイトには、Title Key Information（ＫＴＩ）として、暗号化されたタイトルキー（Ｅ−ＴＫ）とMedia ID MACとが１９９８組記載されている。
【００４３】
それぞれのコンテンツはこの１９９８個のタイトルキーのうちの１つの鍵を使って暗号化されている。但し、１９９８個すべてにEncrypted Title Keyを記録しておく必要は無く、未使用のものは０という数値をＴＫ処理で暗号化したものを記述する。またTitle Key File Generationにはこのファイルの更新のたびにインクリメントされる値が記されている。上述のようにタイトルキーファイルはバックアップ用に合計３つのファイルを備えている。そしてこの３つのファイルのTitle Key File Generationの値がすべて一致していない場合、ファイル書き込み中に何らかの障害があったことを意味する。
【００４４】
次にタイトルキーファイルの更新方法について説明する。ＡＡＣＳが適用されるメディアの種類には、リライタブルメディアとライトワンスメディアがある。リライタブルメディアでは、例えば、新しいコンテンツが追加記録される毎に新しいタイトルキーが追加されるため、タイトルキーファイル中の全タイトルキーを新しいＫｐａを用いて再暗号化する必要がある。即ち、タイトルキーファイルの更新が必要となる。
【００４５】
ところで、タイトルキーファイルのプロテクト領域には、Binding Nonceという乱数を基にした数値が記載されているが、このBinding Nonceは不正な暗号解除を防止するために使用されるものであり、従って、Binding Nonceもタイトルキーファイルを更新する都度、更新される。
【００４６】
一方、ライトワンスメディアでは、タイトルキーファイルを更新すると毎回新しいアドレスにタイトルキーファイルが書き込まれることになる。このためBinding Nonceの書き込まれるアドレスも毎回異なる。しかし、ＡＡＣＳではBinding Nonceは同一個所に上書きすることが求められているため、ライトワンスメディアの場合は、タイトルキーファイルの更新を行わないようにしなければならない。従って、リライタブルメディアとライトワンスメディアでは、タイトルキーファイルの更新条件が異なることになる。
【００４７】
図８のTitle Key Fileの中には１９９８個の暗号化されたタイトル鍵（Encrypted Title Key）が記録されている。コンテンツはこの１９９８個のうちの1つの鍵を使って暗号化されている。１９９８個すべてにEncrypted Title Keyを記録しておく必要は無く、未使用のものは“０”という数値をＴＫ処理で暗号化したものを記述することになっている。またTitle Key File Generationにはこのファイルの更新のたびにインクリメントされる値が記されている。Title Key Fileはタイトル鍵を保存するものであり、メディア上の欠陥等により読めなくなるとコンテンツの再生がまったく不能になる。このためバックアップ用に３つのファイルに書き込んでいる。この３つのファイルのTitle Key File Generationの値がすべて一致していない場合、ファイル書き込み中に何らかの障害があったことを意味する。
【００４８】
メディア１００上のTitle Key Fileが書き込まれているアドレスのプロテクト領域に、Binding Nonceという乱数を基にした数値を記録している。プロテクト領域とはＡＡＣＳ専用の特殊コマンドでのみ読み書きができる領域であり、この部分にＫｐａを構成する要素を記録しておくことで、パソコン等を使った不正な暗号解除を防ぐことができる。
【００４９】
Title Key File内のタイトル鍵は、プロテクテッドエリアキーとBinding Nonceの組み合わせてＴＫ処理を行うことで暗号化している。このとき、Title Key File#1の暗号化にはTitle Key File#2のBinding Nonceを使い、Title Key File#2の暗号化のBinding Nonceを使う、というようにしている。こうすることにより、３つのTitle Key Fileのうち1つが破損してしまっても、他の２つのファイルを用いることによって復元ができる。このようにBinding Nonceはタイトル鍵の暗号に用いているものであるので、Title Key Fileを更新する都度更新する。
【００５０】
一方、Binding Nonceはファイルが書き込まれるアドレスに依存しており、HD_DVD-R等のライトワンスメディアの場合、Title Key File自体が毎回新しいアドレスに保存されることになり、Binding Nonceの書き込まれる位置も一箇所ではなくなる。しかしＡＡＣＳではBinding Nonceは同一箇所に上書きすることが求められているので、ライトワンスメディアの場合はTitle Key Fileの更新を行わないようにする。
【００５１】
Title Key Fileには１９９８個のタイトル鍵を保存することが出来る。これはビデオオブジェクト（ＶＯＢ）及びストリームオブジェクト（ＳＯＢ）の個数と一致しており、ビデオオブジェクト毎にタイトル鍵（Ｋｔ）を変えることを前提としている。これは、例えばそのディスクから他のメディアにコンテンツをムーブする場合、使用しているタイトル鍵を消去しないと不正コピーができる抜け穴が残ってしまうためである。タイトル鍵を削除すると、同じタイトル鍵を共用している他のオブジェクトが復号できなくなるので、極力オブジェクトごとに異なる鍵を割り当てる必要がある。このため、録画再生装置においては、1回の録画処理毎にタイトル鍵を新規に生成し、そのタイトル鍵によってビデオオブジェクト及びストリームオブジェクトを暗号化する。
【００５２】
一方、特にストリームオブジェクト（ＳＯＢ）による録画の場合、記録対象のデジタル放送の内容によってストリームオブジェクトを動的に分割する必要がある。具体的には番組の境界で音声ストリームの個数が変わるなどストリームオブジェクト（ＳＯＢ）の構成要素が変わった場合は、自動的にそこでＳＯＢを分割する。このような場合、そこでタイトル鍵を切り替えるのは事実上不可能である（タイトル鍵を切り替えようとすると、新たな鍵の生成に時間を要するため、分割後のＳＯＢの録画を開始する際その先頭部分の録画が欠けてしまう）。このような場合は同じタイトル鍵を使った暗号を引き続き行う。
【００５３】
なお、ディスクがライトワンスメディア（上書きできないメディア）である場合はTitle Key Fileの更新ができないため、録画開始時に鍵を生成する処理において、既に存在するタイトル鍵を用いることになる。
【００５４】
図９は、メディア１００としてリライタブルメディア（HD_DVD-RW/RAMあるいはHDD等）を用いる場合において、リライタブルメディアのタイトルキーファイルの更新手続きを示すフローチャートである。従って、リライタブルメディアには、既にタイトルキーファイルが生成されて書き込まれている。なお、図９に示す処理動作は、情報記録再生装置２００の制御部２１０（あるいは後述する図１３のＡＡＣＳ処理部２１０ａのファームウエア）により実現される。
【００５５】
例えばユーザが情報記録再生装置２００の電源をＯＮし、図９のＳ４０においてリライタブルメディアを挿入すると、ＭＫＢ処理（Ｓ４１）とＴＫＦ読み込み処理（Ｓ４２）が一括して実行される。ＭＫＢ処理（Ｓ４１）では、Read Write MKB及びLead-in MKBに付加している署名を検証し、検証結果が正当であると判定した場合は、それぞれのＭＫＢのバージョンを取得する。Read Write MKBのバージョンはLead-in MKBのバージョンと同じかもしくは新しくなければならないが、もしそうでない場合は、再生及び記録を制限する。ＴＫＦ読み込み処理（Ｓ４２）では、メディアにあるタイトルキーファイルをＳＤＲＡＭ（後述する図１３の２２など）上に展開する。
【００５６】
そして、Ｓ４３、Ｓ４４において、ユーザのコンテンツ記録操作、コンテンツ編集操作、コンテンツ削除操作、メディア排出操作、情報記録再生装置２００の電源ＯＦＦ操作に対応して、タイトルキーファイルの更新を行うかどうかを判断する。即ち、以下の３つの条件のうちの少なくとも１つが満たされたときのみ、タイトルキーファイルを更新する。
【００５７】
（１）コンテンツの記録、削除が行われた場合
コンテンツの記録、削除が行われると、タイトルキーファイル内のEncrypted Title Keyが新たに追加、削除される。そのため、タイトルキーファイルを更新する。
【００５８】
（２）ＭＫＢが更新された場合
例えば、情報記録再生装置２００の内部で保持しているＭＫＢであるDevice MKBのバージョンがRead Write MKBのバージョンよりも新しい場合、Device MKBの値をRead Write MKBにコピーしてDevice MKBのメディア鍵（Ｋｍ）が変更される。このため、タイトルキーファイルを更新してタイトルキーの再暗号化を行う。
【００５９】
（３）３つのTitle Key File Generationの１つだけが異なる場合
上述のように３つのタイトルキーファイルの内の１つが破損していることになる。そのため、正常な残りの２つのタイトルキーファイルを用いて破損したタイトルキーファイルを修復（更新）する。すなわち、上述の３つの条件のうちの少なくとも１つが成立する場合は（Ｓ４４Ｙ）、タイトルキーファイルの更新を行う（Ｓ４５）。上述の３つの条件の全てが成立しない場合は（Ｓ４４Ｎ）、タイトルキーファイルを更新せずに処理を終了する（Ｓ４６）。
【００６０】
図１０は、メディア１００としてライトワンスメディア（片面１層のHD_DVD-Rあるいは片面２層のHD_DVD-R:DL等）を用いる場合において、ライトワンスメディアのタイトルキーファイルの書込み手続きを示すフローチャートである。なお、図９と同様に図１０に示す処理動作は、情報記録再生装置２００の制御部２１０（あるいは図１３のＡＡＣＳ処理部２１０ａ）により実行できる。
【００６１】
例えばユーザが情報記録再生装置２００の電源をＯＮし、図１０のＳ５０においてライトワンスメディアを挿入すると、ＭＫＢ処理（Ｓ５１）とＴＫＦ読み込み処理（Ｓ５２）が一括して実行される。ＭＫＢ処理（Ｓ５１）では、Read Write MKB及びLead-in MKBに付加している署名を検証し、検証結果が正当であると判定した場合は、それぞれのＭＫＢのバージョンを取得する。Read Write MKBのバージョンはLead-in MKBのバージョンと同じかもしくは新しくなければならないが、もしそうでない場合は、再生及び記録を制限する。ＴＫＦ読み込み処理（Ｓ５２）では、メディアにあるタイトルキーファイルをＳＤＲＡＭ（図１３の２２など）上に展開する。
【００６２】
そして、Ｓ５３、Ｓ５４において、ユーザのコンテンツ記録操作、コンテンツ編集操作、コンテンツ削除操作、メディア排出操作、情報記録再生装置２００の電源ＯＦＦ操作に対応して、タイトルキーファイルの書込みを行うかどうかを判断する。即ち、以下の２つの条件が満たされれば、タイトルキーファイルを書き込む。
【００６３】
（１＊）コンテンツの記録が行われた場合
（２＊）ディスクにタイトルキーファイルが記録されていなかった場合。
【００６４】
ＡＡＣＳではTitle Key Fileを同一箇所に上書きすることが求められているため、ライトワンスメディアの場合は、（１＊）と（２＊）の条件を同時に満たしたときにのみTitle Key Fileを書き込む。そうする理由を以下に述べる。
【００６５】
（１＊）の条件のみでは、コンテンツの記録が行われる度に書き込み要求が起こるため、同一箇所に上書き不可能なライトワンスメディアでは問題となる。（２＊）の条件のみでは、ディスクにコンテンツを記録していない状態では、有効なコンテンツキーは生成されていないため、無効なEncrypted Title KeyのみのTitle Key Fileとなり問題となる。（１＊）と（２＊）の条件を共に満たす場合には、ディスクにTitle Key Fileが記録されていない状態で記録が行われたときに書き込むこととなるため、有効なEncrypted Title Keyが１つだけ生成されたTitle Key Fileが記録されることになる。
【００６６】
上述の２つの条件がともに成立する場合は（Ｓ５４Ｙ）、タイトルキーファイルをディスクに書き込む（Ｓ５５）。上述の２つの条件が全て成立しない場合は（Ｓ５４Ｎ）、タイトルキーファイルの書き込みを行わずに処理を終了する（Ｓ５６）。
【００６７】
以上説明した実施の形態によれば、メディア種別ごとにタイトルキーファイルを書き込む条件を設け、その条件に合致するときのみにディスクに書き込む。この条件によれば、リライタブルメディアの場合は無駄にTitle Key Fileを更新することがなくなり、ディスクに書き込む回数を削減することができる。ライトワンスメディアの場合は、問題のあるTitle Key Fileを書き込こんでしまうことを排除することができる。
【００６８】
図１１は、この発明の一実施の形態に係るデータ構造例を説明する図である。RecordableあるいはRe-writableな情報記憶媒体の代表例として、ＤＶＤディスク（波長650nm前後の赤色レーザあるいは波長405nm以下の青紫ないし青色レーザを用いた、単記録層または複数記録層の、ＤＶＤ±Ｒ、ＤＶＤ±ＲＷ、ＤＶＤ−ＲＡＭ等）１００がある。このディスク１００は、図１１に示すように、ファイルシステムが入っているボリューム／ファイル構造情報領域１１１とデータファイルを実際に記録するデータ領域１１２を含んで構成されている。上記ファイルシステムは、どのファイルがどこに記録されているかを示す情報で構成されている。
【００６９】
データ領域１１２は、一般のコンピュータが記録する領域１２０、１２２と、オーディオビデオデータ（ＡＶデータ）を記録する領域１２１を含んでいる。ＡＶデータ記録領域１２１は、ＡＶデータの管理をするためのビデオマネージャファイル（VMGまたはHDVR_MG）があるＡＶデータ管理情報領域１３０と、DVD-Video（ROM Video）規格に準じたオブジェクトデータのファイルが記録されるROM_Videoオブジェクト群記録領域１３１と、ビデオレコーディング（ＶＲ）規格に準じたオブジェクトデータ（ESOBS：Extended Video Object Set）のファイル（ＶＲＯファイル）が記録されるＶＲオブジェクト群記録領域１３２と、デジタル放送に対応したオブジェクトが記録されているストリームオブジェクトデータ（ESOBS：Extended Stream Object Set）ファイル（ＳＲＯファイル）が記録される記録領域１３３を含んで構成されている。なお、ＳＲＯファイルのためのレコーディング規格は、適宜、ストリームレコーディング（ＳＲ）規格と表記する。
【００７０】
図１２は、この発明の一実施の形態に係るファイル構造例を説明する図である。DVD_HDVRディレクトリは、図１２に示すように、HD_DVD-VRフォーマットの管理情報ファイルであるHR_MANGER.IFO、アナログビデオ入力のオブジェクトファイルであるＶＲＯファイル（最大レートが30.24Mbpsまで許されたEVOBファイル）を含むHDVR_VOBディレクトリ、デジタル放送対応用のＳＲＯファイル（ESOBファイル）を含むHDVR_SOBディレクトリ等を含んで構成されている。また、DVD_HDVRディレクトリと同じルートディレクトリ下のDVD_RTAVディレクトリは、DVD-VRフォーマットの管理情報ファイルであるVR_MANGER.IFO、アナログビデオ入力のオブジェクトファイルであるＶＲＯファイル（最大レートが10.08Mbpsに抑えられた従来DVD-VRのVOBファイル）等を含んで構成されている。
【００７１】
つまり、この実施の形態に係るファイル構造では、HDVRのMPEG2-TSデータファイルもHDVRのMPEG2-PSデータファイルもVRのMPEG2-PSデータファイルも同じルートディレクトリ下でファイル管理されている。例えば、HR_MOVIE.VROにリンクされたショートカットファイルをタイトルサムネールＡ、Ｃとし、VR_MOVIE.VROにリンクされたショートカットファイルをタイトルサムネールＢとし、HR_STRnn.SROにリンクされたショートカットファイルをタイトルサムネールＤとすれば、これらのタイトルサムネールＡ〜Ｄを同じメニュー画面上に表示することができる（図１３のモニタ画面５２ａの表示例参照）。これにより、ユーザは、別々のオブジェクト（MPEG2-PS、MPEG2-TSが混在するオブジェクト）を同じ画面操作環境でメニュー操作できるようになる。
【００７２】
図１３は、この発明の一実施の形態に係る記録再生装置（HD_DVDレコーダ）の構成例を説明するブロック図である。衛星デジタルＴＶ放送、地上デジタルＴＶ放送、および地上アナログＴＶ放送の受信機能を持つTV tuner１０のアナログＡＶ出力は、Video ADC１４およびAudio ADC１６に入力される。外部アナログ入力端子１２からのアナログＡＶ入力もまた、Video ADC１４およびAudio ADC１６に入力される。Video ADC１４でデジタル化されたビデオストリームおよびAudio ADC１６でデジタル化されたオーディオストリームはMPEG Encoder２０に入力される。外部デジタル入力端子１８からのデジタルストリーム（MPEG2-TS等）は、IEEE1394（あるいはHDMI）等のインターフェース１９を介して、MPEG Encoder２０に入力される。図示しないが、TV tuner１０からのデジタルストリーム（MPEG2-TS等）も適宜MPEG Encoder２０に入力される。MPEG Encoder２０は、入力されたMPEG2-TSをパススルーする場合以外は、入力されたストリームをMPEG2-PSにエンコードするか、MPEG4-AVCにエンコードする。
【００７３】
ここで、MPEG2-PSにエンコードする場合としては、DVD-VR規格に基づきMPEG2-PSにエンコードする場合（最大レート10.08Mbps；最大解像度720x480または720x576）と、HD_DVD-VR規格に基づきMPEG2-PSに高レートエンコードする場合（最大レート30.24Mbps；最大解像度1920x1080）と、HD_DVD-VR規格の枠内でMPEG2-PSに低レートエンコードする場合（最大レート10.08Mbps；最大解像度720x480または720x576）がある。
【００７４】
MPEG Encoder２０でエンコードされ（またはパススルーした）ストリームデータは、SDRAM（Synchronous Dynamic Random Access Memory）２２等の高速メモリに一旦バッファリングされる。このSDRAM２２上で、下記の１〜３のストリーム書き換え処理が適宜行われる：
1.AudioがLiner PCMである場合、Audio Packのsub_stream_idの値を書き換える；
2.RDI-PCKの記載内容を書き換える；
3.一度CPRMの暗号を復号し、ＡＡＣＳに再暗号化を行う、もしくはその逆を行う。
【００７５】
SDRAM２２にバッファリングされそこで処理されたストリームデータは、その内容に応じて、所定のタイミングでＨＤＤ１０４かHD_DVD Drive２６かDVD Drive２８に転送される。ＨＤＤ１０４としては大容量ハードディスクドライブ（例えば１ＴＢ）が用いられる。また、HD_DVD Drive２６には青色レーザ（例えば波長λ=405nm）が用いられ、DVD Drive２８には赤色レーザ（例えば波長λ=650nm）が用いられる。
【００７６】
HD_DVD Drive２６およびDVD Drive２８はDrive Unit２４を構成している。Drive Unit２４は、回転駆動系を含めて独立した２基のドライブを備えている場合と、回転駆動系が共通で青色レーザの光ヘッドと赤色レーザの光ヘッドを個別に有するHD_DVD/DVDコンパチブルドライブ（ツインピックアップタイプ）を備えている場合と、回転駆動系および光ヘッドの機構が共通で青色レーザまたは赤色レーザを切替使用する２波長光学系を有する場合（シングルピックアップタイプ）がある。
【００７７】
図１３の実施の形態では、回転駆動系を含めて独立した２基のDrive２６およびDrive２８がある場合を例示している。これらのドライブで使用される情報記憶媒体（青色レーザ用光ディスク１００、赤色レーザ用光ディスク１０２）としては、青色レーザ使用の場合も赤色レーザ使用の場合も、-R/−RW/RAMタイプの光ディスクの他に、+R/+RWタイプの光ディスクが利用可能である。将来的には、ホログラムを利用した大容量光ディスクを用いることも可能である。
【００７８】
HD_DVD Drive２６はHD_DVD-VR規格に基づく記録再生に対応し、DVD Drive２８はDVD-VR規格に基づく記録再生に対応している。DVD Drive２８はさらに、HD_DVD-VR規格に基づきエンコードされたデータであっても、最大レートやビデオ属性等がDVD-VR規格の枠内に収まるMPEG-PSのデータについては、DVD-VR規格のディスク（片面１層のDVD-R/RW/RAM、片面２層のDVD-R、両面各１層のDVD-RAM等）１０２を用いて等速または高速で記録再生することができるように構成されている。（具体例を挙げれば、最大レート10.08MbpsでＨＤＤ１０４に記録されたNTSCのビデオのMPEG2-PSデータは、それがHD_DVD-VR規格に基づきエンコードされたデータであっても、DVD-VR規格のディスク１０２に高速コピー／高速ダビングできるように構成される。言うまでもないが、このHD_DVD-VR規格に基づきエンコードされたMPEG2-PSデータは、HD_DVD-VR規格のディスク１００にも高速コピー／高速ダビングできる。）
HD_DVD Drive２６、DVD Drive２８、および／またはＨＤＤ１０４から再生されたストリームデータは、SDRAM２２を介してMPEG Decoder３０に転送される。MPEG Decoder３０は、転送されてきたストリームに応じて、MPEG2-TSをデコードする機能、MPEG2-PSをデコードする機能、MPEG4-AVCをデコードする機能、その他のデコード機能（例えばHD_DVD-VR規格で定められているVC-1をデコードする機能）を備えている。MPEG Decoder３０でデコードされたビデオデータ（MPEG2-TSまたはMPEG2-PS）はVideo DAC３２により標準画質または高精細画質のアナログビデオ信号に変換されてVideo Out端子３６から出力される。また、MPEG Decoder３０でデコードされたオーディオデータはAudio DAC３４によりアナログオーディオ信号に変換されてAudio Out端子３８から出力される。さらに、デコードされたデータがMPEG2-TSの場合は、適宜、IEEE1394（あるいはHDMI）等のインターフェース３７を介してDigital Out端子３９から外部出力される。MPEG Decoder３０でデコードされDAC３２、３４でＤ／Ａ変換されたＡＶ信号（アナログビデオ信号およびアナログオーディオ信号）は、外部モニタに入力される。
【００７９】
図１３の記録再生装置（HD_DVDレコーダ）の動作は、ＭＰＵ４０により制御される。ＭＰＵ４０にはファームウエアや種々な制御パラメータを格納するＥＥＰＲＯＭ４２、ワークＲＡＭ４４、タイマ４６等が付属している。ＭＰＵ４０のファームウエアの中身としては、グラフィックユーザインターフェースを提供するＧＵＩ表示制御部４００、エンコードパラメータ検出処理部４０２、高速コピー（高速ダビング）処理部４０４、レート変換コピー（等速コピー／等速ダビング）制御部４０６、記録／再生制御部（管理情報処理部）４０８、ＡＡＣＳ処理部２１０ａ（図２の制御部２１０に対応）等がある。ＧＵＩ表示制御部４００の処理結果は、オンスクリーン表示部（ＯＳＤ）５０を介して外部モニタにて画面表示される（タイトルサムネールの表示画面５２ａ、コピー処理あるいはムーブ処理（コンテンツの記録場所を移動させる処理で、コピーに伴いコピー元コンテンツの強制削除を伴う）時のダイアログボックス表示画面５２ｂ等はＯＳＤ５０の処理で得ることができる）。なお、画面５２ｂでのムーブ処理に関する警告ダイアログについては、図１６の処理において言及する。
【００８０】
図１３の実施の形態において、ＨＤＤ１０４については、１台の超大容量ＨＤＤ（例えば１ＴＢ）でも、複数の大容量ＨＤＤの併用（例えば５００ＧＢ＋５００ＧＢ）でもよい。また、ＨＤＤの記録エリアの使い方としては、その記録エリアを論理的に複数パーティションに分けて使用する場合と、物理的なＨＤＤ毎に用途を特定する場合がある。前者の場合としては、例えば１ＴＢのうち４００ＧＢの第１パーティションをデジタル高精細放送のMPEG2-TS記録用（ＴＳタイトル用）に割り当て、４００ＧＢの第２パーティションをデジタル高精細放送のMPEG4-AVC記録用（ＨＤＶＲタイトル用）に割り当て、２００ＧＢの第３パーティションをアナログ放送またはデジタル放送もしくは外部入力のMPEG2-PS記録用（ＶＲタイトル用）に割り当てるなどが考えられる。また、後者の場合としては、例えば第１の４００ＧＢＨＤＤをMPEG2-TS記録用（ＴＳタイトル用）に割り当て、第２の４００ＧＢＨＤＤをMPEG4-AVC記録用（ＨＤＶＲタイトル用）に割り当て、第３の２００ＧＢＨＤＤをMPEG2-PS記録用（ＶＲタイトル用）に割り当てるなどが考えられる。
【００８１】
なお、この発明の一実施の形態では、ＶＲタイトルには、現行のDVD-VR規格によるMPEG2-PS記録の他に、次世代HD_DVD規格において最大レートを10.08Mbpsに抑えたMPEG2-PS記録も含まれる。あるＶＲタイトルのストリームデータがDVD-VR規格によるMPEG2-PSなのかHD_DVD規格において最大レートを10.08Mbpsに抑えたMPEG2-PSなのかの区別は、オブジェクトデータレベルでは、オブジェクトデータ内の特定情報（例えばプログラム最大レート “program_mux_rate”）の記述内容が「10.08Mbps」なのか「30.24Mbps」なのかで行うことができる。また、管理情報レベルでは、そのタイトルの再生開始前に、管理情報内の特定情報（例えばビデオ属性“V_ATR”）が現行DVD-VR規格ではあり得ない解像度（例えば1280x1080）を含んでいるかどうかで行うことができる。
【００８２】
前述した複数種類のタイトル（ＴＳタイトル、ＨＤＶＲタイトル、ＶＲタイトル）は、この発明の一実施の形態では、図１２に例示するように同じディレクトリ内でファイル管理される。そのため、複数種類のタイトル（ＴＳタイトル、ＨＤＶＲタイトル、ＶＲタイトル）のアイコンまたはサムネールを同一画面５２ａ上で表示できる。このことから、ユーザは、複数タイトルの各々がどんな規格（HD_DVD-VR、DVD-VR等）のどのような状況下で録画されたものでも（最大レートが10.08MbpsのHD_DVD-VR録画、最大レートが10.08MbpsのDVD-VR録画等）、それらを同様に操作できる。
【００８３】
図１４は、この発明の一実施の形態に係る記録方法を説明するフローチャートである。この記録方法の処理は、あるオブジェクト（ＶＯＢまたはＳＯＢ）の１回の記録が行われる毎に実行される。例えば、著作権保護されたデジタル放送の番組Ａと番組Ｂが電子プログラムガイド（ＥＰＧ）等を用いることで録画予約されているとする。この場合、番組Ａの予約録画が行われるときに図１４の処理が（ある暗号鍵を用いて）実行されて、例えば番組Ａ相当のビデオオブジェクトＶＯＢ（ＭＰＥＧ４ＡＶＣ等）が暗号化されて光ディスクまたはハードディスクに記録される。また、番組Ｂの予約録画が行われるときには図１４の処理が（別の暗号鍵を用いて）改めて実行されて、例えば番組Ｂ相当のストリームオブジェクトＳＯＢ（ＭＰＥＧ２ＴＳ等）が暗号化されて光ディスク（例えば図１３の１００）またはハードディスク（例えば図１３の１０４）に記録される。
【００８４】
上記のような１回の記録が開始されると、ＡＡＣＳ方式の暗号化に用いる鍵（タイトル鍵ＫｔまたはContents key）が生成される（ＳＴ１００）。この鍵生成処理は、図３を参照して説明した処理と同様に行うことができる。なお、記録先の媒体がハードディスクやHD_DVD-RW/RAM等の上書き可能なメディアであればＳＴ１００で新たに鍵の生成を行う。しかし、記録先の媒体がHD_DVD-R（または片面２層のHD_DVD-R：DL）等の上書き不能なライトワンスメディアであり、そのメディアの一部に暗号化されたオブジェクトが既に記録されているときは、その暗号化に用いられた既存の鍵（Ｋｔ）を、これから行う記録処理での暗号化に利用する（ライトワンスメディアでは既存の鍵ファイルを上書きで更新できないため、既存の鍵をそのまま利用することになる）。
【００８５】
記録対象のオブジェクトの記録中、そのオブジェクトの分割がないときは（ＳＴ１０２Ｎ）、ＳＴ１００で生成された鍵を用いて（ＡＡＣＳ方式により）オブジェクトを暗号化しつつ（ＳＴ１０６）、暗号化されたオブジェクトを記録媒体（ハードディスクまたは光ディスクもしくは半導体メモリ）に記録する（ＳＴ１０８）。記録対象のオブジェクトに対する１回の記録が終了していない間は（ＳＴ１１０Ｎ）、ＳＴ１０２〜ＳＴ１１０の処理が反復される。
【００８６】
記録対象のオブジェクト（例えば番組ＢのＳＯＢ）の記録中、そのオブジェクトが例えば録画ポーズあるいはビデオ属性の変更などにより分割されたときは（ＳＴ１０２Ｙ）、その後の記録処理を別の記録処理としてカウントすると、見かけ上１回の録画処理でなくなる。しかし、その場合は１回の録画処理内の出来事とみなし、分割前のオブジェクト（例えば番組Ｂの前半のＳＯＢ）の暗号化で用いた鍵（Ｋｔ）を分割後のオブジェクト（例えば番組Ｂの後半のＳＯＢ）に適用する（ＳＴ１０４）。このようにすると、新たな鍵生成処理（図３を参照して述べたような処理）を省略できるため、新たな鍵生成のためのタイムラグがなくなり、分割後のオブジェクトの暗号化（ＳＴ１０６）とその記録（ＳＴ１０８）を滞りなく実行できる（具体的には、分割後のオブジェクトの記録を継続する際にその冒頭が切れてしまう恐れを払拭できる）。
【００８７】
以上のようにして、記録対象のオブジェクトの１回の記録が終了すると（ＳＴ１１０Ｙ）、記録されたオブジェクトを再生する際に必要な種々な管理情報がHR_MANGR.IFOファイル（図１２参照）に記録されて（ＳＴ１１２）、図１４の記録処理は終了する。
【００８８】
図１５は、この発明の一実施の形態に係る再生方法を説明するフローチャートである。図１４のような処理でオブジェクトデータ（ＶＯＢおよび／またはＳＯＢ）および管理情報が記録されたディスク１００から、再生しようとするオブジェクト（例えば番組ＢのＳＯＢ）の管理情報が読み取られる（ＳＴ２００）。読み取られた管理情報は、再生機器のワークメモリ（図１３の４４等）に一旦記憶される。
【００８９】
この再生機器（図２の２００相当）は、再生しようとするオブジェクトの暗号化に関する情報（Ｋｍ，Ｋｐａ，Ｋｔ等を生成するための元になる情報）を光ディスク（例えば図１３の１００）またはハードディスク（例えば図１３の１０４）から読み取り（ＳＴ２０２）、読み取った情報から復号鍵（ＫｔまたはContents Key）を生成する（ＳＴ２０４）。ここで、Ｋｍ，Ｋｐａ，Ｋｔ等を生成するための元になる情報とは、Lead-in MKB、Read Write MKB、Binding Nonce、Title Key File、Usage Rule Fileなどを言う（図２参照）。この復号鍵生成処理は、図２を参照して説明した処理と同様に行うことができる。こうして読み取られた管理情報（HR_MANGR.IFOファイル）と生成した復号鍵（ＫｔまたはContents Key）を用いて、再生対象オブジェクトを復号しながら再生する（ＳＴ２０６）。この再生処理が再生対象オブジェクトの末尾まで済むと（あるいはユーザもしくは装置の制御プログラムが再生停止を指示すると）（ＳＴ２０８Ｙ）、図１５の再生処理は終了する。
【００９０】
図１６は、鍵の削除を伴うコンテンツの削除またはムーブ処理を説明するフローチャートである。この処理は、例えば図１３のＡＡＣＳ処理部２１０ａにより実行できる。いま、ユーザから、ＡＡＣＳにより暗号化されている録画済コンテンツの削除要求（あるいはそのコンテンツのムーブ要求）が出されたとする（ＳＴ４００）。すると、削除要求（またはムーブ要求）されたコンテンツと同じ鍵を共有する別のオブジェクトが同じメディア（例えば図１〜図３、図１３のディスク１００）内に記録されているかどうかがチェックされる（ＳＴ４０２）。鍵を共有する別のオブジェクトがないときは（ＳＴ４０２Ｎ）、削除要求のあったコンテンツがその鍵（Title Key）とともに削除されて（ＳＴ４０４）、図１６の処理は終了する。
【００９１】
鍵を共有する別のオブジェクトがあるときは（ＳＴ４０２Ｙ）、これから行おうとしている削除がコンテンツのムーブに伴う削除であるのか否かがチェックされる（ＳＴ４０６）。ムーブに伴う削除でない場合は（ＳＴ４０６Ｎ）、（その削除対象コンテンツと鍵を共有する別のオブジェクトはアクセス可能な状態でメディアに残しておきたいので）削除対象コンテンツは削除するが、その鍵は消さずに残し（ＳＴ４０８）、図１６の処理を終了する。一方、ムーブに伴う削除の場合は（ＳＴ４０６Ｙ）、このムーブに伴うコンテンツ削除の完了後にそのコンテンツの鍵（Title Key）を削除して（ＳＴ４１０）、図１６の処理を終了する。
【００９２】
前述したように、ＡＡＣＳでは、タイトル鍵は最大１９９８個用意されている。その理由は、ビデオオブジェクト（ＶＯＢ）の個数及びストリームオブジェクト（ＳＯＢ）の個数が最大１９９８個まで認められているためであり、オブジェクト毎に異なるタイトル鍵で暗号化が行われることを前提としている（図１の説明参照）。従って、例えばあるコンテンツを削除するのに伴いあるビデオオブジェクトが削除されたら、そのビデオオブジェクトが使用していたタイトル鍵は削除しても良い。
【００９３】
しかし、例えばデジタル放送番組の録画中にデジタル放送信号によってストリームオブジェクトが自動的に分割されることがあり、このときに暗号鍵を追従して変更するのは処理速度的に難しい。このことから、異なるビデオオブジェクトやストリームオブジェクトで同じタイトル鍵を共有することも実際上はあり得る。この場合、コンテンツの削除によってタイトル鍵を削除してしまうと、同じ鍵を共有しているビデオオブジェクト／ストリームオブジェクトが復号できなくなってしまう。このため、コンテンツ削除処理では、図１６のＳＴ４０２のように、削除するビデオオブジェクト／ストリームオブジェクトが使用しているタイトル鍵を共有する他のオブジェクトが無いかを検索し、無い場合に限り（ＳＴ４０２Ｎ）タイトル鍵を削除している。
【００９４】
一方、このコンテンツ削除が他のメディアに対するダビング（ムーブ）処理である場合は事情が変わってくる。他のメディアにムーブする際にタイトル鍵を消滅させないでおくと、ＰＣ（パソコン）等を使ってコンテンツの不正コピーが可能になる抜け穴を残すことになる。よってムーブに伴うコンテンツ削除の場合は（ＳＴ４０６Ｙ）、同じタイトル鍵を共有しているオブジェクトが残っていたとしても（ＳＴ４０２Ｙ）、タイトル鍵を削除しなくてはならない（ＳＴ４１０）。従ってメディア内で鍵の共有がある場合は、そのコンテンツのムーブ時にユーザに警告を与えるほうが望ましい（図１３のモニタ画面５２ｂ参照）。
【００９５】
この警告により、ユーザは、ある対象コンテンツをムーブすると別の（残しておきたい）オブジェクトの鍵がなくなってその別オブジェクトにアクセスできなくなるという不都合を回避できる（ユーザは、モニタ画面５２ｂの警告ダイアログを見た上でその別オブジェクトを不要と判断すれば、対象コンテンツのムーブを実行できる）。
【００９６】
＜まとめ＞
（１）図１７の処理は、所定の暗号化方式（ＡＡＣＳ）により暗号鍵（Title Key）を用いて暗号化されたコンテンツあるいはオブジェクトが１以上記録された情報記録媒体（１００）から特定のコンテンツを削除する情報アクセス管理方法の１つである。ここでは、前記コンテンツを削除する際（ＳＴ４００）、前記情報記録媒体（１００：同一メディア上）にそのコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在しない場合は（ＳＴ４０２Ｎ）、そのコンテンツ削除と同時にそのコンテンツの暗号化に用いた暗号鍵も削除する（ＳＴ４０４）。
【００９７】
（２）前記コンテンツを前記情報記録媒体（１００）とは別のメディアにムーブする際に前記コンテンツの削除が行われる場合は（ＳＴ４０６Ｙ）、前記情報記録媒体（１００）上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在していても、前記ムーブに伴い前記暗号鍵を削除する（ＳＴ４１０）ように構成できる。
【００９８】
（３）前記コンテンツの削除がこのコンテンツのムーブに伴う削除でない場合（ＳＴ４０６Ｎ）、前記情報記録媒体（１００）上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在するなら（ＳＴ４０２Ｙ）、前記コンテンツを削除しても、前記暗号鍵は削除しない（ＳＴ４０８）ように構成できる。
【００９９】
（４）前記情報記録媒体（１００）から前記暗号化に関する情報を読み取り（ＳＴ２０２）、この読み取った暗号化に関する情報から前記暗号鍵（Ｋｔ）に対応する復号鍵（Ｋｔ）を生成し（ＳＴ２０４）、この生成した復号鍵（Ｋｔ）を用いて前記情報記録媒体から前記暗号化されたコンテンツまたはオブジェクトのデータ（ＶＯＢまたはＳＯＢのEncrypted contents）を復号しつつ再生する（ＳＴ２０６）ことができる。
【０１００】
（５）前記コンテンツを前記情報記録媒体（１００）とは別のメディアにムーブする際に前記コンテンツの削除が行われる場合は（ＳＴ４０６Ｙ）、前記情報記録媒体（１００）上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在することを表示し（図１３の５２ｂ）、それでもなお前記ムーブを行うなら、前記ムーブに伴い前記暗号鍵を削除する（ＳＴ４１０）ように構成できる。
【０１０１】
（６）上述した（５）の方法は、前記情報記録媒体（１００）に前記暗号鍵を用いてアクセス可能な前記コンテンツあるいは前記オブジェクトを記録しあるいは再生する手段（２０〜３０、４０）と、前記情報記録媒体（１００）上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在する場合は、その旨の警告を表示する手段（５０、５２ｂ）とを具備した情報記録再生装置において実行できる。
【０１０２】
＜実施の形態の効果＞
（１）異なるビデオオブジェクトやストリームオブジェクトで同じタイトル鍵が共有されている場合、あるコンテンツの削除によってそのタイトル鍵を削除してしまうと、同じ鍵を共有しているビデオオブジェクト／ストリームオブジェクトが復号できなくなってしまうが、この発明の一実施の形態ではこのような不都合を回避できる。
【０１０３】
（２）異なるビデオオブジェクトやストリームオブジェクトで同じタイトル鍵が共有されている場合、あるコンテンツを他のメディアにムーブする際にタイトル鍵を消滅させないでおくと、ＰＣ（パソコン）等を使ってコンテンツの不正コピーが可能になる抜け穴を残すことになるが、この発明の一実施の形態ではこのような抜け穴を塞ぐことができる。
【０１０４】
なお、この発明は前述した実施の形態に限定されるものではなく、現在または将来の実施段階では、その時点で利用可能な技術に基づき、その要旨を逸脱しない範囲で種々に変形することが可能である。たとえば、この発明の実施において利用される情報記憶媒体は、光ディスクあるいはハードディスクドライブだけには限らず、大容量フラッシュメモリ等が利用されてもよい。
【０１０５】
また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合組み合わせた効果が得られる。さらに、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適当な組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件からいくつかの構成要件が削除されても、この構成要件が削除された構成が発明として抽出され得る。
【図面の簡単な説明】
【０１０６】
【図１】この発明の一実施の形態に係るメディア（情報記録媒体）内のデータ（タイトルキーファイル）の構成を説明する図。
【図２】メデイアに記録された暗号化コンテンツを復号する処理例を説明する図。
【図３】コンテンツを暗号化してＤＶＤに記録する処理例を説明する図。
【図４】タイトルキーファイルとそのバックアップファイルとしてのタイトルキーファイルの構造を示す説明図。
【図５】この発明の一実施の形態で採用される暗号化方式（ＡＡＣＳ方式）を用いた記録再生処理で必要となるメデイア上のデータを示す図。
【図６】ＡＡＣＳ方式の記録再生処理で必要となるメデイア上のデータを示す図。
【図７】ＡＡＣＳ方式の記録再生処理で必要となるメデイア上のデータを示す図。
【図８】暗号化されたタイトルキーファイル（Ｅ−ＴＫＦ）の構造例を示す図。
【図９】リライタブルメディアのタイトルキーファイルの更新手続きを説明するフローチャート図。
【図１０】ライトワンスメディアのタイトルキーファイルの書込み手続きを説明するフローチャート図。
【図１１】この発明の一実施の形態に係るデータ構造例を説明する図。
【図１２】この発明の一実施の形態に係るファイル構造例を説明する図。
【図１３】この発明の一実施の形態に係る記録再生装置（HD_DVDレコーダ）の構成例を説明するブロック図。
【図１４】この発明の一実施の形態に係る記録方法を説明するフローチャート図。
【図１５】この発明の一実施の形態に係る再生方法を説明するフローチャート図。
【図１６】鍵の削除を伴うコンテンツの削除またはムーブ処理を説明するフローチャート図。
【符号の説明】
【０１０７】
２０…エンコーダ；２４…光ディスクドライブユニット；２６…青レーザ使用光ディスクドライブ（HD_DVD Drive）；２８…赤レーザ使用光ディスクドライブ（DVD-R/RW/RAM Drive）；３０…デコーダ；４０…制御用マイクロプロセサ（MPU）；４００…グラフィックユーザインターフェース（GUI）表示制御部（ファームウエア）；４０２…エンコードパラメータ検出処理部（ファームウエア）；４０４…高速コピー／高速ダビング処理部（ファームウエア）；４０６…レート変換コピー／レート変換ダビング制御部（ファームウエア）；４０８…記録／再生制御部（管理情報処理部）（ファームウエア）；２１０ａ…ＡＡＣＳ処理部；５０…オンスクリーン表示（OSD）部；５２ａ、５２ｂ…モニタ表示例；１００、１０２…情報記憶媒体（光ディスク）；１０４…情報記憶媒体（ハードディスクドライブ）；２００…情報記録再生装置、２１０…制御部、２２０…読出し部、２３０…書込み部。
【技術分野】
【０００１】
この発明は、暗号鍵等を利用した情報アクセス管理に関する。特に、高度機密情報（Highly Confidential Data）の保護に利用される鍵の削除方法に関する。
【背景技術】
【０００２】
近年、ディスクメディア等に記録されたコンテンツにアクセスするデジタル機器が種々開発されている。このような機器でアクセスされるディスクに記録されたデータには、不正アクセスあるいは違法コピーを防止するため、暗号化処理が施されている。この暗号化されたデータには、ＤＶＤ（Digital Versatile Disc）では主にＣＳＳ（Content Scramble System）方式に準拠した暗号化方式が採用されている。
【０００３】
一方、より高度な暗号化方式として、ＡＡＣＳ（Advanced Access Content System）が提案されている（特許文献１）。このＡＡＣＳ方式を採用する場合、例えばセットメーカーは、ライセンシーが持つ鍵マトリクスから特定の鍵セットを入手し、異なる組み合わせの鍵を暗号化して、個々の機器に組み込んでいる。
【特許文献１】特開２００５−３９４８０号公報
【発明の開示】
【発明が解決しようとする課題】
【０００４】
ＡＡＣＳでは、コンテンツを正当に記録再生する機器毎に付与されたデバイスキーとランダムに発生させた乱数とにより、複数のキーそれぞれを暗号化して乱数とともにキーファイルに登録して、メディアに記録する。コンテンツを再生する場合には、このキーファイルに登録されている暗号化キーを、乱数と再生しようとする機器のデバイスキーとで復号化する。そして、復号化されたキーでコンテンツを復号化して、コンテンツを再生する。
【０００５】
この発明の課題の１つは、ＡＡＣＳ等のアクセス管理方式を高度機密情報（Highly Confidential Data）の保護に利用することである。
【課題を解決するための手段】
【０００６】
この発明の一実施の形態に係る情報アクセス管理では、所定の暗号化方式（ＡＡＣＳ）により暗号鍵（Title Key）を用いて暗号化されたコンテンツあるいはオブジェクトが１以上記録された情報記録媒体（１００）から特定のコンテンツを削除する。ここで、前記コンテンツを削除する際（ＳＴ４００）、前記情報記録媒体（１００：同一メディア上）にそのコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在しない場合は（ＳＴ４０２Ｎ）、そのコンテンツ削除と同時にそのコンテンツの暗号化に用いた暗号鍵も削除する（ＳＴ４０４）。
【発明の効果】
【０００７】
コンテンツ削除時に、その削除コンテンツと共通の鍵を用いている他のコンテンツ（または他のオブジェクト）の鍵を誤って消してしまうことを防ぐことができる。また不正コピーの抜け穴を塞ぐことができる。
【発明を実施するための最良の形態】
【０００８】
以下、図面を参照してこの発明の種々な実施の形態を説明する。光ディスク等の情報記録媒体に対して情報を記録する場合、情報を暗号化して記録することが要求される場合がある。その場合、例えば著作権保護されたコンテンツを暗号鍵で暗号化して暗号化コンテンツとし、さらに暗号化に用いた前記暗号鍵を秘匿させるため、他の暗号鍵で暗号化して暗号化鍵としている。そして前記暗号化鍵と暗号化コンテンツを一緒に記録媒体に記録し、違法コピー防止している。
【０００９】
現在、急速にマーケットを拡大しているＤＶＤ（Digital Versatile Disc）では、著作権保護に関して、次のような対応が図られている。即ち、ＤＶＤビデオでは、ＤＶＤ ＣＣＡ（DVD Copy Control Association）がライセンスしているＣＳＳ（Content Scramble System）方式を利用しており、ＤＶＤオーディオではＣＰＰＭ（Content Protection for Prerecorded Media）方式を利用している。また、記録メディアに記録されるコンテンツの著作権保護方式ではＣＰＲＭ（Content Protection for Recordable Media）方式が利用されている。ＣＰＰＭ方式とＣＰＲＭ方式のライセンスは、特定の団体（例えば４Ｃ Ｅｎｔｉｔｙ， ＬＬＣと称される団体）が行っている。
【００１０】
一方では、更に高精細映像や高品質多チャネル音声信号などを記録再生可能とする、大容量の次世代ＤＶＤ等の開発が進められている。このような次世代記録媒体へ高品位著作物を記録する場合の著作権保護方式は、従来以上にセキュリティー能力を高めた方式の導入が要求されている。その具体例として、ＡＡＣＳ（Advanced Access Content System）方式がある。以下、ＨＤ＿ＤＶＤ−ＶＲ（High Density Digital Versatile Disc Video Recording）フォーマットで採用するコンテンツ保護技術であるＡＡＣＳにおけるコンテンツ鍵の管理方法を説明する。
【００１１】
従来のＣＰＲＭ方式では、ディスクの中に存在するメディアキーブロック（ＭＫＢ）とメディアＩＤ（Media ID）を用いて暗号鍵を生成してコンテンツを暗号化していた。一方、ＡＡＣＳ方式では、ディスク内のコンテンツは共通の１つの暗号鍵ではなく、コンテンツ毎の暗号鍵によって暗号化されている。
【００１２】
図１はメディア１００内のデータの構成例を示す図である。この例では、同一のメディア内には、ＭＰＥＧ２−ＰＳなどの形式のコンテンツであるビデオオブジェクト（ＶＯＢ）、ＭＰＥＧ２−ＴＳなどの形式のコンテンツであるストリームオブジェクト（ＳＯＢ）をそれぞれ規格上最大１９９８個保存することが可能となっている。従来の方式ではこれらの全オブジェクトで１つの暗号鍵を使用しているが、ＡＡＣＳ方式ではコンテンツ毎にそれぞれ異なる暗号鍵によって暗号化がなされている。そしてこのコンテンツごとの暗号鍵はタイトルキーファイル（ＴＫＦ）に記憶されている。即ち、ビデオオブジェクト用タイトルキーファイルとストリームオブジェクト用タイトルキーファイルが設けられ、それぞれのタイトルキーファイルには暗号化されたタイトルキー（Encrypted Title Key：略してＥ−ＴＫ）が最大１９９８個保存可能となっている。
【００１３】
図２は、メデイア１００に記録された暗号化コンテンツ（Encrypted Contents）を復号する処理を説明する図である。図２には、コンテンツなどを記録したメディア１００に格納されている情報と、情報記録再生装置２００に設けられた処理機能及びそれらの間のデータの流れを表している。
【００１４】
ＨＤ＿ＤＶＤ Video Recording Formatで採用するコンテンツ保護技術はＡＡＣＳである。ＡＡＣＳにおけるコンテンツ鍵の管理方法を図２を用いて説明する。ＡＡＣＳ処理で使用するディスクの上書き換え不能な領域に記録されているデータには、
・Media ID
・Lead-in MKB
がある。
【００１５】
一方、ＡＡＣＳ処理で使用するものであってディスク１００上でファイルとして存在するデータには、
・Read Write MKB
・Title Key File
・Usage Rule File
がある。またTitle Key Fileの先頭アドレスのプロテクト領域にはBinding Nonceという乱数を基にしたデータが記録されている。
【００１６】
ＡＡＣＳでは、コンテンツを暗号化するための「タイトル鍵（Ｋｔ）」を生成する処理は、大きくいって、次の順番で実行される。すなわち、まずLead-in MKBとRead Write MKBのバージョンの新しいほうを使用してＭＫＢ処理を行う。この処理で生成される鍵を「メディア鍵（Ｋｍ）」と呼ぶ。このメディア鍵ＫｍとBinding Nonceを入力としてProtected Area Key処理（Ｋｐａ処理）を行うと「プロテクテッドエリアキー（Ｋｐａ）」が生成される。このＫｐａとUsage Rule FileのデータとTitle Key Fileのデータを入力としてTitle Key処理（ＴＫ処理）を行うことで、Title Key Fileに記載されている暗号化されたタイトル鍵（Encrypted Title Key）を本来のタイトル鍵Ｋｔに変換することができる。
【００１７】
ＭＫＢとはMedia Key Blockと呼ばれるデータであり、メディア鍵Ｋｍが暗号化されて記録されたものである。またＭＫＢには不正機器の情報も記録されており、不正機器はＫｍを取り出すことができないようになっている。不正機器の情報は更新されるため、ＭＫＢも新しいものを使うようにする必要がある。このためＨＤ＿ＤＶＤのＡＡＣＳでは、メディアのLead-in Areaに埋め込まれているLead-in MKB、ディスク上にファイルとして保存されているRead Write MKB、及び機器自体が内部の不揮発メモリに保存するDevice MKBの３種類のＭＫＢが存在し、このうちもっとも新しいＭＫＢをRead Write MKBに上書きすることが定められている。但し、ＭＫＢが新しいものに更新されるということはＫｍの値が変更されることになるため、Ｋｍ以降のすべての鍵情報（Ｋｐａ、Ｋｔ等）は再生成する必要がある。
【００１８】
なお、図２の情報記録再生装置２００には、制御部２１０、読み出し部２２０、書込み部２３０が設けられている。制御部２１０は、図２に示す情報記録再生装置２００の各機能及び各処理動作を制御する。読出し部２２０は、メディア１００よりデータを情報記録再生装置２００に読み込む。書込み部２３０は、情報記録再生装置２００内のデータをメディア１００に書き込む。
【００１９】
メディア１００の読み取り専用リードイン領域にはLead-in MKB（Media Key Block）が格納され、書き換え可能領域であるUser Data AreaにはRead Write MKBが格納されている。ＭＫＢは、コンテンツ暗号化のベース鍵であるメディアキー（Ｋｍ）を、情報記録再生装置２００に秘密鍵として設置されるデバイスキー（Ｋｄ）の集合体で暗号化して数学的体系を整えた、「メディアキーブロック」である。
【００２０】
図２のＳ１０において、メディア１００に記録されているLead-in MKBとRead Write MKBのバージョンを比較して、バージョンの新しいＭＫＢをMedia MKBとして読み出す。そして、Ｓ１１において情報記録再生装置２００で保存されているデバイスキーセット（Set of Device KeysあるいはDevice Key Set）とMedia MKBとを用いてＭＫＢ処理を行う。このデバイスキーセットは、複数のデバイスキーＫｄで構成されている。
【００２１】
ここで、ＭＫＢにはプロテクテッドエリアキー（Ｋｐａ）を生成するための情報が暗号化されて保存されているが、そのほかに、リボーク情報（Revoke Information：取消情報あるいは無効化情報）も含まれている。即ち、あるデバイスキーセットにセキュリティホールが存在し、ライセンサが該当するデバイスキーＫｄを使用禁止としたときは、該当するデバイスキーＫｄに関するリボーク情報が記載される。このリボーク情報によって、該当するデバイスキーＫｄを持ったデバイスでは暗号を解くことができなくなる（つまりリボークされた情報を再生できなくなる）。不正機器の情報は時間経過に伴い漸次更新されるため、ＭＫＢも新しいもの（最新の更新されたＭＫＢ）を使うようにする必要がある。そのため上述のようにバージョンの新しいほうをMedia MKBとして使用する。
【００２２】
このＭＫＢ処理によって、メディア鍵（Ｋｍ）が生成される。図２のＳ１２において、生成されたメディア鍵を検証する。生成されたメディア鍵が検証結果不正である場合は、デバイスキーセットが不正であるとみなして、ＡＡＣＳに関する処理を終了する。
【００２３】
一方、タイトルキーファイル（ＴＫＦ）の先頭アドレスのプロテクト領域には、Binding Nonceというファイルと結合した「乱数を基にしたデータ」が記録されている。このBinding Nonceは、例えば、ＰＣ（パソコン）のWrite命令ではコピー不可であり、ＡＡＣＳで定義された命令のみによってコピーが可能である。このように、ＡＡＣＳのライセンスを受けたハードでのみコピー可能とすることで、ＰＣを介した情報の流出を防いでいる。
【００２４】
次に、図２のＳ１３において、ＫｍとBinding Nonceを用いて、暗号処理であるＫｐａ処理を実施する。このＫｐａ処理には、暗号アルゴリズムであるＡＥＳ（Advanced Encrypted Standard）−Ｇを用いる。このＫｐａ処理の結果としてプロテクテッドエリアキー（Ｋｐａ）が生成される。
【００２５】
次に、Ｋｐａからタイトルキー（ＴＫ）を生成するための、タイトルキー処理について説明する。この処理は図２のＳ１４で示されている。タイトルキーファイル（ＴＫＦ）には、ＴＫＦＮ（Title Key File Nonce）という乱数データが記憶されている。このＴＫＦＮは暗号化処理（後述）において、タイトルキーを暗号化するために用いられた乱数データである。また、ディスク１００にはコンテンツの利用規則を記述したUsage Rule Fileが備わっている。このUsage Rule Fileには、複数の使用規則それぞれについて、その使用規則を適用するか否かの情報（Usage Rule）が、０または１のＢｉｔ情報として記述されている。
【００２６】
さらに、ディスク１００のリードイン領域より内側に設けられた読取専用のバーストカッティングエリア（ＢＣＡ）には、Media IDが記録されている。Media IDは、メディア毎に付加されている固有ＩＤである。そして、書き換え可能領域であるユーザデータエリアには、Media IDを用いた改ざん防止コードＭＡＣ（Message Authentication Code）であるMedia ID MACが格納されている。
【００２７】
図２のＳ１４に示すタイトルキー処理では、上述のUsage Ruleを処理した結果とＫｐａとＴＫＦＮとに基いてＡＥＳ−Ｄのアルゴリズムを用いた処理を行い、暗号化されたタイトルキー（Ｅ−ＴＫ）を復号してタイトルキー（ＴＫ）を生成する。なお、この際ＢＣＡに格納されているMedia IDを用いて生成したＭＡＣと、ディスクに格納されているMedia ID MACとを比較して改ざんがなされていないことが検証される。図２のＳ１５において、このようにして生成されたＴＫと暗号化されたコンテンツ（Encrypted contents）とをＡＥＳ−Ｇのアルゴリズムで処理してコンテンツキーを生成し、Ｓ１６において、このコンテンツキーを用いて暗号化されたコンテンツ（Encrypted contents）を復号してコンテンツを生成する。
【００２８】
図３は、コンテンツを暗号化してHD_DVD-R/RW/RAM等の光ディスク１００に記録する処理を説明する図である。なお、使用する用語は図２と同一であるため、重複する説明は省略する。図３のＳ２０において、メディア１００に記録されているLead-in MKBとRead Write MKBのバージョンを比較して、バージョンの新しいＭＫＢをMedia MKBとして読み出す。次に、Media MKBと、情報記録再生装置２００が保有するDevice MKBとのバージョンを比較する。Device MKBのバージョンの方が新しい場合は、Ｓ２１において、ＭＫＢ更新処理を起動しRead Write MKBにDevice MKBの値を更新する。但し、Media MKBのバージョンの方が新しい場合にDevice MKBの値を更新するかどうかは、セット仕様となる。そして、図３のＳ２２において、情報記録再生装置２００で保存されているデバイスキーセットとMedia MKBとを用いてＭＫＢ処理を行う。このＭＫＢ処理によって、メディア鍵（Ｋｍ）が生成される。
【００２９】
図３のＳ２３において、生成されたメディア鍵を検証し、生成されたメディア鍵が検証結果不正である場合は、デバイスキーセットが不正であるとみなしてＡＡＣＳに関する処理を終了する。一方、図３のＳ２４において、ＫｍとBinding Nonceとを用いて、暗号処理であるＫｐａ処理を実施する。ＡＥＳ−Ｇを用いたＫｐａ処理の結果としてプロテクテッドエリアキー（Ｋｐａ）が生成される。
【００３０】
図３のＳ２５において、タイトルキー（ＴＫ）とコンテンツとをＡＥＳ−Ｇのアルゴリズムで処理してコンテンツキーを生成する。そして、Ｓ２６において、このコンテンツキーを用いてコンテンツを暗号化してEncrypted contentsを生成し、メディア１００に記録する。また、Ｓ２７において、Media IDとＴＫとを用いてＭＡＣを生成し、メディア１００にMedia ID MACとして格納する。一方、Ｓ２８において、タイトルキーを暗号化するために用いられる乱数データを生成し、Title Key File Nonceとしてメディア１００に記録する。そして、Ｓ２９において、Usage Ruleをハッシュ処理（公知技術）した結果とＫｐａとＴＫとに基いてＡＥＳ−Ｅのアルゴリズムを用いた処理を行い、暗号化されたタイトルキー（Ｅ−ＴＫ）を生成してメディア１００に格納する。なお、Usage RuleはＳ３０においてメディア１００に記録する。
【００３１】
上述のように、コンテンツの暗号化、復号化においてはタイトルキー等が重要な役割を担っている。しかし、このタイトルキー等はRead/Write可能なファイルとしてメディア１００に記録されているため、メディア表面が例えば指紋などで汚れた場合、簡単にコンテンツの読み出し不能の状態に至るおそれがある。そこで、ＡＡＣＳではこれらのタイトルキー等の情報を格納したタイトルキーファイル（ＴＫＦ）についてバックアップが図られている。
【００３２】
図４は、タイトルキーファイルとそのバックアップファイルとしてのタイトルキーファイルの構造例を示す説明図である。なお、このバックアップ方法の説明では、タイトルキーファイルをＴＫＦ１とし、バックアップファイルとしてのタイトルキーファイルをＴＫＦ２，ＴＫＦ３と表す。なお、ＴＫＦ１〜３は、メディア１００に格納している。
【００３３】
それぞれのタイトルキーファイル（ＴＫＦ１〜３）は、Binding Nonce１〜３（ＢＮ１〜３）と、Title Key File Generation１〜３（ＴＫＦＧ１〜３）と、Title Key File Nonce〜３（ＴＫＦＮ１〜３）と、Encrypted Title Key１〜３（暗号化タイトルキーＥＴＫ１〜３）とをそれぞれ登録した構成となっている。ここで、Binding Nonce１〜３（ＢＮ１〜３）は、上述のように自身のタイトルキーファイルの暗号化に用いられる乱数データである。Title Key File Generation１〜３（ＴＫＦＧ１〜３）は、タイトルキーファイル（ＴＫＦ１〜３）それぞれの変更回数を表している。Title Key File Nonce〜３（ＴＫＦＮ１〜３）は、自身のタイトルキーファイルまたはバックアップファイル以外のファイルの暗号化タイトルキー（ＥＴＫ１〜３）を生成するための乱数である。
【００３４】
Encrypted Title Key１〜３（暗号化タイトルキー：ＥＴＫ１，ＥＴＫ２，ＥＴＫ３）は、次の（eq.1）〜（eq.3）式で示される：
ＥＴＫ１＝f（ＴＫ，ＢＮ１，ＴＫＦＮ３） …（eq.1）
ＥＴＫ２＝f（ＴＫ，ＢＮ２，ＴＫＦＮ１） …（eq.2）
ＥＴＫ３＝f（ＴＫ，ＢＮ３，ＴＫＦＮ２） …（eq.3）
ここで、ＴＫは暗号化されていない平文のタイトルキーを示し、暗号処理関数fは、第１パラメタ（ＴＫ）に第２パラメタ（ＢＮ１〜３）と第３パラメタ（ＴＫＦＮ１〜３）を暗号鍵として暗号処理を施すことを示している。暗号処理fには、たとえばＡＥＳ（Advanced Encryption Standard）などの公知の暗号アルゴリズムを用いればよい。
【００３５】
すなわち、ＴＫＦ１は、ＴＫＦ３と関連づけられており、タイトルキー（ＴＫ）を、（ＢＮ１）と、関連づけられたＴＫＦ３の（ＴＫＦＮ３）とで暗号化したものとなっている。また、ＴＫＦ２は、ＴＫＦ１と関連づけられており、タイトルキー（ＴＫ）を、（ＢＮ２）と、関連づけられたＴＫＦ１の（ＴＫＦＮ１）とで暗号化したものとなっている。さらに、ＴＫＦ３は、ＴＫＦ２と関連づけられており、タイトルキー（ＴＫ）を、（ＢＮ３）と、関連づけられたＴＫＦ２の（ＴＫＦＮ２）とで暗号化したものとなっている。
【００３６】
このようにタイトルキーファイルＴＫＦ１と各バックアップファイルＴＫＦ２，ＴＫＦ３は、互いに他のファイルと関連付けられており、暗号化タイトルキー（Ｅ−ＴＫ１，Ｅ−ＴＫ２，Ｅ−ＴＫ３）は、自己のファイルに登録された（ＢＮ１，ＢＮ２，ＢＮ２）と、関連づけられている他のファイルに登録されている（ＴＫＦＮ１，ＴＫＦＮ２，ＴＫＦＮ３）とでタイトルキー（ＴＫ）を暗号化したものとなっている。
【００３７】
上記のようにＴＫＦを３つ保存し、ＴＫＦＮを別ファイルに保存することにより、１つのＴＫＦがデータ破損などにより壊れてしまっても、残り２つのＴＫＦのデータから、壊れたデータを復元できる。
【００３８】
なお、前述したBinding Nonceを特殊なドライブ用コマンドでしか読み書きできないデータとしておくことにより、不正コピーを防止できる。すなわち、仮にＴＫＦがコピーされてもそれに付随するBinding Nonceはコピーされないため、悪意のある第三者による不正な暗号化／復号化行為を防ぐことができる。
【００３９】
なお、タイトルキーファイルと各バックアップファイルの他のファイルのＴＫＦＮとの関連づけは、上記（eq.1）〜（eq.3）式に限定されるものではなく、（eq.1）〜（eq.3）式以外のパターンでタイトルキーファイルとバックアップファイルのＴＫＦＮと関連付けるように構成してもよい。
【００４０】
図５、図６、図７を参照しつつ、ＡＡＣＳ方式の記録再生処理で必要となるメデイア上のデータを詳細に説明する。メディア１００上のProtected Area、即ち、Ｅ−ＴＫが格納されているファイルのProtected Areaには、Binding Nonce及びそのバックアップデータが格納されている。また、メディア１００の読取専用エリアにあるＢＣＡ（Burst Cutting Area）にはMedia IDが記録され、リードイン領域（後述する図１１では１１０）にはLead-in MKBが記録されている。
【００４１】
メディア１００上のユーザデータエリアには、ビデオオブジェクト（ＶＯＢ）および／またはストリームオブジェクト（ＳＯＢ）のCopy Protection Pointerに関する情報である管理情報が格納されている。また、ユーザデータエリアには、Read Write MKB、暗号化されたタイトルキー（Ｅ−ＴＫ）、Media ID MAC、Usage Rule及びそれらのバックアップファイルが格納されている。さらに、ユーザデータエリアは、暗号化されたコンテンツが最大１９９８個まで格納が可能となっている。
【００４２】
図８は、暗号化されたタイトルキーファイル（Ｅ−ＴＫＦ）の構造を示している。なお、図８はストリームオブジェクト（ＳＯＢ）についてのＥ−ＴＫＦの構造であるが、ビデオオブジェクト（ＶＯＢ）についても同様の構造である。バイト位置でいって０〜１５バイトには、タイトルキーファイルを特定するための固定情報（ＳＴＫＦ＿ＩＤ、ＨＲ＿ＳＴＫＦ＿ＥＡ）が記載され、３２〜３３バイトには、ＡＡＣＳのバージョン番号が記載されている。そして、１２８〜１４３バイトには、Title Key File Generationが格納され、１４４〜１５９バイトにはTitle Key File Nonceが格納されている。また、１６０〜６４０９５バイトには、Title Key Information（ＫＴＩ）として、暗号化されたタイトルキー（Ｅ−ＴＫ）とMedia ID MACとが１９９８組記載されている。
【００４３】
それぞれのコンテンツはこの１９９８個のタイトルキーのうちの１つの鍵を使って暗号化されている。但し、１９９８個すべてにEncrypted Title Keyを記録しておく必要は無く、未使用のものは０という数値をＴＫ処理で暗号化したものを記述する。またTitle Key File Generationにはこのファイルの更新のたびにインクリメントされる値が記されている。上述のようにタイトルキーファイルはバックアップ用に合計３つのファイルを備えている。そしてこの３つのファイルのTitle Key File Generationの値がすべて一致していない場合、ファイル書き込み中に何らかの障害があったことを意味する。
【００４４】
次にタイトルキーファイルの更新方法について説明する。ＡＡＣＳが適用されるメディアの種類には、リライタブルメディアとライトワンスメディアがある。リライタブルメディアでは、例えば、新しいコンテンツが追加記録される毎に新しいタイトルキーが追加されるため、タイトルキーファイル中の全タイトルキーを新しいＫｐａを用いて再暗号化する必要がある。即ち、タイトルキーファイルの更新が必要となる。
【００４５】
ところで、タイトルキーファイルのプロテクト領域には、Binding Nonceという乱数を基にした数値が記載されているが、このBinding Nonceは不正な暗号解除を防止するために使用されるものであり、従って、Binding Nonceもタイトルキーファイルを更新する都度、更新される。
【００４６】
一方、ライトワンスメディアでは、タイトルキーファイルを更新すると毎回新しいアドレスにタイトルキーファイルが書き込まれることになる。このためBinding Nonceの書き込まれるアドレスも毎回異なる。しかし、ＡＡＣＳではBinding Nonceは同一個所に上書きすることが求められているため、ライトワンスメディアの場合は、タイトルキーファイルの更新を行わないようにしなければならない。従って、リライタブルメディアとライトワンスメディアでは、タイトルキーファイルの更新条件が異なることになる。
【００４７】
図８のTitle Key Fileの中には１９９８個の暗号化されたタイトル鍵（Encrypted Title Key）が記録されている。コンテンツはこの１９９８個のうちの1つの鍵を使って暗号化されている。１９９８個すべてにEncrypted Title Keyを記録しておく必要は無く、未使用のものは“０”という数値をＴＫ処理で暗号化したものを記述することになっている。またTitle Key File Generationにはこのファイルの更新のたびにインクリメントされる値が記されている。Title Key Fileはタイトル鍵を保存するものであり、メディア上の欠陥等により読めなくなるとコンテンツの再生がまったく不能になる。このためバックアップ用に３つのファイルに書き込んでいる。この３つのファイルのTitle Key File Generationの値がすべて一致していない場合、ファイル書き込み中に何らかの障害があったことを意味する。
【００４８】
メディア１００上のTitle Key Fileが書き込まれているアドレスのプロテクト領域に、Binding Nonceという乱数を基にした数値を記録している。プロテクト領域とはＡＡＣＳ専用の特殊コマンドでのみ読み書きができる領域であり、この部分にＫｐａを構成する要素を記録しておくことで、パソコン等を使った不正な暗号解除を防ぐことができる。
【００４９】
Title Key File内のタイトル鍵は、プロテクテッドエリアキーとBinding Nonceの組み合わせてＴＫ処理を行うことで暗号化している。このとき、Title Key File#1の暗号化にはTitle Key File#2のBinding Nonceを使い、Title Key File#2の暗号化のBinding Nonceを使う、というようにしている。こうすることにより、３つのTitle Key Fileのうち1つが破損してしまっても、他の２つのファイルを用いることによって復元ができる。このようにBinding Nonceはタイトル鍵の暗号に用いているものであるので、Title Key Fileを更新する都度更新する。
【００５０】
一方、Binding Nonceはファイルが書き込まれるアドレスに依存しており、HD_DVD-R等のライトワンスメディアの場合、Title Key File自体が毎回新しいアドレスに保存されることになり、Binding Nonceの書き込まれる位置も一箇所ではなくなる。しかしＡＡＣＳではBinding Nonceは同一箇所に上書きすることが求められているので、ライトワンスメディアの場合はTitle Key Fileの更新を行わないようにする。
【００５１】
Title Key Fileには１９９８個のタイトル鍵を保存することが出来る。これはビデオオブジェクト（ＶＯＢ）及びストリームオブジェクト（ＳＯＢ）の個数と一致しており、ビデオオブジェクト毎にタイトル鍵（Ｋｔ）を変えることを前提としている。これは、例えばそのディスクから他のメディアにコンテンツをムーブする場合、使用しているタイトル鍵を消去しないと不正コピーができる抜け穴が残ってしまうためである。タイトル鍵を削除すると、同じタイトル鍵を共用している他のオブジェクトが復号できなくなるので、極力オブジェクトごとに異なる鍵を割り当てる必要がある。このため、録画再生装置においては、1回の録画処理毎にタイトル鍵を新規に生成し、そのタイトル鍵によってビデオオブジェクト及びストリームオブジェクトを暗号化する。
【００５２】
一方、特にストリームオブジェクト（ＳＯＢ）による録画の場合、記録対象のデジタル放送の内容によってストリームオブジェクトを動的に分割する必要がある。具体的には番組の境界で音声ストリームの個数が変わるなどストリームオブジェクト（ＳＯＢ）の構成要素が変わった場合は、自動的にそこでＳＯＢを分割する。このような場合、そこでタイトル鍵を切り替えるのは事実上不可能である（タイトル鍵を切り替えようとすると、新たな鍵の生成に時間を要するため、分割後のＳＯＢの録画を開始する際その先頭部分の録画が欠けてしまう）。このような場合は同じタイトル鍵を使った暗号を引き続き行う。
【００５３】
なお、ディスクがライトワンスメディア（上書きできないメディア）である場合はTitle Key Fileの更新ができないため、録画開始時に鍵を生成する処理において、既に存在するタイトル鍵を用いることになる。
【００５４】
図９は、メディア１００としてリライタブルメディア（HD_DVD-RW/RAMあるいはHDD等）を用いる場合において、リライタブルメディアのタイトルキーファイルの更新手続きを示すフローチャートである。従って、リライタブルメディアには、既にタイトルキーファイルが生成されて書き込まれている。なお、図９に示す処理動作は、情報記録再生装置２００の制御部２１０（あるいは後述する図１３のＡＡＣＳ処理部２１０ａのファームウエア）により実現される。
【００５５】
例えばユーザが情報記録再生装置２００の電源をＯＮし、図９のＳ４０においてリライタブルメディアを挿入すると、ＭＫＢ処理（Ｓ４１）とＴＫＦ読み込み処理（Ｓ４２）が一括して実行される。ＭＫＢ処理（Ｓ４１）では、Read Write MKB及びLead-in MKBに付加している署名を検証し、検証結果が正当であると判定した場合は、それぞれのＭＫＢのバージョンを取得する。Read Write MKBのバージョンはLead-in MKBのバージョンと同じかもしくは新しくなければならないが、もしそうでない場合は、再生及び記録を制限する。ＴＫＦ読み込み処理（Ｓ４２）では、メディアにあるタイトルキーファイルをＳＤＲＡＭ（後述する図１３の２２など）上に展開する。
【００５６】
そして、Ｓ４３、Ｓ４４において、ユーザのコンテンツ記録操作、コンテンツ編集操作、コンテンツ削除操作、メディア排出操作、情報記録再生装置２００の電源ＯＦＦ操作に対応して、タイトルキーファイルの更新を行うかどうかを判断する。即ち、以下の３つの条件のうちの少なくとも１つが満たされたときのみ、タイトルキーファイルを更新する。
【００５７】
（１）コンテンツの記録、削除が行われた場合
コンテンツの記録、削除が行われると、タイトルキーファイル内のEncrypted Title Keyが新たに追加、削除される。そのため、タイトルキーファイルを更新する。
【００５８】
（２）ＭＫＢが更新された場合
例えば、情報記録再生装置２００の内部で保持しているＭＫＢであるDevice MKBのバージョンがRead Write MKBのバージョンよりも新しい場合、Device MKBの値をRead Write MKBにコピーしてDevice MKBのメディア鍵（Ｋｍ）が変更される。このため、タイトルキーファイルを更新してタイトルキーの再暗号化を行う。
【００５９】
（３）３つのTitle Key File Generationの１つだけが異なる場合
上述のように３つのタイトルキーファイルの内の１つが破損していることになる。そのため、正常な残りの２つのタイトルキーファイルを用いて破損したタイトルキーファイルを修復（更新）する。すなわち、上述の３つの条件のうちの少なくとも１つが成立する場合は（Ｓ４４Ｙ）、タイトルキーファイルの更新を行う（Ｓ４５）。上述の３つの条件の全てが成立しない場合は（Ｓ４４Ｎ）、タイトルキーファイルを更新せずに処理を終了する（Ｓ４６）。
【００６０】
図１０は、メディア１００としてライトワンスメディア（片面１層のHD_DVD-Rあるいは片面２層のHD_DVD-R:DL等）を用いる場合において、ライトワンスメディアのタイトルキーファイルの書込み手続きを示すフローチャートである。なお、図９と同様に図１０に示す処理動作は、情報記録再生装置２００の制御部２１０（あるいは図１３のＡＡＣＳ処理部２１０ａ）により実行できる。
【００６１】
例えばユーザが情報記録再生装置２００の電源をＯＮし、図１０のＳ５０においてライトワンスメディアを挿入すると、ＭＫＢ処理（Ｓ５１）とＴＫＦ読み込み処理（Ｓ５２）が一括して実行される。ＭＫＢ処理（Ｓ５１）では、Read Write MKB及びLead-in MKBに付加している署名を検証し、検証結果が正当であると判定した場合は、それぞれのＭＫＢのバージョンを取得する。Read Write MKBのバージョンはLead-in MKBのバージョンと同じかもしくは新しくなければならないが、もしそうでない場合は、再生及び記録を制限する。ＴＫＦ読み込み処理（Ｓ５２）では、メディアにあるタイトルキーファイルをＳＤＲＡＭ（図１３の２２など）上に展開する。
【００６２】
そして、Ｓ５３、Ｓ５４において、ユーザのコンテンツ記録操作、コンテンツ編集操作、コンテンツ削除操作、メディア排出操作、情報記録再生装置２００の電源ＯＦＦ操作に対応して、タイトルキーファイルの書込みを行うかどうかを判断する。即ち、以下の２つの条件が満たされれば、タイトルキーファイルを書き込む。
【００６３】
（１＊）コンテンツの記録が行われた場合
（２＊）ディスクにタイトルキーファイルが記録されていなかった場合。
【００６４】
ＡＡＣＳではTitle Key Fileを同一箇所に上書きすることが求められているため、ライトワンスメディアの場合は、（１＊）と（２＊）の条件を同時に満たしたときにのみTitle Key Fileを書き込む。そうする理由を以下に述べる。
【００６５】
（１＊）の条件のみでは、コンテンツの記録が行われる度に書き込み要求が起こるため、同一箇所に上書き不可能なライトワンスメディアでは問題となる。（２＊）の条件のみでは、ディスクにコンテンツを記録していない状態では、有効なコンテンツキーは生成されていないため、無効なEncrypted Title KeyのみのTitle Key Fileとなり問題となる。（１＊）と（２＊）の条件を共に満たす場合には、ディスクにTitle Key Fileが記録されていない状態で記録が行われたときに書き込むこととなるため、有効なEncrypted Title Keyが１つだけ生成されたTitle Key Fileが記録されることになる。
【００６６】
上述の２つの条件がともに成立する場合は（Ｓ５４Ｙ）、タイトルキーファイルをディスクに書き込む（Ｓ５５）。上述の２つの条件が全て成立しない場合は（Ｓ５４Ｎ）、タイトルキーファイルの書き込みを行わずに処理を終了する（Ｓ５６）。
【００６７】
以上説明した実施の形態によれば、メディア種別ごとにタイトルキーファイルを書き込む条件を設け、その条件に合致するときのみにディスクに書き込む。この条件によれば、リライタブルメディアの場合は無駄にTitle Key Fileを更新することがなくなり、ディスクに書き込む回数を削減することができる。ライトワンスメディアの場合は、問題のあるTitle Key Fileを書き込こんでしまうことを排除することができる。
【００６８】
図１１は、この発明の一実施の形態に係るデータ構造例を説明する図である。RecordableあるいはRe-writableな情報記憶媒体の代表例として、ＤＶＤディスク（波長650nm前後の赤色レーザあるいは波長405nm以下の青紫ないし青色レーザを用いた、単記録層または複数記録層の、ＤＶＤ±Ｒ、ＤＶＤ±ＲＷ、ＤＶＤ−ＲＡＭ等）１００がある。このディスク１００は、図１１に示すように、ファイルシステムが入っているボリューム／ファイル構造情報領域１１１とデータファイルを実際に記録するデータ領域１１２を含んで構成されている。上記ファイルシステムは、どのファイルがどこに記録されているかを示す情報で構成されている。
【００６９】
データ領域１１２は、一般のコンピュータが記録する領域１２０、１２２と、オーディオビデオデータ（ＡＶデータ）を記録する領域１２１を含んでいる。ＡＶデータ記録領域１２１は、ＡＶデータの管理をするためのビデオマネージャファイル（VMGまたはHDVR_MG）があるＡＶデータ管理情報領域１３０と、DVD-Video（ROM Video）規格に準じたオブジェクトデータのファイルが記録されるROM_Videoオブジェクト群記録領域１３１と、ビデオレコーディング（ＶＲ）規格に準じたオブジェクトデータ（ESOBS：Extended Video Object Set）のファイル（ＶＲＯファイル）が記録されるＶＲオブジェクト群記録領域１３２と、デジタル放送に対応したオブジェクトが記録されているストリームオブジェクトデータ（ESOBS：Extended Stream Object Set）ファイル（ＳＲＯファイル）が記録される記録領域１３３を含んで構成されている。なお、ＳＲＯファイルのためのレコーディング規格は、適宜、ストリームレコーディング（ＳＲ）規格と表記する。
【００７０】
図１２は、この発明の一実施の形態に係るファイル構造例を説明する図である。DVD_HDVRディレクトリは、図１２に示すように、HD_DVD-VRフォーマットの管理情報ファイルであるHR_MANGER.IFO、アナログビデオ入力のオブジェクトファイルであるＶＲＯファイル（最大レートが30.24Mbpsまで許されたEVOBファイル）を含むHDVR_VOBディレクトリ、デジタル放送対応用のＳＲＯファイル（ESOBファイル）を含むHDVR_SOBディレクトリ等を含んで構成されている。また、DVD_HDVRディレクトリと同じルートディレクトリ下のDVD_RTAVディレクトリは、DVD-VRフォーマットの管理情報ファイルであるVR_MANGER.IFO、アナログビデオ入力のオブジェクトファイルであるＶＲＯファイル（最大レートが10.08Mbpsに抑えられた従来DVD-VRのVOBファイル）等を含んで構成されている。
【００７１】
つまり、この実施の形態に係るファイル構造では、HDVRのMPEG2-TSデータファイルもHDVRのMPEG2-PSデータファイルもVRのMPEG2-PSデータファイルも同じルートディレクトリ下でファイル管理されている。例えば、HR_MOVIE.VROにリンクされたショートカットファイルをタイトルサムネールＡ、Ｃとし、VR_MOVIE.VROにリンクされたショートカットファイルをタイトルサムネールＢとし、HR_STRnn.SROにリンクされたショートカットファイルをタイトルサムネールＤとすれば、これらのタイトルサムネールＡ〜Ｄを同じメニュー画面上に表示することができる（図１３のモニタ画面５２ａの表示例参照）。これにより、ユーザは、別々のオブジェクト（MPEG2-PS、MPEG2-TSが混在するオブジェクト）を同じ画面操作環境でメニュー操作できるようになる。
【００７２】
図１３は、この発明の一実施の形態に係る記録再生装置（HD_DVDレコーダ）の構成例を説明するブロック図である。衛星デジタルＴＶ放送、地上デジタルＴＶ放送、および地上アナログＴＶ放送の受信機能を持つTV tuner１０のアナログＡＶ出力は、Video ADC１４およびAudio ADC１６に入力される。外部アナログ入力端子１２からのアナログＡＶ入力もまた、Video ADC１４およびAudio ADC１６に入力される。Video ADC１４でデジタル化されたビデオストリームおよびAudio ADC１６でデジタル化されたオーディオストリームはMPEG Encoder２０に入力される。外部デジタル入力端子１８からのデジタルストリーム（MPEG2-TS等）は、IEEE1394（あるいはHDMI）等のインターフェース１９を介して、MPEG Encoder２０に入力される。図示しないが、TV tuner１０からのデジタルストリーム（MPEG2-TS等）も適宜MPEG Encoder２０に入力される。MPEG Encoder２０は、入力されたMPEG2-TSをパススルーする場合以外は、入力されたストリームをMPEG2-PSにエンコードするか、MPEG4-AVCにエンコードする。
【００７３】
ここで、MPEG2-PSにエンコードする場合としては、DVD-VR規格に基づきMPEG2-PSにエンコードする場合（最大レート10.08Mbps；最大解像度720x480または720x576）と、HD_DVD-VR規格に基づきMPEG2-PSに高レートエンコードする場合（最大レート30.24Mbps；最大解像度1920x1080）と、HD_DVD-VR規格の枠内でMPEG2-PSに低レートエンコードする場合（最大レート10.08Mbps；最大解像度720x480または720x576）がある。
【００７４】
MPEG Encoder２０でエンコードされ（またはパススルーした）ストリームデータは、SDRAM（Synchronous Dynamic Random Access Memory）２２等の高速メモリに一旦バッファリングされる。このSDRAM２２上で、下記の１〜３のストリーム書き換え処理が適宜行われる：
1.AudioがLiner PCMである場合、Audio Packのsub_stream_idの値を書き換える；
2.RDI-PCKの記載内容を書き換える；
3.一度CPRMの暗号を復号し、ＡＡＣＳに再暗号化を行う、もしくはその逆を行う。
【００７５】
SDRAM２２にバッファリングされそこで処理されたストリームデータは、その内容に応じて、所定のタイミングでＨＤＤ１０４かHD_DVD Drive２６かDVD Drive２８に転送される。ＨＤＤ１０４としては大容量ハードディスクドライブ（例えば１ＴＢ）が用いられる。また、HD_DVD Drive２６には青色レーザ（例えば波長λ=405nm）が用いられ、DVD Drive２８には赤色レーザ（例えば波長λ=650nm）が用いられる。
【００７６】
HD_DVD Drive２６およびDVD Drive２８はDrive Unit２４を構成している。Drive Unit２４は、回転駆動系を含めて独立した２基のドライブを備えている場合と、回転駆動系が共通で青色レーザの光ヘッドと赤色レーザの光ヘッドを個別に有するHD_DVD/DVDコンパチブルドライブ（ツインピックアップタイプ）を備えている場合と、回転駆動系および光ヘッドの機構が共通で青色レーザまたは赤色レーザを切替使用する２波長光学系を有する場合（シングルピックアップタイプ）がある。
【００７７】
図１３の実施の形態では、回転駆動系を含めて独立した２基のDrive２６およびDrive２８がある場合を例示している。これらのドライブで使用される情報記憶媒体（青色レーザ用光ディスク１００、赤色レーザ用光ディスク１０２）としては、青色レーザ使用の場合も赤色レーザ使用の場合も、-R/−RW/RAMタイプの光ディスクの他に、+R/+RWタイプの光ディスクが利用可能である。将来的には、ホログラムを利用した大容量光ディスクを用いることも可能である。
【００７８】
HD_DVD Drive２６はHD_DVD-VR規格に基づく記録再生に対応し、DVD Drive２８はDVD-VR規格に基づく記録再生に対応している。DVD Drive２８はさらに、HD_DVD-VR規格に基づきエンコードされたデータであっても、最大レートやビデオ属性等がDVD-VR規格の枠内に収まるMPEG-PSのデータについては、DVD-VR規格のディスク（片面１層のDVD-R/RW/RAM、片面２層のDVD-R、両面各１層のDVD-RAM等）１０２を用いて等速または高速で記録再生することができるように構成されている。（具体例を挙げれば、最大レート10.08MbpsでＨＤＤ１０４に記録されたNTSCのビデオのMPEG2-PSデータは、それがHD_DVD-VR規格に基づきエンコードされたデータであっても、DVD-VR規格のディスク１０２に高速コピー／高速ダビングできるように構成される。言うまでもないが、このHD_DVD-VR規格に基づきエンコードされたMPEG2-PSデータは、HD_DVD-VR規格のディスク１００にも高速コピー／高速ダビングできる。）
HD_DVD Drive２６、DVD Drive２８、および／またはＨＤＤ１０４から再生されたストリームデータは、SDRAM２２を介してMPEG Decoder３０に転送される。MPEG Decoder３０は、転送されてきたストリームに応じて、MPEG2-TSをデコードする機能、MPEG2-PSをデコードする機能、MPEG4-AVCをデコードする機能、その他のデコード機能（例えばHD_DVD-VR規格で定められているVC-1をデコードする機能）を備えている。MPEG Decoder３０でデコードされたビデオデータ（MPEG2-TSまたはMPEG2-PS）はVideo DAC３２により標準画質または高精細画質のアナログビデオ信号に変換されてVideo Out端子３６から出力される。また、MPEG Decoder３０でデコードされたオーディオデータはAudio DAC３４によりアナログオーディオ信号に変換されてAudio Out端子３８から出力される。さらに、デコードされたデータがMPEG2-TSの場合は、適宜、IEEE1394（あるいはHDMI）等のインターフェース３７を介してDigital Out端子３９から外部出力される。MPEG Decoder３０でデコードされDAC３２、３４でＤ／Ａ変換されたＡＶ信号（アナログビデオ信号およびアナログオーディオ信号）は、外部モニタに入力される。
【００７９】
図１３の記録再生装置（HD_DVDレコーダ）の動作は、ＭＰＵ４０により制御される。ＭＰＵ４０にはファームウエアや種々な制御パラメータを格納するＥＥＰＲＯＭ４２、ワークＲＡＭ４４、タイマ４６等が付属している。ＭＰＵ４０のファームウエアの中身としては、グラフィックユーザインターフェースを提供するＧＵＩ表示制御部４００、エンコードパラメータ検出処理部４０２、高速コピー（高速ダビング）処理部４０４、レート変換コピー（等速コピー／等速ダビング）制御部４０６、記録／再生制御部（管理情報処理部）４０８、ＡＡＣＳ処理部２１０ａ（図２の制御部２１０に対応）等がある。ＧＵＩ表示制御部４００の処理結果は、オンスクリーン表示部（ＯＳＤ）５０を介して外部モニタにて画面表示される（タイトルサムネールの表示画面５２ａ、コピー処理あるいはムーブ処理（コンテンツの記録場所を移動させる処理で、コピーに伴いコピー元コンテンツの強制削除を伴う）時のダイアログボックス表示画面５２ｂ等はＯＳＤ５０の処理で得ることができる）。なお、画面５２ｂでのムーブ処理に関する警告ダイアログについては、図１６の処理において言及する。
【００８０】
図１３の実施の形態において、ＨＤＤ１０４については、１台の超大容量ＨＤＤ（例えば１ＴＢ）でも、複数の大容量ＨＤＤの併用（例えば５００ＧＢ＋５００ＧＢ）でもよい。また、ＨＤＤの記録エリアの使い方としては、その記録エリアを論理的に複数パーティションに分けて使用する場合と、物理的なＨＤＤ毎に用途を特定する場合がある。前者の場合としては、例えば１ＴＢのうち４００ＧＢの第１パーティションをデジタル高精細放送のMPEG2-TS記録用（ＴＳタイトル用）に割り当て、４００ＧＢの第２パーティションをデジタル高精細放送のMPEG4-AVC記録用（ＨＤＶＲタイトル用）に割り当て、２００ＧＢの第３パーティションをアナログ放送またはデジタル放送もしくは外部入力のMPEG2-PS記録用（ＶＲタイトル用）に割り当てるなどが考えられる。また、後者の場合としては、例えば第１の４００ＧＢＨＤＤをMPEG2-TS記録用（ＴＳタイトル用）に割り当て、第２の４００ＧＢＨＤＤをMPEG4-AVC記録用（ＨＤＶＲタイトル用）に割り当て、第３の２００ＧＢＨＤＤをMPEG2-PS記録用（ＶＲタイトル用）に割り当てるなどが考えられる。
【００８１】
なお、この発明の一実施の形態では、ＶＲタイトルには、現行のDVD-VR規格によるMPEG2-PS記録の他に、次世代HD_DVD規格において最大レートを10.08Mbpsに抑えたMPEG2-PS記録も含まれる。あるＶＲタイトルのストリームデータがDVD-VR規格によるMPEG2-PSなのかHD_DVD規格において最大レートを10.08Mbpsに抑えたMPEG2-PSなのかの区別は、オブジェクトデータレベルでは、オブジェクトデータ内の特定情報（例えばプログラム最大レート “program_mux_rate”）の記述内容が「10.08Mbps」なのか「30.24Mbps」なのかで行うことができる。また、管理情報レベルでは、そのタイトルの再生開始前に、管理情報内の特定情報（例えばビデオ属性“V_ATR”）が現行DVD-VR規格ではあり得ない解像度（例えば1280x1080）を含んでいるかどうかで行うことができる。
【００８２】
前述した複数種類のタイトル（ＴＳタイトル、ＨＤＶＲタイトル、ＶＲタイトル）は、この発明の一実施の形態では、図１２に例示するように同じディレクトリ内でファイル管理される。そのため、複数種類のタイトル（ＴＳタイトル、ＨＤＶＲタイトル、ＶＲタイトル）のアイコンまたはサムネールを同一画面５２ａ上で表示できる。このことから、ユーザは、複数タイトルの各々がどんな規格（HD_DVD-VR、DVD-VR等）のどのような状況下で録画されたものでも（最大レートが10.08MbpsのHD_DVD-VR録画、最大レートが10.08MbpsのDVD-VR録画等）、それらを同様に操作できる。
【００８３】
図１４は、この発明の一実施の形態に係る記録方法を説明するフローチャートである。この記録方法の処理は、あるオブジェクト（ＶＯＢまたはＳＯＢ）の１回の記録が行われる毎に実行される。例えば、著作権保護されたデジタル放送の番組Ａと番組Ｂが電子プログラムガイド（ＥＰＧ）等を用いることで録画予約されているとする。この場合、番組Ａの予約録画が行われるときに図１４の処理が（ある暗号鍵を用いて）実行されて、例えば番組Ａ相当のビデオオブジェクトＶＯＢ（ＭＰＥＧ４ＡＶＣ等）が暗号化されて光ディスクまたはハードディスクに記録される。また、番組Ｂの予約録画が行われるときには図１４の処理が（別の暗号鍵を用いて）改めて実行されて、例えば番組Ｂ相当のストリームオブジェクトＳＯＢ（ＭＰＥＧ２ＴＳ等）が暗号化されて光ディスク（例えば図１３の１００）またはハードディスク（例えば図１３の１０４）に記録される。
【００８４】
上記のような１回の記録が開始されると、ＡＡＣＳ方式の暗号化に用いる鍵（タイトル鍵ＫｔまたはContents key）が生成される（ＳＴ１００）。この鍵生成処理は、図３を参照して説明した処理と同様に行うことができる。なお、記録先の媒体がハードディスクやHD_DVD-RW/RAM等の上書き可能なメディアであればＳＴ１００で新たに鍵の生成を行う。しかし、記録先の媒体がHD_DVD-R（または片面２層のHD_DVD-R：DL）等の上書き不能なライトワンスメディアであり、そのメディアの一部に暗号化されたオブジェクトが既に記録されているときは、その暗号化に用いられた既存の鍵（Ｋｔ）を、これから行う記録処理での暗号化に利用する（ライトワンスメディアでは既存の鍵ファイルを上書きで更新できないため、既存の鍵をそのまま利用することになる）。
【００８５】
記録対象のオブジェクトの記録中、そのオブジェクトの分割がないときは（ＳＴ１０２Ｎ）、ＳＴ１００で生成された鍵を用いて（ＡＡＣＳ方式により）オブジェクトを暗号化しつつ（ＳＴ１０６）、暗号化されたオブジェクトを記録媒体（ハードディスクまたは光ディスクもしくは半導体メモリ）に記録する（ＳＴ１０８）。記録対象のオブジェクトに対する１回の記録が終了していない間は（ＳＴ１１０Ｎ）、ＳＴ１０２〜ＳＴ１１０の処理が反復される。
【００８６】
記録対象のオブジェクト（例えば番組ＢのＳＯＢ）の記録中、そのオブジェクトが例えば録画ポーズあるいはビデオ属性の変更などにより分割されたときは（ＳＴ１０２Ｙ）、その後の記録処理を別の記録処理としてカウントすると、見かけ上１回の録画処理でなくなる。しかし、その場合は１回の録画処理内の出来事とみなし、分割前のオブジェクト（例えば番組Ｂの前半のＳＯＢ）の暗号化で用いた鍵（Ｋｔ）を分割後のオブジェクト（例えば番組Ｂの後半のＳＯＢ）に適用する（ＳＴ１０４）。このようにすると、新たな鍵生成処理（図３を参照して述べたような処理）を省略できるため、新たな鍵生成のためのタイムラグがなくなり、分割後のオブジェクトの暗号化（ＳＴ１０６）とその記録（ＳＴ１０８）を滞りなく実行できる（具体的には、分割後のオブジェクトの記録を継続する際にその冒頭が切れてしまう恐れを払拭できる）。
【００８７】
以上のようにして、記録対象のオブジェクトの１回の記録が終了すると（ＳＴ１１０Ｙ）、記録されたオブジェクトを再生する際に必要な種々な管理情報がHR_MANGR.IFOファイル（図１２参照）に記録されて（ＳＴ１１２）、図１４の記録処理は終了する。
【００８８】
図１５は、この発明の一実施の形態に係る再生方法を説明するフローチャートである。図１４のような処理でオブジェクトデータ（ＶＯＢおよび／またはＳＯＢ）および管理情報が記録されたディスク１００から、再生しようとするオブジェクト（例えば番組ＢのＳＯＢ）の管理情報が読み取られる（ＳＴ２００）。読み取られた管理情報は、再生機器のワークメモリ（図１３の４４等）に一旦記憶される。
【００８９】
この再生機器（図２の２００相当）は、再生しようとするオブジェクトの暗号化に関する情報（Ｋｍ，Ｋｐａ，Ｋｔ等を生成するための元になる情報）を光ディスク（例えば図１３の１００）またはハードディスク（例えば図１３の１０４）から読み取り（ＳＴ２０２）、読み取った情報から復号鍵（ＫｔまたはContents Key）を生成する（ＳＴ２０４）。ここで、Ｋｍ，Ｋｐａ，Ｋｔ等を生成するための元になる情報とは、Lead-in MKB、Read Write MKB、Binding Nonce、Title Key File、Usage Rule Fileなどを言う（図２参照）。この復号鍵生成処理は、図２を参照して説明した処理と同様に行うことができる。こうして読み取られた管理情報（HR_MANGR.IFOファイル）と生成した復号鍵（ＫｔまたはContents Key）を用いて、再生対象オブジェクトを復号しながら再生する（ＳＴ２０６）。この再生処理が再生対象オブジェクトの末尾まで済むと（あるいはユーザもしくは装置の制御プログラムが再生停止を指示すると）（ＳＴ２０８Ｙ）、図１５の再生処理は終了する。
【００９０】
図１６は、鍵の削除を伴うコンテンツの削除またはムーブ処理を説明するフローチャートである。この処理は、例えば図１３のＡＡＣＳ処理部２１０ａにより実行できる。いま、ユーザから、ＡＡＣＳにより暗号化されている録画済コンテンツの削除要求（あるいはそのコンテンツのムーブ要求）が出されたとする（ＳＴ４００）。すると、削除要求（またはムーブ要求）されたコンテンツと同じ鍵を共有する別のオブジェクトが同じメディア（例えば図１〜図３、図１３のディスク１００）内に記録されているかどうかがチェックされる（ＳＴ４０２）。鍵を共有する別のオブジェクトがないときは（ＳＴ４０２Ｎ）、削除要求のあったコンテンツがその鍵（Title Key）とともに削除されて（ＳＴ４０４）、図１６の処理は終了する。
【００９１】
鍵を共有する別のオブジェクトがあるときは（ＳＴ４０２Ｙ）、これから行おうとしている削除がコンテンツのムーブに伴う削除であるのか否かがチェックされる（ＳＴ４０６）。ムーブに伴う削除でない場合は（ＳＴ４０６Ｎ）、（その削除対象コンテンツと鍵を共有する別のオブジェクトはアクセス可能な状態でメディアに残しておきたいので）削除対象コンテンツは削除するが、その鍵は消さずに残し（ＳＴ４０８）、図１６の処理を終了する。一方、ムーブに伴う削除の場合は（ＳＴ４０６Ｙ）、このムーブに伴うコンテンツ削除の完了後にそのコンテンツの鍵（Title Key）を削除して（ＳＴ４１０）、図１６の処理を終了する。
【００９２】
前述したように、ＡＡＣＳでは、タイトル鍵は最大１９９８個用意されている。その理由は、ビデオオブジェクト（ＶＯＢ）の個数及びストリームオブジェクト（ＳＯＢ）の個数が最大１９９８個まで認められているためであり、オブジェクト毎に異なるタイトル鍵で暗号化が行われることを前提としている（図１の説明参照）。従って、例えばあるコンテンツを削除するのに伴いあるビデオオブジェクトが削除されたら、そのビデオオブジェクトが使用していたタイトル鍵は削除しても良い。
【００９３】
しかし、例えばデジタル放送番組の録画中にデジタル放送信号によってストリームオブジェクトが自動的に分割されることがあり、このときに暗号鍵を追従して変更するのは処理速度的に難しい。このことから、異なるビデオオブジェクトやストリームオブジェクトで同じタイトル鍵を共有することも実際上はあり得る。この場合、コンテンツの削除によってタイトル鍵を削除してしまうと、同じ鍵を共有しているビデオオブジェクト／ストリームオブジェクトが復号できなくなってしまう。このため、コンテンツ削除処理では、図１６のＳＴ４０２のように、削除するビデオオブジェクト／ストリームオブジェクトが使用しているタイトル鍵を共有する他のオブジェクトが無いかを検索し、無い場合に限り（ＳＴ４０２Ｎ）タイトル鍵を削除している。
【００９４】
一方、このコンテンツ削除が他のメディアに対するダビング（ムーブ）処理である場合は事情が変わってくる。他のメディアにムーブする際にタイトル鍵を消滅させないでおくと、ＰＣ（パソコン）等を使ってコンテンツの不正コピーが可能になる抜け穴を残すことになる。よってムーブに伴うコンテンツ削除の場合は（ＳＴ４０６Ｙ）、同じタイトル鍵を共有しているオブジェクトが残っていたとしても（ＳＴ４０２Ｙ）、タイトル鍵を削除しなくてはならない（ＳＴ４１０）。従ってメディア内で鍵の共有がある場合は、そのコンテンツのムーブ時にユーザに警告を与えるほうが望ましい（図１３のモニタ画面５２ｂ参照）。
【００９５】
この警告により、ユーザは、ある対象コンテンツをムーブすると別の（残しておきたい）オブジェクトの鍵がなくなってその別オブジェクトにアクセスできなくなるという不都合を回避できる（ユーザは、モニタ画面５２ｂの警告ダイアログを見た上でその別オブジェクトを不要と判断すれば、対象コンテンツのムーブを実行できる）。
【００９６】
＜まとめ＞
（１）図１７の処理は、所定の暗号化方式（ＡＡＣＳ）により暗号鍵（Title Key）を用いて暗号化されたコンテンツあるいはオブジェクトが１以上記録された情報記録媒体（１００）から特定のコンテンツを削除する情報アクセス管理方法の１つである。ここでは、前記コンテンツを削除する際（ＳＴ４００）、前記情報記録媒体（１００：同一メディア上）にそのコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在しない場合は（ＳＴ４０２Ｎ）、そのコンテンツ削除と同時にそのコンテンツの暗号化に用いた暗号鍵も削除する（ＳＴ４０４）。
【００９７】
（２）前記コンテンツを前記情報記録媒体（１００）とは別のメディアにムーブする際に前記コンテンツの削除が行われる場合は（ＳＴ４０６Ｙ）、前記情報記録媒体（１００）上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在していても、前記ムーブに伴い前記暗号鍵を削除する（ＳＴ４１０）ように構成できる。
【００９８】
（３）前記コンテンツの削除がこのコンテンツのムーブに伴う削除でない場合（ＳＴ４０６Ｎ）、前記情報記録媒体（１００）上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在するなら（ＳＴ４０２Ｙ）、前記コンテンツを削除しても、前記暗号鍵は削除しない（ＳＴ４０８）ように構成できる。
【００９９】
（４）前記情報記録媒体（１００）から前記暗号化に関する情報を読み取り（ＳＴ２０２）、この読み取った暗号化に関する情報から前記暗号鍵（Ｋｔ）に対応する復号鍵（Ｋｔ）を生成し（ＳＴ２０４）、この生成した復号鍵（Ｋｔ）を用いて前記情報記録媒体から前記暗号化されたコンテンツまたはオブジェクトのデータ（ＶＯＢまたはＳＯＢのEncrypted contents）を復号しつつ再生する（ＳＴ２０６）ことができる。
【０１００】
（５）前記コンテンツを前記情報記録媒体（１００）とは別のメディアにムーブする際に前記コンテンツの削除が行われる場合は（ＳＴ４０６Ｙ）、前記情報記録媒体（１００）上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在することを表示し（図１３の５２ｂ）、それでもなお前記ムーブを行うなら、前記ムーブに伴い前記暗号鍵を削除する（ＳＴ４１０）ように構成できる。
【０１０１】
（６）上述した（５）の方法は、前記情報記録媒体（１００）に前記暗号鍵を用いてアクセス可能な前記コンテンツあるいは前記オブジェクトを記録しあるいは再生する手段（２０〜３０、４０）と、前記情報記録媒体（１００）上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在する場合は、その旨の警告を表示する手段（５０、５２ｂ）とを具備した情報記録再生装置において実行できる。
【０１０２】
＜実施の形態の効果＞
（１）異なるビデオオブジェクトやストリームオブジェクトで同じタイトル鍵が共有されている場合、あるコンテンツの削除によってそのタイトル鍵を削除してしまうと、同じ鍵を共有しているビデオオブジェクト／ストリームオブジェクトが復号できなくなってしまうが、この発明の一実施の形態ではこのような不都合を回避できる。
【０１０３】
（２）異なるビデオオブジェクトやストリームオブジェクトで同じタイトル鍵が共有されている場合、あるコンテンツを他のメディアにムーブする際にタイトル鍵を消滅させないでおくと、ＰＣ（パソコン）等を使ってコンテンツの不正コピーが可能になる抜け穴を残すことになるが、この発明の一実施の形態ではこのような抜け穴を塞ぐことができる。
【０１０４】
なお、この発明は前述した実施の形態に限定されるものではなく、現在または将来の実施段階では、その時点で利用可能な技術に基づき、その要旨を逸脱しない範囲で種々に変形することが可能である。たとえば、この発明の実施において利用される情報記憶媒体は、光ディスクあるいはハードディスクドライブだけには限らず、大容量フラッシュメモリ等が利用されてもよい。
【０１０５】
また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合組み合わせた効果が得られる。さらに、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適当な組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件からいくつかの構成要件が削除されても、この構成要件が削除された構成が発明として抽出され得る。
【図面の簡単な説明】
【０１０６】
【図１】この発明の一実施の形態に係るメディア（情報記録媒体）内のデータ（タイトルキーファイル）の構成を説明する図。
【図２】メデイアに記録された暗号化コンテンツを復号する処理例を説明する図。
【図３】コンテンツを暗号化してＤＶＤに記録する処理例を説明する図。
【図４】タイトルキーファイルとそのバックアップファイルとしてのタイトルキーファイルの構造を示す説明図。
【図５】この発明の一実施の形態で採用される暗号化方式（ＡＡＣＳ方式）を用いた記録再生処理で必要となるメデイア上のデータを示す図。
【図６】ＡＡＣＳ方式の記録再生処理で必要となるメデイア上のデータを示す図。
【図７】ＡＡＣＳ方式の記録再生処理で必要となるメデイア上のデータを示す図。
【図８】暗号化されたタイトルキーファイル（Ｅ−ＴＫＦ）の構造例を示す図。
【図９】リライタブルメディアのタイトルキーファイルの更新手続きを説明するフローチャート図。
【図１０】ライトワンスメディアのタイトルキーファイルの書込み手続きを説明するフローチャート図。
【図１１】この発明の一実施の形態に係るデータ構造例を説明する図。
【図１２】この発明の一実施の形態に係るファイル構造例を説明する図。
【図１３】この発明の一実施の形態に係る記録再生装置（HD_DVDレコーダ）の構成例を説明するブロック図。
【図１４】この発明の一実施の形態に係る記録方法を説明するフローチャート図。
【図１５】この発明の一実施の形態に係る再生方法を説明するフローチャート図。
【図１６】鍵の削除を伴うコンテンツの削除またはムーブ処理を説明するフローチャート図。
【符号の説明】
【０１０７】
２０…エンコーダ；２４…光ディスクドライブユニット；２６…青レーザ使用光ディスクドライブ（HD_DVD Drive）；２８…赤レーザ使用光ディスクドライブ（DVD-R/RW/RAM Drive）；３０…デコーダ；４０…制御用マイクロプロセサ（MPU）；４００…グラフィックユーザインターフェース（GUI）表示制御部（ファームウエア）；４０２…エンコードパラメータ検出処理部（ファームウエア）；４０４…高速コピー／高速ダビング処理部（ファームウエア）；４０６…レート変換コピー／レート変換ダビング制御部（ファームウエア）；４０８…記録／再生制御部（管理情報処理部）（ファームウエア）；２１０ａ…ＡＡＣＳ処理部；５０…オンスクリーン表示（OSD）部；５２ａ、５２ｂ…モニタ表示例；１００、１０２…情報記憶媒体（光ディスク）；１０４…情報記憶媒体（ハードディスクドライブ）；２００…情報記録再生装置、２１０…制御部、２２０…読出し部、２３０…書込み部。
【特許請求の範囲】
【請求項１】
所定の暗号化方式により暗号鍵を用いて暗号化されたコンテンツあるいはオブジェクトが１以上記録された情報記録媒体から特定のコンテンツを削除する方法であって、
前記コンテンツを削除する際、前記情報記録媒体にそのコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在しない場合は、そのコンテンツ削除と同時にそのコンテンツの暗号化に用いた暗号鍵も削除する情報アクセス管理方法。
【請求項２】
前記コンテンツを前記情報記録媒体とは別のメディアにムーブする際に前記コンテンツの削除が行われる場合は、前記情報記録媒体上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在していても、前記ムーブに伴い前記暗号鍵を削除する請求項１に記載の方法。
【請求項３】
前記コンテンツの削除がこのコンテンツのムーブに伴う削除でない場合、前記情報記録媒体上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在するなら、前記コンテンツを削除しても、前記暗号鍵は削除しない請求項１に記載の方法。
【請求項４】
請求項１ないし請求項３のいずれか１項に記載の情報記録媒体から前記暗号化に関する情報を読み取り、この読み取った暗号化に関する情報から前記暗号鍵に対応する復号鍵を生成し、この生成した復号鍵を用いて前記情報記録媒体から前記暗号化されたコンテンツまたはオブジェクトのデータを復号しつつ再生する方法。
【請求項５】
前記コンテンツを前記情報記録媒体とは別のメディアにムーブする際に前記コンテンツの削除が行われる場合は、前記情報記録媒体上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在することを表示し、それでもなお前記ムーブを行うなら、前記ムーブに伴い前記暗号鍵を削除する請求項１に記載の方法。
【請求項６】
請求項５に記載の方法を実行する装置であって、
前記情報記録媒体に前記暗号鍵を用いてアクセス可能な前記コンテンツあるいは前記オブジェクトを記録しあるいは再生する手段と、
前記情報記録媒体上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在する場合は、その旨の警告を表示する手段とを具備した情報記録再生装置。
【請求項１】
所定の暗号化方式により暗号鍵を用いて暗号化されたコンテンツあるいはオブジェクトが１以上記録された情報記録媒体から特定のコンテンツを削除する方法であって、
前記コンテンツを削除する際、前記情報記録媒体にそのコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在しない場合は、そのコンテンツ削除と同時にそのコンテンツの暗号化に用いた暗号鍵も削除する情報アクセス管理方法。
【請求項２】
前記コンテンツを前記情報記録媒体とは別のメディアにムーブする際に前記コンテンツの削除が行われる場合は、前記情報記録媒体上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在していても、前記ムーブに伴い前記暗号鍵を削除する請求項１に記載の方法。
【請求項３】
前記コンテンツの削除がこのコンテンツのムーブに伴う削除でない場合、前記情報記録媒体上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在するなら、前記コンテンツを削除しても、前記暗号鍵は削除しない請求項１に記載の方法。
【請求項４】
請求項１ないし請求項３のいずれか１項に記載の情報記録媒体から前記暗号化に関する情報を読み取り、この読み取った暗号化に関する情報から前記暗号鍵に対応する復号鍵を生成し、この生成した復号鍵を用いて前記情報記録媒体から前記暗号化されたコンテンツまたはオブジェクトのデータを復号しつつ再生する方法。
【請求項５】
前記コンテンツを前記情報記録媒体とは別のメディアにムーブする際に前記コンテンツの削除が行われる場合は、前記情報記録媒体上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在することを表示し、それでもなお前記ムーブを行うなら、前記ムーブに伴い前記暗号鍵を削除する請求項１に記載の方法。
【請求項６】
請求項５に記載の方法を実行する装置であって、
前記情報記録媒体に前記暗号鍵を用いてアクセス可能な前記コンテンツあるいは前記オブジェクトを記録しあるいは再生する手段と、
前記情報記録媒体上に前記ムーブ対象のコンテンツの暗号鍵と同じ暗号鍵を使って暗号化された別のコンテンツあるいは別のオブジェクトが存在する場合は、その旨の警告を表示する手段とを具備した情報記録再生装置。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図１２】
【図１３】
【図１４】
【図１５】
【図１６】
【公開番号】特開２００７−３３６０６０（Ｐ２００７−３３６０６０Ａ）
【公開日】平成１９年１２月２７日（２００７．１２．２７）
【国際特許分類】
【出願番号】特願２００６−１６３４７２（Ｐ２００６−１６３４７２）
【出願日】平成１８年６月１３日（２００６．６．１３）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
【公開日】平成１９年１２月２７日（２００７．１２．２７）
【国際特許分類】
【出願日】平成１８年６月１３日（２００６．６．１３）
【出願人】（０００００３０７８）株式会社東芝 (54,554)
【Ｆターム（参考）】
[ Back to top ]