特許 6275536 限定受信システム、ならびに、コンテンツ配信装置、コンテンツ受信装置およびそれらのプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】6275536

(24)【登録日】2018年1月19日

(45)【発行日】2018年2月7日

(54)【発明の名称】限定受信システム、ならびに、コンテンツ配信装置、コンテンツ受信装置およびそれらのプログラム

(51)【国際特許分類】

   H04L 9/08 20060101AFI20180129BHJP

【ＦＩ】

   H04L9/00 601B

   H04L9/00 601F

【請求項の数】6

【全頁数】22

(21)【出願番号】特願2014-84774(P2014-84774)

(22)【出願日】2014年4月16日

(65)【公開番号】特開2015-204602(P2015-204602A)

(43)【公開日】2015年11月16日

【審査請求日】2017年2月28日

【権利譲渡・実施許諾】特許権者において、実施許諾の用意がある。

(73)【特許権者】

【識別番号】000004352

【氏名又は名称】日本放送協会

(74)【代理人】

【識別番号】110001807

【氏名又は名称】特許業務法人磯野国際特許商標事務所

(72)【発明者】

【氏名】広中 悠樹

(72)【発明者】

【氏名】大竹 剛

【審査官】 金木 陽一

(56)【参考文献】

【文献】 特開２００８−１１３２０１（ＪＰ，Ａ）

【文献】 特開２０１２−３９２４５（ＪＰ，Ａ）

【文献】 特開２０１３−１０９０４８（ＪＰ，Ａ）

【文献】 米国特許出願公開第２０１３／００８３９２４（ＵＳ，Ａ１）

【文献】 金沢 史明ほか，送信者に認証機能を付加したブロードキャスト暗号とその応用，情報処理学会論文誌，２００７年１１月１５日，Vol. 47, No. 11，pp. 2992-3004

【文献】 大竹 剛ほか，個別メッセージの暗号化機能を有する効率的なブロードキャスト暗号，電子情報通信学会技術研究報告，２０１０年 ６月２４日，Vol. 110, No. 114，pp. 159-166，ISEC2010-31, SITE2010-27, ICSS2010-37

(58)【調査した分野】（Int.Cl.，ＤＢ名）

Ｈ０４Ｌ ９／０８

(57)【特許請求の範囲】

【請求項1】

公開鍵放送型暗号方式における公開情報である、素数ｑを位数とする巡回群Ｇ，Ｇ_ＴがＧ×Ｇ→Ｇ_Ｔとなる双線形写像ｅと、前記巡回群Ｇから選択された生成元Ｐと、当該限定受信システムのユーザ数をＮとし、Ｚ_ｑ^＊から選択された原始元αおよび前記生成元Ｐから計算された公開鍵情報Ｐ_ｉ＝α^ｉＰ（ｉ＝１，２，…，Ｎ，Ｎ＋２，…，２Ｎ）と、Ｚ_ｑから選択された乱数γと前記生成元Ｐの積Ｑと、を参照して、コンテンツ配信装置でコンテンツを暗号化して配信し、限定したコンテンツ受信装置で暗号化されたコンテンツを復号する限定受信システムであって、
前記コンテンツ配信装置は、
Ｚ_ｑから乱数ｔを選択し、前記公開情報から、暗号鍵Ｋを、Ｋ＝ｅ（Ｐ_Ｎ，Ｐ_１）^ｔにより計算して生成する暗号鍵生成手段と、
前記乱数ｔと、前記公開情報と、ユーザ識別子の集合Ｓとから、鍵復元情報Ｈｄｒを、

【数1】

により計算して生成する鍵復元情報生成手段と、
前記暗号鍵生成手段で生成された暗号鍵Ｋにより、前記コンテンツを暗号化した暗号化コンテンツを生成するコンテンツ暗号化手段と、
このコンテンツ暗号化手段で生成された暗号化コンテンツと、前記鍵復元情報生成手段で生成された鍵復元情報とを多重化して配信用の多重化データとする多重化手段と、を備え、
前記コンテンツ受信装置は、
当該コンテンツ受信装置のユーザ識別子をｉとしたとき、前記公開鍵情報の中で前記ユーザ識別子ｉに対応する公開鍵情報である公開鍵Ｐ_ｉと、当該公開鍵Ｐ_ｉとＺ_ｑから選択された乱数γとの積である秘密鍵Ｄ_ｉと、前記素数ｑの原始元αと前記公開鍵情報とから求められる鍵復元個別情報Ｉ_ｉ＝（α^ｉ，Ｐ_{Ｎ＋１−ｉ}）とを予め記憶する鍵情報記憶手段と、
前記コンテンツ配信装置で多重化された多重化データから、前記暗号化コンテンツと前記鍵復元情報とを分離する多重分離手段と、
この多重分離手段で分離された鍵復元情報をＨｄｒ＝（Ｃ_０，Ｃ_１，Ｃ_２）、前記鍵情報記憶手段に記憶されている鍵復元個別情報をＩ_ｉ＝（Ｂ_０，Ｂ_１）としたとき、前記公開鍵Ｐ_ｉ、前記秘密鍵Ｄ_ｉ、前記双線形写像ｅを用いて、前記暗号鍵Ｋを、

【数2】

により計算して復元する鍵復元手段と、
この鍵復元手段で復元された暗号鍵Ｋにより、前記多重分離手段で分離された暗号化コンテンツを復号するコンテンツ復号手段と、
を備えることを特徴とする限定受信システム。

【請求項2】

公開鍵放送型暗号方式における公開情報である、素数ｑを位数とする巡回群Ｇ，Ｇ_ＴがＧ×Ｇ→Ｇ_Ｔとなる双線形写像ｅと、前記巡回群Ｇから選択された生成元Ｐと、当該限定受信システムのユーザ数をＮとし、Ｚ_ｑ^＊から選択された原始元αおよび前記生成元Ｐから計算された公開鍵情報Ｐ_ｉ＝α^ｉＰ（ｉ＝１，２，…，Ｎ，Ｎ＋２，…，２Ｎ）と、Ｚ_ｑから選択された乱数γと前記生成元Ｐの積Ｑと、を参照して、コンテンツ配信装置でコンテンツを暗号化して配信し、限定したコンテンツ受信装置で暗号化されたコンテンツを復号する限定受信システムの前記コンテンツ配信装置であって、
Ｚ_ｑから乱数ｔを選択し、前記公開情報から、暗号鍵Ｋを、Ｋ＝ｅ（Ｐ_Ｎ，Ｐ_１）^ｔにより計算して生成する暗号鍵生成手段と、
前記乱数ｔと、前記公開情報と、ユーザ識別子の集合Ｓとから、鍵復元情報Ｈｄｒを、

【数3】

により計算して生成する鍵復元情報生成手段と、
前記暗号鍵生成手段で生成された暗号鍵Ｋにより、前記コンテンツを暗号化した暗号化コンテンツを生成するコンテンツ暗号化手段と、
このコンテンツ暗号化手段で生成された暗号化コンテンツと、前記鍵復元情報生成手段で生成された鍵復元情報とを多重化して配信用の多重化データとする多重化手段と、
を備えることを特徴とするコンテンツ配信装置。

【請求項3】

前記素数ｑを位数とする巡回群Ｇ，Ｇ_Ｔが、Ｇ×Ｇ→Ｇ_Ｔとなる双線形写像ｅと、前記巡回群Ｇから選択した前記生成元Ｐと、Ｚ_ｑ^＊から選択した前記素数ｑの原始元αと、Ｚ_ｑから選択した乱数γと、を基本情報として生成する基本情報生成手段と、
前記ユーザ数Ｎと、前記基本情報とから、Ｑ＝γＰを計算するとともに、Ｐ_ｉ＝α^ｉＰ（ｉ＝１，２，…，Ｎ，Ｎ＋２，…，２Ｎ）を計算し、（ｅ，Ｐ，Ｐ_１，…，Ｐ_Ｎ，Ｐ_Ｎ＋２，…，Ｐ_２Ｎ，Ｑ）を前記公開情報として生成する公開情報生成手段と、
前記コンテンツ受信装置ごとの秘密情報として、前記乱数γと前記基本情報とから、秘密鍵Ｄ_ｉ＝γＰ_ｉ（ｉ＝１，２，…，Ｎ）を計算するとともに、前記原始元αと前記基本情報とから、前記鍵復元個別情報Ｉ_ｉ＝（α^ｉ，Ｐ_{Ｎ＋１−ｉ}）（ｉ＝１，２，…，Ｎ）を計算する秘密情報生成手段と、
をさらに備えることを特徴とする請求項２に記載のコンテンツ配信装置。

【請求項4】

請求項２に記載のコンテンツ配信装置でコンテンツを暗号化して配信し、限定したコンテンツ受信装置で暗号化されたコンテンツを復号する限定受信システムの前記コンテンツ受信装置であって、
当該コンテンツ受信装置のユーザ識別子をｉとしたとき、前記公開鍵情報の中で前記ユーザ識別子ｉに対応する公開鍵情報である公開鍵Ｐ_ｉと、当該公開鍵Ｐ_ｉと前記乱数γとの積である秘密鍵Ｄ_ｉと、前記素数ｑの原始元αと前記公開鍵情報とから求められる鍵復元個別情報Ｉ_ｉ＝（α^ｉ，Ｐ_{Ｎ＋１−ｉ}）とを予め記憶する鍵情報記憶手段と、
前記コンテンツ配信装置で多重化された多重化データから、前記暗号化コンテンツと前記鍵復元情報とを分離する多重分離手段と、
この多重分離手段で分離された鍵復元情報をＨｄｒ＝（Ｃ_０，Ｃ_１，Ｃ_２）、前記鍵情報記憶手段に記憶されている鍵復元個別情報をＩ_ｉ＝（Ｂ_０，Ｂ_１）としたとき、前記公開鍵Ｐ_ｉ、前記秘密鍵Ｄ_ｉ、前記双線形写像ｅを用いて、前記暗号鍵Ｋを、

【数4】

により計算して復元する鍵復元手段と、
この鍵復元手段で復元された暗号鍵Ｋにより、前記多重分離手段で分離された暗号化コンテンツを復号するコンテンツ復号手段と、
を備えることを特徴とするコンテンツ受信装置。

【請求項5】

コンピュータを、請求項２に記載のコンテンツ配信装置の各手段として機能させるためのコンテンツ配信プログラム。

【請求項6】

コンピュータを、請求項４に記載のコンテンツ受信装置の各手段として機能させるためのコンテンツ受信プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、コンテンツを限定して受信させる限定受信システム、ならびに、コンテンツ配信装置、コンテンツ受信装置およびそれらのプログラムに関する。

【背景技術】

【0002】

現在のデジタル放送は、共通鍵暗号方式によって、コンテンツを特定の受信装置で限定して受信させる限定受信システム（ＣＡＳ：Conditional Access System）を実現している（例えば、非特許文献１参照）。
このように共通鍵暗号方式を用いた場合、放送局（放送事業者）は、例えば、受信装置ごとのＣＡＳカード等に記憶されている膨大な数のマスタ鍵（共通鍵）を秘密情報として厳重に保管、管理する必要がある。そのため、現在の限定受信システムは、鍵管理のコストが大きいという問題がある。
そこで、近年、公開鍵と秘密鍵とを用いて、放送コンテンツを暗号化、復号する公開鍵放送型暗号方式が提案されている（非特許文献２参照）。また、この非特許文献２で開示されている公開鍵放送型暗号方式を用いて限定受信システムを実現した技術も開示されている（非特許文献３、特許文献１参照）。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２０１２−３９２４５号公報

【非特許文献】

【0004】

【非特許文献1】（社）電波産業会、“デジタル放送におけるアクセス制御方式 標準規格 ＡＲＩＢ ＳＴＤ−Ｂ２５ ６．２版”、平成２４年９月２５日

【非特許文献2】D. Boneh, C. Gentry and B. Waters, “Collusion Resistant Broadcast Encryption with Short Ciphertexts and Private Keys”, In Proc. of Crypto 2005, Lecture Notes in Comput. Sci., vol. 3621, pp. 258-275, Springer-Verlag, 2005.

【非特許文献3】大竹剛，花岡悟一郎，小川一人，“個別メッセージの暗号化機能を有する効率的なブロードキャスト暗号”,電子情報通信学会技術研究報告，ICSS，情報通信システムセキュリティ 110(115), 159-166, 2010-06-24

【発明の概要】

【発明が解決しようとする課題】

【0005】

従来の非特許文献１、非特許文献３に示す限定受信システムは、公開鍵暗号方式を用い、鍵管理のコストを低減できる点で共通鍵暗号方式よりも優れている。しかし、従来のシステムには、以下に示す改善すべき点が残されていた。
具体的には、従来の限定受信システムは、受信装置においてコンテンツを復号するための暗号鍵（復号鍵）を、コンテンツを復号可能なすべてのユーザ識別子と公開鍵とを用いて、演算により求める必要がある。
そのため、従来の限定受信システムは、コンテンツを復号可能なすべてのユーザ識別子の集合を、放送波に乗せて、放送局から受信装置に伝送する必要がある。つまり、従来の限定受信システムは、ユーザ数が多くなればなるほど、ユーザ識別子の集合を放送する放送帯域が大きくなってしまうという問題がある。

【0006】

また、従来の限定受信システムは、受信装置において、コンテンツを復号可能なすべてのユーザの公開鍵から、演算によって暗号鍵（復号鍵）を求める必要がある。
そのため、従来の限定受信システムは、受信装置において、ユーザ数が多くなればなるほど、公開鍵を保持するための記憶媒体の容量が大きくなってしまうとともに、それを用いた演算コストも大きくなってしまうという問題がある。

【0007】

本発明は、このような問題に鑑みてなされたもので、公開鍵放送型暗号方式を用いてコンテンツを限定受信させる場合でも、放送帯域の圧迫を抑えるとともに、受信装置において、記憶容量と暗号鍵（復号鍵）の演算コストとを抑えることが可能な限定受信システム、ならびに、コンテンツ配信装置、コンテンツ受信装置およびそれらのプログラムを提供することを課題とする。

【課題を解決するための手段】

【0008】

前記課題を解決するため、本発明に係る限定受信システムは、公開鍵放送型暗号方式における公開情報である、素数ｑを位数とする巡回群Ｇ，Ｇ_ＴがＧ×Ｇ→Ｇ_Ｔとなる双線形写像ｅと、前記巡回群Ｇから選択された生成元Ｐと、当該限定受信システムのユーザ数をＮとし、Ｚ_ｑ^＊から選択された原始元αおよび前記生成元Ｐから計算された公開鍵情報Ｐ_ｉ＝α^ｉＰ（ｉ＝１，２，…，Ｎ，Ｎ＋２，…，２Ｎ）と、Ｚ_ｑから選択された乱数γと前記生成元Ｐの積Ｑと、を参照して、コンテンツ配信装置でコンテンツを暗号化して配信し、限定したコンテンツ受信装置で暗号化されたコンテンツを復号する限定受信システムであって、コンテンツ配信装置が、暗号鍵生成手段と、鍵復元情報生成手段と、コンテンツ暗号化手段と、多重化手段と、を備える構成とし、コンテンツ受信装置が、鍵情報記憶手段と、多重分離手段と、鍵復元手段と、コンテンツ復号手段と、を備える構成とした。

【0009】

かかる構成において、限定受信システムのコンテンツ配信装置は、暗号鍵生成手段によって、Ｚ_ｑから乱数ｔを選択し、公開情報から、暗号鍵Ｋを、Ｋ＝ｅ（Ｐ_Ｎ，Ｐ_１）^ｔにより計算して生成する。なお、Ｚ_ｑは、｛０，…，ｑ−１｝の整数の集合である。
また、コンテンツ配信装置は、鍵復元情報生成手段によって、乱数ｔと、公開情報と、ユーザ識別子の集合Ｓとから、鍵復元情報Ｈｄｒを、

【数1】

により計算して生成する。

【0010】

この鍵復元情報Ｈｄｒには、従来の公開鍵放送型暗号である「Boneh-Gentry-Waters方式」において、コンテンツ受信装置に送信されるヘッダ情報（ｔＰ，ｔ（Ｑ＋Ｕ））に、さらに、予めユーザ識別子の集合から計算される値である復号情報Ｕを含ませている。
そして、コンテンツ配信装置は、コンテンツ暗号化手段によって、暗号鍵生成手段で生成された暗号鍵Ｋにより、コンテンツを暗号化した暗号化コンテンツを生成する。
そして、コンテンツ配信装置は、多重化手段によって、暗号化コンテンツと鍵復元情報とを多重化して配信用の多重化データとする。

【0011】

このように、コンテンツ配信装置が配信する鍵復元情報には、予めユーザ識別子の集合から計算される値である復号情報Ｕを含んでいる。そのため、コンテンツ配信装置は、従来の手法のように、ユーザ識別子の集合をコンテンツ受信装置に配信する必要はなく、放送帯域を圧迫することがない。また、コンテンツ受信装置では、コンテンツ配信装置から、ユーザ識別子の集合を取得する必要がなく、従来に比べ、ユーザ識別子の集合を保持する記憶容量を削減することができる。

【0012】

一方、コンテンツ受信装置は、鍵情報記憶手段に、当該コンテンツ受信装置のユーザ識別子をｉとしたとき、公開情報である公開鍵情報の中でユーザ識別子ｉに対応する公開鍵情報である公開鍵Ｐ_ｉと、当該公開鍵Ｐ_ｉとＺ_ｑから選択された乱数γとの積である秘密鍵Ｄ_ｉと、素数ｑの原始元αと公開情報の公開鍵情報Ｐ_ｉとから求められる鍵復元個別情報Ｉ_ｉ＝（α^ｉ，Ｐ_{Ｎ＋１−ｉ}）とを予め秘密に記憶しておく。

【0013】

このように、鍵情報記憶手段には、暗号鍵を復元するために、従来の手法のように、すべてのユーザの公開鍵を保持する必要はなく、ユーザ識別子ｉに対応する個別の公開鍵のみを保持すればよいため、記憶容量を抑えることができる。
そして、コンテンツ受信装置は、多重分離手段によって、コンテンツ配信装置で多重化された多重化データから、暗号化コンテンツと鍵復元情報とを分離する。
そして、コンテンツ受信装置は、鍵復元情報をＨｄｒ＝（Ｃ_０，Ｃ_１，Ｃ_２）、鍵情報記憶手段に記憶されている鍵復元個別情報をＩ_ｉ＝（Ｂ_０，Ｂ_１）としたとき、鍵復元手段によって、公開鍵Ｐ_ｉ、秘密鍵Ｄ_ｉ、双線形写像ｅを用いて、暗号鍵Ｋを、

【数2】

により計算して復元する。

【発明の効果】

【0014】

本発明は、以下に示す優れた効果を奏するものである。
本発明によれば、コンテンツ配信装置から配信する鍵復元情報が、コンテンツを復元可能なユーザ識別子に対応する公開鍵の合計の値となるため、ユーザ数が増加しても、情報量が多くなることはない。そのため、本発明は、従来に比べて、暗号化コンテンツ以外に配信する情報量を削減することができ、放送帯域の圧迫を防止することができる。
また、本発明は、暗号鍵を復元する際に、従来のように、ユーザ識別子の集合を用いずに、鍵復元情報や鍵復元個別情報といった予め計算された値から、暗号鍵を復元するため、コンテンツ受信装置における計算負荷を抑えることができる。
また、本発明は、従来のように、コンテンツ受信装置において、ユーザ識別子の集合をそのまま記憶しておく必要がなく、鍵復元個別情報の値として記憶しておけばよい。そのため、本発明は、従来に比べて、コンテンツ受信装置における記憶容量を削減することができる。

【図面の簡単な説明】

【0015】

【図1】本発明の第１実施形態に係る限定受信システムの概略構成図である。

【図2】本発明の第１実施形態に係るコンテンツ配信装置の構成を示すブロック構成図である。

【図3】本発明の第１実施形態に係るコンテンツ受信装置の構成を示すブロック構成図である。

【図4】本発明の第１実施形態に係るコンテンツ配信装置の動作を示すフローチャートである。

【図5】図４の動作における公開情報・秘密情報を生成する動作の詳細を示すフローチャートである。

【図6】図４の動作における暗号鍵・鍵復元情報を生成する動作の詳細を示すフローチャートである。

【図7】本発明の第１実施形態に係るコンテンツ受信装置の動作を示すフローチャートである。

【図8】本発明の第２実施形態に係る限定受信システムの概略構成図である。

【図9】本発明の第２実施形態に係る鍵発行装置の構成を示すブロック構成図である。

【図10】本発明の第２実施形態に係るコンテンツ配信装置の構成を示すブロック構成図である。

【発明を実施するための形態】

【0016】

以下、本発明の実施形態について図面を参照して説明する。
≪第１実施形態≫
［限定受信システムの概略］
まず、図１を参照して、本発明の第１実施形態に係る限定受信システム１００の概略について説明する。
図１に示すように、限定受信システム１００は、コンテンツ配信装置１と、コンテンツ受信装置５，５，…と、を備える。

【0017】

限定受信システム１００は、公開鍵放送型暗号方式を用いて、コンテンツ配信装置１から配信されるコンテンツを、限定したコンテンツ受信装置５で受信することを可能としたシステムである。
この限定受信システム１００は、インターネット、専用ＩＰ回線等のネットワークＮｔ、または、放送波Ｗによって、コンテンツ配信装置１からコンテンツ受信装置５へ、コンテンツを配信する。

【0018】

コンテンツ配信装置１は、限定受信させたい映像、音声等のコンテンツを、公開鍵放送型暗号方式で生成した暗号鍵で暗号化して、コンテンツ受信装置５に配信するものである。このコンテンツ配信装置１は、例えば、図１に示すように、放送事業者（放送局）の設備として配置される。

【0019】

コンテンツ受信装置５は、コンテンツ配信装置１から配信されるコンテンツ（暗号化コンテンツ）を、公開鍵放送型暗号方式で生成した復号鍵（暗号鍵と同じもの）で復号し、コンテンツを再生するものである。このコンテンツ受信装置５は、図１に示すように、ユーザの自宅に配置されたテレビ受信機、パーソナルコンピュータ等である。また、コンテンツ受信装置５は、ユーザが所持する携帯端末としてもよい。
以下、限定受信システム１００を構成するコンテンツ配信装置１の構成、コンテンツ受信装置５の構成について順に説明する。

【0020】

［コンテンツ配信装置の構成］
最初に、図２を参照（適宜図１参照）して、コンテンツ配信装置１の構成について説明する。図２に示すように、コンテンツ配信装置１は、鍵発行手段１０と、暗号鍵・鍵復元情報生成手段２０と、暗号化手段３０と、多重化手段４０と、を備える。

【0021】

鍵発行手段１０は、コンテンツを暗号化、復号するための鍵情報を生成するものである。ここでは、鍵発行手段１０は、パラメータ入力手段１１と、基本情報生成手段１２と、公開情報生成手段１３と、秘密情報生成手段１４と、公開情報記憶手段１５と、秘密情報記憶手段１６と、を備える。

【0022】

パラメータ入力手段１１は、セキュリティパラメータと、限定受信システム１００におけるユーザ数とを、外部からパラメータとして入力するものである。
ここで、セキュリティパラメータは、セキュリティのレベルを示す数値（例えば、鍵長）である。より具体的には、セキュリティパラメータは、基本情報生成手段１２で使用される素数位数ｑの大きさ（ビット長）である。
また、ユーザ数は、限定受信システム１００において想定されるユーザの総数である。ここでは、ユーザ数をＮ人とする。
このパラメータ入力手段１１は、入力されたパラメータを、基本情報生成手段１２に出力する。

【0023】

基本情報生成手段１２は、公開情報生成手段１３および秘密情報生成手段１４において、それぞれ、公開情報および秘密情報を生成するために用いる基本情報を生成するものである。
具体的には、基本情報生成手段１２は、パラメータ入力手段１１から入力されたセキュリティパラメータで特定される大きさ（ビット長）の素数ｑを選択し、当該素数ｑを位数（素数位数ｑ）とする巡回群Ｇ，Ｇ_Ｔを選択する。そして、基本情報生成手段１２は、巡回群ＧおよびＧ_ＴがＧ×Ｇ→Ｇ_Ｔとなる双線形写像ｅを選択する。例えば、基本情報生成手段１２は、ｅ：Ｇ×Ｇ→Ｇ_Ｔとなる双線形写像ｅとして、一般的な“Ｗｅｉｌ Ｐａｉｒｉｎｇ”、“Ｔａｔｅ Ｐａｉｒｉｎｇ”等に基づいて楕円曲線のパラメータを選択する。ここで、双線形写像ｅは、２つの引数を持つｅ（・，・）で表される写像である。

【0024】

さらに、基本情報生成手段１２は、巡回群Ｇの中からランダムに１つの生成元Ｐを選択（Ｐ∈Ｇ）する。
また、基本情報生成手段１２は、Ｚ_ｑ^＊から、素数ｑの原始元αを選択する。ここで、Ｚ_ｑ^＊は、｛１，２，…，ｑ−１｝の整数のうちで、ｑとの最大公約数が１（ｑと互いに素）である整数の集合である。また、原始元αは、任意のα∈Ｚ_ｑ^＊に対し、αの位数がｑ−１となる生成元である。
また、基本情報生成手段１２は、Ｚ_ｑから、乱数γを選択する。ここで、Ｚ_ｑは、｛０，…，ｑ−１｝の整数の集合である。

【0025】

この基本情報生成手段１２は、パラメータ入力手段１１から入力されたユーザ数Ｎと、生成した各種の基本情報（ｑ、α、Ｐ、ｅ（・，・）、γ）とを、公開情報生成手段１３および秘密情報生成手段１４に出力する。

【0026】

公開情報生成手段１３は、公開鍵放送型暗号方式におけるコンテンツ受信装置５ごとの公開鍵を含んだ公開情報を生成するものである。
具体的には、公開情報生成手段１３は、以下の式（１）に示すように、基本情報生成手段１２で生成された乱数γと生成元Ｐとを乗算することで、公開情報の一部となるＱを計算する。

【0027】

【数3】

【0028】

さらに、公開情報生成手段１３は、基本情報生成手段１２で生成された原始元αと生成元Ｐと、ユーザ数Ｎとから、以下の式（２）に示す演算によって、公開情報の一部となる公開鍵情報Ｐ_ｉを計算する。

【0029】

【数4】

【0030】

ただし、ｉ＝１，２，…，Ｎ，Ｎ＋２，…，２Ｎである。なお、ここで、公開鍵情報Ｐ_１〜Ｐ_Ｎは、個別のユーザ（コンテンツ受信装置５）に対応するそれぞれの公開鍵となる。
そして、公開情報生成手段１３は、以下の式（３）に示すように、基本情報生成手段１２で生成された素数ｑおよび双線形写像ｅと、さらに生成したＱ、Ｐ_ｉ（ｉ＝１，２，…，Ｎ，Ｎ＋２，…，２Ｎ）とからなる公開情報ＰＫを生成し、公開情報記憶手段１５に記憶する。

【0031】

【数5】

【0032】

秘密情報生成手段１４は、公開鍵放送型暗号方式におけるコンテンツ受信装置５ごとの秘密鍵を含んだ秘密情報を生成するものである。
具体的には、以下の式（４）に示すように、秘密情報生成手段１４は、基本情報生成手段１２で生成された乱数γと、公開情報生成手段１３で生成されたコンテンツ受信装置５（ユーザ）ごとの公開鍵Ｐ_ｉ（ｉ＝１，２，…，Ｎ）とを乗算することで、ユーザごとの秘密鍵Ｄ_ｉを生成する。

【0033】

【数6】

【0034】

なお、秘密鍵Ｄ_ｉは、基本情報生成手段１２で生成された原始元αと、公開鍵の一部であるＱとを用いて、以下の式（５）で計算しても同じ値を得ることができる。

【0035】

【数7】

【0036】

さらに、秘密情報生成手段１４は、秘密鍵以外に、コンテンツ受信装置５において暗号鍵を復元するための情報として、鍵復元個別情報を生成する。
具体的には、秘密情報生成手段１４は、基本情報生成手段１２で生成された原始元αと、公開情報生成手段１３で生成された公開情報ＰＫとから、以下の式（６）により、コンテンツ受信装置５（ユーザ）ごとの鍵復元個別情報Ｉ_ｉ（ｉ＝１，２，…，Ｎ）を生成する。

【0037】

【数8】

【0038】

そして、秘密情報生成手段１４は、生成したコンテンツ受信装置５ごとの秘密情報である秘密鍵Ｄ_ｉ（ｉ＝１，２，…，Ｎ）と、鍵復元個別情報Ｉ_ｉ（ｉ＝１，２，…，Ｎ）とを、秘密情報記憶手段１６に記憶する。

【0039】

公開情報記憶手段１５は、公開情報生成手段１３で生成された公開情報ＰＫ（前記式（３）参照）を記憶するものである。この公開情報記憶手段１５は、一般的な半導体メモリ、ハードディスク等の記憶媒体で構成される。
この公開情報記憶手段１５に記憶される公開情報は、暗号鍵・鍵復元情報生成手段２０によって参照される。

【0040】

秘密情報記憶手段１６は、秘密情報生成手段１４で生成された秘密情報（秘密鍵Ｄ_ｉ、鍵復元個別情報Ｉ_ｉ）（前記式（４），式（６）参照）を記憶するものである。この秘密情報記憶手段１６は、一般的な半導体メモリ、ハードディスク等の記憶媒体で構成される。
なお、公開情報記憶手段１５に記憶されている公開情報、および、秘密情報記憶手段１６に記憶されている秘密情報のうちで、コンテンツ受信装置５ごとに個別の情報は、予めコンテンツ受信装置５のユーザに配布される。

【0041】

具体的には、公開情報のうちの個別のユーザに対応する公開鍵Ｐ_ｉと、秘密情報のうちの個別のユーザに対応する秘密鍵Ｄ_ｉおよび鍵復元個別情報Ｉ_ｉとを、それぞれ対応するユーザに配布する。例えば、コンテンツ配信装置１の操作者は、対タンパ性を有するＩＣカード等のデバイスに、公開鍵Ｐ_ｉと、秘密鍵Ｄ_ｉおよび鍵復元個別情報Ｉ_ｉを書き込んで、ユーザに配布する。あるいは、コンテンツ配信装置１が、図示を省略した送信手段を介して、ネットワークＮｔ経由で、コンテンツ受信装置５に送信することとしてもよい。
なお、公開情報ＰＫのうちで、双線形写像ｅは、個別の公開鍵、秘密鍵および鍵復元個別情報と同様に、ユーザに配布してもよいし、ネットワークＮｔ経由で公開情報を要求された段階で、通知することとしてもよい。

【0042】

暗号鍵・鍵復元情報生成手段２０は、コンテンツを暗号化するための暗号鍵と、鍵発行手段１０で発行される鍵情報（公開鍵、秘密鍵、鍵復元個別情報）以外に、暗号鍵をコンテンツ受信装置５で復元するための情報である鍵復元情報とを生成するものである。
ここでは、暗号鍵・鍵復元情報生成手段２０は、暗号鍵生成手段２１と、ユーザ識別子入力手段２２と、鍵復元情報生成手段２３と、を備える。

【0043】

暗号鍵生成手段２１は、鍵発行手段１０で生成された公開情報ＰＫ（前記式（３）参照）を参照して、コンテンツを暗号化するための暗号鍵を生成するものである。この暗号鍵生成手段２１は、暗号化するコンテンツを配信する前に、予め外部から指示されることで、暗号鍵を生成する。
具体的には、暗号鍵生成手段２１は、公開情報ＰＫとして公開されている素数ｑに基づいて、｛０，…，ｑ−１｝の整数の集合Ｚ_ｑから乱数ｔをランダムに選択する。そして、暗号鍵生成手段２１は、乱数ｔと、公開情報ＰＫとして公開されているＰ_１およびＰ_Ｎと、双線形写像ｅとから、以下の式（７）を計算することで、暗号鍵Ｋを生成する。

【0044】

【数9】

【0045】

この暗号鍵Ｋは、コンテンツ配信装置１において、コンテンツを暗号化し、コンテンツ受信装置５において、コンテンツ（暗号化コンテンツ）を復号するための共通鍵である。
この暗号鍵生成手段２１は、生成した暗号鍵Ｋを、暗号化手段３０に出力する。
また、暗号鍵生成手段２１は、暗号鍵Ｋを生成するために使用した乱数ｔを、鍵復元情報生成手段２３に出力する。

【0046】

ユーザ識別子入力手段２２は、ユーザ識別子の集合を入力するものである。このユーザ識別子の集合には、コンテンツを復号可能なユーザを識別するユーザ識別子が１以上含まれる。すなわち、このユーザ識別子の集合にユーザ識別子が含まれていないユーザは、暗号化コンテンツを復号することができない。
なお、ユーザ識別子とは、各ユーザを一意に識別できるユーザ固有の識別情報であれば、特に限定するものではない。例えば、ユーザ識別子として、コンテンツ受信装置５固有の製造番号を用いることもできる。

【0047】

鍵復元情報生成手段２３は、コンテンツ受信装置５で暗号鍵を復元するための情報である鍵復元情報を生成するものである。
具体的には、鍵復元情報生成手段２３は、暗号鍵生成手段２１で使用したものと同じ乱数ｔと、公開情報ＰＫ（前記式（３）参照）とから、以下の式（８）により、鍵復元情報Ｈｄｒを生成する。

【0048】

【数10】

【0049】

なお、式（８）中、Ｕは、公開情報ＰＫと、ユーザ識別子入力手段２２で入力されたユーザ識別子の集合Ｓとから、以下の式（９）により計算される値（復号情報）である。

【0050】

【数11】

【0051】

この鍵復元情報生成手段２３は、生成した鍵復元情報Ｈｄｒを、多重化手段４０に出力する。
なお、鍵発行手段１０において生成されユーザに配布される公開鍵Ｐ_ｉ、秘密鍵Ｄ_ｉおよび鍵復元個別情報Ｉ_ｉは、それぞれ、ユーザごとに個別の情報であるが、鍵復元情報生成手段２３で生成される鍵復元情報は、コンテンツを復号可能なすべてのユーザに対して共通の情報である。

【0052】

暗号化手段３０は、暗号化対象のコンテンツを入力して暗号化するものである。
ここでは、暗号化手段３０は、コンテンツ入力手段３１と、コンテンツ暗号化手段３２と、を備える。

【0053】

コンテンツ入力手段３１は、外部から暗号化対象のコンテンツを入力するものである。このコンテンツ入力手段３１は、入力したコンテンツをコンテンツ暗号化手段３２に出力する。

【0054】

コンテンツ暗号化手段３２は、コンテンツ入力手段３１から入力されたコンテンツを、暗号鍵・鍵復元情報生成手段２０（暗号鍵生成手段２１）で生成された暗号鍵で暗号化するものである。このコンテンツ暗号化手段３２は、例えば、ＤＥＳ、ＡＥＳ等の共通鍵暗号方式を用いてコンテンツの暗号化を行う。
そして、コンテンツ暗号化手段３２は、暗号化したコンテンツ（暗号化コンテンツ）を、多重化手段４０に出力する。

【0055】

多重化手段４０は、暗号鍵・鍵復元情報生成手段２０（鍵復元情報生成手段２３）で生成された鍵復元情報と、暗号化手段３０（コンテンツ暗号化手段３２）で生成された暗号化コンテンツとを、多重化するものである。
この多重化手段４０は、鍵復元情報と暗号化コンテンツとを、１つの伝送路上（放送波ＷまたはネットワークＮｔ）に多重化して、出力する。
例えば、多重化手段４０は、暗号化コンテンツに、鍵復元情報を定型のヘッダ情報として付加し、１つの多重化データ（ファイル、ストリーム）として合成して出力する。

【0056】

なお、暗号化コンテンツと鍵復元情報とは、必ずしも１つの多重化データとして出力する必要はなく、例えば、コンテンツの名称、配信チャンネル、配信時刻等のコンテンツ固有の情報と対応付けて伝送することとしてもよい。その場合、暗号化コンテンツの伝送に先立って、鍵復元情報を伝送する必要がある。

【0057】

以上説明したように、コンテンツ配信装置１を構成することで、コンテンツ配信装置１は、コンテンツ受信装置５において暗号化コンテンツを復号するための個別の鍵情報を生成するとともに、暗号鍵を復元するための鍵復元情報をコンテンツ受信装置５に配信することができる。

【0058】

［コンテンツ受信装置の構成］
次に、図３を参照（適宜図１参照）して、コンテンツ受信装置５の構成について説明する。図３に示すように、コンテンツ受信装置５は、鍵情報記憶手段５０と、多重分離手段５１と、鍵復元手段５２と、コンテンツ復号手段５３と、を備える。

【0059】

鍵情報記憶手段５０は、コンテンツ配信装置１の鍵発行手段１０（図２参照）において生成されて予め配布される鍵情報を記憶するものである。この鍵情報記憶手段５０は、対タンパ性を有するＩＣカード等のデバイスで構成される。
この鍵情報記憶手段５０には、コンテンツ受信装置５のユーザ識別子に対応したユーザ個別の公開鍵Ｐ_ｉ、秘密鍵Ｄ_ｉおよび鍵復元個別情報Ｉ_ｉが記憶され、鍵復元手段５２によって、参照される。

【0060】

多重分離手段５１は、伝送路（放送波ＷまたはネットワークＮｔ）を介して伝送された多重化データを分離するものである。ここでは、多重分離手段５１は、多重化データから、暗号化コンテンツと、鍵復元情報とを個別に分離抽出する。例えば、暗号化コンテンツに、鍵復元情報を定型のヘッダ情報として付加されて伝送される場合、多重分離手段５１は、定型部分をヘッダ情報として認識し、鍵復元情報と暗号化コンテンツとに分離する。
この多重分離手段５１は、分離した鍵復元情報を鍵復元手段５２に出力し、分離した暗号化コンテンツをコンテンツ復号手段５３に出力する。

【0061】

鍵復元手段５２は、多重分離手段５１で分離された鍵復元情報と、鍵情報記憶手段５０に記憶されている鍵情報（公開鍵Ｐ_ｉ、秘密鍵Ｄ_ｉおよび鍵復元個別情報Ｉ_ｉ）とに基づいて、暗号鍵を復元するものである。
具体的には、鍵復元情報Ｈｄｒ＝（Ｃ_０，Ｃ_１，Ｃ_２）、鍵復元個別情報Ｉ_ｉ＝（Ｂ_０，Ｂ_１）としたとき、鍵復元手段５２は、公開鍵Ｐ_ｉと秘密鍵Ｄ_ｉと双線形写像ｅとにより、以下の式（１０）により、暗号鍵Ｋを復元する。

【0062】

【数12】

【0063】

この式（１０）で使用する双線形写像ｅは、図示を省略しているが、予め鍵情報記憶手段５０に記憶しておく形態であっても構わないし、鍵復元手段５２が、暗号鍵Ｋを復元する際に、ネットワークＮｔ経由で公開情報として取得する形態であっても構わない。
この鍵復元手段５２は、復元した暗号鍵Ｋをコンテンツ復号手段５３に出力する。

【0064】

〔式（１０）の証明〕
ここで、前記式（１０）によって、鍵復元手段５２が、暗号鍵Ｋが復元できることを以下の式（１１）に示す。

【0065】

【数13】

【0066】

この式（１１）中、式（11-1）〜式（11-10）の変形の根拠を以下に示す。
式（11-1）は、鍵復元情報Ｈｄｒ＝（Ｃ_０，Ｃ_１，Ｃ_２）、鍵復元個別情報Ｉ_ｉ＝（Ｂ_０，Ｂ_１）と、前記式（６），式（８），式（９）とに基づいて、Ｂ_０，Ｂ_１，Ｃ_２に式を代入したものである。
式（11-2）は、式（11-1）における中括弧の中をまとめたものである。
式（11-3）は、前記式（２）に基づいて、式（11-2）を変形したものである。すなわち、式（11-2）の総和Σの各項であるα^ｉ（Ｐ_{Ｎ＋１−ｊ}）は、前記式（２）より、α^ｉ（Ｐ_{Ｎ＋１−ｊ}）＝α^ｉ・α^{Ｎ＋１−ｊ}・Ｐ＝α^{Ｎ＋１−ｊ＋ｉ}・Ｐ＝Ｐ_{Ｎ＋１−ｊ＋ｉ}となる。

【0067】

式（11-4）は、鍵復元情報Ｈｄｒ＝（Ｃ_０，Ｃ_１，Ｃ_２）と、前記式（５），式（８），式（９）とに基づいて、Ｃ_０，Ｃ_１，Ｄ_ｉに式を代入したものである。
式（11-5）は、式（11-4）の分子の総和Σにおいて、Ｐ_{Ｎ＋１−ｉ}を分離したものである。
式（11-6）は、双線形写像ｅの性質に基づいて、式（11-5）を変形したものである。なお、ここでは、双線形写像ｅが、ｅ（Ｐ，Ｑ＋Ｒ）＝ｅ（Ｐ，Ｑ）ｅ（Ｐ，Ｒ）という性質を有することを利用している。

【0068】

式（11-7）は、前記式（２）と双線形写像ｅの性質とに基づいて、式（11-6）を変形したものである。なお、ここでは、双線形写像ｅが、ｅ（ａＰ，ｂＱ）＝ｅ（Ｐ，Ｑ）^ａｂという性質を有することを利用している。すなわち、式（11-6）のｅ（Ｐ_ｉ，ｔＰ_{Ｎ＋１−ｉ}）は、前記式（２）より、ｅ（Ｐ_ｉ，ｔＰ_{Ｎ＋１−ｉ}）＝ｅ（α^ｉＰ，ｔα^{Ｎ＋１−ｉ}Ｐ）であることから、ｅ（Ｐ，Ｐ）の（ｔα^Ｎ＋１）乗となる。

【0069】

式（11-8）は、前記式（２）と双線形写像ｅの性質とに基づいて、式（11-7）を変形したものである。なお、ここでは、双線形写像ｅが、ｅ（ａＰ，ｂＱ）＝ｅ（ｂＰ，ａＱ）という性質を有することを利用している。すなわち、式（11-7）の分母を、ｅ（α^ｉ（Ｚ），ｔＰ）と略記したとき、式（11-7）の分母は、ｅ（α^ｉ（Ｚ），ｔＰ）＝ｅ（ｔ（Ｚ），α^ｉＰ）＝ｅ（ｔ（Ｚ），Ｐ_ｉ）と、式（11-8）の分母に変形することができる。
式（11-9）は、式（11-8）を約分するとともに、双線形写像ｅの性質に基づいて、式（11-8）を変形したものである。なお、ここでは、双線形写像ｅが、ｅ（Ｐ，Ｑ）^ａｂ＝ｅ（ａＰ，ｂＱ）という性質を有することを利用している。
式（11-10）は、前記式（２）に基づいて、式（11-9）を変形したものである。
以上の変形で示したとおり、前記式（１０）は、前記式（７）に示すｅ（Ｐ_Ｎ，Ｐ_１）^ｔと一致するため、鍵復元手段５２は、前記式（１０）により、暗号鍵Ｋを復元することができる。

【0070】

図３に戻って、コンテンツ受信装置５の構成について説明を続ける。
コンテンツ復号手段５３は、多重分離手段５１で分離された暗号化コンテンツを、鍵復元手段５２で復元された暗号鍵Ｋで復号するものである。
このコンテンツ復号手段５３は、図２で説明したコンテンツ暗号化手段３２の暗号化に対応した共通鍵暗号方式の復号を行うことで、暗号化コンテンツを、元のコンテンツとして復号する。
この復号されたコンテンツは、図示を省略した表示装置等に出力され、映像、音声として再生される。

【0071】

以上説明したように、コンテンツ受信装置５を構成することで、コンテンツ受信装置５は、コンテンツ配信装置１から配信される暗号化コンテンツを、同じく配信される鍵復元情報と、予め配布されたコンテンツ受信装置５ごとの個別の鍵情報（公開鍵Ｐ_ｉ、秘密鍵Ｄ_ｉおよび鍵復元個別情報Ｉ_ｉ）とを用いて復号することができる。

【0072】

このように、限定受信システム１００は、従来のように、すべてのユーザ識別子の集合を、コンテンツ配信装置１からコンテンツ受信装置５に伝送することなく、前記式（８）に示すように、計算した値のみを伝送すればよいため、伝送に使用する放送帯域の圧迫を抑えることができる。
また、限定受信システム１００は、コンテンツ受信装置５に予め配布する公開鍵が、コンテンツ受信装置５ごとの個別の公開鍵のみであればよいため、従来のように、復号可能なユーザの公開鍵をすべて保持する必要がなく、コンテンツ受信装置５で使用する対タンパデバイスの容量を抑えることができる。

【0073】

［限定受信システムの動作］
次に、図４〜図８を参照して、本発明の第１実施形態に係る限定受信システム１００の動作について説明する。以下、限定受信システム１００を構成するコンテンツ配信装置１の動作、コンテンツ受信装置５の動作について順に説明する。

【0074】

［コンテンツ配信装置の動作］
最初に、図４を参照（構成については適宜図２参照）して、コンテンツ配信装置１の動作について説明する。

【0075】

まず、コンテンツ配信装置１は、鍵発行手段１０（パラメータ入力手段１１）によって、セキュリティパラメータと、限定受信システム１００におけるユーザ数とを入力する（ステップＳ１）。
そして、コンテンツ配信装置１は、鍵発行手段１０によって、公開情報と秘密情報とを生成する（ステップＳ２）。このステップＳ２の鍵発行手段１０における公開情報・秘密情報生成動作については、後で詳細に説明する。

【0076】

そして、コンテンツ配信装置１は、暗号鍵・鍵復元情報生成手段２０（ユーザ識別子入力手段２２）によって、コンテンツを復号可能なユーザを識別するユーザ識別子の集合を入力する（ステップＳ３）。

【0077】

そして、コンテンツ配信装置１は、暗号鍵・鍵復元情報生成手段２０によって、コンテンツを暗号化するための暗号鍵と、その暗号鍵をコンテンツ受信装置５で復元するための情報である鍵復元情報を生成する（ステップＳ４）。このステップＳ４の暗号鍵・鍵復元情報生成手段２０における暗号鍵・鍵復元情報生成動作については、後で詳細に説明する。

【0078】

その後、コンテンツ配信装置１は、コンテンツ入力手段３１によって、暗号化対象のコンテンツを入力する（ステップＳ５）。
そして、コンテンツ配信装置１は、コンテンツ暗号化手段３２によって、入力されたコンテンツを、ステップＳ４で生成された暗号鍵で暗号化する（ステップＳ６）。

【0079】

そして、コンテンツ配信装置１は、多重化手段４０によって、ステップＳ４で生成された鍵復元情報と、ステップＳ６で生成された暗号化コンテンツとを多重化して、伝送路（放送波Ｗ、ネットワークＮｔ）を介して、コンテンツ受信装置５に配信する（ステップＳ７）。

【0080】

〔ステップＳ２の詳細：公開情報・秘密情報生成動作〕
次に、図５を参照（適宜図２参照）して、図４のステップＳ２の動作について詳細に説明する。

【0081】

まず、コンテンツ配信装置１は、基本情報生成手段１２によって、素数ｑと、その素数ｑを位数とする巡回群Ｇ，Ｇ_Ｔを選択する（ステップＳ２０）。また、コンテンツ配信装置１は、基本情報生成手段１２によって、ステップＳ２０で選択された巡回群ＧおよびＧ_Ｔが、Ｇ×Ｇ→Ｇ_Ｔとなる双線形写像ｅを選択する（ステップＳ２１）。

【0082】

そして、コンテンツ配信装置１は、基本情報生成手段１２によって、ステップＳ２１で選択された巡回群Ｇの中からランダムに１つの生成元Ｐを選択する（ステップＳ２２）。
そして、コンテンツ配信装置１は、基本情報生成手段１２によって、Ｚ_ｑ^＊の原始元αを選択する（ステップＳ２３）。
さらに、コンテンツ配信装置１は、基本情報生成手段１２によって、Ｚ_ｑから乱数γをランダムに選択する（ステップＳ２４）。

【0083】

そして、コンテンツ配信装置１は、公開情報生成手段１３によって、ステップＳ２２で選択された生成元Ｐと、ステップＳ２４で選択された乱数γとから、前記式（１）により、公開情報の一部となるＱを計算する（ステップＳ２５）。

【0084】

また、コンテンツ配信装置１は、公開情報生成手段１３によって、ステップＳ２２で選択された生成元Ｐと、ステップＳ２３で選択された原始元αとから、前記式（２）により、公開情報の一部となる公開鍵情報Ｐ_ｉ（ｉ＝１，２，…，Ｎ，Ｎ＋２，…，２Ｎ）を計算する（ステップＳ２６）。ただし、Ｎは、図４のステップＳ１で入力されたユーザ数である。
そして、コンテンツ配信装置１は、公開情報生成手段１３によって、前記式（３）に示す公開情報ＰＫを生成する（ステップＳ２７）。そして、公開情報生成手段１３は、生成した公開情報ＰＫを公開情報記憶手段１５に記憶する。

【0085】

また、コンテンツ配信装置１は、秘密情報生成手段１４によって、ステップＳ２４で選択された乱数γと、ステップＳ２６で生成された公開情報の一部であるＰ_ｉ（ｉ＝１，２，…，Ｎ）とから、前記式（４）により、秘密情報となる秘密鍵Ｄ_ｉ（ｉ＝１，２，…，Ｎ）を生成する（ステップＳ２８）。

【0086】

さらに、コンテンツ配信装置１は、秘密情報生成手段１４によって、ステップＳ２３で選択された原始元αと、ステップＳ２６で生成された公開情報の一部であるＰ_{Ｎ＋１−ｉ}（ｉ＝１，２，…，Ｎ）とから、前記式（６）により、秘密情報となる鍵復元個別情報Ｉ_ｉ（ｉ＝１，２，…，Ｎ）を生成する（ステップＳ２９）。
そして、秘密情報生成手段１４は、生成した秘密鍵Ｄ_ｉおよび鍵復元個別情報Ｉ_ｉ（ｉ＝１，２，…，Ｎ）を秘密情報記憶手段１６に記憶する。

【0087】

〔ステップＳ４の詳細：暗号鍵・鍵復元情報生成動作〕
次に、図６を参照（適宜図２参照）して、図４のステップＳ４の動作について詳細に説明する。

【0088】

まず、コンテンツ配信装置１は、暗号鍵生成手段２１によって、公開情報ＰＫとして公開されている素数ｑに基づいて、｛０，…，ｑ−１｝の整数の集合Ｚ_ｑから乱数ｔをランダムに選択する（ステップＳ４０）。
そして、コンテンツ配信装置１は、暗号鍵生成手段２１によって、ステップＳ４０で選択された乱数ｔと、公開情報ＰＫとして公開されているＰ_１およびＰ_Ｎと、双線形写像ｅとから、前記式（７）により、暗号鍵Ｋを生成する（ステップＳ４１）。

【0089】

また、コンテンツ配信装置１は、鍵復元情報生成手段２３によって、公開情報ＰＫと、図４のステップＳ３で入力された、コンテンツを復号可能なユーザを識別するユーザ識別子の集合Ｓとから、前記式（９）により、復号情報Ｕを生成する（ステップＳ４２）。
そして、コンテンツ配信装置１は、鍵復元情報生成手段２３によって、ステップＳ４０で選択された乱数ｔと、公開情報ＰＫとして公開されているＰ，Ｑと、ステップＳ４２で生成した復号情報Ｕとから、前記式（８）により、鍵復元情報Ｈｄｒを生成する（ステップＳ４３）。

【0090】

［コンテンツ受信装置の動作］
次に、図７を参照（構成については適宜図３参照）して、コンテンツ受信装置５の動作について説明する。なお、鍵情報記憶手段５０には、予め放送事業者から配布されたコンテンツ受信装置５ごとの個別の公開鍵、秘密鍵、鍵復元個別情報が記憶されているものとする。

【0091】

まず、コンテンツ受信装置５は、多重分離手段５１によって、伝送路（放送波Ｗ、ネットワークＮｔ）を介して受信した多重化データから、暗号化コンテンツと、鍵復元情報とを分離する（ステップＳ１００）。

【0092】

そして、コンテンツ受信装置５は、鍵復元手段５２によって、ステップＳ１００で分離された鍵復元情報と、鍵情報記憶手段５０に記憶されている鍵情報とから、暗号鍵を復号する（ステップＳ１０１）。
すなわち、鍵復元手段５２は、分離した鍵復元情報がＨｄｒ＝（Ｃ_０，Ｃ_１，Ｃ_２）であり、鍵情報記憶手段５０に記憶されている鍵復元個別情報がＩ_ｉ＝（Ｂ_０，Ｂ_１）であるとき、鍵情報記憶手段５０に記憶されている公開鍵Ｐ_ｉと秘密鍵Ｄ_ｉと双線形写像ｅとにより、前記式（１０）により、暗号鍵Ｋを復元する。

【0093】

そして、コンテンツ受信装置５は、コンテンツ復号手段５３によって、ステップＳ１００で分離された暗号化コンテンツを、ステップＳ１０１で復元された暗号鍵Ｋで復号する（ステップＳ１０２）。
そして、コンテンツ受信装置５は、コンテンツ復号手段５３によって、復号されたコンテンツを外部に出力する（ステップＳ１０３）。

【0094】

≪第２実施形態≫
［限定受信システムの概略］
次に、図８を参照して、本発明の第２実施形態に係る限定受信システム１００Ｂの概略について説明する。

【0095】

図１で説明した第１実施形態の限定受信システム１００では、公開情報および秘密情報を、コンテンツ配信装置１で生成する形態であった。
しかし、この第２実施形態では、別途、鍵発行装置によって、公開情報および秘密情報を生成し、発行する。

【0096】

図８に示すように、限定受信システム１００Ｂは、コンテンツ配信装置１Ｂと、コンテンツ受信装置５，５，…と、鍵発行装置７と、を備える。
この限定受信システム１００Ｂは、インターネット、専用ＩＰ回線等のネットワークＮｔ、または、放送波Ｗによって、コンテンツ配信装置１Ｂからコンテンツ受信装置５へ、コンテンツを配信する。

【0097】

また、限定受信システム１００Ｂは、ネットワークＮｔに接続された鍵発行装置７によって、公開情報および秘密情報を発行する。この鍵発行装置７は、例えば、図８に示すように、鍵管理センタの設備として配置される。
なお、限定受信システム１００Ｂにおけるコンテンツ受信装置５は、公開情報、秘密情報の配信（配布）元が、鍵発行装置７に代わる以外、第１実施形態と同様であるため、説明を省略する。

【0098】

［鍵発行装置の構成］
ここで、図９を参照して、鍵発行装置７の構成について説明する。
図９に示すように、鍵発行装置７は、パラメータ入力手段１１と、基本情報生成手段１２と、公開情報生成手段１３と、秘密情報生成手段１４と、公開情報記憶手段１５と、秘密情報記憶手段１６と、を備える。

【0099】

すなわち、鍵発行装置７は、図２で説明したコンテンツ配信装置１の鍵発行手段１０を、別途、独立した装置として構成したものであって、鍵発行装置７の各手段は、図２で説明したコンテンツ配信装置１の鍵発行手段１０の各手段と同一である。よって、ここでは、説明を省略する。ただし、公開情報記憶手段１５に記憶される公開情報ＰＫは、コンテンツ配信装置１Ｂに配信（配布）される。

【0100】

［コンテンツ配信装置の構成］
次に、図１０を参照して、コンテンツ配信装置１Ｂの構成について説明する。
図１０に示すように、コンテンツ配信装置１Ｂは、暗号鍵・鍵復元情報生成手段２０Ｂと、暗号化手段３０と、多重化手段４０と、を備える。
なお、暗号化手段３０および多重化手段４０は、図２で説明したコンテンツ配信装置１と同じ構成であるため、同一の符号を付して説明を省略する。

【0101】

暗号鍵・鍵復元情報生成手段２０Ｂは、コンテンツを暗号化するための暗号鍵と、鍵発行装置７で発行される鍵情報（公開鍵、秘密鍵、鍵復元個別情報）以外に、暗号鍵をコンテンツ受信装置５で復元するための情報である鍵復元情報とを生成するものである。
ここでは、暗号鍵・鍵復元情報生成手段２０Ｂは、暗号鍵生成手段２１と、ユーザ識別子入力手段２２と、鍵復元情報生成手段２３と、公開情報記憶手段２４と、を備える。

【0102】

ここで、公開情報記憶手段２４以外の構成は、公開情報ＰＫの参照先が、図２で説明したコンテンツ配信装置１の公開情報記憶手段１５の代わりに、公開情報記憶手段２４となった以外は、図２の暗号鍵・鍵復元情報生成手段２０と同じ構成であるため、同一の符号を付して説明を省略する。

【0103】

公開情報記憶手段２４は、コンテンツ配信装置１Ｂの公開情報生成手段１３で生成された公開情報ＰＫ（前記式（３）参照）を記憶するものである。この公開情報記憶手段２４は、一般的な半導体メモリ、ハードディスク等の記憶媒体で構成される。
この公開情報記憶手段２４は、図示を省略した通信手段によって、ネットワークＮｔを介して、公開情報を取得して記憶するものであってもよいし、外部からオフラインで、公開情報を記憶するものであってもよい。

【0104】

また、限定受信システム１００Ｂの動作は、基本的に、限定受信システム１００（図１参照）の動作と同じである。ただし、図４で説明した動作において、ステップＳ１，Ｓ２が、鍵発行装置７の動作となり、ステップＳ３〜Ｓ７が、コンテンツ配信装置１Ｂの動作となる。

【0105】

以上、第２実施形態に係る限定受信システム１００Ｂについて説明したが、限定受信システム１００Ｂは、第１実施形態に係る限定受信システム１００と同様の効果を奏する。
なお、各実施形態では、コンテンツ配信装置１，１Ｂ、コンテンツ受信装置５、鍵発行装置７を独立した装置として説明したが、各装置は、それぞれ、一般的なコンピュータを、前記した各手段として機能させるためのプログラムによって動作させることができる。

【符号の説明】

【0106】

１００ 限定受信システム
１ コンテンツ配信装置
１０ 鍵発行装置
１１ パラメータ入力手段
１２ 基本情報生成手段
１３ 公開情報生成手段
１４ 秘密情報生成手段
１５ 公開情報記憶手段
１６ 秘密情報記憶手段
２０ 暗号鍵・鍵復元情報生成手段
２１ 暗号鍵生成手段
２２ ユーザ識別子入力手段
２３ 鍵復元情報生成手段
３０ 暗号化手段
３１ コンテンツ入力手段
３２ コンテンツ暗号化手段
４０ 多重化手段
５ コンテンツ受信手段
５０ 鍵情報記憶手段
５１ 多重分離手段
５２ 鍵復元手段
５３ コンテンツ復号手段
７ 鍵発行装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】