JP4689954B2 - 情報管理システムおよび情報管理方法 - Google Patents

Description

本発明は、データを記憶する複数の端末装置と、当該データに関する管理情報を管理する情報管理サーバとをネットワークを介して接続した情報管理システムに関し、特に各端末装置においてデータに対して管理情報に影響を及ぼす処理が実行された場合に、この実行を情報管理サーバで確認する技術に関する。

近年、音楽、映像及びゲームなどのデジタル著作物（以下、「コンテンツ」とも記す。）はインターネットやデジタル放送などの他、パッケージメディアによる流通により容易に取得が可能となってきている。また、これらのデジタル著作物の利用に当たり、著作権保護等の観点から、デジタル著作物の再生回数や移動、複製などを制限するデジタル著作物及びそのデジタル著作物を利用する権利を示すライセンスの権利管理及び利用制御の方式（ＤＲＭ：Ｄｉｇｉｔａｌ Ｒｉｇｈｔｓ Ｍａｎａｇｅｍｅｎｔ）が併せて検討されている。

こうしたデジタル著作物及びそのライセンスを複数の端末間でコピーや移動を行う際、無制限な範囲でのコピーや移動は許されず、ある一定範囲内でのコピーや移動のみが許される。そして、一般的には、同一ユーザや異なるユーザが所有する複数の端末装置間においてのみ、コピーや移動が許されると考えられている。
このような一定範囲内でのコピーや移動を実現するためには、コンテンツのコピーや移動などの処理が相互に可能な端末でグループを形成する必要がある。このようなグループの管理は、グループに属するか否かを判別するために用いられる各グループに固有のグループ情報と、グループに所属する端末装置の一覧を示す端末リスト等とに基づいて行われる。

具体的には、サーバで許可された所定台数（例えば、５台）以内の端末装置でグループを形成する場合、グループへの端末装置の登録の要求があると端末リストに端末装置を登録できるか否か、つまり制限台数に達しているか否か判定し、制限台数に達していなければその端末装置を端末リストに登録し、その端末リストに登録された端末装置にグループに属するか否かを判定するためのグループに固有の情報（グループ情報）をサーバから送信する。一方、端末装置がグループから脱退する場合においては、この端末装置においてグループ情報を削除したとき、グループ情報を削除した旨をサーバに通知させる。削除した旨の通知を受け取った場合、サーバは、当該端末装置を端末リストから削除する。このような処理によって、グループ情報を保持するグループ内の端末装置間だけでデジタル著作物や、そのライセンスに対する処理（移動、コピーなど）を許可するといったことが検討されている。

このようなシステムによれば、簡単な処理で、デジタル著作物やライセンス等のコピーや移動といった処理を許される範囲に制限することが可能となる。
なお、先行技術を調査しましたが、従来技術は存在しませんでした。

しかしながら、上記の情報管理システムでは、端末装置が常に正しい処理を行うとは限らず、端末装置が保持するグループ情報を削除していないにも拘わらず削除したと情報管理サーバに通知するような不正が行われると、グループに属する端末台数に例えば、５台までとか、１０台までとかの制限があるにも拘わらず、制限を超えた台数の端末装置でグループを不正に形成できてしまうといった問題が生じる。

このような問題は、端末装置がグループ情報を保持し、サーバがグループ情報に関する端末リストを管理し、端末装置がグループ情報を削除した場合に、これを端末装置からサーバに通知させる場合に限られず、端末装置が何らかのデータを保持し、サーバで当該データに関する管理情報を管理し、端末装置が当該データに対して管理情報に影響を及ぼす処理を実行した場合にその旨を通知させる情報管理システム一般にいえることである。

そこで、本発明は、上記課題を解決し、端末装置において管理情報に影響を及ぼす処理を実行した場合に、この実行結果をだますような不正を防止した情報管理システムを提供することを目的とする。

上記目的を達成するために、本発明に係る情報管理システムにおいては、データを記憶する複数の端末装置と、前記データに関する管理情報を管理する情報管理サーバとをネットワークを介して接続した情報管理システムであって、前記情報管理サーバは、前記管理情報を記憶するための管理情報記憶手段と、前記各端末装置との間でセキュアな通信路を形成し、当該通信路を介して各端末装置と通信する第１セキュア通信手段とを備え、前記各端末装置は、耐タンパモジュールを備え、前記耐タンパモジュールは、前記データをセキュアに記憶するためのデータ記憶手段と、前記データ記憶手段に記憶されたデータに対して前記管理情報に影響を及ぼす処理をセキュアに実行する実行手段と、前記第１セキュア通信手段との間でセキュアな通信路を形成し、当該通信路を介して前記管理情報に影響を及ぼす処理を実行した旨を示す完了通知を送信する第２セキュア通信手段とを有することを特徴とする。

これにより、端末装置の耐タンパモジュール内において不正が介在する余地が無く、さらにセキュアな通信路を介して完了通知を送信するのでここでも不正が介在する余地が無いため、情報管理サーバは管理情報に影響を及ぼす処理を実行した旨を安全に確認できる。
また、本発明に係る情報管理システムにおいては、前記データは端末装置で形成されたグループに属するか否かを判定するためのグループ情報であり、前記管理情報は前記グループに所属する所定台数以内の端末装置の一覧を示す端末リストであり、前記影響を及ぼす処理はグループ情報の削除であり、前記情報管理サーバは、さらに前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、前記完了通知を送信した端末装置を、前記管理情報記憶手段に記憶されている端末リストから削除する更新手段を備えることを特徴とすることができる。

これにより、グループ情報が削除されたことをセキュアに確認でき、制限台数以上の端末装置でグループを不正に形成することを確実に防止することができる。
また、本発明に係る情報管理システムにおいては、前記情報管理サーバは、共通管理サーバ部と、複数の個別管理サーバ部と、端末リスト管理装置部とを有し、前記各端末装置は、さらに前記共通管理サーバ部と通信する第１通信手段を備え、前記共通管理サーバ部は、前記グループ情報をこれから削除をする旨を示す予告通知を送信した端末装置に、前記完了通知の送信先とすべき個別管理サーバ部の宛先を通知する第２通信手段を備え、前記各個別管理サーバ部は、前記第１セキュア通信手段と、前記完了通知を受信したか否かを示す第１仮削除フラグの一覧であって、前記端末リストと対応付けられた仮削除フラグリストを記憶するための第１仮削除フラグリスト記憶手段と、前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、当該完了通知を送信した端末装置に対応する前記第１仮削除フラグをセットする第１仮削除フラグ設定手段とを備え、前記端末リスト管理装置部は、前記管理情報記憶手段と、前記更新手段と、前記第１仮削除フラグリストに含まれる所定の第１仮削除フラグのセットを任意のタイミングで確認するフラグ確認手段とを備え、前記更新手段は、前記フラグ確認手段による第１仮削除フラグのセットの確認に基づいて、当該第１仮削除フラグに対応する端末装置を前記端末リストから削除することを特徴としてもよい。

これにより、完了通知の集中による負荷を分散させつつ、グループ情報が削除されたことをセキュアに確認でき、制限台数以上の端末装置でグループを不正に形成することを確実に防止することができる。

また、本発明に係る情報管理システムにおいては、前記共通管理サーバ部は、さらに前記予告通知を受信したか否かを示す第２仮削除フラグの一覧であって、前記端末リストと対応付けられた第２仮削除フラグリストを記憶するための第２仮削除フラグリスト記憶手段と、前記第２通信手段を介して前記予告通知を受信した場合に、当該予告通知を送信した端末装置に対応する前記第２仮削除フラグをセットする第２仮削除フラグ設定手段とを備え、前記フラグ確認手段は、前記第２仮削除フラグリストの所定の端末装置に対応する第２仮削除フラグと、前記第１仮削除フラグリストの当該所定の端末装置に対応する第１仮削除フラグとを順次サーチし、前記更新手段は、前記フラグ確認手段が第２仮削除フラグのセットと、第１仮削除フラグのセットとを確認した場合に、第１仮削除フラグ及び第２仮削除フラグに対応する端末装置を前記端末リストから削除することを特徴としてもよい。
これにより、完了通知の確認精度を大幅に向上させることができる。

また、本発明に係る情報管理システムにおいては、前記情報管理サーバは、共通管理サーバ部と、複数の個別管理サーバ部とを有し、前記各端末装置は、さらに前記共通管理サーバ部と通信する第１通信手段を備え、前記共通管理サーバ部は、前記グループ情報をこれから削除をする旨を示す予告通知を送信した端末装置に、前記完了通知の送信先とすべき個別管理サーバ部の宛先を通知する第２通信手段と、端末リスト管理装置部とを備え、前記各個別管理サーバ部は、前記第１セキュア通信手段と、前記完了通知を受信したか否かを示す第１仮削除フラグの一覧であって、前記端末リストと対応付けられた仮削除フラグリストを記憶するための第１仮削除フラグリスト記憶手段と、前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、当該完了通知を送信した端末装置に対応する前記第１仮削除フラグをセットする第１仮削除フラグ設定手段とを備え、前記端末リスト管理装置部は、前記管理情報記憶手段と、前記更新手段と、前記第１仮削除フラグリストに含まれる所定の第１仮削除フラグのセットを任意のタイミングで確認するフラグ確認手段とを備え、前記更新手段は、前記フラグ確認手段による第１仮削除フラグのセットの確認に基づいて、当該第１仮削除フラグに対応する端末装置を前記端末リストから削除することを特徴とすることができる。

これにより、完了通知の集中による負荷を分散させつつ、グループ情報が削除されたことをセキュアに確認でき、制限台数以上の端末装置でグループを不正に形成することを確実に防止することができるだけでなく、共通管理サーバ部と、端末リスト管理装置部とを１つの装置まとめ、この装置を簡素化することができる。

また、本発明に係る情報管理システムにおいては、前記端末リストは、前記グループに所属する端末装置に対応し、前記予告通知を受信したか否かを示す第２仮削除フラグのカラムを含み、前記共通管理サーバ部は、さらに前記第２通信手段を介して前記予告通知を受信した場合に、当該予告通知を送信した端末装置に対応する前記第２仮削除フラグをセットする第２仮削除フラグ設定手段を備え、前記フラグ確認手段は、前記端末リストの所定の端末装置に対応する第２仮削除フラグと、前記第１仮削除フラグリストの当該所定の端末装置に対応する第１仮削除フラグとを順次サーチし、前記更新手段は、前記フラグ確認手段が第２仮削除フラグのセットと、第１仮削除フラグのセットとを確認した場合に、第１仮削除フラグ及び第２仮削除フラグに対応する端末装置を前記端末リストから削除することを特徴としてもよい。
これにより、完了通知の確認精度を大幅に向上させることができるだけでなく、リストの種類が減るので、リスト管理の負荷を減らすことができる。

また、本発明に係る情報管理システムにおいては、前記情報管理サーバは、さらに前記グループ情報を記憶するためのグループ情報記憶手段と、前記各端末装置から前記端末リストに当該端末装置を登録するための端末登録要求を受信した場合に、端末登録要求をした端末装置を前記端末リストに登録することができるか否かを判定する登録可否判定手段と、前記登録可否判定手段が登録可と判定した場合に、前記グループ情報記憶手段に記憶された前記グループ情報を読み出すグループ情報読出手段とを備え、前記耐タンパモジュールは、さらに前記グループ情報読出手段が読み出した前記グループ情報を前記第２セキュア通信手段を介して受信した場合に、受信したグループ情報を前記データ記憶手段に格納するグループ情報格納手段を備え、前記更新手段は、前記登録可否判定手段が登録可と判定した場合に、前記端末登録要求を送信した端末装置を前記端末リストに登録することを特徴とすることができる。
これにより、不正な行為によってグループに加わるような事態を確実に防止することができる。

また、本発明に係る情報管理システムにおいては、前記情報管理サーバは、共通管理サーバ部と、複数の個別管理サーバ部と、端末リスト管理装置部とを有し、前記各端末装置は、さらに前記共通管理サーバ部と通信する第１通信手段を備え、前記共通管理サーバ部は、前記各端末装置から前記端末登録要求を受信した場合に、当該端末登録要求を送信した端末装置に、前記グループ情報を取得するための取得要求の送信先とすべき個別管理サーバ部の宛先を通知するための第２通信手段を備え、前記各個別管理サーバ部は、前記第１セキュア通信手段と、前記グループ情報記憶手段と、前記グループ情報読出手段とを備え、前記端末リスト管理装置部は、前記管理情報記憶手段と、前記更新手段と、前記登録可否判断手段とを備え、前記登録可否判断手段は、前記第１通信手段を介して前記端末登録要求を受信した場合に端末登録要求を受信した端末装置を前記端末リストに登録することができるか否かを判定し、前記第２通信手段は、前記登録可否判断手段が登録可と判定した場合に、前記取得要求の宛先を通知し、前記第１セキュア通信手段は、前記グループ情報を取得するための取得要求を受信した場合に、前記グループ情報読出手段が読み出したグループ情報を取得要求を送信した端末装置に送信することを特徴とすることもできる。
これにより、グループ登録への可否判断を確実にしつつ、登録要求の集中による負荷を分散させることができる。

また、本発明に係る情報管理システムにおいては、前記各個別管理サーバ部は、さらに前記グループ情報を削除した旨を受信したか否かを示す第１仮削除フラグの一覧であって、前記端末リストと対応付けられた仮削除フラグリストを記憶するための第１仮削除フラグリスト記憶手段と、前記第１セキュア通信手段を介して前記グループ情報を削除した旨を示す完了通知を受信した場合に、当該完了通知を送信した端末装置に対応する前記第１仮削除フラグをセットする第１仮削除フラグ設定手段とを備え、前記端末リスト管理装置部は、さらに前記第１仮削除フラグリストに含まれる所定の第１仮削除フラグを前記端末登録要求を受信したタイミングで確認するフラグ確認手段とを備え、前記第２通信手段は、前記予告通知を前記各端末装置から受信した場合に、当該予告通知を送信した端末装置に、前記完了通知の送信先とすべき個別管理サーバ部の宛先を通知し、前記更新手段は、第１仮削除フラグのセットの前記フラグ確認手段による確認に基づいて、当該第１仮削除フラグに対応する端末装置を前記登録可否判定手段の判定前に前記端末リストから削除することを特徴としてもよい。

これにより、完了通知や登録要求の集中による負荷を分散させつつ、グループ情報が削除されたことをセキュアに確認でき、制限台数以上の端末装置でグループを不正に形成することを確実に防止することができるだけでなく、同じグループでの端末削除と端末登録とをスムーズに行うことができる。

また、本発明に係る情報管理システムにおいては、前記共通管理サーバ部は、さらに前記予告通知を受信したか否かを示す第２仮削除フラグの一覧であって、前記端末リストと対応付けられた第２仮削除フラグリストを記憶するための第２仮削除フラグリスト記憶手段と、前記第２通信手段を介して前記予告通知を受信した場合に、当該予告通知を送信した端末装置に対応する前記第２仮削除フラグをセットする第２仮削除フラグ設定手段とを備え、前記フラグ確認手段は、前記第２仮削除フラグリストの所定の端末装置に対応する所定の端末装置に対応する第２仮削除フラグと、前記第１仮削除フラグリストの当該所定の端末装置に対応する第１仮削除フラグを順次サーチし、前記更新手段は、第２仮削除フラグのセットと、第１仮削除フラグのセットとを前記フラグ確認手段が確認した場合に、第１仮削除フラグ及び第２仮削除フラグに対応する端末装置を前記登録可否判定手段の判定前に前記端末リストから削除することを特徴としてもよい。
これによって、完了通知の確認精度を大幅に向上させることができる。

また、本発明に係る情報管理システムにおいては、前記情報管理サーバは、共通管理サーバ部と、複数の個別管理サーバ部とを有し、前記各端末装置は、さらに前記共通管理サーバ部と通信する第１通信手段を備え、前記共通管理サーバ部は、前記各端末装置から前記端末登録要求を受信した場合に、当該端末登録要求を送信した端末装置に、前記グループ情報を取得するための取得要求の送信先とすべき個別管理サーバ部の宛先を通知するための第２通信手段と、端末リスト管理装置部とを備え、前記各個別管理サーバ部は、前記第１セキュア通信手段と、前記グループ情報記憶手段と、前記グループ情報読出手段とを備え、前記端末リスト管理装置部は、前記管理情報記憶手段と、前記更新手段と、前記登録可否判断手段とを備え、前記登録可否判断手段は、前記第１通信手段を介して前記端末登録要求を受信した場合に、端末登録要求を受信した端末装置を前記端末リストに登録することができるか否かを判定し、前記第２通信手段は、前記登録可否判断手段が登録可と判定した場合に、前記取得要求の宛先を通知し、前記第１セキュア通信手段は、前記取得要求を受信した場合に、前記グループ情報読出手段が読み出したグループ情報を取得要求を送信した端末装置に送信することを特徴とすることができる。

これにより、グループ登録への可否判断を確実にしつつ、登録要求の集中による負荷を分散させることができるだけでなく、共通管理サーバ部と、端末リスト管理装置部とを１つの装置まとめ、この装置を簡素化することができる。

また、本発明に係る情報管理システムにおいては、前記各個別管理サーバ部は、さらに前記グループ情報を削除した旨を受信したか否かを示す第１仮削除フラグの一覧であって、前記端末リストと対応付けられた仮削除フラグリストを記憶するための第１仮削除フラグリスト記憶手段と、前記第１セキュア通信手段を介して前記グループ情報を削除した旨を示す完了通知を受信した場合に、当該完了通知を送信した端末装置に対応する前記第１仮削除フラグをセットする第１仮削除フラグ設定手段とを備え、前記端末リスト管理装置部は、さらに前記第１仮削除フラグリストに含まれる所定の第１仮削除フラグを前記端末登録要求を受信したタイミングで確認するフラグ確認手段を備え、前記第２通信手段は、前記予告通知を前記各端末装置から受信した場合に、当該予告通知を送信した端末装置に、前記完了通知の送信先とすべき個別管理サーバ部の宛先を通知し、前記更新手段は、第１仮削除フラグのセットの前記フラグ確認手段による確認に基づいて、当該第１仮削除フラグに対応する端末装置を前記登録可否判定手段の判定前に前記端末リストから削除することを特徴としてもよい。

これにより、完了通知や登録要求の集中による負荷を分散させつつ、グループ情報が削除されたことをセキュアに確認でき、制限台数以上の端末装置でグループを不正に形成することを確実に防止することができるだけでなく、同じグループでの端末削除と端末登録とをスムーズに行うことができる。

また、本発明に係る情報管理システムにおいては、前記端末リストは、前記グループに所属する端末装置に対応し、前記予告通知を受信したか否かを示す第２仮削除フラグのカラムを含み、前記共通管理サーバ部は、さらに前記第２通信手段を介して前記予告通知を受信した場合に、当該予告通知を送信した端末装置に対応する前記第２仮削除フラグをセットする第２仮削除フラグ設定手段を備え、前記フラグ確認手段は、前記第２仮削除フラグリストの所定の端末装置に対応する所定の端末装置に対応する第２仮削除フラグと、前記第１仮削除フラグリストの当該所定の端末装置に対応する第１仮削除フラグを順次サーチし、前記更新手段は、第２仮削除フラグのセットと、第１仮削除フラグのセットとを前記フラグ確認手段が確認した場合に、第１仮削除フラグ及び第２仮削除フラグに対応する端末装置を前記登録可否判定手段の判定前に前記端末リストから削除することを特徴とすることもできる。
これによって、完了通知の確認精度を大幅に向上させることができるだけでなく、リストの種類が減るので、リスト管理の負荷を減らすことができる。

また、本発明に係る情報管理システムにおいては、前記データは端末装置で形成されたグループに属するか否かを判定するためのグループ情報であり、前記管理情報は前記グループに所属する所定台数以内の端末装置の一覧を示す端末リストであり、前記影響を及ぼす処理は前記端末装置間におけるグループ情報の移動であることを特徴とすることもできる。

また、本発明に係る情報管理システムにおいては、前記データはデジタル著作物のライセンスであり、前記管理情報は前記ライセンスの利用履歴であり、前記影響を及ぼす処理は前記ライセンスの利用であることを特徴とすることもできる。
また、本発明に係る情報管理システムにおいては、前記データはデジタル著作物のライセンスであり、前記管理情報は前記端末装置が保持することができるライセンス数であり、前記影響を及ぼす処理は前記ライセンスの削除であることを特徴とすることもできる。

また、本発明に係る情報管理システムにおいては、前記データはデジタル著作物であり、前記管理情報は前記デジタル著作物の流通範囲数であり、前記影響を及ぼす処理は前記デジタル著作物の移動であることを特徴とすることもできる。
なお、本発明は、このような情報管理システムとして実現することができるだけでなく、このような情報管理システムを構成する端末装置や、情報管理サーバとして実現したり、この端末装置や、情報管理サーバが備える特徴的な手段をステップとする情報管理方法として実現したり、それらのステップをコンピュータに実行させるプログラムとして実現したりすることもできる。そして、そのようなプログラムは、ＣＤ−ＲＯＭ等の記録媒体やインターネット等の伝送媒体を介して配信することができるのは言うまでもない。

以上の説明から明らかなように、本発明に係る情報管理システムによれば、端末装置の耐タンパモジュール内において不正が介在する余地が無く、さらにセキュアな通信路を介して完了通知を送信するのでここでも不正が介在する余地が無いため、情報管理サーバは端末装置で行われた管理情報に影響を及ぼす処理を実行した旨をより安全でかつ確実に確認できる。

よって、本発明により、端末装置で行われた管理情報に影響を及ぼす処理の透明化が可能となり、インターネット等によるデジタル著作物のネット配信やＤＶＤ等の記録媒体を介したデジタル著作物の流通が活発になってきた今日において、本願発明の実用的価値は極めて高い。

以下、本発明の実施の形態について、セキュアに処理する必要のあるデータがグループ情報、当該データに関する管理情報が端末リストである場合に適用した場合を、図面を用いて詳細に説明する。

（実施の形態１）
図１は、本実施の形態１に係るグループ情報管理システムの全体構成を示す図である。
グループ情報管理システム１は、グループに登録された所定台数（例えば、５台）以内の端末装置間で、音楽などのデジタル著作物（以下、「コンテンツ」とも記す。）や、デジタル著作物を利用する権利を示すライセンスをコピーしたり、移動したり、その移動先でコンテンツを再生したりできるようにするためのシステムであり、図１に示されるように、インターネット等のネットワーク１０に接続されるグループ管理サーバ２０と、ネットワーク１０に接続される複数の端末装置６０ａ〜６０ｎとから構成される。

グループ管理サーバ２０は、グループに属するか否かを判定するためのグループ毎の固有の情報であるグループ情報２８１と、各グループに所属する端末装置の一覧を示す各グループ毎のグループ所属端末リスト２５１とを保持するコンピュータ装置である。そして、グループ管理サーバ２０は、グループから脱退する端末装置（図示例では端末装置６０ｍ）からその端末装置が保持するグループ情報を確実に削除したことを知らせるための削除完了通知メッセージＭ３を受信した場合に、この端末装置をグループ所属端末リスト２５１から削除する。また、グループ管理サーバ２０は、グループに加入する端末装置（図示例では、端末装置６０ｎ）から端末登録要求メッセージＭ１を受信すると、この端末装置のグループ所属端末リスト２５１への登録の可否を判断する。つまり、制限台数に到達しているか否か判断する。グループ所属端末リスト２５１に登録可能であれば、グループ情報２８１を含むグループ情報通知メッセージＭ２を端末装置に送信するとともに、グループ所属端末リスト２５１に、この端末装置を登録する。

各端末装置６０ａ〜６０ｎは、グループに属している間だけグループ情報を保持し、このグループに属する端末装置間でデジタル著作物やこのライセンスのコピーや移動の処理を行うコンピュータ装置であり、グループから脱退する際にグループ情報を削除してから削除完了通知メッセージＭ３をグループ管理サーバ２０に送信し、グループに加入する際に端末登録要求メッセージＭ１をグループ管理サーバ２０に送信し、グループ管理サーバ２０から受信したグループ情報通知メッセージＭ２に含まれるグループ情報を保持する。

なお、このグループ情報管理システム１においては、デジタル著作物及びライセンスのコピーや移動といった処理を端末装置間で行う際に、グループ情報に含まれるグループ鍵の一致判定を行い、一致する場合に、端末装置間でのコピーや移動といった処理を許可するように構成されている。したがって、グループから脱退した端末装置については、グループ情報を削除しているので、デジタル著作物及びライセンスのコピーや移動といった処理をすることができないことになる。

また、デジタル著作物及びライセンスを予め暗号化し、グループ情報に含まれるこのグループに固有の鍵であるグループ鍵で、暗号化されたデジタル著作物及びライセンスを復号化するように構成してもよい。この構成によれば、グループから脱退した端末装置（図示例では端末装置６０ｍ）については、グループ情報を削除しているので、暗号化されたデジタル著作物及びライセンスを保持していても、これを利用することができないことになる。

図２は、図１に示されるグループ管理サーバ２０及び端末装置６０ａ〜６０ｎの機能構成を示すブロック図である。なお、この図２においてはネットワーク１０の図示が省略されている。また、端末装置６０ａ〜６０ｎの構成が同じであるので、これらの一般を指す端末装置６０として図示されている。
グループ管理サーバ２０は、セキュア通信部２１と、登録可否判定部２２と、グループ識別子格納部２３と、端末リスト生成部２４ａと、グループ所属端末リスト格納部２５と、端末リスト更新部２４ｂと、グループ鍵格納部２６と、グループ情報生成部２７と、グループ情報格納部２８と、グループ情報読出部２９等とから構成される。

セキュア通信部２１は、端末装置６０との間で認証付き安全な通信路（Ｓｅｃｕｒｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｈａｎｎｅｌ、以下「ＳＡＣ」とも記す。）を形成し、端末登録要求メッセージＭ１、グループ情報通知メッセージＭ２、削除完了通知メッセージＭ３等の種々のメッセージをセキュアに送受信する。
登録可否判定部２２は、セキュア通信部２１を介して、端末装置６０から端末登録要求メッセージＭ１を受信した場合にグループ所属端末リスト２５１への登録の可否の判定等を行う。

グループ識別子格納部２３は、既に形成されたグループに未利用のグループ識別子２３１を複数格納する。
端末リスト生成部２４ａは、登録可否判定部２２が端末登録要求メッセージＭ１を送信した端末装置６０が未だグループを形成していないと判定した場合に、そのグループに所属する端末装置の一覧を示すグループ所属端末リスト２５１を、未利用のグループ識別子を用いて、グループ毎に生成する。

グループ所属端末リスト格納部２５は、端末リスト生成部２４ａが生成したグループ所属端末リスト２５１を格納する。
端末リスト更新部２４ｂは、登録可否判定部２２が端末登録要求メッセージＭ１を送信した端末装置をグループ所属端末リスト２５１に格納できると判断した場合に、この端末装置をグループ所属端末リスト２５１に設定登録したり、追加する更新をしたり、削除完了通知メッセージＭ３を送信した端末装置をグループ所属端末リスト２５１から削除する更新をしたりする。

ここで、グループ所属端末リスト２５１は、図３に示されるように、グループ識別子（例えば、「０ｘＦ００１」）２５１１と、端末識別子を複数（図示例では５つ）一覧状に格納する端末リスト２５１２とから構成されている。なお、図中に示される「−」は、空欄すなわち端末をグループに登録することができることを表している。
グループ鍵格納部２６は、端末装置間におけるコンテンツやライセンスの移動時に必要となるグループ鍵２６１を格納する。

グループ情報生成部２７は、登録可否判定部２２が端末登録要求メッセージＭ１を送信した端末装置６０が未だグループを形成していないと判定した場合に、グループ鍵２６１を用いてグループ情報を生成する。
グループ情報格納部２８は、グループ情報生成部２７によって生成されたグループ情報を格納する。

グループ情報読出部２９は、登録可否判定部２２が端末登録要求メッセージＭ１を送信した端末装置をグループ所属端末リスト２５１に格納できると判断した場合に、グループ情報を読み出す。
ここで、グループ情報２８１は、図４に示されるように、グループ識別子２８１１と、グループ鍵（例えば、「○×△…□」）２８１２とから構成される。

端末装置６０は、操作部６１と、グラフィカル・ユーザー・インタフェース（以下、「ＧＵＩ」とも記す。）６２と、端末アプリケーション６３と、耐タンパモジュール６８等とから構成される。耐タンパモジュール６８は、ＩＣカードやＩＣチップ等で構成され、セキュア通信部６４と、グループ情報格納部６５と、登録部６６と、削除部６７とを備える。

操作部６１は、ユーザによる操作を受け付ける。
ＧＵＩ６２は、視覚に訴えたグラフィック表示（アイコン）で、ユーザにとって簡潔で理解しやすい環境を提供する。
端末アプリケーション６３は、ユーザからのグループへの端末登録やグループからの削除等の指示に基づいて、セキュア通信部６４に対して端末登録要求メッセージＭ１や削除完了通知メッセージＭ３の作成の指示や、登録部６６に対してグループ情報をグループ情報格納部６５に登録させる指示や、削除部６７に対してグループ情報格納部６５に格納されているグループ情報２８１を削除させるための指示を行う。

セキュア通信部６４は、グループ管理サーバ２０との間でＳＡＣを形成し、端末登録要求メッセージＭ１、グループ情報通知メッセージＭ２、削除完了通知メッセージＭ３等の種々のメッセージをセキュアに送受信する。
グループ情報格納部６５は、グループ情報を格納する。
登録部６６は、セキュア通信部６４を介してグループ管理サーバ２０から送られてきたグループ情報通知メッセージＭ２に含まれるグループ情報をグループ情報格納部６５に登録する。

削除部６７は、グループ情報格納部６５に登録されたグループ情報を削除する。
ここで、端末登録要求メッセージＭ１は、図５に示されるように、メッセージヘッダｍ１１（例えば、「△○×…□」）と、グループ識別子ｍ１２と、端末識別子ｍ１３とから構成される。なお、グループ識別子ｍ１２には、グループ管理サーバ２０が選択して送られてきたグループ識別子や、ユーザが入力したグループ識別子が格納される。ここで、グループ識別子は、サービスへの会員登録時にグループ管理サーバ２０から取得する、あるいは、既に当該ドメインに所属している端末から取得する。取得したグループ識別子は、端末装置が保持したり、ユーザが記憶するなどし、前者の場合、端末登録要求メッセージＭ１に自動的に設定し、後者の場合、ユーザ入力に基づき設定する。

また、グループ情報通知メッセージＭ２は、図６に示されるように、メッセージヘッダｍ２１と、グループ情報ｍ２２とから構成される。
さらに、削除完了通知メッセージＭ３は、図７に示されるように、メッセージヘッダｍ３１と、グループ識別子ｍ３２と、端末識別子ｍ３３と、グループ情報ｍ３４とから構成される。

なお、図５〜図７に示されるメッセージヘッダｍ１１〜ｍ３１は、メッセージＭ１〜Ｍ３の送信元、送信先のアドレスや、メッセージを識別するためのメッセージ識別子等から構成される。

次いで、グループ管理サーバ２０と端末装置６０との間で行われる処理の動作を説明する。
図８は、グループ管理サーバ２０と端末装置６０との間で行われる処理を示すシーケンス図である。なお、耐タンパモジュール６８内で行われる処理をセキュアプロセスと記す。
端末アプリケーション６３から端末登録の指示があると（Ｓ１１）、セキュア通信部６４は、端末登録要求メッセージＭ１をグループ管理サーバ２０に送信する（Ｓ１２）。

端末登録要求メッセージＭ１をセキュア通信部２１を介して受信した登録可否判定部２２は、グループ所属端末リスト格納部２５をサーチし、端末登録要求メッセージＭ１に含まれるグループ識別子を有するグループ所属端末リストの有無を判断する（Ｓ１３）。無ければ、端末リスト生成部２４ａは、グループ所属端末リストを生成し（Ｓ１４）、生成したグループ所属端末リストをグループ所属端末リスト格納部２５に格納し、グループ情報生成部２７は、グループ情報を生成し（Ｓ１５）、生成したグループ情報をグループ情報格納部２８に格納する。端末リスト及びグループ情報を生成した場合（Ｓ１４，Ｓ１５）、あるいはステップＳ１３において端末リストがあった場合、登録可否判定部２２はグループ所属端末リストへの端末の登録の可否を判定する（Ｓ１６）。この判断は、グループ所属端末リストに登録されている端末の台数が制限された台数に達しているか否かで行われる。制限に達している場合、端末の登録を行わず、端末登録要求に対する処理を終了する。制限に達していない場合、グループ所属端末リストに端末を登録し（Ｓ１７）、端末装置６０にグループ情報通知メッセージＭ２を送信する（Ｓ１８）。

セキュア通信部６４を介してグループ情報通知メッセージＭ２を受信した登録部６６は、グループ情報通知メッセージＭ２に含まれるグループ情報をグループ情報格納部６５に格納する（Ｓ１９）。
これによって、端末装置６０は、グループに所属する他の端末装置との間でデジタル著作物及びそのライセンスをコピーしたり移動したりといった処理を行うことができる。

一方、端末アプリケーション６３から端末削除の指示があると（Ｓ２１）、削除部６７は、グループ情報格納部６５に格納されているグループ情報をセキュアに削除する（Ｓ２２）。グループ情報のセキュアな削除が終わると、セキュア通信部６４は、削除完了通知メッセージＭ３をグループ管理サーバ２０に送信する（Ｓ２３）。
削除完了通知メッセージＭ３をセキュア通信部２１及び登録可否判定部２２を介して受信した端末リスト更新部２４ｂは、グループ所属端末リスト格納部２５をサーチし、削除完了通知メッセージＭ３に含まれるグループ識別子を有するグループ所属端末リストから端末を削除する（Ｓ２４）。

これによって、端末装置が保持するグループ情報を削除していないにも拘わらず削除したと情報管理サーバに通知するような不正が確実に回避され、５台までとか、１０台までとかの制限があるにも拘わらず、制限を超えた台数の端末装置でグループを不正に形成できてしまうといった事態を確実に防止できる。つまり、本実施の形態１に係る発明によれば、端末装置において管理情報に影響を及ぼす処理を実行した場合に、この実行結果をだますような不正を防止することができる。

次いで、本発明の他の実施の形態について、説明する。セキュアに処理する必要のあるデータがグループ情報、当該データに関する管理情報が端末リストである場合に適用した場合を、図面を用いて詳細に説明する。

（実施の形態２）
図９は、本発明の実施の形態２に係るグループ情報管理システム２の全体構成を示す図である。なお、グループ情報管理システム１の構成部分と対応する部分に同じ番号を付し、その詳細な説明を省略する。

グループ情報管理システム２は、実施の形態１のグループ管理サーバ２０に加わる負荷を分散させるために、グループ管理サーバ２０を複数の装置に分けた構成のものであり、図９に示されるように、ネットワーク１０と、ネットワーク１０に接続される共通グループ管理サーバ３０と、ネットワーク１０に接続される複数の個別グループ管理サーバ４０ａ〜４０ｊと、共通グループ管理サーバ３０及び個別グループ管理サーバ４０を統括的に管理する端末リスト管理装置５０と、ネットワーク１０に接続される端末装置７０ａ〜７０ｎ等とから構成される。

共通グループ管理サーバ３０は、このグループ情報管理システム２において提供される全てのサービスにおいて一意のコンピュータ装置であり、グループに所属する端末装置を実際に削除する前に、仮削除を行うための仮削除フラグを含むグループ毎の仮削除フラグリスト３５１を保持する。そして、共通グループ管理サーバ３０は、グループから脱退する端末装置（図示例では端末装置７０ｍ）から削除要求メッセージＭ３’を受信した場合に、この端末装置に対応する仮削除フラグに「１」をセットし、削除完了通知メッセージＭ３の宛先を通知する。また、共通グループ管理サーバ３０は、グループに加入する端末装置（図示例では、端末装置７０ｎ）から端末登録要求メッセージＭ１を受信すると、このメッセージを端末リスト管理装置５０に渡すとともに、グループ情報２８１を取得するための取得要求メッセージＭ１’の宛先を通知する。

個別グループ管理サーバ４０ａ〜４０ｊは、このグループ情報管理システム２おける各サービス毎に設置され、負荷分散の観点からグループ情報２８１を保持するとともに、仮削除フラグリスト３５１と同構成の仮削除フラグリスト４５１を保持するコンピュータ装置である。そして、個別グループ管理サーバ４０ａ〜４０ｊは、グループから脱退する端末装置（図示例では端末装置７０ｍ）から削除完了通知メッセージＭ３を受信した場合に、この端末装置に対応する仮削除フラグに「１」をセットする。また、個別グループ管理サーバ４０ａ〜４０ｊ、グループに加入する端末装置（図示例では、端末装置７０ｎ）から取得要求メッセージＭ１’を受信すると、グループ情報２８１を含むグループ情報通知メッセージＭ２をこの端末装置に配信する。

端末リスト管理装置５０は、グループ所属端末リスト２５１を保持し、必要に応じて個別グループ管理サーバ４０ａ〜４０ｊが保持するグループ情報２８１を生成したり、共通グループ管理サーバ３０が保持する仮削除フラグリスト３５１や個別グループ管理サーバ４０ａ〜４０ｊが保持する仮削除フラグリスト４５１を生成するコンピュータ装置である。そして、端末リスト管理装置５０は、共通グループ管理サーバ３０を介して端末登録要求メッセージＭ１を受信すると、この端末装置のグループ所属端末リスト２５１への登録の可否を判断する。グループ所属端末リスト２５１に登録可能であれば、グループ所属端末リスト２５１に、この端末装置を登録する。また、端末リスト管理装置５０は、所定のタイミングで仮削除フラグリスト３５１，４５１をサーチし、その両方の仮削除フラグに「１」がセットされている場合にグループ所属端末リスト２５１からその端末装置を削除する。

各端末装置７０ａ〜７０ｎは、端末装置６０ａ〜６０ｎと同様にグループに属している間だけグループ情報を保持し、このグループに属する端末装置間でデジタル著作物やデジタル著作物に対応するライセンスのコピーや移動の処理を行うコンピュータ装置である。そして、端末装置７０ａ〜７０ｎは、グループから脱退する場合に削除要求メッセージＭ３’を共通グループ管理サーバ３０に予め送信し、グループ情報を削除してから削除完了通知メッセージＭ３を共通グループ管理サーバ３０から教えてもらった宛先、ＵＲＩ（Ｕｎｉｆｏｒｍ Ｒｅｓｏｕｒｃｅ Ｉｄｅｎｔｉｆｉｅｒ）を有する個別グループ管理サーバ４０ａ〜４０ｊに送信する。

また、端末装置７０ａ〜７０ｎは、グループに加入する場合に端末登録要求メッセージＭ１を共通グループ管理サーバ３０に送信し、共通グループ管理サーバ３０から教えてもらったＵＲＩを有する個別グループ管理サーバ４０ａ〜４０ｊに取得要求メッセージＭ１’を送信し、個別グループ管理サーバ４０ａ〜４０ｊから受信したグループ情報通知メッセージＭ２に含まれるグループ情報を保持する。

図１０は、図９に示される端末リスト管理装置５０、共通グループ管理サーバ３０、個別グループ管理サーバ４０ａ〜４０ｊ及び端末装置７０ａ〜７０ｎの機能構成を示すブロック図である。なお、この図１０においてはネットワーク１０の図示が省略されている。また、個別グループ管理サーバ４０ａ〜４０ｊの構成が同じであるのでこれらの一般を指す個別グループ管理サーバ４０として図示されており、端末装置７０ａ〜７０ｎの構成が同じであるので、これらの一般を指す端末装置７０として図示されている。

端末リスト管理装置５０は、グループ管理サーバ２０と同様に、登録可否判定部２２、グループ識別子格納部２３、端末リスト生成部２４ａ、端末リスト更新部２４ｂ、グループ所属端末リスト格納部２５、グループ鍵格納部２６及びグループ情報生成部２７を備え、さらに所定のタイミングで仮削除フラグリスト３５１，４５１の仮削除フラグに「１」がセットされているか否かを確認するフラグ確認部５２を備える。

共通グループ管理サーバ３０は、端末装置７０と通信するノンセキュア通信部３１と、端末リスト管理装置５０の端末リスト生成部２４ａによって生成された仮削除フラグリスト３５１を格納する仮削除フラグリスト格納部３５と、端末装置７０からノンセキュア通信部３１を介して削除要求メッセージＭ３’を受信した場合に仮削除フラグリスト３５１の仮削除フラグに「１」をセットする仮削除フラグ設定部３２とを備える。

個別グループ管理サーバ４０は、グループ管理サーバ２０と同様に、セキュア通信部２１、グループ情報格納部２８及びグループ情報読出部２９を備え、さらに、端末リスト管理装置５０の端末リスト生成部２４ａによって生成された仮削除フラグリスト４５１を格納する仮削除フラグリスト格納部４５と、端末装置７０からセキュア通信部２１を介して削除完了通知メッセージＭ３を受信した場合に仮削除フラグリスト４５１の仮削除フラグに「１」をセットする仮削除フラグ設定部４２とを備える。

端末装置７０は、端末装置６０と同様、操作部６１、ＧＵＩ６２及び耐タンパモジュール６８を備え、さらに共通グループ管理サーバ３０と通信するノンセキュア通信部７４と、操作部６１からの指示を受けてその指示をノンセキュア通信部７４や、耐タンパモジュール６８のセキュア通信部６４、登録部６６及び削除部６７に伝えたり、ノンセキュア通信部７４を介して受信したＵＲＬをセキュア通信部６４に伝えたりする端末アプリケーション７１とを備える。

ここで、仮削除フラグリスト３５１は、図１１に示されるように、グループ識別子（例えば、「０ｘＦ００１」）３５１１と、端末識別子を複数（図示例では５つ）一覧状に格納する端末リスト３５１２と、各端末識別子に個別対応した仮削除フラグ１を一覧状に格納する仮削除フラグリスト３５１３とから構成されている。また、仮削除フラグリスト４５１も、仮削除フラグリスト３５１と同様に、グループ識別子３５１１と、端末リスト３５１２と、各端末識別子に個別対応した仮削除フラグ２を一覧状に格納する仮削除フラグリスト４５１３とから構成されている。このような仮削除フラグリスト３５１，４５１は、グループ所属端末リスト２５１に仮削除フラグ１，２を対応付けるだけで簡単に構成することができ、端末の削除の管理も容易にできる。

なお、取得要求メッセージＭ１’については、図５に示される端末登録要求メッセージＭ１とメッセージヘッダ内のメッセージＩＤが異なるだけであるので、その構成の図示を省略する。また、削除要求メッセージＭ３’についても、図７に示される削除完了通知メッセージＭ３からグループ情報を削除し、メッセージヘッダ内のメッセージＩＤが異なるだけであるので、その構成の図示を省略する。

次いで、共通グループ管理サーバ３０、個別グループ管理サーバ４０及び端末リスト管理装置５０と、端末装置７０との間で行われる処理の動作を説明する。
まず、グループへの端末登録の処理を説明する。
図１２は、グループへの端末登録の処理を示すシーケンス図である。
端末装置７０の端末アプリケーション７１から端末登録の指示があると、ノンセキュア通信部７４は、グループＩＤ，端末ＩＤ及びサービスＩＤを含む端末登録要求メッセージＭ１を生成し、生成した端末登録要求メッセージＭ１を共通グループ管理サーバ３０に送信する（Ｓ３１）。

端末登録要求メッセージＭ１を受信した共通グループ管理サーバ３０のノンセキュア通信部３１は、受信した端末登録要求メッセージＭ１を端末リスト管理装置５０の登録可否判定部２２に送る。
端末登録要求メッセージＭ１を受け取ると、登録可否判定部２２は、グループ識別子ｍ１２をキーとしてグループ所属端末リスト格納部２５にグループ所属端末リスト２５１があるか否か判断する（Ｓ３２）。そのグループ用のグループ所属端末リスト２５１が無い場合、登録可否判定部２２は、グループ情報生成部２７に対してグループ情報の生成を指示し、グループ情報生成部２７に対してグループ情報の生成を指示する。なお、そのグループ用のグループ所属端末リスト２５１がある場合、後述する登録可否判定処理に進む。

指示を受けたグループ情報生成部２７は、グループ情報２８１を生成し（Ｓ３３）、生成したグループ情報２８１をグループ所属端末リスト格納部２５に格納する（Ｓ３４）。また、グループ情報生成部２７は、仮削除フラグリスト３５１を生成し、生成した仮削除フラグリスト３５１を共通グループ管理サーバ３０の仮削除フラグリスト格納部３５に格納し（Ｓ３５）、仮削除フラグリスト４５１を生成し、生成した仮削除フラグリスト４５１を個別グループ管理サーバ４０の仮削除フラグリスト格納部４５に格納する（Ｓ３６）。

一方、指示を受けたグループ情報生成部２７は、グループ情報２８１を生成し（Ｓ３７）、生成したグループ情報を個別グループ管理サーバ４０のグループ情報格納部２８に格納する（Ｓ３８）。
各格納部２５，３５，４５へ各リスト２５１,３５１，４５１の格納が終わった場合、あるいは各リスト２５１,３５１，４５１が存在する場合、登録可否判定部２２は、各リスト２５１,３５１，４５１への端末登録の可否を判定する（Ｓ３９）。この判断は、グループ所属端末リスト２５１に登録されている端末識別子の数が制限数に達しているか否かによって行われる。登録できない場合、端末登録要求に対する処理を終了する。これに対して、登録可である場合、端末リスト更新部２４ｂは、各リスト２５１,３５１，４５１に端末を登録する（Ｓ４０，Ｓ４１，Ｓ４２）。

端末登録が終わると、登録可否判定部２２は、その結果をサービスＩＤに対応する個別グループ管理サーバのＵＲＩを含めて、ノンセキュア通信部３１を介して、端末アプリケーション７１に通知する（Ｓ４３）。
ＵＲＩを含む結果の通知を受けると、端末アプリケーション７１は、セキュア通信部６４に対してＵＲＩ宛てにグループ情報２８１を取得するための取得要求メッセージＭ１’の送信を指示する（Ｓ４４）。端末アプリケーション７１から指示を受けたセキュア通信部６４は、当該ＵＲＩを有する個別グループ管理サーバ４０との間でＳＡＣを形成した後、その個別グループ管理サーバ４０にグループＩＤ及び端末ＩＤを含む取得要求メッセージＭ１’を送信する（Ｓ４５）。なお、端末ＩＤを含めないで取得要求メッセージＭ１’を構成してもよい。

取得要求メッセージＭ１’を受け取った個別グループ管理サーバ４０のグループ情報読出部２９は、グループ識別子から対応するグループ情報を特定し（Ｓ４６）、端末ＩＤが含まれるか否かを確認し、含まれる場合は、セキュア通信部２１にグループ情報の送信を指示する。指示を受けたセキュア通信部２１は、グループ情報通知メッセージＭ２を端末装置７０に送信する（Ｓ４７）。

グループ情報通知メッセージＭ２を受け取った端末装置７０の登録部６６は、グループ情報通知メッセージＭ２からグループ情報２８１を抽出し、抽出したグループ情報２８１をグループ情報格納部６５に格納する（Ｓ４８）。なお、グループ情報通知メッセージＭ２にグループＩＤを含め、取得要求で送信したグループＩＤと一致するかの一致判定を行うようにしてもよい。

これにより、グループ内の端末装置７０間で、コンテンツやライセンスをコピーしたりしてコンテンツを再生することができる。

次いで、グループから端末を削除するための前準備の処理を説明する。
図１３は、グループから端末を削除するための前準備の処理を示すシーケンス図である。

端末装置７０の端末アプリケーション７１は、操作部６１を介してグループから端末を削除する指示をユーザから受けると、ノンセキュア通信部７４を介して、端末を削除するための削除要求メッセージＭ３’を共通グループ管理サーバ３０に送信する（Ｓ５１）。ここで、削除要求メッセージＭ３’は、メッセージヘッダの他、グループＩＤ及び端末ＩＤを含めて構成される。

共通グループ管理サーバ３０の仮削除フラグ設定部３２は、ノンセキュア通信部３１を介して、端末装置７０から削除要求メッセージＭ３’を受けると、仮削除フラグリスト格納部３５をサーチし、削除要求メッセージＭ３’に含まれるグループＩＤを有する仮削除フラグリスト３５１を特定する。そして、削除要求メッセージＭ３’に含まれる端末ＩＤに対応する仮削除フラグ１に削除を示す「１」をセットする（Ｓ５２）。そして、仮削除フラグ設定部３２は、その結果を個別グループ管理サーバのＵＲＩを含めて、ノンセキュア通信部３１を介して、端末アプリケーション７１に通知する（Ｓ５３）。

ＵＲＩを含む結果の通知を受けると、端末アプリケーション７１は、グループ情報２８１を削除するための削除要求を、個別グループ管理サーバのＵＲＩを含めて、削除部６７に送る（Ｓ５５）。端末アプリケーション７１から削除要求を受け取った削除部６７は、グループ情報格納部６５に格納されているグループ情報をセキュアに削除する（Ｓ５６）。グループ情報の削除が終わると、削除部６７は、セキュア通信部６４に、削除要求に含まれるＵＲＩを有する個別グループ管理サーバ４０との間でＳＡＣを形成させた後、そのＵＲＩを有する個別グループ管理サーバ４０にグループＩＤ及び端末ＩＤを含む削除完了通知メッセージＭ３を送信する（Ｓ５７）。なお、この削除完了通知メッセージＭ３を、ここでは、グループＩＤ、端末ＩＤ及びグループ情報で構成しているが、グループＩＤ及び端末ＩＤだけ、あるいは端末ＩＤ及びグループ情報だけで構成してもよい。

個別グループ管理サーバ４０の仮削除フラグ設定部４２は、セキュア通信部２１を介して、削除完了通知メッセージＭ３を受け取ると、仮削除フラグリスト格納部４５をサーチし、削除完了通知メッセージＭ３に含まれるグループＩＤを有する仮削除フラグリスト４５１を特定する。そして、仮削除フラグ設定部４２は、削除完了通知メッセージＭ３に含まれる端末ＩＤに対応する仮削除フラグ２に削除を示す「１」をセットする（Ｓ５８）。

このような仮削除フラグ１，２への削除を示す「１」をセットする処理により、端末ＩＤを有する端末装置７０のグループからの削除の準備が整えられる。

次いで、グループから端末を実際に削除するための処理を説明する。
図１４は、グループから端末を実際に削除するための処理を示すシーケンス図である。なお、ここでは、端末リスト管理装置５０のフラグ確認部５２が仮削除フラグ１，２を任意のタイミングで確認するシーケンスが示されている。

端末リスト管理装置５０のフラグ確認部５２は、任意のタイミングで、所定のグループＩＤ及び端末ＩＤをセットする（Ｓ６１）。このようなグループＩＤ及び端末ＩＤは、グループ所属端末リスト格納部２５に格納されているグループ所属端末リスト２５１の中から選ばれる。
グループＩＤ及び端末ＩＤのセットが終わると、フラグ確認部５２は、共通グループ管理サーバ３０の仮削除フラグリスト格納部３５に格納されている仮削除フラグリスト３５１から、セットされたグループＩＤ及び端末ＩＤを有する仮削除フラグリストをサーチし（Ｓ６２）、仮削除フラグ１の内容を確認し（Ｓ６３）、端末の削除を示す「１」がセットされているか否か判断する（Ｓ６４）。

仮削除フラグ１に「１」がセットされていると、フラグ確認部５２は、個別グループ管理サーバ４０の仮削除フラグリスト格納部４５に格納されている仮削除フラグリスト４５１から、セットされたグループＩＤ及び端末ＩＤを有する仮削除フラグリストをサーチし（Ｓ６５）、仮削除フラグ２の内容を確認し（Ｓ６６）、端末の削除を示す「１」がセットされているか否か判断する（Ｓ６７）。

該当部分の仮削除フラグ２にも「１」がセットされていると、フラグ確認部５２は、グループ所属端末リスト格納部２５に格納され、該当のグループ所属端末リスト２５１から端末識別子を削除する。つまり、対象の端末をグループから削除する（Ｓ６８）。なお、グループ所属端末リスト２５１からの端末削除を完了した後、仮削除フラグリスト３５１及び仮削除フラグリスト４５１から当該端末識別子の項目を削除するようにしてもよい。

このような処理により、セットされたグループＩＤ及び端末ＩＤについて、端末をグループから確実に削除することができる。

次いで、グループから端末を実際に削除するための他の処理を説明する。
図１５は、グループから端末を実際に削除するための他の処理を示すシーケンス図である。なお、ここでは、端末装置７０の端末アプリケーション７１が共通グループ管理サーバ３０に端末登録要求メッセージＭ１を送信した場合に、端末リスト管理装置５０のフラグ確認部５２が端末登録要求メッセージＭ１の送信をトリガとして仮削除フラグ１，２を確認するシーケンスが示されている。

端末装置７０の端末アプリケーション７１から端末登録の指示があると、ノンセキュア通信部７４は、グループＩＤ，端末ＩＤ及びサービスＩＤを含む端末登録要求メッセージＭ１を生成し、生成した端末登録要求メッセージＭ１を共通グループ管理サーバ３０に送信する（Ｓ７１）。
端末登録要求メッセージＭ１を受信した共通グループ管理サーバ３０のノンセキュア通信部３１は、受信した端末登録要求メッセージＭ１を端末リスト管理装置５０の登録可否判定部２２に送る。

端末登録要求メッセージＭ１を受け取ると、登録可否判定部２２は、グループ所属端末リスト格納部２５にグループ所属端末リスト２５１があるか否か判断する（Ｓ７２）。そのグループ用のグループ所属端末リスト２５１がある場合、フラグ確認部５２は、共通グループ管理サーバ３０の仮削除フラグリスト格納部３５に格納されている仮削除フラグリスト３５１から、グループ所属端末リスト２５１と同じグループＩＤを有する仮削除フラグリストをサーチし（Ｓ７３）、仮削除フラグ１の内容を全て確認し（Ｓ７４）、端末の削除を示す「１」がセットされているか否か判断する（Ｓ７５）。そして、フラグ確認部５２は、仮削除フラグ１に「１」がセットされている全ての端末ＩＤをセットする（Ｓ７６）。個別グループ管理サーバ４０の仮削除フラグリスト格納部４５に格納されている仮削除フラグリスト４５１から、グループ所属端末リスト２５１と同じグループＩＤを有する仮削除フラグリストをサーチし（Ｓ７７）、ステップＳ７６でセットした全ての端末ＩＤに対応する仮削除フラグ２の内容を全て確認し（Ｓ７８）、端末の削除を示す「１」がセットされているか否か判断する（Ｓ７９）。

該当部分の仮削除フラグ２にも「１」がセットされていると、フラグ確認部５２は、グループ所属端末リスト格納部２５に格納され、該当のグループ所属端末リスト２５１から端末識別子を全て削除する（Ｓ８０）。つまり、端末登録要求メッセージＭ１に含まれるグループＩＤを有するグループ所属端末リストから仮削除フラグ１，２に「１」がセットされた端末をグループから削除する。

このような処理により、仮削除フラグ１，２に「１」がセットされた端末をグループから確実に削除することができる。
なお、この実施の形態２においては、仮削除フラグ１，２に「１」がセットされたとき、つまりＡｎｄ条件を満たす場合に端末をグループから削除したが、仮削除フラグ２に「１」がセットされたとき、端末をグループから削除するようにしてもよい。これにより共通グループ管理サーバ３０の構成を大幅に簡素化することができる。

また、仮削除フラグ１，２のセットを「１」としたが、その逆論理つまりセットを「０」としてもよい。
また、以上の説明ではサーバ装置が、グループ識別子とグループ鍵とを独立に生成し、関連付けるとして説明したが、グループ識別子をグループ鍵から一方向性関数で生成し、グループ鍵だけを端末装置に送信するようにしてもよい。この場合、端末装置は、サーバ装置と同じ一方向性関数のアルゴリズムを保持することで、グループ識別子を生成することができる。

また、以上の説明ではサーバを３つの装置で構成したが、共通グループ管理サーバあるいは個別グループ管理サーバのいずれかに端末リスト管理装置が含まれるように構成してもよい。つまり、サーバを２つの装置で構成してもよい。この場合、端末リスト管理装置５０を含むサーバは、仮削除フラグリストを保持せず、グループ所属端末リスト２５１に仮削除フラグのカラムを追加することにより、その役割を果たすことができる。

また、上記実施の形態１，２においては、セキュアに処理する必要のあるデータがグループ情報、当該データに関する管理情報が端末リストである場合に適用した場合を説明したが、端末装置がセキュアに処理する必要のあるデータを保持し、サーバがデータに関する管理情報を保持する一般構成に適用できるのは言うまでもない。この一般構成の場合、端末装置が、サーバの管理情報に影響を及ぼす処理を実行すると、実行結果をセキュア通信部６４でサーバに通知するようにすればよい。

この一般構成において、上記データはデジタル著作物及びそのライセンスに対する移動、コピーなどの処理が許可された所定数以内の端末装置で形成されたグループに属するか否かを判定するためのグループ情報であり、上記管理情報はグループに所属する端末装置の一覧を示す端末リストであり、上記影響を及ぼす処理は前記端末装置間におけるグループ情報の移動であるとして適用することもできる。

また、上記データはデジタル著作物のライセンスであり、上記管理情報はライセンスの利用履歴であり、上記影響を及ぼす処理はライセンスの利用であるとして適用することもできる。
また、上記データはデジタル著作物のライセンスであり、上記管理情報は端末装置が保持することができるライセンス数であり、上記影響を及ぼす処理はライセンスの削除であるとして適用することもできる。

さらに、上記データはデジタル著作物であり、上記管理情報はデジタル著作物の流通範囲数であり、上記影響を及ぼす処理はデジタル著作物の移動であるとして適用することもできる。

（実施の形態３）
次いで、本発明のさらに他の実施の形態について説明する。尚、以下の実施の形態は、本発明を具体化した一例であって、本発明の技術的範囲を限定するものではない。

説明に先立ち、本実施の形態におけるグループ及びグループ情報の定義を再度行う。
（グループの定義）
まず、グループの定義を行う。一般にコンテンツ配信サービスにおいて、端末に配信されたコンテンツ及びコンテンツの権利を端末間でコピー及び移動する処理は無制限な範囲では許可されず、ある一定範囲内でのみ許可される。

相互に前記処理を許可された複数の端末は同一の集合に属すると捉えられ、集合は次のように定義できる。前記集合に属する任意の２つの要素を抽出すると、２つの要素は互いに、コンテンツのコピー、移動などの処理が許可されている。上記のように定義される集合をグループと呼ぶ。つまりコンテンツの移動などの処理を行うには同一グループに属していることが必要となる。

（グループ情報の定義）
次に、グループ情報の定義を行う。第１の端末が必要とするコンテンツを第２の端末から移動し、取得する処理について説明する。前記グループの定義により、前記第１の端末と前記第２の端末は同一グループに属する場合はコンテンツの移動が許可され、同一グループに属さない場合はコンテンツの移動は許可されない。

本実施の形態では前記第１の端末と前記第２の端末はコンテンツの移動処理を行う前にお互いが同一グループに属するか否かを判定するグループ判定を行う。前記グループ判定で必要となる情報をグループ情報と定義する。なお、この実施の形態３に係るグループ情報は概ね実施の形態１，２の端末リストを構成要素としており、形態グループ情報の内容の詳細については後で説明する。

図１６は、本発明の実施の形態３に係るグループ情報管理サーバ１００とグループ情報変更装置２００とグループ情報保持端末３００及び４００とその周辺環境を示すブロック図である。
図１６においてグループ情報管理サーバ１００とグループ情報変更装置２００とグループ情報保持端末３００及び４００は有線または無線の伝送路Ｎを介してデータ通信可能に接続される。本グループ情報管理システムＳは少なくとも１つのグループ情報管理サーバ１００と少なくとも２つのグループ情報保持端末３００及び４００とが、上述の伝送路Ｎを介してデータ通信可能に接続される。

ここで、グループ情報管理サーバ１００は、コンテンツ配信サービスの一例としての音楽配信サービスに関わる事業者α側に設置され、グループ情報保持端末３００は、事業者αとの契約に基づいて、音楽配信サービスを受ける契約者β側に設置される。以下、グループ情報管理サーバ１００、グループ情報変更装置２００、グループ情報保持端末３００の順番で、それぞれの内部構成について図１７〜図１９を参照して説明する。

図１７は、図１６に示すグループ情報管理サーバ１００の内部構成を示すブロック図である。図１７においてグループ情報管理サーバ１００はグループ情報を格納するグループ情報格納部１０１と、グループ情報の更新処理が完了したグループ情報保持端末のリストを格納している更新済み端末リスト格納部１０２と、グループ情報格納部１０１に格納されるグループ情報の設定及び変更処理を行うグループ情報設定・更新部１０３と、グループ情報格納部１０１に格納されるグループ情報の取得及び送信処理を行うグループ情報取得・送信部１０４と、グループ情報の更新をするか否かを判定するグループ情報更新判定部１０５と、グループ情報保持端末と通信処理を行う通信部１０６とを備えている。

図１８は、図１６に示すグループ情報変更装置２００の内部構成を示すブロック図である。図１８においてグループ情報変更装置２００はグループ情報の新規設定及び更新処理のための情報の入力を受け付けるグループ情報設定・変更情報入力部２０１と、グループ情報管理サーバ１００との通信処理を行う通信部２０２とを備えている。

図１９は、図１６に示すグループ情報保持端末３００の内部構成を示すブロック図である。図１９においてグループ情報保持端末３００はグループ情報を格納するグループ情報格納部３０１と、グループ情報管理サーバ１００及び他のグループ情報保持端末にグループ情報取得要求のためのメッセージを生成し、送信するグループ情報取得要求部３０２と、グループ情報管理サーバ１００及び他のグループ情報保持端末からグループ情報を取得し、グループ情報格納部３０１のグループ情報の更新処理を行うグループ情報取得・更新部３０３と、他のグループ情報保持端末に更新通知を通知するためのメッセージを生成し、送信する更新通知送信部３０４と、グループ情報管理サーバ１００及び他のグループ情報保持端末から取得したグループ情報とグループ情報格納部３０１に保持しているグループ情報とから前記取得したグループ情報により更新処理を行うか否かの判定を行うグループ情報更新判定部３０５と、コンテンツの検索及び取得などの処理時に他のグループ情報保持端末に更新判定に必要な情報を送信するためのメッセージを生成し、送信する処理要求送信部３０６と、グループ情報を他のグループ情報保持端末に送信するためのメッセージを生成し、送信するグループ情報取得・送信部３０７と、グループ情報管理サーバ１００及び他のグループ情報保持端末との通信処理を行う通信部３０８とを備えている。

ここで、グループ情報管理サーバ１００及びグループ情報保持端末３００が保持するデータのデータ構造について説明する。
（グループ情報管理サーバ１００が保持するデータのデータ構造）
まず、グループ情報管理サーバ１００が保持するデータについて説明する。グループ情報管理サーバ１００はグループ情報格納部１０１にグループ情報を保持し、更新済み端末リスト格納部１０２に更新済み端末リストを保持している。グループ情報管理サーバ１００が保持するグループ情報について図２０を参照して説明する。グループ情報については先に定義した通りである。

図２０はグループ情報の内容を示した図である。図２０のｇ１５０１はグループ情報を一意に特定するグループ識別子、ｇ１５０２はグループ情報実データの管理を行うための情報である管理情報、ｇ１５０３はグループ判定の際に必要となるグループ情報実データである。
本実施の形態における管理情報は対応するグループ情報実データの世代を示す世代情報として説明する。世代情報とは任意の２つの要素を取ってくると、必ず２つの要素の大小関係が決まる集合の１つの例である。より具体的にはグループ情報に変更がある度に値が単調増加するバージョンを管理情報の一例として説明する。

前記グループ情報実データが端末リストの場合のグループ情報（以下、グループ情報端末リストと呼ぶ）について図２１を参照して説明する。図２１はグループ情報端末リストの内容を示す図である。図２１のｇ１６０１はグループ識別子、ｇ１６０２は管理情報としてのバージョン、ｇ１６０３からｇ１６０４はグループ識別子１６０１に対応するグループに属するグループ情報保持端末３００の端末識別子のリストである。ここで端末識別子とはグループ情報保持端末３００を一意に特定する識別子である。

続いてグループ情報管理サーバ１００が保持する更新済み端末リストについて図２２を参照して説明する。図２２はグループ情報更新済み端末リストの内容を示す図である。図２２のｇ１８０１はグループ識別子、ｇ１８０２からｇ１８０３はグループ識別子１８０１に対応するグループに属するグループ情報保持端末３００の中で最新のグループ情報に更新したグループ情報保持端末３００の端末識別子のリストである。

（グループ情報保持端末３００が保持するデータのデータ構造）
次に、グループ情報保持端末３００が保持するデータについて説明する。グループ情報保持端末３００はグループ情報格納部３０１にグループ情報を保持している。グループ情報保持端末３００が保持するグループ情報のデータ構造はグループ情報管理サーバ１００が保持するグループ情報のデータ構造と同じであるため、説明を省略する。

以上で、グループ情報管理サーバ１００及びグループ情報保持端末３００が保持するデータのデータ構造について説明した。
続いてグループ情報管理サーバ１００、グループ情報変更装置２００及びグループ情報保持端末３００の間で送信、受信されるメッセージのデータ構造について説明する。

（通信時に送受信されるメッセージのデータ構造）
まず、本実施の形態における通信時に送受信されるメッセージのデータ構造について図２３を参照して説明する。図２３はメッセージフォーマットの内容を示す図である。図２３のｍ１９０１はメッセージヘッダ、ｍ１９０２はメッセージ本体である。ここで、メッセージヘッダは少なくとも送信先を特定する情報と送信元を特定する情報とを含んでいる。前記送信先を特定する情報はメッセージの宛先として参照され、前記送信元を特定する情報は前記メッセージに対して返信のメッセージを送信する際に宛先として参照される。前記送信元、あるいは送信先を特定するための情報としてＩＰアドレスがある。メッセージ本体ｍ１９０２は各々のメッセージで固有の情報を含む。前記固有の情報についてはメッセージ毎に説明する。
本実施の形態において重要な４つのメッセージについて図２４〜図２７を参照して説明する。

（グループ情報取得要求メッセージ）
第１にグループ情報取得要求メッセージについて図２４を参照して説明する。図２４はグループ情報取得要求メッセージの内容を示す図である。グループ情報取得要求メッセージはグループ情報保持端末３００からグループ情報管理サーバ１００、あるいはグループ情報保持端末３００から他のグループ情報保持端末３００に対して送信される。

図２４のｍ８０１はメッセージヘッダ、ｍ８０２はグループ情報取得要求メッセージを送信したグループ情報保持端末３００の端末識別子、ｍ８０３はグループ情報保持端末３００が保持しているグループ情報のグループ識別子、ｍ８０４はグループ情報保持端末３００が保持している前記グループ情報のバージョンである。

（更新通知メッセージ）
第２に更新通知メッセージについて図２５を参照して説明する。図２５は更新通知メッセージの内容を示す図である。更新通知メッセージはグループ情報保持端末３００から他のグループ情報保持端末３００に対して送信される。図２５のｍ１００１はメッセージヘッダ、ｍ１００２は更新通知メッセージを送信したグループ情報保持端末３００が保持するグループ情報のグループ識別子、ｍ１００３はグループ情報保持端末３００が保持している前記グループ情報のバージョンである。

（処理要求メッセージ）
第３に処理要求メッセージについて図２６を参照して説明する。図２６は処理要求メッセージの内容を示す図である。処理要求メッセージはグループ情報保持端末３００から他のグループ情報保持端末３００に対して送信される。図２６のｍ１１０１はメッセージヘッダ、ｍ１１０２は処理要求メッセージを送信したグループ情報保持端末３００が保持するグループ情報のグループ識別子、ｍ１１０３はグループ情報保持端末３００が保持している前記グループ情報のバージョン、ｍ１１０４は処理要求の処理に必要な情報である。

ここで処理に必要な情報とは処理識別と処理対象識別とからなる。前記処理識別とはコンテンツの検索、移動、コピー及びコンテンツの権利の検索、移動、コピーなどの処理の識別である。処理対象識別とは、例えばコンテンツの検索処理において、検索対象となるコンテンツを一意に特定するための情報、例えばコンテンツの識別子やコンテンツの名前などである。

（グループ情報送信メッセージ）
第４にグループ情報送信メッセージについて図２７を参照して説明する。図２７はグループ情報送信メッセージの内容を示す図である。グループ情報送信メッセージはグループ情報管理サーバ１００からグループ情報保持端末３００、あるいはグループ情報保持端末３００から他のグループ情報保持端末３００に対して送信される。図２７のｍ１２０１はメッセージヘッダ、ｍ１２０２は送信元のグループ情報管理サーバ１００あるいはグループ情報保持端末３００が保持するグループ情報である。

以上で、グループ情報管理サーバ１００、グループ情報変更装置２００及びグループ情報保持端末３００の間で送信、受信されるメッセージのデータ構造について説明した。
以上の構成のグループ情報管理システムＳにおいて、契約者βがグループ情報保持端末３００、グループ情報保持端末４００を所有している場合に、事業者αの音楽配信サービスによりグループ情報保持端末３００に取得した音楽コンテンツをグループ情報保持端末４００に移動するまでに必要となる処理の概要について図２８を参照して説明する。

契約者βは自らの保持するグループ情報保持端末群に対するグループが存在するか否かを判定する。（図２８：ステップＳ２００１）。
前記グループが存在しない場合はグループの新規設定を行う（図２８：ステップＳ２００２）。
前記グループあるいは新規設定したグループにグループ情報保持端末３００及びグループ情報保持端末４００が共に含まれているか判定する（図２８：ステップＳ２００３）。

グループ情報保持端末３００及びグループ情報保持端末４００のどちらか一方でも前記グループあるいは前記新規設定したグループに属していない場合はグループ情報管理サーバ１００の前記グループあるいは前記新規設定したグループに属していないグループ情報保持端末の追加を行いグループ情報の更新処理を行う（図２８：ステップＳ２００４）。
グループ情報保持端末３００及びグループ情報保持端末４００のグループ情報は最新か否か判定する（図２８：ステップＳ２００５）。グループ情報保持端末３００及びグループ情報保持端末４００のグループ情報が最新でない場合は、最新のグループ情報を取得し、自らの保持するグループ情報を更新する（図２８：ステップＳ２００６）。必要であれば更新通知を他のグループ情報保持端末に送信する（図２８：ステップＳ２００７）。

ステップＳ２００１、ステップＳ２００３、ステップＳ２００５の各判定処理はグループ情報保持端末３００及び４００よりグループ情報管理サーバ１００にインターネットなどを通じて接続し、Ｗｅｂブラウザでグループに属するグループ情報保持端末の一覧を見ることなどにより可能である。
以上で、グループ情報保持端末３００から他のグループ情報保持端末４００に音楽コンテンツを移動するまでに必要となる処理の概要について説明した。

続いて、ステップＳ２００２のグループ情報新規設定処理、ステップＳ２００４のグループ情報更新処理、ステップＳ２００６のグループ情報保持端末のグループ情報取得処理の詳細について説明する。そして最後にグループ情報の更新処理に伴い送信される更新通知メッセージに関する処理について説明する。

（グループ情報の新規設定及び更新処理の詳細）
まず、グループ情報の新規設定及び更新処理について説明する。本発明においてグループ情報はグループ情報管理サーバ１００が管理しているため、グループ情報の新規設定処理及び更新処理はグループ情報管理サーバ１００が保持しているグループ情報を新規設定及び変更しなければならない。グループ情報の新規設定及び変更処理は契約者βが行う場合、事業者αの担当者が行う場合などが想定されるが、グループ情報の設定・変更時の処理は同じであるため、ここでは契約者β、事業者αの担当者をまとめて変更者γとし、変更者γがグループ情報の新規設定及び変更処理を行うとして説明する。

まず、変更者γがグループ情報管理サーバ１００のグループ情報格納部１０１に新規にグループ情報を設定する時の処理について説明する。
変更者γは例えば自らのグループ情報保持端末からインターネットを通じてグループ情報変更装置２００に接続し、グループ情報設定・変更情報入力部２０１に設定する情報を入力する。

入力する情報は少なくとも同一グループに属するグループ情報保持端末群の端末識別子リストを含む。例えば"Ｎｅｗ ｇｒｏｕｐ ｉｄ ＝ ０ｘ０００１、０ｘ０００３、０ｘ０００４"のように入力する。入力されたデータは通信部２０２、グループ情報管理サーバ１００の通信部１０６を通して、グループ情報設定・更新部１０３に送信される。グループ情報設定・更新部１０３は新しいグループにグループ識別子を割り当て、入力された端末識別子と共にグループ情報格納部１０１に格納する。

本実施の形態では前記グループ情報実データは端末リストとして説明する。グループ識別子として０ｘＦ００１を割り当てたものが、図２９（ａ）のグループ情報端末リストｌ６０１である。バージョンはグループ情報毎に設定され、初期値はグループ情報管理サーバ１００において単調増加する値の基点である。端末リストｌ６０１では２を設定するとした。
このようにグループ情報の設定処理を行い、必要であれば通信部１０６、グループ情報変更装置２００の通信部２０２を通して正常終了通知を返す。

次に、変更者γがグループ情報管理サーバ１００のグループ情報格納部１０１に格納されているグループ情報を更新する時の処理について説明する。
変更者γは例えば自らのグループ情報保持端末からインターネットを通じてグループ情報変更装置２００に接続し、グループ情報設定・変更情報入力部２０１に変更する情報を入力する。

前記グループ情報実データは端末リストとして図２９（ａ）〜（ｄ）を参照して説明する。
図２９（ａ）〜（ｄ）はグループ情報端末リストの一例を示す図である。前記端末リストを含むグループ情報端末リストはグループ識別子、バージョン及び端末識別子からなり、図２９（ａ）のグループ情報端末リストｌ６０１ではグループ識別子として０ｘＦ００１、バージョンとして“２”、端末識別子として０ｘ０００１、０ｘ０００３、０ｘ０００４が格納されている。

まず、端末リストｌ６０１に端末識別子０ｘ０００５の端末を追加する場合について説明する。変更者γは端末識別子０ｘＦ００１を指定し、端末識別子０ｘ０００５の追加指示をグループ情報設定・変更情報入力部２０１に入力する。例えば"ｇｉｄ＝０ｘＦ００１ ａｄｄ ｔｉｄ＝０ｘ０００５"のように入力する。入力されたデータは通信部２０２、グループ情報管理サーバ１００の通信部１０６を通して、グループ情報設定・更新部１０３に送信される。

グループ情報設定・更新部１０３は受信した入力データからグループ識別子０ｘＦ００１をキーとしてグループ情報格納部１０１から対応するグループ情報端末リストｌ６０１を特定し、前記端末リストに端末識別子０ｘ０００５を追加する。グループ情報端末リストｌ６０１が更新されたため、バージョンを１加算し３とし、グループ情報格納部１０１に格納する。図２９（ａ）の状態に対して追加処理を行った後のグループ情報端末リストが図２９（ｂ）のグループ情報端末リストｌ６０２である。このようにグループ情報端末リストの変更処理を行い、必要であれば通信部１０６、グループ情報変更装置２００の通信部２０２を通して正常終了通知を返す。

次に、変更者γがグループ情報端末リストｌ６０２から端末識別子０ｘ０００４、０ｘ０００５の端末を削除する場合について説明する。
変更者γは端末識別子０ｘＦ００１を指定し、端末識別子０ｘ０００４、０ｘ０００５の削除指示をグループ情報設定・変更情報入力部２０１に入力する。
例えば"ｇｉｄ＝０ｘＦ００１ ｄｅｌ ｔｉｄ＝０ｘ０００４,０ｘ０００５"のように入力する。入力されたデータは通信部２０２、グループ情報管理サーバ１００の通信部１０６を通して、グループ情報設定・更新部１０３に送信される。

グループ情報設定・更新部１０３は受信した入力データからグループ識別子０ｘＦ００１をキーとしてグループ情報格納部１０１から対応するグループ情報端末リストｌ６０２を特定する。グループ情報端末リストｌ６０２から端末識別子０ｘ０００４、０ｘ０００５を削除する。次にグループ情報端末リストｌ６０２は変更されたため、バージョンを１加算し４とし、グループ情報格納部１０１に格納する。図２９（ｂ）の状態に対して削除処理を行った後のグループ情報端末リストが図２９（ｃ）のグループ情報端末リストｌ６０３である。このように変更処理を行い、必要であれば通信部１０６、グループ情報変更装置２００の通信部２０２を通して正常終了通知を返す。

なお、以上の説明では変更情報として変更前のグループ情報端末リストと変更後のグループ情報端末リストの差分を入力するという形で説明したが、変更後のグループ情報端末リストの端末識別子を全て入力し、グループ情報端末リストの端末識別子の上書き処理をするとしてもよい。但し、上書き処理では端末リストは上書きし、バージョンは更新（１加算）する。

なお、変更者γは直接グループ情報変更装置２００を操作するとしてもよい。なお、変更作業を容易にするため変更時に変更前や変更後の端末リストの状態を変更者γに表示できるようにしてもよい。
グループ情報変更装置２００は事業者αが運営するサーバ群の中やグループ情報保持端末の中など、設置場所は問わない。

また、グループ情報の新規設定及び変更の際に、処理に先立って認証するとしてもよい。具体的には端末固有の情報、あるいはユーザパスワード、あるいは他の信頼できる機器からの証明書を用いるなど一般的な方法を想定する。
また、グループ情報を変更できる権限に複数のレベルが存在する場合は上記認証処理によりレベルに応じた制限を行うものとする。ここで複数のレベルが存在するとはレベル１ならグループにグループ情報保持端末の追加処理はできるがグループ情報保持端末の削除処理はできず、レベル２ではグループにグループ情報保持端末の追加及び削除が可能といったことである。

なお、以上の説明ではグループ識別子をキーとしてグループ情報を特定するとして説明したが、端末識別子をキーとしてグループ情報を特定することも可能である。具体的には端末識別子０ｘ０００１をキーとしてグループ情報格納部１０１を検索するとグループ情報端末リストｌ６０１が特定される。端末識別子をキーとした場合は複数のグループ情報が検出されることがあるが変更者γに選択させる、あるいは複数のグループ情報の各々について上記と同じ処理をすればよい。なお、端末識別子をキーとする場合は前記グループ情報取得要求メッセージにグループ識別子はなくてもよい。

端末識別子をキーとした場合もグループ情報を特定した後の処理はグループ識別子をキーとした場合と同じである。
以上で、グループ情報の新規設定及び更新処理について説明した。

（グループ情報取得処理の詳細）
次に、グループ情報保持端末４００のグループ情報取得処理について説明する。グループ情報保持端末４００がグループ情報を取得・更新する場合について説明する。グループ情報保持端末４００がグループ情報を取得する先はグループ情報管理サーバ１００と他のグループ情報保持端末（本実施の形態においてはグループ情報保持端末３００）がある。

まず、グループ情報保持端末４００がグループ情報管理サーバ１００よりグループ情報を取得する場合について説明し、次にグループ情報保持端末４００が他のグループ情報保持端末３００から取得する場合の処理について説明する。
まず、グループ情報保持端末４００がグループ情報管理サーバ１００からグループ情報を取得する場合について説明する。

グループ情報保持端末４００はグループ情報取得要求部３０２により、グループ情報取得要求メッセージを作成し、通信部３０８を通してグループ情報管理サーバ１００に送信する。グループ情報管理サーバ１００はグループ情報取得要求メッセージを受信するとグループ情報を更新するか否かの更新判定を行う。
前記更新判定にはバージョンを用いる方法と更新済み端末リストを用いる方法とがある。

まず、バージョンを用いた更新判定の処理について説明し、次に更新済み端末リストを用いて更新判定の処理について説明する。
まず、バージョンを用いてグループ情報の更新判定を行う場合の処理について説明する。
グループ情報管理サーバ１００はグループ情報端末リストｌ６０１（図２９（ａ））を保持しているものとする。但し、グループ情報端末リストｌ６０１のバージョンには２が格納されているが、より一般的にバージョンｖｅｒが格納されているとして説明する。

グループ情報取得要求メッセージは、図２４に示した通り、メッセージヘッダ、端末識別子、グループ識別子、バージョンから構成される。
グループ情報取得要求メッセージを受信したグループ情報管理サーバ１００は通信部１０６を通してグループ情報更新判定部１０５に前記グループ情報取得要求メッセージを送信する。グループ情報取得要求メッセージを受信したグループ情報更新判定部１０５は更新判定を行う。

ここでグループ情報更新判定部１０５による更新判定について説明する。グループ情報更新判定部１０５はグループ情報取得要求メッセージから端末識別子ｍ８０２、グループ識別子ｍ８０３、バージョンｍ８０４を抽出する。グループ情報更新判定部１０５はグループ識別子ｍ８０３をキーとしてグループ情報格納部１０１から対応するグループ情報端末リストｌ６０１を特定し、取得する。

グループ情報更新判定部１０５は端末識別子ｍ８０２がグループ情報端末リストｌ６０１に含まれるか否かの判定を行う。端末識別子ｍ８０２が含まれる場合はグループ識別子ｍ８０３に対応するグループに属すと判定し、含まれない場合は前記グループに属さないと判定する。
前記グループに属さないと判定した場合は処理を終了し、グループ情報削除指示を含む返信メッセージをグループ情報保持端末４００に送信する。前記返信メッセージはメッセージヘッダｍ８０１に応じた送信先に送信する。

前記グループに属すると判定された場合は以下の処理を行う。
グループ情報更新判定部１０５はグループ情報端末リストｌ６０１よりバージョンｖｅｒを抽出し、前記グループ情報取得要求メッセージより取得した前記バージョンｍ８０４と比較処理を行う。
ｖｅｒ＞ｍ８０４の場合はメッセージ本体にグループ情報端末リストｌ６０１を含む返信メッセージをグループ情報保持端末４００に送信する。

ｖｅｒ＞ｍ８０４でない場合は更新が不要なためメッセージ本体に更新不要通知を含む返信メッセージをグループ情報保持端末４００に送信する。
更新不要の場合はグループ情報を送信しないことによりネットワーク負荷が軽減できる。
なお、ｖｅｒ＜ｍ８０４の場合は正常時にはありえないため、異常系とみなし、メッセージ本体に異常であることを示す通知を含む返信メッセージをグループ情報保持端末４００に送信してもよい。

また、異常系の場合はグループ情報保持端末４００が不正であるとみなし、グループから排除するなどの処理を行ってもよい。グループから排除するとはグループ情報端末リストｌ６０１から該当する端末識別子を削除することを示す。グループ情報端末リストｌ６０１からグループ情報端末識別子を削除する方法については先に説明した。
続いて、前記返信メッセージを受け取ったグループ情報保持端末４００の処理について説明する。

まず、前記返信メッセージにグループ情報が含まれる場合について説明する。
グループ情報保持端末４００は受信した前記返信メッセージを、通信部３０８を通してグループ情報取得・更新部３０３が取得する。グループ情報取得・更新部３０３は前記返信メッセージよりグループ情報を抽出し、グループ情報格納部３０１のグループ情報を更新する。なお、抽出した前記グループ情報のグループ識別子と自らが保持するグループ情報のグループ識別子との一致を確認する一致確認や、抽出した前記グループ情報のバージョンと自らが保持する前記グループ情報のバージョンとから更新判定を行うなどしてもよい。

次に前記返信メッセージにグループ情報削除指示が含まれる場合について説明する。
前記返信メッセージをグループ情報取得・更新部３０３が取得するまでの処理は前記返信メッセージがグループ情報を含む場合と同じである。グループ情報取得・更新部３０３はグループ情報格納部３０１のグループ情報を削除する。

次に返信メッセージに更新不要通知が含まれる場合について説明する。
前記返信メッセージを取得したグループ情報取得・更新部３０３は何も処理を行わない。
以上で、バージョンを用いて更新判定を行う場合の処理について説明した。

次に、グループ情報更新済み端末リストを用いてグループ情報の更新判定を行う場合の処理について図３０（ａ）〜（ｃ）を参照して説明する。図３０（ａ）〜（ｃ）はグループ情報更新済み端末リストの内容の一例を示す図である。グループ情報更新済み端末リストｌ９０１は図３０（ａ）にあるようにグループ識別子として０ｘＦ００１、更新済み端末の端末識別子として０ｘ０００３、０ｘ０００４が格納されている。グループ情報管理サーバ１００が更新済み端末リスト格納部１０２にグループ情報更新済み端末リストｌ９０１を保持しており、端末識別子０ｘ０００３及び端末識別子０ｘ０００５のグループ情報保持端末はグループ情報端末リストｌ６０２を保持しているとする。

端末識別子０ｘ０００３のグループ情報保持端末及び端末識別子０ｘ０００５のグループ情報保持端末がグループ情報管理サーバ１００にグループ情報取得要求メッセージを送信してきた場合の処理について説明する。
まず、端末識別子０ｘ０００３のグループ情報保持端末がグループ情報取得要求メッセージを送信してきた場合について説明する。

通信部１０６を通してグループ情報更新判定部１０５が前記グループ情報取得要求メッセージを受信する。前記グループ情報取得要求メッセージには端末識別子０ｘ０００３、グループ識別子０ｘＦ００１、バージョン３が含まれており、グループ情報更新判定部１０５は端末識別子０ｘ０００３、グループ識別子０ｘＦ００１を抽出する。グループ情報更新判定部１０５は更新済み端末リスト格納部１０２よりグループ識別子０ｘＦ００１をキーとしてグループ情報更新済み端末リストｌ９０１を特定・抽出し、グループ情報更新済み端末リストｌ９０１の端末識別子リストに端末識別子０ｘ０００３が含まれるか否かの判定を行う。

グループ情報更新済み端末リストｌ９０１の端末識別子リストに前記端末識別子０ｘ０００３が含まれており、端末識別子０ｘ０００３のグループ情報保持端末はすでにグループ情報を更新済みと判定し、更新不要通知を含む返信メッセージを前記グループ情報保持端末に送信する。
前記返信メッセージを受信したグループ情報保持端末の処理については先に説明した。

次に端末識別子０ｘ０００５のグループ情報保持端末がグループ情報取得要求メッセージを送信してきた場合について説明する。
通信部１０６を通してグループ情報更新判定部１０５がグループ情報保持端末グループ情報取得要求メッセージを受信する。グループ情報取得要求メッセージには端末識別子０ｘ０００５、グループ識別子０ｘＦ００１、バージョン３が含まれており、グループ情報更新判定部１０５は端末識別子０ｘ０００５、グループ識別子０ｘＦ００１を抽出する。グループ情報更新判定部１０５は更新済み端末リスト格納部１０２よりグループ識別子０ｘＦ００１をキーとしてグループ情報更新済み端末リストｌ９０１を特定・抽出し、グループ情報更新済み端末リストｌ９０１の端末識別子リストに端末識別子０ｘ０００５が含まれるか否かの判定を行う。

グループ情報更新済み端末リストｌ９０１の端末識別子リストに端末識別子０ｘ０００５が含まれておらず、端末識別子０ｘ０００５に対応するグループ情報保持端末は、グループ情報を更新していないと判定し、メッセージ本体にグループ情報を含む返信メッセージを送信し、グループ情報更新済み端末リストｌ９０１の端末識別子リストに端末識別子０ｘ０００５を追加する。

追加した後のグループ情報更新済み端末リストは図３０（ｂ）に示すグループ情報更新済み端末リストｌ９０２である。
続いてグループ情報に変更があった場合のグループ情報更新済み端末リストの更新について説明する。
グループ情報設定・更新部１０３によりグループ識別子０ｘＦ００１のグループ情報に変更があった場合について説明する。グループ情報設定・更新部１０３は更新があったグループ情報のグループ識別子０ｘＦ００１をキーとして更新済み端末リスト格納部１０２からグループ識別子０ｘＦ００１に対応するグループ情報更新済み端末リストｌ９０２を特定・取得し、グループ情報更新済み端末リストｌ９０２の端末識別子の項目を全部削除する。削除した後のグループ情報更新済み端末リストがグループ情報更新済み端末リストｌ９０３（図３０（ｃ））である。グループ情報に変更があると、変更時点においては前記変更を反映したグループ情報で更新したグループ情報保持端末は存在しないためである。

なお、上記の説明からわかるようにグループ情報更新済み端末リストを用いて更新判定を行う場合は前記グループ情報取得要求メッセージにバージョンはなくてもよい。
なお、バージョンあるいは更新済み端末リストにより更新判定を行うとしたが、グループ情報管理サーバ１００が管理するグループ情報は最新であるため、前記更新判定を行わず常にグループ情報の更新を行うとしてもよい。

なお、グループ情報取得要求メッセージのグループ識別子による判定とは別の方法により、前記グループ情報取得要求メッセージを送信したグループ情報保持端末が対応するグループに属していると確認できる場合はグループに属するか否かの判定は必要なく、前記グループ情報取得要求メッセージに端末識別子はなくてもよい。
前記別の方法とはユーザのパスワードによるグループ認証や、グループが共通に保持している共通情報でメッセージを暗号化し、暗号化メッセージを対応する共通情報で復号できることによりに同一グループに属すると判定する方法などがある。

以上で、グループ情報保持端末がグループ情報管理サーバ１００からグループ情報を取得し、更新するまでの処理を説明した。

次にグループ情報保持端末間でグループ情報の更新を行う場合について説明する。
グループ情報保持端末３００が他のグループ情報保持端末４００からグループ情報を取得するとして説明する。

グループ情報保持端末３００がグループ情報取得要求部３０２により、グループ情報取得要求メッセージを作成し、通信部３０８を通してグループ情報保持端末４００に送信し、グループ情報を取得するまでの処理について説明する。
グループ情報取得要求メッセージは、図２４に示したように、メッセージヘッダｍ８０１、端末識別子ｍ８０２、グループ識別子ｍ８０３、バージョンｍ８０４から構成される。

前記グループ情報取得要求メッセージを受信したグループ情報保持端末４００は通信部３０８を通してグループ情報更新判定部３０５に前記グループ情報取得要求メッセージを送信する。
グループ情報更新判定部３０５は前記グループ情報取得要求メッセージを受信し、更新判定を行う。ここでグループ情報更新判定部３０５による更新判定処理について説明する。

グループ情報更新判定部３０５は前記グループ情報取得要求メッセージより端末識別子ｍ８０２、グループ識別子ｍ８０３、バージョンｍ８０４を抽出する。
グループ情報保持端末４００はグループ識別子ｍ８０３とグループ情報格納部３０１に保持しているグループ情報のグループ識別子との一致判定を行う。不一致の場合は処理を終了し、グループ不一致エラーメッセージを返信する。前記一致判定の結果が一致している場合は以降の処理を行う。

グループ情報保持端末４００は端末識別子ｍ８０２がグループ情報格納部３０１に保持するグループ情報の端末リストに存在するか否かの判定を行う。
存在しない場合は処理を終了し、端末識別子不一致エラーメッセージを返信する。存在する場合は以降の処理を行う。
グループ情報保持端末３００の保持するグループ情報のバージョンをｖｅｒ１、グループ情報保持端末４００の保持するグループ情報のバージョンをｖｅｒ２としてグループ情報更新判定部３０５による更新判定処理について説明する。

グループ情報更新判定部３０５は前記グループ情報取得要求メッセージよりｖｅｒ２を、グループ情報格納部３０１よりｖｅｒ１を取得し、バージョンの比較処理を行う。
ｖｅｒ１＝ｖｅｒ２の場合は更新不要通知を含む返信メッセージをグループ情報保持端末４００に送信する。
ｖｅｒ１＞ｖｅｒ２の場合はグループ情報保持端末３００のグループ情報がグループ情報保持端末４００のグループ情報より新しいため、グループ情報保持端末３００の保持するグループ情報を含む返信メッセージをグループ情報保持端末４００に送信する。

ｖｅｒ１＜ｖｅｒ２の場合はグループ情報保持端末３００のグループ情報がグループ情報保持端末４００のグループ情報より古いため、グループ情報保持端末３００はグループ情報取得要求部３０２によりグループ情報取得要求メッセージをグループ情報保持端末４００に対して送信する。
続いて前記返信メッセージを受け取ったグループ情報保持端末４００の処理について説明する。

グループ情報保持端末３００の保持するグループ情報を含む返信メッセージを受信した場合について説明する。
グループ情報保持端末４００は受信した返信メッセージを、通信部３０８を通してグループ情報取得・更新部３０３が取得する。グループ情報取得・更新部３０３は前記返信メッセージより前記グループ情報を抽出し、グループ情報格納部３０１のグループ情報を更新する。

ここでグループ情報取得・更新部３０３における端末リストの更新方法について説明する。
端末リストの更新方法には２つ方法があり、まず第１の方法はグループ情報保持端末３００より取得したグループ情報で自らの保持するグループ情報を上書きする方法であり、第２の方法はグループ情報保持端末３００より取得したグループ情報と自らの保持するグループ情報より新たなグループ情報を生成する方法である。

第２の方法について、より具体的にグループ情報保持端末３００より取得したグループ情報をグループ情報端末リストｌ６０４（図２９（ｄ））、自らの保持するグループ情報をグループ情報端末リストｌ６０１（図２９（ａ））として説明する。
グループ情報端末リストｌ６０４は端末識別子０ｘ０００１と０ｘ０００５を含み、グループ情報端末リストｌ６０１は端末識別子０ｘ０００１と０ｘ０００３、０ｘ０００４を含んでいる。グループ情報端末リストｌ６０１とグループ情報端末リストｌ６０４から新たにグループ情報端末リストを生成する方法の例として端末識別子をマージする方法がある。マージした結果、端末識別子０ｘ０００１と０ｘ０００３、０ｘ０００４、０ｘ０００５を含むグループ情報端末リストｌ６０２（図２９（ｂ））が生成される。バージョンは両者で高い値を設定する。上記例では５を設定する。なお、バージョンは変更しないとしてもよい。２つのグループ情報端末リストから新たにグループ情報端末リストを生成する方法の例として端末識別子をマージする方法について説明したが、グループ情報端末リストの生成方法についてはこれに限定するものではない。第２の方法は同一グループに属する端末の数は単調増加で更新されるというような運用において有効である。

返信メッセージに更新不要通知が含まれる場合は何も処理を行わない。
また、前記返信メッセージにグループ情報取得要求が含まれる場合は本説明における本記述のグループ情報保持端末３００とグループ情報保持端末４００の立場を入れ替えると同様の処理となる。
以上で、グループ情報保持端末間でグループ情報取得要求があった場合の処理について説明した。

以上で、グループ情報保持端末４００がグループ情報管理サーバ１００あるいは他のグループ情報保持端末３００からグループ情報を取得し、グループ情報を更新するまでの処理について説明した。

（更新通知メッセージに関する処理）
最後にグループ情報の更新処理に伴い送信される更新通知メッセージに関する処理について説明する。

更新通知メッセージは前記更新通知メッセージを受信したグループ情報保持端末にグループ情報の更新を促し、円滑に同一グループのグループ情報を更新するものである。
図３１は、本発明の実施の形態に係るグループ情報管理サーバ１００とグループＩに属するグループ情報保持端末３００及び４００及び５００とグループＩとは別のグループＩＩに属するグループ情報保持端末６００の構成を示すブロック図に各装置間で送受信されるデータを示した図である。

グループ情報管理サーバ１００及び各々のグループ情報保持端末はデータ通信可能に接続されており、グループＩは契約者βの保有する端末群、グループＩＩは契約者βとは別の契約者δの保有する端末とする。一般に同一グループに属する端末の契約者は同一ユーザだと考えられるが、複数ユーザによる同一グループ形成や、同一ユーザが保有する端末が複数グループに属するなど、運用によりグループの形成の仕方は異なる。また、可能な処理毎にグループを設定する、あるいは、１つの端末が複数のグループに属するとしてもよい。

以下の説明におけるグループはグループ情報保持端末の移動、コピーなど全ての処理の許可・不許可に関するグループであり、全てのグループ情報保持端末は必ず１つのグループに属するとして説明する。
以上のような構成を有するグループ情報管理サーバ１００及びグループ情報保持端末３００においてグループ情報保持端末３００がグループ情報管理サーバ１００よりグループ情報を取得してからグループ情報更新通知メッセージを送信し、グループ情報保持端末４００がグループ情報を更新するまでの動作を図３２〜図３８を参照して説明する。

まず、グループ情報はグループ情報管理サーバ１００からしか取得できない場合について図３１〜図３３を参照して説明する。
図３２を参照してグループ情報保持端末３００がグループ情報管理サーバ１００よりグループ情報を取得し、グループ情報保持端末４００のグループ情報が更新されるまでの各部の処理について説明する。

契約者βの操作などによりグループ情報保持端末３００はグループ情報取得要求部３０２においてグループ情報取得要求メッセージを作成し、通信部３０８を通してグループ情報管理サーバ１００に送信する（図３１のφ及び図３２：ステップＳ２１０１）。
前記グループ情報取得要求メッセージを受信したグループ情報管理サーバ１００は通信部１０６からグループ情報取得・送信部１０４に送る。グループ情報取得・送信部１０４は前記グループ情報取得要求メッセージよりグループ識別子を抽出し、前記グループ識別子をキーとしてグループ情報格納部１０１よりグループＩに対応するグループ情報を特定し、取得する。（図３２：ステップＳ２１０２）。なお、ここで更新判定を行うとしてもよい。

グループ情報取得・送信部１０４は取得した前記グループ情報を含むグループ情報送信メッセージを通信部１０６よりグループ情報保持端末３００に送信する。（図３２：ステップＳ２１０３）。
グループ情報保持端末３００はグループ情報管理サーバ１００より前記グループ情報送信メッセージを受信し（図３１のχ及び図３２：ステップＳ２１０４）、グループ情報取得・更新部３０３に送信する。グループ情報取得・更新部３０３は前記グループ情報送信メッセージより前記グループ情報を抽出し、グループ情報格納部３０１のグループ情報を更新する。（図３２：ステップＳ２１０５）。

グループ情報取得・更新部３０３はグループ情報の更新が正常に終了すると更新通知送信部３０４に更新通知メッセージを送信するよう制御を行う。
更新通知送信部３０４はグループ情報の更新を促す更新通知メッセージを他のグループ情報保持端末にブロードキャストする（図３１のψ及び図３２：ステップＳ２１０６）。
更新通知メッセージは、図２５に示したように、メッセージヘッダｍ１００１とグループ識別子ｍ１００２とバージョンｍ１００３とを含む。

上記例ではグループ識別子ｍ１００２にはグループ情報保持端末３００の前記グループ情報保持端末３００の属するグループのグループ識別子が、バージョンｍ１００３には前記グループ情報保持端末３００が保持するグループ情報のバージョンが格納される。
前記更新通知メッセージはブロードキャストするとして説明するが、特定のグループ情報保持端末にユニキャストするとしてもよい。特定のグループ情報保持端末とはネットワーク構成上、近い端末や、予めグループ情報に記述される端末リストにある端末識別子に対応するグループ情報保持端末に更新通知を送信する。

以下、前記更新通知メッセージを受信したグループ情報保持端末の処理について説明する。なお、前記更新通知メッセージを受信したグループ情報保持端末の処理はブロードキャストの場合とユニキャストの場合とで同じである。
前記更新通知メッセージを受信したグループ情報保持端末の処理をグループ情報保持端末３００と同一グループＩに属するグループ情報保持端末４００の場合と、グループ情報保持端末３００と異なるグループＩＩに属するグループ情報保持端末６００の場合について説明する。

まず、グループＩに属するグループ情報保持端末４００の更新通知メッセージ受信後の処理について説明する。
グループ情報保持端末４００はグループ情報保持端末３００より前記更新通知メッセージを受信し（図３２：ステップＳ２１０７）、通信部３０８通してグループ情報更新判定部３０５に更新通知メッセージを送信する。

更新判定部３０５は前記更新通知メッセージからグループ識別子を抽出し、グループ情報格納部３０１に保持しているグループ情報のグループ識別子と一致するか否かの判定を行う。一致すれば以降の処理を行い。不一致ならば以降の処理を行わない。
グループ情報保持端末３００及びグループ情報保持端末４００はグループＩに属しているためグループ識別子が一致し、以降の処理を行う。

更新通知メッセージに含まれるグループ情報のバージョンとグループ情報保持端末３００が保持しているグループ情報のバージョンとから更新処理をすべきか否かの更新判定処理を行う（図３２：ステップＳ２１０８）。
更新判定処理は先に説明したグループ情報保持端末がグループ情報取得要求メッセージを受信した場合の更新判定処理と同じである。

また、グループ情報保持端末３００及びグループ情報保持端末４００が同一グループに属することが他の方法で保障されるのであれば、グループ一致確認は行わない。
また、更新通知メッセージの送信元であるグループ情報保持端末３００はグループ情報管理サーバ１００からグループ情報を取得しているため、前記更新通知メッセージに含まれるグループ情報はグループ情報管理サーバ１００の保持するグループ情報、すなわち最新のグループ情報である。この場合、バージョンに更新判定処理が必要ないことを示す特殊値として例えば０ｘＦＦＦＦを格納するとしてもよい。バージョンが特殊値の更新通知メッセージを受信したグループ情報保持端末４００は更新判定処理を行うことなく、更新処理を行う。なお、更新通知メッセージの送信元であるグループ情報保持端末３００がグループ情報管理サーバ１００からグループ情報を取得したことを保証する仕組みとして、グループ情報管理サーバ１００の証明書を用いるなどしてもよい。

更新判定処理により更新が必要と判定された場合はグループ情報取得要求部３０２により、グループ情報取得要求メッセージを作成し、通信部３０８を通してグループ情報管理サーバ１００に送信する（図３１のω及び図３２：ステップＳ２１０９）。
前記グループ情報取得要求メッセージを受信したグループ情報管理サーバ１００は通信部１０６を通してグループ情報取得・送信部１０４に送信する。

前記グループ情報取得要求メッセージを受信したグループ情報取得・送信部１０４はグループ識別子をキーとしてグループ情報格納部１０１から対応するグループ情報を特定し、取得する（図３２：ステップＳ２１１０）。
グループ情報取得・送信部１０４は取得した前記グループ情報含む返信メッセージを生成し、通信部１０６を通してグループ情報保持端末４００に送信する（図３２：ステップＳ２１１１）。

前記グループ情報保持端末４００は前記返信メッセージを受信し（図３２：ステップＳ２１１２）、グループ情報格納部３０１のグループ情報を更新する（図３２：ステップＳ２１１３）。
以上のステップＳ２１０９からステップＳ２１１３の詳細な処理については先のグループ情報管理サーバ１００からグループ情報を取得・更新処理の説明で説明した。

以上の説明では更新判定処理をグループ情報保持端末４００で行うとして説明したが、更新判定をグループ情報管理サーバ１００で行うとしてもよい。
上記と同じ構成でグループ情報管理サーバ１００において更新判定を行う場合の処理について図３３を参照して説明する。
図３３のステップＳ２２０１からステップＳ２２０７の処理はステップＳ２１０１からステップＳ２１０７で説明した通りである。次にグループ情報保持端末４００は更新判定処理を行わず、グループ情報管理サーバ１００にグループ情報取得要求を送信する（図３３：ステップＳ２２０８）。このグループ情報取得要求はステップＳ２１０９で説明した。

グループ情報管理サーバ１００はグループ情報保持端末４００よりグループ情報取得要求を受信すると通信部１０６を通してグループ情報更新判定部１０５に前記グループ情報取得要求メッセージを送信する。
グループ情報更新判定部１０５は以下の処理を行う。
グループ情報管理サーバ１００はステップＳ２１０２で説明した方法によりグループＩに対応するグループ情報を特定し、取得する。特定した前記グループ情報と前記グループ情報取得要求メッセージより抽出したグループ情報とから、更新判定を行う（図３３：ステップＳ２２０９）。更新判定方法については先に説明した。

更新判定の結果、グループ情報の更新が必要な場合はグループ情報取得し、（図３３：ステップＳ２２１０）グループ情報をグループ情報保持端末４００に送信する（図３３：ステップＳ２２１１）。これらの処理内容はステップＳ２１１０、ステップＳ２１１１と同じである。グループ情報保持端末４００は前記グループ情報更新メッセージを受信し（図３３：ステップＳ２２１２）、グループ情報格納部３０１の更新（図３３：ステップＳ２２１３）を行う。処理内容は図３２：ステップＳ２１１２、ステップＳ２１１３と同じである。また更新が不要と判定された場合は更新不要通知メッセージをグループ情報保持端末４００に送信する（図３３：ステップＳ２２１４）。

グループ情報保持端末４００は更新不要通知メッセージを受信すると（図３３：ステップＳ２２１５）、グループ情報更新に関わる処理は行わず処理を終了する。
以上のようにしてグループ情報管理サーバ１００から最新のグループ情報を取得し、更新する。

次に、グループ情報保持端末３００とは別のグループであるグループＩＩに属するグループ情報保持端末６００の更新通知メッセージ受信後の処理について説明する。
グループ情報保持端末６００はグループ情報保持端末３００より前記更新通知メッセージを受信し、グループ情報保持端末６００は通信部３０８を通してグループ情報更新判定部３０５に更新通知メッセージを送信する。
グループ情報更新判定部３０５では前記更新通知メッセージからグループ識別子を抽出し、グループ情報格納部３０１に保持しているグループ情報のグループ識別子とから一致判定を行う。グループ情報保持端末３００はグループＩ、グループ情報保持端末６００はグループＩＩに属しており、グループ識別子の一致判定では不一致となり以降の処理は行わない。

ここでは、グループ情報保持端末３００がグループ情報管理サーバ１００にグループ情報取得要求メッセージを送信するとして説明したが、グループ情報管理サーバ１００がオンライン環境にあるグループ情報保持端末６００にグループ情報をプッシュするとしてもグループ情報取得後の処理は同じである。
以上の説明ではグループ情報保持端末３００がグループ情報管理サーバ１００から最新のグループ情報を取得した後に更新通知を送信する場合について説明した。

次にグループ情報保持端末間で通信を行う場合のグループ情報の更新処理について説明する。同一グループ内で所望のコンテンツを検索する場合やコンテンツを取得する場合がグループ情報保持端末間で通信が行われる。
前者は検索を行うグループ情報保持端末が検索対象となる端末に検索要求をブロードキャストする、つまり１：ｎの通信であり、後者は検索後、特定の端末に対して取得要求をユニキャストする、つまり１：１の通信である。

グループ情報保持端末３００が他のグループ情報保持端末４００と通信した場合の更新処理について図３４及び図３５を参照して説明する。
図３４は、本発明の実施の形態に係るグループ情報管理サーバ１００とグループＩに属するグループ情報保持端末３００及び４００の構成を示すブロック図に各装置間で送受信されるデータを示した図である。

前記検索要求及び前記取得要求を送信するグループ情報保持端末３００と前記検索要求及び前記取得要求とを受信するグループ情報保持端末４００の処理について説明する。なお、検索要求及び前記取得要求ではなく、グループ情報更新通知を送信しても処理は同様である。
簡単のため前記検索要求及び取得要求はまとめて処理要求として説明する。処理要求には更新判定に必要となる情報が必要で、本実施の形態ではグループ情報の管理情報、具体的にはバージョンを例として説明する。

他にはグループ情報管理サーバ１００から取得した時間刻情報などを想定する。グループ情報管理サーバ１００は最新のグループ情報を保持していることを前提としているため、グループ情報管理サーバ１００から取得時刻が遅い方が、グループ情報が新しいと判定する。
処理要求メッセージは、図２６に示したようにメッセージヘッダｍ１１０１とグループ識別子ｍ１１０２とバージョンｍ１１０３と処理内容ｍ１１０４を含む。

上記例ではグループ識別子ｍ１１０２にはグループ情報保持端末３００の属するグループのグループ識別子が、バージョンｍ１１０３にはグループ情報保持端末３００が保持するグループ情報のバージョンが格納される。
グループ情報保持端末３００は処理要求送信部３０６により前記処理要求メッセージ作成し、送信する（図３４のφ及び図３５：ステップＳ２３０１）。

グループ情報保持端末４００は前記処理要求メッセージを受信し（図３５：ステップＳ２３０２）、前記バージョンを抽出する。
グループ情報更新判定部３０５はグループ情報格納部３０１より自らが保持するグループ情報のバージョンを取得し、前記更新判定処理を行う（図３５：ステップＳ２３０３）。

グループ情報更新判定部３０５は更新不要となった場合は処理を終了する。グループ情報保持端末３００が更新要となった場合、グループ情報保持端末４００は更新通知送信部３０４により更新通知メッセージ生成し、通信部３０８を通してグループ情報保持端末３００に送信する（図３４のχ−１及び図３５：ステップＳ２３０４）。なお、前記更新通知メッセージをブロードキャストするとしてもよい。

グループ情報保持端末３００は前記更新通知メッセージを受信し（図３５：ステップＳ２３０５）、グループ情報取得要求部３０２によりグループ情報管理サーバ１００にグループ情報取得要求メッセージを送信する（図３４のψ−１及び図３５：ステップＳ２３０６）。
また、前記更新判定処理によりグループ情報保持端末４００が更新要と判定された場合、グループ情報保持端末４００はグループ情報取得要求部３０２によりグループ情報管理サーバ１００にグループ情報取得要求メッセージを送信する（図３４のχ−２及び図３５：ステップＳ２３０７）。

グループ情報管理サーバ１００は前記グループ情報取得要求メッセージを受信し、グループ情報管理サーバ１００がグループ情報格納部１０１に保持しているグループ情報を取得し（図３５：ステップＳ２３０８）、前記グループ情報を含む返信メッセージを、前記グループ情報取得要求メッセージを送信してきたグループ情報保持端末３００あるいは４００に送信する（図３５：ステップＳ２３０９）。

グループ情報保持端末３００あるいは４００は前記返信メッセージを受信し（図３５：ステップＳ２３１２、ステップＳ２３１０）、グループ情報格納部３０１のグループ情報を更新する（図３５：ステップＳ２３１３、ステップＳ２３１１）。
グループ情報保持端末３００あるいは４００によるグループ情報取得要求メッセージの送信処理からグループ情報更新までの処理（図３５：ステップＳ２３０６、ステップＳ２３０８、ステップＳ２３０９、ステップＳ２３１２、ステップＳ２３１３、あるいは、ステップＳ２３０７からステップＳ２３１１）は先に説明した。

ここで、グループ情報保持端末３００の保持しているグループ情報のバージョンが２、グループ情報保持端末４００の保持しているグループ情報のバージョンが３、グループ情報管理サーバ１００が保持しているグループ情報のバージョンが４の場合を説明する。
以上で説明の方法によるとグループ情報保持端末３００がグループ情報の更新が必要と判定されグループ情報管理サーバ１００より最新のグループ情報 グループ情報を取得し、更新する。グループ情報保持端末３００の保持しているグループ情報のバージョンは４になるが、グループ情報保持端末４００の保持しているグループ情報のバージョンは３のままである。

このような場合に前記グループ情報保持端末４００の保持しているグループ情報のバージョンを４にするための方法について説明する。
グループ情報保持端末３００はグループ情報保持端末４００の保持しているグループ情報のバージョンを記憶しておき、グループ情報管理サーバ１００からグループ情報を受信すると、グループ情報管理サーバ１００から受信したグループ情報のバージョンを抽出し、記憶しておいたグループ情報保持端末４００のバージョンとから更新判定を行い、更新が必要と判定されるとグループ情報保持端末４００に更新通知メッセージを送信する。

更新通知メッセージを受信した前記グループ情報保持端末３００の処理は先に説明した。
なお、別の方法としてグループ情報保持端末３００が送信するグループ情報取得要求メッセージに処理のもう一方のグループ情報保持端末を識別するための情報（上記例ではグループ情報保持端末４００の識別子あるいはＩＰアドレスなどメッセージヘッダに含める項目）を含め、グループ情報管理サーバ１００は擬似的に２つの端末から更新要求があったとし、同時に更新するとしてもよい。また、前記グループ情報取得要求メッセージにグループ情報保持端末４００の保持しているグループ情報のバージョンを含めると、グループ情報保持端末４００の保持するグループ情報に対する更新判定が可能となる。

以上で、グループ情報保持端末間通信時にグループ情報の更新を行う処理について説明した。
グループ情報保持端末３００は処理内容により処理要求メッセージをブロードキャストする場合、ユニキャストする場合があるが、処理要求を受信するグループ情報保持端末４００の処理は同じである。

なお、グループ情報保持端末３００に複数のグループ情報保持端末から更新通知があった場合などは、更新通知メッセージを受信する度に、更新判定を行い、無用なグループ情報更新要求を行わないとしてもよい。また、一度、更新通知メッセージを受信すると一定期間、更新通知メッセージを受信しても処理を行わないとしてもよい。
以上の説明では更新通知メッセージを受信したグループ情報保持端末はグループ情報管理サーバ１００から最新のグループ情報を取得するとして説明した。

次に更新通知メッセージを受信したグループ情報保持端末が他のグループ情報保持端末からグループ情報を取得し、更新処理を行う場合について図３６〜図３８を参照して説明する。
図３６は、本発明の実施の形態に係るグループＩに属するグループ情報保持端末３００及び４００の構成を示すブロック図に各装置間で送受信されるデータを示した図である。

グループ情報保持端末３００が処理要求メッセージを送信するところから説明する。
処理要求メッセージは、図２６に示したように、メッセージヘッダｍ１１０１とグループ識別子ｍ１１０２とバージョンｍ１１０３と処理内容ｍ１１０４を含む。
グループ識別子ｍ１１０２にはグループ情報保持端末３００の前記グループ情報保持端末３００の属するグループのグループ識別子が、バージョンｍ１１０３にはグループ情報保持端末３００が保持するグループ情報のバージョンが格納される。

まず、上記構成において処理要求メッセージを受信するグループ情報保持端末４００側でグループ情報の更新判定を行う場合について図３６及び図３７を参照して説明する。
グループ情報保持端末３００は処理要求送信部３０６により前記処理要求メッセージを生成し、送信する（図３６のφａ、φｂ及び図３７：ステップＳ２４０１）。
グループ情報保持端末４００は前記処理要求メッセージを受信し（図３７：ステップＳ２４０２）、前記バージョンを抽出する。

グループ情報更新判定部３０５はグループ情報格納部３０１より自らが保持するグループ情報のバージョンを取得し、更新判定処理を行う（図３７：ステップＳ２４０３）。
グループ情報更新判定部３０５は更新不要となった場合は処理を終了し、通信部３０８を通して更新不要通知を含む返信メッセージをグループ情報保持端末３００に送信する（図３７：ステップＳ２４１３）。また、グループ情報保持端末３００はグループ情報保持端末４００より前記返信メッセージを受信する（図３７：ステップＳ２４１４）なお、更新不要の場合は更新不要通知を含む返信メッセージを送信しないとしてもよい。

グループ情報保持端末３００が更新要となった場合はグループ情報取得・送信部３０７はグループ情報格納部３０１よりグループ情報を取得し（図３７：ステップＳ２４０９）、グループ情報送信メッセージを生成し、通信部３０８を通してグループ情報保持端末３００へ送信する（図３６のχａ及び図３７：ステップＳ２４１０）。
前記グループ情報送信メッセージは、図２７に示したように、メッセージヘッダｍ１２０１とグループ情報ｍ１２０２とからなる。

グループ情報保持端末３００はグループ情報保持端末４００より前記グループ情報送信メッセージを受信し（図３７：ステップＳ２４１１）、グループ情報格納部３０１のグループ情報を更新する（図３７：ステップＳ２４１２）。
なお、グループ情報保持端末４００がグループ情報送信メッセージによりグループ情報をプッシュする場合について説明したが、前記グループ情報送信メッセージの代わりに更新通知メッセージを送信し、グループ情報保持端末３００にグループ情報取得要求メッセージを生成、送信させ、グループ情報保持端末３００のグループ情報を更新するとしてもよい。

また、前記更新判定処理によりグループ情報保持端末４００が更新要と判定された場合、グループ情報保持端末４００はグループ情報取得要求部３０２によりグループ情報管理サーバ１００にグループ情報取得要求メッセージを情報保持端末３００に送信する（図３６のχｂ及び図３７：ステップＳ２４０４）。
グループ情報保持端末３００は前記グループ情報取得要求メッセージを受信し、グループ情報取得・送信部３０７はグループ情報格納部３０１に保持しているグループ情報を取得し（図３７：ステップＳ２４０５）、グループ情報送信メッセージを生成し、通信部３０８を通して情報保持端末４００に送信する（図３６のψｂ及び図３７：ステップＳ２４０６）。

グループ情報保持端末４００はグループ情報保持端末３００より前記グループ情報送信メッセージを受信し（図３７：ステップＳ２４０７）、グループ情報格納部３０１のグループ情報を更新する（図３７：ステップＳ２４０８）。

次に上記構成において処理要求メッセージを送信するグループ情報保持端末３００側でグループ情報の更新判定を行う場合について図３８を参照して説明する。
グループ情報保持端末３００は処理要求送信部３０６により前記処理要求メッセージを送信する（図３８：ステップＳ２５０１）。
グループ情報保持端末４００は前記処理要求メッセージを受信し（図３８：ステップＳ２５０２）、グループ情報取得要求部３０２により、グループ情報取得要求メッセージを作成し、通信部３０８を通してグループ情報保持端末３００に送信する（図３８：ステップＳ２５０３）。

グループ情報保持端末３００はグループ情報保持端末４００より前記グループ情報取得要求メッセージを受信し、更新判定を行う（図３８：ステップＳ２５０４）。
なお、更新判定処理からグループ情報更新までの処理（図３８：ステップＳ２５０４からステップＳ２５１５）はステップＳ２４０３からステップＳ２４１４の説明でグループ情報保持端末３００と前記グループ情報保持端末４００入れ替えて考えれば同じ処理になる。

ここではグループ情報保持端末３００がコンテンツの検索及び取得処理のための処理要求メッセージを送信する場合について説明した。なお、グループ情報保持端末３００がグループ情報管理サーバ１００からグループ情報を取得・更新した後に、グループ情報保持端末４００にグループ情報更新通知を送信し、グループ情報保持端末間の通信によるグループ情報の更新処理を行うとしてもよい。

更新通知メッセージはグループ情報保持端末間通信時のグループ情報更新の処理に必要なグループ識別子とバージョンを含んでいる。よって更新通知メッセージの場合の処理も処理要求メッセージでの場合の処理と同じである。
以上で、グループ情報保持端末間での通信時にグループ情報の更新を行う処理について説明した。

グループ情報保持端末３００は処理内容により処理要求メッセージをブロードキャストする場合、ユニキャストする場合があるが、処理要求を受信するグループ情報保持端末４００の処理は同じである。
以上で、グループ情報をグループ情報保持端末間で更新する場合の処理について説明した。グループ情報保持端末間でグループ情報の更新を可能とすることにより、グループ情報管理サーバ１００へのアクセスを減らすことが可能となった。

以上で、グループ情報の更新処理に伴い送信される更新通知メッセージに関する処理について説明した。
ここまで、グループ情報実データが端末リストの場合のグループ情報の新規設定、更新処理、グループ情報取得処理及び更新通知メッセージを用いた更新処理について説明した。

以下、グループ情報実データが共通情報の場合のグループ情報の新規設定、更新処理、グループ情報取得処理及び更新通知メッセージを用いた更新処理について、グループ情報実データが端末リストの場合との差分を中心に説明する。
まず、グループ情報管理サーバ１００及びグループ情報保持端末が保持するグループ情報のデータ構造について説明する。

グループ情報実データが共通情報の場合のグループ情報（以下、グループ情報共通情報と呼ぶ）について図３９（ａ）を参照して説明する。
図３９（ａ）及び（ｂ）はグループ情報共通情報及び共通情報用端末リストの内容を示す図である。
図３９（ａ）のｇ１７０１はグループ識別子、ｇ１７０２は管理情報としてのバージョン、ｇ１７０３は同一のグループに属するグループ情報保持端末が共通に保持している共通情報である。

次にグループ情報管理サーバ１００が保持する共通情報用端末リストのデータ構造について説明する。
グループ情報実データが共通情報の場合に必要となるグループ情報保持端末とグループの対応関係を示す共通情報用端末リストについて図３９（ｂ）を参照して説明する。
図３９（ｂ）のｇ１７１１はグループ識別子、ｇ１７１２からｇ１７１３は前記グループ識別子に対応するグループに属するグループ情報保持端末の端末識別子のリストである。

グループ情報保持端末から他のグループ情報保持端末に音楽コンテンツを移動するまでに必要となるグループ情報新規設定処理、グループ情報更新処理、グループ情報取得処理の詳細について説明する。
まず、変更者γがグループ情報管理サーバ１００のグループ情報格納部１０１に新規にグループ情報を設定する時の処理について図４０（ａ１）〜（ｂ３）を参照して説明する。図４０（ａ１）〜（ｂ３）はグループ情報共通情報及び共通情報用端末リストの一例を示す図である。

変更者γがグループ情報変更装置２００に接続し、グループ情報設定・変更情報入力部２０１に"ｎｅｗ ｇｒｏｕｐ ｔｉｄ＝ ０ｘ０００１、０ｘ０００３、０ｘ０００４"のように入力し、グループ情報設定・更新部１０３が受信するまでの処理は先に説明した。
グループ情報設定・更新部１０３は新しいグループにグループ識別子を割り当て、入力された端末識別子と共に共通情報用端末リストとしてグループ情報格納部１０１に格納する。グループ識別子として０ｘＦ００１を割り当てたものが、図４０（ｂ１）の共通情報用端末リストｌ７０１である。前記共通情報用端末リストの生成と同時に共通情報の生成も行い、グループ識別子と共にグループ情報共通情報を格納する。共通情報として０ｘＡＡＡＡを、バージョンとして２を設定したものが図４０（ａ１）のグループ情報共通情報ｃ７０１である。

次に、変更者γがグループ情報管理サーバ１００のグループ情報格納部１０１に格納されているグループ情報を更新する時の処理について説明する。
変更者γがグループ情報設定・変更情報入力部２０１に変更情報を入力してグループ情報格納部１０１に格納されるグループ情報を特定するまでの処理はグループ情報端末リストの場合と同様である。

前記共通情報を含むグループ情報はグループ識別子、バージョン及び共通情報からなり、図４０（ａ１）のグループ情報共通情報ｃ７０１ではグループ識別子として０ｘＦ００１、バージョンとして“２”、共通情報０ｘＡＡＡＡが格納されている。
前記共通情報用端末リストはグループ識別子、端末識別子を含み、図４０（ｂ１）の共通情報用端末リストｌ７０１ではグループ識別子として０ｘＦ００１、端末識別子として０ｘ０００１、０ｘ０００３、０ｘ０００４が格納されている。

グループ情報管理サーバ１００がグループ情報格納部１０１にグループ情報共通情報ｃ７０１及び共通情報用端末リストｌ７０１を保持しているとして説明する。
まず、共通情報用端末リストｌ７０１に対応するグループに端末識別子０ｘ０００５のグループ情報保持端末を追加する場合について説明する。
変更者γが変更情報を入力し、グループ情報設定・更新部１０３が処理を始めるまでの処理はグループ情報端末リストの場合と同じである。グループ識別子０ｘＦ００１をキーとして共通情報用端末リストｌ７０１を特定し、端末識別子０ｘ０００５の追加を行い、図４０（ｂ２）の共通情報用端末リストｌ７０２に更新する。次にグループ識別子０ｘＦ００１をキーとしてグループ情報共通情報ｃ７０１を特定し、バージョンの変更を行い、グループ情報共通情報ｃ７０２に更新する。

端末識別子０ｘ０００４、０ｘ０００５の端末を削除する場合の処理も同様にして図４０（ｂ３）の共通情報用端末リストｌ７０３、図４０（ａ３）のグループ情報共通情報ｃ７０３に更新する。
なお、グループ情報共通情報、共通情報用端末リストを別テーブルとして管理するとして説明したが、グループ情報共通情報、共通情報用端末リストの項目をマージしたテーブルで管理するとしてもよい。

グループ情報実データが共通情報の場合のグループ情報保持端末のグループ情報取得処理について説明する。
グループ情報保持端末４００がグループ情報を更新する場合について説明する。
グループ情報保持端末がグループ情報を取得する先はグループ情報管理サーバ１００と他のグループ情報保持端末がある。

まず、グループ情報保持端末４００がグループ情報管理サーバ１００よりグループ情報を取得する場合について説明し、次にグループ情報保持端末３００が他のグループ情報保持端末４００から取得する場合の処理について説明する。
まず、グループ情報がグループ情報共通情報の場合にグループ情報保持端末がグループ情報管理サーバ１００からグループ情報を取得し、更新するまでの処理について説明する。

グループ情報保持端末４００がグループ情報取得要求メッセージを生成、送信し、グループ情報管理サーバ１００のグループ情報更新判定部１０５が前記グループ情報取得要求メッセージを受信するまでの処理はグループ情報端末リストの場合と同じである。
グループ情報更新判定部１０５はグループ情報取得要求メッセージより端末識別子ｍ８０２、グループ識別子ｍ８０３、バージョンｍ８０４を抽出する。

グループ識別子ｍ８０３をキーとしてグループ情報格納部１０１から対応するグループ情報のグループ情報共通情報ｃ７０１、共通情報用端末リストｌ７０１を特定し、取得する。
端末識別子ｍ８０２が共通情報用端末リストｌ７０１に含まれているか否かの判定を行う。端末識別子ｍ８０２が含まれる場合はグループ識別子ｍ８０３に対応するグループに属していると判定し、含まれない場合はグループに属していないと判定する。前記グループに属してないと判定した場合は処理を終了し、グループ情報削除指示を含む返信メッセージを、前記グループ情報取得要求メッセージを送信してきたグループ情報保持端末４００に送信する。前記グループに属すると判定された場合は以下の処理を行う。

グループ情報更新判定部１０５はバージョンによる更新判定処理を行う。前記更新判定処理については端末リストの項で説明した。
グループ情報更新判定部１０５が更新要と判定するとグループ識別子ｍ８０３をキーとしてグループ情報格納部１０１から対応するグループ情報共通情報ｃ７０１を含む返信メッセージをグループ情報保持端末４００に送信する。

更新が不要な場合は更新不要通知を含む返信メッセージをグループ情報保持端末４００に送信する。
前記返信メッセージを受け取ったグループ情報保持端末４００の処理について説明する。
前記返信メッセージにグループ情報共通情報を含む場合について説明する。

グループ情報保持端末４００は受信した前記返信メッセージを、通信部３０８を通してグループ情報取得・更新部３０３が取得する。グループ情報取得・更新部３０３は前記返信メッセージよりグループ情報共通情報ｃ７０１を抽出し、グループ情報格納部３０１のグループ情報共通情報を更新する。
グループ情報共通情報の更新手法には次の３つが考えられる。

まず第１の方法は取得したグループ情報共通情報ｃ７０１で自らの保持するグループ情報共通情報を上書きする方法。第２の方法はグループ情報共通情報ｃ７０１と自らの保持する更新前のグループ情報共通情報とから、ある生成ルールに基づいて新規にグループ情報共通情報を生成し、格納する方法。第３の方法はグループ情報共通情報のバージョンは上書きして、共通情報は上書きしない方法。

ここで、第２の方法の生成ルールについて説明する。例えばグループ情報実データの共通情報は、２つの共通情報の排他的論理和をとり、新規にグループ情報共通情報を生成し、バージョンは２つのグループ情報共通情報のバージョンの高い方を格納する方法がある。この方法によれば、グループ情報保持端末３００及びグループ情報保持端末４００のグループ情報共通情報を更新する場合、更新前にグループ情報保持端末３００及びグループ情報保持端末４００が保持するグループ情報共通情報が同一であれば、更新後のグループ情報共通情報も一致するが、更新前にグループ情報保持端末３００及びグループ情報保持端末４００が保持するグループ情報共通情報が異なっていれば、更新後のグループ情報共通情報が一致しない可能性がある。よって複数のグループ情報保持端末でグループ情報共通情報の更新を行う場合、「更新前のグループ情報共通情報は一致していること」という制限を行う場合に有効である。

第１及び第２の方法は更新処理が起こるとグループ情報共通情報が変化する可能性がある。第３の方法ではグループ情報共通情報が変化することはない。
ここでグループ情報共通情報を用いてグループに属するか否かを判定する方法の一例について説明する。
グループ情報保持端末間で相互に通信する場合に通信メッセージを、共通情報を鍵として暗号化して送信することが考えられる。

この場合、暗号化された通信メッセージを受け取ったグループ情報保持端末は共通情報を復号鍵として前記暗号化された通信メッセージを復号し、解釈する。前記通信メッセージを送受信する端末が同一の共通情報を持つ（同一のグループに属する）場合は復号が可能で正常に処理が行われる。
また、同一の共通情報を持たない（同一グループに属さない）場合は前記暗号化された通信メッセージの復号が行えず、通信メッセージの解釈ができないため以降の処理ができない。

第１、第２の方法を上記のように暗号鍵として共通情報を用いる場合に適用すると、グループ情報共通情報を更新すると共通情報が変わる可能性があり、更新がグループ内の全端末に反映されるまで同一グループ内であっても通信が行えないことがありえる。つまり更新前まで通信が可能であったグループ情報保持端末間で通信ができなくなる場合が想定される。

このような通信不能なケースを回避するための方法として管理情報であるバージョンを更新し、グループ情報実データである共通情報は更新しない第３の方法が有効である。なお、第３の方法では更新のためのグループ情報共通情報に、グループ情報実データである共通情報を含めないとしてもよい。

また、第１、第２の方法は更新が行われる度、共通情報を変更することができるため、最新のグループ情報を保持するグループ情報保持端末同士の間でないと通信は許可されない。最新のグループ情報を保持するグループ情報保持端末間でないと通信を許可しない運用をする場合は有効といえる。

なお、これらの３つの方法をグループ情報管理サーバ１００が制御できるように前記管理情報に共通情報の更新方法として第１から第３のどの方法を使うか指定できるとしてもよい。
前記更新方法をグループ情報管理サーバ１００が制御することにより、ユーザの利便性重視、あるいはセキュリティ重視などさまざまな運用において有効にグループ情報の管理が可能となる。

グループ情報保持端末４００は以上の処理で前記返信メッセージより共通情報ｃ７０１を抽出し、グループ情報格納部３０１の共通情報を更新する。
なお、更新処理に先立ちグループ識別子の一致確認や、バージョン判定を行うとしてもよい。
返信メッセージにグループ情報削除指示が含まれる場合、グループ情報取得・更新部３０３はグループ情報格納部３０１のグループ情報を削除する。また、返信メッセージに更新不要通知が含まれる場合は何も処理を行わない。

なお、グループ情報端末リストの場合で説明したグループ情報更新済み端末リストを用いる更新判定を行ってもよい。
以上で、グループ情報がグループ情報共通情報の場合にグループ情報保持端末がグループ情報管理サーバ１００から共通情報を取得し、更新するまでの処理を説明した。

次に、グループ情報が共通情報の場合にグループ情報保持端末３００がグループ情報保持端末４００にグループ情報取得要求メッセージを送信し、グループ情報保持端末３００がグループ情報を取得し、更新するまでの処理について説明する。

グループ情報保持端末がグループ情報取得要求メッセージを生成、送信し、グループ情報保持端末４００のグループ情報更新判定部１０５が前記グループ情報取得要求メッセージを受信するまでの処理はグループ情報端末リストの場合と同様である。
グループ情報保持端末４００のグループ情報更新判定部１０５は前記グループ情報取得要求メッセージより端末識別子ｍ８０２、グループ識別子ｍ８０３、バージョンｍ８０４を抽出する。

グループ識別子ｍ８０３と自らが保持するグループ情報のグループ識別子を比較し、一致していれば以降の処理を行い、不一致の場合はグループ不一致エラーメッセージを返信する。
グループ情報更新判定部１０５はバージョンによる更新判定処理を行う。
グループ情報更新判定部１０５が更新要と判定するとグループ情報共通情報ｃ７０１を含む返信メッセージをグループ情報保持端末３００に送信する。
また、更新が不要な場合は更新不要通知を含む返信メッセージをグループ情報保持端末３００に送信する。

次に前記返信メッセージを受け取ったグループ情報保持端末３００の処理について説明する。
グループ情報保持端末３００は受信した返信メッセージを、通信部３０８を通してグループ情報取得・更新部３０３が取得する。グループ情報取得・更新部３０３は前記返信メッセージよりグループ情報共通情報ｃ７０１を抽出し、グループ情報格納部３０１のグループ情報共通情報を更新する。

グループ情報共通情報の更新方法はグループ情報管理サーバ１００からグループ情報共通情報取得する場合に説明した３つを想定する。前記返信メッセージよりグループ情報共通情報ｃ７０１を抽出し、グループ情報格納部３０１のグループ情報共通情報を更新する。
なお、更新処理の前にグループ識別子の一致確認や、バージョン判定を行うとしてもよい。

なお、グループ情報保持端末がグループ情報共通情報と共に、共通情報用端末リストを保持し、グループ情報取得要求メッセージより取得した端末識別子とからグループに含まれるか否かを判定し、グループに属してないと判定した場合は、グループ情報削除指示を含む返信メッセージを送信するとしてもよい。
返信メッセージにグループ情報削除指示が含まれる場合、グループ情報保持端末３００はグループ情報を削除する。グループ情報削除指示を含む返信メッセージ受信からグループ情報削除までの処理は先に説明した。

返信メッセージに更新不要通知が含まれる場合、グループ情報保持端末３００は何も処理を行わない。
以上で、グループ情報がグループ情報共通情報の場合にグループ情報保持端末が他のグループ情報保持端末からグループ情報共通情報を取得し、更新するまでの処理について説明した。

以上で、グループ情報保持端末がグループ情報管理サーバ１００からグループ情報を受信した場合、あるいは他のグループ情報保持端末と通信をする場合にグループ情報の更新を促す処理について、グループ情報実データが端末リストの場合、共通情報の場合の順番で説明した。
なお、グループ情報の更新通知メッセージあるいは処理要求メッセージにグループ情報を含め、前記更新通知メッセージあるいは処理要求メッセージを受信したグループ情報保持端末は更新判定後、グループ情報を更新するとしてもよい。

以上の処理を経て、グループ情報を更新したグループ情報保持端末４００は同一グループに属するグループ情報保持端末３００からコンテンツの移動処理が可能となる。
なお、更新のためのグループ情報取得先を識別するフラグを、グループ情報の管理情報に含める、あるいはメッセージ本体に項目として含める、としてもよい。
なお、更新通知に制御用のフラグを設け、更新判定処理を行わず即、グループ情報更新処理を強制するものと、更新判定処理を行い必要であればグループ情報更新処理を促すものなど更新通知をレベルわけするとしてもよい。

なお、本実施の形態ではあるグループ情報保持端末がグループ情報を更新した場合、あるいはコンテンツの移動、検索をする場合をきっかけとして更新通知を送信するとして説明したが、あるグループ情報保持端末が定期的に更新通知をブロードキャストし、同一グループ内のグループ情報を最新のものに更新するように促すとしてもよい。
また、処理要求メッセージや更新通知メッセージにグループ情報を含めて送信することによりグループ情報の要求・取得処理を簡素化することも可能である。

また、悪意あるユーザが更新通知メッセージを多数のグループ情報保持端末に送信し、グループ情報管理サーバ１００にグループ情報取得要求のためのアクセスを集中させ、グループ情報管理サーバ１００をダウンさせるという課題がある。
これは悪意あるユーザが更新通知メッセージのグループ識別子を改ざんすれば、他のグループに属するグループ情報保持端末に更新を促すことも可能なためである。

前記課題を解決するため、更新通知メッセージの暗号化などにより更新通知メッセージの送受信側において認証を可能としてもよい。
典型的な例としてはグループ情報実データに基づいて暗号鍵を生成し、前記更新通知メッセージを暗号化することが考えられる。この方法によれば同一グループに属するグループ情報保持端末からの更新通知のみが解釈できる。

なお、グループに属する単位として端末を例にとって説明したが、グループに属する単位はユーザや家庭であってもよい。
なお、グループ情報に管理情報が含まれるとして説明したが、グループ情報に管理情報を含まなくてもよい。この場合、グループ情報の更新判定処理は行わない。
本発明によれば、グループ内の１つの端末のグループ情報の更新タイミングで、他の端末のグループ情報の更新が可能になるため、より効率的なグループ情報の更新が可能となる。また、更新の必要のある端末のみグループ情報の更新処理を行う構成としたため、ネットワークの負荷も軽減できる。

本発明の情報管理システムに係る端末装置は、利用制限のあるデジタル著作物を再生するＤＶＤプレーヤやパーソナルコンピュータ等のコンピュータ装置として有用であり、本発明の情報管理システムに係る情報管理サーバは、デジタル著作物の再生状態等をインターネットなどの伝送媒体を介して受信するコンピュータ装置として有用である。

本実施の形態１に係るグループ情報管理システム１の全体構成を示す図である。 図１に示されるグループ管理サーバ２０及び端末装置６０ａ〜６０ｎの機能構成を示すブロック図である。 グループ所属端末リストの構成例を示す図である。 グループ情報の構成例を示す図である。 端末登録要求メッセージの構成例を示す図である。 グループ情報通知メッセージの構成例を示す図である。 削除完了通知メッセージの構成例を示す図である。 グループ管理サーバ２０と端末装置６０との間で行われる処理を示すシーケンス図である。 本発明の実施の形態２に係るグループ情報管理システムの全体構成を示す図である。 図９に示される端末リスト管理装置５０、共通グループ管理サーバ３０、個別グループ管理サーバ４０ａ〜４０ｊ及び端末装置７０ａ〜７０ｎの機能構成を示すブロック図である。 仮削除フラグリストの構成例を示す図である。 グループへの端末登録の処理を示すシーケンス図である。 グループから端末を削除するための前準備の処理を示すシーケンス図である。 グループから端末を実際に削除するための処理を示すシーケンス図である。 グループから端末を実際に削除するための他の処理を示すシーケンス図である。 本発明の実施形態３に係るグループ情報管理サーバ、グループ情報変更装置、グループ情報保持端末とそれぞれの周辺環境を示す図である。 グループ情報管理サーバの詳細な構成を示すブロック図である。 グループ情報変更装置の詳細な構成を示すブロック図である。 図１６に示すグループ情報保持端末の詳細な構成を示すブロック図である。 本発明の実施形態に係るグループ情報の内容を示す図である。 本発明の実施形態に係るグループ情報端末リストの内容を示す図である。 本発明の実施形態に係るグループ情報更新済み端末リストの内容を示す図である。 本発明の実施形態に係るメッセージフォーマットの内容を示す図である。 本発明の実施形態に係るグループ情報取得要求メッセージの内容を示す図である。 本発明の実施形態に係る更新通知メッセージの内容を示す図である。 本発明の実施形態に係る処理要求メッセージの内容を示す図である。 本発明の実施形態に係るグループ情報送信メッセージの内容を示す図である。 グループ情報保持端末がコンテンツの移動処理前に行う処理を示すフローチャートである。 本発明の実施形態に係るグループ情報端末リストの一例を示す図である。 本発明の実施形態に係るグループ情報更新済み端末リストの内容の一例を示す図である。 本発明の実施形態に係るグループ情報管理サーバとグループ情報保持端末の構成と処理の流れを示すブロック図である。 グループ情報保持端末がグループ情報管理サーバからグループ情報を取得し、グループ情報保持端末が更新判定後、グループ情報を取得更新するまでの処理を示すフローチャートである。 グループ情報保持端末がグループ情報管理サーバからグループ情報を取得し、グループ情報管理サーバにおける更新判定後、グループ情報保持端末がグループ情報を取得するまでの処理を示すフローチャートである。 本発明の実施形態に係るグループ情報管理サーバとグループ情報保持端末の構成と処理の流れを示すブロック図である。 グループ情報保持端末３００がグループ情報保持端末４００に処理要求メッセージを送信し、グループ情報保持端末４００が更新判定後、グループ情報管理サーバ１００からグループ情報を取得するまでの処理を示すフローチャートである。 本発明の実施形態に係るグループ情報保持端末の構成と処理の流れを示すブロック図である。 グループ情報保持端末３００がグループ情報保持端末４００に処理要求メッセージを送信し、グループ情報保持端末４００が更新判定後、互いにグループ情報を更新するまでの処理を示すフローチャートである。 グループ情報保持端末３００がグループ情報保持端末４００に処理要求メッセージを送信し、グループ情報保持端末４００がグループ情報要求メッセージを返信し、グループ情報保持端末３００が更新判定後、互いにグループ情報を更新するまでの処理を示すフローチャートである。 本発明の実施形態に係るグループ情報共通情報及び共通情報用端末リストの内容を示す図である。 本発明の実施形態に係るグループ情報共通情報及び共通情報用端末リストの一例を示す図である。

符号の説明

１，２ グループ情報管理システム
１０ ネットワーク
２０ グループ管理サーバ
２１，６４ セキュア通信部
２２ 登録可否判定部
２４ａ 端末リスト生成部
２４ｂ 端末リスト更新部
２５ グループ所属端末リスト格納部
２６，６５ グループ鍵格納部
２７ グループ情報生成部
２８ グループ情報格納部
２９ グループ情報読出部
３０ 共通グループ管理サーバ
３１，７４ ノンセキュア通信部
３２，４２ 仮削除フラグ設定部
３５，４５ 仮削除フラグリスト格納部
４０，４０ａ〜４０ｊ 個別グループ管理サーバ
５０ 端末リスト管理装置
５２ フラグ確認部
６０，６０ａ〜６０ｎ，７０，７０ａ〜７０ｎ 端末装置
６３，７１ 端末アプリケーション
６６ 登録部
６７ 削除部
６８ 耐タンパモジュール
２５１ グループ所属端末リスト
２８１ グループ情報
３５１，４５１ 仮削除フラグリスト
Ｍ１ 端末登録要求メッセージ
Ｍ１’ 取得要求メッセージ
Ｍ２ グループ情報通知メッセージ
Ｍ３ 削除完了通知メッセージ
Ｍ３’ 削除要求メッセージ

Claims (14)

1. データを記憶する複数の端末装置と、前記データに関する管理情報を管理する情報管理サーバとをネットワークを介して接続した情報管理システムであって、
   前記データは端末装置で形成されたグループに属するか否かを判定するためのグループ情報であり、前記管理情報は前記グループに所属する所定台数以内の端末装置の一覧を示す端末リストであり、
   前記情報管理サーバは、
   前記管理情報を記憶するための管理情報記憶手段と、
   前記各端末装置との間でセキュアな通信路を形成し、当該通信路を介して各端末装置と通信する第１セキュア通信手段と、
   共通管理サーバ部と、複数の個別管理サーバ部と、端末リスト管理装置部とを有し、
   前記各端末装置は、
   耐タンパモジュールと、
   前記共通管理サーバ部と通信する第１通信手段とを備え、
   前記耐タンパモジュールは、
   前記データをセキュアに記憶するためのデータ記憶手段と、
   前記データ記憶手段に記憶されたデータに対して前記グループ情報の削除処理をセキュアに実行する実行手段と、
   前記第１セキュア通信手段との間でセキュアな通信路を形成し、当該通信路を介して前記グループ情報の削除処理を実行した旨を示す完了通知を送信する第２セキュア通信手段とを備え、
   前記共通管理サーバ部は、
   前記グループ情報をこれから削除をする旨を示す予告通知を送信した端末装置に、前記完了通知の送信先とすべき個別管理サーバ部の宛先を通知する第２通信手段を備え、
   前記各個別管理サーバ部は、
   前記第１セキュア通信手段と、
   前記完了通知を受信したか否かを示す第１仮削除フラグの一覧であって、前記端末リストと対応付けられた仮削除フラグリストを記憶するための第１仮削除フラグリスト記憶手段と、
   前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、当該完了通知を送信した端末装置に対応する前記第１仮削除フラグをセットする第１仮削除フラグ設定手段とを備え、
   前記端末リスト管理装置部は、
   前記管理情報記憶手段と、
   前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、前記完了通知を送信した端末装置を、前記管理情報記憶手段に記憶されている端末リストから削除する更新手段と、
   前記第１仮削除フラグリストに含まれる所定の第１仮削除フラグのセットを任意のタイミングで確認するフラグ確認手段とを備え、
   前記更新手段は、前記フラグ確認手段による第１仮削除フラグのセットの確認に基づいて、当該第１仮削除フラグに対応する端末装置を前記端末リストから削除する
   ことを特徴とする情報管理システム。
2. 前記共通管理サーバ部は、さらに
   前記予告通知を受信したか否かを示す第２仮削除フラグの一覧であって、前記端末リストと対応付けられた第２仮削除フラグリストを記憶するための第２仮削除フラグリスト記憶手段と、
   前記第２通信手段を介して前記予告通知を受信した場合に、当該予告通知を送信した端末装置に対応する前記第２仮削除フラグをセットする第２仮削除フラグ設定手段とを備え、
   前記フラグ確認手段は、前記第２仮削除フラグリストの所定の端末装置に対応する第２仮削除フラグと、前記第１仮削除フラグリストの当該所定の端末装置に対応する第１仮削除フラグとを順次サーチし、
   前記更新手段は、前記フラグ確認手段が第２仮削除フラグのセットと、第１仮削除フラグのセットとを確認した場合に、第１仮削除フラグ及び第２仮削除フラグに対応する端末装置を前記端末リストから削除する
   ことを特徴とする請求項１記載の情報管理システム。
3. データを記憶する複数の端末装置と、前記データに関する管理情報を管理する情報管理サーバとをネットワークを介して接続した情報管理システムであって、
   前記データは端末装置で形成されたグループに属するか否かを判定するためのグループ情報であり、前記管理情報は前記グループに所属する所定台数以内の端末装置の一覧を示す端末リストであり、
   前記情報管理サーバは、
   前記管理情報を記憶するための管理情報記憶手段と、
   前記各端末装置との間でセキュアな通信路を形成し、当該通信路を介して各端末装置と通信する第１セキュア通信手段と、
   共通管理サーバ部と、複数の個別管理サーバ部とを有し、
   前記各端末装置は、
   耐タンパモジュールと、
   前記共通管理サーバ部と通信する第１通信手段とを備え、
   前記耐タンパモジュールは、
   前記データをセキュアに記憶するためのデータ記憶手段と、
   前記データ記憶手段に記憶されたデータに対して前記グループ情報の削除処理をセキュアに実行する実行手段と、
   前記第１セキュア通信手段との間でセキュアな通信路を形成し、当該通信路を介して前記グループ情報の削除処理を実行した旨を示す完了通知を送信する第２セキュア通信手段とを備え、
   前記共通管理サーバ部は、
   前記グループ情報をこれから削除をする旨を示す予告通知を送信した端末装置に、前記完了通知の送信先とすべき個別管理サーバ部の宛先を通知する第２通信手段と、
   端末リスト管理装置部とを備え、
   前記各個別管理サーバ部は、
   前記第１セキュア通信手段と、
   前記完了通知を受信したか否かを示す第１仮削除フラグの一覧であって、前記端末リストと対応付けられた仮削除フラグリストを記憶するための第１仮削除フラグリスト記憶手段と、
   前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、当該完了通知を送信した端末装置に対応する前記第１仮削除フラグをセットする第１仮削除フラグ設定手段とを備え、
   前記端末リスト管理装置部は、
   前記管理情報記憶手段と、
   前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、前記完了通知を送信した端末装置を、前記管理情報記憶手段に記憶されている端末リストから削除する更新手段と、
   前記第１仮削除フラグリストに含まれる所定の第１仮削除フラグのセットを任意のタイミングで確認するフラグ確認手段とを備え、
   前記更新手段は、前記フラグ確認手段による第１仮削除フラグのセットの確認に基づいて、当該第１仮削除フラグに対応する端末装置を前記端末リストから削除する
   ことを特徴とする情報管理システム。
4. 前記端末リストは、前記グループに所属する端末装置に対応し、前記予告通知を受信したか否かを示す第２仮削除フラグのカラムを含み、
   前記共通管理サーバ部は、さらに
   前記第２通信手段を介して前記予告通知を受信した場合に、当該予告通知を送信した端末装置に対応する前記第２仮削除フラグをセットする第２仮削除フラグ設定手段を備え、
   前記フラグ確認手段は、前記端末リストの所定の端末装置に対応する第２仮削除フラグと、前記第１仮削除フラグリストの当該所定の端末装置に対応する第１仮削除フラグとを順次サーチし、
   前記更新手段は、前記フラグ確認手段が第２仮削除フラグのセットと、第１仮削除フラグのセットとを確認した場合に、第１仮削除フラグ及び第２仮削除フラグに対応する端末装置を前記端末リストから削除する
   ことを特徴とする請求項３記載の情報管理システム。
5. 前記情報管理サーバは、さらに
   前記グループ情報を記憶するためのグループ情報記憶手段と、
   前記各端末装置から前記端末リストに当該端末装置を登録するための端末登録要求を受信した場合に、端末登録要求をした端末装置を前記端末リストに登録することができるか否かを判定する登録可否判定手段と、
   前記登録可否判定手段が登録可と判定した場合に、前記グループ情報記憶手段に記憶された前記グループ情報を読み出すグループ情報読出手段とを備え、
   前記耐タンパモジュールは、さらに
   前記グループ情報読出手段が読み出した前記グループ情報を前記第２セキュア通信手段を介して受信した場合に、受信したグループ情報を前記データ記憶手段に格納するグループ情報格納手段を備え、
   前記更新手段は、前記登録可否判定手段が登録可と判定した場合に、前記端末登録要求を送信した端末装置を前記端末リストに登録する
   ことを特徴とする請求項１記載の情報管理システム。
6. 前記共通管理サーバ部は、さらに
   前記予告通知を受信したか否かを示す第２仮削除フラグの一覧であって、前記端末リストと対応付けられた第２仮削除フラグリストを記憶するための第２仮削除フラグリスト記憶手段と、
   前記第２通信手段を介して前記予告通知を受信した場合に、当該予告通知を送信した端末装置に対応する前記第２仮削除フラグをセットする第２仮削除フラグ設定手段とを備え、
   前記フラグ確認手段は、前記第２仮削除フラグリストの所定の端末装置に対応する第２仮削除フラグと、前記第１仮削除フラグリストの当該所定の端末装置に対応する第１仮削除フラグを順次サーチし、
   前記更新手段は、第２仮削除フラグのセットと、第１仮削除フラグのセットとを前記フラグ確認手段が確認した場合に、第１仮削除フラグ及び第２仮削除フラグに対応する端末装置を前記登録可否判定手段の判定前に前記端末リストから削除する
   ことを特徴とする請求項５記載の情報管理システム。
7. 前記情報管理サーバは、さらに
   前記グループ情報を記憶するためのグループ情報記憶手段と、
   前記各端末装置から前記端末リストに当該端末装置を登録するための端末登録要求を受信した場合に、端末登録要求をした端末装置を前記端末リストに登録することができるか否かを判定する登録可否判定手段と、
   前記登録可否判定手段が登録可と判定した場合に、前記グループ情報記憶手段に記憶された前記グループ情報を読み出すグループ情報読出手段とを備え、
   前記耐タンパモジュールは、さらに
   前記グループ情報読出手段が読み出した前記グループ情報を前記第２セキュア通信手段を介して受信した場合に、受信したグループ情報を前記データ記憶手段に格納するグループ情報格納手段を備え、
   前記更新手段は、前記登録可否判定手段が登録可と判定した場合に、前記端末登録要求を送信した端末装置を前記端末リストに登録する
   ことを特徴とする請求項３記載の情報管理システム。
8. 前記端末リストは、前記グループに所属する端末装置に対応し、前記予告通知を受信したか否かを示す第２仮削除フラグのカラムを含み、
   前記共通管理サーバ部は、さらに
   前記第２通信手段を介して前記予告通知を受信した場合に、当該予告通知を送信した端末装置に対応する前記第２仮削除フラグをセットする第２仮削除フラグ設定手段を備え、
   前記フラグ確認手段は、前記第２仮削除フラグリストの所定の端末装置に対応する所定の端末装置に対応する第２仮削除フラグと、前記第１仮削除フラグリストの当該所定の端末装置に対応する第１仮削除フラグを順次サーチし、
   前記更新手段は、第２仮削除フラグのセットと、第１仮削除フラグのセットとを前記フラグ確認手段が確認した場合に、第１仮削除フラグ及び第２仮削除フラグに対応する端末装置を前記登録可否判定手段の判定前に前記端末リストから削除する
   ことを特徴とする請求項７記載の情報管理システム。
9. 前記実行手段は前記データ記憶手段に記憶されたデータに対して前記端末装置間におけるグループ情報の移動処理をセキュアに実行する
   ことを特徴とする請求項１または３記載の情報管理システム。
10. 前記データはデジタル著作物のライセンスであり、前記管理情報は前記ライセンスの利用履歴であり、前記実行手段は前記データ記憶手段に記憶されたライセンスデータを利用する
    ことを特徴とする請求項１または３記載の情報管理システム。
11. 前記データはデジタル著作物のライセンスであり、前記管理情報は前記端末装置が保持することができるライセンス数であり、前記実行手段は前記データ記憶手段に記憶されたライセンスデータを削除する
    ことを特徴とする請求項１または３記載の情報管理システム。
12. 前記データはデジタル著作物であり、前記管理情報は前記デジタル著作物の流通範囲数であり、前記実行手段は前記データ記憶手段に記憶された前記デジタル著作物を移動する
    ことを特徴とする請求項１または３記載の情報管理システム。
13. データを記憶する複数の端末装置と、前記データに関する管理情報を管理する情報管理サーバとをネットワークを介して接続した情報管理システムにおける情報管理方法であって、
    前記データは端末装置で形成されたグループに属するか否かを判定するためのグループ情報であり、前記管理情報は前記グループに所属する所定台数以内の端末装置の一覧を示す端末リストであり、
    前記情報管理サーバは、共通管理サーバ部と、複数の個別管理サーバ部と、端末リスト管理装置部とを有し、前記各端末装置は、耐タンパモジュールを備え、
    前記情報管理サーバでは、
    前記管理情報を記憶する管理情報記憶ステップと、
    第１セキュア通信手段が、前記各端末装置との間でセキュアな通信路を形成し、当該通信路を介して各端末装置と通信する第１セキュア通信ステップを含み、
    前記各端末装置では、
    前記共通管理サーバ部と通信する第１通信ステップを含み、
    前記耐タンパモジュールでは、
    前記データをセキュアに記憶するデータ記憶ステップと、
    前記記憶されたデータに対して前記グループ情報の削除処理をセキュアに実行する実行ステップと、
    前記第１セキュア通信手段との間でセキュアな通信路を形成し、当該通信路を介して前記グループ情報の削除処理を実行した旨を示す完了通知を送信する第２セキュア通信ステップとを含み、
    前記共通管理サーバ部では、
    前記グループ情報をこれから削除をする旨を示す予告通知を送信した端末装置に、前記完了通知の送信先とすべき個別管理サーバ部の宛先を通知する第２通信ステップを含み、
    前記各個別管理サーバ部では、
    前記第１セキュア通信ステップと、
    前記完了通知を受信したか否かを示す第１仮削除フラグの一覧であって、前記端末リストと対応付けられた仮削除フラグリストを記憶する第１仮削除フラグリスト記憶ステップと、
    前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、当該完了通知を送信した端末装置に対応する前記第１仮削除フラグをセットする第１仮削除フラグ設定ステップとを含み、
    前記端末リスト管理装置部では、
    前記管理情報記憶ステップと、
    前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、前記完了通知を送信した端末装置を、前記管理情報記憶ステップで記憶されている端末リストから削除する更新ステップと、
    前記第１仮削除フラグリストに含まれる所定の第１仮削除フラグのセットを任意のタイミングで確認するフラグ確認ステップとを含み、
    前記更新ステップでは、前記フラグ確認ステップによる第１仮削除フラグのセットの確認に基づいて、当該第１仮削除フラグに対応する端末装置を前記端末リストから削除する
    ことを特徴とする情報管理方法。
14. データを記憶する複数の端末装置と、前記データに関する管理情報を管理する情報管理サーバとをネットワークを介して接続した情報管理システムにおける情報管理方法であって、
    前記データは端末装置で形成されたグループに属するか否かを判定するためのグループ情報であり、前記管理情報は前記グループに所属する所定台数以内の端末装置の一覧を示す端末リストであり、
    前記情報管理サーバは、共通管理サーバ部と、複数の個別管理サーバ部とを有し、前記共通管理サーバ部は、端末リスト管理装置部を備え、前記各端末装置は、耐タンパモジュールを備え、
    前記情報管理サーバでは、
    前記管理情報を記憶するための管理情報記憶ステップと、
    第１セキュア通信手段が、前記各端末装置との間でセキュアな通信路を形成し、当該通信路を介して各端末装置と通信する第１セキュア通信ステップと、
    前記各端末装置では、
    前記共通管理サーバ部と通信する第１通信ステップを含み、
    前記耐タンパモジュールでは、
    前記データをセキュアに記憶するデータ記憶ステップと、
    前記記憶されたデータに対して前記グループ情報の削除処理をセキュアに実行する実行ステップと、
    前記第１セキュア通信手段との間でセキュアな通信路を形成し、当該通信路を介して前記グループ情報の削除処理を実行した旨を示す完了通知を送信する第２セキュア通信ステップとを含み、
    前記共通管理サーバ部では、
    前記グループ情報をこれから削除をする旨を示す予告通知を送信した端末装置に、前記完了通知の送信先とすべき個別管理サーバ部の宛先を通知する第２通信ステップを含み、
    前記各個別管理サーバ部では、
    前記第１セキュア通信ステップと、
    前記完了通知を受信したか否かを示す第１仮削除フラグの一覧であって、前記端末リストと対応付けられた仮削除フラグリストを記憶する第１仮削除フラグリスト記憶ステップと、
    前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、当該完了通知を送信した端末装置に対応する前記第１仮削除フラグをセットする第１仮削除フラグ設定ステップとを含み、
    前記端末リスト管理装置部では、
    前記管理情報記憶ステップと、
    前記第１セキュア通信手段を介する前記完了通知の受信に基づいて、前記完了通知を送信した端末装置を、前記管理情報記憶ステップで記憶されている端末リストから削除する更新ステップと、
    前記第１仮削除フラグリストに含まれる所定の第１仮削除フラグのセットを任意のタイミングで確認するフラグ確認ステップとを含み、
    前記更新ステップでは、前記フラグ確認ステップによる第１仮削除フラグのセットの確認に基づいて、当該第１仮削除フラグに対応する端末装置を前記端末リストから削除する
    ことを特徴とする情報管理方法。

Images