CN1441590A

CN1441590A - 硬盘组件

Info

Publication number: CN1441590A
Application number: CN03106467A
Authority: CN
Inventors: 堀吉宏; 日置敏昭
Original assignee: Sanyo Electric Co Ltd
Current assignee: Sanyo Electric Co Ltd
Priority date: 2002-02-26
Filing date: 2003-02-26
Publication date: 2003-09-10
Anticipated expiration: 2023-02-26
Also published as: JP2003248557A; KR20030070829A; CN1441590B; US20030161064A1

Abstract

一种硬盘组件(40)，其中，加密内容数据通过存取处理部(1439)被保存在2个硬盘(1430、1431)中，为对加密内容数据进行解密的许可协议被保存在存储器件(1440)的保密数据存储区域(1415)中。并且，存储器件(1440)由半导体元件构成，可独立于硬盘组件(40、41)地进行存取。从而能确保机密数据的安全性。

Description

硬盘组件

技术领域

本发明涉及一种保存许可协议的硬盘组件，该许可协议是用于对采用能对复制信息进行版权保护的数据传输系统所获取的加密数据进行解密或者读出。本发明特别涉及在可多路存取的存储装置中可以对复制信息进行版权保护的硬盘组件。

背景技术

近年，随着因特网等数字通信网络等的进步，通过携带电话等个人终端，各用户可以容易访问网络信息。

在这样的数字通信网络中，信息以数字数据被传送。因此，例如在上述那样的数字通信网络中传送的音乐数据、映像数据即使由用户进行复制，基本上可以在不损失音质和图像质量的情况下进行数据的复制。

因此，存在由这样的音乐数据和映像数据所代表的作者权利的内容通过数字通信网络传递时，如果不采取适当的版权保护措施，作者的权利很可能明显会受到侵犯。

另一方面，如果以版权保护作为最优先考虑的因素，而不通过急剧膨胀的数字通信网络进行内容数据的配送，这对于本来是利用作品数据的复制可以征收一定版权费的作者而言，反而得不偿失。

但是，通过数字通信网络向公众配送内容数据，这本身是应该受到作者的公众配送权限制的行为，需要构筑足够保护版权的措施方案。

这时，对于通过数字通信网络向公众配送的作为作品的音乐数据和映像数据等内容数据，需要防止利用一旦接收到的内容数据进一步随意进行复制的情况发生。

为此，提出了一种数据配送系统的方案，由保存对内容数据加密后的加密内容数据的配送服务器，向装载在携带电话等终端装置上的存储卡，配送加密内容数据。在该数据配送系统中，在要求配送加密内容数据时，向配送服务器传送预先在认证机构经过认证的存储卡的公开密钥及其认证书，配送服务器在确认接收到经过认证后的认证书后，向存储卡传送加密内容数据、为将加密内容数据解密的许可协议。许可协议包含为将加密内容数据解密的解密码(以下称为「内容密码」)、为识别许可协议的许可ID、以及限制许可协议使用的控制信息。配送服务器向存储卡传送许可协议时，配送服务器和存储卡分别生成会话密钥，通过在配送服务器和存储卡之间进行密钥的交换，构筑加密通信通道。

最后，配送服务器通过所构筑的加密通信通道向存储卡发送许可协议。这时，存储卡在内部存储器中保存所接收到的加密内容数据和许可协议。

要播放保存在存储卡中的加密内容数据时，在携带电话上装入存储卡。携带电话，除了通常的通话功能之外，还包括从存储卡中读出加密内容数据和内容密钥、对加密内容数据进行解密并播放、为输出给外部的专用电路。在读出内容密钥时，在存储卡和专用电路之间构筑加密通信通道，通过加密通信通道从存储卡传送给专用电路。

另外，存储卡具备与其它存储卡之间进行许可移动或者复制的功能。这时，和从配送服务器传送许可协议相同，根据发送方的存储卡和发送目标的存储卡双方所具有的功能构筑加密通信通道，将许可协议从发送方的存储卡传送给发送目标的存储卡。是移动许可协议、还是复制许可协议，根据包含在许可协议的控制信息确定。

这样，携带电话的用户可以利用携带电话网络从配送服务器接收加密内容数据和许可协议，并保存到存储卡中，然后可以将保存在存储卡上的加密内容数据进行解密，或者移动给其它存储卡。

另外，近来，随着广播电视网的数字化、数字通信网络的宽带化，已经开始可以传送大量的数据。随着这样的数据传送环境的变化，从这之前只能传送音乐数据那样的数据量比较小的内容数据，到可以配送大容量映像数据的基础设施开始完备。

另一方面，存储卡在处理映像数据时，数据存储容量小，数据的存取速度慢，并且每比特存储数据的存储价格高，从性能、价格上看，很难讲是处理映像数据的最适合的存储介质。

作为大存储容量、高速存取、并且每比特的存储价格便宜的存储介质，有硬盘组件。

但是，现有的硬盘组件，如果作为保存许可协议那样的要求机密性的机密数据的介质，存在着其机密性低的问题。

另外，硬盘组件，由于内部包含电机等可动部件，因此该装置的寿命短、不耐冲击、如果组件内部的磁存储介质的硬盘组件受到损伤，保存在硬盘组件中的数据不容易读出，这样对于许可协议那样不允许备份而数据本身又具有价值的机密数据进行处理，存在着存储的安全性低的问题。

发明内容

为此，本发明的目的在于提供一种即使保存在硬盘那样的存储介质中的数据不能读出时，也能保证对所保存的机密数据的读出、从而确保有关机密数据的安全性的硬盘组件。

依据本发明，硬盘组件是进行机密数据和非机密数据的输入输出、并且保存机密数据和非机密数据的硬盘组件，包括与外部进行数据的传送的接口、保存机密数据的、对不正当的存取保护机密数据的存储器件、保存非机密数据的圆盘状磁存储介质、对圆盘状磁存储介质进行非机密数据的写入以及/或者读出的存取处理部，存储器件包括保存机密数据的数据存储部、在进行机密数据的输入输出时，在机密数据的提供方和接收方之间构筑加密通道，并且进行有关机密数据的输入输出的控制的数据管理部。

优选存储器件由独立的半导体元件构成。

优选存储器件可拆卸地安装在该硬盘组件上。

优选硬盘组件进一步包括在接口和存储器件之间对有关机密数据的输入输出处理的数据传送方向进行选择、在在接口和存取处理部之间对有关非机密数据的输入输出处理的数据传送方向进行选择的选择部。

优选接口包括与外部之间传送机密数据的第1接口、和与外部之间传送非机密数据的第2接口。

附图说明

图1表示为将内容保存在硬盘组件中的系统的概略构成图。

图2表示对保存在硬盘组件中的内容进行播放处理的概略方框构成图。

图3表示对保存在硬盘组件中的内容在硬盘组件之间进行移动/复制的概略构成图。

图4表示图1所示系统中所处理的数据、信息等的特性图。

图5表示图1所示系统中用户数据保护的数据、密钥等的特性图。

图6表示图1所示下载服务器的构成的概略方框图。

图7表示图1所示终端装置的构成的概略方框图。

图8表示图1所示硬盘组件的构成的概略方框图。

图9表示硬盘组件中存储区域的构成图。

图10表示图1所示系统中许可协议配送处理的动作第1流程图。

图11表示图1所示系统中许可协议配送处理的动作第2流程图。

图12表示对硬盘组件中的内容存储方法的图。

图13表示在图3所示构成中许可协议的移动/复制处理的动作第1流程图。

图14表示在图3所示构成中许可协议的移动/复制处理的动作第2流程图。

图15表示在图2所示构成中许可协议的使用许可处理的动作流程图。

图16表示图1所示硬盘组件的另一构成的方框图。

具体实施方式

以下参照附图详细说明本发明的实施方案。此外，图中相同或者相当的部分采用相同的符号，并省略其重复说明。

图1表示在具备有关本发明的保护功能的硬盘组件中为保存加密内容数据、对加密内容数据解密的许可协议的概略构成图。

内容提供装置30是提供要保存在硬盘组件40中的加密内容数据以及许可协议的装置，通过数据总线BS与硬盘组件40连接，通过数据总线BS进行数据的收发。

此外，以下虽然是以通过数字通信网络、例如因特网下载影像数据并保存在硬盘组件40中的配送系统为例进行说明，在以下的说明也可以看到，本发明并不限定于这种情况，可以采用获取原始数据后生成加密内容数据以及许可协议而将所生成的加密内容数据以及许可协议保存在硬盘组件40中的数据记录机、将通过广播电视网接收到的加密内容数据以及许可协议保存在硬盘组件40中的广播电视接收系统、通过广播电视网获取加密内容数据、而通过数字通信网络获取许可协议的复合配送系统等各种各样的构成。即，内容提供装置30并不限定加密内容数据以及许可协议的获取路径，只要是具备与硬盘组件40之间进行数据传送、将加密内容数据以及许可协议传送给硬盘组件40的功能的装置即可。

另外，也并不限定于映像数据，也可以处理作为其它作品的内容、例如音乐数据、图象数据、朗读数据、文本数据、计算机程序、游戏软件等。

参见图1，在数据配送系统中，内容提供装置30由下载服务器10和终端装置20构成。硬盘组件40是包括可装卸的连接器的独立组件。数据总线BS是通过装载硬盘组件40的机构可以与其连接的数据总线。另外，终端装置与通过数字通信网络进行内容配送的下载服务器10连接。

下载服务器10，从终端装置20接收从装载了硬盘组件40的终端装置20的用户所发出的配送请求。管理映像数据的下载服务器10进行认证处理，判断传来配送请求的装载在终端装置20上的硬盘组件40是否持有正当的认证数据，即是否是具有保护功能的正当的存储装置。然后，当硬盘组件40是正当的硬盘组件时，下载服务器10通过终端装置20向硬盘组件40传送为保护版权而以给定的加密方式对映像数据(以下成为「内容数据」)进行加密后的加密内容数据、和包含为对这样的加密内容数据进行解密的内容密钥的许可协议。

终端装置20是为了将加密内容数据和许可协议保存在硬盘组件40中而进行下载服务器10和硬盘组件40之间的选择处理。

这时，为了配送许可协议，在下载服务器10和硬盘组件40之间形成保密连接(加密通信通道)，利用其配送许可协议。即，许可协议被加密成只能在硬盘组件40中可以进行解密，被传送给硬盘组件40后，在硬盘组件40中进行解密并保存。对于保密连接的形成将在后面详细说明。将这样的许可协议保存在硬盘组件40中的处理称为「写入」。

进一步，终端装置20如果具备播放功能，可以将保存在硬盘组件40中的加密内容数据和其许可协议读出进行播放。图2表示终端装置20具备播放功能，将保存在硬盘组件40中的加密内容数据和其许可协议读出进行播放的构成的概略方框图。

参见图2，终端装置20包括进行终端装置内部的控制以及对通过数据总线BS与硬盘组件40的数据传送进行控制的控制器1106、利用加密内容数据和许可协议进行内容的播放并具备数据包含功能的播放电路1550。在内容播放时，在硬盘组件40和播放电路1550之间形成保密连接，在其中从硬盘组件40向播放电路1550传送用于播放的许可协议。这时，在硬盘组件40中通过对播放电路1550的认证书的认证处理进行播放电路1550的正当性的确认。对播放电路1550传送内容密钥、可以对加密内容数据进行播放的处理称为「使用许可」，将在后面详细说明。

进一步，保存在硬盘组件40中的加密内容数据和许可协议，可以向其它硬盘组件传送。图3表示在终端装置20中的数据总线BS上连接2台硬盘组件40，在硬盘组件之间进行加密内容数据和许可协议的传送的概略构成图。

和硬盘组件40具有相同功能的硬盘组件41连接在数据总线BS上。终端装置20的控制器对2台硬盘组件40、41之间的数据传送进行控制并进行数据的选择。另外，当传送许可协议时，在硬盘组件40和硬盘组件41之间形成保密连接，在其中传送许可协议。这时，在硬盘组件40中通过对硬盘组件41的认证书的认证处理进行硬盘组件41的正当性的确认。这样，在2台硬盘组件之间传送许可协议时，在许可协议发送方的硬盘组件40侧的处理称为「传送」。在传送中，有将许可协议仍留在发送方中的复制、和不留的移动两种情况。在移动中，是对许可协议复制还是移动，由记录在许可协议内部的控制信息确定。这时，在许可协议接收方的硬盘组件41侧的处理，和图1中的硬盘组件40的处理相同，为「写入」，终端装置20和硬盘组件40，可以看作为图1所示的内容提供装置30，将在后面详细说明。

在图3中，虽然是在1个终端装置20上连接2台硬盘组件40、41，如果将硬盘组件40装载在其它终端装置上，通过通信电缆等将其它终端装置与终端装置20连接，在终端装置之间可以进行数据通信，则可以进行相同的处理。

在这样的构成中，既能保护内容数据的版权，又能使用户自由播放内容数据进行欣赏的系统所必要的条件是，第1是对内容数据加密的方式本身，第2是在许可协议通信时防止许可协议泄漏的方式、第3是为防止内容数据无限制复制利用的限制内容数据的利用方法和复制的版权保护功能。

在本发明的实施方案中，特别是在进行「写入」、「传送」、「使用许可」的各处理中，对充实对许可协议的输出方进行认证和检查的功能，通过对非认证的硬盘组件以及终端装置防止内容密钥的输出，从而防止内容数据的流出，强化版权保护的构成进行说明。

此外，在以下的说明中，从下载服务器10向终端装置20传送加密内容数据及其许可协议的处理称为「配送」。

图4表示本发明中所使用的数据、许可协议的特性。

首先，对数据进行说明。Dc表示映像数据等内容数据。内容数据Dc被实施了可以由内容密钥Kc解密的加密处理。以实施了可以由内容密钥Kc解密的加密处理的内容数据E(Kc、Dc)的形式从下载服务器10传送终端装置20，并保存在硬盘组件中。

此外，在以下的说明中，E(X，Y)的标记表示数据Y由加密密钥X被加密。

进一步，从下载服务器10与加密内容数据一起配送作为有关内容数据的明文信息的附加信息Di。此外，附加信息Di，包含识别内容数据Dc的数据ID(DID)。

另外，作为许可协议，包括内容密钥Kc、许可ID(LID)、数据ID(DID)、以及控制信息AC。

数据ID，是为识别内容数据Dc的编码，许可ID管理从下载服务器10的许可协议的配送，是为识别每个许可协议的编码。控制信息AC是从硬盘组件将许可协议或者内容密钥向外部输出时的控制信息，包括可使用次数(由使用许可输出内容密钥的次数)、有关许可协议的移动、复制的限制信息。

以后，将许可ID、数据ID、内容密钥Kc、控制信息AC一起统称为许可协议LIC。

另外，在以后，为了简化，控制信息AC只包括限制使用次数的控制信息的使用次数(0：不能播放，1～254：可使用次数，255：无限制)、许可协议的移动以及限制复制的移动·复制标志位(0：禁止移动复制，1：只可移动，2：可以移动复制)两项。

图5表示在本发明中用于形成保密连接的数据、密钥的特性图。

在终端装置20内的播放电路1550以及硬盘组件40、41中设置了固有公开加密密钥KPcxy。在此，公开加密密钥KPcxy按照机器的种类(种类等一定的单位)分配，x是为识别播放电路和硬盘组件的识别子。当机器是播放电路等播放装置时x＝p，当机器是硬盘组件时x＝m。y是为识别机器种类的识别子。公开加密密钥KPcxy由密码解密密钥Kcxy可以被解密。这些公开加密密钥KPcxy和密码解密密钥Kcxy，根据播放电路以及硬盘组件的种类而具有不同的值。这些公开加密密钥以及密码解密密钥统称为类密钥，将这些公开加密密钥称为类公开加密密钥，密码解密密钥称为类密码解密密钥，类密钥共同的单位称为类。类根据制造厂商、产品的种类、制造时的批量号而不同。

另外，作为硬盘组件以及内容播放电路的证书，设置Cxy。这些证书根据播放电路以及硬盘组件的种类而具有不同的信息。

播放电路以及硬盘组件的证书Cxy在出厂时以KPcxy∥1cxy∥E(ka，H(KPcxy∥1cxy))的形式保存在播放电路以及硬盘组件中。在此，1cxy是针对每个类的机器以及类公开加密密钥KPcxy的信息数据。另外，H(X)表示用Hash函数对数据列X进行运算的结果，是X的散列值，X∥Y表示X和Y之间的连接。E(ka，H(KPcxy∥1cxy))是KPcxy∥1cxy的签名数据。

KPa对于整个数据配送系统是共同的公开认证密钥，用于对在认证局(图中未画出)由主密钥Ka对类公开加密密钥KPcxy和类信息1cxy进行加密后的签名数据进行解密。主密钥Ka是在认证局中制作证书的签名数据所使用的密码加密密钥。

另外，包括按每个硬盘组件40、41管理的公开加密密钥KPomz、对由公开加密密钥KPomz加密后的数据可以解密的密码解密密钥Komz。这些按每个硬盘组件管理的的公开加密密钥和密码解密密钥统称为个别密钥，公开加密密钥KPomz称为个别公开加密密钥，密码解密密钥Komz称为个别密码解密密钥。z是为识别硬盘组件的识别子。

进行许可协议的配送、传送以及使用许可时需要用到在下载服务器10、终端装置20以及硬盘组件40、41中产生的共同密钥Ks1w、Ks2w。

在此，共同密钥Ks1w、Ks2w是在下载服务器与播放电路或者硬盘组件之间进行通信中，按每次形成保密连接的通信或者存取的单位的「会话」所产生的固有共同密钥，以后这些共同密钥Ks1w、Ks2w也称为「会话密钥」。另外，w是为识别会话的识别子。

会话密钥Ks1w在输出许可协议的提供方或者发送方中产生，会话密钥Ks2w在接收许可协议的接收方中产生。具体讲，下载服务器所代表的许可协议提供装置中产生会话密钥Ks1w，在播放电路中产生会话密钥Ks2w，在硬盘组件中在「写入」时产生会话密钥Ks2w，在「传送」以及「使用许可」时产生会话密钥Ks1w。然后，将在各处理中所产生的会话密钥相互交换。机器具备由在其它机器中产生的会话密钥进行数据的加密处理的功能。这样，采用会话密钥构筑保密连接，许可协议的传送在保密连接中进行，可以提高有关许可协议处理的保密强度，从对通信的攻击中保护许可协议。

图6表示图1所示的下载服务器10的构成的概略方框图。

下载服务器10包括为保存按照给定方式对内容数据加密后的数据和数据ID等配送信息的信息数据库304、根据携带电话等终端装置的各用户保存开始存取内容数据后的缴费信息的缴费数据库302、保存在信息数据库304中的内容数据的菜单的菜单数据库307、在每次许可协议的配送时产生、并且保存有关特定许可协议的许可ID等的配送的日志记录的配送记录数据库308、通过总线BS1接收来自信息数据库304、缴费数据库302、菜单数据库307、配送记录数据库308的数据、进行给定处理的数据处理部310、通过通信网络在配送载体和数据处理部310之间进行数据收发的通信装置350。

数据处理部310包括根据总线BS1上的数据控制数据处理部310的动作的配送控制部315、由配送控制部315控制、在配送处理时产生会话密钥Ks1w的会话密钥产生部316、为保存对从硬盘组件传送来的用于认证的认证数据Cxy＝KPcxy∥1cxy∥E(ka，H(KPcxy∥1cxy))进行解密的公开解密密钥KPa的认证密钥保存部313、通过通信装置350以及总线BS1接收从硬盘组件传送来的用于认证的认证数据Cxy、由来自认证密钥保存部313的认证密钥KPa进行解密处理的解密处理部312、采用由解密处理部312获得的类公开加密密钥KPcxy对由会话密钥产生部316产生的会话密钥Ks1w进行加密、向总线BS1输出的加密处理部318、通过总线BS1接收由会话密钥Ks1w加密后发送的数据、并由会话密钥Ks1w进行解密处理的解密处理部320。

数据处理部310进一步包括对由配送控制部315给出的内容密钥Kc以及控制信息AC采用由解密处理部320获取的硬盘组件的个别公开加密密钥KPomz加密的加密处理部326、对加密处理部326的输出采用解密处理部320给出的会话密钥Ks2w进一步加密后向总线BS1输出的加密处理部328。

下载服务器10的配送处理的动作，在后面将用流程图详细说明。

图7表示图1和图2所示的具有与下载服务器10连接的功能和播放电路1550的终端装置20的构成的概略方框图。

终端装置20包括通过数字通信网络与下载服务器10连接、进行数据的收发的收发部1104、在终端装置20的各部之间进行数据收发的总线BS2、通过总线BS2控制终端装置20的动作的控制器1106、将来自外部的指令传送给终端装置20的操作面板1108、将控制器1106等输出的信息表示成用户可视的信息的显示屏1110。

终端装置20进一步包括保存来自下载服务器10的内容数据(音乐数据)并且进行解密处理的可装卸的硬盘组件40、控制硬盘组件40与总线BS2之间的数据收发的硬盘组件接口1200、播放电路1550。

播放电路1550包括保存证书Cp3＝KPcp3∥1cp3∥E(ka，H(KPcp3∥1ccp3))的证书保存部1500。在此，终端装置20的类y为y＝3。

播放电路1550进一步包括保存类固有的解密密钥的Kcp3的Kcp保存部1502、从总线BS2接收到的数据采用解密密钥Kcp3进行解密、获得由硬盘组件40产生的会话密钥Ks1w的解密处理部1504。

播放电路1550进一步包括对由会话密钥产生部1508产生的会话密钥Ks2w采用由解密处理部1504获得的在硬盘组件40上产生的会话密钥Ks1w进行加密后、输出到总线BS2上的加密处理部1506。

播放电路1550进一步包括由会话密钥Ks2w解密总线BS2上的数据后输出内容密钥Kc的解密处理部1510、通过总线BS2接收加密内容数据E(Kc，Dc)、由来自解密处理部1510的内容密钥Kc对加密内容数据E(Kc，Dc)进行解密后将内容数据Dc输出给音乐播放部1518的解密处理部1516。

播放电路1550进一步包括接收来自解密处理部1516的输出、播放内容数据Dc的内容解码器1518、将内容解码器1518输出的内容数据Dc从数字信号变换成模拟信号的DA转换部1519、所输出的播放通信信号向外部输出的映像数据的输出端子1530。

另外，硬盘结构1200，是遵循ATA(AT Attachment)标准的结构，因此，数据总线为ATA总线。

终端装置20的各构成部分的各处理动作，将在后面采用流程图进行详细说明。

图8表示图1所示的硬盘组件40的构成的概略方框图。硬盘组件40包括圆盘状磁存储介质的硬盘1430、1431、磁头1432～1434、支柱1435、支撑臂1435A～1435C、电机1436、伺服控制部1437、寻道控制部1438、存取处理部1439、存储器件1440、控制器1441、命令选择部1442、ATA(AT Attachment)接口1443、端子1444。

硬盘1430、1431是用于保存从下载服务器10或者其它硬盘组件接收到的加密内容的介质。磁头1432固定在支撑臂1435A的前端，在硬盘1430的一面上进行数据写入以及/或者读出。另外，磁头1433固定在支撑臂1435B的前端，在硬盘1430的另一面和硬盘1431的一面上进行数据写入以及/或者读出。进一步，磁头1434固定在支撑臂1435C的前端，在硬盘1431的另一面上进行数据写入以及/或者读出。支撑臂1435A～1435C固定在支柱1435上。

电机1436以给定的转速使硬盘1430、1431转动。伺服控制部1437根据控制器1441的控制以给定转速控制电机1436转动。寻道控制部1438根据控制器1441的控制使支撑臂1435A～1435C在硬盘1430、1431的径方向上寻找磁道。存取处理部1439根据控制器1441的控制通过固定在支撑臂1435A～1435C上的磁头1432～1434在硬盘1430、143 1上进行加密内容数据的写入以及/或者读出。

控制器1441从命令选择部1442接收加密内容数据，控制伺服控制部1437、寻道控制部1438以及存取处理部1439在硬盘1430、1431的给定位置上对所接收的加密内容数据进行写入以及/或者进行读出。命令选择部1442从ATA接口1443接收加密内容数据以及许可协议，将所接收的加密内容数据向控制器1441输出，将许可协议向存储器件1440输出。ATA接口1443在端子1444和命令选择部1442之间进行数据的传送。端子1444是为了与终端装置20的硬盘接口1200之间进行数据的传送。

如已经说明的那样，作为硬盘组件40的类公开加密密钥以及类密码解密密钥分别设置KPcmy以及Kcmy，设置硬盘组件的类证书Cxy＝KPcxy∥1cxy∥E(ka，H(KPcxy∥1cxy))，在硬盘组件40中，类识别子由y＝1表示。另外，识别硬盘组件的个别识别子z由z＝2表示。这些在处理许可协议的存储器件1440中进行管理。

因此，存储器件1440包括类证书Cp1＝KPcm1∥1cm1∥E(ka，H(KPcm1∥1cm1))的证书保存部1400、保存针对每个硬盘组件设置的固有解密密钥的个别密码解密密钥Kom2的Kom保存部1402、保存类密码解密密钥Kcm1的Kcm保存部1421、保存可以用个别密码解密密钥Kom2解密的公开加密密钥KPom2的KPom保存部1416。

这样，通过设置象硬盘组件那样的存储装置的解密密钥，如以下说明的那样，可以按硬盘组件单位管理配送的内容数据和加密许可协议密钥。

存储器件1440进一步包括、在命令选择部1442和内部总线接口1424之间进行数据传送的端子1423、与端子1423之间传送数据的内部总线接口1424、与内部总线接口1424之间传送数据的总线BS3、对从内部总线接口1424输出到总线BS3上的数据采用来自Kcm保存部1421的类密码解密密钥Kcm1进行解密、在「写入」中将在硬盘组件40的外部(许可协议的发送方)中所产生的会话密钥Ks1w输出给密钥处理部1406的的解密处理部1422、接收来自KPa保存部1414的认证密钥KPa、利用认证密钥KPa根据传送到总线BS3上的数据进行判断其它机器(播放电路、或者其它硬盘组件)的证书的正当性的认证处理、将认证结果输出给控制器1420、将所获得的类公开加密密钥输出给加密处理部1410的认证处理部1408、通过由解密处理部1422所输出的由下载服务器10产生的会话密钥Ks1w以及由解密处理部1412输出的播放电路1550产生的会话密钥Ks2w，对数据加密并输出到总线BS3上的加密处理部1406。

存储器件1440进一步包括、在「写入」中产生会话密钥Ks1w、在「传送」以及「使用许可」的各处理中产生会话密钥Ks2w的会话密钥产生部1418、会话密钥产生部1418输出的会话密钥Ks1w会话密钥Ks1w、Ks2w采用认证处理部1408获取的类公开加密密钥KPcpz或者KPcmz加密后输出到总线BS3上的加密处理部1410、通过总线BS3接收由会话密钥Ks2w加密后的数据后采用会话密钥产生部1418获取的会话密钥Ks2w进行解密的解密处理部1412、在许可协议的使用许可处理中采用从保密数据存储区域1415读出的内容密钥Kc、在「传送」中由解密处理部1412解密后的其它硬盘组件的个别公开加密密钥KPomz(z≠2)进行加密的加密处理部1417。

存储器件1440进一步包括将总线BS3上的由与个别公开加密密钥KPom2成对的硬盘组件40的个别密码解密密钥Kom2进行解密的解密处理部1404、保存许可协议的保密数据存储区域1415、通过总线BS3与外部之间进行数据传送、与总线BS3接收控制信息AC、控制存储器件1440的动作的控制器1420。

此外，保存许可协议的保密数据存储区域1415、硬盘组件40中即使硬盘1430、1431出现故障成为不能读出数据的状态时，为了保证能读出许可协议，能够提供「传送」，与硬盘1430、1431的写入/读出独立，可以进行访问，即，采用比硬盘1430、1431要更加稳定的半导体存储器构成。另外，存储器件1440从确保安全的观点出发，具有耐窜改结构的单片半导体元件构成。

此外，存储器件1440也可以作为可拆卸地安装在硬盘组件40上的半导体元件。

在此，存储器件1440虽然采用单片半导体元件构成，也可以由多片半导体元件构成。这时，为了防止通过监测构成存储器件的多片半导体元件之间的布线使得许可协议泄漏的情况发生，必须将这些半导体元件之间的布线隐藏。

这样，通过设置存储器件1440，可以确保许可协议的保密性和安全性。

硬盘组件40包含2张硬盘1430、1431，在对硬盘1430、1431进行数据写入以及/或者读出时，不是在对在对硬盘1430进行数据写入以及/或者读出之后再对硬盘1431进行数据写入以及/或者读出那样一片一片进行进行数据写入以及/或者读出，而是使多个磁头1432～1434同时向同一位置移动，在所移动的位置上同时进行数据写入以及/或者读出。因此，2张硬盘1430、1431一起构成1个数据存储区域。

图9表示硬盘1430、1431一起构成的数据存储区域的构成图。参照图9，数据存储区域2000包括用户区域2100、和非用户区域2200。用户区域2100构成数据区域2110。非用户区域2200构成管理数据存储区域2210。

数据存储区域2000设置按数据区域内的存取单位指定存储位置的实地址0～M+N。用户区域2100分配给由数据区域的实地址实地址0～M所指定的M+1个的区域，管理数据存储区域2200分配给由数据区域的实地址实地址M+1～M+N所指定的N个的区域。1个数据区域可以记录512字节的数据。

用户区域2100是通过ATA接口1443可以直接进行数据写入以及/或者读出的区域，在记录位置的指定中，采用称为LBA的逻辑地址。因此，在用户区域2100中存在2种地址，在外部采用LBA地址指定，在内部转换成实地址后进行数据写入以及/或者读出。通过采用这样的构成，当在所指定的记录位置上出现不良，变成不能使用时，对于指定为该不良位置的LBA，废弃原先分配的出现了不良的位置，而重新分配预先准备的替代区域，这样可以保证LBA的连续性。另外，通过ATA接口1443向用户区域进行的数据写入以及/或者读出是由标准ATA命令(写入/读出命令)指定LBA实行。

在图9中，虽然并不需要使LBA与实地址一致，但1个LBA一次只能对应一个实地址。

管理数据存储区域2210，是上述的替代用区域和在硬盘组件40内保存独自使用的管理数据的区域。在管理数据存储区域2210中记录有关在硬盘1430、1431中保存的数据记录的管理数据(数据区域的替代信息、错误日志、实地址和LBA的对应表等)、以及控制器1441的程序的一部分。管理数据存储区域2210不能通过ATA接口1443进行数据写入以及/或者读出。但是，通过替代处理分配给LBA的记录位置，作为用户区域2100的一部分利用。

另外，作为在存储器件1440内保密数据存储区域1415的记录位置的指定方法，在以下说明中，保密数据存储区域1415由表示分配给n个存储区域的的记录位置的条目编号进行指定。通过指定所分配的条目编号，可以进行许可协议的写入、转移/复制以及使用许可处理。对于向存储器件1440的存取，通过按一定顺序指示与用户区域2100不同的多个扩展ATA命令，与通信对方之间构筑保密连接，在构筑之后，通过指示条目编号，进行许可协议的写入以及/或者读出。命令选择部1442，确认ATA命令，如果是标准ATA命令，则向控制器1441传送，如果是扩展ATA命令，则通过存储器件1440的端子1423、内部总线接口1424以及总线BS3向控制器1420传送。

作为保密数据存储区域1415的记录位置的指定方法，用户区域2100的逻辑地址LBA虽然是采用独立的条目编号进行了说明，从对硬盘组件40的存储区域一元化管理的意义上，作为保密数据存储区域1415的记录位置的指定方法，也可以分配管理与分配给数据存储区域2110的LBA连续的LBA。这时，例如，条目编号0～n可以分配给逻辑地址LBA的maxLBA+1～maxLBA+n+1。

另外，用户区域、保密数据区域也可以成为用户区域分配连续的LBA。

对于硬盘组件41，其构成和硬盘组件40相同，在此省略其说明。另外，硬盘组件41的类识别子y和硬盘组件40相同为y＝1，个别识别子z为z＝4(≠2)。

数据存储区域2110保存为管理加密内容数据E(Kc，Dc)、附加信息Di、加密内容数据的播放列表、许可协议的许可协议管理文件。管理数据存储区域2210保存为在数据存储区域2110中进行数据写入以及/或者读出的所必要的管理信息。

以下，对图1、图2以及图3中有关许可协议的处理进行详细说明。

[配送]

首先说明从图1所示的下载服务器10向硬盘组件40进行的将加密内容数据解密的许可协议的配送。图10和图11表示从图1所示的下载服务器10配送许可协议的动作的第1以及第2流程图。硬盘组件40进行「写入」处理。

在图10中进行处理以前，是以终端装置20的用户通过电话网络与下载服务器10连接、获取希望下载的内容的数据ID、向下载服务器10发出了配送请求，进一步把握硬盘组件40的保密数据存储区域1415、确认保密数据存储区域1415的空余区域，确定指定为保存新的许可协议的保密数据存储区域1415上的存储位置的保存方的条目编号的事件为前提。另外，按照本流程图向硬盘组件40进行的数据输入输出以及指示，采用扩展命令进行。

在图10中，终端装置20的用户通过操作面板1108发出配送许可协议的指示。

发出配送许可协议的指示后，控制器1106通过总线BS2以及硬盘接口1200向硬盘组件40输出证书的输出请求(第S100步)。硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443接收证书的输出请求，将所接收到的证书输出请求输出给存储器件1440的端子1423，存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3接收证书输出请求(第S1020步)。然后，控制器1420通过总线BS3从证书保存部1400读出证书Cm1，通过总线BS3、内部总线接口1424以及端子1423输出证书Cm1，命令选择器1442通过ATA接口1443以及端子1444将证书Cm1输出给硬盘接口1200(第S104步)。

终端装置20的控制器1106，通过硬盘接口1200以及总线BS2接收来自硬盘组件40的证书Cm1(第S106步)。将所接收的证书Cm1向下载服务器10发送(第S110步)。然后，解密处理部312利用认证密钥保存部313的认证密钥KPa对硬盘组件40输出的证书Cm1＝KPcm1∥1cm1∥E(ka，H(KPcm1∥1cm1))的签名数据E(ka，(KPcm1∥1cm1))进行解密，将解密后的数据的散列值H(KPcm1∥1cm1)向配送控制部315输出。配送控制部315对证书Cm1的KPcm1∥1cm1计算散列值，确认所计算的散列值是否与解密处理部312接收到的散列值H(KPcm1∥1cm1)一致。即，下载服务器10，通过解密处理部312可以利用认证密钥KPa对证书Cm1的签名数据E(ka，(KPcm1∥1cm1))进行解密、并且配送控制部315确认从发送方的硬盘组件40接收到的的散列值和自己计算的散列值是否一致，可以验证证书Cm1(第S112步)。

配送控制部315根据解密处理部312中的解密处理结果进行判断是否接收到由正当的机器实施了为证明其正当性的证书的认证处理。如果判断是正当的证书时，配送控制部315转移到下一步处理(第S114步)。如果不是正当的类证书，配送控制部315不承认，将错误通知输出给终端装置20(第S176步)，终端装置20接收错误通知(第S178步)，通过写入拒绝结束配送动作(第S180步)。

当认证结果确认是来自装载了具有正当证书的硬盘组件的终端装置的访问时，在下载服务器10中，配送控制器315受理来自硬盘组件40的类公开加密密钥KPcm1(第S114步)，产生为识别有配送请求的许可协议的许可ID(第S116步)。

然后，配送控制部315生成控制详细AC(第S118步)，会话密钥产生部316，生成用于配送的会话密钥Ks1a(第S120步)。会话密钥Ks1a在加密处理部318，被由解密处理部312获取的与硬盘组件40对应的类公开加密密钥KPcm1加密(第S122步)

配送控制部315将许可ID以及加密后的会话密钥Ks1a，作为数据LID∥E(KPcm1，Ks1a)，通过总线BS1以及通信装置350向终端装置20发送(第S124步)。

终端装置20接收到数据LID∥E(KPcm1，Ks1a)后(第S126步)，控制器1106通过总线BS2以及硬盘接口1200将数据LID∥E(KPcm1，Ks1a)输出给硬盘组件40(第S128步)，硬盘组件的命令选择器1442通过端子1444以及ATA接口1443接收数据LID∥E(KPcm1，Ks1a)，将所接收的数据LID∥E(KPcm1，Ks1a)输出给端子1423。然后，存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理数据LID∥E(KPcm1，Ks1a)(第S130步)。然后，控制器1420通过总线BS3将加密数据E(KPcm1，Ks1a)输出给解密处理部1422，解密处理部1422，通过利用保存在Kcm保存部1421中的硬盘组件40固有的类密码解密密钥Kcm1进行解密处理，解密出会话密钥Ks1a，受理会话密钥Ks1a(第S132步)。

这样，下载服务器10的配送控制部315通过总线BS1以及通信装置20向终端装置传送会话密钥输出请求，终端装置20的控制器1106接收会话密钥输出请求，通过硬盘接口1200向硬盘组件40发送(第S134步)。硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443受理会话密钥输出请求，将所接收的会话密钥输出请求输出到存储器件1440的端子1423上。然后，存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理会话密钥输出请求，控制使会话密钥产生部1418产生会话密钥。然后，会话密钥产生部1418产生会话密钥Ks2a(第S136步)。

这样，加密处理部1406，利用由解密处理部1422通过切换开关1425的触点Pa给出的会话密钥Ks1a，将从会话密钥产生部1418通过切换开关1426的触点Pd给出的会话密钥Ks2a、和从KPom保存部1416通过切换开关1426的触点Pf给出的个别公开加密密钥KPom2作为一个数据例进行加密，通过总线BS3输出加密数据E(Ks1a，Ks2a∥KPom2)(第S138步)。控制器1420将在输出到总线BS3上的加密数据E(Ks1a，Ks2a∥KPom2)上增加了许可ID(LID)的数据LID∥E(Ks1a，Ks2a∥KPom2)通过总线BS3、内部总线接口1424以及端子1423输出给命令选择器1442，命令选择器通过ATA接口1443以及端子1444将数据LID∥E(Ks1a，Ks2a∥KPom2)输出给终端装置20(第S140步)。

然后，终端装置20受理数据LID∥E(Ks1a，Ks2a∥KPom2)(第S142步)，将所受理的数据LID∥E(Ks1a，Ks2a∥KPom2)发送给下载服务器10(第S144步)。

下载服务器10接收数据LID∥E(Ks1a，Ks2a∥KPom2)(第S146步)，解密处理部320利用会话密钥Ks1a对加密数据E(Ks1a，Ks2a∥KPom2)进行解密，受理在硬盘组件40生成的会话密钥Ks2a、以及硬盘组件40的个别公开加密密钥KPom2(第S148步)。

然后，配送控制部315从信息数据库304中获取数据ID(DID)以及内容密钥Kc，生成许可协议LIC(第S150步)。然后，配送控制部315将生成的许可协议LIC，即许可ID、数据ID、内容密钥Kc以及控制信息AC输出给加密处理部326，加密处理部326，利用由解密处理部320获得的硬盘组件40的个别公开加密密钥KPom2对许可协议LIC进行加密，产生加密数据E(KPom2，LIC)(第S152步)。

在图11中，加密处理部328对来自加密处理部326的加密数据E(KPom2，LIC)利用由解密处理部320解密的会话密钥Ks2a进行加密，产生加密数据E(Ks2a，E(KPom2，LIC))(第S154步)。然后，配送控制部315通过总线BS1以及通信装置350将加密数据E(Ks2a，E(KPom2，LIC))传送给终端装置20(第S156步)，终端装置20受理加密数据E(Ks2a，E(KPom2，LIC))(第S158步)。

然后，终端装置20的控制器1106通过总线BS2以及硬盘接口1200将加密数据E(Ks2a，E(KPom2，LIC))输出给硬盘组件40(第S160步)，硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443接收加密数据E(Ks2a，E(KPom2，LIC))，将所接收的加密数据E(Ks2a，E(KPom2，LIC))输出到存储器件1440的端子1423上。存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理加密数据E(Ks2a，E(KPom2，LIC))(第S162步)。控制器1420通过总线BS3将所受理的加密数据E(Ks2a，E(KPom2，LIC))输出给解密处理部1412，解密处理部1412利用来自会话密钥产生部1418的会话密钥Ks2a对加密数据E(Ks2a，E(KPom2，LIC))进行解密，受理加密数据E(KPom2，LIC)(第S164步)。

然后，解密处理部1404利用保存在Kom保存部1402中的个别公开密码解密密钥Kom2对来自解密处理部1412的加密数据E(KPom2，LIC)进行解密，获得许可协议LIC(第S166步)。控制器1420受理许可协议LIC后，终端装置20的控制器1106，将为保存许可协议LIC的条目通过总线BS2以及硬盘接口1200输出给硬盘组件40(第S168步)，硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443接收条目编号，将所接收到的条目编号输出到存储器件1440的端子1423上。

然后，存储器件1440的控制器1420，通过端子1423、内部总线接口1424以及总线BS3受理条目编号(第S170步)。然后，控制器1420判断已经受理的许可ID与在第S166步中包含在所受理的许可协议LIC中的许可ID是否一致(第S172步)，如果不一致时将错误通知通过总线BS3、内部总线接口1424以及端子1423输出给命令选择器1442。然后，命令选择器1442通过ATA接口1443以及端子1444将错误通知输出给硬盘接口1200(第S174步)，终端装置20的控制器1106通过硬盘接口1200以及总线BS2受理错误通知(第S178步)，通过写入拒绝，结束配送动作(第S180步)。

另一方面，在第S172步中，如果2个许可ID一致，控制器1420在保密数据存储区域1415中的由在第S170步受理的条目编号所指定的区域中记录许可协议LIC(第S182步)，正常结束这一系列动作(第S184步)。

此外，虽然没有在上面说明，在许可协议的配送处理结束后，终端装置20的控制器1106向下载服务器10发送加密内容数据配送请求，下载服务器10接收加密内容数据配送请求。然后，下载服务器10的配送控制部315从信息数据库304中获取加密内容数据E(Kc，Dc)以及附加信息Di，通过总线BS1以及通信装置350将这些数据发送给终端装置20。

终端装置20接收数据E(Kc，Dc)∥Di，受理加密内容数据E(Kc，Dc)以及附加信息Di。这样，控制器1106将加密内容数据E(Kc，Dc)以及附加信息Di作为1个内容文件通过总线BS2以及硬盘接口1200输入给硬盘组件40。另外，控制器1106产生包含保存在硬盘组件40中的许可协议的条目、明文的许可ID、数据ID并且针对加密内容数据E(Kc，Dc)以及附加信息Di的许可协议管理文件，所生成的许可协议管理文件通过总线BS2以及硬盘接口1200输入给硬盘组件40。然后，在硬盘组件40中，命令选择器1442，控制存取处理部1439，将加密内容数据E(Kc，Dc)、附加信息Di、许可协议管理文件通过磁头1432～1434保存在硬盘1430、1431的数据存储区域2110中，存取处理部1439在硬盘1430、1431中记录加密内容数据E(Kc，Dc)、附加信息Di、许可协议管理文件。

进一步，硬盘组件40的控制器1106在记录在硬盘组件40的数据存储区域2110中的播放列表中，作为接收到的内容的信息，追加记录所记录的内容文件以及许可协议管理文件名称、从附加信息Di中抽出的有关加密内容数据的信息(曲名、作者名)等，然后结束整个处理。

这样，在确认装载在终端装置20上的、保存许可协议的硬盘组件40是持有正当的证书的机器、同时公开加密密钥KPcm1为有效的基础上，可以进行内容数据的配送，而且可以禁止向不正当硬盘组件配送许可协议。

另外，交换在下载服务器10以及硬盘组件40分别产生的加密密钥，利用相互接收到的加密密钥进行加密，将该加密数据传送给对方，在各自发送加密数据中可以进行事实上的相互认证，提高数据配送系统的安全性。

图12表示在硬盘组件40的数据存储区域2110以及保密数据存储区域1415。在数据存储区域2110中，保存播放内容列表文件160、内容文件1611～161k、许可协议管理文件1621～162k。内容文件1611～161k将接收到的加密内容数据E(Kc，Dc)以及附加信息Di一起作为1个文件保存。另外，许可管理文件1621～162k分别与内容文件1611～161k对应保存，保存在保密数据存储区域1415的许可协议LIC的条目。

硬盘组件40，在从下载服务器10接收到加密内容数据以及许可协议时，通过复制/转移处理从其它硬盘组件接收到加密内容数据以及许可协议时，将加密内容数据保存在硬盘1430、1431中，将许可协议保存在保密数据存储区域1415中。

传送给硬盘组件40的加密内容数据的许可协议，记录在由保密数据存储区域1415的条目编号所指定的区域中，如果读出保存在硬盘1430、1431的数据存储区域2110中的播放内容列表文件160的许可协议管理文件，可以获取保存了许可协议的保密数据存储区域1415上的条目编号，根据所获取的条目编号可以从保密数据存储区域1415读出对应的许可协议。

另外，许可协议管理文件1622用虚线表示，是表示实际上并没有保存。这表示虽然有内容文件1612但由于没有许可协议而不能播放，例如这相当于终端装置20从其它终端装置只接收了加密内容数据的情况，或者只是将许可协议从其它硬盘组件转移来的情况。

进一步，内容文件1613用虚线表示，例如这相当于终端装置20从下载服务器10接收了加密内容数据以及许可协议，而只将所接收到的加密内容数据传送给了其它终端装置的情况，表示虽然有许可协议1415在保密数据存储区域1415中存在，但不存在加密内容数据的情况。

[硬盘组件之间的转移/复制处理]

如上所述，在硬盘组件40的数据存储区域2110中保存的加密内容数据，由于可以采用标准ATA命令对保存在数据存储区域2110中的数据进行写入以及/或者读出，在图3的构成中，保存在硬盘组件40中的加密内容数据可以自由复制到硬盘组件41中。但是，即使将加密内容数据复制到其它硬盘组件41中，如果没有获取为对所复制的加密内容数据进行解密的许可协议，也不能播放所复制的加密内容数据。

这样，在图1所示的构成中，虽然可以用硬盘组件41替换硬盘组件40，装载在终端装置20上按照图10以及图11所示的流程图接收许可协议的配送，也可以在图3所示的构成中将保存在硬盘组件40中的许可协议转移或者复制到硬盘组件41中。如上所述，在硬盘组件40中的处理为「传送」，在硬盘组件41中的处理为「写入」。

图13以及图14，表示在图3中将保存在硬盘组件40中的许可协议转移或者复制到硬盘组件41中的第1以及第2流程图。按照图13以及图14所示的流程图所进行的处理称为转移/复制处理。在图13中进行处理以前，终端装置20的控制器1106连接在用户为指定进行许可协议的传送的内容以及许可协议的转移/复制请求的输入装置(图中未画出)上。然后，作为其前提条件是，根据用户的指示，控制器1106已经从发送方的硬盘组件40的内容列表文件160中选定进行转移/复制的许可协议的内容管理文件，参照所选定的内容管理文件保存了要移动或者复制的许可协议的条目编号，以及确认接收方的硬盘组件41的保密数据存储区域1415的空余区域，选定了为保存转移或者复制来的许可协议的条目编号。

参照图13，当用户发出转移/复制请求的指示后，终端装置20的控制器1106，通过总线BS将证书输出请求传送给硬盘组件41(第S200步)。这样，处理向硬盘组件41转移。命令选择器1442通过端子1444以及ATA接口1443接收证书输出请求，将所接收的证书输出请求输出到存储器件1440的端子1423上。

然后，存储器件1440的控制器1420，通过端子1423、内部总线接口1424以及总线BS3受理证书输出请求(第S202步)。然后，控制器1420在接收到证书输出请求后，从证书保存部1400通过总线BS3读出证书Cm1，所读出的证书Cm1通过总线BS3、内部总线接口1424以及端子1423输出给命令选择器1442，命令选择器1442将证书Cm1通过ATA接口1443以及端子1444输出给终端装置20的控制器1106(第S204步)。这样处理向终端装置20转移。控制器1106通过总线BS受理证书Cm1(第S206步)，通过总线BS向硬盘组件40发送硬盘组件41的证书Cm1(第S208步)。

然后，处理向硬盘组件40转移。硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443受理证书Cm1(第S210步)，命令选择器1442将证书Cm1输出给存储器件1440的端子1423上。存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3接收证书Cm1，将所接收的证书Cm1通过总线BS3输出给认证处理部1408。然后，认证处理部1408，利用KPa保存部1414中的认证密钥KPa进行证书Cm1的解密处理，将该解密结果输出给控制器1420。控制器1420对证书Cm1的数据KPcm1∥1cm1计算散列值，确认所计算的散列值是否与从认证处理部1408接收到的散列值H(KPcm1∥1cm1)一致。即，硬盘组件40，通过认证处理部1408可以利用认证密钥KPa对证书Cm1的加密数据E(Ka，H(KPcm1∥1cm1))进行解密的事实，以及确认控制器1420从发送方的硬盘组件41接收到的散列值和自己计算的散列值一致的事实，验证证书Cm1(第S212步)。

如果判断是正当的证书，控制器1420，转移到下一处理(第S214步)。如果不是正当的证书，则不承认，并向终端装置201输出错误通知(第S282步)，终端装置20受理错误通知(第S284步)，通过写入拒绝，结束转移/复制处理(第S286步)。

如果认证结果确认是向持有正当证书的硬盘组件的「传送」，控制器1420，受理来自硬盘组件41的类公开加密密钥KPcm1(第S214步)，控制会话密钥产生部1418产生会话密钥Ks1b，会话密钥产生部1418产生会话密钥Ks1b(第S216步)。

然后，会话密钥Ks1b，在由加密处理部1410利用由认证处理部1408获取的与硬盘组件41对应的类公开加密密钥KPcm1进行加密(第S218步)。

控制器1420通过总线BS3接收来自加密处理部1410加密数据E(KPcm1，Ks1b)，所接收的加密数据E(KPcm1，Ks1b)通过总线BS3、内部总线接口1424以及端子1423输出给命令选择器1442，命令选择器1442将加密数据E(KPcm1，Ks1b)通过ATA接口1443以及端子1444传送给终端装置20(第S220步)。

终端装置20在接收到加密数据E(KPcm1，Ks1b)后(第S222步)，控制器1106将在加密数据E(KPcm1，Ks1b)上增加成为转移/复制对象的识别许可协议的许可ID后的数据LID∥E(KPcm1，Ks1b)通过总线BS向硬盘组件41输出(第S224步)。然后，处理向硬盘组件41转移。硬盘组件41的命令选择器1442通过端子1444以及ATA接口1443受理数据LID∥E(KPcm1，Ks1b)(第S226步)。然后，命令选择器1442将数据LID∥E(KPcm1，Ks1b)输出到存储器件1440的端子1423上，存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理数据LID∥E(KPcm1，Ks1b)。控制器1420通过总线BS3将加密数据E(KPcm1，Ks1b)传送给解密处理部1422，解密处理部1422通过利用保存在Kcm保存部1421中的硬盘组件41固有的类公开密码解密密钥Kcm1进行解密处理，解密出会话密钥Ks1b，受理会话密钥Ks1b(第S228步)。

然后，终端装置20的控制器1106通过总线BS向硬盘组件41输出会话密钥输出请求(第S230步)，硬盘组件41的命令选择器1442通过端子1444以及ATA接口1443接收会话密钥输出请求。然后，命令选择器1442，将会话密钥输出请求输出到存储器件1440的端子1423上，存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理会话密钥输出请求，控制会话密钥产生部1418产生会话密钥。

会话密钥产生部1418根据控制器1420的控制生成会话密钥Ks2b(第S232步)，加密处理部1406利用由解密处理部1422给出的会话密钥Ks1b，将从会话密钥产生部1418通过切换开关1426的触点Pd给出的会话密钥Ks2b、和从KPom保存部1416通过切换开关1426的触点Pf给出的个别公开加密密钥KPom4作为一个数据例进行加密，通过总线BS3输出加密数据E(Ks1b，Ks2b∥KPom4)(第S234步)。控制器1420将在输出到总线BS3上的加密数据E(Ks1b，Ks2b∥KPom4)上增加了许可ID(LID)的数据LID∥E(Ks1b，Ks2b∥KPom4)通过总线BS3、内部总线接口1424以及端子1423输出给命令选择器1442。然后，命令选择器1442将通过ATA接口1443以及端子1444将数据LID∥E(Ks1b，Ks2b∥KPom4)输出给终端装置20(第S236步)，终端装置20通过总线BS受理数据LID∥E(Ks1b，Ks2b∥KPom4)(第S238步)，将所受理的数据LID∥E(Ks1b，Ks2b∥KPom4)输出给硬盘组件40(第S240步)。

然后，处理向硬盘组件40转移。硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443受理数据LID∥E(Ks1b，Ks2b∥KPom4)(第S242步)，将所受理的数据LID∥E(Ks1b，Ks2b∥KPom4)输出到存储器件1440的端子1423上。然后，存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3接收数据LID∥E(Ks1b，Ks2b∥KPom4)，将加密数据E(Ks1b，Ks2b∥KPom4)传送给解密处理部1412。

解密处理部1422利用会话密钥Ks1b对加密数据E(Ks1b，Ks2b∥KPom4)进行解密，受理硬盘组件41生成的会话密钥Ks1b、以及硬盘组件41的个别公开加密密钥KPom4(第S244步)。

然后，从终端装置20的控制器1106输出保存了成为转移/复制对象的许可协议LIC的条目编号(第S246步)，硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443接收条目编号，将所接收的条目编号输出到存储器件1440的端子1423上，存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理条目编号(第S248步)。然后，控制器1420，根据受理的条目编号，从保密数据存储区域1415获取成为转移/复制对象的许可协议LIC(第S250步)。控制器1420判断所获取的许可协议LIC的有效标志位是否有效(第S252步)。如果判定有效标志位有效时，上述控制器1420输出错误通知，通过写入拒绝，结束转移/复制处理(第S282、S284、S286步)。

在第S252步中，如果判定有效标志位有效，控制器1420将所获取的许可协议LIC传送给加密处理部1417，加密处理部1417利用来自解密处理部1412的个别公开加密密钥KPom4对许可协议LIC进行加密，生成加密数据E(KPom4，LIC)(第S254步)。

参照图14，控制器1420，根据包含在第S250步获取的许可协议LIC的控制信息AC确认许可协议是否禁止向硬盘组件41复制/转移(第S256步)。然后，如果禁止复制/转移时，经过第S282、S284步，通过写入拒绝，结束转移/复制处理(第S286步)。如果许可进行许可协议的复制时，转移到第S260步。另一方面，如果许可进行许可协议的转移时，控制器1420将所获取的有效标志位变更成无效(第S258步)。

然后，在第S256步当判定为许可复制时，另外，在第S258步之后，解密处理部1406，利用解密处理部1412所解密的会话密钥Ks2b对来自加密处理部1417的加密数据E(KPom4，LIC)进行加密后，生成加密数据E(Ks2b，E(KPom4，LIC))(第S260步)。然后，控制器1420通过总线BS3、内部总线接口1424以及端子1423将加密数据E(Ks2b，E(KPom4，LIC))输出给命令选择器1442，命令选择器1442通过ATA接口1443以及端子1444向终端装置20输出加密数据E(Ks2b，E(KPom4，LIC))(第S262步)。

然后，终端装置20受理加密数据E(Ks2b，E(KPom4，LIC))(第S26步)，终端装置20的控制器1106将加密数据E(Ks2b，E(KPom4，LIC))通过总线BS向硬盘组件41输出(第S266步)。然后，处理向硬盘组件41转移。硬盘组件41的命令选择器1442通过端子1444以及ATA接口1443接收加密数据E(Ks2b，E(KPom4，LIC))，将所接收的加密数据E(Ks2b，E(KPom4，LIC))输出到存储器件1440的端子1423上。

存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理加密数据E(Ks2b，E(KPom4，LIC))(第S268步)。控制器1420，通过总线BS3将所接收的加密数据E(Ks2b，E(KPom4，LIC))传送给解密处理部1412，解密处理部1422利用来自会话密钥产生部1418的会话密钥Ks2b对加密数据E(Ks2b，E(KPom4，LIC))进行解密，受理加密数据E(KPom4，LIC)(第S270步)。

解密处理部1404接收来自解密处理部1412的加密数据E(KPom4，LIC)，利用来自Kom保存部1402的个别密码解密密钥Kom4进行解密，受理许可协议LIC(第S272步)。

终端装置20的控制器1106通过总线BS向硬盘组件41输出许可协议LIC的条目编号(第S276步)，硬盘组件41的命令选择器1442通过端子1444以及ATA接口1443接收条目编号，将所接收的条目编号输出到存储器件1440的端子1423上。存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理许可协议LIC的要保存的条目编号(第S276步)。

然后，控制器1420，判定包含在许可协议LIC中的许可ID是否与已经受理的许可ID一致(第S278步)，如果2个许可ID不一致时，通过总线BS3、内部总线接口1424以及端子1423向命令选择器1442输出错误通知，命令选择器1442通过ATA接口1443以及端子1444向终端装置20输出错误通知(第S280步)。然后，终端装置20的控制器1106受理错误通知(第S284步)，通过写入拒绝，结束转移/复制处理(第S286步)。

另一方面，在第S278步，如果判定2个许可ID一致，控制器1420在保密数据存储区域1415中的由所受理的条目编号所指定的区域中记录许可协议LIC(第S288步)，正常结束许可协议的转移/复制动作(第S290步)。

此外，加密内容数据的从硬盘组件40向硬盘组件41的转移或者复制，在许可协议的转移或者复制结束后，从硬盘组件40的数据存储区域2110读出加密内容数据，传送给硬盘组件41即可。

另外，对于接收侧的硬盘组件41，对于转移或者复制后的许可协议的许可协议管理文件已经记录时，通过对许可协议管理文件的保存位置进行写入，可以更新对象的许可协议管理文件。另外，成为对象的许可协议管理文件没有在硬盘组件41中记录时，生成新的许可协议管理文件，将所生成的许可协议管理文件记录在接收侧的硬盘组件41中。

这样，在确认装载在终端装置20上的硬盘组件41是正当的机器，同时类公开加密密钥KPcm1有效的基础上，可以只对向正当硬盘组件的转移请求进行许可协议的转移，进行向不正当的硬盘组件的转移。

另外，交换在硬盘组件产生的加密密钥，利用相互接收到的加密密钥进行加密，将该加密数据传送给对方，在各自发送加密数据中可以进行事实上的相互认证，提高数据配送系统的安全性。

[使用许可处理]

如上所述，装载在终端装置20上的硬盘组件40可以直接从下载服务器10接收加密内容数据已经许可协议。对于硬盘组件40，从下载服务器10直接接、保存加密内容数据的情况进行了说明。对于硬盘组件41，通过从硬盘组件41复制加密内容数据，通过对许可协议进行转移/复制处理，进行接收、保存的情况进行了说明。

以下，对通过各种方法对由硬盘组件接收到的许可协议的使用许可处理进行说明。保存许可协议的是硬盘组件，播放加密内容数据的是终端装置20的播放电路1550。然后，播放电路1550在播放加密内容数据时向硬盘组件40证明自己是正当的机器后，从硬盘组件40接收许可协议的提供。因此，相当于终端装置20的播放电路1550利用许可协议。

此外，硬盘组件40进行使用许可。

参照图2，内藏了控制器1106和播放电路1550的终端装置20通过总线BS与硬盘组件40之间进行数据的传送，播放电路1550从硬盘组件40接收许可协议的提供。因此，许可协议的使用许可处理的说明，采用图2所示的概念图进行。

图15表示从硬盘组件40对终端装置20的播放电路1550进行为对加密内容数据进行解密的许可协议的使用许可处理的流程图。将硬盘组件41装载在终端装置20上也可以利用许可协议，这时也按照图15所示的流程图进行使用许可处理。

此外，其前提条件是，在图15中的处理之前，终端装置20的用户根据保存在硬盘组件40的数据存储区域2110中的播放列表确定了要播放的内容，选定了内容文件和许可协议管理文件，从许可协议管理文件获取了保存许可协议的条目编号。

参照图15，使用许可处理开始，终端装置20的用户通过操作面板1108向终端装置20输入播放请求。这样，控制器1106通过总线BS2输出证书输出请求(第S300步)，播放电路1550受理证书输出请求(第S302步)。然后，播放电路1550向控制器1106输出证书Cp3(第S304步)，控制器1106受理证书Cp3(第S305步)，通过总线BS向硬盘组件40输出证书Cp3(第S308步)。

这样，硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443接收证书Cp3，将所接收的证书Cp3输出到存储器件1440的端子1423上。存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理证书Cp3＝KPcp3∥1cp3∥E(Ka，H(KPcp3∥1cp3))(第S310步)，认证处理部1408利用保存在KPa保存部1414中的认证密钥KPa对所受理的证书Cp3中的签名数据E(Ka，H(KPcp3∥1cp3))进行解密，向控制器1420输出解密后的散列值H(KPcp3∥1cp3)。控制器1420计算证书Cp3中的数据KPcp3∥1cp3的散列值，确认所计算的散列值与在播放电路1550计算的散列值H(KPcp3∥1cp3)是否一致。然后，控制器1420通过对从播放电路1550受理的证书Cp3中的签名数据E(Ka，H(KPcp3∥1cp3))可以在认证处理部1408中进行解密，以及确认2个散列值一致，验证从播放电路1550受理的证书Cp3(第S312步)。当不能认证证书Cp3时，控制器1420通过总线BS3、内部总线接口1424以及端子1423向命令选择器1442输出错误通知，命令选择器1442通过ATA接口1443以及端子1444向终端装置20的控制器1106输出错误通知(第S370步)，控制器1106受理错误通知(第S372步)，通过播放拒绝，结束这一系列动作(第374步)。

如果证书被承认时，控制器1420受理来自播放电路1550的类公开加密密钥KPcp3(第S314步)，控制会话密钥产生部1418产生会话密钥Ks1d，会话密钥产生部1418产生会话密钥Ks1d(第S316步)。

然后，会话密钥Ks1d，在由加密处理部1410利用由认证处理部1408获取的与播放电路1550对应的类公开加密密钥KPcp3进行加密(第S318步)。

控制器1420通过总线BS3从加密处理部1410接收加密数据E(KPcp3，Ks1d)，所接收的加密数据E(KPcp3，Ks1d)通过总线BS3、内部总线接口1424以及端子1423输出给命令选择器1442，命令选择器1442将加密数据E(KPcp3，Ks1d)通过ATA接口1443以及端子1444传送给终端装置20(第S320步)。

终端装置20在接收到加密数据E(KPcp3，Ks1d)后(第S322步)，控制器1106将加密数据E(KPcp3，Ks1d)通过总线BS2向播放电路1550输出(第S324步)，播放电路1550通过总线BS2受理加密数据E(KPcp3，Ks1d)(第S326步)。然后，将加密数据E(KPcp3，Ks1d)传送给解密处理部1504，解密处理部1504通过利用保存在Kcp保存部11502中的类公开密码解密密钥Kcp3对加密数据E(KPcp3，Ks1d)进行解密处理，受理在硬盘组件40中生成的会话密钥Ks1d(第S328步)。

然后，会话密钥产生部1508生成使用许可用的会话密钥Ks2d(第S330步)，向加密处理部1506输出所生成的会话密钥Ks2d。加密处理部1506利用来自解密处理部1504的会话密钥Ks1d对来自会话密钥产生部1508的会话密钥Ks2d进行加密，生成加密数据E(Ks1d，Ks2d)(第S332步)，向控制器1106输出加密数据E(Ks1d，Ks2d)(第S334步)，然后，控制器1106通过总线BS2受理加密数据E(Ks1d，Ks2d)(第S336步)，通过总线BS向硬盘组件40输出加密数据E(Ks1d，Ks2d)(第S338步)。

这样，硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443接收加密数据E(Ks1d，Ks2d)，将所接收的加密数据E(Ks1d，Ks2d)输出到存储器件1440的端子1423上。然后，存储器件1440的解密处理部1412通过端子1423、内部总线接口1424以及总线BS3接收加密数据E(Ks1d，Ks2d)(第S340步)。解密处理部1412利用在会话密钥产生部1418中产生的会话密钥Ks1d对加密数据E(Ks1d，Ks2d)进行解密，受理在播放电路1550中产生的会话密钥Ks2d(第S342步)。

终端装置20的控制器1106，通过总线BS向硬盘组件40输出事先获取的条目编号(第S344步)。

硬盘组件40的命令选择器1442通过端子1444以及ATA接口1443接收条目编号，将所接收的条目编号输出到存储器件1440的端子1423上。存储器件1440的控制器1420通过端子1423、内部总线接口1424以及总线BS3受理条目编号(第S346步)，根据保存保密数据存储区域1415中由所受理的条目编号指定的区域中的有效标志位判定许可协议LIC的有效性(第S348步)。然后，如果许可协议无效，如上所述，通过播放拒绝，结束这一系列动作(第S370～S74步)。

另一方面，在第S348步，如果判定许可协议为有效时，控制器1420从由条目编号指定的区域中获取许可协议LIC(第S350步)，根据包含在所获取的许可协议LIC中的控制信息AC的使用次数确认许可协议是否为可以使用(第S352步)。然后，如果不能使用，经过第S370、S372步，通过播放拒绝，结束使用许可的动作(第SS74步)。如果可以无限制使用许可协议，则转移到第S356步。另一方面，如果许可协议的使用次数有限制时，控制器1420变更控制信息AC的使用次数(第S354步)，转移到第S356步。

然后，解密处理部1406，利用由解密处理部1412解密后的会话密钥Ks2d对内容密钥Kc进行加密，生成加密数据E(Ks2d，Kc)(第S356步)。控制器1420通过总线BS3、内部总线接口1424以及端子1423将来自解密处理部1406的加密数据E(Ks2d，Kc)输出给命令选择器1442，命令选择器1442通过ATA接口1443以及端子1444向终端装置20的控制器1106输出加密数据E(Ks2d，Kc)(第S58步)，控制器1106受理加密数据E(Ks2d，Kc)(第S360步)。然后，控制器1106通过总线BS2将加密数据E(Ks2d，Kc)向解密处理部1510输出(第S362步)，解密处理部1510受理加密数据E(Ks2d，Kc)(第S364步)。

然后，解密处理部1510利用来自会话密钥产生部1508的会话密钥Ks2d对加密数据E(Ks2d，Kc)进行解密，受理内容密钥Kc(第S366步)。然后正常结束使用许可的处理(第S368步)。

此外，在许可协议LIC向播放电路1550的使用许可处理结束后，控制器1106向硬盘组件40要求加密内容数据E(Kc，Dc)。然后，硬盘组件40的控制器1441，从数据存储区域2110中获取加密内容数据E(Kc，Dc)，将所获取的加密内容数据E(Kc，Dc)输出给命令选择器1442。然后，命令选择器1442通过ATA接口1443以及端子1444向终端装置40输出加密内容数据E(Kc，Dc)。

终端装置20的控制器1106获取加密内容数据E(Kc，Dc)，通过总线BS2将加密内容数据E(Kc，Dc)传送给播放电路1550。

然后，播放电路1550的解密处理部1516，利用由解密处理部1510输出的内容密钥Kc对加密内容数据E(Kc，Dc)进行解密后，获得内容数据Dc。

然后，将解密的内容数据Dc输出给内容解码器1518，内容解码器1518播放内容数据，DA变换器将数字信号变换成模拟信号后输出给端子1530。然后，音乐映像数据从端子1530被输出给外部的输出装置(例如电视显示器)。用户可以欣赏通过输出装置播放的内容。

在上述说明中，虽然是以为对加密内容数据进行解密的许可协议为例进行了说明，但在本发明中成为对象的并不限定于为对加密内容数据进行解密的许可协议，个人信息、以及信用卡信息等不能同时有2个以上存在的要求保密的数据均可以成为对象。对于这样的数据也可以采用上述的各个处理。

这时，用要求保密的数据替换许可协议内的内容密钥Kc，可以容易实现。

依据本发明的硬盘组件，也可以采用图16所示的硬盘组件40A。参照图16，硬盘组件40A删除了硬盘组件40的命令选择器1442，增加了端子1445，其它和硬盘组件40相同。此外，存储器件1440，也可以采用能拆卸地安装在硬盘组件40A上的半导体元件构成。

在硬盘组件40A中，ATA接口1443在端子1444与控制器1441之间进行输出传送。另外，端子1445与存储器件1440的端子1423之间进行数据的传送。

端子1444，是将加密内容数据等非机密性数据向/从硬盘组件40A输入/输出的端子，端子1445是将为对加密内容数据进行解密的许可协议等机密性数据向/从硬盘组件40A输入/输出的端子。因此，终端装置20的控制器1106，通过硬盘接口1200将加密内容数据向/从硬盘组件40A的端子1444输入/输出的端子，通过硬盘接口1200将许可协议向/从硬盘组件40A的端子1445输入/输出的端子。然后，在硬盘组件40A中，从端子1444输入的加密内容数据通过ATA接口1443向控制器1441输入，控制器1441控制伺服控制部1437、寻道控制部1438以及存取处理部1439将加密内容数据保存在硬盘1430、1431的数据存储区域2110的给定位置上。另外，控制器1441控制伺服控制部1437、寻道控制部1438以及存取处理部1439从硬盘1430、1431的数据存储区域2110的给定位置读出加密内容数据，存取处理部1439接收所读出的加密内容数据。然后，控制器1441通过ATA接口1443以及端子1444将存取处理部1439接收的加密内容数据输出给终端装置20。

另一方面，存储器件1440的控制器1420，通过端子1445、1423、内部总线接口1424以及总线BS3，进行有关许可协议的接收的各种处理，将所接收的许可协议最终保存在保密数据存储区域1415中。另外，控制器1420，在使用许可处理中，通过总线BS3、内部总线接口1424以及端子1423、1445与终端装置20进行传送处理，读出保存在保密数据存储区域1415中的许可协议，将所读出的许可协议通过总线BS3、内部总线接口1424以及端子1423、1445输出给终端装置20。

因此，硬盘组件40A可以适应「写入」、「转移/复制」、「使用许可」。通过采用硬盘组件40A，可以在上述许可协议以及加密内容数据的配送处理、许可协议以及加密内容数据的转移/复制处理、许可协议以及加密内容数据的使用许可处理中，并行进行有关许可协议的处理和有关加密内容数据的处理。各处理按照上述图10、图11、图12、图13、图14以及图15所示的流程图进行。

这样，在硬盘组件40A中，由于独立进行加密内容数据等非机密性数据的向/从硬盘组件40A的输入/输出、和许可协议等机密性数据的向/从保密数据存储区域1415的输入/输出，可以更加高速化。

如上所述，在依据本发明的硬盘组件中，由于将加密内容数据等非机密性数据保存在硬盘中，而将为对加密内容数据进行解密的许可协议等机密性数据保存在具有机密性的存储器件中，即使硬盘由于碰撞等被破坏时，也可以从硬盘组件中取出为对加密内容数据进行解密的许可协议。

上述实施方案只是对所有的点进行了例示，并不应该认为是对本发明的限制。本发明的范围并不是上述实施方案中说明的范围，而是由权利要求的范围确定，只要在与权利要求的范围等同的内容以及范围内，可以进行各种变形。

Claims

1.一种硬盘组件，是进行机密数据和非机密数据的输入输出、并且保存所述机密数据和所述非机密数据的硬盘组件(40、41)，其特征是包括

与外部进行数据的传送的接口(1443、1424、1444、1423、1445)、

保存所述机密数据、对于不正当的存取保护所述机密数据的存储器件(1440)、

保存所述非机密数据的圆盘状磁存储介质(1430、1431)、以及

对所述圆盘状磁存储介质(1430、1431)进行所述非机密数据的写入及/或读出的存取处理部(1439)，

所述存储器件(1440)包括

保存所述机密数据的数据存储部(1415)、和

在进行所述机密数据的输入输出时，在所述机密数据的提供方和接收方之间构筑加密通道，并且进行有关机密数据的输入输出的控制的数据管理部(1440(但不包括1415))。

2.根据权利要求1所述的硬盘组件，其特征是所述存储器件(1440)由独立的半导体元件构成。

3.根据权利要求1所述的硬盘组件，其特征是所述存储器件(1440)可拆卸地安装在该硬盘组件上。

4.根据权利要求1所述的硬盘组件，其特征是还包括

在所述接口(1443)和所述存储器件(1440)之间对有关所述机密数据的输入输出处理的数据传送方向进行选择、在所述接口(1443)和所述存取处理部(1439)之间对有关所述非机密数据的输入输出处理的数据传送方向进行选择的选择部(1442)。

5.根据权利要求1所述的硬盘组件，其特征是所述接口(1443、1424、1444、1423、1445)包括与外部之间传送所述机密数据的第1接口(1445、1423、1424)、和与外部之间传送所述非机密数据的第2接口(1443、1444)。