(57)【要約】【課題】本願発明は、個々のアプリケーションに対してのアクセス制御を可能とした放送通信連携受信装置を提供する。【解決手段】受信機８０は、証明書から、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出するアクセス制御情報抽出手段８１７ｄと、起動範囲情報に基づいて、アプリケーションが起動できるか否かを判定する起動範囲判定手段８１８と、リンク範囲情報に基づいて、アプリケーションが起動できるか否かを判定するリンク範囲判定手段８１９と、起動範囲判定手段８１８及びリンク範囲判定手段８１９の判定結果に基づいて、アプリケーションの起動を制御する起動制御手段８０９ａと、リソース利用範囲情報に基づいて、リソースアクセス制御を行うリソースアクセス制御手段８２０とを備える。【選択図】図９
2014099162.tif 000002
【特許請求の範囲】
【請求項１】
アプリケーションが起動可能な１以上の編成チャンネルを示す起動範囲情報、又は、前記アプリケーションが参照可能な１以上のＵＲＩを示すリンク範囲情報の何れか１以上が付加されたアプリケーション用証明書を発行する証明書発行装置と、
前記アプリケーション用証明書を前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
前記アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
放送波を介して、放送番組を送信する放送送信装置と、
を含む放送通信連携システムで使用され、前記放送番組を受信する放送通信連携受信装置であって、
ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
前記アプリケーションに付加又は対応付けられたアプリケーション用証明書から、前記起動範囲情報又は前記リンク範囲情報の何れか１以上を抽出する抽出手段と、
前記抽出手段が抽出した起動範囲情報又はリンク範囲情報の何れか１以上に基づいて、取得した前記アプリケーションが起動できるか否かを判定する起動判定手段と、
前記起動判定手段の判定結果に基づいて、前記アプリケーションの起動を制御する起動制御手段と、
を備えることを特徴とする放送通信連携受信装置。
【請求項２】
アプリケーションが起動可能な１以上の編成チャンネルを示す起動範囲情報、又は、前記アプリケーションが参照可能な１以上のＵＲＩを示すリンク範囲情報の何れか１以上が格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、
前記アクセス制御ファイルを前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
前記アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
放送波を介して、放送番組を送信する放送送信装置と、
を含む放送通信連携システムで使用され、前記放送番組を受信する放送通信連携受信装置であって、
ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
前記アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証するアプリケーション認証手段と、
前記アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、前記起動範囲情報又は前記リンク範囲情報の何れか１以上を抽出する抽出手段と、
前記抽出手段が抽出した起動範囲情報又はリンク範囲情報の何れか１以上に基づいて、取得した前記アプリケーションが起動できるか否かを判定する起動判定手段と、
前記起動判定手段の判定結果に基づいて、前記アプリケーションの起動を制御する起動制御手段と、
を備えることを特徴とする放送通信連携受信装置。
【請求項３】
前記抽出手段は、前記アプリケーション用証明書又は前記アクセス制御ファイルから、少なくとも前記リンク範囲情報を抽出し、
前記起動判定手段は、
前記アプリケーションの取得元となる前記アプリケーションサーバのＵＲＩが前記リンク範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定するリンク範囲判定手段、
を備えることを特徴とする請求項１又は請求項２に記載の放送通信連携受信装置。
【請求項４】
前記抽出手段は、前記アプリケーション用証明書又は前記アクセス制御ファイルから、少なくとも前記起動範囲情報を抽出し、
前記起動判定手段は、
選局されている前記放送番組の編成チャンネルが前記起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する起動範囲判定手段、
を備えることを特徴とする請求項１から請求項３の何れか一項に記載の放送通信連携受信装置。
【請求項５】
前記アプリケーション用証明書又は前記アクセス制御ファイルは、さらに、前記アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報が付加又は格納され、
前記抽出手段は、前記アプリケーション用証明書又は前記アクセス制御ファイルから、前記リソース利用範囲情報を抽出し、
前記リソース利用範囲情報に基づいて、取得した前記アプリケーションに対して、前記リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段、
をさらに備えることを特徴とする請求項１から請求項４の何れか一項に記載の放送通信連携受信装置。
【請求項６】
前記アプリケーションとして、Ｗｅｂページから他のＷｅｂページに遷移するＷｅｂアプリケーションを実行するアプリケーション実行手段と、
前記アプリケーション実行手段で実行されているＷｅｂアプリケーションが前記他のＷｅｂページに遷移できるか否かを前記リンク範囲判定手段に問い合わせる遷移制御手段と、をさらに備え、
前記リンク範囲判定手段は、
前記他のＷｅｂページのＵＲＩが前記リンク範囲情報に含まれるか否かにより、前記Ｗｅｂアプリケーションが前記他のＷｅｂページに遷移できるか否かをさらに判定し、
前記遷移制御手段は、
前記リンク範囲判定手段によって、前記Ｗｅｂアプリケーションが前記他のＷｅｂページに遷移できないと判定された場合、前記Ｗｅｂアプリケーションの終了、又は、前記他のＷｅｂページへの遷移停止を前記アプリケーション実行手段に指示することを特徴とする請求項３に記載の放送通信連携受信装置。
【請求項７】
アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報が付加されたアプリケーション用証明書を発行する証明書発行装置と、
前記アプリケーション用証明書を前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
前記アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
放送波を介して、放送番組を送信する放送送信装置と、
を含む放送通信連携システムで使用され、前記放送番組を受信する放送通信連携受信装置であって、
ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
前記アプリケーションに付加又は対応付けられたアプリケーション用証明書から、前記リソース利用範囲情報を抽出する抽出手段と、
前記リソース利用範囲情報に基づいて、取得した前記アプリケーションに対して、前記リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
を備えることを特徴とする放送通信連携受信装置。
【請求項８】
アプリケーションが起動可能な１以上の編成チャンネルを示す起動範囲情報と、前記アプリケーションが参照可能な１以上のＵＲＩを示すリンク範囲情報と、前記アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報とが付加されたアプリケーション用証明書を発行する証明書発行装置と、
前記アプリケーション用証明書を前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
前記アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
放送波を介して、放送番組を送信する放送送信装置と、
前記放送番組を受信する放送通信連携受信装置と、を備える放送通信連携システムであって、
前記放送通信連携受信装置が、
ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
前記アプリケーションに付加又は対応付けられたアプリケーション用証明書から、前記起動範囲情報と、前記リンク範囲情報と、前記リソース利用範囲情報とを抽出する抽出手段と、
選局されている前記放送番組の編成チャンネルが前記起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する起動範囲判定手段と、
前記アプリケーションの取得元となる前記アプリケーションサーバのＵＲＩが前記リンク範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定するリンク範囲判定手段と、
前記起動範囲判定手段及び前記リンク範囲判定手段の判定結果に基づいて、前記アプリケーションの起動を制御する起動制御手段と、
前記リソース利用範囲情報に基づいて、取得した前記アプリケーションに対して、前記リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
を備えることを特徴とする放送通信連携システム。
【請求項９】
アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報が格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、
前記アクセス制御ファイルを前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
前記アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
放送波を介して、放送番組を送信する放送送信装置と、
を含む放送通信連携システムで使用され、前記放送番組を受信する放送通信連携受信装置であって、
ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
前記アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証するアプリケーション認証手段と、
前記アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、前記リソース利用範囲情報を抽出する抽出手段と、
前記リソース利用範囲情報に基づいて、取得した前記アプリケーションに対して、前記リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
を備えることを特徴とする放送通信連携受信装置。
【請求項１０】
アプリケーションが起動可能な１以上の編成チャンネルを示す起動範囲情報と、前記アプリケーションが参照可能な１以上のＵＲＩを示すリンク範囲情報と、前記アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報とが格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、
前記アクセス制御ファイルを前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
前記アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
放送波を介して、放送番組を送信する放送送信装置と、
前記放送番組を受信する放送通信連携受信装置と、を備える放送通信連携システムであって、
前記放送通信連携受信装置が、
ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
前記アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証するアプリケーション認証手段と、
前記アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、前記起動範囲情報と、前記リンク範囲情報と、前記リソース利用範囲情報とを抽出する抽出手段と、
選局されている前記放送番組の編成チャンネルが前記起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する起動範囲判定手段と、
前記アプリケーションの取得元となる前記アプリケーションサーバのＵＲＩが前記リンク範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定するリンク範囲判定手段と、
前記起動範囲判定手段及び前記リンク範囲判定手段の判定結果に基づいて、前記アプリケーションの起動を制御する起動制御手段と、
前記リソース利用範囲情報に基づいて、取得した前記アプリケーションに対して、前記リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
を備えることを特徴とする放送通信連携システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本願発明は、放送と、インターネット、専用ＩＰ（Internet Protocol）回線等の通信ネットワークとを利用した放送通信連携システムにおいて、個々のアプリケーションに対し、起動範囲及びリンク範囲を考慮したアプリケーションの起動制御と、リソースアクセス制御とを行う技術に関する。
【背景技術】
【０００２】
近年、放送のデジタル化や通信の高速・広帯域化に伴い、放送と通信を連携した様々なサービス（以降、「放送通信連携サービス」）が検討されている（例えば、非特許文献１，２参照）。この放送通信連携サービスでは、放送番組に関連する多様な情報を通信ネットワーク経由で取得し、放送と組み合わせて提示することが想定されている。また、受信機では、放送通信連携サービスを享受するため、この放送通信連携サービスに適応したアプリケーションを用いることが想定されている。
【０００３】
放送通信連携システムは、放送と通信の特徴を生かして新しいサービスを提供するものであり、受信機でＨＴＭＬ（HyperText Markup Language）５等のＷｅｂアプリケーションを放送と連動して実行させることにより、様々なサービスを実現する。当該システムにおいては、視聴者に魅力的なサービスを提供するため、放送事業者が制作したアプリケーションだけでなく、放送事業者以外のサービス事業者が一定のルールに基づいて制作したアプリケーションも視聴者に提供できる環境が望まれている。一方で、現行のデジタル放送におけるデータ放送と同様に、放送の安全性や公共性の観点から、視聴者を有害なサイトに誘導させないなど、アプリケーションのリンク範囲を制御する仕組みが必要となる。特に、放送事業者以外のサービス事業者が制作したアプリケーションは、放送事業者が必ずしもすべての動作内容を把握していないものも想定されるため、リンク範囲に制約を設けることが不可欠となる。
【０００４】
ここで、非特許文献３には、アプリケーションの一種として、放送事業者が作成する連動アプリケーションが提案されている。この連動アプリケーションは、視聴中の編成チャンネルで放送されている番組に連動して、自動的に起動・終了するものである。この非特許文献３に記載の技術では、起動制御を行うために、アプリケーション名と、アプリケーションＩＤと、自動起動、強制終了等の制御コマンドと、アプリケーションの配信用サーバのロケーション情報（ＵＲＩ：Uniform Resource Identifier）とが必要になる。そこで、放送事業者は、放送波を用いて、これら情報が含まれるアプリケーション制御情報（ＡＩＴ：Application Information Table）を、編成チャンネルに関連付けて配信する。さらに、放送事業者は、非特許文献４で提案されている“Simple application boundary descriptor”を当該ＡＩＴに含めることにより、現行のデジタル放送におけるデータ放送と同様、アプリケーションのリンク範囲を制御することができる。
【０００５】
また、非特許文献５には、アプリケーションが放送リソースや受信機リソースを利用するためのＡＰＩ（Application Program Interface）を呼び出す際のリソースアクセス制御技術が提案されている。この非特許文献５に記載の技術は、アプリケーション認証結果に応じて、放送事業者が制作する正当なアプリケーション、放送事業者以外のサービス事業者が制作する正当なアプリケーション、又は、それ以外のアプリケーションといった属性を受信機が判定するものである。そして、非特許文献５に記載の技術は、属性の判定結果に基づいて、リソースアクセスの可否を制御する。つまり、非特許文献５に記載の技術では、予め受信機に備えられたアプリケーションの属性毎のリソースアクセス許可リストを参照し、例えば、サービス事業者が制作する正当なアプリケーションのリソースアクセス制御を一括管理することができる。
【先行技術文献】
【非特許文献】
【０００６】
【非特許文献１】「放送通信連携技術の研究開発概要」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１３３、２０１２．５、Ｐ４−Ｐ９
【非特許文献２】「Ｈｙｂｒｉｄｃａｓｔ（Ｒ）の基本システム概要」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１３３、２０１２．５、Ｐ１０−Ｐ１９
【非特許文献３】「Ｈｙｂｒｉｄｃａｓｔ（Ｒ）を支える技術」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１３３、２０１２．５、Ｐ２０−Ｐ２７
【非特許文献４】「Digital Video Broadcasting (DVB); Signalling and carriage of interactive applications and services in Hybrid broadcast/broadband environments」、ＥＴＳＩ  ＴＳ  １０２  ８０９  Ｖ１．１．１（２０１０−０１）
【非特許文献５】「Ｈｙｂｒｉｄｃａｓｔアプリケーションに対するアクセス制御手法の一検討」、電子情報信学学会総合大会、Ｂ−７−３４、２０１２
【発明の概要】
【発明が解決しようとする課題】
【０００７】
現行のデジタル放送におけるデータ放送では、ＢＭＬ（Broadcast Markup Language）コンテンツを双方向ウェブサーバ上に配置することも可能である。従って、受信機は、双方向ウェブサーバ上にあるＢＭＬ文書（通信コンテンツ）を参照、提示することができる。通信コンテンツには、放送コンテンツを参照できるリンク状態と、放送コンテンツを一切参照することのできない非リンク状態という、２種類の状態が存在する。ここで、放送コンテンツが指定したＵＲＩ（ベースＵＲＩディレクトリ）のディレクトリ以下の通信コンテンツへ遷移した場合、リンク状態が保たれる。一方、それ以外のＵＲＩを指定した場合は、非リンク状態へ遷移する。リンク状態の通信コンテンツは、放送コンテンツを含むコンテンツグループを構成するコンテンツの一つとして振る舞う。一方、非リンク状態の通信コンテンツは、独立したコンテンツグループとして振る舞い、映像、音声、字幕、データカルーセル、イベントメッセージ等の放送リソースを参照することができない。
【０００８】
前記した非特許文献３には、放送事業者以外のサービス事業者も制作する非連動アプリケーションも提案されている。この非連動アプリケーションは、ユーザが任意のタイミングで起動及び終了するものである。例えば、受信機は、サーバからアプリケーションリストを取得し、このアプリケーションリストに記述された複数のアプリケーションの中から、非連動アプリケーションを選択することで、この非連動アプリケーションを起動する。このアプリケーションリストは、アプリケーションの配信用サーバのロケーション情報（ＵＲＩ）を含むものであり、前記したアプリケーション制御情報であってもよい。
【０００９】
つまり、非連動アプリケーションは、放送コンテンツが直接指定して起動するものではなく、通信経由で配信用サーバのロケーション情報を取得するため、放送波による配信に比べて、セキュリティレベルが低下する。従って、連動アプリケーション、非連動アプリケーションといったアプリケーションの種類に関わらず、リンク範囲を考慮して、個々のアプリケーションで起動を制御する必要がある。
なお、リンク範囲とは、アプリケーションが起動又はＷｅｂページを遷移するとき、このアプリケーションが参照可能なＵＲＩの範囲を指している。
【００１０】
また、非特許文献５に記載の技術では、アプリケーションの属性毎にリソースアクセス制御を行えるに過ぎない。つまり、非特許文献５に記載の技術では、個々のアプリケーションに対して、映像、音声、字幕、データカルーセル、イベントメッセージ等の放送リソースや、動画コンテンツ、メタデータ等の通信リソースの利用の可否をきめ細かく付与して、リソースアクセスを制御することができない。
【００１１】
さらに、放送通信連携サービスでは、アプリケーションによる情報やサービスが、放送番組と組み合わせて提示される。従って、放送の安全性や公共性の観点から、放送番組の編成チャンネルと無関係にアプケーションを起動できる状態が好ましいと言えず、起動範囲を考慮して、個々のアプリケーションで起動を制御する必要がある。
なお、起動範囲とは、アプリケーションが起動するとき、このアプリケーションが起動可能な編成チャンネルの範囲を指している。
【００１２】
そこで、本願発明は、前記した問題を解決し、個々のアプリケーションに対してのアクセス制御を可能とした放送通信連携受信装置及び放送通信連携システムを提供することを課題とする。
【課題を解決するための手段】
【００１３】
前記した課題に鑑みて、本願第１発明に係る放送通信連携受信装置は、起動範囲情報、又は、リンク範囲情報の何れか１以上が付加されたアプリケーション用証明書を発行する証明書発行装置と、アプリケーション用証明書をアプリケーションに付加又は対応付けるアプリケーション登録装置と、アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、を含む放送通信連携システムで使用され、放送番組を受信する放送通信連携受信装置であって、アプリケーション取得手段と、抽出手段と、起動判定手段と、起動制御手段と、を備えることを特徴とする。
【００１４】
かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アプリケーション用証明書が付加又は対応付けられたアプリケーションを取得する。
【００１５】
このアプリケーション用証明書には、アプリケーションが起動可能な１以上の編成チャンネルを示す起動範囲情報、又は、アプリケーションがリンク可能な１以上のＵＲＩを示すリンク範囲情報の一方が付加されていればよい。また、アプリケーション用証明書には、起動範囲情報及びリンク範囲情報の両方が付加されてもよい。
【００１６】
また、放送通信連携受信装置は、抽出手段によって、アプリケーションに付加又は対応付けられたアプリケーション用証明書から、アプリケーションの起動制御に必要な起動範囲情報又はリンク範囲情報の何れか１以上を抽出する。
【００１７】
また、放送通信連携受信装置は、起動判定手段によって、抽出手段が抽出した起動範囲情報又はリンク範囲情報の何れか１以上に基づいて、取得したアプリケーションが起動できるか否かを判定する。そして、放送通信連携受信装置は、起動制御手段によって、起動判定手段の判定結果に基づいて、アプリケーションの起動を制御する。
【００１８】
また、前記した課題に鑑みて、本願第２発明に係る放送通信連携受信装置は、起動範囲情報、又は、リンク範囲情報の何れか１以上が格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、アクセス制御ファイルをアプリケーションに付加又は対応付けるアプリケーション登録装置と、アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、を含む放送通信連携システムで使用され、放送番組を受信する放送通信連携受信装置であって、アプリケーション取得手段と、アプリケーション認証手段と、抽出手段と、起動判定手段と、起動制御手段と、を備えることを特徴とする。
【００１９】
かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アクセス制御ファイルが付加又は対応付けられたアプリケーションを取得する。また、放送通信連携受信装置は、アプリケーション認証手段によって、アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証する。
【００２０】
また、放送通信連携受信装置は、抽出手段によって、アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、アプリケーションの起動制御に必要な起動範囲情報又はリンク範囲情報の何れか１以上を抽出する。
【００２１】
また、放送通信連携受信装置は、起動判定手段によって、抽出手段が抽出した起動範囲情報又はリンク範囲情報の何れか１以上に基づいて、取得したアプリケーションが起動できるか否かを判定する。そして、放送通信連携受信装置は、起動制御手段によって、起動判定手段の判定結果に基づいて、アプリケーションの起動を制御する。
【００２２】
また、本願第３発明に係る放送通信連携受信装置は、抽出手段が、アプリケーション用証明書又はアクセス制御ファイルから、少なくともリンク範囲情報を抽出し、起動判定手段が、アプリケーションの取得元となるアプリケーションサーバのＵＲＩがリンク範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定するリンク範囲判定手段、を備えることを特徴とする。
かかる構成によれば、放送通信連携受信装置は、リンク範囲外のアプリケーションサーバから取得したアプリケーションの起動を防止できる。
【００２３】
また、本願第４発明に係る放送通信連携受信装置は、抽出手段が、アプリケーション用証明書又はアクセス制御ファイルから、少なくとも起動範囲情報を抽出し、起動判定手段が、選局されている放送番組の編成チャンネルが起動範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定する起動範囲判定手段、を備えることを特徴とする。
かかる構成によれば、放送通信連携受信装置は、視聴者が起動範囲外のチャンネルを視聴している場合、アプリケーションの起動を防止できる。
【００２４】
なお、放送通信連携受信装置がリンク範囲判定手段及び起動範囲判定手段の両方を備える場合、起動制御手段は、以下のようにアプリケーションの起動を判定することが好ましい。
つまり、起動制御手段は、起動範囲判定手段及びリンク範囲判定手段の両方によって、取得したアプリケーションが起動できると判定された場合、当該アプリケーションを起動し、起動範囲判定手段又はリンク範囲判定手段の少なくとも一方によって、取得したアプリケーションが起動できないと判定された場合、アプリケーションを起動しない。
【００２５】
また、本願第５発明に係る放送通信連携受信装置は、アプリケーション用証明書又はアクセス制御ファイルが、さらに、アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報が付加又は格納され、抽出手段が、アプリケーション用証明書又はアクセス制御ファイルから、リソース利用範囲情報を抽出し、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段、をさらに備えることを特徴とする。
かかる構成によれば、放送通信連携受信装置は、アプリケーションが利用範囲外のリソースにアクセスすることを防止できる。
【００２６】
また、本願第６発明に係る放送通信連携受信装置は、アプリケーションとして、Ｗｅｂページから他のＷｅｂページに遷移するＷｅｂアプリケーションを実行するアプリケーション実行手段と、アプリケーション実行手段で実行されているＷｅｂアプリケーションが他のＷｅｂページに遷移できるか否かをリンク範囲判定手段に問い合わせる遷移制御手段と、をさらに備え、リンク範囲判定手段が、他のＷｅｂページのＵＲＩがリンク範囲情報に含まれるか否かにより、Ｗｅｂアプリケーションが他のＷｅｂページに遷移できるか否かをさらに判定し、遷移制御手段が、リンク範囲判定手段によって、Ｗｅｂアプリケーションが他のＷｅｂページに遷移できないと判定された場合、Ｗｅｂアプリケーションの終了、又は、他のＷｅｂページへの遷移停止をアプリケーション実行手段に指示することを特徴とする。
かかる構成によれば、放送通信連携受信装置は、実行中のアプリケーションがリンク範囲外のＷｅｂページに遷移することを防止できる。
【００２７】
また、前記した課題に鑑みて、本願第７発明に係る放送通信連携受信装置は、リソース利用範囲情報が付加されたアプリケーション用証明書を発行する証明書発行装置と、アプリケーション用証明書をアプリケーションに付加又は対応付けるアプリケーション登録装置と、アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、を含む放送通信連携システムで使用され、放送番組を受信する放送通信連携受信装置であって、アプリケーション取得手段と、抽出手段と、リソースアクセス制御手段と、を備えることを特徴とする。
【００２８】
かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アプリケーション用証明書が付加又は対応付けられたアプリケーションを取得する。
このアプリケーション用証明書には、アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報が付加されている。
【００２９】
また、放送通信連携受信装置は、抽出手段によって、アプリケーションに付加又は対応付けられたアプリケーション用証明書から、リソースアクセス制御に必要なリソース利用範囲情報を抽出する。そして、放送通信連携受信装置は、リソースアクセス制御手段によって、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行う。
【００３０】
また、前記した課題に鑑みて、本願第８発明に係る放送通信連携システムは、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とが付加されたアプリケーション用証明書を発行する証明書発行装置と、アプリケーション用証明書をアプリケーションに付加又は対応付けるアプリケーション登録装置と、アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、放送番組を受信する放送通信連携受信装置と、を備える放送通信連携システムであって、放送通信連携受信装置が、アプリケーション取得手段と、抽出手段と、起動範囲判定手段と、リンク範囲判定手段と、起動制御手段と、リソースアクセス制御手段と、を備えることを特徴とする。
【００３１】
かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アプリケーション用証明書が付加又は対応付けられたアプリケーションを取得する。
【００３２】
このアプリケーション用証明書には、アプリケーションが起動可能な１以上の編成チャンネルを示す起動範囲情報と、アプリケーションがリンク可能な１以上のＵＲＩを示すリンク範囲情報と、アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報とが付加されている。
【００３３】
また、放送通信連携受信装置は、抽出手段によって、アプリケーションに付加又は対応付けられたアプリケーション用証明書から、アプリケーションの起動制御に必要な起動範囲情報及びリンク範囲情報と、リソースアクセス制御に必要なリソース利用範囲情報とを抽出する。
【００３４】
また、放送通信連携受信装置は、起動範囲判定手段によって、選局されている放送番組の編成チャンネルが起動範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定する。そして、放送通信連携受信装置は、リンク範囲判定手段によって、アプリケーションの取得元となるアプリケーションサーバのＵＲＩがリンク範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定する。
【００３５】
また、放送通信連携受信装置は、起動制御手段によって、起動範囲判定手段及びリンク範囲判定手段の判定結果に基づいて、アプリケーションの起動を制御する。そして、放送通信連携受信装置は、リソースアクセス制御手段によって、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行う。
【００３６】
また、前記した課題に鑑みて、本願第９発明に係る放送通信連携受信装置は、リソース利用範囲情報が格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、アクセス制御ファイルをアプリケーションに付加又は対応付けるアプリケーション登録装置と、アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、を含む放送通信連携システムで使用され、放送番組を受信する放送通信連携受信装置であって、アプリケーション取得手段と、アプリケーション認証手段と、抽出手段と、リソースアクセス制御手段と、を備えることを特徴とする。
【００３７】
かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アクセス制御ファイルが付加又は対応付けられたアプリケーションを取得する。また、放送通信連携受信装置は、アプリケーション認証手段によって、アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証する。
【００３８】
また、放送通信連携受信装置は、抽出手段によって、アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、リソースアクセス制御に必要なリソース利用範囲情報を抽出する。そして、放送通信連携受信装置は、リソースアクセス制御手段によって、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行う。
【００３９】
また、前記した課題に鑑みて、本願第１０発明に係る放送通信連携システムは、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とが格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、アクセス制御ファイルをアプリケーションに付加又は対応付けるアプリケーション登録装置と、アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、放送番組を受信する放送通信連携受信装置と、を備える放送通信連携システムであって、放送通信連携受信装置が、アプリケーション取得手段と、アプリケーション認証手段と、抽出手段と、起動範囲判定手段と、リンク範囲判定手段と、起動制御手段と、リソースアクセス制御手段と、を備えることを特徴とする。
【００４０】
かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アクセス制御ファイルが付加又は対応付けられたアプリケーションを取得する。また、放送通信連携受信装置は、アプリケーション認証手段によって、アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証する。
【００４１】
また、放送通信連携受信装置は、抽出手段によって、アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、アプリケーションの起動制御に必要な起動範囲情報及びリンク範囲情報と、リソースアクセス制御に必要なリソース利用範囲情報とを抽出する。
【００４２】
また、放送通信連携受信装置は、起動範囲判定手段によって、選局されている放送番組の編成チャンネルが起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する。そして、放送通信連携受信装置は、リンク範囲判定手段によって、アプリケーションの取得元となるアプリケーションサーバのＵＲＩがリンク範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定する。
【００４３】
また、放送通信連携受信装置は、起動制御手段によって、起動範囲判定手段及びリンク範囲判定手段の判定結果に基づいて、アプリケーションの起動を制御する。そして、放送通信連携受信装置は、リソースアクセス制御手段によって、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行う。
【発明の効果】
【００４４】
本願発明によれば、以下のような優れた効果を奏する。
本願第１発明によれば、放送通信連携受信装置は、アプリケーション用証明書から、アプリケーションの起動制御に必要な起動範囲情報又はリンク範囲情報の何れか１以上を抽出できるため、個々のアプリケーションに対してのアクセス制御（起動範囲又はリンク範囲の少なくとも一方を考慮したアプリケーションの起動制御）を行うことができる。
【００４５】
本願第２発明によれば、放送通信連携受信装置は、アクセス制御ファイルから、アプリケーションの起動制御に必要な起動範囲情報又はリンク範囲情報の何れか１以上を抽出できるため、個々のアプリケーションに対してのアクセス制御（起動範囲又はリンク範囲の少なくとも一方を考慮したアプリケーションの起動制御）を行うことができる。
【００４６】
本願第３発明によれば、放送通信連携受信装置は、リンク範囲外のアプリケーションサーバから取得したアプリケーションの起動を防止することができる。
本願第４発明によれば、放送通信連携受信装置は、視聴者が起動範囲外のチャンネルを視聴している場合、アプリケーションの起動を防止することができる。
本願第５発明によれば、放送通信連携受信装置は、アプリケーションが利用範囲外のリソースにアクセスすることを防止できる。
本願第６発明によれば、放送通信連携受信装置は、実行中のアプリケーションがリンク範囲外のＷｅｂページに遷移することを防止できる。
【００４７】
本願第７発明によれば、放送通信連携受信装置は、アプリケーション用証明書から、リソースアクセス制御に必要なリソース利用範囲情報を抽出できるため、個々のアプリケーションに対してのアクセス制御（リソースアクセス制御）を行うことができる。
【００４８】
本願第８発明によれば、放送通信連携システムは、アプリケーション用証明書から、アプリケーションの起動制御に必要な起動範囲情報及びリンク範囲情報と、リソースアクセス制御に必要なリソース利用範囲情報とを抽出できる。このため、本願第８発明によれば、放送通信連携システムは、個々のアプリケーションに対してのアクセス制御（起動範囲及びリンク範囲を考慮したアプリケーションの起動制御、リソースアクセス制御）を行うことができる。
【００４９】
本願第９発明によれば、放送通信連携受信装置は、アクセス制御ファイルから、リソースアクセス制御に必要なリソース利用範囲情報を抽出できるため、個々のアプリケーションに対してのアクセス制御（リソースアクセス制御）を行うことができる。
【００５０】
本願第１０発明によれば、放送通信連携システムは、アクセス制御ファイルから、アプリケーションの起動制御に必要な起動範囲情報及びリンク範囲情報と、リソースアクセス制御に必要なリソース利用範囲情報とを抽出できる。このため、本願第１０発明によれば、放送通信連携システムは、個々のアプリケーションに対してのアクセス制御（起動範囲及びリンク範囲を考慮したアプリケーションの起動制御、リソースアクセス制御）を行うことができる。
【図面の簡単な説明】
【００５１】
【図１】本発明の第１実施形態に係る放送通信連携システムの全体構成を示す概略図である。
【図２】図１のＩＤ・署名鍵・証明書発行装置の構成を示すブロック図である。
【図３】図２のＩＤ・署名鍵・証明書発行装置が発行する証明書のデータ構造を示す図である。
【図４】図３の起動範囲情報の記述形式を説明する図である。
【図５】図３のリンク範囲情報の記述形式を説明する図である。
【図６】図３のリソース利用範囲情報の記述形式を説明する図である。
【図７】図６のリソースアクセス制限情報のデータ構造を示す図である。
【図８】図１のアプリケーション登録装置の構成を示すブロック図である。
【図９】図１の受信機の構成を示すブロック図である。
【図１０】図９の受信機が記憶する起動範囲情報テーブルのデータ構造を示す図である。
【図１１】図９の受信機が記憶するリンク範囲情報テーブルのデータ構造を示す図である。
【図１２】図９の受信機が記憶するリソースアクセス制御テーブルのデータ構造を示す図である。
【図１３】図１の放送通信連携システムの動作を示すシーケンス図である。
【図１４】本発明の第２実施形態に係る放送通信連携システムの全体構成を示す概略図である。
【図１５】図１４のアクセス制御ファイル管理装置の構成を示すブロック図である。
【図１６】図１４のアプリケーション登録装置の構成を示すブロック図である。
【図１７】図１４の受信機の構成を示すブロック図である。
【図１８】図１４の放送通信連携システムの動作を示すシーケンス図である。
【図１９】図１４の放送通信連携システムの動作を示すシーケンス図である。
【図２０】本発明の変形例３に係る放送通信連携システムの全体構成を示す概略図である。
【発明を実施するための形態】
【００５２】
（第１実施形態）
以下、本発明の各実施形態について、適宜図面を参照しながら詳細に説明する。なお、各実施形態において、同一の機能を有する手段及び同一のステップ（処理）には同一の符号を付し、説明を省略した。
【００５３】
［放送通信連携システムの全体構成］
図１を参照して、本発明の第１実施形態に係る放送通信連携システム１の構成について説明する。
放送通信連携システム１は、放送と通信とを連携し、放送番組と共に様々なサービスをユーザ（視聴者）に提供するものである。具体的には、放送通信連携システム１は、放送波を介して、放送番組を放送通信連携受信装置（受信機）８０に送信すると共に、ネットワークを介して、様々なサービスに適応したアプリケーションを受信機８０に送信する。そして、放送通信連携システム１は、受信機８０において、放送番組に関連する多様なサービスを、アプリケーションによりユーザに提供する。このとき、放送通信連携システム１は、受信機８０において、個々のアプリケーションに対して安全にアクセス制御を行う。
【００５４】
なお、アクセス制御とは、受信機８０において、起動範囲を考慮したアプリケーションの起動制御、リンク範囲を考慮したアプリケーションの起動制御、又は、リソースアクセス制御の何れか１以上を行うことである。本実施形態では、受信機８０が、これら３つの制御を全て行うこととして説明する。
【００５５】
「アプリケーション」とは、ＨＴＭＬ（HyperText Markup Language）５のブラウザ上で動作するソフトウェアを含む、受信機８０で利用可能なソフトウェアである。本実施形態では、アプリケーションが、表示中のＷｅｂページから他のＷｅｂページへ遷移するＷｅｂアプリケーションであることとする。
なお、アプリケーションを「アプリ」と略記することがある。
【００５６】
「放送局」とは、編成を伴う番組を送出しているものであり、放送波又はネットワークにより放送番組をユーザ（視聴者）に配信するものである。
「サービス事業者」とは、サービスを提供するもので、サービスを提供するためのコンテンツ及びアプリケーションを制作し、配信するものである。
「ライセンス機関」とは、サービス事業者にアプケーションのライセンス（証明書）を発行するものである。
【００５７】
図１に示すように、放送通信連携システム１は、ＣＡ局１０と、放送送信装置２０と、ＩＤ・署名鍵・証明書発行装置（証明書発行装置）３０と、アプリケーション登録装置４０と、アプリケーション制作装置５０と、コンテンツ配信サーバ６０と、アプリケーションサーバ７０と、受信機８０とを備える。
【００５８】
ＣＡ局１０は、ライセンス機関からの証明書の発行申請に応じて、ルート証明書ＣＣＡ（以後、「証明書ＣＣＡ」）と、中間証明書ＣＬ（以後、「証明書ＣＬ」）と、ライセンス機関署名鍵ＳＬ（以後、「署名鍵ＳＬ」）とを発行するものである。
【００５９】
ここで、ＣＡ局１０は、ＤＳＡ、ＲＳＡ、楕円曲線等の一般的な公開鍵暗号方式により、ルート署名鍵ＳＣＡ（以後、「署名鍵ＳＣＡ」）と、ルート検証鍵ＰＣＡ（以後、「検証鍵ＰＣＡ」）との鍵ペアを生成する。例えば、ＣＡ局１０は、署名鍵ＳＣＡ及び検証鍵ＰＣＡを１ペアだけ生成する。そして、ＣＡ局１０は、この検証鍵ＰＣＡを証明書ＣＣＡに格納して、放送局（放送送信装置２０）に発行する。一方、署名鍵ＳＣＡは、ＣＡ局１０で記憶、管理される。
【００６０】
また、ＣＡ局１０は、前記した公開鍵暗号方式により、署名鍵ＳＬと、ライセンス機関検証鍵ＰＬ（以後、「署名鍵ＰＬ」）との鍵ペアを生成する。例えば、ＣＡ局１０は、署名鍵ＳＬ及び検証鍵ＰＬをライセンス機関毎に生成する（本実施形態では署名鍵ＳＬ及び検証鍵ＰＬを１ペア生成する）。そして、ＣＡ局１０は、検証鍵ＰＬを証明書ＣＬに格納し、署名鍵ＳＣＡにより証明書ＣＬの署名を生成して証明書ＣＬに付加する。さらに、ＣＡ局１０は、証明書ＣＬを放送局（放送送信装置２０）に発行し、署名鍵ＳＬをライセンス機関（ＩＤ・署名鍵・証明書発行装置３０）に発行する。
なお、ＣＡ局１０は、一般的な構成のため、詳細な説明を省略する。
【００６１】
放送送信装置２０は、放送局で管理され、放送波を介して、放送番組を受信機８０に送信するものである。また、放送送信装置２０は、ＤＳＭ−ＣＣ（Digital storage media command and control）データカルーセル等の伝送手段により、ＣＡ局１０で発行された証明書ＣＣＡ，ＣＬを受信機８０に送信する。
【００６２】
なお、放送送信装置２０は、放送番組を放送波として送信する形態で説明するが、ケーブル（図示せず）や、ネットワークを介して送信してもよい。
また、放送送信装置２０は、一般的な番組編成設備、番組送信設備、送信設備等から構成されるデジタル放送用の放送設備であるため、詳細な説明を省略する。
【００６３】
ＩＤ・署名鍵・証明書発行装置３０は、ライセンス機関で管理され、サービス事業者からのアプリケーションＩＤの申請に応じて、アプリケーションＩＤと、アプリケーション用署名鍵ＳＢ（以後、「署名鍵ＳＢ」）と、アプリケーション用証明書ＣＢ（以後、「証明書ＣＢ」）とを、サービス事業者（アプリケーション登録装置４０）に発行するものである。
なお、ＩＤ・署名鍵・証明書発行装置３０の構成は、後記する。
【００６４】
アプリケーション登録装置４０は、サービス事業者で管理され、ライセンス機関（ＩＤ・署名鍵・証明書発行装置３０）から、アプリケーションＩＤと、署名鍵ＳＢと、証明書ＣＢとが発行されるものである。そして、アプリケーション登録装置４０は、署名鍵ＳＢにより署名を生成する。さらに、アプリケーション登録装置４０は、後記するアプリケーション制作装置５０から入力されたアプリケーションに、アプリケーションＩＤと、署名鍵ＳＢによる署名と、証明書ＣＢとを付加するものである。
なお、アプリケーション登録装置４０の構成は、後記する。
【００６５】
アプリケーション制作装置５０は、アプリケーションを制作するための開発環境である。ここで、アプリケーション制作装置５０は、放送局やライセンス機関によって提供されるＳＤＫ（Software Development Kit）がインストールされ、アプリケーションを制作可能である。
なお、アプリケーション制作装置５０は、一般的な構成のため、詳細な説明を省略する。
【００６６】
コンテンツ配信サーバ６０は、サービス事業者で管理され、受信機８０のアプリケーションからの要求により、ネットワークを介して、コンテンツを受信機８０に提供するものである。このコンテンツ配信サーバ６０としては、例えば、ＶＯＤ（ビデオオンデマンド）配信サーバ、字幕配信サーバ、マルチビュー配信サーバがあげられる。
なお、コンテンツ配信サーバ６０は、一般的な構成のため、詳細な説明を省略する。
また、図１では、図面を見やすくするため、コンテンツ配信サーバ６０から受信機８０へのコンテンツ配信を示す実線を省略した。
【００６７】
アプリケーションサーバ７０は、サービス事業者が制作したアプリケーションを記憶、管理するサーバである。このアプリケーションサーバ７０は、受信機８０からの要求に応じて、ネットワークを介して、アプリケーションを受信機８０に送信する。
なお、アプリケーションサーバ７０は、一般的な構成のため、詳細な説明を省略する。
【００６８】
受信機８０は、例えば、各ユーザの自宅に設置され、地上デジタル放送、ＢＳデジタル放送、データ放送等の放送番組が視聴可能であると共に、ネットワークを介して、アプリケーションを受信可能な受信装置である。そして、受信機８０は、アプリケーションに付加された証明書ＣＢから起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出し、起動範囲及びリンク範囲を考慮したアプリケーションの起動制御と、リソースアクセス制御とを行う。
【００６９】
この受信機８０では、アプリケーション起動情報に基づいて、アプリケーションの取得、起動、終了等の制御が行われるため、アプリケーション起動情報の概略について説明する。
この「アプリケーション起動情報」とは、アプリケーションの識別子（ＩＤ）、アプリケーションの配置場所等のアプリケーションを特定するための情報、ならびに、当該アプリケーションを制御するための付加的な情報（アプリケーション情報テーブル：ＡＩＴ（Application Information Table）に相当する情報）である。言い換えるなら、アプリケーション起動情報は、アプリケーションの取得元となるアプリケーションサーバ７０のロケーション情報（ＵＲＩ）が含まれている。
【００７０】
［ＩＤ・署名鍵・証明書発行装置の構成］
図２を参照して、ＩＤ・署名鍵・証明書発行装置３０の構成について説明する（適宜図１参照）。
図２に示すように、ＩＤ・署名鍵・証明書発行装置３０は、署名鍵入力手段３０１と、アプリＩＤ生成手段３０２と、署名鍵・検証鍵生成手段３０３と、証明書生成手段３０４と、証明書管理手段３０５と、署名鍵管理手段３０６とを備える。
【００７１】
署名鍵入力手段３０１は、ＣＡ局１０から署名鍵ＳＬが入力されるものである。そして、署名鍵入力手段３０１は、入力された署名鍵ＳＬを証明書生成手段３０４に出力する。
【００７２】
アプリＩＤ生成手段３０２は、アプリケーションに付加するアプリケーションＩＤを生成するものである。例えば、アプリＩＤ生成手段３０２は、予め設定した命名規約に従って、アプリケーションＩＤを生成する。この命名規約は、例えば、サービス事業者の事業者ＩＤと、このサービス事業者内で一意に定められたアプリケーションを識別する番号とをアプリケーションＩＤとする。そして、アプリＩＤ生成手段３０２は、生成したアプリケーションＩＤを、証明書生成手段３０４に出力する。
【００７３】
署名鍵・検証鍵生成手段３０３は、署名鍵ＳＢと、アプリケーション用検証鍵ＰＢ（以後、「検証鍵ＰＢ」）とを生成するものである。ここで、署名鍵・検証鍵生成手段３０３は、ＣＡ局１０と同様の公開鍵暗号方式により、署名鍵ＳＢと検証鍵ＰＢとの鍵ペアを生成する。そして、署名鍵・検証鍵生成手段３０３は、生成した検証鍵ＰＢを証明書生成手段３０４に出力する。さらに、署名鍵・検証鍵生成手段３０３は、生成した署名鍵ＳＢを署名鍵管理手段３０６に出力する。
【００７４】
証明書生成手段３０４は、アプリケーションに付加する証明書ＣＢを生成するものである。例えば、証明書生成手段３０４は、図３に示すように、ＩＴＵ(International Telecommunication Union)のＸ．５０９に準拠した証明書ＣＢを生成する。
具体的には、証明書生成手段３０４は、署名鍵・検証鍵生成手段３０３から入力された検証鍵ＰＢを証明書ＣＢに付加する。また、証明書生成手段３０４は、アプリＩＤ生成手段３０２から入力されたアプリケーションＩＤを、証明書ＣＢに付加する。そして、証明書生成手段３０４は、例えば、アプリケーション制作者や、アプリケーションの内容に応じて、アプリケーションを識別する情報を証明書ＣＢに付加する。さらに、証明書生成手段３０４は、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、証明書ＣＢに付加する。
なお、ライセンス機関は、例えば、アプケーション毎に、証明書ＣＢに付加する起動範囲情報、リンク範囲情報及びリソース利用範囲情報を予め設定しておく。
【００７５】
また、証明書生成手段３０４は、署名鍵入力手段３０１から入力された署名鍵ＳＬを用いて、証明書ＣＢの署名前証明書（図３）に該当するデータを署名元メッセージとして、署名を生成する。このとき、証明書生成手段３０４は、後記する署名生成手段４０３（図８）と同様の署名アルゴリズムを用いることができる。そして、証明書生成手段３０４は、アプリケーションＩＤと、署名鍵ＳＬによる署名と、署名鍵ＳＬによる署名の生成に用いた署名アルゴリズムの名称とを、証明書ＣＢに付加して、証明書管理手段３０５に出力する。
【００７６】
＜証明書の具体例＞
図３を参照して、証明書生成手段３０４が生成した証明書ＣＢの具体例について、説明する。
図３に示すように、署名前証明書のデータ項目のうち、バージョン、シリアル番号及び有効期間（開始、終了）は、ＩＴＵのＸ．５０９に準拠して記述するため、詳細な説明を省略する。
署名前証明書の公開鍵情報には、検証鍵ＰＢが格納され、この検証鍵ＰＢを生成したアルゴリズムの名称が記述される。
署名前証明書には、発行者としてライセンス機関の名前が記述され、発行者の識別子としてライセンス機関の事業者ＩＤ（ユニークＩＤ）が記述される。
署名前証明書には、主体者としてサービス事業者の名前が記述され、主体者の識別子としてサービス事業者の事業者ＩＤ（ユニークＩＤ）が記述される。
署名前証明書の拡張項目には、アプリケーションＩＤと、アプリケーションの識別と、起動範囲情報（起動範囲）と、リンク範囲情報（リンク範囲）と、リソース利用範囲情報（リソース利用範囲）とが記述される。
そして、証明書ＣＢには、署名前証明書の各データ項目に加えて、署名鍵ＳＬによる署名（ライセンス機関の署名）と、このライセンス機関の署名の生成に用いた署名アルゴリズムの名称とが格納される。
【００７７】
＜起動範囲情報の記述形式＞
図４を参照して、起動範囲情報の記述形式について、説明する。
図４に示すように、起動範囲情報は、データ項目として、descriptor_tagと、descriptor_lengthと、boundary_extension_countとを有する。また、起動範囲情報は、データ項目として、１組又は複数組のoriginal_network_idと、transport_stream_idと、service_idとを有する
【００７８】
descriptor_tagには、起動範囲情報を示す値（例えば、「０ｘ０１」）が８ビットで記述される。
descriptor_lengthには、このデータ項目の直後に続く記述子のデータ部分の全バイト長が８ビットで記述される。
boundary_extension_countには、起動範囲情報に格納された編成チャンネルの数が８ビットで記述される。
【００７９】
original_network_idには、編成チャンネルに対応したオリジナルネットワーク識別が１６ビットで記述される。
transport_stream_idには、編成チャンネルに対応したトランスポートストリーム識別が１６ビットで記述される。
service_idには、編成チャンネルに対応したサービス識別が１６ビットで記述される。
つまり、original_network_idと、transport_stream_idと、service_idとの組が、１つの編成チャンネルを表している。
【００８０】
なお、original_network_id、transport_stream_id及びservice_idは、例えば、ＡＲＩＢ（電波産業会：Association of Radio Industries and Businesses）  ＳＴＤ−Ｂ１０に規定されている。
【００８１】
＜リンク範囲情報の記述形式＞
図５を参照して、リンク範囲情報の記述形式について、説明する。
図５に示すように、リンク範囲情報は、データ項目として、descriptor_tagと、descriptor_lengthと、boundary_extension_countとを有する。また、リンク範囲情報は、データ項目として、その個数がboundary_extension_countで指定される、１以上のboundary_extension_lengthと、１以上のboundary_extension_byteとを有する。
【００８２】
descriptor_tagには、リンク範囲情報を示す値（例えば、「０ｘ０２」）が８ビットで記述される。
boundary_extension_byteには、アプリケーションのリンク可能な１以上のＵＲＩの文字コードが、バイナリ形式で記述される。
【００８３】
なお、リンク範囲情報の各データ項目については、下記の参考文献に記載された“Simple application boundary descriptor”と同一のため、詳細な説明を省略する。
参考文献：「Digital Video Broadcasting (DVB); Signalling and carriage of interactive applications and services in Hybrid broadcast/broadband environments」、ＥＴＳＩ  ＴＳ  １０２  ８０９  Ｖ１．１．１（２０１０−０１）
【００８４】
＜リソース利用範囲情報の記述形式＞
図６，図７を参照して、リソース利用範囲情報の記述形式について、説明する。
図６に示すように、リソース利用範囲情報は、データ項目として、descriptor_tagと、descriptor_lengthと、resource_access_control_dataとを有する。
【００８５】
descriptor_tagには、リソース利用範囲情報を示す値（例えば、「０ｘ０３」）が８ビットで記述される。
descriptor_lengthには、このデータ項目の直後に続く記述子のデータ部分の全バイト長が８ビットで記述される。
resource_access_control_dataには、図７に示すように、リソースアクセス制限情報が８ビットのバイナリ形式で記述される。
【００８６】
このリソースアクセス制限情報は、各ビットをリソース種類に対応させて、リソース種類毎に利用可否を定めたものである。図７の例では、リソースアクセス制限情報は、第１ビット目がリソース「映像」に対応し、第２ビット目がリソース「音声」に対応し、第３ビット目がリソース「字幕」に対応し、第４ビット目がリソース「データ：ＢＭＬ」に対応する。また、リソースアクセス制限情報は、第５ビット目がリソース「番組配列情報：ＳＩ」に対応し、第６ビット目がリソース「ＶＯＤ」に対応し、第７ビット目がリソース「ストリーミング」に対応し、第８ビット目がリソース「メタデータ」に対応する。
【００８７】
そして、リソースアクセス制限情報は、リソースの種類に対応したビットが「１」の場合、アプリケーションがリソースにアクセスして、そのリソースを利用できることを示す。一方、リソースアクセス制限情報は、リソースの種類に対応したビットが「０」の場合、アプリケーションがリソースにアクセスできず、そのリソースを利用できないことを示す。
【００８８】
ここで、リソースとは、アプリケーションの動作に必要となるコンテンツ要素及び受信機資源のことであり、例えば、放送リソース、通信リソース、受信機リソースがある。
この放送リソースは、放送波で扱われるリソースであり、例えば、映像、音声、字幕、データ：ＢＭＬ、番組配列情報：ＳＩ（Service Information）をあげることができる。
また、通信リソースは、ネットワークで扱われるリソースであり、例えば、ＶＯＤ、ストリーミング、メタデータをあげることができる。
さらに、受信機リソースは、受信機８０のソフトウェア及びハードウェアに関するリソースであり、例えば、映像・音声出力処理、選局処理、メモリ、ストレージをあげることができる。
【００８９】
なお、図７では、各リソースが放送リソース又は通信リソースの何れに分類されるか、カッコ書きで図示した（図１２も同様）。
また、リソースアクセス制御情報を８ビットのバイナリ形式としたが、これに限定されず、アクセス制御対象のリソースの数に応じて定義するものとする。
また、本実施形態では、証明書ＣＢは、拡張項目を含め、例えば、「CCITT Recommendation X.208: Specification of Abstract Syntax Notation One (ASN.1), 1988 (ASN.1: Abstract Syntax Notation One, ITU-T X.680-689)」で規定された記述言語を用いることとする。
【００９０】
図２に戻り、ＩＤ・署名鍵・証明書発行装置３０の構成について、説明を続ける。
証明書管理手段３０５は、証明書生成手段３０４から入力された証明書ＣＢを記憶、管理するものである。そして、証明書管理手段３０５は、サービス事業者からのアプリケーションＩＤの申請に応じて、記憶した証明書ＣＢを、アプリケーション登録装置４０に出力する。
【００９１】
署名鍵管理手段３０６は、署名鍵・検証鍵生成手段３０３から入力された署名鍵ＳＢを記憶、管理するものである。そして、署名鍵管理手段３０６は、サービス事業者からのアプリケーションＩＤの申請に応じて、記憶した署名鍵ＳＢを、アプリケーション登録装置４０に出力する。
【００９２】
［アプリケーション登録装置の構成］
図８を参照して、アプリケーション登録装置４０の構成について説明する（適宜図１参照）。
図８に示すように、アプリケーション登録装置４０は、アプリ入力手段４０１と、署名鍵入力手段４０２と、署名生成手段４０３と、署名付加手段４０４と、証明書付加手段４０５と、アプリ出力手段４０６とを備える。
【００９３】
アプリ入力手段４０１は、アプリケーション制作装置５０からアプリケーションが入力されるものである。そして、アプリ入力手段４０１は、入力されたアプリケーションを、署名生成手段４０３及び署名付加手段４０４に出力する。
【００９４】
署名鍵入力手段４０２は、ライセンス機関から証明書ＣＢと、署名鍵ＳＢとが入力されるものである。そして、署名鍵入力手段４０２は、入力された署名鍵ＳＢを署名生成手段４０３に出力する。さらに、署名鍵入力手段４０２は、入力された証明書ＣＢを証明書付加手段４０５に出力する。
【００９５】
署名生成手段４０３は、署名鍵入力手段４０２から署名鍵ＳＢが入力され、この署名鍵ＳＢを用いて、アプリケーション用署名を生成するものである。例えば、署名生成手段４０３は、アプリ入力手段４０１から入力されたアプリケーションのバイナリコードを、アプリケーション用署名の元となる署名元メッセージとする。そして、署名生成手段４０３は、この署名元メッセージに署名アルゴリズム（例えば、ＤＳＡ署名）を適用してアプリケーション用署名を生成して、署名付加手段４０４に出力する。
なお、署名生成手段４０３は、署名元メッセージにハッシュ関数（例えば、ＳＨＡ−１アルゴリズム）を用いて署名元メッセージを容量の少ないデータに変換してから、署名アルゴリズムを適用することが好ましい。
【００９６】
すなわち、署名生成手段４０３は、以下の式（１）で表されるアプリケーション用署名を生成する。この式（１）では、Ｓｉｇがアプリケーション用署名であり、Ｓｉｇｎａｔｕｒｅ＿Ｋｓが署名鍵ＳＢ（秘密鍵）による署名生成であり、Ｍｅｓが署名元メッセージである。
Ｓｉｇ＝Ｓｉｇｎａｔｕｒｅ＿Ｋｓ（Ｍｅｓ）・・・式（１）
【００９７】
署名付加手段４０４は、アプリ入力手段４０１から入力されたアプリケーションに、署名生成手段４０３から入力されたアプリケーション用署名を付加するものである。そして、署名付加手段４０４は、アプリケーション用署名が付加されたアプリケーションを、証明書付加手段４０５に出力する。
【００９８】
証明書付加手段４０５は、署名付加手段４０４から入力されたアプリケーションに、署名鍵入力手段４０２から入力された証明書ＣＢを付加するものである。そして、証明書付加手段４０５は、証明書ＣＢが付加されたアプリケーションを、アプリ出力手段４０６に出力する。
【００９９】
アプリ出力手段４０６は、証明書付加手段４０５から入力されたアプリケーションを、アプリケーションサーバ７０に出力（登録）するものである。つまり、アプリ出力手段４０６が出力するアプリケーションは、アプリケーション本体と、アプリケーションＩＤと、署名鍵ＳＢによるアプリケーション用署名と、証明書ＣＢとがパッケージ化されたものである。
【０１００】
［受信機の構成］
図９を参照して、受信機８０の構成について説明する（適宜図１参照）。
図９に示すように、受信機（放送通信連携受信装置）８０は、放送受信手段８０１と、放送信号解析手段８０２と、映像・音声復号手段８０３と、データ放送復号手段８０４と、通信送受信手段８０５と、アプリ起動情報取得手段８０６と、アプリ起動情報記憶手段８０７と、リスト制御手段８０８と、アプリ管理・実行制御手段８０９と、起動アプリ識別情報記憶手段８１０と、アプリ取得手段８１１と、アプリ記憶手段８１２と、アプリ実行手段８１３と、操作制御手段８１４と、合成表示手段８１５と、セキュリティ管理手段８１６と、リソース管理手段８２１とを備える。
【０１０１】
放送受信手段８０１は、アンテナＡを介して、放送波として送信される放送データを受信するものである。この放送受信手段８０１は、放送データを受信、復調し、誤り訂正やＴＭＣＣ（Transmission and Multiplexing Configuration Control）復号等の復号を行い、ＭＰＥＧ２のトランスポートストリーム（ＴＳ）として、放送信号解析手段８０２に出力する。
なお、この放送受信手段８０１は、アンテナＡを介して、電波によって放送信号を受信するものに限定されず、ケーブルを介して、放送信号を受信するものであってもよい。
【０１０２】
放送信号解析手段８０２は、放送受信手段８０１で復調されたストリームデータ（トランスポートストリーム）において、ＰＳＩ／ＳＩ（Program Specific Information〔番組特定情報〕／Service Information〔番組配列情報〕）を解析し、現在選局中の編成チャンネルに対応する映像、音声、データ放送等のデータを抽出するものである。なお、選局は、後記する操作制御手段８１４から通知されるチャンネル切替指示に基づいて行われる。
【０１０３】
この放送信号解析手段８０２は、抽出した映像、音声等のデータであるＰＥＳ（Packetized Elementary Stream）形式のデータについては、映像・音声復号手段８０３に出力し、抽出したデータ放送等のデータであるセクション形式のデータについては、データ放送復号手段８０４に出力する。
【０１０４】
このとき、放送信号解析手段８０２は、放送受信手段８０１で復調されたストリームデータから、ＳＩ（番組配列情報）の一つであるＡＩＴの記述子（アプリケーション起動情報記述子）に含まれているアプリケーション起動情報を抽出してもよい。そして、放送信号解析手段８０２は、抽出したアプリケーション起動情報をアプリ起動情報記憶手段８０７に書き込む。さらに、放送信号解析手段８０２は、アプリケーション起動情報を抽出した場合、アプリケーション起動情報が通知された旨（起動情報通知）を、アプリケーションを識別する情報（アプリケーションＩＤ）と共に、アプリ管理・実行制御手段８０９に通知する。
【０１０５】
さらに、放送信号解析手段８０２は、起動範囲判定手段８１８から、選局されている編成チャンネルが問い合わせされる（選局チャンネル問合）。この選局チャンネル問合に応じて、放送信号解析手段８０２は、選局されている編成チャンネルを示す情報として、選局編成チャンネル問合結果を、後記する起動範囲判定手段８１８に出力する。
【０１０６】
なお、選局編成チャンネル問合結果は、解析した番組配列情報に含まれるoriginal_network_idと、transport_stream_idと、service_idとの組である。
また、図９では、図面を見やすくするため、放送信号解析手段８０２及び起動範囲判定手段８１８の間での信号入出力を、丸付きのＢで図示した。
【０１０７】
映像・音声復号手段８０３は、放送信号解析手段８０２で抽出された映像・音声（映像ストリーム及び音声ストリーム）を復号するものである。この映像・音声復号手段８０３は、映像・音声が例えば、ＭＰＥＧ２の符号化方式によって符号化されている場合、ＭＰＥＧ２の復号を行い表示可能な出力形式の映像・音声データとして、合成表示手段８１５に出力する。
【０１０８】
データ放送復号手段８０４は、放送信号解析手段８０２で抽出されたデータ放送のデータを復号するものである。このデータ放送復号手段８０４は、カルーセルを復号し、ＢＭＬを解析し、当該ＢＭＬを表示可能な出力形式に変換するＢＭＬブラウザの機能を有し、変換した表示データ（データ放送データ）を、合成表示手段８１５に出力する。
【０１０９】
また、データ放送復号手段８０４は、カルーセルで送信されたアプリケーション起動情報を抽出してもよい。そして、データ放送復号手段８０４は、抽出したアプリケーション起動情報をアプリ起動情報記憶手段８０７に書き込む。
【０１１０】
ここで、データ放送復号手段８０４は、証明書抽出手段８０４ａをさらに備える。
証明書抽出手段８０４ａは、カルーセルで送信された証明書ＣＣＡ，ＣＬを抽出するものである。そして、証明書抽出手段８０４ａは、抽出した証明書ＣＣＡ，ＣＬを証明書管理手段８１７ａに書き込む。
通信送受信手段８０５は、ネットワークを介して、アプリケーション等のデータを受信するものである。
【０１１１】
アプリ起動情報取得手段８０６は、通信送受信手段８０５を介して、アプリケーションに対応する起動情報を取得するものである。
例えば、アプリ起動情報取得手段８０６は、起動時（電源ＯＮ時）に予め定めたサーバ（アプリケーション起動情報サーバ）からアプリケーション起動情報を取得し、取得したアプリケーション起動情報をアプリ起動情報記憶手段８０７に書き込む。あるいは、アプリ起動情報取得手段８０６は、ユーザによって、後記する操作制御手段８１４を介して、アプリケーションのリストを表示させる指示（リスト表示指示）が通知された段階で、アプリケーション起動情報を取得することとしてもよい。
【０１１２】
アプリ起動情報記憶手段８０７は、アプリケーション起動情報を記憶するものであって、メモリ、ハードディスク等の記憶媒体である。ここでは、アプリ起動情報記憶手段８０７は、放送信号解析手段８０２によって、抽出されたアプリケーション起動情報が書き込まれる。また、アプリ起動情報記憶手段８０７は、アプリ起動情報取得手段８０６によって、取得されたアプリケーション起動情報が書き込まれる。
【０１１３】
リスト制御手段８０８は、起動可能なアプリケーションのリストの表示及びアプリケーションの選択の制御を行うローンチャー（Launcher）である。
このリスト制御手段８０８は、起動可能なアプリケーションのリストを表示する。つまり、リスト制御手段８０８は、ユーザから操作制御手段８１４を介してリスト表示を指示されることで、アプリ起動情報記憶手段８０７に記憶されているアプリケーション起動情報に対応するアプリケーションのリストを生成し、表示データとして、合成表示手段８１５に出力する。
【０１１４】
また、リスト制御手段８０８は、表示したアプリケーションのリストにおいて、操作制御手段８１４を介して指示される、ユーザからのリスト選択指示に基づいて、アプリケーションを選択するものである。そして、リスト制御手段８０８は、選択されたアプリケーションを識別する番号（アプリケーションＩＤ）を含んだ選択アプリケーション通知をアプリ管理・実行制御手段８０９に出力する。
【０１１５】
アプリ管理・実行制御手段８０９は、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御するものである。
このアプリ管理・実行制御手段８０９は、放送信号解析手段８０２から起動情報通知が通知された場合、又は、リスト制御手段８０８から選択アプリケーション通知が通知された場合、起動範囲判定手段８１８に起動範囲を問い合わせる（起動範囲問合）。
この起動範囲問合に応じて、アプリ管理・実行制御手段８０９は、起動範囲判定手段８１８から、起動範囲の問い合わせ結果（起動範囲問合結果）が入力される。
なお、図９では、図面を見やすくするため、アプリ管理・実行制御手段８０９及び起動範囲判定手段８１８の間での信号入出力を、丸付きのＡで図示した。
【０１１６】
この起動範囲問合結果は、起動範囲に応じて、アプリケーションが起動できるか否かを示す情報であり、後記する起動制御手段８０９ａで参照される。例えば、起動範囲問合結果は、アプリケーションが起動範囲内でアプリケーションを起動できる「アプリ起動可」、又は、アプリケーションが起動範囲外でアプリケーションを起動できない「アプリ起動不可」の何れかである。
【０１１７】
また、アプリ管理・実行制御手段８０９は、放送信号解析手段８０２から起動情報通知が通知された場合、又は、リスト制御手段８０８から選択アプリケーション通知が通知された場合、リンク範囲判定手段８１９にリンク範囲を問い合わせる（リンク範囲問合）。
このとき、アプリ管理・実行制御手段８０９は、アプリ起動情報記憶手段８０７のアプリケーション起動情報に記述されたロケーション情報（アプリケーションサーバ７０のＵＲＩ）を取得する。そして、アプリ管理・実行制御手段８０９は、取得したロケーション情報を取得元ＵＲＩとして、リンク範囲問合に記述しておく。
【０１１８】
このリンク範囲問合に応じて、アプリ管理・実行制御手段８０９は、リンク範囲判定手段８１９から、リンク範囲問合の問い合わせ結果（リンク範囲問合結果）が入力される。
このリンク範囲問合結果は、リンク範囲に応じて、アプリケーションが起動できるか否かを示す情報であり、起動制御手段８０９ａ及び遷移制御手段８０９ｄで参照される。例えば、リンク範囲問合結果は、アプリケーションがリンク範囲内でアプリケーションを起動できる「アプリ起動可」、又は、アプリケーションがリンク範囲外でアプリケーションを起動できない「アプリ起動不可」の何れかである。
【０１１９】
また、アプリ管理・実行制御手段８０９は、後記するアプリ認証手段８１７から認証結果が入力される。
この認証結果は、アプリケーション認証が成功したか又は失敗したかを示す情報であり、起動制御手段８０９ａで参照される。例えば、認証結果は、アプリケーション認証が成功した「認証成功」、又は、アプリケーション認証が失敗した「認証失敗」の何れかである。
【０１２０】
また、アプリ管理・実行制御手段８０９は、後記するアプリ実行手段８１３からリソース割当要求が入力されると、このリソース割当要求を後記するリソース管理手段８２１に出力（転送）する。
また、アプリ管理・実行制御手段８０９は、リソース管理手段８２１からリソース割当要求の応答が入力されると、このリソース割当要求の応答をアプリ実行手段８１３に出力（転送）する。
【０１２１】
ここで、アプリ管理・実行制御手段８０９は、起動制御手段８０９ａと、終了制御手段８０９ｂと、蓄積管理手段８０９ｃと、遷移制御手段８０９ｄを備える。
起動制御手段８０９ａは、入力された起動範囲問合結果、リンク範囲問合結果及び認証結果に基づいて、アプリ取得手段８１１が取得したアプリケーションの起動を制御するものである。
【０１２２】
起動範囲問合結果が「アプリ起動可」、かつ、リンク範囲問合結果が「アプリ起動可」、かつ、認証結果が「認証成功」の場合、起動制御手段８０９ａは、アプリ実行手段８１３に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、アプリケーションが起動することになる。
【０１２３】
一方、起動範囲問合結果が「アプリ起動不可」、リンク範囲問合結果が「アプリ起動不可」、又は、認証結果が「認証失敗」の場合、起動制御手段８０９ａは、アプリケーションを実行させない旨、アプリ実行手段８１３に指示する。これによって、アプリケーションの起動が禁止されることになる。
なお、起動制御手段８０９ａは、起動中のアプリケーションを識別情報（アプリケーションＩＤ）で管理し、起動アプリ識別情報記憶手段８１０に起動中のアプリケーションＩＤを書き込むこととする。
【０１２４】
終了制御手段８０９ｂは、起動中のアプリケーションの終了制御を行うものである。
具体的には、終了制御手段８０９ｂは、放送信号解析手段８０２から起動情報通知が通知された際、アプリ起動情報記憶手段８０７に記憶されている、起動情報通知と共に通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コード（起動終了指示）に応じて、アプリケーションを終了させる。
【０１２５】
蓄積管理手段８０９ｃは、受信機８０内（具体的には、アプリ記憶手段８１２）にアプリケーションを予め蓄積（インストール）する制御を行うものである。
具体的には、蓄積管理手段８０９ｃは、リスト制御手段８０８から、起動可能なアプリケーションのリストの中で、ユーザが選択した選択アプリケーションを特定する情報（アプリケーションＩＤ）と共に、アプリ記憶手段８１２にアプリケーションを蓄積させる旨を通知された場合に、アプリケーション起動情報に記述されているアプリケーションの所在（ＵＲＩ）からそのアプリケーションを取得し、アプリ記憶手段８１２に書き込む旨（アプリケーション取得指示）を、アプリ取得手段８１１に通知する。
これによって、アプリ記憶手段８１２には、ユーザが選択したアプリケーションが蓄積される。
【０１２６】
また、蓄積管理手段８０９ｃは、アプリケーションをアプリ記憶手段８１２に蓄積（インストール）した場合、アプリ起動情報記憶手段８０７にアプリケーションが蓄積されている旨の状態を書き込み管理することとする。
一方、蓄積管理手段８０９ｃは、ユーザの指示に応じて、蓄積したアプリケーションを削除する。すなわち、アプリ記憶手段８１２に記憶されているアプリケーションは、蓄積管理手段８０９ｃ内の蓄積アプリケーションリスト表示手段（不図示）によってリスト表示され、アプリケーション選択削除手段（不図示）によって、ユーザからの選択により、アプリ記憶手段８１２から削除される。このとき、アプリケーション選択削除手段（不図示）は、アプリ起動情報記憶手段８０７において、対応するアプリケーション蓄積状態を“未蓄積”とする。
【０１２７】
遷移制御手段８０９ｄは、アプリ実行手段８１３で実行されているアプリケーションの遷移を制御するものである。
具体的には、遷移制御手段８０９ｄは、実行中のアプリケーションがＷｅｂページを遷移するとき、アプリ実行手段８１３から、Ｗｅｂページが遷移する旨が通知される（遷移先情報通知）。この遷移先情報通知には、実行中のアプリケーションのＩＤと、遷移先ＷｅｂページのＵＲＩとが含まれている。
【０１２８】
遷移先情報通知が入力された場合、遷移制御手段８０９ｄは、実行中のアプリケーションが遷移先Ｗｅｂページに遷移できるか否かを、リンク範囲判定手段８１９に問い合わせる（遷移可否問合）。このとき、遷移制御手段８０９ｄは、遷移先情報通知に含まれるＵＲＩを、取得元ＵＲＩとして遷移可否問合に記述しておく。
この遷移可否問合に応じて、遷移制御手段８０９ｄは、リンク範囲判定手段８１９から、遷移可否の問い合わせ結果が入力される（遷移可否合結果）。
【０１２９】
この遷移可否問合結果は、リンク範囲に応じて、アプリケーションが遷移先Ｗｅｂページに遷移できるか否かを示す情報である。例えば、遷移可否問合結果は、アプリケーションがリンク範囲内でアプリケーションが遷移できる「アプリ遷移可」、又は、アプリケーションがリンク範囲外でアプリケーションが遷移できない「アプリ遷移不可」の何れかである。
【０１３０】
遷移可否問合結果が「アプリ遷移可」の場合、遷移制御手段８０９ｄは、アプリ実行手段８１３にＷｅｂページの遷移を許可する旨（遷移許可通知）を通知する。これによって、アプリケーションがＷｅｂページを遷移することになる。
【０１３１】
一方、遷移可否問合結果が「アプリ遷移不可」の場合、遷移制御手段８０９ｄは、アプリ実行手段８１３にＷｅｂページの遷移を許可できない旨（遷移不許可通知）を通知する。これによって、アプリケーションがＷｅｂページの遷移を停止することになる。
【０１３２】
起動アプリ識別情報記憶手段８１０は、起動中のアプリケーションの識別情報（アプリケーションＩＤ）を記憶するものであって、半導体メモリ等の記憶媒体である。この起動アプリ識別情報記憶手段８１０は、起動制御手段８０９ａによって、アプリケーションが起動された際にアプリケーションＩＤが書き込まれ、終了制御手段８０９ｂによって、アプリケーションが終了する際に削除される。
【０１３３】
アプリ取得手段８１１は、通信送受信手段８０５を介して、アプリケーションサーバ７０に記憶されたアプリケーションを取得するものである。
このアプリ取得手段８１１は、蓄積管理手段８０９ｃからアプリケーション取得指示を通知された場合、当該指示で通知されるアプリケーションの所在（アドレス）から、指定されたアプリケーションを取得し、その取得したアプリケーションをアプリ記憶手段８１２に書き込み蓄積する。
【０１３４】
また、アプリ取得手段８１１は、アプリケーションを取得したとき、認証指示をアプリ認証手段８１７に出力する。この認証指示は、アプリケーションが正当であるか否かの認証（アプリケーション認証）を指示するものである。
これによって、受信機８０は、アプリケーションを起動する都度、アプリケーション認証を行う場合に比べて、その回数を低減でき、受信機８０の処理負荷を軽減することができる。
アプリ取得手段８１１が出力した認証指示は、図９には「認証指示１」と図示した。なお、「認証指示２」については、説明を後記する。
【０１３５】
アプリ記憶手段８１２は、アプリ取得手段８１１で取得されたアプリケーションを記憶するもので、ハードディスク等の記憶媒体である。このアプリ記憶手段８１２に記憶されているアプリケーションは、アプリ実行手段８１３によって読み出され、実行される。
なお、アプリ記憶手段８１２に記憶されているアプリケーションには、放送通信連携システム１が想定するアプリケーションＩＤと、署名と、証明書ＣＢとが付加されている。
【０１３６】
アプリ実行手段８１３は、アプリ管理・実行制御手段８０９からの指示（起動制御指示）に基づいて、アプリケーションの起動及び終了を行うものである。
このアプリ実行手段８１３は、起動制御手段８０９ａからアプリケーションを実行する旨が指示された場合、起動制御指示に含まれるアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）に基づいて、アプリケーション及びアプリケーションを実行する際に必要となるデータ（例えば、メタデータ、アイコンデータ等）をアプリケーションの取得元から取得する。
そして、アプリ実行手段８１３は、図示を省略したメモリにアプリケーションを展開（ロード）し、アプリケーション（放送局アプリ及び一般アプリ）を実行する。
このアプリケーションの実行に伴う画像や音声のデータは、合成表示手段８１５に出力される。
【０１３７】
また、アプリ実行手段８１３は、起動制御手段８０９ａからアプリケーションを実行させない旨が指示された場合、合成表示手段８１５を介して、アプリケーションを実行できない旨のメッセージを表示してもよい。すなわち、起動範囲問合結果が「アプリ起動不可」、リンク範囲問合結果が「アプリ起動不可」、又は、認証結果が「認証失敗」の場合、アプリ実行手段８１３に起動制御指示が入力されないため、アプリケーションの起動が禁止される。
また、アプリ実行手段８１３は、終了制御手段８０９ｂからアプリケーションを終了する旨が指示された場合、指示されたアプリケーションを終了させる。
【０１３８】
また、アプリ実行手段８１３は、実行中のアプリケーションが表示中のＷｅｂページから他のＷｅｂページ（遷移先Ｗｅｂページ）に遷移するとき、遷移先情報通知をアプリ管理・実行制御手段８０９に通知する。
この遷移先情報通知に応じて、アプリ実行手段８１３は、アプリ管理・実行制御手段８０９から、「遷移許可通知」又は「遷移不許可通知」が入力される。
【０１３９】
「遷移許可通知」が入力された場合、アプリ実行手段８１３は、実行中のアプリケーションにＷｅｂページを遷移させる。
一方、「遷移不許可通知」が入力された場合、アプリ実行手段８１３は、実行中のアプリケーションによるＷｅｂページの遷移を停止させる。このとき、アプリ実行手段８１３は、合成表示手段８１５を介して、Ｗｅｂページを遷移できない旨のメッセージを表示してもよい。
【０１４０】
ここで、アプリ実行手段８１３は、起動中のアプリケーションがリソースにアクセスするＡＰＩ（Application Program Interface）を呼び出した場合、アプリ管理・実行制御手段８０９を介して、リソース割当要求をリソース管理手段８２１に出力する。
このリソース割当要求は、リソースの割り当てを要求するものであり、例えば、起動中のアプリケーションのＩＤと、このアプリケーションが呼び出したＡＰＩ名とが含まれている。
【０１４１】
また、アプリ実行手段８１３は、アプリ管理・実行制御手段８０９からリソース割当要求の応答が入力される。
このリソース割当要求の応答は、リソースの割り当てが成功したか又は失敗したかを示すものである。例えば、リソース割当要求の応答は、リソースの割り当てが成功である「リソース割当成功」、又は、リソースの割り当てが失敗である「リソース割当失敗」の何れかを示す。
【０１４２】
ここで、リソース割当要求の応答が「リソース割当成功」の場合、アプリ実行手段８１３は、ＡＰＩを呼び出して、リソース管理手段８２１によって割り当てられたリソースを使用する。
一方、リソース割当要求の応答が「リソース割当失敗」の場合、アプリ実行手段８１３は、例えば、セキュリティ関係の例外処理、アプリケーションを終了する等のアプリケーションごとに任意の処理を行う。この場合、アプリ実行手段８１３は、終了制御手段８０９ｂから通常終了あるいは強制終了であるかを、例えば、割り込み信号等によって起動中のアプリケーションに通知し、アプリケーションを終了させる。
【０１４３】
なお、アプリ実行手段８１３は、アプリ管理・実行制御手段８０９を介して、リソース割当要求をリソース管理手段８２１に出力することとして説明したが、これに限定されない。具体的には、アプリ実行手段８１３は、リソース割当要求をリソース管理手段８２１に直接出力してもよい（不図示）。
【０１４４】
操作制御手段８１４は、外部のリモコン装置Ｒｉ等の入力手段を介して、受信機８０に対するユーザの操作（例えば、チャンネル変更等）を制御するものである。
この操作制御手段８１４は、リモコン装置Ｒｉを介してユーザからチャンネルの変更が指示された場合、選択されたチャンネルのチャンネル番号を含んだチャンネル切替指示を放送信号解析手段８０２に通知する。これによって、現在視聴中のチャンネルが選局されることになる。
【０１４５】
合成表示手段８１５は、映像・音声を合成して表示するものである。この合成表示手段８１５は、映像・音声復号手段８０３で復号された映像データ・音声データ、データ放送復号手段８０４で復号されたデータ放送の表示データ、リスト制御手段８０８で生成されたリストの表示データ及びアプリ実行手段８１３で生成されたアプリケーションの表示データをそれぞれ合成して表示する。
なお、合成表示手段８１５は、合成した音声については、音声信号として外部に接続されたスピーカ等の音声出力装置Ｓｐに出力し、合成した映像（画像）については、映像信号として外部に接続された液晶ディスプレイ等の映像表示装置Ｍｏに出力する。
【０１４６】
セキュリティ管理手段８１６は、受信機８０のセキュリティを管理するものであり、アプリ認証手段８１７と、起動範囲判定手段（起動判定手段）８１８と、リンク範囲判定手段（起動判定手段）８１９と、リソースアクセス制御手段８２０とを備える。
【０１４７】
アプリ認証手段８１７は、アプリ取得手段８１１から入力された認証指示に応じて、アプリ取得手段８１１が取得したアプリケーションについて、アプリケーション認証を行うものである。このため、図９に示すように、アプリ認証手段８１７は、証明書管理手段８１７ａと、証明書確認手段８１７ｂと、署名検証手段８１７ｃと、アクセス制御情報抽出手段（抽出手段）８１７ｄとを備える。
【０１４８】
証明書管理手段８１７ａは、証明書抽出手段８０４ａで抽出された証明書ＣＣＡ，ＣＬを記憶、管理するものである。
証明書確認手段８１７ｂは、アプリ認証手段８１７からの指示に応じて、アプリケーションに付加された証明書ＣＢと、証明書管理手段８１７ａに記憶された証明書ＣＬとが有効であるか否かを確認するものである。
【０１４９】
署名検証手段８１７ｃは、アプリケーションから抽出した署名が正当であるか否かを検証するものである。
アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからの指示に応じて、有効な証明書ＣＢの拡張項目から、アクセス制御情報として、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出するものである。
【０１５０】
＜アプリケーション認証＞
以下、アプリ認証手段８１７によるアプリケーション認証について、説明する。
アプリ認証手段８１７は、アプリ取得手段８１１から認証指示が入力されると、アプリ記憶手段８１２のアプリケーションに証明書ＣＢが付加されているか否か、つまり、アプリケーションから証明書ＣＢを抽出できるか否かを確認する。
【０１５１】
証明書ＣＢが付加されている場合、アプリ認証手段８１７は、アプリ記憶手段８１２から、アプリケーション本体と、アプリケーションに付加されたアプリケーションＩＤと、アプリケーション用署名と、証明書ＣＢとを抽出する。そして、アプリ認証手段８１７は、証明書の有効性の確認を、証明書確認手段８１７ｂに指示する。
一方、証明書ＣＢが付加されていない場合、アプリ認証手段８１７は、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
なお、図９では、アプリケーション用署名を単に「署名」と図示した（図１３も同様）。
【０１５２】
証明書確認手段８１７ｂは、証明書管理手段８１７ａに記憶された証明書ＣＣＡの検証鍵ＰＣＡを用いて、証明書管理手段８１７ａに記憶された証明書ＣＬが有効であるか否かを確認する。
なお、証明書ＣＬが有効であるか否かの確認とは、例えば、検証鍵ＰＣＡを用いて、証明書ＣＬに付加された署名（署名鍵ＳＣＡで生成した署名）を復号し、復号した署名と署名元メッセージとが一致するか否かを検証することである。
【０１５３】
証明書ＣＬが有効な場合、証明書確認手段８１７ｂは、この証明書ＣＬの検証鍵ＰＬを用いて、アプリ認証手段８１７が抽出した証明書ＣＢが有効であるか否かを確認する。
なお、証明書ＣＢが有効であるか否かの確認とは、例えば、検証鍵ＰＬを用いて、証明書ＣＢに付加された署名（署名鍵ＳＬによる署名）を復号し、復号した署名と署名元メッセージとが一致するか否かを検証することである。
【０１５４】
証明書ＣＢが有効な場合、証明書確認手段８１７ｂは、署名検証手段８１７ｃに署名の検証を指示（署名検証指示）する。
一方、証明書ＣＬが有効でない場合、又は、証明書ＣＢが有効でない場合、証明書確認手段８１７ｂは、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
【０１５５】
署名検証手段８１７ｃは、証明書確認手段８１７ｂから署名検証指示が入力されると、証明書ＣＢの検証鍵ＰＢを用いて、アプリケーション用署名が正当であるか否かを検証する。具体的には、署名検証手段８１７ｃは、署名元メッセージに署名検証アルゴリズムを適用して、アプリケーション用署名を検証する（式（２）参照）。この式（２）では、Ｖｅｒｉｆｙ＿Ｋｐが検証鍵（公開鍵）ＰＢを使用した署名検証である。
Ｖｅｒｉｆｙ＿Ｋｐ（Ｍｅｓ、Ｓｉｇ）＜＝＞１・・・式（２）
【０１５６】
ここで、Ｖｅｒｉｆｙの結果が「１」である場合、アプリケーション用署名が正当といえる。この場合、署名検証手段８１７ｃは、アクセス制御情報の抽出をアクセス制御情報抽出手段８１７ｄに指示（アクセス制御情報抽出指示）する。
【０１５７】
一方、Ｖｅｒｉｆｙの結果が「１」でない場合、アプリケーション用署名が正当といえない。この場合、署名検証手段８１７ｃは、アプリケーション用署名を検証したアプリケーションのＩＤと共に、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
【０１５８】
アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからアクセス制御情報抽出指示が入力されると、証明書ＣＢの拡張項目から起動範囲情報を抽出して、アプリケーションＩＤと共に、起動範囲判定手段８１８に出力する。また、アクセス制御情報抽出手段８１７ｄは、証明書ＣＢの拡張項目からリンク範囲情報を抽出して、アプリケーションＩＤと共に、リンク範囲判定手段８１９に出力する。さらに、アクセス制御情報抽出手段８１７ｄは、証明書ＣＢの拡張項目からリソース利用範囲情報を抽出して、アプリケーションＩＤと共に、リソースアクセス制御手段８２０に出力する。その後、アクセス制御情報抽出手段８１７ｄは、アプリケーション用署名を検証したアプリケーションのＩＤと共に、認証結果として「認証成功」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
【０１５９】
引き続き、受信機８０の構成について、説明を続ける。
起動範囲判定手段８１８は、選局されている放送番組の編成チャンネルが起動範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定するものである。
【０１６０】
＜起動範囲判定＞
以下、図１０を参照し、起動範囲判定手段８１８による起動範囲判定について、説明する（適宜図９参照）。
まず、起動範囲判定手段８１８は、図１０に示すように、アクセス制御情報抽出手段８１７ｄから入力された起動範囲情報を、メモリ等に格納された起動範囲情報テーブルに書き込む。
【０１６１】
この起動範囲情報テーブルは、データ項目として、アプリＩＤと、１以上の編成チャンネルとを有する。
アプリＩＤは、アクセス制御情報抽出手段８１７ｄから入力されたアプリケーションＩＤが書き込まれる。
起動範囲は、アクセス制御情報抽出手段８１７ｄから入力された起動範囲情報に含まれるoriginal_network_idと、transport_stream_idと、service_idとが書き込まれる。
【０１６２】
例えば、図１０の起動範囲情報テーブルでは、アプリケーションＩＤ＝「１」で特定されるアプリケーションについて、original_network_id＝「０ｘ７ＦＥ０」、transport_stream_id＝「０ｘ７ＦＥ０」及びservice_id＝「０ｘ０４００」で特定される編成チャンネルが、起動範囲であることを示している。
なお、図１０の起動範囲情報テーブルでは、２つのアプリケーションについて、それぞれの起動範囲を１つだけ図示したが、これに限定されないことは言うまでもない。
【０１６３】
次に、起動範囲判定手段８１８は、アプリ管理・実行制御手段８０９から起動範囲問合が入力された場合、放送信号解析手段８０２に選局チャンネル問合を出力する。
この選局中チャンネル問合に応じて、起動範囲判定手段８１８は、放送信号解析手段８０２から、選局編成チャンネル問合結果が入力される。そして、起動範囲判定手段８１８は、取得したアプリケーションのＩＤについて、選局編成チャンネル問合結果に含まれる選局されている編成チャンネルが、起動範囲情報テーブルに含まれる起動範囲の何れかに一致するか否かを判定する。
【０１６４】
選局されている編成チャンネルが起動範囲の何れかに一致する場合、起動範囲判定手段８１８は、起動範囲問合結果として「アプリ起動可」を、アプリ管理・実行制御手段８０９に出力する。
一方、選局されている編成チャンネルが起動範囲の何れにも一致しない場合、起動範囲判定手段８１８は、起動範囲問合結果として「アプリ起動不可」を、アプリ管理・実行制御手段８０９に出力する。
【０１６５】
図９に戻り、受信機８０の構成について、説明を続ける。
リンク範囲判定手段８１９は、アプリケーションサーバ７０のＵＲＩがリンク範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定するものである。
さらに、リンク範囲判定手段８１９は、遷移先ＷｅｂページのＵＲＩがリンク範囲情報に含まれるか否かにより、アプリケーションが遷移先Ｗｅｂページに遷移できるか否かを判定する。
【０１６６】
＜リンク範囲判定＞
以下、図１１を参照し、リンク範囲判定手段８１９によるリンク範囲判定について、説明する（適宜図９参照）。
まず、リンク範囲判定手段８１９は、図１１に示すように、アクセス制御情報抽出手段８１７ｄから入力されたリンク範囲情報を、メモリ等に格納されたリンク範囲情報テーブルに書き込む。
【０１６７】
このリンク範囲情報テーブルは、データ項目として、アプリＩＤと、１以上のリンク範囲とを有する。
アプリＩＤは、アクセス制御情報抽出手段８１７ｄから入力されたアプリケーションＩＤが書き込まれる。
リンク範囲は、アクセス制御情報抽出手段８１７ｄから入力されたリンク範囲情報のboundary_extension_byteをテキスト形式に復元して、書き込まれる。
【０１６８】
例えば、図１１のリンク範囲情報テーブルでは、アプリケーションＩＤ＝「１」で特定されるアプリケーションについて、「http://hoobar.co.jp」及び「http://xyzzy.co.jp」で特定されるＵＲＩが、リンク範囲であることを示している。
なお、図１１では、２つのアプリケーションについて、それぞれのリンク範囲を２つだけ図示したが、これに限定されないことは言うまでもない。
【０１６９】
次に、リンク範囲判定手段８１９は、取得したアプリケーションについて、アプリ管理・実行制御手段８０９からのリンク範囲問合に含まれる取得元ＵＲＩが、リンク範囲情報テーブルに含まれるリンク範囲の何れかに一致するか否かを判定する。
なお、前記したように、リンク範囲問合は、取得元ＵＲＩとして、アプリケーションサーバ７０のＵＲＩが記述されている。
【０１７０】
取得元ＵＲＩがリンク範囲の何れかに一致する場合、リンク範囲判定手段８１９は、リンク範囲問合結果として「アプリ起動可」を、アプリ管理・実行制御手段８０９に出力する。
一方、取得元ＵＲＩがリンク範囲の何れにも一致しない場合、リンク範囲判定手段８１９は、リンク範囲問合結果として「アプリ起動不可」を、アプリ管理・実行制御手段８０９に出力する。
【０１７１】
さらに、リンク範囲判定手段８１９は、実行中のアプリケーションについて、遷移制御手段８０９ｄからの遷移可否問合に含まれる取得元ＵＲＩが、リンク範囲情報テーブルに含まれるリンク範囲の何れかに一致するか否かを判定する。
なお、前記したように、遷移可否問合は、取得元ＵＲＩとして、遷移先ＷｅｂページのＵＲＩが記述されている。
【０１７２】
取得元ＵＲＩがリンク範囲の何れかに一致する場合、リンク範囲判定手段８１９は、遷移可否問合結果として「アプリ遷移可」を、遷移制御手段８０９ｄに出力する。
一方、取得元ＵＲＩがリンク範囲の何れにも一致しない場合、リンク範囲判定手段８１９は、遷移可否問合結果として「アプリ遷移不可」を、遷移制御手段８０９ｄに出力する。
【０１７３】
図９に戻り、受信機８０の構成について、説明を続ける。
リソースアクセス制御手段８２０は、リソースアクセス制御テーブルを準備しておき、アプリ取得手段８１１が取得したアプリケーションに対して、リソースアクセス制御を行うものである。
【０１７４】
＜リソースアクセス制御＞
以下、図１２を参照し、リソースアクセス制御手段８２０によるリソースアクセス制御について、説明する（適宜図９参照）。
まず、リソースアクセス制御手段８２０は、図１２に示すように、アクセス制御情報抽出手段８１７ｄから入力されたリソース利用範囲情報を、メモリ等に格納されたリソースアクセス制御テーブルに書き込む。
【０１７５】
このリソースアクセス制御テーブルは、データ項目として、ＡＰＩ識別子と、リソース種類と、ＡＰＩ名と、アプリケーション毎の利用可否とを有する。
ＡＰＩ識別子は、リソースにアクセスするＡＰＩを一意に識別する識別子であり、予め設定されている。
ＡＰＩ名は、そのリソースにアクセスするＡＰＩの名称であり、予め設定されている。
リソース種類は、そのＡＰＩがアクセスできるリソースを示す情報であり、図７のリソースアクセス制限情報に対応させて予め設定されている。
利用可否は、個々のアプリケーションが、そのリソースにアクセスできるか否かを示す。
【０１７６】
アプリケーションＩＤ＝「１」で特定されるアプリケーションについて、リソース利用範囲情報に含まれるリソースアクセス制限情報のビット列が「１１１１１１１１」の場合を考える。つまり、リソースアクセス制限情報は、第１ビット目から第８ビット目まで、リソースにアクセスできることを示す「１」である。
【０１７７】
この場合、リソースアクセス制御手段８２０は、アプリＩＤ＝１の利用可否について、第１ビット目に対応するリソース「映像」、第２ビット目に対応するリソース「音声」、第３ビット目に対応するリソース「字幕」、第４ビット目に対応するリソース「データ」に、アクセスできることを示す「○」を書き込む。
【０１７８】
さらに、リソースアクセス制御手段８２０は、アプリＩＤ＝１の利用可否について、第５ビット目に対応するリソース「番組配列情報」、第６ビット目に対応するリソース「ＶＯＤ」、第７ビット目に対応するリソース「ストリーミング」、第８ビット目に対応するリソース「メタデータ」に、「○」を書き込む。
【０１７９】
アプリケーションＩＤ＝「２」で特定されるアプリケーションについて、リソースアクセス制限情報のビット列が「０００１１１１１」の場合を考える。つまり、リソースアクセス制限情報は、第１ビット目から第３ビット目までリソースにアクセスできないことを示す「０」である。また、このリソースアクセス制限情報は、第４ビット目から第８ビット目まで、「１」である。
【０１８０】
この場合、リソースアクセス制御手段８２０は、アプリＩＤ＝２の利用可否について、リソース「映像」、リソース「音声」、リソース「字幕」に、アクセスできないことを示す「×」を書き込む。
【０１８１】
さらに、リソースアクセス制御手段８２０は、アプリＩＤ＝２の利用可否について、リソース「データ」、リソース「番組配列情報」、リソース「ＶＯＤ」、「ストリーミング」、リソース「メタデータ」に、「○」を書き込む。
【０１８２】
アプリケーションＩＤ＝「３」で特定されるアプリケーションについて、リソースアクセス制限情報のビット列が「００００００００」の場合を考える。つまり、リソースアクセス制限情報は、第１ビット目から第８ビット目まで、「０」である。
【０１８３】
この場合、リソースアクセス制御手段８２０は、アプリＩＤ＝３の利用可否について、リソース「映像」、リソース「音声」、リソース「字幕」、リソース「データ」、リソース「番組配列情報」、リソース「ＶＯＤ」、リソース「ストリーミング」、リソース「メタデータ」に、「×」を書き込む。
なお、図１２では、アプリケーションが３つの例を図示したが、これに限定されないことは言うまでもない。
【０１８４】
次に、リソースアクセス制御手段８２０は、リソース割当可否問合に含まれるアプリケーションＩＤ及びＡＰＩ名をリソースアクセス制御テーブルの検索キーとして、利用可否）を検索して、リソースの割り当ての可否を判定する。
【０１８５】
例えば、アプリケーションＩＤ＝「１」で特定されるアプリケーションが「ＡＰＩ＿Ａ（）」を呼び出した場合を考える。この場合、リソースアクセス制御手段８２０は、リソースアクセス制御テーブルでアプリＩＤ＝１、かつ、リソース「映像」の利用可否が「○」のため、リソースの割り当てが可能と判定する。そして、リソースアクセス制御手段８２０は、リソースにアクセスできることを示す「リソース割当可能」を、リソース管理手段８２１に出力する。
【０１８６】
また、例えば、アプリケーションＩＤ＝「２」で特定されるアプリケーションが「ＡＰＩ＿Ｂ（）」を呼び出した場合を考える。この場合、リソースアクセス制御手段８２０は、リソースアクセス制御テーブルでアプリＩＤ＝１、かつ、リソース「音声」の利用可否が「×」のため、リソースの割り当てが不可能と判定する。そして、リソースアクセス制御手段８２０は、リソースにアクセスできないことを示す「リソース割当不可」を、リソース管理手段８２１に出力する。
【０１８７】
図９に戻り、受信機８０の構成について、説明を続ける。
リソース管理手段８２１は、各種リソースを管理するものである。ここで、リソース管理手段８２１は、アプリ実行手段８１３からリソース割当要求が入力されると、このリソース割当要求に応じて、リソース割当可否問合をリソースアクセス制御手段８２０に出力する。
このリソース割当可否問合は、リソースの割り当て可否をリソースアクセス制御手段８２０に問い合わせるものであり、例えば、リソース割当要求に格納されたアプリケーションＩＤとＡＰＩ名とが含まれることとする。
【０１８８】
また、リソース管理手段８２１は、リソースアクセス制御手段８２０からリソース割当可否問合の応答が入力される。
ここで、リソース管理手段８２１は、このリソース割当可否問合の応答が「リソース割当可能」の場合、起動中のアプリケーションにリソースを割り当てる。そして、リソース管理手段８２１は、「リソース割当成功」を、アプリ管理・実行制御手段８０９に出力する。
一方、リソース管理手段８２１は、このリソース割当可否問合の応答が「リソース割当不可」の場合、「リソース割当失敗」を、アプリ管理・実行制御手段８０９に出力する。
【０１８９】
［放送通信連携システムの動作］
図１３を参照して、放送通信連携システム１の動作について、説明する（適宜図１参照）。
この図１３の説明では、証明書ＣＣＡ，ＣＬ，ＣＢが有効であり、アプリケーションの署名が正当であることとする。
【０１９０】
図１３に示すように、ＣＡ局１０は、ライセンス機関から、証明書の発行が申請される。この証明書の発行申請は、ネットワーク等のオンライン、又は、郵送等のオフラインで行われる（ステップＳ１）。
【０１９１】
ＣＡ局１０は、署名鍵ＳＣＡと検証鍵ＰＣＡとの鍵ペアを生成すると共に、署名鍵ＳＬと検証鍵ＰＬとの鍵ペアを生成する。
ＣＡ局１０は、署名鍵ＳＬをＩＤ・署名鍵・証明書発行装置３０に発行する（ステップＳ２）。
ＣＡ局１０は、検証鍵ＰＣＡを証明書ＣＣＡに格納し、署名鍵ＳＣＡによる署名及び検証鍵ＰＬを証明書ＣＬに格納し、証明書ＣＣＡ，ＣＬを放送送信装置２０に発行する。そして、放送送信装置２０は、放送波を介して、ＣＡ局１０から発行された証明書ＣＣＡ，ＣＬを受信機８０に送信する（ステップＳ３）。
【０１９２】
ライセンス機関（ＩＤ・署名鍵・証明書発行装置３０）は、サービス事業者から、アプリケーションＩＤが申請される。このアプリケーションＩＤの申請は、オンライン又はオフラインで行われる（ステップＳ４）。
【０１９３】
ＩＤ・署名鍵・証明書発行装置３０は、アプリケーションＩＤを生成し、署名鍵ＳＢと検証鍵ＰＢとの鍵ペアを生成し、アプリケーションＩＤ及び検証鍵ＰＢが格納された証明書ＣＢを生成する（ステップＳ５）。
ＩＤ・署名鍵・証明書発行装置３０は、アプリケーションＩＤ及び検証鍵ＰＢが格納された証明書ＣＢと、署名鍵ＳＢとをアプリケーション登録装置４０に発行する（ステップＳ６）。
【０１９４】
アプリケーション登録装置４０は、ＩＤ・署名鍵・証明書発行装置３０から入力された署名鍵ＳＢを用いて、アプリケーション用署名を生成する（ステップＳ７）。
アプリケーション登録装置４０は、署名鍵ＳＢによるアプリケーション用署名と、証明書ＣＢとをアプリケーションに付加（パッケージ化）し、このアプケーションをアプリケーションサーバ７０に登録する（ステップＳ８、Ｓ９）。
【０１９５】
受信機８０は、アプリケーションサーバ７０にアプリケーションを要求する（ステップＳ１０）。
受信機８０は、要求したアプリケーションをアプリケーションサーバ７０から取得する（ステップＳ１１）。
受信機８０は、アプリケーションから、署名鍵ＳＢによる署名と、証明書ＣＢとを抽出する（ステップＳ１２）。
【０１９６】
受信機８０は、証明書ＣＣＡの検証鍵ＰＣＡを用いて、証明書ＣＬが有効であるか否かを確認する（ステップＳ１３）。
受信機８０は、有効な証明書ＣＬの検証鍵ＰＬを用いて、アプリケーションから抽出した証明書ＣＢが有効であるか否かを確認する（ステップＳ１４）。
受信機８０は、有効な証明書ＣＢから、アプリケーションＩＤを抽出する（ステップＳ１５）。
受信機８０は、有効な証明書ＣＢの検証鍵ＰＢを用いて、アプリケーションから抽出した、署名鍵ＳＢによるアプリケーション用署名が正当であるか否かを検証する（ステップＳ１６）。
【０１９７】
受信機８０は、証明書ＣＢから、アクセス制御情報（起動範囲情報、リンク範囲情報及びリソース利用範囲情報）を抽出し、起動範囲情報テーブルと、リンク範囲情報テーブルと、リソースアクセス制御テーブルとを準備する（ステップＳ１７）。
【０１９８】
受信機８０は、選局されている放送番組のチャンネルが起動範囲情報テーブルに含まれるか否かを判定する（ステップＳ１８）。
受信機８０は、アプリケーションサーバのＵＲＩがリンク範囲情報テーブルに含まれるか否かを判定する（ステップＳ１９）。
受信機８０は、起動範囲情報テーブル及びリンク範囲情報テーブルに基づいて、アプリケーションの起動を制御する（ステップＳ２０）
受信機８０は、ソースアクセス制御テーブルに基づいて、アプリケーションに対して、リソースアクセスの制御を行う（ステップＳ２１）。
【０１９９】
以上のように、本発明の第１実施形態に係る放送通信連携システム１は、様々なサービス事業者が制作したアプリケーションを安全に提供できると共に、放送事業者以外のサービス事業者が制作したアプリケーション等、放送事業者が必ずしもすべての動作内容を把握していないアプリケーションについて、起動、リンク範囲及びリソースへのアクセスをきめ細かく制御することができる。
【０２００】
すなわち、放送通信連携システム１は、証明書ＣＢにリソース利用範囲情報が含まれるため、個々のアプリケーションに対して、映像、音声、字幕、データカルーセル、イベントメッセージ等の放送リソース、動画コンテンツ、メタデータ等の通信リソースへのアクセスを、きめ細かく制御することができる。
さらに、放送通信連携システム１は、証明書ＣＢに起動範囲情報が含まれるため、起動範囲を考慮して、個々のアプリケーションの起動を制御することができる。
さらに、放送通信連携システム１は、証明書ＣＢにリンク範囲情報が含まれるため、リンク範囲を考慮して、個々のアプリケーションの起動やＷｅｂページの遷移を制御することができる。
【０２０１】
さらに、放送通信連携システム１は、署名及び証明書を用いることにより、アプリケーション及びアプリケーションＩＤの真正性（改ざんがないこと）、及び、その提供元を正しく確認することができ、アプリケーションの信頼性を確保できる。
【０２０２】
また、放送通信連携システム１は、求められる安全性に応じて柔軟に、サービス事業者単位又は個々のアプリケーション単位等、様々な単位で署名鍵（秘密鍵）を運用することを可能とする。さらに、放送通信連携システム１は、例えば、予め受信機８０に格納する検証鍵（証明書に含まれる公開鍵）の個数が１個〜数個程度でよく、安全性の確保と受信機８０の実装負荷低減との両立を図ることができる。
【０２０３】
（第２実施形態）
［放送通信連携システムの全体構成］
図１４を参照して、本発明の第２実施形態に係る放送通信連携システム１Ａの構成について、第１実施形態と異なる点を説明する。
この放送通信連携システム１Ａは、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、証明書ＣＢではなくアクセス制御ファイルに格納した点が第１実施形態と異なる。
なお、図１４では、アクセス制御ファイルを「ファイル」と略記した。
【０２０４】
図１４に示すように、放送通信連携システム１Ａは、ＣＡ局１０と、放送送信装置２０と、アクセス制御ファイル管理装置３０Ａと、アプリケーション登録装置４０Ａと、アプリケーション制作装置５０Ａと、コンテンツ配信サーバ６０と、アプリケーションサーバ７０Ａと、受信機８０Ａと、アクセス制御ファイルサーバ９０とを備える。
【０２０５】
ＣＡ局１０は、署名鍵ＳＬをライセンス機関（アクセス制御ファイル管理装置３０Ａ）に発行する以外、図１と同様のため、詳細な説明を省略する。
放送送信装置２０は、図１と同様のため、詳細な説明を省略する。
【０２０６】
アクセス制御ファイル管理装置３０Ａは、ライセンス機関で管理され、サービス事業者からのアプリケーションＩＤの申請に応じて、アプリケーションＩＤと、アクセス制御ファイルとを生成するものである。具体的には、アクセス制御ファイル管理装置３０Ａは、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、アクセス制御ファイルに格納する。また、アクセス制御ファイル管理装置３０Ａは、ＣＡ局１０から入力された署名鍵ＳＬを用いて、アクセス制御ファイル用署名を生成する。そして、アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、アクセス制御ファイル用署名とをアクセス制御ファイルに付加し、後記するアクセス制御ファイルサーバ９０に出力（登録）する。さらに、アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、署名鍵ＳＬとをアプリケーション登録装置４０Ａに出力する。
なお、アクセス制御ファイル管理装置３０Ａの構成は、後記する。
【０２０７】
アプリケーション登録装置４０Ａは、ライセンス機関で管理され、アクセス制御ファイル管理装置３０Ａから、アプリケーションＩＤと、署名鍵ＳＬとが入力されるものである。そして、アプリケーション登録装置４０Ａは、署名鍵ＳＬを用いて、アプリケーション用署名を生成する。さらに、アプリケーション登録装置４０Ａは、サービス事業者（アプリケーション制作装置５０Ａ）から入力されたアプリケーションに、アプリケーションＩＤと、アプリケーション用署名とを付加し、アプリケーションサーバ７０Ａに出力（登録）する。
なお、アプリケーション登録装置４０Ａの構成は、後記する。
【０２０８】
アプリケーション制作装置５０Ａは、サービス事業者で管理され、アプリケーションをライセンス機関（アプリケーション登録装置４０Ａ）に出力する以外、図１と同様のため、詳細な説明を省略する。
【０２０９】
コンテンツ配信サーバ６０は、図１と同様のため、詳細な説明を省略する。
アプリケーションサーバ７０Ａは、ライセンス機関（アプリケーション登録装置４０Ａ）からアプリケーションが入力される以外、図１と同様のため、詳細な説明を省略する。
【０２１０】
受信機８０Ａは、アクセス制御ファイルサーバ９０に登録されたアクセス制御ファイルから起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出する以外、図１と同様のものである。
なお、受信機８０Ａの構成は、後記する。
【０２１１】
アクセス制御ファイルサーバ９０は、ライセンス機関（アクセス制御ファイル管理装置３０Ａ）が登録したアクセス制御ファイルを記憶、管理するサーバである。そして、アクセス制御ファイルサーバ９０は、ネットワークを介して、アクセス制御ファイルを受信機８０Ａに送信する。
なお、アクセス制御ファイルサーバ９０は、一般的な構成のため、詳細な説明を省略する。
【０２１２】
［アクセス制御ファイル管理装置の構成］
図１５を参照して、アクセス制御ファイル管理装置３０Ａの構成について説明する（適宜図１４参照）。
図１５に示すように、アクセス制御ファイル管理装置３０Ａは、署名鍵入力手段３１１と、アプリＩＤ生成手段３１２と、アクセス制御ファイル生成手段３１３と、アクセス制御ファイル管理手段３１４と、署名鍵管理手段３１５とを備える。
【０２１３】
署名鍵入力手段３１１は、ＣＡ局１０から署名鍵ＳＬが入力されるものである。そして、署名鍵入力手段３１１は、入力された署名鍵ＳＬを、アクセス制御ファイル生成手段３１３と、署名鍵管理手段３１５とに出力する。
【０２１４】
アプリＩＤ生成手段３１２は、図２のアプリＩＤ生成手段３０２と同様、アプリケーションＩＤを生成するものである。そして、アプリＩＤ生成手段３１２は、生成したアプリケーションＩＤを、アクセス制御ファイル生成手段３１３に出力する。
【０２１５】
アクセス制御ファイル生成手段３１３は、アクセス制御情報が格納されるアクセス制御ファイルを生成するものである。具体的には、アクセス制御ファイル生成手段３１３は、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、アクセス制御ファイルに格納する。そして、アクセス制御ファイル生成手段３１３は、アプリＩＤ生成手段３１２から入力されたアプリケーションＩＤを、アクセス制御ファイルに付加する。
なお、起動範囲情報、リンク範囲情報及びリソース利用範囲情報は、第１実施形態と同様の情報である。
【０２１６】
また、アクセス制御ファイル生成手段３１３は、署名鍵入力手段３１１から入力された署名鍵ＳＬを用いて、アクセス制御ファイルのバイナリデータを署名元メッセージとして、アクセス制御ファイル用署名を生成する。ここでは、アクセス制御ファイル生成手段３１３は、図２の証明書生成手段３０４と同様の署名アルゴリズムを用いる。そして、アクセス制御ファイル生成手段３１３は、生成したアクセス制御ファイル用署名をアクセス制御ファイルに付加して、アクセス制御ファイル管理手段３１４に出力する。
【０２１７】
アクセス制御ファイル管理手段３１４は、アクセス制御ファイル生成手段３１３から入力されたアクセス制御ファイルを記憶、管理するものである。そして、アクセス制御ファイル管理手段３１４は、サービス事業者からのアプリケーションＩＤの申請に応じて、記憶したアクセス制御ファイルを、アクセス制御ファイルサーバ９０に出力する。このとき、アクセス制御ファイル管理手段３１４は、このアクセス制御ファイルからアプリケーションＩＤを抽出し、抽出したアプリケーションＩＤを、アプリケーション登録装置４０Ａに出力する。
【０２１８】
署名鍵管理手段３１５は、署名鍵入力手段３１１から入力された署名鍵ＳＬを記憶、管理するものである。そして、署名鍵管理手段３１５は、記憶した署名鍵ＳＬを、アプリケーション登録装置４０Ａに出力する。
【０２１９】
［アプリケーション登録装置の構成］
図１６を参照して、アプリケーション登録装置４０Ａの構成について説明する（適宜図１４参照）。
図１６に示すように、アプリケーション登録装置４０Ａは、アプリ入力手段４１１と、署名鍵入力手段４１２と、署名生成手段４１３と、署名付加手段４１４と、アプリ出力手段４１５とを備える。
【０２２０】
アプリ入力手段４１１は、アプリケーション制作装置５０Ａからアプリケーションが入力されるものである。また、アプリ入力手段４１１は、このアプリケーションに対応するアプリケーションＩＤが、アクセス制御ファイル管理装置３０Ａから入力される。そして、アプリ入力手段４１１は、入力されたアプリケーションにアプリケーションＩＤを付加して、署名生成手段４１３及び署名付加手段４１４に出力する。
【０２２１】
署名鍵入力手段４１２は、アクセス制御ファイル管理装置３０Ａから署名鍵ＳＬが入力されるものである。そして、署名鍵入力手段４０２は、入力された署名鍵ＳＬを、署名生成手段４１３に出力する。
【０２２２】
署名生成手段４１３は、署名鍵入力手段４１２から署名鍵ＳＬが入力され、この署名鍵ＳＬを用いて、アプリケーション用署名を生成するものである。例えば、署名生成手段４１３は、アプリ入力手段４１１から入力されたアプリケーションのバイナリコードを、アプリケーション用署名の元となる署名元メッセージとする。そして、署名生成手段４１３は、図８の署名生成手段４０３と同様の手法でアプリケーション用署名を生成して、署名付加手段４１４に出力する。
【０２２３】
署名付加手段４１４は、アプリ入力手段４１１から入力されたアプリケーションに、署名生成手段４１３から入力されたアプリケーション用署名を付加するものである。そして、署名付加手段４１４は、アプリケーション用署名が付加されたアプリケーションを、アプリ出力手段４１５に出力する。
【０２２４】
アプリ出力手段４１５は、署名付加手段４１４から入力されたアプリケーションを、アプリケーションサーバ７０Ａに出力（登録）するものである。つまり、アプリ出力手段４１５が出力するアプリケーションは、アプリケーション本体と、アプリケーションＩＤと、署名鍵ＳＬによるアプリケーション用署名とがパッケージ化されたものである。
【０２２５】
［受信機の構成］
図１７を参照して、受信機８０Ａの構成について説明する（適宜図１４参照）。
図１７に示すように、受信機８０Ａは、放送受信手段８０１と、放送信号解析手段８０２と、映像・音声復号手段８０３と、データ放送復号手段８０４と、通信送受信手段８０５と、アプリ起動情報取得手段８０６と、アプリ起動情報記憶手段８０７と、リスト制御手段８０８と、アプリ管理・実行制御手段８０９と、起動アプリ識別情報記憶手段８１０と、アプリ取得手段８１１Ａと、アプリ記憶手段８１２Ａと、アプリ実行手段８１３と、操作制御手段８１４と、合成表示手段８１５と、セキュリティ管理手段８１６Ａと、リソース管理手段８２１とを備える。
なお、放送受信手段８０１から起動アプリ識別情報記憶手段８１０までの各手段は、図９の各手段と同様のため、説明を省略する。
【０２２６】
アプリ取得手段８１１Ａは、図９のアプリ取得手段８１１と同様、アプリケーションを取得し、その取得したアプリケーションをアプリ記憶手段８１２Ａに書き込み蓄積するものである。
また、アプリ取得手段８１１Ａは、図９のアプリ取得手段８１１と同様、アプリケーションを取得したとき、認証指示をアプリ認証手段８１７Ａに出力する。
【０２２７】
また、アプリ取得手段８１１Ａは、アプリケーションを取得したとき、このアプリケーションに対応付けられたアクセス制御ファイルを、アクセス制御ファイルサーバ９０から取得する。具体的には、アプリ取得手段８１１Ａは、取得したアプリケーションからアプリケーションＩＤを抽出し、これと同一のアプリケーションＩＤが付加されたアクセス制御ファイルを、アクセス制御ファイルサーバ９０から取得する。そして、アプリ取得手段８１１Ａは、取得したアクセス制御ファイルを、アプリ記憶手段８１２Ａに書き込み蓄積する。
【０２２８】
アプリ記憶手段８１２Ａは、アプリ取得手段８１１Ａで取得されたアプリケーションと、このアプリケーションに対応付けられたアクセス制御ファイルとを記憶するものである。
例えば、アプリ記憶手段８１２に記憶されているアプリケーションは、このアプリケーションに対応するアクセス制御ファイルと同一のアプリケーションＩＤが付加されている。つまり、アプリケーション及びアクセス制御ファイルは、アプリケーションＩＤで対応付けることができる。
【０２２９】
アプリ実行手段８１３、操作制御手段８１４及び合成表示手段８１５は、図９の各手段と同様のため、説明を省略する。
【０２３０】
セキュリティ管理手段８１６Ａは、受信機８０Ａのセキュリティを管理するものであり、アプリ認証手段８１７Ａと、起動範囲判定手段８１８と、リンク範囲判定手段８１９と、リソースアクセス制御手段８２０とを備える。
なお、起動範囲判定手段８１８、リンク範囲判定手段８１９及びリソースアクセス制御手段８２０は、図９の各手段と同様のため、説明を省略する。
【０２３１】
アプリ認証手段８１７Ａは、アプリ取得手段８１１Ａから入力された認証指示に応じて、アプリ取得手段８１１Ａが取得したアプリケーションについて、アプリケーション認証を行うものである。
【０２３２】
図１７に示すように、アプリ認証手段８１７Ａは、証明書管理手段８１７Ａａと、アクセス制御ファイル確認手段８１７Ａｂと、署名検証手段８１７Ａｃと、アクセス制御情報抽出手段８１７Ａｄとを備える。
【０２３３】
証明書管理手段８１７Ａａは、証明書抽出手段８０４ａで抽出された証明書ＣＣＡ，ＣＬを記憶、管理するものである。
アクセス制御ファイル確認手段８１７Ａｂは、アプリ認証手段８１７Ａからの指示に応じて、証明書管理手段８１７Ａａに記憶された証明書ＣＬが有効であるか否かを確認し、アクセス制御ファイル用署名が正当であるか否かを検証するものである。
【０２３４】
署名検証手段８１７Ａｃは、アプリケーションから抽出した署名（アプリケーション用署名）が正当であるか否かを検証するものである。
アクセス制御情報抽出手段８１７Ａｄは、署名検証手段８１７Ａｃからの指示に応じて、アクセス制御ファイル用署名が正当なアクセス制御ファイルから、アクセス制御情報として、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出するものである。
【０２３５】
＜アプリケーション認証＞
以下、アプリ認証手段８１７Ａによるアプリケーション認証について、説明する。
アプリ認証手段８１７Ａは、アプリ取得手段８１１Ａから認証指示が入力されると、アプリ記憶手段８１２Ａのアプリケーションに対応するアクセス制御ファイルが存在するか否かを確認する。
【０２３６】
対応するアクセス制御ファイルが存在する場合、アプリ認証手段８１７Ａは、アプリ記憶手段８１２Ａから、アプリケーション本体と、アプリケーションに付加されたアプリケーションＩＤと、アプリケーション用署名と、アプリケーションに対応付けられたアクセス制御ファイルとを抽出する。そして、アプリ認証手段８１７Ａは、アクセス制御ファイル用署名の正当性の検証を、アクセス制御ファイル確認手段８１７Ａｂに指示する。
【０２３７】
一方、対応するアクセス制御ファイルが存在しない場合、アプリ認証手段８１７Ａは、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
【０２３８】
アクセス制御ファイル確認手段８１７Ａｂは、証明書管理手段８１７Ａａに記憶された証明書ＣＣＡの検証鍵ＰＣＡを用いて、証明書管理手段８１７Ａａに記憶された証明書ＣＬが有効であるか否かを確認する。
【０２３９】
証明書ＣＬが有効な場合、アクセス制御ファイル確認手段８１７Ａｂは、この証明書ＣＬの検証鍵ＰＬを用いて、アクセス制御ファイル用署名が正当であるか否かを検証する。
なお、アクセス制御ファイル用署名が正当であるか否かの検証とは、例えば、検証鍵ＰＬを用いて、アクセス制御ファイル用署名を復号し、復号したアクセス制御ファイル用署名と署名元メッセージとが一致するか否かを検証することである。
【０２４０】
アクセス制御ファイル用署名が正当な場合、アクセス制御ファイル確認手段８１７Ａｂは、署名検証手段８１７Ａｃに署名の検証を指示（署名検証指示）する。
一方、証明書ＣＬが有効でない場合、又は、アクセス制御ファイル用署名が正当でない場合、アクセス制御ファイル確認手段８１７Ａｂは、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
【０２４１】
署名検証手段８１７Ａｃは、アクセス制御ファイル確認手段８１７Ａｂから署名検証指示が入力されると、証明書ＣＬの検証鍵ＰＬを用いて、アプリケーション用署名が正当であるか否かを検証する。ここでは、署名検証手段８１７Ａｃは、図９の署名検証手段８１７ｃと同様の手法でアプリケーション用署名を検証する。
【０２４２】
アプリケーション用署名が正当な場合、署名検証手段８１７Ａｃは、アクセス制御情報の抽出をアクセス制御情報抽出手段８１７Ａｄに指示（アクセス制御情報抽出指示）する。
アプリケーション用署名が正当でない場合、署名検証手段８１７Ａｃは、アプリケーション用署名を検証したアプリケーションのＩＤと共に、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
【０２４３】
アクセス制御情報抽出手段８１７Ａｄは、署名検証手段８１７Ａｃからアクセス制御情報抽出指示が入力されると、アクセス制御ファイルから起動範囲情報を抽出して、アプリケーションＩＤと共に、起動範囲判定手段８１８に出力する。また、アクセス制御情報抽出手段８１７Ａｄは、アクセス制御ファイルからリンク範囲情報を抽出して、アプリケーションＩＤと共に、リンク範囲判定手段８１９に出力する。さらに、アクセス制御情報抽出手段８１７Ａｄは、アクセス制御ファイルからリソース利用範囲情報を抽出して、アプリケーションＩＤと共に、リソースアクセス制御手段８２０に出力する。その後、アクセス制御情報抽出手段８１７Ａｄは、アプリケーション用署名を検証したアプリケーションのＩＤと共に、認証結果として「認証成功」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
【０２４４】
リソース管理手段８２１は、図９と同様のため、説明を省略する。
起動範囲判定、リンク範囲判定及びリソースアクセス制御は、第１実施形態と同様のため、説明を省略する。
【０２４５】
［放送通信連携システムの動作］
図１８，図１９を参照して、放送通信連携システム１Ａの動作について、説明する（適宜図１４参照）。
この図１８，図１９の説明では、証明書ＣＣＡ，ＣＬが有効であり、アクセス制御ファイル用署名及びアプリケーション用署名が正当であることとする。
図１８のステップＳ３１は、図１３のステップＳ１と同様のため、説明を省略する。
【０２４６】
ＣＡ局１０は、署名鍵ＳＣＡと検証鍵ＰＣＡとの鍵ペアを生成すると共に、署名鍵ＳＬと検証鍵ＰＬとの鍵ペアを生成する。
ＣＡ局１０は、署名鍵ＳＬをアクセス制御ファイル管理装置３０Ａに発行する（ステップＳ３２）。
【０２４７】
ステップＳ３３は、図１３のステップＳ３と同様のため、説明を省略する。
ライセンス機関（アクセス制御ファイル管理装置３０Ａ）は、サービス事業者から、アプリケーションＩＤが申請される。このアプリケーションＩＤの申請は、オンライン又はオフラインで行われる（ステップＳ３４）。
【０２４８】
アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、アクセス制御ファイル用署名とを生成する（ステップＳ３５）。
アクセス制御ファイル管理装置３０Ａは、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、アクセス制御ファイルに格納する。そして、アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、アクセス制御ファイル用署名とをアクセス制御ファイルに付加する（ステップＳ３６）。
【０２４９】
アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤ及びアクセス制御ファイル用署名が付加されたアクセス制御ファイルをアクセス制御ファイルサーバ９０に登録する（ステップＳ３７）。
アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、検証鍵ＳＬとをアプリケーション登録装置４０Ａに発行する（ステップＳ３８）。
【０２５０】
アプリケーション登録装置４０Ａは、アクセス制御ファイル管理装置３０Ａから入力された署名鍵ＳＬを用いて、アプリケーション用署名を生成する（ステップＳ３９）。
アプリケーション登録装置４０Ａは、アプリケーションＩＤと、アプリケーション用署名とをアプリケーションに付加（パッケージ化）し、このアプケーションをアプリケーションサーバ７０Ａに登録する（ステップＳ４０、Ｓ４１）。
【０２５１】
受信機８０Ａは、アプリケーションサーバ７０Ａにアプリケーションを要求する（ステップＳ４２）。
受信機８０Ａは、要求したアプリケーションをアプリケーションサーバ７０Ａから取得する（ステップＳ４３）。
【０２５２】
受信機８０Ａは、証明書ＣＣＡの検証鍵ＰＣＡを用いて、証明書ＣＬが有効であるか否かを確認する（ステップＳ４４）。
受信機８０Ａは、アプリケーションから、アプリケーションＩＤと、アプリケーション用署名とを抽出する（ステップＳ４５）。
【０２５３】
受信機８０Ａは、アクセス制御ファイルサーバ９０に、取得したアプリケーションに対応するアクセス制御ファイルを要求する（ステップＳ４６）。
受信機８０Ａは、要求したアクセス制御ファイルをアクセス制御ファイルサーバ９０から取得する（ステップＳ４７）。
【０２５４】
受信機８０Ａは、有効な証明書ＣＬの検証鍵ＰＬを用いて、アクセス制御ファイルから抽出したアクセス制御ファイル用署名が正当であるか否かを検証する（ステップＳ４８）。
受信機８０Ａは、有効な証明書ＣＬの検証鍵ＰＬを用いて、アプリケーションから抽出したアプリケーション用署名が正当であるか否かを検証する（ステップＳ４９）。
【０２５５】
受信機８０Ａは、アクセス制御ファイルから、アクセス制御情報（起動範囲情報、リンク範囲情報及びリソース利用範囲情報）を抽出し、起動範囲情報テーブルと、リンク範囲情報テーブルと、リソースアクセス制御テーブルとを準備する（ステップＳ５０）。
図１９のステップＳ５１〜Ｓ５４は、図１３のステップＳ１８〜Ｓ２１と同様のため、説明を省略する。
【０２５６】
以上のように、本発明の第２実施形態に係る放送通信連携システム１Ａは、第１実施形態と同様の効果を奏する。
【０２５７】
本発明は、前記した実施形態に限定されず、その趣旨を逸脱しない範囲で様々な変形を加えることができる。以下、本発明の変形例について、具体的に説明する。
【０２５８】
（変形例１）
図１，図１４を参照し、変形例１に係る放送通信連携システム１，１Ａについて、説明する。
前記した各実施形態では、ＣＡ局１０からライセンス機関に発行された証明書ＣＣＡ，ＣＬを、放送波を介して、ＤＳＭ−ＣＣデータカルーセル等の伝送手段により、受信機８０，８０Ａに送信することとして説明したが、本発明は、これに限定されない。
すなわち、放送通信連携システム１，１Ａは、ＣＡ局１０で発行された証明書ＣＣＡ，ＣＬを、放送波を介さず、予め受信機８０，８０Ａに実装して、出荷してもよい。さらに、放送通信連携システム１，１Ａは、証明書ＣＣＡ，ＣＬを、ネットワークを介して、受信機８０，８０Ａに送信してもよい。
【０２５９】
（変形例２）
前記した第１実施形態では、ライセンス機関でＩＤ・署名鍵・証明書発行装置３０が管理されることとして説明したが、本発明は、これに限定されない。
例えば、サービス事業者のアプリケーション制作装置５０が、ＩＤ・署名鍵・証明書発行装置３０の全手段を備えることとする。
また、アプリケーション制作装置５０が、ＩＤ・署名鍵・証明書発行装置３０のうち、アプリＩＤ生成手段３０２（図２）以外の全手段を備えてもよい。この場合、サービス事業者は、ライセンス機関にアプリケーションＩＤを申請すると、ライセンス機関からアプリケーションＩＤだけを受け取り、署名及び証明書ＣＢを自ら生成することになる。
【０２６０】
（変形例３）
前記した第１実施形態では、サービス事業者でアプリケーション登録装置４０が管理されることとして説明したが、本発明は、これに限定されない。
例えば、図２０に示すように、ライセンス機関が、アプリケーション登録装置４０を管理してもよい。
また、この場合、証明書付加手段４０５により証明書を付加されたアプリケーションを、サービス事業者を介してアプリケーションサーバ７０に登録してもよい。
【０２６１】
（変形例４）
前記した第１実施形態では、証明書ＣＢにアプリケーションＩＤが含まれることとして説明したが、本発明は、証明書ＣＢにアプリケーションＩＤを含めなくともよい。これによって、放送通信連携システム１は、アプリケーション毎に証明書ＣＢを発行する必要がなく、処理負荷を軽減することができる。一方、放送通信連携システム１は、サービス事業者ＢによるアプリケーションＩＤの改ざんを防止できず、安全性が低下することもある。
【０２６２】
（変形例５）
前記した第１実施形態では、アプリ出力手段４０６が出力するアプリケーションは、アプリケーション本体と、アプリケーションＩＤと、署名鍵ＳＢによるアプリケーション用署名と、証明書ＣＢとがパッケージ化されたものであることとして説明したが、本発明は、これに限定されない。
例えば、署名鍵ＳＢによるアプリケーション用署名と、証明書ＣＢと、アプリケーション本体とを分離して、アプリケーションサーバ７０に限らず、アプリケーション起動情報サーバ（不図示）等の任意のサーバに配置してもよい。
なお、この場合、分離したアプリケーション用署名と、証明書ＣＢと、アプリケーション本体とにアプリケーションＩＤを付加して、これらを対応付ける必要がある。
【０２６３】
（変形例６）
前記した各本実施形態では、放送局、ライセンス機関及びサービス事業者を１つとして説明したが、本発明は、これに限定されない。
例えば、放送通信連携システム１，１Ａは、放送局が複数であってもよい。
また、放送通信連携システム１，１Ａは、ライセンス機関が複数であってもよい。
また、放送通信連携システム１，１Ａは、サービス事業者が複数であってもよい。
また、放送通信連携システム１，１Ａは、放送局がサービス事業者として、アプリケーションを制作してもよい。
また、放送通信連携システム１，１Ａは、放送局及びライセンス機関が一体であってもよい。
【０２６４】
（変形例７）
図９を参照し、変形例７に係る受信機８０について、説明する。
アプリ管理・実行制御手段８０９は、セキュリティ情報テーブル（不図示）を記憶、管理することとしてもよい。
例えば、アプリ管理・実行制御手段８０９は、起動範囲判定手段８１８から入力された起動範囲問合結果を、起動中のアプリケーションＩＤに対応づけて、メモリ等に記憶されたセキュリティ情報テーブルに書き込む。
【０２６５】
また、アプリ管理・実行制御手段８０９は、リンク範囲判定手段８１９から入力されたリンク範囲問合結果を、起動中のアプリケーションＩＤに対応づけて、セキュリティ情報テーブルに書き込む。
【０２６６】
また、アプリ管理・実行制御手段８０９は、リソース管理手段８２１から入力されたリソース割当要求の応答を、起動中のアプリケーションＩＤに対応づけて、セキュリティ情報テーブルに書き込む。
【０２６７】
また、アプリ管理・実行制御手段８０９は、アプリ認証手段８１７から入力された認証結果を、起動中のアプリケーションＩＤに対応づけて、セキュリティ情報テーブルに書き込む。
【０２６８】
これによって、アプリ管理・実行制御手段８０９は、起動中のアプリケーションに対するリソースの割り当ての成否、起動範囲、リンク範囲、及び、認証結果を記憶、管理することができる。
【０２６９】
（変形例８）
前記した各実施形態では、遷移停止通知が入力された場合、アプリ実行手段８１３が、Ｗｅｂページの遷移を停止させることとして説明したが、本発明は、これに限定されない。
例えば、遷移停止通知が入力された場合、アプリ実行手段８１３は、実行中のアプリケーションを終了させてもよい。
【０２７０】
（変形例９）
前記した各実施形態では、アプリケーション取得時にアプリケーション認証を行うこととして説明したが、本発明は、アプリケーション起動時にアプリケーション認証を行うこともできる。この場合、起動制御手段８０９ａがアプリケーションを起動する都度、認証指示がアプリ認証手段８１７に出力されて（図９の「認証指示２」）、アプリケーション認証が行われることになり、安全性がより向上する。
このように、アプリケーション取得時またはアプリケーション起動時の何れかのタイミングで署名を検証すればよいので、受信機８０の設計自由度を向上させることができる。
【０２７１】
（変形例１０）
前記した第１実施形態では、証明書ＣＢには、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とが付加されることとして説明したが、本発明は、これに限定されない。
つまり、証明書ＣＢには、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報との何れか１以上が付加されていればよい。
【０２７２】
以下、変形例１０として、証明書ＣＢに起動範囲情報及びリソース利用範囲情報が付加されている場合について、前記した実施形態と異なる点を説明する。
アプリ管理・実行制御手段８０９は、起動情報通知が通知された場合、又は、選択アプリケーション通知が通知された場合でも、リンク範囲判定手段８１９にリンク範囲問合を出力しない。
【０２７３】
起動制御手段８０９ａは、起動範囲問合結果が「アプリ起動可」、かつ、認証結果が「認証成功」の場合、アプリ実行手段８１３に起動制御指示を通知する。
一方、起動制御手段８０９ａは、起動範囲問合結果が「アプリ起動不可」、又は、認証結果が「認証失敗」の場合、アプリケーションを実行させない旨、アプリ実行手段８１３に指示する。
【０２７４】
アプリ実行手段８１３は、遷移先情報通知をアプリ管理・実行制御手段８０９に通知することなく、実行中のアプリケーションを、表示中のＷｅｂページから他のＷｅｂページに遷移させる。
【０２７５】
アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからの指示に応じて、有効な証明書ＣＢの拡張項目から、起動範囲情報と、リソース利用範囲情報とを抽出する。
【０２７６】
なお、証明書ＣＢに起動範囲情報のみが付加され、かつ、リソース利用範囲情報が付加されていない場合、アクセス制御情報抽出手段８１７ｄがリソース利用範囲情報を抽出せず、リソースアクセス制御手段８２０が常に「リソース割当可能」をリソース管理手段８２１に出力すればよい。
また、変形例１０と同様、アクセス制御ファイルには、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報との何れか１以上が格納されていてもよい。
【０２７７】
（変形例１１）
以下、変形例１１として、証明書ＣＢにリンク範囲情報及びリソース利用範囲情報が付加されている場合について、前記した第１実施形態と異なる点を説明する。
アプリ管理・実行制御手段８０９は、起動情報通知が通知された場合、又は、選択アプリケーション通知が通知された場合でも、起動範囲判定手段８１８に起動範囲問合を出力しない。
【０２７８】
起動制御手段８０９ａは、リンク範囲問合結果が「アプリ起動可」、かつ、認証結果が「認証成功」の場合、アプリ実行手段８１３に起動制御指示を通知する。
一方、起動制御手段８０９ａは、リンク範囲問合結果が「アプリ起動不可」、又は、認証結果が「認証失敗」の場合、アプリケーションを実行させない旨、アプリ実行手段８１３に指示する。
【０２７９】
アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからの指示に応じて、有効な証明書ＣＢの拡張項目から、リソース範囲情報と、リソース利用範囲情報とを抽出する。
【０２８０】
なお、証明書ＣＢにリンク範囲情報のみが付加され、かつ、リソース利用範囲情報が付加されていない場合、アクセス制御情報抽出手段８１７ｄがリソース利用範囲情報を抽出せず、リソースアクセス制御手段８２０が常に「リソース割当可能」をリソース管理手段８２１に出力すればよい。
また、変形例１０と同様、アクセス制御ファイルには、リンク範囲情報及びリソース利用範囲情報が格納されていてもよい。
【０２８１】
（変形例１２）
以下、変形例１２として、証明書ＣＢに起動範囲情報及びリンク範囲情報が付加されている場合について、前記した実施形態と異なる点を説明する。
この場合、アクセス制御情報抽出手段８１７ｄは、リソース利用範囲情報を抽出しない。
リソースアクセス制御手段８２０は、リソース割当可否問合が入力された場合でも、リソースアクセス制御を行わず、常に「リソース割当可能」をリソース管理手段８２１に出力する。
なお、変形例１２と同様、アクセス制御ファイルには、起動範囲情報及びリンク範囲情報が格納されていてもよい。
【０２８２】
（変形例１３）
以下、変形例１３として、証明書ＣＢにリソース利用範囲情報のみが付加されている場合について、前記した実施形態と異なる点を説明する。
アプリ管理・実行制御手段８０９は、起動情報通知が通知された場合、又は、選択アプリケーション通知が通知された場合でも、起動範囲判定手段８１８に起動範囲問合を出力せず、リンク範囲判定手段８１９にリンク範囲問合を出力しない。
【０２８３】
起動制御手段８０９ａは、認証結果が「認証成功」の場合、アプリ実行手段８１３に起動制御指示を通知する。
一方、起動制御手段８０９ａは、認証結果が「認証失敗」の場合、アプリケーションを実行させない旨、アプリ実行手段８１３に指示する。
【０２８４】
アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからの指示に応じて、有効な証明書ＣＢの拡張項目から、リソース利用範囲情報を抽出する。
【０２８５】
アプリ実行手段８１３は、遷移先情報通知をアプリ管理・実行制御手段８０９に通知することなく、実行中のアプリケーションを、表示中のＷｅｂページから他のＷｅｂページに遷移させる。
なお、変形例１３と同様、アクセス制御ファイルには、リソース利用範囲情報のみが格納されていてもよい。
【０２８６】
（変形例１４）
前記した第２実施形態において、放送通信連携システム１Ａは、アクセス制御ファイルを独立したファイルとして説明したが、これに限定されない。
つまり、放送通信連携システム１Ａは、アクセス制御ファイルをアプリケーション起動情報ファイルとし、このアプリケーション起動情報ファイルの拡張項目に起動範囲情報、リンク範囲情報、リソース利用範囲情報を格納してもよい。この場合、図１４のアクセス制御ファイルサーバが、このアプリケーション起動情報ファイルを記憶、管理するアプリケーション起動情報サーバとなる。
【０２８７】
また、放送通信連携システム１Ａは、アクセス制御ファイルをＸＭＬ（eXtensible Markup Language）形式としてもよい。
さらに、放送通信連携システム１Ａは、起動範囲情報、リンク範囲情報、リソース利用範囲情報を別々のファイルに分離し、配置してもよい。この場合、各ファイルにアプリケーションＩＤを付加し、ファイルとアプリケーション本体とを対応付ける必要がある。
【０２８８】
（変形例１５）
前記した第２実施形態では、ライセンス機関がアプリケーションを登録することとして説明したが、これに限定されない。
放送通信連携システム１Ａにおいて、ライセンス機関は、アプリケーション用署名が付加されたアプリケーションをサービス事業者に出力し、サービス事業者がアプリケーションをアプリケーションサーバ７０Ａに登録してもよい。
さらに、ライセンス機関は、アプリケーション用署名のみをサービス事業者に出力してもよい。この場合、サービス事業者は、アプリケーション用署名をアプリケーションに付加し、アプリケーションサーバ７０Ａに登録する。
【０２８９】
（変形例１６）
前記した第２実施形態では、アプリケーション及びアクセス制御ファイルがアプリケーションＩＤで対応付けられることとして説明したが、これに限定されない。
つまり、放送通信連携システム１Ａは、アプリケーションにアクセス制御ファイルを付加してもよい。
【符号の説明】
【０２９０】
１，１Ａ  放送通信連携システム
１０  ＣＡ局
２０  放送送信装置
３０  ＩＤ・署名鍵・証明書発行装置（証明書発行装置）
３０Ａ  アクセス制御ファイル管理装置
４０，４０Ａ  アプリケーション登録装置
５０，５０Ａ  アプリケーション制作装置
６０  コンテンツ配信サーバ
７０，７０Ａ  アプリケーションサーバ
８０，８０Ａ  受信機
９０  アクセス制御ファイルサーバ
３０１，３１１  署名鍵入力手段
３０２，３１２  アプリＩＤ生成手段
３０３  署名鍵・検証鍵生成手段
３０４  証明書生成手段
３０５  証明書管理手段
３０６，３１５  署名鍵管理手段
３１３  アクセス制御ファイル生成手段
３１４  アクセス制御ファイル管理手段
４０１，４１１  アプリ入力手段
４０２，４１２  署名鍵入力手段
４０３，４１３  署名生成手段
４０４，４１４  署名付加手段
４０５  証明書付加手段
４０６，４１５  アプリ出力手段
８０１  放送受信手段
８０２  放送信号解析手段
８０３  映像・音声復号手段
８０４  データ放送復号手段
８０４ａ  証明書抽出手段
８０５  通信送受信手段
８０６  アプリ起動情報取得手段
８０７  アプリ起動情報記憶手段
８０８  リスト制御手段
８０９  アプリ管理・実行制御手段
８０９ａ  起動制御手段
８０９ｂ  終了制御手段
８０９ｃ  蓄積管理手段
８０９ｄ  遷移制御手段
８１０  起動アプリ識別情報記憶手段
８１１，８１１Ａ  アプリ取得手段
８１２，８１２Ａ  アプリ記憶手段
８１３  アプリ実行手段
８１４  操作制御手段
８１５  合成表示手段
８１６，８１６Ａ  セキュリティ管理手段
８１７，８１７Ａ  アプリケーション認証手段
８１７ａ，８１７Ａａ  証明書管理手段
８１７ｂ  証明書確認手段
８１７Ａｂ  アクセス制御ファイル確認手段
８１７ｃ，８１７Ａｃ  署名検証手段
８１７ｄ，８１７Ａｄ  アクセス制御情報抽出手段（抽出手段）
８１８  起動範囲判定手段（起動判定手段）
８１９  リンク範囲判定手段（起動判定手段）
８２０  リソースアクセス制御手段
８２１  リソース管理手段
【図１】
2014099162.tif 000003
【図２】
2014099162.tif 000004
【図３】
2014099162.tif 000005
【図４】
2014099162.tif 000006
【図５】
2014099162.tif 000007
【図６】
2014099162.tif 000008
【図７】
2014099162.tif 000009
【図８】
2014099162.tif 000010
【図９】
2014099162.tif 000011
【図１０】
2014099162.tif 000012
【図１１】
2014099162.tif 000013
【図１２】
2014099162.tif 000014
【図１３】
2014099162.tif 000015
【図１４】
2014099162.tif 000016
【図１５】
2014099162.tif 000017
【図１６】
2014099162.tif 000018
【図１７】
2014099162.tif 000019
【図１８】
2014099162.tif 000020
【図１９】
2014099162.tif 000021
【図２０】
2014099162.tif 000022