(57)【特許請求の範囲】
【請求項１】
放送番組を送信する放送送信装置と、前記放送番組を受信する放送通信連携受信装置と、署名を生成する署名鍵及び当該署名鍵に対応する検証鍵を発行する署名鍵発行装置と、前記検証鍵が含まれる証明書を発行する認証局と、前記署名鍵発行装置からの署名鍵により生成された署名及び前記証明書を、アプリケーションの提供元を検証するための検証用情報として当該アプリケーションに付加するアプリケーション登録装置と、前記検証用情報が付加されたアプリケーション及び前記検証用情報が付加されていないアプリケーションの少なくとも一方を記憶するアプリケーションサーバとを含む放送通信連携システムに備えられる前記放送通信連携受信装置であって、
ネットワークを介して、前記アプリケーションサーバに記憶されたアプリケーションを取得するアプリケーション取得手段と、
前記検証用情報に基づいて、前記アプリケーション取得手段が取得したアプリケーションの提供元が正当であるか否かを判定するアプリケーション判定手段と、
前記アプリケーション判定手段の判定結果に基づいて、当該取得したアプリケーションに対して、予め定められたリソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
を備えることを特徴とする放送通信連携受信装置。
【請求項２】
前記アプリケーション取得手段は、前記署名鍵により生成された署名及び前記証明書が前記検証用情報として付加されたアプリケーションを取得し、
前記アプリケーション判定手段は、前記証明書が有効であるか否かを前記認証局に確認し、前記証明書が有効な場合、当該証明書の検証鍵により前記署名が正当であるか否かを検証し、前記署名が正当な場合に前記アプリケーションの提供元が正当と判定し、前記証明書が有効でない又は前記署名が正当でない場合に前記アプリケーションの提供元が正当でないと判定することを特徴とする請求項１に記載の放送通信連携受信装置。
【請求項３】
前記放送通信連携受信装置は、前記証明書が予め記憶された記憶手段をさらに備え、
前記アプリケーション取得手段は、前記署名鍵により生成された署名が前記検証用情報として付加されたアプリケーションを取得し、
前記アプリケーション判定手段は、失効した証明書の一覧である失効リストに基づいて前記記憶手段から抽出された前記証明書が有効であるか否かを確認し、当該証明書が有効な場合、当該証明書の検証鍵により前記署名が正当であるか否かを検証し、前記署名が正当な場合に前記アプリケーションの提供元が正当と判定し、当該証明書が有効でない又は前記署名が正当でない場合に前記アプリケーションの提供元が正当でないと判定することを特徴とする請求項１に記載の放送通信連携受信装置。
【請求項４】
前記放送通信連携受信装置は、前記署名鍵により生成された署名と前記証明書とに基づいて、前記アプリケーションの提供元が正当であるか否かを検証する前記アプリケーション登録装置が含まれる放送通信連携システムに備えられ、
前記アプリケーション取得手段は、前記検証用情報として、前記アプリケーションの提供元の検証結果が前記アプリケーション登録装置によって付加されたアプリケーションを取得し、
前記アプリケーション判定手段は、前記検証用情報に基づいて、前記アプリケーション取得手段が取得したアプリケーションの提供元が正当であるか否かを検証することを特徴とする請求項１に記載の放送通信連携受信装置。
【請求項５】
前記放送通信連携受信装置は、前記署名鍵により生成された署名と前記証明書と失効リストとに基づいて、前記アプリケーションの提供元が正当であるか否かを検証する前記アプリケーション登録装置が含まれる放送通信連携システムに備えられ、
前記アプリケーション取得手段は、前記検証用情報として、前記アプリケーションの提供元の検証結果が前記アプリケーション登録装置によって付加されたアプリケーションを取得し、
前記アプリケーション判定手段は、前記検証用情報に基づいて、前記アプリケーション取得手段が取得したアプリケーションの提供元が正当であるか否かを検証することを特徴とする請求項１に記載の放送通信連携受信装置。
【請求項６】
請求項１に記載の放送通信連携受信装置と、
前記放送番組を送信する放送送信装置と、
前記署名鍵及び前記検証鍵を発行する署名鍵発行装置と、
前記検証鍵が含まれる証明書を発行する認証局と、
前記検証用情報を当該アプリケーションに付加するアプリケーション登録装置と、
前記検証用情報が付加されたアプリケーション及び前記検証用情報が付加されていないアプリケーションの少なくとも一方を記憶するアプリケーションサーバと、
を備えることを特徴とする放送通信連携システム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、放送と、インターネット、専用ＩＰ（Internet Protocol）回線等の通信ネットワークとを利用した放送通信連携システムにおいて、一般アプリケーションに対するリソースアクセス制御の技術に関する。
【背景技術】
【０００２】
近年、放送のデジタル化や通信の高速・広帯域化に伴い、放送と通信を連携した様々なサービス（以降、「放送通信連携サービス」）が検討されている（例えば、非特許文献１，２参照）。この放送通信連携サービスでは、放送番組に関連する多様な情報を通信ネットワーク経由で取得し、放送と組み合わせて提示することが想定されている。また、受信機では、放送通信連携サービスを享受するため、この放送通信連携サービスに適応したアプリケーションを用いることが想定されている。
【先行技術文献】
【非特許文献】
【０００３】
【非特許文献１】「技研における放送通信連携技術研究の概要」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１２４、２０１０．１１、Ｐ４−Ｐ９
【非特許文献２】「ＨｙｂｒｉｄｃａｓｔＴＭの概要と技術」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１２４、２０１０．１１、Ｐ１０−Ｐ１７
【発明の概要】
【発明が解決しようとする課題】
【０００４】
この放送通信連携サービスにおいて、視聴者にとってより魅力的なサービスを実現するためには、放送局等が制作したアプリケーションだけでなく、様々なサービス事業者や個人等の提供元が正当でない（提供元が信頼できない）アプリケーションも視聴者に提供できる環境が望まれている。しかし、提供元が正当でないアプリケーションは、放送通信連携システムで期待する動作が保証されているか定かでなく、安全性や放送の公共性の観点から、無制限に受信機のリソースへアクセスすることが認められない。
【０００５】
そこで、本発明は、放送と通信を連携した放送通信連携サービスにおいて、提供元が正当でないアプリケーションに対して、無制限なリソースアクセスを禁止することができる放送通信連携受信装置及び放送通信連携システムを提供することを課題とする。
【課題を解決するための手段】
【０００６】
前記した課題に鑑みて、本願第１発明に係る放送通信連携受信装置は、放送番組を送信する放送送信装置と、放送番組を受信する放送通信連携受信装置と、署名を生成する署名鍵及び当該署名鍵に対応する検証鍵を発行する署名鍵発行装置と、検証鍵が含まれる証明書を発行する認証局と、署名鍵発行装置からの署名鍵により生成された署名及び証明書を、アプリケーションの提供元を検証するための検証用情報としてアプリケーションに付加するアプリケーション登録装置と、検証用情報が付加されたアプリケーション及び前記検証用情報が付加されていないアプリケーションの少なくとも一方を記憶するアプリケーションサーバとを含む放送通信連携システムに備えられる放送通信連携受信装置であって、アプリケーション取得手段と、アプリケーション判定手段と、リソースアクセス制御手段と、を備えることを特徴とする。
【０００７】
かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバに記憶されたアプリケーションを取得する。
このアプリケーション取得手段が取得したアプリケーションには、その提供元が正当な場合には検証用情報が付加されおり、その提供元が正当でない場合には検証用情報が付加されないことになる。
【０００８】
また、放送通信連携受信装置は、アプリケーション判定手段によって、検証用情報に基づいて、アプリケーション取得手段が取得したアプリケーションの提供元が正当であるか否かを判定する。
この検証用情報は、例えば、署名、証明書が含まれており、失効リスト、アプリケーションを一意に識別するアプリケーションＩＤ、サービス事業者を一意に識別する事業者ＩＤ等の情報がさらに含まれてもよい。
また、検証用情報は、アプリケーション登録装置により、アプリケーションの提供元が検証された検証結果であってもよい。
【０００９】
そして、放送通信連携受信装置は、リソースアクセス制御手段によって、アプリケーション判定手段の判定結果に基づいて、取得したアプリケーションに対して、予め定められたリソースへのアクセスを禁止するリソースアクセス制御を行う。例えば、アプリケーションの提供元が正当でない場合、リソースアクセス制御手段は、このアプリケーションが、後記する放送リソースにアクセスすることを禁止する。一方、アプリケーションの提供元が正当な場合、リソースアクセス制御手段は、このアプリケーションが放送リソースにアクセスすることを禁止せずともよい。これによって、リソースアクセス制御手段は、提供元が正当でないアプリケーションが、無制限にリソースへアクセスすることを禁止できる。
【００１０】
また、本願第２発明に係る放送通信連携受信装置は、アプリケーション取得手段が、署名鍵により生成された署名及び証明書が検証用情報として付加されたアプリケーションを取得し、アプリケーション判定手段が、証明書が有効であるか否かを認証局に確認し、証明書が有効な場合、証明書の検証鍵により署名が正当であるか否かを検証し、署名が正当な場合にアプリケーションの提供元が正当と判定し、証明書が有効でない又は署名が正当でない場合にアプリケーションの提供元が正当でないと判定することを特徴とする。
【００１１】
かかる構成によれば、放送通信連携受信装置は、不正が困難な署名及び証明書を用いるため、例えば、提供元が正当でないアプリケーションが、提供元が正当なアプリケーションになりすまして、リソースにアクセスすることを防止できる。
【００１２】
また、本願第３発明に係る放送通信連携受信装置は、証明書が予め記憶された記憶手段をさらに備え、アプリケーション取得手段が、署名鍵により生成された署名が検証用情報として付加されたアプリケーションを取得し、アプリケーション判定手段が、失効した証明書の一覧である失効リストに基づいて記憶手段から抽出された証明書が有効であるか否かを確認し、証明書が有効な場合、証明書の検証鍵により署名が正当であるか否かを検証し、署名が正当な場合にアプリケーションの提供元が正当と判定し、証明書が有効でない又は署名が正当でない場合にアプリケーションの提供元が正当でないと判定することを特徴とする。
【００１３】
かかる構成によれば、放送通信連携受信装置は、不正が困難な署名及び証明書を用いるため、例えば、提供元が正当でないアプリケーションが、提供元が正当なアプリケーションになりすまして、リソースにアクセスすることを防止できる。
【００１４】
また、本願第４発明に係る放送通信連携受信装置は、署名鍵により生成された署名と証明書とに基づいて、アプリケーションの提供元が正当であるか否かを検証するアプリケーション登録装置が含まれる放送通信連携システムに備えられ、アプリケーション取得手段が、検証用情報として、アプリケーションの提供元の検証結果がアプリケーション登録装置によって付加されたアプリケーションを取得し、アプリケーション判定手段が、検証用情報に基づいて、アプリケーション取得手段が取得したアプリケーションの提供元が正当であるか否かを検証することを特徴とする。
かかる構成によれば、放送通信連携受信装置は、証明書の有効性の確認及び署名の正当性の検証を行う必要がない。
【００１５】
また、本願第５発明に係る放送通信連携受信装置は、署名鍵により生成された署名と証明書と失効リストとに基づいて、アプリケーションの提供元が正当であるか否かを検証するアプリケーション登録装置が含まれる放送通信連携システムに備えられ、アプリケーション取得手段が、検証用情報として、アプリケーションの提供元の検証結果がアプリケーション登録装置によって付加されたアプリケーションを取得し、アプリケーション判定手段が、検証用情報に基づいて、アプリケーション取得手段が取得したアプリケーションの提供元が正当であるか否かを検証することを特徴とする。
かかる構成によれば、放送通信連携受信装置は、証明書の有効性の確認及び署名の正当性の検証を行う必要がない。
【００１６】
また、前記した課題に鑑みて、本願第６発明に係る放送通信連携システムは、本願第１発明に係る放送通信連携受信装置と、放送送信装置と、署名鍵発行装置と、認証局と、アプリケーション登録装置と、アプリケーションサーバと、を備えることを特徴とする。
【００１７】
かかる構成によれば、放送通信連携システムは、放送通信連携受信装置によって、検証用情報に基づいて、アプリケーションサーバから取得したアプリケーションの提供元が正当であるか否かを判定する。そして、放送通信連携システムは、放送通信連携受信装置によって、アプリケーションの提供元を正当でないと判定した場合、このアプリケーションに対して、予め定められたリソースへのアクセスを禁止するリソースアクセス制御を行う。すなわち、放送通信連携受信装置は、提供元が正当でないアプリケーションが、無制限にリソースへアクセスすることを禁止できる。
【発明の効果】
【００１８】
本発明によれば、以下のような優れた効果を奏する。
本願第１，６発明によれば、放送局等の提供元が正当なアプリケーションだけでなく、サービス事業者等の提供元が正当でないアプリケーションも取得できると共に、提供元が正当でないアプリケーションが無制限にリソースへアクセスすることを禁止できる。これによって、本願第１，６発明によれば、提供元が正当でないアプリケーションも視聴者に安全に提供できるため、幅広いサービス事業者等の参入を促しつつ、高い安全性を確保することができる。
【００１９】
本願第２，３発明によれば、不正が困難な署名及び証明書を用いるため、提供元が正当であるか否かを正しく検証できるため、安全性をより向上させることができる。例えば、本願第２，３発明によれば、提供元が正当でないアプリケーションが、提供元が正当なアプリケーションになりすまして、リソースにアクセスすることを防止できる。
【００２０】
本願第４，５発明によれば、放送通信連携受信装置が、証明書の有効性の確認及び署名の正当性の検証を行う必要がないため、放送通信連携受信装置の処理負荷を低減して、放送通信連携受信装置を簡易な構成にすることができる。
【図面の簡単な説明】
【００２１】
【図１】本発明の第１実施形態に係る放送通信連携システムの全体構成を示す概略図である。
【図２】図１の署名鍵発行装置の構成を示すブロック図である。
【図３】図１のアプリケーションサーバの構成を示すブロック図である。
【図４】図１のアプリＩＤ・事業者ＩＤ生成装置の構成を示すブロック図である。
【図５】図１のアプリケーション登録装置の構成を示すブロック図である。
【図６】図１の受信機の構成を示すブロック図である。
【図７】図１の受信機に予め設定されたリソースアクセス制御テーブルのデータ構造を示す図である。
【図８】図１の放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。
【図９】図１の放送通信連携システムにおいて、一般アプリケーションを起動する動作を示すシーケンス図である。
【図１０】本発明の変形例１に係る放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。
【図１１】本発明の第２実施形態に係るアプリケーション登録装置の構成を示すブロック図である。
【図１２】本発明の第２実施形態に係る受信機の構成を示すブロック図である。
【図１３】本発明の第２実施形態に係る放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。
【図１４】本発明の変形例２に係る放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。
【図１５】本発明の第３実施形態に係る放送通信連携システムの全体構成を示す概略図である。
【図１６】本発明の第３実施形態に係る放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。
【図１７】本発明の変形例３に係る放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。
【図１８】本発明の変形例４に係る放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。
【図１９】本発明の変形例５に係る放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。
【発明を実施するための形態】
【００２２】
以下、本発明の各実施形態について、適宜図面を参照しながら詳細に説明する。なお、各実施形態において、同一の機能を有する手段及び同一のステップ（処理）には同一の符号を付し、説明を省略した。
【００２３】
（第１実施形態）
［放送通信連携システムの構成］
図１を参照して、本発明の第１実施形態に係る放送通信連携システム１の構成について説明する。
放送通信連携システム１は、放送と通信とを連携し、放送番組と共に様々なサービスをユーザ（視聴者）に提供するものである。具体的には、放送通信連携システム１は、放送波Ｗを介して、放送番組を放送通信連携受信装置（以後、「受信機」）８０に送信すると共に、ネットワークＮを介して、様々なサービスに適応したアプリケーションを受信機８０に送信する。そして、放送通信連携システム１は、受信機８０において、放送番組に関連する多様なサービスを、アプリケーションによりユーザに提供する。このとき、放送通信連携システム１は、受信機８０において、安全性（セキュリティ）や放送の公共性の観点から、提供元が正当でないアプリケーションについては、後記するリソースへのアクセスを禁止する。
【００２４】
「アプリケーション」とは、受信機９０を実行環境として動作するソフトウェアである。
このアプリケーションには、後記する検証用情報が付加されたものと、検証用情報が付加されていないものがある。
なお、アプリケーションを「アプリ」と略記することがある。
【００２５】
提供元が正当なアプリケーション（すなわち、放送局や信頼できるサービス事業者によって制作されたアプリケーション）は、「Ａ（Authorized）アプリケーション」と呼ばれる。本実施形態では、サービス事業者Ｂが制作したアプリケーションが「Ａアプリケーション」であるとする。このＡアプリケーションは、放送通信連携システム１で期待される動作が保証されたものであり、後記するアプリケーション登録装置７０で検証用情報が付加された後、後記するアプリケーションサーバ５０Ｂに記憶される。
【００２６】
また、提供元が正当でないアプリケーション（すなわち、信頼できないサービス事業者や個人によって制作されたアプリケーション）は、「一般アプリケーション」と呼ばれる。本実施形態では、サービス事業者Ａが制作したアプリケーションが「一般アプリケーション」であるとする。この一般アプリケーションは、放送通信連携システム１で期待される動作が保障されたものでなく、検証用情報が付加されない状態で、後記するアプリケーションサーバ５０Ａに記憶される。
【００２７】
「放送局」とは、編成を伴う番組を送出しているものであり、放送波Ｗ又はネットワークＮにより放送番組をユーザ（視聴者）に配信するものである。
「サービス事業者」とは、サービスを提供するもので、サービスを提供するためのコンテンツ及びアプリケーションを制作し、配信するものである。
【００２８】
図１に示すように、放送通信連携システム１は、放送送信装置１０と、署名鍵発行装置２０と、ＣＡ局（認証局）３０と、コンテンツ配信サーバ４０Ａ，４０Ｂと、アプリケーションサーバ５０Ａ，５０Ｂと、アプリＩＤ・事業者ＩＤ生成装置６０と、アプリケーション登録装置７０と、受信機８０とを備える。
この放送通信連携システム１では、ネットワークＮを介して、ＣＡ局３０と、コンテンツ配信サーバ４０Ａ，４０Ｂと、アプリケーションサーバ５０Ａ，５０Ｂと、受信機８０とが接続されている。
なお、以後の図面において、一点鎖線は、オフライン又はオンラインでの送信を示す。
【００２９】
放送送信装置１０は、放送局に設置され、図示を省略した番組編成設備、番組送信設備、送信設備等から構成されるデジタル放送用の放送設備であり、放送波Ｗを介して、放送番組を受信機８０に送信するものである。
なお、放送送信装置１０は、放送番組を放送波Ｗとして送信する形態で説明するが、ケーブル（図示せず）や、ネットワークＮを介して送信してもよい。
また、放送送信装置１０は、一般的な構成のため、詳細な説明を省略する。
【００３０】
署名鍵発行装置２０は、放送局に設置され、署名を生成する署名鍵（秘密鍵）と、この署名の検証に必要となる検証鍵（公開鍵）とを発行するものである。この署名鍵発行装置２０は、例えば、信頼できるサービス事業者ごとに署名鍵及び検証鍵を生成する。この署名鍵発行装置２０が生成した署名鍵は、放送局によって、サービス事業者Ｂ（具体的には、アプリケーション登録装置７０）に配布される。また、署名鍵発行装置２０が生成した検証鍵は、放送局によって、ＣＡ局３０に配布される。
なお、署名鍵及び検証鍵は、例えば、ネットワークＮ等のオンラインで送信し、又は、それぞれが格納された記録媒体を郵送等のオフラインで送信してもよい。
【００３１】
ＣＡ局（認証局）３０は、署名鍵発行装置２０から配布された検証鍵が含まれる証明書を発行するものである。このＣＡ局３０は、例えば、ＩＴＵ(International Telecommunication Union)のＸ．５０９で規定された手法で、事業者ＩＤに対応付けた証明書を生成する。そして、ＣＡ局３０は、生成した証明書を、オンライン又はオフラインでアプリケーション登録装置７０に配布する。また、ＣＡ局３０は、受信機８０から、証明書が有効又は無効であるかの問い合わせ（証明書問合）が入力されると、証明書が有効又は無効であるかを問合結果として受信機８０に出力する。
【００３２】
ここで、信頼できないサービス事業者等がＣＡ局３０を任意に設置可能とした場合、一般アプリケーションを含めた全アプリケーションが、Ａアプリケーションとして配布可能になってしまう。このような事態を防止すべく、ＣＡ局３０は、放送局又は放送通信連携システム１のシステム管理者（不図示）によって、証明書の発行を認められたものに限る必要がある。
なお、ＣＡ局３０は、一般的な構成のため、詳細な説明を省略する。
また、図１には、失効リスト（ＣＲＬ１、ＣＬＲ２）を図示したが、本実施形態には直接関係しないので説明を後記する（変形例１参照）。
【００３３】
コンテンツ配信サーバ４０は、受信機８０のアプリケーションからの要求により、ネットワークＮを介して、コンテンツを受信機８０に提供するものである。このコンテンツ配信サーバ４０としては、例えば、ＶＯＤ（ビデオオンデマンド）配信サーバ、字幕配信サーバ、マルチビュー配信サーバ等があげられる。
【００３４】
本実施形態では、コンテンツ配信サーバ４０Ａがサービス事業者Ａによって管理され、コンテンツ配信サーバ４０Ｂがサービス事業者Ｂによって管理されることとする。
なお、コンテンツ配信サーバ４０は、一般的な構成のため、詳細な説明省略する。
【００３５】
アプリケーションサーバ５０は、各サービス事業者が制作したアプリケーションを記憶、管理するサーバである。このアプリケーションサーバ５０は、例えば、受信機８０からの要求に応じて、ネットワークＮを介して、アプリケーションを受信機８０に送信する。
本実施形態では、アプリケーションサーバ５０Ａがサービス事業者Ａによって管理され、アプリケーションサーバ５０Ｂがサービス事業者Ｂによって管理されることとする。
【００３６】
アプリＩＤ・事業者ＩＤ生成装置６０は、サービス事業者Ｂによって管理され、アプリケーションを一意に識別するアプリケーションＩＤと、サービス事業者Ｂを一意に識別する事業者ＩＤとを生成するものである。そして、アプリＩＤ・事業者ＩＤ生成装置６０は、生成したアプリケーションＩＤ及び事業者ＩＤを、アプリケーション登録装置７０に出力する。
【００３７】
アプリケーション登録装置７０は、サービス事業者Ｂが制作したアプリケーションに検証用情報を付加して、このアプリケーションをＡアプリケーションとして登録するものである。具体的には、アプリケーション登録装置７０は、署名鍵発行装置２０からの署名鍵により署名を生成する。そして、アプリケーション登録装置７０は、生成した署名と、ＣＡ局３０からの証明書と、アプリＩＤ・事業者ＩＤ生成装置６０からのアプリケーションＩＤ及び事業者ＩＤとを、アプリケーションに検証用情報として付加する。その後、アプリケーション登録装置７０は、検証用情報が付加されたアプリケーションをアプリケーションサーバ５０Ｂに出力する。
なお、アプリケーション登録装置７０は、システム管理者によって管理される。
【００３８】
受信機（放送通信連携受信装置）８０は、各ユーザの自宅等に設置され、地上デジタル放送、ＢＳデジタル放送、データ放送等の放送番組が視聴可能であると共に、ネットワークＮを介して、アプリケーションを受信可能な受信装置である。そして、受信機８０は、前記した検証用情報を用いて、アプリケーションの提供元が正当であるか否かを検証する。さらに、受信機８０は、アプリケーションの提供元が正当でない場合、このアプリケーションに対して、受信機８０の一部リソースへのアクセスを禁止する。
【００３９】
この受信機８０では、アプリケーション起動情報に基づいて、アプリケーションの取得、起動、終了等の制御が行われるため、アプリケーション起動情報について説明する。
この「アプリケーション起動情報」とは、アプリケーションの識別子（ＩＤ）、アプリケーションの配置場所等のアプリケーションを特定するための情報、ならびに、当該アプリケーションを制御するための付加的な情報（アプリケーション情報テーブル：ＡＩＴ（Application Information Table）に相当する情報）である。
【００４０】
ここで、アプリケーション起動情報は、従来技術のＡＩＴと同様、エレメンタリストリーム（ＥＳ：Elementary Stream）として放送ＴＳ（Transport Stream）に多重化して、受信機８０に伝送することができる。この手法は、参考文献「（社）電波産業会、“デジタル放送におけるアプリケーション実行環境  標準規格  ＡＲＩＢ  ＳＴＤ−Ｂ２３  １．２版”、平成２１年７月２９日、ｐ．３９〜５４」に記載されている。
また、アプリケーション起動情報は、ＳＩ（番組配列情報）の一つであるＥＩＴ（ｐ/ｆ）に追加して、受信機８０に伝送してもよい。
さらに、アプリケーション起動情報は、ＤＳＭ−ＣＣ（Digital Storage Media-Command and Control）データカルーセルにより、受信機８０に伝送してもよい。
このようにして、放送通信連携システム１では、放送波Ｗを介して、アプリケーション起動情報を受信機８０に伝送することができる。
【００４１】
この他、放送通信連携システム１では、ネットワークＮを介してアプリケーション起動情報を受信機８０に送信するアプリケーション起動情報サーバ（不図示）を備えてもよい。このアプリケーション起動情報サーバは、例えば、システム管理者又は各サービス事業者に設置され、各アプリケーションに対応したアプリケーション起動情報を記憶、管理する。
【００４２】
なお、アプリケーション起動情報の送信方法は、例えば、あるアプリケーションが編成チャンネルに連動するか否か等に依存するが、本発明には直接関係しないので詳細な説明を省略する。従って、本実施形態では、前記した何れの方法でアプリケーション起動情報を送信してよいこととする。
【００４３】
［署名鍵発行装置の構成］
図２を参照して、署名鍵発行装置２０の構成について説明する（適宜図１参照）。
図２に示すように、署名鍵発行装置２０は、署名鍵・検証鍵生成手段２００と、検証鍵管理手段２０１と、署名鍵管理手段２０２とを備える。
【００４４】
署名鍵・検証鍵生成手段２００は、署名鍵及び検証鍵を生成するものである。ここで、署名鍵・検証鍵生成手段２００は、例えば、ＤＳＡ署名、ＲＳＡ署名、楕円曲線を用いた署名等の一般的な署名方式により、信頼できるサービス事業者ごとに署名鍵及び検証鍵を生成する。そして、署名鍵・検証鍵生成手段２００は、生成した検証鍵を検証鍵管理手段２０１に出力し、生成した署名鍵を署名鍵管理手段２０２に出力する。
【００４５】
検証鍵管理手段２０１は、署名鍵・検証鍵生成手段２００が生成した検証鍵を記憶、管理するものである。例えば、検証鍵管理手段２０１は、署名鍵・検証鍵生成手段２００から検証鍵が入力され、この検証鍵を事業者ＩＤに対応付けて、メモリ、ハードディスク等の記憶装置（不図示）に記憶する。そして、検証鍵管理手段２０１は、記憶した検証鍵を出力する。
【００４６】
署名鍵管理手段２０２は、署名鍵・検証鍵生成手段２００が生成した署名鍵を記憶、管理するものである。例えば、署名鍵管理手段２０２は、署名鍵・検証鍵生成手段２００から署名鍵が入力され、この署名鍵を事業者ＩＤに対応付けて、メモリ、ハードディスク等の記憶装置（不図示）に記憶する。そして、署名鍵管理手段２０２は、記憶した署名鍵をアプリケーション登録装置７０に出力する。
【００４７】
なお、署名鍵発行装置２０では、署名鍵及び検証鍵を生成するタイミングは任意である。例えば、サービス事業者Ｂが鍵生成指令を署名鍵発行装置２０に手動で入力すると、署名鍵発行装置２０は、この鍵生成指令に応じて、署名鍵及び検証鍵を生成、出力する。
【００４８】
［アプリケーションサーバの構成］
図３を参照して、アプリケーションサーバ５０の構成について説明する（適宜図１参照）。
図３に示すように、アプリケーションサーバ５０は、アプリケーション入力手段（アプリ入力手段）５００と、アプリケーション記憶手段（アプリ記憶手段）５０１と、アプリケーション送信手段（アプリ送信手段）５０２とを備える。
なお、図１のアプリケーションサーバ５０Ａ，５０Ｂは、入力されるアプリケーションに検証用情報が付加されているか否かが相違するたけで、その構成が同一である。
【００４９】
アプリケーション入力手段５００は、各サービス事業者が制作したアプリケーションが入力されるものである。そして、アプリケーション入力手段５００は、入力されたＡアプリケーションを、アプリケーション記憶手段５０１に書き込む。
【００５０】
アプリケーション記憶手段５０１は、Ａアプリケーションを記憶するメモリ、ハードディスク等の記憶装置である。ここで、アプリケーション記憶手段５０１におけるＡアプリケーションの所在位置が、アプリケーション起動情報に記述される。
【００５１】
アプリケーション送信手段５０２は、受信機８０からの要求に応じて、各アプリケーションを受信機８０に送信するものである。具体的には、アプリケーション送信手段５０２は、ネットワークＮを介して、受信機８０から要求を受信すると、この要求に応じたアプリケーションをアプリケーション記憶手段５０１から読み出す。そして、アプリケーション送信手段５０２は、ネットワークＮを介して、読み出したアプリケーションを受信機８０に送信する。
【００５２】
［アプリＩＤ・事業者ＩＤ生成装置の構成］
図４を参照して、アプリＩＤ・事業者ＩＤ生成装置６０の構成について説明する（適宜図１参照）。
図４に示すように、アプリＩＤ・事業者ＩＤ生成装置６０は、アプリケーションＩＤ生成手段（アプリＩＤ生成手段）６００と、事業者ＩＤ生成手段６０１と、アプリケーションＩＤ・事業者ＩＤ出力手段（アプリＩＤ・事業者ＩＤ出力手段）６０２とを備える。
【００５３】
アプリケーションＩＤ生成手段６００は、アプリケーションを一意に識別するアプリケーションＩＤを生成するものである。例えば、アプリケーションＩＤ生成手段６００は、予め設定した命名規約に従って、ＵＲＩ（Uniform Resource Identifier）形式で表現されたアプリケーションＩＤを生成する。この命名規約は、例えば、サービス事業者Ｂの事業者ＩＤと、このサービス事業者Ｂ内で一意に定められたアプリケーションを識別する番号とをアプリケーションＩＤとするものがある。そして、アプリケーションＩＤ生成手段６００は、生成したアプリケーションＩＤを、アプリケーションＩＤ・事業者ＩＤ出力手段６０２に出力する。
【００５４】
事業者ＩＤ生成手段６０１は、サービス事業者Ｂを一意に識別する事業者ＩＤを生成するものである。そして、事業者ＩＤ生成手段６０１は、生成した事業者ＩＤを、アプリケーションＩＤ・事業者ＩＤ出力手段６０２に出力する。
【００５５】
アプリケーションＩＤ・事業者ＩＤ出力手段６０２は、アプリケーションＩＤ生成手段６００からアプリケーションＩＤが入力される共に、事業者ＩＤ生成手段６０１から事業者ＩＤが入力される。そして、アプリケーションＩＤ・事業者ＩＤ出力手段６０２は、これらアプリケーションＩＤ及び事業者ＩＤを、アプリケーション登録装置７０に出力するものである。
【００５６】
なお、アプリＩＤ・事業者ＩＤ生成装置６０では、アプリケーションＩＤ及び事業者ＩＤを生成するタイミングは任意である。例えば、サービス事業者ＢがＩＤ生成指令をアプリＩＤ・事業者ＩＤ生成装置６０に手動で入力すると、アプリＩＤ・事業者ＩＤ生成装置６０は、このＩＤ生成指令に応じて、アプリケーションＩＤ及び事業者ＩＤを生成、出力する。
【００５７】
［アプリケーション登録装置の構成］
図５を参照して、アプリケーション登録装置７０の構成について説明する（適宜図１参照）。
図５に示すように、アプリケーション登録装置７０は、アプリケーション入力手段（アプリ入力手段）７００と、アプリケーションＩＤ・事業者ＩＤ入力手段（アプリＩＤ・事業者ＩＤ入力手段）７０１と、アプリケーションＩＤ・事業者ＩＤ付加手段（アプリＩＤ・事業者ＩＤ付加手段）７０２と、署名鍵入力手段７０３と、署名生成手段７０４と、検証用情報付加手段７０５と、アプリケーション出力手段（アプリ出力手段）７０６とを備える。
【００５８】
アプリケーション入力手段７００は、サービス事業者Ｂによって制作されたアプリケーションが入力されるものである。そして、アプリケーション入力手段７００は、入力されたアプリケーションを、アプリケーションＩＤ・事業者ＩＤ付加手段７０２に出力する。
【００５９】
アプリケーションＩＤ・事業者ＩＤ入力手段７０１は、アプリＩＤ・事業者ＩＤ生成装置６０からアプリケーションＩＤ及び事業者ＩＤが入力されるものである。そして、アプリケーションＩＤ・事業者ＩＤ入力手段７０１は、入力されたアプリケーションＩＤ及び事業者ＩＤを、アプリケーションＩＤ・事業者ＩＤ付加手段７０２に出力する。
【００６０】
アプリケーションＩＤ・事業者ＩＤ付加手段７０２は、アプリケーション入力手段７００から入力されたアプリケーションに、アプリケーションＩＤ・事業者ＩＤ入力手段７０１から入力されたアプリケーションＩＤ及び事業者ＩＤを付加するものである。そして、アプリケーションＩＤ・事業者ＩＤ付加手段７０２は、アプリケーションＩＤ及び事業者ＩＤが付加されたアプリケーションを、検証用情報付加手段７０５に出力する。
【００６１】
署名鍵入力手段７０３は、署名鍵発行装置２０から、サービス事業者Ｂの署名鍵（秘密鍵）が入力される。また、署名鍵入力手段７０３は、ＣＡ局３０から、サービス事業者Ｂの検証鍵が含まれる証明書が入力される。そして、署名鍵入力手段７０３は、入力された署名鍵及び証明書を、署名生成手段７０４に出力する。
【００６２】
署名生成手段７０４は、署名鍵入力手段７０３から署名鍵及び証明書が入力され、この署名鍵を用いて、署名を生成するものである。ここで、例えば、サービス事業者を一意に識別する事業者ＩＤ及びアプリケーションＩＤ等の識別情報、乱数、または、アプリケーション本体のバイナリコード値の何れかを、署名の元となる署名元メッセージとする。そして、署名生成手段７０４は、この署名元メッセージに署名アルゴリズム（例えば、ＤＳＡ署名）を適用して署名を生成し、この署名と、証明書を検証用情報付加手段７０５に出力する。
なお、この署名元メッセージは、何らかの方法で受信機８０に配布する必要がある。例えば、署名元メッセージは、アプリケーションに付加することとしてもよい。
【００６３】
すなわち、署名生成手段７０４は、以下の式（１）で表される署名を生成する。この式（１）では、Ｓｉｇが署名であり、Ｓｉｇｎａｔｕｒｅ＿Ｋｓが署名鍵（秘密鍵）による署名生成であり、Ｍｅｓが署名元メッセージである。
Ｓｉｇ＝Ｓｉｇｎａｔｕｒｅ＿Ｋｓ（Ｍｅｓ）・・・式（１）
【００６４】
検証用情報付加手段７０５は、アプリケーションＩＤ・事業者ＩＤ付加手段７０２から入力されたアプリケーションに、署名生成手段７０４から入力された署名及び証明書を付加するものである。そして、検証用情報付加手段７０５は、このアプリケーションをアプリケーション出力手段７０６に出力する。すなわち、検証用情報付加手段７０５が出力するアプリケーションには、アプリケーションＩＤと、事業者ＩＤと、署名と、証明書とが検証用情報として付加されることになる。
【００６５】
アプリケーション出力手段７０６は、検証用情報付加手段７０５からアプリケーションが入力されると共に、このアプリケーションをアプリケーションサーバ５０Ｂに出力するものである。つまり、アプリケーション出力手段７０６は、検証用情報が付加されたアプリケーションを、Ａアプリケーションとしてアプリケーションサーバ５０Ｂに出力する。
【００６６】
［受信機の構成］
図６を参照して、受信機８０の構成について説明する（適宜図１参照）。
図６に示すように、受信機（放送通信連携受信装置）８０は、放送受信手段８０１と、放送信号解析手段８０２と、映像・音声復号手段８０３と、データ放送復号手段８０４と、通信送受信手段８０５と、アプリケーション起動情報取得手段（アプリ起動情報取得手段）８０６と、アプリケーション起動情報記憶手段（アプリ起動情報記憶手段）８０７と、リスト制御手段８０８と、アプリケーション管理・実行制御手段（アプリ管理・実行制御手段）８０９と、起動アプリケーション識別情報記憶手段（起動アプリ識別情報記憶手段）８１０と、アプリケーション取得手段（アプリ取得手段）８１１と、アプリケーション記憶手段（アプリ記憶手段）８１２と、アプリケーション実行手段（アプリ実行手段）８１３と、操作制御手段８１４と、合成表示手段８１５と、セキュリティ管理手段８１６と、リソース管理手段８１９とを備える。
【００６７】
放送受信手段８０１は、アンテナＡを介して、放送波Ｗとして送信される放送データを受信するものである。この放送受信手段８０１は、放送データを受信、復調し、誤り訂正やＴＭＣＣ（Transmission and Multiplexing Configuration Control）復号等の復号を行い、ＭＰＥＧ２のトランスポートストリーム（ＴＳ）として、放送信号解析手段８０２に出力する。
なお、この放送受信手段８０１は、アンテナＡを介して、電波によって放送信号を受信するものに限定されず、ケーブルを介して、放送信号を受信するものであってもよい。
【００６８】
放送信号解析手段８０２は、放送受信手段８０１で復調されたストリームデータ（トランスポートストリーム）において、ＰＳＩ／ＳＩ（Program Specific Information〔番組特定情報〕／Service Information〔番組配列情報〕）を解析し、現在選局されている編成チャンネルに対応する映像、音声、データ放送等のデータを抽出するものである。なお、選局は、後記する操作制御手段８１４から通知されるチャンネル切替指示に基づいて行われる。
【００６９】
この放送信号解析手段８０２は、抽出した映像、音声等のデータであるＰＥＳ（Packetized Elementary Stream）形式のデータについては、映像・音声復号手段８０３に出力し、抽出したデータ放送等のデータであるセクション形式のデータについては、データ放送復号手段８０４に出力する。
【００７０】
このとき、放送信号解析手段８０２は、放送受信手段８０１で復調されたストリームデータから、ＳＩ（番組配列情報）の一つであるＥＩＴの記述子（アプリケーション起動情報記述子）に含まれているアプリケーション起動情報を抽出してもよい。そして、放送信号解析手段８０２は、抽出したアプリケーション起動情報をアプリケーション起動情報記憶手段８０７に書き込み記憶する。さらに、放送信号解析手段８０２は、アプリケーション起動情報を抽出した場合、アプリケーション起動情報が通知された旨（起動情報通知）を、アプリケーションを識別する情報（アプリケーションＩＤ）とともに、アプリケーション管理・実行制御手段８０９に通知する。
なお、このＥＩＴは、例えば、放送局の放送送信装置１０（図１参照）が、アプリケーション起動情報をＥＩＴの記述子領域に埋め込むことで生成される。
【００７１】
＜アプリケーション制御コードの具体例＞
後記するアプリケーションの取得、起動、終了等の制御に関係するため、アプリケーション制御コードについて、具体的に説明する。
前記したように、アプリケーション起動情報記述子には、アプリケーション状態を制御する制御コード（アプリケーション制御コード）が含まれている。
このアプリケーション制御コードは、基本的にはＡＲＩＢ  ＳＴＤ−Ｂ２３で規定されているものと同様である。例えば、“ＡＵＴＯＳＴＡＲＴ”は、放送通信連携受信装置８０において、ユーザの操作によらず、自動で起動するアプリケーションであることを示す。また、“ＰＲＥＳＥＮＴ”は、自動起動するアプリケーションではないことを示す。
また、“ＤＥＳＴＲＯＹ”、“ＫＩＬＬ”は、アプリケーションの終了を指示する制御コードであって、通常終了（例えば、ユーザの確認を行って終了）であるのか、強制終了（例えば、ユーザの確認を行わずに即時終了）であるのかを示す。
【００７２】
このように、このアプリケーション制御コードは、基本的にはＡＲＩＢ  ＳＴＤ−Ｂ２３で規定されているものと同様であるが、ここでは、さらに、“ＫＩＬＬＡＬＬ”を付加している。この“ＫＩＬＬＡＬＬ”は、受信機８０において、現在起動しているすべてのアプリケーションの強制終了を示すものである。
【００７３】
以下、受信機８０の構成について説明を続ける。
映像・音声復号手段８０３は、放送信号解析手段８０２で抽出された映像・音声（映像ストリームおよび音声ストリーム）を復号するものである。この映像・音声復号手段８０３は、映像・音声が例えば、ＭＰＥＧ２の符号化方式によって符号化されている場合、ＭＰＥＧ２の復号を行い表示可能な出力形式の映像・音声データとして、合成表示手段８１５に出力する。
【００７４】
データ放送復号手段８０４は、放送信号解析手段８０２で抽出されたデータ放送のデータを復号するものである。このデータ放送復号手段８０４は、カルーセルを復号し、ＢＭＬを解析し、当該ＢＭＬを表示可能な出力形式に変換するＢＭＬブラウザの機能を有し、変換した表示データ（データ放送データ）を、合成表示手段８１５に出力する。
また、データ放送復号手段８０４は、ＤＳＭ−ＣＣデータカルーセルで送信されたアプリケーション起動情報を抽出してもよい。そして、データ放送復号手段８０４は、抽出したアプリケーション起動情報をアプリケーション起動情報記憶手段８０７に書き込み記憶する。
なお、本実施形態では、データ放送復号手段８０４がＣＲＬ抽出手段８０４ａを備える必要はない。このＣＲＬ抽出手段８０４ａについては、説明を後記する（変形例１参照）。
【００７５】
通信送受信手段８０５は、ネットワークＮを介して、アプリケーション、アプリケーション起動情報等のデータを受信するものである。
アプリケーション起動情報取得手段８０６は、通信送受信手段８０５を介して、Ａアプリケーション及び一般アプリケーションに対応する起動情報を取得するものである。
【００７６】
例えば、アプリケーション起動情報取得手段８０６は、起動時（電源ＯＮ時）に予め定めたサーバ（アプリケーション起動情報サーバ）からアプリケーション起動情報を取得し、取得したアプリケーション起動情報をアプリケーション起動情報記憶手段８０７に書き込み記憶する。あるいは、アプリケーション起動情報取得手段８０６は、ユーザによって、後記する操作制御手段８１４を介して、アプリケーションのリストを表示させる指示（リスト表示指示）が通知された段階で、アプリケーション起動情報を取得することとしてもよい。
【００７７】
アプリケーション起動情報記憶手段８０７は、アプリケーション起動情報を記憶するものであって、メモリ、ハードディスク等の記憶媒体である。ここでは、アプリケーション起動情報記憶手段８０７には、放送信号解析手段８０２によって、抽出されたアプリケーション起動情報が書き込まれる。また、アプリケーション起動情報記憶手段８０７には、アプリケーション起動情報取得手段８０６によって、取得されたアプリケーション起動情報が書き込まれる。
【００７８】
リスト制御手段８０８は、起動可能なアプリケーションのリストの表示およびアプリケーションの選択の制御を行うローンチャー（Launcher）である。
このリスト制御手段８０８は、起動可能なアプリケーションのリストを表示する。つまり、リスト制御手段８０８は、ユーザから操作制御手段８１４を介してリスト表示を指示されることで、アプリケーション起動情報記憶手段８０７に記憶されているアプリケーション起動情報に対応するアプリケーションのリストを生成し、表示データとして、合成表示手段８１５に出力する。
【００７９】
また、リスト制御手段８０８は、表示したアプリケーションのリストにおいて、操作制御手段８１４を介して指示される、ユーザからのリスト選択指示に基づいて、アプリケーションを選択するものである。例えば、リスト制御手段８０８は、操作制御手段８１４を介して、リスト選択指示として、リモコン装置Ｒｉの方向（矢印）ボタン（不図示）の押下信号が通知されることで、複数のアプリケーションのうちで、どのアプリケーションが起動候補として選択されているのかを認識し、決定ボタン（不図示）の押下信号が通知されることで、実際に起動指示が選択されたアプリケーションを認識する。そして、リスト制御手段８０８は、選択されたアプリケーションを識別する番号（アプリケーションＩＤ）を含んだ選択アプリケーション通知をアプリケーション管理・実行制御手段８０９に出力する。
【００８０】
アプリケーション管理・実行制御手段８０９は、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御するものである。
具体的には、アプリケーション管理・実行制御手段８０９は、後記するアプリケーション実行手段８１３からリソース割当要求が入力されると、このリソース割当要求を後記するリソース管理手段８１９に出力（転送）する。
【００８１】
また、アプリケーション管理・実行制御手段８０９は、リソース管理手段８１９からリソース割当要求の応答が入力される。
ここで、リソース割当要求の応答がリソースの割り当てが成功したことを示すリソース割当成功の場合、アプリケーション管理・実行制御手段８０９は、起動中のアプリケーションＩＤに対応づけて、このリソース割当成功をメモリ等に格納されたセキュリティ情報テーブル（不図示）に書き込む。
一方、リソース割当要求の応答がリソースの割り当てが失敗したことを示すリソース割当失敗の場合、アプリケーション管理・実行制御手段８０９は、起動中のアプリケーションＩＤに対応づけて、このリソース割当失敗をセキュリティ情報テーブルに書き込む。
【００８２】
また、アプリケーション管理・実行制御手段８０９は、後記するアプリケーション認証手段８１７から認証結果が入力される。この認証結果は、署名を検証したアプリケーションのＩＤと、Ａアプリケーションまたは一般アプリケーションを示すフラグ等の情報が含まれる。そして、アプリケーション管理・実行制御手段８０９は、入力された認証結果を、起動中のアプリケーションＩＤに対応づけてセキュリティ情報テーブルに書き込む。
これによって、アプリケーション管理・実行制御手段８０９は、起動中のアプリケーションに対するリソースの割り当ての成否、割り当てられたリソース、および、認証結果を記憶、管理することができる。
【００８３】
ここで、アプリケーション管理・実行制御手段８０９は、起動制御手段８０９ａと、終了制御手段８０９ｂと、蓄積管理手段８０９ｃとを備えている。
起動制御手段８０９ａは、アプリケーション取得手段８１１が取得したアプリケーションの起動を制御するものである。
具体的には、起動制御手段８０９ａは、放送信号解析手段８０２から起動情報通知が通知された際、アプリケーション起動情報記憶手段８０７に記憶されている、起動情報通知とともに通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コードが“ＡＵＴＯＳＴＡＲＴ”の場合、アプリケーションを起動させる。
すなわち、起動制御手段８０９ａは、アプリケーション制御コードが“ＡＵＴＯＳＴＡＲＴ”の場合、アプリケーション実行手段８１３に当該アプリケーションを実行する旨（起動制御指示）を通知する。この起動制御指示には、アプリケーション起動情報に記述されているアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）が含まれる。これによって、アプリケーションがユーザの操作によらず、自動起動されることになる。
【００８４】
また、起動制御手段８０９ａは、リスト制御手段８０８から、選択アプリケーション通知が通知された際には、アプリケーション制御コードの値によらず、アプリケーション実行手段８１３に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、ユーザがリストから選択したアプリケーションが起動されることになる。
【００８５】
なお、起動制御手段８０９ａは、起動中のアプリケーションを識別情報（アプリケーションＩＤ）で管理し、起動アプリケーション識別情報記憶手段８１０に起動中のアプリケーションＩＤを書き込むこととする。
【００８６】
終了制御手段８０９ｂは、起動中のアプリケーションの終了制御を行うものである。
具体的には、終了制御手段８０９ｂは、放送信号解析手段８０２から起動情報通知が通知された際、アプリケーション起動情報記憶手段８０７に記憶されている、起動情報通知とともに通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コードが“ＤＥＳＴＲＯＹ”、“ＫＩＬＬ”または“ＫＩＬＬＡＬＬ”の場合にアプリケーションを終了させる。
【００８７】
このアプリケーション制御コードが“ＤＥＳＴＲＯＹ”の場合、終了制御手段８０９ｂは、通知されたアプリケーションＩＤに対応するアプリケーションを通常終了させる旨、アプリケーション実行手段８１３に指示する。また、アプリケーション制御コードが“ＫＩＬＬ”の場合、終了制御手段８０９ｂは、通知されたアプリケーションＩＤに対応するアプリケーションを強制終了させる旨、アプリケーション実行手段８１３に指示する。
【００８８】
また、アプリケーション制御コードが“ＫＩＬＬＡＬＬ”の場合、終了制御手段８０９ｂは、起動アプリケーション識別情報記憶手段８１０を参照し、現在起動しているすべてのアプリケーションを強制終了させる。
これによって、例えば、緊急警報放送や緊急地震速報といった緊急に視聴者に通知したい内容を放送したい場合、放送事業者は、“ＫＩＬＬＡＬＬ”をアプリケーション制御に記述したアプリケーション起動情報を、受信機８０に通知することで、緊急時において、表示画面等のリソースを優先的に使用することができる。
【００８９】
蓄積管理手段８０９ｃは、受信機８０内（具体的には、アプリケーション記憶手段８１２）にアプリケーションを予め蓄積（インストール）する制御を行うものである。
具体的には、蓄積管理手段８０９ｃは、リスト制御手段８０８から、起動可能なアプリケーションのリストの中で、ユーザが選択した選択アプリケーションを特定する情報（アプリケーションＩＤ）とともに、アプリケーション記憶手段８１２にアプリケーションを蓄積させる旨を通知された場合に、アプリケーション起動情報に記述されているアプリケーションの所在からそのアプリケーションを取得し、アプリケーション記憶手段８１２に書き込む旨（アプリケーション取得指示）を、アプリケーション取得手段８１１に通知する。
これによって、アプリケーション記憶手段８１２には、ユーザが選択したアプリケーションが蓄積される。
【００９０】
なお、蓄積管理手段８０９ｃは、アプリケーションをアプリケーション記憶手段８１２に蓄積（インストール）した場合、アプリケーション起動情報記憶手段８０７に記憶されている当該アプリケーションに対応するアプリケーション起動情報において、アプリケーションの所在（アドレス）を、アプリケーション記憶手段８１２のアドレスを参照するように更新する。
例えば、蓄積管理手段８０９ｃは、アプリケーション起動情報の“ｈｔｔｐ：／／〜”と記載してあるアプリケーションのアドレス表記を、アプリケーション記憶手段８１２内のローカルなアドレス（アプリケーション記憶手段８１２内のアドレス）を示すように“ｆｉｌｅ：／／／〜”等に変換する。もちろん、アプリケーション起動情報を直接変更せずに、当該アプリケーション起動情報のアドレスを読み替えて参照するような変換規則を、アプリケーション起動情報に対応付けて別途記述しておくこととしてもよい。
【００９１】
また、蓄積管理手段８０９ｃは、アプリケーションをアプリケーション記憶手段８１２に蓄積（インストール）した場合、アプリケーション起動情報記憶手段８０７にアプリケーションが蓄積されている旨の状態を書き込み管理することとする。
一方、蓄積管理手段８０９ｃは、ユーザの指示に応じて、蓄積したアプリケーションを削除する。すなわち、アプリケーション記憶手段８１２に記憶されているアプリケーションは、蓄積管理手段８０９ｃ内の蓄積アプリケーションリスト表示手段（不図示）によってリスト表示され、アプリケーション選択削除手段（不図示）によって、ユーザからの選択により、アプリケーション記憶手段８１２から削除される。このとき、アプリケーション選択削除手段（不図示）は、アプリケーション起動情報記憶手段８０７において、対応するアプリケーション蓄積状態を“未蓄積”とする。
【００９２】
起動アプリケーション識別情報記憶手段８１０は、起動中のアプリケーションの識別情報（アプリケーションＩＤ）を記憶するものであって、半導体メモリ等の記憶媒体である。この起動アプリケーション識別情報記憶手段８１０は、起動制御手段８０９ａによって、アプリケーションが起動された際にアプリケーションＩＤが書き込まれ、終了制御手段８０９ｂによって、アプリケーションが終了する際に削除される。
【００９３】
アプリケーション取得手段８１１は、通信送受信手段８０５を介して、アプリケーションサーバ５０に記憶されたアプリケーションを取得するものである。
このアプリケーション取得手段８１１は、起動制御手段８０９ａからアプリケーション取得指示を通知された場合、当該指示で通知されるアプリケーションの所在（アドレス）から、指定されたアプリケーションを取得し、その取得したアプリケーションをアプリケーション実行手段８１３に出力する。
また、アプリケーション取得手段８１１は、蓄積管理手段８０９ｃからアプリケーション取得指示を通知された場合、当該指示で通知されるアプリケーションの所在（アドレス）から、指定されたアプリケーションを取得し、その取得したアプリケーションを蓄積管理手段８０９ｃに書き込み蓄積する。
【００９４】
また、アプリケーション取得手段８１１は、アプリケーションを取得したとき、Ａアプリケーションまたは一般アプリケーションの何れであるかの認証（判定）を指示する認証指示を、アプリケーション認証手段８１７に出力する。
これによって、受信機８０は、アプリケーション認証の回数を低減でき、受信機８０の処理負荷を軽減することができる。
アプリケーション取得手段８１１が出力した認証指示は、図６には「認証指示１」と図示した。なお、「認証指示２」については、説明を後記する。
【００９５】
アプリケーション記憶手段８１２は、アプリケーション取得手段８１１で取得されたアプリケーションを記憶するもので、ハードディスク等の記憶媒体である。このアプリケーション記憶手段８１２に記憶されているアプリケーションは、アプリケーション実行手段８１３によって読み出され、実行される。
なお、アプリケーション記憶手段８１２に記憶されているアプリケーションは、検証用情報（例えば、アプリケーションＩＤ、事業者ＩＤ、署名、証明書）と、署名元メッセージとが付加されている。
【００９６】
アプリケーション実行手段８１３は、アプリケーション管理・実行制御手段８０９からの指示（起動制御指示）に基づいて、アプリケーションの起動および終了を行うものである。
このアプリケーション実行手段８１３は、起動制御手段８０９ａから通知されるアプリケーションを実行する旨が指示された場合、起動制御指示に含まれるアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）に基づいて、アプリケーションおよびアプリケーションを実行する際に必要となるデータ（例えば、メタデータ、アイコンデータ等）をアプリケーションの取得元から取得する。
そして、アプリケーション実行手段８１３は、図示を省略したメモリにアプリケーションを展開（ロード）し、アプリケーションを実行させる。
なお、アプリケーション実行手段８１３は、起動制御指示に含まれるアプリケーションの取得元が、“ｆｉｌｅ：／／／〜”のようにローカルディスク（アプリケーション記憶手段８１２）のアドレスである場合、アプリケーション記憶手段８１２からアプリケーションを読み出し実行する。また、アプリケーション実行手段８１３は、起動制御指示に含まれるアプリケーションの取得元が、“ｈｔｔｐ：／／〜”のようにネットワーク上のアドレスである場合、アプリケーション取得手段８１１に当該アプリケーションの取得を指示（アプリケーション取得指示）し、アプリケーションを取得して実行する。
このアプリケーションの実行に伴う画像や音声のデータは、合成表示手段８１５に出力される。
また、アプリケーション実行手段８１３は、終了制御手段８０９ｂから通知されるアプリケーションを終了する旨が指示された場合、指示されたアプリケーションを終了させる。
【００９７】
ここで、アプリケーション実行手段８１３は、起動中のアプリケーションがリソースにアクセスするＡＰＩ（Application Program Interface）を呼び出した場合、アプリケーション管理・実行制御手段８０９を介して、リソース割当要求をリソース管理手段８１９に出力する。
このリソース割当要求は、リソースの割り当てを要求するものであり、例えば、起動中のアプリケーションが呼び出したＡＰＩ名が含まれている。
【００９８】
また、アプリケーション実行手段８１３は、リソース管理手段８１９からリソース割当要求の応答が入力される。
ここで、リソース割当要求の応答がリソース割当成功の場合、アプリケーション実行手段８１３は、ＡＰＩを呼び出して、リソース管理手段８１９によって割り当てられたリソースを使用する。
一方、リソース割当要求の応答がリソース割当失敗の場合、アプリケーション実行手段８１３は、例えば、セキュリティ関係の例外処理、アプリケーションを終了する等のアプリケーションごとに任意の処理を行う。
【００９９】
ここで、アプリケーション実行手段８１３は、終了制御手段８０９ｂから通常終了あるいは強制終了であるかを、例えば、割り込み信号等によって起動中のアプリケーションに通知し、アプリケーションを終了させる。
【０１００】
なお、アプリケーション実行手段８１３は、アプリケーション管理・実行制御手段８０９を介して、リソース割当要求をリソース管理手段８１９に出力することとして説明したが、これに限定されない。具体的には、アプリケーション実行手段８１３は、リソース割当要求をリソース管理手段８１９に直接出力してもよい（不図示）。
【０１０１】
操作制御手段８１４は、外部のリモコン装置Ｒｉ等の入力手段を介して、受信機８０に対するユーザの操作（例えば、チャンネル変更等）を制御するものである。
この操作制御手段８１４は、リモコン装置Ｒｉを介してユーザからチャンネルの変更が指示された場合、選択されたチャンネルのチャンネル番号を含んだチャンネル切替指示を放送信号解析手段８０２に通知する。これによって、現在視聴中のチャンネルが選局されることになる。
【０１０２】
合成表示手段８１５は、映像・音声を合成して表示するものである。この合成表示手段８１５は、映像・音声復号手段８０３で復号された映像データ・音声データ、データ放送復号手段８０４で復号されたデータ放送の表示データ、リスト制御手段８０８で生成されたリストの表示データおよびアプリケーション実行手段８１３で生成されたアプリケーションの表示データをそれぞれ合成して表示する。
なお、合成表示手段８１５は、合成した音声については、音声信号として外部に接続されたスピーカ等の音声出力装置Ｓｐに出力し、合成した映像（画像）については、映像信号として外部に接続された液晶ディスプレイ等の映像表示装置Ｍｏに出力する。
【０１０３】
セキュリティ管理手段８１６は、受信機８０のセキュリティを管理するものであり、アプリケーション認証手段（アプリケーション判定手段）８１７と、リソースアクセス制御手段８１８とを備える。
【０１０４】
アプリケーション認証手段（アプリケーション判定手段）８１７は、アプリケーション取得手段８１１から入力された認証指示に応じて、アプリケーション取得手段８１１が取得したアプリケーションの提供元が正当であるか否かを、検証用情報に基づいて認証（判定）ものである。そして、アプリケーション認証手段８１７は、アプリケーションの提供元が正当な場合、このアプリケーションをＡアプリケーションと認証（判定）し、アプリケーション提供元が正当でない場合、このアプリケーションを一般アプリケーションと認証（判定）する（アプリケーション認証）。
【０１０５】
＜アプリケーション認証の具体例＞
以下、アプリケーション認証の具体例について説明する。
図６に示すように、アプリケーション認証手段８１７は、検証用情報管理手段（記憶手段）８１７ａと、証明書確認手段８１７ｂと、署名検証手段８１７ｃとを備える。
【０１０６】
アプリケーション認証手段８１７は、認証指示が入力されると、アプリケーション記憶手段８１２から検証用情報及び署名元メッセージを抽出して、検証用情報管理手段８１７ａに書き込む。
検証用情報管理手段８１７ａは、検証用情報（例えば、アプリケーションＩＤ、事業者ＩＤ、署名、証明書）と、署名元メッセージとを記憶、管理するものである。
【０１０７】
証明書確認手段８１７ｂは、検証用情報管理手段８１７ａに記憶された証明書が有効であるか否かを確認するものである。具体的には、証明書確認手段８１７ｂは、通信送受信手段８０５を介して、検証用情報の事業者ＩＤが含まれる証明書問合をＣＡ局３０に出力する。すると、証明書確認手段８１７ｂは、この証明書問合に応じて、ＣＡ局３０から、証明書が有効又は無効であるかを示す問合結果が入力される。
【０１０８】
ここで、問合結果が有効の場合、証明書確認手段８１７ｂは、署名検証手段８１７ｃに署名の検証を指示（署名検証指示）する。
一方、問合結果が無効の場合、証明書確認手段８１７ｂは、アプリケーションの提供元が正当でない（一般アプリケーション）と認証（判定）する。そして、証明書確認手段８１７ｂは、その認証結果を、アプリケーション管理・実行制御手段８０９及びリソースアクセス制御手段８１８に出力する。
なお、証明書確認手段８１７ｂは、アプリケーションに証明書が添付されていない場合も同様の処理を行う。
【０１０９】
署名検証手段８１７ｃは、検証用情報管理手段８１７ａに記憶された署名が正当であるか否かを検証するものである。ここで、署名検証手段８１７ｃは、証明書確認手段８１７ｂから署名検証指示が入力されると、証明書の検証鍵を用いて、署名が正当であるか否かを検証する。
【０１１０】
すなわち、署名検証手段８１７ｃは、署名元メッセージに署名検証アルゴリズムを適用して、アプリケーションに付加された署名を検証する（式（２）参照）。この式（２）では、Ｖｅｒｉｆｙ＿Ｋｐが検証鍵（公開鍵）を使用した署名検証である。
Ｖｅｒｉｆｙ＿Ｋｐ（Ｍｅｓ，Ｓｉｇ）＜＝＞１・・・式（２）
【０１１１】
ここで、Ｖｅｒｉｆｙの結果が１である場合、署名が正当なので、署名検証手段８１７ｃは、アプリケーションの提供元が正当（Ａアプリケーション）と認証（判定）する。
一方、Ｖｅｒｉｆｙの結果が１でない場合、署名が正当でないので、署名検証手段８１７ｃは、アプリケーションの提供元が正当でない（一般アプリケーション）と認証（判定）する。
【０１１２】
そして、アプリケーション認証手段８１７は、署名を検証したアプリケーションのＩＤと、アプリケーションの提供元が正当であるか否かを示す情報を認証結果として、アプリケーション管理・実行制御手段８０９及びリソースアクセス制御手段８１８に出力する。
この認証結果は、例えば、０：提供元が正当なアプリケーション（Ａアプリケーション）を示し、１：提供元が正当でないアプリケーション（一般アプリケーション）を示すフラグである。
【０１１３】
リソースアクセス制御手段８１８は、アプリケーション取得手段８１１が取得したアプリケーションの提供元が正当でない（一般アプリケーション）場合、このアプリケーションに対して、リソースアクセス制御を行うものである。本実施形態では、リソースアクセス制御手段８１８は、予め設定されたリソースアクセス制御テーブルに基づいて、リソースアクセス制御を行う。
【０１１４】
＜リソースアクセス制御＞
図７を参照して、リソースアクセス制御手段８１８によるリソースアクセス制御を具体的に説明する（適宜図６参照）。
このリソースアクセス制御テーブルは、Ａアプリケーション及び一般アプリケーションのそれぞれが、アクセスできるリソースとアクセスできないリソースとを予め設定したテーブルである。また、リソースアクセス制御テーブルは、図７に示すように、ＡＰＩ識別子と、ＡＰＩ名と、リソース種類と、アクセス権限というデータ項目を有する。
【０１１５】
ＡＰＩ識別子は、リソースにアクセスするＡＰＩを一意に識別する識別子である。
ＡＰＩ名は、そのリソースにアクセスするＡＰＩの名称である。
リソース種別は、そのＡＰＩがアクセスするリソースを示す情報である。
アクセス権限は、Ａアプリケーション及び一般アプリケーションのそれぞれが、そのリソースにアクセスできるか否かを示す。
【０１１６】
このリソースは、アプリケーションの動作に必要となるコンテンツ要素及び受信機資源であり、例えば、放送リソース、通信リソース、受信機リソースがある。
この放送リソースは、放送波Ｗで扱われるリソースであり、例えば、映像、音声、字幕、ＰＳＩ（Program Specific Information）／ＳＩ（Service Information）をあげることができる。
また、通信リソースは、ネットワークＮで扱われるリソースであり、例えば、ＴＣＰ（Transmission Control Protocol）、ＵＤＰ（User Datagram Protocol）をあげることができる。
さらに、受信機リソースは、受信機８０のソフトウェア及びハードウェアに関するリソースであり、例えば、映像・音声出力処理、選局処理、メモリ、ストレージをあげることができる。
【０１１７】
図７のリソースアクセス制御テーブルでは、リソースごとに、そのリソースにアクセスする専用のＡＰＩが規定されている。この例では、リソース「映像」にアクセスするＡＰＩが「ｓｕｂＡ（）」であり、リソース「音声」にアクセスするＡＰＩが「ｓｕｂＢ（）」であり、リソース「字幕」にアクセスするＡＰＩが「ｓｕｂＣ（）」であり、リソース「メモリ」にアクセスするＡＰＩが「ｓｕｂＤ（）」である。
【０１１８】
また、このリソースアクセス制御テーブルでは、Ａアプリケーションが、「映像」、「音声」、「字幕」等の放送リソースのアクセス権限（Ａアプリのアクセス権限）が「○」であるため、これらリソースにアクセスできることを示す。さらに、このリソースアクセス制御テーブルでは、Ａアプリケーションが、放送リソースと同様、「メモリ」等の受信機リソースにもアクセスできることを示す。
【０１１９】
さらに、このリソースアクセス制御テーブルでは、一般アプリケーションが、「映像」、「音声」、「字幕」等の放送リソースのアクセス権限（一般アプリのアクセス権限）が「×」であるため、これらリソースにアクセスできないことを示す。一方、このリソースアクセス制御テーブルでは、一般アプリケーションであっても、「メモリ」等の受信機リソースにアクセスできることを示す。
【０１２０】
つまり、図７のリソースアクセス制御テーブルは、Ａアプリケーションが、一般アプリケーションに比べて、幅広いリソースにアクセスできるように設定されている。言い換えるなら、このリソースアクセス制御テーブルでは、一般アプリケーションが、安全性や放送の公共性の観点から、放送リソース等のリソースにアクセスできないように設定されている。
【０１２１】
ここで、放送局等の権限を有する者が、このリソースアクセス制御テーブルを作成して、放送波Ｗ又はネットワークＮを介して受信機８０に送信して、受信機８０に記憶されることとしてもよい。これによって、受信機８０では、放送局により、一般アプリケーションがアクセスできるリソースを管理でき、メンテナンス性が向上する。
【０１２２】
なお、リソースアクセス制御テーブルは、図７の例に限定されない。例えば、リソースアクセス制御テーブルには、放送リソースや受信機リソース以外のリソース（例えば、「ＴＣＰ」等の通信リソース）を設定することもできる。
【０１２３】
リソースアクセス制御手段８１８は、アプリケーション認証手段８１７から認証結果が入力される。そして、リソースアクセス制御手段８１８は、リソース管理手段８１９からリソース割当可否問合が入力されると、このリソース割当可否問合に応じて、リソースの割り当てが可能であるか否かを判定する。
【０１２４】
具体的には、認証結果（判定結果）がＡアプリケーションの場合、リソースアクセス制御手段８１８は、リソース割当可否問合に含まれるＡＰＩ名をリソースアクセス制御テーブルの検索キーとして、Ａアプリケーションのアクセス権限を検索して、リソースの割り当ての可否を判定する。例えば、Ａアプリケーションが「ｓｕｂＡ（）」を呼び出した場合、リソースアクセス制御手段８１８は、リソース「映像」のアクセス権限が「○」のため、リソースの割り当てが可能と判定する。そして、リソースアクセス制御手段８１８は、リソースの割り当てが可能であることを示すリソース割当可能を、リソース管理手段８１９に出力する。
なお、Ａアプリケーションのアクセス権限が「×」の場合、リソースアクセス制御手段８１８は、Ａアプリケーションであっても、そのリソースにアクセスすることを禁止する。
【０１２５】
一方、認証結果（判定結果）が一般アプリケーションの場合、リソースアクセス制御手段８１８は、リソース割当可否問合に含まれるＡＰＩ名をリソースアクセス制御テーブルの検索キーとして、一般アプリケーションのアクセス権限を検索して、リソースの割り当ての可否を判定する。例えば、一般アプリケーションが「ｓｕｂＡ（）」を呼び出した場合、リソースアクセス制御手段８１８は、リソース「映像」のアクセス権限が「×」のため、リソースの割り当てが不可と判定する。また、一般アプリケーションが「ｓｕｂＤ（）」を呼び出した場合、リソースアクセス制御手段８１８は、リソース「メモリ」のアクセス権限が「○」のため、リソースの割り当てが可能と判定する。その後、リソースアクセス制御手段８１８は、この判定結果に基づいて、リソースの割り当てが不可であることを示すリソース割当不可、または、リソース割当可能の何れかを、リソース管理手段８１９に出力する。
【０１２６】
図６に戻り、受信機８０の構成について説明を続ける。
リソース管理手段８１９は、各種リソースを管理するものである。ここで、リソース管理手段８１９は、アプリケーション実行手段８１３からリソース割当要求が入力されると、このリソース割当要求に応じて、リソース割当可否問合をリソースアクセス制御手段８１８に出力する。
このリソース割当可否問合は、リソースの割り当て可否をリソースアクセス制御手段８１８に問い合わせるものであり、例えば、リソース割当要求に格納されたＡＰＩ名が含まれることとする。
【０１２７】
また、リソース管理手段８１９は、リソースアクセス制御手段８１８からリソース割当可否問合の応答が入力される。
ここで、リソース管理手段８１９は、このリソース割当可否問合の応答がリソース割当可能の場合、起動中のアプリケーションにリソースを割り当てる。そして、リソース管理手段８１９は、リソースの割り当てが成功したことを示すリソース割当成功を、アプリケーション管理・実行制御手段８０９及びアプリケーション実行手段８１３に出力する。
一方、リソース管理手段８１９は、このリソース割当可否問合の応答がリソース割当不可の場合、リソースの割り当てが失敗したことを示すリソース割当失敗を、アプリケーション管理・実行制御手段８０９及びアプリケーション実行手段８１３に出力する。
【０１２８】
［放送通信連携システムの動作：Ａアプリケーション］
受信機８０がＡアプリケーションを起動するケース（図８）、及び、受信機８０が一般アプリケーションを起動するケース（図９）を、図１の放送通信連携システム１の動作として説明する。
【０１２９】
図８に示すように、放送通信連携システム１は、署名鍵発行装置２０によって、署名鍵（秘密鍵）と、この署名鍵に対応する検証鍵（公開鍵）とを発行する。ここで、署名鍵発行装置２０は、例えば、ＤＳＡ署名、ＲＳＡ署名、楕円曲線を用いた署名等の一般的な署名方式により、署名鍵及び検証鍵を生成し、発行する（ステップＳ１）。
【０１３０】
放送通信連携システム１は、署名鍵発行装置２０によって、生成した検証鍵をＣＡ局３０に配布すると共に（ステップＳ２）、生成した署名鍵をアプリケーション登録装置７０に配布する（ステップＳ３）。
【０１３１】
放送通信連携システム１は、アプリＩＤ・事業者ＩＤ生成装置６０によって、アプリケーションＩＤ及び事業者ＩＤを生成する（ステップＳ４）。そして、放送通信連携システム１は、アプリＩＤ・事業者ＩＤ生成装置６０によって、生成したアプリケーションＩＤ及び事業者ＩＤを、アプリケーション登録装置７０に出力する(ステップＳ５)。
【０１３２】
放送通信連携システム１は、ＣＡ局３０によって、署名鍵発行装置２０からの検証鍵が含まれる証明書を生成する（ステップＳ６）。そして、放送通信連携システム１は、ＣＡ局３０によって、この証明書をアプリケーション登録装置７０に出力する(ステップＳ７)。
【０１３３】
放送通信連携システム１は、アプリケーション登録装置７０によって、署名鍵発行装置２０から入力された署名鍵を用いて、署名を生成する。ここで、アプリケーション登録装置７０は、この署名鍵を用いて、署名元メッセージに署名アルゴリズム（例えば、ＤＳＡ署名）を適用して署名を生成する（ステップＳ８）。
【０１３４】
放送通信連携システム１は、アプリケーション登録装置７０によって、アプリケーションＩＤと、事業者ＩＤと、署名と、証明書とを、検証用情報としてアプリケーションに付加する（ステップＳ９）。そして、放送通信連携システム１は、アプリケーション登録装置７０によって、検証用情報が付加されたＡアプリケーションをアプリケーションサーバ５０Ｂに出力し、アプリケーションサーバ５０Ｂによって、Ａアプリケーションとして、記憶、管理される（ステップＳ１０）。
【０１３５】
放送通信連携システム１は、受信機８０によって、アプリケーションサーバ５０ＢにＡアプリケーションを要求する（ステップＳ１１）。そして、放送通信連携システム１は、受信機８０によって、要求したＡアプリケーションをアプリケーションサーバ５０Ｂから取得する（ステップＳ１２）。
【０１３６】
放送通信連携システム１は、受信機８０によって、証明書が有効であるか否かをＣＡ局３０に問い合わせる（ステップＳ１３）。そして、放送通信連携システム１は、ＣＡ局３０によって、その問合結果を受信機８０に出力する（ステップＳ１４）。
【０１３７】
放送通信連携システム１は、受信機８０によって、アプリケーションの提供元が正当であるか否かを検証する。つまり、受信機８０は、ＣＡ局３０からの問合結果に基づいて証明書の有効性を確認する共に、署名の正当性を検証する（ステップＳ１５）。
ここでは、証明書が有効で、かつ、署名が正当のため、放送通信連携システム１は、受信機８０によって、取得したアプリケーションをＡアプリケーションとして起動する（ステップＳ１６）。
【０１３８】
［放送通信連携システムの動作：一般アプリケーション］
図９に示すように、放送通信連携システム１は、一般アプリケーションをアプリケーションサーバ５０Ａに要求する（ステップＳ１１´）。そして、放送通信連携システム１は、受信機８０によって、要求した一般アプリケーションをアプリケーションサーバ５０Ａから取得する（ステップＳ１２´）。
【０１３９】
放送通信連携システム１は、受信機８０によって、アプリケーションの提供元が正当であるか否かを検証する（ステップＳ１５´）。ここでは、アプリケーションに証明書が付加されていないため、放送通信連携システム１は、受信機８０によって、取得したアプリケーションを一般アプリケーションとして起動する（ステップＳ１６´）。
なお、以後の実施形態では、アプリケーションの提供元が正当でない場合、図９と同様の動作となるため、詳細な説明を省略する。
【０１４０】
以上のように、本発明の第１実施形態に係る受信機８０は、放送局等の提供元が正当なアプリケーションだけでなく、サービス事業者等の提供元が正当でないアプリケーションも取得できると共に、提供元が正当でないアプリケーションに対して、予め定められたリソースへのアクセスを禁止する。つまり、受信機８０は、提供元が正当でないアプリケーションに対して、無制限なリソースアクセスを禁止することができる。
【０１４１】
また、受信機８０は、不正が困難な署名及び証明書を用いるため、安全性をより向上させることができる。これによって、受信機８０では、例えば、サービス事業者Ａが制作したアプリケーション（一般アプリケーション）が、サービス事業者Ｂが制作したアプリケーション（Ａアプリケーション）になりすまして、リソースにアクセスすることを防止できる。
【０１４２】
なお、本実施形態では、アプリケーション取得時にアプリケーション認証を行うこととして説明したが、本発明は、アプリケーション起動時にアプリケーション認証を行うこともできる。この場合、起動制御手段８０９ａがアプリケーションを起動する都度、認証指示がアプリケーション認証手段８１７に出力されて（図７の「認証指示２」）、アプリケーション認証が行われることになり、安全性がより向上する。
このように、アプリケーション取得時またはアプリケーション起動時の何れかのタイミングで署名を検証すればよいので、受信機８０の設計自由度を向上させることができる。
【０１４３】
なお、本実施形態では、Ａアプリケーション及び一般アプリケーションを制作するサービス事業者をそれぞれ１つとして説明したが、複数であってもよい。また、同一のサービス事業者がＡアプリケーション及び一般アプリケーションの両方を制作してもよい。さらに、放送局がサービス事業者として、アプリケーションを制作してもよい。
【０１４４】
（変形例１）
［放送通信連携システムの構成］
図１に戻り、本発明の変形例１に係る放送通信連携システム１について、第１実施形態と異なる点を説明する。
この放送通信連携システム１では、ＣＡ局３０が失効リスト（ＣＲＬ：Certificate Revocation List）を発行すると共に、受信機８０が証明書の有効性を失効リストに基づいて確認する点が、第１実施形態と異なる。
【０１４５】
ＣＡ局３０は、サービス事業者ごとの証明書（事業者ＩＤに対応付けた証明書を生成する。そして、ＣＡ局３０は、生成した証明書を、オンライン又はオフラインで受信機８０に送信する。
【０１４６】
また、ＣＡ局３０は、失効した証明書の一覧である失効リストを生成する。例えば、サービス事業者Ｂが信頼できなくなった場合、放送局は、サービス事業者Ｂの証明書を失効させたい旨、ＣＡ局３０に指示する。すると、ＣＡ局３０は、サービス事業者Ｂの事業者ＩＤが格納された失効リストを生成する。
【０１４７】
この失効リストは、放送波Ｗ又はネットワークＮを介して、受信機８０に送信することができる。なお、放送波Ｗ又はネットワークＮの何れで失効リストを送信するかは、例えば、放送局等によって予め決定される。
【０１４８】
ここで、放送波Ｗで失効リストを送信する場合、ＣＡ局３０は、この失効リストを放送送信装置１０に出力する。この場合、放送送信装置１０は、例えば、ＣＡ局３０から入力された失効リストを、ＤＳＭ−ＣＣデータカルーセルにより受信機８０に送信する（図１の「ＣＲＬ１」）。
【０１４９】
一方、ネットワークＮで失効リストを送信する場合、ＣＡ局３０は、この失効リストをアプリケーション登録装置７０に出力する。この場合、アプリケーション登録装置７０は、ＣＡ局３０から入力された失効リストをアプリケーションに付加して、アプリケーションサーバ５０Ｂに出力する。そして、受信機８０は、アプリケーションサーバ５０Ｂから、このアプリケーションと共に失効リストを取得する（図１の「ＣＲＬ２」）。
【０１５０】
［アプリケーション登録装置の構成］
図５を参照して、アプリケーション登録装置７０の構成について説明する（適宜図１参照）。
【０１５１】
署名鍵入力手段７０３は、署名鍵発行装置２０から、サービス事業者Ｂの署名鍵が入力される。また、署名鍵入力手段７０３は、ＣＡ局３０から、サービス事業者Ｂの検証鍵が含まれる証明書と、失効リストとが入力される。そして、署名鍵入力手段７０３は、入力された署名鍵、証明書及び失効リストを、署名生成手段７０４に出力する。
【０１５２】
署名生成手段７０４は、署名鍵入力手段７０３から署名鍵、証明書及び失効リストが入力され、この署名鍵を用いて、署名を生成するものである。そして、署名生成手段７０４は、生成した署名と、証明書と、失効リストとを検証用情報付加手段７０５に出力する。
なお、署名の生成方法は、第１実施形態と同様のため、詳細な説明を省略する。
【０１５３】
検証用情報付加手段７０５は、アプリケーションＩＤ・事業者ＩＤ付加手段７０２から入力されたアプリケーションに、署名生成手段７０４から入力された署名鍵、証明書及び失効リストを付加するものである。そして、検証用情報付加手段７０５は、このアプリケーションをアプリケーション出力手段７０６に出力する。すなわち、検証用情報付加手段７０５が出力するアプリケーションには、アプリケーションＩＤと、事業者ＩＤと、署名と、証明書と、失効リストとが検証用情報として付加されることになる。
【０１５４】
［受信機の構成］
図６を参照して、受信機８０の構成について説明する（適宜図１参照）。
図６に示すように、受信機８０は、ＣＲＬ抽出手段８０４ａをさらに備える。
ここで、受信機８０は、事業者ＩＤに対応付けられた証明書が予め配布され、この証明書を検証用情報管理手段８１７ａが記憶、管理していることとする。
【０１５５】
ＣＲＬ抽出手段８０４ａは、ＤＳＭ−ＣＣデータカルーセルで送信された失効リストを抽出する。そして、ＣＲＬ抽出手段８０４ａは、抽出した失効リストを、検証用情報管理手段８１７ａに書き込む。
アプリケーション認証手段８１７は、認証指示が入力されると、アプリケーション記憶手段８１２から、アプリケーションに付加されている失効リストを抽出して、検証用情報管理手段８１７ａに書き込む。
【０１５６】
証明書確認手段８１７ｂは、検証用情報管理手段８１７ａの失効リストに基づいて、検証用情報管理手段８１７ａの証明書が有効であるか否かを確認する。具体的には、証明書確認手段８１７ｂは、検証用情報管理手段８１７ａに記憶された事業者ＩＤと失効リストとを読み出す。また、証明書確認手段８１７ｂは、読み出した事業者ＩＤに対応するサービス事業者の証明書を、検証用情報管理手段８１７ａから読み出す。そして、証明書確認手段８１７ｂは、読み出した証明書の事業者ＩＤが失効リストに含まれているか否かを確認する。
【０１５７】
ここで、事業者ＩＤが失効リストに含まれない場合（証明書が有効の場合）、証明書確認手段８１７ｂは、その証明書に含まれる検証鍵を用いて、署名検証手段８１７ｃに署名の検証を指示（署名検証指示）する。
【０１５８】
一方、事業者ＩＤが失効リストに含まれる場合（証明書が無効の場合）、証明書確認手段８１７ｂは、アプリケーションの提供元が正当でない（一般アプリケーション）と認証（判定）する。そして、証明書確認手段８１７ｂは、その認証結果を、アプリケーション管理・実行制御手段８０９及びリソースアクセス制御手段８１８に出力する。
このようにして、受信機８０は、失効リストに基づいて証明書の有効性を確認することができる。
【０１５９】
［放送通信連携システムの動作］
図１０を参照して、本発明の変形例１に係る放送通信連携システム１の動作について説明する（適宜図１参照）。
なお、以後の説明において、ステップＳ１〜ステップＳ６の処理は、図８の各ステップと同様の処理のため、詳細な説明を省略する。
【０１６０】
放送通信連携システム１は、ＣＡ局３０によって、生成した証明書を受信機８０に配布する(ステップＳ２１)。また、放送通信連携システム１は、ＣＡ局３０によって、失効リストを生成する(ステップＳ２２)。
【０１６１】
放送波Ｗで失効リストを送信する場合、放送通信連携システム１は、ＣＡ局３０によって、この失効リストを放送送信装置１０に出力する（ステップＳ２３）。そして、放送通信連携システム１は、放送送信装置１０によって、失効リストをＤＳＭ−ＣＣデータカルーセルで受信機８０に送信する（ステップＳ２４）。
【０１６２】
ネットワークＮで失効リストを送信する場合、放送通信連携システム１は、ＣＡ局３０によって、この失効リストをアプリケーション登録装置７０に出力する（ステップＳ２３´）。
【０１６３】
ステップＳ２５の処理は、図８のステップＳ８と同様の処理のため、詳細な説明を省略する。
放送通信連携システム１は、アプリケーション登録装置７０によって、アプリケーションＩＤと、事業者ＩＤと、署名と、失効リストとを、検証用情報としてアプリケーションに付加する（ステップＳ２６）。
なお、放送波Ｗで失効リストを送信した場合（ステップＳ２３，Ｓ２４）、ステップＳ９の処理では、失効リストを付加しないことは言うまでない。
【０１６４】
ステップＳ２７〜Ｓ２９の処理は、図８のステップＳ１０〜Ｓ１２と同様の処理ため、詳細な説明を省略する。
放送通信連携システム１は、受信機８０によって、アプリケーションの提供元が正当であるか否かを検証する。つまり、受信機８０は、失効リストに基づいて証明書が有効であるか否かを確認する共に、署名が正当であるか否かを検証する（ステップＳ３０）。
ステップＳ３１の処理は、図８のステップＳ１６と同様の処理ため、詳細な説明を省略する。
【０１６５】
以上のように、本発明の変形例１に係る受信機８０は、第１実施形態と同様の効果に加え、失効リストによって証明書を容易に失効させることができる。これによって、本発明の変形例１では、放送通信連携システム１における証明書の管理コストを低減することができる。
【０１６６】
なお、本発明の変形例１では、放送波Ｗ又はネットワークＮの何れか一方で失効リストを送信することとしたが、両方で失効リストを送信してもよい。つまり、受信機８０は、ネットワークＮを介して、アプリケーションに付加された失効リストを取得すると共に、放送波Ｗで送信された失効リストも取得する。この場合、ネットワークＮで取得した失効リストよりも、放送波Ｗで取得した失効リストの方が新しい。従って、受信機８０は、放送波Ｗで取得した失効リストに基づいて、証明書の有効性を確認する。
【０１６７】
（第２実施形態）
図１１を参照して、本発明の第２実施形態に係る放送通信連携システム１（以後、「放送通信連携システム１´」）について、第１実施形態と異なる点を説明する（適宜図１参照）。
この放送通信連携システム１´では、アプリケーション登録装置７０´において、証明書の有効性の確認及び署名の正当性の検証を行う点が、第１実施形態と異なる。
【０１６８】
［アプリケーション登録装置の構成］
アプリケーション登録装置７０´の構成について説明する（適宜図１参照）。
図１１に示すように、アプリケーション登録装置７０´は、証明書の有効性の確認及び署名の正当性の検証を行うため、記憶手段７０５ａと、証明書確認手段７０５ｂと、署名検証手段７０５ｃとをさらに備える。
【０１６９】
記憶手段７０５ａは、検証用情報付加手段７０５に入力されたアプリケーションＩＤ、事業者ＩＤ、署名、証明書等を記憶、管理するものである。この記憶手段７０５ａが記憶する証明書等は、後記する証明書確認手段７０５ｂ及び署名検証手段７０５ｃによって参照される。
【０１７０】
証明書確認手段７０５ｂは、記憶手段７０５ａに記憶された証明書が有効であるか否かを確認するものである。具体的には、証明書確認手段７０５ｂは、図６の証明書確認手段８１７ｂと同様の手法で、証明書の有効性を確認する。
【０１７１】
ここで、証明書が有効の場合、証明書確認手段７０５ｂは、署名検証手段７０５ｃに署名の検証を指示（署名検証指示）する。
一方、証明書が無効の場合、証明書確認手段７０５ｂは、アプリケーションの提供元が正当でないことを示す検証結果をアプリケーションに検証用情報として付加する。
この検証結果は、例えば、０：提供元が正当なアプリケーション（Ａアプリケーション）を示し、１：提供元が正当でないアプリケーション（一般アプリケーション）を示すフラグである。
【０１７２】
署名検証手段７０５ｃは、記憶手段７０５ａに記憶された署名が正当であるか否かを検証するものである。具体的には、署名検証手段７０５ｃは、図６の署名検証手段８１７ｃと同様の手法で、署名の正当性を検証する。
【０１７３】
ここで、署名が正当な場合、署名検証手段７０５ｃは、アプリケーションの提供元が正当であることを示す検証結果をアプリケーションに検証用情報として付加する。
一方、署名が正当でない場合、署名検証手段７０５ｃは、アプリケーションの提供元が正当でないことを示す検証結果をアプリケーションに検証用情報として付加する。
【０１７４】
このようにして、アプリケーション登録装置７０´は、証明書の有効性の確認と、署名の正当性の検証とを行って、その検証結果をアプリケーションに付加することができる。
【０１７５】
［受信機の構成］
図１２を参照して、受信機８０´の構成について説明する（適宜図１参照）。
図１２に示すように、受信機（放送通信連携受信装置）８０´は、証明書確認手段８１７ｂ及び署名検証手段８１７ｃの代わりに、検証結果判定手段８１７ｄを備える。
【０１７６】
アプリケーション認証手段８１７は、認証指示が入力されると、アプリケーション記憶手段８１２から検証結果（検証用情報）を抽出して、検証用情報管理手段８１７ａに書き込む。
すなわち、検証用情報管理手段８１７ａは、アプリケーションに付加されている検証結果を記憶、管理する。
【０１７７】
検証結果判定手段８１７ｄは、検証用情報管理手段８１７ａに記憶された検証結果（検証用情報）に基づいて、アプリケーション取得手段８１１が取得したアプリケーションの提供元が正当であるか否かを検証するものである。
【０１７８】
ここで、検証結果＝０の場合、検証結果判定手段８１７ｄは、アプリケーションの提供元が正当（Ａアプリケーション）と認証（判定）する。
一方、検証結果＝１の場合、検証結果判定手段８１７ｄは、アプリケーションの提供元が正当でない（一般アプリケーション）と認証（判定）する。
【０１７９】
そして、検証結果判定手段８１７ｄは、提供元の正当性を検証したアプリケーションのＩＤと、提供元が正当であるか否かを示すフラグ等の情報とを認証結果として、アプリケーション管理・実行制御手段８０９及びリソースアクセス制御手段８１８に出力する。
【０１８０】
［放送通信連携システムの動作］
図１３を参照して、本発明の第２実施形態に係る放送通信連携システム１´の動作について説明する（適宜図１参照）。
【０１８１】
放送通信連携システム１´は、アプリケーション登録装置７０´によって、アプリケーションの提供元が正当であるか否かを検証する。つまり、アプリケーション登録装置７０´は、ＣＡ局３０からの問合結果に基づいて証明書の有効性を確認する共に、署名の正当性を検証する（ステップＳ５１）。
以下、アプリケーションの提供元が正当であることとして説明する。
【０１８２】
放送通信連携システム１´は、アプリケーション登録装置７０´によって、アプリケーションＩＤと、検証結果（検証用情報）とをアプリケーションに付加する（ステップＳ５２）。
ステップＳ５３〜Ｓ５５の処理は、図８のステップＳ１０〜Ｓ１２と同様の処理ため、詳細な説明を省略する。
【０１８３】
放送通信連携システム１´は、受信機８０´によって、検証結果により、アプリケーションの提供元が正当であるか否かを判定する。ここで、検証結果＝０の場合、受信機８０´は、アプリケーションの提供元が正当であると判定する。一方、検証結果＝１の場合、受信機８０´は、アプリケーションの提供元が正当でないと判定する（ステップＳ５６）。
ステップＳ５７の処理は、図８のステップＳ１６と同様の処理ため、詳細な説明を省略する。
【０１８４】
以上のように、本発明の第２実施形態に係る受信機８０´は、第１実施形態と同様、提供元が正当でないアプリケーションに対して、無制限なリソースアクセスを禁止することができる。さらに、受信機８０´は、証明書の有効性の確認及び署名の正当性の検証を行う必要がなく、受信機８０´の処理負荷を低減することができる。従って、受信機８０´は、その構成を簡易にすることができ、ＣＰＵ、メモリ等のリソースが限られるセットトップボックスに容易に適用することができる。
【０１８５】
（変形例２）
図１１に戻り、本発明の変形例２に係る放送通信連携システム１´について、第２実施形態と異なる点を説明する（適宜図１参照）。
この放送通信連携システム１´では、ＣＡ局３０が失効リストをアプリケーション登録装置７０に出力する。そして、放送通信連携システム１´では、アプリケーション登録装置７０´が、変形例１と同様、証明書の有効性を失効リストに基づいて確認する点が、第２実施形態と異なる。
【０１８６】
［アプリケーション登録装置の構成］
アプリケーション登録装置７０´の構成について説明する（適宜図１参照）。
記憶手段７０５ａは、検証用情報付加手段７０５に入力されたアプリケーションＩＤ、事業者ＩＤ、署名、証明書、失効リスト等を記憶、管理するものである。この記憶手段７０５ａが記憶する失効リスト等は、後記する証明書確認手段７０５ｂによって参照される。
【０１８７】
証明書確認手段７０５ｂは、記憶手段７０５ａの失効リストに基づいて、証明書が有効であるか否かを確認する。この証明書確認手段７０５ｂは、変形例１と同様の手法で証明書の有効性を確認するため、詳細な説明を省略する。
このようにして、アプリケーション登録装置７０´は、失効リストに基づいて証明書の有効性を確認することができる。
【０１８８】
［放送通信連携システムの動作］
図１４を参照して、本発明の変形例２に係る放送通信連携システム１´の動作について説明する（適宜図１参照）。
【０１８９】
放送通信連携システム１´は、ＣＡ局３０によって、生成した証明書をアプリケーション登録装置７０´に出力する(ステップＳ６１)。
ステップＳ６２の処理は、図１０のステップＳ２２と同様の処理のため、詳細な説明を省略する。
【０１９０】
放送通信連携システム１´は、ＣＡ局３０によって、生成した失効リストをアプリケーション登録装置７０´に出力する（ステップＳ６３）。
ステップＳ６４の処理は、図１０のステップＳ２５と同様の処理のため、詳細な説明を省略する。
【０１９１】
放送通信連携システム１´は、アプリケーション登録装置７０´によって、アプリケーションの提供元が正当であるか否かを検証する。つまり、アプリケーション登録装置７０´は、失効リストに基づいて証明書が有効であるか否かを確認する共に、署名が正当であるか否かを検証する（ステップＳ６５）。
ステップＳ６６〜Ｓ７１の処理は、図１３のステップＳ５２〜Ｓ５７と同様の処理のため、詳細な説明を省略する。
【０１９２】
以上のように、本発明の変形例２に係る受信機８０´は、第２実施形態と同様の効果に加え、失効リストによって証明書を容易に失効させることができる。これによって、本発明の変形例２では、放送通信連携システム１´における証明書の管理コストを低減することができる。
【０１９３】
（第３実施形態）
［放送通信連携システムの構成］
図１５を参照して、本発明の第３実施形態に係る放送通信連携システム１´´の構成について、第１実施形態と異なる点を説明する。
この放送通信連携システム１´´では、リポジトリ５０Ｃ及びアプリケーション管理装置９０をさらに備えると共に、システム管理者によって、署名鍵発行装置２０´´と、リポジトリ５０Ｃと、アプリＩＤ・事業者ＩＤ生成装置６０と、アプリケーション登録装置７０´´とが管理されることが、第１実施形態と異なる。
【０１９４】
「システム管理者」とは、Ａアプリケーションを承認する機関である。例えば、システム管理者は、あるサービス事業者が制作したアプリケーションをＡアプリケーションとして承認する際、このアプリケーションが放送通信連携システム１´´で期待される動作を行うか否かを手動で検証する。そして、システム管理者は、Ａアプリケーションを、後記するリポジトリ５０Ｃに登録する。
【０１９５】
署名鍵発行装置２０´´は、放送通信連携システム１´´で共通する署名鍵及び検証鍵を生成する。この署名鍵発行装置２０´´が生成した署名鍵は、アプリケーション登録装置７０´´に配布される。また、署名鍵発行装置２０が生成した検証鍵は、システム管理者によって、ＣＡ局３０に配布される。
【０１９６】
リポジトリ５０Ｃ（５０）は、Ａアプリケーションを記憶、管理するものである。そして、リポジトリ５０Ｃは、例えば、受信機８０からの要求に応じて、ネットワークＮを介して、記憶したＡアプリケーションを受信機８０に送信する。
【０１９７】
アプリケーション登録装置７０´´は、アプリケーション管理装置９０からのアプリケーションに検証用情報を付加して、このアプリケーションをＡアプリケーションとして登録するものである。ここで、アプリケーション登録装置７０´´は、例えば、署名鍵発行装置２０´´からの署名鍵を用いて、サービス事業者及びアプリケーションごとに固有の署名を生成する。
このように、署名鍵及び検証鍵がサービス事業者で共通する場合であっても、署名がサービス事業者及びアプリケーションごとに固有のため、受信機８０では、アプリケーションの提供元が正当であるか否かを検証できる。
【０１９８】
アプリケーション管理装置９０は、サービス事業者Ｂによって管理され、サービス事業者Ｂが制作したアプリケーションを記憶、管理するものである。ここで、アプリケーション管理装置９０に記憶されたアプリケーションは、例えば、ネットワークＮを介して、アプリケーション登録装置７０´´に送信される。また、このアプリケーションが格納された記録媒体をシステム管理者に郵送し、システム管理者がこのアプリケーションをアプリケーション登録装置７０´´に手動で入力してもよい。
【０１９９】
なお、図１５の各装置は、図１の各装置と同様の構成のため、詳細な説明を省略する。
また、図１６に示すように、放送通信連携システム１´´は、図８と同様の動作を行うため、詳細な説明を省略する。
【０２００】
以上のように、本発明の第３実施形態に係る受信機８０は、第１実施形態と同様、提供元が正当でないアプリケーションに対して、無制限なリソースアクセスを禁止することができる。また、受信機８０は、不正が困難な署名及び証明書を用いるため、安全性をより向上させることができる。
【０２０１】
（変形例３〜変形例５）
なお、図１５の放送通信連携システム１´´は、第１実施形態だけでなく、第２実施形態及び変形例１，２にも同様に適用することができる（それぞれ、変形例３〜変形例５とする）。この場合、変形例３〜変形例５に係る放送通信連携システム１´´は、図１７〜図１９に示すように、図１０，図１３，図１５と同様の動作になるため、詳細な説明を省略する。
【符号の説明】
【０２０２】
１，１´，１´´  放送通信連携システム
１０  放送送信装置
２０，２０´´  署名鍵発行装置
２００  署名鍵・検証鍵生成手段
２０１  検証鍵管理手段
２０２  署名鍵管理手段
３０  ＣＡ局（認証局）
４０，４０Ａ，４０Ｂ  コンテンツ配信サーバ
５０，５０Ａ，５０Ｂ  アプリケーションサーバ
５０Ｃ  リポジトリ（アプリケーションサーバ）
５００  アプリケーション入力手段（アプリ入力手段）
５０１  アプリケーション記憶手段（アプリ記憶手段）
５０２  アプリケーション送信手段（アプリ送信手段）
６０  アプリＩＤ・事業者ＩＤ生成装置
６００  アプリケーションＩＤ生成手段（アプリＩＤ生成手段）
６０１  事業者ＩＤ生成手段
６０２  アプリケーションＩＤ・事業者ＩＤ出力手段（アプリＩＤ・事業者ＩＤ出力手段）
７０，７０´，７０´´  アプリケーション登録装置
７００  アプリケーション入力手段（アプリ入力手段）
７０１  アプリケーションＩＤ・事業者ＩＤ入力手段（アプリＩＤ・事業者ＩＤ入力手段）
７０２  アプリケーションＩＤ・事業者ＩＤ付加手段（アプリＩＤ・事業者ＩＤ付加手段）
７０３  署名鍵入力手段
７０４  署名生成手段
７０５  検証用情報付加手段
７０５ａ  記憶手段
７０５ｂ  証明書確認手段
７０５ｃ  署名検証手段
７０６  アプリケーション出力手段（アプリ出力手段）
８０  受信機（放送通信連携受信装置）
８０１  放送受信手段
８０２  放送信号解析手段
８０３  映像・音声復号手段
８０４  データ放送復号手段
８０４ａ  ＣＲＬ抽出手段
８０５  通信送受信手段
８０６  アプリケーション起動情報取得手段（アプリ起動情報取得手段）
８０７  アプリケーション起動情報記憶手段（アプリ起動情報記憶手段）
８０８  リスト制御手段
８０９ａ  起動制御手段
８０９ｂ  終了制御手段
８０９ｃ  蓄積管理手段
８０９  アプリケーション管理・実行制御手段（アプリ管理・実行制御手段）
８１０  起動アプリケーション識別情報記憶手段（起動アプリ識別情報記憶手段）
８１１  アプリケーション取得手段（アプリ取得手段）
８１２  アプリケーション記憶手段（アプリ記憶手段）
８１３  アプリケーション実行手段（アプリ実行手段）
８１４  操作制御手段
８１５  合成表示手段
８１６  セキュリティ管理手段
８１７  アプリケーション認証手段（アプリ認証手段、アプリケーション判定手段）
８１７ａ  検証用情報管理手段（記憶手段）
８１７ｂ  証明書確認手段
８１７ｃ  署名検証手段
８１８  リソースアクセス制御手段
８１９  リソース管理手段
９０  アプリケーション管理装置
【図１】
0005952638.tif 000002
【図２】
0005952638.tif 000003
【図３】
0005952638.tif 000004
【図４】
0005952638.tif 000005
【図５】
0005952638.tif 000006
【図６】
0005952638.tif 000007
【図７】
0005952638.tif 000008
【図８】
0005952638.tif 000009
【図９】
0005952638.tif 000010
【図１０】
0005952638.tif 000011
【図１１】
0005952638.tif 000012
【図１２】
0005952638.tif 000013
【図１３】
0005952638.tif 000014
【図１４】
0005952638.tif 000015
【図１５】
0005952638.tif 000016
【図１６】
0005952638.tif 000017
【図１７】
0005952638.tif 000018
【図１８】
0005952638.tif 000019
【図１９】
0005952638.tif 000020