JP6261933B2 - 放送通信連携受信装置及び放送通信連携システム - Google Patents

Description

本願発明は、放送と、インターネット、専用ＩＰ（Internet Protocol）回線等の通信ネットワークとを利用した放送通信連携システムにおいて、個々のアプリケーションに対し、起動範囲及びリンク範囲を考慮したアプリケーションの起動制御と、リソースアクセス制御とを行う技術に関する。

近年、放送のデジタル化や通信の高速・広帯域化に伴い、放送と通信を連携した様々なサービス（以降、「放送通信連携サービス」）が検討されている（例えば、非特許文献１，２参照）。この放送通信連携サービスでは、放送番組に関連する多様な情報を通信ネットワーク経由で取得し、放送と組み合わせて提示することが想定されている。また、受信機では、放送通信連携サービスを享受するため、この放送通信連携サービスに適応したアプリケーションを用いることが想定されている。

放送通信連携システムは、放送と通信の特徴を生かして新しいサービスを提供するものであり、受信機でＨＴＭＬ（HyperText Markup Language）５等のＷｅｂアプリケーションを放送と連動して実行させることにより、様々なサービスを実現する。当該システムにおいては、視聴者に魅力的なサービスを提供するため、放送事業者が制作したアプリケーションだけでなく、放送事業者以外のサービス事業者が一定のルールに基づいて制作したアプリケーションも視聴者に提供できる環境が望まれている。一方で、現行のデジタル放送におけるデータ放送と同様に、放送の安全性や公共性の観点から、視聴者を有害なサイトに誘導させないなど、アプリケーションのリンク範囲を制御する仕組みが必要となる。特に、放送事業者以外のサービス事業者が制作したアプリケーションは、放送事業者が必ずしもすべての動作内容を把握していないものも想定されるため、リンク範囲に制約を設けることが不可欠となる。

ここで、非特許文献３には、アプリケーションの一種として、放送事業者が作成する連動アプリケーションが提案されている。この連動アプリケーションは、視聴中の編成チャンネルで放送されている番組に連動して、自動的に起動・終了するものである。この非特許文献３に記載の技術では、起動制御を行うために、アプリケーション名と、アプリケーションＩＤと、自動起動、強制終了等の制御コマンドと、アプリケーションの配信用サーバのロケーション情報（ＵＲＩ：Uniform Resource Identifier）とが必要になる。そこで、放送事業者は、放送波を用いて、これら情報が含まれるアプリケーション制御情報（ＡＩＴ：Application Information Table）を、編成チャンネルに関連付けて配信する。さらに、放送事業者は、非特許文献４で提案されている“Simple application boundary descriptor”を当該ＡＩＴに含めることにより、現行のデジタル放送におけるデータ放送と同様、アプリケーションのリンク範囲を制御することができる。

また、非特許文献５には、アプリケーションが放送リソースや受信機リソースを利用するためのＡＰＩ（Application Program Interface）を呼び出す際のリソースアクセス制御技術が提案されている。この非特許文献５に記載の技術は、アプリケーション認証結果に応じて、放送事業者が制作する正当なアプリケーション、放送事業者以外のサービス事業者が制作する正当なアプリケーション、又は、それ以外のアプリケーションといった属性を受信機が判定するものである。そして、非特許文献５に記載の技術は、属性の判定結果に基づいて、リソースアクセスの可否を制御する。つまり、非特許文献５に記載の技術では、予め受信機に備えられたアプリケーションの属性毎のリソースアクセス許可リストを参照し、例えば、サービス事業者が制作する正当なアプリケーションのリソースアクセス制御を一括管理することができる。

「放送通信連携技術の研究開発概要」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１３３、２０１２．５、Ｐ４−Ｐ９ 「Ｈｙｂｒｉｄｃａｓｔ（Ｒ）の基本システム概要」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１３３、２０１２．５、Ｐ１０−Ｐ１９ 「Ｈｙｂｒｉｄｃａｓｔ（Ｒ）を支える技術」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１３３、２０１２．５、Ｐ２０−Ｐ２７ 「Digital Video Broadcasting (DVB); Signalling and carriage of interactive applications and services in Hybrid broadcast/broadband environments」、ＥＴＳＩ ＴＳ １０２ ８０９ Ｖ１．１．１（２０１０−０１） 「Ｈｙｂｒｉｄｃａｓｔアプリケーションに対するアクセス制御手法の一検討」、電子情報信学学会総合大会、Ｂ−７−３４、２０１２

現行のデジタル放送におけるデータ放送では、ＢＭＬ（Broadcast Markup Language）コンテンツを双方向ウェブサーバ上に配置することも可能である。従って、受信機は、双方向ウェブサーバ上にあるＢＭＬ文書（通信コンテンツ）を参照、提示することができる。通信コンテンツには、放送コンテンツを参照できるリンク状態と、放送コンテンツを一切参照することのできない非リンク状態という、２種類の状態が存在する。ここで、放送コンテンツが指定したＵＲＩ（ベースＵＲＩディレクトリ）のディレクトリ以下の通信コンテンツへ遷移した場合、リンク状態が保たれる。一方、それ以外のＵＲＩを指定した場合は、非リンク状態へ遷移する。リンク状態の通信コンテンツは、放送コンテンツを含むコンテンツグループを構成するコンテンツの一つとして振る舞う。一方、非リンク状態の通信コンテンツは、独立したコンテンツグループとして振る舞い、映像、音声、字幕、データカルーセル、イベントメッセージ等の放送リソースを参照することができない。

前記した非特許文献３には、放送事業者以外のサービス事業者も制作する非連動アプリケーションも提案されている。この非連動アプリケーションは、ユーザが任意のタイミングで起動及び終了するものである。例えば、受信機は、サーバからアプリケーションリストを取得し、このアプリケーションリストに記述された複数のアプリケーションの中から、非連動アプリケーションを選択することで、この非連動アプリケーションを起動する。このアプリケーションリストは、アプリケーションの配信用サーバのロケーション情報（ＵＲＩ）を含むものであり、前記したアプリケーション制御情報であってもよい。

つまり、非連動アプリケーションは、放送コンテンツが直接指定して起動するものではなく、通信経由で配信用サーバのロケーション情報を取得するため、放送波による配信に比べて、セキュリティレベルが低下する。従って、連動アプリケーション、非連動アプリケーションといったアプリケーションの種類に関わらず、リンク範囲を考慮して、個々のアプリケーションで起動を制御する必要がある。
なお、リンク範囲とは、アプリケーションが起動又はＷｅｂページを遷移するとき、このアプリケーションが参照可能なＵＲＩの範囲を指している。

また、非特許文献５に記載の技術では、アプリケーションの属性毎にリソースアクセス制御を行えるに過ぎない。つまり、非特許文献５に記載の技術では、個々のアプリケーションに対して、映像、音声、字幕、データカルーセル、イベントメッセージ等の放送リソースや、動画コンテンツ、メタデータ等の通信リソースの利用の可否をきめ細かく付与して、リソースアクセスを制御することができない。

さらに、放送通信連携サービスでは、アプリケーションによる情報やサービスが、放送番組と組み合わせて提示される。従って、放送の安全性や公共性の観点から、放送番組の編成チャンネルと無関係にアプケーションを起動できる状態が好ましいと言えず、起動範囲を考慮して、個々のアプリケーションで起動を制御する必要がある。
なお、起動範囲とは、アプリケーションが起動するとき、このアプリケーションが起動可能な編成チャンネルの範囲を指している。

そこで、本願発明は、前記した問題を解決し、個々のアプリケーションに対してのアクセス制御を可能とした放送通信連携受信装置及び放送通信連携システムを提供することを課題とする。

前記した課題に鑑みて、本願第１発明に係る放送通信連携受信装置は、起動範囲情報、又は、リンク範囲情報の何れか１以上が付加されたアプリケーション用証明書を発行する証明書発行装置と、アプリケーション用証明書をアプリケーションに付加又は対応付けるアプリケーション登録装置と、アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、を含む放送通信連携システムで使用され、放送番組を受信する放送通信連携受信装置であって、アプリケーション取得手段と、抽出手段と、起動判定手段と、起動制御手段と、を備えることを特徴とする。

かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アプリケーション用証明書が付加又は対応付けられたアプリケーションを取得する。

このアプリケーション用証明書には、アプリケーションが起動可能な編成チャンネルを示す起動範囲情報、又は、アプリケーションがリンク可能なＵＲＩを示すリンク範囲情報の一方が付加されていればよい。また、アプリケーション用証明書には、起動範囲情報及びリンク範囲情報の両方が付加されてもよい。

また、放送通信連携受信装置は、抽出手段によって、アプリケーションに付加又は対応付けられたアプリケーション用証明書から、アプリケーションの起動制御に必要な起動範囲情報又はリンク範囲情報の何れか１以上を抽出する。

また、放送通信連携受信装置は、起動判定手段によって、抽出手段が抽出した起動範囲情報又はリンク範囲情報の何れか１以上に基づいて、取得したアプリケーションが起動できるか否かを判定する。そして、放送通信連携受信装置は、起動制御手段によって、起動判定手段の判定結果に基づいて、アプリケーションの起動を制御する。

また、前記した課題に鑑みて、本願第２発明に係る放送通信連携受信装置は、起動範囲情報、又は、リンク範囲情報の何れか１以上が格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、アクセス制御ファイルをアプリケーションに付加又は対応付けるアプリケーション登録装置と、アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、を含む放送通信連携システムで使用され、放送番組を受信する放送通信連携受信装置であって、アプリケーション取得手段と、アプリケーション認証手段と、抽出手段と、起動判定手段と、起動制御手段と、を備えることを特徴とする。

かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アクセス制御ファイルが付加又は対応付けられたアプリケーションを取得する。また、放送通信連携受信装置は、アプリケーション認証手段によって、アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証する。

また、放送通信連携受信装置は、抽出手段によって、アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、アプリケーションの起動制御に必要な起動範囲情報又はリンク範囲情報の何れか１以上を抽出する。

また、放送通信連携受信装置は、起動判定手段によって、抽出手段が抽出した起動範囲情報又はリンク範囲情報の何れか１以上に基づいて、取得したアプリケーションが起動できるか否かを判定する。そして、放送通信連携受信装置は、起動制御手段によって、起動判定手段の判定結果に基づいて、アプリケーションの起動を制御する。

また、本願第３，４発明に係る放送通信連携受信装置は、抽出手段が、アプリケーション用証明書又はアクセス制御ファイルから、少なくともリンク範囲情報を抽出し、起動判定手段が、アプリケーションの取得元となるアプリケーションサーバのＵＲＩがリンク範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定するリンク範囲判定手段、を備えることを特徴とする。
かかる構成によれば、放送通信連携受信装置は、リンク範囲外のアプリケーションサーバから取得したアプリケーションの起動を防止できる。

また、本願第５，６発明に係る放送通信連携受信装置は、抽出手段が、アプリケーション用証明書又はアクセス制御ファイルから、少なくとも起動範囲情報を抽出し、起動判定手段が、選局されている放送番組の編成チャンネルが起動範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定する起動範囲判定手段、を備えることを特徴とする。
かかる構成によれば、放送通信連携受信装置は、視聴者が起動範囲外のチャンネルを視聴している場合、アプリケーションの起動を防止できる。

なお、放送通信連携受信装置がリンク範囲判定手段及び起動範囲判定手段の両方を備える場合、起動制御手段は、以下のようにアプリケーションの起動を判定することが好ましい。
つまり、起動制御手段は、起動範囲判定手段及びリンク範囲判定手段の両方によって、取得したアプリケーションが起動できると判定された場合、当該アプリケーションを起動し、起動範囲判定手段又はリンク範囲判定手段の少なくとも一方によって、取得したアプリケーションが起動できないと判定された場合、アプリケーションを起動しない。

また、参考発明に係る放送通信連携受信装置は、アプリケーション用証明書又はアクセス制御ファイルが、さらに、アプリケーションが利用可能な１以上のリソースを示すリソース利用範囲情報が付加又は格納され、抽出手段が、アプリケーション用証明書又はアクセス制御ファイルから、リソース利用範囲情報を抽出し、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段、をさらに備えることを特徴とする。
かかる構成によれば、放送通信連携受信装置は、アプリケーションが利用範囲外のリソースにアクセスすることを防止できる。

また、本願第７発明に係る放送通信連携受信装置は、アプリケーションとして、Ｗｅｂページから他のＷｅｂページに遷移するＷｅｂアプリケーションを実行するアプリケーション実行手段と、アプリケーション実行手段で実行されているＷｅｂアプリケーションが他のＷｅｂページに遷移できるか否かをリンク範囲判定手段に問い合わせる遷移制御手段と、をさらに備え、リンク範囲判定手段が、他のＷｅｂページのＵＲＩがリンク範囲情報に含まれるか否かにより、Ｗｅｂアプリケーションが他のＷｅｂページに遷移できるか否かをさらに判定し、遷移制御手段が、リンク範囲判定手段によって、Ｗｅｂアプリケーションが他のＷｅｂページに遷移できないと判定された場合、Ｗｅｂアプリケーションの終了、又は、他のＷｅｂページへの遷移停止をアプリケーション実行手段に指示することを特徴とする。
かかる構成によれば、放送通信連携受信装置は、実行中のアプリケーションがリンク範囲外のＷｅｂページに遷移することを防止できる。

また、前記した課題に鑑みて、本願第８発明に係る放送通信連携受信装置は、リソース利用範囲情報が付加されたアプリケーション用証明書を発行する証明書発行装置と、アプリケーション用証明書をアプリケーションに付加又は対応付けるアプリケーション登録装置と、アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、を含む放送通信連携システムで使用され、放送番組を受信する放送通信連携受信装置であって、アプリケーション取得手段と、抽出手段と、リソースアクセス制御手段と、を備えることを特徴とする。

かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アプリケーション用証明書が付加又は対応付けられたアプリケーションを取得する。
このアプリケーション用証明書には、アプリケーションが利用可能なリソースを示すリソース利用範囲情報が付加されている。

また、放送通信連携受信装置は、抽出手段によって、アプリケーションに付加又は対応付けられたアプリケーション用証明書から、リソースアクセス制御に必要なリソース利用範囲情報を抽出する。そして、放送通信連携受信装置は、リソースアクセス制御手段によって、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行う。

また、前記した課題に鑑みて、本願第９発明に係る放送通信連携システムは、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とが付加されたアプリケーション用証明書を発行する証明書発行装置と、アプリケーション用証明書をアプリケーションに付加又は対応付けるアプリケーション登録装置と、アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、放送番組を受信する放送通信連携受信装置と、を備える放送通信連携システムであって、放送通信連携受信装置が、アプリケーション取得手段と、抽出手段と、起動範囲判定手段と、リンク範囲判定手段と、起動制御手段と、リソースアクセス制御手段と、を備えることを特徴とする。

かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アプリケーション用証明書が付加又は対応付けられたアプリケーションを取得する。

このアプリケーション用証明書には、アプリケーションが起動可能な編成チャンネルを示す起動範囲情報と、アプリケーションがリンク可能なＵＲＩを示すリンク範囲情報と、アプリケーションが利用可能なリソースを示すリソース利用範囲情報とが付加されている。

また、放送通信連携受信装置は、抽出手段によって、アプリケーションに付加又は対応付けられたアプリケーション用証明書から、アプリケーションの起動制御に必要な起動範囲情報及びリンク範囲情報と、リソースアクセス制御に必要なリソース利用範囲情報とを抽出する。

また、放送通信連携受信装置は、起動範囲判定手段によって、選局されている放送番組の編成チャンネルが起動範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定する。そして、放送通信連携受信装置は、リンク範囲判定手段によって、アプリケーションの取得元となるアプリケーションサーバのＵＲＩがリンク範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定する。

また、放送通信連携受信装置は、起動制御手段によって、起動範囲判定手段及びリンク範囲判定手段の判定結果に基づいて、アプリケーションの起動を制御する。そして、放送通信連携受信装置は、リソースアクセス制御手段によって、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行う。

また、前記した課題に鑑みて、参考発明に係る放送通信連携受信装置は、リソース利用範囲情報が格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、アクセス制御ファイルをアプリケーションに付加又は対応付けるアプリケーション登録装置と、アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、を含む放送通信連携システムで使用され、放送番組を受信する放送通信連携受信装置であって、アプリケーション取得手段と、アプリケーション認証手段と、抽出手段と、リソースアクセス制御手段と、を備えることを特徴とする。

かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アクセス制御ファイルが付加又は対応付けられたアプリケーションを取得する。また、放送通信連携受信装置は、アプリケーション認証手段によって、アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証する。

また、放送通信連携受信装置は、抽出手段によって、アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、リソースアクセス制御に必要なリソース利用範囲情報を抽出する。そして、放送通信連携受信装置は、リソースアクセス制御手段によって、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行う。

また、前記した課題に鑑みて、本願第１０発明に係る放送通信連携システムは、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とが格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、アクセス制御ファイルをアプリケーションに付加又は対応付けるアプリケーション登録装置と、アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、放送波を介して、放送番組を送信する放送送信装置と、放送番組を受信する放送通信連携受信装置と、を備える放送通信連携システムであって、放送通信連携受信装置が、アプリケーション取得手段と、アプリケーション認証手段と、抽出手段と、起動範囲判定手段と、リンク範囲判定手段と、起動制御手段と、リソースアクセス制御手段と、を備えることを特徴とする。

かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、アプリケーションサーバから、アクセス制御ファイルが付加又は対応付けられたアプリケーションを取得する。また、放送通信連携受信装置は、アプリケーション認証手段によって、アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証する。

また、放送通信連携受信装置は、抽出手段によって、アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、アプリケーションの起動制御に必要な起動範囲情報及びリンク範囲情報と、リソースアクセス制御に必要なリソース利用範囲情報とを抽出する。

また、放送通信連携受信装置は、起動範囲判定手段によって、選局されている放送番組の編成チャンネルが起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する。そして、放送通信連携受信装置は、リンク範囲判定手段によって、アプリケーションの取得元となるアプリケーションサーバのＵＲＩがリンク範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定する。

また、放送通信連携受信装置は、起動制御手段によって、起動範囲判定手段及びリンク範囲判定手段の判定結果に基づいて、アプリケーションの起動を制御する。そして、放送通信連携受信装置は、リソースアクセス制御手段によって、リソース利用範囲情報に基づいて、取得したアプリケーションに対して、リソースへのアクセスを禁止するリソースアクセス制御を行う。

本願発明によれば、以下のような優れた効果を奏する。
本願第１発明によれば、放送通信連携受信装置は、アプリケーション用証明書から、アプリケーションの起動制御に必要な起動範囲情報又はリンク範囲情報の何れか１以上を抽出できるため、個々のアプリケーションに対してのアクセス制御（起動範囲又はリンク範囲の少なくとも一方を考慮したアプリケーションの起動制御）を行うことができる。

本願第２発明によれば、放送通信連携受信装置は、アクセス制御ファイルから、アプリケーションの起動制御に必要な起動範囲情報又はリンク範囲情報の何れか１以上を抽出できるため、個々のアプリケーションに対してのアクセス制御（起動範囲又はリンク範囲の少なくとも一方を考慮したアプリケーションの起動制御）を行うことができる。

本願第３，４発明によれば、放送通信連携受信装置は、リンク範囲外のアプリケーションサーバから取得したアプリケーションの起動を防止することができる。
本願第５，６発明によれば、放送通信連携受信装置は、視聴者が起動範囲外のチャンネルを視聴している場合、アプリケーションの起動を防止することができる。
参考発明によれば、放送通信連携受信装置は、アプリケーションが利用範囲外のリソースにアクセスすることを防止できる。
本願第７発明によれば、放送通信連携受信装置は、実行中のアプリケーションがリンク範囲外のＷｅｂページに遷移することを防止できる。

本願第８発明によれば、放送通信連携受信装置は、アプリケーション用証明書から、リソースアクセス制御に必要なリソース利用範囲情報を抽出できるため、個々のアプリケーションに対してのアクセス制御（リソースアクセス制御）を行うことができる。

本願第９発明によれば、放送通信連携システムは、アプリケーション用証明書から、アプリケーションの起動制御に必要な起動範囲情報及びリンク範囲情報と、リソースアクセス制御に必要なリソース利用範囲情報とを抽出できる。このため、本願第９発明によれば、放送通信連携システムは、個々のアプリケーションに対してのアクセス制御（起動範囲及びリンク範囲を考慮したアプリケーションの起動制御、リソースアクセス制御）を行うことができる。

参考発明によれば、放送通信連携受信装置は、アクセス制御ファイルから、リソースアクセス制御に必要なリソース利用範囲情報を抽出できるため、個々のアプリケーションに対してのアクセス制御（リソースアクセス制御）を行うことができる。

本願第１０発明によれば、放送通信連携システムは、アクセス制御ファイルから、アプリケーションの起動制御に必要な起動範囲情報及びリンク範囲情報と、リソースアクセス制御に必要なリソース利用範囲情報とを抽出できる。このため、本願第１０発明によれば、放送通信連携システムは、個々のアプリケーションに対してのアクセス制御（起動範囲及びリンク範囲を考慮したアプリケーションの起動制御、リソースアクセス制御）を行うことができる。

本発明の第１実施形態に係る放送通信連携システムの全体構成を示す概略図である。 図１のＩＤ・署名鍵・証明書発行装置の構成を示すブロック図である。 図２のＩＤ・署名鍵・証明書発行装置が発行する証明書のデータ構造を示す図である。 図３の起動範囲情報の記述形式を説明する図である。 図３のリンク範囲情報の記述形式を説明する図である。 図３のリソース利用範囲情報の記述形式を説明する図である。 図６のリソースアクセス制限情報のデータ構造を示す図である。 図１のアプリケーション登録装置の構成を示すブロック図である。 図１の受信機の構成を示すブロック図である。 図９の受信機が記憶する起動範囲情報テーブルのデータ構造を示す図である。 図９の受信機が記憶するリンク範囲情報テーブルのデータ構造を示す図である。 図９の受信機が記憶するリソースアクセス制御テーブルのデータ構造を示す図である。 図１の放送通信連携システムの動作を示すシーケンス図である。 本発明の第２実施形態に係る放送通信連携システムの全体構成を示す概略図である。 図１４のアクセス制御ファイル管理装置の構成を示すブロック図である。 図１４のアプリケーション登録装置の構成を示すブロック図である。 図１４の受信機の構成を示すブロック図である。 図１４の放送通信連携システムの動作を示すシーケンス図である。 図１４の放送通信連携システムの動作を示すシーケンス図である。 本発明の変形例３に係る放送通信連携システムの全体構成を示す概略図である。

（第１実施形態）
以下、本発明の各実施形態について、適宜図面を参照しながら詳細に説明する。なお、各実施形態において、同一の機能を有する手段及び同一のステップ（処理）には同一の符号を付し、説明を省略した。

［放送通信連携システムの全体構成］
図１を参照して、本発明の第１実施形態に係る放送通信連携システム１の構成について説明する。
放送通信連携システム１は、放送と通信とを連携し、放送番組と共に様々なサービスをユーザ（視聴者）に提供するものである。具体的には、放送通信連携システム１は、放送波を介して、放送番組を放送通信連携受信装置（受信機）８０に送信すると共に、ネットワークを介して、様々なサービスに適応したアプリケーションを受信機８０に送信する。そして、放送通信連携システム１は、受信機８０において、放送番組に関連する多様なサービスを、アプリケーションによりユーザに提供する。このとき、放送通信連携システム１は、受信機８０において、個々のアプリケーションに対して安全にアクセス制御を行う。

なお、アクセス制御とは、受信機８０において、起動範囲を考慮したアプリケーションの起動制御、リンク範囲を考慮したアプリケーションの起動制御、又は、リソースアクセス制御の何れか１以上を行うことである。本実施形態では、受信機８０が、これら３つの制御を全て行うこととして説明する。

「アプリケーション」とは、ＨＴＭＬ（HyperText Markup Language）５のブラウザ上で動作するソフトウェアを含む、受信機８０で利用可能なソフトウェアである。本実施形態では、アプリケーションが、表示中のＷｅｂページから他のＷｅｂページへ遷移するＷｅｂアプリケーションであることとする。
なお、アプリケーションを「アプリ」と略記することがある。

「放送局」とは、編成を伴う番組を送出しているものであり、放送波又はネットワークにより放送番組をユーザ（視聴者）に配信するものである。
「サービス事業者」とは、サービスを提供するもので、サービスを提供するためのコンテンツ及びアプリケーションを制作し、配信するものである。
「ライセンス機関」とは、サービス事業者にアプケーションのライセンス（証明書）を発行するものである。

図１に示すように、放送通信連携システム１は、ＣＡ局１０と、放送送信装置２０と、ＩＤ・署名鍵・証明書発行装置（証明書発行装置）３０と、アプリケーション登録装置４０と、アプリケーション制作装置５０と、コンテンツ配信サーバ６０と、アプリケーションサーバ７０と、受信機８０とを備える。

ＣＡ局１０は、ライセンス機関からの証明書の発行申請に応じて、ルート証明書Ｃ_ＣＡ（以後、「証明書Ｃ_ＣＡ」）と、中間証明書Ｃ_Ｌ（以後、「証明書Ｃ_Ｌ」）と、ライセンス機関署名鍵Ｓ_Ｌ（以後、「署名鍵Ｓ_Ｌ」）とを発行するものである。

ここで、ＣＡ局１０は、ＤＳＡ、ＲＳＡ、楕円曲線等の一般的な公開鍵暗号方式により、ルート署名鍵Ｓ_ＣＡ（以後、「署名鍵Ｓ_ＣＡ」）と、ルート検証鍵Ｐ_ＣＡ（以後、「検証鍵Ｐ_ＣＡ」）との鍵ペアを生成する。例えば、ＣＡ局１０は、署名鍵Ｓ_ＣＡ及び検証鍵Ｐ_ＣＡを１ペアだけ生成する。そして、ＣＡ局１０は、この検証鍵Ｐ_ＣＡを証明書Ｃ_ＣＡに格納して、放送局（放送送信装置２０）に発行する。一方、署名鍵Ｓ_ＣＡは、ＣＡ局１０で記憶、管理される。

また、ＣＡ局１０は、前記した公開鍵暗号方式により、署名鍵Ｓ_Ｌと、ライセンス機関検証鍵Ｐ_Ｌ（以後、「署名鍵Ｐ_Ｌ」）との鍵ペアを生成する。例えば、ＣＡ局１０は、署名鍵Ｓ_Ｌ及び検証鍵Ｐ_Ｌをライセンス機関毎に生成する（本実施形態では署名鍵Ｓ_Ｌ及び検証鍵Ｐ_Ｌを１ペア生成する）。そして、ＣＡ局１０は、検証鍵Ｐ_Ｌを証明書Ｃ_Ｌに格納し、署名鍵Ｓ_ＣＡにより証明書Ｃ_Ｌの署名を生成して証明書Ｃ_Ｌに付加する。さらに、ＣＡ局１０は、証明書Ｃ_Ｌを放送局（放送送信装置２０）に発行し、署名鍵Ｓ_Ｌをライセンス機関（ＩＤ・署名鍵・証明書発行装置３０）に発行する。
なお、ＣＡ局１０は、一般的な構成のため、詳細な説明を省略する。

放送送信装置２０は、放送局で管理され、放送波を介して、放送番組を受信機８０に送信するものである。また、放送送信装置２０は、ＤＳＭ−ＣＣ（Digital storage media command and control）データカルーセル等の伝送手段により、ＣＡ局１０で発行された証明書Ｃ_ＣＡ，Ｃ_Ｌを受信機８０に送信する。

なお、放送送信装置２０は、放送番組を放送波として送信する形態で説明するが、ケーブル（図示せず）や、ネットワークを介して送信してもよい。
また、放送送信装置２０は、一般的な番組編成設備、番組送信設備、送信設備等から構成されるデジタル放送用の放送設備であるため、詳細な説明を省略する。

ＩＤ・署名鍵・証明書発行装置３０は、ライセンス機関で管理され、サービス事業者からのアプリケーションＩＤの申請に応じて、アプリケーションＩＤと、アプリケーション用署名鍵Ｓ_Ｂ（以後、「署名鍵Ｓ_Ｂ」）と、アプリケーション用証明書Ｃ_Ｂ（以後、「証明書Ｃ_Ｂ」）とを、サービス事業者（アプリケーション登録装置４０）に発行するものである。
なお、ＩＤ・署名鍵・証明書発行装置３０の構成は、後記する。

アプリケーション登録装置４０は、サービス事業者で管理され、ライセンス機関（ＩＤ・署名鍵・証明書発行装置３０）から、アプリケーションＩＤと、署名鍵Ｓ_Ｂと、証明書Ｃ_Ｂとが発行されるものである。そして、アプリケーション登録装置４０は、署名鍵Ｓ_Ｂにより署名を生成する。さらに、アプリケーション登録装置４０は、後記するアプリケーション制作装置５０から入力されたアプリケーションに、アプリケーションＩＤと、署名鍵Ｓ_Ｂによる署名と、証明書Ｃ_Ｂとを付加するものである。
なお、アプリケーション登録装置４０の構成は、後記する。

アプリケーション制作装置５０は、アプリケーションを制作するための開発環境である。ここで、アプリケーション制作装置５０は、放送局やライセンス機関によって提供されるＳＤＫ（Software Development Kit）がインストールされ、アプリケーションを制作可能である。
なお、アプリケーション制作装置５０は、一般的な構成のため、詳細な説明を省略する。

コンテンツ配信サーバ６０は、サービス事業者で管理され、受信機８０のアプリケーションからの要求により、ネットワークを介して、コンテンツを受信機８０に提供するものである。このコンテンツ配信サーバ６０としては、例えば、ＶＯＤ（ビデオオンデマンド）配信サーバ、字幕配信サーバ、マルチビュー配信サーバがあげられる。
なお、コンテンツ配信サーバ６０は、一般的な構成のため、詳細な説明を省略する。
また、図１では、図面を見やすくするため、コンテンツ配信サーバ６０から受信機８０へのコンテンツ配信を示す実線を省略した。

アプリケーションサーバ７０は、サービス事業者が制作したアプリケーションを記憶、管理するサーバである。このアプリケーションサーバ７０は、受信機８０からの要求に応じて、ネットワークを介して、アプリケーションを受信機８０に送信する。
なお、アプリケーションサーバ７０は、一般的な構成のため、詳細な説明を省略する。

受信機８０は、例えば、各ユーザの自宅に設置され、地上デジタル放送、ＢＳデジタル放送、データ放送等の放送番組が視聴可能であると共に、ネットワークを介して、アプリケーションを受信可能な受信装置である。そして、受信機８０は、アプリケーションに付加された証明書Ｃ_Ｂから起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出し、起動範囲及びリンク範囲を考慮したアプリケーションの起動制御と、リソースアクセス制御とを行う。

この受信機８０では、アプリケーション起動情報に基づいて、アプリケーションの取得、起動、終了等の制御が行われるため、アプリケーション起動情報の概略について説明する。
この「アプリケーション起動情報」とは、アプリケーションの識別子（ＩＤ）、アプリケーションの配置場所等のアプリケーションを特定するための情報、ならびに、当該アプリケーションを制御するための付加的な情報（アプリケーション情報テーブル：ＡＩＴ（Application Information Table）に相当する情報）である。言い換えるなら、アプリケーション起動情報は、アプリケーションの取得元となるアプリケーションサーバ７０のロケーション情報（ＵＲＩ）が含まれている。

［ＩＤ・署名鍵・証明書発行装置の構成］
図２を参照して、ＩＤ・署名鍵・証明書発行装置３０の構成について説明する（適宜図１参照）。
図２に示すように、ＩＤ・署名鍵・証明書発行装置３０は、署名鍵入力手段３０１と、アプリＩＤ生成手段３０２と、署名鍵・検証鍵生成手段３０３と、証明書生成手段３０４と、証明書管理手段３０５と、署名鍵管理手段３０６とを備える。

署名鍵入力手段３０１は、ＣＡ局１０から署名鍵Ｓ_Ｌが入力されるものである。そして、署名鍵入力手段３０１は、入力された署名鍵Ｓ_Ｌを証明書生成手段３０４に出力する。

アプリＩＤ生成手段３０２は、アプリケーションに付加するアプリケーションＩＤを生成するものである。例えば、アプリＩＤ生成手段３０２は、予め設定した命名規約に従って、アプリケーションＩＤを生成する。この命名規約は、例えば、サービス事業者の事業者ＩＤと、このサービス事業者内で一意に定められたアプリケーションを識別する番号とをアプリケーションＩＤとする。そして、アプリＩＤ生成手段３０２は、生成したアプリケーションＩＤを、証明書生成手段３０４に出力する。

署名鍵・検証鍵生成手段３０３は、署名鍵Ｓ_Ｂと、アプリケーション用検証鍵Ｐ_Ｂ（以後、「検証鍵Ｐ_Ｂ」）とを生成するものである。ここで、署名鍵・検証鍵生成手段３０３は、ＣＡ局１０と同様の公開鍵暗号方式により、署名鍵Ｓ_Ｂと検証鍵Ｐ_Ｂとの鍵ペアを生成する。そして、署名鍵・検証鍵生成手段３０３は、生成した検証鍵Ｐ_Ｂを証明書生成手段３０４に出力する。さらに、署名鍵・検証鍵生成手段３０３は、生成した署名鍵Ｓ_Ｂを署名鍵管理手段３０６に出力する。

証明書生成手段３０４は、アプリケーションに付加する証明書Ｃ_Ｂを生成するものである。例えば、証明書生成手段３０４は、図３に示すように、ＩＴＵ(International Telecommunication Union)のＸ．５０９に準拠した証明書Ｃ_Ｂを生成する。
具体的には、証明書生成手段３０４は、署名鍵・検証鍵生成手段３０３から入力された検証鍵Ｐ_Ｂを証明書Ｃ_Ｂに付加する。また、証明書生成手段３０４は、アプリＩＤ生成手段３０２から入力されたアプリケーションＩＤを、証明書Ｃ_Ｂに付加する。そして、証明書生成手段３０４は、例えば、アプリケーション制作者や、アプリケーションの内容に応じて、アプリケーションを識別する情報を証明書Ｃ_Ｂに付加する。さらに、証明書生成手段３０４は、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、証明書Ｃ_Ｂに付加する。
なお、ライセンス機関は、例えば、アプケーション毎に、証明書Ｃ_Ｂに付加する起動範囲情報、リンク範囲情報及びリソース利用範囲情報を予め設定しておく。

また、証明書生成手段３０４は、署名鍵入力手段３０１から入力された署名鍵Ｓ_Ｌを用いて、証明書Ｃ_Ｂの署名前証明書（図３）に該当するデータを署名元メッセージとして、署名を生成する。このとき、証明書生成手段３０４は、後記する署名生成手段４０３（図８）と同様の署名アルゴリズムを用いることができる。そして、証明書生成手段３０４は、アプリケーションＩＤと、署名鍵Ｓ_Ｌによる署名と、署名鍵Ｓ_Ｌによる署名の生成に用いた署名アルゴリズムの名称とを、証明書Ｃ_Ｂに付加して、証明書管理手段３０５に出力する。

＜証明書の具体例＞
図３を参照して、証明書生成手段３０４が生成した証明書Ｃ_Ｂの具体例について、説明する。
図３に示すように、署名前証明書のデータ項目のうち、バージョン、シリアル番号及び有効期間（開始、終了）は、ＩＴＵのＸ．５０９に準拠して記述するため、詳細な説明を省略する。
署名前証明書の公開鍵情報には、検証鍵Ｐ_Ｂが格納され、この検証鍵Ｐ_Ｂを生成したアルゴリズムの名称が記述される。
署名前証明書には、発行者としてライセンス機関の名前が記述され、発行者の識別子としてライセンス機関の事業者ＩＤ（ユニークＩＤ）が記述される。
署名前証明書には、主体者としてサービス事業者の名前が記述され、主体者の識別子としてサービス事業者の事業者ＩＤ（ユニークＩＤ）が記述される。
署名前証明書の拡張項目には、アプリケーションＩＤと、アプリケーションの識別と、起動範囲情報（起動範囲）と、リンク範囲情報（リンク範囲）と、リソース利用範囲情報（リソース利用範囲）とが記述される。
そして、証明書Ｃ_Ｂには、署名前証明書の各データ項目に加えて、署名鍵Ｓ_Ｌによる署名（ライセンス機関の署名）と、このライセンス機関の署名の生成に用いた署名アルゴリズムの名称とが格納される。

＜起動範囲情報の記述形式＞
図４を参照して、起動範囲情報の記述形式について、説明する。
図４に示すように、起動範囲情報は、データ項目として、descriptor_tagと、descriptor_lengthと、boundary_extension_countとを有する。また、起動範囲情報は、データ項目として、１組又は複数組のoriginal_network_idと、transport_stream_idと、service_idとを有する

descriptor_tagには、起動範囲情報を示す値（例えば、「０ｘ０１」）が８ビットで記述される。
descriptor_lengthには、このデータ項目の直後に続く記述子のデータ部分の全バイト長が８ビットで記述される。
boundary_extension_countには、起動範囲情報に格納された編成チャンネルの数が８ビットで記述される。

original_network_idには、編成チャンネルに対応したオリジナルネットワーク識別が１６ビットで記述される。
transport_stream_idには、編成チャンネルに対応したトランスポートストリーム識別が１６ビットで記述される。
service_idには、編成チャンネルに対応したサービス識別が１６ビットで記述される。
つまり、original_network_idと、transport_stream_idと、service_idとの組が、１つの編成チャンネルを表している。

なお、original_network_id、transport_stream_id及びservice_idは、例えば、ＡＲＩＢ（電波産業会：Association of Radio Industries and Businesses） ＳＴＤ−Ｂ１０に規定されている。

＜リンク範囲情報の記述形式＞
図５を参照して、リンク範囲情報の記述形式について、説明する。
図５に示すように、リンク範囲情報は、データ項目として、descriptor_tagと、descriptor_lengthと、boundary_extension_countとを有する。また、リンク範囲情報は、データ項目として、その個数がboundary_extension_countで指定される、１以上のboundary_extension_lengthと、１以上のboundary_extension_byteとを有する。

descriptor_tagには、リンク範囲情報を示す値（例えば、「０ｘ０２」）が８ビットで記述される。
boundary_extension_byteには、アプリケーションのリンク可能な１以上のＵＲＩの文字コードが、バイナリ形式で記述される。

なお、リンク範囲情報の各データ項目については、下記の参考文献に記載された“Simple application boundary descriptor”と同一のため、詳細な説明を省略する。
参考文献：「Digital Video Broadcasting (DVB); Signalling and carriage of interactive applications and services in Hybrid broadcast/broadband environments」、ＥＴＳＩ ＴＳ １０２ ８０９ Ｖ１．１．１（２０１０−０１）

＜リソース利用範囲情報の記述形式＞
図６，図７を参照して、リソース利用範囲情報の記述形式について、説明する。
図６に示すように、リソース利用範囲情報は、データ項目として、descriptor_tagと、descriptor_lengthと、resource_access_control_dataとを有する。

descriptor_tagには、リソース利用範囲情報を示す値（例えば、「０ｘ０３」）が８ビットで記述される。
descriptor_lengthには、このデータ項目の直後に続く記述子のデータ部分の全バイト長が８ビットで記述される。
resource_access_control_dataには、図７に示すように、リソースアクセス制限情報が８ビットのバイナリ形式で記述される。

このリソースアクセス制限情報は、各ビットをリソース種類に対応させて、リソース種類毎に利用可否を定めたものである。図７の例では、リソースアクセス制限情報は、第１ビット目がリソース「映像」に対応し、第２ビット目がリソース「音声」に対応し、第３ビット目がリソース「字幕」に対応し、第４ビット目がリソース「データ：ＢＭＬ」に対応する。また、リソースアクセス制限情報は、第５ビット目がリソース「番組配列情報：ＳＩ」に対応し、第６ビット目がリソース「ＶＯＤ」に対応し、第７ビット目がリソース「ストリーミング」に対応し、第８ビット目がリソース「メタデータ」に対応する。

そして、リソースアクセス制限情報は、リソースの種類に対応したビットが「１」の場合、アプリケーションがリソースにアクセスして、そのリソースを利用できることを示す。一方、リソースアクセス制限情報は、リソースの種類に対応したビットが「０」の場合、アプリケーションがリソースにアクセスできず、そのリソースを利用できないことを示す。

ここで、リソースとは、アプリケーションの動作に必要となるコンテンツ要素及び受信機資源のことであり、例えば、放送リソース、通信リソース、受信機リソースがある。
この放送リソースは、放送波で扱われるリソースであり、例えば、映像、音声、字幕、データ：ＢＭＬ、番組配列情報：ＳＩ（Service Information）をあげることができる。
また、通信リソースは、ネットワークで扱われるリソースであり、例えば、ＶＯＤ、ストリーミング、メタデータをあげることができる。
さらに、受信機リソースは、受信機８０のソフトウェア及びハードウェアに関するリソースであり、例えば、映像・音声出力処理、選局処理、メモリ、ストレージをあげることができる。

なお、図７では、各リソースが放送リソース又は通信リソースの何れに分類されるか、カッコ書きで図示した（図１２も同様）。
また、リソースアクセス制御情報を８ビットのバイナリ形式としたが、これに限定されず、アクセス制御対象のリソースの数に応じて定義するものとする。
また、本実施形態では、証明書Ｃ_Ｂは、拡張項目を含め、例えば、「CCITT Recommendation X.208: Specification of Abstract Syntax Notation One (ASN.1), 1988 (ASN.1: Abstract Syntax Notation One, ITU-T X.680-689)」で規定された記述言語を用いることとする。

図２に戻り、ＩＤ・署名鍵・証明書発行装置３０の構成について、説明を続ける。
証明書管理手段３０５は、証明書生成手段３０４から入力された証明書Ｃ_Ｂを記憶、管理するものである。そして、証明書管理手段３０５は、サービス事業者からのアプリケーションＩＤの申請に応じて、記憶した証明書Ｃ_Ｂを、アプリケーション登録装置４０に出力する。

署名鍵管理手段３０６は、署名鍵・検証鍵生成手段３０３から入力された署名鍵Ｓ_Ｂを記憶、管理するものである。そして、署名鍵管理手段３０６は、サービス事業者からのアプリケーションＩＤの申請に応じて、記憶した署名鍵Ｓ_Ｂを、アプリケーション登録装置４０に出力する。

［アプリケーション登録装置の構成］
図８を参照して、アプリケーション登録装置４０の構成について説明する（適宜図１参照）。
図８に示すように、アプリケーション登録装置４０は、アプリ入力手段４０１と、署名鍵入力手段４０２と、署名生成手段４０３と、署名付加手段４０４と、証明書付加手段４０５と、アプリ出力手段４０６とを備える。

アプリ入力手段４０１は、アプリケーション制作装置５０からアプリケーションが入力されるものである。そして、アプリ入力手段４０１は、入力されたアプリケーションを、署名生成手段４０３及び署名付加手段４０４に出力する。

署名鍵入力手段４０２は、ライセンス機関から証明書Ｃ_Ｂと、署名鍵Ｓ_Ｂとが入力されるものである。そして、署名鍵入力手段４０２は、入力された署名鍵Ｓ_Ｂを署名生成手段４０３に出力する。さらに、署名鍵入力手段４０２は、入力された証明書Ｃ_Ｂを証明書付加手段４０５に出力する。

署名生成手段４０３は、署名鍵入力手段４０２から署名鍵Ｓ_Ｂが入力され、この署名鍵Ｓ_Ｂを用いて、アプリケーション用署名を生成するものである。例えば、署名生成手段４０３は、アプリ入力手段４０１から入力されたアプリケーションのバイナリコードを、アプリケーション用署名の元となる署名元メッセージとする。そして、署名生成手段４０３は、この署名元メッセージに署名アルゴリズム（例えば、ＤＳＡ署名）を適用してアプリケーション用署名を生成して、署名付加手段４０４に出力する。
なお、署名生成手段４０３は、署名元メッセージにハッシュ関数（例えば、ＳＨＡ−１アルゴリズム）を用いて署名元メッセージを容量の少ないデータに変換してから、署名アルゴリズムを適用することが好ましい。

すなわち、署名生成手段４０３は、以下の式（１）で表されるアプリケーション用署名を生成する。この式（１）では、Ｓｉｇがアプリケーション用署名であり、Ｓｉｇｎａｔｕｒｅ＿Ｋｓが署名鍵Ｓ_Ｂ（秘密鍵）による署名生成であり、Ｍｅｓが署名元メッセージである。
Ｓｉｇ＝Ｓｉｇｎａｔｕｒｅ＿Ｋｓ（Ｍｅｓ）・・・式（１）

署名付加手段４０４は、アプリ入力手段４０１から入力されたアプリケーションに、署名生成手段４０３から入力されたアプリケーション用署名を付加するものである。そして、署名付加手段４０４は、アプリケーション用署名が付加されたアプリケーションを、証明書付加手段４０５に出力する。

証明書付加手段４０５は、署名付加手段４０４から入力されたアプリケーションに、署名鍵入力手段４０２から入力された証明書Ｃ_Ｂを付加するものである。そして、証明書付加手段４０５は、証明書Ｃ_Ｂが付加されたアプリケーションを、アプリ出力手段４０６に出力する。

アプリ出力手段４０６は、証明書付加手段４０５から入力されたアプリケーションを、アプリケーションサーバ７０に出力（登録）するものである。つまり、アプリ出力手段４０６が出力するアプリケーションは、アプリケーション本体と、アプリケーションＩＤと、署名鍵Ｓ_Ｂによるアプリケーション用署名と、証明書Ｃ_Ｂとがパッケージ化されたものである。

［受信機の構成］
図９を参照して、受信機８０の構成について説明する（適宜図１参照）。
図９に示すように、受信機（放送通信連携受信装置）８０は、放送受信手段８０１と、放送信号解析手段８０２と、映像・音声復号手段８０３と、データ放送復号手段８０４と、通信送受信手段８０５と、アプリ起動情報取得手段８０６と、アプリ起動情報記憶手段８０７と、リスト制御手段８０８と、アプリ管理・実行制御手段８０９と、起動アプリ識別情報記憶手段８１０と、アプリ取得手段８１１と、アプリ記憶手段８１２と、アプリ実行手段８１３と、操作制御手段８１４と、合成表示手段８１５と、セキュリティ管理手段８１６と、リソース管理手段８２１とを備える。

放送受信手段８０１は、アンテナＡを介して、放送波として送信される放送データを受信するものである。この放送受信手段８０１は、放送データを受信、復調し、誤り訂正やＴＭＣＣ（Transmission and Multiplexing Configuration Control）復号等の復号を行い、ＭＰＥＧ２のトランスポートストリーム（ＴＳ）として、放送信号解析手段８０２に出力する。
なお、この放送受信手段８０１は、アンテナＡを介して、電波によって放送信号を受信するものに限定されず、ケーブルを介して、放送信号を受信するものであってもよい。

放送信号解析手段８０２は、放送受信手段８０１で復調されたストリームデータ（トランスポートストリーム）において、ＰＳＩ／ＳＩ（Program Specific Information〔番組特定情報〕／Service Information〔番組配列情報〕）を解析し、現在選局中の編成チャンネルに対応する映像、音声、データ放送等のデータを抽出するものである。なお、選局は、後記する操作制御手段８１４から通知されるチャンネル切替指示に基づいて行われる。

この放送信号解析手段８０２は、抽出した映像、音声等のデータであるＰＥＳ（Packetized Elementary Stream）形式のデータについては、映像・音声復号手段８０３に出力し、抽出したデータ放送等のデータであるセクション形式のデータについては、データ放送復号手段８０４に出力する。

このとき、放送信号解析手段８０２は、放送受信手段８０１で復調されたストリームデータから、ＳＩ（番組配列情報）の一つであるＡＩＴの記述子（アプリケーション起動情報記述子）に含まれているアプリケーション起動情報を抽出してもよい。そして、放送信号解析手段８０２は、抽出したアプリケーション起動情報をアプリ起動情報記憶手段８０７に書き込む。さらに、放送信号解析手段８０２は、アプリケーション起動情報を抽出した場合、アプリケーション起動情報が通知された旨（起動情報通知）を、アプリケーションを識別する情報（アプリケーションＩＤ）と共に、アプリ管理・実行制御手段８０９に通知する。

さらに、放送信号解析手段８０２は、起動範囲判定手段８１８から、選局されている編成チャンネルが問い合わせされる（選局チャンネル問合）。この選局チャンネル問合に応じて、放送信号解析手段８０２は、選局されている編成チャンネルを示す情報として、選局編成チャンネル問合結果を、後記する起動範囲判定手段８１８に出力する。

なお、選局編成チャンネル問合結果は、解析した番組配列情報に含まれるoriginal_network_idと、transport_stream_idと、service_idとの組である。
また、図９では、図面を見やすくするため、放送信号解析手段８０２及び起動範囲判定手段８１８の間での信号入出力を、丸付きのＢで図示した。

映像・音声復号手段８０３は、放送信号解析手段８０２で抽出された映像・音声（映像ストリーム及び音声ストリーム）を復号するものである。この映像・音声復号手段８０３は、映像・音声が例えば、ＭＰＥＧ２の符号化方式によって符号化されている場合、ＭＰＥＧ２の復号を行い表示可能な出力形式の映像・音声データとして、合成表示手段８１５に出力する。

データ放送復号手段８０４は、放送信号解析手段８０２で抽出されたデータ放送のデータを復号するものである。このデータ放送復号手段８０４は、カルーセルを復号し、ＢＭＬを解析し、当該ＢＭＬを表示可能な出力形式に変換するＢＭＬブラウザの機能を有し、変換した表示データ（データ放送データ）を、合成表示手段８１５に出力する。

また、データ放送復号手段８０４は、カルーセルで送信されたアプリケーション起動情報を抽出してもよい。そして、データ放送復号手段８０４は、抽出したアプリケーション起動情報をアプリ起動情報記憶手段８０７に書き込む。

ここで、データ放送復号手段８０４は、証明書抽出手段８０４ａをさらに備える。
証明書抽出手段８０４ａは、カルーセルで送信された証明書Ｃ_ＣＡ，Ｃ_Ｌを抽出するものである。そして、証明書抽出手段８０４ａは、抽出した証明書Ｃ_ＣＡ，Ｃ_Ｌを証明書管理手段８１７ａに書き込む。
通信送受信手段８０５は、ネットワークを介して、アプリケーション等のデータを受信するものである。

アプリ起動情報取得手段８０６は、通信送受信手段８０５を介して、アプリケーションに対応する起動情報を取得するものである。
例えば、アプリ起動情報取得手段８０６は、起動時（電源ＯＮ時）に予め定めたサーバ（アプリケーション起動情報サーバ）からアプリケーション起動情報を取得し、取得したアプリケーション起動情報をアプリ起動情報記憶手段８０７に書き込む。あるいは、アプリ起動情報取得手段８０６は、ユーザによって、後記する操作制御手段８１４を介して、アプリケーションのリストを表示させる指示（リスト表示指示）が通知された段階で、アプリケーション起動情報を取得することとしてもよい。

アプリ起動情報記憶手段８０７は、アプリケーション起動情報を記憶するものであって、メモリ、ハードディスク等の記憶媒体である。ここでは、アプリ起動情報記憶手段８０７は、放送信号解析手段８０２によって、抽出されたアプリケーション起動情報が書き込まれる。また、アプリ起動情報記憶手段８０７は、アプリ起動情報取得手段８０６によって、取得されたアプリケーション起動情報が書き込まれる。

リスト制御手段８０８は、起動可能なアプリケーションのリストの表示及びアプリケーションの選択の制御を行うローンチャー（Launcher）である。
このリスト制御手段８０８は、起動可能なアプリケーションのリストを表示する。つまり、リスト制御手段８０８は、ユーザから操作制御手段８１４を介してリスト表示を指示されることで、アプリ起動情報記憶手段８０７に記憶されているアプリケーション起動情報に対応するアプリケーションのリストを生成し、表示データとして、合成表示手段８１５に出力する。

また、リスト制御手段８０８は、表示したアプリケーションのリストにおいて、操作制御手段８１４を介して指示される、ユーザからのリスト選択指示に基づいて、アプリケーションを選択するものである。そして、リスト制御手段８０８は、選択されたアプリケーションを識別する番号（アプリケーションＩＤ）を含んだ選択アプリケーション通知をアプリ管理・実行制御手段８０９に出力する。

アプリ管理・実行制御手段８０９は、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御するものである。
このアプリ管理・実行制御手段８０９は、放送信号解析手段８０２から起動情報通知が通知された場合、又は、リスト制御手段８０８から選択アプリケーション通知が通知された場合、起動範囲判定手段８１８に起動範囲を問い合わせる（起動範囲問合）。
この起動範囲問合に応じて、アプリ管理・実行制御手段８０９は、起動範囲判定手段８１８から、起動範囲の問い合わせ結果（起動範囲問合結果）が入力される。
なお、図９では、図面を見やすくするため、アプリ管理・実行制御手段８０９及び起動範囲判定手段８１８の間での信号入出力を、丸付きのＡで図示した。

この起動範囲問合結果は、起動範囲に応じて、アプリケーションが起動できるか否かを示す情報であり、後記する起動制御手段８０９ａで参照される。例えば、起動範囲問合結果は、アプリケーションが起動範囲内でアプリケーションを起動できる「アプリ起動可」、又は、アプリケーションが起動範囲外でアプリケーションを起動できない「アプリ起動不可」の何れかである。

また、アプリ管理・実行制御手段８０９は、放送信号解析手段８０２から起動情報通知が通知された場合、又は、リスト制御手段８０８から選択アプリケーション通知が通知された場合、リンク範囲判定手段８１９にリンク範囲を問い合わせる（リンク範囲問合）。
このとき、アプリ管理・実行制御手段８０９は、アプリ起動情報記憶手段８０７のアプリケーション起動情報に記述されたロケーション情報（アプリケーションサーバ７０のＵＲＩ）を取得する。そして、アプリ管理・実行制御手段８０９は、取得したロケーション情報を取得元ＵＲＩとして、リンク範囲問合に記述しておく。

このリンク範囲問合に応じて、アプリ管理・実行制御手段８０９は、リンク範囲判定手段８１９から、リンク範囲問合の問い合わせ結果（リンク範囲問合結果）が入力される。
このリンク範囲問合結果は、リンク範囲に応じて、アプリケーションが起動できるか否かを示す情報であり、起動制御手段８０９ａ及び遷移制御手段８０９ｄで参照される。例えば、リンク範囲問合結果は、アプリケーションがリンク範囲内でアプリケーションを起動できる「アプリ起動可」、又は、アプリケーションがリンク範囲外でアプリケーションを起動できない「アプリ起動不可」の何れかである。

また、アプリ管理・実行制御手段８０９は、後記するアプリ認証手段８１７から認証結果が入力される。
この認証結果は、アプリケーション認証が成功したか又は失敗したかを示す情報であり、起動制御手段８０９ａで参照される。例えば、認証結果は、アプリケーション認証が成功した「認証成功」、又は、アプリケーション認証が失敗した「認証失敗」の何れかである。

また、アプリ管理・実行制御手段８０９は、後記するアプリ実行手段８１３からリソース割当要求が入力されると、このリソース割当要求を後記するリソース管理手段８２１に出力（転送）する。
また、アプリ管理・実行制御手段８０９は、リソース管理手段８２１からリソース割当要求の応答が入力されると、このリソース割当要求の応答をアプリ実行手段８１３に出力（転送）する。

ここで、アプリ管理・実行制御手段８０９は、起動制御手段８０９ａと、終了制御手段８０９ｂと、蓄積管理手段８０９ｃと、遷移制御手段８０９ｄを備える。
起動制御手段８０９ａは、入力された起動範囲問合結果、リンク範囲問合結果及び認証結果に基づいて、アプリ取得手段８１１が取得したアプリケーションの起動を制御するものである。

起動範囲問合結果が「アプリ起動可」、かつ、リンク範囲問合結果が「アプリ起動可」、かつ、認証結果が「認証成功」の場合、起動制御手段８０９ａは、アプリ実行手段８１３に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、アプリケーションが起動することになる。

一方、起動範囲問合結果が「アプリ起動不可」、リンク範囲問合結果が「アプリ起動不可」、又は、認証結果が「認証失敗」の場合、起動制御手段８０９ａは、アプリケーションを実行させない旨、アプリ実行手段８１３に指示する。これによって、アプリケーションの起動が禁止されることになる。
なお、起動制御手段８０９ａは、起動中のアプリケーションを識別情報（アプリケーションＩＤ）で管理し、起動アプリ識別情報記憶手段８１０に起動中のアプリケーションＩＤを書き込むこととする。

終了制御手段８０９ｂは、起動中のアプリケーションの終了制御を行うものである。
具体的には、終了制御手段８０９ｂは、放送信号解析手段８０２から起動情報通知が通知された際、アプリ起動情報記憶手段８０７に記憶されている、起動情報通知と共に通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コード（起動終了指示）に応じて、アプリケーションを終了させる。

蓄積管理手段８０９ｃは、受信機８０内（具体的には、アプリ記憶手段８１２）にアプリケーションを予め蓄積（インストール）する制御を行うものである。
具体的には、蓄積管理手段８０９ｃは、リスト制御手段８０８から、起動可能なアプリケーションのリストの中で、ユーザが選択した選択アプリケーションを特定する情報（アプリケーションＩＤ）と共に、アプリ記憶手段８１２にアプリケーションを蓄積させる旨を通知された場合に、アプリケーション起動情報に記述されているアプリケーションの所在（ＵＲＩ）からそのアプリケーションを取得し、アプリ記憶手段８１２に書き込む旨（アプリケーション取得指示）を、アプリ取得手段８１１に通知する。
これによって、アプリ記憶手段８１２には、ユーザが選択したアプリケーションが蓄積される。

また、蓄積管理手段８０９ｃは、アプリケーションをアプリ記憶手段８１２に蓄積（インストール）した場合、アプリ起動情報記憶手段８０７にアプリケーションが蓄積されている旨の状態を書き込み管理することとする。
一方、蓄積管理手段８０９ｃは、ユーザの指示に応じて、蓄積したアプリケーションを削除する。すなわち、アプリ記憶手段８１２に記憶されているアプリケーションは、蓄積管理手段８０９ｃ内の蓄積アプリケーションリスト表示手段（不図示）によってリスト表示され、アプリケーション選択削除手段（不図示）によって、ユーザからの選択により、アプリ記憶手段８１２から削除される。このとき、アプリケーション選択削除手段（不図示）は、アプリ起動情報記憶手段８０７において、対応するアプリケーション蓄積状態を“未蓄積”とする。

遷移制御手段８０９ｄは、アプリ実行手段８１３で実行されているアプリケーションの遷移を制御するものである。
具体的には、遷移制御手段８０９ｄは、実行中のアプリケーションがＷｅｂページを遷移するとき、アプリ実行手段８１３から、Ｗｅｂページが遷移する旨が通知される（遷移先情報通知）。この遷移先情報通知には、実行中のアプリケーションのＩＤと、遷移先ＷｅｂページのＵＲＩとが含まれている。

遷移先情報通知が入力された場合、遷移制御手段８０９ｄは、実行中のアプリケーションが遷移先Ｗｅｂページに遷移できるか否かを、リンク範囲判定手段８１９に問い合わせる（遷移可否問合）。このとき、遷移制御手段８０９ｄは、遷移先情報通知に含まれるＵＲＩを、取得元ＵＲＩとして遷移可否問合に記述しておく。
この遷移可否問合に応じて、遷移制御手段８０９ｄは、リンク範囲判定手段８１９から、遷移可否の問い合わせ結果が入力される（遷移可否合結果）。

この遷移可否問合結果は、リンク範囲に応じて、アプリケーションが遷移先Ｗｅｂページに遷移できるか否かを示す情報である。例えば、遷移可否問合結果は、アプリケーションがリンク範囲内でアプリケーションが遷移できる「アプリ遷移可」、又は、アプリケーションがリンク範囲外でアプリケーションが遷移できない「アプリ遷移不可」の何れかである。

遷移可否問合結果が「アプリ遷移可」の場合、遷移制御手段８０９ｄは、アプリ実行手段８１３にＷｅｂページの遷移を許可する旨（遷移許可通知）を通知する。これによって、アプリケーションがＷｅｂページを遷移することになる。

一方、遷移可否問合結果が「アプリ遷移不可」の場合、遷移制御手段８０９ｄは、アプリ実行手段８１３にＷｅｂページの遷移を許可できない旨（遷移不許可通知）を通知する。これによって、アプリケーションがＷｅｂページの遷移を停止することになる。

起動アプリ識別情報記憶手段８１０は、起動中のアプリケーションの識別情報（アプリケーションＩＤ）を記憶するものであって、半導体メモリ等の記憶媒体である。この起動アプリ識別情報記憶手段８１０は、起動制御手段８０９ａによって、アプリケーションが起動された際にアプリケーションＩＤが書き込まれ、終了制御手段８０９ｂによって、アプリケーションが終了する際に削除される。

アプリ取得手段８１１は、通信送受信手段８０５を介して、アプリケーションサーバ７０に記憶されたアプリケーションを取得するものである。
このアプリ取得手段８１１は、蓄積管理手段８０９ｃからアプリケーション取得指示を通知された場合、当該指示で通知されるアプリケーションの所在（アドレス）から、指定されたアプリケーションを取得し、その取得したアプリケーションをアプリ記憶手段８１２に書き込み蓄積する。

また、アプリ取得手段８１１は、アプリケーションを取得したとき、認証指示をアプリ認証手段８１７に出力する。この認証指示は、アプリケーションが正当であるか否かの認証（アプリケーション認証）を指示するものである。
これによって、受信機８０は、アプリケーションを起動する都度、アプリケーション認証を行う場合に比べて、その回数を低減でき、受信機８０の処理負荷を軽減することができる。
アプリ取得手段８１１が出力した認証指示は、図９には「認証指示１」と図示した。なお、「認証指示２」については、説明を後記する。

アプリ記憶手段８１２は、アプリ取得手段８１１で取得されたアプリケーションを記憶するもので、ハードディスク等の記憶媒体である。このアプリ記憶手段８１２に記憶されているアプリケーションは、アプリ実行手段８１３によって読み出され、実行される。
なお、アプリ記憶手段８１２に記憶されているアプリケーションには、放送通信連携システム１が想定するアプリケーションＩＤと、署名と、証明書Ｃ_Ｂとが付加されている。

アプリ実行手段８１３は、アプリ管理・実行制御手段８０９からの指示（起動制御指示）に基づいて、アプリケーションの起動及び終了を行うものである。
このアプリ実行手段８１３は、起動制御手段８０９ａからアプリケーションを実行する旨が指示された場合、起動制御指示に含まれるアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）に基づいて、アプリケーション及びアプリケーションを実行する際に必要となるデータ（例えば、メタデータ、アイコンデータ等）をアプリケーションの取得元から取得する。
そして、アプリ実行手段８１３は、図示を省略したメモリにアプリケーションを展開（ロード）し、アプリケーション（放送局アプリ及び一般アプリ）を実行する。
このアプリケーションの実行に伴う画像や音声のデータは、合成表示手段８１５に出力される。

また、アプリ実行手段８１３は、起動制御手段８０９ａからアプリケーションを実行させない旨が指示された場合、合成表示手段８１５を介して、アプリケーションを実行できない旨のメッセージを表示してもよい。すなわち、起動範囲問合結果が「アプリ起動不可」、リンク範囲問合結果が「アプリ起動不可」、又は、認証結果が「認証失敗」の場合、アプリ実行手段８１３に起動制御指示が入力されないため、アプリケーションの起動が禁止される。
また、アプリ実行手段８１３は、終了制御手段８０９ｂからアプリケーションを終了する旨が指示された場合、指示されたアプリケーションを終了させる。

また、アプリ実行手段８１３は、実行中のアプリケーションが表示中のＷｅｂページから他のＷｅｂページ（遷移先Ｗｅｂページ）に遷移するとき、遷移先情報通知をアプリ管理・実行制御手段８０９に通知する。
この遷移先情報通知に応じて、アプリ実行手段８１３は、アプリ管理・実行制御手段８０９から、「遷移許可通知」又は「遷移不許可通知」が入力される。

「遷移許可通知」が入力された場合、アプリ実行手段８１３は、実行中のアプリケーションにＷｅｂページを遷移させる。
一方、「遷移不許可通知」が入力された場合、アプリ実行手段８１３は、実行中のアプリケーションによるＷｅｂページの遷移を停止させる。このとき、アプリ実行手段８１３は、合成表示手段８１５を介して、Ｗｅｂページを遷移できない旨のメッセージを表示してもよい。

ここで、アプリ実行手段８１３は、起動中のアプリケーションがリソースにアクセスするＡＰＩ（Application Program Interface）を呼び出した場合、アプリ管理・実行制御手段８０９を介して、リソース割当要求をリソース管理手段８２１に出力する。
このリソース割当要求は、リソースの割り当てを要求するものであり、例えば、起動中のアプリケーションのＩＤと、このアプリケーションが呼び出したＡＰＩ名とが含まれている。

また、アプリ実行手段８１３は、アプリ管理・実行制御手段８０９からリソース割当要求の応答が入力される。
このリソース割当要求の応答は、リソースの割り当てが成功したか又は失敗したかを示すものである。例えば、リソース割当要求の応答は、リソースの割り当てが成功である「リソース割当成功」、又は、リソースの割り当てが失敗である「リソース割当失敗」の何れかを示す。

ここで、リソース割当要求の応答が「リソース割当成功」の場合、アプリ実行手段８１３は、ＡＰＩを呼び出して、リソース管理手段８２１によって割り当てられたリソースを使用する。
一方、リソース割当要求の応答が「リソース割当失敗」の場合、アプリ実行手段８１３は、例えば、セキュリティ関係の例外処理、アプリケーションを終了する等のアプリケーションごとに任意の処理を行う。この場合、アプリ実行手段８１３は、終了制御手段８０９ｂから通常終了あるいは強制終了であるかを、例えば、割り込み信号等によって起動中のアプリケーションに通知し、アプリケーションを終了させる。

なお、アプリ実行手段８１３は、アプリ管理・実行制御手段８０９を介して、リソース割当要求をリソース管理手段８２１に出力することとして説明したが、これに限定されない。具体的には、アプリ実行手段８１３は、リソース割当要求をリソース管理手段８２１に直接出力してもよい（不図示）。

操作制御手段８１４は、外部のリモコン装置Ｒｉ等の入力手段を介して、受信機８０に対するユーザの操作（例えば、チャンネル変更等）を制御するものである。
この操作制御手段８１４は、リモコン装置Ｒｉを介してユーザからチャンネルの変更が指示された場合、選択されたチャンネルのチャンネル番号を含んだチャンネル切替指示を放送信号解析手段８０２に通知する。これによって、現在視聴中のチャンネルが選局されることになる。

合成表示手段８１５は、映像・音声を合成して表示するものである。この合成表示手段８１５は、映像・音声復号手段８０３で復号された映像データ・音声データ、データ放送復号手段８０４で復号されたデータ放送の表示データ、リスト制御手段８０８で生成されたリストの表示データ及びアプリ実行手段８１３で生成されたアプリケーションの表示データをそれぞれ合成して表示する。
なお、合成表示手段８１５は、合成した音声については、音声信号として外部に接続されたスピーカ等の音声出力装置Ｓｐに出力し、合成した映像（画像）については、映像信号として外部に接続された液晶ディスプレイ等の映像表示装置Ｍｏに出力する。

セキュリティ管理手段８１６は、受信機８０のセキュリティを管理するものであり、アプリ認証手段８１７と、起動範囲判定手段（起動判定手段）８１８と、リンク範囲判定手段（起動判定手段）８１９と、リソースアクセス制御手段８２０とを備える。

アプリ認証手段８１７は、アプリ取得手段８１１から入力された認証指示に応じて、アプリ取得手段８１１が取得したアプリケーションについて、アプリケーション認証を行うものである。このため、図９に示すように、アプリ認証手段８１７は、証明書管理手段８１７ａと、証明書確認手段８１７ｂと、署名検証手段８１７ｃと、アクセス制御情報抽出手段（抽出手段）８１７ｄとを備える。

証明書管理手段８１７ａは、証明書抽出手段８０４ａで抽出された証明書Ｃ_ＣＡ，Ｃ_Ｌを記憶、管理するものである。
証明書確認手段８１７ｂは、アプリ認証手段８１７からの指示に応じて、アプリケーションに付加された証明書Ｃ_Ｂと、証明書管理手段８１７ａに記憶された証明書Ｃ_Ｌとが有効であるか否かを確認するものである。

署名検証手段８１７ｃは、アプリケーションから抽出した署名が正当であるか否かを検証するものである。
アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからの指示に応じて、有効な証明書Ｃ_Ｂの拡張項目から、アクセス制御情報として、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出するものである。

＜アプリケーション認証＞
以下、アプリ認証手段８１７によるアプリケーション認証について、説明する。
アプリ認証手段８１７は、アプリ取得手段８１１から認証指示が入力されると、アプリ記憶手段８１２のアプリケーションに証明書Ｃ_Ｂが付加されているか否か、つまり、アプリケーションから証明書Ｃ_Ｂを抽出できるか否かを確認する。

証明書Ｃ_Ｂが付加されている場合、アプリ認証手段８１７は、アプリ記憶手段８１２から、アプリケーション本体と、アプリケーションに付加されたアプリケーションＩＤと、アプリケーション用署名と、証明書Ｃ_Ｂとを抽出する。そして、アプリ認証手段８１７は、証明書の有効性の確認を、証明書確認手段８１７ｂに指示する。
一方、証明書Ｃ_Ｂが付加されていない場合、アプリ認証手段８１７は、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。
なお、図９では、アプリケーション用署名を単に「署名」と図示した（図１３も同様）。

証明書確認手段８１７ｂは、証明書管理手段８１７ａに記憶された証明書Ｃ_ＣＡの検証鍵Ｐ_ＣＡを用いて、証明書管理手段８１７ａに記憶された証明書Ｃ_Ｌが有効であるか否かを確認する。
なお、証明書Ｃ_Ｌが有効であるか否かの確認とは、例えば、検証鍵Ｐ_ＣＡを用いて、証明書Ｃ_Ｌに付加された署名（署名鍵Ｓ_ＣＡで生成した署名）を復号し、復号した署名と署名元メッセージとが一致するか否かを検証することである。

証明書Ｃ_Ｌが有効な場合、証明書確認手段８１７ｂは、この証明書Ｃ_Ｌの検証鍵Ｐ_Ｌを用いて、アプリ認証手段８１７が抽出した証明書Ｃ_Ｂが有効であるか否かを確認する。
なお、証明書Ｃ_Ｂが有効であるか否かの確認とは、例えば、検証鍵Ｐ_Ｌを用いて、証明書Ｃ_Ｂに付加された署名（署名鍵Ｓ_Ｌによる署名）を復号し、復号した署名と署名元メッセージとが一致するか否かを検証することである。

証明書Ｃ_Ｂが有効な場合、証明書確認手段８１７ｂは、署名検証手段８１７ｃに署名の検証を指示（署名検証指示）する。
一方、証明書Ｃ_Ｌが有効でない場合、又は、証明書Ｃ_Ｂが有効でない場合、証明書確認手段８１７ｂは、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。

署名検証手段８１７ｃは、証明書確認手段８１７ｂから署名検証指示が入力されると、証明書Ｃ_Ｂの検証鍵Ｐ_Ｂを用いて、アプリケーション用署名が正当であるか否かを検証する。具体的には、署名検証手段８１７ｃは、署名元メッセージに署名検証アルゴリズムを適用して、アプリケーション用署名を検証する（式（２）参照）。この式（２）では、Ｖｅｒｉｆｙ＿Ｋｐが検証鍵（公開鍵）Ｐ_Ｂを使用した署名検証である。
Ｖｅｒｉｆｙ＿Ｋｐ（Ｍｅｓ、Ｓｉｇ）＜＝＞１・・・式（２）

ここで、Ｖｅｒｉｆｙの結果が「１」である場合、アプリケーション用署名が正当といえる。この場合、署名検証手段８１７ｃは、アクセス制御情報の抽出をアクセス制御情報抽出手段８１７ｄに指示（アクセス制御情報抽出指示）する。

一方、Ｖｅｒｉｆｙの結果が「１」でない場合、アプリケーション用署名が正当といえない。この場合、署名検証手段８１７ｃは、アプリケーション用署名を検証したアプリケーションのＩＤと共に、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。

アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからアクセス制御情報抽出指示が入力されると、証明書Ｃ_Ｂの拡張項目から起動範囲情報を抽出して、アプリケーションＩＤと共に、起動範囲判定手段８１８に出力する。また、アクセス制御情報抽出手段８１７ｄは、証明書Ｃ_Ｂの拡張項目からリンク範囲情報を抽出して、アプリケーションＩＤと共に、リンク範囲判定手段８１９に出力する。さらに、アクセス制御情報抽出手段８１７ｄは、証明書Ｃ_Ｂの拡張項目からリソース利用範囲情報を抽出して、アプリケーションＩＤと共に、リソースアクセス制御手段８２０に出力する。その後、アクセス制御情報抽出手段８１７ｄは、アプリケーション用署名を検証したアプリケーションのＩＤと共に、認証結果として「認証成功」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。

引き続き、受信機８０の構成について、説明を続ける。
起動範囲判定手段８１８は、選局されている放送番組の編成チャンネルが起動範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定するものである。

＜起動範囲判定＞
以下、図１０を参照し、起動範囲判定手段８１８による起動範囲判定について、説明する（適宜図９参照）。
まず、起動範囲判定手段８１８は、図１０に示すように、アクセス制御情報抽出手段８１７ｄから入力された起動範囲情報を、メモリ等に格納された起動範囲情報テーブルに書き込む。

この起動範囲情報テーブルは、データ項目として、アプリＩＤと、１以上の編成チャンネルとを有する。
アプリＩＤは、アクセス制御情報抽出手段８１７ｄから入力されたアプリケーションＩＤが書き込まれる。
起動範囲は、アクセス制御情報抽出手段８１７ｄから入力された起動範囲情報に含まれるoriginal_network_idと、transport_stream_idと、service_idとが書き込まれる。

例えば、図１０の起動範囲情報テーブルでは、アプリケーションＩＤ＝「１」で特定されるアプリケーションについて、original_network_id＝「０ｘ７ＦＥ０」、transport_stream_id＝「０ｘ７ＦＥ０」及びservice_id＝「０ｘ０４００」で特定される編成チャンネルが、起動範囲であることを示している。
なお、図１０の起動範囲情報テーブルでは、２つのアプリケーションについて、それぞれの起動範囲を１つだけ図示したが、これに限定されないことは言うまでもない。

次に、起動範囲判定手段８１８は、アプリ管理・実行制御手段８０９から起動範囲問合が入力された場合、放送信号解析手段８０２に選局チャンネル問合を出力する。
この選局中チャンネル問合に応じて、起動範囲判定手段８１８は、放送信号解析手段８０２から、選局編成チャンネル問合結果が入力される。そして、起動範囲判定手段８１８は、取得したアプリケーションのＩＤについて、選局編成チャンネル問合結果に含まれる選局されている編成チャンネルが、起動範囲情報テーブルに含まれる起動範囲の何れかに一致するか否かを判定する。

選局されている編成チャンネルが起動範囲の何れかに一致する場合、起動範囲判定手段８１８は、起動範囲問合結果として「アプリ起動可」を、アプリ管理・実行制御手段８０９に出力する。
一方、選局されている編成チャンネルが起動範囲の何れにも一致しない場合、起動範囲判定手段８１８は、起動範囲問合結果として「アプリ起動不可」を、アプリ管理・実行制御手段８０９に出力する。

図９に戻り、受信機８０の構成について、説明を続ける。
リンク範囲判定手段８１９は、アプリケーションサーバ７０のＵＲＩがリンク範囲情報に含まれるか否かにより、取得したアプリケーションが起動できるか否かを判定するものである。
さらに、リンク範囲判定手段８１９は、遷移先ＷｅｂページのＵＲＩがリンク範囲情報に含まれるか否かにより、アプリケーションが遷移先Ｗｅｂページに遷移できるか否かを判定する。

＜リンク範囲判定＞
以下、図１１を参照し、リンク範囲判定手段８１９によるリンク範囲判定について、説明する（適宜図９参照）。
まず、リンク範囲判定手段８１９は、図１１に示すように、アクセス制御情報抽出手段８１７ｄから入力されたリンク範囲情報を、メモリ等に格納されたリンク範囲情報テーブルに書き込む。

このリンク範囲情報テーブルは、データ項目として、アプリＩＤと、１以上のリンク範囲とを有する。
アプリＩＤは、アクセス制御情報抽出手段８１７ｄから入力されたアプリケーションＩＤが書き込まれる。
リンク範囲は、アクセス制御情報抽出手段８１７ｄから入力されたリンク範囲情報のboundary_extension_byteをテキスト形式に復元して、書き込まれる。

例えば、図１１のリンク範囲情報テーブルでは、アプリケーションＩＤ＝「１」で特定されるアプリケーションについて、「http://hoobar.co.jp」及び「http://xyzzy.co.jp」で特定されるＵＲＩが、リンク範囲であることを示している。
なお、図１１では、２つのアプリケーションについて、それぞれのリンク範囲を２つだけ図示したが、これに限定されないことは言うまでもない。

次に、リンク範囲判定手段８１９は、取得したアプリケーションについて、アプリ管理・実行制御手段８０９からのリンク範囲問合に含まれる取得元ＵＲＩが、リンク範囲情報テーブルに含まれるリンク範囲の何れかに一致するか否かを判定する。
なお、前記したように、リンク範囲問合は、取得元ＵＲＩとして、アプリケーションサーバ７０のＵＲＩが記述されている。

取得元ＵＲＩがリンク範囲の何れかに一致する場合、リンク範囲判定手段８１９は、リンク範囲問合結果として「アプリ起動可」を、アプリ管理・実行制御手段８０９に出力する。
一方、取得元ＵＲＩがリンク範囲の何れにも一致しない場合、リンク範囲判定手段８１９は、リンク範囲問合結果として「アプリ起動不可」を、アプリ管理・実行制御手段８０９に出力する。

さらに、リンク範囲判定手段８１９は、実行中のアプリケーションについて、遷移制御手段８０９ｄからの遷移可否問合に含まれる取得元ＵＲＩが、リンク範囲情報テーブルに含まれるリンク範囲の何れかに一致するか否かを判定する。
なお、前記したように、遷移可否問合は、取得元ＵＲＩとして、遷移先ＷｅｂページのＵＲＩが記述されている。

取得元ＵＲＩがリンク範囲の何れかに一致する場合、リンク範囲判定手段８１９は、遷移可否問合結果として「アプリ遷移可」を、遷移制御手段８０９ｄに出力する。
一方、取得元ＵＲＩがリンク範囲の何れにも一致しない場合、リンク範囲判定手段８１９は、遷移可否問合結果として「アプリ遷移不可」を、遷移制御手段８０９ｄに出力する。

図９に戻り、受信機８０の構成について、説明を続ける。
リソースアクセス制御手段８２０は、リソースアクセス制御テーブルを準備しておき、アプリ取得手段８１１が取得したアプリケーションに対して、リソースアクセス制御を行うものである。

＜リソースアクセス制御＞
以下、図１２を参照し、リソースアクセス制御手段８２０によるリソースアクセス制御について、説明する（適宜図９参照）。
まず、リソースアクセス制御手段８２０は、図１２に示すように、アクセス制御情報抽出手段８１７ｄから入力されたリソース利用範囲情報を、メモリ等に格納されたリソースアクセス制御テーブルに書き込む。

このリソースアクセス制御テーブルは、データ項目として、ＡＰＩ識別子と、リソース種類と、ＡＰＩ名と、アプリケーション毎の利用可否とを有する。
ＡＰＩ識別子は、リソースにアクセスするＡＰＩを一意に識別する識別子であり、予め設定されている。
ＡＰＩ名は、そのリソースにアクセスするＡＰＩの名称であり、予め設定されている。
リソース種類は、そのＡＰＩがアクセスできるリソースを示す情報であり、図７のリソースアクセス制限情報に対応させて予め設定されている。
利用可否は、個々のアプリケーションが、そのリソースにアクセスできるか否かを示す。

アプリケーションＩＤ＝「１」で特定されるアプリケーションについて、リソース利用範囲情報に含まれるリソースアクセス制限情報のビット列が「１１１１１１１１」の場合を考える。つまり、リソースアクセス制限情報は、第１ビット目から第８ビット目まで、リソースにアクセスできることを示す「１」である。

この場合、リソースアクセス制御手段８２０は、アプリＩＤ＝１の利用可否について、第１ビット目に対応するリソース「映像」、第２ビット目に対応するリソース「音声」、第３ビット目に対応するリソース「字幕」、第４ビット目に対応するリソース「データ」に、アクセスできることを示す「○」を書き込む。

さらに、リソースアクセス制御手段８２０は、アプリＩＤ＝１の利用可否について、第５ビット目に対応するリソース「番組配列情報」、第６ビット目に対応するリソース「ＶＯＤ」、第７ビット目に対応するリソース「ストリーミング」、第８ビット目に対応するリソース「メタデータ」に、「○」を書き込む。

アプリケーションＩＤ＝「２」で特定されるアプリケーションについて、リソースアクセス制限情報のビット列が「０００１１１１１」の場合を考える。つまり、リソースアクセス制限情報は、第１ビット目から第３ビット目までリソースにアクセスできないことを示す「０」である。また、このリソースアクセス制限情報は、第４ビット目から第８ビット目まで、「１」である。

この場合、リソースアクセス制御手段８２０は、アプリＩＤ＝２の利用可否について、リソース「映像」、リソース「音声」、リソース「字幕」に、アクセスできないことを示す「×」を書き込む。

さらに、リソースアクセス制御手段８２０は、アプリＩＤ＝２の利用可否について、リソース「データ」、リソース「番組配列情報」、リソース「ＶＯＤ」、「ストリーミング」、リソース「メタデータ」に、「○」を書き込む。

アプリケーションＩＤ＝「３」で特定されるアプリケーションについて、リソースアクセス制限情報のビット列が「００００００００」の場合を考える。つまり、リソースアクセス制限情報は、第１ビット目から第８ビット目まで、「０」である。

この場合、リソースアクセス制御手段８２０は、アプリＩＤ＝３の利用可否について、リソース「映像」、リソース「音声」、リソース「字幕」、リソース「データ」、リソース「番組配列情報」、リソース「ＶＯＤ」、リソース「ストリーミング」、リソース「メタデータ」に、「×」を書き込む。
なお、図１２では、アプリケーションが３つの例を図示したが、これに限定されないことは言うまでもない。

次に、リソースアクセス制御手段８２０は、リソース割当可否問合に含まれるアプリケーションＩＤ及びＡＰＩ名をリソースアクセス制御テーブルの検索キーとして、利用可否）を検索して、リソースの割り当ての可否を判定する。

例えば、アプリケーションＩＤ＝「１」で特定されるアプリケーションが「ＡＰＩ＿Ａ（）」を呼び出した場合を考える。この場合、リソースアクセス制御手段８２０は、リソースアクセス制御テーブルでアプリＩＤ＝１、かつ、リソース「映像」の利用可否が「○」のため、リソースの割り当てが可能と判定する。そして、リソースアクセス制御手段８２０は、リソースにアクセスできることを示す「リソース割当可能」を、リソース管理手段８２１に出力する。

また、例えば、アプリケーションＩＤ＝「２」で特定されるアプリケーションが「ＡＰＩ＿Ｂ（）」を呼び出した場合を考える。この場合、リソースアクセス制御手段８２０は、リソースアクセス制御テーブルでアプリＩＤ＝１、かつ、リソース「音声」の利用可否が「×」のため、リソースの割り当てが不可能と判定する。そして、リソースアクセス制御手段８２０は、リソースにアクセスできないことを示す「リソース割当不可」を、リソース管理手段８２１に出力する。

図９に戻り、受信機８０の構成について、説明を続ける。
リソース管理手段８２１は、各種リソースを管理するものである。ここで、リソース管理手段８２１は、アプリ実行手段８１３からリソース割当要求が入力されると、このリソース割当要求に応じて、リソース割当可否問合をリソースアクセス制御手段８２０に出力する。
このリソース割当可否問合は、リソースの割り当て可否をリソースアクセス制御手段８２０に問い合わせるものであり、例えば、リソース割当要求に格納されたアプリケーションＩＤとＡＰＩ名とが含まれることとする。

また、リソース管理手段８２１は、リソースアクセス制御手段８２０からリソース割当可否問合の応答が入力される。
ここで、リソース管理手段８２１は、このリソース割当可否問合の応答が「リソース割当可能」の場合、起動中のアプリケーションにリソースを割り当てる。そして、リソース管理手段８２１は、「リソース割当成功」を、アプリ管理・実行制御手段８０９に出力する。
一方、リソース管理手段８２１は、このリソース割当可否問合の応答が「リソース割当不可」の場合、「リソース割当失敗」を、アプリ管理・実行制御手段８０９に出力する。

［放送通信連携システムの動作］
図１３を参照して、放送通信連携システム１の動作について、説明する（適宜図１参照）。
この図１３の説明では、証明書Ｃ_ＣＡ，Ｃ_Ｌ，Ｃ_Ｂが有効であり、アプリケーションの署名が正当であることとする。

図１３に示すように、ＣＡ局１０は、ライセンス機関から、証明書の発行が申請される。この証明書の発行申請は、ネットワーク等のオンライン、又は、郵送等のオフラインで行われる（ステップＳ１）。

ＣＡ局１０は、署名鍵Ｓ_ＣＡと検証鍵Ｐ_ＣＡとの鍵ペアを生成すると共に、署名鍵Ｓ_Ｌと検証鍵Ｐ_Ｌとの鍵ペアを生成する。
ＣＡ局１０は、署名鍵Ｓ_ＬをＩＤ・署名鍵・証明書発行装置３０に発行する（ステップＳ２）。
ＣＡ局１０は、検証鍵Ｐ_ＣＡを証明書Ｃ_ＣＡに格納し、署名鍵Ｓ_ＣＡによる署名及び検証鍵Ｐ_Ｌを証明書Ｃ_Ｌに格納し、証明書Ｃ_ＣＡ，Ｃ_Ｌを放送送信装置２０に発行する。そして、放送送信装置２０は、放送波を介して、ＣＡ局１０から発行された証明書Ｃ_ＣＡ，Ｃ_Ｌを受信機８０に送信する（ステップＳ３）。

ライセンス機関（ＩＤ・署名鍵・証明書発行装置３０）は、サービス事業者から、アプリケーションＩＤが申請される。このアプリケーションＩＤの申請は、オンライン又はオフラインで行われる（ステップＳ４）。

ＩＤ・署名鍵・証明書発行装置３０は、アプリケーションＩＤを生成し、署名鍵Ｓ_Ｂと検証鍵Ｐ_Ｂとの鍵ペアを生成し、アプリケーションＩＤ及び検証鍵Ｐ_Ｂが格納された証明書Ｃ_Ｂを生成する（ステップＳ５）。
ＩＤ・署名鍵・証明書発行装置３０は、アプリケーションＩＤ及び検証鍵Ｐ_Ｂが格納された証明書Ｃ_Ｂと、署名鍵Ｓ_Ｂとをアプリケーション登録装置４０に発行する（ステップＳ６）。

アプリケーション登録装置４０は、ＩＤ・署名鍵・証明書発行装置３０から入力された署名鍵Ｓ_Ｂを用いて、アプリケーション用署名を生成する（ステップＳ７）。
アプリケーション登録装置４０は、署名鍵Ｓ_Ｂによるアプリケーション用署名と、証明書Ｃ_Ｂとをアプリケーションに付加（パッケージ化）し、このアプケーションをアプリケーションサーバ７０に登録する（ステップＳ８、Ｓ９）。

受信機８０は、アプリケーションサーバ７０にアプリケーションを要求する（ステップＳ１０）。
受信機８０は、要求したアプリケーションをアプリケーションサーバ７０から取得する（ステップＳ１１）。
受信機８０は、アプリケーションから、署名鍵Ｓ_Ｂによる署名と、証明書Ｃ_Ｂとを抽出する（ステップＳ１２）。

受信機８０は、証明書Ｃ_ＣＡの検証鍵Ｐ_ＣＡを用いて、証明書Ｃ_Ｌが有効であるか否かを確認する（ステップＳ１３）。
受信機８０は、有効な証明書Ｃ_Ｌの検証鍵Ｐ_Ｌを用いて、アプリケーションから抽出した証明書Ｃ_Ｂが有効であるか否かを確認する（ステップＳ１４）。
受信機８０は、有効な証明書Ｃ_Ｂから、アプリケーションＩＤを抽出する（ステップＳ１５）。
受信機８０は、有効な証明書Ｃ_Ｂの検証鍵Ｐ_Ｂを用いて、アプリケーションから抽出した、署名鍵Ｓ_Ｂによるアプリケーション用署名が正当であるか否かを検証する（ステップＳ１６）。

受信機８０は、証明書Ｃ_Ｂから、アクセス制御情報（起動範囲情報、リンク範囲情報及びリソース利用範囲情報）を抽出し、起動範囲情報テーブルと、リンク範囲情報テーブルと、リソースアクセス制御テーブルとを準備する（ステップＳ１７）。

受信機８０は、選局されている放送番組のチャンネルが起動範囲情報テーブルに含まれるか否かを判定する（ステップＳ１８）。
受信機８０は、アプリケーションサーバのＵＲＩがリンク範囲情報テーブルに含まれるか否かを判定する（ステップＳ１９）。
受信機８０は、起動範囲情報テーブル及びリンク範囲情報テーブルに基づいて、アプリケーションの起動を制御する（ステップＳ２０）
受信機８０は、ソースアクセス制御テーブルに基づいて、アプリケーションに対して、リソースアクセスの制御を行う（ステップＳ２１）。

以上のように、本発明の第１実施形態に係る放送通信連携システム１は、様々なサービス事業者が制作したアプリケーションを安全に提供できると共に、放送事業者以外のサービス事業者が制作したアプリケーション等、放送事業者が必ずしもすべての動作内容を把握していないアプリケーションについて、起動、リンク範囲及びリソースへのアクセスをきめ細かく制御することができる。

すなわち、放送通信連携システム１は、証明書Ｃ_Ｂにリソース利用範囲情報が含まれるため、個々のアプリケーションに対して、映像、音声、字幕、データカルーセル、イベントメッセージ等の放送リソース、動画コンテンツ、メタデータ等の通信リソースへのアクセスを、きめ細かく制御することができる。
さらに、放送通信連携システム１は、証明書Ｃ_Ｂに起動範囲情報が含まれるため、起動範囲を考慮して、個々のアプリケーションの起動を制御することができる。
さらに、放送通信連携システム１は、証明書Ｃ_Ｂにリンク範囲情報が含まれるため、リンク範囲を考慮して、個々のアプリケーションの起動やＷｅｂページの遷移を制御することができる。

さらに、放送通信連携システム１は、署名及び証明書を用いることにより、アプリケーション及びアプリケーションＩＤの真正性（改ざんがないこと）、及び、その提供元を正しく確認することができ、アプリケーションの信頼性を確保できる。

また、放送通信連携システム１は、求められる安全性に応じて柔軟に、サービス事業者単位又は個々のアプリケーション単位等、様々な単位で署名鍵（秘密鍵）を運用することを可能とする。さらに、放送通信連携システム１は、例えば、予め受信機８０に格納する検証鍵（証明書に含まれる公開鍵）の個数が１個〜数個程度でよく、安全性の確保と受信機８０の実装負荷低減との両立を図ることができる。

（第２実施形態）
［放送通信連携システムの全体構成］
図１４を参照して、本発明の第２実施形態に係る放送通信連携システム１Ａの構成について、第１実施形態と異なる点を説明する。
この放送通信連携システム１Ａは、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、証明書Ｃ_Ｂではなくアクセス制御ファイルに格納した点が第１実施形態と異なる。
なお、図１４では、アクセス制御ファイルを「ファイル」と略記した。

図１４に示すように、放送通信連携システム１Ａは、ＣＡ局１０と、放送送信装置２０と、アクセス制御ファイル管理装置３０Ａと、アプリケーション登録装置４０Ａと、アプリケーション制作装置５０Ａと、コンテンツ配信サーバ６０と、アプリケーションサーバ７０Ａと、受信機８０Ａと、アクセス制御ファイルサーバ９０とを備える。

ＣＡ局１０は、署名鍵Ｓ_Ｌをライセンス機関（アクセス制御ファイル管理装置３０Ａ）に発行する以外、図１と同様のため、詳細な説明を省略する。
放送送信装置２０は、図１と同様のため、詳細な説明を省略する。

アクセス制御ファイル管理装置３０Ａは、ライセンス機関で管理され、サービス事業者からのアプリケーションＩＤの申請に応じて、アプリケーションＩＤと、アクセス制御ファイルとを生成するものである。具体的には、アクセス制御ファイル管理装置３０Ａは、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、アクセス制御ファイルに格納する。また、アクセス制御ファイル管理装置３０Ａは、ＣＡ局１０から入力された署名鍵Ｓ_Ｌを用いて、アクセス制御ファイル用署名を生成する。そして、アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、アクセス制御ファイル用署名とをアクセス制御ファイルに付加し、後記するアクセス制御ファイルサーバ９０に出力（登録）する。さらに、アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、署名鍵Ｓ_Ｌとをアプリケーション登録装置４０Ａに出力する。
なお、アクセス制御ファイル管理装置３０Ａの構成は、後記する。

アプリケーション登録装置４０Ａは、ライセンス機関で管理され、アクセス制御ファイル管理装置３０Ａから、アプリケーションＩＤと、署名鍵Ｓ_Ｌとが入力されるものである。そして、アプリケーション登録装置４０Ａは、署名鍵Ｓ_Ｌを用いて、アプリケーション用署名を生成する。さらに、アプリケーション登録装置４０Ａは、サービス事業者（アプリケーション制作装置５０Ａ）から入力されたアプリケーションに、アプリケーションＩＤと、アプリケーション用署名とを付加し、アプリケーションサーバ７０Ａに出力（登録）する。
なお、アプリケーション登録装置４０Ａの構成は、後記する。

アプリケーション制作装置５０Ａは、サービス事業者で管理され、アプリケーションをライセンス機関（アプリケーション登録装置４０Ａ）に出力する以外、図１と同様のため、詳細な説明を省略する。

コンテンツ配信サーバ６０は、図１と同様のため、詳細な説明を省略する。
アプリケーションサーバ７０Ａは、ライセンス機関（アプリケーション登録装置４０Ａ）からアプリケーションが入力される以外、図１と同様のため、詳細な説明を省略する。

受信機８０Ａは、アクセス制御ファイルサーバ９０に登録されたアクセス制御ファイルから起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出する以外、図１と同様のものである。
なお、受信機８０Ａの構成は、後記する。

アクセス制御ファイルサーバ９０は、ライセンス機関（アクセス制御ファイル管理装置３０Ａ）が登録したアクセス制御ファイルを記憶、管理するサーバである。そして、アクセス制御ファイルサーバ９０は、ネットワークを介して、アクセス制御ファイルを受信機８０Ａに送信する。
なお、アクセス制御ファイルサーバ９０は、一般的な構成のため、詳細な説明を省略する。

［アクセス制御ファイル管理装置の構成］
図１５を参照して、アクセス制御ファイル管理装置３０Ａの構成について説明する（適宜図１４参照）。
図１５に示すように、アクセス制御ファイル管理装置３０Ａは、署名鍵入力手段３１１と、アプリＩＤ生成手段３１２と、アクセス制御ファイル生成手段３１３と、アクセス制御ファイル管理手段３１４と、署名鍵管理手段３１５とを備える。

署名鍵入力手段３１１は、ＣＡ局１０から署名鍵Ｓ_Ｌが入力されるものである。そして、署名鍵入力手段３１１は、入力された署名鍵Ｓ_Ｌを、アクセス制御ファイル生成手段３１３と、署名鍵管理手段３１５とに出力する。

アプリＩＤ生成手段３１２は、図２のアプリＩＤ生成手段３０２と同様、アプリケーションＩＤを生成するものである。そして、アプリＩＤ生成手段３１２は、生成したアプリケーションＩＤを、アクセス制御ファイル生成手段３１３に出力する。

アクセス制御ファイル生成手段３１３は、アクセス制御情報が格納されるアクセス制御ファイルを生成するものである。具体的には、アクセス制御ファイル生成手段３１３は、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、アクセス制御ファイルに格納する。そして、アクセス制御ファイル生成手段３１３は、アプリＩＤ生成手段３１２から入力されたアプリケーションＩＤを、アクセス制御ファイルに付加する。
なお、起動範囲情報、リンク範囲情報及びリソース利用範囲情報は、第１実施形態と同様の情報である。

また、アクセス制御ファイル生成手段３１３は、署名鍵入力手段３１１から入力された署名鍵Ｓ_Ｌを用いて、アクセス制御ファイルのバイナリデータを署名元メッセージとして、アクセス制御ファイル用署名を生成する。ここでは、アクセス制御ファイル生成手段３１３は、図２の証明書生成手段３０４と同様の署名アルゴリズムを用いる。そして、アクセス制御ファイル生成手段３１３は、生成したアクセス制御ファイル用署名をアクセス制御ファイルに付加して、アクセス制御ファイル管理手段３１４に出力する。

アクセス制御ファイル管理手段３１４は、アクセス制御ファイル生成手段３１３から入力されたアクセス制御ファイルを記憶、管理するものである。そして、アクセス制御ファイル管理手段３１４は、サービス事業者からのアプリケーションＩＤの申請に応じて、記憶したアクセス制御ファイルを、アクセス制御ファイルサーバ９０に出力する。このとき、アクセス制御ファイル管理手段３１４は、このアクセス制御ファイルからアプリケーションＩＤを抽出し、抽出したアプリケーションＩＤを、アプリケーション登録装置４０Ａに出力する。

署名鍵管理手段３１５は、署名鍵入力手段３１１から入力された署名鍵Ｓ_Ｌを記憶、管理するものである。そして、署名鍵管理手段３１５は、記憶した署名鍵Ｓ_Ｌを、アプリケーション登録装置４０Ａに出力する。

［アプリケーション登録装置の構成］
図１６を参照して、アプリケーション登録装置４０Ａの構成について説明する（適宜図１４参照）。
図１６に示すように、アプリケーション登録装置４０Ａは、アプリ入力手段４１１と、署名鍵入力手段４１２と、署名生成手段４１３と、署名付加手段４１４と、アプリ出力手段４１５とを備える。

アプリ入力手段４１１は、アプリケーション制作装置５０Ａからアプリケーションが入力されるものである。また、アプリ入力手段４１１は、このアプリケーションに対応するアプリケーションＩＤが、アクセス制御ファイル管理装置３０Ａから入力される。そして、アプリ入力手段４１１は、入力されたアプリケーションにアプリケーションＩＤを付加して、署名生成手段４１３及び署名付加手段４１４に出力する。

署名鍵入力手段４１２は、アクセス制御ファイル管理装置３０Ａから署名鍵Ｓ_Ｌが入力されるものである。そして、署名鍵入力手段４０２は、入力された署名鍵Ｓ_Ｌを、署名生成手段４１３に出力する。

署名生成手段４１３は、署名鍵入力手段４１２から署名鍵Ｓ_Ｌが入力され、この署名鍵Ｓ_Ｌを用いて、アプリケーション用署名を生成するものである。例えば、署名生成手段４１３は、アプリ入力手段４１１から入力されたアプリケーションのバイナリコードを、アプリケーション用署名の元となる署名元メッセージとする。そして、署名生成手段４１３は、図８の署名生成手段４０３と同様の手法でアプリケーション用署名を生成して、署名付加手段４１４に出力する。

署名付加手段４１４は、アプリ入力手段４１１から入力されたアプリケーションに、署名生成手段４１３から入力されたアプリケーション用署名を付加するものである。そして、署名付加手段４１４は、アプリケーション用署名が付加されたアプリケーションを、アプリ出力手段４１５に出力する。

アプリ出力手段４１５は、署名付加手段４１４から入力されたアプリケーションを、アプリケーションサーバ７０Ａに出力（登録）するものである。つまり、アプリ出力手段４１５が出力するアプリケーションは、アプリケーション本体と、アプリケーションＩＤと、署名鍵Ｓ_Ｌによるアプリケーション用署名とがパッケージ化されたものである。

［受信機の構成］
図１７を参照して、受信機８０Ａの構成について説明する（適宜図１４参照）。
図１７に示すように、受信機８０Ａは、放送受信手段８０１と、放送信号解析手段８０２と、映像・音声復号手段８０３と、データ放送復号手段８０４と、通信送受信手段８０５と、アプリ起動情報取得手段８０６と、アプリ起動情報記憶手段８０７と、リスト制御手段８０８と、アプリ管理・実行制御手段８０９と、起動アプリ識別情報記憶手段８１０と、アプリ取得手段８１１Ａと、アプリ記憶手段８１２Ａと、アプリ実行手段８１３と、操作制御手段８１４と、合成表示手段８１５と、セキュリティ管理手段８１６Ａと、リソース管理手段８２１とを備える。
なお、放送受信手段８０１から起動アプリ識別情報記憶手段８１０までの各手段は、図９の各手段と同様のため、説明を省略する。

アプリ取得手段８１１Ａは、図９のアプリ取得手段８１１と同様、アプリケーションを取得し、その取得したアプリケーションをアプリ記憶手段８１２Ａに書き込み蓄積するものである。
また、アプリ取得手段８１１Ａは、図９のアプリ取得手段８１１と同様、アプリケーションを取得したとき、認証指示をアプリ認証手段８１７Ａに出力する。

また、アプリ取得手段８１１Ａは、アプリケーションを取得したとき、このアプリケーションに対応付けられたアクセス制御ファイルを、アクセス制御ファイルサーバ９０から取得する。具体的には、アプリ取得手段８１１Ａは、取得したアプリケーションからアプリケーションＩＤを抽出し、これと同一のアプリケーションＩＤが付加されたアクセス制御ファイルを、アクセス制御ファイルサーバ９０から取得する。そして、アプリ取得手段８１１Ａは、取得したアクセス制御ファイルを、アプリ記憶手段８１２Ａに書き込み蓄積する。

アプリ記憶手段８１２Ａは、アプリ取得手段８１１Ａで取得されたアプリケーションと、このアプリケーションに対応付けられたアクセス制御ファイルとを記憶するものである。
例えば、アプリ記憶手段８１２に記憶されているアプリケーションは、このアプリケーションに対応するアクセス制御ファイルと同一のアプリケーションＩＤが付加されている。つまり、アプリケーション及びアクセス制御ファイルは、アプリケーションＩＤで対応付けることができる。

アプリ実行手段８１３、操作制御手段８１４及び合成表示手段８１５は、図９の各手段と同様のため、説明を省略する。

セキュリティ管理手段８１６Ａは、受信機８０Ａのセキュリティを管理するものであり、アプリ認証手段８１７Ａと、起動範囲判定手段８１８と、リンク範囲判定手段８１９と、リソースアクセス制御手段８２０とを備える。
なお、起動範囲判定手段８１８、リンク範囲判定手段８１９及びリソースアクセス制御手段８２０は、図９の各手段と同様のため、説明を省略する。

アプリ認証手段８１７Ａは、アプリ取得手段８１１Ａから入力された認証指示に応じて、アプリ取得手段８１１Ａが取得したアプリケーションについて、アプリケーション認証を行うものである。

図１７に示すように、アプリ認証手段８１７Ａは、証明書管理手段８１７Ａａと、アクセス制御ファイル確認手段８１７Ａｂと、署名検証手段８１７Ａｃと、アクセス制御情報抽出手段８１７Ａｄとを備える。

証明書管理手段８１７Ａａは、証明書抽出手段８０４ａで抽出された証明書Ｃ_ＣＡ，Ｃ_Ｌを記憶、管理するものである。
アクセス制御ファイル確認手段８１７Ａｂは、アプリ認証手段８１７Ａからの指示に応じて、証明書管理手段８１７Ａａに記憶された証明書Ｃ_Ｌが有効であるか否かを確認し、アクセス制御ファイル用署名が正当であるか否かを検証するものである。

署名検証手段８１７Ａｃは、アプリケーションから抽出した署名（アプリケーション用署名）が正当であるか否かを検証するものである。
アクセス制御情報抽出手段８１７Ａｄは、署名検証手段８１７Ａｃからの指示に応じて、アクセス制御ファイル用署名が正当なアクセス制御ファイルから、アクセス制御情報として、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とを抽出するものである。

＜アプリケーション認証＞
以下、アプリ認証手段８１７Ａによるアプリケーション認証について、説明する。
アプリ認証手段８１７Ａは、アプリ取得手段８１１Ａから認証指示が入力されると、アプリ記憶手段８１２Ａのアプリケーションに対応するアクセス制御ファイルが存在するか否かを確認する。

対応するアクセス制御ファイルが存在する場合、アプリ認証手段８１７Ａは、アプリ記憶手段８１２Ａから、アプリケーション本体と、アプリケーションに付加されたアプリケーションＩＤと、アプリケーション用署名と、アプリケーションに対応付けられたアクセス制御ファイルとを抽出する。そして、アプリ認証手段８１７Ａは、アクセス制御ファイル用署名の正当性の検証を、アクセス制御ファイル確認手段８１７Ａｂに指示する。

一方、対応するアクセス制御ファイルが存在しない場合、アプリ認証手段８１７Ａは、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。

アクセス制御ファイル確認手段８１７Ａｂは、証明書管理手段８１７Ａａに記憶された証明書Ｃ_ＣＡの検証鍵Ｐ_ＣＡを用いて、証明書管理手段８１７Ａａに記憶された証明書Ｃ_Ｌが有効であるか否かを確認する。

証明書Ｃ_Ｌが有効な場合、アクセス制御ファイル確認手段８１７Ａｂは、この証明書Ｃ_Ｌの検証鍵Ｐ_Ｌを用いて、アクセス制御ファイル用署名が正当であるか否かを検証する。
なお、アクセス制御ファイル用署名が正当であるか否かの検証とは、例えば、検証鍵Ｐ_Ｌを用いて、アクセス制御ファイル用署名を復号し、復号したアクセス制御ファイル用署名と署名元メッセージとが一致するか否かを検証することである。

アクセス制御ファイル用署名が正当な場合、アクセス制御ファイル確認手段８１７Ａｂは、署名検証手段８１７Ａｃに署名の検証を指示（署名検証指示）する。
一方、証明書Ｃ_Ｌが有効でない場合、又は、アクセス制御ファイル用署名が正当でない場合、アクセス制御ファイル確認手段８１７Ａｂは、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。

署名検証手段８１７Ａｃは、アクセス制御ファイル確認手段８１７Ａｂから署名検証指示が入力されると、証明書Ｃ_Ｌの検証鍵Ｐ_Ｌを用いて、アプリケーション用署名が正当であるか否かを検証する。ここでは、署名検証手段８１７Ａｃは、図９の署名検証手段８１７ｃと同様の手法でアプリケーション用署名を検証する。

アプリケーション用署名が正当な場合、署名検証手段８１７Ａｃは、アクセス制御情報の抽出をアクセス制御情報抽出手段８１７Ａｄに指示（アクセス制御情報抽出指示）する。
アプリケーション用署名が正当でない場合、署名検証手段８１７Ａｃは、アプリケーション用署名を検証したアプリケーションのＩＤと共に、認証結果として「認証失敗」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。

アクセス制御情報抽出手段８１７Ａｄは、署名検証手段８１７Ａｃからアクセス制御情報抽出指示が入力されると、アクセス制御ファイルから起動範囲情報を抽出して、アプリケーションＩＤと共に、起動範囲判定手段８１８に出力する。また、アクセス制御情報抽出手段８１７Ａｄは、アクセス制御ファイルからリンク範囲情報を抽出して、アプリケーションＩＤと共に、リンク範囲判定手段８１９に出力する。さらに、アクセス制御情報抽出手段８１７Ａｄは、アクセス制御ファイルからリソース利用範囲情報を抽出して、アプリケーションＩＤと共に、リソースアクセス制御手段８２０に出力する。その後、アクセス制御情報抽出手段８１７Ａｄは、アプリケーション用署名を検証したアプリケーションのＩＤと共に、認証結果として「認証成功」をアプリ管理・実行制御手段８０９に出力し、アプリケーション認証を終了する。

リソース管理手段８２１は、図９と同様のため、説明を省略する。
起動範囲判定、リンク範囲判定及びリソースアクセス制御は、第１実施形態と同様のため、説明を省略する。

［放送通信連携システムの動作］
図１８，図１９を参照して、放送通信連携システム１Ａの動作について、説明する（適宜図１４参照）。
この図１８，図１９の説明では、証明書Ｃ_ＣＡ，Ｃ_Ｌが有効であり、アクセス制御ファイル用署名及びアプリケーション用署名が正当であることとする。
図１８のステップＳ３１は、図１３のステップＳ１と同様のため、説明を省略する。

ＣＡ局１０は、署名鍵Ｓ_ＣＡと検証鍵Ｐ_ＣＡとの鍵ペアを生成すると共に、署名鍵Ｓ_Ｌと検証鍵Ｐ_Ｌとの鍵ペアを生成する。
ＣＡ局１０は、署名鍵Ｓ_Ｌをアクセス制御ファイル管理装置３０Ａに発行する（ステップＳ３２）。

ステップＳ３３は、図１３のステップＳ３と同様のため、説明を省略する。
ライセンス機関（アクセス制御ファイル管理装置３０Ａ）は、サービス事業者から、アプリケーションＩＤが申請される。このアプリケーションＩＤの申請は、オンライン又はオフラインで行われる（ステップＳ３４）。

アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、アクセス制御ファイル用署名とを生成する（ステップＳ３５）。
アクセス制御ファイル管理装置３０Ａは、起動範囲情報、リンク範囲情報及びリソース利用範囲情報を、アクセス制御ファイルに格納する。そして、アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、アクセス制御ファイル用署名とをアクセス制御ファイルに付加する（ステップＳ３６）。

アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤ及びアクセス制御ファイル用署名が付加されたアクセス制御ファイルをアクセス制御ファイルサーバ９０に登録する（ステップＳ３７）。
アクセス制御ファイル管理装置３０Ａは、アプリケーションＩＤと、検証鍵Ｓ_Ｌとをアプリケーション登録装置４０Ａに発行する（ステップＳ３８）。

アプリケーション登録装置４０Ａは、アクセス制御ファイル管理装置３０Ａから入力された署名鍵Ｓ_Ｌを用いて、アプリケーション用署名を生成する（ステップＳ３９）。
アプリケーション登録装置４０Ａは、アプリケーションＩＤと、アプリケーション用署名とをアプリケーションに付加（パッケージ化）し、このアプケーションをアプリケーションサーバ７０Ａに登録する（ステップＳ４０、Ｓ４１）。

受信機８０Ａは、アプリケーションサーバ７０Ａにアプリケーションを要求する（ステップＳ４２）。
受信機８０Ａは、要求したアプリケーションをアプリケーションサーバ７０Ａから取得する（ステップＳ４３）。

受信機８０Ａは、証明書Ｃ_ＣＡの検証鍵Ｐ_ＣＡを用いて、証明書Ｃ_Ｌが有効であるか否かを確認する（ステップＳ４４）。
受信機８０Ａは、アプリケーションから、アプリケーションＩＤと、アプリケーション用署名とを抽出する（ステップＳ４５）。

受信機８０Ａは、アクセス制御ファイルサーバ９０に、取得したアプリケーションに対応するアクセス制御ファイルを要求する（ステップＳ４６）。
受信機８０Ａは、要求したアクセス制御ファイルをアクセス制御ファイルサーバ９０から取得する（ステップＳ４７）。

受信機８０Ａは、有効な証明書Ｃ_Ｌの検証鍵Ｐ_Ｌを用いて、アクセス制御ファイルから抽出したアクセス制御ファイル用署名が正当であるか否かを検証する（ステップＳ４８）。
受信機８０Ａは、有効な証明書Ｃ_Ｌの検証鍵Ｐ_Ｌを用いて、アプリケーションから抽出したアプリケーション用署名が正当であるか否かを検証する（ステップＳ４９）。

受信機８０Ａは、アクセス制御ファイルから、アクセス制御情報（起動範囲情報、リンク範囲情報及びリソース利用範囲情報）を抽出し、起動範囲情報テーブルと、リンク範囲情報テーブルと、リソースアクセス制御テーブルとを準備する（ステップＳ５０）。
図１９のステップＳ５１〜Ｓ５４は、図１３のステップＳ１８〜Ｓ２１と同様のため、説明を省略する。

以上のように、本発明の第２実施形態に係る放送通信連携システム１Ａは、第１実施形態と同様の効果を奏する。

本発明は、前記した実施形態に限定されず、その趣旨を逸脱しない範囲で様々な変形を加えることができる。以下、本発明の変形例について、具体的に説明する。

（変形例１）
図１，図１４を参照し、変形例１に係る放送通信連携システム１，１Ａについて、説明する。
前記した各実施形態では、ＣＡ局１０からライセンス機関に発行された証明書Ｃ_ＣＡ，Ｃ_Ｌを、放送波を介して、ＤＳＭ−ＣＣデータカルーセル等の伝送手段により、受信機８０，８０Ａに送信することとして説明したが、本発明は、これに限定されない。
すなわち、放送通信連携システム１，１Ａは、ＣＡ局１０で発行された証明書Ｃ_ＣＡ，Ｃ_Ｌを、放送波を介さず、予め受信機８０，８０Ａに実装して、出荷してもよい。さらに、放送通信連携システム１，１Ａは、証明書Ｃ_ＣＡ，Ｃ_Ｌを、ネットワークを介して、受信機８０，８０Ａに送信してもよい。

（変形例２）
前記した第１実施形態では、ライセンス機関でＩＤ・署名鍵・証明書発行装置３０が管理されることとして説明したが、本発明は、これに限定されない。
例えば、サービス事業者のアプリケーション制作装置５０が、ＩＤ・署名鍵・証明書発行装置３０の全手段を備えることとする。
また、アプリケーション制作装置５０が、ＩＤ・署名鍵・証明書発行装置３０のうち、アプリＩＤ生成手段３０２（図２）以外の全手段を備えてもよい。この場合、サービス事業者は、ライセンス機関にアプリケーションＩＤを申請すると、ライセンス機関からアプリケーションＩＤだけを受け取り、署名及び証明書Ｃ_Ｂを自ら生成することになる。

（変形例３）
前記した第１実施形態では、サービス事業者でアプリケーション登録装置４０が管理されることとして説明したが、本発明は、これに限定されない。
例えば、図２０に示すように、ライセンス機関が、アプリケーション登録装置４０を管理してもよい。
また、この場合、証明書付加手段４０５により証明書を付加されたアプリケーションを、サービス事業者を介してアプリケーションサーバ７０に登録してもよい。

（変形例４）
前記した第１実施形態では、証明書Ｃ_ＢにアプリケーションＩＤが含まれることとして説明したが、本発明は、証明書Ｃ_ＢにアプリケーションＩＤを含めなくともよい。これによって、放送通信連携システム１は、アプリケーション毎に証明書Ｃ_Ｂを発行する必要がなく、処理負荷を軽減することができる。一方、放送通信連携システム１は、サービス事業者ＢによるアプリケーションＩＤの改ざんを防止できず、安全性が低下することもある。

（変形例５）
前記した第１実施形態では、アプリ出力手段４０６が出力するアプリケーションは、アプリケーション本体と、アプリケーションＩＤと、署名鍵Ｓ_Ｂによるアプリケーション用署名と、証明書Ｃ_Ｂとがパッケージ化されたものであることとして説明したが、本発明は、これに限定されない。
例えば、署名鍵Ｓ_Ｂによるアプリケーション用署名と、証明書Ｃ_Ｂと、アプリケーション本体とを分離して、アプリケーションサーバ７０に限らず、アプリケーション起動情報サーバ（不図示）等の任意のサーバに配置してもよい。
なお、この場合、分離したアプリケーション用署名と、証明書Ｃ_Ｂと、アプリケーション本体とにアプリケーションＩＤを付加して、これらを対応付ける必要がある。

（変形例６）
前記した各本実施形態では、放送局、ライセンス機関及びサービス事業者を１つとして説明したが、本発明は、これに限定されない。
例えば、放送通信連携システム１，１Ａは、放送局が複数であってもよい。
また、放送通信連携システム１，１Ａは、ライセンス機関が複数であってもよい。
また、放送通信連携システム１，１Ａは、サービス事業者が複数であってもよい。
また、放送通信連携システム１，１Ａは、放送局がサービス事業者として、アプリケーションを制作してもよい。
また、放送通信連携システム１，１Ａは、放送局及びライセンス機関が一体であってもよい。

（変形例７）
図９を参照し、変形例７に係る受信機８０について、説明する。
アプリ管理・実行制御手段８０９は、セキュリティ情報テーブル（不図示）を記憶、管理することとしてもよい。
例えば、アプリ管理・実行制御手段８０９は、起動範囲判定手段８１８から入力された起動範囲問合結果を、起動中のアプリケーションＩＤに対応づけて、メモリ等に記憶されたセキュリティ情報テーブルに書き込む。

また、アプリ管理・実行制御手段８０９は、リンク範囲判定手段８１９から入力されたリンク範囲問合結果を、起動中のアプリケーションＩＤに対応づけて、セキュリティ情報テーブルに書き込む。

また、アプリ管理・実行制御手段８０９は、リソース管理手段８２１から入力されたリソース割当要求の応答を、起動中のアプリケーションＩＤに対応づけて、セキュリティ情報テーブルに書き込む。

また、アプリ管理・実行制御手段８０９は、アプリ認証手段８１７から入力された認証結果を、起動中のアプリケーションＩＤに対応づけて、セキュリティ情報テーブルに書き込む。

これによって、アプリ管理・実行制御手段８０９は、起動中のアプリケーションに対するリソースの割り当ての成否、起動範囲、リンク範囲、及び、認証結果を記憶、管理することができる。

（変形例８）
前記した各実施形態では、遷移停止通知が入力された場合、アプリ実行手段８１３が、Ｗｅｂページの遷移を停止させることとして説明したが、本発明は、これに限定されない。
例えば、遷移停止通知が入力された場合、アプリ実行手段８１３は、実行中のアプリケーションを終了させてもよい。

（変形例９）
前記した各実施形態では、アプリケーション取得時にアプリケーション認証を行うこととして説明したが、本発明は、アプリケーション起動時にアプリケーション認証を行うこともできる。この場合、起動制御手段８０９ａがアプリケーションを起動する都度、認証指示がアプリ認証手段８１７に出力されて（図９の「認証指示２」）、アプリケーション認証が行われることになり、安全性がより向上する。
このように、アプリケーション取得時またはアプリケーション起動時の何れかのタイミングで署名を検証すればよいので、受信機８０の設計自由度を向上させることができる。

（変形例１０）
前記した第１実施形態では、証明書Ｃ_Ｂには、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報とが付加されることとして説明したが、本発明は、これに限定されない。
つまり、証明書Ｃ_Ｂには、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報との何れか１以上が付加されていればよい。

以下、変形例１０として、証明書Ｃ_Ｂに起動範囲情報及びリソース利用範囲情報が付加されている場合について、前記した実施形態と異なる点を説明する。
アプリ管理・実行制御手段８０９は、起動情報通知が通知された場合、又は、選択アプリケーション通知が通知された場合でも、リンク範囲判定手段８１９にリンク範囲問合を出力しない。

起動制御手段８０９ａは、起動範囲問合結果が「アプリ起動可」、かつ、認証結果が「認証成功」の場合、アプリ実行手段８１３に起動制御指示を通知する。
一方、起動制御手段８０９ａは、起動範囲問合結果が「アプリ起動不可」、又は、認証結果が「認証失敗」の場合、アプリケーションを実行させない旨、アプリ実行手段８１３に指示する。

アプリ実行手段８１３は、遷移先情報通知をアプリ管理・実行制御手段８０９に通知することなく、実行中のアプリケーションを、表示中のＷｅｂページから他のＷｅｂページに遷移させる。

アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからの指示に応じて、有効な証明書Ｃ_Ｂの拡張項目から、起動範囲情報と、リソース利用範囲情報とを抽出する。

なお、証明書Ｃ_Ｂに起動範囲情報のみが付加され、かつ、リソース利用範囲情報が付加されていない場合、アクセス制御情報抽出手段８１７ｄがリソース利用範囲情報を抽出せず、リソースアクセス制御手段８２０が常に「リソース割当可能」をリソース管理手段８２１に出力すればよい。
また、変形例１０と同様、アクセス制御ファイルには、起動範囲情報と、リンク範囲情報と、リソース利用範囲情報との何れか１以上が格納されていてもよい。

（変形例１１）
以下、変形例１１として、証明書Ｃ_Ｂにリンク範囲情報及びリソース利用範囲情報が付加されている場合について、前記した第１実施形態と異なる点を説明する。
アプリ管理・実行制御手段８０９は、起動情報通知が通知された場合、又は、選択アプリケーション通知が通知された場合でも、起動範囲判定手段８１８に起動範囲問合を出力しない。

起動制御手段８０９ａは、リンク範囲問合結果が「アプリ起動可」、かつ、認証結果が「認証成功」の場合、アプリ実行手段８１３に起動制御指示を通知する。
一方、起動制御手段８０９ａは、リンク範囲問合結果が「アプリ起動不可」、又は、認証結果が「認証失敗」の場合、アプリケーションを実行させない旨、アプリ実行手段８１３に指示する。

アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからの指示に応じて、有効な証明書Ｃ_Ｂの拡張項目から、リソース範囲情報と、リソース利用範囲情報とを抽出する。

なお、証明書Ｃ_Ｂにリンク範囲情報のみが付加され、かつ、リソース利用範囲情報が付加されていない場合、アクセス制御情報抽出手段８１７ｄがリソース利用範囲情報を抽出せず、リソースアクセス制御手段８２０が常に「リソース割当可能」をリソース管理手段８２１に出力すればよい。
また、変形例１０と同様、アクセス制御ファイルには、リンク範囲情報及びリソース利用範囲情報が格納されていてもよい。

（変形例１２）
以下、変形例１２として、証明書Ｃ_Ｂに起動範囲情報及びリンク範囲情報が付加されている場合について、前記した実施形態と異なる点を説明する。
この場合、アクセス制御情報抽出手段８１７ｄは、リソース利用範囲情報を抽出しない。
リソースアクセス制御手段８２０は、リソース割当可否問合が入力された場合でも、リソースアクセス制御を行わず、常に「リソース割当可能」をリソース管理手段８２１に出力する。
なお、変形例１２と同様、アクセス制御ファイルには、起動範囲情報及びリンク範囲情報が格納されていてもよい。

（変形例１３）
以下、変形例１３として、証明書Ｃ_Ｂにリソース利用範囲情報のみが付加されている場合について、前記した実施形態と異なる点を説明する。
アプリ管理・実行制御手段８０９は、起動情報通知が通知された場合、又は、選択アプリケーション通知が通知された場合でも、起動範囲判定手段８１８に起動範囲問合を出力せず、リンク範囲判定手段８１９にリンク範囲問合を出力しない。

起動制御手段８０９ａは、認証結果が「認証成功」の場合、アプリ実行手段８１３に起動制御指示を通知する。
一方、起動制御手段８０９ａは、認証結果が「認証失敗」の場合、アプリケーションを実行させない旨、アプリ実行手段８１３に指示する。

アクセス制御情報抽出手段８１７ｄは、署名検証手段８１７ｃからの指示に応じて、有効な証明書Ｃ_Ｂの拡張項目から、リソース利用範囲情報を抽出する。

アプリ実行手段８１３は、遷移先情報通知をアプリ管理・実行制御手段８０９に通知することなく、実行中のアプリケーションを、表示中のＷｅｂページから他のＷｅｂページに遷移させる。
なお、変形例１３と同様、アクセス制御ファイルには、リソース利用範囲情報のみが格納されていてもよい。

（変形例１４）
前記した第２実施形態において、放送通信連携システム１Ａは、アクセス制御ファイルを独立したファイルとして説明したが、これに限定されない。
つまり、放送通信連携システム１Ａは、アクセス制御ファイルをアプリケーション起動情報ファイルとし、このアプリケーション起動情報ファイルの拡張項目に起動範囲情報、リンク範囲情報、リソース利用範囲情報を格納してもよい。この場合、図１４のアクセス制御ファイルサーバが、このアプリケーション起動情報ファイルを記憶、管理するアプリケーション起動情報サーバとなる。

また、放送通信連携システム１Ａは、アクセス制御ファイルをＸＭＬ（eXtensible Markup Language）形式としてもよい。
さらに、放送通信連携システム１Ａは、起動範囲情報、リンク範囲情報、リソース利用範囲情報を別々のファイルに分離し、配置してもよい。この場合、各ファイルにアプリケーションＩＤを付加し、ファイルとアプリケーション本体とを対応付ける必要がある。

（変形例１５）
前記した第２実施形態では、ライセンス機関がアプリケーションを登録することとして説明したが、これに限定されない。
放送通信連携システム１Ａにおいて、ライセンス機関は、アプリケーション用署名が付加されたアプリケーションをサービス事業者に出力し、サービス事業者がアプリケーションをアプリケーションサーバ７０Ａに登録してもよい。
さらに、ライセンス機関は、アプリケーション用署名のみをサービス事業者に出力してもよい。この場合、サービス事業者は、アプリケーション用署名をアプリケーションに付加し、アプリケーションサーバ７０Ａに登録する。

（変形例１６）
前記した第２実施形態では、アプリケーション及びアクセス制御ファイルがアプリケーションＩＤで対応付けられることとして説明したが、これに限定されない。
つまり、放送通信連携システム１Ａは、アプリケーションにアクセス制御ファイルを付加してもよい。

１，１Ａ 放送通信連携システム
１０ ＣＡ局
２０ 放送送信装置
３０ ＩＤ・署名鍵・証明書発行装置（証明書発行装置）
３０Ａ アクセス制御ファイル管理装置
４０，４０Ａ アプリケーション登録装置
５０，５０Ａ アプリケーション制作装置
６０ コンテンツ配信サーバ
７０，７０Ａ アプリケーションサーバ
８０，８０Ａ 受信機
９０ アクセス制御ファイルサーバ
３０１，３１１ 署名鍵入力手段
３０２，３１２ アプリＩＤ生成手段
３０３ 署名鍵・検証鍵生成手段
３０４ 証明書生成手段
３０５ 証明書管理手段
３０６，３１５ 署名鍵管理手段
３１３ アクセス制御ファイル生成手段
３１４ アクセス制御ファイル管理手段
４０１，４１１ アプリ入力手段
４０２，４１２ 署名鍵入力手段
４０３，４１３ 署名生成手段
４０４，４１４ 署名付加手段
４０５ 証明書付加手段
４０６，４１５ アプリ出力手段
８０１ 放送受信手段
８０２ 放送信号解析手段
８０３ 映像・音声復号手段
８０４ データ放送復号手段
８０４ａ 証明書抽出手段
８０５ 通信送受信手段
８０６ アプリ起動情報取得手段
８０７ アプリ起動情報記憶手段
８０８ リスト制御手段
８０９ アプリ管理・実行制御手段
８０９ａ 起動制御手段
８０９ｂ 終了制御手段
８０９ｃ 蓄積管理手段
８０９ｄ 遷移制御手段
８１０ 起動アプリ識別情報記憶手段
８１１，８１１Ａ アプリ取得手段
８１２，８１２Ａ アプリ記憶手段
８１３ アプリ実行手段
８１４ 操作制御手段
８１５ 合成表示手段
８１６，８１６Ａ セキュリティ管理手段
８１７，８１７Ａ アプリケーション認証手段
８１７ａ，８１７Ａａ 証明書管理手段
８１７ｂ 証明書確認手段
８１７Ａｂ アクセス制御ファイル確認手段
８１７ｃ，８１７Ａｃ 署名検証手段
８１７ｄ，８１７Ａｄ アクセス制御情報抽出手段（抽出手段）
８１８ 起動範囲判定手段（起動判定手段）
８１９ リンク範囲判定手段（起動判定手段）
８２０ リソースアクセス制御手段
８２１ リソース管理手段

Claims (10)

1. アプリケーションが起動可能な編成チャンネルを示す起動範囲情報、又は、前記アプリケーションが参照可能なＵＲＩを示すリンク範囲情報の何れか１以上が付加されたアプリケーション用証明書を発行する証明書発行装置と、
   前記アプリケーション用証明書を前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
   前記アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
   放送波を介して、放送番組を送信する放送送信装置と、
   を含む放送通信連携システムで使用され、前記放送番組を受信する放送通信連携受信装置であって、
   ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
   前記アプリケーションに付加又は対応付けられたアプリケーション用証明書から、前記起動範囲情報又は前記リンク範囲情報の何れか１以上を抽出する抽出手段と、
   前記抽出手段が抽出した起動範囲情報又はリンク範囲情報の何れか１以上に基づいて、取得した前記アプリケーションが起動できるか否かを判定する起動判定手段と、
   前記起動判定手段の判定結果に基づいて、前記アプリケーションの起動を制御する起動制御手段と、
   を備えることを特徴とする放送通信連携受信装置。
2. アプリケーションが起動可能な編成チャンネルを示す起動範囲情報、又は、前記アプリケーションが参照可能なＵＲＩを示すリンク範囲情報の何れか１以上が格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、
   前記アクセス制御ファイルを前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
   前記アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
   放送波を介して、放送番組を送信する放送送信装置と、
   を含む放送通信連携システムで使用され、前記放送番組を受信する放送通信連携受信装置であって、
   ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
   前記アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証するアプリケーション認証手段と、
   前記アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、前記起動範囲情報又は前記リンク範囲情報の何れか１以上を抽出する抽出手段と、
   前記抽出手段が抽出した起動範囲情報又はリンク範囲情報の何れか１以上に基づいて、取得した前記アプリケーションが起動できるか否かを判定する起動判定手段と、
   前記起動判定手段の判定結果に基づいて、前記アプリケーションの起動を制御する起動制御手段と、
   を備えることを特徴とする放送通信連携受信装置。
3. 前記抽出手段は、前記アプリケーション用証明書から、少なくとも前記リンク範囲情報を抽出し、
   前記起動判定手段は、
   前記アプリケーションの取得元となる前記アプリケーションサーバのＵＲＩが前記リンク範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定するリンク範囲判定手段、
   を備えることを特徴とする請求項１に記載の放送通信連携受信装置。
4. 前記抽出手段は、前記アクセス制御ファイルから、少なくとも前記リンク範囲情報を抽出し、
   前記起動判定手段は、
   前記アプリケーションの取得元となる前記アプリケーションサーバのＵＲＩが前記リンク範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定するリンク範囲判定手段、
   を備えることを特徴とする請求項２に記載の放送通信連携受信装置。
5. 前記抽出手段は、前記アプリケーション用証明書から、少なくとも前記起動範囲情報を抽出し、
   前記起動判定手段は、
   選局されている前記放送番組の編成チャンネルが前記起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する起動範囲判定手段、
   を備えることを特徴とする請求項１又は請求項３に記載の放送通信連携受信装置。
6. 前記抽出手段は、前記アクセス制御ファイルから、少なくとも前記起動範囲情報を抽出し、
   前記起動判定手段は、
   選局されている前記放送番組の編成チャンネルが前記起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する起動範囲判定手段、
   を備えることを特徴とする請求項２又は請求項４に記載の放送通信連携受信装置。
7. 前記アプリケーションとして、Ｗｅｂページから他のＷｅｂページに遷移するＷｅｂアプリケーションを実行するアプリケーション実行手段と、
   前記アプリケーション実行手段で実行されているＷｅｂアプリケーションが前記他のＷｅｂページに遷移できるか否かを前記リンク範囲判定手段に問い合わせる遷移制御手段と、をさらに備え、
   前記リンク範囲判定手段は、
   前記他のＷｅｂページのＵＲＩが前記リンク範囲情報に含まれるか否かにより、前記Ｗｅｂアプリケーションが前記他のＷｅｂページに遷移できるか否かをさらに判定し、
   前記遷移制御手段は、
   前記リンク範囲判定手段によって、前記Ｗｅｂアプリケーションが前記他のＷｅｂページに遷移できないと判定された場合、前記Ｗｅｂアプリケーションの終了、又は、前記他のＷｅｂページへの遷移停止を前記アプリケーション実行手段に指示することを特徴とする請求項３又は請求項４に記載の放送通信連携受信装置。
8. アプリケーションが利用可能なリソースを示すリソース利用範囲情報が付加されたアプリケーション用証明書を発行する証明書発行装置と、
   前記アプリケーション用証明書を前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
   前記アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
   放送波を介して、放送番組を送信する放送送信装置と、
   を含む放送通信連携システムで使用され、前記放送番組を受信する放送通信連携受信装置であって、
   ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
   前記アプリケーションに付加又は対応付けられたアプリケーション用証明書から、前記リソース利用範囲情報を抽出する抽出手段と、
   前記リソース利用範囲情報に基づいて、取得した前記アプリケーションに対して、前記リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
   を備えることを特徴とする放送通信連携受信装置。
9. アプリケーションが起動可能な編成チャンネルを示す起動範囲情報と、前記アプリケーションが参照可能なＵＲＩを示すリンク範囲情報と、前記アプリケーションが利用可能なリソースを示すリソース利用範囲情報とが付加されたアプリケーション用証明書を発行する証明書発行装置と、
   前記アプリケーション用証明書を前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
   前記アプリケーション用証明書が付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
   放送波を介して、放送番組を送信する放送送信装置と、
   前記放送番組を受信する放送通信連携受信装置と、を備える放送通信連携システムであって、
   前記放送通信連携受信装置が、
   ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
   前記アプリケーションに付加又は対応付けられたアプリケーション用証明書から、前記起動範囲情報と、前記リンク範囲情報と、前記リソース利用範囲情報とを抽出する抽出手段と、
   選局されている前記放送番組の編成チャンネルが前記起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する起動範囲判定手段と、
   前記アプリケーションの取得元となる前記アプリケーションサーバのＵＲＩが前記リンク範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定するリンク範囲判定手段と、
   前記起動範囲判定手段及び前記リンク範囲判定手段の判定結果に基づいて、前記アプリケーションの起動を制御する起動制御手段と、
   前記リソース利用範囲情報に基づいて、取得した前記アプリケーションに対して、前記リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
   を備えることを特徴とする放送通信連携システム。
10. アプリケーションが起動可能な編成チャンネルを示す起動範囲情報と、前記アプリケーションが参照可能なＵＲＩを示すリンク範囲情報と、前記アプリケーションが利用可能なリソースを示すリソース利用範囲情報とが格納されたアクセス制御ファイルに署名するアクセス制御ファイル管理装置と、
    前記アクセス制御ファイルを前記アプリケーションに付加又は対応付けるアプリケーション登録装置と、
    前記アクセス制御ファイルが付加又は対応付けられたアプリケーションを記憶するアプリケーションサーバと、
    放送波を介して、放送番組を送信する放送送信装置と、
    前記放送番組を受信する放送通信連携受信装置と、を備える放送通信連携システムであって、
    前記放送通信連携受信装置が、
    ネットワークを介して、前記アプリケーションサーバから、前記アプリケーションを取得するアプリケーション取得手段と、
    前記アプリケーションに付加又は対応付けられたアクセス制御ファイルの署名が正当であるか否かを検証するアプリケーション認証手段と、
    前記アプリケーション認証手段で署名が正当と検証されたアクセス制御ファイルから、前記起動範囲情報と、前記リンク範囲情報と、前記リソース利用範囲情報とを抽出する抽出手段と、
    選局されている前記放送番組の編成チャンネルが前記起動範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定する起動範囲判定手段と、
    前記アプリケーションの取得元となる前記アプリケーションサーバのＵＲＩが前記リンク範囲情報に含まれるか否かにより、取得した前記アプリケーションが起動できるか否かを判定するリンク範囲判定手段と、
    前記起動範囲判定手段及び前記リンク範囲判定手段の判定結果に基づいて、前記アプリケーションの起動を制御する起動制御手段と、
    前記リソース利用範囲情報に基づいて、取得した前記アプリケーションに対して、前記リソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
    を備えることを特徴とする放送通信連携システム。

Images