放送送信装置、放送通信連携受信装置およびそのプログラム、ならびに、放送通信連携システム
【課題】放送送信装置と放送通信連携受信装置とが協働し、ＡＰＬ起動情報に記載のアプリケーションの正真性をアプリケーション単位で検証し、この検証結果に応じたアプリケーションの起動制御を可能とする。
【解決手段】放送通信連携システムＳは、認証子算出鍵Ｋ１を用いて、選択したＡアプリケーションの認証子Ｔａｇ１を算出してＡＰＬ起動情報に付加し、さらに、認証子算出鍵Ｋ１を暗号化して放送波で伝送する放送送信装置１００と、放送送信装置１００で選択されたＡアプリケーションに対応するＡＰＬ起動情報に記載のアプリケーションを取得し、認証子算出鍵Ｋ１を用いて、取得したアプリケーションの認証子Ｔａｇ２を算出し、ＡＰＬ起動情報に含まれる認証子Ｔａｇ１と認証子Ｔａｇ２とを対比して当該アプリケーションの正真性を検証し、この検証結果に応じて当該アプリケーションの起動を制御する放送通信連携受信装置４００と、を備える。
【解決手段】放送通信連携システムＳは、認証子算出鍵Ｋ１を用いて、選択したＡアプリケーションの認証子Ｔａｇ１を算出してＡＰＬ起動情報に付加し、さらに、認証子算出鍵Ｋ１を暗号化して放送波で伝送する放送送信装置１００と、放送送信装置１００で選択されたＡアプリケーションに対応するＡＰＬ起動情報に記載のアプリケーションを取得し、認証子算出鍵Ｋ１を用いて、取得したアプリケーションの認証子Ｔａｇ２を算出し、ＡＰＬ起動情報に含まれる認証子Ｔａｇ１と認証子Ｔａｇ２とを対比して当該アプリケーションの正真性を検証し、この検証結果に応じて当該アプリケーションの起動を制御する放送通信連携受信装置４００と、を備える。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、アプリケーション起動情報で指示されたアプリケーションの正真性を検証し、その正真性に応じてアプリケーションの起動を制御する放送送信装置、放送通信連携受信装置およびそのプログラム、ならびに、放送通信連携システムに関する。
【背景技術】
【０００２】
従来、デジタル放送で伝送される放送波によってアプリケーションの起動を制御する技術が知られている（特許文献１、非特許文献１）。
例えば、非特許文献１に記載の技術では、アプリケーション情報テーブル（ＡＩＴ：Application Information Table）を、放送番組を構成するエレメンタリストリーム（ＥＳ：Elementary Stream）としてセクション形式で放送ＴＳ（ＴＳ：Transport Stream）に多重化して、受信装置に伝送する。ここで、ＡＩＴは、アプリケーションを特定するとともに、アプリケーションを制御するための付加的な情報を含んだデータである。
【０００３】
一方、受信装置では、受信した放送波からＡＩＴを分離抽出し、ＡＩＴに記述されているアプリケーションに対して、同じくＡＩＴに記述されている起動（ＡＵＴＯＳＴＡＲＴ）、終了（ＫＩＬＬ）等の制御情報に基づいて、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−１６６３３５号公報
【非特許文献】
【０００５】
【非特許文献１】（社）電波産業会、“デジタル放送におけるアプリケーション実行環境 標準規格 ＡＲＩＢ ＳＴＤ−Ｂ２３ １．２版”、平成２１年７月２９日，ｐ．３９〜５４
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、放送事業者あるいは放送事業者から権限を与えられた第三者機関が、予め、様々なサービス提供事業者が作成した多数のアプリケーションから、例えば放送番組の内容に沿ったアプリケーションを選択して、放送事業者等によって承認されたことを示すオーソライズド（Authorized）アプリケーション（以下、単にＡアプリケーションという）として動作させることがある。
【０００７】
このように放送事業者の指示のもと動作されるＡアプリケーションは、アプリケーションの内容や動作の信頼性について放送事業者がいわば最低限のお墨付きを与えたものとみなされる。このため、放送事業者の信頼性を確保するために、このＡアプリケーションが受信装置で起動される時点においても、放送事業者がお墨付き（承認）を与えた時点のものとの正真性が確認されていることが必要である。つまり、放送事業者等がＡアプリケーションとして動作させたいアプリケーションの内容と、受信装置で起動される当該Ａアプリケーションの内容とが一致していることが求められる。
【０００８】
なお、アプリケーション提供においては、アプリケーションを提供するサービス事業者がアプリケーションに署名を付与し、受信機側でその署名を検証することが考えられる。これにより、アプリケーションを提供するサービス事業者を特定し、そのサービス事業者の意図に沿ったアプリケーションであるか否かを検証することは可能となる。
しかし、上記の方法では、アプリケーションの正真性は、アプリケーションを提供するサービス事業者に委ねられ、放送事業者等がＡアプリケーションとして動作させたいアプリケーションの内容と、ユーザの受信装置で起動されるアプリケーションの内容とが一致しているか否かをアプリケーション単位で検証することができなかった。
【０００９】
このため、例えば、放送事業者等がアプリケーション起動情報で指示したＡアプリケーションの内容が、サービス事業者による悪意のある書き換えや、アプリケーションのバージョンアップ等により、アプリケーションの内容や動作が、放送事業者等が承認を与えた時点の意図に沿わないものとなった場合であってもＡアプリケーションとしてユーザに提示される危険性があった。
このように、放送事業者等がＡアプリケーションとして承認を与え、アプリケーション起動情報に指示した内容と異なる内容のアプリケーションがＡアプリケーションとしてユーザに提示されると、放送事業者の信頼性が損なわれるおそれがある。
【００１０】
本発明は、このような問題点に鑑みてなされたものであり、放送事業者等が予め承認し、アプリケーション起動情報に指示したＡアプリケーションをユーザが取得したときに、Ａアプリケーションとして放送事業者等が承認したアプリケーションであるという正真性をアプリケーション単位で検証し、この結果に応じてアプリケーションの起動を制御することが可能な、放送送信装置、放送通信連携受信装置及びそのプログラム、ならびに、放送通信連携プログラムを提供することを課題とする。
【課題を解決するための手段】
【００１１】
本発明は、前記課題を解決するために創案されたものであり、まず、請求項１に記載の放送送信装置は、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおける放送送信装置であって、認証子算出手段と、アプリケーション起動情報生成手段と、共通情報暗号化手段と、個別情報暗号化手段と、多重化手段と、放送送信手段と、を備える構成とした。
【００１２】
かかる構成によれば、放送送信装置は、認証子算出手段によって、選択されたアプリケーションまたは当該アプリケーションのハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する。これにより、アプリケーションの内容に依存する認証子が算出される。
また、放送送信装置は、アプリケーション起動情報生成手段によって、認証子算出手段により算出された認証子を付加した、アプリケーションを起動するための情報であるアプリケーション起動情報を生成する。
さらに、放送送信装置は、共通情報暗号化手段によって、アプリケーションの認証子を算出するための第１暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する。
【００１３】
続いて、放送送信装置は、個別情報暗号化手段によって、第２暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する。
そして、放送送信装置は、多重化手段によって、暗号化された共通情報と、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらにアプリケーション起動情報を多重化してストリームを生成する。
そして、放送送信装置は、放送送信手段によって、多重化手段で生成されたストリームを、複数の放送通信連携受信装置に送信する。
【００１４】
このようにして、放送送信装置の認証子生成手段でアプリケーションの認証子を算出するのに用いた第１暗号鍵を、放送波を介して放送通信連携受信装置に送信することができる。これにより、放送通信連携受信装置において、この第１暗号鍵を用いて、取得したアプリケーションの認証子を算出することが可能となる。そして、放送通信連携受信装置側で、放送送信装置で算出されたアプリケーション起動情報に付加された認証子と放送通信連携受信装置側で算出されたアプリケーションの認証子とを用いて、アプリケーション単位で正真性を検証することが可能となる。また、第１暗号鍵は、必要に応じて変更することも可能である。
【００１５】
請求項２に記載の放送通信連携受信装置は、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおける放送通信連携受信装置であって、放送受信手段と、放送信号解析手段と、アプリケーション起動情報取得手段と、アプリケーション起動情報記憶手段と、個別情報復号手段と、共通情報復号手段と、アプリケーション取得手段と、認証子算出手段と、アプリケーション検証手段と、アプリケーション実行手段と、を備える構成とした。
【００１６】
かかる構成によれば、放送通信連携受信装置は、放送受信手段によって、放送送信装置から送信されたストリームを受信する。
また、放送通信連携受信装置は、放送信号解析手段によって、放送受信手段で受信したストリームに含まれる放送信号を解析して、放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、アプリケーション起動情報と、を抽出する。
【００１７】
また、放送通信連携受信装置は、アプリケーション起動情報取得手段によって、放送送信装置で生成された、アプリケーションを起動するための情報であり、アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得する。
さらに、放送通信連携受信装置は、アプリケーション起動情報記憶手段によって、アプリケーション起動情報取得手段で取得されたアプリケーション起動情報を記憶する。
【００１８】
またさらに、放送通信連携受信装置は、個別情報復号手段によって、当該装置に固有のマスタ鍵を用いて、放送信号解析手段で抽出された暗号化された個別情報から、暗号化された共通情報を復号するための第２暗号鍵を復号する。これにより、暗号化された共通情報の復号が可能となる。
続いて、放送通信連携受信装置は、共通情報復号手段によって、個別情報復号手段で復号された第２暗号鍵を用いて、放送信号解析手段で抽出された暗号化された共通情報から、アプリケーションの認証子を算出するための第１暗号鍵を復号する。これにより、アプリケーションの認証子の算出が可能となる。
【００１９】
次に、放送通信連携受信装置は、アプリケーション管理・実行制御手段によって、アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示するとともに当該アプリケーションの起動を制御する。
例えば、デジタル放送の画面に提示されたアプリケーションのリストを参照したユーザから、リモコンやマウス等によるアプリケーションの選択操作の入力を受け付ける。
【００２０】
続いて、放送通信連携受信装置は、アプリケーション取得手段によって、アプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得する。
これにより、アプリケーション起動情報に指示された、放送事業者のサーバが保有する予め承認を与えられたアプリケーションや、外部のサービス提供事業者や一般のユーザが提供する予め承認を与えられたアプリケーションを取得可能となる。
【００２１】
そして、放送通信連携受信装置は、認証子算出手段によって、アプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、共通情報復号手段で復号された前記第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する。
これにより、アプリケーション取得手段で取得されたアプリケーションの内容に依存する認証子が算出される。そして、この認証子と、放送事業者側でアプリケーション起動情報に付加された認証子、すなわち、放送事業者側で予め承認を与えられたアプリケーションから生成された認証子と、を対比することが可能となる。
【００２２】
そして、放送通信連携受信装置は、アプリケーション検証手段によって、認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを検証することによって、アプリケーションの正真性を検証する。
【００２３】
これによれば、放送通信連携受信装置は、放送送信装置側で、アプリケーション起動情報に指示する、予め承認されたアプリケーションについての認証子を算出するのに用いられた第１暗号鍵を用いて、この予め承認されたアプリケーションに対応するアプリケーションの認証子を算出する、つまり、放送送信装置と放送通信連携受信装置とで共通の第１暗号鍵を用いて認証子をそれぞれ算出する。これにより、それぞれ算出された認証子の異同は、アプリケーションの内容の異同に依存することになる。
このため、認証子算出手段で算出された認証子と、放送または通信で取得したアプリケーション起動情報に含まれる認証子と、が互いに一致しているか否かを対比して検証することで、放送事業者側において予め承認されたアプリケーションの内容と、アプリケーション取得手段が取得した、放送事業者側において予め承認されたアプリケーションに対応するアプリケーション起動情報に記載のアプリケーションの内容と、が一致しているか否かを判別することができる。
【００２４】
すなわち、認証子算出手段で算出された認証子と、放送または通信で取得したアプリケーション起動情報に含まれる認証子と、が一致する場合には、アプリケーション取得手段が取得したアプリケーションの内容と、放送事業者側で予め承認を与えたアプリケーションの内容と、が一致することがわかる。一方、認証子算出手段で算出された認証子と、放送または通信で取得したアプリケーション起動情報に含まれる認証子と、が一致しない場合には、アプリケーション取得手段が取得したアプリケーションの内容と、放送事業者側で予め承認を与えた、意図したアプリケーションの内容と、が一致しないことがわかる。
【００２５】
そして、放送通信連携受信装置は、アプリケーション実行手段によって、アプリケーション起動可否判定手段により、アプリケーション検証手段からアプリケーションの正真性が確認されたという検証結果の入力を受け付けたアプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行する。
これにより、アプリケーション検証手段で正真性が確認された、つまり、アプリケーション取得手段が取得したアプリケーションが、放送事業者側で予め承認を与えた、意図したアプリケーションと一致する場合にのみ実行される。このため、放送事業者側の意図しないアプリケーションが実行されないようにすることができる。
【００２６】
請求項３に記載の放送送信プログラムは、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおいて、前記アプリケーションの正真性を検証するために、コンピュータを、認証子算出手段、アプリケーション起動情報生成手段、共通情報暗号化手段、個別情報暗号化手段、多重化手段、放送送信手段、として機能させる構成とした。
【００２７】
かかる構成によれば、放送送信プログラムは、認証子算出手段によって、選択されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する。
また、放送送信プログラムは、アプリケーション起動情報生成手段によって、認証子算出手段により算出された認証子を付加した、アプリケーションを起動するための情報であるアプリケーション起動情報を生成する。
【００２８】
続いて、放送送信プログラムは、共通情報暗号化手段によって、第１暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する。
さらに、放送送信プログラムは、個別情報暗号化手段によって、第２暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する。
【００２９】
そして、放送送信プログラムは、多重化手段によって、暗号化された共通情報と、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらにアプリケーション起動情報を多重化してストリームを生成する。
そして、放送送信プログラムは、放送送信手段によって、多重化手段で生成されたストリームを、複数の放送通信連携受信装置に送信する。
【００３０】
また、請求項４に記載の放送通信連携受信プログラムは、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおいて、前記アプリケーションの正真性を検証するために、コンピュータを、放送受信手段、放送信号解析手段、アプリケーション起動情報取得手段、アプリケーション起動情報記憶手段、個別情報復号手段、共通情報復号手段、アプリケーション取得手段、認証子算出手段、アプリケーション起動可否判定手段、アプリケーション実行手段、として機能させる構成とした。
【００３１】
かかる構成によれば、放送通信連携受信プログラムは、放送受信手段によって、放送送信装置から送信されたストリームを受信する。
また、放送通信連携受信プログラムは、放送信号解析手段によって、放送受信手段で受信したストリームに含まれる放送信号を解析して、放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、アプリケーション起動情報と、を抽出する。
【００３２】
また、放送通信連携受信プログラムは、アプリケーション起動情報取得手段によって、放送送信装置で生成された、アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得する。
さらに、放送通信連携受信プログラムは、アプリケーション起動情報記憶手段によって、アプリケーション起動情報取得手段で取得されたアプリケーション起動情報を記憶する。
【００３３】
続いて、放送通信連携受信プログラムは、個別情報復号手段によって、当該装置に固有のマスタ鍵を用いて、放送信号解析手段で抽出された暗号化された個別情報から、暗号化された共通情報を復号するための第２暗号鍵を復号する。
さらに、放送通信連携受信プログラムは、共通情報復号手段によって、個別情報復号手段で復号された第２暗号鍵を用いて、放送信号解析手段で抽出された暗号化された共通情報から、アプリケーションの認証子を算出するための第１暗号鍵を復号する。
【００３４】
次に、放送通信連携受信プログラムは、アプリケーション管理・実行制御手段によって、アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示するとともに当該アプリケーションの起動を制御する。
また、放送通信連携受信プログラムは、アプリケーション取得手段によって、アプリケーション管理・制御手段から指示されたアプリケーションを前記通信回線を介して取得する。
さらに、放送通信連携受信プログラムは、認証子算出手段によって、アプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、共通情報復号手段で復号された前記第１暗号鍵と、を用いてアプリケーションの認証子を算出する。
【００３５】
そして、放送通信連携受信プログラムは、アプリケーション検証手段によって、認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを検証することによって、アプリケーションの正真性を検証する。
そして、放送通信連携受信プログラムは、アプリケーション実行手段によって、アプリケーション検証手段により、アプリケーションの正真性が確認されたという検証結果の入力を受け付けたアプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行する。
【００３６】
また、請求項５に記載の放送通信連携システムは、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムであって、放送送信装置は、認証子算出手段と、アプリケーション起動情報生成手段と、共通情報暗号化手段と、個別情報暗号化手段と、多重化手段と、放送送信手段と、を備え、放送通信連携受信装置は、放送受信手段と、放送信号解析手段と、アプリケーション起動情報取得手段と、アプリケーション起動情報記憶手段と、個別情報復号手段と、共通情報復号手段と、アプリケーション取得手段と、認証子算出手段と、アプリケーション起動可否判定手段と、アプリケーション実行手段と、を備える構成とした。
【００３７】
かかる構成によれば、放送通信連携システムは、放送送信装置の認証子算出手段によって、選択されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する。
また、放送通信連携システムは、放送送信装置のアプリケーション起動情報生成手段によって、認証子算出手段により算出された認証子を付加した、アプリケーションを起動するための情報であるアプリケーション起動情報を生成する。
【００３８】
さらに、放送通信連携システムは、放送送信装置の共通情報暗号化手段によって、第１暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する。
続いて、放送通信連携システムは、放送送信装置の個別情報暗号化手段によって、第２暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する。
【００３９】
そして、放送通信連携システムは、放送送信装置の多重化手段によって、暗号化された共通情報と、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらにアプリケーション起動情報を多重化してストリームを生成する。
そして、放送通信連携システムは、放送送信装置の放送送信手段によって、多重化手段で生成されたストリームを、複数の放送通信連携受信装置に送信する。
【００４０】
続いて、放送通信連携システムは、放送通信連携受信装置の放送受信手段によって、放送送信装置から送信されたストリームを受信する。
また、放送通信連携システムは、放送通信連携受信装置の放送信号解析手段によって、放送受信手段で受信したストリームに含まれる放送信号を解析して、放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、アプリケーション起動情報と、を抽出する。
【００４１】
さらに、放送通信連携システムは、放送通信連携受信装置のアプリケーション起動情報取得手段によって、アプリケーションを起動するための情報であり、アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得する。
次に、放送通信連携システムは、放送通信連携受信装置のアプリケーション起動情報記憶手段によって、放送送信装置で生成された、アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を記憶する。
【００４２】
続いて、放送通信連携システムは、放送通信連携受信装置の個別情報復号手段によって、当該装置に固有のマスタ鍵を用いて、放送信号解析手段で抽出された暗号化された個別情報から暗号化された共通情報を復号するための第２暗号鍵を復号する。
また、放送通信連携システムは、放送通信連携受信装置の共通情報復号手段によって、個別情報復号手段で復号された第２暗号鍵を用いて、放送信号解析手段で抽出された暗号化された共通情報から、アプリケーションの認証子を算出するための第１暗号鍵を復号する。
さらに、放送通信連携システムは、放送通信連携受信装置のアプリケーション管理・実行制御手段によって、アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示するとともに当該アプリケーションの起動を制御する。
【００４３】
次に、放送通信連携システムは、放送通信連携受信装置のアプリケーション取得手段によって、アプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得する。
さらに、放送通信連携システムは、放送通信連携受信装置の認証子算出手段によって、アプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、共通情報復号手段で復号された前記第１暗号鍵と、を用いてアプリケーションの認証子を算出する。
【００４４】
そして、放送通信連携システムは、放送通信連携受信装置のアプリケーション検証手段によって、認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを検証することによって、アプリケーションの正真性を検証する。
そして、放送通信連携システムは、放送通信連携受信装置のアプリケーション実行手段によって、アプリケーション検証手段により、アプリケーションの正真性が確認されたという検証結果の入力を受け付けたアプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行する。
【発明の効果】
【００４５】
本発明は、以下に示す優れた効果を奏するものである。
請求項１、３に記載の発明によれば、放送送信装置側がアプリケーション起動情報に指示した、予め承認したアプリケーションについての認証子の算出に用いた第１暗号鍵を、放送波を介して放送通信連携受信装置に送信することで、放送通信連携受信装置と第１暗号鍵を共有することができる。また、第１暗号鍵は、必要に応じて変更することが容易である。また、算出した認証子をアプリケーション起動情報に付加することで、放送通信連携受信装置に算出した認証子を通知することができる。
これにより、放送通信連携受信装置側で、アプリケーション起動情報に基づいてアプリケーションを取得したときに、放送送信装置から受信した第１暗号鍵を用いて、当該アプリケーションの認証子を算出することが可能となる。
また、放送通信連携受信装置側で算出した認証子と、放送送信装置でアプリケーション起動情報に付加した認証子とを対比することで、アプリケーション起動情報に記載のアプリケーションの正真性を検証することが可能となる。
これにより、放送送信装置と放送通信連携受信装置とが協働して、アプリケーション起動情報に記載のアプリケーション単位の正真性を検証することが可能となる。
【００４６】
請求項２、４に記載の発明によれば、放送送信装置側から予め承認されたアプリケーション起動情報に記載のアプリケーションの認証子の算出に用いられた第１暗号鍵を、放送波を介して受信し、この第１暗号鍵を用いて、アプリケーション起動情報に基づいて取得したアプリケーションの認証子を算出することが可能となる。そして、放送通信連携受信装置が取得したアプリケーションの認証子と、放送送信装置において、アプリケーション起動情報に基づいて取得したアプリケーションに対応する予め承認されたアプリケーションについて算出された認証子と、が互いに一致するか否かを対比して検証することによって、アプリケーション起動情報に基づいて取得したアプリケーションの正真性を検証することが可能になる。そして、その検証の結果、放送通信連携受信装置が取得したアプリケーションの正真性が確認されない場合、そのアプリケーションを実行しないこととすることで、放送事業者側で予め承認したアプリケーションの内容と異なる意図しないアプリケーションが実行されないようにすることが可能となる。このため、放送事業者の信頼性を確保することができる。
【００４７】
請求項５に記載の発明によれば、放送送信装置と放送通信連携受信装置とが協働して、アプリケーション起動情報に記載のアプリケーション単位の正真性を検証することが可能となる。
また、アプリケーションの正真性が確認されない場合、放送通信連携受信装置において、そのアプリケーションを実行しないこととすることで、放送事業者側で予め承認したアプリケーションの内容と異なる意図しない内容となったアプリケーションが実行されないようにすることが可能となる。このため、放送事業者の信頼性を確保することができる。
【図面の簡単な説明】
【００４８】
【図１】本発明の放送通信連携システムの概要を示す図である。
【図２】本発明の実施形態に係る放送通信連携システムにおける放送送信装置の構成を示すブロック図である。
【図３】本発明の実施形態に係る放送通信連携システムにおける放送送信装置で生成されるアプリケーション起動情報の例を説明する図である。
【図４】本発明の実施形態に係る放送通信連携システムにおける放送送信装置で生成されるアプリケーション起動情報に含まれるアプリケーション制御コードの例を説明する図である。
【図５】本発明の実施形態に係る放送通信連携システムにおける放送送信装置の動作を示すフローチャートである。
【図６】本発明の実施形態に係る放送通信連携システムにおける放送通信連携受信装置の構成を示すブロック図である。
【図７】本発明の実施形態に係る放送通信連携システムにおける放送通信連携受信装置のアプリケーション起動・終了動作を示すフローチャートである。
【発明を実施するための形態】
【００４９】
以下、本発明の実施形態について図面を参照して説明する。
［放送通信連携システムの構成］
最初に、図１を参照して、放送通信連携システムの構成について説明する。なお、以下では、アプリケーションを「ＡＰＬ」と記載することがあるものとする。
放送通信連携システムＳは、放送と通信とを連携し、アプリケーションを視聴者に提示するシステムである。ここで、アプリケーションとは、後記する放送通信連携受信装置４００を実行環境として動作するソフトウェアである。
この放送通信連携システムＳは、放送送信装置１００と、ＡＰＬサーバ２００と、ＡＰＬ起動情報サーバ２１０と、放送通信連携受信装置４００と、ＡＰＬ起動情報サーバ５００と、が通信回線Ｎを介して接続されて構成される。なお、通信回線Ｎは、有線、無線のいずれであっても構わない。
【００５０】
放送送信装置１００は、放送局に設置され、番組編成に伴う放送番組（コンテンツ）や、それに伴う番組情報を、放送波Ｗを介して放送通信連携受信装置４００に送信するものである。
また、放送送信装置１００は、アプリケーションを起動するために必要なアプリケーション起動情報を生成し、このアプリケーション起動情報をアプリケーション起動情報を管理するサーバ（例えば、ＡＰＬ起動情報サーバ２１０やＡＰＬ起動情報サーバ５００）に蓄積する場合がある。
さらに、放送送信装置１００は、アプリケーションを起動するために必要なアプリケーション起動情報を生成し、このアプリケーション起動情報を放送波Ｗに付加して、放送通信連携受信装置４００に送信する場合がある。
ここで、アプリケーション起動情報とは、アプリケーションの識別子（ＩＤ）、アプリケーションの配置場所等のアプリケーションを特定するための情報、ならびに、当該アプリケーションを制御するための付加的な情報である。
なお、ここでは、放送送信装置１００は、放送番組等を放送波Ｗとして送信する形態で説明するが、ケーブル（図示せず）や、通信回線Ｎを介して送信してもよい。この放送送信装置１００の構成および動作については、後で詳細に説明を行う。
【００５１】
ＡＰＬ（アプリケーション）サーバ２００は、予めサービス事業者が作成したアプリケーションを、通信回線Ｎを介して放送通信連携受信装置４００に提供するものである。このように、ＡＰＬサーバ２００から放送通信連携受信装置４００に直接提供されるアプリケーションは、権限を有する機関による承認が与えられていない一般アプリケーションと、予め放送事業者または放送事業者が信頼した第三者機関によって承認が与えられるＡアプリケーションとに大別される。
【００５２】
なお、ここで、一般アプリケーションとは、サービス提供者（一般ユーザを含む）が作成したアプリケーション等で、認証機関の承認を受けていないアプリケーションのことをいい、Ａアプリケーションとは、サービス提供者（一般ユーザを含む）が作成したアプリケーション等で、放送事業者から権限を与えられた認証機関の承認を受けているアプリケーションをいう。
【００５３】
ＡＰＬ起動情報サーバ２１０は、ＡＰＬサーバ２００に記憶されたアプリケーションのアプリケーション起動情報を記憶するものである。
【００５４】
ＡＰＬ（アプリケーション）登録装置３００は、ここでは、放送局自身、あるいは、放送局からＡアプリケーションの承認についての権限を与えられた第三者機関に設置され、ＡＰＬ確認装置３１０と、管理装置３２０とを備える。
【００５５】
ＡＰＬ（アプリケーション）確認装置３１０は、ＡＰＬサーバ２００からアプリケーションの登録の申請を受け付けるとともに、このアプリケーションを検証し、所定の基準を満たしている場合に、放送局のＡアプリケーションとしての承認を与える。
Ａアプリケーションとしての承認を与える基準は様々であり、例えば、サービス事業者からの申請にかかるアプリケーションが、放送局が提供する放送番組の内容に沿ったものであり内容に信頼性がある場合、そのアプリケーションにＡアプリケーションとしての承認を与えるものとしてもよい。このＡＰＬ確認装置３１０でＡアプリケーションとしての承認を与えられたアプリケーションは、管理装置３２０または外部のＡＰＬサーバ（例えば、ＡＰＬサーバ２００）で管理される。
このＡＰＬ登録装置３００のネットワークアドレスアドレス（ＩＰアドレス等）は、放送送信装置１００が予め保持しているものとする。
【００５６】
管理装置３２０は、ＡＰＬ確認装置３１０で承認されたアプリケーション（Ａアプリケーション）の情報を蓄積して記憶するものである。ここで、Ａアプリケーションは、放送局の判断で、番組に連動、あるいは、非連動させたり、編成チャンネルに連動、あるいは、非連動させたりすることができるが、ここでは、番組連動・非連動の別、あるいは、チャンネル連動・非連動の別を問わないので、以下では、原則として区別せずに説明する。ここで、Ａアプリケーション情報とは、少なくとも、アプリケーションまたはアプリケーションのハッシュ値、アプリケーションの識別情報（アプリケーションＩＤ、アプリケーション名など）、アプリケーションのロケーションを含む。アプリケーションの実体は、管理装置３２０で管理してもよいし、アプリケーション制作者自身のサーバで管理してもよい。アプリケーション制作者自身のサーバで分散して管理する場合には、管理装置３２０は、ＡＰＬ確認装置３１０で承認したときのアプリケーションのハッシュ値と、アプリケーションのロケーションと、をあわせて管理する。
管理装置３２０に管理されたＡアプリケーション情報は、放送送信装置１００により、通信回線Ｎを介して参照されて適宜選択される。このようにして選択されたＡアプリケーション情報は、通信回線Ｎを介して放送通信連携受信装置４００に提供される。
【００５７】
ＡＰＬ（アプリケーション）起動情報サーバ５００は、放送局で作成された、承認されたアプリケーション（Ａアプリケーション）に対応したアプリケーション起動情報を保持するものである。ＡＰＬ起動情報サーバ５００に保持されたＡＰＬ起動情報は、放送通信連携受信装置４００によって通信回線Ｎを介して取得される。
また、例えば、ＡＰＬ起動情報サーバ５００は、放送通信連携受信装置４００から特定のアプリケーションに対するプッシュ通知要求を受けとった場合、通信回線Ｎを介してアプリケーション起動情報を放送通信連携受信装置４００に送信する。このとき、ＡＰＬ起動情報サーバ５００は、プッシュ通知要求のあった放送通信連携受信装置４００を登録しておき、特定のアプリケーションのアプリケーション起動情報が更新された場合、このアプリケーション起動情報を、登録した放送通信連携受信装置４００に送信する。あるいは、アプリケーション起動情報が更新されたことを通知してもよい。
このＡＰＬ起動情報サーバ５００（図１参照）は、放送局内に設置してもよいし、第三者機関が保持することとしてもよい。
【００５８】
放送通信連携受信装置４００は、放送番組を視聴者に提示するとともに、アプリケーションを動作させて視聴者に提示するものである。この放送通信連携受信装置４００の構成および動作については、後で詳細に説明を行う。
このように放送通信連携システムＳを構成することで、放送通信連携受信装置４００において、視聴者は、放送局が提供する放送番組を視聴するとともに、サービス事業者や放送局等が提供するアプリケーションを動作させることができる。この放送通信連携受信装置４００の構成および動作については、後で詳細に説明を行う。
【００５９】
本発明の実施形態に係る放送通信連携システムＳは、放送局または第三者機関がアプリケーションの信頼性や最低限の動作についての所定の基準を満たしているとして承認を与えたときのアプリケーション（Ａアプリケーション）と、視聴者に提供されるときのＡアプリケーションの内容と、が一致しているか、つまり、視聴者に提供されるときのＡアプリケーションが正真性を有しているか否かを、放送送信装置１００と放送通信連携受信装置４００とが協働して、アプリケーション単位で検証することを可能にするものである。
次に、このような放送送信装置１００の構成および動作と、放送通信連携受信装置４００の構成および動作について説明する。
【００６０】
［放送送信装置の構成］
まず、図２を参照（適宜、図１参照）して、本発明の実施形態に係る放送送信装置１００の構成について説明する。
放送送信装置１００は、ここでは、ＡＰＬ選択手段１０１と、認証子算出手段１０２と、共通情報暗号化手段１０３と、個別情報暗号化手段１０４と、ＡＰＬ起動情報生成手段１０５と、コンテンツ記憶手段１０６と、データ放送コンテンツ記憶手段１０７と、多重化手段１０８と、放送送信手段１０９と、を備えている。
【００６１】
ＡＰＬ（アプリケーション）選択手段１０１は、ＡＰＬ登録装置３００の管理装置３２０に蓄積されているＡアプリケーション情報から、一または複数のアプリケーションを選択するものである。
例えば、ＡＰＬ選択手段１０１は、放送局の管理者によって、外部からＡアプリケーションの選択の入力を受け付けると、管理装置３２０からその選択にかかるＡアプリケーション情報を取得する。
【００６２】
この場合、放送送信装置１００は、例えば、Ａアプリケーションを特定する情報（例えば、ＡアプリケーションのＩＤやＵＲＬなど）のリストを、表示装置（図示せず）に表示する図示しないリスト表示手段をさらに備えることとし、ＡＰＬ（アプリケーション）選択手段１０１が、このリストを参照した放送局の管理者による入力手段（例えば、図示しないリモコンなど）を介したＡアプリケーションの選択操作の入力を受け付けるとともに、管理装置３２０からその選択にかかるＡアプリケーション情報を取得する。Ａアプリケーション情報とは、少なくとも、アプリケーションそのものまたはアプリケーションのハッシュ値、アプリケーション識別情報、アプリケーションのロケーションを含む。
【００６３】
また例えば、ＡＰＬ選択手段１０１は、Ａアプリケーションを所定の条件に従って自動で選択する機能を備えていてもよい。例えば、ＡＰＬ選択手段１０１は、放送番組のジャンルや放送期間等に応じたＡアプリケーションのリストを予め保有しており、放送番組や放送期間が入力されると、自動的に適切なＡアプリケーションを選択して、その選択にかかるＡアプリケーション情報を管理装置３２０から取得することとしてもよい。ＡＰＬ選択手段１０１によって選択されたＡアプリケーションにかかるＡアプリケーション情報は、認証子算出手段１０２に出力される。
【００６４】
認証子算出手段１０２は、ＡＰＬ選択手段１０１で選択されたＡアプリケーションにかかるＡアプリケーション情報に含まれるＡアプリケーションまたはＡアプリケーションのハッシュ値と、図示しない鍵発行手段から発行された認証子算出用の鍵である認証子算出鍵Ｋ１（第１暗号鍵）と、を用いて、選択されたＡアプリケーションの認証子を算出するものである。認証子算出鍵Ｋ１の形式は、特に限定されるものではなく、公知の手法で生成された擬似乱数の鍵を用いることができる。また、この認証子算出鍵Ｋ１は、放送通信連携受信装置４００に共通の情報（共通情報）である。
【００６５】
また、認証子は、選択されたＡアプリケーションに依存するものであればよく、認証子算出アルゴリズム等は特に限定されるものではない。認証子算出手段１０２は、認証子をＴａｇとし、認証子算出アルゴリズムをＭＡＣとし、選択されたＡアプリケーションをＡＰＬとすると、例えば、次の式（１）で規定される認証子Ｔａｇを算出する。
【数１】
【００６６】
以下では、認証子算出手段１０２で算出した認証子を認証子Ｔａｇ１と表記する。
なお、アプリケーションのハッシュ値を用いて認証子を算出する場合、前記式（１）の「ＡＰＬ」を「ＨＡＳＨ（ＡＰＬ）」に置き換えればよい。認証子算出手段１０２により算出された認証子Ｔａｇ１は、ＡＰＬ起動情報生成手段１０５に出力される。
【００６７】
共通情報暗号化手段１０３は、認証子算出手段１０２で認証子Ｔａｇ１の算出に用いられた、放送通信連携受信装置４００に共通の共通情報である認証子算出鍵Ｋ１を、図示しない鍵発行手段で発行された暗号鍵Ｋ２（第２暗号鍵）によって、例えば、ＥＣＭ（Entitlement Control Message）により構成されるデータ形式で暗号化するものである。暗号鍵Ｋ２の形式は、特に限定されるものではなく、公知の手法で生成された鍵を用いることができる。なお、ここでは、共通情報を、認証子算出鍵Ｋ１として説明しているが、他の情報も含んでもよいことはもちろんである。
【００６８】
個別情報暗号化手段１０４は、共通情報暗号化手段１０３で共通情報の暗号化に用いられた暗号鍵Ｋ２を、放送通信連携受信装置４００のそれぞれに固有のマスタ鍵ＫＭによって、例えば、ＥＭＭ（Entitlement Management Message）により構成されるデータ形式で暗号化するものである。このマスタ鍵ＫＭは、予め図示しない記憶手段に、放送通信連携受信装置４００を特定するための情報（例えば、放送通信連携受信装置のＩＤ）と対応付けて記憶されている。
このマスタ鍵ＫＭの内容は、特に限定されるものではなく、公知の手法で生成されたものを用いることができる。なお、ここでは、個別情報を暗号鍵Ｋ２として説明しているが、他の情報も含んでもよいことはもちろんである。
【００６９】
このようにして、認証子算出手段１０２で認証子Ｔａｇ１の算出に用いた認証子算出鍵Ｋ１を、暗号鍵Ｋ２で暗号化し、この暗号鍵Ｋ２を、マスタ鍵ＫＭで暗号化することにより、認証子算出手段１０２で認証子Ｔａｇ１の算出に用いた認証子算出鍵Ｋ１を、放送通信連携受信装置４００のそれぞれに安全に送ることが可能となる。
【００７０】
ＡＰＬ（アプリケーション）起動情報生成手段１０５は、アプリケーションの起動を制御するために必要なアプリケーション起動情報を生成するものである。
ＡＰＬ起動情報生成手段１０５は、ＡＰＬ選択手段１０１で選択されたＡアプリケーションについてのアプリケーション起動情報を生成する場合は、前記した認証子算出手段１０２で算出された認証子Ｔａｇ１を付加してアプリケーション起動情報を生成する。
【００７１】
ここで、アプリケーション起動情報とは、基本的には、アプリケーションを特定するための情報、ならびに、アプリケーションを制御するための付加的な情報であるが、ＡＰＬ選択手段１０１で選択されたＡアプリケーションについてのアプリケーション起動情報には、認証子算出手段１０２で算出された認証子Ｔａｇ１がさらに付加される。
ＡＰＬ起動情報生成手段１０５は、ＡＰＬ選択手段１０１で選択されたＡアプリケーションの起動情報として、例えば、図３に示すようなＸＭＬ（eXtensible Markup Language）形式によるテキスト表現（ＡＩＴファイル形式）で記載されたアプリケーション起動情報を生成する。なお、図３の左欄の数字（１）〜（４１）は、説明の便宜のために付加した行番号である。
【００７２】
次に、図３を参照して、ＡＰＬ起動情報生成手段１０５で生成されるＡアプリケーションの起動情報の一例を説明する。
まず、アプリケーション起動情報は、アプリケーションを特定する情報として、以下のような情報を含む。
例えば、図３では、（９）行目にアプリケーション名を記載している。また、（１１）行目にアプリケーションを作成した組織、（１２）行目に組織内で一意に定められたアプリケーションを識別する番号を記載している。この（１１）および（１２）行目に示す番号がアプリケーションを一意に特定するアプリケーションＩＤとなる。
また、（２９）行目にアプリケーションの所在（アドレス）を記載している。
また、（３０）〜（３１）行目に認証子算出手段１０２で認証子Ｔａｇ１の算出に用いられたアルゴリズムＭＡＣ、（３２）〜（３３）行目に認証子算出手段１０２で算出された認証子Ｔａｇ１を記載している。
【００７３】
これら以外にも、（３８）行目に示すように、アプリケーションが利用する付加的な情報、例えば、メタデータ、画像データ等の所在（アドレス）を記述しておくこととしてもよい。このように、付加的なデータの参照先を記載しておくことで、ＡＰＬ起動情報に付加するデータ量を抑えることができる。
【００７４】
また、アプリケーション起動情報は、アプリケーションを制御するための付加的な情報として、以下のような情報を含む。
例えば、図３では、（１５）行目にアプリケーション状態を制御する制御コード（アプリケーション制御コード）を記載している。
このアプリケーション制御コードは、例えば、図４に示すような値をとる。このアプリケーション制御コードは、基本的にはＡＲＩＢ ＳＴＤ−Ｂ２３で規定されているものと同様である。例えば、“ＡＵＴＯＳＴＡＲＴ”は、放送通信連携受信装置４００において、ユーザの操作によらず、自動で起動するアプリケーションであることを示す。また、“ＰＲＥＳＥＮＴ”は、自動起動するアプリケーションではないことを示す。
また、“ＤＥＳＴＲＯＹ”、“ＫＩＬＬ”は、アプリケーションの終了を指示する制御コードであって、通常終了（例えば、ユーザの確認を行って終了）であるのか、強制終了（例えば、ユーザの確認を行わずに即時終了）であるのかを示す。
このアプリケーション制御コードは、基本的にはＡＲＩＢ ＳＴＤ−Ｂ２３で規定されているものと同様である。
【００７５】
なお、図３では、（８）〜（４１）行目に、１つのアプリケーションに対応する起動情報が記載されているが、アプリケーションが複数ある場合には、それぞれのアプリケーションに対応する（８）〜（４１）行目の内容が複数記載されていてもよい。
このようにして、ＡＰＬ起動情報生成手段１０５は、ＡＰＬ選択手段１０１によって選択されたＡアプリケーションについて、認証子算出手段１０２で算出された認証子Ｔａｇ１を付加したアプリケーション起動情報を生成する。
一方、ＡＰＬ起動情報サーバ２１０に配置される、一般アプリケーションについては、図３に示す（３０）〜（３３）行目の記載、つまり、認証子Ｔａｇ１に関する記載を除いたアプリケーション起動情報が別途管理される。
【００７６】
ＡＰＬ起動情報生成手段１０５は、このようにして、ＡＰＬ選択手段１０１によって選択されたＡアプリケーションについてのアプリケーション起動情報を生成すると、ＡＰＬ起動情報サーバ５００（いずれも図１参照）にアクセスし、ＡＰＬ選択手段１０１によって選択されたＡアプリケーションのアプリケーション起動情報を、配置しておくことができる。このようにして生成されたアプリケーション起動情報は、放送通信連携受信装置４００（図１参照）によって通信回線Ｎを介して取得される。
また、アプリケーション起動情報を放送波Ｗを介して放送通信連携受信装置４００（図１参照）に送信する場合、ＡＰＬ起動情報生成手段１０５は、生成したアプリケーション起動情報を多重化手段１０８に出力する。
【００７７】
再び図２を参照し、コンテンツ記憶手段１０６は、映像信号と音声信号とを含むコンテンツ（放送番組）を記憶するものである。ここで、コンテンツとは、映像信号および音声信号をＭＰＥＧ−２（Moving Picture Expert Group-2）や、Ｈ．２６４／ＡＶＣ符号化により符号化したデータ、あるいは、ＰＥＳ（Packetized Elementary Stream）形式のデータをいう。このコンテンツ記憶手段１０６は、例えば、ハードディスク等の記憶媒体である。コンテンツ記憶手段１０６に記憶されたコンテンツは、多重化手段１０８によって適宜読み出される。
【００７８】
データ放送コンテンツ記憶手段１０７は、データ放送コンテンツを記憶するものである。このデータ放送コンテンツは、コンテンツ記述言語（例えば、ＢＭＬ（broadcast Markup Language）で記述されたＢＭＬコンテンツである。データ放送コンテンツ記憶手段１０７は、例えば、ハードディスク等の記憶媒体である。データ放送コンテンツ記憶手段１０７に記憶されたデータ放送コンテンツは、多重化手段１０８によって適宜読み出される。
【００７９】
多重化手段１０８は、コンテンツ記憶手段１０６から取得したコンテンツと、データ放送コンテンツ記憶手段１０７から取得したデータ放送コンテンツと、共通情報暗号化手段１０３から入力された共通情報と、個別情報暗号化手段１０４から入力された個別情報と、を多重化してトランスポートストリーム（ＴＳ：Transport Stream 以下、単にストリームともいう。）を生成するものである。多重化手段１０８は、例えば、ＭＰＥＧ−２ Ｓｙｓｔｅｍｓを用いてコンテンツと、データ放送コンテンツと、共通情報と、個別情報と、を多重化してストリームを生成する。また、さらに、ＡＰＬ起動情報生成手段１０５で生成されたアプリケーション起動情報をあわせて多重化してストリームを生成してもよい。生成されたストリームは、放送送信手段１０９に出力される。
【００８０】
放送送信手段１０９は、多重化手段１０８からストリームの入力を受け付け、当該入力を受け付けたストリームを図示しない送信アンテナを介して送信することにより、放送波を介して、複数の放送通信連携受信装置４００（図１参照）に送信するものであり、電子回路によって実現される。
【００８１】
［放送送信装置の動作］
次に、図５および適宜図１〜図４を参照して、放送送信装置１００の動作について説明する。
ここでは、ＡＰＬ登録装置３００のＡＰＬ確認装置３１０によって予め承認されたＡアプリケーション情報が管理装置３２０（いずれも図１参照）に記憶され、コンテンツ記憶手段１０６にコンテンツが予め記憶され、データ放送コンテンツ記憶手段１０７にデータ放送コンテンツが予め記憶されているものとする。
【００８２】
図５に示すように、放送送信装置１００は、ＡＰＬ選択手段１０１によって、ＡＰＬ登録装置３００の管理装置３２０に予め記憶されたＡアプリケーションの中から、一または複数のＡアプリケーションを選択する（ステップＳ１）。放送送信装置１００は、ＡＰＬ選択手段１０１によって、選択したＡアプリケーションにかかるＡアプリケーション情報を、認証子算出手段１０２に出力する。
次に、放送送信装置１００は、認証子算出手段１０２によって、ＡＰＬ選択手段１０１で選択されたＡアプリケーションにかかるＡアプリケーション情報に含まれるＡアプリケーションまたはＡアプリケーションのハッシュ値と、図示しない鍵発行手段で発行された認証子算出鍵Ｋ１と、を用いて、当該Ａアプリケーションの認証子Ｔａｇ１を算出する（ステップＳ２）。放送送信装置１００は、認証子算出手段１０２によって、算出した認証子Ｔａｇ１を、ＡＰＬ起動情報生成手段１０５に出力する。
【００８３】
続いて、放送送信装置１００は、ＡＰＬ起動情報生成手段１０５によって、認証子算出手段１０２で算出された認証子Ｔａｇ１を付加したＡＰＬ起動情報を生成する（ステップＳ３）。そして、放送送信装置１００は、ＡＰＬ起動情報生成手段１０５によって、ＡＰＬ起動情報サーバ５００にアクセスし、ＡＰＬ選択手段１０１で選択されたＡアプリケーションの認証子Ｔａｇ１を付加したアプリケーション起動情報を配置しておくことができる（ステップＳ４）。このとき、放送送信装置１００は、ＡＰＬ起動情報生成手段１０５によって、生成したアプリケーション起動情報を多重化手段１０８に出力してもよい。この場合は、ステップＳ４を省略することができる。
【００８４】
また、放送送信装置１００は、共通情報暗号化手段１０３によって、認証子算出手段１０２で認証子Ｔａｇ１を算出するのに用いられた認証子算出鍵Ｋ１を含んだ共通情報を、図示しない鍵発行手段によって発行された暗号鍵Ｋ２で、例えば、ＥＣＭにより構成されるデータ形式で暗号化する（ステップＳ５）。放送送信装置１００は、共通情報暗号化手段１０３によって、暗号化した共通情報を多重化手段１０８に出力する。
【００８５】
さらに、放送送信装置１００は、個別情報暗号化手段１０４によって、共通情報暗号化手段１０３で認証子算出鍵Ｋ１を暗号化するのに用いられた暗号鍵Ｋ２を含んだ個別情報を、放送通信連携受信装置４００のそれぞれに固有のマスタ鍵ＫＭで、例えば、ＥＭＭにより構成されるデータ形式で暗号化する（ステップＳ６）。放送送信装置１００は、個別情報暗号化手段１０４によって、暗号化した個別情報を多重化手段１０８に出力する。
【００８６】
なお、放送送信装置１００は、ステップＳ３およびステップＳ４と、ステップＳ５およびステップＳ６と、のいずれを先に行ってもよいし、並列に行ってもよい。
【００８７】
続いて、放送送信装置１００は、多重化手段１０８によって、コンテンツ記憶手段１０６から取得したコンテンツと、データ放送コンテンツ記憶手段１０７から取得したデータ放送コンテンツと、共通情報暗号化手段１０３から入力された共通情報と、個別情報暗号化手段１０４から入力された個別情報と、を多重化してストリームを生成する（ステップＳ７）。また、ＡＰＬ起動情報生成手段１０５からアプリケーション起動情報が入力された場合、このアプリケーション起動情報をあわせて多重化してストリームを生成してもよい。そして、放送送信装置１００は、多重化手段１０８によって、生成したストリームを、放送送信手段１０９に出力する。
【００８８】
そして、放送送信装置１００は、放送送信手段１０９によって、多重化手段１０８で生成されたストリームを、図示しない送信アンテナを介して送信することにより、放送波を介して、複数の放送通信連携受信装置４００（図１参照）に送信する（ステップＳ８）。
放送送信装置１００は、以上のようにして、動作する。
【００８９】
［放送通信連携受信装置の構成］
次に、図６を参照（適宜図１参照）して、本発明の実施形態に係る放送通信連携受信装置４００の構成について説明する。
【００９０】
放送通信連携受信装置４００は、ここでは、放送受信手段４０１と、放送信号解析手段４０２と、マスタ鍵記憶手段４０３と、個別情報復号手段４０４と、共通情報復号手段４０５と、映像・音声復号手段４０６と、データ放送復号手段４０７と、通信送受信手段４０８と、ＡＰＬ起動情報取得手段４０９と、ＡＰＬ起動情報記憶手段４１０と、リスト制御手段４１１と、セキュリティ管理手段４１２と、ＡＰＬ管理・実行制御手段４１３と、起動ＡＰＬ識別情報記憶手段４１４と、ＡＰＬ取得手段４１５と、ＡＰＬ記憶手段４１６と、ＡＰＬ実行手段４１７と、操作制御手段４１８と、合成表示手段４１９と、を備えている。
【００９１】
放送受信手段４０１は、アンテナＡを介して、放送波Ｗとして送信されるＭＰＥＧ−２のトランスポートストリームを受信するものである。受信されたトランスポートストリームは、放送信号解析手段４０２に出力される。
なお、この放送受信手段４０１は、アンテナＡを介して、電波によって放送信号を受信するものに限定されず、ケーブルを介して、放送信号を受信するものであってもよい。
【００９２】
放送信号解析手段４０２は、放送受信手段４０１で復調されたストリームデータ（トランスポートストリーム）において、映像信号、音声信号、データ放送信号、共通情報、個別情報等のデータを抽出するものである。また、ストリームデータにアプリケーション起動情報が含まれている場合は、アプリケーション起動情報を抽出する。
この放送信号解析手段４０２は、抽出した映像信号、音声信号等のデータについては、映像・音声復号手段４０６に出力し、抽出したデータ放送等のデータについては、データ放送復号手段４０７に出力する。また、ストリームデータからアプリケーション起動情報を抽出した場合は、抽出したアプリケーション起動情報をＡＰＬ起動情報取得手段４０９に出力する。さらに、放送信号解析手段４０２は、ストリームデータからアプリケーション起動情報を抽出した場合、アプリケーション起動情報が通知された旨（起動情報通知）を、アプリケーションを識別する情報（アプリケーションＩＤ）とともに、ＡＰＬ管理・実行制御手段４１３に通知する。
また、この放送信号解析手段４０２は、抽出した個別情報を、個別情報復号手段４０４に出力し、抽出した共通情報を、共通情報復号手段４０５に出力する。
なお、この個別情報は、放送送信装置１００の個別情報暗号化手段１０４（図２参照）で暗号化されたものであり、共通情報は、放送送信装置１００の共通情報暗号化手段１０３（図２参照）で暗号化されたものである。
【００９３】
マスタ鍵記憶手段４０３は、放送通信連携受信装置４００に固有のマスタ鍵ＫＭを記憶するものである。このマスタ鍵ＫＭは、予め放送送信装置１００と共有しているものである。
【００９４】
個別情報復号手段４０４は、マスタ鍵記憶手段４０３に記憶された固有のマスタ鍵ＫＭを用いて、放送信号解析手段４０２で抽出された個別情報から、共通情報を復号するための暗号鍵Ｋ２を復号するものである。この復号された暗号鍵Ｋ２は、共通情報復号手段４０５に出力される。
【００９５】
共通情報復号手段４０５は、個別情報復号手段４０４で生成された暗号鍵Ｋ２を用いて、放送信号解析手段４０２で抽出された共通情報から、アプリケーションの認証子を生成するための認証子算出鍵Ｋ１を復号するものである。この復号された認証子算出鍵Ｋ１は、後記するセキュリティ管理手段４１２の認証子生成手段に出力される。
【００９６】
映像・音声復号手段４０６は、放送信号解析手段４０２で抽出された映像・音声（映像ストリームおよび音声ストリーム）を復号するものである。この映像・音声復号手段４０６は、映像・音声が例えば、ＭＰＥＧ−２の符号化方式によって符号化されている場合、ＭＰＥＧ−２の復号を行い表示可能な出力形式の映像・音声データとして、合成表示手段４１９に出力する。
【００９７】
データ放送復号手段４０７は、放送信号解析手段４０２で抽出されたデータ放送のデータを復号するものである。このデータ放送復号手段４０７は、ＢＭＬを解析し、当該ＢＭＬを表示可能な出力形式に変換するＢＭＬブラウザの機能を有し、変換した表示データ（データ放送データ）を、合成表示手段４１９に出力する。
【００９８】
通信送受信手段４０８は、通信回線Ｎを介して、アプリケーション、アプリケーション起動情報等のデータを受信するものである。
【００９９】
ＡＰＬ（アプリケーション）起動情報取得手段４０９は、放送信号解析手段４０２または通信送受信手段４０８を介して、アプリケーション起動情報を取得するものである。このＡＰＬ起動情報取得手段４０９は、例えば、起動時（電源ＯＮ時）に予め定めたサーバ（ＡＰＬ起動情報サーバ２１０〔図１参照〕）から、または、放送信号をトリガとしてＡＰＬ起動情報サーバ５００から、実行可能（または実行準備可能）なアプリケーションのアプリケーション起動情報を取得するようにしてもよい。あるいは、ユーザによって、後記する操作制御手段４１８を介して、後記するリスト制御手段４１１にアプリケーションのリストを表示させる指示（リスト表示指示）が通知された段階で、リスト制御手段４１１からの指示によりアプリケーション起動情報を取得するようにしてもよい。
【０１００】
ＡＰＬ起動情報取得手段４０９は、取得したアプリケーション起動情報をＡＰＬ起動情報記憶手段４１０に書き込み記憶する。
【０１０１】
このアプリケーション起動情報は、前記したように、基本的には、アプリケーションを特定するための情報と、アプリケーションを制御するための付加的な情報と、を含んだデータであり、ここでは、図３に示すようなＸＭＬ形式によるテキスト表現で記載されている。また、放送送信装置１００において、選択されたＡアプリケーションについて生成されたアプリケーション起動情報には、放送送信装置１００の認証子算出手段１０２（図２参照）で算出されたＡアプリケーションの認証子Ｔａｇ１がさらに記載されている。
【０１０２】
ＡＰＬ（アプリケーション）起動情報記憶手段４１０は、アプリケーション起動情報を記憶するものである。
【０１０３】
リスト制御手段４１１は、起動可能なアプリケーションのリストの表示およびアプリケーションの選択の制御を行うアプリケーションローンチャー（Launcher）である。ここでは、リスト制御手段４１１は、起動可能なアプリケーションのリストを表示するとともに、表示されたアプリケーションのリストにおいて、操作制御手段４１８を介して指示される、ユーザからのリスト選択指示に基づいて、アプリケーションを選択する。
【０１０４】
リスト制御手段４１１は、ユーザから操作制御手段４１８を介してリスト表示を指示されることで、ＡＰＬ起動情報記憶手段４１０に記憶されているアプリケーション起動情報に対応するアプリケーションのリストを生成し、表示データとして、合成表示手段４１９に出力する。このリスト制御手段４１１は、例えば、図３で説明したアプリケーション起動情報において、（９）行目に示したアプリケーション名を表示する。
【０１０５】
また、リスト制御手段４１１は、ユーザによって、後記する操作制御手段４１８を介して、リスト制御手段４１１にアプリケーションのリストを表示させる指示（リスト表示指示）が通知されると、ＡＰＬ起動情報取得手段４０９に、ＡＰＬ起動情報を取得するよう指示（ＡＰＬ起動情報取得指示）を通知し、ＡＰＬ起動情報取得手段４０９にＡＰＬ起動情報を取得させてもよい。
【０１０６】
また、リスト制御手段４１１は、操作制御手段４１８を介して、リスト選択指示として、リモコン装置Ｒｉの方向（矢印）ボタン（不図示）の押下信号が通知されることで、複数のアプリケーションのうちで、どのアプリケーションが起動候補として選択されているのかを認識し、決定ボタン（不図示）の押下信号が通知されることで、実際に起動指示が選択されたアプリケーションを認識する。
このリスト制御手段４１１は、選択されたアプリケーションを識別する番号（アプリケーションＩＤ）を含んだ選択ＡＰＬ（アプリケーション）通知をＡＰＬ管理・実行制御手段４１３に出力する。
【０１０７】
セキュリティ管理手段４１２は、ＡＰＬ取得手段４１５で取得されたアプリケーションの正真性を検証するものである。セキュリティ管理手段４１２は、Ａ／一般ＡＰＬ判定手段４１２ａと、認証子算出手段４１２ｂと、ＡＰＬ検証手段４１２ｃと、を備える。
【０１０８】
Ａ／一般ＡＰＬ（アプリケーション）判定手段４１２ａは、ＡＰＬ取得手段４１５で取得されたアプリケーションがＡアプリケーションであるか一般アプリケーションであるかを判定するものである。
具体的には、例えば、Ａ／一般ＡＰＬ判定手段４１２ａは、ＡＰＬ取得手段４１５からアプリケーションの取得通知を受け取ると、ＡＰＬ起動情報記憶手段４１０に記憶された、このアプリケーションに対応するＡＰＬ起動情報を取得して、当該アプリケーションの認証子Ｔａｇ１が含まれているか否かを検索する。そして、ＡＰＬ起動情報に認証子Ｔａｇ１が含まれているか否かによって、取得されたアプリケーションが、Ａアプリケーションであるか一般アプリケーションであるかを判定する。
【０１０９】
Ａ／一般ＡＰＬ判定手段４１２ａは、ＡＰＬ取得手段４１５で取得され、ＡＰＬ起動情報記憶手段４１０に記憶されたアプリケーションに対応するＡＰＬ起動情報を検索した結果、認証子Ｔａｇ１が含まれている場合、そのアプリケーションがＡアプリケーションであると判定し、その判定結果を認証子算出手段４１２ｂに通知する。一方、Ａ／一般ＡＰＬ判定手段４１２ａは、ＡＰＬ起動情報を検索した結果、認証子Ｔａｇ１が含まれていない場合、そのアプリケーションが一般アプリケーションであると判定し、そのことをＡＰＬ管理・実行制御手段４１３に通知する。
【０１１０】
認証子算出手段４１２ｂは、Ａ／一般ＡＰＬ判定手段４１２ａからＡＰＬ取得手段４１５で取得されたアプリケーションがＡアプリケーションであるという判定結果が通知されると、ＡＰＬ記憶手段４１６から当該Ａアプリケーションを取得し、このＡアプリケーションまたは当該Ａアプリケーションのハッシュ値と、共通情報復号手段４０５で復号された認証子算出鍵Ｋ１と、を用いて、当該Ａアプリケーションの認証子Ｔａｇを生成するものである。なお、Ａアプリケーションのハッシュ値は、認証子算出手段４１２ｂによって、ＡＰＬ記憶手段４１６から読み出したＡアプリケーションから算出することができる。以下の説明では、このＡアプリケーションの認証子Ｔａｇを認証子Ｔａｇ２と表記する。認証子算出手段４１２ｂは、例えば、前記した式（１）を用いて認証子Ｔａｇ２を算出する。この算出された認証子Ｔａｇ２は、ＡＰＬ検証手段４１２ｃに出力される。
【０１１１】
ＡＰＬ（アプリケーション）検証手段４１２ｃは、認証子算出手段４１２ｂで算出された認証子Ｔａｇ２の入力を受け付けるとともに、ＡＰＬ起動情報記憶手段４１０から、ＡＰＬ起動情報に記載された認証子Ｔａｇ１を取得し、これらが一致するか否かを対比して照合することによって、ＡＰＬ取得手段４１５で取得されたＡアプリケーションが、放送局がＡアプリケーションとして承認したアプリケーションであるか、の正真性を検証するものである。
【０１１２】
ＡＰＬ検証手段４１２ｃは、ＡＰＬ起動情報記憶手段４１０に記憶されたＡＰＬ起動情報に記載された、放送送信装置１００で選択されたＡアプリケーションの認証子Ｔａｇ１と、ＡＰＬ取得手段４１５で取得された、放送送信装置１００で選択されたＡアプリケーションに対応するＡアプリケーションの認証子Ｔａｇ２とを対比して照合し、これらが一致する場合、ＡＰＬ取得手段４１５で取得されたＡアプリケーションが、放送局が意図したアプリケーションであるものと判定する。一方、これらが一致しない場合、ＡＰＬ取得手段４１５で取得されたＡアプリケーションが、放送局が意図したアプリケーションではないものと判定する。
【０１１３】
ここで、認証子Ｔａｇ１は、前記したように、放送送信装置１００において予め内容の信頼性や動作を確認したうえで承認を与えたＡアプリケーションの中から、放送通信連携受信装置４００で起動させるために選択されたＡアプリケーションについての認証子である。
【０１１４】
また、前記したように、認証子Ｔａｇ１は、放送送信装置１００において選択されたＡアプリケーションと、認証子算出鍵Ｋ１という二つの要素を用いて算出されている。一方、認証子Ｔａｇ２は、ＡＰＬ取得手段４１５で取得された、放送送信装置１００において選択されたＡアプリケーションと対応するＡアプリケーションと、放送送信装置１００において認証子Ｔａｇ１の算出に用いられた認証子算出鍵Ｋ１と、の二つの要素を用いて算出されている。つまり、認証子Ｔａｇ１と認証子Ｔａｇ２は、二つの要素のうちの一つの要素（認証子算出鍵Ｋ１）は共通しているので、その一致／不一致は、Ａアプリケーションの内容の一致／不一致に依存することになる。
【０１１５】
よって、ＡＰＬ検証手段４１２ｃで、認証子Ｔａｇ１と認証子Ｔａｇ２とを対比して、これらが一致するか否かを判定することにより、認証子Ｔａｇ１に対応する、放送送信装置１００において選択されたＡアプリケーションと、認証子Ｔａｇ２に対応する、ＡＰＬ取得手段４１５が取得したＡアプリケーションと、が一致しているか否かがわかる。
【０１１６】
そして、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致する場合、つまり、放送送信装置１００において選択されたＡアプリケーションと、ＡＰＬ取得手段４１５が取得したＡアプリケーションと、が一致している場合、ＡＰＬ取得手段４１５が取得したＡアプリケーションは、放送送信装置１００において選択されたＡアプリケーション、つまり、放送送信装置１００において選択されたＡアプリケーションと完全に一致していることになる。このため、ＡＰＬ取得手段４１５が取得したＡアプリケーションは、放送局が意図したアプリケーションであると判断することができる。
【０１１７】
一方、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致しない場合、つまり、放送送信装置１００が選択したＡアプリケーションと、ＡＰＬ取得手段４１５が取得したＡアプリケーションと、が一致していない場合、ＡＰＬ取得手段４１５が取得したＡアプリケーションは、放送局が意図したアプリケーションではないと判断することができる。
【０１１８】
そして、ＡＰＬ検証手段４１２ｃは、認証子Ｔａｇ１と認証子Ｔａｇ２とを対比して得られた検証結果を、ＡＰＬ管理・実行制御手段４１３に出力する。
【０１１９】
ＡＰＬ（アプリケーション）管理・実行制御手段４１３は、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御するものである。ここでは、ＡＰＬ管理・実行制御手段４１３は、起動制御手段４１３ａと、終了制御手段４１３ｂと、を備えている。
【０１２０】
起動制御手段４１３ａは、アプリケーションの起動を制御するものである。
具体的には、起動制御手段４１３ａは、Ａ／一般ＡＰＬ判定手段４１２ａから、アプリケーションが一般アプリケーションであるという判定結果が通知された場合であって、ＡＰＬ起動情報抽出手段４０２ａから当該一般アプリケーションの起動情報通知が通知されているとき、ＡＰＬ起動情報記憶手段４１０に記憶されている、起動情報通知とともに通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コードが“ＡＵＴＯＳＴＡＲＴ”であれば、アプリケーションを起動させる。
【０１２１】
すなわち、起動制御手段４１３ａは、アプリケーション制御コードが“ＡＵＴＯＳＴＡＲＴ”の場合、ＡＰＬ実行手段４１７に当該アプリケーションを実行する旨（起動制御指示）を通知する。この起動制御指示には、アプリケーション起動情報に記述されているアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）が含まれる。これによって、一般アプリケーションがユーザの操作によらず、自動起動されることになる。
【０１２２】
また、起動制御手段４１３ａは、Ａ／一般ＡＰＬ判定手段４１２ａから、アプリケーションが一般アプリケーションであるという判定結果が通知された場合であって、リスト制御手段４１１から、選択ＡＰＬ通知が通知されているとき、アプリケーション制御コードの値によらず、ＡＰＬ実行手段４１７に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、ユーザがリストから選択した一般アプリケーションが起動されることになる。
【０１２３】
さらに、起動制御手段４１３ａは、ＡＰＬ検証手段４１２ｃから、Ａ／一般ＡＰＬ判定手段４１２ａでＡアプリケーションと判定されたアプリケーションの正真性が確認されたという検証結果が通知された場合において、ＡＰＬ起動情報抽出手段４０２ａから当該Ａアプリケーションの起動情報通知が通知されているとき、ＡＰＬ起動情報記憶手段４１０に記憶されている、起動情報通知とともに通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コードが“ＡＵＴＯＳＴＡＲＴ”であれば、前記したようにＡＰＬ実行手段４１７に起動制御指示を通知してアプリケーションを起動させる。
【０１２４】
またさらに、ＡＰＬ検証手段４１２ｃから、Ａ／一般ＡＰＬ判定手段４１２ａでＡアプリケーションと判定されたアプリケーションの正真性が確認されたという検証結果が通知された場合において、リスト制御手段４１１から、選択ＡＰＬ通知が通知されているとき、アプリケーション制御コードの値によらず、ＡＰＬ実行手段４１７に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、ユーザがリストから選択したアプリケーションが起動されることになる。
【０１２５】
一方、起動制御手段４１３ａは、ＡＰＬ検証手段４１２ｃから、Ａ／一般ＡＰＬ判定手段４１２ａでＡアプリケーションと判定されたアプリケーションの正真性がないという検証結果が通知された場合、「このアプリケーションの表示は管理者によって許可されていません」や「このアプリケーションを表示できません」などのアプリケーションを表示できないことをユーザに通知するエラーメッセージを映像表示装置Ｍｏに表示するよう合成表示手段４１９に指示する。
【０１２６】
なお、起動制御手段４１３ａは、起動中のアプリケーションを識別情報（アプリケーションＩＤ）で管理し、起動ＡＰＬ識別情報記憶手段４１４に起動中のアプリケーションＩＤを書き込むこととする。また、ＡＰＬ実行手段４１７において、アプリケーションが他のアプリケーション（子アプリケーション）を起動させた場合、起動制御手段４１３ａは、子アプリケーションと親アプリケーションとを、階層的に対応付けて管理する。
【０１２７】
終了制御手段４１３ｂは、起動中のアプリケーションの終了制御を行うものである。
具体的には、終了制御手段４１３ｂは、ＡＰＬ起動情報抽出手段４０２ａから起動情報通知が通知された際、ＡＰＬ起動情報記憶手段４１０に記憶されている、起動情報通知とともに通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コードが“ＤＥＳＴＲＯＹ”または“ＫＩＬＬ”の場合にアプリケーションを終了させる。
【０１２８】
このアプリケーション制御コードが“ＤＥＳＴＲＯＹ”の場合、終了制御手段４１３ｂは、通知されたアプリケーションＩＤに対応するアプリケーションを通常終了させる旨、ＡＰＬ実行手段４１７に指示する。また、アプリケーション制御コードが“ＫＩＬＬ”の場合、終了制御手段４１３ｂは、通知されたアプリケーションＩＤに対応するアプリケーションを強制終了させる旨、ＡＰＬ実行手段４１７に指示する。
なお、終了制御手段４１３ｂは、アプリケーションを終了させる場合、起動ＡＰＬ識別情報記憶手段４１４を参照し、終了を指示されたアプリケーションに子アプリケーションが存在する場合は、子アプリケーションについても、すべて終了させる。
【０１２９】
また、終了制御手段４１３ｂは、起動中のアプリケーションが終了した場合、例えば、ユーザの操作によってアプリケーションが終了したことをＡＰＬ実行手段４１７から通知された際に、起動ＡＰＬ識別情報記憶手段４１４を参照し、終了したアプリケーションに子アプリケーションが存在していた場合は、子アプリケーションについても終了させる。
【０１３０】
起動ＡＰＬ（アプリケーション）識別情報記憶手段４１４は、起動中のアプリケーションの識別情報（アプリケーションＩＤ）を記憶するものであって、半導体メモリ等の記憶媒体である。この起動ＡＰＬ識別情報記憶手段４１４は、起動制御手段４１３ａによって、アプリケーションが起動された際にアプリケーションＩＤが書き込まれ、終了制御手段４１３ｂによって、アプリケーションが終了する際に削除される。
【０１３１】
ＡＰＬ（アプリケーション）取得手段４１５は、通信送受信手段４０８を介して、通信回線Ｎに接続された管理装置３２０またはＡＰＬ（アプリケーション）サーバ２１０（図１参照）から、アプリケーションを取得するものである。
このＡＰＬ取得手段４１５は、起動制御手段４１３ａからＡＰＬ取得指示を通知された場合、当該指示で通知されるアプリケーションの所在（アドレス）から、指定されたアプリケーションを取得し、その取得したアプリケーションをＡＰＬ記憶手段４１６に書き込み蓄積する。
【０１３２】
ＡＰＬ（アプリケーション）記憶手段４１６は、ＡＰＬ取得手段４１５で取得されたアプリケーションを記憶するもので、ハードディスク等の記憶媒体である。このＡＰＬ記憶手段４１６は、ＡＰＬ取得手段４１５で取得されたアプリケーションについて、ＡＰＬ検証手段４１２ｃで正真性の検証を行ったうえで、その検証結果に応じてＡＰＬ管理・実行制御手段４１３で動作の可否を決定するために蓄積しておくものである。
また、ＡＰＬ記憶手段４１６は、ＡＰＬ取得手段４１５で取得されたアプリケーションを任意のタイミングで動作させるために蓄積しておくものである。
このＡＰＬ記憶手段４１６に記憶されているアプリケーションは、セキュリティ管理手段４１２の認証子算出手段４１２ｂによって読み出される。
【０１３３】
ＡＰＬ（アプリケーション）実行手段４１７は、ＡＰＬ管理・実行制御手段４１３からの指示（起動制御指示）に基づいて、アプリケーションの起動および終了を行うものである。
このＡＰＬ実行手段４１７は、起動制御手段４１３ａから通知されるアプリケーションを実行する旨が指示された場合、起動制御指示に含まれるアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）に基づいて、アプリケーションおよびアプリケーションを実行する際に必要となるデータ（例えば、メタデータ、アイコンデータ等）をアプリケーションの取得元から取得する。
そして、ＡＰＬ実行手段４１７は、図示を省略したメモリにアプリケーションを展開（ロード）し、アプリケーションを実行させる。
このアプリケーションの実行に伴う画像や音声のデータは、合成表示手段４１９に出力される。
【０１３４】
また、ＡＰＬ実行手段４１７は、終了制御手段４１３ｂから通知されるアプリケーションを終了する旨が指示された場合、指示されたアプリケーションを終了させる。
【０１３５】
操作制御手段４１８は、外部のリモコン装置Ｒｉ等の入力手段を介して、放送通信連携受信装置４００に対するユーザの操作（例えば、リスト表示、リスト選択、チャンネル変更等）を制御するものである。操作制御手段４１８は、リモコン装置Ｒｉを介してユーザからリスト表示を指示された場合、ＡＰＬ起動情報記憶手段４１０に記憶されているアプリケーション起動情報に対応するアプリケーションのリストの生成指示をリスト制御手段４１１に通知する。これによって、起動可能なアプリケーションのリストがユーザに表示されることになる。
【０１３６】
また、操作制御手段４１８は、リモコン装置Ｒｉを介してユーザからリスト内のアプリケーションの選択を指示された場合、選択されたアプリケーションのアプリケーションＩＤを含んだアプリーションの選択通知をＡＰＬ管理・実行制御手段に出力する。
さらに、この操作制御手段４１８は、リモコン装置Ｒｉを介してユーザからチャンネルの変更が指示された場合、選択されたチャンネルのチャンネル番号を含んだチャンネル切替指示を放送信号解析手段４０２に通知する。これによって、現在視聴中のチャンネルが選局されることになる。
【０１３７】
合成表示手段４１９は、映像・音声を合成して表示するものである。この合成表示手段４１９は、映像・音声復号手段４０６で復号された映像データ・音声データ、データ放送復号手段４０７で復号されたデータ放送の表示データ、リスト制御手段４１１で生成されたリストの表示データおよびＡＰＬ実行手段４１７で生成されたアプリケーションの表示データをそれぞれ合成して表示する。
なお、合成表示手段４１９は、合成した音声については、音声信号として外部に接続されたスピーカ等の音声出力装置Ｓｐに出力し、合成した映像（画像）については、映像信号として外部に接続された液晶ディスプレイ等の映像表示装置Ｍｏに出力する。
【０１３８】
また、合成表示手段４１９は、ＡＰＬ管理・実行制御手段４１３の起動制御手段４１３ａから、アプリケーションを表示できないことをユーザに通知するエラーメッセージの表示指示を通知されると、「このアプリケーションの表示は管理者によって許可されていません」や「このアプリケーションを表示できません」などのエラーメッセージを、映像データ・音声データ、データ放送の表示データ、リストの表示データに合成して表示する。このエラーメッセージは、ＡＰＬ管理・実行制御手段４１３の起動制御手段４１３ａから、メッセージ表示指示が入力される都度生成してもよいし、また例えば、予め作成して図示しない記憶手段に記憶しておき、ＡＰＬ管理・実行制御手段４１３の起動制御手段４１３ａから、エラーメッセージの表示指示の通知を受け取ったときに図示しない記憶手段から読み出すようにしてもよい。
【０１３９】
［放送通信連携受信装置の動作］
次に、図７を参照（構成については、適宜図２を参照）して、本発明の実施形態に係る放送通信連携受信装置４００において、アプリケーション起動情報によって、アプリケーションを起動または終了させる動作について説明する。なお、ここでは、ＡＰＬ起動情報取得手段４０９が、起動時（電源ＯＮ時）に予め定めたサーバ（ＡＰＬ起動情報サーバ５００やＡＰＬ起動情報サーバ２１０〔いずれも図１参照〕）から、または、放送信号から、別途アプリケーション起動情報を取得するものとする。そして、取得されたアプリケーション起動情報は、ＡＰＬ起動情報記憶手段４１０に記憶されるものとする。
また、リスト制御手段４１１によって、ＡＰＬ起動情報取得手段４０９で取得されたアプリケーション起動情報から起動可能なアプリケーションのリストが生成され、ユーザに表示されるものとする。
【０１４０】
放送通信連携受信装置４００は、放送受信手段４０１によって、放送波Ｗを介して、放送送信装置１００から送信された放送信号を受信する（ステップＳ２１）。そして、放送受信手段４０１によって、受信した放送信号を放送信号解析手段４０２に出力する。
【０１４１】
次に、放送通信連携受信装置４００は、放送信号解析手段４０２によって、放送受信手段４０１で受信し、復調されたストリームデータを解析し、個別情報と、共通情報と、映像・音声信号と、データ放送信号と、を抽出する（ステップＳ２２）。そして、放送信号解析手段４０２によって、個別情報を個別情報復号手段４０４に出力し、共通情報を共通情報復号手段４０５に出力し、映像・音声信号を映像・音声復号手段４０６に出力し、データ放送信号をデータ放送復号手段４０７に出力する。なお、この個別情報および共通情報は、放送送信装置１００によって暗号化されたものである。
【０１４２】
続いて、放送通信連携受信装置４００は、放送通信連携受信装置４００は、個別情報復号手段４０４によって、図示しない鍵発行手段で発行された当該放送通信連携受信装置４００に固有のマスタ鍵ＫＭを用いて、暗号化された個別情報から暗号鍵Ｋ２を復号する（ステップＳ２３）。そして、個別情報復号手段４０４によって、復号した暗号鍵Ｋ２を共通情報復号手段４０５に出力する。
【０１４３】
そして、放送通信連携受信装置４００は、共通情報復号手段４０５によって、個別情報復号手段４０４によって復号された暗号鍵Ｋ２を用いて、暗号化された共通情報から認証子算出鍵Ｋ１を復号する（ステップＳ２４）。そして、共通情報復号手段４０５によって、復号した認証子算出鍵Ｋ１を認証子算出手段４１２ｂに出力する。
【０１４４】
放送通信連携受信装置４００は、リスト制御手段４１１により、リモコン装置Ｒｉを介してユーザからリスト内のアプリケーションの選択指示を受け付ける（ステップＳ２５）。そして、ユーザにより選択されたアプリケーションのアプリケーションＩＤを含んだアプリーションの選択通知をＡＰＬ管理・実行制御手段４１３に出力する。
そして、放送通信連携受信装置４００は、ＡＰＬ管理・実行制御手段４１３によって、リスト制御手段４１１から、アプリーションの選択通知を受け取ると、ＡＰＬ起動情報記憶手段４１０から、このアプリーションのアプリケーション起動情報を取得する（ステップＳ２６）。そして、ＡＰＬ起動情報記憶手段４１０から取得したアプリケーション起動情報を解析する（ステップＳ２７）。
【０１４５】
ここで、アプリケーション制御コードが起動を示すコード（“ＡＵＴＯＳＴＡＲＴ”）の場合（ステップＳ２７で“起動”）、放送通信連携受信装置４００は、ＡＰＬ取得手段４１５によって、アプリケーション起動情報で通知されたアプリケーションを、通信送受信手段４０８を介して取得する（ステップＳ２８）。そして、ＡＰＬ取得手段４１５によって、通信送受信手段４０８を介して取得したアプリケーションをＡＰＬ記憶手段４１６に記憶する（ステップＳ２９）。また、ＡＰＬ取得手段４１５によって、アプリケーションの取得をＡ／一般ＡＰＬ判定手段４１２ａに通知する。なお、ステップＳ２１〜ステップＳ２４と、ステップＳ２５〜ステップＳ２９と、を並列に行ってもよい。
【０１４６】
一方、アプリケーション制御コードが終了を示すコード（“ＫＩＬＬ”等）である場合（ステップＳ２７で“終了”）、放送通信連携受信装置４００は、終了制御手段４１３ｂによって、ＡＰＬ実行手段４１７で実行されているアプリケーションを終了させる（ステップＳ３０）。
なお、アプリケーション制御コードが起動や終了を示すコードでない場合（ステップＳ
２７で“その他”）、放送通信連携受信装置４００は、アプリケーションの起動・終了動作を終了し、放送信号の解析動作を継続する（ステップとして図示せず）。
【０１４７】
続いて、放送通信連携受信装置４００は、Ａ／一般ＡＰＬ判定手段４１２ａによって、ＡＰＬ取得手段４１５からアプリケーションの取得通知を受け取ると、ＡＰＬ起動情報記憶手段４１０から、ステップＳ２８で取得したアプリケーションに対応するＡＰＬ起動情報を取得し、このアプリケーション起動情報に当該アプリケーションの認証子Ｔａｇ１が含まれているか否かにより、当該アプリケーションがＡアプリケーションであるか一般アプリケーションであるかを判定する（ステップＳ３１）。
【０１４８】
そして、ステップＳ２８で取得したアプリケーションがＡアプリケーションである場合（ステップＳ３１で“Ａ ＡＰＬ”）、認証子算出手段４１２ｂにその判定結果が通知される。
そして、放送通信連携受信装置４００は、認証子算出手段４１２ｂによって、Ａ／一般ＡＰＬ判定手段４１２ａから、ステップＳ２８で取得したアプリケーションがＡアプリケーションであるという判定結果が通知されることで、ＡＰＬ記憶手段４１６から当該アプリケーションを取得し、このアプリケーションと、共通情報復号手段４０５から入力を受け付けた認証子算出鍵Ｋ１と、を用いて、このアプリケーションの認証子Ｔａｇ２を算出する（ステップＳ３２）。そして、認証子算出手段４１２ｂによって、算出した認証子Ｔａｇ２をＡＰＬ検証手段４１２ｃに出力する。
【０１４９】
一方、ステップＳ２８で取得したアプリケーションが一般アプリケーションである場合（ステップＳ３１で“一般 ＡＰＬ”）、その判定結果が、認証子算出手段４１２ｂからＡＰＬ管理・実行制御手段４１３に通知される。
【０１５０】
そして、放送通信連携受信装置４００は、ＡＰＬ管理・実行制御手段４１３によって、Ａ／一般ＡＰＬ判定手段４１２ａから、アプリケーションが一般アプリケーションであるという判定結果が通知されることで、起動制御手段４１３ａによって、ＡＰＬ実行手段４１７に、ステップＳ２８で取得したアプリケーションを起動する起動制御指示を通知する。そして、放送通信連携受信装置４００は、起動制御手段４１３ａからアプリケーションの起動制御指示が通知されることで、ＡＰＬ実行手段４１７によって、ＡＰＬ記憶手段４１６からステップＳ２８で取得したアプリケーションを読み出して、このアプリケーションを起動する（ステップＳ３３）。
【０１５１】
続いて、放送通信連携受信装置４００は、ＡＰＬ検証手段４１２ｃによって、認証子算出手段４１２ｂから認証子Ｔａｇ２の入力を受け付けると、ＡＰＬ起動情報記憶手段４１０から、この認証子Ｔａｇ２に対応するアプリケーションに対応するアプリケーション起動情報を読み出して、このアプリケーション起動情報に含まれる認証子Ｔａｇ１を抽出し、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致するか否かを対比して照合する。そして、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致するか否かによって、ステップＳ２８で取得したアプリケーションが放送局の承認したアプリケーションか否かの正真性を検証する（ステップＳ３４）。
【０１５２】
そして、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致する場合（ステップＳ３４でＹｅｓ）、放送通信連携受信装置４００は、ＡＰＬ検証手段４１２ｃによって、ステップＳ２８で取得したアプリケーションの正真性が確認されたＡアプリケーションであると判定する。
【０１５３】
そして、放送通信連携受信装置４００は、ＡＰＬ管理・実行制御手段４１３によって、アプリケーション検証手段から、ステップＳ２８で取得したアプリケーションの正真性が確認されたという検証結果が通知されることで、起動制御手段４１３ａによって、ＡＰＬ実行手段４１７に、ステップＳ２８で取得したアプリケーションを起動する起動制御指示を出力する。そして、放送通信連携受信装置４００は、ＡＰＬ実行手段４１７によって、ＡＰＬ記憶手段４１６からステップＳ２８で取得したアプリケーションを読み出して、このアプリケーションを起動する（ステップＳ３５）。そして、ＡＰＬ実行手段４１７から合成表示手段４１９にアプリケーションが出力され、合成表示手段４１９から映像表示装置Ｍｏ等にアプリケーションが出力されることによって、ユーザが閲覧可能となる。
【０１５４】
一方、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致しない場合（ステップＳ３４でＮｏ）、放送通信連携受信装置４００は、ＡＰＬ検証手段４１２ｃによって、ステップＳ２８で取得したアプリケーションの正真性がないと判定する。そして、ＡＰＬ検証手段４１２ｃは、その検証結果を、ＡＰＬ管理・実行制御手段４１３に通知する。
【０１５５】
そして、ＡＰＬ管理・実行制御手段４１３は、ＡＰＬ検証手段４１２ｃから、ステップＳ２８で取得したアプリケーションの正真性がないという検証結果が通知されることで、起動制御手段４１３ａによって、ステップＳ２８で取得したアプリケーションを表示できないことをユーザに通知するエラーメッセージの表示指示を合成表示手段４１９に通知する。そして、ＡＰＬ管理・実行制御手段４１３は、起動制御手段４１３ａからエラーメッセージの表示指示が通知されることで、合成表示手段４１９によって、エラーメッセージを表示する（ステップＳ３６）。
【０１５６】
以上説明した放送通信連携システムＳによれば、放送送信装置１００が、選択したＡアプリケーションの認証子Ｔａｇ１の算出に用いた認証子算出鍵Ｋ１を、放送波Ｗを介して放送通信連携受信装置４００に送信することにより、放送通信連携受信装置４００側で、放送送信装置１００で認証子Ｔａｇ１の生成に用いた認証子算出鍵Ｋ１を用いて、放送送信装置１００において選択されたＡアプリケーションに対応するアプリケーションの認証子を算出することが可能となる。
【０１５７】
また、放送送信装置１００において、アプリケーション起動情報に認証子Ｔａｇ１を付加してＡＰＬ起動情報サーバ５００に書き込むことで、また、放送信号に含めて送信することで、放送通信連携受信装置４００側で、取得したＡアプリケーションに対応するアプリケーション起動情報に含まれる認証子Ｔａｇ１と、取得したＡアプリケーションついて算出した認証子Ｔａｇ２と、が一致するか否かを対比して照合することが可能となる。そして、これらが互いに一致するか否かによって取得したＡアプリケーションが、放送局が承認した時点のＡアプリケーションか否かを検証することとしたことにより、アプリケーション単位で正真性を検証することが可能となる。
【０１５８】
さらに、放送通信連携システムＳによれば、放送通信連携受信装置４００で取得したＡアプリケーションの正真性が確認されない場合、そのＡアプリケーションを実行しないこととするため、放送事業者が予め承認したＡアプリケーションの内容と異なる意図しない内容となったアプリケーションが実行されるのを防止することが可能となる。このため、放送事業者の信頼性を確保することができる。
【０１５９】
前記した実施形態で説明した放送送信装置１００または放送通信連携受信装置４００は、例えば、一般的なコンピュータを、前記した各手段として機能させるプログラムにより動作させることで実現することができる。
【０１６０】
前記した実施形態では、放送送信装置１００は、ＡＰＬ起動情報生成手段１０５によってアプリケーション起動情報を生成し、このアプリケーション起動情報をＡＰＬ起動情報サーバ５００に書き込み、放送通信連携受信装置４００は、ＡＰＬ起動情報取得手段４０９によって、通信回線Ｎを介して、ＡＰＬ起動情報サーバ５００（あるいはＡＰＬ起動情報サーバ２１０）からアプリケーション起動情報を取得することとしたが、これに限られるものではない。
【０１６１】
例えば、放送送信装置１００（図２参照）が、ＡＰＬ起動情報生成手段１０５（図２参照）により、ＳＩ（番組配列情報）の一つであるイベント情報テーブル（ＥＩＴ：Event Information Table）内にバイナリ表現で表したアプリケーション起動情報を記述し、このＥＩＴを含むＳＩ（番組配列情報）を多重化手段１０８（図２参照）に多重化して、放送波を介して放送通信連携受信装置４００に送信することとしてもよい。
そして、放送通信連携受信装置４００が、放送信号解析手段４０２に、ＥＩＴ用のＡＰＬ起動情報抽出手段（図示せず）をさらに備え、このＡＰＬ起動情報抽出手段（図示せず）によりＥＩＴの記述子（アプリケーション記述子）に含まれているアプリケーション起動情報を抽出する。
【０１６２】
また例えば、放送送信装置１００（図２参照）が、ＡＰＬ起動情報生成手段１０５（図２参照）により、アプリケーション起動情報を、ＸＭＬ形式でテキスト表現したアプリケーション起動情報ファイルを生成し、このアプリケーション起動情報をデータカルーセルで伝送することとしてもよい。
そして、放送通信連携受信装置４００が、データ放送復号手段４０７にアプリケーション起動情報ファイルを抽出するＡＰＬ起動情報抽出手段（図示せず）をさらに備え、このＡＰＬ起動情報抽出手段（図示せず）によりアプリケーション起動情報ファイルを抽出する。
なお、ここでは、データカルーセルで伝送するアプリケーション起動情報を、テキスト表現したデータとしたが、バイナリ表現で表したデータとしてもよい。
放送通信連携受信装置４００は、前記したアプリケーション起動情報を取得する何れの方法にも対応しているものとし、放送事業者ごとに何れかの方法による伝送を選択してもよい。
【０１６３】
また、前記した実施形態では、ＡＰＬサーバ２００およびＡＰＬ起動情報サーバ２１０（いずれも図１参照）を個別のサービス事業者が保持することとしたが、それ以外に、あるいは、それに加えて、放送局内、あるいは、第三者機関に設置しても構わない。
【０１６４】
また、ＡＰＬ起動情報サーバ２１０と、ＡＰＬ起動情報サーバ５００（いずれも図１参照）と、を設けずに、各サービス事業者等が作成したアプリケーションのアプリケーション起動情報を集約して保持するＡＰＬ起動情報サーバ（図示せず）を設け、このＡＰＬ起動情報サーバ（図示せず）がアプリケーション起動情報を一括して管理するようにしてもよい。つまり、ＡＰＬ起動情報サーバ（図示せず）は、Ａアプリケーションに対応したアプリケーション起動情報に加えて、一般アプリケーションに対応したアプリケーション起動情報を保持することとしてもよい。
【符号の説明】
【０１６５】
１００ 放送送信装置
１０１ ＡＰＬ選択手段
１０２ 認証子算出手段
１０３ 共通情報暗号化手段
１０４ 個別情報暗号化手段
１０５ ＡＰＬ起動情報生成手段（アプリケーション起動情報生成手段）
１０６ コンテンツ記憶手段
１０７ データ放送コンテンツ記憶手段
１０８ 多重化手段
１０９ 放送送信手段
２００ ＡＰＬサーバ
２１０ ＡＰＬ起動情報サーバ
３００ ＡＰＬ登録装置
３１０ ＡＰＬ確認装置
３２０ 管理装置
４００ 放送通信連携受信装置
４０１ 放送受信手段
４０２ 放送信号解析手段
４０３ マスタ鍵記憶手段
４０４ 個別情報復号手段
４０５ 共通情報復号手段
４０６ 映像・音声復号手段
４０７ データ放送復号手段
４０８ 通信送受信手段
４０９ ＡＰＬ起動情報取得手段（アプリケーション起動情報取得手段）
４１０ ＡＰＬ起動情報記憶手段
４１１ リスト制御手段
４１２ セキュリティ管理手段
４１２ａ Ａ／一般ＡＰＬ判定手段
４１２ｂ 認証子算出手段
４１２ｃ ＡＰＬ検証手段（アプリケーション検証手段）
４１３ ＡＰＬ管理・実行制御手段
４１３ａ 起動制御手段
４１３ｂ 終了制御手段
４１４ 起動ＡＰＬ識別情報記憶手段
４１５ ＡＰＬ取得手段（アプリケーション取得手段）
４１６ ＡＰＬ記憶手段
４１７ ＡＰＬ実行手段（アプリケーション実行手段）
４１８ 操作制御手段
４１９ 合成表示手段
５００ ＡＰＬ起動情報サーバ
【技術分野】
【０００１】
本発明は、アプリケーション起動情報で指示されたアプリケーションの正真性を検証し、その正真性に応じてアプリケーションの起動を制御する放送送信装置、放送通信連携受信装置およびそのプログラム、ならびに、放送通信連携システムに関する。
【背景技術】
【０００２】
従来、デジタル放送で伝送される放送波によってアプリケーションの起動を制御する技術が知られている（特許文献１、非特許文献１）。
例えば、非特許文献１に記載の技術では、アプリケーション情報テーブル（ＡＩＴ：Application Information Table）を、放送番組を構成するエレメンタリストリーム（ＥＳ：Elementary Stream）としてセクション形式で放送ＴＳ（ＴＳ：Transport Stream）に多重化して、受信装置に伝送する。ここで、ＡＩＴは、アプリケーションを特定するとともに、アプリケーションを制御するための付加的な情報を含んだデータである。
【０００３】
一方、受信装置では、受信した放送波からＡＩＴを分離抽出し、ＡＩＴに記述されているアプリケーションに対して、同じくＡＩＴに記述されている起動（ＡＵＴＯＳＴＡＲＴ）、終了（ＫＩＬＬ）等の制御情報に基づいて、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御する。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２０１０−１６６３３５号公報
【非特許文献】
【０００５】
【非特許文献１】（社）電波産業会、“デジタル放送におけるアプリケーション実行環境 標準規格 ＡＲＩＢ ＳＴＤ−Ｂ２３ １．２版”、平成２１年７月２９日，ｐ．３９〜５４
【発明の概要】
【発明が解決しようとする課題】
【０００６】
ところで、放送事業者あるいは放送事業者から権限を与えられた第三者機関が、予め、様々なサービス提供事業者が作成した多数のアプリケーションから、例えば放送番組の内容に沿ったアプリケーションを選択して、放送事業者等によって承認されたことを示すオーソライズド（Authorized）アプリケーション（以下、単にＡアプリケーションという）として動作させることがある。
【０００７】
このように放送事業者の指示のもと動作されるＡアプリケーションは、アプリケーションの内容や動作の信頼性について放送事業者がいわば最低限のお墨付きを与えたものとみなされる。このため、放送事業者の信頼性を確保するために、このＡアプリケーションが受信装置で起動される時点においても、放送事業者がお墨付き（承認）を与えた時点のものとの正真性が確認されていることが必要である。つまり、放送事業者等がＡアプリケーションとして動作させたいアプリケーションの内容と、受信装置で起動される当該Ａアプリケーションの内容とが一致していることが求められる。
【０００８】
なお、アプリケーション提供においては、アプリケーションを提供するサービス事業者がアプリケーションに署名を付与し、受信機側でその署名を検証することが考えられる。これにより、アプリケーションを提供するサービス事業者を特定し、そのサービス事業者の意図に沿ったアプリケーションであるか否かを検証することは可能となる。
しかし、上記の方法では、アプリケーションの正真性は、アプリケーションを提供するサービス事業者に委ねられ、放送事業者等がＡアプリケーションとして動作させたいアプリケーションの内容と、ユーザの受信装置で起動されるアプリケーションの内容とが一致しているか否かをアプリケーション単位で検証することができなかった。
【０００９】
このため、例えば、放送事業者等がアプリケーション起動情報で指示したＡアプリケーションの内容が、サービス事業者による悪意のある書き換えや、アプリケーションのバージョンアップ等により、アプリケーションの内容や動作が、放送事業者等が承認を与えた時点の意図に沿わないものとなった場合であってもＡアプリケーションとしてユーザに提示される危険性があった。
このように、放送事業者等がＡアプリケーションとして承認を与え、アプリケーション起動情報に指示した内容と異なる内容のアプリケーションがＡアプリケーションとしてユーザに提示されると、放送事業者の信頼性が損なわれるおそれがある。
【００１０】
本発明は、このような問題点に鑑みてなされたものであり、放送事業者等が予め承認し、アプリケーション起動情報に指示したＡアプリケーションをユーザが取得したときに、Ａアプリケーションとして放送事業者等が承認したアプリケーションであるという正真性をアプリケーション単位で検証し、この結果に応じてアプリケーションの起動を制御することが可能な、放送送信装置、放送通信連携受信装置及びそのプログラム、ならびに、放送通信連携プログラムを提供することを課題とする。
【課題を解決するための手段】
【００１１】
本発明は、前記課題を解決するために創案されたものであり、まず、請求項１に記載の放送送信装置は、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおける放送送信装置であって、認証子算出手段と、アプリケーション起動情報生成手段と、共通情報暗号化手段と、個別情報暗号化手段と、多重化手段と、放送送信手段と、を備える構成とした。
【００１２】
かかる構成によれば、放送送信装置は、認証子算出手段によって、選択されたアプリケーションまたは当該アプリケーションのハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する。これにより、アプリケーションの内容に依存する認証子が算出される。
また、放送送信装置は、アプリケーション起動情報生成手段によって、認証子算出手段により算出された認証子を付加した、アプリケーションを起動するための情報であるアプリケーション起動情報を生成する。
さらに、放送送信装置は、共通情報暗号化手段によって、アプリケーションの認証子を算出するための第１暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する。
【００１３】
続いて、放送送信装置は、個別情報暗号化手段によって、第２暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する。
そして、放送送信装置は、多重化手段によって、暗号化された共通情報と、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらにアプリケーション起動情報を多重化してストリームを生成する。
そして、放送送信装置は、放送送信手段によって、多重化手段で生成されたストリームを、複数の放送通信連携受信装置に送信する。
【００１４】
このようにして、放送送信装置の認証子生成手段でアプリケーションの認証子を算出するのに用いた第１暗号鍵を、放送波を介して放送通信連携受信装置に送信することができる。これにより、放送通信連携受信装置において、この第１暗号鍵を用いて、取得したアプリケーションの認証子を算出することが可能となる。そして、放送通信連携受信装置側で、放送送信装置で算出されたアプリケーション起動情報に付加された認証子と放送通信連携受信装置側で算出されたアプリケーションの認証子とを用いて、アプリケーション単位で正真性を検証することが可能となる。また、第１暗号鍵は、必要に応じて変更することも可能である。
【００１５】
請求項２に記載の放送通信連携受信装置は、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおける放送通信連携受信装置であって、放送受信手段と、放送信号解析手段と、アプリケーション起動情報取得手段と、アプリケーション起動情報記憶手段と、個別情報復号手段と、共通情報復号手段と、アプリケーション取得手段と、認証子算出手段と、アプリケーション検証手段と、アプリケーション実行手段と、を備える構成とした。
【００１６】
かかる構成によれば、放送通信連携受信装置は、放送受信手段によって、放送送信装置から送信されたストリームを受信する。
また、放送通信連携受信装置は、放送信号解析手段によって、放送受信手段で受信したストリームに含まれる放送信号を解析して、放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、アプリケーション起動情報と、を抽出する。
【００１７】
また、放送通信連携受信装置は、アプリケーション起動情報取得手段によって、放送送信装置で生成された、アプリケーションを起動するための情報であり、アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得する。
さらに、放送通信連携受信装置は、アプリケーション起動情報記憶手段によって、アプリケーション起動情報取得手段で取得されたアプリケーション起動情報を記憶する。
【００１８】
またさらに、放送通信連携受信装置は、個別情報復号手段によって、当該装置に固有のマスタ鍵を用いて、放送信号解析手段で抽出された暗号化された個別情報から、暗号化された共通情報を復号するための第２暗号鍵を復号する。これにより、暗号化された共通情報の復号が可能となる。
続いて、放送通信連携受信装置は、共通情報復号手段によって、個別情報復号手段で復号された第２暗号鍵を用いて、放送信号解析手段で抽出された暗号化された共通情報から、アプリケーションの認証子を算出するための第１暗号鍵を復号する。これにより、アプリケーションの認証子の算出が可能となる。
【００１９】
次に、放送通信連携受信装置は、アプリケーション管理・実行制御手段によって、アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示するとともに当該アプリケーションの起動を制御する。
例えば、デジタル放送の画面に提示されたアプリケーションのリストを参照したユーザから、リモコンやマウス等によるアプリケーションの選択操作の入力を受け付ける。
【００２０】
続いて、放送通信連携受信装置は、アプリケーション取得手段によって、アプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得する。
これにより、アプリケーション起動情報に指示された、放送事業者のサーバが保有する予め承認を与えられたアプリケーションや、外部のサービス提供事業者や一般のユーザが提供する予め承認を与えられたアプリケーションを取得可能となる。
【００２１】
そして、放送通信連携受信装置は、認証子算出手段によって、アプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、共通情報復号手段で復号された前記第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する。
これにより、アプリケーション取得手段で取得されたアプリケーションの内容に依存する認証子が算出される。そして、この認証子と、放送事業者側でアプリケーション起動情報に付加された認証子、すなわち、放送事業者側で予め承認を与えられたアプリケーションから生成された認証子と、を対比することが可能となる。
【００２２】
そして、放送通信連携受信装置は、アプリケーション検証手段によって、認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを検証することによって、アプリケーションの正真性を検証する。
【００２３】
これによれば、放送通信連携受信装置は、放送送信装置側で、アプリケーション起動情報に指示する、予め承認されたアプリケーションについての認証子を算出するのに用いられた第１暗号鍵を用いて、この予め承認されたアプリケーションに対応するアプリケーションの認証子を算出する、つまり、放送送信装置と放送通信連携受信装置とで共通の第１暗号鍵を用いて認証子をそれぞれ算出する。これにより、それぞれ算出された認証子の異同は、アプリケーションの内容の異同に依存することになる。
このため、認証子算出手段で算出された認証子と、放送または通信で取得したアプリケーション起動情報に含まれる認証子と、が互いに一致しているか否かを対比して検証することで、放送事業者側において予め承認されたアプリケーションの内容と、アプリケーション取得手段が取得した、放送事業者側において予め承認されたアプリケーションに対応するアプリケーション起動情報に記載のアプリケーションの内容と、が一致しているか否かを判別することができる。
【００２４】
すなわち、認証子算出手段で算出された認証子と、放送または通信で取得したアプリケーション起動情報に含まれる認証子と、が一致する場合には、アプリケーション取得手段が取得したアプリケーションの内容と、放送事業者側で予め承認を与えたアプリケーションの内容と、が一致することがわかる。一方、認証子算出手段で算出された認証子と、放送または通信で取得したアプリケーション起動情報に含まれる認証子と、が一致しない場合には、アプリケーション取得手段が取得したアプリケーションの内容と、放送事業者側で予め承認を与えた、意図したアプリケーションの内容と、が一致しないことがわかる。
【００２５】
そして、放送通信連携受信装置は、アプリケーション実行手段によって、アプリケーション起動可否判定手段により、アプリケーション検証手段からアプリケーションの正真性が確認されたという検証結果の入力を受け付けたアプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行する。
これにより、アプリケーション検証手段で正真性が確認された、つまり、アプリケーション取得手段が取得したアプリケーションが、放送事業者側で予め承認を与えた、意図したアプリケーションと一致する場合にのみ実行される。このため、放送事業者側の意図しないアプリケーションが実行されないようにすることができる。
【００２６】
請求項３に記載の放送送信プログラムは、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおいて、前記アプリケーションの正真性を検証するために、コンピュータを、認証子算出手段、アプリケーション起動情報生成手段、共通情報暗号化手段、個別情報暗号化手段、多重化手段、放送送信手段、として機能させる構成とした。
【００２７】
かかる構成によれば、放送送信プログラムは、認証子算出手段によって、選択されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する。
また、放送送信プログラムは、アプリケーション起動情報生成手段によって、認証子算出手段により算出された認証子を付加した、アプリケーションを起動するための情報であるアプリケーション起動情報を生成する。
【００２８】
続いて、放送送信プログラムは、共通情報暗号化手段によって、第１暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する。
さらに、放送送信プログラムは、個別情報暗号化手段によって、第２暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する。
【００２９】
そして、放送送信プログラムは、多重化手段によって、暗号化された共通情報と、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらにアプリケーション起動情報を多重化してストリームを生成する。
そして、放送送信プログラムは、放送送信手段によって、多重化手段で生成されたストリームを、複数の放送通信連携受信装置に送信する。
【００３０】
また、請求項４に記載の放送通信連携受信プログラムは、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおいて、前記アプリケーションの正真性を検証するために、コンピュータを、放送受信手段、放送信号解析手段、アプリケーション起動情報取得手段、アプリケーション起動情報記憶手段、個別情報復号手段、共通情報復号手段、アプリケーション取得手段、認証子算出手段、アプリケーション起動可否判定手段、アプリケーション実行手段、として機能させる構成とした。
【００３１】
かかる構成によれば、放送通信連携受信プログラムは、放送受信手段によって、放送送信装置から送信されたストリームを受信する。
また、放送通信連携受信プログラムは、放送信号解析手段によって、放送受信手段で受信したストリームに含まれる放送信号を解析して、放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、アプリケーション起動情報と、を抽出する。
【００３２】
また、放送通信連携受信プログラムは、アプリケーション起動情報取得手段によって、放送送信装置で生成された、アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得する。
さらに、放送通信連携受信プログラムは、アプリケーション起動情報記憶手段によって、アプリケーション起動情報取得手段で取得されたアプリケーション起動情報を記憶する。
【００３３】
続いて、放送通信連携受信プログラムは、個別情報復号手段によって、当該装置に固有のマスタ鍵を用いて、放送信号解析手段で抽出された暗号化された個別情報から、暗号化された共通情報を復号するための第２暗号鍵を復号する。
さらに、放送通信連携受信プログラムは、共通情報復号手段によって、個別情報復号手段で復号された第２暗号鍵を用いて、放送信号解析手段で抽出された暗号化された共通情報から、アプリケーションの認証子を算出するための第１暗号鍵を復号する。
【００３４】
次に、放送通信連携受信プログラムは、アプリケーション管理・実行制御手段によって、アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示するとともに当該アプリケーションの起動を制御する。
また、放送通信連携受信プログラムは、アプリケーション取得手段によって、アプリケーション管理・制御手段から指示されたアプリケーションを前記通信回線を介して取得する。
さらに、放送通信連携受信プログラムは、認証子算出手段によって、アプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、共通情報復号手段で復号された前記第１暗号鍵と、を用いてアプリケーションの認証子を算出する。
【００３５】
そして、放送通信連携受信プログラムは、アプリケーション検証手段によって、認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを検証することによって、アプリケーションの正真性を検証する。
そして、放送通信連携受信プログラムは、アプリケーション実行手段によって、アプリケーション検証手段により、アプリケーションの正真性が確認されたという検証結果の入力を受け付けたアプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行する。
【００３６】
また、請求項５に記載の放送通信連携システムは、通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムであって、放送送信装置は、認証子算出手段と、アプリケーション起動情報生成手段と、共通情報暗号化手段と、個別情報暗号化手段と、多重化手段と、放送送信手段と、を備え、放送通信連携受信装置は、放送受信手段と、放送信号解析手段と、アプリケーション起動情報取得手段と、アプリケーション起動情報記憶手段と、個別情報復号手段と、共通情報復号手段と、アプリケーション取得手段と、認証子算出手段と、アプリケーション起動可否判定手段と、アプリケーション実行手段と、を備える構成とした。
【００３７】
かかる構成によれば、放送通信連携システムは、放送送信装置の認証子算出手段によって、選択されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する。
また、放送通信連携システムは、放送送信装置のアプリケーション起動情報生成手段によって、認証子算出手段により算出された認証子を付加した、アプリケーションを起動するための情報であるアプリケーション起動情報を生成する。
【００３８】
さらに、放送通信連携システムは、放送送信装置の共通情報暗号化手段によって、第１暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する。
続いて、放送通信連携システムは、放送送信装置の個別情報暗号化手段によって、第２暗号鍵を含んだ、放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する。
【００３９】
そして、放送通信連携システムは、放送送信装置の多重化手段によって、暗号化された共通情報と、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらにアプリケーション起動情報を多重化してストリームを生成する。
そして、放送通信連携システムは、放送送信装置の放送送信手段によって、多重化手段で生成されたストリームを、複数の放送通信連携受信装置に送信する。
【００４０】
続いて、放送通信連携システムは、放送通信連携受信装置の放送受信手段によって、放送送信装置から送信されたストリームを受信する。
また、放送通信連携システムは、放送通信連携受信装置の放送信号解析手段によって、放送受信手段で受信したストリームに含まれる放送信号を解析して、放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、アプリケーション起動情報と、を抽出する。
【００４１】
さらに、放送通信連携システムは、放送通信連携受信装置のアプリケーション起動情報取得手段によって、アプリケーションを起動するための情報であり、アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得する。
次に、放送通信連携システムは、放送通信連携受信装置のアプリケーション起動情報記憶手段によって、放送送信装置で生成された、アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を記憶する。
【００４２】
続いて、放送通信連携システムは、放送通信連携受信装置の個別情報復号手段によって、当該装置に固有のマスタ鍵を用いて、放送信号解析手段で抽出された暗号化された個別情報から暗号化された共通情報を復号するための第２暗号鍵を復号する。
また、放送通信連携システムは、放送通信連携受信装置の共通情報復号手段によって、個別情報復号手段で復号された第２暗号鍵を用いて、放送信号解析手段で抽出された暗号化された共通情報から、アプリケーションの認証子を算出するための第１暗号鍵を復号する。
さらに、放送通信連携システムは、放送通信連携受信装置のアプリケーション管理・実行制御手段によって、アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示するとともに当該アプリケーションの起動を制御する。
【００４３】
次に、放送通信連携システムは、放送通信連携受信装置のアプリケーション取得手段によって、アプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得する。
さらに、放送通信連携システムは、放送通信連携受信装置の認証子算出手段によって、アプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、共通情報復号手段で復号された前記第１暗号鍵と、を用いてアプリケーションの認証子を算出する。
【００４４】
そして、放送通信連携システムは、放送通信連携受信装置のアプリケーション検証手段によって、認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを検証することによって、アプリケーションの正真性を検証する。
そして、放送通信連携システムは、放送通信連携受信装置のアプリケーション実行手段によって、アプリケーション検証手段により、アプリケーションの正真性が確認されたという検証結果の入力を受け付けたアプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行する。
【発明の効果】
【００４５】
本発明は、以下に示す優れた効果を奏するものである。
請求項１、３に記載の発明によれば、放送送信装置側がアプリケーション起動情報に指示した、予め承認したアプリケーションについての認証子の算出に用いた第１暗号鍵を、放送波を介して放送通信連携受信装置に送信することで、放送通信連携受信装置と第１暗号鍵を共有することができる。また、第１暗号鍵は、必要に応じて変更することが容易である。また、算出した認証子をアプリケーション起動情報に付加することで、放送通信連携受信装置に算出した認証子を通知することができる。
これにより、放送通信連携受信装置側で、アプリケーション起動情報に基づいてアプリケーションを取得したときに、放送送信装置から受信した第１暗号鍵を用いて、当該アプリケーションの認証子を算出することが可能となる。
また、放送通信連携受信装置側で算出した認証子と、放送送信装置でアプリケーション起動情報に付加した認証子とを対比することで、アプリケーション起動情報に記載のアプリケーションの正真性を検証することが可能となる。
これにより、放送送信装置と放送通信連携受信装置とが協働して、アプリケーション起動情報に記載のアプリケーション単位の正真性を検証することが可能となる。
【００４６】
請求項２、４に記載の発明によれば、放送送信装置側から予め承認されたアプリケーション起動情報に記載のアプリケーションの認証子の算出に用いられた第１暗号鍵を、放送波を介して受信し、この第１暗号鍵を用いて、アプリケーション起動情報に基づいて取得したアプリケーションの認証子を算出することが可能となる。そして、放送通信連携受信装置が取得したアプリケーションの認証子と、放送送信装置において、アプリケーション起動情報に基づいて取得したアプリケーションに対応する予め承認されたアプリケーションについて算出された認証子と、が互いに一致するか否かを対比して検証することによって、アプリケーション起動情報に基づいて取得したアプリケーションの正真性を検証することが可能になる。そして、その検証の結果、放送通信連携受信装置が取得したアプリケーションの正真性が確認されない場合、そのアプリケーションを実行しないこととすることで、放送事業者側で予め承認したアプリケーションの内容と異なる意図しないアプリケーションが実行されないようにすることが可能となる。このため、放送事業者の信頼性を確保することができる。
【００４７】
請求項５に記載の発明によれば、放送送信装置と放送通信連携受信装置とが協働して、アプリケーション起動情報に記載のアプリケーション単位の正真性を検証することが可能となる。
また、アプリケーションの正真性が確認されない場合、放送通信連携受信装置において、そのアプリケーションを実行しないこととすることで、放送事業者側で予め承認したアプリケーションの内容と異なる意図しない内容となったアプリケーションが実行されないようにすることが可能となる。このため、放送事業者の信頼性を確保することができる。
【図面の簡単な説明】
【００４８】
【図１】本発明の放送通信連携システムの概要を示す図である。
【図２】本発明の実施形態に係る放送通信連携システムにおける放送送信装置の構成を示すブロック図である。
【図３】本発明の実施形態に係る放送通信連携システムにおける放送送信装置で生成されるアプリケーション起動情報の例を説明する図である。
【図４】本発明の実施形態に係る放送通信連携システムにおける放送送信装置で生成されるアプリケーション起動情報に含まれるアプリケーション制御コードの例を説明する図である。
【図５】本発明の実施形態に係る放送通信連携システムにおける放送送信装置の動作を示すフローチャートである。
【図６】本発明の実施形態に係る放送通信連携システムにおける放送通信連携受信装置の構成を示すブロック図である。
【図７】本発明の実施形態に係る放送通信連携システムにおける放送通信連携受信装置のアプリケーション起動・終了動作を示すフローチャートである。
【発明を実施するための形態】
【００４９】
以下、本発明の実施形態について図面を参照して説明する。
［放送通信連携システムの構成］
最初に、図１を参照して、放送通信連携システムの構成について説明する。なお、以下では、アプリケーションを「ＡＰＬ」と記載することがあるものとする。
放送通信連携システムＳは、放送と通信とを連携し、アプリケーションを視聴者に提示するシステムである。ここで、アプリケーションとは、後記する放送通信連携受信装置４００を実行環境として動作するソフトウェアである。
この放送通信連携システムＳは、放送送信装置１００と、ＡＰＬサーバ２００と、ＡＰＬ起動情報サーバ２１０と、放送通信連携受信装置４００と、ＡＰＬ起動情報サーバ５００と、が通信回線Ｎを介して接続されて構成される。なお、通信回線Ｎは、有線、無線のいずれであっても構わない。
【００５０】
放送送信装置１００は、放送局に設置され、番組編成に伴う放送番組（コンテンツ）や、それに伴う番組情報を、放送波Ｗを介して放送通信連携受信装置４００に送信するものである。
また、放送送信装置１００は、アプリケーションを起動するために必要なアプリケーション起動情報を生成し、このアプリケーション起動情報をアプリケーション起動情報を管理するサーバ（例えば、ＡＰＬ起動情報サーバ２１０やＡＰＬ起動情報サーバ５００）に蓄積する場合がある。
さらに、放送送信装置１００は、アプリケーションを起動するために必要なアプリケーション起動情報を生成し、このアプリケーション起動情報を放送波Ｗに付加して、放送通信連携受信装置４００に送信する場合がある。
ここで、アプリケーション起動情報とは、アプリケーションの識別子（ＩＤ）、アプリケーションの配置場所等のアプリケーションを特定するための情報、ならびに、当該アプリケーションを制御するための付加的な情報である。
なお、ここでは、放送送信装置１００は、放送番組等を放送波Ｗとして送信する形態で説明するが、ケーブル（図示せず）や、通信回線Ｎを介して送信してもよい。この放送送信装置１００の構成および動作については、後で詳細に説明を行う。
【００５１】
ＡＰＬ（アプリケーション）サーバ２００は、予めサービス事業者が作成したアプリケーションを、通信回線Ｎを介して放送通信連携受信装置４００に提供するものである。このように、ＡＰＬサーバ２００から放送通信連携受信装置４００に直接提供されるアプリケーションは、権限を有する機関による承認が与えられていない一般アプリケーションと、予め放送事業者または放送事業者が信頼した第三者機関によって承認が与えられるＡアプリケーションとに大別される。
【００５２】
なお、ここで、一般アプリケーションとは、サービス提供者（一般ユーザを含む）が作成したアプリケーション等で、認証機関の承認を受けていないアプリケーションのことをいい、Ａアプリケーションとは、サービス提供者（一般ユーザを含む）が作成したアプリケーション等で、放送事業者から権限を与えられた認証機関の承認を受けているアプリケーションをいう。
【００５３】
ＡＰＬ起動情報サーバ２１０は、ＡＰＬサーバ２００に記憶されたアプリケーションのアプリケーション起動情報を記憶するものである。
【００５４】
ＡＰＬ（アプリケーション）登録装置３００は、ここでは、放送局自身、あるいは、放送局からＡアプリケーションの承認についての権限を与えられた第三者機関に設置され、ＡＰＬ確認装置３１０と、管理装置３２０とを備える。
【００５５】
ＡＰＬ（アプリケーション）確認装置３１０は、ＡＰＬサーバ２００からアプリケーションの登録の申請を受け付けるとともに、このアプリケーションを検証し、所定の基準を満たしている場合に、放送局のＡアプリケーションとしての承認を与える。
Ａアプリケーションとしての承認を与える基準は様々であり、例えば、サービス事業者からの申請にかかるアプリケーションが、放送局が提供する放送番組の内容に沿ったものであり内容に信頼性がある場合、そのアプリケーションにＡアプリケーションとしての承認を与えるものとしてもよい。このＡＰＬ確認装置３１０でＡアプリケーションとしての承認を与えられたアプリケーションは、管理装置３２０または外部のＡＰＬサーバ（例えば、ＡＰＬサーバ２００）で管理される。
このＡＰＬ登録装置３００のネットワークアドレスアドレス（ＩＰアドレス等）は、放送送信装置１００が予め保持しているものとする。
【００５６】
管理装置３２０は、ＡＰＬ確認装置３１０で承認されたアプリケーション（Ａアプリケーション）の情報を蓄積して記憶するものである。ここで、Ａアプリケーションは、放送局の判断で、番組に連動、あるいは、非連動させたり、編成チャンネルに連動、あるいは、非連動させたりすることができるが、ここでは、番組連動・非連動の別、あるいは、チャンネル連動・非連動の別を問わないので、以下では、原則として区別せずに説明する。ここで、Ａアプリケーション情報とは、少なくとも、アプリケーションまたはアプリケーションのハッシュ値、アプリケーションの識別情報（アプリケーションＩＤ、アプリケーション名など）、アプリケーションのロケーションを含む。アプリケーションの実体は、管理装置３２０で管理してもよいし、アプリケーション制作者自身のサーバで管理してもよい。アプリケーション制作者自身のサーバで分散して管理する場合には、管理装置３２０は、ＡＰＬ確認装置３１０で承認したときのアプリケーションのハッシュ値と、アプリケーションのロケーションと、をあわせて管理する。
管理装置３２０に管理されたＡアプリケーション情報は、放送送信装置１００により、通信回線Ｎを介して参照されて適宜選択される。このようにして選択されたＡアプリケーション情報は、通信回線Ｎを介して放送通信連携受信装置４００に提供される。
【００５７】
ＡＰＬ（アプリケーション）起動情報サーバ５００は、放送局で作成された、承認されたアプリケーション（Ａアプリケーション）に対応したアプリケーション起動情報を保持するものである。ＡＰＬ起動情報サーバ５００に保持されたＡＰＬ起動情報は、放送通信連携受信装置４００によって通信回線Ｎを介して取得される。
また、例えば、ＡＰＬ起動情報サーバ５００は、放送通信連携受信装置４００から特定のアプリケーションに対するプッシュ通知要求を受けとった場合、通信回線Ｎを介してアプリケーション起動情報を放送通信連携受信装置４００に送信する。このとき、ＡＰＬ起動情報サーバ５００は、プッシュ通知要求のあった放送通信連携受信装置４００を登録しておき、特定のアプリケーションのアプリケーション起動情報が更新された場合、このアプリケーション起動情報を、登録した放送通信連携受信装置４００に送信する。あるいは、アプリケーション起動情報が更新されたことを通知してもよい。
このＡＰＬ起動情報サーバ５００（図１参照）は、放送局内に設置してもよいし、第三者機関が保持することとしてもよい。
【００５８】
放送通信連携受信装置４００は、放送番組を視聴者に提示するとともに、アプリケーションを動作させて視聴者に提示するものである。この放送通信連携受信装置４００の構成および動作については、後で詳細に説明を行う。
このように放送通信連携システムＳを構成することで、放送通信連携受信装置４００において、視聴者は、放送局が提供する放送番組を視聴するとともに、サービス事業者や放送局等が提供するアプリケーションを動作させることができる。この放送通信連携受信装置４００の構成および動作については、後で詳細に説明を行う。
【００５９】
本発明の実施形態に係る放送通信連携システムＳは、放送局または第三者機関がアプリケーションの信頼性や最低限の動作についての所定の基準を満たしているとして承認を与えたときのアプリケーション（Ａアプリケーション）と、視聴者に提供されるときのＡアプリケーションの内容と、が一致しているか、つまり、視聴者に提供されるときのＡアプリケーションが正真性を有しているか否かを、放送送信装置１００と放送通信連携受信装置４００とが協働して、アプリケーション単位で検証することを可能にするものである。
次に、このような放送送信装置１００の構成および動作と、放送通信連携受信装置４００の構成および動作について説明する。
【００６０】
［放送送信装置の構成］
まず、図２を参照（適宜、図１参照）して、本発明の実施形態に係る放送送信装置１００の構成について説明する。
放送送信装置１００は、ここでは、ＡＰＬ選択手段１０１と、認証子算出手段１０２と、共通情報暗号化手段１０３と、個別情報暗号化手段１０４と、ＡＰＬ起動情報生成手段１０５と、コンテンツ記憶手段１０６と、データ放送コンテンツ記憶手段１０７と、多重化手段１０８と、放送送信手段１０９と、を備えている。
【００６１】
ＡＰＬ（アプリケーション）選択手段１０１は、ＡＰＬ登録装置３００の管理装置３２０に蓄積されているＡアプリケーション情報から、一または複数のアプリケーションを選択するものである。
例えば、ＡＰＬ選択手段１０１は、放送局の管理者によって、外部からＡアプリケーションの選択の入力を受け付けると、管理装置３２０からその選択にかかるＡアプリケーション情報を取得する。
【００６２】
この場合、放送送信装置１００は、例えば、Ａアプリケーションを特定する情報（例えば、ＡアプリケーションのＩＤやＵＲＬなど）のリストを、表示装置（図示せず）に表示する図示しないリスト表示手段をさらに備えることとし、ＡＰＬ（アプリケーション）選択手段１０１が、このリストを参照した放送局の管理者による入力手段（例えば、図示しないリモコンなど）を介したＡアプリケーションの選択操作の入力を受け付けるとともに、管理装置３２０からその選択にかかるＡアプリケーション情報を取得する。Ａアプリケーション情報とは、少なくとも、アプリケーションそのものまたはアプリケーションのハッシュ値、アプリケーション識別情報、アプリケーションのロケーションを含む。
【００６３】
また例えば、ＡＰＬ選択手段１０１は、Ａアプリケーションを所定の条件に従って自動で選択する機能を備えていてもよい。例えば、ＡＰＬ選択手段１０１は、放送番組のジャンルや放送期間等に応じたＡアプリケーションのリストを予め保有しており、放送番組や放送期間が入力されると、自動的に適切なＡアプリケーションを選択して、その選択にかかるＡアプリケーション情報を管理装置３２０から取得することとしてもよい。ＡＰＬ選択手段１０１によって選択されたＡアプリケーションにかかるＡアプリケーション情報は、認証子算出手段１０２に出力される。
【００６４】
認証子算出手段１０２は、ＡＰＬ選択手段１０１で選択されたＡアプリケーションにかかるＡアプリケーション情報に含まれるＡアプリケーションまたはＡアプリケーションのハッシュ値と、図示しない鍵発行手段から発行された認証子算出用の鍵である認証子算出鍵Ｋ１（第１暗号鍵）と、を用いて、選択されたＡアプリケーションの認証子を算出するものである。認証子算出鍵Ｋ１の形式は、特に限定されるものではなく、公知の手法で生成された擬似乱数の鍵を用いることができる。また、この認証子算出鍵Ｋ１は、放送通信連携受信装置４００に共通の情報（共通情報）である。
【００６５】
また、認証子は、選択されたＡアプリケーションに依存するものであればよく、認証子算出アルゴリズム等は特に限定されるものではない。認証子算出手段１０２は、認証子をＴａｇとし、認証子算出アルゴリズムをＭＡＣとし、選択されたＡアプリケーションをＡＰＬとすると、例えば、次の式（１）で規定される認証子Ｔａｇを算出する。
【数１】
【００６６】
以下では、認証子算出手段１０２で算出した認証子を認証子Ｔａｇ１と表記する。
なお、アプリケーションのハッシュ値を用いて認証子を算出する場合、前記式（１）の「ＡＰＬ」を「ＨＡＳＨ（ＡＰＬ）」に置き換えればよい。認証子算出手段１０２により算出された認証子Ｔａｇ１は、ＡＰＬ起動情報生成手段１０５に出力される。
【００６７】
共通情報暗号化手段１０３は、認証子算出手段１０２で認証子Ｔａｇ１の算出に用いられた、放送通信連携受信装置４００に共通の共通情報である認証子算出鍵Ｋ１を、図示しない鍵発行手段で発行された暗号鍵Ｋ２（第２暗号鍵）によって、例えば、ＥＣＭ（Entitlement Control Message）により構成されるデータ形式で暗号化するものである。暗号鍵Ｋ２の形式は、特に限定されるものではなく、公知の手法で生成された鍵を用いることができる。なお、ここでは、共通情報を、認証子算出鍵Ｋ１として説明しているが、他の情報も含んでもよいことはもちろんである。
【００６８】
個別情報暗号化手段１０４は、共通情報暗号化手段１０３で共通情報の暗号化に用いられた暗号鍵Ｋ２を、放送通信連携受信装置４００のそれぞれに固有のマスタ鍵ＫＭによって、例えば、ＥＭＭ（Entitlement Management Message）により構成されるデータ形式で暗号化するものである。このマスタ鍵ＫＭは、予め図示しない記憶手段に、放送通信連携受信装置４００を特定するための情報（例えば、放送通信連携受信装置のＩＤ）と対応付けて記憶されている。
このマスタ鍵ＫＭの内容は、特に限定されるものではなく、公知の手法で生成されたものを用いることができる。なお、ここでは、個別情報を暗号鍵Ｋ２として説明しているが、他の情報も含んでもよいことはもちろんである。
【００６９】
このようにして、認証子算出手段１０２で認証子Ｔａｇ１の算出に用いた認証子算出鍵Ｋ１を、暗号鍵Ｋ２で暗号化し、この暗号鍵Ｋ２を、マスタ鍵ＫＭで暗号化することにより、認証子算出手段１０２で認証子Ｔａｇ１の算出に用いた認証子算出鍵Ｋ１を、放送通信連携受信装置４００のそれぞれに安全に送ることが可能となる。
【００７０】
ＡＰＬ（アプリケーション）起動情報生成手段１０５は、アプリケーションの起動を制御するために必要なアプリケーション起動情報を生成するものである。
ＡＰＬ起動情報生成手段１０５は、ＡＰＬ選択手段１０１で選択されたＡアプリケーションについてのアプリケーション起動情報を生成する場合は、前記した認証子算出手段１０２で算出された認証子Ｔａｇ１を付加してアプリケーション起動情報を生成する。
【００７１】
ここで、アプリケーション起動情報とは、基本的には、アプリケーションを特定するための情報、ならびに、アプリケーションを制御するための付加的な情報であるが、ＡＰＬ選択手段１０１で選択されたＡアプリケーションについてのアプリケーション起動情報には、認証子算出手段１０２で算出された認証子Ｔａｇ１がさらに付加される。
ＡＰＬ起動情報生成手段１０５は、ＡＰＬ選択手段１０１で選択されたＡアプリケーションの起動情報として、例えば、図３に示すようなＸＭＬ（eXtensible Markup Language）形式によるテキスト表現（ＡＩＴファイル形式）で記載されたアプリケーション起動情報を生成する。なお、図３の左欄の数字（１）〜（４１）は、説明の便宜のために付加した行番号である。
【００７２】
次に、図３を参照して、ＡＰＬ起動情報生成手段１０５で生成されるＡアプリケーションの起動情報の一例を説明する。
まず、アプリケーション起動情報は、アプリケーションを特定する情報として、以下のような情報を含む。
例えば、図３では、（９）行目にアプリケーション名を記載している。また、（１１）行目にアプリケーションを作成した組織、（１２）行目に組織内で一意に定められたアプリケーションを識別する番号を記載している。この（１１）および（１２）行目に示す番号がアプリケーションを一意に特定するアプリケーションＩＤとなる。
また、（２９）行目にアプリケーションの所在（アドレス）を記載している。
また、（３０）〜（３１）行目に認証子算出手段１０２で認証子Ｔａｇ１の算出に用いられたアルゴリズムＭＡＣ、（３２）〜（３３）行目に認証子算出手段１０２で算出された認証子Ｔａｇ１を記載している。
【００７３】
これら以外にも、（３８）行目に示すように、アプリケーションが利用する付加的な情報、例えば、メタデータ、画像データ等の所在（アドレス）を記述しておくこととしてもよい。このように、付加的なデータの参照先を記載しておくことで、ＡＰＬ起動情報に付加するデータ量を抑えることができる。
【００７４】
また、アプリケーション起動情報は、アプリケーションを制御するための付加的な情報として、以下のような情報を含む。
例えば、図３では、（１５）行目にアプリケーション状態を制御する制御コード（アプリケーション制御コード）を記載している。
このアプリケーション制御コードは、例えば、図４に示すような値をとる。このアプリケーション制御コードは、基本的にはＡＲＩＢ ＳＴＤ−Ｂ２３で規定されているものと同様である。例えば、“ＡＵＴＯＳＴＡＲＴ”は、放送通信連携受信装置４００において、ユーザの操作によらず、自動で起動するアプリケーションであることを示す。また、“ＰＲＥＳＥＮＴ”は、自動起動するアプリケーションではないことを示す。
また、“ＤＥＳＴＲＯＹ”、“ＫＩＬＬ”は、アプリケーションの終了を指示する制御コードであって、通常終了（例えば、ユーザの確認を行って終了）であるのか、強制終了（例えば、ユーザの確認を行わずに即時終了）であるのかを示す。
このアプリケーション制御コードは、基本的にはＡＲＩＢ ＳＴＤ−Ｂ２３で規定されているものと同様である。
【００７５】
なお、図３では、（８）〜（４１）行目に、１つのアプリケーションに対応する起動情報が記載されているが、アプリケーションが複数ある場合には、それぞれのアプリケーションに対応する（８）〜（４１）行目の内容が複数記載されていてもよい。
このようにして、ＡＰＬ起動情報生成手段１０５は、ＡＰＬ選択手段１０１によって選択されたＡアプリケーションについて、認証子算出手段１０２で算出された認証子Ｔａｇ１を付加したアプリケーション起動情報を生成する。
一方、ＡＰＬ起動情報サーバ２１０に配置される、一般アプリケーションについては、図３に示す（３０）〜（３３）行目の記載、つまり、認証子Ｔａｇ１に関する記載を除いたアプリケーション起動情報が別途管理される。
【００７６】
ＡＰＬ起動情報生成手段１０５は、このようにして、ＡＰＬ選択手段１０１によって選択されたＡアプリケーションについてのアプリケーション起動情報を生成すると、ＡＰＬ起動情報サーバ５００（いずれも図１参照）にアクセスし、ＡＰＬ選択手段１０１によって選択されたＡアプリケーションのアプリケーション起動情報を、配置しておくことができる。このようにして生成されたアプリケーション起動情報は、放送通信連携受信装置４００（図１参照）によって通信回線Ｎを介して取得される。
また、アプリケーション起動情報を放送波Ｗを介して放送通信連携受信装置４００（図１参照）に送信する場合、ＡＰＬ起動情報生成手段１０５は、生成したアプリケーション起動情報を多重化手段１０８に出力する。
【００７７】
再び図２を参照し、コンテンツ記憶手段１０６は、映像信号と音声信号とを含むコンテンツ（放送番組）を記憶するものである。ここで、コンテンツとは、映像信号および音声信号をＭＰＥＧ−２（Moving Picture Expert Group-2）や、Ｈ．２６４／ＡＶＣ符号化により符号化したデータ、あるいは、ＰＥＳ（Packetized Elementary Stream）形式のデータをいう。このコンテンツ記憶手段１０６は、例えば、ハードディスク等の記憶媒体である。コンテンツ記憶手段１０６に記憶されたコンテンツは、多重化手段１０８によって適宜読み出される。
【００７８】
データ放送コンテンツ記憶手段１０７は、データ放送コンテンツを記憶するものである。このデータ放送コンテンツは、コンテンツ記述言語（例えば、ＢＭＬ（broadcast Markup Language）で記述されたＢＭＬコンテンツである。データ放送コンテンツ記憶手段１０７は、例えば、ハードディスク等の記憶媒体である。データ放送コンテンツ記憶手段１０７に記憶されたデータ放送コンテンツは、多重化手段１０８によって適宜読み出される。
【００７９】
多重化手段１０８は、コンテンツ記憶手段１０６から取得したコンテンツと、データ放送コンテンツ記憶手段１０７から取得したデータ放送コンテンツと、共通情報暗号化手段１０３から入力された共通情報と、個別情報暗号化手段１０４から入力された個別情報と、を多重化してトランスポートストリーム（ＴＳ：Transport Stream 以下、単にストリームともいう。）を生成するものである。多重化手段１０８は、例えば、ＭＰＥＧ−２ Ｓｙｓｔｅｍｓを用いてコンテンツと、データ放送コンテンツと、共通情報と、個別情報と、を多重化してストリームを生成する。また、さらに、ＡＰＬ起動情報生成手段１０５で生成されたアプリケーション起動情報をあわせて多重化してストリームを生成してもよい。生成されたストリームは、放送送信手段１０９に出力される。
【００８０】
放送送信手段１０９は、多重化手段１０８からストリームの入力を受け付け、当該入力を受け付けたストリームを図示しない送信アンテナを介して送信することにより、放送波を介して、複数の放送通信連携受信装置４００（図１参照）に送信するものであり、電子回路によって実現される。
【００８１】
［放送送信装置の動作］
次に、図５および適宜図１〜図４を参照して、放送送信装置１００の動作について説明する。
ここでは、ＡＰＬ登録装置３００のＡＰＬ確認装置３１０によって予め承認されたＡアプリケーション情報が管理装置３２０（いずれも図１参照）に記憶され、コンテンツ記憶手段１０６にコンテンツが予め記憶され、データ放送コンテンツ記憶手段１０７にデータ放送コンテンツが予め記憶されているものとする。
【００８２】
図５に示すように、放送送信装置１００は、ＡＰＬ選択手段１０１によって、ＡＰＬ登録装置３００の管理装置３２０に予め記憶されたＡアプリケーションの中から、一または複数のＡアプリケーションを選択する（ステップＳ１）。放送送信装置１００は、ＡＰＬ選択手段１０１によって、選択したＡアプリケーションにかかるＡアプリケーション情報を、認証子算出手段１０２に出力する。
次に、放送送信装置１００は、認証子算出手段１０２によって、ＡＰＬ選択手段１０１で選択されたＡアプリケーションにかかるＡアプリケーション情報に含まれるＡアプリケーションまたはＡアプリケーションのハッシュ値と、図示しない鍵発行手段で発行された認証子算出鍵Ｋ１と、を用いて、当該Ａアプリケーションの認証子Ｔａｇ１を算出する（ステップＳ２）。放送送信装置１００は、認証子算出手段１０２によって、算出した認証子Ｔａｇ１を、ＡＰＬ起動情報生成手段１０５に出力する。
【００８３】
続いて、放送送信装置１００は、ＡＰＬ起動情報生成手段１０５によって、認証子算出手段１０２で算出された認証子Ｔａｇ１を付加したＡＰＬ起動情報を生成する（ステップＳ３）。そして、放送送信装置１００は、ＡＰＬ起動情報生成手段１０５によって、ＡＰＬ起動情報サーバ５００にアクセスし、ＡＰＬ選択手段１０１で選択されたＡアプリケーションの認証子Ｔａｇ１を付加したアプリケーション起動情報を配置しておくことができる（ステップＳ４）。このとき、放送送信装置１００は、ＡＰＬ起動情報生成手段１０５によって、生成したアプリケーション起動情報を多重化手段１０８に出力してもよい。この場合は、ステップＳ４を省略することができる。
【００８４】
また、放送送信装置１００は、共通情報暗号化手段１０３によって、認証子算出手段１０２で認証子Ｔａｇ１を算出するのに用いられた認証子算出鍵Ｋ１を含んだ共通情報を、図示しない鍵発行手段によって発行された暗号鍵Ｋ２で、例えば、ＥＣＭにより構成されるデータ形式で暗号化する（ステップＳ５）。放送送信装置１００は、共通情報暗号化手段１０３によって、暗号化した共通情報を多重化手段１０８に出力する。
【００８５】
さらに、放送送信装置１００は、個別情報暗号化手段１０４によって、共通情報暗号化手段１０３で認証子算出鍵Ｋ１を暗号化するのに用いられた暗号鍵Ｋ２を含んだ個別情報を、放送通信連携受信装置４００のそれぞれに固有のマスタ鍵ＫＭで、例えば、ＥＭＭにより構成されるデータ形式で暗号化する（ステップＳ６）。放送送信装置１００は、個別情報暗号化手段１０４によって、暗号化した個別情報を多重化手段１０８に出力する。
【００８６】
なお、放送送信装置１００は、ステップＳ３およびステップＳ４と、ステップＳ５およびステップＳ６と、のいずれを先に行ってもよいし、並列に行ってもよい。
【００８７】
続いて、放送送信装置１００は、多重化手段１０８によって、コンテンツ記憶手段１０６から取得したコンテンツと、データ放送コンテンツ記憶手段１０７から取得したデータ放送コンテンツと、共通情報暗号化手段１０３から入力された共通情報と、個別情報暗号化手段１０４から入力された個別情報と、を多重化してストリームを生成する（ステップＳ７）。また、ＡＰＬ起動情報生成手段１０５からアプリケーション起動情報が入力された場合、このアプリケーション起動情報をあわせて多重化してストリームを生成してもよい。そして、放送送信装置１００は、多重化手段１０８によって、生成したストリームを、放送送信手段１０９に出力する。
【００８８】
そして、放送送信装置１００は、放送送信手段１０９によって、多重化手段１０８で生成されたストリームを、図示しない送信アンテナを介して送信することにより、放送波を介して、複数の放送通信連携受信装置４００（図１参照）に送信する（ステップＳ８）。
放送送信装置１００は、以上のようにして、動作する。
【００８９】
［放送通信連携受信装置の構成］
次に、図６を参照（適宜図１参照）して、本発明の実施形態に係る放送通信連携受信装置４００の構成について説明する。
【００９０】
放送通信連携受信装置４００は、ここでは、放送受信手段４０１と、放送信号解析手段４０２と、マスタ鍵記憶手段４０３と、個別情報復号手段４０４と、共通情報復号手段４０５と、映像・音声復号手段４０６と、データ放送復号手段４０７と、通信送受信手段４０８と、ＡＰＬ起動情報取得手段４０９と、ＡＰＬ起動情報記憶手段４１０と、リスト制御手段４１１と、セキュリティ管理手段４１２と、ＡＰＬ管理・実行制御手段４１３と、起動ＡＰＬ識別情報記憶手段４１４と、ＡＰＬ取得手段４１５と、ＡＰＬ記憶手段４１６と、ＡＰＬ実行手段４１７と、操作制御手段４１８と、合成表示手段４１９と、を備えている。
【００９１】
放送受信手段４０１は、アンテナＡを介して、放送波Ｗとして送信されるＭＰＥＧ−２のトランスポートストリームを受信するものである。受信されたトランスポートストリームは、放送信号解析手段４０２に出力される。
なお、この放送受信手段４０１は、アンテナＡを介して、電波によって放送信号を受信するものに限定されず、ケーブルを介して、放送信号を受信するものであってもよい。
【００９２】
放送信号解析手段４０２は、放送受信手段４０１で復調されたストリームデータ（トランスポートストリーム）において、映像信号、音声信号、データ放送信号、共通情報、個別情報等のデータを抽出するものである。また、ストリームデータにアプリケーション起動情報が含まれている場合は、アプリケーション起動情報を抽出する。
この放送信号解析手段４０２は、抽出した映像信号、音声信号等のデータについては、映像・音声復号手段４０６に出力し、抽出したデータ放送等のデータについては、データ放送復号手段４０７に出力する。また、ストリームデータからアプリケーション起動情報を抽出した場合は、抽出したアプリケーション起動情報をＡＰＬ起動情報取得手段４０９に出力する。さらに、放送信号解析手段４０２は、ストリームデータからアプリケーション起動情報を抽出した場合、アプリケーション起動情報が通知された旨（起動情報通知）を、アプリケーションを識別する情報（アプリケーションＩＤ）とともに、ＡＰＬ管理・実行制御手段４１３に通知する。
また、この放送信号解析手段４０２は、抽出した個別情報を、個別情報復号手段４０４に出力し、抽出した共通情報を、共通情報復号手段４０５に出力する。
なお、この個別情報は、放送送信装置１００の個別情報暗号化手段１０４（図２参照）で暗号化されたものであり、共通情報は、放送送信装置１００の共通情報暗号化手段１０３（図２参照）で暗号化されたものである。
【００９３】
マスタ鍵記憶手段４０３は、放送通信連携受信装置４００に固有のマスタ鍵ＫＭを記憶するものである。このマスタ鍵ＫＭは、予め放送送信装置１００と共有しているものである。
【００９４】
個別情報復号手段４０４は、マスタ鍵記憶手段４０３に記憶された固有のマスタ鍵ＫＭを用いて、放送信号解析手段４０２で抽出された個別情報から、共通情報を復号するための暗号鍵Ｋ２を復号するものである。この復号された暗号鍵Ｋ２は、共通情報復号手段４０５に出力される。
【００９５】
共通情報復号手段４０５は、個別情報復号手段４０４で生成された暗号鍵Ｋ２を用いて、放送信号解析手段４０２で抽出された共通情報から、アプリケーションの認証子を生成するための認証子算出鍵Ｋ１を復号するものである。この復号された認証子算出鍵Ｋ１は、後記するセキュリティ管理手段４１２の認証子生成手段に出力される。
【００９６】
映像・音声復号手段４０６は、放送信号解析手段４０２で抽出された映像・音声（映像ストリームおよび音声ストリーム）を復号するものである。この映像・音声復号手段４０６は、映像・音声が例えば、ＭＰＥＧ−２の符号化方式によって符号化されている場合、ＭＰＥＧ−２の復号を行い表示可能な出力形式の映像・音声データとして、合成表示手段４１９に出力する。
【００９７】
データ放送復号手段４０７は、放送信号解析手段４０２で抽出されたデータ放送のデータを復号するものである。このデータ放送復号手段４０７は、ＢＭＬを解析し、当該ＢＭＬを表示可能な出力形式に変換するＢＭＬブラウザの機能を有し、変換した表示データ（データ放送データ）を、合成表示手段４１９に出力する。
【００９８】
通信送受信手段４０８は、通信回線Ｎを介して、アプリケーション、アプリケーション起動情報等のデータを受信するものである。
【００９９】
ＡＰＬ（アプリケーション）起動情報取得手段４０９は、放送信号解析手段４０２または通信送受信手段４０８を介して、アプリケーション起動情報を取得するものである。このＡＰＬ起動情報取得手段４０９は、例えば、起動時（電源ＯＮ時）に予め定めたサーバ（ＡＰＬ起動情報サーバ２１０〔図１参照〕）から、または、放送信号をトリガとしてＡＰＬ起動情報サーバ５００から、実行可能（または実行準備可能）なアプリケーションのアプリケーション起動情報を取得するようにしてもよい。あるいは、ユーザによって、後記する操作制御手段４１８を介して、後記するリスト制御手段４１１にアプリケーションのリストを表示させる指示（リスト表示指示）が通知された段階で、リスト制御手段４１１からの指示によりアプリケーション起動情報を取得するようにしてもよい。
【０１００】
ＡＰＬ起動情報取得手段４０９は、取得したアプリケーション起動情報をＡＰＬ起動情報記憶手段４１０に書き込み記憶する。
【０１０１】
このアプリケーション起動情報は、前記したように、基本的には、アプリケーションを特定するための情報と、アプリケーションを制御するための付加的な情報と、を含んだデータであり、ここでは、図３に示すようなＸＭＬ形式によるテキスト表現で記載されている。また、放送送信装置１００において、選択されたＡアプリケーションについて生成されたアプリケーション起動情報には、放送送信装置１００の認証子算出手段１０２（図２参照）で算出されたＡアプリケーションの認証子Ｔａｇ１がさらに記載されている。
【０１０２】
ＡＰＬ（アプリケーション）起動情報記憶手段４１０は、アプリケーション起動情報を記憶するものである。
【０１０３】
リスト制御手段４１１は、起動可能なアプリケーションのリストの表示およびアプリケーションの選択の制御を行うアプリケーションローンチャー（Launcher）である。ここでは、リスト制御手段４１１は、起動可能なアプリケーションのリストを表示するとともに、表示されたアプリケーションのリストにおいて、操作制御手段４１８を介して指示される、ユーザからのリスト選択指示に基づいて、アプリケーションを選択する。
【０１０４】
リスト制御手段４１１は、ユーザから操作制御手段４１８を介してリスト表示を指示されることで、ＡＰＬ起動情報記憶手段４１０に記憶されているアプリケーション起動情報に対応するアプリケーションのリストを生成し、表示データとして、合成表示手段４１９に出力する。このリスト制御手段４１１は、例えば、図３で説明したアプリケーション起動情報において、（９）行目に示したアプリケーション名を表示する。
【０１０５】
また、リスト制御手段４１１は、ユーザによって、後記する操作制御手段４１８を介して、リスト制御手段４１１にアプリケーションのリストを表示させる指示（リスト表示指示）が通知されると、ＡＰＬ起動情報取得手段４０９に、ＡＰＬ起動情報を取得するよう指示（ＡＰＬ起動情報取得指示）を通知し、ＡＰＬ起動情報取得手段４０９にＡＰＬ起動情報を取得させてもよい。
【０１０６】
また、リスト制御手段４１１は、操作制御手段４１８を介して、リスト選択指示として、リモコン装置Ｒｉの方向（矢印）ボタン（不図示）の押下信号が通知されることで、複数のアプリケーションのうちで、どのアプリケーションが起動候補として選択されているのかを認識し、決定ボタン（不図示）の押下信号が通知されることで、実際に起動指示が選択されたアプリケーションを認識する。
このリスト制御手段４１１は、選択されたアプリケーションを識別する番号（アプリケーションＩＤ）を含んだ選択ＡＰＬ（アプリケーション）通知をＡＰＬ管理・実行制御手段４１３に出力する。
【０１０７】
セキュリティ管理手段４１２は、ＡＰＬ取得手段４１５で取得されたアプリケーションの正真性を検証するものである。セキュリティ管理手段４１２は、Ａ／一般ＡＰＬ判定手段４１２ａと、認証子算出手段４１２ｂと、ＡＰＬ検証手段４１２ｃと、を備える。
【０１０８】
Ａ／一般ＡＰＬ（アプリケーション）判定手段４１２ａは、ＡＰＬ取得手段４１５で取得されたアプリケーションがＡアプリケーションであるか一般アプリケーションであるかを判定するものである。
具体的には、例えば、Ａ／一般ＡＰＬ判定手段４１２ａは、ＡＰＬ取得手段４１５からアプリケーションの取得通知を受け取ると、ＡＰＬ起動情報記憶手段４１０に記憶された、このアプリケーションに対応するＡＰＬ起動情報を取得して、当該アプリケーションの認証子Ｔａｇ１が含まれているか否かを検索する。そして、ＡＰＬ起動情報に認証子Ｔａｇ１が含まれているか否かによって、取得されたアプリケーションが、Ａアプリケーションであるか一般アプリケーションであるかを判定する。
【０１０９】
Ａ／一般ＡＰＬ判定手段４１２ａは、ＡＰＬ取得手段４１５で取得され、ＡＰＬ起動情報記憶手段４１０に記憶されたアプリケーションに対応するＡＰＬ起動情報を検索した結果、認証子Ｔａｇ１が含まれている場合、そのアプリケーションがＡアプリケーションであると判定し、その判定結果を認証子算出手段４１２ｂに通知する。一方、Ａ／一般ＡＰＬ判定手段４１２ａは、ＡＰＬ起動情報を検索した結果、認証子Ｔａｇ１が含まれていない場合、そのアプリケーションが一般アプリケーションであると判定し、そのことをＡＰＬ管理・実行制御手段４１３に通知する。
【０１１０】
認証子算出手段４１２ｂは、Ａ／一般ＡＰＬ判定手段４１２ａからＡＰＬ取得手段４１５で取得されたアプリケーションがＡアプリケーションであるという判定結果が通知されると、ＡＰＬ記憶手段４１６から当該Ａアプリケーションを取得し、このＡアプリケーションまたは当該Ａアプリケーションのハッシュ値と、共通情報復号手段４０５で復号された認証子算出鍵Ｋ１と、を用いて、当該Ａアプリケーションの認証子Ｔａｇを生成するものである。なお、Ａアプリケーションのハッシュ値は、認証子算出手段４１２ｂによって、ＡＰＬ記憶手段４１６から読み出したＡアプリケーションから算出することができる。以下の説明では、このＡアプリケーションの認証子Ｔａｇを認証子Ｔａｇ２と表記する。認証子算出手段４１２ｂは、例えば、前記した式（１）を用いて認証子Ｔａｇ２を算出する。この算出された認証子Ｔａｇ２は、ＡＰＬ検証手段４１２ｃに出力される。
【０１１１】
ＡＰＬ（アプリケーション）検証手段４１２ｃは、認証子算出手段４１２ｂで算出された認証子Ｔａｇ２の入力を受け付けるとともに、ＡＰＬ起動情報記憶手段４１０から、ＡＰＬ起動情報に記載された認証子Ｔａｇ１を取得し、これらが一致するか否かを対比して照合することによって、ＡＰＬ取得手段４１５で取得されたＡアプリケーションが、放送局がＡアプリケーションとして承認したアプリケーションであるか、の正真性を検証するものである。
【０１１２】
ＡＰＬ検証手段４１２ｃは、ＡＰＬ起動情報記憶手段４１０に記憶されたＡＰＬ起動情報に記載された、放送送信装置１００で選択されたＡアプリケーションの認証子Ｔａｇ１と、ＡＰＬ取得手段４１５で取得された、放送送信装置１００で選択されたＡアプリケーションに対応するＡアプリケーションの認証子Ｔａｇ２とを対比して照合し、これらが一致する場合、ＡＰＬ取得手段４１５で取得されたＡアプリケーションが、放送局が意図したアプリケーションであるものと判定する。一方、これらが一致しない場合、ＡＰＬ取得手段４１５で取得されたＡアプリケーションが、放送局が意図したアプリケーションではないものと判定する。
【０１１３】
ここで、認証子Ｔａｇ１は、前記したように、放送送信装置１００において予め内容の信頼性や動作を確認したうえで承認を与えたＡアプリケーションの中から、放送通信連携受信装置４００で起動させるために選択されたＡアプリケーションについての認証子である。
【０１１４】
また、前記したように、認証子Ｔａｇ１は、放送送信装置１００において選択されたＡアプリケーションと、認証子算出鍵Ｋ１という二つの要素を用いて算出されている。一方、認証子Ｔａｇ２は、ＡＰＬ取得手段４１５で取得された、放送送信装置１００において選択されたＡアプリケーションと対応するＡアプリケーションと、放送送信装置１００において認証子Ｔａｇ１の算出に用いられた認証子算出鍵Ｋ１と、の二つの要素を用いて算出されている。つまり、認証子Ｔａｇ１と認証子Ｔａｇ２は、二つの要素のうちの一つの要素（認証子算出鍵Ｋ１）は共通しているので、その一致／不一致は、Ａアプリケーションの内容の一致／不一致に依存することになる。
【０１１５】
よって、ＡＰＬ検証手段４１２ｃで、認証子Ｔａｇ１と認証子Ｔａｇ２とを対比して、これらが一致するか否かを判定することにより、認証子Ｔａｇ１に対応する、放送送信装置１００において選択されたＡアプリケーションと、認証子Ｔａｇ２に対応する、ＡＰＬ取得手段４１５が取得したＡアプリケーションと、が一致しているか否かがわかる。
【０１１６】
そして、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致する場合、つまり、放送送信装置１００において選択されたＡアプリケーションと、ＡＰＬ取得手段４１５が取得したＡアプリケーションと、が一致している場合、ＡＰＬ取得手段４１５が取得したＡアプリケーションは、放送送信装置１００において選択されたＡアプリケーション、つまり、放送送信装置１００において選択されたＡアプリケーションと完全に一致していることになる。このため、ＡＰＬ取得手段４１５が取得したＡアプリケーションは、放送局が意図したアプリケーションであると判断することができる。
【０１１７】
一方、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致しない場合、つまり、放送送信装置１００が選択したＡアプリケーションと、ＡＰＬ取得手段４１５が取得したＡアプリケーションと、が一致していない場合、ＡＰＬ取得手段４１５が取得したＡアプリケーションは、放送局が意図したアプリケーションではないと判断することができる。
【０１１８】
そして、ＡＰＬ検証手段４１２ｃは、認証子Ｔａｇ１と認証子Ｔａｇ２とを対比して得られた検証結果を、ＡＰＬ管理・実行制御手段４１３に出力する。
【０１１９】
ＡＰＬ（アプリケーション）管理・実行制御手段４１３は、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御するものである。ここでは、ＡＰＬ管理・実行制御手段４１３は、起動制御手段４１３ａと、終了制御手段４１３ｂと、を備えている。
【０１２０】
起動制御手段４１３ａは、アプリケーションの起動を制御するものである。
具体的には、起動制御手段４１３ａは、Ａ／一般ＡＰＬ判定手段４１２ａから、アプリケーションが一般アプリケーションであるという判定結果が通知された場合であって、ＡＰＬ起動情報抽出手段４０２ａから当該一般アプリケーションの起動情報通知が通知されているとき、ＡＰＬ起動情報記憶手段４１０に記憶されている、起動情報通知とともに通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コードが“ＡＵＴＯＳＴＡＲＴ”であれば、アプリケーションを起動させる。
【０１２１】
すなわち、起動制御手段４１３ａは、アプリケーション制御コードが“ＡＵＴＯＳＴＡＲＴ”の場合、ＡＰＬ実行手段４１７に当該アプリケーションを実行する旨（起動制御指示）を通知する。この起動制御指示には、アプリケーション起動情報に記述されているアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）が含まれる。これによって、一般アプリケーションがユーザの操作によらず、自動起動されることになる。
【０１２２】
また、起動制御手段４１３ａは、Ａ／一般ＡＰＬ判定手段４１２ａから、アプリケーションが一般アプリケーションであるという判定結果が通知された場合であって、リスト制御手段４１１から、選択ＡＰＬ通知が通知されているとき、アプリケーション制御コードの値によらず、ＡＰＬ実行手段４１７に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、ユーザがリストから選択した一般アプリケーションが起動されることになる。
【０１２３】
さらに、起動制御手段４１３ａは、ＡＰＬ検証手段４１２ｃから、Ａ／一般ＡＰＬ判定手段４１２ａでＡアプリケーションと判定されたアプリケーションの正真性が確認されたという検証結果が通知された場合において、ＡＰＬ起動情報抽出手段４０２ａから当該Ａアプリケーションの起動情報通知が通知されているとき、ＡＰＬ起動情報記憶手段４１０に記憶されている、起動情報通知とともに通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コードが“ＡＵＴＯＳＴＡＲＴ”であれば、前記したようにＡＰＬ実行手段４１７に起動制御指示を通知してアプリケーションを起動させる。
【０１２４】
またさらに、ＡＰＬ検証手段４１２ｃから、Ａ／一般ＡＰＬ判定手段４１２ａでＡアプリケーションと判定されたアプリケーションの正真性が確認されたという検証結果が通知された場合において、リスト制御手段４１１から、選択ＡＰＬ通知が通知されているとき、アプリケーション制御コードの値によらず、ＡＰＬ実行手段４１７に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、ユーザがリストから選択したアプリケーションが起動されることになる。
【０１２５】
一方、起動制御手段４１３ａは、ＡＰＬ検証手段４１２ｃから、Ａ／一般ＡＰＬ判定手段４１２ａでＡアプリケーションと判定されたアプリケーションの正真性がないという検証結果が通知された場合、「このアプリケーションの表示は管理者によって許可されていません」や「このアプリケーションを表示できません」などのアプリケーションを表示できないことをユーザに通知するエラーメッセージを映像表示装置Ｍｏに表示するよう合成表示手段４１９に指示する。
【０１２６】
なお、起動制御手段４１３ａは、起動中のアプリケーションを識別情報（アプリケーションＩＤ）で管理し、起動ＡＰＬ識別情報記憶手段４１４に起動中のアプリケーションＩＤを書き込むこととする。また、ＡＰＬ実行手段４１７において、アプリケーションが他のアプリケーション（子アプリケーション）を起動させた場合、起動制御手段４１３ａは、子アプリケーションと親アプリケーションとを、階層的に対応付けて管理する。
【０１２７】
終了制御手段４１３ｂは、起動中のアプリケーションの終了制御を行うものである。
具体的には、終了制御手段４１３ｂは、ＡＰＬ起動情報抽出手段４０２ａから起動情報通知が通知された際、ＡＰＬ起動情報記憶手段４１０に記憶されている、起動情報通知とともに通知されるアプリケーションＩＤに対応するアプリケーション起動情報に記述されているアプリケーション制御コードが“ＤＥＳＴＲＯＹ”または“ＫＩＬＬ”の場合にアプリケーションを終了させる。
【０１２８】
このアプリケーション制御コードが“ＤＥＳＴＲＯＹ”の場合、終了制御手段４１３ｂは、通知されたアプリケーションＩＤに対応するアプリケーションを通常終了させる旨、ＡＰＬ実行手段４１７に指示する。また、アプリケーション制御コードが“ＫＩＬＬ”の場合、終了制御手段４１３ｂは、通知されたアプリケーションＩＤに対応するアプリケーションを強制終了させる旨、ＡＰＬ実行手段４１７に指示する。
なお、終了制御手段４１３ｂは、アプリケーションを終了させる場合、起動ＡＰＬ識別情報記憶手段４１４を参照し、終了を指示されたアプリケーションに子アプリケーションが存在する場合は、子アプリケーションについても、すべて終了させる。
【０１２９】
また、終了制御手段４１３ｂは、起動中のアプリケーションが終了した場合、例えば、ユーザの操作によってアプリケーションが終了したことをＡＰＬ実行手段４１７から通知された際に、起動ＡＰＬ識別情報記憶手段４１４を参照し、終了したアプリケーションに子アプリケーションが存在していた場合は、子アプリケーションについても終了させる。
【０１３０】
起動ＡＰＬ（アプリケーション）識別情報記憶手段４１４は、起動中のアプリケーションの識別情報（アプリケーションＩＤ）を記憶するものであって、半導体メモリ等の記憶媒体である。この起動ＡＰＬ識別情報記憶手段４１４は、起動制御手段４１３ａによって、アプリケーションが起動された際にアプリケーションＩＤが書き込まれ、終了制御手段４１３ｂによって、アプリケーションが終了する際に削除される。
【０１３１】
ＡＰＬ（アプリケーション）取得手段４１５は、通信送受信手段４０８を介して、通信回線Ｎに接続された管理装置３２０またはＡＰＬ（アプリケーション）サーバ２１０（図１参照）から、アプリケーションを取得するものである。
このＡＰＬ取得手段４１５は、起動制御手段４１３ａからＡＰＬ取得指示を通知された場合、当該指示で通知されるアプリケーションの所在（アドレス）から、指定されたアプリケーションを取得し、その取得したアプリケーションをＡＰＬ記憶手段４１６に書き込み蓄積する。
【０１３２】
ＡＰＬ（アプリケーション）記憶手段４１６は、ＡＰＬ取得手段４１５で取得されたアプリケーションを記憶するもので、ハードディスク等の記憶媒体である。このＡＰＬ記憶手段４１６は、ＡＰＬ取得手段４１５で取得されたアプリケーションについて、ＡＰＬ検証手段４１２ｃで正真性の検証を行ったうえで、その検証結果に応じてＡＰＬ管理・実行制御手段４１３で動作の可否を決定するために蓄積しておくものである。
また、ＡＰＬ記憶手段４１６は、ＡＰＬ取得手段４１５で取得されたアプリケーションを任意のタイミングで動作させるために蓄積しておくものである。
このＡＰＬ記憶手段４１６に記憶されているアプリケーションは、セキュリティ管理手段４１２の認証子算出手段４１２ｂによって読み出される。
【０１３３】
ＡＰＬ（アプリケーション）実行手段４１７は、ＡＰＬ管理・実行制御手段４１３からの指示（起動制御指示）に基づいて、アプリケーションの起動および終了を行うものである。
このＡＰＬ実行手段４１７は、起動制御手段４１３ａから通知されるアプリケーションを実行する旨が指示された場合、起動制御指示に含まれるアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）に基づいて、アプリケーションおよびアプリケーションを実行する際に必要となるデータ（例えば、メタデータ、アイコンデータ等）をアプリケーションの取得元から取得する。
そして、ＡＰＬ実行手段４１７は、図示を省略したメモリにアプリケーションを展開（ロード）し、アプリケーションを実行させる。
このアプリケーションの実行に伴う画像や音声のデータは、合成表示手段４１９に出力される。
【０１３４】
また、ＡＰＬ実行手段４１７は、終了制御手段４１３ｂから通知されるアプリケーションを終了する旨が指示された場合、指示されたアプリケーションを終了させる。
【０１３５】
操作制御手段４１８は、外部のリモコン装置Ｒｉ等の入力手段を介して、放送通信連携受信装置４００に対するユーザの操作（例えば、リスト表示、リスト選択、チャンネル変更等）を制御するものである。操作制御手段４１８は、リモコン装置Ｒｉを介してユーザからリスト表示を指示された場合、ＡＰＬ起動情報記憶手段４１０に記憶されているアプリケーション起動情報に対応するアプリケーションのリストの生成指示をリスト制御手段４１１に通知する。これによって、起動可能なアプリケーションのリストがユーザに表示されることになる。
【０１３６】
また、操作制御手段４１８は、リモコン装置Ｒｉを介してユーザからリスト内のアプリケーションの選択を指示された場合、選択されたアプリケーションのアプリケーションＩＤを含んだアプリーションの選択通知をＡＰＬ管理・実行制御手段に出力する。
さらに、この操作制御手段４１８は、リモコン装置Ｒｉを介してユーザからチャンネルの変更が指示された場合、選択されたチャンネルのチャンネル番号を含んだチャンネル切替指示を放送信号解析手段４０２に通知する。これによって、現在視聴中のチャンネルが選局されることになる。
【０１３７】
合成表示手段４１９は、映像・音声を合成して表示するものである。この合成表示手段４１９は、映像・音声復号手段４０６で復号された映像データ・音声データ、データ放送復号手段４０７で復号されたデータ放送の表示データ、リスト制御手段４１１で生成されたリストの表示データおよびＡＰＬ実行手段４１７で生成されたアプリケーションの表示データをそれぞれ合成して表示する。
なお、合成表示手段４１９は、合成した音声については、音声信号として外部に接続されたスピーカ等の音声出力装置Ｓｐに出力し、合成した映像（画像）については、映像信号として外部に接続された液晶ディスプレイ等の映像表示装置Ｍｏに出力する。
【０１３８】
また、合成表示手段４１９は、ＡＰＬ管理・実行制御手段４１３の起動制御手段４１３ａから、アプリケーションを表示できないことをユーザに通知するエラーメッセージの表示指示を通知されると、「このアプリケーションの表示は管理者によって許可されていません」や「このアプリケーションを表示できません」などのエラーメッセージを、映像データ・音声データ、データ放送の表示データ、リストの表示データに合成して表示する。このエラーメッセージは、ＡＰＬ管理・実行制御手段４１３の起動制御手段４１３ａから、メッセージ表示指示が入力される都度生成してもよいし、また例えば、予め作成して図示しない記憶手段に記憶しておき、ＡＰＬ管理・実行制御手段４１３の起動制御手段４１３ａから、エラーメッセージの表示指示の通知を受け取ったときに図示しない記憶手段から読み出すようにしてもよい。
【０１３９】
［放送通信連携受信装置の動作］
次に、図７を参照（構成については、適宜図２を参照）して、本発明の実施形態に係る放送通信連携受信装置４００において、アプリケーション起動情報によって、アプリケーションを起動または終了させる動作について説明する。なお、ここでは、ＡＰＬ起動情報取得手段４０９が、起動時（電源ＯＮ時）に予め定めたサーバ（ＡＰＬ起動情報サーバ５００やＡＰＬ起動情報サーバ２１０〔いずれも図１参照〕）から、または、放送信号から、別途アプリケーション起動情報を取得するものとする。そして、取得されたアプリケーション起動情報は、ＡＰＬ起動情報記憶手段４１０に記憶されるものとする。
また、リスト制御手段４１１によって、ＡＰＬ起動情報取得手段４０９で取得されたアプリケーション起動情報から起動可能なアプリケーションのリストが生成され、ユーザに表示されるものとする。
【０１４０】
放送通信連携受信装置４００は、放送受信手段４０１によって、放送波Ｗを介して、放送送信装置１００から送信された放送信号を受信する（ステップＳ２１）。そして、放送受信手段４０１によって、受信した放送信号を放送信号解析手段４０２に出力する。
【０１４１】
次に、放送通信連携受信装置４００は、放送信号解析手段４０２によって、放送受信手段４０１で受信し、復調されたストリームデータを解析し、個別情報と、共通情報と、映像・音声信号と、データ放送信号と、を抽出する（ステップＳ２２）。そして、放送信号解析手段４０２によって、個別情報を個別情報復号手段４０４に出力し、共通情報を共通情報復号手段４０５に出力し、映像・音声信号を映像・音声復号手段４０６に出力し、データ放送信号をデータ放送復号手段４０７に出力する。なお、この個別情報および共通情報は、放送送信装置１００によって暗号化されたものである。
【０１４２】
続いて、放送通信連携受信装置４００は、放送通信連携受信装置４００は、個別情報復号手段４０４によって、図示しない鍵発行手段で発行された当該放送通信連携受信装置４００に固有のマスタ鍵ＫＭを用いて、暗号化された個別情報から暗号鍵Ｋ２を復号する（ステップＳ２３）。そして、個別情報復号手段４０４によって、復号した暗号鍵Ｋ２を共通情報復号手段４０５に出力する。
【０１４３】
そして、放送通信連携受信装置４００は、共通情報復号手段４０５によって、個別情報復号手段４０４によって復号された暗号鍵Ｋ２を用いて、暗号化された共通情報から認証子算出鍵Ｋ１を復号する（ステップＳ２４）。そして、共通情報復号手段４０５によって、復号した認証子算出鍵Ｋ１を認証子算出手段４１２ｂに出力する。
【０１４４】
放送通信連携受信装置４００は、リスト制御手段４１１により、リモコン装置Ｒｉを介してユーザからリスト内のアプリケーションの選択指示を受け付ける（ステップＳ２５）。そして、ユーザにより選択されたアプリケーションのアプリケーションＩＤを含んだアプリーションの選択通知をＡＰＬ管理・実行制御手段４１３に出力する。
そして、放送通信連携受信装置４００は、ＡＰＬ管理・実行制御手段４１３によって、リスト制御手段４１１から、アプリーションの選択通知を受け取ると、ＡＰＬ起動情報記憶手段４１０から、このアプリーションのアプリケーション起動情報を取得する（ステップＳ２６）。そして、ＡＰＬ起動情報記憶手段４１０から取得したアプリケーション起動情報を解析する（ステップＳ２７）。
【０１４５】
ここで、アプリケーション制御コードが起動を示すコード（“ＡＵＴＯＳＴＡＲＴ”）の場合（ステップＳ２７で“起動”）、放送通信連携受信装置４００は、ＡＰＬ取得手段４１５によって、アプリケーション起動情報で通知されたアプリケーションを、通信送受信手段４０８を介して取得する（ステップＳ２８）。そして、ＡＰＬ取得手段４１５によって、通信送受信手段４０８を介して取得したアプリケーションをＡＰＬ記憶手段４１６に記憶する（ステップＳ２９）。また、ＡＰＬ取得手段４１５によって、アプリケーションの取得をＡ／一般ＡＰＬ判定手段４１２ａに通知する。なお、ステップＳ２１〜ステップＳ２４と、ステップＳ２５〜ステップＳ２９と、を並列に行ってもよい。
【０１４６】
一方、アプリケーション制御コードが終了を示すコード（“ＫＩＬＬ”等）である場合（ステップＳ２７で“終了”）、放送通信連携受信装置４００は、終了制御手段４１３ｂによって、ＡＰＬ実行手段４１７で実行されているアプリケーションを終了させる（ステップＳ３０）。
なお、アプリケーション制御コードが起動や終了を示すコードでない場合（ステップＳ
２７で“その他”）、放送通信連携受信装置４００は、アプリケーションの起動・終了動作を終了し、放送信号の解析動作を継続する（ステップとして図示せず）。
【０１４７】
続いて、放送通信連携受信装置４００は、Ａ／一般ＡＰＬ判定手段４１２ａによって、ＡＰＬ取得手段４１５からアプリケーションの取得通知を受け取ると、ＡＰＬ起動情報記憶手段４１０から、ステップＳ２８で取得したアプリケーションに対応するＡＰＬ起動情報を取得し、このアプリケーション起動情報に当該アプリケーションの認証子Ｔａｇ１が含まれているか否かにより、当該アプリケーションがＡアプリケーションであるか一般アプリケーションであるかを判定する（ステップＳ３１）。
【０１４８】
そして、ステップＳ２８で取得したアプリケーションがＡアプリケーションである場合（ステップＳ３１で“Ａ ＡＰＬ”）、認証子算出手段４１２ｂにその判定結果が通知される。
そして、放送通信連携受信装置４００は、認証子算出手段４１２ｂによって、Ａ／一般ＡＰＬ判定手段４１２ａから、ステップＳ２８で取得したアプリケーションがＡアプリケーションであるという判定結果が通知されることで、ＡＰＬ記憶手段４１６から当該アプリケーションを取得し、このアプリケーションと、共通情報復号手段４０５から入力を受け付けた認証子算出鍵Ｋ１と、を用いて、このアプリケーションの認証子Ｔａｇ２を算出する（ステップＳ３２）。そして、認証子算出手段４１２ｂによって、算出した認証子Ｔａｇ２をＡＰＬ検証手段４１２ｃに出力する。
【０１４９】
一方、ステップＳ２８で取得したアプリケーションが一般アプリケーションである場合（ステップＳ３１で“一般 ＡＰＬ”）、その判定結果が、認証子算出手段４１２ｂからＡＰＬ管理・実行制御手段４１３に通知される。
【０１５０】
そして、放送通信連携受信装置４００は、ＡＰＬ管理・実行制御手段４１３によって、Ａ／一般ＡＰＬ判定手段４１２ａから、アプリケーションが一般アプリケーションであるという判定結果が通知されることで、起動制御手段４１３ａによって、ＡＰＬ実行手段４１７に、ステップＳ２８で取得したアプリケーションを起動する起動制御指示を通知する。そして、放送通信連携受信装置４００は、起動制御手段４１３ａからアプリケーションの起動制御指示が通知されることで、ＡＰＬ実行手段４１７によって、ＡＰＬ記憶手段４１６からステップＳ２８で取得したアプリケーションを読み出して、このアプリケーションを起動する（ステップＳ３３）。
【０１５１】
続いて、放送通信連携受信装置４００は、ＡＰＬ検証手段４１２ｃによって、認証子算出手段４１２ｂから認証子Ｔａｇ２の入力を受け付けると、ＡＰＬ起動情報記憶手段４１０から、この認証子Ｔａｇ２に対応するアプリケーションに対応するアプリケーション起動情報を読み出して、このアプリケーション起動情報に含まれる認証子Ｔａｇ１を抽出し、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致するか否かを対比して照合する。そして、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致するか否かによって、ステップＳ２８で取得したアプリケーションが放送局の承認したアプリケーションか否かの正真性を検証する（ステップＳ３４）。
【０１５２】
そして、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致する場合（ステップＳ３４でＹｅｓ）、放送通信連携受信装置４００は、ＡＰＬ検証手段４１２ｃによって、ステップＳ２８で取得したアプリケーションの正真性が確認されたＡアプリケーションであると判定する。
【０１５３】
そして、放送通信連携受信装置４００は、ＡＰＬ管理・実行制御手段４１３によって、アプリケーション検証手段から、ステップＳ２８で取得したアプリケーションの正真性が確認されたという検証結果が通知されることで、起動制御手段４１３ａによって、ＡＰＬ実行手段４１７に、ステップＳ２８で取得したアプリケーションを起動する起動制御指示を出力する。そして、放送通信連携受信装置４００は、ＡＰＬ実行手段４１７によって、ＡＰＬ記憶手段４１６からステップＳ２８で取得したアプリケーションを読み出して、このアプリケーションを起動する（ステップＳ３５）。そして、ＡＰＬ実行手段４１７から合成表示手段４１９にアプリケーションが出力され、合成表示手段４１９から映像表示装置Ｍｏ等にアプリケーションが出力されることによって、ユーザが閲覧可能となる。
【０１５４】
一方、認証子Ｔａｇ１と認証子Ｔａｇ２とが一致しない場合（ステップＳ３４でＮｏ）、放送通信連携受信装置４００は、ＡＰＬ検証手段４１２ｃによって、ステップＳ２８で取得したアプリケーションの正真性がないと判定する。そして、ＡＰＬ検証手段４１２ｃは、その検証結果を、ＡＰＬ管理・実行制御手段４１３に通知する。
【０１５５】
そして、ＡＰＬ管理・実行制御手段４１３は、ＡＰＬ検証手段４１２ｃから、ステップＳ２８で取得したアプリケーションの正真性がないという検証結果が通知されることで、起動制御手段４１３ａによって、ステップＳ２８で取得したアプリケーションを表示できないことをユーザに通知するエラーメッセージの表示指示を合成表示手段４１９に通知する。そして、ＡＰＬ管理・実行制御手段４１３は、起動制御手段４１３ａからエラーメッセージの表示指示が通知されることで、合成表示手段４１９によって、エラーメッセージを表示する（ステップＳ３６）。
【０１５６】
以上説明した放送通信連携システムＳによれば、放送送信装置１００が、選択したＡアプリケーションの認証子Ｔａｇ１の算出に用いた認証子算出鍵Ｋ１を、放送波Ｗを介して放送通信連携受信装置４００に送信することにより、放送通信連携受信装置４００側で、放送送信装置１００で認証子Ｔａｇ１の生成に用いた認証子算出鍵Ｋ１を用いて、放送送信装置１００において選択されたＡアプリケーションに対応するアプリケーションの認証子を算出することが可能となる。
【０１５７】
また、放送送信装置１００において、アプリケーション起動情報に認証子Ｔａｇ１を付加してＡＰＬ起動情報サーバ５００に書き込むことで、また、放送信号に含めて送信することで、放送通信連携受信装置４００側で、取得したＡアプリケーションに対応するアプリケーション起動情報に含まれる認証子Ｔａｇ１と、取得したＡアプリケーションついて算出した認証子Ｔａｇ２と、が一致するか否かを対比して照合することが可能となる。そして、これらが互いに一致するか否かによって取得したＡアプリケーションが、放送局が承認した時点のＡアプリケーションか否かを検証することとしたことにより、アプリケーション単位で正真性を検証することが可能となる。
【０１５８】
さらに、放送通信連携システムＳによれば、放送通信連携受信装置４００で取得したＡアプリケーションの正真性が確認されない場合、そのＡアプリケーションを実行しないこととするため、放送事業者が予め承認したＡアプリケーションの内容と異なる意図しない内容となったアプリケーションが実行されるのを防止することが可能となる。このため、放送事業者の信頼性を確保することができる。
【０１５９】
前記した実施形態で説明した放送送信装置１００または放送通信連携受信装置４００は、例えば、一般的なコンピュータを、前記した各手段として機能させるプログラムにより動作させることで実現することができる。
【０１６０】
前記した実施形態では、放送送信装置１００は、ＡＰＬ起動情報生成手段１０５によってアプリケーション起動情報を生成し、このアプリケーション起動情報をＡＰＬ起動情報サーバ５００に書き込み、放送通信連携受信装置４００は、ＡＰＬ起動情報取得手段４０９によって、通信回線Ｎを介して、ＡＰＬ起動情報サーバ５００（あるいはＡＰＬ起動情報サーバ２１０）からアプリケーション起動情報を取得することとしたが、これに限られるものではない。
【０１６１】
例えば、放送送信装置１００（図２参照）が、ＡＰＬ起動情報生成手段１０５（図２参照）により、ＳＩ（番組配列情報）の一つであるイベント情報テーブル（ＥＩＴ：Event Information Table）内にバイナリ表現で表したアプリケーション起動情報を記述し、このＥＩＴを含むＳＩ（番組配列情報）を多重化手段１０８（図２参照）に多重化して、放送波を介して放送通信連携受信装置４００に送信することとしてもよい。
そして、放送通信連携受信装置４００が、放送信号解析手段４０２に、ＥＩＴ用のＡＰＬ起動情報抽出手段（図示せず）をさらに備え、このＡＰＬ起動情報抽出手段（図示せず）によりＥＩＴの記述子（アプリケーション記述子）に含まれているアプリケーション起動情報を抽出する。
【０１６２】
また例えば、放送送信装置１００（図２参照）が、ＡＰＬ起動情報生成手段１０５（図２参照）により、アプリケーション起動情報を、ＸＭＬ形式でテキスト表現したアプリケーション起動情報ファイルを生成し、このアプリケーション起動情報をデータカルーセルで伝送することとしてもよい。
そして、放送通信連携受信装置４００が、データ放送復号手段４０７にアプリケーション起動情報ファイルを抽出するＡＰＬ起動情報抽出手段（図示せず）をさらに備え、このＡＰＬ起動情報抽出手段（図示せず）によりアプリケーション起動情報ファイルを抽出する。
なお、ここでは、データカルーセルで伝送するアプリケーション起動情報を、テキスト表現したデータとしたが、バイナリ表現で表したデータとしてもよい。
放送通信連携受信装置４００は、前記したアプリケーション起動情報を取得する何れの方法にも対応しているものとし、放送事業者ごとに何れかの方法による伝送を選択してもよい。
【０１６３】
また、前記した実施形態では、ＡＰＬサーバ２００およびＡＰＬ起動情報サーバ２１０（いずれも図１参照）を個別のサービス事業者が保持することとしたが、それ以外に、あるいは、それに加えて、放送局内、あるいは、第三者機関に設置しても構わない。
【０１６４】
また、ＡＰＬ起動情報サーバ２１０と、ＡＰＬ起動情報サーバ５００（いずれも図１参照）と、を設けずに、各サービス事業者等が作成したアプリケーションのアプリケーション起動情報を集約して保持するＡＰＬ起動情報サーバ（図示せず）を設け、このＡＰＬ起動情報サーバ（図示せず）がアプリケーション起動情報を一括して管理するようにしてもよい。つまり、ＡＰＬ起動情報サーバ（図示せず）は、Ａアプリケーションに対応したアプリケーション起動情報に加えて、一般アプリケーションに対応したアプリケーション起動情報を保持することとしてもよい。
【符号の説明】
【０１６５】
１００ 放送送信装置
１０１ ＡＰＬ選択手段
１０２ 認証子算出手段
１０３ 共通情報暗号化手段
１０４ 個別情報暗号化手段
１０５ ＡＰＬ起動情報生成手段（アプリケーション起動情報生成手段）
１０６ コンテンツ記憶手段
１０７ データ放送コンテンツ記憶手段
１０８ 多重化手段
１０９ 放送送信手段
２００ ＡＰＬサーバ
２１０ ＡＰＬ起動情報サーバ
３００ ＡＰＬ登録装置
３１０ ＡＰＬ確認装置
３２０ 管理装置
４００ 放送通信連携受信装置
４０１ 放送受信手段
４０２ 放送信号解析手段
４０３ マスタ鍵記憶手段
４０４ 個別情報復号手段
４０５ 共通情報復号手段
４０６ 映像・音声復号手段
４０７ データ放送復号手段
４０８ 通信送受信手段
４０９ ＡＰＬ起動情報取得手段（アプリケーション起動情報取得手段）
４１０ ＡＰＬ起動情報記憶手段
４１１ リスト制御手段
４１２ セキュリティ管理手段
４１２ａ Ａ／一般ＡＰＬ判定手段
４１２ｂ 認証子算出手段
４１２ｃ ＡＰＬ検証手段（アプリケーション検証手段）
４１３ ＡＰＬ管理・実行制御手段
４１３ａ 起動制御手段
４１３ｂ 終了制御手段
４１４ 起動ＡＰＬ識別情報記憶手段
４１５ ＡＰＬ取得手段（アプリケーション取得手段）
４１６ ＡＰＬ記憶手段
４１７ ＡＰＬ実行手段（アプリケーション実行手段）
４１８ 操作制御手段
４１９ 合成表示手段
５００ ＡＰＬ起動情報サーバ
【特許請求の範囲】
【請求項１】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおける前記放送送信装置であって、
選択されたアプリケーションまたは当該アプリケーションのハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する認証子算出手段と、
この認証子算出手段により算出された認証子を付加した、前記アプリケーションを起動するための情報であるアプリケーション起動情報を生成するアプリケーション起動情報生成手段と、
前記第１暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する共通情報暗号化手段と、
前記第２暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、前記放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する個別情報暗号化手段と、
暗号化された前記共通情報と、暗号化された前記個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらに前記アプリケーション起動情報を多重化してストリームを生成する多重化手段と、
前記多重化手段で生成された前記ストリームを、複数の前記放送通信連携受信装置に送信する放送送信手段と、を備える
ことを特徴とする放送送信装置。
【請求項２】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおける前記放送通信連携受信装置であって、
前記放送送信装置から送信されたストリームを受信する放送受信手段と、
この放送受信手段で受信した前記ストリームに含まれる放送信号を解析し、前記放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、前記アプリケーション起動情報と、を抽出する放送信号解析手段と、
前記放送送信装置で生成された、前記アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得するアプリケーション起動情報取得手段と、
このアプリケーション起動情報取得手段で取得された前記アプリケーション起動情報を記憶するアプリケーション起動情報記憶手段と、
当該装置に固有のマスタ鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された個別情報から、前記暗号化された共通情報を復号するための第２暗号鍵を復号する個別情報復号手段と、
前記個別情報復号手段で復号された前記第２暗号鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された共通情報から、前記アプリケーションの認証子を算出するための第１暗号鍵を復号する共通情報復号手段と、
前記アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示すると共に当該アプリケーションの起動を制御するアプリケーション管理・実行制御手段と、
このアプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得するアプリケーション取得手段と、
このアプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、前記共通情報復号手段で復号された前記第１暗号鍵と、を用いて前記アプリケーションの認証子を算出する認証子算出手段と、
この認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを対比して検証することによって、アプリケーションの正真性を検証するアプリケーション検証手段と、
前記アプリケーション検証手段により、前記アプリケーションの正真性が確認されたという検証結果の入力を受け付けた前記アプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行するアプリケーション実行手段と、を備える
ことを特徴とする放送通信連携受信装置。
【請求項３】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおいて、前記アプリケーションの正真性を検証するために、コンピュータを、
選択されたアプリケーションまたは当該アプリケーションのハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する認証子算出手段、
この認証子算出手段により算出された認証子を付加した、前記アプリケーションを起動するための情報であるアプリケーション起動情報を生成するアプリケーション起動情報生成手段、
前記第１暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する共通情報暗号化手段、
前記第２暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、前記放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する個別情報暗号化手段、
暗号化された前記共通情報と、暗号化された前記個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらに前記アプリケーション起動情報を多重化してストリームを生成する多重化手段、
前記多重化手段で生成された前記ストリームを、複数の前記放送通信連携受信装置に送信する放送送信手段、として機能させるための放送送信プログラム。
【請求項４】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおいて、
前記通信回線で前記放送通信連携受信装置に配信されるアプリケーションの正真性を検証するために、コンピュータを、
前記放送送信装置から送信されたストリームを受信する放送受信手段、
この放送受信手段で受信した前記ストリームに含まれる放送信号を解析し、前記放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、前記アプリケーション起動情報と、を抽出する放送信号解析手段、
前記放送送信装置で生成された、前記アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得するアプリケーション起動情報取得手段、
このアプリケーション起動情報取得手段で取得された前記アプリケーション起動情報を記憶するアプリケーション起動情報記憶手段、
当該装置に固有のマスタ鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された個別情報から、前記暗号化された共通情報を復号するための第２暗号鍵を復号する個別情報復号手段、
前記個別情報復号手段で復号された前記第２暗号鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された共通情報から、前記アプリケーションの認証子を算出するための第１暗号鍵を復号する共通情報復号手段、
前記アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示すると共に当該アプリケーションの起動を制御するアプリケーション管理・実行制御手段、
このアプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得するアプリケーション取得手段、
このアプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、前記共通情報復号手段で復号された前記第１暗号鍵と、を用いて前記アプリケーションの認証子を算出する認証子算出手段、
この認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを対比して検証することによって、アプリケーションの正真性を検証するアプリケーション検証手段、
前記アプリケーション検証手段により、前記アプリケーションの正真性が確認されたという検証結果の入力を受け付けた前記アプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行するアプリケーション実行手段、として機能させるための放送通信連携受信プログラム。
【請求項５】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムであって、
前記放送送信装置は、
選択されたアプリケーションまたは当該アプリケーションのハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する認証子算出手段と、
この認証子算出手段により算出された認証子を付加した、前記アプリケーションを起動するための情報であるアプリケーション起動情報を生成するアプリケーション起動情報生成手段と、
前記第１暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する共通情報暗号化手段と、
前記第２暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、前記放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する個別情報暗号化手段と、
暗号化された前記共通情報と、暗号化された前記個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらに前記アプリケーション起動情報を多重化してストリームを生成する多重化手段と、
前記多重化手段で生成された前記ストリームを、複数の前記放送通信連携受信装置に送信する放送送信手段と、を備え、
前記放送通信連携受信装置は、
前記放送送信装置から送信されたストリームを受信する放送受信手段と、
この放送受信手段で受信した前記ストリームに含まれる放送信号を解析し、前記放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、前記アプリケーション起動情報と、を抽出する放送信号解析手段と、
前記放送送信装置で生成された、前記アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得するアプリケーション起動情報取得手段と、
このアプリケーション起動情報取得手段で取得された前記アプリケーション起動情報を記憶するアプリケーション起動情報記憶手段と、
当該装置に固有のマスタ鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された個別情報から、前記暗号化された共通情報を復号するための第２暗号鍵を復号する個別情報復号手段と、
前記個別情報復号手段で復号された前記第２暗号鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された共通情報から、前記アプリケーションの認証子を算出するための第１暗号鍵を復号する共通情報復号手段と、
前記アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示すると共に当該アプリケーションの起動を制御するアプリケーション管理・実行制御手段と、
このアプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得するアプリケーション取得手段と、
このアプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、前記共通情報復号手段で復号された前記第１暗号鍵と、を用いて前記アプリケーションの認証子を算出する認証子算出手段と、
この認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを対比して検証することによって、アプリケーションの正真性を検証するアプリケーション検証手段と、
前記アプリケーション検証手段により、前記アプリケーションの正真性が確認されたという検証結果の入力を受け付けた前記アプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行するアプリケーション実行手段と、を備える
ことを特徴とする放送通信連携システム。
【請求項１】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおける前記放送送信装置であって、
選択されたアプリケーションまたは当該アプリケーションのハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する認証子算出手段と、
この認証子算出手段により算出された認証子を付加した、前記アプリケーションを起動するための情報であるアプリケーション起動情報を生成するアプリケーション起動情報生成手段と、
前記第１暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する共通情報暗号化手段と、
前記第２暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、前記放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する個別情報暗号化手段と、
暗号化された前記共通情報と、暗号化された前記個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらに前記アプリケーション起動情報を多重化してストリームを生成する多重化手段と、
前記多重化手段で生成された前記ストリームを、複数の前記放送通信連携受信装置に送信する放送送信手段と、を備える
ことを特徴とする放送送信装置。
【請求項２】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおける前記放送通信連携受信装置であって、
前記放送送信装置から送信されたストリームを受信する放送受信手段と、
この放送受信手段で受信した前記ストリームに含まれる放送信号を解析し、前記放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、前記アプリケーション起動情報と、を抽出する放送信号解析手段と、
前記放送送信装置で生成された、前記アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得するアプリケーション起動情報取得手段と、
このアプリケーション起動情報取得手段で取得された前記アプリケーション起動情報を記憶するアプリケーション起動情報記憶手段と、
当該装置に固有のマスタ鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された個別情報から、前記暗号化された共通情報を復号するための第２暗号鍵を復号する個別情報復号手段と、
前記個別情報復号手段で復号された前記第２暗号鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された共通情報から、前記アプリケーションの認証子を算出するための第１暗号鍵を復号する共通情報復号手段と、
前記アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示すると共に当該アプリケーションの起動を制御するアプリケーション管理・実行制御手段と、
このアプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得するアプリケーション取得手段と、
このアプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、前記共通情報復号手段で復号された前記第１暗号鍵と、を用いて前記アプリケーションの認証子を算出する認証子算出手段と、
この認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを対比して検証することによって、アプリケーションの正真性を検証するアプリケーション検証手段と、
前記アプリケーション検証手段により、前記アプリケーションの正真性が確認されたという検証結果の入力を受け付けた前記アプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行するアプリケーション実行手段と、を備える
ことを特徴とする放送通信連携受信装置。
【請求項３】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおいて、前記アプリケーションの正真性を検証するために、コンピュータを、
選択されたアプリケーションまたは当該アプリケーションのハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する認証子算出手段、
この認証子算出手段により算出された認証子を付加した、前記アプリケーションを起動するための情報であるアプリケーション起動情報を生成するアプリケーション起動情報生成手段、
前記第１暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する共通情報暗号化手段、
前記第２暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、前記放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する個別情報暗号化手段、
暗号化された前記共通情報と、暗号化された前記個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらに前記アプリケーション起動情報を多重化してストリームを生成する多重化手段、
前記多重化手段で生成された前記ストリームを、複数の前記放送通信連携受信装置に送信する放送送信手段、として機能させるための放送送信プログラム。
【請求項４】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムにおいて、
前記通信回線で前記放送通信連携受信装置に配信されるアプリケーションの正真性を検証するために、コンピュータを、
前記放送送信装置から送信されたストリームを受信する放送受信手段、
この放送受信手段で受信した前記ストリームに含まれる放送信号を解析し、前記放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、前記アプリケーション起動情報と、を抽出する放送信号解析手段、
前記放送送信装置で生成された、前記アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得するアプリケーション起動情報取得手段、
このアプリケーション起動情報取得手段で取得された前記アプリケーション起動情報を記憶するアプリケーション起動情報記憶手段、
当該装置に固有のマスタ鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された個別情報から、前記暗号化された共通情報を復号するための第２暗号鍵を復号する個別情報復号手段、
前記個別情報復号手段で復号された前記第２暗号鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された共通情報から、前記アプリケーションの認証子を算出するための第１暗号鍵を復号する共通情報復号手段、
前記アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示すると共に当該アプリケーションの起動を制御するアプリケーション管理・実行制御手段、
このアプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得するアプリケーション取得手段、
このアプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、前記共通情報復号手段で復号された前記第１暗号鍵と、を用いて前記アプリケーションの認証子を算出する認証子算出手段、
この認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを対比して検証することによって、アプリケーションの正真性を検証するアプリケーション検証手段、
前記アプリケーション検証手段により、前記アプリケーションの正真性が確認されたという検証結果の入力を受け付けた前記アプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行するアプリケーション実行手段、として機能させるための放送通信連携受信プログラム。
【請求項５】
通信回線で放送通信連携受信装置に配信される、アプリケーション起動情報に記載のアプリケーションの正真性を放送送信装置と放送通信連携受信装置とが協働して検証し、当該検証結果に応じて、当該アプリケーションの起動を制御する放送通信連携システムであって、
前記放送送信装置は、
選択されたアプリケーションまたは当該アプリケーションのハッシュ値と、第１暗号鍵と、を用いて当該アプリケーションの認証子を算出する認証子算出手段と、
この認証子算出手段により算出された認証子を付加した、前記アプリケーションを起動するための情報であるアプリケーション起動情報を生成するアプリケーション起動情報生成手段と、
前記第１暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対する共通の情報である共通情報を、第２暗号鍵を用いて暗号化する共通情報暗号化手段と、
前記第２暗号鍵を含んだ、前記放送通信連携受信装置のそれぞれに対して個別に送信する個別情報を、前記放送通信連携受信装置のそれぞれに固有のマスタ鍵を用いて暗号化する個別情報暗号化手段と、
暗号化された前記共通情報と、暗号化された前記個別情報と、映像・音声コンテンツと、データ放送コンテンツと、を含めて多重化するか、またはさらに前記アプリケーション起動情報を多重化してストリームを生成する多重化手段と、
前記多重化手段で生成された前記ストリームを、複数の前記放送通信連携受信装置に送信する放送送信手段と、を備え、
前記放送通信連携受信装置は、
前記放送送信装置から送信されたストリームを受信する放送受信手段と、
この放送受信手段で受信した前記ストリームに含まれる放送信号を解析し、前記放送通信連携受信装置に対する共通の情報である、暗号化された共通情報と、当該装置に対する個別の情報である、暗号化された個別情報と、映像・音声コンテンツと、データ放送コンテンツと、前記アプリケーション起動情報と、を抽出する放送信号解析手段と、
前記放送送信装置で生成された、前記アプリケーションを起動するための情報であり、当該アプリケーションの認証子が付加されたアプリケーション起動情報を放送または通信で取得するアプリケーション起動情報取得手段と、
このアプリケーション起動情報取得手段で取得された前記アプリケーション起動情報を記憶するアプリケーション起動情報記憶手段と、
当該装置に固有のマスタ鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された個別情報から、前記暗号化された共通情報を復号するための第２暗号鍵を復号する個別情報復号手段と、
前記個別情報復号手段で復号された前記第２暗号鍵を用いて、前記放送信号解析手段で抽出された前記暗号化された共通情報から、前記アプリケーションの認証子を算出するための第１暗号鍵を復号する共通情報復号手段と、
前記アプリケーションの選択の入力を受け付け、当該アプリケーションの取得を指示すると共に当該アプリケーションの起動を制御するアプリケーション管理・実行制御手段と、
このアプリケーション管理・実行制御手段から指示されたアプリケーションを前記通信回線を介して取得するアプリケーション取得手段と、
このアプリケーション取得手段で取得されたアプリケーションまたは当該アプリケーションから算出したハッシュ値と、前記共通情報復号手段で復号された前記第１暗号鍵と、を用いて前記アプリケーションの認証子を算出する認証子算出手段と、
この認証子算出手段で算出された認証子と、前記アプリケーション起動情報記憶手段に記憶された前記アプリケーション起動情報に含まれる認証子と、が互いに一致するか否かを対比して検証することによって、アプリケーションの正真性を検証するアプリケーション検証手段と、
前記アプリケーション検証手段により、前記アプリケーションの正真性が確認されたという検証結果の入力を受け付けた前記アプリケーション管理・実行制御手段からの当該アプリケーションの実行指示により、当該アプリケーションを実行するアプリケーション実行手段と、を備える
ことを特徴とする放送通信連携システム。
【図１】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【図２】
【図３】
【図４】
【図５】
【図６】
【図７】
【公開番号】特開２０１３−９３６０（Ｐ２０１３−９３６０Ａ）
【公開日】平成２５年１月１０日（２０１３．１．１０）
【国際特許分類】
【出願番号】特願２０１２−１１４２２４（Ｐ２０１２−１１４２２４）
【出願日】平成２４年５月１８日（２０１２．５．１８）
【出願人】（０００００４３５２）日本放送協会 (2,206)
【Ｆターム（参考）】
【公開日】平成２５年１月１０日（２０１３．１．１０）
【国際特許分類】
【出願日】平成２４年５月１８日（２０１２．５．１８）
【出願人】（０００００４３５２）日本放送協会 (2,206)
【Ｆターム（参考）】
[ Back to top ]