BRPI9910796B1 - Método para controlar as funções de aplicações de televisão interativa executáveis em um sistema de televisão interativa, dispositivo em um sistema de televisão interativa - Google Patents

Description

Relatório Descritivo da Patente de Invenção para "MÉTODO PARA CONTROLAR AS FUNÇÕES DE APLICAÇÕES DE TELEVISÃO INTERATIVA EXECUTÁVEIS EM UM SISTEMA DE TELEVISÃO INTERATIVA, DISPOSITIVO EM UM SISTEMA DE TELEVISÃO INTERATIVA E SISTEMA DE TELEVISÃO INTERATIVA".

Histórico da Invenção Campo da Invenção A invenção refere-se a um sistema de televisão interativa e mais particularmente a meios para reforçar a segurança a respeito de aplicações de televisão interativa as quais podem acessar outros módulos ou executar alguma ação a qual é restrita.

Descrição da Técnica Relacionada Os sistemas de televisão interativa permitem que os aparelhos de televisão sejam utilizados para fornecer vários novos meios para fornecer serviços para os espectadores. Os sistemas de televisão interativa são capazes de apresentar texto e imagens gráficas em adição aos fluxos de programas de vídeo típicos. Os sistemas de televisão interativa são também capazes de registrar as ações ou as respostas do espectador. As características propostas da televisão interativa incluem uma variedade de capabilida-des de mercadologia, divertimento e educacional tais como permitir que o espectador interaja com os programas televisados pedindo produtos ou serviços anunciados, competindo contra participantes em um programa de jogos, ou solicitando informações especializadas a respeito de programas particulares.

Tipicamente, um provedor de serviço de transmissão gera um sinal de televisão interativa para transmissão para a televisão de um espectador. O sinal de televisão interativa inclui uma porção interativa que consiste em um código de aplicação ou de uma informação de controle, assim como de uma porção de áudio - vídeo que consiste em um programa de televisão. Como usado aqui, o termo "aplicações" geralmente refere-se a uma coleção orientada por tarefa de código ou dados, tal como é contido em uma aplicação de software de computador. O provedor de serviço de transmissão combina as porções de áudio - vídeo e interativa em um único sinal para a transmissão para um receptor conectado na televisão do usuário. O sinal é geralmente comprimido antes da transmissão e transmitido através dos ca- nais de transmissão típicos, tais como as linhas de televisão a cabo (CATV) ou os sistemas de transmissão direta por satélite. A funcionalidade interativa da televisão é controlada por uma caixa de coleta conectada na televisão. Um dispositivo recebe o sinal transmitido pelo provedor de serviço de transmissão, separa a porção interativa da porção de áudio - vídeo e descomprime as respectivas porções do sinal. A caixa de coleta utiliza as informações interativas, por exemplo, para executar uma aplicação enquanto as informações de áudio - vídeo são transmitidas para a televisão. A caixa de coleta pode combinar as informações de áudio - vídeo com um gráfico ou um áudio interativo gerados pela aplicação interativa antes de transmitir as informações para a televisão. O gráfico e o áudio interativos podem apresentar informações adicionais para o espectador ou pode preparar o espectador para a entrada. A caixa de coleta pode fornecer as entradas do espectador ou outras informações para o provedor de serviço de transmissão via uma conexão de modem.

Aplicação de televisão interativa é uma aplicação que inclui conteúdo interativo para uso em um sistema de televisão.

Aplicações de televisão interativa consistem em um ou mais módulos de programa.

Um módulo é tipicamente uma unidade de código de aplicação que pode ser combinado com outros módulos para formar uma aplicação completa ou programa..

Se a aplicação tiver mais de um módulo, o conjunto de módulos que formam a aplicação é tipicamente autocontido. Isto é, todos os códigos necessitados pela aplicação está naquele conjunto de módulos. O primeiro módulo é um módulo de diretório o qual identifica todos os módulos os quais fazem parte da aplicação. O conjunto inteiro de módulos, o qual está listado no módulo de diretório, é transmitido via o canal de transmissão para a caixa de coleta e a aplicação é executada. (O conjunto de módulos pode ser referido como um carrossel, como explicado abaixo.) Se uma primeira aplicação de televisão interativa completou a execução e uma segunda deve ser executada, o diretório e os outros módulos da segunda aplicação são transmitidos para a caixa de coleta e a segunda aplicação é executada. O conjunto de módulos inteiro utilizado pela segunda aplicação é transmitido apesar de que alguns dos módulos podem ser idênticos a módulos utilizados pela primeira aplicação.

Pode ser vantajoso projetar aplicações de software de um modo modular de modo que os módulos possam ser compartilhados entre as aplicações. As vantagens da modularidade podem incluir conservar a quantidade limitada de memória em uma caixa de coleta a qual pode ser utilizada para as aplicações interativas, reduzindo o tempo necessário para baixar as aplicações de uma estação de transmissão para uma caixa de coleta ou reduzindo a quantidade de códigos de aplicação os quais devem ser escritos permitindo que os módulos sejam compartilhados. Como os componentes de uma aplicação podem residir em diferentes carrosséis, seria desejável garantir a segurança dos respectivos módulos e conseqüentemente restringir o acesso a módulos autorizados.

Seria também vantajoso fornecer um mecanismo para permitir que as aplicações interajam umas com as outras em um modo controlado, mesmo quando elas não compartilham os módulos. Por exemplo, se uma aplicação transfere o controle para outra aplicação e a segunda aplicação cai, a primeira aplicação pode precisar terminar a segunda aplicação de modo a recuperar o controle. Seria portanto desejável fornecer um sistema o qual pode verificar os direitos de acesso da primeira aplicação e determinar se permitir que a primeira aplicação execute uma tal ação. Ainda, seria desejável implementar estas características em um modo que minimiza o so-brecusto associado com o sistema. WO 98 100972 propõe um sistema para transferência de pedidos de informação de assinante para provedores de serviço de informação, mas não permite realizar funções quando a aplicação da televisão interativa possui permissão para faze-lo sob verificação de credencial.

Sumário da Invenção A invenção compreende um sistema e um método para restringir ou controlar os direitos de acesso de aplicações de televisão interativa. ("Di- reitos de Acesso" é utilizado aqui para se referir ao direito de uma aplicação de compartilhar os módulos de programa, controlar outras aplicações, utilizar os recursos do sistema ou executar alguma outra ação.) Uma modalidade da invenção fornece um meio em um sistema de televisão interativa para verificar as credenciais de certas aplicações as quais tentam executar ações as quais podem afetar outras aplicações.

Como usado aqui, uma "credencial" é um pedaço de informação associado a uma aplicação particular ou um módulo que identifica a autoridade do módulo de aplicação para realizar certas funções. O sistema é implementado de modo a garantir a proteção, a segurança e a autoridade das respectivas aplicações com respeito a certas operações. O sistema utiliza uma credencial que consiste em várias peças de informações para identificar uma aplicação e os seus respectivos privilégios, direitos e restrições.

Em uma modalidade, a credencial contém um número de identificação do proprietário (ID) e uma ID de aplicação para a aplicação, uma data de vencimento, uma lista de direitos, um certificado do proprietário e uma assinatura. As IDs do proprietário e da aplicação unicamente identificam a aplicação. A lista de direitos identifica a capacidade da aplicação de exercer os direitos restritos, tais como acessar outros módulos da aplicação ou terminar a execução da outra aplicação. Os direitos restritos podem pertencer a qualquer operação executada pelas aplicações no sistema. A data de vencimento determina um limite do tempo além do qual a credencial não é mais válida. A credencial utiliza cifragem com chave pública (descrito em mais detalhes abaixo) para segurança. O certificado do proprietário é a chave pública do proprietário. A credencial inteira é assinada com a chave privada do proprietário de modo que a integridade da credencial possa ser verificada.

Utilizando as acima descritas cifragens com medida de segurança e data de vencimento, pode-se determinar se uma credencial é autêntica, e se for o caso, se ela continua válida.

Em uma modalidade, uma credencial pode ser utilizada para fornecer um mecanismo pelo qual uma primeira aplicação pode dar uma permissão para que uma segunda aplicação compartilhe o seu código ou execute uma ação com respeito à primeira aplicação. O proprietário da primeira aplicação tem uma ID a qual a identifica na credencial. Do mesmo modo, a segunda aplicação tem uma ID a qual está listada na credencial como a aplicação à qual está sendo dada a permissão. Os proprietários tanto da primeira quanto da segunda aplicação designaram IDs específicas para as aplicações, cada ID sendo única entre as aplicações daquele proprietário. O proprietário também tem a sua própria ID a qual é única entre os proprietários (produtores). Qualquer dada aplicação pode portanto ser identificada pelas suas IDs de proprietário e de aplicação. Assim, qualquer dada aplicação pode dar permissões particulares a uma aplicação específica possuída por um proprietário específico. As IDs do proprietário e da aplicação das aplicações podem ser substituídas por cartões chaves de modo que uma única aplicação possa dar certas permissões a um grupo de proprietários ou de aplicações.

Em uma modalidade, a credencial pode ser utilizada para controlar as ações de uma primeira aplicação a qual não afeta outras aplicações. Por exemplo, uma aplicação pode tentar acessar dados privados, res-tritor armazenados em uma caixa de coleta. A caixa de coleta pode ser configurada para permitir o acesso aos locais na memória que correspondem aos dados restritos somente quando apresentada com uma credencial válida que indica um direito para acessar os dados. Em outra modalidade, o sistema pode ser configurado para restringir o acesso a outros recursos de sistema tais como o percurso de retorno para a estação de transmissão. O sistema pode verificar a(s) credencial (ais) de uma aplicação antes dele iniciar a execução ou quando o acesso ao percurso de retorno é solicitado. O acesso é permitido se uma credencial válida indica uma permissão para utilizar o percurso de retorno. As credenciais podem ser utilizadas para controlar qualquer número de funções de uma aplicação e podem existir muitas variações na implementação do mecanismo o qual é utilizado para validar as credenciais.

Breve Descrição dos Desenhos Outros objetos e vantagens da invenção ficarão aparentes quando da leitura da descrição detalhada seguinte e quando da referência aos desenhos acompanhantes nos quais: Fig. 1 é um diagrama de blocos que ilustra a distribuição de a-plicações de televisão interativa e de programas de televisão de suas fontes para uma série de espectadores.

Fig. 2 é um diagrama de blocos de uma caixa de coleta utilizada em uma modalidade da invenção.

Fig. 3 é uma ilustração dos módulos componentes de um carrossel e da ordem de transmissão dos módulos em uma modalidade da invenção.

Fig. 4 é um diagrama de blocos que ilustra o modo no qual os dados que compreendem um módulo são empacotados em uma modalidade da invenção.

Fig. 5 é uma representação diagramática do sinal transmitido da estação de transmissão para uma estação de recepção em uma modalidade da invenção.

Fig. 6a é um diagrama de blocos que ilustram a estrutura de dados de uma credencial utilizada em uma modalidade da invenção.

Fig. 6b é um diagrama de blocos que ilustram a estrutura de dados de uma credencial utilizada em outra modalidade da invenção.

Enquanto a invenção é susceptível a várias modificações e formas alternativas, as suas modalidades específicas são mostradas como um exemplo nos desenhos e serão aqui descritas em detalhes. Deve ser compreendido, no entanto, que os desenhos a sua descrição detalhada não pretendem limitar a invenção na forma particular descrita, mas ao contrário, a intenção é de cobrir todas as modificações, equivalentes e alternativas que caiam dentro do espírito e do escopo da presente invenção como definido nas reivindicações anexas.

Descricão Detalhada da Modalidade Preferida Uma modalidade da invenção é descrita abaixo. Nesta modali- dade, um receptor de televisão interativa aceita um sinal interativo de áudio - vídeo via um canal de transmissão tal como uma transmissão por satélite direta. (Transmissão por satélite "direta" como utilizado aqui contempla as transmissões recebidas pelo receptor de televisão interativa, mais particularmente pela sua antena, diretamente do satélite.) O sinal interativo de áudio - vídeo contém os programas de televisão ou um conteúdo de áudio -vídeo similar, assim como um conteúdo interativo tal como os sinais de controle ou as aplicações interativas. ("Transmissão" é utilizado aqui para se referir à transmissão de um único sinal para todos os receptores assinantes.) O receptor de televisão interativa também está configurado para receber sinais interativos de áudio - vídeo via um canal de não transmissão tal como um modem. O receptor de televisão interativa está configurado para separar o conteúdo de áudio - vídeo do conteúdo interativo do sinal interativo de áudio - vídeo. O conteúdo de áudio - vídeo é processado para apresentação como um programa de televisão, enquanto que o conteúdo interativo é processado para execução pelo receptor. O conteúdo interativo pode permitir que o receptor execute uma variedade de funções, incluindo gerar um áudio ou um gráfico os quais são combinados com o programa de televisão para apresentação. Se o conteúdo interativo compreende uma aplicação, a aplicação pode consistir de diversos subcomponentes, ou módulos. Os módulos podem conter qualquer tipo de dados, tal como um código de aplicação, dados brutos ou informações gráficas.

Os módulos os quais formam a aplicação interativa usualmente pertencem a um único conjunto de módulos referidos como um carrossel. Um carrossel pode geralmente ser definido como um conjunto de módulos os quais são possuídos pelo mesmo proprietário e tem o direito de acessar uns aos outros. Os módulos são referidos como um carrossel porque eles são tipicamente transmitidos para o receptor de televisão interativa em um modo cíclico. Uma aplicação é um carrossel o qual contém um programa de "nível superior".

Pode ser desejável permitir que uma aplicação acesse os módulos de outro carrossel (para o compartilhamento de dados, transferir controle de aplicações ou outros propósitos). Uma aplicação ou módulo de um carrossel pode interagir com os módulos de outro carrossel ou com o sistema de televisão interativa pelo emprego de "credenciais". As credenciais são conjuntos de dados os quais podem ser utilizados para identificar e verificar os privilégios e as limitações de módulos particulares. Os privilégios e as limitações podem se relacionar a se o módulo está autorizado a interagir com os outros módulos ou executar alguma ação a qual é de outro modo restrita, tal como acessar áreas restritas da memória. As credenciais pode utilizar cartões chaves para dar privilégios a um número de módulos sem ter que manter uma lista de todos os módulos envolvidos.

Em uma concretização, o ato de verificar as credenciais em uma aplicação ou módulo pode envolver a aplicação ou módulo apresentando a informação de credencial para um dispositivo ou um sistema de televisão interativa que é configurado para comparar o conteúdo da credencial apresentada com o conteúdo de uma aplicação ou carrossel visada as credenciais correspondem ao esperado ou requerido, as credenciais são "verificadas" (e à aplicação ou módulo é concedida permissão) para realizar alguma ação ou função correspondente à informação credencial. Em tal caso, a informação credencial indica permissão para realizar uma ação correspondente. Alternativamente, o ato de verificações credenciais podem envolver checagem se uma aplicação ou módulo possuir um requerido pedaço de informação. Se a aplicação ou módulo possui o requerido pedaço de informação, a aplicação é capaz de pegar uma ação correspondente ao pedaço de informação.

Referindo à Fig. 1, um diagrama de blocos que ilustra distribuição de aplicações de televisão interativa e de programas de televisão das suas fontes para uma série de espectadores é mostrado. A estação de transmissão 10 tem diversas fontes de programa 11. Estas fontes podem incluir alimentações de rede de transmissão remota, gravadores de fitas de vídeo, computadores, dispositivos de armazenagem de dados, e o equivalente. As fontes 11 podem fornecer informações interativas ou de controle, informações de áudio e/ou informações de vídeo as quais devem ser incluídas no sinal de televisão interativa. As informações fornecidas pelas fontes 11 são tipicamente comprimidas por unidades de compressão 12 de modo a conservar a largura de banda. Qualquer um de um número de algoritmo de compressão, tal como um dos padrões de compressão do Motion Pictures Expert Group (MPEG), pode ser utilizado. A escolha de um algoritmo de compressão apropriado dependerá do tipo de informações a serem comprimidas e do meio de transmissão, entre outras coisas. Marcadores de tempo também podem ser adicionados para, por exemplo, sincronizar os sinais de áudio e de vídeo associados. Algumas informações podem não ser facilmente ou efetivamente comprimidas, assim algumas das informações podem ser rateadas diretamente da fonte para a unidade de empacotamento 13 sem comprimir as informações. As unidades de empacotamento 13 aceitam as informações comprimidas (ou não comprimidas) e as formatam em pacotes para a transmissão sobre o canal de transmissão. O empacotamento das informações será descrito em mais detalhe abaixo. Os pacotes são alimentados para as unidades de multiplexação 14, a qual mistura os pacotes antes da transmissão. Os pacotes misturados são então transmitidos para as estações de recepção 20. (Apesar de que somente uma estação de recepção está mostrada na figura, é contemplado que o sinal interativo de áudio - vídeo é transmitido para um grupo de estações de recepção assinantes.) Na figura, o sinal interativo de áudio - vídeo é mostrado como sendo transmitido via uma antena de transmissão por satélite 15. O sinal de transmissão redirecionado pelo satélite de comunicação 18 e recebido pela estação de recepção 20. Apesar da figura ilustrar uma transmissão por satélite, é contemplado que qualquer meio de transmissão (por exemplo, uma transmissão de CATV ou direta por satélite) pode ser utilizado. (Deve ser notado que modalidades alternativas da invenção podem ser implementadas utilizando um sistema de distribuição de ponto a ponto ou de outros tipos.) A estação de recepção 20 é contemplada ser uma de um número de tais estações as quais são assinantes da estação de transmissão de operação 10 do provedor de serviço de transmissão. O sinal de transmissão é recebido pela antena de recepção 21 e alimentado para o receptor 22, o qual nesta modalidade é contemplado ser uma caixa de coleta. A caixa de coleta 22 processa o sinal empacotado para reconstruir os programas de televisão e as aplicações interativas incorporados no sinal. As aplicações reconstruídas são executadas na caixa de coleta, enquanto que os programas de televisão reconstruídos são passados para a televisão, aonde eles são apresentados. As aplicações interativas podem gerar gráficos ou um áudio os quais são combinados com o programa de televisão antes de serem apresentados.

Em adição ao canal de transmissão entre a estação de transmissão e a estação de recepção, podem existir outros canais, tal como um canal de modem (o qual também pode ser referido como um canal de http, ou de protocolo de transferência de hipertexto). Estes tipos de canais servem a duas funções no sistema: eles permitem que a caixa de coleta forneça um retorno para a estação de transmissão; e eles fornecem um percurso alternativo para que os programas e as aplicações das fontes 12 sejam fornecidos para a estação de recepção 20.

Referindo à Fig. 2, um diagrama de blocos de uma caixa de coleta 22 é mostrado. O sinal de transmissão é recebido e alimentado para dentro do sintonizador 31. O sintonizador 31 seleciona o canal sobre o qual o sinal interativo de áudio - vídeo transmitido é transmitido e passa o sinal para a unidade de processamento 32. (O sintonizador 31 pode ser substituído por outros meios, todos referidos coletivamente aqui como portas de entrada, para receber os sinais de várias fontes de sinal.) A unidade de processamento 32 demultiplexa os pacotes do sinal transmitido se necessário e reconstrói os programas de televisão e/ou as aplicações interativas incorporados no sinal. Os programas e as aplicações são então descomprimidos pela unidade de descompressão 33. As informações de áudio e vídeo associadas com os programas de televisão incorporados no sinal são então transportadas para a unidade de apresentação 34, a qual pode executar um processamento e uma conversão adicional das informações em um formato de televisão adequado, tal como o NTSC ou o áudio / vídeo HDTV. As aplicações reconstruídas do sinal transmitido são rateadas para a memória de acesso randômico (RAM) 37 e são executadas pela unidade de controle 35. A unidade de controle 35 pode incluir um microprocessador, um microcontrolador, um processador de sinal digital (DSP), ou algum outro tipo de dispositivo de processamento de instruções de software. A RAM 37 pode incluir unidades de memória as quais são estáticas (por exemplo, SRAM), dinâmicas (por exemplo, DRAM), voláteis ou não voláteis (por exemplo, FLASH), conforme necessário para apoiar as funções da caixa de coleta. Quando a energia é aplicada na caixa de coleta, a unidade de controle 35 executa um código de sistema de operação o qual é armazenado na ROM 36. O código de sistema de operação executa continuamente enquanto a caixa de coleta é alimentada do mesmo modo que o código de sistema de operação de um computador pessoal (PC) típico e permite que a caixa de coleta atue sobre as informações de controle e execute as aplicações interativas e outras. A caixa de coleta também inclui um modem 38. O modem 38 fornece tanto um percurso de retorno pelo qual os dados do espectador podem ser transmitidos para a estação de transmissão quanto um percurso alternativo pelo qual a estação de transmissão pode transmitir dados para a caixa de coleta.

Apesar do termo "caixa de coleta" ser utilizado aqui, é compreendido que este termo se refere a qualquer receptor ou unidade de processamento para receber e processar um sinal transmitido e transportar o sinal processado para uma televisão ou outro monitor. A caixa de coleta pode estar em um alojamento o qual fisicamente fica acima de uma televisão, ela pode estar em algum outro local externo à televisão (por exemplo, no lado ou atrás da televisão ou localizada remotamente da televisão), ou ela pode estar incorporada na própria televisão. A caixa de coleta 22 serve para desmodular o sinal recebido da estação de transmissão 10 e para separar os componentes do sinal, tal como os diferentes programas de televisão e as aplicações interativas. Similarmente, a televisão 23 pode ser uma televisão ou um monitor de vídeo que emprega qualquer formato de televisão a-dequado (por exemplo, NTSC ou HDTV), ou ela pode ser substituída por outros dispositivos, tal como um gravador de vídeo. A estação de recepção está conectada operativamente na estação de transmissão por um canal de transmissão. Este canal de transmissão poderia utilizar vários meios de transmissão e é contemplado incluir os meios tais como o cabo coaxial ou o espaço livre (por exemplo, como utilizado para as transmissões diretas por satélite). O canal de transmissão forma um percurso de transmissão entre a estação de transmissão e a estação de recepção. A estação de transmissão e a estação de recepção também são conectadas por um percurso de retorno. O percurso de retorno tipicamente consiste em um par de modems, um na estação de recepção e um na estação de transmissão, cada um conectado a uma linha telefônica padrão. Outros meios para estabelecer um percurso de retorno, por exemplo, utilizando uma porção da largura de banda do percurso de transmissão, são também contemplados.

Referindo à Fig. 3, uma aplicação ou carrossel consiste em uma série de módulos, um dos quais é um módulo de diretório. O módulo de diretório tem um identificador único de modo que ele pode ser identificado durante a transmissão sem informações adicionais. O módulo de diretório contém uma entrada para cada um dos módulos na aplicação e qualquer módulo o qual não tenha uma entrada correspondente no módulo de diretório não é reconhecido pela aplicação. O módulo de diretório contém informações suficientes para permitir que o receptor de televisão interativa acesse todas as partes (isto é, módulos) da aplicação os quais podem ser necessários para a execução do programa. O módulo de diretório deve ser acessado antes dos outros módulos da aplicação de modo que o restante dos módulos possam ser apropriadamente interpretados. O módulo de diretório pode ser transmitido diversas vezes durante o ciclo no qual os módulos da aplicação são transmitidos de modo a garantir que ele esteja disponível para um acesso essencialmente randômico para os outros módulos.

Os módulos de diretório de todas as aplicações têm um formato comum. O formato consiste em três partes: uma porção tendo componentes de comprimento fixo; uma porção tendo componentes de comprimento variável; e uma porção tendo informações de certificação. A porção de comprimento fixo contém dados da aplicação e cada um dos módulos na aplicação. A porção de comprimento variável contém dados em cadeia sobre os nomes dos módulos e a miscelânea dos módulos. A porção de certificação contém o certificado do proprietário e a assinatura do diretório.

Em uma modalidade, uma aplicação inclui pelo menos um módulo o qual é carregado e executado automaticamente. Outros módulos que contêm dados ou códigos adicionais podem não ser necessários imediatamente, de modo que eles podem ser carregados após a execução da aplicação iniciar. O carregamento destes módulos podem estar sujeitos a restrições de temporização, no entanto, de modo que o sistema de televisão interativa está configurado para levar estas restrições em conta e fornecer os módulos de um modo temporizado. Se necessário, um destes módulos pode ser multiplexado com outros módulos ou dados para ter certeza que ele será recebido quando necessário.

Referindo à Fig. 4, cada um dos módulos 51 tem um segmento de dados 52 e um segmento de CRC 53. O segmento de dados 52 do módulo de diretório está descrito acima. O segmento de dados 52 do restante dos módulos pode conter qualquer tipo de dados, tais como o código de aplicação ou os dados brutos. O segmento de CRC 53 de cada um dos módulos é utilizado para o controle de erros e é computado para o módulo 51 inteiro. Cada um dos módulos 51 tem um único identificador.

Antes dos módulos 51 serem transmitidos, eles são formatados em unidades de transmissão 54. Para os propósitos de discussão, os itens referenciados pelo mesmo número mas por letras diferentes (por exemplo, 54a, 54b, 54c) serão coletivamente referidos pelo número somente (por e-xemplo, 54). Cada uma das unidades de transmissão 54 contém as informações de cabeçalho 55, as quais unicamente identificam aquela unidade de transmissão 54 por entre a cadeia de unidades de transmissão, e os dados 56 os quais compreendem uma porção do módulo que está sendo transmitido. O cabeçalho 55 contém informações tais como a ID do módulo, o atraso e o tamanho do módulo, o que permite que as unidades de transmissão 54 sejam reconstruídas em um módulo completo 51. As unidades de transmissão 54 que compreendem um módulo particular 51 podem ser mescladas com outras unidades de transmissão 54 em uma cadeia de transmissão. A última unidade de transmissão 54 para um módulo 51 carrega o CRC 53. O formato das unidades de transmissão 54 é dependente do meio de transmissão, mas tipicamente emprega uma série de pacotes de comprimento fixo (o último pacote pode ser conformado para obter o comprimento apropriado). O primeiro pacote 58 na série carrega as informações de cabeçalho para a unidade de transmissão 54. O pacote de cabeçalho 58 é um pacote especial o qual pode gerar uma interrupção na CPU e o qual contém as informações para permitir que a CPU determine se o módulo 51 deve ser decodificado e aonde ele deve ser armazenado na memória. O pacote de cabeçalho 58 em uma transmissão direta por satélite utiliza um pacote de tipo auxiliar o qual pode gerar uma interrupção. O restante dos pacotes 58 em uma transmissão direta por satélite utiliza um pacote de tipo básico o qual simplesmente carrega os dados da unidade de transmissão. A transmissão interativa de áudio - vídeo da estação de transmissão para o receptor de televisão interativa compreende uma série de unidades de transmissão. As unidades de transmissão as quais formam um dado módulo são tipicamente multiplexadas no tempo com outras informações. Estas informações podem consistir de unidades de transmissão de outro módulo ou de áudio ou de vídeo comprimidos. As unidades de transmissão as quais são recebidas pelo receptor de televisão interativa são reconstruídas nos seus respectivos módulos de aplicação.

Referindo à Fig. 5, uma representação diagramática do sinal transmitido de uma estação de transmissão 10 para a estação de recepção 20 é mostrado. Os pacotes de diversas fontes de programas podem ser multiplexadas em uma única cadeia de transmissão se necessário. Estes pacotes podem conter dados para várias aplicações ou programas de televisão. A corrente de transmissão ilustrada inclui os pacotes de áudio (A) e de vídeo (V) de um programa de televisão, assim como os pacotes de dois módulos de aplicação interativa (M1, M2). Os pacotes são formatados como explicado acima para permitir a reconstrução dos pacotes nos respectivos programas e módulos. Deve ser notado que diversos módulos podem ser simultaneamente transmitidos pela combinação de seus pacotes no sinal de transmissão. A figura ilustra a multiplexação no tempo dos pacotes dos módulos e o programa de televisão. Os módulos não necessitam pertencer ao mesmo carrossel para serem transmitidos juntos. Pode ser visto da figura que existem tipicamente mais pacotes de dados de vídeo para um programa de televisão particular do que de dados de áudio para aquele programa como um resultado da maior quantidade de dados de vídeo os quais tipicamente devem ser transmitidos. O sinal de transmissão é recebido pela caixa de coleta 22. A caixa de coleta 22 também pode ter uma conexão de modem para receber um sinal de http. A caixa de coleta 22 é contemplada incluir uma unidade de gerenciamento de módulo a qual está configurada para detectar os pacotes que correspondem aos módulos os quais são necessários para a execução de uma aplicação de televisão interativa. Os módulos não são necessariamente solicitados a iniciar a execução da respectiva aplicação, mas podem ser solicitados pela aplicação após ela iniciar a execução. A caixa de coleta 22 demultiplexa os pacotes, separando os pacotes que contêm os dados de módulo dos pacotes que contêm o áudio e o vídeo para os programas de televisão. A unidade de gerenciamento de módulo detecta os pacotes de módulos e determina se estes pacotes correspondem aos módulos necessitados pela aplicação em execução. A caixa de coleta então reconstrói os módulos dos pacotes correspondentes e recons-trói os programas de televisão dos pacotes que contêm os dados de áudio e de vídeo associados. Como explicado acima, os módulos são armazenados na RAM 37, aonde eles ficam disponíveis para utilização pelas aplicações que estão sendo executadas na unidade de controle 35.

Os módulos dentro de um dado carrossel são geralmente criados por um único proprietário o qual pretende que os módulos tenham a-cesso uns aos outros. Se existe uma necessidade de que um dos módulos execute alguma ação com respeito a outro dos módulos, é assumido que o primeiro módulo tem as permissões apropriadas. Se devessem existir restrições sobre as ações do primeiro módulo, é responsabilidade do programador reforçar estas restrições. Não existe tipicamente uma necessidade de um mecanismo de segurança para restringir o acesso entre estes módulos. Como ressaltado acima, no entanto, as aplicações podem ser projetadas para interagirem com os módulos os quais pertençam a outros carrosséis, ou elas podem ser projetadas para executar alguma ação a qual não é permitida ser executada por todos os módulos. É, portanto, desejável implementar um dispositivo de segurança o qual controla, para propósitos tais como a segurança do sistema e da aplicação, se os módulos de um carrossel são permitidos executar as operações restritas. (Embora os módulos possam realmente executar as operações restritas, os direitos de acesso são realmente concedidos em uma base por carrossel, de modo que a descrição seguinte se relaciona à concessão de direitos para os carrosséis.) Um módulo pode obter uma permissão para executar uma operação restrita por meio de uma credencial. Uma credencial é uma coleção de informações as quais tipicamente identificam o carrossel e podem ser tomadas como uma prova da autorização do módulo para executar a operação restrita. A operação restrita pode ser qualquer uma das operações executadas pelas aplicações no sistema de televisão interativa. Por exemplo, a operação pode ser uma na qual uma operação suspende ou encerra a execução de outra aplicação, esconde ou mostra a apresentação gerada por outra aplicação ou envia mensagens para a outra aplicação. Estes exemplos pretendem somente ilustrar alguns dos direitos os quais podem ser concedidos, e não pretendem ser uma lista exaustiva.

Em uma modalidade, o proprietário de um carrossel pode criar uma credencial a qual pretende permitir que as aplicações selecionadas iniciem ou encerrem a execução da aplicação armazenada no carrossel. Por exemplo, o carrossel pode compreender uma aplicação de comércio eletrônico a qual permite que os usuários da televisão interativa façam compras via transações de cartão de crédito. Certas aplicações de compras em linha podem ser autorizadas para iniciar a aplicação de transação de cartão de crédito de modo a fazer as compras. Estas mesmas aplicações, ou possivelmente um conjunto diferente de aplicações, podem ser autorizadas para encerrar a aplicação de transação de cartão de crédito se ela cai ou não pode completar a transação. As aplicações as quais iniciaram a aplicação de cartão de crédito poderíam, por meio disto, recuperar o controle e continuar a execução apesar da incapacidade de completar a transação de cartão de crédito.

Neste exemplo, o proprietário da aplicação de cartão de crédito cria a credencial e distribui a credencial para os outros proprietários que ele ou ela deseja ter acesso à aplicação de cartão de crédito (por exemplo, a-queles que licenciaram a utilização da aplicação). A credencial pode ser criada por meios seguros de modo que ela pode ser determinada no momento de execução se a credencial foi realmente criada pelo proprietário da aplicação de cartão de crédito (o qual pode ser referido como o "carrossel do concedente"). Por exemplo, a credencial pode incorporar um certificado para permitir a autenticação da credencial. Os proprietários para quem a credencial é distribuída podem incorporar a credencial nos seus próprios carrosséis (os quais podem ser referidos como os "carrosséis dos concedidos") os quais podem precisar iniciar / encerrar a aplicação de cartão de crédito. É contemplado que a credencial pode ser fornecida para o sistema separadamente da(s) aplicação(ões) com a(s) qual(is) ela está associada. A credencial pode ser armazenada no sistema de modo que as informações incorporadas nela estejam disponíveis quando da recepção ou da execução da aplicação.

Deve ser notado que a credencial é diferente de um certificado, o qual é normalmente utilizado simplesmente para autenticar a própria validade de uma aplicação e para identificar o proprietário da aplicação. O sistema pode implicar em certos direitos e/ou limitações os quais são associados com o proprietário da aplicação (por exemplo, somente certos proprietários podem ser permitidos criar as aplicações as quais utilizam o modem).

Em uma modalidade, certas aplicações podem ser permitidas serem executadas ao mesmo tempo enquanto outras são proibidas de fazer assim. Uma credencial pode ser utilizada para controlar a execução simultânea das aplicações. A credencial pode conter dados que indicam uma ou mais aplicações as quais são permitidas serem executadas ao mesmo tem- po que uma primeira aplicação. Se a primeira aplicação está sendo executada, uma tentativa para executar uma segunda aplicação pode fazer com que o sistema verifique a credencial apropriada para determinar se a segunda aplicação é permitida ser executada ao mesmo tempo. Se a credencial indica que a segunda aplicação é permitida ser executada simultaneamente, a segunda aplicação será iniciada. Se não, a segunda aplicação não será iniciada. Em outra modalidade, a credencial pode conter dados indicando uma ou mais aplicações as quais não estão permitidas serem executadas ao mesmo tempo que a primeira aplicação. Neste caso, uma tentativa para executar a segunda aplicação faria com que o sistema verificasse a credencial apropriada para determinar se a segunda aplicação está proibida de ser executada simultaneamente. A iniciação da segunda aplicação seria então permitida ou proibida, com base nos dados contidos na credencial.

Em uma modalidade, a credencial é apresentada pelo carrossel do concedido para o sistema de televisão interativa para verificar se é permitido iniciar, encerrar a aplicação de cartão de crédito. O sistema permite que esta ação seja tomada quando da verificação da credencial e do direito correspondente de iniciar / encerrar a aplicação. O sistema de televisão interativa verifica a credencial pela comparação das IDs do proprietário e da aplicação especificada na credencial para o cartão de crédito e os carrosséis dos concedidos. O sistema também verifica se a credencial não está vencida, como determinado por uma data de vencimento na credencial. É contemplado que a verificação das credenciais pode ser executada ou anterior ou subseqüente à execução da aplicação a qual solicitará o acesso a outros carrosséis. Em outras modalidades, as credenciais podem ser transmitidas para o sistema separadamente da aplicação. Por exemplo, uma caixa de coleta pode ser periodicamente carregada com um conjunto de credenciais as quais controlam os acessos e as operações restritas para todas as aplicações executadas na caixa de coleta.

Em outra modalidade, a ação restrita pode não envolver a interação com outro carrossel ou aplicação. A ação restrita pode ao contrário envolver funções tais como a utilização de recursos do sistema. Por exem- pio, certas aplicações podem ser permitidas acessar as porções restritas da memória na caixa de coleta ou transmitir dados para a estação de transmissão via o percurso de retorno. Neste caso, a credencial pode ser criada pelo provedor de serviço de transmissão ou pelo proprietário do sistema de televisão interativa. A credencial pode ser distribuída para os proprietários de aplicações para os quais o acesso aos recursos de sistema restritos é autorizado. Quando da execução, a credencial é apresentada para o sistema de televisão interativa e o acesso aos recursos apropriados é permitido.

Antes que a estrutura da credencial seja descrita, deve ser notado que existe uma variedade de sistemas de segurança os quais utilizam as cifragens com "chave pública". Os sistemas cifrados com chave pública podem empregar vários algoritmos de cifragem. Uma modalidade utiliza os algoritmos RSA (Rivest, Shamir & Adleman) e DES (Padrão de Cifragem de Dados). As cifragens com chave pública utilizam um par de chaves de cifragem, uma das quais é denominada uma chave privada e uma das quais é chamada de uma chave pública. A chave privada é mantida secreta por seu proprietário, enquanto que a chave pública é tornada livremente disponível. Uma mensagem ou outro arquivo o qual está cifrado com a chave pública pode somente ser decifrado com a chave pública. Do mesmo modo, um arquivo o qual está cifrado com a chave privada pode somente ser decifrado com a chave privada. Quando uma mensagem é cifrada com uma das chaves, ela é convertida em um conjunto de caracteres aparentemente randô-mico. Assim, quando uma mensagem cifrada com uma chave pública é enviada para o detentor da chave privada, o remetente pode estar garantido que, mesmo se a mensagem for interceptada, somente o receptor pretendido (que detém a chave privada) pode decifrá-la e ler a mensagem. Quando uma mensagem é assinada, ao invés de cifrada, a mensagem permanece em uma forma legível, mas uma assinatura cifrada é anexada à mensagem. Apesar de que qualquer um que veja a mensagem pode lê-la, a assinatura pode ser utilizada para verificar que a mensagem se originou com o detentor da chave privada. Ainda, devido ao algoritmo o qual cifra a assinatura ser dependente em parte da mensagem a qual precede a assinatura, quaisquer mudanças na mensagem fará com que a assinatura seja inverificável. A assinatura pode, portanto, ser utilizada para garantir que a mensagem seja inalterada.

Referindo à Fig. 6a, um diagrama que ilustra uma estrutura de dados de credencial simples 60 é mostrada. Esta credencial e a credencial mostrada na Fig. 6b podem ser utilizadas para acessos entre os carrosséis assim como para outros acessos restritos. Deve ser notado que, apesar de a descrição seguinte focalizar os acessos inter-carrossel, estas credenciais podem ser utilizadas para identificar qualquer tipo ou combinação de restrições e que os exemplos são ilustrativos ao invés de limitantes. A credencial 60 inclui as informações do carrossel do conceden-te, as informações do carrossel do concedido, uma data de vencimento e um certificado do proprietário. A credencial é assinada para permitir a verificação de sua autenticidade. As informações do concedente incluem a ID do proprietário 61 e a ID do carrossel 62 para o carrossel do concedente. Do mesmo modo, as informações do concedido incluem a ID do proprietário 63 e a ID do carrossel 64 para o carrossel do concedido. A data de vencimento 65 pode ser incluída na credencial para limitar o período para o qual a credencial é válida. A credencial ilustrada também inclui os dados de permissão 68. Estes dados identificam as permissões as quais o carrossel do concedido tem a respeito de acessar os recursos restritos ou de executar outras operações restritas. Os dados de permissão 68 consistem em quaisquer tipos de dados adequados para identificar as permissões do carrossel. Em uma modalidade, os dados de permissão 68 podem compreender bits individuais os quais afirmam ou negam permissões particulares que correspondem a posições predefinidas dos bits, enquanto que em outra modalidade, eles podem compreender uma pluralidade de bytes que identificam explicitamente as permissões particulares. Deve ser notado que estes dados podem ser utilizados para identificar quaisquer direitos ou restrições associados com o carrossel e não estão limitados às restrições de acesso aos recursos. A credencial contém um certificado do proprietário 66. O certifi- cado do proprietário 66 é utilizado para autenticar a credencial e garantir que ela foi criada pelo proprietário. O certificado do proprietário 66 compreende a chave pública do proprietário, assinada por alguma parte confiável. (Uma parte confiável é alguém que pode atestar a autenticidade da chave. A assinatura da parte confiável é cifrada e incorporada na chave.) A chave da parte confiável é bem conhecida. Isto é, ela está armazenada no sistema e está sempre disponível para o sistema. A credencial 60 inteira é então assinada 67 com a chave privada do proprietário para garantir que nenhum dos dados na credencial 60 pode ser modificado. Um tipo similar de credencial pode ser utilizado pelo provedor de serviço de transmissão para permitir que as estações de recepção controlem as funções dos módulos fornecidos pelo provedor de serviço de transmissão. É aparente que a utilização de uma única credencial para cada instância de uma aplicação que requeira acesso a um carrossel pode resultar em um número de credenciais muito grande as quais podem precisar ser mantidas por um carrossel do concedido. Se um carrossel pode requerer acesso a muitos outros carrosséis de outros proprietários, uma credencial seria necessária para cada um destes carrosséis. Criar e manter um tal grande número de credenciais também poderia criar uma necessidade para um grande número de coordenações entre os proprietários. O sistema de credenciamento pode, portanto, criar um sobrecusto substancial o qual pode superar os benefícios de segurança os quais ele fornece.

Em uma modalidade, este problema é resolvido permitindo que uma credencial liste um número de aplicações concedidas (pela ID do proprietário e pela ID da aplicação) e uma ou mais aplicações do concedente. Por exemplo, como mostrado na Fig. 6b, uma credencial 70 pode incluir um único ID do proprietário do concedente 71, uma data de vencimento 72 e dados de permissão 78. A credencial 70 pode então listar diversas séries de IDs 73a-73c, cada série tendo uma ID de aplicação do concedente 74, uma ID de proprietário do concedido 75 e uma ID de aplicação do concedido 76. Cada uma da série de informações assim identifica uma aplicação do concedente / carrossel possuída pelo proprietário do concedente e uma aplica- ção a qual está autorizada para acessar a aplicação do concedente identificada. A aplicação do concedido é, como descrito acima, identificada pela ID do proprietário do concedente 75 e por uma ID de aplicação do concedido 76. A credencial 70 contém um certificado de proprietário assinado 77 para propósitos de autenticação e a credencial 70 inteira é assinada 79 do mesmo modo que a credencial anteriormente descrita.

Uma modalidade emprega os cartões chaves para reduzir adicionalmente o número em potencial de credenciais as quais devem ser mantidas para um dado carrossel. As IDs do proprietário ou da aplicação do concedido ou a ID da aplicação do carrossel do concedente podem ser substituídas por cartões chaves. Os cartões chaves são IDs específicas as quais foram predefinidas como cartões chaves. Por exemplo, uma ID tendo todos os zeros ou todos uns pode ser definida como um cartão chave. Quando uma credencial é apresentada ao sistema para verificação, um cartão chave é considerado coincidir identicamente com todas as IDs com as quais ela é comparada. Nesta modalidade, a ID do proprietário do concedente não pode ser um cartão chave porque o sistema deve ser capaz de verificar que o concedente foi realmente o proprietário da credencial. Se a ID da aplicação do concedente for um cartão chave, então o concedido especificado pode acessar todos os carrosséis do proprietário do concedente. Se a ID de aplicação do concedido for um cartão chave, qualquer carrossel do concedido (proprietário) especificado pode acessar o(s) carrossel(is) do concedente especificado(s). Se tanto a ID do proprietário do concedido quanto a ID de aplicação do concedido forem cartões chaves, qualquer carrossel pode acessar o carrossel do concedente especificado. Os cartões chaves podem ser utilizados com qualquer uma das credenciais descritas acima (isto é, a credencial do único concedente, do único concedido ou a credencial dos múltiplos concedentes / concedidos).

Enquanto a modalidade descrita acima utiliza as credenciais no nível do carrossel, é contemplado que modalidades alternativas podem implementar as credenciais ou outras medidas de segurança no nível do módulo. Medidas de segurança alternativas podem incluir a cifragem dos mó- dulos, executar uma função de miscelânea sobre os módulos e incluir o valor da miscelânea no módulo de diretório correspondente ou o equivalente. O credenciamento ou outra segurança no módulo de diretório seria tipicamente implementado após a inserção de, por exemplo, os valores de miscelânea dos outros módulos no módulo de diretório. É contemplado que os sistema de cifragem similares àqueles descritos acima para os acessos entre os carrosséis também podem ser empregados para propósitos de verificação da autenticidade dos carrosséis ou dos módulos recebidos por uma caixa de coleta. Um carrossel (ou mais particularmente o seu módulo de diretório) pode conter um certificado cifrado com a chave privada do proprietário. A caixa de coleta, tendo uma cópia da chave pública do proprietário, pode verificar que o carrossel veio do proprietário decifrando o certificado utilizando a chave pública. A utilização de funções de miscelânea como descrito acima também pode ser empregada para garantir a autenticidade dos módulos não diretórios.

Ainda, é contemplado que o sistema de credenciais descrito a-cima pode ser estendido para a execução de aplicações em ambientes outros que a televisão interativa. Por exemplo, o sistema pode ser implementado em um computador de mesa de uso geral para controlar a execução de aplicações nele. Tais modalidades alternativas poderíam operar do mesmo modo como descrito acima, embora meios para o fornecimento das aplicações e as credenciais para o sistema devessem ser adaptados para se adequar ao ambiente particular, e a saída das aplicações podería não ser interativa ou adequada para apresentação em uma televisão.

Os detalhes das modalidades particulares descritas acima podem ser modificados sem se afastar do espírito e do escopo da invenção como definido nas reivindicações anexas. As modalidades descritas acima são conseqüentemente pretendidas serem exemplares ao invés de limitan-tes. É contemplado que várias modificações e modalidades alternativas ficarão aparentes para aqueles versados na técnica da invenção.

Claims (23)

1. Método para controlar as funções de aplicações de televisão interativa executáveis em um sistema de televisão interativa (10,20), o método caracterizado pelo fato de que compreende as etapas de: carregar uma aplicação de televisão interativa executável no sistema de televisão interativa, a aplicação tendo uma credencial (60, 70) associada com ela, a credencial incluindo informações (68,78) que identificam uma ou mais funções que podem ser realizadas pela aplicação; verificar a credencial; a aplicação de televisão interativa tentando executar as uma ou mais funções; e permitir que a aplicação de televisão interativa execute uma ou mais funções se as informações indicam uma permissão para executar as uma ou mais funções.

2. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que ainda compreende armazenar as informações se a credencial (60,70) for válida.

3. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que a credencial (60,70) contém uma data de vencimento (65,72) e em que a etapa de verificar a credencial (60,70) compreende ainda determinar se a data de vencimento (65,72) passou.

4. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que as informações compreendem uma ID do proprietário (61) e uma ID da aplicação (62) identificando a aplicação de televisão interativa.

5. Método, de acordo com a reivindicação 4, caracterizado pelo fato de que uma ou mais da ID do proprietário (61) e da ID da aplicação (62) é um cartão chave.

6. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que pelo menos uma porção da credencial (60,70) está cifrada para permitir a autenticação da credencial (60,70).

7. Método, de acordo com a reivindicação 6, caracterizado pelo fato de que a credencial (60,70) inclui um certificado do proprietário (66), o certificado do proprietário (66) compreendendo uma chave de cifragem pública, a chave de cifragem pública sendo assinada por uma parte confiável, e em que a credencial (60) é assinada com uma chave de cifragem privada (67).

8. Método, de acordo com a reivindicação 1, caracterizado pelo fato de que a credencial inclui informação de ID que identifica uma ou mais aplicações do concedido e uma ou mais aplicações do concedente, em que a informação de identificação da aplicação do concedido inclui uma ID do proprietário do concedido (75) e uma ID de carrossel do concedido (76) e em que a informação que identifica aplicações do concedente (74) inclui uma ID de proprietário do concedente (71) e uma ID de carrossel de concedente, e em que a realização de uma ou mais funções compreende solicitar acesso a uma ou mais aplicações do concedido (76) associadas com um carrossel do concedido para um módulo de um carrossel de um concedente.

9. Método, de acordo com a reivindicação 8, caracterizado pelo fato de que o sistema de televisão interativa compreende uma estação de transmissão (10) e uma estação de recepção (20), o método ainda compreendendo transmitir a aplicação de televisão interativa a partir da estação de transmissão para a estação de recepção.

10. Método, de acordo com a reivindicação 8, caracterizado pelo fato de que ainda compreende a formatação de módulos das aplicações da concedente e do concedido em pacotes, multiplexando no tempo os pacotes em um sinal de transmissão e transmitindo o sinal de transmissão a partir de uma estação de transmissão para uma estação de recepção.

11. Dispositivo em um sistema de televisão interativa para controlar as funções tentadas por uma aplicação de televisão interativa executável, caracterizado pelo fato de que compreende: um receptor (20) configurado para receber uma transmissão de um sinal de televisão interativa que contém a aplicação de televisão interativa, a aplicação de televisão interativa tendo uma credencial (60,70) associada com ela, a credencial incluindo informações (68,78) identificando uma ou mais funções as quais podem ser realizadas pela aplicação; um dispositivo de armazenagem de dados (22) para armazenar a aplicação de televisão interativa e a credencial; uma unidade de controle configurada para verificar a credencial, a unidade de controle sendo ainda configurada para permitir que a aplicação de televisão interativa execute uma função se a credencial for válida e para impedir que a aplicação de televisão interativa execute a função se a credencial não for válida.

12. Dispositivo, de acordo com a reivindicação 11, caracterizado pelo fato de que compreende uma caixa de coleta (22).

13. Dispositivo, de acordo com a reivindicação 11, caracterizado pelo fato de que a aplicação de televisão interativa executável é transmitida como uma parte de um sinal de televisão interativa o qual contém informações de áudio e de vídeo associadas com um programa de televisão.

14. Dispositivo, de acordo com a reivindicação 13, caracterizado pelo fato de que a credencial é fornecida para o receptor independente da aplicação de televisão interativa.

15. Dispositivo, de acordo com a reivindicação 13, caracterizado pelo fato de que a credencial (60, 70) inclui um certificado (66,77) e em que a unidade de controle está configurada para autenticar a credencial utilizando o certificado.

16. Dispositivo, de acordo com a reivindicação 13, caracterizado pelo fato de que a credencial inclui um ou mais cartões chaves.

17. Dispositivo, de acordo com a reivindicação 11, caracterizado pelo fato de que a transmissão de sinal de televisão interativa compreende uma transmissão direta por satélite.

18. Dispositivo, de acordo com a reivindicação 11, caracterizado pelo fato de que a credencial compreende uma ID do proprietário, uma ID da aplicação e informações (68,78) que identificam uma ou mais permissões.

19. Dispositivo, de acordo com a reivindicação 18, caracterizado pelo fato de que a credencial ainda compreende uma chave de cifra-gem pública do proprietário, a chave sendo assinada por uma parte confiá- vel.

20. Dispositivo, de acordo com a reivindicação 19, caracterizado pelo fato de que a credencial é assinada (67,79) com uma chave de cifragem privada do proprietário.

21. Sistema de televisão interativa configurado para controlar as ações realizadas por uma aplicação de televisão interativa executável, o sistema caracterizado pelo fato de que compreende: uma estação de transmissão configurada para transmitir um sinal de transmissão que contém uma aplicação de televisão interativa executável; um receptor configurado para receber o sinal de transmissão a partir da estação de transmissão para extrair a aplicação de televisão interativa do sinal de transmissão e para executar a aplicação de televisão interativa, o receptor sendo ainda configurado para aceitar uma solicitação da aplicação da televisão interativa para executar uma ação e para permitir que a aplicação da televisão interativa execute a ação se a aplicação da televisão interativa tiver uma credencial que indique que a aplicação da televisão interativa tem permissão para executar a ação.

22. Sistema de televisão interativa, de acordo com a reivindicação 21, caracterizado pelo fato de que a credencial compreende informações que identificam a aplicação de televisão interativa, as informações compreendendo um ou mais cartões chaves.

23. Sistema de televisão interativa, de acordo com a reivindicação 22, caracterizado pelo fato de que a credencial ainda compreende um certificado do proprietário.