JP2014011715A - 放送通信連携受信装置、アプリケーション認証プログラム及び放送通信連携システム - Google Patents

Abstract

【課題】本発明は、放送と通信を連携した放送通信連携サービスにおいて、放送と通信とを効率的に利用して、視聴者に不利益をもたらすＡアプリケーションの実行を適切に管理する。
【解決手段】受信機１００は、リポジトリに記憶されたＡアプリケーションを取得するアプリケーション取得手段１１１と、放送波を介して、緊急失効リストを取得する緊急失効リスト取得手段１０４ａと、ネットワークＮを介して、通常失効リストを取得する通常失効リスト要求・取得手段１１７と、アプリケーション認証処理を行うアプリケーション認証手段１１９と、起動するＡアプリケーションがアプリケーション認証処理で失効していると判定された場合、Ａアプリケーションの起動を中止する起動制御手段１０９ａと、起動中のＡアプリケーションがアプリケーション認証処理で失効していると判定された場合、Ａアプリケーションを強制終了させる終了制御手段１０９ｂとを備える。
【選択図】図９

Description

本発明は、放送と、インターネット、専用ＩＰ（Internet Protocol）回線等のネットワークとを利用した放送通信連携システムにおいて、Ａアプリケーションの実行を管理する技術に関する。

近年、放送のデジタル化や通信の高速・広帯域化に伴い、放送と通信を連携した様々なサービス（以降、「放送通信連携サービス」）が検討されている（例えば、非特許文献１，２参照）。この放送通信連携サービスでは、放送番組に関連する多様な情報をネットワーク経由で取得し、放送と組み合わせて提示することが想定されている。

また、受信機では、放送通信連携サービスを享受するため、この放送通信連携サービスに適応したアプリケーションを用いることが想定されている。そこで、この放送通信連携サービスにおいて、視聴者にとってより魅力的なサービスを実現するために、放送局、様々なサービス事業者及び個人が一定のルールに基づいて制作したアプリケーション（Ａアプリケーション）を視聴者に提供できる環境が整えられつつある。

「技研における放送通信連携技術研究の概要」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１２４、２０１０．１１、Ｐ４−Ｐ９ 「ＨｙｂｒｉｄｃａｓｔＴＭの概要と技術」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１２４、２０１０．１１、Ｐ１０−Ｐ１７

前記したＡアプリケーションには、重大な不具合（バグ）が発生したアプリケーションやコンピュータウイルスのように動作するアプリケーション等、視聴者に不利益をもたらすアプリケーションが含まれる可能性がある。このため、従来の放送通信連携サービスでは、視聴者に不利益をもたらすＡアプリケーションが受信機で実行される事態を防止する必要がある。しかし、視聴者に不利益をもたらすＡアプリケーションが受信機で起動中（実行中）の場合、このＡアプリケーションを強制終了できず、このＡアプリケーションの実行を適切に管理できていないという問題がある。

ここで、従来の放送通信連携サービスにおいて、ネットワークを介して、Ａアプリケーションの識別情報が含まれる失効リストを受信機に配信し、Ａアプリケーションの実行を管理することも考えられる。しかし、この実行管理手法では、失効リストの配信元サーバにアクセスし、ネットワークの負荷が高くなる。このため、放送と通信とを効率的に利用した実行管理手法の実現が、強く要望されている。

そこで、本発明は、放送と通信を連携した放送通信連携サービスにおいて、放送と通信とを効率的に利用して、視聴者に不利益をもたらすＡアプリケーションの実行を適切に管理できる放送通信連携受信装置、アプリケーション認証プログラム及び放送通信連携システムを提供することを課題とする。

前記した課題に鑑みて、本願第１発明に係る放送通信連携受信装置は、放送番組を送信する放送送信装置と、秘密情報である署名鍵及び当該署名鍵に対応する公開情報である検証鍵を発行する署名鍵発行装置と、署名鍵により生成したアプリケーション用署名、及び、所定の命名規約により生成した識別情報をアプリケーションに付加するアプリケーション登録装置と、アプリケーション用署名及び識別情報が付加されたアプリケーションであるＡアプリケーションを記憶するリポジトリと、強制終了させるＡアプリケーションの識別情報が含まれる緊急失効リスト、及び、起動を中止するＡアプリケーションの識別情報が含まれる通常失効リストを記憶する失効リスト管理装置とを含む放送通信連携システムに配置され、放送番組を受信する放送通信連携受信装置であって、検証鍵を予め記憶する検証鍵記憶手段と、アプリケーション取得手段と、緊急失効リスト取得手段と、通常失効リスト取得手段と、アプリケーション認証手段と、起動制御手段と、終了制御手段と、を備えることを特徴とする。

かかる構成によれば、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、リポジトリからＡアプリケーションを取得する。
ここで、「Ａ（Authorized）アプリケーション」とは、システム管理者によって承認されたアプリケーションのことである。例えば、システム管理者は、あるアプリケーションが放送通信連携システムで期待する動作を行うか否かを手動又は自動で検証し、その検証結果に問題がないものをＡアプリケーションとして承認する。

また、放送通信連携受信装置は、緊急失効リスト取得手段によって、放送波を介して、失効リスト管理装置から緊急失効リストを取得すると共に、緊急失効リストを取得したことを示すアプリ失効情報通知を出力する。この緊急失効リストは、起動中でも強制終了させるＡアプリケーションの識別情報が含まれる失効リストであり、緊急性が高いものと言える。

また、放送通信連携受信装置は、通常失効リスト取得手段によって、ネットワークを介して、失効リスト管理装置から通常失効リストを取得する。この通常失効リストは、起動を中止するＡアプリケーションの識別情報が含まれる失効リストであり、緊急失効リストに比べ、緊急性が低いものと言える。
すなわち、放送通信連携受信装置は、放送波を介して、緊急性が高い緊急失効リストをリアルタイムで取得し、ネットワークを介して、緊急性が低い通常失効リストを取得する。

また、放送通信連携受信装置は、アプリケーション認証手段によって、検証鍵と、緊急失効リストと、通常失効リストとを用いて、少なくとも、認証対象アプリケーションが失効している否かを判定するアプリケーション認証処理を行う。そして、放送通信連携受信装置は、起動制御手段によって、Ａアプリケーションを起動するとき、起動するＡアプリケーションを認証対象アプリケーションとしたアプリケーション認証処理をアプリケーション認証手段に指示し、起動するＡアプリケーションが失効していると判定された場合、Ａアプリケーションの起動を中止する。

また、放送通信連携受信装置は、終了制御手段によって、緊急失効リスト取得手段からアプリ失効情報通知が入力されたとき、起動中のＡアプリケーションを認証対象アプリケーションとしたアプリケーション認証処理をアプリケーション認証手段に指示し、起動中のＡアプリケーションが失効していると判定された場合、Ａアプリケーションを強制終了させる。
すなわち、放送通信連携受信装置は、視聴者に不利益をもたらすＡアプリケーションが起動中であっても、このＡアプリケーションを即座に強制終了させることができる。

また、本願第２発明に係る放送通信連携受信装置は、検証鍵を予め記憶する検証鍵記憶手段と、通常失効リスト取得手段は、失効リスト用検証情報として、ハッシュ値、ＭＡＣ値又は失効リスト用署名がさらに付加された通常失効リストを取得し、アプリケーション認証手段は、アプリケーション認証処理として、検証鍵を用いて、認証対象アプリケーションのアプリケーション用署名が正当であるか否かを判定し、アプリケーション用署名が正当でない場合、認証対象アプリケーションが失効していると判定し、失効リスト用検証情報を用いて、通常失効リストが正当であるか否かを判定し、通常失効リストが正当でない場合、認証対象アプリケーションが失効していると判定し、認証対象アプリケーションの識別情報が緊急失効リスト又は通常失効リストに含まれるか否かを判定し、識別情報が緊急失効リスト及び通常失効リストに含まれない場合、認証対象アプリケーションをＡアプリケーションとして認証（判定）し、識別情報が緊急失効リスト又は通常失効リストに含まれる場合、認証対象アプリケーションが失効していると判定することを特徴とする。

かかる構成によれば、放送通信連携受信装置は、アプリケーション認証処理において、アプリケーション用署名の正当性と、通常失効リストの正当性とをさらに判定することができる。

また、本願第３発明に係る放送通信連携受信装置は、通常失効リストを記憶する失効リスト記憶手段をさらに備え、通常失効リスト取得手段が、通常失効リストを失効リスト管理装置に要求し、要求に応じて失効リスト管理装置から取得した通常失効リストである最新通常失効リストと、記憶手段に記憶された通常失効リストである記憶済み通常失効リストとの差分を、失効リスト記憶手段の通常失効リストに反映させることを特徴とする。
かかる構成によれば、放送通信連携受信装置は、通常失効リストを差分更新することができる。

また、本願第４発明に係る放送通信連携受信装置は、アプリケーションの起動時、ローンチャーの起動時、デバイスコードのグルーピングにより定まるタイミング、又は、放送通信連携受信装置の待機時間内の何れか１以上で、通常失効リストを失効リスト管理装置に要求することを特徴とする。
かかる構成によれば、放送通信連携受信装置は、別々のタイミングで通常失効リストを要求する。

また、前記した課題に鑑みて、本願第５発明に係る放送通信連携システムは、本願第１発明に係る放送通信連携受信装置と、放送番組を送信する放送送信装置と、署名鍵及び前記検証鍵を発行する署名鍵発行装置と、アプリケーションにアプリケーション用署名及び識別情報を付加するアプリケーション登録装置と、アプリケーション用署名及び識別情報が付加されたＡアプリケーションを記憶するリポジトリと、緊急失効リスト及び通常失効リストを記憶する失効リスト管理装置とを備えることを特徴とする。

かかる構成によれば、放送通信連携システムは、放送波を介して、緊急性が高い緊急失効リストをリアルタイムで配信し、ネットワークを介して、緊急性が低い通常失効リストを配信する。さらに、放送通信連携システムは、視聴者に不利益をもたらすＡアプリケーションが起動中であっても、配信された緊急失効リストにより、このＡアプリケーションを即座に強制終了させることができる。

なお、本願第１発明に係る放送通信連携受信装置は、ＣＰＵ、メモリやハードディスク（検証鍵記憶手段を含む）等のハードウェア資源を備えるコンピュータを、前記したアプリケーション取得手段、緊急失効リスト取得手段、通常失効リスト取得手段、アプリケーション認証手段、起動制御手段、終了制御手段として協調動作させるためのアプリケーション認証プログラムによって実現することもできる。このアプリケーション認証プログラムは、ネットワークを介して配布しても良く、ＣＤ−ＲＯＭやフラッシュメモリ等の記録媒体に書き込んで配布してもよい。

本発明によれば、以下のような優れた効果を奏する。
本願第１，５発明によれば、放送波を介して、緊急性が高い緊急失効リストをリアルタイムで配信し、ネットワークを介して、緊急性が低い通常失効リストを配信する。さらに、本願第１，５発明によれば、視聴者に不利益をもたらすＡアプリケーションが起動中であっても、緊急失効リストにより、このＡアプリケーションを即座に強制終了させる。このように、本願第１，５発明によれば、放送と通信とを効率的に利用して、視聴者に不利益をもたらすＡアプリケーションの実行を適切に管理できる。

本願第２発明によれば、アプリケーション用署名の正当性と、通常失効リストの正当性とを判定し、より適切なアプリケーション認証処理を行うことができる。

本願第３発明によれば、通常失効リストの差分更新を可能とし、更新処理の高速化を図ることができる。
本願第４発明によれば、放送通信連携受信装置の間で通常失効リストを要求するタイミングが分散するため、失効リスト管理装置に要求が集中する事態を防止し、ネットワークの負荷を抑えることができる。

本発明の実施形態に係る放送通信連携システムの全体構成を示す概略図である。 図１のアプリケーションサーバの構成を示すブロック図である。 図１のアプリケーションＩＤ生成装置の構成を示すブロック図である。 図１の署名鍵発行装置の構成を示すブロック図である。 図１のアプリケーション登録装置の構成を示すブロック図である。 図１のリポジトリの構成を示すブロック図である。 図１の失効リスト管理装置の構成を示すブロック図である。 （ａ）は図７の失効リスト管理装置が生成する緊急失効リストのデータ構造を示す図であり、（ｂ）は通常失効リストのデータ構造を示す図である。 図１の受信機の構成を示すブロック図である。 図１の受信機に予め設定されたリソースアクセス制御テーブルのデータ構造を示す図である。 図１の放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。 図１の放送通信連携システムにおいて、一般アプリケーションを起動する動作を示すシーケンス図である。 図１１，図１２のアプリケーション認証処理を示すフローチャートである。 本発明の変形例に係る放送通信連携システムの全体構成を示す概略図である。

［放送通信連携システムの概略］
図１を参照して、本発明の実施形態に係る放送通信連携システム１の構成について説明する。
放送通信連携システム１は、放送と通信とを連携し、放送番組と共に様々なサービスをユーザ（視聴者）に提供するものである。具体的には、放送通信連携システム１は、放送波Ｗを介して、放送番組を放送通信連携受信装置（以後、「受信機」）１００に送信すると共に、ネットワークＮを介して、様々なサービスに適応したアプリケーションを受信機１００に送信する。そして、放送通信連携システム１は、受信機１００において、放送番組に関連する多様なサービスを、アプリケーションによりユーザに提供する。このとき、放送通信連携システム１は、受信機１００において、視聴者に不利益をもたらすＡアプリケーションの実行を管理する。

「アプリケーション」とは、ＨＴＭＬ（HyperText Markup Language）５のブラウザ上で動作するソフトウェアを含む、受信機１００で利用可能なソフトウェアのことである。
このアプリケーションは、アプリケーション用署名の有無により、Ａアプリケーション及び一般アプリケーションに区別することができる。
なお、アプリケーションを「アプリ」と略記することがある（図面も同様）。
また、各図面では、アプリケーション用署名を「署名」と図示した。

システム管理者によって承認されたアプリケーションは、「Ａアプリケーション」と呼ばれる。本実施形態では、サービス事業者Ｂが制作したアプリケーションが「Ａアプリケーション」であるとする。このＡアプリケーションは、放送通信連携システム１で期待される動作が保証されたものであり、後記するアプリケーション登録装置７０でアプリケーション用署名及びアプリケーションＩＤが付加された後、後記するリポジトリ８０に記憶される。

また、システム管理者によって承認されていないアプリケーションは、「一般アプリケーション」と呼ばれる。本実施形態では、サービス事業者Ａが制作したアプリケーションが「一般アプリケーション」であるとする。この一般アプリケーションは、放送通信連携システム１で期待される動作が保障されたものでなく、アプリケーション用署名及びアプリケーションＩＤが付加されない状態で、後記するアプリケーションサーバ３０に記憶される。

「放送局」とは、編成を伴う番組を送出しているものであり、放送波Ｗ又はネットワークＮにより放送番組をユーザ（視聴者）に配信するものである。
「サービス事業者」とは、サービスを提供するもので、サービスを提供するためのコンテンツ及びアプリケーションを制作し、配信するものである。

「システム管理者」とは、Ａアプリケーションを承認する機関である。例えば、システム管理者は、あるサービス事業者が制作したアプリケーションをＡアプリケーションとして承認する際、このアプリケーションが放送通信連携システム１で期待される動作を行うか否かを手動又は自動で検証する。

図１に示すように、放送通信連携システム１は、放送送信装置１０と、コンテンツ配信サーバ２０Ａ，２０Ｂと、アプリケーションサーバ３０と、アプリケーション管理装置４０と、アプリケーションＩＤ生成装置５０と、署名鍵発行装置６０と、アプリケーション登録装置７０と、リポジトリ８０と、失効リスト管理装置（失効リスト管理装置）９０と、受信機１００とを備える。
この放送通信連携システム１では、ネットワークＮを介して、コンテンツ配信サーバ２０Ａ，２０Ｂと、アプリケーションサーバ３０と、リポジトリ８０と、失効リスト管理装置９０と、受信機１００とが接続されている。
なお、以後の図面において、一点鎖線は、オフライン又はオンラインでの送信を示す。

放送送信装置１０は、放送波Ｗ、ネットワークＮ又はケーブル（不図示）を介して、放送番組（放送信号）を受信機１００に送信するものである。また、放送送信装置１０は、放送波Ｗ（カルーセル）を介して、後記する失効リスト管理装置９０から入力された緊急失効リストを送信する。例えば、放送送信装置１０は、放送局に設置され、図示を省略した番組編成設備、番組送信設備、送信設備等から構成されるデジタル放送用の放送設備である。
なお、放送送信装置１０は、一般的な構成のため、詳細な説明を省略する。

コンテンツ配信サーバ２０は、受信機１００のアプリケーションからの要求により、ネットワークＮを介して、コンテンツを受信機１００に提供するものである。このコンテンツ配信サーバ２０としては、例えば、ＶＯＤ（ビデオオンデマンド）配信サーバ、字幕配信サーバ、マルチビュー配信サーバ等があげられる。

本実施形態では、コンテンツ配信サーバ２０Ａがサービス事業者Ａによって管理され、コンテンツ配信サーバ２０Ｂがサービス事業者Ｂによって管理されることとする。
なお、コンテンツ配信サーバ２０は、一般的な構成のため、詳細な説明を省略する。

アプリケーションサーバ３０は、サービス事業者Ａによって管理され、一般アプリケーションを記憶、管理するサーバである。このアプリケーションサーバ３０は、例えば、受信機１００からの要求に応じて、ネットワークＮを介して、一般アプリケーションを受信機１００に送信する。

アプリケーション管理装置４０は、サービス事業者Ｂによって管理され、サービス事業者Ｂが制作したアプリケーションを記憶、管理するものである。ここで、アプリケーション管理装置４０に記憶されたアプリケーションは、例えば、ネットワークＮを介して、アプリケーション登録装置７０に送信される。また、このアプリケーションが格納された記録媒体をシステム管理者に郵送等のオフラインで送信し、システム管理者がこのアプリケーションをアプリケーション登録装置７０に手動で入力してもよい。
なお、アプリケーション管理装置４０は、一般的な構成のため、詳細な説明を省略する。

アプリケーションＩＤ生成装置５０は、Ａアプリケーションを一意に識別する識別情報として、アプリケーションＩＤを生成するものである。そして、アプリケーションＩＤ生成装置５０は、生成したアプリケーションＩＤを、アプリケーション登録装置７０に出力する。

署名鍵発行装置６０は、Ａアプリケーションであることを示すアプリケーション用署名を生成するための署名鍵（秘密鍵）と、このアプリケーション用署名の正当性の判定に必要となる検証鍵（公開鍵）とを発行するものである。この署名鍵発行装置６０が生成した署名鍵は、アプリケーション登録装置７０に出力される。また、署名鍵発行装置６０が生成した検証鍵は、任意の方法で受信機１００に配布される。例えば、この検証鍵は、受信機１００を製造するメーカに送信され、受信機１００に予め記録（プリインストール）される。この他、この検証鍵を記録したＩＣカードをユーザにオフラインで送信し、各ユーザがＩＣカードに記憶された検証鍵を受信機１００に読み取らせてもよい。

アプリケーション登録装置７０は、アプリケーション管理装置４０からのアプリケーションにアプリケーション用署名及びアプリケーションＩＤを付加して、このアプリケーションをＡアプリケーションとして登録するものである。ここで、システム管理者は、例えば、サービス事業者Ｂのアプリケーションが放送通信連携システム１で期待された動作を行うか否かを手動又は自動で検証する。その後、システム管理者は、その検証結果に問題がないアプリケーションをＡアプリケーションとして承認し、アプリケーション登録装置７０に入力する。そして、アプリケーション登録装置７０は、署名鍵発行装置６０からの署名鍵によりアプリケーション用署名を生成し、生成したアプリケーション用署名と、アプリケーションＩＤ生成装置５０からのアプリケーションＩＤとをこのアプリケーションに付加する。その後、アプリケーション登録装置７０は、アプリケーション用署名及びアプリケーションＩＤが付加されたＡアプリケーションをリポジトリ８０に出力する。

リポジトリ８０は、Ａアプリケーションを記憶、管理するものである。このリポジトリ８０は、例えば、受信機１００からの要求に応じて、ネットワークＮを介して、記憶したＡアプリケーションを受信機１００に送信する。
本実施形態では、アプリケーションＩＤ生成装置５０、署名鍵発行装置６０、アプリケーション登録装置７０及びリポジトリ８０が、システム管理者によって管理される。

失効リスト管理装置９０は、緊急失効リスト及び通常失効リストを記憶、管理するものである。
本実施形態では、失効リスト管理装置９０は、放送局によって管理される。

受信機（放送通信連携受信装置）１００は、各ユーザの自宅等に設置され、地上デジタル放送、ＢＳデジタル放送、データ放送等の放送番組が視聴可能な受信装置である。また、受信機１００は、ネットワークＮを介して、Ａアプリケーションと、一般アプリケーションとを受信し、実行する。

なお、受信機１００では、アプリケーション起動情報に基づいて、アプリケーションの取得、起動、終了等の制御が行われてもよい。
この「アプリケーション起動情報」とは、アプリケーションの識別情報（ＩＤ）、アプリケーションの配置場所等のアプリケーションを特定するための情報、ならびに、当該アプリケーションの取得、起動、終了等を制御するための付加的な情報（アプリケーション情報テーブル：ＡＩＴ（Application Information Table）に相当する情報）である。

＜通常失効リストを用いた管理手法＞
ここで、放送局が、２種類の失効リストを用いて、視聴者に不利益をもたらすＡアプリケーションの実行を管理する手法について、説明する。
放送局は、受信機１００で起動させたくないＡアプリケーションのアプリケーションＩＤを失効リスト管理装置９０に入力する。すると、失効リスト管理装置９０は、入力されたアプリケーションＩＤが含まれる通常失効リストを生成する。

受信機１００は、ネットワークＮを介して、通常失効リストを失効リスト管理装置９０に要求する。そして、受信機１００は、この要求に応じて、失効リスト管理装置９０から、通常失効リスト（本実施形態では、通常失効リストの差分情報）を取得し、差分を反映させる。また、受信機１００は、Ａアプリケーションを起動する都度、通常失効リストを用いて、アプリケーション認証処理を行う。ここで、受信機１００は、起動するＡアプリケーションのアプリケーションＩＤが通常失効リストに含まれている場合、このＡアプリケーションが失効しているため、このＡアプリケーションの起動を中止する。

＜緊急失効リストを用いた管理手法＞
前記した第１例では、ネットワークＮを介するため、通常失効リストが受信機１００にリアルタイムに配信されず、起動中のＡアプリケーションを終了させることもできない。

そこで、放送局は、受信機１００で実行されている最中でも、即座に強制終了させたいＡアプリケーションのアプリケーションＩＤを失効リスト管理装置９０に入力する。すると、失効リスト管理装置９０は、入力されたアプリケーションＩＤが含まれる緊急失効リストを生成し、放送送信装置１０に出力する。そして、放送送信装置１０は、放送波Ｗを介して、この緊急失効リストを受信機１００にリアルタイムで送信する。

また、受信機１００は、緊急失効リストを受信したとき、この緊急失効リストを用いて、起動中のＡアプリケーションにアプリケーション認証を行う。ここで、受信機１００は、起動中のＡアプリケーションのアプリケーションＩＤが緊急失効リストに含まれている場合、このＡアプリケーションが失効しているため、このＡアプリケーションを強制終了させる。

［アプリケーションサーバの構成］
図２を参照して、アプリケーションサーバ３０の構成について説明する（適宜図１参照）。
図２に示すように、アプリケーションサーバ３０は、アプリケーション入力手段３００と、アプリケーション記憶手段３０１と、アプリケーション送信手段３０２とを備える。

アプリケーション入力手段３００は、一般アプリケーション（サービス事業者Ａのアプリケーション）が入力されるものである。そして、アプリケーション入力手段３００は、入力された一般アプリケーションを、アプリケーション記憶手段３０１に書き込む。

アプリケーション記憶手段３０１は、一般アプリケーションを記憶するメモリ、ハードディスク等の記憶装置である。ここで、アプリケーション記憶手段３０１における一般アプリケーションの所在位置が、アプリケーション起動情報に記述される。

アプリケーション送信手段３０２は、受信機１００からの要求に応じて、一般アプリケーションを受信機１００に送信するものである。具体的には、アプリケーション送信手段３０２は、ネットワークＮを介して、受信機１００から要求を受信すると、この要求に応じた一般アプリケーションをアプリケーション記憶手段３０１から読み出す。そして、アプリケーション送信手段３０２は、ネットワークＮを介して、読み出した一般アプリケーションを受信機１００に送信する。

［アプリケーションＩＤ生成装置の構成］
図３を参照して、アプリケーションＩＤ生成装置５０の構成について説明する（適宜図１参照）。
図３に示すように、アプリケーションＩＤ生成装置５０は、アプリケーションＩＤ生成手段５００と、アプリケーションＩＤ出力手段５０１とを備える。

アプリケーションＩＤ生成手段５００は、アプリケーションＩＤを生成するものである。例えば、アプリケーションＩＤ生成手段５００は、予め設定した命名規約に従って、アプリケーションＩＤを生成する。この命名規約は、例えば、アプリケーションを作成した組織の番号と、この組織内で一意に定められたアプリケーションを識別する番号とをアプリケーションＩＤとするものがある。そして、アプリケーションＩＤ生成手段５００は、生成したアプリケーションＩＤを、アプリケーションＩＤ出力手段５０１に出力する。

アプリケーションＩＤ出力手段５０１は、アプリケーションＩＤ生成手段５００からアプリケーションＩＤが入力される共に、このアプリケーションＩＤをアプリケーション登録装置７０に出力するものである。

なお、アプリケーションＩＤ生成装置５０において、アプリケーションＩＤを生成するタイミングは任意である。例えば、システム管理者は、サービス事業者ＢのアプリケーションをＡアプリケーションとして承認した場合、アプリケーションＩＤ生成指令を手動でアプリケーションＩＤ生成装置５０に入力する。すると、アプリケーションＩＤ生成装置５０は、入力されたアプリケーションＩＤ生成指令に応じて、アプリケーションＩＤを生成する。

［署名鍵発行装置の構成］
図４を参照して、署名鍵発行装置６０の構成について説明する（適宜図１参照）。
図４に示すように、署名鍵発行装置６０は、署名鍵・検証鍵生成手段６００と、検証鍵管理手段６０１と、署名鍵管理手段６０２とを備える。

署名鍵・検証鍵生成手段６００は、署名鍵及び検証鍵を生成するものである。ここで、署名鍵・検証鍵生成手段６００は、例えば、ＲＳＡ、ＥｌＧａｍａｌ、Ｒａｂｉｎ、楕円曲線暗号等の一般的な公開鍵暗号方式により、放送通信連携システム１で共通する署名鍵及び検証鍵を生成する。また、署名鍵・検証鍵生成手段６００は、前記した公開鍵暗号方式の他、Key-insulated署名方式を用いてもよい。そして、署名鍵・検証鍵生成手段６００は、生成した検証鍵を検証鍵管理手段６０１に出力し、生成した署名鍵を署名鍵管理手段６０２に出力する。
なお、Key-insulated署名方式の詳細は、例えば、参考文献“「双方向サービスのための効率的なプロバイダー認証」、大竹他、ＮＨＫ技研 Ｒ＆Ｄ/Ｎｏ．124／2010.11”に記載されている。

検証鍵管理手段６０１は、署名鍵・検証鍵生成手段６００が生成した検証鍵を記憶、管理するものである。例えば、検証鍵管理手段６０１は、署名鍵・検証鍵生成手段６００から検証鍵が入力され、この検証鍵をメモリ、ハードディスク等の記憶装置（不図示）に記憶する。そして、検証鍵管理手段６０１は、記憶した検証鍵を出力する。この検証鍵管理手段６０１から出力された検証鍵は、受信機１００にプリインストール、又は、ＩＣカードに格納してオフラインで送信する等の手法により、受信機１００に配布される。
なお、検証鍵を受信機１００に配布した後、検証鍵を記憶、管理し続ける必要がないため、検証鍵管理手段６０１から検証鍵を削除してもよい。

署名鍵管理手段６０２は、署名鍵・検証鍵生成手段６００が生成した署名鍵を記憶、管理するものである。例えば、署名鍵管理手段６０２は、署名鍵・検証鍵生成手段６００から署名鍵が入力され、この署名鍵をメモリ、ハードディスク等の記憶装置（不図示）に記憶する。そして、署名鍵管理手段６０２は、記憶した署名鍵をアプリケーション登録装置７０に出力する。

なお、署名鍵発行装置６０では、Ａアプリケーションの登録を開始するまでに署名鍵及び検証鍵を生成すればよい。例えば、システム管理者は、放送通信連携システム１を導入又は初期化する際、鍵生成指令を手動で署名鍵発行装置６０に入力する。すると、署名鍵発行装置６０は、入力された鍵生成指令に応じて、署名鍵及び検証鍵を生成し、出力する。

［アプリケーション登録装置の構成］
図５を参照して、アプリケーション登録装置７０の構成について説明する（適宜図１参照）。
図５に示すように、アプリケーション登録装置７０は、アプリケーション入力手段７００と、アプリケーションＩＤ入力手段７０１と、アプリケーションＩＤ付加手段７０２と、署名鍵入力手段７０３と、署名生成手段７０４と、署名付加手段７０５と、アプリケーション出力手段７０６とを備える。

アプリケーション入力手段７００は、システム管理者によって承認されたアプリケーションが入力されるものである。そして、アプリケーション入力手段７００は、入力されたアプリケーションを、アプリケーションＩＤ付加手段７０２に出力する。

アプリケーションＩＤ入力手段７０１は、アプリケーションＩＤ生成装置５０からアプリケーションＩＤが入力されるものである。そして、アプリケーションＩＤ入力手段７０１は、入力されたアプリケーションＩＤを、アプリケーションＩＤ付加手段７０２に出力する。

アプリケーションＩＤ付加手段７０２は、アプリケーション入力手段７００から入力されたアプリケーションに、アプリケーションＩＤ入力手段７０１から入力されたアプリケーションＩＤを付加するものである。そして、アプリケーションＩＤ付加手段７０２は、アプリケーションＩＤが付加されたアプリケーションを、署名付加手段７０５に出力する。

署名鍵入力手段７０３は、署名鍵発行装置６０から署名鍵（秘密鍵）が入力されるものである。そして、署名鍵入力手段７０３は、入力された署名鍵を、署名生成手段７０４に出力する。

署名生成手段７０４は、署名鍵入力手段７０３から署名鍵が入力され、この署名鍵を用いて、アプリケーション用署名を生成するものである。例えば、サービス事業者を一意に識別する事業者ＩＤ及びアプリケーションＩＤ、乱数、アプリケーション本体のバイナリコード値の何れか１つ又はこれら２以上の組み合わせを、アプリケーション用署名の元となる署名元メッセージとする。そして、署名生成手段７０４は、署名鍵を用いて、署名元メッセージからアプリケーション用署名を生成し、生成したアプリケーション用署名を署名付加手段７０５に出力する。

なお、前記した署名元メッセージは、何らかの方法で受信機１００に配布する必要がある。例えば、この署名元メッセージをアプリケーションに付加して、アプリケーションと共に署名元メッセージを受信機１００に配布する。また、検証鍵と同様の手法で署名元メッセージを配布してもよい。
以後、この署名元メッセージをアプリケーションに付加することとして説明する。

署名付加手段７０５は、アプリケーションＩＤ付加手段７０２から入力されたアプリケーションに、署名生成手段７０４から入力されたアプリケーション用署名を付加するものである。そして、署名付加手段７０５は、アプリケーションＩＤ及びアプリケーション用署名が付加されたアプリケーションを、アプリケーション出力手段７０６に出力する。

アプリケーション出力手段７０６は、署名付加手段７０５からアプリケーションが入力されると共に、このアプリケーションをリポジトリ８０に出力するものである。つまり、アプリケーション出力手段７０６は、アプリケーションＩＤ及びアプリケーション用署名が付加されたアプリケーションを、Ａアプリケーションとしてリポジトリ８０に出力する。

［リポジトリの構成］
図６を参照して、リポジトリ８０の構成について説明する（適宜図１参照）。
図６に示すように、リポジトリ８０は、アプリケーション入力手段８００と、アプリケーション記憶手段８０１と、アプリケーション送信手段８０２とを備える。

アプリケーション入力手段８００は、アプリケーション登録装置７０からＡアプリケーションが入力されるものである。そして、アプリケーション入力手段８００は、入力されたＡアプリケーションを、アプリケーション記憶手段８０１に書き込む。

アプリケーション記憶手段８０１は、Ａアプリケーションを記憶するメモリ、ハードディスク等の記憶装置である。例えば、アプリケーション記憶手段８０１におけるＡアプリケーションの格納場所が、アプリケーション起動情報に記述される。

アプリケーション送信手段８０２は、受信機１００からの要求に応じて、Ａアプリケーションを受信機１００に送信するものである。具体的には、アプリケーション送信手段８０２は、ネットワークＮを介して、受信機１００から要求を受信すると、この要求に応じたＡアプリケーションをアプリケーション記憶手段８０１から読み出す。そして、アプリケーション送信手段８０２は、ネットワークＮを介して、読み出したＡアプリケーションを受信機１００に送信する。

［失効リスト管理装置の構成］
図７を参照して、失効リスト管理装置９０の構成について説明する（適宜図１参照）。
図７に示すように、失効リスト管理装置９０は、緊急失効リスト用アプリケーションＩＤ入力手段９００と、緊急失効リスト生成手段９０１と、緊急失効リスト出力手段９０２と、通常失効リスト用アプリケーションＩＤ入力手段９０３と、通常失効リスト生成手段９０４と、通常失効リスト記憶手段９０５と、通常失効リスト要求受信手段９０６と、通常失効リスト送信手段９０７とを備える。

緊急失効リスト用アプリケーションＩＤ入力手段９００は、外部（例えば、放送局）から、即座に強制終了させたいアプリケーションのアプリケーションＩＤが入力されるものである。そして、緊急失効リスト用アプリケーションＩＤ入力手段９００は、入力されたアプリケーションＩＤを、緊急失効リスト生成手段９０１に出力する。

緊急失効リスト生成手段９０１は、緊急失効リスト用アプリケーションＩＤ入力手段９００から入力されたアプリケーションＩＤが含まれる緊急失効リストを、生成するものである。そして、緊急失効リスト生成手段９０１は、生成した緊急失効リストを、緊急失効リスト出力手段９０２に出力する。

＜緊急失効リスト＞
図８を参照し、緊急失効リストについて、説明する（適宜図７参照）。
ここで、緊急失効リスト生成手段９０１は、図８（ａ）に示すように、ＩＤリスト９１ａが含まれる緊急失効リスト９１を生成する。
ＩＤリスト９１ａは、緊急失効リスト用アプリケーションＩＤ入力手段９００に入力された全てのアプリケーションＩＤのリストである。

図７に戻り、失効リスト管理装置９０の構成について、説明を続ける。
緊急失効リスト出力手段９０２は、緊急失効リスト生成手段９０１から入力された緊急失効リストを、放送送信装置１０に出力するものである。
通常失効リスト用アプリケーションＩＤ入力手段９０３は、外部（例えば、放送局）から、起動を中止させたいアプリケーションのアプリケーションＩＤが入力されるものである。そして、通常失効リスト用アプリケーションＩＤ入力手段９０３は、入力されたアプリケーションＩＤを、通常失効リスト生成手段９０４に出力する。

通常失効リスト生成手段９０４は、通常失効リスト用アプリケーションＩＤ入力手段９０３から入力されたアプリケーションＩＤが含まれる通常失効リストを、生成するものである。そして、通常失効リスト生成手段９０４は、生成した通常失効リストを、最新バージョンの通常失効リストとして、通常失効リスト記憶手段９０５に書き込む。

＜通常失効リスト＞
図８を参照し、通常失効リストについて、説明する（適宜図７参照）。
ここで、通常失効リスト生成手段９０４は、図８（ｂ）に示すように、バージョン情報９３ａと、失効リスト用検証情報９３ｂと、ＩＤリスト９３ｃとが含まれる通常失効リスト９３を生成する。

バージョン情報９３ａは、通常失効リスト９３のバージョン（版数）を示す情報であり、通常失効リストの差分更新に必要な情報である。例えば、バージョン情報９３ａは、数値形式又はタイムスタンプ形式で表すことができる。

失効リスト用検証情報９３ｂは、受信機１００で通常失効リスト９３の検証に必要となる情報であり、ハッシュ値、ＭＡＣ（メッセージ認証コード：Message Authentication Code）値、又は、失効リスト用署名の何れかである。

まず、失効リスト用検証情報９３ｂがハッシュ値の場合について、説明する。
この場合、乱数、通常失効リスト本体のバイナリコード値の何れか１つ又はこれら２以上の組み合わせを検証元メッセージとする。そして、通常失効リスト生成手段９０４は、この検証元メッセージにハッシュ関数を適用して、検証元メッセージのハッシュ値を算出する。さらに、署名生成手段７０４は、算出したハッシュ値を、失効リスト用検証情報９３ｂとして通常失効リスト９３に付加する。

次に、失効リスト用検証情報９３ｂがＭＡＣ値の場合について、説明する。
この場合、通常失効リスト生成手段９０４は、前記した検証元メッセージを生成する。また、通常失効リスト生成手段９０４は、失効リスト管理装置９０及び受信機１００で共有する共有鍵を生成する。そして、通常失効リスト生成手段９０４は、生成した共有鍵を用いて、検証元メッセージのＭＡＣ値を算出する。さらに、署名生成手段７０４は、算出したＭＡＣ値を、失効リスト用検証情報９３ｂとして通常失効リスト９３に付加する。

次に、失効リスト用検証情報９３ｂが失効リスト用署名の場合について、説明する。
この場合、通常失効リスト生成手段９０４は、前記した検証元メッセージを生成する。また、通常失効リスト生成手段９０４は、署名鍵発行装置６０と同様、署名鍵及び検証鍵を生成する。そして、通常失効リスト生成手段９０４は、アプリケーション登録装置７０と同様、生成した検証鍵を用いて、検証元メッセージから失効リスト用署名を生成する。さらに、署名生成手段７０４は、算出した失効リスト用署名を、失効リスト用検証情報９３ｂとして通常失効リスト９３に付加する。

ＩＤリスト９３ｃは、通常失効リスト用アプリケーションＩＤ入力手段９０３に入力された全てのアプリケーションＩＤのリストである。

なお、前記した検証元メッセージは、何らかの方法で受信機１００に配布する必要がある。例えば、この検証元メッセージを通常失効リストに付加して、通常失効リストと共に検証元メッセージを受信機１００に配布する。以後、この検証元メッセージをアプリケーションに付加することとして説明する。
また、通常失効リストの正当性を検証するための共通鍵や検証鍵は、受信機１００にプリインストール、又は、ＩＣカードに格納してオフラインで送信する等の手法により、受信機１００に予め配布してもよい。

図７に戻り、失効リスト管理装置９０の構成について、説明を続ける。
通常失効リスト記憶手段９０５は、通常失効リスト生成手段９０４が生成した通常失効リストを記憶するメモリ、ハードディスク等の記憶装置である。本実施形態では、通常失効リスト記憶手段９０５は、各受信機１００に記憶された通常失効リストのバージョンが統一されていない可能性があるため、全てのバージョンの通常失効リストを記憶することとする。

通常失効リスト要求受信手段９０６は、受信機１００から通常失効リスト要求を受信するものである。この通常失効リスト要求は、失効リスト管理装置９０に記憶された最新通常失効リストの要求を示すものである。例えば、この通常失効リスト要求は、受信機１００の所在情報（例えば、ＩＰアドレス）と、受信機１００に記憶された通常失効リストのバージョン情報が含まれている。そして、通常失効リスト要求受信手段９０６は、受信した通常失効リスト要求を通常失効リスト送信手段９０７に出力する。
なお、最新通常失効リストとは、通常失効リスト記憶手段９０５に記憶された全通常失効リストのうち、最新バージョンの通常失効リストのことである。

通常失効リスト送信手段９０７は、通常失効リスト要求受信手段９０６から入力された通常失効リスト要求に応じて、失効リスト管理装置９０の最新通常失効リストと、受信機１００の記憶済み通常失効リストとの差分情報を、この受信機１００に送信するものである。
なお、記憶済み通常失効リストとは、図９の失効リスト記憶手段１１６に記憶された通常失効リストのことである。

具体的には、通常失効リスト送信手段９０７は、通常失効リスト要求が入力されると、通常失効リスト記憶手段９０５から、最新通常失効リストを読み出す。また、通常失効リスト送信手段９０７は、通常失効リスト要求のバージョン情報に対応する通常失効リスト（つまり、記憶済み通常失効リストと同一の通常失効リスト）を読み出す。そして、通常失効リスト送信手段９０７は、前記した最新通常失効リストと、読み出した通常失効リストとのアプリケーションＩＤを比較して、通常失効リストの差分情報を生成する。

ここで、記憶済み通常失効リストに含まれていないアプリケーションＩＤが、最新通常失効リストに含まれている場合を考える。この場合、通常失効リスト送信手段９０７は、このアプリケーションＩＤを差分情報に追加する。
また、記憶済み通常失効リストに含まれているアプリケーションＩＤが、最新通常失効リストに含まれていない場合を考える。この場合、通常失効リスト送信手段９０７は、このアプリケーションＩＤの削除を示すＩＤ削除情報を差分情報に追加する。
その後、通常失効リスト送信手段９０７は、生成した通常失効リストの差分情報を、受信機１００に送信する。

［受信機の構成］
図９を参照して、受信機１００の構成について説明する（適宜図１参照）。
図９に示すように、受信機１００は、放送受信手段１０１と、放送信号解析手段１０２と、映像・音声復号手段１０３と、データ放送復号手段１０４と、通信送受信手段１０５と、アプリケーション起動情報取得手段１０６と、アプリケーション起動情報記憶手段１０７と、リスト制御手段１０８と、アプリケーション管理・実行制御手段１０９と、起動アプリケーション識別情報記憶手段１１０と、アプリケーション取得手段１１１と、アプリケーション記憶手段１１２と、アプリケーション実行手段１１３と、操作制御手段１１４と、合成表示手段１１５と、失効リスト記憶手段１１６と、通常失効リスト要求・取得手段（通常失効リスト取得手段）１１７と、セキュリティ管理手段１１８と、リソース管理手段１２１とを備える。

放送受信手段１０１は、アンテナＡ、ネットワークＮ又はケーブル（不図示）を介して、放送番組（放送信号）を受信し、復調し、誤り訂正や復号を行い、ＭＰＥＧ２のトランスポートストリーム（ＴＳ）として、放送信号解析手段１０２に出力するものである。

放送信号解析手段１０２は、放送受信手段１０１で復調されたストリームデータ（ＴＳ）において、ＰＳＩ／ＳＩ（Program Specific Information〔番組特定情報〕／Service Information〔番組配列情報〕）を解析し、現在選局されている編成チャンネルに対応する映像、音声、データ放送等のデータを抽出するものである。なお、選局は、後記する操作制御手段１１４から通知されるチャンネル切替指示に基づいて行われる。

この放送信号解析手段１０２は、抽出した映像、音声等のデータであるＰＥＳ（Packetized Elementary Stream）形式のデータについては、映像・音声復号手段１０３に出力し、抽出したデータ放送等のセクション形式のデータについては、データ放送復号手段１０４に出力する。

このとき、放送信号解析手段１０２は、放送受信手段１０１で復調されたストリームデータから、ＳＩ（番組配列情報）の一つであるＡＩＴの記述子（アプリケーション起動情報記述子）に含まれているアプリケーション起動情報を抽出してもよい。そして、放送信号解析手段１０２は、抽出したアプリケーション起動情報をアプリケーション起動情報記憶手段１０７に書き込む。さらに、放送信号解析手段１０２は、アプリケーション起動情報を抽出した場合、アプリケーション起動情報が通知された旨（起動情報通知）を、アプリケーションを識別する情報（アプリケーションＩＤ）とともに、アプリケーション管理・実行制御手段１０９に通知する。

映像・音声復号手段１０３は、放送信号解析手段１０２で抽出された映像・音声（ＭＰＥＧ２の映像ストリーム及び音声ストリーム）を復号し、復号した映像・音声データを合成表示手段１１５に出力するものである。

データ放送復号手段１０４は、放送信号解析手段１０２で抽出されたデータ放送のデータを復号し、ＢＭＬを解析し、当該ＢＭＬを表示データに変換し、合成表示手段１１５に出力するものである。
また、データ放送復号手段１０４は、カルーセルで送信されたアプリケーション起動情報を抽出し、抽出したアプリケーション起動情報をアプリケーション起動情報記憶手段１０７に書き込む。

また、データ放送復号手段１０４は、緊急失効リスト取得手段１０４ａを備える。
緊急失効リスト取得手段１０４ａは、カルーセルで送信された緊急失効リストを取得し、取得した緊急失効リストを失効リスト記憶手段１１６に書き込むものである。このとき、緊急失効リスト取得手段１０４ａは、緊急失効リストであることを示す値（例えば、‘０’）を、失効リスト区分として緊急失効リストに付加する。さらに、緊急失効リスト取得手段１０４ａは、緊急失効リストを取得したことを示すアプリ失効情報通知を、アプリケーション管理・実行制御手段１０９に出力する。

通信送受信手段１０５は、ネットワークＮを介して、アプリケーション、アプリケーション起動情報、通常失効リストの差分情報等のデータを受信するものである。また、通信送受信手段１０５は、ネットワークＮを介して、通常失効リスト要求等のデータを送信する。

アプリケーション起動情報取得手段１０６は、通信送受信手段１０５を介して、Ａアプリケーション及び一般アプリケーションに対応する起動情報を取得するものである。そして、アプリケーション起動情報取得手段１０６は、取得したアプリケーション起動情報をアプリケーション起動情報記憶手段１０７に書き込む。

アプリケーション起動情報記憶手段１０７は、アプリケーション起動情報を記憶するメモリ、ハードディスク等の記憶装置である。ここで、アプリケーション起動情報記憶手段１０７には、放送信号解析手段１０２、データ放送復号手段１０４又はアプリケーション起動情報取得手段１０６によって、アプリケーション起動情報が書き込まれる。

リスト制御手段１０８は、起動可能なアプリケーションのリストの表示及びアプリケーションの選択の制御を行うローンチャー（Launcher）である。
このリスト制御手段１０８は、ユーザが、操作制御手段１１４を介して、リスト表示を指示することで、アプリケーション起動情報記憶手段１０７に記憶されているアプリケーション起動情報に対応するアプリケーションのリストを生成し、表示データとして、合成表示手段１１５に出力する。このとき、リスト制御手段１０８は、ローンチャーが起動したことを示すローンチャー起動通知を、通常失効リスト要求・取得手段１１７に出力する。

また、リスト制御手段１０８は、ユーザが、操作制御手段１１４を介して、表示したアプリケーションのリストから、アプリケーションを選択する。そして、リスト制御手段１０８は、選択されたアプリケーションを識別する番号（アプリケーションＩＤ）を含んだ選択アプリケーション通知をアプリケーション管理・実行制御手段１０９に出力する。

アプリケーション管理・実行制御手段１０９は、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御するものである。
具体的には、アプリケーション管理・実行制御手段１０９は、後記するアプリケーション実行手段１１３からリソース割当要求が入力されると、このリソース割当要求を後記するリソース管理手段１２１に出力（転送）する。

また、アプリケーション管理・実行制御手段１０９は、リソース管理手段１２１からリソース割当要求の応答が入力されると、このリソース割当要求の応答をアプリケーション実行手段１１３に出力（転送）する。
ここで、リソース割当要求の応答がリソースの割り当てが成功したことを示すリソース割当成功の場合、アプリケーション管理・実行制御手段１０９は、起動中のアプリケーションＩＤに対応づけて、このリソース割当成功をメモリ等に格納されたセキュリティ情報テーブル（不図示）に書き込む。
一方、リソース割当要求の応答がリソースの割り当てが失敗したことを示すリソース割当失敗の場合、アプリケーション管理・実行制御手段１０９は、起動中のアプリケーションＩＤに対応づけて、このリソース割当失敗をセキュリティ情報テーブルに書き込む。

ここで、アプリケーション管理・実行制御手段１０９は、起動制御手段１０９ａと、終了制御手段１０９ｂと、蓄積管理手段１０９ｃとを備えている。
起動制御手段１０９ａは、アプリケーション取得手段１１１が取得したアプリケーションの起動を制御するものである。

まず、放送信号解析手段１０２から起動情報通知が入力された場合を説明する。
この場合、起動制御手段１０９ａは、起動させるアプリケーションを認証対象アプリケーションとして、認証指示をアプリケーション認証手段１１９に出力する。この認証指示は、アプリケーション認証処理をアプリケーション認証手段１１９に指示するものである。例えば、認証指示は、認証対象アプリケーションのアプリケーションＩＤが含まれる。

また、起動制御手段１０９ａは、この認証指示に応じて、アプリケーション認証手段１１９から認証結果が入力される。例えば、認証結果は、認証対象アプリケーションのアプリケーションＩＤと、認証対象アプリケーションの属性とが含まれる。この属性とは、Ａアプリケーション（例えば、‘０’）、一般アプリケーション（例えば、‘１’）、不正なＡアプリケーション（例えば、‘２’）、又は、失効（例えば、‘３’）の何れかを示す。

ここで、認証結果がＡアプリケーション又は一般アプリケーションを示す場合、起動制御手段１０９ａは、アプリケーション起動情報記憶手段１０７に記憶されているアプリケーション起動情報に応じて、アプリケーションを起動させる。そして、起動制御手段１０９ａは、入力された認証結果を、起動させたアプリケーションＩＤに対応づけてセキュリティ情報テーブルに書き込む。これによって、アプリケーション管理・実行制御手段１０９は、起動中のアプリケーションに対するリソースの割り当ての成否、割り当てられたリソース、及び、認証結果を記憶、管理することができる。
一方、認証結果が不正なＡアプリケーション又は失効を示す場合、起動制御手段１０９ａは、このアプリケーションの起動を中止する。

次に、リスト制御手段１０８から選択アプリケーション通知が入力された場合を説明する。この場合、起動制御手段１０９ａは、起動情報通知が入力された場合と同様、認証指示をアプリケーション認証手段１１９に出力する。そして、起動制御手段１０９ａは、アプリケーション認証手段１１９から認証結果に応じて、アプリケーションを起動させるか、又は、アプリケーションの起動を中止する。さらに、アプリケーションを起動させるとき、起動制御手段１０９ａは、アプリケーション実行手段１１３に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、ユーザがリストから選択したアプリケーションが起動されることになる。

なお、起動制御手段１０９ａは、起動中のアプリケーションを識別情報（アプリケーションＩＤ）で管理し、起動アプリケーション識別情報記憶手段１１０に起動中のアプリケーションＩＤを書き込むこととする。
また、起動制御手段１０９ａは、アプリケーションを起動させた場合、アプリケーションが起動したことを示すアプリケーション起動通知を、通常失効リスト要求・取得手段１１７に出力する。

終了制御手段１０９ｂは、起動中のアプリケーションの終了制御を行うものである。
具体的には、終了制御手段１０９ｂは、放送信号解析手段１０２から起動情報通知が通知された際、アプリケーション起動情報記憶手段１０７に記憶されているアプリケーション起動情報に応じて、アプリケーション実行手段１１３にアプリケーションの終了を指示する。

また、緊急失効リスト取得手段１０４ａからアプリ失効情報通知が入力された場合を説明する。この場合、終了制御手段１０９ｂは、起動アプリケーション識別情報記憶手段１１０を参照し、起動中のアプリケーションのアプリケーションＩＤを取得する。そして、終了制御手段１０９ｂは、起動中のＡアプリケーションを認証対象アプリケーションとして、認証指示をアプリケーション認証手段１１９に出力する。さらに、起動制御手段１０９ａは、アプリケーション認証手段１１９から認証結果に応じて、アプリケーションを強制終了させるか、又は、アプリケーションの処理を継続させる。

ここで、認証結果が失効を示す場合、終了制御手段１０９ｂは、アプリケーション実行手段１１３に起動中のＡアプリケーションの終了を指示し、このＡアプリケーションを強制終了させる。
一方、認証結果が失効以外を示す場合、終了制御手段１０９ｂは、何ら処理を行わない。つまり、起動中のＡアプリケーションは、強制終了されず、処理を継続することになる。

蓄積管理手段１０９ｃは、受信機１００内（具体的には、アプリケーション記憶手段１１２）にアプリケーションを予め蓄積（インストール）する制御を行うものである。
具体的には、蓄積管理手段１０９ｃは、リスト制御手段１０８から選択アプリケーション通知が通知された際、アプリケーション取得指示をアプリケーション取得手段１１１に通知する。このアプリケーション取得指示は、アプリケーション起動情報に基づいてアプリケーションを取得して、アプリケーション記憶手段１１２に書き込む旨の指示である。
これによって、アプリケーション記憶手段１１２には、ユーザが選択したアプリケーションが蓄積される。

ここで、蓄積管理手段１０９ｃは、アプリケーションをアプリケーション記憶手段１１２に蓄積（インストール）した場合、アプリケーション起動情報記憶手段１０７において、蓄積したアプリケーション蓄積状態を“蓄積”とする。
一方、蓄積管理手段１０９ｃは、ユーザの指示に応じて、蓄積したアプリケーションを削除する。このとき、蓄積管理手段１０９ｃは、アプリケーション起動情報記憶手段１０７において、削除したアプリケーション蓄積状態を“未蓄積”とする。

起動アプリケーション識別情報記憶手段１１０は、起動中（実行中）のアプリケーションの識別情報（アプリケーションＩＤ）を記憶するメモリ、ハードディスク等の記憶装置である。この起動アプリケーション識別情報記憶手段１１０は、起動制御手段１０９ａによって、アプリケーションが起動された際にアプリケーションＩＤが書き込まれ、終了制御手段１０９ｂによって、アプリケーションが終了する際に削除される。

アプリケーション取得手段１１１は、蓄積管理手段１０９ｃからアプリケーション取得指示が通知された際、通信送受信手段１０５を介して、リポジトリ８０又はアプリケーションサーバ３０の何れかに記憶されたアプリケーションを取得するものである。そして、アプリケーション取得手段１１１は、取得したアプリケーションをアプリケーション記憶手段１１２に書き込む。

アプリケーション記憶手段１１２は、アプリケーション取得手段１１１が取得したアプリケーションを記憶するメモリ、ハードディスク等の記憶装置である。このアプリケーション記憶手段１１２に記憶されているアプリケーションは、アプリケーション実行手段１１３によって読み出され、実行される。

アプリケーション実行手段１１３は、アプリケーション管理・実行制御手段１０９からの起動制御指示に基づいて、アプリケーションの起動及び終了を行うものである。
このアプリケーション実行手段１１３は、起動制御指示に含まれるアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）に基づいて、アプリケーション及びその実行に必要なデータ（例えば、メタデータ、アイコンデータ等）をアプリケーションの取得元から取得する。そして、アプリケーション実行手段１１３は、図示を省略したメモリにアプリケーションを展開（ロード）し、アプリケーションを実行する。
このアプリケーションの実行に伴う画像や音声のデータは、合成表示手段１１５に出力される。

ここで、アプリケーション実行手段１１３は、起動中のアプリケーションがリソースにアクセスするＡＰＩ（Application Program Interface）を呼び出した場合、アプリケーション管理・実行制御手段１０９を介して、リソース割当要求をリソース管理手段１２１に出力する。
このリソース割当要求は、リソースの割り当てを要求するものであり、例えば、起動中のアプリケーションが呼び出したＡＰＩ名が含まれている。

また、アプリケーション実行手段１１３は、リソース管理手段１２１からリソース割当要求の応答が入力される。
ここで、リソース割当要求の応答がリソース割当成功の場合、アプリケーション実行手段１１３は、ＡＰＩを呼び出して、リソース管理手段１２１によって割り当てられたリソースを使用する。
一方、リソース割当要求の応答がリソース割当失敗の場合、アプリケーション実行手段１１３は、例えば、セキュリティ関係の例外処理、アプリケーションを終了する等のアプリケーションごとに任意の処理を行う。

また、アプリケーション実行手段１１３は、終了制御手段１０９ｂからアプリケーションの終了又は強制終了が指示された場合、例えば、割り込み信号等によって起動中のアプリケーションを終了させる。
なお、アプリケーション実行手段１１３は、アプリケーション管理・実行制御手段１０９を介して、リソース割当要求をリソース管理手段１２１に出力することとして説明したが、これに限定されない。具体的には、アプリケーション実行手段１１３は、リソース割当要求をリソース管理手段１２１に直接出力してもよい（不図示）。

操作制御手段１１４は、ユーザが、リモコン装置Ｒｉを介して、チャンネルの変更を指示した場合、変更後のチャンネル番号を含んだチャンネル切替指示を放送信号解析手段１０２に通知するものである。これによって、現在視聴中のチャンネルが選局されることになる。

合成表示手段１１５は、映像・音声復号手段１０３からの映像データ・音声データと、データ放送復号手段１０４からのデータ放送の表示データと、リスト制御手段１０８からのリストの表示データと、アプリケーション実行手段１１３からのアプリケーションの表示データとを合成して表示するものである。
なお、合成表示手段１１５は、合成した音声については、音声信号として外部に接続されたスピーカ等の音声出力装置Ｓｐに出力し、合成した映像（画像）については、映像信号として外部に接続された液晶ディスプレイ等の映像表示装置Ｍｏに出力する。

失効リスト記憶手段１１６は、緊急失効リストと、通常失効リストとを記憶するものである。ここで、失効リスト記憶手段１１６は、後記する通常失効リスト要求・取得手段１１７によって差分情報が反映された通常失効リストを１種類だけ記憶する。つまり、失効リスト記憶手段１１６は、最新バージョンの通常失効リストを１種類だけ記憶する。また、失効リスト記憶手段１１６は、緊急失効リストが上書きされるため、緊急失効リストを１種類だけ記憶する。

例えば、失効リスト記憶手段１１６は、ローカル暗号で暗号化された緊急失効リスト及び通常失効リストを記憶する。また、失効リスト記憶手段１１６は、ＩＣカード等の耐タンパーデバイスとしてもよい。

通常失効リスト要求・取得手段１１７は、通信送受信手段１０５を介して、通常失効リスト要求を失効リスト管理装置９０に送信するものである。例えば、通常失効リスト要求・取得手段１１７は、失効リスト記憶手段１１６から、記憶済み通常失効リストのバージョン情報を読み出す。そして、通常失効リスト要求・取得手段１１７は、受信機１００の所在情報と、読み出したバージョン情報とが含まれる通常失効リスト要求を生成し、失効リスト管理装置９０に送信する。
なお、失効リスト管理装置９０の所在情報（例えば、ＵＲＬ）は、受信機１００に予め設定しておく。

ここで、通常失効リスト要求・取得手段１１７は、以下のタイミングで通常失効リスト要求を送信できる。
例えば、通常失効リスト要求・取得手段１１７は、起動制御手段１０９ａからアプリケーション起動通知が入力されたとき（アプリケーション起動時）、通常失効リスト要求を送信する。
また、通常失効リスト要求・取得手段１１７は、リスト制御手段１０８からローンチャー起動通知が入力されたとき（ローンチャー起動時）、通常失効リスト要求を送信してもよい。
また、通常失効リスト要求・取得手段１１７は、受信機１００の待機電源が投入されている時間内（受信機１００の待機時間内）に、通常失効リスト要求を送信してもよい。例えば、通常失効リスト要求・取得手段１１７は、受信機１００の待機時間内において、予め設定された間隔毎に通常失効リスト要求を送信する。
また、通常失効リスト要求・取得手段１１７は、受信機１００に固有のデバイスコードのグルーピングにより定まるタイミングで、通常失効リスト要求を送信してもよい。

このデバイスコードは、例えば、Ｂ−ＣＡＳ（BS Conditional Access Systems）カードのＩＤ、又は、受信機１００のＩＰドメインである。デバイスコードがＩＰドメインであれば、予め、デバイスコードを居住地単位でグルーピングしておく。また、デバイスコードがＢ−ＣＡＳカードのＩＤであれば、予め、デバイスコードをランダムにグルーピングしておく。また、受信機１００は、グループ毎に通常失効リスト要求の送信タイミングを示す送信タイミング情報を予め記憶する。この送信タイミング情報は、放送波を介して受信機１００に配信してもよい。そして、通常失効リスト要求・取得手段１１７は、この受信機１００が属するグループをデバイスコードから求め、送信タイミング情報を参照し、求めたグループの送信タイミングを求める。

通常失効リスト要求・取得手段１１７は、通信送受信手段１０５を介して、通常失効リスト要求に応じて、失効リスト管理装置９０から、通常失効リストの差分情報を受信する。そして、通常失効リスト要求・取得手段１１７は、受信した差分情報と記憶済み通常失効リストとのアプリケーションＩＤを比較して、差分情報を記憶済み通常失効リストに反映させる。このとき、通常失効リスト要求・取得手段１１７は、通常失効リストであることを示す値（例えば、‘１’）を、失効リスト区分として通常失効リストに付加する。

ここで、記憶済み通常失効リストに含まれていないアプリケーションＩＤが、差分情報に含まれている場合を考える。この場合、通常失効リスト要求・取得手段１１７は、このアプリケーションＩＤを記憶済み通常失効リストに追加する。
また、差分情報にＩＤ削除情報が含まれている場合を考える。この場合、通常失効リスト要求・取得手段１１７は、ＩＤ削除情報が示すアプリケーションＩＤを記憶済み通常失効リストから削除する。

セキュリティ管理手段１１８は、受信機１００のセキュリティを管理するものであり、アプリケーション認証手段１１９と、リソースアクセス制御手段１２０とを備える。

アプリケーション認証手段１１９は、検証鍵を記憶、管理する検証鍵管理手段（検証鍵記憶手段）１１９ａを備える。また、アプリケーション認証手段１１９は、起動制御手段１０９ａ又は終了制御手段１０９ｂから入力された認証指示に応じて、後記するアプリケーション認証処理を行う（図１３参照）。さらに、アプリケーション認証手段１１９は、認証指示を入力した起動制御手段１０９ａ又は終了制御手段１０９ｂに、アプリケーション認証処理の結果（認証結果）を出力する。

リソースアクセス制御手段１２０は、アプリケーション取得手段１１１が取得したアプリケーションの属性に応じて、このアプリケーションに対して、リソースアクセス制御を行うものである。本実施形態では、リソースアクセス制御手段１２０は、予め設定されたリソースアクセス制御テーブルに基づいて、リソースアクセス制御を行う。

＜リソースアクセス制御＞
図１０を参照して、リソースアクセス制御手段１２０によるリソースアクセス制御を具体的に説明する（適宜図９参照）。
このリソースアクセス制御テーブルは、Ａアプリケーション及び一般アプリケーションのそれぞれが、アクセスできるリソースとアクセスできないリソースとを予め設定したテーブルである。また、リソースアクセス制御テーブルは、図１０に示すように、ＡＰＩ識別子と、ＡＰＩ名と、リソース種類と、アクセス権限というデータ項目を有する。

ＡＰＩ識別子は、リソースにアクセスするＡＰＩを一意に識別する識別子である。
ＡＰＩ名は、そのリソースにアクセスするＡＰＩの名称である。
リソース種別は、そのＡＰＩがアクセスするリソースを示す情報である。
アクセス権限は、Ａアプリケーション及び一般アプリケーションのそれぞれが、そのリソースにアクセスできるか否かを示す。

このリソースは、アプリケーションの動作に必要となるコンテンツ要素及び受信機資源であり、例えば、放送リソース、通信リソース、受信機リソースがある。
この放送リソースは、放送波Ｗで扱われるリソースであり、例えば、映像、音声、字幕、ＰＳＩ（Program Specific Information）／ＳＩ（Service Information）をあげることができる。
また、通信リソースは、ネットワークＮで扱われるリソースであり、例えば、ＴＣＰ（Transmission Control Protocol）、ＵＤＰ（User Datagram Protocol）をあげることができる。
さらに、受信機リソースは、受信機１００のソフトウェア及びハードウェアに関するリソースであり、例えば、映像・音声出力処理、選局処理、メモリ、ストレージをあげることができる。

図１０のリソースアクセス制御テーブルでは、リソースごとに、そのリソースにアクセスする専用のＡＰＩが規定されている。この例では、リソース「映像」にアクセスするＡＰＩが「ｓｕｂＡ（）」であり、リソース「音声」にアクセスするＡＰＩが「ｓｕｂＢ（）」であり、リソース「字幕」にアクセスするＡＰＩが「ｓｕｂＣ（）」であり、リソース「ＳＩ」にアクセスするＡＰＩが「ｓｕｂＤ（）」である。

また、このリソースアクセス制御テーブルでは、Ａアプリケーションが、「映像」、「音声」、「字幕」、「ＳＩ」の全リソースについて、アクセス権限が「○」であるため、アクセスできることを示す。

さらに、このリソースアクセス制御テーブルでは、一般アプリケーションが、「映像」、「音声」、「字幕」等の放送リソースのアクセス権限が「×」であるため、これらリソースにアクセスできないことを示す。一方、このリソースアクセス制御テーブルでは、一般アプリケーションであっても、リソース「ＳＩ」にアクセスできることを示す。

つまり、図１０のリソースアクセス制御テーブルは、Ａアプリケーションが、一般アプリケーションに比べて、幅広いリソースにアクセスできるように設定されている。言い換えるなら、このリソースアクセス制御テーブルでは、一般アプリケーションが、安全性や放送の公共性の観点から、所定のリソースにアクセスできないように設定されている。

ここで、システム管理者又は放送局等の権限を有する者が、このリソースアクセス制御テーブルを作成して、放送波Ｗ又はネットワークＮを介して受信機１００に送信して、受信機１００に記憶されることとしてもよい。これによって、受信機１００では、システム管理者又は放送局が、一般アプリケーションがアクセスできるリソースを管理でき、メンテナンス性が向上する。

なお、リソースアクセス制御テーブルは、図１０の例に限定されない。例えば、リソースアクセス制御テーブルには、放送リソース以外のリソース（例えば、「ＴＣＰ」等の通信リソース）を設定することもできる。

リソースアクセス制御手段１２０は、アプリケーション認証手段１１９から認証結果が入力される。そして、リソースアクセス制御手段１２０は、リソース管理手段１２１からリソース割当可否問合が入力されると、この認証結果に基づいて、リソースの割り当てが可能であるか否かを判定する。

具体的には、認証結果がＡアプリケーションの場合、リソースアクセス制御手段１２０は、リソース割当可否問合に含まれるＡＰＩ名をリソースアクセス制御テーブルの検索キーとして、Ａアプリケーションのアクセス権限を検索して、リソースの割り当ての可否を判定する。例えば、Ａアプリケーションが「ｓｕｂＡ（）」を呼び出した場合、リソースアクセス制御手段１２０は、リソース「映像」のアクセス権限が「○」のため、リソースの割り当てが可能と判定する。そして、リソースアクセス制御手段１２０は、リソースの割り当てが可能であることを示すリソース割当可能を、リソース管理手段１２１に出力する。
なお、Ａアプリケーションのアクセス権限が「×」の場合、リソースアクセス制御手段１２０は、Ａアプリケーションであっても、そのリソースにアクセスすることを禁止する（図１０不図示）。

一方、認証結果が一般アプリケーションの場合、リソースアクセス制御手段１２０は、リソース割当可否問合に含まれるＡＰＩ名をリソースアクセス制御テーブルの検索キーとして、一般アプリケーションのアクセス権限を検索して、リソースの割り当ての可否を判定する。例えば、一般アプリケーションが「ｓｕｂＡ（）」を呼び出した場合、リソースアクセス制御手段１２０は、リソース「映像」のアクセス権限が「×」のため、リソースの割り当てが不可と判定する。また、一般アプリケーションが「ｓｕｂＤ（）」を呼び出した場合、リソースアクセス制御手段１２０は、リソース「ＳＩ」のアクセス権限が「○」のため、リソースの割り当てが可能と判定する。その後、リソースアクセス制御手段１２０は、この判定結果に基づいて、リソースの割り当てが不可であることを示すリソース割当不可、又は、リソース割当可能の何れかを、リソース管理手段１２１に出力する。

図９に戻り、受信機１００の構成について説明を続ける。
リソース管理手段１２１は、各種リソースを管理するものである。ここで、リソース管理手段１２１は、アプリケーション管理・実行制御手段１０９からリソース割当要求が入力されると、このリソース割当要求に応じて、リソース割当可否問合をリソースアクセス制御手段１２０に出力する。
このリソース割当可否問合は、リソースの割り当て可否をリソースアクセス制御手段１２０に問い合わせるものであり、例えば、リソース割当要求に格納されたＡＰＩ名が含まれることとする。

また、リソース管理手段１２１は、リソースアクセス制御手段１２０からリソース割当可否問合の応答が入力される。
ここで、リソース管理手段１２１は、このリソース割当可否問合の応答がリソース割当可能の場合、起動中のアプリケーションにリソースを割り当てる。そして、リソース管理手段１２１は、リソースの割り当てが成功したことを示すリソース割当成功を、アプリケーション管理・実行制御手段１０９に出力する。
一方、リソース管理手段１２１は、このリソース割当可否問合の応答がリソース割当不可の場合、リソースの割り当てが失敗したことを示すリソース割当失敗を、アプリケーション管理・実行制御手段１０９に出力する。

［放送通信連携システムの動作：Ａアプリケーション］
受信機１００がＡアプリケーションを起動するケース（図１１）、及び、受信機１００が一般アプリケーションを起動するケース（図１２）を、図１の放送通信連携システム１の動作として説明する。

図１１に示すように、放送通信連携システム１は、署名鍵発行装置６０によって、署名鍵（秘密鍵）と、この署名鍵に対応する検証鍵（公開鍵）とを発行する（ステップＳ１）。

放送通信連携システム１は、署名鍵発行装置６０が生成した検証鍵を、任意の方法で受信機１００に配布する。例えば、この検証鍵は、受信機１００を製造するメーカに送信され、受信機１００に予め記録される（プリインストール）。この他、この検証鍵を記録したＩＣカードをユーザにオフラインで送信し、各ユーザがＩＣカードに記憶された検証鍵を受信機１００に読み取らせてもよい（ステップＳ２）。

放送通信連携システム１は、署名鍵発行装置６０によって、生成した署名鍵をアプリケーション登録装置７０に出力する。例えば、署名鍵発行装置６０は、システム管理者からの指令に応じて、この署名鍵をアプリケーション登録装置７０に出力（発行）する（ステップＳ３）。
なお、ステップＳ１〜Ｓ３の処理は、Ａアプリケーションの登録を開始するまでに１回実行すればよく、Ａアプリケーションを登録する都度、実行しなくともよい。

放送通信連携システム１は、アプリケーションＩＤ生成装置５０によって、アプリケーションＩＤを生成する（ステップＳ４）。そして、放送通信連携システム１は、アプリケーションＩＤ生成装置５０によって、生成したアプリケーションＩＤを、アプリケーション登録装置７０に出力する(ステップＳ５)。

放送通信連携システム１は、アプリケーション管理装置４０に記憶されたアプリケーションを、アプリケーション登録装置７０に任意の方法で出力する。例えば、このアプリケーションは、ネットワークＮを介して、アプリケーション登録装置７０に送信される。また、このアプリケーションが格納された記録媒体をシステム管理者にオフラインで送信し、システム管理者がこのアプリケーションをアプリケーション登録装置７０に手動で入力してもよい（ステップＳ６）。

放送通信連携システム１は、アプリケーション登録装置７０によって、アプリケーション管理装置４０から入力されたアプリケーションに、アプリケーションＩＤ生成装置５０から入力されたアプリケーションＩＤを付加する（ステップＳ７）。

放送通信連携システム１は、アプリケーション登録装置７０によって、署名鍵発行装置６０から署名鍵が入力された署名鍵を用いて、アプリケーション用署名を生成する（ステップＳ８）。

放送通信連携システム１は、アプリケーション登録装置７０によって、アプリケーションＩＤ付きアプリケーションに、生成したアプリケーション用署名を付加する（ステップＳ９）。そして、放送通信連携システム１は、アプリケーション登録装置７０によって、アプリケーション用署名が付加されたアプリケーションをリポジトリ８０に送信し、リポジトリ８０によって、Ａアプリケーションを記憶、管理する（ステップＳ１０）。

放送通信連携システム１は、受信機１００によって、Ａアプリケーションをリポジトリ８０に要求する（ステップＳ１１）。そして、放送通信連携システム１は、受信機１００によって、要求したＡアプリケーションをリポジトリ８０から取得する（ステップＳ１２）。

放送通信連携システム１は、受信機１００によって、取得したアプリケーションを認証対象アプリケーションとして、アプリケーション認証処理を行う（ステップＳ１３）。
ここでは、放送通信連携システム１は、受信機１００によって、認証結果がＡアプリケーションのため、取得したアプリケーションをＡアプリケーションとして起動する（ステップＳ１４）。

［放送通信連携システムの動作：一般アプリケーション］
図１２に示すように、放送通信連携システム１は、一般アプリケーションをアプリケーションサーバ３０に要求する（ステップＳ２１）。そして、放送通信連携システム１は、受信機１００によって、要求した一般アプリケーションをアプリケーションサーバ３０から取得する（ステップＳ２２）。

放送通信連携システム１は、受信機１００によって、取得したアプリケーションを認証対象アプリケーションとして、アプリケーション認証処理を行う（ステップＳ２３）。
ここでは、放送通信連携システム１は、受信機１００によって、認証結果が一般アプリケーションのため、取得したアプリケーションを一般アプリケーションとして起動する（ステップＳ２４）。

［受信機の動作：アプリケーション認証処理］
図１３を参照して、受信機１００の動作として、アプリケーション認証処理（図１１のステップＳ１３、図１２のステップＳ２３）について説明する（適宜図７参照）。

＜ステップＳ１３１：認証指示の入力＞
アプリケーション認証手段１１９は、起動制御手段１０９ａ又は終了制御手段１０９ｂから、認証指示が入力される（ステップＳ１３１）。

＜ステップＳ１３２：アプリケーションＩＤ等の読み出し＞
アプリケーション認証手段１１９は、アプリケーション記憶手段１１２から、認証対象アプリケーションに付加されたアプリケーションＩＤ、アプリケーション用署名及び署名元メッセージを読み出す。また、アプリケーション認証手段１１９は、検証鍵管理手段１１９ａから検証鍵を読み出す。そして、アプリケーション認証手段１１９は、失効リスト記憶手段１１６から、緊急失効リスト及び通常失効リストを読み出す（ステップＳ１３２）。

＜ステップＳ１３３：アプリケーション用署名の有無判定＞
アプリケーション認証手段１１９は、認証対象アプリケーションにアプリケーション用署名が付加されているか否かを判定する（ステップＳ１３３）。
認証対象アプリケーションにアプリケーション用署名が付加されている場合（ステップＳ１３３でＹｅｓ）、アプリケーション認証手段１１９は、ステップＳ１３４の処理に進む。

＜ステップＳ１３４：アプリケーション用署名の正当性判定＞
アプリケーション認証手段１１９は、検証鍵によりアプリケーション用署名が正当であるか否かを判定する。例えば、アプリケーション認証手段１１９は、認証対象アプリケーションに付加されたアプリケーション用署名と、署名元メッセージと、検証鍵とを用いて、アプリケーション用署名が正当であるか否かを判定する。ここで、アプリケーション用署名が正当とは、検証鍵で復号化したアプリケーション用署名と、署名元メッセージとが一致することである。

さらに、Key-insulated署名方式を用いた場合、アプリケーション認証手段１１９は、アプリケーション用署名の正当性だけでなく、アプリケーション本体の正当性と、アプリケーションＩＤの正当性とを判定することもできる（ステップＳ１３４）。
アプリケーション用署名が正当な場合（ステップＳ１３４でＹｅｓ）、アプリケーション認証手段１１９は、ステップＳ１３５の処理に進む。

＜ステップＳ１３５：通常失効リストの正当性判定＞
アプリケーション認証手段１１９は、読み出した通常失効リストに付加された検証用情報を用いて、この通常失効リストが正当であるか否かを判定する。

失効リスト用検証情報がハッシュ値の場合、アプリケーション認証手段１１９は、通常失効リスト生成手段９０４と同様の手法で検証元メッセージを生成する。そして、アプリケーション認証手段１１９は、生成した検証元メッセージにハッシュ関数を適用し、検証元メッセージのハッシュ値を算出する。さらに、アプリケーション認証手段１１９は、失効リスト用検証情報と、検証元メッセージのハッシュ値とを比較して、これらが一致するか否かによって、通常失効リストの正当性を判定する。

また、失効リスト用検証情報がＭＡＣ値の場合、アプリケーション認証手段１１９は、通常失効リスト生成手段９０４と同様の手法で検証元メッセージを生成する。そして、アプリケーション認証手段１１９は、共有鍵を用いて、検証元メッセージのＭＡＣ値を算出する。さらに、アプリケーション認証手段１１９は、失効リスト用検証情報と、検証元メッセージのＭＡＣ値とを比較して、これらが一致するか否かによって、通常失効リストの正当性を判定する。

また、失効リスト用検証情報が失効リスト用署名の場合、アプリケーション認証手段１１９は、通常失効リスト生成手段９０４と同様の手法で検証元メッセージを生成する。そして、アプリケーション認証手段１１９は、検証鍵を用いて、失効リスト用署名を復号化する。さらに、アプリケーション認証手段１１９は、復号化した失効リスト用署名と、生成した検証元メッセージとを比較して、これらが一致するか否かによって、通常失効リストの正当性を判定する（ステップＳ１３５）。

通常失効リストが正当な場合（ステップＳ１３５でＹｅｓ）、アプリケーション認証手段１１９は、ステップＳ１３６の処理に進む。
なお、アプリケーション認証手段１１９は、失効リスト区分の値により、緊急失効リストと通常失効リストとを区別することができる。

＜ステップＳ１３６：Ａアプリケーションの失効判定＞
アプリケーション認証手段１１９は、認証対象のアプリケーションのＩＤが、緊急失効リストと通常失効リストとに含まれるか否かを判定する（ステップＳ１３６）。

＜ステップＳ１３７〜Ｓ１４０：認証結果の出力＞
認証対象アプリケーションのアプリケーションＩＤが緊急失効リスト及び通常失効リストの何れにも含まれない場合（ステップＳ１３６でＹｅｓ）、アプリケーション認証手段１１９は、認証対象アプリケーションをＡアプリケーションとして認証し（ステップＳ１３７）、アプリケーション認証処理を終了する。

認証対象アプリケーションにアプリケーション用署名が付加されていない場合（ステップＳ１３３でＮｏ）、アプリケーション認証手段１１９は、認証対象アプリケーションを一般アプリケーションと判定し（ステップＳ１３８）、アプリケーション認証処理を終了する。

アプリケーション用署名が正当でない場合（ステップＳ１３４でＮｏ）、アプリケーション認証手段１１９は、認証対象アプリケーションを不正なＡアプリケーションと判定し（ステップＳ１３９）、アプリケーション認証処理を終了する。

通常失効リストが正当でない場合（ステップＳ１３５でＮｏ）、アプリケーション認証手段１１９は、認証対象アプリケーションを失効と判定し（ステップＳ１３８）、アプリケーション認証処理を終了する。

認証対象アプリケーションのアプリケーションＩＤが緊急失効リスト又は通常失効リストの何れかに含まれる場合（ステップＳ１３６でＮｏ）、アプリケーション認証手段１１９は、認証対象アプリケーションを失効と判定し（ステップＳ１４０）、アプリケーション認証処理を終了する。

以上のように、本発明の実施形態に係る放送通信連携システム１は、放送波Ｗを介して、緊急性が高い緊急失効リストをリアルタイムで配信し、ネットワークＮを介して、緊急性が低い通常失効リストを配信する。さらに、放送通信連携システム１は、視聴者に不利益をもたらすＡアプリケーションが起動中であっても、緊急失効リストにより、このＡアプリケーションを即座に強制終了させる。このため、放送通信連携システム１は、放送と通信とを効率的に利用して、視聴者に不利益をもたらすＡアプリケーションの実行を適切に管理できる。

さらに、受信機１００は、Key-insulated署名方式を用いた場合、アプリケーション認証処理において、アプリケーション用署名の正当性と、アプリケーション本体の正当性と、アプリケーションＩＤの正当性と、通常失効リストの正当性とを判定し、より適切なアプリケーション認証処理を行うことができる。

さらに、受信機１００は、通常失効リストの差分情報を受信するため、通常失効リストをそのまま受信する場合に比べて、データ伝送量を抑え、ネットワークＮの負荷を抑えることができる。さらに、受信機１００は、通常失効リストの差分更新を可能とし、更新処理の高速化を図ることができる。

さらに、放送通信連携システム１は、受信機１００の間で通常失効リストを要求するタイミングが分散するため、失効リスト管理装置９０に要求が集中する事態を防止し、ネットワークＮの負荷を抑えることができる。

（変形例）
以上、本発明の実施形態について説明したが、本発明はこれに限定されるものではなく、その趣旨を変えない範囲で実施することができる。実施形態の変形例を以下に示す。

なお、本実施形態では、図１に示すように、放送局が失効リスト管理装置９０を管理することとして説明したが、本発明は、これに限定されない。例えば、本発明では、図１４に示すように、システム管理者等の信頼できる機関が、失効リスト管理装置９０を管理すればよい。

なお、本実施形態では、失効リスト管理装置９０が差分情報を受信機１００に送信することとして説明したが、本発明は、これに限定されない。例えば、失効リスト管理装置９０は、最新バージョンの通常失効リストをそのまま受信機１００に送信する。そして、受信機１００は、受信した通常失効リストを記憶済み通常失効リストに置き換える。
また、受信機１００が、最新バージョンの通常失効リストと記憶済み通常失効リストとの差分を求め、求めた差分を失効リスト管理装置９０からダウンロード（受信）してもよい。

なお、本実施形態では、放送波Ｗが安全なため、緊急失効リストに失効リスト検証用情報を付加しないこととして説明したが、本発明は、これに限定されない。例えば、本発明では、緊急失効リストは、通常失効リストと同様に失効リスト検証用情報が付加され、アプリケーション認証処理において、緊急失効リストの正当性を判定してもよい。

なお、本実施形態では、アプリケーションにアプリケーション用署名を付加することとして説明したが、本発明は、これに限定されない。例えば、本発明では、署名鍵・検証鍵でアプリケーションを暗号化・復号化することで、アプリケーションそのものをアプリケーション用署名として扱うこともできる。

なお、本実施形態では、署名鍵・検証鍵をそれぞれ１個として説明したが、本発明は、これに限定されない。例えば、本発明は、サービス事業者ごとに署名鍵・検証鍵を発行してもよく、Ａアプリケーションごとに署名鍵・検証鍵を発行してもよい。

なお、本実施形態では、Ａアプリケーション及び一般アプリケーションを制作するサービス事業者をそれぞれ１つとして説明したが、複数であってもよい。また、同一のサービス事業者がＡアプリケーション及び一般アプリケーションの両方を制作してもよい。さらに、放送局がサービス事業者として、アプリケーションを制作してもよい。

なお、本実施形態では、Ａアプリケーションを１つのリポジトリ８０に集約して、受信機１００に配布することとして説明したが、これに限定されない。例えば、本発明に係る放送通信連携システム１は、複数のリポジトリを備えており、各リポジトリ８０が受信機１００にＡアプリケーションを配布してもよい（不図示）。
また、システム管理者がアプリケーション用署名及びアプリケーションＩＤを発行した後、これをサービス事業者Ｂに配布して、サービス事業者Ｂがアプリケーションにアプリケーション用署名・アプリケーションＩＤを付加してもよい。この場合、Ａアプリケーションは、サービス事業者Ｂによって管理されるアプリケーションサーバ（不図示）から直接、受信機１００に配布される。

１ 放送通信連携システム
１０ 放送送信装置
１００ 受信機（放送通信連携受信装置）
１０１ 放送受信手段
１０２ 放送信号解析手段
１０３ 映像・音声復号手段
１０４ データ放送復号手段
１０４ａ 緊急失効リスト取得手段
１０５ 通信送受信手段
１０６ アプリケーション起動情報取得手段
１０７ アプリケーション起動情報記憶手段
１０８ リスト制御手段
１０９ アプリケーション管理・実行制御手段
１０９ａ 起動制御手段
１０９ｂ 終了制御手段
１０９ｃ 蓄積管理手段
１１０ 起動アプリケーション識別情報記憶手段
１１１ アプリケーション取得手段
１１２ アプリケーション記憶手段
１１３ アプリケーション実行手段
１１４ 操作制御手段
１１５ 合成表示手段
１１６ 失効リスト記憶手段
１１７ 通常失効リスト要求・取得手段（通常失効リスト取得手段）
１１８ セキュリティ管理手段
１１９ アプリケーション認証手段
１１９ａ 検証鍵管理手段（検証鍵記憶手段）
１２０ リソースアクセス制御手段
１２１ リソース管理手段
２０，２０Ａ，２０Ｂ コンテンツ配信サーバ
３０ アプリケーションサーバ
３００ アプリケーション入力手段
３０１ アプリケーション記憶手段
３０２ アプリケーション送信手段
４０ アプリケーション管理装置
５０ アプリケーションＩＤ生成装置
５００ アプリケーションＩＤ生成手段
５０１ アプリケーションＩＤ出力手段
６０ 署名鍵発行装置
６００ 署名鍵・検証鍵生成手段
６０１ 署名鍵管理手段
６０２ 署名鍵管理手段
７０ アプリケーション登録装置
７００ アプリケーション入力手段
７０１ アプリケーションＩＤ入力手段
７０２ アプリケーションＩＤ付加手段
７０３ 署名鍵入力手段
７０４ 署名生成手段
７０５ 署名付加手段
７０６ アプリケーション出力手段
８０ リポジトリ
８００ アプリケーション入力手段
８０１ アプリケーション記憶手段
８０２ アプリケーション送信手段
９０ 失効リスト管理装置
９００ 緊急失効リスト用アプリケーションＩＤ入力手段
９０１ 緊急失効リスト生成手段
９０２ 緊急失効リスト出力手段
９０３ 通常失効リスト用アプリケーションＩＤ入力手段
９０４ 通常失効リスト生成手段
９０５ 通常失効リスト記憶手段
９０６ 通常失効リスト要求受信手段
９０７ 通常失効リスト送信手段

Claims (6)

1. 放送番組を送信する放送送信装置と、秘密情報である署名鍵及び当該署名鍵に対応する公開情報である検証鍵を発行する署名鍵発行装置と、前記署名鍵により生成したアプリケーション用署名、及び、所定の命名規約により生成した識別情報をアプリケーションに付加するアプリケーション登録装置と、前記アプリケーション用署名及び前記識別情報が付加されたアプリケーションであるＡアプリケーションを記憶するリポジトリと、強制終了させる前記Ａアプリケーションの識別情報が含まれる緊急失効リスト、及び、起動を中止する前記Ａアプリケーションの識別情報が含まれる通常失効リストを記憶する失効リスト管理装置とを含む放送通信連携システムに配置され、前記放送番組を受信する放送通信連携受信装置であって、
   ネットワークを介して、前記リポジトリから前記Ａアプリケーションを取得するアプリケーション取得手段と、
   放送波を介して、前記失効リスト管理装置から前記緊急失効リストを取得すると共に、当該緊急失効リストを取得したことを示すアプリ失効情報通知を出力する緊急失効リスト取得手段と、
   前記ネットワークを介して、前記失効リスト管理装置から前記通常失効リストを取得する通常失効リスト取得手段と、
   前記緊急失効リストと、前記通常失効リストとを用いて、少なくとも、認証対象アプリケーションが失効している否かを判定するアプリケーション認証処理を行うアプリケーション認証手段と、
   前記Ａアプリケーションを起動するとき、起動する前記Ａアプリケーションを前記認証対象アプリケーションとした前記アプリケーション認証処理を前記アプリケーション認証手段に指示し、前記起動するＡアプリケーションが失効していると判定された場合、当該Ａアプリケーションの起動を中止する起動制御手段と、
   前記緊急失効リスト取得手段から前記アプリ失効情報通知が入力されたとき、起動中の前記Ａアプリケーションを前記認証対象アプリケーションとした前記アプリケーション認証処理を前記アプリケーション認証手段に指示し、前記起動中のＡアプリケーションが失効していると判定された場合、当該Ａアプリケーションを強制終了させる終了制御手段と、
   を備えることを特徴とする放送通信連携受信装置。
2. 前記検証鍵を予め記憶する検証鍵記憶手段と、
   前記通常失効リスト取得手段は、失効リスト用検証情報として、ハッシュ値、ＭＡＣ値又は失効リスト用署名がさらに付加された通常失効リストを取得し、
   前記アプリケーション認証手段は、前記アプリケーション認証処理として、
   前記検証鍵を用いて、前記認証対象アプリケーションのアプリケーション用署名が正当であるか否かを判定し、前記アプリケーション用署名が正当でない場合、当該認証対象アプリケーションが失効していると判定し、
   前記失効リスト用検証情報を用いて、前記通常失効リストが正当であるか否かを判定し、当該通常失効リストが正当でない場合、前記認証対象アプリケーションが失効していると判定し、
   前記認証対象アプリケーションの識別情報が前記緊急失効リスト又は前記通常失効リストに含まれるか否かを判定し、前記識別情報が前記緊急失効リスト及び前記通常失効リストに含まれない場合、当該認証対象アプリケーションを前記Ａアプリケーションとして認証し、前記識別情報が前記緊急失効リスト又は前記通常失効リストに含まれる場合、当該認証対象アプリケーションが失効していると判定することを特徴とする請求項１に記載の放送通信連携受信装置。
3. 前記通常失効リストを記憶する失効リスト記憶手段をさらに備え、
   前記通常失効リスト取得手段は、前記失効リスト管理装置に記憶された最新の通常失効リストと、前記失効リスト記憶手段に記憶された通常失効リストとの差分情報を、当該失効リスト管理装置から受信し、受信した前記差分情報を前記失効リスト記憶手段の通常失効リストに反映させることを特徴とする請求項１又は請求項２に記載の放送通信連携受信装置。
4. 前記通常失効リスト取得手段は、前記アプリケーションの起動時、ローンチャーの起動時、当該放送通信連携受信装置に固有のデバイスコードが属するグループ毎に予め設定されたタイミング、又は、当該放送通信連携受信装置の待機時間内の何れか１以上で、前記差分情報を前記失効リスト管理装置に要求することを特徴とする請求項３に記載の放送通信連携受信装置。
5. 放送番組を送信する放送送信装置と、秘密情報である署名鍵及び当該署名鍵に対応する公開情報である検証鍵を発行する署名鍵発行装置と、前記署名鍵により生成したアプリケーション用署名、及び、所定の命名規約により生成した識別情報をアプリケーションに付加するアプリケーション登録装置と、前記アプリケーション用署名及び前記識別情報が付加されたアプリケーションであるＡアプリケーションを記憶するリポジトリと、強制終了させる前記Ａアプリケーションの識別情報が含まれる緊急失効リスト、及び、起動を中止する前記Ａアプリケーションの識別情報が含まれる通常失効リストを記憶する失効リスト管理装置とを含む放送通信連携システムに配置され、前記放送番組を受信する検証鍵記憶手段を備えるコンピュータを、
   ネットワークを介して、前記リポジトリから前記Ａアプリケーションを取得するアプリケーション取得手段、
   放送波を介して、前記失効リスト管理装置から前記緊急失効リストを取得すると共に、当該緊急失効リストを取得したことを示すアプリ失効情報通知を出力する緊急失効リスト取得手段、
   前記ネットワークを介して、前記失効リスト管理装置から前記通常失効リストを取得する通常失効リスト取得手段、
   前記緊急失効リストと、前記通常失効リストとを用いて、少なくとも、認証対象アプリケーションが失効している否かを判定するアプリケーション認証処理を行うアプリケーション認証手段、
   前記Ａアプリケーションを起動するとき、起動する前記Ａアプリケーションを前記認証対象アプリケーションとした前記アプリケーション認証処理を前記アプリケーション認証手段に指示し、前記起動するＡアプリケーションが失効していると判定された場合、当該Ａアプリケーションの起動を中止する起動制御手段、
   前記緊急失効リスト取得手段から前記アプリ失効情報通知が入力されたとき、起動中の前記Ａアプリケーションを前記認証対象アプリケーションとした前記アプリケーション認証処理を前記アプリケーション認証手段に指示し、前記起動中のＡアプリケーションが失効していると判定された場合、当該Ａアプリケーションを強制終了させる終了制御手段、
   として機能させるためのアプリケーション認証プログラム。
6. 請求項１に記載の放送通信連携受信装置と、
   前記放送番組を送信する放送送信装置と、
   前記署名鍵及び前記検証鍵を発行する署名鍵発行装置と、
   前記アプリケーションに前記アプリケーション用署名及び前記識別情報を付加するアプリケーション登録装置と、
   前記アプリケーション用署名及び前記識別情報が付加されたＡアプリケーションを記憶するリポジトリと、
   前記緊急失効リスト及び前記通常失効リストを記憶する失効リスト管理装置と、
   を備えることを特徴とする放送通信連携システム。

Images