JP2019165485A - 受信装置および受信方法 - Google Patents

Abstract

【課題】放送外マネージドアプリケーションを用いたサービスの品質向上を図る。【解決手段】この情報処理装置は、放送を受信可能な放送受信部と、放送のリソースを利用するアプリケーションによるリソースの利用許諾範囲を示す第１の利用許諾情報が少なくとも格納された第１のアプリケーション情報テーブルを通信により取得してアプリケーションの動作を制御し、アプリケーションの実行中、放送受信部を用いて、アプリケーションによる前記リソースの利用許諾範囲を示す第２の利用許諾情報が少なくとも格納された第２のアプリケーション情報テーブルを取得してアプリケーションの動作を制御するように構成される情報処理装置。【選択図】図８

Description

本技術は、放送コンテンツの提示とともに、アプリケーション情報テーブルを用いてアプリケーションを実行することが可能な情報処理装置、この情報処理装置にて受信される放送コンテンツを送出する放送装置、および情報処理装置による受信方法に関する。

近年、放送コンテンツの再生と同時に、インターネット等のネットワークを通じて配信されるアプリケーションの実行を行うことを可能とする技術が知られている。このような技術として、ハイブリッドブロードバンド放送（Hybrid Broadcast Broadband TV、以下「ＨｂｂＴＶ」と称する。）と呼ばれる技術が知られている。ＨｂｂＴＶの標準規格として、欧州では「ETSI TS 102 796」（非特許文献１参照。）が策定されている。また、我が国でもこれに相当する標準規格「IPTVFJ STD-0010」（非特許文献２参照。）、「IPTVFJ STD-0011」（非特許文献３参照。）が策定されている。

例えばＨｂｂＴＶなどのように、放送コンテンツの再生と同時にアプリケーションが実行されるシステムでは、アプリケーションの起動から終了までのライフサイクルが、放送コンテンツに重畳されたＡＩＴセクション（Application Information Table）と呼ばれるデータ構造によって管理される。ＡＩＴセクションを取得した情報端末は、ＡＩＴセクションに含まれるアプリケーション制御用のコードをもとにアプリケーションの制御を行う。

また、放送ＡＩＴセクションと同等の情報を有し、インターネットなど通信網を利用して受信機にアプリケーションに関する情報を提供するために最適なフォーマットとして、ＸＭＬ形式で記述されたＸＭＬ−ＡＩＴがある。

ETSI（European Telecommunications Standards Institute）「ETSI TS 102 796 V1.1.1 （2010-06)」http://www.etsi.org/deliver/etsi_ts/102700_102799/102796/01.01.01_60/ts_102796v010101p.pdf（平成２３年１０月２１日閲覧） 一般社団法人IPTVフォーラム「放送通信連携システム仕様1.0 版」https://www.iptvforum.jp/download/input.html（平成２５年１２月４日閲覧） 一般社団法人IPTVフォーラム「IPTVFJ STD-0011 HTML5 ブラウザ仕様1.0 版」https://www.iptvforum.jp/download/input.html（平成２５年１２月４日閲覧）

今後、放送局以外の事業者、例えば端末メーカやサードパーティなどのアプリケーション事業者から、放送番組を何らかのかたちで利用するアプリケーションが提供されることが想定される。以後、このようなアプリケーションを「放送外マネージドアプリケーション」と呼ぶこととする。

しかし、このような放送外マネージドアプリケーションを利用したサービスを実際に運用するにあたっては、解決すべき様々な課題が未だ残されており、その対策が望まれている。

以上のような事情を鑑み、本技術の目的は、サービス提供者が放送外マネージドアプリケーションの挙動の制約を精緻に反映させ、サービスの品質を向上させることのできる情報処理装置、放送装置および受信方法を提供することにある。

上記の課題を解決するために、本技術に係る情報処理装置は、
放送を受信可能な放送受信部と、
前記放送のリソースを利用するアプリケーションによる前記リソースの利用許諾範囲を示す第１の利用許諾情報が少なくとも格納された第１のアプリケーション情報テーブルを通信により取得して前記アプリケーションの動作を制御し、前記アプリケーションの実行中、前記放送受信部を用いて、前記アプリケーションによる前記リソースの利用許諾範囲を示す第２の利用許諾情報が少なくとも格納された第２のアプリケーション情報テーブルを取得して前記アプリケーションの動作を制御するように構成されるコントローラと
を具備する。

前記コントローラは、前記第１のアプリケーション情報テーブルの情報をもとに前記アプリケーションを取得し、前記取得したアプリケーションを起動させるように構成されるものであってよい。

前記コントローラは、前記第１の利用許諾情報と前記第２の利用許諾情報とを比較して差分が検出された場合、前記第１の利用許諾情報から前記第２の利用許諾情報に切り替えて、前記アプリケーションによる前記リソースの利用範囲を制御するように構成されてもよい。

前記アプリケーションは、放送局以外の第三者によって提供されるアプリケーションであってよい。

本技術に係る情報処理装置において、前記第１のアプリケーション情報テーブルおよび前記第２のアプリケーション情報テーブルは、前記アプリケーションを表示させてもよいディスプレイ画面上の領域を定義するエリア情報を格納し、
前記コントローラは、前記エリア情報をもとに前記領域を設定し、この領域に前記アプリケーションを表示させるように構成されてもよい。

本技術に係る放送装置は、
放送リソースを利用可能なアプリケーションによる前記放送リソースの利用許諾範囲を示す利用許諾情報が少なくとも格納されたアプリケーション情報テーブルを含む放送信号を送信する放送部
を具備するものである。

前記放送部は、前記アプリケーションを表示させてもよいディスプレイ画面上の領域を定義するエリア情報を前記アプリケーション情報テーブルに格納して送出するように構成されるものであってよい。

本技術に係る受信方法は、
コントローラが、放送のリソースを利用するアプリケーションによる前記リソースの利用許諾範囲を示す第１の利用許諾情報が少なくとも格納された第１のアプリケーション情報テーブルを通信により取得して前記アプリケーションの動作を制御し、
前記アプリケーションの実行中、放送より、前記アプリケーションによる前記リソースの利用許諾範囲を示す第２の利用許諾情報が少なくとも格納された第２のアプリケーション情報テーブルを取得して前記アプリケーションの動作を制御する。

以上のように、本技術によれば、サービス提供者が放送外マネージドアプリケーションの挙動の制約を精緻に反映させ、サービスの品質を向上させることができる。

本実施形態の情報処理システムの概要を示す図である。 ＸＭＬ−ＡＩＴのデータ構造を示す図である。 利用許諾情報記述子のシンタクスを示す図である。 セクションＡＩＴのデータ構造を示す図である。 外部アプリケーション制御記述子のシンタクスを示す図である。 アプリケーション制御コードの定義を示す図である。 本実施形態の情報処理装置の構成を示すブロック図である。 放送局、アプリケーションサーバ、ＸＭＬ−ＡＩＴサーバ、および情報処理装置の間でのやりとりの流れを示すシーケンス図である。 情報処理装置のアプリケーションコントローラによる処理手順を示すフローチャートである。 放送外マネージドアプリケーションの実行中にダイレクト選局操作が発生した場合の放送局、アプリケーションサーバ、ＸＭＬ−ＡＩＴサーバ、および情報処理装置の間でのやりとりの流れを示すシーケンス図である。 放送外マネージドアプリケーションの実行中にダイレクト選局操作が発生した場合のアプリケーションコントローラの制御の流れを示すフローチャートである。 ＸＭＬ−ＡＩＴの利用許諾情報記述子２１の中のオーバーレイエリア情報に基づくオーバーレイエリアの設定例を示す図である。 オーバーレイエリアの第１の更新例を示す図である。 オーバーレイエリアの第２の更新例を示す図である。 オーバーレイエリアの第３の更新例を示す図である。 電子署名の生成と検証の仕組みについて説明するためのブロック図である。 専用モジュール方式の概念図である。 放送局公開鍵証明書記述子の構成を示す図である。 専用モジュール方式による放送局公開鍵証明書の取得および更新に関するフローチャートである。 データ放送拡張方式（その１）によるルート証明書記述子の構成を示す図である。 データ放送拡張方式（その１）による放送局公開鍵証明書の取得および更新に関するフローチャートである。 データ放送拡張方式（その２）によるルート証明書記述子の構成を示す図である。 データ放送拡張方式（その２）による放送局公開鍵証明書の取得および更新に関するフローチャートである。 電子署名およびハッシュ値の生成とこれらの検証の仕組みについて説明するための図である。

以下、本技術の実施の形態を図面をもとに説明する。
＜第１の実施形態＞
［情報処理システム］
図１は、本実施形態の情報処理システムの構成を示す図である。
本実施形態の情報処理システム１０は、放送局１００と、インターネットなどの第１のネットワーク２００と、アプリケーションサーバ３００と、ＸＭＬ−ＡＩＴサーバ４００と、エッジルータ５００と、ＬＡＮ（Local Area Network）などの第２のネットワーク６００と、放送用の受信機としての情報処理装置７００とを有する。

放送局１００（放送装置）は、例えば、地上波、衛星波、ＩＰ（Internet Protocol）ネットワークなどの通信媒体を介してデジタル放送信号を送信する放送設備（放送部）を有する。放送局１００は、映像、音声、字幕などの各トランスポートストリームが多重化されたＡＶストリームと、ＡＶストリームに付随するデータなどが重畳されたいわゆる放送ストリームを送出する。ＡＶストリームに付随するデータとしては、ＨＴＭＬ、ＢＭＬなどなどのマークアップ言語やJava（登録商標）スクリプトなどのスクリプト言語で記述された放送マネージドアプリケーション、放送マネージドアプリケーションおよび放送外マネージドアプリケーションの動作を制御するためのセクション形式のＡＩＴ（Application Information Table）などが含まれる。以後、このＡＩＴを「セクションＡＩＴ」と呼ぶ。このセクションＡＩＴは特許請求の範囲の「第２のアプリケーション情報テーブル」に相当する。

なお、本実施形態において、映像、音声、字幕などの各トランスポートストリームが多重化されて伝送されるＡＶストリームのことを「放送コンテンツ」と呼び、この用語にはアプリケーション、セクションＡＩＴの意味は含まれないこととする。

アプリケーションサーバ３００は、第１のネットワーク２００に接続可能とされ、第１のネットワーク２００を通じて情報処理装置７００に、放送コンテンツとともに処理されるアプリケーションを提供する。ここで、アプリケーションサーバ３００から供給されるアプリケーションを「放送外マネージドアプリケーション」と呼び、放送局１００より供給されるアプリケーションである「放送マネージドアプリケーション」と区別して表記することとする。

なお、セクションＡＩＴは、元々は、放送マネージドアプリケーションを放送コンテンツと連動して動作させるように制御するための情報である。本実施形態では、放送外マネージドアプリケーションの制御にも利用できるようにセクションＡＩＴのシンタクスが規定された。このセクションＡＩＴのシンタクスの詳細については後で説明する。

ＸＭＬ−ＡＩＴサーバ４００は、第１のネットワーク２００に接続可能とされ、第１のネットワーク２００を通じて情報処理装置７００に、アプリケーションサーバ３００から提供される、放送外マネージドアプリケーションに対応するＸＭＬ−ＡＩＴを情報処理装置７００からのリクエストに応じて配信する。このＸＭＬ−ＡＩＴは放送外マネージドアプリケーションの少なくとも起動の制御するための情報を含む。これに対して、セクションＡＩＴは、ＸＭＬ−ＡＩＴに従って起動された放送外マネージドアプリケーションの起動後の動作を制御するための情報を含む。このＸＭＬ−ＡＩＴは特許請求の範囲の「第１のアプリケーション情報テーブル」に相当する。

なお、アプリケーションサーバ３００とＸＭＬ−ＡＩＴサーバ４００は１つのサーバであってもよい。アプリケーションサーバ３００とＸＭＬ−ＡＩＴサーバ４００は、それぞれＣＰＵ、メインメモリ、データ記憶装置、ユーザインタフェースなどを備え、典型的なコンピュータとしての構成を備える。メインメモリあるいはデータ記憶装置には、上記のコンピュータをテーブル伝送部として機能させるためのプログラムが格納されている。

エッジルータ５００は、第１のネットワーク２００と第２のネットワーク６００とを接続するためのルータである。第２のネットワーク６００は有線、無線を問わない。

情報処理装置７００は、例えば、パーソナルコンピュータ、携帯電話、スマートフォン、テレビジョン装置、ゲーム機、タブレット端末、オーディオ・ビデオ再生機器などであるが、具体的な製品の形態は問わない。

情報処理装置７００は、放送局１００からデジタル放送信号を受信し、復調してトランスポートストリームを得る。情報処理装置７００は、このトランスポートストリームから放送ストリームを分離し、デコードして情報処理装置７００に接続される表示部（図示せず）及びスピーカ部（図示せず）や、記録装置（図示せず）に出力することが可能である。

なお、表示部、スピーカ部および記録装置はそれぞれ、情報処理装置７００と一体であってもよいし、互いに独立した機器として直接又は第２のネットワーク６００を介して情報処理装置７００に接続されていてもよい。あるいは、表示部及びスピーカ部を有する機器（図示せず）が直接又は第２のネットワーク６００を介して情報処理装置７００に接続されていてもよい。

情報処理装置７００は、ＸＭＬ−ＡＩＴサーバ４００からＸＭＬ−ＡＩＴを取得し、このＸＭＬ−ＡＩＴに記述されたロケーション情報をもとにアプリケーションサーバ３００にアクセスする。情報処理装置７００は、アプリケーションサーバ３００から、ＸＭＬ−ＡＩＴの制御対象である放送外マネージドアプリケーションを取得する。

情報処理装置７００は、取得したＸＭＬ−ＡＩＴから制御対象である放送外マネージドアプリケーションのアプリケーション識別子を抽出し、受信されたトランスポートストリームに多重化された１以上のセクションＡＩＴの中から当該アプリケーション識別子を有するセクションＡＩＴを抽出する。情報処理装置７００は、このセクションＡＩＴに従って、既に起動された放送外マネージドアプリケーションの動作を制御する。

［アプリケーション］
次に、放送マネージドアプリケーションおよび放送外マネージドアプリケーションなどのアプリケーションについて説明する。アプリケーションは、放送局１００およびアプリケーションサーバ３００から情報処理装置７００に提供される。アプリケーションは、例えばＨＴＭＬ（Hyper Text Markup Language）文書、ＢＭＬ文書（Broadcast Markup Language）、ＭＨＥＧ文書（Multimedia and Hypermedia information coding）、Ｊａｖａ（登録商標）スクリプト、静止画ファイル、動画ファイルなどで構成される。

アプリケーションは可視的な状態と不可視の状態をとり得る。可視的な状態とは、画面を通じてそのアプリケーションの動作をユーザが視ることのできる状態である。不可視の状態とは、アプリケーションの動作を画面を通じてユーザが視ることができない状態である。

また、アプリケーションは、情報処理装置７００のユーザによる操作に従って提示する情報や機能を変えることができる双方向型アプリケーションでもよいし、ユーザに対して一方向に情報を提示するアプリケーションでもよい。

［ＸＭＬ−ＡＩＴのデータ構造］
次に、ＸＭＬ−ＡＩＴのデータ構造について説明する。
図２は、本実施形態のＸＭＬ−ＡＩＴのデータ構造を示す図である。

ＸＭＬ−ＡＩＴには、アプリケーション毎の、アプリケーション名（appName）、アプリケーション識別子（applicationId）、アプリケーション記述子（applicationDescriptor）、トランスポートプロトコル記述子（applicationTransport）、アプリケーションロケーション記述子（applicationLocation）、アプリケーションバウンダリ記述子（applicationBoundary）、アプリケーションスペシフィック記述子（applicationSpecificDescriptor）、アプリケーションユーセジ記述子（applicationUsageDescriptor）、利用許諾情報記述子２１（broadcastResourcePermissionDescriptor）などが格納される。

アプリケーション記述子には、アプリケーションタイプ（type）、アプリケーション制御コード（controlCode）２２、アプリケーションの可視、不可視性を指定するフラグ（visibility）、アプリケーションがサービスに紐づいているかを示すフラグ（serviceBound）、アプリケーションの優先度（priority）、アプリケーションのバージョン（version）、アイコン情報（icon）、情報処理装置７００がアプリケーションを記録またはキャッシュするための情報（storageCapability）などが格納される。

［利用許諾情報記述子のシンタクス］
利用許諾情報記述子２１は、放送外マネージドアプリケーションに放送リソースの利用が許諾されている場合に付加される記述子である。

図３は、利用許諾情報記述子２１のシンタクスを示す図である。
利用許諾情報記述子２１には、１以上のサービス利用許諾情報（Service_permission）と１以上のオーバーレイエリア情報（Overlay_area）を記述できる。

サービス利用許諾情報は、利用許諾の適用範囲を示すパーミッション指定単位（scope）を含む。パーミッション指定単位には次のものがある。
all：全ての放送事業者
affiliate：系列局
broadcaster：放送事業者
service：チャンネル
event：番組
series：シリーズ

パーミッション指定単位が"affiliate"である場合、どの系列局であるかが系列ＩＤ（affiation_id）により指定される。

パーミッション指定単位が"broadcaster"である場合には、どの放送事業者であるかが放送事業者ＩＤ（broadcaster_id）により指定される。

パーミッション指定単位が"service"である場合には、どのチャンネルであるかがネットワークＩＤ（network_Id）、トランスポートストリームＩＤ（transport_stream_id）およびサービスＩＤ（service_id）により指定される。

パーミッション指定単位が"event"である場合、どの番組であるかがネットワークＩＤ、トランスポートストリームＩＤ、サービスＩＤおよびイベントＩＤ（event_id）により指定される。

パーミッション指定単位が"series"である場合、どのシリーズであるかがネットワークＩＤ、トランスポートストリームＩＤ、サービスＩＤおよびシリーズＩＤ（series_id）により指定される。

サービス利用許諾情報には、さらに、パーミッションビットマップ（permission）が格納される。パーミッションビットマップは、サービス利用許諾情報のバイナリデータである。

パーミッションビットマップはアプリケーションコントローラ７０８のメモリに保持される。アプリケーションコントローラ７０８はこのメモリに保持されたパーミッションビットマップを参照して放送外マネージドアプリケーションによる放送リソースの利用範囲を制御する。

メモリに保持されたパーミッションビットマップは、放送外マネージドアプリケーションを起動後に情報処理装置７００が取得するセクションＡＩＴの外部アプリケーション制御記述子に格納されたパーミッションビットマップと比較される。双方のパーミッションビットマップに差分があれば、セクションＡＩＴの外部アプリケーション制御記述子に格納されたパーミッションビットマップで、メモリのパーミッションビットマップが上書きされる。以後はこの上書きがされたパーミッションビットマップを参照して放送外マネージドアプリケーションによる放送リソースの利用範囲の制御がアプリケーションコントローラ７０８によって行われる。

これにより、例えば、放送外マネージドアプリケーションの提供者などの第三者によって作成されたＸＭＬ−ＡＩＴに設定された利用許諾情報の範囲を、放送局側がセクションＡＩＴを用いて動的に変更できる仕組みが実現される。

サービス利用許諾情報には、さらに、パーミッションエラー時の振る舞いに関する情報（Overlay_Permission_error_behaviour）が記述される。パーミッションエラー時の振る舞いに関する情報としては、例えば次のものがある。
app_off：アプリケーションを非表示にする。
video_off：放送リソースのビデオを非表示にする。
app_suspend：アプリケーションを非表示にし、アプリケーションの動作を一時停止する。
このように、パーミッションンエラーが発生したとき、放送リソースの少なくともビデオが非表示の状態とされるため、実質的に放送リソースの利用が不可の状態となる。

次に、オーバーレイエリア情報（Overlay_area）について説明する。
オーバーレイエリア情報はオーバーレイエリアを定義するための情報である。オーバーレイエリアとは、放送外マネージドアプリケーションを表示してよいディスプレイ画面上の領域のことである。言い換えれば、オーバーレイエリアは、主に放送映像が表示される領域の上に重ねて設定される領域である。

オーバーレイエリアを定義するための情報としては、エリアＩＤ（areaId）、HTMLアプリケーション内の要素のＩＤ（elementId）、エリア左上水平座標（upper_left_horizontal）、エリア左上垂直座標（upper_left_vertical）、エリア水平サイズ（horizontal_size）およびエリア垂直サイズ（vertical_size）などがある。

エリアＩＤはオーバーレイエリアを識別するための識別子である。
ＨＴＭＬアプリケーション内の要素のＩＤは、オーバーレイエリアと紐付けられる放送外マネージドアプリケーションまたは放送外マネージドアプリケーション内の要素を特定する識別子である。

エリア左上水平座標とエリア左上垂直座標はオーバーレイエリアの左上角の座標を指定する情報である。
エリア垂直サイズとエリア水平サイズはオーバーレイエリアの縦横のサイズを指定する情報である。

［ＸＭＬ−ＡＩＴの電子署名］
このＸＭＬ−ＡＩＴには、改ざんを検出するための電子署名が添付される。電子署名としては、例えばＸＭＬ署名などが用いられる。ＸＭＬ署名の形式は、ＸＭＬ−ＡＩＴに対して独立したdetached署名、ＸＭＬ−ＡＩＴを包含した形式を有するenveloping署名、ＸＭＬ−ＡＩＴに包含された形式のenveloped署名のいずれであるかを問わない。なお、ＸＭＬ−ＡＩＴのフォーマットへの影響を抑えるにはdetached署名を採用するのがよい。

情報処理装置７００のアプリケーションコントローラ７０８は、リファレンス検証（Reference Validation）と署名検証（Signature Validation）とを含むコア検証（Core Validation）の手続きに従って、ＸＭＬ署名を検証する。
リファレンス検証とは、リソース（ＸＭＬ−ＡＩＴ）に正規化変換プロセス（Transform）及びダイジェスト計算アルゴリズム（DigestMethod）を適用することにより、リファレンス（Reference）のダイジェスト値（DigestValue）を検証する方式である。リファレンス検証により得られた結果と、登録されたダイジェスト値（DigestValue）とが比較され、これらが一致しない場合、検証失敗となる。
署名検証とは、署名情報（SignatureInfo）要素をＸＭＬ正規化アルゴリズム（CanonicalizationMethod）で指定された正規化方式でシリアル化し、鍵情報（KeyInfo）等を用いて鍵データを取得し、署名アルゴリズム（SignatureMethod）で指定された方式を用いて署名を検証する方式である。

［セクションＡＩＴの構成］
図４はセクションＡＩＴのデータ構造を示す図である。
セクションＡＩＴは、テーブルＩＤ（table_id）、セクションシンタックス指示（section_syntax_indicator）、セクション長（section_length）、アプリケーションタイプ（application_type）、バージョン番号（version_number）、カレントネクスト指示（current_next_indicator）、セクション番号（section_number）、最終セクション番号（last_section_number）、共通記述子領域４１（descriptor）、アプリケーション情報ループ長（application_loop_length）、アプリケーション識別子（application_identifier）、アプリケーション制御コード４２（application_control_code）、アプリケーション記述子（application_descriptor）などが格納される。

共通記述子領域４１には、放送外マネージドアプリケーションの動作を制御するための外部アプリケーション制御記述子（External_application_control_descriptor）が格納される。

［外部アプリケーション制御記述子のシンタクス］
図５は、外部アプリケーション制御記述子（External_application_control_descriptor）のシンタクスを示す図である。
外部アプリケーション制御記述子には、記述子タグ（descriptor_tag）、記述子長（descriptor_length）、パーミッションビットマップ数（permission_bitmap_count）、パーミッションビットマップ５１（permission_bitmap）などが記述される。

セクションＡＩＴに記述されるパーミッションビットマップ５１は、情報処理装置７００において既に起動されている放送外マネージドアプリケーションによる放送リソースの利用許諾の範囲を示すバイナリデータ、すなわち、サービス利用許諾情報のバイナリデータである。このパーミッションビットマップは、情報処理装置７００のアプリケーションコントローラ７０８のメモリに既に保持されているパーミッションビットマップと比較される。

なお、ＸＭＬ−ＡＩＴのパーミッションビットマップとセクションＡＩＴのパーミッションビットマップには、パーミッションエラー時の振る舞いに関する情報のバイナリデータが含まれていてもよい。但し、この実施形態では、ＸＭＬ−ＡＩＴの方にのみ、パーミッションエラー時の振る舞いに関する情報のバイナリデータがパーミッションビットマップに含まれるようにした。

外部アプリケーション制御記述子には、オーバーレイエリアに関する情報として、オーバーレイ許可極性（overlay_admission_polarity）、オーバーレイ制御エリア数（overlay_contolled_area_count）が記述される。

オーバーレイ許可極性は、セクションＡＩＴで定義されるオーバーレイエリアを利用できるエリアとするか、利用できないエリアとするかを指定する情報である。

オーバーレイ制御エリア数は、オーバーレイエリアの数を指定する情報である。

外部アプリケーション制御記述子には、さらに、オーバーレイエリアに関する情報として、オーバーレイエリアタグ（overlay_controlled_area_tag）、エリア左上水平座標（upper_left_horizontal）、エリア左上垂直座標（upper_left_vertical）、エリア水平サイズ（horizontal_size）およびエリア垂直サイズ（vertical_size）などが記述される。

オーバーレイエリアタグは、オーバーレイエリアを識別するタグ情報である。

エリア左上水平座標、エリア左上垂直座標、エリア水平サイズおよびエリア垂直サイズの各々が指定する情報は、ＸＭＬ−ＡＩＴの利用許諾情報記述子において同じ名前の記述子と同じである。

外部アプリケーション制御記述子には、さらに、ブラック・ホワイトアプリケーションリスト数（bw_application_list_count）、アプリケーションＩＤ（application_identifier）、ブラック・ホワイト極性（black_white_polarity）などが記述される。

ブラック・ホワイトアプリケーションリスト数は、放送リソースの利用を許諾する、または禁止するアプリケーションの数を指定する情報である。

アプリケーションＩＤは、放送リソースの利用を許諾する、または禁止するアプリケーションのアプリケーションＩＤである。

ブラック・ホワイト極性は、放送リソースの利用を許諾する、または禁止するかのいずれかを指定する情報である。例えば、オーバーレイ許可極性として、オーバーレイエリアを利用できる極性が指定されている場合であっても、特定の放送外マネージドアプリケーションに対してブラック・ホワイト極性によって"禁止"が指定されている場合には、その特定の放送外マネージドアプリケーションによる放送リソースの利用は禁止される。また、オーバーレイ許可極性として、オーバーレイエリアを利用できない極性が指定されている場合であっても、特定の放送外マネージドアプリケーションに対してブラック・ホワイト極性によって"許諾"が指定されている場合には、その特定の放送外マネージドアプリケーションによる放送リソースの利用は許諾される。

［アプリケーション制御コードの定義］
アプリケーションのライフサイクルは、ＸＭＬ−ＡＩＴおよびセクションＡＩＴに格納されるアプリケーション制御コード２２、４２をもとに、情報処理装置７００によって動的に制御される。

図６はアプリケーション制御コード２２、４２の定義を示す図である。
同図に示すように、アプリケーション制御コード２２、４２としては、"AUTOSTART"、"PRESENT"、"DESTROY"、"KILL"、"PREFETCH"、"REMOTE"、"DISABLED"、"PLAYBACK_AUTOSTART"が標準規格上存在する。これらアプリケーション制御コードの定義は以下のとおりである。

"AUTOSTART"は、サービスの選択に伴いアプリケーションを自動で起動することを指示するコードである。アプリケーションが既に実行されている場合にはこの限りでない。
"PRESENT"は、サービスが選択されている間、アプリケーションを実行可能な状態とすることを指示するコードである。但し、対象のアプリケーションは、サービスの選択に伴って自動的にアプリケーションは起動されず、ユーザからの起動の指示を受けて起動される。
"DESTROY"は、アプリケーションの終了の許可を指示するコードである。
"KILL"は、アプリケーションの強制的な終了を指示するコードである。
"PREFETCH"は、アプリケーションのキャッシュを指示するコードである。
"REMOTE"は、現在のトランスポートストリームでは取得できないアプリケーションであることを示すコードである。そのアプリケーションは、別のトランスポートストリームあるいはキャッシュから取得して利用可能となる。
"DISABLED"は、アプリケーションの起動を禁止することを示すコードである。
"PLAYBACK_AUTOSTART"は、ストレージ（記録装置）に録画された放送コンテンツの再生に伴いアプリケーションを起動させるためのコードである。

［情報処理装置７００の構成］
図７は本実施形態の情報処理装置７００の構成を示すブロック図である。
情報処理装置７００は、放送インタフェース７０１、デマルチプレクサ７０２、出力処理部７０３、映像デコーダ７０４、音声デコーダ７０５、字幕デコーダ７０６、通信インタフェース７０７、アプリケーションコントローラ７０８（コントローラ）を有する。

放送インタフェース７０１（放送受信部）は、アンテナ及びチューナを有し、これらを用いてユーザにより選局されたデジタル放送信号を受信する。放送インタフェース７０１は、受信したデジタル放送信号に対して復調処理などを施して得たトランスポートストリームをデマルチプレクサ７０２に出力する。

デマルチプレクサ７０２は、トランスポートストリームから放送コンテンツのストリームパケット、アプリケーションのパケット、ＡＩＴセクションのパケットをそれぞれ分離する。デマルチプレクサ７０２は、放送コンテンツのストリームパケットから映像ＥＳ（Elementary Stream）、音声ＥＳ、字幕ＥＳを分離する。デマルチプレクサ７０２は、映像ＥＳを映像デコーダ７０４に、音声ＥＳを音声デコーダ７０５に、字幕ＥＳを字幕デコーダ７０６に、そしてアプリケーションのパケット、およびＡＩＴセクションを含むＰＳＩ／ＳＩ（Program Specific Information/Service Information）のパケットをアプリケーションコントローラ７０８にそれぞれ分配する。

映像デコーダ７０４は、映像ＥＳをデコードして映像信号を生成し、生成した映像信号を出力処理部７０３に出力する。音声デコーダ７０５は、音声ＥＳをデコードして音声信号を生成し、生成した音声信号を出力処理部７０３に出力する。
字幕デコーダ７０６は、字幕ＥＳをデコードして字幕信号を生成し、生成した字幕信号を出力処理部７０３に出力する。

放送インタフェース７０１、デマルチプレクサ７０２、出力処理部７０３、映像デコーダ７０４、音声デコーダ７０５、字幕デコーダ７０６は、放送コンテンツを受信し提示する処理を行う放送コンテンツ処理部である。

通信インタフェース７０７は、ＬＡＮなどの第２のネットワーク６００を通じて外部の機器と通信を行うためのインタフェースである。通信インタフェース７０７は無線による通信、有線による通信を問わない。

アプリケーションコントローラ７０８（コントローラ）は、アプリケーションの制御に関する処理を行うコントローラである。

出力処理部７０３は、映像デコーダ７０４からの映像信号、音声デコーダ７０５からの音声信号、字幕デコーダ７０６からの字幕信号及びアプリケーションコントローラ７０８からの映像信号や音声信号等を合成し、情報処理装置７００に接続された記録装置（図示せず）、表示部及びスピーカ部（図示せず）に出力する。

上記の情報処理装置７００の少なくともアプリケーションコントローラ７０８を含む構成の一部または全ては、ＣＰＵ（Central Processing Unit）およびメモリを有するコンピュータと、このコンピュータをアプリケーションコントローラ７０８などとして機能させるプログラムとにより提供される。

［情報処理システム１０の動作］
次に、本実施形態の情報処理システム１０の動作を説明する。

（１．放送リソースの利用許諾範囲の制御（その１））
図８は放送局１００（放送装置）、アプリケーションサーバ３００、ＸＭＬ−ＡＩＴサーバ４００、および情報処理装置７００の間でのやりとりの流れを示すシーケンス図である。図９は情報処理装置７００のアプリケーションコントローラ７０８による処理手順を示すフローチャートである。

情報処理装置７００は、例えばリモコンなどを使ってユーザにより選択されたアプリケーションローンチャを表示する（ステップＳ１０１）。アプリケーションローンチャは、例えば、情報処理装置７００に実装された、いわゆるレジデントアプリケーションや、ＨＴＭＬブラウザによって提示されるＨＴＭＬ５（Hyper Text Markup Language 5）、ＢＭＬ(Broadcast Markup Language)などによって実現される。アプリケーションローンチャには、選択可能な放送外マネージドアプリケーションのメニューが表示される。

ユーザは例えばリモコンなどを使って利用したい放送外マネージドアプリケーションを選択することができる。アプリケーションローンチャに表示されたメニューの放送外マネージドアプリケーションのメニューには、放送外マネージドアプリケーション用のＸＭＬ−ＡＩＴを情報処理装置７００に取得させるためのスクリプトなどが組み込まれている。

アプリケーションローンチャに表示された放送外マネージドアプリケーションのメニュー上で、リモコンを使ったユーザの操作によって任意の放送外マネージドアプリケーションが選択されると（ステップＳ１０２）、アプリケーションコントローラ７０８は、その放送外マネージドアプリケーションに対応するスクリプトを実行することによって、当該任意の放送外マネージドアプリケーション用のＸＭＬ−ＡＩＴをＸＭＬ−ＡＩＴサーバ４００から取得する（ステップＳ１０３）。

情報処理装置７００のアプリケーションコントローラ７０８は、取得したＸＭＬ−ＡＩＴに記述されているアプリケーションのロケーション情報をもとにアプリケーションサーバ３００から放送外マネージドアプリケーションを取得する（ステップＳ１０４）。

アプリケーションコントローラ７０８は、取得した放送外マネージドアプリケーションを、ＸＭＬ−ＡＩＴに記述されたアプリケーション制御コード"AUTOSTART"に従って起動する（ステップＳ１０５）。

アプリケーションコントローラ７０８は、放送外マネージドアプリケーションを起動させた後、放送外マネージドアプリケーションからの放送リソースのアクセス要求を監視する（ステップＳ１０６）。アプリケーションコントローラ７０８は、放送外マネージドアプリケーションからの放送リソースのアクセス要求を検出すると（ステップＳ１０７のＹ）、この放送リソースに対応する放送局公開鍵証明書が情報処理装置７００内のメモリに保存されているかどうかを調べる（ステップＳ１０７）。

情報処理装置７００のアプリケーションコントローラ７０８は、放送局公開鍵証明書が情報処理装置７００内のメモリに保存されていない場合には、目的の放送局公開鍵証明書がデータカルーセルで伝送されてくるのを待つ。アプリケーションコントローラ７０８は、目的の放送局公開鍵証明書を受信すると、これをメモリに保存する（ステップＳ１０８）。

アプリケーションコントローラ７０８は、実行中の放送外マネージドアプリケーションに添付された電子署名を、メモリに保存された放送局公開鍵証明書を用いて検証する（ステップＳ１１０）。もし電子署名の検証に失敗した場合（ステップＳ１１１のＮ）、アプリケーションコントローラ７０８は、当該放送外マネージドアプリケーションが放送局によって認証されていないものとして、その放送局のすべての放送リソースのアクセスを禁止するように設定をする（ステップＳ１１２）。放送リソースのアクセスを禁止された状態では、放送外マネージドアプリケーションが起動されても放送リソースへのアクセスは不可の状態となる。

電子署名の検証に成功した場合（ステップＳ１１１のＹ）、アプリケーションコントローラ７０８は、ＸＭＬ−ＡＩＴに記述された利用許諾情報記述子２１の中のサービス利用許諾情報をもとに、放送外マネージドアプリケーションによってアクセス要求された放送リソースへのアクセスの可否を判定する（ステップＳ１１３）。

なお、ＸＭＬ−ＡＩＴに記述された利用許諾情報記述子２１の中のサービス利用許諾情報は、アプリケーションコントローラ７０８のメモリにパーミッションビットマップ（バイナリデータ）として保持されている。アプリケーションコントローラ７０８は、このパーミッションビットマップを参照して放送外マネージドアプリケーションによってアクセス要求された放送リソースへのアクセスの可否を判定する。

ここで、例えば、サービス利用許諾情報の中のパーミッション指定単位が"service"である場合を想定する。この場合、利用許諾情報記述子２１の中のサービス利用許諾情報によって、チャンネルを特定するための情報がネットワークＩＤ、トランスポートストリームＩＤおよびサービスＩＤにより指定されている。ここで、そのチャンネルを"チャンネルｘ"とする。この例では、放送外マネージドアプリケーションがアクセス要求するチャンネルが"チャンネルｘ"ならば、アプリケーションコントローラ７０８はそのアクセス要求を許可して、"チャンネルｘ"へのアクセスを許可する。

もし、その他のチャンネルが放送外マネージドアプリケーションによってアクセス要求された場合には、アプリケーションコントローラ７０８は、パーミッションエラーが発生したことを判定する。この場合、アプリケーションコントローラ７０８は、利用許諾情報記述子２１の中のサービス利用許諾情報に格納された、パーミッションエラー時の振る舞いに関する情報に従って、放送外マネージドアプリケーションの動作を制御する。

このようにして、アプリケーションコントローラ７０８は、電子署名の検証に成功した場合に、ＸＭＬ−ＡＩＴのサービス利用許諾情報をもとに許可された範囲で、放送外マネージドアプリケーションが放送リソースをアクセスするように制御を行う（ステップＳ１１４）。

一方、放送局１００からは情報処理装置７００にて起動中の放送外マネージドアプリケーションの動作を制御するためのセクションＡＩＴが周期的に送出される。セクションＡＩＴの送出周期は例えば100ms程度とされている。セクションＡＩＴは、バージョン番号によって世代が管理されている。アプリケーションコントローラ７０８は、最後に取得したセクションＡＩＴのバージョン番号を保持し、この保持されているバージョン番号と異なるバージョン番号を有するセクションＡＩＴを受信する（ステップＳ１１５）。

アプリケーションコントローラ７０８は、受信したセクションＡＩＴに外部アプリケーション制御記述子が付加されているかどうかを確認する（ステップＳ１１６）。外部アプリケーション制御記述子が付加されていない場合（ステップＳ１１６のＮ）、ＸＭＬ−ＡＩＴに格納された利用許諾情報記述子２１（メモリに保持されたパーミッションビットマップ）に基づく放送リソースの利用許諾の制御が継続される。

取得したセクションＡＩＴに外部アプリケーション制御記述子が付加されている場合（ステップＳ１１６のＹ）、アプリケーションコントローラ７０８は、この外部アプリケーション制御記述子のパーミッションビットマップと、メモリに保持されたパーミッションビットマップとを比較する（ステップＳ１１７）。アプリケーションコントローラ７０８は、双方のパーミッションビットマップに差分があれば（ステップＳ１１７のＹ）、外部アプリケーション制御記述子のパーミッションビットマップでメモリのパーミッションビットマップを更新する（ステップＳ１１８）。これにより、放送局の側が意図する放送リソースの利用許諾範囲が情報処理装置７００において設定される。

なお、外部アプリケーション制御記述子のパーミッションビットマップと、メモリに保持されたパーミッションビットマップとの差分がない場合には（ステップＳ１１７のＮ）、メモリに保持されたパーミッションビットマップはそのままにして、このパーミッションビットマップに基づく放送リソースの利用許諾の制御が継続される。

この後、例えば、ユーザによるリモコンの操作によるアプリケーションの終了指示や別のアプリケーションへの遷移などが発生すると（ステップＳ１２０のＹＥＳ）、情報処理装置７００のアプリケーションコントローラ７０８は放送外マネージドアプリケーションを終了させる（ステップＳ１２２）。

また、情報処理装置７００のアプリケーションコントローラ７０８は、放送外マネージドアプリケーションの実行中に取得したセクションＡＩＴに"AUTOSTART"、"DESTROY"、"KILL"以外のアプリケーション制御コードが記述されている場合には、そのアプリケーション制御コードに従って放送外マネージドアプリケーションの状態を遷移させるなどの処理を行った後（ステップＳ１２１）、次のセクションＡＩＴを待機する。

以後、受信されたセクションＡＩＴについても同様の処理が行われる。

その後、同一チャンネル（チャンネルｘ）内での番組の切り替わり（番組Ａ→番組Ｂ）が発生した場合にも、その番組Ｂの切り替わり後に取得したセクションＡＩＴについて同様の処理が繰り返される。

また、チャンネルの切り替えが発生した場合も、そのチャンネルの切り替わり後に取得したセクションＡＩＴについて同様の処理が繰り返される。

（２．放送リソースの利用許諾範囲の制御（その２））
放送外マネージドアプリケーションが実行中であるとき、例えば、ユーザのマニュアル操作などによって放送チャンネルが切り替えられる操作（ダイレクト選局操作）が行われることがある。

図１０は、放送外マネージドアプリケーションの実行中にダイレクト選局操作が発生した場合の放送局１００（放送送出装置）、アプリケーションサーバ３００、ＸＭＬ−ＡＩＴサーバ４００、および情報処理装置７００の間でのやりとりの流れを示すシーケンス図である。図１１は放送外マネージドアプリケーションの実行中にダイレクト選局操作が発生した場合のアプリケーションコントローラ７０８の制御の流れを示すフローチャートである。

放送外マネージドアプリケーションの実行中にダイレクト選局操作が発生したとき（ステップＳ２０１）、情報処理装置７００のアプリケーションコントローラ７０８は、このダイレクト選局された放送チャンネルに対応する放送局公開鍵証明書が情報処理装置７００内のメモリに保存されているかどうかを調べる（ステップＳ２０２）。

情報処理装置７００のアプリケーションコントローラ７０８は、放送局公開鍵証明書が情報処理装置７００内のメモリに保存されていない場合には、目的の放送局公開鍵証明書が切り替えられた放送チャンネルのデータカルーセルなどで伝送されてくるのを待ち、データカルーセルなどによって伝送されてきた目的の放送局公開鍵証明書を受信すると、これをメモリに保存する（ステップＳ２０３）。
なお、ここでは、データカルーセルで放送局公開鍵証明書が伝送されてくる例を示したが、予め指定されたサーバから公開鍵証明書を取得するなど、通信を用いた公開鍵証明書を取得するようにしてもよい。

アプリケーションコントローラ７０８は、実行中の放送外マネージドアプリケーションに添付された電子署名を、メモリに保存された放送局公開鍵証明書を用いて検証する（ステップＳ２０５）。この電子署名の署名に失敗した場合（ステップＳ２０６のＮ）、アプリケーションコントローラ７０８は、当該放送外マネージドアプリケーションを終了させる（ステップＳ２０９）。

電子署名の署名に成功した場合（ステップＳ２０６のＹ）、アプリケーションコントローラ７０８は、放送外マネージドアプリケーションの動作を継続させ、パーミッションビットマップをもとに許可された範囲で、放送外マネージドアプリケーションが放送リソースをアクセスするように制御を行う（ステップＳ２０７）。

以後の動作は、図９のステップＳ１２０より以降と同じである。

また、図１１に示すように、放送外マネージドアプリケーションの動作中、例えば、放送外マネージドアプリケーションに組み込まれたスクリプトの実行、あるいは、ユーザのマニュアル操作などによって、別の放送外マネージドアプリケーションへの遷移の指示が発生することがある。この場合、アプリケーションコントローラ７０８は、上述したアプリケーションローンチャから放送外マネージドアプリケーションがユーザにより選択された場合と同様に制御を行う。

（３．オーバーレイエリアの制御）
既に説明したように、ＸＭＬ−ＡＩＴおよびセクションＡＩＴには、放送外マネージドアプリケーションを表示させてもよいディスプレイ画面Ｄにおける領域をオーバーレイエリアとして定義するためのオーバーレイエリア情報（Overlay_area）を記述することができる。

図１２はＸＭＬ−ＡＩＴの利用許諾情報記述子２１の中のオーバーレイエリア情報をもとにしたオーバーレイエリアの設定例を示す図である。

この設定例では、areaId=1とareaId=2の２つのオーバーレイエリアが存在する。各々のオーバーレイエリアは、エリア左上水平座標（upper_left_horizontal）、エリア左上垂直座標（upper_left_vertical）、エリア水平サイズ（horizontal_size）およびエリア垂直サイズ（vertical_size）によってディスプレイ画面Ｄにおける領域が定義される。

アプリケーションコントローラ７０８は、ＸＭＬ−ＡＩＴの利用許諾情報記述子２１の中のオーバーレイエリア情報（Overlay_area）をもとに、各々のオーバーレイエリアを作成する。

アプリケーションコントローラ７０８は、放送外マネージドアプリケーションの起動後に取得したセクションＡＩＴの共通記述子領域４１（descriptor）の外部アプリケーション制御記述子（External_application_control_descriptor）に含まれるオーバーレイエリアに関する情報をもとに、あらためてオーバーレイエリアを作成することができる。すなわち、放送局１００の意図するオーバーレイエリアに更新することができる。

図１３はオーバーレイエリアの第１の更新例を示す図である。
この例では、ＸＭＬ−ＡＩＴの利用許諾情報記述子２１の中のオーバーレイエリア情報（Overlay_area）をもとにオーバーレイエリア１が作成される。さらに、オーバーレイエリア１内には放送外マネージドアプリケーションの表示領域２が設けられていることとする。

例えばチャンネル切り替えなどの後、アプリケーションコントローラ７０８は、受信したセクションＡＩＴの外部アプリケーション制御記述子に含まれるオーバーレイエリアに関する情報をもとに、既存のオーバーレイエリア１に代えて新たなオーバーレイエリア３を作成する。

アプリケーションコントローラ７０８は、オーバーレイエリア１からオーバーレイエリア３への変更が発生した場合、自身に予め組み込まれたプログラムに従って、新しく作成されたオーバーレイエリア３内に放送外マネージドアプリケーションの表示領域２を移動させるように制御を行う。

なお、放送外マネージドアプリケーションの表示領域２の位置はアプリケーションコントローラ７０８によって制御される。例えば、予め決められた位置に放送外マネージドアプリケーションの表示領域２が配置されるように制御される。同時に複数の放送外マネージドアプリケーションの表示領域２が表示される場合には、アプリケーションコントローラ７０８によって互いの位置が排他的に制御される。

図１４は、オーバーレイエリアの第２の更新例を示す図である。
この例では、アプリケーションコントローラ７０８は、セクションＡＩＴの外部アプリケーション制御記述子に含まれるオーバーレイエリアに関する情報をもとに、既存のオーバーレイエリア１からオーバーレイエリア３への変更が発生した場合、自身に予め組み込まれたプログラムに従って以下の制御を行う。

まず、アプリケーションコントローラ７０８は、ディスプレイ画面Ｄの例えば全面を放送映像表示部４として使用していた状態から、放送映像表示部４を縮小させ、これによりできた空き領域をアプリケーション表示部５として設定する。アプリケーションコントローラ７０８は、放送外マネージドアプリケーションの表示領域２を、外部アプリケーション制御記述子のオーバーレイエリアに関する情報に拠らず、アプリケーション表示部５に表示させるように制御を行う。

これにより、放送映像表示部４の映像の上に放送外マネージドアプリケーションが重ねて表示されることを回避できる。

図１５は、オーバーレイエリアの第３の更新例を示す図である。
この例は、ＸＭＬ−ＡＩＴのオーバーレイエリア情報をもとにディスプレイ画面Ｄの全画面を使用するオーバーレイエリア１が設定されている場合を想定する。このオーバーレイエリア１の全体に放送外マネージドアプリケーションの表示領域２が割り当てられており、その一部に放送映像表示部４が設定される。

アプリケーションコントローラ７０８は、例えば、チャンネル切り替えなどの後に受信したセクションＡＩＴの外部アプリケーション制御記述子に含まれるオーバーレイエリアに関する情報をもとに、既存のオーバーレイエリア１に代えて新たなオーバーレイエリア３を作成する。

このとき、アプリケーションコントローラ７０８は、自身に予め組み込まれたプログラムに従って、放送映像表示部４をディスプレイ画面Ｄの全画面に設定し、放送外マネージドアプリケーションの表示領域２を非表示の状態にする。これにより、放送映像表示部４の映像が放送外マネージドアプリケーションによって一部隠れてしまうことを回避できる。また、この第３の更新例において、放送外マネージドアプリケーションを構成する(elementIdで指定される)子要素がオーバーレイエリア３の位置に指定されている場合、その子要素を表示させるようにしてもよい。

（４．電子署名の生成と検証）
次に、電子署名の生成と検証について説明する。
図１６は電子署名の生成と検証の仕組みについて説明するためのブロック図である。

ＸＭＬ−ＡＩＴサーバ４００およびアプリケーションサーバ３００はアプリケーション制作者が所有する一台のサーバであってもよく、別々のサーバであってもよい。ここでは、ＸＭＬ−ＡＩＴサーバ４００およびアプリケーションサーバ３００を総称して「サーバ」と呼ぶ。サーバは、典型的なコンピュータの構成を有する機器である。したがって、ＣＰＵ、メインメモリ、ＨＤＤなどのストレージデバイス、マウスやキーボードなどの入力装置、液晶ディスプレイなどの表示部などで構成される。メインメモリおよびストレージデバイスには、ＯＳ（Operating System）、サーバ用のアプリケーションプログラムなどのソフトウェア、情報処理装置７００に提供される放送外マネージドアプリケーション、アプリケーション毎のＸＭＬ−ＡＩＴのファイル、署名生成鍵などが格納される。

サーバは、署名付きアプリケーション生成部３５０を有する。署名付きアプリケーション生成部３５０は、具体的にはメインメモリにロードされたプログラムと、このプログラムを実行するＣＰＵとで実現される。

アプリケーション制作者は、放送外マネージドアプリケーション３５１とＸＭＬ−ＡＩＴ３５５について放送局１００に対して認証を依頼する。

放送局１００は、アプリケーション制作者より依頼された認証の対象である放送外マネージドアプリケーション３５１とＸＭＬ−ＡＩＴ３５５の内容を精査し、問題がなければ、ルートＣＡ８００（図１）より発行された秘密鍵と放送局公開鍵証明書のペアのうち秘密鍵を署名生成鍵３５７として署名生成器３５６に設定する。署名生成器３５６は放送外マネージドアプリケーション３５１について署名用のハッシュ関数を用いてダイジェストを生成し、このダイジェストを署名生成鍵（秘密鍵）３５７で暗号化してＸＭＬ署名３５８を生成する。放送局１００は、生成したＸＭＬ署名３５８をサーバに応答する。署名付きアプリケーション生成部３５０は、放送局１００より応答されたＸＭＬ署名３５８を放送外マネージドアプリケーション３５１に付加して電子署名付きのアプリケーション３６０を生成し、情報処理装置７００に配信する。

情報処理装置７００のアプリケーションコントローラ７０８は、サーバより取得した電子署名付きのアプリケーション３６０から署名生成器７５３にてＸＭＬ署名を抽出し、このＸＭＬ署名を放送局公開鍵証明書から取り出した署名検証鍵である公開鍵７５４を用いて検証して署名検証結果７５５を得る。

次に、放送局１００から情報処理装置７００に放送局公開鍵証明書を伝送する方法について説明する。
放送局１００から情報処理装置７００に放送局公開鍵証明書を伝送する方法には、専用モジュール方式、データ放送拡張方式（その１）、データ放送拡張方式（その２）などがある。

（専用モジュール方式）
図１７は専用モジュール方式の概念図である。
専用モジュール方式では、データ放送番組がユーザにより選択された時最初に起動させるべきスタート文書を含むモジュールであるcomponent_tag=0x40に、放送局公開鍵証明書４３を伝送するための専用のモジュール(例えばmodule_id=0xFFFEなど)４４が新たな配置される。
また、上記の専用モジュールで配布する放送局公開鍵証明書の更新を情報処理装置７００に知らせるために、放送局公開鍵証明書記述子がＤＩＩ（Download Info Indication）が配置される。

図１８は、放送局公開鍵証明書記述子の構成を示す図である。
放送局公開鍵証明書記述子（broadcast certificate_descriptor）は放送局公開鍵証明書を識別するＩＤ（broadcaster_certificate_id）および放送局公開鍵証明書のバージョン（broadcaster_certificate_version）を含む。

図１９は専用モジュール方式による放送局公開鍵証明書の取得および更新に関するフローチャートである。

まず、情報処理装置７００のアプリケーションコントローラ７０８は、データカルーセルで伝送されるＤＩＩのモジュール情報を監視する(ステップＳ４０１)。情報処理装置７００のアプリケーションコントローラ７０８は、ＤＩＩのモジュール情報に放送局公開鍵証明書記述子が含まれていることを検出すると(ステップＳ４０２のＹ)、この放送局公開鍵証明書記述子を解析し、この放送局公開鍵証明書記述子の中からＩＤとバージョンをそれぞれ抽出する(ステップＳ４０３)。

アプリケーションコントローラ７０８は、メモリに既に格納されている放送局公開鍵証明書のＩＤと今回取得したＩＤとを比較し、ＩＤが一致した放送局公開鍵証明書がメモリに格納されているかどうかを調べる(ステップＳ４０４)。該当する放送局公開鍵証明書が格納されていない場合(ステップＳ４０５のＮ)、アプリケーションコントローラ７０８は、データカルーセルで伝送される放送局公開鍵証明書を取得し、メモリに格納する(ステップＳ４０６)。この後、ＤＩＩのモジュール情報の監視状態に戻る。

該当する放送局公開鍵証明書が格納されている場合(ステップＳ４０５のＹ)、アプリケーションコントローラ７０８は、メモリに格納されている放送局公開鍵証明書のバージョンを確認する(ステップＳ４０７)。アプリケーションコントローラ７０８は、確認した放送局公開鍵証明書のバージョンと今回取得した放送局公開鍵証明書のバージョンとを比較し、放送局公開鍵証明書のバージョンアップの発生の有無を判定する(ステップＳ４０８)。

放送局公開鍵証明書のバージョンアップが発生していないことが判定された場合は(ステップＳ４０８のＮ)、アプリケーションコントローラ７０８はＤＩＩのモジュール情報の監視状態に戻る。

放送局公開鍵証明書のバージョンアップが発生したことを判定した場合(ステップＳ４０８のＮ)、アプリケーションコントローラ７０８はデータカルーセルで伝送される放送局公開鍵証明書を取得し、メモリに格納する(ステップＳ４０９)。この後、ＤＩＩのモジュール情報の監視状態に戻る。

以上のようにして、情報処理装置７００は、ＩＤの異なる１以上の種類の最新バージョンの放送局公開鍵証明書を取得し、メモリに格納することができる。

（データ放送拡張方式（その１））
図２０はデータ放送拡張方式（その１）によるルート証明書記述子の構成を示す図である。
データ放送拡張方式（その１）は、ルート証明書記述子のroot_certificate_typeに新しいサービスの公開鍵証明書を伝送するための拡張を施し、そこに放送局公開鍵証明書を識別するＩＤ（broadcaster_certificate_id）および放送局公開鍵証明書のバージョン（broadcaster_certificate_version）を記述するようにしたものである。

図２１はデータ放送拡張方式（その１）による放送局公開鍵証明書の取得および更新に関するフローチャートである。

まず、情報処理装置７００のアプリケーションコントローラ７０８は、データカルーセルで伝送されるＤＩＩのルート証明書記述子を監視する(ステップＳ５０１)。情報処理装置７００のアプリケーションコントローラ７０８は、ＤＩＩのルート証明書記述子を検出すると(ステップＳ５０２のＹ)、このルート証明書記述子を解析し、このルート証明書記述子に新しいサービスを示す値（root_certificate_type = 2）が記述されているかどうかを判定する(ステップＳ５０３)。新しいサービスを示す値（root_certificate_type = 2）が記述されていなければデータ放送の処理を行い(ステップＳ５０４)、その後、ＤＩＩのルート証明書記述子の監視状態に戻る。

ルート証明書記述子に新しいサービスを示す値（root_certificate_type = 2）が記述されている場合、アプリケーションコントローラ７０８は、ルート証明書記述子の中から放送局公開鍵証明書のＩＤとバージョンをそれぞれ抽出する(ステップＳ５０５)。以降のステップＳ５０６からステップＳ５１１までの動作は、専用モジュール方式のステップＳ４０４からステップＳ４０９と同じであるため、説明を省略する。

アプリケーションコントローラ７０８は、メモリに既に格納されている放送局公開鍵証明書のＩＤと今回取得したＩＤとを比較し、ＩＤが一致した放送局公開鍵証明書がメモリに格納されているかどうかを調べる(ステップＳ４０４)。該当する放送局公開鍵証明書が格納されていない場合(ステップＳ４０５のＮ)、アプリケーションコントローラ７０８は、データカルーセルで伝送される放送局公開鍵証明書を取得し、メモリに格納する(ステップＳ４０６)。この後、ＤＩＩのルート証明書記述子の監視状態に戻る。

該当する放送局公開鍵証明書が格納されている場合(ステップＳ４０５のＹ)、アプリケーションコントローラ７０８は、メモリに格納されている放送局公開鍵証明書のバージョンを確認する(ステップＳ４０７)。アプリケーションコントローラ７０８は、確認した放送局公開鍵証明書のバージョンと今回取得した放送局公開鍵証明書のバージョンとを比較し、放送局公開鍵証明書のバージョンアップの発生の有無を判定する(ステップＳ４０８)。

放送局公開鍵証明書のバージョンアップが発生していないことが判定された場合は(ステップＳ４０８のＮ)、アプリケーションコントローラ７０８はＤＩＩのモジュール情報の監視状態に戻る。

放送局公開鍵証明書のバージョンアップが発生したことを判定した場合(ステップＳ４０８のＮ)、アプリケーションコントローラ７０８はデータカルーセルで伝送される放送局公開鍵証明書を取得し、メモリに格納する(ステップＳ４０９)。この後、ＤＩＩのモジュール情報の監視状態に戻る。

以上のようにして、情報処理装置７００は、ＩＤの異なる１以上の種類の最新バージョンの放送局公開鍵証明書を取得し、メモリに格納することができる。

（データ放送拡張方式（その２））
データ放送拡張方式（その２）は、ルート証明書記述子の中でデータ放送向け公開鍵証明書を伝送できる格納領域のうち、固定の１つの格納領域が新しいサービス向けに割り当てられ、そこに放送局公開鍵証明書を識別するＩＤ（broadcaster_certificate_id）および放送局公開鍵証明書のバージョン（broadcaster_certificate_version）が記述される。また、例えば図２２に示すように、ルート証明書記述子に新たなフラグ（broadcaster_certificate_flag）が配置される。例えば、このフラグの値が"１"であるとき、放送局公開鍵証明書が伝送されることを示し、フラグの値が"０"であるとき、放送局公開鍵証明書が伝送されないことを示す。

図２３は、データ放送拡張方式（その２）による放送局公開鍵証明書の取得および更新に関するフローチャートである。
まず、情報処理装置７００のアプリケーションコントローラ７０８は、データカルーセルで伝送されるＤＩＩのルート証明書記述子を監視する(ステップＳ６０１)。情報処理装置７００のアプリケーションコントローラ７０８は、ＤＩＩのルート証明書記述子を検出すると(ステップＳ５０２のＹ)、このルート証明書記述子を解析し、フラグ（broadcaster_certificate_flag）の値を確認する。フラグの値が"０"である場合、アプリケーションコントローラ７０８はデータ放送の処理を行い(ステップＳ５０４)、その後、ＤＩＩのルート証明書記述子の監視状態に戻る。

フラグの値が"０"である場合、アプリケーションコントローラ７０８は、ルート証明書記述子の中でデータ放送向け公開鍵証明書を伝送できる複数の格納領域のうち予め決められた格納領域から、放送局公開鍵証明書のＩＤとバージョンをそれぞれ抽出する(ステップＳ６０５)。以降のステップＳ６０６からステップＳ６１１までの動作は、専用モジュール方式のステップＳ４０４からステップＳ４０９と同じであるため、説明を省略する。

以上のようにして、情報処理装置７００は、ＩＤの異なる１以上の種類の最新バージョンの放送局公開鍵証明書を取得し、メモリに格納することができる。

［第１の実施形態の効果等］
本実施形態では、次のような効果が得られる。
１．アプリケーションコントローラ７０８は、セクションＡＩＴの外部アプリケーション制御記述子をもとに、放送外マネージドアプリケーションによる放送リソースの利用範囲を制御する。これにより、放送外マネージドアプリケーションの提供者などの第三者によって作成されたＸＭＬ−ＡＩＴに設定された利用許諾情報の範囲を、放送局側がセクションＡＩＴを用いて動的に変更できる仕組みが実現される。

これにより、例えば、スポーツ中継など、タイムスケジュールが流動的な放送番組において、番組の進行や編成の変更などの変化に合わせて放送外マネージドアプリケーションの動作の制御を変更することができる。

また、複数のチャンネル（放送局）の放送リソースを利用することを想定した放送外マネージドアプリケーションの動作の制御を、放送局毎に指定することができる。

２．アプリケーションコントローラ７０８は、ＸＭＬ−ＡＩＴのサービス利用許諾情報のバイナリデータであるパーミッションビットマップをメモリに保持する。アプリケーションコントローラ７０８はメモリに保持されたパーミッションビットマップと放送外マネージドアプリケーションを起動後に取得されるセクションＡＩＴの中のパーミッションビットマップとをバイナリ演算によって比較することによって差分を求めることができる。これにより、情報処理装置７００のアプリケーションコントローラ７０８の負担を軽減し、高速化を図れる。

３．アプリケーションコントローラ７０８は、セクションＡＩＴの外部アプリケーション制御記述子をもとに、放送外マネージドアプリケーションのディスプレイ画面での表示位置を制御する。これにより、放送外マネージドアプリケーションの提供者などの第三者によって作成されたＸＭＬ−ＡＩＴに設定された利用許諾情報の範囲を、放送局側がセクションＡＩＴを用いて動的に変更できる仕組みが実現される。

＜変形例１＞
第１の実施形態では、アプリケーションに電子署名が添付されることとしたが、ＸＭＬ−ＡＩＴに電子署名を添付してもよい。この方式によると、1つのアプリケーションに対して、複数の放送局が放送リソースの利用を許可する場合には、ＸＭＬ−ＡＩＴには放送リソースの利用を許可するすべての放送局の電子署名が添付される。

＜変形例２＞
変形例１の方式では、アプリケーションの改ざんを直接に検出することができない。そこでアプリケーションのハッシュ値をＸＭＬ−ＡＩＴに埋め込み、情報処理装置７００において、アプリケーションの実体から計算されるハッシュ値とＸＭＬ−ＡＩＴに埋め込まれて通知されるハッシュ値とを比較することで、アプリケーションの改ざんを間接的に検出することが可能である。以下、この方式について説明する。

次に、電子署名およびハッシュ値の生成と検証について説明する。

図２４は電子署名およびハッシュ値の生成とこれらの検証の仕組みについて説明するための図である。
サーバは、署名付きＡＩＴ生成部３５０Ａを有する。署名付きＡＩＴ生成部３５０Ａは、具体的にはメインメモリにロードされた、電子署名およびハッシュ値の生成を行うプログラムと、このプログラムを実行するＣＰＵとで実現される。

署名付きＡＩＴ生成部３５０Ａは、放送外マネージドアプリケーション３５１Ａの実体（バイナリコード）から所定のハッシュ演算器３５２Ａを用いてハッシュ値３５３Ａを算出する。ハッシュのアルゴリズムとしては、例えばFIPS PUB 180-1,180-2で標準規格化されているSHA-1やSHA-2などがある。

署名付きＡＩＴ生成部３５０Ａは、当該放送外マネージドアプリケーション３５１ＡのＸＭＬ−ＡＩＴ３６２Ａにハッシュ値３５３Ａを合成して、ハッシュ値付きのＸＭＬ−ＡＩＴ３５５Ａを生成する。

アプリケーション制作者は、放送外マネージドアプリケーション３５１ＡとＸＭＬ−ＡＩＴ３５５Ａについて放送局１００Ａに対して認証を依頼する。

放送局１００は、アプリケーション制作者より依頼された認証の対象である放送外マネージドアプリケーション３５１ＡとＸＭＬ−ＡＩＴ３５５Ａの内容を精査し、問題がなければ、ルートＣＡ８００（図１参照）より発行された秘密鍵と放送局公開鍵証明書のペアのうち秘密鍵を署名生成鍵３５７Ａとして署名生成器３５６Ａに設定する。署名生成器３５６ＡはＸＭＬ−ＡＩＴ３５５Ａについて署名用のハッシュ関数を用いてダイジェストを生成し、このダイジェストを署名生成鍵（秘密鍵）３５７Ａで暗号化してＸＭＬ署名３５８Ａを生成する。放送局１００Ａは、生成したＸＭＬ署名３５８Ａをサーバに応答する。

サーバの署名付きＡＩＴ生成部３５０Ａは、放送局１００Ａより応答されたＸＭＬ署名３５８Ａをハッシュ値付きのＸＭＬ−ＡＩＴ３５５Ａに付加して電子署名付きのＸＭＬ−ＡＩＴ３６０Ａを生成し、情報処理装置７００Ａに配信する。

情報処理装置７００のアプリケーションコントローラ７０８Ａは、サーバより取得した放送外マネージドアプリケーション３５１Ａの実体（バイナリコード）から所定のハッシュ演算器７５１Ａ（ハッシュ関数）を用いてハッシュ値７５２Ａを算出する。ここで用いられるハッシュ関数は、サーバの署名付きＡＩＴ生成部３５０Ａのハッシュ演算器３５２Ａのそれと同じである必要がある。そこでアプリケーションコントローラ７０８Ａは、サーバより取得した電子署名付きのＸＭＬ−ＡＩＴ３６０Ａに記述されたハッシュアルゴリズムを確認して、ハッシュ演算器７５１Ａ（ハッシュ関数）のハッシュアルゴリズムとの整合がとれているかどうかを判定する。もしハッシュアルゴリズムの不整合が判定された場合、アプリケーションコントローラ７０８Ａはハッシュ演算器７５１Ａ（ハッシュ関数）を切り替えてサーバの署名付きＡＩＴ生成部３５０Ａのハッシュ演算器３５２Ａのそれと整合させる。

アプリケーションコントローラ７０８Ａは、サーバより取得した電子署名付きのＸＭＬ−ＡＩＴ３６０Ａから抽出したハッシュ値３５３Ａとハッシュ値７５２Ａとをハッシュ比較器７５６Ａを用いて比較し、一致／不一致の結果７５７Ａを得る。

アプリケーションコントローラ７０８Ａは、署名生成器７５３Ａにて、サーバより取得した電子署名付きのＸＭＬ−ＡＩＴ３６０ＡからＸＭＬ署名を抽出し、このＸＭＬ署名を署名検証鍵（公開鍵）７５４Ａを用いて検証して署名検証結果７５５Ａを得る。

この変形例によれば、アプリケーションにハッシュ値を追加して情報処理装置７００に提供されるので、情報処理装置７００はアプリケーションサーバ３００より取得したアプリケーションに対して算出したハッシュ値とＸＭＬ−ＡＩＴにより伝達されたハッシュ値とを比較することによって、アプリケーションの正当性を判定することができる。

以上、ＨｂｂＴＶの標準規格を前提とした実施形態を説明したが、本技術は、ＨｂｂＴＶの標準規格を前提とすることに必ずしも限定されるものではない。

［本技術の別の構成］
本技術は以下のような構成も採ることができる。
（１）放送を受信可能な放送受信部と、
前記放送のリソースを利用するアプリケーションによる前記リソースの利用許諾範囲を示す第１の利用許諾情報が少なくとも格納された第１のアプリケーション情報テーブルを通信により取得して前記アプリケーションの動作を制御し、前記アプリケーションの実行中、前記放送受信部を用いて、前記アプリケーションによる前記リソースの利用許諾範囲を示す第２の利用許諾情報が少なくとも格納された第２のアプリケーション情報テーブルを取得して前記アプリケーションの動作を制御するように構成されるコントローラと
を具備する情報処理装置。

（２）前記（１）に記載の情報処理装置であって、
前記コントローラは、前記第１のアプリケーション情報テーブルの情報をもとに前記アプリケーションを取得し、前記取得したアプリケーションを起動させるように構成される
情報処理装置。

（３）前記（１）または（２）に記載の情報処理装置であって、
前記コントローラは、前記第１の利用許諾情報と前記第２の利用許諾情報とを比較して差分が検出された場合、前記第１の利用許諾情報から前記第２の利用許諾情報に切り替えて、前記アプリケーションによる前記リソースの利用範囲を制御するように構成される
情報処理装置。

（４）前記（１）ないし（３）のいずれかに記載の情報処理装置であって、
前記アプリケーションが、放送局以外の第三者によって提供されるアプリケーションである
情報処理装置。

（５）前記（１）ないし（４）のいずれかに記載の情報処理装置であって、
前記第１のアプリケーション情報テーブルおよび前記第２のアプリケーション情報テーブルは、前記アプリケーションを表示させてもよいディスプレイ画面上の領域を定義するエリア情報を格納し、
前記コントローラは、前記エリア情報をもとに前記領域を設定し、この領域に前記アプリケーションを表示させるように構成される
情報処理装置。

（６）放送リソースを利用可能なアプリケーションによる前記放送リソースの利用許諾範囲を示す利用許諾情報が少なくとも格納されたアプリケーション情報テーブルを含む放送信号を送信する放送部
を具備する放送装置。

（７）前記（６）に記載の放送装置であって、
前記放送部は、前記アプリケーションを表示させてもよいディスプレイ画面上の領域を定義するエリア情報を前記アプリケーション情報テーブルに格納して送出するように構成される
放送装置。

その他、本技術は、上述の実施形態にのみ限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変更を加え得ることは勿論である。

１０…情報処理システム
２１…利用許諾情報記述子
４１…共通記述子領域
５１…パーミッションビットマップ
１００…放送局
２００…第１のネットワーク
３００…アプリケーションサーバ
４００…ＡＩＴサーバ
５００…エッジルータ
６００…第２のネットワーク
７００…情報処理装置
７０１…放送インタフェース
７０２…デマルチプレクサ
７０３…出力処理部
７０４…映像デコーダ
７０５…音声デコーダ
７０６…字幕デコーダ
７０７…通信インタフェース
７０８…アプリケーションコントローラ

本技術は、放送コンテンツの提示とともに、アプリケーション情報テーブルを用いてア
プリケーションを実行することが可能な受信装置、および情報処理装置による受信方法に関する。

以上のような事情を鑑み、本技術の目的は、サービス提供者が放送外マネージドアプリケーションの挙動の制約を精緻に反映させ、サービスの品質を向上させることのできる受信装置および受信方法を提供することにある。

Claims (8)

1. 放送を受信可能な放送受信部と、
   前記放送のリソースを利用するアプリケーションによる前記リソースの利用許諾範囲を示す第１の利用許諾情報が少なくとも格納された第１のアプリケーション情報テーブルを通信により取得して前記アプリケーションの動作を制御し、前記アプリケーションの実行中、前記放送受信部を用いて、前記アプリケーションによる前記リソースの利用許諾範囲を示す第２の利用許諾情報が少なくとも格納された第２のアプリケーション情報テーブルを取得して前記アプリケーションの動作を制御するように構成されるコントローラと
   を具備する情報処理装置。
2. 請求項１に記載の情報処理装置であって、
   前記コントローラは、前記第１のアプリケーション情報テーブルの情報をもとに前記アプリケーションを取得し、前記取得したアプリケーションを起動させるように構成される
   情報処理装置。
3. 請求項２に記載の情報処理装置であって、
   前記コントローラは、前記第１の利用許諾情報と前記第２の利用許諾情報とを比較して差分が検出された場合、前記第１の利用許諾情報から前記第２の利用許諾情報に切り替えて、前記アプリケーションによる前記リソースの利用範囲を制御するように構成される
   情報処理装置。
4. 請求項３に記載の情報処理装置であって、
   前記アプリケーションが、放送局以外の第三者によって提供されるアプリケーションである
   情報処理装置。
5. 請求項１に記載の情報処理装置であって、
   前記第１のアプリケーション情報テーブルおよび前記第２のアプリケーション情報テーブルは、前記アプリケーションを表示させてもよいディスプレイ画面上の領域を定義するエリア情報を格納し、
   前記コントローラは、前記エリア情報をもとに前記領域を設定し、この領域に前記アプリケーションを表示させるように構成される
   情報処理装置。
6. 放送リソースを利用可能なアプリケーションによる前記放送リソースの利用許諾範囲を示す利用許諾情報が少なくとも格納されたアプリケーション情報テーブルを含む放送信号を送信する放送部
   を具備する放送装置。
7. 請求項６に記載の放送装置であって、
   前記放送部は、前記アプリケーションを表示させてもよいディスプレイ画面上の領域を定義するエリア情報を前記アプリケーション情報テーブルに格納して送出するように構成される
   放送装置。
8. コントローラが、放送のリソースを利用するアプリケーションによる前記リソースの利用許諾範囲を示す第１の利用許諾情報が少なくとも格納された第１のアプリケーション情報テーブルを通信により取得して前記アプリケーションの動作を制御し、
   前記アプリケーションの実行中、放送より、前記アプリケーションによる前記リソースの利用許諾範囲を示す第２の利用許諾情報が少なくとも格納された第２のアプリケーション情報テーブルを取得して前記アプリケーションの動作を制御する
   受信方法。

Images