JP5961164B2 - 放送通信連携受信装置及びリソースアクセス制御プログラム - Google Patents

Description

本発明は、放送と、インターネット、専用ＩＰ（Internet Protocol）回線等の通信ネットワークとを利用した放送通信連携システムにおいて、一般アプリケーションに対するリソースアクセス制御の技術に関する。
本願は、２０１１年５月１９日に、日本に出願された特願２０１１−１１２７１３号を優先権主張し、その内容をここに援用する。

近年、放送のデジタル化や通信の高速・広帯域化に伴い、放送と通信を連携した様々なサービス（以降、「放送通信連携サービス」）が検討されている（例えば、非特許文献１，２参照）。この放送通信連携サービスでは、放送番組に関連する多様な情報を通信ネットワーク経由で取得し、放送と組み合わせて提示することが想定されている。また、受信機では、放送通信連携サービスを享受するため、この放送通信連携サービスに適応したアプリケーションを用いることが想定されている。

「技研における放送通信連携技術研究の概要」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１２４、２０１０．１１、Ｐ４−Ｐ９ 「ＨｙｂｒｉｄｃａｓｔＴＭの概要と技術」、ＮＨＫ技研Ｒ＆Ｄ、Ｎｏ．１２４、２０１０．１１、Ｐ１０−Ｐ１７

この放送通信連携サービスにおいて、視聴者にとってより魅力的なサービスを実現するためには、放送局、様々なサービス事業者及び個人が一定のルールに基づいて制作したアプリケーション（Ａアプリケーション）を視聴者に提供できる環境が望まれている。しかし、その他のアプリケーション（一般アプリケーション）は、放送通信連携サービスで期待する動作が保証されていないため、安全性や放送の公共性の観点から、無制限に放送通信連携サービスで提供される受信機のリソースへアクセスすることが認められない。

そこで、本発明は、放送と通信を連携した放送通信連携サービスにおいて、アプリケーションを正しく認証したうえで、動作が保証されない一般アプリケーションに対して、無制限なリソースアクセスを禁止できる放送通信連携受信装置及びリソースアクセス制御プログラムを提供することを課題とする。

前記した課題に鑑みて、本願第１発明に係る放送通信連携受信装置は、放送番組を送信する放送送信装置と、放送番組を受信する放送通信連携受信装置と、秘密情報である署名鍵及び署名鍵に対応する公開情報である検証鍵を発行する署名鍵発行装置と、署名鍵によりアプリケーションに署名するアプリケーション登録装置と、署名されたアプリケーションであるＡアプリケーションを記憶するＡアプリケーションサーバとを含む放送通信連携システムに備えられる放送通信連携受信装置であって、検証鍵記憶手段と、アプリケーション取得手段と、アプリケーション判定手段と、リソースアクセス制御手段と、を備える。

かかる構成によれば、放送通信連携受信装置は、検証鍵記憶手段によって、検証鍵を予め記憶する。また、放送通信連携受信装置は、アプリケーション取得手段によって、ネットワークを介して、Ａアプリケーションサーバに記憶されたアプリケーションを取得する。すなわち、アプリケーション取得手段が取得したアプリケーションは、署名の有無により、Ａアプリケーション又は一般アプリケーションの何れかに区分することができる。

ここで、「Ａ（Authorized）アプリケーション」とは、システム管理者によって承認されたアプリケーションのことである。例えば、システム管理者は、あるアプリケーションが放送通信連携システムで期待する動作を行うか否かを手動又は自動で検証し、その検証結果に問題がないものをＡアプリケーションとして承認する。
また、「一般アプリケーション」とは、システム管理者によって承認されていないアプリケーションのことである。

また、放送通信連携受信装置は、アプリケーション判定手段によって、検証鍵を用いて、アプリケーション取得手段が取得したアプリケーションの署名が正当であるか否かを検証する。そして、放送通信連携受信装置は、アプリケーション判定手段によって、署名が正当の場合、取得したアプリケーションをＡアプリケーションと判定する。

また、放送通信連携受信装置は、リソースアクセス制御手段によって、アプリケーション判定手段の判定結果に基づいて、取得したアプリケーションに対して、予め定められたリソースへのアクセスを禁止するリソースアクセス制御を行う。例えば、判定結果が一般アプリケーションの場合、リソースアクセス制御手段は、この一般アプリケーションが、後記する放送リソースにアクセスすることを禁止する。一方、判定結果がＡアプリケーションの場合、リソースアクセス制御手段は、このＡアプリケーションが放送リソースにアクセスすることを禁止せずともよい。これによって、リソースアクセス制御手段は、安全性の確保が困難な一般アプリケーションが、無制限にリソースへアクセスすることを禁止できる。
なお、リソースアクセス制御手段は、一般アプリケーションであっても、後記する受信機リソース等の一部リソースへのアクセスを禁止せずともよい。

ここで、本願第１発明に係る放送通信連携受信装置において、アプリケーション判定手段が、アプリケーションを取得又は起動したとき、アプリケーションの署名が正当であるか否かを検証してもよい。
かかる構成によれば、放送通信連携受信装置は、アプリケーション取得時に署名を検証する場合、署名の検証回数を低減することができる。一方、放送通信連携受信装置は、アプリケーション起動する都度、署名を検証することもできる。

また、本願第２発明に係る放送通信連携受信装置は、本願第１発明に係る放送通信連携受信装置において、リソースアクセス制御手段が、Ａアプリケーションごとにアクセスできないリソースを予め定めたリソースアクセス制御テーブルに基づいて、リソースアクセス制御を行う。

このリソースアクセス制御テーブルは、例えば、放送局又はシステム管理者によって作成され、放送波又はネットワークを介して放送通信連携受信装置に送信、記憶される。つまり、放送通信連携受信装置では、放送局又はシステム管理者が、リソースアクセス制御テーブルを管理することができる。

また、前記した課題に鑑みて、本願第３発明に係る放送通信連携受信装置は、放送番組を送信する放送送信装置と、前記放送番組を受信する放送通信連携受信装置と、秘密情報である署名鍵及び当該署名鍵に対応する公開情報である検証鍵を発行する署名鍵発行装置と、前記署名鍵によりアプリケーションに署名するアプリケーション登録装置と、署名されたアプリケーションであるＡアプリケーションを記憶するＡアプリケーションサーバと、署名されていないアプリケーションである一般アプリケーションを記憶する一般アプリケーションサーバとを含む放送通信連携システムに備えられる前記放送通信連携受信装置であって、検証鍵記憶手段と、アプリケーション取得手段と、アプリケーション判定手段と、リソースアクセス制御手段と、を備える。

かかる構成によれば、放送通信連携受信装置は、Ａアプリケーションサーバ又は一般アプリケーションサーバの何れかに記憶されたアプリケーションを取得する。そして、放送通信連携受信装置は、取得したアプリケーションがＡアプリケーション又は一般アプリケーションであるかを判定し、この判定結果に基づいて、予め定められたリソースへのアクセスを禁止するリソースアクセス制御を行う。これによって、放送通信連携受信装置は、安全性の確保が困難な一般アプリケーションが、無制限にリソースへアクセスすることを禁止できる。
ここで、本願第３発明に係る放送通信連携受信装置は、リソースアクセス制御手段が、Ａアプリケーション及び一般アプリケーションごとにアクセスできないリソースを予め定めたリソースアクセス制御テーブルに基づいて、リソースアクセス制御を行ってもよい（本願第４発明）。

なお、本願第１発明において、放送通信連携受信装置のＣＰＵ、メモリやハードディスク（検証鍵記憶手段を含む）等のハードウェア資源を、前記したアプリケーション取得手段、アプリケーション判定手段、リソースアクセス制御手段として協調動作させるためのリソースアクセス制御プログラムによって実現することもできる（本願第５発明）。このリソースアクセス制御プログラムは、ネットワークを介して配布しても良く、ＣＤ−ＲＯＭやフラッシュメモリ等の記録媒体に書き込んで配布しても良い。

本発明によれば、以下のような優れた効果を奏する。
本願第１，３，５発明によれば、Ａアプリケーションだけでなく、様々なサービス事業者等が制作した一般アプリケーションも取得できると共に、安全性の確保が困難な一般アプリケーションが無制限にリソースへアクセスすることを禁止できる。これによって、本願第１，３，５発明によれば、この一般アプリケーションも視聴者に安全に提供できるため、幅広いサービス事業者等の参入を促しつつ、高い安全性を確保することができる。

本願第２，４発明によれば、システム管理者又は放送局がリソースアクセス制御テーブルを管理でき、放送通信連携受信装置のメンテナンス性が向上する。

本発明の実施形態に係る放送通信連携システムの全体構成を示す概略図である。 図１のアプリケーションサーバの構成を示すブロック図である。 図１のアプリケーションＩＤ生成装置の構成を示すブロック図である。 図１の署名鍵発行装置の構成を示すブロック図である。 図１のアプリケーション登録装置の構成を示すブロック図である。 図１のリポジトリの構成を示すブロック図である。 図１の受信機の構成を示すブロック図である。 図１の受信機に予め設定されたリソースアクセス制御テーブルのデータ構造を示す図である。 図１の放送通信連携システムにおいて、Ａアプリケーションを起動する動作を示すシーケンス図である。 図１の放送通信連携システムにおいて、一般アプリケーションを起動する動作を示すシーケンス図である。 図９，図１０のアプリケーション認証処理を示すフローチャートである。

［放送通信連携システムの概略］
図１を参照して、本発明の実施形態に係る放送通信連携システム１の構成について説明する。
放送通信連携システム１は、放送と通信とを連携し、放送番組と共に様々なサービスをユーザ（視聴者）に提供するものである。具体的には、放送通信連携システム１は、放送波Ｗを介して、放送番組を放送通信連携受信装置（以後、「受信機」）９０に送信すると共に、ネットワークＮを介して、様々なサービスに適応したアプリケーションを受信機９０に送信する。そして、放送通信連携システム１は、受信機９０において、放送番組に関連する多様なサービスを、アプリケーションによりユーザに提供する。このとき、放送通信連携システム１は、受信機９０において、安全性（セキュリティ）や放送の公共性の観点から、システム管理者によって承認されていない一般アプリケーションについては、所定のリソースへのアクセスを禁止する。

「アプリケーション」とは、ＨＴＭＬ（HyperText Markup Language）５のブラウザ上で動作するソフトウェアを含む、受信機９０で利用可能なソフトウェアのことである。
このアプリケーションは、署名の有無により、Ａアプリケーション及び一般アプリケーションに区別することができる。
なお、アプリケーションを「アプリ」と略記することがある（図面も同様）。

システム管理者によって承認されたアプリケーションは、「Ａアプリケーション」と呼ばれる。本実施形態では、サービス事業者Ｂが制作したアプリケーションが「Ａアプリケーション」であるとする。このＡアプリケーションは、放送通信連携システム１で期待される動作が保証されたものであり、後記するアプリケーション登録装置７０で署名及びアプリケーションＩＤが付加された後、後記するリポジトリ（Ａアプリケーションサーバ）８０に記憶される。

また、システム管理者によって承認されていないアプリケーションは、「一般アプリケーション」と呼ばれる。本実施形態では、サービス事業者Ａが制作したアプリケーションが「一般アプリケーション」であるとする。この一般アプリケーションは、放送通信連携システム１で期待される動作が保障されたものでなく、署名及びアプリケーションＩＤが付加されない状態で、後記するアプリケーションサーバ（一般アプリケーションサーバ）３０に記憶される。

「放送局」とは、編成を伴う番組を送出しているものであり、放送波Ｗ又はネットワークＮにより放送番組をユーザ（視聴者）に配信するものである。
「サービス事業者」とは、サービスを提供するもので、サービスを提供するためのコンテンツ及びアプリケーションを制作し、配信するものである。

「システム管理者」とは、Ａアプリケーションを承認する機関である。例えば、システム管理者は、あるサービス事業者が制作したアプリケーションをＡアプリケーションとして承認する際、このアプリケーションが放送通信連携システム１で期待される動作を行うか否かを手動又は自動で検証する。

図１に示すように、放送通信連携システム１は、放送送信装置１０と、コンテンツ配信サーバ２０Ａ，２０Ｂと、アプリケーションサーバ３０と、アプリケーション管理装置４０と、アプリケーションＩＤ生成装置５０と、署名鍵発行装置６０と、アプリケーション登録装置７０と、リポジトリ８０と、受信機９０とを備える。
この放送通信連携システム１では、ネットワークＮを介して、コンテンツ配信サーバ２０Ａ，２０Ｂと、アプリケーションサーバ３０と、リポジトリ８０と、受信機９０とが接続されている。
なお、以後の図面において、一点鎖線は、オフライン又はオンラインでの送信を示す。

放送送信装置１０は、放送局に設置され、図示を省略した番組編成設備、番組送信設備、送信設備等から構成されるデジタル放送用の放送設備であり、放送波Ｗ、ネットワークＮ又はケーブル（不図示）を介して、放送番組（放送信号）を受信機９０に送信するものである。
なお、放送送信装置１０は、一般的な構成のため、詳細な説明を省略する。

コンテンツ配信サーバ２０は、受信機９０のアプリケーションからの要求により、ネットワークＮを介して、コンテンツを受信機９０に提供するものである。このコンテンツ配信サーバ２０としては、例えば、ＶＯＤ（ビデオオンデマンド）配信サーバ、字幕配信サーバ、マルチビュー配信サーバ等があげられる。

本実施形態では、コンテンツ配信サーバ２０Ａがサービス事業者Ａによって管理され、コンテンツ配信サーバ２０Ｂがサービス事業者Ｂによって管理されることとする。
なお、コンテンツ配信サーバ２０は、一般的な構成のため、詳細な説明を省略する。

アプリケーションサーバ３０は、サービス事業者Ａによって管理され、一般アプリケーションを記憶、管理するサーバである。このアプリケーションサーバ３０は、例えば、受信機９０からの要求に応じて、ネットワークＮを介して、一般アプリケーションを受信機９０に送信する。

アプリケーション管理装置４０は、サービス事業者Ｂによって管理され、サービス事業者Ｂが制作したアプリケーションを記憶、管理するものである。ここで、アプリケーション管理装置４０に記憶されたアプリケーションは、例えば、ネットワークＮを介して、アプリケーション登録装置７０に送信される。また、このアプリケーションが格納された記録媒体をシステム管理者に郵送等のオフラインで送信し、システム管理者がこのアプリケーションをアプリケーション登録装置７０に手動で入力してもよい。
なお、アプリケーション管理装置４０は、一般的な構成のため、詳細な説明を省略する。

アプリケーションＩＤ生成装置５０は、アプリケーションを一意に識別するアプリケーションＩＤを生成するものである。そして、アプリケーションＩＤ生成装置５０は、生成したアプリケーションＩＤを、アプリケーション登録装置７０に出力する。

署名鍵発行装置６０は、Ａアプリケーションであることを示す署名を生成するための署名鍵（秘密鍵）と、この署名の検証に必要となる検証鍵（公開鍵）とを発行するものである。この署名鍵発行装置６０が生成した署名鍵は、アプリケーション登録装置７０に出力される。また、署名鍵発行装置６０が生成した検証鍵は、任意の方法で受信機９０に配布される。例えば、この検証鍵は、受信機９０を製造するメーカに送信され、受信機９０に予め記録（プリインストール）される。この他、この検証鍵を記録したＩＣカードをユーザにオフラインで送信し、各ユーザがＩＣカードに記憶された検証鍵を受信機９０に読み取らせてもよい。

アプリケーション登録装置７０は、アプリケーション管理装置４０からのアプリケーションに署名及びアプリケーションＩＤを付加して、このアプリケーションをＡアプリケーションとして登録するものである。ここで、システム管理者は、例えば、サービス事業者Ｂのアプリケーションが放送通信連携システム１で期待された動作を行うか否かを手動又は自動で検証する。その後、システム管理者は、その検証結果に問題がないアプリケーションをＡアプリケーションとして承認し、アプリケーション登録装置７０に入力する。そして、アプリケーション登録装置７０は、署名鍵発行装置６０からの署名鍵により署名を生成し、生成した署名と、アプリケーションＩＤ生成装置５０からのアプリケーションＩＤとをこのアプリケーションに付加する。その後、アプリケーション登録装置７０は、署名及びアプリケーションＩＤが付加されたＡアプリケーションをリポジトリ８０に出力する。

リポジトリ８０は、Ａアプリケーションを記憶、管理するものである。このリポジトリ８０は、例えば、受信機９０からの要求に応じて、ネットワークＮを介して、記憶したＡアプリケーションを受信機９０に送信する。
本実施形態では、アプリケーションＩＤ生成装置５０、署名鍵発行装置６０、アプリケーション登録装置７０及びリポジトリ８０が、システム管理者によって管理される。

受信機（放送通信連携受信装置）９０は、各ユーザの自宅等に設置され、地上デジタル放送、ＢＳデジタル放送、データ放送等の放送番組が視聴可能であると共に、ネットワークＮを介して、Ａアプリケーション及び一般アプリケーションを受信可能な受信装置である。そして、受信機９０は、前記した検証鍵を用いて、取得したアプリケーションがＡアプリケーション又は一般アプリケーションの何れであるかを認証（判定）する。さらに、受信機９０は、この認証結果（判定結果）に基づいて、取得したアプリケーションが、受信機９０の一部リソースへアクセスすることを禁止する。

なお、受信機９０では、アプリケーション起動情報に基づいて、アプリケーションの取得、起動、終了等の制御が行われてもよい。
この「アプリケーション起動情報」とは、アプリケーションの識別子（ＩＤ）、アプリケーションの配置場所等のアプリケーションを特定するための情報、ならびに、当該アプリケーションの取得、起動、終了等を制御するための付加的な情報（アプリケーション情報テーブル：ＡＩＴ（Application Information Table）に相当する情報）である。

［アプリケーションサーバの構成］
図２を参照して、アプリケーションサーバ３０の構成について説明する（適宜図１参照）。
図２に示すように、アプリケーションサーバ３０は、アプリケーション入力手段３００と、アプリケーション記憶手段３０１と、アプリケーション送信手段３０２とを備える。

アプリケーション入力手段３００は、一般アプリケーション（サービス事業者Ａのアプリケーション）が入力されるものである。そして、アプリケーション入力手段３００は、入力された一般アプリケーションを、アプリケーション記憶手段３０１に書き込む。

アプリケーション記憶手段３０１は、一般アプリケーションを記憶するメモリ、ハードディスク等の記憶装置である。ここで、アプリケーション記憶手段３０１における一般アプリケーションの所在位置が、アプリケーション起動情報に記述される。

アプリケーション送信手段３０２は、受信機９０からの要求に応じて、一般アプリケーションを受信機９０に送信するものである。具体的には、アプリケーション送信手段３０２は、ネットワークＮを介して、受信機９０から要求を受信すると、この要求に応じた一般アプリケーションをアプリケーション記憶手段３０１から読み出す。そして、アプリケーション送信手段３０２は、ネットワークＮを介して、読み出した一般アプリケーションを受信機９０に送信する。

［アプリケーションＩＤ生成装置の構成］
図３を参照して、アプリケーションＩＤ生成装置５０の構成について説明する（適宜図１参照）。
図３に示すように、アプリケーションＩＤ生成装置５０は、アプリケーションＩＤ生成手段５００と、アプリケーションＩＤ出力手段５０１とを備える。

アプリケーションＩＤ生成手段５００は、アプリケーションを一意に識別するアプリケーションＩＤを生成するものである。例えば、アプリケーションＩＤ生成手段５００は、予め設定した命名規約に従って、アプリケーションＩＤを生成する。この命名規約は、例えば、アプリケーションを作成した組織の番号と、この組織内で一意に定められたアプリケーションを識別する番号とをアプリケーションＩＤとするものがある。そして、アプリケーションＩＤ生成手段５００は、生成したアプリケーションＩＤを、アプリケーションＩＤ出力手段５０１に出力する。

アプリケーションＩＤ出力手段５０１は、アプリケーションＩＤ生成手段５００からアプリケーションＩＤが入力される共に、このアプリケーションＩＤをアプリケーション登録装置７０に出力するものである。

なお、アプリケーションＩＤ生成装置５０において、アプリケーションＩＤを生成するタイミングは任意である。例えば、システム管理者は、サービス事業者ＢのアプリケーションをＡアプリケーションとして承認した場合、アプリケーションＩＤ生成指令を手動でアプリケーションＩＤ生成装置５０に入力する。すると、アプリケーションＩＤ生成装置５０は、入力されたアプリケーションＩＤ生成指令に応じて、アプリケーションＩＤを生成する。

［署名鍵発行装置の構成］
図４を参照して、署名鍵発行装置６０の構成について説明する（適宜図１参照）。
図４に示すように、署名鍵発行装置６０は、署名鍵・検証鍵生成手段６００と、検証鍵管理手段６０１と、署名鍵管理手段６０２とを備える。

署名鍵・検証鍵生成手段６００は、署名鍵及び検証鍵を生成するものである。ここで、署名鍵・検証鍵生成手段６００は、例えば、ＲＳＡ、ＥｌＧａｍａｌ、Ｒａｂｉｎ、楕円曲線暗号等の一般的な公開鍵暗号方式により、放送通信連携システム１で共通する署名鍵及び検証鍵を生成する。そして、署名鍵・検証鍵生成手段６００は、生成した検証鍵を検証鍵管理手段６０１に出力し、生成した署名鍵を署名鍵管理手段６０２に出力する。

検証鍵管理手段６０１は、署名鍵・検証鍵生成手段６００が生成した検証鍵を記憶、管理するものである。例えば、検証鍵管理手段６０１は、署名鍵・検証鍵生成手段６００から検証鍵が入力され、この検証鍵をメモリ、ハードディスク等の記憶装置（不図示）に記憶する。そして、検証鍵管理手段６０１は、記憶した検証鍵を出力する。この検証鍵管理手段６０１から出力された検証鍵は、受信機９０にプリインストール、又は、ＩＣカードに格納してオフラインで送信する等の手法により、受信機９０に配布される。
なお、検証鍵を受信機９０に配布した後、検証鍵を記憶、管理し続ける必要がないため、検証鍵管理手段６０１から検証鍵を削除してもよい。

署名鍵管理手段６０２は、署名鍵・検証鍵生成手段６００が生成した署名鍵を記憶、管理するものである。例えば、署名鍵管理手段６０２は、署名鍵・検証鍵生成手段６００から署名鍵が入力され、この署名鍵をメモリ、ハードディスク等の記憶装置（不図示）に記憶する。そして、署名鍵管理手段６０２は、記憶した署名鍵をアプリケーション登録装置７０に出力する。

なお、署名鍵発行装置６０では、Ａアプリケーションの登録を開始するまでに署名鍵及び検証鍵を生成すればよい。例えば、システム管理者は、放送通信連携システム１を導入又は初期化する際、鍵生成指令を手動で署名鍵発行装置６０に入力する。すると、署名鍵発行装置６０は、入力された鍵生成指令に応じて、署名鍵及び検証鍵を生成し、出力する。

［アプリケーション登録装置の構成］
図５を参照して、アプリケーション登録装置７０の構成について説明する（適宜図１参照）。
図５に示すように、アプリケーション登録装置７０は、アプリケーション入力手段７００と、アプリケーションＩＤ入力手段７０１と、アプリケーションＩＤ付加手段７０２と、署名鍵入力手段７０３と、署名生成手段７０４と、署名付加手段７０５と、アプリケーション出力手段７０６とを備える。

アプリケーション入力手段７００は、システム管理者によって承認されたアプリケーションが入力されるものである。そして、アプリケーション入力手段７００は、入力されたアプリケーションを、アプリケーションＩＤ付加手段７０２に出力する。

アプリケーションＩＤ入力手段７０１は、アプリケーションＩＤ生成装置５０からアプリケーションＩＤが入力されるものである。そして、アプリケーションＩＤ入力手段７０１は、入力されたアプリケーションＩＤを、アプリケーションＩＤ付加手段７０２に出力する。

アプリケーションＩＤ付加手段７０２は、アプリケーション入力手段７００から入力されたアプリケーションに、アプリケーションＩＤ入力手段７０１から入力されたアプリケーションＩＤを付加するものである。そして、アプリケーションＩＤ付加手段７０２は、アプリケーションＩＤが付加されたアプリケーションを、署名付加手段７０５に出力する。

署名鍵入力手段７０３は、署名鍵発行装置６０から署名鍵（秘密鍵）が入力されるものである。そして、署名鍵入力手段７０３は、入力された署名鍵を、署名生成手段７０４に出力する。

署名生成手段７０４は、署名鍵入力手段７０３から署名鍵が入力され、この署名鍵を用いて、署名を生成するものである。例えば、サービス事業者を一意に識別する事業者ＩＤ及びアプリケーションＩＤ等の識別情報、乱数、アプリケーション本体のバイナリコード値の何れか１つ又はこれら１以上の組み合わせを、署名の元となる署名元メッセージとする。そして、署名生成手段７０４は、この署名元メッセージにハッシュ関数（例えば、ＳＨＡ（Secure Hash Algorithm）、ＭＤ（Message Digest Algorithm）を適用して、署名元メッセージのハッシュ値を算出する。さらに、署名生成手段７０４は、算出したハッシュ値を署名鍵で暗号化して署名を生成し、この署名を署名付加手段７０５に出力する。

すなわち、署名生成手段７０４は、以下の式（１）で表される署名を生成する。この式（１）では、Ｓｉｇが署名であり、ＥＮＣ＿Ｋｓが署名鍵（秘密鍵）による暗号化であり、Ｈａｓｈがハッシュ関数であり、Ｍｅｓが署名元メッセージである。
Ｓｉｇ＝ＥＮＣ＿Ｋｓ（Ｈａｓｈ（Ｍｅｓ））・・・式（１）

なお、前記した署名元メッセージは、何らかの方法で受信機９０に配布する必要がある。例えば、この署名元メッセージをアプリケーションに付加して、アプリケーションと共に署名元メッセージを受信機９０に配布する。また、検証鍵と同様の手法で署名元メッセージを配布してもよい。
以後、この署名元メッセージをアプリケーションに付加することとして説明する。

署名付加手段７０５は、アプリケーションＩＤ付加手段７０２から入力されたアプリケーションに、署名生成手段７０４から入力された署名を付加するものである。そして、署名付加手段７０５は、アプリケーションＩＤ及び署名が付加されたアプリケーションを、アプリケーション出力手段７０６に出力する。

アプリケーション出力手段７０６は、署名付加手段７０５からアプリケーションが入力されると共に、このアプリケーションをリポジトリ８０に出力するものである。つまり、アプリケーション出力手段７０６は、アプリケーションＩＤ及び署名が付加されたアプリケーションを、Ａアプリケーションとしてリポジトリ８０に出力する。

［リポジトリの構成］
図６を参照して、リポジトリ８０の構成について説明する（適宜図１参照）。
図６に示すように、リポジトリ８０は、アプリケーション入力手段（アプリ入力手段）８００と、アプリケーション記憶手段（アプリ記憶手段）８０１と、アプリケーション送信手段（アプリ送信手段）８０２とを備える。

アプリケーション入力手段８００は、アプリケーション登録装置７０からＡアプリケーションが入力されるものである。そして、アプリケーション入力手段８００は、入力されたＡアプリケーションを、アプリケーション記憶手段８０１に書き込む。

アプリケーション記憶手段８０１は、Ａアプリケーションを記憶するメモリ、ハードディスク等の記憶装置である。例えば、アプリケーション記憶手段８０１におけるＡアプリケーションの格納場所が、アプリケーション起動情報に記述される。

アプリケーション送信手段８０２は、受信機９０からの要求に応じて、Ａアプリケーションを受信機９０に送信するものである。具体的には、アプリケーション送信手段８０２は、ネットワークＮを介して、受信機９０から要求を受信すると、この要求に応じたＡアプリケーションをアプリケーション記憶手段８０１から読み出す。そして、アプリケーション送信手段８０２は、ネットワークＮを介して、読み出したＡアプリケーションを受信機９０に送信する。

［受信機の構成］
図７を参照して、受信機９０の構成について説明する（適宜図１参照）。
図７に示すように、受信機９０は、放送受信手段９０１と、放送信号解析手段９０２と、映像・音声復号手段９０３と、データ放送復号手段９０４と、通信送受信手段９０５と、アプリケーション起動情報取得手段９０６と、アプリケーション起動情報記憶手段９０７と、リスト制御手段９０８と、アプリケーション管理・実行制御手段９０９と、起動アプリケーション識別情報記憶手段９１０と、アプリケーション取得手段９１１と、アプリケーション記憶手段９１２と、アプリケーション実行手段９１３と、操作制御手段９１４と、合成表示手段９１５と、セキュリティ管理手段９１６と、リソース管理手段９１９とを備える。

放送受信手段９０１は、アンテナＡ、ネットワークＮ又はケーブル（不図示）を介して、放送番組（放送信号）を受信し、復調し、誤り訂正や復号を行い、ＭＰＥＧ２のトランスポートストリーム（ＴＳ）として、放送信号解析手段９０２に出力するものである。

放送信号解析手段９０２は、放送受信手段９０１で復調されたストリームデータ（ＴＳ）において、ＰＳＩ／ＳＩ（Program Specific Information〔番組特定情報〕／Service Information〔番組配列情報〕）を解析し、現在選局されている編成チャンネルに対応する映像、音声、データ放送等のデータを抽出するものである。なお、選局は、後記する操作制御手段９１４から通知されるチャンネル切替指示に基づいて行われる。

この放送信号解析手段９０２は、抽出した映像、音声等のデータであるＰＥＳ（Packetized Elementary Stream）形式のデータについては、映像・音声復号手段９０３に出力し、抽出したデータ放送等のセクション形式のデータについては、データ放送復号手段９０４に出力する。

このとき、放送信号解析手段９０２は、放送受信手段９０１で復調されたストリームデータから、ＳＩ（番組配列情報）の一つであるＡＩＴの記述子（アプリケーション起動情報記述子）に含まれているアプリケーション起動情報を抽出してもよい。そして、放送信号解析手段９０２は、抽出したアプリケーション起動情報をアプリケーション起動情報記憶手段９０７に書き込む。さらに、放送信号解析手段９０２は、アプリケーション起動情報を抽出した場合、アプリケーション起動情報が通知された旨（起動情報通知）を、アプリケーションを識別する情報（アプリケーションＩＤ）とともに、アプリケーション管理・実行制御手段９０９に通知する。

映像・音声復号手段９０３は、放送信号解析手段９０２で抽出された映像・音声（ＭＰＥＧ２の映像ストリーム及び音声ストリーム）を復号し、復号した映像・音声データを合成表示手段９１５に出力するものである。

データ放送復号手段９０４は、放送信号解析手段９０２で抽出されたデータ放送のデータを復号し、ＢＭＬを解析し、当該ＢＭＬを表示データに変換し、合成表示手段９１５に出力するものである。
また、データ放送復号手段９０４は、カルーセルで送信されたアプリケーション起動情報を抽出し、抽出したアプリケーション起動情報をアプリケーション起動情報記憶手段９０７に書き込む。

通信送受信手段９０５は、ネットワークＮを介して、アプリケーション、アプリケーション起動情報等のデータを受信するものである。
アプリケーション起動情報取得手段９０６は、通信送受信手段９０５を介して、Ａアプリケーション及び一般アプリケーションに対応する起動情報を取得するものである。そして、アプリケーション起動情報取得手段９０６は、取得したアプリケーション起動情報をアプリケーション起動情報記憶手段９０７に書き込む。

アプリケーション起動情報記憶手段９０７は、アプリケーション起動情報を記憶するものであって、メモリ、ハードディスク等の記憶媒体である。ここで、アプリケーション起動情報記憶手段９０７には、放送信号解析手段９０２又はアプリケーション起動情報取得手段９０６によって、アプリケーション起動情報が書き込まれる。

リスト制御手段９０８は、起動可能なアプリケーションのリストの表示及びアプリケーションの選択の制御を行うローンチャー（Launcher）である。
このリスト制御手段９０８は、ユーザが、操作制御手段９１４を介して、リスト表示を指示することで、アプリケーション起動情報記憶手段９０７に記憶されているアプリケーション起動情報に対応するアプリケーションのリストを生成し、表示データとして、合成表示手段９１５に出力する。

また、リスト制御手段９０８は、ユーザが、操作制御手段９１４を介して、表示したアプリケーションのリストから、アプリケーションを選択する。そして、リスト制御手段９０８は、選択されたアプリケーションを識別する番号（アプリケーションＩＤ）を含んだ選択アプリケーション通知をアプリケーション管理・実行制御手段９０９に出力する。

アプリケーション管理・実行制御手段９０９は、アプリケーションのライフサイクル（アプリケーションがロード、実行されて終了するまでの過程）を制御するものである。
具体的には、アプリケーション管理・実行制御手段９０９は、後記するアプリケーション実行手段９１３からリソース割当要求が入力されると、このリソース割当要求を後記するリソース管理手段９１９に出力（転送）する。

また、アプリケーション管理・実行制御手段９０９は、リソース管理手段９１９からリソース割当要求の応答が入力されると、このリソース割当要求の応答をアプリ実行手段９１３に出力（転送）する。
ここで、リソース割当要求の応答がリソースの割り当てが成功したことを示すリソース割当成功の場合、アプリケーション管理・実行制御手段９０９は、起動中のアプリケーションＩＤに対応づけて、このリソース割当成功をメモリ等に格納されたセキュリティ情報テーブル（不図示）に書き込む。
一方、リソース割当要求の応答がリソースの割り当てが失敗したことを示すリソース割当失敗の場合、アプリケーション管理・実行制御手段９０９は、起動中のアプリケーションＩＤに対応づけて、このリソース割当失敗をセキュリティ情報テーブルに書き込む。

また、アプリケーション管理・実行制御手段９０９は、後記するアプリケーション認証手段９１７から認証結果が入力される。この認証結果は、署名を検証したアプリケーションのＩＤと、Ａアプリケーション又は一般アプリケーションを示す属性等の情報が含まれる。そして、アプリケーション管理・実行制御手段９０９は、入力された認証結果を、起動中のアプリケーションＩＤに対応づけてセキュリティ情報テーブルに書き込む。
これによって、アプリケーション管理・実行制御手段９０９は、起動中のアプリケーションに対するリソースの割り当ての成否、割り当てられたリソース、及び、認証結果を記憶、管理することができる。

ここで、アプリケーション管理・実行制御手段９０９は、起動制御手段９０９ａと、終了制御手段９０９ｂと、蓄積管理手段９０９ｃとを備えている。
起動制御手段９０９ａは、アプリケーション取得手段９１１が取得したアプリケーションの起動を制御するものである。
具体的には、起動制御手段９０９ａは、放送信号解析手段９０２から起動情報通知が通知された際、アプリケーション起動情報記憶手段９０７に記憶されているアプリケーション起動情報に応じて、アプリケーションを起動させる。

また、起動制御手段９０９ａは、リスト制御手段９０８から、選択アプリケーション通知が通知された際には、アプリケーション実行手段９１３に当該アプリケーションを実行する旨（起動制御指示）を通知する。これによって、ユーザがリストから選択したアプリケーションが起動されることになる。
なお、起動制御手段９０９ａは、起動中のアプリケーションを識別情報（アプリケーションＩＤ）で管理し、起動アプリケーション識別情報記憶手段９１０に起動中のアプリケーションＩＤを書き込むこととする。

終了制御手段９０９ｂは、起動中のアプリケーションの終了制御を行うものである。
具体的には、終了制御手段９０９ｂは、放送信号解析手段９０２から起動情報通知が通知された際、アプリケーション起動情報記憶手段９０７に記憶されているアプリケーション起動情報に応じて、アプリケーション実行手段９１３にアプリケーションの終了を指示する。

蓄積管理手段９０９ｃは、受信機９０内（具体的には、アプリケーション記憶手段９１２）にアプリケーションを予め蓄積（インストール）する制御を行うものである。
具体的には、蓄積管理手段９０９ｃは、リスト制御手段９０８から選択アプリケーション通知が通知された際、アプリケーション取得指示をアプリケーション取得手段９１１に通知する。このアプリケーション取得指示は、アプリケーション起動情報に基づいてアプリケーションを取得して、アプリケーション記憶手段９１２に書き込む旨の指示である。
これによって、アプリケーション記憶手段９１２には、ユーザが選択したアプリケーションが蓄積される。

ここで、蓄積管理手段９０９ｃは、アプリケーションをアプリケーション記憶手段９１２に蓄積（インストール）した場合、アプリケーション起動情報記憶手段９０７において、蓄積したアプリケーション蓄積状態を“蓄積”とする。
一方、蓄積管理手段９０９ｃは、ユーザの指示に応じて、蓄積したアプリケーションを削除する。このとき、蓄積管理手段９０９ｃは、アプリケーション起動情報記憶手段９０７において、削除したアプリケーション蓄積状態を“未蓄積”とする。

起動アプリケーション識別情報記憶手段９１０は、起動中のアプリケーションの識別情報（アプリケーションＩＤ）を記憶するものであって、半導体メモリ等の記憶媒体である。この起動アプリケーション識別情報記憶手段９１０は、起動制御手段９０９ａによって、アプリケーションが起動された際にアプリケーションＩＤが書き込まれ、終了制御手段９０９ｂによって、アプリケーションが終了する際に削除される。

アプリケーション取得手段９１１は、蓄積管理手段９０９ｃからアプリケーション取得指示が通知された際、通信送受信手段９０５を介して、リポジトリ８０又はアプリケーションサーバ３０の何れかに記憶されたアプリケーションを取得するものである。そして、アプリケーション取得手段９１１は、取得したアプリケーションをアプリケーション記憶手段９１２に書き込む。

ここで、アプリケーション取得手段９１１は、アプリケーションを取得したとき、認証指示をアプリケーション認証手段９１７に出力する。この認証指示は、Ａアプリケーション又は一般アプリケーションの何れであるかを認証（判定）する旨の指示である。
これによって、受信機９０は、アプリケーションを起動する都度、アプリケーション認証を行う場合に比べて、その回数を低減でき、処理負荷を軽減することができる。
アプリケーション取得手段９１１が出力した認証指示は、図７には「認証指示１」と図示した。なお、「認証指示２」については、説明を後記する。

アプリケーション記憶手段９１２は、アプリケーション取得手段９１１が取得したアプリケーションを記憶するもので、ハードディスク等の記憶媒体である。このアプリケーション記憶手段９１２に記憶されているアプリケーションは、アプリケーション実行手段９１３によって読み出され、実行される。

アプリケーション実行手段９１３は、アプリケーション管理・実行制御手段９０９からの起動制御指示に基づいて、アプリケーションの起動及び終了を行うものである。
このアプリケーション実行手段９１３は、起動制御指示に含まれるアプリケーションを特定する情報（アプリケーションＩＤ、所在位置等）に基づいて、アプリケーション及びその実行に必要なデータ（例えば、メタデータ、アイコンデータ等）をアプリケーションの取得元から取得する。そして、アプリケーション実行手段９１３は、図示を省略したメモリにアプリケーションを展開（ロード）し、アプリケーションを実行する。
このアプリケーションの実行に伴う画像や音声のデータは、合成表示手段９１５に出力される。

ここで、アプリケーション実行手段９１３は、起動中のアプリケーションがリソースにアクセスするＡＰＩ（Application Program Interface）を呼び出した場合、アプリケーション管理・実行制御手段９０９を介して、リソース割当要求をリソース管理手段９１９に出力する。
このリソース割当要求は、リソースの割り当てを要求するものであり、例えば、起動中のアプリケーションが呼び出したＡＰＩ名が含まれている。

また、アプリケーション実行手段９１３は、リソース管理手段９１９からリソース割当要求の応答が入力される。
ここで、リソース割当要求の応答がリソース割当成功の場合、アプリケーション実行手段９１３は、ＡＰＩを呼び出して、リソース管理手段９１９によって割り当てられたリソースを使用する。
一方、リソース割当要求の応答がリソース割当失敗の場合、アプリケーション実行手段９１３は、例えば、セキュリティ関係の例外処理、アプリケーションを終了する等のアプリケーションごとに任意の処理を行う。

また、アプリケーション実行手段９１３は、終了制御手段９０９ｂからアプリケーションの終了が指示された場合、例えば、割り込み信号等によって起動中のアプリケーションを終了させる。
なお、アプリケーション実行手段９１３は、アプリケーション管理・実行制御手段９０９を介して、リソース割当要求をリソース管理手段９１９に出力することとして説明したが、これに限定されない。具体的には、アプリケーション実行手段９１３は、リソース割当要求をリソース管理手段９１９に直接出力してもよい（不図示）。

操作制御手段９１４は、ユーザが、リモコン装置Ｒｉを介して、チャンネルの変更を指示した場合、変更後のチャンネル番号を含んだチャンネル切替指示を放送信号解析手段９０２に通知するものである。これによって、現在視聴中のチャンネルが選局されることになる。

合成表示手段９１５は、映像・音声復号手段９０３からの映像データ・音声データと、データ放送復号手段９０４からのデータ放送の表示データと、リスト制御手段９０８からのリストの表示データと、アプリケーション実行手段９１３からのアプリケーションの表示データとを合成して表示するものである。
なお、合成表示手段９１５は、合成した音声については、音声信号として外部に接続されたスピーカ等の音声出力装置Ｓｐに出力し、合成した映像（画像）については、映像信号として外部に接続された液晶ディスプレイ等の映像表示装置Ｍｏに出力する。

セキュリティ管理手段９１６は、受信機９０のセキュリティを管理するものであり、アプリケーション認証手段（アプリケーション判定手段）９１７と、リソースアクセス制御手段９１８とを備える。

アプリケーション認証手段（アプリケーション判定手段）９１７は、検証鍵を記憶、管理する検証鍵管理手段（検証鍵記憶手段）９１７ａを備え、この検証鍵を用いて、アプリケーション取得手段９１１が取得したアプリケーションの署名が正当であるか否かを検証するものである。そして、アプリケーション認証手段９１７は、署名が正当の場合、取得したアプリケーションをＡアプリケーションと認証し、署名が正当でない場合、取得したアプリケーションを一般アプリケーションと認証する（アプリケーション認証）。

＜アプリケーション認証の具体例＞
以下、アプリケーション認証の具体例について説明する。
アプリケーション認証手段９１７は、アプリケーション取得手段９１１から入力された認証指示に応じて、アプリケーション記憶手段９１２から、アプリケーションに付加されたアプリケーションＩＤ（図７ではＩＤ）、署名及び署名元メッセージ（図７ではメッセージ）を読み出す。そして、アプリケーション認証手段９１７は、検証鍵管理手段９１７ａに記憶された検証鍵を用いて、アプリケーションに付加された署名が正当であるか否かを検証する。

具体的には、アプリケーション認証手段９１７は、署名元メッセージにハッシュ関数を適用して、署名元メッセージのハッシュ値を算出する。このハッシュ関数は、署名生成手段７０４と同一の関数であることは言うまでもない。そして、アプリケーション認証手段９１７は、アプリケーションに付加された署名を検証鍵で復号化する。さらに、アプリケーション認証手段９１７は、復号化した署名と、署名元メッセージのハッシュ値とを比較して、これらが一致するか否かを判定する。

すなわち、アプリケーション認証手段９１７は、以下の式（２）を用いて、署名を検証する。この式（２）では、ＤＥＣ＿Ｋｐが検証鍵（公開鍵）による復号化であり、‘＜＝＞’が左右両辺の比較を示す。
ＤＥＣ＿Ｋｐ（Ｓｉｇ）＜＝＞Ｈａｓｈ（Ｍｅｓ）・・・式（２）

ここで、復号化した署名と、署名元メッセージのハッシュ値とが一致する場合、署名が正当なので、アプリケーション認証手段９１７は、取得したアプリケーションをＡアプリケーションと認証する。
一方、アプリケーションに署名が付加されていない場合、又は、復号化した署名と署名元メッセージのハッシュ値とが一致しない場合、署名が正当でないので、アプリケーション認証手段９１７は、取得したアプリケーションを一般アプリケーションと認証する。

そして、アプリケーション認証手段９１７は、署名を検証したアプリケーションのＩＤと、Ａアプリケーション又は一般アプリケーションを示す属性等の情報（例えば、０：Ａアプリケーション、１：一般アプリケーション）とを認証結果（判定結果）として、アプリケーション管理・実行制御手段９０９及びリソースアクセス制御手段９１８に出力する。

リソースアクセス制御手段９１８は、アプリケーション取得手段９１１が取得したアプリケーションの属性に応じて、このアプリケーションに対して、リソースアクセス制御を行うものである。本実施形態では、リソースアクセス制御手段９１８は、予め設定されたリソースアクセス制御テーブルに基づいて、リソースアクセス制御を行う。

＜リソースアクセス制御＞
図８を参照して、リソースアクセス制御手段９１８によるリソースアクセス制御を具体的に説明する（適宜図７参照）。
このリソースアクセス制御テーブルは、Ａアプリケーション及び一般アプリケーションのそれぞれが、アクセスできるリソースとアクセスできないリソースとを予め設定したテーブルである。また、リソースアクセス制御テーブルは、図８に示すように、ＡＰＩ識別子と、ＡＰＩ名と、リソース種類と、アクセス権限というデータ項目を有する。

ＡＰＩ識別子は、リソースにアクセスするＡＰＩを一意に識別する識別子である。
ＡＰＩ名は、そのリソースにアクセスするＡＰＩの名称である。
リソース種別は、そのＡＰＩがアクセスするリソースを示す情報である。
アクセス権限は、Ａアプリケーション及び一般アプリケーションのそれぞれが、そのリソースにアクセスできるか否かを示す。

このリソースは、アプリケーションの動作に必要となるコンテンツ要素及び受信機資源であり、例えば、放送リソース、通信リソース、受信機リソースがある。
この放送リソースは、放送波Ｗで扱われるリソースであり、例えば、映像、音声、字幕、ＰＳＩ（Program Specific Information）／ＳＩ（Service Information）をあげることができる。
また、通信リソースは、ネットワークＮで扱われるリソースであり、例えば、ＴＣＰ（Transmission Control Protocol）、ＵＤＰ（User Datagram Protocol）をあげることができる。
さらに、受信機リソースは、受信機９０のソフトウェア及びハードウェアに関するリソースであり、例えば、映像・音声出力処理、選局処理、メモリ、ストレージをあげることができる。

図８のリソースアクセス制御テーブルでは、リソースごとに、そのリソースにアクセスする専用のＡＰＩが規定されている。この例では、リソース「映像」にアクセスするＡＰＩが「ｓｕｂＡ（）」であり、リソース「音声」にアクセスするＡＰＩが「ｓｕｂＢ（）」であり、リソース「字幕」にアクセスするＡＰＩが「ｓｕｂＣ（）」であり、リソース「ＳＩ」にアクセスするＡＰＩが「ｓｕｂＤ（）」である。

また、このリソースアクセス制御テーブルでは、Ａアプリケーションが、「映像」、「音声」、「字幕」、「ＳＩ」の全リソースについて、アクセス権限が「○」であるため、アクセスできることを示す。

さらに、このリソースアクセス制御テーブルでは、一般アプリケーションが、「映像」、「音声」、「字幕」等の放送リソースのアクセス権限が「×」であるため、これらリソースにアクセスできないことを示す。一方、このリソースアクセス制御テーブルでは、一般アプリケーションであっても、リソース「ＳＩ」にアクセスできることを示す。

つまり、図８のリソースアクセス制御テーブルは、Ａアプリケーションが、一般アプリケーションに比べて、幅広いリソースにアクセスできるように設定されている。言い換えるなら、このリソースアクセス制御テーブルでは、一般アプリケーションが、安全性や放送の公共性の観点から、所定のリソースにアクセスできないように設定されている。

ここで、システム管理者又は放送局等の権限を有する者が、このリソースアクセス制御テーブルを作成して、放送波Ｗ又はネットワークＮを介して受信機９０に送信して、受信機９０に記憶されることとしてもよい。これによって、受信機９０では、システム管理者又は放送局が、一般アプリケーションがアクセスできるリソースを管理でき、メンテナンス性が向上する。

なお、リソースアクセス制御テーブルは、図８の例に限定されない。例えば、リソースアクセス制御テーブルには、放送リソース以外のリソース（例えば、「ＴＣＰ」等の通信リソース）を設定することもできる。

リソースアクセス制御手段９１８は、アプリケーション認証手段９１７から認証結果が入力される。そして、リソースアクセス制御手段９１８は、リソース管理手段９１９からリソース割当可否問合が入力されると、この認証結果に基づいて、リソースの割り当てが可能であるか否かを判定する。

具体的には、認証結果がＡアプリケーションの場合、リソースアクセス制御手段９１８は、リソース割当可否問合に含まれるＡＰＩ名をリソースアクセス制御テーブルの検索キーとして、Ａアプリケーションのアクセス権限を検索して、リソースの割り当ての可否を判定する。例えば、Ａアプリケーションが「ｓｕｂＡ（）」を呼び出した場合、リソースアクセス制御手段９１８は、リソース「映像」のアクセス権限が「○」のため、リソースの割り当てが可能と判定する。そして、リソースアクセス制御手段９１８は、リソースの割り当てが可能であることを示すリソース割当可能を、リソース管理手段９１９に出力する。
なお、Ａアプリケーションのアクセス権限が「×」の場合、リソースアクセス制御手段９１８は、Ａアプリケーションであっても、そのリソースにアクセスすることを禁止する（図８不図示）。

一方、認証結果が一般アプリケーションの場合、リソースアクセス制御手段９１８は、リソース割当可否問合に含まれるＡＰＩ名をリソースアクセス制御テーブルの検索キーとして、一般アプリケーションのアクセス権限を検索して、リソースの割り当ての可否を判定する。例えば、一般アプリケーションが「ｓｕｂＡ（）」を呼び出した場合、リソースアクセス制御手段９１８は、リソース「映像」のアクセス権限が「×」のため、リソースの割り当てが不可と判定する。また、一般アプリケーションが「ｓｕｂＤ（）」を呼び出した場合、リソースアクセス制御手段９１８は、リソース「ＳＩ」のアクセス権限が「○」のため、リソースの割り当てが可能と判定する。その後、リソースアクセス制御手段９１８は、この判定結果に基づいて、リソースの割り当てが不可であることを示すリソース割当不可、又は、リソース割当可能の何れかを、リソース管理手段９１９に出力する。

図７に戻り、受信機９０の構成について説明を続ける。
リソース管理手段９１９は、各種リソースを管理するものである。ここで、リソース管理手段９１９は、アプリケーション管理・実行制御手段９０９からリソース割当要求が入力されると、このリソース割当要求に応じて、リソース割当可否問合をリソースアクセス制御手段９１８に出力する。
このリソース割当可否問合は、リソースの割り当て可否をリソースアクセス制御手段９１８に問い合わせるものであり、例えば、リソース割当要求に格納されたＡＰＩ名が含まれることとする。

また、リソース管理手段９１９は、リソースアクセス制御手段９１８からリソース割当可否問合の応答が入力される。
ここで、リソース管理手段９１９は、このリソース割当可否問合の応答がリソース割当可能の場合、起動中のアプリケーションにリソースを割り当てる。そして、リソース管理手段９１９は、リソースの割り当てが成功したことを示すリソース割当成功を、アプリケーション管理・実行制御手段９０９に出力する。
一方、リソース管理手段９１９は、このリソース割当可否問合の応答がリソース割当不可の場合、リソースの割り当てが失敗したことを示すリソース割当失敗を、アプリケーション管理・実行制御手段９０９に出力する。

［放送通信連携システムの動作：Ａアプリケーション］
受信機９０がＡアプリケーションを起動するケース（図９）、及び、受信機９０が一般アプリケーションを起動するケース（図１０）を、図１の放送通信連携システム１の動作として説明する。

図９に示すように、放送通信連携システム１は、署名鍵発行装置６０によって、署名鍵（秘密鍵）と、この署名鍵に対応する検証鍵（公開鍵）とを発行する。ここで、署名鍵発行装置６０は、例えば、ＲＳＡ、ＥｌＧａｍａｌ、Ｒａｂｉｎ、楕円曲線暗号等の一般的な公開鍵暗号方式により、署名鍵及び検証鍵を生成する（ステップＳ１）。

放送通信連携システム１は、署名鍵発行装置６０が生成した検証鍵を、任意の方法で受信機９０に配布する。例えば、この検証鍵は、受信機９０を製造するメーカに送信され、受信機９０に予め記録される（プリインストール）。この他、この検証鍵を記録したＩＣカードをユーザにオフラインで送信し、各ユーザがＩＣカードに記憶された検証鍵を受信機９０に読み取らせてもよい（ステップＳ２）。

放送通信連携システム１は、署名鍵発行装置６０によって、生成した署名鍵をアプリケーション登録装置７０に出力する。例えば、署名鍵発行装置６０は、システム管理者からの指令に応じて、この署名鍵をアプリケーション登録装置７０に出力（発行）する（ステップＳ３）。
なお、ステップＳ１〜Ｓ３の処理は、Ａアプリケーションの登録を開始するまでに１回実行すればよく、Ａアプリケーションを登録する都度、実行しなくともよい。

放送通信連携システム１は、アプリケーションＩＤ生成装置５０によって、アプリケーションＩＤを生成する（ステップＳ４）。そして、放送通信連携システム１は、アプリケーションＩＤ生成装置５０によって、生成したアプリケーションＩＤを、アプリケーション登録装置７０に出力する(ステップＳ５)。

放送通信連携システム１は、アプリケーション管理装置４０に記憶されたアプリケーションを、アプリケーション登録装置７０に任意の方法で出力する。例えば、このアプリケーションは、ネットワークＮを介して、アプリケーション登録装置７０に送信される。また、このアプリケーションが格納された記録媒体をシステム管理者にオフラインで送信し、システム管理者がこのアプリケーションをアプリケーション登録装置７０に手動で入力してもよい（ステップＳ６）。

放送通信連携システム１は、アプリケーション登録装置７０によって、アプリケーション管理装置４０から入力されたアプリケーションに、アプリケーションＩＤ生成装置５０から入力されたアプリケーションＩＤを付加する（ステップＳ７）。

放送通信連携システム１は、アプリケーション登録装置７０によって、署名鍵発行装置６０から署名鍵が入力された署名鍵を用いて、署名を生成する。例えば、アプリケーション登録装置７０は、署名元メッセージにハッシュ関数を適用して、署名元メッセージのハッシュ値を算出する。そして、アプリケーション登録装置７０は、算出したハッシュ値を署名鍵で暗号化して署名を生成する（ステップＳ８）。

放送通信連携システム１は、アプリケーション登録装置７０によって、アプリケーションＩＤ付きアプリケーションに、生成した署名を付加する（ステップＳ９）。そして、放送通信連携システム１は、アプリケーション登録装置７０によって、署名が付加されたアプリケーションをリポジトリ８０に送信し、リポジトリ８０によって、Ａアプリケーションを記憶、管理する（ステップＳ１０）。

放送通信連携システム１は、受信機９０によって、Ａアプリケーションをリポジトリ８０に要求する（ステップＳ１１）。そして、放送通信連携システム１は、受信機９０によって、要求したＡアプリケーションをリポジトリ８０から取得する（ステップＳ１２）。

放送通信連携システム１は、受信機９０によって、アプリケーション認証処理を行う（ステップＳ１３）。なお、ステップＳ１３のアプリケーション認証処理は、詳細を後記する。
ここでは、アプリケーションの署名が正当なため、放送通信連携システム１は、受信機９０によって、取得したアプリケーションをＡアプリケーションとして起動する（ステップＳ１４）。

［放送通信連携システムの動作：一般アプリケーション］
図１０に示すように、放送通信連携システム１は、一般アプリケーションをアプリケーションサーバ３０に要求する（ステップＳ２１）。そして、放送通信連携システム１は、受信機９０によって、要求した一般アプリケーションをアプリケーションサーバ３０から取得する（ステップＳ２２）。

放送通信連携システム１は、受信機９０によって、アプリケーション認証処理を行う（ステップＳ２３）。ここでは、アプリケーションの署名が正当でないため、放送通信連携システム１は、受信機９０によって、取得したアプリケーションを一般アプリケーションとして起動する（ステップＳ２４）。
なお、ステップＳ２３の処理は、図９のステップＳ１３と同じ処理である。

［受信機の動作：アプリケーション認証処理］
図１１を参照して、受信機９０の動作として、アプリケーション認証処理について説明する（適宜図７参照）。

アプリケーション認証手段９１７は、アプリケーションを取得したときに、アプリケーション取得手段９１１から認証指示が入力される（ステップＳ１３１）。そして、アプリケーション認証手段９１７は、アプリケーション記憶手段９１２からアプリケーションに付加されたアプリケーションＩＤ、署名及び署名元メッセージを読み出すと共に、検証鍵管理手段９１７ａから検証鍵を読み出す（ステップＳ１３２）。

アプリケーション認証手段９１７は、アプリケーションに署名が付加されているか否かを判定する（ステップＳ１３３）。
アプリケーションに署名が付加されている場合（ステップＳ１３３でＹｅｓ）、アプリケーション認証手段９１７は、ステップＳ１３４の処理に進む。
一方、アプリケーションに署名が付加されていない場合（ステップＳ１３３でＮｏ）、アプリケーション認証手段９１７は、ステップＳ１３６の処理に進む。

アプリケーション認証手段９１７は、検証鍵により署名が正当であるか否かを検証する（ステップＳ１３４）。
署名が正当な場合（ステップＳ１３４でＹｅｓ）、アプリケーション認証手段９１７は、ステップＳ１３５の処理に進む。
署名が正当でない場合（ステップＳ１３４でＮｏ）、アプリケーション認証手段９１７は、ステップＳ１３６の処理に進む。

ステップＳ１３４でＹｅｓの場合、アプリケーション認証手段９１７は、取得したアプリケーションをＡアプリケーションと認証（判定）する（ステップＳ１３５）。
ステップＳ１３３でＮｏ又はステップＳ１３４でＮｏの場合、アプリケーション認証手段９１７は、取得したアプリケーションを一般アプリケーションと認証（判定）する（ステップＳ１３６）。

以上のように、本発明の実施形態に係る受信機９０は、リポジトリ８０又はアプリケーションサーバ３０の何れかに記憶されたアプリケーションを取得すると共に、取得したアプリケーションがＡアプリケーション又は一般アプリケーションの何れであるかを認証する。そして、受信機９０は、この認証結果に基づいて、取得したアプリケーションに対して、予め定められたリソースへのアクセスを禁止する。これによって、受信機９０は、動作が保証されていない一般アプリケーションに対して、無制限なリソースアクセスを禁止することができる。

なお、本実施形態では、アプリケーション取得時にアプリケーション認証を行うこととして説明したが、本発明は、アプリケーション起動時にアプリケーション認証を行うこともできる。この場合、起動制御手段９０９ａがアプリケーションを起動する都度、認証指示がアプリケーション認証手段９１７に出力されて（図７の「認証指示２」）、アプリケーション認証が行われることになり、安全性がより向上する。
このように、受信機９０は、アプリケーション取得時又はアプリケーション起動時の何れかのタイミングで署名を検証すればよいので、受信機９０の設計自由度を向上させることができる。

なお、本実施形態では、アプリケーションに署名を付加することとして説明したが、本発明は、これに限定されない。例えば、本発明では、署名鍵・検証鍵でアプリケーションを暗号化・復号化することで、アプリケーションそのものを署名として扱うこともできる。

なお、本実施形態では、署名鍵・検証鍵をそれぞれ１個として説明したが、本発明は、これに限定されない。例えば、本発明は、サービス事業者ごとに署名鍵・検証鍵を発行してもよく、Ａアプリケーションごとに署名鍵・検証鍵を発行してもよい。

なお、本実施形態では、Ａアプリケーション及び一般アプリケーションを制作するサービス事業者をそれぞれ１つとして説明したが、複数であってもよい。また、同一のサービス事業者がＡアプリケーション及び一般アプリケーションの両方を制作してもよい。さらに、放送局がサービス事業者として、アプリケーションを制作してもよい。

なお、本実施形態では、Ａアプリケーションを１つのリポジトリ８０に集約して、受信機９０に配布することとして説明したが、これに限定されない。例えば、本発明に係る放送通信連携システム１は、複数のリポジトリを備えており、各リポジトリ８０が受信機９０にＡアプリケーションを配布してもよい（不図示）。
また、システム管理者が署名及びアプリケーションＩＤを発行した後、これをサービス事業者Ｂに配布して、サービス事業者Ｂがアプリケーションに署名・アプリケーションＩＤを付加してもよい。この場合、Ａアプリケーションは、サービス事業者Ｂによって管理されるアプリケーションサーバ（不図示）から直接、受信機９０に配布される。

なお、本実施形態に係る受信機９０の制御機能は、コンピュータで実現するようにしてもよい。この場合、本発明は、この制御機能を実現するためのリソースアクセス制御プログラムをコンピュータ読み取り可能な記録媒体に記録して、この記録媒体に記録されたリソースアクセス制御プログラムをコンピュータシステムに読み込ませ、実行することによって実現してもよい。

なお、ここでいう「コンピュータシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。
また、「コンピュータ読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ−ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置のことをいう。
さらに「コンピュータ読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、短時刻の間、動的にプログラムを保持するもの、その場合のサーバやクライアントとなるコンピュータシステム内部の揮発性メモリのように、一定時刻プログラムを保持しているものも含んでもよい。

また、前記したリソースアクセス制御プログラムは、前記した制御機能の一部を実現するためのものであってもよく、さらに、前記した制御機能をコンピュータシステムにすでに記録されているプログラムとの組み合わせで実現できるものであってもよい。

１ 放送通信連携システム
１０ 放送送信装置
２０，２０Ａ，２０Ｂ コンテンツ配信サーバ
３０ アプリケーションサーバ
３００ アプリケーション入力手段
３０１ アプリケーション記憶手段
３０２ アプリケーション送信手段
４０ アプリケーション管理装置
５０ アプリケーションＩＤ生成装置
５００ アプリケーションＩＤ生成手段
５０１ アプリケーションＩＤ出力手段
６０ 署名鍵発行装置
６００ 署名鍵・検証鍵生成手段
６０１ 署名鍵管理手段
６０２ 署名鍵管理手段
７０ アプリケーション登録装置
７００ アプリケーション入力手段
７０１ アプリケーションＩＤ入力手段
７０２ アプリケーションＩＤ付加手段
７０３ 署名鍵入力手段
７０４ 署名生成手段
７０５ 署名付加手段
７０６ アプリケーション出力手段
８０ リポジトリ
８００ アプリケーション入力手段
８０１ アプリケーション記憶手段
８０２ アプリケーション送信手段
９０ 受信機
９０１ 放送受信手段
９０２ 放送信号解析手段
９０３ 映像・音声復号手段
９０４ データ放送復号手段
９０５ 通信送受信手段
９０６ アプリケーション起動情報取得手段
９０７ アプリケーション起動情報記憶手段
９０８ リスト制御手段
９０９ アプリケーション管理・実行制御手段
９１０ 起動アプリケーション識別情報記憶手段
９１１ アプリケーション取得手段
９１２ アプリケーション記憶手段
９１３ アプリケーション実行手段
９１４ 操作制御手段
９１５ 合成表示手段
９１６ セキュリティ管理手段
９１７ アプリケーション認証手段（アプリケーション判定手段）
９１７ａ 検証鍵管理手段（検証鍵記憶手段）
９１８ リソースアクセス制御手段
９１９ リソース管理手段

Claims (5)

1. 放送番組を送信する放送送信装置と、前記放送番組を受信する放送通信連携受信装置と、秘密情報である署名鍵及び当該署名鍵に対応する公開情報である検証鍵を発行する署名鍵発行装置と、前記署名鍵によりアプリケーションに署名するアプリケーション登録装置と、署名されたアプリケーションであるＡアプリケーションを記憶するＡアプリケーションサーバとを含む放送通信連携システムに備えられる前記放送通信連携受信装置であって、
   前記検証鍵を予め記憶する検証鍵記憶手段と、
   ネットワークを介して、前記Ａアプリケーションサーバに記憶された前記アプリケーションを取得するアプリケーション取得手段と、
   前記検証鍵を用いて、前記アプリケーション取得手段が取得したアプリケーションの署名が正当であるか否かを検証し、当該署名が正当の場合、当該取得したアプリケーションを前記Ａアプリケーションと判定するアプリケーション判定手段と、
   前記アプリケーション判定手段の判定結果に基づいて、当該取得したアプリケーションに対して、予め定められたリソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
   を備える放送通信連携受信装置。
2. 前記リソースアクセス制御手段は、前記Ａアプリケーションごとにアクセスできないリソースを予め定めたリソースアクセス制御テーブルに基づいて、前記リソースアクセス制御を行う請求項１に記載の放送通信連携受信装置。
3. 放送番組を送信する放送送信装置と、前記放送番組を受信する放送通信連携受信装置と、秘密情報である署名鍵及び当該署名鍵に対応する公開情報である検証鍵を発行する署名鍵発行装置と、前記署名鍵によりアプリケーションに署名するアプリケーション登録装置と、署名されたアプリケーションであるＡアプリケーションを記憶するＡアプリケーションサーバと、署名されていないアプリケーションである一般アプリケーションを記憶する一般アプリケーションサーバとを含む放送通信連携システムに備えられる前記放送通信連携受信装置であって、
   前記検証鍵を予め記憶する検証鍵記憶手段と、
   ネットワークを介して、前記Ａアプリケーションサーバ又は前記一般アプリケーションサーバの何れかに記憶された前記アプリケーションを取得するアプリケーション取得手段と、
   前記検証鍵を用いて、前記アプリケーション取得手段が取得したアプリケーションの署名が正当であるか否かを検証し、当該署名が正当の場合、当該取得したアプリケーションを前記Ａアプリケーションと判定し、当該署名が正当でない場合又は当該取得したアプリケーションが署名されていない場合、当該取得したアプリケーションを前記一般アプリケーションと判定するアプリケーション判定手段と、
   前記アプリケーション判定手段の判定結果に基づいて、当該取得したアプリケーションに対して、予め定められたリソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段と、
   を備える放送通信連携受信装置。
4. 前記リソースアクセス制御手段は、前記Ａアプリケーション及び前記一般アプリケーションごとにアクセスできないリソースを予め定めたリソースアクセス制御テーブルに基づいて、前記リソースアクセス制御を行う請求項３に記載の放送通信連携受信装置。
5. 放送番組を送信する放送送信装置と、前記放送番組を受信する放送通信連携受信装置と、秘密情報である署名鍵及び当該署名鍵に対応する公開情報である検証鍵を発行する署名鍵発行装置と、前記署名鍵によりアプリケーションに署名するアプリケーション登録装置と、署名されたアプリケーションであるＡアプリケーションを記憶するＡアプリケーションサーバとを含む放送通信連携システムに備えられ、前記検証鍵を予め記憶する検証鍵記憶手段を備える前記放送通信連携受信装置を、
   ネットワークを介して、前記Ａアプリケーションサーバに記憶された前記アプリケーションを取得するアプリケーション取得手段、
   前記検証鍵を用いて、前記アプリケーション取得手段が取得したアプリケーションの署名が正当であるか否かを検証し、当該署名が正当の場合、当該取得したアプリケーションを前記Ａアプリケーションと判定するアプリケーション判定手段、
   前記アプリケーション判定手段の判定結果に基づいて、当該取得したアプリケーションに対して、予め定められたリソースへのアクセスを禁止するリソースアクセス制御を行うリソースアクセス制御手段、
   として機能させるためのリソースアクセス制御プログラム。

Images