JP7489815B2 - コンテンツ受信装置、端末装置、視聴記録データ生成装置、およびプログラム - Google Patents

Description

本発明は、コンテンツ受信装置、端末装置、視聴記録データ生成装置、およびプログラムに関する。

コンピューターシステムを用いて、ユーザーが質の高いサービスを受けるためには、サービスごとに個別に蓄積されているパーソナルデータ（個人情報）を、サービス間で横断して共有できるようにすることが有効である。上記のようなパーソナルデータの共有を実現するための方法の一つは、パーソナルデータストア（ＰＤＳ）の利用である。パーソナルデータストアは、ユーザーのパーソナルデータを、ユーザー自身が自らの意思で、蓄積したり、管理したり、他者（他の個人や事業者等）と共有したりすることを可能にする技術的な仕組みである。非特許文献１では、このようなパーソナルデータストアが提案されている。

また、パーソナルデータストアのデータをユーザーの意思・同意に基づき企業へ提供し、金銭的価値と交換するサービスの検討が進められている。非特許文献２には、そのようなサービスの一例が記載されている。

テレビ番組等の映像コンテンツの視聴記録データもパーソナルデータの一つである。個人の視聴記録データを蓄積した場合、そのデータは、その個人の趣味・嗜好を強く反映したものである可能性が高く、事業者にとっても有益な情報となり得る。例えば、パーソナルデータストアに保管された視聴記録データを、ユーザーの同意に基づいて、事業者が提供する金銭的価値（クーポン券または同等のデータ）と交換するサービスが実現されれば、ユーザーおよび事業者の双方にとって有用である。

特許文献１には、ユーザーの視聴記録データを収集する方法が記載されている。特許文献１に記載された方法では、家庭内にある視聴ログ収集装置と、ユーザーが所有する端末装置（スマートフォン等）とを、ハイブリッドキャスト（ＨｙｂｒｉｄＣａｓｔ）の仕組みを用いて連携させ、視聴記録データを管理する。ハイブリッドキャストは、放送と通信とを連携させるための既存技術である。この方法で取得される視聴記録データは、受信機ＩＤ、ログＮｏ．（番号）、ＴＶ操作（ＯＮ／ＯＦＦなど）、時刻情報（年、月、日、時、分、秒）、サービスＩＤ、イベントＩＤ等を持つ。特許文献１に記載された方法で取得した視聴記録データを、放送事業者以外の事業者に提供するために、パーソナルデータストアで管理することも考えられる。

特開２０１９－１９２０４２号公報

内閣官房ＩＴ総合戦略室，「資料１ ＡＩ、ＩｏＴ時代におけるデータ活用ワーキンググループ 中間取りまとめの概要」，平成２９年（西暦２０１７年）３月，［online］，［2020年02月25日ダウンロード］，インターネット＜ＵＲＬ：https://www.kantei.go.jp/jp/singi/it2/senmon_bunka/data_ryutsuseibi/dai2/siryou1.pdf＞ 株式会社サイバーエージェント，「プレスリリース パーソナルデータを自ら価値に変える。ブロックチェーン技術を活用したデータ流通プラットフォーム「Data Forward」の実証実験を開始」，２０１９年２月２７日，［online］，［2020年02月25日ダウンロード］，インターネット＜ＵＲＬ：https://www.cyberagent.co.jp/news/detail/id=22834＞

しかしながら、ここでの課題は、データの改ざんや偽造等の防止、ないしは、それらの改ざんや偽造等が行われていないことの検証を容易に行えるようにすることである。

個人が、パーソナルデータストア内に管理する自らのパーソナルデータを、修正したり、他者と共有したりすることは容易である。そのため、実際には番組を視聴していないユーザーが視聴記録データを新たに作成したり、実際の視聴記録データの時刻情報の修正を行ったりすることは容易にできてしまう。また、実際に番組を視聴したユーザーが、自らの視聴記録データの複製を、実際には視聴していないユーザーに提供することもあり得る。これらが可能であると、ユーザーは、コンテンツの視聴実態と合わない視聴記録データを管理し、事業者等に提供することもできてしまう。事業者は、視聴記録データを得る対価として金銭的価値を提供するが、ユーザーから取得した視聴記録データが、そのユーザーの実際のコンテンツ視聴に基づくデータであるか否かを検証することは困難である。

上記のように改ざんまたは偽造された視聴記録データが提供される可能性がある場合、視聴記録データを金銭的価値と交換するサービスを事業者が運営することは困難である。本発明は、このような課題を解決するために為されたものであり、視聴記録データを生成する事業者（例えば放送局等のコンテンツ配信事業者）以外の第三者がデータを検証することのできるコンテンツ受信装置、端末装置、視聴記録データ生成装置、およびプログラムを提供しようとするものである。

［１］上記の課題を解決するため、本発明の一態様による端末装置は、アプリケーションを稼働させるとともに、前記アプリケーションがコンテンツ受信装置と連携動作するように制御するアプリケーション稼働部と、データを保存する機能を持つデータ保存部と、を備え、前記アプリケーションは、ユーザーを識別するためのユーザーＩＤを保持し、連携先の前記コンテンツ受信装置から、前記コンテンツ受信装置が受信したコンテンツを識別するコンテンツ識別情報および前記コンテンツが配信された配信時刻、に関連付けられた付加データを受信し、受信した前記付加データおよび保持している前記ユーザーＩＤを、外部の視聴記録データ生成装置に送信し、前記視聴記録データ生成装置から、前記ユーザーＩＤと、前記付加データによって特定された前記コンテンツ識別情報と、前記付加データによって特定された前記配信時刻の情報とを、秘密鍵でデジタル署名して得られる署名データを含んだ視聴記録データを受信し、受信した前記視聴記録データを、前記データ保存部の機能によって保存する、処理を前記アプリケーション稼働部に行わせるものである。

［２］また、本発明の一態様は、上記の端末装置において、受信される前記視聴記録データは、前記署名データに加えて、平文のユーザーＩＤと平文のコンテンツ識別情報と平文の配信時刻の情報との少なくともいずれかを含むものである。

［３］また、本発明の一態様は、上記の端末装置において、受信される前記視聴記録データは、さらに、前記秘密鍵に対応する公開鍵を取得するための場所情報を含むものである。

［４］また、本発明の一態様は、上記の端末装置において、前記データ保存部は、パーソナルデータストアの機能を持つものである。

［５］また、本発明の一態様による視聴記録データ生成装置は、コンテンツを識別するコンテンツ識別情報と、前記コンテンツが配信された配信時刻の情報と、前記コンテンツ識別情報と前記配信時刻の情報との両方に関連付けられる付加データとの関係を保持する配信記録管理部と、外部の端末装置から、前記付加データと、ユーザーを識別するためのユーザーＩＤとを受信し、受信した前記付加データと、前記配信記録管理部が保持する前記関係とを基に、当該付加データに関連付くコンテンツ識別情報と配信時刻の情報とを特定し、受信した前記ユーザーＩＤと、特定された前記コンテンツ識別情報と、特定された前記配信時刻の情報と、を含むデータを秘密鍵でデジタル署名して署名データを生成し、少なくとも前記署名データを含む視聴記録データを前記端末装置に送信する視聴記録データ生成部とを備える。

［６］また、本発明の一態様は、上記の視聴記録データ生成装置において、前記視聴記録データ生成部は、前記署名データに加えて、平文のユーザーＩＤと平文のコンテンツ識別情報と平文の配信時刻の情報との少なくともいずれかを含む前記視聴記録データを前記端末装置に送信するものである。

［７］また、本発明の一態様は、上記の視聴記録データ生成装置において、前記視聴記録データ生成部は、さらに、前記秘密鍵に対応する公開鍵を取得するための場所情報を含む前記視聴記録データを前記端末装置に送信するものである。

［８］また、本発明の一態様によるコンテンツ受信装置は、コンテンツデータを受信するコンテンツ受信機能部と、前記コンテンツデータをデコードして得られるコンテンツを提示するコンテンツ提示部と、ハイブリッドキャストアプリケーションを稼働させるとともに、前記ハイブリッドキャストアプリケーションが端末装置と連携動作するように制御するハイブリッドキャストアプリケーション稼働部と、を備え、前記ハイブリッドキャストアプリケーションは、前記コンテンツデータから、前記コンテンツを識別するコンテンツ識別情報および前記コンテンツデータが配信された時刻、に関連付けられた付加データを抽出し、抽出された前記付加データを、連携先の前記端末装置に対して送信する、処理を前記ハイブリッドキャストアプリケーション稼働部に行わせるものである。

［９］また、本発明の一態様は、コンピューター上でアプリケーションプログラムを稼働させるとともに、前記アプリケーションプログラムがコンテンツ受信装置と連携動作するように制御するアプリケーション稼働部と、データを保存する機能を持つデータ保存部と、を備える端末装置において、ユーザーを識別するためのユーザーＩＤを保持し、連携先の前記コンテンツ受信装置から、前記コンテンツ受信装置が受信したコンテンツを識別するコンテンツ識別情報および前記コンテンツが配信された配信時刻、に関連付けられた付加データを受信し、受信した前記付加データおよび保持している前記ユーザーＩＤを、外部の視聴記録データ生成装置に送信し、前記視聴記録データ生成装置から、前記ユーザーＩＤと、前記付加データによって特定された前記コンテンツ識別情報と、前記付加データによって特定された前記配信時刻の情報とを、秘密鍵でデジタル署名して得られる署名データを含んだ視聴記録データを受信し、受信した前記視聴記録データを、前記データ保存部の機能によって保存する、処理を前記アプリケーション稼働部に行わせるアプリケーションプログラムである。

［１０］また、本発明の一態様は、コンテンツを識別するコンテンツ識別情報と、前記コンテンツが配信された配信時刻の情報と、前記コンテンツ識別情報と前記配信時刻の情報との両方に関連付けられる付加データとの関係を保持する配信記録管理部と、外部の端末装置から、前記付加データと、ユーザーを識別するためのユーザーＩＤとを受信し、受信した前記付加データと、前記配信記録管理部が保持する前記関係とを基に、当該付加データに関連付くコンテンツ識別情報と配信時刻の情報とを特定し、受信した前記ユーザーＩＤと、特定された前記コンテンツ識別情報と、特定された前記配信時刻の情報と、を含むデータを秘密鍵でデジタル署名して署名データを生成し、少なくとも前記署名データを含む視聴記録データを前記端末装置に送信する視聴記録データ生成部と、を備える視聴記録データ生成装置としてコンピューターを機能させるプログラムである。

［１１］また、本発明の一態様は、コンテンツデータを受信するコンテンツ受信機能部と、前記コンテンツデータをデコードして得られるコンテンツを提示するコンテンツ提示部と、ハイブリッドキャストアプリケーションプログラムを稼働させるとともに、前記ハイブリッドキャストアプリケーションプログラムが端末装置と連携動作するように制御するハイブリッドキャストアプリケーション稼働部と、を備えるコンテンツ受信装置において、前記コンテンツデータから、前記コンテンツを識別するコンテンツ識別情報および前記コンテンツデータが配信された時刻、に関連付けられた付加データを抽出し、抽出された前記付加データを、連携先の前記端末装置に対して送信する、処理を前記ハイブリッドキャストアプリケーション稼働部に行わせるハイブリッドキャストアプリケーションプログラムである。

本発明によれば、視聴記録データ作成者やユーザー以外の第三者が視聴記録データを検証することができる。

本発明の実施形態による視聴記録データ利用システムの概略構成と概略処理とを示すブロック図である。 同実施形態によるコンテンツ配信装置の概略機能構成を示す機能ブロック図である。 同実施形態によるコンテンツ受信装置の概略機能構成を示す機能ブロック図である。 同実施形態による端末装置の概略機能構成を示す機能ブロック図である。 同実施形態による視聴記録データ生成装置の概略機能構成を示す機能ブロック図である。 同実施形態による視聴記録データ生成装置の配信記録管理部が保持する配信記録情報のデータベースの構成を示す概略図である。 同実施形態による視聴記録データの構成例を示す概略図である。 同実施形態による視聴記録データの別の構成例を示す概略図である。 同実施形態によるコンテンツ配信時の処理の手順を示すフローチャートである。 同実施形態による、配信されるコンテンツを受信するとともに、視聴記録データを取得して保存する処理の手順の一例を示すフローチャート（１／２）である。 同実施形態による、配信されるコンテンツを受信するとともに、視聴記録データを取得して保存する処理の手順の一例を示すフローチャート（２／２）である。 同実施形態による、データ利用事業者等が視聴記録データを検証する際の処理の手順を示すフローチャートである。

次に、本発明の実施形態について、図面を参照しながら説明する。

図１は、本実施形態による視聴記録データ利用システムの概略構成と概略処理とを示すブロック図である。図示するように、視聴記録データ利用システム１は、コンテンツ配信装置１００と、コンテンツ受信装置２００と、端末装置３００と、視聴記録データ生成装置４００と、データ利用サーバー装置５００とを含んで構成される。これらの装置の各々は、例えば、電子回路を用いて実現される。また、各装置は、必要に応じて、半導体メモリーや磁気ハードディスク装置などといった記憶手段を内部に備えてよい。また、各装置を、コンピューターおよびプログラムによって実現するようにしてもよい。

コンテンツ配信装置１００は、コンテンツデータを配信する。コンテンツ配信装置１００は、付加データを生成し、配信するコンテンツデータ内にこの付加データを挿入する。コンテンツ配信装置１００は、放送信号を用いてコンテンツデータを配信する。あるいは、コンテンツ配信装置１００が、通信回線を介してコンテンツデータを配信するようにしてもよい。
コンテンツ配信装置１００のより詳細な構成については後で別の図を参照しながら説明する。

コンテンツ受信装置２００は、コンテンツ配信装置１００によって配信されるコンテンツデータを受信する。コンテンツ受信装置２００は、受信したコンテンツデータを復号し、コンテンツをユーザーに提示する。これにより、ユーザーは、コンテンツを視聴することができる。また、コンテンツ受信装置２００は、コンテンツデータに挿入されている付加データ（nonce）を取り出す。コンテンツ受信装置２００は、コンテンツデータから抽出した上記の付加データを、連携動作している端末装置３００に送信する。コンテンツ受信装置２００は、テレビの放送信号として配信されるコンテンツを受信することができる。また、コンテンツ受信装置２００は、通信回線（インターネット等）を介して通信データとして配信されるコンテンツを受信するようにしてもよい。コンテンツ受信装置２００は、ハイブリッドキャストコネクトに対応するテレビ受像機である。あるいは、ＰＣ（パーソナルコンピューター）や、タブレット端末や、スマートフォンや、腕時計型端末等が同等の機能を持つようにして、コンテンツ受信装置２００を実現してもよい。
コンテンツ受信装置２００は、コンテンツを提示するための手段として、映像やテキストを表示する表示装置（ディスプレイ）を備える。また、コンテンツ受信装置２００は、音声を出力するためのスピーカー等を備える。また、コンテンツ受信装置２００は、他の装置と通信するための通信機能を持つ。
コンテンツ受信装置２００のより詳細な構成については後で別の図を参照しながら説明する。

端末装置３００は、ユーザーが使用する装置である。端末装置３００は、連携動作しているコンテンツ受信装置２００から、付加データを受信して記憶する。端末装置３００は、付加データ等を視聴記録データ生成装置４００に送信する。端末装置３００は、視聴記録データ生成装置４００から、上記付加データに対応する視聴記録データを受信し、保存する。視聴記録データの少なくとも一部の領域は、デジタル署名されている。端末装置３００は、受信した視聴記録データを蓄積するとともに、ユーザーの操作等に基づいて、視聴記録データを、データ利用サーバー装置５００等の他装置に提供することができる。
端末装置３００は、パーソナルデータストアの機能を持ってもよい。パーソナルデータストアは、ユーザーの個人情報を蓄積し管理する仕組みである。パーソナルデータストアを用いることにより、ユーザーは、自己のコントロールによって個人情報を他者（事業者等）に提供するか否かをコントロールすることができる。パーソナルデータ自体は、端末装置３００内の記憶手段に記憶されてもよいし、外部のサーバー装置（クラウドサーバー等）に記憶されてもよい。
端末装置３００のより詳細な構成については後で別の図を参照しながら説明する。

なお、上記のコンテンツ受信装置２００と端末装置３００とは、連携動作する。コンテンツ受信装置２００と端末装置３００とは、例えば近距離の無線通信の手段を用いて、連携相手を発見し、所定の通信プロトコルにより連携を確立する。この連携の仕組みについては、例えば、文献「ＩＰＴＶ規定 放送通信連携システム仕様」（IPTVFJ STD-0010）の「第１２章 端末連携」(p.5より) にも記載されている。

視聴記録データ生成装置４００は、端末装置３００からの要求に基づいて、視聴記録データを生成し、提供する。視聴記録データ生成装置４００は、付加データと、コンテンツ識別ＩＤおよび配信時刻との関係を、配信記録として管理する。視聴記録データ生成装置４００は、ユーザーに固有の情報であるユーザーＩＤと、上記の付加データを受信することにより、ユーザーＩＤおよび付加データに固有の視聴記録データを生成し、端末装置３００に送信する。視聴記録データ生成装置４００は、デジタル署名を行うための秘密鍵を保持する。また、視聴記録データ生成装置４００は、その秘密鍵に対応する公開鍵を、要求に応じて提供する。また、本実施形態では、視聴記録データ生成装置４００は、上記のユーザーＩＤを管理する。
視聴記録データ生成装置４００は、例えば、サーバー型のコンピューターを用いて実現される。
視聴記録データ生成装置４００のより詳細な構成については後で別の図を参照しながら説明する。

データ利用サーバー装置５００は、端末装置３００から視聴記録データを受信する。データ利用サーバー装置５００は、当該視聴記録データを生成する際に用いられた秘密鍵に対応する公開鍵を使用することにより、受信した視聴記録データの検証を行うことができる。データ利用サーバー装置５００は、検証済の視聴記録データを利用して処理を行うことができる。
データ利用サーバー装置５００は、例えば、サーバー型のコンピューターを用いて実現される。
データ利用サーバー装置５００のより詳細な構成については後で別の図を参照しながら説明する。

図１に示すように、視聴記録データ利用システム１が実行する処理の概略は、次の通りである。まず（１）において、コンテンツ配信装置１００は、配信されたコンテンツを特定するデータと後述する付加データとの関連を示す情報（「配信記録」と呼ぶ）を視聴記録データ生成装置４００に渡す。配信されたコンテンツを特定するデータは、例えば、配信時刻のデータである。付加データは、一例として、後述するノンスである。視聴記録データ生成装置４００は、この配信記録のデータを蓄積する。次に（２）において、コンテンツ配信装置１００は、コンテンツデータと付加データとを配信する。例えば、コンテンツ配信装置１００は、付加データを挿入した形態で、コンテンツデータ（映像や音声のデータ）を配信する。コンテンツ受信装置２００は、配信されたコンテンツデータおよび付加データを受信する。コンテンツ受信装置２００は、受信したコンテンツデータ（映像や音声）を、ユーザーに提示する。ユーザーは、提示されたコンテンツを視聴することができる。

次に（３）において、コンテンツ受信装置２００は、（２）で受信した付加データを、端末装置３００に渡す。ここでは、コンテンツ受信装置２００と端末装置３００とは、例えば家庭内の無線通信（Ｗｉｆｉ等）を用いて、通信を行う。前述の通り、付加データは、特定の配信時刻に配信されたコンテンツデータを特定できる情報である。次に（４）において、端末装置３００は、視聴記録データ生成装置４００に対して、視聴記録データの生成を要求する。このとき、端末装置３００は、コンテンツ受信装置２００から受け取った付加データを、視聴記録データ生成装置４００に対して送信する。視聴記録データ生成装置４００は、これに応じて、視聴記録データを生成する。視聴記録データ生成装置４００が生成する視聴記録データは、端末装置３００から送られた付加データに基づくものである。また、視聴記録データ生成装置４００が生成する視聴記録データは、コンテンツ提供事業者の秘密鍵を用いてデジタル署名を行ったものである。また、この視聴記録データは、当該ユーザーに固有の情報を含んだ状態でデジタル署名が行われたものである。つまり、視聴記録データ生成装置４００が生成した視聴記録データを、他者が改ざんすることはできない。（５）において、視聴記録データ生成装置４００は、生成した視聴記録データ（デジタル署名付き）を端末装置３００に送信する。端末装置３００は、視聴記録データ生成装置４００から送られた視聴記録データ（デジタル署名付き）を、蓄積する。端末装置３００は、例えば、パーソナルデータストア内に、視聴記録データ（デジタル署名付き）を蓄積する。なお、端末装置３００は、視聴記録データ生成装置４００に対して要求することにより、コンテンツ提供事業者の公開鍵を取得できる。つまり、端末装置３００は、コンテンツ提供事業者の公開鍵を用いて、上記のデジタル署名された視聴記録データを復号することができる。

ユーザーは、パーソナルデータストアに蓄積された視聴記録データを、データ利用事業者に提供することができる。具体的には、ユーザーの操作等に基づいて、（６）において、端末装置３００は、視聴記録データ（デジタル署名付き）を、データ利用サーバー装置５００に送信する。（７）において、データ利用サーバー装置５００は、受信した視聴記録データ（デジタル署名付き）の検証を行う。具体的には、データ利用サーバー装置５００は、視聴記録データ生成装置４００に対して、当該コンテンツ提供事業者の公開鍵を要求する。データ利用サーバー装置５００が公開鍵を要求するための場所情報（ＵＲＬ等）は、一例として、（６）において受信された視聴記録データ内の平文の領域に含まれるようにする。データ利用サーバー装置５００は、視聴記録データ生成装置４００から公開鍵を取得すると、その公開鍵を用いて、視聴記録データ（デジタル署名付き）の内容を確認する。また、データ利用サーバー装置５００は、それによって復号された視聴記録データを獲得する。データ利用サーバー装置５００は、獲得した視聴記録データを利用することができる。そして、（８）において、データ利用サーバー装置５００は、端末装置３００に対して報酬データを送信する。この報酬データは、取得した視聴記録データの対価である。報酬データは、例えば、金銭的価値を有するクーポン券のデータである。データ利用サーバー装置５００は、（８）において報酬データを端末装置３００に対して報酬データを送信する代わりに他の方法によって当該ユーザーに報酬を与えてもよい。例えば、データ利用サーバー装置５００は、当該ユーザーのアカウントが持つ金銭残高（あるいは、ポイント残高等の類似物）に価値を付与してもよい。

以上説明したように、視聴記録データ利用システム１のこの処理手順によれば、端末装置３００がパーソナルデータストア等に蓄積する視聴記録データは、コンテンツ受信装置２００がコンテンツとともに取得した付加データ（ノンス等）に基づくものである。また、その視聴記録データは、当該ユーザーに固有の情報を含んだ状態でデジタル署名されたものである。つまり、コンテンツ提供事業者以外の者（例えば、コンテンツを視聴するユーザー等）が視聴記録データを改ざんすることができない。よって、データ利用事業者のデータ利用サーバー装置５００は、改ざんあるいは複製されたおそれのない、当該ユーザーに固有の視聴記録データを取得することができる。

図２は、コンテンツ配信装置１００の概略機能構成を示す機能ブロック図である。図示するように、コンテンツ配信装置１００は、付加データ生成部１１０と、コンテンツデータ供給部１２０と、付加データ挿入部１３０と、コンテンツデータ配信部１４０と、配信記録供給部１５０とを含んで構成される。各部の機能は、次に説明する通りである。

付加データ生成部１１０は、配信するコンテンツデータに付加するための付加データを生成する。付加データは、時間の経過とともに変化していくデータである。例えば、Ｔ秒ごとに、生成される付加データが更新されるようにする。Ｔの値は、適宜設定可能とする。例えば、識別したい視聴時刻の精度と一致するようにＴの値を定めてよい。一例として、付加データの更新の頻度を１０秒としてよい。このような付加データは、ノンス（nonce）と呼ばれる。ノンスは、暗号通信等で用いられる使い捨ての値である。付加データは、規則性のある値の系列であってもよいし、ランダムな値の系列であってもよい。付加データは、規則性のある値とランダムな値とを組み合わせた値であってもよい。

付加データの生成方式の一例として、上記の更新タイミングごとに、数字を１ずつ増加させていく方法をとってもよい。例えば、Ｔ秒ごとに、付加データの値を、０→１→２→３→・・・と変化させていく。付加データの生成方式の他の例として、乱数発生器または疑似乱数発生器を用いても良い。例えば、Ｔ秒ごとに、新たに発生した乱数の値を付加データの値としていく。付加データの生成方式の他の例として、上記の１ずつ増加する値と、上記の乱数とを、連結して付加データの値とする（図６も参照）。

コンテンツデータ供給部１２０は、配信するコンテンツのデータを提供する。コンテンツのデータは、例えば、映像と音声とを含む。コンテンツのデータは、予め収録されて編集された映像等のデータであってもよいし、ライブ映像のデータであってもよい。コンテンツデータは、適宜、符号化されている。

付加データ挿入部１３０は、コンテンツデータ供給部１２０が供給するコンテンツデータの内部に、付加データ生成部１１０が生成した付加データを挿入する。コンテンツデータが放送信号で配信される場合には、付加データ挿入部１３０は、例えば、放送信号内の制御情報の一部であるイベントメッセージ領域に、付加データを挿入してよい。また、付加データ挿入部１３０は、放送信号内の制御情報の他の領域に付加データを挿入してよい。また、コンテンツデータが放送信号以外で配信される場合にも、付加データ挿入部１３０は、コンテンツデータの制御情報の領域内に付加データを挿入してよい。前述の通り、付加データは、Ｔ秒ごとに変化していくデータである。付加データ挿入部１３０は、付加データが挿入されたコンテンツのデータを、コンテンツデータ配信部１４０に転送する。付加データ挿入部１３０は、また、配信記録の情報を配信記録供給部１５０に渡す。配信記録の情報は、コンテンツ識別ＩＤと、付加データ挿入時の時刻（日時）のデータと、付加データとを含む。

付加データ生成部１１０は、コンテンツデータ供給部１２０から供給されるコンテンツが変わる都度コンテンツ識別ＩＤを生成してもよいし、コンテンツ管理データ（不図示）を参照することによってコンテンツ識別ＩＤを特定してもよい。なお、配信記録の情報については、後で図６を参照しながら説明する。

ここで、コンテンツ識別ＩＤについて説明する。コンテンツ識別ＩＤは、コンテンツ識別情報とも呼ばれる。コンテンツ識別ＩＤは、例えば、コンテンツ（番組）のタイトルを識別可能な情報である。同一のタイトルを有する複数のコンテンツ（番組）が存在する場合（複数の放送回が存在する場合や、同一タイトルの続編や同一タイトルの異なるバージョン等が存在する場合）に、それらを個別に識別可能なコンテンツ識別ＩＤを用いるようにしてもよい。また、例えば、テレビ放送等で、放送チャンネル（サービス）を特定できる場合には、チャンネルを識別する情報（あるいはサービスを識別する情報）をコンテンツ識別ＩＤとしてもよい。いずれの場合にも、コンテンツ識別ＩＤと配信時刻の情報（長さを有する配信時間帯を表す時刻情報を含む）との組合せにより、コンテンツのタイトルだけではなく、放送回等（ある場合）や、番組等の中の特定のシーン等を識別することが可能である。付加データを更新する頻度を高くすればするほど、配信時刻の情報の精度が上がる。

コンテンツデータ配信部１４０は、付加データ挿入部１３０から受け取った、付加データ挿入済みのコンテンツデータを、ユーザーのコンテンツ受信装置２００に配信する。コンテンツデータ配信部１４０は、例えば放送信号を用いて、あるいは例えばインターネット等の通信回線を経由して、上記のコンテンツデータを配信する。放送信号を用いる場合、コンテンツデータ配信部１４０は、例えば、ＩＳＤＢ－Ｔのデジタル放送方式を用いる。ＩＳＤＢ－Ｔは、Integrated Services Digital Broadcasting - Terrestrial（統合デジタル放送サービス － 地上用）の略である。

配信記録供給部１５０は、付加データ挿入部１３０から受け取った配信記録の情報（コンテンツ識別ＩＤ、付加データの挿入時刻、付加データ）を、視聴記録データ生成装置４００に提供する。これにより、視聴記録データ生成装置４００は、付加データと、その挿入時刻およびコンテンツ識別ＩＤとの関係を把握できる。

図３は、コンテンツ受信装置２００の概略機能構成を示す機能ブロック図である。図示するように、コンテンツ受信装置２００は、通信処理部２１０と、コンテンツ受信機能部２２０と、ハイブリッドキャストアプリケーション稼働部２３０と、コンテンツ提示部２５０とを含んで構成される。ハイブリッドキャストアプリケーション稼働部２３０上では、受信装置アプリケーション２４０（プログラム、アプリケーションプログラム）が稼働する。各部の機能は、次に説明する通りである。

通信処理部２１０は、コンテンツ受信装置２００が、外部の装置等との間でデータを送受信するための機能を提供する。通信処理部２１０は、例えば、近距離無線通信を介して、外部の装置と通信を行う。通信処理部２１０は、例えば、近距離無線通信を介して通信中継装置（無線ルーター等）と通信を行うことにより、遠隔地の装置との間でも通信することができる。

コンテンツ受信機能部２２０は、コンテンツ配信装置１００が配信するコンテンツデータを受信する。コンテンツ受信機能部２２０は、例えば、放送信号や、インターネットを介した通信により、コンテンツ配信装置１００からコンテンツを受信する。

ハイブリッドキャストアプリケーション稼働部２３０は、ハイブリッドキャストアプリケーション（ハイブリッドキャストアプリケーションプログラム）を稼働させる機能を有する。ハイブリッドキャストアプリケーションは、例えば、ＨＴＭＬ５で記述されるものである。本実施形態において、ハイブリッドキャストアプリケーション稼働部２３０上では、少なくとも受信装置アプリケーション２４０が稼働する。受信装置アプリケーション２４０は、ハイブリッドキャストアプリケーションの一つである。受信装置アプリケーション２４０のコード自体は、例えば、コンテンツ受信装置２００が外部のサーバー装置（不図示）から取得できる。
つまり、ハイブリッドキャストアプリケーション稼働部２３０は、ハイブリッドキャストアプリケーションを稼働させるとともに、前記ハイブリッドキャストアプリケーションが端末装置３００と連携動作するように制御する。

受信装置アプリケーション２４０は、端末装置３００内で稼働する連携アプリケーションと連携しながら処理を行う。受信装置アプリケーション２４０は、コンテンツ受信機能部２２０でデコードされるコンテンツデータに挿入されている付加データ（例えば、ノンス）を取得し、取得した付加データを、端末装置３００に送信する。これにより、端末装置３００は、コンテンツ受信装置２００が受信したコンテンツ（ユーザーによって視聴されたコンテンツ）に対応する付加データを取得できる。

つまり、受信装置アプリケーション２４０は、受信されたコンテンツデータから、前記コンテンツを識別するコンテンツ識別情報および前記コンテンツデータが配信された時刻、に関連付けられた付加データを抽出し、抽出された前記付加データを、連携先の端末装置３００に対して送信する処理をハイブリッドキャストアプリケーション稼働部２３０に行わせる。

コンテンツ提示部２５０は、コンテンツ受信機能部２２０が受信したコンテンツデータをデコードし、それによって得られるコンテンツ（映像および音声等）をユーザーに提示する。コンテンツ提示部２５０は、映像を例えば表示装置に表示し、音声を例えばスピーカー（イヤフォン等を含む）から出力する。

図４は、端末装置３００の概略機能構成を示す機能ブロック図である。図示するように、端末装置３００は、通信処理部３１０と、データ保存部３２０と、連携アプリケーション稼働部３３０とを含んで構成される。連携アプリケーション稼働部３３０上では、連携アプリケーション３４０（プログラム、アプリケーションプログラム）が稼働する。各部の機能は、次に説明する通りである。

通信処理部３１０は、端末装置３００が外部の装置との間でデータの送受信を行うための機能を提供する。通信処理部３１０は、例えば、近距離無線通信を用いて、コンテンツ受信装置２００との間でデータの送受信を行う。また、通信処理部３１０は、インターネットを介して、視聴記録データ生成装置４００や、データ利用サーバー装置５００との間で、データの送受信を行う。

データ保存部３２０は、データを保存する機能を持つ。本実施形態におけるデータ保存部３２０は、特に、視聴記録データ生成装置４００から受信した視聴記録データ（署名付き）を保存する。データ保存部３２０に保存されるデータは、端末装置３００上で稼働するアプリケーションによって読み書き可能である。データのストレージ（記憶媒体）は、半導体記憶装置や磁気ハードディスク装置を用いて実現される。データ保存部３２０は、パーソナルデータストアの機能を持つものであってもよい。データのストレージは、端末装置３００内に設けられてもよいし、外部のサーバー装置（クラウドサーバー等、不図示）に設けられていてもよい。

連携アプリケーション稼働部３３０は、単に「アプリケーション稼働部」とも呼ばれる。連携アプリケーション稼働部３３０は、アプリケーションプログラムを稼働させる環境である。本実施形態における連携アプリケーション稼働部３３０では、少なくとも、連携アプリケーション３４０が稼働する。連携アプリケーション稼働部３３０は、連携アプリケーションがコンテンツ受信装置２００と連携動作するように制御する。

連携アプリケーション３４０は、コンテンツ受信装置２００と連携して動作するアプリケーションである。連携アプリケーション３４０は、連携相手であるコンテンツ受信装置２００上の受信装置アプリケーション２４０から、付加データを受信する。この付加データは、前述の通り、コンテンツ受信装置２００において視聴されたコンテンツに対応付けられたものである。連携アプリケーション３４０は、また、受信した付加データと、自ユーザーのユーザーＩＤとを、視聴記録データ生成装置４００に送信し、視聴記録データの生成を要求する。そして、連携アプリケーション３４０は、視聴記録データ生成装置４００から、生成された視聴記録データ（署名付き）を受信する。連携アプリケーション３４０は、受信した視聴記録データ（署名付き）をデータ保存部３２０に保存する。連携アプリケーション３４０は、複数のコンテンツに対応する視聴記録データ（署名付き）をデータ保存部３２０に蓄積することができる。

つまり、連携アプリケーション３４０（アプリケーションプログラム）は、ユーザーを識別するためのユーザーＩＤを保持し、連携先のコンテンツ受信装置２００から、当該コンテンツ受信装置２００が受信したコンテンツを識別するコンテンツ識別情報および前記コンテンツが配信された配信時刻、に関連付けられた付加データを受信し、受信した前記付加データおよび保持している前記ユーザーＩＤを、外部の視聴記録データ生成装置４００に送信し、視聴記録データ生成装置４００から、前記ユーザーＩＤと、前記付加データによって特定された前記コンテンツ識別情報と、前記付加データによって特定された前記配信時刻の情報とを、秘密鍵でデジタル署名して得られる署名データを含んだ視聴記録データを受信し、受信した前記視聴記録データを、前記データ保存部の機能によって保存する、処理を連携アプリケーション３４０に行わせる。
ここで、受信される視聴記録データは、前記署名データに加えて、平文のユーザーＩＤと平文のコンテンツ識別情報と平文の配信時刻の情報との少なくともいずれかを含むようにしてもよい。
また、受信される前記視聴記録データは、さらに、前記秘密鍵に対応する公開鍵を取得するための場所情報を含むようにしてもよい。

なお、端末装置３００は、例えばユーザーの操作に基づいて、データ利用サーバー装置５００に対して、蓄積した視聴記録データ（署名付き）を送信することができる。また、端末装置３００は、データ利用サーバー装置５００に対して提供した視聴記録データの対価に相当する報酬データを受信することができる。端末装置３００が報酬データを受信する代わりに、データ利用サーバー装置５００が、単に当該ユーザーのアカウントに関連付けられた価値（金銭価値あるいはポイント等）を高める処理を行ってもよい。

図５は、視聴記録データ生成装置４００の概略機能構成を示す機能ブロック図である。図示するように、視聴記録データ生成装置４００は、配信記録管理部４１０と、鍵管理部４２０と、視聴記録データ生成部４３０と、ユーザーＩＤ管理部４４０と、公開鍵応答部４５０とを含んで構成される。各部の機能は、次に説明する通りである。

配信記録管理部４１０は、前述のコンテンツ配信装置１００内の配信記録供給部１５０から配信記録の情報を受け取り、その配信記録の情報をデータベース内で管理する。配信記録管理部４１０が管理するデータの構成については、後で図６を参照しながら説明する。配信記録のデータベースは、１件の付加データ（ノンス等）の値に対応して１件のレコードを保持する。配信記録のデータベースは、付加データの時系列に対応する一連のデータを記憶する。配信記録管理部４１０は、付加データの値をキーとした問い合わせを受け付ける。配信記録管理部４１０は、問い合わせを受け付けた場合、その付加データの値がデータベース上に存在するか否かを判定する。その付加データの値がデータベース上に存在する場合には、配信記録管理部４１０は、当該値に関連付けられる、付加データ挿入時刻のデータと、コンテンツ識別ＩＤとを、問い合わせ元に回答する。つまり、配信記録管理部４１０は、コンテンツを識別するコンテンツ識別情報と、前記コンテンツが配信された配信時刻の情報と、前記コンテンツ識別情報と前記配信時刻の情報との両方に関連付けられる付加データとの関係を保持する。

鍵管理部４２０は、コンテンツ提供事業者の秘密鍵と公開鍵のペアを保存し、管理する。秘密鍵および公開鍵は、一例として、外部の鍵提供装置（不図示）から提供されたものである。あるいは、秘密鍵および公開鍵は、鍵管理部４２０自身が生成したものであってもよい。秘密鍵と公開鍵とのペアを用いる暗号方式は、既存の技術によるものである。鍵管理部４２０は、公開鍵の問い合わせを受けた場合には、保存されている公開鍵の情報を読み出して、問い合わせ元に回答する。また、鍵管理部４２０は、権限を持つ相手から秘密鍵の問い合わせを受けた場合には、保存されている秘密鍵の情報を読み出して、問い合わせ元に回答する。鍵管理部４２０は、秘密鍵情報を読む権限を持たない相手からの要求に対しては、秘密鍵情報の回答を拒否する。秘密鍵情報を読む権限を持つのは、例えば、自装置（視聴記録データ生成装置４００）内の視聴記録データ生成部４３０である。

視聴記録データ生成部４３０は、端末装置３００からの視聴記録データ生成の要求に応じて視聴記録データ（デジタル署名付き）を生成し、要求元の端末装置３００に返す。このときの端末装置３００からの要求は、配信されたコンテンツに付加されていた付加データと、その端末装置３００のユーザーのユーザーＩＤのデータとを含む。

視聴記録データ生成の具体的な処理手順は、次の通りである。
まず、視聴記録データ生成部４３０は、端末装置３００の連携アプリケーション３４０から、視聴記録データ生成の要求を受け付ける。この際、視聴記録データ生成部４３０は、要求元の端末装置３００から、付加データおよび当該端末装置３００のユーザーのユーザーＩＤを受信する。
次に、視聴記録データ生成部４３０は、受信したユーザーＩＤが正しく存在するものであるか否かを、ユーザーＩＤ管理部４４０に問い合わせる。つまり、視聴記録データ生成部４３０は、受信したユーザーＩＤを検証する。検証が正しく行われた場合に限り、視聴記録データ生成部４３０は、以下の処理を続ける。
次に、視聴記録データ生成部４３０は、受信した付加データを用いて、配信記録管理部４１０への問い合わせを行う。その付加データが配信記録に含まれるものである場合には、配信記録管理部４１０は、付加データの挿入時刻と、関連付けられているコンテンツ識別ＩＤとを、視聴記録データ生成部４３０に返す。
次に、視聴記録データ生成部４３０は、鍵管理部４２０に、自事業者（コンテンツ提供事業者）の秘密鍵を問い合わせる。視聴記録データ生成部４３０は秘密鍵情報を取得する権限を有するため、鍵管理部４２０は、求められた秘密鍵を、視聴記録データ生成部４３０に返す。
次に、視聴記録データ生成部４３０は、受け取った秘密鍵を用いて、ユーザーＩＤおよびコンテンツ識別ＩＤを含むデータのデジタル署名を行い、署名データを算出する。この署名データは、ユーザーＩＤに依存し、且つコンテンツ識別ＩＤに依存する。また、秘密鍵を知らずに、所定のユーザーＩＤおよび所定のコンテンツ識別ＩＤに対応する署名データを生成（ないしは、推定）することは極めて困難（事実上、不可能）である。
そして、視聴記録データ生成部４３０は、ユーザーＩＤ、コンテンツ識別ＩＤ、上で計算された署名データ、および公開鍵応答部の場所を示すデータをまとめて、視聴記録データ（署名付き）とする。

視聴記録データ生成部４３０は、上の手順で生成した視聴記録データ（署名付き）を、端末装置３００の連携アプリケーション３４０（要求元）に送信する。

つまり、視聴記録データ生成部４３０は、外部の端末装置３００から、付加データと、ユーザーを識別するためのユーザーＩＤとを受信し、受信した前記付加データと、前記配信記録管理部が保持する前記関係とを基に、当該付加データに関連付くコンテンツ識別情報と配信時刻の情報とを特定し、受信した前記ユーザーＩＤと、特定された前記コンテンツ識別情報と、特定された前記配信時刻の情報と、を含むデータを秘密鍵でデジタル署名して署名データを生成し、少なくとも前記署名データを含む視聴記録データを前記の端末装置３００に送信する。
また、視聴記録データ生成部４３０は、前記署名データに加えて、平文のユーザーＩＤと平文のコンテンツ識別情報と平文の配信時刻の情報との少なくともいずれかを含む前記視聴記録データを前記端末装置に送信してもよい。
また、視聴記録データ生成部４３０は、さらに、前記秘密鍵に対応する公開鍵を取得するための場所情報を含む前記視聴記録データを前記端末装置に送信してもよい。

ユーザーＩＤ管理部４４０は、ユーザーＩＤを管理する。具体的には、ユーザーＩＤ管理部４４０は、本実施形態に関するユーザーＩＤの情報を保持する。ユーザーＩＤ管理部４４０は、ユーザーＩＤを指定した問い合わせを受けたとき、上記情報を検索し、存在するユーザーＩＤであるか否かを判定する。ユーザーＩＤ管理部４４０は、判定結果（そのユーザーＩＤが存在するか否かを表す情報）を問い合わせ元に対して回答する。

公開鍵応答部４５０は、外部の装置から公開鍵の問い合わせを受け付け、問い合わせ元に対して公開鍵の情報を回答する。具体的には、例えば、公開鍵応答部４５０は、データ利用サーバー装置５００から、自事業者（コンテンツ提供事業者）の公開鍵の問い合わせを受け付ける。公開鍵応答部４５０は、前記の鍵管理部４２０に対して公開鍵を問い合わせ、公開鍵情報を取得する。公開鍵応答部４５０は、その公開鍵情報を、問い合わせ元のデータ利用サーバー装置５００に回答する。

図６は、視聴記録データ生成装置４００の配信記録管理部４１０が保持する配信記録情報のデータベースの構成を示す概略図である。図示するように、配信記録情報のデータベースは、表形式のデータとして構成される。図示する表の１行のデータが、１レコードであり、１件の付加データに対応する。この表が持つデータ項目は、コンテンツ識別ＩＤと、配信時刻と、付加データ（nonce）とを含む。コンテンツ識別ＩＤは、コンテンツを一意に識別する識別情報である。コンテンツ識別ＩＤは、コンテンツのタイトル（番組名）だけでなく、放送回をも識別する情報である。配信時刻は、付加データがコンテンツデータに挿入された時刻である。同図に示す例では、付加データは１０秒ごとにコンテンツデータに挿入されている。付加データは、時間の経過とともに変化していく値を持つデータである。付加データについては既に述べたとおりである。同図に示す例では、付加データは８桁の１０進数であり、上５桁は連番、下３桁はランダム性を有する数値である。付加データに重複がない場合には、付加データをキーとしてこのデータベースを検索した場合に、コンテンツ識別ＩＤと配信時刻（付加データの挿入時刻）を特定することが可能である。

図７は、視聴記録データの構成の例を示す概略図である。図示するように、視聴データは、ユーザーＩＤと、コンテンツ識別ＩＤと、配信時刻（付加データの挿入時刻）と、署名データと、公開鍵応答部の場所情報とを含む。なお、署名データ以外は平文のデータである。図示する例では、ユーザーＩＤは「Ｕ９８７６５４３」である。コンテンツ識別ＩＤは「１２３４５」である。配信時刻は「２０１９／１２／０４ １３：００：１０」（年月日、時分秒）である。署名データは、ユーザーＩＤと、コンテンツ識別ＩＤと、配信時刻との組合せのデータをデジタル署名して得られるデータである。署名データは、ここでは、バイナリーデータを、１６進文字で表現したものである。公開鍵応答部場所情報は、公開鍵応答部にアクセスするためのＵＲＬである。同図に示す例では、１件の視聴記録データは、１個の配信時刻（付加データの挿入時刻）に対応する視聴記録である。

図８は、視聴記録データの別の構成例を示す概略図である。図示するように、視聴データは、ユーザーＩＤと、コンテンツ識別ＩＤと、配信時間帯と、署名データと、公開鍵応答部の場所情報とを含む。なお、署名データ以外は平文のデータである。この視聴記録データの特徴は、複数件の配信時刻（付加データの挿入時刻）を含む配信時間帯の情報を持つ点である。配信時間帯は、当該時間帯に含まれる最初の配信時刻（図における開始時刻）と最後の配信時刻（図における終了時刻）とで表わされる。署名データは、ユーザーＩＤと、コンテンツ識別ＩＤと、配信時間帯（開始時刻および終了時刻）との組合せのデータをデジタル署名して得られるデータである。署名データは、ここでは、バイナリーデータを、１６進文字で表現したものである。

本実施形態の処理手順の変形例として、コンテンツ受信装置２００あるいは端末装置３００が複数件の付加データを貯めておくようにしてもよい。それらの複数件の付加データは、端末装置３００が視聴記録データ生成装置４００に対して視聴記録データの生成を要求する際に、まとめて視聴記録データ生成装置４００に送信される。視聴記録データ生成装置４００の視聴記録データ生成部４３０は、それらの複数件の付加データを基に、配信記録を確認することにより、上記の、配信時間帯の情報を持った視聴記録データを生成することができる。つまり、それらの複数件の付加データは、時系列の付加データであり、上記の配信時間帯内に含まれるすべての付加データである。ここに記載した変形例の処理を行って、図８の例に示す視聴記録データを生成するようにすれば、端末装置３００と視聴記録データ生成装置４００との間の通信頻度を減らすことができる。また、視聴記録データのデータ量を抑制することができる。

図９は、コンテンツ提供事業者側の装置でのコンテンツ配信時の処理の手順を示すフローチャートである。この手順を実行するに先立って、視聴記録データ生成装置４００の鍵管理部４２０は、予め、自事業者の鍵のペア（秘密鍵と公開鍵）を取得し、記憶しておく。また、付加データの生成（更新）時間間隔Ｔ（秒）は、予め定めておく。以下、このフローチャートに沿って説明する。

ステップＳ１１において、コンテンツ配信装置１００の付加データ生成部１１０は、前回の付加データ更新時から既にＴ秒が経過しているか否かを判定する。Ｔ秒が経過している場合（ステップＳ１１：ＹＥＳ）には、次のステップＳ１２に進む。Ｔ秒が経過していない場合（ステップＳ１１：ＮＯ）には、ステップＳ１３に飛ぶ。なお、前回の付加データ存在しない場合には、本ステップでの判定結果は「ＹＥＳ」である。

ステップＳ１２において、コンテンツ配信装置１００の付加データ生成部１１０は、付加データ（nonce）の値を更新する。

ステップＳ１３において、コンテンツ配信装置１００の付加データ挿入部１３０は、付加データ生成部１１０が生成した付加データを、コンテンツデータ内に挿入する。付加データ生成部１１０は、付加データを挿入したコンテンツデータを、コンテンツデータ配信部１４０に渡す。

次にステップＳ１４において、コンテンツ配信装置１００の付加データ挿入部１３０は、配信記録（コンテンツ識別ＩＤ、配信時刻、および付加データの値）のデータを配信記録供給部１５０に渡す。データを配信記録供給部１５０は、この配信記録のデータを、さらに、視聴記録データ生成装置４００の配信記録管理部４１０に渡すことができる。配信記録管理部４１０は、この配信記録のデータを保存し、管理する。

次にステップＳ１５において、コンテンツ配信装置１００のコンテンツデータ配信部１４０は、付加データが挿入されているコンテンツデータを配信する。本ステップの処理が終了すると、ステップＳ１１に戻って処理を繰り返す。

図１０および図１１は、ユーザーがコンテンツを視聴して、視聴記録データを保存する際の処理の手順の一例を示すフローチャートである。図１０および図１１のフローチャートは結合子により相互に接続されている。なお、ユーザーのローカルＷｉｆｉは、予めインターネットに接続されている。また、端末装置３００の連携アプリケーション３４０には、予め、ユーザーＩＤが設定されている。このユーザーＩＤは、視聴記録データ生成装置４００のユーザーＩＤ管理部４４０において管理されているユーザーＩＤである。なお、このフローチャートは、コンテンツが放送信号で配信される場合の処理を表す。ここでは、コンテンツ受信装置２００は、ハイブリッドキャスト機能を持つテレビ受像機である。但し、このフローチャートのコンテンツ配信の際の伝送手段に依存しない処理に関しては、放送信号以外で（インターネット等で）配信される場合にも共通である。以下、このフローチャートに沿って説明する。

図１０のステップＳ２１において、端末装置３００およびコンテンツ受信装置２００は、それぞれ、同一のローカルＷｉｆｉネットワークに接続する。

次にステップＳ２２において、端末装置３００とコンテンツ受信装置２００は、上記のローカルＷｉｆｉネットワークを介して、端末連携プロトコルを用いて、相互の連携を確立させる。

次にステップＳ２３において、端末装置３００は、特定の放送サービスを選局する処理を行う。この選局は、ユーザーが端末装置３００を操作することによって行われる。端末装置３００は、放送サービスを指定する情報を、コンテンツ受信装置２００に送信する。また、コンテンツ受信装置２００上での受信装置アプリケーション２４０の起動に関する情報を、端末装置３００がコンテンツ受信装置２００に送信する。

なお、ステップＳ２３における、コンテンツ受信装置２００上でのハイブリッドキャストアプリケーションの起動の詳細については、下記文献にも記載されている。
文献：「ＩＰＴＶ規定 放送通信連携システム仕様」（IPTVFJ STD-0010）の「第７．５章 アプリケーションのライフサイクル制御」

次にステップＳ２４において、コンテンツ受信装置２００は、ステップＳ２３で指定された放送サービスを選局する。

次にステップＳ２５において、コンテンツ受信装置２００は、さらに、指定された受信装置アプリケーションを外部のサーバー装置から取得し、起動する。なお、受信装置アプリケーションの所在は、ＡＩＴファイル内に示される。なお「ＡＩＴ」は、アプリケーション情報テーブル（Application Information Table）の意味である。

次にステップＳ２６において、コンテンツ受信装置２００は、終了条件を満たすか否かを判定する。終了条件を満たす場合（ステップＳ２６：ＹＥＳ）、本フローチャート全体の処理を終了する。終了条件を満たさない場合（ステップＳ２６：ＮＯ）、次のステップＳ２７に進む。なお、終了条件を満たす場合は、例えば、コンテンツ受信装置２００が電源オフされた場合や、コンテンツ受信装置２００の選局が他の放送サービスに切り替えられた場合などを含む。

次にステップＳ２７において、コンテンツ受信装置２００は、コンテンツ配信装置１００からコンテンツデータを受信する。コンテンツ受信装置２００は、表示装置およびスピーカー等を用いて、コンテンツ（映像および音声等）を提示する。また、コンテンツ受信装置２００上で稼働する受信装置アプリケーション２４０は、受信したコンテンツデータから、付加データを抽出する。

次にステップＳ２８において、受信装置アプリケーション２４０は、抽出した付加データを、端末装置３００の連携アプリケーション３４０に送信する。このとき、受信装置アプリケーション２４０は、例えば、下記文献に記述されているsendTextToCompanionDevice関数を使用することにより、付加データを送信する。
文献：「ＩＰＴＶ規定 ハイブリッドキャスト運用規定」（IPTVFJ STD-0013）の「６．２ ハイブリッドキャストアプリケーション運用仕様（ARIB フェーズ1 運用仕様）」

図１１に移り、次にステップＳ２９において、端末装置３００の連携アプリケーション３４０は、ステップＳ２８で取得した付加データを用いて、視聴記録データ生成装置４００に対して、当該付加データに対応する視聴記録データを要求する。このとき、端末装置３００は、当該付加データと、連携アプリケーション３４０に設定されているユーザーＩＤとを、視聴記録データ生成装置４００に送信する。

なお、端末装置３００の連携アプリケーション３４０が視聴記録データの要求先の場所（ＵＲＬ）を知る方法としては、例えば、次の２つが可能である。第１の方法では、連携アプリケーション３４０が事前にアプリケーション内に保存された場所情報を読み出す。第２の方法では、連携アプリケーション３４０は、コンテンツ受信装置２００側から付加データとともに送信される場所情報を読み取る。第２の方法の場合、コンテンツ受信装置２００の受信装置アプリケーション２４０は、上記のsendTextToCompanionDevices関数を用いて視聴記録データの要求先の場所情報を端末装置３００に送信する。

次にステップＳ３０において、視聴記録データ生成装置４００の視聴記録データ生成部４３０は、ステップＳ２９で受信したユーザーＩＤが存在するか否かを確認する。具体的には、視聴記録データ生成部４３０は、当該ユーザーＩＤが存在するか否かをユーザーＩＤ管理部４４０に問い合わせることにより、この確認を行う。確認の結果、当該ユーザーＩＤが存在しない場合には、視聴記録データ生成部４３０は、視聴記録データ生成の処理を打ち切り、端末装置３００に対してエラー情報を通知する。

次にステップＳ３１において、視聴記録データ生成装置４００の視聴記録データ生成部４３０は、ステップＳ２９で受信した付加データを確認する。具体的には、視聴記録データ生成部４３０は、当該付加データをキーとして配信記録管理部４１０に問い合わせを行う。当該付加データが有効である場合には、配信記録管理部４１０は、当該付加データに対応するコンテンツ識別ＩＤと、コンテンツ配信時刻（付加データの挿入時刻）とを、視聴記録データ生成部４３０に対して回答する。確認の結果、当該付加データが配信記録内に存在しない場合には、視聴記録データ生成部４３０は、視聴記録データ生成の処理を打ち切り、端末装置３００に対してエラー情報を通知する。

次にステップＳ３２において、視聴記録データ生成装置４００の視聴記録データ生成部４３０は、署名データを作成する。このとき、視聴記録データ生成部４３０は、鍵管理部４２０から秘密鍵を取得して使用する。ここで作成される署名データは、ユーザーＩＤと、コンテンツ識別ＩＤと、付加データの挿入時刻とを含むデータを、上記秘密鍵で暗号化して得られるデータである。

次にステップＳ３３において、視聴記録データ生成装置４００の視聴記録データ生成部４３０は、生成した視聴記録データを、要求元の端末装置３００に送信する。視聴記録データは、ユーザーＩＤと、コンテンツ識別ＩＤと、付加データの挿入時刻と、ステップＳ３２で作成した署名データと、当該署名データの検証用に公開鍵を取得するための場所情報（公開鍵応答部４５０にアクセスするためのＵＲＬ）とを含む。

次にステップＳ３４において、端末装置３００の連携アプリケーション３４０は、ステップＳ３３で受信した視聴記録データ（署名付き）を保存する。保存先は、例えば、当該連携アプリケーション３４０内のデータ保存部、あるいは他のアプリケーション（パーソナルデータストアのアプリケーション等）のデータ保存部である。ここでのデータの保存先は、外部装置が持つ記憶装置であってもよい。

ステップＳ３４の処理が終了すると、図１０のステップＳ２６に戻る。

なお、上記の処理手順において、ステップＳ２９からＳ３４までの処理の少なくとも一部は、コンテンツ受信装置２００が次のコンテンツデータを受信する処理と同時並行的に実行されてもよい。

図１２は、第三者（データ利用事業者等）が視聴記録データを検証する処理の手順を示すフローチャートである。以下、このフローチャートに沿って説明する。

ステップＳ４１において、データ利用サーバー装置５００は、端末装置３００から、視聴記録データ（署名付き）を受信する。

次にステップＳ４２において、データ利用サーバー装置５００は、ステップＳ４１で取得した視聴記録データに含まれるユーザーＩＤが、存在するものであることを確認する。具体的には、データ利用サーバー装置５００は、視聴記録データ生成装置４００のユーザーＩＤ管理部４４０に対して、当該ユーザーＩＤについての問い合わせを行う。つまり、データ利用サーバー装置５００は、視聴記録データに含まれるユーザーＩＤが、ユーザーＩＤ管理部４４０内のデータと一致することを確認する。なお、問い合わせ先は、視聴記録データ生成装置４００以外の装置におけるユーザーＩＤ管理部４４０と同等の機能部であってもよい。ユーザーＩＤの存在が確認できた場合には、ステップＳ４３以後の処理を続ける。ユーザーＩＤが存在しないものであることが判明した場合には、データ利用サーバー装置５００は、以後の処理を打ち切る。

次にステップＳ４３において、データ利用サーバー装置５００は、コンテンツ提供事業者の公開鍵を取得する。データ利用サーバー装置５００は、具体的には、視聴記録データ生成装置４００の公開鍵応答部４５０から、この公開鍵を取得する。なお、公開鍵を取得するための場所情報（ＵＲＬ）は、ステップＳ４１において取得した視聴記録データ内に含まれている。

次にステップＳ４４において、データ利用サーバー装置５００は、ステップＳ４３で取得した公開鍵を用いて、署名データを復号する。

次にステップＳ４５において、データ利用サーバー装置５００は、ステップＳ４４で得られた復号結果（ユーザーＩＤ、コンテンツ識別ＩＤ、付加データの挿入時刻）が、視聴記録データ内の平文領域のデータと一致するか否かを確認する。データ利用サーバー装置５００は、一致する場合には、ステップＳ４１で受信した視聴記録データを、真正のデータとして利用することができる。一致しない場合には、データ利用サーバー装置５００は、ステップＳ４１で受信した視聴記録データを、無効データとして扱う。

以上説明したように、本実施形態によれば、コンテンツ配信装置１００は、付加データを挿入したコンテンツデータを配信する。付加データは、コンテンツ識別ＩＤごとに固有且つコンテンツの配信時刻の情報（この時刻の情報が時間帯を表す場合もある）に固有の情報である。つまり、付加データからコンテンツ識別ＩＤおよび配信時間帯（当該時間帯内の代表の時刻）を特定可能である。つまり、端末装置３００は、付加データを視聴記録データ生成装置４００に送信する。視聴記録データ生成装置４００は、その付加データに基づく視聴記録データを端末装置３００に送信する。また、視聴記録データ生成装置４００は、視聴記録データ内に、署名データを含める。署名データはデジタル署名されている物であり、第三者らが偽造等することは事実上不可能である。このように、視聴記録データは、ユーザーの真のコンテンツ視聴行動を表すものとして蓄積される。ユーザーからデジタル署名が付与された視聴データを提供された第三者は、コンテンツ提供者装置の公開鍵応答部に問い合わせ、取得した公開鍵を用いて、視聴データの内容がユーザーによって偽造や改ざんされていないことを検証できる。これにより、第三者が視聴データをクーポンなど金銭的価値と交換するサービスを実施する際、ユーザーが偽造や改ざんされた視聴データでないことを確認後に金銭的価値を提供することができ、適切なサービス運営を実施できるようになる。

なお、上述した実施形態におけるコンテンツ配信装置１００、コンテンツ受信装置２００、端末装置３００、視聴記録データ生成装置４００、データ利用サーバー装置５００、およびその他の装置の少なくとも一部の機能をコンピューターで実現することができる。その場合、この機能を実現するためのプログラムをコンピューター読み取り可能な記録媒体に記録して、この記録媒体に記録されたプログラムをコンピューターシステムに読み込ませ、実行することによって実現しても良い。なお、ここでいう「コンピューターシステム」とは、ＯＳや周辺機器等のハードウェアを含むものとする。また、「コンピューター読み取り可能な記録媒体」とは、フレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ、ＤＶＤ－ＲＯＭ、ＵＳＢメモリー等の可搬媒体、コンピューターシステムに内蔵されるハードディスク等の記憶装置のことをいう。さらに「コンピューター読み取り可能な記録媒体」とは、インターネット等のネットワークや電話回線等の通信回線を介してプログラムを送信する場合の通信線のように、一時的に、動的にプログラムを保持するもの、その場合のサーバーやクライアントとなるコンピューターシステム内部の揮発性メモリーのように、一定時間プログラムを保持しているものも含んでも良い。また上記プログラムは、前述した機能の一部を実現するためのものであっても良く、さらに前述した機能をコンピューターシステムにすでに記録されているプログラムとの組み合わせで実現できるものであっても良い。

以上、複数の実施形態を説明したが、本発明はさらに次のような変形例でも実施することが可能である。

［変形例１］
説明した実施形態では、視聴記録データ生成装置４００が生成して端末装置３００に送信する視聴記録データは、署名データと、平文のユーザーＩＤと、平文のコンテンツ識別情報と、平文の配信時刻の情報とを含むものであった。
変形例として、視聴記録データは、上記署名データを含み、平文のユーザーＩＤと、平文のコンテンツ識別情報と、平文の配信時刻の情報とのいずれをも含まないものであってもよい。この場合も、コンテンツ識別情報を受け取った側は、公開鍵を取得して上記署名データを復号することにより、平文のユーザーＩＤと、平文のコンテンツ識別情報と、平文の配信時刻の情報とを得ることができる。
さらに変形例として、視聴記録データは、署名データに加えて、平文のユーザーＩＤと平文のコンテンツ識別情報と平文の配信時刻の情報との少なくともいずれかを含むようにしてもよい。これにより、復号処理を行わずに、平文のユーザーＩＤと平文のコンテンツ識別情報と平文の配信時刻の情報との少なくともいずれか（視聴記録データに含まれているもの）を把握することができる。

［変形例２］
変形例として、コンテンツ配信装置１００と視聴記録データ生成装置４００とを一体の装置として構成してもよい。
また、別の変形例として、コンテンツ受信装置２００と端末装置３００とを一体の装置として構成してもよい。
また、別の変形例として、上記実施形態では視聴記録データ生成装置４００内に設けられているユーザーＩＤ管理部４４０を、視聴記録データ生成装置４００とは別の装置内に設けるようにしてもよい。
また、上記実施形態で説明した各機能部を、任意の装置に分散して配置してもよい。

［変形例３］
図８を参照しながら上で説明した変形例を実施してもよい。

上記の変形例のうち、組み合わせることが可能な限りにおいては、複数の変形例を組み合わせて実施してもよい。

以上、この発明の実施形態（変形例を含む）について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

本発明は、例えば、視聴記録データの管理等に利用することができる。但し、本発明の利用範囲はここに例示したものには限られない。

１ 視聴記録データ利用システム
１００ コンテンツ配信装置
１１０ 付加データ生成部
１２０ コンテンツデータ供給部
１３０ 付加データ挿入部
１４０ コンテンツデータ配信部
１５０ 配信記録供給部
２００ コンテンツ受信装置
２１０ 通信処理部
２２０ コンテンツ受信機能部
２３０ ハイブリッドキャストアプリケーション稼働部
２４０ 受信装置アプリケーション
２５０ コンテンツ提示部
３００ 端末装置
３１０ 通信処理部
３２０ データ保存部
３３０ 連携アプリケーション稼働部（アプリケーション稼働部）
３４０ 連携アプリケーション
４００ 視聴記録データ生成装置
４１０ 配信記録管理部
４２０ 鍵管理部
４３０ 視聴記録データ生成部
４４０ ユーザーＩＤ管理部
４５０ 公開鍵応答部

Claims (11)

1. アプリケーションを稼働させるとともに、前記アプリケーションがコンテンツ受信装置と連携動作するように制御するアプリケーション稼働部と、
   データを保存する機能を持つデータ保存部と、
   を備え、
   前記アプリケーションは、
   ユーザーを識別するためのユーザーＩＤを保持し、
   連携先の前記コンテンツ受信装置から、前記コンテンツ受信装置が受信したコンテンツを識別するコンテンツ識別情報および前記コンテンツが配信された配信時刻、に関連付けられた付加データを受信し、
   受信した前記付加データおよび保持している前記ユーザーＩＤを、外部の視聴記録データ生成装置に送信し、
   前記視聴記録データ生成装置から、前記ユーザーＩＤと、前記付加データによって特定された前記コンテンツ識別情報と、前記付加データによって特定された前記配信時刻の情報とを、秘密鍵でデジタル署名して得られる署名データを含んだ視聴記録データを受信し、
   受信した前記視聴記録データを、前記データ保存部の機能によって保存する、
   処理を前記アプリケーション稼働部に行わせる、ものであり、
   前記ユーザーＩＤが、前記視聴記録データ生成装置において管理されているものである、
   端末装置。
2. 受信される前記視聴記録データは、前記署名データに加えて、平文のユーザーＩＤと平文のコンテンツ識別情報と平文の配信時刻の情報との少なくともいずれかを含む、
   請求項１に記載の端末装置。
3. 受信される前記視聴記録データは、さらに、前記秘密鍵に対応する公開鍵を取得するための場所情報を含む、
   請求項１または２に記載の端末装置。
4. 前記データ保存部は、パーソナルデータストアの機能を持つ、
   請求項１から３までのいずれか一項に記載の端末装置。
5. コンテンツを識別するコンテンツ識別情報と、前記コンテンツが配信された配信時刻の情報と、前記コンテンツ識別情報と前記配信時刻の情報との両方に関連付けられる付加データとの関係を保持する配信記録管理部と、
   外部の端末装置から、前記付加データと、ユーザーを識別するためのユーザーＩＤとを受信し、受信した前記付加データと、前記配信記録管理部が保持する前記関係とを基に、当該付加データに関連付くコンテンツ識別情報と配信時刻の情報とを特定し、受信した前記ユーザーＩＤと、特定された前記コンテンツ識別情報と、特定された前記配信時刻の情報と、を含むデータを秘密鍵でデジタル署名して署名データを生成し、少なくとも前記署名データを含む視聴記録データを前記端末装置に送信する視聴記録データ生成部と、
   を備える視聴記録データ生成装置。
6. 前記視聴記録データ生成部は、前記署名データに加えて、平文のユーザーＩＤと平文のコンテンツ識別情報と平文の配信時刻の情報との少なくともいずれかを含む前記視聴記録データを前記端末装置に送信する、
   請求項５に記載の視聴記録データ生成装置。
7. 前記視聴記録データ生成部は、さらに、前記秘密鍵に対応する公開鍵を取得するための場所情報を含む前記視聴記録データを前記端末装置に送信する、
   請求項５または６に記載の視聴記録データ生成装置。
8. コンテンツデータを受信するコンテンツ受信機能部と、
   前記コンテンツデータをデコードして得られるコンテンツを提示するコンテンツ提示部と、
   ハイブリッドキャストアプリケーションを稼働させるとともに、前記ハイブリッドキャストアプリケーションが端末装置と連携動作するように制御するハイブリッドキャストアプリケーション稼働部と、
   を備え、
   前記ハイブリッドキャストアプリケーションは、
   前記コンテンツデータから、前記コンテンツを識別するコンテンツ識別情報および前記コンテンツデータが配信された時刻、に関連付けられた付加データを抽出し、抽出された前記付加データを、連携先の前記端末装置に対して送信する、
   処理を前記ハイブリッドキャストアプリケーション稼働部に行わせる、
   コンテンツ受信装置。
9. コンピューター上でアプリケーションプログラムを稼働させるとともに、前記アプリケーションプログラムがコンテンツ受信装置と連携動作するように制御するアプリケーション稼働部と、
   データを保存する機能を持つデータ保存部と、
   を備える端末装置において、
   ユーザーを識別するためのユーザーＩＤを保持し、
   連携先の前記コンテンツ受信装置から、前記コンテンツ受信装置が受信したコンテンツを識別するコンテンツ識別情報および前記コンテンツが配信された配信時刻、に関連付けられた付加データを受信し、
   受信した前記付加データおよび保持している前記ユーザーＩＤを、外部の視聴記録データ生成装置に送信し、
   前記視聴記録データ生成装置から、前記ユーザーＩＤと、前記付加データによって特定された前記コンテンツ識別情報と、前記付加データによって特定された前記配信時刻の情報とを、秘密鍵でデジタル署名して得られる署名データを含んだ視聴記録データを受信し、
   受信した前記視聴記録データを、前記データ保存部の機能によって保存する、
   処理を前記アプリケーション稼働部に行わせるアプリケーションプログラムであって、
   前記ユーザーＩＤが、前記視聴記録データ生成装置において管理されているものである、
   アプリケーションプログラム。
10. コンテンツを識別するコンテンツ識別情報と、前記コンテンツが配信された配信時刻の情報と、前記コンテンツ識別情報と前記配信時刻の情報との両方に関連付けられる付加データとの関係を保持する配信記録管理部と、
    外部の端末装置から、前記付加データと、ユーザーを識別するためのユーザーＩＤとを受信し、受信した前記付加データと、前記配信記録管理部が保持する前記関係とを基に、当該付加データに関連付くコンテンツ識別情報と配信時刻の情報とを特定し、受信した前記ユーザーＩＤと、特定された前記コンテンツ識別情報と、特定された前記配信時刻の情報と、を含むデータを秘密鍵でデジタル署名して署名データを生成し、少なくとも前記署名データを含む視聴記録データを前記端末装置に送信する視聴記録データ生成部と、
    を備える視聴記録データ生成装置としてコンピューターを機能させるプログラム。
11. コンテンツデータを受信するコンテンツ受信機能部と、
    前記コンテンツデータをデコードして得られるコンテンツを提示するコンテンツ提示部と、
    ハイブリッドキャストアプリケーションプログラムを稼働させるとともに、前記ハイブリッドキャストアプリケーションプログラムが端末装置と連携動作するように制御するハイブリッドキャストアプリケーション稼働部と、
    を備えるコンテンツ受信装置において、
    前記コンテンツデータから、前記コンテンツを識別するコンテンツ識別情報および前記コンテンツデータが配信された時刻、に関連付けられた付加データを抽出し、抽出された前記付加データを、連携先の前記端末装置に対して送信する、
    処理を前記ハイブリッドキャストアプリケーション稼働部に行わせるハイブリッドキャストアプリケーションプログラム。

Images