CN101146697A - 程序提供装置、存储媒体及车载信息系统 - Google Patents

Abstract

具有：对车载信息系统的硬件环境及软件环境进行仿真的仿真单元；接受为了车载信息系统用而开发的程序的程序接收单元；将车载信息系统的资源状态及环境状态作为限制条件而保持的限制条件保持单元21；根据限制条件保持单元保持的限制条件，来限制程序动作的程序执行限制单元22；以及使用仿真单元提供的资源，按照程序执行限制单元的限制，来执行从程序接收单元接受的程序的程序执行单元112。

Description

程序提供装置、存储媒体及车载信息系统

技术领域

本发明涉及在实际设备上不进行动作确认来进行开发的车载信息系统用的程序动作安全性确认，并提供给车载信息系统的程序提供装置；以及执行利用该程序提供装置提供的程序的车载信息系统。

背景技术

近年来的个人计算机及手机等能够与因特网连接的设备，能够通过因特网从各种各样的服务器下载程序。因此，谁都可以自由开发程序，上传给服务器，将上载给该服务器的程序下载给目标设备来执行。但是，通过下载有恶意的程序或包含设计错误的程序等并执行，则有可能出现设备动作不正常、设备内的信息泄漏等而遭受损害。

因此，以往在认证机构中，对程序开发源所开发的程序进行动作测试，认证机构仅对必需的资源附加允许访问的信息，通过这样确保程序的动作安全性。例如，在专利文献1所揭示的通信终端的访问控制方法中，认定机构审查由内容供应者委托认定的手机用Java(注册商标、以下省略)应用，该Java应用是在作为对由内容供应者申请的资源进行访问的程序满足规定的动作基准、认定为是能够访问资源的认定程序时，通过认定服务器对Java应用赋予指定资源的资源指定信息。手机将在利用认定机构认定的Java应用在执行中能够访问的资源，限制在利用赋予该Java应用的资源指定信息指定的资源。

专利文献1：特开2003-283494号公报

但是，对于例如车辆导行装置那样的车载信息系统中安装的程序，则与手机等不同，从安全上的观点出发，必须根据车辆的动作状态、例如是行驶中还是停止中，来限制程序的动作。因而，在专利文献1所揭示的方法中，不能赋予足够的动作验证及适当的访问许可。另外，为了促进更广泛的一般的程序员开发程序，最好是与动作验证一起提供验证了的程序。

因此，本发明的目的在于提供适合于为了车载信息系统用而开发的程序的动作验证及提供的程序提供装置、以及执行由该程序提供装置提供的程序的车载信息系统。

发明内容

为了达到上述目的，本发明有关的程序提供装置，具有：对车载信息系统的硬件环境及软件环境进行仿真的仿真单元；接受为了车载信息系统用而开发的程序的程序接收单元；将车载信息系统的资源状态及环境状态作为限制条件而保持的限制条件保持单元；根据限制条件保持单元保持的限制，条件来限制程序动作的程序执行限制单元；以及使用仿真单元提供的资源，按照程序执行限制单元的限制，来执行从程序接收单元接受的程序的程序执行单元。

另外，本发明有关的车载信息系统，具有：接收为了车载信息系统用而开发的程序及证明信息的程序接收单元；解读从程序接收单元接受的证明信息并进行认证的程序认证单元；根据从程序认证单元接受的认证结果，来限制程序动作的程序执行限制单元；以及按照程序执行限制单元的限制，来执行从程序接收单元接受的程序的程序执行单元。

另外，本发明有关的存储媒体，存储了用计算机能够执行的程序，具有：对车载信息系统的硬件环境及软件环境进行仿真的仿真单元；接受为了车载信息系统用而开发的程序的程序接收单元；将车载信息系统的资源状态及环境状态作为限制条件而保持的限制条件保持单元；根据限制条件保持单元保持的限制条件，来限制程序动作的程序执行限制单元；以及使用仿真单元提供的资源，按照程序执行限制单元的限制，来执行从程序接收单元接受的程序的程序执行单元。

根据本发明有关的程序提供装置，通过设定资源状态及环境状态作为限制条件，能够使用仿真单元实施车载信息系统那样的环境下的动作确认。因而，适合于为了车载信息系统用而开发的程序的动作验证及提供。

根据本发明的车载信息系统，由于是根据接受的证明信息来限制程序动作那样构成的，因此即使利用程序提供装置提供的程序验证不充分，也能够正当执行该程序。

根据本发明有关的存储媒体，具有与上述的程序提供装置同样的效果。

附图说明

图1所示为本发明实施形态1有关的作为车载信息系统的车辆导行装置的硬件构成的方框图。

图2所示为图1所示的车辆导行装置的软件构成图。

图3所示为本发明实施形态1有关的程序提供装置的主要部分构成图。

图4为说明本发明实施形态1有关的作为车载信息系统的车辆导行装置中使用的限制条件用的说明图。

图5所示为利用本发明实施形态1有关的程序提供装置、执行开发的Java应用的顺序的流程图。

图6所示为利用本发明实施形态1有关的作为车载信息系统的车辆导行装置、执行由程序提供装置提供的Java应用的顺序的流程图。

图7所示为本发明实施形态2有关的作为车载信息系统的车辆导行装置的软件构成图。

图8所示为利用本发明实施形态2有关的作为车载信息系统的车辆导行装置、执行由程序提供装置提供的Java应用的顺序的流程图。

图9所示为本发明实施形态3有关的作为车载信息系统的车辆导行装置的软件构成图。

图10所示为利用本发明实施形态3有关的作为车载信息系统的车辆导行装置、执行由程序提供装置提供的Java应用的顺序的流程图。

具体实施方式

以下，参照附图详细说明本发明的实施形态。以下，举出以本发明有关的作为车载信息系统的车辆导行装置为例来进行说明。另外，设为了车载信息系统用而开发的程序是Java应用程序(以下简称为「Java应用」)，设程序提供装置由个人计算机上运行的车辆导行装置用Java应用的动作测试程序等构成。另外，设车辆导行装置是仅能够执行由程序提供装置提供的Java应用的装置。

实施形态1

图1所示为本发明实施形态1有关的作为车载信息系统的车辆导行装置的硬件构成的方框图。该车辆导行装置由CPU(Central Processing Unit，中央处理单元)1、ROM(Read Only Memory，只读存储器)2、RAM(Random Access Memory，随机存储器)3、操作部接口4、输出部接口5、通信部接口6、以及外部记录装置7构成。

CPU1根据ROM2中存储的程序进行运算处理，通过这样控制整个车辆导行装置。ROM2存储地图数据及程序(导行程序等)。该ROM2中存储的内容利用CPU1读出。RAM3在由CPU1执行程序时作为暂时存储数据的工作区使用。

与操作部接口4连接遥控器41及话筒42。该操作部接口4进行将从遥控器41及话筒42输入的指令送往CPU1的控制。与输出部接口5连接显示器51及扬声器52。该输出部接口5进行将从CPU1送来的输出数据送往显示器51及扬声器52的控制。

与通信部接口6连接例如手机或DSRC(Dedicated Short RangeCommunication，专用短程通信)车载器的通信设备61及车内LAN(Local AreaNetwork，局域网)62。通信部接口6控制CPU1与通信设备61及车内LAN62之间的通信。CPU1从车内LAN62通过通信部接口6，取得例如速度及燃料剩余量等车辆信息。

与外部记录装置接口7连接例如从CD(Compact Disc，小型盘片)或DVD(Digital Versatile Disk，数字通用盘片)等记录媒体读入数据的外部记录装置驱动器71。该外部记录装置接口7控制外部记录装置驱动器71与CPU1之间的数据收发。

图2所示为图1所示的车辆导行装置的软件构成图。车辆导行装置的操作系统(以下简称为「车辆导行0S 」)形成在使车辆导行装置的硬件(以下称为「车载导行硬件」)动作用的各种设备驱动程序上。该车载导行0S的上位设置库及应用程序接口(以下称为「API：Application Program Interface」)，再在其上位设置由程序构成的导行服务10、Java应用11、Java应用执行部(Java VM：Java Virtual Machine，Java虚拟机)12、Java应用管理部13、以及Java应用认证部14。

导行服务10进行显示现在地、或设定目的地，并进行路径引导的车辆导行的基本服务。Java应用11是例如游戏或行驶辅助程序等内容。Java应用执行部12提供执行Java应用11的环境。Java应用管理部13管理整个Java应用11的动作。Java应用认证部14进行Java应用11的认证。

导行服务10具有JavaVM接口组件10a。另外，Java应用执行部12具有导行服务接口组件12a。这些JavaVM接口组件10a与导行服务接口组件12a相互进行通信，通过这样导行服务10与Java应用执行部12联合动作。

图3所示为本发明实施形态1有关的程序提供装置的主要部分构成图。该程序提供装置具有动作测试程序20、导行画面输出窗口31、操作输入窗口32、以及导行环境设定窗口33，该动作测试程序20由对硬件环境进行仿真的硬件仿真程序及对软件环境进行仿真的软件仿真程序构成，作为在个人计算机上再现上述的车辆导行装置的硬件功能及软件功能的程序而构成。硬件仿真程序及软件仿真程序，与本发明的仿真单元相对应。

动作测试程序20具有限制条件保持21、Java应用执行限制部22、以及证明部23，作为在车辆导行装置的实际设备中不存在的构成。另外，对于在车辆导行装置的实际设备中存在的构成，附加对图1中使用的标号加上「100」后的标号，各部的功能与车辆导行装置的实际设备的功能相同。

限制条件保持部21与本发明的限制条件保持单元相对应。在该限制条件保持部21中，保持有由动作测试程序20的提供者预先设定的限制条件。在该限制条件保持部21中，与车辆导行装置的资源状态及环境状态相对应进行保持，例如如图4所示，形成作为列举了可能动作的状态的文件。在图4中，例如画面显示表示仅在停车中是可能的情况。

在限制条件保持部21中作为限制条件保持的资源状态，作为硬件资源包含例如CPU使用率、存储器使用量、硬盘使用量(换句话说是程序大小)、总线使用率、以及可否使用网络等的至少一项。另外，作为软件资源，包含可否使用API、可否使用库、特定程序的执行状态的至少一项。另外，在环境状态中，包含例如表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、道路类别等的至少一项。

Java应用执行限制部22与本发明的程序执行限制单元相对应。按照限制条件保持部21中保持的限制条件，限于用Java应用执行部112执行的Java应用的动作。证明部23对能够确认动作的Java应用，使用预先装入的密钥，生成Java应用的证明信息。

另外，导行画面输出窗口31是将车辆导行装置中在显示器51上显示的画面、在个人计算机的画面上进行显示用的窗口。操作输入窗口32是将车辆导行装置中利用遥控器41或话筒42等输入的信息，从个人计算机的输入装置输入用的窗口。

导行环境设定窗口33是将车辆导行装置中从车辆本体得到的表示环境状态的信息，从个人计算机的输入装置输入用的窗口。另外，限制条件保持部21中设定的限制条件是由该程序提供装置的提供者预先设定的，不能用导行环境设定窗口33进行设定。

以下，一面参照图5所示的流程图，一面说明利用上述的动作测试程序20执行开发的Java应用的顺序。

首先，取得Java应用(步骤ST11)。即，使用由动作测试程序20实现的未图示的通信接口，接收Java应用，安装作为动作测试程序20的Java应用111。在这种情况下，未图示的通信接口与本发明有关的程序提供装置的程序接收单元相对应，用该通信接口接收的Java应用与程序相对应。

接着，执行Java应用(步骤ST12)。即，Java应用执行部112对步骤ST11中安装的Java应用111进行执行处理。该Java应用执行部112与本发明的程序执行单元相对应。

接着，检查动作测试是否结束(步骤ST13)。具体来说，检查利用导行环境设定窗口33的操作在各种环境下进行的动作测试是否结束。在该步骤ST13中，若判断为动作测试没有结束，则接着进行环境设定(步骤ST14)。在该步骤ST14中，用户使用导行环境设定窗口33设定各种环境。例如，将行驶中与停止中的状态切换、或改变行驶位置或高度、车辆方向、车内/车外的温度/湿度、一般道路/高速通路行驶中。另外，设CPU的使用率为70％，设存储器空容量为1MB，设总线的使用率为80％等，这样来改变仿真环境的状态，在该状态下实施动作测试。

接着，检查是否是限制对象处理(步骤ST15)。即，检查是否是对作为限制条件设定的资源的处理。在该步骤ST15中，若判断为不是限制对象处理，则顺序返回步骤ST13，重复上述的处理。另外，在步骤ST15中，若判断为是限制对象处理，则接着取得环境状态(步骤ST16)。即，Java应用执行部112从导行服务110取得环境状态。

接着，检查是否能够执行(步骤ST17)。即，Java应用执行部112根据在步骤ST14中取得的环境状态，检查是否能够执行Java应用。在该步骤ST17中，若判断为能够执行，则顺序返回步骤ST13，重复上述的处理。另外，在步骤ST17中，若判断为不能够执行，则处理结束。

在上述步骤ST13中，若判断为动作测试结束，则生成证明信息(步骤ST18)。即，通过导行环境设定窗口33的操作进行各种环境下的动作测试后，若能够确认是正常动作，则使用Java应用，证明部23生成证明信息。作为在证明部23进行的证明方法，可以使用在证明部23中预先准备的密钥，采用对Java应用进行签名的方法或将Java应用进行加密的方法。另外，作为签名及加密的技术，可采用众所周知的技术。然后，处理结束。

另外，在该步骤ST13中，证明部23可以这样构成，即根据包含CPU使用率、存储器使用量、硬盘使用量、总线使用率、以及可否使用网络的至少一项的资源状态、以及包含行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项的环境状态的限制条件，生成证明信息。根据该构成，能够对每个硬件有关的限制条件的要素进行动作证明。

另外，证明部23也可以这样构成，即根据包含可否使用API、可否使用库、特定程序的执行状态的至少一项的资源状态、以及包含行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项的环境状态的限制条件，生成证明信息。根据该构成，能够对每个软件有关的限制条件的要素进行动作证明。

再有，证明部23也可以这样构成，即根据程序提供源，生成证明信息。根据该构成，能够对每个提供程序提供装置的对象(例如车辆制造商或供应者等)生成证明信息。

在该步骤ST18中生成的证明信息可以这样构成，即与Java应用一起保存在未图示的存储器中。在这种情况下，未图示的存储器与本发明的程序保存单元相对应，该存储器中保存的Java应用与程序相对应。另外，步骤ST18中生成的证明信息可以这样构成，即与Java应用一起，使用由动作测试程序20实现的未图示的通信接口，直接向车辆导行装置发送。在这种情况下，未图示的通信接口与本发明有关的程序提供装置的程序发送单元相对应，用该通信接口接收的Java应用与程序相对应。

以下，一面参照图6所示的流程图，一面说明利用上述步骤生成的证明信息及利用车辆导行装置执行Java应用的动作。

首先，取得Java应用(步骤ST21)。具体来说，车辆导行装置通过通信设备61(参照图1)接收Java应用及证明信息。接收的Java应用作为Java应用11进行安装。

接着，进行Java应用的认证(步骤ST22)。即，Java应用认证部14对接受的证明信息进行认证。该Java应用认证部14与本发明的程序认证单元相对应。作为Java应用认证部14中的认证方法，可以使用在Java应用认证部14中预先准备的密钥，采用进行签名验证的方法或将Java应用的加密进行解密的方法。另外，作为签名验证及解密的技术，可采用众所周知的技术。Java应用认证部14将认证结果送往Java应用执行部12。

接着，检查认证是否正当(OK)(步骤ST23)。即，Java应用执行部12检查从Java应用认证部14送来的认证结果是否正当。在该步骤ST23中，若判断为认证正当，则执行Java应用(步骤ST24)。另外，若判断为认证不正当(例如密钥不存在时或签名验证中不能得到一致时)，则不执行Java应用，处理结束。

如以上说明那样，根据本发明实施形态1有关的程序提供装置，通过设定资源状态及环境状态作为限制条件，能够在个人计算机上实施车辆导行装置那样的环境下的动作确认。因而，适合于为了车辆导行装置用而开发的程序的动作验证及提供。另外，在车辆导行装置中，由于仅允许利用动作测试程序进行了动作确认的Java应用动作，因此能够防止不正当的Java应用动作。

由于是根据环境状态限制使用通过硬件仿真程序及软件仿真程序再现的资源那样构成的，因此与专利文献1中所述的技术不同，从安全上的观点出发，能够根据车辆的动作状态、例如是行驶中还是停止中，来限制程序的动作，能够进行充分的动作验证。

另外，由于将限制条件作为文件来保持，因此提供程序提供装置的一方能够通过改变文件的内容，对每个提供程序提供装置的对象(例如车辆制造商或内容供应者等)提供改变限制条件的环境。

另外，由于是生成证明利用Java应用执行部112正常执行了Java应用的证明信息并与Java应用一起提供给用户而构成的，因此用户能够取得用程序提供装置证明了动作测试情况的程序，不会用车辆导行装置执行有恶意的程序或包含设计错误的程序等。其结果，能够防止设备动作不正常、设备内的信息泄漏等的损害。

另外，在上述实施形态1中，是用户通过使用导行环境设定窗口33来设定车辆导行装置的环境从而进行各种环境下的动作确认而构成的，但也可以是自动进行该环境设定而构成的。例如可以这样构成，即提供动作测试程序20的一方预先准备测试路线，若在该测试路线上行驶中正常动作，则判断为Java应用安全动作，生成证明信息。

另外，在上述实施形态1中，作为保持限制条件的例子，是在文件中罗列资源状态及环境状态而构成的，但也可以将限制条件对为了Java的访问控制而标准准备的Java策略文件进行增加而构成的。另外，也可以通过网络来更新该Java策略文件，从而更新限制条件。

另外，车辆导行装置的制造商在想要提供一般用户能够生成本公司的车辆导行装置的Java应用那样的环境时，对限制条件进行对一般用户也可以允许的动作范围的设定，将与装入车辆导行装置的Java应用认证部14的密钥相对应的车辆导行装置的制造商独自的密钥装入动作测试程序20的证明部23，发布动作测试程序20。另外，对于正规商家，改变对一般用户的情况下的限制条件，发布动作测试程序20。这时，装入动作测试程序20的证明部23的密钥不需要改变。通过这样，车辆制造商可以仅改变限制条件送交适合于每个提供对象的动作测试程序。

实施形态2

本发明实施形态2是在证明信息中装入限制条件的实施形态。本实施形态2的Java应用动作测试程序20的证明部23中的证明方法及车辆导行装置的软件构成与实施形态1不同。以下，以与实施形态1不同的部分为中心进行说明。

构成本实施形态2有关的程序提供装置的动作测试程序20的证明部23，生成包含限制条件的证明信息。例如，在限制条件保持在图4所示那样的文件中时，证明部23将该文件本身也加密，装入证明信息中。

图7所示为本发明实施形态2有关的车辆导行装置的软件构成图。该软件构成是在实施形态1有关的车辆导行装置的软件构成中，增加Java应用执行限制部15而构成的。另外，在实施形态1中，Java应用执行限制部仅包含在动作测试程序20中，而没有包含在车辆导行装置中。

以下，一面参照图8所示的流程图，一面说明利用程序提供装置生成的证明信息及利用车辆导行装置执行Java应用的动作。

首先，取得Java应用(步骤ST31)。具体来说，车辆导行装置通过通信设备61(参照图1)，接收Java应用及证明信息。这时的通信设备61与本发明有关的车载信息系统的程序接收单元相对应，用该通信设备61接收的Java应用与程序相对应。接收的Java应用作为Java应用11进行安装。

接着，进行Java应用的认证(步骤ST32)。即，Java应用认证部14对接受的证明信息进行认证。这里，作为Java应用认证部14中的认证方法，可以使用在Java应用认证部14中预先准备的密钥，采用将加密的证明信息进行解密的方法。接着，检查认证是否正当(OK)(步骤ST33)。即，Java应用执行部12检查从Java应用认证部14送来的认证结果是否不正当。在该步骤ST33中，若判断为认证不正当，则不执行Java应用，处理结束。

另外，在步骤ST33中，若判断为认证正当，则接着取得限制条件(步骤ST34)。即，Java应用执行部12若判断为认证结果正当，则从证明信息取得限制条件，送往Java应用执行限制部15。接着，执行Java应用(步骤ST35)。即，Java应用执行部12执行Java应用11。这时，Java应用执行限制部15按照步骤ST34中取得的限制条件，限制Java应用11的动作。另外，通过调用应用的结束处理，从而应用正常结束。

接着，作为Java应用执行中的动作限制，若调用API，则检查是否是限制对象处理(步骤ST36)。即，检查是否是对限制条件中所记载的资源的处理。在该步骤ST36中，若判断为不是限制对象处理，则顺序返回步骤ST35，重复上述的处理。另外，在步骤ST36中，若判断为是限制对象处理，则接着取得环境状态(步骤ST37)。即，Java应用执行部12从导行服务10取得环境状态。

接着，检查是否能够执行(步骤ST38)。即，Java应用执行部12根据步骤ST37中取得的环境状态，检查是否能执行Java应用。在该步骤ST38中，若判断为能够执行，则顺序返回步骤ST35，重复上述的处理。另外，在步骤ST38中，若判断为不能执行，则处理出错结束。

如以上说明那样，根据本发明实施形态2，由于接收的Java应用中附加了限制条件，因此在车辆导行装置侧能够知道Java应用的动作环境。因而，由于对车辆导行装置的用户，能够通知如果是什么状态Java应用是否能够执行，因此使用户知道例如从车辆制造商取得的Java应用A在行驶中也能够动作，而从内容供应者取得的Java应用B则只能在停车中使用，通过这样能够在行驶中不产生想要使Java应用B动作的想法。

另外，能够通知用户为了执行服务应用C而需要库C并且服务应用D必须在执行中等软件资源、以及为了执行服务应用C而必须多少硬盘的空容量及存储器的空容量和CPU的负荷是百分之多少以下等硬件资源的详尽动作环境。

另外，通过通信设备61接收的证明信息，是包含CPU使用率、存储器使用量、硬盘使用量、总线使用率、以及可否使用网络的至少一项的资源状态、以及包含表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项的环境状态而构成。根据该构成，由于作为证明信息包含环境状态及硬件的资源状态，因此能够决定用车载信息系统能够安全动作的状态。

另外，通过通信设备61接收的证明信息，是包含可否使用应用程序接口、可否使用库及特定程序的执行状态的至少一项的资源状态、以及包含表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项的环境状态而构成。根据该构成，由于作为证明信息包含环境状态及软件的资源状态，因此能够决定用车载信息系统能够安全动作的状态。

实施形态3

本发明实施形态3是在证明信息中装入提供源信息的实施形态。本实施形态3的Java应用动作测试程序20的证明部23中的证明方法及车辆导行装置的软件构成与实施形态1不同。以下，以与实施形态1不同的部分为中心进行说明。

构成程序提供装置的动作测试程序20的证明部23，生成包含Java应用的提供源信息的证明信息。例如，证明部23具有的密钥对每个提供源是不同的，通过使用该密钥进行签名或加密等处理，能够装入提供源信息。

图9所示为本发明实施形态3有关的车辆导行装置的软件构成图。该软件构成是在实施形态2有关的车辆导行装置的软件构成中，增加限制条件表16而构成的。该限制条件表16与本发明的限制条件取得单元相对应，规定与密钥的种类相对应的动作。

以下，一面参照图10所示的流程图，一面说明上述那样生成的证明信息及利用车辆导行装置执行Java应用的动作。

首先，取得Java应用(步骤ST41)。具体来说，车辆导行装置通过通信设备61(参照图1)接收Java应用及证明信息。这时的通信设备61与本发明有关的车载信息系统的程序接收单元相对应，用该通信设备61接收的Java应用与程序相对应。接收的Java应用作为Java应用11进行安装。

接着，进行Java应用的认证(步骤ST42)。即，Java应用认证部14对接受的证明信息进行认证。这里，作为Java应用认证部14中的认证方法，可以使用在Java应用认证部14中预先准备的与提供源相对应的密钥，采用将加密的证明信息进行解密的方法。这时，根据解密成功的密钥，能够判别Java应用的提供源。

接着，检查认证是否正当(OK)(步骤ST43)。即，Java应用执行部12检查从Java应用认证部14送来的认证结果是否不正当。在该步骤ST43中，若判断为认证不正当，则不执行Java应用，处理出错结束。另外，在步骤ST43中，若判断为认证正当，则接着，根据Java应用的提供源的判别结果，从限制条件表16决定相应的限制条件(步骤ST44)。即，Java应用执行部12若判断为认证结果正当，则从限制条件表16取得限制条件，送往Java应用执行限制部15。

接着，执行Java应用(步骤ST45)。即，Java应用执行部12执行Java应用。这时，Java应用执行限制部15按照步骤ST44中决定的限制条件，限制Java应用的动作。另外，通过调用应用的结束处理，从而应用正常结束。

接着，作为Java应用执行中的动作限制，若调用API，则检查是否是限制对象处理(步骤ST46)。即，检查是否是对限制条件中所记载的资源的处理。在该步骤ST46中，若判断为不是限制对象处理，则顺序返回步骤ST45，重复上述的处理。另外，在步骤ST46中，若判断为是限制对象处理，则接着取得环境状态(步骤ST47)。即，Java应用执行部12从导行服务10取得环境状态。

接着，检查是否能够执行(步骤ST48)。即，Java应用执行部12根据步骤ST47中取得的环境状态，检查是否能执行Java应用。在该步骤ST48中，若判断为能够执行，则顺序返回步骤ST45，重复上述的处理。另外，在步骤ST48中，若判断为不能执行，则处理出错结束。

如以上说明那样，根据本发明实施形态3，由于作为证明信息是从预先车载信息系统所具有的限制条件表中指定提供源那样构成的，因此能够进行与提供源相对应的动作限制。另外，由于在Java应用中仅记载提供源信息，因此即使因进行详细的动作设定而限制条件的数据较多时，也能够抑制通信所需要的成本。另外，在发布动作测试程序后Java应用的动作环境产生变化时，通过更新车辆导行装置中记录的限制条件表就能够应对。

另外，在上述的实施形态3中，作为确定提供源的方法是采用密钥的种类，但表示提供源的信息可以例如对Java应用附加记录ID、URL、名称等的数据那样来构成。

另外，在上述的实施形态1～3中，是将开发对象的程序作为Java应用来说明的，但开发对象的程序也可以设为例如是用C语言等来描述的本机应用程序。另外，实施形态1～3有关的程序提供装置，由于是在个人计算机上执行的程序，因此能够将该程序存储在记录媒体中发布那样来构成。

工业上的实用性

如上所述，本发明有关的程序提供装置、存储媒体及车载信息系统，适合于为了车载信息系统用而开发的程序的动作验证及提供的程序提供装置、以及执行由该程序提供装置提供的程序的车载信息系统。

Claims (14)

1.一种程序提供装置，其特征在于，具有：

对车载信息系统的硬件环境及软件环境进行仿真的仿真单元；

接受为了车载信息系统用而开发的程序的程序接收单元；

将车载信息系统的资源状态及环境状态作为限制条件而保持的限制条件保持单元；

根据所述限制条件保持单元保持的限制条件，来限制所述程序动作的程序执行限制单元；以及

使用所述仿真单元提供的资源，按照所述程序执行限制单元的限制，来执行从所述程序接收单元接受的程序的程序执行单元。

2.如权利要求1所述的程序提供装置，其特征在于，

在限制条件保持单元保持的限制条件中包含的资源状态，包含CPU使用率、存储器使用量、硬盘使用量、总线使用率、以及可否使用网络的至少一项，

环境状态，包含表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项。

3.如权利要求1所述的程序提供装置，其特征在于，

在限制条件保持单元保持的限制条件中包含的资源状态，包含可否使用应用程序接口、可否使用库、特定程序的执行状态的至少一项，

环境状态，包含表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项。

4.如权利要求1所述的程序提供装置，其特征在于，

具有更新限制条件保持单元中保持的限制条件的限制条件更新单元。

5.如权利要求1所述的程序提供装置，其特征在于，具有：

生成证明利用程序执行单元正常执行了程序的证明信息的程序证明单元；以及

保存利用所述程序证明单元证明正常执行了的程序及用所述程序证明单元生成的证明信息的程序保存单元。

6.如权利要求1所述的程序提供装置，其特征在于，具有：

生成证明利用程序执行单元正常执行了程序的证明信息的程序证明单元；以及

将利用所述程序证明单元证明正常执行了的程序及用所述程序证明单元生成的证明信息向外部发送的程序发送单元。

7.如权利要求5所述的程序提供装置，其特征在于，

程序证明单元根据包含：

包含CPU使用率、存储器使用量、硬盘使用量、总线使用率、以及可否使用网络的至少一项的资源状态；以及

包含表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项的环境状态

的限制条件，生成证明信息。

8.如权利要求5所述的程序提供装置，其特征在于，

程序证明单元根据包含：

包含可否使用应用程序接口、可否使用库、特定程序的执行状态的至少一项的资源状态；以及

包含表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项的环境状态

的限制条件，生成证明信息。

9.如权利要求5所述的程序提供装置，其特征在于，

程序证明单元根据程序提供源，生成证明信息。

10.一种存储媒体，存储了用计算机能够执行的程序，其特征在于，具有：

对车载信息系统的硬件环境及软件环境进行仿真的仿真单元；

接受为了车载信息系统用而开发的程序的程序接收单元；

将车载信息系统的资源状态及环境状态作为限制条件而保持的限制条件保持单元；

根据所述限制条件保持单元保持的限制条件，来限制所述程序动作的程序执行限制单元；以及

使用所述仿真单元提供的资源，按照所述程序执行限制单元的限制，来执行从所述程序接收单元接受的程序的程序执行单元。

11.一种车载信息系统，其特征在于，具有：

接收为了车载信息系统用而开发的程序及证明信息的程序接收单元；

解读从所述程序接收单元接受的证明信息并进行认证的程序认证单元；

根据从所述程序认证单元接受的认证结果，来限制所述程序动作的程序执行限制单元；以及

按照所述程序执行限制单元的限制，来执行从所述程序接收单元接受的程序的程序执行单元。

12.如权利要求11所述的车载信息系统，其特征在于，

用程序接收单元接收的证明信息包含：

包含CPU使用率、存储器使用量、硬盘使用量、总线使用率、以及可否使用网络的至少一项的资源状态；以及

包含表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项的环境状态。

13.如权利要求11所述的车载信息系统，其特征在于，

用程序接收单元接收的证明信息包含：

包含可否使用应用程序接口、可否使用库、特定程序的执行状态的至少一项的资源状态；以及

包含表示行驶中或停止中的行驶状态、行驶速度、位置、方向、高度、温度、湿度、天气、以及道路类别的至少一项的环境状态。

14.如权利要求11所述的车载信息系统，其特征在于，

具有取得包含车载信息系统的资源状态及环境状态的限制条件的限制条件取得单元，

从程序认证单元得到的认证结果，包含确定用所述限制条件取得单元取得的限制条件的信息，

程序执行限制单元根据所述认证结果及所述限制条件取得单元取得的限制条件，改变程序的动作。

Images