CN112425134A - 设备、方法、程序和记录介质 - Google Patents

Abstract

例如，在一些情况下，如果有不同的服务供应商或在其它情况下，简单地使多种服务相互协作在确保安全方面存在不足。提供一种设备，该设备包括：存储单元，其针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限；和访问控制单元，其允许各实例在所述访问权限的范围内访问所述资源。

Description

设备、方法、程序和记录介质

技术领域

本发明涉及设备、方法、程序和记录介质。

背景技术

近年来，物联网(Internet of things，IoT)和工业物联网(Industrial IoT，IIot)得到关注，并且分布大量的传感器以进行测量、监视等的系统越来越多地部署为云计算系统。例如，专利文献1公开了一种涉及工业应用中使用云计算的系统和方法。

引用列表

专利文献

专利文献1：PCT国际申请公开第2012-523038号的日文文本

发明内容

技术问题

鉴于这种情况，如果在网络上提供多种服务，则可以想象使得多种服务相互协作。然而，例如，在一些情况下，如果有不同的服务供应商或在其它情况下，简单地使多种服务相互协作在确保安全方面存在不足。

技术方案

为了克服上述缺点，本发明的第一方面提供一种设备。所述设备可以包括存储单元，所述存储单元针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限。所述设备可以包括访问控制单元，所述访问控制单元允许各实例在所述访问权限的范围内访问所述资源。

所述存储单元可以存储用于使用所述服务的应用程序。

不同的实例可以与执行逻辑和使得所述执行逻辑被执行的用户帐户的不同组合相关联。

所述设备可以包括验证单元，所述验证单元对分配给所述多个执行逻辑的所述实例的各逻辑帐户执行验证。所述访问控制单元可以允许由所述验证单元验证成功的逻辑帐户的实例访问所述资源。

所述存储单元可以将所述访问权限存储为角色。

所述访问控制单元可以允许在与所述角色对应的所述访问权限的范围内访问。

所述访问权限可以表示是否给予从所述资源读出数据的权限、在所述资源中写入数据的权限以及改变所述资源的设置的权限中的至少一者。

所述访问权限还可以表示被允许读出数据的权限和写入数据的权限中的至少一者的所述资源中的地址范围。

本发明的第二方面提供一种方法。所述方法可以包括针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限。所述方法可以包括允许各实例在所述访问权限的范围内访问所述资源。

本发明的第三方面提供一种程序。所述程序可以使得计算机用作存储单元，所述存储单元针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限。所述程序可以使得计算机用作访问控制单元，所述访问控制单元允许各实例在所述访问权限的范围内访问所述资源。

本发明的第四方面提供一种其上记录有程序的记录介质。所述程序可以使得计算机用作存储单元，所述存储单元针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限。所述程序可以使得计算机用作访问控制单元，所述访问控制单元允许各实例在所述访问权限的范围内访问所述资源。

发明内容部分并非必须说明本发明的实施例的所有必要特征。本发明也可以是上述特征的子组合。

附图说明

图1示出了根据本实施例的系统1。

图2示出了应用程序数据库601。

图3示出了角色数据库603。

图4示出了角色权限表604。

图5示出了逻辑数据库605。

图6示出了设置访问权限的方法。

图7示出了服务提供方法。

图8示出了允许访问资源的示例情况。

图9示出了允许访问资源的另一示例情况。

图10示出了可以整体或部分地实施本发明的各方面的示例计算机2200。

具体实施方式

下文将说明本发明的一些实施例。这些实施例不限制根据权利要求的本发明，并且这些实施例中所述的特征的所有组合对于本发明各方面所提供的方式来说并非是必不可少的。

[1.系统1]图1示出了根据本实施例的系统1。系统1包括网络11、一个以上的客户终端2、一个以上的服务提供装置3、网络12、一个以上的网络装置5和设备6。

[1-1.网络11]网络11在客户终端2、服务提供装置3和设备6之间建立无线或有线连接。网络11可以是互联网、广域网、局域网等，并且可以包括移动网络。

[1-2.客户终端2]客户终端2由服务提供装置3提供的服务的用户使用。例如，客户终端2是个人电脑(PC)、平板电脑、智能手机、工作站、服务器计算机或者诸如通用计算机等计算机。

[1-3.服务提供装置3]服务提供装置3由服务供应商操作，并且向另一设备(例如，客户终端2)提供一种以上的服务。例如，服务提供装置3是服务器计算机，但可以是云计算机。这里，服务是服务提供装置3向用户或另一设备(例如，客户终端2)提供的信息处理、设备控制等，例如可以是将数据转换成图表、数据分析(例如，诸如平均值、最高值或最低值等特征值的计算，关键绩效指标(KPI，Key Performance Indicators)的计算)、机器学习等中的至少一者。服务提供装置3具有存储单元30和CPU31。

[1-3-1.存储单元30]存储单元30具有用于提供服务的一个以上的执行逻辑300。执行逻辑可以是说明服务的处理细节、步骤、方法等的服务提供程序等。

[1-3-2.CPU 31]CPU 31在其中生成执行逻辑300的实例310。CPU 31可以在收到服务用户的请求时生成实例310。这里，在本实施例中，例如，实例310是通过在主存储器上布置执行逻辑300来实现的，并且准备处理和执行。不同的实例310可以与执行逻辑300和使得执行执行逻辑300的用户帐户的不同组合相关联。CPU 31可以通过并行执行一个执行逻辑300生成多个实例310，或者可以通过并行执行多个执行逻辑300生成多个实例310。

[1-4.网络12]网络12在网络装置5和设备6之间建立无线或有线连接。网络12可以是互联网、广域网、局域网等，并且可以包括移动网络。尽管在图中网络11和网络12是分开的网络，但是网络11和网络12可以是单一网络。

[1-5.网络装置5]网络装置5是能够连接到网络12的现场仪表、传感器等，或者是设于这种装置和网络12之间的网关、集线器等。这里，现场仪表、传感器等可以是工具、机器或设备(例如，可以是在设备处理中测量诸如压力、温度、pH值、速度或流速等物理量的传感器，可以是诸如控制任一种物理量的阀、流速控制阀、开关阀、泵、风扇或电机等致动器，可以是诸如拍摄设备中的状态或目标物体的图像的相机或摄像机等图像拍摄设备，可以是诸如收集设备中的异常声音等或发出警告声音等的麦克或扬声器等音频装置，可以是输出各设备的位置信息的位置检测设备，或者可以是其它设备)。网络装置5可以将处理值发送到设备6，或者可以从设备6接收控制信号并且基于控制信号被驱动。

[1-6.设备6]设备6允许服务提供装置3提供的服务访问设备6的资源。例如，设备6是云计算机，具有存储单元60、CPU 61、注册单元62、验证单元63、指令输入单元64、设置单元65和访问控制单元66。

[1-6-1.存储单元60]存储单元60具有一个以上的应用程序600、一个以上的应用程序数据库601、验证数据库602、角色数据库603、一个以上的角色权限表604和逻辑数据库605。

[1-6-1(1).应用程序数据库601]应用程序数据库601是应用程序600在其中进行数据的读出和写入的数据库。在本实施例中，例如，应用程序数据库601针对各应用程序600设置。

[1-6-1(2).应用程序600]应用程序600是针对特定功能执行的程序。例如，当执行应用程序600时，可以获取作为传感器的网络装置5测得的值并将这些值存储在应用程序数据库601中，并且可以从应用程序数据库601读出测量结果，并将其提供给其它设备。另外，当执行应用程序600时，可以对应用程序数据库601中的数据执行数据分析，并且可以将分析结果提供给其它设备。在本实施例中，各应用程序600利用执行逻辑300执行的服务。

[1-6-1(3).验证数据库602]验证数据库602与用户帐户相关联地存储用于验证设备6的用户帐户的用户验证信息。验证数据库602可以与分配给执行逻辑300的实例310的逻辑帐户相关联地存储用于验证多个执行逻辑300中的各执行逻辑300的逻辑验证信息。

[1-6-1(4).角色数据库603]角色数据库603与角色权限表604协作，并且针对执行逻辑300的各实例310存储访问设备6分配给实例310的资源的权限。在本实施例中，例如，角色数据库603将访问权限存储为角色。访问权限的角色可以是一组访问权限。

这里，例如，设备6分配给实例310的资源可以是至少设备6的一些资源，并且可以是由设备6的用户分配的资源。设备6的资源是在设备6的操作中使用的器件或设备，可以设置于设备6上，或者可以从外部连接到设备6。例如，资源可以是应用程序数据库601、一个以上的网络装置5和应用程序600自身中的至少一者。资源可以是服务提供装置3的至少一些配置。

[1-6-1(5).角色权限表604]角色权限表604存储针对访问权限的各角色设置的访问权限。访问权限可以表明是否给予从资源读出数据的权限、在资源中写入数据的权限和改变资源的设置的权限中的至少一者。在本实施例中，例如，针对角色设置的访问权限对于各应用程序600是不同的，并且，尽管针对各应用程序600设置角色权限表604，但是可以针对多个应用程序600只设置一个角色权限表604。

[1-6-1(6).逻辑数据库605]针对分配给执行逻辑300的实例310的各逻辑帐户，逻辑数据库605存储执行逻辑300的细节。

[1-6-2.CPU 61]CPU 61执行应用程序600，并且在其中生成作为应用程序600的实例的执行应用程序610。不同的执行应用程序610可以与应用程序600和使得执行应用程序600的用户帐户的不同组合相关联。执行应用程序610可以能够调用执行逻辑300的实例310。

[1-6-3.注册单元62]注册单元62注册执行逻辑300的实例310。在本实施例中，例如，注册单元62将逻辑帐户分配给执行逻辑300的实例310，并且在角色数据库603和逻辑数据库605中注册逻辑帐户。另外，注册单元62与逻辑帐户相关联地在逻辑数据库605中注册执行逻辑300的细节。

[1-6-4.验证单元63]验证单元63对分配给多个执行逻辑300的实例310的各逻辑帐户进行验证。另外，验证单元63对与设备6的资源相关联的用户帐户进行验证。验证单元63可以通过参照验证数据库602进行验证。这里，与资源相关联的用户帐户可以是作为所有者的用户(也称为资源的所有者用户)、资源的管理员或贡献者(例如，创建者)的帐户。

[1-6-5.指令输入单元64]指令输入单元64接收关于实例310对资源的访问权限的设置指令。设置指令可以由资源的所有者用户输入。指令输入单元64可以向设置单元65提供设置指令。

[1-6-6.设置单元65]设置单元65根据设置指令设置实例310访问资源的权限。例如，设置单元65与实例310的逻辑帐户相关联地将访问权限的角色存储在角色数据库603中。除此之外，设置单元65可以将注册的角色的访问权限存储在角色权限表604中。

[1-6-7.访问控制单元66]访问控制单元66允许各实例310在存储于角色数据库603和角色权限表604中的访问权限的范围内访问资源。访问控制单元66可以允许在针对角色数据库603中与逻辑帐户相关联的角色设置的访问权限的范围内访问。访问控制单元66可以允许由验证单元63验证成功的逻辑帐户的实例310访问资源。

根据上述的系统1，由于针对多个执行逻辑300的各实例310存储访问资源(例如，应用程序数据库601)的权限，并且允许各实例310在访问权限的范围内访问资源，所以能够在确保设备6的资源安全的同时实现服务之间的协作。另外，由于实例310对于执行逻辑300和使得执行执行逻辑300的用户帐户的不同组合是不同的，所以通过针对各用户帐户设置不同的访问权限能够进一步提高安全性。

另外，访问权限表明是否给予从资源读出数据的权限、在资源中写入数据的权限和改变资源的设置的权限中的至少一者，通过设置适当的访问权限能够可靠地确保服务的安全性。另外，由于访问权限在存储单元60中存储为角色，并且允许实例310在对应于角色的访问权限的范围内访问，所以相比于针对实例310分别设置访问权限的情况能够容易地进行设置。

另外，由于对各逻辑帐户进行验证，并且允许验证成功的逻辑帐户的实例310访问资源，所以能够进一步提高资源安全性。

另外，由于存储单元60存储应用程序600以利用执行逻辑300执行的服务，所以实现了应用程序600与一个以上的服务之间的协作。

另外，由于注册了用于服务的执行逻辑300的实例310，并且根据资源的所有者用户的设置指令设置实例310对资源的访问权限，所以能够在根据资源的所有者用户的需要确保任何安全等级的资源安全性的同时实现服务之间的协作。另外，由于根据验证成功的用户帐户的用户的设置指令设置访问权限，所以能够可靠地确保资源安全性。

[2.应用程序数据库601的具体示例]图2示出了应用程序数据库601。相应的应用程序600从应用程序数据库601读出数据，并且在应用程序数据库601中写入数据。在该图中，例如，应用程序数据库601存储诸如“传感器01”等网络装置5获取的关于温度和加速度测量结果的时间序列数据，以及诸如关于各条时间序列数据的错误等报警数据。应用程序数据库601还可以存储各传感器的安装位置，即，测量位置。

[3.角色数据库603的具体示例]图3示出了角色数据库603。角色数据库603存储关于各实例310的访问权限的角色。例如，角色数据库603针对设备6的各用户帐户和实例310的各逻辑帐户彼此相关联地存储访问权限的角色和访问权限的适用范围。适用范围可以表明分配给执行逻辑300的实例310的设备6的资源。例如，适用范围还包括关于读出数据的权限和写入数据的权限中至少一者的设备6的资源的地址范围。该地址范围例如可以表明最新数据的存储区域、第N(N是大于1的整数)最新数据的存储区域、预定时间窗口中的数据的存储区域等。因此，能够更可靠地确保设备6的安全性。

在该图中，例如，角色数据库603与用户帐户“U0000A”和“U0000B”、逻辑帐户“LC005C”以及“Owner”(所有者)、“User”(用户)和“Reader”(读出者)的访问权限的角色相关联地存储资源ID“App DB01”的地址范围作为访问权限的适用范围。这里，“Owner”可以是针对设备6、应用程序600及其资源的至少一个所有者设置的角色。“User”可以是针对对应用程序600及其资源进行维护的工程师等设置的角色。“Reader”可以是针对应用程序600的用户设置的角色。应当指出，角色的类型不限于此，而可以是针对应用程序600及其资源中至少一者的管理员设置的“Administrator”(管理员)，针对应用程序600及其资源中至少一者的贡献者(例如，提供者和创建者)设置的“Contributor”(贡献者)等。

应当指出，对于通过执行逻辑300的实例310间接访问设备6的资源而不是直接使用设备6的资源的用户帐户，实例310的逻辑帐户可以与之相关联，代替了存储访问权限的适用范围。在该图中，例如，角色数据库603与生成逻辑帐户“LC005C”的实例的服务用户的用户帐户U0000C相关联地存储逻辑帐户“LC005C”。

[4.角色权限表604的具体示例]图4示出了角色权限表604。角色权限表604存储访问权限的细节以及针对访问权限的各角色设置的适用范围。

在该图中，例如，角色权限表604存储“读出”、“写入”、“设置改变”等作为角色“Owner”的访问权限的细节，存储“读出”作为角色“Reader”的访问权限，存储“报警读出”作为角色“User”的访问权限，存储资源ID“App DB01”的地址范围作为各角色的适用范围。这里，“读出”表示该角色被给予从资源读出数据的权限，“写入”表示该角色被给予在资源中写入数据的权限，“设置改变”表示该角色被给予改变资源的设置的权限，“报警读出”表示该角色被给予从资源中读出诸如错误等报警数据的权限。

[5.逻辑数据库605的具体示例]图5示出了逻辑数据库605。针对分配给执行逻辑300的实例310的各逻辑帐户，逻辑数据库605存储执行逻辑300的细节。执行逻辑的细节可以是处理细节、输入数据的细节和输出数据的细节(例如，数据的类型、条数等)中的至少一者。针对各逻辑帐户，逻辑数据库605还可以存储执行逻辑300的ID、执行逻辑300执行的服务的用户用于设备6的用户帐户、服务用户用于服务提供装置3的用户验证信息(例如，逻辑ID和密码)、利用执行逻辑300执行的服务的应用程序600的资源等。在该图中，例如，逻辑数据库605与逻辑帐户“LC005C”相关联地存储执行逻辑ID“LC005”、用户帐户“U0000C”、用户验证信息、执行逻辑的细节、应用程序资源ID“App DB01”等。

[6.访问权限的设置]图6示出了设置访问权限的方法。系统1执行步骤S11至步骤S19的处理，由此针对一个以上的执行逻辑300的各个实例310设置访问设备6的资源的权限。

在步骤S11中，响应于服务用户通过客户终端2的操作，服务提供装置3的CPU 31生成至少一个执行逻辑300的实例310以使得与设备6中的应用程序600(也称为协作目标应用程序600)协作，并且将实例310的列表提供给设备6。协作目标应用程序600可以是由服务用户选择的设备6的一些应用程序600，或者可以是自动选择的设备6的所有应用程序600。如果生成多个实例310，则可以选择单个应用程序600作为协作目标应用程序600，或者可以选择不同的应用程序600作为协作目标应用程序600。

CPU 31可以使列表在网络上公开，并请求设备6获取列表，或者可以将列表发送给设备6。实例310的列表可以包括针对各实例310的执行逻辑300的ID和细节，服务用户具有的用于设备6的用户帐户，以及服务用户具有的用于服务提供装置3的用户验证信息。服务用户具有的用于设备6的用户帐户可以与资源的所有者用户的用户帐户相同或者不同。列表包括的执行逻辑300的细节可以是执行逻辑300的程序。应当指出，如果服务用户只选择了存储在服务提供装置3中的多个执行逻辑300中的一些执行逻辑300作为目标来与应用程序600协作，则列表可以只包括关于所选择的执行逻辑300的实例310的信息。

在步骤S13中，设备6的注册单元62将逻辑帐户分配给提供的列表中包括的实例310，并且将逻辑帐户和执行逻辑300的细节存储在逻辑数据库605中，由此注册实例310。在本实施例中，例如，注册单元62在逻辑数据库605中存储彼此相关联的逻辑帐户、执行逻辑300的ID、执行逻辑300的服务用户具有的用于设备6的用户帐户、服务用户具有的用于服务提供装置3的用户验证信息、执行逻辑300的细节以及协作目标应用程序应用程序600的资源。另外，注册单元62将逻辑帐户注册在角色数据库603中。

另外，注册单元62生成设备6的逻辑验证信息以验证实例310(例如，用于登录到设备6的ID和密码)，并且将其与逻辑帐户相关联地注册在验证数据库602中。另外，注册单元62将逻辑帐户和逻辑验证信息发送到在步骤S11中作为列表的发送方的各服务提供装置3。

在步骤S14中，服务提供装置3在存储单元30中存储彼此相关联的发送的逻辑帐户和逻辑验证信息。

在步骤S15中，设备6的验证单元63执行关于资源的所有者用户的用户帐户验证。例如，验证单元63使所有者用户输入用户验证信息(例如，用于登录设备6的ID和密码)，并且通过检验是否与存储在验证数据库602中的用户验证信息匹配来进行验证。响应于表示验证成功的验证结果，验证单元63允许对应于登录ID的用户帐户登录。在用户登录的同时，执行之后的处理，直到步骤S19。在所述的本实施例中，例如，资源的所有者用户为一个人，但可以是多个人。如果有多个资源的所有者用户，则可以由各所有者用户执行步骤S15及其之后的处理。应当指出，资源的所有者用户的输入可以直接执行到设备6中，或者可以通过诸如客户终端2等其它设备执行到设备6中。

在步骤S17中，设备6的指令输入单元64从设备6的资源的所有者用户接收设置注册的实例310访问资源的权限的指令。在本实施例中，例如，指令输入单元64接收访问权限的角色和设置访问权限的适用范围的指令。如果注册了多个实例310，则指令输入单元64可以针对各实例310接收设置指令。

在步骤S19中，设备6的设置单元65根据设置指令针对各实例310设置访问资源的权限。例如，设置单元65存储角色以及与在角色数据库603中注册的实例310的逻辑帐户相关联的访问权限的适用范围。另外，设置单元65将角色的访问权限存储在角色权限表604。在本实施例中，例如，角色和访问权限的细节彼此相关联地预先存储在角色权限表604中，并且设置单元65根据设置指令将角色的访问权限的适用范围存储在角色权限表604中。由此，存储了分配给各实例310的资源的访问权限。应当指出，角色权限表604中的访问权限的适用范围可以用作在角色数据库603中设置适用范围时使用的控制者(master)，并且可以表示可设置的最大的适用范围。在此情况下，根据设置指令，设置单元65可以在角色数据库603中存储角色权限表303中存储的访问权限的适用范围中的至少一些范围作为实例310的访问权限的适用范围。

应当指出，设置单元65可以针对不同的实例310设置不同的访问权限。设置单元65可以根据注册在逻辑数据库605中的执行逻辑300的细节和应用程序600的资源中的至少一者设置访问权限。例如，设置单元65可以设置“Reader”作为用于从资源提取至少部分数据并累积数据的执行逻辑300(例如，用于执行特定数据的存储的执行逻辑300)的逻辑帐户的角色，或用于从资源读出数据并将数据输出到不同于设备6的设备的执行逻辑300(例如，用于将数据转换成图表并进行数据分析的执行逻辑300)的逻辑帐户的角色。另外，设置单元65可以设置资源中包括的应用程序数据库601作为访问权限的适用范围。

另外，在该图中，尽管所述的方法例如针对执行逻辑300的实例310设置访问资源的权限，但也可以针对服务用户设置访问权限。在此情况下，根据来自验证成功的资源的所有者用户的设置访问权限的指令，设置单元65可以与服务用户的用户帐户相关联地设置访问权限。

[7.提供服务]图7示出了服务提供方法。系统1执行步骤S31至步骤S45中的处理，由此访问设备6的资源，并通过利用执行逻辑300来提供服务。应当指出，在该图中，尽管系统1例如通过利用由两个服务提供装置3(也称为服务提供装置3A、3B)生成的不同的实例310彼此协作地提供服务，但实例310的个数可以是一个或者三个以上。例如，在服务提供装置3A中生成的实例310(也称为实例310A)可以提供数据分析服务。另外，在服务提供装置3B中生成的实例310(也称为实例310B)可以提供从特定的网络装置5提取部分数据并累积数据的存储服务。

在步骤S31中，类似于上述的步骤S15，设备6的验证单元63针对服务用户执行用户帐户的验证，并使得服务用户登录用户帐户。在用户登录到设备6的用户帐户的同时，执行之后的处理，直到步骤S45。应当指出，服务用户的输入可以直接执行到设备6中，或者可以通过诸如客户终端2等其它设备执行到设备6中。

在步骤S33中，根据服务用户的操作，CPU 61执行协作目标应用程序600，并且在其中生成执行应用程序610。

在步骤S35中，根据服务用户的操作，CPU 61登录由一个以上的服务提供装置3(在本实施例中，例如，两个服务提供装置3A、3B)提供的服务。另外，根据服务用户的操作，执行应用程序610调用一个以上的执行逻辑300的实例310(在本实施例中，例如，两个实例310A、310B)。

CPU 61可以从逻辑数据库605读出服务用户具有的用于各服务提供装置3的用户验证信息，并进行登录，并且在用户登录各服务提供装置3的用户帐户的同时，执行之后的处理，直到步骤S45。应当指出，如果用户验证信息未存储在逻辑数据库605中，则CPU 61可以使服务用户输入用户验证信息，使服务提供装置3执行验证，并且根据验证成功允许登录用户帐户。

在步骤S37中，已经登录的各服务提供装置3的CPU 31执行调用的各执行逻辑300，并且在其中生成实例310。在本实施例中，例如，服务提供装置3A生成实例310A，服务提供装置3B生成实例310B。

在步骤S39中，各服务提供装置3的各实例310(在本实施例中，例如，实例310A、310B)将存储在存储单元30中的与分配给实例的逻辑帐户相关联的逻辑验证信息(例如，用于登录设备6的ID和密码)发送给设备6。

在步骤S41中，设备6的验证单元63对各发送的逻辑帐户执行验证。例如，验证单元63执行验证以检验发送的逻辑帐户信息与存储在验证数据库602中的逻辑验证信息是否匹配，并且，响应于表示验证成功的验证结果，使得执行登录逻辑帐户。在用户登录设备6的同时，执行之后的处理，直到步骤S45。

在步骤S43中，验证成功的服务提供装置3的各实例310在访问设备6的资源的同时执行服务。在访问资源时，实例310可以向资源发出包括自身的逻辑帐户的访问请求，并且响应于访问控制单元66的允许执行访问执行访问。

在步骤S45中，访问控制单元66允许各实例310在其访问权限的范围内访问资源。每当实例310给出访问请求时，访问控制单元66可以参照角色数据库603，识别与访问请求中包括的逻辑帐户对应的角色以及访问权限的适用范围，参照角色权限表604识别与角色对应的访问权限的细节，并且判断请求的访问是否在访问权限的范围内。访问权限的适用范围可以包括从外部连接到设备6的资源(例如，服务提供装置3B)。如果实例310的访问在访问权限的范围内，则访问控制单元66可以允许实例310的访问。由此，允许在与角色对应的访问权限的范围内访问。应当指出，代替每当发生访问时判断访问是否在访问权限的范围内，访问控制单元66可以在访问权限的范围内预先使得资源可访问。

根据上述操作，能够在确保设备6的资源安全性的同时促成彼此协作的服务。例如，如果用于提供数据分析服务的实例310A访问服务提供装置3B以读出实例310B的存储数据，则访问控制单元66判断出该访问在访问权限的范围内，并且允许访问。由此，使得实例310A提供的数据分析服务和实例310B提供的数据存储服务彼此协作。

[7-1.具体示例(1)]图8示出了允许访问资源的示例情况。在该图中，例如，资源具有作为传感器的网络装置5以获取温度和加速度测量值，并且具有存储测量值的应用程序数据库601。

对于该资源，用户帐户“U0000A”的用户具有角色“Owner”的访问权限，并且被允许从应用程序数据库601读出数据以及改变网络装置5的设置。另外，用户帐户“U0000B”的用户具有角色“User”的访问权限，并且被允许从应用程序数据库601读出报警数据。另外，逻辑帐户“LC005C”的实例310具有角色“Reader”的访问权限，并且被允许从应用程序数据库601读出数据。

[7-2.具体示例(2)]图9示出了允许访问资源的另一示例情况。在该图中，例如，资源具有ID“App01”的应用程序600本身以进行数据分析，并且具有存储分析目标数据和分析结果数据的应用程序数据库601。

对于该资源，用户帐户“U0000A”的用户具有角色“Owner”的访问权限，并且被允许从应用程序数据库601读出数据、在应用程序数据库601中写入数据以及改变“App02”的应用程序600的设置。另外，逻辑帐户“LC0005C”的实例具有角色“Contributor”的访问权限，并且被允许读出应用程序数据库601的数据以及在应用程序数据库601中写入数据。另外，逻辑帐户“LC005C”的实例310具有角色“Reader”的访问权限，并且被允许从应用程序数据库601读出数据。

[8.变形例]应当指出，在上述的实施例中，尽管角色权限表604存储访问权限的适用范围，但也可以存储访问权限的有效期(例如，一个月)、有效访问次数(例如，十次)等。

另外，在上述说明中，尽管设备6具有CPU 61、注册单元62、验证单元63、指令输入单元64、设置单元65和应用程序600，但可以不具有其中的至少一者。例如，这些配置可以设置为连接到设备6的外部设备。

另外，在上述说明中，尽管服务提供装置3的存储单元30存储执行逻辑300，但是除此之外，也可以存储访问服务提供装置3的资源的权限。例如，存储单元30可以存储各实例访问服务提供装置3的资源的访问权限。例如，存储单元30可以以类似于设备6的存储单元60的方式存储访问权限，并且可以存储类似于角色数据库603和角色权限表604的角色数据库和角色权限表。

另外，在上述说明中，尽管应用程序600使用由执行逻辑300执行的服务，但是应用程序600本身可以是用于提供服务的执行逻辑。在此情况下，使用由应用程序600通过执行逻辑300的实例310提供的服务的服务提供装置3可以针对各实例(例如，针对各执行应用程序610)存储访问服务提供装置3的资源的访问权限。

另外，在上述说明中，尽管存储单元60在角色数据库603中针对各逻辑帐户存储访问权限的角色，并且在角色权限表604中针对各角色存储访问权限，但是可以在不使用角色的情况下针对各逻辑帐户存储访问权限。

另外，在上述说明中，尽管访问权限的适用范围存储在角色数据库603和角色权限表604中，但可以只存储在一者中。

可以参照流程图和框图来说明本发明的各实施例，流程图和框图中的方框可以表示(1)执行操作的处理的步骤或者(2)负责执行操作的装置的部分。可以通过专用电路、提供有存储在计算机可读介质上的计算机可读指令的可编程电路和/或提供有存储在计算机可读介质上的计算机可读指令的处理器来实现一些步骤和部分。专用电路可以包括数字和/或模拟硬件电路，并且可以包括集成电路(IC)和/或离散电路。可编程电路可以包括具有逻辑AND、OR、XOR、NAND、NOR和其它逻辑操作、触发器、寄存器、存储元件等的可重配置的硬件电路，例如现场可编程门阵列(FPGA)、可编程逻辑阵列(PLA)等。

计算机可读介质可以包括能够存储由适合的装置执行的指令的任何有形的装置，使得存储有指令的计算机可读介质具有包括能够执行的指令的物品以形成用于执行流程图或框图中指定的操作的工具。计算机可读介质的示例可以包括电子存储介质、磁性存储介质、光学存储介质、电磁存储介质、半导体存储介质等。计算机可读介质的更具体的示例可以包括软盘、磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪存)、电可擦除可编程只读存储器(EEPROM)、静态随机存取存储器(SRAM)、只读光盘存储器(CD-ROM)、数字通用光盘(DVD)、蓝光(RTM)光盘、记忆棒、集成电路卡等。

计算机可读指令可以包括汇编指令、指令集架构(ISA)指令、机器指令、机器相关指令、微码、固件指令、状态设定数据或者由一种以上的程序语言(包括诸如Smalltalk、JAVA(注册商标)、C++等面向对象程序语言以及诸如“C”程序语言或类似的程序语言等传统的面向过程程序语言)的任意组合编写的源代码或目标代码。

计算机可读指令可以本地地或经由局域网(LAN)、如互联网等广域网(WAN)等设置到通用计算机、专用计算机的处理器或其它可编程数据处理装置，或设置到可编程电路，以执行计算机可读指令，从而形成用于执行流程图或框图中指定的操作的工具。处理器的示例包括计算机处理器、处理单元、微处理器、数字信号处理器、控制器、微控制器等。

图10示出了可以整体或部分地实施本发明的各方面的计算机2200的示例。安装在计算机2200中的程序可以使计算机2200用作本发明的实施例或一个以上的部分的装置或者执行与该装置相关的操作，和/或使计算机2200执行本发明的实施例的处理或本发明的步骤。这样的程序可以由CPU 2212执行以使计算机2200执行与这里所述的流程图和框图中的一些或所有方框相关的一些操作。

根据本实施例的计算机2200包括通过主控制器2210彼此连接的CPU 2212、RAM2214、图形控制器2216和显示装置2218。计算机2200还包括经由输入/输出控制器2220连接到主控制器2210的诸如通信接口2222、硬盘驱动器2224、DVD-ROM驱动器2226和IC卡驱动器等输入/输出单元。计算机还包括通过输入/输出芯片2240连接到输入/输出控制器2220的诸如ROM 2230和键盘2242等传统输入/输出单元。

CPU 2212根据存储在ROM 2230和RAM 2214中的程序运行，由此控制各单元。图形控制器2216获得设于RAM 2214中或设于自身中的帧缓冲器上的由CPU 2212产生的图像数据，并且使图像数据在显示装置2218上显示。

通信接口2222经网络与其它电子装置通信。硬盘驱动器2224在计算机2200内存储CPU 2212使用的程序和数据。DVD-ROM驱动器2226从DVD-ROM 2201读取程序或数据，并且经RAM 2214将程序或数据提供给硬盘驱动器2224。IC卡驱动器从IC卡读取程序和数据，和/或将程序和数据写入IC卡中。

ROM 2230中存储有计算机2200在启动时执行的引导程序等和/或根据计算机2200的硬件的程序。输入/输出芯片2240也可以经由并行端口、串行端口、键盘端口、鼠标端口等将各种输入/输出单元连接到输入/输出控制器2220。

可以通过诸如DVD-ROM 2201或IC卡等计算机可读介质提供程序。程序从计算机可读介质中被读出，安装在同样是计算机可读介质的示例的硬盘驱动器2224、RAM 2214或ROM2230中，并由CPU 2212执行。这些程序中所述的信息处理被读入计算机2200中，于是程序和上述各种硬件资源之间进行协作。可以通过根据计算机2200的使用实现信息的操作或处理来构成装置或方法。

例如，在计算机2200和外部设备之间进行通信时，CPU 2212可以执行加载在RAM2214上的通信程序以基于通信程序中所述的处理向通信接口2222指示通信处理。在CPU2212的控制下，通信接口2222读出存储在设于诸如RAM 2214、硬盘驱动器2224、DVD-ROM2201或IC卡等记录介质中的传输缓存区上的传输数据，并将读出的传输数据发送到网络或者将从网络接收的接收数据写入设于记录介质上的接收缓存区等。

另外，CPU 2212可以使文件或数据库的所有或必要部分被读入RAM 2214，所述文件或数据库已存储在诸如硬盘驱动器2224、DVD-ROM驱动器2226(DVD-ROM 2201)、IC卡等外部记录介质中，并且CPU 2212可以对RAM 2214上的数据执行各种处理。然后，CPU 2212可以将处理过的数据再写入外部记录介质中。

诸如各种程序、数据、表格和数据库等各种信息可以存储在记录介质中以进行信息处理。CPU 2212可以对从RAM 2214读出的数据进行各种处理，如本公开中所述的和程序的指令序列指定的，包括信息的各种操作、处理、条件判断、条件转移、无条件转移、信息的搜索/替换等，并且CPU 2212将结果再写入RAM 2214。另外，CPU 2212可以搜索记录介质中的文件、数据库等中的信息。例如，当记录介质中存储有多个入口(各自具有与第二属性的属性值相关的第一属性的属性值)时，CPU 2212可以从多个入口中搜索匹配第一属性的属性值指定的条件的入口，并且读出存储在该入口中的第二属性的属性值，由此获得满足预定条件的与第一属性相关的第二属性的属性值。

上述程序或软件模块可以存储在计算机2200上的或者计算机2200附近的计算机可读介质中。另外，设于连接到专用通信网络或互联网的服务器系统中的诸如硬盘或RAM等记录介质可以用作计算机可读介质，由此经网络向计算机2200提供程序。

尽管已经说明了本发明的实施例，但是本发明的技术范围不限于上述实施例。本领域技术人员显然可以对上述实施例进行各种改变和改进。根据权利要求的范围也显然可见，具有这种改变或改进的实施例可以被包括在本发明的技术范围内。

通过权利要求、实施例或附图中示出的装置、系统、程序和方法执行的各处理的操作、程序、步骤和阶段可以按任意顺序执行，只要该顺序不是由“先于…”、“在…之前”等表示即可，并且只要先前处理的输出不用于后续处理即可。即使在权利要求、实施例或附图中使用诸如“首先”或“然后”等词语说明处理流程，但这并不必然意味着必须按该顺序进行处理。

附图标记列表

1：系统；2：客户终端；3：服务提供装置；5：网络装置；6：设备；11：网络；12：网络；30：存储单元；31：CPU；60：存储单元；61：CPU；62：注册单元；63：验证单元；64：指令输入单元；65：设置单元；66：访问控制单元；300：执行逻辑；310：实例；600：应用程序；601：应用程序数据库；602：验证数据库；603：角色数据库；604：角色权限表；605：逻辑数据库；610：执行应用程序；2200：计算机；2201：DVD-ROM；2210：主控制器；2212：CPU；2214：RAM；2216：图形控制器；2218：显示装置；2220：输入/输出控制器；2222：通信接口；2224：硬盘驱动器；2226：DVD-ROM驱动器；2230：ROM；2240：输入/输出芯片；2242：键盘。

Claims (10)

1.一种设备，其包括：

存储单元，其针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限；和

访问控制单元，其允许各实例在所述访问权限的范围内访问所述资源。

2.根据权利要求1所述的设备，其中，所述存储单元存储用于使用所述服务的应用程序。

3.根据权利要求1或2所述的设备，其中，不同的实例与执行逻辑和使得所述执行逻辑被执行的用户帐户的不同组合相关联。

4.根据权利要求1至3中任一项所述的设备，包括验证单元，所述验证单元对分配给所述多个执行逻辑的所述实例的各逻辑帐户执行验证，其中，

所述访问控制单元允许由所述验证单元验证成功的逻辑帐户的实例访问所述资源。

5.根据权利要求1至4中任一项所述的设备，其中，

所述存储单元将所述访问权限存储为角色，并且

所述访问控制单元允许在与所述角色对应的所述访问权限的范围内访问。

6.根据权利要求1至5中任一项所述的设备，其中，所述访问权限表示是否给予从所述资源读出数据的权限、在所述资源中写入数据的权限以及改变所述资源的设置的权限中的至少一者。

7.根据权利要求6所述的设备，其中，所述访问权限还表示被允许所述读出数据的权限和所述写入数据的权限中的至少一者的所述资源中的地址范围。

8.一种方法，其包括：

针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限；和

允许各实例在所述访问权限的范围内访问所述资源。

9.一种程序，其使得计算机用作：

存储单元，其针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限；和

访问控制单元，其允许各实例在所述访问权限的范围内访问所述资源。

10.一种其上记录有程序的记录介质，所述程序使得计算机用作：

存储单元，其针对用于执行服务的多个执行逻辑的各实例存储分配给所述实例的资源的访问权限；和

访问控制单元，其允许各实例在所述访问权限的范围内访问所述资源。

Images