CN1421813A - 在服务系统中的程序执行方法和相应的程序执行装置 - Google Patents

Abstract

程序执行装置包括用于存储允许外泄数据的第一存储器部分(150)，用于存储用户保密数据的第二存储器部分(160)，能够与一个外部单元通信的通信部分(140)，和用于存储至少一个应用程序的程序存储部分(110)。程序执行部分(130)解释和执行所述应用程序，在解释所述应用程序的同时检查所述保密数据被泄露给所述外部单元的可能性，当确定存在所述保密数据外泄的可能性时停止执行所述应用程序。

Description

在服务系统中的程序执行 方法和相应的程序执行装置

技术领域

本发明涉及一种在服务系统中的程序执行方法和相应的程序执行装置。

背景技术

传统上已经公知了使用计算机和诸如移动电话的移动终端的系统，如图1所示。在这种系统中，经过一个网络从服务提供者获得或下载一个程序并加以执行。参看图1，所述系统由程序执行装置500、服务器200和将它们连接到一起的网络50组成。

在这个例子中，程序执行装置500是一个移动终端。程序执行装置500由程序存储部分510、程序获得部分520、程序执行部分530、通信部分540、存储器部分550和个人数据产生部分560组成。通信部分540经过网络50与服务器200通信。程序获得部分520经过通信部分540从服务器200获得程序。程序存储部分510存储由程序获得部分520获得的所述程序。程序执行部分530执行存储在程序存储器部分510中的所述程序。存储器部分550存储数据。个人数据产生部分560使用GPS(全球定位系统)产生诸如用户位置数据的个人数据。

这里，所述程序是描述将被所述程序执行装置500执行的处理的数据。程序执行部分530解释所述程序并执行其中所描述的处理。当将由程序执行部分530执行的处理是经过通信部分540与外部单元进行通信的处理时，执行从/向存储器部分550的读出处理/写入处理、经过用户接口在程序执行装置500和用户之间的输入/输出处理，和在个人数据产生部分560中的个人数据参考处理。

下面将描述上述系统的操作。用于执行特定处理的一个特定程序被存储在服务器200中。由所述特定程序提供的服务的一个例子是一个游戏、办公室工作和地图显示等。程序执行装置500的用户规定所述特定程序的一个识别符并请求获得所述特定程序。程序获得部分520响应所述请求从所述服务器中获得所述特定程序并将其存储在程序存储器部分510中。然后，所述用户请求执行存储在程序存储器部分510中的所述特定程序。程序执行部分530解释并执行所述特定程序。

在这种方式下，通过获得存储在服务器200中的所述程序并执行它，所述用户能够接收由所述特定程序提供的服务。这里，存在下述情况，即，所述特定程序包含由程序执行部分530对存储在存储器部分550中的数据进行读出处理或对个人数据产生部分560中的个人数据的参考处理，以及通过通信部分540的通信处理。但是，在这种情况下，存在下述可能性，即，在存储器部分550和个人数据产生部分560中的可选择数据被经过网络50传送给除程序执行装置500以外的诸如服务器200的一个外部单元。结果是，存储在存储器部分550中的个人数据和由个人数据产生部分560产生的所述个人数据、即与秘密和保密相关的数据被泄露给所述外部单元。为了避免这种情况，在传统的程序执行装置500中，只有在存储器部分550和个人数据产生部分560中的数据的通信功能和读出功能中的一个被给予程序执行装置500。具体地说，所使用的程序执行装置530具有所述通信功能，但不具有从存储器部分550和个人数据产生部分560中读出数据的功能，或者它具有从存储器部分550和个人数据产生部分560中读出数据的功能，但不具有所述通信功能。

应当注意，在前者的情况下，存在下述情况，即所述程序执行装置从存储器部分550的一个特定区域中读出所述个人数据。例如，在所述移动终端中，提供了一种仅仅用于所述程序的专用使用存储器部分。另外，所述程序执行部分530将由一个程序执行的读出处理限制到除所述专用使用存储器部分以外的存储器部分550和个人数据存储器部分560，从而可以避免诸如电话目录的所述个人数据的泄露。利用这种方式，实现了一种程序执行装置，它能够在保证所述个人数据安全的情况下执行一个外部程序。

但是，在传统的程序执行装置中，作为对程序执行部分530限制的结果也禁止了决不会泄露内部数据的程序。具体地说，不能执行其中存储在服务器200中的数据和存储在存储器部分550中的数据被相互结合以便向所述用户提供服务的一个程序。这种程序的一个例子是日历显示，其中，存储在存储器部分550中的所述用户的个人日程数据和存储在服务器200中的近期天气预报数据被相互结合。在这种情况下，尽管所述用户的个人数据决不会对外泄露，但是，在传统的程序执行装置中不可能执行上述程序。如果，程序执行部分530除了所述通信功能以外还被提供有从所述存储器部分550和所述个人数据产生部分560中读出数据的功能，那就不能保证避免所述内部数据的泄露。

结合上述的描述，在日本公开专利申请(JP-A-Heisei 9-138735)中披露了一种持续数据服务器装置。在这个传统的例子中，所述持续数据服务器装置由多个用于从存储所述持续数据的数据存储器部分中读出所希望的持续数据的数据存储器控制单元组成。多个缓冲存储器部分保持由所述数据存储器控制单元读出的持续数据。至少一个通信控制部分读出由所述缓冲存储器部分保持的所述持续数据并将其传送给一个接纳信道。提供所述缓冲存储器部分以组合所述数据存储器控制单元和所述通信控制部分。

另外，在日本公开专利申请(JP-P2000-276457A)中披露了一种数据共享计算机系统。在这个传统的例子中，所述数据共享计算机系统由第一计算机系统、第二计算机系统、共享数据存储器部分和访问允许数据存储器部分组成。所述数据共享存储器部分具有多个数据存储区域，并将由所述第一计算机系统和所述第二计算机系统访问的所述共享数据分别存储到多个数据存储区域中。所述访问允许/禁止数据存储器部分存储与所述共享数据存储器部分的每个数据存储区域相关的访问允许/禁止数据，以表示所述区域是否可以被访问。所述第一计算机系统由第一服务部分、与所述共享数据存储器部分相连接的第一数据访问部分和与所述访问允许/禁止数据存储器部分相连接的第一专用控制部分组成。所述第一服务部分指令对可选择数据存储区域、所述第一数据访问部分和所述第一专用控制部分进行访问。所述第一专用控制部分获得与被指令数据存储区域相关的访问允许/禁止数据，并确定允许或禁止到所述被指令数据存储区域进行访问。当它确定所述访问被允许时，所述第一专用控制部分将与所述被指令数据存储区域对应的访问允许/禁止数据改变为一个访问禁止数据。在确定所述被指令数据存储区域可以被所述第一专用控制部分访问之后，所述第一数据访问部分访问所述被指令的数据存储区域，并且，所述访问允许/禁止数据被改变为访问禁止数据。在所述第一数据访问部分访问了所述被指令的数据存储区域之后，所述第一专用控制部分将用于所述被指令数据存储区域的访问允许/禁止数据改变为所述允许数据。

所述第二计算机系统由第二服务部分、与所述共享数据存储器部分相连接的第二数据访问部分，和与所述访问允许数据存储器部分相连接的第二专用访问控制部分组成。所述第二服务部分指令对可选择数据存储区域、所述第二数据访问部分和所述第二专用访问控制部分进行访问。所述第二专用访问控制部分获得与所述被指令数据存储区域对应的访问允许/禁止数据，并确定允许对所述被指令数据存储区域进行访问。当它确定所述访问被允许时，所述第二专用访问控制部分将与所述被指令数据存储区域对应的访问允许/禁止数据改变为禁止数据。在所述访问允许/禁止数据被改变为所述禁止数据之后，所述第二数据访问部分访问被确定为允许被所述第二专用访问控制部分访问的数据存储区域。在所述第二数据访问部分访问了所述被指令数据存储区域之后，所述第二专用访问控制部分将与所述被指令数据存储区域对应的所述访问允许/禁止数据改变为所述允许数据。

另外，在日本公开专利申请(JP-P2001-5720A)中披露了一种共享存储器访问控制装置。在这个传统的例子中，提供了一个共享存储器访问控制装置，用于在共享一个双端口型存储器的多个处理使用所述存储器和执行所述处理的环境中通过每个处理控制对所述双端口型存储器的访问。所述存储器包含包括多个比特且其值可以根据所述多个处理的协同关系更新的控制数据。所述共享存储器访问控制装置由一个用于检测所述控制数据的值的检测部分和一个用于更新所述控制数据的值的更新部分组成。一个指令部分控制所述检测部分重复所述控制数据值的检测操作，直到利用其他的操作将所述控制数据的值更新为预定值为止。当利用所述检测部分检测到所述值更新为所述预定值时，所述指令部分指令处理本身运行所述处理。当处理本身的操作完成时，所述指令部分指令所述更新部分将所述控制数据的“1”的比特改变为“0”，并将这个变化通知给其他处理。

另外，在日本公开专利申请(JP-P2001-148697A)中披露了一种经过低可靠性信道进行数据通信的方法。这个传统的例子与制造操作者使用的设备和与作为所述操作者的其他设备进行通信的方法有关。一个制造者具有除所述制造者和被所述制造者允许的代理之外的第三者都不可能获得的制造者密钥，并且所述通信是使用不能保证消息变化的低可靠性信道执行的。所述设备被制造得不必须包含与所述操作者相关的秘密以及作为电路包含在不发生变换边界中的安全部分。利用所制造的设备使用一个特定设备识别符来预置所述设备。

发明内容

因此，本发明的一个目的是提供一种在服务系统中的程序执行方法以及一种程序执行装置，它可以保证避免内部数据的泄露。

本发明的另一个目的是提供一种在服务系统中的程序执行方法和程序执行装置，其中，可以使用所述程序执行装置中的内部数据和在一个服务器中的外部数据而不会泄露所述内部数据。

在本发明的另一个方面中，一个程序执行装置包括用于存储被允许向外泄露的数据的第一存储器部分、用于存储用户保密数据的第二存储器部分、能够与外部单元进行通信的通信部分和用于存储至少一个应用程序的程序存储部分。程序执行部分解释和执行所述应用程序，在解释所述应用程序的同时检查所述保密数据被泄露给所述外部单元的可能性，并且当它确定存在保密数据被泄露的可能时停止执行所述应用程序。

这里，所述程序存储部分存储一个操作系统，并且在所述操作系统的基础上操作所述程序执行部分以便解释和执行所述应用程序，从而在解释所述应用程序的同时检查所述保密数据被泄露给所述外部单元的可能性，当它确定存在所述保密数据被泄露的可能性时，停止执行所述应用程序。

另外，所述程序执行装置还可以包括一个个人数据产生部分，用于产生所述用户的个人数据。所述保密数据包括所产生的个人数据。

另外，对保密数据被泄露给所述外部单元的可能性的检查是以所述应用程序是否最好包含与所述外部单元通信的处理或在所述第一存储器部分中写入数据和从所述第二存储器部分中读出所述保密数据的处理为基础的。

在这种情况下，所述程序执行部分包括一个状态存储部分、一个解释部分和一个执行允许/禁止确定部分。所述状态存储部分存储所述应用程序的状态数据，且所述状态数据最初被设置为第一数据。所述解释和执行部分解释并执行所述应用程序。当将被执行的处理是与所述外部单元进行的通信处理或在所述第一存储器部分中写入所述数据的处理时，所述执行允许/禁止确定部分将所述状态数据设置成第二数据，而当将被执行的处理是从所述第二存储器部分中读出所述保密数据的处理时，将所述状态数据设置成第三数据。每当解释所述应用程序的每个处理时，所述执行允许/禁止确定部分检查所述状态数据，当将被执行的处理是与所述外部单元进行的通信处理或向所述第一存储器部分中写入数据的处理时，如果所述状态数据是所述第三数据，以及当将被执行的处理是从所述第二存储器部分中读出所述保密数据的处理时，如果所述状态数据是所述第二数据时，停止执行所述应用程序。

另外，所述应用程序是从所述外部单元经过所述通信部分和一个通信信道获得的。在这种情况下，所述程序执行装置可以是一个移动终端，所述应用程序从所述外部单元经过所述通信部分和一个无线通信信道获得。

另外，所述程序存储部分可以存储包括第一和第二应用程序的多个应用程序。所述第一应用程序包含与所述外部单元的通信处理或在所述第一存储器部分中写入数据的处理，但不包含读出所述保密数据的处理，所述第二应用程序包含读出所述保密数据的处理，但不包含与所述外部单元的通信处理或在所述第一存储器部分中写入所述数据的处理。此时，所述程序执行部分执行第一和第二应用程序中的一个，以便使用在所述其他基础上操纵的数据，从而显示在所述第一应用程序基础上操纵的所述数据和在所述第二应用程序基础上操纵的所述数据的结合。

另外，所述程序存储部分可以存储多个应用程序。所述程序执行部分可以包括其中的每个部分被用于解释和执行所述应用程序的第一和第二部分，还包括一个选择部分，用于解释所述应用程序以便确定所述应用程序是否包含与所述外部单元进行通信的处理或在所述第一存储器部分中写入所述数据的处理，或者读出所述保密数据的处理，并且当所述应用程序包含与所述外部单元进行通信的处理或在所述第一存储器部分中写入所述数据的处理时将所述应用程序分配给所述第一部分，并且当所述应用程序包含读出所述保密数据的处理时将所述应用程序分配给所述第二部分。

在本发明的另一方面中，在一个终端中的程序执行方法是通过下述步骤实现的：(a)解释和执行多个应用程序中的每一个；(b)在解释所述应用程序的同时检查在所述终端中所述用户的保密数据被泄露给所述外部单元的可能性，第一存储器部分存储允许外泄的数据，第二存储器部分存储所述保密数据；和(c)当它确定存在所述保密数据外泄的可能性时，停止执行所述应用程序。

这里，根据所述终端中的操作系统可以执行步骤(a)到(c)。

另外，在所述程序执行方法中，所述用户的个人数据可以作为所述保密数据的一部分产生。

另外，所述检查步骤(b)可以通过检查所述应用程序是否包含与所述外部单元的通信处理或在所述第一存储器部分中写入数据的处理和通过检查从所述第二存储器部分中读出所述保密数据的处理来实现。

另外，所述检查步骤(b)可以通过当将被执行应用程序的处理是与所述外部单元的通信处理或在所述第一存储器部分中写入数据的处理时，将用于指出所述应用程序的状态并最初被设置为第一数据的状态数据设置为第二数据、当将被执行的处理是从所述第二存储器部分中读出所述保密数据的处理时，将所述状态数据设置为第三数据、每当解释所述多个应用程序的每个处理时检查所述状态数据、以及当将被执行的处理是与所述外部单元的通信处理或在所述第一存储器部分中写入所述数据的处理时如果所述状态数据是所述第三数据、当将被执行的处理是从所述第二存储器部分中读出所述保密数据的处理时如果所述状态数据是所述第二数据就停止执行所述应用程序来实现。

另外，所述应用程序可以从所述外部单元经过一个通信信道获得。在这种情况下，当所述终端是一个移动终端时，所述应用程序可以从所述外部单元经过一个无线通信信道获得。

另外，所述多个应用程序可以包括第一和第二应用程序，利用这些应用程序，所述第一存储器部分的存储区域可以共享特定数据。所述第一应用程序包含与所述外部单元的通信处理以便获得所述特定数据，还包含在所述第一存储区域的共享存储区域中写入所述特定数据的处理，但是不包含从所述第二存储器部分中读出所述保密数据的处理，所述第二应用程序包含从所述第二存储器部分中读出所述保密数据的处理以及从所述第一存储区域的共享存储区域中读出所述特定数据的处理，但是不包含与所述外部单元进行通信的处理或在所述第一存储器部分中写入任一数据的处理。由此，根据所述第二应用程序显示所述特定数据和所述保密数据的组合。

另外，当所述终端可以包括第一和第二部分时，所述方法还可以包括描述所述应用程序以便确定所述应用程序是否包含与所述外部单元通信的处理或在第一存储器部分中写入数据的处理或从所述第二存储器部分中读出所述保密数据的处理；当所述应用程序包含与所述外部单元进行通信的处理或在所述第一存储器部分中写入数据的处理时将所述应用程序分配给所述第一部分从而使所述第一部分针对所述应用程序执行步骤(a)到(c)；和当所述应用程序包含从所述第二存储器部分中读出所述保密数据的处理时将所述应用程序分配给所述第二部分从而使所述第二部分针对所述应用程序执行步骤(a)到(c)。

附图说明

图1的框图示出了传统程序执行装置的结构；

图2的框图示出了根据本发明第一实施例的程序执行装置的结构；

图3的框图示出了在所述第一实施例的所述程序执行装置中的一个程序执行部分的结构；

图4的流程示出了第一实施例中所述程序执行装置的执行允许确定部分的操作；

图5示出了根据本发明第一实施例在所述程序执行装置中执行的程序C的处理；

图6示出了根据本发明第一实施例在所述程序执行装置中执行的程序A的处理；

图7示出了根据本发明第一实施例在所述程序执行装置中执行的程序B的处理；

图8示出了根据本发明第一实施例在所述程序执行装置中的程序执行部分的操作；

图9示出了根据本发明第一实施例在所述程序执行装置中的程序执行部分的操作；

图10示出了根据本发明第一实施例在所述程序执行装置中本发明的效果；

图11示出了根据本发明第二实施例在所述程序执行装置中所述程序执行部分的结构；

图12的流程示出了根据本发明第二实施例在所述程序执行装置中所述程序解释部分(A)的操作；以及

图13的流程示出了根据本发明第二实施例在所述程序执行装置中所述程序解释部分(B)的操作；

具体实施方式

下面将结合附图描述在本发明服务系统中的程序执行装置。

图2的框图示出了根据本发明第一实施例的一个服务系统的结构。参看图2，所述服务系统由程序执行装置100、作为用于数据服务的服务提供者的服务器200，以及用于将作为移动终端或计算机的所述程序执行装置100与所述服务器200相连接的网络50组成。网络50包括Internet或企业内部网。可以利用无线或有线的方式将所述程序执行装置100连接到网络50上。下面，使用所述程序执行装置100和所述服务器200的个人将分别被称之为用户和管理者。

所述程序执行装置100由一个程序存储部分110、一个程序获得部分120、一个程序执行部分130、一个通信部分140以及存储器部分150和160组成。所述程序存储部分110预先存储一个操作系统(OS)并可以存储多个应用程序。所述程序获得部分120、所述程序执行部分130和所述通信部分140在所述操作系统的基础上运行。所述操作系统管理所述存储器部分150和160的存储区域。

所述通信部分140经过网络50与所述服务器200通信。所述程序获得部分120响应来自输入部分(未示出)的用户请求在所述操作系统的基础上经过所述通信部分140从所述服务器200中获得一个应用程序。这里，所述应用程序是用于描述将被所述程序执行装置100执行的处理的数据。所述程序存储部分110除了存储所述操作系统(OS)和所述应用程序之外，还存储由所述程序获得部分120获得的所述应用程序。所述程序执行部分130在所述操作系统的基础上解释和执行所获得的应用程序。

所述存储器部分150和160具有存储数据的功能。所述程序执行部分130可以识别存储器部分150和存储器部分160。所述存储器部分150和160实际上可以作为两个独立的存储器部分提供，或者也可以通过使用地址或文件系统将一个存储器单元逻辑地划分为两个部分。

所述程序执行部分130解释一个应用程序并执行在该应用程序中所描述的处理。所述程序执行部分130通过在所述操作系统的基础上执行所述应用程序实现各种功能。由所述应用程序提供的功能是游戏、办公室工作、地图显示或数据服务等。另外，下面示出了由所述程序执行部分130执行的处理的例子：

(1)经过所述通信部分140与一个外部单元的通信处理；

(2)从和向所述存储器部分150读出和写入的处理；

(3)从和向所述存储器部分160读出和写入的处理；

(4)通过所述程序执行装置100的用户从所述输入部分(未示出)的输入处理；

(5)在显示部分(未示出)上向所述程序执行装置100的用户显示的输出处理。

下面将详细描述所述程序执行装置100的每个部分的功能。所述程序获得部分120响应经过所述输入部分来自所述用户的规定或来自执行一个应用程序的所述程序执行部分或一个特定单元的规定经过所述通信部分140和网络50从所述服务器200中获得一个应用程序。这里，在这种情况下的所述特定单元是指除了所述程序执行装置100以外的单元。所述程序存储部分110存储所获得的应用程序。

所述程序执行部分130在所述操作系统的基础上解释和执行特定的应用程序。应当说明，所述应用程序是通过所述程序获得部分120得到的并被存储在所述程序存储部分110中，或者所述应用程序可以被直接施加到所述程序执行部分130上。

图3详细示出了所述程序执行部分130的结构。参看图3，所述程序执行部分130由一个程序解释和执行部分131、一个处理执行允许/禁止确定部分132和一个状态存储部分133组成。所述程序解释和执行部分131在所述操作系统的基础上解释所述应用程序并执行在所述应用程序中描述的处理。所述处理执行允许/禁止确定部分132每当解释所述处理时确定允许或禁止执行在所述程序中描述的每个处理。所述状态存储部分133具有一个用于指出所述应用程序在执行过程中状态的标记(未示出)。利用所述处理执行允许/禁止确定部分132置位或复位所述标记。

所述程序执行部分130保证绝对不会在同一个程序中执行“通信处理和向存储器部分150的写入处理”和“从存储器部分160的读出处理”。此后，所述通信处理和向存储器部分150的写入处理被称之为处理组A，以及从存储器部分160中的读出处理被称之为处理组B。

在所述程序执行部分130中，程序解释和执行部分131解释所述应用程序，所述执行允许/禁止确定部分132在所述标记的基础上确定所述处理中的每一个是否被允许执行。当所述处理被确定为允许执行时，所述程序解释和执行部分131执行所述处理。相反，当所述处理被确定为禁止时，所述执行允许/禁止确定部分132禁止执行所述应用程序，并且所述程序解释和执行部分131停止所述应用程序的执行。取而代之的是，所述程序执行部分130执行一个预定的程序。所述预定程序的例子是显示一个误差对话。当所述处理被确定为不能允许时，不执行任何处理。

图4示出了由所述执行允许/禁止确定部分132执行的确定处理的流程。这里，在所述状态存储部分133中管理表示所述应用程序执行状态(状态数据)的所述标记(未示出)。所述标记采用“没有设置”或“0”、“1”和“2”三种值中的一个。所述标记值的最初状态是“没有设置”。

下面将结合图4描述在所述操作系统的基础上由所述执行允许/禁止确定部分132执行的确定处理。所述确定处理是所述操作系统的一部分。

所述执行解释和执行部分131解释所述应用程序的处理并将解释结果通知给执行允许/禁止确定部分132。首先，执行允许/禁止确定部分132检查所解释的处理是否是“通信处理或向所述存储器部分150的写入处理”，即所述处理组A的处理(步骤S11)。当它在步骤S11确定所解释的处理不是所述处理组A的任何一种处理(步骤S11：否)时，所述执行允许/禁止确定部分132检查所解释的处理是否是“从所述存储器部分160中的读出处理”，即所述处理组B的处理(步骤S12)。当它在步骤S12确定所解释的处理不是处理组B中的任一处理(步骤S12：否)时，所述执行允许/禁止确定部分132确定所解释处理的执行被“允许”(步骤S13)，然后结束所述确定处理。

当在步骤S11确定所请求的处理是所述处理组A的一个处理(步骤S11：是)时，所述执行允许/禁止确定部分132参考所述状态存储部分133确定所述状态标记是否是“1”(步骤S14)。当在步骤S14确定所述标记是“1”(步骤S14：是)时，所述执行允许/禁止确定部分132确定所解释处理的执行“不被允许”(步骤S18)，然后结束所述确定处理。

当在步骤S14确定所述标记不是“1”(步骤S14：否)时，所述执行允许/禁止确定部分132将所述标记的值设置为“2”，并确定所解释处理的执行被允许(步骤S13)，然后结束所述确定处理。

当在步骤S12确定所解释的处理是处理组B中的一个处理时(步骤S12：是)，所述执行允许/禁止确定部分132参考所述状态存储部分133检查所述状态标记是否是“2”(步骤S16)。当在步骤S16确定所述标记是“2”(步骤S16：是)时，所述执行允许/禁止确定部分132确定不允许执行所请求的处理(步骤S18)，然后结束所述确定处理。当在步骤S16确定所述标记不是“2”(步骤S16：否)时，所述执行允许/禁止确定部分132将所述标记的值设置为“1”，并确定允许执行所请求的处理(步骤S13)，然后结束所述确定处理。

在上述的处理中，所述执行允许/禁止确定部分132保证所述处理组A的处理和所述处理组B的处理绝对不会在同一个程序中执行。应当注意，在开始所述应用程序的情况下，在上述的步骤中，所述程序执行部分130可以在来自一个外部单元的输入或附加到所述应用程序的数据的基础上最初将所述标记的值设置为“1”或“2”。在这种情况下，在所述确定处理中，步骤S15和步骤S17中的至少一个有时是不需要的。

图5示出了由所述程序获得部分120从服务器200获得并由所述程序执行部分130执行的程序C的执行情况、在所述状态存储部分133中所述标记的值以及所述执行允许/禁止确定部分132的执行允许/禁止数据。除了属于处理组A的所述通信处理和向所述存储部分150的写入处理以外，所述程序C还包含属于处理组B的从所述存储器部分160中读出的处理。

在最初时间，所述标记为“0”。当要执行除处理组A和处理组B以外在图5中表示为空白的处理时，在图4所示步骤S11和S12中将所述处理确定为否(NO)，并允许和执行所述处理(步骤S13)。接着，当要执行所述通信处理时，在图4所示的步骤S11将所述通信处理确定为是。此时，所述标记为“0”。因此，所述通信处理在步骤S14被确定为否(NO)和所述标记被设置为“2”(步骤S15)。由此，所述通信处理被允许并执行(步骤S13)。

当要执行除处理组A和处理组B以外被表示作后续空白的处理时，在步骤S11和S12所述处理被确定为否(NO)和所述处理被允许并执行(步骤S13)。接着，当要执行向所述存储部分150的写入处理时，在步骤S11所述处理被确定为是(YES)。由于所述标记是“2”，所述处理被允许并执行。此时，标记的值“2”没有变化(步骤S15，S13)。

利用这种方式执行所述处理。当要执行属于处理组B的从所述存储器部分160中的读出处理时，所述读出处理在步骤S12被确定为是(YES)并且参考在步骤S16中的所述标记。此时，由于所述标记是“2”，所述读出处理在步骤S16被确定为是(YES)和不被允许(步骤S18)。因此，不执行从所述存储器部分160的读出处理。从现在开始，产生一个误差并停止所述程序C。

即，应用程序C包含处理组A和处理组B。因此，所述应用程序C被认为是一个有意地读出所述存储器部分160中的个人数据并泄露给所述服务器的程序。所述程序执行部分130可以避免执行所述应用程序C。

图6示出了由所述程序获得部分120从服务器200中获得并由所述程序执行部分130执行的另外一个程序A的处理的执行情况、所述标记和执行允许/禁止数据。如图所示，所述程序A包含属于处理组A的处理的一个通信处理和一个向所述存储器部分150的写入处理，但不包含属于处理组B的处理的从所述存储器部分160的读出处理。

另外，图7示出了由所述程序获得部分120从服务器200中获得并由程序执行部分130执行的另一个程序B的处理、所述标记以及执行允许/禁止数据。在图6和7中假设所述标记的初始值是“0”。

图6所示的应用程序包含处理组A的处理，但不包含处理组B的处理。另外，图7中的程序B包含处理组B的处理，但不包含处理组A的任一处理。因此，可以使用所述程序执行部分130执行这两种应用程序。所述应用程序A和B可以作为独立的应用程序由所述程序获得部分120从所述服务器200中获得或下载，并被作为所述应用程序A和B分别存储在所述程序存储部分110中。所述程序执行部分130首先执行包含所述通信处理的应用程序A，然后执行程序B。应用程序A和B可以被同时并行执行。

下面将结合图8、9和10描述在限制所述内部个人数据泄露的同时由所述应用程序有效使用在所述服务器中的外部数据和所述内部个人数据的可能性。在图8、9和10中，与图2所示相同的组件具有相同的标号。图8示出了不能执行所述处理组B的程序执行装置100。图9示出了不能执行处理组A的程序执行装置100。应当注意，图8和9示出的所述个人数据170除了包含存储在所述存储器部分160中的数据以外，还包含由所述个人数据产生部分180产生的数据。由所述个人数据产生部分180产生的所述个人数据的例子是所述用户的当前位置数据、用于表示健康状态的所述用户的血压和脉搏等。

利用这种方式，所述程序执行部分130执行包含处理组A的处理的应用程序以便执行所述通信处理和向所述存储器部分150的写入处理。但是，不执行所述处理组B的处理。另外，所述程序执行部分130执行包含处理组B的处理的应用程序，以便执行个人数据170的读出处理。但是，不执行处理组A的处理。由此，实际使所述专用控制变成可能。图10示出了这个状态。通过使用所述应用程序A和所述应用程序B，能够在避免泄露所述内部个人数据的同时有效使用所述外部数据和所述内部个人数据。即，在所述两个应用程序的应用程序A中，执行与服务器200的通信处理以便从所述服务器中获得数据，所获得的数据被存储在所述存储器部分150中。在另一个应用程序B中，对存储在所述存储器部分150中的数据和存储在所述存储器部分160的内部个人数据执行读出处理。在这种情况下，应用程序A和应用程序B中的每一个都执行仅仅与所述应用程序A和应用程序B中的一个对应的处理。

所述应用程序A和B可以由所述服务器提供，或者所述应用程序中的一个可以被预先存储在所述程序执行装置中。另外，两个标记被提供用于所述应用程序A和B。应当注意，当所述标记的初始状态可以被设置给所述应用程序时，分别将设置给所述应用程序A的标记设置为“2”，并且将设置给所述应用程序B的标记被设置为“1”。因此，如果所述程序执行装置执行从所述服务器中获得的应用程序A和B，那么，可以执行将所述服务器中的所述外部数据存储到所述应用程序A中的所述存储器部分150中的处理、将所述外部数据存储到所述存储器部分150中和将所述内部数据存储到所述存储器部分160中或由所述应用程序B中的个人数据产生部分180产生的处理。

利用这种方式，可以在所述程序执行装置中实现使用所述外部数据和所述内部个人数据两者的所述程序。例如，存储在所述程序执行装置中的所述用户的个人日程数据和从所述服务器提供的未来几天的天气预报数据可以被结合在一起以显示一个日历屏幕。在这个处理中，所述应用程序A与所述服务器通信以便获得所述天气预报数据并将其存储在所述存储器部分150中。所述应用程序B读出存储在所述存储器部分160中的所述日程数据并读出存储在所述存储器部分150中的天气预报数据。由此，所述程序执行部分130向所述用户提供一个通过组合所述数据而获得的日历屏幕显示。

如上所述，在所述程序执行装置100中，可以保证处理组A的处理和处理组B的处理决不会在同一个程序中一起执行。因此，它保证了存储在所述存储器部分160中的所述内部个人数据不会被泄露。由于这个原因，通过不将所述内部个人数据存储在所述存储器部分150中而是存储在所述存储器部分160中，可以保证避免所述内部个人数据的泄露。在这种方式下，通过如上所述组合和使用所述两种应用程序，可以执行其中所述外部数据和所述内部个人数据都被使用的所述处理。

下面将详细描述根据本发明第二实施例的服务器系统。该第二实施例在所述程序执行部分130的内部结构和操作方面不同于所述第一实施例。在第二实施例中，所述系统结构、所述程序执行装置的结构以及每个部分的功能与图2所示第一实施例的这些部分相同。

下面将详细描述所述程序执行部分130的结构和操作。图11示出了第二实施例中程序执行部分130的详细结构。在图11中，程序执行部分130由程序解释和执行部分(A)135和程序解释和执行部分(B)136以及选择部分134组成，前两者都具有解释应用程序并执行在所述应用程序中描述的处理的功能，而后者用于选择将被用于执行所述应用程序的所述程序解释和执行部分135和136中的一个。

所述程序解释和执行部分135和136的每一个解释所述应用程序，确定将被执行的处理和执行该处理。但是，程序解释和执行部分135不执行处理组B的任何处理，而程序解释和执行部分136不执行处理组A的任何处理。选择部分134选择程序解释和执行部分135和程序解释和执行部分136中的一个来执行一个特定的程序。如果选择的结果是唯一的，那么，选择所述程序解释和执行部分的方法可以是任选的方法。在选择方法的一个例子中，选择部分134首先按照顺序解释所述特定的应用程序，当在其中包含所述处理组A的处理时，选择程序解释和执行部分A135，而在除此以外的其他情况时选择程序解释和执行部分B。

另外，在另一个例子中，参考所述应用程序的属性，并且根据所述属性来选择所述程序解释和执行部分。在这种情况下，服务器200将所述属性添加道所述应用程序上以提供所述应用程序，所述应用程序获得部分利用所述属性获得所述应用程序。

图12和13的流程示出了程序解释和执行部分135和136的操作。即，程序解释和执行部分135被允许执行除从所述存储器部分160的读出处理以外的处理(步骤S21、S22)。从存储器部分160中的读出处理是不允许的(步骤S21、S23)。另外，程序解释和执行部分136被允许执行除通信处理和向存储器部分150的写入处理以外的处理(步骤S31、S32)。所述通信处理和向存储器部分150的写入处理是不允许的(步骤S31、S33)。

利用上述结构，可以在程序解释和执行部分135或程序解释和执行部分136中执行一个应用程序。所述程序解释和执行部分135和136的每一个都不具有既能执行处理组A又能执行处理组B的功能。因此，可以保证决不会在相同的程序中执行处理组A的处理和处理组B的处理。

应当注意，如果能够保证在所述程序解释和执行部分中仅仅执行属于处理组A的处理和属于处理组B的处理中的一个，那么，可以任选实现在所述程序执行部分130中的程序解释和执行部分135和程序解释和执行部分136的方法。例如，存在使用一个预先准备的程序库执行一个应用程序的方法。在其中所述应用程序使用所述程序库的方法的情况下，可以提供两个程序库以便其中每一个具有仅仅可以执行处理组A或处理组B的功能，并且一个单一的程序解释和执行部分可以选择地使用所述两个程序库。另外，为了使用所述两个应用程序，必须将所述两个应用程序链接到共享存储器部分150。这个链接操作是根据所述两个应用程序执行之前由所述用户在所述操作系统上以所述两个应用程序的规范执行的。

在图2所示的实施例中，假设处理组B包含从存储器部分160的读出处理。但是，当存在所述用户不希望泄露的其他内部个人数据的参考处理时，在可由程序执行部分130执行的处理中，所述参考处理可以被添加到处理组B中。这种情况的例子是图8到图10所示的个人数据170。这里，所述内部个人数据包含在程序执行装置100中的数据和能够经过程序执行装置100被外部单元系统参考的数据。例如，当所述用户具有与所述程序执行装置100一起的全球定位系统(GPS)时，所述内部个人数据是GPS数据。

存在下述情况，即，由所述GPS获得的位置数据涉及所述用户的隐私。所述用户不希望该GPS数据被泄露出去。在这种情况下，通过将“从全球定位系统的位置数据获得处理”添加到处理组B中，可以保证能够避免泄露所述GPS数据。此外，程序执行装置100可以具有一种功能以便允许所述用户添加来自外部的处理组B的处理。由此，可以建立所述用户允许泄露的数据。例如，当程序执行装置100能够使用所述全球定位系统时，通过将“获得精确度为1公里或更高的位置数据的处理”添加到所述处理组B中可以避免泄露精确位置数据。

另外，在上述的实施例中，在处理组A中的“所述通信处理和向存储器部分150的写入处理”和在处理组B中的“从存储器部分160的读出处理”被作为示例。但是，当从所述程序执行装置100中省略存储器部分150时，可以使用在处理组A中的“通信处理和向存储器部分160的写入处理”和在处理组B中的“从存储器部分160的读出处理”。即，如果存储器150和存储器部分160是通用的，并且该通用存储器是一个不允许读出处理的写允许存储器，那么，在这种情况下是非常有效的。在这种情况下，执行通信处理的应用程序被设置为某种状态，在该状态下，所有的内部个人数据都不能够被访问，包括被允许泄露的内部数据。但是，所述系统的结构可以被简化。

如果一个操作过程被作为所述程序预先存储在一个存储媒体(未示出)中，那么，可以通过使用CPU或计算机读出所述程序来实现上述程序执行装置100的每个处理操作。

如上所述，根据本发明，当所执行的程序包含用户不希望被泄露的数据参考处理以及与一个外部单元的通信处理时，在所述参考处理和所述通信处理之间保证一个专用控制。可以保证避免将所述用户不希望外泄的数据泄露出去。另外，具有如下的效果，即，可以通过所述程序执行使用在服务器中的外部数据和在所述程序执行装置中的内部数据的处理。

Claims (18)

1.一种程序执行装置，包括：

第一存储器部分，用于存储被允许外泄的数据；

第二存储器部分，用于存储用户的保密数据；

通信部分，用于和一个外部单元通信；

程序存储部分，用于存储至少一个应用程序；

程序执行部分，用于解释和执行所述应用程序，并在解释所述应用程序的同时，检查所述保密数据被泄露给所述外部单元的可能性，并且当它确定存在所述保密数据外泄的可能性时停止执行所述应用程序。

2.根据权利要求1所述的程序执行装置，其特征在于，所述程序存储部分存储一个操作系统，以及

所述程序执行部分在所述操作系统的基础上运行以便解释和执行所述应用程序，在解释所述应用程序的同时，检查所述保密密数据外泄给所述外部单元的可能性，并且当确定存在所述保密数据外泄的可能性时停止执行所述应用程序。

3.根据权利要求1所述的程序执行装置，其中，还包括：

个人数据产生部分(180)，用于产生所述用户的个人数据；以及

所述保密数据包括所产生的个人数据。

4.根据权利要求1到3中任何一个所述的程序执行装置，其特征在于，所述保密数据被泄露给所述外部单元的可能性的检查以所述应用程序是否包含与所述外部单元的通信处理或在所述第一存储器部分中写入数据的处理和从所述第二存储器部分中读出所述保密数据的处理为基础。

5.根据权利要求4所述的程序执行装置，其特征在于，所述程序执行部分包括：

状态存储部分(133)，用于存储所述应用程序状态数据，所述状态数据最初被设置为第一数据；

解释和执行部分(131)，用于解释和执行所述应用程序；以及

执行允许/禁止确定部分(132)，用于当将被执行的处理是与所述外部单元的通信处理或向所述第一存储器部分的写入数据的处理时将所述状态数据设置为第二数据、当将被执行的处理是从所述第二存储器部分读出所述保密数据的处理时将所述状态数据设置为第三数据，每当解释所述应用程序的每个处理时检查所述状态数据，以及当将被执行的处理是与所述外部单元的通信处理或向所述第一存储器部分写入所述数据的处理时，如果所述状态数据是所述第三数据、和当将被执行的处理是从所述第二存储器部分读出所述保密数据的处理时，如果如果所述状态数据是所述第二数据，则停止执行所述应用程序。

6.根据权利要求4所述的程序执行装置，其特征在于，经过所述通信部分和一个通信信道从所述外部单元获得所述应用程序。

7.根据权利要求6所述的程序执行装置，其特征在于，所述程序执行装置是一个移动终端，以及

所述应用程序是经过所述通信部分和无线通信信道从所述外部单元获得的。

8.根据权利要求4所述的程序执行装置，其特征在于，所述程序存储部分存储包括第一和第二应用程序的多个应用程序，

所述第一应用程序包含与所述外部单元通信处理或向所述第一存储器部分写入所述数据的处理，但不包含读出所述保密数据的处理，

所述第二应用程序包含所述保密数据的读出处理，但不包含与所述外部单元的通信处理或向所述第一存储器部分写入数据的处理，

所述程序执行部分执行所述第一和第二应用程序中的一个以便使用在另一个基础上操纵的数据，从而显示在所述第一应用程序基础上操纵的所述数据和在所述第二应用程序基础上操纵的所述数据的结合。

9.根据权利要求4所述的程序执行装置，其特征在于，所述程序存储部分存储多个应用程序，

所述程序执行部分包括；

第一部分(135)，用于解释和执行所述应用程序；

第二部分(136)，用于解释和执行所述应用程序；以及

选择部分(134)，用于解释所述应用程序以便确定所述应用程序是否包含与所述外部单元通信的处理或向所述第一存储器部分写入数据的处理，或读出所述保密数据的处理，当所述应用程序包含与所述外部单元的通信处理或向所述第一存储器部分写入数据的处理时，将所述应用程序分配给所述第一部分，并且当所述应用程序包含读出所述保密数据的处理时，将所述应用程序分配给所述第二部分。

10.一种在终端中使用的程序执行方法，包括如下步骤：

(a)解释和执行多个应用程序中的每一个；

(b)在解释所述应用程序的同时，检查所述终端中用户保密数据被泄露给外部单元的可能性，第一存储器部分存储被允许外泄的数据，第二存储器部分存储所述保密数据；以及

(c)当确定存在所述保密数据外泄的可能性时停止执行所述的应用程序。

11.根据权利要求10所述的程序执行方法，其特征在于，所述步骤(a)到(c)是在所述终端中的一个操作系统的基础上执行的。

12.根据权利要求10所述的程序执行方法，还包括下述步骤：

产生作为所述保密数据一部分的所述用户的个人数据。

13.根据权利要求10到12中任何一个的程序执行方法，其特征在于，检查步骤(b)包括下述步骤：

检查所述应用程序是否包含与所述外部单元的通信处理或向所述第一存储器部分写入数据的处理；以及

检查从所述第二存储器部分读出所述保密数据的处理。

14.根据权利要求13所述的程序执行方法，其特征在于，检查步骤(b)包括如下步骤：

当所述应用程序将被执行的处理是与所述外部单元的通信处理或向所述第一存储器部分写入数据的处理时，将状态数据设置为第二数据，所述状态数据用于指明所述应用程序的状态，并且最初被设置为第一数据；

当将被执行的处理是从所述第二存储器部分读出所述保密数据的处理时，将所述状态数据设置为第三数据；

每当解释所述应用程序的每个处理时检查所述状态数据；以及

当将被执行的处理是与所述外部单元的通信处理或向所述第一存储器部分写入数据的处理时，如果所述状态数据是所述第三数据，并且当将被执行的处理是从所述第二存储器部分读出所述保密数据的处理时，如果所述状态数据是所述第二数据，则停止执行所述应用程序。

15.根据权利要求13所述的程序执行方法，其特征在于，所述应用程序是经过一个通信信道从所述外部单元获得的。

16.根据权利要求15所述的程序执行方法，其特征在于，所述终端是一个移动终端；以及

所述应用程序是经过一个无线通信信道从所述外部单元获得的。

17.根据权利要求13所述的程序执行方法，其特征在于，所述多个应用程序包括第一和第二应用程序，利用这些应用程序，所述第一存储器部分的存储区域共享特定数据，

所述第一应用程序包含与所述外部单元通信的处理，用于获得所述特定数据并将所述特定数据写入到所述第一存储器部分的共享存储区域中，但是不包含从所述第二存储器部分中读出所述保密数据的处理，

所述第二应用程序包含从所述第二存储器部分中读出所述保密数据和从所述第一存储区域的共享存储区域中读出所述特定数据的处理，但不包含与所述外部单元的通信处理或在所述第一存储器部分中写入任何数据的处理，

在所述第二应用程序的基础上显示所述特定数据和所述保密数据的组合。

18.根据权利要求13所述的程序执行方法，其特征在于，所述终端包括第一和第二部分，

所述方法还包括下述步骤：

解释所述应用程序以便确定所述应用程序是包含与所述外部单元的通信处理或在所述第一存储器部分中写入数据的处理，还是包含从所述第二存储器部分中读出所述保密数据的处理；

当所述应用程序包含与所述外部单元的通信处理或在所述第一存储器部分中写入数据的处理时，将所述应用程序分配给所述第一部分，以便使所述第一部分针对所述应用程序执行所述步骤(a)到(c)；以及

当所述应用程序包含从所述第二存储器部分中读出所述保密数据的处理时，将所述应用程序分配给所述第二部分，以便使所述第二部分针对所述应用程序执行所述步骤(a)到(c)。

Images