CN1675620A

CN1675620A - 服务安全扩充平台

Info

Publication number: CN1675620A
Application number: CNA038190281A
Authority: CN
Inventors: 片冈充照
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 2002-06-12
Filing date: 2003-06-11
Publication date: 2005-09-28
Anticipated expiration: 2023-06-11
Also published as: CN1327343C; WO2003107182A1; EP1521174A4; US20050216921A1; US7421713B2; JPWO2003107182A1; EP1521174A1

Abstract

本发明的目的是，提供可扩充服务的全新服务安全扩充平台，能排除实现数字内容提供服务的执行形式的不正当访问，而无需否定执行形式包含引起不正当访问的处理。该服务安全扩充平台(SEP)建立服务(S)与执行形式(DE)的对应关系，利用所述执行形式(DE)的改变或添加达到所述服务(S)的扩充，其中具有进行服务扩充的服务依赖性API，而且仅由服务依赖性API的调用进行来自执行形式(DE)的服务的扩充。

Description

服务安全扩充平台

技术领域

涉及可扩充服务的全新“服务安全扩充平台”，实现新水平的安全性，达到排除实现数字内容提供服务的执行形式的不正当访问，而无需否定执行形式包含引起不正当访问的处理。详细而言，涉及一种服务安全扩充平台，能排除以其它服务的状态变化、数据破坏和平台本身的系统故障为代表的不正当访问，无需根据执行形式散发源的概率进行推测，同时还能利用执行形式的改变或添加达到服务功能/各项指标的改变或添加新服务的服务扩充。

背景技术

如上所述，本发明提供的是以往没有的全新提供的“服务安全扩充平台”，举出应作为已有技术示出的适当例子，非常困难。因此，首先在下面阐述相信是本发明首先提倡的服务安全扩充平台固有的3个主要特征。第1特征是服务的扩充性，第2特征为确保安全性，第3特征是服务扩充操作无缝化。

第1特征“服务的扩充性”是指每一服务具有不同的用户接口，可在任意的时刻改变用户接口或添加未预料的服务。第2特征“确保安全性”是指确保安全，而无需否定执行形式包含引起不正当访问的处理。第3特征“服务扩充操作无缝化”是指可根据与利用服务时相同的操作感进行服务扩充用的操作步骤。

综上所述，已有技术中不能找到完全满足这3个主要特征的“服务安全扩充平台”。然而，免强而言，作为仅满足第1特征的，可举出利用个人计算机且基于互联网的推型服务，作为一例已有技术。Pointcast网络公司的Pointcast(R)是实现新闻分配服务的推型服务。使用个人计算机的多个推型服务，其利用可对个人计算机装配每一服务安装用机器语言记述的浏览器。

这里说明推型服务中的本发明第1特征：“服务的扩充性”。可通过在个人计算机的硬盘装配实现推型服务的浏览器，添加新服务。浏览器是用机器语言记述的计算机程序，提供每一服务固有的各自不同的用户接口。

以往进行浏览器的装配如下。例如，装配浏览器时，首先预先启动文件传送协议(例如ftp)的客户机，将浏览器下载到客户机的硬盘等，接着启动下载的浏览器，从而实现该装配。还在利用新浏览器前，用编入浏览器的设定菜单进行操作，实现浏览器的设定。

关于作为本发明第2特征的“确保安全性”，以往只是基于臆测，并非具有具体方案的保证。也就是说，以往由于浏览器从正式主页等正规发布处获得，浏览器安全只不过希望应该不让有恶意的第3者感染计算机病毒。

关于意味着服务的高级提示功能的本发明第3特征：“服务扩充操作无缝化”，以往的技术中，通过每一服务改变浏览器，实现不同的用户接口。因而，为了构成部分操作无缝化，满足对所需多个服务具有不同的用户接口的必要条件。

参照图18具体说明上述可扩充服务但不安全的以往的服务平台。如该图所示，以往的服务平台PF c包含服务提供源1610、传送系统120和终端1630。服务提供源1610包含执行文件提供器1111和文件传送服务器1611。执行文件提供器1111可以是存放执行文件的硬盘装置。文件传送服务器1611可以是万维网服务器。执行文件是指以直接传给终端1630的OS执行的程序文件为代表的二进制数据，后面参照图19说明。

传送系统120将服务提供源1610送来的执行文件往空间上或时间上分开的终端1630传送。

终端1630包含执行器1133和执行文件存放器1132。执行器1133通过启动执行文件存放器1132存放的执行文件，执行终端1630的全部处理。例如，作为执行文件，启动文件传送程序时，将通过传送系统120接收的、实现新服务的执行文件存放到执行文件存放器1132。执行实现服务的执行文件，则能给用户提供服务。

图19示出服务平台PFc中存放在执行文件存放器1132的数据的例子。将提供进行执行文件启动等平台操作的用户接口的外壳(shell)的执行文件FE(shell)、作为经传送系统120把实现新服务的执行文件FE导入到终端1630的文件传送程序的FE(文件传送)与作为服务S1的执行文件的FE(S1)和作为服务S2的执行文件的FE(S2)并行地存放在执行文件存放器1132内。这些执行文件都按机器语言加以装配。

图20示出服务平台PF c的软件层。读取该图可知，服务平台PF c中，能通过启动文件传送执行文件新导入一切服务。这样，紧接在OS(操作系统)构成的OS层的上方，由执行文件构成应用层。结果，实现服务的执行文件能够又直接参考OS资源，又进行操作。因此，OS对有恶意的执行文件无防备，因而无论如何不能说服务平台PFc安全。

关于本发明第1特征：“服务的扩充性”，以往可单纯导入新服务，但不可能导入本发明提供的内容视听和无缝化的新服务。即，内容视听和新服务导入的操作性，其表观和步骤都完全不同。例如，以往在装配浏览器时，启动文件传送协议的客户机，将浏览器下载到客户机的硬盘等，接着必须启动下载的浏览器。还在利用新服务前，必须对浏览器的设定操作与浏览器内容视听画面完全不同的使用方法的设定菜单。

以往对全部服务用共用的用户接口进行功能扩充。因此，为了扩充服务，装配浏览器时需要的各种参数(装配处的目录和用户名等)的输入等于全部服务所需的参数的和集合。这样，为了装配特定服务扩充程序，有时一直查找用户，连原来不需要的参数也输入。

反之，本发明的服务安全扩充平台提供的服务灵活扩充性可不终止浏览器，不按照与内容视听完全不同的使用方法的步骤，始终在与内容视听相同操作的使用方法中进行服务扩充。即，达到的状况为：不强行要求用户操作仅用于服务扩充的专门使用方法，而以和用户会最熟习的内容视听相同的使用方法扩充服务，如同通常操作方法的延伸。然而，如上文所述，以往的服务平台不能这样提供扩充性，所以求得全新服务扩充实现方法。

关于作为本发明第2特征的“确保安全性”，现实以下的状况不少：从正规发布处获得的浏览器也因故障而给其它推型服务的运作施加不良影响，或使整个系统停机。因此，以往浏览器的二进制元具有正当性，即需要保证至少浏览器的二进制元会不包含不正当访问的处理。然而，该保证毕竟基于致信关系，并非确实做成浏览器的二进制元不包含不正当访问处理。

反之，本发明的服务安全扩充平台提供的安全性是全新水平的安全性，任何执行形式的执行都不引起对其它服务的不良影响或整个系统停机。已有技术中不存在这种方式，因而求得全新实现方法。

关于作为本发明第3特征的实现高级提示功能的“服务扩充操作无缝化”，已有技术不可能使服务管理和内容视听无缝化。其原因在于，用浏览器的设定菜单进行服务管理。即，不能在内容的视听画面上进行有关服务管理的操作。

反之，本发明的服务安全扩充平台提供的服务高级提示功能在内容中包含服务设定，因而可在与内容视听相同的使用方法中具有包含内容的高级表现，而且可从服务器自由设定提示内容。

例如在使用调查中进行记述并对服务器反馈回答的高级记述能力的内容中组合用户设定功能，回答调查中用户有兴趣的内容，从而能实现高级提示功能，自动设定进行内容取舍选择用的用户嗜好信息。对用户而言，也能用简单操作进行高级设定，无需意识到何处为内容，何处为内容设定。

当然，已有技术中不存在实现本发明服务安全扩充平台提供的服务高级提示功能的方式，因而求得全新的实现方法。

于是，本发明的目的为：提供一种实现上述3个特征的服务安全扩充平台。

发明内容

为达到上述目的本发明具有下面阐述的特征。

第1方面是一种服务安全扩充平台，其特征在于，建立服务与执行形式的对应关系，利用执行形式的改变或添加达到服务的扩充，其中具有进行服务的扩充的服务依赖性API，而且仅由服务依赖性API的调用进行来自执行形式的服务的扩充。

如上文所述，第1方面中，能确保不依赖执行形式正当性的安全性。

第2方面在第1方面中，其特征在于，服务扩充是新设新的服务。

第3方面在第1方面中，其特征在于，服务扩充是启动服务利用。

第4方面在第1方面、第2方面和第3方面的任一方面中，其特征在于，仅由来自与关注的服务对应的执行形式的服务依赖性API调用进行关注的服务扩充。

第5方面在第1方面、第2方面和第3方面的任一方面中，其特征在于，在服务之间定义母子关系，执行形式请求的服务依赖性API调用将服务对应的服务依赖性资源指定为处理对象时，仅在执行形式对应的服务为服务的母服务的情况下，可对服务依赖性资源进行处理。

第6方面在第1方面、第2方面和第3方面的任一方面中，其特征在于，元服务对应的执行形式可利用服务依赖性API扩充至少一个服务。

第7方面在第6方面中，其特征在于，元服务对应的执行形式可利用服务依赖性API扩充全部服务，不与元服务对应的执行形式(DE)不能利用服务依赖性API扩充服务。

第8方面在第1方面、第2方面和第3方面的任一方面中，其特征在于，执行形式是满足作为内容应满足的条件的控制内容(DC)，将控制内容(DC)与至少一个内容一起作为内容传送，并且传送从至少一个内容指定控制内容(DC)的信息，可仅由所控制内容进行服务依赖性API的处理。

第9方面在第8方面中，其特征在于，由服务依赖性API控制特定的服务的内容(DC)的自动存放。

第10方面在第1方面、第2方面、第3方面、第4方面、第5方面、第6方面、第7方面、第8方面和第9方面的任一方面中，其特征在于，对至少一个服务提供部发送执行形式，并且在执行该执行形式的至少一个终端进行接收。

本方面的一实施方式中，不终止浏览器，不按照与内容视听完全不同的使用方法的步骤，始终在操作与内容视听相同的使用方法中进行服务扩充。即，可达到的状况为：不强行要求用户操作仅用于服务扩充的专门使用方法，而在和用户会最熟习的内容视听相同的使用方法中(可以说在任何期间)扩充服务。

而且，能达到全新水平的安全性，任何执行形式(与已有例中的浏览器对应)的执行都不引起对其它服务的不良影响或整个系统停机。

又，在不同的实施方式中，其功能为：通过内容中包含服务设定，可在与内容视听相同的使用方法中具有包含内容的高级表现，而且能从服务器自由设定提示内容。于是，对用户而言，能以简单的操作进行高级设定，无需意识到何处为内容，何处为服务设定。

附图说明

图1是以图解方式示出本发明实施方式1的服务安全扩充平台的组成的框图。

图2是示出图1所示服务安全扩充平台的标识化执行形式存放器存放的标识化执行形式的说明图。

图3是图1所示服务安全扩充平台的服务依赖性资源管理器管理的服务依赖性资源管理表的说明图。

图4是示出图1所示服务安全扩充平台的服务依赖性资源管理器的新服务登记管理运作的流程图。

图5是示出图1所示服务安全扩充平台的终端的服务执行运作的流程图。

图6是示出图1所示服务安全扩充平台的终端的软件层的说明图。

图7是示出图1所示服务安全扩充平台对用户提示的画面例的说明图。

图8是以图解方式示出本发明实施方式2的服务安全扩充平台的组成的框图。

图9是示出图8所示服务安全扩充平台的标识化执行形式存放器存放的标识化执行形式以及元服务执行形式的说明图。

图10是示出图8所示服务安全扩充平台的终端的服务执行运作的流程图。

图11是以图解方式示出本发明实施方式3的服务安全扩充平台的组成的框图。

图12是示出图11所示服务安全扩充平台的标识化执行形式存放器存放的标识化执行形式和母子标识化执行形式的说明图。

图13是示出图11所示服务安全扩充平台的终端的服务执行运作的流程图。

图14是以图解方式示出本发明实施方式4的服务安全扩充平台的组成的框图。

图15是图14所示服务安全扩充平台的内容存放器存放的控制内容和内容的说明图。

图16是示出图14所示服务安全扩充平台的服务依赖性资源管理器管理的服务依赖性资源管理表的说明图。

图17是示出图14所示服务安全扩充平台的终端的控制内容执行运作的流程图。

图18是以图解方式示出已有技术中的已有服务平台的组成的框图。

图19是示出图18所示服务平台的执行文件存放器存放的执行文件的说明图。

图20是示出图18所示服务平台的终端中的软件层的说明图。

最佳实施方式

首先，说明本发明服务安全扩充平台的基本概念。本发明的服务安全扩充平台中，服务不是由以往那样的OS直接执行的例如二进制执行文件，而是构成作为由对OS指示执行的执行器解释的“脚本”构成的执行形式。于是，执行形式包含API调用，并且建立与规定服务的对应关系。

API具有在调用时进行依赖于带对应关系的服务的举动的服务依赖性。服务依赖性API对与所包含执行形式建立对应关系的服务中固有的资源进行处理。将执行形式至资源的一切处理限定为通过API，而且不存在对由服务依赖性API处理的资源进行处理的服务依赖性API以外的API。执行形式内记述的成套API对全部服务相同，是共同预先准备的。

通过这样组成，确保不依赖以往的执行文件(或本发明的执行形式)的正当性的新水平的安全性，创造可扩充服务的全新“服务安全扩充平台”。该平台中，通过使作为实现服务的执行形式的一个例子的浏览器运作，能视听作为服务的接口的内容。逐次调用内容中包含的API，以实现内容的常规视听。因此，以包含作为一种API的服务依赖性API的方式构成执行形式(浏览器)。也就是说，正在视听内容的过程中，通过调用服务依赖性API扩充服务。因而，本发明中，用户可将服务扩充看作一种内容视听操作。

由包含服务依赖性API的执行形式决定扩充服务的用户接口。可通过执行形式带有与服务的对应关系，利用分别适合各服务的用户接口扩充服务。

每一服务能最优地构成扩充服务的用户接口。例如，在推型服务/储存型广播服务的情况下，在该服务的成员中，可利用常规服务内容对特定成员劝签该特定成员才可加入的收费服务合同。即，由于能根据目的必要且充分地定制用户接口，可较适当且强化地劝诱服务。

使便携式电话等利用的JAVA应用(i应用等)适应本发明，则可通过在实现用户购读的服务的应用软件记述扩充服务功能的程序，实现该服务的功能扩充。例如，能在i应用本身实现插件式扩充扫描等i应用功能的操作。

而且，在内容中包含的脚本记述内容，作为判断条件，以调用对询问进行应答并送回表示接收机型号、厂家类别的字符串的API，从而能使每一接收机型号或厂家改变用户接口。

如果适应数字广播的每次收视付费的节目，则通过在分配内容中记述适当的算法能用内容中编程的算法管理可尝试免费视听的时间和频道。在数字广播中的每一收视付费节目的情况下，可通过每一收视付费频道数据广播进行每一收视付费的签约。还可提供与促进签约关联的每一用户不同的服务，诸如仅对数据广播游戏中增加高分的用户按便宜的费用进行服务签约。

接着，通过内容中编程为执行服务依赖性API，用户对内容进行规定操作，而无损于内容记述能力，从而能对内容无缝扩充服务。

例如装配万维网浏览器的plug-in时，能在内容接收时安装plug-in，无需为了取得该plug-in的安装程序而访问该plug-in开发商的下载网页。用户不必预先熟悉万维网浏览器的plug-in的商品名，仅选择“从360度的角度看商品的活动图像”之类的内容原意说明，就能执行。

如果适应电子书本播放器或PDA，则能提供的功能在进入特定主页时，用户不知不觉中就将该主页所需的告示栏显示专用浏览器自动准备得可用。可以说能无缝地构成用于内容视听和服务扩充的用户接口。由于能利用操作性与内容操作中相同的用户接口扩充服务，用户负担小。

接着，作为逐次执行的API，添加服务依赖性API，从而执行执行形式，则与其它API相同，也逐次执行服务依赖性API。结果，也可将执行形式编程得自动执行服务扩充。通过完全自动化，能在用户无觉察中实现旅行期间的专用服务和免费试用等只限于当时的服务扩充。

例如，在电子书本播放器或PDA的情况下，可使标题附带页循环时的画面效果，并且作为只能使用该标题的收费插件提供。还能自动利用成田飞机场内的虚拟设施指南等仅在该处有意义的服务。

接着，本发明中保证不终止浏览器，不按照与内容视听完全不同的使用方法的步骤，能始终在与内容视听相同的使用方法中进行服务扩充。即提供一种环境：不强行要求用户操作仅为扩充服务准备的专门使用方法，而以和用户会最熟习的内容视听相同的使用方法，用户无需特别意识，注意到就扩充服务。

例如，在推型服务/储存型广播服务的情况下，观视器版本提升，不必熟习观视器本身的升级功能；导入别的服务，不必熟习启动万维网浏览器下载的多个用户接口的写法。

总之，需要根据内容的内涵、用户的喜好分别使用多个浏览器时，用户不必熟习各种用户接口的不同操作性。因此，不熟习的用户也能安心且方便地扩充功能。而且，视听装置出厂后，不使用户接口固定，能根据用户的使用方法，改善其操作性。

还能确保全新水平的安全性，虽然全部共用，但任何执行形式(对应于已有例的浏览器)的执行都不引起对其它服务的不良影响或整个系统停机。

实施方式1

参照图1、图2、图3、图4、图5、图6和图7说明本发明实施方式1的服务安全扩充平台。如图1所示，本实施方式的服务安全扩充平台SEP1包含服务提供源110、传送系统120和终端130。

服务提供源110发送用于实现终端130应执行新服务的执行形式。传送系统120使服务提供源110发送的信息在时间上而且/或者空间上往终端130移动。传送系统120可由互联网通信网、广播或通信的无线网或DVD-ROM(数字多功能盘片-只读存储器)等封装媒体和实体物流系统的组合构成。

终端130用通过传送系统120接收的信息执行防务提供源110提供的服务，并将执行结果供给用户。图1中，为了简化，表示成服务提供源110、传送系统120和终端130各自的台数比为1∶1∶1。然而，台数比也可以是类似于广播方式的1∶1∶c(c为任意自然数)、互联网等的a∶1∶c(c为任意自然数)或具有多个传送系统时的a∶b∶c(b为任意自然数)。这样的广义化也适用于以下阐述的全部实施方式。

服务提供源110包含执行形式提供器111、服务标识设定器112和发送器113。执行形式提供器111存放实现服务的执行形式，并根据需要进行输出。执行形式可以是互联网上用的HTML语言(超文本标记语言)、用于日本数字广播的数据广播的BML语言(广播标记语言)等SGML(标准通用标记语言)/XML(可扩充标记语言)系统的标记语言、在虚拟机上工作的Java(R)语言或机器语言等。但是，将执行形式构成通过后面说明的终端130具有的执行器传到终端130的OS执行。

服务标识设定器112对执行形式提供器111输出的执行形式DE产生表示执行形式DE的属性等从属事项的附带信息IS，同时将其授给执行形式DE，以产生标识化执行形式DEi。附带信息IS包含作为与对应的执行形式DE实现的服务建立对应关系的信息的服务标识信息Es以及表示该执行形式DE的使用条件、使用状态和对应的服务内容等信息的从属信息α。服务标识信息Es可为例如不重复的数字的ID和名称等。从属信息α可以是文本，也可以是代码。标识化执行形式DEi可以合为一体地产生执行形式DE和附带信息IS，也可以使它们相互独立地产生。本实施方式中考虑可见性，以独立产生附带IS的情况为例进行说明。

发送器113将从服务标识设定器112输入的标识化执行形式DE i(执行形式DE和附带信息IS)发送到传送系统120。实现该发送的传送模型，“拉型”和“推型”均可。

拉型所指的传送模型根据来自作为接收方的终端130的需求(demand)进行发送，使按作为用于阅览互联网主页的传送协议的HTTP(超文本传送协议)等可观看。推型所指的传送模型按规定的定时从发送方进行发送，与接收方的请求无关，使在作为用于数字广播传送的传送协议的DSM-CC(数字储存媒体命令和控制)的数据转盘式磁带等上可见。

终端130包含下载器131、标识化执行形式存放器132、执行器133、资源选择器134、普通资源管理器135和服务依赖性资源管理器136。下载器131接收传送系统120传送来的标识化执行形式DEi(执行形式DE和附带信息IS)，将接收的标识化执行形式DEi写入标识化执行形式存放器132，同时还从标识化执行形式DEi提取附带信息IS，输出到服务依赖性资源管理器136。附带信息IS包含上文所述那样用服务标识设定器112设定的服务标识信息Es。下载器131与用发送器113和传送系统120实现的传送模型匹配，用推型和拉型均可实施。

标识化执行形式存放器132存放由下载器131写入的标识化执行形式DEi(执行形式DE和附带信息IS)。标识化执行形式存放器132根据需求将存放的标识化执行形式DEi输出到执行器133。可用硬盘(HDD)和DVD-RAM等记录媒体、快速擦写存储器和RAM等半导体纪录媒体构成标识化执行形式存放器132。

图2示出本实施方式中在标识化执行形式存放器132存放标识化执行形式DE i的状况。该例中，对服务S1、服务S2至服务Sn(n为任意自然数)，使标识化执行形式DEi(S1)对应于服务S1，标识化执行形式DEi(S2)对应于服务S2，标识化执行形式DEi(Sn)对应于服务Sn。

于是，标识化执行形式DEi(S1)包含分别与服务S1对应的服务标识信息Es(S1)和从属信息α1组成的附带信息IS(S1)以及执行形式DE。具体而言，使服务标识信息Es(S1)与执行形式DE和服务S1对应。同样，标识化执行形式DEi(S2)包含分别与服务S2对应的服务标识信息Es(S2)和从属信息α2组成的附带信息IS(S2)以及执行形式DE。标识化执行形式DEi(Sn)包含分别与服务Sn对应的服务标识信息Es(Sn)和从属信息αn组成的附带信息IS(Sn)以及执行形式DE。执行形式DE利用服务标识信息Es(Sn)与服务S2建立对应关系。

不需要一个个区分服务时，将标识化执行形式DEi表现为用服务标识信息Es和从属信息α组成的附带信息IS以及DE构成。需要一个个识别服务时，将标识化执行形式DEI(So)表现为用服务标识信息Es(So)和从属信息αo组成的附带信息IS(So)以及DE构成。O为n以下的任意自然数。

返回图1，执行器133解释标识化执行形式存放器132输入的标识化执行形式DEi中包含的执行形式DE，并执行服务。但是，如上文所述，具有的特征为：标识化执行形式存放器132存放的标识化执行形式DEi中包含的执行形式DE在终端130内不用执行器133就不能解释并执行。执行器133以基于执行形式DE的步骤实现对话处理，从用户的键盘、指向设备、话音输入设备等输入设备进行输入Iu，并且对GUI画面显示和声音输出等输出设备输出。

如果执行形式DE是Java(R)语言或标记语言，执行器133可为虚拟机或一般称为浏览器的执行环境。执行形式DE是机器语言，则为附属于执行该形式用的OS的库等中间件群。

执行器133解释并执行执行形式DE时，执行形式DE包含API(应用程序接口)调用Capi的情况下，通过资源选择器134对普通资源管理器135或服务依赖性资源管理器136发布API调用Capi，请求执行处理。执行器133还将与当前执行的执行形式DE有对应关系的服务标识信息Es通知服务依赖性资源管理器136。

资源选择器134根据执行器133发布的API调用Capi判断是否对普通资源管理器135和服务依赖性资源管理器136中的一方请求API处理。对判断为受到请求的情况传达API调用Capi。API调用Capi分类为普通资源管理器135应处理的普通API(后文称为“普通API”)和服务依赖性资源管理器136应处理的API(后文称为“服务依赖性API”)。

资源是指终端130可通过执行器133参考、改变或控制的一切计算机资源。即，包含对RAM的一次记录器和HDD等二次记录器中存放的数据结构、对可控制输入输出设备的接入权和具体输入输出控制、以及通信控制等。这些资源中，将可处理得不影响其它服务的资源作为普通资源，将存在于每一服务而且扩充服务时需要的资源定义为服务依赖性资源。于是，将对普通资源的API作为普通API，将对服务依赖性资源的API定义为服务依赖性API。

在例子中说明2种API与同一资源的关系。设想一API对资源进行参考，不影响其它服务，而另一API改变资源，影响其它服务。这时，前者对应于普通API，后者对应于服务依赖性API。然而，为了说明简便，进行的说明将参考用的资源和改变用的资源视为分别独立存在，并判断为前者与后者的内容得到匹配。

作为服务依赖性API的具体实例，可考虑改变服务利用状态的函数(后文称为“服务利用状态操作函数”)。由服务利用状态操作函数指定用户是否在终端130利用个别服务，并控制提供服务时终端130应进行的处理的启动和停止。具体是执行形式DE或标识化执行形式DEi的内部数据初始化和所需信息的接收等前处理、通过传送系统对服务提供部的服务利用合同的签订、收费和用户登记等。

另一方面，作为普通API的具体实例，有终端接收部130的画面显示和键盘输入等输入输出设备的操作、对RAM的暂存和对HDD的二次存储的数据读写等。但是，以作为普通API的资源的画面显示为例的情况下，同时出现与多个服务对应的画面显示时，也考虑服务之间产生竞争。然而，本实施方式中，实际上用普通资源管理器135和API调用方法等实现同时仅一服务占用画面的约束，则即使对所有的执行形式DE，实际上也不产生竞争。

普通资源管理器135存放并管理普通资源。普通资源管理器135还根据从资源选择器134输入的API调用Capi进行对普通资源的参考和操作等。例如，调用画面描绘API时，对作为进行画面描绘的普通资源的图形显示设备发布命令。

服务依赖性资源管理器136存放并管理服务依赖性资源，根据从资源选择器134输入的API调用Capi进行服务依赖性资源RS的参考和操作等，还根据从下载器131输入的附带信息IS进行服务依赖性资源RS的管理处理。

参考图3说明为管理服务依赖性资源管理器136存放的服务依赖性资源RS而产生的服务依赖性资源管理表Trs。如该图的例子所示，服务依赖性资源管理表Trs是至少由表示n种服务S1～Sn的多个行L1～Ln和表示每一服务S的利用状态的2列C1和C2构成矩阵状的数据库。具体而言，该图中，行L1对应于服务S1，行L2对应于服务S2，行Ln对应于服务Sn(这时n为3以上的自然数)。而且，列C1对应于服务标识信息Es，列C2对应于利用状态。

更具体地说，根据服务标识信息Es(Sn)的Sn和从属信息αn决定并写入列C1和列C2的值，分别如图2图解方式所示。图3所示的例子中，可知行L1所示的服务S1是“未利用”，行L2所示的服务S1是“利用”状态，行Ln所示的服务S1是“利用”状态，。这样，设置L1～Ln，分别用于储存识别不同服务S1～Sn的服务的信息。在该意义上，将行L1～Ln(行Lo)称为服务标识行。

接着，说明添加新的服务标识行时的运作。下载器131接收服务(标识化执行形式DEi)时，在服务依赖性资源管理表Trs上添加规定标识化执行形式存放器132存放的执行形式DE对应的服务依赖性资源RS的服务标识行。通过利用这些处理自动将服务导入终端130，在服务依赖性资源管理器136上登记并管理新服务。

下面，参照图4说明服务依赖性资源管理器136的新服务登记管理程序的运作。从服务提供源110将新服务对应的标识化执行形式DEi(执行形式DE和附带信息IS)发送到终端130，并且首先输入到下载器131。下载器131从标识化执行形式DEi提取附带信息IS，输出到服务依赖性资源管理器136。然后，服务依赖性资源管理器136中，在输入附带信息IS的时刻，启动本程序的运作。

因此，在步骤S502判断服务依赖性资源管理器136中是否输入附带信息IS。没有输入时，判断为“否”，重复本步骤的处理。反之，“是”时，处理进至下一步骤S504。即，服务依赖性资源管理器136在从下载器131收领附带信息IS前，实质上未启动签名服务的登记管理处理。

步骤S504中，判断步骤S502接收的附带信息IS的服务标识信息Es所示的服务S是否已登记到存放在服务依赖性资源管理器136中的服务依赖性资源管理表Trs上。是未包含(即未登记)的服务时，判断为“否”，处理进至下一步骤S506。

步骤S506中，在服务依赖性资源管理器136将新服务对应的新服务标识行(Ln+1)添加到服务依赖性资源管理表Trs。下面，以图3所示的服依赖性资源管理表Trs为例进行说明。服务依赖性资源管理表Trs中已经登记服务S1～Sn，因而添加服务标识行L(n+1)，以登记新服务S(n+1)。然后，在下一步骤S508产生处理。

步骤S508中，根据新接收附带信息IS中包含的服务标识信息Es，将作为识别服务S(n+1)的值的S(n+1)记录行L(n+1)、列C1。然后，处理进至下一步骤S510。

步骤S510中，在服务依赖性资源管理表Trs添加的行L(n+1)、列C2的利用状态栏内记入“未利用”。这是因为作为接收新服务(标识化执行形式DEi)时的初始状态，设定“未利用”。然而，初始状态可以是“利用”，或设定为在一定期间作为示范进行试用等，还可每一服务由服务标识设定器112将表示采用这些初始状态中的哪一个的信息作为附带信息IS(从属信息α)提供。本步骤的处理结束后，结束本程序。

另一方面，上述步骤S504中判断为“是”(即包含)时，跳过上述步骤S506、步骤S508和步骤S510，结束本程序的处理。即，是已经导入下载器131收到的服务时，不需要登记服务，因而立即结束本程序的处理。

接着，参照图5说明终端130的服务执行程序的运作。具体而言，在终端130通过执行对执行器133调用的API的执行形式，实现服务的执行。即，执行器133为了执行从标识化执行形式存放器132输入的标识化执行形式DEi包含的执行形式DE，在发布API调用Capi的时刻，启动本程序的实质性处理。

于是，步骤S512中，由资源选择器134根据执行器133发布的API调用Capi判断调用的API是否服务依赖性API。是服务依赖性API，则判断为“是”，使处理进至下一步骤S514。

步骤S514中，利用服务依赖性资源管理器136从执行器133获得与当前执行的执行形式DE有对应关系的服务的服务标识信息Es。然后，处理进至下一步骤S516。

步骤S516中，由服务员依赖性资源管理器136判断API调用Capi指定为处理对象的服务依赖性资源RS是否对应于与步骤S514检测出的当前正在执行的执行形式DE对应的服务。对应于正在执行的执行形式DE所对应的服务时，判断为“是”，使处理进至下一步骤S518。

步骤S518中，由服务依赖性资源管理器136进行对服务依赖性资源的服务依赖性API的处理，然后，本程序的处理结束。

另一方面，上述步骤S512中判断为“否”即非服务依赖性API(即为普通API)时，处理进至步骤S520。

步骤S520中，由普通资源管理器135对普通资源进行处理。然后，本程序的处理结束。

上述步骤S516中为“否”，即不对应于正在执行的执行形式DE所对应的服务时，处理进至步骤S521。

步骤S521中，进行差错处理后，结束本程序。这样，设定成即使是正在执行的执行形式对应的服务(S512中为“是”)，也不允许对不可操作(S516中为“否”)的服务依赖性资源的API处理。

换句话说，本实施方式中，设定成只有与正在执行的执行形式DE建立对应关系的服务所涉及的服务依赖性资源可操作。因此，即使让执行形式DE发布任何API调用，服务依赖性资源管理器136也能排除对其它服务的参考和操作。也就是说，即使输入进行对其它服务的参考和操作的服务的执行形式DE，也经步骤S516在步骤S521进行差错处理，从而防止该参考和操作，同时还能检测出这类要求。

综上所述，本实施方式中，在步骤S512由资源选择器134进行约束，使得只能用服务依赖性API操作对服务依赖性资源的处理。参照图6所示的服务安全扩充平台SEP1的终端130的软件层说明这点。

如图6所示，从软件结构看服务安全扩充平台SEP1的终端130，则最下层存在由作为基本软件的OS实现的OS层。然后，在OS层的上面有分别起普通资源管理器135、服务依赖性资源管理器136和标识化执行形式存放器132的作用的普通资源管理软件、服务依赖性资源管理软件和标识化执行形式存放软件。而且，在普通资源管理软件和服务依赖性资源管理软件的上面有起资源选择器134的作用的资源选择软件。这些普通资源管理软件、服务依赖性资源管理软件、资源选择软件和标识化执行形式存放软件构成中间件层。

起执行器133的作用的执行软件(执行器)位于中间件层的资源选择层的上面，起下载器131的作用的下载软件(下载器)位于标识化执行形式存放软件的上面。这些执行软件和下载软件一起构成应用层。

然后，执行各服务S1～Sn的服务S1～Sn执行形式位于应用层的执行软件的上面，构成内容层。

这样，从图6所示的软件结构可知，服务安全扩充平台SEP1中，服务执行形式DE不能又通过软件选择器进行API调用，又参考或操作资源。于是，对服务依赖性资源必须调用服务依赖性API，因而不经过服务依赖性软件管理器136，就不能进行参考或操作。

接着，参考由图7所示的服务安全扩充平台SEP1对用户提示的画面的例子，简单说明改变为实际利用新添加的服务的状态时的运作。图7示出一例执行形式DE显示的对用户询问是否开始利用新服务的画面。

画面SM是一例通过用执行器133执行实现作为新服务的“我的新闻服务”的执行形式DE进行提示的画面。画面SM上配置宣告利用服务的按键BY和宣告不利用的按键BN。用户操作输入设备选择按键BY，就开始利用此服务。

这里说明选择按键BY的运作。按键BY在执行形式DE中编程，使宣告开始利用服务的服务依赖性API启动。因此，选择按键BY时，服务依赖性API通过资源选择器134到达服务依赖性资源管理器136，将服务依赖性资源管理表Trs记载的服务依赖性资源RS中相符的服务利用状态栏的值改写成“利用”。

图7所示的例子说明单纯启动服务的利用，但同样可实施对服务提供部的服务利用合同签订和用户登记或者储存型数据广播中视听前的事先自动储存处理的启动等。

这样，对服务使用/未使用的状态迁移等涉及服务的操作，可由服务本身的执行形式DE进行与用户对话。而且，即使其他服务装配具有任何恶意的执行形式时，也能排除对服务和平台的以错误运作或停机为代表的一切不良影响。综上所述，本发明实施方式1的服务安全扩充平台SEP1中，能依然保持服务扩充性且确保完全安全性，即使设想任何的执行形式DE，也不引起对其他服务和平台本身的不正当处理的影响，而不是根据实行形式DE的发布源本身的概率类推执行形式DE不包含引起不正当处理的编码这种不可靠的安全性。

实施方式2

下面，参照图8、图9和图11说明本发明实施方式2的服务安全扩充平台。如图8所示，本实施方式的服务安全扩充平台SEP2将图1所示的服务安全扩充平台SEP1中的服务提供源110改为服务提供源210，将终端130改为终端230。

服务提供源210将服务提供源110的服务标识设定器112换成元服务指定器212。终端230将终端130的执行器133换成执行器233，同时还在资源选择器134与服务依赖性资源管理器136之间新设元服务判定器234。

终端230把实施方式1的终端130的下载器131换成下载器231，把标识化执行形式存放器132换成标识化执行形式存放器232，执行器133换成执行器233，同时还在资源选择器134与服务依赖性资源管理器136之间新设元服务判定器234。

服务提供源210中，元服务指定器212授给所述服务标识器112产生元服务指定信息的功能。即，元服务指定器212与服务标识设定器112相同，也产生表示执行形式DE的属性等地从属事项的附带信息IS，同时还产生指定与元服务有对应关系的执行形式DE的元服务指定信息ISm。

元服务是一种上文所述的服务，是唯一能实际进行用户利用的服务的开始/结束等服务功能/各指标的改变和新服务的添加的服务扩充的服务，其存在以扩充服务为目的。在该意义上，本说明书中将上述实施方式1的服务So和本实施方式的元服务Smeta加以区分地进行说明。

授给执行形式DE附带信息IS，产生标识化执行形式DEi；授给执行形式DE元服务指定信息ISm，产生元服务执行形式DEm。即。从元服务指定器212将标识化执行形式DEi与元服务执行形式DEm混在一起，进行输出。然后，通过发送器113和传送系统120将这些标识化执行形式D I和元服务执行形式DEm输入到终端230。由终端230的下载器231将标识化执行形式DEi和元服务执行形式DEm输出到标识化执行形式存放器232。而且，下载器231从标识化执行形式DEi提取附带信息IS，从元服务执行形式DEm提取元服务指定信息ISm，分别将其输出到服务依赖性资源管理器236。

图9示出将元服务指定器212输出的标识化执行形式DEi和元服务执行形式DEm存放在标识化执行形式存放器232的状况。该图所示的例子中，与图1所示的实施方式1中的相同，也示出与服务S1、S2至服务Sn(n为任意自然数)对应的标识化执行形式DEi(S1)、DEi(S2)和DEi(Sn)的例子。但是，本图中，在与服务S3对应标识化执行形式DEi(S3)的位置表示首个元服务执行形式DEm(1)。元服务执行形式DEm(1)授给执行形式DE表示这是元服务的元服务指定信息ISm(1)。

元服务执行形式DEm(1)包含由对应于这是元服务m1的服务标识信息Es(Sm1)和从属信息αm1组成的元服务指定信息ISm以及执行形式DE。具体而言，服务标识信息Es(Sm1)使执行形式DE与元服务1建立对应关系。这样，除服务标识信息Es(Sm1)的“Sm1”规定元服务1这点外，元服务指定信息ISm基本上与附带信息IS相同。

也就是说，如上文所述，元服务Sm是一种服务Sn，因而元服务执行形式DEm也能表示为标识化执行形式DEi(Sm)。于是，可将元服务指定信息ISm统称为附带信息IS，但本说明书中，为了便于理解本实施方式的特征，其说明将元服务指定信息ISm与附带信息IS加以区分。而且，将元服务对应的服务标识信息Es称为元服务标识信息Esm，与执行方式DE对应的服务标识信息Es有区别地进行说明。

标识化执行形式存放器232的运作与上述实施方式1的标识化执行形式存放器132基本相同。但是，标识化执行形式存放器232存放标识化执行形式DEi和元服务执行形式DEm，并根据要求，对执行器233输出标识化执行形式DEi或元执行形式DEm。

执行器233从标识化执行形式DEi提取服务标识信息Es，从元服务执行形式DEm提取服务标识信息Esm，分别将其输出到元服务判定器234。

元服务判定器234根据从资源选择器134输入的API调用Capi、从执行器133输入的服务标识信息Es以及服务标识信息Esm，仅在正在执行的执行形式DE与元服务有对应关系时，对服务依赖性资源管理器136输出API调用Capi。

服务依赖性资源管理器136存放服务依赖性资源RS，同时利用服务依赖性资源管理表Trs管理服务依赖性资源RS。存放在服务依赖性资源管理器136的服务依赖性资源RS及其服务依赖性资源管理表Trs可与参照图3说明的实施方式1中的相同。

然后，服务依赖性管理器136响应经元服务判定器234输入的API调用Capi，进行对服务依赖性资源管理器136存放的服务依赖性资源RS的参考和操作等。又根据下载器131供给的附带信息IS识别各执行形式DE分别对应的服务的内容。

添加新服务，则服务依赖性资源管理器136根据从下载器231输入的附带信息IS和元服务指定信息ISm，在检测出存在服务依赖性资源管理表Trs中未登记的新服务的时刻添加对该服务的识别行，以记述内容。即，服务依赖性资源管理表Trs中，在列C1写入元服务的内容，但仅关注服务标识行添加步骤，则与实施方式1中的处理内容相同。

接着，参照图10所示的流程图说明终端230的服务执行程序的运作。具体而言，终端230中，通过执行对执行器233调用的API的执行形式DE，实现服务的执行。也就是说，为了使执行器133执行从标识化执行形式存放器132输入的标识化执行形式DEi和元服务执行形式DEm包含的执行形式DE，在发布API调用Capi的时刻启动本程序的处理。

图10所示的流程图在图5所示流程图中，将步骤S514“从执行机取得正在执行的执行形式DE的服务标识信息Es”换成步骤S1014“取得正在执行的执行形式DE的服务标识信息Es或服务标识信息Esm”，将步骤516“判定对正在执行的服务的操作”换成步骤S1016“判定对正在执行的元服务的操作”。除这2点外，流程的组成相同。下面，把重点放在本实施方式固有的运作进行说明。

于是，步骤S512中，由资源选择器134根据执行器133发布的API调用Capi判断为调用的API是服务依赖性API后，处理进至步骤S1014。

步骤S1014中，元服务判定器234从执行器233读出对当前正在执行的执行形式DE的服务标识信息Es或元服务标识信息Esm。然后，处理进至下一步骤1006。

步骤S1016中，判断正在执行的执行形式DE是否与元服务有对应关系。“否”时，通过上述差错处理步骤S521后，结束本程序。反之，正在执行的执行形式DE与元服务有对应关系时，判断为“是”，使处理通过上述步骤S518“对服务依赖性资源进行处理”后，结束本程序。

步骤S518中，如果是正在执行的元服务的执行形式DE(步骤S1016中为“是”)，执行对全部服务的服务依赖性资源的处理。

综上所述，实施方式2中，执行形式DE是元服务，则能执行对全部服务的服务依赖性API。因此，在元服务执行形式DE的画面上显示可从服务提供部提供的服务的列表，在显示列表完成以服务功能/各指标的改变和新服务的添加为代表的服务扩充。

实施方式3

接着，参照图11、图12和图13详细说明本发明实施方式3的服务安全扩充平台。如图11所示，本实施方式的服务安全扩充平台SEP3将图1所示的服务扩充平台SEP1的服务提供源110改为服务提供源310，将终端130改为终端330。

服务提供源310将服务提供源110的服务标识设定器112换成服务标识设定器312，同时还新设服务标识母子管理器314。服务标识母子管理器314在各个服务具有母子关系时，将这种关系作为标识信息Es之间的母子关系进行管理。还将表示管理的母子关系的服务母子指定信息ISh输出到服务标识设定器312。

终端330将终端130的下载器131换成下载器331，标识化执行形式存放器132换成标识化执行形式存放器332，执行器133换成执行器233，并且在资源选择器134与服务依赖性资源管理器136之间新设母子判定器334。

服务提供源310中，服务标识母子管理器314管理的服务母子关系定义为母服务可操作子服务的服务依赖性资源Rs的关系。根据需要，称为母服务Sp、子服务Sc、母服务的范围依赖性资源RSc，以相互识别。例如，对服务种类“音乐内容分配服务”所对应的母服务，具有以“松下音乐分配服务”、“Teichiku(テイチク)音乐分配系统”和“EP频道音乐服务”为代表各个服务种类所对应的子服务。

服务标识设定器312授给上述服务标识设定器112母子服务标识信息产生功能。即，与服务标识设定器112相同，服务标识设定器312也产生表示执行形式DE的属性等的从属事项的附带信息IS。服务标识设定器312还根据服务标识母子管理器314供给的服务母子信息Ih产生服务母子信息Esc。例如，根据服务母子信息Ih产生服务母子指定信息ISh(S1-1)。服务母子信息Esc(S1-1)定义此服务是母服务S1的子服务。

授给执行形式DE附带信息IS，以产生标识化执行形式DEi，并且授给执行形式DE服务母子指定信息ISh，以产生母子标识化执行形式DEc。也就是说，服务标识设定器312将标识化执行形式DEi和母子标识化执行形式DEc混在一起，进行输出。然后，通过发送器113和传送系统120将这些标识化执行形式DEi和母子标识化执行形式DEc输入到终端330。由终端330的下载器331将标识化执行形式DEi和母子标识化执行形式DEc输出到标识化执行形式存放器332。而且，下载器331从标识化执行形式DEi提取附带信息IS，从母子标识化执行形式DEc提取服务母子指定信息ISh，分别将其输出到服务依赖性资源管理器136。

图12示出将服务标识设定器312输出的标识化执行形式DEi和母子标识化执行形式DEc存放在标识化执行形式存放器332的状况。该图所示的例子中，与图2所示的实施方式1中的相同，也示出与服务S1、S2至服务Sn(n为任意自然数)对应的标识化执行形式DEi(S1)、DEi(S2)和DEi(Sn)的例子。但是，本图中，在与服务S3对应标识化执行形式DEi(S3)的位置表示首个母子标识化执行形式DEc(1)。母子标识化执行形式DEc(1)授给执行形式DE表示这是子服务的服务母子指定信息ISh(1)。

母子标识化执行形式DEc(1)包含由对应于这是母服务Sp1的服务标识信息Es(Sc1)和从属信息αc1组成的元服务指定信息ISh(1)以及执行形式DE。具体而言，母子服务标识信息Esc将执行形式DE作为对母服务Sp1的子服务Sc1，建立对应关系。这样，除服务标识信息Es(Sp1)的“Sp1”规定子服务1这点外，服务母子指定信息ISh基本上与附带信息IS相同。

也就是说，如上文所述，子服务Sc是一种服务Sn，因而母子标识化执行形式DEc也能表示为标识化执行形式DEi(Sc)。于是，可将服务母子指定信息ISh统称为附带信息IS，但本说明书中，为了便于理解本实施方式的特征，其说明将服务母子指定信息Ish与附带信息IS加以区分。而且，将规定对母服务Sp的子服务Sc的服务标识信息Es称为母子服务标识信息Esc，与执行方式DE对应的服务标识信息Es有区别地进行说明。

标识化执行形式存放器332的运作与上述实施方式1的标识化执行形式存放器132基本相同。但是，标识化执行形式存放器332存放标识化执行形式DEi和母子标识化执行形式DEc，并根据要求，对执行器333输出标识化执行形式DEi或母子标识化执行形式DEc。

执行器333从标识化执行形式DEi提取服务标识信息Es，从母子标识化执行形式DEc提取母子服务标识信息Esc，分别将其输出到母子判定器334。

母子判定器334根据从资源选择器134输入的API调用Capi和从执行器333输入的服务标识信息Es以及母子服务标识信息Esc，仅在正在执行的执行形式DE是API调用Capi的处理对象的服务依赖性资源的服务母辈(母、祖母或曾祖母……)时，对服务依赖性资源管理器136输出API调用Capi。

也就是说，母子判定器334从执行器333取得正在执行的执行形式DE的母子服务标识信息Esc，同时还通过资源选择器134获得执行器333发布的API调用Capi。又从下载器331获得判定服务间的母子关系用的信息，即服务母子指定信息ISh。然后，判断母子服务标识信息Esc表示的服务是否服务母子指定信息ISh表示的服务的母辈。判断为是母辈时，对服务依赖性资源管理器136传送服务依赖性API的调用的要求(API调用Capi)；判断为不是母辈时，不传送。

接着，参照图13所示流程图说明终端330的服务执行程序的运作。具体而言，终端330中，为了执行对执行器333调用的API的执行形式DE和母子标识化执行形式DEc包含的执行形式DE，在发布API调用Capi的时刻启动本程序的处理。

图13所示的流程图在图5所示流程图中，将步骤S514“从执行机取得正在执行的执行形式DE的服务标识信息Es”换成步骤S1314“取得正在执行的执行形式DE的服务标识信息Es或母子服务标识信息Esc”，将步骤516“判定对正在执行的服务的操作”换成步骤S1316“判定对正在执行的元服务的操作”。除这2点外，流程的组成相同。下面，把重点放在本实施方式固有的运作进行说明。

于是，步骤S512中，由资源选择器134根据执行器333发布的API调用Capi判断为调用的API是服务依赖性API后，处理进至步骤S1304。

步骤S1314中，母子判定器334从执行器333读出对当前正在执行的执行形式DE的服务标识信息Es或母子服务标识信息Esc。然后，处理进至下一步骤S1306。

步骤S1316中，母子判定器334对服务依赖性API调用Capi的处理对象的服务依赖性资源所对应的服务判断正在执行的执行形式DE对应的服务是否母辈服务。“否”时，通过上述差错处理步骤S521后，结束本程序。反之，正在执行的执行形式DE是母辈服务时，判断为“是”，使处理通过上述步骤S518“对服务依赖性资源进行处理”后，结束本程序。

步骤S518中，由服务依赖性资源管理器136执行对与服务依赖性API调用Capi对应的服务依赖性资源的处理。即，进行管理，使得可对当前执行的执行形式DE的子辈服务(子、孙或曾孙……)的服务依赖性资源进行处理。

实施方式4

接着，参照图14和图15、图16和图17说明本发明实施方式4的服务安全扩充平台。如图8所示，本实施方式的服务安全扩充平台SEP4将图1所示的服务安全扩充平台SEP1中的服务提供源110改为服务提供源410，将终端130改为终端430。

服务提供源410将服务提供源110的执行形式提供器111换成内容提供器411，将服务标识设定器112换成控制内容指定器412。终端430将终端130的下载器131换成内容下载器431，将标识化执行形式存放器132换成内容存放器，执行器133换成执行器433，同时还在资源选择器134与服务依赖性资源管理器136之间新设控制内容判定器434。

内容提供器411解释实现服务的执行形式DE和执行形式DE，存放作为按对用户提示的目的制作的数据的内容DC，并根据需要进行输出。执行形式DE也具有内容DC应满足的条件。例如，执行形式DE和内容DC都用可包含对逐次运作步骤编程的脚本记述的标记语言记述。作为脚本的语言，可为Java(R)系统的Java Script和ECMA Script等语言。作为标记语言，可为HTML语言和BML语言。

控制内容指定器412在内容提供器411输出的内容DC中，对控制内容授给指定控制内容的附带信息ISC，作为控制内容DCc输出。控制内容DCc的定义是：作为与服务有对应关系的执行形式DE制作的内容DC。

内容下载器431接收传送系统120传送来的内容DC和控制内容DCc，并将接收的信息写入内容存放器432。

传送系统120也将执行形式DE作为一种内容DC传送，因而内容下载器431具有存放内容DC的功能即可。

内容下载器431根据表示是否应自动下载服务依赖性管理器136作为服务依赖性资源保持的服务的内容的信息，控制内容的存放。

即，内容下载器431在应对关注的服务自动下载时，存放涉及服务的全部内容DC，其中包括控制内容DCc。反之，不应自动下载时，仅存放控制内容DCc。

内容存放器432存放内容DC。实施方式1的标识化执行形式存放器132存放的信息是执行形式DE，与此相反，内容存放器432存放内容DC。内容DC中包含控制内容DCc。

图15示出在内容存放器432存放控制内容指定器412输出的内容DC和附带信息ISc的状况。该图所示的例子中，对服务S1将作为控制内容DCc的C(S1，DE)和作为内容DC的C(S1，1)、C(S1，2)和C(S1，3)保持在内容存放器432中。通过执行器433执行作为控制内容DCc的C(S1，E)，读入作为内容DC的C(S1，1)、C(S1，2)和C(S1，3)，给用户提示。即，作为控制内容DCc的C(S1，DE)进行与对作为内容DC的C(S1，1)、C(S1，2)和C(S1，3)的一切浏览器相同的运作。

控制内容判定器434根据执行器433的输出判断正在执行的内容DC是否控制内容DCc。仅在是控制内容DCc时，把来自资源选择器134的服务依赖性API请求传给服务依赖性资源管理器136。

图16示出一例本实施方式中服务依赖性资源管理器136存放的服务依赖性资源表Trs4。服务依赖性资源表Trs4类似于实施方式1的服务依赖性资源管理表Trs，如图3所示，但每一服务在列C2保持内容下载器431是否应自动下载内容DC的信息。

接着，参照图17所示的流程图说明终端430的控制内容DCc的执行程序的运作。具体而言，终端430中，为了执行对执行器433调用的API的控制内容DCc，在发布API调用Capi的时刻启动本程序的处理。

图17所示的流程图在图5所示流程图中，将步骤S514“从执行机取得正在执行的执行形式DE的服务标识信息Es”换成步骤S1714“取得正在执行的内容DC的服务标识信息Es”，将步骤516“判定对正在执行的服务的操作”换成步骤S1716“判定对正在执行的服务的控制内容操作”。除这2点外，流程的组成相同。下面，把重点放在本实施方式固有的运作进行说明。

于是，步骤S512中，由资源选择器134根据执行器333发布的API调用Capi判断为调用的API是服务依赖性API后，处理进至步骤S1704。

步骤S1714中，控制内容判定器434从执行器433读出对当前正在执行的内容DC的服务标识信息Es。然后，处理进至下一步骤S1716。

步骤S1716中，控制内容判定器434对服务依赖性API调用Capi的处理对象的服务依赖性资源所对应的服务判断正在执行的内容DC是否内容DC对应的服务所对应的控制内容。“否”时，通过上述差错处理步骤S521后，结束本程序。反之，正在执行的内容DC是母辈服务时，判断为“是”，使处理通过上述步骤S518“对服务依赖性资源进行处理”后，结束本程序。

步骤S518中，由服务依赖性资源管理器136执行对与服务依赖性API调用Capi对应的服务依赖性资源的处理。

如果采用本说明书中揭示的服务安全扩充平台，能实现新水平的安全性，达到排除实现服务的执行形式DE的不正当访问，而无需否定执行形式DE中包含的引起不正当访问的处理。

详细而言，达到排除引起其它服务的状态改变和数据破坏、平台本身的系统故障等对服务的正常享受影响不良的举动的处理，即排除不正当访问，而不必从执行形式DE的散发源的概率推测执行形式DE中包含的引起不正当访问的处理。

而且，实现上述性质的同时，还能实现利用执行形式DE的改变和添加达到改变服务功能/各指标和添加新服务等服务扩充的功能。

因此，能同时实现以往的服务可扩充平台从来没有的新水平的安全性和操作性。

生产事业上的可用性

综上所述，本发明对实现“服务的扩充性”、“确保服务安全性”和“无缝服务扩充操作”这3个特征的、历来没有的全新服务安全扩充平台是有用的。

Claims

1.一种服务安全扩充平台(SEP)，建立服务(S)与执行形式(DE)的对应关系，利用所述执行形式(DE)的改变或添加实现所述服务(S)的扩充，其特征在于，其中具有进行所述服务的扩充的服务依赖性API，而且仅通过所述服务依赖性API的调用进行来自所述执行形式(DE)的所述服务的扩充。

2.如权利要求1所述的服务安全扩充平台(SEP1)，其特征在于，所述服务扩充是新设新的服务。

3.如权利要求1所述的服务安全扩充平台(SEP1)，其特征在于，所述服务扩充是启动服务的利用。

4.如权利要求1至3任一项所述的服务安全扩充平台(SEP)，其特征在于，仅由来自与关注的所述服务对应的执行形式(DE)的所述服务依赖性API的调用进行关注的所述服务扩充。

5.如权利要求1至3任一项所述的服务安全扩充平台(SEP)，其特征在于，在所述服务之间定义母子关系(服务母子指定信息ISh)，所述执行形式请求的所述服务依赖性API调用将与所述服务(S)对应的服务依赖性资源(RS)指定为处理对象时，仅在与所述执行形式(DE)对应的服务(S)为所述服务(S)的母服务的情况下，可对服务依赖性资源(RS)进行处理。

6.如权利要求1至3任一项所述的服务安全扩充平台(SEP)，其特征在于，与元服务对应的所述执行形式(DE)可利用所述服务依赖性API扩充至少一个所述服务(S)。

7.如权利要求6所述的服务安全扩充平台，其特征在于，与所述元服务对应的所述执行形式可利用所述服务依赖性API扩充全部所述服务(S)，不与所述元服务对应的所述执行形式(DE)不能利用所述服务依赖性API扩充所述服务。

8.如权利要求1至3任一项所述的服务安全扩充平台(SEP4)，其特征在于，所述执行形式(DE)是满足作为内容(DC)应满足的条件的控制内容(DCc)，将所述控制内容(DC)与至少一个所述内容一起作为内容(DC)传送，并且传送从至少一个内容(DC)指定所述控制内容(DCc)的信息(Es)，可仅由所控制内容(DC)进行服务依赖性API的处理。

9.如权利要求8所述的服务安全扩充平台(SEP4)，其特征在于，由所述服务依赖性API控制特定的所述服务的内容(DC)的自动存放。

10.如权利要求1至9任一项所述的服务安全扩充平台(SEP)，其特征在于，从至少一个服务提供部(110、210、310、410)发送所述执行形式，并且在执行所述执行形式(DE)的至少一个终端(130、230、330、430)进行接收。

11.一种服务安全扩充方法，实现权利要求1至权利要求10中所述的服务安全扩充平台(SEP)。

12.一种存储媒体，其特征在于，存放实施权利要求1至权利要求10中所述的服务安全扩充平台的计算机程序。