JP2001117769A

JP2001117769A - プログラム実行装置

Info

Publication number: JP2001117769A
Application number: JP29775999A
Authority: JP
Inventors: Tomokazu Kanamaru; 智一金丸
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1999-10-20
Filing date: 1999-10-20
Publication date: 2001-04-27

Abstract

(57)【要約】【課題】プログラム配信のためのネットワーク機能を
備えた家電機器において、ダウンロードしたプログラム
の安全性・秘匿性・完全性の保証を、低コストかつ簡便
に実現する。【解決手段】プログラム解釈実行手段１０４と、プロ
グラム解釈実行副手段１１０と、プログラム発信先判定
手段１０５と、プログラム解釈実行許可入力手段１０９
と、プログラム解釈実行禁止選択手段１１２とから構成
される。プログラム発信先判定手段１０５の判定結果が
是である場合には、プログラム解釈実行禁止選択手段１
１２は、プログラム解釈実行手段１０４がプログラム１
０２を解釈実行することを許可し、判定結果が非である
場合には、プログラム解釈実行禁止選択手段１１２は、
プログラム解釈実行手段１０４がプログラム１０２を解
釈実行することを禁止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はネットワーク通信に
よりプログラムをダウンロードし、プログラムを解釈実
行する環境、特に家電機器など、使用目的が特化された
プログラムを解釈実行する環境において、ダウンロード
されたプログラムの検証を行なう装置およびその方法に
関する。

【０００２】

【従来の技術】近年、家電機器に対するプログラム配信
のためのネットワーク機能搭載の要求が高まっている。

【０００３】ネットワークを通じてプログラムの配信が
行われることで、例えば、家電機器に対する機能の更新
や追加が容易になり、新たなサービスの提供が可能にな
る、などの多くの利点が生まれる。

【０００４】既にコンピューティングの分野では、こう
いったプログラムの配信は頻繁に行なわれている。

【０００５】その代表的なものに、インターネットのウ
ェブサーバと、ブラウザを載せたＰＣの間のネットワー
クがある。このネットワークにおいては、ネットワーク
に接続する者であれば誰でも、そこに流通するコンテン
ツを自由にダウンロードして利用できる。ここではこの
性質を持つネットワークを「開かれたネットワーク」と
呼ぶことにする。

【０００６】開かれたネットワークの元では、利用者は
ネットワークに存在するプログラムもまた、自由にダウ
ンロードし、実行することができる。

【０００７】しかし一方で、開かれたネットワークで
は、以下のことをネットワーク利用者によるリスクの分
担の上で行なうという特徴を持つ。１．接続先が意図し
た相手であること（認証と許可）。２．コンテンツが伝
送経路で改ざんや盗聴がなされないこと（完全性と秘匿
性）。３．コンテンツがそれを利用する環境で危険な振
る舞いをしないこと（安全性）。

【０００８】つまり開かれたネットワークとは、上記の
１．２．３．が完全に保証される環境ではない。そのた
め、悪意ある第３者によって作成された危険なプログラ
ムを、そうとは知らずに利用者がダウンロードし、実行
してしまう可能性がある。

【０００９】一方、開かれたネットワークとは異なり、
流通するコンテンツをダウンロードする際に、コンテン
ツの暗号化やコンテンツをダウンロードする際の利用者
の認証情報の確認などの必要を課すことによって、上記
の１．２．３．の点を保証するネットワークも存在す
る。この性質を持つネットワークを「閉じられたネット
ワーク」と呼ぶことにする。

【００１０】家電機器には一般的に高い信頼性・安全性
が求められており、家電機器に対するプログラム配信の
際には、信頼できる配信元が作成した安全なプログラム
のみがダウンロードされることが求められる。

【００１１】加えて家電機器に対するプログラム配信に
は、しばしば課金やデータの保護などが安全・正確に行
われることが必要である。これを実現するには開かれた
ネットワークでは不充分である。これらの観点から、家
電機器に対するコンテンツの配信は、閉じられたネット
ワークが使用されることが望ましい。

【００１２】実際、現行の家電機器向けを想定したネッ
トワークは、何らかの手段によって上記の１．２．３．
の点を保証した、閉じられたネットワークであるものが
殆どである。

【００１３】例えば現行の電話を用いた各種のサービス
も、電話のネットワークを利用し、通話によるネットワ
ークの利用に伴う課金を正確に行なう必然性から、その
サービスは閉じられたネットワークで実施されている。
もちろん、コンテンツに暗号化等の処理を加えることに
より、より強固で安全なネットワークとすることも可能
である。

【００１４】

【発明が解決しようとする課題】しかしながら近年、家
電機器分野においても、インターネットに接続可能な携
帯電話などのサービスに代表されるように、開かれたネ
ットワーク環境に接続することが、一部の機器では可能
になりつつある。インターネットに代表される開かれた
ネットワークと、家電機器との親和性は、今後さらに高
まっていくであろうことが予想される。

【００１５】このような状況においては先に述べたよう
に、閉じられたネットワークを用い、信頼できる発信元
からのみ、保証されたプログラムをダウンロードし実行
することを、家電機器に遵守させることは難しくなる。

【００１６】一つの解決策は、プログラムを解釈実行す
る実行環境のほうに、プログラムが危険なものでないか
どうかを検査する検証機構を持たせる、というものであ
る。

【００１７】この解決策をとっている代表的なアーキテ
クチャにはＪａｖａがある。

【００１８】開発言語としてのＪａｖａ言語は、オブジ
ェクト指向言語としての開発効率の高さ、バグが出難い
言語仕様、移植性の容易さ、既存の開発環境の豊富さ、
など多くの優れた点を持っている。

【００１９】さらにＪａｖａアーキテクチャは、Ｊａｖ
ａ仮想マシンというインタプリタ機構によりプログラム
を解釈実行する、という仕組みを持ち、機器のハードウ
ェアやＯＳに依存しないプログラムを開発できるため、
家電分野においてプログラム配信を実現するのに有望な
アーキテクチャとみなされている。

【００２０】Ｊａｖａは、ネットワークを用いたプログ
ラム（コンテンツ）配信の際に、セキュリティに関して
高い安全性を保持していることでも知られている。具体
的にはＪａｖａは、以下のような検証機構を持ってい
る。

【００２１】（ＬａｕｒａＬｅｍａｙ，ｃｈａｒｌｅｓ
Ｌ．Ｐｅｒｋｉｎｓ，”ＴｅａｃｈＹｏｕｒｓｅｌｆＪ
ａｖａｉｎ２１ｄａｙｓ”ＰｒｅｎｔｉｃｅＨａｌｌ，
１９９６）１．Ｊａｖａ言語そのものが安全性の高い言
語仕様を持っており、Ｊａｖａ言語によって悪意ある変
造コードを作成することは困難になっている。例えば、
メモリに対する参照値などを、プログラマは直接操作す
ることはできない。２．Ｊａｖａ仮想マシンは、実行形
式（Ｊａｖａクラスファイル）が正しい規則に沿って記
録されているかどうかを検証する機構を備える。これに
より、変造された実行形式を実行解釈することを、Ｊａ
ｖａ仮想マシンは拒絶する。３．仮想マシンのプログラ
ム・ローダは記憶範囲をグループ別に管理しており、
「保護の弱い」記憶範囲に記録されたクラスファイル
（実行形式）が、「より保護の強い」記憶範囲に記録さ
れたクラスファイルを侵害したり、許可なく参照したり
することはできない。例えば、インターネットから配信
されたクラスファイルが、ローカルな領域に記録されて
いたクラスファイルに、許可なく置き換えられたりする
ことはない。４．ＪａｖａＡＰＩが提供する機能群は、
プログラムが破壊的な動作を行なえないように設計され
ている。

【００２２】以上のようにＪａｖａは、開発言語からプ
ログラム実行系までの各レベルにおいて、強固な検証機
構を有しているが、このような機能を持たせたため、Ｊ
ａｖａ仮想マシンはその動作のために多大な使用メモリ
量と高性能のプロセッサを必要としている。

【００２３】例えば２を実現するために、仮想マシンは
実行形式中のＪａｖａの命令コードに対してフロー解析
（Ａ．Ａｈｏ，Ｒ．Ｓｅｔｈｉ，Ｊ．Ｕｌｌｍａｎ，”
ｃｏｍｐｉｌｅｒＰｒｉｎｃｉｐｌｅｓ，Ｔｅｃｈｉｎ
ｉｑｕｅｓ，ａｎｄＴｏｏｌｓ”，Ａｄｄｉｓｏｎ−Ｗ
ｓｅｌｅｙ，１９８６）を行わなければならず、これは
Ｊａｖａ仮想マシンの実装コードサイズと使用メモリ量
の増大を招く（試算によると、２．の検証機構を備えな
い場合の総使用メモリ量と比較して、１．５〜３．０倍
増大する）。

【００２４】さらにこれらの検証処理は、プログラムの
実行中にもしばしば発生するものであるため、Ｊａｖａ
仮想マシンの処理の負荷を大きくし、高速にプログラム
を動作させることへの妨げにもなる。

【００２５】家電機器分野ではコストに対する要求は非
常に厳しく、コンピューティング分野以上に省資源・低
コスト・低消費電力が強く要求されるものが大多数であ
る。

【００２６】例えば家電機器にＪａｖａを搭載させるア
プローチの代表的なものに、サンマイクロシステムズが
家電組み込み向けに作成した仕様であるＥｍｂｅｄｄｅ
ｄＪａｖａアーキテクチャがあるが、プログラムの動作
のためには最低、ＲＡＭ５１２Ｋバイト、ＲＯＭ５１２
Ｋバイト、２５ＭＨｚ以上のＣＰＵを必要としている
（ＤｅｅｐａｋＭｕｌｃｈａｎｄａｎｉ，”Ｊａｖａｆ
ｏｒＥｍｂｅｄｄｅｄＳｙｓｔｅｍｓ”，ＩＥＥＥＩＮ
ＴＥＲＮＥＴＣＯＭＰＵＴＩＮＧ，Ｍａｙナｕｎｅ１９
９８）。これはハイエンドの情報家電機器に対して搭載
可能、というレベルを実現したに留まるものであり、必
要メモリ量は依然として一般の家電機器にとっては大き
なサイズである。

【００２７】特に、携帯電話や白物家電などには、低動
作周波数の８／１６ｂｉｔマイコンや、数十ＫＢ程度の
メモリしか搭載しないものが主流であり、このような機
器に対してはＥｍｂｅｄｄｅｄＪａｖａを適用すること
は不可能である。

【００２８】以上に示される通り、Ｊａｖａに代表され
るような、検証機構を実行環境に搭載してネットワーク
を流れるプログラムの安全性を保証するというアプロー
チは、一般の家電機器全般に適用するには非常に困難で
ある。

【００２９】本発明は、プログラム配信のためのネット
ワーク機能を備えた家電機器における問題である、ダウ
ンロードしたプログラムの安全性・秘匿性・完全性の保
証を、可能な限り低コストで簡便に実現するための手段
を提供するものである。

【００３０】

【課題を解決するための手段】本発明の装置は、外部伝
送路を通して、プログラムと、プログラムの発信元の識
別情報を受信する。装置は受信した識別情報を判定し、
その結果により、プログラムが安全なものであるか、そ
れとも安全性の保障できない、実行環境とユーザに危険
を及ぼす可能性のあるものであるか、を判断する。

【００３１】安全と判断したプログラムに対しては、解
釈実行を許可する。この解釈実行の手段はプログラムに
対して特別に検証機構による処理を必要としないものを
想定している。

【００３２】よってプログラムを、使用メモリ量を少な
く抑えたまま、高速に動作させることができる。

【００３３】安全性が保証できないプログラムに対して
は、本発明は以下のような対処方法を提供している。

【００３４】１）安全性が保証できないプログラムは一
切解釈実行させない。

【００３５】この方法を取る場合、プログラム実行装置
は危険なプログラムを一切動作させないため、検証機構
を備える必要はない。プログラムの解釈実行のために必
要な資源量は小さく抑えたまま、安全と判断されたプロ
グラムは全て高速に動作させることができる。

【００３６】２）ユーザによって与えられた、プログラ
ムの解釈実行を許可する、あるいは禁止する、のいずれ
かを示す情報を元に、プログラムの解釈実行を決定す
る。

【００３７】この方法を取る場合、プログラム実行装置
は安全性が保証できないプログラムを動作させるかどう
かをユーザの判断に任せる。

【００３８】本来家電機器はその特徴上、信頼できる特
定の（おそらくは機器を製造したメーカーの保証を受け
た）発信元からのみ、プログラムをダウンロードし実行
することを推奨するものである。そのような背景におい
ても、ユーザが開かれたネットワークから、プログラム
（コンテンツ）のダウンロードを行うというのは、例外
的な状況下においてであると考えられる。

【００３９】つまり、ユーザにとって何らかの理由によ
って有益と思われるプログラム・コンテンツを、その機
器を使用して獲得したい場合である。

【００４０】開かれたネットワークから、プログラム
（コンテンツ）を獲得する場合、ユーザはそのダウンロ
ード対象プログラム・コンテンツが安全なものであると
の知識を持っていることが前提であり、ユーザは自己の
責任においてその行為を行わなければならない。

【００４１】２）の方法は、そのユーザの判断を、プロ
グラム実行装置に反映させる方式である。

【００４２】プログラムはユーザの自己責任によってプ
ログラムを解釈実行させるため、検証処理は行われない
ことが前提となり、プログラムの解釈実行のために必要
な資源量は小さく抑えたまま、プログラムを高速に動作
させることができる。

【００４３】３）ダウンロードしたプログラムが危険な
ものである可能性があることをユーザに知らせた後、
２）を行う。

【００４４】２）と同じであるがプログラムを動作させ
る前に、判断を促すための通告をユーザに対して行うこ
とができる。

【００４５】ユーザはそれを用い、より正確な判断で、
プログラムの解釈実行の許可や禁止の情報を装置に対し
て与えることができる。

【００４６】４）プログラム実行装置に、プログラムの
解釈実行のための、従来とは別の第２の手段を用意し、
安全性が保証できないプログラムはその第２の手段によ
り実行することにする。

【００４７】安全性が保障されるプログラムとされない
プログラムの解釈実行のための手段を分離する方法であ
る。

【００４８】この場合、安全性が保証されないプログラ
ムを解釈実行する手段は、検証処理を動作させつつプロ
グラムを解釈実行すること、あるいは、プログラム実行
装置の他の手段には影響を与えず独立して存在している
ことが望ましい。

【００４９】これにより、安全なプログラムを高速に動
作させることを保証したまま、危険なプログラムもまた
動作させることができる。５）２）と４）の方式を同時
にとるもの６）３）と４）の方式を同時にとるもの本発
明はこれらの手段を、プログラムを実行する機器に対し
て提供するものである。

【００５０】

【発明の実施の形態】本発明は、外部伝送路に接続され
たプログラム実行環境全般に適用可能なものであるが、
特に省資源・低コストが要求される家電機器への適用を
強く意図したものである。

【００５１】ここでは特に、ディスプレイを装備したイ
ンターネットに接続可能な携帯端末に対して、本発明を
適用した例を適宜加えながら、説明を行っていく。

【００５２】以下、本発明の実施の形態について、図面
を用いて説明する。

【００５３】まず図１は、請求項１に記載のプログラム
実行装置の構成を示したものである。

【００５４】図１の装置の処理のフローチャートを図５
に示す。

【００５５】これらについて順に説明していく。

【００５６】外部伝送路１０１から受信する、プログラ
ム１０２と識別情報１０３は、例えばインターネットな
どのネットワークを通じてダウンロードする。

【００５７】プログラムは、装置が備える実行系により
解釈実行が可能な形式を持ったデータとして獲得するこ
とができる。例えば装置がＪａｖａ仮想マシンを備えて
いるならば、その装置はＪａｖａの実行形式であるＪａ
ｖａクラスファイルが実行可能であるため、Ｊａｖａク
ラスファイルを外部伝送路を通じてダウンロードする。

【００５８】識別情報とは、プログラムをダウンロード
する時に、例えば、その発信元が特定されるものである
とする。本実施例では、説明を簡単にするために、これ
をプログラムの名前で代用する。もちろん他の情報であ
ってもよい。

【００５９】識別情報として用いることが可能なもの
に、例えば、インターネットに接続した機器に固有に割
り振られるＩＰアドレスや、Ｗｅｂ，ＦＴＰ，Ｇｏｐｈ
ｅｒ，Ｎｅｗｓ，ＴＥＬＮＥＴなどの情報を指定する世
界共通で一意なアドレスであるＵＲＬ（Ｕｎｉｆｏｒｍ
ＲｅｓｏｕｒｃｅＬｏｃａｔｏｒ）がある。

【００６０】米国ＮｅｔｓｃａｐｅＣｏｍｍｕｎｉｃａ
ｔｉｏｎｓＣｏｒｐｏｒａｔｉｏｎによるＳＳＬ（Ｓｅ
ｃｕｒｅＳｏｃｋｅｔｓＬａｙｅｒ）プロトコルでは、
相手の認証や使用する暗号やデジタル署名のアルゴリズ
ムなどに関するネゴシエーションを行ない，相互に認証
してから，データの送受信を行っているが、もちろんＳ
ＳＬに使用されるものに代表される暗号化された署名を
識別情報とすることも可能である。もちろん、識別情報
は上記に挙げたもの以外のものであってもよい。

【００６１】図５において最初の処理であるＰ１０５で
は、識別情報１０３を解読し、識別情報が、信頼された
プログラム発信元を示しているか否かを判定する。

【００６２】これは図１における、プログラム発信先判
定手段１０５によって行われる処理である。

【００６３】この処理Ｐ１０５の具現は、何らかの形で
識別情報を解釈して、その信頼性を判定できる必要があ
る。例えば以下のような形で、これを実現することがで
きる。

【００６４】プログラム発信先判定手段１０５は、信頼
できる発信元を示した全ての識別情報を記録したデータ
を保持している。信頼できるか否かの判定は、ダウンロ
ードしてきた識別情報をこのデータと照合し、識別情報
がデータに登録されているなら、この識別情報は信頼で
きると判定し、登録されていないなら信頼できないと判
定する。

【００６５】識別情報として、ＳＳＬプロトコルで用い
られるような暗号化された署名を用いている場合には、
プログラム発信先判定手段１０５は、暗号の解読に成功
するか否かによって、識別情報を信頼できるかできない
かを決定することもできる。もちろん、信頼性の判定は
他の手段で行うこともできる。

【００６６】処理Ｐ１０４は、プログラム１０２を解釈
実行する。

【００６７】これは図１における、プログラム解釈実行
手段１０４によって行われる処理である。

【００６８】本発明の備えるプログラム解釈実行手段１
０４は、プログラムを解釈実行することが可能な環境が
備える、従来の実行系と同じ仕組みであり、従来と同様
にプログラムの実行解釈を行う。

【００６９】処理Ｐ１０６は、プログラム１０２がプロ
グラム解釈実行手段１０４によって解釈実行されるのを
禁止する。

【００７０】これは図１における、プログラム解釈実行
禁止手段１０６によって行われる処理である。

【００７１】プログラム解釈実行禁止手段１０６の実現
には、例えば以下のようなものが考えられる。

【００７２】プログラム解釈実行禁止手段１０６は内部
に、図９に示されるテーブルを保持する。

【００７３】このテーブルのエントリは、ダウンロード
したプログラムの識別子と、それに対応する、プログラ
ムの状態を示す値とで構成される。プログラムの状態を
示す値は、ｐｅｒｍｉｔｅｄもしくはｆｏｒｂｉｄｅｎ
という２値のどちらかを取る。テーブルに記録される時
の初期状態はｐｅｒｍｉｔｔｅｄであるとする。

【００７４】プログラム解釈実行手段１０４は、解釈実
行を始める前に図９のテーブルを参照して、解釈実行し
ようとするプログラムの識別子を検索する。該当するプ
ログラムの識別子のエントリの、プログラムの状態を示
す値がｆｏｒｂｉｄｄｅｎであるか、あるいはエントリ
がテーブルにない場合には、そのプログラムの解釈実行
を開始しないことにする。

【００７５】この場合、処理Ｐ１０６は、該当するプロ
グラムの識別子のエントリの、プログラムの状態を示す
値をｆｏｒｂｉｄｄｅｎに変更することによって実現で
きる。

【００７６】ここではプログラム解釈実行禁止手段１０
６の実現にテーブルを用いて実施例を示したが、もちろ
んテーブル以外の構造、例えばリスト、木、ハッシュを
用いて実現することも可能である。

【００７７】処理Ｐ１０４、あるいは処理Ｐ１０６が終
了すると、図１で行われる処理全体が完了する。

【００７８】図２は、請求項５記載のプログラム実行装
置の構成を示したものである。

【００７９】図２から、プログラム解釈実行許可確認手
段１０７を除いた図面が、請求項２記載のプログラム実
行装置の構成を示すものになる。

【００８０】図２の装置の処理のフローチャートを図６
に示す。

【００８１】図６において、Ｐ２０７の処理を「何もし
ない」に置き換えたものが、請求項２記載の装置の処理
のフローチャートになる。

【００８２】これらについて順に説明していく。

【００８３】外部伝送路１０１から受信する、プログラ
ム１０２および識別情報１０３は、先に説明したものと
同じである。

【００８４】図６において最初の処理であるＰ２０５
は、図２におけるプログラム発信先判定手段１０５によ
って行われる処理であり、先に説明したＰ１０５と同じ
処理を行う。

【００８５】処理Ｐ２０７は、プログラムの実行を許可
するか否かをユーザに問い合わせる。

【００８６】これは図２における、プログラム解釈実行
許可確認手段１０７によって行われる処理である。

【００８７】例えばこれは、装置が備えるディスプレイ
に、図１０のような表示を行うことで実現できる。

【００８８】処理Ｐ２０９は、プログラムの実行を許可
するか否かを示す情報である、プログラム解釈実行許可
情報１０８を得る。

【００８９】これは図２における、プログラム解釈実行
許可入力手段１０９によって行われる処理である。

【００９０】装置のユーザは、処理Ｐ２０９が行われる
前に、何らかの意思表明を装置に対して行う。プログラ
ム解釈実行許可入力手段は、その意思表明を受け、装置
内部のデータとして、プログラム解釈実行許可情報１０
８を生成する。

【００９１】ユーザによる意思表明は、装置が備える入
力装置、例えばボタン、スイッチ、ダイヤル、マウス、
トラックボール、ジョイスティック、等による入力操作
の組み合わせによって、あるいはこれらの操作を何もし
ないことによってなされる。

【００９２】例えば・ユーザは、”機能”ボタンを押し
た後、”０”ボタンを押す、という行為を、装置に対し
て行う。これによって装置は、全てのプログラムの実行
が許可されたという情報を得る。・ユーザは、ダイヤル
によって”ｍａｚｅ．ｃｊ”という文字列をディスプレ
イ上で選択した後に、”１”ボタンを押す。これによっ
て装置は、”ｍａｚｅ．ｃｊ”という識別名を持つプロ
グラムの実行が禁止されたという情報を得る。・ユーザ
は、処理Ｐ２０９が行われる前に、プログラムの実行の
許可／禁止を指示する特定の入力を、何ら装置に対して
与えなかったとする。これによって装置は、”ｍａｚ
ｅ．ｃｊ”という識別名を持つプログラムの実行が禁止
されたという情報を得る。

【００９３】ユーザの意思表明は、処理Ｐ２０７と連携
して実施されても良い。例えば、・図１０の表示が行な
われた後に、”０”ボタンを押す、という行為を、装置
に対して行う。これによって装置は、”ｍａｚｅ．ｃ
ｊ”という識別名を持つプログラムの実行が許可された
という情報を得る。

【００９４】ここでは”０”，”１”，”機能”という
ボタンとダイヤル操作の組み合わせによる実施例を示し
たが、もちろんボタンの種類や押す順番は上に挙げたも
の以外であっても良いし、入力装置の組み合わせも他の
ものであっても良い。

【００９５】処理Ｐ２０６Ａは、プログラム解釈実行許
可情報１０８を解釈して、ユーザがプログラム１０２の
実行を許可したか否かを判定する。

【００９６】これは図２において、プログラム解釈実行
禁止手段１０６によって行われる処理である。

【００９７】処理Ｐ２０４は、プログラム１０２を解釈
実行する。

【００９８】これは図２における、プログラム解釈実行
手段１０４によって行われる処理であり、先に説明した
処理Ｐ１０４と同じものである。

【００９９】処理Ｐ２０６Ｂは、プログラム１０２の解
釈実行を禁止する。

【０１００】この処理は、図２のプログラム解釈実行禁
止手段１０６によって行われる処理であり、先に説明し
た処理Ｐ１０６と同じものである。

【０１０１】処理Ｐ２０４、あるいは処理Ｐ２０６Ｂが
終了すると、図２で行われる処理全体が完了する。

【０１０２】図３は、請求項３に記載のプログラム実行
装置の構成を示したものである。

【０１０３】図３の装置の処理のフローチャートを図７
に示す。

【０１０４】これらについて順に説明していく。

【０１０５】外部伝送路１０１から受信する、プログラ
ム１０２および識別情報１０３は、先に説明したものと
同じである。

【０１０６】図７において最初の処理であるＰ３０５
は、図３におけるプログラム発信先判定手段１０５によ
って行われる処理であり、先に説明したＰ１０５と同じ
処理を行う。

【０１０７】処理Ｐ３０４は、プログラム１０２をプロ
グラム解釈実行手段１０４によって実行する。

【０１０８】これは図３における、プログラム解釈実行
選択手段１１１と、プログラム解釈実行手段１０４によ
って行われる処理である。

【０１０９】処理Ｐ３１０は、プログラム１０２をプロ
グラム解釈実行副手段１１０によって実行する。

【０１１０】これは図３における、プログラム解釈実行
選択手段１１１と、プログラム解釈実行副手段１１０に
よって行われる処理である。

【０１１１】プログラム解釈実行副手段１１０は、プロ
グラムを解釈実行することが可能な環境が備える、従来
の実行系と同じ仕組みであり、従来と同様にプログラム
の実行解釈を行うが、これはプログラム解釈実行手段１
０４とは別の手段として装置内部に実現される。

【０１１２】プログラム解釈実行選択手段１１１の実現
には、例えば以下のようなものが考えられる。

【０１１３】プログラム解釈実行選択手段１１１は内部
に、図１１に示されるテーブルを保持する。

【０１１４】このテーブルのエントリは、ダウンロード
したプログラムの識別子と、それに対応する、プログラ
ムの状態を示す値とで構成される。

【０１１５】プログラムの状態を示す値は、ｓｕｃｕｒ
ｅｄもしくはｕｎｓｅｃｕｒｅｄという２値のどちらか
を取る。

【０１１６】プログラムの実行の前に、プログラム解釈
実行選択手段１１１は、プログラム発信先判定手段１０
５の判定結果によって、信頼された発信元からのプログ
ラムであればｓｅｃｕｒｅｄを、そうでなければｕｎｓ
ｅｃｕｒｅｄを記録する。

【０１１７】プログラム解釈実行手段１０４は、解釈実
行を始める前に図１１のテーブルを参照して、解釈実行
しようとするプログラムの識別子を検索する。該当する
プログラムの識別子のエントリの、プログラムの状態を
示す値がｓｅｃｕｒｅｄである場合にのみ、そのプログ
ラムの解釈実行を開始する。

【０１１８】プログラムの状態を示す値がｕｎｓｅｃｕ
ｒｅｄであるか、あるいはエントリがテーブルにない場
合には、そのプログラムの解釈実行はプログラム解釈実
行副手段１１０によって実行される。

【０１１９】ここではプログラム解釈実行選択手段１１
１の実現にテーブルを用いて実施例を示したが、もちろ
んテーブル以外の構造、例えばリスト、木、ハッシュを
用いて実現することも可能である。

【０１２０】処理Ｐ３０４、あるいは処理Ｐ３１０が終
了すると、図３で行われる処理全体が完了する。

【０１２１】図４は、請求項５記載のプログラム実行装
置の構成を示したものである。

【０１２２】図４から、プログラム解釈実行許可確認手
段１０７を除いた図面が、請求項４記載のプログラム実
行装置の構成を示すものになる。

【０１２３】図４の装置の処理のフローチャートを図８
に示す。

【０１２４】図８において、Ｐ４０７の処理を「何もし
ない」に置き換えたものが、請求項４記載の装置の処理
のフローチャートになる。

【０１２５】これらについて順に説明していく。

【０１２６】外部伝送路１０１から受信する、プログラ
ム１０２および識別情報１０３の説明は、先に説明した
ものと同じである。

【０１２７】図８において最初の処理であるＰ４０５
は、図４におけるプログラム発信先判定手段１０５によ
って行われる処理であり、先に説明したＰ１０５と同じ
処理を行う。

【０１２８】処理Ｐ４０７は、プログラムの実行を許可
するか否かをユーザに問い合わせる。

【０１２９】これは図４における、プログラム解釈実行
許可確認手段１０７によって行われる処理であり、先に
説明したＰ２０７と同じ処理を行う。

【０１３０】処理Ｐ４０９は、プログラムの実行を許可
するか否かを示す情報である、プログラム解釈実行許可
情報１０８を得る。

【０１３１】これは図４における、プログラム解釈実行
許可入力手段１０９によって行われる処理であり、先に
説明したＰ２０９と同じ処理を行う。

【０１３２】処理Ｐ４０６Ａは、プログラム解釈実行許
可情報１０８を解釈して、ユーザがプログラム１０２の
実行を許可したか否かを判定する。

【０１３３】これは図４において、プログラム解釈実行
禁止手段１０６によって行われる処理である。

【０１３４】処理Ｐ４０４は、プログラム１０２をプロ
グラム解釈実行手段１０４によって実行する。

【０１３５】これは図４における、プログラム解釈実行
禁止選択手段１１２と、プログラム解釈実行手段１０４
によって行われる処理である。

【０１３６】処理Ｐ４１０は、プログラム１０２をプロ
グラム解釈実行副手段１１０によって実行する。

【０１３７】これは図４における、プログラム解釈実行
禁止選択手段１１２と、プログラム解釈実行副手段１１
０によって行われる処理である。

【０１３８】処理Ｐ４０６Ｂは、プログラム１０２の解
釈実行を禁止する。

【０１３９】この処理は、図４のプログラム解釈実行禁
止選択手段１１２によって行われる処理である。

【０１４０】プログラム解釈実行禁止選択手段１１２の
実現には、例えば以下のようなものが考えられる。

【０１４１】プログラム解釈実行禁止選択手段１１２は
内部に、図１２に示されるテーブルを保持する。このテ
ーブルのエントリは、ダウンロードしたプログラムの識
別子と、それに対応する、プログラムの状態を示す値と
で構成される。

【０１４２】プログラムの状態を示す値は、ｓｕｃｕｒ
ｅｄもしくはｐｅｒｍｉｔｔｅｄもしくはｆｏｒｂｉｄ
ｄｅｎという３つの値のいずれかを取る。ここではエン
トリに最初に記録されるときの初期値はｓｅｃｕｒｅｄ
であるとする。

【０１４３】処理Ｐ４０６Ａにおいて、プログラム解釈
実行選択手段１１１は、プログラム解釈実行許可情報１
０８を解釈して、ユーザが実行を許可していれば、プロ
グラムの状態を示す値にｐｅｒｍｉｔｔｅｄを、そうで
なければｆｏｒｂｉｄｄｅｎを記録する。

【０１４４】プログラム解釈実行手段１０４は、プログ
ラム１０２の解釈実行を始める前に図１１のテーブルを
参照して、解釈実行しようとするプログラムの識別子を
検索する。該当するプログラムの識別子のエントリの、
プログラムの状態を示す値がｓｅｃｕｒｅｄである場合
にのみ、そのプログラムの解釈実行を開始する。

【０１４５】プログラムの状態を示す値がｐｅｒｍｉｔ
ｔｅｄである場合には、プログラム１０２はプログラム
解釈実行副手段１１０によって解釈実行される。

【０１４６】プログラムの状態を示す値がｆｏｒｂｉｄ
ｄｅｎであるか、あるいはエントリがテーブルにない場
合には、プログラム１０２は解釈実行されない。

【０１４７】ここではプログラム解釈実行禁止選択手段
１１２の実現にテーブルを用いて実施例を示したが、も
ちろんテーブル以外の構造、例えばリスト、木、ハッシ
ュを用いて実現することも可能である。

【０１４８】処理Ｐ４０４、あるいは処理Ｐ４１０、あ
るいは処理Ｐ４０６Ｂが終了すると、図４で行われる処
理全体が完了する。

【０１４９】以上が本発明の実施の形態である。

【０１５０】

【発明の効果】以上のように本発明は、外部伝送路を通
して、プログラムと、プログラムの発信元の識別情報を
受信し、その識別情報が、信頼できる発信元を示してい
るかどうかを判定する。

【０１５１】判定の結果、信頼できる発信元のものであ
ることが判別できない場合、実行環境は、そのことをユ
ーザ（実行環境の使用者）に知らせ、ユーザによって与
えられた情報を元に、プログラムの解釈実行を決定す
る。もしくは、従来の解釈実行手段とは異なる、第２の
解釈実行手段によって、そのプログラムを解釈実行す
る。

【０１５２】このような機構を設けることにより、プロ
グラムを実行する装置は、安全であると保証されるプロ
グラムは従来通り、使用資源が少なくかつ高速な解釈実
行を行うことができる。かつダウンロードしたプログラ
ムの安全性・秘匿性・完全性の保証を、装置の低コスト
・省資源性を保ったまま行うことができる。

【図面の簡単な説明】

【図１】本発明のプログラム実行装置の構成例を示す図

【図２】本発明のプログラム実行装置の構成例を示す図

【図３】本発明のプログラム実行装置の構成例を示す図

【図４】本発明のプログラム実行装置の構成例を示す図

【図５】本発明のプログラム実行装置の動作例を示すフ
ローチャート

【図６】本発明のプログラム実行装置の動作例を示すフ
ローチャート

【図７】本発明のプログラム実行装置の動作例を示すフ
ローチャート

【図８】本発明のプログラム実行装置の動作例を示すフ
ローチャート

【図９】プログラム解釈実行禁止手段の構成例を示す図

【図１０】プログラム解釈実行許可確認手段による表示
例を示す図

【図１１】プログラム解釈実行選択手段の構成例を示す
図

【図１２】プログラム解釈実行禁止選択手段の構成例を
示す図

【符号の説明】

１０１通信伝送路１０２プログラム１０３識別情報１０４プログラム解釈実行手段１０５プログラム発信先判定手段１０６プログラム解釈実行禁止手段

Claims

【特許請求の範囲】

【請求項１】外部伝送路を通して送信される、プログ
ラムと外部伝送路を通して送信される、プログラムの発
信元の識別情報とを入力とする、プログラム実行装置で
あり、プログラム実行装置は、プログラムを解釈実行する手段である、プログラム解釈
実行手段と、識別情報が、信頼されたプログラム発信元を示すもので
あるか否かを判定する手段である、プログラム発信先判
定手段と、プログラム解釈実行禁止手段と、からなり、プログラム発信先判定手段の判定に従って、プログラム
解釈実行禁止手段は、プログラム解釈実行手段がプログ
ラムを解釈実行するのを禁止することを特徴とする、プ
ログラム実行装置。
【請求項２】外部伝送路を通して送信される、プログ
ラムと外部伝送路を通して送信される、プログラムの発
信元の識別情報とを入力とする、プログラム実行装置で
あり、プログラム実行装置は、前記プログラム解釈実行手段と、前記プログラム発信先判定手段と、前記プログラム解釈実行禁止手段と、プログラムの解釈実行を許可する、あるいは、禁止す
る、のいずれかを示す、解釈実行許可情報を、ユーザが
入力する手段である、プログラム解釈実行許可入力手段
と、からなり、解釈実行許可情報に従って、プログラム解釈実行禁止手
段は、プログラム解釈実行手段がプログラムを解釈実行
するのを禁止することを特徴とする、プログラム実行装
置。
【請求項３】外部伝送路を通して送信される、プログ
ラムと外部伝送路を通して送信される、プログラムの発
信元の識別情報とを入力とする、プログラム実行装置で
あり、プログラム実行装置は、前記プログラム解釈実行手段と、プログラムを解釈実行する第２の手段である、プログラ
ム解釈実行副手段と、前記プログラム発信先判定手段と、プログラム解釈実行選択手段と、からなり、プログラム発信先判定手段の判定に従ってプログラム解
釈実行選択手段が、プログラムがプログラム解釈実行手
段で実行されるのを許可するかあるいは禁止するかを選
択して、プログラムがプログラム解釈実行手段で実行さ
れるのを禁止する場合には、プログラムをプログラム解
釈実行手段副手段で実行させることを特徴とする、プロ
グラム実行装置。
【請求項４】外部伝送路を通して送信される、プログ
ラムと外部伝送路を通して送信される、プログラムの発
信元の識別情報とを入力とする、プログラム実行装置で
あり、プログラム実行装置は、前記プログラム解釈実行手段と、前記プログラム解釈実行副手段と、前記プログラム発信先判定手段と、プログラムの解釈実行を許可する、あるいは、禁止す
る、のいずれかを示す、前記解釈実行許可情報を、ユー
ザが入力する手段である、前記プログラム解釈実行許可
入力手段と、プログラム解釈実行禁止選択手段と、からなり、プログラム発信先判定手段の判定結果が是である場合に
は、プログラム解釈実行禁止選択手段は、プログラム解
釈実行手段がプログラムを解釈実行することを許可し、プログラム発信先判定手段の判定結果が非である場合に
は、プログラム解釈実行禁止選択手段は、プログラム解
釈実行手段がプログラムを解釈実行することを禁止する
ことを特徴とし、プログラム発信先判定手段の判定結果が非である場合に
は、プログラム解釈実行禁止選択手段はは前記解釈実行
許可情報に従って、プログラム解釈実行副手段がプログ
ラムを解釈実行することを許可する、あるいは禁止す
る、のいずれかを選択することを特徴とする、プログラ
ム実行装置。
【請求項５】プログラム発信先判定手段の判定結果が
否である場合、プログラムの解釈実行を許可するか否か
をユーザに問い合わせる手段である、プログラム解釈実
行許可確認手段を備えることを特徴とした、請求項２お
よび請求項４のプログラム実行装置。
【請求項６】識別情報はＩＰアドレスを含み、プログ
ラム発信先判定手段は、ＩＰアドレスを用いて判定を行
うことを特徴とする、請求項１、２、３、４、５記載の
プログラム実行装置。
【請求項７】識別情報はＵＲＬを含み、プログラム発
信先判定手段１０５は、ＵＲＬを用いて判定を行うこと
を特徴とする、請求項１、２、３、４、５記載のプログ
ラム実行装置。
【請求項８】識別情報は暗号化された署名を含み、プ
ログラム発信先判定手段は、暗号化された署名を用いて
判定を行うことを特徴とする、請求項１、２、３、４、
５記載のプログラム実行装置。