JP2002041170A - プログラム実行制御装置 - Google Patents

Abstract

(57)【要約】 【課題】 ダウンロードしたプログラムの実行に際して
のセキュリティ確保を簡易に行う手段を提供する。 【解決手段】 携帯電話機に搭載されたプログラム実行
装置３００は、使用する機能を宣言した実行時使用機能
情報１０２が付加された実行プログラム１０１を通信路
より取得して、プログラム解釈実行部３０１によって逐
次実行する。実行プログラム１０１の実行に際して、プ
ログラム実行装置３００は、使用を禁止する機能を示す
使用禁止テーブル３０４に含まれる機能が実行時使用機
能情報１０２において使用宣言されていると実行を停止
する。また実行プログラム１０１の実行中に次に実行す
る命令を監視することにより、その命令により利用され
る機能が実行時使用機能情報１０２で使用宣言されてい
ないものであれば実行を停止する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、不正なプログラム
の実行による被害を防ぐ技術に関し、特に携帯情報端末
用のアプリケーションプログラムをダウンロードして携
帯情報端末上で実行する場合におけるセキュリティ確保
のための技術に関する。

【０００２】

【従来の技術】近年、通信技術、ソフトウェア技術等の
進展を背景として、家電機器や携帯情報端末（以下、
「家電機器等」という。）の機能の拡張等を実現するた
めに、ＣＰＵが組み込まれた家電機器等に対するプログ
ラムの配信サービスについての研究開発の要請が高まっ
ている。

【０００３】家電機器等がプログラムの配信サービスに
対応する機能を備えれば、家電機器等は外部のネットワ
ーク上のサーバに用意されたアプリケーションプログラ
ムをダウンロードすることができ、必要な時にそのアプ
リケーションプログラムを実行することができるように
なる。従って、家電機器等のユーザは、家電機器等に最
初から作り込まれている機能のみならず、後からダウン
ロードにより追加された種々の機能を利用することがで
き、例えばユーザは自己の望む機能を実現するアプリケ
ーションプログラムを任意に選択しダウンロードして利
用すること等が可能になる。

【０００４】例えば、携帯情報端末への配信サービスの
対象としては通話及び通信機能に密接に関連した機能の
アプリケーションプログラムやアドレス帳、ゲーム等の
様々なアプリケーションプログラムが考えられる。配信
サービスの対象となるアプリケーションプログラムは、
基本的に、家電機器等を製造しているメーカーやその関
連企業等によって作成される。また、家電機器等のメー
カ等から特定機器用のアプリケーションプログラムの開
発環境となるツール類等の配布を受けた、一般のプログ
ラム開発者や企業によって作成される場合も考えられ
る。

【０００５】こうしてメーカーその他の者により作成さ
れたアプリケーションプログラムを家電機器等の側でダ
ウンロードして利用する場合を想定すると、家電機器等
にはセキュリティ確保のための機能が備えられている必
要がある。なぜなら、メーカー等により正当なものとし
て作成されたアプリケーションプログラムが悪意ある者
によって、望ましくない動作を行うように不正に改変さ
れている場合があり、また、一般のプログラム開発者等
により、望ましくない動作を行うアプリケーションプロ
グラムが提供されている場合もないとはいえないからで
ある。

【０００６】アプリケーションプログラムによる望まし
くない動作としては、機器内のデータ記憶領域内のデー
タを勝手に更新するような動作があり、携帯電話機等の
携帯情報端末においては内部に記憶されている電話番
号、メールアドレスその他のプライバシーに関わる情報
（以下、「個人情報」という。）の読み出しや外部への
発呼等も、ユーザの意思に沿わない場合は望ましくない
動作といえる。

【０００７】ところで、従来パーソナルコンピュータ等
の分野ではインターネットからダウンロードしたアプリ
ケーションプログラムの実行時におけるセキュリティ確
保を実現する仕組みとして、Ｊａｖａ（登録商標）仮想
マシンのコードベリファイアという機構がある。コード
ベリファイアは、アプリケーションプログラムであるＪ
ａｖａクラスファイルを解釈実行する前に、そのフォー
マットや命令列を検査し、静的制約や構造体制約に従っ
て、ダウンロードされたＪａｖａクラスファイルが実行
中に危険な動作を行わないことを保証する。このコード
ベリファイアについては、「Ｔｈｅ Ｊａｖａ Ｖｉｒ
ｔｕａｌ Ｍａｃｈｉｎｅ Ｓｐｅｃｉｆｉｃａｔｉｏ
ｎ」（Ｔｉｍ Ｌｉｎｄｈｏｌｍ、Ｆｒａｎｋ Ｙｅｌ
ｌｉｎ著、Ａｄｄｉｓｏｎ−Ｗｅｓｌｅｙ、１９９７
年）に詳しく記述されている。

【０００８】

【発明が解決しようとする課題】しかしながら、このコ
ードベリファイアによるアプリケーションプログラムの
正当性の検査は、複雑な処理であるため多大な処理ステ
ップを要する。従って、Ｊａｖａクラスファイルを実行
するためにはクロック周波数が最低でも１００ＭＨｚ以
上の高性能のＣＰＵや２ＭＢｙｔｅ〜４ＭＢｙｔｅの大
きなメモリの空き容量等、高価なコンピュータ資源が必
要となる。これは現在においては大部分の家電機器等に
とって過大な資源量であるため、コードベリファイアを
備えることは、家電機器等にとって現実的なセキュリテ
ィ確保の手段とはならない。

【０００９】そこで、本発明は、家電機器等に向けて配
信サービスの対象とされたアプリケーションプログラム
を家電機器等がダウンロードして実行する際のセキュリ
ティ確保を図る必要があることに鑑みてなされたもので
あり、家電機器等、特に携帯情報端末に適用し得るよう
に比較的簡易な方法により、アプリケーションプログラ
ムをダウンロードして実行する際のセキュリティ確保を
実現するプログラム実行制御装置を提供することを目的
とする。

【００１０】

【課題を解決するための手段】上記課題を解決するため
に、本発明に係るプログラム実行制御装置は、機器に搭
載されており、前記機器の特定の資源を利用する機能群
のうち自らが使用する機能を示す使用機能情報が付加さ
れたプログラムを取得して、実行するプログラム実行制
御装置であって、通信路からプログラムを取得する取得
手段と、取得したプログラムを実行する実行手段と、前
記使用機能情報に基づく判断を行い、判断結果がプログ
ラムの実行が不適当であることを表す所定の場合に、前
記実行手段によるプログラムの実行を停止させる停止手
段とを備えることを特徴とする。

【００１１】上記構成により、予めプログラムに、その
プログラムが使用する機能を示す使用機能情報が付加さ
れているので、この使用機能情報を利用することにより
比較的簡易な方法でセキュリティを確保することが可能
になる。即ち、使用機能情報と実際のプログラムの動作
とを比べることによりそのプログラムが改竄されている
ことを検出することや、使用機能情報を参照することに
より、使用を禁止すべき機能をそのプログラムが使用す
るかどうかを検出することが簡易な構成で実現できるよ
うになる。

【００１２】

【発明の実施の形態】以下、本発明の実施の形態である
プログラム実行装置について説明する。 ＜構成＞図１は、本発明の実施の形態に係るプログラム
実行装置３００等の構成図である。

【００１３】同図には、携帯電話機に備えられるプログ
ラム実行装置３００の他に、プログラム実行装置３００
において実行されるオブジェクトプログラム１００と、
オブジェクトプログラム１００を生成するプログラム生
成装置２００とをも示している。 ＜プログラム生成装置＞プログラム生成装置２００は、
実行時使用機能情報を付加したオブジェクトプログラム
を生成する装置であり、コンピュータ上で動作するコン
パイラ及びリンカである。このオブジェクトプログラム
はプログラム実行装置３００上で動作する実行形式のプ
ログラムを意味するものであり、アプリケーションプロ
グラムである。なお、実行時使用機能情報については後
述する。

【００１４】プログラム生成装置２００は、従来のコン
パイラ及びリンカと同等の機能に加えて実行時使用機能
情報を生成する機能を有し、実行時使用機能情報を生成
する機能を実現するために機能ＩＤテーブル２０１と実
行時使用機能情報生成部２０２とを備える。図３は、機
能ＩＤテーブルのデータ構造及び内容例を示す図であ
る。

【００１５】機能ＩＤテーブルは機能ＩＤ４０１とライ
ブラリ番号４０２との組の集合からなるテーブルであ
る。同図に示した内容例では、０ｘ０００１という機能
ＩＤは６というライブラリ番号が対応付けられている。
ここで、機能ＩＤ４０１はプログラム実行装置３００上
で動作するオブジェクトプログラムが利用する各機能の
識別子である。なお、運用上の前提としてプログラム実
行装置３００上で動作するオブジェクトプログラムが利
用できる各機能は予め分類整理され、それぞれに識別子
が定められていることとする。

【００１６】また、ライブラリ番号４０２は、オブジェ
クトプログラム内で呼び出しが可能なライブラリプログ
ラムの番号である。即ち、オブジェクトプログラムの動
作環境であるプログラム実行装置３００上に用意された
ライブラリプログラムの番号である。なお、ライブラリ
呼び出しにより使用し得る機能は、例えば無線インタフ
ェースへのデータ出力機能、ディスプレイへのデータ出
力機能、音声出力回路へのデータ出力機能、無線インタ
フェースからのデータ入力機能、ボタンからのデータ入
力機能等がある。図３の内容例では括弧内に機能ＩＤの
意味する機能を便宜上付記している。

【００１７】実行時使用機能情報生成部２０２は、プロ
グラム生成装置２００が従来のコンパイラ及びリンカと
同等の機能によりオブジェクトプログラムを生成した後
に、生成されたオブジェクトプログラム中で呼び出して
いるライブラリプログラムを検索して機能ＩＤテーブル
２０１に照らして機能ＩＤを得ることにより、オブジェ
クトプログラムが使用する機能を示す実行時使用機能情
報を生成し、そのオブジェクトプログラムに付加する。

【００１８】図４は、オブジェクトプログラムに付加さ
れる実行時使用機能情報のデータ構造及び内容例を示す
図である。実行時使用機能情報は、オブジェクトプログ
ラムがライブラリ呼び出しによって使用し得る全ての機
能について、機能ＩＤ毎に実際にその情報の付加先とな
るオブジェクトプログラムが使用しているか否かを示す
フラグ５０２を対応付けた情報である。フラグ５０２
は、０ｘ００が使用しない旨を示し、０ｘ０１が使用す
る旨を示す。

【００１９】同図の内容例は、例えば機能ＩＤが０ｘ０
００１の機能は使用されず、機能ＩＤが０ｘ０００２の
機能は使用されることを示している。このようなプログ
ラム生成装置２００によって生成されたオブジェクトプ
ログラム１００は図１に示すように、実行プログラム１
０１と実行時使用機能情報１０２とから構成されるもの
となる。ここで、実行プログラム１０１は、通常のオブ
ジェクトプログラム自体であり、プログラム実行装置３
００上で解釈実行されるものである。

【００２０】オブジェクトプログラム１００は、例えば
Ｊａｖａクラスファイルであり、実行時使用機能情報１
０２は、Ｊａｖａクラスファイル中にアトリビュート情
報として置かれる。なお、Ｊａｖａクラスファイルはア
トリビュート情報を付加することができるものである。
またアトリビュート情報は識別番号を設定できるもので
あり、特定のＪａｖａ仮想マシンとの間での取決めに従
ってその内容を定めることができる。つまり、特定の識
別番号のアトリビュート情報を解釈できるようにＪａｖ
ａ仮想マシンを構築しておくことが可能になっている。
また、Ｊａｖａ仮想マシンの仕様では、その特定の識別
番号のアトリビュート情報を解釈できないＪａｖａ仮想
マシンはそのアトリビュート情報を読み飛ばすこととさ
れている。

【００２１】ここでは、実行時使用機能情報１０２は、
プログラム実行装置３００がオブジェクトプログラム１
００を取得して実行する際にメモリにロードした時点で
プログラム実行装置３００によって参照され得るもので
あることとする。 ＜プログラム実行装置＞プログラム実行装置３００は、
携帯電話機内に備えられ、オブジェクトプログラム１０
０を取得して実行する装置であり、オペレーティングシ
ステム及びＪａｖａ仮想マシンを含むものである。

【００２２】プログラム実行装置３００は、図１に示す
ようにプログラム解釈実行部３０１、使用機能監視部３
０２、実行時使用機能監視検査部３０３、使用禁止テー
ブル３０４、実行時使用機能禁止検査部３０５、監視禁
止検査部３０６、ユーザ通達部３０７、プログラム実行
許可判定部３０８、ユーザ禁止指定入力部３０９及び機
能ＩＤテーブル３１０を有する。これらプログラム解釈
実行部３０１その他各部は、基本的に携帯電話機のメモ
リに備えられた制御プログラムがＣＰＵにより実行され
ることによりその機能を発揮する。

【００２３】ここで、プログラム解釈実行部３０１は、
実行プログラム１０１を解釈実行するものであり、基本
的には従来のＪａｖａ仮想マシンと同様にＪａｖａクラ
スファイルを逐次解釈実行するいわゆるインタプリタで
ある。但し、プログラム解釈実行部３０１は通常のイン
タプリタとしての機能に加えて、実行プログラム１０１
の解釈実行中に、実行時使用機能監視検査部３０３、実
行時使用機能禁止検査部３０５又は監視禁止検査部３０
６の通知を受けることにより解釈実行を停止できる機能
を有している。

【００２４】使用機能監視部３０２は、プログラム解釈
実行部３０１が実行プログラム１０１を解釈実行してい
るときに、次に実行されようとしているＪａｖａバイト
コード（以下、「命令」ともいう。）を監視して、予め
定められている機能のうちいずれかが使用されようとし
た場合に、その使用されようとした機能についての機能
ＩＤを出力する。即ち、使用機能監視部３０２は、実行
プログラム１０１を逐次解釈しているプログラム解釈実
行部３０１から、次にプログラムカウンタが指す位置の
命令、つまり次に実行しようとしている命令を通知さ
れ、機能ＩＤテーブル３１０を参照して後述する監視処
理を行うことにより、その命令に対応する機能ＩＤを得
て、機能ＩＤを出力する。

【００２５】実行時使用機能監視検査部３０３は、使用
機能監視部３０２から出力された機能ＩＤと実行時使用
機能情報１０２とを入力とし、実行時使用機能情報１０
２において使用しない旨のフラグに対応付けられている
機能ＩＤが使用機能監視部３０２から出力された場合に
は、実行プログラム１０１の解釈実行を停止するように
プログラム解釈実行部３０１に伝える。

【００２６】使用禁止テーブル３０４は、プログラム実
行装置３００上で動作するアプリケーションプログラム
に使用され得る全ての機能それぞれについて、ダウンロ
ードしたオブジェクトプログラム１００の実行プログラ
ム１０１に対してその機能を使用することを許可してい
るか禁止しているかを示す情報を記録したテーブルであ
る。

【００２７】図５は、使用禁止テーブル３０４のデータ
構造及び内容例を示す図である。同図に示すように使用
禁止テーブルは機能ＩＤ６０１とその機能ＩＤで示され
る機能の使用が許可されているか禁止されているかを示
すフラグ６０２との組の集合からなるテーブルである。
機能ＩＤ６０１は、アプリケーションプログラムに使用
され得る機能を区分して、区分された各機能に一意とな
るように識別子を割り当てたものであり、その各機能に
は、アプリケーションプログラムから呼び出されるライ
ブラリに対応した機能が含まれ、さらにロード命令やス
トア命令に対応する機能が含まれる。つまり、使用禁止
テーブルには、機能ＩＤテーブル又は実行時使用機能情
報に含まれる機能ＩＤを全て包含した上にロード命令や
ストア命令に対応する機能ＩＤが含まれる。

【００２８】フラグ６０２は、０ｘ００が使用を禁止す
る旨を示し、０ｘ０１が使用を許可する旨を示す。同図
に示す内容例では、例えば、ロード命令に対応するもの
として、個人情報領域からのデータ読出を意味する０ｘ
０１０１という機能ＩＤの機能と、システム領域からの
データ読出を意味する０ｘ０１０２という機能ＩＤの機
能と、ストア命令に対応するものとして、個人情報領域
へのデータ書込を意味する０ｘ０２０１という機能ＩＤ
の機能と、システム領域へのデータ書込を意味する０ｘ
０２０２という機能ＩＤの機能とは、使用が禁止されて
いることを示している。なお、個人情報領域及びシステ
ム領域については後に説明する。

【００２９】また、実行時使用機能禁止検査部３０５
は、実行時使用機能情報１０２と使用禁止テーブル３０
４とを参照して、これらを比較することにより、実行時
使用機能情報１０２において使用する旨のフラグに対応
付けられている機能ＩＤと同一の機能ＩＤが使用禁止テ
ーブル３０４においては使用を禁止する旨のフラグに対
応付けられている場合には、実行プログラム１０１の解
釈実行を停止するようにプログラム解釈実行部３０１に
伝える。

【００３０】監視禁止検査部３０６は、使用機能監視部
３０２から出力された機能ＩＤと使用禁止テーブル３０
４とを入力とし、使用禁止テーブルにおいて使用を禁止
する旨のフラグに対応付けられている機能ＩＤが使用機
能監視部３０２から出力された場合には、実行プログラ
ム１０１の解釈実行を停止するようにプログラム解釈実
行部３０１に伝える。

【００３１】ユーザ通達部３０７は、プログラム解釈実
行部３０１による実行プログラム１０１の解釈実行が停
止した旨を携帯電話機のディスプレイに表示するよう制
御して、プログラムの実行停止をユーザに通達するもの
である。プログラム実行許可判定部３０８は、ユーザ通
達部３０７とともに解釈実行の停止時におけるユーザイ
ンタフェースを構成するものであり、実行プログラム１
０１の解釈実行の停止の旨をユーザ通達部３０７がディ
スプレイに表示するよう制御した場合に、実行プログラ
ム１０１の停止を解除するか又は実行プログラム１０１
の実行を終了するかのユーザによる指定を携帯電話機の
各種ボタン等を通じて受け付け、その指定に応じてプロ
グラム解釈実行部３０１に対して停止の解除又は終了の
指示を伝える。

【００３２】ユーザ禁止指定入力部３０９は、使用禁止
テーブル３０４の内容の変更についての入力を携帯電話
機の各種ボタン等を通じてユーザから受け付け、その入
力に応じて使用禁止テーブル３０４を更新する。ユーザ
禁止指定入力部３０９が存在することによって、ユーザ
はダウンロードしたアプリケーションプログラムにより
特定の機能が使用されることを許可するか禁止するかを
指定することができる。

【００３３】また、機能ＩＤテーブル３１０は、機能Ｉ
Ｄテーブル２０１と同一内容のテーブルであり、図３に
示す構造を有するテーブルである。なお、プログラム実
行装置３００は、無線基地局を介して通信によりアプリ
ケーションプログラムを取得、即ちダウンロードして携
帯電話機に備えられたメモリに格納する機能を有する。

【００３４】図２は、プログラム実行装置３００を備え
る携帯電話機３２０とダウンロード対象のオブジェクト
プログラムとの関係を示す図である。公衆網に接続され
たコンピュータであるプログラム格納サーバ２５０には
携帯電話機にダウンロードされることを目的としてプロ
グラム生成装置２００を備えるプログラム生成系から提
供されたオブジェクトプログラム１００が格納されてい
る。プログラム実行装置３００を備える携帯電話機３２
０は、無線基地局２６０と無線通信することにより無線
基地局２６０を介してプログラム格納サーバ２５０に格
納されているオブジェクトプログラム１００をダウンロ
ードすることができる。

【００３５】＜メモリ構造＞ここで、プログラム実行装
置３００が実行するアプリケーションプログラムがアク
セスし得るメモリについて説明する。メモリは、個人情
報を記録するための個人情報領域と、オペレーティング
システムやインタプリタ機能の実行に必要な情報を記録
するためのシステム領域と、その他の領域とに分けられ
る。

【００３６】図６は、メモリ内の領域の分類を示した図
である。同図に示すようにメモリは０ｘ００００番地か
ら０ｘ３ＦＦＦ番地までがシステム領域であり、０ｘ４
０００番地から０ｘ７ＦＦＦ番地までが個人情報領域で
あり、０ｘ８０００番地から０ｘＦＦＦＦ番地までがシ
ステム領域でも個人情報領域でもないその他の領域であ
る。

【００３７】つまり、携帯電話機に最初から内蔵された
アプリケーションプログラムによって、個人情報は個人
情報領域に記録されるようになっており、またプログラ
ム実行装置３００はシステム領域にアクセスして処理の
実行に必要なデータの記録及び読み出しを行うものであ
る。図７は、個人情報の内容の具体例を示す図である。
同図に示すように、個人情報は、人物名や電話番号等の
個人のプライバシーに関わる情報を含んでいる。従っ
て、この個人情報領域に格納されている個人情報は不正
なアクセスから特に保護されるべきである。 ＜動作＞以下、上述の構成を備えるプログラム実行装置
３００の動作について説明する。

【００３８】＜解釈実行動作＞図８は、プログラム実行
装置３００がダウンロードしたオブジェクトプログラム
を解釈実行する際における処理手順を示すフローチャー
トである。プログラム実行装置３００は、無線基地局と
の通信によりオブジェクトプログラム１００をダウンロ
ードし、メモリに格納した後、解釈実行を始める。

【００３９】プログラム解釈実行部３０１が実行プログ
ラム１０１の解釈実行を行うに際して、まず実行時使用
機能禁止検査部３０５は、Ｊａｖａクラスファイルの特
定の識別番号で識別されるアトリビュート情報を参照す
ることにより実行時使用機能情報１０２にアクセスし
て、実行時使用機能情報１０２と使用禁止テーブル３０
４とを比較し（ステップＳ１０１）、実行時使用機能情
報１０２において使用する旨のフラグと対応付けられて
いる機能ＩＤのうちいずれかが、使用禁止テーブルにお
いて使用が禁止されている旨のフラグと対応付けられて
いる機能ＩＤと一致するか否かを判定する（ステップＳ
１０２）。

【００４０】ステップＳ１０２において一致すると判定
した場合には、実行時使用機能禁止検査部３０５はプロ
グラム解釈実行部３０１及びユーザ通達部３０７に停止
を通知しプログラム実行装置３００は解釈実行停止処理
を行い（ステップＳ１０３）、一致しないと判定した場
合にはステップＳ１０３をスキップし、続いて監視処理
を行う（ステップＳ１０４）。なお、解釈実行停止処理
については後に説明する。

【００４１】ここで、監視処理を説明する。図９は、使
用機能監視部３０２による監視処理を示すフローチャー
トである。プログラム解釈実行部３０１はプログラムカ
ウンタを参照して次に実行する命令を得て使用機能監視
部３０２に伝える（ステップＳ２０１）。使用機能監視
部３０２は、その命令がａｌｏａｄ等のデータ読出命令
であるか否かを判定し（ステップＳ２０２）、データ読
出命令であれば、その命令のオペランドに基づいて、メ
モリ内の読出対象となる位置である読出アドレスを取得
する（ステップＳ２０３）。読出アドレスがレジスタ等
によって指定されている場合であっても、ステップＳ２
０３の実行の際におけるそのレジスタ等の内容値を参照
することによって実際の読出アドレスを取得する。

【００４２】読出アドレスを取得した後、その読出アド
レスはシステム領域内を指すものであるか否かを判定し
（ステップＳ２０４）、システム領域内を指すものであ
れば０ｘ０１０２という機能ＩＤを実行時使用機能監視
検査部３０３及び監視禁止検査部３０６に伝えて監視処
理を終了する（ステップＳ２０５）。ステップＳ２０４
においてシステム領域内を指すものでなければ、読出ア
ドレスは個人情報領域内を指すものであるか否かを判定
し（ステップＳ２０６）、個人情報領域内を指すもので
あれば０ｘ０１０１という機能ＩＤを実行時使用機能監
視検査部３０３及び監視禁止検査部３０６に伝えて監視
処理を終了する（ステップＳ２０７）。

【００４３】ステップＳ２０６において個人情報領域内
を指すものでなければ、０ｘ００００という機能ＩＤを
実行時使用機能監視検査部３０３及び監視禁止検査部３
０６に伝えて監視処理を終了する（ステップＳ２０
８）。得た命令がデータ読出命令でない場合には（ステ
ップＳ２０２）、使用機能監視部３０２はその命令がａ
ｓｔｏｒｅ等のデータ書込命令であるか否かを判定し
（ステップＳ２０９）、データ書込命令であれば、その
命令のオペランドに基づいて、メモリ内の書込対象とな
る位置である書込アドレスを取得する（ステップＳ２１
０）。書込アドレスがレジスタ等によって指定されてい
る場合であっても、ステップＳ２１０の実行の際におけ
るそのレジスタ等の内容値を参照することによって実際
の書込アドレスを取得する。

【００４４】書込アドレスを取得した後、その書込アド
レスはシステム領域内を指すものであるか否かを判定し
（ステップＳ２１１）、システム領域内を指すものであ
れば０ｘ０２０２という機能ＩＤを実行時使用機能監視
検査部３０３及び監視禁止検査部３０６に伝えて監視処
理を終了する（ステップＳ２１２）。ステップＳ２１１
においてシステム領域内を指すものでなければ、書込ア
ドレスは個人情報領域内を指すものであるか否かを判定
し（ステップＳ２１３）、個人情報領域内を指すもので
あれば０ｘ０２０１という機能ＩＤを実行時使用機能監
視検査部３０３及び監視禁止検査部３０６に伝えて監視
処理を終了する（ステップＳ２１４）。

【００４５】ステップＳ２１３において個人情報領域内
を指すものでなければ、０ｘ００００という機能ＩＤを
実行時使用機能監視検査部３０３及び監視禁止検査部３
０６に伝えて監視処理を終了する（ステップＳ２１
５）。得た命令がデータ書込命令でない場合には（ステ
ップＳ２０９）、使用機能監視部３０２はその命令がｉ
ｎｖｏｋｅ ｖｉｒｔｕａｌ等のライブラリ呼出命令で
あるか否かを判定し（ステップＳ２１６）、ライブラリ
呼出命令であれば、その命令のオペランドからライブラ
リ番号を得て、そのライブラリ番号に対応する機能ＩＤ
を機能ＩＤテーブル３１０を参照することにより取得し
て、その機能ＩＤを実行時使用機能監視検査部３０３及
び監視禁止検査部３０６に伝えて監視処理を終了する
（ステップＳ２１７）。

【００４６】また、ステップＳ２１６においてライブラ
リ呼出命令でなければ、使用機能監視部３０２は、０ｘ
００００という機能ＩＤを実行時使用機能監視検査部３
０３及び監視禁止検査部３０６に伝えて監視処理を終了
する（ステップＳ２１８）。なお、使用機能監視部３０
２から出力される機能ＩＤは、ライブラリ呼出命令に対
応する機能ＩＤかそれ以外の命令に対応する機能ＩＤか
が識別できるようになっており、ここでは、機能ＩＤの
うち上位８ビットが０ｘ００であるものがライブラリ呼
出命令に対応するものであることとしている。

【００４７】以下、図８に即した説明に戻る。上述した
監視処理（ステップＳ１０４）の後、実行時使用機能監
視検査部３０３は監視処理の結果として使用機能監視部
３０２から出力された機能ＩＤと、実行時使用機能情報
１０２との比較検査を行い（ステップＳ１０５）、実行
プログラム１０１中の次に実行される命令によって使用
される機能の機能ＩＤ即ち監視処理の結果として出力さ
れた機能ＩＤと同一の機能ＩＤが実行時使用機能情報１
０２において使用しない旨のフラグと対応付けられてい
るか否かを判定する（ステップＳ１０６）。ステップＳ
１０６は、実行時使用機能情報１０２によって使用しな
いと宣言している機能を、実際の実行に際しては使用し
ようとしていたか否かを判定するという意味を持つ。

【００４８】ステップＳ１０６において監視処理の結果
として出力された機能ＩＤが実行時使用機能情報１０２
において使用しない旨のフラグと対応付けられている機
能ＩＤであった場合に限り、実行時使用機能監視検査部
３０３はプログラム解釈実行部３０１及びユーザ通達部
３０７に停止を通知しプログラム実行装置３００は解釈
実行停止処理を行い（ステップＳ１０７）、その他の場
合にはステップＳ１０７をスキップし、その後に監視処
理の結果として出力された機能ＩＤと使用禁止テーブル
との比較検査を監視禁止検査部３０６が行う（ステップ
Ｓ１０８）。

【００４９】ステップＳ１０８においては監視禁止検査
部３０６は監視処理の結果として出力された機能ＩＤと
同一の機能ＩＤが使用禁止テーブルにおいて使用を禁止
する旨のフラグと対応付けられているか否かを判定する
（ステップＳ１０９）。この判定の結果、監視処理の結
果として出力された機能ＩＤが使用禁止テーブルにおい
て使用を禁止する旨のフラグと対応付けられている機能
ＩＤであった場合に限り監視禁止検査部３０６はプログ
ラム解釈実行部３０１及びユーザ通達部３０７に停止を
通知し解釈実行停止処理を行い（ステップＳ１１０）、
その他の場合にはステップＳ１１０をスキップする。

【００５０】続いて、監視処理の対象となった命令即ち
次に実行されるべき命令をプログラム解釈実行部３０１
が解釈実行する（ステップＳ１１１）。プログラム解釈
実行部３０１による実行プログラム１０１の全ての処理
の解釈実行が終了するまでステップＳ１０４からＳ１１
１の処理が繰り返され、全ての処理の解釈実行が終了す
るとプログラム実行装置の動作も終了する（ステップＳ
１１２）。

【００５１】以下、解釈実行停止処理について説明す
る。図１０は、解釈実行停止処理を示すフローチャート
である。停止の通知を受けたプログラム解釈実行部３０
１は実行プログラムの解釈実行を停止するように内部の
変数等による制御状態を設定し（ステップＳ３０１）、
ユーザ通達部３０７は解釈実行が停止されたことをユー
ザに通達する（ステップＳ３０２）。

【００５２】このステップＳ３０２におけるユーザ通達
部３０７の制御によりディスプレイに表示される画面
は、例えば図１１に示すものとなる。この画面はファイ
ル名がｍａｚｅ．ｃｊである実行プログラム１０１の実
行が停止された旨を示すとともにユーザに対して実行の
継続を指示する場合に用いるボタンを知らせるものであ
る。

【００５３】ユーザ通達部３０７によるユーザへの停止
の通達の後にプログラム実行許可判定部３０８はユーザ
の入力を受け付け解釈し（ステップＳ３０３）、実行プ
ログラム１０１の解釈実行を継続する旨の指示の入力で
あるか否かを判断する（ステップＳ３０４）。ステップ
Ｓ３０４において解釈実行の継続の指示と判断した場合
にはプログラム実行許可判定部３０８はプログラム解釈
実行部３０１に解釈実行の停止の解除を指示し、これを
受けてプログラム解釈実行部３０１は解釈実行の停止を
解除するように制御状態を設定する（ステップＳ３０
５）。このステップＳ３０５により実行プログラム１０
１は引き続いて解釈実行されるものとなる。

【００５４】またステップＳ３０４において解釈実行の
継続の指示でないと判断した場合にはプログラム実行許
可判定部３０８はプログラム解釈実行部３０１に解釈実
行の終了を指示し、これを受けてプログラム解釈実行部
３０１は解釈実行を終了するように制御状態を設定す
る。（ステップＳ３０６）。このステップＳ３０６によ
り実行プログラム１０１は以後解釈実行されることはな
くなり、プログラム実行装置３００の動作は終了する。

【００５５】＜使用禁止テーブル更新動作＞プログラム
実行装置３００は、プログラムの解釈実行中以外の時に
おいて使用禁止テーブルの更新を行う機能を有する。こ
の機能は、ユーザにより例えば携帯電話機の特定のボタ
ンが押下された場合等の所定操作に対応して実行される
ものであり、所定操作が行われるとユーザ禁止指定入力
部３０９は携帯電話機のディスプレイに図１２に示すよ
うな使用禁止機能選択画面を表示するよう制御して、ユ
ーザによる使用禁止機能の指定に関する入力を受け付け
る。

【００５６】ユーザ禁止指定入力部３０９は、図１２に
示すように機能項目等を表示し、ユーザの特定のボタン
操作に応じて機能項目の表示をスクロールさせ、また
「１」又は「０」のボタン入力を受け付けると強調表示
されている機能項目で表しているところの機能の使用を
許可又は禁止とするように使用禁止テーブル３０４を更
新する。

【００５７】これにより、使用を禁止する機能をユーザ
が定めることができるようになる。例えば個人情報を読
み出されても構わないと考えるユーザであれば、個人情
報領域からのデータ読出の機能の使用を許可するように
使用禁止テーブル３０４を変更することが可能になる。 ＜補足＞以上、本発明に係るプログラム実行装置につい
て実施の形態を用いて説明したが、本発明は実施の形態
に示したものに限られることはない。即ち、 （１）本実施の形態では、個人情報が格納されるメモリ
内の領域等はそのアドレスが固定的に定められているも
のとしたが、特定サイズのデータ毎にフラグを付加する
こととし、そのフラグにより個人情報であるかその他の
情報であるかを識別できるようにしておくこととすれ
ば、個人情報はメモリ空間内の任意のアドレスに分散し
て格納することも可能となる。つまり固定的でない特定
サイズの個人情報領域が複数存在することとしてもよ
い。

【００５８】図１３は、メモリ内に個人情報であるデー
タと個人情報以外であるデータがフラグによって識別可
能となるように格納されている例を示す図である。同図
ではフラグは０か１の値をとり、フラグが１であれば個
人情報であることを示している。このような場合には、
監視処理における読出アドレス又は書込アドレスが個人
情報領域内か否かの判断（ステップＳ２０６、Ｓ２１
３）は、そのアドレスが指すデータに付加されたフラグ
が０か１かに基づいて行うこととする必要がある。な
お、個人情報とシステムデータとその他のデータとを識
別するようなフラグを特定サイズのデータ毎に付加する
こととすれば、同様の方法によりシステム領域内か否か
の判断（ステップＳ２０４、Ｓ２１１）をも行うことと
してもよい。 （２）本実施の形態において使用禁止テーブル３０４や
実行時使用機能情報１０２等において示した機能の区分
は単なる一例であり、他の区分であってもよい。また、
機能ＩＤテーブルはライブラリ呼出命令に対応する機能
を列挙したテーブルとなっており、実行時使用機能情報
１０２にはライブラリ呼出命令により実行され得る全て
の機能について、使用するかしないかのフラグを対応付
けた情報であるとしたが、ライブラリ呼出命令でない他
の特定の命令により実行される機能についての情報を盛
り込むこととしてもよい。但し、機能ＩＤテーブル及び
実行時使用機能情報に機能ＩＤが含まれる機能は、その
機能の使用の有無の確認がプログラムの実行前において
簡易に行えるものとするのが望ましい。

【００５９】なお、通常、プログラム実行装置が搭載さ
れた機器側に用意されたライブラリをオブジェクトプロ
グラムが呼び出すことにより使用できる機能は、その機
器の特定の資源を利用する機能であるため、機能ＩＤテ
ーブルはライブラリ毎に対応する機能を列挙したテーブ
ルであることとすると、オブジェクトプログラムが危険
動作を行うことを回避するというセキュリティ確保の目
的を達成するためには適したものとなるといえる。 （３）本実施の形態では、使用禁止テーブル（図５参
照）により無線インタフェースへのデータ出力や無線イ
ンタフェースからのデータ入力を禁止する例を示した
が、これらを必ずしも禁止しなければならないことはな
く、また他の回路へのデータ入出力を禁止することとし
てもよいし、その他のライブラリ呼出によって実現され
る機能を禁止してもよい。また、無線インタフェースか
らのデータ入力及び無線インタフェースへのデータ出力
の機能を禁止する代わりに外部への発呼機能、即ち電話
をかける機能を禁止することとしてもよい。

【００６０】なお、無線インタフェースを通じてのデー
タ入出力を禁止することは、ユーザが知らない内に外部
と通信することを防ぐ意味において実用上有用である。
また、例えばボタン、スイッチ、ダイヤル、マウス、ト
ラックボール、ジョイスティック、キーボード、マイ
ク、カメラ、センサ等の広い意味での入力デバイスから
のデータ取得を禁止することや、ディスプレイ、ＬＥ
Ｄ、ランプ、スピーカー、バイブレータ等の広い意味で
の出力デバイスへのデータ出力を禁止することは、盗聴
等の不正な情報取得の防止や、迷惑な出力の防止の面に
おいて有用な場合がある。

【００６１】また、本実施の形態では、使用禁止テーブ
ルにより個人情報領域からのデータ読出、システム領域
からのデータ読出、個人情報領域へのデータ書込及びシ
ステム領域へのデータ書込を禁止する例を示したが、こ
れらを必ずしも禁止しなければならないことはなく、ま
たその他の特定の命令の実行を禁止するようにしてもよ
い。なお、個人情報へのアクセスを禁止することは、プ
ライバシー保護等の面から実用上有用である。 （４）本実施の形態において図１０のステップＳ３０３
で示したユーザの入力は、ボタンに限らず、他の入力デ
バイスを介してなされることとしてもよい。また、ステ
ップＳ３０３においては、予め定められた取決めに従っ
て、ユーザが操作をなさなかったことを特定の指定を入
力したものと解釈することにしてもよい。例えば、実行
プログラムが停止した旨がディスプレイに表示されてか
ら３０秒間何も入力しなければ、プログラム実行許可判
定部３０８はその実行プログラムの解釈実行の継続を行
わないという指定がユーザによりなされたと解釈するこ
ととしてもよい。 （５）本実施の形態において図２に示したオブジェクト
プログラム１００を携帯電話機がダウンロードする際に
は、そのオブジェクトプログラム１００の配信側である
プログラム格納サーバ２５０の正当性を確認するため
に、相互認証等を行うこととしてもよい。

【００６２】また、本実施の形態では、プログラム実行
装置３００は携帯電話機に備えられるものとしたが、こ
れに限定されるものではなく、他の家電機器や携帯情報
端末に適用されるものであることとしてもよい。また、
プログラム実行装置３００の実行対象となるオブジェク
トプログラムの取得経路も図２に示したものに限定され
ることはなく、例えばＢｌｕｅｔｏｏｔｈ、ＨｏｍｅＲ
Ｆ等に定められているような方法でオブジェクトプログ
ラムが伝送されることとしてもよい。 （６）本実施の形態では、ダウンロードするアプリケー
ションプログラム、即ちオブジェクトプログラムはＪａ
ｖａクラスファイルであることとしたが、これに限定さ
れることはなく、機械語プログラムであることとしても
よい。機械語プログラムの場合にはプログラム解釈実行
部３０１はＣＰＵであることとし、使用機能監視部３０
２はいわゆるプログラムカウンタに相当するレジスタが
変化する毎に各レジスタ及びメモリを参照して次に実行
される命令を監視することとしてもよい。 （７）本実施の形態で示した図１０のステップＳ３０６
は、実行プログラムの解釈実行を終了するだけである
が、ステップＳ３０６はさらに、終了した実行プログラ
ムとこれに付随する実行時使用機能情報とを携帯電話機
の記憶装置内から削除することとしてもよい。また、ダ
ウンロードしたオブジェクトプログラムをプログラム実
行装置３００が実行することによって図８のステップＳ
１１２でＹＥＳの分岐に進んだ場合において、次の処理
を追加することとしてもよい。その処理は、実行が完了
したオブジェクトプログラムを次回以後は通常のインタ
プリタ等の実行対象とするための処理であり、例えばそ
のオブジェクトプログラムのファイル名を安全であるア
プリケーションプログラムのリストに登録する処理や、
Ｊａｖａクラスファイルのアトリビュート情報に安全で
ある旨の情報を記録する処理等が考えられる。なお、オ
ブジェクトプログラムが通常のインタプリタ等の実行対
象となるということの意味は、使用機能監視等の不正な
機能の実行を抑止するための処理を行うことなく実行さ
れるということである。従って、例えば安全であるアプ
リケーションプログラムのリストに登録されているオブ
ジェクトプログラム、安全である旨の情報が付加された
オブジェクトプログラム等の安全性が保証されたプログ
ラムについては、プログラム実行装置３００が不正な機
能の実行を抑止することなく従来のインタプリタと同様
の機能のみを用いてそのプログラムを実行することとし
てもよい。 （８）本実施の形態で示したプログラム生成装置２００
は、オブジェクトプログラムを生成した後に、そのオブ
ジェクトプログラムが使用する機能の機能ＩＤを検索し
て実行時使用機能情報を生成することとしたが、Ｃ言語
やＪａｖａ言語等で記述されたソースプログラムをオブ
ジェクトプログラムに翻訳する過程において、そのオブ
ジェクトプログラム使用することになる機能を把握して
実行時使用機能情報を生成するものであってもよい。

【００６３】また、プログラム生成装置２００は、オブ
ジェクトプログラムに含める実行時使用機能情報を、配
信経路における改竄から保護するために暗号化すること
としてもよい。この場合にはプログラム実行装置３００
側では実行時使用機能情報を復号して参照するようにす
る必要がある。 （９）本実施の形態では、個人情報領域には、人物名、
電話番号、メールアドレスその他の個人情報が含まれる
こととして、ダウンロードしたオブジェクトプログラム
による個人情報領域へのデータ書込又は個人情報領域か
らのデータ読出の機能の使用を禁止することとし、また
ユーザは使用禁止テーブルの更新によりこれらの機能の
使用を禁止から許可に変更することができることとし
た。このように個人情報をひとまとめに管理するのでは
なく、個人情報を複数の種別に区分して種別毎に管理す
ることとしてもよい。即ち、個人情報領域を第１種個人
情報領域、第２種個人情報領域、第３種個人情報領域等
と区分して、この区分された領域毎に、ダウンロードし
たオブジェクトプログラムによるデータ書込や読出の禁
止又は許可の制御を行うこととしてもよい。 （１０）本実施の形態において実行プログラムの解釈実
行に関して用いた「停止」という用語は、図８のステッ
プＳ１０１、Ｓ１０２に示した処理等を実行プログラム
の起動前に行う場合には解釈実行の「抑止」を意味す
る。なお、実行プログラムが複数のモジュールから構成
される場合においてプログラム実行装置３００が各モジ
ュールを必要時に動的にメモリにロードして実行すると
してもよく、この場合にはロード直後にステップＳ１０
１〜Ｓ１０３の処理を行うこととしてもよいので、必ず
しも実行プログラムの起動前に解釈実行を抑止するとは
限らず、実行プログラムの実行中に解釈実行を停止する
ケースも起り得る。 （１１）本実施の形態において図１１に示した画面に
は、実行プログラムがどの機能を使用することになるた
めに停止されたか等、停止を解除させるべきか否かのユ
ーザによる判断に有用な情報を付加することとしてもよ
い。 （１２）本実施の形態におけるプログラム実行装置３０
０の処理手順（図８〜図１０に示した手順等）を、プロ
グラム実行機能を有する家電機器、携帯情報端末等に実
行させるためのコンピュータプログラムを、記録媒体に
記録し又は各種通信路等を介して、流通させ頒布するこ
ともできる。このような記録媒体には、ＩＣカード、光
ディスク、フレキシブルディスク、ＲＯＭ等がある。流
通、頒布されたコンピュータプログラムは、家電機器、
携帯情報端末等にインストール等されることにより利用
に供され、家電機器、携帯情報端末等は、前記コンピュ
ータプログラムを実行して本実施の形態で示したような
プログラム実行装置を実現する。

【００６４】

【発明の効果】以上の説明から明らかなように、本発明
に係るプログラム実行制御装置は、機器に搭載されてお
り、前記機器の特定の資源を利用する機能群のうち自ら
が使用する機能を示す使用機能情報が付加されたプログ
ラムを取得して、実行するプログラム実行制御装置であ
って、通信路からプログラムを取得する取得手段と、取
得したプログラムを実行する実行手段と、前記使用機能
情報に基づく判断を行い、判断結果がプログラムの実行
が不適当であることを表す所定の場合に、前記実行手段
によるプログラムの実行を停止させる停止手段とを備え
ることを特徴とする。

【００６５】これにより、予めプログラムに、そのプロ
グラムが使用する機能を示す使用機能情報が付加されて
いるので、この使用機能情報を利用することにより比較
的簡易な方法でセキュリティを確保することが可能にな
る。即ち、使用機能情報と実際のプログラムの動作とを
比べることによりそのプログラムが改竄されていること
を検出することや、使用機能情報を参照することによ
り、使用を禁止すべき機能をそのプログラムが使用する
かどうかを検出することが簡易な構成で実現できるよう
になる。

【００６６】また、前記プログラムは複数の命令を含
み、前記実行手段は前記プログラム中の命令を実行する
ものであり、前記停止手段は、実行中のプログラムにお
ける次に実行対象となる命令を監視し、前記命令が前記
機能群のうち前記使用機能情報において使用する機能と
して示されていない機能を使用する命令であった場合に
前記実行手段による前記プログラムの実行を停止させる
こととしてもよい。

【００６７】これにより、ダウンロードしたプログラム
に付加されておりそのプログラムが使用する機能を示す
使用機能情報と、実際の動作時にそのプログラムが使用
しようとする機能を監視した結果とを比較することにな
るので、使用機能情報とプログラムとの相違を検出する
ことができる。従ってプログラム生成時においては使用
機能情報とプログラムとは整合するものであることを前
提とすると、プログラムが通信路において不正に改竄さ
れていることが簡単に検出できることになり、不正に改
竄されたプログラムの実行による被害を防止することが
できるようになる。

【００６８】また、前記使用機能情報は暗号化されてお
り、前記停止手段は前記使用機能情報を復号して参照す
ることとしてもよい。これにより、使用機能情報が暗号
化されているために通信経路においてプログラムと使用
機能情報との両方を不正に書き換えることが困難にな
り、その結果、プログラムと使用機能情報との不整合を
調べることによりプログラムの改竄は容易に検出可能と
なる。

【００６９】また、前記プログラム実行制御装置は、使
用を禁止する機能を示す禁止機能情報を記憶する禁止機
能記憶手段を備え、前記停止手段は、前記禁止機能情報
に示されている使用を禁止する機能が前記使用機能情報
に使用する機能として示されている場合には前記実行手
段によるプログラムの実行を停止させることとしてもよ
い。

【００７０】これにより、危険等の理由から予め使用を
禁止するものと定めている機能を、使用することが示さ
れているプログラムの実行を停止するので、使用機能情
報と禁止機能情報の比較だけの簡易な方法により安全性
が確保できる。なお、ここでいう停止にはプログラム実
行そのものを行わない抑止も含まれる。また、前記禁止
機能情報が示す使用を禁止する機能には、少なくとも無
線通信の機能が含まれることとしてもよい。

【００７１】これにより、機密情報の流出の可能性があ
り、また通信料金が必要となる場合もあり得る等の理由
から、ダウンロードしたプログラムに自由に使用させる
のは問題がある無線通信機能を使用するプログラムを停
止することができる。また、前記禁止機能情報が示す使
用を禁止する機能には、少なくとも出力デバイスからの
データ出力の機能が含まれることとしてもよい。

【００７２】これにより、ダウンロードしたプログラム
がディスプレイにパスワード等の秘密の情報を表示する
等の出力動作を行うことを防止することができる。ま
た、前記禁止機能情報が示す使用を禁止する機能には、
少なくとも入力デバイスからのデータ取得の機能が含ま
れることとしてもよい。これにより、ダウンロードした
プログラムがマイクを通じてデータを取得して盗聴を行
う等のデータ取得動作を行うことを防止することができ
る。

【００７３】また、前記プログラム実行制御装置はさら
に、ユーザの操作を受け付けて前記操作に応じて前記禁
止機能情報を更新する禁止機能変更手段を備えることと
してもよい。これにより、危険等の理由から予め使用を
禁止するものと定めている機能についてもユーザによっ
ては危険と考えない場合もあり得ることに対応し、ダウ
ンロードしたプログラムに使用させたくない機能をユー
ザが自由に設定できるようになる。

【００７４】また、本発明に係るプログラム実行制御装
置は、個人情報領域を有するメモリを備える携帯情報端
末に搭載され、複数の命令からなるプログラムを取得し
て実行するプログラム実行制御装置であって、通信路か
らプログラムを取得する取得手段と、取得したプログラ
ムを実行する実行手段と、実行中のプログラムが次に実
行しようとする命令を監視し、前記命令が前記個人情報
領域からのデータ読出を行う命令である場合に前記実行
手段による前記プログラムの実行を停止させる停止手段
とを備えることを特徴とする。

【００７５】これにより、携帯情報端末に通常記憶され
ておりプライバシーに関わる情報である個人情報をダウ
ンロードしたプログラムが読み出すことを防ぐことがで
きるので、個人情報の流出を阻止できるようになる。ま
た、本発明に係るプログラム実行制御装置は、個人情報
領域を有するメモリを備える携帯情報端末に搭載され、
複数の命令からなるプログラムを取得して実行するプロ
グラム実行制御装置であって、通信路からプログラムを
取得する取得手段と、取得したプログラムを実行する実
行手段と、実行中のプログラムが次に実行しようとする
命令を監視し、前記命令が前記個人情報領域へのデータ
書込を行う命令である場合に前記実行手段による前記プ
ログラムの実行を停止させる停止手段とを備えることを
特徴とする。

【００７６】これにより、携帯情報端末に通常記憶され
ておりプライバシーに関わる情報である個人情報をダウ
ンロードしたプログラムが書き換えることを防ぐことが
できるようになる。また、本発明に係るプログラム実行
制御装置は、携帯情報端末に搭載され、複数の命令から
なるプログラムを取得して実行するプログラム実行制御
装置であって、通信路からプログラムを取得する取得手
段と、取得したプログラムを実行する実行手段と、実行
中のプログラムが次に実行しようとする命令を監視し、
前記命令が前記携帯情報端末が備える機能処理ルーチン
であって前記携帯情報端末の外部と通信する機能処理ル
ーチンを呼び出す命令である場合に前記実行手段による
前記プログラムの実行を停止させる停止手段とを備える
ことを特徴とする。

【００７７】ここで、機能処理ルーチンとはアプリケー
ションプログラムの実行環境に存在し、そのアプリケー
ションプログラムから呼び出され何らかの処理を行うい
わゆるサブルーチンであり、例えばｉｎｖｏｋｅ ｖｉ
ｒｔｕａｌ等のライブラリ呼出命令により呼び出される
ライブラリプログラムである。これにより、ダウンロー
ドしたプログラムが携帯情報端末の外部と通信する機能
を使用することを防ぐことができるようになる。これは
例えばユーザの意図と関係なく通信料金が必要となる事
態が生じるのを防ぐ等の意味を持つ点で有用である。

【００７８】また、前記機能処理ルーチンは前記携帯情
報端末の外部へのデータ送信を行う機能処理ルーチンで
あることとしてもよい。これにより、携帯情報端末から
の機密情報の流出を防ぐことができるようになる。ま
た、本発明に係るプログラム実行制御装置は、携帯情報
端末に搭載され、複数の命令からなるプログラムを取得
して実行するプログラム実行制御装置であって、通信路
からプログラムを取得する取得手段と、取得したプログ
ラムを実行する実行手段と、実行中のプログラムが次に
実行しようとする命令を監視し、前記命令が前記携帯情
報端末が備える機能処理ルーチンであって前記携帯情報
端末が備える出力デバイスからのデータ出力を行う機能
処理ルーチンを呼び出す命令である場合に前記実行手段
による前記プログラムの実行を停止させる停止手段とを
備えることを特徴とする。

【００７９】これにより、ダウンロードしたプログラム
が携帯情報端末のディスプレイにパスワード等の秘密の
情報を表示する等の出力動作を行うことを防止すること
ができる。また、本発明に係るプログラム実行制御装置
は、携帯情報端末に搭載され、複数の命令からなるプロ
グラムを取得して実行するプログラム実行制御装置であ
って、通信路からプログラムを取得する取得手段と、取
得したプログラムを実行する実行手段と、実行中のプロ
グラムが次に実行しようとする命令を監視し、前記命令
が前記携帯情報端末が備える機能処理ルーチンであって
前記携帯情報端末が備える入力デバイスからのデータ取
得を行う機能処理ルーチンを呼び出す命令である場合に
前記実行手段による前記プログラムの実行を停止させる
停止手段とを備えることを特徴とする。

【００８０】これにより、ダウンロードしたプログラム
が携帯情報端末に備えられたマイクを通じてデータを取
得して盗聴を行う等のデータ取得動作を行うことを防止
することができる。また、前記プログラム実行制御装置
はさらに、前記停止手段によって前記プログラムの実行
が停止した場合に、停止した旨をユーザに通知する通知
手段を備えることとしてもよい。

【００８１】これにより、ユーザはダウンロードしたプ
ログラムの実行が停止されたことを知ることができるよ
うになる。また、前記プログラム実行制御装置はさら
に、前記停止手段によって前記プログラムの実行が停止
した場合に、ユーザによる入力を受け付けて前記入力に
応じて停止を解除する停止解除手段を備えることとして
もよい。

【００８２】これにより、ユーザはプログラムの実行が
停止された場合にその停止を自己の判断によって解除す
ることができるようになる。

【図面の簡単な説明】

【図１】本発明の実施の形態に係るプログラム実行装置
３００等の構成図である。

【図２】プログラム実行装置３００を備える携帯電話機
とダウンロード対象のオブジェクトプログラムとの関係
を示す図である。

【図３】機能ＩＤテーブルのデータ構造及び内容例を示
す図である。

【図４】オブジェクトプログラムに付加される実行時使
用機能情報のデータ構造及び内容例を示す図である。

【図５】使用禁止テーブル３０４のデータ構造及び内容
例を示す図である。

【図６】メモリ内の領域の分類を示した図である。

【図７】個人情報の内容の具体例を示す図である。

【図８】プログラム実行装置３００がダウンロードした
オブジェクトプログラムを解釈実行する際における処理
手順を示すフローチャートである。

【図９】使用機能監視部３０２による監視処理を示すフ
ローチャートである。

【図１０】解釈実行停止処理を示すフローチャートであ
る。

【図１１】ユーザ通達部３０７の制御によりディスプレ
イに表示される画面の例を示す図である。

【図１２】ユーザ禁止指定入力部３０９が携帯電話機の
ディスプレイに表示するよう制御する使用禁止機能選択
画面を示す図である。

【図１３】メモリ内に個人情報であるデータと個人情報
以外であるデータがフラグによって識別可能となるよう
に格納されている例を示す図である。

【符号の説明】

１００ オブジェクトプログラム １０１ 実行プログラム １０２ 実行時使用機能情報 ２００ プログラム生成装置 ２０１ 機能ＩＤテーブル ２０２ 実行時使用機能情報生成部 ３００ プログラム解釈実行装置 ３００ プログラム実行装置 ３０１ プログラム解釈実行部 ３０２ 使用機能監視部 ３０３ 実行時使用機能監視検査部 ３０４ 使用禁止テーブル ３０５ 実行時使用機能禁止検査部 ３０６ 監視禁止検査部 ３０７ ユーザ通達部 ３０８ プログラム実行許可判定部 ３０９ ユーザ禁止指定入力部 ３１０ 機能ＩＤテーブル

───────────────────────────────────────────────────── フロントページの続き (72)発明者 富永 宣輝 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 (72)発明者 春名 修介 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 Ｆターム(参考） 5B017 AA08 BB06 CA15 5B076 BB06 FA00 FB02

Claims (17)

【特許請求の範囲】
1. 【請求項１】 機器に搭載されており、前記機器の特定
   の資源を利用する機能群のうち自らが使用する機能を示
   す使用機能情報が付加されたプログラムを取得して、実
   行するプログラム実行制御装置であって、 通信路からプログラムを取得する取得手段と、 取得したプログラムを実行する実行手段と、 前記使用機能情報に基づく判断を行い、判断結果がプロ
   グラムの実行が不適当であることを表す所定の場合に、
   前記実行手段によるプログラムの実行を停止させる停止
   手段とを備えることを特徴とするプログラム実行制御装
   置。
2. 【請求項２】 前記プログラムは複数の命令を含み、 前記実行手段は前記プログラム中の命令を実行するもの
   であり、 前記停止手段は、実行中のプログラムにおける次に実行
   対象となる命令を監視し、前記命令が前記機能群のうち
   前記使用機能情報において使用する機能として示されて
   いない機能を使用する命令であった場合に前記実行手段
   による前記プログラムの実行を停止させることを特徴と
   する請求項１記載のプログラム実行制御装置。
3. 【請求項３】 前記使用機能情報は暗号化されており、 前記停止手段は前記使用機能情報を復号して参照するこ
   とを特徴とする請求項２記載のプログラム実行制御装
   置。
4. 【請求項４】 前記プログラム実行制御装置は、使用を
   禁止する機能を示す禁止機能情報を記憶する禁止機能記
   憶手段を備え、 前記停止手段は、前記禁止機能情報に示されている使用
   を禁止する機能が前記使用機能情報に使用する機能とし
   て示されている場合には前記実行手段によるプログラム
   の実行を停止させることを特徴とする請求項１記載のプ
   ログラム実行制御装置。
5. 【請求項５】 前記禁止機能情報が示す使用を禁止する
   機能には、少なくとも無線通信の機能が含まれることを
   特徴とする請求項４記載のプログラム実行制御装置。
6. 【請求項６】 前記禁止機能情報が示す使用を禁止する
   機能には、少なくとも出力デバイスからのデータ出力の
   機能が含まれることを特徴とする請求項４記載のプログ
   ラム実行制御装置。
7. 【請求項７】 前記禁止機能情報が示す使用を禁止する
   機能には、少なくとも入力デバイスからのデータ取得の
   機能が含まれることを特徴とする請求項４記載のプログ
   ラム実行制御装置。
8. 【請求項８】 前記プログラム実行制御装置はさらに、 ユーザの操作を受け付けて前記操作に応じて前記禁止機
   能情報を更新する禁止機能変更手段を備えることを特徴
   とする請求項４〜７のいずれか１項に記載のプログラム
   実行制御装置。
9. 【請求項９】 個人情報領域を有するメモリを備える携
   帯情報端末に搭載され、複数の命令からなるプログラム
   を取得して実行するプログラム実行制御装置であって、 通信路からプログラムを取得する取得手段と、 取得したプログラムを実行する実行手段と、 実行中のプログラムが次に実行しようとする命令を監視
   し、前記命令が前記個人情報領域からのデータ読出を行
   う命令である場合に前記実行手段による前記プログラム
   の実行を停止させる停止手段とを備えることを特徴とす
   るプログラム実行制御装置。
10. 【請求項１０】 個人情報領域を有するメモリを備える
    携帯情報端末に搭載され、複数の命令からなるプログラ
    ムを取得して実行するプログラム実行制御装置であっ
    て、 通信路からプログラムを取得する取得手段と、 取得したプログラムを実行する実行手段と、 実行中のプログラムが次に実行しようとする命令を監視
    し、前記命令が前記個人情報領域へのデータ書込を行う
    命令である場合に前記実行手段による前記プログラムの
    実行を停止させる停止手段とを備えることを特徴とする
    プログラム実行制御装置。
11. 【請求項１１】 携帯情報端末に搭載され、複数の命令
    からなるプログラムを取得して実行するプログラム実行
    制御装置であって、 通信路からプログラムを取得する取得手段と、 取得したプログラムを実行する実行手段と、 実行中のプログラムが次に実行しようとする命令を監視
    し、前記命令が前記携帯情報端末が備える機能処理ルー
    チンであって前記携帯情報端末の外部と通信する機能処
    理ルーチンを呼び出す命令である場合に前記実行手段に
    よる前記プログラムの実行を停止させる停止手段とを備
    えることを特徴とするプログラム実行制御装置。
12. 【請求項１２】 前記機能処理ルーチンは前記携帯情報
    端末の外部へのデータ送信を行う機能処理ルーチンであ
    ることを特徴とする請求項１１記載のプログラム実行制
    御装置。
13. 【請求項１３】 携帯情報端末に搭載され、複数の命令
    からなるプログラムを取得して実行するプログラム実行
    制御装置であって、 通信路からプログラムを取得する取得手段と、 取得したプログラムを実行する実行手段と、 実行中のプログラムが次に実行しようとする命令を監視
    し、前記命令が前記携帯情報端末が備える機能処理ルー
    チンであって前記携帯情報端末が備える出力デバイスか
    らのデータ出力を行う機能処理ルーチンを呼び出す命令
    である場合に前記実行手段による前記プログラムの実行
    を停止させる停止手段とを備えることを特徴とするプロ
    グラム実行制御装置。
14. 【請求項１４】 携帯情報端末に搭載され、複数の命令
    からなるプログラムを取得して実行するプログラム実行
    制御装置であって、 通信路からプログラムを取得する取得手段と、 取得したプログラムを実行する実行手段と、 実行中のプログラムが次に実行しようとする命令を監視
    し、前記命令が前記携帯情報端末が備える機能処理ルー
    チンであって前記携帯情報端末が備える入力デバイスか
    らのデータ取得を行う機能処理ルーチンを呼び出す命令
    である場合に前記実行手段による前記プログラムの実行
    を停止させる停止手段とを備えることを特徴とするプロ
    グラム実行制御装置。
15. 【請求項１５】 前記プログラム実行制御装置はさら
    に、 前記停止手段によって前記プログラムの実行が停止した
    場合に、停止した旨をユーザに通知する通知手段を備え
    ることを特徴とする請求項１〜１４のいずれか１項に記
    載のプログラム実行制御装置。
16. 【請求項１６】 前記プログラム実行制御装置はさら
    に、 前記停止手段によって前記プログラムの実行が停止した
    場合に、ユーザによる入力を受け付けて前記入力に応じ
    て停止を解除する停止解除手段を備えることを特徴とす
    る請求項１〜１５のいずれか１項に記載のプログラム実
    行制御装置。
17. 【請求項１７】 プログラム実行機能を有する機器に、
    前記機器の特定の資源を利用する機能群のうち自らが使
    用する機能を示す使用機能情報が付加されたオブジェク
    トプログラムを取得して実行するプログラム実行制御処
    理を、行わせる制御プログラムを記録した記録媒体であ
    って、 前記プログラム実行制御処理は、 通信路からオブジェクトプログラムを取得する取得ステ
    ップと、 取得したオブジェクトプログラムを実行する実行ステッ
    プと、 前記使用機能情報に基づく判断を行い、判断結果がオブ
    ジェクトプログラムの実行が不適当であることを表す所
    定の場合に、オブジェクトプログラムの実行を停止させ
    る停止ステップとを備えることを特徴とする記録媒体。