JP4248913B2 - 端末装置、プログラムおよび通信システム - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、アプリケーションに対し、その挙動に関する権限を与える技術に関する。
【０００２】
【従来の技術】
移動機の高機能化が急速に進みつつある。最近では、Ｊａｖａ（登録商標）プログラミング言語に従って記述されたプログラムを含むソフトウェア（以下、Ｊａｖａ−ＡＰソフトウェアという）をネットワークを介してダウンロードし、これを起動・実行してＪａｖａアプリケーション（以下、Ｊａｖａ−ＡＰという）を実現する機能を備えた移動機が開発されている。
【０００３】
【発明が解決しようとする課題】
ところで、移動機内に実現されるＪａｖａ−ＡＰの挙動についての制限は、通信アプリケーションなどの移動機が元から備えているネイティブアプリケーションの挙動についての制限よりも厳しくなっている（例えば特許文献１参照）。例えばＪａｖａ−ＡＰは、移動機内の電話帳データ等の秘匿性の高い情報を参照することができないようになっている。このような制限の相違により、悪意をもって作成されたＪａｖａ−ＡＰ或いは不具合を有するＪａｖａ−ＡＰによって移動機内の秘匿性の高い情報が漏洩したり改竄されてしまうという事態を、確実に回避することができるようになっている。
【０００４】
【特許文献１】
特開平１０−２５４７８３号公報
【０００５】
しかし、上述した厳しい挙動制限を全てのＪａｖａ−ＡＰに対して一律に課すだけでは、Ｊａｖａ−ＡＰの高機能化や多様化を望むユーザやＣＰ（Contents Provider）の意向に添うことができない。例えば、ある程度の信頼性が保証されるのであれば、移動機に格納された個人情報を参照する権限をＪａｖａ−ＡＰに与えてもよいと考えるユーザは少なくないと想定される。一方、ＣＰ側にも、移動機に格納されている個人情報や、移動機が有する多数の機能の使用を前提とした、より魅力的なＪａｖａ−ＡＰを提供したいという要望がある。
【０００６】
これらの要望を満たす仕組みとして次のようなものが考えられる。
例えば移動機のユーザに対して通信サービスを提供する通信事業者が上述した挙動制限を緩和した権限をＪａｖａ−ＡＰに与え、この権限を移動機に通知する。この通信事業者は、ユーザにとって信頼できる機関であるから、以下、信頼機関という。移動機はこの権限に基づいてＪａｖａ−ＡＰの挙動を制限すればよい。
【０００７】
しかしながら、ここで次のような問題が危惧される。
上述したように、信頼機関が挙動制限を緩和した権限を移動機に通知し、以降、移動機はこの権限に基づいてＪａｖａ−ＡＰの挙動を制限するわけだが、信頼機関が上記の通知後に権限を変更（権限自体の消滅や権限内容の変更を含む）したい場合がある。例えば、いったんは挙動制限を緩和した権限が与えられたＪａｖａ−ＡＰが、実は、ユーザの承諾なしに個人情報を移動機のメモリから読み出して他の外部装置に送信するというような、ユーザにとって不利益な動作を行うアプリケーションであることが発覚した場合等である。このような場合、信頼機関としては、早急にこのＪａｖａ−ＡＰの利用を差し止めたり、Ｊａｖａ−ＡＰに与えられた権限の内容を変更しなければならない。
【０００８】
本発明は、上述した事情に鑑みて為されたものであり、アプリケーションに与えられた権限が変更された場合に、その変更後の権限内容を、移動機等の端末装置におけるアプリケーションに反映させるための仕組みを提供することを目的としている。
【０００９】
【課題を解決するための手段】
上述した課題を解決するために、本発明は、ソフトウェアを起動し実行する実行手段と、前記ソフトウェアを実行することにより実現されるアプリケーションに与えられた権限の内容を示すパーミッション情報を記憶する記憶手段と、前記ソフトウェアが起動される場合には前記パーミッション情報が有効であるか否かを外部装置に対して確認するチェック手段と、前記チェック手段による確認の結果、前記パーミッション情報が有効であることが確認された場合には前記実行手段によるソフトウェアの起動を許可する一方、前記パーミッション情報が有効でないことが確認された場合には前記実行手段によるソフトウェアの起動を許可しない起動制御手段とを備えた端末装置を提供する。
この端末装置によれば、ソフトウェアを起動する場合にパーミッション情報が有効か否かを外部装置に確認するので、起動すべきでないソフトウェアの起動を制限することができる。
【００１０】
前記端末装置は、前記チェック手段による確認を行うべきか否かを判断する判断手段を備え、当該判断手段によって前記確認を行うべきと判断された場合には、前記チェック手段が前記確認を行うようにしてもよい。
この端末装置によれば、前記確認を行うべきか否かを判断するので、常に外部装置に対して確認を行う場合よりも、通信処理が簡素化される。
【００１１】
この場合、前記判断手段は、前記ソフトウェアの起動回数をカウントする起動回数カウント手段と、前記ソフトウェアの連続した起動回数に対してどのくらいの頻度で前記確認を行うべきかということを示す頻度情報を記憶する頻度情報記憶手段とを含み、前記起動回数カウント手段によってカウントされた起動回数と、前記頻度情報記憶手段によって記憶された頻度情報とに基づいて、前記チェック手段による確認を行うべきか否かを判断するようにしてもよい。
これによって、ソフトウェアの起動回数に応じた確認を行うことができる。
【００１２】
また、前記判断手段は、前記ソフトウェアの起動間隔を計時する計時手段と、どのくらいの時間間隔で前記確認を行うべきかということを示す間隔情報を記憶する間隔情報記憶手段とを含み、前記計時手段によって計時される起動間隔と、前記間隔情報記憶手段によって記憶された間隔情報とに基づいて、前記チェック手段による確認を行うべきか否かを判断するようにしてもよい。
これによって、ソフトウェアの起動間隔に応じた確認を行うことができる。
【００１３】
また、前記チェック手段によって前記確認ができなかった場合であっても前記起動制御手段が前記ソフトウェアの起動を許可する回数を示す猶予回数情報を記憶した猶予回数記憶手段を備え、前記起動制御手段は、前記チェック手段によって前記確認ができなかった場合、前記猶予回数記憶手段によって記憶された猶予回数情報が示す回数分は前記ソフトウェアの起動を許可するようにしてもよい。
特に端末装置が前記外部装置と間で無線を利用して通信を行う移動機であると、無線通信に特有の圏外状態や通信障害によって前記確認ができない場合があるが、このような場合であっても猶予回数分はソフトウェアが起動されるので、ユーザにとって使い勝手がよい。
【００１４】
前記端末装置は、前記外部装置と間で無線を利用して通信を行う移動機であれば望ましい。
また、前記端末装置は、新たな前記パーミッション情報を前記外部装置から取得し、取得したパーミッション情報に基づいて前記記憶手段に記憶されているパーミッション情報を更新する更新手段を備えていてもよい。この場合、前記更新手段は、前記チェック手段が前記外部装置に対して前記確認を行う際に、前記記憶手段によって記憶されている前記パーミッション情報が更新された時を示す更新時情報を前記外部装置に通知し、これに応じて、前記外部装置から送信されてくる新たなパーミッション情報を受信し、受信したパーミッション情報に基づいて前記記憶手段に記憶されているパーミッション情報を更新するようにしてもよい。
また、前記端末装置は、前記実行手段が実行している前記ソフトウェアによって実現されるアプリケーションが前記パーミッション情報の内容に反する場合、前記実行手段による当該ソフトウェアの実行を終了させる終了手段を備えていてもよい。
また、前記パーミッション情報は、前記端末装置内部或いは外部のハードウェア資源或いはソフトウェア資源の利用に関する情報、又は、ネットワーク資源の利用に関する情報であってもよい。
【００１５】
また、本発明は、コンピュータに、ソフトウェアを実行することにより実現されるアプリケーションに与えられた権限の内容を示すパーミッション情報を記憶手段に記憶させる機能と、前記ソフトウェアが起動される場合に前記パーミッション情報が有効であるか否かを外部装置に対して確認する機能と、前記確認の結果、前記パーミッション情報が有効であることが確認された場合には前記ソフトウェアの起動を許可する一方、前記パーミッション情報が有効でないことが確認された場合には前記ソフトウェアの起動を許可しない機能とを実現させるためのプログラムを提供する。このプログラムはコンピュータによって読みとり可能な記録媒体に記録されて提供され得る。
【００１６】
また、本発明は、アプリケーションを実現するためのソフトウェアを内包した実体情報を格納した情報提供サーバ装置と、端末装置が前記ソフトウェアを実行することにより実現されるアプリケーションに与えられた権限を示すパーミッション情報を内包したセキュリティ記述情報を格納した管理サーバ装置と、前記実体情報に依存した内容を有し前記実体情報の格納位置と前記セキュリティ記述情報の格納位置とが記述されたアプリケーション記述情報を格納した情報提供サーバ装置とを有した通信システムから、前記端末装置に対して、前記アプリケーション記述情報を送信するステップと、前記端末装置が、前記通信システムから送信されてくるアプリケーション記述情報に内包されている前記セキュリティ記述情報の格納位置を前記通信システムに通知するステップと、前記通信システムが、前記通知されたセキュリティ記述情報の格納位置に基づいて、当該セキュリティ記述情報を前記端末装置に送信するステップと、前記端末装置が、受信した前記セキュリティ記述情報を記憶するステップと、前記端末装置が、受信した前記セキュリティ記述情報に内包されている前記実体情報の格納位置を前記通信システムに通知するステップと、前記通信システムが、前記通知された実体情報の格納位置に基づいて、当該実体情報を前記端末装置に送信するステップと、前記端末装置が、前記通信システムから送信されてくる実体情報に内包されるソフトウェアをインストールするステップと、前記端末装置が、インストールされている前記ソフトウェアを起動する場合に、前記記憶しているセキュリティ記述情報が有効であるか否かを前記通信システムに対して確認するステップと、前記端末装置が、前記確認の結果、前記セキュリティ記述情報が有効であることが確認された場合には前記ソフトウェアの起動を許可する一方、前記パーミッション情報が有効でないことが確認された場合には前記ソフトウェアの起動を許可しないステップとを備えた通信方法を提供する。
【００１７】
【発明の実施の形態】
以下、図面を参照して、本発明の一実施形態について説明する。なお、図面において、共通する部分には同一の符号が付されている。
【００１８】
最初に、従来の移動機によるＪａｖａ−ＡＰソフトウェアのダウンロード手順について説明すると、移動機は、まず、ＷＷＷ（World Wide Web）を構成するサーバ装置からＡＤＦ（Application Descriptor File）を取得し、次いでＪａｒ（Java Archive）ファイルを取得するという流れになる。
【００１９】
より具体的には、ＡＤＦはＪａｒファイルに依存した内容となっており、例えば、Ｊａｒファイルの格納位置を示すＵＲＬ（以下、パッケージＵＲＬという）、Ｊａｒファイルのサイズを示す情報、Ｊａｒファイルの最終変更日時を示す情報等を必須情報として内包している。ＡＤＦを取得した移動機は、このＡＤＦの内容を参照するとともに自機の空きメモリ容量を確認する等して、ダウンロードしようとしているＪａｖａ−ＡＰソフトウェアを自機にインストール可能であるか否かを判断する。インストール可能と判断すると、移動機は、ＡＤＦに内包されているパッケージＵＲＬを用いて、ＷＷＷを構成するサーバ装置からＪａｒファイルを取得する。このＪａｒファイルには、Ｊａｖａ−ＡＰソフトウェアが格納されており、Ｊａｒファイルの取得をもってＪａｖａ−ＡＰソフトウェアのダウンロードは完了する。以後、移動機において、ダウンロードされたＪａｖａ−ＡＰソフトウェアが起動可能に設定され、このＪａｖａ−ＡＰソフトウェアのインストールが完了する。なお、これらのＡＤＦ及びＪａｒファイルはＪａｖａ−ＡＰソフトウェアを提供するＣＰによって作成されるのが普通である。
【００２０】
一方、本実施形態におけるＪａｖａ−ＡＰソフトウェアのダウンロードは、まず、移動機のユーザが所望するＪａｖａ−ＡＰソフトウェアに対応したＡＤＦを移動機に配信し、次いで、上記Ｊａｖａ−ＡＰソフトウェアに対応したＳＤＦ（Security Descriptor File;セキュリティ記述ファイル）と称せられるファイルを移動機に配信し、最後にＪａｒファイルを移動機に配信するという手順で行われる。即ち、ＡＤＦ、ＳＤＦ、Ｊａｒファイルという順で配信される。これらの各種ファイルのうち、ＡＤＦ及びＪａｒファイルは、従来と同じく、Ｊａｖａ−ＡＰソフトウェアを提供するＣＰによって作成される。これに対し、ＳＤＦは、上記通信事業者とＣＰとの間でＪａｖａ−ＡＰソフトウェアに関して締結された契約に従い、上記通信事業者によって作成されるようになっている。
【００２１】
ここで、ＳＤＦとは、移動機内におけるＪａｖａ−ＡＰに与えられた権限の内容が記述されたファイルであり、移動機はこのＳＤＦの記述内容に従ってＪａｖａ−ＡＰソフトウェアを実行するようになっている。ただし、このＳＤＦは有効である状態と失効されている状態とがあり、この有効或いは失効の別はネットワーク上のサーバによって記憶されている。移動機は、インストールしたＪａｖａ−ＡＰソフトウェアを起動する際には、まず、上記サーバにアクセスしてＳＤＦの有効或いは失効の状態の別を確認しなければならない。以下、この確認処理を「ＳＤＦチェック」という。このＳＤＦチェックの結果、ＳＤＦが有効な状態であれば、移動機は、そのＳＤＦの記述内容に従ってＪａｖａ−ＡＰソフトウェアを起動し、実行する。一方、ＳＤＦが失効されている状態であれば、移動機は、Ｊａｖａ−ＡＰソフトウェアを起動することができないようになっている。
【００２２】
このようにＳＤＦの有効或いは失効の別をネットワーク上で設定することができるので、通信事業者は、不適切なＪａｖａ−ＡＰソフトウェアに対応するＳＤＦを失効状態に設定するだけで、その設定処理以降は、移動機におけるＪａｖａ−ＡＰソフトウェアの起動を防止することができる。
ここでいう不適切なＪａｖａ−ＡＰソフトウェアとは、例えば、ユーザの承諾なしに重要な情報を移動機のメモリから読み出して他の外部装置に送信する等の、ユーザにとって不利益な動作を移動機に実行させるソフトウェアである。通信事業者はこのようなＪａｖａ−ＡＰソフトウェアの存在を知ったときには、そのＪａｖａ−ＡＰソフトウェアに対応するＳＤＦを失効状態に設定すればよい。また、ＣＰと通信事業者との間で締結された契約が無効となったときにも（例えば契約期間が経過したとか、ＣＰが契約に定められた料金を通信事業者に支払わなかったとき）、通信事業者はこのようなＣＰが提供するＪａｖａ−ＡＰソフトウェアに対応するＳＤＦを失効状態に設定すればよい。また、例えば、Ｊａｖａ−ＡＰソフトウェアが試用のソフトウェアであるような場合においても、その試用期間が過ぎれば、対応するＳＤＦを失効状態に設定すればよい。
【００２３】
また、逆に、失効状態に設定していたＳＤＦを有効状態に設定することにより、そのＳＤＦに対応したＪａｖａ−ＡＰソフトウェアの利用を再開するようにしてもよい。
【００２４】
（１）構成
次に、本実施形態に係る通信システムの構成について説明する。
図１に示されるように、この通信システムは、インターネット１１に接続されたＣＰサーバ装置１３と、通信事業者が移動パケット通信サービスを提供するために用いる移動パケット通信網１５と、この移動パケット通信網１５との間で無線パケット通信を行ってこの移動パケット通信網１５を介して通信相手とパケット通信を行う移動機１６と、インターネット１１と移動パケット通信網１５とを相互接続するゲートウェイサーバ装置１７と、専用線によりゲートウェイサーバ装置１７に接続された管理サーバ装置１８とを有する。なお、この通信システムには多数の移動機やＣＰサーバ装置が存在するが、図面が繁雑になるのを避けるために一つの移動機１６と１つのＣＰサーバ装置１３のみが図示されている。
【００２５】
以下、この通信システムの各構成要素について詳細に説明する。
（１−１）ＣＰサーバ装置
ＣＰサーバ装置１３は一般的なＷＷＷサーバ装置と同様のハードウェアおよび機能を有している。ＣＰサーバ装置１３の不揮発性メモリ１３Ａには、Ｊａｖａプログラミング言語によって作成されたプログラムを含む複数のＪａｒファイルと、このＪａｒファイルに関する情報が記述された複数のＡＤＦとが記憶されている。
【００２６】
ここで、本実施形態では、対応するＳＤＦが存在するＪａｖａ−ＡＰソフトウェアと、対応するＳＤＦが存在しないＪａｖａ−ＡＰソフトウェアとが用意されている。前者のＪａｖａ−ＡＰソフトウェアは、対応するＳＤＦに記述された挙動制限を受けるものであり、通信事業者がＣＰとの契約に基づいて信頼性を保証したものであることから「トラステッドＪａｖａ−ＡＰソフトウェア」と呼ぶ。後者は、要するに従来のＪａｖａ−ＡＰソフトウェアであるが、本実施形態では「非トラステッドＪａｖａ−ＡＰソフトウェア」と呼ぶ。ＣＰサーバ装置１３によって記憶されるＡＤＦには、トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦと、非トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦとがある。
【００２７】
これらのいずれのＡＤＦにおいても、ＷＷＷにおけるＪａｒファイルの記憶位置を示すパッケージＵＲＬや、Ｊａｒファイルのサイズを示す情報や、Ｊａｒファイルの最終変更日時を示す情報等の、周知のＡＤＦに含まれているものと同一の情報が記述されている。さらに、トラステッドＪａｖａ−ＡＰソフトウェアに対応したＡＤＦには、上に列挙したパッケージＵＲＬ等の他、トラステッドＪａｖａ−ＡＰソフトウェアを一意に識別するための識別情報である「ＡＰＩＤ」と、ＳＤＦがＷＷＷにおいて記憶されている位置を示すＵＲＬ（以下、「ＳＤＦ−ＵＲＬ」と呼ぶ）とが記述されている。移動機１６はＣＰサーバ装置１３からトラステッドＪａｖａ−ＡＰソフトウェアに対応するＡＤＦを取得し、次いで、このＡＤＦに記述されているＳＤＦ−ＵＲＬに基づいてＳＤＦを取得することができる。
なお、本実施形態の説明において「Ｊａｖａ−ＡＰソフトウェア」と言う場合には、それが「トラステッドＪａｖａ−ＡＰソフトウェア」であればＡＤＦ、ＳＤＦ及びＪａｒファイルを含む概念とし、「非トラステッドＪａｖａ−ＡＰソフトウェア」であればＡＤＦ及びＪａｒファイルを含む概念とする。
【００２８】
（１−２）ゲートウェイサーバ装置
ゲートウェイサーバ装置１７は前述の通信事業者により管理されており、移動パケット通信網１５とインターネット１１とを接続する一般的なゲートウェイサーバ装置と同様の構成を有し、移動パケット通信網１５とインターネット１１と管理サーバ装置１８との間で相互に通信を中継する。
【００２９】
（１−３）管理サーバ装置
管理サーバ装置１８は前述の通信事業者により管理されており、一般的なＷＷＷサーバ装置と同様のハードウェアおよび機能を有する。管理サーバ装置１８の不揮発性メモリ１８Ａには、複数のトラステッドＪａｖａ−ＡＰソフトウェアにそれぞれ対応した複数のＳＤＦが記憶されている。これらのＳＤＦには、前述したように、トラステッドＪａｖａ−ＡＰソフトウェアに与えられた権限の内容が記述されており、さらに、そのＳＤＦ自体が有効であるか或いは失効しているかという情報が記述されている。移動機１６は、トラステッドＪａｖａ−ＡＰソフトウェアを起動する際にはこの管理サーバ装置１８にアクセスしてＳＤＦの有効或いは失効の別を確認することによって、その起動処理の可否を判断するようになっている。
【００３０】
図２は、ＳＤＦに記述されている内容が、管理サーバ装置１８から移動機１６に通知されるときのＨＴＴＰメッセージの一例を示した図である。
図２に示すフィールド「Content-Type」はＨＴＴＰメッセージのエンテイティボディのタイプを示すフィールドであるが、ここでは、エンティティボディがＳＤＦに関するものであることを意味する「application/x-sdf」がフィールド値として記述されている。
【００３１】
パラメータ「Sts」は、ＳＤＦの有効或いは失効の状態の別を示すものであり、以降、「ＳＤＦステータス」という。このＳＤＦステータスが「00」であるときはＳＤＦが有効であることを示し、「10」であるときはＳＤＦが失効していることを示している。図２の例では パラメータ「Sts」のパラメータ値が「00」であるので、このＳＤＦは有効であることを意味している。また、パラメータ「PackageURL」は、前述したＡＤＦに記述されるパッケージＵＲＬと同じものである。
【００３２】
次に、パラメータ「CheckCnt」は、トラステッドＪａｖａ−ＡＰソフトウェアの連続した起動回数に対してＳＤＦチェックをどのくらいの頻度で行うべきかということを示すものであり、以降、「ＳＤＦチェック頻度」という。換言すれば、このＳＤＦチェック頻度は、移動機１６がＳＤＦチェックを行わずに連続してトラステッドＪａｖａ−ＡＰソフトウェアを起動することができる回数を示している。本実施形態では、このＳＤＦチェック頻度として、１回から９９９回まで設定可能である。図２に示す例では、パラメータ「CheckCnt」のパラメータ値が「005」であるので、移動機１６は連続して５回まではＳＤＦチェックを要しないでトラステッドＪａｖａ−ＡＰソフトウェアを起動可能であることを意味している。
【００３３】
次に、パラメータ「CheckInt」はＳＤＦチェックをどのくらいの時間間隔で行うべきかということを示すものであり、以降、「ＳＤＦチェック間隔」という。より具体的には、このＳＤＦチェック間隔は、移動機１６が前回ＳＤＦチェックを行った時点から次のＳＤＦチェックを行わなくてもトラステッドＪａｖａ−ＡＰソフトウェアを起動可能な日数を示しており、本実施形態では１日から９９９日まで設定可能である。図２に示す例では、パラメータ「CheckInt」のパラメータ値が「020」であるので、移動機１６は、トラステッドＪａｖａ−ＡＰソフトウェアを起動する際に一度ＳＤＦチェックを行うと、それ以降、２０日を経過しない間に同じトラステッドＪａｖａ−ＡＰソフトウェアを起動する場合にはＳＤＦチェックを要しないが、２０日を経過してから再度同じトラステッドＪａｖａ−ＡＰソフトウェアを起動する場合にはＳＤＦチェックを行う必要があることを意味している。
【００３４】
次に、パラメータ「SuspendedCnt」は、移動機１６がＳＤＦチェックを行うことが不可能であった場合でも、トラステッドＪａｖａ−ＡＰソフトウェアを起動することが可能な回数を示すものであり、以降、「ＳＤＦチェック猶予回数」という。
移動機１６は無線通信によって管理サーバ装置１８にアクセスし、ＳＤＦチェックを行うようになっている。しかしながら、例えば移動機１６が移動パケット通信網１５のサービスエリア外に所在しているとき（いわゆる圏外状態のとき）や、無線通信においては発生しがちな通信障害時には、ＳＤＦチェックを行うことができなくなってしまう。これではユーザは好きなときにトラステッドＪａｖａ−ＡＰソフトウェアを起動できない恐れが多分にあり、非常に不便である。そこで、本実施形態では、上記のような圏外状態や通信障害によってＳＤＦチェックが不可能な場合であっても、ある程度の回数はＳＤＦチェックを要せずにトラステッドＪａｖａ−ＡＰソフトウェアの起動を認めるようにしている。本実施形態におけるＳＤＦチェック猶予回数としては１回から９９９回まで設定可能である。図２に示した例では、パラメータ「SuspendedCnt」のパラメータ値が「005」であるので、移動機１６はＳＤＦチェックが不可能であっても連続５回まではトラステッドＪａｖａ−ＡＰソフトウェアを起動することができることを意味している。
【００３５】
次に、パラメータ「Lmd」は、管理サーバ装置１８においてＳＤＦが最後に更新された日時を示したものであり、以下、「最終更新日時」という。図２に示す例では、パラメータ値が「20020614120552」となっているが、これはＳＤＦの最終更新日時が２００２年６月１４日１２時５分５２秒であることを意味している。この最終更新日時は、管理サーバ装置１８が更新されたＳＤＦの内容を移動機１６に反映させるか否かを判断するために利用される。
【００３６】
次に、パラメータ「GetPrivateInfo」、「UserMail」、「MessageApp」、「SetPhoneTheme」、「SetLaunchTime」、「AllowedHost」は、移動機１６におけるトラステッドＪａｖａ−ＡＰソフトウェアに与えられた権限の内容を示す情報であり、以下、パーミッション情報という。
例えば、パラメータ「GetPrivateInfo」は、移動機１６に格納された電話帳データや未読電子メール等の個人的な情報を参照するときに必須とされるトラステッドＡＰＩ（Application Programming Interface）の使用可否を示したものである。使用が可の場合には、パラメータ値「Yes」が記述される。同様に、パラメータ「UserMail」、「MessageApp」、「SetPhoneTheme」、「SetLaunchTime」については、それぞれ対応するトラステッドＡＰＩを使用することが許可されている場合に、パラメータ値「Yes」が設定される。図２に示す例では、いずれのパラメータについてもパラメータ値も「Yes」が設定されているので、トラステッドＪａｖａ−ＡＰは各種トラステッドＡＰＩを使用することができることになる。
【００３７】
次に、パラメータ「AllowedHost」は、移動機１６がトラステッドＪａｖａ−ＡＰソフトウェアを実行している間にアクセス可能な通信装置のＵＲＬを示したものであり、以下、アクセス許可ＵＲＬリストという。
移動機１６にダウンロードされたＪａｖａ−ＡＰソフトウェアは、一般に、サンドボックスと呼ばれるセキュリティモデルに従う。このサンドボックスによれば、移動機１６がＪａｖａ−ＡＰソフトウェアを実行している間は、その移動機１６の通信相手が上記Ｊａｖａ−ＡＰソフトウェアのダウンロード元のサーバのみに厳格に制限される。このような厳しい制限の下では、ユーザに対して多様なアプリケーションを提供しづらくなってしまう。そこで、本実施形態では、トラステッドＪａｖａ−ＡＰソフトウェアに対しては、ダウンロード元サーバに加えて、予め定められた通信装置との間での通信を許可している。この通信が許可された通信装置のＵＲＬがパラメータ「AllowedHost」のパラメータ値として設定されている。図２に示す例では、「http://aaa.co.jp」と「http://bbb.co.jp」のいずれかを含むＵＲＬを有する通信装置との間でポート番号「８０８０」を利用した通信が許可されていることを意味している。
【００３８】
なお、このアクセス許可ＵＲＬリストのパラメータ値として「any」が設定されている場合には、トラステッドＪａｖａ−ＡＰソフトウェアを実行する移動機１６はあらゆる通信装置と通信が可能であることを意味している。ただし、このように通信相手を全く自由にしてしまうとセキュリティが確保できない恐れもあるので、特別に通信を許可しない通信装置のＵＲＬを指定することもできる。このようなときには、パラメータ「DisallowedHost」（以下、このパラメータをアクセス禁止リストという）のパラメータ値に、通信が許可されていない通信装置のＵＲＬを記述すればよい。
【００３９】
（１−４）移動機
移動機１６は、図３に示されるように、ＯＳ（オペレーティングシステム）ソフトウェア、Ｊａｖａ−ＡＰを実行する環境を構築するためのＪａｖａ環境ソフトウェアおよび各種ネイティブＡＰソフトウェア等を記憶したＲＯＭ１６Ａと、ＲＯＭ１６Ａからプログラムを読み出して実行するＣＰＵ１６Ｂと、表示部１６Ｃと、不揮発性メモリ１６Ｄと、ＲＡＭ１６Ｅと、通信部１６Ｆと、操作部１６Ｇと、計時部１６Ｈとを有し、これらは通信線によって接続されている。
【００４０】
表示部１６Ｃは、例えば液晶表示パネルやパネル駆動回路を有し、ＣＰＵ１６Ｂから供給されるデータで表される画像を表示する。通信部１６Ｆは、アンテナや無線送受信部を備え、移動パケット通信網１５と無線パケット通信を行うものであり、ＣＰＵ１６Ｂと移動パケット通信網１５との間でパケットを中継する。また、通信部１６Ｆは、通話のためのＣＯＤＥＣやマイク、スピーカ等をも備えており、これによって移動機１６は図示せぬ移動電話網を介して回線交換による通話を行うこともできる。操作部１６Ｇは操作子を備え、操作子の操作に応じた信号をＣＰＵ１６Ｂへ供給する。計時部１６Ｈは現在の年月日及び時刻（以下、単に現在日時という）を計時する。なお、計時部１６Ｈがより正確な現在日時を計時するためには、例えば移動パケット通信網１５の図示せぬ基地局から制御チャネルを用いて定期的に通知される現在日時に同期させるような処理を行ってもよい。
【００４１】
不揮発性メモリ１６Ｄは例えばＳＲＡＭ（Static Random Access Memory）やＥＥＰＲＯＭ（Electrically Erasable and Programmable Read Only Memory）である。また、この不揮発性メモリ１６Ｄは、ＷＷＷを構成するサーバ装置からダウンロードしたＪａｖａ−ＡＰソフトウェアを記憶するために使用される。
【００４２】
ここで、トラステッドＪａｖａ−ＡＰソフトウェアのＡＤＦ及びＳＤＦに関して不揮発性メモリ１６Ｄに記憶される内容について説明する。
図４は、トラステッドＪａｖａ−ＡＰソフトウェアのＡＤＦ及びＳＤＦ（図２に示したもの）の内容に基づいて、不揮発性メモリ１６Ｄに記憶された内容を示している。さらに、この不揮発性メモリ１６Ｄには、図４に示すように、ＳＤＦチェック頻度に対応して「起動回数」が、ＳＤＦチェック間隔に対応して「経過時間」が、ＳＤＦチェック猶予回数に対応して「猶予回数」が記憶されている。
起動回数とは、移動機１６が前回ＳＤＦチェックを行ってから次回のＳＤＦチェックを行うことなくトラステッドＪａｖａ−ＡＰソフトウェアを起動した回数である。この起動回数がＳＤＦチェック頻度（図４では５回）に到達すると、その次にトラステッドＪａｖａ−ＡＰソフトウェアが起動される際にはＳＤＦチェックが必要と判断される。
【００４３】
次に、経過時間とは、移動機１６が前回ＳＤＦチェックを行ってから経過した時間（日数）であり、前述した計時部１６Ｈによって計時される。この経過時間がＳＤＦチェック間隔（図４では２０日）に到達すると、その次にトラステッドＪａｖａ−ＡＰソフトウェアが起動される際にはＳＤＦチェックが必要と判断される。そして、猶予回数とは、移動機１６がＳＤＦチェックが不可能であったにもかかわらずＪａｖａ−ＡＰソフトウェアが起動された回数であり、この猶予回数がＳＤＦチェック猶予回数（図４では５回）に到達すると、それ以降は、ＳＤＦチェックが行われない限りトラステッドＪａｖａ−ＡＰソフトウェアは起動されない。
【００４４】
さて、移動機１６の図示せぬ電源が投入されると、ＣＰＵ１６ＢはＲＡＭ１６Ｅをワークエリアとし、ＲＯＭ１６ＡからＯＳソフトウェアを読み出してこれを実行する。これによって、ＣＰＵ１６Ｂは移動機１６内にて図５に示すＯＳを実現する。ＣＰＵ１６ＢはＯＳを実現することによって、操作部１６Ｇから供給される信号に基づきユーザの指示を特定し、この指示に応じた処理を行う。
【００４５】
なお、以下では説明の便宜のため、ＣＰＵ１６ＢがＯＳソフトウェアを実行することによって行う動作は、「ＯＳ」をその動作の主体として説明する。すなわち、ＣＰＵ１６Ｂがソフトウェアを実行することによって行う動作については、そのソフトウェアによって実現されるアプリケーションを主体として動作説明を行うことにする。これは、図５に示すＪａｖａ−ＡＰ、ＪＡＭ（Java Application Manager）、電話帳ＡＰ等の各種アプリケーションについても同様である。
【００４６】
例えば、ユーザの指示がネイティブＡＰソフトウェアである通信ソフトウェアの起動を要求するものであれば、ＯＳは通信ソフトウェアを起動して移動機１６内にて通信ＡＰを実現する。この通信ＡＰを用いることで、ユーザは通話相手と通話をすることができる。また、ユーザの指示がネイティブＡＰソフトウェアである電話帳ソフトウェアの起動を要求するものであれば、ＯＳは電話帳ソフトウェアを起動して移動機１６内にて電話帳ＡＰを実現する。この電話帳ＡＰを用いることで、ユーザは、不揮発性メモリ１６Ｄに記憶された電話帳の内容を示すデータ（以後、電話帳データという）を参照・使用・変更することができる。また、ユーザの指示がネイティブＡＰソフトウェアであるＷｅｂブラウザソフトウェアの起動を要求するものであれば、ＯＳはＷｅｂブラウザソフトウェアを起動して移動機１６内にてＷｅｂブラウザを実現する。
【００４７】
また、ユーザの指示がネイティブＡＰソフトウェアであるＪＡＭソフトウェアの起動を要求するものであれば、ＯＳはＪＡＭソフトウェアを起動して移動機１６内にてＪＡＭを実現する。ＪＡＭは、移動機１６にインストールされているＪａｖａ−ＡＰソフトウェアの一覧をユーザに提示し、ユーザにより指定されたＪａｖａ−ＡＰソフトウェアを起動する。具体的には、ＪＡＭに対するユーザの指示がＪａｖａ−ＡＰソフトウェアの起動を要求するものであれば、Ｊａｖａ−ＡＰ環境ソフトウェアが起動されて移動機１６内にＪａｖａ−ＡＰ環境が実現され、次に、指定されたＪａｖａ−ＡＰソフトウェアが起動されてＪａｖａ−ＡＰ環境内にＪａｖａ−ＡＰが実現される。Ｊａｖａ−ＡＰ環境は、移動機１６のような携帯端末に適した軽量のＪａｖａ仮想マシンであるＫＶＭ（K Vartual Machine）と、Ｊａｖａ−ＡＰに対して提供されるＡＰＩ（Application Interface）とを有する。Ｊａｖａ−ＡＰに対して提供されるＡＰＩは、トラステッドＪａｖａ−ＡＰソフトウェアによって実現されるＪａｖａ−ＡＰ（以後、トラステッドＪａｖａ−ＡＰという）のみに使用が許可されるトラステッドＡＰＩと、あらゆるＪａｖａ−ＡＰに使用が許可される非トラステッドＡＰＩとに分けられる。
【００４８】
ＪＡＭは、Ｊａｖａ−ＡＰの挙動を管理するための機能を実現する。
例えば、ＪＡＭは、Ｊａｖａ−ＡＰソフトウェアが起動される場合には、そのＪａｖａ−ＡＰソフトウェアのＳＤＦについてＳＤＦチェックを行うべきか否かを判断し、これを行うべきと判断した場合にはＳＤＦチェックを行う。このために、ＪＡＭは、不揮発性メモリ１８Ｄに記憶される起動回数、経過時間、或いは猶予回数をカウントしたり、クリアするための機能を実現する。また、ＪＡＭは、このＳＤＦチェックの結果、ＳＤＦが有効であった場合には、Ｊａｖａ−ＡＰソフトウェアを起動を許可するが、その起動後は、ＳＤＦ内のパーミッション情報に従ってＪａｖａ−ＡＰの挙動を制限する。また、ＪＡＭは、ＳＤＦチェックの結果、ＳＤＦが失効されていた場合には、Ｊａｖａ−ＡＰソフトウェアの起動を許可しない。またＪＡＭは、ＳＤＦチェックの結果、ＳＤＦを更新する必要がある場合には、管理サーバ装置１８に再度アクセスしてＳＤＦを更新する。
以上が本実施形態の構成である。
【００４９】
（２）動作
次に、上記構成からなるシステムの動作について説明する。
（２−１）Ｊａｖａ−ＡＰソフトウェアのインストール
ＪＡＭは、Ｊａｖａ−ＡＰソフトウェアのダウンロードを要求する指示がＷｅｂブラウザから通知されると、Ｊａｖａ−ＡＰソフトウェアを移動機１６にダウンロードし、インストールする処理を行う。この処理の流れを図６に示す。
図６に示されるように、ＪＡＭは、まず、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアに対応するＡＤＦをＣＰサーバ装置１３からダウンロードする（ステップＳ１１）。具体的には、ＪＡＭは、ＡＤＦ−ＵＲＬを含むＨＴＴＰリクエストを生成・送信し、このＨＴＴＰリクエストに対するＨＴＴＰレスポンスをＣＰサーバ装置１３から受信してＡＤＦを取得する。なお、このときのＨＴＴＰリクエストに含まれるＡＤＦ−ＵＲＬは、ユーザによって入力されるものであってもよいし、ＨＴＭＬ(HyperText Markup Language)によって記述されたホームページに埋めこまれたＵＲＬのうちでユーザによって指定されたものであってもよい。ＪＡＭは、ダウンロードしたＡＤＦの内容に従って、ＡＰＩＤ、パッケージＵＲＬ、ＳＤＦ−ＵＲＬ、ＡＤＦ−ＵＲＬ等を図４に示すようにして不揮発性メモリ１６Ｄに書き込む。
【００５０】
次いで、ＪＡＭは、ダウンロードしようとしているＪａｖａ−ＡＰソフトウェアを移動機１６にインストール可能か否かを、不揮発性メモリ１６Ｄに記憶されたＡＤＦの内容に基づいて判定する（ステップＳ１２）。例えば、ＪＡＭはＡＤＦに記述されていたＪａｒファイルのサイズと、不揮発性メモリ１６Ｄ内のＪａｒファイルを記憶可能な空き容量とを比較する等の、従来と同様の基準に従って判定すればよい。
【００５１】
ここではインストール可能と判定された場合を想定し（ステップＳ１２；Ｙｅｓ）、次いで、ＪＡＭは、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアがトラステッドＪａｖａ−ＡＰソフトウェアであるか否かを判定する（ステップＳ１３）。具体的には、ＪＡＭは、ステップＳ１１において記憶した内容にＡＰＩＤ及びＳＤＦ−ＵＲＬが含まれている否かを確認し、記述されていれば、このＪａｖａ−ａｐソフトウェアに対応するＳＤＦが存在する、即ち、トラステッドＪａｖａ−ＡＰソフトウェアであると判定するし、その記述がなければ非トラステッドＪａｖａ−ＡＰソフトウェアであると判定する。ここではＡＰＩＤ及びＳＤＦ−ＵＲＬが記憶されているので、ＪＡＭは、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアがトラステッドＪａｖａ−ＡＰソフトウェアと判定する（ステップＳ１３；Ｙｅｓ）。
【００５２】
次いで、ＪＡＭは、このソフトウェアに対応するＳＤＦの内容を管理サーバ装置１８から取得する（ステップＳ１４）。すなわち、ＪＡＭは、管理サーバ装置１８との間にＴＣＰコネクションを確立し、このコネクションを介して、ＡＤＦ内に記述されているＳＤＦ−ＵＲＬを含むＨＴＴＰリクエストを生成・送信し、このＨＴＴＰリクエストに対するＨＴＴＰレスポンス（図２参照）を受信して、上記コネクションを切断する。
【００５３】
次いで、ＪＡＭは、取得したＳＤＦの内容が正当か否かについて判断する（ステップＳ１５）。具体的には、ＪＡＭは、取得したＳＤＦの内容が予め定められたフォーマットに従って記述されているか否かとか、ＳＤＦに内包されているＡＰＩＤと既に不揮発性メモリ１６Ｄに記憶されているＡＰＩＤとが一致するか否かといった判定を行い、これらの判定結果が肯定的であれば、取得したＳＤＦの内容は正当であると認め（ステップＳ１５；Ｙｅｓ）、これらの内容を図４に示すようにして不揮発性メモリ１６Ｄに記憶する。
【００５４】
次いで、ＪＡＭは、ＣＰサーバ装置１３からＪａｒファイルをダウンロードする（ステップＳ１６）。具体的には、ＪＡＭは、既に記憶しているパッケージＵＲＬを含むＨＴＴＰリクエストを生成してＣＰサーバ装置１３に送信し、このＨＴＴＰリクエストに対するＨＴＴＰレスポンスを受信してＪａｒファイルを取得する。
【００５５】
そして、ＪＡＭは、ダウンロードしたＪａｒファイルを不揮発性メモリ１６Ｄに書き込み、トラステッドＪａｖａ−ＡＰソフトウェアのインストールに係る各種処理を行ってから（ステップＳ１７）、インストールに成功した旨をユーザに通知する（ステップＳ１８）。
以降、ＪＡＭは、トラステッドＪａｖａ−ＡＰソフトウェアを実行するに際し、トラステッドＪａｖａ−ＡＰの挙動を監視し、トラステッドＡＰＩの使用を制限するが、この制限は不揮発性メモリ１６Ｄに記憶されるＳＤＦ内のパーミッション情報に従って行われることとなる。
【００５６】
なお、上記の処理において、Ｊａｖａ−ＡＰソフトウェアがインストール不可能と判断された場合（ステップＳ１２；Ｎｏ）、及び、ＳＤＦが正当でないと判断された場合（ステップＳ１５；Ｎｏ）、ＪＡＭは、インストールに失敗した旨をユーザに通知するとともに（ステップＳ２０）、移動機１６の状態をステップＳ１１以前の状態に戻す。
【００５７】
また、上記の処理において、トラステッドＪａｖａ−ＡＰソフトウェアのインストール処理ではないと判断された場合（ステップＳ１３；Ｎｏ、つまり、非トラステッドＪａｖａ−ＳＰソフトウェアのインストール処理の場合）、ＪＡＭは、通常どおり、ＡＤＦに記述されていたパッケージＵＲＬに基づいてＣＰサーバ装置１３からＪａｒファイルをダウンロードし（ステップＳ１９）、Ｊａｖａ−ＡＰソフトウェアのインストールに係る各種処理を行って（ステップＳ１７）、インストールに成功した旨をユーザに通知する（ステップＳ１８）。
【００５８】
（２−２）Ｊａｖａ−ＡＰソフトウェアの起動
次に、図７に示すフローを参照しながら、Ｊａｖａ−ＡＰソフトウェアの起動時の動作について説明する。
ＪＡＭは、ユーザによってＪａｖａ−ＡＰソフトウェアの起動指示がなされると、まず、起動の対象となるＪａｖａ−ＡＰソフトウェアがトラステッドＪａｖａ−ＡＰソフトウェアか否かを判定する（ステップＳ３１）。ここでは、トラステッドＪａｖａ−ＡＰソフトウェアが起動対象であるので（ステップＳ３１；Ｙｅｓ）、処理はステップＳ３２に進み、ＪＡＭは、ＳＤＦチェックが必要か否かを判断する。具体的には、不揮発性メモリ１６Ｄに記憶されている起動回数がＳＤＦチェック頻度以上か、或いは、経過時間がＳＤＦチェック間隔以上かという条件のうちのいずれか一方が満たされていた場合にはＳＤＦチェックが必要と判断され、上記の条件のいずれもが満たされていない場合にはＳＤＦチェックは不要と判断される。
【００５９】
例えば図４に示された内容では、上記条件のいずれもが満たされていないためＳＤＦチェックは不要と判断され（ステップＳ３２；Ｎｏ）、ＪＡＭは、不揮発性メモリ１６Ｄに記憶されている起動回数を１だけインクリメントして（ステップＳ３３）、トラステッドＪａｖａ−ＡＰソフトウェアを起動する（ステップＳ３４）。
【００６０】
上記のようにしてＪＡＭがトラステッドＪａｖａ−ＡＰソフトウェアを繰り返し起動していくうちに、例えば起動回数がＳＤＦチェック頻度と同数になると、ステップＳ３２ではＳＤＦチェックが必要と判断される（ステップＳ３２；Ｙｅｓ）。この場合、ＪＡＭは、ＳＤＦチェックを要求するためのＨＴＴＰリクエストを生成し、管理サーバ装置１８に送信する。このＨＴＴＰリクエストには、起動対象のトラステッドＪａｖａ−ＡＰソフトウェアのＡＰＩＤとＳＤＦの最終更新日時（パラメータ「Lmd」のパラメータ値）とが含まれている。
【００６１】
このＨＴＴＰリクエストを受信した管理サーバ装置１８は、ＨＴＴＰリクエストからＡＰＩＤを抽出し、このＡＰＩＤを含むＳＤＦを不揮発性メモリ１８Ａから読み出し、そのＳＤＦステータスを参照する。さらに、管理サーバ装置１８は、上記ＨＴＴＰリクエストから最終更新日時を抽出し、この最終更新日時と不揮発性メモリ１８Ａから読み出したＳＤＦの最終更新日時とを比較し、移動機１６におけるＳＤＦを更新すべきか否かを判断する。つまり、管理サーバ装置１８は、ＨＴＴＰリクエストから抽出した最終更新日時が不揮発性メモリ１８Ａから読み出したＳＤＦの最終更新日時より古ければ更新要と判断するし、これらが一致すれば更新不要と判断する。上記の処理を経て、管理サーバ装置１８は、移動機１６に通知すべきＳＤＦステータスの内容を決定し、決定されたＳＤＦステータスを含むＨＴＴＰレスポンスを生成し、これをＳＤＦチェック応答として移動機１６に送信する。
【００６２】
ここで、図８及び図９にＳＤＦチェック応答の内容を例示する。
図８はＳＤＦが有効な状態である場合のＳＤＦチェック応答である。この場合、図８に示すように、ＳＤＦステータスを示すパラメータ「Sts」のパラメータ値が有効であることを意味する「00」になっている。一方、図９はＳＤＦが失効されている状態である場合のＳＤＦチェック応答である。この場合、図９に示すように、ＳＤＦステータスを示すパラメータ「Sts」のパラメータ値が失効であることを意味する「10」になっている。また、図示はしていないが、ＳＤＦが更新されている場合には、パラメータ「Sts」のパラメータ値として、ＳＤＦの更新が必要であることを意味する「01」が記述される。また、移動機１６によって通知されたＡＰＩＤに対応するＳＤＦが管理サーバ装置１８によって記憶されていないときは、その旨を示すパラメータ値「99」が記述される。
【００６３】
さて、移動機１６がＳＤＦチェック応答を受信すると（ステップ３６；Ｙｅｓ）、ＪＡＭは、そのＳＤＦチェック応答の内容を判断する（ステップＳ３７）。
例えば図８に示すようなＳＤＦチェック応答を受信した場合、ＪＡＭは、ＳＤＦが有効であると判断し（ステップＳ３７；有効）、不揮発性メモリ１６Ｄに記憶されている起動回数、経過時間及び猶予回数をクリアしてから（ステップＳ３８）、トラステッドＪａｖａ−ＡＰソフトウェアを起動する（ステップＳ３４）。
【００６４】
一方、図９に示すようなＳＤＦチェック応答を受信した場合、ＪＡＭは、ＳＤＦは失効されている状態であると判断し（ステップＳ３７；失効）、ＳＤＦが失効状態にあるのでアプリケーションを起動できない旨のメッセージを表示してステップＳ３１以前の状態に戻る処理を行う（ステップＳ３９）。
【００６５】
また、ＳＤＦステータスが「更新」を意味する場合、ＪＡＭは、ＳＤＦが更新されている状態であると判断し（ステップＳ３７；更新）、ＳＤＦを更新するための処理を行う（ステップＳ４０）。具体的には、前述した図６のステップＳ１４と同様に、管理サーバ装置１８からＳＤＦの内容を取得し、さらに、取得したＳＤＦの内容が正当か否かについて判断した後に、そのＳＤＦの内容を不揮発性メモリ１６Ｄに記憶する。
【００６６】
上記の処理において、ＳＤＦチェックを行おうとしても圏外状態や通信障害を理由としてそれが不可能であった場合（ステップＳ３６；Ｎｏ）、ＪＡＭは、不揮発性メモリ１６Ｄに記憶されている猶予回数がＳＤＦチェック猶予回数未満であるか否かを判断する（ステップＳ４１）。
猶予回数がＳＤＦチェック猶予回数未満である場合には（ステップＳ４１；Ｙｅｓ）、ＪＡＭは、不揮発性メモリ１６Ｄに記憶されている猶予回数を１だけインクリメントして（ステップＳ４２）、トラステッドＪａｖａ−ＡＰソフトウェアを起動する（ステップＳ３４）。
これに対し、猶予回数がＳＤＦチェック猶予回数以上である場合には（ステップＳ４１；Ｎｏ）、ＪＡＭは、ＳＤＦチェックができない旨のメッセージを表示してステップＳ３１以前の状態に戻る処理を行う（ステップＳ３９）。
【００６７】
（２−３）トラステッドＪａｖａ−ＡＰソフトウェアを起動するまでのシステム全体の動作例
上記動作の一例を図１０を用いて説明する。
図１０の説明においては、前述のＪＡＭやＪａｖａ−ＡＰ等のアプリケーションが行う動作は移動機１６の動作となることから、動作の主体を移動機１６として説明を行う。
図１０において、移動機１６は、ユーザによってＪａｖａ−ＡＰソフトウェアのダウンロードを要求する指示がなされると、まず、ダウンロードしようとするＪａｖａ−ＡＰソフトウェアに対応するＡＤＦのＡＤＦ−ＵＲＬを含むＨＴＴＰリクエストｍ１を生成して送信する。
ＣＰサーバ装置１３は、このＨＴＴＰリクエストに応じて、ＡＤＦを含むＨＴＴＰレスポンスｍ２を生成し移動機１６に送信する。
【００６８】
このＨＴＴＰレスポンスｍ２を受信した移動機１６は、このＡＤＦの内容を不揮発性メモリ１６Ｄに記憶した後、Ｊａｖａ−ＡＰソフトウェアを移動機１６にインストール可能と判断すれば、ＳＤＦ−ＵＲＬを含むＨＴＴＰリクエストｍ３を生成して管理サーバ装置１８に送信する。
管理サーバ装置１８は、このＨＴＴＰリクエストに応じて、ＳＤＦを含むＨＴＴＰレスポンスｍ４を生成し、移動機１６に送信する。
【００６９】
このＨＴＴＰレスポンスｍ４を受信した移動機１６は、このＳＤＦの内容の正当性を確認した後、不揮発性メモリ１６Ｄに記憶する、そして、移動機１６は、パッケージＵＲＬを含むＨＴＴＰリクエストｍ５を生成してＣＰサーバ装置１３に送信する。
ＣＰサーバ装置１３は、このＨＴＴＰリクエストｍ５に応じて、Ｊａｒファイルを含むＨＴＴＰレスポンスｍ６を生成し移動機１６に送信する。
移動機１６は、受信したＪａｒファイルを不揮発性メモリ１６Ｄに書き込み、トラステッドＪａｖａ−ＡＰソフトウェアをインストールする。
【００７０】
この後、移動機１６は、ユーザによってＪａｖａ−ＡＰソフトウェアの起動指示がなされるとＳＤＦチェックが必要か否かを判断し、必要と判断すると、ＡＰＩＤとＳＤＦの最終更新日時を含むＨＴＴＰリクエストｍ７をＳＤＦチェック要求として管理サーバ装置１８に送信する。
このＨＴＴＰリクエストｍ７を受信した管理サーバ装置１８は、このＨＴＴＰリクエストに含まれるＡＰＩＤに対応するＳＤＦステータスを含むＨＴＴＰレスポンスｍ８を生成し、これをＳＤＦチェック応答として移動機１６に送信する。
【００７１】
このＨＴＴＰレスポンスを受信した移動機１６は、そのＳＤＦチェック応答の内容を判断する。例えばＳＤＦチェック応答がＳＤＦの更新を意味する場合、移動機１６はＳＤＦを更新する。つまり、移動機１６は、ＳＤＦ−ＵＲＬを含むＨＴＴＰリクエストｍ９を生成し、管理サーバ装置１８に送信する。
このＨＴＴＰリクエストｍ９を受信した管理サーバ装置１８は、このＨＴＴＰリクエストに含まれるＳＤＦ−ＵＲＬによって特定されるＳＤＦの内容を含むＨＴＴＰレスポンスｍ１０を生成し、これを移動機１６に送信する。
以降、移動機１６は、Ｊａｖａ−ＡＰソフトウェアを起動し、更新されたＳＤＦの内容に従って上記Ｊａｖａ−ＡＰソフトウェアを実行する。
【００７２】
（２−４）Ｊａｖａ−ＡＰソフトウェアが実行されている時の移動機１６の挙動次に、上述の各々のＪａｖａ−ＡＰソフトウェアが実行されている時の移動機１６の挙動について説明する。
（２−４−１）非トラステッドＪａｖａ−ＡＰ
上述したインストール動作により移動機１６にインストールされた非トラステッドＪａｖａ−ＡＰソフトウェアが移動機１６において起動され、このソフトウェアに対応した機能（以後、非トラステッドＪａｖａ−ＡＰ）が移動機１６内に実現されたときの移動機１６の挙動について説明する。
【００７３】
非トラステッドＪａｖａ−ＡＰが使用しようとするＡＰＩが非トラステッドＡＰＩの場合、前述したように非トラステッドＡＰＩはあらゆるＪａｖａ−ＡＰの使用が許可されているから、この場合のＡＰＩの使用は移動機１６により許可されることとなる。したがって、非トラステッドＪａｖａ−ＡＰはこの非トラステッドＡＰＩを使用することができる。
また、非トラステッドＪａｖａ−ＡＰが使用しようとするＡＰＩがトラステッドＡＰＩの場合、移動機１６はこのＪａｖａ−ＡＰに対応するＳＤＦが不揮発性メモリ１６Ｄに記憶されているか否かを調べる。ここでは、そのようなＳＤＦは不揮発性メモリ１６Ｄに記憶されていないから、移動機１６は非トラステッドＪａｖａ−ＡＰによるこのＡＰＩの使用を禁止する。したがって、非トラステッドＪａｖａ−ＡＰはトラステッドＡＰＩを使用することができない。
【００７４】
（２−４−２）トラステッドＪａｖａ−ＡＰ
次に、移動機１６にインストールされたトラステッドＪａｖａ−ＡＰソフトウェアが、移動機１６が実現された移動機１６において起動され、このソフトウェアに対応した機能が移動機１６内に実現されたときの移動機１６の挙動について説明する。
トラステッドＪａｖａ−ＡＰが使用しようとするＡＰＩが非トラステッドＡＰＩの場合、前述したように、このＡＰＩの使用は移動機１６によって当然許可される。したがって、トラステッドＪａｖａ−ＡＰはこの非トラステッドＡＰＩを使用することができる。
トラステッドＪａｖａ−ＡＰが使用しようとするＡＰＩがトラステッドＡＰＩの場合、このＪａｖａ−ＡＰに対応するＳＤＦが不揮発性メモリ１６Ｄに記憶されているので、このＡＰＩの使用は移動機１６によって許可され得るが、そのトラステッドＪａｖａ−ＡＰの挙動はＳＤＦ内のパーミッション情報に依存する。
例えば、パーミッション情報のうちのパラメータ「GetPrivateInfo」のパラメータ値が「yes」に設定されている場合、トラステッドＪａｖａ−ＡＰは不揮発性メモリ１６Ｄから電話帳データや未読電子メールを読み出すことができる。また、トラステッドＪａｖａ−ＡＰは、パーミッション情報のうちのパラメータ「AllowedHost」のパラメータ値として設定されているＵＲＬの通信装置との間では通信を行うことができる。
【００７５】
以上説明したように、移動機１６においては、ダウンロードしたＳＤＦに含まれるパーミッション情報の内容に応じた挙動がこのＳＤＦに対応するトラステッドＪａｖａ−ＡＰソフトウェアに許可され、パーミッション情報の内容に含まれていない挙動は許可されない。ユーザから視れば、従来通りの非トラステッドＪａｖａ−ＡＰの他に、上記のような、より自由な挙動が許可されたトラステッドＪａｖａ−ＡＰを利用可能となり、非常に便利である。
【００７６】
なお、上述の通信システムにおいては、移動機１６に対し、ＡＤＦ、ＳＤＦ、Ｊａｒファイルという順序で各種ファイルの配信を行っていたが、このような順序で配信することにより、以下のような効果が生ずる。
既に説明したように、Ｊａｖａ−ＡＰソフトウェア（ＡＤＦ及びＪａｒファイル）はＣＰによって設計・作成され、各々のＣＰがインターネット上に開設している専用サイト（図１のＣＰサーバ装置１３）において、一般ユーザに公開されている。従って、ユーザはまず、ＣＰの専用サイトにアクセスし、そこで、様々なＪａｖａ−ＡＰソフトウェアの解説ページを参照してそのソフトウェアをダウンロードをするか否かを判断するのが普通である。そして、ユーザはＪａｖａ−ＡＰソフトウェアをダウンロードしようと判断すると、そのダウンロード処理を指示する操作を行う必要があるが、そのために上記の解説ページには次にダウンロードすべきファイルのＵＲＬがアンカータグによって埋め込まれているのが普通である。このとき、ＣＰの立場から視れば、解説ページにＡＤＦのＵＲＬを埋め込むのが最も手間がかからない。なぜなら、ＡＤＦはＣＰの管理下にあるので、そのＡＤＦのＵＲＬはＣＰによって常に把握できているからである。これに対し、解説ページにＳＤＦのＵＲＬを埋め込むとなると、ＣＰは通信事業者に問い合わせをする等して、ＵＲＬの正誤の確認処理を絶えず欠かさないようにしなければならない。よって、ＡＤＦ、ＳＤＦ、Ｊａｒファイルという順序で各種ファイルの配信を行うことは非常に有意義である。
【００７７】
また、上記の順序は、現在既に実施されているＪａｖａ−ＡＰソフトウェアのバージョンアップ処理を考慮した場合にも利点がある。現在実施されている処理は、ユーザによってバージョンアップを要求する操作がなされると、移動機は、まず、ＡＤＦに記述された内容を参照し、ＡＤＦに記述されたパッケージＵＲＬに基づいて、バージョンアップ後のＪａｒファイルを取得するという流れで行われている。即ち、バージョンアップ時には、まずＡＤＦを参照してから、その後にダウンロード処理に移行するようになっている。
この点を考慮すると、本実施形態の通信システムにおけるバージョンアップ時においても、まずＡＤＦを参照し、そのＡＤＦに記述されているＳＤＦ−ＵＲＬに基づいてＳＤＦを取得した後、Ｊａｒファイルを取得するというように、まずＡＤＦの参照から一連の処理を開始すると、それ以降は、ＳＤＦ→Ｊａｒファイルという通常のダウンロードと同じ流れで処理を行うことができ、現状のサービス仕様をあまり変更しないで済む。これに対し、仮にＳＤＦ、ＡＤＦ、Ｊａｒファイルという順序で各種ファイルをダウンロードすることが定義付けられている場合、バージョンアップしようとした場合、ＡＤＦを参照からダウンロード処理を開始すると、ＳＤＦを取得することなくＪａｒファイルの取得処理にまで至ってしまう。ＳＤＦは、バージョンアップ時に書き換えられることは十分にあり得るので、ＳＤＦが無いとセキュリティ上で不都合が生ずるおそれがある。以上のような観点からも、ＡＤＦ、ＳＤＦ、Ｊａｒファイルという順序で各種ファイルの配信を行うことは有意義である。
【００７８】
（３）変形例
本発明は上述した実施形態に限定されず、以下のような種々の変更が可能である。
上述した通信システムでは、Ｊａｖａ−ＡＰの挙動を制限する対象としてＪａｖａ−ＡＰが利用するＡＰＩとＪａｖａ−ＡＰの通信相手を挙げたが、本発明はこれに限定されるものではなく、任意の資源（リソース）を対象とすることができる。ここでいう資源はＡＰＩのようなソフトウェア資源であってもよいし、Ｊａｖａ−ＡＰの通信相手のようなネットワーク資源であってもよいし、ハードウェア資源であってもよい。
ハードウェア資源としては、メモリやスピーカ、マイク、赤外線コントローラ、ＬＥＤ（Light Emitting Diode）等の移動機が備え得るものや、移動機と共働し得るＵＩＭ（User Identity Module）やＳＩＭ（Subscriber Identity Module）等の外部機器なども挙げられる。
【００７９】
また、ネットワーク資源としては、Ｊａｖａ−ＡＰの通信相手のようなネットワーク上のリソースの他にも次のようなものも考えられる。前述したように、移動機は移動通信網との間で無線通信を行う。この無線通信時には、移動機は、移動通信網により提供される無線チャネル等の無線資源を使用する。この無線資源はネットワーク資源の一種である。また、移動機は無線資源が属する通信プロトコルレイヤよりも高位の通信プロトコルレイヤにおいて、パケットの伝送路や回線接続の通信路などの通信資源を使用する。このような通信資源もネットワーク資源の一種である。
【００８０】
次にソフトウェア資源について説明する。ソフトウェア資源としては、前述したＡＰＩやクラス、パッケージ等が挙げられる。ソフトウェア資源が提供する機能は様々であるが、典型的な機能として、暗号演算などの演算処理機能や、Ｗｅｂブラウザ等の他のアプリケーションとの間でデータを送受したりする機能などが挙げられる。また、本発明は、上記外部機器が有するソフトウェア資源をも利用の制限対象とする態様を技術的範囲に含む。
【００８１】
また、上述の実施形態では、ＪＡＭは、パーミッション情報に基づいてトラステッドＪａｖａ−ＡＰの挙動を制限するようにしていたが、もし、このトラステッドＪａｖａ−ＡＰがパーミッション情報に相反する挙動をしたときには、このトラステッドＪａｖａ−ＡＰソフトウェアの実行を強制的に終了させるようにしてもよい。
【００８２】
また、上述の通信システムではソフトウェアは移動機へ配信されるが、本発明の技術的範囲には、移動機以外の端末装置へ配信する態様も含まれる。
また、上述した通信システムにおいて、信頼できる機関がＣＰとなってよいこと、すなわち、管理サーバ装置がＣＰサーバ装置を兼ねるようにしてもよいことは言うまでもない。
【００８３】
上述した移動機のＣＰＵが実行するソフトウェア（ＪＡＭソフトウェアやＯＳソフトウェア等）は、ＣＰＵによって読み取り可能な磁気記録媒体、光記録媒体あるいはＲＯＭ等の記録媒体に記録して提供することが可能である。また、これらプログラムを、インターネットのようなネットワーク経由で移動機にダウンロードさせることももちろん可能である。
【００８４】
【発明の効果】
本発明によれば、移動機のような端末装置においてソフトウェアを起動する場合に、そのソフトウェアによって実現されるアプリケーションに与えられた権限を示すパーミッション情報が有効か否かを外部装置に確認するので、起動すべきでないソフトウェアを起動することを防止することができる。
【図面の簡単な説明】
【図１】 本発明の実施の一形態に係る通信システムの構成を示すブロック図である。
【図２】 同システムにおけるＳＤＦの内容を示す図である。
【図３】 同システムを構成する移動機の構成を示すブロック図である。
【図４】 同移動機の不揮発性メモリに記憶されている内容の一例を示す図である。
【図５】 同移動機の機能構成を示す概念図である。
【図６】 同移動機がＪａｖａ−ＡＰソフトウェアをダウンロードしインストールする処理の流れを示すフローチャートである。
【図７】 同移動機がＪａｖａ−ＡＰソフトウェアを起動する処理の流れを示すフローチャートである。
【図８】 同通信システムにおけるＳＤＦチェック応答の一例を示す図である。
【図９】 同通信システムにおけるＳＤＦチェック応答の一例を示す図である。
【図１０】 同通信システムの動作を説明するためのシーケンス図である。
【符号の説明】
１１・・・インターネット、１３・・・ＣＰサーバ装置（情報提供サーバ装置）、１５・・・移動パケット通信網、１６・・・移動機（端末装置）、１７・・・ゲートウェイサーバ装置、１８・・・管理サーバ装置（外部装置、管理サーバ装置）、１６Ａ・・・ＲＯＭ、１６Ｂ・・・ＣＰＵ（実行手段、チェック手段、起動制御手段、判断手段、起動回数カウント手段、更新手段、終了手段）、１６Ｃ・・・表示部、１６Ｄ・・・不揮発性メモリ（記憶手段、起動回数カウント手段、頻度情報記憶手段、間隔情報記憶手段、猶予回数記憶手段）、１６Ｅ・・・ＲＡＭ 、１６Ｆ・・・通信部（チェック手段、更新手段）、１６Ｇ・・・操作部、１６Ｈ・・・計時部（計時手段）。

Claims (10)

1. ソフトウェアを起動し実行する実行手段と、
   ネットワークを介してサーバ装置と通信する通信手段と、
   アプリケーションソフトウェアの実行環境を提供するソフトウェアを記憶する第１の記憶手段であって、前記実行環境が複数のアプリケーションプログラミングインターフェースを含み、前記アプリケーションソフトウェアが前記複数のアプリケーションプログラミングインターフェースのうち少なくとも１つのアプリケーションプログラミングインターフェースを使用するものである第１の記憶手段と、
   前記アプリケーションソフトウェアに与えられた権限の内容を示すパーミッション情報を記憶する第２の記憶手段であって、前記パーミッション情報が、前記複数のアプリケーションプログラミングインターフェースのうち使用が許可されるアプリケーションプログラミングインターフェースを示す情報を含む第２の記憶手段と、
   前記アプリケーションソフトウェアが起動される場合、前記パーミッション情報が有効であるか否かの確認の要求を、前記ネットワークを介して接続されたサーバ装置に前記通信手段を介して送信する要求送信手段と、
   前記要求に対する応答を前記通信手段を介して受信する応答受信手段と、
   前記応答受信手段により受信された応答が、前記パーミッション情報は有効であることを示す場合には前記アプリケーションソフトウェアの起動を許可する一方、前記応答が前記パーミッション情報は有効でないことを示す場合には前記アプリケーションソフトウェアの起動を許可しない起動制御手段と
   を備えた端末装置。
2. 前記アプリケーションソフトウェアの起動回数をカウントする起動回数カウント手段と、
   前記アプリケーションソフトウェアの連続した起動回数に対してどのくらいの頻度で前記確認の要求を送信すべきかということを示す頻度情報としての起動回数を記憶する頻度情報記憶手段と
   を含み、
   前記要求送信手段は、前記起動回数カウント手段によってカウントされた起動回数が、前記頻度情報により示される起動回数を超えた場合、前記要求を送信する
   ことを特徴とする請求項１記載の端末装置。
3. 前記アプリケーションソフトウェアの起動間隔を計時する計時手段と、
   どのくらいの時間間隔で前記確認を行うべきかということを示す間隔情報としての時間間隔を記憶する間隔情報記憶手段と
   を含み、
   前記要求送信手段は、前記計時手段によって計時される起動間隔が、前記間隔情報により示される時間間隔を超えた場合、前記要求を送信する
   ことを特徴とする請求項１記載の端末装置。
4. 前記応答受信手段が前記要求に対する応答を受信できなかった場合であっても前記起動制御手段が前記アプリケーションソフトウェアの起動を許可する回数を示す猶予回数情報を記憶した猶予回数記憶手段を備え、
   前記起動制御手段は、前記応答受信手段が前記要求に対する応答を受信できなかった場合であっても、前記猶予回数記憶手段によって記憶された猶予回数情報が示す回数分は前記アプリケーションソフトウェアの起動を許可する
   ことを特徴とする請求項１記載の端末装置。
5. 前記通信手段が、無線を利用して前記ネットワークを介した通信を行うことを特徴とする請求項１記載の端末装置。
6. 新たなパーミッション情報を前記サーバ装置から取得し、取得したパーミッション情報に基づいて前記第２の記憶手段に記憶されているパーミッション情報を更新する更新手段を備えた請求項１記載の端末装置。
7. 前記要求が、前記第２の記憶手段に記憶されている前記パーミッション情報が更新された時を示す更新時情報を含み、
   前記応答が、新たなパーミッション情報が更新されたことを示し、
   前記応答受信手段が、新たなパーミッション情報が更新されたことを示す応答を受信すると、前記要求送信手段は、前記新たなパーミッション情報の送信の要求を、前記サーバ装置に送信し、
   前記応答受信手段は、前記新たなパーミッション情報の送信の要求に対する応答を受信し、
   前記更新手段は、前記新たなパーミッション情報の送信の要求に対する応答に含まれる新たなパーミッション情報を用いて前記第２の記憶手段に記憶されているパーミッション情報を更新する
   ことを特徴とする請求項６記載の端末装置。
8. 前記実行手段が実行している前記アプリケーションソフトウェアが、前記パーミッション情報により使用が許可されていないアプリケーションプログラミングインターフェースを使用するものであった場合、前記実行手段による当該アプリケーションソフトウェアの実行を終了させる終了手段を備えた請求項１記載の端末装置。
9. ソフトウェアを起動し実行する実行手段と、ネットワークを介してサーバ装置と通信する通信手段と、アプリケーションソフトウェアの実行環境を提供するソフトウェアを記憶する第１の記憶手段であって、前記実行環境が複数のアプリケーションプログラミングインターフェースを含み、前記アプリケーションソフトウェアが前記複数のアプリケーションプログラミングインターフェースのうち少なくとも１つのアプリケーションプログラミングインターフェースを使用するものである第１の記憶手段と、データを記憶する第２の記憶手段とを有するコンピュータ装置に、
   前記実行手段が、前記アプリケーションソフトウェアに与えられた権限の内容を示すパーミッション情報であって、前記複数のアプリケーションプログラミングインターフェースのうち使用が許可されるアプリケーションプログラミングインターフェースを示す情報を含むパーミッション情報を前記第２の記憶手段に書き込むステップと、
   前記アプリケーションソフトウェアが起動される場合、前記パーミッション情報が有効であるか否かの確認の要求を、前記ネットワークを介して接続されたサーバ装置に、前記実行手段が前記通信手段を介して送信するステップと、
   前記要求に対する応答を、前記実行手段が前記通信手段を介して受信するステップと、
   前記受信された応答が前記パーミッション情報は有効であることを示す場合には、前記実行手段が前記アプリケーションソフトウェアの起動を許可する一方、前記応答が前記パーミッション情報は有効でないことを示す場合には、前記実行手段が前記アプリケーションソフトウェアの起動を許可しないステップと
   を実行させるためのプログラム。
10. 情報提供サーバ装置と、管理サーバ装置と、端末装置とを有する通信システムであって、
    前記情報提供サーバ装置は、アプリケーションを実現するためのソフトウェアを内包した実体情報を格納した記憶手段と、ネットワークを介した通信を行う通信手段とを有し、
    前記管理サーバ装置は、端末装置が前記ソフトウェアを実行することにより実現されるアプリケーションに与えられた権限を示すパーミッション情報を内包したセキュリティ記述情報と、前記セキュリティ記述情報が有効か無効かを示す情報と格納した記憶手段と、前記ネットワークを介した通信を行う通信手段とを有し、
    前記情報提供サーバ装置の記憶手段は、前記実体情報に依存した内容を有し前記実体情報の格納位置と前記セキュリティ記述情報の格納位置とが記述されたアプリケーション記述情報をさらに格納し、
    前記端末装置は、ソフトウェアを起動し実行する実行手段と、前記ネットワークを介して前記情報提供サーバ装置または前記管理サーバ装置と通信する通信手段と、アプリケーションソフトウェアの実行環境を提供するソフトウェアを記憶する第１の記憶手段であって、前記実行環境が複数のアプリケーションプログラミングインターフェースを含み、前記アプリケーションソフトウェアが前記複数のアプリケーションプログラミングインターフェースのうち少なくとも１つのアプリケーションプログラミングインターフェースを使用するものである第１の記憶手段と、データを記憶する第２の記憶手段とを有する端末装置とを有し、
    前記パーミッション情報が、前記複数のアプリケーションプログラミングインターフェースのうち使用が許可されるアプリケーションプログラミングインターフェースを示す情報を含み、
    前記情報提供サーバ装置の通信手段は、前記端末装置に対して、前記アプリケーション記述情報を送信し、
    前記端末装置の実行手段は、前記情報提供サーバから送信されてくるアプリケーション記述情報に内包されている前記セキュリティ記述情報の格納位置を、前記通信手段を介して前記管理サーバ装置に通知し、
    前記管理サーバ装置は、前記通知されたセキュリティ記述情報の格納位置に基づいて、当該セキュリティ記述情報を、前記通信手段を介して前記端末装置に送信し、
    前記端末装置の実行手段は、受信した前記セキュリティ記述情報を前記第２の記憶手段に書き込み、
    前記端末装置の実行手段は、受信した前記セキュリティ記述情報に内包されている前記実体情報の格納位置を前記情報提供サーバ装置に通知し、
    前記情報提供サーバ装置は、前記記憶手段のうち前記通知された実体情報の格納位置から実体情報を読み出し、読み出した実体情報を前記通信手段を介して前記端末装置に送信し、
    前記端末装置の実行手段は、前記情報提供サーバ装置から送信された実体情報に内包されるソフトウェアをインストールし、
    前記端末装置の実行手段は、インストールされている前記ソフトウェアを起動する場合に、前記記憶しているセキュリティ記述情報が有効であるか否かの確認の要求を前記管理サーバ装置に、前記通信手段を介して送信し、
    前記管理サーバ装置は、前記要求に示されるセキュリティ記述情報が有効であるか無効であるかを示す状態を、前記記憶手段の内容に従って決定し、決定した状態を含む応答を、前記通信端末に、前記通信手段を介して送信し、
    前記端末装置は、前記確認の結果、前記セキュリティ記述情報が有効であることが確認された場合には前記ソフトウェアの起動を許可する一方、前記パーミッション情報が有効でないことが確認された場合には前記ソフトウェアの起動を許可せず
    前記端末装置の実行手段は、前記管理サーバ装置から受信した応答が、前記パーミッション情報は有効であることを示す場合には前記アプリケーションソフトウェアの起動を許可する一方、前記応答が前記パーミッション情報は有効でないことを示す場合には前記アプリケーションソフトウェアの起動を許可しない
    ことを特徴とする通信システム。

Images