CN100489767C

CN100489767C - 通信设备

Info

Publication number: CN100489767C
Application number: CNB2003101029600A
Authority: CN
Inventors: 神谷大; 山田和宏; 近藤隆
Original assignee: NTT Docomo Inc
Current assignee: NTT Docomo Inc
Priority date: 2002-10-30
Filing date: 2003-10-30
Publication date: 2009-05-20
Anticipated expiration: 2023-10-30
Also published as: US20040142682A1; TW200409513A; JP4629304B2; DE60312280D1; JP2004152022A; EP1416353A3; CN1499359A; EP1416353A2; TWI226777B; US7644444B2; ES2280663T3; DE60312280T2; EP1416353B1

Abstract

移动电话接收一个程序和关于该程序的信任应用的识别信息，指定那些在执行程序的过程中将要使用的数据，基于信任应用的识别信息来选择将要产生的不完全封装对象或完全封装对象，由此产生其中一种对象，并且在执行程序的时候，仅仅使用所生成的对象来使用数据。

Description

通信设备

技术领域

本发明涉及确保通信设备中的数据安全的技术。

背景技术

使用具有分组通信功能的移动电话从连接到因特网的服务器下载程序，这已经成为一种非常普遍的实践。

虽然因特网能使全世界的人们自由交换程序，但它也存在着固有风险，其中包括例如从通信设备窃取数据。此外还有可能会在毫无恶意的情况下提供一个导致通信设备出现故障的程序。有鉴于这些风险，用户隐私是主要关注的问题。

有可能对提供给移动电话的程序功能加以限制。例如，一个可以执行那些用编写的程序的移动电话将会强行限制这些程序。具体地说，这些程序只允许访问以下资源：1)下载一个或多个程序的服务器，2)分配给一个或多个程序的存储区，并且这些程序不准许访问用户电话号码、电子邮件地址或电话簿数据这样的资源。此外，移动电话只使用本机程序来处理这种个人信息，由此能够确保通信设备中保存的个人信息的安全。以下参考文献对这种技术的一个实例进行了描述：

i Apuricontentsukaihatsuguide for 504i Syousaihen Internet<URL http://www.nttdocomo.co.jp/p_s/imode/java/>.

在这里，本机程序是指写入到尚未公开使用的移动电话的存储器的程序。

如上所述，这种限制访问资源的机制为移动电话用户提供了某种安全性。然而，它在下载程序的操作中产生了各种限制。也就是说，它限制了程序的多样化。本发明旨在克服上述问题，并且本发明的目的是提供一种技术，用于在确保移动电话这类通信设备中保存的数据安全性的同时提供各种不同的程序。

发明内容

为了解决上述问题，本发明提供了一种通信设备，包括：一个用于保存数据的存储装置；一个使用一种访问数据的方法来获取一个程序的获取装置；一个用于执行所述程序并且根据所述程序来使用那些允许所述程序使用的数据的执行装置；一个从所述存储装置保存的数据中指定所述程序所要使用的数据的指定装置；一个为所述程序选择不完全封装对象或完全封装对象的选择装置，其中不完全封装对象是一个使用方法来把该对象中包含的数据提供给访问该对象的程序的对象，并且完全封装对象则是并未使用这种方法的对象；一个根据所述选择装置做出的选择来为所述程序产生一个不完全封装对象或一个完全封装对象的对象生成装置，其中生成的对象包括所述指定装置所指定的数据；以及一个访问控制装置，用于控制对于所述指定装置所指定的数据的访问，并且允许所述执行装置仅仅经由所述对象生成装置为所述程序生成的对象来访问数据。

根据本发明，通信设备接收一个程序和用于该程序的识别信息，从存储数据中指定执行程序时使用的数据，为所述程序选择不完全封装对象或完全封装对象中的一个对象，产生选定对象，产生的对象包括指定数据，在执行程序时，仅仅经由生成的对象来使用数据。

附图说明

图1是显示根据本发明第一实施例的通信系统结构的框图。

图2是显示根据第一实施例的移动电话硬件结构的框图。

图3是显示根据第一实施例的移动电话非易失存储器中保存的ADF数据配置的图示。

图4是对根据第一实施例的移动电话中的JAVA AP执行环境加以说明的图示。

图5是对根据第一实施例的移动电话中的封装对象加以说明的视图。

图6是举例说明根据第一实施例的移动电话中的不完全封装对象的视图。

图7是举例说明根据第一实施例的移动电话中的完全封装对象的视图。

图8是对根据第一实施例的移动电话中的CPU所执行的对象生成处理操作加以说明的流程图。

图9是对根据第一实施例的移动电话中的CPU所执行的访问管理处理加以说明的流程图。

图10是对根据本发明第一实施例的移动电话中的CPU所执行的Java AP终止操作加以说明的流程图。

图11是显示存入根据第二实施例的移动电话非易失存储器的重要性表格的数据配置的图示。

图12是显示存入根据第二实施例的移动电话非易失存储器的应用数据表格的数据配置的图示。

图13是对根据第二实施例的移动电话中的CPU所执行的对象应用管理处理的操作加以说明的流程图。

图14是显示存入根据本发明某些修改的移动电话非易失存储器的应用数据表格的数据配置的图示。

图15是对根据本发明某些修改的Java执行环境的改动加以说明的图示。

图16是举例说明根据本发明某些修改的通信系统改动的图示。

具体实施方式

1.第一实施例

以下将参考图示来描述本发明的第一实施例。在图中，相同的数字表示相同的部件。

1-1.实施例的构造

1-1-1.通信系统的结构

图1是显示根据本发明第一实施例的通信系统1的结构的框图。如图中所示，通信系统1包括一个内容服务器10、因特网20、移动分组通信网络30以及移动电话40。通常，多个移动电话40会位于所述通信系统1。然而为了简化起见，图1只显示了一个移动电话40。出于同样原因，图1只显示了一个内容服务器10、一个网关服务器31和一个基站32。

内容服务器10具有经由因特网20以及移动分组通信网络30而与移动电话40进行分组通信的功能。诸如程序这种提供给移动电话40的内容或图像数据和音乐数据都保存在内容服务器10上。其中一种内容是可以在移动电话40中执行的Java应用程序(下文称为“JAVA AP”)。

移动分组通信网络30是一个通信网络，用于提供与移动电话40所进行的分组通信服务。网关服务器31对移动分组通信网络30与因特网20之间的数据发送与接收进行中继。另外，多个基站32位于移动分组通信网络30的通信服务区以内，而基站32则与移动电话40进行无线电通信。

移动电话40与基站32进行无线电通信。另外，移动电话40具有通过移动分组通信网络30以及因特网20而与内容服务器10进行分组通信的功能，并且移动电话40能够从内容服务器10下载内容。

1-1-2.移动电话的结构

图2是一个显示移动电话40的硬件结构的框图。如图所示，移动电话40包括一个无线电通信单元401、操作输入单元402、呼叫处理单元403、通信接口404、CPU 405、液晶显示器单元406以及存储器单元407，所述这些设备通过总线411相互连接。

无线电通信单元401具有天线401a，所述单元对与基站32进行的无线电通信进行控制。在CPU 405的控制下，无线电通信单元401把语音数据或分组通信数据叠加到载波上，从而产生一个传输信号并将此信号发送到基站32。另外，无线电通信单元401通过天线401a来接收基站32发送的无线电信号，并且通过解调这个信号来获取关于移动电话40的语音数据以及分组通信数据。

操作输入单元402具有多个按键，用于输入数字、字符、操作指令等等以及向CPU 405输出对应于按键操作的操作信号。另外，举例来说，处理单元403具有一个麦克风、一个扬声器、一个语音处理单元以及其他设备，在CPU 405的控制下，所述处理单元执行一个包含呼叫连接/断开的呼叫处理。

通信接口404对与那些经由通信电缆连接的电子设备所进行的有线通信加以控制。另外，CPU 405通过执行存储单元407中保存的不同程序来控制经由总线411连接的各个控制单元。此外，液晶显示单元406包括一个液晶显示面板和一个用于执行液晶显示面板的显示控制的驱动电路。

存储单元407包括ROM 408、RAM 409以及非易失存储器410，其中所述非易失存储器410可以是例如SRAM(静态RAM)和EEPROM(电可擦可编程序ROM)。诸如移动电话40的操作系统(下文称为“OS”)以及网络浏览器这类软件或者构造Java执行环境的软件都保存在ROM中。另外，RAM 409被用作CPU 405的一个工作区，CPU 405执行的各种程序和数据都临时保存在RAM409中。

从移动电话40出货时起，为移动电话40设计的程序就保存在非易失存储器410中。从内容服务器10下载的Java AP等内容则保存在非易失存储器410中。此外，各种数据都保存在非易失存储器410中，例如包含了用于显示电话号码或电子邮件地址的地址薄数据、所接收或发送的电子邮件数据、来话呼叫和出话呼叫的历史数据或者显示用户银行帐号以便进行电子支付的数据，以及显示信用卡号码的数据。

在下文中，将移动电话40出货时即被存入ROM 408和非易失存储器410的程序称为“本机程序”(native program)，以便区别于下载的Java AP。并且为本机程序提供了一个用于显示所述程序是本机程序的识别信息。

此外，非易失存储器410包括一个JAR(Java归档)存储器410a、一个单独便笺式存储器410b和一个公共便笺式存储器410c。

在这里，下载到移动电话40的Java AP是在单独便笺式存储器410b和公共便笺式存储器410c之前得到描述的。Java AP包括作为Java AP主程序的JAR文件以及在执行Java AP主程序时一起使用的图像文件和声音文件，此外还包括一个ADF(应用描述文件)文件，在所述ADF文件中写入了各种控制信息，以便安装和激活JAR文件并控制网络接入。下载的JAR文件和ADF文件则保存在非易失存储器410中。

如图3所示，在这个实施例中，除了显示Java AP的“AppName”、显示JAR文件URL的“PackageURL”、显示JAR文件大小的“Appsize”以及显示最后更新日期的“Lastmodified”等现有技术的已知数据之外，还将一个“信任应用识别符”包含在ADF中。信任应用识别符是用于识别Java AP和不同于Java AP的程序的数据，并且还用于识别哪些内容受到第三方检查并被证明满足指定标准的Java AP，其中所述第三方可以是一个电信运营商，它对移动分组通信网络30以及CA(证书认证)进行管理。这些标准的某些实例是；程序能在不遗漏数据的情况下管理移动电话40中保存的数据，以及在移动电话40中以常规方式运行一个程序。由于上述第三方受到参与所提供通信服务的所有各方的信任，因此经过第三方认证的程序是可以信任的。因此，这种程序称为“信任(trusted)应用”，其他程序则称为“不信任(non-trusted)应用”。如果信任应用识别符的值为零，那么信任应用识别符显示：与一个ADF文件相对应的Java AP是一个不信任应用，如果信任应用识别符的值为1，那么信任应用识别符显示：与一个ADF文件相对应的Java AP是一个信任应用。

Java AP的存储区安装在JAR存储器410a以及所下载的各个Java AP的单独便笺式存储器410b中。关于Java AP的JAR文件保存在JAR存储器410a的各个存储区。此外，举例来说，如果JavaAP是一个游戏程序，那么，根据Java AP的用途而为Java AP生成的数据保存在单独便笺式存储器410b的各个存储区，例如过去得分数据或存盘数据。此外，多个Java应用程序通常使用的数据保存在公共便笺式存储器410c中。

此外，在下载之后，当在移动电话40中执行Java AP时，移动电话40能够访问的资源限制在内容服务器10、分配给Java AP的存储区、JAR存储器410a、单独便笺式存储器410b以及公共便笺式存储器410c，其中程序就是从所述内容服务器下载的。移动电话40并不准许访问其他资源。

1-1-3.Java执行环境

图4是对移动电话40中的Java AP执行环境加以说明的图示。在这个图中，构造Java AP执行环境(KVM(K虚拟机))的软件、一种结构(CLDC(连接受限设备配置))以及一个简表(电信运营商最初开发的原始扩展库)都保存在移动电话40中。

KVM是为小型电子设备重新设计的JVM(Java虚拟机)，它把一个Java AP执行文件格式的字节代码转换成一个CPU405能够经由OS解释/执行的指令代码。此外，CLDC类库是一个用于CLDC的类库。

原始扩展库是一个基于CLDC来为移动电话提供指定功能的类库。例如，用户接口API(应用程序接口)、网络API、便笺式存储器API、完全封装API、不完全封装API及其他API都包含在原始扩展库中。

在这里，用户接口API是用于支持移动电话40的用户接口功能的API，网络API是对访问URL(统一资源定位码)所指示网络资源提供支持的API。此外，便笺式存储器API是对关于单独便笺式存储器410b和公共便笺式存储器410c的数据写入或读取提供支持的API。另外，完全封装API是用于产生完全封装对象的API，而不完全封装API则是用于产生不完全封装对象的API。

此外，除了CLDC类库和原始扩展库之外，移动电话40还具有一个制造商原始扩展库。制造商原始扩展库是这样一个类库，经由该类库，移动电话40的各个制造商提供了初始功能。

接下来在OS的控制下，JAM(Java应用管理器)具有对下载到移动电话40的Java AP、完全封装对象以及不完全封装对象等等进行管理的功能。举例来说，Java具有如下功能：更新和删除JavaAP的安装，显示存入非易失存储器410的Java AP列表，执行JavaAP的运行/管理(例如激活和强制终止)，在执行Java AP时对移动电话40的访问加以限制，以及产生、更新及删除完全封装对象和不完全封装对象。

此外，如图所示，提供电话簿功能、浏览器功能及其他功能的本机程序是在OS的控制下直接执行的。

1-1-4.对象的结构

接下来描述的是一个对象。对象是一组数据(Java程序设计语言中的“字段”)和操作(Java程序设计语言中的“方法”)。在Java程序设计语言中，访问指示符“私有”声明对象中的各个字段都是私有字段，它被用于封装私有字段中保存的数据。封装对象是经由封装而产生的。

图5是说明一个封装对象的视图。如图所示，封装对象包括封装数据的一个以上的数据项，以及一种以上的方法，用于从封装对象外部对所述对象中的各个数据项进行可能的操作。

如图所示，封装对象具有两个数据项，即数据1和数据2，并且显示了两种方法，即方法1和方法2。由于数据1和数据2是在封装对象中进行封装的，因此无法从对象外部直接读取或写入数据1和数据2。这样一来，当下载的程序访问封装对象中的数据1和数据2时，所述程序(＝执行指令的程序)必须使用方法1和方法2来指示封装对象操作目标数据1和数据2。

在图中，举例来说，当方法1是一种将指定数据提供给执行指令的程序的方法的时候，执行所述指令的程序可以使用方法1来获取封装对象中的可选数据1和数据2。此外，举例来说，当图中的方法2是一种在液晶显示器上显示指定数据的方法的时候，执行指令的程序可以使用方法2来显示封装对象中的可选对象1和对象2。其要点在于：对于使用方法2而将封装对象的可选数据1和数据2显示在显示器上的程序而言，即使程序本身并未得到所要显示的数据，它也可以通过使用方法2来命令所述封装对象显示可选数据1和数据2。

更具体地说，在封装对象(完全封装对象)没有任何方法来把数据提供给执行指令的程序的情况下，所述执行指令的程序无法得到那些保存在封装对象中的数据，但却可以使用属于封装对象的方法来控制那些保存在封装对象中的数据。

因此，在执行指令的程序是一个不信任应用的情况下，当程序访问的数据作为完全封装对象而被管理的时候，由于并未将数据提供给所述程序，因此移动电话40中的数据是安全的。此外，即使执行指令的程序是一个不信任应用，所述程序仍然可以使用属于封装对象的方法来访问数据，例如那些通常因为安全原因而不能访问的地址薄数据和电子邮件数据。

图6是举例说明涉及电话簿数据的不完全封装对象的视图。如上所述，在Java程序设计语言中，借助于通常所说的访问限定语“私有”来声明对象中的各个字段是私有字段，由此对保存在私有字段中的数据进行封装。换句话说，对象中的每个字段都是一个私有字段，而保存在私有字段中的数据是无法从对象外部读取的。在这种情况下，为使执行指令的程序能够从对象外部访问数据，该程序需要使用归属于所述对象的方法来指示所述对象控制(访问)各个私有字段中保存的数据。

图中，在不完全封装对象中安装了两个私有字段，并且，电话簿的字符串数据、“私有字符值[1]”以及“私有字符值[2]”都保存在一个不完全封装对象中。此外，一个不完全封装对象具有两种方法，也就是通常所说的“getBytes()”和“drawstring()”。getBytes()是一种用于向执行指令的程序提供那些保存在以比特阵列为形式的对象中的数据的方法。因此，下载的Java AP能够使用方法“getBytes()”来获取不完全封装对象中保存的电话簿字符串数据、“私有字符值[1]”以及“私有字符值[2]”。此外，Java AP能够把所获取的保存在不完全封装对象中的电话簿字符串数据发送到内容服务器10(一个执行下载Java AP的服务器)。

此外，drawString()是一种用于在移动电话40的液晶显示器上显示对象中所保存数据的方法。Java AP能在移动电话40的液晶显示器上显示不完全封装对象中保存的电话簿字符串数据(“私有字符值[1]”和“私有字符值[2]”)。

图7是举例说明涉及电话簿数据的完全封装对象的视图。对图7的完全封装对象以及图6的不完全封装对象而言，二者的不同之处在于：完全封装对象不具有向执行指令的程序提供对象中保存的数据的方法。

更具体地说，由于对象是经过“完全”封装的，因此它并不具有向执行指令的程序提供对象中所保存数据的方法。因此，下载的Java AP能够使用通常所说的方法“drawstring()”而在移动电话40的液晶显示器上显示不完全封装对象中保存的电话簿的字符串数据(“私有字符值[1]”和“私有字符值[2]”)，但却无法得到电话簿的字符串数据。由于上述原因，即使将不信任应用下载到了移动电话40，也无法将电话簿数据提供给不信任应用，由此无法将电话簿数据发送到移动电话40的外部(例如服务器)。

对象中保存的电话簿字符串数据是使用方法“drawstring()”来显示的，完全封装对象和不完全封装对象使用ROM 408或非易失存储器410中作为本机程序保存的显示控制程序而把电话簿的字符串数据显示在液晶显示器上。如果Java AP能够使用显示控制程序来获取显示数据，那么使用完全封装对象和不完全封装对象将不会得到任何好处。

然而，在执行所下载的Java AP的时候，上述JAM的访问限制功能将移动电话40限制在Java AP执行过程中的访问资源。在执行Java AP的过程中，由于显示控制程序并未包含在移动电话40准许访问的资源中，因此Java AP不可能从显示控制程序中得到所显示的数据。

此外，可以在程序设计语言的级别上封装对象或者在可执行代码(机器语言或字节代码)的级别上封装对象，这一点似乎是合理的。然而，如果在程序设计语言等级上使用一种完全方式来封装所述对象，则不可能在可执行代码的等级上使用一种完全方式来封装所述对象，由此并未以一种完全方式来封装数据。举例来说，使用C++(程序设计语言)的程序能够产生一个具有私有字段的封装对象，但是使用C++的程序只能在程序设计语言的等级上实现完全封装。

更具体地说，当使用C++的程序来把对象中保存的各个字段声明为私有字段，并且产生一个封装对象的时候，如果所述程序编译了一个直接读写私有字段中保存的数据的源代码，那么由于编译错误，将不会产生一个执行码。

应该注意的是，执行码仅仅是由一个编译器来确定的。举例来说，带有恶意的第三者可以产生一个可执行代码，以便通过修改编译器来直接读写对象私有字段中保存的数据。此外，这个人可以创建一个程序来产生一个可执行代码，所述代码使用用户输入等方法来读取对象中保存的数据。另外，只要某人通过请求一个指针而获取了对于存储器的直接访问，则很有可能得到对象中保存的数据。

另一方面，对Java而言，声明为私有字段的字段是使用显示所述字段具有私有属性的Java字节代码来编译的。当KVM将一个类文件扩展到RAM 409时，归档的文件将会保持它的私有属性。因此，如果第三者通过修改编译器而产生了一个用于读取对象私有字段中保存的数据的字节代码，那么KVM或JAM将会检测到所述代码的生成，由此第三者无法获取对象中保存的数据。此外，Java并不支持指针，因此，带有恶意的第三者无法借助指针来获取对于存储器的直接访问，由此无法得到对象中保存的数据。

根据上述理由，在Java中，对象是在字节代码等级和程序设计语言等级上以一种完全的方式来进行封装的。

1-2.实施例的操作

接下来是实施例的操作。

假设移动电话40经由分组通信网络30以及因特网20而与内容服务器10进行分组通信，并且移动电话40从内容服务器10下载Java AP并将其保存在非易失存储器410中。另外，除了下载的JavaAP(JAR文件和ADF文件)，地址薄数据、电子邮件数据以及用户数据也保存在非易失存储器410中。

1-2-1.对象的生成处理

移动电话40中的CPU 405所执行的对象生成处理将参考图8来进行描述。对象生成处理是作为一个JAM的功能而由CPU 405来执行的，举例来说，所述处理是在通过操作输入而从显示器显示的程序列表中指定了所执行程序的时候才得以执行的。举例来说，当在预定时间指示执行一个程序的时候，当其他已执行程序指示执行一个程序的时候，或者在经由电子邮件等等而从移动电话40外部指示执行一个程序的时候，用于指示执行一个程序的实施例并不局限于操作输入。

如图所示，移动电话40中的CPU 405经由一个输入操作而将指定的程序规定为所执行的程序(步骤S501)。接下来，CPU 405判定所指定的程序是下载的Java AP还是本机程序(步骤S102)。如上所述，为了显示所述程序是一个本机程序，将识别信息提供给了本机程序。因此，CPU 405通过确定是否向所述程序提供上述识别信息来确定所述程序是下载的Java AP还是本机程序。

因此，如果CPU 405判定所述程序是一个本机程序(步骤S102：否)，那么CPU 405将会终止对象生成处理并且开始执行作为所执行程序的本机程序。然后，CPU 405基于所执行的本机程序来进行处理。

在这种情况下，当所要执行的程序是一个本机程序时，没有必要使用完全封装对象或不完全封装对象，也没有必要在执行本机程序的时候操作JAM的一个访问限制功能。因此，在执行本机程序的时候并没有执行一个依据JAM的访问限制。因此，本机程序可以访问移动电话40中保存的可选资源，也可以访问网络上的可选资源。

另一方面，如果CPU 405判定所述程序是下载的Java AP(步骤S102：是)，那么，举例来说，CPU 405通过为Java AP分析程序内容而从非易失存储器410保存的不同数据中指定那些在Java AP中使用的数据。当Java AP指定了所要使用的数据的时候，由于JAR文件中保存的数据是内容供应商为了提供Java AP而作为执行Java AP所必需的数据来准备的，因此，保存在JAR文件中的数据将会作为未指定数据而被排除。

接下来，CPU 405参考ADF文件中包含的信任应用识别符，由此确定管理指定数据的对象类型是“完全封装对象”还是“不完全封装对象”(步骤S104)。举例来说，当信任应用识别符为“1”时，与ADF文件相对应的Java AP是一个信任应用，因此CPU 405把管理指定数据的对象类型判定为“完全封装对象”。

基于步骤S103的指定数据以及步骤S104的已确定对象类型，CPU 405产生一个完全封装对象或是一个不完全封装的对象(步骤105)。举例来说，在步骤104，如果CPU 405把管理数据的对象类型确定为“完全封装对象”，那么CPU 405会把一个完全封装API激活到原始扩展库中，并且为指定数据的各个数据项产生完全封装对象。此外，在步骤S104，如果把管理数据的对象类型确定为“不完全封装对象”，那么CPU 405将会把一个不完全封装的API激活到原始扩展库中，并为指定数据的每个数据项产生不完全封装对象。

接下来，CPU 405将一个对象存入单独的便笺式存储器410b(步骤S106)并且终止了对象生成处理，其中所述对象即为生成的完全封装对象或生成的不完全封装对象。在步骤S105，生成的完全封装对象或不完全封装对象可以保存在公共便笺式存储器410c中。

1-2-2.访问管理的处理

接下来参考图9来描述移动电话40中的CPU所执行的访问管理处理。访问管理处理是作为JAM的一个功能而由CPU 405执行的，当在下载的Java AP执行过程中产生了一个访问请求的时候，所述访问处理是作为一个中断处理来执行的。

如图所示，移动电话40中的CPU 405辨别所请求的接入点是否处于预先批准的资源范围以内，并且确定(对于所述资源的)所述访问是否得到许可(步骤S201)。为了确定访问授权，在执行下载的Java AP的时候，CPU 405会在Java AP的执行过程中把资源局限于如下所示：下载Java AP的内容服务器10，其中所述Java AP是由写入Java AP的AD之中的URL来指定的，指派给Java AP的JAR存储器410a，在单独便笺式存储器410b之中的存储区以及公共便笺式存储器410c。

因此，在所请求的一个或多个访问点是上述任何资源的情况下，CPU 405批准所述访问。然而，如果所请求的一个或多个访问点并不处于上述一种或多种资源之中，那么CPU 405不会批准所述访问。

接下来，CPU 405向请求下载所述访问的Java AP告知所述访问是否得到授权(步骤S202)并且终止访问管理的处理。此外，当处于执行的Java AP接收到JAM执行的授权结果时，在批准访问的时候，Java AP将会基于访问请求来执行所述处理；然而，在并未批准访问的时候，Java AP会基于访问请求来取消所述处理。

当移动电话40中的CPU 405执行所下载的Java AP的时候，CPU 405会在图8所示对象生成处理之后激活Java AP。此外，在执行所下载的Java AP的过程中，CPU 405会执行图9所示的访问管理处理。因此，在执行所下载的Java AP的过程中，移动电话40总是限于访问资源。举例来说，移动电话40无法访问地址薄数据，电子邮件数据、呼入和呼出历史数据、用户数据以及诸如内容这样的其他数据。

出于上述原因，移动电话40中的CPU 405会在对象生成处理中指定Java AP使用的数据，从而将其激活，并且为所述指定数据产生一个完全封装对象或不完全封装对象，以及将其保存在便笺式存储器410b中。如上所述，公共便笺式存储器410c是准许移动电话40访问的资源，即使是在所述访问受到JAM限制的情况下。下载到移动电话40的Java AP以这样一种方式生成，其中Java AP访问一个完全封装对象或一个不完全封装对象，这两个对象都保存在公共便笺式存储器410c中，所述Java AP通过使用归属于所述对象的方法来指示所述对象管理对象中的数据。

举例来说，在产生了一个使用地址薄数据的不信任应用的时候，上述对象生成处理会为地址薄数据产生一个完全封装对象，所述完全封装对象将会保存在公共便笺式存储器410c中。此外，不信任应用通过使用归属于所述对象的方法来命令完全封装对象管理所述对象中的数据，其中完全封装对象是为地址薄数据产生的。因此，在显示器上将会显示一部分归属于完全封装对象的地址薄数据，但不会将归属于完全封装对象的数据提供给不信任应用。

在现有技术中，Java AP不能访问地址薄数据、电子邮件数据、呼入和呼出历史数据、用户数据以及其他数据，由此相对于所下载的Java AP来确保数据安全。与之相反，根据本发明，由于并未使用完全封装对象来向Java AP提供数据，因此有可能相对于所下载的Java AP来确保安全性，并且经由一个完全封装对象来显示那些不准许访问的数据。因此，在本发明中，下载的Java AP能够执行移动电话40中的不同功能。换句话说，Java AP的功能将会变得更加丰富。

此外，根据本发明，Java程序员能在不考虑数据访问方法或是数据安全性的情况下编制一个程序来访问数据。因此，在生产率和程序可靠性方面，程序员能够更有效的进行工作。

1-2-3.Java AP终止处理

接下来参考图10来描述移动电话40中的CPU 405所执行的Java AP终止处理。Java AP终止处理是作为一个JAM功能而由CPU 405执行的，在产生了Java AP的一个执行终止请求的时候，所述处理是作为中断处理来执行的。

如图所示，在产生了一个Java AP终止请求的时候，移动电话40中的CPU 405将会删除公共便笺式存储器401c中保存的完全封装对象和不完全封装对象(步骤S301)。在步骤S301中删除的完全封装对象和不完全封装对象是在Java AP激活处理的对象生成处理中产生(参见图8)并且保存在公共便笺式存储器410c中。在从公共便笺式存储器410c中删除所述对象之后，CPU 405将会结束所述JavaAP终止处理。

此外，在激活所下载的Java AP的时候，通过生成完全封装对象和不完全封装对象，以及将所述对象存入公共便笺式存储器401c，并且在停止执行所下载的Java AP的时候，通过从公共便笺式存储器410c中删除完全封装对象和不完全封装对象，确保了移动电话40的存储器资源的有效使用。

2.第二实施例

在第一实施例中，无论Java AP是一个信任应用还是一个不信任应用，不管数据类型怎样，都会产生一个完全封装对象或不完全封装对象。然而在第二实施例中，完全封装对象或不完全封装对象取决于提供给Java AP的信任等级以及确保数据安全所需要的重要性等级。此外，可用对象是根据Java AP的信任等级来决定的。

2-1.实施例的结构

在第一实施例中，在并未向一个Java AP给予信任的情况下，ADF的信任应用识别符的值为零，在向Java AP给予了信任的情况下，所述值为1。然而在第二实施例中，根据给予一个Java AP的信任等级而设定了等级“高”、“中”、“低”(下文称为“JavaAP的信任等级”)。举例来说，“提供给Java AP的信任等级是高”意味着Java AP恰当管理数据的概率要高于预定的标准概率。

2-1-1.移动电话的结构

如图11所示，重要性等级表格410d安装在移动电话40的非易失存储器410中。

如图所示，对那些需要确保较高等级的数据而言，例如地址薄数据、电子邮件数据、呼入和呼出历史数据、用户数据等等，它们各自保存在移动电话40中，其重要性等级设定为“高”。此外，对那些需要在中间等级受到保护的数据而言，其重要性等级将会设定为“中”，而对那些需要得到低等级保护的数据而言，其重要性等级将会设定为“低”。

此外，如图12所示，在移动电话40的非易失存储器410中安装了应用数据关系表格410e。在这个表格中，基于数据重要性等级以及Java AP信任等级来确定将数据作为完全封装类型或是不完全封装类型来进行管理。举例来说，在这个图中，在Java AP处于高信任等级的情况下，无论数据重要性怎样，都会设定一个完全封装类型。此外，相对于处在中等信任等级的Java AP而言，完全封装类型将会设定在高或中的数据重要性等级，不完全封装类型将会设定为低的重要性等级。

此外，根据Java AP信任等级，在应用数据关系表格410e中安装了一个可用对象。举例来说，在图中，当Java AP处于高信任等级的时候，Java AP能够使用一个完全封装对象和一个不完全封装对象。因此，无论数据重要性等级怎样，Java AP都能使用一个所要生成的不完全封装对象。此外，处于低信任等级的Java AP能够使用一个完全封装对象和一个不完全封装对象。因此，在数据重要性等级为高或中的时候，Java AP能够使用一个完全封装对象，而在数据重要性等级为低的时候，Java AP能够使用一个不完全封装对象。

上述重要性等级表格410d以及应用数据关系表格410e的内容是在移动电话40发货的时候预先注册的；然而，对于从服务器下载的内容而言，数据是在下载的时候保存在重要性等级表格410d中的。此外，用户可以使用移动电话40来将数值输入上述表格。

除了这个实施例中描述的结构之外，其他结构都与第一实施例相同，因此将会省略这些描述。

2-2.实施例的操作

以下描述本实施例的操作。

下载的Java AP、地址薄数据、电子邮件数据、用户数据等等都保存在非易失存储器410中，并且图11和图12所显示的数据内容保存在重要性等级表格410d和应用数据关系表格410e中。

2-2-1.对象生成处理

接下来参考图8所示的流程图来描述对象生成处理。

从步骤S101到步骤S103的操作与第一实施例相同。接下来，CPU 405通过使用非易失存储器410来引用一个与Java AP相对应的ADF信任识别符，并且获取Java AP的信任等级。然后，CPU 405引用应用数据关系表格410e，并且基于数据的重要性等级以及JavaAP的信任等级来确定管理数据的对象类型是“完全封装类型”还是“不完全封装类型”(步骤S104)。举例来说，在Java AP所用数据是地址薄数据的情况下，CPU 405通过参考重要性等级表格410d来读出地址薄数据的重要性等级，并且将所述重要性等级当作“高”。此外，举例来说，在从对应于Java AP的ADF信任识别符中获取的信任等级为“低”的时候，通过应用数据关系表格410e而将管理地址薄数据的对象类型确定为“完全封装类型”。

基于步骤S103的指定数据以及步骤S104的已确定对象类型，CPU 405产生一个完全封装对象或不完全封装对象(步骤S104)。在步骤S104中确定的对象类型是完全封装类型的情况下，CPU 405把完全封装API激活到原始扩展库中，并且产生一个完全封装对象。此外，在步骤S104中确定的对象类型是不完全封装类型的情况下，CPU 405把不完全封装API激活到原始扩展库中，并且产生一个不完全封装对象。

接下来，CPU 405将生成的完全封装对象或不完全封装对象存入便笺式存储器410c(步骤S106)，并且终止对象生成处理。

此外，在Java AP所使用的多个数据是在步骤S103中指定的情况下，将会为数据的各个数据项重复步骤S104到S106的处理，以便为指定数据的各个数据项产生完全封装对象或不完全封装对象，并将所述对象保存在公共便笺式存储器410c中。然后，CPU 405激活一个指定为所执行的程序的Java AP，在终止了对象生成处理之后，CPU 405基于所述程序来执行所述处理。

2-2-2.对象应用管理的处理

接下来参考图13来描述移动电话40中的CPU 405所执行的对象应用管理的处理。

如图所示，当Java AP产生了一个要求在Java AP执行过程中使用对象的请求的时候，移动电话40中的CPU 405通过参考应用数据关系表格410e来判别是否批准Java AP使用该对象，并且确定是否批准使用该对象(步骤S401)。在这种情况下，如应用数据关系表格410e(图12)中所示，完全封装对象和不完全封装对象都是可用的，因此将会批准使用一个对象。

接下来，CPU 405向请求使用所述对象的Java AP通知是否批准使用所述对象(步骤S202)，并且终止对象应用管理处理。当处于执行过程中的Java AP接收到上述通知时，在批准使用对象的情况下，Java AP将会基于请求来执行处理，或在并未批准使用所述对象的情况下，Java AP将会基于请求而取消处理。

在这种情况下，完全封装对象和不完全封装对象都被批准使用，并且Java AP通过使用完全封装对象或不完全封装对象来访问数据。

由于生成的一个对象是基于Java AP信任等级以及数据重要性等级来确定的，并且所使用的对象是基于Java AP的信任等级来确定的，因此，使Java AP能够访问数据的授权等级(1.提供给Java AP的数据，2.Java AP获取的数据而不是提供给Java AP的数据，3.既没有提供也没有得到的数据)是根据数据和Java AP的不同组合来设定的。因此，不同的Java AP(应用程序)是通过保持数据安全性而在移动电话40中得以执行的。此外，可以通过使用重要性等级表格410d以及应用数据关系表格410e来设定授权等级。然后，当Java程序员编写一个访问数据的程序时，Java程序员能够在不考虑数据访问方法的情况下使用一个对象，其中所述对象的授权等级是在上述表格中预先确定的。因此，就生产率和程序可靠性而言，程序员能够更有效地进行工作。

3.修改

虽然参考本发明最为公知的操作模式以及实施例而对本发明进行了描述，但是对本领域的技术人员来说，本发明的其他模式、实施例和优点也是显而易见的，在这里将会考虑这些内容。尽管本领域技术人员承认可以预见到本发明的其他实施例，但是以下权利要求将会定义本发明的较宽范围。此外，本发明可以具有如下修改。

(1)在第二实施例中，将应用数据关系表格410e中设定的内容显示为一个实例。图14中显示的内容也可以如应用数据关系表格410e所示来加以设定。通过参考应用数据关系表格410e，无论信任应用识别符的信任等级如何，在数据重要性等级为“高”的情况下，CPU 405都会产生一个完全封装对象，而在数据重要性等级为“中”或“低”的情况下，CPU 405会产生一个不完全封装对象。然后，在执行Java AP的过程中，在与Java AP相对应的信任应用识别符的信任等级为“低”的情况下，Java AP既不使用完全封装对象也不使用不完全封装对象，在信任应用识别符的信任等级为“中”的情况下，Java AP仅使用完全封装对象，而在信任应用识别符的信任等级为“高”的情况下，Java AP既使用完全封装对象又使用不完全封装对象。

由此使得CPU 405能够仅仅基于数据重要性等级来确定所要生成的对象，并且在使用所生成对象的情况下，仅仅基于提供给JavaAP的信任等级来确定是否使用所生成的对象。

(2)在第二实施例中使用了重要性等级表格410d和应用数据关系表格410e。然而，这些表格仅仅是数据配置的实例，并且可以根据通信设备来选择最佳数据配置。举例来说，在向地址薄数据、电、子邮件数据以及内容这些数据提供了显示重要性等级的数据的情况下，毫无必要使用重要性等级表格410d。

(3)在以上实施例中，在与Java AP相对应的ADF中包含的信任应用识别符被用于识别所下载的Java AP是一个信任应用还是一个不信任应用，所述信任应用识别符也可用于识别Java AP的信任等级。然而，这仅仅是一个实例。另一个实例则如下所示：为了管理那些与提供给Java AP的信任等级相关联的数据(例如Java AP的信任等级或者证明Java AP是一个信任应用)，通过安装一个管理服务器设备，在将与提供给Java AP的信任等级相关联的数据存入一个管理服务器的情况下，移动电话40中的CPU 405从管理服务器设备接收数据。此外，在上述实施例中描述的是使用一个Java AP，其中所述Java AP是从连接到因特网20的内容服务器10下载的。然而，本发明作用于一个并非本机程序的程序，也就是在售出移动电话40之后而被存入移动电话40的存储器的程序。举例来说，在包含红外接口的移动电话40通过红外通信而从诸如具有红外接口的个人计算机这类通信设备接收程序的情况下，以及在提供给程序的信任等级之上，从管理服务器接收数据的情况下。

(4)在上述实施例中，完全封装对象和不完全封装对象是在指示执行所下载的Java AP的情况下产生的，用于产生完全封装对象和不完全封装对象的定时并不局限于指示执行Java AP的时间。举例来说，对象也可以在Java AP引用数据的时候产生。

(5)在上述实施例中，内容服务器10连接到因特网20。然而，内容服务器10也可以直接连接到移动分组通信网络30中的网关服务器31。

(6)在上述实施例中，如图15中通过阴影线所示，已经描述了将本发明应用于移动电话40，其中作为一种结构，所述移动电话包含KVM、CLDC，并且J2ME具有原始Java扩展简表。然而，Java执行环境并不仅仅局限于KVM和J2ME的组合。此外，本发明中使用的通信设备并不局限于移动电话。

举例来说，如图所示，可以将MIDP(移动信息设备简表)用作一个J2ME简表，以此取代原始Java扩展简表。此外，可以在所述结构中将JVM而不是KVM以及CDC(连接设备配置)而不是CLDC用于J2ME的结构。此外，在所述结构中，可以把用于具有液晶显示器的电话的简表、用于TV的简表、用于汽车导航系统等等的简表用作J2ME的简表。此外，还可以在所述结构中使用热点、J2SE(Java2标准版)或J2EE(Java2企业版)。

(7)从上述Java执行环境的修改中可以明显看出，本发明可以应用于具有通信功能的各种电子设备，例如PHS(个人手持电话系统)、PDA(个人数字助理)、汽车导航设备或个人计算机。此外，本发明并不局限于那些保存在移动分组通信网络30中的通信设备。举例来说，本发明可以应用于图16所示的通信系统2中的个人计算机70A、70B和70C。

(8)此外，在上述实施例中，已经描述了使用一个以Java程序设计语言编写的Java AP，然而所述程序设计语言并不局限于Java。举例来说，根据系统所需要的安全性等级，可以使用C++来构造所述系统。

如上所述，由于对于存入通信设备的数据所进行的访问控制是根据提供给下载程序的信任等级以及数据重要性等级来执行的，因此本发明可以通过确保数据安全而由不同程序来管理数据。

Claims

1.一种通信设备，包括：

一个用于保存数据的存储装置；

一个使用一种访问数据的方法来获取一个程序的获取装置；

一个用于执行所述程序并且根据所述程序来使用那些允许所述程序使用的数据的执行装置；

一个从所述存储装置保存的数据中指定所述程序所要使用的数据的指定装置；

一个为所述程序选择不完全封装对象或完全封装对象的选择装置，其中不完全封装对象是一个使用方法来把该对象中包含的数据提供给访问该对象的程序的对象，并且完全封装对象则是并未使用这种方法的对象；

一个根据所述选择装置做出的选择来为所述程序产生一个不完全封装对象或一个完全封装对象的对象生成装置，其中生成的对象包括所述指定装置所指定的数据；以及

一个访问控制装置，用于控制对于所述指定装置所指定的数据的访问，并且允许所述执行装置仅仅经由所述对象生成装置为所述程序生成的对象来访问数据。

2.根据权利要求1的通信设备，其中：

所述程序包括指示所述程序可靠性的信息，并且所述选择装置基于该信息来选择所述对象。

3.根据权利要求1的通信设备，其中：

所述程序包括指示所述数据所需安全等级的第一信息以及指示所述程序可靠性的第二信息；

所述选择装置基于第一信息来选择所述对象；以及

所述访问控制装置基于第二信息来确定所述执行装置是否使用所述生成的对象来访问所述数据。

4.根据权利要求1的通信设备，其中：

在所述程序的可靠性值高于第一阈值时，所述执行装置使用所述不完全封装对象或所述完全封装对象；

在所述程序的所述可靠性值等于或低于所述第一阈值且高于第二阈值时，所述执行装置使用所述完全封装对象；以及

在所述程序的所述可靠性值等于或低于所述第二阈值时，所述执行装置既不使用所述不完全封装对象也不使用所述完全封装对象。

5.根据权利要求1的通信设备，其中：

所述程序包括指示所述数据所需安全等级的第一信息以及指示所述程序的可靠性的第二信息；

所述选择装置基于第一信息和第二信息来选择所述对象；以及

所述访问控制装置基于第二信息来确定所述执行装置是否使用所述生成对象来访问所述数据。

6.根据权利要求1的通信设备，其中：

所述通信设备还包括一个删除装置，用于在结束执行所述程序的时候删除所述生成装置生成的对象。