(57)【要約】種々のリソースを有し、かつリソースを使用する任意のコンピュータ実行可能なアプリケーションを実行可能であるデータ処理端末に、アクセス制御が提供される。アプリケーションと共に使用されうるリソースの許容可能な組み合わせを定義するために、条件付きアクセス制御制約の集合を保持する。併用して実行されるアプリケーションによって使用されるリソースの許容可能な組み合わせに関する制約内でのみ、アプリケーションを許可する。異なるアクセスオブジェクトに割り当てられるアクセスログと、使用されるサービスに対応するアクセスログに格納されるサービス識別子とを使用して、制約を定義する。リソースの許容可能な組み合わせ及び／又は併用して使用可能なサービスを決定するために、命題論理を適用する。【選択図】図２
2009524864.tif 000002
【特許請求の範囲】
【請求項１】
種々のリソースを有するデータ処理端末において、任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するための方法であって、
前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための、条件付きアクセス制御制約の集合を保持することと、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にすることと、
を、含む方法。
【請求項２】
前記許容可能な組み合わせは、許容不可能な組み合わせを定義することによって間接的に定義される、請求項1に記載の方法。
【請求項３】
前記アクセス制御制約は、少なくとも2つの相互に排他的な機能ブロックまたは少なくとも2つの相互に排他的な機能ブロックの組み合わせを定義する、請求項1または2に記載の方法。
【請求項４】
前記アクセス制御制約は、アクセス制御オブジェクトによって定義される、先行する請求項のいずれかに記載の方法。
【請求項５】
異なるサービスは、それぞれのサービス識別子に割り当てられ、異なるアクセスオブジェクトは、それぞれのアクセスログおよびアクセスオブジェクトのサービス呼び出しに関連付けられることによって、サービス呼び出しの前記サービス識別子は、前記呼び出されたサービスの前記アクセスログにそれぞれ格納される、請求項4に記載の方法。
【請求項６】
前記アクセス制御制約は、ブール論理によって定義される、請求項5に記載の方法。
【請求項７】
前記任意のアプリケーションの、併用して使用可能な異なるサービスへのアクセスも、併用して実行される前記アプリケーションによって使用されるサービスの許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にすることによって、前記保持される条件付きアクセス制御制約によって制御される、先行する請求項のいずれかに記載の方法。
【請求項８】
種々のリソースを有し、かつ前記リソースを使用して、任意のコンピュータ実行可能なアプリケーションを実行可能であるデータ処理端末（100）であって、
メモリ（120）と、
前記メモリ（120）に格納され、また、前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義する、条件付きアクセス制御制約の集合（122、203）と、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行するように構成されるプロセッサ（130）と、
を備える、データ処理端末。
【請求項９】
前記許容可能な組み合わせは、許容不可能な組み合わせを定義することによって間接的に定義される、請求項8に記載の端末（100）。
【請求項１０】
前記アクセス制御制約（122;203）は、少なくとも2つの相互に排他的な機能ブロックまたは少なくとも2つの相互に排他的な機能ブロックの組み合わせを定義する、請求項8または9に記載の端末（100）。
【請求項１１】
前記アクセス制御制約（122;203）は、アクセス制御オブジェクト（207）によって定義される、請求項8から10のいずれかに記載の端末（100）。
【請求項１２】
異なるサービスは、それぞれのサービス識別子（202）に割り当てられ、異なるアクセスオブジェクト（207）は、それぞれのアクセスログ（205）およびアクセスオブジェクトのサービス（201）呼び出しに関連付けられることによって、サービス呼び出しの前記サービス識別子は、前記呼び出されたサービスの前記アクセスログ（205）にそれぞれ格納される、請求項11に記載の端末。
【請求項１３】
前記アクセス制御制約（122;203）は、ブール論理によって定義される、請求項12に記載の端末（100）。
【請求項１４】
前記任意のアプリケーションの、併用して使用可能な異なるサービス（201）へのアクセスも、併用して実行される前記アプリケーションによって使用されるサービスの許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にすることによって、前記保持される条件付きアクセス制御制約（122;203）によって制御される、請求項8から13のいずれかに記載の端末（100）。
【請求項１５】
任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するために、種々のリソースを有するデータ処理端末における前記動作を制御するためのコンピュータプログラムであって、
前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための条件付きアクセス制御制約の集合を、前記端末が保持するようにするためのコンピュータプログラムコードと、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを前記端末が実行可能にするためのコンピュータプログラムコードと、
を含む、コンピュータプログラム。
【請求項１６】
任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するために、種々のリソースを有するデータ処理端末における前記動作を制御するためのサブアセンブリであって、
前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための条件付きアクセス制御制約の集合を、前記端末が保持するようにするための手段と、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを前記端末が実行可能にするための手段と、
を備える、サブアセンブリ。
【請求項１７】
前記条件付きアクセス制御制約の集合を、前記端末が保持するようにする前記手段及び／又はリソースの許容可能な組み合わせに関する前記制約内で、前記アプリケーションを前記端末が実行可能にする前記手段は、チップ集合回路および1つ以上のチップ集合に格納されるコンピュータコードの任意の組み合わせに基づく、請求項16に記載のサブアセンブリ。
【請求項１８】
種々のリソースを有し、かつ任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスが制御可能である、データ処理端末を製造するための方法であって、
前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための、条件付きアクセス制御制約の集合を、前記端末が保持するようにするためのコンピュータプログラムコードを、前記端末に格納することと、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを前記端末が実行可能にするようにするためのコンピュータプログラムコードを、前記端末に格納することと、
を含む、方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、主にアクセス制御に関し、より具体的には、異なる複数のプリンシパルに対するソフトウェアベースのアクセス制御に関するが、それだけに限定されない。
【発明の背景】
【０００２】
携帯電話機などの現在の携帯機器には、音楽および映像プレーヤや、販売が保護されるべきである著作権保護の内容を使用する電子ブック能力などの、ますます高度化された機能が内蔵されてきている。また、コンピュータウィルス、コンピュータワーム、および悪質な目的で設計されるその他のいわゆるマルウェアの拡大を回避するために、コンピュータのような装置の特定機能へのアクセスを、一時的または永久的に制限することも有用である。
【０００３】
オペレーティングシステムによっては、認証プログラムまたはユーザの信頼レベルをアクセス方針に割り当てるための、リソースベースのアクセス制御を使用している。また、使用するアプリケーションを、認証されたものとして認定するようにすることも可能である。これにより、各アプリケーションのアクセスを、許可された所定のリソースのみに限定することができる。しかしながら、このようなアクセス制御機構は、ユーザが、任意のアプリケーション（非認証プログラムの可能性がある）を使用して、アクセス制御された一部のリソースであって、一部の特定動作に欠かせないリソースにアクセス可能でなければならない場合に、問題になり得る。
【０００４】
例えば、種々の装置のユーザには、メディアプレーヤが提供されており、このメディアプレーヤは、デジタル著作権管理（Digital Rights Management; DRM）により保護されたデータを処理可能であるべきである。いくつかのDRMスキームに準拠するために、メディアプレーヤは、認証または認定されなければならない。しかしながら、小さなパッチまたは更新後でもメディアプレーヤを再認証および署名する必要があることから、全てのメディアプレーヤを認証するには、費用がかかり、かつ手間がかかる。プログラムによって管理されるいかなるデータも、別のプログラム、装置、ユーザに転送されないようにするためには、認定は必要であり得る。
【発明の摘要】
【０００５】
本発明の目的は、従来技術の問題を回避または少なくとも緩和すること、及び／又は新しい技術的代替案を提供することにある。
【０００６】
本発明の第1の側面によると、種々のリソースを有するデータ処理端末において、任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するための方法であって、
・  前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための、条件付きアクセス制御制約の集合を保持することと、
・  前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にすることと、
を含む方法が提供される。
【０００７】
任意のアプリケーションは、前記アクセス制御制約に基づいてアクセス制御可能であることが好ましい。
【０００８】
前記リソースが同時に及び／又は順番に利用可能である場合に、前記リソースは、併用して使用可能であると定義されてもよい。
【０００９】
前記許容可能な組み合わせは、許容不可能な組み合わせを定義することによって間接的に定義されてもよい。
【００１０】
許容不可能な組み合わせの定義により、特に、著作権を尊重するように設計されていると信頼できない非認定アプリケーションによるリソースの使用に関する、禁止された組み合わせを除外可能であることが好ましい。
【００１１】
前記アクセス制御制約は、少なくとも2つの相互に排他的な機能ブロックまたは少なくとも2つの相互に排他的な機能ブロックの組み合わせを定義してもよい。
【００１２】
前記アクセス制御制約は、アクセス制御オブジェクトによって定義されてもよい。異なるサービスは、それぞれのサービス識別子に割り当てられてもよく、異なるアクセスオブジェクトは、それぞれのアクセスログおよびアクセスオブジェクトのサービス呼び出しに関連付けられることによって、サービス呼び出しの前記サービス識別子は、前記呼び出されたサービスの前記アクセスログにそれぞれ格納される。前記アクセス制御制約は、前記アクセスログのうちの1つ以上に基づいて、単一のブール値をそれぞれ返送可能な機能であってもよい。
【００１３】
所定のアクセス制御オブジェクトを使用するサービスを示すサービス識別子を、アクセスログに提供することと、アクセス制御制約の出力としてブール値を計算することによって、計算的に単純なアクセス制御機構がもたらされてもよい。
【００１４】
前記任意のアプリケーションの、併用して使用可能な異なるサービスへのアクセスも、併用して実行される前記アプリケーションによって使用されるサービスの許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にすることによって、前記保持される条件付きアクセス制御制約によって制御されてもよい。
【００１５】
本発明の第2の側面によると、種々のリソースを有し、かつ前記リソースを使用して、任意のコンピュータ実行可能なアプリケーションを実行可能であるデータ処理端末であって、
・  前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義する条件付きアクセス制御制約の集合を保持するためのメモリと、
・  前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行するように構成されるプロセッサと、
を備える、データ処理端末が提供される。
【００１６】
本発明の第3の側面によると、任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するために、種々のリソースを有するデータ処理端末における前記動作を制御するためのコンピュータプログラムであって、
・  前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための条件付きアクセス制御制約の集合を、前記端末が保持するようにするためのコンピュータプログラムコードと、
・  前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを前記端末が実行可能にするためのコンピュータプログラムコードと、
を含む、コンピュータプログラムが提供される。
【００１７】
本発明の第4の側面によると、任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するために、種々のリソースを有するデータ処理端末における前記動作を制御するためのサブアセンブリであって、
・  前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための条件付きアクセス制御制約の集合を、前記端末が保持するようにするための手段と、
・  前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを前記端末が実行可能にするための手段と、
を備える、サブアセンブリが提供される。
【００１８】
前記条件付きアクセス制御制約の集合を、前記端末が保持するようにする前記手段及び／又はリソースの許容可能な組み合わせに関する前記制約内で、前記アプリケーションを前記端末が実行可能にする前記手段は、チップ集合回路および1つ以上のチップ集合に格納されるコンピュータコードの任意の組み合わせに基づいてもよい。
【００１９】
本発明の第5の側面によると、任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するために、種々のリソースを有するデータ処理端末を製造および制御する方法であって、
・  前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための、条件付きアクセス制御制約の集合を、前記端末が保持するようにするためのコンピュータプログラムコードを、前記端末に格納することと、
・  前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを前記端末が実行可能にするためのコンピュータプログラムコードを、前記端末に格納することと、
を含む、方法が提供される。
【００２０】
前記コンピュータプログラムコードまたはソフトウェアは、コンピュータ製品、あるいはデータ媒体において実行及び／又は格納される、あるいはデータ信号に組み込まれる製品として提供されてもよい。また、前記ソフトウェアは、分散方式で、1つ以上の装置によってホストを提供されてもよい。
【００２１】
独立請求項および上記実施形態は、本発明の異なる実施形態に関する。実施形態に含まれ、かつ本発明の特定の側面に関する内容を、本発明のその他の側面に準用してもよい。
【詳細な説明】
【００２２】
本発明の実施形態について、一例として、添付の図面を参照して説明する。
【００２３】
図１は、本発明の実施形態に従う移動局（Mobile Station; MS）のブロック図を示す。MS100は、無線ブロック110と、長期動作命令122を格納する非揮発性メモリ121およびワークメモリ123を含むメモリ120、とを備える。さらに、MS100は、プロセッサ130と、ユーザインターフェース140とを備える。これらの要素全ては、プロセッサ130に接続される。プロセッサは、長期動作命令122を、非揮発性メモリ121から読み取り、かつワークメモリ123を使用して、所望のアプリケーションおよびサービスを実行するように構成される。移動局は、例えば、操作者特定のアプリケーション及び／又はユーザ定義のアプリケーションを実行可能なスマートフォンであってもよい。移動局は、オープン仕様に準拠するソフトウェアを実行可能であってもよい。しかしながら、移動局100の物理的構造は、いくつかの異なるソフトウェアベースの要素の相互のアクセス制御が可能である限り重要ではない。
【００２４】
本発明者により既知である最良の形態を含む本発明の特定の実施形態について詳細に説明する。これらの実施形態は、非認証または信頼性のないソフトウェアを使用する際に、個別の各サービスが通常実行する機能に対する包括的な制御および制限を必要とせずに、特定のサービス提供を制限することに努めている。サービスによっては、恊働的であるが非通信的である信頼性のないソフトウェアを含んでいても、禁止される場合がある。従って、不要なサービスを有効にする可能性のある特定のリソースへのアクセスについて、既知である従来の単純な制限を使用するよりも、アクセス制御の粒度（granularity）に関する、さらに細かなレベルが提供されるだろう。
【００２５】
以下の事項を前提として、例について説明する。
・  アクセス制御機構はいかなるプロセスの終了も禁止しない。
・  プリンシパル毎に必要とされる状態は一定である。
・  計算負荷が非常に軽い方法はである。
【００２６】
以下において、実施形態に従う本発明の構成に関する説明を、図２に例示する。本構成は、サービス201、サービス識別子202、アクセス制御制約203（サンドボックス制約とも呼ばれる）、プリンシパルの集合204、アクセスログ205、サービスコンジット206、およびプリンシパル207の概念に基づいて提供される。この構成の目的は、通信的および非通信的なプログラムの集合に対して、構成可能な制約をもたらす能力を提供することにある。
【００２７】
次に、本発明の実施形態についてさらに説明する前に、特定の用語について説明する。これらの用語は、図２を参照することによって、より良く理解することができる。
【００２８】
サービス（Service）は、オペレーティングシステムが、当該オペレーティングシステムの特徴やリソース、機能を、プリンシパルまたはサービスコンジットに提供するための、いかなる機構をも含む。これらの機構は、オペレーティングシステムコール、デバイスドライバ、及び／又はサーバプログラムを含む。
【００２９】
サービス識別子（Service Identifier）は、サービスに関する任意の固有の名称である。識別子は、静的に割り当て可能であり、または動的に生成可能である。サービス識別子は、動的に生成される際に一意性を確保するために、構造を含むこと、あるいは所定の階層に従うことが可能である。サービス識別子は、例えば、任意のビットベクトルとして表現可能である。サービス識別子は、確実にサービスを識別できなければならない。
【００３０】
リソースコンジット（resource conduit）またはサービスコンジット（service conduit）は、データ転送またはサービス提供に用いられうるどのようなローカルサービスをも包含する用語である。これらのローカルサービスまたはオブジェクトは、例えば、プロセス間制御（Inter Process Control; IPC）能力を有するファイルまたはプログラムであることが可能である。Symbian(r)オペレーティングシステム（Operating System; OS）をMS100において使用する場合、サービスコンジットは、サーバプログラムを伴う。プリンシパル（後述する）のようなサービスコンジットは、有効または無効であることが可能である。
【００３１】
プリンシパル（principal）は、例えば、アプリケーションまたはプログラムに対してアクセス制御（つまり、制約）を行うオブジェクトを表す。プリンシパルはサービスコンジットであってもよく、サービスコンジットはプリンシパルであってもよい。各プリンシパルは、アクセスログにそれぞれ関連付けられる。プリンシパルは、システム内に存在する場合に有効であり、そのアクセスログは、検査に利用可能である。非活動プリンシパル（dead principal）は、その機能を既に実行してしまっており、システムから削除されているプリンシパルである。非活動プリンシパルのアクセスログは、必ずしも検査に利用可能であるとは限らない。また、非活動プリンシパルが実行した機能の内容、時間、及び／又は方法に関する情報も、必ずしも利用可能であるとは限らない。活動状態（live state）から非活動状態（dead state）へのプリンシパルの変更は、プリンシパルの終了と呼ばれる。
【００３２】
アクセスオブジェクトは、プリンシパルとサービスコンジットとの両方を含む、共通名称による総称である。
【００３３】
アクセスログは、例えば、アクセスオブジェクト毎に添付することによって関連付けられる。アクセスログは、サービスまたは情報をアクセスオブジェクトに提供した全サービス識別子を記載する。
【００３４】
場合により、個々の非通信的（non-communicating）プリンシパルは、集団で、アクセス制御制約を破る可能性がある。ゆえに、アクセス制御制約を計算可能であるプリンシパルの集合に、プリンシパルを関連付けることが望ましい。これらの集合は、互いに素である必要はなく、つまり、要素を共有する必要はない。
【００３５】
明示的に計算可能であるプリンシパルの集合は、活動可能なプリンシパル（live principal）から構成される。活動プリンシパル（live principal）と、ゼロ以上の非活動プリンシパルとを含む集合は、プリンシパルの履歴と呼ばれる。プリンシパルの全履歴は、メモリのオーバーフローを回避するため、必ずしも、明示的に表現可能であるとは限らない。代わりに、プリンシパルの履歴に関するアクセス制御制約に該当する全情報を、非活動プリンシパルから活動プリンシパルに配信しなければならない。これは実行可能であるが、アクセス制御制約が特定の性質を有する場合に限る。例えば、アクセス制御制約が、プリンシパルの履歴における単一プリンシパルのアクセス制御ログ内のサービス識別子の関係について考慮しない場合、プリンシパルの履歴における全ての非活動プリンシパル用の単一のアクセスログを生成することが可能であり、また、全ての非活動プリンシパルからのサービス識別子を、このアクセスログに単に複写することが可能である。
【００３６】
アクセス制御制約（access control constraint）、つまり、アクセス制約（access constraint）は、プリンシパルの集合またはプリンシパルの履歴におけるプリンシパルのアクセスログにおいて評価される。アクセス制約は、ブール値の真偽値を返送する機能であることが好ましい。アクセス制約は、例えば、論理式を使用して実行されてもよい。プリンシパルの集合に関するアクセス制御制約は、プリンシパルの集合における1つの要素が終了しても、結果的に同一値となるべきである。そうでない場合、アクセス制約は、プリンシパルの突然の終了に対処できない可能性がある。
【００３７】
図２は、本発明の実施形態に従う主要構成要素を含む例示的システムを示す。具体的には、図２は、アクセス制約システムにおける異なる要素間の関係を示す。サービスコンジット上のサービス提供の流れの計算と、サービスコンジット上の情報の流れの計算との間には違いがあることを理解されたい。
【００３８】
単方向通信または双方向通信のいずれかである送信側と受信側の関係に基づいて、情報の流れの方向は、高速に計算される。しかしながら、所定のサービスの性質に関する特定の知識が無いと、情報の流れにおいてサービスを提供している方が送信側か受信側かを決定することは不可能である。サービスは、複雑なプロトコル交換で補助することにより提供されてもよく、そのサービスの提供者または受益者のいずれかによって開始される両者からの多数の信号を伴う。プロトコルの構文および意味を正確に把握していなければ、そのサービスについて、どちらが受益者でどちらが形成者であるかの計算は、実行不可能である。これを解決する2つの方法が提案される。1つは、サービスに注釈を付けること（どちらの当事者が受益者でどちらが形成者であるかについて決定または計算し易い）、また、もう1つは、サービスが双方向に提供されると仮定すること（つまり、交換における両当事者は、受益者および形成者の両方となる）である。
【００３９】
基本的に、以下のとおりシステムについて説明することができる。
１．サービス識別子毎に、関連づけられたサービスの集合が存在する。そのサービス識別子をアクセスログに記録できるのは、関連付けられたサービス集合のみである。
２．アクセスオブジェクトが、サービスにアクセスまたはサービスを使用する場合、サービスのサービス識別子は、アクセスオブジェクトのアクセスログに追加される。
３．プリンシパルが、サービスコンジットを使用またはサービスコンジットにアクセスする場合、プリンシパルのアクセスログはサービスコンジットのアクセスログに追加され、逆の場合も同じである。
４．サービスコンジットが別のサービスコンジットにアクセスするか、別のサービスコンジットを使用する場合、サービスコンジットのアクセスログは、相互に追加される。
５．サービス識別子が、初めてプリンシパルのアクセスログに入力されると、アクセス制御制約が評価される。アクセス制御制約が、サービス識別子の追加後に偽（False）であると評価する場合、進行中の動作は拒否される。
【００４０】
アクセス制御制約の評価は、プリンシパルの集合に関するアクセス制御制約の計算に基づく。この計算は、多数の方法によって実行可能である。例えば、アクセス制御制約だけで、これらの集合を黙示的に定義するのに十分な、表現能力および情報を提供することができる。あるいは、プリンシパルの集合は、例えば、命題論理に基づくグループ化式を使用して、アクセス制御制約において明示的に定義可能である。
【００４１】
一般的に、述語（predicate）P（サービス識別子に対するプリンシパル、命題論理式）を有する一階述語論理（first order predicate logic）を使用して、アクセス制御制約を表現することができる。述語Pは、プリンシパルのアクセスログにおけるサービス識別子について評価する際、サービス識別子に関する命題論理式（propositional logic formula）の値であるように定義される。
【００４２】
アクセス制御制約は、多種多様な方法で提供可能である。例えば、本発明の実施形態の製造中にアクセス制御制約を決定することによって、あるいはセキュリティ方針に関するいわゆる認証無線更新などの、オンザフライ更新を可能にすることによって提供可能である。例えば、アクセス制御制約は、現代のPKIまたは共有機密を使用してアクセス制御更新メッセージを認証し、また、それらをインターネットまたはセルラーネットワーク（GSMなど）上で送信することによって供給可能である。このようなアクセス制御更新の認証は、1つ以上の新しい制約の挿入及び／又は旧制約の削除を伴ってもよい。
【００４３】
一階述語論理の評価は、計算負荷が高く（決定論アルゴリズムを使用する指数時間を必要とする）、従って、妥協的な解決策が有利であり、計算負荷の点で実用的なプリンシパルのグループ化およびアクセス制御制約の評価について次に説明する。
【００４４】
システムの動的側面により、アクセス制御制約の定義は影響を受ける。サービス提供に関わるいかなるプリンシパルも、その機能を実行した直後に、またはその機能を実行中でさえ、故意または偶然に終了することは実質的に避けられない。例えば、第1のプリンシパルがまずデータを第1のファイルに書き込んで終了し、次いで、第2のプリンシパルが、そのデータを第2のファイルに転送開始するという、一連のイベントがありうる。これは、アクセスログにおいてサービス識別子があまり痕跡を残さないことを明らかに意味するが、プリンシパルの集合がどのように形成されうるかについてはあまり影響を及ぼさなくて済むことは明らかである。
【００４５】
アクセス制御制約は、プリンシパルの終了を禁止すべきではない。場合によってはプリンシパルは突然終了してもよい。これは、集合が複数の要素を含み、そのうちのいずれかが終了してもよいため、プリンシパルの集合について評価されたアクセス制御制約にとって重要となる。
【００４６】
反対に、確実に表現可能である記述は、以下の形式に限定される記述に限定されてもよい。
・  活動プリンシパルおよび非活動プリンシパルのアクセスログが、サービス識別子の定義された組み合わせを無条件に含む場合、プリンシパルの履歴は存在すべきではない。
・  アクセスログおよびプリンシパルが、命題論理において表現可能な、定義されたアクセス制御制約を満たさないような、活動プリンシパルは1つとして存在すべきではない。
【００４７】
アクセス制御制約を表現する計算的に扱い易い形式の例について次に説明する。各アクセス制御制約は、グループ化式（grouping formula）と、アクセス制御式（accessing formula）とに分けられる。グループ化式の目的は、アクセス制御式を適用すべきプリンシパルの集合を計算することにある。
【００４８】
グループ化式は、プリンシパルの属性に関連して利用可能な命題の領域において、命題論理を使用して定義される。例えば、信頼レベルを示すスカラ値を、各プリンシパルに関連付けることが可能である場合、42などの信頼レベル閾値として、グループ化式を求めることができる。プリンシパルは、静的認証の集合を有してもよい。また、プリンシパルは、認証された作成者を有してもよい。対応するように、グループ化式は、「has authorization X」および「is NOT published by Y」、または「 has trust level < 42」という形式で記述されてもよい。また、グループ化式は、アクセス制御制約を、定義された単一のプリンシパルに制限する命題を含んでもよい。
【００４９】
新たなアクセス制御制約の命令であるis_singletonが、本発明の実施形態において定義される。アクセス制御制約について、is_singleton命令が真（True）であると定義される場合、グループ化制約は、グループ化式を真であると評価させる1つのみのプリンシパルを含むプリンシパルの集合を形成する。命令is_singletonが偽（False）である場合、アクセス制御制約のグループ化制約Gを満たす全てのプリンシパルは、プリンシパルの共通集合に集められる。これは、is_singletonが、グループ化制約Gに対応する偽である場合、プリンシパルのゼロ以上の履歴が常時存在することを意味する。is_singletonがグループ化制約Gについて真である場合、（活動）プリンシパルの多数の（またはゼロの）シングルトンの集合が存在してもよく、その各々が、任意の時に有効なGについて1つのみのプリンシパルを含む。is_singletonのような機構を設けたのは、
'IF service identified by id_x is NOT present in the access log for a principal THEN service identified by id_y is allowed for that principal'
（id_xで識別されるサービスがプリンシパルのアクセスログに存在しない場合は、id_yで識別されるサービスがそのプリンシパルに許可される）
という形式のアクセス制御式を使用可能にするためである。
【００５０】
類似の特徴が、標準命題論理を越える表現能力を計算式に追加することによって、本発明の代替実施形態において実装される。is_singletonの使用により、標準命題論理を使用することが可能になる。また、個別のis_singletonビットを使用する利点は、方針違反の試み（つまり、アクセス制御制約の違反の試み）からの回復方法の決定が単純であることである。アクセス制御制約を<is_singleton, G, S>と示してみる（ここで、Gはグループ化式であり、Sはアクセス制御式である）。すると、グループ化アルゴリズムを、実質的に以下のように示すことが可能である。
【００５１】
１．各アクセス制御制約C = <is_singleton, G, S> について、
・  is_singletonが偽であり、かつSが、直定数（サービス識別子）の
組み合わせの否定として表現されない場合は、信号エラー
・  is_singletonが偽である場合、プリンシパルの集合Set_Cを作成
２．各プリンシパルPについて、
・  各アクセス制御制約C = <is_singleton, G, S>について
PがGを満たし、かつis_singletonが偽である場合、PをSet_Cに
追加する。
PがGを満たし、かつis_singletonが真である場合、新しい
Singleton_C_Pを作成する。
【００５２】
プリンシパルの集合またはアクセス制御制約が変更する場合、本アルゴリズムを実行するべきである。また、記録を考慮するのであれば、最適化も実行可能である。アクセス制御制約を追加する場合の時間計算量はO（1）であり、プリンシパルが追加される場合はO（n）であり（ここで、nはアクセス制御制約の数）、プリンシパルが非活動にされる場合は、O（1）である。
【００５３】
アクセス制御式は、アクセスリストのサービス識別子の和集合に関する評価によって、命題論理を使用して定義可能である。従って、アクセス制御式は、プリンシパルの全集合について、本質的に真または偽である。
【００５４】
集合のライフサイクルおよびプリンシパルの履歴（両方とも、以下において単にプリンシパルの履歴と呼ばれる）を、以下のように示すことができる。
・  プリンシパルの各履歴Hは、アクセス制御制約C = <is_singleton, G, S>に関連付けられる。プリンシパルの履歴が存在する場合、is_singletonは、偽であると仮定されることが可能である。
・  履歴H毎に、「非活動プリンシパル」の単一のアクセスログを関連付ける。このアクセスログLは、Hの寿命中、履歴Hに添付される。Lは、本発明の実施形態においてHが削除された後にのみシステムから削除される。本実施形態は、Lの大きさが一定である場合に特に効果的に機能する。
・  プリンシパルPが、アクセス制御制約Cのグループ化制約Gを満たす場合、PはHに追加される。
・  HにおけるプリンシパルPが無効である場合、Pのアクセスログからのサービス識別子は、Hに関連付けられた非活動プリンシパルのアクセスログLに複写される。次に、リソースを節約する必要がある場合に、Pの全トレースを、システムから消去可能である。
・  HにおけるプリンシパルPが、新しいサービス識別子「x」をそのアクセスログに追加して、Hにおけるいかなるプリンシパルのアクセスログにも「x」が存在しないようにするリソースに、アクセスする場合、システムは、「x」がPのアクセスログに追加されても、アクセス制御式Sが満たされることを確認し、満たされない場合は、アクセスは拒否される。
【００５５】
結果として、アクセス制御式Sは、所定のHにおける単一のプリンシパルのアクセスログ内のサービス識別子の関係を考慮不可能であるが、代わりに、該当するHにおけるプリンシパルのアクセスログの和集合について評価されなければならないことになる。これにより、有意義な制約表現が可能になると同時に、非活動プリンシパルをシステムから完全に削除可能になることによって、システムリソースに空きが出る。
〔Symbianオペレーティングシステム（Operating System; OS）に関する例〕
【００５６】
制約<is_singleton, G, S>における規定（clause）「G」に関する命題論理（propositional logic）は、Symbian OSプラットフォームセキュリティにおける能力ビット（capability bit）を使用して評価される。これらのビットは、NetworkServices、LocalServices、ReadUserData、WriteUserData、およびLocationの能力を少なくとも含む。これらの（およびその他の）能力ビットについては、本明細書において後述する。
【００５７】
is_singletonが偽である場合、基本的に、禁止された状態は、アクセスログにおける事象の集団であり、その事象の集団は、プリンシパルの単一集合の寿命において、全て発生することは不可能である。
【００５８】
有利には、アクセス制御制約は、Symbianより既知である信頼コンピューティング基盤（Trusted Computing Base; TCB）の一部であり、TCB対応のプログラムにより、修正、作成、追加、または削除のみ可能である。制約は、\sys\sandboxesなどのセキュアなディレクトリに格納される。
【００５９】
一般的に、サービス識別子は、効果的に処理するために整数である。\sys\sandboxes\identifiersの表は、セキュアな識別子（Secure Identifier; SID）と、アクセスログにおけるサービス識別子の設定に必要な能力とを定義する。各識別子は、例えば、アクセス制御式を参照して、人間により可読である名称を与えられる。
【００６０】
以下のサービス識別情報を定義する。
・  マイク：マイクの使用を示す。
・  スピーカ：スピーカの使用を示す。
・  ネットワーク：ネットワーク能力の使用を示す。
・  ファイルシステム書き込み：データを書き込むファイルシステムの使用を示す。
・  ファイルシステム読み取り：データを読み取るファイルシステムの使用を示す。
・  DRM：DRMによる保護データの読み取りを示す。
・  Non-UI：UI（ユーザインタフェース）機能に関連付けられないシステム機能の全てが本サービス識別子を設定しうる。
【００６１】
グループ化式において利用可能な属性は、SIDおよびプログラムの能力である。アクセス制御式において利用可能な属性は、能力およびサービス識別子である。
【００６２】
本発明の実施形態に従うアクセスログは、単に、サービス識別子毎に1ビットを有するビットベクトルである。2つのアクセスログの和集合は、ビット単位の論理和演算を使用して単純に計算可能である。この場合、ビット単位の演算とは、その他の全ビットとは独立して各ビットが処理される演算である。2つのアクセスログは、ビット単位の論理和演算を使用して連結可能である。一般的に、サービスコンジットは、プロセス、サービス、およびファイルである。アクセスログは、各プロセスおよびファイルに関連付けられる。サービス毎に、情報の流れと同じ方向、反対方向、または通信の流れの開始者/応答者に対して双方向に、サービスが提供されるか否かに関する注釈が付けられる。
【００６３】
いかなるファイルも、サービスコンジットと考えられ得る。プログラムがファイルを読み取るまたは書き込む場合、ファイルおよびプログラムのアクセスログは、サービス識別子の注釈に応じて更新される。
【００６４】
プロセス間通信は、クライアントとサーバの関係が任意であることが可能であるため、サービスを提供する方向を強固な方法で推定することが容易でないことから、若干問題があると理解される。従って、プログラムおよびサーバ機能の、サービスとサービスコンジットへの厳密な区分が実行される。
・  信頼コンピューティング環境に属し、かつプログラム間の情報転送が不可能であるプログラムおよびシステムコールは、サービスと考えられる。
・  その他の全てのプログラムおよびシステムコールは、サービスコンジットと考えられる。
【００６５】
例えば、画素の色を設定可能であるシステムコールを使用して、アクセス制御制約を越えて、サービスへのアクセスを秘かに中継することができる。通常、プログラム間のいかなる隠れチャネルも、本目的に使用可能である。サービスと、サービスではないプログラムとの間でIPCを実行する場合、該当するサービスのサービス識別子は、プログラムのアクセスログに付加される。
【００６６】
ネットワークプロゴコルを使用して、ホストオペレーティングシステム内であっても、本構成外のプリンシパル間で通信することができる。同じことが、スピーカからマイク、または画面からカメラなどの、取り外し可能媒体またはアナログチャネルにあてはまる。これは、アクセス制御制約の定義内にあると考えられるべきである。これは、外部通信チャネル（アナログまたはデジタル）の存在下において情報のアクセス制御を試みるいかなるシステムにもあてはまる。ユーザインターフェース機能の多くは、プログラム間のアナログI/Oチャネルとして、二重の機能を果たすことが可能であることに留意されたい。
【００６７】
次に、アクセス制御の実行についてより詳細に説明する。分離したアクセス制御サーバが作成される。アクセス制御サーバは、プリンシパルの集合の計算およびアクセス制御制約の評価を行なうことができる。アクセス制御サーバは、ソフトウェアベースであることが可能であり、また、プロセッサ130によって提供可能である。IPCおよびファイルシステムインフラストラクチャは、アクセスログを配信および管理するように修正され、また、新しいサービス識別子がアクセスログに追加される度にアクセス制御サーバにクエリを行なう。
【００６８】
修正を必要としうるサービスが、信頼コンピューティング環境（Trusted Computing Environment）の一部にある。特に、進行中のいかなる隠れチャネル（covert channel）にも考慮するべきである。Symbian 9にDRMが対応していることによって、プロセスが協働的ではない場合を解決することができるが、より高度な実装によって、協働的プロセスの隠れチャネルをもさらに考慮すべきである。隠れチャネルが完全に阻止されなくても、本発明の実施形態において効率が比較的低下する。
【００６９】
本発明の本構成または実施形態が、SymbianにおけるDRM状態を改善するのに特に有用である主要な事例が2つ存在する。
【００７０】
1つ目の事例において、このようなアクセス制御制約は、そのアクセスログにおけるDRMサービス識別子集合を有するプロセスが存在する間、マイクの使用を禁止するものとして定義されることができる。これにより、それを再生している同じハンドセットを使用しての、コンテンツの「再デジタル化」が実質的に禁止される。
【００７１】
2つ目の事例において、以下のような制約を定義することができる。DRMコンテンツが、DRMケイバビリティ・セット（DRM capability set）を含まないプログラムによって読み取られる場合、「ファイル読み取り」識別子以外の、「非UI」サービス識別子を設定するサービスの使用を無効にする。従って、ファイルからの命令及び／又はコマンドを読み取ることができるこのような非認定DRMを利用可能なプレーヤプログラムを実行することが可能である。制約により、このプレーヤプログラムは、ユーザインターフェース以外のその他のいかなる手段によっても情報を通信できなくなる。
【００７２】
本発明のある実施形態では、ソフトウェアが信頼できない限り、つまりソフトウェアが既定のグループ化式の否定を満たさない限り同じプリンシパル集合が、3つのサービス識別子（マイク、スピーカ、およびネットワーク）を使用することが不可能であることを要求することができる。種々のグループ化式のネゴシエーション技術は、最新の技術において既知である。本実施形態により、例えば、全IPスタックを無効にすることなく、VoIPサービスの使用を禁止することが可能になる。
【００７３】
次に、Symbian 9などのオペレーティングシステムにおけるプログラム動作をアクセス制御するための構成について、読者の利益のために説明する。
【００７４】
OS能力（capability）は、ユーザ能力とシステム能力の2つに分類される。ユーザ能力は、その能力がアプリケーションをインストールしている際に、装置の所持者に提示可能である能力のうち、小さくかつ比較的容易に理解可能であるものである。ユーザ能力によって、ユーザは、アプリケーションが使用の際にいかなる不測の動作も実行しないように確認することが可能になる。システム能力は、透過的にユーザに提示されない。代わりに、システム能力は、ユーザから隠れている。これは、システム能力のあらゆる実装が、ユーザに容易に理解可能であるとは限らないためである。
【００７５】
本発明の異なる実施形態において潜在的に使用できる可能性のある主な能力は、動作および権利と、その能力が制御可能なアクセスと共に、以下のリストにおいて識別されている。
NetworkServices：  その物理的位置に対していかなる制限もない遠隔サービスへのアクセス。一般的に、電話機のユーザはこの位置について把握していない。さらにこのようなサービスにより、電話機のユーザは、費用を被る可能性がある。
LocalServices：  電話機の近隣における遠隔サービスへのアクセス。電話機のユーザは、遠隔サービスの位置について十分把握している。多くの場合、このようなサービスによって、電話機のユーザは費用を被らない。
ReadUserData*：  電話機のユーザにとって機密であるデータへの読み取りアクセス。この能力は、ユーザのプライバシ管理に対応する。連絡先、メッセージ、および約束は、常にユーザの機密データと見なされる。画像または音声などのその他のコンテンツについては、状況によって判断されてもよい。
WriteUserData*：  ユーザデータの整合性の管理。本能力は、ReadUserDataと対称的でないことに留意されたい。例えば、不正なアプリケーションにより、音楽トラックが消去さないようにしたいが、その音楽トラックへの読み取りアクセスを制限したくない場合がある。非公開データの全てがユーザデータであることが明らかである場合、機密データの選択は、より任意であり、UIの実装に依存してもよい。
Location：  装置の位置へのアクセス。本能力は、電話機の位置に関するユーザのプライバシの管理に対応する。
【００７６】
注記：  ReadUserDataおよびWriteUserDataの能力は、ユーザのプライバシの保護のために提供される。これらの能力が、例えば、携帯電話機の全てのデータを保護するわけではない。ユーザにとって、特定のアプリケーションデータが非公開または公開のいずれかであり得る使用事例が多く存在する。例えば、静止画像およびビデオ映像は、保護の対象ではなく、あるいはその主題によっては非常に慎重に扱うべきものであってもよい。連絡先、メール、およびカレンダ記入事項は、一般的に個人的なものである。公開データを見られるかどうかは特に重要ではないが、通常は、その他の人々および悪質なソフトウェア、つまりマルウェアの望ましくないアクセスから、非公開データを保護するべきである。UI仕様によって、これらの問題を考慮すべきであり、また、非公開データを保護するための手段を提供するべきである。例えば、パスワード保護を使用し、所定のデータ（例えば、データの種類）の所望のアクセス性に応じてデータを異なるフォルダに分類することによって、あるいはこれらのいかなる組み合わせによっても、保護を実行することができる。
【００７７】
本発明の実施形態において、システム能力は、以下の項目のうちの1つ以上を含む。
・  実行ファイルおよび共有読み取り専用リソースへの書き込みアクセス。一般的に、本能力としての非常に重要な能力により、実行ファイルとその能力へのアクセスが付与される。
【００７８】
・  通信デバイスドライバへの直接アクセス。
【００７９】
・  電源管理、つまり、システムにおけるいかなるプロセスも中止する権利、使用していない周辺機器の電源を切る権利、機器を待機状態に切り替える権利、その機器を待機状態から戻す権利、または機器の電源を完全に切る権利。
【００８０】
・  音声装置、カメラ、映像装置などのマルチメディア装置のためのマルチメディアデバイスドライバへのアクセス。
【００８１】
・  ネットワークオペレータ、電話機製造者、および装置の機密設定、またはデータへの読み取りアクセス。例えば、ピンロックコード、インストールされたアプリケーションのリスト。システム時間などの機密でない設定を、本能力によって保護する必要はない。
【００８２】
・  装置動作を制御する設定への書き込みアクセス。例えば、装置ロック設定、システム時間、時間帯、アラーム。
【００８３】
・  保護されたコンテンツへのアクセス。DRMエージェントは、本能力を使用して、アプリケーションがDRMコンテンツにアクセス権を有するか否かを決定する。DRMを付与されたアプリケーションは、本コンテンツに関連付けられる権利を尊重すると信頼される。
【００８４】
・  信頼されたUIセッションを作成する権利、ゆえに、セキュアなUI環境においてダイアログを表示する権利。例えば、パスワードダイアログのようなUIダイアログは、まれであるが、機密性および安全性が重要である場合に主に使用される。ユーザインターフェースおよび画面への標準アクセスは、本能力を必要としない。
【００８５】
・  サーバが保護された名称に登録する権利。保護された名称は、「!」から始まる。カーネルは、ProtServ能力を持たないサーバが、このような名前を使用することを阻止するため、保護されたサーバが偽装されないようにする。
【００８６】
・  複数のファイルシステムユニット（ファイルまたはディレクトリ）へ影響を与える、あるいはファイルシステム全体の整合性及び／又は動作などに影響を与えるディスク管理動作へのアクセス。例えば、ディスクパーティションを再フォーマットする権利。
【００８７】
・   ネットワークプロトコル制御を修正またはそれにアクセスする権利。一般的に、作用により、既存および今後の全接続の動作が変更可能である場合、NetworkControlに保護されるべきである。例えば、特定のプロトコルにおける既存の全接続を落とすこと、あるいは呼び出しの優先を変更すること。
【００８８】
・  ファイルシステム全体への読み取りアクセス。
【００８９】
・  ソフトウェアのキーおよびピンの事象を生成する権利およびそのうちのいずれかを、アプリケーションの状態に関わらず入手する権利。フォーカスを有する場合、標準のアプリケーションでは、SwEventがキーおよびピン事象を送るようにする必要がない。
【００９０】
アプリケーション及び／又はその供給者を確実に識別する必要がある場合がある。Symbianプラットフォームセキュリティモデルにより、サーバは、その要求者を把握せずに、そのAPIへのアクセスを制御可能になり、従って、アクセス制御リストを保持する必要性が回避される。アプリケーションおよびそのソースを一意的に識別する必要性がある場合、セキュアな識別子（Secure Identifier; SID）および供給者識別子（Vendor Identifier; VID）が提供される。SIDは、局所的に一意的であると保証される識別子である。VIDは、所定の実行ファイルのソースの一意的な識別を提供するために、実行ファイルに含まれる。多くの場合、このVIDはゼロであり、つまり、実行ファイルのソースは、いかなるセキュリティチェックも必要としない。
【００９１】
図３は、本発明の実施形態に従う動作を表すフローチャートを示す。フローチャートは、ステップ300から開始し、この場合、端末は使用されていない。次に、ステップ310において、第1の任意のアプリケーションを開始する。このアプリケーションは、メディアコンテンツをストリーム受信するための無線ブロックの、1つの機能ブロックを使用する。第1の任意のアプリケーションを開始すると、ステップ320において、端末は、アクセス制約によって、第1のアプリケーションによる無線ブロックの使用が禁止されていないことを確認する。何らかの禁止制約が発見された場合は、アクセスは拒否され、アプリケーションは停止されてもよく、及び／又はアプリケーションは、エラーメッセージを提供してもよく、プロセスはステップ300に戻る。発見されなかった場合は、ステップ330において、端末は、受信するメディアコンテンツの種類を認識し、そのメディアの種類の優先的なプレーヤとしてユーザによって構成されるサードパーティのメディアプレーヤを開始する。メディアプレーヤを開始すると、ステップ340において、端末は、そのコンテンツが保護されているかを確認する。保護されていない場合、その実行は、ステップ350に進み、端末によって記録の開始が可能になる。そうでない場合は、その実行は、ステップ360まで進む。ステップ360において、いかなるアクセス制約も違反していないかが確認される。違反していないと仮定する場合、端末は、ステップ350に進む。次に、呼び出されたサービスまたはリソースは、メディアプレーヤを使用してコンテンツの再生（つまり、ストリーム受信）などを開始する。ステップ360の確認の結果が肯定的である場合、端末は、使用された機能の禁止された組み合わせにより、ステップ370において記録を禁止する。次に、動作は、ステップ310に戻る。
【００９２】
Nokiaの通信器において使用されるような一般的なマルチタスク環境において、図３に示される多数の流れは、同時に実行可能であることに留意されたい。
【００９３】
本発明の実施形態は、アクセス制御システムにおける、相互に排他的なアクセス条件を作成することを伴う。実施形態は、複数の動作のうちのいずれかを単独で実行することを選択的に可能にしてもよいが、別の動作と組み合せて実行することは可能にしない。
【００９４】
本発明の特定の実装および実施形態について説明した。本発明が、上述の実施形態の詳細に制限されず、本発明の特徴を逸脱することなく、同等の手段を使用するその他の実施形態において実装可能であることは、当業者に明らかである。本発明の範囲は、添付の特許請求項によってのみ制限される。
【図面の簡単な説明】
【００９５】
【図１】本発明の実施形態に従う移動局のブロック図を示す。
【図２】本発明の実施形態に従う主要構成要素を含む例示的システムを示す。
【図３】本発明の実施形態に従う動作を表すフローチャートを示す。
【図１】
2009524864.tif 000003
【図２】
2009524864.tif 000004
【図３】
2009524864.tif 000005
【手続補正書】
【提出日】平成20年7月29日(2008.7.29)
【手続補正１】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項１】
種々のリソースを有するデータ処理端末において、任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するための方法であって、
前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための、条件付きアクセス制御制約の集合を保持することと、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にすることと、
を、含む方法。
【請求項２】
前記許容可能な組み合わせは、許容不可能な組み合わせを定義することによって間接的に定義される、請求項1に記載の方法。
【請求項３】
前記アクセス制御制約は、少なくとも2つの相互に排他的な機能ブロックまたは少なくとも2つの相互に排他的な機能ブロックの組み合わせを定義する、請求項1に記載の方法。
【請求項４】
前記アクセス制御制約は、アクセス制御オブジェクトによって定義される、請求項１から３のいずれかに記載の方法。
【請求項５】
異なるサービスは、それぞれのサービス識別子に割り当てられ、異なるアクセスオブジェクトは、それぞれのアクセスログおよびアクセスオブジェクトのサービス呼び出しに関連付けられることによって、サービス呼び出しの前記サービス識別子は、前記呼び出されたサービスの前記アクセスログにそれぞれ格納される、請求項4に記載の方法。
【請求項６】
前記アクセス制御制約は、ブール論理によって定義される、請求項5に記載の方法。
【請求項７】
前記任意のアプリケーションの、併用して使用可能な異なるサービスへのアクセスも、併用して実行される前記アプリケーションによって使用されるサービスの許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にすることによって、前記保持される条件付きアクセス制御制約によって制御される、請求項１から３のいずれかに記載の方法。
【請求項８】
種々のリソースを有し、かつ前記リソースを使用して、任意のコンピュータ実行可能なアプリケーションを実行可能であるデータ処理端末であって、
メモリと、
前記メモリに格納され、また、前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義する、条件付きアクセス制御制約の集合（122、203）と、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行するように構成されるプロセッサと、
を備える、データ処理端末。
【請求項９】
前記許容可能な組み合わせは、許容不可能な組み合わせを定義することによって間接的に定義される、請求項8に記載の端末。
【請求項１０】
前記アクセス制御制約は、少なくとも2つの相互に排他的な機能ブロックまたは少なくとも2つの相互に排他的な機能ブロックの組み合わせを定義する、請求項8または9に記載の端末。
【請求項１１】
前記アクセス制御制約は、アクセス制御オブジェクト）によって定義される、請求項8から10のいずれかに記載の端末。
【請求項１２】
異なるサービスは、それぞれのサービス識別子に割り当てられ、異なるアクセスオブジェクト）は、それぞれのアクセスログおよびアクセスオブジェクトのサービス呼び出しに関連付けられることによって、サービス呼び出しの前記サービス識別子は、前記呼び出されたサービスの前記アクセスログにそれぞれ格納される、請求項11に記載の端末。
【請求項１３】
前記アクセス制御制約は、ブール論理によって定義される、請求項12に記載の端末。
【請求項１４】
前記任意のアプリケーションの、併用して使用可能な異なるサービスへのアクセスも、併用して実行される前記アプリケーションによって使用されるサービスの許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にすることによって、前記保持される条件付きアクセス制御制約によって制御される、請求項8から10のいずれかに記載の端末。
【請求項１５】
任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御するように構成される種々のリソースを有するデータ処理端末における前記動作を制御するためのコンピュータプログラムであって、
前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための条件付きアクセス制御制約の集合を保持するよう前記端末を動作させるコンピュータプログラムコードと、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能とするよう前記端末を動作させるコンピュータプログラムコードと、
を含む、コンピュータプログラム。
【請求項１６】
任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスを制御ように構成された種々のリソースを有するデータ処理端末における前記動作を制御するためのサブアセンブリであって、
前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための条件付きアクセス制御制約の集合を、前記端末が保持するようにするための手段と、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを前記端末が実行可能にするための手段と、
を備える、サブアセンブリ。
【請求項１７】
前記条件付きアクセス制御制約の集合を、前記端末が保持するようにする前記手段及び／又はリソースの許容可能な組み合わせに関する前記制約内で、前記アプリケーションを前記端末が実行可能にする前記手段は、チップ集合回路および1つ以上のチップ集合に格納されるコンピュータコードの任意の組み合わせに基づく、請求項16に記載のサブアセンブリ。
【請求項１８】
種々のリソースを有し、かつ任意のコンピュータ実行可能なアプリケーションの前記リソースへのアクセスが制御可能である、データ処理端末を製造するための方法であって、
前記アプリケーションと共に使用されうる前記リソースの許容可能な組み合わせを定義するための、条件付きアクセス制御制約の集合を保持するよう前記端末を動作させるコンピュータプログラムコードを、前記端末に格納することと、
前記アプリケーションの実行に伴って使用されるリソースに対する前記許容可能な組み合わせに関する前記制約内でのみ、前記アプリケーションを実行可能にするよう前記端末を動作させるコンピュータプログラムコードを、前記端末に格納することと、
を含む、方法。
【国際調査報告】
2009524864.tif 000006
2009524864.tif 000007
2009524864.tif 000008
2009524864.tif 000009