[发明专利]资源管理和安全系统

权利要求书

1.一种系统，包括：

操作系统内核，其被配置为在计算机处理器上执行；以及

中介器，其被配置为在所述计算机处理器上执行并在所述操作系统内核与数据处理应用之间工作，所述中介器用于控制对所述数据处理应用的用户相关的应用状态的访问以及用于限制所述操作系统内核对所述用户相关的应用状态的访问。

2.根据权利要求1的系统，其中所述用户相关的应用状态包括由所述数据处理应用在其操作期间产生并且对于所述中介器可见而对于所述操作系统内核不可见的数据。

3.根据权利要求1的系统，其中所述操作系统内核控制系统相关的应用状态，所述系统相关的应用状态用于在所述操作系统内核的级别处控制所述数据处理应用的各部分。

4.根据权利要求1的系统，其中所述操作系统内核已被修改以将其功能的一部分移交给所述中介器；并且还包括与所述计算机处理器通信的数据处理资源。

5.根据权利要求4的系统，其中所述中介器对所述计算机处理器和所述数据处理资源的访问权限高于所述操作系统内核。

6.根据权利要求4的系统，其中所述操作系统内核对于用户相关的应用状态具有受限的访问，因为所述中介器根据需要在所述用户相关的应用状态与所述操作系统内核的数据结构之间执行传输以实现所述操作系统内核的其余功能。

7.根据权利要求1的系统，其中所述中介器被配置为控制所述操作系统内核与所述数据处理应用之间的系统调用和异常。

8.根据权利要求7的系统，包括：

与所述计算机处理器通信的数据处理资源；以及

其中所述数据处理资源包括计算机存储器、通信网络、输入/输出设备和数据处理设备，其中所述计算机存储器被配置为存储所述数据处理应用、中介器、操作系统内核、用户级共享库以及系统守护进程；并且其中所述中介器被配置为使用存储器管理单元控制所述操作系统内核、所述数据处理应用、所述用户级共享库和所述系统守护进程的存储器访问权限；并且其中所述中介器被配置为虚拟化输入/输出设备的选择寄存器并使用输入/输出存储器管理单元来控制输入/输出设备的数据传输源和数据传输目的地。

9.根据权利要求1的系统，还包括在所述操作系统内核之外的网际协议安全模块，其被配置为作为系统守护进程运行，以便直接与所述数据处理应用通信而不与所述操作系统内核通信。

10.一种方法，包括：

将中介器配置为在操作系统内核与数据处理应用之间执行；

通过所述中介器控制对所述数据处理应用的用户相关的应用状态的访问；以及

限制所述操作系统内核对所述用户相关的应用状态的访问。

11.根据权利要求10的方法，还包括将所述用户相关的应用状态配置为限于由所述数据处理应用在其操作期间产生并且对于所述中介器可见而对于所述操作系统内核不可见的数据。

12.根据权利要求10的方法，还包括配置所述操作系统内核以控制系统相关的应用状态，所述系统相关的应用状态用于在所述操作系统内核的级别处控制所述数据处理应用的各部分。

13.根据权利要求10的方法，还包括配置所述中介器，以便所述中介器对所述计算机处理器和数据处理资源的访问权限高于所述操作系统内核。

14.根据权利要求10的方法，还包括配置所述中介器以控制所述操作系统内核与所述数据处理应用之间的系统调用和异常。

15.根据权利要求10的方法，还包括配置在所述操作系统内核之外的网际协议安全模块，以便直接与所述数据处理应用通信而不与所述操作系统内核通信。

16.一种包含在计算机可读存储介质中的计算机程序产品，包括：

与所述计算机可读存储介质耦合的计算机可读程序代码，其用于解决数据处理系统中的资源管理和安全性，所述计算机可读程序代码被配置为使所述程序执行以下操作：

通过计算机处理器执行中介器以便在操作系统内核与数据处理应用之间执行；

通过所述中介器控制对所述数据处理应用的用户相关的应用状态的访问；以及

限制所述操作系统内核对所述用户相关的应用状态的访问。