CN1842031B

CN1842031B - 数据处理方法与系统

Info

Publication number: CN1842031B
Application number: CN2006100710275A
Authority: CN
Inventors: 尼尔·R.·彭内尔; 朗达·L.·齐尔得拉斯; 戴维·B.·库姆亚; 艾伦·J.·科尔
Original assignee: Trend Micro Ltd
Current assignee: Trend Technology Corp.
Priority date: 2005-04-01
Filing date: 2006-03-31
Publication date: 2012-07-04
Anticipated expiration: 2026-03-31
Also published as: US20090157863A1; US7490349B2; US20060225123A1; US8087016B2; CN1842031A

Abstract

一种用于利用分层策略级别在计算机网络中分发软件的系统与方法。在一种实施方式中，网络计算机布置成分层结构。能访问网络的管理策略服务器查询该分层结构来识别分层结构中等于或低于其自己级别的计算机。一旦识别出计算机组，就绕开人的干预分发软件程序、更新或策略。

Description

数据处理方法与系统

技术领域

本发明总体上涉及计算机系统，尤其涉及用于有效管理网络计算机上的软件更新的系统与方法。

背景技术

系统管理产品，如监视软件分发或管理安全产品、安全入侵和存储区域网络的那些系统管理产品，在许多机构中被采用。这种产品一般既在企业级又在部门级出售。例如，机构的高级个人决定购买用在整个企业的系统管理产品，而部门的决定可以在机构的较低级别进行。

因此，管理产品以几种使用类型出售，例如，这种产品和服务可以在个人级、工作组级、部门级、分支机构(division)级和企业级出售。但是，在机构内一级，如部门级，购买产品并不意味着该产品在部门级以下的所有级别以相同的方式实现。而且也不意味着该产品先前购买的版本自动与新购买的产品级别吻合。例如，尽管部门服务器可以有在其上实现的系统管理产品，但该系统管理产品不一定分发到个人工作组服务器，或者分发到网络的个人工作站。

产品不能从高机构级“渗透(filter down)”到低机构级的这种失败的原因常常涉及在机构内工作的人的个人喜好。例如，当要求人们检查或实现更新或新产品时，他们可能认为其它任务有更高的重要性，从而拖延更新的实现。可选地，人工操作员可以决定更新是不需要的或者可以干预正在执行的其它工作。

此外，个人不一定具有在他们系统上安装新软件的正确动机。尽管对新软件的升级可以从根本上提高整个企业的能力和效率，但从企业内部个人的观点来看，由于个人必须学习新软件程序，因此改变到新软件产品会造成生产率的立即损失。因此，即使当已经付款并且网络中的个人可以获得时，对实现新软件的抵抗性也会阻止软件正确分发到给定网络或网络部分的所有机器。拖延对软件更新的其它原因包括由负责机构企业级的个人所选策略与已经存在于部门级的那些策略的不同配置或选择。

因此，系统管理中现有技术目前的状态将受益于更有效实现企业中软件，尤其是多级系统管理软件，改变的系统与方法。

发明内容

本发明讲授了用于有效管理软件和策略向计算机网络的计算机分发与更新的系统与方法。在一种实现中，安装了管理策略软件的数据处理系统对如LAN的网络的计算机进行清点。网络计算机布置成分层结构。根据分层结构，确定计算机组中是否有至少一台计算机经受数据处理系统的管理授权。一旦确定数据处理系统对计算机组中的至少一台计算机有管理授权，数据处理系统就管理软件和策略向该数据处理系统对其有管理授权的计算机的分发。高级别策略服务器被授权对分层结构中低授权的计算机确立软件策略。这些策略可以是从仅仅确立低级别计算机在网络上的存在到规定加载到所控制计算机上的软件的确切配置。在优选实施方式中，策略可以拒绝用户配置选项、允许用户配置选项或允许一些选项但拒绝其它选项。此外，被授权的策略服务器可以规定关于在它们授权之下的计算机上预先存在的安装的程序的配置选项。

附图说明

相信是本发明特征的新特征在所附权利要求中阐述。但是，本发明本身和优选使用模式及其更多目的与优点将最好通过参考以下对说明性实施方式的具体描述并联系附图一起阅读来理解，其中：

图1示出了与实现本发明优选实施方式一致的计算机系统的方框图。

图2示出了与实现本发明优选实施方式一致的计算机系统的图。

图3示出了与实现本发明优选实施方式一致的计算机网络。

图4示出了与实现本发明优选实施方式一致的网络计算机系统的分层布置。

图5示出了用于实现本发明优选实施方式的处理流程。

具体实施方式

本发明讲授了用于利用策略级别来加强对系统管理产品控制的系统与方法。尽管任何分层划分都可以使用，但是在一种例子实施方式中，策略级别设置为个人、工作组、部门、分支机构和企业级。策略级别确定对软件分发与管理的加强的控制。例如，在一种实施方式中，特定的策略服务器连接到网络(例如，企业或其它机构的局域网)并指定为部门级。这种特定的部门级策略服务器包括用于向个人系统工具或程序(如反病毒程序)发送和从其接收信号的软件。该部门级策略服务器对所有低于它自己的分层划分控制软件与更新的分发与管理。换句话说，假定控制来自个人，那么如果部门被划分成工作组和个人站，则部门级策略服务器可以控制软件向工作组和个人站的分发与管理。该创新系统与方法将参考几个附图来描述。

现在参考附图，特别是参考图1，描述了根据本发明优选实施方式其中可以实现本发明的数据处理系统的图示。描述了包括系统单元102、视频显示终端104、键盘106、存储设备108及鼠标110的计算机100，存储设备108可以包括软盘驱动器及其它类型的永久或可拆卸存储介质。如操纵杆、触摸板、触摸屏、轨迹球、麦克风等的附加输入设备可以包括在个人计算机100中。计算机100可以利用任何合适的计算机实现，如位于纽约Armonk的国际商用机器公司的产品IBM eServer计算机或IntelliStation计算机。尽管所述表示示出了计算机，但本发明的其它实施方式可以用其它类型的数据处理系统实现，如网络计算机。计算机100还优选地包括可以利用驻留在计算机可读介质中的在计算机100中运行的系统软件实现的图形用户接口。

现在参考图2，示出了其中可以实现本发明的数据处理系统的方框图。数据处理系统200是计算机的例子，如图1中的计算机100，实现本发明处理的代码或指令可以位于其中。数据处理系统200采用外围组件互连(PCI)局部总线体系结构。尽管所述例子采用PCI总线，但其它总线体系结构，如加速图形端口(AGP)和工业标准体系结构(ISA)，也可以使用。处理器202和主存储器204通过PCI桥208连接到PCI局部总线206。PCI桥208还可以包括用于处理器202的集成存储器控制器和高速缓冲存储器。其它对PCI局部总线206的连接可以通过直接组件互连或通过内插板进行。在所述例子中，局域网(LAN)适配器210、小型计算机系统接口SCSI主机总线适配器212和扩展总线接口214通过直接组件互连连接到PCI局部总线206。相反，音频适配器216、图形适配器218及音频/视频适配器219通过插入扩展槽的内插板连接到PCI局部总线206。扩展总线接口214为键盘和鼠标适配器220、调制解调器222及附加存储器224提供连接。SCSI主机总线适配器212为硬盘驱动器226、磁带驱动器228和CD-ROM驱动器230提供连接。一般的PCI局部总线实现将支持三个或四个PCI扩展槽或内插连接器。

操作系统运行在处理器202上并用于协调并提供对图2数据处理系统200中各种组件的控制。操作系统可以是商业可获得的操作系统，如可以从微软公司获得的Windows 2000。如Java的面向对象编程系统可以与操作系统一起运行并从在数据处理系统200上执行的Java程序或应用程序提供对操作系统的调用。“Java”是Sun微系统公司的商标。用于操作系统的指令、面向对象编程系统及应用程序或程序位于如硬盘驱动器226的存储设备上并且可以加载到主存储器204中由处理器202执行。

本领域普通技术人员应当理解图2中的硬件可以根据实现而变化。其它内部硬件或外围设备，如闪存ROM(或同等的非易失存储器)或光盘驱动器等，可以附加或代替图2所述的硬件使用。而且，本发明的处理可以应用到多处理器数据处理系统。

例如，如果可选地配置为网络计算机，则数据处理系统200可以不包括SCSI主机总线适配器212、硬盘驱动器226、磁带驱动器228和CD-ROM 230，如图2中由表示可选包括的点划线232指示的。在那种情况下，正确地应当称为客户端计算机的计算机必须包括某种类型的网络通信接口，如LAN适配器210、调制解调器222等。作为另一例子，不管数据处理系统200是否包括某种类型的网络通信接口，数据处理系统200都可以是配置成不依赖某种类型的网络通信接口就可以引导的独立系统。作为另一例子，数据处理系统200可以是配置了ROM和/或闪存ROM的个人数字助理(PDA)，其中ROM和/或闪存ROM用来提供存储操作系统文件和/或用户生成的数据的非易失存储器。

图2所述例子及上述例子并不是要暗示体系结构的限制。例如，除了采用PDA的形式，数据处理系统200还可以是笔记本电脑或手持式电脑。数据处理系统200还可以是信息站或web设备。

本发明的处理是由处理器202利用计算机实现的指令执行的，这些指令可以位于如主存储器204、存储器224的存储器中或位于一个或多个外围设备226-230中。

现在参考附图，图3描述了其中可以实现本发明的数据处理系统网络的图示。网络数据处理系统300是其中可以实现本发明的计算机网络。网络数据处理系统300包含网络302，网络302是用于在网络数据处理系统300中连接在一起的各种设备与计算机之间提供通信链路的介质。网络302可以包括如有线、无线通信链路或光纤光缆的连接。

在所述例子中，服务器304与存储单元306一起连接到网络302。此外，客户端308、310和312也连接到网络302。这些客户端308、310和312可以是例如个人计算机或网络计算机。在所述例子中，服务器304向客户端308-312提供如引导文件、操作系统图像和应用程序的数据。客户端308、310和312是服务器304的客户。网络数据处理系统300包括打印机314、316和318，而且还可以包括未示出的附加服务器、客户端及其它设备。

在所述例子中，网络数据处理系统300是例如具有网络302的局域网，网络302表示使用TCP/IP协议集或其它协议系统彼此通信的网络与网关的集合。当然，网络数据处理系统300还可以实现为多种不同类型的网络，如内联网、局域网(LAN)或广域网(WAN)。图3是要作为例子，而不是对本发明的体系结构限制。

在优选实施方式中，本发明部分讲授了实现软件管理策略的分层结构。这种分层结构的例子实施方式在图4中示出。在这个例子中，分层结构400包括企业级402、分支机构级404、部门级406、工作组级408及个人或工作站级410。在优选实施方式中，分层结构中的这些级别可以具有一个或多个子分支(subdivision)。例如，在分支机构级404，可以有多于一个分支机构。对于部门级406和这个例子中所描述的其它级别都是一样。如以下进一步描述的，在优选实施方式中，特定的策略服务器连接到网络，该网络具有向位于分层结构400中低层级上的元素发送并从其接收控制信号的软件。

在优选实施方式中，本发明实现为能访问相关网络的专用管理策略服务器上的软件或实现为网络现有机器上的软件。图5描述了用于实现本发明的例子步骤集。

在这种例子实现中，处理从适当许可级别的策略服务器的安装开始(步骤502)。这包括管理策略软件(优选地位于连接到网络的专用服务器--策略服务器--上)。策略服务器在网络上声明它自己并监听来自其它策略服务器和组件的声明(步骤504)。这优选地是通过向连接到网络的其它服务器和/或工作站发广播信号来完成的。有许多用于广播信号的机制，如通过因特网或内联网登录过程、电子邮件、利用如蓝牙、EDI带网等各种协议的无线通信。尽管管理策略软件或服务器可以是任何层级或子分支，但为了这个例子，参考图4的分层结构，我们假定它是部门级406。在一种实施方式中，广播信号发送到网络的所有计算机，而在其它实施方式中，该信号只广播到等于或低于广播服务器层级的那些计算机。在还有其它实现中，只有低于广播者层级的那些计算机接收该信号。优选地，广播包括请求从接收计算机得到响应，包括关于已经驻留在响应计算机上要分发的软件类型的版本。由于广播可以设置成周期性地以用户期望的任何时间间隔发生，因此不存在广播会充满网络的问题。例如，时间间隔可以是每小时、每天、每周、每月或每三十分钟等。

在第一实施方式中，所有其它的策略服务器和组件都对来自策略服务器的声明进行应答(步骤506)。优选地，除了其它信息，应答还包含“未管理”或以“共享”或“专用”模式的“管理”的状态，这给了部门级策略服务器一个该服务器管理之下所有可用机器的列表。“管理”组件在授权之下，因此在查询该组件的策略服务器的管理之下，而“未管理”组件不受这种控制。“专用”组件是只能由单个策略服务器管理的组件。而“共享”组件是可以由多于一个策略服务器管理的组件。在优选实施方式中，应答还包括响应计算机目前具有的软件版本。还是在优选实施方式中，参考图4，这将包括所有工作组服务器和工作站及个人服务器和工作站。

在另一实施方式中，响应确定响应计算机上任何版本软件的缺少，本发明选择性地启动所缺少软件的安装。依赖于实现，可能存在启动所缺少软件的安装的代码。在其它情况下，如系统管理员的用户可以得到软件需要安装的通知。

在另一实施方式中，只有服务器对信号进行响应，并充当对通过该服务器访问网络的工作站的分发节点。策略服务器还对未管理、管理和共享组件过滤响应确定那些组件是否在该策略服务器授权之下的应答(步骤508)，然后将过滤后的响应发送到新安装的策略服务器。

在有些情况下，由策略服务器管理的组件可以有在其上安装的第三方管理软件。在这种情况下，策略服务器将需要与该第三方软件通信的适配器。适配器是通过将指令从一个单元变换到另一个方便第三方软件与策略服务器之间通信的计算机程序产品。以这种方式，策略服务器可以管理没有管理策略软件的组件上的软件。这使得策略服务器也可以管理第三方软件。

然后，用户从过滤后的列表选择要管理的组件(步骤510)，或者可以选择预置组件进行管理。在优选实施方式中，新策略服务器确定网络中低授权策略服务器和组件可用的可配置级别。例如，新策略服务器只能识别在其控制之下的那些组件，但允许它们配置它们自己上面的软件并在它们看到合适时进行更新。可选地，新策略服务器可以对被管理的组件规定一些或全部配置选项，而且还可以托管要加载到该组件上的更新和软件版本。还是在优选实施方式中，注意分层结构中给定级别的策略服务器，如部门级策略服务器，不能管理分层结构中更高级别策略服务器控制之下的组件。换句话说，部门级策略服务器不能管理已经由分支机构级策略服务器或企业级策略服务器管理的组件，因为那些组件是由更高级别策略服务器管理的。

接下来，部门级服务器向随后向个人工作站分发程序或更新的工作组服务器或以同样的方式同时向服务器和工作站分发指定的程序或更新(步骤512)。管理策略服务器还可以向被管理的计算机分发新策略或配置规则及软件更新。

注意，尽管以上处理流是参考部门级策略服务器描述的，但处理步骤也适用于不同授权的其它策略服务器(例如，工作组级、分支机构级或企业级服务器)。

还要注意，尽管以上处理流是参考新安装的策略服务器描述的，但处理步骤也适用于已经安装的策略服务器。即，这些步骤还描述了由先前已经安装的策略服务器分发软件或策略更新的处理。

在优选实施方式中，在上面的例子中，管理产品本身(例如，反病毒软件程序、防火墙或网络的其它软件程序)就可以检测来自部门级管理策略服务器的广播信号。修改后的程序可以对信号进行应答，优选地包括应答中的相关信息，如软件最后更新的日期、版本及用于向该计算机系统添加新的或不同软件的可用资源。在另一实施方式中，独立的软件驻留在观察广播信号并为响应而收集必要信息的网络计算机上。

在优选实施方式中，个人策略服务器和组件监听上面讨论的用于广播的网络专用端口或套接字并响应。通过这些通信，策略服务器和组件声明它们自己、发现彼此并接收控制(在授权策略服务器的情况下)。这种组件的通信可以与网络路由器发现彼此类似的方式实现。例如，如EGP(外部网关协议)、BGP(边界网关协议)和IGP(内部网关协议)的协议是建立在TCP/IP协议之上并且是用于在组件之间通信的已知方式。这种协议可以用于实现本发明的优选实施方式。

如上面所提到的，各种更新、配置选项和策略可以在本发明之下进行管理，将这些功能的控制集中到策略服务器中。可以管理的策略与更新的类型例子包括但不限于软件配置与更新、访问策略、安全策略、带宽分配、因特网访问和诸如兜售信息(spam)策略的电子邮件策略。策略服务器本身布置到上面提到的分层授权方案中，因此策略服务器优选地只能管理分层结构中在它们之下的那些组件，而不管理分层结构中与它们同级或在它们之上的那些组件。因此，工作组级服务器不能管理由部门级或更高级别策略服务器管理的组件。这允许软件和配置由机构的部门或联网计算机的系统有效采用。例如，如果给定更新要由整个企业采用，则企业级策略服务器用于管理该更新的分发，因为它具有对系统所有计算机的管理授权。同样，如果只有特定部门需要采用特定更新，则只有部门级策略服务器需要用于分发该更新。由这种授权布置和分配引起的安全问题包括当具有高级管理授权的策略服务器访问网络的可能性，该策略服务器将能够监控网络中计算机阵列的更新和配置。换句话说，一旦在网络上将自己确立为授权的策略服务器，它就具有了修改和有效控制网络许多组件的授权。尽管这种安全问题是严重的，实现这些问题的方案不是不重要，但解决它们超出了本发明的范围。一种解决方案是特定级别策略服务器将需要在不同公司CIO级别被批准的人事管理类型的解决方案。

其它可能的解决方案包括通过使用数字签名和使用第三方验证的自我认证。

尽管本发明是在完全功能数据处理系统的环境下描述的，但本领域普通技术人员应当理解本发明的处理能够以指令的计算机可读介质的形式和多种形式分发，而且不管实际用于实现分发的信号承载介质的特定类型，本发明可以同等地应用，指出这点是很重要的。计算机可读介质的例子包括记录型介质，如软盘、硬盘驱动器、RAM、CD-ROM、DVD-ROM，及传输型介质，如数字和模拟通信链路、有线或利用如射频和光波发送的发送形式的无线通信链路。计算机可读介质可以采取实际使用时在特定数据处理系统中解码的编码格式的形式。

本发明的描述是为了说明和描述而提出的，而不打算是穷尽的或将本发明限定到所公开的形式。许多修改和变体对本领域普通技术人员都是显然的。实施方式的选择和描述是为了最好地解释本发明的原理、实践应用，并使本领域其它普通技术人员能够理解本发明具有多种修改的多种实施方式，这些修改适合于期望的特定使用。

Claims

1.一种在数据处理系统中用于管理计算机网络中的软件与策略的方法，包括步骤：

清点网络中的计算机组，其中计算机组布置成分层结构，而且其中管理策略软件安装在数据处理系统中用于管理软件；

根据分层结构确定该计算机组中至少一台计算机经受数据处理系统的管理授权，包括确定该计算机组中至少一台计算机的状态，其中该状态包括被管理和未被管理中的一个及共享和专用中的一个，其中被管理的状态表示该计算机组中至少一台计算机经受该数据处理系统的管理授权，未被管理的状态表示该计算机组中至少一台计算机未经受该数据处理系统的管理授权，共享的状态表示存在多于一个管理授权，而专用的状态表示存在单个管理授权；及

确定出数据处理系统对该计算机组中至少一台计算机具有管理授权后，数据处理系统管理软件和策略向数据处理系统对其具有管理授权的该计算机组中至少一台计算机的分发。

2.如权利要求1所述的方法，还包括：

确定已经存在于该计算机组中至少一台计算机上的软件版本。

3.如权利要求1所述的方法，其中数据处理系统向数据处理系统对其具有管理授权的该计算机组中至少一台计算机分发软件配置策略。

4.如权利要求1所述的方法，其中分层结构是根据驻留在网络中对应于分层结构级别的相应计算机上的管理策略软件的预定级别确立的。

5.如权利要求2所述的方法，其中确定出计算机组中的计算机上任何软件版本的缺少后，选择性地启动软件的安装。

6.如权利要求1所述的方法，还包括：

确定出管理策略软件没有驻留在计算机组中至少一台计算机上后，通过适配器与该计算机组中至少一台计算机通信。

7.如权利要求1所述的方法，其中管理授权只用于数据处理系统对其具有管理授权的该计算机组中至少一台计算机上选定的软件程序。

8.一种计算机网络，包括：

一个或多个策略服务器，所述策略服务器布置成分层结构；

能够通过网络与该一个或多个策略服务器通信的计算机组，该计算机组布置成分层结构；

其中一个或多个策略服务器管理软件或策略向策略服务器对其具有管理授权的计算机组中至少一台计算机的分发；及

其中一个或多个策略服务器中的第一策略服务器只对计算机组中在层次结构上低于第一策略服务器的计算机具有管理授权，该第一策略服务器包括确定机构，用于根据分层结构确定该计算机组中至少一台计算机经受该第一策略服务器的管理授权，该确定机构确定该计算机组中至少一台计算机的状态，其中该状态包括被管理和未被管理中的一个及共享和专用中的一个，其中被管理的状态表示该计算机组中至少一台计算机经受该第一策略服务器的管理授权，未被管理的状态表示该计算机组中至少一台计算机未经受该第一策略服务器的管理授权，共享的状态表示存在多于一个管理授权，而专用的状态表示存在单个管理授权。

9.如权利要求8所述的网络，其中第一策略服务器确定已经存在于该计算机组中至少一台计算机上的软件版本。

10.如权利要求8所述的网络，其中一个或多个策略服务器的软件分发策略确定对该计算机组中至少一台计算机的用户可用的软件配置。

11.如权利要求8所述的网络，其中第一策略服务器确定该计算机组中至少一台计算机的状态，其中该状态包括被管理和未被管理中的一个及共享和专用中的一个。

12.一种用于管理计算机网络中的软件与策略的数据处理系统，包括：

清点机构，用于清点网络中的计算机组，其中计算机组布置成分层结构，而且其中管理策略软件安装在数据处理系统上用于管理软件；

确定机构，用于根据分层结构确定该计算机组中至少一台计算机经受数据处理系统的管理授权，包括确定该计算机组中至少一台计算机的状态，其中该状态包括被管理和未被管理中的一个及共享和专用中的一个，其中被管理的状态表示该计算机组中至少一台计算机经受该数据处理系统的管理授权，未被管理的状态表示该计算机组中至少一台计算机未经受该数据处理系统的管理授权，共享的状态表示存在多于一个管理授权，而专用的状态表示存在单个管理授权；及

管理机构，确定出数据处理系统对计算机组中至少一台计算机具有管理授权后，管理软件和策略向数据处理系统对其具有管理授权的该计算机组中至少一台计算机的分发。

13.如权利要求12所述的数据处理系统，其中数据处理系统向数据处理系统对其具有管理授权的该计算机组中至少一台计算机分发软件配置策略。

14.如权利要求12所述的数据处理系统，其中分层结构是根据驻留在网络中对应于分层结构级别的相应计算机上的管理策略软件的预定级别确立的。