具体实施方式

下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。

如图1所示，本实施例提出了第一种数据访问控制方法。该方法可以包括以下步骤：

S101、云服务器接收由请求端设备发送的用于请求目标源数据的数据访问请求；

具体的，请求端设备可以为访问者使用的向云服务器发起数据访问请求的电子设备，如手机和平板电脑等。其中，访问者可以为用户、管理者和技术人员等。

其中，目标源数据可以为请求端设备请求云服务器提供的目标数据。需要说明的是，目标源数据可以为二进制数据，即可以是由0和1构成的数据，比如0100101001011110。

可以理解的是，数据访问请求中可以携带有访问者的身份信息和资源请求信息等。其中，访问者的身份信息可以包括登录信息和角色信息(包括用户和管理人员等)等，资源请求信息可以包括请求资源类型和数据量等。

S102、云服务器基于数据访问控制系统对数据访问请求进行访问认证；

其中，数据访问控制系统可以为预先设置在云服务器中的用于对数据访问请求进行访问认证的系统。

具体的，云服务器可以在接收到数据访问请求之后，调用数据访问控制系统对数据访问请求进行访问认证，确定数据访问请求是否有效、合法和具有权限。

可选的，访问认证可以包括身份验证、资源请求认证和安全认证等认证方式中的至少一种。

可选的，云服务器可以基于数据访问请求中携带的访问者的身份信息进行身份验证，确定访问者是否已获得登录权限，确定访问者的角色。

可选的，云服务器可以基于数据访问请求中携带的资源请求信息进行资源请求认证，确定访问者是否有权限请求相应类型和数量的资源，实现对访问者资源请求的控制。

可选的，云服务器可以基于数据访问请求中携带的访问者IP地址和访问时间等相关访问安全信息，确定本次访问是否存在安全隐患。

可以理解的是，本发明在通过对数据访问请求的访问认证时，确定可以在安全环境下，向访问者授权相应的资源请求权限，以及向访问者所使用的请求端设备发送相应类型和数量的资源，为访问者提供云服务。

其中，当数据访问请求的访问认证未通过时，即访问认证失败时，本发明可以确定访问者未具备资源请求权限，或者确定本次数据访问环境不安全等情况时，禁止向访问者提供其请求的资源。因此，本发明可以防止未经登录授权、资源访问授权或者访问存在安全隐患的访问者从云存储中访问数据。

可选的，本发明可以在预定义访问认证时，针对不同角色的访问者创建相应的访问规则，控制不同角色的访问者访问相应类型和数量的资源，限制不同角色的访问者对敏感数据的访问，实现数据访问控制，提高数据安全性和系统安全性。

S103、当数据访问请求通过访问认证时，云服务器从云存储处获得目标加密数据，目标加密数据是由云存储的安全感知系统对目标源数据进行分割加密处理后获得的；

其中，安全感知系统可以为用于对云服务提供者(如云服务提供商或普通用户等)提供的资源数据进行加密处理的系统。需要说明的是，云存储和安全感知系统可以是同一云端系统中的组成部分，云端系统中可以预先建立云存储的安全感知系统。在云服务提供者上传资源数据时，安全感知系统可以对资源数据进行加密，并将加密后的数据发送至云存储中进行保存。

其中，目标加密数据可以为安全感知系统对目标源数据进行分割加密处理后得到的数据。

可选的，在本实施例提出的第二种数据访问控制方法中，在安全感知系统对目标源数据进行分割加密处理的过程中：

安全感知系统对目标源数据进行分割处理，获得至少两份部分源数据；

安全感知系统获得由密钥管理系统生成的加密密钥，加密密钥与解密密钥相匹配；

安全感知系统使用加密密钥分别对各部分源数据进行加密处理，获得目标加密数据，目标加密数据包括相应数量的加密后部分源数据。

具体的，安全感知系统可以将目标源数据划分为至少两个部分源数据，之后使用加密密钥分别对划分出的各部分源数据进行加密处理，获得相应数量的加密后部分源数据，从而获得目标加密数据。比如，在例1中，目标源数据X可以为0100101001011110，安全感知系统可以将其划分为部分源数据A(0001011000010010)和部分源数据S(0001011001001100)，其中，A可以是随机生成的，而S可以由X减去A获得，之后，安全感知系统可以使用加密秘钥分别对A和S进行加密处理，获得加密后A数据和加密后S数据，需要说明的是，该种数据划分及加密处理方式可以有效提高数据分割加密处理效率。

其中，加密密钥可以是安全感知系统从密钥管理系统中请求获得的。可选的，密钥管理系统可以是云端系统自身；可选的，密钥管理系统也可以为非云端系统、非云服务器和非请求端设备的专门用于生成和管理秘钥的第三方系统。

具体的，安全感知系统可以在云服务提供者上传资源数据时，请求密钥管理系统生成加密密钥，并获得密钥管理系统返回的加密密钥。可选的，加密密钥可以由汉字、数字和字母等字符中的至少一种构成，比如，加密密钥可以为多位二进制数字。需要说明的是，本发明对于密钥管理系统生成加密密钥的过程不作限定，比如，密钥管理系统可以随机生成加密密钥。

可选的，当加密密钥为密钥管理系统随机生成的多位二进制数字时，数据加密性强，第三方破解难度高。

具体的，本发明可以在数据访问请求通过访问认证之后，从云存储中获得目标加密数据。

其中，目标源数据的加密密钥和解密密钥可以是相同的。本发明可以通过解密密钥对目标加密数据进行解密。可以理解的是，本发明可以在获得加密密钥之后，采用对称加密算法(如异或算法)对各部分源数据进行加密处理。

可以理解的是，即使数据盗取者可以从云存储中盗取出目标加密数据，数据盗取者也会由于没有解密密钥而无法对目标加密数据进行解密，从而无法获得目标源数据。因此，本发明可以有效提高目标源数据在云存储中保存的安全性，有效防止数据外泄。需要说明的是，即使是上传目标源数据的云服务提供者，其即使拥有在云存储中访问目标加密数据的权限，也会由于没有解密密钥而无法获得目标源数据。

S104、云服务器从密钥管理系统处获得目标加密数据的解密密钥；

可以理解的是，云服务器可以在对数据访问请求进行访问认证的过程中，确定数据访问请求对应请求的资源类型和数量，从而确定相应的资源标识。云服务器可以基于已确定的资源标识，向密钥管理系统请求相应的解密密钥。需要说明的是，密钥管理系统中可以对应保存资源数据的资源标识、解密密钥和解密算法。其中，当解密算法为各方中已预定义好的算法时，密钥管理系统中可以无需再保存解密算法，此时云服务器仅获得解密密钥即可以实现解密处理。

具体的，本发明可以在数据访问请求通过访问认证之后，向密钥管理系统请求获得目标加密数据的解密密钥。

可选的，本发明在数据访问请求通过访问认证之后，可以同时获得目标加密数据和解密密钥；也可以先行获得目标加密数据，之后再获得解密密钥；也可以先行获得解密密钥，之后再获得目标加密数据。

S105、云服务器使用解密密钥对目标加密数据进行解密处理，获得目标源数据；

具体的，云服务器可以在获得解密密钥和目标加密数据之后，利用解密密钥和相应的解密算法对目标加密数据进行解密，获得目标源数据。

可选的，在上述第二种数据访问控制方法中，步骤S105可以包括：

云服务器使用解密密钥分别对各加密后部分源数据进行解密处理，获得各部分源数据；

云服务器对各部分源数据进行合并处理，将合并处理后数据确定为目标源数据。

具体的，云服务器可以在获得各加密后部分源数据之后，对各加密后部分源数据进行解密，获得相应数量的部分源数据，之后云服务器可以将获得的各部分源数据进行相加，还原出目标源数据。比如，在上述例1中，云服务器可以在获得加密后A数据和加密后S数据之后，分别对加密后A数据和加密后S数据进行解密，相应获得A和S，之后将A和S相加，还原出目标源数据X。

S106、云服务器将目标源数据发送至请求端设备。

具体的，云服务器可以在还原出目标源数据之后，将目标源数据发送至请求端设备，为访问者提供云服务。

需要说明的是，本发明通过建立安全感知系统和数据访问控制系统，并在安全感知系统和数据访问控制系统间进行耦合，可以在接收到访问者发起的数据访问请求时，基于数据访问请求进行访问认证，实现数据访问控制，并仅在访问认证通过即在访问者具备资源访问权限和访问请求未存在安全隐患的情况下，再从云存储处获得目标加密数据，从密钥管理系统中获得解密密钥，在完成解密处理之后获得云服务提供者提供的目标源数据。本发明可以有效实现数据访问控制，有效提高目标源数据的数据安全性，防止目标源数据的外泄，保证请求端设备与云端系统交互过程中数据传输的安全性，提高请求端设备向云存储访问数据过程的安全性。

本实施例提出的数据访问控制方法，可以应用于云服务器，云服务器接收由请求端设备发送的用于请求目标源数据的数据访问请求，基于数据访问控制系统对数据访问请求进行访问认证，当数据访问请求通过访问认证时，云服务器从云存储处获得目标加密数据，从密钥管理系统处获得目标加密数据的解密密钥，使用解密密钥对目标加密数据进行解密处理，获得目标源数据，将目标源数据发送至请求端设备。本发明可以有效实现数据访问控制，有效提高目标源数据的数据安全性，防止目标源数据的外泄，保证请求端设备与云端系统交互过程中数据传输的安全性，提高请求端设备向云存储访问数据过程的安全性。

基于图1所示步骤，如图2所示，本实施例提出第三种数据访问控制方法。在该方法中，数据访问控制系统中包括上下文分析引擎和访问控制引擎，访问认证包括身份验证、资源请求认证和安全认证。此时，步骤S102可以包括：

S201、云服务器调用上下文分析引擎基于数据访问请求进行身份验证；其中，上下文分析引擎在基于数据访问请求进行身份验证的过程中，对数据访问请求进行上下文分析，从数据访问请求中获得访问者身份信息、资源请求信息和访问安全信息，基于访问者身份信息进行身份验证；

具体的，云服务器可以在获得数据访问请求之后，调用上下文分析引擎基于数据访问请求进行身份验证。

具体的，上下文分析引擎可以对数据访问请求中携带的信息进行上下文分析并进行分组，获得访问者身份信息、资源请求信息和访问安全信息。

其中，访问者身份信息、资源请求信息和访问安全信息中可以包括有相同信息和不相同信息，比如三者均可以包括角色信息。具体的，资源请求信息和访问安全信息均可以包括数据访问请求中携带的所有信息或部分信息，本发明对资源请求信息和访问安全信息所包含的具体信息不作限定。

其中，访问者身份信息中可以包括登录信息(如账户和密码)和角色信息。

可选的，身份验证可以包括登录验证和角色验证。

具体的，上下文分析引擎可以基于访问者身份信息中的登录信息进行登录验证，在登录验证通过之后，上下文分析引擎可以基于角色信息继续进行角色验证。可以理解的是，当登录验证和角色验证均通过时，上下文分析引擎可以确定身份验证通过。

可选的，上下文分析引擎也可以基于访问者身份信息中的登录信息和角色信息，同时进行登录验证和角色验证。

S202、在身份验证通过之后，云服务器调用访问控制引擎分别基于资源请求信息和访问安全信息，进行资源请求认证和安全认证。

具体的，云服务器在调用访问控制引擎进行资源请求认证和安全认证的过程中，访问控制引擎可以基于资源请求信息进行资源请求认证，可以基于访问安全信息进行安全认证。

可选的，在本实施例提出的第四种数据访问控制方法中，访问控制引擎中包括资源处理程序、推理机、策略检查器和抽象描述模块；此时，上述步骤S202可以包括：

在身份验证通过之后，云服务器调用资源处理程序与推理机，基于资源请求信息进行资源请求认证；

云服务器调用策略检查器与抽象描述模块，基于访问安全信息进行安全认证。

具体的，云服务器在调用资源处理程序与推理机进行资源请求认证的过程中，资源处理程序可以从资源请求信息中提取出请求的资源类型和资源数量等信息，并发送至推理机进行功能推理，确定访问者是否具有权限访问相应类型和数量的资源。

具体的，云服务器在调用策略检查器进行安全认证的过程中，策略检查器可以基于访问者所使用的请求端设备的空间位置和数据访问请求的请求时间，来进行安全认证。

具体的，空间位置可以由访问者的IP地址、地理位置和请求端设备等进行表征，当IP地址、地理位置或者请求端设备发生变更时，访问者本次数据访问请求可能属于异地登录和使用设备发生变更等情况，此时策略检查器可以确定本次数据访问请求的空间位置存在安全隐患；

具体的，策略检查器可以在指定时长内监测访问者是否存在频繁登录和频繁发起数据访问等情况，如果存在，则可以确定出现比如访问者的身份信息可能发生泄漏，或访问者的请求端设备遭受网络攻击等情况。

其中，云服务器在调用抽象描述模块进行安全认证的过程中，抽象描述模块可以分析并监控不同角色的访问者进行的数据访问过程，监控数据访问过程中的数据访问和执行动作是否出现越界情况，比如访问了未授权的资源和访问时长超限等，以进行安全认证。

可以理解的是，当上下文分析引擎进行的身份验证通过，且访问控制引擎进行的资源请求认证和访问安全认证均通过时，云服务器才可以确定对数据访问请求进行的访问认证通过，之后云服务器才可以执行向云存储获得目标加密数据，对目标加密数据进行解密，向访问者返回目标源数据，即向访问者提供云服务的过程。而当上下文分析引擎或访问控制引擎进行的认证未通过时，本发明可以禁止执行后续数据处理过程，禁止调用对访问控制引擎进行安全认证，禁止向访问者提供云服务，可以在保证数据安全性的情况下减少无谓的资源。

本实施例提出的数据访问控制方法，可以调用上下文分析引擎对数据访问请求进行身份验证，调用访问控制引擎进行资源请求认证和安全访问认证，进一步实现数据访问控制，提高数据安全性。

与图1所示步骤相对应，如图3所示，本实施例提出第一种数据访问控制装置，应用于云服务器，该装置包括：接收单元101、认证单元102、第一获得单元103、第二获得单元104、第一解密单元105和发送单元106；其中：

接收单元101，用于接收由请求端设备发送的用于请求目标源数据的数据访问请求；

具体的，请求端设备可以为访问者使用的向云服务器发起数据访问请求的电子设备，如手机和平板电脑等。其中，访问者可以为用户、管理者和技术人员等。

其中，目标源数据可以为请求端设备请求云服务器提供的目标数据。需要说明的是，目标源数据可以为二进制数据，即可以是由0和1构成的数据。

可以理解的是，数据访问请求中可以携带有访问者的身份信息和资源请求信息等。其中，访问者的身份信息可以包括登录信息和角色信息(包括用户和管理人员等)等，资源请求信息可以包括请求资源类型和数据量等。

认证单元102，用于基于数据访问控制系统对数据访问请求进行访问认证；

其中，数据访问控制系统可以为预先设置在云服务器中的用于对数据访问请求进行访问认证的系统。

具体的，云服务器可以在接收到数据访问请求之后，调用数据访问控制系统对数据访问请求进行访问认证，确定数据访问请求是否有效、合法和具有权限。

可选的，访问认证可以包括身份验证、资源请求认证和安全认证等认证方式中的至少一种。

可选的，云服务器可以基于数据访问请求中携带的访问者的身份信息进行身份验证，确定访问者是否已获得登录权限，确定访问者的角色。

可选的，云服务器可以基于数据访问请求中携带的资源请求信息进行资源请求认证，确定访问者是否有权限请求相应类型和数量的资源，实现对访问者资源请求的控制。

可选的，云服务器可以基于数据访问请求中携带的访问者IP地址和访问时间等相关访问安全信息，确定本次访问是否存在安全隐患。

可以理解的是，本发明在通过对数据访问请求的访问认证时，确定可以在安全环境下，向访问者授权相应的资源请求权限，以及向访问者所使用的请求端设备发送相应类型和数量的资源，为访问者提供云服务。

其中，当数据访问请求的访问认证未通过时，即访问认证失败时，本发明可以确定访问者未具备资源请求权限，或者确定本次数据访问环境不安全等情况时，禁止向访问者提供其请求的资源。因此，本发明可以防止未经登录授权、资源访问授权或者访问存在安全隐患的访问者从云存储中访问数据。

可选的，本发明可以在预定义访问认证时，针对不同角色的访问者创建相应的访问规则，控制不同角色的访问者访问相应类型和数量的资源，限制不同角色的访问者对敏感数据的访问，实现数据访问控制，提高数据安全性和系统安全性。

第一获得单元103，用于当数据访问请求通过访问认证时，从云存储处获得目标加密数据，目标加密数据是由云存储的安全感知系统对目标源数据进行分割加密处理后获得的；

其中，安全感知系统可以为用于对云服务提供者(如云服务提供商或普通用户等)提供的资源数据进行加密处理的系统。需要说明的是，云存储和安全感知系统可以是同一云端系统中的组成部分，云端系统中可以预先建立云存储的安全感知系统。在云服务提供者上传资源数据时，安全感知系统可以对资源数据进行加密，并将加密后的数据发送至云存储中进行保存。

其中，目标加密数据可以为安全感知系统对目标源数据进行分割加密处理后得到的数据。

可选的，在本实施例提出的第二种数据访问控制装置中，在安全感知系统对目标源数据进行分割加密处理的过程中：

安全感知系统对目标源数据进行分割处理，获得至少两份部分源数据；

安全感知系统获得由密钥管理系统生成的加密密钥，加密密钥与解密密钥相匹配；

安全感知系统使用加密密钥分别对各部分源数据进行加密处理，获得目标加密数据，目标加密数据包括相应数量的加密后部分源数据。

具体的，安全感知系统可以将目标源数据划分为至少两个部分源数据，之后使用加密密钥分别对划分出的各部分源数据进行加密处理，获得相应数量的加密后部分源数据，从而获得目标加密数据。

其中，加密密钥可以是安全感知系统从密钥管理系统中请求获得的。可选的，密钥管理系统可以是云端系统自身；可选的，密钥管理系统也可以为非云端系统、非云服务器和非请求端设备的专门用于生成和管理秘钥的第三方系统。

具体的，安全感知系统可以在云服务提供者上传资源数据时，请求密钥管理系统生成加密密钥，并获得密钥管理系统返回的加密密钥。可选的，加密密钥可以由汉字、数字和字母等字符中的至少一种构成，比如，加密密钥可以为多位二进制数字。需要说明的是，本发明对于密钥管理系统生成加密密钥的过程不作限定，比如，密钥管理系统可以随机生成加密密钥。

可选的，当加密密钥为密钥管理系统随机生成的多位二进制数字时，数据加密性强，第三方破解难度高。

具体的，本发明可以在数据访问请求通过访问认证之后，从云存储中获得目标加密数据。

其中，目标源数据的加密密钥和解密密钥可以是相同的。本发明可以通过解密密钥对目标加密数据进行解密。可以理解的是，本发明可以在获得加密密钥之后，采用对称加密算法(如异或算法)对各部分源数据进行加密处理。

可以理解的是，即使数据盗取者可以从云存储中盗取出目标加密数据，数据盗取者也会由于没有解密密钥而无法对目标加密数据进行解密，从而无法获得目标源数据。因此，本发明可以有效提高目标源数据在云存储中保存的安全性，有效防止数据外泄。需要说明的是，即使是上传目标源数据的云服务提供者，其即使拥有在云存储中访问目标加密数据的权限，也会由于没有解密密钥而无法获得目标源数据。

第二获得单元104，用于从密钥管理系统处获得目标加密数据的解密密钥；

可以理解的是，云服务器可以在对数据访问请求进行访问认证的过程中，确定数据访问请求对应请求的资源类型和数量，从而确定相应的资源标识。云服务器可以基于已确定的资源标识，向密钥管理系统请求相应的解密密钥。需要说明的是，密钥管理系统中可以对应保存资源数据的资源标识、解密密钥和解密算法。其中，当解密算法为各方中已预定义好的算法时，密钥管理系统中可以无需再保存解密算法，此时云服务器仅获得解密密钥即可以实现解密处理。

具体的，本发明可以在数据访问请求通过访问认证之后，向密钥管理系统请求获得目标加密数据的解密密钥。

可选的，本发明在数据访问请求通过访问认证之后，可以同时获得目标加密数据和解密密钥；也可以先行获得目标加密数据，之后再获得解密密钥；也可以先行获得解密密钥，之后再获得目标加密数据。

第一解密单元105，用于使用解密密钥对目标加密数据进行解密处理，获得目标源数据；

具体的，云服务器可以在获得解密密钥和目标加密数据之后，利用解密密钥和相应的解密算法对目标加密数据进行解密，获得目标源数据。

可选的，在上述第二种数据访问控制装置中，第一解密单元105，包括：第二解密单元、合并单元和确定单元，其中：

第二解密单元，用于使用解密密钥分别对各加密后部分源数据进行解密处理，获得各部分源数据；

合并单元，用于对各部分源数据进行合并处理；

确定单元，用于将合并处理后数据确定为目标源数据。

具体的，云服务器可以在获得各加密后部分源数据之后，对各加密后部分源数据进行解密，获得相应数量的部分源数据，之后云服务器可以将获得的各部分源数据进行相加，还原出目标源数据。

发送单元106，用于将目标源数据发送至请求端设备。

具体的，云服务器可以在还原出目标源数据之后，将目标源数据发送至请求端设备，为访问者提供云服务。

需要说明的是，本发明通过建立安全感知系统和数据访问控制系统，并在安全感知系统和数据访问控制系统间进行耦合，可以在接收到访问者发起的数据访问请求时，基于数据访问请求进行访问认证，实现数据访问控制，并仅在访问认证通过即在访问者具备资源访问权限和访问请求未存在安全隐患的情况下，再从云存储处获得目标加密数据，从密钥管理系统中获得解密密钥，在完成解密处理之后获得云服务提供者提供的目标源数据。本发明可以有效实现数据访问控制，有效提高目标源数据的数据安全性，防止目标源数据的外泄，保证请求端设备与云端系统交互过程中数据传输的安全性，提高请求端设备向云存储访问数据过程的安全性。

本实施例提出的数据访问控制装置，可以有效实现数据访问控制，有效提高目标源数据的数据安全性，防止目标源数据的外泄，保证请求端设备与云端系统交互过程中数据传输的安全性，提高请求端设备向云存储访问数据过程的安全性。

基于图3，如图4所示，本实施例提出第三种数据访问控制装置。在该装置中，数据访问控制系统中包括上下文分析引擎和访问控制引擎，访问认证包括身份验证、资源请求认证和安全认证；认证单元102，包括：第一调用单元201和第二调用单元202；其中：

第一调用单元201，用于调用上下文分析引擎基于数据访问请求进行身份验证；其中，上下文分析引擎在基于数据访问请求进行身份验证的过程中，对数据访问请求进行上下文分析，从数据访问请求中获得访问者身份信息、资源请求信息和访问安全信息，基于访问者身份信息进行身份验证；

具体的，云服务器可以在获得数据访问请求之后，调用上下文分析引擎基于数据访问请求进行身份验证。

具体的，上下文分析引擎可以对数据访问请求中携带的信息进行上下文分析并进行分组，获得访问者身份信息、资源请求信息和访问安全信息。

其中，访问者身份信息、资源请求信息和访问安全信息中可以包括有相同信息和不相同信息，比如三者均可以包括角色信息。具体的，资源请求信息和访问安全信息均可以包括数据访问请求中携带的所有信息或部分信息，本发明对资源请求信息和访问安全信息所包含的具体信息不作限定。

其中，访问者身份信息中可以包括登录信息(如账户和密码)和角色信息。

可选的，身份验证可以包括登录验证和角色验证。

具体的，上下文分析引擎可以基于访问者身份信息中的登录信息进行登录验证，在登录验证通过之后，上下文分析引擎可以基于角色信息继续进行角色验证。可以理解的是，当登录验证和角色验证均通过时，上下文分析引擎可以确定身份验证通过。

可选的，上下文分析引擎也可以基于访问者身份信息中的登录信息和角色信息，同时进行登录验证和角色验证。

第二调用单元202，用于在身份验证通过之后，调用访问控制引擎分别基于资源请求信息和访问安全信息，进行资源请求认证和安全认证。

具体的，云服务器在调用访问控制引擎进行资源请求认证和安全认证的过程中，访问控制引擎可以基于资源请求信息进行资源请求认证，可以基于访问安全信息进行安全认证。

可选的，在本实施例提出的第四种数据访问控制装置中，访问控制引擎中包括资源处理程序、推理机、策略检查器和抽象描述模块；第二调用单元202，包括：第三调用单元和第四调用单元；其中：

第三调用单元，用于调用资源处理程序与推理机，基于资源请求信息进行资源请求认证；

第四调用单元，用于调用策略检查器与抽象描述模块，基于访问安全信息进行安全认证。

具体的，云服务器在调用资源处理程序与推理机进行资源请求认证的过程中，资源处理程序可以从资源请求信息中提取出请求的资源类型和资源数量等信息，并发送至推理机进行功能推理，确定访问者是否具有权限访问相应类型和数量的资源。

具体的，云服务器在调用策略检查器进行安全认证的过程中，策略检查器可以基于访问者所使用的请求端设备的空间位置和数据访问请求的请求时间，来进行安全认证。

具体的，空间位置可以由访问者的IP地址、地理位置和请求端设备等进行表征，当IP地址、地理位置或者请求端设备发生变更时，访问者本次数据访问请求可能属于异地登录和使用设备发生变更等情况，此时策略检查器可以确定本次数据访问请求的空间位置存在安全隐患；

具体的，策略检查器可以在指定时长内监测访问者是否存在频繁登录和频繁发起数据访问等情况，如果存在，则可以确定出现比如访问者的身份信息可能发生泄漏，或访问者的请求端设备遭受网络攻击等情况。

其中，云服务器在调用抽象描述模块进行安全认证的过程中，抽象描述模块可以分析并监控不同角色的访问者进行的数据访问过程，监控数据访问过程中的数据访问和执行动作是否出现越界情况，比如访问了未授权的资源和访问时长超限等，以进行安全认证。

本实施例提出的数据访问控制装置，可以调用上下文分析引擎对数据访问请求进行身份验证，调用访问控制引擎进行资源请求认证和安全访问认证，进一步实现数据访问控制，提高数据安全性。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。