为了避免用户程序错误的使用特权指令，操作系统在（）下工作，用户程序在（）下工作。