[发明专利]用于安全容器的设备访问方法及系统

权利要求书

1.一种用于安全容器的设备访问方法，包括：

在安全容器内创建第一通信模块；

在所述安全容器所在服务器上创建用于与所述第一通信模块通信的第二通信模块；

在所述服务器上创建与所述安全容器对应的第二设备节点，并为所述第二设备节点分配物理设备的至少部分硬件资源；

在所述安全容器内创建对应于所述至少部分硬件资源的第一设备节点；以及

将所述安全容器中的应用程序针对所述第一设备节点的访问操作信息经由所述第一通信模块和所述第二通信模块传递到所述第二设备节点。

2.根据权利要求1所述的方法，其中，所述访问操作信息包括：需要调用硬件资源执行的任务指令；和/或需要发送给所述物理设备的数据发送请求。

3.根据权利要求2所述的方法，其中，所述访问操作信息为所述数据发送请求，该方法还包括：

设备驱动响应于从所述第二设备节点获取到所述数据发送请求，申请用于存储数据的内存空间，并确定所述内存空间所对应的主机物理地址和客机虚拟地址之间的映射关系，所述主机物理地址为所述内存空间在所述服务器上的物理地址，所述客机虚拟地址为所述内存空间在所述安全容器中的虚拟地址；以及

所述设备驱动经由所述第二通信模块和所述第一通信模块，将所述客机虚拟地址发送给所述应用程序，以由所述应用程序将数据拷贝到所述客机虚拟地址。

4.根据权利要求3所述的方法，还包括：

所述设备驱动根据所述映射关系，从所述主机物理地址获取所述数据，并将所述数据发送给所述物理设备。

5.根据权利要求1所述的方法，在所述安全容器内创建第一设备节点的步骤包括：

在所述安全容器内创建设备节点模拟模块，由所述设备节点模拟模块在所述安全容器中模拟得到虚拟的第二设备节点。

6.根据权利要求5所述的方法，其中，所述访问操作信息为任务指令，将所述安全容器中的应用程序针对所述第一设备节点的访问操作信息经由所述第一通信模块和所述第二通信模块传递到所述第二设备节点的步骤包括：

所述安全容器中的应用程序通过所述第一设备节点发出任务指令；

所述设备节点模拟模块对所述第一设备节点进行监测，获取所述任务指令，并通过所述第一通信模块将所述任务指令发送到所述第二通信模块；以及

所述第二通信模块将所述任务指令传递到与所述安全容器对应的第二设备节点。

7.根据权利要求1至6中任一项所述的方法，其中，

所述第一设备节点位于所述安全容器的内核空间，并且/或者

所述第二设备节点位于所述服务器的内核空间，并且/或者

所述第一通信模块位于所述安全容器的用户空间，并且/或者

所述第二通信模块位于所述服务器的用户空间。

8.一种用于安全容器的设备访问系统，包括：客户端装置和服务端装置，

所述服务端装置设置在所述安全容器所在宿主机内，包括与所述安全容器对应的第二设备节点以及用于与所述第一通信模块通信的第二通信模块，第二设备节点分配有物理设备的至少部分硬件资源，

所述客户端装置设置在所述安全容器内，包括第一通信模块和对应于所述至少部分硬件资源的第一设备节点，

所述客户端装置将所述安全容器中的应用程序针对所述第一设备节点的访问操作信息经由所述第一通信模块和所述第二通信模块传递到所述第二设备节点。

9.根据权利要求8所述的系统，其中，

所述访问操作信息为所述数据发送请求，设备驱动响应于从所述第二设备节点获取到所述数据发送请求，申请用于存储数据的内存空间，并确定所述内存空间所对应的主机物理地址和客机虚拟地址之间的映射关系，所述主机物理地址为所述内存空间在所述宿主机上的物理地址，所述客机虚拟地址为所述内存空间在所述安全容器中的虚拟地址，

所述设备驱动经由所述第二通信模块和所述第一通信模块，将所述客机虚拟地址发送给所述应用程序，以由所述应用程序将数据拷贝到所述客机虚拟地址。