CN107977572A

CN107977572A - 一种应用程序运行方法和装置、智能终端

Info

Publication number: CN107977572A
Application number: CN201610985288.1A
Authority: CN
Inventors: 贾嘉
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2016-10-25
Filing date: 2016-10-25
Publication date: 2018-05-01
Anticipated expiration: 2036-10-25
Also published as: CN107977572B; WO2018076699A1

Abstract

本发明公开了一种应用程序运行方法和装置、智能终端，其中，该方法包括：设置智能终端的内核的命名空间的参数状态和控制组群的参数状态；将多层统一文件系统补丁合并至，设置了命名空间的参数状态和控制组群的参数状态的智能终端的内核中；对合并后的智能终端的内核进行编译，生成智能终端的内核镜像；在所述镜像中运行容器，以使得所述智能终端操作系统的应用程序在所述容器中运行。本发明有效地解决了现有技术中智能终端的应用程序启动速度相对较慢、资源占用相对较多的技术问题，达到了在占用系统资源少的情况下，安全运行应用程序的技术效果。

Description

一种应用程序运行方法和装置、智能终端

技术领域

本发明涉及移动通讯领域，特别是涉及一种应用程序运行方法和装置、智能终端。

背景技术

目前基于Linux操作系统的智能终端，安全性和运行效率始终是其短板。如果采用虚拟机的方式对这些智能中运行的应用程序进行隔离，那么可以有效避免恶意程序对系统的破坏。

然而，基于Linux操作系统的智能终端因为存储空间、内存空间等问题的显示，无法在其上运行虚拟机。

针对如何有效隔离基于Linux操作系统的智能终端上的应用程序，又同时满足启动速度和资源占用的要求，目前尚未提出有效的解决方案。

发明内容

本发明提供一种应用程序运行方法和装置、智能终端，用以解决现有技术中智能终端的应用程序启动速度相对较慢、资源占用相对较多的技术问题。

为解决上述技术问题，一方面，本发明提供一种应用程序运行方法，包括：

设置智能终端的内核的命名空间的参数状态和控制组群的参数状态；

将多层统一文件系统补丁合并至，设置了命名空间的参数状态和控制组群的参数状态的智能终端的内核中；

对合并后的智能终端的内核进行编译，生成智能终端的内核镜像；

在所述镜像中运行容器，以使得所述智能终端操作系统的应用程序在所述容器中运行。

进一步，设置智能终端的内核的命名空间的参数状态和控制组群的参数状态，包括：

设置所述智能终端的内核的命名空间为使能状态；

设置所述智能终端的内核的控制群组为使能状态。

进一步，设置所述智能终端的内核的命名空间为使能状态，包括：

设置所述智能终端的内核的以下命名空间为使能状态：pid、net、ipc、mut、uts和user。

进一步，所述智能终端为基于Linux操作系统的智能终端。

进一步，所述智能终端为运行安卓操作系统的终端。

进一步，所述智能终端包括以下至少之一：平板电脑和手机。

另一方面，本发明还提供一种应用程序运行装置，包括：

设置模块，用于设置智能终端的内核的命名空间的参数状态和控制组群的参数状态；

合并模块，用于将多层统一文件系统补丁合并至，设置了命名空间的参数状态和控制组群的参数状态的智能终端的内核中；

编译模块，用于对合并后的智能终端的内核进行编译，生成智能终端的内核镜像；

运行模块，用于在所述镜像中运行容器，以使得所述智能终端操作系统的应用程序在所述容器中运行。

进一步，所述设置模块包括：

第一设置单元，用于设置所述智能终端的内核的命名空间为使能状态；

第二设置单元，用于设置所述智能终端的内核的控制群组为使能状态。

进一步，所述第一设置单元具体用于设置所述智能终端的内核的以下命名空间为使能状态：pid、net、ipc、mut、uts和user。

进一步，所述智能终端为基于Linux操作系统的智能终端。

进一步，所述智能终端为运行安卓操作系统的终端。

另一方面，本发明还提供一种智能终端，通过Docker技术运行应用程序。

进一步，所述智能终端为基于Linux操作系统的智能终端。

本发明有益效果如下：对于基于Linux操作系统的智能终端，通过设置智能终端的内核的命名空间的参数状态和控制组群的参数状态，使得该类智能终端可以通过Docker技术运行应用程序，从而解决了现有技术中智能终端的应用程序启动速度相对较慢、资源占用相对较多的技术问题，达到了在占用系统资源少的情况下，安全运行应用程序的技术效果。

附图说明

图1是本发明实施例中应用程序运行方法的方法流程图；

图2是本发明实施例中基于Linux系统的智能终端移植/运行Docker方法流程图；

图3是本发明实施例中虚拟机的架构示意图；

图4是本发明实施例中Docker技术虚拟化的架构示意图；

图5是本发明实施例中应用程序运行装置的结构框图。

具体实施方式

为了解决现有技术中智能终端的应用程序启动速度相对较慢、资源占用相对较多的技术问题的问题，本发明提供了一种应用程序运行方法，以下结合附图以及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不限定本发明。

发明人考虑到运行于Linux操作系统的智能终端，受限于系统的设计问题，应用程序可以利用系统本身的权限获取root用户权限，植入恶意代码或非法获取用户信息，从而导致各种安全问题。

如果在基于Linux操作系统的智能终端中运行虚拟机进行应用程序隔离，那么会受限于智能终端的硬件性能，例如：内存和存储空间等，从而导致虚拟机出现启动慢、占用资源过多等问题。

进一步的，考虑到Docker提供了基于软件容器的自动化部署，且Docker技术是基于Linux操作系统的，提供了额外的软件抽象层和操作系统层的虚拟化实现，使得软件容器可以在单独的Linux实例中运行，可以达到轻量、启动快和资源占用小等优点。

因此，考虑到结合Docker的技术特性，可以将其运行在基于Linux操作系统的智能终端中，既可以有效隔离应用程序，也可以满足启动速度和资源占用等的要求，可以有效提升基于Linux操作系统的智能终端的安全性。

然而，目前Docker技术仅运行于服务器端，尚未移植至基于Linux操作系统的智能终端中，为此，在本发明实施例中提供了一种应用程序运行方法，如图1所示，可以包括如下步骤：

步骤101：设置智能终端的内核的命名空间的参数状态和控制组群的参数状态；

所有LXC(Linux Container)进程在Docker中的父进程为Docker进程，每个LXC进程具有不同的namespace，同时允许LXC之间嵌套。通过对namespace的隔离，就可以实现不同容器从操作系统层面进行隔离。同时，LXC通过cgroup管理每个容器所能使用的资源。因此，通过设置智能终端的内核的命名空间为使能状态，设置智能终端的内核的控制群组为使能状态，从而使得智能终端可以运行Docker技术。

进一步的，上述智能终端可以是基于Linux操作系统的的智能终端。考虑到Docker技术是运行于Linux操作系统的，因此，基于Linux操作系统的智能终端提供了namespace(命名空间)和cgroup(控制组群)等机制，可以满足Docker的运行要求。

其中，命名空间是用来组织和重用代码的，就像名字一样，之所以提出NameSpace(名字空间)，是因为可用的单词数太少，并且不同的人写的程序不可能所有的变量都没有重名现象，对于库来说，这个问题尤其严重，如果两个人写的库文件中出现同名的变量或函数(不可避免)，使用起来就有问题了。为了解决这个问题，引入了名字空间这个概念，通过使用namespace xxx；所使用的库函数或变量就是在该名字空间中定义的，这样就不会引起不必要的冲突。

一般情况下，命名空间是唯一识别的一套名字，这样当对象来自不同的地方但是名字相同的时候就不会含糊不清了。

上述设置智能终端的内核的命名空间为使能状态可以，包括：设置所述智能终端的内核的以下命名空间为使能状态：pid、net、ipc、mut、uts和user。

使能kernel namespace：

CONFIG_NAMESPACES＝y

CONFIG_UTS_NS＝y

CONFIG_IPC_NS＝y

CONFIG_USER_NS＝y

CONFIG_PID_NS＝y

CONFIG_NET_NS＝y

设置智能终端的内核的控制群组为使能状态可以采用如下方式实现：使能kernelcgroup，即：CONFIG_CGROUPS＝y。

步骤102：将多层统一文件系统补丁合并至，设置了命名空间的参数状态和控制组群的参数状态的智能终端的内核中；

具体地，可以采用以下方式进行补丁合并：合入AUFS patch至kernel，例如：applyaufs4-kbuild.patch to kernel

apply aufs4-base.patch to kernel

apply aufs4-mmap.patch to kernel

步骤103：对合并后的智能终端的内核进行编译，生成智能终端的内核镜像；

步骤104：在所述镜像中运行容器，以使得所述智能终端操作系统的应用程序在所述容器中运行。

上述的智能终端可以是运行安卓操作系统的终端，例如，可以是平板电脑、手机、touch等。

即，通过上述方式可以实现在智能终端上使用Docker技术运行应用程序，其中，Docker技术利用LXC来实现类似虚拟机的功能，从而利用更加节省的硬件资源提供给用户更多的计算资源。同虚拟机的方式不同，Docker技术是基于操作系统级虚拟化的，而非硬件虚拟化的。

Docker技术所实现的隔离性主要来自Linux内核的namespace,其中，pid,net,ipc,mnt,uts，user等namespace将Docker技术中每个容器的进程,网络,消息,文件系统，用户/组ID等隔离开。同时，可以采用cgroup管理每一个容器使用的资源。

安卓系统手机运行于Linux操作系统，支持上述namespace和cgroup。可通过添加Google Go语言运行时库，编译移植Docker技术至安卓系统手机，并配置namespace和cgroup，实现安卓系统手机运行Docker，虚拟化应用程序。

下面结合一具体实施例对上述应用程序运行方法进行说明，然而值得注意的是，该具体实施例仅是为了更好地说明本发明，并不构成对本发明的不当限定。

在本例中提供了一种基于Linux系统的智能终端移植/运行Docker方法，如图2所示，可以包括如下步骤：

步骤1：下载Google或第三方Android Linux kernel(已包含Docker相关修改/补丁)

步骤2：编译并安装AUFS模块(Linux kernel module)

步骤3：移植Docker engine

例如：cd/path/to/Docker-src

make build&&make binary

步骤4：基于Docker，运行Android应用程序

例如：Docker run android/bin/echo"Hello world"。

具体地，可以通过如下的命令步骤实现：

S1：使能Android Linux kernel namespace

即：

CONFIG_NAMESPACES＝y

CONFIG_UTS_NS＝y

CONFIG_IPC_NS＝y

CONFIG_USER_NS＝y

CONFIG_PID_NS＝y

CONFIG_NET_NS＝y

S2：使能Android Linux kernel cgroup

即：CONFIG_CGROUPS＝y

S3：合入AUFS patch至Android Linux kernel

即：

apply aufs4-kbuild.patch to kernel

apply aufs4-base.patch to kernel

apply aufs4-mmap.patch to kernel

S4：编译Android Linux kernel image

即：./build.sh-i bootimg

S5：移植Docker engine

例如：cd/path/to/Docker-src

make build&&make binary

S6：基于Docker，运行Android应用程序

例如：Docker run android/bin/echo"Hello world"。

在上例中，基于container(容器)，即Linux kernel namespace，实现每个用户实例之间相互隔离，互不影响，因此，可以隔离智能终端(例如：安卓系统手机)中的应用进程，避免恶意程序非法访问和用户数据泄露。

进一步的，因为是基于LXC(Linux Container)轻量级虚拟化的特点，与传统虚拟机相比，Docker技术能够每次只加载每个container变化的部分，因此可以加快启动速度，降低资源占有率，适合类似安卓系统手机等内存和存储空间受限的设备。且Docker技术基于Linux kernel cgroup控制资源，每个用户实例可按需提供其计算资源，所使用的资源可以被计量，且是基于AUFS文件系统的，因此每个用户实例可以方便地被复制、移动和重建。

如图3所示，为虚拟机的架构示意图，如图4所示，为Docker技术虚拟化的架构示意图，由图3和图4对比可以发现，图3的虚拟机机构相对Docker技术虚拟多了GUEST OS，即，在有三个应用程序的情况下，会多三个虚拟操作系统，资源占用等必然会增多，且随着应用程序的增多，资源占用更多。

基于同一发明构思，本发明实施例中还提供了一种应用程序运行装置，如下面的实施例所述。由于应用程序运行装置解决问题的原理与应用程序运行方法相似，因此应用程序运行装置的实施可以参见应用程序运行方法的实施，重复之处不再赘述。以下所使用的，术语“单元”或者“模块”可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。图5是本发明实施例的应用程序运行装置的一种结构框图，如图5所示，可以包括：设置模块501、合并模块502、编译模块503和运行模块504，下面对该结构进行说明。

设置模块501，用于设置智能终端的内核的命名空间的参数状态和控制组群的参数状态；

合并模块502，用于将多层统一文件系统补丁合并至，设置了命名空间的参数状态和控制组群的参数状态的智能终端的内核中；

编译模块503，用于对合并后的智能终端的内核进行编译，生成智能终端的内核镜像；

运行模块504，用于在所述镜像中运行容器，以使得所述智能终端操作系统的应用程序在所述容器中运行。

在一个实施方式中，设置模块501可以包括：第一设置单元，用于设置所述智能终端的内核的命名空间为使能状态；第二设置单元，用于设置所述智能终端的内核的控制群组为使能状态。

在一个实施方式中，第一设置单元具体可以用于设置所述智能终端的内核的以下命名空间为使能状态：pid、net、ipc、mut、uts和user。

在一个实施方式中，上述智能终端可以是基于Linux操作系统的的智能终端。

在一个实施方式中，所述智能终端可以是运行安卓操作系统的终端。

在一个实施方式中，所述智能终端可以包括但不限于以下至少之一：平板电脑和手机。

在本发明实施例中还提供了一种智能终端，该智能终端可以通过Docker技术运行应用程序。上述智能终端可以是基于Linux操作系统的智能终端。

在另外一个实施例中，还提供了一种软件，该软件用于执行上述实施例及优选实施方式中描述的技术方案。

在另外一个实施例中，还提供了一种存储介质，该存储介质中存储有上述软件，该存储介质包括但不限于：光盘、软盘、硬盘、可擦写存储器等。

从以上的描述中，可以看出，本发明实施例实现了如下技术效果：对于基于Linux操作系统的智能终端，通过设置智能终端的内核的命名空间的参数状态和控制组群的参数状态，使得该类智能终端可以通过Docker技术运行应用程序，从而解决了现有技术中智能终端的应用程序启动速度相对较慢、资源占用相对较多的技术问题，达到了在占用系统资源少的情况下，安全运行应用程序的技术效果。

显然，本领域的技术人员应该明白，上述的本发明实施例的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明实施例不限制于任何特定的硬件和软件结合。

尽管为示例目的，已经公开了本发明的优选实施例，本领域的技术人员将意识到各种改进、增加和取代也是可能的，因此，本发明的范围应当不限于上述实施例。

Claims

1.一种应用程序运行方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，设置智能终端的内核的命名空间的参数状态和控制组群的参数状态，包括：

设置所述智能终端的内核的命名空间为使能状态；

设置所述智能终端的内核的控制群组为使能状态。

3.根据权利要求2所述的方法，其特征在于，设置所述智能终端的内核的命名空间为使能状态，包括：

4.根据权利要求1至3中任一项所述的方法，其特征在于，所述智能终端为基于Linux操作系统的智能终端。

5.根据权利要求4所述的方法，其特征在于，所述智能终端为运行安卓操作系统的终端。

6.根据权利要求1至3中任一项所述的方法，其特征在于，所述智能终端包括以下至少之一：平板电脑和手机。

7.一种应用程序运行装置，其特征在于，包括：

8.根据权利要求7所述的装置，其特征在于，所述设置模块包括：

9.根据权利要求8所述的装置，其特征在于，所述第一设置单元具体用于设置所述智能终端的内核的以下命名空间为使能状态：pid、net、ipc、mut、uts和user。

10.根据权利要求7至9中任一项所述的装置，其特征在于，所述智能终端包括以下至少之一：平板电脑和手机。

11.一种智能终端，其特征在于，通过docker技术运行应用程序。

12.根据权利要求11所述的智能终端，其特征在于，所述智能终端为基于Linux操作系统的智能终端。