常见的容器安全威胁有哪些_压力容器安全防护措施有哪些

网络安全威胁

相比传统的云平台，容器云平台在网络方面一般会有比较大的差异，伴随着这些差异的引入，也引入了一些网络方面的安全问题。比如因为网络隔离模型的变化、资源共享方式的变化而出现的新的安全隐患，针对这两点变化我们分别看下他们带来的安全问题。

1网络模型

容器云平台中网络隔离大多使用逻辑隔离代替物理隔离。

物理隔离一般不会直接或者间接的连接公共网络，企业采用物理隔离网络一般是为了保护自己的各种各样的硬件设备和通信链路不被攻击，常见的攻击来自自然灾害、人为破坏等，被保护的硬件实体设备常见的有企业的路由器、工作站和其他的各种网络服务器等。从实际情况来看，一般只有使用了内网和公共网进行的物理隔离才能真正保证内部信息网络不被来自外界的攻击影响，比如来自黑客的攻击。

网络的逻辑隔离一般需要借助逻辑隔离设备来实现，从名称即可看出逻辑隔离器是不同网络间的一种中间件，用于连接不同的网络，常见的网络逻辑设备主要有防火墙、网关等。需要注意的是被隔离的网络之间仍然有物理的数据链路进行联通，被联通的两个网络之间不能直接的进行数据交换。

相比逻辑隔离物理隔离的安全性更高，企业网络多采用物理隔离代替逻辑隔离，以此来保证不同级别的组织或者部门的信息安全。容器云平台网络上采用逻辑隔离，来隔离不同的租户或者项目，一定程度上增加了云平台在网络方面的安全隐患。

2资源共享

容器云在网络方面的安全问题，除了上面我们讲到的网络逻辑隔离引入的问题，还有资源共享方面的问题。和传统的云平台一样，容器云平台一般也会有多租户的需求(公有云肯定会有多租户的存在，即使是私有云一般也会有多租户的需求，比如不同的子公司、同公司不同的部门一般都会有多个租户的需求)。

相比传统的云平台，容器云的多租户资源共享引入了更多的风险，在容器云中多个租户共享计算资源，很可能会因为隔离措施不当导致不同租户的逻辑网络被意外打通(国内某知名云厂商曾经发生过类似的问题)，导致用户的资源被其他的用户意外的访问到，这种情况下用户可能会被其他的用户恶意攻击，导致数据泄露等严重的问题。容器云平台中通常借助网络防火墙/IPS来进行虚拟化，这种方式也是很常用的方式但是进入云平台之后，尤其是在用户众多的公有云场景中，网络防火墙这种虚拟化方式就不会暴露出虚拟化能力不足的问题，这个问题会导致已经建立的静态网络分区与隔离模型不能满足容器云中动态资源的共享需求。

主机安全威胁

容器云平台目前基本以Docker容器和kubernetes容器编排(kubernetes为主流，当然也有支持多种编排工具的厂商)。了解Docker的同学应该都知道Docker容器是通过命名空间(namespace)的方式将文件系统、进程、各种设备、网络等资源进行了隔离。除了对资源的隔离，Docker容器还对容器具有的权限进行了限制，对CPU、内存等资源的使用也进行了相应的限制。对Docker容器资源的限制、隔离的目的是为了让容器之间互不影响。

容器与容器所在的宿主机共享内核、文件系统、各种硬件等资源。容器可以部署在物理机上，也可以选择部署在虚拟主机上。

由于Docker容器与宿主机共享内核、文件系统等资源，Docker本身的隔离性不如虚拟机主机完善，因此如果Docker自身出现漏洞，可能会波及问题Docker容器所在的宿主机，由于Docker容器所在的宿主机上可能存在当前租户的其他容器，也可能存在其他租户的容器，所以问题最终可能会影响到其他的容器，并可能会破坏容器云平台上的宿主机。

压力容器的分类及压力等级、品种的划分
A1 压力容器类别划分
A11 介质分组
压力容器的介质分为以下两组，包括气体、液化气体或者最高工作温度高于或者等于
标准沸点的液体。
(1)第一组介质：毒性程度为极度危害、高度危害的化学介质，易爆介质，液化气体。
(2)第二组介质：除第一组以外的介质。
A12 介质危害性
介质危害性指压力容器在生产过程中因事故致使介质与人体大量接触，发生爆炸或者
因经常泄漏引起职业性慢性危害的严重程度，用介质毒性程度和爆炸危害程度表示。
A121 毒性程度
综合考虑急性毒性、最高容许浓度和职业性慢性危害等因素。极度危害最高容许浓度
小于01mg/m3；高度危害最高容许浓度01～10 mg/m3; 中度危害最高容许浓度10～
100 mg/m3; 轻度危害最高容许浓度大于或者等于100 mg/m3。
A122 易爆介质
指气体或者液体的蒸汽、薄雾与空气混合形成的爆炸混合物，并且其爆炸下限小于
10%，或者爆炸上限和爆炸下限的差值大于或者等于20%的介质。
A123 具体介质毒性危害程度和爆炸危险程度的确定
按照HG 20660—2000 《压力容器中化学介质毒性危害和爆炸危险程度分类》确定。
HG 20660 没有规定的，由压力容器设计单位参照GB 5044—1985 《职业性接触毒物危害
程度分级》、德原则，决定介质组别。

抗负压的容器有内压容器、外压容器、固定式压力容器、移动式压力容器等。按压力等级分类：压力容器可分为内压容器与外压容器。按容器在生产中的作用分类：反应压力容器(代号R)：用于完成介质的物理、化学反应。换热压力容器(代号E)：用于完成介质的热量交换。分离压力容器（代号S)：用于完成介质的流体压力平衡缓冲和气体净化分离。储存压力容器（代号C，其中球罐代号B）：用于储存、盛装气体、液体、液化气体等介质。在一种压力容器中，如同时具备两个以上的工艺作用原理时，应按工艺过程中的主要作用来划分品种。

锅炉、压力容器的安全装置是专指为了承压容器能够安全运行面装在设备上的一种附属装置，又常称之为安全附件。锅炉、压力容器的安全装置，按其使用性能或用途可以分为以下四大类型：
（l）连锁装置
指为了防止 *** 作失误而设的控制机构，如联锁开关、联动阀等。
（2）报警装置
指设备在运行过程中出现不安全因素致使其处于危险状态时，能自动发出音响或其他明显报警讯号的仪器，如压力报警器、温度监测仪等。
（3）计量装置
指能自动显示设备运行中与安全有关的工艺参数的器具，如压力表、水位计、温度计等。
（4）泄压装置
设备超压时能自动排放压力的装置，如安全阀、爆破片等。
锅炉、压力容器应根据其结构、大小和用途分别装设相应的安全装置。
安全泄压装置是防止锅炉、压力容器超压的一种器具。它的功能是：当锅炉、压力容器内的压力超过正常工作压力时，能自动开启，将容器内的介质排出去，使锅炉、压力容器内的压力始终保持在最高允用压力范围之内。安全泄压装置按其结构型式分为四种类型：
（1）阀型
阀型安全泄压装置就是常用的安全阀，它是通过阀的开启排出内部介质来降低设备内的压力。这类安全泄压装置的情点是：仅仅排泄器内高于规定的部分压力，而当器内压力降至正常工作压力时，它即自动关闭，设备可继续运行。装置本身能重复使用多次，安装调整也比较容易，但它的密封性能较差，泄压反应较慢，且阀口有被堵塞或阀瓣有被粘住的可能。阀型泄压装置适用于介质比较纯净的设备，不宜用于介质具有剧毒性的设备和器内压力有可能急剧升高的设备。
（2）断裂型
断裂型安全泄压装置，常见的有爆破片。它是通过爆破片的断裂来排放气体的。这种装置的特点是：密封性能较好，泄压反应较快，但卸压后，爆破片不能继续使用，容器也得停止运行。断裂型泄压装置宜用于介质有剧毒的容器和器内因化学反应使压力急剧升高的容器，不宜用于液化气体贮罐。
（3）熔化型
熔化型安全泄压装置就是常用的易熔塞。它是利用装置内低熔点合金在较高的温度下熔化，打开通道而泄压的。这种装置的特点是：结构简单，更换容易，但降压后不能继续使用，排放面积小。它只能用于器内压力完全取决于温度的小型容器，如气瓶等。
（4）组合型
常见的组合型安全泄压装置，是阀型与断裂型的串联组合，它同时具有阀型和断裂型的特点。一般用于介质有剧毒或稀有气体的容器，不能用于升压速度极快的反应容器。

是压力容器设计和制造许可级别：
A级分为A1：超高压容器、高压容器（单层、多层）；
A2：之第三类低、中压容器；
A3：球形容器；
A4：非金属压力容器
C级分为C1：铁路罐车；
C2：汽车罐车、长管拖车；
C3：罐式集装箱
D级分为D1：第一类压力容器；
D2：第二类压力容器
SAD级指压力容器应力分析设计

过程装备中的典型压力容器有换热压力容器、 热套式超高压容器、储存容器（各种储罐）、扁平钢带错绕式压力容器等。最典型的压力容器就是换热器和塔器。
管壳式换热器又称列管式换热器，是以封闭在壳体中管束的壁面作为传热面的间壁式换热器。这种换热器结构较简单， *** 作可靠，可用各种结构材料（主要是金属材料）制造，能在高温、高压下使用，是目前应用最广的类型。

---