DreamBlooms/HansPub-15000-to-45000 huggingface dataset:
system: [SYSTEM]

user: 1. 引言 由于多复变函数与单复变函数的本质不同，多复变函数的Bergman空间理论从上世纪70年代以来一直都是函数论中的热点专题。1970年以前随着人们对于调和分析的研究热潮以及复分析自身发展的要求，国内外学者主要集中于研究Hardy空间及BMOA空间。随后由于表示论、算子理论的发展，标准的加权Bergman空间得到了广泛的关注，所涉及的诸如零点集、不变子空间、Toeplitz算子、Carleson测度、原子分解、插值等问题长期以来是国内外学者重点关注的问题 [ 2 ] [ 3 ] 。同时，Muckenhoupt权和加权不等式作为Fourier分析中的重要问题，自上世纪70年代引入以来不断发展。1978年，Bekolle和Bonami从实变量调和分析理论中，在复变量条件下引进了所谓的类似Muckenhoupt权的“Bekolle-Bonami条件”的权函数，他们证明了在加权Bergman空间 A 2 ( u ) 上的Bergman投影的有界性等价于权函数u满足Bekolle-Bonami条件 [ 4 ] [ 5 ] 。1985年Luecking研究了Bekolle-Bonami型加权Bergman空间的原子分解定理，并给出了该加权Bergman空间的对偶空间 [ 1 ] 。2010年Constantin证明了单位圆盘上Bekolle-Bonami型加权Bergman空间上的Carleson嵌入定理 [ 6 ] 。 近年来Hytonen等人利用现代调和分析技巧——二元分析及稀疏算子控制，取得了一系列丰富的结果。2013年Chacon研究了单位圆盘上的Bekolle-Bonami型加权Bergman空间上的原子分解定理和Toeplitz算子 [ 7 ] 。2013年Pott和Reguera利用二元分析和稀疏算子研究了上半平面上的Bekolle-Bonami型加权Bergman空间上的Bergman投影的范数 [ 8 ] 。之后2017年，Rham、Tchoundja、Wick研究了单位球上的Berezin变换、Bergman投影等积分算子的算子范数 [ 9 ] 。本文在复n维空间的单位球上利用加权Bergman空间 A 2 ( u ) 的再生核改进Luecking的原子分解定理。
system: [SYSTEM]

user: 3. 主要结论 下面证明本文的主要定理。 定理3.1. 设 ，则存在一个r-格 ，对于每个 ，存在 ，使得对于任意 ， 成立。 证明：首先根据引理2.11我们可以找到一个r-格 和常数 ，使得 . (3.1) 定义一个从 到 的算子R如下，对于任意的 ： . 下面证明R是线性的。对于任意 ， 对于任意 ，存在常数 ，使得 . 那么由引理2.10我们得到 . 则R为从 到 的有界线性算子。 下面证明R有闭值域。设 ，且 收敛于g。根据柯西收敛准则，对于任意 ，存在 ，当 时，有 。根据不等式(3.1)，可得 . 因此 是 中的柯西列，所以它在 中收敛，即存在 ，使得函数列 依 的范数收敛到 。又因为 ， 所以不等式两边对 求极限得 ，因此R有闭值域。 下面证明R为单射。如果存在 ，使得 。再根据不等式(3.1)，有 ， 所以 ，即R为单射。 因此R为从 到 的有闭值域的有界单射线性算子。 下面证明R的对偶算子 是从 到 的满射。假设对偶算子 不是满射，则 ，即 ，(否则就有 )。即存在非零函数 。则对于任意 ，有 由 的任意性知 。因为R是单射，所以 ，与g为非零函数矛盾。因此 是满射。 设 ，对于每个 ，我们有 (3.2) 第四个等号成立是交换了积分号与求和号的顺序，我们将在最后给出这个交换是成立的。 因为f是任意的，所以 . 因为 是从 到 的满射，对于任意的 ，都存在 ，使得 ，所以 . 为了完成证明，下面证明不等式(3.2)中的积分与求和可交换。 因为 ，所以 收敛，任给一个 ，存在 ，使得当 时，都有 成立。为了书写方便，我们定义 (3.3) 因此 因此序列 是 中的柯西序列，并且收敛到 . 因为 和 ， 再根据内积的连续性有 ， 所以 .
system: [SYSTEM]

user: 摘 要 Hochstadt-Lieberman唯一性定理表明，对于定义在[0， 1]区间上的Sturm-Liouville问题，若[0， 1/2]区间上的势函数已知，则一组Dirichlet-Dirichlet特征值即可唯一确定整个区间上的势函数。本文应用亚纯函数的Mittag-Leffler展开定理，给出了重构该问题势函数的一种新方法，同时给出了该问题的解存在的充要条件。 关键词 :特征值，Mittag-Leffler展开定理，Levin-Lyubarski插值，重构问题 Copyright © 2019 by author(s) and Hans Publishers Inc. This work is licensed under the Creative Commons Attribution International License (CC BY). http://creativecommons.org/licenses/by/4.0/
system: [SYSTEM]

user: 1. 引言 1978年，Hochstadt与Lieberman [ 1 ] 证明了如下著名的Hochstadt-Lieberman唯一性定理： 定理1.1 对于定义在[0， 1]区间上的Sturm-Liouville算子 L DD ： L u = − u ″ + q u (1) 满足Dirichlet-Dirichlet (DD)边值条件： u ( 0 ) = 0 = u ( 1 ) ， (2) 其中 q ∈ L 2 [ 0 ， 1 ] 为实值函数，若q在子区间 [ 0 ， 1 / 2 ] 上已知，则一组Dirichlet-Dirichlet特征值 σ DD = { λ n ，D 2 } n = 1 ∞ 唯一确定 [ 0 ， 1 ] 区间上的势函数q。 Martinyuk及Pivoarchik [ 2 ] 曾对以上唯一性定理给出了重构势函数的方法。本文的目的是对Hochstadt-Lieberman唯一性定理提供一种新的重构势函数的方法。通过应用Mittag-Leffler展开定理，将“较大的”全纯函数分解为两个“较小的”全纯函数，此分解为我们更好地使用Levin-Lyubarski插值公式重构全纯函数 u − ( 1 / 2 ， λ ) 及 u ′ − ( 1 / 2 ， λ ) 提供了环境。此外，该重构方法亦给出了该问题的解存在且唯一的充要条件。 本文将用 L a 表示定义在 L 2 ( − ∞ ， ∞ ) 上的型为a的指数类全纯函数 [ 3 ] 。
system: [SYSTEM]

user: 2. 势函数的重构 设 u − ( x ， λ ) 为方程(1)满足初始条件 u − ( 0 ) = 0 及 u ′ − ( 0 ) = 1 的解。由文 [ 4 ] 可得： u − ( x ， λ ) = sin λ x λ + ∫ 0 x K ( x ， t ) sin λ t λ d t = sin λ x λ − K ( x ， x ) cos λ x λ 2 + ∫ 0 x K t ( x ， t ) cos λ x λ 2 d t ， (3) 其中 K ( x ， t ) = K ˜ ( x ， t ) − K ˜ ( x ， − t ) ， K t ( x ， t ) = ∂ K ( x ， t ) ∂ t ， K ˜ ( x ， t ) 满足以下积分方程： K ˜ ( x ， t ) = 1 2 ∫ 0 x + t 2 q ( s ) ds + ∫ 0 x + t 2 d α ∫ 0 x − t 2 q ( α + β ) K ˜ ( α + β ， α − β ) d β ， 且对于两个变量分别存在一阶偏导数。此外， K ( x ， x ) = 1 2 ∫ 0 x q ( t ) d t ， K ( x ， 0 ) = 0 . (4) 由(3)可得 u − ( 1 2 ， λ ) = 1 λ sin ( λ 2 ) − K − λ 2 cos ( λ 2 ) + ψ − ， 0 ( λ ) λ 2 ; u ′ − ( 1 2 ， λ ) = cos + K − λ sin ( λ 2 ) + ψ − ， 1 ( λ ) λ 2 (5) 其中 K − = K ( 1 / 2 ， 1 / 2 ) ，且对于 j = 0 ， 1 ， ψ − ， j ∈ L 1 / 2 。 定义 u + ( x ， λ ) 为方程(1)满足初始条件 u + ( 1 ， λ ) = 0 ， u ′ + ( 1 ， λ ) = 1 的解。则 u + ( x ， λ ) 具有类似于(3)的表达式： u + ( x ， λ ) = − sin λ ( 1 − x ) λ − ∫ x 1 K ( x ， t ) sin λ ( 1 − t ) λ d t . (6) 故 u + ( 1 / 2 ， λ ) ， u ′ + ( 1 / 2 ， λ ) 有如下渐近式： u + ( 1 2 ， λ ) = − 1 λ sin ( λ 2 ) − K + λ 2 cos ( λ 2 ) + ψ + ， 0 ( λ ) λ 2 u ′ + ( 1 2 ， λ ) = cos ( λ 2 ) + K + λ sin ( λ 2 ) + ψ + ， 1 ( λ ) λ 2 (7) 其中 K + = ∫ 1 / 2 1 q ( t ) d t ，且对于 j = 0 ， 1 ， ψ + ， j ∈ L 1 / 2 。 由于(1)~(2)的DD特征值 { λ n } n ∈ ℤ 0 为特征值方程 Δ ( λ ) = u − ( 1 ， λ ) (8) 的零点。由(3)可得，特征值函数的渐近式为： Δ ( λ ) = 1 λ sin λ − K − + K + λ 2 cos λ + ψ ^ ( λ ) λ 2 ， (9) 其中 ψ ^ ∈ L 1 。则当 n → ∞ 时，DD特征值 { λ n } n ∈ Z 0 的渐近式为： λ n = n π + K − + K + n π + α n n (10) 其中 { α n } n ∈ Z 0 ∈ l 2 。 引理2.1 [ 5 ] [Theorem 3，6，2] 设 F ( z ) 为亚纯函数，且当 时，其单重极点 满足 。记 为 在 处的留数。若 ， (11) 则存在全纯函数 使得 ， (12) 其中，(12)式右侧的级数在 上任何不包含点 的有界子集上是一致收敛的。 引理2.2 [ 6 ] [Theorem A]设f为sine类函数，其振幅宽度为2a，且其零点为 。则对于 ，映射 (13) 为 与 的同构映射，且在 的任何子域上一致收敛。 下面给出在 上重构q的方法及解存在的充要条件。定义 为方程(1)满足初始条件 ， 的解。类似可得 (14) 其中，对于 ， 。记 为 的零点，则 ， (15) 其中 。显然 为亚纯函数且具有单重极点 。设 为函数 在 处的留数，则有 ， (16) 其中 。由(5)，(8)及(10)可得 ， (17) 其中 ，结合(15)，可得 。由引理2.1，可知存在全纯函数 ，满足 . (18) 定义 ， (19) 则可得 . (20) 显然 时， ， 为全纯函数。 引理2.3 若记 与 为 (21) 则 ， ，且 及 在展开式(20)中为唯一的。 证明 注意到 为 的零点，则由(20)可得 (22) 将(15)带入计算，可得 ， ， (23) ， ， 其中 ， ， 均属于 。进而将(23)带入(22)得到 . (24) 由于函数 为sine类函数，且存在正整数 及p使得当 时， 则结合(24)，应用Levin-Lyubarski插值定理，即引理2.2，选取 为重构函数 的插值节点，若记 ，则有： ， (25) 其中 ， 。 此外，Levin-Lyubarki插值定理保证了所重构函数的唯一性。故定理得证。 引理2.4 设 与 由(21)式定义。若 ， (26) 则 . (27) 进而有 (28) 证明 由于 ， (29) 计算易得(27)成立。由于 (30) 且 ，式(30)结合(27)，可知存在 满足 . (31) 由(5)及(7)可知，当 时，有 ， 故 ，从而可得(28)。定理得证。 注1 由引理2.3可知 是唯一的. 由引理2.4可得 的表达式，进而可得 与 ，故有如下结论： 定理2.5 设函数 ，数列 已知，且满足如下渐近式： (32) 其中A， ， 。若 (33) 其中 ， 分别由(21)与(26)定义，且 ， 由(5)定义。 则存在唯一的实值函数 ，使得势函数q在 上满足 ，在 上， ，且其对应的算子以 为特征值的充要条件是 属于Nevanlinna类函数。 证明 必要性：假定存在实值函数 ，使得 为Sturm-Liouville算子的DD特征值。则由以上讨论可知， ， . 故由 [ 2 ] [ 7 ] 知， 是Sturm-Liouville问题(1)~(2)的Weylm-函数 [ 7 ] ，故 属于Nevanlinna类函数。 充分性：若实值函数 已知，则函数 、 及 ， 为已知函数。则由(5)、(14)及引理2.3得， 及 可知，又由于DD特征值已知，进而由(26)可得 ，从而由(28)计算可得 及 ： ， ， 其中 ，故 可知。定理得证。
system: [SYSTEM]

user: 摘 要 信道容量表示信道传输信息的最大能力。本文介绍了什么是离散准对称信道，给出了其信道容量的证明过程，最后通过Matlab实现了信道容量的计算，结果表明当输入的每一个符号的概率都相等时达到信道容量，符合实际，并对加深信道理论的理解有一定的参考价值。 关键词 :准对称信道，信道容量，Matlab实现 Copyright © 2019 by author(s) and Hans Publishers Inc. This work is licensed under the Creative Commons Attribution International License (CC BY). http://creativecommons.org/licenses/by/4.0/
system: [SYSTEM]

user: 1. 引言 信息论是关于通信的理论，是用概率统计的方法研究信息的传输、存储与处理以及如何实现其有效性和可靠性的一门学科。它包括两个基本的问题，一个是信源编码，解决信源的相关性问题，去掉冗余，从而压缩了信源输出，提高了有效性；另一个是信道编码，克服信道中的干扰和噪声，提高了可靠性。可见信道是通信系统的重要组成部分，它的任务是实现信息的传输，在信道固定的情况下，总是希望传输的信息越多越好。本文主要研究一种特殊的信道，即离散准对称信道。
system: [SYSTEM]

user: 2. 离散准对称信道的定义及信道容量 定义1 设有一个信道矩阵，它的每一行元素都相同，只是排列不同，它的每一列元素也都相同，只是排列不同，称该信道为对称信道。 定义2 设有一个r行s列的离散无记忆信道的信道矩阵P，根据信道的输出集Y可以将P分成n个子矩阵 P 1 ， P 2 ， ⋯ ， P n ，每个子矩阵对应的信道都是对称信道，称这个信道为准对称信道 [ 1 ] 。 定义3信道容量 C = max p ( x ) { I ( X ， Y ) } ，其中 I ( X ， Y ) 为平均互信息， p ( x ) 为输入符号概率。
system: [SYSTEM]

user: 3. 离散准对称信道信道容量的证明 定理1当输入的每一个符号的概率 p ( x i ) 都相等时，达到信道容量C。 定理2 设有一个信道，它的输入符号个数有r个，输出符号个数有s个，当且仅当存在常数C使输入分布 p ( x i ) 满足： 1) I ( x i ; Y ) = C ，                   p ( x i ) ≠ 0 2) I ( x i ; Y ) < C ，               p ( x i ) = 0 时， I ( X ; Y ) 达极大值。此时，常数C即为所求的信道容量。 定理3当输入的每一个符号的概率 p ( x i ) 都相等时，准对称信道的容量为： C = log r − H ( q 1 ， q 2 ， ⋯ ， q s ) − ∑ k = 1 n N k log M k ， 其中，log默认是以2为底的对数，r是信道矩阵的行数， q 1 ， q 2 ， ⋯ ， q s 表示信道矩阵P中的任意一行元素， N k 是第k个子矩阵中行元素之和， M k 是第k个子矩阵中列元素之和 [ 2 ] 。 证明：设准对称信道的矩阵为 P = ( p ( y 1 | x 1 ) p ( y 2 | x 1 ) ⋯ p ( y s | x 1 ) p ( y 1 | x 2 ) p ( y 2 | x 2 ) ⋯ p ( y s | x 2 ) ⋮ ⋮ ⋱ ⋮ p ( y 1 | x r ) p ( y 2 | x r ) ⋯ p ( y s | x r ) ) ， 将矩阵P分为n个对称子阵 P 1 ， P 2 ， ⋯ ， P n ，对应的输出符号集Y划分为 Y 1 ， Y 2 ， ⋯ ， Y n ，设 x i ∈ X ( x 1 ， x 2 ， ⋯ ， x r ) ，则有： I ( x i ; Y ) = ∑ Y p ( y | x i ) log p ( y | x i ) p ( y ) = ∑ Y p ( y | x i ) log p ( y | x i ) − ∑ Y p ( y | x i ) log p ( y ) ， 因为P是准对称矩阵，它的行元素由 { q 1 ， q 2 ， ⋯ ， q s } 排列而成，所以有： ∑ Y p ( y | x i ) log p ( y | x i ) = − H ( q 1 ， q 2 ， ⋯ ， q s )         ( i = 1 ， 2 ， ⋯ ， r ) ， 设 P ( x i ) = 1 r ，即输入等概分布，则后一项为： ∑ Y p ( y | x i ) log p ( y ) = ∑ Y p ( y | x i ) log ∑ X p ( y | x i ) p ( x i ) = ∑ Y p ( y | x i ) log 1 r ∑ X p ( y | x i ) = ∑ y ∈ Y 1 p ( y | x i ) log 1 r ∑ X p ( y | x i ) + ∑ y ∈ Y 2 p ( y | x i ) log 1 r ∑ X p ( y | x i )       + ∑ y ∈ Y n p ( y | x i ) log 1 r ∑ X p ( y | x i ) ， 因为 P 1 ， P 2 ， ⋯ ， P n 对称，所以有： ∑ X p ( y | x i ) = M 1 ，               y ∈ Y 1 ∑ X p ( y | x i ) = M 2 ，               y ∈ Y 2                                                                                                     ⋮ ∑ X p ( y | x i ) = M 1 ，               y ∈ Y n } 都与 x i 无关， 其中 M i 为y固定时，矩阵 P i 中列元素之和，是一个常数。 ∑ y ∈ Y 1 p ( y | x i ) = N 1 ∑ y ∈ Y 2 p ( y | x i ) = N 2                                                                     ⋮ ∑ y ∈ Y n p ( y | x i ) = N n } ， 其中， N i 表示 x i 固定时，矩阵 P i 中行元素之和，也是一个常数。 所以有： ∑ Y p ( y | x i ) log p ( y ) = N 1 log M 1 r + N 2 log M 2 r + ⋯ + N n log M n r = ∑ k = 1 n N k log M k r ， 所以得到： I ( x i ; Y ) = − H ( q 1 ， q 2 ， ⋯ ， q s ) − ∑ k = 1 n N k log M k r = log r − H ( q 1 ， q 2 ， ⋯ ， q s ) − ∑ k = 1 n N k log M k = C         ( 常 数 ) ， 根据定理2，有： C = log r − H ( q 1 ， q 2 ， ⋯ ， q s ) − ∑ k = 1 n N k log M k 。 (证毕)
system: [SYSTEM]

user: 4. Matlab实验仿真 [ 3 ] [ 4 ] 首先考虑特殊的二元信道，其输入符号概率空间，即信源概率空间为： ( X P ) = ( 0 1 w 1 − w ) ， 它的信道矩阵是一个对称矩阵，如下： P = ( p ¯ p p p ¯ ) ， 该信道的互信息量为： I ( X ; Y ) = H ( w p ¯ + w ¯ p ) − H ( p ) 。 用matlab绘制当w从0到1和p从0到1之间变化时，平均互信息 I ( X ; Y ) 的曲线，程序代码如下： [w，p]=meshgrid(0.00001:0.001:1); h=-(w.*(1-p)+(1-w).*p).*log2(w.*(1-p)+(1-w).*p)-(w.*p+(1-w).*(1-p)).*log2(w.*p+(1-w).*(1-p))+p.*log2(p)+(1-p).*log2(1-p); meshz(w，p，h); title('平均互信息'); ylabel('H(w，p，h)') 实验结果见图1。 当p固定时(这里随机取的 p = 0.3 )，得到固定二元对称信道的平均互信息图像，程序代码如下： w=0.00001:0.001:1; p=0.3; h=-(w.*(1-p)+(1-w).*p).*log2(w.*(1-p)+(1-w).*p)-(w.*p+(1-w).*(1-p)).*log2(w.*p+(1-w).*(1-p))+p.*log2(p)+(1-p).*log2(1-p); plot(w，h); title('固定对称信道的平均互信息'); ylabel('1-H(p)') 实验结果见图2。 对任何一般的准对称信道的信道容量，求解它的matlab程序代码如下： 图1. 平均互信息 图2. 固定对称信道的平均互信息 function [C，e，PX]=Channel(P) [r，s]=size(P); PX=(1/r)*ones(1，r); PX_1=rand(1，r); PX_2=PX_1/sum(PX_1); PY=PX*P; PY_2=PX_2*P; [m，n]=size(PY); HY=0; HY_2=0; H=0; for i=1:n HY=HY+PY(i)*log2(PY(i)); HY_2=HY_2+PY_2(i)*log2(PY_2(i)); end HY=-HY; HY_2=-HY_2; P=P+(P==0).*eps; for i=1:s H=H+P(1，i)*log2(P(1，i)); end H=-H; PX C=HY-H C_2=HY_2-H; e=C-C_2 在命令窗口输入准对称信道矩阵： (1) P=[1/2 1/4 1/8 1/8;1/4 1/2 1/8 1/8]; [C，e，PX]=Channel(P) 仿真结果如下： C =0.0613，e = 0.0064，PX = 0.50000.5000. (2) P=[1/2 1/2 0 0;0 1/2 1/2 0;0 0 1/2 1/2;1/2 0 0 1/2]; [C，e，PX]=Channel(P) 仿真结果如下： C =1.0000，e = 0.0452，PX = 0.25000.25000.25000.2500.
system: [SYSTEM]

user: 5. 实验结果分析 图1图像表明平均互信息 I ( X ; Y ) 是输入概率 p ( x i ) 和信道传递概率 p ( y j | x i ) 的函数。 图2曲线表明，当信道固定的时候， I ( X ; Y ) 关于 p ( x i ) 是上凸的；且当输入的每一个符号的概率都相等时，即当 w = w ¯ = 1 2 时， I ( X ; Y ) 最大，达到信道容量C。 通过第三个实验，对于一般的准对称信道，通过Matlab结果可以看到，当对任意取的输入分布不等概时，求得的平均互信息与信道容量C的差都大于0，当输入分布PX等概时，达到信道容量C。
system: [SYSTEM]

user: 6. 结论 通过对准对称信道信道容量的证明及Matlab结果得到，当信源输入的每一个符号的概率都相等时，达到了信道容量。而准对称信道其实也包含了对称信道，因而也验证了对称信道的信道容量也是在输入的每一个符号概率相等时达到。通过Matlab实验也可以看出。通过对该程序代码进行改进，还可以求得任何信道的信道容量及对应的输入分布，有待进一步验证。
system: [SYSTEM]

user: 摘 要 工科类认知实习是本科教学的重要环节。本文根据海洋工程与技术专业认知实习教学目的，对该教学环节分别从认知实习必要性、方案设置、实习管理、注意事项等方面进行了论述。阐明了认知实习设置的必要性，实习各阶段要点，针对室外实习特点，分别对认知实习中的学生管理、时间管理和路线管理三个方面进行了介绍，总结了实习过程中注意事项，可供工科类专业认知实习准备做参考。 关键词 :认知实习，海洋工程与技术，实践教学，管理，费用支出 Copyright © 2019 by author(s) and Hans Publishers Inc. This work is licensed under the Creative Commons Attribution International License (CC BY). http://creativecommons.org/licenses/by/4.0/
system: [SYSTEM]

user: 1. 引言 人才培养方案的制订应遵循高等教育教学的基本规律，坚持“通识教育、大类教学、复合创新”的观念，梳理各专业的人才培养目标和定位，全程贯穿素质教育思想，体现人的全面发展与社会发展需求的统一。 坚持深入推进教育教学改革，不断提高人才培养的质量是学院对本专业人才培养目标进行凝练，建立起与专业培养目标相匹配的课程体系。为了更好的落实学校人才培养目标，学院将以理论教学为基础，大力推进实践教学，致力于使学生做到“知行合一”，不断提高学生的行动能力，塑造综合能力和未来的发展潜力。努力使实践教学形成“双基互促”、“前沿训练”、“个性创新”的特色。应重视创新实践能力训练，加大创新实践能力培养。实践教学累计学分(学时)占总学分(学时)应达到一定比例。R认知实习是本科教学计划中非常重要的实践教学环节，其目的是使学生了解和掌握理论知识，学以致用，印证、gun固和丰富课堂学习的专业基础课内容。在实践中提高分析问题和解决问题的能力，为后续专业课程的学习打下基础。
system: [SYSTEM]

user: 2. 认知实习必要性 由于海洋工程与技术研究对象和内容的复杂性，为使理论和实践密切结合，加深感性认识，对现代海洋工程与技术的研究方法、研究手段，既知其然，又知其所以然，极有必要开展野外认知实习。通过野外实习，加深学生对海洋及各类工程基础知识的认识和理解，使学生能更好地掌握海洋工程与技术的基本概念、基本理论和基本方法，培养学生的野外认知及综合分析能力；同时，通过实习认识海洋工程与技术的应用，提高学生学习海洋工程与技术的兴趣，为深入学习奠定坚实的基础 [ 1 ]。因此，根据培养方案在大学一年级理论课程结束后安排认知实习。
system: [SYSTEM]

user: 3. 认知实习设置 3.1. 准备阶段 准备阶段在室内进行，学生预先复习理论课程中的基本概念、基本原理、基本方法，如复习海洋科学导论中地形、沉积、海水特别是河口区海水的各类性质、波浪、潮汐、河口海岸环境等，普通地质学中的外动力地质作用及相关地貌；搜集实习地点相关的资料，了解实习地点的区域概况、自然环境等信息，以便实习时能把现场观察到的情况与相关知识结合起来，使实习变得更加积极和主动；实习动员，准备珠江河口及三角洲地形图，对实习区及各条路线进行介绍，实习分组以及实习用具的准备等等，力求有备无患，准备充分。 3.2. 野外实习阶段 野外实习阶段，指导教师带领学生对所选路线中各典型现象、工程等进行认真的观测、描述和记录，灵活运用观察、讲授、启发、讨论等多种教学方法，让学生首先认识河口海岸动力-沉积-地貌的基本现象及特征，并对其发生发展过程及其成因进行探讨，进而认识人类活动及其对环境的影响。通过实践，进一步加深基本概念、基本原理的理解，建立对河口海岸工程、岛礁工程的综合认识。同时，在实习过程中，培养学生独立观察、描述、记录各种现象的动手能力并能独立分析问题、解决问题的独立工作能力和创新意识及创新能力。 3.3. 完成实习报告阶段 野外实习阶段结束之后，学生讨论并对野外实践中所学的知识进行系统的归纳总结，使理论与实践紧密结合。学生根据野外实习中自己亲自动手搜集到的野外地质资料，结合书本上学到的理论知识，独立分析问题，解决问题，在教师指导下自己动手完成实习报告，鼓励学生有创新内容。认知实习的最终目的是要让学生了解本专业，帮助学生理顺学习思路，学习更有目标性。通过认知实习，需要对学生的专业认知效果继续巩固和评价，在此基础上再进一步考察学生的实习质量，提出教学改进措施 [ 2 ]。与此同时，对学生反馈的收获和不足要予以记录和评估，对于优秀的报告可进行课堂汇报展示，交流实习心得体会。
system: [SYSTEM]

user: 4. 认知实习中的管理 根据实习大纲安排，学生在实习过程中应带着问题有侧重有针对性的参观和学习。实地学习的目的是进行感知教育，让学生亲临工程现场，了解工程建设实况，感受企业氛围，是理论知识和前期了解的进一步深化。在这一阶段，需要做好以下三个方面的工作 [ 3 ]。 4.1. 学生管理 由于工程现场一般比较嘈杂，分组可保证学生能听清楚、看明白，并有更多机会与老师和现场人员交流和请教;此外，工程现场状况复杂，地面有各类设备繁忙作业，分组有利于教师管理学生，有精力和能力照顾到学生的安全。应尽量使师生比控制在1:10以内。做好分组工作后，邀请或安排经验丰富的企业导师和指导教师随队开展指导。企业导师一般具有丰富的工程经验，熟知工程建设各个环节，可理论联系实际地向学生讲解每个环节中的原理或知识。 4.2. 时间管理 应根据实习计划，将实习期间的时间安排模块化，应尽量将各模块的用时细化到以小时为单位，出发与返回时间点应尽量避免交通高峰期，合理规划路线，最大限度节约交通成本和时间。同时，实习内容应根据实习内容和强度，中途合理安排休息和调整，如条件允许，中午可安排短暂午休，有助于学生调整精神状态，提高实习质量；同时可避免由于长途驾驶带来的潜在隐患。如实习或参观需相关文件，应提前按要求做好相应准备，若遇极端天气或突发状况，应冷静灵活处理，确保师生安全第一，必要情况下可取消实习。 4.3. 路线管理 由于野外实习通常同一天或整个实习期间需多地辗转，实习开展之前，指导老师应合理规划路线，提前查询天气情况，尽量细化路线，可充分利用相关工具(如导航和定位软件)，及时与对接实习单位联系，并实时向学生更新实习安排和计划变更信息。
system: [SYSTEM]

user: 5. 注意事项 1) 安全保障 因认知实习地点和内容不同于理论课程的学习，其在外界环境中开展，因此，整个认知实习过程中应确保师生安全，安全保障是开展认知实习的前提，尤其在以下方面应注意： · 交通安全：在实习准备阶段，应向学生讲解实习路线及安排，提醒相关安全事项，并以以前实习中发生的安全事故为例，提高学生的安全意识，并准备含有详细条目的安全协议，要求学生认真学习协议中的要求并签字保证遵守规则。 · 食宿安全：实习过程中涉及需在校外住宿或用餐的，需提前与相应单位或企业联系，并说明相关注意情况，最好能签署相应安全保障协议，确保出现问题，师生合法权益能得到保障。 · 现场安全：由于认知实习工程现场环境复杂，实习准备阶段应向学生强调注意事项，现场参观之前应按接待单位或企业的要求，佩戴安全帽，分组轮流参观，不大声喧哗，未经允许不得随意触碰相应设备。 2) 费用支出 认知实习费用支出主要包括：学校与实践基地间的交通费用；食宿费用；教室租用与专家讲课费；参观费例如水电站。但是随着物价增长，导致认知实习成本逐年增加，需根据认知实习情况，采取一些应对措施以最大程度地缩减开支。例如交通用车可与旅游公司进行洽谈，在确保交通安全的前提下获取最大程度的优惠，住宿安排提前与实习所在地的实习基地联系或通过运用智能客户端如手机APP，如能入住本校或兄弟院校的实习基地则可在住宿成本上可以有较大程度的减少 [ 4 ]。
system: [SYSTEM]

user: 6. 思考与建议 1) 实习基地建设 稳定的实习基地的支撑对顺利高效地完成认识实习和提高实习质量至关重要。实习基地应尽量安排在所在校区邻近，节约路途时间和费用开支。实习基地参观内容应与对应专业培养计划对应，实现多视角、全方位、零距离的实践平台，有助于增强学生对专业宽度和深度的认知 [ 5 ]。 2) 课程协调 认知实习内容应紧密围绕已授理论课程中的知识点，且前阶段开设理论课程应具有引导性强的特点，通过认知实习，使学生能将理论课中抽象理论知识与专业情况与认知实习课中的专业岗位状况(包括工作内容、工作性质、工作环境等)建立起必要的、系统的联系，引发学生对未来岗位状况的良好感性认识。
system: [SYSTEM]

user: 7. 结语 随着经济的发展，社会分工越来越细化，未来对专业性人才的要求将会越来越高。本文针对工科实践教学中认知实习环节必要性、方案设置、实习管理、注意事项等作了介绍，鉴于未来需求，应进行课程体系改革和建设，不断在工程实践能力培养、教学方法等方面进行探索，努力提升学生对所学专业的认同感和归属感，尽早建立起专业思想和工程意识。
system: [SYSTEM]

user: 摘 要 针对未知但有界的不确定噪声扰动下的电力变换器系统，提出了一种基于集员估计的故障检测方法。以Buck变换器为例，将其仿真所得电流电压数值作为集员估计的输入，通过椭球包围所有参数的可行集，当近似可行集为空集时可以判定Buck变换器存在故障。 关键词 :集员估计，电力变换器，故障检测 Copyright © 2019 by author(s) and Hans Publishers Inc. This work is licensed under the Creative Commons Attribution International License (CC BY). http://creativecommons.org/licenses/by/4.0/
system: [SYSTEM]

user: 1. 引言 电力变换器广泛应用于能源、航天、农业等领域中 [ 1 ] [ 2 ] [ 3 ] ，随着应用范围的不断拓展，对电力变换器的稳定性和可靠性的要求越来越高，一旦电力变换器发生故障而未被及时检测出来，则会进一步引起系统中其他模块的故障，导致整个系统故障严重甚至瘫痪，因此，为保证电力系统的安全，提高相关领域的经济效益，对电力变换器进行快速准确的故障诊断有着重要意义。 现有的电力变换器的故障诊断方法可分为基于解析模型的故障诊断方法、基于知识的故障诊断方法和基于信号处理的故障诊断方法三类 [ 4 ] 。其中基于解析模型的故障诊断方法因其故障诊断中良好的实时性能，近些年来取得了快速的发展。然而在实际情况中，系统干扰噪声等不定因素太多，常常难以得到实时、精确的数学模型，从而限制了基于解析模型的故障诊断方法的使用效果和应用范围。 本文主要针对上述基于解析模型的故障诊断方法中存在的不足，提出一种基于集员估计思想的故障检测方法。对于不确定噪声扰动下的Buck变换器系统，根据Simulink模块中所建立的仿真模型获取工作过程中的电感电流和输出电压值，将其作为集员估计算法的输入，从而得到包含其参数可行集的椭球集合，根据椭球集合的空集情况可判断出系统的故障状况。
system: [SYSTEM]

user: 2. 问题描述 Buck变换器电力变换器基本拓扑结构的一种，是一种用于降压变换的变换器。基于Buck变换器的基本拓扑结构，根据各器件的工作原理特性，将Buck变换器进行一定的等效简化，具体的等效简化步骤为：将电感视为理想器件；将开关管MOSFET视为理想开关S1，即只包含导通和断开两个状态；将二极管D视为理想开关S2，也只包含导通和断开两个状态；将电解电容器等效为串联电容C和等效串联电阻R C 串联。等效简化后得到的Buck变换器等效原理图如图1所示。其中图中 i L 表示流经电感的电流， u o 表示输出电压。 图1. Buck变换器等效原理图 在MATLAB仿真软件中进行本实验的模型的搭建和算法的仿真。MATLAB仿真软件包含MATLAB和Simulink两部分，其中Simulink中包含了多种仿真软件包可方便对系统进行建模和仿真，MATLAB中也含有多个工具箱，为算法的仿真提供了便利。 基于Buck变换器等效原理图，可在MATLAB软件的Simulink模块中建立Buck变换器仿真模型，如图2所示。 图2. Buck变换器仿真模型 根据搭建的仿真模型，设置相应的仿真参数，可得到相对应的电感电流和输出电压的波形和数值。将仿真所得的电感电流和输出电压的波形和数值导入到MATLAB的Workspace中保存，作为基于集员估计的Buck变换器故障检测的模型数据。
system: [SYSTEM]

user: 3. 集员估计方法 集员估计是一种对含有未知但有界噪声的系统进行状态或参数估计的方法，目的是找到包含系统数学模型、量测数据和噪声边界的集合来描述系统的状态或参数，一般称之为状态或参数的可行集。通过输入数据的增加，可行集范围可不断缩小，以更进一步地确定系统的状态或参数。可行集的中心可以作为系统状态或参数的真实值的估计，但一般情况下可行集难以精确描述和求解，因而通常用包含可行集的近似可行集来对其进行描述。根据描述参数的近似可行集的形状不同，可将集员估计分为椭球算法、多面体算法、多胞形算法等 [ 5 ] 。 相比于一些传统的估计算法，集员估计方法有着显著优点，仅需要基于系统噪声有界的情况下就可以对有着随机噪声的系统进行处理，有着更好的实用性、普适性和鲁棒性。基于所述优点，集员估计方法运用广泛，可用于参数估计、故障诊断、定位导航等领域 [ 6 ] [ 7 ] [ 8 ] 。基于集员估计的故障检测方法是一种基于解析模型的鲁棒故障检测方法，是通过检测近似可行集是否为空集来对系统状态进行判断，如果检测出可行集为空集，则可判定系统发生故障。
system: [SYSTEM]

user: 4. 基于集员估计的Buck变换器故障检测 针对有着不确定噪声扰动下的Buck变换器系统，本文运用集员估计的方法对其进行故障检测。 首先依据Buck的等效原理图，建立起Buck变换器在CCM (Continuous Conduction Mode)模式下的混杂系统模型，并经过离散化处理后可得到相应的混杂系统离散模型表达式： [ i L ( t ) u o ( t ) ] = [ 1 − T L R T C ( R + R C ) 1 − ( C R R C + L ) T L C ( R + R C ) ] [ i L ( t − 1 ) u o ( t − 1 ) ] + S ( t − 1 ) [ E T L R R C E T L ( R + R C ) ] (1) 其中T为采样周期值。根据混杂系统离散模型表达式确定出k时刻Buck变换器系统的参数向量 、 θ 2 ，观测矩阵 Φ ( k ) 以及系统输出 y 1 ( k ) 、 y 2 ( k ) ，从而可进一步得到相应的系统方程： y 1 ( k ) = θ 1 T Φ ( k ) + e 1 ( k ) (2) y 2 ( k ) = θ 2 T Φ ( k ) + e 2 ( k ) (3) 其中 y 1 ( k ) 、 分别代表了电感电流和输出电压的数值， e 1 ( k ) 和 e 2 ( k ) 表示的是系统存在的不确定噪声向量，且都存在限定的噪声边界 σ 1 和 σ 2 。 以参数向量 θ 1 的检测过程为例，参数向量 θ 2 可参照进行。 基于系统方程(2)，根据集员估计算法可得到其参数可行集 S 1 ( k ) ，之后根据前k组数据对应的参数可行集确定出k时刻包含所有可能参数的凸多面体集合 。然而凸多面体集合难以精确描述，因此为更好地进行描述，用尽可能紧地包含着凸多面体集合 Θ 1 ( k ) 的椭球集合 E 1 ( k ) 来描述参数向量 θ 1 ，得到的椭球集合 E 1 ( k ) 如下式所示： E 1 ( k ) = { θ 1 : ( θ 1 − θ 1 c ( k ) ) T P 1 ( k ) − 1 ( θ 1 − θ 1 c ( k ) ) ≤ 1 ， θ 1 ∈ R m } (4) 其中 θ 1 c ( k ) 表示椭球集合 E 1 ( k ) 的中心， P 1 ( k ) ∈ R m × m 为表示椭球集合形状和大小的轴信息矩阵。根据上述式子，按集员估计递推公式可递推得到k时刻的椭球集合的相关信息，通过椭球中心和轴信息矩阵确定出k时刻对应参数向量 θ 1 的椭球集合 。 同理，可通过递推确定出k时刻对应参数向量 θ 2 的椭球集合 E 2 ( k ) 。 当Buck变换器系统不存在故障时，则表示参数向量 θ 1 和参数向量 θ 2 对应的椭球集合都能够准确包围住相应的真值 θ 1 * 和 θ 2 * ，也即表现出 θ 1 * ∈ S 1 ( k ) ， Θ 1 ( k ) ≠ ∅ ， E 1 ( k ) ≠ ∅ 和 θ 2 * ∈ S 2 ( k ) ， Θ 2 ( k ) ≠ ∅ ， E 2 ( k ) ≠ ∅ 的情况。而当Buck变换器系统发生故障时，则可能有 | y 1 ( k ) − Φ T ( k ) θ 1 * | > σ 1 或 | y 2 ( k ) − Φ T ( k ) θ 2 * | > σ 2 的情况发生。对于参数向量 θ 1 ，此时的 θ 1 * ∈ S 1 ( k ) ， Θ 1 ( m ) ， ( m ≥ k ) 可能为空集。因此，在Buck变换器的故障检测中，可依据 E 1 ( k − 1 ) ∩ S 1 ( k ) = ∅ 和 E 2 ( k − 1 ) ∩ S 2 ( k ) = ∅ 的情况来确定其故障情况。具体判断如下： 1) 若 Θ 1 ( k ) ≠ ∅ 且 Θ 2 ( k ) = ∅ ，则故障信号 ，表现出Buck变换器已发生故障； 2) 若 Θ 1 ( k ) = ∅ 且 Θ 2 ( k ) ≠ ∅ ，则故障信号 f ( k ) = 2 ，表现出Buck变换器系统错误； 3) 若 Θ 1 ( k ) ≠ ∅ 且 Θ 2 ( k ) = ∅ ，则故障信号 f ( k ) = 1 ，表现出Buck变换器已发生故障； 4) 若 Θ 1 ( k ) ≠ ∅ 且 Θ 2 ( k ) ≠ ∅ ，则故障信号 f ( k ) = 0 ，表现出Buck变换器未发生故障。 具体的 E ( k − 1 ) ∩ S ( k ) = ∅ 的判定可按照如下步骤进行： 定义 u ( k ) = y ( k ) − Φ T ( k ) θ c ( k − 1 ) 和 G ( k ) = Φ T ( k ) P ( k − 1 ) Φ ( k ) ，当 u ( k ) 和 G ( k ) 满足如下式子时，则可判定上述式子成立。 σ < | u ( k ) | − G ( k ) (5) 依据上述算法，能够准确确定出Buck变换器在工作过程中的工作状况，及时得到故障检测结果，对保证电力变换器的安全有效的运行提供了保障，促进了系统工作效率和经济效益的提升。
system: [SYSTEM]

user: 5. 结论 本文针对不确定噪声扰动下的电力变换器系统故障检测问题，提出了一种基于集员估计的故障检测方法。通过获得变换器系统的测量值和相应的噪声边界，可以通过集员估计方法得到系统的参数近似可行集，若过程中某一时刻有故障发生，则得到的近似可行集为空集，从而实现Buck变换器系统的故障检测。 基于集员估计的故障检测方法相比于一般的故障检测方法，能够对不确定但有界的噪声下的系统进行故障检测，有着良好的实用性和普适性，因此本文提出的基于集员估计的电力变换器故障检测方法具有广阔的研究和应用前景。而然作为一种故障检测方法，基于集员估计的方法在判断Buck变换器的具体故障位置中还存在一定的不足。为方便对Buck变换器的故障进行精确的研究，对所提的集员估计算法进行完善，能够实现准确的Buck变换器故障诊断是下一步的研究方向。
system: [SYSTEM]

user: 摘 要 在大数据时代的浪潮下，云计算平台得到了广泛应用。虚拟化技术作为云计算领域的核心技术飞速发展，Docker作为当前应用最为广泛的容器技术，凭借其轻量、快速和高效的优势从虚拟化技术中脱颖而出，获得了大量关注，成为了企业追捧的热门技术和研究者探讨的焦点话题。本文首先对Docker技术及其发展进行了简要介绍，再对现今Docker在安全性方面面临的各种问题进行了着重分析，并提出了一些解决方法，接着再提出了一些安全指南帮助预防Docker在安全方面的漏洞。最后进行总结，指出了Docker亟需解决的问题，展望了Docker研究的发展趋势。 关键词 :虚拟化，容器，Docker，安全 Copyright © 2019 by author(s) and Hans Publishers Inc. This work is licensed under the Creative Commons Attribution International License (CC BY). http://creativecommons.org/licenses/by/4.0/
system: [SYSTEM]

user: 1. 引言 随着当今大数据时代数据呈爆炸式增长，各种云计算平台开始得到了广泛地使用，其中虚拟化技术作为云计算的关键技术，在过去十年开始飞速发展 [ 1 ] 。在大规模的计算环境中采用传统的虚拟机技术将会占用了很大的系统资源，使得系统主机运行的较为缓慢，Docker作为一种新的虚拟化技术应运而生。其相较于传统的虚拟机技术更加快速，它的优势主要体现在进程/容器级上，Docker在启动速度、信息隔离和资源消耗方面的优势十分明显 [ 2 ] ，因此Docker成为了当前人们研究虚拟化技术的热点。Docker提供了一个生态系统，为容器内的应用程序打包，分发和管理提供平台。但是Docker平台尚未成熟，特别是在安全性方面仍存在一些问题。目前，与虚拟机(VM)和大多数其他云技术相比，Docker的安全性较低 [ 3 ] 。本文对Docker进行了简要概述，同时对Docker存在的一些安全性问题进行了总结，并介绍了Docker安全部署指南，最后对Docker的发展进行了总结和展望。
system: [SYSTEM]

user: 2. Docker技术 2008年第一个比较完善的容器技术--LXC发布，其建立在cgroup和namespace的基础之上。为了追求更加优化的容器技术，2013年3月，Paas服务提供商dotcloud公司(后改名为Docker Inc)在整合已有的技术后，基于LXC技术推出了一款开源的应用容器引擎Docker [ 4 ] 。随着互联网公司的广泛应用及各大社区积极支持，加上自身体系架构及相关组件和工具的不断完善，目前Docker已成为容器技术领域最重要的技术。Docker核心是基于谷歌Golang语言开发的LXC，其通过LXC对网络信息封装从而实现数据处理的可移植性与规范化，Docker源代码托管于Github，并遵从Apache2.0协议 [ 5 ] 。Docker通过内核虚拟化和分层镜像，可以让开发者把开发环境、应用及其所需的依赖包封装到镜像，由于Docker不受底层操作系统的制约，因此其可以发布到安装有Docker的电脑上，不受电脑使用的操作系统限制。Docker能够为应用提供快速、高效、灵活的部署方式，同时由于云计算平台正逐渐改变当前Paas以及Iaas的架构模式 [ 6 ] ，各大云服务供给商都相继推出了基于Docker的容器云服务。云计算行业中的各大厂商如Amazon、IBM、VMware都纷纷加入了参与到了这个行列中。 传统的虚拟化技术如VMware、Xen等属于硬件级的虚拟化，需要模拟一个完整的OS层，硬件资源利用低；Docker是进程级的虚拟化技术，相比于前者，没有了硬件模拟层开销，因此更轻量、快速和高效。在容器内运行应用程序时，与虚拟机技术不同，Docker可以直接调用系统内核执行命令，不需要经过中间层翻译，因此资源开销更小，启动速度更快，因而可以很容易地在一台服务器上部署成百上千个容器并且快速启动。虽然Docker有着诸多优势，但是与其他虚拟化技术相比，安全方面却存在着很大的挑战。
system: [SYSTEM]

user: 3. Docker安全性问题 虚拟环境为运行安全性很高的服务提出了很大的挑战，尤其是在多租户云系统中 [ 7 ] 。相较于Docker，传统的虚拟机技术具有更高的安全性。其关键原因在于虚拟机技术添加了主机和应用程序中间的额外间隔层。 基于虚拟机技术的应用程序只允许与虚拟机内核通信，而不允许与主机内核通信。所以，如果攻击者想要攻击主机内核就必须绕过虚拟机内核与管理程序。同时，容器模型提供给了应用程序直接访问权限并能与主机内核进行通信。此时恶意者便可直接对主机内核进行攻击。与虚拟机技术相比，这是容器技术更易发生安全性问题的关键方面之一。目前，Docker是排名第一的基于容器的虚拟化平台。Docker容器也同样存在安全隐患。 3.1. 内核漏洞 内核管理着所有容器的操作和进程。在发生内核级漏洞的情况下，容器内运行的应用程序将处于被攻击者利用的威胁中。所有容器共享相同的内核体系结构。在这种情况下，如果某些应用程序被劫持并获得内核的某些特权，那么这时可能会导致所有正在运行的容器以及主机平台受到威胁。同样地，两个容器不可能使用相同内核模块的不同版本。 Docker目前非常重视安全性问题，并试图提供更加坚实有效的方案来处理安全性问题。为了处理内核级漏洞，如运行Docker Engine时执行AppArmor或SELinux。 要避免此类风险，必须将容器文件系统设置为只读。同时通过关闭容器间通信，也可避免这种攻击。避免在容器中安装不必要的包也是保持这种危险的好方法。 3.2. 拒绝服务攻击 拒绝服务(DoS)是最着名的网络资源攻击之一 [ 8 ] 。在这种攻击中，一个进程或一组进程试图消耗系统的全部资源，从而破坏正常的处理或操作。 在基于容器的系统架构中，所有容器共享内核资源。当一个容器利用对资源的访问权限时，就会发生DoS条件，在这种情况下，它会饿死所有其他容器。 如果遇到此类攻击，需通过以下的方案来解决：文件系统隔离，进程隔离，IPC隔离，设备隔离，网络隔离和控制资源分配。因此，通过控制每个容器的资源分配，可以防止这种攻击。Docker将Cgroups(控制组)作为处理此类问题的关键工具。Cgroups提供了一种计算方法来限制了每个容器的资源，例如Docker容器可用的CPU时间、磁盘I/O和存储空间，它们保证每个容器都能公平地获取资源，避免某个容器垄断所有资源。此外，Cgroup准许Docker对每个容器的资源分配约束进行设置。 3.3. 容器突破 在这种攻击中，攻击者突破容器，然后便能够访问主机和其他容器。在获得访问权限后，恶意者将能对容器外的文件进行访问。 open_by_handle_at()允许进程通过file_handle结构访问已挂载文件系统上的文件。file_handle结构利用inode编号来区分文件。要调用此函数，需要CAP_DAC_READ_SEARCH功能。默认情况下，容器内的超级用户具有此功能。这允许攻击者绕过simfs约束，访问主文件系统上的所有文件，主文件系统包括驻留在类似文件系统上的其他VE文件。 从Docker的官网可知，容器突破问题只出现在Docker版本0.11之前。这个漏洞在Docker 0.12中已被修复。 为了缓解此类安全漏洞，需要将容器文件系统设置为只读。使用特权标志运行容器很有可能会导致此类安全攻击。将容器卷设置为只读是阻止容器突破的有效方法。 3.4. 镜像中毒 容器镜像有时可能被某些病毒感染。如果有人运行过时的、已知易受攻击的软件版本，也会出现镜像中毒问题。Docker下载的镜像由系统验证 [ 9 ] 。此验证完全基于签名清单的存在。虽然Docker从未对清单中的下载镜像进行校验。因此攻击者可以将任一镜像与签名清单一起传输。这种安全问题可能导致许多严重的漏洞。在Docker中，镜像从HTTPS服务器下载，这些镜像会通过Docker守护程序中不安全的流处理管道：[decompress] ->[tarsum] -> [unpack]。在Docker内部，这条管道很有效，但是不受保护。因此，需要在确认其数字签名之前评估未经认证的输入流。 Docker用户需要警惕用于下载镜像的代码。用户应该只下载经过身份验证的受信任镜像。管理此类安全问题的另一个更好的选择是在本地阻止index.Docker.io。通过这种方式，用户可以在通过Docker加载导入Docker平台之前进行手动下载和验证镜像。 3.5. 安全威胁 安全威胁是容器技术的重大安全隐患之一。在攻击者窃取API密钥和数据库密码的情况下，整个系统可能都会受到影响。Docker允许用户同时运行多个容器。在发生安全漏洞的情况下，整体服务和运营可能会中断。因此，需要做更多的工作来保证数据库密码和API密钥安全。同此类详细信息要求必须保密。 为了进一步保护Docker免受此类攻击，需要将容器文件系统设置为只读选项。对于共享机密，利用环境变量不是一个好选择。运行没有特权标志的容器也将为避免危及安全攻击提供极大帮助。 3.6. 中间人攻击 在这种攻击中，恶意者将自己插入两个合法方的通信之中。此类攻击者监视、更改或窃取在双方通信之间传输的有价值信息 [ 10 ] 。网络隔离是防止此类基于网络的攻击的最有效方法，此方法可使得它们无法操纵或窃听主机及其他容器的网络流量。在这种情况下，OpenVPN(开放虚拟专用网络)提供了一种通过TLS(传输层安全协议)加密实现虚拟专用网络(VPN)的最佳方法。 Docker提供了一种封装OpenVPN服务器的简便方法。通过这种方式，可以在Docker平台上更轻松地操作OpenVPN服务器进程和数据管理。Docker OpenVPN的镜像是预先构建的。它包含了在均衡和持久的环境中运行服务器所需的一切条件。Docker提供了那些使标准用例的自动化配置脚本，但是如果需要，它也提供完整的手动配置。 3.7. ARP欺骗攻击 ARP (地址解析协议)欺骗是一种安全攻击，攻击者借助局域网(LAN)发送假造的ARP消息 [ 11 ] 。这时，恶意者能够将其MAC地址与网络上合法系统的IP地址相关联，当攻击者的MAC地址链接到合法的IP地址时，攻击者将开始从该特定的IP地址获取每一位数据。 最初，Docker开发人员较少关注这一情况——即ARP用于将IPv4映射到以太网硬件(MAC)地址，虚拟网桥也可以利用这些地址将以太网帧分配到正确的容器。由于ARP数据包未被过滤，因此ARP本身没有可用的安全机制。因此，容器可以模仿其他容器甚至主机，从而出现了ARP欺骗。IPv6中的NDP (邻居发现协议)也通过类似的方式使用。 如果攻击者获得其中一个容器的访问权限，则通过破坏容器的安全性，攻击者可以获取、操纵或重定向网桥的任何信息。此信息可以是在容器和外部之间运行的任何流量。在这种情况下，攻击者可能会捕获到Web应用程序和数据库容器之间发送的任何秘密细节(如密码)。此外，恶意者还能将恶意负载注入网络连接中。 保护Docker容器免受此类攻击的有效的方法是运行没有NET_RAW功能的容器。这样，容器内的程序将无法创建PF_PACKET套接字。如果没有PF_PACKET套接字，则无法执行ARP欺骗攻击。另一种更适合保护Docker容器免受此类攻击的方法是利用“ebtables”来过滤掉以太网帧。通过这种方式，可以捕获并检测到具有错误发送方协议或硬件地址(ARP欺骗)的ARP数据包 [ 12 ] 。它还允许过滤掉不正确的源地址(MAC欺骗)。在这种条件下，攻击者将没有机会实现ARP欺骗攻击。