Containerization

A conteinerização é uma forma de empacotar software na qual um aplicativo e tudo o que ele precisa para funcionar — incluindo seu ambiente de execução, bibliotecas, pacotes do sistema e configuração — são reunidos em uma imagem executada como um processo isolado chamado contêiner. Cada contêiner tem seu próprio sistema de arquivos, árvore de processos e interfaces de rede, enquanto todos os contêineres em um host compartilham o kernel do sistema operacional desse host, o que os torna muito mais leves que as máquinas virtuais. Em aprendizado de máquina (ML), a conteinerização elimina conflitos entre projetos que precisam de versões diferentes de Python, CUDA ou PyTorch e permite que um modelo treinado em uma estação de trabalho seja executado sem alterações em um servidor, cluster ou dispositivo de computação de borda.

Como funcionam os contêineres#

Os contêineres Linux se baseiam principalmente em dois recursos do kernel. Os namespaces controlam o que um processo pode ver, dando a ele seus próprios IDs de processo, pilha de rede, pontos de montagem e usuários; os cgroups (grupos de controle) controlam o que ele pode usar, limitando CPU, memória e E/S. A ideia surgiu do chroot em 1979 e das jails do FreeBSD em 2000; os cgroups entraram no kernel Linux em 2008, e o Docker popularizou os contêineres em 2013. A Open Container Initiative (OCI), fundada em 2015, padronizou os formatos de imagem e de ambiente de execução, permitindo que uma imagem criada com uma ferramenta seja executada por outra.

Um ambiente de execução de contêineres realiza o trabalho. Ambientes de execução de alto nível, como containerd e CRI-O, baixam imagens e gerenciam os ciclos de vida dos contêineres; um ambiente de execução OCI de baixo nível, como runc, cria os namespaces e cgroups e inicia o processo. Como os contêineres Linux precisam de um kernel Linux, o macOS e o Windows os executam dentro de uma pequena máquina virtual Linux.

Imagens, camadas e registros#

Uma imagem é uma pilha de camadas somente de leitura mais uma configuração que especifica o comando a executar. Na inicialização, o ambiente de execução mescla as camadas em um sistema de arquivos, geralmente com OverlayFS, e adiciona uma camada fina gravável para o contêiner, permitindo que muitos contêineres compartilhem uma cópia da imagem no disco. Registros como Docker Hub, GitHub Container Registry e o registro de cada provedor de nuvem armazenam imagens com tags como latest e com resumos de conteúdo, hashes SHA-256 que sempre identificam os mesmos bytes. As compilações reutilizam as camadas inalteradas, por isso os Dockerfiles instalam as dependências antes de copiar o código editado com frequência:

Conteinerização nos fluxos de trabalho de ML#

Nos pipelines de MLOps, os contêineres levam um projeto da experimentação à produção. As imagens de frameworks, como as do NVIDIA NGC Catalog, fixam as versões do CUDA, cuDNN e framework, para que todos os nós de um trabalho de treinamento distribuído executem o mesmo software; o host fornece apenas o driver da GPU, que o NVIDIA Container Toolkit disponibiliza ao contêiner. Os testes de integração contínua são executados na mesma imagem que será usada posteriormente, os servidores de inferência para disponibilização de modelos funcionam como imagens que o Kubernetes replica e dimensiona conforme o tráfego, e os dispositivos de IA de borda, como as placas NVIDIA Jetson, atualizam um modelo baixando uma nova tag de imagem.

A integração local da Ultralytics Platform para espaços de trabalho Enterprise instala o Docker, se necessário, e executa um contêiner de worker a partir da imagem oficial da Ultralytics compatível com o hardware ARM64, CPU ou GPU NVIDIA do host. O worker monta a pasta do conjunto de dados como somente leitura, mantendo as imagens de origem nesse computador enquanto as métricas de treinamento e o melhor ponto de verificação de cada execução YOLO26 são enviados à Platform.

Contêineres e máquinas virtuais#

Uma máquina virtual executa um sistema operacional convidado completo, com seu próprio kernel, em um hipervisor; por isso, cada VM inclui uma imagem de sistema operacional de vários gigabytes e inicializa como um computador separado. Um contêiner é um processo comum no kernel compartilhado do host, então inicia tão rápido quanto o aplicativo e acrescenta apenas seus próprios arquivos. O compartilhamento do kernel também significa que uma vulnerabilidade nele pode expor todos os contêineres de um host, por isso os dois recursos costumam ser combinados: nuvens públicas executam contêineres de clientes dentro de VMs, e ambientes de execução isolados adicionam uma segunda barreira para código não confiável, como o código que agentes de IA escrevem e executam em ambientes isolados para agentes. O gVisor do Google intercepta as chamadas de sistema de um contêiner usando seu próprio kernel em espaço de usuário. O Kata Containers executa cada contêiner dentro de uma máquina virtual leve, e a AWS criou as microVMs Firecracker para isolar funções do AWS Lambda da mesma forma.