7.2 容器隔离与资源限制

下游 Tool 在任务边界内运行，主要隔离要求包括：

• 默认关闭容器网络（network none）。
• 删除额外 capability，避免不必要的提权。
• stage 输入和任务复现材料只读挂载；analysis 目录作为任务输出位置写入。
• CPU、内存、磁盘及可选 GPU 要求以精确 Tool 版本的 config/summary 和宿主环境为准。
• 上游资源由 BioLine Flow 与云端平台管理，不能用本地容器配置覆盖。
• 任务结束后的镜像清理仅限符合本任务拉取账本的镜像；不清理预存、身份变化、共享或仍在使用的镜像，不执行批量 prune。

执行前核对 Tool 版本、资源要求和宿主容器运行时能力。资源或隔离条件不满足时，应停止并报告缺口。