容器 35：性能差异来自隔离层还是实验条件
“容器性能损耗多少”缺少测量对象和实验条件。应用计算、内存申请、文件系统 copy-up、网络封装都在不同路径上。34只评估启动，不把 steady-state 性能一起平均。本篇先设定可以证伪的对照，再决定哪些数字能归因于容器边界。
逐项只改变一个条件
同一内核、架构、节点、二进制和输入，先在普通进程跑 bounded_load 的有界计算/内存路径，再在专用容器内跑同样命令；分别记录用户态时间、CPU/内存控制器、可运行 CPU 集与真实的 cgroup 限制。文件系统实验区分宿主相同盘的普通写入、容器可写层首次写入与同一镜像的重复写入；网络实验区分 loopback、veth、bridge 与跨主机封装，应用请求也要用相同连接/大小分布。每组预设预热、次数、并发、成功与失败计数，报告吞吐与分位数及原始数据，不可只挑最快一轮。
失败或反例是把一个组放在远端存储、另一个组放在本地盘，却将延迟差归因于 OverlayFS；或让一组命中页缓存、另一组做冷读取，还声称 cgroup 导致 I/O 变慢。必须逐项记录存储设备、缓存条件、CPU 亲和性、流量路径、镜像 digest 和安全策略，结果可解释时才写局部结论。实验矩阵与相同负载给出可复跑入口。本环境无运行时、独立双 VM，容器/普通进程对照 NOT_RUN，没有可报告的吞吐、分位数或“通用百分比”。
| 现象 | 控制变量 | 边界 |
|---|---|---|
| CPU 差异大 | cgroup 限额、cpuset/邻居 | 不归因于 namespace 本身 |
| 首次文件写慢 | copy-up 与缓存状态 | 不推广到所有 snapshotter |
| 网络 p99 高 | 路由、封装及失败数 | 不以平均值覆盖失败 |
练习
- 先预测在完全相同 CPU limit 下，普通进程与容器的有界负载耗时应怎样；锁定 cpuset 与并发后重复测量并展示原始数据。
- 预测同一文件第一次写与第二次写的延迟差是否能证明 OverlayFS 固有损耗，增加普通进程/相同存储与缓存对照后再归因。
系列总目录：从进程隔离到运行时与编排。
参考资料
All articles on this blog are licensed under CC BY-NC-SA 4.0 unless otherwise stated.
Related Articles
2026-05-23
页回收：kswapd 和 direct reclaim
上一篇讲了内核如何用 LRU 近似和 workingset 检测来判断"谁冷谁热"。判断完之后，实际把页面释放出来的工作由回收子系统完成。回收不是一个单点事件，而是围绕水位线、后台线程和分配路径形成的一套压力响应机制。 核心问题可以压成一句话： 回收是围绕水位线的分级压力响应，不是耗尽后的单点动作。 问题从哪里来 内存分配在 Linux 里几乎无处不在：用户态 malloc 背后的匿名页、page cache 的文件页、内核自己的 slab 对象。每次分配都从 buddy allocator 拿物理页。物理页是有限的。 如果等到完全分配不出页面再回收，分配方会被阻塞很长时间——回收可能涉及写脏页、等待 I/O、遍历反向映射。这种"等到没有了才动"的策略延迟不可控。 Linux 的做法是提前开始。内核设定一组水位线（watermark），在不同压力级别触发不同强度的回收。大部分情况下由后台线程 kswapd 在压力升起时提前回收；只有来不及时才在分配路径上直接回收（direct reclaim）。 水位线模型 每个 zone 有三条基本...
2026-10-01
容器 E07：镜像按需读取是否真的缩短首个请求
34 的冷启动时间分为下载、快照准备、进程和就绪；远程 snapshotter 可能避免在进程启动前取回整份镜像，但把部分内容读取成本移到了首次访问文件时。不能只比较 `create` 的返回速度，就说一次 HTTP 请求更快。 两类成本都算入请求链 固定一个支持按需读取的 snapshotter 与镜像格式，记录启动前实际传输字节、读取文件时额外传输字节、首个请求的耗时、后续请求命中缓存情况。stargz-snapshotter 文档描述了远程按需读取与 eStargz 相关机制；具体实现是否选用了该插件、如何缓存，以及失败后如何回退，必须按实际节点版本和源码路径核对。正例预先设计“启动后只访问镜像中少数文件”的探针；边界例第一次访问未预取的大文件或在受控实验网络中断开远端，可能使首请求变慢/失败。断网仅作用于独立 VM 内的自建网络。 实验矩阵与恢复、统一探针源码允许对照常规 snapshotter；云端没有 containerd/snapshotter、没有真正的镜像按需网络路径，下载字节、缺页、首请求数据一律 `NOT_RUN`。不能把 10 的本地 OCI 布局静态校验...
2026-10-01
容器 07：内存超限与 I/O 变慢不是一种失败
06已经区分 CPU 带宽与相对竞争。内存、进程数量和块设备 I/O 也通过不同控制器暴露各自的失败证据；把“容器慢/死了”统一解释为 OOM，会错过问题所在。 内存约束不是单个数字 cgroup v2 中 memory.current 提供当前使用量，memory.max 为硬上限，memory.high 引导回收与节流；memory.events 的 high、max、oom、oom_kill 记录不同事件。超过 memory.high 不意味着立即杀进程；达到 memory.max 也不能不看回收成败就声称发生了 OOM kill。计数器是累积的，需比较实验前后，记录关联进程和层级。先在专用 VM 给单一小组设置有界内存与申请上限，绝不在共享宿主引发全局压力；每轮记录进程退出状态、memory.events、memory.current 和 dmesg 是否有权限取得相应事件。 pids.max 限制组内任务数量，达到时新的 fork 可以失败，并非旧进程自动被终止。io.max 规定特定设备的 BPS/IOPS 上限，需要先确认设备号、后端以及页缓存是否掩盖了真实块 I/...
2026-10-01
容器 00：运行中的容器究竟是哪一个进程
同一份应用文件在本机运行时只是进程；打包为镜像之后也不会自动变为“正在运行的容器”。要解释一次请求为什么失败，先区分磁盘上的制品、运行时创建的对象、内核里的进程和应用的就绪状态。这四者不处在同一层；把它们都叫“容器”会使故障归因失去落点。 从制品到请求 OCI Image Specification 约定索引、描述符、配置和层等制品表示；Runtime Specification 约定 bundle 配置与执行环境。镜像的摘要标识内容，不是 PID；bundle 描述将要执行的命令与隔离、挂载等参数，不是已经建立的内核对象。运行时准备根文件系统、进程配置，创建或加入 namespace、应用资源及权限约束，最后让内核执行程序。一个处于不同 namespace 的 Linux 进程仍与同机进程共享一个内核；VM 内的 Linux 容器共享 VM 的内核，而非桌面宿主内核。 实际排查时需要沿对象逐一核验：镜像引用解析到哪个 digest；运行时对象的 ID 是什么；运行程序在宿主侧 PID 是什么；/proc/<pid>/ns/* 指向哪些 inode；/proc/<...
2026-10-01
容器 04：换了根目录，为什么仍能看到旧文件
/ 是进程解析路径的起点，不是磁盘的物理边界。仅改变根目录无法证明进程已失去对旧文件系统的引用；父进程打开的文件描述符、当前工作目录和挂载传播均可能影响结果。此前02只改变 UTS/IPC 视图，这一篇把根、挂载树与已打开 FD 分开。 三种不同操作 mount namespace 让进程拥有自己的挂载点集合；新建它时通常复制原先的挂载列表，不能说新 namespace 自动生成了全新的文件系统。挂载传播定义一侧后续挂载事件是否能影响另一侧，因此先检查 /proc/self/mountinfo 的 shared/private 信息，再只在专用私有挂载树做写入实验。chroot 主要改变调用者的根目录路径解析起点；已经打开的旧根 FD 不会因此自动关闭，也不能把它当成安全沙箱。pivot_root 移动根挂载并把旧根移到 put_old，需要符合 mount point 和传播约束；切换之后还要决定何时卸载旧根，清理所有仍引用旧树的 FD。 路径、挂载和文件描述符不是同一个东西 调用 open("/etc/issue") 时，绝对路径从调用进程的 root 起...
2026-10-01
容器 01：父进程退出，工作是否已经结束
“主进程退出了”既不能证明它启动的子进程已完成，也不能证明系统已经回收了全部进程状态。将这句话拆成 fork、exec、文件描述符、信号与 wait，才能解释容器里最常见的退出和日志问题。先阅读00：观测对象与实验基线；这一篇只使用普通进程建立可复核的生命周期，不假定容器运行时已经可用。 四个独立动作 fork() 创建子进程：父子最初有独立 PID，子进程继承打开的文件描述符，但调用返回后谁先执行取决于调度，不能把日志先后当程序依赖。execve() 用新程序替换当前进程映像，不会因为替换而分配新的 PID。默认打开的 FD 随之保留；设置 FD_CLOEXEC 才要求 exec 时关闭相应描述符。容器标准输出常作为由运行时提供的 FD 传入应用，因此新程序是否继承它是能否观察日志的关键。别把“关闭路径名对应的文件”和“关闭 FD”混为一谈：先前打开的 FD 指向已打开文件对象，删除路径也未必让引用立刻失效。 子进程结束时留下退出状态，父进程通过 waitpid() 读取并回收；WIFEXITED 与 WEXITSTATUS 用于正常退出，WIFSIGNALED 用于信号终止。...