Linux系统资源动态调度容器服务防止资源抢占

为什么容器会互相抢占资源？

在同一台 Linux 服务器上运行多个容器服务时，如果不对每个容器的 CPU 和内存做限制，任何一个容器都可以无上限地使用宿主机的全部资源。
当某个容器出现突发流量或者内存泄漏时，就会挤占其他容器的资源，导致整个系统变慢甚至 OOM（内存耗尽）。
解决这个问题的核心思路就是 Linux 系统资源动态调度 —— 给每个容器设置合理的上限，并允许在运行时根据负载调整配额，从而防止服务互相抢占。

本文面向刚接触容器管理的运维新手，所有步骤在 Ubuntu 22.04 + Docker 24 环境下验证通过，cgroup 版本为 v2。

第一步：用静态限制给容器安装“护栏”

启动容器时直接设定 CPU 和内存硬限制，是最基础的防止资源抢占手段。

1. 限制 CPU 使用

使用 --cpus 参数指定容器最多能使用的 CPU 核心数（可以传入小数）。
例如只允许容器占用 1.5 个核心：

docker run -d --name my-service --cpus 1.5 my-image:latest

2. 限制内存使用

使用 --memory 参数设置最大内存，超过则触发 OOM Kill（可以配合 --memory-swap 控制交换分区）。
例如限制为 512MB：

docker run -d --name my-service --memory 512m my-image:latest

生产环境建议同时设置 CPU 和内存，避免单方面限制导致的性能瓶颈。

第二步：运行时动态调整配额，实现“动态调度”

容器启动后如果发现资源配额不合理，无需重建容器。
使用 docker update 命令可以在不停机的情况下修改资源限制，这正是 资源动态调度 的核心操作。

1. 修改 CPU 上限

docker update --cpus 2.0 my-service

2. 修改内存上限

docker update --memory 1g my-service

动态调整依赖宿主机的 cgroup v2 支持，可通过 `docker info` 查看“Cgroup Driver”是否为“systemd”。如果显示“cgroupfs”，建议迁移至 systemd 以获得更稳定的动态调度能力。

第三步：用 CPU 权重让容器“按需竞争”

--cpus 是硬上限，而 --cpu-shares（cgroup v1）或 --cpu-weight（cgroup v2）提供的是软优先级。
当宿主机 CPU 富余时，所有容器都能跑满；
当 CPU 争抢时，按权重比例分配。

使用权重防止关键服务被抢

docker run -d --name critical-service --cpu-shares 2048 --memory 2g my-critical-image
docker run -d --name background-service --cpu-shares 512 --memory 256m my-background-image

权重值为 1024 是默认值，critical-service 的 2048 意味着它在竞争环境下能获得 background-service 4 倍的 CPU 时间。
这种方式非常适合混合部署不同重要等级的服务。

避坑指南：你可能遇到的三个问题

1. 容器总是被 OOM 杀死

检查宿主机的 dmesg 日志：

dmesg | tail -20 | grep -i oom

如果看到对应容器名，说明内存上限设置过低。
建议适当提高 --memory 或添加 --memory-reservation 软限制（例如 --memory-reservation 600m 表示尽量不超 600MB，但允许突发到硬限制）。

2. 明明限制了 CPU，但负载还是高

原因很可能是 swap 未限制。
默认情况下 --memory 允许使用同等大小的 swap。
添加 --memory-swap 可关闭 swap：

docker run -d --memory 512m --memory-swap 512m my-image

这样容器不能借助 swap 突破内存限制，CPU 占用也会更可控。

3. 动态调整后不生效

确认宿主机 cgroup 版本：

stat -fc %T /sys/fs/cgroup/

输出为 cgroup2fs 即 v2。
如果是 v1，部分动态调整参数可能需重启容器才生效（例如 --memory）。

验证资源调度效果

部署完成后，用以下方式确认配置已生效：

1. 容器资源状态查看

docker stats --no-stream my-service

能看到实时的 CPU %、内存使用/限制。

2. 压力测试检查是否被限制

安装 stress-ng 并在容器内施压：

docker exec -it my-service stress-ng --cpu 4 --timeout 30

同时用 htop 观察宿主机 CPU 使用，如果只接近 --cpus 设定的值，说明限制生效。

3. 多容器抢占场景模拟

启动两个容器，分别设置不同的 --cpu-shares，然后同时运行 CPU 密集任务。
观察 docker stats 中 CPU% 的比例是否接近权重比，以此验证动态调度下的公平分配。

总结

通过 静态限制 + 动态调整 + 权重控制 三步，你就可以在单台 Linux 服务器上实现有效的容器资源动态调度，防止服务互相抢占。
重点记住三条命令：

• docker run --cpus --memory 启动约束
• docker update --cpus --memory 热调整
• docker run --cpu-shares 设置优先级

如果你遇到调整后仍然异常的情况，优先检查 cgroup 版本和 swap 设置。
后续还可以结合 systemd 的 service unit 或 Kubernetes 的 ResourceQuota 做更精细的调度管理，感兴趣的话可以继续查看相关教程。