4. SLO 定义与度量：关键指标、采集方式与违约阈值

沙箱隔离处置的触发依据是 SLO（Service Level Objective）违约。本章定义容器运行时治理控制面中与沙箱性能直接相关的三个核心 SLO 指标，明确其度量采集方式，并设定违约阈值。这些指标将作为后续沙箱隔离策略的输入信号。

4.1 SLO 关键指标定义

针对沙箱生命周期与资源消耗，我们选取以下三个关键指标作为 SLO 的度量对象：

4.2 度量采集方式

我们采用双轨采集架构：Prometheus 负责高层次的指标聚合与告警，eBPF 负责细粒度的内核级数据采集。两者互补，形成完整的可观测性视图。

4.2.1 Prometheus 采集路径

Prometheus 通过以下 exporter 获取 SLO 指标：

• Kubelet /metrics/resource：暴露 Pod 级别的 CPU、内存使用量，用于计算沙箱内存开销。
• 容器运行时 metrics 端点：containerd 或 CRI-O 暴露的 gRPC metrics，包含沙箱创建耗时直方图。
• 自定义沙箱 exporter：部署在每个节点上的 agent，将 eBPF 采集的 IOPS 数据转换为 Prometheus 格式。

# Prometheus 采集配置示例（scrape_configs 片段）
- job_name: 'sandbox-metrics'
  static_configs:
    - targets: ['node-exporter:9100', 'cri-metrics:1338']
  metrics_path: '/metrics'
  relabel_configs:
    - source_labels: [__address__]
      regex: '(.*):.*'
      replacement: '${1}'
      target_label: 'node'

4.2.2 eBPF 采集路径

eBPF 程序挂载在沙箱进程的 syscall 入口与内核函数上，实现零侵入的细粒度采集：

• 启动延迟：通过 tracepoint syscalls/sys_enter_clone 与 syscalls/sys_exit_clone 追踪沙箱进程创建耗时。
• 内存开销：通过 cgroup 内存控制器接口 memory.current 与 memory.stat 实时读取。
• IOPS：通过 kprobe 挂载 blk_account_io_done 函数，按沙箱 cgroup 维度统计块设备 I/O 次数。

// eBPF 程序伪代码：统计沙箱 IOPS
struct key_t {
    u32 cgroup_id;
};
BPF_HASH(iops_map, struct key_t, u64);

int kprobe__blk_account_io_done(struct pt_regs *ctx) {
    struct key_t key = {};
    key.cgroup_id = bpf_get_current_cgroup_id();
    u64 *val = iops_map.lookup(&key);
    if (val) {
        (*val)++;
    } else {
        u64 init = 1;
        iops_map.update(&key, &init);
    }
    return 0;
}

4.3 违约阈值设定

阈值设定基于生产环境基线数据与业务容忍度。以下为推荐初始值，实际部署时应根据历史百分位动态调整：

4.4 SLO 度量与违约判定流程

下图展示了从数据采集到违约判定的完整链路：

4.5 多维度 SLO 违约判定矩阵

单一指标违约可能由多种原因引起。下表帮助运维人员快速定位根因：