4、镜像层原理：Docker/OCI镜像分层结构、UnionFS、写时复制

容器镜像的核心设计思想是分层。每一层代表文件系统的一次变更（如添加一个文件、修改配置、安装一个包），这些层通过联合文件系统（UnionFS）堆叠成一个完整的、可读写的容器根文件系统。理解分层结构、UnionFS 和写时复制（Copy-on-Write, CoW）机制，是分析镜像拉取性能、层缓存命中率以及容器启动 I/O 开销的基础。

4.1 OCI 镜像分层结构

OCI（Open Container Initiative）镜像规范定义了标准的分层格式。一个镜像由一系列只读层（Layer）和一个可写容器层组成。每一层对应一个 blob（通常是 tar.gz 压缩包），并包含一个元数据描述文件（json）。

4.2 UnionFS 与写时复制（CoW）

UnionFS 是一种将多个目录（分支）合并挂载到同一个挂载点的文件系统。Docker 默认使用 OverlayFS（overlay2 驱动），它通过 lowerdir（只读层）和 upperdir（可写层）实现分层堆叠。

写时复制（CoW） 是 UnionFS 的核心性能特性：

• 读操作：优先从 upperdir 查找，若不存在则向下遍历 lowerdir 层。eBPF 可以追踪到读请求在层间的穿透深度。
• 写操作：当容器修改一个位于只读层的文件时，OverlayFS 会先将该文件从 lowerdir 复制 到 upperdir，然后在 upperdir 上执行修改。这个复制动作就是 CoW。
• 删除操作：在 upperdir 中创建一个 whiteout 文件（字符设备 0:0），屏蔽 lowerdir 中的同名文件。

4.3 OverlayFS 层堆叠与容器视图

下图展示了 OverlayFS 如何将多个镜像层和一个容器层合并为容器进程看到的统一文件系统视图。

4.4 层缓存与 eBPF 观测点

在 Kubernetes 节点上，镜像层会被缓存到本地磁盘（/var/lib/docker/overlay2/ 或 /var/lib/containerd/io.containerd.snapshotter.v1.overlayfs/）。eBPF 可以挂载到文件系统层和块设备层，捕获以下关键指标：

4.5 写时复制（CoW）的 eBPF 观测示例

以下是一个简化的 eBPF 程序片段，用于捕获 OverlayFS 的 CoW 事件（基于 kprobe 挂载到 ovl_copy_up 内核函数）：

// 伪代码：观测 OverlayFS 写时复制事件
struct cow_event {
    u32 pid;
    u64 size;
    char comm[16];
    char filename[64];
};

// 挂载到 ovl_copy_up 入口
int kprobe__ovl_copy_up(struct pt_regs *ctx) {
    struct dentry *dentry = (struct dentry *)PT_REGS_PARM1(ctx);
    struct inode *inode = dentry->d_inode;

    struct cow_event event = {};
    event.pid = bpf_get_current_pid_tgid() >> 32;
    bpf_get_current_comm(&event.comm, sizeof(event.comm));
    event.size = inode->i_size;

    // 获取文件名（简化处理）
    bpf_probe_read_kernel_str(&event.filename, sizeof(event.filename),
                              dentry->d_name.name);

    bpf_perf_event_output(ctx, &cow_events, BPF_F_CURRENT_CPU,
                          &event, sizeof(event));
    return 0;
}

4.6 镜像层数与性能权衡

镜像层数并非越多越好。虽然分层有利于缓存和复用，但过多的层会增加元数据开销和文件查找路径长度。以下是一个典型的分层策略对比：