3. 镜像拉取依赖图概念：什么是镜像依赖图，为什么在升级中重要

在 Kubernetes 集群升级过程中，镜像拉取依赖图（Image Pull Dependency Graph）是一个被低估但至关重要的概念。它描述了集群中所有工作负载（Pod、DaemonSet、StatefulSet 等）在启动或迁移时，需要从镜像仓库拉取哪些容器镜像，以及这些拉取操作之间的时序、资源与拓扑依赖关系。

3.1 什么是镜像依赖图

镜像依赖图是一个有向无环图（DAG），其节点代表集群中需要拉取的容器镜像，边代表拉取顺序、资源竞争或网络拓扑约束。它不仅仅是一张镜像清单，更反映了升级过程中镜像拉取的并发能力与阻塞风险。

下表列出了镜像依赖图的三种主要边类型及其在升级中的含义：

3.2 为什么在集群升级中重要

集群升级（尤其是控制面升级、节点池滚动升级）会触发大量 Pod 重建或迁移。此时，镜像拉取依赖图直接决定了升级的速度、稳定性和成功率。忽视依赖图，往往导致升级超时、节点压力过载甚至服务中断。

镜像依赖图在升级中的关键影响体现在以下四个维度：

1. 拉取并发度控制：依赖图揭示了哪些镜像可以并行拉取，哪些必须串行。升级策略需要根据图结构设置合理的并发拉取数，避免仓库或节点带宽被突发流量打满。
2. 节点资源预算：每个节点在升级时需同时拉取多个镜像（如基础镜像 + 应用镜像 + Sidecar 镜像）。依赖图帮助计算节点磁盘 I/O 和网络带宽的峰值需求，防止节点因资源争抢而进入 NotReady 状态。
3. 镜像仓库负载预测：大规模集群中，DaemonSet 或 Operator 管理的 Pod 会在所有节点上重复拉取相同镜像。依赖图可以量化仓库的请求峰值（QPS）和带宽需求，指导是否启用 P2P 分发或镜像缓存。
4. 回滚与灰度策略：当升级失败需要回滚时，依赖图同样适用——回滚操作会触发另一批镜像拉取。理解依赖图可以设计更安全的灰度升级批次，避免回滚风暴。

3.3 依赖图在 Helm Chart 中的体现

Helm Chart 通过 values.yaml 和模板渲染间接定义了镜像依赖图。每个 Deployment、StatefulSet 或 DaemonSet 的 image 字段、initContainers 以及 sidecar 注入，共同构成了 Chart 级别的镜像依赖图。

以下是一个典型 Helm Chart 的镜像依赖片段：

# values.yaml 中的镜像定义
images:
  app:
    repository: myregistry.com/app
    tag: v2.0.0
  sidecar:
    repository: myregistry.com/log-agent
    tag: v1.5.0
  init:
    repository: myregistry.com/db-migrate
    tag: v2.0.0

# templates/deployment.yaml 中的使用
spec:
  initContainers:
    - name: db-migrate
      image: "{{ .Values.images.init.repository }}:{{ .Values.images.init.tag }}"
  containers:
    - name: app
      image: "{{ .Values.images.app.repository }}:{{ .Values.images.app.tag }}"
    - name: log-agent
      image: "{{ .Values.images.sidecar.repository }}:{{ .Values.images.sidecar.tag }}"

上述 Chart 在升级时会生成如下依赖关系：

• 时序依赖：Init 镜像 db-migrate:v2.0.0 必须在应用镜像之前拉取完成。
• 资源竞争：应用镜像和 Sidecar 镜像在同一 Pod 内顺序拉取，共享节点带宽。
• 拓扑重复：如果该 Deployment 副本数为 10，则每个副本所在节点都需要重复拉取这三个镜像。

3.4 依赖图分析对升级适配测试的指导

在集群升级前，进行镜像依赖图分析可以指导以下适配测试活动：