3. 事件采样原理：为什么需要采样

在 Containerd 运行时流水线中，事件（Event）是系统状态变更的最小可观测单元。一个中等规模的 Kubernetes 节点（50 Pods、200 容器）每秒可能产生数百个事件，包括容器创建、快照挂载、镜像拉取、垃圾回收扫描等。如果对所有事件进行全量采集、传输和存储，将带来严重的性能、存储和成本问题。

3.1 为什么需要采样

全量事件采集在三个维度上产生不可忽视的代价：

3.2 采样策略

根据事件特征和业务需求，Containerd 事件采样通常采用以下三种策略：

3.2.1 固定率采样

以固定概率（如 10%、1%）决定是否采集事件。实现简单，但无法区分高频噪音事件和低频关键事件。

• 适用场景： 事件分布均匀、异常事件占比稳定的环境。
• 缺点： 低频但重要的事件（如 OOM Kill、镜像拉取失败）容易被丢弃。

3.2.2 自适应采样

根据事件类型、频率、优先级动态调整采样率。高频事件自动降采样，低频关键事件保持全量或高采样率。

• 适用场景： 事件分布长尾、异常事件稀疏的生产集群。
• 实现方式： 基于滑动窗口统计事件频率，结合优先级表动态计算采样概率。

3.2.3 分层采样

将事件按层级（如系统层、容器层、镜像层）或严重程度（Info、Warning、Error）分层，每层独立配置采样策略。

• 适用场景： 需要精细控制不同维度事件采集量的复杂系统。
• 优点： 错误事件全量采集，Info 事件低采样，兼顾可观测性与成本。

3.3 采样对可观测性的影响

采样不是无代价的。它会在以下三个层面影响可观测性质量：

3.4 采样在 Containerd 中的实现要点

在 Containerd 事件流水线中，采样通常嵌入在事件生产端（containerd 守护进程内部）或事件消费端（如 CRI 插件、Mirror GC 控制器）。以下是关键实现考量：

• 采样点位置： 在事件写入环形缓冲区之前进行采样决策，避免无效事件占用缓冲区空间。
• 采样决策原子性： 使用 math/rand/v2 或 fastrand 生成随机数，确保采样决策在纳秒级完成。
• 优先级表配置： 通过 YAML 配置文件定义事件类型与采样率的映射关系，支持热加载。

# 示例：Containerd 事件采样配置（YAML）
event_sampling:
  strategy: "layered_adaptive"
  layers:
    - level: "error"
      sampling_rate: 1.0          # 全量采集
    - level: "warning"
      sampling_rate: 0.5          # 自适应基准 50%
      adaptive: true
      min_rate: 0.2
      max_rate: 0.8
    - level: "info"
      sampling_rate: 0.05         # 固定 5%
  priority_overrides:
    - event_type: "oom_kill"
      sampling_rate: 1.0          # OOM 事件全量
    - event_type: "image_pull_failed"
      sampling_rate: 1.0          # 镜像拉取失败全量