📚 课程目录第1章课程导论

1. 课程导论：VPA与eBPF结合的必要性、资源配额校准的痛点、变更门禁与回滚的核心价值

在Kubernetes集群中，垂直Pod自动扩缩容（VPA）通过历史资源使用数据（CPU/内存）动态调整Pod的Request与Limit，但传统VPA存在两个致命盲区：

eBPF（Extended Berkeley Packet Filter）技术能够在内核态安全地注入观测探针，实时捕获网络数据包、TCP连接状态、socket缓冲区占用等细粒度指标。将eBPF网络观测数据注入VPA决策链路，可以实现：

核心洞察：VPA负责“调多少”，eBPF负责“调得准不准”。两者结合，将资源管理从“基于统计的被动响应”升级为“基于观测的主动校准”。

在生产环境中，资源配额校准（Resource Quota Calibration）面临以下核心挑战：

痛点	描述	典型后果
静态基准失效	基于历史P99/P95的静态基准无法适应业务流量波动，尤其是网络密集型应用（API网关、消息队列）。	资源碎片化，集群利用率低于40%
网络资源不可见	CPU/内存指标无法反映网络I/O压力，导致Pod因网络瓶颈被限流，但VPA认为资源充足。	请求延迟飙升，SLA违约
校准周期过长	VPA默认推荐周期为30秒~5分钟，无法响应秒级网络突发（如秒杀、流量洪峰）。	OOM Kill 或 CPU Throttling
变更风险不可控	资源调整后缺乏实时验证手段，无法判断新配额是否导致网络性能下降或连接中断。	回滚频繁，运维成本高

生产案例：某电商平台在双11大促期间，VPA基于历史数据将网关Pod的CPU Request从2核降至1.5核，但eBPF观测显示网络连接数突增300%，导致Pod因CPU Throttling丢包，最终引发5分钟全站不可用。事后分析发现，传统VPA完全忽略了网络I/O对CPU的间接消耗。

变更门禁（Change Gate）与回滚判断（Rollback Decision）是保障VPA资源调整安全性的两道防线：

变更门禁：在VPA执行资源调整前，基于eBPF实时网络观测数据（连接数、延迟、丢包率、吞吐量）进行风险评估。如果网络指标超出安全阈值，则阻止变更并告警。
回滚判断：在资源调整生效后，持续观测网络行为变化。如果检测到网络性能劣化（如延迟增加>20%、丢包率>0.1%），自动触发回滚到上一版本资源配额。

  核心价值总结：
  零信任变更：每次资源调整都经过eBPF网络观测验证，拒绝“盲调”。
秒级自愈：回滚判断在5秒内完成，将故障影响面控制在最小范围。
可观测闭环：VPA、eBPF、门禁、回滚形成完整的数据驱动决策链路。

本课程将围绕以下技术栈展开：

模块	核心内容	关键技术
VPA 原理与局限	VPA Recommender/Updater/Admission Controller 工作机制，以及网络观测缺失的根因分析	Kubernetes VPA、Metrics Server
eBPF 网络观测	基于 eBPF 的 socket 级网络指标采集（带宽、连接数、RTT、丢包率）	BPF CO-RE、libbpf、tcx、kprobe
资源配额校准算法	融合 CPU/内存/网络的多维资源画像，以及基于滑动窗口的实时校准模型	指数加权移动平均（EWMA）、异常检测
变更门禁实现	基于 eBPF 观测数据的门禁策略引擎，支持动态阈值与多维度风险评估	Open Policy Agent (OPA)、PromQL
回滚判断与自动化	网络性能劣化检测算法，以及自动回滚触发机制与灰度验证	Argo Rollouts、Flagger

学习路径建议：建议先掌握 Kubernetes VPA 基础操作和 eBPF 基本概念（如 BPF 程序类型、Map 通信），再深入本课程的校准算法与门禁实现。每章均提供可运行的代码示例和 eBPF 观测脚本。