1. 课程导论与背景：容器运行时CRI接口定义、Kubelet与CRI的交互模型、为什么会产生资源交互瓶颈
1.1 容器运行时接口（CRI）的定义与设计目标
CRI（Container Runtime Interface）是 Kubernetes 在 v1.5 引入的插件化接口协议，用于解耦 Kubelet 与底层容器运行时。CRI 使用 Protocol Buffers（protobuf）定义，通过 gRPC 通信，使任何实现了该接口的运行时（如 containerd、CRI-O、Docker Engine 通过 dockershim）都能无缝接入 Kubernetes 生态。
| 维度 | 说明 |
|---|---|
| 接口类型 | RuntimeService（Pod/容器生命周期管理）+ ImageService（镜像管理） |
| 通信协议 | gRPC over Unix Socket（默认路径 /run/containerd/containerd.sock 或 /var/run/crio/crio.sock） |
| 核心方法 | RunPodSandbox、CreateContainer、StartContainer、Status、ListImages 等约 30+ RPC |
| 设计目标 | 运行时无关性、版本兼容、资源抽象统一、安全隔离 |
关键设计决策：CRI 不定义容器运行时内部实现细节，只定义 Kubelet 与运行时之间的“契约”。这种松耦合架构使得 Kubernetes 可以在不修改核心代码的前提下，替换或升级底层运行时。
1.2 Kubelet 与 CRI 的交互模型
Kubelet 作为节点上的核心控制组件，通过 CRI 客户端与容器运行时守护进程通信。交互流程遵循“同步调用 + 状态缓存”模式，每次 Pod 创建、删除、状态查询都会触发一次或多次 gRPC 调用。
交互时序要点：Kubelet 的 SyncLoop 每 100ms 轮询一次 Pod 状态变化。当检测到新 Pod 时，依次调用
RunPodSandbox → CreateContainer → StartContainer，每个步骤都是同步 gRPC 调用，必须等待返回才能继续下一步。
1.3 为什么会产生资源交互瓶颈
在集群规模增长或 Pod 密度升高时，Kubelet 与 CRI 之间的交互逐渐暴露出性能瓶颈。根本原因可归纳为以下四个维度：
- 串行化处理模型：Kubelet 对同一 Pod 的多个容器操作是串行的，且不同 Pod 的操作在单线程 SyncLoop 中排队执行。
- gRPC 调用开销：每次 CRI 调用都涉及 protobuf 序列化/反序列化、Unix Socket 读写、上下文切换，高频场景下开销不可忽略。
- 无内置流控与背压：CRI 协议未定义请求优先级、限流或背压机制，当运行时负载高时，Kubelet 仍持续发送请求，导致超时和重试风暴。
- 状态查询放大：
ListPodSandbox、ListContainers、ContainerStatus等查询接口在大量 Pod 场景下返回全量数据，Kubelet 需要频繁解析和比对。
| 瓶颈维度 | 具体表现 | 典型场景 |
|---|---|---|
| 串行化处理 | Pod 启动延迟随并发数线性增长 | 批量调度 50+ Pod 到同一节点 |
| gRPC 调用开销 | 单次调用耗时 5-50ms，高频下 CPU 占用飙升 | 每秒 100+ 次 CRI 调用 |
| 无流控背压 | 运行时 OOM 或 hang 时，Kubelet 仍持续调用 | 节点内存压力下的状态查询 |
| 状态查询放大 | 全量 List 接口返回 500+ 条记录，Kubelet 全量解析 | 节点运行 200+ Pod 时的周期性同步 |
工程警示：在节点运行超过 100 个 Pod 时，Kubelet 与 CRI 之间的交互延迟会显著增加。实际生产环境中曾观测到
RunPodSandbox 调用耗时从平均 200ms 飙升至 2s+，直接导致 Pod 启动超时和调度失败。这是本课程后续章节要重点分析和优化的核心问题。
1.4 课程案例工程全景
本课程将围绕一个真实的性能工程案例展开：某在线广告平台在业务高峰期，节点 Pod 密度达到 150+，出现大规模 Pod 启动超时和节点 NotReady 事件。通过全链路分析 Kubelet-CRI 交互，定位到以下关键瓶颈点：
- CRI 调用频率过高：每秒平均 80 次 gRPC 调用，峰值 200+ 次
- 序列化开销占比大：protobuf 编解码占 CPU 的 15%-20%
- 无缓存导致重复查询：同一 Pod 状态在 1s 内被查询 3-5 次
- 运行时内部锁竞争：containerd 的 sandbox 管理存在全局锁