嵌入式容器化：资源受限设备轻松运行K8s

　　凌晨三点十七分，告警声没响，是DBA老陈的微信弹窗先亮起来，蓝光映得他半张脸发青。我正把SSH连上那台树莓派集群的第三节点，敲完`kubectl get nodes --no-headers | wc -l`，回车键按下去前顿了半秒——这命令我在二十三台不同SOC上跑过，但这一台，输出是空的。不是NotReady，不是Unknown，是空。连error都不报，就静静看着你。我原以为又是etcd snapshot卡在wal日志里，结果tail了三分钟journalctl才发现：kubelet根本没起来，systemd说“exec format error”。对，ARM64镜像塞进了RISC-V板子，编译脚本里硬编码的`--platform linux/arm64`，没人动过它，直到它在产线烧录后第七小时开始吐核心转储。

　　机房冷风从机柜底缝往上钻，吹得我脚踝发麻。我蹲下去看散热片，发现其中一块贴着壳体的硅脂已经裂开细纹，像干掉的蚯蚓。旁边工位的后端小张换了一双拖鞋——左脚是灰色毛绒，右脚是深蓝橡胶底，鞋带还耷拉在脚踝外头，我数了两遍，确认他确实只系了一边。空调嗡的一声，不是启动，是停机时压缩机卸载的颤音，很短，但刚好卡在我重试`kubeadm init`的间隙。这个我敢打包票：那声音和`/var/lib/kubelet/config.yaml`里`maxPods: 16`的设定一样准，不多不少，就是那一刻。

　　优胜劣汰？对，就是字面意思。不是架构选型的优雅进化，是活下来的才叫“嵌入式容器化”。我们测过五种轻量K8s发行版，k3s、microk8s、k0s、OpenShift MicroShift、还有那个连官网都404了两次的distroless-kube。最后只剩两个撑过四十八小时连续压测：一个在树莓派4B上跑满七天后内存泄漏到剩三百兆RSS就自愈重启；另一个干脆不走kube-proxy，用eBPF把Service转发压进cgroup BPF_PROG_TYPE_SCHED_CLS里，结果——某天凌晨被监控误判成SYN Flood攻击，iptables链直接DROP了所有NodePort流量。我们查了六个小时，最后在`/sys/fs/bpf/`里翻出个叫`svc_redirect`的程序，hash值和上周安全团队扫出的“可疑用户态后门样本”完全一致。安全组来人看了眼就说“留着吧，你们这算自研WAF”。我没反驳。反正老板没来，来了我也懒得解释——他上周刚把“边缘云原生路线图”PPT里的K8s图层删了，换成了“云边协同中间件v2.3（自研）”。

　　咖啡洒在工牌上了。深褐色环状渍，中心还湿着，边缘已经开始起毛边。我拿纸巾摁了一下，没擦净，反把姓名栏的“王”字洇开半笔。对面穿灰色毛绒拖鞋的小张突然说：“你工牌上那个‘王’，现在像不像个‘玉’？”我没答，因为正好看到terminal里`docker images | grep k3s`的输出里混进了一个``镜像ID，创建时间戳是2026年1月4号14:02——那天我们在产线刷固件，刷崩了三次SD卡。这个我说不准是不是那次操作残留，但我知道它占了1.2GB空间，而整张卡只剩1.8GB可用。所以我就删了。删之前截图发群里，底下跟了十八条回复：七条说“清缓存不如清需求”，三条问“能顺便把CI里的arch-test矩阵删了么”，剩下八条全是表情包——四个捂脸，三个OK手，一个狗头。没人提要不要做GC策略收敛。

　　有的调休申请被驳回。我的那份写着“事由：处理rk3588平台kubelet cgroup v1兼容性问题”，HR批注是“请补充《非工作时间紧急事件说明表》及部门负责人签字扫描件”。我没补。因为就在填表那会儿，产线又上报了两台设备离线，排查下来是containerd的`io.containerd.runc.v2`插件加载失败——runc版本是1.1.12，而板子kernel是5.10.160，CONFIG_CGROUP_SCHED没打开。我改内核配置重新编译，烧进去，设备上线。整个过程花了十一个小时。期间我换了三次袜子，因为冷风太足，脚底汗一出就被抽干，袜子内侧结了薄盐霜。我拍了张照发朋友圈，配文“嵌入式运维の冬日养生”，底下老陈评论：“下次建议用热成像看看你的CPU调度热区。”

　　所以别跟我说“轻松运行”。轻松的是文档里那一行`curl -sfL https://get.k3s.io | sh -`；轻松的是demo视频里三分钟启集群；轻松的是你站在技术大会讲台中央，说“边缘K8s已成熟”。可真实世界里，它就是在等你亲手拔掉那个焊错了的GPIO引脚，等你在device-tree里把`interrupt-parent = `改成``，等你发现rk3399板子上某个PCIe控制器和kubelet的`--node-ip`参数冲突时，系统会随机在凌晨2:47:13丢掉一条watch event而不报任何日志。我们统计过，三百七十二条告警里，真由K8s本身引发的不到七条。剩下全是——硬件不认yaml，驱动不读config，固件不理spec。它们自己吵，吵赢了的留下，吵输了的变砖。这就叫优胜劣汰。

文章配图，仅供参考

　　我明天去仓库领新一批RK3566模组。这批料号尾缀带“-T2”，据说加了硬件级seccomp支持。但我信不过尾缀。我已经让测试同事把所有模组开机自动跑一遍`cat /proc/cpuinfo | grep features`，然后grep “smep”和“smap”——这两个flag要是缺一个，整块板子直接退回给供应链。咖啡渍现在干了，工牌上“王”字只剩下半截横折钩，像没写完的句号。我打算就这样戴着去现场。毕竟有些东西，本来就没法写完。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!