内核补丁升级可能触发系统自动重启，导致 Docker 守护进程中断、容器强制终止，并因兼容性问题陷入 Restarting 循环；需通过 rpm、last、journalctl 和 docker inspect 交叉验证，临时停用重启策略并保留现场分析。
内核补丁升级（如 centos/rhel 的 yum update --security 或 dnf upgrade --advisory=...）可能触发系统自动重启，进而导致 docker 守护进程中断、所有容器被强制终止。若容器配置了 --restart=always 但其应用本身无法在新内核环境下立即就绪（例如依赖特定内核模块、cgroup v1/v2 不兼容、或 systemd 服务未同步启动），就容易陷入“刚拉起 → 启动失败 → 被重启策略反复拉起”的循环，表现为 restarting 状态持续不退。
确认是否由内核升级引发
执行以下命令交叉验证：
-
查最近内核变更：
rpm -q kernel --last | head -5—— 看是否有新内核刚安装； -
查系统重启时间：
last reboot | head -3—— 是否与内核更新时间吻合； -
查 Docker 服务日志：
journalctl -u docker.service --since "2 hours ago" | grep -i "start\|stop\|reload"—— 观察守护进程是否在重启后异常退出； -
查容器真实退出原因：
docker inspect | jq '.State.Status, .State.ExitCode, .State.Error'—— 若ExitCode非 0 且Error提示内核相关失败（如no such device,operation not supported,cgroup mount failed），基本可锁定问题。
临时止血：暂停自动重启并保留现场
避免容器在排查中反复崩溃覆盖日志：
- 停用重启策略：
docker update --restart=no； - 手动停止容器：
docker stop； - 保留当前容器状态供分析：
docker commit debug-snapshot:kernel-patch-202605（可选）； - 若需快速恢复服务，可先用旧内核启动（重启时在 GRUB 选择上一版 kernel）。
针对性修复关键兼容点
内核补丁常影响以下底层机制，需逐项检查：
-
cgroup 版本切换：新版内核默认启用 cgroup v2，而旧版 Docker（cat /proc/1/cgroup 查看宿主机 cgroup 模式；若为 v2，可临时回退：
sudo grubby --args="systemd.unified_cgroup_hierarchy=0" --update-kernel=ALL，再重启； -
overlay2 存储驱动兼容性：部分补丁会限制 overlayfs 功能。检查
docker info | grep "Storage Driver"；若报错或显示unsupported，在/etc/docker/daemon.json中显式启用兼容参数：{"storage-driver": "overlay2", "storage-opts": ["overlay2.override_kernel_check=true"]}，然后sudo systemctl restart docker； -
SELinux 策略冲突：安全补丁可能收紧策略。临时禁用验证：
sudo setenforce 0；若容器立刻正常，说明是 SELinux 上下文问题，需更新策略包：sudo yum update selinux-policy*； -
内核模块缺失：如容器需
nf_nat,br_netfilter等模块。执行lsmod | grep -E "(nf_|br_)"; modprobe br_netfilter；若模块不存在，确认对应内核-devel 包已安装，并重建 initramfs：dracut -f。
长期规避策略
不再让内核升级牵连业务容器：
-
冻结生产环境内核版本：在
/etc/yum.conf加exclude=kernel*，或使用yum versionlock kernel（需yum-plugin-versionlock）； -
容器级内核适配测试：在灰度环境中，先用新内核启动空容器：
docker run --rm alpine:latest uname -r，再逐步加入业务镜像验证； -
改用 restart=unless-stopped + 健康探针：避免无条件拉起。在
docker run或 compose 中配置healthcheck，确保应用真正就绪才视为成功，例如：healthcheck:<br> test: ["CMD", "curl", "-f", "http://localhost:8080/health"]<br> interval: 30s<br> timeout: 5s<br> retries: 3
