系统全局资源分配隔离的核心是按业务标识（如租户ID、X-Biz-Code）划分资源边界，通过cgroups v2设置CPU、内存硬限，结合cpu.weight权重、cpuset亲和性及监控熔断实现分而治之。
配置系统全局资源分配隔离，核心是让不同业务模块在CPU、内存、I/O等关键资源上互不抢占，避免一个业务突发流量或异常行为拖垮整个系统。重点不在“全系统统一限流”，而在于“按业务划界、分而治之”。
明确隔离粒度：按业务身份而非功能模块划分
业务系统之间天然存在优先级、稳定性要求和故障容忍度差异。例如支付服务和日志上报服务，不能共用同一组资源配额。应以“业务标识”（如租户ID、上游系统名、API来源标签）为依据做隔离，而不是按接口路径或微服务名称。这样即使多个业务调用同一个后端服务，也能各自受限、彼此无感。
- 在网关层注入业务标识头（如 X-Biz-Code: vip-order）
- 容器编排时为每个业务打专属label，如 io.biz/vip-order=true
- 数据库连接池按业务标识路由到独立池，避免慢SQL污染全局连接
用cgroups v2统一管控底层资源
cgroups v2 是当前Linux主流发行版默认启用的资源控制机制，比v1更简洁、更安全，支持嵌套、原子更新和统一层级。它不是可选项，而是系统级隔离的基础设施。
- 启用方式：确认内核参数 systemd.unified_cgroup_hierarchy=1 已设置，并重启
- 为每个业务创建独立cgroup路径，例如 /sys/fs/cgroup/biz-vip-order
- 写入硬限制：echo 2G > memory.max、echo "100000 100000" > cpu.max（表示10% CPU时间）
- 将对应进程PID写入 cgroup.procs，或通过systemd scope自动绑定
结合调度策略做CPU亲和与权重隔离
仅靠cgroups限频还不够——当多个高优先级业务同时争抢CPU时，仍可能因上下文切换频繁导致延迟抖动。需叠加调度策略：
- 对VIP类业务，用 chrt -r 80 设置实时调度策略（慎用，需root+合理配额）
- 对普通业务，用 cpu.weight（cgroups v2）设定相对权重，比如vip:500、report:100、log:50
- 关键业务绑定特定CPU core（cpuset.cpus），避开系统中断和kswapd等干扰
监控与熔断联动，防止隔离失效
隔离本身不解决资源超卖问题，只划定边界。必须配套可观测性，才能及时发现越界并干预：
- 采集各cgroup的 memory.current、cpu.stat、io.pressure
- 当某业务内存使用持续超限90%达30秒，自动触发降级开关（如关闭非核心缓存）
- 配合Prometheus + Alertmanager实现“资源压线告警”，而非仅等OOM Killer杀进程
不复杂但容易忽略：全局隔离不是一次配置就一劳永逸的事。业务增长、部署变更、内核升级都可能绕过原有cgroup规则。建议把资源策略写进CI/CD流水线，每次发布自动校验对应cgroup是否存在、参数是否生效。
