关键在于按服务角色差异化配置cpu与内存限制并留出弹性余量：web api用--cpus=1.0起调，批处理用--cpuset-cpus绑定核+--cpu-shares提权，java需设-xx:activeprocessorcount；内存须软硬结合，如-m 4g --memory-reservation=3g --memory-swap=4.5g，并验证cgroup节流与oom指标。
解决Docker多服务因cgroup硬限制过严导致的性能受损，关键不是统一放宽限制，而是按服务角色差异化配置、留出弹性余量，并让应用行为与cgroup机制对齐。
CPU限制要分角色调，不能一刀切
Web API、批处理、Java服务对CPU资源的敏感点不同，硬设相同--cpus值容易引发连锁卡顿：
- Web类服务（如Nginx、Spring Boot API）：优先用
--cpus=1.0起步，压测时观察P99延迟和docker stats中CPU%是否持续＞85%。若延迟陡增且cat /sys/fs/cgroup/cpu/cpu.stat | grep throttled_time非零，说明配额已成瓶颈，可逐步加到1.5或2.0 - 批处理任务（如日志归档、报表导出）：避免用
--cpus=0.5这种低配比，改用--cpuset-cpus="0"绑定单核 +--cpu-shares=2048提升调度权重，既防干扰又保吞吐 - Java应用：必须加JVM参数
-XX:ActiveProcessorCount=1（数值匹配实际分配核数），否则JVM按宿主机核数启动GC线程，造成CPU空转和响应抖动
内存限制要软硬结合，禁用swap反而出问题
只设-m 2g --memory-swap=2g看似干净，实则剥夺内核最后缓冲空间，易触发OOMKilled：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 对Redis、Elasticsearch等内存敏感服务，采用三段式配置：
-m 4g --memory-reservation=3g --memory-swap=4.5g。软限--memory-reservation让内核在压力初期主动回收页缓存，避免突刺式OOM - JVM容器务必显式设堆上限，如
-Xmx2g，并确保不超过-m值的75%，预留空间给元空间、直接内存和线程栈 - 禁用swap（
--memory-swap=4g）比--memory-swap=0更稳妥，后者会彻底关闭弹性缓冲，高并发下I/O等待加剧
验证不能只看启动参数，要跑通指标闭环
参数写进docker-compose不等于生效，必须结合运行时数据确认是否真被满足：
- 用
docker stats --no-stream --format "table {{.Name}}\t{{.CPUPerc}}\t{{.MemPerc}}" | head -20抓取1分钟快照，CPU%波动＞±30%或MEM%长期＞90%，即提示限制过紧 - 进容器执行
cat /sys/fs/cgroup/memory/memory.oom_control，若under_oom为1，说明已进入OOM状态但主进程未退出（常卡在D状态） - 对关键服务，在CI/CD中嵌入轻量压测，例如用
hey -z 30s -q 50 -c 20 http://localhost:8080/health，对比调整前后的错误率和P95延迟
排查“假活”状态：Running却不响应
容器docker ps显示Running，但API超时或日志停更，大概率是cgroup冻结或节流所致：
- 检查是否误启freezer子系统：
ls /sys/fs/cgroup/freezer/docker/存在对应目录且cat freezer.state返回FROZEN，需清理相关安全策略 - 查CPU节流证据：
cat /sys/fs/cgroup/cpu/docker/*/cpu.stat | grep -E "(nr_throttled|throttled_time)"，只要数值持续增长，就证明配额长期不足 - K8s环境快速定位：
kubectl describe pod xxx | grep -A 5 "Last State"，出现OOMKilled或Exit Code 137即为内存cgroup触发
