--cpuset-cpus参数可强制容器进程绑定指定物理cpu核心，但需先通过lscpu、core_id和numactl确认真实拓扑，再结合--cpus限频及isolcpus内核参数实现真正独占运行。
直接用 --cpuset-cpus 参数就能实现物理核心的强制绑定，关键在于“指定编号”+“验证拓扑”+“配合限频”，不是设了就稳，而是要让容器真正在你选的物理核上独占运行。
确认宿主机真实 CPU 拓扑再绑核
Linux 的 CPU 编号不等于物理核心顺序，尤其在启用超线程或 NUMA 架构时，0 和 1 很可能属于同一个物理核（SMT 对），而 2 和 3 才是另一个。盲目绑 "0,1" 反而降低并行能力。
- 运行 lscpu 查总核数、Socket 数、每个 Socket 的核心数、是否开启超线程
- 运行 cat /sys/devices/system/cpu/cpu*/topology/core_id | sort -u 看哪些逻辑 CPU 共享同一物理 core ID
- 运行 numactl --hardware 查 NUMA 节点与 CPU 核心映射关系，避免跨节点绑核导致内存延迟飙升
启动时用 --cpuset-cpus 精确指定物理核
该参数作用是硬性限制容器所有进程只能在指定核心上调度，内核不会跨核迁移线程，这是亲和性绑核的底层基础。
- 绑定离散物理核（推荐用于低延迟服务）：docker run --cpuset-cpus="0,2,4"
- 绑定连续范围（适合多线程密集型计算）：docker run --cpuset-cpus="1-4"
- 只绑单核（如实时推理前端）：docker run --cpuset-cpus="3"
必须搭配 --cpus 控制实际算力配额
--cpuset-cpus 只管“在哪跑”，不管“跑多猛”。若不设上限，绑在两个核上的容器仍可能打满这两核，干扰同核其他关键进程（如 Redis AOF 线程、监控 agent）。
- 绑核 + 限频组合更稳妥：docker run --cpuset-cpus="0,2" --cpus="1.5" ubuntu:22.04
- 数值支持小数，比如 --cpus="0.8" 适合轻量守护进程，留出空闲周期给缓存预热
- 避免只写 --cpus="2" 却不绑核——调度器仍可能把线程分散到 8 个核，NUMA 访存延迟翻倍
宿主机级隔离增强绑核效果
仅靠容器参数无法阻止 systemd 服务、内核线程、中断在你绑定的核心上抢占时间片。对性能敏感场景，需配合内核参数做硬隔离：
- 编辑 /etc/default/grub，在 GRUB_CMDLINE_LINUX 中追加：
isolcpus=2,3 nohz_full=2,3 rcu_nocbs=2,3 - 执行 sudo update-grub && sudo reboot
- 重启后，再用 --cpuset-cpus="2,3" 启动容器，这两个核将基本只服务你的容器
