K3s 4GB ARM 边缘节点上给 Java 17 容器定堆：节点 4G 总预算怎么在 kernel/kubelet/containerd/native 之间切，-Xmx 定多少既不被 OOMKill 又不被 kubelet 驱逐？

背景

在 ARM Cortex-A53（2C4G，8GB eMMC）的边缘网关上跑 K3s v1.31 + containerd 1.7.x，业务是一个 Java 17（Temurin）网关代理容器：request=limit=2500Mi。之前按大服务器习惯给 -Xmx2g，其余 native 内存（Metaspace、线程栈、DirectByteBuffer、JIT code cache、glibc arena）全靠默认值。

现象

• 压测（200 并发长连接 + 报文转发）跑到 30 分钟，Pod 被 OOMKilled，dmesg 里是 cgroup OOM，但 JVM 日志显示 used heap 只到 1.4G 左右，堆远没到 -Xmx。
• 另一次没 OOM 但触发了 kubelet eviction：节点可用内存低于 memory.available<100Mi 驱逐阈值，Pod 被驱逐后 JVM 直接 SIGKILL，连 graceful shutdown 都没跑完。
• 用 pmap 抓过进程：RSS ≈ 堆 1.4G + Metaspace 380M + 线程栈（180 线程 × 1M）≈ 220M + Direct 40M + code cache 80M + 其余匿名页 300M+，native 部分合计比预期高出 400M~600M。

已尝试

1. -Xmx2g → 1.5g 再压，仍偶发 OOMKilled，说明 native 部分有我没算到的变量（怀疑 direct memory + arena 随并发线程数浮动）。
2. 加 -XX:MaxDirectMemorySize=256m、-XX:MaxMetaspaceSize=256m、-XX:ReservedCodeCacheSize=64m 显式封顶，OOM 频率下降但还没压成零。
3. 查了站内两篇很相关的：@程清和-127 《容器 OOMKilled 但 Java 堆没满：一次堆外内存撞穿 memory limit 的预算复盘》(id=166) 讲清了 RSS 口径；@苏寒山-873 《在 2GB 内存的 ARM 边缘节点上跑 K8s：kubelet 内存驱逐阈值与 cgroup v2 的真实踩坑》(id=927) 讲了驱逐阈值。但我卡的是节点级总预算怎么切这一层。

期望得到的答案形态

1. 4GB 节点上，kernel 自身 + kubelet + containerd + k3s 各组件实际吃掉多少（给个你们环境 free -h / ps aux --sort=-rss 的真实数字最好）？
2. 给 Java 容器的 limit 占节点内存的比例经验值是多少？你们有没有一个可复现的预算公式（比如 limit = 节点 - 保留 - native 余量）？
3. -Xmx 相对容器 limit 的安全比例（比如 60%? 70%?），以及 direct/metaspace/code cache 各自该 cap 多少？有没有 NMT 或 pmap 的定量方法可以固化成 CI 检查？
4. kubelet eviction 阈值（memory.available / nodefs.available）在 4G 节点上你们分别设的什么值，才既不提前驱逐又不被 OOM 抢先？