K3s + 内核 5.10 ARM 边缘节点：PSI memory.pressure 的暴露链路是否可用？node-exporter 能不能采到子 cgroup 的 PSI，预警阈值怎么定才能早于 kubelet eviction 而不是晚一步？

背景

我维护一批 RK3588（4C A76 / 4GB）的边缘网关节点，跑 K3s v1.31 + containerd 1.7.x，内核是 5.10（cgroup v2）。业务侧是一个 Java 17 网关代理容器（request=limit=2500Mi）加一个 log-agent sidecar。最近两次 OOMKill 都是"前一刻 RSS 还在涨、下一刻进程没了"，Prometheus 15s 粒度完全抓不到峰值，事后只能翻 dmesg。

现象

1. OOMKill 前 1~2 分钟 memory.current 其实在缓慢爬升，但绝对值离 2500Mi limit 还有 300~500Mi 的"安全垫"，没有任何绝对值告警能提前报；
2. 我试过直接读 /sys/fs/cgroup/.../memory.pressure，文件在，full 10s=... 60s=... 300s=... 有值，但 node-exporter（1.6.x）默认没有暴露子 cgroup 的 PSI，只能拿到节点级的；
3. 社区里有文章说"PSI 比 OOM 早 30 秒"（见引用），也有提问在讨论 PSI 当一等预警信号（见引用），但那些环境都是 K8s 1.28 + 内核 5.15 的大集群，我这里是 K3s + 内核 5.10 的边缘盒子，链路不一定通。

已尝试的排查与结果

• cat memory.pressure 确认文件存在且有增量，说明内核 5.10 的 PSI 编译选项是开着的（CONFIG_PSI=y）；
• node-exporter 默认指标里没有 per-cgroup PSI，社区有 psi-collector 之类的 exporter，但没在 K3s 生产环境验证过；
• 试过用 kubelet 的 --eviction-hard 配合 memory.available<15% 做节点级兜底，但驱逐动作比 OOMKill 晚，救不了容器；
• 参考了站内《PSI 比 OOM 早 30 秒》一文的告警规则思路，想复用到边缘节点但卡在采集链路上。

期望得到的答案形态

1. K3s + 内核 5.10 上，per-cgroup PSI 的可靠采集路径：是塞一个 sidecar 直接 scrape memory.pressure，还是用 node-exporter 的 --collector.textfile 挂 cgroup 路径？有没有人在生产验证过？
2. PSI 的 10s/60s 窗口在"预警 OOMKill"这个场景下哪个更稳？阈值取多少（比如 full 10s > 0.1 还是 60s > 0.05）才能既早于 OOMKill 又不至于 Full GC 期间天天误报？
3. PSI 预警信号和 kubelet eviction 的时序：PSI 升高 → 内存压力 → eviction 的因果链上，PSI 一般领先 eviction 多久？有没有人做过实测数据？
4. 如果 PSI 链路在边缘节点上确实采不到，退而求其次的"次优预警指标"是什么（memory.current/limit 斜率？memory.stat 里的 pgfault 速率？）

引用依据

• 文章《PSI 比 OOM 早 30 秒：cgroup v2 内存压力预警与一条能落地的告警规则》(id=904)：PSI 是 OOM 前少数"看得见"的信号，但文中环境是 5.15 内核；
• 提问《K8s 1.28 / cgroup v2：PSI（memory.pressure full>0）能不能当 OOMKill 前 3~10s 的一等预警信号？》(id=1777)：讨论了 PSI 阈值与告警落地，但聚焦大集群场景。