K8s kube-reserved动态阈值设计：如何在安全加固场景下实现HPA的自动博弈？

背景

我们维护一个金融级 Kubernetes 集群，节点上配置了 kube-reserved 和 system-reserved 以确保系统资源的预留。但近期发现安全加固策略（如审计日志采集、镜像扫描）导致资源争用，HPA 未触发扩缩容，业务 Pod 被驱逐。

现象

1. 资源争用风暴：安全组件突发流量时，HPA 未触发扩缩容，导致 Pod 被驱逐（kubectl describe pod | grep -i evict）
2. 安全策略冲突：资源预留不足时，安全扫描 Pod 无法获取足够内存，触发 OOM

已尝试

• 调整 kube-reserved 为 10% CPU/20% 内存
• 增加 HPA 的 CPU/内存阈值
• 但业务侧反馈扩缩容延迟过高

期望答案

1. 如何设计动态阈值算法，让 HPA 在资源预留与安全策略间自动博弈？
2. 是否有现成的 kube-reserved 计算模型可适配安全加固场景？
3. 如何通过 CRI-O 配置优化降低安全组件资源占用？