Linux cgroup v2 pids.max 怎样限制进程数量

要限制某个服务及其子进程的任务数量，Linux cgroup v2 的入口是给非根 cgroup 写入 pids.max。它限制的是该 cgroup 和后代 cgroup 的任务总数；达到上限后，新的 fork() 或 clone() 会失败，而不是把已经存在的任务自动杀掉。下面用一个独立的 worker cgroup 说明配置位置和结果判断。

最短结论：先在父 cgroup 的 cgroup.subtree_control 中启用 pids，再在目标 cgroup 的 pids.max 写入整数或 max。用 pids.current 看当前及后代数量，用 pids.peak 看历史峰值，用 pids.events 看是否触顶。

适合谁：需要给服务、容器或一组后台任务设置进程数量硬边界的 Linux 运维和开发者。本文只讨论 cgroup v2 的 PID 控制器，不把它混同为 CPU、内存或普通用户进程限制。

先分清 pids.max 限制的是什么

内核文档把 PID 控制器定义为：在达到指定数量后，阻止新的任务通过 fork() 或 clone() 创建。这里的 PID 按内核语义指 TID，因此“进程数量”在多线程场景下应理解为任务数量。pids.current 统计当前 cgroup 及其后代，不能只数目标目录直接挂着的进程。

这个控制器是层级的：父层设置的边界会约束子树，子 cgroup 不能绕过祖先限制。pids.max 只存在于非根 cgroup，默认值是 max，表示不设硬上限。因而排查时先确认目标路径、父子关系和控制器是否真的出现在目标目录中。

创建 cgroup 并启用 pids 控制器

下面的命令假定统一层级挂载在 /sys/fs/cgroup，并且当前 shell 具有管理权限。关键点是：控制器写入父 cgroup 的 cgroup.subtree_control，接口文件随后出现在它的子 cgroup 中。

# 说明：创建目标 cgroup，并让父层把 pids 控制能力分发给它
CGROOT=/sys/fs/cgroup
PARENT="$CGROOT"
TARGET="$CGROOT/worker"

# 说明：目录代表一个新的非根 cgroup；已存在时不重复创建
mkdir -p "$TARGET"

# 说明：只启用 pids 控制器；父层必须先拥有该控制器
printf '%s\n' '+pids' > "$PARENT/cgroup.subtree_control"

# 说明：把 worker 及其后代的任务总数硬限制为 64
printf '%s\n' '64' > "$TARGET/pids.max"

# 说明：将目标任务写入 cgroup.procs 后，新任务继承该 cgroup
printf '%s\n' "$PID" > "$TARGET/cgroup.procs"

真实环境中不要把 $PID 当成可直接执行的固定值，它只是要迁入目标 cgroup 的任务号占位符。若父层的 cgroup.controllers 没有 pids，说明控制器不可用或仍被其他层级占用，此时继续写入不会得到预期结果。

用四个接口判断限制是否生效

配置完成后，先把四个文件放在一起读，而不是只看 pids.max。它们回答的问题不同：

# 说明：并排读取配置、当前值、峰值和触顶事件，便于定位“限制没生效”的误判
for file in pids.max pids.current pids.peak pids.events; do
    # 说明：文件不存在通常意味着 pids 尚未从父层启用到目标 cgroup
    printf '\n[%s]\n' "$file"
    cat "$TARGET/$file"
done

三个容易误判的边界

第一，写小上限不会清理旧任务。组织操作不会被 pids 策略阻断，所以把上限调到低于当前值，或继续把任务附加进来，可能暂时看到 pids.current > pids.max。但之后会阻止使策略继续被违反的 fork() 或 clone()，调用方通常收到 EAGAIN。

第二，父层数字可能包含整棵子树。如果 worker 下面还有 batch，父目录的 pids.current 会把后代一起计算。只看直接子目录的任务数，会低估上限实际约束的对象。

第三，触顶次数不是当前超限量。pids.events 中的 max 表示触顶事件发生了多少次，不是“超出多少个任务”。如果只想观察当前 cgroup 的本地事件，可以结合内核提供的 pids.events.local；默认的 pids.events 还可能反映子树中的强制行为。

常见问题

为什么目标目录没有 pids.max？

通常是父层没有在 cgroup.subtree_control 中启用 pids，或者目标目录是根 cgroup。先读父层的 cgroup.controllers 和 cgroup.subtree_control，再确认目标路径属于 cgroup v2 统一层级。

达到 pids.max 后已有服务会被杀死吗？

不会。pids 控制器管的是新的任务创建；已有任务仍然运行，直到它们自行退出或被其他机制处理。应用侧还应记录 EAGAIN，避免把“无法创建子任务”误报成无关的内存故障。

pids.current 为什么和直接看到的进程数不一样？

因为它统计的是当前 cgroup 加上后代，并且按内核任务语义计数。多线程程序、子 cgroup 和短时任务都会让目录列表与这个数值产生差异。

归纳起来，pids.max 负责写入边界，pids.current 负责看现在，pids.peak 负责看历史，pids.events 负责解释触顶。把四者和 cgroup 层级一起读取，才能判断限制是未启用、已生效，还是只是曾经达到过上限。