周五晚上，你点开一部电影。幕后有许多服务同时工作。它们平时像住合租房：共享设施，成本更低，但一个“邻居”突然忙起来，也可能影响其他人。Netflix面对的正是这种取舍：怎样让少数怕干扰的任务住进“单间”，同时保留容器平台原有的省心体验？
Netflix Technology Blog介绍了 single-tenant Titus：在默认多租户的容器平台中，增加一种让每个 task（一次具体运行的任务）独占一台虚拟机的模式。这里的“单租户”只到虚拟机层，并非独占物理服务器，也不意味着整个 Titus 已改成单租户。本文事实均来自 Netflix 官方博客这一处信源，缺少独立交叉验证。
合租为什么会失灵？
Titus 是 Netflix 内部基于 Kubernetes 的容器托管平台。容器会把应用和依赖打包起来，但同一主机上的容器通常共享 Linux kernel，也就是操作系统内核。平台团队负责控制平面——接收部署请求、调度任务和维护期望状态，也负责数据平面——真正运行容器的主机。应用团队只需交出容器，不必自己管理 host、cluster 或 kernel。
据 Netflix 官方博客，Titus 每周会在多个 AWS regions、数万台 EC2 instances 上启动数百万个容器。它默认采用多租户模式：不同团队的容器共享宿主机。这样能提高资源利用率，却也会带来“吵闹邻居”问题。
博客举出的推动因素是一批实时数据任务。即使各容器没有超过 CPU 或内存配额，它们仍可能争抢末级缓存、内存带宽和网络处理锁。流处理任务一旦落后，可能要从 checkpoint——任务预先保存的恢复点——重新追赶数分钟，甚至惊动值班工程师。问题不只是安全边界，也包括难以预测的性能干扰。
给任务一台虚拟机，平台体验不变
Netflix的做法看起来很直接：让一个任务独占一台虚拟机。虚拟机通过虚拟化硬件运行独立操作系统，隔离边界通常比共享内核的容器更厚。关键之处不只是“多开一台机器”，而是把它继续放在 Titus 里管理。
应用团队仍使用原来的 API 和部署路径。宿主机、内核与平台维护仍由 Compute/Platform 团队承担。换句话说，住户换进了单间，却不用自己修水管、配门锁或管理整栋楼。
Netflix称，团队评估过 microVMs——更轻量的虚拟机、gVisor——在应用与宿主机内核之间增加隔离层的运行环境、直接使用 EC2，以及继续加强共享内核隔离。材料显示，microVM方案会增加虚拟化运维、硬件适配和 GPU 限制；gVisor则可能增加 I/O 密集任务的开销。团队最终选择在 Titus 内提供 dedicated VM，并把它建立在 Titus federation layer（跨集群协调层）和自动扩缩容机制之上。
真正的取舍不只在安全
Netflix从三个维度评估这项设计：隔离程度、整个机器池的资源效率，以及持续为机器打补丁的运维成本。
单任务独占虚拟机让边界更清楚，也简化了部分维护工作。共享主机上有多个团队的任务，下线主机前需要协调迁移，并顾及各任务能承受多少中断；独占虚拟机上只有一个工作负载，新镜像发布后可以直接迁走它。
代价同样明确。sidecar——随主程序一起运行的辅助容器、kubelet——负责管理节点上容器的组件，以及系统服务，都有固定资源开销。共享主机能让许多容器共同分摊这些成本；放进较小的独占虚拟机时，它们可能占去数成资源。因此，Netflix没有把该模式做成人人可选的开关，而是通过 allowlist（准入名单）提供给大型、长期运行且对尾延迟敏感的任务。
局限与未知
- 供稿在讨论共享内核时截断，没有给出隔离测试、性能变化、资源利用率或成本的具体数字，不能据此断言效果已经被量化证明。
- 博客描述的是 Titus 新增一种可选模式，不是用单租户全面替换默认的多租户平台。
- 目前只有 Netflix 自己的技术博客这一处信源。它说明了设计动机与取舍，但尚不足以判断这套方案在其他组织和工作负载中的适用性。