AURA-SCX

面向 openEuler 的自适应资源管控 Agent。

AURA-SCX 不是单一的 sched_ext 调度器，而是一套从真实系统观测、负载识别、策略决策、安全执行、Canary 验证到自动回滚的闭环资源管控框架。当前发布目标为 openEuler 24.03-LTS-SP4、x86_64 与 cgroup v2。

已实现能力

自研 sched_ext 调度器与用户态加载器，支持 safe、latency-shield、batch、mixed-slo 四类策略。
workload 感知：融合 CPU/PSI、cgroup CPU、进程唤醒、应用 P99/QPS、BPF 调度数据和阶段信号。
自适应 Agent：候选策略评分、约束过滤、迟滞、确认窗口、generation/profile ACK、多样本 Canary 与回滚。
ACK 安全恢复：策略 ACK 超时后依次恢复上一稳定策略和 safe；仍失败则停止调度器、确认 sched_ext 回到 disabled，并将会话标记为 fatal。
Resource Agent：在 /sys/fs/cgroup/aura/... 范围内执行 cpu.weight、cpu.max 和进程迁移，并保存可回滚状态。
Network Agent：实现 IPv4/TCP cgroup/connect4 allow/default-deny 策略、真实 deny 事件和自动 detach。
Security Agent：通过 eBPF tracepoint 采集真实 execve 审计事件。
Tool/Skill Runtime：严格 Schema、validate/preflight/execute 生命周期、统一审计事件和失败回滚。
真实数据 Dashboard：FastAPI REST/WebSocket 控制面，以及 Live/Replay、时间轴、阶段跳转、过滤和倍速回放。
自动实验平台：Redis、动态四阶段、schbench、Nginx、内核构建与 Observer 开销六套 workload，支持随机顺序、失败保留、Student-t 95% 置信区间和出版级 SVG 图表。
AURA Insight：显式连接 OpenAI-compatible 代理与 AI CLI，关联 journald/systemd/dnf-rpm/coredump/AURA 真实错误，计算 ADI、EFI、ARI、UBI、AUP，并生成需人工审核的匿名上游反馈草稿。

AURA Insight

AURA Insight 用于观察被 AI 助手承接、因而可能没有进入上游 Issue 的真实支持需求。它使用独立 SQLite/WAL 数据库，不修改 sched_ext、cgroup、网络或安全策略。默认隐私层级为 off；1-3 级必须明确同意。系统不监听全局键盘或剪贴板、不做 TLS 中间人，也没有原始提问或模型回答字段。

公开指数只使用 Direct 与 Strong 相关案例。页面展示单一轮换 epoch 内的保守设备下界、连接器覆盖和有效样本覆盖；mock=false 只表示前端没有注入模拟数组，不代表样本覆盖全部或大多数 openEuler 用户。来源事件键保证重复轮询不重复计数；只读 systemd 状态核验与错误复现窗口区分已验证、可能及用户报告的解决结果。上游聚合仅提供 k 匿名与本地 DP 预览，Issue 必须由用户审核并人工提交。

./eagentctl insight privacy set --tier 2 --consent
./eagentctl insight collect --source all --event-root results/live
./eagentctl insight correlate --window-sec 300
./eagentctl insight aggregate --window-hours 168
python3 -m aura.control_plane \
  --port 8765 \
  --insight-db results/insight/insight.db

完整架构、公式、隐私层级、连接器、REST API 和边界见 docs/insight.md。

openEuler 真实数据证据

下列页面由 openEuler 24.03-LTS-SP4 原生门禁产出的 AURA Insight SQLite 数据库驱动。案例把真实的 systemd/journald 服务失败与一次显式桥接的用户 AI 求助关联为 Direct 证据，并通过 systemctl is-active 机器核验解决状态。验收虚拟机未配置本地 AI CLI 或模型，因此没有伪造模型回答，证据明确记录 model_called_in_vm=false。


指数与真实事件图表	Direct 证据与隐私控制

同一真实数据页面已在 390 像素视口完成验收，页面没有横向溢出，宽表仅在各自容器内滚动。

AURA Insight 真实数据移动端布局

此处 mock=false 只表示浏览器读取本地 SQLite 数据库且前端没有 fixture 数组，不表示一台验证设备能够代表 openEuler 用户总体。当 k=2 时，匿名导出预览会正确抑制这份单设备样本。

现有 4:28 演示视频对应加入 AURA Insight 之前的 Release Candidate，不能作为 Insight 功能证据。最终提交若包含本功能，必须重新录制覆盖真实 Insight 闭环的视频。

Agent 工作闭环

Observe -> Classify -> Score -> Propose -> Apply -> Verify -> Commit/Rollback

Observe：从 procfs/sysfs、BPF、cgroup 和应用指标读取真实数据。
Classify：识别 latency、throughput、background 与 unclassified 工作负载。
Score：按 SLO、系统压力与安全约束计算候选策略分数并保留拒绝理由。
Propose：经过迟滞、最短驻留时间和确认窗口后提出策略切换。
Apply：更新内核 map 中的 profile、分类和 generation，不重载 sched_ext。
Verify：等待内核 generation/profile ACK，并用多份新鲜样本执行 Canary。
Commit/Rollback：通过后提交稳定策略；回归或 ACK 失败时按安全链路恢复。

关键目录

bpf/          sched_ext、调度观测、网络与安全 eBPF 程序
src/          原生用户态加载器与 Agent
aura/         eagentctl、Adaptive Agent、Insight、事件与控制面
benchmark/    workload、矩阵运行器、聚合与最终报告
configs/      策略、Tool 与 Skill 配置
schemas/      Tool/Skill JSON Schema
dashboard/    调度 Live/Replay 与 AURA Insight Web 界面
scripts/      openEuler 集成测试、发布门禁与安全扫描
tests/        单元、契约与回归测试
results/final 冻结后的匿名化正式结果

openEuler 快速复现

sudo python3 -m pip install -r requirements-dashboard.txt
./benchmark/env/check_kernel.sh
./benchmark/env/gen_vmlinux_h.sh

make clean
make observer
make scx-agent
make net-agent
make security-agent
make test-unit
sudo make test-integration-openeuler

完整发布门禁：

sudo -v
./scripts/run_release_gate.sh --out /tmp/aura-release-validation

启动真实控制面与 Dashboard：

python3 -m aura.control_plane --port 8765 --session latest

默认只绑定 loopback。非 loopback 监听必须配置访问令牌。

基线定义

default-uninstrumented：sched_ext 关闭，不加载 AURA BPF observer；性能增量以此为基线。
default-observed：sched_ext 关闭，加载与其他受观测模式相同的 observer；用于量化观测开销。
scx-simple：仅在显式选择时作为上游 sched_ext 对照。

旧名称 default 与 observer-only 仅作为兼容别名，结果中统一写成规范名称。

验证与结果

最终原生门禁输出：results/final/v1.0.0-rc1/validation-summary.json
正式性能报告：results/final/v1.0.0-rc1/report.md
测试报告：docs/test_report.md
实验协议：docs/final_experiment_protocol.md
复现说明：docs/reproduce.md

发布门禁要求工作树干净，并保存 commit、OS/kernel/config/BTF、原生构建、BPF verifier、105 项单元测试、21 项特权集成检查、ACK 恢复证据、sched_ext 前后状态、内核日志差异以及残留进程/cgroup/BPF 检查。

演示视频

观看 4 分 28 秒中文配音与内嵌中文字幕演示｜章节与校验说明｜独立 SRT 字幕

视频覆盖 Agent 闭环、自研调度器、策略切换、generation ACK、Canary/Rollback、Resource/Network/Security Agent、Tool/Skill Runtime、六套 benchmark 与 Live/Replay Dashboard。画面中的运行指标均来自 openEuler VM 的已完成真实会话，不注入 mock 或合成遥测。最终自适应会话为 dynamic-adaptive-20260720-235021，故障会话为 dynamic-adaptive-20260720-235105，原生集成会话为 integration-20260720-234946-204193。

根目录同时提供项目说明书 DOCX、项目说明书 PDF、作品介绍 PPTX、作品介绍 PDF和匿名待签原创承诺书。

发布边界

当前实际支持目标为 x86_64，构建使用 __TARGET_ARCH_x86；不宣称 aarch64 已支持。
Security Agent 当前是 execve audit-only，不是完整 BPF LSM 阻断。
Network Policy 主线是 IPv4/TCP connect4。
dispatch weight 是调度选择权重，不等于精确 CPU time share；实际份额以 runtime share 为准。
max_vtime_lag_ns 是 virtual-time lag clamp，不是硬性最大排队时延保证。
allow_wakeup_preempt 当前主要体现为 enqueue-head，不等于立即抢占正在运行的任务。
lock-holder boost 与 spare-cycle placement 为 planned，不作为本版已实现能力申报。

许可证

本仓库采用混合许可：BPF 与原生 C 代码使用 GPL-2.0-only，用户态 Python、脚本、Dashboard 与文档使用 Apache-2.0。详见 LICENSE、LICENSES/ 与 THIRD_PARTY_NOTICES.md。