什么是 eBPF
eBPF（extended Berkeley Packet Filter）是 Linux 内核的一项革命性技术，允许用户在内核中安全地运行沙箱程序，而无需修改内核源码或加载内核模块。最初 eBPF 用于网络数据包过滤，如今已扩展到可观测性、安全、网络、性能分析等多个领域。
eBPF 的核心价值在于：
- 内核级可编程：可以在内核关键路径插入探针。
- 安全沙箱：通过验证器确保程序不会导致内核崩溃或死循环。
- 高性能：JIT 编译为本地机器码执行，开销极低。
- 零侵入：无需修改应用程序代码即可采集数据。
eBPF 工作原理
eBPF 程序运行在内核态，通过事件驱动的方式触发执行。典型流程如下：
用户编写 eBPF 程序（C/Rust）
|
v
编译为 eBPF 字节码
|
v
通过 bpf() 系统调用加载到内核
|
v
内核验证器检查安全性
|
v
JIT 编译为机器码并挂载到事件源
|
v
事件触发 -> eBPF 程序执行 -> 数据写入 Map -> 用户空间读取
eBPF 程序可以挂载到多种事件源：
| 事件源 | 说明 |
|---|---|
| kprobe/kretprobe | 内核函数入口/返回点 |
| uprobe/uretprobe | 用户态函数入口/返回点 |
| tracepoint | 内核预定义跟踪点 |
| fentry/fexit | 更高效的函数入口/返回 |
| xdp | 网络数据包处理 |
| tc | 流量控制 |
| cgroup/skb | cgroup 级别网络事件 |
| lsm | Linux 安全模块钩子 |
eBPF 关键数据结构：Map
Map 是 eBPF 程序与用户空间程序共享数据的机制。常见类型包括：
BPF_MAP_TYPE_HASH：键值对哈希表。BPF_MAP_TYPE_ARRAY：数组。BPF_MAP_TYPE_RINGBUF：环形缓冲区，适合高频事件。BPF_MAP_TYPE_PERF_EVENT_ARRAY：性能事件数组。BPF_MAP_TYPE_LRU_HASH：带 LRU 淘汰的哈希表。
eBPF 网络、系统、容器观测工具
网络观测
- tcpdump / libpcap：传统抓包工具，部分已支持 eBPF。
- Katran：Facebook 开源的四层负载均衡器。
- Cilium：基于 eBPF 的 Kubernetes CNI 和网络策略引擎。
系统观测
- BCC（BPF Compiler Collection）：提供高级脚本接口，适合快速开发。
- bpftrace：类似 awk 的高级追踪语言。
- bpftool：查看和管理 eBPF 程序与 Map 的利器。
容器观测
- Pixie：基于 eBPF 的 Kubernetes 可观测平台。
- Falco：基于 eBPF 的运行时安全检测。
- Inspektor Gadget：K8s 专用 eBPF 工具集。
基于 eBPF 的低成本运维观测方案
相比传统 Agent，eBPF 观测方案具有以下优势：
- 零侵入：不需要修改应用代码或注入 Sidecar。
- 全栈覆盖：从网络包到系统调用，再到应用函数调用。
- 低开销：事件在内核态处理，只将必要数据导出到用户态。
- 细粒度：可以观测到每个进程、每个连接、每个请求的行为。
典型低成本方案架构：
Node Agent（DaemonSet）
- eBPF 程序采集网络/系统/容器事件
- 本地聚合与过滤
- 通过 gRPC/OTLP 上报到集中存储
eBPF + AIOps 异常根因定位
eBPF 可以为 AIOps 提供更丰富的底层上下文数据：
| 数据类型 | AIOps 应用 |
|---|---|
| 系统调用延迟 | 识别 IO 瓶颈、锁竞争 |
| TCP 重传/丢包 | 网络故障根因分析 |
| 进程调度延迟 | CPU 饱和或调度异常 |
| 文件访问模式 | 识别异常文件操作 |
| 容器网络流量 | 服务依赖异常检测 |
结合 LLM，可以构建这样的根因定位流程：
- 告警触发后，eBPF Agent 自动采集相关进程/容器的系统调用、网络、调度数据。
- 将采集到的数据与指标、日志、链路信息一起输入 LLM。
- LLM 基于多源数据进行推理，给出根因假设。
- 根据根因自动执行修复或推荐修复方案。
总结
eBPF 是现代云原生可观测性的关键技术。它以内核级、零侵入、高性能的方式，提供了前所未有的系统可见性。将 eBPF 与 Metrics、Traces、Logs 结合，再通过 AIOps 进行智能分析，可以大幅提升故障排查和根因定位的效率。