十一、日志、状态接口与可观测性

建立日志来源、/proc 与 /sys、经典工具、系统调用和 eBPF 的证据链。

领域子图

节点目录

核心节点	类型	摘要
journald、syslog、内核与应用日志	UserSpaceComponent	收集内核、服务、认证和应用事件，并提供结构化查询与持久化策略。
系统状态接口	FilePath	通过 /proc、/sys、sysctl、tracefs 和 Cgroup 文件读取运行态。
top、ps、vmstat、iostat、pidstat、sar 与 ss	Command	从不同时间尺度和资源层级观察任务、CPU、内存、I/O 与网络。
strace、lsof、perf、eBPF 与 Core Dump	Command	在进程、系统调用、内核事件、性能栈和崩溃现场层面收集深入证据。

领域边界

• 本章以通用 Linux 机制为主，明确区分内核、POSIX、GNU 工具和发行版实现。
• 每个节点包含机制、生命周期、入边/出边、命令、指标、只读实验、风险和官方来源。
• 关系方向以 关系类型（知识图谱本体——开发工具） 定义为准，机器数据位于 图谱数据（开发工具）。

验证策略

文档结论先以官方资料核验；只读实验在 Linux 6.x 容器或虚拟机执行。涉及 root、网络、磁盘、权限、服务或 sysctl 写操作时，不在知识库生成阶段自动执行。