2. eBPF 编程模型基础：eBPF 程序的生命周期与 Map 通信机制

eBPF 程序并非像普通用户态进程那样直接运行，而是经历一个严格的内核监管生命周期：加载 → 验证 → 附加 → 运行。同时，eBPF Map 作为内核与用户态、以及不同 eBPF 程序之间的数据交换枢纽，是理解 eBPF 架构的核心。本章将深入剖析这两个基础模型。

2.1 eBPF 程序的生命周期

一个 eBPF 程序从编写到最终在内核中执行，需要经过四个关键阶段。任何阶段失败，程序都不会生效。

2.1.1 生命周期流程图

下图展示了 eBPF 程序从用户态到内核态执行的完整路径：

2.2 eBPF Map 数据结构与通信机制

eBPF 程序本身是无状态的，无法直接保存数据。eBPF Map 是内核中的一种通用数据结构，允许 eBPF 程序存储状态、与用户态程序交换数据，甚至在不同 eBPF 程序之间共享信息。

2.2.1 核心 Map 类型对比

BCC 工具中常用的 Map 类型及其适用场景如下：

2.2.2 Map 通信架构图

下图展示了 eBPF Map 如何作为桥梁，连接内核 eBPF 程序与用户态控制程序：

2.2.3 实战：BCC 中使用 Hash Map 进行计数

以下是一个完整的 BCC 脚本片段，演示如何在内核 eBPF 程序中使用 BPF_HASH 统计进程发生的 execve 系统调用次数，并在用户态读取结果。

#!/usr/bin/python3
from bcc import BPF

# 1. 定义 eBPF 程序（C 语言）
bpf_text = """
#include <uapi/linux/ptrace.h>

// 声明一个 Hash Map：key 是进程 PID (u32)，value 是计数 (u64)
BPF_HASH(exec_count, u32, u64);

int trace_execve(struct pt_regs *ctx) {
    u32 pid = bpf_get_current_pid_tgid() >> 32;
    u64 *count, zero = 0;

    // 查找或初始化 Map 中的值
    count = exec_count.lookup(&pid);
    if (count == NULL) {
        exec_count.update(&pid, &zero);
        count = exec_count.lookup(&pid);
    }
    if (count) {
        __sync_fetch_and_add(count, 1); // 原子递增
    }
    return 0;
}
"""

# 2. 加载并附加到 syscall 的入口
b = BPF(text=bpf_text)
b.attach_kprobe(event="__x64_sys_execve", fn_name="trace_execve")

print("Counting execve syscalls... Press Ctrl-C to exit.")

# 3. 用户态循环读取 Map
try:
    while True:
        sleep(2)
        print("--- Top 5 execve PIDs ---")
        # 遍历 Map 并打印前 5 个
        for (pid, count) in sorted(
            b["exec_count"].items(), key=lambda kv: kv[1].value, reverse=True
        )[:5]:
            print(f"  PID: {pid.value} -> Count: {count.value}")
except KeyboardInterrupt:
    pass

2.3 生命周期与 Map 的协同工作

理解生命周期和 Map 的协同关系，是诊断性能问题的关键：

• 加载时创建 Map：在 eBPF 程序加载阶段，内核会根据程序中的 Map 声明，在内核内存中分配并初始化 Map 结构。Map 的生命周期与加载它的 eBPF 程序绑定。
• 验证时检查 Map 访问：验证器会严格检查 eBPF 程序对 Map 的访问是否越界（如数组索引超出范围）、类型是否匹配。这是最常见的验证失败原因之一。
• 运行时动态交互：程序附加并运行后，Map 成为动态数据交换的通道。用户态程序可以随时通过 bpf() 系统调用读取或写入 Map，而无需重启 eBPF 程序。
• 程序卸载时自动清理：当 eBPF 程序被卸载（例如 BCC 脚本退出），内核会自动释放与该程序关联的所有 Map 资源，防止内存泄漏。