本文介绍Tetragon v1.7.0的进程血缘模型。exec_id由节点名、ktime和PID组成，解决PID复用问题，但不消除内核execve_map未命中。内核map按TGID保存权威状态，用户态cache按exec_id服务导出。in_init_tree标记容器PID 1子树，区分kubectl exec注入。procFS是启动回填标志。父进程不在map时，fork子进程不会入图，这是血缘缺口的关键失败路径。