本文介绍Falco libsinsp状态富化机制：通过线程/FD表将原始事件转为规则可引用字段，依赖事件流与/proc或BPF iterators回填。富化字段可能因丢事件、回填失败而空洞，导致条件静默为假。用户态进程树非内核权威状态，与Tetragon exec_id不同。排障时需区分富化失败与规则未加载。