キャプチャ

キャプチャは証拠の境界です。選択したワークロードのソケットのライフサイクルイベントと順序付けられたペイロード断片を観測しますが、それらをそのままアプリケーションの操作だとは扱いません。

ワークロードを選択する

公開されている record コマンドは 3 つの scope に対応します。

chronicle record -- ./my-app
chronicle record --pid 12345
chronicle record --cgroup /sys/fs/cgroup/my-service

command mode はコマンドを監視します。PID mode と cgroup mode は既存のワークロードを観測するだけで、終了させません。--name で安定した名前を付け、--duration で recording 全体の deadline を任意に指定できます。省略すると、ソース完了、明示的な停止、または致命的な安全性失敗まで続きます。キャプチャはソースを再接続せず、境界付き epoch をロールオーバーします。

境界を越えるデータ

Linux アダプターは Aya と kernel ABI の詳細を非公開に保ちます。アプリケーション層が受け取るのは、ソケットの identity、エンドポイントの証拠、方向、ペイロード断片を含む正規化されたキャプチャイベントです。エンドポイント情報のないペイロード断片を解釈する前に、エンドポイントと active/passive role の証拠が到着します。

現在、HTTP/1.1 decoder に利用できるのは平文 TCP payload だけです。TLS 暗号文は解釈できません。キャプチャの欠損は時間範囲を持つ loss evidence として表現され、曖昧な欠損をまたいで完全な操作を作り出すことはありません。

なぜ計測コードが不要なのか

Chronicle はコマンド、プロセス、または cgroup の外側から接続します。アプリケーションに Chronicle SDK の呼び出し、パッチ、専用モードでの再起動、プロトコル固有のテストフックを追加する必要はありません。これにより本番統合を小さく保ちながら、正規化された証拠の境界を通じて fixture と eBPF キャプチャが同じ下流パイプラインを利用できます。

上限は契約の一部

記録全体の duration は任意です。10m や 24h などの検証済み値で deadline を指定でき、epoch のロールオーバーでリセットされません。各 epoch の WAL/segment 上限は維持され、parent 全体の WAL 上限はありません。キャプチャキューには上限があり、取り込めない証拠は黙って破棄せず欠損として確認できます。

次の境界については WAL、ETL、ローカルデプロイ を読んでください。