用 eBPF 把「内核协议栈排队延迟」和「应用读取延迟」拆开观测，有没有可复现的 bpftrace 脚本？

【背景】 我负责一批长连接 gRPC 服务的主机侧观测。最近一类抖动很磨人：ping RTT 正常、带宽没跑满、丢包≈0，但业务 P99 偶发从 80ms 抖到 400ms，抓包看 TCP 层窗口、重传都正常。我怀疑延迟要么堆在内核侧（socket recvq 排队、协议栈处理），要么堆在用户态（应用线程没及时 read，数据在 recvq 里躺着）。

【现象】

• 抖动是间歇性、无发布关联；
• ss -tm 偶尔能看到 recvq 堆积，但采样窗口抓不准；
• 现有 Prometheus 指标只有端口级 conntrack / 应用侧耗时，缺「数据进入内核 → 被应用取走」这一段的时间戳。

【已尝试】

1. tcpdump + wireshark 看 TCP 层：窗口/重传正常，定位不到；
2. perf 看 CPU：无明显热点；
3. 应用侧加 trace：只能拿到「业务总耗时」，拆不出内核 vs 用户态。

【期望的答案形态】 想要一份可复现的 bpftrace / bcc 脚本（贴出源码 + 运行命令 + 内核版本），能分别打点：

• 数据到达 socket recvq 的时间戳；
• 应用 read/recv 把它取走的时间戳；
• 两者差值（= 应用读取延迟）；
• 以及 sendq 侧的对称打点。 如果 eBPF 打不到某个 hook（比如内核版本限制），也请说明替代方案（如 kprobe on sock_recvmsg / tracepoint:sock 等）。最好能给出一个「判断阈值：多少算内核排队、多少算应用慢」的经验值。谢谢。