bpftrace
翻译成1行命令搞定的ebpf
1. bpftrace 命令脚本格式
探测点[:探测点] /过滤器/ {命令动作}
probe[,probe] /filter/ [actions]
过滤器是可选的
这个很简单，但是很重要，清楚三个部分，再复杂的脚本也不会蒙圈。
2. 首先有知道、也是最重要的命令
bpftrace -l
例如：
bpftrace -l 'kprobe:*' -- 罗列出kprobe所有支持的函数（或者叫子动态探测点）
bpftrace -l “*syscall*”。-- 罗列出所有包含字符串syscall的探测点
bpftrace -l 'uprobe:/bin/bash:*' -- 罗列uprobe bash所有的探测点
不可能记住所有的函数，所以一定要学会如何去查找。
bpftrace -lv 显示函数参数或者结构的成员
bpftrace -lv 'xxxxx'
3. bpftrace 支持的探测类型：
kprobe
uprobe
software
hardware
profile
interval
支持多探测点、通配符*
例如：
kprobe:vfs_read,kprobe:vfs_write {...}
kprobe:ksys_*
4. 先看最简单的interval
帮助文档的描述是：为了间隔打印输出而每间隔一定时间执行一次脚本，这里重点是输出（output）
用法只有两个：
bpftrace -e 'interval:s:1 {time()}' -- 每一秒打印一次时间
bpftrace -e 'interval:ms:1 {time()}' -- 每一毫秒打印一次时间
这里想到的是在脚本中，定义周期执行的任务去记录或者检查
5. profile
帮助文档的描述是： 在所有cpu上以指定的间隔执行脚本，这里重点是所有CPU（all cpus）
bpftrace -e 'profile:s:1 {time()}'的输出：
Attaching 1 probe...
15:33:37
15:33:37
15:33:37
15:33:37
15:33:38
15:33:38
15:33:38
15:33:38
15:33:39
15:33:39
15:33:39
15:33:39
15:33:40
15:33:40
15:33:40
15:33:40
明显的我都机器有4个核心
bpftrace -e 'profile:hz:101 {time()}'
bpftrace -e 'profile:ms:1 {time()}'
bpftrace -e 'profile:us:1 {time()}'
这里的ms、us都好理解
hz这个我理解成内核配置的HZ，不过好像不论理解为HZ还是cpu频率，验证都有问题。待验证。。。。
6. hardware
hardware:backend-stalls:
hardware:branch-instructions:
hardware:branch-misses:
hardware:bus-cycles:
hardware:cache-misses:
hardware:cache-references:
hardware:cpu-cycles:
hardware:frontend-stalls:
hardware:instructions:
hardware:ref-cycles:
例如：
bpftrace -e 'hardware:cache-references: {@[comm]=count()}'输出
Attaching 1 probe...
^C
@[swapper/1]: 1
@[swapper/0]: 1
@[avahi-daemon]: 1
@[pool-udisksd]: 2
@[swapper/3]: 3
7. software
software:alignment-faults:
software:bpf-output:
software:context-switches:
software:cpu-clock:
software:cpu-migrations:
software:dummy:
software:emulation-faults:
software:major-faults:
software:minor-faults:
software:page-faults:
software:task-clock:
例如
bpftrace -e 'software:context-switches: {@[comm]=count()}'输出
Attaching 1 probe...
^C
@[swapper/3]: 1
@[swapper/0]: 1
@[rcu_sched]: 1
@[swapper/1]: 1
sofware和hardware的具体事件后面可以跟一个整数，表示多少次采样一次，比如
bpftrace -e 'software:context-switches:50 {@[comm]=count()}'
在输出中，真正次数是num*50，50次采样一次
注意，这里不写是使用default，default并不是1
