4、eBPF Map 数据结构：哈希映射、数组映射、Per-CPU 映射在流量统计中的应用

eBPF Map 是内核与用户态程序之间共享数据的关键桥梁，也是 eBPF 程序内部状态持久化的核心机制。在流量统计与配额校准场景中，选择合适的 Map 类型直接决定了统计的准确性、并发性能以及内存开销。本章深入剖析三种最常用的 Map 类型——哈希映射（Hash Map）、数组映射（Array Map）和 Per-CPU 映射（Per-CPU Map），并结合实际流量统计案例，展示各自的适用场景与实现要点。

4.1 三种 Map 类型核心对比

在开始编码之前，理解三种 Map 在数据结构、并发模型和内存布局上的本质差异至关重要。下表从多个维度进行了系统对比：

4.2 哈希映射：灵活的五元组流量聚合

哈希映射是流量统计中最灵活的 Map 类型，允许使用任意结构体作为 Key。在 eBPF 中，我们通常将网络五元组（源 IP、目的 IP、源端口、目的端口、协议）打包成一个结构体，作为哈希表的 Key，对应的 Value 则存储累计的字节数和包数。

4.2.1 核心代码片段：五元组统计

// 定义五元组 Key 结构体
struct flow_key {
    __u32 src_ip;
    __u32 dst_ip;
    __u16 src_port;
    __u16 dst_port;
    __u8  protocol;
};

// 定义统计 Value 结构体
struct flow_metrics {
    __u64 packets;
    __u64 bytes;
    __u64 last_seen;  // 时间戳，用于老化
};

// 定义哈希映射
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 65536);
    __type(key, struct flow_key);
    __type(value, struct flow_metrics);
} flow_stats_map SEC(".maps");

// XDP 或 TC 程序中的更新逻辑
SEC("xdp")
int xdp_flow_stats(struct xdp_md *ctx) {
    // ... 解析报文，填充 flow_key ...
    struct flow_key key = { .src_ip = src_ip, /* ... */ };
    
    // 查找或初始化
    struct flow_metrics *val = bpf_map_lookup_elem(&flow_stats_map, &key);
    if (val) {
        __sync_fetch_and_add(&val->packets, 1);
        __sync_fetch_and_add(&val->bytes, pkt_size);
    } else {
        struct flow_metrics new_val = { .packets = 1, .bytes = pkt_size, .last_seen = bpf_ktime_get_ns() };
        bpf_map_update_elem(&flow_stats_map, &key, &new_val, BPF_ANY);
    }
    return XDP_PASS;
}

4.3 数组映射：高效的 CPU 与协议级统计

当统计维度是固定的连续索引时，数组映射比哈希映射更高效。它没有哈希计算开销，内存预分配且连续，查找速度恒定。在流量统计中，最常见的应用是按 CPU 核心索引统计收包量，以及按 IP 协议号统计协议分布。

4.3.1 按 CPU 核心统计收包量

// 定义数组映射，索引为 CPU ID
struct {
    __uint(type, BPF_MAP_TYPE_ARRAY);
    __uint(max_entries, 128);  // 假设最多 128 核
    __type(key, __u32);
    __type(value, __u64);
} cpu_pkt_count SEC(".maps");

// 在 XDP 程序中更新
SEC("xdp")
int xdp_cpu_count(struct xdp_md *ctx) {
    __u32 cpu_id = bpf_get_smp_processor_id();
    __u64 *count = bpf_map_lookup_elem(&cpu_pkt_count, &cpu_id);
    if (count) {
        __sync_fetch_and_add(count, 1);
    }
    return XDP_PASS;
}

4.3.2 按协议号统计协议分布

// 定义数组映射，索引为 IP 协议号（0~255）
struct {
    __uint(type, BPF_MAP_TYPE_ARRAY);
    __uint(max_entries, 256);
    __type(key, __u32);
    __type(value, __u64);
} proto_byte_count SEC(".maps");

// 更新逻辑（省略报文解析）
__u32 proto = iph->protocol;  // 假设已解析
__u64 *bytes = bpf_map_lookup_elem(&proto_byte_count, &proto);
if (bytes) {
    __sync_fetch_and_add(bytes, pkt_size);
}

4.4 Per-CPU 映射：无锁高并发流量统计

在多核系统中，多个 CPU 同时更新同一个 Map 元素会导致严重的缓存行 bouncing 和锁竞争。Per-CPU 映射为每个 CPU 维护一份独立的副本，每个 CPU 只操作自己的副本，完全避免了锁和原子操作的开销。最终在用户态汇总时，再将所有 CPU 的副本累加。

4.4.1 Per-CPU 哈希映射示例

// 定义 Per-CPU 哈希映射，Key 为五元组，Value 为统计量
struct {
    __uint(type, BPF_MAP_TYPE_PERCPU_HASH);
    __uint(max_entries, 65536);
    __type(key, struct flow_key);
    __type(value, struct flow_metrics);
} percpu_flow_stats SEC(".maps");

// 更新逻辑（无需原子操作，无锁）
SEC("xdp")
int xdp_percpu_flow(struct xdp_md *ctx) {
    struct flow_key key = { /* 填充五元组 */ };
    struct flow_metrics *val = bpf_map_lookup_elem(&percpu_flow_stats, &key);
    if (val) {
        // 直接操作，无需 __sync_fetch_and_add
        val->packets += 1;
        val->bytes += pkt_size;
    } else {
        struct flow_metrics new_val = { .packets = 1, .bytes = pkt_size };
        bpf_map_update_elem(&percpu_flow_stats, &key, &new_val, BPF_ANY);
    }
    return XDP_PASS;
}

4.4.2 用户态汇总逻辑

// 用户态 C 代码：遍历所有 CPU 并累加
int nr_cpus = libbpf_num_possible_cpus();
struct flow_metrics values[nr_cpus];
struct flow_metrics total = {0};

for (int i = 0; i < max_entries; i++) {
    // 假设已知所有 Key，实际需遍历
    bpf_map_lookup_elem(map_fd, &key, values);
    for (int cpu = 0; cpu < nr_cpus; cpu++) {
        total.packets += values[cpu].packets;
        total.bytes   += values[cpu].bytes;
    }
}

4.5 三种 Map 在流量统计中的选型决策树

下面的 SVG 图展示了在实际流量统计项目中，如何根据统计维度、并发要求和内存约束，快速选择最合适的 Map 类型。

4.6 实战案例：eBPF 配额校准中的 Map 组合策略

在《流量可视化与 eBPF 配额校准》课程的核心场景中，单一 Map 类型往往无法满足所有需求。实际落地时，我们采用 分层组合策略：

1. 第一层（快速路径）： 使用 BPF_MAP_TYPE_PERCPU_ARRAY 按 CPU 索引统计瞬时包量，实现无锁、纳秒级更新。
2. 第二层（聚合路径）： 使用 BPF_MAP_TYPE_HASH 按用户 ID 或租户维度聚合流量，用于配额扣减。
3. 第三层（校准路径）： 使用 BPF_MAP_TYPE_ARRAY 存储配额阈值和已用配额，支持用户态快速读取和校准。

这种组合策略既保证了数据面（Data Plane）的极致性能，又为控制面（Control Plane）提供了灵活准确的查询接口。