抓包基础：抓包原理、触发条件、过滤设置、存储深度与采样率
抓包这东西，说白了就是给高速信号“拍X光片”。你首先要明白，协议分析仪不是万能的，它只能看到物理层上跳变的0和1，然后按照协议规则把这些电平翻译成数据包。我个人习惯把抓包过程拆成四步：物理连接、信号同步、触发捕捉、数据存储。每一步都有坑，今天咱们一个一个来聊。
抓包原理：信号链上的三件事
协议分析仪的探头往板上一戳，信号链路就开始工作了。本质上干三件事：
- 电平采样：探头把差分信号（比如PCIe的TX+/TX-）转成单端逻辑电平。我遇到过探头地线没夹好，波形直接削顶，采出来的全是毛刺。
- 时钟恢复：从数据流里把时钟抖出来。尤其是8b/10b编码的协议，分析仪必须锁定数据跳变沿。时钟恢复环路有个锁定时间，信号刚上电那几微秒的数据是抓不到的——这是硬伤。
- 协议解码：把电平和时钟还原成帧头、地址、数据、CRC。这一步依赖分析仪内部的协议引擎，引擎固件版本不对，解码结果可能满屏都是“Invalid Symbol”。
触发条件：从大海捞针到精准定位
为什么要设触发？因为存储深度有限，而总线上的数据是海量的。触发就是告诉分析仪：“别什么都存，我只要特定的那个时刻。” 我把它分为三类：
| 触发类型 | 触发条件 | 典型应用 | 我个人踩过的坑 |
|---|---|---|---|
| 边沿触发 | 信号跳变沿（上升/下降） | 看同步头、帧起始 | 上升沿触发设太灵敏，被噪声误触发，存了一堆废包 |
| 数据触发 | 匹配特定数据模式（比如“0x5A”开头的包） | 捕获特定的写事务、读请求 | 我曾经在PCIe配置空间读写时，忘记触发设的是“地址匹配”，结果抓了200MB全是重传包 |
| 协议触发 | 违反协议规则的包（比如CRC错误、帧长度超限） | 定位误码、协议栈异常 | 注意：协议触发依赖解码引擎，解码出错时触发条件可能完全失效 |
过滤设置：存储空间要用在刀刃上
触发解决了“什么时候抓”的问题，过滤解决的是“抓什么内容”。我们的目的是让分析仪只保存有用的部分，把垃圾丢在采集缓冲区外。我个人习惯用两层过滤：
- 硬件过滤：在模拟前端就丢掉不关心的信号段。比如只保留地址段在0x8000~0x8FFF之间的包。硬件过滤不占存储空间，速度最快。
- 软件过滤：采集完成后再用工具把无关包筛掉。适合需要保留上下文、但后期想聚焦分析的场景。
举个例子，我在调试DMA传输时，先用硬件过滤设成“只抓DMA描述符地址区间的写事务”，再用软件过滤筛出所有带状态回写标志的包。两个过滤配合，能把3分钟的抓包时间缩短到30秒。
// 示例：某分析仪的过滤脚本（伪代码）
FilterConfig f;
f.addHardwareFilter(FilterType.ADDRESS_RANGE, 0x8000, 0x8FFF);
f.addSoftwareFilter(FilterType.PACKET_FLAG, FLAG_DMA_DONE);
analyzer.applyFilter(f);
存储深度与采样率：一张表说清楚
这两个参数是一对冤家。采样率决定你能捕捉多快的变化，存储深度决定你能存多长时间的记录。它们的关系很简单：
捕获时间 = 存储深度 ÷ 采样率
你想想看，提高采样率意味着时间窗口变短；想要更长的记录就得降采样率或增加存储深度。
| 场景 | 典型采样率 | 需要的存储深度 | 我能捕获的时间窗口 |
|---|---|---|---|
| 低频I²C调试 | 100 MSa/s | 16 Mpts | 160 ms（足够看完完整的上电时序） |
| 高频PCIe Gen4 | 16 GSa/s (过采样) | 256 Mpts | 16 μs（只能抓一次配置空间读写的全过程） |
| 长周期异常复现 | 1 GSa/s | 2 | 2 s（适合看系统复位后的状态变化） |
这里有个实战教训。我曾经调一块FPGA与PCIe交换芯片的链路协商问题，一开始采样率设到最高，存了200ms的数据，结果发现链路协商耗时300ms——差了100ms，根本抓不到关键的LTSSM状态跳变。后来我忍着不适把采样率降了一档，存了500ms，才抓到那个只在链路训练中间出现0.5μs的异常包。嗯，选存储策略就是妥协的艺术。
最后说一句，存储深度够不够用，不是看标称值，而是看你能不能完整捕获一次“有意义的总线事件”。对配置空间读取来说，一个包也就几十个字节，16M深度绰绰有余；但对PCIe TLP的长时间DMA跟踪，256M可能只是起步价。记住这个公式，回头遇到问题自己算一遍，比猜靠谱得多。