3. bpftrace 基础语法：探针类型、动作块、内置变量与过滤条件

bpftrace 的脚本语法简洁而强大，其核心结构遵循 探针 : 动作块 的模式。理解探针类型、内置变量和过滤条件是编写高效分析脚本的基础。本节将系统性地拆解这些核心概念，并通过实例和图表帮助你快速掌握。

3.1 探针类型

探针是 bpftrace 的“传感器”，决定了脚本挂载到内核或用户空间的哪个位置。选择合适的探针类型是精确测量的第一步。以下是常用的探针类型及其适用场景。

3.2 动作块与内置变量

动作块是脚本的“执行器”，它利用内置变量来捕获上下文信息。bpftrace 提供了丰富的内置变量，用于获取进程信息、时间戳、内核栈等关键数据。

核心内置变量速查表

3.3 基本过滤条件

过滤条件允许你从海量事件中精准定位目标，避免无关数据干扰分析。过滤条件写在两个斜杠 / / 之间，支持常见的比较和逻辑运算符。

常用过滤模式

• 按进程 ID 过滤： /pid == 12345/ — 只跟踪特定进程。
• 按进程名过滤： /comm == "nginx"/ — 只跟踪名为 "nginx" 的进程。
• 按用户 ID 过滤： /uid == 0/ — 只跟踪 root 用户的操作。
• 按参数过滤： /args->fd == 3/ — 只跟踪文件描述符为 3 的系统调用。
• 组合过滤： /pid == 12345 && comm == "curl"/ — 使用 && (与) 或 || (或) 组合条件。

3.4 综合示例：测量特定进程的 read 系统调用延迟

以下脚本综合运用了 tracepoint 探针、内置变量和过滤条件，用于测量 PID 为 12345 的进程的 read 系统调用延迟。

#!/usr/bin/env bpftrace

BEGIN
{
    printf("Tracing read() syscall latency for PID 12345... Hit Ctrl-C to end.\n");
}

tracepoint:syscalls:sys_enter_read
/pid == 12345/
{
    @start[tid] = nsecs;
}

tracepoint:syscalls:sys_exit_read
/pid == 12345/
{
    $delta_us = (nsecs - @start[tid]) / 1000;
    @latency_us = hist($delta_us);
    @total_count++;
    delete(@start[tid]);
}

END
{
    printf("\nRead syscall latency distribution (us):\n");
    print(@latency_us);
    printf("Total calls: %d\n", @total_count);
    clear(@latency_us);
    clear(@start);
}