Katyusha's blog

1
// SPDX-License-Identifier: GPL-2.0
2
//
3
// 场景⑤：高频 / 高耗时系统调用热点（赛题唯一未给测试脚本的场景，差异化项）。
4
//
5
// 思路（关键证据点：syscall 频次 Top-N、单次耗时、累计耗时占比、发起进程/线程）：
6
//   raw_syscalls:sys_enter 记录线程进入 syscall 的时间与号；
7
//   raw_syscalls:sys_exit  结算单次耗时，按 (进程, syscall号) 累计次数/总耗时/最大耗时。
8
// 用通用 raw_syscalls tracepoint，跨 syscall ABI 可移植；syscall 号→名在用户态解析。
9
//
10
// 注意：raw_syscalls 触发极频繁，是本工具开销最高的场景。生产可经 target_pid
11
// 过滤(见 design.md 扩展点)只观测目标进程以降开销。
12

13
#include "vmlinux.h"
14
#include <bpf/bpf_helpers.h>
15

16
char LICENSE[] SEC("license") = "GPL";
17

18
#define TASK_COMM_LEN 16
19

20
struct sc_start {
21
  __u64 ts;
22
  __u32 nr;
23
  __u32 pad;
24
};
25

26
struct sc_key {
27
  __u32 pid; // tgid
28
  __u32 nr;  // syscall number
29
};
30

31
struct sc_stat {
32
  __u64 count;
33
  __u64 total_ns;
34
  __u64 max_ns;
35
  char  comm[TASK_COMM_LEN];
36
};
37

38
// tid -> 本次 syscall 起点
39
struct {
40
  __uint(type, BPF_MAP_TYPE_HASH);
41
  __uint(max_entries, 32768);
42
  __type(key, __u32);
43
  __type(value, struct sc_start);
44
} start SEC(".maps");
45

46
// (pid, nr) -> 累计统计
47
struct {
48
  __uint(type, BPF_MAP_TYPE_HASH);
49
  __uint(max_entries, 65536);
50
  __type(key, struct sc_key);
51
  __type(value, struct sc_stat);
52
} syscall_stats SEC(".maps");
53

54
struct sys_enter_tp {
55
  __u64 pad;
56
  __s64 id;
57
  __u64 args[6];
58
};
59

60
struct sys_exit_tp {
61
  __u64 pad;
62
  __s64 id;
63
  __s64 ret;
64
};
65

66
static __always_inline struct sc_stat *get_stat(struct sc_key *k)
67
{
68
  struct sc_stat *st = bpf_map_lookup_elem(&syscall_stats, k);
69
  if (st)
70
    return st;
71
  struct sc_stat zero = {};
72
  bpf_map_update_elem(&syscall_stats, k, &zero, BPF_NOEXIST);
73
  return bpf_map_lookup_elem(&syscall_stats, k);
74
}
75

76
SEC("tracepoint/raw_syscalls/sys_enter")
77
int handle_enter(struct sys_enter_tp *ctx)
78
{
79
  __u32 tid = (__u32)bpf_get_current_pid_tgid();
80
  struct sc_start s = {};
81
  s.ts = bpf_ktime_get_ns();
82
  s.nr = (__u32)ctx->id;
83
  bpf_map_update_elem(&start, &tid, &s, BPF_ANY);
84
  return 0;
85
}
86

87
SEC("tracepoint/raw_syscalls/sys_exit")
88
int handle_exit(struct sys_exit_tp *ctx)
89
{
90
  __u64 idpid = bpf_get_current_pid_tgid();
91
  __u32 tid = (__u32)idpid;
92
  struct sc_start *s = bpf_map_lookup_elem(&start, &tid);
93
  if (!s)
94
    return 0;
95

96
  __u64 dur = bpf_ktime_get_ns() - s->ts;
97
  struct sc_key k = {};
98
  k.pid = idpid >> 32;
99
  k.nr = s->nr;
100

101
  struct sc_stat *st = get_stat(&k);
102
  if (st) {
103
    __sync_fetch_and_add(&st->count, 1);
104
    __sync_fetch_and_add(&st->total_ns, dur);
105
    if (dur > st->max_ns)
106
      st->max_ns = dur;
107
    bpf_get_current_comm(&st->comm, sizeof(st->comm));
108
  }
109
  bpf_map_delete_elem(&start, &tid);
110
  return 0;
111
}