在传统的性能分析工具无法满足细粒度内核级调试需求时，SystemTap 是你最强大的“显微镜”。它能帮助你实时追踪内核函数、锁竞争、I/O 延迟等深层系统行为，真正从底层掌控系统运行状态。
一、什么是 SystemTap？
SystemTap 是一个强大的 Linux 性能分析工具，能够让你：
o 探测内核事件和函数调用
o 收集系统级实时指标
o 编写脚本定制你关注的监控逻辑
它可以媲美 eBPF，但在某些特定场景如旧内核或特殊模块跟踪中更灵活。
二、安装 SystemTap
以 Ubuntu 为例：
sudo apt update
sudo apt install systemtap systemtap-runtime linux-headers-$(uname -r) -y
CentOS/RHEL：
sudo yum install systemtap systemtap-runtime kernel-devel kernel-debuginfo -y
三、实战示例：追踪 sys_open 系统调用
sudo stap -e 'probe syscall.open { printf("Process %s is opening file: %s\n", execname(), filename) }'
这条命令可以帮助你实时看到哪些进程在打开哪些文件。
四、定制脚本追踪函数耗时
创建名为 trace_exec_time.stp 的脚本：
global start_time
probe kernel.function("do_sys_open").call {
start_time[tid()] = gettimeofday_us()
}
probe kernel.function("do_sys_open").return {
if (start_time[tid()]) {
delta = gettimeofday_us() - start_time[tid()]
printf("PID: %d, open() took %d us\n", pid(), delta)
delete start_time[tid()]
}
}
运行：
sudo stap trace_exec_time.stp
五、可视化数据建议
建议将数据输出保存至 CSV 或 JSON 后，用 Python（如 matplotlib）可视化展示系统调用耗时分布。
六、应用场景
o 内核调试与优化
o 分析 I/O 瓶颈
o 定位异常进程行为
o 系统安全审计等
七、小结
SystemTap 虽然学习曲线稍陡，但掌握后，你将获得内核世界的“透视眼”。对系统调优工程师和 DevOps 专家而言，是不可或缺的利器。