可借助ebpf工具实时观测系统调用频次：一、用syscount统计高频调用；二、用bpftrace自定义脚本精准过滤；三、用perf trace跟踪调用流；四、通过/proc接口辅助验证；五、用bpftool检查ebpf程序状态。
如果您需要实时了解Linux系统中各类系统调用被触发的频次，以便定位性能瓶颈或异常行为，则可借助基于eBPF的轻量级工具进行无侵入式观测。以下是使用syscount及其他eBPF工具查看系统调用频率的具体方法：
一、使用syscount工具统计系统调用频率
syscount是bpftrace工具集中的一个预置脚本，它通过eBPF在内核态捕获所有系统调用事件，并在用户态聚合计数，支持按调用名、进程名或PID维度输出高频调用列表。
1、确认系统已安装bpftrace及配套工具包，例如Ubuntu需执行sudo apt install bpftrace；CentOS/RHEL需启用epel源后安装bpftrace和kernel-devel匹配当前内核版本。
2、运行sudo /usr/share/bpftrace/tools/syscount，默认持续采样5秒并输出调用次数降序排列的前20个系统调用。
3、如需限定统计特定进程，添加-p PID参数，例如sudo /usr/share/bpftrace/tools/syscount -p 1234仅捕获PID为1234的进程所发起的系统调用。
4、若要观察调用延迟分布，可改用sudo /usr/share/bpftrace/tools/syscount -L启用延迟直方图模式，此时输出将包含微秒级延迟区间统计。
二、使用bpftrace自定义脚本精确过滤系统调用
当syscount默认输出无法满足特定分析需求时，可通过编写bpftrace单行脚本实现精准捕获，例如仅统计openat、read、write三类调用，并按进程名分组计数。
1、执行sudo bpftrace -e 'tracepoint:syscalls:sys_enter_* { if (comm == "nginx" && (pid == pid)) @counts[probe, comm] = count(); } interval:s:5 { exit(); }'，该命令将捕获所有以sys_enter_开头的tracepoint事件，并对nginx进程的调用进行计数。
2、若需聚焦某几个系统调用，替换通配符为具体名称：使用tracepoint:syscalls:sys_enter_openat、tracepoint:syscalls:sys_enter_read、tracepoint:syscalls:sys_enter_write并用逗号连接。
3、在聚合语句中使用@counts[comm, probe]实现按进程名与调用名双重分组，避免不同进程间计数混叠。
4、添加printf("Top syscalls for %s:\n", comm)于interval块内可格式化输出头部信息，增强结果可读性。
三、利用perf trace实时跟踪系统调用流
perf trace是Linux内核自带的性能分析工具，不依赖eBPF，直接基于perf_events子系统捕获系统调用入口与返回事件，适合快速验证或低版本内核环境。
1、运行sudo perf trace -e 'syscalls:sys_enter_*' -a sleep 3，全局捕获所有进程3秒内的系统调用进入事件。
2、若仅关注某用户空间进程，先获取其PID，再执行sudo perf trace -p PID -e 'syscalls:sys_enter_*'，此时输出包含时间戳、PID、TID、系统调用名及参数值。
3、添加--call-graph dwarf参数可同时采集调用栈，用于判断某系统调用是否由特定函数路径触发。
4、使用perf script导出原始事件流至文件，再配合awk脚本按syscall name字段统计频次，命令为awk '{print $4}' perf.data.script | sort | uniq -c | sort -nr | head -20。
四、通过/proc/PID/status与/proc/PID/syscall接口辅助验证
/proc文件系统提供进程级系统调用计数快照，虽非实时流式数据，但可用于交叉比对eBPF工具结果或检查长期累积趋势。
1、查找目标进程PID，例如执行pgrep -f "python app.py"获取Python应用PID。
2、读取/proc/PID/status中voluntary_ctxt_switches与nonvoluntary_ctxt_switches字段，间接反映因系统调用阻塞导致的上下文切换频次。
3、检查/proc/PID/syscall文件，其第三列显示当前正在执行的系统调用编号（若进程处于系统调用中），结合cat /usr/include/asm-generic/unistd_64.h可查证编号对应调用名。
4、对多个PID批量采集时，可用shell循环遍历/proc/[0-9]*/status，提取syscr（系统调用完成次数）与syscw（写系统调用次数）字段并累加，生成全系统粗粒度统计。
五、部署bpftool检查eBPF程序运行状态
当syscount或自定义bpftrace脚本未输出预期结果时，需确认eBPF程序是否成功加载并持续运行，bpftool可列出当前内核中所有活跃的eBPF程序及其附着点信息。
1、执行sudo bpftool prog list，筛选输出中含tracepoint/syscalls/或kprobe/sys_call_table字样的条目，确认相关程序处于RUNNING状态。
2、若发现程序状态为DEAD或MISSING，说明加载失败或已被卸载，需检查dmesg日志：dmesg | tail -20，重点关注bpf:前缀报错，常见原因包括invalid bpf program或permission denied。
3、使用sudo bpftool map dump id MAP_ID（MAP_ID从prog list中获取）可导出指定映射表内容，验证计数器是否真实更新，例如syscount使用的哈希表键为syscall号，值为计数。
4、对长时间运行的监控任务，建议将bpftrace命令置于systemd服务中，并配置Restart=always与RestartSec=10，防止因临时错误退出导致监控中断。
