1. 常用技巧
systemtap可以实现交叉编译：
编译可执行模块如下：
stap -r kernel_version script -m module_name
运行命令如下：
staprun module_name.ko
stap命令会读取脚本的指令，并翻译成Ｃ代码，编译成内核模块加载到内核。
Staprun命令运行指令，并不会去翻译或编译。
使用-v参数可以输出会话很多信息。使用-vvv可以输出更加详细信息。
其他常用的参数有如下：
-o可以将输出指定到文件
-S可以指定日志大小
-x可以绑定到某个进程，这个比较好用。
-e使用脚本而不是文件
-d可以指定模块，例如文件系统模块，这样就可以输出文件系统相关函数,也可以使用--all-modules，加载所需要的映射信息。
-F使用flight recoreder模式,后台运行，只记录最进输出。记录方式可以是内存和文件方式。内存默认是１MB,可以通过-s选项来设置。例如-s2表示设置２MB。如果是文件通过-S来设置，第一个参数是大小，第二该参数是最近保存的文件数量，老的文件会被删除。
例如：
stap -F -o /tmp/pfaults.log -S 1,2 pfaults.stp
2. 事件
systemtap中事件分为同步的和异步的。
同步事件包括：
syscall.system_call 系统调用
vfs.file_operation 虚拟文件系统的操作
kernel.function(“function”) 内核函数
kernel.trace(“tracepoint”) 静态探针tracepoint
module(“module”).function(“function”) 模块中函数
异步事件是没有绑定到代码中的指令，有计数器，定时器等，包括如下：
begin 会话开始
end 会话结束
timer 定时器事件
关于支持的事件可以使用命令man stapprobes。
3. 函数
tid()当前线程id
uid()当前用户id
cpu()当前cpu号
gettimeofday_s()从1970开始的秒
ctime() 转换时间从秒到日期
pp()描述当前探针的字符串
thread_indent()当一个探针的处理没结束又触发下一个探针的时候，可以进行缩进打印，非常便于观察。
name 只能用于系统调用
target()当使用-x参数绑定进程的时候，可使用来判断pid()==target()，从而过滤其他进程触发的事件。
4. 变量
通常变量是局部的，如果要使用全局的变量，需要使用global。
目标可用变量可以通过-L参数获取，例如：stap -L ‘kernel.function(“vfs_read”)’
出现如下，表示vfs_read函数的可以用变量或结构。
kernel.function("vfs_read@fs/read_write.c:448") $file:struct file* $buf:char* $count:size_t $pos:loff_t*
如果变量定义在其他文件中，可以通过如下方式来引用
@var(“varname@src/file.c”)
如果是数据结构，可以通过->来获取其中的域值，例如
@var(“files_stat@fs/file_table.c”)->max_files
获取指定地址的字节：kernel_char(address)
kernel_short(address)
kernel_int(address)
kernel_long(address)
kernel_string(address)
kernel_string_n(address,n)
为了方便获取参数，systemtap提供了一个方法
直接使用$$var就可以打印函数参数和变量。
如果使用$$locals,就是打印局部变量
$$parms就只打印函数阐述
$$return 打印返回值，只在返回探针能用。
例如：
#stap -e 'probe kernel.function("vfs_read") {printf("%s\n",$$parms);exit();}'
file=0xffff880006761e00 buf=0x7fff4bb16e70 count=0x2004 pos=0xffff8800004cff48
这个得到的如file本来就是一个数据结构，意义并不是很大，如果能得到该数据结构中的域，那将更好。可以通过在变量后面增加一个$来实现。
#stap -e 'probe kernel.function("vfs_read") {printf("%s\n",$$parms$);exit();}'
如果域中还有指针，要继续解锁，那么就增加一个$来实现，如：
#stap -e 'probe kernel.function("vfs_read") {printf("%s\n",$$parms$$);exit();}'
有些结构类型可能不能确定，那么可以使用@cast来进行类型转化。
另外可以使用@define来确定是否有可用的变量
5. 参数
脚本支持参数输入的，类似shell脚本，不过在脚本中通过$和@两个来获取参数，其中$表示整数，＠表示字符串。
6. 组合数组
例如：foo[“tom”]=23
foo[“dick”]=24
其实就是python中的字典，一个key对应一个value。
不过key可以是多个，最多可以是９个，相互用逗号隔开。
组合数组必须是global的。
也可以如下，将线程ID和时间关联起来。
foo[tid()] = gettimeofday_s()
l  访问的时候可以直接通过foo[tid()]来进行访问，甚至能实现++计算。
如果要遍历数组中的元素，可以使用foreach ( a in foo),这个语法是python简直了。
甚至可以按升序或降序处理如下：
foreach (a in foo- limit 10),其中-表示降序，升序可以用+，limit 10表示前１０个。
l  删除可以使用delete命令。
l  判断某个key是否在组合数组中，可以使用[“a”] in foo来判断。
l  还可以进行累加例如foo[“a”]<<<$count,使用<<<来实现。
l  组合数据还支持聚合操作，@extractor(variable/array index expression).extractor.其中extractor可以是count,sum,min,max,avg。例如@count(reads[execname()]),@sum(reads[execname()].
7. tapsets
tapsets是预先写好的探针和函数库，当用户运行systemtap脚本时，systemtap会检测这个库，然后再去翻译成Ｃ。
这个库位于/usr/share/systemtap/tapset目录中，tapsets是不能直接执行的，它是一个抽象层让用户更加方便的来定义事件和函数。例如thread_indent(),execname()等。
8. 嵌入C代码
可以通过%{和%}来嵌入C代码。嵌入Ｃ代码后，运行可以使用stap -g script，以专家模式运行。