Linux性能排查——CPU软中断问题

1、CPU中断

中断其实是一种异步的事件处理机制，可以提高系统的并发处理能力。

由于中断处理程序会打断其他进程的运行，所以，为了减少对正常进程运行调度的影响，中断处理程序就需要尽可能快地运行。

Linux 将中断处理过程分成了两个阶段，也就是上半部和下半部：

上半部用来快速处理中断，它在中断禁止模式下运行，主要处理跟硬件紧密相关的或时间敏感的工作。下半部用来延迟处理上半部未完成的工作，通常以内核线程的方式运行。

2、案例

卡接收到数据包后，会通过硬件中断的方式，通知内核有新的数据到了。这时，内核就应该调用中断处理程序来响应它。

对上半部来说，既然是快速处理，其实就是要把 卡的数据读到内存中，然后更新一下硬件寄存器的状态（表示数据已经读好了），最后再发送一个软中断信 ，通知下半部做进一步的处理。

而下半部被软中断信 唤醒后，需要从内存中找到 络数据，再按照 络协议栈，对数据进行逐层解析和处理，直到把它送给应用程序。

所以，这两个阶段你也可以这样理解：

• 上半部直接处理硬件请求，也就是我们常说的硬中断，特点是快速执行；
• 而下半部则是由内核触发，也就是我们常说的软中断，特点是延迟执行。

实际上，上半部会打断 CPU 正在执行的任务，然后立即执行中断处理程序。而下半部以内核线程的方式执行，并且每个 CPU 都对应一个软中断内核线程，名字为 “ksoftirqd/CPU 编 ”，比如说， 0 CPU 对应的软中断内核线程的名字就是 ksoftirqd/0。

3、查看软中断和内核线程

• /proc/softirqs 提供了软中断的运行情况；
• /proc/interrupts 提供了硬中断的运行情况。

ps也可以看

小结

Linux 中的中断处理程序分为上半部和下半部：

• 上半部对应硬件中断，用来快速处理中断。
• 下半部对应软中断，用来异步处理上半部未完成的工作。

Linux 中的软中断包括 络收发、定时、调度、RCU 锁等各种类型，可以通过查看 /proc/softirqs 来观察软中断的运行情况。

5、软中断案例

第二个终端测试

第二个终端测试hping

返回第一个终端查看软中断

通过 /proc/softirqs 文件内容的变化情况，你可以发现， TIMER（定时中断）、NET_RX（ 络接收）、SCHED（内核调度）、RCU（RCU 锁）等这几个软中断都在不停变化。

其中，NET_RX，也就是 络数据包接收软中断的变化速率最快。而其他几种类型的软中断，是保证 Linux 调度、时钟和临界区保护这些正常工作所必需的，所以它们有一定的变化倒是正常的。

对于 sar 的输出界面，我先来简单介绍一下，从左往右依次是：

• 第一列：表示 告的时间。
• 第二列：IFACE 表示 卡。
• 第三、四列：rxpck/s 和 txpck/s分别表示每秒接收、发送的 络帧数，也就是 PPS。
• 第五、六列：rxkB/s 和 txkB/s 分别表示每秒接收、发送的千字节数，也就是BPS。
• 后面的其他参数基本接近 0，显然跟今天的问题没有直接关系，你可以先忽略掉。

既然怀疑是 络接收中断的问题，我们还是重点来看 eth0 ：接收的 PPS 比较大，达到 12607，而接收的 BPS 却很小，只有 664 KB。直观来看 络帧应该都是比较小的，我们稍微计算一下，664*1024/12607 = 54 字节，说明平均每个 络帧只有 54 字节，这显然是很小的 络帧，也就是我们通常所说的小包问题。

第一个终端抓包分析

• 从 tcpdump 的输出中，你可以发现192.168.0.2.18238 > 192.168.0.30.80 ，表示 络帧从
  192.168.0.2 的 18238 端口发送到 192.168.0.30 的 80 端口，也就是从运行 hping3 机器的 18238 端口发送 络帧，目的为 Nginx 所在机器的 80 端口。
• Flags [S] 则表示这是一个 SYN 包。

再加上前面用 sar 发现的， PPS 超过 12000 的现象，现在我们可以确认，这就是从 192.168.0.2 这个地址发送过来的 SYN FLOOD 攻击。

到这里，我们已经做了全套的性能诊断和分析。从系统的软中断使用率高这个现象出发，通过观察 /proc/softirqs 文件的变化情况，判断出软中断类型是 络接收中断；再通过 sar 和 tcpdump ，确认这是一个 SYN FLOOD 问题。

文章知识点与官方知识档案匹配，可进一步学习相关知识云原生入门技能树首页概览8795 人正在系统学习中