如何将ftrace生成的ASCII trace转换为kernelshark支持的.dat文件

trace-cmd 从v2.9版本开始内置了ASCII trace反向转.dat格式的能力，对应子命令为trace-cmd restore，不需要自行编写解析脚本，直接用官方工具就能完成转换，具体操作如下：

操作步骤 #

• 先确认本地trace-cmd版本：执行trace-cmd --version，若版本低于2.9请先升级，低版本不支持从ASCII文件还原.dat的功能。
• 检查待转换的ASCII trace文件格式：必须包含trace-cmd report输出的标准元数据头，也就是trace-cmd report输出最开头标注内核版本、trace事件格式定义、追踪配置的段落。如果你的trace文件是直接通过cat /sys/kernel/debug/tracing/trace导出的纯事件行、缺少这段元数据，转换后的文件会丢失事件解析规则，kernelshark无法正常识别事件字段。
• 执行转换命令：

trace-cmd restore -i ./trace -o ./trace.dat

命令中./trace是你手头的ASCII格式trace文件路径，执行完成后生成的trace.dat就可以直接用kernelshark加载分析。

异常处理 #

如果你的ASCII trace是直接从debugfs拷贝、缺少元数据头，可以按以下方式补全后再转换：

• 在和生成该trace的机器内核版本完全一致的环境下，执行一次短时间的trace采集，生成带完整元数据的临时dat文件：trace-cmd record -e all -o temp.dat sleep 1
• 执行trace-cmd report -i temp.dat拿到标准输出，截取最开头到第一条正式事件之前的所有元数据内容，拼接到你现有ASCII trace文件的最顶部
• 再执行上面的trace-cmd restore命令完成转换即可，注意两个环境的内核版本、开启的追踪事件配置必须完全匹配，否则会出现事件字段解析错位的问题。

转换完成后可以先执行trace-cmd report -i ./trace.dat核对输出内容和原ASCII文件是否一致，确认解析无误后再用kernelshark打开即可。你之前提到的trace-cmd report是正向导出ASCII、trace-cmd extract是读当前内核环形缓冲区，确实都不满足反向转换的需求。

内容的提问来源于stack exchange，提问作者MM92x