<div style="text-align: left; font-family: 微软雅黑; font-size: 14px; font-style: normal; font-weight: normal; background-color: rgb(255, 255, 255);">
    前提:
</div>

<div style="text-align: left; color: rgb(0, 0, 0); font-family: 微软雅黑; font-size: 14px; font-style: normal; font-weight: normal; background-color: rgb(255, 255, 255);">
    centos 已经安装好<span style="font-family: Arial, sans-serif; font-size: 1.16em; background-color: rgb(255, 255, 255);">Systemtap-----见其他文章</span>
</div>

<div style="text-align: left; color: rgb(0, 0, 0); font-family: 微软雅黑; font-size: 14px; font-style: normal; font-weight: normal; background-color: rgb(255, 255, 255);">
    &nbsp;
</div>



 

问:一个文件正在被进程写 我想查看这个进程 文件一直在增大 找不到谁在写 使用lsof也没找到


这个问题挺有普遍性的,解决方法应该很多,

这里我给大家提个比较直观的方法。



 


 

linux下每个文件都会在某个块设备上存放,当然也都有相应的inode, 那么透过vfs.write我们就可以知道谁在不停的写入特定的设备上的inode。

 

幸运的是systemtap的安装包里带了inodewatch.stp,位于/usr/local/share/doc/systemtap/examples/io目录下,就是用来这个用途的。

 

我们来看下代码:

 

# vi inodewatch.stp

 

#! /usr/bin/env stap

 

probe vfs.write, vfs.read

{

  # dev and ino are defined by vfs.write and vfs.read

  if (dev == MKDEV($1,$2) # major/minor device

      && ino == $3)

    printf ("%s(%d) %s 0x%x/%u\n",

      execname(), pid(), probefunc(), dev, ino)

}

 

这个脚本的使用方法如下: stap inodewatch.stp major minor ino

 

先查看块设备


#  ls -al /dev/sda1
<div style="background-color: inherit;">
    brw-rw----&nbsp;1&nbsp;root&nbsp;disk&nbsp;<font color="#ff0000" style="background-color: inherit;">8,&nbsp;1&nbsp;</font>Jan&nbsp;16&nbsp;10:46&nbsp;/dev/sda1
</div>


这里我们已经知道设备的major/minor为8/1

 

在查看文件的ino

#stat -c&nbsp;``&#39;%i&#39; xxxx文件名

得到 一串数字:  25337884

 

最后


stap /usr/local/share/doc/systemtap/examples/io/inodewatch.stp 8 1 25337884
dd(740) vfs_write 0x800011/25337884
dd(740) vfs_write 0x800011/25337884


看到了吧,dd是罪魁祸首,pid是740, 搞定收工!

小结: systemtap处理这种问题很是神器。