Linux系统日志管理：（2）进程统计日志

浏览数：41 / 时间：2015年06月20日

Linux操作系统中有三种主要的日志子系统：

（1）连接时间日志

（2）进程统计日志

（3）系统和服务日志

连接时间日志和进程统计日志由rsyslog(旧版是syslog)日志服务驱动,系统和服务日志由相对应的网络服务驱动和管理；

进程统计日志

进程统计日志可以监控用户在服务器上的操作时非常有效，所记录的操作会存入/var/account/pacct文件中；

#accton
accton: no arguments
Usage: accton [OPTION] on|off|ACCOUNTING_FILE
Try ‘accton --help‘ for more information.
# accton --help
Usage: accton [OPTION] on|off|ACCOUNTING_FILE
          Turns process accounting on or off, or changes the file where this
          info is saved.
          OPTIONS:
          -h, --help       Show help and exit
          -V, --version    Show version and exit
          ARGUMENTS:
          on               Activate process accounting and use default file
          off              Deactivate process accounting
          ACCOUNTING_FILE  Activate (if not active) and save information in
          this file
          The system‘s default process accounting file is ‘/var/account/pacct‘.
          Report bugs to <[email protected]>

（1）启动进程统计日志情况

# accton on
Turning on process accounting, file set to the default ‘/var/account/pacct‘.

（2）显示进程统计日志情况

# lastcomm
ksmtuned          F    root     __         0.00 secs Thu Feb 26 23:05
awk                    root     __         0.00 secs Thu Feb 26 23:05
ksmtuned          F    root     __         0.00 secs Thu Feb 26 23:05
ksmtuned          F    root     __         0.00 secs Thu Feb 26 23:05
pgrep                  root     __         0.00 secs Thu Feb 26 23:05
ksmtuned          F    root     __         0.00 secs Thu Feb 26 23:05
awk                    root     __         0.00 secs Thu Feb 26 23:05
sleep                  root     __         0.00 secs Thu Feb 26 23:04
accton           S     root     pts/0      0.00 secs Thu Feb 26 23:04

以最后一行为例：

*命令位

*标志位

S表示命令有超级管理员执行

F表示命令有子程序运行，没有使用EXEC

C表示命令运行在PDP-11兼容环境下

X表示命令由SIGTREM信号终止

*用户名

*执行命令的系统

关于lastcomm的用法：

# lastcomm --help
Usage: lastcomm [-hpV] [-f file] [command] ... [user] ... [terminal] ...
       [--forwards] [--file <file>] [--strict-match] [--print-controls]
       [--user <name>] [--tty <name>] [--command <name>] [--debug]
       [--show-paging] [--ahz <freq>] [--version] [--help]
The system‘s default process accounting file is /var/account/pacct.

（3）停止进程统计日志监控

# lastcomm off

使用sa命令进行统计

sa命令可以将/var/account/pacct中的数据压缩到/var/log/savacc（基于命令名称进行索引统计）和/etc/log/usracc（基于用户名进行索引统计的）中；

# sa -a
    4557   50640.33re       1.08cp         0avio     27021k
    1      742.55re       0.58cp         0avio    366208k   gnome-shell
    7     5199.84re       0.23cp         0avio    105595k   gmain

re表示示例时间，以分钟为单位；

cp表示系统和用户的使用时间，以分钟为单位；

k表示内核占用CPU的平均时间，一个单元大小为KB；

sh表示命令名称；

avio表示每次执行I/O操作的次数；

sa语法如下：

用法：sa [选项]... [文件]...

　　主要选项如下。

　　— -a：打印所有命令的名称(包括那些带有不可打印字符的)。

　　— -b：将输出按用户和系统时间的总和除以调用次数来进行分类。否则，输出为用户时间和系统时间之和。

　　— -c：将每个命令使用时间打印为相对于所有命令使用时间的百分比。此外，还有用户、系统和实时。

　　— -C：将记账文件合并到摘要文件中。如果摘要文件为旧用法，则将它转换为新用法。