晚上朔海同學問：
一個文件正在被進程寫 我想查看這個進程 文件一直在增大 找不到誰在寫 使用 lsof 也沒找到
這個問題挺有普遍性的，解決方法應該很多，這裡我給大家提個比較直觀的方法。
Linux 下每個文件都會在某個塊設備上存放，當然也都有相應的 inode ，那麼透過 vfs.write 我們就可以知道誰在不停的寫入特定的設備上的 inode。
幸運的是 systemtap 的安裝包裡帶了 inodewatch.stp，位於 /usr/local/share/doc/systemtap/examples/io 目錄下，就是用來這個用途的。
我們來看下代碼：
$ cat inodewatch.stp
#! /usr/bin/env stap
probe vfs.write, vfs.read
{
# dev and ino are defined by vfs.write and vfs.read
if (dev == MKDEV($1,$2) # major/minor device
&& ino == $3)
printf ("%s(%d) %s 0x%x/%u\n",
execname(), pid(), probefunc(), dev, ino)
}
這個腳本的使用方法如下：
stap inodewatch.stp major minor ino
下面我們構造個場景： dd 不停的寫入一個文件，查出這個文件的 ino, 以及它所在設備的 major，minor，運行 stap 腳本就可以得到答案。
場景交代好了，我們來演示下：
$ pwd
/home/chuba
$ df
Filesystem 1K-blocks Used Available Use% Mounted on
...
/dev/sdb1 1621245336 825209568 713681236 54% /home
...
$ ls -al /dev/sdb1
brw-rw---- 1 root disk 8, 17 Oct 24 11:22 /dev/sdb1
$ rm -f test.dat && dd if=/dev/zero of=test.dat
^C9912890+0 records in
9912890+0 records out
5075399680 bytes (5.1 GB) copied, 26.8189 s, 189 MB/s
這個終端模擬文件的不停寫入，同時在另外一個終端查驗誰干的。這裡我們已經知道設備的 major/minor 為 8/17。
$ stat -c '%i' test.dat
25337884
$ sudo stap /usr/local/share/doc/systemtap/examples/io/inodewatch.stp 8 17 25337884
dd(740) vfs_write 0x800011/25337884
dd(740) vfs_write 0x800011/25337884
dd(740) vfs_write 0x800011/25337884
dd(740) vfs_write 0x800011/25337884
dd(740) vfs_write 0x800011/25337884
dd(740) vfs_write 0x800011/25337884
...
看到了吧，dd 是罪魁禍首，pid 是 740, 搞定收工！
小結：systemtap 處理這種問題很是神器。
