centos开关机日志分析

缘起

在工作中发现有获取linux具体开关机时间和类型的需求，可以通过分析/var/log/wtmp日志文件得到。
通过last -x -F可以将/var/log/wtmp输出以下格式。

root     pts/1        172.16.3.245     Sun Jun 12 10:14:47 2016 - Tue Jun 14 08:34:31 2016 (1+22:19)
root     pts/0        172.16.3.245     Sun Jun 12 10:14:37 2016 - Tue Jun 14 08:34:25 2016 (1+22:19)
root     ttyS0                         Sun Jun 12 10:14:24 2016 - down                     (5+03:49)
runlevel (to lvl 3)   3.10.0           Sun Jun 12 10:14:17 2016 - Fri Jun 17 14:03:40 2016 (5+03:49)
root     pts/1        172.16.3.145     Sun Jun 12 10:13:57 2016 - Sun Jun 12 10:13:57 2016  (00:00)
reboot   system boot  3.10.0           Sun Jun 12 10:13:18 2016 - Fri Jun 17 14:03:40 2016 (5+03:50)
shutdown system down  3.10.0           Sun Jun 12 10:12:51 2016 - Sun Jun 12 10:13:18 2016  (00:00)
root     pts/1        172.16.3.145     Sun Jun 12 10:12:47 2016 - down                      (00:00)
root     pts/20       172.16.3.211     Sun Jun 12 10:07:58 2016 - down                      (00:04)
root     pts/19       172.16.3.119     Sun Jun 12 10:07:50 2016 - down                      (00:05)

...
root     pts/3        172.16.3.145     Sun Jun 12 09:10:15 2016 - down                      (01:02)
root     pts/2        172.16.3.145     Sun Jun 12 09:10:15 2016 - down                      (01:02)
root     tty1                          Sun Jun 12 09:09:37 2016 - down                      (01:03)
runlevel (to lvl 3)   3.10.0           Sun Jun 12 09:09:22 2016 - Sun Jun 12 10:12:51 2016  (01:03)
root     pts/1        172.16.3.245     Sun Jun 12 09:09:10 2016 - Sun Jun 12 10:12:47 2016  (01:03)
reboot   system boot  3.10.0           Sun Jun 12 09:07:24 2016 - Sun Jun 12 10:12:51 2016  (01:05)
root     pts/14       172.16.3.211     Sun Jun 12 08:57:19 2016 - crash                     (00:10)
root     pts/7        172.16.3.245     Sun Jun 12 08:52:13 2016 - crash                     (00:15)
root     pts/11       172.16.3.245     Sun Jun 12 08:51:38 2016 - crash                     (00:15)
root     pts/10       172.16.3.211     Sun Jun 12 08:46:06 2016 - crash                     (00:21)
root     pts/9        172.16.3.30      Sun Jun 12 08:41:33 2016 - crash                     (00:25)

性空

具体一条记录

用户	终端类型	登录ip	开始时间	结束时间	持续时长
root	pts/5	172.16.3.129	Fri Jun 17 14:03:50 2016	Fri Jun 17 14:03:42 2016	(00:00)

每一行为一条会话记录，有以下6个部分。

1. 用户名
   • linux用户名
   • reboot 系统关机或重启
   • shutdown 关机
2. 终端类型
   • tty 本机终端
   • pst 远程登录终端
3. 登录ip
4. 开始时间（可靠）
5. 结束时间（不可靠）
   • 具体时间：结束时间，若不正常关机，此时间就不准确
   • down：系统关机退出
   • crash：系统不正常关机退出
6. 持续时长
   • (5+03:49) 日，小时，分

分析开关机时间思路

1. 首先找到开始为reboot的行，获取此行的“开始时间”得到这一次的开机时间。
2. 如果reboot行的下一行为shutdown，则为正常关机，获取此行的“开始时间”得到关机时间。若持续时间为(00:00)则为重启。
3. 如果reboot行的下一行不为shutdown，则为不正常关机，下面的登录会话的“结束时间”必然伴随着crash。找到最近的一条crash记录，拿到这条记录的“开始时间”和“持续时长”，相加即是关机时间。