晚上朔海同学问：
一个文件正在被进程写 我想查看这个进程 文件一直在增大 找不到谁在写 使用 lsof 也没找到
这个问题挺有普遍性的，解决方法应该很多，这里我给大家提个比较直观的方法。
Linux 下每个文件都会在某个块设备上存放，当然也都有相应的 inode ，那么透过 vfs.write 我们就可以知道谁在不停的写入特定的设备上的 inode。
幸运的是 systemtap 的安装包里带了 inodewatch.stp，位于 /usr/local/share/doc/systemtap/examples/io 目录下，就是用来这个用途的。
我们来看下代码：
$ cat inodewatch.stp #! /usr/bin/env stapprobe vfs.write, vfs.read{ # dev and ino are defined by vfs.write and vfs.read if (dev == MKDEV($1,$2) # major/minor device && ino == $3) printf (“%s(%d) %s 0x%x/%u\n”, execname(), pid(), probefunc(), dev, ino)}
这个脚本的使用方法如下：
stap inodewatch.stp major minor ino
下面我们构造个场景： dd 不停的写入一个文件，查出这个文件的 ino, 以及它所在设备的 major，minor，运行 stap 脚本就可以得到答案。
场景交代好了，我们来演示下：
$ pwd/home/chuba$ dfFilesystem 1K-blocks Used Available Use% Mounted on…/dev/sdb1 1621245336 825209568 713681236 54% /home…$ ls -al /dev/sdb1brw-rw—- 1 root disk 8, 17 Oct 24 11:22 /dev/sdb1 $ rm -f test.dat && dd if=/dev/zero of=test.dat^C9912890+0 records in9912890+0 records out5075399680 bytes (5.1 GB) copied, 26.8189 s, 189 MB/s
这个终端模拟文件的不停写入，，同时在另外一个终端查验谁干的。这里我们已经知道设备的 major/minor 为 8/17。
$ stat -c ‘%i’ test.dat25337884$ sudo stap /usr/local/share/doc/systemtap/examples/io/inodewatch.stp 8 17 25337884dd(740) vfs_write 0x800011/25337884dd(740) vfs_write 0x800011/25337884dd(740) vfs_write 0x800011/25337884dd(740) vfs_write 0x800011/25337884dd(740) vfs_write 0x800011/25337884dd(740) vfs_write 0x800011/25337884…
看到了吧，dd 是罪魁祸首，pid 是 740, 搞定收工！
小结：systemtap 处理这种问题很是神器。
少吃点，吃好的。
