无法解释“last”命令输出中的“崩溃”条目

Question

最后在12:02和14:18显示“crash”，但当时系统并没有停止工作。另一方面，15:03 的重启是为了从实际崩溃中恢复——我们的系统在 14:46 停止响应。为什么在机器实际崩溃之前最后显示两次“崩溃”？

[admin@devbox log]$ last | head
myuser pts/2        myhostname  Wed Sep 28 15:12   still logged in
myuser pts/2        myhostname  Wed Sep 28 15:09 - 15:12  (00:02)
myuser pts/2        myhostname  Wed Sep 28 15:07 - 15:09  (00:01)
myuser pts/1        myhostname  Wed Sep 28 15:06   still logged in
myuser pts/0        myhostname  Wed Sep 28 15:04   still logged in
reboot   system boot  2.6.18-274.el5PA Wed Sep 28 15:03          (00:09)
myuser pts/1        myhostname  Wed Sep 28 14:18 - crash  (00:44)
myuser pts/0        myhostname  Wed Sep 28 12:02 - crash  (03:01)

编辑：15:03 的重启已经足够真实了——但是 14:18 和 12:02 的两个“崩溃”条目我无法解释。

Answer 1

lastcrash当wtmp数据库中没有用户会话的注销条目时，打印为注销时间。

last输出中的最后一个条目表示在 12:02myuser登录pts/0，当系统在 14:18 和 15:03 之间崩溃时，它应该仍然登录。

通常，wtmp每个用户会话有两个条目。一种用于登录时间，一种用于注销时间。当系统崩溃时，第二个条目可能会丢失。所以last假设当系统崩溃并打印crash为注销时间时用户仍然登录。

更明确地说，这两个“崩溃”行只是系统在 15:00 左右崩溃时处于活动状态的两个会话，而不是两个系统崩溃。