Oracle 补丁体系 及 opatch 工具介绍

 一． CPU（Critical Patch Update）
一个CPU内包含了对多个安全漏洞的修复，并且也包括相应必需的非安全漏洞的补丁。CPU是累积型的，只要安装最新发布的CPU即可，其中包括之前发布的所有CPU的内容。事实上，在CPU之前的安全漏洞修改除去个别例外也被包括在CPU中。Oracle公司只对处于标准技术支持和延长支持期间的产品提供CPU更新，对处于维持支持范围的产品不提供新的CPU.（对于9.2以前的版本，只对处于ECS和EMS期间的版本提供CPU更新。）
 
一般对当前补丁发行版及前一个版本提供CPU，但也有只限于当前补丁发行版的例外情形。也就是说，一般需要先安装最新PSR后才可能安装CPU.由于是累积型的定期发布，所以对于某一平台的某一版本，如果两次CPU发布期间没有发现新的安全漏洞，则新发布的CPU与前一版本完全相同。
 
可以在以下网址中可以找到CPU发布的信息，只要在Oracle 免费注册一个用户，就可以收到这些补丁的信息。但是，只有技术支持签约用户才可以从metalink下载补丁文件。
http://www.oracle.com/technology/deploy/security/alerts.htm
 
Oracle公司制定的CPU的发布日期大约在一月、四月、七月和十月的最接近15的星期二。
 
Critical Patch Updates：
Critical Patch Updates are the primary means of releasing security fixes for Oracle products to customers with valid support contracts. They are released on the Tuesday closest to the 15th day of January, April, July and October. Starting 2011, the scheduled dates for the release of Critical Patch Updates will be on the Tuesday closest to the 17th day of January, April, July and October. The next four dates are:
12 October 2010
18 January 2011
19 April 2011
19 July 2011
 
对于每一个CPU，附有相应的说明文档（Critical Patch Update Note），其中介绍安装过程和注意事项，在安装之前应认真阅读此文档。同样也存在文档“Oracle Critical Patch Update MM YYYY Known Issues for Oracle Database”，其中列出了说明文档中没有给出的新信息。
 
 
二．PSR（Patch Set Release）和 PSU（Patch Set Update）
8i,9i,10g,11g这是其主要版本号，每一版本会陆续有两至三个发行版，如10.1，10.2,和 11.1，11.2分别是10g和11g的两个发行版。对于每一个发行版软件中发现的BUG，给出相应的修复补丁。每隔一定时期，会将所有补丁集成到软件中，经过集成测试后，进行发布，也称为PSR（Patch Set Release）。以10.2为例，10.2.0.1.0是基础发行版，至今已有三个PSR发布，每个PSR修改5位版本号的第4位，最新10.2的PSR为10.2.0.4.0。(11.1.0.6.0是11.1的基础发行版，11.1.0.7.0是第一次PSR) 。
 
在某个PSR之后编写的补丁，在还没有加入到下一个PSR之前，以个别补丁（Interim Patch）的形式提供给客户。某个个别补丁是针对Oracle公司发现的或客户报告的某一个BUG编写的补丁，多个个别补丁之间一同安装时可能会有冲突，即同一个目标模块分别进行了不同的修改。另外，即便在安装时没有发现冲突，由于没有进行严格的集成测试，运行过程中由于相互作用是否会发生意外也不能完全排除。
 
除去修改功能和性能BUG的补丁，还有应对安全漏洞的安全补丁。Oracle公司定期（一年四期）发布安全补丁集，称之为CPU（Critical Patch Updates）。
 
由于数据库在信息系统的核心地位，对其性能和安全性的要求非常高。理应及时安装所有重要补丁。另外一个方面，基于同样的理由，要求数据库系统必须非常稳定，安装补丁而导致的系统故障和性能下降同样不可接受。DBA经常面临一个非常困难的选择：对于多个修复重要BUG的个别补丁是否安装。不安装，失去预防故障发生的机会，以后故障发生时，自己是无作为；安装，如果这些补丁中存在着倒退BUG，或者相互影响，以后发生由于安装补丁而造成的故障时，自己则是无事生非！而等待下一个PSR，一般又需要一年时间。因此，出现了PSU（Patch Set Update）。
 
PSU解决以下几个问题：
1. 减轻PSR周期长而带来的不能及时更新的影响；
2. 解决多个个别补丁冲突和相互影响的问题；
3. 减轻DBA安装补丁的负担：补丁安装次数，不定期检查补丁发布。
 
PSU具有如下特点：
第一、PSU是PSR的补充，在两次PSR发布之间发布多个PSU，加快更新速度。每个PSU修改5位版本号的第5位。例如，安装此次发布的 PSU后，11.1版本“升级”为11.1.0.7.1；10.2版本为10.2.0.4.2。
第二、每个PSU中包含25至100个重要补丁，作为一个整体进行严格测试，解决冲突问题，保证系统的稳定性。PSU不仅包括对功能、性能修复的一般补丁，也包括安全补丁。
第三、PSU定期发布，计划一年分布四次，发布日期与CPU发布日期相同。由于PSU包括同期发布的CPU，只要安装PSU即可。（对部分平台，仍提供单独的CPU，供客户选择）
第四、如同PSR和CPU一样，PSU是累积型的，即只要安装最新的PSU就自动包括以前所有PSU的内容。
第五、使用DBA已经熟悉的Opatch工具安装/删除PSU，命令仍是apply和rollback。一个PSU可视作一个个别补丁，安装和删除操作都很简便。
第六、现有的个别补丁与PSU的关系分为三类：完全独立；是PSU的一部分；与PSU冲突。第一类的个别补丁与PSU相互没有影响，可以独立的安装或删除。对于第二类，在安装PSU之后，自然没有必要安装。若在PSU之前已安装，则在安装PSU时会被自动删除。对于第三类个别补丁，如在PSU之前已安装，必须在安装PSU时删除。客户可以向Oracle公司技术支持部门提出申请，由Oracle负责提供与PSU不冲突的，在PSU之上安装的相应的新的版本。
PSU的限制：必须是在正常技术支持范围之内的版本（11.2、11.1和10.2），并且PSU只能在最新PSR之上安装

 

名称	说明
Release	¤ 标准产品发布。如Oracle Database 10g Release  2的第一个发行版本为10.2.0.1,可以在OTN、edelivery等站点上公开下载
Patch SetRelease	¤ 就是早期大家常说的PSR。这是在主版本号上发布的补丁集，修复了较多的Bug，可能会包含一些增强功能（Enhancement）。比如11.2.0.1是一个主版本，那么11.2.0.2、11.2.0.3就是2个不同的Patch set。这种补丁集经过了严格的集成测试，也是累积型的。所以推荐安装最新的Patch Set。
Patch SetUpdate	¤ 就是DBA&DMA们常论道的PSU。Oracle 选取在每个季度用户下载数量最多，并且得到验证具有较低风险的补丁放入到每个季度的PSU中，修复比较严重的一些问题，包含每个季度的CPU，是累积型的。虽然在描述PSU的时候会用到数据库版本第5位，比如Database PSU 11.2.0.3.5，但实际上打完PSU后并不会真正改变数据库的版本，从v$version中看到的版本还是4位的(11.2.0.3.0)，第5位仍然是0。 ¤ 注意   (1)Windows上没有CPU和PSU，对于Windows和Exadata，Oracle使用Bundle Patch代替PSU，Bundle Patch会包含PSU的内容   (2)从11.2.0.2版本开始，一个新的补丁策略被引入，11.2.0.1之后发布的Patch Set本身就是一个完整的安装包，不再需要基础的Release 版本安装。
Critical PatchUpdate	¤ 这个指的就是CPU补丁。每季度发布一次，用来修复安全方面的一些补丁，是累积型的。目前(2012年10月）已经更名为Security Patch Update (SPU) ¤ 这类问题本来不属于软件错误,在正常使用中不会出现任何问题。但是别有用心的人可以通过运行非常精巧设计的代码 ，绕过数据库系统的安全管理机制,达到非授权存取的目的。 ¤ 重要补丁公告参见这里.
Interim Patch/One-Off  Patch	¤ 是我们常说的小补丁，为了修复某(几)个Bug而发布的补丁。这种补丁推荐在测试库上测试无误后再安装在生产库上。
Merged Patch	¤ 合并的补丁。当几个小补丁之间有冲突，不能同时安装的时候，需要提供这种Merged Patch。补丁冲突主要是由于2个或者多个补丁修改同一个文件，但是修改的内容是不同的。
Bundle Patch(BP)	¤ 补丁集，修复多个Bug。在Windows平台上的Oracle没有小补丁，只有这种BundlePatch。 这种累积型的补丁集会周期性的发布（至少每季一次）,也就是每个Bundle Patch会包含之前所有的Bundle Patch。比如Windows Bundle Patch 16，它会包含之前所有15个Bundle Patch，所以我们总是推荐安装最新的Bundle Patch。Oracle的集群软件和数据库软件的Window Bundle Patch是同一个，比如Windows Bundle Patch 16(补丁号16167942，既可以打在集群上，也可以打在数据库上) 。 ■要了解Windows Bundle Patch的补丁号，可以参考MOS文档： Note 161549.1 Oracle  Database, Networking and Grid Agent Patches for Microsoft Platforms ■这部分有待补充

 
 
三． OPatch 命令
从9.2版开始，Oracle公司实现了个别补丁安装工具opatch. opatch使用一个称为inventory的系统数据结构（严格说是与oui共享inventory），集中管理所有已安装的个别补丁；个别补丁的安装和卸载都使用opatch命令完成，冲突检测也由opatch在安装时自动完成；提供列表命令可以很方便得到已安装个别补丁的信息。
 
10g（10.1和10.2）版本中，opatch作为一个标准工具，在安装时自动安装。（安装在$ORACLE_HOME/OPatch下。）而对于9.2版，需要从metalink下载opatch.无论是哪一个版本，系统中是否已经安装opatch，在使用之前，应从metalink下载最新版本的opatch.很遗憾，由于系统实现的问题，10.2使用的opatch与之前版本（10.1和9.2）使用的opatch不兼容，不能混用，这一点必须注意。
 
opatch是使用perl编写的脚本程序（其中也使用JAVA API）。使用的perl版本是5.6版，虽然在5.6之前的版本中也可运行，但应尽可能安装5.6或以上的版本的perl. 对于DBA来说一个好消息是，如果安装9.2版软件时保留了HTTP服务器，则在$ORACLE_HOME/Apache下会自动安装perl.（10g会自动安装配置perl和opatch.）
 
3.1 opatch命令存放位置
该命令的存放位置在$ORACLE_HOME下的OPatch目录下。
-bash-3.2$ pwd
/u01/oracle/oracle/product/10.2.0/db_1/OPatch
 
-bash-3.2$ ls
docs  emdpatch.pl  jlib  opatch  opatch.ini  opatch.pl
 
3.2 使用“-help”参数可以获得opatch命令的帮助信息
 
apply
Installs an interim patch. Refer to "apply Command" for more information.
 
napply
Installs n number of patches (hence napply). Refer to "napply Command" for more information.
 
auto
Applies Oracle Clusterware patches. Refer to "auto Command" for more information.
 
lsinventory
Lists what is currently installed on the system. Refer to "lsinventory Command" for more information.
 
query
Queries a given patch for specific details. Refer to "query Command" for more information.
 
rollback
Removes an interim patch. Refer to "rollback Command" for more information.
 
nrollback
Removes n number of patches (hence nrollback). Refer to "nrollback Command" for more information.
 
version
Prints the current version of the patch tool. Refer to "version Command" for more information.
 
在$ORACLE_HOME/OPatch/docs目录下，用指南文件（Users_Guide.txt），其中有详细的命令格式和使用示例，可以参考。
Opatch执行操作时，除在屏幕输出结果外，还生成日志文件。日志文件的路径和文件名格式如下：
$ORACLE_HOME/.patch_storage/< patch_id >/< action >-< patch_id >_< mm-dd-yyyy_hh-mi-ss>.log
其中“patch_id”是Oracle技术支持部门为个别补丁分配的编号。