简单认识linux文件系统与日志分析

---

inode与block

概述

文件是存储在硬盘上的，硬盘的最小存储单位叫做“扇区”（sector），每个扇区存储512字节。
一般连续八个扇区组成一个"块"（block），一个块是4K大小，是文件存取的最小单位。
操作系统读取硬盘的时候，是一次性连续读取多个扇区，即一个块一个块的读取的。
文件数据包括实际数据与元信息（类似文件属性）。
文件数据存储在“块”中，存储文件元信息（比如文件的创建者、创建日期、文件大小、文件权限等）的区域就叫做inode。
因此，一个文件必须占用一个 inode，并且至少占用一个 block。
inode不包含文件名。文件名是存放在目录当中的。Linux 系统中一切皆文件，因此目录也是一种文件。
每个inode都有一个号码，操作系统用inode号码来识别不同的文件。
Linux系统内部不使用文件名，而使用inode号码来识别文件。
对于系统来说，文件名只是inode号码便于识别的别称，文件名和inode号码是一一对应关系，
每个inode号码对应一个文件名。
所以，当用户在Linux系统中试图访问一个文件时，系统会先根据文件名去查找它对应的inode号码；
通过inode号码，获取inode信息；根据inode信息，看该用户是否具有访问这个文件的权限；
如果有，就指向相对应的数据block，并读取数据。

查看inode号

查看文件名对应的 inode 号码有两种方式：
ls -i 文件名
stat 文件名

stat testfile                #输入命令
  File: `testfile'
  Size: 102             Blocks: 8          IO Block: 4096   regular file
Device: 807h/2055d      Inode: 1265161     Links: 1
Access: (0644/-rw-r--r--)  Uid: (    0/    root)   Gid: (    0/    root)
Access: 2014-08-13 14:07:20.000000000 +0800
Modify: 2014-08-13 14:07:07.000000000 +0800
Change: 2014-08-13 14:07:07.000000000 +0800

atime(accesstime)：
当使用这个文件的时候就会更新这个时间。
mtime(modification time)：
当修改文件的内容数据的时候，就会更新这个时间，而更改权限或者属性，ctime不会改变，mtime会变。
ctime(status time)：
当修改文件的权限或者属性的时候，就会更新这个时间，ctime并不是create time，更像是change time，只有当更新文件的属性或者权限的时候才会更新这个时间，但是更改内容的话是不会更新这个时间。

inode大小

inode也会消耗硬盘空间，所以格式化的时候，操作系统自动将硬盘分成两个区域。
一个是数据区，存放文件数据；
另一个是 inode 区，存放 inode 所包含的信息。
每个 inode 的大小，一般是 128 字节或 256 字节。
通常情况下不需要关注单个 inode 的大小，而是需要重点关注 inode 总数。
inode 的总数在格式化时就给定了，
执行 “df -i” 命令即可查看每个硬盘分区对应的的 inode 总数和已经使用的inode 数量。

[root@localhost ~]# df -i
文件系统                  Inode 已用(I) 可用(I) 已用(I)% 挂载点
/dev/mapper/centos-root 5242880  146519 5096361       3% /
devtmpfs                 229400     535  228865       1% /dev
tmpfs                    233381       1  233380       1% /dev/shm
tmpfs                    233381     787  232594       1% /run
tmpfs                    233381      16  233365       1% /sys/fs/cgroup
/dev/sda1                524288     328