Não é possível explicar as entradas de "falha" na saída do comando 'last'

A última mostra "falha" às 12:02 e 14:18, mas o sistema não parou de funcionar naquele momento. A reinicialização às 15:03, por outro lado, foi para recuperar de uma falha real - nosso sistema parou de responder às 14:46. Por que a última mostra duas "falhas" antes da falha real da máquina?

[admin@devbox log]$ last | head
myuser pts/2        myhostname  Wed Sep 28 15:12   still logged in
myuser pts/2        myhostname  Wed Sep 28 15:09 - 15:12  (00:02)
myuser pts/2        myhostname  Wed Sep 28 15:07 - 15:09  (00:01)
myuser pts/1        myhostname  Wed Sep 28 15:06   still logged in
myuser pts/0        myhostname  Wed Sep 28 15:04   still logged in
reboot   system boot  2.6.18-274.el5PA Wed Sep 28 15:03          (00:09)
myuser pts/1        myhostname  Wed Sep 28 14:18 - crash  (00:44)
myuser pts/0        myhostname  Wed Sep 28 12:02 - crash  (03:01)

EDIT: A reinicialização às 15:03 é real o suficiente - mas as duas entradas de "falha" às 14:18 e 12:02 não posso explicar.

rhel last

— Kyle Hodgson
fonte

40 minutos ... mas isso é desde a reinicialização.

— Kyle Hodgson

Ah desculpa. Não entendi sua pergunta. Quando você disse "mas o sistema não foi reiniciado", pensei que você estava dizendo que nenhuma reinicialização aconteceu.

— Tapete de

lastimprime crashcomo tempo de logout quando não há entrada de logout no wtmpbanco de dados para uma sessão do usuário.

A última entrada na lastsaída significa que efetuou myuserlogon pts/0às 12:02 e, quando o sistema travou entre 14:18 e 15:03, ainda deve estar logado.

Geralmente, wtmpexistem duas entradas para cada sessão do usuário. Um para o tempo de login e outro para o tempo de logout. Quando um sistema falha, a segunda entrada pode estar faltando. Portanto, lastsupõe que o usuário ainda estava conectado quando o sistema travou e imprime crashcomo tempo de logout.

Para ser mais claro, essas duas linhas "travadas" são apenas as duas sessões que estavam ativas quando o sistema travou por volta das 15:00, não duas travadas no sistema .

— andcoz
fonte

Não me sinto enferrujado agora ... com certeza eu sabia disso em algum momento! Obrigado ...

— Kyle Hodgson

Será lastsempre imprimir um registro reinicialização após um acidente? E é possível que a sessão do usuário falhe, mas todo o sistema operacional?

— CMDragonkai

1) Sim é. wtmpregistrará cada inicialização do sistema, mas a mensagem exibida (por last) depende da implementação. 2) Não, a sessão do usuário não pode falhar . Um programa que gerencia uma sessão do usuário pode terminar de forma anormal , mas, nesse caso, wtmpsimplesmente registrará um logout .

— andcoz