iotop 能看出是哪个进程在烧磁盘

Wed, 15 Mar 2028 00:00:00 +0000

iotop 把任务级内核统计接入系统整体的存储调查，可以帮助发现报告大量 IO 或等待的任务，但这两种观察并不相同。被其他工作阻塞的任务，可能是受影响者，而不是争用的来源。内核计数器也不为每种文件系统、缓存与存储层提供完美归因，不能把一个列表直接当成责任判决。

把 iotop 与设备指标、应用延迟放在一起看。活跃写入者或较高等待值，单独都不足以证明存储瓶颈。先比较同一时段，再决定检查哪个组件；两个命令的输出可以形成线索，却不会自动结束调查。应明确自己看到的是工作量、等待时间，还是实际设备完成的操作。

逐个进程的计数器

先核对安装的实现与版本。所引用的 iotop-c 已在主进程行中汇总线程活动；-P 只是隐藏单独的线程行。其他变体应核对各自手册，不能把显示选项误写成首次发生汇总。-o 根据观察到的 IO 活动过滤，不会判断工作是否有害。读写字节速率与 IO 等待百分比单位不同，不能把它们当作同一种消耗排名，也不能只凭一列高低决定是否应终止进程。

Linux 的 read_bytes 统计存储层读取，缓存命中的读取不一定产生这类字节。write_bytes 在页面变脏时记账，不一定等到设备完成写入；取消写入与稍后的回写，会让任务总量和设备吞吐不同。延迟统计记录任务等待，包括同步块 IO 等待；CPU iowait 是另一种整体指标，不能作为可靠的逐任务归责依据。页面缓存中的活动、进程等待和设备忙碌，需要分别解释。

看到谁在扫盘

明确选择排序列，并观察足够时间，区分持续工作和短促突发。写入速率高可能来自预期的备份、索引构建或日志任务。修改调度、限额之前，要关联进程归属、应用角色与当时业务。排名靠前只说明值得进一步检查，不会直接告诉你应轮转日志、迁移任务还是终止进程，正常的批处理也可能占据榜首。

在正确的 PID 命名空间中解析任务，并确认该标识仍指向预期进程。命令行、父子关系与打开文件能够提供上下文，但打开某个文件不证明全部写入都去了那里。两次读取之间 PID 可能复用，陈旧号码可能已经属于无关任务。容器内外看到的号码也可能不同，必须把身份与观察范围一同记录，避免把一个范围中的统计匹配到另一个范围中的进程。

先看再动

观察本身有成本与访问要求。进一步的系统调用追踪可能扰动进程并暴露参数，需要另外获准且范围明确的调查。追加标志属于打开文件时的设置，不是每次 write 系统调用携带的标志。不能把虚构的吞吐、打开文件与追踪输出组合成一次已测得的诊断，也不能看到文件存在就推断写入路径已被证明。

记录基线条件：工具实现、间隔、进程或线程模式、是否累计，以及可比较的业务负载。按文档默认的一秒间隔，-b -n 60 大约是一分钟，不是五分钟，还要考虑启动与首份报告。设备 await 包含排队与服务时间；接近百分之百的利用率，并不能在所有并行 SSD 或 RAID 上证明吞吐已经饱和。

把任务与设备数据按时间对齐，再比较变化。排名变化不等于工作量变化，同一任务可能因其他任务减少而上升。基线也不应靠固定的名次差或任意周期间隔决定是否异常；应结合实际速率、持续时间和应用目标解释，保留采集条件，避免将不同窗口或不同汇总方式直接相减。

坏掉的样子

缺少权限、内核统计选项，或未启用任务延迟统计，可能导致失败或字段不可用。空白显示不能证明自己的进程没问题，更不能证明其他用户的进程无关。应记录实际限制与所需环境，不能悄悄更改能力或内核设置来让工具运行。有些延迟统计配置变化只对之后启动的任务生效，不能假定已有进程立即具有完整历史。

突发活动可能被平均值稀释，短命任务也可能逃过采样。改变间隔会改变可见范围。累计模式汇总适用生命周期内观察到的统计，不会找回没有记录的上一小时，也不保证完整覆盖已经退出的任务。每个结论都应注明观察窗口；没有采到事件与事件从未发生，不能视为同一件事。

按同一时段对照任务字节、等待与设备观察。采集与当前身份核验尚未运行；不能排除早先 PID 复用或认定责任。

快速验证

以下尚未运行的提案面向引用的 iotop-c 接口与 sysstat iostat，先确认实际安装的实现，不能假定所有同名工具支持相同选项。它完整保存报告、标准错误与两个退出状态，不从文本自动选取进程。新建配置目录可以避免原先保存的 iotop 偏好悄悄改变显示模式；临时目录需要保留，便于复查失败信息和时间范围。

(
 capture=$(mktemp -d) || exit 1
 printf 'Evidence directory: %s\n' "$capture"
 iotop --version || exit $?
 iostat -V || exit $?
 LC_ALL=C iostat -x -y -t 2 5 > "$capture/iostat.txt" 2> "$capture/iostat.err" &
 stat_pid=$!
 if LC_ALL=C XDG_CONFIG_HOME="$capture" iotop -b -P -k -t -d 2 -n 5 \
 --no-only --no-accumulated --no-accum-bw \
 > "$capture/iotop.txt" 2> "$capture/iotop.err"; then
 task_status=0
 else
 task_status=$?
 fi
 if wait "$stat_pid"; then stat_status=0; else stat_status=$?; fi
 printf 'iotop_status=%s iostat_status=%s\n' "$task_status" "$stat_status"
 cat "$capture/iotop.err" "$capture/iostat.err"
 [ "$task_status" -eq 0 ] && [ "$stat_status" -eq 0 ] || exit 1
 cat "$capture/iotop.txt" "$capture/iostat.txt"
)

iotop-c 的主进程行已经包含线程活动；-P 隐藏单独线程行，固定千字节单位与非累计模式便于比较各列。这里的批量采集不承诺按写入量降序排列；应在每份报告中比较带标签的 DISK WRITE 数值。需要交互式排名时，明确选择该列与降序方向，不能把第一行直接当成最大写入者。排名与进程身份依然是两个独立问题。

按时间戳只比较重叠间隔，两个命令并没有完全同步启动；-y 排除 iostat 开机以来的首份报告。缺少计数器、非零状态或不完整窗口都会破坏比较，不能仅凭排名认定责任进程。

将下面的辅助程序保存为 inspect_io_process.py，再从完整报告中人工选定进程 PID；读取时必须使用同一 PID 命名空间。它要求 Python 3.9 以上、内核支持 pidfd，且相关 proc 项可读。权限、进程消失或 pidfd 不可用时应停止，不能退回猜测身份：

"""Read-only Linux identity snapshot; requires Python 3.9+ and pidfd support."""
import json
import os
import re
import select
import sys


def snapshot(token, proc_root="/proc", ops=os, poll_factory=select.poll):
 if not re.fullmatch(r"[1-9][0-9]*", token):
 raise ValueError("PID must be a positive decimal process ID")
 pid = int(token)
 pidfd = ops.pidfd_open(pid, 0)
 directory = None
 try:
 directory = ops.open(f"{proc_root}/{pid}", os.O_RDONLY | os.O_DIRECTORY)
 watcher = poll_factory()
 watcher.register(pidfd, select.POLLIN)

 def read(name, limit):
 fd = ops.open(name, os.O_RDONLY, dir_fd=directory)
 with ops.fdopen(fd, "rb") as source:
 data = source.read(limit + 1)
 if len(data) > limit:
 raise ValueError(f"{name} exceeds the snapshot limit")
 return data

 def identity():
 head, tail = read("stat", 65536).rsplit(b")", 1)
 if int(head.split(b" ", 1)[0]) != pid:
 raise ValueError("stat PID mismatch")
 fields = tail.split() # field 3 is index 0; field 22 is index 19
 if fields[0] in (b"Z", b"X", b"x"):
 raise ProcessLookupError("process has exited")
 return int(fields[19])

 before = identity()
 executable = ops.readlink("exe", dir_fd=directory)
 raw_command = read("cmdline", 65536)
 # Remove one final NUL; empty input means no argument data.
 command = raw_command[:-1] if raw_command.endswith(b"\0") else raw_command
 command = command.split(b"\0") if raw_command else []
 after = identity()
 if before != after or watcher.poll(0):
 raise ProcessLookupError("identity changed or process exited")
 return {"pid": pid, "starttime_ticks": before, "executable": executable,
 "argv": [arg.decode("utf-8", "backslashreplace") for arg in command]}
 finally:
 if directory is not None:
 ops.close(directory)
 ops.close(pidfd)


if __name__ == "__main__":
 try:
 if len(sys.argv) != 2:
 raise ValueError("usage: inspect_io_process.py PID")
 print(json.dumps(snapshot(sys.argv[1]), ensure_ascii=True))
 except (OSError, ValueError, IndexError, AttributeError) as error:
 sys.exit(f"Identity snapshot failed: {error}")

python3 inspect_io_process.py "${PID:?Set PID from the reviewed process row}"

成功快照报告可执行文件、参数与前后相同的启动时间值，同时通过 pidfd 检查进程退出。获取句柄之前 PID 仍可能已经复用，因此不能证明早先采样行属于当前进程。proc 字段可以变化，也不是原子快照；任何后续动作前都需重新检查。这里没有终止进程或改变优先级，整个真实工具流程仍未运行。

来源

iotop 手册，iotop-c 手册渲染版；需核对安装的变体，已核验 2026-10-18。
vmstat 手册，说明系统级 CPU 与 IO 等待报告，已核验 2026-09-05。
Linux delay accounting，taskstats 延迟范围与启用前提，已核验 2026-10-18。
Linux proc filesystem，存储字节记账、取消写入与 CPU iowait 限制，已核验 2026-10-18。
iostat manual，首份报告、await 与并行设备利用率的限制，已核验 2026-10-18。
iotop-c upstream manual，进程汇总、批量选项、配置与交互排序，已核验 2026-10-19。
sysstat upstream iostat manual，-y 略过开机统计，-t 标记间隔报告时间，已核验 2026-10-19。
pidfd_open manual，身份或受控操作的适用契约，已核验 2026-10-19。
Python os interfaces，身份或受控操作的适用契约，已核验 2026-10-19。
proc_pid_stat manual，身份或受控操作的适用契约，已核验 2026-10-19。

Iotop · XB 现场笔记