用 sysstat 之外的眼睛：atop 的一次性安装与回放

发布时间:2026-01-10 04:25

## 场景 凌晨三点服务卡了五分钟，早上登机器一看，所有指标早已恢复正常，普通监控没有留下任何细节。sysstat 的采样粒度是分钟级、指标维度有限，这类瞬时异常正好从指缝里溜走。atop 的价值就在这里：以进程级粒度常驻采样，每个时间片记录全系统的资源快照，事后回放，等于给服务器装了一台行车记录仪，异常发生时它在看，异常过去它还记着。 ## 步骤清单 安装并启用常驻采样服务。 ``` apt-get install -y atop systemctl enable --now atop ``` 服务默认每十分钟写一份快照到日志目录，网络细节再加一行配置开启。 ``` echo "LOGOPTS=\"-net\"" >> /etc/default/atop systemctl restart atop ``` 采样间隔与保留天数都在同一配置文件里调整，磁盘紧张时把保留收紧到一周。 ## 验证与回放 确认日志目录里出现按日期命名的采样文件，回放命令进入交互界面，按时间轴逐帧查看。 ``` atop -r /var/log/atop/atop_20250601 ``` 交互按键值得记几个：t 前进一个时间片，T 后退，b 跳到指定时刻，c 显示进程完整命令行，d 切到磁盘视图，n 切到网络视图。定位夜间异常的套路是先按 b 跳到告警时刻，再看那一帧的资源排序列，谁在那一刻占着磁盘或内存，一目了然；再前后各翻两帧看它的来龙去脉，是突发任务、缓慢爬升还是外部流量引发，三种形态的处理方向完全不同。 ## 注意事项 采样常驻有轻微开销，进程数极大的机器上把间隔放宽到十五分钟更稳妥。日志文件随保留天数累积，规划磁盘时把这块算进去，别让诊断工具自己成为磁盘告警的原因。回放依赖本机日志，机器回收后记录同步消失，重大故障前先把相关时段的采样文件拷出来。顺云云服务器上把 atop 与控制台的监控告警搭配使用，平台曲线定异常时段，atop 回放找肇事进程，两步就能把过去时的故障办成铁案。