> 系列第 29 篇。前两篇拆了记录结构、讲了地址定位。这一篇讲"你要读的那个文件本身"——它现在是死的，还是活的。
***
## 一句现场对话

"测试环境跑了一周没问题，上生产第二天就开始漏数据。"

同样的代码、同样的库版本、同样的表。差别只有一个：**测试环境是拿归档日志跑的，生产上必须读在线日志。**

这不是配置问题，是两类文件的性质完全不同。
***
## 01 一个是"死"的，一个是"活"的

**归档日志是死的。**
日志切换（log switch）那一刻，ARCn 把一整组在线日志的内容复制出去，形成归档文件。写完之后它就不动了：

- 内容封口，长度固定；
- 每个块都写完，可以逐块校验；
- 可以反复读，读一百遍结果一样。

**在线日志是活的。**
LGWR 正在往里写。你打开它的时候：

- 最后一个块**永远处于"写了一半"的状态**；
- 下一秒会有新的 record 追加进来；
- 而且它是**循环复用**的——一组日志轮流写，转一圈回来，旧内容直接被覆盖。

一句话：**归档是"已经交卷的卷子"，在线是"正在写的卷子"。**
> **［插图 1：chart1_life.png］**
>
> 把光标放这一行 → 删掉提示 → 点「插入 → 图片」上传同目录下的 chart1_life.png
***
## 02 在线日志的四个坑，一个比一个实在

**坑一：尾块永远不完整。**
这不是 bug，是设计。日志块按固定大小写，最后一块没写满就是没写满。你把它当成完整块去解析，读到的是**上次循环留下来的残留字节**——不是垃圾数据，是真实存在过的旧数据。**这比读到乱码危险得多，因为它看起来是对的。**

**坑二：读到一半被覆盖。**
在线日志组是循环的。你的解析进度如果落后太多，等你追上去的时候，那一组已经被 LGWR 转回来覆盖了。**表现就是"数据突然少了一段"，而且没有任何报错。**

**坑三：日志切换的瞬间。**
切换发生时，ARCn 在归档、LGWR 在切到下一组、你在读上一组。三个动作同时发生。这时候文件句柄可能失效、inode 可能变、路径可能被重建。

**坑四：归档窗口可能只有几小时。**
别以为归档就一定在。开了 Data Guard 或者配了多个 **LOG_ARCHIVE_DEST**，归档可能被转走、被删除。等你想回头补一段，文件已经没了。
***
## 03 传统路线：它要的是"数据库认得"的文件

这里要说清楚一件事：**LogMiner 也能读在线日志**，不只能读归档。所以问题不在"能不能"，在"以什么为前提"。

它的前提是：**数据库当前认得这些文件。**

- 文件必须在 **V$LOG** / **V$ARCHIVED_LOG** 里登记着；
- 一组日志的几个成员必须凑齐，缺一个就报 **ORA-01291**（missing log file）；
- 日志切换之后，你得**重新把文件加进去**，因为旧的那一组已经换名字了。

这就是为什么以前有个 **CONTINUOUS_MINE** 选项——它帮你自动跟进。**这个选项在 12.2 被弃用、19c 直接移除，官方口径是"没有替代功能"。** 从那以后，"自动跟在线日志"这件事就得应用层自己做。

对比一下就更清楚了：

- **读归档**：给一批文件，解析，结束。可重复、可校验、失败了重跑一遍。
- **读在线**：得一直跟着，得处理尾块、处理切换、处理覆盖。**这是"常驻进程"的活儿，不是"跑一次任务"的活儿。**
> **［插图 3：chart3_compare.png］**
>
> 把光标放这一行 → 删掉提示 → 点「插入 → 图片」上传同目录下的 chart3_compare.png
难度差的那一个数量级，就在这儿。
***
## 04 裸日志怎么做：把"活着"这件事当第一性问题

自己读在线日志，核心不是解析算法，是**边界控制**。四个动作：

1. **认写指针，不认文件尾。**
   日志块头里有这个块的写入状态。只读到"写完"的位置，后面的一律不碰。**不是"读到文件末尾"，是"读到安全位置"。**

2. **留安全距离。**
   解析进度不能贴着当前写入点跑。要留出一段距离（按日志量和写入速率算），保证"我读的这一段不会再变"。贴太近，你读到的每个块都可能是半成品。

3. **块头校验不过就停。**
   每个日志块都有签名和校验和。校验不过，说明这个块要么没写完、要么坏了。**停在那儿，报出来。** 不要跳过继续——一跳过，后面的偏移全乱。

4. **进度按"位置"记，不按"时间"记。**
   记 (日志序列号, 块号, 块内偏移)。时间在日志里不是一等公民，位置才是。
> **［插图 2：chart2_halfblock.png］**
>
> 把光标放这一行 → 删掉提示 → 点「插入 → 图片」上传同目录下的 chart2_halfblock.png
**这四件事的意义在于：让"读在线日志"从"碰运气"变成"有确定边界"。** 归档日志你不需要这些，因为它是死的；在线日志你必须要有这些，因为它是活的。
***
## 05 TLA 是怎么处理的

河北英数的 **TLA**（Transaction Log Analysis，事务日志解析组件）在这一点上的定位很明确：**它读的是在线日志，也就是活的那些文件。**

三个关键取舍：

- **先定位写指针，再决定读到哪。** 不按文件长度读，按块状态读。这样即使 LGWR 正在写，也不会读到半块。
- **读不到完整块就停在那儿。** 报位置、报原因，等下一轮再从这里继续。**宁可延迟几十毫秒，也不发一条来路不明的数据。**
- **不依赖数据库"登记"日志文件。** 直接按日志序列号去存储上找文件，不查 **V$LOG**。日志切换之后不需要"重新添加文件"，因为它本来就没走数据库那套登记。

说白了：**归档日志谁都能读，读在线日志才是真本事。** 而所谓"实时同步"，本质上就是"能不能安全地跟着一个还在写的文件"。
***
## 06 说句实在话

我们最早做增量同步的时候，吃过一个很隐蔽的亏。

那版解析器读在线日志，读到文件末尾就停。测试环境一切正常。上生产之后，每天早上第一波业务高峰，下游就会少几十条记录，而且**日志里没有任何错误**。

查了很久才想明白：我们读到的是"当时的文件末尾"，而那一刻正在写的那条 record 只写了一半。我们把它当成完整的解了——解出来的是一段**上次循环残留的旧数据**。数量刚好对得上，格式刚好合法，所以不报错。

改成"认块状态、不认文件尾"之后，问题消失。

这件事教给我们一句话：**在活的文件上，最重要的能力不是"读得快"，是"知道哪里不能读"。**

> 要说清楚：在线日志的块状态标志、写指针位置、块校验方式，不同 Oracle 版本有差异；**CONTINUOUS_MINE** 的弃用与移除见 Oracle 官方文档。安全距离的具体取值取决于日志生成速率与存储性能，请以实测为准。
***
**往期回顾**

- （二十五）采个数据，凭什么占我数据库的会话？
- （二十六）只想采个 Oracle 日志，却要先搭一套分布式集群？
- （二十七）redo 里的操作码，150 多种你其实只用得上 10 个
- （二十八）日志里那个 DBA，到底指向磁盘上的哪个字节？
- （二十九）归档日志和在线日志，解析难度差了一个数量级 ← 本篇
***
**声明**：归档日志由 ARCn 在日志切换时写出、在线日志由 LGWR 循环写入、**ORA-01291** 的触发条件、**CONTINUOUS_MINE** 在 12.2 弃用并于 19c 移除，均可参考 Oracle 官方文档《Database Administrator's Guide》与《Database Reference》。块状态与校验细节未完全公开，请以目标版本实测为准。


系列第 29 篇。前两篇拆了记录结构、讲了地址定位。这一篇讲"你要读的那个文件本身"——它现在是死的，还是活的。

LogMiner vs 裸日志解析（三十四）：日志里没有时间戳，审计要的“几点几分”从哪来

数据库

运维

解析在线日志的核心难点在于文件是"活的"：尾块不完整、循环覆盖、切换时句柄失效。正确做法是认块状态不认文件尾、留安全距离、按日志序列号定位。这比读归档日志复杂一个数量级，是实时同步的真正门槛。TLA组件通过写指针定位和块校验实现安全读取，避免读到残留数据。

日志文件

存储性能

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

LogMiner vs 裸日志解析（三十四）：日志里没有时间戳，审计要的“几点几分”从哪来-腾讯云开发者社区-腾讯云

LogMiner vs 裸日志解析（三十四）：日志里没有时间戳，审计要的“几点几分”从哪来

LogMiner vs 裸日志解析（三十四）：日志里没有时间戳，审计要的“几点几分”从哪来

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐