Leer el registro de errores de AIX con errpt y reenviarlo a syslog

Qué es

errpt lee el registro binario de errores de AIX, la utilidad predeterminada de AIX para registrar errores de hardware y software, que guarda localmente los fallos para su detección y corrección. A diferencia de syslog, lo alimentan el kernel y los componentes del sistema a través del subsistema de registro de errores, no procesos que escriben líneas de texto, y arranca muy pronto durante el inicio: en la fase 3 (la entrada brc /sbin/rc.boot 3, cerca del principio de /etc/inittab), mucho antes de que rc.tcpip active la red y, con ella, syslogd. Por eso errpt puede capturar fallos de hardware durante el arranque que un servidor syslog dependiente de la red no vería.

errpt a secas muestra un resumen de una línea por evento; errpt -a ofrece el detalle completo de cada entrada, y un filtro como -N hdisk0 (recurso) o -d H (clase de error) acota el informe. errclear (como root) elimina entradas según su clase de error y su antigüedad; por ejemplo, borra las de clase "S" (software) y "O" (operador/errlogger) con más de 30 días, o las "H" (hardware) con más de 90.

Por qué importa

Tratar errpt como algo opcional porque "la aplicación ya registra en syslog" pasa por alto fallos que la capa de aplicación no puede ver: los eventos de disco, adaptadores y firmware solo aparecen en errpt a menos que se reenvíen de forma explícita. Por otro lado, nunca se debe truncar directamente el archivo del registro de errores (por ejemplo con cp /dev/null): hacerlo desactiva por completo la función de registro de errores en lugar de limpiar solo las entradas, y IBM señala que entonces hay que reemplazar el archivo errlog de longitud cero. Depúralo con errclear; para vaciarlo por completo, detén el demonio (/usr/lib/errstop), mueve /var/adm/ras/errlog a otra ubicación y reinicia /usr/lib/errdemon; se pierde todo el historial.

Cómo aplicarlo

• Revisa los eventos recientes: errpt para un resumen, errpt -a para el detalle completo de una entrada concreta.
• Programa la retención en lugar de borrar de forma puntual: una entrada de cron como errclear -d S,O 30 y otra aparte con errclear -d H 90 evitan que el registro crezca sin límite y conservan durante más tiempo la evidencia reciente de hardware.
• Para replicar los eventos en syslog, añade un objeto de notificación de errores (un stanza errnotify cargado con odmadd como root, persistente mediante en_persistenceflg = 1) cuyo en_method invoque logger, en lugar de intentar seguir el registro binario de errores directamente con tail.
• Para otros registros de AIX ajenos a errpt (mensajes de demonios y aplicaciones), configura /etc/syslog.conf como en cualquier implementación de syslog de Unix, teniendo presente que arranca más tarde que el registro de errores.

Trampas

• Limpiar el registro de errores con un comando de truncado de archivo en lugar de errclear, lo que desactiva el registro de errores hasta que se reemplace el archivo errlog.
• Esperar que syslog por sí solo capture los fallos de arranque previos a la red que solo ve errpt.
• Filtrar con grep el resumen de una línea en lugar de usar los filtros propios de errpt (-d, -T, -N, -s/-e para un intervalo de tiempo) y leer errpt -a en las entradas que importan.