Nie można wyjaśnić wpisów „crash” w danych wyjściowych polecenia „last”

Ostatni pokazuje „awaria” o 12:02 i 14:18, ale system nie przestał działać w tym czasie. Z drugiej strony ponowne uruchomienie o 15:03 miało nastąpić po faktycznej awarii - nasz system przestał odpowiadać o 14:46. Dlaczego ostatni pokazuje dwie „awarie” przed faktyczną awarią maszyny?

[admin@devbox log]$ last | head
myuser pts/2        myhostname  Wed Sep 28 15:12   still logged in
myuser pts/2        myhostname  Wed Sep 28 15:09 - 15:12  (00:02)
myuser pts/2        myhostname  Wed Sep 28 15:07 - 15:09  (00:01)
myuser pts/1        myhostname  Wed Sep 28 15:06   still logged in
myuser pts/0        myhostname  Wed Sep 28 15:04   still logged in
reboot   system boot  2.6.18-274.el5PA Wed Sep 28 15:03          (00:09)
myuser pts/1        myhostname  Wed Sep 28 14:18 - crash  (00:44)
myuser pts/0        myhostname  Wed Sep 28 12:02 - crash  (03:01)

EDYCJA: Ponowne uruchomienie o 15:03 jest wystarczające - ale dwóch wpisów „awarii” o 14:18 i 12:02 nie mogę wyjaśnić.

lastdrukuje się crashjako czas wylogowania, gdy w wtmpbazie danych nie ma wpisu wylogowania dla sesji użytkownika.

Ostatni wpis w lastdanych wyjściowych oznacza, że myuserzalogowano się pts/0o 12:02, a kiedy system zawiesił się między 14:18 a 15:03, nadal powinien być zalogowany.

Zwykle wtmpsą tam dwa wpisy dla każdej sesji użytkownika. Jeden dla czasu logowania i jeden dla czasu wylogowania. Gdy system ulega awarii, może brakować drugiego wpisu. lastZałóżmy więc, że użytkownik nadal był zalogowany, gdy system się zawiesił i drukuje crashjako czas wylogowania.

Aby być bardziej zrozumiałym, dwie linie „awarii” to tylko dwie sesje, które były aktywne, gdy system zawiesił się około 15:00, a nie dwie awarie systemu .