简介这是Oracle数据库11.2.0.3版本的补丁集更新PSU安装包补丁编号20760997专为Linux x86-64架构设计面向需要维护生产库安全与稳定的DBA及系统运维人员。该补丁包整合了2015年7月的关键补丁更新CPU集中修复多个已知安全漏洞并针对性能回退、内存管理等常见问题提供修复同时包含配套的搜索配置文件便于管理员在部署前核对适用条件、依赖关系与安装步骤。对于运行在Linux x86-64平台的11.2.0.3数据库环境定期应用此类PSU是安全基线的重要组成部分能有效降低遭受攻击的风险。压缩包整体约100.73MB已有290人学习下载。应用此补丁时管理员可参照Oracle官方流程完成备份、兼容性检查、停机安装及验证重启从而显著提升数据库整体安全水位保障企业核心业务连续运行。1. 一个Oracle补丁zip包先看懂再动手年底做安全基线数据库停在 Oracle 11.2.0.3下载页给的正是 p20760997_112030_Linux-x86-64.zip 这种命名。第一次接触 Oracle patch 的 DBA 很容易被它唬住一个 zip 包、几千个小文件、安装前还要先动 OPatch 和 inventory。其实整个流程可以压缩成四步校验文件、预检环境、opatch apply、验证与回滚。这篇笔记就是把一个 Oracle 补丁包从下载到落地的全过程拆开讲单实例和 RAC 的差别、高频翻车点都写到了。适合刚把手从安装转向补丁运维的 DBA也适合被生产库困住、想找一份执行清单的运维老手。2. 拆开补丁包文件名规则、MD5校验与解压落地2.1 文件名拆解p20760997_112030_Linux-x86-64.zip 里藏着什么Oracle 补丁包的命名规则几乎是全公司统一的p补丁编号版本号平台.zip。拆开看 p20760997_112030_Linux-x86-64.zip 就非常清楚补丁号是 20760997版本号 112030 对应 11.2.0.3.0平台是 Linux x86-64。这个规则的好处是拿到文件名就能判断它能不能用在当前环境最怕的就是把 Windows x64 的补丁包直接往 Linux 上扔。需要强调一点补丁号 20760997 属于哪一类——安全补丁CPU、PSU 还是单个 bugfix——不能凭命名猜要以补丁包里的 README 为准。Oracle 官方下载页会写清楚这个补丁解决的问题、影响的组件、是否属于某个季度补丁集。我一般先打开 README 的 Bugs Fixed 段落确认它解决的就是当前报错或安全基线里列的那条再继续往下走。这一步看似多余实际能拦住一大半打错补丁的事故。2.2 下载后先校验md5sum、unzip -t 与目录规划下载回来别急着解压。补丁包在传输过程中损坏的概率比想象中高尤其走内网跳板机中转时。官方下载页会给每个 zip 的 checksumLinux 下用 md5sum 做一次比对md5sum p20760997_112030_Linux-x86-64.zip # 输出值与下载页比对不一致就重新下载这一步不费多少时间但能避免后续 unzip 报 CRC 错误、opatch apply 时报文件缺失这类问题。校验一致后再解压mkdir -p /u01/app/oracle/patches/20760997 unzip -q p20760997_112030_Linux-x86-64.zip -d /u01/app/oracle/patches/20760997 chown -R oracle:oinstall /u01/app/oracle/patches目录规划我有一个习惯以补丁号建独立目录解压路径不要带空格和中文权限归 oracle:oinstall。这样后面 opatch rollback 时-ph basedir 指向明确不会因为目录太乱找不到位置。unzip 的 -q 参数是 quiet 模式不打印每个文件的名字避免几百个文件刷屏如果想检查完整性但不想释放文件用 unzip -t它只校验不落地发现问题时比解压完再人工排查快很多。Linux 下常用的解压命令就这几个zip 包体积大时我会先跑 unzip -t 再正式解压。2.3 解压后先看什么README、etc/config 与 files 目录解压完不要直接执行 opatch apply先看一眼目录结构。一个标准补丁包里通常有三块关键内容路径/文件作用使用时机README.txt补丁说明、前置条件、Bugs Fixed 列表安装前必读etc/configactions.xml 与补丁元数据OPatch 靠它识别补丁apply 时自动读取files实际二进制文件按补丁动作复制到 ORACLE_HOMEapply 时使用这个结构决定了 OPatch 的工作方式它靠 etc/config 里的动作定义和 inventory 里的补丁记录来执行安装而不是简单地把 files 里的文件拷到 ORACLE_HOME 覆盖。明白这一点后面遇到 patch not found 或者 inventory is not consistent 就有排查方向——要么 basedir 指错要么 inventory 里之前的记录已经残缺。补丁包打开后第一件事是读 README里面会有安装顺序、回滚方法、已知问题这些信息在官网页面通常只写了摘要zip 里的才是全量。3. 动手前的地基OPatch版本、冲突预检与备份3.1 先确认 OPatch 版本opatch version 与 ORACLE_HOME补丁安装不是把 zip 里的 files 直接往 ORACLE_HOME 里拷而是通过 OPatch 把补丁合并进 ORACLE_HOME 的 inventory 和二进制文件里。OPatch 是 Oracle 官方的补丁管理工具它自己也是一个按版本迭代的程序。版本太老的 OPatch 可能不认识新补丁的格式所以 README 的第一段基本都在写 OPatch 最低版本要求。常见的做法是export ORACLE_HOME/u01/app/oracle/product/11.2.0/dbhome_1 export PATH$ORACLE_HOME/OPatch:$PATH opatch version先跑一遍 which opatch 看调的是不是 ORACLE_HOME 下那个这一步能省掉后面很多痛苦。11.2.0.3 环境里升级 OPatch 也是从支持网站下载 zip解压后覆盖到 $ORACLE_HOME/OPatch 即可但覆盖前先把旧版本备份一份。版本要求以 README 为准要求多少就升到多少不是越新越好。需要确认环境变量时用 echo $ORACLE_HOME 看一眼避免 shell 里残留旧路径。我见过最长见的翻车就是把 opatch 命令敲对了但 ORACLE_HOME 指到另一套安装结果补丁打到别的环境去了。3.2 冲突预检opatch prereq 与读 README补丁和已有补丁的冲突是打补丁失败的头号原因。一个 ORACLE_HOME 里可能已经叠了十几个补丁新补丁如果动了同一个二进制就必须先回滚旧补丁或者换个更高的补丁版本。opatch prereq 提供了不实际修改环境就能预检的机制opatch prereq CheckConflictAgainstOHWithDetail -ph /u01/app/oracle/patches/20760997-ph 后面是补丁实际所在的绝对路径。执行后输出里没有 conflict说明当前 inventory 的补丁集合与新补丁互不干扰有 conflict 时它会列出具体与哪个补丁冲突这时停下来读 README。有的补丁还有前置要求比如必须先装某个 mini-packREADME 的 Pre-requisites 段会列出来检查时一条条打勾不要跳。还有个常被忽略的参数是 CheckSystemSpace它检查 ORACLE_HOME 所在文件系统的剩余空间是否满足安装要求。补丁运行时先做备份再替换需要的临时空间往往是补丁包本身的数倍。不看 df 直接 apply失败就发生在空间不足这一步。注意这里的空间是 $ORACLE_HOME 所在分区不是 /tmp——opatch 默认日志会写到 ORACLE_HOME 下日志刷满分区也是常见问题。3.3 备份inventory 和 dbs比备份二进制更实在很多应急手册强调备份 ORACLE_HOME 里被替换的二进制但说实话生产环境把整个 ORACLE_HOME 拷一遍不现实几百 GB 起步。我一般只做三件小事备份 inventory、备份 dbs 目录、记录当前补丁清单。cp -r $ORACLE_HOME/inventory $ORACLE_HOME/inventory.bak.$(date %Y%m%d) cp -r $ORACLE_HOME/dbs $ORACLE_HOME/dbs.bak.$(date %Y%m%d) opatch lsinventory -detail /tmp/patch_before_$(date %Y%m%d).txtinventory 是 OPatch 维护补丁记录的核心它一坏回滚和后续安装全废dbs 里是参数文件和口令文件出问题时能快速恢复起库。补丁清单文件用于安装后对比哪些是新进的补丁一眼可见。ls 命令验证备份文件已生成、大小不为 0再开始下一步。这套备份做完再做 apply遇到中断和回滚都有后悔药可吃。4. 正式安装从单实例到RAC的opatch apply全流程4.1 单实例环境先停实例和监听再 apply单实例打补丁的正确顺序是停应用、停监听、停实例然后以 oracle 用户在补丁目录执行 opatch apply。停实例不是怕补丁覆盖运行中的二进制而是让环境回到一个稳定一致的状态避免补丁更新后进程还在用旧的内存映像。sqlplus / as sysdba shutdown immediate; exit lsnrctl stop export ORACLE_HOME/u01/app/oracle/product/11.2.0/dbhome_1 export PATH$ORACLE_HOME/OPatch:$PATH export ORACLE_SIDorcl cd /u01/app/oracle/patches/20760997 opatch apply执行过程中屏幕会打印 Applying patch 的进度最后出现 OPatch succeeded 才算成功。中间如果出现 OPatch failed不要马上重试先把日志拿出来看。日志默认写在 $ORACLE_HOME/cfgtoollogs/opatch/opatch_时间戳.log失败原因、哪个文件复制失败都在里面。apply 完成后再启动监听、启动实例把数据库切回正常状态。如果补丁说明里要求跑 SQL 脚本升级数据字典这一步放在库启动之后、对外服务之前做11.2.0.3 常见的是执行 $ORACLE_HOME/rdbms/admin 下以 catbundle 开头的脚本具体以 README 为准。4.2 RAC 环境opatch auto 的滚动安装思路RAC 环境不建议手工一个节点一个节点 opatch apply因为 RAC 的 ORACLE_HOME 通常是共享的手工操作容易漏节点、漏状态检查。环境允许时常见的做法是用 opatch auto 做滚动打补丁它会在集群层面控制节点的启动与关闭逐个节点应用补丁opatch auto /u01/app/oracle/patches/20760997 -oh $ORACLE_HOME这个命令由具有集群管理权限的用户运行执行过程中它会关闭一个节点、应用补丁、启动节点再切到下一个节点。中间某个节点失败它会停下等待人工介入。使用 opatch auto 前确认集群资源都在线crsctl status resource -t 输出里没有 OFFLINE 的实例。部分老版本环境不支持 opatch auto要回到手工滚动节点 A 关实例打补丁、启动再节点 B这时就按单实例的流程逐节点走一遍。两种方式都行关键是全程只有一个节点处于停机状态数据库服务持续可用。4.3 安装确认lsinventory 与日志联合判断apply 结束不等于补丁生效得回到补丁号确认它已经记入 inventory。最直接的命令是opatch lsinventory -bugs_fixed | grep 20760997 opatch lsinventory -detail | grep -A 5 -B 2 20760997有输出且状态正常说明补丁已登记。同时回看日志文件的最后一段确认没有 Warning。日志里出现 warning 不一定失败比如某些文件已存在、被跳过更新但最好把 warning 内容对照 README 看一遍确认是预期的跳过还是异常。补丁状态最终以 lsinventory 和数据库实际行为为准日志只作辅助。安装这一步做完别急着宣布成功——先别关窗口把 lsinventory 输出保存一份后面回滚和排查都要用到。5. 高频翻车与排查四个现场还原5.1 现象明明解压了opatch apply 却说找不到补丁常见报错是 Invalid patch location 或 Patch is not found in the location。现象是 cd 进补丁目录执行 opatch apply系统却识别不出来。原因多半是 basedir 指空或指错了层。OPatch 识别补丁靠的是目录下存在 etc/config/actions.xml 和补丁元数据不是看目录名。很多人解压后用 zip 文件名当目录名再往里一层才是实际补丁内容于是把外层目录当 basedir 传了过去。解决先 ls etc/config 确认 actions.xml 在不在在的话直接用绝对路径执行opatch apply -ph /u01/app/oracle/patches/20760997/207609975.2 现象opatch version 调用的不是 ORACLE_HOME 下的 OPatch现象是 which opatch 指向 /usr/local/bin/opatch或者 opatch version 显示的版本和 $ORACLE_HOME/OPatch/opatch 完全不同。原因很简单PATH 里的优先级太靠前把别的 OPatch 捡起来了。补丁工具选错版本轻则版本不符拒绝执行重则在错误的 inventory 里写了记录。解决就是显式指定路径export PATH$ORACLE_HOME/OPatch:$PATH which opatch opatch version我还会在开始时跑一遍 opatch version用版本号和 ORACLE_HOME 双重确认是同一个工具。注意这个检查要在打补丁的终端会话里做重新登录后环境变量会丢别图省事。5.3 现象precheck 里 conflict 全红现象是 opatch prereq 输出的冲突列表一片红或者 apply 中途报 Patch conflicts with already-installed patch。原因是 ORACLE_HOME 里已经有补丁修改过同一段代码。新版补丁通常兼容旧版但如果拿的补丁比已装补丁更老Oracle 不认这种倒退。解决把已安装补丁的清单导出来opatch lsinventory -detail /tmp/installed_patches.txt grep -B 2 -A 4 -i 20760997 /tmp/installed_patches.txt先回滚冲突的旧补丁再重新 apply。如果新旧补丁属于同一个补丁系列Oracle 通常会直接把它当作升级替换。拿不准时把 README 的 Known conflicts 段落读完再动这一步不丢人。5.4 现象apply 途中失败回滚时 inventory 已经乱了现象是第一次 apply 因为空间不足中断清理空间后直接重试结果报 inventory is not consistent 或 restore failed。原因是 apply 中断时 OPatch 已经写了部分 inventory 记录或改了部分文件直接把环境从半补丁状态拽回不了头。解决用安装前备份的 inventory 做恢复opatch util restore -backup $ORACLE_HOME/inventory.bak.$(date %Y%m%d)这需要你在第 3 章真的做过备份不然就只能从日志里手工推断改过哪些文件。从那以后我每次 apply 前都会强制把 inventory 备份得好好的再动手中断后先 restore 再重试不硬来。6. 验证与回滚补丁安装的后悔药怎么吃补丁 apply 完、数据库也拉起来了别急着宣布成功。先把数据字典脚本处理完再确认业务功能最后把回滚命令写进当次变更记录。验证的三板斧补丁在 inventory 中登记、数据字典升级完成、业务查询正常。opatch lsinventory -detail | grep -i 20760997 # 确认补丁记录存在且状态正常 sqlplus / as sysdba ?/rdbms/admin/catbundle_PSU_数据库版本_PSU.sql # 具体脚本名以 README 为准执行完看日志里的完成标识数据字典升级这一步很关键很多补丁不只是换二进制还要同步更新数据字典里的对象定义。漏掉这步数据库能启动但部分新特性或修复不生效运行一段时间才暴露问题。回滚命令同样要提前记录opatch rollback -id 20760997 -ph /u01/app/oracle/patches/20760997回滚前先停实例和监听滚动环境逐节点处理。如果当初是用 opatch auto 装的回滚也走 opatch auto -rollback -id 20760997 -oh $ORACLE_HOME。这些命令在安装完成后顺手记进变更单三个月后回查才知道当时怎么装的、出了状况找谁。验证最忌只看命令输出。我的习惯是拉一条业务查询、看一遍 alert log 有没有 ORA-00600 或 ORA-07445再确认备份文件还在。补丁这事的坑大多不是装上而是装上之后悄悄引入问题。从那以后我每次打补丁前不管环境多紧张都强制先走一遍完整清单inventory 备份、dbs 备份、日志目录清空、precheck 记录、回滚命令准备好。这套流程成型后补丁安装从玄学变成了可以预约的常规操作。希望帮到你。本文还有配套的精品资源点击获取