Обнаружили, что файл журнала был удален или усечен в системах POSIX?

Проверка того, что fstat() возвращает нулевое количество ссылок, завершится ошибкой, если файл был жестко связан или переименован. Вместо этого я бы, вероятно, периодически сравнивал номер inode stat() с номером fstat().

Я не уверен насчет усечения.

tail -F проверяет удаление и, возможно, усечение, поэтому я бы проверил его источник, чтобы увидеть, как он это реализует.

Вы можете использовать inotify для просмотра файла журнала, отслеживая его на предмет событий файловой системы.

Предположим, неосторожный системный администратор убивает процесс. Вы действительно хотите защитить себя от случайных действий администратора? Я думаю, вы просто ищете способ время от времени создавать новый файл журнала, например, используя logrotate. Здесь достаточно предоставить возможность вручную разрешить программе повторно открыть файл журнала. Стандартный способ сделать это - прослушать HUP-сигнал в программе и повторно открыть файл журнала, если он поступит:

#include <signal.h>

volatile int f_sighup;

void sighup_handler() {
  f_sighup = 1;
}

void trap_sighup() {
  struct sigaction sa;
  int rv;

  memset(&sa, 0, sizeof(struct sigaction));
  sa.sa_handler = &sighup_handler;
  rv = sigaction(SIGHUP, &sa, NULL);
  if (-1 == rv) {
    fprintf(stderr, "warning: setting SIGHUP signal handler failed");
  }
}

int main() {
  f_sighup = 0;
  trap_sighup();
  ...
}

Затем регулярно проверяйте флаг f_sighup в основной программе, чтобы увидеть, нужно ли повторно открывать файл журнала. Это хорошо работает с такими инструментами, как logrotate, которые могут переименовывать старый файл журнала и затем вызывать kill -s HUP $PID. А неосторожный сисадмин может сделать это вручную, удалив (а лучше переименовав) старый файл журнала.

Когда файл закрывается, время модификации изменяется. Поэтому периодически проверяйте mtime, используя stat ().

В ответ на отвечать от Søren-Holm

When a file is closed the modification time is changed.

это не кажется правильным:

import os
from time import sleep

TMPF = '/tmp/f'

def print_stats():
    print("%s, %s" % (os.stat(TMPF).st_mtime, os.stat(TMPF).st_ctime))
    sleep(1.1)

print("Opening...")
with open(TMPF, 'w') as f:
    print_stats()
    print("Writing...")
    os.write(f.fileno(), 'apple')
    print_stats()
    print("Flushing...")
    f.flush()
    print_stats()
    print("Closing...")

print_stats()

Производит:

Opening...
1483052647.08, 1483052647.08
Writing...
1483052648.18, 1483052648.18
Flushing...
1483052648.18, 1483052648.18
Closing...
1483052648.18, 1483052648.18

По общему признанию, здесь творится немного волшебства Python; что write() не имеет достаточных гарантий для автоматической очистки, но суть в том, что mtime обновляется при изменении файла, а не при его закрытии. Поведение ctime будет зависеть от вашей файловой системы и ее параметров монтирования.