Angenommen das varlog Script läuft noch nicht und angenommen die Datei /var/log/syslog hat einen timestamp vom 3.Mai
Wenn wir jetzt varlog starten wird die Datei /var/log/syslog nach /var/save.log/ kopiert und tmpfs für /var/log/ erzeugt bzw da drüber gemountet.
Als würde man einen Eimer auf eine anderen halb vollen drauf stellen, dann tropft das Wasser in den oberen Eimer aber nicht mehr in den da drunter. Im unteren Eimer ist aber weiterhin das alte Wasser drin..
Anschließend wird die Datei /var/save.log/syslog wieder in den neuen, leeren tmpfs Ordner /var/log/ kopiert.
Nun wird in /var/log/syslog etwas rein geschrieben, somit wird der timestamp raufgesetzt.
Irgendwann, sagen wir am 20.Mai, führen wir einen Reboot durch.
Die Datei /var/log/syslog wird erneut nach /var/save.log/ kopiert, da die aktuelle Datei einen timestamp vom 20.Mai besitzt, diese also neuer ist als die /var/save.log/syslog vom 3.Mai
Nun startet der Rechner neu.
Der tmpfs Mount ist noch nicht vorhanden und /var/log/ beinhaltet Dateien vom 3.Mai auch die syslog Datei ist vom 3.Mai
Das varlog Script kopiert nun nur die Dateien die neuer als von 20.Mai wären. Das trifft aber zu diesem Zeitpunkt auf keine der Dateien zu. (fast) Alle Dateien in /var/save.log/ sind vom 20.Mai wohingegen die Dateien in /var/log/ noch vom 3.Mai sind (das alte Wasser vom unteren Eimer)
Und nun wird tmpfs erzeugt bzw über /var/log/ gelegt und die Dateien aus /var/save.log/ nach /var/log/ kopiert.... In /var/log/ sind nun Dateien vom 20.Mai, eben von dem Tag als rebootet wurde
Ist es jetzt klar wie das abläuft