journalctl 显示日志丢失或不完整的最常见几种原因及恢复方法

journalctl日志丢失最常见原因有五类：未启用持久化存储、被自动清理策略覆盖、时间范围或时区输入错误、权限不足或服务未运行、日志被速率限制丢弃。

journalctl 显示日志丢失或不完整，最常见不是“坏了”，而是被系统主动清理、没存住、或根本没写进去。下面按发生频率和实操性，列出五类核心原因及对应处理方式。

日志未启用持久化存储

默认情况下，systemd-journald 只把日志存在内存（volatile模式），重启后全部清空。这是新装系统或容器环境里日志“突然消失”的首要原因。

• 检查当前配置：grep "^Storage=" /etc/systemd/journald.conf，若输出为 Storage=volatile 或无输出（即使用默认值但 /var/log/journal 目录不存在），说明未持久化
• 启用持久化：创建目录并设权限：sudo mkdir -p /var/log/journal && sudo chown root:root /var/log/journal && sudo chmod 0755 /var/log/journal
• 修改配置：echo "Storage=persistent" | sudo tee -a /etc/systemd/journald.conf
• 重启服务生效：sudo systemctl kill --signal=SIGUSR1 --kill-who=main systemd-journald（推荐）或 sudo systemctl restart systemd-journald

日志被自动清理策略覆盖

即使启用了持久化，journald 默认也会按空间或时间自动删旧日志。常见表现是：能查到最近几小时的日志，但昨天的就没了。

• 查看当前占用：journalctl --disk-usage（例如显示 “2.4G in /var/log/journal/”）
• 确认清理阈值：grep -E "^(SystemMaxUse|SystemMaxFileSize|MaxRetentionSec)" /etc/systemd/journald.conf
• 典型默认行为：日志总大小上限为磁盘总容量的 10% 与 4G 中较小者；若磁盘 40G，则最多存 4G，超出部分最早日志被删
• 临时释放空间：sudo journalctl --vacuum-size=1G（保留最新 1GB）或 sudo journalctl --vacuum-time=30d（保留 30 天内）

时间范围或时区输入错误

看似查了“昨天”，实际因格式或时区偏差，查的是空白时段。尤其在跨时区服务器或使用相对时间时容易踩坑。

• 正确格式示例：journalctl --since "2026-01-17 00:00:00"（带引号，年月日时分秒全）、--since "2 days ago"
• 避免模糊表达：--since "yesterday" 不可靠，建议用绝对时间
• 确认系统时区：timedatectl | grep "Time zone"；若本地终端时区与系统不一致，加 --utc 强制按 UTC 解析
• 验证时间是否有效：先运行 journalctl --since "2026-01-17" --until "2026-01-17 23:59:59" --no-pager | head -n5 看是否有输出

权限不足或服务未运行

普通用户执行 journalctl 时，常因权限限制看不到系统级日志；而如果 journald 本身挂了，自然没有新日志可查。

• 非 root 用户默认只能看自己的用户会话日志（journalctl --user），查系统服务需加 sudo
• 检查服务状态：systemctl is-active systemd-journald（应返回 active）
• 若异常停止：sudo systemctl start systemd-journald，再确认 /var/log/journal/ 下有文件生成（如 system.journal）
• 检查目录权限：ls -ld /var/log/journal 应为 drwxr-xr-x root root；若属主错误，用 sudo chown root:root /var/log/journal 修复

日志被速率限制丢弃

当某服务短时间狂打日志（如崩溃重试、调试开启），journald 默认每 30 秒最多收 10000 条，超限部分直接丢弃，且不报错——只在内部计数器里记一笔。

• 查找丢弃痕迹：journalctl -u systemd-journald | grep -i "suppressed|rate-limit"
• 临时放宽限制（测试用）：sudo systemctl edit systemd-journald，新增：

[Service] Environment="SYSTEMD_JOURNAL_RATELIMIT_INTERVAL_SEC=1s" Environment="SYSTEMD_JOURNAL_RATELIMIT_BURST=50000"

• 重启生效：sudo systemctl kill --signal=SIGUSR1 systemd-journald
• 长期方案：优化应用日志级别（如关闭 DEBUG），或在服务 unit 文件中加 StandardOutput=NULL 避免无关输出进 journal