必须用 --utc 查看集群日志，因为各节点本地时区不同会导致时间戳偏差数小时，无法准确判断事件先后顺序；启用 --utc 后所有日志统一以 utc 显示，实现时间轴对齐，便于分布式问题排查。
为什么必须用 --utc 查看集群日志
各节点若设置为本地时区（如 Asia/Shanghai、America/New_York），同一事件在 journalctl 中显示的时间相差数小时，无法准确判断先后顺序或因果关系。而 UTC 是全球统一参考时间，启用后所有日志条目都按同一时间轴对齐，便于横向比对服务调用链、网络请求往返、故障传播路径等。
基础用法：强制所有时间显示为 UTC
只需在任意 journalctl 命令后添加 --utc 参数，时间字段即转为 UTC 格式：
-
journalctl --utc—— 全量日志，时间全为 UTC -
journalctl -b --utc—— 当前启动日志，时间戳统一为 UTC -
journalctl -u nginx.service --utc --since "2026-05-01 00:00:00"—— 注意：since 时间仍按本地系统解析，但输出时间显示为 UTC
关键提醒：since/until 时间输入仍按本地系统解释
--utc 只影响输出格式，不改变时间范围匹配逻辑。 例如：
- 你在上海节点执行
journalctl --since "10:00" --utc，它实际检索的是“本地时间 10:00 之后”的日志，但每条日志右侧显示的是对应 UTC 时间（如 02:00 UTC） - 若需精确按 UTC 时间段筛选（如 UTC 03:00–04:00），应显式写成 ISO 格式：
--since "2026-05-02T03:00:00Z" --until "2026-05-02T04:00:00Z"，Z 表示 UTC，systemd.time 解析器可识别
集群协同排查建议
为保障多节点日志可比性，推荐组合以下操作：
- 所有节点确认时钟已同步（如 chronyd/ntpd 指向同一 NTP 源），避免时间漂移干扰
- 统一使用
journalctl --utc -o short-iso输出，获得带毫秒级精度的 ISO 8601 UTC 时间（例：2026-05-02T04:22:18.345678Z） - 导出关键时段日志时加
--no-pager和--all，避免分页截断或字段省略 - 对多个节点日志做时间对齐分析时，可先用
journalctl --list-boots --utc确认各节点最近几次启动的 UTC 时间窗口，再针对性拉取
