怎么在Linux利用Journalctl--Since-Yesterday检索过去24小时内的所有关机日志-linux运维-PHP中文网

journalctl --since="24 hours ago"可精确获取最近24小时关机日志，比--since=yesterday更可靠；结合-u systemd-logind.service、-u systemd-shutdown.service及grep -e筛选关机消息，并可用-k查内核级异常原因。

怎么在linux利用journalctl--since-yesterday检索过去24小时内的所有关机日志

journalctl --since=yesterday 并不能精确检索“过去24小时内”的关机日志，它实际表示从昨天同一时间点开始（即24小时前的整点时刻）到当前时间的日志，且默认按本地时区解释，容易产生偏差。要准确获取最近24小时内的关机记录，需结合时间范围、日志优先级和事件类型筛选。

以下是实用方法：

使用 `--since="24 hours ago"` 精确限定时间窗口

该语法由 systemd 解析，支持自然语言，比 yesterday 更可靠：

Obsidian (Linux)

操作 Obsidian 库（纯 Markdown 笔记），并通过 notesmd-cli 实现自动化。

下载

journalctl --since="24 hours ago" | grep -i "shut\|power\|halt\|reboot"

--since="24 hours ago" 是动态计算的，始终指向当前时间往前推24小时（如现在是 15:30，则从昨天 15:30 开始）。
grep -i 忽略大小写，匹配常见关机/重启关键词：shutdown、poweroff、halt、reboot、systemd-shutdown 等。

直接过滤关机相关 unit 和 message

更精准的方式是限定服务单元和日志字段：

journalctl --since="24 hours ago" \
  -u systemd-logind.service \
  -u systemd-shutdown.service \
  -o short-iso | grep -E "(Session|Shutting down|Powering off|Stopped)"

-u 指定关键服务单元，systemd-logind 记录用户会话结束（含图形界面关机），systemd-shutdown 处理内核级关机流程。
-o short-iso 输出带 ISO 时间戳，便于确认时间范围。
grep -E 匹配典型关机消息片段。

补充：查看内核关机原因（如 panic、unexpected power loss）

如果怀疑非正常关机，可追加内核日志筛选：

journalctl --since="24 hours ago" -k | grep -i "panic\|oops\|reset\|power.*fail"

-k 只显示 kernel 日志，适合排查硬件掉电、内核崩溃等底层问题。

小提示

关机日志不一定都标记为“shutdown”：部分系统用 Stopping User Manager for UID xxx 或 Reached target Shutdown 表示关机流程启动。
若日志被轮转或 Storage=volatile，可能无法查到旧记录；可用 journalctl --disk-usage 检查是否启用持久存储。

不复杂但容易忽略时间语义差异，用 "24 hours ago" 替代 yesterday 是关键。