kernel panic 时内核停止调度，journald 终止、日志无法写入，取证关键在 panic 前“最后可捕获窗口”；应启用 kdump 捕获内存镜像、查上一次启动的 journalctl 警告日志、配置串口控制台输出、改 journal 为同步模式。

Kernel Panic 发生时内核已停止调度，journalctl 日志无法继续写入——这不是配置问题，而是机制限制。panic 一触发，journald 进程（用户态）即被终止，磁盘 I/O 队列清空，未刷盘的缓冲日志永久丢失。所以“取证”的关键不在 panic 当刻，而在它发生前的“最后可捕获窗口”。

立即启用 kdump 捕获内存镜像

kdump 是唯一能在 panic 瞬间冻结并保存内核运行现场的方式，它不依赖 journald 或磁盘 I/O：

• 确保已安装 kdump-tools（Debian/Ubuntu）或 kexec-tools（RHEL/CentOS），且 crashkernel=auto 已加入 GRUB 启动参数
• 验证服务状态：sudo systemctl is-active kdump 应返回 active
• panic 后重启，检查 /var/crash/ 下是否有以时间戳命名的新目录，内含 vmcore 和 dump.log
• 用 crash /usr/lib/debug/boot/vmlinux-$(uname -r) /var/crash/*/vmcore 分析调用栈、寄存器和模块状态

回溯 panic 前的“黄金10分钟”日志

journalctl 虽然在 panic 时停摆，但此前已落盘的日志仍完整保留在 /var/log/journal/ 中。重点查上一次启动（-b -1）中临近崩溃的上下文：

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

• 执行：journalctl -b -1 --since "20 min ago" -p warning --no-pager | head -n 50
• 特别关注：soft lockup、hard lockup、rcu stall、hung_task、buffer I/O error on dev sda1 等前兆信号
• 若发现 Oops 或 WARNING: CPU: X PID: Y at ...，说明 panic 很可能由其升级而来

强制串口控制台留存 panic 输出

当系统无图形界面或屏幕不可见（如云服务器、无显示器主机），串口是唯一可靠输出通道：

• 在 GRUB 配置中添加内核参数：console=ttyS0,115200n8 console=tty1
• 连接另一台机器通过串口线（或云平台串口终端）实时抓取输出，panic 信息会原样打印到串口
• 若使用阿里云/ECS，直接在控制台打开“串口诊断”功能，无需物理接线

禁用异步日志写入，提升 journalctl 可靠性

默认 journal 使用 auto 模式（多数为异步），panic 前最后一段日志易丢失。可改为同步模式换取更高可靠性：

• 编辑 /etc/systemd/journald.conf，取消注释并设为：Storage=persistent + SyncIntervalSec=5s
• 重启服务：sudo systemctl restart systemd-journald
• 注意：此设置小幅增加 I/O 开销，但对取证完整性至关重要