journalctl是查看systemd日志的唯一可靠入口，/var/log/下文本日志仅为rsyslog转发副本；其日志模式由journald.conf中storage=等参数决定，需结合journalctl --disk-usage、systemctl status及配置文件验证实际状态。

journalctl 是查看 systemd 系统日志模式详情的唯一可靠入口，/var/log/ 下的文本日志只是 rsyslog 或 syslog-ng 的转发副本，不反映实际日志采集机制。

journalctl 能查到哪些日志模式细节

systemd 日志默认采用内存+环形缓冲区模式，是否落盘、保留时长、大小配额等都由 journald.conf 控制。直接运行 journalctl --help 会列出所有支持的过滤和输出选项，但不会显示当前配置值；要查真实模式，得看配置和状态。

• journalctl --disk-usage：显示当前 journald 占用磁盘空间（若启用持久化）
• journalctl --verify：检查日志文件完整性，失败说明日志已损坏或未启用持久化
• sudo systemctl status systemd-journald：确认服务是否 active，以及启动时是否报 Journal file not found 类警告
• sudo cat /etc/systemd/journald.conf | grep -v "^#" | grep -v "^$"：提取非注释的有效配置行，重点关注 Storage=、MaxUse=、RuntimeMaxUse=

Storage= 配置决定日志是否落地到 /var/log/journal

Storage= 是核心开关，它有四个合法值：volatile（仅内存）、persistent（写入 /var/log/journal）、auto（存在 /var/log/journal 目录则用 persistent，否则 fallback 到 volatile）、none（完全禁用 journald）。多数发行版默认是 auto，但若该目录不存在，实际就是 volatile 模式——重启后日志全丢。

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 执行 ls /var/log/journal，若提示 No such file or directory，说明当前是 volatile 模式
• 执行 sudo mkdir -p /var/log/journal && sudo systemctl restart systemd-journald 后，journalctl --disk-usage 才会返回非零值
• Storage=persistent 必须配合 root 权限创建目录，普通用户 mkdir 不生效

为什么 journalctl -o json 输出里没有时间戳字段

不是日志没时间，而是 -o json 默认只输出原始结构字段，__REALTIME_TIMESTAMP 和 __MONOTONIC_TIMESTAMP 是二进制整数（微秒级），需加 --all 才强制展开所有元数据字段。更实用的是 -o json-pretty，它自动补全可读时间字段 __REALTIME_TIMESTAMP 并转为 ISO8601 格式。

• 错： journalctl -o json | head -n1 → 时间字段缺失
• 对： journalctl -o json-pretty -n1 → 包含 "__REALTIME_TIMESTAMP": "1712345678901234" 及自动解析的 "_SOURCE_REALTIME_TIMESTAMP"
• 若需 Unix 时间戳秒级，用 journalctl -o export | head -n1 | awk -F'=' '/^__REALTIME_TIMESTAMP/{print int($2/1000000)}'

rsyslog 转发的日志和 journalctl 输出不一致怎么办

这是常见误判点：rsyslog 从 journald 读取日志是异步、带缓冲的，且默认只转发 level >= warning 的条目。即使 journalctl 显示大量 info 级日志，/var/log/syslog 也可能为空或条目更少。

• 检查 rsyslog 是否启用 journald 输入模块：grep -i "imjournal" /etc/rsyslog.conf，应有 $ModLoad imjournal
• 确认 rsyslog 配置了完整级别转发：$IMJournalRatelimitInterval 0 和 $IMJournalRatelimitBurst 0 防止丢日志
• 对比时间范围：journalctl --since "2026-07-07 20:00" | wc -l vs grep "Jul 7 20:" /var/log/syslog | wc -l，差值大说明转发延迟或过滤过严
• 临时停掉 rsyslog：sudo systemctl stop rsyslog，再跑 journalctl -n100，若内容明显增多，说明 rsyslog 是瓶颈

真正决定日志行为的是 journald.conf 的 Storage 和 ForwardToSyslog 组合，而不是你打开哪个文件。很多运维在 /var/log/messages 里找不到某条日志，是因为它根本没被 rsyslog 拉过去——先查 journalctl，再查转发链路，别倒着来。