journalctl需结构化导出：按用途选格式（short-iso/ json/export/cat），精准限定范围（-b/--since/-n），组合服务与级别过滤（-u/-p），并自动化脚本定时执行，同时检查磁盘空间。
journalctl 本身不自动导出，但可作为自动化导出流程的核心数据源——关键在于用结构化方式提取、按需过滤、定时执行并保存到指定位置。
选对格式：导出前先明确用途
不同场景需要不同输出格式，不能统一用默认文本：
- 人工排查故障：用 journalctl -o short-iso，时间戳标准、字段清晰，适合直接打开查看
- 交给开发或接入 ELK/Splunk：必须用 -o json 或 -o json-pretty，保留 _SYSTEMD_UNIT、PRIORITY、MESSAGE、__REALTIME_TIMESTAMP 等元数据，避免后续解析丢失上下文
- 长期归档或备份迁移：用 -o export，生成二进制 .export 文件，支持完整还原（可用 journalctl --import 回灌）
- 只统计错误关键词频次：用 -o cat，纯消息体输出，方便配合 awk 或 grep 做批量分析
精准限定：避免全量拉取拖慢系统
不加约束的导出易卡顿、文件过大，还可能混入无关启动周期：
- 查本次开机全过程：加 -b，如 journalctl -b -o json > boot_current.json
- 查上一次失败启动：用 -b -1，比靠时间更可靠（尤其系统时间不准时）
- 指定绝对时间段：用 --since "2026-07-06 09:00:00" --until "2026-07-06 18:00:00"，避免 --since "today" 在 NTP 偏移下行为异常
- 限制行数防溢出：搭配 -n 5000，例如 journalctl -u nginx.service -n 5000 --since "2 hours ago" -o json
服务与级别组合：直击关键故障信号
单靠 grep 容易漏字段、失精度，应直接用 journalctl 内置过滤能力：
- 某服务所有错误及以上日志：journalctl -u sshd.service -p err（err 包含 crit/alert/emerg）
- 内核级警告到紧急事件：journalctl -k -p 4..0（数字越小优先级越高，0=emerg，4=warning）
- 同时限定服务+时间+级别：journalctl -u docker.service --since "3 days ago" -p warning..err -o json-pretty
- 排除干扰项：--no-pager 必须带上，防止 ANSI 控制符混入导出文件
自动化落地：写成脚本定时执行
日常归档无需手动重复操作，一个简短脚本能解决：
- 每日打包最近 24 小时关键服务日志：
journalctl --since "24 hours ago" -u nginx.service -u sshd.service -u rsyslog.service -o json > /backup/logs/$(date +%Y%m%d)_services.json - 每小时抓取紧急事件存档：
journalctl -p emerg --since "1 hour ago" -o json-pretty > /backup/logs/emerg_$(date +%Y%m%d_%H).json - 导出前检查磁盘空间：
journalctl --disk-usage && journalctl --vacuum-size=200M，避免日志撑爆磁盘
