银河麒麟v10系统日志导出需分场景：首选journalctl导出systemd结构化日志（含开机全量、近2小时错误警告、指定服务日志）；次选打包/var/log/原始文本日志；io问题用kylin-iodiag-tools捕获；图形用户可用日志查看器导出gui层日志。
如果您在银河麒麟V10系统中遇到服务崩溃、登录失败或界面异常，需要向技术支持提供可复现的诊断依据，就必须导出结构完整、时间精准、来源明确的系统日志；仅截图或口头描述无法定位底层原因，而错误的日志范围或权限缺失会导致关键线索丢失。
用 journalctl 导出 systemd 结构化日志
这是最推荐的首选方式，日志由 systemd-journald 统一管理，自带时间戳、服务单元、优先级字段，支持按启动周期、服务名、错误级别精准裁剪。
第一步：导出本次开机全部日志（含内核消息和服务日志）→ sudo journalctl -b > /tmp/boot_journal_$(date +%Y%m%d_%H%M).log
第二步：只提取过去2小时内的错误与警告条目，跳过冗余信息→ sudo journalctl --since "2 hours ago" -p err..warning --no-pager > /tmp/err_warn_recent.log
第三步：单独导出 NetworkManager 服务自上次重启以来的完整行为链→ sudo journalctl -u NetworkManager.service -b --all --no-pager > /tmp/nm_full_boot.log
注意：【若执行 journalctl 时提示“No journal files were found”，说明 journald 未启用持久化存储，必须先运行 sudo mkdir -p /var/log/journal/ && sudo systemctl restart systemd-journald】，否则所有 -b 或 --since 参数均无效。
打包 /var/log/ 下原始文本日志
当 journalctl 不可用、需离线审计或排查 rsyslog/syslog-ng 自身故障时，此法最可靠；这些文件是纯文本格式，不依赖 systemd 运行状态。
方法一：快速复制四类核心日志到临时目录→ sudo cp /var/log/syslog /var/log/auth.log /var/log/kern.log /var/log/boot.log /tmp/
方法二：打包近7天内所有 .log 和 .txt 日志（含轮转压缩包）→ sudo find /var/log/ -type f \( -name "*.log" -o -name "*.txt" \) -mtime -7 | xargs tar -czf /tmp/var_log_7days_$(date +%Y%m%d).tar.gz
方法三：导出当前内核环缓冲区快照（dmesg 内容不落盘，必须立即捕获）→ sudo dmesg -T > /tmp/dmesg_now_$(date +%Y%m%d_%H%M).log
用 kylin-iodiag-tools 提取 IO 行为日志
专用于排查文件丢失、内容损坏、进程非法覆盖等疑难问题，能记录文件打开路径、读写偏移、调用栈及元数据变更，普通日志无法体现这类行为。
确认工具存在：which kylin-iodiag-tools
启动60秒实时捕获（默认输出到 /var/log/kylin-iodiag/ 目录下）→ sudo kylin-iodiag-tools --capture --duration 60
导出最近一次捕获的完整 IO 日志包→ sudo kylin-iodiag-tools --export --output /tmp/io_diag_$(date +%Y%m%d_%H%M).tar.gz
通过图形化日志查看器导出桌面环境日志
适合不熟悉命令行的用户快速获取 GNOME/KDE 桌面会话、显示管理器（lightdm/gdm）、输入法、壁纸服务等 GUI 层日志，无需记忆参数。
点击「开始菜单」→ 搜索「日志查看器」→ 打开后左侧选择「系统日志」或「用户日志」→ 右键任意日志条目 → 选择「另存为…」→ 指定保存路径并确认。
该操作仅导出当前视图可见范围的日志，如需全量，请先点击顶部「筛选器」→ 勾选「全部优先级」→ 再执行另存为。
