麒麟系统日志排查需协同使用journalctl、/var/log/文本日志和dmesg三类工具：journalctl查systemd结构化日志，支持按启动会话、服务、错误级别实时过滤；/var/log/下syslog、auth.log等文本日志适用于离线审计与关键词检索；dmesg专查内核环缓冲区，用于诊断硬件、驱动及内存等底层异常。

您在麒麟系统中遇到服务异常、登录失败或界面卡顿，需要快速定位问题根源，必须通过命令行直接调用系统日志机制获取原始记录。journalctl、/var/log/文本文件、dmesg三类工具覆盖了从用户会话到内核底层的全部日志层级，缺一不可。

用 journalctl 查看 systemd 结构化日志

这是麒麟OS V10及更新版本默认启用的日志中枢，所有由systemd启动的服务、内核消息、用户会话均被统一索引，支持时间、服务、优先级多维过滤。

第一步：查看本次启动以来全部日志（最新条目在最末）→ sudo journalctl -b

第二步：只显示错误（err）及以上级别日志，跳过大量调试信息→ sudo journalctl -b -p err

第三步：实时监听新日志，复现问题时按Ctrl+C退出→ sudo journalctl -f -p err

第四步：精准定位某个服务（如NetworkManager）的报错→ sudo journalctl -u NetworkManager.service -b -p err

注意：若执行 journalctl 时提示“No journal files were found”，说明 journald 未启用持久化存储，需先运行 【sudo mkdir -p /var/log/journal/ && sudo systemctl restart systemd-journald】。

读取 /var/log/ 下的持久化文本日志

这些是纯文本格式的原始日志，不依赖 journald 运行状态，适合离线分析或审计回溯，尤其当 journalctl 不可用时是唯一可靠路径。

方法一：分页查看桌面版主日志，避免刷屏→ sudo less /var/log/syslog

方法二：在 less 中按 / 键输入 error 回车，高亮所有错误行；按 n 跳转下一个；按 q 退出。

方法三：快速提取认证失败记录（如SSH密码错误）→ sudo grep "Failed password" /var/log/auth.log

方法四：统计 syslog 中最频繁的错误类型→ sudo grep -i "error\|fail\|denied" /var/log/syslog | awk '{print $5,$6}' | sort | uniq -c | sort -nr | head -10

用 dmesg 查看内核环形缓冲区日志

这部分日志不写入任何文件，只存在于内存中，专用于诊断硬件识别失败、驱动崩溃、内存校验错误等底层问题，图形界面卡死或设备突然失联时必查。

sudo dmesg -T

仅输出错误与警告级别消息→ sudo dmesg -l err,warn

将当前内核日志导出保存以便后续分析→ sudo dmesg -T > ~/kernel_log_$(date +%Y%m%d).txt