Linux journalctl --since 与 --until 怎么精确截取故障窗口：时间边界与时区

线上服务刚出现一次短暂超时，最先要做的不是把整本 journal 导出来，而是把故障前后几分钟固定成可复查的时间窗口。journalctl 的 --since 和 --until 能完成这件事，但日期省略、边界写法和时区显示如果没有统一，几个人各查一遍就可能得到不同结论。

先用完整日期和时间截取窗口，再用 -o short-full 把时区和秒级边界显示出来；确认窗口后，再叠加服务过滤条件。

先把故障窗口写成一条可复现命令

假设 api-worker.service 在本地时间 14:32 左右出现超时，先查一个窄窗口。日期、小时、分钟和秒都写出来，后续同事可以直接复制。

journalctl --since="2026-08-27 14:25:00" --until="2026-08-27 14:40:00" -o short-full

--since 表示不早于起点，--until 表示不晚于终点。这里的重点不是命令长，而是把起止点落在同一个日期和时区语境里。若故障发生在 14:32:07，窗口可以向前留几分钟，避免漏掉触发它的第一条消息。

为什么建议先使用完整日期

systemd 的时间解析支持 today、yesterday、now 和相对时间等写法。日期部分省略时，系统会按当前日期理解；这在白天临时查询很方便，跨午夜或复盘历史事故时却容易造成误解。

# 临时看今天 14:25 之后的日志
journalctl --since="today 14:25:00"

# 复盘历史事故：不要省略日期
journalctl --since="2026-08-27 14:25:00" --until="2026-08-27 14:40:00"

更稳妥的做法是：临时观察可以用相对表达式，写进工单、值班记录或复盘文档时改成完整日期。这样即使第二天重跑，也不会把窗口悄悄移动到新的“今天”。

用 short-full 核对时区，而不是猜时间

同一条日志在不同机器、容器或采集链路中，最容易争议的是“14:32 到底是哪一个时区”。-o short-full 会把日期、时间和时区信息放到输出里，适合把命令参数和实际记录逐条对照。

journalctl --since="2026-08-27 14:25:00" \
  --until="2026-08-27 14:40:00" \
  -o short-full

如果窗口边界附近没有记录，先不要马上判断服务没有产生日志。检查输出中的时区，再确认应用日志、主机日志和监控告警是否使用了同一时区。需要更精细的排序或字段分析时，可以保留这条原始查询作为证据，再另行导出。

时间范围确认后再叠加服务过滤

窗口已经确认，再把查询限制到服务本身：

journalctl _SYSTEMD_UNIT=api-worker.service \
  --since="2026-08-27 14:25:00" \
  --until="2026-08-27 14:40:00" \
  -o short-full

这样做的好处是排查过程有两个可分离的证据：第一条命令证明时间窗口里系统发生了什么，第二条命令证明目标服务在同一窗口里发生了什么。若一上来只查服务，可能错过网络、磁盘或依赖服务在同一时间留下的线索。

三个容易把结论带偏的细节

不要把省略日期当成固定日期

14:25:00 适合当前日期的临时查询，不适合作为跨天复盘记录。工单里保留完整日期，别人才能复核。

不要只看 short 输出里的短时间

默认输出更紧凑，但窗口边界需要可核对的日期与时区。涉及跨主机对时，优先保留 short-full 结果。

不要把“没有结果”直接等同于“没有故障”

还要检查当前用户是否有读取该 journal 的权限、日志是否在另一台主机、服务单元名是否写对，以及日志保留时间是否覆盖事故日期。

一份可以留在复盘里的最小记录

至少记录四项：完整的 --since 和 --until、输出格式 short-full、服务过滤条件 _SYSTEMD_UNIT=api-worker.service，以及执行命令的主机时区。后续如果要把“今天”作为临时范围，也把实际日期补进记录。

相关官方说明见 journalctl 手册，其中还列出了完整的 systemd 时间表达式规则。

常见问题

--since 和 --until 的边界怎么理解？

可以按“起点及之后”和“终点及之前”理解。排障时给窗口前后各留一点余量，再用输出中的完整时间确认边界。

为什么同一条命令在两台机器上结果不同？

先比较主机时区、日志来源和当前用户权限。参数相同不代表两台机器保存的是同一份 journal。

什么时候可以用 today？

只建议用于当前值班过程中的临时观察；要写入工单或复盘，换成完整日期和时间。

总结

journalctl 的时间筛选并不复杂，难点在于把时间写成别人能重跑、能核对的证据。完整日期固定窗口，short-full 暴露时区，最后再叠加 _SYSTEMD_UNIT=api-worker.service 过滤，排查结论就不容易被“今天”或短时间格式带偏。