Linux journal 日志占满磁盘怎么处理：journalctl 用量核对、保留策略与安全清理

服务器上业务目录的占用看着并不大，磁盘告警却迟迟消不掉，先别急着直接删业务日志。Linux 系统自带的 journal 日志很可能已经占了不少存储空间，尤其是碰到某个服务反复打错误日志、默认日志保留策略没设上限的场景。处理这类问题的标准顺序是先核对 journal 的实际占用大小，再敲定临时清理的安全范围，最后把长期日志保留规则写到配置里，复测确认规则生效。

先确认：是 journal 变大，还是文件系统本身紧张

先查文件系统的剩余空间和inode使用情况，再拉取journal的官方统计数值。把两组结果放在一起对照，才不会把“小文件太多占满inode”误判成“日志体积太大占满空间”。

df -h /var
df -i /var
journalctl --disk-usage

df -h 关注块空间，df -i 关注 inode。journalctl --disk-usage 会给出 journal 文件占用的汇总值。假如 /var 只剩下几百 MB，而 journal 占用了数 GB，清理方向就很明确；如果 inode 接近耗尽，则还要继续检查应用是否产生了大量小文件。

按时间清理：保留故障窗口，删除更早的归档日志

如果近期刚出过线上故障，最稳妥的第一步绝对不是直接把日志清到很小，要先把故障发生前后的时间窗口的日志留存好。确认完需要留证的时间段之后，再执行按时间维度的清理操作。

# 示例：只清理超过 14 天的已归档日志
journalctl --vacuum-time=14d

# 清理后重新核对
journalctl --disk-usage
df -h /var

这里用到的时间参数是设置日志的保留边界，不是直接把指定日期的所有内容全删掉。相关命令只会处理已经归档的日志文件，当前正在写入的活跃文件不会因为单次清理操作直接消失。执行清理之前如果涉及安全审计、故障取证或者合规留存要求，先和团队确认好日志的最低保留规则。

按空间清理：给日志留一个可预期的上限

碰到磁盘容量偏小、日常日志量波动很大的场景，按空间值设置上限更容易形成稳定可落地的运维规则。举个例子，可以先把归档journal的总占用压到2G以内：

journalctl --vacuum-size=2G
journalctl --disk-usage

这不是对整个 /var 做清理，而是让 journal 的归档文件向目标空间收敛。实际结果可能略有差异，因为当前日志文件仍在增长。清理后同时检查 df -h /var，确认释放的空间已经回到文件系统，而不是只看到命令返回成功。

清理后还在增长：先找出持续刷日志的服务

如果刚清完journal没多久，占用就又回到告警阈值，真正的问题基本都是某个服务在不停重复报错刷屏。可以先查看本次系统启动生成的高优先级日志，再按服务单元做筛选排查。

journalctl -p warning..alert -b --no-pager
journalctl -u ssh.service -b --no-pager
journalctl -u nginx.service -n 200 --no-pager

把示例命令里的服务名替换成你机器上实际的systemd单元名。重点排查重复出现的报错、服务异常重启时间和依赖失败记录，不要把“日志清理成功”当成“故障完全修复”。如果应用本身还在持续输出异常堆栈，清理日志只是给你多留出一点排查时间，根因还是要回到应用配置、依赖连接状态或者权限问题上。

把临时处理变成长期保留策略

临时执行vacuum参数清理只能解决当下的磁盘压力。长期保留策略要写到日志服务的配置文件里，再根据磁盘总容量、审计要求和常规故障排查周期设定合理的边界值。常用的配置项包含日志最大总占用、单个日志文件上限和最长保留时间，修改之前先读一遍当前发行版自带的配置说明，不要直接照搬其他机器的参数硬套。

改完配置之后，先校验配置文件格式有没有问题，再让日志服务重新加载配置，最后观察一轮日志轮转是不是按预期规则执行。不同Linux发行版的配置文件存储路径和生效命令可能不一样，验收规则以当前本机的服务运行状态和journal统计结果为准。

三个容易踩坑的地方

• 只看 du 不看 journal 统计。日志目录可能包含当前文件、归档文件和其他数据，目录大小不能替代 journal 自己的统计。
• 刚出完故障就清空全部日志。要先导出或者留存故障时间窗口的日志，不然后续排查完全没有依据只能靠猜测。
• 清理后不复测。至少重新执行一次 journalctl --disk-usage 和 df -h，确认空间确实释放，并观察增长速度。

常见问题

journalctl --vacuum-time 会删除当前正在写的日志吗？

这类清理操作只会删掉已归档的日志文件，当前处于活跃状态的日志文件还是会正常写入。清理完成之后要结合服务状态和下一次日志轮转的结果确认效果。

按时间清理和按空间清理怎么选？

有明确固定的审计留存窗口时优先用时间维度清理；磁盘容量固定、需要强制硬上限的场景优先设置空间阈值。两种规则也可以组合使用，先按时间保留日志，再用空间上限兜底防止突发日志打满磁盘。

为什么清理后磁盘只释放了一点？

可能是当前日志文件仍在增长，也可能是空间主要被应用数据、容器层或小文件占用。用 df -h、df -i 和目录级检查分开确认。

收尾检查：用一组结果证明处理完成

一次可复用的验收至少包括四项：journal 统计值低于预期上限，/var 有足够剩余空间，inode 没有异常紧张，且高优先级日志没有持续刷屏。只有这四项同时稳定，才算从“磁盘告警”走到了“日志策略可控”。