1. dmesg 概述：内核环形缓冲区与系统日志
dmesg（diagnostic message）是 Linux 系统中最基础、最直接的内核诊断工具。它负责从内核环形缓冲区（kernel ring buffer）中读取并显示内核产生的消息，包括硬件初始化、驱动加载、文件系统挂载、网络协议栈启动、系统调用异常等关键信息。对于运维人员和内核开发者而言，dmesg 是分析系统启动过程、定位内核级故障的第一道入口。
💡 一句话理解 dmesg：dmesg 是内核的“运行日记本”，记录着从开机到当前时刻内核所有重要的“自言自语”。
1.1 dmesg 命令的作用
dmesg 命令的核心功能是从内核环形缓冲区中提取消息并输出到标准输出。其典型用途包括：
- 启动过程分析：查看硬件探测、驱动加载、设备初始化等阶段是否正常。
- 故障定位：当系统出现 panic、oops、死锁、硬件异常时，dmesg 中通常包含关键错误栈和寄存器信息。
- 硬件兼容性检查：确认新添加的 PCIe 设备、USB 设备、磁盘控制器是否被内核正确识别。
- 性能瓶颈排查：分析中断分配、DMA 映射、内存碎片等内核级性能问题。
| 选项 | 功能说明 | 典型场景 |
|---|---|---|
dmesg |
显示所有内核消息 | 基础诊断 |
dmesg -T |
将时间戳转换为可读日期 | 定位故障发生时间 |
dmesg -l |
按日志级别过滤（如 err、warn） | 快速筛选错误 |
dmesg -f |
按设施类型过滤（如 kern、daemon） | 区分内核与驱动消息 |
dmesg -c |
读取并清空环形缓冲区 | 测试后重置环境 |
dmesg -w |
实时等待新消息 | 监控热插拔事件 |
1.2 内核环形缓冲区（kernel ring buffer）
内核环形缓冲区是内核内部维护的一个固定大小的循环内存区域，用于暂存内核产生的日志消息。其设计基于以下关键特性：
- 固定大小：默认大小通常为 128 KB（可通过
log_buf_len内核参数调整），当缓冲区写满时，新消息会覆盖最旧的消息。 - 循环写入：采用环形队列结构，写指针到达末尾后自动回绕到起始位置，保证始终保留最新的消息。
- 原子操作：写入操作在中断上下文和进程上下文中均可安全执行，无需复杂的锁机制。
- 多级过滤：每条消息携带日志级别（0~7），内核可根据
console_loglevel决定哪些消息输出到控制台。
🔧 内核参数调整示例：
# 在 GRUB 内核命令行中设置缓冲区大小为 256 KB
log_buf_len=256K
# 运行时查看当前缓冲区大小（单位：字节）
cat /sys/module/printk/parameters/log_buf_len1.3 dmesg 与系统日志（syslog）的关系
dmesg 和 syslog 虽然都处理日志，但它们在数据来源、存储方式和生命周期上存在本质区别。理解两者的关系有助于正确选择诊断工具。
| 对比维度 | dmesg（内核环形缓冲区） | syslog（系统日志） |
|---|---|---|
| 数据来源 | 内核自身产生的消息（printk） | 用户态进程、内核消息（通过 syslog 系统调用） |
| 存储位置 | 内核内存中的环形缓冲区 | 磁盘文件（如 /var/log/messages、/var/log/syslog） |
| 持久性 | 重启后丢失（除非被 syslog 捕获） | 持久化到磁盘，可长期保留 |
| 访问方式 | dmesg 命令或 /dev/kmsg |
tail、grep、journalctl 等 |
| 实时性 | 毫秒级延迟，适合紧急诊断 | 受日志写入频率和磁盘 I/O 影响 |
| 典型用途 | 启动分析、内核 panic、硬件故障 | 应用审计、安全事件、长期监控 |
⚠️ 重要提醒：dmesg 中的消息在系统重启后会被清空。如果需要保留内核启动日志用于事后分析，必须依赖 syslog 服务（如 rsyslog、systemd-journald）在运行时将内核消息实时写入磁盘文件。在生产环境中，建议同时启用 syslog 持久化并定期归档。
1.4 日志级别与消息过滤
内核消息根据严重程度分为 8 个级别（0~7），级别越低越紧急。dmesg 支持按级别过滤，帮助快速定位关键问题。
| 级别 | 宏定义 | 含义 | 典型消息 |
|---|---|---|---|
| 0 | KERN_EMERG | 紧急事件，系统不可用 | Kernel panic - not syncing |
| 1 | KERN_ALERT | 必须立即处理 | BUG: unable to handle kernel NULL pointer dereference |
| 2 | KERN_CRIT | 严重错误 | Out of memory: killed process |
| 3 | KERN_ERR | 一般错误 | I/O error, dev sda, sector 12345 |
| 4 | KERN_WARNING | 警告 | acpi: no such device |
| 5 | KERN_NOTICE | 正常但重要 | EXT4-fs: mounted filesystem |
| 6 | KERN_INFO | 信息性消息 | sda: detected capacity 512GB |
| 7 | KERN_DEBUG | 调试信息 | PCI: scanning bus 00 |
🔍 实战过滤示例：
# 只显示错误级别及以上的消息（0~3）
dmesg -l err
# 显示警告级别及以上的消息（0~4）
dmesg -l warn
# 组合过滤：显示错误和警告
dmesg -l err,warn
# 按设施过滤：只显示内核消息
dmesg -f kern1.5 本章小结
- dmesg 是读取内核环形缓冲区的命令行工具，用于实时查看内核消息。
- 内核环形缓冲区 是固定大小的循环内存区域，重启后内容丢失，适合紧急诊断。
- syslog 将内核消息持久化到磁盘，适合长期审计和事后分析。
- 理解日志级别（0~7）有助于快速过滤关键信息，提升故障定位效率。