📚 课程目录第1章 dmesg入门

Linux内核日志dmesg深度解读与故障排查技巧 - 第1节

1.1 什么是 dmesg

dmesg（diagnostic message）是 Linux 系统中用于打印和控制内核环形缓冲区（kernel ring buffer）内容的命令。它直接读取 /dev/kmsg 或 /proc/kmsg 设备文件，将内核在启动和运行过程中产生的日志信息输出到标准输出。这些日志涵盖了硬件检测、驱动加载、文件系统挂载、网络初始化、内存管理、设备错误等几乎所有内核级事件。

对于系统运维和故障排查而言，dmesg 是诊断硬件故障、驱动冲突、内核崩溃（kernel panic）、OOM（Out Of Memory）等问题的第一手工具。当系统出现异常行为时，dmesg 输出的最后几行往往直接指向问题根源。

💡 核心概念： dmesg 不是日志文件，而是内核运行时内存中的一段环形缓冲区。这意味着它不依赖磁盘 I/O，即使磁盘损坏或文件系统崩溃，dmesg 仍然可以输出关键错误信息。

1.2 内核环形缓冲区（Kernel Ring Buffer）工作原理

1.2.1 什么是环形缓冲区

内核环形缓冲区是一块固定大小的内存区域，用于暂存内核产生的日志消息。它采用“先进先出、覆盖旧数据”的环形结构：当缓冲区写满时，新消息会覆盖最早的消息。这种设计保证了内核日志写入的实时性和低延迟，不会因为日志量过大而阻塞内核执行路径。

1.2.2 缓冲区大小与日志级别

参数	默认值（典型）	说明
缓冲区大小	128 KB（可配置）	通过内核参数 `log_buf_len` 调整
消息最大长度	1024 字节	单条日志不超过此长度
日志级别数	8 级（0-7）	0=KERN_EMERG 至 7=KERN_DEBUG
持久化	不持久化	重启后清空，除非配置了 `pstore`

1.2.3 环形缓冲区工作流程

下图展示了内核日志从产生到被 dmesg 读取的完整路径：

1.2.4 日志级别与输出控制

内核日志共 8 个级别，数字越小优先级越高。系统通过 printk 函数指定每条消息的级别，并依据 console_loglevel 决定哪些消息显示到控制台：

级别	名称	含义	默认控制台输出
0	KERN_EMERG	系统不可用	是
1	KERN_ALERT	必须立即处理	是
2	KERN_CRIT	严重条件	是
3	KERN_ERR	错误条件	是
4	KERN_WARNING	警告	否
5	KERN_NOTICE	正常但重要	否
6	KERN_INFO	信息	否
7	KERN_DEBUG	调试信息	否

  🔧 运维要点： 通过 cat /proc/sys/kernel/printk 可查看当前控制台日志级别设置。输出格式为四个数字：控制台级别 默认消息级别 最小控制台级别 默认控制台级别。例如 4 4 1 7 表示只有级别 0-3 的消息显示到控制台。

1.3 dmesg 命令的基本用法与常用选项

1.3.1 基本语法

dmesg [选项]

不带任何选项执行 dmesg 将输出内核环形缓冲区中的所有日志，通常内容量很大（数千行）。因此实际使用中几乎总是配合选项进行过滤和格式化。

1.3.2 常用选项速查表

选项	功能	示例
`-H`	人类可读格式（带时间戳、颜色高亮）	`dmesg -H`
`-T`	将时间戳转换为可读日期时间	`dmesg -T`
`-l`	按日志级别过滤（可组合）	`dmesg -l err,crit`
`-f`	按设施（facility）过滤	`dmesg -f kern`
`-k`	仅显示内核日志（默认）	`dmesg -k`
`-u`	仅显示用户空间日志	`dmesg -u`
`-n`	设置控制台日志级别	`dmesg -n 3`
`-c`	读取后清空缓冲区	`dmesg -c`
`-w`	实时等待新日志（类似 tail -f）	`dmesg -w`
`--level`	按级别过滤（同 -l）	`dmesg --level=err,warn`
`--facility`	按设施过滤（同 -f）	`dmesg --facility=daemon`

1.3.3 实战示例

示例 1：查看最近的错误和严重消息

# 仅显示级别 0-3 的消息（emerg/alert/crit/err）
dmesg -l emerg,alert,crit,err

# 或者使用简写
dmesg --level=err,crit

示例 2：查看硬件相关日志（磁盘、USB、PCI）

# 使用 grep 过滤关键词
dmesg | grep -i "usb\|ata\|pci\|error\|fail"

# 查看磁盘 I/O 错误
dmesg | grep -i "i/o error\|buffer I/O"

示例 3：实时监控新日志

# 类似 tail -f，持续输出新产生的内核日志
dmesg -w

# 结合过滤，只关注错误
dmesg -w --level=err

示例 4：查看带人类可读时间戳的日志

# -T 将内核启动后的秒数转换为本地时间
dmesg -T | tail -20

# -H 提供更友好的分页和颜色
dmesg -H | less

示例 5：清空缓冲区（谨慎使用）

# 清空后旧日志丢失，通常用于测试环境
dmesg -c

1.3.4 dmesg 输出格式解析

一条典型的内核日志包含以下字段：

[    5.123456] usb 1-1: new high-speed USB device number 2 using xhci_hcd
│           │
│           └── 日志内容：设备描述、驱动信息、错误详情等
│
└── 时间戳：系统启动后的秒数（精确到微秒）

⚠️ 常见误区： dmesg 的时间戳是系统启动后的相对时间，不是绝对时间。使用 -T 选项可以转换为本地时间，但转换基于系统当前时间推算，如果系统时间在启动后被修改过，转换结果可能不准确。对于精确的时间分析，建议结合 journalctl -k 使用。

1.3.5 dmesg 与 journalctl 的关系

在 systemd 系统中，内核日志同时被写入环形缓冲区和 systemd-journald 服务。两者对比：

特性	dmesg	journalctl -k
数据来源	内核环形缓冲区（内存）	systemd-journald（磁盘持久化）
持久性	重启后丢失	持久化到 /var/log/journal
时间戳	启动后秒数	绝对时间（UTC）
过滤能力	有限（级别、设施）	强大（时间、单元、优先级等）
实时性	高（内存直接读取）	中（经过 journald 处理）
适用场景	快速诊断、系统崩溃后	长期审计、历史回溯

💡 最佳实践： 日常排查使用 dmesg -T --level=err,warn 快速定位问题；需要历史记录或复杂过滤时使用 journalctl -k --since "1 hour ago"。两者互补，建议都掌握。

1.4 本章小结

dmesg 是读取内核环形缓冲区的命令行工具，用于查看内核日志。
内核环形缓冲区 是固定大小的内存区域，采用覆盖旧数据的环形结构，写入效率高但不持久。
内核日志分为 8 个级别（0-7），级别 0-3 默认输出到控制台。
dmesg 常用选项包括 -T（可读时间）、-l（级别过滤）、-w（实时监控）、-c（清空缓冲区）。
在 systemd 系统中，dmesg 与 journalctl -k 互补使用效果最佳。