场景：日志断档/被清空怎么排查

日志突然没有新内容或历史消失：依次核对写入方（服务）、轮转（logrotate）、空间（磁盘满）、journal 配置与人为操作。

场景	日志文件停在某时刻或历史缺失
目标	恢复日志链路并评估影响
工具链	ls/lsof → logrotate status → journald → 审计

第 1 步：文件现状

ls -l --time-style=long-iso /var/log/myapp/
stat /var/log/myapp/app.log
lsof /var/log/myapp/app.log     # 谁还在写这个 inode

cat /var/lib/logrotate/logrotate.status 2>/dev/null | tail
ls -lh /var/log/myapp/ | head
df -h /var

journalctl --disk-usage
journalctl --verify 2>&1 | tail
journalctl -u systemd-journald -n 30

先分清日志写向（journal vs 文件 vs 远端）再逐段验证；断档最常见原因其实是磁盘满或轮转后未通知应用。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌