| 场景 | 应用报错需要跨层定位 |
|---|---|
| 层次 | 应用 → 服务管理 → 系统 → 内核 |
| 方法 | 同一时间窗 + 关键实体（PID/文件/端口）） |
第 1 层：应用日志
第 1 层：应用日志
tail -n 100 /var/log/app/app.log
grep -n 'ERROR' /var/log/app/app.log | tail第 2 层：服务与 journal
第 2 层：服务与 journal
systemctl status myapp --no-pager | head -n 15
journalctl -u myapp --since '15 min ago' --no-pager | tail -n 40第 3-4 层：系统与内核
第 3-4 层：系统与内核
journalctl --since '15 min ago' -p warning --no-pager | tail -n 30
sudo dmesg -T | tail -n 30 # OOM、磁盘错误、网卡异常
sudo dmesg -T | grep -Ei 'oom|i/o error|segfault' | tail串联技巧：先拿到应用的 PID/时间点，再用 journalctl _PID= 或 --since 精确回溯，避免全量翻日志。