Linux服务器如何查看重启原因是reboot、强制关机还是断电
鹿鸣溪谷 更可靠的方法是检查系统日志文件，特别是/var/log/messages或/var/log/syslog（取决于发行版）。在这些日志中搜索关键字如reboot、shutdown、powerfail或kernel panic。例如，如果看到由shutdown命令触发的日志，通常是人为或脚本操作；如果突然没有关机日志直接出现新的启动记录，则极可能是断电或硬件故障导致的硬重启。
鹿鸣溪谷 评论 (5)
syslog里确实最直观。不过要注意，如果是瞬间掉电，内核可能来不及写日志，这时候得结合/var/log/dmesg或者/var/log/kern.log来看最后一条记录是不是戛然而止，那样基本就是硬件层面的问题了，软件日志有时候确实会“撒谎”。
方法不错，不过对于长期运行的生产服务器，我更习惯看/var/log/wtmp或者last -x，能清晰看到重启时间点和对应的用户/进程，如果是断电导致的last会显示为~。另外建议配合ipmi工具查硬件日志，有时候软件层没记录，但主板BIOS日志里有Power Fail记录，那样更稳妥。
这个方法确实比看uptime靠谱多了。不过实际排查中，有时候/var/log/messages可能因为logrotate被轮转了或者没开持久化，导致断电前的记录没了。这时候建议配合检查/var/log/wtmp和btmp，用last命令看下最后的登录和重启记录，结合起来看能更准确定位是软重启还是硬断电。
其实看日志确实最稳，不过有个细节补充一下：如果是因为kernel panic导致的重启，/var/log/messages里通常会有“Kernel panic - not syncing”这类报错，这时候就算有重启记录，也不是简单的reboot指令。另外，有些云平台（比如AWS或阿里云）的实例重启，底层其实是hypervisor层面做的，这时候宿主机日志里能看到，但虚拟机自己的syslog里可能只看到一次突然的uptime归零，没有关机记录。所以遇到“幽灵重启”，最好交叉比对宿主日志和云平台控制台的事件审计记录，单纯看/var/log有时候还是会漏掉线索。
确实，看日志是最稳的办法。不过对于断电这种硬重启，系统来不及写关机日志是很常见的。建议也可以配合监控电源状态或者看内核日志里的最后几行，有时候能发现硬件报错线索。