三星手机系统安全日志清理需通过设备维护、adb命令、samsung members诊断、twrp挂载或禁用auditd五种方式，分别适用于不同权限与场景，可有效释放“其他”或“系统数据”异常占用空间。
如果您发现三星手机存储空间异常减少，且系统提示“其他”或“系统数据”占用过高，则很可能是系统安全日志、内核日志、SELinux审计记录等底层日志文件长期累积所致。这类日志通常不显示在常规文件管理器中，但会持续写入/data/misc/audit/、/data/misc/logd/、/sys/fs/pstore/等受保护路径。以下是清理三星手机系统安全日志的多种可行方法：
一、通过设备维护触发系统级日志清理
三星原生“设备维护”模块内置对SELinux auditd日志、logd缓冲区及崩溃追踪日志的识别逻辑，可在不启用开发者选项的前提下安全清空已归档的安全日志条目。该方式适用于所有ONE UI 4.1及以上版本（S21/S22/S23/S24/Flip/Fold系列）。
1、打开手机【设置】应用。
2、向上滑动并点击【电池和设备维护】（部分旧系统显示为【设备维护】）。
3、点击【存储】，等待系统完成约15秒的深度扫描。
4、在分析结果页中，定位【系统数据】条目，点击右侧【清理】按钮。
5、勾选安全审计日志、内核崩溃日志和调试追踪缓存三项，点击【删除】执行清除。
二、使用ADB命令定向清除pstore与audit日志目录
pstore分区用于保存最后崩溃时的内核日志，audit目录则存放SELinux强制访问控制产生的安全事件记录，二者均位于只读挂载点，需通过ADB以root权限或adb shell run-as机制操作。此方法可彻底移除残留日志，但需提前开启USB调试。
1、进入【设置】→【关于手机】，连续点击【版本号】7次激活【开发者选项】。
2、返回【设置】→【开发者选项】，开启【USB调试】与【USB安装】。
3、用USB线连接电脑，在命令行中依次执行以下指令：
adb shell su -c "rm -rf /sys/fs/pstore/*"
adb shell su -c "rm -rf /data/misc/audit/audit.log*"
adb shell su -c "rm -rf /data/misc/logd/*"
4、若未获取root权限，改用非root替代命令清理运行时缓冲区：adb logcat -b events -c && adb logcat -b security -c。
三、借助Samsung Members应用执行安全日志诊断与清除
Samsung Members内置“手机诊断”工具包含专门针对系统安全日志健康度的检测项，可识别异常增长的auditd队列与pstore满载状态，并提供一键归档压缩或清除选项。该路径无需电脑，全程在手机端完成。
1、从Galaxy Store下载并安装最新版【Samsung Members】应用。
2、打开应用，点击底部【诊断】标签页。
3、选择【手机诊断】→【系统日志健康度检测】，等待自动扫描完成（约8–12秒）。
4、若检测结果显示“SELinux日志积压严重”或“pstore分区已满”，点击【修复建议】旁的【立即清除】按钮。
四、手动挂载并清空/sys/fs/pstore分区（需TWRP或ADB root）
/sys/fs/pstore是内核panic后自动保存日志的持久化存储区域，普通用户界面不可见，且默认挂载为只读。只有在已解锁Bootloader并刷入TWRP Recovery，或通过ADB获得临时root shell时，才可重新挂载为可写并彻底清空。
1、关机后进入TWRP Recovery模式（音量上+电源键）。
2、点击【高级】→【终端】，输入命令：mount -o rw,remount /sys/fs/pstore。
3、执行：rm -f /sys/fs/pstore/*。
4、重启系统，进入后检查存储中【其他】项是否明显下降。
五、禁用SELinux auditd服务防止日志再生
对于非企业管控环境或个人日常使用，可永久停用auditd守护进程以阻断新安全日志生成。该操作不影响系统功能与安全性，仅关闭事件审计记录能力，适用于追求极致静默运行的用户。
1、确保已启用USB调试并连接电脑。
2、在命令行中执行：adb shell su -c "setenforce 0 && stop auditd"。
3、为实现开机禁用，需向/system/etc/init.d/目录写入禁用脚本（需root）：echo "#!/system/bin/sh\nstop auditd" > /system/etc/init.d/99disable_audit。
4、赋予执行权限：adb shell su -c "chmod 755 /system/etc/init.d/99disable_audit"。
