真正要盯住的是红色（fault）、黄色（error）条目及含panic、shutdown cause、fault的文本行；控制台用颜色区分严重性，红色为系统级故障，黄色为服务或应用层错误，报告中previous shutdown cause字段（如3表示内核不可恢复错误）是定位根因的关键依据。
macos 控制台日志中，关键事件靠颜色、关键词和结构化字段标记，不是所有日志都值得细看——真正要盯住的是红色（fault）、黄色（error）条目，以及含 panic、shutdown cause、fault 的文本行。
识别关键事件的三种视觉标记
控制台用颜色+文字类型快速区分事件严重性：
- 红色圆点：代表 Fault 级别，通常是系统级故障，比如内核模块加载失败、驱动异常、硬件通信中断；这类事件往往伴随崩溃或功能失效
- 黄色圆点：代表 Error 级别，多为服务或应用层错误，例如网络连接拒绝、权限校验失败、进程启动失败
- 无圆点或灰色条目：多为 Info 或 Debug 类日志，属于常规运行状态，排查问题时可暂时忽略
精准查找 panic 和关机原因
Kernel Panic 或意外重启后，系统会自动生成带诊断信息的报告文件，比普通日志更权威：
- 在控制台左侧边栏点击“报告”，筛选文件名含 panic、shutdown 或 reboot 的条目（扩展名常为 .panic 或 .diag）
- 双击打开最新报告，滚动到底部找Previous shutdown cause字段
- 该值是十六进制代码，常见含义：3 表示内核不可恢复错误，5 表示过热保护关机，0x00000001 表示电源按钮触发
用关键词组合快速定位真实问题
单搜“error”会返回大量干扰项，建议用限定条件缩小范围：
- 在搜索栏输入 level: error process: kernel，聚焦内核级错误
- 查 Wi-Fi 异常？试 subsystem: com.apple.networking AND eventMessage contains "disassociate"
- 怀疑 Safari 崩溃？搜 process: com.apple.WebKit OR process: Safari，再加 eventMessage contains "crash"
- 想排除调试噪音？在搜索框末尾加 -debug -info（减号开头表示排除）
终端命令补漏，避免图形界面缓存延迟
控制台可能因刷新机制漏掉瞬时错误，终端直连统一日志数据库更可靠：
- 查最近一次启动以来的所有错误和故障：
log show --predicate '(level >= error) AND (eventMessage contains "error" OR eventMessage contains "fault")' --last boot - 只看系统核心模块（不含第三方 App）：
log show --predicate 'subsystem beginswith "com.apple.kernel"' --last 1h - 导出完整错误日志到桌面：
log show --predicate 'level >= error' --last 7d > ~/Desktop/errors_7days.txt
