排查macos文件加密错误需精准定位filevault、corecrypto等核心模块日志：用log show筛选com.apple.security、com.apple.diskmanagement等子系统及fdesetup进程，结合关键词“filevault”“decrypt”“recovery key”和corecrypto报错，导出结构化日志并交叉验证诊断报告中的加密崩溃线索。
要排查 macos 文件加密相关错误（比如 filevault 启用失败、解密卡住、密钥链同步异常或 apfs 加密卷挂载报错），关键不是泛泛搜 “error”，而是精准定位与加密子系统交互的日志条目——filevault、corecrypto、security.framework、diskmanagementd 和 fdesetup 是最常留下线索的模块。
聚焦 FileVault 与磁盘加密核心进程
FileVault 错误通常由 diskmanagementd（磁盘管理守护进程）和 fdesetup（命令行工具）触发，日志集中于 com.apple.diskmanagement 和 com.apple.security 子系统：
- 查看最近一次 FileVault 操作（启用/关闭/恢复密钥）的全部记录：
log show --predicate 'subsystem == "com.apple.diskmanagement" OR subsystem == "com.apple.security" OR process == "fdesetup" OR process == "diskmanagementd"' --last 1h - 筛选明确含加密失败关键词的日志：
log show --predicate 'eventMessage contains[c] "filevault" OR eventMessage contains[c] "fde" OR eventMessage contains[c] "encrypt" OR eventMessage contains[c] "decrypt" OR eventMessage contains[c] "recovery key" OR eventMessage contains[c] "unlock failed"' --last 24h
捕获 CoreCrypto 底层加解密异常
当 APFS 卷加密/解密过程在内核或驱动层出错（如硬件加速失败、密钥派生异常），日志会出现在 com.apple.CoreCrypto 或 com.apple.kext 相关子系统中：
- 查 CoreCrypto 直接报错：
log show --predicate 'subsystem == "com.apple.CoreCrypto" AND (eventMessage contains "error" OR eventMessage contains "fail" OR eventMessage contains "invalid")' --last boot - 结合内核级磁盘操作（如 APFS mount、keybag load）：
log show --predicate '(subsystem == "com.apple.kernel" OR subsystem == "com.apple.driver.AppleAPFS") AND eventMessage contains[c] "crypto" OR eventMessage contains[c] "keybag"' --last 1h
导出完整上下文供深入分析
单条错误往往需结合前后几秒的操作链才能判断根因（例如：先有密钥链访问拒绝，再触发解密失败）。建议导出带时间戳的结构化日志片段：
- 将最近 3 小时所有与加密强相关的日志保存为桌面文件：
log show --predicate '(subsystem == "com.apple.diskmanagement" OR subsystem == "com.apple.security" OR subsystem == "com.apple.CoreCrypto" OR process == "fdesetup")' --last 3h --style syslog > ~/Desktop/filevault_debug.log - 若已知大致出错时间（如今天下午 3:22），可精确截取前后 5 分钟：
log show --start "2026-07-08 15:17:00" --end "2026-07-08 15:27:00" --predicate 'eventMessage contains[c] "filevault" OR eventMessage contains[c] "fde"' > ~/Desktop/fv_window.log
交叉验证诊断报告中的加密崩溃
如果 FileVault 操作导致系统冻结或重启，务必检查诊断报告中是否生成了加密相关崩溃：
- 列出用户级加密崩溃报告：
ls -t ~/Library/Logs/DiagnosticReports/*{FileVault,corecrypto,fde}*.panic 2>/dev/null - 查看最新一条报告末尾的 shutdown cause 及堆栈中是否出现
AppleKeyStore、APFSVolume或FileVaultDriver等关键词
