追踪macos系统级进程退出应优先分析unified logging中的终止原因、信号、异常类型及堆栈，使用log show筛选termination reason、exit status和signal等关键字段，并结合diagnosticreports交叉验证。
要追踪 macos 系统级进程为何退出，关键不是查“谁退出了”，而是抓它退出前留下的结构化痕迹——系统会自动记录终止原因（termination reason）、信号（signal）、崩溃类型（exception type）及调用堆栈，这些信息统一存于 unified logging 数据库中，log show 是最直接、最权威的提取工具。
聚焦 termination reason 和 exit code
系统级进程（如 launchd、kernel_task、diskmanagementd）异常退出时，日志中通常含明确字段。直接筛选可快速定位：
- 查所有带终止原因的日志：
log show --predicate 'eventMessage contains "Termination Reason" OR eventMessage contains "exit status"' --last 24h - 只看 launchd 管理的守护进程退出事件：
log show --predicate 'subsystem contains "com.apple.xpc.launchd" AND (eventMessage contains "exited" OR eventMessage contains "Termination Reason")' --last boot - 提取 exit code 数值（如 code 1、code 9）便于比对：
log show --predicate 'eventMessage contains "exit status"' --last 7d | grep -o "exit status [0-9]*"
关联进程名与崩溃上下文
单看“退出”字样容易误判，需绑定具体进程并拉取前后上下文：
- 指定进程名查其完整生命周期（含启动失败、中途退出、被 kill）：
log show --predicate 'process == "mDNSResponder" AND (eventMessage contains "exit" OR eventMessage contains "killed")' --last 48h - 查某次退出前 2 分钟的内核与系统服务活动（常暴露资源争用或权限拒绝）：
log show --start "2026-07-07 10:15:00" --end "2026-07-07 10:17:00" --predicate 'process == "kernel" OR subsystem contains "com.apple.security"' --info - 若怀疑被 signal 终止（如 SIGKILL、SIGTERM），加关键词过滤：
log show --predicate 'eventMessage contains "killed by signal" OR eventMessage contains "SIGTERM"' --last 7d
导出并交叉验证诊断报告
log show 提取的是实时日志流，而系统还会生成归档报告。两者结合可确认是否真为崩溃而非正常退出：
- 导出最近 7 天全部终止相关日志到桌面：
log show --predicate 'eventMessage contains "Termination Reason" OR eventMessage contains "exit status" OR eventMessage contains "killed by signal"' --last 7d > ~/Desktop/proc_exits.txt - 同步检查 DiagnosticReports 中对应时间点的 .diag 或 .panic 文件：
ls -t /Library/Logs/DiagnosticReports/*$(date -v-1d +%Y-%m-%d)*.{diag,panic} 2>/dev/null - 若日志中出现
Termination Reason: Namespace ERROR或Code=0xdeadfa11，大概率是沙盒权限拒绝，需配合 Console 查 system.log 中的 securityd 条目
注意常见干扰项与有效信号
并非所有“exit”都代表故障。以下线索才具排查价值：
- ✅ 有效信号：含
Termination Reason: Namespace（沙盒违规）、Code=0xc0000005（内存访问违例）、killed by signal 9（被强制终止）、exit status 137（OOM Killer 杀死） - ❌ 可忽略项：launchd 日志中大量
exited with code 0（正常退出）、Exited: Killed后紧跟Started（服务重启正常） - ⚠️ 需深挖项：
Termination Reason: Signal: Segmentation fault→ 查堆栈是否含第三方 kext；exit status 1→ 结合 Application Specific Information 定位初始化失败点
