macos 挂载卷日志由 diskarbitrationd、mount、内核等组件统一记录至 unified logging，可通过 log show 按 subsystem、process、eventmessage 关键词精准检索挂载/卸载事件、失败原因及设备上下文。
macos 中挂载卷（如外接硬盘、网络磁盘、apfs 加密卷等）的操作会由 diskarbitrationd、mount、hfs.util、apfs 内核扩展及 launchd 等组件记录日志，这些日志统一进入 unified logging 系统，并可通过 log show 命令精准检索。
关键日志来源包括：
-
subsystem == "com.apple.diskarbitrationd"（磁盘仲裁服务，负责自动挂载/弹出） -
process == "mount"或process == "umount"（显式挂载命令调用） -
subsystem == "com.apple.kernel" && eventMessage contains "mount"（内核级挂载事件） -
eventMessage contains "mounted" OR eventMessage contains "unmounted"（语义化关键词）
按挂载行为关键词快速定位
最直接的方式是搜索日志消息中明确出现的挂载状态词：
-
查看最近一次挂载/卸载动作：执行
log show --predicate 'eventMessage contains "mounted" OR eventMessage contains "unmounted"' --last 1h -
排除系统启动时的自动挂载干扰：加条件过滤非启动期操作：
log show --predicate 'eventMessage contains "mounted" AND NOT eventMessage contains "boot"' --last 24h -
区分成功与失败挂载：失败常含
"failed"、"denied"、"invalid"等词，例如：log show --predicate 'eventMessage contains "mount" AND (eventMessage contains "fail" OR eventMessage contains "denied")' --last 7d
按核心服务子系统聚焦磁盘仲裁过程
`diskarbitrationd` 是 macOS 处理外部存储设备即插即用的核心守护进程，所有自动识别、权限协商、挂载决策都经它处理：
-
查看完整磁盘仲裁日志（含设备识别、权限提示、挂载路径生成）：
log show --predicate 'subsystem == "com.apple.diskarbitrationd"' --last 30m --info -
筛选用户交互相关事件（如“允许”/“忽略”挂载提示）：
log show --predicate 'subsystem == "com.apple.diskarbitrationd" AND eventMessage contains "user" -
关联具体设备（需先从日志中提取 disk identifier，如 disk2s1）：再执行
log show --predicate 'eventMessage contains "disk2s1"' --last 1h
结合挂载路径或卷名精确回溯
如果你知道挂载后的卷名（如 MySSD）或路径（如 /Volumes/MySSD），可直接匹配：
-
搜索挂载到特定路径的日志：
log show --predicate 'eventMessage contains "/Volumes/MySSD"' --last 48h -
查找某卷名被拒绝挂载的记录：
log show --predicate 'eventMessage contains "MySSD" AND eventMessage contains "denied"' --last 7d -
导出全部挂载上下文供分析：
log show --predicate 'subsystem == "com.apple.diskarbitrationd" OR eventMessage contains "mounted"' --last boot > ~/Desktop/mount_audit.txt
补充：验证挂载结果与日志一致性
日志显示挂载成功，但 Finder 或 ls /Volumes 看不到？可交叉验证：
- 运行
mount | grep -E '(hfs|apfs|nfs|smb)'查看当前实际挂载列表 - 检查是否因权限问题挂载在隐藏路径：
ls -la /Volumes/.fuse_hidden*（常见于某些 FUSE 文件系统） - 若怀疑加密卷解锁失败，追加搜索：
log show --predicate 'subsystem == "com.apple.security.smartcard" OR eventMessage contains "FileVault"' --last 1h
