最直接有效的方式是用 log 命令查统一日志中的 panic 记录，并结合诊断报告文件路径定位实际生成的崩溃快照，包括检索 panic 日志、列出 .panic 文件、提取关机原因代码及检查 kernel 相关诊断报告。
最直接有效的方式是用 log 命令查统一日志中的 panic 记录，并结合诊断报告文件路径定位实际生成的崩溃快照。
检索统一日志里的 panic 事件
macOS 10.12 及以后不再把内核崩溃写进传统文本日志，而是存入结构化的统一日志系统。执行以下命令可查最近 30 天所有含 panic 关键词的日志：
log show --predicate 'eventMessage contains "panic" OR eventMessage contains "Kernel Panic"' --last 30d- 更聚焦内核层：
log show --predicate 'subsystem == "com.apple.kernel" AND eventMessage contains "panic"' --last 90d - 导出为桌面文本方便后续分析：
log show --predicate 'eventMessage contains "panic"' --last 60d > ~/Desktop/panic_log.txt
列出并查看实际生成的 .panic 诊断文件
每次 Kernel Panic 后，系统会自动生成一个带时间戳的 .panic 文件，内容包含完整堆栈、寄存器状态和硬件上下文。它存在两个位置：
- 当前用户触发的报告（无需权限）：
ls -lt ~/Library/Logs/DiagnosticReports/*.panic 2>/dev/null - 系统级完整报告（需管理员权限）：
sudo ls -lt /var/log/diagnostic/*.panic 2>/dev/null - 快速查看最新一份的关键片段（跳过头部元数据）：
tail -n +20 $(ls -t ~/Library/Logs/DiagnosticReports/*.panic | head -1) | head -50
提取关机原因代码辅助判断崩溃性质
很多 Kernel Panic 会伴随 Previous shutdown cause 字段，它的数值是判断崩溃类型的核心依据：
- 查最近一次关机原因：
log show --predicate 'eventMessage contains "Previous shutdown cause"' --last 1d | tail -n 1 - 常见代码含义：3 表示内核不可恢复错误（即标准 Kernel Panic）；5 表示过热保护；128 表示电源异常；-128 表示手动关机
- 从最新 panic 文件中直接提取该字段：
grep "Previous shutdown cause" "$(ls -t ~/Library/Logs/DiagnosticReports/*.panic | head -1)"
补充：检查是否存在 kernel 相关诊断报告
有些崩溃可能未生成 .panic，但会留下 .diag 或其他命名格式的诊断文件：
- 列出所有疑似内核崩溃报告：
ls -t /Library/Logs/DiagnosticReports/*.{panic,diag} 2>/dev/null - 只看前 100 行内容（避免大文件卡顿）：
cat "$(ls -t /Library/Logs/DiagnosticReports/*.{panic,diag} | head -1)" | head -n 100 - 确认是否真有 kernel_ 开头的 panic 文件：
ls /Library/Logs/DiagnosticReports/kernel_*.panic 2>/dev/null
