mac系统异常时应通过控制台app筛选红色fault和黄色error日志、终端执行log show命令提取error/fault/panic三类记录，并从“报告”中查看.panic文件底部的previous shutdown cause代码（如3代表内核不可恢复错误）定位根因。
mac 出问题时，控制台不是“看看而已”的工具，而是定位故障的主战场。关键不在日志多不多，而在能不能快速揪出真正出错的那几条——系统每分钟都在写日志，但真正有用的错误线索往往就藏在红色 fault 和黄色 error 条目里，或者某份 .panic 报告底部的一行 shutdown cause 代码中。
盯住红色和黄色条目，别被灰色日志带偏
打开控制台后，先确认左侧选中本机名称，再点顶部“开始”按钮启用实时流。这时注意右数第二列“类型”里的圆点：
- 红色圆点 = Fault（故障），比如 kernel panic、磁盘校验失败、驱动加载崩溃，优先级最高
- 黄色圆点 = Error（错误），比如应用权限拒绝、网络连接超时、服务启动失败，需结合上下文判断严重性
- 深灰/浅灰条目大多是调试或状态通知，日常排查可暂时忽略
双击任一红/黄条目，底部简介面板会显示完整进程名、子系统（如 com.apple.networking）、时间戳和原始消息。如果看到 process: kernel 或 subsystem: com.apple.diskmanagement，基本可以锁定是系统底层问题。
用关键词组合搜索，直击问题源头
单纯看颜色还不够，尤其当错误反复出现或现象明确时，关键词搜索更高效：
- 搜内核异常：在搜索栏输入 process: kernel AND (panic OR fault)，回车后只留核心崩溃线索
- 搜特定应用崩溃：输入 process: "Safari" AND "crashed" 或 subsystem: "com.apple.WebKit"
- 搜网络断连：输入 "WiFi disassociate" OR "lost connection"，再点过滤条件 → “信息类型” → “错误”
- 排除干扰：想跳过调试日志？在搜索栏末尾加 -debug（减号+词）
搜索结果支持保存为命名查询，下次点一下就能复用，不用重输。
别漏掉“报告”里的诊断快照
每次 Kernel Panic 或强制重启后，系统会在“控制台”左侧边栏的“报告”分类下自动生成 .panic 或 .diag 文件。这些不是普通日志，而是含内存快照、调用堆栈和关机原因代码的结构化诊断包：
- 点开最新一条报告，滚动到底部找 Previous shutdown cause
- 常见值含义：3 = 内核不可恢复错误（典型 panic）；5 = 温度过高保护关机；128 = 电源适配器异常断开
- 若该字段为空或显示 -128，说明是用户正常关机，可排除硬件或内核故障
这类报告比纯文本日志更权威，是向技术支持提供信息时最该附上的文件。
终端命令补漏，查图形界面看不到的日志
控制台有时因缓存或同步延迟漏掉刚发生的错误，终端直连日志数据库更可靠：
- 查最近24小时所有 error/fault/panic：log show --predicate 'eventMessage contains "error" OR eventMessage contains "fault" OR eventMessage contains "panic"' --last 24h
- 只看内核错误（排除第三方 App 干扰）：log show --predicate '(process == "kernel") AND (eventMessage contains "error" OR eventMessage contains "fault")' --last boot
- 导出7天全部错误到桌面：log show --predicate 'level >= error' --last 7d > ~/Desktop/errors_full.txt
注意：时间参数必须写 --last 7d，不是 --last 7days，否则命令会失败。
