Mac卡顿、闪退、黑屏或重启时，应通过控制台App查error/fault/panic日志、诊断报告中Previous shutdown cause字段、终端log命令提取结构化错误、/var/log原始日志及sudo log stream实时监听定位根因。
Mac 出现卡顿、闪退、黑屏或自动重启时，系统其实已悄悄记下线索——关键不在“有没有日志”，而在“怎么找对位置、筛准内容”。错误日志分散在统一日志数据库、诊断报告和原始文本文件三类载体中，用错方法容易漏掉核心证据。
用控制台App快速聚焦error/fault/panic日志
这是最直观的入门方式，适合刚遇到问题、还没重启的用户。启动后默认加载本机最近日志，红色条目即为系统级错误，黄色多为服务或应用级异常。
- 按 Command + Space 打开聚焦搜索，输入“控制台”并回车
- 左侧边栏确认选中本机名称；若边栏未显示，点窗口左上角“边栏”按钮启用
- 顶部搜索栏输入 level: error 回车，所有错误级日志立即高亮列出
- 想进一步缩小范围，可追加条件如 process: kernel 或 date >= 2026-06-01
- 滚动查看时，重点盯住含 panic、fault、shutdown cause 的红色或橙色行
从“报告”中提取结构化崩溃证据
每次 Kernel Panic 或强制关机后，系统会自动生成一份带时间戳、堆栈和内存快照的诊断报告（.panic 或 .diag 文件），其中的 Previous shutdown cause 字段是判断故障性质的核心依据。
- 在控制台左侧边栏点击“报告”类别
- 右侧列表中查找文件名含 panic、shutdown 或 reboot 的条目
- 双击打开最新一条，滚动到底部定位 Previous shutdown cause 字段值（如 3、5、128）
- 常见含义：3 = 内核不可恢复错误（典型Kernel Panic）；5 = 温度过高保护关机；128 = 电源适配器异常断开
- 也可直接访问路径：~/Library/Logs/DiagnosticReports/（用户级）或 /Library/Logs/DiagnosticReports/（需管理员权限）
终端命令精准提取关键错误记录
图形界面可能漏掉未实时同步的日志，终端直连 Unified Logging 数据库，能确保不遗漏任何一条结构化错误条目，尤其适合排查偶发性问题。
- 打开“终端”（应用程序 → 实用工具），执行基础检索：
log show --predicate 'eventMessage contains "error" OR eventMessage contains "fault" OR eventMessage contains "panic"' --last 24h - 限定内核与系统服务范围（避开第三方App干扰）：
log show --predicate '(process == "kernel" OR subsystem contains "com.apple.kernel") AND (eventMessage contains "error" OR eventMessage contains "fault")' --last boot' - 导出最近7天全部错误日志到桌面供离线分析：
log show --predicate 'level >= error' --last 7d > ~/Desktop/errors_full.txt - 专门查关机原因历史：
log show --predicate 'eventMessage contains "Previous shutdown cause"' --last 7d
补充：直接读取原始日志文件与实时监听
当需要绕过图形界面做底层排查，或想在问题发生瞬间捕获上下文，这两类方法很实用。
- 系统级原始日志存于 /var/log/：按 Command + Shift + G，输入 /var/log，可查看 system.log（通用事件）、kernel.log（内核消息）、secure.log（安全认证）等
- 若文件为空白或提示权限不足，可在终端中用 sudo cat /var/log/system.log 查看
- 启用实时内核错误监听（需输密码授权）：
sudo log stream --predicate 'eventMessage contains "panic" OR subsystem == "com.apple.kernel"' --info - 复现问题操作（如插拔硬盘、断连Wi-Fi），观察日志流中是否出现红色错误条目及其前后几秒的上下文
