排查 macOS 文件系统异常应聚焦 I/O 失败、卷挂载异常、内核驱动告警或 APFS 校验失败，优先使用 log show 限定 subsystem 或 process 筛选关键日志，并结合 shutdown cause 时间点关联分析。
排查 macos 文件系统异常，关键不是看“有没有报错”，而是锁定与存储层直接相关的错误信号——比如 i/o 失败、卷挂载异常、内核驱动告警或 apfs 结构校验失败。log show 是最可靠的入口，它直连统一日志（unified logging）数据库，比图形界面更全、更及时。
聚焦磁盘与文件系统子系统日志
系统级文件操作由特定子系统驱动，盲目搜 “error” 会混入大量无关条目。应优先限定范围：
-
APFS 文件系统层：执行
log show --predicate 'subsystem == "com.apple.filesystems.apfs"' --last 24h，查看是否有corruption、repair needed、snapshot failure等提示 -
底层存储驱动层：运行
log show --predicate 'subsystem == "com.apple.driver.AppleAHCIDiskDriver" || subsystem == "com.apple.driver.AppleNVMeController"' --last 24h，重点找I/O error、timeout、media error、unresponsive -
挂载与卷管理服务：用
log show --predicate 'process == "diskmanagementd" || process == "mount_apfs"' --last 24h，检查是否出现volume unmounted unexpectedly或failed to mount
抓取明确的 I/O 错误和只读降级事件
文件系统异常常表现为静默只读、写入卡死或反复断连。这类问题会在日志中留下特征关键词：
- 执行
log show --last 7d | grep -i "error\|fail\|timeout\|ro\|readonly\|unmounted\|corrupt"，快速筛出含关键线索的原始行 - 特别关注
mount: / failed with error 30（只读挂载）、disk I/O error、APFS container corrupted这类明确指向文件系统或硬件的描述 - 若发现多条
volume mounted read-only due to errors，说明系统已主动保护，需立即备份并运行diskutil verifyVolume
关联 shutdown cause 与文件系统崩溃时间点
一次突然关机或重启后，如果伴随文件系统损坏，往往能在关机原因代码与日志时间上形成闭环：
- 先查最近关机码：
log show --predicate 'eventMessage contains "Previous shutdown cause"' --last 7d - 若返回
Previous shutdown cause: 3（Kernel Panic），再回溯该时间点前后 5 分钟的日志：log show --start "2026-07-05 14:22:00" --end "2026-07-05 14:27:00" | grep -E "(apfs|disk|I/O|panic)" - 若 shutdown cause 是
5（过热），但同时段出现大量disk timeout，则可能是 SSD 在高温下响应退化，而非单纯散热问题
导出结构化日志供深度分析
单次终端输出易遗漏上下文。建议导出带时间戳和进程信息的完整片段：
- 保存过去 3 天所有磁盘相关错误：
log show --predicate '(subsystem contains "apfs" || subsystem contains "disk") AND level >= error' --last 3d --style json > ~/Desktop/fs_errors.json - 导出纯文本便于搜索：
log show --predicate 'subsystem == "com.apple.filesystems.apfs"' --last boot --info --debug 2>/dev/null | grep -v "info" | sed '/^$/d' > ~/Desktop/apfs_boot_log.txt - 文件生成后，可用文本编辑器打开，用 Cmd+F 搜索
corrupt、repair、invalid等词，比滚动浏览高效得多
