systemctl status 显示的失败码1无实际意义，真实错误需通过 journalctl 查看具体 errno 和上下文日志，如 modprobe 错误信息，并结合 dmesg、modinfo、配置文件及内核参数综合排查。
systemctl status 看不到具体错误码？先查 systemd-modules-load.service 的真实退出状态
直接运行 systemctl status systemd-modules-load.service 只显示 status=1/FAILURE，这没用——1 是通用失败码，真正线索藏在进程退出时的 errno 或内核返回值里。必须结合 journalctl -u systemd-modules-load.service -n 100 查原始日志，重点找形如 modprobe: ERROR: could not insert 'xxx': Unknown symbol in module 或 modprobe: FATAL: Module xxx not found in directory /lib/modules/6.8.0-xx-generic 这类带具体 errno 和上下文的行。
常见真实错误码含义：
-
errno=2（No such file or directory）：模块名拼错、路径不存在、或/lib/modules/$(uname -r)下根本没编译该模块 -
errno=22（Invalid argument）：模块依赖的内核符号缺失，比如Unknown symbol后跟着函数名（如crypto_register_alg），说明前置加密模块没加载 -
errno=1（Operation not permitted）：模块被secure_boot阻断，或/etc/modprobe.d/blacklist.conf里有blacklist xxx
dmesg 里找不到模块加载痕迹？说明失败发生在 modprobe 执行前
如果 dmesg -l err,warn | grep -i "xxx"（xxx 是你的安全模块名，如 apparmor、selinux、integrity）完全无输出，那问题不在内核模块本身，而在配置层：systemd-modules-load 根本没读到它。此时要检查：
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
-
/etc/modules-load.d/*.conf文件是否真包含该模块名（纯文本，一行一个，不能有多余空格或注释符#在行首以外位置） -
ls /lib/modules/$(uname -r)/kernel/security/是否存在对应.ko文件（如apparmor.ko）；若没有，说明内核未启用该功能（CONFIG_SECURITY_APPARMOR=y/m未设） -
cat /proc/sys/kernel/osrelease和ls /lib/modules/输出是否一致——常见坑是更新内核后没重建 initramfs，导致启动时加载旧版 modules 目录
modinfo 显示 vermagic 不匹配？别急着重编，先确认是否真需要加载
运行 modinfo apparmor | grep vermagic，若输出的字符串（如 6.8.0-45-generic SMP mod_unload ）和 uname -r 结果不一致，说明模块不是为当前内核构建的。但注意：
- AppArmor、SELinux 这类安全模块若被编译进内核（
CONFIG_SECURITY_APPARMOR=y而非=m），就根本不会走 modules-load 流程，也不会出现在lsmod里——它们是内核一部分，错误会直接体现在dmesg的 early boot 阶段，比如AppArmor: unknown mount option - 若模块是
=m，而vermagic不匹配，modprobe会拒绝加载并报Invalid module format；此时必须重装对应内核头文件和模块包（如 Ubuntu 的linux-modules-extra-$(uname -r)）
手动 modprobe 成功，但开机仍失败？检查配置文件加载顺序和冲突
在命令行执行 sudo modprobe apparmor 成功，但重启后又失败，大概率是配置文件冲突或加载时机问题：
-
systemd-modules-load.service按字母序读取/etc/modules-load.d/*.conf，若99-disable.conf里写了blacklist apparmor，它会覆盖前面的加载指令 - 某些发行版（如 RHEL/CentOS）默认禁用部分安全模块，需检查
/etc/default/grub中是否有security=none或apparmor=0内核参数 - initramfs 阶段已加载模块（如 dm-integrity），但 rootfs 挂载后又被卸载——这时
lsmod看不到，但dmesg开头会有integrity: loading X.509 certificate类日志
