macOS 热插拔事件可通过 Unified Logging 实时追溯，USB 事件由 IOUSBFamily 子系统记录，含 attach/detach 等关键词；Thunderbolt 事件由 IOThunderboltFamily 记录，支持按时间、子系统、关键词精准过滤与调试日志增强。
macos 系统热插拔事件（如 usb、雷电设备插拔）会由内核和 i/o 子系统实时记录，统一日志（unified logging）中已有结构化字段可追溯。直接用 log show 结合时间范围、子系统和关键词过滤，就能精准定位插拔动作发生时刻、设备类型及关联异常。
聚焦 USB 热插拔日志
USB 插拔事件主要由 com.apple.iokit.IOUSBFamily 和 com.apple.driver.usb.AppleUSBHost 子系统记录，消息中常含 attach、detach、enumerated、device connected 等关键词。
- 查看最近 30 分钟所有 USB 相关事件：
log show --predicate 'subsystem == "com.apple.iokit.IOUSBFamily"' --last 30m - 筛选明确的连接/断开动作：
log show --predicate 'eventMessage contains[c] "attach" OR eventMessage contains[c] "detach"' --last 1h - 结合设备厂商或产品标识进一步缩小范围（例如某 U 盘 VID=0x0781）：
log show --predicate 'eventMessage contains[c] "0781"' --last 2h
捕获雷电（Thunderbolt）热插拔行为
雷电设备插拔由 com.apple.iokit.IOThunderboltFamily 和 com.apple.driver.AppleThunderboltNHI 驱动记录，异常时常见 unplug、power state change、controller reset 等线索。
- 提取过去 1 小时内雷电核心日志：
log show --predicate 'subsystem beginswith "com.apple.iokit.IOThunderboltFamily"' --last 1h - 查找插拔引发的资源释放失败提示：
log show --predicate 'eventMessage contains[c] "unplug" OR eventMessage contains[c] "power transition" OR eventMessage contains[c] "DMA map"' --last 45m - 若怀疑崩溃前有异常，可叠加 panic 关键词交叉验证：
log show --predicate '(subsystem beginswith "com.apple.iokit.IOThunderboltFamily") AND (eventMessage contains[c] "panic" OR eventMessage contains[c] "timeout")' --last 6h
关联系统响应与后续影响
单次热插拔可能触发网络重连、驱动卸载、电源状态切换等连锁反应。通过时间戳对齐多子系统日志，能还原完整链路。
- 查插拔后是否引发网络中断：
log show --predicate '(subsystem == "com.apple.networking") AND (eventMessage contains[c] "down" OR eventMessage contains[c] "disconnect")' --start "2026-07-06 22:10:00" --end "2026-07-06 22:15:00" - 检查内核是否尝试重新加载驱动：
log show --predicate 'eventMessage contains[c] "kextload" OR eventMessage contains[c] "IOKit load"' --last 10m - 导出片段供比对（例如保存为文本便于时间轴分析）：
log show --predicate 'subsystem == "com.apple.iokit.IOUSBFamily"' --last 5m > ~/Desktop/usb_hotplug.log
提升日志可见性（必要时启用）
默认日志级别可能不记录低优先级插拔细节。如需更完整痕迹，可临时提高 USB/Thunderbolt 子系统日志等级：
- 启用 USB 调试日志：
sudo log config --subsystem com.apple.iokit.IOUSBFamily --mode level:debug - 启用 Thunderbolt 详细日志：
sudo log config --subsystem com.apple.iokit.IOThunderboltFamily --mode level:debug - 执行后插拔一次设备，再用
log show查看新增条目；调试完成后建议恢复：sudo log config --subsystem com.apple.iokit.IOUSBFamily --mode level:default
