如何查看苹果电脑的关机时间记录？

Question

如何查看苹果电脑的关机时间记录？macOS 系统本身不直接提供图形化界面来查看历史关机时间，但可通过系统日志进行追溯。用户可打开“控制台”（Console）应用，在左侧选择设备名称后，搜索关键词“shutdown”或“Previous shutdown cause”，系统会显示包含关机时间戳的日志条目。此外，终端中执行 `log show --predicate 'eventMessage contains "Previous shutdown"' --last 7d` 命令，也可查询近七天的关机记录。部分用户反馈升级 macOS 后日志格式变化导致命令无效，该如何适配新系统版本的日志结构？

Answer 1

一、macOS 关机时间记录查看的基本方法

在 macOS 系统中，用户无法通过系统偏好设置等图形化界面直接查看历史关机时间。然而，系统日志（system logs）中保留了大量与电源管理相关的事件信息，包括关机、重启和唤醒等操作的时间戳。

• 打开“应用程序 → 实用工具 → 控制台”（Console.app）
• 在左侧设备列表中选择本机名称（如 “MacBook Pro”）
• 在右上角搜索框输入关键词：shutdown 或 Previous shutdown cause
• 系统将列出包含关机事件的日志条目，每条记录均附带精确到毫秒的时间戳

这些日志通常由 powerd 守护进程生成，属于 com.apple.system.powermanagement 子系统的一部分。例如：

default    14:32:10.123456 +0800   kernel    Previous shutdown cause: 5

其中，“Previous shutdown cause: X” 表示上次关机的代码原因（如 5 表示正常关机），其前一条日志往往就是实际关机时间点。

二、终端命令进阶：使用 unified logging system 查询历史记录

自 macOS Sierra（10.12）起，Apple 引入了 Unified Logging System（ULS），取代传统的 ASL（Apple System Log）。因此，传统 syslog 命令已不再推荐使用，应优先采用 log 工具进行查询。

命令	说明
log show --predicate 'eventMessage contains "Previous shutdown"' --last 7d	显示最近7天内包含“Previous shutdown”的所有日志
log show --predicate 'subsystem == "com.apple.powerd"' --last 24h	查看 powerd 子系统的电源事件（含关机/唤醒）
log show --style json --predicate 'eventMessage contains "shutdown"' --last 3d	以 JSON 格式输出便于脚本解析

值得注意的是，在 macOS Sonoma 及后续版本中，日志结构进一步优化，部分旧关键词如 “Previous shutdown cause” 被归并或重命名。此时原命令可能返回空结果，需调整查询策略。

三、应对新系统日志结构变化的技术适配方案

随着 macOS 版本迭代（尤其是 Ventura 和 Sonoma），ULS 的元数据组织方式发生变化，导致原有 --predicate 条件失效。以下是几种有效的适配路径：

1. 使用更宽泛的子系统过滤：com.apple.powerd 或 kernel
2. 结合时间范围缩小检索区间，提升性能
3. 利用 log stream 实时监听关机动态（适用于调试场景）
4. 导出日志为归档文件后离线分析：log collect --output diagnostics.logarchive --last 7d
5. 使用第三方工具如 Log Expert 或 ConsoleZ 解析复杂日志结构
6. 编写自动化脚本提取关键字段，例如通过 awk/sed 提取时间戳与事件描述

以下是一个兼容性强的日志查询脚本示例：

#!/bin/zsh
# 兼容性关机日志提取脚本
LOG_CMD="log show --predicate 'eventMessage CONTAINS[c] \"shutdown\" || eventMessage CONTAINS[c] \"cause\"' \
         --style syslog --last 7d | grep -i -E '(shutdown|powerd|kernel)'"

eval $LOG_CMD

该脚本通过大小写不敏感匹配（[c] 标志）增强关键词识别能力，并结合 grep 进行二次筛选，提高跨版本兼容性。

四、深入分析：日志背后的电源管理机制与调试实践

macOS 的电源状态转换由 powerd 守护进程协调，其行为受 IOKit 驱动层影响。关机事件通常伴随如下序列：

graph TD A[用户点击关机] --> B[powerd 接收请求] B --> C[通知各进程退出] C --> D[调用 IOReturn from IOHibernateSystem()] D --> E[kernel 记录 shutdown cause] E --> F[系统断电] F --> G[下次开机读取 Previous shutdown cause]

其中，shutdown cause codes 具有特定含义：

Code	Meaning
0	Unknown
3	Battery depletion (低电量自动关机)
5	Normal shutdown (正常软件关机)
8	Thermal shutdown (过热保护)
10	Power button forced shutdown
11	Clamshell close action (合盖休眠失败转关机?)
128+	Kernel panic 相关 (如 129=panic due to watchdog timeout)

通过分析这些代码，运维人员可判断是否存在异常断电风险，进而排查硬件或驱动问题。