MacBook Pro如何判断上次是关机还是重启？

Question

如何判断MacBook Pro上次是正常关机还是意外重启？在排查系统稳定性或日志异常时，用户常需确认设备上次关机类型。由于macOS不会直接提示关机方式，用户难以区分是手动关机、系统崩溃后重启，还是内核错误导致的自动重启。可通过控制台日志（Console）查看`shutdown`或`panic`相关记录，或使用终端命令`log show --predicate 'eventMessage contains "shutdown"' --last 24h`检索最近关机原因。此外，检查是否存在`kernel panic`日志文件也可辅助判断是否为异常重启。

Answer 1

一、基础概念：理解macOS关机与重启机制

在macOS系统中，设备的关机行为可分为正常关机和异常重启两大类。正常关机指用户通过苹果菜单选择“关机”，或使用shutdown命令触发的有序关闭流程；而异常重启则可能由内核崩溃（Kernel Panic）、电源故障、系统挂起无响应后强制断电等非预期事件引发。

macOS并不会在登录界面直接提示上次关机类型，因此判断关机性质需依赖系统日志分析。系统日志记录了从用户操作到内核活动的全过程，是诊断问题的关键数据源。

核心日志服务由logd守护进程管理，所有事件均通过统一日志系统（Unified Logging System）存储于/var/db/diagnostics/目录下，支持高效检索与结构化查询。

二、初级排查方法：使用控制台应用查看关机记录

• 打开“应用程序 → 实用工具 → 控制台”（Console）
• 在左侧边栏选择设备名称（如“MacBook-Pro”）
• 在搜索框输入关键词：shutdown 或 boot
• 查看时间戳最接近上次启动的日志条目
• 若出现类似 Previous shutdown cause: 5 的信息，则表示正常关机
• 若无shutdown记录，但存在Panic occurred日志，则极可能是内核崩溃导致重启

常见关机原因代码解释如下表所示：

Shutdown Cause Code	含义
0	未知或未记录
3	电池耗尽自动关机
5	用户正常关机
8	热关机（过热保护）
11	内核Panic（严重错误）
12	电源按钮强制关机
14	SMC重置或硬件复位
21	软件强制重启（如系统更新）
22	看门狗超时（系统无响应）
255	未正确写入日志（可能断电）

三、中级分析手段：终端命令深入日志检索

对于具备CLI操作经验的IT专业人员，可使用log命令进行更精确的日志筛选：

log show --predicate 'eventMessage contains "shutdown"' --last 24h

该命令将输出过去24小时内所有包含“shutdown”的日志事件。重点关注以下字段：

• Sender：通常为powerd或kernel
• Event Type：应为Log而非Error
• Timestamp：确认是否与用户记忆的操作时间吻合

进一步可结合grep过滤关键信息：

log show --last boot | grep -i "panic\|shutdown\|cause"

此命令用于分析本次启动过程中的前序事件，特别适用于刚经历重启后的诊断场景。

四、高级诊断路径：解析内核Panic日志文件

当怀疑系统因内核崩溃重启时，应检查是否存在持久化的Panic日志文件：

ls /Library/Logs/DiagnosticReports/kernel_*.panic

这些文件以时间命名，内容包含：

1. CPU寄存器状态
2. 调用栈回溯（Backtrace）
3. 触发模块（驱动或kext）
4. 内存映像摘要

可通过cat或文本编辑器打开分析，典型特征包括：

panic(cpu 0 caller 0xffffff800a6b1234): "a kext has caused a crash"
RAX: 0x00000000 DEADBEAF, RBX: 0xffffff8112345678
...

此类日志的存在即证明上一次重启为非正常行为。

五、综合判断流程图：自动化决策支持

graph TD A[开始判断关机类型] --> B{是否存在 kernel panic 日志?} B -- 是 --> C[判定为内核崩溃重启] B -- 否 --> D[查询最近 shutdown 记录] D --> E{是否找到 shutdown 条目?} E -- 否 --> F[疑似断电或强制关机] E -- 是 --> G[读取 shutdown cause code] G --> H{Code 是否为 5?} H -- 是 --> I[确认为正常用户关机] H -- 否 --> J[根据 code 分析具体原因] J --> K[输出诊断结论]