logcat 体系：缓冲、格式与过滤方法

上一章建立了工具地图。这一章回答：logcat 的缓冲有哪些，日志怎么格式化，如何从海量 输出里快速过滤出目标？

日志由 logd 按 main、system、events、crash 等环形缓冲维护。排障时先保留设备时间和 threadtime 字段，再按缓冲、时间范围、PID/TID、tag 与等级逐层收窄，避免只 grep 文案。

先选缓冲区，再设计过滤条件

常见误解	正确理解
logcat 只有一个缓冲	有 main、system、events、crash 等不同缓冲，按类别隔离
logcat 是实时的，历史不重要	设备端有环形缓冲，-d 可以导出历史
过滤就是 grep 关键字	用 tag、等级、pid、时间组合过滤更准确

核心结论

1. 常用缓冲：main（应用）、system（系统服务）、events（二进制事件）、crash（崩溃）。
2. 常用格式：threadtime 包含时间、pid、tid、tag 与等级。
3. 过滤维度：tag、等级、pid/tid、时间点、关键字。
4. -d 导出现有缓冲，-T 从某个时间增量读取，适合持续观察。
5. 先缩小范围再精读，是 logcat 排查的基本功。

缓冲与过滤主链

逐步解释：

1. 选缓冲：先判断日志在 main、system、events 还是 crash。
2. 缩小范围：按 tag/等级/pid 过滤。
3. 精读：按时间与关键字定位具体问题。
4. 输出：threadtime 格式保留完整上下文。

常用命令

环境：开发设备或模拟器；以下命令不需要 root。

adb logcat -v threadtime -d | grep -E "关键字|tag"
adb logcat --pid=<pid> -v threadtime
adb logcat -b crash -v threadtime -d
adb logcat -v threadtime -T "08-09 12:00:00.000"

先用 --pid 或 -b crash 缩小范围，再用 -T 增量跟踪复现，避免全量输出淹没线索。

源码证据

阅读目标：确认缓冲与格式来源。

正文指针：system/core/logcat/logcat.cpp 的缓冲读取与格式； system/core/logd/ 的缓冲维护。

// logcat.cpp（伪代码，行号以 r75 为准）
int main(int argc, char** argv) {
    // 解析 -b/-v/-T 等参数，从 logd 读取并格式化
}

这段代码证明： 缓冲与格式由 logcat/logd 共同实现；tag、等级、pid 过滤发生在读取 端，不修改原始日志。

验证与排障

环境：开发设备或模拟器。

adb logcat -b all -v threadtime -d | tail -100
adb logcat -v threadtime -d | grep -iE "error|exception|fatal"

排查流程：先看 crash 缓冲确认有无崩溃，再看目标进程的 main 日志，最后用 system 缓冲 确认系统侧行为。三个缓冲交叉看，比单看一个更接近真相。

常见误区

1. “logcat 只有一个缓冲”：main/system/events/crash 分格。
2. “实时输出才是全部”：环形缓冲会滚动覆盖，及时导出。
3. “grep 不到就是没有”：先确认缓冲与格式是否正确。
4. “等级越高越重要”：error 未必是根因，上下文才重要。

延伸问题

1. events 缓冲的二进制格式如何解析？
2. 环形缓冲大小如何配置与调整？
3. 应用日志与系统日志的时间戳如何对齐？
4. logd 被塞满时会发生什么？

源码入口

文件	关键位置	作用
system/core/logcat/logcat.cpp	参数与格式	读取输出
system/core/logd/	缓冲维护	日志存储
Log.java	写入入口	应用日志
liblog	客户端接口	日志 API

公共路径：system/core/ 与 system/core/liblog/。行号以 r75 检索为准。

需要核对系统服务当前状态时，见 dumpsys 地图。