Android 7系统日志（一）：全景图与架构概览

系列目录：第一篇：全景图与架构概览| 第二篇：logd守护进程—启动、初始化与Socket通信 | 第三篇：liblog库—日志写入的完整链路 | 第四篇：日志写入接口—Java层与Native层 | 第五篇：日志读取—logcat源码深度分析 | 第六篇：日志缓冲区管理—容量、裁剪与统计机制 | 第七篇：实战调试与常见问题分析

一、为什么要系统学习 Android 日志模块

每个 Android 开发者的第一行调试代码几乎都是Log.d("TAG", "hello world")。这个简单的 API 调用背后，藏着一个从 Java 层到 Native 层、跨进程通信、缓冲区管理、裁剪策略逐层堆叠的精密系统。

当你遇到以下问题时，单纯依赖logcat的简单用法是不够的：

• “日志丢失”：为什么有些Log.d明明执行了，logcat却看不到？是缓冲区满了，还是被 chatty 机制合并了？
• “日志延迟”：大量日志输出时，为什么 logcat 的显示总是慢半拍？
• “内核日志缺失”：dmesg和logcat显示的日志各自来自哪里？它们之间有什么关系？
• “SELinux 限制”：为什么某些 Native 进程的日志打不出来？
• “崩溃日志取证”：进程 crash 后，还没来得及写入 logd 的日志去哪了？pstore 机制如何兜底？

本系列以AOSP 7（android-7.1.2_r36）为基准，从Log.d()一直走到 logd 守护进程的缓冲区，逐层拆解 Android 日志子系统。

二、宏观架构：六层模型

┌──────────────────────────────────────────────────────┐ │ 应用层 / 框架层 │ │ Log.d() / Log.e() → android.util.Log │ │ Slog.d() / Slog.e() → android.util.Slog │ │ EventLog.writeEvent() → android.util.EventLog │ ├──────────────────────────────────────────────────────┤ │ JNI 桥接层 │ │ android_util_Log.cpp → println_native() │ ├──────────────────────────────────────────────────────┤ │ Native liblog 库 │ │ __android_log_buf_write() → logdWrite() │ ├──────────────────────────────────────────────────────┤ │ Socket 传输层 │ │ /dev/socket/logdw (写入) │ │ /dev/socket/logdr (读取) │ │ /dev/socket/logd (控制) │ ├──────────────────────────────────────────────────────┤ │ logd 守护进程 │ │ LogListener → LogBuffer → LogReader │ │ main / system / events / radio / crash / kernel │ ├──────────────────────────────────────────────────────┤ │ 内核层 │ │ /dev/kmsg / pstore (ramoops) │ └──────────────────────────────────────────────────────┘

从"环形缓冲区"到"logd 守护进程"的演进

在 Android 5.0 之前，日志直接依赖内核logger驱动，每个缓冲区对应一个/dev/log/main、/dev/log/system等设备节点，应用程序和 logcat 通过write()/read()系统调用直接操作。

缺陷：

1. 内核态管理太重——缓冲区策略写死在内核，修改困难
2. 无法按 UID/PID 差异化裁剪
3. 扩展新缓冲区必须改内核驱动

从 Android 5.0 起引入 logd 守护进程，将日志管理完全移到用户态。Android 7 中这套架构已成熟稳定——日志的写入、存储、裁剪、读取全部由 logd 负责，通信方式从设备节点改为 Unix domain socket。

三、核心组件"三剑客"

3.1 logd — 日志管家（守护进程）

logd 是整个日志系统的大脑，由 init 在系统启动早期拉起：

# system/core/logd/logd.rcservicelogd /system/bin/logd socket logd stream 0666 logd logd# 控制命令通道socket logdr seqpacket 0666 logd logd# 日志读取通道socket logdw dgram 0222 logd logd# 日志写入通道group root system readproc

内部维护七个 LogBuffer（对应log_id_t枚举）：

多个核心工作线程：

logd 进程 ├── LogListener 线程 → 监听 logdw，接收日志写入 ├── LogReader 线程 → 监听 logdr，服务 logcat 读取 ├── CommandListener → 监听 logd，处理控制命令 ├── LogAudit 线程 → 监听 NETLINK_AUDIT，处理 SELinux 审计日志 └── LogKlog 线程 → 从 /dev/kmsg 读取内核日志

3.2 liblog — 日志读写库

连接日志生产者与 logd 的桥梁，所有日志接口最终都调用它。

system/core/liblog/ ├── logger_write.c // 对外接口：__android_log_buf_write() ├── logger_read.c // 读端核心 ├── logd_writer.c // logd 通道写实现（logdWrite） ├── pmsg_writer.c // pstore 内核兜底 ├── logd_reader.c // 读取接口 └── event_tag_map.c // events 日志 tag 映射

核心设计：传输器抽象——正常路径走logd_writer（socket → logd），内核 panic 时走pmsg_writer（/dev/pmsg0）兜底。

3.3 logcat — 日志读取工具

Android 7 中 logcat 是单个 C++ 文件：system/core/logcat/logcat.cpp

通过 socketlogdr连接 logd，指定缓冲区、过滤条件后循环读取，按-v参数格式化输出到 stdout。

四、七大日志缓冲区

4.1 main

最常用的缓冲区。应用层Log.d()、Native 层ALOGD()写入，纯文本格式。

4.2 system

系统框架专用，Slog.d()写入。记录 AMS、WMS 等系统级日志。普通应用无写入权限。

4.3 events

二进制格式的事件缓冲区。通过EventLog.writeEvent()写入，用于记录am_proc_start、am_anr、binder_sample等系统关键事件。logcat -b events时会解码为可读文本。

4.4 radio

无线通信日志，Rlog.d()写入，用于调试 modem、RIL 等问题。

4.5 crash

Android 7 新增，专门存储系统服务崩溃日志（注意：应用层 crash 走 tombstone，不走这里）。

4.6 security

SELinux 审计日志缓冲区。存储 SELinux 权限检查拒绝事件，由LogAudit线程从 NETLINK_AUDIT socket 读取后写入。

4.7 kernel

logd 通过KernelLogger从/dev/kmsg读取内核环形缓冲区日志并转发。dmesg可直接查看，logcat -b kernel查看 logd 转发的版本。

五、一次日志写入的宏观路径

以Log.d("MyTag", "hello")为例：

T0 APP 调用 Log.d("MyTag", "hello") ↓ T1 Log.java → println_native(LOG_ID_MAIN, DEBUG, "MyTag", "hello") ↓ (JNI 调用) T2 android_util_Log.cpp → println_native() ↓ 解析参数，拿到 bufID = LOG_ID_MAIN ↓ 调用 __android_log_buf_write(bufID, ...) T3 liblog/logger_write.c → __android_log_buf_write() ↓ 格式化日志头（android_log_header_t） ↓ 依次调用每个 transport 的 write()： ├── logdWrite() → socket send(logdw, ...) │ ↓ │ ┌────────────────────────────────────────┐ │ │ logd 守护进程 │ │ │ LogListener 线程 → recv(logdw) │ │ │ → 解析日志头 │ │ │ → LogBuffer->log() 写入环形缓冲区 │ │ │ → LogReader 通知等待中的客户端 │ │ └────────────────────────────────────────┘ │ └── pmsgWrite() → /dev/pmsg0 (panic 兜底)

关键数据结构：logger_entry_v4

Socket 传输使用二进制 header + 文本消息体的格式。Android 7 中使用的版本是logger_entry_v4：

源码路径：system/core/include/log/logger.h

structlogger_entry_v4{uint16_tlen;/* 消息体长度 */uint16_thdr_size;/* header 大小 */int32_tpid;/* 写日志的进程 PID */uint32_ttid;/* 写日志的线程 ID */uint32_tsec;/* 时间戳（秒） */uint32_tnsec;/* 时间戳（纳秒） */uint32_tlid;/* log_id（main/system/events 等） */uint32_tuid;/* 写日志的进程 UID */charmsg[0];/* 消息体（柔性数组） */}__attribute__((__packed__));

六、一次日志读取的宏观路径

以adb shell logcat -v time MyTag:* *:S为例：

T0 adb shell logcat -v time MyTag:* *:S ↓ T1 logcat/logcat.cpp → main() ↓ 解析 -b → log_ids = [LOG_ID_MAIN] ↓ 解析 -v → 格式 = FORMAT_TIME ↓ 解析过滤 → MyTag:*, default:silent T2 创建 android_logger_list ↓ socket 连接 logdr T3 发送控制命令："tail" / "logid" T4 while (1) { android_logger_list_read() ← 阻塞读取 ↓ (logd 端) LogReader 线程 │ 从 LogBuffer 取出下一条日志 │ socket send(logdr) → 回传 ▼ 应用过滤条件 ↓ 匹配 → formatBuf() 格式化输出 ↓ 不匹配 → 跳过 }

七、关键源码文件索引

logd 守护进程

liblog 库

logcat 工具

Java 层

八、各篇预告