macOS 更新出错之后：Tahoe 恢复操作手册

macOS 更新出错通常表现为两种形态，感受上完全不同。第一种：你晚上启动安装程序，一小时后回来，进度条还停在你离开时的位置，纹丝不动；剩余时间的估算值在同一个数字上停留得太久，久到你开始怀疑那个数字到底有没有意义。第二种：更新完成了，Mac 重新启动，然后就再也稳不住了——苹果 logo、进度条、黑屏，苹果 logo、进度条、黑屏，一遍又一遍，你的 Mac 无法启动到任何你能用的地方。

这两种情况都有一个正确的第一步，而且在两种情况里，正确的第一步恰恰都是大多数人会跳过的那一步。人的本能是在第一种情况下去按电源键，在第二种情况下不停地重启。这两个动作里通常一个是错的，另一个是对的，原因跟运气毫无关系。原因在于：2026 年的一次 macOS 更新，在机制上已经和人们记忆里 Mojave 时代的更新完全不是一回事了，失效模式也随之改变。

从 Big Sur 开始，你的 Mac 启动所依赖的系统，是一个经过加密封存、只读的 APFS 快照。你的文件存放在一个完全独立的宗卷上，而且在更新过程的绝大部分时间里，那个宗卷甚至没有被挂载。这一条架构事实重塑了一切：它改变了什么东西会坏，改变了一次被中断的更新能损坏什么、不能损坏什么，也改变了恢复工作的样貌。这也是为什么那条老建议——「直接覆盖重装一遍就好了」——今天产生的结果，跟五年前已经不一样。

本文是一份面向 macOS 26 世代的、按顺序编排的操作手册。内容包括：一次更新内部究竟发生了什么、一棵把症状映射到第一步动作的分诊树、每一种独立失效模式各自的章节、Tahoe 新增的 Device Recovery Assistant、两种架构下各自如何进入 Recovery 以及里面每个工具的用途、如何在不抹掉数据的前提下重装、以及回退的原理和它确切的代价。其中一部分内容在真实 Mac 上做过验证，并以你可以自己运行的命令形式呈现。凡是 Apple 没有公开说明的地方，本文会直说「没有说明」，而不是靠猜。

核心要点

• 你的启动宗卷是一个封存的只读快照，一条命令就能证明。 在一台运行 macOS 26.5.2（版本号 25F84）的测试 Mac 上，mount | grep ' on / ' 返回的是 /dev/disk3s1s1 on / (apfs, sealed, local, read-only, journaled)。正是 sealed 和 read-only 这两个标志，让一次做到一半的更新不可能再像 HFS+ 时代那样，给你留下一个悄悄损坏的 System 宗卷。
• 看起来冻住的进度条，通常是在撒谎。 Howard Oakley 记录过 macOS 26.4 的更新在 98.6% 和「还剩五分钟」上停留了十二分钟零七秒，而日志显示准备工作在这整段时间里一直在继续；他还指出较慢的 Mac 可能需要 30 分钟甚至更久。
• 遇到启动循环，第一步是停止这个循环，而不是再重启一次冲进去。 Howard Oakley 的说法很直接：按住电源键直到 Mac 关机。陷入循环的 Mac 是在撞上一次早期内核崩溃后自动重启，每一轮都是又一次崩溃，而不是又一次机会。
• Tahoe 新增了 Device Recovery Assistant，而它需要联网才有用。 Apple 的文档说明，当你的 Mac 出现妨碍启动的问题时它会自动打开；它需要网络连接来下载有关影响你 Mac 的软件问题的最新信息。Apple 同时也说明，macOS Recovery 不支持强制门户（captive）网络和需要 802.1X 认证的网络。
• 把一台 Apple 芯片 Mac 回退到较早的 macOS 版本，会抹掉这台机器。 Apple 自己对 DFU restore 的描述是：它会抹掉内置存储并在其上安装 macOS，内部宗卷上的数据将无法恢复。走上这条路之前，一份经过验证的备份不是「有更好」，而是全部前提。

现代 macOS 更新到底是怎么运作的

人们在更新失败时做出的几乎每一个错误决定，都源自一套 2020 年就已经不再准确的心智模型。花几分钟把真实的那套弄明白是值得的，因为后面整份手册都是从它推导出来的，而不是从民间传说里来的。

封存的系统宗卷不是一个比喻

当人们说 macOS 系统宗卷是「只读的」，听上去像是一项权限设置，好像管理员翻一下开关就能改。不是的。那是覆盖整个宗卷的加密封印，而正在运行的系统，是从那个封存状态的一个快照启动的。

任何一台运行 Big Sur 或更高版本的 Mac 上都能看到这一点。在一台运行 macOS 26.5.2（版本号 25F84）的测试 Apple 芯片 Mac 上，这条命令：

mount | grep ' on / '

返回的正是这一行：

/dev/disk3s1s1 on / (apfs, sealed, local, read-only, journaled)

这一行里有三处值得注意。设备是 disk3s1s1，不是 disk3s1——多出来的 s1 就是快照：你的 Mac 是从 System 宗卷的一个快照上运行的，而不是从 System 宗卷本身。sealed 标志意味着该宗卷的内容被一棵哈希树覆盖，系统会去校验它。而 read-only 就是字面意思，处在任何管理员密码都改不动的层级上。

在 The Eclectic Light Company 写作的 Howard Oakley 把后果讲得很直白：「从 SSV 启动的 macOS 与过去大不相同。带 T2、尤其是 Apple 芯片的 Mac，会把 SSV 的内容校验到最后一个比特。」这个校验的参照物，是 Apple 对「一次正确安装应该长什么样」的基准。正因如此，过去那类占主导地位的失败——系统目录写了一半，能启动但行为诡异——现在基本上不可能再发生。要么封印校验通过，你拿到的就是 Apple 发布的原样；要么校验不通过，Mac 干脆拒绝从它启动。

这是一笔交易。你失去了掉进「半坏不坏的糊状态」的可能，同时获得了掉进「二元的无法启动状态」的可能。而针对二元失败的恢复手册，和针对糊状态的恢复手册是不一样的。

宗卷组：谁负责什么

运行这条命令，整个结构就一目了然：

diskutil apfs list

在同一台测试 Mac 上，容器里列出了若干角色各异的宗卷。System 角色的宗卷 disk3s1 报告 Sealed: Yes，并附带一个 Snapshot: UUID、Snapshot Disk: disk3s1s1、Snapshot Mount Point: / 以及 Snapshot Sealed: Yes。组里其他所有宗卷——Preboot、Recovery、名为「Macintosh HD - Data」的数据宗卷，以及 VM——都报告 Sealed: No。

这个分布一眼就能看出整套设计：

宗卷角色	是否封存	里面放什么	更新期间意味着什么
System	是	macOS 安装本身，通过快照启动	被更新整体替换；使用前会校验封印
Data	否	你的个人文件夹、你装的 App、设置，一切真正属于你的东西	更新的大部分时间里处于卸载状态，最后才重新并入宗卷组
Preboot	否	每个宗卷组的引导支持文件，包括主系统就绪前 Mac 需要的东西	过程中会被更新；这里出问题表现为 Mac 找不到或起不来自己的系统
Recovery	否	恢复环境，含它自带的一套工具	你的降落伞；Apple 芯片上不止一个，这一点后面很关键
VM	否	交换文件和睡眠映像存储	会重新生成；不用操心

System 和 Data 两个宗卷合在一起就是 Apple 所说的宗卷组，macOS 借助 firmlink 把它们呈现给你，看上去像一块盘。这种错觉一直很方便，直到更新出问题、你需要判断出问题的是哪一半的那一刻。

更新的大部分时间里，你的数据宗卷是没挂载的

这是改变行为最多、却几乎没人知道的一条事实。Howard Oakley：「自 Big Sur 起，这更可能是一种不幸的副作用。在这些较新的版本中，在几乎整个更新期间，包含你文件和 App 的数据宗卷都处于卸载状态。」

请再读一遍，因为这句话里包含了相当分量的安慰。在更新的绝大部分时间里，那个装着你的文稿、照片图库、邮件、Xcode 项目和应用程序的宗卷，是没有挂载的。没有在被写入。没有在被重新整理。所有动作都发生在 System 宗卷上，而它在被任何东西信任之前都会先被封存并校验。

实际含义是：一次中途死掉的更新，损坏你文件的可能性远低于直觉给出的判断，因为在那段窗口的大部分时间里，你的文件根本不在场。这并不代表中断更新是个好主意。它的意思是，如果你最后真的不得不强制关机，合理的预期是得到一台无法启动的 Mac，而不是一台文稿被绞碎的 Mac。

它同时也解释了后面会讲到的一个具体、常见又吓人的症状：更新后能启动，但看起来丢了文件或 App。数据宗卷在流程末尾重新并入宗卷组的那一步，正是少数东西可能没落在你原来放置位置的地方。

为什么看起来像卡死，以及「正常」到底有多长

在更新过程中，人们对自己 Mac 做过的最具破坏性的事，就是仅凭一根不动的进度条断定机器已经挂了。

Howard Oakley 对 macOS 26.4 更新做过精确记录。进度条停在 98.6%，显示「还剩五分钟」。那「五分钟」实际耗了十二分钟零七秒，用他的原话说，「日志条目清楚表明准备工作在那整段时间里一直在继续」。他的解释是，这次更新体积很大，「校验其内容并完成准备所需的工作量，在完成百分比和剩余时间两项上都被错误地报告了」。他的建议是让 Mac 自己完成，并指出延迟「在较慢的 Mac 上可能长达 30 分钟甚至更久」。

背后有两个结构性原因。第一，校验一个封存的系统宗卷意味着要对大量数据做哈希，而这项工作与文件复制的可见进度并不成线性关系，所以估算器是在对错误的变量拟合曲线。第二，某些最重的阶段跑在图形进度界面还没有办法描述它们的时候，于是在机器最忙的时候，进度条反而没什么新东西可说。

对你而言，由此得出一条规则：不动的进度条不是卡死的证据。在足够长的时间窗口内磁盘和 CPU 都没有活动，才是卡死的证据。这是两种不同的观察，下面关于卡住更新的那一节会讲清楚第二种观察怎么做。

分诊决策树

在任何具体修复动作之前，有两件事需要按顺序完成。

第零步：确定你的备份处境

Howard Oakley 那份「更新出错该做什么」的有序清单，第一条就是确认你有一份当前的备份。之所以放在第一条，理由在三节之后会变得显而易见：Apple 芯片上最强力的恢复工具是破坏性的，而你能不能用它们，完全由麻烦开始之前你备份了什么来决定。

所以在你动任何东西之前，先老实回答：

1. 你上一次 Time Machine 备份或克隆是什么时候完成的？不是什么时候被安排的，是什么时候完成的。
2. 备份盘现在是物理连接着、状态健康的，还是躺在抽屉里？
3. 如果你的数据宗卷在接下来十分钟里被抹掉，你会失去什么？

第三个问题的答案，才是应当支配后续每一个决定的那个量。如果答案是「什么也不会失去，我今天早上刚做过一次经过验证的备份」，那你可以动作快一点，尝试激进的手段。如果答案是「十一个月的工作成果」，那么下面的一切就不再是排障练习，而变成了数据保全练习，正确的动作是先把数据弄出这台机器，再谈修复。一台无法启动的 Mac 往往仍然可以交出它的文件：在 Apple 芯片上，Recovery 里的 Share Disk 模式可以通过一根线把内置磁盘呈现给另一台 Mac；能进 Safe mode 的 Mac 则可以正常地把文件拷出来。如果你从来没把这套东西妥善搭起来过，我们的 Mac 备份策略对比 讲清了 Time Machine、iCloud 和可引导克隆各自实际能防住什么，因为它们并不能互相替代。

第一步：把症状对应到第一个动作

你看到的现象	第一个动作	不要做
进度条不动，机身发热，能听到风扇	等。如果能查，就看 CPU 和磁盘活动。在你的耐心阈值之上再多给 30 分钟以上	第一次卡住就强制关机
进度条几小时不动，机器冰凉安静，没有磁盘活动指示	长按电源键强制关机，然后正常重启	在写入过程中直接拔掉台式机的电源线
苹果 logo，然后重启，反复循环	按住电源键直到关机。然后正常启动，一次	任由循环继续跑下去
黑屏，但指针能动	等几分钟，然后强制关机并进入 Safe mode	想当然认为显示硬件坏了
能进登录界面，但很快崩溃	进 Safe mode，等约两分钟，再正常重启	在还没搞清 Safe mode 是否干净之前就重装
启动正常，但文件或 App 不见了	检查「废纸篓」和 /Users/Shared/Relocated Items	在检查这两个地方之前就从备份恢复
Tahoe 自己弹出一个急救界面	让 Device Recovery Assistant 跑完；给它连上一个它能用的网络	打断它
反复内核崩溃且毫无规律	运行 sysdiagnose，然后从 Recovery 重装	现在就抹掉任何东西

本文接下来的部分，每一节对应上表的一行。

失效模式：不再移动的进度条

怎么区分「卡住的更新」和「慢的更新」

一台正在拼命干活的机器和一台已经死掉的机器之间存在真实差别，而且通常不需要任何特殊工具就能分辨。

仍在工作的迹象：机身发热，笔记本靠近出风口处或台式机背面尤其明显。风扇在转或在变速。在有可见磁盘活动指示的 Mac 上，能看到活动。盯着进度条看几分钟不眨眼，它挪动了那么一丝。过去二十分钟内屏幕发生过任何变化，包括从进度条切到苹果 logo 再切回进度条。

可能真卡住的迹象：机器摸上去冰凉、安静，并且在几小时而非几十分钟内一直显示完全相同的画面。注意「几小时」这个词。Howard Oakley 关于「熬过看似冻结的阶段」的建议，不是让你等十分钟。

如果 Mac 已经进展到 macOS 在安装程序底下跑起来的阶段，Howard Oakley 的建议是打开「活动监视器」，查看 softwareupdated 或相关进程是否有持续的 CPU 占用，同时看有没有磁盘活动。这是能拿到的最强正面证据。而在更常见的那种情况里，Mac 显示的是全屏安装界面、根本没法打开活动监视器，那你就只能靠温度、声音和时间来判断。

什么时候「继续等」不再是正确答案

设一个阈值并遵守它，而不是在第二个小时凭情绪做决定。一个站得住脚的阈值大致是：在使用内置 SSD 的 Mac 上，如果画面在视觉上完全一致、机器冰凉安静超过约两小时，就按卡住处理。老一些的 Mac、装着机械硬盘的 Mac，以及通过慢速网络连接安装的 Mac，应该给更多余量。

当你确实判定它卡住了，怎么停很关键：

1. 按住电源键直到 Mac 完全关机。不要只是轻按一下。
2. 屏幕熄灭后再等十秒。
3. 按一次电源键，让它正常启动。

多数情况下会发生两件事之一。Mac 从中断的地方接着做完更新——因为安装程序被设计成可续接的，而封存宗卷的设计意味着它并没有留下一个损坏的系统。或者 Mac 放弃这次尝试，回到你原来的版本上启动。

你不应该做的是：拔掉台式 Mac 的电源，或者对笔记本做等价的断电操作。一次干净的关机请求，哪怕是被强制发起的，也能让固件和存储以拔电做不到的方式收尾。

如果更新是反复失败而不是卡住一次，尤其是伴随安装失败的提示，那么原因往往平淡无奇而非结构性问题。我们那篇 macOS 更新停在「安装失败」或「空间不足」 的指南讲了可用空间的算法，它比安装程序报给你的那个数字苛刻得多。

失效模式：启动循环

启动循环究竟是什么

启动循环看上去像是 Mac 在犹豫。并不是。Howard Oakley 精确描述了其机制：Mac「试图启动，撞上一次早期内核崩溃，于是又试着重启」。

这个重新表述就是本节的全部要义。每一轮都不是「另一次可能成功的尝试」。每一轮都是同一处崩溃、发生在同一个点上，随后是 macOS 在崩溃后执行的自动重启。放着不管，一台陷入循环的 Mac 会一直这么干，直到电量耗尽。

由于崩溃发生得很早，它出现在 macOS 中负责写出有用诊断信息的那部分完全就绪之前——这也是为什么启动循环留下的证据，往往比登录之后发生的崩溃要少。

第一个动作：停止循环

Howard Oakley 对启动循环给出的指令是：按住电源键直到 Mac 关机。先做这个，其他都往后放。按住按钮并不能修好任何东西；你是在阻止机器不断重复一个失败的操作，好让你来决定它接下来尝试什么。

然后，在 Mac 完全关机的状态下：

1. 等十秒。
2. 按一次电源键，让它正常启动。

一次干净的尝试。如果启动成功，你已经度过了最糟的部分，应该立刻验证备份，然后看下面的诊断章节，趁证据还新鲜时把它抓下来。如果它又循环了，不要试第三次。转去 Safe mode。

Safe mode 是诊断手段，不是修复手段

Safe mode 是大多数更新后问题被诊断出来的地方，而它常被误当成修复工具。它首先是一次实验。

在 Apple 芯片 Mac 上，按照 Apple 记载的流程：完全关机，等约十秒，然后按住电源键直到出现「正在载入启动选项」。选择你的启动宗卷，然后按住 Shift 键并点按「在安全模式下继续」，再松开 Shift。

在 Intel Mac 上：启动 Mac 并立刻按住 Shift 键，直到登录窗口出现，然后登录。你应该能在菜单栏看到「安全启动」。

Howard Oakley 关于进去之后该做什么的建议，值得逐字照做：等大约两分钟，然后正常重启。这个停顿不是迷信。Safe mode 会做一次目录检查、清除某些缓存，并执行需要时间的整理工作；桌面一出现就立刻重启，会把这些活儿掐断。

这次实验的结果告诉你什么：

Safe mode 结果	它证明了什么	合理的下一步
干净启动，之后正常启动也可以了	缓存或启动路径里有陈旧内容，Safe mode 的清理把它清掉了	不用再做什么；观察一天
干净启动，但正常启动仍然失败	原因是只在正常启动时加载的东西：登录项、内核扩展、系统扩展，或第三方软件	停用登录项和第三方扩展，然后测试
连 Safe mode 也进不去	问题在 Safe mode 所停用的那一层之下，最可能是系统本身、Preboot 宗卷或固件	Recovery；在 Tahoe 上则是 Device Recovery Assistant
能启动，但某个具体功能在两种模式下都坏	不是第三方冲突；是已安装的系统或某种硬件交互	从 Recovery 覆盖重装 macOS

第三行是最重要的一行。一台连 Safe mode 都进不去的 Mac，已经告诉了你一件很具体的事，它能让你免于花一整个下午去卸载一个从来就不是问题所在的杀毒软件。

失效模式：黑屏但指针能动

这一种让人惊慌的程度格外高，因为黑屏读起来像硬件已死，而会动的指针读起来像机器还活着，两者叠加感觉像是两头最坏的都占了。

它通常不是硬件坏了。更新后出现黑屏而指针有响应，一般意味着 window server 已经起来了，但桌面、Dock 或登录界面没能绘制出来。指针是由与其他一切不同的机制绘制的，这正是它能幸存下来的原因。

按这个顺序处理：

1. 给它整整五分钟。大版本更新后的首次启动要做大量一次性工作，而一次缓慢的首次登录，看上去和卡死一模一样。
2. 有意识地尝试唤醒显示：按一个键，把亮度往上调几档；如果接了外接显示器，把它断开。更新后出现显示配置不匹配是真实存在且可恢复的原因。
3. 如果毫无变化，长按电源键强制关机，等十秒，然后用上面的步骤进入 Safe mode。Safe mode 使用更简单的图形路径，经常能把你带到一个可用的桌面。
4. 如果 Safe mode 同样是黑屏，那问题就不在桌面环境，你应该转向 Recovery。

在 Intel Mac 上，更新后遇到显示和启动盘选择方面的怪现象时，重置 NVRAM 是一个正当步骤，因为显示与启动参数就存放在那里。在 Apple 芯片上，对应的用户可操作流程已被取消，机器自行管理这部分状态，所以你记忆中某台老 Mac 上的组合键，在当前机型上可能干脆什么都不会发生。

失效模式：Mac 能启动，但文件或 App 不见了

这是最容易引发警报、而实际数据丢失往往最少的一类失效。Howard Oakley 在这里的建议是：在断定任何东西丢失之前，先查两个特定位置。

Relocated Items 文件夹

Apple 有官方说明，它并不冷僻，但几乎没人会在真正需要它的那天之前遇到它。引自 Apple 自己的《Mac 使用手册》：「如果你的某些文件无法移到新位置，它们会被放入一个 Relocated Items 文件夹。」

用 Apple 的话说该去哪里找：「你可以在「用户」文件夹内的「共享」文件夹中找到 Relocated Items 文件夹。该文件夹的一个替身会被放在你的 Mac 桌面上。」Apple 还指出：「Relocated Items 文件夹中的 PDF 文稿会说明如何处理放入此文件夹的文件。」

在「访达」中，使用「前往」→「前往文件夹」，输入：

/Users/Shared/Relocated Items

或者在 Terminal 中：

ls -la "/Users/Shared/Relocated Items"

该文件夹通常会在其下保留原有的目录结构，所以一个原本在某个路径上的文件，会出现在 Relocated Items 里嵌套的同一路径下。正是这个结构，让「把东西放回去」变成一件直截了当的事，而不是猜谜。

有两点值得知道。第一，东西之所以落到这里，是因为安装程序无法把它们移到新系统布局所预期的位置，这最常影响那些安装在常规 App 与资源库约定之外的东西。第二，桌面上那个替身很容易被顺手关掉然后忘掉；而文件夹本身无论如何都会留在 /Users/Shared 里。

废纸篓

Howard Oakley 指出的另一个位置是「废纸篓」，在做任何更戏剧化的动作之前值得先看一眼。在清空之前先检查它——这句话读起来像废话，然后大约每个 macOS 大版本发布就会被忽略一次。

如果两处都是空的

如果文件两处都不在，App 也确实不在 /Applications 里，那你就进入了普通的恢复流程：从来源重新安装 App，或者从备份里把文件取回来。这里相关的能力是 Time Machine 能恢复单个项目而不必恢复整个系统，值得走这条路，而不是恢复整个系统——后者的规模，远远超出了几个丢失文件所能正当化的程度。

失效模式：Mac 能启动，但某个功能坏了

Mac 起来了，你登录进去，某个具体功能不工作。蓝牙配不上。外接显示器识别不到。音频输出没有设备。打印机消失了。昨天还好好的 App 一启动就退出。

这里的纪律是抵制立刻重装的冲动，因为重装是一次规模很大的操作，却可能根本没碰到真正的成因。先做 Safe mode 实验，用上面那张表。它只花十分钟，却能把问题空间对半切开。

如果 Safe mode 干净而正常启动是坏的，按这个顺序逐层排查：

1. 登录项与后台项。 「系统设置」→「通用」→「登录项与扩展」。把所有第三方的都停用，重启，测试。更新后损坏的绝大部分都出在这里，因为挂进系统的软件，正是最容易被一次系统更新废掉的软件。
2. 系统扩展与内核扩展。 同一个设置面板，在扩展那一节下。虚拟化软件、VPN 客户端、备份代理、音频路由工具和安全软件是常见嫌疑对象。基于旧版 macOS 构建的 kext 或系统扩展，可能会加载起来并行为异常，而不是干脆地失败。
3. 具体损坏功能的偏好设置与缓存状态。 比重装更精准、更安全。
4. 覆盖重装 macOS。 下文有讲。它在不触碰数据宗卷的前提下替换系统，一旦你确认问题不来自第三方，这就是正确动作。

如果 Safe mode 下同样是坏的，直接跳过第一步和第二步。你已经证明第三方软件不背这个锅，再去测它纯属浪费。直接走第四步。

失效模式：反复内核崩溃

更新后出现内核崩溃，尤其是反复出现的，处理方式应当与一次性崩溃不同。区分的关键在于它是否发生在一个可复现的时刻。

如果崩溃发生在一个一致的触发点上——接入某个特定设备、从睡眠唤醒、启动某个特定 App、插上显示器——那么这个触发点就是你的诊断，你应该把它精确记录下来。与硬件交互挂钩的可复现崩溃，往往是驱动或配置问题，而不是安装损坏，值得在重装任何东西之前先追下去。我们在 Tahoe 26.5 内核崩溃与显示器刷新率相关 那篇文章里写过这类模式的一个具体例子，那次崩溃日志本身就指向了成因。

如果崩溃是随机的，那就在做任何会改变状态的操作之前先抓诊断。Howard Oakley 建议对严重问题运行 sysdiagnose，而尽早做的原因是日志会滚动覆盖。完整流程在下面的诊断章节里，简版就是那个组合键：Control-Option-Command-Shift-句点，五个一起按住。

拿到诊断归档之后，从 Recovery 重装当前 macOS 版本是合理的下一步。请注意 Howard Oakley 那句诚实的告诫：「过去那种不完整或损坏的更新，在 SSV 上根本不可能发生，SSV 保证与 Apple 的意图完全一致。」重装会给你一个已知良好的系统，这确实有用；但如果系统本来就是可验证正确的，那它可能并不是出问题的那一环。这是重装这一步的真实局限，事先知道总好过事后被它意外。

那些并非专门由更新引起的、更广义的启动失败有它们自己的决策树，我们的 Mac 启动问题完整排障指南 涵盖了那些看起来相似但成因不同的症状，比如一台根本到不了苹果 logo 的 Mac。

Device Recovery Assistant：Tahoe 的新急救员

macOS Tahoe 引入了一套确实全新的恢复机制，由于它出现得很低调，大多数需要用到它的人至今仍不熟悉它。

它是什么

Apple 把 Recovery Assistant 描述为一个工具，设计成在你的 Mac 出现妨碍启动的问题时自动打开，随后尝试识别并解决该问题。用 Apple 界面里自己的措辞：它会告诉你这台 Mac 在启动过程中遇到了问题，恢复流程会查找任何问题，如果发现则尝试解决。

Howard Oakley 在它出现时就写过，文章是 2025 年 9 月 26 日的《New in Tahoe Recovery: Device Recovery Assistant》。他点出了一个命名陷阱，在你去找它之前值得先搞清楚。Recovery 里有两个名字相近但完全不同的东西。你在启动选项界面点按「选项」后遇到的那个、要你选择用户并认证的助理是一回事；而「实用工具」菜单里的那个工具——它自己的应用程序菜单标明为 Device Recovery Assistant——是另一个独立工具。尽管名字共用，它们并不是同一个东西；照着讲 A 的说明去找 B，是浪费二十分钟的可靠办法。

Howard Oakley 还坦率地指出，Apple 的支持文档「没有给出关于 DRA 具体做什么的任何进一步信息」。这一点值得挑明：Apple 记录了结果和前提条件，但没有公布 Device Recovery Assistant 实际会施加哪些修复措施。任何人告诉你它究竟修了什么，那都是推断。

如何手动启动它

你不必等它自己触发。启动进入 Recovery，然后使用「实用工具」菜单里的 Recovery Assistant 命令。

在 Apple 芯片 Mac 上的路径是：完全关机，按住电源键直到出现「正在载入启动选项」，点按「选项」，点按「继续」，以管理员身份认证，然后从菜单栏的「实用工具」菜单中选择 Recovery Assistant。

联网要求，以及它在哪儿咬人

Apple 说明 Recovery Assistant 需要互联网连接，用以下载有关可能影响你 Mac 的软件问题的最新细节，并且在出现提示时你应该选择一个 Wi-Fi 网络。这是一个架构层面的要点：这个工具并不是把固定的修复逻辑装在你的 Recovery 宗卷里。它是在你运行它的那一刻，从 Apple 拉取当前的修复信息——正是这一点让 Apple 能在一个坏更新已经发布之后再做出响应。

推论则是一条会在最糟糕的时机绊住人的限制。Apple 的文档说明，macOS Recovery 不支持强制门户网络和需要 802.1X 认证的网络。这覆盖了酒店 Wi-Fi、机场 Wi-Fi、大多数咖啡馆网络、校园网络，以及很大一部分企业无线网。如果你的 Mac 无法启动，而你正处在其中任何一种网络里，Device Recovery Assistant 就做不了它存在的意义所在的那件事。

请据此提前规划：使用采用普通 WPA2 或 WPA3 安全的家庭网络、使用有线以太网，或者用手机开个人热点——它呈现为一个普通的 WPA 加密网络，而不是强制门户。

三种结果

Apple 记录了三种可能的结果。用大白话说：它成功恢复了你的 Mac、它无法恢复你的 Mac，或者未发现已知问题。然后你点按「重新启动 Mac」。Apple 还指出，如果随后启动成功，你可能会看到一条关于恢复 iCloud 数据的通知。

每种结果对你意味着什么：

结果	解读	下一步
成功恢复	Apple 对你 Mac 上存在的某个状况有已知的修复措施，并已施加	重启，然后验证原先坏掉的那个具体功能
未发现已知问题	你的症状不在 Apple 目前具备修复逻辑的范围内。这和「你的 Mac 没事」不是一回事	沿手册继续：Safe mode，然后从 Recovery 重装
无法恢复	它识别出了某个问题但修不了	抓诊断，然后重装；做好升级处理的准备

中间那一条最容易被误读。「未发现已知问题」是一句关于 Apple 当前修复数据库的陈述，而不是给你机器开的健康证明。

macOS Recovery：怎么进去，里面有什么

Recovery 是大多数真正修复动作发生的环境。两种架构下进入它的方式完全不同，而用错流程，是人们误以为自己的 Mac 已经没救、而其实还有救的最常见原因之一。

Apple 芯片

Apple 记载的流程是：按住电源键直到出现「正在载入启动选项」，然后松开。你会看到启动选项界面，上面列着你的启动磁盘和一个标着「选项」的齿轮图标。点按「选项」，然后点按「继续」。

关键细节：Mac 必须先完全关机，不能是睡眠状态，也不能是正在重启。你要在整个启动过程中持续按住按钮，而不是轻按一下。而且你要在「感觉早该有反应了」的那个点之后继续按住，因为那行文字出现的时间比直觉预期的要晚。

同一个启动选项界面也是通往若干其他功能的入口：选择不同的启动磁盘，以及在点按「继续」时按住 Shift 键进入 Safe mode。

Intel

在 Intel Mac 上，按下并松开电源键开机，然后立刻按住 Command-R。一直按住，直到看到苹果 logo 或旋转的地球。

Intel 上存在两个变体，它们的行为不同：

组合键	启动的是什么	什么时候用
Command-R	本地磁盘上的 Recovery	默认选择；重装当前安装或最近安装的版本
Option-Command-R	互联网恢复	本地 Recovery 损坏或缺失时
Shift-Option-Command-R	互联网恢复，旧版本行为	当你明确需要这台 Mac 出厂时附带的版本，或仍可获得的最接近版本时

旋转的地球意味着 Mac 已回退到网络恢复，它需要可用的网络并且耗时长得多，因为它必须先下载恢复环境才能做任何事。

Apple 芯片上的 Fallback Recovery

Apple 芯片 Mac 保留了不止一个恢复环境。Howard Oakley 把 Fallback Recovery 描述为出于韧性考虑而保留的第二份 recoveryOS，在主 Recovery 损坏时可以进入。

进入方法是一种特定的节奏。从完全关机的 Mac 开始，按一次电源键，然后立刻再按一次并按住第二次，直到屏幕显示正在载入选项。Howard Oakley 把这个节奏形容为摩尔斯电码里的「di-da」，两次按键之间不超过约一秒。要试上几次才能找准时机，而弄错了无非是得到一次正常启动或正常 Recovery，所以重试是安全的。

你得到的是一个恢复环境，它通常比你当前系统的版本更老，具备那个较老版本的能力。Howard Oakley 指出一个具体限制：Startup Security Utility 在 Fallback Recovery 里不工作，所以你没法从那里更改安全策略。较新的工具，包括 Device Recovery Assistant，也可能不存在，因为 Fallback 早于它们。

当主 Recovery 起不来时使用 Fallback。它是 Recovery 失败与 DFU 之间的那一步，在走向 DFU 之前先够一下它，能替你省掉一次抹盘。

每个工具是干什么的

工具	它做什么	什么时候是对的工具
Recovery Assistant	从 Apple 获取当前修复信息并尝试自动修复	在 Tahoe 上，Mac 起不来且你有可用网络时的第一站
重新安装 macOS	把系统重装到你现有的宗卷组上	系统可疑；你的数据原地不动
从 Time Machine 恢复	从一份 Time Machine 备份整体恢复系统	你已决定整体退回到一个已知良好的状态
Disk Utility	对宗卷和容器做「急救」；抹盘也在这里	怀疑文件系统问题；对抹掉按钮要小心
Safari / 网页浏览器	在 Mac 趴窝时查文档	动手之前先查清某个具体报错
Terminal	在恢复环境中以 root 身份运行	在你完全清楚自己在做什么时执行针对性命令
Startup Security Utility	引导安全策略	更新恢复中很少需要；Fallback Recovery 里不可用
Share Disk	通过一根线把内置磁盘呈现给另一台 Mac	从一台起不来的 Mac 里把数据弄出来

在更新失败的语境里，Share Disk 值得单独一提，因为它正是备份问题最糟糕版本的答案。如果 Mac 起不来而你的备份很旧，Share Disk 能让另一台 Mac 挂载这台 Mac 的数据宗卷，在你尝试任何破坏性操作之前先把文件拷出来。先做这一步，就把一场潜在的灾难降格成了一点麻烦。

不抹掉数据地重装 macOS

这是人们最害怕的一步，也是最不可能伤到他们的一步。从 Recovery 重装 macOS，是把一份全新的系统装到你现有的宗卷组上。你的数据宗卷、你的个人文件夹、你的应用程序和你的设置，都不是这次操作的对象。

流程：

1. 用上面对应架构的方法启动进入 Recovery。
2. 选择「重新安装 macOS」并点按「继续」。
3. 当询问安装到哪里时，选择你现有的启动宗卷。这一步才是关键。选择现有宗卷，正是让这件事成为「重装」而不是「全新安装」的原因。
4. 让它跑。它会重启一次或多次，会花上一段时间，而进度估算不会比原来那次更新时更诚实。

开始前有三件事要知道：

它需要网络。 安装程序要下载系统。在慢速连接上，这可能比安装本身耗时长得多，而且强制门户与 802.1X 的限制在这里同样适用。

它安装的是一个特定版本。 在 Apple 芯片上，从 Recovery 重装安装的是与那个恢复环境相关联的版本。它不是一个用来挑选 macOS 版本的机制。

它可能修不好你的问题。 值得重复 Howard Oakley 的观点：有了 SSV，你原本就有的那个系统已经被加密校验为与 Apple 发布的完全一致。如果系统本来就是正确的，用一份同样正确的副本替换它，什么也不会改变。重装仍然值得做，因为它同时会刷新 Preboot 宗卷和引导路径——那两者并未被封存，且可能才是真正的问题所在。但请带着校准过的预期进去，而不是把它当成一次保证生效的修复。

回退到之前的版本

这是联系 Apple 之前的最后手段，两种架构下的代价不同。请在开始之前读完本节，而不是做到一半再读。

Apple 芯片：先把代价说出声

把一台 Apple 芯片 Mac 回退到较早的 macOS 版本，会抹掉这台 Mac。 不存在受支持的原地降级。Apple 自己对 DFU restore 的描述是：它会更新固件、把 recoveryOS 更新到最新版本，并抹掉内置存储再在其上安装 macOS，任何内部宗卷上的任何数据都将无法恢复。

「无法恢复」是 Apple 自己的用词，而且是准确的。这不是某个恢复工具能撤销的删除，因为存储是在硬件层加密的，而 restore 实际上把密钥连同数据一起丢弃了。

所以顺序是：先有经过验证的备份，然后回退。不能反过来。如果你没有一份自己信得过的备份，就用 Share Disk 或 Safe mode 先做一份再往下走，哪怕那要花掉一天。

Revive 与 Restore：最要紧的那个区别

Apple Configurator 的 DFU 操作有两种形式，把它们搞混，是本文整篇里代价最昂贵的一个错误。

操作	固件	recoveryOS	启动宗卷	你的数据
Revive	更新	更新到最新	设计上不作改动	保留
Restore	更新	更新到最新	抹掉并重装	抹掉，无法恢复

Apple 把 revive 描述为：更新固件并把 recoveryOS 更新到最新版本，同时在设计上不对启动宗卷、用户的数据宗卷或任何其他宗卷作出任何更改。Howard Oakley 的总结是：revive 会装上全新的固件和 Recovery，同时不动 macOS 容器；而 restore 会抹掉整个内置 SSD，然后安装固件、Recovery 和 macOS 容器。

由此得出的实操规则是：永远先试 revive。 它更快、非破坏性，而且对于一台在更新期间因固件问题变砖的 Mac，它经常就够了。只有在 revive 无济于事、并且你手上有一份验证过的备份时，才升级到 restore。

DFU 操作是怎么进行的

你需要第二台 Mac。出问题的 Mac 是目标机，能正常工作的 Mac 负责驱动整个操作。

需要准备的东西：一台可正常工作的 Mac、一根能同时传输数据和供电的 USB-C 线，以及 Apple Configurator 2，或者在较新的 macOS 版本上使用宿主 Mac 上的「访达」。Howard Oakley 指出 DFU 连接走的是 USB 而不是 Thunderbolt，所以只支持其中一种的线和口是不行的。目标 Mac 上哪个端口能接受 DFU 连接因机型而异，Apple 自己的文档是按机型给出的，所以请查你自己那台，不要想当然。

目标 Mac 必须用一套因机型而异的电源键序列进入 DFU 模式。这套序列在笔记本和台式机之间、在不同代际之间都不一样，不是可以靠猜的东西。Apple 的《如何恢复或还原 Mac 固件》支持文章按机型记录了当前流程，那才是该用的来源。

选择你会得到哪个版本

restore 安装的是一个 IPSW 文件，默认是最新的那个。要落到较旧的 macOS 版本上，你必须提供一个较旧的 IPSW；在 Apple Configurator 2 里，这意味着把 IPSW 文件拖到 DFU 目标上，而不是接受默认。

人们往往发现得太晚的那条约束是：Apple 必须仍在为那个 IPSW 签名。持续跟踪这件事的实践者——尤其是维护着一个 Apple 芯片还原映像公开数据库的 Mr. Macintosh——记录到 Apple 会停止为较旧版本签名，通常只留下一个很窄的窗口期，在此期间上一个版本仍可还原。Apple 并未公布签名时间表，也未承诺窗口长度，所以你读到的任何具体天数，都应视为对过往行为的观察，而不是保证。

后果是一个你无法控制的截止期限：回到你原本满意的那个版本这一选项，会按照 Apple 的时间表悄无声息地失效。如果你正在认真考虑回退，那么这个决定是有倒计时的。

如果你权衡这件事的角度是「降级」而不是「紧急恢复」，我们那份 从 Tahoe 降级到 Sequoia 的分步指南走完了整条路径，包括抹盘前后两侧的备份与恢复阶段。

Intel：固件天花板

Intel Mac 有一条无解的限制。Howard Oakley 直截了当地讲：「Intel Mac 在这里有一个重大限制：固件……你无法把一台 Intel Mac 的固件退回到之前的版本。」

这一点之所以重要，是因为 Intel Mac 上的一次 macOS 更新可能同时更新固件和操作系统。如果你想逃离的那个问题存在于固件里，回退 macOS 并不会把固件一起带回去。你可以装上更旧的 macOS，但你会在更新过的固件之上运行它；如果问题正出在这个组合上，那你并没有解决它。

这件事没有用户可及的绕行办法。这是一个真正的死胡同，正确的应对是升级给 Apple 处理，而不是继续尝试各种变体。

联系 Apple 之前先收集诊断信息

如果你打算联系 Apple 支持，或者你希望事后还有机会搞明白到底发生了什么，那就在开始改动任何东西之前先抓一份 sysdiagnose。日志会滚动覆盖。故障留下的证据是易腐的。

sysdiagnose 是什么

macOS 上的 man 手册描述得很准确：「sysdiagnose – 收集有助于调查系统性能问题的全系统诊断信息。」

关于它的输出和运行方式，man 手册说：「数据存储在 /var/tmp 目录中。sysdiagnose 需要以 root 身份运行。要取消一次通过命令行界面触发、正在进行中的 sysdiagnose，请按 Ctrl-\。」

组合键

man 手册写道：「按下以下组合键会自动触发 sysdiagnose：Control-Option-Command-Shift-句点。」

五个一起按。你会听到一声短促的提示音，屏幕会闪一下，然后 Mac 会工作几分钟来收集所有内容。这套按键人们会用好几种不同顺序写出来。Apple 的 man 手册排成 Control-Option-Command-Shift-句点；Howard Oakley 写成 Command-Option-Control-Shift-句点。同样的键，同样的结果。你按什么顺序念它们没有区别；有区别的是这五个键加上句点键必须同时按住。

当 Mac 已经半死不活时，就用这个方法，因为它不需要 Terminal，也不需要打字。

从 Terminal 运行

sudo sysdiagnose

如 man 手册所述，它需要 root。如果你想把归档放在比 /var/tmp 更好找的地方，-f 选项可以指定结果目录：

sudo sysdiagnose -f ~/Documents

Howard Oakley 针对这种情况建议的正是这种写法，这是一处实用的改进，因为 /var/tmp 不是大多数人能在「访达」里舒服地导航到的地方。

从「活动监视器」运行

Howard Oakley 还提到「活动监视器」的「系统诊断」选项，当你宁愿点鼠标而不愿打字、而 Mac 还能撑到打开一个 App 时，这个方式很有用。

归档里最后有什么

man 手册列举了内容。除其他项目外，sysdiagnose 会收集系统的一份 spindump、若干秒的 top 输出、关于内核 zone 的数据、已加载内核扩展的状态、用户进程的常驻内存占用、最近的系统日志、一份「系统信息」报告、最近的崩溃报告、磁盘使用信息、I/O Kit 注册表信息以及网络状态。

其中有三项与更新失败直接相关。已加载内核扩展的状态告诉你当时内核里有哪些第三方代码。最近的崩溃报告捕获了这次崩溃。而最近的系统日志包含了更新自身留下的踪迹——真正的成因通常就在那里。

一条诚实的提醒：一份 sysdiagnose 归档包含关于你 Mac 以及其上运行过什么的大量信息。请把它当作敏感数据对待。它的用途是交给 Apple，而不是公开发布。

预防下一次

下面这些大多不够炫目，但每一条都比上面那份手册便宜。

验证备份，而不只是拥有备份

一份从未被恢复过的备份只是一个假设。在大版本更新之前，从它里面恢复点什么出来。一个文件就够证明整条链路是通的：磁盘能挂载、备份可读、恢复确实产出了一个文件。

检查最近一次完成的备份的日期，而不是计划表。检查目标盘还有空间。如果你的备份盘已经悄悄三周没能完成备份了，更新那一刻绝不是你想发现这件事的时候。

可用空间

更新需要的可用空间远多于下载体积，因为安装程序需要空间来暂存、展开和校验内容，也因为 APFS 快照在过程中会占用空间。安装程序报给你的那个数字是下限，不是一个舒服的目标。带着比它要求的多出一大截的余量进场，能挡掉一整类更新中途失败的情况。

不要在发布当天更新

同日更新的另一侧，没有任何东西值得你冲在第一波。等一周不花你什么成本，还能让别人先去发现那些机型专属的问题。这是本文里性价比最高的一个习惯，而且完全不需要任何技术能力。

先查已知问题

点「更新」之前，花五分钟看看有没有人在报告你这个具体机型、或你依赖的那个具体软件出问题。这与「这次更新总体上是不是没问题」是两个不同的问题。

在合适的时机、合适的供电条件下更新

插上电源。不要用电池启动更新，不要在一小时后就要用这台机器的时候启动更新，也不要在你控制不了的网络连接上启动更新。给这个流程它需要的、不被打断就能跑完的条件——因为从一次中断中恢复，就是本文余下的全部内容。

macOS 27 Golden Gate 快来了

这件事现在就值得规划。Apple 于 2026 年 8 月 10 日向开发者推送了 macOS 27 Golden Gate 开发者 beta 5，版本号为 26A5406e，相关报道称这个 beta 让九月发布仍在轨道上。Apple 尚未公布发布日期，所以九月仍属预期而非承诺。

这对你意味着什么：数周之内会有一大批人安装一个全新的大版本，而大版本升级正是本文所列失效模式最可能出现的场合。上面关于备份、可用空间和不做第一批的所有内容，对大版本升级的适用力度都比对小版本更新更强。

如果你在考虑装 beta 而不是等正式版，请把它当作一个有自己风险特征的独立决定来对待。我们那篇 该不该安装 macOS 27 Golden Gate 开发者 beta 讲了已知问题，以及更有用的那个问题：你应该在什么硬件上跑它。

常见问题排查

Mac 反复重启进入安装程序

问题： 强制关掉一次卡住的更新之后，Mac 反复启动进入安装程序而不是 macOS。

解决方案： 这通常是安装程序在正确地续接，正确的应对是让它跑。给它完整跑一轮不要打断，并保持接电。如果它确实在循环而毫无进展，用长按电源键停掉它，然后启动进入 Recovery 并使用「重新安装 macOS」，选择你现有的宗卷。那会把一个含糊的状态替换成一个确定的状态。此阶段不要抹掉任何东西。

Apple 芯片 Mac 上 Recovery 起不来

问题： 按住电源键得到的是一次正常启动尝试，或者什么都没有，「正在载入启动选项」始终不出现。

解决方案： Mac 必须先完全关机，不能是睡眠状态。从冷机状态开始持续按住按钮，并在屏幕亮起之后仍继续按住相当长一段时间。如果主 Recovery 确实损坏了，就用 Fallback Recovery：按一次电源键，立刻再按一次并按住第二次直到载入选项，两次按键间隔不到一秒。如果两者都不行，下一步是从第二台 Mac 做 DFU revive，那是非破坏性的。

Recovery Assistant 提示无法连接

问题： Device Recovery Assistant 要求联网，然后连不上 Apple。

解决方案： Apple 说明 macOS Recovery 不支持强制门户网络和需要 802.1X 的网络。酒店、机场、校园以及大多数企业无线网都属于其中一类。请使用采用普通 WPA2/WPA3 安全的家庭网络、使用有线以太网，或在手机上开个人热点。Recovery 内部没有任何设置能绕过强制门户。

更新完成了，但某个第三方 App 现在一启动就崩溃

问题： 一切正常，只有一个应用程序会立刻退出。

解决方案： 在对系统做任何事之前，先看看开发商针对你这个 macOS 版本的兼容性说明，因为解决办法往往是开发商发新版，而不是你这边做什么。如果这个 App 安装了系统扩展或内核扩展，去「系统设置」→「通用」→「登录项与扩展」看看它是不是被拦住了。重装 macOS 不会修好一个尚未适配新系统的 App。

文件不见了，而 Relocated Items 是空的

问题： 你查了 /Users/Shared/Relocated Items 和「废纸篓」，要找的东西两处都没有。

解决方案： 确认你登录的是当初拥有这些文件的那个账户，因为更新后登录到另一个账户或新建账户，是「东西全没了」的一个出乎意料常见的成因。用「聚焦」搜索一个有辨识度的文件名，并把系统位置也包含进搜索范围。如果文件确实不存在，就从备份里逐个恢复它们，而不是恢复整个系统——后者的规模远超这个问题所需。

每次把 Mac 从睡眠唤醒都会内核崩溃

问题： Mac 醒着的时候稳定，但一唤醒就崩溃。

解决方案： 这是一个可复现的触发条件，这让它比随机崩溃好处理得多。在一次崩溃之后立刻抓一份 sysdiagnose，让崩溃报告进到归档里。然后在 Safe mode 下测试：如果那里唤醒是稳定的，成因就是第三方的，候选对象包括外接设备的驱动、虚拟化软件，以及任何会安装内核扩展或系统扩展的东西。拔掉所有外设再测一次，以隔离硬件交互因素。

Disk Utility 报告了它修不了的错误

问题： Recovery 里的「急救」在某个宗卷上发现问题却修复失败。

解决方案： 除了对单个宗卷，也对容器运行「急救」，因为容器级的问题会表现为宗卷级的症状。不要反复重跑一个失败的修复；在一块状况不佳的磁盘上，每一次尝试都带有风险。如果「急救」修不好容器，那就优先用 Share Disk 或备份把数据弄出这台机器，然后再做别的；把内置 SSD 上无法修复的文件系统错误当成让 Apple 介入的理由，而不是继续换工具试。

Mac 能启动，但 macOS 报告的版本不对

问题： 一次失败或被中断的更新之后，「系统设置」显示的是一个你没预期的版本。

解决方案： 这通常是良性的，意味着更新没有完成，Mac 回退到了之前的系统，这正是设计在正常工作。确认可用空间，确认备份，然后从「系统设置」→「通用」→「软件更新」重试更新。如果它以同样方式失败两次，就在第二次失败后抓一份 sysdiagnose，让这个模式先进到日志里，再去做第三次尝试。

常见问题

在 macOS 更新过程中强制关机安全吗？

它不是你该首先尝试的动作，但也不再是过去那种灾难。Howard Oakley 指出，在几乎整个更新期间，装着你文件的数据宗卷都处于卸载状态，所以强制关机主要的风险是一个不完整的系统，而不是受损的文稿。先等，等到远超你的耐心阈值，并使用长按电源键的方式，而不是拔电源。

卡住的 macOS 更新进度条应该给它多长时间再动手？

比感觉合理的时间更长。Howard Oakley 记录过一次停在 98.6% 的表面冻结，持续了十二分钟零七秒，而准备工作全程在继续；他还指出较慢的 Mac 可能需要 30 分钟甚至更久。请依据温度、风扇噪音，以及过去二十分钟里屏幕上有没有任何变化来判断，而不是依据进度条上的数字。

从 Recovery 重装 macOS 会抹掉我的文件吗？

不会。重装到你现有的宗卷组上，是在保留数据宗卷的同时替换系统，所以你的个人文件夹、App 和设置都会保留。关键的一步是在安装程序询问安装位置时选择你现有的启动宗卷。抹掉是 Disk Utility 里一项独立的、标注清楚的操作，你必须刻意去选它。

DFU 模式下 revive 和 restore 有什么区别？

Apple 把 revive 描述为更新固件和 recoveryOS，同时在设计上不改动启动宗卷、用户的数据宗卷或任何其他宗卷。restore 则更新固件和 recoveryOS，然后抹掉并安装 macOS，内部宗卷上的数据将无法恢复。永远先尝试 revive；它是非破坏性的，而且往往就够了。

Recovery Assistant 为什么需要互联网连接？

因为它并不在本地携带修复逻辑。Apple 说明它需要网络连接来下载有关可能影响你 Mac 的软件问题的最新细节，Apple 正是靠这一点才能对更新发布之后才被发现的问题作出响应。Apple 同时也说明，macOS Recovery 不支持强制门户网络和 802.1X 网络，所以请提前安排一个普通的 WPA 加密网络。

我能在不丢数据的情况下降级 Apple 芯片 Mac 吗？

没有任何受支持的途径可以做到。在 Apple 芯片上回退到较早的 macOS 版本要经过 DFU restore，而 Apple 对它的描述是抹掉并安装 macOS，内部宗卷上的数据将无法恢复。保住数据的唯一办法是事后从备份里恢复，这也让一份经过验证的备份成为前提条件，而不是一项可选的预防措施。

结语

一次失败的 macOS 更新之所以让人感觉远比实际情况糟糕，归根结底是屏幕呈现给你的内容与机器实际在做的事之间存在错位。不动的进度条看上去像一台死掉的 Mac，实际上通常是一台正忙的 Mac。启动循环看上去像一台在竭尽全力的机器，实际上是一台在反复重演同一次早期内核崩溃的机器。而一台启动后找不到你文件的 Mac 看上去像数据丢失，可那些文件常常就躺在 /Users/Shared/Relocated Items 里——正是 Apple 文档说它们会在的地方。

封存的系统宗卷是贯穿这一切的那条线。因为系统被加密校验到最后一个比特（用 Howard Oakley 的话说），过去那种半坏不坏的糊状故障已经消失，取而代之的是更干净的二元故障。因为你的数据宗卷在更新的大部分时间里没有挂载，一次中断对系统的威胁远大于对你工作成果的威胁。而因为那些能明确修好一台 Apple 芯片 Mac 的恢复工具里，有一个会把它抹掉，所以一份经过验证的备份的价值并不是均匀分布在整份手册上的；它完全集中在末尾，在那里它决定了最后手段对你到底可不可用。

如果你只带走三件事：在强制关机之前等得比你想等的更久；遇到启动循环要停下它而不是任它跑；先试 revive 再试 restore。如果你正准备更新，尤其是在 macOS 27 Golden Gate 预计九月到来的当下，今天就花十分钟从备份里恢复一个文件，证明这份备份是有效的。正是那十分钟，把本文里的每一个场景从危机变成了小麻烦。

相关阅读：Mac 启动问题完整排障指南 · 2026 年最佳 Mac 备份策略