蘋果設(shè)備向來(lái)以流暢著稱。對(duì)大多數(shù)人來(lái)說(shuō)，開(kāi)機(jī)這件事幾乎不需要思考：按下電源鍵，屏幕亮起，熟悉的界面很快出現(xiàn)，一切順理成章。

但在你還沒(méi)來(lái)得及碰觸鍵盤之前，Apple Silicon Mac 內(nèi)部已經(jīng)悄悄完成了一整套極其嚴(yán)密的啟動(dòng)流程。為了讓這段幾乎被隱藏起來(lái)的啟動(dòng)過(guò)程變得可見(jiàn)，長(zhǎng)期研究 macOS 啟動(dòng)與安全機(jī)制的開(kāi)發(fā)者 Howard Oakley 分享了一篇極其細(xì)致的深度解析，逐行追蹤 Apple Silicon Mac 在按下電源鍵之后究竟發(fā)生了什么。

來(lái)源：https://eclecticlight.co/2026/02/03/what-happens-in-early-kernel-boot-on-apple-silicon/

作者 | Howard Oakley 責(zé)編 | 蘇宓

出品 | CSDN（ID：CSDNnews）

Apple Silicon Mac 上的安全啟動(dòng)流程，和你以往見(jiàn)過(guò)的任何啟動(dòng)機(jī)制都不一樣。

整個(gè)過(guò)程從 Boot ROM 開(kāi)始，在真正加載內(nèi)核之前，還要依次經(jīng)過(guò)兩個(gè)層級(jí)的“固件”。

本文試圖梳理蘋果電腦開(kāi)機(jī)時(shí)內(nèi)部發(fā)生的一系列步驟，一直講到系統(tǒng)開(kāi)始管理用戶賬戶和權(quán)限為止，這大約發(fā)生在按下電源鍵后的 10 秒左右。

無(wú)論 Mac 是從內(nèi)置 SSD 上的 macOS 啟動(dòng)，還是從外接存儲(chǔ)設(shè)備上的系統(tǒng)啟動(dòng)，最初的三個(gè)階段基本都是一樣的：

1. 首先是 Boot ROM。它存在于硬件中，無(wú)法被修改。在這個(gè)階段，最關(guān)鍵的任務(wù)是驗(yàn)證下一階段可執(zhí)行文件的完整性，并將其加載和運(yùn)行。如果這一步無(wú)法完成，系統(tǒng)就會(huì)退回到 DFU 模式，等待通過(guò) USB 建立連接。

2. 接下來(lái)是底層引導(dǎo)載入程序（LLB）。它負(fù)責(zé)驗(yàn)證并讀取已存儲(chǔ)的安全設(shè)置，定位并校驗(yàn)下一階段所需的軟件，然后將控制權(quán)交給它。LLB 存放在專用的閃存中，但運(yùn)行時(shí)依賴內(nèi)置 SSD 受保護(hù)區(qū)域里的 LocalPolicy 等文件。

3. 第三個(gè)階段是 iBoot（或 iBoot Stage 2），它通常被誤稱為“固件”，但這個(gè)說(shuō)法并不準(zhǔn)確。iBoot 需要驗(yàn)證一組哈希值，用來(lái)確保關(guān)鍵信息的完整性。驗(yàn)證方式是：將存儲(chǔ)的哈希值與該哈希值的哈希（也就是它的簽名）進(jìn)行比對(duì)。其中就包括已簽名系統(tǒng)卷（SSV）的根哈希。不過(guò)，iBoot 本身并不會(huì)去訪問(wèn) SSV 或讀取其中的哈希，只是把已經(jīng)驗(yàn)證過(guò)的根哈希傳遞給后續(xù)的內(nèi)核使用。完成這些檢查后，iBoot 會(huì)驗(yàn)證、加載并啟動(dòng) macOS 內(nèi)核。

內(nèi)核啟動(dòng)（5.3 秒）

這些階段幾乎不會(huì)留下可讀的痕跡，因?yàn)樗鼈儾粫?huì)向日志寫入內(nèi)容。取而代之的是一些簡(jiǎn)短的二進(jìn)制數(shù)據(jù)，被稱為 breadcrumbs，可能會(huì)存放在 NVRAM 中。

與這些階段相關(guān)的日志，基本只有兩條：一條是啟動(dòng)的最初聲明，另一條是內(nèi)核階段開(kāi)始的標(biāo)記。

下文中引用的日志，均來(lái)自一臺(tái)運(yùn)行 macOS 26.2、開(kāi)啟“完全安全（Full Security）”模式的 Mac mini M4 Pro，按下電源鍵的時(shí)間點(diǎn)記為大約 0.0 秒。

5.30 kprintf initialized

內(nèi)核大約在 5.3 秒時(shí)從 iBoot 接管系統(tǒng)，并輸出自己的版本信息，這里是 Darwin Kernel Version 25.2.0。

隨后，日志流被配置完成，同時(shí)記錄下 iBoot 的版本。

接著，系統(tǒng)開(kāi)始啟動(dòng)一系列安全機(jī)制，包括 CoreCrypto，并加載安全策略組件，例如 Apple Mobile File Integrity（AMFI）以及 Seatbelt 沙盒策略（Sandbox）。

早期硬件初始化（5.6 秒）

隨后，內(nèi)核進(jìn)入啟動(dòng)硬件及相關(guān)服務(wù)的主階段。

最先啟動(dòng)的是 AppleT6041ANEHAL 和 IOAccessoryManager，接著是 IOThunderboltFamily。其中仍有不少與安全相關(guān)的組件，比如 AppleCredentialManager，以及一長(zhǎng)串 Secure Enclave（安全隔區(qū)）的初始化流程，其中包括如下這條較為詳細(xì)的日志：

5.696 "AppleSEPKeyStore":pid:0,:327: starting (BUILT: Nov 18 2025 20:56:29) ("normal" variant  , 2155.60.14)

KernelBluetoothFamily 大約在 5.7 秒時(shí)啟動(dòng)，隨后不久是 AppleT6040PCIeC。

在 5.71 秒，AppleARMWatchdogTimer 被啟動(dòng)，用來(lái)監(jiān)控那些變得無(wú)響應(yīng)的進(jìn)程。緊接著，日志中出現(xiàn)了自最早的 Mac OS X 時(shí)代就一直存在的傳統(tǒng)版權(quán)聲明：

5.712 Copyright (c) 1982, 1986, 1989, 1991, 1993 The Regents of the University of California. All rights reserved

這是一個(gè)來(lái)自久遠(yuǎn)歷史的提醒。

接下來(lái)，RTBuddy 和 AppleSMC 相繼啟動(dòng)，而在 5.836 秒時(shí)，AppleSEPManager 也被加載。RTBuddy 負(fù)責(zé)為運(yùn)行在 SoC 內(nèi)部協(xié)處理器和支持核心上的實(shí)時(shí)操作系統(tǒng) RTKit 提供通信支持。一般認(rèn)為，這些組件包括 Apple Neural Engine（ANE）、顯示協(xié)處理器（DCP）、NVMe 控制器，以及系統(tǒng)管理控制器（SMC）。在內(nèi)核階段，日志中會(huì)頻繁出現(xiàn) RTBuddy 相關(guān)的消息。

CPU 核心啟動(dòng)（6.1 秒）

在此之前，內(nèi)核一直運(yùn)行在單個(gè) CPU 核心上。但到大約 6 秒時(shí)，系統(tǒng)開(kāi)始逐個(gè)喚醒所有 CPU 核心。這個(gè)過(guò)程按集群進(jìn)行，首先啟動(dòng) E 核的 cluster 0，然后按編號(hào)順序啟動(dòng) P 核集群。

所有核心就緒后，APFS 和 NFS 文件系統(tǒng)被加載并啟動(dòng)，其中 APFS 會(huì)輸出一條包含版本信息的日志：

6.130 apfs_module_start:3677: load: com.apple.filesystems.apfs, v2632.40.17, apfs-2632.40.17, 2025/11/18

隨后，Gatekeeper 被啟用，AppleSystemPolicy 啟動(dòng)。盡管名字聽(tīng)起來(lái)有些“常駐”的意味，Always-On Processor（AOP）也在此時(shí)完成準(zhǔn)備，并啟動(dòng)其 SMC 服務(wù)。

文件系統(tǒng)（6.3 秒）

在 6.315 秒，APFS 開(kāi)始訪問(wèn) SSD 上的三個(gè)容器：disk0s1、disk0s2 和 disk0s3。隨后，它識(shí)別啟動(dòng)設(shè)備，并將其聲明為 BSD root：disk3s1，接著開(kāi)始掛載已簽名系統(tǒng)卷（SSV）。

乍一看這似乎有些矛盾——此時(shí)來(lái)自 SSV 的內(nèi)核其實(shí)已經(jīng)運(yùn)行了一秒多了。但這是因?yàn)閮?nèi)核以及它所需的內(nèi)核擴(kuò)展，是在更早階段由 iBoot 直接加載的。

同樣，在這個(gè)階段，NVRAM 也被準(zhǔn)備就緒：包括刪除 nonce 種子、寫入前幾個(gè)啟動(dòng)階段留下的 breadcrumbs 等操作。

APFS 隨后繼續(xù)掛載其他卷，包括位于 disk3s3 的 Recovery 分區(qū)，以及 macOS Base System。到 6.37 秒時(shí)，運(yùn)行在安全隔區(qū)處理器上的操作系統(tǒng) SEP/OS 被標(biāo)記為“已存活”，隨后 Secure Enclave 開(kāi)始進(jìn)入準(zhǔn)備狀態(tài)。

用戶空間啟動(dòng)（6.4 秒）

在 6.375 秒時(shí)，系統(tǒng)宣告進(jìn)入用戶空間啟動(dòng)階段，隨后內(nèi)核嘗試加載 launchd。從 6.8 秒開(kāi)始，系統(tǒng)會(huì)繼續(xù)掛載更多卷，包括 VM、Preboot、Update、xART、ISCPreboot 以及 Hardware。

隨著 Secure Enclave（SEP）已經(jīng)運(yùn)行起來(lái)，BiometricKit 在 8.788 秒時(shí)啟動(dòng)。大約在 9 秒左右，APFS 嘗試掛載位于 disk3s5 的 Data 卷。

但只有在未啟用 FileVault 的情況下，這一步才能成功，因此通常會(huì)失敗，并需要等待 loginwindow 啟動(dòng)以及用戶在其中輸入密碼后才能繼續(xù)。到 9.429 秒，日志中會(huì)列出一長(zhǎng)串啟動(dòng)任務(wù)。

在 9.875 秒，OpenDirectory 被啟動(dòng)，緊接著發(fā)生第一次系統(tǒng)時(shí)鐘（wallclock）時(shí)間校正：

=== system wallclock time adjusted

從這一刻起，所有日志時(shí)間都會(huì)相應(yīng)調(diào)整。

到了這個(gè)階段，也就是按下電源鍵約 10 秒后，內(nèi)核以及即將啟動(dòng)的其他進(jìn)程，已經(jīng)可以訪問(wèn)隱藏的容器和卷，以及已簽名系統(tǒng)卷（SSV），但仍無(wú)法訪問(wèn) Data 卷（除非 FileVault 被禁用）。

日志很可能暫時(shí)保存在內(nèi)存中，直到可以寫入 Data 卷為止；而 Data 卷上的設(shè)置和進(jìn)程信息，在此之前都無(wú)法讀取——這些都必須等用戶解鎖 Data 卷之后才能使用。

未來(lái)沒(méi)有前后端，只有 AI Agent 工程師。

這場(chǎng)十倍速的變革已至，你的下一步在哪？

4 月 17-18 日，由 CSDN 與奇點(diǎn)智能研究院聯(lián)合主辦「2026 奇點(diǎn)智能技術(shù)大會(huì)」將在上海隆重召開(kāi)，大會(huì)聚焦 Agent 系統(tǒng)、世界模型、AI 原生研發(fā)等 12 大前沿專題，為你繪制通往未來(lái)的認(rèn)知地圖。

成為時(shí)代的見(jiàn)證者，更要成為時(shí)代的先行者。

奇點(diǎn)智能技術(shù)大會(huì)上海站，我們不見(jiàn)不散！