2. 操作系统级崩溃 vs 应用级崩溃：区别、常见场景、捕获边界
崩溃发生的位置决定了排查入口和修复手段。操作系统级崩溃（Kernel Panic / Bug Check）与应用级崩溃（App Crash / Unhandled Exception）在现象、日志来源、捕获能力上完全不同。本章通过对比表格与决策流程图帮助快速判别，并给出分层捕获的策略边界。
核心认知：系统级崩溃意味着整个OS不再可信，crash dump必须由内核生成；应用级崩溃仅影响进程，可通过 signal / exception handler 捕获。错误的分类会导致无效的修复动作。
2.1 现象描述
- 操作系统级崩溃：屏幕冻结、蓝屏（Windows）、Kernel Panic（Linux/macOS）、自动重启。用户任何操作均无响应。
- 应用级崩溃：个别应用程序突然关闭、弹出“已停止运行”对话框、或进程瞬间消失但其他程序可正常使用。
2.2 典型特征对比
| 对比维度 | 操作系统级崩溃 | 应用级崩溃 |
|---|---|---|
| 影响范围 | 全部进程 / 整个系统不可用 | 仅崩溃的进程本身 |
| 根本原因 | 内核代码缺陷、硬件故障（内存/CPU/磁盘）、驱动 bug | 业务逻辑错误、空指针、内存越界、资源耗尽 |
| 日志来源 | kdump / minidump / 系统事件日志（Event Log / syslog） | 应用日志、stderr、Crash Reporting SDK |
| 捕获者 | OS 自身或专门的内核转储机制 | OS 送 signal（如 SIGSEGV）或进程内异常处理 |
| 恢复行为 | 必须重启机器（或 hardware reset） | 只重启应用即可恢复系统正常运行 |
| 常见场景 | GPU 驱动 crash → Windows 蓝屏；文件系统损坏 → Linux kernel panic | Web 服务器 NullPointerException → 进程退出；Java OutOfMemoryError → JVM abort |
2.3 排查路径
- 现场观察：崩溃后是否仍能移动鼠标？是否可按 Ctrl+Alt+F2 切换到 tty（Linux）？是否出现 BSOD/Kernel Panic 文本？
- 日志定位：查看
/var/log/messages、/var/log/kern.log、Windows 事件查看器（System 日志）；同时查看应用自身日志。 - 符号分析：系统级 dump 使用
crash/windbg/kd；应用级 dump 使用gdb/lldb/WinDbg加载应用符号。 - 边界判断：若崩溃后系统自动生成 dump 文件且路径在
/var/crash或C:\Windows\Minidump，则优先考虑系统级；若 dump 是由应用生成的 core 文件，则为应用级。
2.4 判断规则（故障树）
判断流程：
① 崩溃后其他程序能否运行？
② 能否 ssh / ping 到该机器？
③ 是否出现蓝屏 / kernel panic 文本？
④ dump 文件生成路径是系统级还是应用级？
⑤ 若均无法判断，在安全模式下复现：若复现则一定是系统级。
① 崩溃后其他程序能否运行？
② 能否 ssh / ping 到该机器？
③ 是否出现蓝屏 / kernel panic 文本？
④ dump 文件生成路径是系统级还是应用级？
⑤ 若均无法判断，在安全模式下复现：若复现则一定是系统级。
2.5 修复动作
| 崩溃类型 | 典型修复措施 |
|---|---|
| 操作系统级 – 驱动导致 | 升级或回滚驱动版本，移除有问题的硬件，加载最新 OS 补丁 |
| 操作系统级 – 硬件故障 | 运行 memtest86、SMART 检测磁盘、更换内存/CPU/主板 |
| 应用级 – 空指针/越界 | 增加指针判空、边界检查，使用 Sanitizer（ASan/UBSan）复现修复 |
| 应用级 – 资源耗尽 | 优化内存分配、增加连接池、设置资源上限（ulimit） |
2.6 复测步骤
- 对系统级：在测试环境模拟触发（如通过注入驱动 bug），确认补丁后不再导致 panic，且 crash dump 能正常生成。
- 对应用级：使用压测工具（wrk / ab）或安全测试用例，重复触发异常路径，验证应用不再崩溃且返回错误码。
- 回归测试：运行全部集成测试，确认修复未引入新 crash。
2.7 预防建议
- 系统级预防：保持内核与驱动及时更新；使用 ECC 内存降低硬件纠错成本；部署
kdump/netdump确保每次 panic 都有完整现场。 - 应用级预防：强制捕获全局异常（
signal/vbaOnError/try-catch顶层）；使用 Valgrind / DrMemory 定期检查内存；集成崩溃上报 SDK（如 Breakpad / Crashpad）。 - 分层监控：在进程外设置看门狗（watchdog），检测主进程 hang 或 crash 后自动重启并保留 coredump。
捕获边界提示：
- 应用级 handler 无法捕获
- 系统级 dump 的生成依赖于内核自身是否还能写入磁盘；若系统完全死锁，可能只能靠硬件 watchdog 重启并留下”last known good”状态。
- 应用级 handler 无法捕获
SIGKILL / SIGSTOP 以及内核直接杀进程的情况（如 OOM killer）。- 系统级 dump 的生成依赖于内核自身是否还能写入磁盘；若系统完全死锁，可能只能靠硬件 watchdog 重启并留下”last known good”状态。