如果你的三星手机存储空间莫名其妙减少，系统设置里“其他”或“系统数据”占用异常高，那很可能不是照片或应用太多，而是系统底层的“安全日志”在悄悄积累。

这些由内核、SELinux安全模块等生成的日志文件，通常藏在像 /data/misc/audit/、/data/misc/logd/ 这样的受保护路径里。普通文件管理器根本看不到，但它们却会日复一日地吃掉你的存储空间。

别担心，这个问题有解。下面这五种清理方法，从最简单到最彻底，覆盖了不同权限和场景，你可以根据自己的情况对号入座。

一、通过设备维护触发系统级日志清理

对于大多数用户，这是最安全、最推荐的首选方法。三星自带的“设备维护”功能很聪明，它能识别出常规清理扫不掉的日志。

这包括：

• SELinux审计日志
• logd缓冲区日志
• 系统崩溃记录

此方法无需开启开发者选项，尤其适合ONE UI 4.1及以上版本的用户。

操作步骤

1. 打开手机【设置】。

2. 找到并进入【电池和设备维护】（老系统可能直接叫【设备维护】）。

3. 点击【存储】，让系统深度扫描十几秒。

4. 在扫描结果里，重点查看【系统数据】项，点击旁边的【清理】按钮。

5. 在详细清单中，勾选以下项目，然后点击【删除】：

• 安全审计日志
• 内核崩溃日志
• 调试追踪缓存

二、使用ADB命令定向清除pstore与audit日志目录

如果“设备维护”清理后空间回收不明显，或问题比较顽固，可以尝试更深入的ADB命令方式。

这主要针对两个“大户”：

• pstore分区：保存最后一次系统崩溃时的内核日志。
• audit目录：存放所有SELinux安全事件记录。

它们通常被挂载为“只读”，需要借助ADB工具操作。

操作前提与步骤

首先，在手机上开启USB调试：

1. 进入【设置】>【关于手机】，连续点击【版本号】7次，直到提示“开发者模式已启用”。

2. 回到【设置】，找到【开发者选项】，打开【USB调试】和【USB安装】开关。

然后，在电脑命令行执行删除命令：

adb shell su -c "rm -rf /sys/fs/pstore/*"

adb shell su -c "rm -rf /data/misc/audit/audit.log*"

adb shell su -c "rm -rf /data/misc/logd/*"

如果手机没有Root权限，可改用非Root命令清理当前运行时日志缓冲区：

adb logcat -b events -c && adb logcat -b security -c

三、借助Samsung Members应用执行安全日志诊断与清除

不想用电脑？三星官方提供了“手机端一站式”解决方案——Samsung Members应用。

其“诊断”功能中的“系统日志健康度检测”，能自动判断安全日志是否爆满。

操作步骤

1. 从Galaxy Store安装最新版【Samsung Members】。

2. 打开应用，切换到底部【诊断】标签页。

3. 选择【手机诊断】，找到并运行【系统日志健康度检测】（扫描约需8-12秒）。

4. 如果检测结果提示“SELinux日志积压严重”或“pstore分区已满”，点击旁边的【立即清除】按钮即可。

四、手动挂载并清空/sys/fs/pstore分区（需TWRP或ADB root）

这是“专家级”操作，主要针对极其顽固的/sys/fs/pstore分区。它是系统内核发生严重错误时保存现场日志的，默认状态为只读。

此方法适用于以下情况：

• 手机已解锁Bootloader并刷入TWRP Recovery。
• 能通过ADB获得临时的root shell权限。

以TWRP操作为例

1. 关机后，同时按住音量上键和电源键，进入TWRP Recovery界面。

2. 点击【高级】选项，选择【终端】。

3. 在终端输入命令，重新挂载分区为可写模式：

mount -o rw,remount /sys/fs/pstore

4. 执行删除命令：

rm -f /sys/fs/pstore/*

5. 操作完成后重启手机。再去存储设置查看，【其他】或【系统数据】占用应有显著下降。

五、禁用SELinux auditd服务防止日志再生

如果已清理日志，又担心它们卷土重来，或者手机主要用于日常个人使用，对安全审计无强制要求，可以考虑“釜底抽薪”的一招：直接禁用生成日志的auditd服务。

对于普通用户，关闭此审计守护进程一般不会影响系统正常功能和安全性，只是不再记录详细的安全事件。

操作步骤（需要ADB）

1. 确保手机已开启USB调试并连接电脑。

2. 在电脑命令行执行命令，临时停用服务：

adb shell su -c "setenforce 0 && stop auditd"

3. 若想让设置开机永久生效（需要手机已Root），需在系统初始化目录创建脚本：

echo "#!/system/bin/shnstop auditd" > /system/etc/init.d/99disable_audit

4. 为脚本加上执行权限：

adb shell su -c "chmod 755 /system/etc/init.d/99disable_audit"

这样，auditd服务就不会再随开机启动，从根本上杜绝了相关安全日志的再生。