Windows日志是系统健康状态和故障排查的核心数据源。无论是应用程序崩溃、安全事件还是服务异常，日志都能提供第一手线索。本文从典型场景出发，教你使用事件查看器、PowerShell和Wevtutil工具查看与分析日志。
使用事件查看器查看Windows日志
事件查看器是Windows内置的图形化日志管理工具。按Win + R，输入eventvwr.msc即可打开。左侧导航树包含以下关键类别：
- Windows日志：包括应用程序、安全、Setup、系统、Forwarded Events五个子项。
- 应用程序和服务日志：特定组件或应用的日志，如Active Directory、DNS Server等。
以系统日志为例，双击“系统”即可查看所有系统级事件。事件属性包含来源、事件ID、级别（信息、警告、错误）和描述。常见错误如事件ID 41（意外关机）、事件ID 1000（应用程序错误）。
筛选日志
当日志数量庞大时，使用筛选功能快速定位。在右侧操作窗格点击“筛选当前日志”，可按时间、事件级别、事件ID等条件过滤。例如，筛选错误级别且事件ID为41的事件：选择级别“错误”，输入ID“41”。
使用PowerShell查看系统日志
PowerShell提供更灵活的查询能力。常用cmdlet为Get-WinEvent。基本语法：
Get-WinEvent -LogName System | Where-Object { $_.LevelDisplayName -eq 'Error' }将输出系统日志中的所有错误事件。若要按时间范围筛选：
Get-WinEvent -LogName System -MaxEvents 100 | Where-Object { $_.TimeCreated -gt (Get-Date).AddDays(-1) }常见事件ID分析
掌握常见事件ID能加速排查：
- 事件ID 4624：成功登录（安全日志）。
- 事件ID 4625：登录失败。
- 事件ID 7036：服务状态变化（系统日志）。
- 事件ID 6005：系统启动。
- 事件ID 6006：系统正常关机。
通过组合筛选，可快速定位异常。例如，某段时间内多次登录失败可能表示暴力破解。
使用Wevtutil命令行工具
Wevtutil是轻量级日志管理工具，适合脚本环境。常用命令：
wevtutil qe System /c:10 /f:text上述命令显示系统日志最近的10条事件（文本格式）。更多参数：
/c:<数量>：返回事件数。/f:text | /f:xml：输出格式。/e:true：导出整个日志。
日志分析与故障排查场景
典型场景：服务器意外重启。检查系统日志中事件ID 41（意外关机）和事件ID 6008（系统意外关闭），确认是否由电源或驱动问题导致。若同时出现事件ID 1000（应用程序错误），可能是特定应用崩溃触发重启。此时需结合应用程序日志进一步分析。
注意：日志分析需结合上下文，单一事件可能误导。例如，事件ID 41在即时断电后必然出现，但不代表硬件故障。
注意事项与局限性
本文所述方法基于通用Windows系统操作。由于提供的参考资料[1][2][3]主要涉及Windows下载与安装，未包含日志管理的详细步骤，因此上述内容为实践总结，部分细节可能随系统版本变化。具体操作时，请以微软官方文档为准。例如，事件查看器在Windows Server和Windows 10/11中功能一致，但界面差异小，基本步骤相同。
对于安全日志，默认情况下只记录有限事件。需通过组策略启用高级审计策略（如登录事件、对象访问），方能获取详细审计记录。
参考资料
延伸阅读