事件查看器是什么，哪些日志有用
事件查看器从 NT 时代起就内置于每一版 Windows，收集程序、服务、驱动和系统本身报告的事件。左侧窗格列着“Windows 日志”，其中四个承担了几乎全部诊断工作：应用程序（用户程序的错误）、系统（驱动、服务和系统内核）、安全（登录与审核事件，只有管理员账户能读）和设置（更新历史）。每条记录都有级别——严重、错误、警告或信息——再加上时间、报告来源，以及你要拿去搜索的关键：事件 ID。
有两点让这些日志好用。第一，它们是循环的：每个日志都有大小上限，写满后 Windows 会覆盖最旧的条目，所以永远不必为了腾空间去清理事件查看器。第二，信息事件远多于错误——一台繁忙的系统每天写入数千条——所以凡是“严重”和“错误”以外的东西，都可以放心忽略。
- 事件 ID 41，来源 Kernel-Power（系统）——断电或被电源键强制重启；死机的经典痕迹
- 事件 ID 1001，来源 BugCheck（系统）——发生过蓝屏；“详细信息”选项卡里是停止代码，如 0x0000007E
- 事件 ID 6008，来源 EventLog（系统）——上次关机属于意外中断
- 事件 ID 7031 和 7034，来源 Service Control Manager（系统）——某个服务崩溃了；同一 ID 每几分钟重复一次，说明某个应用坏了
- 事件 ID 4101，来源 Display（系统）——显卡驱动在渲染中被重置；用户看到的是游戏中黑屏闪一下
- 事件 ID 4625（安全）——登录失败；一长串这类记录值得查一查
如何打开事件查看器并找到你的错误
先打开工具：右键点“开始”→“事件查看器”，或者按 Win+R 输入 eventvwr.msc 回车。如果打算看安全日志，请用管理员账户打开，否则那个分支显示的会是错误而不是事件。展开“Windows 日志”，点“系统”，按日期和时间降序排序，然后定位崩溃或死机发生的那一刻：紧挨着它之前的条目才是嫌疑对象，重启之后出现的错误通常只是结果，不是原因。
想消掉噪音，就点右侧的“筛选当前日志”，勾选“严重”和“错误”，确定——日志立刻缩到真正要紧的事件。点开某条事件，“常规”选项卡显示通俗描述；需要原始字段做网页搜索时，切到“详细信息”→“友好视图”或“XML”。好用的搜索配方很简单：事件 ID 加来源名称加你的 Windows 版本——例如“1001 BugCheck Windows 11”。
自定义视图、保存日志，以及不要做的事
如果问题反复出现，就建一个自定义视图：点“创建自定义视图”，设置同样的“严重/错误”筛选加时间范围并保存——它会出现在“自定义视图”下面，随时一键可达。要把证据交给论坛或专家，右键点日志→“将所有事件另存为”，保留 .evtx 文件；它在任何一台 Windows 上都能原样打开。“清除日志”按钮按下去是安全的——日志会自己重新填满——但只在你导出了需要的内容之后再按。
期待要现实：事件查看器告诉你什么坏了，却不总是为什么，所以蓝屏排查通常还要继续分析小型转储、跑 sfc /scannow 或 chkdsk。路上有两个帮手：可靠性监视器（运行 perfmon /rel）把同样的崩溃画成红叉组成的时间线；而聒噪的 DCOM 警告 10016 和 10010 是出了名的噪音，尽管忽略。
常见问题与解答
在事件查看器里去哪找蓝屏的原因？
在“Windows 日志”→“系统”里，找崩溃时刻来源为 BugCheck 的事件 ID 1001——它列出的停止代码就是搜索的起点。
清理事件查看器日志安全吗？
安全——日志会立刻重新写入，而且 Windows 本来就会覆盖旧条目，不会弄坏任何东西。但清理是永久删除，需要的事件先导出。
怎么在事件查看器里检查登录失败？
用管理员账户打开安全日志，按事件 ID 4625（登录失败）筛选。半夜里突然冒出一串，就该看看是谁或什么东西在试图进来了。
继续阅读
联系我们: [email protected]