Windows系统日志排查有五种方法：一、图形界面用eventvwr.msc查看系统日志并筛选错误；二、命令行用wevtutil批量查询导出；三、PowerShell按条件精准筛选导出CSV；四、识别关键事件ID（如41、1001、7031、153）定位故障；五、导出.evtx文件共享给技术支持。
如果您遇到系统异常、程序崩溃或硬件失灵等问题，Windows 系统日志中通常已记录关键线索。事件查看器是系统内置的日志管理工具，可直接访问操作系统、驱动、服务及应用程序产生的原始事件记录。以下是多种可靠方式查看与排查错误日志的具体操作：
一、使用图形界面打开事件查看器并定位系统日志
该方法适用于所有 Windows 版本（包括家庭版），无需命令行基础，通过可视化界面快速浏览和筛选核心日志。
1、按下 Win + R 组合键，调出“运行”对话框。
2、在输入框中键入 eventvwr.msc，按回车键启动事件查看器。
3、在左侧窗格中依次展开 Windows 日志 → 系统，主窗口将显示系统级事件列表，按时间倒序排列。
4、观察“级别”列图标：红色为错误，黄色为警告，优先双击红色条目查看详细信息。
5、右键点击“系统”日志，选择筛选当前日志，可按事件ID（如41、7031）、来源（如disk、nvlddmkm）或时间范围缩小结果集。
二、通过命令提示符调用wevtutil批量查询与导出日志
该方法适用于无图形界面环境（如 Server Core）、远程维护或需自动化处理的场景，支持精确控制日志枚举、格式化输出与文件导出。
1、以管理员身份运行命令提示符（右键开始菜单→命令提示符（管理员））。
2、执行 wevtutil.exe el，列出系统全部可用日志名称（如System、Security、Application）。
3、运行 wevtutil.exe qe System /f:text /c:30，以纯文本格式显示系统日志最新30条记录。
4、导出完整系统日志为标准.evtx文件：wevtutil.exe epl System C:\SysLog_Backup.evtx，该文件可在任意Windows机器上用事件查看器打开分析。
三、使用PowerShell按条件精准筛选错误事件
PowerShell 提供结构化查询能力，支持多维度组合过滤（时间、事件ID、来源、级别），并可直接导出为CSV供进一步分析。
1、以管理员身份启动PowerShell（右键开始菜单→Windows PowerShell（管理员））。
2、运行 Get-WinEvent -LogName System -MaxEvents 50 | Where-Object {$_.LevelDisplayName -eq "Error"}，获取最近50条系统日志中的全部错误事件。
3、查询特定时间段内显卡驱动异常：Get-WinEvent -FilterHashtable @{LogName='System'; StartTime='2026-01-07'; EndTime='2026-01-08'; ProviderName='nvlddmkm'}。
4、将结果导出为CSV：| Export-Csv C:\GPU_Errors.csv -NoTypeInformation。
四、识别关键事件ID定位典型故障根源
不同事件ID对应特定系统行为，掌握高频ID可大幅缩短排查时间，无需逐条阅读描述文本。
1、事件ID 41（Kernel-Power）：表明系统未正常关机，常见于蓝屏、死机、电源中断或强制断电。
2、事件ID 1001（Windows Error Reporting）：记录蓝屏崩溃详情，需结合C:\Windows\Minidump目录下的.dmp文件交叉分析。
3、事件ID 7031 或 7034（Service Control Manager）：关键服务意外终止，可能导致开机缓慢、功能缺失或后台进程失效。
4、事件ID 153 或 Event 13（disk/storport）：硬盘存在坏道、SATA线松动或固态盘寿命告警，应立即备份数据并检测健康状态。
五、导出与共享日志用于技术支持协作
当本地无法判断问题原因时，将结构化日志文件提交给技术人员可避免信息遗漏，.evtx格式保留全部原始字段且不可篡改。
1、在事件查看器左侧选中目标日志（如“Windows 日志 → 系统”）。
2、右键点击该日志项，选择将所有事件另存为...。
3、保存类型选择事件文件 (*.evtx)，命名后指定路径（如桌面或U盘）。
4、将生成的.evtx文件发送给支持人员，对方可在其Windows设备上双击直接加载全部上下文信息。
