事件查看器入门：找系统与应用报错

很多故障的答案，其实早就在系统日志里躺着，只是没人去看。Windows 自带的事件查看器（运行 eventvwr.msc 打开）是这批日志的统一入口，会用它，一半的"灵异故障"都能自己查明白。 先看哪几个日志 重点盯三处。"Windows 日志"下的"系统"记录服务、驱动、异常关机级别的错误；"应用程序"记录 IIS（微软的 Web 服务组件）、SQL Server 等应用层报错；"应用程序和服务日志"目录树里有各组件的细化日志，比如远程桌面相关的 TerminalServices 记录会记下登录来源和结果，查爆破时很有用。 怎么筛错误 打开日志后点右侧"筛选当前日志"，"记录时间"选最近 24 小时，事件级别勾"严重"和"错误"，上千条立刻缩到几十条。再按"来源"列排序，同一来源连续刷屏的，基本就是问题源头。查异常重启就看"系统"里来源为 EventLog 的事件 ID 6008，它前面那段时间的报错就是死因线索。 批量导出与留存 图形界面看，命令行导。wevtutil 可以按条件直接输出： wevtutil qe System /q:"*[System[(Level=2)]]" /c:20 /f:text /rd:true 这条命令列出系统日志里最近的 20 条错误，适合写进巡检脚本。日志文件本体在 C:\Windows\System32\winevt\Logs\ 下（.evtx 格式），重装或迁移前把它们拷走，历史现场就还在。导出的文本按日期命名归档，故障复盘时有原始记录可比。常用的过滤条件保存成"自定义视图"，下次一键调出。 事件 ID 是最好的搜索词 每条事件都有固定 ID，而且含义多年稳定：41 表示未正常关机就重启，7001 表示服务登录失败，4625 是登录失败审计，4663 是文件访问审计。拿到 ID 加上来源名称直接搜索，比泛泛搜"服务器报错"有效得多。磁盘相关的也常见：事件 ID 7 表示磁盘坏块，153 表示 IO 请求超时，见到这两个就该检查存储健康状况了。建议把每次故障的关键 ID 记进运维文档，第二次遇到就能直接下手。 一点提醒：日志不是越多越好，"系统"和"应用程序"日志在属性里建议设为"按需要覆盖事件（旧事件优先）"，避免写满之后新日志进不来。