系统极客一直在努力
专注操作系统及软件使用技能

故障排查利器:深入解析 Windows 事件日志

Windows 11

Windows 事件日志是记录系统事件和错误信息的宝库。可以帮助你识别和解决各种问题,例如应用程序崩溃、系统错误和安全审核等。

这些日志文件位于C:\windows\system32\config\路径下,但不支持使用文本编辑器打开。为了方便查看,Windows 提供了两个实用工具:

  • 事件查看器:查看和管理 Windows 事件日志的默认工具。
  • 可靠性监视器:以更直观的方式展示事件日志和系统性能数据的工具。

这两个工具都能帮助你分析 Windows 上的各种错误和警告,如果你遇到应用程序频繁崩溃或蓝屏死机(BSOD)问题,它们可以辅助你查找问题根源。

接下来,我们将介绍如何使用「事件查看器」和「可靠性监视器」来识别和理解各种问题。

什么是 Windows 事件日志

Windows 事件日志是记录系统事件的文件,涵盖了应用程序错误、系统错误和安全事件等。通过这些日志,我们可以追溯问题发生的原因,了解计算机的健康状况,以及排除故障。

比如系统崩溃时,Windows 就会创建一个日志来记录崩溃原因。

有时候,错误信息很直观,可以一目了然地帮助我们解决问题(完结撒花🎉)。但偶尔,却只有一个错误代码,例如0xC000021A(一脸懵X😳)。这就需要我们通过查询 Microsoft 知识库、上网进一步搜索,或咨询系统工程师来找到详细的解决方法。

事件日志通常包括以下这些信息:

  • 日志名称:事件所属的类型。
  • 来源:产生事件的应用或组件。
  • 事件 ID:用于识别具体事件的编号。
  • 级别:事件的严重程度,比如「信息」、「警告」和「错误」等。
  • 用户:事件发生时的用户账户。
  • 操作代码:也叫 OpCode,记录触发事件时所执行的操作。
  • 记录时间:事件发生的具体时间。
  • 任务类别:提供事件更多细节的分类。
  • 关键字:用于分类事件的关键词,常见的有「经典」。
  • 计算机:记录事件的计算机名称。
Windows 事件查看器
事件查看器中的常用信息

Windows 事件日志的类型和类别

了解 Windows 事件日志的类型和类别,是理解和分析系统错误的第一步。掌握这些知识,能够帮助你快速定位问题根源,有效解决系统故障。

事件日志类型

根据事件的重要性,事件日志可以分为以下5 种类型:

事件类型描述严重程度示例
信息记录正常运行的事件服务启动成功
警告提示潜在问题的事件中等磁盘空间不足
错误表示出现严重问题的事件系统崩溃
审核成功记录安全审核成功的事件成功登录
审核失败记录安全审核失败过的事件中等无法访问网络资源

我们应该特别关注「警告」和「错误」类型的事件日志,它们通常和系统故障紧密相关。

事件日志类别

事件日志还根据来源和内容分为以下几个类别:

事件类别描述示例
应用程序记录应用程序相关的事件应用程序启动失败、应用程序崩溃
安全记录系统安全相关的事件登录尝试、文件访问、权限变更
系统记录系统内核、驱动程序等相关的事件内核错误、硬件故障、服务启动失败
安装记录 Windows 组件、「Windows 更新」安装相关的事件组件安装成功、更新下载失败
转发的事件从其他设备转发过来的事件日志远程服务器登录失败、网络连接中断

了解这些类别有助于在出现问题时迅速定位相关日志,缩小排查范围。

方法 1:使用 Windows 事件查看器

在「事件查看器」中,可以查看系统中记录的所有事件日志。操作步骤如下:

打开 Windows 事件查看器

1使用Windows + R快捷键打开「运行」对话框,执行eventvwr.msc打开事件查看器。

2在左侧导航栏,展开「Windows 日志」。

3选择你想要查看的日志类别。

Windows 事件查看器
选择日志类别

查看事件

在中间窗格中滚动日志,找到并双击事件,即可查看详细信息。

Windows 事件查看器
双击查看事件属性

过滤事件

如果日志太多,可以使用过滤器来快速筛选有用信息:

1在右侧窗格中,点击「筛选当前日志」。

2根据需要选择过滤条件,例如:

  • 记录时间:事件发生的时间范围。
  • 事件级别:事件的严重程度,例如信息、警告或错误等。
  • 事件 ID:指定事件的代码(Event ID)。

3点击「确定」应用过滤器。

例如,要筛选出最近 30 天 Windows 系统关机、重启或注销的记录,可以使用以下过滤条件:

1在日志类别是选择「系统」,点击「筛选当前日志」

2在「记录时间」中选择「近 30 天」,在「事件 ID」中填写1074

Event ID:1074 是关于 Windows 系统关机、重启或注销的事件日志记录。

Windows 事件查看器
筛选指定事件

3点击「确定」之后,就可以在结果中看到当前 Windows 最近 30 天内的注销、关机和重启历史记录。

Windows 事件查看器
查看筛选结果

创建和管理自定义视图

如果你要持续关注某个问题,又不想重复设置筛选条件,可以创建一个自定义视图:

1在右侧窗格中,点击「创建自定义视图」。

2在「按日志」的下拉列表中,勾选要关注的日志类别。

Windows 事件查看器
创建自定义视图

3选择「事件级别」,点击「确定」。

4为自定义视图命名,再次点击 确定。

  • 如果需要调整自定义视图的筛选条件:可以右键点击该视图,选择「属性」>「编辑筛选器」进行修改。
  • 当不再需要某个自定义视图时:可以右键点击该视图,选择「删除」即可轻松移除。

方法 2:使用 Windows 可靠性监视器

可靠性监视器会以时间轴(按天或周)的方式展示事件,帮助你直观地了解可能对系统可靠性和性能造成影响的错误和问题。它虽不如「事件查看器」那样详尽,但在查看关键错误日志方面更为直接。

打开 Windows 可靠性监视器

1使用Windows + R快捷键打开「运行」对话框,执行control打开控制面板。

2依次点击「系统和安全」>「安全和维护」>「查看可靠性历史记录」。

控制面板
点击「查看可靠性历史记录」

查看事件

1在「查看方式」旁边,选择按「天」或「周」查看,然后点击日期列。

Windows 可靠性监视器
使用 Windows 可靠性监视器

2双击底部的条目,可以查看事件的详细信息。

Windows 可靠性监视器
查看事件详细信息

给普通用户的一些经验之谈

区分严重程度级别

凡事都有个轻重缓急。在面对 Windows 系统问题,我们首先要区分严重程度,做到心中有数,以便采取相应的措施:

  • 严重的问题可能不紧急:有些问题虽然严重,但并不影响当下工作或生活,可以稍后处理。例如,凌晨 2 点,全市 AMT 全部宕机了,大半夜的没几个人存取钱,这个问题不太紧急,但相当严重。
  • 紧急的问题可能不严重:有些问题看似不严重,但可能会影响到重要工作或活动,需要紧急处理。例如,你告诉工程师 Powerpoint 无法打开了,这个问题看似不严重。但你即将在国际会议上发表学术报告,这就相当紧急了。专业的工程师不会花时间去解决 Powerpoint 问题,而是马上给你提供备机,优先确保报告顺利进行。

学会查看事件日志

事件日志就像 Windows 中的「黑匣子」,记录了系统运行过程中的所有事件和错误信息。学会解读这些日志,可以帮助你快速识别和解决各种问题,而不是一遇到问题就重启、重置和重装这三板斧。在事件日志中应该主要关注:

  • 记录时间:在咨询一个问题时,工程师通常会问你之前做了什么?绝大多数用户的回答是:我什么都没做呀(那才有鬼了👻)。而事件日志记录了每个事件发生的具体时间和日期,方便你追踪问题发生的时间和前后关联。
  • 来源:为了防止「头痛医头」,事件来源指明了生成该事件的应用程序或系统组件,可以帮助你快速定位问题所在的部分。
  • 事件 ID:每个事件都有一个唯一标识符,称为 Event ID。你可以根据 Event ID 在线搜索具体的问题和解决方案。

积极利用在线资源

为了更深入地理解事件日志和排除问题,你应该积极利用以下在线资源:


希望本文能够帮助你更好地理解和使用 Windows 事件日志,让你的电脑更加稳定流畅!

赞(6) 赞赏

评论 抢沙发

微信赞赏