故障排查利器：深入解析 Windows 事件日志

Windows 事件日志是记录系统事件和错误信息的宝库。可以帮助你识别和解决各种问题，例如应用程序崩溃、系统错误和安全审核等。

这些日志文件位于C:\windows\system32\config\路径下，但不支持使用文本编辑器打开。为了方便查看，Windows 提供了两个实用工具：

• 事件查看器：查看和管理 Windows 事件日志的默认工具。
• 可靠性监视器：以更直观的方式展示事件日志和系统性能数据的工具。

这两个工具都能帮助你分析 Windows 上的各种错误和警告，如果你遇到应用程序频繁崩溃或蓝屏死机（BSOD）问题，它们可以辅助你查找问题根源。

接下来，我们将介绍如何使用「事件查看器」和「可靠性监视器」来识别和理解各种问题。

什么是 Windows 事件日志

Windows 事件日志是记录系统事件的文件，涵盖了应用程序错误、系统错误和安全事件等。通过这些日志，我们可以追溯问题发生的原因，了解计算机的健康状况，以及排除故障。

有时候，错误信息很直观，可以一目了然地帮助我们解决问题（完结撒花🎉）。但偶尔，却只有一个错误代码，例如0xC000021A（一脸懵X😳）。这就需要我们通过查询 Microsoft 知识库、上网进一步搜索，或咨询系统工程师来找到详细的解决方法。

事件日志通常包括以下这些信息：

• 日志名称：事件所属的类型。
• 来源：产生事件的应用或组件。
• 事件 ID：用于识别具体事件的编号。
• 级别：事件的严重程度，比如「信息」、「警告」和「错误」等。
• 用户：事件发生时的用户账户。
• 操作代码：也叫 OpCode，记录触发事件时所执行的操作。
• 记录时间：事件发生的具体时间。
• 任务类别：提供事件更多细节的分类。
• 关键字：用于分类事件的关键词，常见的有「经典」。
• 计算机：记录事件的计算机名称。

Windows 事件日志的类型和类别

了解 Windows 事件日志的类型和类别，是理解和分析系统错误的第一步。掌握这些知识，能够帮助你快速定位问题根源，有效解决系统故障。

事件日志类型

根据事件的重要性，事件日志可以分为以下5 种类型：

事件日志类别

事件日志还根据来源和内容分为以下几个类别：

方法 1：使用 Windows 事件查看器

在「事件查看器」中，可以查看系统中记录的所有事件日志。操作步骤如下：

打开 Windows 事件查看器

1使用Windows + R快捷键打开「运行」对话框，执行eventvwr.msc打开事件查看器。

2在左侧导航栏，展开「Windows 日志」。

3选择你想要查看的日志类别。

查看事件

在中间窗格中滚动日志，找到并双击事件，即可查看详细信息。

过滤事件

如果日志太多，可以使用过滤器来快速筛选有用信息：

1在右侧窗格中，点击「筛选当前日志」。

2根据需要选择过滤条件，例如：

• 记录时间：事件发生的时间范围。
• 事件级别：事件的严重程度，例如信息、警告或错误等。
• 事件 ID：指定事件的代码（Event ID）。

3点击「确定」应用过滤器。

例如，要筛选出最近 30 天 Windows 系统关机、重启或注销的记录，可以使用以下过滤条件：

1在日志类别是选择「系统」，点击「筛选当前日志」

2在「记录时间」中选择「近 30 天」，在「事件 ID」中填写1074。

3点击「确定」之后，就可以在结果中看到当前 Windows 最近 30 天内的注销、关机和重启历史记录。

创建和管理自定义视图

如果你要持续关注某个问题，又不想重复设置筛选条件，可以创建一个自定义视图：

1在右侧窗格中，点击「创建自定义视图」。

2在「按日志」的下拉列表中，勾选要关注的日志类别。

3选择「事件级别」，点击「确定」。

4为自定义视图命名，再次点击 确定。

• 如果需要调整自定义视图的筛选条件：可以右键点击该视图，选择「属性」>「编辑筛选器」进行修改。
• 当不再需要某个自定义视图时：可以右键点击该视图，选择「删除」即可轻松移除。

方法 2：使用 Windows 可靠性监视器

可靠性监视器会以时间轴（按天或周）的方式展示事件，帮助你直观地了解可能对系统可靠性和性能造成影响的错误和问题。它虽不如「事件查看器」那样详尽，但在查看关键错误日志方面更为直接。

打开 Windows 可靠性监视器

1使用Windows + R快捷键打开「运行」对话框，执行control打开控制面板。

2依次点击「系统和安全」>「安全和维护」>「查看可靠性历史记录」。

查看事件

1在「查看方式」旁边，选择按「天」或「周」查看，然后点击日期列。

2双击底部的条目，可以查看事件的详细信息。

给普通用户的一些经验之谈

区分严重程度级别

凡事都有个轻重缓急。在面对 Windows 系统问题，我们首先要区分严重程度，做到心中有数，以便采取相应的措施：

• 严重的问题可能不紧急：有些问题虽然严重，但并不影响当下工作或生活，可以稍后处理。例如，凌晨 2 点，全市 AMT 全部宕机了，大半夜的没几个人存取钱，这个问题不太紧急，但相当严重。
• 紧急的问题可能不严重：有些问题看似不严重，但可能会影响到重要工作或活动，需要紧急处理。例如，你告诉工程师 Powerpoint 无法打开了，这个问题看似不严重。但你即将在国际会议上发表学术报告，这就相当紧急了。专业的工程师不会花时间去解决 Powerpoint 问题，而是马上给你提供备机，优先确保报告顺利进行。

学会查看事件日志

事件日志就像 Windows 中的「黑匣子」，记录了系统运行过程中的所有事件和错误信息。学会解读这些日志，可以帮助你快速识别和解决各种问题，而不是一遇到问题就重启、重置和重装这三板斧。在事件日志中应该主要关注：

• 记录时间：在咨询一个问题时，工程师通常会问你之前做了什么？绝大多数用户的回答是：我什么都没做呀（那才有鬼了👻）。而事件日志记录了每个事件发生的具体时间和日期，方便你追踪问题发生的时间和前后关联。
• 来源：为了防止「头痛医头」，事件来源指明了生成该事件的应用程序或系统组件，可以帮助你快速定位问题所在的部分。
• 事件 ID：每个事件都有一个唯一标识符，称为 Event ID。你可以根据 Event ID 在线搜索具体的问题和解决方案。

积极利用在线资源

为了更深入地理解事件日志和排除问题，你应该积极利用以下在线资源：

• Microsoft 知识库：提供了有关事件日志的详细信息和解决方案。
• Microsoft 支持社区：可以就特定事件 ID 和错误代码寻求帮助。

希望本文能够帮助你更好地理解和使用 Windows 事件日志，让你的电脑更加稳定流畅！