事件查看器与日志结构
事件查看器是图形化的日志入口。日志分为 Windows 日志（应用程序、安全、系统、安装）与应用程序和服务日志（按组件划分，其中还有操作与分析通道）。排障的第一步不是筛选，而是先找到正确的日志通道。
基本信息
| 适用平台 | Windows 客户端与服务器 |
|---|---|
| 打开方式 | eventvwr.msc，命令行侧用日志查询命令对照通道列表 |
| 日志结构 | Windows 日志加应用程序和服务日志 |
| 隐藏通道 | 分析日志与调试日志默认隐藏，需在查看菜单里勾选显示 |
| 组件通道示例 | 组策略、任务计划、更新等都有独立通道 |
| 命令侧替代 | 事件查询命令支持按通道与条件过滤 |
典型使用场景
- 排查服务启动失败：先定位组件通道，再看时间窗内的错误
- 核对某个组件的运行记录，例如更新与组策略处理
- 安全审计：查看登录、特权使用与审计策略变化
- 把筛选结果导出为文件，供他人复核或长期留存
- 确认自定义应用程序写入的日志通道名称
常用示例
常用示例
REM 打开图形界面
eventvwr.msc
REM 列出记录数不为零的通道，确认通道名称
powershell -c "Get-WinEvent -ListLog * | Where-Object RecordCount -gt 0 | Select-Object -First 20 LogName, RecordCount, IsEnabled"
REM 查看某个组件通道的最近记录
powershell -c "Get-WinEvent -LogName 'Microsoft-Windows-GroupPolicy/Operational' -MaxEvents 10 | Select-Object TimeCreated, Id, LevelDisplayName"
REM 导出筛选结果作为证据
powershell -c "Get-WinEvent -FilterHashtable @{LogName='System';Id=6008} -MaxEvents 20 | Export-Csv D:\evt.csv -NoTypeInformation -Encoding UTF8"
REM 显示分析日志：查看菜单里勾选显示分析日志和调试日志日志分类读法
| 日志类别 | 内容 | 典型用途 |
|---|---|---|
| 应用程序 | 应用与组件写入的事件 | 排查应用崩溃与报错 |
| 安全 | 登录、权限与审计事件 | 安全排查与合规审计 |
| 系统 | 驱动、服务与系统组件事件 | 排查启动与服务失败 |
| 应用程序和服务日志 | 按组件划分的通道 | 组件级问题的精确定位 |
| 分析与调试日志 | 默认隐藏的详细通道 | 深度排障时临时启用 |
大多数组件级日志都在应用程序和服务日志下面，只翻三大经典日志经常找不到线索。顺序是先确定组件通道，再看时间窗内的错误与警告，最后展开详细信息。
分析与调试通道默认不显示，需要在查看菜单里勾选后才能看到。它们的记录量可能很大，启用前先确认磁盘空间充足。