事件级别是什么
Windows 事件日志的每条记录都带一个 Level 字段，取值 1 到 5，表达这件事有多要紧。级别由写日志的提供程序自己声明：服务崩溃写 1，功能失败写 2，潜在问题写 3，正常操作写 4，跟踪细节写 5。平台只按值存储和筛选，不保证同一个数字在所有提供程序里含义一致。
基本信息
| 适用平台 | Windows 7 / Server 2008 R2 及以上 |
|---|---|
| 字段位置 | 事件 XML 的 System/Level 元素，Get-WinEvent 的 Level 属性 |
| 筛选写法 | Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2} |
| 取值 0 | LogAlways，提供程序未声明级别 |
典型使用场景
- 日常巡检：只拉 1-2 级，先把真正报错的问题捞出来
- 容量与稳定性排查：加 3 级看警告的累积趋势，而不是盯着单条孤例
- 问题复现：临时开启提供程序的 5 级详细日志，复现完立即关闭
- 登录审计核对：Security 通道的信息级事件是主体，不能当噪音整体关掉
- 日志量治理：按级别统计写入速率，用来决定通道容量与保留周期
常用示例
常用示例
# 只看严重与错误：最高效的巡检入口
Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2} -MaxEvents 50
# 近 24 小时警告及以上，按来源+事件号聚合找主犯
Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2,3; StartTime=(Get-Date).AddDays(-1)} |
Group-Object ProviderName, Id | Sort-Object Count -Descending | Select-Object -First 15
# 用 wevtutil 打开分析类详细日志（用完记得 /e:false）
wevtutil gl Microsoft-Windows-TaskScheduler/Operational五级对照与巡检用法
| 值 | 级别 | 巡检建议 |
|---|---|---|
| 1 | Critical 严重 | 立即看：服务崩溃、系统不可用，通常已伴随告警 |
| 2 | Error 错误 | 当班看：功能失败需人工介入，重点看重复出现的同一 Id |
| 3 | Warning 警告 | 按趋势看：单条可忽略，聚集出现说明资源或配置在恶化 |
| 4 | Information 信息 | 按需看：正常事件，登录审计 4624 等关键线索在这里 |
| 5 | Verbose 详细 | 临时看：默认多不记录，打开的通道用完要关，否则刷爆空间 |
级别只是提供程序自报的重要性，不等于业务影响。同一个警告级事件在存储驱动上可能比某应用的错误级更危险，定优先级要结合来源与出现频次。
事件查看器里的“级别”筛选与 Get-WinEvent 的 Level 完全对应；老环境可以用 wevtutil qe System "/q:*[System[(Level=1 or Level=2)]]" 做等价查询。