要定位Windows系统异常，需用事件查看器查系统日志：一、Win+R输入eventvwr.msc打开；二、展开Windows日志→系统；三、筛选错误/警告及关键ID（41、6008等）；四、右键导出为.evtx格式；五、PowerShell执行Get-WinEvent命令提取最近错误。
如果您需要定位系统异常、服务崩溃或硬件故障的根源，则必须准确获取并解读 Windows 系统事件日志。以下是使用事件查看器这一原生故障诊断工具查看系统事件日志的具体操作路径与关键要点：
一、通过运行命令快速打开事件查看器
该方法绕过图形界面层级，直接调用系统管理组件，适用于所有 Windows 版本（Win10/Win11/Server），且响应最快。
1、按下 Win + R 组合键，调出“运行”对话框。
2、在输入框中键入 eventvwr.msc，然后按回车键。
3、等待事件查看器主窗口加载完成，左侧导航树将完整展开。
二、定位并展开系统日志节点
系统日志（System Log）由 Windows 内核、驱动程序、系统服务等底层组件写入，记录启动、关机、电源状态变更、驱动加载失败等关键行为，是诊断死机、蓝屏、USB失灵等问题的第一手依据。
1、在事件查看器左侧窗格中，依次点击展开 Windows 日志 → 系统。
2、右侧窗格将立即显示最近生成的系统事件列表，按“日期和时间”倒序排列。
3、默认视图包含“级别”“来源”“事件ID”“任务类别”“详细信息”等列，其中“级别”为“错误”或“警告”的条目需优先关注。
三、筛选高价值系统事件
未经筛选的系统日志可能包含数千条记录，直接浏览效率极低。通过事件ID、时间范围或严重级别精准过滤，可大幅缩短排查路径。
1、在右侧操作面板中，右键单击“系统”日志，选择 筛选当前日志。
2、在弹出窗口的“仅显示以下级别的事件”中，勾选 错误 和 警告。
3、在“包括事件ID”栏中，输入常见关键ID：41、6008、7031、153、13（分别对应非正常关机、意外关机、服务终止、磁盘警告、硬件错误）。
4、点击“确定”，列表将仅保留匹配条件的事件条目。
四、导出系统日志用于离线分析或协作排查
导出为标准 .evtx 格式可保留全部原始结构与元数据，支持跨机器复现、第三方工具解析及管理员共享，避免截图或复制文本导致的信息丢失。
1、右键单击左侧导航树中的“系统”日志项。
2、在上下文菜单中选择 将所有事件另存为...。
3、在保存对话框中，设置文件名（如 System_20260109.evtx），选择目标文件夹，确认保存类型为 事件查看器日志（.evtx）。
4、点击“保存”，导出完成。
五、使用 PowerShell 快速提取最近系统错误
对于批量运维或脚本化诊断场景，PowerShell 提供轻量级命令行方式，无需图形界面即可获取结构化日志片段，适合远程服务器或无GUI环境。
1、以管理员身份运行 PowerShell。
2、执行以下命令，获取最近 30 条系统错误事件：
Get-WinEvent -LogName System -MaxEvents 30 | Where-Object {$_.LevelDisplayName -eq "Error"} | Format-List TimeCreated, Id, ProviderName, Message
3、结果将按时间倒序列出每条错误的生成时间、事件ID、来源组件及简要描述。
