windows系统日志可通过事件查看器图形界面、wevtutil命令行工具、powershell脚本三种方式查看与分析，支持筛选、导出为.evtx/.txt/.csv格式，并可利用事件id 6005/6006/6009快速定位开关机及异常关机记录。
一、使用事件查看器图形界面查看系统日志
Windows 内置的事件查看器提供了直观、完整的系统日志浏览能力，适用于大多数日常诊断场景。它能直接呈现系统、安全、应用程序等核心日志流，并支持交互式筛选与详情查看。
1、按下 Win + R 组合键，打开“运行”对话框。
2、在输入框中键入 eventvwr.msc，然后按回车键启动事件查看器。
3、在左侧窗格中依次展开 Windows 日志 → 系统，中间窗格将列出所有系统级事件。
4、双击任意一条事件，可查看完整时间戳、事件ID、来源、级别（如错误、警告）、任务类别及详细描述文本。
5、右键点击“系统”日志，选择 筛选当前日志，支持按事件ID（如41、7000、1001）、日期范围、事件级别或来源（如disk、ntoskrnl）快速定位问题线索。
二、通过命令提示符调用wevtutil工具导出与查询
wevtutil 是 Windows 原生命令行日志工具，无需图形界面即可执行日志枚举、查询、导出等操作，特别适用于 Server Core 环境或批量脚本处理。
1、以管理员身份运行命令提示符（CMD）。
2、输入命令 wevtutil.exe el，列出当前系统所有可用日志名称（如System、Security、Application）。
3、执行 wevtutil.exe qe System /f:text /c:50，以文本格式显示系统日志最新50条记录。
4、导出全部系统日志为 .evtx 文件：wevtutil.exe epl System C:\System_Logs.evtx，该文件可在其他 Windows 机器上用事件查看器打开分析。
三、使用PowerShell高效筛选与分析日志
PowerShell 提供了比图形界面更灵活的日志查询语法，支持多条件组合过滤、时间范围限定及结构化导出，适合精准定位特定故障模式。
1、以管理员身份启动 PowerShell。
2、运行 Get-WinEvent -LogName System -MaxEvents 100 | Where-Object {$_.LevelDisplayName -eq "Error"}，获取最近100条系统日志中的错误事件。
3、查询特定时间段内磁盘相关错误：Get-WinEvent -FilterHashtable @{LogName='System'; StartTime='2026-03-01'; EndTime='2026-03-07'; ProviderName='disk'}。
4、导出筛选结果至 CSV：| Export-Csv C:\Disk_Errors.csv -NoTypeInformation。
四、快速定位开关机与异常关机事件
系统日志中包含若干关键事件 ID，用于标识设备启停状态。这些事件由 EventLog 服务生成，无需额外配置即可直接识别。
1、在事件查看器中导航至 Windows 日志 → 系统。
2、右键“系统”日志，选择“筛选当前日志”，在“事件ID”栏输入 6005,6006,6009 并确认。
3、事件ID 6005 表示 EventLog 服务已启动（开机完成）。
4、事件ID 6006 表示 EventLog 服务已停止（正常关机）。
5、事件ID 6009 表示非正常关机（如断电、强制重启）。
五、导出日志并保存为多种格式以便离线分析
导出日志可保留原始时间戳与结构化字段，便于跨设备复现、归档或提交给技术支持团队进行深度分析。
1、在事件查看器中右键目标日志（如“系统”），选择 将所有事件另存为…。
2、在保存对话框中，指定路径与文件名，注意“保存类型”下拉菜单支持三种格式：事件日志文件 (.evtx)、文本文件 (.txt)、逗号分隔文件 (.csv)。
3、推荐优先选择 .evtx 格式，因其完整保留事件元数据与二进制结构，兼容性最佳。
4、若需人工快速浏览，可选 .txt；若需导入 Excel 或数据库做统计，应选 .csv。
