分析系统日志定位电脑故障方法

分析系统日志定位电脑故障方法

导航

一、 访问日志文件

1. 直接打开：
   • 右键点击.evtx文件 > “打开方式” > 选择“事件查看器”。
2. 通过事件查看器：
   • 按Win + R输入eventvwr.msc回车。（或者按下win+x，再按下v进入事件查看器）
   • 点击顶部导航栏的操作> 打开保存的日志，选择你的.evtx文件；若是自己的电脑，则路径为“Windows 日志” ，选择应用程序或者系统

二、 核心分析步骤（快速定位故障）

1. 筛选关键事件级别

• 错误（Error）：红色图标，表示严重问题（如服务崩溃、驱动故障）。
• 警告（Warning）：黄色图标，表示潜在问题（如磁盘空间不足）。
• 关键（Critical）：红色感叹号，表示系统致命错误（如突然关机）。
• 操作：
  • 在右侧操作面板点击“筛选当前日志”。
  • 勾选<Error>,<Warning>,<Critical>，点击“确定”。

2. 聚焦故障时间范围

• 如果知道故障发生的大致时间：
  • 在筛选器设置中指定时间段（例如故障前 30 分钟到故障后 10 分钟）。
  • 排序：点击“日期和时间”列标题，按时间倒序排列（最新事件在最上面）。

3. 识别关键事件来源和ID

• 来源（Source）：指明产生事件的组件（如Application Hang,Disk,Service Control Manager）。
• 事件ID（Event ID）：唯一标识特定事件类型。
• 重点关注来源：
  • Application Error：应用程序崩溃。
  • Application Hang：程序无响应。
  • Disk：磁盘错误（预示硬盘故障）。
  • DriverFrameworks-UserMode：驱动问题。
  • Kernel-Power：意外关机（41号事件）。
  • Service Control Manager：服务启动/停止失败。
  • WHEA-Logger：硬件错误（CPU/内存等）。
  • BugCheck：蓝屏死机（BSOD）信息。

4. 解读事件详情

• 双击事件打开属性窗口。
• 关键信息位置：
  • 常规选项卡：描述错误详情（含错误代码）。
  • 详细信息选项卡：查看 XML 格式的原始数据（含更多技术参数）。
• 重点关注描述中的关键词：
  • Failed,Crash,Unresponsive,Timeout,Corrupt,Access denied,Not found,Bugcheck code（蓝屏代码如0x0000007B）。
  • 错误代码：如0xc0000005（内存访问冲突），0x80070002（文件未找到）。

5. 关联分析事件链

• 故障往往是连锁反应：一个错误可能导致后续多个错误。
  • 例如：磁盘错误（Event ID 7/11）> 系统服务启动失败 > 应用程序崩溃。
• 操作：
  1. 找到最严重的错误（如蓝屏、关键错误）。
  2. 查看该错误之前的警告和错误事件（可能揭示根本原因）。
  3. 查找相同来源或相关服务的事件。

三、 针对常见故障的快速定位表

四、 高级技巧与工具

1. 命令行工具 (wevtutil)：

   • 导出日志：wevtutil epl System C:\SystemBackup.evtx
   • 查询特定事件：wevtutil qe System /q:"*[System[(Level=2)]]" /f:text

2. PowerShell 分析：

   powershell

   Get-WinEvent -Path "C:\Logs\System.evtx" -MaxEvents 50 | Where-Object { $_.Level -in 1,2,3 } | Format-List TimeCreated, Id, ProviderName, Message

3. 日志分析工具：

   • Windows Event Viewer（内置）：基础分析。
   • Event Log Explorer（第三方）：更强大的筛选和图表功能。
   • LogParser（微软免费工具）：用 SQL 语法查询日志。

4. 在线资源辅助：

   • 进入微软Learn站内：https://learn.microsoft.com/zh-cn/ ，搜索 “Event ID [ID] + Source + 关键词”（如 “Event ID 1001”或者“事件 ID 1001”）。
   • 参考微软文档：
     • 附录 L：要监视的事件（适用于: Windows Server 2025, Windows Server 2022, Windows Server 2019. Windows Server 2016）：https://learn.microsoft.com/zh-cn/windows-server/identity/ad-ds/plan/appendix-l–events-to-monitor
     • Windows 事件（适用于： Windows Server 2022、Windows Server 2019、Windows Server 2016、Azure Stack HCI、版本 21H2 和 20H2）：https://learn.microsoft.com/zh-cn/windows/win32/events/windows-events
     • 故障转移群集系统日志事件（适用于：Windows Server 2022、Windows Server 2019、Windows Server 2016、Azure Stack HCI、版本 21H2 和 20H2）：https://learn.microsoft.com/zh-cn/previous-versions/troubleshoot/windows-server/failover-clustering-system-log-events

我的一些话

我觉得是没有必要特意去使用一些在线资源去搜寻事件ID，一个是日志文件本就是一个起辅助作用的东西，在定位故障方面使用vscode或者WinDbg分析dmp作用比日志文件大；

其次，高级技巧与工具，我也并没有深入去使用，你大可当拓展视野（一般就是用系统自带的事件查看器就满足基本使用了）

最后，定位故障是一件需要耐心和细心的工作，这篇文章希望能为你提供一些解决问题的思路