Windows 10事件查看器可定位系统异常、蓝屏或服务崩溃问题，支持图形化浏览、筛选错误事件（如ID 41）、导出全部或筛选后.evtx日志，以及用wevtutil命令行批量导出。
如果您需要定位系统异常、排查蓝屏或服务崩溃问题，Windows 10 的事件日志可提供关键线索。事件查看器集中记录应用程序、系统、安全等维度的详细操作与错误信息，是诊断问题的第一手资料。以下是查看和导出事件日志的具体操作步骤：
一、通过事件查看器打开并浏览日志
事件查看器是Windows内置的日志管理控制台，支持图形化导航与实时刷新，适用于所有标准用户账户（部分日志如“安全”需管理员权限才能完整读取）。它将日志按来源与用途分类组织，便于快速定位目标事件。
1、按下 Win + R 组合键，调出“运行”对话框。
2、在输入框中键入 eventvwr.msc，然后按回车键。
3、在左侧导航栏中，展开 Windows 日志 节点。
4、依次点击 应用程序、系统 或 安全，右侧窗格即显示对应类别的全部事件条目。
5、双击某一条事件，可查看其完整属性，包括事件ID、级别、来源、日期/时间、用户、任务类别及详细描述文本。
二、筛选特定错误事件（如系统崩溃、驱动失败）
系统日志常包含数千条记录，直接浏览效率极低。启用筛选功能可聚焦于错误、警告或指定事件ID的条目，大幅缩短排查路径。例如，蓝屏后可优先检查Kernel-Power来源的ID 41或43事件。
1、在事件查看器中，右键点击 Windows 日志 → 系统。
2、选择 筛选当前日志。
3、在弹出窗口中，勾选 错误 和 警告 级别。
4、在“事件ID”栏中输入具体数值，例如 41（意外关机）、1001（Windows错误报告）、6008（系统意外关闭）。
5、点击 确定，列表将仅保留匹配条件的事件。
三、导出全部日志为.evtx文件（推荐长期存档）
.evtx 是Windows原生事件日志格式，保留所有结构化字段（如时间戳、事件数据、XML扩展内容），可在其他Windows设备上用事件查看器原样打开，是技术支援与合规审计的标准交付格式。
1、在事件查看器左侧树形目录中，右键点击目标日志项，例如 系统。
2、从上下文菜单中选择 将所有事件另存为。
3、在保存对话框中，指定存储位置，输入文件名（如 System_Backup_20251207.evtx）。
4、在“保存类型”下拉菜单中，确认选择 事件文件(.evtx)。
5、点击 保存，完成导出。
四、导出已筛选的日志结果（精简有效数据）
当已完成筛选并仅需保存特定问题事件时，此方法避免冗余信息干扰，生成体积更小、针对性更强的日志包，适合提交给IT支持团队进行快速复现分析。
1、确保已完成第二步中的筛选操作，并在中间窗格中可见所需事件列表。
2、右键点击左侧导航栏中已被筛选的同一日志项（如仍显示为“系统”但内容已过滤）。
3、选择 将已筛选的日志文件另存为。
4、设置保存路径与文件名，务必保持扩展名为 .evtx 以保障完整性。
5、点击 保存，导出仅含筛选结果的日志文件。
五、使用命令行工具 wevtutil 批量导出（适用于自动化或远程场景）
wevtutil 是Windows内置命令行实用程序，无需GUI即可执行日志导出，支持脚本集成与多机批量操作，特别适合运维人员在无桌面环境（如Server Core）中执行日志收集任务。
1、以管理员身份运行 Windows PowerShell 或 命令提示符。
2、输入以下命令导出系统日志：wevtutil epl System C:\Logs\System.evtx。
3、导出应用程序日志：wevtutil epl Application C:\Logs\App.evtx。
4、导出筛选后的事件（例如所有错误级别事件）：wevtutil qe System /q:"*[System[(Level=2)]]" /f:evtx > C:\Logs\ErrorsOnly.evtx。
5、确认C:\Logs目录存在且当前用户具有写入权限，执行完成后检查文件是否生成。
