Windows 10 的看日日志系统其实分好几层，普通人平时根本碰不到。志记但一旦电脑蓝屏、看日软件闪退、志记更新失败，看日日志就是志记唯一能告诉你“到底发生了什么”的东西。我见过太多人一遇到问题就重装系统，看日其实翻一眼日志，志记可能只是看日某个驱动在半夜偷偷更新失败了。

最直接的志记工具是事件查看器。按 Win + R，看日输入 eventvwr.msc，志记回车。看日左边树形菜单里，志记“Windows 日志”下面藏着应用程序、看日安全、系统这几个大类。系统日志最常看，硬件、驱动、服务启动失败都记在这里。点进去，右边会列出一堆带红色“错误”或黄色“警告”的条目。别被数量吓到，大部分是噪音，比如某个服务启动稍慢也会标黄。

双击一条错误，弹窗里有个“详细信息”选项卡，里面是 XML 格式的原始数据。普通人看“常规”就够了，但如果你要把日志发给别人求助，复制“详细信息”里的内容更完整。我习惯按“级别”排序，先看“错误”，再看“警告”。有一次我电脑每天定时卡顿三秒，查系统日志发现是“磁盘”来源的警告，提示某个扇区读取重试。后来用 CrystalDiskInfo 一查，硬盘果然有坏道。

应用程序日志里，崩溃记录通常来自“应用程序错误”或“.NET Runtime”。比如某次 Chrome 标签页全崩，日志里会写清楚是哪个模块出错，是 nvwgf2umx.dll 这种显卡驱动文件，还是 mshtml.dll 这种系统组件。知道文件名，搜索就有了方向。别指望日志直接告诉你“换显卡”，它只给线索。

安全日志默认记录登录事件，但普通用户很少看。如果你发现电脑半夜有人尝试登录，这里会有 4625 事件 ID。不过家庭版 Windows 默认不开启详细审核，能看到的有限。

除了事件查看器，还有几个隐藏入口。右键“开始”按钮，选“事件查看器”是一样的。更轻量的办法是在搜索框输入“可靠性历史记录”，那个界面更直观，按日期列出崩溃和更新，适合快速回顾“上周三到底怎么了”。

命令行也能查。管理员权限打开 PowerShell，输入 Get-EventLog -LogName System -EntryType Error -Newest 20，直接列出最近20条系统错误。比图形界面快，适合远程或者写脚本。我经常用 Get-WinEvent 配合筛选哈希表，比如只看最近一小时的错误：Get-WinEvent -FilterHashtable @{ LogName='System'; Level=2; StartTime=(Get-Date).AddHours(-1)}。Level 2 就是错误，1 是严重，3 是警告。

日志文件本身存在 C:\Windows\System32\winevt\Logs，扩展名 .evtx。别直接双击打开，用事件查看器的“打开保存的日志”功能。文件可能很大，系统日志滚上几个月能到几百 MB。默认每个日志有大小上限，满了就覆盖旧记录。如果你在追一个偶发问题，最好先手动增大上限：右键日志类别 → 属性 → 把“日志最大大小”改大，比如 100MB。

有个坑要注意：时间戳。日志里的时间和你实际感知的时间可能差几秒，尤其是系统刚启动时。另外，时区设置错了，日志时间会对不上。我遇到过一台机器日志显示比实际早8小时，查半天才发现时区被设成了 UTC。

最后说个真事。朋友电脑每隔两小时断网一次，重装网卡驱动没用。我让他查系统日志，筛选来源“Dhcp-Client”，发现每两小时有一条“租约过期”错误。原来是路由器 DHCP 租期设太短，而且续约请求被防火墙拦了。改路由器设置就好了。日志不会直接说“改路由器”，但它给了你那个关键词。

所以，下次电脑抽风，别急着重启。先打开事件查看器，按时间排序，看看出事那几秒发生了什么。多数时候，答案就在那里，只是你之前没去看。

(责任编辑：时尚)