电脑突然蓝屏、用用方应用无故闪退、命令开机变慢，查看错思很多人第一反应是系统“翻日志看看”。在 Windows 11 里，日志图形界面的种常“事件查看器”确实好用，但当你需要远程指导别人、式排批量排查，用用方或者只想快速定位某个时间点发生了什么，命令命令行往往更快。查看错思本文围绕“Win11怎么用命令查看系统日志”这个实际问题，系统给出可直接复制的日志命令、常见失败原因和处理思路，种常并说明哪些结论需要以系统实际界面为准。式排

先明确一点：Windows 的用用方系统日志本质是“事件日志”，由事件日志服务统一管理，常见分类包括系统、应用程序、安全性等。命令行工具只是换了一种读取方式，看到的内容与事件查看器一致。因此命令查不到，通常不是“命令错了”，而是权限不够、日志被清理，或者你查的日志名称不对。

方式一：用 wevtutil 列出并查询日志

wevtutil 是 Windows 自带的命令行工具，适合列出日志清单和按条件导出。先以管理员身份打开“终端”或“命令提示符”：右键开始菜单，选择“终端(管理员)”。第一步先看有哪些日志可用：

wevtutil el

这条命令会输出一长串日志名称，例如 System、Application、Security。列表很长时，可以配合筛选，比如只找与系统相关的名称：

wevtutil el | findstr /i system

确认名称后，查询最近若干条事件。下面这条读取 System 日志中最近的 20 条，并以文本形式显示：

wevtutil qe System /c:20 /rd:true /f:text

参数含义：/c 是数量，/rd:true 表示从最新往旧读，/f:text 指定输出格式。若想按时间范围精确查，可以加查询语句，例如查最近一天内级别为错误的事件，语法基于 XPath，写起来略长，建议先在小范围试跑，确认字段名无误再扩大范围。

常见失败分支：提示“拒绝访问”，说明当前不是管理员权限，重新以管理员身份打开终端即可；提示“找不到日志”，多半是名称拼写不对，回到 wevtutil el 的结果里核对，不同系统版本或安装了特定组件后，日志名称可能不同，以本机列表为准。

方式二：用 PowerShell 的 Get-WinEvent 精准过滤

如果你需要按级别、时间、来源筛选，PowerShell 的 Get-WinEvent 更灵活，也更适合写成一键排查脚本。打开终端后直接运行：

Get-WinEvent -LogName System -MaxEvents 20

只看错误和严重级别的事件，可以用：

Get-WinEvent -FilterHashtable @{ LogName='System'; Level=1,2} -MaxEvents 20

其中 Level=1 表示严重，2 表示错误，3 是警告。想把结果导出成表格方便发给人看，可以接管道：

Get-WinEvent -LogName System -MaxEvents 50 | Select-Object TimeCreated,Id,LevelDisplayName,ProviderName,Message | Export-Csv $env:USERPROFILE\Desktop\syslog.csv -Encoding UTF8

这条命令会把最近 50 条系统日志导出到桌面 CSV 文件。导出中文内容时建议显式指定 UTF8，否则用 Excel 打开可能乱码。若提示没有权限读取 Security 日志，属于正常现象，安全日志默认仅管理员可读，且审计策略会影响记录内容。

另一个实用场景是按时间段找问题。比如怀疑凌晨自动更新导致异常，可以限定起始时间：

Get-WinEvent -FilterHashtable @{ LogName='System'; StartTime=(Get-Date).AddDays(-1)} -MaxEvents 100

时间条件写得越窄，结果越容易读。若返回为空，先确认系统时间与时区是否正确，再确认该时间段内是否真的产生过事件。

方式三：快速定位关键事件与清理后的补救

排查蓝屏、意外重启时，可以优先关注几个方向：来源为 Kernel-Power 的事件，常与断电、强制关机、电源异常相关；来源为 BugCheck 的事件，通常对应蓝屏错误码；来源为 Disk 或 Ntfs 的警告，可能与磁盘健康有关。用 PowerShell 按来源过滤：

Get-WinEvent -FilterHashtable @{ LogName='System'; ProviderName='Microsoft-Windows-Kernel-Power'} -MaxEvents 10

需要提醒的是，日志只提供线索，不等于最终结论。比如一次 Kernel-Power 事件可能只是你长按电源键关机，未必是硬件故障。要结合发生时间、操作记录和其他日志交叉判断；涉及硬件诊断时，建议以厂商检测工具和官方说明为准。

如果日志被清理或滚动覆盖，命令行也查不回已删除的记录。此时可以换个思路：检查“事件查看器”中是否启用了存档日志、查看系统还原点时间、或在“设置-系统-恢复”里核对更新历史。对于企业环境，日志往往已集中转发到服务器，本地查不到并不代表没有记录，具体以单位的日志管理策略为准。

小结一下可执行路径：先用管理员终端跑 wevtutil el 确认日志名称，再用 Get-WinEvent 按级别和时间缩小范围，最后导出 CSV 留档对比。遇到“拒绝访问”先提权，遇到“查不到”先核对名称与时间范围，遇到蓝屏类问题优先看 Kernel-Power 与 BugCheck。命令只是入口，真正解决问题还要结合复现步骤和官方文档判断。

(责任编辑：焦点)