首先打开事件查看器查看系统日志，通过筛选错误事件定位问题，再以.evtX格式导出完整或特定日志用于分析，最后可用wevtutil命令行实现自动化导出。
如果您需要诊断windows 10系统中的错误、软件崩溃或安全事件，查看和导出事件日志是关键步骤。通过事件查看器可以访问详细的系统记录，帮助定位问题根源。
本文运行环境：Dell XPS 13，windows 10 专业版
一、使用事件查看器查看系统日志
事件查看器是Windows内置的工具，用于集中管理和浏览各类系统、应用程序和安全事件日志。它能显示事件发生的时间、来源、事件ID及详细描述，便于分析故障原因。
1、按下 Win + R 组合键打开“运行”对话框。
2、输入 eventvwr.msc，然后按回车键或点击“确定”启动事件查看器。
3、在左侧导航栏中展开“Windows 日志”，可以看到“应用程序”、“安全”、“系统”等主要日志类别。
4、点击“系统”，中间窗格将列出所有系统相关事件。可根据“级别”列筛选出“错误”或“警告”事件以便快速排查问题。
5、双击某个事件可查看其详细信息，包括事件描述、用户、操作代码等，这些信息对技术支持人员非常有用。
二、导出完整的事件日志文件
导出日志可用于存档或发送给技术支持团队进行深入分析。完整导出会保存选定日志的所有条目，适用于全面审查系统状态。
1、在事件查看器左侧选择要导出的日志类别，例如“系统”。
2、右键点击所选日志（如“系统”），从上下文菜单中选择“将所有事件另存为”。
3、在弹出的文件保存窗口中，选择存储位置并输入文件名。
4、在“保存类型”下拉菜单中，选择默认的 .evtx 格式以保留全部结构化数据，然后点击“保存”。
三、筛选并导出特定事件日志
当只需关注某一类问题（如开机失败或驱动错误）时，可先筛选日志再导出，避免文件过大且信息冗余。
1、在事件查看器中右键点击“系统”日志，选择“筛选当前日志”。
2、在“事件级别”中勾选“错误”、“警告”和“关键”，以集中查看异常事件。
3、可在“事件ID”框中输入特定ID（如6008表示意外关机），或在“事件来源”中指定驱动/服务名称进行精确过滤。
4、点击“确定”后，视图仅显示符合条件的事件。再次右键该日志，选择“将已筛选的日志文件另存为”，按相同步骤保存为 .evtx 文件。
四、使用命令行工具导出日志
对于批量处理或多台设备操作，使用 wevtutil 命令行工具可实现自动化导出，适合高级用户和IT管理员。
1、以管理员身份打开“命令提示符”或“PowerShell”。
2、输入以下命令导出整个系统日志：wevtutil epl System C:LogsSystemLog.evtx，确保目标路径已存在。
3、若要导出特定事件，例如所有来自“disk”的错误，可使用查询命令：wevtutil qe System /q:”*[System[(Level=2) and (Provider[@Name=’disk’])]]” /f:evtx > C:LogsDiskErrors.evtx。