windows 11空闲时磁盘频繁读写是因系统日志记录所致，可通过五种方法彻底关闭：一、禁用windows事件日志服务；二、组策略禁用wer日志；三、注册表禁用diagtrack与遥测；四、禁用诊断日志归档；五、删除残留日志目录及符号链接。
如果您发现 Windows 11 在空闲状态下仍频繁触发磁盘读写操作，且资源监视器中显示 winevt\Logs 或 WER\ReportArchive 目录持续产生 I/O 活动，则很可能是系统日志记录功能持续运行所致。该行为会加剧 SSD 的擦写损耗，并可能引发 100% 磁盘占用现象。以下是彻底关闭 Windows 11 系统日志记录的多种独立生效方法：
一、停止并禁用 Windows 事件日志服务
该方法彻底终止 EventLog 核心服务进程，使系统无法写入任何 Windows 日志（包括应用程序、安全、系统日志），适用于对日志无依赖的封闭环境或低功耗静音设备。禁用后所有日志通道将不可用，亦无法通过事件查看器访问历史记录。
1、按下 Win + R，输入 services.msc 并回车，打开服务管理器。
2、在服务列表中找到 Windows Event Log，右键选择“属性”。
3、点击“停止”按钮终止当前运行的服务。
4、将“启动类型”下拉菜单更改为“禁用”。
5、切换至“恢复”选项卡，将“第一次失败”“第二次失败”“后续失败”全部设为“无操作”。
6、点击“应用”，再点击“确定”完成配置。
二、通过组策略禁用 Windows 错误报告日志记录
该方法阻止 Windows 错误报告（WER）组件生成崩溃转储、错误摘要及诊断日志文件，从源头抑制 %LOCALAPPDATA%\Microsoft\Windows\WER\ 路径下的持续写入行为，适用于专业版、企业版及教育版系统。
1、按 Win + R 打开“运行”对话框。
2、输入 gpedit.msc 并回车，启动本地组策略编辑器。
3、依次展开路径：计算机配置 → 管理模板 → Windows 组件 → Windows 错误报告。
4、在右侧窗格中双击“禁用 Windows 错误报告”策略项。
5、选择“已启用”，点击“确定”保存设置。
6、继续展开路径：计算机配置 → 管理模板 → Windows 组件 → Windows 错误报告 → Windows 错误报告设置。
7、双击“禁用日志记录”，设为“已启用”并确认。
三、通过注册表禁用 DiagTrack 与遥测日志写入
该方法直接关闭诊断跟踪服务（DiagTrack）及其底层日志采集逻辑，阻断 C:\ProgramData\Microsoft\Diagnosis\ 和 C:\Windows\System32\WDI\LogFiles\ 的自动写入，适用于家庭版等无组策略版本，需管理员权限操作。
1、按 Win + R，输入 regedit 并回车，以管理员身份运行注册表编辑器。
2、导航至路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DiagTrack。
通过 SSH 隧道从 Android 设备在互联网上对 Windows PC 实现完整远程控制的设置与使用指南，适用于远程桌面访问、安全 RDP 等。
3、在右侧双击 Start，将数值数据修改为 4（表示禁用），基数保持十进制。
4、导航至路径：HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DataCollection。
5、若该路径不存在，右键“Windows”项 → 新建 → 项，命名为 DataCollection。
6、在 DataCollection 项内右键 → 新建 → DWORD (32 位) 值，命名为 AllowTelemetry，数值数据设为 0。
7、重启计算机使注册表更改生效。
四、禁用诊断日志自动归档与存档策略
该方法防止系统在日志达到上限时触发自动归档（Archive-.evtx）及循环覆盖写入，消除因日志轮转导致的周期性磁盘写入抖动，尤其适用于已禁用日志服务但仍存在残留归档行为的场景。
1、按下 Win + R，输入 eventvwr.msc 并回车，打开事件查看器。
2、在左侧导航栏中，右键点击“Windows 日志”根节点，选择“属性”。
3、取消勾选“当达到最大日志大小时，按需覆盖事件”下方的“不覆盖事件（清除日志前）”选项。
4、将“最大日志大小”全部设为最小值 1024 KB（1 MB），以压缩日志缓冲区体积。
5、点击“清除日志”按钮，清空当前所有日志流。
6、关闭事件查看器，执行命令：wevtutil sl Application /ca:false /ms:1024；同理对 Security、System 重复执行该命令。
五、删除残留日志目录并禁用符号链接重映射
该方法清除已停用服务仍可能尝试写入的残留路径，包括 WER 归档缓存、LiveKernelReports 及旧版符号链接目标，确保无隐藏目录被系统后台进程反复访问，杜绝隐性 I/O 源。
1、以管理员身份运行 PowerShell。
2、执行命令：Remove-Item -Path "$env:SystemRoot\System32\winevt\Logs\Archive-*" -Force -ErrorAction SilentlyContinue。
3、执行命令：Remove-Item -Path "$env:LOCALAPPDATA\Microsoft\Windows\WER\ReportArchive\*" -Recurse -Force -ErrorAction SilentlyContinue。
4、执行命令：Remove-Item -Path "$env:LOCALAPPDATA\Microsoft\Windows\WER\LiveKernelReports\*" -Recurse -Force -ErrorAction SilentlyContinue。
5、检查是否存在符号链接：dir "C:\Windows\System32\winevt\Logs" /a:l，若返回结果含 Junction 或 SymbolicLink，执行 rmdir "C:\Windows\System32\winevt\Logs"。
6、手动删除空目录：rmdir "C:\Windows\System32\winevt\Logs" /s /q。
