禁用Windows事件日志、错误报告、DiagTrack及日志归档可彻底抑制磁盘高频读写：停止EventLog服务并设为禁用；组策略或注册表关闭WER与遥测；禁用日志归档并手动清理winevt\Logs、WER\ReportArchive等残留目录及符号链接。
Windows 11空闲时磁盘频繁读写，资源监视器中持续显示winevt\Logs或WER\ReportArchive目录I/O活动，说明系统日志记录正在后台高强度写入SSD，加速闪存擦写损耗，长期运行可能引发100%磁盘占用与响应迟滞。
停止并禁用Windows事件日志服务
该服务是所有系统日志（应用程序、安全、系统等）的底层写入引擎，禁用后将彻底切断日志生成链路，适用于对故障排查无依赖的静音/低功耗场景。
按下 Win + R，输入 services.msc 并回车，打开服务管理器。
在列表中找到 【Windows Event Log】，右键→属性。
点击“停止”按钮终止当前进程；将“启动类型”设为“禁用”；切换至“恢复”选项卡，把“第一次失败”“第二次失败”“后续失败”全部设为“无操作”；最后点“应用”→“确定”。
这一步不可逆——禁用后事件查看器将完全空白，且无法通过图形界面恢复，必须手动启用服务并重启才能还原。
组策略禁用Windows错误报告日志
此方法专治WER目录下的高频小文件写入，包括崩溃转储、错误摘要、诊断快照等，能直接抑制%LOCALAPPDATA%\Microsoft\Windows\WER\ReportArchive路径的持续刷盘行为。
方法一：本地组策略编辑
按 Win + R → 输入 gpedit.msc → 回车。
依次展开：计算机配置 → 管理模板 → Windows 组件 → Windows 错误报告 → 双击“禁用 Windows 错误报告”，设为“已启用”→确定。
继续展开同一路径下的“Windows 错误报告设置” → 双击“禁用日志记录”，同样设为“已启用”。
方法二：若为家庭版无gpedit，跳过本节，直接执行注册表方案。
注册表禁用DiagTrack与遥测日志写入
这是家庭版用户的唯一可行路径，直接关闭诊断跟踪服务（DiagTrack）及其日志采集模块，阻断C:\ProgramData\Microsoft\Diagnosis\和C:\Windows\System32\WDI\LogFiles\的自动创建与写入。
第一步：以管理员身份运行注册表编辑器
按 Win + R → 输入 regedit → 回车 → 点击“是”通过UAC提示。
第二步：定位并修改服务启动项
导航至 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DiagTrack → 在右侧双击 【Start】 → 将数值数据改为 4（禁用）→ 点击“确定”。
第三步：关闭遥测日志采集开关
导航至 HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\DataCollection → 若该路径不存在，请右键“Windows”→新建→项，命名为 DataCollection；在新建项内右键→新建→DWORD (32位) 值，命名为 AllowTelemetry → 双击将其值设为 0。
第四步：强制终止残留进程
按 Ctrl + Shift + Esc 打开任务管理器 → 切换到“服务”选项卡 → 找到 DiagTrack 和 dmwappushservice → 右键→“停止服务”。
禁用诊断日志归档功能
系统默认会将旧日志自动压缩归档为.evtx副本，存放于C:\Windows\System32\winevt\Logs\Archive-*.evtx及C:\ProgramData\Microsoft\Diagnosis\ETLLogs\AutoLogger\下，这些文件虽不活跃但会周期性被扫描与索引，产生隐性I/O。
1、打开“组策略编辑器”（gpedit.msc）→ 计算机配置 → 管理模板 → Windows组件 → 事件日志服务 → Windows日志 → 安全 → 双击“启用日志归档” → 设为“已禁用”。
2、同路径下，对“应用程序”“系统”日志项，重复执行相同操作。
3、若无组策略，手动删除归档目录：
Win + R → 输入 %SystemRoot%\System32\winevt\Logs\ → 显示隐藏文件 → 删除所有含 Archive- 或 Backup- 前缀的 .evtx 文件；
再输入 %ProgramData%\Microsoft\Diagnosis\ETLLogs\AutoLogger\ → 清空整个 AutoLogger 文件夹。
删除残留日志目录及符号链接
前四步完成后，系统仍可能保留已失效的日志句柄或符号链接，导致磁盘占用未释放或I/O未归零。必须手动清理物理残留。
第一步：关闭所有日志相关服务
以管理员身份运行 PowerShell → 依次执行：
Stop-Service EventLog -Force
Stop-Service DiagTrack -Force
Stop-Service WerSvc -Force
第二步：删除日志主目录内容
在文件资源管理器地址栏粘贴：
C:\Windows\System32\winevt\Logs\ → 全选所有 .evtx 文件（不含文件夹）→ Shift + Delete 永久删除。
第三步：清除WER缓存区
地址栏粘贴：
%LOCALAPPDATA%\Microsoft\Windows\WER\ReportArchive → 全选 → Shift + Delete。
第四步：检查并移除符号链接（如曾配置过）
管理员PowerShell中执行：
dir C:\Windows\System32\winevt\Logs /A:L → 若返回结果含“Junction”字样，说明存在符号链接 → 执行：
rmdir C:\Windows\System32\winevt\Logs → 再重建空目录：
mkdir C:\Windows\System32\winevt\Logs。
