windows事件日志服务被禁用会导致系统日志功能失效，需在services.msc中将“windows event log”启动类型设为“自动”并启动服务，再通过eventvwr.msc或eventcreate命令验证日志写入是否恢复。
当Windows系统中“事件日志”服务（EventLog）被意外禁用或停止，会导致所有服务、应用程序和系统组件无法写入事件查看器，后续排查将失去关键线索——比如组策略失败、WDS部署异常、DNS审核中断等都依赖它正常运行。
确认服务当前状态
按 Win+R 输入 services.msc 回车，打开服务管理控制台。
在列表中找到 【Windows Event Log】 服务，双击打开属性窗口。
查看“常规”选项卡中的“服务状态”，若显示“已停止”，且“启动类型”为“禁用”或“手动”，必须先改回“自动”再启动——否则下次重启后仍不运行。
修改启动类型并启动服务
在服务属性窗口的“常规”选项卡中，将“启动类型”下拉菜单改为 【自动】。
点击“应用”，此时会弹出提示：“由于启动类型已更改，服务将在下次启动时自动运行”。这说明设置已生效，但当前仍需手动启动。
点击“启动”按钮 → 等待状态变为“正在运行” → 点击“确定”关闭窗口。
验证日志写入是否恢复
打开事件查看器（eventvwr.msc），展开左侧树形菜单：Windows 日志 → 应用程序。
右键“应用程序”，选择“刷新”，观察是否有新事件时间戳出现在列表顶部（如最近1分钟内）。
若无新增事件，立即执行：eventcreate /t INFORMATION /id 999 /l APPLICATION /d "Test event for EventLog service"，回车后刷新——成功则出现ID为999的测试条目；失败则说明服务虽运行但权限或注册表受损。
