利用 PowerShell 编写 Windows 服务日志查询工具-windows运维-PHP中文网

powershell 是查询 windows 服务日志最直接高效的工具，通过 get-winevent 和 get-service 可精准筛选事件 id 7035/7036/7024/7000 等服务状态变更日志，支持按服务名、时间范围过滤、批量巡检、结构化导出及函数封装，需注意 system 日志读取权限。

powershell 是查询 windows 服务日志最直接高效的工具之一，无需额外安装软件，只需调用内置的 get-winevent 和 get-service 即可快速定位服务启停、失败、超时等关键事件。

定位服务相关事件日志

Windows 服务的运行状态变更（如启动、停止、崩溃）主要记录在 System 日志中，事件 ID 通常为 7035（服务状态变化）、7036（服务已启动/停止）、7024（服务超时）、7000（服务启动失败）。使用 Get-WinEvent 可精准筛选：

查询指定服务（例如 Spooler）最近 1 小时内的所有服务事件：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=7035,7036,7024,7000; ProviderName='Service Control Manager'; StartTime=(Get-Date).AddHours(-1)} | Where-Object {$_.Properties[1].Value -eq 'Spooler'} | Select TimeCreated, Id, Message
简化写法：先获取服务 SID 或显示名称，再关联日志。例如 (Get-Service Spooler).DisplayName 返回“Print Spooler”，可用于匹配日志中的服务名字段。

批量检查多个服务的健康状态

对运维人员而言，常需一次性确认一批核心服务是否正常运行并有无近期异常。可结合 Get-Service 与日志查询构建轻量级巡检逻辑：

定义服务列表：$services = 'WinRM', 'Dhcp', 'wuauserv', 'BITS'
遍历每个服务，检查当前状态 + 近 24 小时内是否有错误事件：
foreach ($svc in $services) { $status = Get-Service $svc -ErrorAction SilentlyContinue; $errors = Get-WinEvent -FilterHashtable @{LogName='System'; ID=7000,7024; ProviderName='Service Control Manager'; StartTime=(Get-Date).AddDays(-1)} -ErrorAction SilentlyContinue | Where-Object {$_.Properties[1].Value -eq $svc}; [PSCustomObject]@{Service=$svc; Status=$status.Status; LastError=$errors.TimeCreated[-1]}}
结果自动输出为表格，便于导出 CSV 或邮件发送。

导出结构化日志供分析或归档

原始日志文本不易检索，建议将关键字段提取为结构化对象后导出：

提取事件时间、服务名、事件 ID、消息摘要、计算机名：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=7035,7036,7000,7024; ProviderName='Service Control Manager'; StartTime=(Get-Date).AddDays(-7)} -MaxEvents 1000 | ForEach-Object { [PSCustomObject]@{Time=$_.TimeCreated; Service=$_.Properties[1].Value; EventID=$_.Id; Level=$_.LevelDisplayName; Message=$_.Message.Substring(0,[Math]::Min(100,$_.Message.Length))} } | Export-Csv .\service_events.csv -NoTypeInformation
注意：Properties[1] 对应事件日志中“服务名称”字段（索引从 0 开始），不同事件 ID 中该位置可能略有差异，首次使用建议先用 Select-Object -Property * 查看实际结构。

封装为可复用函数提升效率

把常用逻辑封装成函数，支持参数传入服务名、时间范围和输出格式：

示例函数签名：function Get-ServiceEventLog { param([string]$ServiceName, [int]$HoursAgo = 24, [string]$OutputFormat = 'Table') }
内部自动判断服务是否存在、过滤对应事件、按需返回对象、表格或 CSV；支持管道输入（如 Get-Service | Where-Object Status -eq 'Stopped' | Get-ServiceEventLog -HoursAgo 1）
加入简单错误处理（如服务名不存在、无权限读取日志）并提示用户，避免脚本静默失败。

不复杂但容易忽略的是事件日志权限——普通用户默认无法读取 System 日志的全部字段，必要时以管理员身份运行或调整组策略启用“管理审核和安全日志”权限。工具的价值不在功能多，而在查得准、跑得稳、看得清。