Windows系统不持久保存通知气泡历史，但部分通知对应事件ID可从事件查看器导出：如更新完成（ID 20/41）、网络连接（ID 10000/10001）、安全中心状态（ID 1001/1002）等，需确保日志未被覆盖；可用事件查看器筛选保存为.evtx，或用PowerShell导出CSV报告。
要导出 Windows 系统中曾弹出的历史通知（如 Windows 安全中心提醒、Windows 更新完成、网络连接状态变更等），需明确一点：系统本身不持久保存通知气泡的完整历史记录，通知中心（Action Center）仅缓存最近约 3～7 天的交互式通知，且默认不记录原始日志。但部分通知由系统组件触发，并会写入事件查看器——尤其是与安全、更新、服务状态强相关的通知，其底层事件可被追溯和导出。
确认哪些通知能被导出
并非所有通知都留痕。只有由系统服务（如 Windows Update、SecurityCenter、WlanSvc、Dnscache）主动写入“系统”或“应用程序”日志的事件，才具备导出条件。例如：
• Windows 更新成功安装 → 事件ID 20、41、19（在“应用程序”日志，来源 WindowsUpdateClient）
• 防火墙策略变更 → 事件ID 2003、2005（在“安全”日志，需提前启用防火墙审核）
• 网络连接建立/断开 → 事件ID 10000、10001（在“系统”日志，来源 Wlan-AutoConfig）
• 安全中心状态变化 → 事件ID 1001、1002（在“应用程序”日志，来源 SecurityCenter）
【关键前提】这些日志必须未被覆盖且未被手动清除。Windows 默认日志最大大小为 20MB（系统日志），旧事件会被自动轮替删除。
用事件查看器导出匹配通知的原始日志
这是最可靠、无需第三方工具的方法，适用于已知通知类型并能对应到事件ID的场景。
第一步：按 Win + R 输入 eventvwr.msc 回车，打开事件查看器。
第二步：左侧依次展开「Windows 日志」→「系统」，右键「系统」→「筛选当前日志」。
第三步：在「事件ID」框中输入你关心的通知对应ID，例如：10000,10001,20,41,1001,1002（英文逗号分隔）；下方「事件来源」可选填，如只查 Windows 更新通知就填 WindowsUpdateClient。
第四步：点击「确定」，列表即显示所有匹配事件。右键空白处 →「将所有事件另存为…」→ 选择保存位置，格式建议选「事件交换格式（.evtx）」，它保留完整结构，双击可直接在事件查看器中打开。
用 PowerShell 批量导出并生成可读文本报告
适合需要快速浏览、按时间排序、或后续用 Excel 分析的用户。以下命令导出最近30天内所有与通知强相关的事件，并转为带表头的文本文件：
以管理员身份运行 Windows PowerShell，粘贴执行：
Get-WinEvent -LogName 'System','Application' -MaxEvents 5000 | Where-Object {($_.Id -in 10000,10001,20,41,1001,1002) -and ($_.TimeCreated -gt (Get-Date).AddDays(-30))} | Select-Object TimeCreated, LogName, Id, ProviderName, Message | Export-Csv "C:\Users\Public\Documents\NotificationEvents.csv" -Encoding UTF8 -NoTypeInformation
执行完成后，打开生成的 CSV 文件即可用 Excel 或记事本查看。注意：ProviderName 字段能帮你快速识别通知来源，比如看到 SecurityCenter 就知道是安全中心弹窗。
方法一：通过可靠性监视器间接获取部分通知上下文
可靠性监视器不记录通知本身，但它把系统关键事件（包括某些触发通知的底层行为）按时间线聚合展示，界面更直观，适合非技术用户快速回溯。
• 按 Win + R 输入 perfmon /rel 回车
• 等待加载完成后，在左侧点击「按时间查看」→ 右侧图表中黄色感叹号标记的就是警告级事件，鼠标悬停可看到简要描述（如“Windows Defender 防病毒定义已更新”）
• 点击某条事件 → 下方「详细信息」区域会显示对应事件ID和来源，此时可记下ID，再回到事件查看器做精准筛选导出
该方式不能直接导出文件，但能帮你定位哪些通知值得进一步深挖日志。
方法二：启用通知诊断日志（仅限 Windows 10/11 专业版及以上）
此功能需手动开启，开启后系统会额外记录通知服务（tiledatamodelserver）的活动，包括推送时间、应用包名、通知模板内容（不含敏感字段）。操作路径如下：
① 按 Win + R 输入 gpedit.msc 回车（家庭版无此工具，跳过）
② 依次展开：计算机配置 → 管理模板 → Windows 组件 → 通知 → 启用「启用通知诊断日志」
③ 设置日志路径为自定义目录（如 C:\NotifyLogs），重启电脑生效
④ 日志以 ETL 格式生成，需用 Windows Performance Analyzer（WPA）打开分析，普通用户不推荐此路径
这一步操作门槛高、输出难读，仅建议有诊断需求的IT人员启用。
