偶尔查应用崩溃和系统错误，用中文事件查看器筛选时间、级别和事件 id 最直观；需要批量检索、导出或重复执行条件时，powershell 的 get-winevent 更高效。两者读取的是同一套 windows 事件日志。先用图形界面缩小范围，再把固定条件交给命令行。
事件查看器：按时间和级别阅读故障上下文
事件查看器会把应用程序、系统、安全以及各组件的专用日志分开管理。排查软件闪退时先打开“Windows 日志—应用程序”，按故障发生时间寻找“错误”或“警告”，再查看事件来源、事件 ID、异常模块和详细信息。
单条红色错误不一定就是当前故障原因，重点是时间是否吻合、同一来源是否重复出现，以及错误前后有没有驱动、服务或更新事件。日志数量很大时先用“筛选当前日志”，避免在全部记录里逐行翻找。
事件查看器：系统日志适合关联服务与启动异常
系统日志会记录服务控制管理器、内核启动、驱动和更新等事件。开机后某项功能失效时，可以用服务名、事件 ID 或来源过滤，再对照服务管理器里的状态，判断是启动类型变化、权限不足还是组件本身报错。
清除日志会丢失排查线索，通常没有必要。需要发给技术人员时优先保存筛选后的事件或导出 EVTX 文件，同时保留发生时间和系统版本。
PowerShell：Get-WinEvent适合批量筛选和复用
PowerShell 的 Get-WinEvent 可以按日志名、事件 ID、提供程序和时间范围查询，并把结果继续排序、格式化或导出。需要在多台电脑重复查同一种错误，或只保留近两天某个事件 ID 时，命令比手动点选更稳定。
命令行没有事件查看器直观，过滤条件写错还可能得到空结果。一次性查看先用事件查看器；条件明确、需要自动化或保存查询脚本时再用 PowerShell。
