Windows电脑里藏着一套完整的电脑“行车记录仪”，只是日志大多数人从没打开过。上周同事的记录电脑半夜自动重启，IT部门查了十分钟就定位到是电脑某个驱动更新失败——靠的就是系统日志。这东西不神秘，日志关键是记录你得知道去哪儿找。

最直接的电脑办法：按 Win + R，输入 eventvwr.msc，日志回车。记录事件查看器就弹出来了。电脑左边栏展开“Windows 日志”，日志下面通常有应用程序、记录安全性、电脑系统这几个大类。日志系统日志最常用，记录开关机、驱动崩溃、硬盘报错都记在这里。点进去，中间列表按时间倒序排列，最新的事件在最上面。双击任意一条，会弹出详细信息窗口，里面有一串Event ID，比如41代表意外断电，7000是服务启动失败。记住这个ID，去网上搜，基本能搜到具体原因。

我自己的习惯是，电脑一有异常先看“系统”日志里的“错误”和“警告”级别。右键日志分类，选“筛选当前日志”，在“事件级别”里勾上“关键”和“错误”，能过滤掉大量噪音。有一次我电脑频繁蓝屏，筛选后看到一堆 Event ID 41，再结合时间点，发现每次都是插上某个USB扩展坞之后发生的。拔掉，问题消失。日志不会直接告诉你“是扩展坞的锅”，但它把时间线摆在那里，因果关系自己就浮出来了。

苹果电脑用户别急，macOS也有类似的东西，叫“控制台”。按 Command + 空格 搜“控制台”打开，左边选“系统日志”或者“崩溃报告”。不过Mac的日志界面没Windows那么直观，查询语法也偏Unix风格，普通用户看着会有点头疼。更简单的办法是打开“终端”，输入 log show --last 1h，看最近一小时的系统活动。想查崩溃记录，直接去 ~/Library/Logs/DiagnosticReports 文件夹，里面按日期排着各种崩溃报告。

Linux这边，日志基本都在 /var/log/ 目录下。syslog 或 messages 记录系统级事件，auth.log 管登录认证，dmesg 命令看内核环缓冲。我见过一个运维老手排查服务器断网，tail -f /var/log/syslog 盯着屏幕刷，两分钟后一条网卡链路状态变化的记录跳出来，问题锁定。命令行看着冷冰冰，但实时滚动的日志流有种看监控直播的感觉。

有个坑得提一下：事件查看器里默认的日志大小有限，满了就覆盖旧的。如果你需要长期保留，右键“系统”日志选“属性”，把“日志最大大小”调大，比如从20MB改成100MB。另外，别被“安全性”日志吓到，那里面大部分是登录审核记录，普通用户看“应用程序”和“系统”两个就够用了。

最后说个真实场景。朋友公司有台财务电脑，每天下午三点准时卡顿十秒。查系统日志，发现每天14:59:50有一条 Event ID 6005（事件日志服务启动），紧接着14:59:58有 Event ID 6006（服务停止）。这说明日志服务在反复重启，而原因追下去是杀毒软件的计划扫描和Windows更新检查撞车了。调整扫描时间，问题解决。日志本身不解决问题，它只是把线索摆在你面前，剩下的事靠人。