事件查看器可通过任务计划程序和PowerShell脚本实现关键错误事件（如Event ID 7023、4625、1000等）的实时提醒，支持弹窗、声音、邮件等多种方式，无需第三方工具。
事件查看器本身不支持直接发送实时提醒，但可以配合 windows 自带的“任务计划程序”和系统通知机制，实现对关键错误事件的自动捕获与即时提醒（如弹窗、邮件或声音提示）。
定位关键错误事件 ID 和日志路径
不是所有错误都需要提醒，应聚焦高影响事件。常见需监控的关键错误包括：
- 系统日志中：Event ID 7023（服务意外终止）、7031（服务崩溃重启）、41（意外关机/内核停止响应）
- 安全日志中：Event ID 4625（登录失败）、4771（Kerberos 预身份验证失败）——适用于域环境异常登录预警
- 应用程序日志中：Event ID 1000（程序崩溃）、1001（Windows 错误报告记录）
在事件查看器中右键目标事件 → “属性” → 查看“常规”页签中的完整 ID 和日志路径（如 System、Security、Application），这是后续创建触发规则的基础。
用任务计划程序绑定事件并触发提醒动作
Windows 内置的“任务计划程序”支持基于事件日志触发任务，无需第三方工具：
- 打开“任务计划程序” → 右侧“创建基本任务” → 命名（如“监控服务崩溃”）→ 下一步
- 选择“当特定事件被记录时” → 设置日志（如 System）、来源（可留空）、事件 ID（如 7023）→ 下一步
- 选择操作：“显示消息”（简单弹窗）、“启动程序”（运行 PowerShell 脚本发邮件/播放声音/写入标记文件）→ 下一步完成
注意：若选“显示消息”，仅限本地登录用户可见；如需更可靠提醒（如邮件），建议用 PowerShell 脚本作为触发动作，并启用“不管用户是否登录都要运行”选项（需配置存储凭据）。
用 PowerShell 脚本增强提醒能力
一个轻量脚本即可实现多通道提醒。例如保存为 Alert-On-Error.ps1：
param($eventRecord) $errTime = $eventRecord.TimeCreated $errId = $eventRecord.Id $errMsg = $eventRecord.Message.Substring(0, [Math]::Min(150, $eventRecord.Message.Length)) $subject = "⚠️ 系统告警：Event ID $errId @ $errTime" $body = "日志：$($eventRecord.LogName)`n来源：$($eventRecord.ProviderName)`n详情：$errMsg" <h1>播放提示音（本地提醒）</h1><p>[console]::Beep(800, 300)</p><h1>发送邮件（需提前配置 SMTP 凭据或使用本地 relay）</h1><p>Send-MailMessage -SmtpServer "smtp.company.local" -From "alert@company.local" -To "admin@company.local" -Subject $subject -Body $body</p>
在任务计划中调用该脚本时，命令行为：
powershell.exe -ExecutionPolicy Bypass -File "C:\Scripts\Alert-On-Error.ps1" -eventRecord $(Get-WinEvent -FilterHashtable @{LogName='System'; ID=7023} -MaxEvents 1)
实际部署中建议用 -FilterXPath 或监听实时流（Register-WinEvent）提升响应及时性，避免轮询延迟。
验证与日常维护要点
配置后务必测试，否则容易失效：
- 手动触发一次目标事件（如用 net stop w3svc 触发 7031）观察提醒是否生效
- 检查任务计划中的“历史记录”选项卡，确认触发次数、结果状态（0x0 表示成功）
- 定期审查事件日志增长情况，避免磁盘写满导致日志被覆盖，影响追溯
- 若服务器启用了“审核策略”，安全日志量大，建议单独归档或限制保留天数，防止任务响应变慢
这套方案完全基于 Windows 原生组件，零安装、低资源占用，适合中小环境快速落地关键系统异常的主动感知。
