PowerShell 是查询 Windows 服务日志最直接高效的工具，通过 Get-WinEvent 和 Get-Service 可精准筛选事件 ID 7035/7036/7024/7000 等服务状态变更日志，支持按服务名、时间范围过滤、批量巡检、结构化导出及函数封装，需注意 System 日志读取权限。
powershell 是查询 windows 服务日志最直接高效的工具之一，无需额外安装软件，只需调用内置的 get-winevent 和 get-service 即可快速定位服务启停、失败、超时等关键事件。
定位服务相关事件日志
Windows 服务的运行状态变更（如启动、停止、崩溃）主要记录在 System 日志中，事件 ID 通常为 7035（服务状态变化）、7036（服务已启动/停止）、7024（服务超时）、7000（服务启动失败）。使用 Get-WinEvent 可精准筛选：
- 查询指定服务（例如
Spooler）最近 1 小时内的所有服务事件：Get-WinEvent -FilterHashtable @{LogName='System'; ID=7035,7036,7024,7000; ProviderName='Service Control Manager'; StartTime=(Get-Date).AddHours(-1)} | Where-Object {$_.Properties[1].Value -eq 'Spooler'} | Select TimeCreated, Id, Message - 简化写法：先获取服务 SID 或显示名称，再关联日志。例如
(Get-Service Spooler).DisplayName返回“Print Spooler”，可用于匹配日志中的服务名字段。
批量检查多个服务的健康状态
对运维人员而言，常需一次性确认一批核心服务是否正常运行并有无近期异常。可结合 Get-Service 与日志查询构建轻量级巡检逻辑：
- 定义服务列表：
$services = 'WinRM', 'Dhcp', 'wuauserv', 'BITS' - 遍历每个服务，检查当前状态 + 近 24 小时内是否有错误事件：
foreach ($svc in $services) { $status = Get-Service $svc -ErrorAction SilentlyContinue; $errors = Get-WinEvent -FilterHashtable @{LogName='System'; ID=7000,7024; ProviderName='Service Control Manager'; StartTime=(Get-Date).AddDays(-1)} -ErrorAction SilentlyContinue | Where-Object {$_.Properties[1].Value -eq $svc}; [PSCustomObject]@{Service=$svc; Status=$status.Status; LastError=$errors.TimeCreated[-1]}} - 结果自动输出为表格，便于导出 CSV 或邮件发送。
导出结构化日志供分析或归档
原始日志文本不易检索，建议将关键字段提取为结构化对象后导出：
- 提取事件时间、服务名、事件 ID、消息摘要、计算机名：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=7035,7036,7000,7024; ProviderName='Service Control Manager'; StartTime=(Get-Date).AddDays(-7)} -MaxEvents 1000 | ForEach-Object { [PSCustomObject]@{Time=$_.TimeCreated; Service=$_.Properties[1].Value; EventID=$_.Id; Level=$_.LevelDisplayName; Message=$_.Message.Substring(0,[Math]::Min(100,$_.Message.Length))} } | Export-Csv .\service_events.csv -NoTypeInformation - 注意：
Properties[1]对应事件日志中“服务名称”字段（索引从 0 开始），不同事件 ID 中该位置可能略有差异，首次使用建议先用Select-Object -Property *查看实际结构。
封装为可复用函数提升效率
把常用逻辑封装成函数，支持参数传入服务名、时间范围和输出格式：
- 示例函数签名：
function Get-ServiceEventLog { param([string]$ServiceName, [int]$HoursAgo = 24, [string]$OutputFormat = 'Table') } - 内部自动判断服务是否存在、过滤对应事件、按需返回对象、表格或 CSV；支持管道输入（如
Get-Service | Where-Object Status -eq 'Stopped' | Get-ServiceEventLog -HoursAgo 1） - 加入简单错误处理（如服务名不存在、无权限读取日志）并提示用户，避免脚本静默失败。
不复杂但容易忽略的是事件日志权限——普通用户默认无法读取 System 日志的全部字段，必要时以管理员身份运行或调整组策略启用“管理审核和安全日志”权限。工具的价值不在功能多，而在查得准、跑得稳、看得清。
