Win11蓝屏“EVENT_LOG_FILE_CORRUPT”源于事件日志文件损坏，需先禁用eventlog服务（net stop eventlog & sc config eventlog start= disabled），再用wevtutil cl清空主日志或手动删异常.evtx，最后重置服务、权限及注册表并重启。
Win11蓝屏显示“EVENT_LOG_FILE_CORRUPT”错误，说明系统事件日志文件（.evtx）已损坏或被非法修改，导致内核在尝试读取日志元数据时触发严重异常——该错误不指向硬件故障，而是日志服务自身崩溃的连锁反应，必须先隔离日志服务再重建日志存储结构。
停止并禁用Windows事件日志服务
这一步必须在蓝屏发生前或安全模式下完成。若已无法进入桌面，需通过WinRE命令提示符操作。直接禁用服务可阻断后续所有日志写入动作，防止损坏扩散到其他日志文件。
以管理员身份运行“Windows 终端（管理员）”，输入以下命令并回车：
net stop eventlog
sc config eventlog start= disabled
注意：第二条命令中的 【start= disabled】 中间有空格，缺空格会导致命令失败且无提示；执行后系统不会立即重启，但下次开机将不再加载该服务。
定位并删除损坏的日志文件
损坏的日志文件通常位于 C:\Windows\System32\winevt\Logs\ 目录下，常见嫌疑对象是 Security.evtx、System.evtx 或 Application.evtx。不要手动删除整个 Logs 文件夹，只处理明确报错的文件。
方法一：使用PowerShell批量清除（推荐）
在管理员终端中运行：
wevtutil cl Security && wevtutil cl System && wevtutil cl Application
这条命令会清空三类主日志内容并重建空白文件，比手动删.evtx更安全——wevtutil 会校验文件头签名，自动跳过已锁死的损坏项。
方法二：手动定位删除（仅当方法一报错时启用）
打开文件资源管理器，地址栏粘贴：C:\Windows\System32\winevt\Logs\
按修改日期排序，找到最近1小时内被更新过的 .evtx 文件（尤其是大小异常小，如小于4KB 的文件），右键→删除。若提示“正在使用”，说明 eventlog 服务未真正停止，需返回上一步确认 net stop eventlog 是否成功。
重置事件日志服务配置
第一步：在管理员终端中重新启用服务并设为自动启动
sc config eventlog start= auto
net start eventlog
第二步：强制刷新日志策略缓存
gpupdate /force
第三步：验证日志服务是否正常写入
eventcreate /id 1 /l APPLICATION /t INFORMATION /d "Test log entry"
如果返回“事件已成功创建”，说明日志服务已恢复；若报错“拒绝访问”或“服务未响应”，说明注册表项残留损坏，需进入下一步。
修复事件日志注册表项
损坏的日志服务常伴随注册表键值错乱，特别是 HKLM\SYSTEM\CurrentControlSet\Services\EventLog 下的子项权限丢失。此操作不可逆，务必先导出备份。
第一步：导出原始注册表分支
reg export "HKLM\SYSTEM\CurrentControlSet\Services\EventLog" C:\evlog_backup.reg /y
第二步：重置关键权限
icacls "C:\Windows\System32\winevt\Logs" /reset /T /C /Q
第三步：重建默认日志路径注册信息
wevtutil im "%SystemRoot%\System32\Winevt\Manifests\Microsoft-Windows-Eventlog-ForwardingPlugin.man"
执行完这三条命令后，重启电脑。系统将在首次登录时自动重建全部标准日志文件（Security、System、Application），且不会再因 EVENT_LOG_FILE_CORRUPT 触发蓝屏。
