Windows 中的日誌資料夾位於哪裡？

你有沒有想過 Windows 把系統運作的所有資訊都儲存在哪裡呢？日誌檔案是作業系統真正的私人偵探。 他們會通知我們錯誤、安裝、更改 硬件 甚至意外關機。無論您是好奇的家庭用戶、想要解決問題的人，還是需要審核正在發生的事情的專業人士，了解這些文件的位置都至關重要。

在本文中，我詳細解釋了 Windows 在不同情況下產生的日誌資料夾路徑和日誌檔案類型。 您將能夠根據需要快速找到日誌：安裝、系統事件、嚴重錯誤等等。我還將解釋如何訪問它們以及閱讀它們的益處。以下是最新信息，結合了官方文件的精華和實用技巧。

為什麼 Windows 日誌檔案如此重要？

Windows 中的日誌檔案是作業系統中發生的所有事情的詳細記錄。 它們對於 診斷問題、解決複雜錯誤並進行安全審計或取證分析每次系統安裝、更新、啟動或發生故障時，都會以日誌檔案的形式留下痕跡。這使得高階使用者和技術人員都能了解問題的根本原因、識別變化並監控系統的完整性。

Windows 中的主要日誌資料夾位置

Windows 不會將日誌儲存在單一資料夾中，而是根據系統版本、事件類型和安裝階段將它們分佈在多個位置。 以下是針對不同情況的最相關路線的概述：

1. Windows 安裝期間的日誌文件

Windows 安裝是產生最多日誌檔案的階段之一。這些日誌可用於對安裝過程中出現的任何問題進行詳細分析。 資料夾和檔案根據安裝階段的不同而不同：

• 在安裝可以存取硬碟之前：
  X:\Windows\panther\ （其中 X （通常指 WinPE 環境中使用的臨時磁碟機）。這是在實際磁碟上安裝 Windows 之前的初始日誌儲存的地方。
• 存取磁碟後進行設定時：
  %WINDIR%\Panther\ （通常 C:\Windows\Panther\）保存在這裡 安裝日誌 y setuperr.log，對於了解安裝是否順利或是否出現致命錯誤至關重要。
• 即插即用設備安裝：
  %WINDIR%\Inf\Setupapi.log 對於舊版本。在現代系統上，相關的是 setupapi.dev.log y setupapi.app.log.
• 記憶體錯誤或嚴重崩潰：
  %WINDIR%\Memory.dmp （完整轉儲）和 %WINDIR%\Minidump\ （小型轉儲）。這些日誌在藍屏或嚴重的系統崩潰後收集資訊。
• Sysprep 日誌：
  %WINDIR%\System32\Sysprep\Panther\ 用於影像準備過程的日誌。

按安裝階段分類的日誌

根據安裝過程的不同階段，日誌可能位於不同的路徑。摘要如下：

• 下游階段（安裝前，從另一個系統）：
  • C:\WINDOWS\setupapi.log
  • C:$WINDOWS.~BT\Sources\Panther\setupact.log
  • C:$WINDOWS.~BT\Sources\Panther\setuperr.log
  • C:$WINDOWS.~BT\Sources\Panther\miglog.xml
  • C:$WINDOWS.~BT\Sources\Panther\PreGatherPnPList.log
• Windows PE階段（安裝前環境）：
  • X:$WINDOWS.~BT\Sources\Panther\setupact.log
  • X:$WINDOWS.~BT\Sources\Panther\setuperr.log
  • X:$WINDOWS.~BT\Sources\Panther\miglog.xml
  • X:$WINDOWS.~BT\Sources\Panther\PreGatherPnPList.log
• 線上配置階段（第一 開機):
  • C:\WINDOWS\PANTHER\setupact.log
  • C:\WINDOWS\PANTHER\setuperr.log
  • C:\WINDOWS\PANTHER\miglog.xml
  • C:\WINDOWS\INF\setupapi.dev.log
  • C:\WINDOWS\INF\setupapi.app.log
  • C:\WINDOWS\Panther\PreGatherPnPList.log
  • C:\WINDOWS\Panther\PostGatherPnPList.log
• Windows 歡迎階段：
  • C:\WINDOWS\Performance\Winsat\winsat.log
• 回滾階段（更新過程中失敗並嘗試回滾）：
  • C:$WINDOWS.~BT\Sources\Panther\setupact.log
  • C:$WINDOWS.~BT\Sources\Panther\miglog.xml
  • C:$WINDOWS.~BT\Sources\Panther\setupapi\setupapi.dev.log
  • C:$WINDOWS.~BT\Sources\Panther\setupapi\setupapi.app.log
  • C:$WINDOWS.~BT\Sources\Panther\PreGatherPnPList.log
  • C:$WINDOWS.~BT\Sources\Panther\PostGatherPnPList.log

注意： 根據 Windows 版本和安裝的磁碟機號，路徑可能會略有不同。

2. 用於追蹤系統事件的日誌文件

El 事件查看器 （事件檢視器）是查看系統日誌的最佳工具。 該實用程式可讓您查看與應用程式、安全性、系統、安裝等相關的事件。 這對於診斷和審計至關重要。

• 如何在 Windows 中開啟事件檢視器：
  1. 點擊開始按鈕並輸入 事件查看器 o 事件查看器“.
  2. 從 服務器管理員 在 Windows Server 上：前往 工具 > 事件檢視器.
• 事件檢視器中的主要類別：
  • 應用： 程式產生的日誌。
  • 安全性： 稽核日誌、登入、權限等。
  • 系統： 的事件 驅動程序、硬體和服務故障。
  • 安裝方式： 有關安裝應用程式或元件的資訊。
  • 轉發的事件： 從其他電腦或伺服器接收的日誌。

每個類別都可以幫助您尋找和分析特定事件。 例如，如果您想要了解意外中斷發生的時間和原因，您需要專注於「系統」部分，因為與突然重新啟動或關機相關的嚴重事件經常會出現在這裡。

3. 診斷與故障排除日誌

當您需要排除故障時，日誌將成為您最好的盟友。 透過它們，您可以偵測錯誤、警告、資訊性訊息和關鍵事件。這些文件包含事件發生的時間、描述和技術細節。以下類型的訊息尤其值得注意：

• 錯誤： 表示出現重大錯誤。例如，驅動程式無法加載，或應用程式意外關閉。
• 警告： 它表明存在潛在問題，但不會妨礙操作。
• 信息： 有關操作成功的消息。
• 危急： 報告嚴重問題，例如不正常關機或資料遺失。

實際示例： 如果伺服器因斷電而宕機，系統會在系統日誌中產生「嚴重」等級事件，其中包含事件發生的確切日期和時間。這樣，您就可以確定故障的原因和確切時間。

要查看詳細信息，只需雙擊事件檢視器中的任意事件即可。一個包含所有技術資訊的視窗將會出現。 這對於識別和糾正問題、審核設備使用情況甚至檢測潛在的安全漏洞非常有用。

如何匯出和分析日誌文件

有時您需要匯出日誌以便在另一台電腦上進行分析或將其傳送給技術支援。 Windows 可讓您使用某些實用程式以各種格式（文字、XML、CSV）儲存日誌：

• 從事件檢視器：
  1. 開啟事件檢視器並選擇所需的日誌（例如：系統）。
  2. 在右側面板中選擇 將事件另存為...
  3. 選擇位置和檔案類型（EVTX、XML、TXT、CSV）。
• 通過 命令 在命令列上：您可以使用以下工具 韋夫圖蒂爾 o 追蹤 轉儲特定記錄，例如：

  Wevtutil qe /lf C:\windows\panther\setup.etl

  Tracerpt /l C:\windows\panther\setup.etl

Windows 中的其他相關登錄資料夾

除了安裝和系統日誌之外，Windows 還會根據事件在其他位置產生檔案。:

• C:\Windows\日誌\CBS\: : 更新和修復日誌保存在這裡，當出現問題時，這很重要 Windows更新.
• C:\Windows\Performance\Winsat\winsat.log：使用 Windows 系統評估工具執行的效能測試結果。
• C:\Windows\System32\Winevt\Logs\：包含從事件檢視器查看的所有日誌的實體檔案的資料夾；每個日誌都是一個 .evtx 檔案。

一些特定的程式和服務也會將自己的日誌寫入其安裝資料夾或臨時目錄中。

使用 Windows 日誌的實用技巧

• 查看活動的日期和時間 來縮小問題範圍。
• 依賴過濾器和搜索 在事件檢視器中尋找關鍵事件。
• 如果不清楚日誌檔案的用途，請勿刪除它們。 您可能會失去寶貴的信息，並使未來的問題難以解決。
• 如果您對某些日誌的含義有疑問，請查閱 Microsoft 官方文件或技術社群。
• 請記住，日誌會佔用空間，但最好保留它們以用於審計和診斷目的。

使用者日誌和系統日誌有什麼區別？

有作業系統本身產生的日誌（例如，安裝、驅動程式、強制關機）以及應用程式或使用者建立的日誌。 前者始終位於 Windows 資料夾內的受保護路徑中，而後者通常位於下列資料夾中 C:\Usuarios\NombreUsuario\AppData\Local 或在程式自己的安裝路徑內。

若要識別日誌的來源，請務必查看路徑並檢查內容： 系統日誌通常按類別組織並具有事件編號，而使用者日誌則更簡單且結構性較差。

專業環境和伺服器的日誌

在Windows Server電腦或企業環境中，日誌分析和監控更為重要。 事件檢視器可讓您查看本機日誌，還可以存取從其他伺服器轉送的事件，這在大型基礎架構中非常有用。此外，還有一些高級日誌管理實用程序，例如 性能監控器 或 SIEM（安全資訊和事件管理）系統。

全面的監控有助於預測硬體問題、識別可疑變更並維護審計追蹤以遵守安全法規。

技術支援日誌收集

如果您需要 Microsoft 技術支援或專家的協助，收集相關的日誌檔案是很常見的。 Microsoft 建議使用自動收集工具（例如 TSS）來收集關鍵安裝、系統、應用程式和驅動程式日誌。

這種系統化的收集簡化了事件解決，最大限度地減少了編製文件時的人為錯誤，並方便處理案件的技術人員做出更準確的診斷。

如果日誌損壞或無法存取該怎麼辦？

有時日誌檔案可能會因權限問題而損壞或無法存取。 最常見的原因是磁碟錯誤， 惡意軟件 或系統意外關閉。 如果您遇到這種情況，請嘗試：

• 使用 CHKDSK 工具執行磁碟掃描來修復損壞的磁區。
• 檢查日誌資料夾或檔案的權限。
• 如果存在，則從備份中還原檔案。

在嚴重受損的系統上，可以從另一台電腦存取磁碟並手動復原檔案。

正確管理和定位 Windows 日誌檔案是正確的系統維護和診斷的關鍵。 從 Windows 安裝到日常使用，日誌涵蓋了大量事件訊息，讓您更輕鬆地識別和排除錯誤，並為技術人員和管理員提供必要的支援。熟悉日誌的路徑、類別和分析方法可以節省時間，並避免在作業系統出現意外問題時的麻煩。