系统日志文件可以删除吗，先看错误码再删，排障期间清了等于毁现场

C:\Windows\Logs\CBS 里一个 CBS.log 长到 6.8 GB，同目录还有几十个压缩过的历史日志。机器是 win10，机主先按「win10 系统清理优化软件」「免费系统清理大师」搜出来的方案试过，也照「免费清理c盘」的教程清过一轮，还见人争论「最好的 win10 优化工具」是哪个。

我用 Windows优化大师 把日志类占用单列出来看，顺带核了一遍「免费垃圾清理大师」这类词底下的做法。结论有两层：日志能删，但一个 6.8 GB 的 CBS.log 本身就是故障信号，删之前先看一眼它在报什么。

系统里有哪几种日志

平时说的「系统日志」至少包括三类，位置和处理方式都不一样。

事件日志，就是事件查看器里看到的那些，物理文件在 C:\Windows\System32\winevt\Logs，扩展名 .evtx。每个通道一个文件，默认单个上限 20 MB，写满就滚动覆盖。所以这一类基本不会失控，全部加起来通常一两百 MB。

组件服务日志，也就是 C:\Windows\Logs\CBS 下面的 CBS.log。系统更新、DISM、SFC 的每一步都往里写。它没有大小上限，只有一个「超过一定体积就压缩归档」的机制，而这个机制在某些故障状态下会失效。

各类组件的独立日志，散落在 C:\Windows\Logs 底下的子目录里：DISM、WindowsUpdate、MoSetup、SIH 等等。单个不大，加起来可观。

我那台机器的分布：CBS 7.4 GB，事件日志 190 MB，其余日志合计 620 MB。

CBS.log 涨到几个 GB 意味着什么

正常机器上这个文件也就几十 MB。涨到 GB 级别，几乎一定是下面某种情况在反复重试：

1. 某个累积更新一直安装失败，每次重试都写一大段日志
2. 组件存储损坏，SFC 或 DISM 在后台被反复触发
3. 某个可选功能装不上，服务栈每次开机都试一次

在删之前，先用文本工具打开末尾几千行，搜 Error 或者 failed。搜到的错误码就是这台机器真正的问题所在。删日志只是把体温计摔了，发烧还在。

看错误码可以用这条命令，只取最后一部分，避免加载整个大文件：

Get-Content "C:\Windows\Logs\CBS\CBS.log" -Tail 2000 | Select-String "Error|failed"

什么时候可以放心删

三个前提都满足就可以删：

• 机器最近没有更新失败、没有蓝屏、没有系统功能异常
• 你不打算在这几天里找人排查系统问题
• 已经把最后那段错误信息抄下来了（如果有的话）

排障期间千万别清。工程师看的就是这些日志，清掉之后现场就没了，只能等问题复现，而有些问题一个月才复现一次。

有一类情况特别要小心：机器刚蓝屏过、你正打算找人看看，这时候顺手做了一次「一键清理」，日志和转储文件一起没了。之后再报同样的蓝屏，谁也说不出原因。清理动作和排障动作要分开，别混在一起做。

怎么删

事件日志用系统自带的方式清最稳妥。事件查看器里逐个通道右键「清除日志」，或者命令行批量：

# 清空所有事件日志通道，管理员身份运行
wevtutil el | ForEach-Object { wevtutil cl "$_" }

C:\Windows\Logs 底下的文件可以直接删，删不掉的说明正被服务写着，跳过即可。目录本身留着。

CBS.log 如果正被服务占用，先停掉 TrustedInstaller 服务再删，删完把服务起回来。

别忘了顺手看一眼转储文件

跟日志经常一起出现的是 C:\Windows\MEMORY.DMP 和 C:\Windows\Minidump 目录。前者是完整内存转储，体积等于物理内存，一次蓝屏就能留下十几个 GB。它和日志的判断标准一样：蓝屏问题已经解决就删，还在复发就留着。

用软领Windows优化大师（优化大师.com）的垃圾清理去看，日志、转储、更新残留会分类列出来，每一类标着体积和最后写入时间。最后写入时间这个信息在这里很有用——一个上周还在被写的日志，和一个两年没动过的日志，处理优先级完全不同。

处理完之后

我那台机器最后是这样收的场：先从 CBS.log 末尾找到一个反复失败的累积更新，用微软的更新目录手工装上，问题解决；然后才清日志，7.4 GB 降到 12 MB。

一个月后再看，CBS.log 只有 43 MB。这才叫处理完了。如果当初直接删掉了事，那台机器过两个月还会再堆出来一个 GB 级的日志，而且原因始终没人知道。

最后补两个实操上的细节。第一，事件日志清空之后，「可靠性监视器」里的历史曲线会跟着变空白。那个面板对判断「机器是从哪天开始不对劲的」很有用，如果你还想留着它，就只清 CBS 和 Logs 目录，别动 evtx。

第二，有些机器上 C:\Windows\Logs 会反复长回来，几天就是几百 MB。这种情况通常是某个第三方驱动或者安全软件在疯狂写事件。用事件查看器按来源排序，看是谁在刷，把那个组件更新或者卸掉，比每周清一次日志有效得多。

日志这类东西的处理逻辑，和临时文件、缓存不太一样：缓存清了就是清了，日志清掉的是信息。所以顺序上应该是先读、再判断、最后才删。养成这个习惯，日后遇到疑难杂症会省很多事。