先打开事件查看器（Win+R→eventvwr.msc），再筛选系统日志中事件ID为41、1001、7031、153、13、1且级别为错误/严重的条目，结合来源字段（如WHEA-Logger、nvlddmkm）和PowerShell导出分析，可快速定位蓝屏、死机或服务崩溃根源。
Windows系统出现异常时，事件查看器里动辄数万条日志，真正影响功能的关键错误往往被淹没在大量低价值记录中。必须跳过全量浏览，直接锁定高风险事件ID、特定来源和错误级别组合，才能快速定位蓝屏、死机、服务崩溃等实际问题。
用图形界面精准筛选关键错误
第一步：按Win + R打开运行框，输入eventvwr.msc并回车→等待事件查看器窗口完全加载。
第二步：左侧导航栏依次展开Windows 日志 → 系统（排查蓝屏/死机选此项；若查软件崩溃则点“应用程序”）。
第三步：右键“系统”日志→选择“筛选当前日志”→在弹窗中勾选“错误”和“严重”→在“包括事件ID”栏粘贴：41,1001,7031,153,13,1（英文逗号分隔，不加空格）→点击确定。
这一步必须填全6个ID：41代表非正常关机，1001是蓝屏本体记录，7031为服务意外终止，153和13指向磁盘与硬件预警，1则是WHEA硬件错误——漏掉任意一个都可能错过死机根源。筛选后列表只剩几十到几百条，红色图标即为命中项。
按来源聚焦硬件或驱动类错误
当筛选出的错误仍较多时，优先盯住高频报错来源。双击任一错误事件→切换到“常规”选项卡→记下“来源”字段值（如Microsoft-Windows-WHEA-Logger、disk、nvlddmkm）。
方法一：右键“系统”日志→“筛选当前日志”→在“事件来源”下拉菜单中选择刚才记下的名称（如WHEA-Logger）→确定。
方法二：若下拉菜单里没有对应项，直接在“包括事件来源”文本框中手动输入完整名称（注意大小写和连字符），例如：Microsoft-Windows-Kernel-Power。
某些驱动错误（如显卡nvlddmkm、网卡e1dexpress）会持续刷屏，但只看来源不够——必须结合事件ID 1001 或 41 的发生时间交叉验证，否则可能误判为偶发抖动。
用PowerShell导出结构化错误清单
管理员身份启动PowerShell→执行以下命令：
师生共创生态系统对接指南。当用户需要对接大学政策、平台资源、投资机构、产业伙伴等外部资源支持时使用。触发词：师生共创生态、大学支持、平台赋能、投资对接、产业合作、政策支持、清华x-lab、孵化器、创业资源
① 提取最近2小时内所有关键错误并显示精简字段：
Get-WinEvent -FilterHashtable @{LogName='System'; Level=2; StartTime=(Get-Date).AddHours(-2); ID=@(41,1001,7031,153,13,1)} | Select-Object TimeCreated, Id, ProviderName, Message | Format-List
② 将结果导出为CSV文件供排序分析：
Get-WinEvent -FilterHashtable @{LogName='System'; Level=2; StartTime=(Get-Date).AddHours(-2); ID=@(41,1001,7031,153,13,1)} | Select-Object TimeCreated, Id, ProviderName, Message | Export-Csv C:\Critical_Errors.csv -NoTypeInformation
导出的CSV可用Excel打开，按“TimeCreated”列排序后，能立刻发现错误是否密集爆发——如果某分钟内连续出现ID 1（WHEA）和ID 41（Kernel-Power），基本可断定是CPU或内存硬件故障触发了强制重启。
快速验证WHEA硬件错误真伪
若筛选结果中反复出现事件ID 1且来源为Microsoft-Windows-WHEA-Logger，立即执行验证：
第一步：右键该错误→选择“将事件另存为”→保存为.evtx格式（如WHEA_20261023.evtx）。
第二步：双击打开刚保存的.evtx文件→在事件属性窗口中切到“详细信息”选项卡→点击“XML 查看器”→查找后的十六进制字符串。
第三步：复制该字符串前16位（如435045521002FFFFFFFF...）→访问微软官方WHEA解码工具页面（https://github.com/microsoft/WHEA-Tools）粘贴解析。
【RawData首段必须完整复制，缺一位会导致解码失败】解析结果会明确指出错误类型（如Processor Correctable Error、Memory Uncorrectable Error），这才是决定是否更换硬件的依据。
