事件查看器是Windows故障诊断核心工具，通过eventvwr.msc命令可快速打开；关键日志位于“Windows日志→系统”，配合错误/警告筛选及事件ID（41,6008,1001,7031）和时间范围精准定位问题；结合.dmp文件与BlueScreenView交叉验证驱动根因。
Windows系统在运行中出现蓝屏、服务崩溃、驱动异常或软件报错时，会自动将完整上下文写入结构化日志，这些原始记录就藏在事件查看器里——不打开它，你永远看不到系统自己写的故障诊断报告。
快速打开事件查看器
按下 Win + R 组合键 → 在运行框中准确输入 eventvwr.msc（注意无空格、无引号、无拼写错误）→ 按回车。这个命令直通系统管理控制台，哪怕桌面卡死、资源管理器无响应，也能秒开。
如果开始菜单能用，直接点“开始”→ 输入“事件查看器”→ 回车即可，但该方式在高负载时可能延迟数秒甚至失败。
定位关键日志位置
左侧树形导航中，依次展开 Windows 日志 → 点击 系统。这是排查蓝屏、电源异常、驱动加载失败的主战场。
若问题集中在某款软件（如微信崩溃、浏览器闪退），则改选 应用程序 日志；若涉及登录失败、权限拒绝、UAC弹窗异常，则需打开 安全 日志。
注意：筛选操作只影响当前视图，【不会删除任何原始日志】，可随时清除筛选器恢复全部记录。
三重筛选锁定报错线索
第一步：在左侧“系统”日志项上右键 → 选择“筛选当前日志”。
第二步：勾选“错误”和“警告”级别。很多崩溃前必先报黄标警告，比如磁盘SMART预警、服务启动超时，只筛“错误”会漏掉前兆信号。
第三步：在“包括事件ID”栏中输入 41,6008,1001,7031（英文逗号分隔）。这四个ID分别对应：内核级异常重启、非正常关机、蓝屏本体记录、后台服务意外终止。填错一个ID或用了中文逗号，筛选就会失效。
Windows 桌面自动化技能，支持鼠标控制（移动/点击/拖拽/滚轮/截图）、键盘输入（文字输入/按键/组合键）、窗口管理（查找/聚焦/最大化/最小化/关闭/移动）、截图并发送文件。提供两种截图方式：Python pyautogui 截图（集成在自动化流程中）和 PowerShell + .NET 零依赖截图（支持区域截图和多显示器）。当用户需要自动化 Windows 桌面操作、控制鼠标键盘、管理窗口、执行 GUI 自动化任务、截图发送文件时使用。
第四步：设置时间范围。回忆你最后一次看到报错的时间点，在筛选窗口中填入该时刻前后各5分钟——【不设时间窗，等于在三年日志里翻找10秒故障】。
点击“确定”，列表即压缩为3～5条高价值线索。
从错误事件中提取核心信息
方法一：双击筛选出的红色错误条目 → 切换到“详细信息”选项卡 → 拉到底部查看XML数据区 → 找第一个
方法二：回到“常规”选项卡，重点看“描述”字段。若含 “Faulting module:” 字样，后面紧跟的模块名就是最可疑对象；若描述末尾写着 “The computer has rebooted from a bugcheck”，说明这是蓝屏本体记录。
方法三：在“描述”中搜索十六进制代码（如 0x0000003B）、英文错误名（如 CRITICAL_PROCESS_DIED）或参数编号（param1、param4），这些是微软官方定义的故障指纹，直接决定后续查什么。
交叉验证确认根因
① 去 C:\Windows\Minidump\ 查看是否有 .dmp 文件。没有，说明小内存转储未启用，需立刻在“系统属性→高级→启动和故障恢复”里设为“小内存转储(256 KB)”——【此设置必须在下次崩溃前完成，崩溃后无法补救】。
② 用 BlueScreenView 打开最新 .dmp 文件，比对其中 “Caused By Driver” 列与事件里 FailureBucketId 是否一致。
③ 在筛选出的错误事件时间点前后5分钟内，手动翻看“系统”和“应用程序”日志，查找其他错误或警告。例如：WHEA-Logger 错误反复出现 → 暗示硬件故障；Disk 或 StorPort 相关错误连续报出 → 硬盘或 SATA 控制器驱动异常。
