必须通过计算机管理→系统工具→事件查看器→Windows日志→系统，右键筛选ID 6005、6006、6009、41、1001等关键事件，再导出.evtx文件供分析，可快速定位开机/关机异常、蓝屏及硬件错误。
要通过“计算机管理”工具快速定位系统运行异常、驱动加载失败或硬件报错等线索，必须直接打开系统日志查看器，而不是依赖第三方软件或命令行临时查询。
从计算机管理入口直达系统日志
右键点击“此电脑”→选择“管理”，等待“计算机管理”窗口加载完成；若弹出用户账户控制（UAC）提示，点击“是”继续。
在左侧树形菜单中依次展开“系统工具”→“事件查看器”→“Windows 日志”，此时右侧列表即显示“应用程序”“安全”“系统”等日志类型。
双击“系统”，右侧主面板立即加载全部系统级事件，包括启动/关机记录、驱动程序错误、WHEA硬件错误等原始条目。
筛选关键系统事件ID快速定位问题
右键单击“系统”日志→选择“筛选当前日志”。
在“事件ID”输入框中填入 【6005, 6006, 6009, 41, 1001】，用英文逗号分隔——这组ID覆盖正常开机（6005）、正常关机（6006）、非正常关机（6009）、内核意外终止（41）、蓝屏后首次启动的WHEA错误（1001），是诊断系统稳定性最核心的组合。
点击“确定”后，列表仅保留这些高价值事件，避免被数千条信息类日志淹没。
导出系统日志供技术支持分析
方法一：图形界面导出
右键“系统”日志→“将所有事件另存为”→在保存对话框中，将“保存类型”设为“事件文件 (*.evtx)”→文件名建议包含日期和设备标识，例如 System_20261104_DELLXPS.evtx →点击“保存”。
方法二：命令行快速备份（适用于批量操作）
以管理员身份运行命令提示符，执行：
wevtutil qe System /q:"*[System[(EventID=6005 or EventID=6006 or EventID=41)]]" /f:evtx /rf:"C:\Logs\System_Critical.evtx"
该命令只导出开机、关机与崩溃三类事件，生成体积更小、重点更突出的.evtx文件，便于邮件发送或上传支持平台。
