必须进入带网络连接的安全模式（按F5键）以绕过第三方干扰获取真实日志；在事件查看器中筛选系统/应用程序/安全日志，导出.evtx文件；并通过Minidump或PowerShell提取蓝屏及崩溃记录。
当电脑频繁蓝屏、启动卡死或软件异常崩溃，又无法在正常系统中打开事件查看器时，必须借助安全模式获取原始日志线索——因为安全模式绕过第三方驱动和自启动程序干扰，能真实反映系统底层报错。
进入带网络连接的安全模式
按住 Shift 键不放 → 点击“开始”菜单右下角电源图标 → 选择“重启” → 等待进入 WinRE 环境 → 依次点击“疑难解答” → “高级选项” → “启动设置” → “重启” → 重启后立即连按 F5 键（不是F4）。
这一步必须选 F5，选 F4 是纯安全模式，没有网络组件，后续无法下载日志分析工具或上传日志文件。F5 启动后桌面右下角会显示“安全模式，网络已启用”水印。
打开事件查看器并导出关键日志
按下 Win+R → 输入 eventvwr.msc → 回车。
左侧导航栏展开“Windows 日志”，重点检查三个位置：【系统】里筛选错误/警告级别、【应用程序】里找崩溃服务、【安全】里查登录失败记录。右键单击“系统” → “筛选当前日志” → 在“事件级别”勾选“错误”和“警告” → 点击“确定”。
筛选后若出现大量 ID 7000、7001、7026 类服务启动失败事件，说明某个驱动或服务在加载阶段已损坏；若全是 ID 41（内核意外关机），则需转向硬件排查。右键“系统” → “另存全部事件为…” → 保存类型选“事件交换格式（.evtx）” → 命名为 system_error_log_safe_mode.evtx → 存到桌面。
用命令行快速提取最近24小时崩溃日志
方法一：直接定位蓝屏 dump 文件
Win+R → 输入 sysdm.cpl → 切换到“高级”选项卡 → 点击“启动和故障恢复”下的“设置”按钮 → 查看“写入调试信息”路径，默认是 C:\Windows\Minidump\。打开该文件夹，里面以日期命名的 .dmp 文件就是蓝屏快照，双击任一文件可被 WinDbg 自动关联分析。
方法二：用 PowerShell 提取最近崩溃摘要
右键“开始” → 选择“Windows PowerShell（管理员）” → 粘贴执行：
Get-WinEvent -FilterHashtable @{LogName='System'; ID=41,1001; StartTime=(Get-Date).AddHours(-24)} -MaxEvents 50 | Export-Csv "$env:USERPROFILE\Desktop\crash_summary.csv" -Encoding UTF8
这条命令只抓取过去24小时内最相关的两个崩溃事件（ID 41 是意外关机，ID 1001 是 Windows 错误报告记录），避免日志刷屏。生成的 CSV 文件可直接用 Excel 打开，列明时间、错误代码、故障模块名。
