蓝屏等异常可借助事件查看器定位：按Win+R输入eventvwr.msc直达系统日志，筛选错误/警告、故障时段及关键ID（41,6008,1001,7031,153,13），重点分析ID1001的BugCheck蓝屏代码与故障模块，结合ID41核对非正常关机时间锚点。
如果您在使用 Windows 过程中遇到蓝屏、意外关机、服务崩溃或硬件失灵等异常现象，系统通常已将相关错误事件写入结构化日志，直接打开事件查看器并聚焦“系统”日志，用关键事件ID、故障时间窗和来源三重筛选，再盯紧错误描述里的具体模块和代码，就能快速定位大多数系统异常。
最快打开并直达系统日志
按 Win + R，输入 eventvwr.msc（无空格、无引号），回车。界面加载后，左侧依次展开：Windows 日志 → 系统。右侧默认按时间倒序排列，最新条目在最上方；红色图标是错误，黄色是警告。
这一步操作起来很简单，直接把命令敲进去就行，比点开始菜单快得多——尤其当桌面卡死、任务栏无响应时，它依然能稳稳启动。
精准筛选真正相关的错误
右键“系统”日志 → “筛选当前日志”，设置三项：
① 勾选“错误”和“警告”级别——很多崩溃前有磁盘预警、服务超时等黄标信号，漏掉它们可能错过关键前兆；
② 填入故障发生前后各 5～10 分钟 的时间范围，避开历史噪音；
③ 在“包括事件ID”栏输入：41,6008,1001,7031,153,13（英文逗号分隔）。
这些 ID 对应非正常重启、意外断电、蓝屏记录、服务崩溃、磁盘硬件警告、硬件错误——不是随便凑的数字，而是微软官方文档与多年现场排障验证出的高置信度组合。
从关键事件里挖出故障根源
方法一：重点看 ID 1001，来源为 BugCheck
双击该条目 → 切到“详细信息”选项卡 → 查第一个 值，即蓝屏代码（如 0x0000003B）；第四个 值通常是问题驱动（如 atikmdag.sys）。若“常规”选项卡末尾出现 Faulting module: 字样，后面那个文件名大概率就是肇事模块。
方法二：同步确认 ID 41，来源为 Kernel-Power
它说明系统未正常关机，常伴随蓝屏或硬重启；必须核对发生时间是否与您记得的崩溃时刻一致——这是整个时间线的锚点，错位就说明你筛错了时段。
注意：同一事件ID，在不同“来源”字段下代表完全不同的问题方向。比如 nvlddmkm 是 NVIDIA 显卡驱动，WHEA-Logger 指向 CPU 或内存硬件错误，Disk 则直指硬盘或 NVMe 控制器链路异常。
导出日志供进一步分析
右键“系统”日志 → “将所有事件另存为” → 保存为 .evtx 格式（保留全部原始结构）。
管理员身份运行 PowerShell，执行：
Get-WinEvent -FilterHashtable @{LogName='System'; Level=2; StartTime=(Get-Date).AddHours(-24)} | Export-Csv C:\errors.csv -NoTypeInformation
导出的 CSV 可用 Excel 打开，按 TimeCreated、EventID、Message 排序，一眼看清规律。这步做完后，日志线索已完整提取完毕。
