通过事件查看器系统日志筛选关键事件id可精准定位自动重启根源：1074（user32）表计划内操作，6008（eventlog）表意外关机，41（kernel-boot）表非正常重启，1001（wer）表崩溃模块；需以重启时间为中心前后追溯2–5分钟，结合whea-logger、驱动错误等交叉分析。
直接看事件查看器里的“系统”日志，重点筛选几个关键事件id和来源，就能快速定位自动重启的根源。不需要猜，也不用重装系统。
聚焦关键事件ID和来源
打开事件查看器 → 左侧展开“Windows 日志” → 点击“系统”，右侧点“筛选当前日志”：
- 事件ID 1074（来源 User32）：记录了计划内重启或关机，含发起者、原因代码（如“应用程序维护”“更新安装”）、备注内容，是判断是否人为/策略触发的第一线索
- 事件ID 6008（来源 EventLog）：表示“意外关机”，说明系统没走正常关机流程就断电或崩溃了，需结合前后几秒内的其他错误一起查
- 事件ID 41（来源 Kernel-Boot）：类型为“Critical”的事件，代表系统在未正常关机情况下重启，常与电源故障、过热、硬件异常或驱动强制终止相关
- 事件ID 1001（来源 Windows Error Reporting）：如果之前生成过内存转储（minidump），这里会记录崩溃前最后的错误模块，即使没看到.dmp文件，也可能有线索
按时间轴交叉比对
自动重启不是孤立事件，要以重启发生的时间点为中心，往前推2–5分钟，往后看启动初期（比如ID 12、13、100来自 Microsoft-Windows-Kernel-General 或 volmgr）：
- 若重启前密集出现“WHEA-Logger”错误（硬件错误架构），大概率是CPU、内存或主板问题
- 若频繁伴随“nvlddmkm”（NVIDIA显卡驱动）或“dxgkrnl”（DirectX内核）报错，且多发生在游戏或高负载时，优先排查显卡驱动或散热
- 看到“Service Control Manager”中某服务反复“超时启动”或“意外终止”，可能该服务崩溃拖垮系统
排除常见干扰项
有些日志看着吓人，但和重启无关，注意过滤：
- 忽略“信息”级别事件，除非它紧邻6008或41出现并带异常上下文
- “DistributedCOM”类警告通常不影响稳定性，不用优先处理
- 系统更新后的首次重启会带ID 19（来源 Microsoft-Windows-WindowsUpdateClient），属正常行为，但若更新后持续重启，就要查更新安装日志（C:\Windows\Logs\WindowsUpdate）
- BIOS/UEFI固件日志不在Windows事件查看器里，如怀疑固件问题，需进BIOS查看告警或更新固件
导出与进一步分析
如果自己看不出明显规律，可导出最近24小时的系统日志（右键“系统”→“将所有事件另存为”，格式选.evtx），用工具如 Microsoft’s Event Log Explorer 或 PowerShell 命令辅助分析：
例如快速提取所有重启前后3分钟的错误：
Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3; StartTime=(Get-Date).AddHours(-1)} | Where-Object {$_.Id -in 41,6008,1074} | Sort-Object TimeCreated
