事件查看器是定位死屏故障的核心工具，通过系统日志中的bugcheck（id 1001）、id 41、6008、1002等关键事件，结合停止代码、驱动名和时间戳，可精准追溯物理层或驱动层异常。

如果您在电脑运行过程中突然死屏并伴随报错代码，系统通常已将崩溃上下文记录于事件查看器中。这些结构化日志包含蓝屏类型、错误代码、触发驱动及时间戳等关键线索，是定位物理层或驱动层故障的原始依据。以下是通过事件查看器追踪死屏原因的多种方法：

一、直接调用事件查看器并定位系统日志节点

该方式绕过图形界面响应依赖，确保在桌面卡顿或资源管理器无响应时仍可稳定进入日志中枢，精准加载承载内核级异常的“系统”日志分支，为后续筛选提供可靠数据源。

1、按下Win + R组合键，调出“运行”对话框。

2、输入eventvwr.msc，注意无空格、无引号、无拼写错误，按回车执行。

3、在左侧控制台树中，依次展开Windows 日志 → 系统，右侧主窗口即显示全部系统级事件，最新条目位于顶部。

二、筛选专属崩溃事件ID缩小分析范围

系统死屏常触发一组高识别度事件ID，如BugCheck（蓝屏本体）、ID 41（Kernel-Power非正常重启）、ID 6008（意外关机）、ID 1001（蓝屏后自动重启），这些ID构成结构化证据链，可跳过冗余日志直取核心异常记录。

1、在左侧导航栏中右键点击“系统”日志项。

2、选择筛选当前日志。

3、在“事件级别”区域勾选错误和关键。

4、在“包括事件ID”栏中输入41,6008,1001,1002，使用英文逗号分隔。

5、点击确定，列表刷新为仅含目标崩溃事件的精简视图。

三、解析BugCheck事件获取原始蓝屏代码与驱动模块

BugCheck事件是蓝屏死机的唯一原始记录，其XML数据中嵌入十六进制停止代码（如0x0000003B）、四个参数值及引发崩溃的驱动文件名（如nvlddmkm.sys），是人工判读故障物理位置的核心依据。

1、在筛选后的列表中查找“来源”列为BugCheck且图标为红色错误的条目。

2、双击打开，切换至详细信息选项卡。

3、滚动至XML数据区，定位第一个标签内的值——该值即为Stop Code（停止代码）。

4、继续查找第四个节点内容，该字段通常对应引发崩溃的驱动模块名称（例如dxgkrnl.sys）。

5、返回“常规”选项卡，确认事件ID为1001，描述中含“The computer has rebooted from a bugcheck”字样。

四、交叉验证ID 41事件确认死屏时间锚点

ID 41事件由Kernel-Power组件生成，表明系统遭遇强制断电、电源异常或未完成关机流程即重启，是死屏后最稳定的伴随日志，可用于锁定崩溃发生时刻，并在前后5分钟内比对其他错误事件以发现关联线索。

1、在已筛选日志中查找“事件ID”为41、“来源”为Kernel-Power的条目。

2、双击打开，在“常规”选项卡中确认描述含系统已在不关闭的情况下重新启动。

3、记录该事件的精确日期与时间（精确到秒），以此为基准，在同一时间窗内检查BugCheck、应用程序错误及其他关键事件。

五、通过PowerShell命令提取结构化崩溃事件

PowerShell提供原生命令行日志查询能力，支持按时间范围、事件ID、来源及严重级别多维组合过滤，可导出纯文本结果用于离线比对或批量分析，适用于脚本化巡检或远程诊断场景。

1、以管理员身份运行PowerShell。

2、执行命令：Get-WinEvent -FilterHashtable @{LogName='System'; ID=41,1001; Level=1,2} -MaxEvents 50 | Format-List TimeCreated, Id, ProviderName, Message。

3、观察输出结果中每条记录的TimeCreated时间戳、Id事件编号及Message字段中的错误模块与参数摘要。

4、若需导出为CSV供Excel分析，追加管道命令：| Export-Csv -Path "$env:USERPROFILE\Desktop\crash_events.csv" -Encoding UTF8。