事件查看器系统日志中筛选id 1001可快速定位蓝屏根源，通过xml视图查找bugcheckcode和causedbydriver/faultingmodulepath字段获取错误代码与故障驱动路径。
当你在 Windows 11 中遭遇蓝屏后自动重启，没来得及记下错误代码和驱动名，系统其实已把关键线索悄悄存进事件查看器——它不依赖 .dmp 文件就能提供精确时间戳、十六进制 BugCheckCode 和故障模块路径，是定位蓝屏根源最快的第一步。
打开事件查看器并定位系统日志
按下 Win + R 组合键，输入 eventvwr.msc，回车运行。这比从设置菜单层层点击快得多，尤其在桌面响应迟滞时仍能稳定调出。
左侧导航栏中，依次展开 Windows 日志 → 系统，确保焦点落在“系统”日志上。别误点“应用程序”或“安全”，它们不含蓝屏元数据。
筛选蓝屏专属事件ID
右侧操作面板点击 筛选当前日志，弹出窗口中直接在“事件ID”框内输入 1001，点击确定。这个 ID 对应 Windows 错误报告提交事件，覆盖 95% 以上蓝屏场景，比查 ID 41（意外关机）更精准指向崩溃本身。
若列表为空，说明系统未成功上报蓝屏事件——可能因网络策略拦截、WER 服务被禁用，或蓝屏发生时系统已彻底卡死无法提交。此时请跳转至 Minidump 分析环节。
提取关键诊断字段
在筛选结果中，找到类型为 错误 的最新一条记录，双击打开。
切换到 详细信息 选项卡，点击下方的 XML 视图，按 Ctrl + F 搜索 BugCheckCode——它是一串以 0x 开头的十六进制数，例如 0x0000003B；再搜索 CausedByDriver 或 FaultingModulePath，其值就是肇事驱动的完整路径，如 C:\Windows\System32\drivers\nvlddmkm.sys。
【CausedByDriver 字段若为空，不代表没有问题驱动，而是系统未能捕获具体模块；此时必须结合 Minidump 文件交叉验证】
交叉比对时间戳锁定目标条目
第一步：记下你印象中最接近蓝屏发生的时间，精确到分钟（例如 14:23）。
第二步：在筛选后的 1001 列表中，逐行查看每条记录的 日期和时间，找与你记忆最吻合的那一行。不要只看“最近一条”，有些用户蓝屏后反复重启，会生成多条 1001 事件，但只有真正触发蓝屏的那条才含有效 BugCheckCode。
第三步：双击该条目，在 XML 视图中确认 BugCheckCode 和 BugcheckString（如 SYSTEM_SERVICE_EXCEPTION）是否成对出现。若只有时间戳匹配却无这两个字段，说明该条目是错误报告失败的残留，需放弃。
