事件查看器是Windows系统内置的权威日志工具，通过Win+R输入eventvwr.msc可稳定打开；关键日志位于“Windows日志→系统”，筛选“错误/严重”级别并查看XML细节中的BugCheckCode、FailureBucketId等字段，可精准定位蓝屏、崩溃等故障根源。
当你遇到Windows系统报错、蓝屏、服务崩溃或异常关机时，系统已在后台自动生成结构化日志，这些原始记录全部集中在事件查看器中，不依赖第三方软件，且数据实时写入、不可篡改。
快速打开事件查看器
按下 Win + R 键调出运行框，输入 eventvwr.msc，回车执行。这是最稳定、权限最完整的启动方式，避免从开始菜单搜索时误点到旧版兼容工具或UWP伪装入口。
右键点击开始按钮 → 选择“事件查看器”也可进入，但部分精简版系统镜像会隐藏该选项；若点击后提示“找不到”，请立即改用 Win+R 方式。
定位关键日志源
在左侧导航树中，依次展开 Windows 日志 → 点击 系统。这是排查驱动加载失败、硬件响应超时、电源管理异常（如ID 41）、服务启动卡死（如ID 7000）的首选位置。
若问题表现为某款软件闪退或功能失效，改选 应用程序 日志；若涉及登录失败、权限拒绝、账户锁定，则必须查看 安全 日志。
【注意：不要在“应用程序和服务日志”节点下盲目翻找——这里存放的是第三方程序自定义日志，系统级故障线索99%集中在“Windows 日志”主分支中】
筛选错误事件精准定位
右键单击当前打开的日志名称（例如“系统”），选择“筛选当前日志”。
在弹出窗口中，只勾选 错误 和 严重 两个级别，其他全部取消。这能瞬间剔除95%以上的信息类和警告类干扰项，让真正导致故障的红色叉号条目直接浮现在列表顶部。
若已知具体事件ID（如蓝屏后怀疑是显卡驱动问题，可填入 41,1001,6008），在“事件ID”框中粘贴，英文逗号分隔；时间范围建议设为最近24小时，避免拉取数月前的陈旧记录拖慢界面响应。
Windows 桌面自动化技能，支持鼠标控制（移动/点击/拖拽/滚轮/截图）、键盘输入（文字输入/按键/组合键）、窗口管理（查找/聚焦/最大化/最小化/关闭/移动）、截图并发送文件。提供两种截图方式：Python pyautogui 截图（集成在自动化流程中）和 PowerShell + .NET 零依赖截图（支持区域截图和多显示器）。当用户需要自动化 Windows 桌面操作、控制鼠标键盘、管理窗口、执行 GUI 自动化任务、截图发送文件时使用。
提取有效诊断线索
步骤一：在筛选结果中，找到带红色叉号、时间戳最接近报错发生时刻的条目，双击打开。
步骤二：切换到“详细信息”选项卡 → 点击底部的“XML 视图”链接。此处显示原始结构化数据，比上方摘要栏更可靠。
步骤三：重点查找以下字段：BugCheckCode（如0x0000007E）、FailureBucketId（含驱动文件名如nvlddmkm.sys）、EventData下的param1–param4值。这些是微软官方诊断体系的核心标识，直接决定下一步该更新驱动、更换硬件还是重装系统。
步骤四：记下该事件的“来源”字段（如Kernel-Power、Service Control Manager），它指向触发错误的系统组件，不是表面现象而是根本动因。
导出日志供他人分析
在事件查看器主界面右侧“操作”面板中，点击“保存全部事件为…”。
保存类型选 .evtx 格式，这是Windows原生二进制格式，保留完整时间戳、用户上下文与XML元数据，比.csv或.txt更权威。
文件名建议包含日期与问题关键词，例如：system_error_20261023_bsod.evtx。导出后可直接发给技术支持，无需额外解释字段含义。
