需用事件ID、时间窗和来源三重条件精准筛选Windows系统日志，关键ID包括41（非正常关机）、6008（意外断电）、1001（蓝屏）、7031（服务崩溃）、153（磁盘警告）、13（硬件错误），时间窗建议故障前后5–10分钟，并导出为.evtx或CSV格式供分析。
当你需要从Windows系统日志中快速揪出蓝屏、意外关机或磁盘报错等特定故障线索时，不能靠滚动翻找上万条记录，必须用事件ID、时间窗和来源三重条件精准锁定目标日志，再导出结构化文件供分析或提交支持。
定位并筛选关键错误事件
按下 Win + R，输入 eventvwr.msc（无空格无引号），回车启动事件查看器。
左侧依次展开 Windows 日志 → 系统，右侧默认按时间倒序排列，最新事件在最上方。
右键“系统”日志 → 选择“筛选当前日志”，打开筛选窗口。
勾选“错误”和“警告”级别——很多崩溃前会出现磁盘SMART预警、服务超时等黄色信号，忽略它们可能错过前兆。
在“包括事件ID”栏输入：41,6008,1001,7031,153,13（英文逗号分隔）；这些ID分别对应非正常关机、意外断电、蓝屏记录、服务崩溃、磁盘硬件警告、硬件错误。
设置时间范围：点击“事件发生的日期”→勾选“起始日期”和“结束日期”，填入故障发生前5分钟至后10分钟——【时间窗过宽会混入大量无关日志，过窄可能漏掉前置告警】。
点击“确定”，中间窗格立即只显示匹配的红色/黄色条目，优先双击ID 1001（BugCheck）和ID 41（Kernel-Power）查看详情。
导出筛选结果为标准.evtx文件
筛选完成后，右键当前“系统”日志节点（不是右侧列表中的某条事件），选择“将已筛选的日志另存为…”。
注意：必须选这个选项，而非“将所有事件另存为”，否则导出的是全部日志，白筛了。
在保存对话框中，指定路径（如桌面）、输入文件名（例如 System_Errors_20261110.evtx）。
确认“保存类型”下拉菜单中选的是 Windows 事件日志 (*.evtx)——这是唯一保留完整XML结构、可被其他Windows机器原样打开的格式。
点击“保存”，文件生成完成，大小通常几MB到几十MB不等，取决于筛选结果数量。
用PowerShell导出带时间精度的错误CSV
以管理员身份运行 PowerShell（右键开始菜单 → Windows PowerShell（管理员））。
让 Windows 桌面程序在开机时静默自启并隐藏到系统托盘。特别适用于 Flutter、Electron 等无视 VBS/ProcessStartInfo 窗口样式、难以隐藏的顽固应用。提供「VBS 启动器 + Python ctypes/Win32 API」的隐藏窗口方案，可稳定把窗口收进托盘且不闪控制台。
执行以下命令，导出过去12小时内所有错误和警告事件为CSV：
Get-WinEvent -FilterHashtable @{LogName='System'; Level=2,3; StartTime=(Get-Date).AddHours(-12)} | Select-Object TimeCreated, Id, LevelDisplayName, ProviderName, Message | Export-Csv -Path "$env:USERPROFILE\Desktop\System_Errors.csv" -NoTypeInformation -Encoding UTF8
这条命令会自动把文件保存到桌面，文件名是 System_Errors.csv；Excel能直接打开，但记事本打开可能乱码——【务必用Excel或VS Code打开，否则Message字段里的换行和特殊符号会错位】。
如果只想导出蓝屏相关事件（ID 1001），把 FilterHashtable 中的 Id 加进去即可：
Get-WinEvent -FilterHashtable @{LogName='System'; Id=1001; Level=2} | ...
用wevtutil命令行导出筛选后的文本日志
以管理员身份运行命令提示符（CMD）。
先列出系统所有可用日志名称，确认目标是否存在：
wevtutil.exe el
执行带时间与ID过滤的导出，生成纯文本报告（便于快速扫读）：
wevtutil.exe qe System /q:"*[System[(Level=2 or Level=3) and (EventID=41 or EventID=1001) and TimeCreated[timediff(@SystemTime) C:\SysErrors_Report.txt
该命令导出最近2小时内ID为41或1001的所有错误/警告，保存为 SysErrors_Report.txt；【注意：7200000 是毫秒单位，对应2小时，别手误写成7200】。
用记事本打开C:\SysErrors_Report.txt，内容清晰分段，含时间、来源、任务类别和描述，适合发给同事快速过一遍。
