深色模式
资源监视器与事件查看器
本章你将学到：任务管理器看不出来的东西去哪看——资源监视器能告诉你"哪个进程在读哪个文件、连了哪个地址"；可靠性监视器能给你一条崩溃时间线；事件查看器能告诉你程序崩溃时"是谁把它弄崩的"。还有事件 ID、错误模块这些字段怎么读，以及怎么让用户把日志导出来给技术。
什么时候用得上：任务管理器已经确认"磁盘 100%"但不知道是谁在读哪个盘；程序闪退、消失、无响应但没有任何报错；蓝屏后要找原因；怀疑被安全软件干掉但没有拦截记录；需要给技术同事提供"崩溃时刻的系统日志"。
这几个工具和任务管理器的关系
任务管理器 告诉你"哪个硬件忙、哪个程序占用高"。但它有几个回答不了的问题：
| 问题 | 任务管理器 | 答案在哪 |
|---|---|---|
| 磁盘 100%，是哪个进程在读哪块盘的哪个文件？ | 只能看到每个进程的读写速度总和 | 资源监视器 → 磁盘 |
| 某个进程连了哪些服务器地址？ | 只能看到网速 | 资源监视器 → 网络 |
| 某个文件"正在使用"，是谁占着？ | 看不出 | 资源监视器 → CPU → 关联的句柄 |
| 程序昨天下午崩过几次？ | 只看当前 | 可靠性监视器 |
| 程序闪退为什么？崩在哪个模块？ | 看不出 | 事件查看器 → 应用程序日志 |
| 蓝屏代码是什么？昨晚是不是断电了？ | 看不出 | 事件查看器 → 系统日志 |
大白话
任务管理器是体温计，告诉你在发烧。资源监视器是听诊器，告诉你是哪个部位在响。事件查看器是病历本，把过去发生的每一次异常都记着，翻到对应的时间就知道当时出了什么事。
资源监视器
怎么打开
让用户怎么做（两种都行）：
- "按 Win + R，输入
resmon，回车。" - "打开任务管理器（Ctrl + Shift + Esc），点'性能'，窗口最底下有一行'打开资源监视器'，点它。"
预期看到什么：一个比任务管理器复杂的窗口，上面有五个标签：概述、CPU、内存、磁盘、网络。每个标签下面有几个可以展开收起的表格。
注意
资源监视器数据量大，用户第一眼会晕。让他操作时只盯着一个标签、一个表格，明确说"点上面的'磁盘'，然后看中间那个叫'磁盘活动'的表格"。截图时也只截那个标签。
概述
四个表格的精简版，各显示几行。有用的地方是最上面的进程表：勾选某个进程前面的方框后，下面所有表格都会只显示这个进程的活动。这是过滤的核心操作，其他标签页也一样。
CPU 标签：找文件占用者、看注入的模块
上面是进程列表（可勾选过滤），下面有两个重要表格：
关联的句柄：显示进程打开了哪些文件、注册表项、其他资源。右边有一个搜索框。
这是解决**"文件正在使用"找不到占用者**的标准方法：
- "点上面的'CPU'标签。"
- "找到中间'关联的句柄'那一栏，右边有一个搜索框，输入被占用的文件名（比如
client.exe或者文件夹名），回车。" - "下面会列出正在占着这个文件的进程，截图给我。"
| 搜索结果 | 说明 |
|---|---|
| 列出了某个进程 | 就是它占着。看进程名判断是谁：我们自己的进程（没关干净）、杀软（正在扫描 / 隔离）、explorer.exe（文件夹开着或预览着）、云盘同步（OneDrive、百度网盘）、System（系统缓存或还没释放） |
| 什么都没列出来 | 此刻没人占着，或者占用是间歇性的。让用户重试触发问题的操作后马上再搜 |
列出的是 svchost.exe | 某个系统服务占着，右边有 PID，可以在任务管理器详细信息页对照 |
关联的模块：显示进程加载了哪些 dll。排查注入类崩溃时用：勾选我们的游戏或客户端进程，看关联的模块里有没有第三方 dll（杀软的、覆盖层的、输入法的、屏幕录制的）。这些 dll 出现在我们的进程里就是被注入了，是崩溃嫌疑。见 常见软件冲突。
内存标签
上面是每个进程的内存明细，下面是一根彩色条显示物理内存分配情况。
| 列 | 含义 |
|---|---|
| 提交 | 程序申请的总量 |
| 工作集 | 实际占着的物理内存 |
| 可共享 | 可以和别的进程共用的部分（dll 等） |
| 专用 | 只有它自己用的部分——判断某进程真正吃了多少内存看这列 |
| 硬错误/秒 | 程序要的数据不在内存里、需要从硬盘读回来的次数。持续几十上百 = 内存不够，正在拼命用硬盘当内存，电脑必卡。见 内存 |
磁盘标签：磁盘 100% 是谁在读哪个盘
这是资源监视器最有价值的页面。
三个表格：
磁盘活动的进程：每个进程的读、写、总字节/秒。和任务管理器差不多。
磁盘活动：每一行是一个正在被读写的文件，显示哪个进程、什么文件路径、读多少、写多少、响应时间。
让用户怎么做：
- "点上面的'磁盘'标签。"
- "找到中间那个叫'磁盘活动'的表格，点它标题栏里的'总数（B/秒）'那一列，让它从大到小排。"
- "把这个表格截图给我，要能看到'映像'和'文件'两列的完整内容。文件路径太长的话把那一列拉宽一点。"
结果怎么解读：
| 看到 | 说明 |
|---|---|
| 映像是我们的客户端 / 游戏，文件路径是游戏安装目录下的文件 | 游戏本身在读，正常。看文件路径开头的盘符就知道它装在哪个盘；结合任务管理器那个盘的型号判断快慢 |
映像是 System，文件是 C:\pagefile.sys | 系统在读写虚拟内存，说明物理内存不够。见 内存 |
映像是 MsMpEng.exe（Defender）或其他杀软进程，文件是游戏目录下的文件 | 杀软在扫描游戏文件，拖慢加载。见 安全软件与拦截 |
映像是 SearchIndexer.exe | Windows 搜索在建索引，通常过一会儿自己停 |
映像是 TiWorker.exe、svchost.exe，文件在 C:\Windows\SoftwareDistribution 或 WinSxS | Windows 更新在下载 / 安装，见 系统更新与电源 |
| 映像是 OneDrive、百度网盘、坚果云等 | 云盘在同步。如果同步的是游戏目录里的文件，会锁文件、拖速度 |
映像是 System，文件是 C:\$LogFile、$Mft、$BitMap | 文件系统自身的维护，少量正常，大量持续 = 盘可能有问题 |
文件路径是 C:\Windows\Prefetch\... 或 C:\Windows\Temp\... | 系统预读 / 临时文件，正常 |
| 响应时间列普遍几百 ms 以上 | 盘忙不过来，见下面"存储"表 |
存储：每一块逻辑盘（C:、D:）一行，显示它在哪块物理磁盘上、活动时间、可用空间、总空间、磁盘队列长度。
| 项目 | 怎么读 |
|---|---|
| 逻辑磁盘 / 物理磁盘 | 告诉你 D 盘、E 盘是不是在同一块物理盘上。同一块盘上的分区互相抢速度 |
| 活动时间 | 和任务管理器一样 |
| 磁盘队列长度 | 排队等着处理的请求数。持续 > 2（机械盘）或 > 5（SSD）说明盘已经忙不过来了。几十以上几乎肯定是盘慢或盘坏 |
| 可用空间 | 顺便看剩余空间，< 10% 的盘性能会下降 |
大白话
任务管理器告诉你"超市收银台排满了"，资源监视器的磁盘活动告诉你"排队的都是谁、买的什么"，存储表的队列长度告诉你"队伍有多长"。三个一起看，就知道是收银员太慢（盘慢）还是有人一次买了一车东西（某进程大量读写）。
网络标签：哪个进程连了哪些地址
四个表格：
| 表格 | 内容 | 用途 |
|---|---|---|
| 网络活动的进程 | 每个进程的发送 / 接收速度 | 谁在占带宽 |
| 网络活动 | 每一行是一个进程对一个地址的流量 | 看我们的客户端在连哪些地址、看有没有陌生进程在大量上传 |
| TCP 连接 | 每个连接的本地端口、远程地址、远程端口、丢包（%）、延迟（毫秒） | 看我们的连接延迟和丢包（注意只对 TCP 连接有效，游戏对战多用 UDP，这里看不到） |
| 侦听端口 | 哪些进程在哪些端口上等待连接，以及防火墙状态 | 防火墙状态列显示"允许，受限制"或"不允许"——判断防火墙是否拦了我们 |
让用户怎么做：
- "点上面的'网络'标签。"
- "把'网络活动'和'TCP 连接'两个表格展开，如果收起来了点一下标题。"
- "在最上面'网络活动的进程'里勾选我们客户端的进程，下面就只显示它的连接。截图给我。"
| 看到 | 说明 |
|---|---|
| 客户端连着几个地址，延迟几十 ms，丢包 0 | 正常 |
| 客户端的远程地址是 127.0.0.1 或 一个内网地址，端口是 7890 / 1080 / 10809 等 | 流量在走本机代理（加速器 / 科学上网工具）。见 代理、VPN 与加速器 |
| 客户端没有任何连接 | 连不出去——防火墙、代理设置、DNS 解析失败。见 登录 / 连接失败 |
| 陌生进程大量"发送" | 上传流量被占：云盘、P2P、挖矿、被控。看进程名 |
| 侦听端口里我们的进程防火墙状态是"不允许" | 被防火墙拦了入站，见 安全软件与拦截 |
性能监视器
perfmon 是更专业的计数器工具，可以画任何指标的长时间曲线。客服日常用不到它画图，但它有一个非小白友好的功能值得知道：
系统诊断报告：
- "按 Win + R，输入
perfmon /report，回车。" - "会开始收集 60 秒，别关窗口。"
- "60 秒后出来一份报告，最上面'警告'部分有的话截图给我。"
报告里会直接列出"内存不足""某设备驱动缺失""某磁盘可用空间低""某服务未运行"这类结论性警告，可以当作一次快速体检。其余部分不用管。
可靠性监视器
这是最适合小白的历史记录工具。它以天为单位画一条时间线，把每天发生的程序崩溃、系统崩溃、软件安装 / 卸载、更新用图标标出来。
怎么打开
- "按 Win + R，输入
perfmon /rel，回车。" - 或："在开始菜单搜索'可靠性'，点'查看可靠性历史记录'。"
怎么读
| 看到 | 含义 |
|---|---|
| 上面的折线 | 系统稳定性指数，1–10。掉下去的那天出了事 |
| 红色圆圈带叉 | 关键事件：应用程序故障（崩溃）、Windows 故障（蓝屏 / 意外关机）、其他故障 |
| 黄色三角叹号 | 警告：某个安装 / 更新失败 |
| 蓝色圆圈 i | 信息：成功安装了软件、驱动、更新 |
| 点某一天 | 下面列出这天的所有事件，每一条有来源（哪个程序）、摘要、日期、操作 |
| 事件的"操作"列 → "查看技术详细信息" | 显示错误模块、异常代码等，和事件查看器 1000 事件的内容一致 |
排查时怎么用：
- 让用户点问题最近发生的那天，看红叉，读"来源"是不是我们的程序。
- 往前翻：问题是从哪一天开始的？那一天和前一天有没有蓝色 i（装了什么、更新了什么）？ 这是"最近改了什么"最客观的答案，用户自己往往记不住。
- 看红叉的频率：每天都崩 vs 偶尔崩一次，排查方向不同。
大白话
可靠性监视器像一本日历，每天有事就贴个标签。用户说"不知道什么时候开始的"，翻日历一看，红叉是从装了某个软件的第二天开始出现的——线索就有了。
让用户怎么截图："把整个窗口截图，要能看到上面的时间线和下面的事件列表。然后点最近一个红叉的那天，再截一张。"
事件查看器
事件查看器是 Windows 的日志中心。系统、驱动、服务、每个程序的重要事件都记在这里。它信息量大、界面老，但在"程序无声无息消失"这类问题上，它是唯一能告诉你发生了什么的地方。
怎么打开
- "按 Win + R，输入
eventvwr，回车。" - 或："右键开始按钮，选'事件查看器'。"
预期看到什么：左边一棵树，中间是列表，右边是操作栏。左边展开"Windows 日志"，下面有五项：应用程序、安全、Setup、系统、转发事件。
三个主要日志的区别
| 日志 | 记什么 | 客服什么时候看 |
|---|---|---|
| 应用程序 | 程序自己报的事：崩溃（Application Error）、无响应（Application Hang）、.NET 异常、Windows 错误报告 | 程序闪退、消失、卡死 |
| 系统 | 系统和驱动报的事：驱动加载失败、服务启动失败、蓝屏记录、非正常关机、磁盘错误、网卡断连、显卡驱动重置 | 蓝屏、掉线、显卡驱动崩、硬盘问题、开机异常 |
| 安全 | 登录、审核、权限变更 | 几乎不看 |
| Setup | 系统更新安装记录 | 更新失败时看 |
| 应用程序和服务日志（另一个分支） | 各组件自己的日志，很深，比如 Microsoft-Windows-Diagnostics-Performance 记开机慢原因 | 技术同事用，客服知道有就行 |
级别
| 级别 | 图标 | 含义 |
|---|---|---|
| 关键 | 红色圆圈叉 | 严重故障，比如 Kernel-Power 41（非正常关机） |
| 错误 | 红色感叹号 | 出错了。崩溃、失败都在这一级 |
| 警告 | 黄色三角 | 不正常但没挂。大量警告有时是问题前兆 |
| 信息 | 蓝色 i | 正常记录，比如服务启动、更新完成 |
| 详细 | 灰色 | 调试信息 |
排查时先只看关键 + 错误，然后再看警告。信息级别的数量巨大，别被淹没。
按时间定位崩溃时刻
这是用事件查看器最重要的方法。核心是"先知道几点几分崩的"。
让用户怎么做：
- "先告诉我大概几点几分崩的，越精确越好。如果不记得，重新让它崩一次，看一眼右下角时间。"
- "打开事件查看器，左边点开'Windows 日志'，点'应用程序'。"
- "中间的列表默认按时间倒序，最新的在最上面。找到崩溃那个时间前后一两分钟的、级别是'错误'的那几行。"
- "点其中一行，下面'常规'标签会显示内容。把上面的列表和下面的内容一起截图。"
- "然后左边点'系统'，同样找那个时间点前后的错误，截图。"
用筛选减少噪音（用户能接受时用）：
- "右边操作栏点'筛选当前日志'。"
- "'事件级别'勾上'关键'和'错误'，点确定。"
- 如果只想看崩溃："'包括/排除事件 ID'那一格输入
1000,1001,1002，点确定。"
常见事件来源
应用程序日志：
| 来源 | 事件 ID | 含义 | 下一步 |
|---|---|---|---|
| Application Error | 1000 | 程序崩溃。内容里有：应用程序名称、版本、错误模块名称、异常代码、错误偏移 | 读错误模块和异常代码，见下一节 |
| Windows Error Reporting | 1001 | 错误报告。和 1000 成对出现，内容里有"问题签名"，信息基本重复 | 可以不看，但导出时一起导 |
| Application Hang | 1002 | 程序无响应（卡死后被用户或系统结束）。和 1000 的区别：1000 是自己崩，1002 是卡死 | 看 崩溃 / 闪退 里"卡死"那一支 |
| .NET Runtime | 1026 | .NET 程序抛出未处理异常。内容里会有异常类型和堆栈 | 看堆栈第一行是哪个程序集；结合 运行库 |
| Application Error | 1005 | 程序无法访问某文件（"Windows 无法访问文件"） | 磁盘 / 网络位置问题 |
| SideBySide | 33 / 35 / 59 / 80 | 并行配置错误——运行库缺失或损坏 | 见 运行库 |
| Windows Error Reporting | 1001，内容含 "BlueScreen" | 系统日志里更常见，见下面 | |
| MsiInstaller | 1033 / 11708 / 11707 | 安装程序成功 / 失败 | 安装失败时看 |
| Microsoft-Windows-Security-SPP | 各种 | 激活相关，噪音 | 忽略 |
| ESENT、Perflib、Software Protection Platform | 各种 | 噪音 | 忽略 |
系统日志：
| 来源 | 事件 ID | 含义 | 下一步 |
|---|---|---|---|
| Kernel-Power | 41（关键） | 系统没有正常关机就重启了：断电、按了重启键、蓝屏、电源不足、过热保护。内容里的 BugcheckCode 不为 0 = 蓝屏；为 0 = 断电 / 硬重启 / 电源问题 | 蓝屏看 1001；BugcheckCode 0 看 散热与电源 |
| EventLog | 6008 | 上次关机是意外的 | 和 41 成对 |
| BugCheck | 1001 | 蓝屏记录。内容里有"错误检查 0x000000xx"和转储文件路径 | 见 常见报错解读 蓝屏部分 |
| WHEA-Logger | 17 / 18 / 19 / 47 / 1 | 硬件错误（CPU、内存、PCIe、总线）。17/19 是已修正的轻微错误，18/47 是致命错误 | 大量出现 = 硬件不稳定（超频、内存、供电）。见 硬件总览 |
| Display | 4101 | 显示驱动程序已停止响应并已恢复（TDR）。内容里有驱动名 nvlddmkm（NVIDIA）/ amdkmdag（AMD）/ igdkmd64（Intel） | 显卡驱动 / 显卡过热 / 显卡供电，见 设备管理器与驱动、崩溃 / 闪退 |
| nvlddmkm / amdkmdag | 各种 | 显卡驱动自己报的错 | 同上 |
| Service Control Manager | 7000 / 7009 / 7011 / 7023 / 7031 / 7034 | 服务启动失败 / 超时 / 意外终止。内容里有服务名 | 如果是我们的服务（反作弊）：被拦截或损坏，见 反作弊（R0Guard）；如果是系统服务：见 服务、启动项与后台进程 |
| Service Control Manager | 7045 | 安装了新服务 | 看时间对应装了什么 |
| Disk | 7 / 11 / 51 / 153 / 157 | 磁盘错误：坏块（7）、控制器错误（11）、分页操作错误（51）、IO 重试（153）、磁盘被意外移除（157） | 重复出现 = 硬盘可能要坏或线松了。见 存储、磁盘与文件 |
| Ntfs | 55 / 98 / 137 / 140 | 文件系统结构损坏 / 需要 chkdsk | 见 磁盘与文件 |
| volmgr | 161 | 转储文件创建失败 | 蓝屏后没生成 dump，参考 |
| WLAN-AutoConfig | 4001 / 8001 / 8003 | WiFi 断开 / 连接 / 断开原因 | 掉线时间对照，见 卡顿 / 掉线 |
| e1dexpress / e2fexpress / rt640x64 / rtwlane / Netwtw | 27 / 32 / 各种 | 网卡驱动报告网络断开 / 连接（Intel 有线、Realtek 有线、Realtek 无线、Intel 无线） | 对照掉线时间；频繁出现 = 网卡驱动 / 线材 / 节能设置问题，见 设备管理器与驱动 |
| Tcpip | 4227 / 4231 | 端口耗尽 | 少见 |
| DistributedCOM | 10016 | 权限噪音 | 忽略，几乎每台电脑都有 |
| Schannel | 36871 / 36874 | 加密握手噪音 | 大多忽略；大量出现且时间点吻合登录失败时记录 |
| Time-Service | 各种 | 时间同步 | 时间不对导致登录失败时看 |
| Kernel-PnP | 219 | 某设备驱动加载失败 | 内容里有设备名 |
| Kernel-Boot、Kernel-General | 各种 | 开机信息 | 参考 |
| Microsoft-Windows-Kernel-Power | 105 / 109 / 506 / 507 | 电源状态切换（睡眠 / 唤醒） | 唤醒后问题的时间对照，见 系统更新与电源 |
注意
事件查看器里每台正常的电脑都有一堆错误。DistributedCOM 10016、Schannel、Security-SPP、Perflib 这些基本是噪音。不要看到红色就说"系统有问题"。正确的用法是按时间定位：只看问题发生那几分钟的事件，其他时间的错误跟你的问题大概率无关。
读"错误模块"字段
事件 1000 的内容大致长这样（截图里"常规"标签的文字）：
错误应用程序名称: client.exe，版本: 1.2.3.4，时间戳: 0x65a1b2c3
错误模块名称: nvwgf2umx.dll，版本: 32.0.15.6094，时间戳: 0x66c0d1e2
异常代码: 0xc0000005
错误偏移量: 0x000000000012ab34
错误进程 ID: 0x1f40
错误应用程序路径: D:\R0\client.exe
错误模块路径: C:\Windows\System32\DriverStore\FileRepository\nv_dispi.inf_amd64_xxx\nvwgf2umx.dll四个关键字段：错误应用程序名称（谁崩了）、错误模块名称（崩在谁的代码里）、异常代码（怎么崩的）、错误模块路径（那个模块是谁家的）。
错误模块名称怎么读：
| 错误模块 | 说明 | 指向 |
|---|---|---|
和错误应用程序同名（如崩的是 client.exe，模块也是 client.exe） | 崩在程序自己的代码里 | 程序 bug 或数据损坏。记录版本号和偏移量升级给技术，见 何时升级、如何升级 |
| 我们自己的某个 dll | 同上 | 同上 |
ntdll.dll、KERNELBASE.dll、kernel32.dll、ucrtbase.dll | 系统核心库。绝大多数情况不是系统坏了，而是程序传了非法数据给系统，系统在这里报出来。信息量低 | 结合异常代码判断；如果同时有第三方 dll 注入，优先怀疑注入 |
nvwgf2umx.dll、nvoglv64.dll、nvd3dumx.dll、nvlddmkm.sys | NVIDIA 显卡驱动 | 显卡驱动问题：太新 / 太旧 / 损坏；或显卡过热 / 不稳定。见 设备管理器与驱动 |
atidxx64.dll、amdxc64.dll、atiumd64.dll、amdvlk64.dll | AMD 显卡驱动 | 同上 |
igd10iumd64.dll、igdumdim64.dll、ig9icd64.dll | Intel 显卡驱动 | 同上。笔记本双显卡如果崩在 Intel 驱动里，说明游戏跑在集显上 |
d3d11.dll、d3d9.dll、dxgi.dll、D3DCompiler_47.dll | DirectX 运行时 | 通常是显卡驱动或 DirectX 组件问题，见 运行库 |
MSVCP140.dll、VCRUNTIME140.dll、msvcr120.dll | VC++ 运行库 | 运行库损坏，重装对应版本，见 运行库 |
clr.dll、coreclr.dll、mscorwks.dll | .NET 运行时 | .NET 组件问题或 .NET 程序异常，见 运行库 |
WebView2Loader.dll、msedgewebview2.exe、embeddedbrowserwebview.dll | WebView2 | 客户端界面组件问题，见 浏览器与 WebView2 |
杀软的 dll（如带 360、hipsengine、qq、kis、avp、McAfee、sysfer、hr 等字样） | 杀软注入到进程里 | 杀软冲突，见 安全软件与拦截 |
覆盖层的 dll（GameOverlayRenderer64.dll Steam、DiscordHook64.dll、RTSSHooks64.dll、nvspcap64.dll NVIDIA 截图、overlay 字样） | 覆盖层注入 | 覆盖层冲突，见 常见软件冲突 |
输入法 dll（ChsIME.dll、SogouPY、QQPinyin 等） | 输入法注入 | 切换到系统自带输入法验证 |
unknown，模块路径为空，错误偏移量是一个很大的地址 | 崩在一个没名字的地方——内存被破坏、被注入的代码、损坏的文件 | 优先怀疑注入和内存（见 内存）；同时看关联的模块 |
| 网吧管理软件的 dll | 网吧软件注入 | 见 网吧机器的特点 |
异常代码怎么读（详细见 常见报错解读）：
| 异常代码 | 含义 |
|---|---|
0xc0000005 | 访问冲突（读写了不该读写的内存）。最常见的崩溃码，本身不指向任何一层，要结合错误模块 |
0xc0000409 | 栈缓冲区溢出 / 安全检查失败 |
0xc00000fd | 栈溢出 |
0xc0000374 | 堆损坏 |
0xe0434352 | .NET 未处理异常，去看 1026 事件 |
0xc000001d | 非法指令——程序用了 CPU 不支持的指令（老 CPU 跑新程序）或代码被破坏 |
0x80000003 | 断点——程序主动停下（调试断言） |
0xc0000135 / 0xc0000139 | 找不到 dll / 找不到 dll 里的函数，见 运行库 |
0xc000007b | 32/64 位不匹配或 dll 损坏，见 运行库 |
导出日志给技术
导出整个日志（技术要完整日志时）：
- "左边右键点'应用程序'（或'系统'），选'将所有事件另存为'。"
- "文件名随便起，比如
app.evtx，保存到桌面。" - "弹出'显示信息'的框选'不显示信息'，确定。"
- "同样操作一遍'系统'，存成
sys.evtx。两个文件发给我。"
只导出筛选后的：先筛选（见上面），然后右键 → "将筛选的日志文件事件另存为"。
复制单条事件为文字（最快，适合聊天里发）：
- "点选那一行事件。"
- "下面'常规'标签的内容框里，右键 → 全选，右键 → 复制。或者在右边操作栏点'复制' → '以文本复制'。"
- "粘贴到聊天框发给我。"
截图：至少要包含 列表里那一行（能看到时间、来源、事件 ID）+ 下面"常规"标签的全部文字。文字被截断的话点"详细信息"标签，或者拉大窗口。
展开：给技术同事时最好一并提供的东西
- 崩溃的精确时间（用户说的 + 事件里显示的）
- 事件 1000 的完整文字（不只截图，最好是文本）
- 同一时间点系统日志里有没有 Display 4101、WHEA、Disk 错误
- 可靠性监视器截图（看是不是从某天开始的）
- 如果有
C:\Windows\Minidump下的 .dmp 文件（蓝屏）或任务管理器"创建转储文件"生成的 .dmp（程序卡死），一并打包 - 客户端自己的日志文件，见 日志
常见误区
- 看到事件查看器里一片红就说系统坏了。 每台电脑都有大量噪音错误。按时间定位，只看问题时刻的。
- 只看应用程序日志不看系统日志。 显卡驱动重置、蓝屏、断电、磁盘错误、网卡断连全在系统日志里。两个都看。
- 看到错误模块是
ntdll.dll就说"系统文件损坏，重装系统"。 ntdll 出现在错误模块里几乎不代表系统有问题，它只是报错的地方。看异常代码和是否有注入。 - 把 Kernel-Power 41 当成蓝屏。 BugcheckCode 为 0 的 41 是断电 / 硬重启 / 电源问题，不是蓝屏。
- 不问用户几点崩的就去翻日志。 没有时间点，日志等于大海。
- 让用户用资源监视器看所有东西。 只让他看一个标签、一个表格、一个排序，否则他会放弃。
- 忘了可靠性监视器。 它是回答"从哪天开始的、那天装了什么"最简单的工具。
对排查意味着什么
| 症状 | 用哪个工具、看什么 | 对应排查页 |
|---|---|---|
| 磁盘 100% 但不知道谁在读哪个盘 | 资源监视器 → 磁盘 → 磁盘活动，按总数排序看映像和文件路径 | 启动慢 |
| "文件正在使用"找不到谁占着 | 资源监视器 → CPU → 关联的句柄，搜文件名 | 下载慢 / 失败、磁盘与文件 |
| 怀疑被注入导致崩溃 | 资源监视器 → CPU → 关联的模块，看游戏进程里的第三方 dll；事件 1000 的错误模块 | 崩溃 / 闪退、常见软件冲突 |
| 客户端连不上 / 怀疑走了代理 | 资源监视器 → 网络 → TCP 连接，看远程地址是否 127.0.0.1 | 登录 / 连接失败 |
| 程序无声消失、没有报错 | 事件查看器 → 应用程序 → 崩溃时刻有没有 1000 / 1002。有 = 自己崩了；没有 = 被外力结束（杀软 / 网吧软件），见 安全软件与拦截 | 崩溃 / 闪退、无法启动 |
| 蓝屏 | 事件查看器 → 系统 → Kernel-Power 41 + BugCheck 1001 | 常见报错解读 |
| 掉线 | 事件查看器 → 系统 → 掉线时刻有没有网卡驱动 / WLAN-AutoConfig 事件 | 卡顿 / 掉线 |
| 画面卡死几秒后恢复 / 黑屏一下 | 事件查看器 → 系统 → Display 4101 | 崩溃 / 闪退、设备管理器与驱动 |
| "从什么时候开始的" | 可靠性监视器时间线 | 标准排查流程 |
| 反作弊服务起不来 | 事件查看器 → 系统 → Service Control Manager 7000 / 7009 / 7034 | 反作弊（R0Guard） |
自检问题
- 任务管理器显示磁盘 100%，你想知道是哪个进程在读哪块盘的哪个文件，用哪个工具、点哪个标签、看哪个表格？写出给用户的操作步骤。
- 事件查看器里"应用程序"和"系统"日志分别记什么？程序闪退和蓝屏分别去哪个日志找？
- 事件 ID 1000、1001、1002 分别是什么意思？1000 和 1002 的区别是什么？
- 事件 1000 里错误模块是
nvwgf2umx.dll、是ntdll.dll、是我们自己的 exe、是一个杀软的 dll，分别意味着什么？ - Kernel-Power 41 一定是蓝屏吗？怎么区分蓝屏和断电？
- 程序无声无息消失了，事件查看器里崩溃时刻没有任何 Application Error，这说明什么？下一步查哪里？
- 用户说不清"从什么时候开始出问题的"，用哪个工具能最快找到答案？