Windows蓝屏日志分析关键在于串联验证：先用事件查看器筛选ID 1001/41事件获取BugCheckCode和FailureBucketId；再确认C:\Windows\Minidump\下存在MiniMMDDYY-XX.dmp文件；接着用BlueScreenView识别非微软签名致崩驱动；最后以WinDbg Preview执行!analyze -v，通过STACK_TEXT定位首个异常.sys模块。

第三方驱动崩溃是 windows 蓝屏（bsod）最常见的原因，日志分析的关键不在于“找错误”，而在于“确认谁在错误时刻执行了非法操作”。系统本身不会直接说“xx.sys 崩了”，而是留下 bugcheckcode、堆栈快照和模块签名线索，需要你串联验证。

查事件查看器，锁定蓝屏发生时刻与错误类型

这是最快的第一步，无需安装任何工具：

• 按 Win + R，输入 eventvwr.msc 回车
• 左侧展开 Windows 日志 → 系统
• 右键“系统”→“筛选当前日志”，在“事件ID”栏填入 1001,41（英文逗号），勾选“错误”
• 找到最新一条红色叉号事件，双击打开，在“详细信息”→“XML”中查找：
    • BugCheckCode（如 0x000000D1）
    • FailureBucketId（常含驱动名，如 nvlddmkm.sys）
    • DriverName 或 FaultingModulePath 字段

确认 Minidump 文件存在并可用

没有 .dmp 文件，后续所有深度分析都无从谈起：

windows-auto

Windows 桌面自动化技能，支持鼠标控制（移动/点击/拖拽/滚轮/截图）、键盘输入（文字输入/按键/组合键）、窗口管理（查找/聚焦/最大化/最小化/关闭/移动）、截图并发送文件。提供两种截图方式：Python pyautogui 截图（集成在自动化流程中）和 PowerShell + .NET 零依赖截图（支持区域截图和多显示器）。当用户需要自动化 Windows 桌面操作、控制鼠标键盘、管理窗口、执行 GUI 自动化任务、截图发送文件时使用。

下载

• 打开资源管理器，地址栏粘贴：C:\Windows\Minidump\ 回车
• 若文件夹为空，说明未启用小内存转储：
    → 右键“此电脑”→“属性”→“高级系统设置”→“启动和故障恢复”→“设置”
    → “写入调试信息”选 小内存转储(256 KB)，路径确认为 %SystemRoot%\Minidump
• 检查是否有类似 Mini060326-01.dmp 的文件（日期格式为 MMDDYY）

用 BlueScreenView 快速识别可疑驱动

它把复杂的堆栈翻译成可读表格，特别适合判断哪个第三方驱动反复致崩：

• 从 NirSoft 官网下载 BlueScreenView.exe（免安装）
• 运行后自动扫描 Minidump 目录；若未加载，点菜单栏“选项”→“扫描其他 dump 文件夹”手动指定
• 主界面中：
    • 蓝色高亮行 = 当前选中的崩溃记录
    • 重点看 Caused By Driver 列 —— 非微软签名的 .sys 文件（如 RTKVHD64.sys、igdkmd64.sys）就是高危目标
    • 双击该行，底部窗格显示堆栈调用链，确认顶部（Top Stack）是否与该驱动一致

用 WinDbg Preview 深度验证崩溃上下文

当 BlueScreenView 给出线索后，用 WinDbg 做最终确认——它能告诉你“为什么这个驱动会崩”：

• 从 Microsoft Store 安装 WinDbg Preview（免费官方工具）
• 以管理员身份运行 → “打开转储文件” → 选择最新 .dmp
• 命令窗口输入：!analyze -v 回车
• 重点关注：
    • BUGCHECK_STR：错误类型字符串（如 DRIVER_IRQL_NOT_LESS_OR_EQUAL）
    • IMAGE_NAME：出错模块全名（如 mydriver.sys）
    • STACK_TEXT 区域：从上往下读，第一个非 ntoskrnl.exe 的 .sys 就是关键嫌疑对象
    • 若显示 Symbols not loaded for mydriver.sys，需手动配置符号路径或联系驱动厂商获取 PDB