必须先启用内存转储功能并获取有效.dmp文件，再用事件查看器初筛错误代码与驱动，最后以WinDbg Preview执行!analyze -v深度解析堆栈与故障模块。
电脑蓝屏后想搞清到底哪块出了问题，必须拿到真实的崩溃现场证据——也就是.dmp日志文件，再用专业工具解码其中的驱动调用链、错误代码和内存状态，否则所有猜测都是拍脑袋。
确认系统已开启内存转储功能
这一步不做，后续所有分析都无从谈起。蓝屏发生时若未启用转储，硬盘上根本不会生成任何.dmp文件，你翻遍C盘也找不到线索。
右键“此电脑”→选择“属性”→点击左侧“高级系统设置”→切换到“高级”选项卡→在“启动和故障恢复”区域点击“设置”→在“写入调试信息”下拉菜单中【必须选“小内存转储（256 KB）”或“内核内存转储”】→确认“转储文件”路径显示为C:\Windows\Minidump\（小转储）或C:\Windows\MEMORY.DMP（内核转储）→取消勾选“自动重新启动”，避免蓝屏一闪而过丢失错误代码→点击“确定”保存并重启生效。
手动提取最新有效的.dmp文件
启用设置后，下次蓝屏才会生成文件。但系统可能残留旧日志、空文件或权限受限的临时文件，不能见.dmp就拷。
打开文件资源管理器，直接进入C:\Windows\Minidump\目录。
若该目录为空，立即检查C:\Windows\MEMORY.DMP是否存在（仅内核/完全转储模式下生成）。
在Minidump目录内，按“修改日期”降序排列，选取最新一条且文件大小明显大于0 KB的.dmp文件（如080426-18922-01.dmp），【切勿复制名称含“Pending”或“Temp”的文件，它们是未写完的残缺日志】。
将该文件复制到D盘或U盘根目录下，路径不含中文、空格或特殊符号，例如D:\crash\080426-18922-01.dmp。
用事件查看器快速定位蓝屏元数据
无需等待WinDbg加载符号，就能立刻看到错误代码、出错驱动名和崩溃时间戳，适合初步筛查驱动冲突。
按下Win + R，输入eventvwr.msc回车，打开事件查看器。
左侧展开“Windows 日志”→点击“系统”→右侧点击“筛选当前日志”→在“事件ID”框中输入1001→点击“确定”。
在结果中找到类型为“错误”、来源为“BugCheck”的最新条目，双击打开→切换到“详细信息”选项卡→滚动查找以下三项：
• BugCheckCode（如0x0000003B）
• BugcheckString（如SYSTEM_SERVICE_EXCEPTION）
• FaultingModulePath（如C:\Windows\System32\drivers\nvlddmkm.sys）。
用WinDbg Preview深度解析.dmp文件
这是真正还原崩溃瞬间执行路径的唯一可靠方式，能定位到具体函数调用、堆栈帧和第三方驱动模块。
方法一：微软商店搜索“WinDbg Preview”，下载安装→右键图标选择“以管理员身份运行”。
方法二：启动后点击菜单栏“File”→“Start debugging”→“Open dump file”→浏览并选中你之前导出的.dmp文件。
等待加载完成（进度条走完、底部状态栏显示“Ready”）→在命令窗口输入【!analyze -v】并回车→等待解析完成（通常需30秒至2分钟，取决于符号缓存是否就绪）→重点查看“FAILURE_BUCKET_ID”、“PROCESS_NAME”、“IMAGE_NAME”及“STACK_TEXT”区块。
若首次运行提示“无法加载符号”，在命令窗口粘贴并执行：
SRV*C:\Symbols*https://msdl.microsoft.com/download/symbols→回车→再输!analyze -v重试。
