0x000000D5 即 DRIVER_CORRUPTED_EXPOOL，表明驱动程序非法向受保护的非分页池内存执行写入操作，核心原因是第三方驱动（如杀毒、虚拟光驱、录屏、超频套件或未签名网卡/声卡驱动）内存越界，而非系统文件损坏或硬件故障。
0x000000D5 是驱动层内存越界写入的典型信号，不是系统文件损坏或硬件故障的直接证据，但极大概率指向某个驱动在向受保护内存区域非法写入数据。
为什么 0x000000D5 不能只看错误代码本身
这个 Stop Code 的官方名称是 DRIVER_CORRUPTED_EXPOOL，意思是“驱动程序破坏了扩展池（非分页池）内存”。它不告诉你哪个驱动干的，只告诉你：内核刚检测到某段本该只读/只执行的内存被驱动强行写了数据——这是严重违规行为，系统必须立即终止。
常见诱因包括：
- 第三方杀毒软件（尤其是带内核过滤驱动的，如某些国产安全软件）
- 虚拟光驱、USB设备管理工具、录屏/直播驱动（OBS、Bandicam 等旧版驱动）
- 主板厂商提供的超频/监控套件（如 ASUS AI Suite、MSI Dragon Center）
- 网卡或声卡的非 WHQL 认证驱动（尤其从官网下载的 Beta 版）
用 !analyze -v 在 WinDbg 中确认肇事驱动
仅靠蓝屏截图或文字描述无法定位问题。你必须用 WinDbg 打开 C:\Windows\Minidump\*.dmp 文件，运行：
!analyze -v
重点关注输出中这几行：
-
IMAGE_NAME:后面的 .sys 文件名（比如xxguard.sys、rt640x64.sys） -
MODULE_NAME:和FUNCDIFF:行，常能暴露调用栈中的异常模块 - 如果看到
nt!ExFreePoolWithTag或nt!ExAllocatePoolWithTag崩溃在非预期地址，基本可断定是驱动释放/分配内存时越界
注意：winver 显示为 Win11 24H2 的机器，若 dump 中出现 dxgkrnl.sys 或 dxgmms2.sys 相关调用，要优先怀疑显卡驱动——特别是使用了 NVIDIA Studio 驱动或 AMD Adrenalin 的测试版。
安全模式下快速隔离可疑驱动
别急着重装系统。先在安全模式下做三件事：
- 运行
msconfig→ “服务”选项卡 → 勾选“隐藏所有 Microsoft 服务”，然后点击“全部禁用”；重启后观察是否还蓝屏 - 打开设备管理器 → 查看“网络适配器”、“显示适配器”、“声音、视频和游戏控制器”下是否有带黄色感叹号的设备，右键 → “属性” → “驱动程序”选项卡 → 点“回退驱动程序”（如果可用）
- 检查
C:\Windows\System32\drivers\下最近 7 天新增的 .sys 文件（按修改时间排序），记下文件名，去其官网查是否已知兼容性问题
特别提醒：0x000000D5 在 Win11 上近年高频出现在使用 Realtek Audio 控制台或 Killer Network Suite 的机器上——这两款软件自带的驱动常未通过微软签名验证，且更新滞后。
绕过驱动签名强制检查的风险与替代方案
有些用户会尝试用 bcdedit /set testsigning on 来加载未签名驱动，但这反而加剧 0x000000D5 风险。Win11 22H2+ 默认启用 HVCI（基于虚拟化的安全），未签名驱动根本无法加载；强行绕过只会让内存池校验失效，让问题更隐蔽。
真正有效的做法是：
- 卸载所有非必要第三方驱动管理工具（如 Driver Booster、IObit Driver Scanner）
- 从硬件厂商官网下载对应 Win11 的 WHQL 认证驱动，而非 Windows Update 自动推送的通用版
- 对 Realtek、Conexant、Killer 等芯片组，优先选用 OEM 品牌官网提供的定制驱动（如 Dell、Lenovo 官网支持页下的音频/网卡驱动）
最常被忽略的一点：0x000000D5 很少单独出现。如果你的 dump 文件里同时存在多个不同 IMAGE_NAME 的报错（比如一次 dump 里出现 avp64.sys 和 RTKVHD64.sys），说明多个驱动在争抢同一段内存池——这时必须全部清理，不能只处理一个。
