直接用转储文件定位肇事驱动只需三步：确认转储类型可用（优先MiniDump）、WinDbg中运行!analyze -v自动分析、重点检查堆栈和模块签名；小内存转储含崩溃线程、内核堆栈、驱动列表及异常信息，足以定位90%以上蓝屏驱动。
直接用转储文件定位肇事驱动，核心就三步：确认转储类型是否可用、加载后运行自动分析、重点看堆栈和模块签名。不需要猜，windbg会把线索列清楚。
先确认你手里的.dmp文件够不够用
小内存转储（MiniDump）是日常排查的主力，它体积小（通常128–256KB），但包含崩溃线程、内核调用堆栈、已加载驱动列表和异常信息——这四样足够揪出90%以上的蓝屏驱动。如果你的C:\Windows\Minidump下有.dmp文件，且修改时间与蓝屏一致，基本可以直接用。若只有MEMORY.DMP，优先用内核转储；完整转储一般只在怀疑硬件或做安全取证时才需要。
- 检查路径：C:\Windows\Minidump，看是否有类似Mini100526-01.dmp的文件
- 若文件夹为空或访问被拒，需右键→属性→安全→编辑，给当前用户添加“读取”和“列出文件夹内容”权限
- 未生成文件？说明小内存转储未启用，需进“系统属性→高级→启动和故障恢复→写入调试信息”中选“小内存转储(256KB)”并确认路径为%SystemRoot%\Minidump
用WinDbg Preview打开并运行!analyze -v
这是整个分析流程中最关键的一条命令。它不是万能，但能快速告诉你崩溃触发点在哪、哪个模块最先出错、有没有明确的驱动签名线索。
Windows 日历同步
下载
将提醒同步至 Windows/Outlook 日历。用户提及「提醒我」「设置提醒」「加到日历」「同步到日历」「日程」「calendar」「日历」时触发。支持Microsoft Graph API 设备代码流认证，无需 Web 服务器，直接写入用户 Outlook 日历。
- 启动WinDbg Preview → File → Open Crash Dump → 选中.dmp文件
- 等待符号加载完成（底部状态栏显示“Symbols loaded”）
- 在命令窗口输入：!analyze -v，回车
- 重点关注输出中的三处：BUGCHECK_STR（错误类型）、DEFAULT_BUCKET_ID（归类标识）、PROCESS_NAME 和 MODULE_NAME（出问题的进程/驱动名）
顺着堆栈找最可疑的第三方驱动
!analyze -v给出的MODULE_NAME有时只是内核模块（如ntoskrnl.exe），真正的问题往往藏在它上面几层的调用者里。这时候要看STACK_TEXT区域，从下往上读，找到第一个非微软签名的驱动模块。
- 用命令kb（kernel backtrace）展开完整调用栈，观察每一行末尾的模块名，比如dxgkrnl+0x1a2b3c是微软显卡内核，而mydriver+0x4567就是可疑对象
- 用lmvm mydriver（把mydriver换成实际模块名）查看该驱动的详细信息：签名时间、公司名称、映像路径（常位于C:\Windows\System32\drivers\）
- 若模块名是UNKNOWN或无签名，大概率是未通过WHQL认证的第三方驱动，比如旧版Realtek网卡驱动、某些国产工具的内核服务、或破解软件注入的.sys文件
交叉验证：用BlueScreenView快速比对
作为辅助手段，BlueScreenView能直观列出所有.dmp文件中的驱动加载顺序和崩溃关联度，适合批量查看或快速筛选。
- 下载运行BlueScreenView → Options → Load All MiniDumps in This Folder → 指向Minidump文件夹
- 按“Caused By Driver”列排序，排在最上面的驱动，尤其是多次出现在不同.dmp文件中的，嫌疑最大
- 双击某行可查看该次崩溃的详细堆栈快照，与WinDbg结果对照，增强判断信心
