Windows蓝屏日志分析关键在于串联验证：先用事件查看器筛选ID 1001/41事件获取BugCheckCode和FailureBucketId；再确认C:\Windows\Minidump\下存在MiniMMDDYY-XX.dmp文件；接着用BlueScreenView识别非微软签名致崩驱动；最后以WinDbg Preview执行!analyze -v，通过STACK_TEXT定位首个异常.sys模块。
第三方驱动崩溃是 windows 蓝屏（bsod）最常见的原因，日志分析的关键不在于“找错误”，而在于“确认谁在错误时刻执行了非法操作”。系统本身不会直接说“xx.sys 崩了”，而是留下 bugcheckcode、堆栈快照和模块签名线索，需要你串联验证。
查事件查看器，锁定蓝屏发生时刻与错误类型
这是最快的第一步，无需安装任何工具：
- 按 Win + R，输入 eventvwr.msc 回车
- 左侧展开 Windows 日志 → 系统
- 右键“系统”→“筛选当前日志”，在“事件ID”栏填入 1001,41（英文逗号），勾选“错误”
- 找到最新一条红色叉号事件，双击打开，在“详细信息”→“XML”中查找：
• BugCheckCode（如 0x000000D1）
• FailureBucketId（常含驱动名，如 nvlddmkm.sys）
• DriverName 或 FaultingModulePath 字段
确认 Minidump 文件存在并可用
没有 .dmp 文件，后续所有深度分析都无从谈起：
- 打开资源管理器，地址栏粘贴：C:\Windows\Minidump\ 回车
- 若文件夹为空，说明未启用小内存转储：
→ 右键“此电脑”→“属性”→“高级系统设置”→“启动和故障恢复”→“设置”
→ “写入调试信息”选 小内存转储(256 KB)，路径确认为 %SystemRoot%\Minidump - 检查是否有类似 Mini060326-01.dmp 的文件（日期格式为 MMDDYY）
用 BlueScreenView 快速识别可疑驱动
它把复杂的堆栈翻译成可读表格，特别适合判断哪个第三方驱动反复致崩：
- 从 NirSoft 官网下载 BlueScreenView.exe（免安装）
- 运行后自动扫描 Minidump 目录；若未加载，点菜单栏“选项”→“扫描其他 dump 文件夹”手动指定
- 主界面中：
• 蓝色高亮行 = 当前选中的崩溃记录
• 重点看 Caused By Driver 列 —— 非微软签名的 .sys 文件（如 RTKVHD64.sys、igdkmd64.sys）就是高危目标
• 双击该行，底部窗格显示堆栈调用链，确认顶部（Top Stack）是否与该驱动一致
用 WinDbg Preview 深度验证崩溃上下文
当 BlueScreenView 给出线索后，用 WinDbg 做最终确认——它能告诉你“为什么这个驱动会崩”：
- 从 Microsoft Store 安装 WinDbg Preview（免费官方工具）
- 以管理员身份运行 → “打开转储文件” → 选择最新 .dmp
- 命令窗口输入：!analyze -v 回车
- 重点关注：
• BUGCHECK_STR：错误类型字符串（如 DRIVER_IRQL_NOT_LESS_OR_EQUAL）
• IMAGE_NAME：出错模块全名（如 mydriver.sys）
• STACK_TEXT 区域：从上往下读，第一个非 ntoskrnl.exe 的 .sys 就是关键嫌疑对象
• 若显示 Symbols not loaded for mydriver.sys，需手动配置符号路径或联系驱动厂商获取 PDB
