关机蓝屏需先保留错误信息：按scroll lock键暂停画面或启用内核转储；再通过事件查看器筛选id 7031/41/10016定位卡死进程；接着在安全模式下禁用非核心启动项与服务并逐个验证；最后用process monitor追踪关机时失败的文件操作。
电脑在关机过程中突然蓝屏，说明系统正尝试终止关键进程时遭遇不可恢复的异常，常见于后台服务未响应、驱动强行拦截关机流程或系统文件校验失败。此时不能直接重启，必须保留现场线索才能定位阻塞源。
强制保留关机蓝屏画面并提取错误信息
关机蓝屏一闪即逝？按下电源键强制断电前，先按住 【Scroll Lock】 键——多数主板会因此暂停蓝屏输出，让错误代码和故障模块名完整显示至少10秒。若无效，需启用内核转储捕获：开机进入桌面后立即以管理员身份运行 PowerShell → 输入 reg add "HKLM\SYSTEM\CurrentControlSet\Control\CrashControl" /v CrashDumpEnabled /t REG_DWORD /d 1 /f → 回车 → 再执行 reg add "HKLM\SYSTEM\CurrentControlSet\Control\CrashControl" /v LogEvent /t REG_DWORD /d 1 /f → 重启后复现关机蓝屏，系统将自动生成 memory.dmp 文件。
这一步不做，后续所有排查都是盲猜。dump 文件默认存于 C:\Windows\Memory.dmp，大小通常 1–2GB，务必确保 C 盘剩余空间 >5GB。
从事件查看器定位关机前最后活跃进程
正常开机后，立刻打开事件查看器：Win+R → 输入 eventvwr.msc → 回车 → 展开“Windows 日志”→“系统”。
点击右侧“筛选当前日志”，在“事件来源”中勾选 【Service Control Manager】、【Kernel-Power】、【DistributedCOM】，时间范围设为“最近1小时”，点击确定。
重点查找带“Error”级别的事件，尤其是 ID 7031（服务意外终止）、ID 41（内核电源事件异常）、ID 10016（DCOM 权限拒绝）——这些事件的时间戳若紧贴关机时刻（如 23:59:58），其“详细信息”标签页里的“服务名称”或“应用程序”字段，就是实际卡死的进程名，例如 AdobeIPCBroker.exe 或 OneDrive.exe。
注意：ID 10016 常被误判为权限问题，实则是某进程在关机时仍试图调用 DCOM 接口却超时，根源往往是第三方软件未适配 Windows 关机协议。
安全模式下禁用可疑启动项与服务
方法一：任务管理器快速清理
Ctrl+Shift+Esc 打开任务管理器 → 切换到“启动”选项卡 → 对所有“高/中”启动影响的条目右键 → “禁用”。
方法二：msconfig 深度屏蔽
Win+R → 输入 msconfig → 回车 → 切换到“服务”选项卡 → 勾选“隐藏所有 Microsoft 服务” → 点击“全部禁用” → 切换到“启动”选项卡 → 点击“打开任务管理器” → 在启动页再次全禁用 → 应用并重启。
方法三：PowerShell 精准停服（推荐）
以管理员身份运行 PowerShell → 输入 Get-CimInstance Win32_Service | Where-Object {$_.StartMode -eq 'Auto' -and $_.Name -notmatch '^(winmgmt|eventlog|lsass|cryptsvc|DcomLaunch|RpcSs)$'} | ForEach-Object { Set-Service $_.Name -StartupType Disabled } → 回车。该命令只禁用非核心自启服务，保留 lsass.exe 等认证必需进程，避免进不了系统。
执行任一方法后，正常关机测试。若不再蓝屏，说明阻塞源已被隔离；再逐个启用服务/启动项，每次启用后关机验证，直到复现蓝屏——最后启用的那个，就是罪魁祸首。
使用 Process Monitor 追踪关机时的进程行为
第一步：下载 Sysinternals Suite（官方免费）→ 解压后以管理员身份运行 ProcMon64.exe。
第二步：点击工具栏“过滤器”→“过滤器…”→ 添加规则：
① “Process Name” → “is not” → “svchost.exe” → “Include”
② “Operation” → “is” → “CreateFile” → “Include”
③ “Path” → “contains” → “\Windows\System32\” → “Include”
点击“Add”→“OK”。
第三步：点击左上角录制按钮（红色圆点）→ 立即开始关机 → 蓝屏出现瞬间强制断电 → 开机后打开 ProcMon → 点击“文件”→“保存”→ 将日志保存为 .pml 文件。
第四步：重新打开该 .pml 文件 → 按“Time of Day”倒序排列 → 拉到最后 5 秒 → 查找状态为“PATH NOT FOUND”或“ACCESS DENIED”的 CreateFile 操作 → 其“Path”列显示的 DLL 或配置文件路径，就是进程试图加载却失败的资源，往往指向损坏的软件组件或残留注册表项。
这一步能直接看到进程在关机最后一毫秒做了什么，比看 dump 更直观。但必须在蓝屏前开启录制，断电后日志才有效。
