kernel_security_check_failure蓝屏表明内核检测到关键数据结构损坏，需通过windbg分析minidump定位肇事驱动（如rtwlane.sys），结合参数1值（如=3为list_entry损坏）判断根源，并启用小内存转储确保后续可分析。
Win11蓝屏显示 KERNEL_SECURITY_CHECK_FAILURE，说明内核在运行中检测到关键数据结构（如 LIST_ENTRY、堆栈 Cookie 或虚函数表）已被非法修改或损坏，系统为自保强制崩溃——这不是偶发错误，而是驱动冲突、内存越界、硬件异常或系统文件已受损的明确信号，必须通过分析 .dmp 文件精确定位肇事模块。
用 WinDbg Preview 提取 minidump 中的肇事驱动
第一步：下载并安装 WinDbg Preview（Microsoft Store 免费应用），安装后无需配置即可使用。
第二步：找到蓝屏生成的 minidump 文件，默认路径是 C:\Windows\Minidump\，文件名形如 Mini101226-01.dmp（日期+序号），【必须确认该文件创建时间与最近一次蓝屏完全吻合】，不要误选旧文件或空文件（大小小于 1KB 的可直接跳过）。
第三步：右键该 .dmp 文件 → “打开方式” → 选择 WinDbg Preview → 等待加载完成（状态栏显示 “Ready” 即可）。
第四步：在底部命令行输入 !analyze -v 回车 → 等待分析结束（通常 3–8 秒），重点关注 “FAILURE_BUCKET_ID” 行末尾的驱动名（如 rtwlane.sys、nvlddmkm.sys、dxgmms2.sys）和 “IMAGE_NAME” 下方的具体模块路径。
这一步能直接锁定 90% 以上案例中的问题驱动，后续所有修复动作都应围绕该模块展开。
从蓝屏界面手动记下参数1值判断损坏类型
蓝屏画面左下角会显示四组十六进制数值，其中第一组就是参数1（Parameter 1），它决定了内核检测到的是哪类结构损坏，是快速分类问题根源的关键依据。
参数1 = 3 → 最常见，代表 LIST_ENTRY 链表损坏（多由驱动双重移除、未同步访问引发）；
参数1 = 0 或 2 → 堆栈缓冲区溢出（/GS 检查失败），大概率指向内存超频或恶意软件；
参数1 = 1 → VTGuard 检测到非法虚函数表调用，几乎全是第三方安全软件或旧版驱动导致；
参数1 = 10 → 间接调用保护失败，常见于破解工具、注入类程序或被篡改的系统服务。
记下这个值后，立刻关机拔掉所有 USB 外设再重启测试——若蓝屏消失，说明参数1=3 或 =10 的情况极可能由外设固件触发，无需继续分析 dump。
用 BlueScreenView 快速比对多次蓝屏的共性模块
方法一：下载 NirSoft BlueScreenView（绿色免安装，官网直链），解压后直接双击运行。
方法二：启动后软件自动扫描 C:\Windows\Minidump\ 下全部 .dmp 文件，按“Crash Time”倒序排列，左侧列出每次蓝屏的 STOP CODE、参数、驱动名和堆栈摘要。
重点看“Caused By Driver”列，找出连续三次以上出现在同一位置的驱动文件名（例如每次都是 rtwlanu.sys 或 atikmdag.sys），【该驱动就是高概率肇事者，不是嫌疑，是实锤】。
方法三：右键该驱动名 → “Open Driver File Location”，观察文件属性中“修改日期”是否早于系统更新日（如 2024 年的驱动在 2026 年 Win11 更新后突然报错），这种时间错位是驱动不兼容的铁证。
启用小内存转储确保下次蓝屏有分析依据
第一步：右键“开始”→“系统”→左侧“高级系统设置”→“启动和故障恢复”区域点“设置”。
第二步：“写入调试信息”下拉菜单选【小内存转储（256 KB）】→ “转储文件”路径确认为 %SystemRoot%\Memory.dmp（默认即可）→ 点“确定”保存。
第三步：管理员权限运行 cmd，执行命令：bcdedit /set {current} bootlog yes → 回车启用启动日志，方便后续交叉验证驱动加载顺序。
这一步做完，下次蓝屏必生成有效 .dmp，且体积小、加载快、WinDbg 分析准——没开这个，前面所有分析步骤都可能因缺少数据而失效。
