藍屏之後唔好淨係影相：minidump、可靠性監視器、事件檢視器三招留證據

藍屏最惱人嘅地方，唔係佢藍，而係佢閃得太快。你仲未拎起手機，部機已經重啟返入桌面，得返你一個人對住個桌面發呆：「頭先個 code 係咩嚟㗎？」

好消息係：Windows 每次藍屏，都會自動留低證據，唔使你影相咁狼狽。今篇教你搵返三份證據——minidump 傾印檔、可靠性監視器、事件檢視器，全部都係 Windows 內置，唔使裝嘢。同埋最重要嘅：點讀先唔會誤讀，唔好將線索當診斷書。

如果你未睇過之前兩篇，建議先睇返《Windows 藍屏通用指南》（藍屏係咩、點初步排查）同《Windows 更新後藍屏點算》（更新情境三步分流）。今篇係證據篇：藍屏發生之後，點樣將真相留低。

一、第一份證據：minidump（細記憶體傾印）

藍屏嗰一刻，Windows 會將出事嗰陣嘅記憶體快照寫入硬碟，呢個就係 dump 檔。預設寫嘅係「細記憶體傾印」（small memory dump／minidump），256KB 左右，細到唔覺眼，但已經包咗停機碼、出事嗰條執行緒、載入緊嘅驅動清單——查藍屏夠用。

喺邊度搵：C:\Windows\Minidump。入面每個 .dmp 檔名都編咗日期，例如 Mini022900-01.dmp 就係 2 月 29 日嗰次（來源：techdows.com）。揀最新嗰個，就係最近一次藍屏。

第一個檢查：你部機有冇開住 dump？有啲人為咗慳位，或者跟網上「優化教學」亂㩒，熄咗 dump 寫入，結果藍屏之後乜都冇留低。檢查路徑：「設定」→「系統」→「關於」→「進階系統設定」→「啟動及修復」→「設定」，睇下「寫入偵錯資訊」係咪揀咗「細記憶體傾印」。如果係「無」，改返做細記憶體傾印。呢個係常見錯誤之一：為慳少少位，抌咗成個黑盒。（來源：axeetech.com）

第二個檢查：Minidump 資料夾係咪吉嘅？如果明明藍屏過，但資料夾吉嘅，可能原因有幾個：dump 被熄咗（上面嗰個）、系統磁碟冇位寫、或者分頁檔（page file）設定有問題——寫 dump 需要系統碟上面有分頁檔。呢啲就係要逐樣排除嘅技術位，唔好估。

有個好重要嘅限制要講明：minidump 只覆蓋出事嗰一刻嗰條執行緒嘅資料，唔係成個系統快照。如果連續幾次藍屏，每次 dump 指住唔同嘅驅動，就唔好再死跟 minidump，要轉用更大嘅核心記憶體傾印（kernel memory dump）先睇到全貌。呢個係進階操作，一般用家去到呢步，應該停手送檢。（來源：techdows.com）

二、第二份證據：可靠性監視器（最易上手）

如果你覺得上面嗰啲太技術，呢個啱你。可靠性監視器（Reliability Monitor）係 Windows 內置嘅「身體檢查時間線」：開「開始」選單，打「可靠性」，揀「檢視可靠性記錄」，就會見到一條時間線，上面有紅色交叉——每一個交叉，就係一次系統崩潰或者程式失敗，撳入去會見到停機碼同失敗類型。（來源：windowsreport.com、axeetech.com）

呢個工具嘅價值唔係技術深度，而係時間線。佢答到三個關鍵問題：藍屏係幾時開始密嘅？密之前你裝過咩、更新過咩？係咪每次都同一個停機碼？好多時，齋睇呢條時間線，已經可以將「元兇」縮窄到某一次更新、某一個新裝嘅軟件、某次加嘅硬件。呢啲時間對應，就係送修嗰陣最值錢嘅資料。

仲有一個用法：喺可靠性監視器入面可以「儲存可靠性記錄」，匯出成檔案，帶去維修舖或者貼去求助嗰陣用。唔使你逐隻字抄停機碼。

三、第三份證據：事件檢視器（三個關鍵 Event）

事件檢視器（Event Viewer）係 Windows 嘅「黑盒記錄儀」，所有系統事件都記低。藍屏相關，記住三個編號就夠（來源：axeetech.com）：

• Event 41，來源 Kernel-Power：「系統未正常關機就重啟」。呢個唔等於藍屏——突然斷電、長撳電源掣強制關機，都會出呢個。佢只證明「上次唔係正常關機」，唔好將佢當成藍屏證據本身。
• Event 6008：「上次關機係非預期」。同 41 類似，係佐證，唔係主菜。
• Event 1001，來源 BugCheck：呢個先係主菜。佢會列出停機碼，例如 MEMORY_MANAGEMENT，同埋四個參數。將呢個 Event 嘅時間，同可靠性監視器嘅紅交叉、Minidump 檔名嘅日期對一對，三份證據互相印證，先至係完整嘅證據鏈。

進階少少，可以用 PowerShell 一句㩒晒所有 BugCheck 記錄出嚟（來源：windowsreport.com）：

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Microsoft-Windows-WER-SystemErrorReporting"} | Format-List -Property *

常見錯誤：淨係睇「應用程式」記錄，搵唔到藍屏——藍屏係系統層事件，要睇「Windows 記錄」→「系統」。（來源：axeetech.com）

四、點讀先唔會誤讀：工具同三個警告

有咗證據，下一步係讀。有兩個工具，一淺一深：

淺：BlueScreenView（NirSoft，免費免安裝）。呢個細工具會自動掃 C:\Windows\Minidump，將每次藍屏列成表：上面係每次 crash 嘅日期、停機碼；下面係出事嗰陣載入緊嘅驅動清單，同出事 call stack 有關嘅驅動會以紅色粗體標示。你要睇嘅就係兩欄：「Bug Check String」（例如 DRIVER_IRQL_NOT_LESS_OR_EQUAL）同「Caused By Driver」（例如某個 .sys 檔）。如果指住顯示卡驅動、網卡驅動，更新或者重裝嗰個驅動，通常就係下一步。（來源：kolkatatimes24x7.com、dedoimedo.com）

深：WinDbg（Microsoft 官方，可喺 Microsoft Store 下載）。開 dump 檔，設好符號路徑（srv*https://msdl.microsoft.com/download/symbols），打 !analyze -v，佢會畀你睇 BugCheck 代碼、MODULE_NAME／IMAGE_NAME（出事嘅模組）、同埋出名嘅 Probably caused by 一行。（來源：dell.com 000149411、techdows.com）

跟住係三個警告，個個都係血淚：

警告一：「Probably caused by」係線索，唔係診斷書。呢行字只係分析器嘅一行總結，要再對住個 stack 睇先作準。最經典嘅誤讀：好多 dump 嘅「Caused By」指住 ntoskrnl.exe——即係 Windows 核心本身。但核心極少自己出事，真相通常係某個第三方驅動傳咗啲錯嘅指令畀核心。見到 ntoskrnl.exe 就話「Windows 壞咗要重裝」，係最常見嘅誤診。（來源：kolkatatimes24x7.com、techdows.com）

警告二：唔好憑一個停機碼判死刑。第二輪文章已經講過：Microsoft 官方文件只係用個別停機碼做例子，冇逐個解釋。坊間「見到呢個碼就等於呢件硬件壞」嘅一對一講法，唔好信。停機碼嘅作用係對時間、對更新、對步驟，唔係畀你一個人斷症。（來源：本站第二輪文章）

警告三：dump 檔可能有私隱，唔好周圍 upload。dump 入面有記憶體快照，可能包含你當時開緊嘅資料片段。貼去公開論壇求助之前諗清楚——淨係畀可信嘅支援（原廠、你搵嘅維修舖）。（來源：axeetech.com）

仲有個數字畀你定個期望：Microsoft 估計，約四分之三嘅停機碼錯誤，源頭係故障嘅驅動程式。所以 dump 指住某個驅動嗰陣，先查驅動（更新／回退／重裝），唔好一嚟就懷疑硬件。（來源：techdows.com 引述 Microsoft）

五、帶咩去送修：四樣嘢，檢測快一倍

如果你決定唔自己搞，帶齊呢四樣，維修人員會多謝你：

1. 時間線：第一次藍屏係幾時？之後密唔密？密之前裝過咩、更新過咩？（可靠性監視器截圖就係最好嘅時間線）
2. 停機碼：Event 1001 或者 BlueScreenView 讀到嘅 Bug Check String，唔使背，截圖就得。
3. 最近改動清單：新硬件、新驅動、新軟件、Windows 更新——四樣諗一諗，寫低。
4. 部機本身：唔好淨係帶張相嚟。dump 檔喺部機入面，冇部機，乜證據都係二手。

仲有一個香港常見情境要提：夏天部機又熱又藍屏，唔好一口咬定係軟件問題——過熱本身都可以引致不穩定同藍屏。如果部機長期熱，先睇返過熱五個判斷維度，分清楚係熱定係軟件，唔好行錯方向。

FAQ

Q1：C:\Windows\Minidump 入面乜都冇，但部機明明藍屏過，點解？
三個可能：寫入偵錯資訊被設咗做「無」（去「啟動及修復」設定檢查返）；系統碟冇位寫；分頁檔設定有問題。逐樣排除，唔好估。改返做「細記憶體傾印」之後，下次藍屏就會有。

Q2：BlueScreenView 係咪安全？使唔使安裝？
係 NirSoft 出嘅免費免安裝小工具，唔使安裝，解壓即用，佢只係讀 dump 檔，唔會改系統。由 NirSoft 官網下載，唔好經第三方下載站，免得撈埋廣告軟件。

Q3：WinDbg 顯示 Probably caused by ntoskrnl.exe，係咪即係要重裝 Windows？
唔係。核心被點名，絕大多數情況係某個第三方驅動累街，唔係 Windows 本身壞。呢個時候要再睇個 stack，搵真正嘅驅動，或者將幾次 dump 嘅結果一齊睇。唔好憑呢一行就重裝。

Q4：藍屏之後部機仲用得，我可唔可以唔理佢？
睇頻率。Microsoft 官方排查指引講明：只藍屏一次、之後正常，記低停機碼同時間，留意住就得；但同一個停機碼重複出現，就要跟步驟排查，唔好拖。拖落去，輕則越嚟越密，重則喺你趕 deadline 嗰陣先嚟多次。（來源：本站第二輪文章引述 Microsoft 官方指引）

Q5：dump 檔可唔可以刪除？會唔會越儲越多？
可以刪，佢哋只係記錄檔，刪咗唔影響系統。每個 minidump 得幾百 KB，正常唔會塞爆。但唔好為咗慳位熄咗 dump 寫入——冇咗黑盒，下次藍屏就乜證據都冇。

藍屏唔可怕，可怕係乜證據都冇，靠估。記住三份證據：minidump 檔、可靠性監視器時間線、事件檢視器 BugCheck 記錄，同埋讀嗰陣三個警告：線索唔係診斷書、唔好憑一個碼判死刑、dump 有私隱唔好周圍 upload。如果睇完都係唔明，或者部機已經密到用唔到，歡迎拎嚟 CentralComputer 中環電腦做免費初步判斷：電話 +(852) 2115 9219，WhatsApp +(852) 6558 6806。收費政策好簡單：檢測後報價，確認先開工，唔會亂收費。