电脑蓝屏，重启后看事件或者用蓝屏查看器，几乎每次都能看到 ntoskrnl.exe。很多人以为系统内核坏了，跑 sfc、重装系统，折腾一圈还是蓝。其实它出现在那里，只是因为所有致命异常最终都要落到内核手里处理。
ntoskrnl 是内核本体，不是肇事者
内存管理、进程调度、驱动加载都在这一个文件里。任何驱动越界访问内存，异常都会抛到内核的异常处理流程，dump 文件自然把 ntoskrnl 记成出错模块。所以「ntoskrnl.exe 导致蓝屏」这句话本身没有信息量，真正要看的是 bug check code 和四个参数。
先记下蓝屏码
- 0x124 WHEA_UNCORRECTABLE_ERROR：硬件报错，重点查内存、CPU 供电、散热，软件层面基本无解。
- 0x50 PAGE_FAULT_IN_NONPAGED_AREA：访问了无效内存，常见于内存条接触不良或驱动越界。
- 0xD1 DRIVER_IRQL_NOT_LESS_OR_EQUAL：驱动在高 IRQL 下碰了分页内存，基本能锁定某个驱动。
- 0x7E SYSTEM_THREAD_EXCEPTION_NOT_HANDLED：某个线程抛了没人接管的异常。
- 0xEF CRITICAL_PROCESS_DIED：关键进程没了，常见于杀毒软件与系统文件冲突。
用 WinDbg 找真正背锅的模块
装上 WinDbg，打开系统盘 Windows/Minidump 目录下最新的 dmp，执行 !analyze -v。输出里有一行 Probably caused by，后面跟的模块名才是线索。再往下看 STACK_TEXT 里的调用链，MODULE_NAME 显示 nt 说明栈已经烂了，转向 IMAGE_NAME 和 FAILURE_BUCKET_ID 找。
没有 dump 就先打开记录
系统属性里的启动和故障恢复，把写入调试信息设成小内存转储，路径确认为 SystemRoot 下的 Minidump。有些优化工具会把这功能关掉，蓝屏后什么都没留下，只能靠猜。转储文件大小通常几百 KB，不会占多少空间。
常见诱因的排查顺序
刚装完驱动或系统更新之后开始蓝，先卸最近的更新和驱动。跑一次内存诊断 mdsched，两条内存就拔一条交替试。超频过的把 XMP 关掉，恢复默认频率。笔记本清灰换硅脂，0x124 有相当比例是散热压不住。最后才考虑系统文件修复，sfc /scannow 和 DISM 都跑一遍。
取舍：能稳定复现的，按 dump 里的模块精准处理；偶发一两个月一次的，先排除内存和散热，别急着重装系统。