蓝屏日志分散存于事件查看器（ID 41/1001）、Minidump文件、可靠性监视器、MEMORY.DMP及系统日志设置中，需依次检查并启用对应功能。
如果您遭遇Windows系统蓝屏后成功重启，但尚未定位故障根源，则系统已在后台生成关键日志线索。这些日志并非集中于单一位置，而是分散存储在事件记录、内存转储文件及系统稳定性报告中。以下是调取与读取蓝屏日志的具体操作路径：
一、通过事件查看器定位蓝屏事件记录
事件查看器是Windows原生日志中枢，其中“系统”日志会以结构化方式记录蓝屏触发事件，尤其依赖事件ID 41（意外关机）和1001（BugCheck错误），可直接关联崩溃时间与错误代码。
1、按下Win + R组合键，输入eventvwr.msc并回车启动事件查看器。
2、在左侧树形导航中，依次展开Windows 日志 → 系统。
3、在右侧操作面板点击筛选当前日志，于“事件ID”栏输入41,1001（用英文逗号分隔），勾选“错误”级别，点击确定。
4、列表中出现的红色叉号条目即为蓝屏相关事件；双击任一条目，在下方详细信息区域查看BugCheckCode（如0x0000007B）及故障模块名称（如dxgkrnl.sys）。
二、访问Minidump内存转储文件进行深度溯源
蓝屏瞬间，系统默认在C:\Windows\Minidump\下生成小型内存转储（.dmp）文件，其命名含日期与序号（如Mini010526-01.dmp），完整保留崩溃时驱动堆栈与异常地址，是定位“真凶模块”的核心证据。
1、打开文件资源管理器，粘贴路径：C:\Windows\Minidump\并回车。
2、确认该目录非空；若为空，说明小内存转储功能未启用，需进入“系统属性→高级→启动和故障恢复→写入调试信息”中勾选“小内存转储”并指定此路径。
3、下载并安装BlueScreenView（免安装绿色版）或WinDbg Preview（微软商店获取）。
4、以管理员身份运行工具，拖入任意Mini*.dmp文件；BlueScreenView将自动高亮标红Probably caused by字段后的驱动文件名及其完整路径。
三、调用可靠性监视器获取图形化故障时间线
可靠性监视器以时间轴形式聚合系统稳定性评分与关键事件图标，蓝屏被标记为红色“X”，并附带简要描述（如“Windows 停止工作”），便于将崩溃时刻与近期软件安装、Windows更新或驱动变更进行横向关联。
1、按下Win + R，输入perfmon /rel并回车。
2、等待界面加载完成，在顶部时间轴中查找红色叉号密集区，对应日期下方“系统”栏目中显示“Windows 停止工作”。
3、单击该事件，在底部详细信息窗格中查看失败原因摘要，例如“由于驱动程序 nvlddmkm.sys 导致”或“因电源策略冲突引发”。
四、检查完整内存转储文件MEMORY.DMP辅助复杂分析
当Minidump无法提供足够上下文（如多线程竞争、内核池溢出等深层问题）时，完整内存转储（MEMORY.DMP）包含全部物理内存镜像，虽体积庞大（数GB），但能支撑WinDbg执行完整堆栈回溯与符号解析。
1、确认系统盘根目录（通常为C:\）存在名为MEMORY.DMP的文件；若不存在，需提前在“系统属性→高级→启动和故障恢复→设置”中将“写入调试信息”设为“完整内存转储”。
2、使用管理员权限启动WinDbg Preview，点击“文件→打开转储文件”，选择C:\MEMORY.DMP。
3、加载完成后，在命令窗口输入：!analyze -v并回车；输出结果中STACK_TEXT段将逐层展示函数调用链，MODULE_NAME字段直指问题驱动模块。
五、启用并验证日志记录功能是否生效
部分设备因组策略限制或手动关闭，导致蓝屏日志未被写入。必须确保系统级日志捕获机制处于激活状态，否则前述所有分析路径均无数据可依。
1、右键“此电脑”→“属性”→“高级系统设置”→“启动和故障恢复”→“设置”。
2、确认已勾选将事件写入系统日志与小内存转储两项。
3、检查“转储文件”路径是否指向有效目录（如C:\Windows\Minidump\），且该目录具备SYSTEM与Administrators完全控制权限。
4、在命令提示符（管理员）中执行：wevtutil qe System /q:"*[System[(EventID=41)]]" /f:text，若返回最近蓝屏记录，则证明日志写入正常。
