WHEA 与蓝屏：搭一条硬件证据链

核验于 2026-10-292 分钟阅读

哪些事件 ID 与蓝屏码指向硬件、怎么合起来读，以及返修前该收集什么。

测试环境Pro (26H2) / Server · 版本号 26300.9457 / 26100.33650 · x64

版本号: 26300.9457 / 26100.33650
版本: Pro (26H2) / Server
架构: x64
支持: 文档（E1）
证据: E1官方文档
核验日期: 2026-10-29
页面类型: 排障

一句话结论

硬件问题会留下三处证据，三处都要：

WHEA-Logger 事件——固件/CPU 上报的硬件错误。
蓝屏码——Windows 怎么死的，以及第一个参数。
转储文件——唯一能看出“哪个部件”的地方。

单独的蓝屏只是症状，单独的 WHEA 可能只是一次可纠正错误。合起来才是案子。

收集证据

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-WHEA-Logger'} -MaxEvents 50 |
  Select-Object TimeCreated,Id,LevelDisplayName,Message | Format-List

Get-WinEvent -FilterHashtable @{LogName='System'; Id=1001,41,6008} -MaxEvents 50 |
  Select-Object TimeCreated,Id,ProviderName,Message

Get-CimInstance Win32_OSRecoveryConfiguration |
  Select-Object DebugInfoType,AutoReboot,DebugFilePath,MiniDumpDirectory

DebugInfoType 告诉你到底有没有在写转储——设成“不转储”的机器会把你要的证据毁掉。

值得记住的 WHEA 事件 ID

ID	含义	动作
17	可纠正硬件错误	跟踪频率；增加=部件在退化
18	可纠正错误，但重复出现	调查
19	可纠正错误（机器检查）	先查固件/微码
20	不可纠正错误	数据可能已损坏
46/47	可纠正/不可纠正的 PCIe 或内存错误	隔离设备/插槽
1	通用 WHEA 错误记录	读消息体

具体载荷因平台而异；消息字段会点名部件（缓存、内存、PCIe、TLB）。要读它，不要只数 ID。

通常意味着硬件的蓝屏码

代码	名称	典型原因
`0x124`	WHEA_UNCORRECTABLE_ERROR	CPU/内存/PCIe 硬件、过热、超频
`0x9C`	MACHINE_CHECK_EXCEPTION	CPU 级故障
`0x101`	CLOCK_WATCHDOG_TIMEOUT	CPU 卡死、供电、微码
`0x1A`	MEMORY_MANAGEMENT	内存（或破坏内存的驱动）
`0x50`	PAGE_FAULT_IN_NONPAGED_AREA	内存或驱动
`0x7A`/`0x7E`	磁盘/异常	存储或内存
`0xEF`	CRITICAL_PROCESS_DIED	常见于存储或内存损坏

没有超频、系统干净仍出 0x124，那是硬件话题，不是软件话题。

读转储，不只读代码

!analyze -v
!errrec <WHEA_ERROR_RECORD 地址>

!analyze -v 会指出出错模块；对 WHEA 记录，!errrec 会解码硬件错误记录：bank、类型（缓存/内存/PCIe）、以及是否被纠正。

装不了 WinDbg，至少保留 .dmp 文件。那是唯一能让别人帮上忙的东西。

调查顺序

固件/微码——更新 BIOS/UEFI，确认 CPU 受支持。
温度与供电——负载下是降频还是供电不足？
内存——单条、默认频率逐条测试。
存储——SMART 与文件系统错误会伪装成内存故障。
驱动——驱动可以通过错误 DMA 触发 WHEA；查最近新装的。
超频——先关 XMP/EXPO。

交给支持的东西

WHEA 事件（时间、ID、消息）。
蓝屏码与日期。
.dmp 文件或 !analyze -v 输出。
配置：CPU、内存套件、BIOS 版本、超频状态。
你已经改过什么、结果如何。

实验室边界

E1。事件 ID 与蓝屏含义有微软文档依据。实验室无法给虚拟机注入 WHEA 错误，因此没有为本文生成转储。