2. BugCheck 参数结构：BugCheck Code、Parameter 1-4 的含义、参数与错误类型的映射关系

当 Windows 系统触发蓝屏时，调试器或系统日志会记录一组关键数据：BugCheck Code（也称为 BugCheck 号）和 4 个参数（Parameter 1–4）。这 5 个值构成了蓝屏分析的第一手线索。理解它们的结构、含义和映射关系，是定位驱动崩溃根源的起点。

2.1 BugCheck Code：错误类型的唯一标识

BugCheck Code 是一个 32 位无符号整数（十六进制表示），每个值对应一种特定的系统崩溃原因。Windows 内核在检测到不可恢复的错误时，会调用 KeBugCheckEx 函数，并传入该 Code。

2.2 Parameter 1–4：错误上下文的四维坐标

每个 BugCheck Code 都定义了其 4 个参数的具体含义。参数是 指针、标志位、偏移量或状态码，它们共同描述了崩溃瞬间的现场信息。下面以最常见的 0x0A 和 0xD1 为例，展示参数映射规则。

2.2.1 示例：BugCheck 0x0A（IRQL_NOT_LESS_OR_EQUAL）

2.2.2 示例：BugCheck 0xD1（DRIVER_IRQL_NOT_LESS_OR_EQUAL）

2.3 参数与错误类型的映射关系：从 Code 到驱动

参数映射不是固定的，而是由 BugCheck Code 唯一决定。下面通过一个 SVG 结构图展示从 BugCheck Code 到具体驱动定位的完整链路。

2.4 参数映射速查表：常见 BugCheck 的参数含义

为了在实际分析中快速查阅，下面列出 5 个高频 BugCheck 的参数映射关系。建议将此表保存为分析时的参考卡片。

2.5 参数解析实战：从 WinDbg 输出中提取信息

下面是一个真实的 0xD1 蓝屏输出片段，我们逐字段解析参数含义。

BugCheck D1, { 
    fffffa80`0c123456,  // Parameter 1: 被访问的内存地址（非分页池地址）
    00000000`00000002,  // Parameter 2: IRQL = DISPATCH_LEVEL
    00000000`00000000,  // Parameter 3: 读操作
    fffff880`0a1b2c3d   // Parameter 4: 指令地址
}

Probably caused by : ndis.sys ( ndis!NdisAllocateNetBuffer+0x1a2 )

解析步骤：

1. Code 0xD1：立即判断是驱动在错误 IRQL 下访问内存。
2. Parameter 1：地址 0xfffffa80`0c123456 位于非分页池区域，说明不是空指针，可能是已释放的内存。
3. Parameter 2：IRQL = 2（DISPATCH_LEVEL），在此级别下不能访问分页内存或执行页面操作。
4. Parameter 3：读操作，说明驱动试图读取该地址。
5. Parameter 4：指令地址 0xfffff880`0a1b2c3d，通过 ln 命令解析出属于 ndis.sys 模块的 NdisAllocateNetBuffer+0x1a2 偏移处。

2.6 参数映射的深层规则：BugCheck Code 的分类体系

从 Windows 内核设计角度看，BugCheck Code 可以按参数结构分为三类，理解这个分类有助于快速记忆参数含义。

掌握 BugCheck 参数结构，就等于拿到了蓝屏分析的“钥匙”。下一层我们将深入如何利用这些参数，结合堆栈回溯，精准定位到具体的驱动代码行。