用途：当内核转储报告 Windows bugcheck 时，用于解码 bugcheck 参数，并在调查自身驱动前恢复异常或陷阱上下文。资料提示应先加载 windbg-diagnostic-method，并贯穿用于证据排序、假设检验、置信度校准、独立复核与报告验证；本技能补充按 bug 家族区分的命令与证据要求。
使用范围与限制：需使用内核崩溃转储或获授权的实时内核会话。重启后捕获的进程转储不包含更早的内核故障。应通过调试器确认转储类型，不能仅凭文件名或用户可见症状判断。本技能包含异常上下文与陷阱帧恢复。
工作流要点：先建立符号与 bugcheck 证据，命令包括 .symfix、.sympath+ <your-vendor-symbol-directory>、.reload、!analyze -v、.bugcheck、k；记录转储类型、目标架构/版本、bugcheck 代码与参数、出错指令及可用内存。公共 Windows 符号对许多调查足够，无需私有 Windows 源码或 PDB。随后按具体代码解码参数，例如 0x1E、0x7E、0x3B、0x0A/0xD1、0x50、0x9F 及 Verifier 类停止，各自参数含义不同，不得跨 bugcheck 复用参数布局。再恢复原始出错上下文：0x7E 用 .exr <P3>、.cxr <P4>、kb、r；0x3B 用 .cxr <P3>、kb、r；其他异常型 bugcheck 按文档流程定位有效保存的异常/上下文，不要凭 P1..P4 猜测 .cxr 参数。识别到 TRAP_FRAME 时用 .trap <trap-frame-address>、kb、r，注意陷阱帧可能不完整。
调查与验证：使用 !thread、lmvm <driver-module>、.frame /r <frame-number> 调查驱动而非仅看检测方。MODULE_NAME 出现第三方名称不等于该驱动导致失败。并发或阻塞请求可转 windbg-kernel-lock-deadlock-triage 或 windbg-kernel-irp-lifecycle-triage。记录解码参数、恢复的上下文及其局限、连接驱动操作与违反不变量的证据，测试竞争性解释；仅在批准后进行插桩测试/复现，Verifier 证据转交 windbg-kernel-verifier-triage。资料未提供收费与价格信息。