个人主页杨利杰YJlio❄️个人专栏《Windows 疑难杂症与工单复盘案例库》 《Sysinternals实战教程》《WINDOWS教程》 《Windows PowerShell 实战》 《IOS插件分析测试》《超简单用Python让Excel飞起来》让复杂的事情更简单让重复的工作自动化Windows 11蓝屏0x44关机重启排查与修复一、案例结论确认了0x44但没有锁定唯一驱动二、现场证据蓝屏画面与可靠性时间线三、错误含义同一个IRP被重复完成四、转储初筛三次崩溃均为0x44五、WinDbg分析从BugCheck参数追到IRP栈六、PowerShell一次导出蓝屏证据包七、排查顺序先查近期变更和第三方驱动八、关机重启专项快速启动与设备释放验证九、现场处理PE下Dism修复后的结论边界十、工单记录与最终结论参考资料一、案例结论确认了0x44但没有锁定唯一驱动本次处理的是一台Windows 11电脑在关机或重启阶段反复蓝屏的问题。现场保留的蓝屏画面显示终止代码为MULTIPLE_IRP_COMPLETE_REQUESTS多个转储文件均记录BugCheck 0x00000044说明故障具有重复性并非单次偶发崩溃。0x44表示某个驱动调用IoCompleteRequest时目标IRP已经被完成。微软文档同时指出这类问题不一定是同一个驱动连续完成两次更常见的情况是两个驱动都认为自己拥有同一个请求并分别尝试完成它。因此只看到ntoskrnl.exe、tcpip.sys或其他系统模块出现在简化工具中不能直接把它们写成根因。本案例能够确认的是系统在关机或重启阶段重复触发0x44蓝屏故障方向位于内核驱动栈和底层I/O请求处理。当前证据不足以确认唯一责任驱动。现场最终进入PE环境使用Dism对原系统进行修复随后关机和重启复测暂未再次蓝屏。这个结果说明离线修复后系统恢复了稳定但不能反推出具体修复了哪个组件也不能证明系统文件损坏就是唯一根因。项目现场证据判断边界触发场景关机或重启阶段提示需要重点检查电源、设备释放和驱动卸载流程蓝屏代码0x00000044确认属于MULTIPLE_IRP_COMPLETE_REQUESTS转储数量至少 3 个时间集中在2026-05-10至2026-05-11说明故障具有重复性简化分析工具BlueScreenView适合初筛不足以确认责任驱动最终处理PE下使用Dism修复属于恢复结果不是唯一根因证明二、现场证据蓝屏画面与可靠性时间线蓝屏排查应先确认三个事实系统是否真的发生了BugCheck、错误代码是否重复、发生时间是否与用户描述的关机或重启动作一致。现场蓝屏画面已经明确显示终止代码MULTIPLE_IRP_COMPLETE_REQUESTS。随后通过可靠性监视器查看稳定性历史。截图显示2026-05-09和2026-05-10连续出现Windows 停止工作、异常关闭等关键事件系统稳定性指数也持续下降。打开可靠性监视器可以执行perfmon/rel证据能说明什么不能说明什么蓝屏现场照片确认终止代码和发生场景不能确认具体责任驱动可靠性监视器建立异常时间线判断是否连续发生不能替代转储文件分析事件日志补充BugCheck、异常关机和设备错误日志中没有驱动名时不能强行归因Minidump保留 BugCheck 参数、调用栈和驱动上下文小型转储的信息可能不完整可靠性监视器适合建立时间线原始.dmp文件才是继续分析驱动栈的核心证据。三、错误含义同一个IRP被重复完成IRP的全称是I/O Request Packet。Windows 内核使用它在驱动栈中传递文件、存储、网络、设备控制、电源管理和即插即用等请求。正常情况下一个请求只能在正确的生命周期内完成一次。当某个驱动再次请求完成一个已经完成的IRP时系统会触发0x44 MULTIPLE_IRP_COMPLETE_REQUESTS。该 BugCheck 的第一个参数是出错IRP的内存地址其余三个参数为保留参数。BugCheck 参数含义Parameter 1发生重复完成请求的IRP地址Parameter 2保留Parameter 3保留Parameter 4保留这类蓝屏难以定位是因为第二次完成请求的驱动触发了崩溃但第一次完成请求的驱动痕迹可能已经被覆盖。当前调用栈能够提供方向却不一定直接显示最初出错的驱动。需要优先关注的驱动类别与关机重启场景的关系文件系统和安全过滤驱动关机时仍可能处理文件、日志、加密、审计和防护请求网络、VPN和零信任驱动关机时需要释放虚拟网卡、过滤层和连接状态存储和芯片组驱动参与磁盘刷新、设备下电和总线状态切换显卡、声卡及外设驱动关机和重启阶段需要处理设备电源状态变化备份、网盘和加密组件可能安装文件系统过滤器或磁盘过滤驱动不能根据错误名称直接断定是硬盘、网卡或某个安全软件。最终判断仍要以多个转储中的调用栈、IRP栈和近期变更记录为依据。四、转储初筛三次崩溃均为0x44现场使用BlueScreenView对转储文件进行初步查看。三张截图对应三个不同的.dmp文件时间分别为2026-05-10 17:11、2026-05-10 21:11和2026-05-11 08:48故障检查代码均为0x00000044。第三张截图中tcpip.sys被标记另外几张截图中可以看到ntoskrnl.exe。这两类显示都需要谨慎解释工具显示正确理解ntoskrnl.exe它是 Windows 内核通常负责执行 BugCheck仅凭该名称不能认定内核本身是根因tcpip.sys说明网络协议栈出现在崩溃上下文中可能与网络过滤驱动有关也可能只是经过该调用路径红色高亮模块表示工具根据简化规则标出的相关模块不等于已经完成因果证明简化分析工具的价值是快速确认错误代码、转储时间和重复模式。要判断责任驱动需要保留原始.dmp继续使用WinDbg查看 BugCheck 参数和IRP栈。本组截图可以证明“至少三次崩溃都属于0x44”但不能证明tcpip.sys或ntoskrnl.exe就是责任模块。五、WinDbg分析从BugCheck参数追到IRP栈打开原始转储文件后建议先设置微软符号并执行自动分析。下面这组命令适合做第一轮检查.symfix .reload !analyze -v .bugcheck!analyze -v用于输出详细的 BugCheck 分析.bugcheck用于显示错误代码和四个参数。对于0x44复制参数一中的IRP地址再执行!irp Parameter 1中的IRP地址 1!irp会显示该请求的状态、拥有线程和各层I/O栈位置。分析时应重点看当前栈位置、设备对象、完成例程以及是否出现非微软驱动或企业安全组件的过滤驱动。WinDbg检查项观察重点BUGCHECK_CODE是否稳定为44Arg1出错IRP地址供!irp使用STACK_TEXT崩溃时的调用路径和相关模块MODULE_NAME与IMAGE_NAME只能作为线索需要和多份转储交叉验证!irp输出驱动栈、完成例程、设备对象和请求类型微软对0x44的说明指出第一位完成请求的驱动痕迹可能已被第二位驱动覆盖因此一次转储中显示的模块不一定足够。更可靠的做法是分析多份转储寻找重复出现的第三方模块、同一设备栈或同一类IRP请求。不要只把Probably caused by一行复制到工单里。需要结合调用栈、!irp输出、驱动版本和近期变更共同判断。六、PowerShell一次导出蓝屏证据包下面的脚本会创建一个带时间戳的目录复制现有Minidump并导出 BugCheck 事件、异常关机事件、可靠性记录、系统版本、已安装驱动包、运行中的系统驱动、文件系统过滤器和隐藏网络适配器。建议以管理员身份运行。$TimeGet-Date-FormatyyyyMMdd_HHmmss$OutC:\BSOD_0x44_$TimeNew-Item-Path$Out-ItemType Directory-Force|Out-Null# 复制原始转储New-Item-Path$Out\Minidump-ItemType Directory-Force|Out-NullCopy-ItemC:\Windows\Minidump\*.dmp$Out\Minidump-Force-ErrorAction SilentlyContinue# BugCheck 1001Get-WinEvent-FilterHashtable {LogName SystemProviderName Microsoft-Windows-WER-SystemErrorReportingId 1001}-ErrorAction SilentlyContinue|Select-ObjectTimeCreated,Id,ProviderName,Message|Format-List|Out-File$Out\BugCheck_1001.txt-Encoding utf8# Kernel-Power 41与异常关闭6008仅作为时间线辅助Get-WinEvent-FilterHashtable {LogName SystemId 41,6008}-MaxEvents 100-ErrorAction SilentlyContinue|Select-ObjectTimeCreated,Id,ProviderName,Message|Format-List|Out-File$Out\Shutdown_Events.txt-Encoding utf8# 可靠性记录Get-CimInstance-ClassName Win32_ReliabilityRecords -ErrorAction SilentlyContinue|Sort-ObjectTimeGenerated-Descending|Select-Object-First 100 TimeGenerated,SourceName,EventIdentifier,Message|Format-List|Out-File$Out\Reliability.txt-Encoding utf8# 系统版本与补丁Get-ComputerInfo|Select-ObjectWindowsProductName,WindowsVersion,OsBuildNumber,BiosManufacturer,BiosVersion,CsManufacturer,CsModel|Format-List|Out-File$Out\SystemInfo.txt-Encoding utf8Get-HotFix|Sort-ObjectInstalledOn-Descending|Format-Table-AutoSize|Out-File$Out\HotFix.txt-Encoding utf8# 驱动与过滤器pnputil/enum-drivers $Out\PnP_Drivers.txtdriverquery/v/fo csv $Out\System_Drivers.csvfltmc filters $Out\FileSystem_Filters.txtGet-CimInstanceWin32_SystemDriver|Sort-ObjectName|Select-ObjectName,DisplayName,State,StartMode,PathName|Export-Csv$Out\SystemDriver_CIM.csv-NoTypeInformation-Encoding UTF8Get-NetAdapter-IncludeHidden-ErrorAction SilentlyContinue|Select-ObjectName,InterfaceDescription,Status,MacAddress,LinkSpeed|Export-Csv$Out\NetworkAdapters.csv-NoTypeInformation-Encoding UTF8Write-Host证据已导出到$OutKernel-Power 41和事件6008只能说明系统发生了非正常关闭或重启它们本身不能证明蓝屏原因。确认 BugCheck 时应优先查看事件1001和对应的转储文件。对外发送证据包前应检查其中是否包含用户名、设备名、企业域信息、业务路径、内网地址或其他敏感信息。七、排查顺序先查近期变更和第三方驱动0x44的处理重点不是把所有驱动全部更新一遍而是根据时间线和设备栈缩小范围。建议按下面顺序执行优先级检查内容判断方法1蓝屏前新增或升级的软件、驱动和外设与可靠性时间线和首个转储时间对齐2EDR、DLP、杀毒、VPN、零信任、网盘和加密组件检查文件系统过滤器、网络过滤器和虚拟网卡驱动3芯片组、存储、网卡、显卡、声卡和电源管理驱动使用设备厂商官网或企业认证驱动版本更新或回退4扩展坞、USB网卡、打印机、移动硬盘等外接设备断开非必要外设后重复关机和重启测试5系统组件完整性执行DISM和SFC保留结果日志6硬件稳定性仅在驱动证据不足、错误码变化或出现内存损坏迹象时继续检查品牌电脑应优先使用厂商官方渠道获取驱动。对于问题出现前刚更新的驱动“回退到已验证版本”往往比继续安装最新通用驱动更有判断价值。系统完整性检查建议按微软给出的顺序执行DISM.exe /Online /Cleanup-Image /RestoreHealth sfc /scannow如果DISM或SFC发现并修复问题只能说明系统映像或受保护文件存在异常仍不能单独证明这些异常就是0x44的唯一原因。修复后需要连续执行多次关机和重启验证。驱动更新、回退或卸载时每次只改变一个变量并记录操作时间、版本号和复测结果。八、关机重启专项快速启动与设备释放验证本案例的触发点集中在关机和重启阶段因此需要单独验证电源状态切换。可以先断开扩展坞、USB网卡、打印机、移动存储和其他非必要外设再分别执行完整关机与重启测试。如需排除快速启动和休眠链路可以临时执行powercfg /h off该命令会同时关闭休眠并删除休眠文件不只是关闭快速启动。测试完成后如需恢复休眠功能执行powercfg /h on对照测试观察结果可能方向重启正常、关机蓝屏只有关机路径异常快速启动、混合关机或设备下电流程关机正常、重启蓝屏重新初始化设备时异常驱动重载、固件或设备初始化断开外设后正常问题与特定设备或驱动相关外设驱动、扩展坞、USB或网络适配器关闭休眠后正常电源状态转换路径发生变化混合关机或电源IRP仍需继续定位如果准备使用Driver Verifier进一步施压只应在可恢复的测试设备上针对可疑的第三方驱动启用并提前准备安全模式、恢复密钥和verifier /reset回退方案。生产办公设备不适合无差别验证全部驱动。关闭休眠或断开外设后不再蓝屏只能说明触发路径发生变化不能直接视为根因已经确认。九、现场处理PE下Dism修复后的结论边界系统内常规处理后本案例最终进入PE环境并使用Dism对原 Windows 安装进行离线修复。完成后重新启动系统连续执行关机和重启复测现场未再次出现蓝屏。Dism属于第三方系统维护工具。企业环境应使用来源明确、版本经过验证的内部工具包并在操作前确认目标 Windows 分区避免误操作PE自身或其他系统分区。操作前需要确认的事项证据备份复制C:\Windows\Minidump、事件日志和可靠性记录数据保护备份用户文件并确认BitLocker恢复密钥可用目标系统根据 Windows 目录、用户目录和卷标确认原系统分区工具来源使用公司内部工具库或已验证的维护介质修复记录记录实际选择的修复项目不要只写“Dism修复”由于现场没有保留具体修复选项和操作日志本文不能继续推断是组件存储、启动配置、注册表还是其他状态被修复。准确写法应为进入PE后使用Dism对原系统执行离线修复系统恢复启动关机和重启复测暂未再次出现0x44蓝屏。后续如再次复现应保留新的转储文件并比较修复前后的驱动版本、过滤器列表和WinDbg分析结果。十、工单记录与最终结论下面的内容可直接用于工单或内部知识库保留了已经确认的事实也明确标注了尚未确认的根因。问题现象 用户电脑在关机或重启阶段反复蓝屏现场蓝屏终止代码为 MULTIPLE_IRP_COMPLETE_REQUESTS。 现场证据 1. 可靠性监视器在2026年5月9日至5月10日记录多次Windows停止工作和异常关闭。 2. 收集到至少3个Minidump时间分别为2026年5月10日17:11、 2026年5月10日21:11和2026年5月11日08:48。 3. BlueScreenView显示3个转储的BugCheck均为0x00000044。 4. 部分简化分析结果中出现ntoskrnl.exe和tcpip.sys但不足以确认责任驱动。 原因判断 BugCheck 0x44表示驱动尝试完成一个已经完成的IRP。故障方向位于 内核驱动栈或底层I/O请求处理可能涉及两个驱动对同一IRP的所有权 判断异常。当前转储未完成WinDbg与!irp深度分析尚未锁定唯一驱动。 处理过程 1. 保留蓝屏照片、可靠性记录和Minidump。 2. 核对近期驱动、系统更新、安全组件、VPN、外设和电源相关变更。 3. 执行厂商驱动检查及DISM、SFC系统完整性修复。 4. 系统内处理后进入PE使用经过验证的Dism工具对原系统执行离线修复。 5. 修复后重新启动并测试关机、重启。 处理结果 系统恢复正常现场关机和重启复测暂未再次出现0x44蓝屏。 后续事项 如再次复现继续收集最新Dump使用WinDbg执行!analyze -v、 .bugcheck和!irp分析并对比多份转储中重复出现的第三方驱动、 设备栈和过滤器。最终结论是否成立系统反复发生0x44蓝屏成立有现场画面和多个转储支持问题位于驱动或底层I/O请求链路成立符合该 BugCheck 的定义tcpip.sys就是唯一根因不成立现有截图只能作为网络驱动栈方向的线索Dism修复后现场未复现成立属于处理结果已确认具体损坏的系统组件不成立缺少具体修复日志和深度转储结论本案例的可复用顺序是先保留蓝屏现场和时间线再收集全部转储用简化工具确认重复模式用WinDbg分析 BugCheck 参数和IRP栈结合近期变更逐项验证驱动、过滤器、外设和电源路径修复后通过多次关机和重启确认结果。当前最准确的结论是设备重复触发0x44 MULTIPLE_IRP_COMPLETE_REQUESTS故障方向符合驱动重复完成IRP的内核级异常经过PE离线修复后现场暂未复现但唯一责任驱动仍未确认。参考资料Microsoft LearnBug Check 0x44 MULTIPLE_IRP_COMPLETE_REQUESTSMicrosoft Learn使用 WinDbg 分析内核模式转储文件Microsoft LearnWinDbg 的 !irp 命令Microsoft 支持使用 DISM 和 SFC 修复系统文件点击回到顶部