两个安全软件同时装着并不一定会冲突。真正出问题的是两套“实时防护”同时在系统内核里拦截文件读写：一个是主动防御，一个是磁盘文件监视，就会抢同一个位置。典型表现是蓝屏、开机长时间转圈、右键菜单卡住，或者某个程序一打开就被卡几秒。

先分清你遇到的是哪一种

最后一行和倒数第二行都不是冲突问题，不要用同一套流程处理。下面只讲真正的驱动级冲突定位。

定位三步：先读驱动名，再做二分，最后对时间线

第一步：把蓝屏里的出错模块读出来

蓝屏后系统会在 C:\Windows\Minidump 留下小转储文件。不用装专业分析工具，先用命令行看最近几次严重错误的发生时间：

Get-WinEvent -LogName System -MaxEvents 300 |
  Where-Object {$_.LevelDisplayName -eq "错误"} |
  Select-Object TimeCreated, Id, ProviderName -First 20

想知道具体是哪个驱动文件引起的，先打开可靠性监视器：在运行框输入 perfmon /rel，记下错误发生的具体时间，再去 C:\Windows\System32\drivers 目录里按文件名和修改日期比对。各家实时防护的内核驱动基本都放这个目录，扩展名统一是 .sys。

第二步：不要卸载，先做二分

卸载会破坏现场，而且驱动残留本身就能造成蓝屏。正确做法是只关掉其中一方的实时防护，另一套完全不动，观察一整天：

1. 保留 Defender 全部开启，把第三方的文件实时防护模块关掉。注意是关模块，不是退出整个软件，否则它的其它挂钩仍然在跑。
2. 一整天不蓝屏，说明冲突源就是被关的那一方。
3. 仍然蓝屏，反过来测：关 Defender 实时保护，第三方全开，再测一天。

两天就能定位到是哪一套实时防护在打架，全程不用重装任何东西。

第三步：对时间线，排除“其实是补丁导致的”

很多“装了某某之后开始蓝屏”，实际发生时间根本对不上。打开事件查看器筛选系统日志，看第一次蓝屏时间点前后发生了什么：

• 前后有 WindowsUpdate 的成功安装记录，说明是补丁导致的，和安全软件无关。
• 前后正好有某家驱动的安装或服务首次启动记录，才是它。
• 只在你运行某个特定程序时才出现，说明是那个程序触发的，不是日常冲突。

各家实时防护的挂钩范围

不列具体驱动文件名，因为版本一变就对不上；按挂钩模块记更实用。

冲突概率高不代表它更敏感，而是挂钩数量多，并且没有正确向系统安全中心注册自己。

正确的共存方式

系统里只应该有一套文件实时防护，但其它能力是可以叠加的，而且叠加有意义：

• 保留 A 的文件实时防护，优先选挂钩少的那个。
• 保留 B 的专用能力，比如只开弹窗拦截，或者只开勒索防护。
• Defender 交给系统自己管：第三方正确注册后它的实时保护会自动关闭；如果没关，说明注册失败，反而应该把那个第三方卸载。

检查 Defender 是否真的退让了：

Get-MpComputerStatus | Select-Object RealTimeProtectionEnabled, AMServiceEnabled, AntivirusEnabled

装好第三方后，RealTimeProtectionEnabled 为 False 而 AntivirusEnabled 仍为 True，是注册成功的正常状态。两个都是 False 才说明出现了防护真空。

什么时候必须直接卸载而不是关模块

满足任意一条就别继续测了，先卸载：

• 安全模式下也蓝屏，说明已经影响启动链，关模块救不回来。
• 同一个驱动文件名反复出现在错误里，而这个软件你已经不再使用，属于驱动残留。
• 关闭实时防护后依然卡顿，但对应服务仍在运行。

卸载顺序很关键：

1. 使用该厂商官方独立卸载清理工具，在安全模式下运行更彻底，不要只在控制面板点一次删除。
2. 重启，然后再重启一次。第一次重启清掉被占用的驱动，第二次才清掉注册表里的服务项。
3. 在 services.msc 里确认对应服务已经消失。
4. 手动检查 C:\Program Files 和 C:\Windows\System32\drivers 是否还有同名残留文件。

最后一句

定位冲突的核心不是比谁名声差，而是确认内核里只有一个文件实时防护。蓝屏先读出错模块，再用关模块不卸载的方式二分，两天就能锁定具体一方；实在锁不定，就退回只留 Defender 的状态，因为它是系统自带、出问题最容易靠更新修复的一个。