Обновлено 16.10.2016
Как анализировать синий экран dump memory в Windows-01
Синий экран смерти или как его еще называют BSOD, может изрядно подпортить жизнь как компьютеру так и серверу, а еще выяснилось и виртуальной машине. Сегодня расскажу как анализировать синий экран dump memory в Windows, так как правильная диагностика и получение причины из за чего не работает ваша система, 99 процентов ее решения, тем более системный инженер, просто обязан уметь это делать, да и еще в кратчайшие сроки, так как от этого бизнес может в следствии простоя сервиса, терять кучу денег.
BSOD расшифровка
Давайте для начала разберем, что означает данная аббревиатура, BSOD от английского Blue Screen of Death или еще режим STOP ошибки.
Ошибки синего экрана смерти возникают по разным причинам, среди которых могут быть проблемы с драйверами, может быть какое то сбойное приложение, или сбойный модуль оперативной памяти. Как только у вас появился синий экран в Windows, то ваша система автоматически создаст файл crash memory dump, который мы и будем анализировать.
Как настроить создание memory dump
По умолчанию windows при синем экране создает аварийный дамп файл memory.dmp, сейчас покажу как он настраивается и где хранится, я буду показывать на примере Windows Server 2008 R2, так как у меня недавно была задача по изучению вопроса синего экрана в виртуальной машине. Для того чтобы узнать где настроен dump memory windows, открываем пуск и щелкаем правым кликом по значку Компьютер и выбираем свойства.
Как анализировать синий экран dump memory в Windows-Свойства компьютера
Далее идем в пункт Дополнительные параметры системы
Как анализировать синий экран dump memory в Windows-параметры системы
Переходим во вкладку Дополнительно-Загрузка и восстановление. Жмем кнопку Параметры
Как анализировать синий экран dump memory в Windows-Загрузка и восстановление
Где хранится файл memory.dmp
и видим, что во первых стоит галка выполнить автоматическую перезагрузку, для записи отладочной информации, выбрано Дамп памяти ядра и ниже есть пусть куда сохраняется дамп памяти %SystemRoot%MEMORY.DMP
Как анализировать синий экран dump memory в Windows-05
Перейдем в папку c:windows и найдем файл MEMORY.DMP в нем содержаться коды синего экрана смерти
Как анализировать синий экран dump memory в Windows-memory.dmp
Как настроить mini dump
В малый дамп памяти тоже записываются ошибки синего экрана смерти, настраивается он там же, нужно только его выбрать.
Как анализировать синий экран dump memory в Windows-07
Хранится он в папке c:windowsminidump. Преимущество в том, что он занимает меньше места и на каждый синий экран создается отдельным файлом. Всегда можно просмотреть историю появлений синего экрана.
Как анализировать синий экран dump memory в Windows-08
Теперь когда мы разобрались где искать файл memory dump, нужно научиться его интерпритировать и понимать причину из за чего происходит синий экран смерти. В решении этой задачи нам поможет Microsoft Kernel Debugger. Скачать Microsoft Kernel Debugger можно с официального сайта, главное выберите нужную версию ОС если кому то влом, то можете скачать с яндекс диска по прямой ссылке. Так же он входит в состав ADK.
Как установить Microsoft Kernel Debugger
Скачиваем Microsoft Kernel Debugger, в итоге у вас будет маленький файл который позволит скачать из интернета все что вам нужно. Запускаем его.
Как установить Microsoft Kernel Debugger-01
присоединяться к программе по улучшению качества участвовать не будем
Как установить Microsoft Kernel Debugger-02
жмем Accept и соглашаемся с лицензией
Как установить Microsoft Kernel Debugger-соглашаемся с лицензией
Далее выбираем компонент и жмем install
Как установить Microsoft Kernel Debugger-04
начнется установка Microsoft Kernel Debugger
Как установить Microsoft Kernel Debugger-установка MKD
Видим, что Microsoft Kernel Debugger успешно установлен
Как установить Microsoft Kernel Debugger-06
После чего видим, что в пуске появилась папка Debugging Tools for Windows как для 32 так и для 64 битных систем.
Как установить Microsoft Kernel Debugger-07
Помимо самого пакета Debugging Tools for Windows, также понадобятся набор отладочных символов — Debugging Symbols. Набор отладочных символов специфичен для каждой ОС, на которой был зафиксирован BSoD. Потому придется загрузить набор символов для каждой ОС, анализировать работу которой Вам придется. Для 32-разрядной Windows XP потребуются набор символов для Windows XP 32-бит, для 64-разрядной ОС потребуются набор символов для Windows XP 64-бит. Для других ОС семейства Windows наборы символов подбираются сообразно такому же принципу. Загрузить отладочные символы можно отсюда. Устанавливать их рекомендуется по адресу %systemroot%symbols хотя мне нравится устанавливать их в отдельные папки и не захламлять папку Windows.
Анализ синего экрана в Debugging Tools
После установки Debugging Symbols под систему на которой был синий экран смерти запускаем Debugging Tools
Как установить Microsoft Kernel Debugger-Запуск
Перед анализом содержимого дампа памяти, потребуется провести небольшую настройку отладчика. Конкретно — сообщить программе, по какому пути следует искать отладочные символы. Для этого выбираем в меню File > Symbol File Path…
Как установить Microsoft Kernel Debugger-09
Нажимаем кнопку Browse…
Как установить Microsoft Kernel Debugger10
и указываем папку, в которую мы установили отладочные символы для рассматриваемого дампа памяти, можно указать несколько папок через запятую и можно запрашивать информацию о требуемых отладочных символах прямо через Интернет, с публичного сервера Microsoft. Таким образом у вас будет самая новая версия символов. Сделать это можно следующим образом — в меню File > Symbol File Path… вводим:
SRV*%systemroot%symbols*http://msdl.microsoft.com/download/symbols
Как установить Microsoft Kernel Debugger-11
Как анализировать синий экран смерти
Копируем с компьютера где выскочил синий экран, файл memory.dmp или minidump, и открываем его, выбираем в меню File > Open Crash Dump… и выбираем требуемый для рассмотрения файл.
Как анализировать синий экран смерти-01
Выбираем для примера minidump
Как анализировать синий экран смерти-открываем minidump
Начнется анализ минидампа, видим появилась ссылка на ошибку, щелкаем по ней для более детальной информации о синем экране.
Как анализировать синий экран смерти-03
И видим сбойное приложение которое крушит вашу систему, так же можно еще детальнее посмотреть в чем дело, ткнув ссылку.
Как анализировать синий экран смерти-04
Получите более детальную информацию по причине синего экрана.
Как анализировать синий экран смерти-05
Если открыть memory.dmp то вы получите подобную картину и видим почему синий экран у вас появился.
Как анализировать синий экран смерти-06
Ткнув по ссылке в логе вы получаете самую детальную информацию об ошибке.
Как анализировать синий экран смерти-07
Вот так вот просто диагностировать и устранить синий экран смерти.
Материал сайта pyatilistnik.org
Download PC Repair Tool to quickly find & fix Windows errors automatically
When a Blue Screen of Death error occurs, Windows displays its details and code for a short time and restart the PC. Even sometimes Windows restart so quickly that the users cannot note down the error code. In such situations, BSOD log files can help. In this post, we will show you how to find and view BSOD log files in Windows 11/10.
Windows saves the details of every BSOD error at a specific location. This data is called the BSOD log and is available in the BSOD log files. Windows 11/10 has a built-in log file viewer tool, Event Viewer. Event Viewer not only lists all BSOD error logs but also provides the users with a troubleshooting guide to solve the error.
Windows BSOD log file location
Follow the below-listed steps to view the BSOD logs in Event Viewer.
1] Type “Event Viewer” in the Windows search box and click on the app to launch it.
2] To view the BSOD error logs, you have to create a filter. For this, go to “Action > Create Custom View.”
3] In the Create Custom View window, make sure that you are under the “Filter” tab. Select the time when you have observed the Blue Screen of Death error on your system in the “Logged” drop-down menu. If you know the exact date and time of the BSOD error, you can select the Custom range option.
In my case, I did not know the date and time of the error. That’s why, I left the setting to default, “Any time.”
4] Now, select the checkbox “Error” in the Event level section and select the “By log” radio button. After that, click on the Event logs drop-down menu and expand the “Windows Logs” section. Here, you have to select the following checkboxes:
- Application
- Security
- System
When you are done, click OK.
5] After that, a new window will open where you have to enter the name of the filter you created and click OK to save it.
I saved it with the name System Error Logs. You can view it in the “Custom Views” section on the left panel.
6] After selecting the filter you have just created, you can view all the system error logs in the middle panel of the Event Viewer. To view the BSOD log, you have to find the error with the source “BugCheck.”
Now, click on the “Source” to arrange all the entries under it alphabetically. This will make it easier for you to locate the BugCheck entry.
Under the “General” tab, you can view the error code. Click the “Details” tab to know more about the error.
The message, “The computer has rebooted from a BugCheck” in the General tab indicates that this is a BSOD error.
Now you can easily find BSOD errors and troubleshoot them.
TIP: You can also use BlueScreenView. It is a user-oriented utility that automatically scans all the minidump files which were created after the BSOD crash into a single table. For every crash occurrence, BlueScreenView gives details about the driver that was loaded during the crash, and other crash information in order to easily troubleshoot the problems and locate the suspected problematic drivers.
Read next: How to find ChkDsk results in Event Viewer logs.
Nishant is a tech enthusiast who loves writing about technology and gadgets. He has completed B.Tech. Apart from writing, he likes to spend his time on his plantation.
Download PC Repair Tool to quickly find & fix Windows errors automatically
When a Blue Screen of Death error occurs, Windows displays its details and code for a short time and restart the PC. Even sometimes Windows restart so quickly that the users cannot note down the error code. In such situations, BSOD log files can help. In this post, we will show you how to find and view BSOD log files in Windows 11/10.
Windows saves the details of every BSOD error at a specific location. This data is called the BSOD log and is available in the BSOD log files. Windows 11/10 has a built-in log file viewer tool, Event Viewer. Event Viewer not only lists all BSOD error logs but also provides the users with a troubleshooting guide to solve the error.
Windows BSOD log file location
Follow the below-listed steps to view the BSOD logs in Event Viewer.
1] Type “Event Viewer” in the Windows search box and click on the app to launch it.
2] To view the BSOD error logs, you have to create a filter. For this, go to “Action > Create Custom View.”
3] In the Create Custom View window, make sure that you are under the “Filter” tab. Select the time when you have observed the Blue Screen of Death error on your system in the “Logged” drop-down menu. If you know the exact date and time of the BSOD error, you can select the Custom range option.
In my case, I did not know the date and time of the error. That’s why, I left the setting to default, “Any time.”
4] Now, select the checkbox “Error” in the Event level section and select the “By log” radio button. After that, click on the Event logs drop-down menu and expand the “Windows Logs” section. Here, you have to select the following checkboxes:
- Application
- Security
- System
When you are done, click OK.
5] After that, a new window will open where you have to enter the name of the filter you created and click OK to save it.
I saved it with the name System Error Logs. You can view it in the “Custom Views” section on the left panel.
6] After selecting the filter you have just created, you can view all the system error logs in the middle panel of the Event Viewer. To view the BSOD log, you have to find the error with the source “BugCheck.”
Now, click on the “Source” to arrange all the entries under it alphabetically. This will make it easier for you to locate the BugCheck entry.
Under the “General” tab, you can view the error code. Click the “Details” tab to know more about the error.
The message, “The computer has rebooted from a BugCheck” in the General tab indicates that this is a BSOD error.
Now you can easily find BSOD errors and troubleshoot them.
TIP: You can also use BlueScreenView. It is a user-oriented utility that automatically scans all the minidump files which were created after the BSOD crash into a single table. For every crash occurrence, BlueScreenView gives details about the driver that was loaded during the crash, and other crash information in order to easily troubleshoot the problems and locate the suspected problematic drivers.
Read next: How to find ChkDsk results in Event Viewer logs.
Nishant is a tech enthusiast who loves writing about technology and gadgets. He has completed B.Tech. Apart from writing, he likes to spend his time on his plantation.
В момент критического сбоя операционная система Windows прерывает работу и показывает синий экран смерти (BSOD). Содержимое оперативной памяти и вся информация о возникшей ошибке записывается в файл подкачки. При следующей загрузке Windows создается аварийный дамп c отладочной информацией на основе сохраненных данных. В системном журнале событий создается запись о критической ошибке.
Внимание! Аварийный дамп не создается, если отказала дисковая подсистема или критическая ошибка возникла на начальной стадии загрузки Windows.
Содержание:
- Типы аварийных дампов памяти Windows
- Как включить создание дампа памяти в Windows?
- Установка WinDBG в Windows
- Настройка ассоциации .dmp файлов с WinDBG
- Настройка сервера отладочных символов в WinDBG
- Анализ аварийного дампа памяти в WinDBG
Типы аварийных дампов памяти Windows
На примере актуальной операционной системы Windows 10 (Windows Server 2016) рассмотрим основные типы дампов памяти, которые может создавать система:
- Мини дамп памяти (Small memory dump) (256 КБ). Этот тип файла включает минимальный объем информации. Он содержит только сообщение об ошибке BSOD, информацию о драйверах, процессах, которые были активны в момент сбоя, а также какой процесс или поток ядра вызвал сбой.
- Дамп памяти ядра (Kernel memory dump). Как правило, небольшой по размеру — одна треть объема физической памяти. Дамп памяти ядра является более подробным, чем мини дамп. Он содержит информацию о драйверах и программах в режиме ядра, включает память, выделенную ядру Windows и аппаратному уровню абстракции (HAL), а также память, выделенную драйверам и другим программам в режиме ядра.
- Полный дамп памяти (Complete memory dump). Самый большой по объему и требует памяти, равной оперативной памяти вашей системы плюс 1MB, необходимый Windows для создания этого файла.
- Автоматический дамп памяти (Automatic memory dump). Соответствует дампу памяти ядра с точки зрения информации. Отличается только тем, сколько места он использует для создания файла дампа. Этот тип файлов не существовал в Windows 7. Он был добавлен в Windows 8.
- Активный дамп памяти (Active memory dump). Этот тип отсеивает элементы, которые не могут определить причину сбоя системы. Это было добавлено в Windows 10 и особенно полезно, если вы используете виртуальную машину, или если ваша система является хостом Hyper-V.
Как включить создание дампа памяти в Windows?
С помощью Win+Pause откройте окно с параметрами системы, выберите «Дополнительные параметры системы» (Advanced system settings). Во вкладке «Дополнительно» (Advanced), раздел «Загрузка и восстановление» (Startup and Recovery) нажмите кнопку «Параметры» (Settings). В открывшемся окне настройте действия при отказе системы. Поставьте галку в чек-боксе «Записать события в системный журнал» (Write an event to the system log), выберите тип дампа, который должен создаваться при сбое системы. Если в чек-боксе «Заменять существующий файл дампа» (Overwrite any existing file) поставить галку, то файл будет перезаписываться при каждом сбое. Лучше эту галку снять, тогда у вас будет больше информации для анализа. Отключите также автоматическую перезагрузку системы (Automatically restart).
В большинстве случаев для анализа причины BSOD вам будет достаточно малого дампа памяти.
Теперь при возникновении BSOD вы сможете проанализировать файл дампа и найти причину сбоев. Мини дамп по умолчанию сохраняется в папке %systemroot%minidump. Для анализа файла дампа рекомендую воспользоваться программой WinDBG (Microsoft Kernel Debugger).
Установка WinDBG в Windows
Утилита WinDBG входит в «Пакет SDK для Windows 10» (Windows 10 SDK). Скачать можно здесь.
Файл называется winsdksetup.exe, размер 1,3 МБ.
WinDBG для Windows7 и более ранних систем включен в состав пакета «Microsoft Windows SDK for Windows 7 and .NET Framework 4». Скачать можно здесь.
Запустите установку и выберите, что именно нужно сделать – установить пакет на этот компьютер или загрузить для установки на другие компьютеры. Установим пакет на локальный компьютер.
Можете установить весь пакет, но для установки только инструмента отладки выберите Debugging Tools for Windows.
После установки ярлыки WinDBG можно найти в стартовом меню.
Настройка ассоциации .dmp файлов с WinDBG
Для того, чтобы открывать файлы дампов простым кликом, сопоставьте расширение .dmp с утилитой WinDBG.
- Откройте командную строку от имени администратора и выполните команды для 64-разрядной системы:
cd C:Program Files (x86)Windows Kits10Debuggersx64
windbg.exe –IA
для 32-разрядной системы:
C:Program Files (x86)Windows Kits10Debuggersx86
windbg.exe –IA - В результате типы файлов: .DMP, .HDMP, .MDMP, .KDMP, .WEW – будут сопоставлены с WinDBG.
Настройка сервера отладочных символов в WinDBG
Отладочные символы (debug-символы или symbol files) – это блоки данных, генерируемые в процессе компиляции программы совместно с исполняемым файлом. В таких блоках данных содержится информация о именах переменных, вызываемых функциях, библиотеках и т.д. Эти данные не нужны при выполнении программы, но полезные при ее отладке. Компоненты Microsoft компилируются с символами, распространяемыми через Microsoft Symbol Server.
Настройте WinDBG на использование Microsoft Symbol Server:
- Откройте WinDBG;
- Перейдите в меню File –> Symbol File Path;
- Пропишите строку, содержащую URL для загрузки символов отладки с сайта Microsoft и папку для сохранения кэша:
SRV*E:Sym_WinDBG*http://msdl.microsoft.com/download/symbols
В примере кэш загружается в папку E:Sym_WinDBG, можете указать любую. - Не забывайте сохранить изменения в меню File –> Save WorkSpace;
WinDBG произведет поиск символов в локальной папке и, если не обнаружит в ней необходимых символов, то самостоятельно загрузит символы с указанного сайта. Если вы хотите добавить собственную папку с символами, то можно сделать это так:
SRV*E:Sym_WinDBG*http://msdl.microsoft.com/download/symbols;c:Symbols
Если подключение к интернету отсутствует, то загрузите предварительно пакет символов с ресурса Windows Symbol Packages.
Анализ аварийного дампа памяти в WinDBG
Отладчик WinDBG открывает файл дампа и загружает необходимые символы для отладки из локальной папки или из интернета. Во время этого процесса вы не можете использовать WinDBG. Внизу окна (в командной строке отладчика) появляется надпись Debugee not connected.
Команды вводятся в командную строку, расположенную внизу окна.
Самое главное, на что нужно обратить внимание – это код ошибки, который всегда указывается в шестнадцатеричном значении и имеет вид 0xXXXXXXXX (указываются в одном из вариантов — STOP: 0x0000007B, 02.07.2019 0008F, 0x8F). В нашем примере код ошибки 0х139.
Полный справочник ошибок можно посмотреть здесь.
Отладчик предлагает выполнить команду !analyze -v, достаточно навести указатель мыши на ссылку и кликнуть. Для чего нужна эта команда?
- Она выполняет предварительный анализ дампа памяти и предоставляет подробную информацию для начала анализа.
- Эта команда отобразит STOP-код и символическое имя ошибки.
- Она показывает стек вызовов команд, которые привели к аварийному завершению.
- Кроме того, здесь отображаются неисправности IP-адреса, процессов и регистров.
- Команда может предоставить готовые рекомендации по решению проблемы.
Основные моменты, на которые вы должны обратить внимание при анализе после выполнения команды !analyze –v (листинг неполный).
1: kd>
!analyze -v
*****************************************************************************
* *
* Bugcheck Analysis *
* *
*****************************************************************************
Символическое имя STOP-ошибки (BugCheck)
KERNEL_SECURITY_CHECK_FAILURE (139)
Описание ошибки (Компонент ядра повредил критическую структуру данных. Это повреждение потенциально может позволить злоумышленнику получить контроль над этой машиной):
A kernel component has corrupted a critical data structure. The corruption could potentially allow a malicious user to gain control of this machine.
Аргументы ошибки:
Arguments:
Arg1: 0000000000000003, A LIST_ENTRY has been corrupted (i.e. double remove).
Arg2: ffffd0003a20d5d0, Address of the trap frame for the exception that caused the bugcheck
Arg3: ffffd0003a20d528, Address of the exception record for the exception that caused the bugcheck
Arg4: 0000000000000000, Reserved
Debugging Details:
------------------
Счетчик показывает сколько раз система упала с аналогичной ошибкой:
CUSTOMER_CRASH_COUNT: 1
Основная категория текущего сбоя:
DEFAULT_BUCKET_ID: FAIL_FAST_CORRUPT_LIST_ENTRY
Код STOP-ошибки в сокращенном формате:
BUGCHECK_STR: 0x139
Процесс, во время исполнения которого произошел сбой (не обязательно причина ошибки, просто в момент сбоя в памяти выполнялся этот процесс):
PROCESS_NAME: sqlservr.exe
CURRENT_IRQL: 2
Расшифровка кода ошибки: В этом приложении система обнаружила переполнение буфера стека, что может позволить злоумышленнику получить контроль над этим приложением.
ERROR_CODE: (NTSTATUS) 0xc0000409 - The system detected an overrun of a stack-based buffer in this application. This overrun could potentially allow a malicious user to gain control of this application.
EXCEPTION_CODE: (NTSTATUS) 0xc0000409 - The system detected an overrun of a stack-based buffer in this application. This overrun could potentially allow a malicious user to gain control of this application.
Последний вызов в стеке:
LAST_CONTROL_TRANSFER: from fffff8040117d6a9 to fffff8040116b0a0
Стек вызовов в момент сбоя:
STACK_TEXT:
ffffd000`3a20d2a8 fffff804`0117d6a9 : 00000000`00000139 00000000`00000003 ffffd000`3a20d5d0 ffffd000`3a20d528 : nt!KeBugCheckEx
ffffd000`3a20d2b0 fffff804`0117da50 : ffffe000`f3ab9080 ffffe000`fc37e001 ffffd000`3a20d5d0 fffff804`0116e2a2 : nt!KiBugCheckDispatch+0x69
ffffd000`3a20d3f0 fffff804`0117c150 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiFastFailDispatch+0xd0
ffffd000`3a20d5d0 fffff804`01199482 : ffffc000`701ba270 ffffc000`00000001 000000ea`73f68040 fffff804`000006f9 : nt!KiRaiseSecurityCheckFailure+0x3d0
ffffd000`3a20d760 fffff804`014a455d : 00000000`00000001 ffffd000`3a20d941 ffffe000`fcacb000 ffffd000`3a20d951 : nt! ?? ::FNODOBFM::`string'+0x17252
ffffd000`3a20d8c0 fffff804`013a34ac : 00000000`00000004 00000000`00000000 ffffd000`3a20d9d8 ffffe001`0a34c600 : nt!IopSynchronousServiceTail+0x379
ffffd000`3a20d990 fffff804`0117d313 : ffffffff`fffffffe 00000000`00000000 00000000`00000000 000000eb`a0cf1380 : nt!NtWriteFile+0x694
ffffd000`3a20da90 00007ffb`475307da : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13
000000ee`f25ed2b8 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x00007ffb`475307da
Участок кода, где возникла ошибка:
FOLLOWUP_IP:
nt!KiFastFailDispatch+d0
fffff804`0117da50 c644242000 mov byte ptr [rsp+20h],0
FAULT_INSTR_CODE: 202444c6
SYMBOL_STACK_INDEX: 2
SYMBOL_NAME: nt!KiFastFailDispatch+d0
FOLLOWUP_NAME: MachineOwner
Имя модуля в таблице объектов ядра. Если анализатору удалось обнаружить проблемный драйвер, имя отображается в полях MODULE_NAME и IMAGE_NAME:
MODULE_NAME: nt
IMAGE_NAME: ntkrnlmp.exe
Если кликнете по ссылке модуля (nt), то увидите подробную информацию о пути и других свойствах модуля. Находите указанный файл, и изучаете его свойства.
1: kd>
lmvm nt
Browse full module list
Loaded symbol image file: ntkrnlmp.exe
Mapped memory image file: C:ProgramDatadbgsymntoskrnl.exe5A9A2147787000ntoskrnl.exe
Image path: ntkrnlmp.exe
Image name: ntkrnlmp.exe
InternalName: ntkrnlmp.exe
OriginalFilename: ntkrnlmp.exe
ProductVersion: 6.3.9600.18946
FileVersion: 6.3.9600.18946 (winblue_ltsb_escrow.180302-1800)
В приведенном примере анализ указал на файл ядра ntkrnlmp.exe. Когда анализ дампа памяти указывает на системный драйвер (например, win32k.sys) или файл ядра (как в нашем примере ntkrnlmp.exe), вероятнее всего данный файл не является причиной проблемы. Очень часто оказывается, что проблема кроется в драйвере устройства, настройках BIOS или в неисправности оборудования.
Если вы увидели, что BSOD возник из-за стороннего драйвера, его имя будет указано в значениях MODULE_NAME и IMAGE_NAME.
Например:
Image path: SystemRootsystem32driverscmudaxp.sys
Image name: cmudaxp.sys
Откройте свойсва файла драйвера и проверьте его версию. В большинстве случаев проблема с драйверами решается их обнвовлением.
Статья обновлена: 07 июля 2022
ID: 10659
После установки программы «Лаборатории Касперского» могут возникнуть ситуации, при которых операционная система «падает» в синий экран (BSoD — Blue Screen of Death). Причиной может быть конфликт программы «Лаборатории Касперского» со сторонним программным обеспечением или драйверами комплектующих вашего компьютера.
При возникновении такой проблемы:
- Включите ограничение на объем используемой физической памяти.
- Создайте полный дамп памяти.
- Отправьте полный дамп памяти в техническую поддержку «Лаборатории Касперского».
Как включить ограничение на объем используемой физической памяти
Как создать полный дамп памяти для Windows 7, 8, 8.1, 10
Как создать полный дамп памяти для Windows 11
Что делать, если в списке отсутствует полный дамп памяти
Как отправить дамп в техническую поддержку «Лаборатории Касперского»
Вам помогла эта страница?
Синий экран смерти (BSOD) — одна из самых распространенных и известных ошибок в экосистеме Windows. Когда это происходит, на вашем компьютере отображается экран-заставка с подробностями о сбое, которые также сохраняются в заранее определенном месте, прежде чем приступить к перезагрузке компьютера. В этой статье мы обсудим, как найти файлы журнала BSOD в Windows.
Есть много вещей, которые могут вызвать BSOD, например, несовместимое программное обеспечение, перегрев оборудования, переполнение памяти и т. д. Используя данные о сбоях на вашем компьютере, вы можете выяснить, что не так, и исправить это навсегда. Итак, давайте начнем с поиска местоположения файла дампа BSOD на вашем компьютере.
Журнал просмотра событий используется для просмотра файлов журнала, в которых хранится информация о запуске и остановке служб в Windows. Он позволяет вам получить доступ к дампам памяти и собрать все журналы, хранящиеся в вашей системе, которые можно использовать для поиска и чтения файлов журналов BSOD. Вот как.
Шаг 1. Нажмите клавишу Windows на клавиатуре, введите «Просмотр событий» и нажмите «Запуск от имени администратора».
Шаг 2. Перейдите на вкладку «Действие» и выберите «Создать пользовательский вид» в раскрывающемся меню.
Шаг 3: В новом окне выберите «В любое время» в качестве временного диапазона в поле «Зарегистрировано» и выберите «Ошибка» в качестве уровня события.
Шаг 4. В раскрывающемся меню «Журналы событий» выберите «Журналы Windows».
Шаг 5: Теперь нажмите ОК.
Шаг 6: В окне «Сохранить фильтр в пользовательском представлении» переименуйте представление и нажмите «ОК».
При этом вы увидите все события ошибок в средстве просмотра событий. Вы можете щелкнуть любое событие и перейти в раздел «Подробности», чтобы просмотреть журнал BSOD и получить дополнительную информацию.
2. Просмотр файлов журнала BSOD с помощью монитора надежности
Это инструмент, который позволяет пользователям узнать стабильность своего компьютера. Он анализирует поведение приложения и создает диаграмму стабильности системы при выполнении задач. Монитор надежности оценивает стабильность от 1 до 10. Чем выше, тем лучше. Вот как это использовать.
Шаг 1: Нажмите клавишу Windows на клавиатуре, введите Просмотр истории надежностии нажмите Enter.
В окне «Монитор надежности» вы увидите информацию о надежности, отображаемую в виде графика, с нестабильностями и ошибками, отмеченными на графике точками.
Красный кружок обозначает ошибку, а буква «i» (выделена желтым цветом) обозначает предупреждение или заметное событие на вашем ПК.
Шаг 2: Вы можете нажать на символ ошибки или предупреждения, чтобы просмотреть подробную информацию и точное время возникновения ошибки.
Кроме того, вы можете расширить сведения, чтобы узнать больше о сбое, вызвавшем BSOD.
3. Проверьте файлы журнала BSOD с помощью редактора реестра.
Это один из наиболее распространенных способов найти файлы журнала BSOD в Windows. Метод включает в себя некоторые дополнительные этапы по сравнению с вышеуказанными методами. Давайте перейдем к шагам без дальнейших церемоний.
Шаг 1: Нажмите «клавиша Windows + R», введите regedit и нажмите «ОК».
Выберите Да в подсказке.
Шаг 2: Введите следующий адрес в адресную строку.
HKEY_LOCAL_MACHINESystemCurrentControlSetControlCrashControl
Шаг 3: Теперь щелкните правой кнопкой мыши правую панель редактора реестра. Выберите «Создать», а затем «Значение DWORD (32-разрядное)».
Шаг 4: введите имя значения как DisplayParameters и установите для параметра «Значение» значение 1. Теперь нажмите «ОК».
Шаг 5: Перезагрузите компьютер, чтобы изменения вступили в силу. Теперь вы сможете без проблем просматривать файлы журнала BSOD.
4. Доступ к файлам журнала BSOD с помощью стороннего средства просмотра BSOD
Если шаги, упомянутые выше, кажутся слишком сложными для выполнения, вы можете использовать сторонние приложения для просмотра событий, которые делают то же самое, что и средство просмотра событий Windows, с меньшим количеством шагов.
Существует множество приложений, и мы будем использовать BlueScreenView от NirSoft для обнаружения файла сбоя BSOD. Следуйте вместе.
Шаг 1: Загрузите BlueScreenView по ссылке ниже, установите и запустите его.
Скачать BlueScreenView
Шаг 2: Нажмите на любой файл дампа, указанный в приложении.
Это позволит вам просмотреть детали и понять причину BSOD.
Примечание. Изображение предназначено только для представления.
Как правило, информация о BSOD, сохраненная на вашем компьютере, не может быть получена в удобочитаемом формате, но такое приложение, как BlueScreenViewer, также позволяет вам прочитать и понять причину сбоя.
Часто задаваемые вопросы о файлах журнала BSOD
1. Что такое файл DMP?
DMP — это не что иное, как файлы дампа памяти. Это снимки памяти программы, сделанные во время сбоя.
2. Могу ли я удалить файлы аварийного дампа?
Да, вы можете сделать это с помощью таких инструментов, как утилита очистки диска. Удалив дампы памяти, вы сможете освободить больше места на жестком диске.
3. Что нельзя удалять при очистке диска?
Есть только одна категория файлов, которые вы никогда не должны изменять, не говоря уже об удалении, — это установочные файлы Windows ESD. Однако вы можете удалить временные файлы в Windows, чтобы освободить место на диске.
Выявление причины сбоя
Существует много причин, по которым ПК с Windows выходит из строя, но если это приводит к BSOD, код ошибки отображается на экране, чтобы помочь вам понять причину проблемы. Вы можете углубиться в файлы дампа BSOD, чтобы найти и устранить проблему.
Post Views: 55
Let us tell you what this file does and where it’s located
by Sagar Naresh
Sagar is a web developer and technology journalist. Currently associated with WindowsReport and SamMobile. When not writing, he is either at the gym sweating it out or playing… read more
Published on October 23, 2022
Reviewed by
Vlad Turiceanu
Passionate about technology, Windows, and everything that has a power button, he spent most of his time developing new skills and learning more about the tech world. Coming… read more
- A crash dump file can help you diagnose and troubleshoot BSoD errors on Windows 11.
- A system dump file is created as soon as your system crashes and it contains the information about your PC’s memory before the error.
- You can use this crash dump file to narrow down the reasons and also solve the issue.
XINSTALL BY CLICKING THE DOWNLOAD FILE
- Download Restoro PC Repair Tool that comes with Patented Technologies (patent available here).
- Click Start Scan to find Windows 11 issues that could be causing PC problems.
- Click Repair All to fix issues affecting your computer’s security and performance
- Restoro has been downloaded by 0 readers this month.
The BSoD or Blue Screen of Death error is not a fun error to come across on Windows 11. It is accompanied by an endless loading circle, loud noises, and nothing else. If you are experiencing a BSoD error, you can check out our guide and get rid of it pretty quickly.
Troubleshooting such errors requires you to know the root cause of such issues, and thankfully in Windows 11, you can configure your PC to create Windows 11 BSoD dump file for easy diagnosis.
What is a BSoD dump file in Windows 11?
In simple terms, the BSoD dump file is a log file of your PC’s memory at the time it experienced the BSoD error.
This crash file contains information about what exactly was in your computer’s memory before it crashed and could help you locate the possible reason that caused the error in the first place.
There are basically three types of memory dump files:
- Complete memory dump – It contains all the information of your PC’s physical memory at the time it crashed. A complete memory dump is the most ideal dump file for troubleshooting errors.
- Automatic memory dump – By default, your Windows 11 PC is set to Automatic memory dump, which contains basic information such as loaded drivers, kernel info, and processes.
- Small memory dump: Small memory dumps or minidump contains the kernel stack information for the thread that caused the particular crash.
How can I find the Windows 11 BSoD dump file?
- In your homescreen, right-click on This PC and select Properties.
- Under Related links, select Advanced system settings.
- Click on Settings under the Startup and Recovery section.
- If under Write debugging information is selected as Automatic memory dump, then you need to select Complete memory dump for the dump file that contains all information for troubleshooting.
- The memory dump file is typically located in %SystemRoot%MEMORY.DMP with system root is typically C:Windows.
- You can locate the Small memory dump or Minidump file in %SystemRoot%Minidump location.
How can I read the Memory.DMP file in Windows 11?
- Visit the official Microsoft WinDbg download page.
- Hit the Get in Store app button.
- Click on the Open Microsoft Store button in the dialogue box that appears.
- Click the Get button.
- Once the installation is complete, click on Open.
- Click on File.
- Select Start debugging and then click on Open Dump file.
- Locate the dump file in the folder %SystemRoot%MEMORY.DMP which is usually found in the C Drive.
- Click Open.
- Do note that opening the dump file may take some time. So, you need to wait.
- In the run command, type the below and press Enter:
!analyze -v
- The process will start and you can keep an eye on the progress bar to know when the process will be complete.
- After completion, the WinDbg will show you the results, and based on that you can take further troubleshooting steps.
Some PC issues are hard to tackle, especially when it comes to corrupted repositories or missing Windows files. If you are having troubles fixing an error, your system may be partially broken.
We recommend installing Restoro, a tool that will scan your machine and identify what the fault is.
Click here to download and start repairing.
You can review the dump file, and as you go through it, you will also find more information. Notably, the FAILURE_BUCKET_ID and MODULE_NAME are the ones where you need to keep an eye out, which could indicate what is causing the problem.
While this report can be overwhelming for regular users, as it is not meant for them, you can always take cues from the report or search the hints mentioned in the report and search it over the internet to get help online.
- How to Add Text in The Snipping Tool [Quickest Ways]
- How to Remove Windows 11 File Explorer Please Sign In
How to delete system error dump files in Windows 11?
Use Windows Settings
- Press the Win + I buttons to open Settings.
- Click on System then select Storage.
- Click on Temporary files.
- Check the box for the System error memory dump files option.
- Hit the Remove files button.
Use Disk Cleanup
- Press the Windows button to open the Start menu.
- Search for Disk Cleanup and open it.
- Select the drive where the system dump file is located and press OK.
- Click the Clean up system files option.
- Check the box for System error memory dump files.
- Hit the OK button.
Use Command Prompt
- Press Windows button to open the Start menu.
- Search for Command Prompt and click on Run as administrator option.
- Type the below command and press Enter:
del /f /s /q %systemroot%memory.dmp
If you are coming across BSoD error, and want to fix it without going through the fuss of manually doing it, then you can check out our guide that lists some of the best BSoD fixers for Windows 11.
Moreover, before going ahead and fixing the problem, it is very important to know the root cause of it. If you want some behind-the-scenes knowledge on what causes BSoD error, then you can check out this article including the main BSoD causes.
That is it from us in this guide. Let us know in the comments below if you were able to locate the system crash memory dump file on your Windows 11 PC.
Still having issues? Fix them with this tool:
SPONSORED
If the advices above haven’t solved your issue, your PC may experience deeper Windows problems. We recommend downloading this PC Repair tool (rated Great on TrustPilot.com) to easily address them. After installation, simply click the Start Scan button and then press on Repair All.
Newsletter
Те кто пользуются компьютерами не первый год, наверняка сталкивались с BSOD — синий экран смерти.
Это когда на мониторе компьютера внезапно появляется синий экран с белыми надписями на английском языке. При этом вы ничего не можете сделать кроме как перезагрузить компьютер либо он сам автоматически перезагружается.
Содержание
- 1 BSOD — синий экран смерти. Общая информация.
- 1.1 Как правильно настроить создание дампов на компьютере
- 1.2 Наиболее частые причины возникновения синего экрана смерти
- 1.3 Напоследок
BSOD — синий экран смерти. Общая информация.
Синий экран смерти (англ. Blue Screen of Dead — BSoD) — сообщает пользователю о критической системной ошибке, с которой сама система не может справиться. Такая ошибка может возникнуть в любой версии Windows. Связана она чаще всего с неправильной работой какого нибудь драйвера. Это когда драйвер пытается выполнить недопустимую операцию. Помимо драйверов к синему экрану могут привести неисправности с железом, перегрев комплектующих. 
Синий экран по сути предохраняет систему, железо от ещё большего ущерба, к которому может привести работа неисправной системы. При возникновении критической ошибки, система по возможности блокирует все в системе и вылетает в BSOD. При этом создаётся дамп, куда записывается имеющаяся информация по данной ошибке. Непосредственно на сам монитор также выводится сообщение с кодом ошибки, для возможного самостоятельного её устранения. В системный журнал также производится запись с параметрами ошибки.
Вот так выглядит смерть компьютера синий экран смерти Windows 7 и 8, а также для XP.
Все что написано до строчки Technical Information нас не интересует. Там всегда одно и тоже — описываются возможные причины ошибки. А вот, то, что написано ниже важно. Здесь может быть отображена следующая информация:
- код ошибки либо его символьное наименование (например C0000145, Application Error)
- 4 параметра, предназначенные для отладочного программного обеспечения (значения параметров будут различаться в зависимости от кода ошибки)
- название проблемного драйвера
- адрес ошибки (не всегда возможно его указать)
Синий экран смерти windows 10 выглядит уже иначе.
В последних версиях Windows 10, на синий экран смерти разработчики добавили qr-код, при считывании которого камерой, смартфон перекидывает на страницу техподдержки Microsoft. Также добавлен и стоп код (Stop code), который нужно сообщить специалистам техподдержки для оказания помощи пользователям в исправлении ошибки.
Примечательно, что синий экран смерти можно вызвать и вручную. Для этого нужно удерживать кнопку CTRL и дважды нажать на кнопку Scroll Lock. С помощью такого BSOD можно получить дамп памяти в определённый момент времени, например когда система начинает тормозить.
Как правильно настроить создание дампов на компьютере
Те кто встречались с синим экраном смерти, возможно сталкивались с тем, что зачастую не успеваешь сфотографировать либо записать код ошибки, так как компьютер сразу автоматически перезагружается. А не зная информации по коду ошибки сложнее будет её исправить. Поэтому нужно отключить автоматическую перезагрузку системы при возникновении ошибки. Для перехода к настройкам отладочной информации в операционной системе в Windows 10:
- Запустите команду Пуск-Выполнить (комбинация кнопок +R).
- Введите команду SystemPropertiesAdvanced и выполните её нажав Enter.
- Откроется окно Свойства системы.
Здесь в разделе Загрузка и восстановление нажмите на кнопку Параметры. - В окне Загрузка и восстановление нужно снять галочку с пункта Выполнить автоматическую перезагрузку. Тут же в разделе Запись отладочной информации среди вариантов дампов выберите Малый дамп памяти (256kb).
Можете использовать скриншот как шпаргалку для настроек. Про разницу в различных вариантах дампов напишу ниже.
Здесь в разделе Загрузка и восстановление нажмите на кнопку Параметры.
Можете использовать скриншот как шпаргалку для настроек. Про разницу в различных вариантах дампов напишу ниже.Для перехода к настройкам отладочной информации в ОС Windows 7 и Windows 8 можете воспользоваться тем же способом, что и в Windows 10 либо через путь: Пуск ⇒ Панель управления ⇒ Система и безопасность ⇒ Система ⇒ Дополнительные параметры системы ⇒ вкладка Дополнительно ⇒ подраздел Загрузка и восстановление ⇒ Параметры. Для этих ОС, также как и для Windows 10 выставьте идентичные настройки.
Малый дамп памяти – либо мини дамп. Весит всего 256 Килобайт. В мини дампе хранится основная информация по BSOD и системным процессам. Если необходимо узнать причину синего экрана смерти, то малого дампа памяти как раз будет достаточно.
Дамп памяти ядра – содержится информация по памяти используемой ядром системы.
Полный дамп памяти – объем файла такого дампа будет равен размеру оперативки установленной в систему. При записи такого дампа не редко возникают проблемы, если на компьютере установлено более 4гб ОЗУ. Объём файла подкачки при таком дампе должен быть больше объёма оперативной памяти.
Автоматический дамп памяти — практически идентичен дампу памяти ядра. Единственное отличие в том, что система сама автоматически выбирает объём файла подкачки. Впервые появился в Windows 8.
Активный дамп памяти – первое появление в Windows 10. В основном используется в серверах, для записи информации по используемой активной памяти. Такой дамп например позволяет исключить информацию о памяти виртуальных машин на сервере.
Дампы хранятся по пути, которые указаны в настройках. По умолчанию это %SystemRoot%, то есть это C:Windows. Файлы дампа памяти хранятся в формате .dmp Малый дамп сохраняется как Minidump.dmp, а полный с именем Memory.dmp
Наиболее частые причины возникновения синего экрана смерти
- Сбои связанные с драйверами
- Деятельность вирусов
- Сбои и конфликт устройств (чаще жёсткий диск либо оперативная память)
- Конфликт программ (например: два антивируса одновременно установленных на один компьютер, в одну систему)
- Перегрев комплектующих
Напоследок
Наиболее частые причины возникновения синего экрана смерти связаны с драйверами. Установить какой именно драйвер даёт сбой сложно, если не знать, как анализировать информацию об ошибке, которую даёт нам код ошибки и малый дамп памяти. Как раз об анализе дампа памяти будет следующая статья на этом сайте. Если вы знаете в каком драйвере проблема, то нужно удалить проблемный драйвер и обновить его до более новой версии, либо откатить на более стабильную старую версию. Для обновления драйверов можно воспользоваться одной из программ, о которых говорилось в статье «Как скачать, обновить драйвера автоматически».
На втором месте BSOD связанный со сбоями HDD. Проверить жесткий диск на ошибки можно программой HDD Life.
На третьем месте ошибки связанные со сбоями оперативной памяти. Проверить оперативную память можно с помощью программы Memtest.
Ну а проверить, не является ли причиной синих экранов смерти перегрев комплектующих, можно с помощью программы HWMonitor либо Aida64.
В ближайшее время про эти программы выйдут обзоры на проекте. Не пропустите! А на сегодня пока все. Желаю вам не сталкиваться со смертью компьютера и чтоб ваш железный друг всегда был здоров.
Если вам понравилась эта статья, то пожалуйста, оцените её и поделитесь ею со своими друзьями на своей странице в социальной сети.
(2 оценок, среднее: 5,00 из 5)
Загрузка…
Общие сведения об аварийном дампе памяти
Все Windows-системы при обнаружении фатальной ошибки делают аварийный дамп (снимок) содержимого оперативной памяти и сохраняет его на жесткий диск. Существуют три типа дампа памяти:
Полный дамп памяти – сохраняет все содержимое оперативной памяти. Размер снимка равен размеру оперативной памяти + 1 Мб (заголовок). Используется очень редко, так как в системах с большим объемом памяти размер дампа будет слишком большим.
Дамп памяти ядра – сохраняет информацию оперативной памяти, касающуюся только режима ядра. Информация пользовательского режима не сохраняется, так как не несет в себе информации о причине краха системы. Объем файла дампа зависит от размера оперативной памяти и варьируется от 50 Мб (для систем с 128 Мб оперативной памяти) до 800 Мб (для систем с 8 Гб оперативной памяти).
Малый дамп памяти (мини дамп) – содержит довольно небольшое количество информации: код ошибки с параметрами, список драйверов загруженных в оперативную память на момент краха системы и т.д., но этих сведений достаточно, для определения сбойного драйвера. Еще одним преимуществом данного вида дампа является маленький размер файла.
Настройка системы
Для выявления драйвера вызвавшего синий экран нам достаточно будет использовать малый дамп памяти. Для того чтобы система при крахе сохраняла мини дамп необходимо выполнить следующие действия:
| Для Windows Xp | Для Windows 7 |
|
|
Проделав все манипуляции, после каждого BSoD в папке C:WINDOWSMinidump будет сохраняться файл с расширение .dmp. Советую ознакомиться с материалом «Как создать папку«. Также можно установить галочку на “Заменить существующий файл дампа”. В этом случае каждый новый аварийный дамп будет записываться поверх старого. Я не советую включать данную опцию.
Анализ аварийного дампа памяти с помощью программы BlueScreenView
Итак, после появления синего экрана смерти система сохранила новый аварийный дамп памяти. Для анализа дампа рекомендую использовать программу BlueScreenView. Её можно бесплатно скачать тут. Программа довольно удобная и имеет интуитивный интерфейс. После её установки первое, что необходимо сделать – это указать место хранение дампов памяти в системе. Для этого необходимо зайти в пункт меню “Options” и выбрать “Advanced Options”. Выбираем радиокнопку “Load from the following Mini Dump folder” и указываем папку, в которой хранятся дампы. Если файлы хранятся в папке C:WINDOWSMinidump можно нажатием кнопки “Default”. Нажимаем OK и попадаем в интерфейс программы.
Программа состоит из трех основных блоков:
- Блок главного меню и панель управления;
- Блок списка аварийных дампов памяти;
- В зависимости от выбранных параметров может содержать в себе:
- список всех драйверов находящихся в оперативной памяти до появления синего экрана (по умолчанию);
- список драйверов находящихся в стеке оперативной памяти;
- скриншот BSoD;
- и другие значения, которые мы использовать не будем.
В блоке списка дамп памяти (на рисунке помечен цифрой 2) выбираем интересующий нас дамп и смотрим на список драйверов, которые были загружены в оперативную память (на рисунке помечен цифрой 3). Розовым цветом окрашены драйвера, которые находились в стеке памяти. Они то и являются причиной появления BSoD. Далее переходите в Главное меню драйвера, определяйте к какому устройству или программе они принадлежат. В первую очередь обращайте внимание на не системные файлы, ведь системные файлы в любом случае загружены в оперативной памяти. Легко понять, что на изображении сбойным драйвером является myfault.sys. Скажу, что это программа была специально запущена для вызова Stop ошибки. После определения сбойного драйвера, необходимо его либо обновить, либо удалить из системы.
Для того чтобы программа показывала список драйверов находящихся в стеке памяти во время возникновения BSoD необходимо зайти в пункт меню “Options” кликаем на меню “LowerPaneMode” и выбираем “OnlyDriversFoundInStack” (или нажмите клавишу F7), а для показа скриншота ошибки выбираем “BlueScreeninXPStyle” (F8). Что бы вернуться к списку всех драйверов, необходимо выбрать пункт “AllDrivers” (F6).
Reader Interactions