Как анализировать синий экран dump memory в windows - Доктор Windows

Обновлено 16.10.2016

Как анализировать синий экран dump memory в Windows-01

Синий экран смерти или как его еще называют BSOD, может изрядно подпортить жизнь как компьютеру так и серверу, а еще выяснилось и виртуальной машине. Сегодня расскажу как анализировать синий экран dump memory в Windows, так как правильная диагностика и получение причины из за чего не работает ваша система, 99 процентов ее решения, тем более системный инженер, просто обязан уметь это делать, да и еще в кратчайшие сроки, так как от этого бизнес может в следствии простоя сервиса, терять кучу денег.

BSOD расшифровка

Давайте для начала разберем, что означает данная аббревиатура, BSOD от английского Blue Screen of Death или еще режим STOP ошибки.

Ошибки синего экрана смерти возникают по разным причинам, среди которых могут быть проблемы с драйверами, может быть какое то сбойное приложение, или сбойный модуль оперативной памяти. Как только у вас появился синий экран в Windows, то ваша система автоматически создаст файл crash memory dump, который мы и будем анализировать.

Как настроить создание memory dump

По умолчанию windows при синем экране создает аварийный дамп файл memory.dmp, сейчас покажу как он настраивается и где хранится, я буду показывать на примере Windows Server 2008 R2, так как у меня недавно была задача по изучению вопроса синего экрана в виртуальной машине. Для того чтобы узнать где настроен dump memory windows, открываем пуск и щелкаем правым кликом по значку Компьютер и выбираем свойства.

Как анализировать синий экран dump memory в Windows-Свойства компьютера

Далее идем в пункт Дополнительные параметры системы

Как анализировать синий экран dump memory в Windows-параметры системы

Переходим во вкладку Дополнительно-Загрузка и восстановление. Жмем кнопку Параметры

Как анализировать синий экран dump memory в Windows-Загрузка и восстановление

Где хранится файл memory.dmp

и видим, что во первых стоит галка выполнить автоматическую перезагрузку, для записи отладочной информации, выбрано Дамп памяти ядра и ниже есть пусть куда сохраняется дамп памяти %SystemRoot%MEMORY.DMP

Как анализировать синий экран dump memory в Windows-05

Перейдем в папку c:windows и найдем файл MEMORY.DMP в нем содержаться коды синего экрана смерти

Как анализировать синий экран dump memory в Windows-memory.dmp

Как настроить mini dump

В малый дамп памяти тоже записываются ошибки синего экрана смерти, настраивается он там же, нужно только его выбрать.

Как анализировать синий экран dump memory в Windows-07

Хранится он в папке c:windowsminidump. Преимущество в том, что он занимает меньше места и на каждый синий экран создается отдельным файлом. Всегда можно просмотреть историю появлений синего экрана.

Как анализировать синий экран dump memory в Windows-08

Теперь когда мы разобрались где искать файл memory dump, нужно научиться его интерпритировать и понимать причину из за чего происходит синий экран смерти. В решении этой задачи нам поможет Microsoft Kernel Debugger. Скачать Microsoft Kernel Debugger можно с официального сайта, главное выберите нужную версию ОС если кому то влом, то можете скачать с яндекс диска по прямой ссылке. Так же он входит в состав ADK.

Как установить Microsoft Kernel Debugger

Скачиваем Microsoft Kernel Debugger, в итоге у вас будет маленький файл который позволит скачать из интернета все что вам нужно. Запускаем его.

Как установить Microsoft Kernel Debugger-01

присоединяться к программе по улучшению качества участвовать не будем

Как установить Microsoft Kernel Debugger-02

жмем Accept и соглашаемся с лицензией

Как установить Microsoft Kernel Debugger-соглашаемся с лицензией

Далее выбираем компонент и жмем install

Как установить Microsoft Kernel Debugger-04

начнется установка Microsoft Kernel Debugger

Как установить Microsoft Kernel Debugger-установка MKD

Видим, что Microsoft Kernel Debugger успешно установлен

Как установить Microsoft Kernel Debugger-06

После чего видим, что в пуске появилась папка Debugging Tools for Windows как для 32 так и для 64 битных систем.

Как установить Microsoft Kernel Debugger-07

Помимо самого пакета Debugging Tools for Windows, также понадобятся набор отладочных символов — Debugging Symbols. Набор отладочных символов специфичен для каждой ОС, на которой был зафиксирован BSoD. Потому придется загрузить набор символов для каждой ОС, анализировать работу которой Вам придется. Для 32-разрядной Windows XP потребуются набор символов для Windows XP 32-бит, для 64-разрядной ОС потребуются набор символов для Windows XP 64-бит. Для других ОС семейства Windows наборы символов подбираются сообразно такому же принципу. Загрузить отладочные символы можно отсюда. Устанавливать их рекомендуется по адресу %systemroot%symbols хотя мне нравится устанавливать их в отдельные папки и не захламлять папку Windows.

Анализ синего экрана в Debugging Tools

После установки Debugging Symbols под систему на которой был синий экран смерти запускаем Debugging Tools

Как установить Microsoft Kernel Debugger-Запуск

Как установить Microsoft Kernel Debugger-09

Нажимаем кнопку Browse…

Как установить Microsoft Kernel Debugger10

и указываем папку, в которую мы установили отладочные символы для рассматриваемого дампа памяти, можно указать несколько папок через запятую и можно запрашивать информацию о требуемых отладочных символах прямо через Интернет, с публичного сервера Microsoft. Таким образом у вас будет самая новая версия символов. Сделать это можно следующим образом — в меню File > Symbol File Path… вводим:

SRV*%systemroot%symbols*http://msdl.microsoft.com/download/symbols

Как установить Microsoft Kernel Debugger-11

Как анализировать синий экран смерти

Копируем с компьютера где выскочил синий экран, файл memory.dmp или minidump, и открываем его, выбираем в меню File > Open Crash Dump… и выбираем требуемый для рассмотрения файл.

Как анализировать синий экран смерти-01

Выбираем для примера minidump

Как анализировать синий экран смерти-открываем minidump

Начнется анализ минидампа, видим появилась ссылка на ошибку, щелкаем по ней для более детальной информации о синем экране.

Как анализировать синий экран смерти-03

И видим сбойное приложение которое крушит вашу систему, так же можно еще детальнее посмотреть в чем дело, ткнув ссылку.

Как анализировать синий экран смерти-04

Получите более детальную информацию по причине синего экрана.

Как анализировать синий экран смерти-05

Если открыть memory.dmp то вы получите подобную картину и видим почему синий экран у вас появился.

Как анализировать синий экран смерти-06

Ткнув по ссылке в логе вы получаете самую детальную информацию об ошибке.

Как анализировать синий экран смерти-07

Вот так вот просто диагностировать и устранить синий экран смерти.

Материал сайта pyatilistnik.org

Источник

В момент критического сбоя операционная система Windows прерывает работу и показывает синий экран смерти (BSOD). Содержимое оперативной памяти и вся информация о возникшей ошибке записывается в файл подкачки. При следующей загрузке Windows создается аварийный дамп c отладочной информацией на основе сохраненных данных. В системном журнале событий создается запись о критической ошибке.

Внимание! Аварийный дамп не создается, если отказала дисковая подсистема или критическая ошибка возникла на начальной стадии загрузки Windows.

Содержание:

Типы аварийных дампов памяти Windows
Как включить создание дампа памяти в Windows?
Установка WinDBG в Windows
Настройка ассоциации .dmp файлов с WinDBG
Настройка сервера отладочных символов в WinDBG
Анализ аварийного дампа памяти в WinDBG

Типы аварийных дампов памяти Windows

На примере актуальной операционной системы Windows 10 (Windows Server 2016) рассмотрим основные типы дампов памяти, которые может создавать система:

Мини дамп памяти (Small memory dump) (256 КБ). Этот тип файла включает минимальный объем информации. Он содержит только сообщение об ошибке BSOD, информацию о драйверах, процессах, которые были активны в момент сбоя, а также какой процесс или поток ядра вызвал сбой.
Дамп памяти ядра (Kernel memory dump). Как правило, небольшой по размеру — одна треть объема физической памяти. Дамп памяти ядра является более подробным, чем мини дамп. Он содержит информацию о драйверах и программах в режиме ядра, включает память, выделенную ядру Windows и аппаратному уровню абстракции (HAL), а также память, выделенную драйверам и другим программам в режиме ядра.
Полный дамп памяти (Complete memory dump). Самый большой по объему и требует памяти, равной оперативной памяти вашей системы плюс 1MB, необходимый Windows для создания этого файла.
Автоматический дамп памяти (Automatic memory dump). Соответствует дампу памяти ядра с точки зрения информации. Отличается только тем, сколько места он использует для создания файла дампа. Этот тип файлов не существовал в Windows 7. Он был добавлен в Windows 8.
Активный дамп памяти (Active memory dump). Этот тип отсеивает элементы, которые не могут определить причину сбоя системы. Это было добавлено в Windows 10 и особенно полезно, если вы используете виртуальную машину, или если ваша система является хостом Hyper-V.

Как включить создание дампа памяти в Windows?

С помощью Win+Pause откройте окно с параметрами системы, выберите «Дополнительные параметры системы» (Advanced system settings). Во вкладке «Дополнительно» (Advanced), раздел «Загрузка и восстановление» (Startup and Recovery) нажмите кнопку «Параметры» (Settings). В открывшемся окне настройте действия при отказе системы. Поставьте галку в чек-боксе «Записать события в системный журнал» (Write an event to the system log), выберите тип дампа, который должен создаваться при сбое системы. Если в чек-боксе «Заменять существующий файл дампа» (Overwrite any existing file) поставить галку, то файл будет перезаписываться при каждом сбое. Лучше эту галку снять, тогда у вас будет больше информации для анализа. Отключите также автоматическую перезагрузку системы (Automatically restart).

В большинстве случаев для анализа причины BSOD вам будет достаточно малого дампа памяти.

Теперь при возникновении BSOD вы сможете проанализировать файл дампа и найти причину сбоев. Мини дамп по умолчанию сохраняется в папке %systemroot%minidump. Для анализа файла дампа рекомендую воспользоваться программой WinDBG (Microsoft Kernel Debugger).

Установка WinDBG в Windows

Утилита WinDBG входит в «Пакет SDK для Windows 10» (Windows 10 SDK). Скачать можно здесь.

Файл называется winsdksetup.exe, размер 1,3 МБ.

WinDBG для Windows7 и более ранних систем включен в состав пакета «Microsoft Windows SDK for Windows 7 and .NET Framework 4». Скачать можно здесь.

Запустите установку и выберите, что именно нужно сделать – установить пакет на этот компьютер или загрузить для установки на другие компьютеры. Установим пакет на локальный компьютер.

Можете установить весь пакет, но для установки только инструмента отладки выберите Debugging Tools for Windows.

После установки ярлыки WinDBG можно найти в стартовом меню.

Настройка ассоциации .dmp файлов с WinDBG

Для того, чтобы открывать файлы дампов простым кликом, сопоставьте расширение .dmp с утилитой WinDBG.

Откройте командную строку от имени администратора и выполните команды для 64-разрядной системы:
cd C:Program Files (x86)Windows Kits10Debuggersx64 windbg.exe –IA

для 32-разрядной системы:
C:Program Files (x86)Windows Kits10Debuggersx86 windbg.exe –IA
В результате типы файлов: .DMP, .HDMP, .MDMP, .KDMP, .WEW – будут сопоставлены с WinDBG.

Настройка сервера отладочных символов в WinDBG

Отладочные символы (debug-символы или symbol files) – это блоки данных, генерируемые в процессе компиляции программы совместно с исполняемым файлом. В таких блоках данных содержится информация о именах переменных, вызываемых функциях, библиотеках и т.д. Эти данные не нужны при выполнении программы, но полезные при ее отладке. Компоненты Microsoft компилируются с символами, распространяемыми через Microsoft Symbol Server.

Настройте WinDBG на использование Microsoft Symbol Server:

Откройте WinDBG;
Перейдите в меню File –> Symbol File Path;
Пропишите строку, содержащую URL для загрузки символов отладки с сайта Microsoft и папку для сохранения кэша:
SRV*E:Sym_WinDBG*http://msdl.microsoft.com/download/symbols
В примере кэш загружается в папку E:Sym_WinDBG, можете указать любую.
Не забывайте сохранить изменения в меню File –> Save WorkSpace;

WinDBG произведет поиск символов в локальной папке и, если не обнаружит в ней необходимых символов, то самостоятельно загрузит символы с указанного сайта. Если вы хотите добавить собственную папку с символами, то можно сделать это так:

SRV*E:Sym_WinDBG*http://msdl.microsoft.com/download/symbols;c:Symbols

Если подключение к интернету отсутствует, то загрузите предварительно пакет символов с ресурса Windows Symbol Packages.

Анализ аварийного дампа памяти в WinDBG

Отладчик WinDBG открывает файл дампа и загружает необходимые символы для отладки из локальной папки или из интернета. Во время этого процесса вы не можете использовать WinDBG. Внизу окна (в командной строке отладчика) появляется надпись Debugee not connected.

Команды вводятся в командную строку, расположенную внизу окна.

Самое главное, на что нужно обратить внимание – это код ошибки, который всегда указывается в шестнадцатеричном значении и имеет вид 0xXXXXXXXX (указываются в одном из вариантов — STOP: 0x0000007B, 02.07.2019 0008F, 0x8F). В нашем примере код ошибки 0х139.

Полный справочник ошибок можно посмотреть здесь.

Отладчик предлагает выполнить команду !analyze -v, достаточно навести указатель мыши на ссылку и кликнуть. Для чего нужна эта команда?

Она выполняет предварительный анализ дампа памяти и предоставляет подробную информацию для начала анализа.
Эта команда отобразит STOP-код и символическое имя ошибки.
Она показывает стек вызовов команд, которые привели к аварийному завершению.
Кроме того, здесь отображаются неисправности IP-адреса, процессов и регистров.
Команда может предоставить готовые рекомендации по решению проблемы.

Основные моменты, на которые вы должны обратить внимание при анализе после выполнения команды !analyze –v (листинг неполный).

1: kd>
!analyze -v

***************************************************************************** * * * Bugcheck Analysis * * * *****************************************************************************

Символическое имя STOP-ошибки (BugCheck)
KERNEL_SECURITY_CHECK_FAILURE (139)

Описание ошибки (Компонент ядра повредил критическую структуру данных. Это повреждение потенциально может позволить злоумышленнику получить контроль над этой машиной):

A kernel component has corrupted a critical data structure. The corruption could potentially allow a malicious user to gain control of this machine.

Аргументы ошибки:

Arguments: Arg1: 0000000000000003, A LIST_ENTRY has been corrupted (i.e. double remove). Arg2: ffffd0003a20d5d0, Address of the trap frame for the exception that caused the bugcheck Arg3: ffffd0003a20d528, Address of the exception record for the exception that caused the bugcheck Arg4: 0000000000000000, Reserved Debugging Details: ------------------

Счетчик показывает сколько раз система упала с аналогичной ошибкой:

CUSTOMER_CRASH_COUNT: 1

Основная категория текущего сбоя:

DEFAULT_BUCKET_ID: FAIL_FAST_CORRUPT_LIST_ENTRY

Код STOP-ошибки в сокращенном формате:

BUGCHECK_STR: 0x139

Процесс, во время исполнения которого произошел сбой (не обязательно причина ошибки, просто в момент сбоя в памяти выполнялся этот процесс):

PROCESS_NAME: sqlservr.exe

CURRENT_IRQL: 2

Расшифровка кода ошибки: В этом приложении система обнаружила переполнение буфера стека, что может позволить злоумышленнику получить контроль над этим приложением.
ERROR_CODE: (NTSTATUS) 0xc0000409 - The system detected an overrun of a stack-based buffer in this application. This overrun could potentially allow a malicious user to gain control of this application. EXCEPTION_CODE: (NTSTATUS) 0xc0000409 - The system detected an overrun of a stack-based buffer in this application. This overrun could potentially allow a malicious user to gain control of this application.

Последний вызов в стеке:

LAST_CONTROL_TRANSFER: from fffff8040117d6a9 to fffff8040116b0a0

Стек вызовов в момент сбоя:

STACK_TEXT: ffffd000`3a20d2a8 fffff804`0117d6a9 : 00000000`00000139 00000000`00000003 ffffd000`3a20d5d0 ffffd000`3a20d528 : nt!KeBugCheckEx ffffd000`3a20d2b0 fffff804`0117da50 : ffffe000`f3ab9080 ffffe000`fc37e001 ffffd000`3a20d5d0 fffff804`0116e2a2 : nt!KiBugCheckDispatch+0x69 ffffd000`3a20d3f0 fffff804`0117c150 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiFastFailDispatch+0xd0 ffffd000`3a20d5d0 fffff804`01199482 : ffffc000`701ba270 ffffc000`00000001 000000ea`73f68040 fffff804`000006f9 : nt!KiRaiseSecurityCheckFailure+0x3d0 ffffd000`3a20d760 fffff804`014a455d : 00000000`00000001 ffffd000`3a20d941 ffffe000`fcacb000 ffffd000`3a20d951 : nt! ?? ::FNODOBFM::`string'+0x17252 ffffd000`3a20d8c0 fffff804`013a34ac : 00000000`00000004 00000000`00000000 ffffd000`3a20d9d8 ffffe001`0a34c600 : nt!IopSynchronousServiceTail+0x379 ffffd000`3a20d990 fffff804`0117d313 : ffffffff`fffffffe 00000000`00000000 00000000`00000000 000000eb`a0cf1380 : nt!NtWriteFile+0x694 ffffd000`3a20da90 00007ffb`475307da : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13 000000ee`f25ed2b8 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x00007ffb`475307da

Участок кода, где возникла ошибка:

FOLLOWUP_IP: nt!KiFastFailDispatch+d0 fffff804`0117da50 c644242000 mov byte ptr [rsp+20h],0 FAULT_INSTR_CODE: 202444c6 SYMBOL_STACK_INDEX: 2 SYMBOL_NAME: nt!KiFastFailDispatch+d0 FOLLOWUP_NAME: MachineOwner

Имя модуля в таблице объектов ядра. Если анализатору удалось обнаружить проблемный драйвер, имя отображается в полях MODULE_NAME и IMAGE_NAME:

MODULE_NAME: nt IMAGE_NAME: ntkrnlmp.exe

Если кликнете по ссылке модуля (nt), то увидите подробную информацию о пути и других свойствах модуля. Находите указанный файл, и изучаете его свойства.

1: kd>
lmvm nt

Browse full module list Loaded symbol image file: ntkrnlmp.exe Mapped memory image file: C:ProgramDatadbgsymntoskrnl.exe5A9A2147787000ntoskrnl.exe Image path: ntkrnlmp.exe Image name: ntkrnlmp.exe InternalName: ntkrnlmp.exe OriginalFilename: ntkrnlmp.exe ProductVersion: 6.3.9600.18946 FileVersion: 6.3.9600.18946 (winblue_ltsb_escrow.180302-1800)

В приведенном примере анализ указал на файл ядра ntkrnlmp.exe. Когда анализ дампа памяти указывает на системный драйвер (например, win32k.sys) или файл ядра (как в нашем примере ntkrnlmp.exe), вероятнее всего данный файл не является причиной проблемы. Очень часто оказывается, что проблема кроется в драйвере устройства, настройках BIOS или в неисправности оборудования.

Если вы увидели, что BSOD возник из-за стороннего драйвера, его имя будет указано в значениях MODULE_NAME и IMAGE_NAME.

Например:

Image path: SystemRootsystem32driverscmudaxp.sys Image name: cmudaxp.sys

Откройте свойсва файла драйвера и проверьте его версию. В большинстве случаев проблема с драйверами решается их обнвовлением.

Источник

Как часто Вам приходится лицезреть экран смерти Windows (BSoD)? BSoD может возникать в разных случаях: как уже при работе с системой, так и в процессе загрузки операционной системы. Как же определить, чем вызвано появление BSoD и устранить эту проблему? Операционная система Windows способна сохранять дамп памяти при появлении ошибки, чтобы системный администратор мог проанализировать данные дампа и найти причину возникновения BSoD.

Существует два вида дампов памяти — малый (minidump) и полный. В зависимости от настроек операционной системы, система может сохранять полный или малый дампы, либо не предпринимать никаких действий при возникновении ошибки.

Малый дамп располагается по пути %systemroot%minidump и имеет имя вроде Minixxxxxx-xx.dmp
Полный дамп располагается по пути %systemroot% и имеет имя вроде Memory.dmp

Для анализа содержимого дампов памяти следует применять специальную утилиту — Microsoft Kernel Debugger.
Получить программу и компоненты, необходимые для ее работы, можно напрямую с сайта Microsoft — Debugging Tools

При выборе отладчика следует учитывать версию операционной системы, на которой Вам придется анализировать дампы памяти. Для 32-разрядной ОС необходима 32-битовая версия отладчика, а для 64-разрядной ОС предпочтительно использовать 64-битовую версию отладчика.

После установки отладчика и отладочных символов, запускаем отладчик. Окно отладчика после запуска выглядит следующим образом.

Перед анализом содержимого дампа памяти, потребуется провести небольшую настройку отладчика. Конкретно — сообщить программе, по какому пути следует искать отладочные символы. Для этого выбираем в меню File > Symbol File Path… Нажимаем кнопку Browse… и указываем папку, в которую мы установили отладочные символы для рассматриваемого дампа памяти.

Можно запрашивать информацию о требуемых отладочных символах прямо через Интернет, с публичного сервера Microsoft. Таким образом у вас будет самая новая версия символов. Сделать это можно следующим образом — в меню File > Symbol File Path… вводим: SRV*%systemroot%symbols*http://msdl.microsoft.com/download/symbols

После указания пути к отладочным символам, выбираем в меню File > Save workspace и подтверждаем действие нажатием на кнопку OK.

Чтобы приступить к анализу дампа памяти, выбираем в меню File > Open Crash Dump… и выбираем требуемый для рассмотрения файл.

Система проведет анализ содержимого, по окончанию которого выдаст результат о предполагаемой причине ошибки.

Команда !analyze -v, данная отладчику в командной строке, выведет более детальную информацию.

Завершить отладку можно выбором пункта меню Debug > Stop Debugging

Таким образом, используя пакет Debugging Tools for Windows, всегда можно получить достаточно полное представление о причинах возникновения системных ошибок.

Источник

Как анализировать синий экран dump memory в Windows-01

BSOD расшифровка

Для того, чтобы включить автоматическое сохранение файла дампа памяти системных ошибок достаточно выполнить следующие простые шаги.

Зайдите в панель управления (для этого в Windows 10 вы можете начать набирать «Панель управления» в поиске на панели задач), если в панели управления в поле «Просмотр» включено «Категории», установите «Значки» и откройте пункт «Система».
В меню слева выберите пункт «Дополнительные параметры системы».
На вкладке «Дополнительно» в разделе «Загрузка и восстановление» нажмите кнопку «Параметры».
Параметры создания и сохранения дампов памяти находятся в разделе «Отказ системы». По умолчанию включены опции записи в системный журнал, автоматической перезагрузки и замены существующего дампа памяти, создается «Автоматический дамп памяти», хранящийся в %SystemRoot%MEMORY.DMP (т.е. файл MEMORY.DMP внутри системной папки Windows). Параметры для включения автоматического создания дампов памяти, используемые по умолчанию вы также можете увидеть на скриншоте ниже.

Опция «Автоматический дамп памяти» сохраняет снимок памяти ядра Windows 10 с необходимой отладочной информацией, а также память, выделенную для устройств, драйверов и ПО, работающего на уровне ядра. Также, при выборе автоматического дампа памяти, в папке C:WindowsMinidump сохраняются малые дампы памяти. В большинстве случаев этот параметр оптимален.

Помимо «Автоматический дамп памяти» в параметрах сохранения отладочной информации есть и другие варианты:

Полный дамп памяти — содержит полный снимок оперативной памяти Windows. Т.е. размер файла дампа памяти MEMORY.DMP будет равен объему используемой (занятой) оперативной памяти на момент появления ошибки. Обычному пользователю обычно не требуется.
Дамп памяти ядра — содержит те же данные что и «Автоматический дамп памяти», по сути это одна и та же опция, за исключением того, как Windows устанавливает размер файла подкачки в случае выбора одной из них. В общем случае вариант «Автоматический» подходит лучше (подробнее для интересующихся, на английском — здесь.)
Малый дамп памяти — создание только мини дампов в C:WindowsMin >

В случае, если вам нужно удалить дамп памяти, вы можете сделать это вручную, удалив файл MEMORY.DMP в системной папке Windows и файлы, содержащиеся в папке Minidump. Также можно использовать утилиту «Очистка диска» Windows (нажать клавиши Win+R, ввести cleanmgr и нажать Enter). В «Очистке диска» нажмите кнопку «Очистить системные файлы», а затем в списке отметьте файла дампа памяти для системных ошибок, чтобы удалить их (при отсутствии таких пунктов можно предположить, что дампы памяти пока не создавались).

Ну и в завершение о том, почему может быть отключено создание дампов памяти (или отключаться само после включения): чаще всего причиной являются программы для очистки компьютера и оптимизации работы системы, а также софт для оптимизации работы SSD, который также может отключать их создание.

Формат файла DMP — описание, как открыть?

Расширение DMP может быть нескольких основных исполнений, в частности:

DMP формат является dump-файлом, генерируемым ОС в автоматическом режиме в результате появления какой-либо критической ошибки. Это своеобразный скриншот памяти устройства в момент, когда ОС дает сбой. Dump-файл с ошибкой ОС имеет формат mini000000-00.dmp, где в наименовании указывается конкретный месяц, год и дата фиксации сбоя.

Для непосредственной генерации дампа, а не просто перезагрузки ОС, следует выполнить следующую последовательность действий:

перейти по пути “мой компьютер – свойства – восстановление компонентов – параметры”;
снять закладку ”перезагрузка”;
во вкладке “запись отладочных данных” пользователю предоставляется выбрать вид дамп-файла, и каталог, где он будет сгенерирован.

В случае, если DMP файл занимает значительное место дискового пространства, их допускается удалять. Данная процедура никак не повлияет на работоспособность ОС.

формат DMP – результат деятельности программного комплекса баз данных ORACLE. Такой файл предназначен для резервного хранения схем и БД (актуально только на момент его генерации).
dump-файл программы Steam. Предназначен для контроля и управления над игровыми приложениями.
DMP формат – файл-карта, как результат генерации утилиты Dream Maker.

Программы для открытия и создания DMP файлов

В зависимости от своего исполнения и практического назначения, DMP формат может быть сгенерирован и открыт следующими программными приложениями:

Visual Studio, Dumpflop Utility, Kernel Debug, Bluescreenview, Debug Tools, (DMP файл – генерируемый операционной системой в автоматическом режиме в случае возникновения какой-либо критической ошибки или сбоя);
Oracle Dump Viewer (DMP файл – БД ORACLE);
Steam (DMP файл – клиент для контроля и управления над игровыми приложениями);
Dream Maker (DMP файл – файл-карта).

Если при попытке открыть формат ОС выдает ошибку, – производится открытие DMP файла с использованием некорректного приложения.

Конвертация DMP в другие форматы

Поскольку DMP формат – уникальный файл, содержащий данные о коде критической ошибке или причинах сбоя ОС, конвертация его в другие форматы не практикуется.

Исключение составляет, пожалуй, только дамп-файл базы данных ORACLE. С помощью программной утилиты NXTract допускается преобразование в CSV, SQL Server, DB2, Access, MySQL и многие другие форматы.

Почему именно DMP и в чем его достоинства?

Область практического применения формата DMP необычайно широка. С помощью данного расширения пользователю предоставляется возможность безошибочно диагностировать причину сбоя ОС, создать резервную копию БД ORACLE, управлять игровыми программами и создавать файл-карты.

Типы аварийных дампов памяти Windows

Мини дамп памяти (Small memory dump) (256 КБ). Этот тип файла включает минимальный объем информации. Он содержит только сообщение об ошибке BSOD, информацию о драйверах, процессах, которые были активны в момент сбоя, а также какой процесс или поток ядра вызвал сбой.
Дамп памяти ядра (Kernel memory dump). Как правило, небольшой по размеру — одна треть объема физической памяти. Дамп памяти ядра является более подробным, чем мини дамп. Он содержит информацию о драйверах и программах в режиме ядра, включает память, выделенную ядру Windows и аппаратному уровню абстракции (HAL), а также память, выделенную драйверам и другим программам в режиме ядра.
Полный дамп памяти (Complete memory dump). Самый большой по объему и требует памяти, равной оперативной памяти вашей системы плюс 1MB, необходимый Windows для создания этого файла.
Автоматический дамп памяти (Automatic memory dump). Соответствует дампу памяти ядра с точки зрения информации. Отличается только тем, сколько места он использует для создания файла дампа. Этот тип файлов не существовал в Windows 7. Он был добавлен в Windows 8.
Активный дамп памяти (Active memory dump). Этот тип отсеивает элементы, которые не могут определить причину сбоя системы. Это было добавлено в Windows 10 и особенно полезно, если вы используете виртуальную машину, или если ваша система является хостом Hyper-V.

Причины возникновения ошибки «dumping physical memory to disk»

Сразу же стоит отметить, что в подавляющем большинстве случаев данная ошибка является следствием реакции операционной системы на обнаружение аппаратных неполадок (или же иными словами — физической неисправности).

Поэтому для начала следует остановиться на решении основных аппаратных проблем.

«Оперативная память»

Довольно часто «Dumping physical memory to disk» возникает после физического вмешательства в компоненты компьютера (чистка пыли, апгрейд, замена термопасты) или после скачков напряжения и перегрева компонентов.

Соответственно, от этого и стоит отталкиваться в решении ошибки:

Извлеките планки оперативной памяти и протрите медные контакты обычным канцелярским ластиком. Делать это нужно аккуратно и без фанатизма.
По возможности замените слот для оперативной памяти, или просто поменяйте их местами.
При наличии нескольких активных планок отключите одну из них и проверьте работоспособность системы.

«Видеокарта»

Если ошибка возникает при загрузке операционной системы, то вполне вероятно, что сбоит видеокарта.

Следовательно, необходимо осмотреть её (а также материнскую плату) на наличие явных физических неисправностей — вздутие, погорение, потёртости и т. п.

Если что-либо из перечисленного было вами выявлено в своём компьютере, то следует или заменить проблемные компоненты, или воспользоваться услугами сервисного центра и по возможности продлить им «жизнь».

Программные неполадки

Cразу же после столкновения с ошибкой «Dumping physical memory to disk» (как и с любой другой формой «BSOD») следует внимательно проанализировать отчёт по возникшей критической ошибке.

Для этого следует перейти в «С:windowsminidump» (она же может именоваться «Memory.dmp»).

В данной папке будут находиться отчёты операционной системы, записанные непосредственно перед возникновением ошибки, что позволяет определить, какой процесс является виновником ее появления.

Однако самостоятельный анализ такого отчета принесёт положительный результат только при наличии у пользователя определённых технических познаний в работе операционной системы в целом.

Поэтому — при отсутствии таких навыков — можно загрузить отчёты (дампы) на любое файловое хранилище, предоставить открытый доступ (личной информации в отчёте нет) и создать соответствующую тему на любом тематическом техническом форуме.

А также можно попробовать воспользоваться общими рекомендациями, которые будут предоставлены ниже.

Как включить создание дампа памяти в Windows?

В большинстве случаев для анализа причины BSOD вам будет достаточно малого дампа памяти.

Установка WinDBG в Windows

Утилита WinDBG входит в «Пакет SDK для Windows 10» (Windows 10 SDK). Скачать можно здесь.

Файл называется winsdksetup.exe, размер 1,3 МБ.

Можете установить весь пакет, но для установки только инструмента отладки выберите Debugging Tools for Windows.

После установки ярлыки WinDBG можно найти в стартовом меню.

Как установить Microsoft Kernel Debugger

присоединяться к программе по улучшению качества участвовать не будем

жмем Accept и соглашаемся с лицензией

Далее выбираем компонент и жмем install

начнется установка Microsoft Kernel Debugger

Видим, что Microsoft Kernel Debugger успешно установлен

После чего видим, что в пуске появилась папка Debugging Tools for Windows как для 32 так и для 64 битных систем.

хотя мне нравится устанавливать их в отдельные папки и не захламлять папку Windows.

Настройка ассоциации .dmp файлов с WinDBG

Для того, чтобы открывать файлы дампов простым кликом, сопоставьте расширение .dmp с утилитой WinDBG.

Откройте командную строку от имени администратора и выполните команды для 64-разрядной системы: cd C:Program Files (x86)Windows Kits10Debuggersx64 windbg.exe –IA для 32-разрядной системы: C:Program Files (x86)Windows Kits10Debuggersx86 windbg.exe –IA
В результате типы файлов: .DMP, .HDMP, .MDMP, .KDMP, .WEW – будут сопоставлены с WinDBG.

Что делать при появлении ошибки «dumping physical memory to disk»

Проверка целостности системных файлов и корректности работы жёсткого диска

Это стандартный алгоритм проверки работы системы, который даже если не решит основную проблему, то поможет избавиться от мелких системных сбоев.

Утилита «sfc/scannow» предназначена для выявления повреждённых и отсутствующих системных файлов, с их последующим восстановлением.

Для её активации сделайте следующее:

Нажмите «Пуск» и в строке поиска введите «cmd.exe».
Кликните правой кнопкой мышки по найденному результату и выберите «Запустить от имени администратора».
В открывшейся консоли командной строки введите и выполните команду «sfc/scannow».
Дождитесь завершения сканирования и просмотрите отчёт утилиты.

Утилита «CHKDSK» предназначена для проверки физических носителей на наличие имеющихся ошибок и их автоматического исправления:

Аналогичным образом запустите консоль командной строки.
Введите и выполните команду «CHKDSK f/ r/» — параметр «f/» указывает на автоматический поиск и исправление ошибок, параметр «r/» — сканирует жёсткий диск на наличие повреждённых секторов и автоматически их исправляет.
Процесс может занять длительное время, поэтому наберитесь терпения и не прерывайте работу утилиты.

Анализ и переустановка графического драйвера

В продолжение темы физической неисправности видеокарты, следует проверить её работу на наличие программных ошибок (в виде некорректно работающих драйверов программного обеспечения).

Для проверки актуальности установленных драйверов программного обеспечения графического адаптера зайдите на официальный сайт производителя и проверьте, какие последние редакции получило ваше оборудование (с учётом используемой операционной системы).

Если версия драйвера актуальна, то, возможно, причиной возникновения сбоя «dumping physical memory to disk» стала его некорректная установка.

Проверить это можно следующим образом:

Нажмите комбинацию клавиш «WIN+R» и выполните «devmgmt.msc».
В открывшемся окне «Диспетчер устройств» разверните строку/раздел «Видеоадаптеры».
Кликните правой кнопкой мышки по найденному устройству и выберите «Свойства».
Перейдите на вкладку «Драйвер» и нажмите на кнопку «Удалить».

Здесь возможно два варианта дальнейших действий:

Перезагрузить компьютер и предоставить операционной системе «карт бланш» на самостоятельную установку драйвера графического адаптера.
Воспользоваться специализированным программным обеспечением (DriverPack или Driver Booster) для самостоятельной полуавтоматической установки необходимых драйверов.

Анализ работы оперативной памяти

Как и с работой графического адаптера, так и в работе оперативной памяти возможны ошибки, которые также необходимо выявить на программном уровне.

Делается это достаточно просто:

Наиболее популярная и качественная программа для диагностики работы оперативной памяти является «Memtest». Для работы вам потребуется скачать и записать образ программы на загрузочный носитель, с которого и будет осуществляться тестирование.
Далее потребуется просто загрузиться с носителя (используя «Boot Menu» или установив соответствующий приоритет загрузки в BIOS) и начать работу с «Memtest».
После загрузки с носителя сканирование и тестирование начнётся автоматически.
Остаётся набраться терпения, так как сканирование займёт длительное время (это часы тестирования для каждой планки оперативной памяти).

Если по завершению работы «Memtest» внизу активного окна будет предоставлено уведомление «Pass complete, no errors, press Esc to Exit», то программа не обнаружила неисправных блоков.

Если же они присутствуют, то будут наглядно выделены красным цветом, соответственно, вам придется заменить оперативную память.

Анализ аварийного дампа памяти в WinDBG

Команды вводятся в командную строку, расположенную внизу окна.

Она выполняет предварительный анализ дампа памяти и предоставляет подробную информацию для начала анализа.
Эта команда отобразит STOP-код и символическое имя ошибки.
Она показывает стек вызовов команд, которые привели к аварийному завершению.
Кроме того, здесь отображаются неисправности IP-адреса, процессов и регистров.
Команда может предоставить готовые рекомендации по решению проблемы.

***************************************************************************** * * * Bugcheck Analysis * * * ***************************************************************************** Символическое имя STOP-ошибки (BugCheck) KERNEL_SECURITY_CHECK_FAILURE (139) Описание ошибки (Компонент ядра повредил критическую структуру данных. Это повреждение потенциально может позволить злоумышленнику получить контроль над этой машиной):

A kernel component has corrupted a critical data structure. The corruption could potentially allow a malicious user to gain control of this machine. Аргументы ошибки:

Arguments: Arg1: 0000000000000003, A LIST_ENTRY has been corrupted (i.e. double remove). Arg2: ffffd0003a20d5d0, Address of the trap frame for the exception that caused the bugcheck Arg3: ffffd0003a20d528, Address of the exception record for the exception that caused the bugcheck Arg4: 0000000000000000, Reserved Debugging Details: ——————

Счетчик показывает сколько раз система упала с аналогичной ошибкой:

Основная категория текущего сбоя:

Код STOP-ошибки в сокращенном формате:

Расшифровка кода ошибки: В этом приложении система обнаружила переполнение буфера стека, что может позволить злоумышленнику получить контроль над этим приложением.

ERROR_CODE: (NTSTATUS) 0xc0000409 — The system detected an overrun of a stack-based buffer in this application. This overrun could potentially allow a malicious user to gain control of this application. EXCEPTION_CODE: (NTSTATUS) 0xc0000409 — The system detected an overrun of a stack-based buffer in this application. This overrun could potentially allow a malicious user to gain control of this application.

Последний вызов в стеке:

LAST_CONTROL_TRANSFER: from fffff8040117d6a9 to fffff8040116b0a0

Стек вызовов в момент сбоя:

STACK_TEXT: ffffd000`3a20d2a8 fffff804`0117d6a9 : 00000000`00000139 00000000`00000003 ffffd000`3a20d5d0 ffffd000`3a20d528 : nt!KeBugCheckEx ffffd000`3a20d2b0 fffff804`0117da50 : ffffe000`f3ab9080 ffffe000`fc37e001 ffffd000`3a20d5d0 fffff804`0116e2a2 : nt!KiBugCheckDispatch+0x69 ffffd000`3a20d3f0 fffff804`0117c150 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiFastFailDispatch+0xd0 ffffd000`3a20d5d0 fffff804`01199482 : ffffc000`701ba270 ffffc000`00000001 000000ea`73f68040 fffff804`000006f9 : nt!KiRaiseSecurityCheckFailure+0x3d0 ffffd000`3a20d760 fffff804`014a455d : 00000000`00000001 ffffd000`3a20d941 ffffe000`fcacb000 ffffd000`3a20d951 : nt! ?? ::FNODOBFM::`string’+0x17252 ffffd000`3a20d8c0 fffff804`013a34ac : 00000000`00000004 00000000`00000000 ffffd000`3a20d9d8 ffffe001`0a34c600 : nt!IopSynchronousServiceTail+0x379 ffffd000`3a20d990 fffff804`0117d313 : ffffffff`fffffffe 00000000`00000000 00000000`00000000 000000eb`a0cf1380 : nt!NtWriteFile+0x694 ffffd000`3a20da90 00007ffb`475307da : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x13 000000ee`f25ed2b8 00000000`00000000 : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x00007ffb`475307da

Где находится дамп файл ? / Where is the dump file ?

Дамп файл — используется для анализа ошибок компьютера так называемого синего экрана.

Причем не все видят данный экран. В настройках Windows можно установить действие при возникновении критической ошибки — Перезагрузка

При получении заявок от пользователей о периодических перезагрузках компьютера в течении дня без видимой причины стоит обратить внимание на дамп системы который перед этим создается.

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlCrashControl]

MinidumpDir

Содержится информация о пути где находятся дамп файлы. Обычно, данные файлы находятся в папке

C:WindowsMinidump

В значении параметра Min >установлено %SystemRoot%Minidump

%SystemRoot% — эта переменная для директории Windows.

Если открыть командную строку (Win+R -> В окне выполнить ввести cmd)

и в окне командной строки ввести

то в результате в окне командной строки вы переместитесь в папку Windows

После нахождения дамп файла его еще нужно открыть и для этого можно воспользоваться утилитами созданными специально для этого.

Например BlueScreenView или WinDBG входящий в состав инструментов по отладке Windows.

The dump file — is used for the analysis of the errors of the computer the blue screen.

And not everyone can see the screen. In the settings Windows you can set the action when a critical error occurs — Restart

Upon receipt of the applications from users on the periodic rebooting of the computer during the day for no apparent reason you should pay attention to the system dump which is created.

[HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlCrashControl]

MinidumpDir

Contains information about the path where the dump files. Usually, these files are in the folder

In the MinidumpDir value of the parameter using %SystemRoot%Minidump

%SystemRoot% is the variable for the Windows directory.

If you open a command prompt (Win+R -> In run box type cmd)

in the command prompt window, enter

the result in the command prompt window, you navigate to the Windows folder

After finding the dump file it has to open and you can use the utilities created for this purpose.

For example BlueScreenView or WinDBG part of debugging tools for Windows.

Источник

При возникновении синих экранов BSoD Windows 11, 10 и другие версии системы создают дамп (снимок состояния) оперативной памяти, содержащий отладочную информацию, которую можно использовать для диагностики и определения причин сбоя. Функция обычно включена по умолчанию, но если дампы памяти не создаются, их можно включить: Как включить создание дампов памяти в Windows.

Подробным анализом дампов памяти занимаются разработчики, но и для рядового пользователя, столкнувшегося с синими экранами в Windows это может оказаться полезным: адреса в памяти ему ничего не дадут, но часто можно обнаружить имя файла приложения или драйвера, вызывающее сбой. Здесь помогут специальные программы для анализа дампов памяти, о которых и пойдёт речь далее.

WinDbg

У Майкрософт имеется собственный инструмент отладки и анализа дампов памяти — WinDbg (пока Preview). Скачать его для Windows 11 и Windows 10 можно из Microsoft Store, используя поиск в магазине приложений или прямую ссылку.

Пример простого анализа дампа памяти для обычного пользователя с целью выявления процесса, вызвавшего BSoD с помощью WinDbg:

Запустите WinDbg от имени Администратора (правый клик по ярлыку в меню «Пуск» — «Запуск от имени администратора»).
В главном меню программы выберите «Файл» — «Open dump File» и укажите путь к нужному мини-дампу, обычно находящемуся в папке C:WindowsMinidump, нажмите кнопку «Open».
Введите команду
```
!analyze -v
```
в поле ввода команд (либо нажмите по ссылке с командой в верхней панели WinDbg) и дождитесь завершения анализа.
В панели «Command» в верхней части окна программы будет отображен результат анализа, где, при удаче, вы сможете найти информацию о том, каким процессом был инициирован сбой (PROCESS_NAME).
Может быть информация о файле драйвера (.sys) в поле IMAGE_NAME и другая информация, позволяющая найти источник проблемы.

Далее полученную информацию можно использовать для того, чтобы найти, каким устройствам соответствуют драйверы в Интернете, выяснить назначение процессов вызвавших сбой, предпринять те или иные действия с целью их устранения.

BlueScreenView

BlueScreenView — очень простая утилита, которая позволяет выбрать файла дампа памяти в списке и посмотреть, какие файлы драйвера и процессы привели к сбою: в окне программы они будут выделены красным цветом.

Скачать BlueScreenView можно с официального сайта разработчика https://www.nirsoft.net/utils/blue_screen_view.html

WhoCrashed

Ещё одна программа для анализа дампов памяти — WhoCrashed. В бесплатной версии предоставляет не так много информации.

После нажатия кнопки «Analyze» имеющиеся дампы памяти анализируются, и на вкладке «Report» выводятся коды ошибок, а также текстовое описание на английском языке о том, что означает этот код и о возможных причинах сбоя.

Официальный сайт WhoCrashed https://www.resplendence.com/whocrashed, судя по всему, не открывается из РФ, но утилиту легко найти и скачать из сторонних источников.

Источник

В случае критической ошибки система останавливает свою работу, отображает синий экран смерти (BSOD), информация об ошибке и содержимое памяти сохраняется в файле подкачки. При последующей загрузке системы, на основе сохраненных данных, создается аварийный дамп c отладочной информацией. В системном журнале событий создается запись о критической ошибке.

Если критическая ошибка возникла на ранней стадии загрузки системы или в результате ошибки произошел отказ дисковой подсистемы, аварийный дамп сохранен не будет.

Аварийный дамп может быть проанализирован с помощью утилиты BlueScreenView или системного отладчика WinDbg (Debugging Tools for Windows).

Содержание

Анализ аварийного дампа утилитой BlueScreenView
Анализ аварийного дампа отладчиком WinDbg
Получение информации о проблемном драйвере
Аппаратные причины возникновения критических ошибок
Настройка параметров сохранения аварийного дампа

Анализ аварийного дампа утилитой BlueScreenView

Простейшим инструментом для анализа аварийных дампов является утилита BlueScreenView от NirSoft.

Загружаем программу с сайта разработчика.

BlueScreenView сканирует папку с минидампами и отображает информацию по найденным отказам.

По каждому отказу отображается дата, данные об ошибке и драйвер, который предположительно вызвал отказ.

В нижней части окна отображается список загруженных в системе драйверов. Модули, к которым выполнялось обращение в момент отказа, выделены цветом, на них следует обратить особое внимание, они могут быть причиной отказа.

По двойному клику отображается дополнительная информация.

Анализ аварийного дампа отладчиком WinDbg

С помощью WinDbg из аварийного дампа можно вытащить более детальную информацию, включая расшифровку стека.

Установка Debugging Tools for Windows (WinDbg)

Microsoft распространяет WinDbg только в составе SDK, загрузить веб-установщик можно на странице загрузки.

Для анализа аварийных дампов установка SDK не требуется. Скачать Debugging Tools for Windows (WinDbg) отдельным пакетом можно здесь.

После установки, корректируем ярлык для запуска WinDbg. В свойствах ярлыка, устанавливаем флажок запуска от имени администратора. Также, в качестве рабочей папки, задаем: %SystemRoot%Minidump.

Настройка отладочных символов

Отладочные символы содержат символические имена функций из исходного кода. Они необходимы для расшифровки и интерпретации аварийного дампа.

При первом запуске WinDbg, необходимо указать путь к отладочным символам, для этого открываем меню File, Symbol File Path, или используем комбинацию Ctrl+S.

Следующей строкой включаем загрузку отладочных символов из сети, задаем локальный путь для сохранения файлов и адрес для загрузки из интернета:

srv*C:Windowssymbols*http://msdl.microsoft.com/download/symbols

Анализ аварийного дампа

Запускаем WinDbg.

В меню выбираем File, Open Crash Dump, или нажимаем Ctrl+D.

Указываем путь к дампу %SystemRoot%MEMORY.DMP или %SystemRoot%Minidumpфайл.dmp.

Загрузка отладочных символов из интернета может занять некоторое время.

Для получения детальной информации выполняем команду:

!analyze -v

Дебаггер сам вам предложит ее выполнить, достаточно навести указатель мыши на ссылку и кликнуть.

В результате получаем следующий вывод:

*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

Тип ошибки: KMODE_EXCEPTION_NOT_HANDLED (1e)
Комментарий к ошибке: This is a very common bugcheck.  Usually the exception address pinpoints
the driver/function that caused the problem.  Always note this address
as well as the link date of the driver/image that contains this address.
Arguments:
Аргументы ошибки:
Arg1: 0000000000000000, The exception code that was not handled
Arg2: 0000000000000000, The address that the exception occurred at
Arg3: 0000000000000000, Parameter 0 of the exception
Arg4: 0000000000000000, Parameter 1 of the exception

Debugging Details:
------------------

EXCEPTION_CODE: (Win32) 0 (0) -                           .

FAULTING_IP:
+3332313336383065
00000000`00000000 ??              ???

EXCEPTION_PARAMETER1:  0000000000000000

EXCEPTION_PARAMETER2:  0000000000000000

ERROR_CODE: (NTSTATUS) 0 - STATUS_WAIT_0

BUGCHECK_STR:  0x1E_0

CUSTOMER_CRASH_COUNT:  1

DEFAULT_BUCKET_ID:  VISTA_DRIVER_FAULT

Процесс, вызвавший ошибку: PROCESS_NAME:  VirtualBox.exe

CURRENT_IRQL:  2

EXCEPTION_RECORD:  fffff80000ba24d8 -- (.exr 0xfffff80000ba24d8)
ExceptionAddress: fffff800034d8a70 (nt!DbgBreakPoint)
   ExceptionCode: 80000003 (Break instruction exception)
  ExceptionFlags: 00000000
NumberParameters: 1
   Parameter[0]: 0000000000000000

TRAP_FRAME:  fffff80000ba2580 -- (.trap 0xfffff80000ba2580)
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=0000000000142940 rbx=0000000000000000 rcx=fffffa80055be690
rdx=0000000000009018 rsi=0000000000000000 rdi=0000000000000000
rip=fffff800034d8a71 rsp=fffff80000ba2718 rbp=fffff88006fa0000
 r8=0000000000002274  r9=11d0851b22c6ac61 r10=fffff80003464000
r11=fffff80000ba27e0 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0         nv up ei pl nz ac po nc
nt!DbgBreakPoint+0x1:
fffff800`034d8a71 c3              ret
Resetting default scope

LAST_CONTROL_TRANSFER:  from fffff800034d85fe to fffff800034e0c10

STACK_TEXT:
Стек вызовов:  
fffff800`00ba15b8 fffff800`034d85fe : fffffa80`03c05530 00000000`ffffffff fffff800`00ba1d30 fffff800`0350c830 : nt!KeBugCheck
fffff800`00ba15c0 fffff800`0350c4fd : fffff800`036ea71c fffff800`03627c30 fffff800`03464000 fffff800`00ba24d8 : nt!KiKernelCalloutExceptionHandler+0xe
fffff800`00ba15f0 fffff800`0350b2d5 : fffff800`0362b028 fffff800`00ba1668 fffff800`00ba24d8 fffff800`03464000 : nt!RtlpExecuteHandlerForException+0xd
fffff800`00ba1620 fffff800`0351c361 : fffff800`00ba24d8 fffff800`00ba1d30 fffff800`00000000 00000000`00142940 : nt!RtlDispatchException+0x415
fffff800`00ba1d00 fffff800`034e02c2 : fffff800`00ba24d8 fffffa80`07149010 fffff800`00ba2580 00000000`00000000 : nt!KiDispatchException+0x135
fffff800`00ba23a0 fffff800`034de0f4 : 00000000`00000016 00000000`00000001 00000000`00000001 00000000`00000000 : nt!KiExceptionDispatch+0xc2
fffff800`00ba2580 fffff800`034d8a71 : fffff880`05861446 00000000`df029940 fffff880`02f45bec 00000000`deee7000 : nt!KiBreakpointTrap+0xf4
fffff800`00ba2718 fffff880`05861446 : 00000000`df029940 fffff880`02f45bec 00000000`deee7000 fffff880`01229f06 : nt!DbgBreakPoint+0x1
fffff800`00ba2720 00000000`df029940 : fffff880`02f45bec 00000000`deee7000 fffff880`01229f06 fffffa80`05635af8 : cmudaxp+0x25446
fffff800`00ba2728 fffff880`02f45bec : 00000000`deee7000 fffff880`01229f06 fffffa80`05635af8 00000000`00000000 : 0xdf029940
fffff800`00ba2730 00000000`deee7000 : fffff880`01229f06 fffffa80`05635af8 00000000`00000000 00000000`00000003 : VBoxDrv+0x6bec
fffff800`00ba2738 fffff880`01229f06 : fffffa80`05635af8 00000000`00000000 00000000`00000003 fffff880`05865913 : 0xdeee7000
fffff800`00ba2740 00000000`00000000 : 00000000`00000001 00000000`00000006 00000000`00000001 fffff800`00ba2800 : CLASSPNP!ClasspServiceIdleRequest+0x26

STACK_COMMAND:  kb

FOLLOWUP_IP:
cmudaxp+25446
fffff880`05861446 ??              ???

SYMBOL_STACK_INDEX:  8

SYMBOL_NAME:  cmudaxp+25446

FOLLOWUP_NAME:  MachineOwner

Драйвер, в котором возникла ошибка: MODULE_NAME: cmudaxp

IMAGE_NAME:  cmudaxp.sys

DEBUG_FLR_IMAGE_TIMESTAMP:  47906a45

FAILURE_BUCKET_ID:  X64_0x1E_0_cmudaxp+25446

BUCKET_ID:  X64_0x1E_0_cmudaxp+25446

Followup: MachineOwner
---------

Получение информации о проблемном драйвере

Если удалось обнаружить драйвер, в котором возникла ошибка, имя драйвера будет отображено в полях MODULE_NAME и IMAGE_NAME.

Чтобы получить путь к файлу и прочую информацию, щелкаем по ссылке на модуль:

start             end                 module name
fffff880`0583c000 fffff880`059ef000   cmudaxp  T (no symbols)           
    Loaded symbol image file: cmudaxp.sys
    Image path: SystemRootsystem32driverscmudaxp.sys
    Image name: cmudaxp.sys
    Timestamp:        Fri Jan 18 13:58:45 2008 (47906A45)
    CheckSum:         0013077F
    ImageSize:        001B3000
    Translations:     0000.04b0 0000.04e4 0409.04b0 0409.04e4

Если полный путь к драйверу не указан, по умолчанию используется папка %SystemRoot%system32drivers.

Находим указанный файл, и изучаем его свойства.

Обновляем проблемный драйвер.

Аппаратные причины возникновения критических ошибок

Источником критических ошибок нередко бывают неисправности в дисковой подсистеме, или в подсистеме памяти.

Диагностика неисправностей диска

В случае ошибок дисковой подсистемы, аварийный дамп может не сохраняться.

Чтобы исключить проблемы с диском, проверяем системный журнал событий на наличие ошибок чтения и записи на диск.

Проверяем параметры S.M.A.R.T жесткого диска, получить их можно, например, с помощью программы SpeedFan.

Особое внимание обращаем на параметры: «Current Pending Sector Count» и «Uncorrectable Sector Count», ненулевые значения этих параметров сигнализируют о неисправности диска.

Ненулевое значение параметра: «UltraDMA CRC Error Count», сигнализирует о проблеме с SATA-кабелем.

Подробнее о параметрах S.M.A.R.T. читаем в статье Википедии.

Диагностика неисправностей памяти

Проблемы с памятью нередко могут стать причиной самых разнообразных глюков, включая различные синие экраны, зависания, аварийное завершение программ, повреждение реестра, повреждение файловой системы и данных.

Выявить проблемы с памятью можно с помощью утилиты Memtest86+.

Загружаем образ по ссылке, записываем на диск, загружаемся с диска, запускается тест.

Начиная с Windows Vista, в системе имеется свой тест памяти. Для его запуска нажимаем «Пуск», в строке поиска набираем «памяти«, выбираем «Средство диагностики памяти Windows».

Проблемы с памятью в некоторых случаях могут быть устранены обновлением BIOS.

Настройка параметров сохранения аварийного дампа

Для изменения параметров сохранения аварийного дампа нажимаем кнопку «Пуск», щелкаем на «Компьютер» правой кнопкой мыши, в контекстном меню выбираем «Свойства». В окне «Система» слева выбираем «Дополнительные параметры системы», в группе «Загрузка и восстановление» нажимаем кнопку «Параметры».

Подробнее о дампах памяти читаем здесь.

Источник

Общие сведения об аварийном дампе памяти

Все Windows-системы при обнаружении фатальной ошибки делают аварийный дамп (снимок) содержимого оперативной памяти и сохраняет его на жесткий диск. Существуют три типа дампа памяти:

Полный дамп памяти – сохраняет все содержимое оперативной памяти. Размер снимка равен размеру оперативной памяти + 1 Мб (заголовок). Используется очень редко, так как в системах с большим объемом памяти размер дампа будет слишком большим.

Дамп памяти ядра – сохраняет информацию оперативной памяти, касающуюся только режима ядра. Информация пользовательского режима не сохраняется, так как не несет в себе информации о причине краха системы. Объем файла дампа зависит от размера оперативной памяти и варьируется от 50 Мб (для систем с 128 Мб оперативной памяти) до 800 Мб (для систем с 8 Гб оперативной памяти).

Малый дамп памяти (мини дамп) – содержит довольно небольшое количество информации: код ошибки с параметрами, список драйверов загруженных в оперативную память на момент краха системы и т.д., но этих сведений достаточно, для определения сбойного драйвера. Еще одним преимуществом данного вида дампа является маленький размер файла.

Настройка системы

Для выявления драйвера вызвавшего синий экран нам достаточно будет использовать малый дамп памяти. Для того чтобы система при крахе сохраняла мини дамп необходимо выполнить следующие действия:

Для Windows Xp

Для Windows 7

Правой клавишей мыши нажать на значке Мой компьютер из контекстного меню выберите Свойства (или комбинация клавиш Win+Pause);
Переходите на вкладку Дополнительно;
В поле Загрузка и восстановление необходимо нажать кнопку Параметры;
В поле Запись отладочной информации выбираем Малый дамп памяти (64 Кб).

Правой клавишей мыши нажать на значке Компьютер из контекстного меню выберите Свойства (или комбинация клавиш Win+Pause);
В левом меню щелкаем на пункт Дополнительные параметры системы;
Переходите на вкладку Дополнительно;
В поле Загрузка и восстановление необходимо нажать кнопку Параметры;
В поле Запись отладочной информации выбираем Малый дамп памяти (128 Кб).

Проделав все манипуляции, после каждого BSoD в папке C:WINDOWSMinidump будет сохраняться файл с расширение .dmp. Советую ознакомиться с материалом «Как создать папку«. Также можно установить галочку на “Заменить существующий файл дампа”. В этом случае каждый новый аварийный дамп будет записываться поверх старого. Я не советую включать данную опцию.

Анализ аварийного дампа памяти с помощью программы BlueScreenView

Итак, после появления синего экрана смерти система сохранила новый аварийный дамп памяти. Для анализа дампа рекомендую использовать программу BlueScreenView. Её можно бесплатно скачать тут. Программа довольно удобная и имеет интуитивный интерфейс. После её установки первое, что необходимо сделать – это указать место хранение дампов памяти в системе. Для этого необходимо зайти в пункт меню “Options” и выбрать “Advanced Options”. Выбираем радиокнопку “Load from the following Mini Dump folder” и указываем папку, в которой хранятся дампы. Если файлы хранятся в папке C:WINDOWSMinidump можно нажатием кнопки “Default”. Нажимаем OK и попадаем в интерфейс программы.

Программа состоит из трех основных блоков:

Блок главного меню и панель управления;
Блок списка аварийных дампов памяти;
В зависимости от выбранных параметров может содержать в себе:

список всех драйверов находящихся в оперативной памяти до появления синего экрана (по умолчанию);
список драйверов находящихся в стеке оперативной памяти;
скриншот BSoD;
и другие значения, которые мы использовать не будем.

В блоке списка дамп памяти (на рисунке помечен цифрой 2) выбираем интересующий нас дамп и смотрим на список драйверов, которые были загружены в оперативную память (на рисунке помечен цифрой 3). Розовым цветом окрашены драйвера, которые находились в стеке памяти. Они то и являются причиной появления BSoD. Далее переходите в Главное меню драйвера, определяйте к какому устройству или программе они принадлежат. В первую очередь обращайте внимание на не системные файлы, ведь системные файлы в любом случае загружены в оперативной памяти. Легко понять, что на изображении сбойным драйвером является myfault.sys. Скажу, что это программа была специально запущена для вызова Stop ошибки. После определения сбойного драйвера, необходимо его либо обновить, либо удалить из системы.

Для того чтобы программа показывала список драйверов находящихся в стеке памяти во время возникновения BSoD необходимо зайти в пункт меню “Options” кликаем на меню “LowerPaneMode” и выбираем “OnlyDriversFoundInStack” (или нажмите клавишу F7), а для показа скриншота ошибки выбираем “BlueScreeninXPStyle” (F8). Что бы вернуться к списку всех драйверов, необходимо выбрать пункт “AllDrivers” (F6).

Reader Interactions

Источник

Обновлено 16.10.2016

Как анализировать синий экран dump memory в Windows-01

BSOD расшифровка

Как настроить создание memory dump

Как анализировать синий экран dump memory в Windows-Свойства компьютера

Далее идем в пункт Дополнительные параметры системы

Как анализировать синий экран dump memory в Windows-параметры системы

Переходим во вкладку Дополнительно-Загрузка и восстановление. Жмем кнопку Параметры

Как анализировать синий экран dump memory в Windows-Загрузка и восстановление

Где хранится файл memory.dmp

Как анализировать синий экран dump memory в Windows-05

Перейдем в папку c:windows и найдем файл MEMORY.DMP в нем содержаться коды синего экрана смерти

Как анализировать синий экран dump memory в Windows-memory.dmp

Как настроить mini dump

Как анализировать синий экран dump memory в Windows-07

Как анализировать синий экран dump memory в Windows-08

Как установить Microsoft Kernel Debugger

Как установить Microsoft Kernel Debugger-01

присоединяться к программе по улучшению качества участвовать не будем

Как установить Microsoft Kernel Debugger-02

жмем Accept и соглашаемся с лицензией

Как установить Microsoft Kernel Debugger-соглашаемся с лицензией

Далее выбираем компонент и жмем install

Как установить Microsoft Kernel Debugger-04

начнется установка Microsoft Kernel Debugger

Как установить Microsoft Kernel Debugger-установка MKD

Видим, что Microsoft Kernel Debugger успешно установлен

Как установить Microsoft Kernel Debugger-06

После чего видим, что в пуске появилась папка Debugging Tools for Windows как для 32 так и для 64 битных систем.

Как установить Microsoft Kernel Debugger-07

Анализ синего экрана в Debugging Tools

После установки Debugging Symbols под систему на которой был синий экран смерти запускаем Debugging Tools

Как установить Microsoft Kernel Debugger-Запуск

Как установить Microsoft Kernel Debugger-09

Нажимаем кнопку Browse…

Как установить Microsoft Kernel Debugger10

SRV*%systemroot%symbols*http://msdl.microsoft.com/download/symbols

Как установить Microsoft Kernel Debugger-11

Как анализировать синий экран смерти

Как анализировать синий экран смерти-01

Выбираем для примера minidump

Как анализировать синий экран смерти-открываем minidump

Как анализировать синий экран смерти-03

Как анализировать синий экран смерти-04

Получите более детальную информацию по причине синего экрана.

Как анализировать синий экран смерти-05

Если открыть memory.dmp то вы получите подобную картину и видим почему синий экран у вас появился.

Как анализировать синий экран смерти-06

Ткнув по ссылке в логе вы получаете самую детальную информацию об ошибке.

Как анализировать синий экран смерти-07

Вот так вот просто диагностировать и устранить синий экран смерти.

Материал сайта pyatilistnik.org

Windows 7:

Нажмите кнопку «Пуск» в Windows> Введите событие в поле «Поиск программ и файлов».
Выберите Просмотр событий.
Перейдите в Журналы Windows> Приложение, а затем найдите последнее событие с «Ошибка» в столбце «Уровень» и «Ошибка приложения» в столбце «Источник».
Скопируйте текст на вкладке Общие.

Проверьте наличие проблем с жестким диском:

Нажмите кнопку Пуск.
Перейти к компьютеру.
Щелкните правой кнопкой мыши основной диск, на котором установлена Windows 7, и выберите «Свойства».
Перейдите на вкладку «Инструменты» и в разделе «Проверка ошибок» нажмите «Проверить сейчас».
Выберите Автоматически исправлять ошибки файловой системы и Искать и пытаться восстановить поврежденные сектора.
Нажмите кнопку Пуск.

Как мне проверить мой журнал «Синий экран смерти»?

Сделать это:

Выберите Журналы Windows в левой части окна.
Вы увидите несколько подкатегорий. При выборе любой из этих категорий в центре экрана появится серия журналов событий.
Любые ошибки BSOD помечаются как «Ошибка».
Дважды щелкните любую найденную ошибку, чтобы изучить ее.

Где находится аварийный дамп синего экрана?

Когда ОС Windows выходит из строя (синий экран смерти или BSOD), она выгружает всю информацию о памяти в файл на диске. Этот файл дампа может помочь разработчикам определить причину сбоя. Расположение файла дампа по умолчанию -% SystemRoot% memory.dmp, то есть C: Windows memory.dmp, если C: является системным диском.

Где находится синий экран в средстве просмотра событий?

Как использовать средство просмотра событий для проверки причины синего экрана смерти (BSOD)

Нажмите Windows + X, чтобы открыть меню быстрого запуска, и выберите «Просмотр событий».
В окне просмотра событий нажмите «Открыть журналы системы» в разделе «Журналы Windows» в левом меню.
В окне «Создать настраиваемый вид» выберите «Пользовательский диапазон…».

Если установленный вами драйвер вызывает синий экран Windows, этого не должно происходить в безопасном режиме. Проверьте наличие проблем с оборудованием: синие экраны могут быть вызваны неисправным оборудованием на вашем компьютере. Попробуйте проверить память вашего компьютера на наличие ошибок и проверить ее температуру, чтобы убедиться, что он не перегревается.

Что вызывает синий экран смерти Windows 7?

Ошибки BSoD могут быть вызваны плохо написанными драйверами устройств или неисправным оборудованием, например неисправной памятью, проблемами с питанием, перегревом компонентов или выходом оборудования за пределы его спецификации. В эпоху Windows 9x несовместимые библиотеки DLL или ошибки в ядре операционной системы также могли вызывать BSoD.

Как отладить «синий экран смерти»?

Шаги вкратце

Создайте и запишите дамп памяти, связанный с BSOD, который вы пытаетесь устранить.
Установите и настройте WinDBG и путь символов к правильной папке символов.
Используйте WinDBG для отладки и анализа дампа экрана, а затем найдите первопричину проблемы.

Как проверить журнал сбоев Windows 10?

Вот совет, как найти журналы сбоев в Windows 10 (если это то, что вам нужно сделать).

Перейдите в область поиска.
Введите «Просмотр событий»
Настройте параметры поиска.
Создать собственный вид.
Перемещайтесь по списку записей и / или настраивайте критерии фильтрации, пока не найдете то, что ищете.

Как просмотреть файл .DMP?

Открытие файлов дампа памяти

Откройте меню «Пуск».
введите windbg.exe.
Щелкните Файл и выберите Открыть аварийный дамп.
Перейдите к файлу .dmp, который вы хотите проанализировать.
Нажмите Открыть.

Где находится файл дампа памяти в Windows 7?

Как получить полный дамп памяти

Освободите не менее 25 ГБ места на системном диске (чаще всего это C: ). По умолчанию файл дампа сохраняется в папке Windows на системном диске с именем MEMORY.DMP.
Нажмите Win + E на клавиатуре.
Щелкните правой кнопкой мыши «Этот компьютер» и выберите «Свойства» в контекстном меню.

Где файлы аварийного дампа в Windows 7?

Когда происходит сбой Windows 7, поставщики решений должны проверить аварийный дамп, также называемый «минидампом», — файлы, которые Windows создает для отладки и находится в% SystemRoot% MEMORY.DMP. Этот файл обычно указывает на причину любых проблем BSOD или черного экрана, таких как проблемы с видеоадаптером или ошибки приложения.

Как исправить зависание Windows 7?

Шаг 1. Войдите в Windows 7 с правами администратора, нажмите кнопку «Пуск» и введите MSCONFIG в поле поиска. Шаг 2: Щелкните вкладку «Общие» и выберите «Выборочный запуск». Обязательно снимите флажок с надписью «Загрузить элементы автозагрузки».

Как исправить синий экран в Windows?

Исправление синего экрана в безопасном режиме

Выберите Устранение неполадок на экране выбора варианта.
Нажмите на Дополнительные параметры.
Нажмите Start Settings.
Нажмите кнопку «Перезагрузить».
После перезагрузки компьютера нажмите F4 или клавишу 4, чтобы выбрать «Включить безопасный режим».

Синий экран смерти — это плохо?

zyrrahXD спросил на форуме Windows, может ли синий экран смерти серьезно повредить ПК. BSoD может быть признаком аппаратной проблемы. В этом случае может показаться, что проблема была вызвана самой ошибкой. Хотя BSoD не повредит ваше оборудование, он может испортить вам день.

Как получить синий экран смерти?

Чтобы создать безобидный и настоящий синий экран смерти (BSOD), щелкните правой кнопкой мыши панель задач, щелкните запустить диспетчер задач, щелкните вкладки процессов, щелкните Показать процессы от всех пользователей, щелкните правой кнопкой мыши csrss.exe и щелкните завершить процесс. Установите флажок «Отказаться от несохраненных данных и завершить работу», затем нажмите «Завершение работы». Перезагрузите компьютер, и он снова станет нормальным.

Как заставить синий экран?

Используйте комбинацию клавиш Right Control + Scroll Lock + Scroll Lock. Единственное, что вам осталось сделать, чтобы вызвать красивый синий экран смерти, — это зажать правую клавишу Control на клавиатуре, а затем дважды быстро нажать клавишу Scroll Lock.

Зачем использовать синий экран вместо зеленого?

Использование зеленого вместо синего приводит к меньшему шуму при отключении отснятого материала. Разлив цвета. В зависимости от вашего снимка, разлив цвета может быть лучше или хуже в зависимости от цвета вашего экрана. На синем экране, как правило, меньше разводов, чем на зеленом, и его легче исправить, чем зеленый.

Как вы анализируете синий экран?

Как анализировать аварийный дамп BSOD

Синие экраны смерти могут быть вызваны множеством факторов.
Шаг 2. Запустите установку SDK.
Шаг 3: Подождите, пока установщик.
Шаг 4: Запустите WinDbg.
Шаг 5: Задайте путь к символу.
Шаг 6: Введите путь к файлу символов.
Шаг 7: Сохраните рабочую область.
Шаг 8: Откройте аварийный дамп.

Как мне проанализировать файл DMP в Visual Studio?

Чтобы проанализировать минидамп

Откройте Visual Studio.
В меню «Файл» выберите «Открыть проект».
Установите для Тип файла значение «Файлы дампа», перейдите к файлу дампа, выберите его и нажмите «Открыть».
Запустите отладчик.

Как прочитать файл дампа синего экрана в Windows 10?

Шаги по настройке Windows 10 для создания файлов дампа на BSOD

Прежде всего, щелкните правой кнопкой мыши на меню «Пуск» и перейдите в панель управления.
Перейдите в раздел «Система и безопасность». Щелкните Система.
Перейдите на вкладку Advanced. Нажмите на «Настройки» в разделе «Запуск и восстановление».
Проверьте панель информации об отладке. по умолчанию выбран автоматический дамп памяти.

Как использовать WinDbg?

Запустите Блокнот и прикрепите WinDbg

Перейдите в каталог установки и откройте WinDbg.exe.
Документация по отладчику также доступна здесь.
В меню «Файл» выберите «Открыть исполняемый файл».
В нижней части окна WinDbg в командной строке введите эту команду:

Что такое файлы дампа в Windows 7?

Полный дамп памяти может содержать данные из процессов, которые выполнялись на момент сбора дампа памяти. Файлы отчетов об ошибках системы: отчеты об ошибках Windows в Windows 7 — это функция, которая позволяет Microsoft отслеживать и устранять ошибки, связанные с операционной системой, функциями Windows и приложениями.

Могу ли я удалить файл аварийного дампа?

Из-за своего большого размера файлы дампа памяти могут занимать много места на жестком диске. Вы можете удалить дампы памяти, чтобы освободить место на жестком диске. Эту задачу можно выполнить с помощью утилиты очистки данных.

Где я могу найти аварийный дамп Windows?

Если это так, см. Документацию по продукту, чтобы выполнить эти шаги.

Нажмите Пуск, а затем нажмите Панель управления.
Дважды щелкните Система, а затем щелкните Дополнительные параметры системы.
Перейдите на вкладку «Дополнительно» и нажмите «Параметры» в разделе «Запуск и восстановление».
В списке «Запись отладочной информации» выберите «Малый дамп памяти (64 КБ)».

Как исправить отставание в Windows 7?

1) Нажмите кнопку «Пуск» на рабочем столе, затем щелкните правой кнопкой мыши «Компьютер» и выберите «Свойства». 2) Щелкните Дополнительные параметры системы слева. 4) Во всплывающем диалоговом окне выберите «Настроить для наилучшей производительности» и нажмите «ОК». Перезагрузите Windows 7, и ваша система должна работать быстрее.

Почему мой компьютер всегда зависает?

Повреждение драйвера или ошибки. Подобно перегреву, отказ оборудования может вызвать зависание системы. Драйверы — это части программного обеспечения, которые позволяют аппаратным устройствам взаимодействовать с другими аппаратными устройствами и операционной системой. Если ваш компьютер случайно зависает, также полезно проверить реестр на наличие ошибок.

Как разморозить компьютер с Windows 7?

КАК РАЗМОРОЗИТЬ ЗАМОРОЖЕННЫЙ КОМПЬЮТЕР В WINDOWS 10

Подход 1: дважды нажмите Esc.
Подход 2. Одновременно нажмите клавиши Ctrl, Alt и Delete и выберите в появившемся меню «Запустить диспетчер задач».
Подход 3: Если предыдущие подходы не работают, выключите компьютер, нажав кнопку питания.

Фото в статье «Pixabay» https://pixabay.com/images/search/microsoft/

Синий экран смерти (BSOD) — одна из самых распространенных и известных ошибок в экосистеме Windows. Когда это происходит, на вашем компьютере отображается экран-заставка с подробностями о сбое, которые также сохраняются в заранее определенном месте, прежде чем приступить к перезагрузке компьютера. В этой статье мы обсудим, как найти файлы журнала BSOD в Windows.

Есть много вещей, которые могут вызвать BSOD, например, несовместимое программное обеспечение, перегрев оборудования, переполнение памяти и т. д. Используя данные о сбоях на вашем компьютере, вы можете выяснить, что не так, и исправить это навсегда. Итак, давайте начнем с поиска местоположения файла дампа BSOD на вашем компьютере.

Журнал просмотра событий используется для просмотра файлов журнала, в которых хранится информация о запуске и остановке служб в Windows. Он позволяет вам получить доступ к дампам памяти и собрать все журналы, хранящиеся в вашей системе, которые можно использовать для поиска и чтения файлов журналов BSOD. Вот как.

Шаг 1. Нажмите клавишу Windows на клавиатуре, введите «Просмотр событий» и нажмите «Запуск от имени администратора».

Шаг 2. Перейдите на вкладку «Действие» и выберите «Создать пользовательский вид» в раскрывающемся меню.

Шаг 3: В новом окне выберите «В любое время» в качестве временного диапазона в поле «Зарегистрировано» и выберите «Ошибка» в качестве уровня события.

Шаг 4. В раскрывающемся меню «Журналы событий» выберите «Журналы Windows».

Шаг 5: Теперь нажмите ОК.

Шаг 6: В окне «Сохранить фильтр в пользовательском представлении» переименуйте представление и нажмите «ОК».

При этом вы увидите все события ошибок в средстве просмотра событий. Вы можете щелкнуть любое событие и перейти в раздел «Подробности», чтобы просмотреть журнал BSOD и получить дополнительную информацию.

2. Просмотр файлов журнала BSOD с помощью монитора надежности

Это инструмент, который позволяет пользователям узнать стабильность своего компьютера. Он анализирует поведение приложения и создает диаграмму стабильности системы при выполнении задач. Монитор надежности оценивает стабильность от 1 до 10. Чем выше, тем лучше. Вот как это использовать.

Шаг 1: Нажмите клавишу Windows на клавиатуре, введите Просмотр истории надежностии нажмите Enter.

В окне «Монитор надежности» вы увидите информацию о надежности, отображаемую в виде графика, с нестабильностями и ошибками, отмеченными на графике точками.

Красный кружок обозначает ошибку, а буква «i» (выделена желтым цветом) обозначает предупреждение или заметное событие на вашем ПК.

Шаг 2: Вы можете нажать на символ ошибки или предупреждения, чтобы просмотреть подробную информацию и точное время возникновения ошибки.

Кроме того, вы можете расширить сведения, чтобы узнать больше о сбое, вызвавшем BSOD.

3. Проверьте файлы журнала BSOD с помощью редактора реестра.

Это один из наиболее распространенных способов найти файлы журнала BSOD в Windows. Метод включает в себя некоторые дополнительные этапы по сравнению с вышеуказанными методами. Давайте перейдем к шагам без дальнейших церемоний.

Шаг 1: Нажмите «клавиша Windows + R», введите regedit и нажмите «ОК».

Выберите Да в подсказке.

Шаг 2: Введите следующий адрес в адресную строку.

HKEY_LOCAL_MACHINESystemCurrentControlSetControlCrashControl

Шаг 3: Теперь щелкните правой кнопкой мыши правую панель редактора реестра. Выберите «Создать», а затем «Значение DWORD (32-разрядное)».

Шаг 4: введите имя значения как DisplayParameters и установите для параметра «Значение» значение 1. Теперь нажмите «ОК».

Шаг 5: Перезагрузите компьютер, чтобы изменения вступили в силу. Теперь вы сможете без проблем просматривать файлы журнала BSOD.

4. Доступ к файлам журнала BSOD с помощью стороннего средства просмотра BSOD

Если шаги, упомянутые выше, кажутся слишком сложными для выполнения, вы можете использовать сторонние приложения для просмотра событий, которые делают то же самое, что и средство просмотра событий Windows, с меньшим количеством шагов.

Существует множество приложений, и мы будем использовать BlueScreenView от NirSoft для обнаружения файла сбоя BSOD. Следуйте вместе.

Шаг 1: Загрузите BlueScreenView по ссылке ниже, установите и запустите его.

Скачать BlueScreenView

Шаг 2: Нажмите на любой файл дампа, указанный в приложении.

Это позволит вам просмотреть детали и понять причину BSOD.

Примечание. Изображение предназначено только для представления.

Как правило, информация о BSOD, сохраненная на вашем компьютере, не может быть получена в удобочитаемом формате, но такое приложение, как BlueScreenViewer, также позволяет вам прочитать и понять причину сбоя.

Часто задаваемые вопросы о файлах журнала BSOD

1. Что такое файл DMP?

DMP — это не что иное, как файлы дампа памяти. Это снимки памяти программы, сделанные во время сбоя.

2. Могу ли я удалить файлы аварийного дампа?

Да, вы можете сделать это с помощью таких инструментов, как утилита очистки диска. Удалив дампы памяти, вы сможете освободить больше места на жестком диске.

3. Что нельзя удалять при очистке диска?

Есть только одна категория файлов, которые вы никогда не должны изменять, не говоря уже об удалении, — это установочные файлы Windows ESD. Однако вы можете удалить временные файлы в Windows, чтобы освободить место на диске.

Выявление причины сбоя

Существует много причин, по которым ПК с Windows выходит из строя, но если это приводит к BSOD, код ошибки отображается на экране, чтобы помочь вам понять причину проблемы. Вы можете углубиться в файлы дампа BSOD, чтобы найти и устранить проблему.

Post Views: 54

Когда ваш компьютер выходит из строя и вы сталкиваетесь с синим экраном смерти (BSOD), ваша система сохраняет подробности сбоя в виде журнала BSOD в заранее определенном месте в Windows. Эта информация дает вам подробную информацию о том, когда произошел сбой, что его вызвало, а иногда даже о том, что нужно сделать, чтобы решить проблему.

В этом руководстве мы сначала обсудим, где находятся файлы BSOD в Windows, а затем как их идентифицировать. После того, как вы нашли файл BSOD, мы покажем вам, как правильно его прочитать, чтобы понять возможные причины ошибки и решить проблему.

Где находятся файлы журнала BSOD в Windows?

Вы можете найти файлы журнала BSOD в средстве просмотра событий, панели управления и редакторе реестра в Windows. Ниже мы перечислили подробные шаги по поиску этих файлов во всех трех этих утилитах.

1 Найдите и прочитайте файлы журнала BSOD в средстве просмотра событий

Средство просмотра событий — это инструмент, разработанный Microsoft для просмотра пользователями системных и программных событий в Windows. Другими словами, каждая проблема, с которой вы столкнетесь (будь то незначительный сбой или серьезный сбой), будет зарегистрирована в средстве просмотра событий для последующего изучения и обмена с Microsoft.

Вы можете ознакомиться с нашим подробным руководством о том, что такое средство просмотра событий и чем оно может быть полезно, если вы с ним не знакомы.

Вот как вы можете найти файлы журнала BSOD в средстве просмотра событий:

Щелкните правой кнопкой мыши значок Windows на панели задач и выберите «Просмотр событий» в контекстном меню.
Перейдите в меню «Действие», расположенное вверху, и выберите «Создать пользовательский вид» в контекстном меню.
В следующем диалоговом окне разверните раскрывающийся список «Зарегистрировано» и выберите время, когда вы столкнулись с проблемой.
Теперь перейдите в раздел «Уровень события» и выберите «Ошибка».
Разверните раскрывающийся список «Журналы событий» и установите флажок «Журналы Windows».
Нажмите OK, чтобы продолжить.
Теперь вам будет предложено ввести имя и описание для пользовательского представления, которое вы только что создали. Введите эти данные и нажмите OK.
После того, как представление будет создано, вам будет представлен список ошибок, произошедших за выбранный ранее период времени. Вы можете отсортировать эту информацию далее в разделе Дата и время.
Затем найдите BSOD, используя такие данные, как дата и время.
Как только вы найдете целевой журнал, щелкните по нему.
Проверьте вкладки «Общие» и «Подробности», чтобы получить информацию об этой ошибке.

Как только вы найдете код ошибки, связанный с сбоем, и причину, вы можете поискать решения в Интернете или перейти к нашему руководству, в котором обсуждается, как исправить ошибки синего экрана в Windows.

2 Найдите и прочитайте файлы журнала BSOD в редакторе реестра.

В случае, если использование средства просмотра событий по какой-либо причине не работает для вас, вы можете использовать другую утилиту Windows для поиска и изучения файлов журнала BSOD — редактор реестра.

Редактор реестра Windows — это утилита административного уровня, позволяющая редактировать реестр Windows. Реестр хранит информацию, относящуюся к аппаратным и программным компонентам вашей системы. Информация в реестре хранится в виде ключей и значений, и, изменяя их с помощью специального редактора реестра, вы можете настроить операции своей системы.

Ниже перечислены шаги для поиска файлов журнала BSOD в редакторе реестра. Прежде чем продолжить, убедитесь, что вы вошли в систему как администратор.

Нажмите клавиши Win + R, чтобы открыть «Выполнить».
Введите «regedit» в «Выполнить» и нажмите Ctrl + Shift + Enter, чтобы запустить редактор реестра от имени администратора.
Теперь выберите «Да» в приглашении учетной записи пользователя.
Как только вы окажетесь в редакторе реестра, перейдите в следующее место:
```
HKEY_LOCAL_MACHINESystemCurrentControlSetControlCrashControl
```
Затем перейдите на правую панель и щелкните правой кнопкой мыши пустое место в любом месте.
Выберите «Создать» > «Значение DWORD (32-разрядное)».
Назовите это значение как DisplayParameters и дважды щелкните по нему.
В поле «Значение» введите 1 и нажмите «ОК».
После этого перезагрузите компьютер.

После перезагрузки вы сможете просматривать файлы журнала без каких-либо проблем.

3 Найдите и прочитайте файлы журнала BSOD в панели управления.

Третий способ найти и прочитать файлы журнала BSOD — через панель управления. В отличие от методов, которые мы обсуждали выше, этот метод предоставляет вам информацию о файлах журналов в виде графика.

Для этого метода мы получим доступ к монитору надежности в системе. Вот все, что вам нужно сделать:

Введите Панель управления в области поиска на панели задач и нажмите Открыть.
В следующем окне выберите «Система и безопасность» > «Безопасность и обслуживание».
Нажмите «Обслуживание », а затем выберите «Просмотреть историю надежности».
Теперь вы должны увидеть график, показывающий данные о надежности. Ищите значки красного креста и значки синего цвета (i) на графике, так как они показывают проблемные события.
Нажмите на каждый из значков, чтобы просмотреть его детали. Продолжайте повторять процесс, чтобы найти событие, которое вы ищете.

Вам будет представлена такая информация, как путь неисправного приложения, его имя, отметка времени неисправного модуля, код исключения и т. д. Если это приложение вызвало сбой BSOD, вы можете попробовать завершить его процесс через диспетчер задач или удалить приложение, если оно не обязательно.

Также рекомендуется скопировать эту информацию и отправить ее в Microsoft для проверки, если вы не можете найти решение в Интернете.

Узнайте, как читать файлы журнала BSOD и устранять сбои

Ошибки синего экрана Windows не являются чем-то новым, но, поскольку они отображают только сообщения типа «На вашем компьютере возникла проблема» без описания причины, найти исправление может быть сложно. Понимание того, как читать файлы журнала BSOD, может не только помочь вам определить точную причину проблемы, но и найти правильное решение. Всякий раз, когда компонент вызывает сбой вашей системы, вы можете отключить его и переключиться на лучшую альтернативу, чтобы избежать проблемы.

Источник записи: www.makeuseof.com

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 11:02. Показов 15446. Ответов 40

Я неопытный пользователь, но последнее время финансы поют романсы и приглашения специалиста мне не по карману, вот и приходится думать о том, чтобы разбираться самой с ошибками виндовс.
Сама суть вопроса:
Часто ( периодически) появляются синие экраны во всех трёх компах. Это напрягает, даже если знаешь, что можно сделать просто откат системы, но ведь всё-равно наверняка проблема может не исчезнуть сама, а закончиться смертью системы, что с одним из компов и случилось уже( его мама помёрла).
Что делала на данный момент при появлении этой проблемы: убрала автоматическую перезагрузку, чтобы хотя бы записать код ошибки. Через какое-то время экраны перестали тревожить и комп работал нормально . Сейчас снова началось… Автоматическая перезагрузка каким-то образом вернулась обратно и я не успела записать код ошибки. Но после перезагрузки виндовс мне повесила окошко с извещением о том, что произошёл сбой в каком-то «ехе.» файле. Стала я инфу в блокнот записывать, как комп снова выключился.
Есть ли какой-то грамотный подход для неспециалиста, чтобы прощупать источник проблемы?
В журнале за последнее время нашла только несколько что-либо значащих заявлений от системы:
_______
*Настраиваемые библиотеки динамической компоновки загружаются для каждого приложения. Системный администратор должен просмотреть список библиотек, чтобы проверить, относятся ли они к надежным приложениям.
Wininit, код события 11
_________-
*EventLog , код 6008
Предыдущее завершение работы системы в 7:53:48 на ‎07.‎07.‎2013 было неожиданным.
_
* Broadcom NetLink (TM) Gigabit Ethernet: The network link is down. Check to make sure the network cable is properly connected.
Код события 4, k57nd60a
_____
*Система перезагрузилась, не завершив полностью работу. Эта ошибка может быть результатом того, что система перестала отвечать, произошел критический сбой, или неожиданно отключилось питание.
критический! Kernel-Power, код события 41
____-
Было ещё пару ошибок связанных с мобильным модемом, которым на данный момент пользуюсь. Один раз и внезапное отключение копа случилось после того, как я нечаянно задела модем рукой. Хоть и не понимаю как это может быть связано с системой.
Что предпринять? Какие мои шаги?

__________________
Помощь в написании контрольных, курсовых и дипломных работ, диссертаций здесь

Модератор

8364 / 3329 / 241

Регистрация: 25.10.2010

Сообщений: 13,533

07.07.2013, 11:08

FAQ: Что делать если выпал BSOD (обязательно читать перед созданием темы)

Добавлено через 3 минуты

Сообщение от sonya34

Было ещё пару ошибок связанных с мобильным модемом, которым на данный момент пользуюсь. Один раз и внезапное отключение копа случилось после того, как я нечаянно задела модем рукой. Хоть и не понимаю как это может быть связано с системой.
Что предпринять? Какие мои шаги?

Модем как подключен (усб-кабель или напрямую в комп)?

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 11:23

[ТС]

Модем подключен неудобно к ноутбуку: торчит сбоку в порте ю ис би.

gecata

07.07.2013, 11:29

Не по теме:

Сообщение от sonya34

Один раз и внезапное отключение копа случилось после того, как я нечаянно задела модем рукой

Самый первый свой БСОД я получила, когда мышкой заехала по стоявшей рядом на столе колонке и от неожиданности нажала на несколько кнопок разом (мышь была с кучей ненужных кнопок). И БСОД был именно связан с драйвером мыши

Модератор

8364 / 3329 / 241

Регистрация: 25.10.2010

Сообщений: 13,533

07.07.2013, 11:30

Сообщение от sonya34

торчит сбоку в порте

Причины могут быть разные, порт коротит или модем с проблемами или статика (у нас есть в конторе есть комп. класс, где после некоторого нахождения, если не снять статику с усб-порта рукой, подключение любой флешки в любой порт на любом компе приводит к перезагрузке, один спец предположил, что это из-за линолиума, т.к. он там древний, хотя в других помещениях с подключение этих флех происходит без проблем) ну и как gecata подметила драйвера

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 11:40

[ТС]

Сообщение от gecata

И БСОД был именно связан с драйвером мыши

Я удивлена. Но, по правде говоря, именно так и было сказано в отчёте про модем — что-то с драйвером модема, на что и ругался комп.

Модератор

8364 / 3329 / 241

Регистрация: 25.10.2010

Сообщений: 13,533

07.07.2013, 11:44

Сообщение от sonya34

что-то с драйвером модема, на что и ругался комп

Переустановите драйвера на модем.
Да, как-то были проблемы у знакомых с модемом от мегафона, после нескольких минут работы, комп перезагружался, танцы с бубном не помогли, отправил знакомых в салон мегафона, где им модем обменяли, всё заработало норм.

gecata

07.07.2013, 11:46

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 11:46

[ТС]

Сообщение от Persk

Причины могут быть разные

Пол месяца назад у меня не было модема и пользовала беспроводной инет, но тоже было пару тройку раз , что выпадала в «синий экран». Тогда заподозрила, что перегревается и хотела уже попросить какого-нибудь автомобилиста взять его на автозаправку, чтобы продуть от пыли аппаратом для подкачки колёс. Меня остановило опасение и подозрение, что вычитанный на форумах совет касается вскрытых ноутбуков. а мой на гарантии ещё и открывать его незя…
Знакомые прислали ссылку на программу по измерению температур, но я ничего в этом не поняла, если честно. Мне трудновато разобраться в интерфейсе было. Я больше понимаю графические изображения, а такой проги в безопасном месте инета не нашла. Но в целом прога говорила, что температура не очень критическая была, что-то около 60-70 градусов. Это вроде нижняя граница нормы, если я правильно поняла из советов по поисковикам.

Модератор

8364 / 3329 / 241

Регистрация: 25.10.2010

Сообщений: 13,533

07.07.2013, 11:50

sonya34, можно на дампы с Вашего ноута взглянуть (Архивируем дампы, грузим ч/з расширенный режим — значок скрепки)

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 11:54

[ТС]

Сообщение от Persk

Переустановите драйвера на модем.

То есть надо ещё найти все эти файлы, чтобы хвостов не осталось кривых от драйверов… Или через «пуск» = «все программы»? А так вообще все драйвера присутствуют на самом модеме. поэтому странно, что они сами автоматически не исправляются при перезагрузке модема( вытащил — воткнул).

Добавлено через 2 минуты

Сообщение от Persk

можно на дампы с Вашего ноута взглянуть

сейчас залезу в тему про то , как эти дампы вообще найти. ))) Я ж пока ещё не понимаю, потому и создала тему. Сейчас попробую разобраться где они. а так вообще очень хотелось бы показать вам их, чтобы хоть что-то прояснилось… )

Модератор

8364 / 3329 / 241

Регистрация: 25.10.2010

Сообщений: 13,533

07.07.2013, 11:58

Сообщение от sonya34

через «пуск» = «все программы»?

Да они есть на модеме и они не переустановятся, пока программу для модема не удалить

Сообщение от sonya34

вытащил — воткнул

Безопасное отключение устройств, если просто извлечь, то дрова могут действительно побиться

Сообщение от sonya34

как эти дампы вообще найти

Содержимое папки С:windowsminidump

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 12:08

[ТС]

Сообщение от Persk

Безопасное отключение устройств

А… а мне говорили, что сейчас уже такие умные устройства делают и оси, что эта функция уже изжила себя… Вот я и расслабилась… Теперь бы ещё вспомнить давно забытое где эта функция лежит по «безопасному извлечению» . В старом компе она по умолчанию всегда высвечивалась сама где-то в панели.

Модератор

8364 / 3329 / 241

Регистрация: 25.10.2010

Сообщений: 13,533

07.07.2013, 12:14

Сообщение от sonya34

В старом компе она по умолчанию всегда высвечивалась сама где-то в панели

В ХР и 7 значок всегда в панели задач.
Так как с дампами?

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 12:36

[ТС]

Сообщение от Persk

Содержимое папки С:windowsminidump

Эх, что-то не по этому пути такой папки у меня , поиск в папке тоже говорит, что нету. У меня даже sistem32 пустая оказалась, хоть у людей она часто чем-то заполнена( часто упоминается что там должно, чего не должно быть). Может функция стоит «скрывать содержимое папок» и просто не показывает эту папку. Даже по поиску .dmp ничего не показывает в системе. Понимаю, что это не может быть, чтобы её не было.
По запросу %SystemRoot%MEMORY.DMP и %SystemRoot%MEMORY.DMP тоже что-то ничего не находит, как — будто их и нет вовсе, хотя они, безусловно где-то есть. Буду искать далее. )

Модератор

8364 / 3329 / 241

Регистрация: 25.10.2010

Сообщений: 13,533

07.07.2013, 12:38

Сообщение от arch-vile

Вызываем контекстное меню для «Компьютер» > выбираем «Свойства» > далее на панели справа «Защита системы» > вкладка «Дополнительно» > группа «Загрузка и восстановление» > «Параметры». В появившемся диалоге снимаем галочку «Выполнить автоматическую перезагрузку» и включаем запись малых дампов памяти (ищем группу «Запись отладочной информации» и в списке выбираем «Малый дамп памяти (128 КБ)»

Ждем следующего синяка, смотрим после дампы

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 12:50

[ТС]

Спасибо, это я уже сделала. Только у меня почему-то в меню нет «Малый дамп памяти (128 КБ)», у меня можно выбрать только 256. Это наверное потому, что у меня 64-х зарядная, как я понимаю.

Сообщение от Persk

ищем группу «Запись отладочной информации»

В какой консоли искать?
Вы меня извините за глупые вопросы. Я впервые так глубоко лезу. Но надо же когда-то начинать. ) Если вам некогда на глупые вопросы отвечать, то ничего не напрягайтесь, я по поиску посмотрю. Гугль что-нибудь подскажет. Заранее спасибо! ) Дампы постараюсь добыть кровь с носу. ) Разобьюсь об стену, но добуду. )
__________
Ой, простите, сама поняла, что «запись отладочной информации» я уже сделала( настроила)…
Теперь только найти где дампы шугаются и скрываются… я -то думала , что они там и скрываются в «записи отладочной»… А это просто название настроечной функции…

Модератор

8364 / 3329 / 241

Регистрация: 25.10.2010

Сообщений: 13,533

07.07.2013, 12:57

Сообщение от sonya34

В какой консоли искать?

Как-то так

Правой клавишей мыши нажать на значке Компьютер из контекстного меню выберите Свойства (или комбинация клавиш Win+Pause);
В левом меню щелкаем на пункт Дополнительные параметры системы;
Переходите на вкладку Дополнительно;
В поле Загрузка и восстановление необходимо нажать кнопку Параметры;
В поле Запись отладочной информации выбираем Малый дамп памяти (128 Кб).

0 / 0 / 0

Регистрация: 07.07.2013

Сообщений: 47

Записей в блоге: 1

07.07.2013, 13:00

[ТС]

Сообщение от Persk

В поле Запись отладочной информации выбираем Малый дамп памяти (128 Кб).

Да, уже поняла, что это у меня сделано. )

14338 / 6166 / 327

Регистрация: 03.07.2010

Сообщений: 20,690

07.07.2013, 13:05

дамп может не создаваться по причине: отключение файла подкачки ..

Продолжу расскажу о синем экране смерти, начатый в прошлой заметке.

Итак, если компьютер внезапно перезагружается или зависает, а cиний экран смерти не появляется или появляется на долю секунды, то все равно информацию о причинах сбоя можно восстановить.

Дело в том, что операционная система в момент сбоя сохраняет содержимое оперативной памяти в так называемый дамп-файл (имеет расширение .dmp). В дальнейшем файл дампа можно будет проанализировать и получить туже самую информацию, что и на синем экране и даже чуть больше.

Но создание дампов может быть отключено в системе, поэтому стоит убедиться, что, во-первых, система создает дампы при сбоях, а, во-вторых, стоит узнать место на диске, куда они сохраняются.

Для этого нужно зайти в раздел Система.

В Windows 10 это можно сделать через поиск, а в предыдущих версиях операционной системы через Панель управления.

Далее переходим в Дополнительные параметры, а затем на вкладке Дополнительно переходим в Параметры раздела Загрузка и восстановление.

Здесь должна быть включена запись событий в системный журнал, ну а чтобы компьютер автоматически не перезагружался и отображал нам содержимое синего экрана смерти, нужно отменить автоматическую перезагрузку, если она была включена.

Также здесь отображается путь к дампам — мы видим, что дамп сохраняется в папку %SystemRoot% — это обозначение папки Windows.

Также здесь можно выбрать «малый дамп памяти», которого будет вполне достаточно для поиска кодов ошибки.

Итак, система вылетела в синий экран смерти, после чего был создан дамп памяти.

Для анализа дампов существуют специальные программы и одной из самых популярных является утилита BlueScreenView.

Программа очень проста в использовании и не требует установки — скачиваем с официального сайта и разархивируем. При этом с официального сайта можно скачать файл, с помощью которого можно русифицировать программу. Для этого данный файл нужно будет поместить в папку с разархивированной программой.

Если после запуска в программе не отображаются дампы, хотя система «срывалась» в синий экран смерти, то стоит зайти в настройки программы и убедиться, что путь к дампам памяти указан верно, то есть он должен быть таким же, как и в настройках системы.

После этого нужно обновить информацию в окне программы и все созданные в системе дампы отобразятся. Если дампов несколько, то, ориентируемся по дате сбоя. Выбираем нужный дамп, а затем появится подробная информация по нему.

Здесь выводится название ошибки, ее STOP-код с параметрами и если причиной стал драйвер, то в соответствующем поле мы обнаружим его название.

Также в нижней части окна программы розовым будут выделяться файлы, которые также могли стать причиной сбоя. Придется по порядку разбираться с каждым из них. Алгоритм здесь аналогичен рассмотренному в прошлой заметке — ищем решение в интернете, а в качестве поискового ключа используем название файла или код ошибки.

При этом не обязательно вручную вводить данные в поисковик. Если щелкнуть правой кнопкой мыши по строке дампа, то из контекстного меню можно выбрать пункт, который позволит найти в Гугле описание именно этой проблемы.

Можно выбрать поиск в Гугл по коду ошибки, по коду ошибки и названию драйвера или по коду ошибки и параметру.

Также с помощью этой утилиты можно быстро найти местоположение проблемного файла на диске.

Иногда бывает, что файл, вызвавший проблему, принадлежит какой-то программе или игре. По местоположению файла на диске можно быстро определить, к какой именно программе или игре он относится.

Ну и стоит знать, что чистильщики вроде Ccleaner удаляют дампы памяти, поэтому если вы пользуетесь подобными программами, то на время выявления причины появления синего экрана смерти, стоит воздержаться от их использования.

И последний вопрос, на который я отвечу в рамках этой заметки — что делать, если после появления синего экрана компьютер более не запускается? То есть компьютер зависает или постоянно перегружается, а значит нет возможности проанализировать дамп памяти.

Ответ логичен и прост — нужно создать загрузочную флешку, с помощью которой «вытянуть» файл дампа с жесткого диска и проанализировать его на другом компьютере. Для этого загружаемся с флешки и на жестком диске компьютера в папке Windows или в подпапке minidump находим файл дампа, который копируем на флешку. Затем на другом компьютере с помощью утилиты BlueScreenView анализируем дамп, как было рассказано в этой заметке.

Для реализации данного мероприятия можно, например, использовать загрузочную флешку с утилитой Dr.Web CureIt. О ее создании я подробно рассказал в заметке о лечении вирусов.

Источник

Это маленькая заметка о том, какие шаги необходимо выполнить для получения первичной информации об исполняемом файле, ставшем возможной причиной остановки работы операционной системы Windows — Blue Screen of Death (BSOD). По умолчанию ОС Windows настроена таким образом, что при возникновении ошибки приводящей к полной остановке работы системы, автоматически создаётся аварийный дамп памяти в виде файла MEMORY.DMP. Чтобы получить доступ к информации из этого файла, нам потребуется набор отладочных утилит Debugging tools for Windows из состава Windows Software Development Kit.

Переходим по ссылке WDK and WinDbg downloads и скачиваем онлайн-инсталлятор/загрузчик Standalone Debugging Tools for Windows (WinDbg) – файл sdksetup.exe. Запускаем инсталлятор и выбираем вариант установки…

На следующем шаге выбора компонент к установке (Select the features you want to install) отмечаем только то, что нам нужно — Debugging tools for Windows и нажимаем Install

В указанную на первом экране папку из Интернета будет загружен и установлен набор утилит.

После окончания установки находим в меню “Пуск” или на стартовом экране в группе ярлыков Windows Kits утилиту WinDbg и запускаем её с правами администратора

Если по какой-то причине ярлык найти не удалось, то можно запустить исполняемый файл из каталога установки — С:Program Files (x86)Windows Kits8.1Debuggersx64windbg.exe

В главном меню программы WinDbg выбираем пункты File > Symbol File Path. В открывшееся окно вставляем строку определяющую пусть к локальному каталогу символьного кэша и его онлайн-источнику:

SRV*C:Windowssymbol_cache*http://msdl.microsoft.com/download/symbols

Сохраняем настройки, выбрав в главном меню пункты File > Save Workspace

Открываем файл дампа памяти, выбрав в меню File > Open Crash Dump…

Выбираем файл MEMORY.DMP (по умолчанию расположен в каталоге C:Windows) и нажимаем Open

Появится информация о том, какой именно исполняемый модуль стал причиной остановки работы системы. Щёлкнув по гиперссылке !analyze-v можно получить более развернутую информацию о состоянии системы на момент возникновения стоп-ошибки.

Туже самую информацию можно получить и с помощью командной строки используя примерно следующую последовательность команд:

cd /d "C:Program Files (x86)Windows Kits8.1Debuggersx64"
kd -z "D:DOWNLOADSVM05MEMORY.DMP"
.logopen C:Debuglog.txt
.sympath srv*C:Windowssymbol_cache*http://msdl.microsoft.com/download/symbols

В этом примере вся информация о разборе дампа будет выгружена в читаемом виде в файл C:Debuglog.txt

Источники информации:

KB315263 — Интерпретация содержимого малого дампа памяти, создаваемого Windows для отладки
Scott Forsyth — Reading a memory.dmp or other .dmp file

Источник