Operating system failure windows bug check

Bug Check 0xC000021A: WINLOGON_FATAL_ERROR

The WINLOGON_FATAL_ERROR bug check has a value of 0xC000021A. This means that that the Winlogon process terminated unexpectedly.

This topic is for programmers. If you are a customer who has received a blue screen error code while using your computer, see Troubleshoot blue screen errors.

WINLOGON_FATAL_ERROR Parameters

A string that identifies the problem

Cause

This error occurs when a user-mode subsystem, such as WinLogon or the Client Server Run-Time Subsystem (CSRSS), has been fatally compromised and security can no longer be guaranteed. In response, the operating system switches to kernel mode. Microsoft Windows cannot run without WinLogon or CSRSS. Therefore, this is one of the few cases where the failure of a user-mode service can shut down the system.

Mismatched system files can also cause this error. This mismatch can occur if you have restored your hard disk from a backup. Some backup programs might skip restoring system files that they determine are in use.

Resolution

Running the kernel debugger may not be useful in this situation because the actual error occurred in a user-mode process.

Resolving an error in a user-mode device driver, system service, or third-party application

Because bug check 0xC000021A occurs in a user-mode process, the most common culprits are third-party applications. If the error occurred after the installation of a new or updated device driver, system service, or third-party application, the new software should be removed or disabled to isolate the cause. Contact the manufacturer of the software about a possible update.

Resolving a mismatched system file problem

If you have recently restored your hard disk from a backup, check if there is an updated version of the backup/restore program available from the manufacturer.

Look at the most recently installed applications. To do this navigate to «Uninstall or change a program» in control panel and sort the installed applications by install date.

Check the System Log in Event Viewer for additional error messages that might help pinpoint the device or driver that is causing the error. For more information, see Open Event Viewer. Look for critical errors in the system log that occurred in the same time window as the blue screen.

Check the System Log in Event Viewer for additional error messages that might help pinpoint the device or driver that is causing the error. Look for critical errors in the system log that occurred in the same time window as the blue screen.

Use the System File Checker tool to repair missing or corrupted system files. The System File Checker is a utility in Windows that allows users to scan for corruptions in Windows system files and restore corrupted files. Use the following command to run the System File Checker tool (SFC.exe).

Run a virus detection program. Viruses can infect all types of hard disks that are formatted for Windows, and the resulting disk corruption can generate system bug check codes. Make sure the virus detection program checks the Master Boot Record for infections.

Verify that the system has the latest updates installed. To detect which version is installed on your system, select Start, select Run, type winver, and then press ENTER. The About Windows dialog box displays the Windows version number (and the version number of the service pack, if one is installed).

Using Safe Mode

Consider using Safe Mode to isolate elements for troubleshooting and, if necessary, to use Windows. Using Safe Mode loads only the minimum required drivers and system services during the Windows startup.

To enter Safe Mode, use Update and Security in Settings. Select RecoveryВ > Advanced startup to boot to maintenance mode. At the resulting menu, choose TroubleshootВ > Advanced OptionsВ > Startup SettingsВ > Restart. After Windows restarts and displays the Startup Settings screen, select option 4, 5, or 6 to boot to Safe Mode.

Safe Mode may also be available by pressing a function key on boot, for example F8. Refer to information from the computer’s manufacturer for specific startup options.

Operating system failure windows bug check stop

Вопрос

We are getting intermittent BSOD failures on a number of servers running Server 2012 R2. The BSOD stop check message all read Windows bug check, STOP: 0x0000001E (0xFFFFFFFFC0000005, 0xFFFFF8012767F8AD, 0x0000000000000000, 0x0000000000000008)

We have tried various fixes for this with little or no success from disabling SMB v1 & v2 and disabling TCP offloading as suggested on other forums

Can anybody help guide me to a potential fix for this

Все ответы

The KMODE_EXCEPTION_NOT_HANDLED bug check has a value of 0x0000001E. This indicates that a kernel-mode program generated an exception which the error handler did not catch.

To evaluate the BSOD please post logs for troubleshooting.

Using administrative command prompt copy and paste this whole command.

Make sure the default language is English so that the logs can be scanned and read.

The command will automatically collect the computer files and place them on the desktop.

Then use 7zip to organize the files and one drive or drop box to place share links into the thread for troubleshooting.

This command will automatically collect these files: msinfo32, mini dumps, drivers, hosts, install, uninstall, services, startup, event viewer files, etc.

Open administrative command prompt and copy and paste the whole command:

copy %SystemRoot%minidump*.dmp «%USERPROFILE%Desktop»&dxdiag /t %Temp%dxdiag.txt&copy %Temp%dxdiag.txt «%USERPROFILE%DesktopSFdebugFiles»&type %SystemRoot%System32driversetchosts >> «%USERPROFILE%Desktophosts.txt»&systeminfo > «%USERPROFILE%Desktopsysteminfo.txt»&driverquery /v > «%USERPROFILE%Desktopdrivers.txt» &msinfo32 /nfo «%USERPROFILE%Desktopmsinfo32.nfo»&wevtutil qe System /f:text > «%USERPROFILE%Desktopeventlog.txt»&reg export HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionUninstall «%USERPROFILE%Desktopuninstall.txt»&reg export «HKEY_LOCAL_MACHINESOFTWAREMicrosoftActive SetupInstalled Components» «%USERPROFILE%Desktopinstalled.txt»&net start > «%USERPROFILE%Desktopservices.txt»&REM wmic startup list full /format:htable >»%USERPROFILE%Desktopstartup.html»&wmic STARTUP GET Caption, Command, User >»%USERPROFILE%Desktopstartup.txt»

There are two files for you to find manually:

Use file explorer > this PC > local C: drive > right upper corner search enter the above to find results.

2) dxdiag: In the left lower corner search type: dxdiag > When the DirectX Diagnostic Tool opens click on the next page button so that each tab is opened > click on save all information > save to desktop > post one drive or drop box share link into the thread

Please remember to vote and to mark the replies as answers if they help.

Bugcheck: 0x0000001e

As above, nearly every 2nd — 3rd day, AFTER I’ve shut Win7 down. Once I turn the system on again, I know its crashed (because its dual booting with Windows 2k). It boots straight in Windows 7 (It doesnt show the menu, so I can choose 2k, or Win7), then a black screen appears, with the line flashing left hand side of the screen. And hangs. Only thing I can do, is reset. Once I reset, it brings up resume or something, which fails, but if I reset / reboot again it’ll bring up the boot menu, so I can choose the OS I want to boot into.

Memory has been tested, its fine. I’ve scanned for errors. No errors. The ATI drivers havent been installed on this (its using Win7 vid drivers). I see it has something to do with KMODE EXCEPTION NOT HANDLED. Which still doesnt tell me anything. And the only time it happens, is when I shut Windows 7 down. It doesnt crash, while I’m in it / using whatever program. I could be on it all day, and it wont (with any bugcheck, or stop error). Any other ideas, on what else I can check?

NOTE: This has only started within the last week. Its been fine before now (since Win7 was installed about 3 mths)

* Please try a lower page number.

* Please enter only numbers.

* Please try a lower page number.

* Please enter only numbers.

Was this reply helpful?

Sorry this didn’t help.

Great! Thanks for your feedback.

How satisfied are you with this reply?

Thanks for your feedback, it helps us improve the site.

How satisfied are you with this reply?

Thanks for your feedback.

Was this reply helpful?

Sorry this didn’t help.

Great! Thanks for your feedback.

How satisfied are you with this reply?

Thanks for your feedback, it helps us improve the site.

How satisfied are you with this reply?

Thanks for your feedback.

See this thread on how to troubleshoot BlueScreens using BlueScreenView and MyEventViewer and
other methods.

Are you using RAID? If so those drivers would be very suspect. Also diskspace and other hard drive
issues are high on the list.

If you are sure disk issues are not the cause :

Think Video drivers mainly though it can be others. See the driver section in my generic bluescreen
troubleshooting methods below. BIOS, low level chipset drivers and antivirus/antispyway/security
programs can also cause this. Check the troubleshooter and when you get to the driver section refer
to the generic methods in next message and then return to the troubleshooter if needed.

BCCode: 1e 0x0000001e

Cause

This is a very common bug check. To interpret it, you must identify which exception was generated.

Common exception codes include:

An unaligned data reference was encountered.

A breakpoint or ASSERT was encountered when no kernel debugger was attached to the system.

A memory access violation occurred. (Parameter 4 of the bug check is the address that the driver attempted to access.)

For a complete list of exception codes, see the ntstatus.h file located in the inc directory of the Windows Driver Kit.

If you are not equipped to debug this problem, you should use some basic troubleshooting techniques. If a driver is identified in the bug check message, disable the driver or check with the manufacturer for driver updates. Try changing video adapters. Check with your hardware vendor for any BIOS updates. Disable BIOS memory options such as caching or shadowing.

If you plan to debug this problem, you may find it difficult to obtain a stack trace. Parameter 2 (the exception address) should pinpoint the driver or function that caused this problem.

If exception code 0x80000003 occurs, this indicates that a hard-coded breakpoint or assertion was hit, but the system was started with the /NODEBUG switch. This problem should rarely occur. If it occurs repeatedly, make sure a kernel debugger is connected and the system is started with the /DEBUG switch.

If exception code 0x80000002 occurs, the trap frame will supply additional information.

If the specific cause of the exception is unknown, the following should be considered:

Hardware incompatibility. First, make sure that any new hardware installed is listed in the Microsoft Windows Marketplace Tested Products List.

Faulty device driver or system service. In addition, a faulty device driver or system service might be responsible for this error. Hardware issues, such as BIOS incompatibilities, memory conflicts, and IRQ conflicts can also generate this error.

If a driver is listed by name within the bug check message, disable or remove that driver. Disable or remove any drivers or services that were recently added. If the error occurs during the startup sequence and the system partition is formatted with NTFS file system, you might be able to use Safe Mode to rename or delete the faulty driver. If the driver is used as part of the system startup process in Safe Mode, you need to start the computer by using the Recovery Console to access the file.

If the problem is associated with Win32k.sys, the source of the error might be a third-party remote control program. If such software is installed, the service can be removed by starting the system using the Recovery Console and deleting the offending system service file.

Check the System Log in Event Viewer for additional error messages that might help pinpoint the device or driver that is causing bug check 0x1E. Disabling memory caching of the BIOS might also resolve the error. You should also run hardware diagnostics, especially the memory scanner, supplied by the system manufacturer. For details on these procedures, see the owner’s manual for your computer.

The error that generates this message can occur after the first restart during Windows Setup, or after Setup is finished. A possible cause of the error is a system BIOS incompatibility. BIOS problems can be resolved by upgrading the system BIOS version.

Look in the Event Viewer to see if anything is reported about those.
http://www.computerperformance.co.uk/vista/vista_event_viewer.htm

MyEventViewer — Free — a simple alternative to the standard event viewer of Windows.
TIP — Options — Advanced Filter allows you to see a time frame instead of the whole file.
http://www.nirsoft.net/utils/my_event_viewer.html

Here are some methods to possibly fix the blue screen issue. If you could give the Blue Screen
info that would help. Such as the BCC and the other 4 entries on the lower left. And any other
error information such as STOP codes and info such as IRQL_NOT_LESS_OR_EQUAL or PAGE_FAULT_IN_NONPAGED_AREA and similar messages.

BCCode: 116
BCP1: 87BC9510
BCP2: 8C013D80
BCP3: 00000000
BCP4: 00000002

or in this format :

Stop: 0x00000000 (oxoooooooo oxoooooooo oxooooooooo oxoooooooo)
tcpip.sys — Address 0x00000000 base at 0x000000000 DateStamp 0x000000000

This is an excellent tool for posting Blue Screen Error Information

BlueScreenView scans all your minidump files created during ‘blue screen of death’
crashes, and displays the information about all crashes in one table — Free
http://www.nirsoft.net/utils/blue_screen_view.html

Many BlueScreens are caused by old or corrupted drivers, especially video drivers however
there are other causes.

You can do these in Safe Mode if needed or from Command Prompt from Vista DVD or
Recovery Options if your system has that installed by the maker.

You can try a System Restore back to a point before the problem started if there is one.

Do these :

Start — type this in Search Box -> COMMAND find at top and RIGHT CLICK — RUN AS ADMIN

Enter this at the prompt — sfc /scannow

How to analyze the log file entries that the Microsoft Windows Resource Checker (SFC.exe) program
generates in Windows Vista cbs.log (and Windows 7)
http://support.microsoft.com/kb/928228

The log might give you the answer if there was a corrupted driver. (Does not tell all the possible
driver issues).

Also run CheckDisk so we can rule out corruption as much as possible.

Often updating drivers will help, usually Video, Sound, Network Card (NIC), WiFi, 3rd party
keyboard and mouse, as well as other major device drivers.

Manually look at manufacturer’s sites for drivers — and Device Maker’s sites.
http://pcsupport.about.com/od/driverssupport/ht/driverdlmfgr.htm

Installing and updating drivers in 7 (updating drivers manually using the methods above is
preferred to ensure the latest drivers from System maker and Device makers are found)
http://www.sevenforums.com/tutorials/43216-installing-updating-drivers-7-a.html

How to fix BlueScreen (STOP) errors that cause Windows Vista to shut down or restart
unexpectedly
http://support.microsoft.com/kb/958233

Troubleshooting Vista Blue Screen, STOP Errors (and Windows 7)
http://www.chicagotech.net/vista/vistabluescreen.htm

Understanding and Decoding BSOD (blue screen of death) Messages
http://www.taranfx.com/blog/?p=692

Windows — Troubleshooting Blue Screen Errors
http://kb.wisc.edu/page.php?id=7033

In some cases this might be required.

StartUp Repair from Recovery Options or Windows 7 disk

Hope this helps.

Rob Brown — MS MVP — Windows Desktop Experience : Bicycle — Mark Twain said it right.

Обновлено 26.05.2019

Добрый день! Уважаемые читатели и гости IT блога Pyatilistnik.org. В прошлый раз мы с вами научились исправлять ошибку 8050800C при обновлении Windows. Сегодня мы разберем не менее интересную и на мой взгляд, часто случающуюся ситуацию, когда у вас во время работы вашего устройства, будь то, ноутбук или компьютер, может и планшет, появляется синий экран смерти BSOD. Зачастую для людей это просто экран с непонятными кодами и записями, который не несет для них практически ни какой информации. Уверен, что на любом компьютерном форуме есть несколько топиков, где обсуждаются возможные причины, но по своему опыту могу сказать, что подавляющее количество людей, кто там дает советы мягко говоря некомпетентны, так как их советы чаще всего сводятся к банальностям, или же сами пострадавшие толком не могут предоставить диагностическую информацию, что и влечет за собой отсутствие решения и банальной переустановкe Windows. Сегодня я вам покажу инструмент, который поможет вам досконально понять причины синего экрана Windows 10 и другие ее аналоги.

Назначение синего экрана

В интернете уже сто миллионов раз давали, так что смысла нет повторятся, если в двух словах, то:

Что вызывает синие экраны смерти

Синие экраны обычно возникают из-за проблем с оборудованием вашего компьютера или из-за проблем с его программным обеспечением. Иногда они могут быть вызваны проблемами с программным обеспечением низкого уровня, работающим в ядре Windows. Обычные приложения чаще всего не могут вызывать синие экраны. Если приложение выходит из строя, оно вылетит с ошибкой, но не затронет операционную систему.

Синий экран появляется, когда Windows обнаруживает «STOP Error«. Этот критический сбой приводит к сбою Windows и прекращению работы. Единственное, что Windows может сделать в этот момент, это перезагрузить компьютер. Это может привести к потере данных, так как программы не имеют возможности сохранить свои открытые данные.

Когда появляется синий экран, Windows автоматически создает файл «minidump» или полный дамп Memory.DMP, который содержит информацию о сбое и сохраняет ее на диск. Вы можете просмотреть информацию об этих мини-дампах, чтобы помочь определить причину синего экрана.

Синие экраны также выглядят по разному, в зависимости от того, какую версию Windows вы используете. В Windows 7 и предыдущих версиях синий экран очень напоминал экран терминала, отображая всевозможную информацию.

В Windows 8 и 10 синие экраны намного проще.

В большинстве случаев вся информация появляющаяся на экране для вас бесполезна по нескольким вещам:

• Во первых вы чаще всего его даже не увидите, так как система после BSOD произведет перезагрузку
• Во вторых если говорить про blue screen of death если и будет запечатлен на экране будет иметь, чисто техническую информацию и мало, что вам сможет рассказать об истинных причинах сбоя, тут только поможет анализ дампа памяти.

Примеры распространенных синих экранов

Вот небольшой список, самых частых ситуаций с blue screen of death в Windows платформах, но поверьте его можно продолжать очень, и очень долго.

• STOP 0x00000050
• Синий экран dpc watchdog violation
• Whea uncorrectable error
• HAL INITIALIZATION FAILED

Ни на одном из них вы не выявите причину синего экрана, и мне кажется это правильным, что Microsoft пошла таким путем. Если кому-то интересно, то существуют и зеленые экраны ошибок и пурпурные экраны смерти, например в Vmware ESXI.

Утилиты диагностики синего экрана

Существует две утилиты. которые вам могут дать информацию, о причинах возникновения BSOD:

1. Первая, бесплатная и на мой взгляд малополезная именуется, как BlueScreenView
2. Вторая имеет максимальный инструментарий по диагностике, и разработана самим вендоров. Я говорю про Microsoft Kernel Debugger или WinDbg (Debugging Tools for Windows). Я не представляю, как можно без этой утилиты стопроцентно выявить из-за чего происходит «STOP Error» в системе. В данной статья, я сделаю подробный разбор данного инструмента.

Где искать файл дампа (MEMORY.DMP)

Перед тем, как мы научимся выявлять причины BSOD, я хочу вам напомнить, где располагается нужные для диагностики файлы. Определить нужное расположение можно из окна настроек системы. Для этого перейдите в свойства моего компьютера или нажмите одновременно клавиши WIN и Pause Break.

Далее находясь в окне свойств системы, выберите пункт «Дополнительные параметры системы».

На вкладке «Дополнительно» найдите раздел «Загрузка и восстановление», где от вас потребуется нажать «Параметры». В открывшемся окне вы можете посмотреть путь до файла дампа, по умолчанию, это %SystemRoot%MEMORY.DMP. Означает на практике C:WindowsMEMORY.DMP. Вы можете задать свое место, на любом другом диске.

Так же у вас есть возможность не создавать полный дамп, а заменять его мини дампом, меньшего размера.

Различия между файлами полного дампа памяти и файлами мини дампа

Файл дампа памяти может собирать различную информацию. Как правило, у инженера службы поддержки должно быть все содержимое виртуальной памяти для устранения проблемы. В других случаях вам может потребоваться собрать меньше информации, чтобы сосредоточиться на конкретной проблеме. Отладчик гибкий. Эта гибкость позволяет ограничить информацию, которую захватывает файл дампа памяти, собирая либо файлы полного дампа памяти, либо файлы мини-дампа памяти.

Полный дамп памяти файлов. Эти файлы содержат содержимое виртуальной памяти для процесса. Эти файлы наиболее полезны при устранении неполадок неизвестных проблем. Инженер службы поддержки может использовать эти файлы для поиска в любой области памяти, чтобы найти любой объект, найти переменную, которая была загружена в любой стек вызовов, и разобрать код, чтобы помочь диагностировать проблему. Недостаток файлов полного дампа памяти в том, что они большие. Для сбора этих файлов может также потребоваться дополнительное время, и записываемый процесс должен быть заморожен во время создания файла дампа.

Мини-дамп памяти файлов. Файл мини-дампа более настраиваемый, чем файл полного дампа, и может иметь размер от нескольких мегабайт (МБ) до размера файла полного дампа. Размер отличается из-за объема виртуальной памяти, которую отладчик записывает на диск. Несмотря на то, что вы можете быстро собирать мини-файлы дампа памяти, они небольшие, но у них также есть недостаток. Файлы мини-дампа могут содержать гораздо меньше информации, чем файлы полного дампа. Информация, которую собирает файл мини-дампа, может быть практически бесполезной для инженера службы поддержки, если область памяти, которую должен изучить специалист службы поддержки, не была захвачена, то он не сможет понять толком причину. Например, если память кучи не записывается в файл дампа памяти, инженер службы поддержки не может проверить содержимое сообщения, которое обрабатывалось во время возникновения проблемы.

Узнаем причину синего экрана в BlueScreenView

BlueScreen — это бесплатная утилита, входящая в состав nirsoft, напоминаю, что данный сборник инструментов мы использовали, когда нам необходимо было узнать пароли сохраненные в браузере(/kak-posmotret-sohranennyie-paroli-v-brauzerah/), она сканирует все ваши файлы мини-дампов, созданные во время сбоев «синего экрана смерти», и отображает информацию обо всех сбоях в одной таблице. Для каждого сбоя BlueScreenView отображает имя файла мини-дамп, дату/время сбоя, основную информацию о сбое, отображаемую на синем экране (код проверки ошибки и 4 параметра), а также сведения о драйвере или модуле, которые могли вызвать сбой (имя файла, название продукта, описание файла и версия файла).
Для каждого сбоя, отображаемого в верхней панели, вы можете просмотреть подробную информацию о драйверах устройств, загруженных во время сбоя, в нижней панели. BlueScreenView также помечает драйверы, которые их адреса нашли в стеке аварийного отказа, так что вы можете легко найти подозреваемые драйверы, которые, возможно, вызвали сбой.

И так, предположим, что на одной виртуальной машине ESXI или физическом сервере, произошел синий экран, я получил файл полного дампа памяти MEMORY.DMP и мне необходимо выяснить причину сбоя. Открываем утилиту BlueScreenView. Утилита по умолчанию находит файлы дампов памяти в стандартных местах, но если вы анализируете MEMORY.DMP не на сервере, где случился BSOD, а на своем сервере, то вы можете указать ему путь до файла, для этого нажмите самый левый, верхний значок и в открывшемся окне «Advanced Options» выберите пункт «Load a single MiniDump File». Там с помощью кнопки «Browse» найдите ваш файл MEMORY.DMP и нажмите «Ok».

У вас в списке файлов появится ваш дамп. Тут вы можете увидеть столбцы с различной информацией:

• Время выпадания BSOD
• Сообщение ошибки, в моем случае, это PAGA_FAULT_IN_NONPAGED_AREA
• Код ошибки 0x00000050
• И столбцы с параметрами

Если вы щелкните двойным кликом по нужной записи дампа памяти, то у вас откроется окно свойств, с той же информацией, единственный там будет плюс, что вы сможете скопировать имя и код ошибки. Вот согласитесь, что информации кот наплакал, и если синий экран имеет размытую формулировку ,вы будите шерстить сотни форумов в надежде отыскать причину BSOD. Поэтому данный инструмент лично я считаю малополезным и предлагаю, перейти к профессиональному от компании Microsoft.

Выявляем причины синего экрана windows в Microsoft Kernel Debugger

Итак, когда речь идет, о BSOD, то продвинутые пользователи сразу вспоминают программу Microsoft Kernel Debugger или WinDbg (Debugging Tools for Windows). WinDbg — это многоцелевой отладчик для Windows, распространяемый Microsoft. Отладка — это процесс поиска и устранения ошибок в системе; в вычислительной технике это также включает изучение внутренней работы программного обеспечения. Его можно использовать для отладки приложений пользовательского режима, драйверов устройств и самой операционной системы в режиме ядра. Как и более известный отладчик Visual Studio, он имеет графический интерфейс пользователя (GUI).

WinDbg может использоваться для отладки дампов памяти в режиме ядра, созданных после того, что обычно называют «голубым экраном смерти», возникающим при выполнении проверки на наличие ошибок. Его также можно использовать для отладки аварийных дампов в пользовательском режиме. Это известно как посмертная отладка.

WinDbg может автоматически загружать файлы отладочных символов (например, файлы PDB ) с сервера, сопоставляя различные критерии (например, временную метку, CRC, одиночную или многопроцессорную версию) через SymSrv (SymSrv.dll), вместо более трудоемких задач создания дерева символов для отладочной целевой среды. У Microsoft есть общедоступный символьный сервер, который имеет большинство общедоступных символов для Windows 2000 и более поздних версий Windows (включая пакеты обновления).

Установка Microsoft Kernel Debugger

Установить WinDbg вы можете двумя методами:

• Microsoft Kernel Debugger входит в состав SDK, именно от туда вы можете его загрузить
• Microsoft Kernel Debugger можно скачать отдельным пакетом, но не всегда есть самые актуальные версии

Переходим на страницу SDK. У вас есть возможность скачать тонкий клиент, где потом придется выкачивать все из интернета, или же вы скачиваете ISO образ имеющий все пакеты, но он весит больше и подходит для сред, где нет интернета.

Предположим, что вы выбрали метод с тонким клиентом, где у вас был скачан файл winsdksetup.exe. Обращаю внимание, что установить Microsoft Kernel Debugger вы можете на любую систему из списка:

• Windows 10 версии 1507 или более поздняя версия
• Windows Server 2012 R2 (только для командной строки) Windows Server 2016 (только для командной строки)
• Windows 8.1
• Windows Server 2012 R2
• Windows 7 с пакетом обновления 1 (SP1)

Запускаем winsdksetup.exe, убедитесь, что у вас есть доступ в интернет и 5-6 ГБ свободного, дискового пространства.

У вас откроется мастер установки SDK Windows, на выбор будет два варианта, первый это установка в стандартное расположение и второй вариант, это загрузка Windows Software Development Kit в нужное вам расположение, для последующей Offline установки. Я выберу первый вариант. Кстати второй вариант даст вам возможность получить отдельный MSI файл с WinDbg.

Далее вы можете подписаться на отправку анонимной статистики в программе качества, я не стал.

Принимаем лицензионное соглашение SDK нажимая «Accept».

Снимаем все пункты, кроме «Debugging Tools for Windows» и нажимаем Install.

Начнется процесс установки WinDbg.

Все утилита диагностики синих экранов установлена.

Диагностика BSOD в WinDbg

Первое, что я вам советую сделать, так это включить для форматов файлов .DMP, .HDMP, .MDMP, .KDMP и .WEW ассоциацию с Microsoft Kernel Debugger, чтобы при двойном клике по дампу памяти или минидампу, он сразу открывался в утилите. НО ЭТО НА ЛЮБИТЕЛЯ. Если вы хотите включить ассоциации файлов, то откройте вашу командную строку и выполните команду для перехода в нужный каталог:

И затем выполните команду:

Открываем пуск и находим там Windows Kit, в котором выберите нужный вам исполняемый файл.

Следующим шагом подключаются Symbol File Path, чтобы вы могли иметь самую актуальную базу ошибок, которая будет кэшироваться у вас на локальных дисках. Для этого в меню «File» найдите пункт Symbol File Path

В открывшемся окне введите: SRV*C:SymCache*http://msdl.microsoft.com/download/symbols. Все будет кэшироваться в папку C:SymCache. Сохраняем настройки.

Ну, что начинаем искать причины синего экрана windows, для этого загружаем в утилиту свой дамп памяти. Для этого вы можете открыть в меню пункт «File — Open Crash Dump».

Когда вы откроете файл дампа отладчику потребуется некоторое время для подключения к интернету и загрузки необходимых символов для отладки. В процессе загрузки отладочных символов в командной строке отладчика появляется надпись Debugee not connected, в это время вы не сможете использовать отладчик.

После загрузки нужных данных для диагностики дампа памяти.Вам необходимо нажать ссылку «For analysis ot this run file !analize -v»

Будет выведено много информации, где можно посмотреть сбойные адреса памяти, драйвера, сбойные модули, как в моем случае srv. Обратите внимание, что все ссылки в отчете кликабельны и дадут дополнительную информацию, об ошибках.

Вот пример моей диагностической информации, которую можно выложить на профильном форуме для вопроса.

THREAD_SHA1_HASH_MOD_FUNC: 9fc67a809a80c1143874aa0b8e74457296ca0384

THREAD_SHA1_HASH_MOD_FUNC_OFFSET: b0555fe5a3c19294e9394f289acff2322d3a2abf

THREAD_SHA1_HASH_MOD: 8f10e91895468b5b2a56df2106350f23f731e5ce

FOLLOWUP_IP:
srv!SrvOs2FeaToNt+48
fffff801`7af94360 c60300 mov byte ptr [rbx],0

FAULT_INSTR_CODE: f0003c6

SYMBOL_STACK_INDEX: 4

SYMBOL_NAME: srv!SrvOs2FeaToNt+48

FOLLOWUP_NAME: MachineOwner

STACK_COMMAND: .thread ; .cxr ; kb

BUCKET_ID_FUNC_OFFSET: 48

FAILURE_BUCKET_ID: AV_srv!SrvOs2FeaToNt

BUCKET_ID: AV_srv!SrvOs2FeaToNt

PRIMARY_PROBLEM_CLASS: AV_srv!SrvOs2FeaToNt

TARGET_TIME: 2019-03-28T05:20:55.000Z

OSBUILD: 9600

OSSERVICEPACK: 0

SERVICEPACK_NUMBER: 0

OS_REVISION: 0

SUITE_MASK: 272

PRODUCT_TYPE: 3

OSPLATFORM_TYPE: x64

OSNAME: Windows 8.1

OSEDITION: Windows 8.1 Server TerminalServer SingleUserTS

OS_LOCALE:

USER_LCID: 0

OSBUILD_TIMESTAMP: 2015-07-15 19:37:58

BUILDDATESTAMP_STR: 150715-0840

BUILDLAB_STR: winblue_ltsb

BUILDOSVER_STR: 6.3.9600.17936.amd64fre.winblue_ltsb.150715-0840

ANALYSIS_SESSION_ELAPSED_TIME: 61d

ANALYSIS_SOURCE: KM

FAILURE_ID_HASH_STRING: km:av_srv!srvos2featont

FAILURE_ID_HASH: {d5f1a37d-2c94-f55b-5042-7a5dbaa092e1}

Кликнув по сбойному модулю srv, я увидел, что все дело в файле SystemRootSystem32DRIVERSsrv.sys

Очень частые причины BSOD в Windows, это драйвера от сторонних разработчиков, принтеры, другие периферийные устройства, различные утилиты. Если хотите понять есть ли среди них сбойные, то  строке, где выполняются команды (Я отметил ее желтой стрелкой) введите !thread и нажмите Enter. У вас появится некая информация, найдите в ней значения base и Limit.

Далее в командной стоке WinDbg  вам нужно ввести команду:

Пример сбойного драйвера, по которому можно определять откуда растут корни, так сказать причина синего экрана.

В Bugcheck Analisis видно, что сбоил Arg3  fffff8017af94360, If non-zero, the instruction address which referenced the bad memory address. В командной строке WinDbg  введите команду:

Пробуем получить причины синего экрана виндовс. На выходе я вижу, что есть проблемы Could not read device object or _DEVICE_OBJECT not found

Вы можете легко сохранить данную информацию из лога и спокойно передавать ее для диагностики на форумах. так же начиная с Windws 10, там появилась встроенная функция устранения неполадок ведущих к синему экрану, найти ее можно в параметрах системы, в разделе «Обновление и безопасность» , далее идем в раздел «Устранение неполадок», где находим пункт «Синий экран». Там будет простой мастер, который попробует устранить проблему.

На этом у меня все, надеюсь, что вы теперь научились, как узнавать причину синих экранов и проводить диагностику. На этом у меня все. С вами был Иван Семин, автор и создатель IT блога Pyatilistnik.org.

This article is a guide on using bug check analysis to investigate why a Microsoft® Windows® server
crashed. A server crash, also known as Blue Screen of Death or BSOD, displays an error screen and can cause
the server to shut down or restart unexpectedly. The following terms are common when discussing server
crashes.

• Blue screen: When certain hardware problems occurs, a blue error screen displays.
• Crash dump file: This file, stored on the hard drive, contains information collected when the system
  generates a STOP code. The memory.dmp file contains information that the debugger needs to analyze.
• Debugger: Use this program to analyze the dump file
• STOP code: This error code identifies what stopped the system kernel from running.

Analyzing a bug check code

Microsoft provides WinDbg to debug the crash dump. You can
download the debugger.

The system creates a memory.dmp file at the time of the crash. Use WinDbg to analyze the file and determine
the cause of the crash.

Run WinDbg

To use WinDbg, you need do the following tasks.

Add the symbol path

After you install WinDbg, perform the following steps to add the symbol file path for debugging:

1. Open WinDBG > File > Symbol File Path… and enter the following:

   SRV*C:Windowssymbol_cache*https://msdl.microsoft.com/download/symbols
   

2. Click OK.

Windows might store the dump file in the following locations:

Open the memory.dmp file

To open the dump file, perform the following steps:

1. Go to File > Open Crash Dump… > Open the MEMORY.DMP file.

2. Click or type “!analyze -v to get the detailed debugging information.

3. Wait for the analysis to complete.

Read the crash dump

After the analysis completes, review the output to determine the cause of the crash. For example, driver issues
or memory corruption might have caused the crash. The output of the analysis provides you with the details.

Example causes include the following possibilities:

FAILURE_BUCKET_ID:  X64_0xA_termdd!IcaDereferenceChannel+8c
The cause of the error was due to termdd.sys.

FAILURE_BUCKET_ID: 0xd1_e1k6232+16171
The cause was the Intel network adapter(e1k6232.sys) drivers

Use Driver Verifier, if necessary

If faulty drivers caused the crash, you can use Driver Verifier to examine the system’s drivers.
Use the Windows-native Driver Verifier utility to test system drivers to find any improper behaviors.

To use Driver Verifier, perform the following steps:

1. Open a command prompt as the administrator.

2. Type verifier to open the Driver Verifier Manager.

3. Select the task you want and click Next. The default is Create standard settings.

4. Select which drivers to verify and click Next.

5. Depending on the options selected, you might need to restart the server. In that case, the system notifies
   you before the verifier executes your options.

6. After the verifier finishes, review the output of the verifier.

Bug check codes

The following table lists some of the bug check codes you might encounter: