De ultieme gids om blauwe schermfouten (BSOD) op Windows op te lossen

Totovelo10 heeft een nieuwe opmerking ingediend op het virtualbox -artikel: Installeer de uitgenodigde toevoegingen 7 uur geleden

Windows handmatig crashen – blauw scherm op aanvraag

Windows bevat een functie die kan worden ingeschakeld om het systeem handmatig te crashen door de rechter CTRL -toets vast te houden en op de “Scroll Lock” -toets te drukken. Dit kan handig zijn voor het genereren van een crashdump naar foutopsporingsapplicaties of het kan een leuke grap zijn. Volg deze stappen om deze functie mogelijk te maken:

1. Open de register -editor door op de startknop te klikken en in te typen Sugeit en binnengaan Enter. Als u op XP bent, selecteert u eerst uitvoeren en typt u vervolgens in Sugeit en druk op Enter.
2. Navigeren naar: HKEY_LOCAL_MACHINE \ SYSTEEM \ CURNESTONCONTROLSET \ SERVICES \ I8042PRT \ PARAMETERS.
3. Maak een nieuwe DWORD -waarde en noem deze Crashonctrlscroll
4. Klik met de rechtermuisknop op de nieuwe DWORD-waarde en selecteer Bewerken.
5. Typ 1 in het veld Valuesgegevens en klik op OK.
6. Sluit Regedit en start uw systeem opnieuw op.

Nu kunt u uw systeem blauw scherm (crashen) door de rechter CTRL -toets vast te houden en tweemaal op “Scroll Lock” te drukken.

TIP:

Uw systeem kan automatisch opnieuw opstarten wanneer deze crash wordt gestart. Als uw systeem de crash in het begin initiëren en u het blauwe scherm wilt zien, volgt u deze stappen:

1. Ga naar Controlepaneel > Systeem
2. Klik op de Geavanceerd lab
3. Onder Startup en herstel, Klik op de Setings knop.
4. Onder Systeemfout, Schakel de optie uit Automatisch opnieuw opgestart.

De ultieme gids om blauwe schermfouten (BSOD) op Windows op te lossen

Wanneer een fatale fout op uw systeem optreedt, geeft Windows de beroemde weer Blauwe scherm van dood (of BSOD voor Blue Screen of Death). Deze fatale fout treedt op wanneer het besturingssysteem een ​​kritieke toestand bereikt waar het niet langer goed kan werken.

U kunt er een ontmoeten bij het installeren van een update, een programma, apparatuur of plotseling, zonder dat enige precieze actie het lijkt te hebben geactiveerd. Windows werkt nog steeds zo : Hij stopt plotseling om zichzelf te beschermen tegen mogelijk gegevensverlies, toont de zijne blauw scherm Start vervolgens uw computer opnieuw op.

Volgens de foutenrapporten die tot april 2014 naar Microsoft zijn verzonden, worden de redenen waarom Windows Crash aldus wordt gedistribueerd:

• Derde -Party Perifere piloten: 70%
• Onbekend, vanwege een ernstige corruptie van het geheugen: 15%
• Materiële fouten: 10%
• Microsoft -code: 5%

Soms uitzonderlijk, kan het blauwe scherm van de dood dat volgt op een fatale fout, helaas herhaaldelijk op uw machine worden weergegeven. Als dit momenteel voor u het geval is, moet u nodig zijn Zoek de piloot die verantwoordelijk is voor fatale fouten en breng er een oplossing mee. Een apparaat, de piloot of een programma dat eraan is gekoppeld, kan de oorzaak zijn van een blauw scherm. Een update van de piloot of het programma lost in de meeste gevallen de problemen op.

In deze zelfstudie zal ik je laten zien hoe Analyseer een blauw scherm Om de Bestuurder verantwoordelijk voor fatale fouten en dus in staat zijn om het probleem definitief op te lossen ! Het doel is om je toe te staan ​​je pc opnieuw in vrede te gebruiken, zonder angst dat een blauw scherm opnieuw zal verschijnen en je in je werk onderbreekt.

Preambule: geheugenafbeeldingsbestanden

Wanneer het systeem crasht, geeft Windows daarom een blauw scherm, die vergezeld gaat van een Stop Code. Deze stopcode geeft ons eerste informatie over de Aard van fatale fouten.

I Info: U kunt alle stopcodes en hun betekenis vinden op de bugcheckreferentiecode van de Microsoft Hardware Dev Center -site.

Deze stopcode kan echter behoorlijk zijn Avare met informatie. In de bovenstaande opname, de stopcode Geheugen management geeft aan dat er een ernstige fout van geheugenbeheer is opgetreden … zonder veel meer te weten (zie. Bug controle 0x1a: Memory_Management).

Tot Windows 7 wordt het blauwe scherm weergegeven Vier parameters, die waren geassocieerd met Stop Code (Het is mogelijk om deze vier parameters te vinden in de gebeurteniswaarnemer). Ze stellen je in staat om wat meer te weten over de fatale fout.

In het onderstaande voorbeeld is de eerste parameter van de stopcode UNTABLE_BOOT_VOLUME Geeft het apparaat aan dat niet door het systeem is gemonteerd (zie. : Bugcontrole 0xed: unmountable_boot_volume).

Indien beschikbaar, de pilootnaam Wie geplant wordt ook weergegeven. In het onderstaande voorbeeld zijn dit RTKVHD64.sys. De laatste vertelt ons aan de andere kant aan de andere kant veel meer Over de oorzaak van de fatale fout. Google Research vertelt ons dat dit de Realtek High Definition Audio Audio Driver is.

De naam van de module die verantwoordelijk is voor de crash Verschijnen niet altijd !

Ik heb een afsluitcode die me geen informatie geeft en de naam van de bestuurder die verantwoordelijk is voor de crash wordt niet weergegeven … hoe ik zal doen om de oorsprong van de fatale fout te vinden ?

Ik had geen tijd om te zien wat er op het blauwe scherm was gemarkeerd ! Hoe ik zal doen om Windows te debuggen ?

Geen paniek ! Ik zou je geven De oplossing Om de bron van uw blauwe schermen te vinden.

Na het planten van het systeem en nadat het blauwe scherm is weergegeven, gaat Windows door naar een Legend fysiek geheugen legen (RAM) van de computer, door de inhoud van de harde schijf te lossen: de Geheugenafbeeldingsbestand (of geheugendumpbestanden). U kunt ook de voortgang van het legen van het geheugen op het blauwe scherm volgen via het voltooiingspercentage dat geleidelijk ongelooflijk is (tot “100% afgewerkt”)).

Dit geheugenbeeldbestand bevat daarom een ​​kopie van alle gegevens die aanwezig zijn in computergeheugen voordat u varieert. Deze gegevens zullen kostbaar blijken te zijn om een Volledige diagnose bij de crash ramen. Door ze te raadplegen, zullen we zeker de Windows Pilot Piloot !

Er zijn twee soorten geheugenafbeeldingsbestanden: bestanden voor de kernmodus (Kernel-modus dump) en bestanden voor gebruikersmodus (Dump-bestanden van de gebruikersmodus). [1]

[1] Gebruikersmodus en kernelmodus ^

Op een Windows -pc heeft de processor twee verschillende modi: a gebruikersmodus en een kernmodus. De processor Schakel tussen de twee modi Afhankelijk van het type code dat hij uitvoert: toepassingen Bestaan ​​in de gebruikersmodus, Componenten van het besturingssysteem In de kernmodus. De meeste van piloten Bestaan ​​in de kernelmodus, maar sommige kunnen in de gebruikersmodus werken.

Om uw blauwe schermproblemen op te lossen, moet u de Afbeeldingbestanden modus modus kernel. Dit zijn de bestanden die de informatie bevatten om het systeem te debuggen; Met de bestanden van de gebruikersmodus kunnen ze alleen de programma’s door gebruikers zijn geïnstalleerd die door gebruikers zijn geïnstalleerd.

Windows kunnen genereren Vijf soorten Afbeelding geheugen voor de kernelmodus, het verschil is rond de grootte van het gegenereerde bestand:

• Voltooi geheugenafbeelding : bevat allemaal fysiek geheugen die werd gebruikt door Windows op het moment van de crash. Dit is het grootste geheugenbeeldbestand. Het vereist een uitwisselingsbestand [2] dat minstens zo omvangrijk is als het belangrijkste geheugen van het systeem: de grootte van het uitwisselingsbestand moet daarom gelijk zijn aan de hele RAM + 1 MB. Als u 16 GB RAM op uw computer hebt, moet de grootte van het uitwisselingsbestand daarom 16.001 GB zijn om fysieke geheugengegevens te kunnen huisvesten !
• Afbeelding van de kern : bevat Alleen het geheugen dat door de kern wordt gebruikt Op het moment van de crash. Dit bestand is aanzienlijk kleiner dan het volledige geheugenafbeeldingsbestand. De grootte is ongeveer gelijk aan een derde van het fysieke geheugen geïnstalleerd op het systeem (als u 16 GB RAM hebt, is de grootte van het bestand ongeveer 5,3 GB). Dit afbeeldingsbestand bevat geen niet -toegewezen geheugen, noch het geheugen dat is toegewezen aan toepassingen van de gebruikersmodus. Het bevat alleen geheugen toegewezen aan de Windows -kernel, de hardware -abstractielaag (HAL) en ook het geheugen dat is toegewezen aan piloten en programma’s in de kernelmodus. Dit is het meest bruikbare geheugenbeeldbestand. Kleiner en sneller om uit te voeren dan het volledige geheugenafbeeldingsbestand, bevat het geen fysieke geheugengegevens die over het algemeen niet bij de crash betrokken zijn.
• Gedeeltelijke geheugenafbeelding (256 kb) : het kleinste geheugenafbeeldingsbestand, nuttig op zeer beperkte schijfruimtesystemen. Voor zover het bevat Beperkte informatie (Stop bericht, lijst met geladen stuurprogramma’s …), de analyse van dit bestand staat mogelijk niet toe om de bron te ontdekken van de fouten die zijn aangetroffen op het moment van de computercrash.
• Automatisch geheugen legen : bevat de Dezelfde informatie dat de kernel geheugenbeeldbestand. Het verschil tussen de twee bevindt zich niet in het afbeeldingsbestand zelf, maar in de manier waarop Windows de grootte van het systeemuitwisselingsbestand definieert. Als de grootte van het systeemuitwisselingsbestand wordt gedefinieerd op “Automatisch managementbestandbeheer voor lezers” en de parameter Geheugenafbeelding wordt gedefinieerd op “Automatisch geheugenlediging”, definieert Windows automatisch een maat voor het uitwisselingsbestand, groot genoeg om de nucleus vast te leggen geheugenafbeelding.
• Actief geheugen legen : vergelijkbaar met de volledige geheugenafbeelding, bevat het echter niet het geheugen dat is toegewezen aan Hyper-V virtuele machines, nutteloos voor het foutopsporing van de hostmachine.

[2] Windows Exchange -bestand ^

Wanneer de RAM (RAM) verzadigd is, maakt Windows een bestand (PageFile.Sys) op de systeemlezer (c 🙂 om daar aanvullende informatie op te slaan: het is de Wisselingsbestand. Met deze techniek kan Windows informatie opslaan op de harde schijf die normaal in RAM moet opslaan. Er wordt gezegd dat Windows een virtueel geheugen, die overeenkomt met de som tussen de grootte van de RAM (RAM) en die van het uitwisselingsbestand.

U kunt het type geheugentype configureren dat Windows maakt in het geval van een crash in de Geavanceerde systeeminstellingen (%SystemRoot%\ System32 \ SystempertiesAdvanced.Exe)> Start en herstel.

Het wordt aanbevolen om het type standaard geheugenafbeelding te verlaten: Automatisch geheugen legen.

Slechts één en enige bestand Geheugenafbeelding kan worden gemaakt tijdens een systeemcrash. Als er een tweede fatale fout optreedt en een afbeeldinggeheugen van de kernel (of een volledige geheugenafbeelding) wordt gemaakt, wordt de vorige vervangen (als de optie “Alle bestaande parameterbestanden” vervangt “is aangevinkt).

Het geheugenafbeeldingsbestand is standaard geschreven in %Systemroot%\ geheugen.DMP.

Ongeacht het type geheugenafbeelding dat je hebt gekozen, Windows maakt altijd meer een gedeeltelijk geheugenafbeeldingsbestand Wanneer het systeem onverwacht stopt (wanneer het blauwe scherm wordt weergegeven), zelfs als u “kernelgeheugenafbeelding” of “volledige geheugenafbeelding” in de instellingen hebt geselecteerd.

Als er een tweede fatale fout optreedt, een tweede Gedeeltelijk geheugenafbeelding wordt gemaakt en de vorige zal worden bewaard. Elk nieuw gedeeltelijk geheugenbeeldbestand heeft een andere naam, met de datum van de crash die in de bestandsnaam wordt gecodeerd. Bijvoorbeeld “050917-10843-01.DMP “is het geheugenbeeldbestand gegenereerd op 9 mei 2017.

Alle gedeeltelijke geheugenafbeeldingsbestanden worden in de map bewaard %SystemRoot%\ Minidump.

Nu u weet hoe de bewerking van de geheugenafbeelding bestanden, laten we de Deboginformatie die ze bevatten om de piloot te vinden die verantwoordelijk is voor uw blauwe schermen van de dood !

Los een blauw doodscherm op (BSOD)

Stap 1: Analyseer geheugenbeeldbestanden

Om te beginnen zullen we de Gedeeltelijke geheugenafbeeldingsbestanden.

Zelfs als deze laatste weinig informatie bevat, is het niet ongewoon om de piloot te vinden die verantwoordelijk is voor fatale fouten.

Als gedeeltelijke geheugenafbeeldingsbestanden ons niet toestaan ​​om de bron van het blauwe scherm van de dood te vinden, zullen we de Voltooi afbeelding of kernelbestand die veel meer informatie bevat over de crash die het blauwe scherm van de dood heeft veroorzaakt.

via gedeeltelijke geheugenafbeeldingsbestanden

L ‘Geheugenafbeeldingsbesturing hulpprogramma (Dumpchk.ex) is een opdrachtregelhulpprogramma aangeboden door Microsoft om te controleren en Lees geheugenafbeeldingsbestanden.

In tegenstelling tot andere beschikbare foutopsporingshulpmiddelen, dumpchk.Exe vereist geen toegang tot foutopsporing tot symbolen, die omvangrijk zijn en die moeten worden gedownload om een ​​foutopsporing te doen.

Hoewel effectief, is deze tool niet erg ergonomisch.

Daarom zullen we het programma gebruiken Bluescreenview : Hij scant alle geheugenafbeeldingsbestanden die op uw computer zijn gemaakt na een Windows -crash en geeft duidelijk de informatie weer die ze bevatten.

Download en installeer nu BlascreenView op uw computer en voer deze vervolgens uit.

In het bovenste paneel, allemaal Geheugenafbeeldingsbestanden Gevonden in de map %SystemRoot %\ Minidumps, evenals het %SystemRoot %\ Memory Image -bestand.DMP wordt weergegeven. In de bovenstaande opname worden zes gedeeltelijke geheugenafbeeldingen weergegeven. Dit betekent dat deze computer het blauwe scherm zes keer is tegengekomen !

Voor elke crash geeft BlueScreenView de naam weer van het gedeeltelijke geheugenafbeeldingsbestand, de Crashdatum en tijd, DE Stop Code (weergegeven op het blauwe scherm), de 4 Stop codeparameters, en de Details over de piloot Die waarschijnlijk de crash hebben veroorzaakt (bestandsnaam, productnaam, bestandsbeschrijving en bestandsversie).

In het onderste paneel wordt standaard BlueScreenView weergegeven Alle piloten die waren geladen Tijdens de crash (die u in het bovenste paneel hebt geselecteerd). De piloten waarvan het geheugenadres is gevonden in de batterij van de crash, zijn gemarkeerd in roze, waardoor het gemakkelijk is om de piloten te vinden die waarschijnlijk verantwoordelijk zijn voor de crash.

Uw missie is eenvoudig : Zoek de piloot die verantwoordelijk is voor het blauwe scherm in de kolom “veroorzaakt door bestuurder” !

In de onderstaande opname zien we dat de crash van 5 augustus 2013 werd veroorzaakt door de NVLDMM -piloot.SYS die waarschijnlijk een NVIDIA -grafische kaart draait.

Als u meer details wilt hebben over het gedetecteerde stuurprogramma (tot welke component, apparaat of programma het hoort), klikt u met de rechtermuisknop op het geheugenbeeldbestand en selecteert u Google Search – Bug Check + Driver Om een ​​zoekopdracht op internet te starten.

Helaas gebeurt het vaak dat gedeeltelijke afbeeldingsbestanden onvoldoende informatie bevatten om de piloot te kunnen identificeren die verantwoordelijk is voor het blauwe scherm.

Dit is het geval als BlueScreenView wordt weergegeven ntoskrnl.ETE In de kolom “veroorzaakt door bestuurder”. Het is verkeerd : Dit is gewoon het nieuwste batterijbestand dat is geladen voordat het blauwe scherm verschijnt. Dit is niet het bestand fatale fout.

Volgens wat BlueScreenView beïnvloedt in de kolom “Oorzaak door bestuurder”, Pas het volgende toe ::

• Als BlascreenView een bestandsnaam weergeeft die verwijst naar een component, een apparaat of een programma → Breng de specifieke oplossingen toe op een defecte piloot.
• Als BlueScreenView -poster ntoskrnel.ETE → We zullen het complete afbeeldingsbestand (of kern) moeten analyseren om de piloot te vinden die echt het blauwe scherm heeft veroorzaakt. Ga naar de volgende sectie: lees het volledige geheugen- of kernel -afbeeldingsbestand.

via het volledige geheugen- of kernel -afbeeldingsbestand

I Info: Het volledige geheugen- of kernbeeldbestand dat we zullen analyseren komt overeen met het geheugenbeeldbestand van de Laatste blauw scherm dat verscheen op jouw computer. Met andere woorden, dit is de meer “complete” versie van de meest recente gedeeltelijke afbeeldingsbestand weergegeven in BlueScreenView (U kunt gedeeltelijke afbeeldingsbestanden op datum sorteren door te klikken op de kolomkop “Crashtijd”).

Om het volledige of kernel -afbeeldingsbestand te analyseren, moeten we de Windows Debugurs (Opgenomen in Windows SDK).

Volg deze instructies hiervoor:

1. Download het SDK -installatieprogramma (softwareontwikkelingskit) volgens uw Windows -versie.
2. Start op het Windows DUSDK -installatieprogramma. Laat op het eerste scherm de standaardlocatie achter en klik dan op Volgende.
   
3. Onder alle voorgestelde functies, installeer alleen de foutopsporingshulpmiddelen. Vertrekken Debugging -tools voor Windows Controleerde en schakel alle andere vakken uit en klik vervolgens op Installeren.
   

Na het installeren van de foutopsporingstools heeft u vijf verwijderingsomgevingen tot uw beschikking (zie. Debuggen gebieden voor meer informatie) waarvan Microsoft Windows Debugger (WindBG), A debugger in staat om in de gebruikersmodus en kernelmodus te debuggen.

WindBG biedt foutopsporing voor de Windows Kernel, Kernel -modus stuurprogramma’s en systeemservices, evenals gebruikers -apps en stuurprogramma’s. Dit is degene die we zullen gebruiken.

I Truc: Om de geheugenafbeeldingsbestanden gemakkelijker te kunnen lezen (.DMG), u kunt ze associëren met het Windbg -programma. Open hiervoor een opdrachtprompt als beheerder en voer de volgende opdrachten in (om te worden aangepast volgens uw Windows -versie):

CD "C: \ Program Files (X86) \ Windows Kits \ 10 \ Debuggers \ X64 \" .\ Windbg.Exe -ia

1. Voer WindBG uit als beheerder: open het startmenu, voer “Windbg” in, klik met de rechtermuisknop op Windbg (x64) (Of Windbg (x86) Als u een 32 -bit -versie van Windows gebruikt) Selecteer dan Voer als beheerder uit.
2. Het hoofdvenster van Windbg debugger geopend.
3. Geef de locatie op van foutopsporingssymbolen via Lijn >Symbolbestandspad. Symboolbestanden bevatten verschillende gegevens die erg handig zijn voor foutopsporing.
   
4. Voer de volgende locatie in en klik dan op OK ::

Srv*C: \ SymbolsSrvCache*https: // msdl.Microsoft.com/download/symbolen

Sla de werkruimte op via Lijn >Werkruimte opslaan. Dit belet ons om de locatie van foutopsporingssymbolen bij elke sessie opnieuw te definiëren.

Open het geheugenafbeeldingsbestand via via Lijn >Open crash dump.

Ga naar de map C: \ Windows en selecteer het bestand Geheugen.DMP.

Wacht op windbg laadt de symbolen die nodig zijn om het geheugenbeeldbestand te debuggen. De tekst Debuggee niet verbonden wordt onderaan het venster weergegeven; U moet wachten tot de KD> opdrachtprompt wordt weergegeven.

Zodra u uw hand hebt, voert u de opdracht in !Analyseer -v om deGeheugenbeeldbestandanalyse.

Image_name: CPUZ138_X64 MODULE_NAME: CPUZ138_X64 Foutmodule: FFFFF8004DC30000 CPUZ138_X64 Process_Name: SpecCy64.ETE

0x00000000d1: driver_irql_not_or_equal 0x0000000a: irql_not_less_equal 0x00000050: page_fault_in_nunped_area 0x000000c2: bad_pool_caller 0x000000 _FILE_SYSTEM