Створення ядра чи виконання аварійного дампа

Збій системи (також відомий як "перевірка помилок" або "Помилка зупинки") виникає, коли Windows не може працювати правильно. Файл дампа, створений із цієї події, називається аварійним дампом системи.

Файл дампа пам'яті вручну або повний файл дампа пам'яті корисний при вирішенні кількох проблем, оскільки процес записує запис системної пам'яті під час збою.

Застосовується до: Windows 10

Налаштування файлів сторінок

Увімкнення параметру дампа пам'яті

Щоб виконати цю процедуру, необхідно увійти до системи від імені адміністратора або члена групи адміністраторів. Якщо комп'ютер підключено до мережі, параметри політики мережі можуть перешкоджати виконанню цієї процедури.

Щоб увімкнути параметр дампа пам'яті, виконайте наведені нижче дії.

1. У панель управління виберіть "Система та система безпеки>“.
2. Виберіть додаткові параметри системи та перейдіть на вкладку "Додатково “.
3. В області "Запуск та відновленнявиберіть "Параметри“.
4. Переконайтеся, що у розділі "Запис відомостей про налагодження" обраний дамп пам'яті ядра або дамп повної пам'яті.
5. Перезавантажте комп'ютер.

Шлях до файлу дампа можна змінити, змінивши поле файлу дампа. Іншими словами, можна змінити шлях з %SystemRoot%\Memory.dmp на локальний диск, що має достатньо місця на диску, наприклад E:\Memory.dmp.

Поради щодо створення дампів пам'яті

При збої комп'ютера та перезапуску вміст фізичної оперативної пам'яті записується у файл розбиття на сторінки, розташований у розділі, на якому інстальовано операційну систему.

Залежно від швидкості жорсткого диска, на якому інстальовано Windows, дамп більше 2 гігабайт (ГБ) пам'яті може тривати багато часу. Навіть у кращому випадку, якщо файл дампа налаштований на іншому локальному жорсткому диску, значна кількість даних зчитуватиметься і записуватиметься на жорсткі диски.Цей процес читання та запису може призвести до тривалого збою сервера.

Використовуйте цей метод для створення повних файлів дампа пам'яті з обережністю. В ідеалі це слід робити тільки в тому випадку, якщо ви явно запитуєте службу підтримки Майкрософт інженера. Будь-яке налагодження файлу дампа пам'яті або ядра має бути останнім засобом після того, як усі стандартні методи усунення несправностей повністю вичерпані.

Створення файлу дампа пам'яті вручну

Використання засобу NotMyFault

Якщо ви можете увійти під час виникнення проблеми, скористайтеся засобом Microsoft Sysinternals NotMyFault, виконаючи такі дії:

1. Завантажте засіб NotMyFault.
2. Натисніть кнопку "Пускі виберіть командний рядок.
3. У командному рядку виконайте таку команду:

notMyfault.exe /crash 

Ця операція створює файл дампа пам'яті та помилку зупинки D1.

Використання NMI

На деяких комп'ютерах неможливо використовувати клавіатуру для створення аварійного дампа. Наприклад, сервери Hewlett-Packard (HP) BladeSystem з компанії Hewlett-Packard Development Company керуються за допомогою графічного інтерфейсу користувача на основі браузера (GUI). Клавіатура не підключена до сервера HP BladeSystem.

У цих випадках необхідно створити повний файл дампа аварійного дампа або файл дампа ядра за допомогою перемикача переривання без маски (NMI), який викликає NMI системного процесора.

Щоб реалізувати цей процес, виконайте наведені нижче дії.

Точно дотримуйтесь усіх вказівок цього розділу. Неправильна зміна реєстру може призвести до серйозних проблем. Перш ніж почати зміни, створіть резервну копію реєстру для відновлення на випадок виникнення проблем.

Цей розділ реєстру не потрібен для клієнтів під керуванням Windows 8 та пізніших версій або серверів під керуванням Windows Server 2012 та пізніших версій. Встановлення цього розділу реєстру в пізніших версіях Windows не впливає.

1. Відкривши редактор реєстру, виберіть наступний підрозділ: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CrashControl
2. Клацніть правою кнопкою миші CrashControl, наведіть вказівник миші на "Створити", а потім виберіть значення DWORD.
3. Введіть NMICrashDump та натисніть клавішу ENTER.
4. Клацніть правою кнопкою миші NMICrashDump та виберіть пункт "Змінити“.
5. У полі даних Значення введіть 1 та натисніть кнопку ОК.
6. Перезавантажте комп'ютер.
7. Постачальники обладнання, такі як HP, IBM та Dell, можуть надавати функцію автоматичного відновлення системи (ASR). Вимкніть цю функцію під час усунення несправностей. Наприклад, якщо функція HP та Compaq ASR увімкнена в BIOS, вимкніть цю функцію під час усунення несправностей для створення повного Memory.dmp файлу. Щоб здійснити точні дії, зверніться до постачальника обладнання.
8. Увімкніть комутатор NMI в BIOS або за допомогою веб-інтерфейсу вбудованого освітлення (iLO).

Примітка. Докладні інструкції див. у посібнику BIOS або зверніться до постачальника обладнання.

Якщо ви хочете запустити NMI в Microsoft Azure за допомогою послідовної консолі, див. статтю "Використання послідовної консолі для викликів SysRq та NMI".

У разі критичної помилки система зупиняє свою роботу, відображає синій екран смерті (BSOD), інформація про помилку та вміст пам'яті зберігається у файлі підкачування. При подальшому завантаженні системи, на основі збережених даних, створюється аварійний дамп з налагоджувальною інформацією. У системному журналі подій створюється запис про критичну помилку.

Якщо критична помилка виникла на ранній стадії завантаження системи або в результаті помилки відбулася відмова дискової підсистеми, аварійний дамп не буде збережено.

Аварійний дамп може бути проаналізований за допомогою утиліти BlueScreenView або системного налагоджувача WinDbg (Debugging Tools for Windows).

Аналіз аварійного дампа утилітою BlueScreenView

Найпростішим інструментом для аналізу аварійних дампів є утиліта BlueScreenView від NirSoft.

BlueScreenView сканує папку з мінідампами та відображає інформацію про знайдені відмови.

По кожній відмові відображається дата, дані про помилку та драйвер, який імовірно викликав відмову.

У нижній частині вікна відображається список завантажених драйверів. Модулі, до яких виконувалося звернення в момент відмови, виділені кольором, на них слід звернути особливу увагу, вони можуть бути причиною відмови.

По подвійному кліку відображається додаткова інформація.

Аналіз аварійної дампи відладчиком WinDbg

За допомогою WinDbg з аварійного дампа можна витягнути детальнішу інформацію, включаючи розшифровку стека.

Установка Windows Debugging Tools (WinDbg)

Microsoft розповсюджує WinDbg лише у складі SDK, завантажити веб-установник можна на сторінці завантаження.

Для аналізу аварійних дамп установка SDK не потрібна. Завантажити Debugging Tools для Windows (WinDbg) окремим пакетом можна тут.

Після встановлення коригуємо ярлик для запуску WinDbg. У властивостях ярлика встановлюємо прапорець запуску від імені адміністратора. Також, як робоча папка, задаємо: %SystemRoot%\Minidump.

Налаштування символів налагодження

Налагоджувальні символи містять символічні імена функцій вихідного коду. Вони необхідні для розшифровки та інтерпретації аварійного дампа.

При першому запуску WinDbg, необхідно вказати шлях до символів налагодження, для цього відкриваємо меню File, Symbol File Path, або використовуємо комбінацію Ctrl+S.

Наступним рядком включаємо завантаження символів налагодження з мережі, задаємо локальний шлях для збереження файлів і адресу для завантаження з інтернету:

srv*C:\Windows\symbols*http://msdl.microsoft.com/download/symbols

Аналіз аварійної дампи

У меню вибираємо File, Open Crash Dump, або натискаємо Ctrl+D.

Вказуємо шлях до дампи %SystemRoot%\MEMORY.DMP або %SystemRoot%\Minidump\файл.dmp.

Завантаження символів налагодження з інтернету може зайняти деякий час.

Для отримання детальної інформації виконуємо команду:

Дебаггер сам вам запропонує її виконати, достатньо навести покажчик миші на посилання і натиснути.

В результаті отримуємо наступний висновок:

************************************************** ***************************** * * * Bugcheck Analysis * * * ************* ************************************************** **************** Тип помилки: KMODE_EXCEPTION_NOT_HANDLED (1e) Коментар до помилки: Це є дуже загальний bugcheck. Зазвичай exception address pinpoints the driver/function that caused the problem. Всі знають, що ці адреси є добре, як link date of driver/image that contains this address. Arguments: Аргументи помилки: Arg1: 00000000000000000, Висновок коду, що не було Arg2: 0000000000000000 00000000000000000, Parameter 1 of exception Debugging Details: ------------------ EXCEPTION_CODE: (Win32) 0 (0) - . FAULTING_IP: +3332313336383065 00000000`00000000 ?? . EXCEPTION_PARAMETER1: 0000000000000000 EXCEPTION_PARAMETER2: 000000000000000 ERROR_CODE: (NTSTATUS) 0 - STATUS_WAIT_0 BUGCHECK_STR: 0x1E_0 CU DEFAULT_BUCKET_ID: VISTA_DRIVER_FAULT Процес, що спричинив помилку: PROCESS_NAME: VirtualBox.exe CURRENT_IRQL: 2 EXCEPTION_RECORD: fffff80000ba24d8 -- (.exr 0xfffff80000ba24d8) ExceptionAddress: fffff800034d8a70 (nt!DbgBreak00 (Break instruction exception) ExceptionFlags: 00000000 NumberParameters: 1 Parameter[0]: 0000000000000000 TRAP_FRAME: fffff80000ba2580 -- (.trap 0xfffff8000 all registers. Деякий регістр значення може бути байдуже або неправильно.rax=0000000000142940 rbx=0000000000000000 rcx=fffffa80055be690 rdx=000000000009018 rsi=000000000000000 rip=fffff800034d8a71 rsp=fffff80000ba2718 rbp=fffff88006fa0000 r8=0000000000002274 r9=11d0851b22c6ac61 r10= r11=fffff80000ba27e0 r12=0000000000000000 r13=000000000000000 r14=000000000000000 r15=00000000000 nz ac po nc nt!DbgBreakPoint+0x1: fffff800`034d8a71 c3 ret Resetting default scope LAST_CONTROL_TRANSFER: fffff800034d85fe to fffff800034e0c10 STACK_TEXT: Стек викликів: fffff800`00ba15b8 fffff800`034d85fe : fffffa80`03c05530 00000000`ffffffff fffff800`00ba1d30 fffff800`0350c830 : nt!Keb00 fffff800`0350c4fd : fffff800`036ea71c fffff800`03627c30 fffff800`03464000 fffff800`00ba24d8 : nt!KiKernelCalloutExceptionHandler+0x0 fffff800`0350b2d5 : fffff800`0362b028 fffff800`00ba1668 fffff800`00ba24d8 fffff800`03464000 : nt!RtlpExecuteHandlerForException+0x0 fffff800`0351c361 : fffff800`00ba24d8 fffff800`00ba1d30 fffff800`00000000 00000000`00142940 : nt!RtlDispatchException+0x410 fffff800`034e02c2 : fffff800`00ba24d8 fffffa80`07149010 fffff800`00ba2580 00000000`00000000 : nt!KiDispatchException+0x130 fffff800`034de0f4 : 00000000`00000016 00000000`00000001 00000000`00000001 00000000`00000000 : nt!KiExion fffff800`00ba2580 fffff800`034d8a71 : fffff880`05861446 00000000`df029940 fffff880`02f45bec 00000000`deee7000 fffff800`00ba2718 fffff880`05861446 : 00000000`df029940 fffff880`02f45bec 00000000`deee7000 fffff880`01229f06 : 0 fffff800`00ba2720 00000000`df029940 : fffff880`02f45bec 00000000`deee7000 fffff880`01229f06 fffffa80`05635af4 : cmuda fffff800`00ba2728 fffff880`02f45bec : 00000000`deee7000 fffff880`01229f06 fffffa80`05635af8 00000000`00000000 : 09 fffff800`00ba2730 00000000`deee7000 : fffff880`01229f06 fffffa80`05635af8 00000000`00000000 00000000`0000000 fffff800`00ba2738 fffff880`01229f06 : fffffa80`05635af8 00000000`00000000 00000000`00000003 fffff880`0586590e fffff800`00ba2740 00000000`00000000 : 00000000`00000001 00000000`00000006 00000000`00000001 fffff800`00 CLASSPNP!ClasspServiceIdleRequest+0x26 STACK_COMMAND: kb FOLLOWUP_IP: cmudaxp+25446 fffff880`05861446 ?? . SYMBOL_STACK_INDEX: 8 SYMBOL_NAME: cmudaxp+25446 FOLLOWUP_NAME: MachineOwner Драйвер, у якому виникла помилка: MODULE_NAME: cmudaxp IMAGE_NAME: cmudaxp.sys DEBUG_FLR_IMAGE_TIMESTAMP: 47906a45 FAILURE_BUCKET_ID: X64_0x1E_0_cmudaxp+25446 BUCKET_ID: X64_0x1E_0_cmudaxp+254

Отримання інформації про проблемний драйвер

Якщо вдалося виявити драйвер, у якому виникла помилка, ім'я драйвера буде відображено в полях MODULE_NAME та IMAGE_NAME.

Щоб отримати шлях до файлу та іншу інформацію, клацаємо посилання на модуль:

start end module name fffff880`0583c000 fffff880`059ef000 cmudaxp T (no symbols) Розміщений символ зображення файлу: cmudaxp.sys Image path: \SystemRoot\system32\drivers\cmudaxp.sys Image name: cmudaxp.sys Timestamp: Fri Jan 18 13:58:45 2008 (47906A45) CheckSum: 0013077F ImageSize: 001B3000 Translations: 0000.04b0 0000.04e4 0409.04e4

Якщо повний шлях до драйвера не вказано, використовується папка %SystemRoot%\system32\drivers.

Знаходимо вказаний файл і вивчаємо його властивості.

Оновлюємо проблемний драйвер.

Апаратні причини виникнення критичних помилок

Джерелом критичних помилок нерідко бувають несправності в дисковій підсистемі або підсистемі пам'яті.

Діагностика несправностей диска

У разі помилок дискової підсистеми аварійний дамп може не зберігатися.

Щоб усунути проблеми з диском, перевіряємо системний журнал подій на наявність помилок читання та запису на диск.

Перевіряємо параметри S.M.A.R.T жорсткого диска, отримати їх можна, наприклад, за допомогою SpeedFan або CrystalDiskInfo.

Особливу увагу звертаємо на параметри: "Current Pending Sector Count" та "Uncorrectable Sector Count", ненульові значення цих параметрів сигналізують про несправність диска.

Ненульове значення параметра: "UltraDMA CRC Error Count" сигналізує про проблему з SATA-кабелем.

Докладніше про параметри S.M.A.R.T читаємо у статті Вікіпедії.

Діагностика несправностей пам'яті

Проблеми з пам'яттю нерідко можуть спричинити найрізноманітніші глюки, включаючи різні сині екрани, зависання, аварійне завершення програм, пошкодження реєстру, пошкодження файлової системи та даних.

Виявити проблеми з пам'яттю можна за допомогою утиліти Memtest86+.

Завантажуємо образ на посилання, записуємо на диск, завантажуємося з диска, запускається тест.

Починаючи з Windows Vista, система має свій тест пам'яті. Для його запуску натискаємо "Пуск", у рядку пошуку набираємо "пам'яті", вибираємо "Засіб діагностики пам'яті Windows".

У деяких випадках проблеми з пам'яттю можуть бути усунені оновленням BIOS.

Налаштування параметрів збереження аварійної дампи

Для зміни параметрів збереження аварійного дампа натискаємо кнопку "Пуск", клацаємо на "Комп'ютер" правою кнопкою миші, у контекстному меню вибираємо "Властивості". У вікні "Система" зліва вибираємо "Додаткові параметри системи", у групі "Завантаження та відновлення" натискаємо кнопку "Параметри".

Ця стаття описує, як вивчити невеликий файл дампа пам'яті. Невеликий файл дампа пам'яті допоможе визначити, чому комп'ютер завершився збоєм.

Застосовується до всім підтримуваним версіям клієнта Windows та Windows Server

Вихідний номер бази знань: 315263

Якщо ви шукаєте відомості про налагодження для Windows 8 або пізнішої версії, див. статтю "Кошти налагодження" для Windows (WinDbg, KD, CDB, NTSD). Для отримання додаткових відомостей про невеликі дампи пам'яті див. у розділі "Невеликий дамп пам'яті".

Невеликі файли дампа пам'яті

Якщо комп'ютер завершується помилкою, як визначити, що сталося, усунути проблему та запобігти її повторному виникненню? У цьому випадку можна знайти невеликий файл дампа пам'яті. Невеликий файл пам'яті містить найменшу кількість корисних відомостей, які допоможуть визначити, чому комп'ютер завершився збоєм. Файл дампа пам'яті містить такі відомості:

• Повідомлення Stop, його параметри та інші дані
• Список завантажених драйверів
• Контекст процесора (PRCB) для зупиненого процесора
• Відомості про процес та контекст ядра (EPROCESS) для процесу, зупиненого
• Відомості про процес та контекст ядра (ETHREAD) для потоку, що зупинився
• Стек дзвінків у режимі ядра для потоку, зупиненого

Щоб створити файл дампа пам'яті, Windows вимагає розбиття на сторінки в томі завантаження, що становить не менше 2 мегабайт (МБ). На комп'ютерах під керуванням Microsoft Windows 2000 або пізнішої версії Windows створюється новий файл дампа пам'яті під час кожного збою комп'ютера. Журнал цих файлів зберігається у папці. Якщо виникла друга проблема, і якщо Windows створює другий невеликий файл дампа пам'яті, Windows зберігає попередній файл. Windows надає кожному файлу окреме ім'я файлу у кодуванні дати. Наприклад, Mini022900-01.dmp Це перший файл дампа пам'яті, створений 29 лютого 2000 р. Windows зберігає список усіх файлів дампа пам'яті в папці %SystemRoot%\Minidump .

Невеликий файл пам'яті може бути корисним, якщо жорстке місце на диску обмежене. Однак через обмежену інформацію, що включається, помилки, які не були безпосередньо викликані потоком, що виконується в момент виникнення проблеми, не можуть бути виявлені аналізом цього файлу.

Налаштування типу дампа

Щоб налаштувати параметри запуску та відновлення для використання невеликого файлу дампа пам'яті, виконайте наведені нижче дії.

Наступні дії можуть відрізнятися на комп'ютері залежно від версії Windows. Якщо вони відрізняються, перегляньте документацію продукту, щоб виконати ці дії.

1. Виберіть Пуск>Панель керування.
2. Двічі клацніть "Система" та виберіть "Додаткові параметри>системи”.
3. У розділі "Запуск та відновленнявиберіть "Параметри“.
4. У списку відомостей про налагодження запису виберіть невеликий дамп пам'яті (256k).

Щоб змінити розташування папки для невеликих файлів дампа пам'яті, введіть новий шлях поле "Файл дампа" або в поле "Невеликий дамп (залежно від версії Windows).

Засоби для читання невеликого файлу дампа пам'яті

Використовуйте службову програму перевірки дампа (Dumpchk.exe) для читання файлу дампа пам'яті або перевірки правильності створення файлу.

Програма перевірки дампи не вимагає доступу до символів налагодження. Файли символів містять велику кількість даних, які фактично не потрібні при запуску двійкових файлів. Однак ці дані можуть бути дуже корисними при налагодженні.

Додаткові відомості про використання службової програми перевірки дампа у Windows NT, Windows 2000, Windows Server 2003 або Windows Server 2008 див. у розділі "Використання Dumpchk.exe для перевірки файлу дампа пам'яті".

Додаткові відомості про використання програми перевірки дампа у Windows XP, Windows Vista або Windows 7 див. у розділі "Як використовувати Dumpchk.exe для перевірки файлу дампа пам'яті".

Крім того, можна використовувати засіб відладчика Windows (WinDbg.exe) або засіб налагодження ядра (KD.exe) для читання невеликих файлів дампа пам'яті. WinDbg.exe та KD.exe включені в останню версію пакета налагодження для Windows.

Щоб встановити засоби налагодження, див. веб-сторінку "Завантажити та інсталювати засоби налагодження" для Windows . Виберіть типову встановлення. За замовчуванням установщик встановлює засоби налагодження у наступній папці:

C:\Program Files\Debugging Tools для Windows

Веб-сторінка інструментів також надає доступ до завантажених пакетів символів для Windows. Щоб отримати додаткові відомості про символи Windows, див. на веб-сторінці "Налагодження за допомогою символів" та на веб-сторінці "Завантажити пакети символів Windows".

Щоб отримати додаткові відомості про параметри файлу дампа у Windows, див. у розділі "Огляд параметрів файлу дампа пам'яті" для Windows.

Відкриття файлу дампа

Щоб відкрити файл дампи після завершення інсталяції, виконайте наведені нижче дії.

1. Натисніть кнопку "Запустити>“, введіть cmd та натисніть кнопку "ОК".
2. Перейдіть до папки "Кошти налагодження для Windows ". Для цього введіть наступну команду в командному рядку і натисніть клавішу ENTER:

cd C:\Program Files\Debugging Tools For Windows 

windbg -y SymbolPath -i ImagePath -z DumpFilePath 

kd -y SymbolPath -i ImagePath -z DumpFilePath 

У наведеній нижче таблиці пояснюється використання заповнювачів, які використовуються в цих командах.

Приклади команд

Для відкриття файлу дампа можна використовувати такі приклади команд.Ці команди припускають таке:

• Вміст папки I386 на компакт-диску Windows копіюється до папки C:\Windows\I386 .
• Файл дампа називається C:\Windows\Minidump\Minidump.dmp.

Приклад 1 (командний рядок):

kd -y srv*C:\Symbols*https://msdl.microsoft.com/download/symbols -i C:\Windows\i386 -z C:\Windows\Minidump\minidump.dmp 

Приклад 2 (графічний інтерфейс користувача). Якщо ви віддаєте перевагу графічній версії відладчика замість версії командного рядка, введіть наступну команду:

windbg -y srv*C:\Symbols*https://msdl.microsoft.com/download/symbols -i C:\Windows\i386 -z C:\Windows\Minidump\minidump.dmp 

Перевірка файлу дампа

Існує кілька команд, які можна використовувати для збору інформації у файлі дампа, включаючи такі команди:

• Команда !analyze -show відображає код помилки stop та його параметри. Код помилки зупинки також називається кодом перевірки помилок.
• Команда відображає докладні вихідні! Analyze -v дані.
• Команда lm N T перераховує зазначені завантажені модулі. Вихідні дані включають стан та шлях модуля.

У попередніх версіях Windows (попередня версія Windows XP) !drivers команда розширення відображає список усіх драйверів, завантажених на цільовому комп'ютері, а також зведені відомості про використання пам'яті. Однак команда розширення застаріла !drivers у Windows XP та пізніших версіях. Щоб відобразити інформацію про завантажені драйвери та інші модулі, використовуйте команду lm. Команда lm N T відображає відомості у форматі, аналогічному старому !drivers розширенню.

Довідку про інші команди та повний синтаксис команд див. у документації із засобів налагодження. Довідкова документація щодо засобів налагодження знаходиться в наступному розташуванні:

C:\Program Files\Debugging Tools for Windows\Debugger.chm

Якщо у вас виникли проблеми із символами, використовуйте службову програму Symchk, щоб переконатися, що правильні символи завантажені правильно. Додаткові відомості про використання Symchk див. у розділі "Налагодження за допомогою символів".

Спрощення команд за допомогою пакетного файлу

Після визначення команди, яку потрібно використовувати для завантаження дампів пам'яті, можна створити пакетний файл для перевірки файлу дампа. Наприклад, створіть пакетний файл і назвіть його Dump.bat. Збережіть його в папці, де встановлено засоби налагодження. Введіть наступний текст у пакетному файлі:

cd "C:\Program Files\Debugging Tools for Windows" kd -y srv*C:\Symbols*https://msdl.microsoft.com/download/symbols -i C:\Windows\i386 -z %1 

Якщо ви хочете перевірити файл дампа, введіть наступну команду, щоб передати шлях до файлу дампа пакетної служби:

dump C:\Windows\Minidump\minidump.dmp