Як аналізувати файли з дампом синього екрану за допомогою WinDbg

Огляд

Помилка синього екрану (також звана Blue Screen of Death або BSOD) виникає, коли Windows стикається з критичною проблемою і вимикається для захисту вашого комп'ютера. Коли це відбувається, Windows створює невеликий файл під назвою minidump , який записує те, що відбувалося в момент збою.

Ця стаття проведе вас, як використовувати Windows Debugger (WinDbg), безкоштовний інструмент від Microsoft, щоб відкривати та читати ці мінідамп-файли. Ще важливіше, це допомагає зрозуміти, що означають результати і які кроки слід зробити для вирішення проблеми.

Що ви дізнаєтеся:

• Як налаштувати комп'ютер для збереження мінідамп-файлів.
• Як встановити та використовувати WinDbg для аналізу файлу збою.
• Як прочитати результати аналізу та визначити причину.
• Як використати ці результати для усунення помилки синього екрану.
• Як скористатися Driver Verifier для пошуку проблемних драйверів.

Що таке мінідамп-файл?

Коли виникає помилка синього екрану, Windows зберігає невеликий файл дампу пам'яті (також званий мінідампом) з розширенням файлу .dmp. Цей файл фіксує знімок стану вашого комп'ютера на момент збою. Незважаючи на невеликий розмір (зазвичай 256 КБ), мінідамп містить цінну інформацію, зокрема:

• Стоп-код — конкретний код помилки, який визначає тип аварії (наприклад, DRIVER_IRQL_NOT_LESS_OR_EQUAL).
• Параметри — додаткові значення, пов'язані зі стоп-кодом.
• Завантажені драйвери — Список усіх драйверів, які працювали на момент аварії.
• Модуль несправності — Конкретний файл (драйвер, системний файл або додаток), який спричинив або сприяв збою.
• Стек викликів у режимі ядра — технічний запис, що показує послідовність подій, що призвели до збою.
• Контекст процесора та потоку — Деталі про процесор і процес, які були активні на той час.

Ця інформація допомагає визначити, чи був збій спричинений драйвером, системним файлом Windows, апаратною несправністю або програмним конфліктом.

Що спричиняє помилки на синьому екрані?

Помилки на синьому екрані можуть мати багато причин. Найпоширеніші включають:

Перед початком: перевірте, чи зберігаються файли мінідампу

Перш ніж ви зможете проаналізувати краш-дамп, ваш комп'ютер має бути налаштований на створення та збереження файлів мінідампу. Дотримуйтесь цих кроків, щоб перевірити це налаштування:

1. Виберіть Start, введіть SystemPropertiesAdvanced, а потім натисніть Enter.
2. У вікні Властивості системи, у розділі Запуск і Відновлення , виберіть Налаштування.
3. У розділі Write debugging information перевірте, чи вибрано Малий дамп пам'яті (256 КБ) або Автоматичний дамп пам'яті .
4. Перевірте, що каталог Small dump встановлений на %SystemRoot%\Minidump.
5. Виберіть OK, а потім знову OK , щоб закрити властивості системи.

Крок 1: Встановити WinDbg

WinDbg (Windows Debugger) — це безкоштовний інструмент від Microsoft, який дозволяє відкривати та аналізувати файли мінідампу. Дотримуйтесь цих кроків, щоб завантажити та встановити його:

1. Виберіть Start і відкрийте Microsoft Store.
2. У рядку пошуку введіть WinDbg , а потім натисніть Enter.
3. Виберіть WinDbg (раніше WinDbg Preview) у результатах пошуку, а потім виберіть Отримати або Встановити.
4. Чекайте завершення встановлення.

Крок 2: Налаштуйте шлях до символів

Символи — це файли, які допомагають WinDbg перетворювати сирі дані збоїв у зрозумілу інформацію, наприклад, назви функцій і драйверів. Без символів результати аналізу можуть бути неповними або важко інтерпретуваними. Дотримуйтесь цих кроків для налаштування шляху символу:

1. Виберіть Start, введіть WinDbg, а потім виберіть WinDbg , щоб відкрити додаток.
2. Виберіть Файл, а потім Налаштування.
3. Виберіть налаштування налагодження.
4. У полі шляху символів за замовчуванням введіть наступний шлях точно так, як показано: srv*C:\Symbols*https://msdl.microsoft.com/download/symbols
5. Виберіть OK.

Що означає цей шлях?

• srv* повідомляє WinDbg завантажити символи з сервера.
• C:\Symbols — це локальна папка на вашому комп'ютері, де завантажені символи зберігаються (кешуються) для швидшого майбутнього використання. WinDbg автоматично створює цю папку.
• URL вказує на публічний сервер символів Microsoft.

Крок 3: Відкрийте та проаналізуйте файл дампу

Після встановлення WinDbg і налаштованого шляху до символів виконайте ці кроки для аналізу файлу мінідампу:

1. У WinDbg виберіть File, а потім Open dump file.
2. Перейдіть до папки, де зберігаються ваші мінідамп-файли. Стандартні локації:
   1. Краші Windows: C:\Windows\Minidump\
   2. Аварійні дампи додатків: C:\Users\YourUsername\AppData\Local\CrashDumps\
3. Виберіть .dmp файл, який хочете проаналізувати, а потім виберіть Відкрити.

Порада: Якщо у вас кілька дамп-файлів, спочатку оберіть найсвіжіший. Назва файлу зазвичай містить дату аварії (наприклад, 010125-12345-01.dmp).

4. Чекайте, поки WinDbg завантажить файл дампу. Ви побачите прокручування тексту у вікні команд.
5. У вікні команд внизу введіть наступну команду, а потім натисніть Enter: !analyze -v
6. Чекайте, поки аналіз завершиться. Це може зайняти кілька хвилин, поки WinDbg завантажує необхідні символи та обробляє дані.

Крок 4: Прочитайте та зрозумійте результати аналізу

Після завершення команди !analyze -v WinDbg показує детальний звіт. Ось найважливіші сфери, на які варто звернути увагу, і що вони означають:

Ключові поля у звіті про аналіз

Як інтерпретувати результати

• Якщо MODULE_NAME або IMAGE_NAME показує файл .sys — Збій, ймовірно, був спричинений драйвером. Ім'я файлу допомагає визначити, який апаратний компонент або програмне забезпечення задіяно.
• Якщо модуль ntoskrnl.exe — це ядро Windows. Це не обов'язково означає, що проблема є саме Windows. Це часто вказує на те, що інший драйвер пошкодив пам'ять, і ядро виявило проблему. Перегляньте повний стек дзвінків для додаткових підказок.
• Якщо модуль win32kfull.sys або win32kbase.sys — Це системні файли, пов'язані з графікою Windows. Проблема може бути пов'язана з вашим драйвером дисплея або графічним додатком.

Поширені імена файлів драйверів та пов'язані з ними компоненти

Порада: Якщо ви не впевнені, до чого належить файл драйвера, пошукайте ім'я файлу онлайн, щоб знайти більше інформації.

Крок 5: Усунути та усунути помилку синього екрану

Після виявлення драйвера або модуля, що має несправність, за допомогою аналізу файлу дампу, виконайте кроки нижче для вирішення проблеми.

Якщо аварія була спричинена драйвером (.sys файлом)

1. Оновіть драйвер — перейдіть у розділ Драйвери та завантаження Dell і завантажте останній драйвер для вашої конкретної моделі комп'ютера Dell. Якщо драйвер призначений для стороннього компонента (наприклад, принтера, вебкамери тощо), відвідайте сайт виробника для останньої версії.
2. Відкотіть драйвер назад — якщо проблема почалася після нещодавнього оновлення драйвера:
   1. Виберіть Start, введіть Device Manager, а потім Enter.
   2. Розширте категорію для пристрою (наприклад, Адаптери дисплея).
   3. Клацніть правою кнопкою миші на пристрої, а потім виберіть Властивості.
   4. Виберіть вкладку «Драйвер», а потім виберіть «Відкотити драйвер» (якщо доступно).
3. Перевстановіть драйвер — видаліть драйвер у диспетчері пристроїв, перезавантажте комп'ютер і встановіть чисту копію.

Якщо збій вказує на ntoskrnl.exe або на системний файл Windows

1. Запустіть перевірку системних файлів (SFC):
   1. Виберіть Start, введіть CMD.
   2. Клацніть правою кнопкою миші по Командному рядку, а потім виберіть Запустити як адміністратор.
   3. Введіть наступну команду, а потім натисніть Enter: sfc /scannow
   4. Дочекайтеся завершення сканування і дотримуйтесь усіх інструкцій, які показані.
2. Запустіть інструмент DISM (якщо SFC виявить проблеми, вони не можуть їх виправити):
   1. У тому ж командному рядку адміністратора введіть таку команду, а потім натисніть Enter: DISM /Online /Cleanup-Image /RestoreHealth
   2. Чекайте, поки процес завершиться, а потім запускайте sfc /scannow знову.
3. Перевірте оновлення Windows:
   1. Виберіть Start > Settings > Windows Update.
   2. Виберіть Перевірити наявність оновлень і встановити будь-які доступні оновлення.

Якщо підозрюєш апаратну проблему

Помилки синього екрану також можуть бути спричинені апаратними проблемами, такими як несправність пам'яті (RAM), перегрів процесора або несправний жорсткий диск. Спробуйте ці кроки:

1. Запустіть вбудовану діагностику Dell — перезавантажте комп'ютер і натисніть F12 на логотипі Dell. Виберіть «Діагностику » в меню та запустіть повний апаратний тест.
2. Запустіть діагностичну діагностику пам'яті Windows:
   1. Виберіть Start, введіть Windows Memory Diagnostic, а потім натисніть Enter.
   2. Виберіть «Перезапуск» зараз і перевірте наявність проблем.
   3. Ваш комп'ютер перезавантажиться і перевірить оперативну пам'ять. Результати з'являються після перезапуску Windows.
3. Перевірте температуру — перегрів може спричинити помилки синього екрану. Переконайтеся, що вентиляція та вентилятори чисті та не заблоковані. Використовуйте вбудований термоменеджмент Dell або сторонній інструмент для перевірки температури.
4. Перевірте стан диска:
   1. Відкрийте командний рядок адміністратора.
   2. Введіть наступну команду, а потім натисніть Enter: chkdsk C: /f /r
   3. Якщо запитають, введіть Y , щоб запланувати сканування на наступне перезавантаження, а потім перезавантажте комп'ютер.

Якщо збій був спричинений розгоном

Якщо ви розігнали процесор, відеокарту або оперативну пам'ять, скиньте всі налаштування розгону до їхніх стандартних значень у BIOS/UEFI. Розгін може спричинити нестабільність, що призводить до помилок із синим екраном.

Поширені коди зупинки на синьому екрані та їхнє значення

Ось деякі з найпоширеніших кодів зупинки, а також їхні типові причини та рекомендовані дії:

Повний список стоп-кодів дивіться у Microsoft Bug Check Code Reference (англійською).

Опціонально: використовуйте перевірку драйверів для пошуку проблемних драйверів

Якщо аналіз мінідампу не визначив чітко проблемний драйвер або якщо помилки з синім екраном постійно виникають, можна скористатися Driver Verifier. Цей вбудований інструмент Windows відстежує драйвери в режимі реального часу та змушує показувати синій екран із детальною інформацією, коли виявляє непомилкову поведінку драйвера.

Важливо: Перевірка драйвера може навмисно викликати додаткові помилки з синім екраном. Це зроблено навмисно, і це змушує водіїв шукати проблеми. Використовуйте його лише під час активного усунення несправностей, і завжди вимикайте після завершення.

Як увімкнути Driver Verifier

1. Виберіть Start, введіть CMD.
2. Клацніть правою кнопкою миші по Командному рядку, а потім виберіть Запустити як адміністратор.
3. Введіть наступну команду, а потім натисніть Enter: verifier
4. У Менеджері перевірки драйверів виберіть Створити стандартні налаштування, а потім Далі.
5. Виберіть «Автоматично вибрати непідписані драйвери » або «Вибрати імена водіїв зі списку», а потім «Далі».

Порада: Якщо ви підозрюєте конкретного водія, виберіть «Вибрати імена водіїв» зі списку і оберіть лише цього водія. Перевірка меншої кількості водіїв робить процес ефективнішим і зменшує ймовірність непов'язаних збоїв.

6. Виберіть «Закінчити» і перезавантажте комп'ютер.
7. Користуйтеся комп'ютером, як завжди. Якщо виявлено несправний драйвер, Windows генерує синій екран із детальним файлом дампу. Проаналізуйте цей новий дамп-файл за допомогою WinDbg (див. кроки 3 і 4 вище).

Як вимкнути Driver Verifier

Після завершення усунення несправності завжди вимикайте Driver Verifier:

1. Відкрийте командний рядок адміністратора.
2. Введіть наступну команду, а потім натисніть Enter: verifier /reset
3. Перезапустіть комп’ютер.

Що робити, якщо Driver Verifier викликає цикл завантаження

Якщо ваш комп'ютер постійно перезавантажується з помилками з синім екраном після ввімкнення Driver Verifier:

1. Перезавантажте комп'ютер, утримуйте Shift , вибравши «Перезапуск » на екрані входу, щоб отримати доступ до розширених опцій запуску.
2. Виберіть «Діагностику > » розширених опцій > у командному рядку.
3. Введіть наступну команду, а потім натисніть Enter: verifier /bootmode resetonbootfail.
4. Одразу ж введіть цю команду і натисніть Enter: verifier /reset
5. Тип exit, натисніть Enter і виберіть Continue для перезавантаження.

Поширені запитання (FAQ)

Питання: Де зберігаються мінідамп-файли у Windows?
Відповідь: За замовчуванням Windows зберігає файли minidump у C:\Windows\Minidump\. Кожен файл має назву з датою створення (наприклад, 010125-12345-01.dmp). Файли збою застосунків зберігаються у C:\Users\YourUsername\AppData\Local\CrashDumps\.

Питання: Що робить !analyze -v у WinDbg?
A: Команда !analyze -v каже WinDbg виконати детальний (багатослівний) аналіз файлу збою. Він автоматично ідентифікує стоп-код, драйвер або модуль, що викликав несправність, а також стек викликів, що призвів до збою. Це найважливіша команда, яку потрібно виконати при аналізі файлу дампу з синім екраном.

Питання: Чому мій аналіз показує ntoskrnl.exe як причину?
Відповідь: ntoskrnl.exe — це ядро Windows, ядро операційної системи. Коли він з'являється як модуль несправності, це зазвичай означає, що іншим драйвером пошкоджена пам'ять, і ядро виявило проблему. Перегляньте повний стек викликів та інші сфери, такі як FAILURE_BUCKET_ID, для додаткових підказок щодо справжньої причини.

Питання: Чи можу я аналізувати дамп-файли без WinDbg?
Відповідь: Так, існують альтернативні інструменти. Однак вони можуть надавати менше деталей, ніж WinDbg.

Питання: Як виправити помилки синього екрану, спричинені драйверами?
Відповідь: Почніть з визначення відповідального водія за допомогою WinDbg або іншого інструменту аналізу. Потім оновіть драйвер до останньої версії з сайту виробника або з Dell Drivers & Downloads. Якщо проблема почалася після оновлення драйвера, спробуйте повернутися до попередньої версії через диспетчер пристроїв.

Питання: Чому після синього екрану
немає мінідампу?В: Якщо мінідамп файлу не створено, ваша система може не бути налаштована на їх збереження. Перейдіть у Властивості > системи, розширені > налаштування запуску та відновлення>, і переконайтеся, що вибрано Small memory dump або Automatic memory dump. Також переконайтеся, що на системному диску достатньо місця.

Питання: Скільки мінідамп-файлів зберігає Windows?
Відповідь: Windows не видаляє автоматично старі файли мінідампу, але папка зазвичай зберігає найновіші файли. З часом ці файли накопичуються. Ви можете безпечно видалити старі файли мінідампу, якщо вони вам більше не потрібні для усунення несправностей.

Потрібна додаткова допомога?

Ресурси Dell

• Посібник з усунення несправностей із синім екраном — покроковий посібник з діагностики та усунення помилок із синім екраном на комп'ютерах Dell.
• Драйвери та завантаження Dell — Завантажте найновіші драйвери для вашого комп'ютера Dell.

Ресурси Microsoft

• Microsoft Bug Check Code Reference (англійською) — повний список кодів і описів зупинок на синьому екрані.
• Microsoft Advanced Troubleshooting for Stop Errors (англійською) — посібник Microsoft з розширеного усунення несправностей на синьому екрані.
• Аналізуйте файл дампу в режимі ядра за допомогою WinDbg (англійською) — документація Microsoft щодо аналізу дамп-файлів.
• Microsoft Driver Verifier (англійською) — Детальна документація щодо використання Driver Verifier.
• Microsoft Process Explorer (англійською) — інструмент для ідентифікації, до чого належить запущений процес або файл.

Рекомендовані статті

Ось кілька рекомендованих статей на цю тему, що можуть вас зацікавити.

• Як експортувати журнали подій Windows