Синий экран смерти. Анализ и расшифровка дампа памяти при BSOD

Windows вывалился в синий экран смерти. Что делать? Однозначного ответа на этот вопрос нет, так как вариантов лечения и расшифровки синих экранов смерти великое множество. Попробую рассказать как выявить причину синего экрана и диагностировать ошибку с вероятностью, близкой к 100%, а гадание оставим синоптикам.

На прошлой неделе ремонтировал компьютер на котором вылетал синий экран смерти с разными ошибками, чаще всего BAD_POOL_CALLER — stop 0x000000c2. Диагностируется данная ошибка довольно сложно, на его примере и попытаюсь рассказать как узнать причину возникновения по синего экрана смерти.

В процессе диагностики не обойтись без анализа специального файла minidump (дамп памяти) системы. Такие файлы создаются каждый раз после сбоя работы системы и содержат информацию о том, что к этому привело. Обычно все файлы minidump при BSOD сохраняются в папку C:\Windows\Minidump. Кроме того, имя файла содержит текущую дата его создания, чтобы не путаться когда возникла ошибка, если файлов много.

Проверьте, включено ли на вашем компьютере создание файлов minidump при сбое системы.

Анализ дампа памяти. Расшифровываем minidump.

Нам понадобится установить Debugging Tools for Windows и скачать утилиту непосредственно для расшифровки файла дампа kdfe.cmd

Распаковываем скрипт kdfe.cmd и кладем его непосредственно в корень диска диска C:\ или создаем каталог C:\dump. Тут уж как вам удобнее. В командной строке пишем:

c:\dump\kdfe.cmd

Выведется список всех минидампов, из папки C:\Windows\Minidump\ и скрипт предложит указать какой именно дамп будем анализироваться, либо можно самостоятельно выбрать требуемый дамп при запуске скрипта:

C:\kdfe.cmd C:\Windows\Minidump\061715-6208-01.dmp

На мой взгляд первый вариант удобнее. Пример того что выдал скрипт при анализе одного из дампов памяти:

C:\Users\алексей>C:\dump\kdfe.cmd
Following crash dump files found:
1. "C:\Windows\MEMORY.DMP"
2. "C:\Windows\Minidump\021113-50887-01.dmp"
3. "C:\Windows\Minidump\033014-29842-01.dmp"
4. "C:\Windows\Minidump\050515-38610-01.dmp"
5. "C:\Windows\Minidump\050615-34803-01.dmp"
6. "C:\Windows\Minidump\051315-38672-01.dmp"
7. "C:\Windows\Minidump\052015-36629-01.dmp"
8. "C:\Windows\Minidump\052515-34538-01.dmp"
9. "C:\Windows\Minidump\052715-39374-01.dmp"
10. "C:\Windows\Minidump\052815-33119-01.dmp"
11. "C:\Windows\Minidump\060115-31824-01.dmp"
12. "C:\Windows\Minidump\060115-32385-01.dmp"
13. "C:\Windows\Minidump\060115-33945-01.dmp"
14. "C:\Windows\Minidump\060115-33977-02.dmp"
15. "C:\Windows\Minidump\060815-39343-01.dmp"
16. "C:\Windows\Minidump\061015-39062-01.dmp"
17. "C:\Windows\Minidump\061215-44475-01.dmp"
18. "C:\Windows\Minidump\061315-34991-01.dmp"
19. "C:\Windows\Minidump\061415-33680-01.dmp"
20. "C:\Windows\Minidump\061715-6208-01.dmp"
21. "C:\Windows\Minidump\061715-7940-01.dmp"
Which one would you like to analyze?[1-21] 20
Analyzing "C:\Windows\Minidump\061715-6208-01.dmp", please wait... Done.
Crash date:         Wed Jun 17 01:28:13.148 2015 (GMT+3)
Stop error code:    0x1a_31
Process name:       amigo.exe
Probably caused by: ntkrnlmp.exe ( nt:NNGAKEGL::`string'+7161 )
Для продолжения нажмите любую клавишу . . .

Еще одно доказательство что лучше избавляться от этих дебильных Амиго и майлру агентов. Таким же образом можно выявить и другие ошибки, приводящие к BSOD.

Существует еще одна интересная утилитка BlueScreenView, часто встречается на загрузочных флешках-реаниматорах, о которой я уже писал ранее на страницах блога, но на мой взгляд менее понятная для новичков.