Дамп памяти Windows 10: как открыть и прочитать, какой лучше поставить

Что такое дамп

• dump (англ.) – мусорная куча; свалка; дыра; трущоба.
• dump (memory dump) – 1) дамп, вывод содержимого оперативной памяти на печать или экран; 2) «снимок» оперативной памяти; данные, получаемые в результате дампинга; 3) аварийное снятие, выключение, сброс.
• dumping – дампинг, снятие дампа.

Настройки для сохранения дампа памяти хранятся в системном реестре Windows.

Информация о дампе памяти в системном Реестре:

В разделе Реестра Windows [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlCrashControl] аварийный дамп памяти определяется следующими параметрами:

– REG_DWORD-параметр AutoReboot со значением 0x1 (опция Выполнить автоматическую перезагрузку вспомогательного окна Загрузка и восстановление диалогового окна Свойства системы);

– REG_DWORD-параметр CrashDumpEnabled со значением 0x0, если дамп памяти не создается; 0x1 – Полный дамп памяти; 0x2 – Дамп памяти ядра; 0x3 – Малый дамп памяти (64КБ);

– REG_EXPAND_SZ-параметр DumpFile со значением по умолчанию %SystemRoot%MEMORY.DMP (место хранения файла дампа);

– REG_DWORD-параметр LogEvent со значением по умолчанию 0x1 (опция Записать событие в системный журнал окна Загрузка и восстановление);

– REG_EXPAND_SZ-параметр MinidumpDir со значением по умолчанию %SystemRoot%Minidump (опция Папка малого дампа окна Загрузка и восстановление);

– REG_DWORD-параметр Overwrite со значением по умолчанию 0x1 (опция Заменять существующий файл дампа окна Загрузка и восстановление);

– REG_DWORD-параметр SendAlert со значением по умолчанию 0x1 (опция Отправить административное оповещение окна Загрузка и восстановление).

Анализ дампа памяти

Для анализа аварийных дампов памяти существует множество программ, например, DumpChk, Kanalyze, WinDbg. Рассмотрим анализ аварийных дампов памяти с помощью программы WinDbg (входит в состав Debugging Tools for Windows).

Использование программы windbg для анализа аварийных дампов памяти

• запустите WinDbg (по умолчанию устанавливается в папку Program FilesDebugging Tools for Windows);
• выберите меню File –> Symbol File Path…;
• в окне Symbol Search Path нажмите кнопку Browse…;
• в окне Обзор папок укажите расположение папки Symbols (по умолчанию – WINDOWSSymbols) –> OK –> OK;
• выберите меню File –> Open Crash Dump… (или нажмите Ctrl D);
• в окне Open Crash Dump укажите расположение Crash Dump File (*.dmp) –> Открыть;
• в окне Workspace с вопросом «Save information for workspace?», установите флажок Don’t ask again –> No;
• в окне WinDbg откроется окно Command Dump <путь_и_имя_файла_дампа> с анализом дампа;
• просмотрите анализ дампа памяти;
• в разделе «Bugcheck Analysis» будет указана возможная причина краха, например, «Probably caused by: smwdm.sys (smwdm 454d5)»;
• для просмотра детальной информации нажмите ссылку «!analyze -v» в строке «Use !analyze -v to get detailed debugging information»;
• закройте WinDbg;
• используйте полученную информацию для устранения причины неисправности.

Например, на следующем скриншоте причина неисправности – файл nv4_disp.dll драйвера видеокарты:

Как включить функцию дамп памяти на windows 10 и настроить ее

Чтобы включить опцию, пользователю потребуется выполнить ряд последовательных действий. В инструкции нет ничего сложного, с ней справится даже новичок в этом деле:

• Тапнуть кнопкой мышки по значку «Пуск».
• В открывшемся окошке выбрать раздел «Система».

• Далее выбрать раздел «Дополнительные параметры».

• В открывшемся окне выбрать «Параметры».

• Настроить аварийный дамп.

Желательно ставить галочки напротив значений, связанных с созданием журнала, сохранением информации о системе. Данные при этом могут достигать нескольких сотен гигабайт. Поэтому целесообразно отметить маркером «Заменить существующий файл дампа».

Зная все о неполадках и причинах возникновения BSoD, будет легче исправить положение и вернуть рабочий режим системы.

Как провести анализ файла дампа с bluescreenview?

После запуска программа сразу сканирует стандартную директорию хранения файла дампа — %SystemRoot%Minidump. Директорию можно изменить в дополнительных параметрах программы. Интерфейс окна программы условно можно поделить на 3 области:

• Верхняя область кнопок меню
• Средняя область со списком файлов дампов
• Нижняя область со списком драйверов

Данные анализа выводятся в табличном виде. Перечислю наиболее важные из столбцов средней области интерфейсного окна программы (в скобках наименование из англ. версии):

Теперь перечислю наиболее важные столбцы из нижней области:

• Имя файла (File name). Указывается наименование драйвера либо модуля
• Адрес в стеке (Address In Stack). Выводится адрес памяти драйвера из стека памяти.
• Описание файла (File Description).
• Версия файла (File Version). Отображается версия файла драйвера.

Как система создает файл аварийного дампа памяти

Во время загрузки операционная система проверяет параметры создания аварийного дампа в разделе реестра [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlCrashControl]. Если указан хотя бы один параметр, то система генерирует карту блоков диска, занимаемых файлом подкачки на загрузочном томе, и сохраняет ее в памяти.

После сбоя ядро системы проверяет целостность карты страничного файла, дискового драйвера и управляющих структур дискового драйвера. Если целостность этих структур не нарушена, то ядро системы вызывает специальные функции ввода/вывода дискового драйвера, предназначенные для сохранения образа памяти после системного сбоя.

Эти функции ввода/вывода самодостаточны и не полагаются на службы ядра системы, поскольку в программах, отвечающих за запись аварийного дампа, нельзя делать никаких предположений о том, какие части ядра системы или драйверы устройств при сбое были повреждены.

Сначала ядро системы проверяет состояние каждого компонента, задействованного в процессе сохранения дампа. Это делается для того, чтобы при прямой записи в секторы диска не повредить данные, лежащие вне страничного файла. Размер страничного файла должен быть на 1МБ больше размера физической памяти, потому что при записи информации в дамп создается заголовок, в котором содержатся сигнатура аварийного дампа и значения нескольких важнейших переменных ядра системы.

После загрузки системы Session Manager (Диспетчер сеанса Windows NT; дисковый адрес – WINDOWSsystem32smss.exe) инициализирует страничные файлы системы, используя для создания каждого файла собственную функцию NtCreatePagingFile. NtCreatePagingFile определяет, существует ли инициализируемый страничный файл, и если да, то имеется ли в нем заголовок дампа.

Если заголовок есть, то NtCreatePagingFile посылает в Session Manager специальный код. После этого Session Manager запускает процесс Winlogon (Программа входа в систему Windows NT; дисковый адрес – WINDOWSsystem32winlogon.exe), который извещается о существовании аварийного дампа.

Если заголовок указывает на существование дампа, то SaveDump копирует данные из страничного файла в файл аварийного дампа, имя которого задано REG_EXPAND_SZ-параметром DumpFile раздела Реестра [HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlCrashControl].

Пока SaveDump переписывает файл дампа, операционная система не задействует ту часть страничного файла, в которой содержится аварийный дамп. В это время объем виртуальной памяти, доступной для системы и приложений, уменьшается на размер дампа (при этом на экране могут появиться сообщения, указывающие на нехватку виртуальной памяти).

Сохранив файл дампа, программа SaveDump делает запись о создании аварийного дампа  в журнале событий Система, например: «Компьютер был перезагружен после критической ошибки: 0x100000d1 (0xc84d90a6, 0x00000010, 0x00000000, 0xc84d90a6). Копия памяти сохранена: C:WINDOWSMinidumpMini060309-01.dmp».

Если включена опция Отправить административное оповещение, то SaveDump отправляет оповещение администратору.

Как удалить этот файл

Если пользователю понадобилось удалить minidump, то выполняет он эту процедуру ручным способом. А именно: перейти по пути месторасположения файлов на диске: C:WindowsMinidump. Для удаления элементов minidump в каталоге Windows нужно воспользоваться встроенным инструментом системы «Очистка диска»:

• Вызвать командную строку.
• Ввести команду Cleanmpg.

• Тапнуть по кнопке очищения системных файлов.
• Найти в списке объекты, касающиеся мини-дампа, поставить галочки.
• Начнется удаление, которое потребует некоторое время.

Если в списке нужных объектов не нашлось, это не означает, что они отсутствуют в системе. Скорей всего, они отключены пользователем или программами по очистке.

Дамп памяти в ОС Windows 10 – инструмент, помогающий диагностировать и устранять причины сбоев и появление BSoD. Если автоматическое создание и сохранение дампов памяти отключено, рекомендуется активировать их. Чаще причиной отключения файлов становятся утилиты для очистки ПК и оптимизации работы системы.

Проверьте совместимость оборудования

Первое, что вам нужно сделать, это убедиться, что всё ваше оборудование совместимо. Если вы только что добавили какое-либо оборудование на свой компьютер (даже USB-накопитель), вам следует либо удалить его, либо немедленно вернуться к своей старой настройке.

Поскольку всё оборудование создаётся разными компаниями, вероятность того, что какое-то оборудование не будет работать друг с другом, довольно высока. Вам следует проявлять бдительность к этой конкретной проблеме, если вы только что внесли какие-либо изменения в оборудование, такие как модификация оборудования или добавление нового устройства на свой компьютер.

Проверьте состояние жесткого диска

Плохие сектора на жёстком диске или поврежденные диски могут привести к ошибкам дампа физической памяти. Однако, есть определенные способы обеспечить оптимальное состояние жесткого диска в долгосрочной перспективе.

Вот что вы можете сделать:

Просмотр и анализ файла мини-дампа

При выполнении операций с малым дампом можно воспользоваться доступной для любого пользователя утилитой Blue Screen View от Nirsoft. После открытия файла он четко укажет на имена этих драйверов. После нажатия на один из них появятся имена сервисов. Если юзер не может прочитать пути решения проблемы, он может воспользоваться поисковиком.

Разновидности дампов

• Полный дамп памяти записывает всё содержимое системной памяти при возникновении неустранимой ошибки. Для этого варианта необходимо иметь на загрузочном томе файл подкачки, размер которого равен объему всей физической оперативной памяти плюс 1МБ. По умолчанию полный дамп памяти записывается в файл %SystemRoot%Memory.dmp. При возникновении новой ошибки и создании нового файла полного дампа памяти (или дампа памяти ядра) предыдущий файл заменяется (перезаписывается). Параметр Полный дамп памяти недоступен на ПК, на которых установлена 32-битная операционная система и 2 или более гигабайта оперативной памяти.

При возникновении новой ошибки и создании нового файла полного дампа памяти предыдущий файл заменяется.

• Дамп памяти ядра записывает только память ядра, благодаря чему процесс записи данных в журнал при внезапной остановке системы протекает быстрее. В зависимости от объема физической памяти ПК в этом случае для файла подкачки требуется от 50 до 800МБ или одна треть физической памяти компьютера на загрузочном томе. По умолчанию дамп памяти ядра записывается в файл %SystemRoot%Memory.dmp.

Этот дамп не включает нераспределенную память или память, выделенную для программ пользовательского режима. Он включает только память, выделенную для ядра и аппаратно-зависимого уровня (HAL) в Windows 2000 и более поздних версиях системы, а также память, выделенную для драйверов режима ядра и других программ режима ядра.

В большинстве случаев такой дамп является наиболее предпочтительным вариантом. Он занимает намного меньше места по сравнению с полным дампом памяти, при этом исключая только те сектора памяти, которые, скорее всего, не связаны с ошибкой.При возникновении новой ошибки и создании нового файла дампа памяти ядра предыдущий файл заменяется.

• Малый дамп памяти записывает наименьший объем полезной информации, необходимых для определения причины неполадок. Для создания малого дампа памяти необходимо, чтобы размер файла подкачки составлял как минимум 2МБ на загрузочном томе.

Файлы малого дампа памяти содержат следующие сведения:

• сообщение о неустранимой ошибке, ее параметры и прочие данные;
• список загруженных драйверов;
• контекст процессора (PRCB), на котором произошел сбой;
• сведения о процессе и контекст ядра (EPROCESS) для процесса, вызвавшего ошибку;
• сведения о процессе и контекст ядра (ETHREAD) для потока, вызвавшего ошибку;
• стек вызовов в режиме ядра для потока, вызвавшего ошибку.

Файл малого дампа памяти используется при ограниченном пространстве жесткого диска. Однако из-за ограниченности содержащихся в нем сведений в результате анализа этого файла не всегда удается обнаружить ошибки, которые не были непосредственно вызваны потоком, выполнявшимся в момент ее возникновения.

При возникновении следующей ошибки и создании второго файла малого дампа памяти предыдущий файл сохраняется. Каждому дополнительному файлу дается уникальное имя. Дата закодирована в имени файла. Например, Mini051509-01.dmp — это первый файл дампа памяти, созданный 15 мая 2009 г. Список всех файлов малого дампа памяти хранится в папке %SystemRoot%Minidump.

Операционная система Windows XP, несомненно, значительно надежнее предыдущих версий, – благодаря усилиям как разработчиков Microsoft, так и разработчиков драйверов аппаратного обеспечения, так и разработчиков прикладного программного обеспечения. Однако аварийные ситуации – всевозможные сбои и крахи системы – неизбежны, и от того, владеет ли пользователь ПК знаниями и навыками в их устранении, зависит, придется ему затратить несколько минут на поиск и устранение неисправности (например, на обновление/отладку драйвера или переустановку прикладной программы, вызывающей системный сбой), – или несколько часов на переустановку/настройку операционной системы и прикладного программного обеспечения (что не гарантирует отсутствия сбоев и крахов в дальнейшем!).

Многие системные администраторы всё еще пренебрегают анализом аварийных дампов Windows, считая, что работать с ними слишком трудно. Трудно, но можно: даже если, например, анализ одного дампа из десяти окажется успешным, – усилия, потраченные на освоение простейших приемов анализа аварийных дампов, будут не напрасны!..

Приведу примеры из своей «сисадминской» практики.

В локальной сети без видимой причины («железо» в порядке, отсутствие вирусов гарантировано, пользователи – с «нормальными руками») «полегли» несколько рабочих станций с Windows XP SP1/SP2 «на борту». Компьютеры загрузить в нормальном режиме не удавалось, – доходило до «Приветствия» – и на перезагрузку до бесконечности. При этом, в Безопасном режиме ПК загружались.

Изучение дампов памяти позволило выявить причину неисправности: виновником оказался антивирус Касперского, точнее, свежие антивирусные базы (если еще точнее, то два модуля баз – base372c.avc, base032c.avc).

…Еще был такой случай. На локальном ПК с Windows XP SP3 при попытке открыть видеофайлы форматов .avi и .mpeg происходила перезагрузка. Изучение дампа памяти позволило выявить причину неисправности – файл nv4_disp.dll драйвера видеокарты NVIDIA GeForce 6600.

В обоих указанных случаях изучение аварийного дампа памяти позволило до минимума (несколько минут!) свести время для диагностирования и устранения неисправности.

Регулярно обновляйте программное обеспечение

Эта ошибка может возникать не из-за аппаратного обеспечения вашей системы, а из-за проблем с программным обеспечением. Есть много проблем с программным обеспечением, которые могут вызвать ошибки на вашем компьютере. Но, одной из основных причин этой ошибки в Windows является то, что иногда программные приложения содержат поврежденные файлы.

Такие приложения, как Adobe Photoshop, некоторые игры и другое программное обеспечение, для запуска которых требуется огромное количество программных файлов, могут вызывать эту ошибку. Чтобы избежать подобных ситуаций, необходимо своевременно обновлять программное обеспечение.

Однако, в случае возникновения ошибки вам следует немедленно переустановить программу, так как это заменит все потенциально поврежденные программные файлы на вашем компьютере, восстановив работоспособность вашей системы.

Регулярно проверяйте работоспособность реестра

Недействительные записи реестра являются одной из основных причин ошибки «Дампа физической памяти» на компьютере. Таким образом, если дело не в совместимости с аппаратным и программным обеспечением, это может быть проблема с базой данных реестра на вашем ПК.

База данных реестра – это центральное хранилище всех настроек и опций, необходимых вашему компьютеру для работы. Это место, где Windows хранит все настройки, которые необходимо прочитать любому программному обеспечению на вашем ПК. К сожалению, это делает базу данных реестра одним из основных факторов, вызывающих ошибку дампа физической памяти, когда она оказывается поврежденной.

Чтобы избежать этой ситуации, вы можете установить хорошее программное обеспечение для очистки реестра, которое восстанавливает поврежденный реестр и поддерживает его работоспособность. Это, безусловно, снизит риск появления ошибок дампа синего экрана.

Проблема в том, что все ваши программы полагаются на эту базу данных для сохранения настроек. Если какие-либо из этих настроек повреждены или повреждены без возможности восстановления, многие программы не смогут прочитать то, что им нужно, и это приведёт к появлению на вашем ПК всевозможных ошибок, включая ошибки памяти.

Типы аварийных дампов памяти

В Виндовс предусмотрены различные типы .dmp. К основным видам относятся:

• Мини-дамп памяти – файл с минимумом данных о BSoD, процессоре, драйверах, которые работали во время появления критической ошибки. Весит 256 Кб, для извлечения информации требуется установка дополнительной утилиты, например, Blue Screen View. Minidump преимущественно пользуются непрофессионалы.

• Дамп памяти ядра – тоже имеет небольшие размеры, но содержит более подробную информацию, чем m В нем сохраняется информация о памяти ядра, процессора или всей ОС.
• Полный дамп памяти – копирует оперативку системы. Его размер соответствует объему оперативки, это одновременно является его плюсом и, в то же время, существенным минусом. Его размеры могут оказаться огромными, требуя невероятных размеров памяти устройства. Он недоступен на устройствах с оперативной системой 32 бита.
• Автоматический дамп памяти – новый вид, который разработчики впервые ввели в Виндовс 8. Система самостоятельно решает, какой dump записывать, учитывая особенности сбоя, частоту его проявления.
• Активный дамп памяти – внедрен в Виндовс 10, отсортировывает компоненты, неспособные распознать причину ошибки. Полезен для серверов и других виртуальных сервисов.

Часть вторая — анализ мини-дампа

Данная часть статьи предназначена для тех энтузиастов, которые предпочитают метод самостоятельной диагностики проблем с системой. Также приведенный метод может быть использован сотрудниками технической поддержки разнообразных сервисных служб для помощи рядовым пользователям ПК.Ниже описан метод расшифровки файла мини-дампа с использованием специальных программных средств.

Часть первая — подготовка системы

Пойдем в хронологическом порядке и рассмотрим в начале те меры, которые надо принять, чтобы ваша система записывала журнал событий во время сбоев.

Далее описаны два способа настройки журналирования событий сбоев.

Первый способ (Windows XP):

Отключите автоматическую перезагрузку системы. Для этого:

• выберите Пуск-Выполнить… либо нажмите сочетание клавиш «Win» »R»
• введите строку:

wmic recoveros set AutoReboot = False

При следующем падении системы обратите внимание на код ошибки и запишите. Код ошибки расположен после слова «STOP»

Второй способ:

• нажмите сочетание клавиш «Win» «Pause»
• в Windows 7 и Vista щелкните ссылку «Дополнительные параметры системы»
• на вкладке Дополнительно нажмите кнопку Параметры в разделе «Загрузка и восстановление»:
  снимите флажок «Выполнять автоматическую перезагрузку»
• поставьте флажок «Записать события в системный журнал»
• в выпадающем списке «Запись отладочной информации» установите значение «Малый дамп памяти (256 КБ)»(для Windows 7)
• или «Малый дамп памяти (64 КБ)»(для Windows XP)

Когда вы снова столкнетесь с системной ошибкой и вовода BSOD, номер ошибки Вы увидите на синем после слова «STOP» и сможете его записать.

Дальше этот номер можно задать в качестве ключевого слова в любом интернет поисковике, и следуя результатам поиска, найти подходящий к вашему случаю вариант, из тех что ранее были описаны в сети другими людьми.

Затем вы можете прислать в службу поддержки обслуживающей организации, файл минидампа для анализа проблемы.

Для этого:

— перейдите в папку С:WindowsMinidumpгде диск C: — диск на который установлена операционная система.

Для создания zip-архива нажмите на файл (в данном случае файл минидампа *.dmp например, 032912-19827-01.dmp) правой клавишеймыши и в контекстном меню выберите пункт «Отправить», затем «Сжатая ZIP-папка» как показано на рисунке:

После этого в текущей папке появится ZIP-архив (например, 032912-19827-01.zip), который необходимо прикрепить к завке в службу техподдержки.

Шаг 1 — включение записи дампов памяти

Сначала нужно убедиться, что запись дампов включена. Для этого нужно открыть свойства системы, нажав комбинацию клавиш Win Pause, [в Vista щелкнуть ссылку Дополнительные параметры системы], перейти на вкладку Дополнительно,  и наконец нажать кнопку Загрузка и восстановление.

Малых дампов памяти должно быть достаточно для наших целей.

Обратите внимание на путь к папке, куда они будут сохраняться при возникновении критической ошибки.

Теперь вы можете запаковать файл в архив, прикрепить его к сообщению в форуме Устранение критических ошибок Windows и подождать, пока вам кто-то сообщит название проблемного драйвера 🙂 Но вы можете сделать это самостоятельно, не прилагая больших усилий.

Шаг 2 — анализ дампов с помощью утилиты mindumper

Рассказ об утилите вы найдете в этой статье.

Шаг 3 — анализ дампа памяти

Теперь все сводится к выполнению одной команды. Откройте командную строку и перейдите в папку, в которую вы распаковали kdfe.cmd. Запустите файл, указав в качестве параметра путь к файлу дампа памяти (в примере ниже файл называется Mini1110307-01.dmp)

kdfe.cmd "%systemroot%MinidumpMini1110307-01.dmp"

Через минуту вы увидите результат.

Драйвер, послуживший причиной ошибки, определен!

Шаг 2 — загрузка и установка диагностических средств

Это не так страшно, как можно подумать 🙂