Ntfs.sys и ntoskrnl.exe выбивают синий экран

@Tolikdude · Регистрация: 08.11.2018

Author24 — интернет-сервис помощи студентам

Доброго времени суток. С толкнулся с такой проблемой, которую в одиночку не могу решить, проблема заключается в синих экранов. Появляются они частенько, но иногда бывают и бесперебойные серии. Очень долго возился сам с этой проблемой, даже относил в тех.центр у себя в городе, но как оказалось без результатов(уж больно плохой специалист там сидит).
Чистил на вирусы, переставлял драйвера, оптимизировал диски, тестировал чужие детали(Озу друга) проблема не пропала, так же отдавал на тест на другой пк свою видеокарту(все в порядке). Так же пробовал заново переустанавливать виндовс, все тщетно. Еще была в распоряжении совсем новая материнская плата(gigabyte z270-gaming k3) и все те же проблемы. Убрал видеокарту сбои прекратились, но все таки выскочил один синяк с теми же дампами.
Процессор: core i5-6500 3.2GHz/8GT/s/6MB s1151
Материнская плата: msi night-elf b150 s1151
Память: ddr4 kingston fury 2133
HDD: hitachi HDT725032VLA360
SSD: samsung 850 evo 250gb
Видеокарта: msi armor geforce 1060(3gb)
Звук: realtek high definition audio driver
Блок питания: aerocool 700w
Монитор: philips 192EL
ОС: Windows 10 Pro 64 разрядная система

@Tolikdude · 16.11.2018, 20:47 **[ТС]**

Ntfs.sys и ntoskrnl.exe выбивают синий экран

@Turok123 · 16.11.2018, 21:07

Tolikdude, пришлите файл C:\Windows\MEMORY.dmp через любой файлообменник не требующий ввода капчи. Например: http://rgho.st/ или https://dropmefiles.com/

@Tolikdude · 16.11.2018, 21:49 **[ТС]**

[удалено \ нерабочая ссылка]

@Turok123 · 17.11.2018, 00:54

Tolikdude, тут уже дампы из дампа прям в лицо кричат,что есть проблемы с дисковой подсистемой.
По порядку. Сам BSOD с кодом KMODE_EXCEPTION_NOT_HANDLED означает,что программа режима ядра сгенерировала исключение (ошибку),которую системный обработчик ошибок не смог решить.

этой программой значится в дампе процесс WinSAT.exe - утилита оценки производительности Windows включённая в состав Windows по умолчанию.
Само исключение

EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%08lx referenced memory at 0x%08lx. The memory could not be %s.

Функция где было вызвано исключение (сгенерирована ошибка) и инструкция,которая в ней выполнялась

0: kd> .trap ffffb70c`5cb87a10
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=ffffa3803f2be1f0 rbx=0000000000000000 rcx=ffffa3803f2be108
rdx=ffffba83456259e0 rsi=0000000000000000 rdi=0000000000000000
rip=fffff80bc1f1b03d rsp=ffffb70c5cb87ba8 rbp=0000000000000000
r8=0000000000000000 r9=7fffa3803f41f2e8 r10=ffffa3803f41f380
r11=ffffa3803c168c30 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0 nv up ei pl nz ac po nc
Ntfs!NtfsFindRollbackStructByType+0x1d:
fffff80b`c1f1b03d 443940f8 cmp dword ptr [rax-8],r8d ffffa380`3f2be1e8=00680727
Инструкция сравнивает данные заключённые в регистрах rax и r8d между собой.

Сама функция является незадокументированной функцией драйвера Ntfs.sys. Я без понятия,что она делает

0: kd> !pte @rax
VA ffffa3803f2be1f0
PXE at FFFFB95CAE572A38 PPE at FFFFB95CAE547000 PDE at FFFFB95CA8E00FC8 PTE at FFFFB951C01F95F0
contains 0A00000003FC4863 contains 0A00000003FC5863 contains 8A000001326008E3 contains 0000000000000000
pfn 3fc4 ---DA--KWEV pfn 3fc5 ---DA--KWEV pfn 132600 --LDA--KW-V LARGE PAGE pfn 13263e
Данные в регистре rax действительны/не повреждены.

0: kd> !pte r8
VA 0000000000000000
PXE at FFFFB95CAE572000 PPE at FFFFB95CAE400000 PDE at FFFFB95C80000000 PTE at FFFFB90000000000
Unable to get PPE FFFFB95CAE400000
0: kd> !pte r8d
VA 0000000000000000
PXE at FFFFB95CAE572000 PPE at FFFFB95CAE400000 PDE at FFFFB95C80000000 PTE at FFFFB90000000000
Unable to get PPE FFFFB95CAE400000
Неисправность данных во 2-м регистре не удалось проверить,т.к. необходимая для этого информация в дампе отсутствует.
Но как видно команда сравнения cmp успешно отработала и вернула системе результат.

Что делалось в системе до момента возникновение ошибки ? Какие функции выполнялись ?

# Child-SP RetAddr Call Site
00 ffffb70c`5cb87ba8 fffff80b`c1f1aebe Ntfs!NtfsFindRollbackStructByType+0x1d
01 ffffb70c`5cb87bb0 fffff80b`c1f2c948 Ntfs!NtfsFreeSnapshotsForFcb+0x2e
02 ffffb70c`5cb87bf0 fffff80b`c1f1aa81 Ntfs!NtfsReleaseFcbEx+0x54
03 ffffb70c`5cb87c20 fffff80b`c1f1a730 Ntfs!NtfsCleanupIrpContext+0x201
04 ffffb70c`5cb87c80 fffff80b`c2003178 Ntfs!NtfsExtendedCompleteRequestInternal+0x140
05 ffffb70c`5cb87cf0 fffff80b`c1ffe26d Ntfs!NtfsCommonCreate+0x3428
06 ffffb70c`5cb87f50 fffff802`7a1b4b87 Ntfs!NtfsCommonCreateCallout+0x1d
07 ffffb70c`5cb87f80 fffff802`7a1b4b4d nt!KxSwitchKernelStackCallout+0x27
08 ffffb70c`5955ede0 fffff802`7a06875a nt!KiSwitchKernelStackContinue
09 ffffb70c`5955ee00 fffff802`7a06859e nt!KiExpandKernelStackAndCalloutOnStackSegment+0x12a
0a ffffb70c`5955ee80 fffff802`7a068455 nt!KiExpandKernelStackAndCalloutSwitchStack+0x9e
0b ffffb70c`5955eef0 fffff802`7a06840d nt!KeExpandKernelStackAndCalloutInternal+0x35
0c ffffb70c`5955ef50 fffff80b`c1ffe4ef nt!KeExpandKernelStackAndCalloutEx+0x1d
0d ffffb70c`5955ef90 fffff802`7a042ef9 Ntfs!NtfsFsdCreate+0x23f
0e ffffb70c`5955f1d0 fffff80b`c14d7207 nt!IofCallDriver+0x59
0f ffffb70c`5955f210 fffff80b`c150bbcd FLTMGR!FltpLegacyProcessingAfterPreCallbacksCompleted+0x157
10 ffffb70c`5955f280 fffff802`7a042ef9 FLTMGR!FltpCreate+0x2dd
11 ffffb70c`5955f330 fffff802`7a5921f3 nt!IofCallDriver+0x59
12 ffffb70c`5955f370 fffff802`7a4e6a1b nt!IopParseDevice+0x773
13 ffffb70c`5955f540 fffff802`7a59032f nt!ObpLookupObjectName+0x73b
14 ffffb70c`5955f720 fffff802`7a58c695 nt!ObOpenObjectByNameEx+0x1df
15 ffffb70c`5955f860 fffff802`7a58bdf9 nt!IopCreateFile+0x3f5
16 ffffb70c`5955f900 fffff802`7a1c1d43 nt!NtCreateFile+0x79
17 ffffb70c`5955f990 00007ffb`bbd0a9a4 nt!KiSystemServiceCopyEnd+0x13
18 00000022`5dcff598 00000000`00000000 0x00007ffb`bbd0a9a4

Видно что в контексте работы процесса WinSAT.exe ядром системы и драйвером файловой системы вызывались функции для создания некого файла.

Чисто для интереса,что это за файл был

File Details: ffffa3803f3fcef0

Name Device Driver Vpb Flags Byte Offset FsContext FsContext2 Owning Process
======================================================== ================ ============== ================ ===== =========== ====================== ====================== ==============
\Windows\Temp\TempWinSAT-Disk-2018-11-16-11-57-45-18.tmp ffffa3803b800880 \Driver\volmgr ffffa3803adff9a0 42 0 ffffba834b767160(Ntff) ffffba834b7673c0(Ntff)

ага. Этот файл свидетельствует о том,что в момент падения системы утилита оценки производительности Windows проводило тестирование производительности SSD,а в самом этом файле содержаться промежуточные результаты теста. Его то и пыталась создать система.

Добавлено через 4 минуты
Что ж. Или у вас проблемы с файловой системой (т.к. предыдущие минидампы также указывали на неудавшуюся попытку ядра системы с драйверов файловой системы создать некий файл),или какой-нибудь сторонний драйвер мешает работе драйвера NTFS. Антивирус (если он есть) первый в списке подозреваемых,но это надо проверить.

Проведите проверку драйверов по следующей схеме - см. https://www.cyberforum.ru/post12873959.html

P.s. Настоятельно рекомендую перед запуском проверки драйверов создать точку восстановления системы. Как создать новую контрольную точку восстановления и очистить предыдущие. Очищать предыдущие точки необязательно.

Добавлено через 49 минут
При проверке драйверов,если выпадет BSOD,присылайте как обычно минидампы.

@Tolikdude · 20.11.2018, 22:11 **[ТС]**

Вот дорвался до пк и решил проделать весь последний пункт, что вы указали. Подписанных драйверов не оказалось, так что выбирал в ручную все кроме microsoft-овских. И вот синих экранов не было, но происходят странные перезагрузки на пустом месте

@Turok123 · 20.11.2018, 22:50

Сообщение от Tolikdude

происходят странные перезагрузки на пустом месте

В командной строке, запущенной от имени администратора, выполните команду

Код

wmic recoveros set AutoReboot = false

@Tolikdude · 22.11.2018, 01:11 **[ТС]**

112118-7640-01.rar
112118-7906-01.rar
за 24 часа выскочило 2 синих, один раз просто завис(перезагрузил через кнопку) и странные перезагрузки на пустом месте, к тем прибавился еще 1 такая перезагрузка, после каждого синего делал все по инструкции, выключал все кроме microsoft-овских

@Turok123 · 24.11.2018, 03:43

Сообщение от Tolikdude

112118-7640-01.rar

Снова BSOD - KMODE_EXCEPTION_NOT_HANDLED.
Программой значится

PROCESS_NAME: NVDisplay.Container.exe

Тут вроде понятно,за что этот файл отвечает NVIDIA Display Container LS.
Исключение

EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%08lx referenced memory at 0x%08lx. The memory could not be %s.

Функция где было вызвано исключение (сгенерирована ошибка),инструкция,которая в ней выполнялась и какие функции выполнялись до момента ошибки

0: kd> .trap fffffd029b027a10;knL
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=0000000000010200 rbx=0000000000000000 rcx=0000000000000868
rdx=ffffc4825190b570 rsi=0000000000000000 rdi=0000000000000000
rip=fffff80d05ebb05a rsp=fffffd029b027ba8 rbp=0000000000000000
r8=0000000000000000 r9=0000000000000000 r10=0000000000000001
r11=ffffc4825190b7b8 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0 nv up ei pl nz na pe nc
Ntfs!NtfsFindRollbackStructByType+0x3a:
fffff80d`05ebb05a cc int 3
*** Stack trace for last set context - .thread/.cxr resets it
# Child-SP RetAddr Call Site
00 fffffd02`9b027ba8 fffff80d`05ebaebe Ntfs!NtfsFindRollbackStructByType+0x3a
01 fffffd02`9b027bb0 fffff80d`05ecc948 Ntfs!NtfsFreeSnapshotsForFcb+0x2e
02 fffffd02`9b027bf0 fffff80d`05ebaa81 Ntfs!NtfsReleaseFcbEx+0x54
03 fffffd02`9b027c20 fffff80d`05eba730 Ntfs!NtfsCleanupIrpContext+0x201
04 fffffd02`9b027c80 fffff80d`05fa3178 Ntfs!NtfsExtendedCompleteRequestInternal+0x140
05 fffffd02`9b027cf0 fffff80d`05f9e26d Ntfs!NtfsCommonCreate+0x3428
06 fffffd02`9b027f50 fffff800`30a3eb87 Ntfs!NtfsCommonCreateCallout+0x1d
07 fffffd02`9b027f80 fffff800`30a3eb4d nt!KxSwitchKernelStackCallout+0x27
08 fffffd02`9b01ece0 fffff800`308f275a nt!KiSwitchKernelStackContinue
09 fffffd02`9b01ed00 fffff800`308f259e nt!KiExpandKernelStackAndCalloutOnStackSegment+0x12a
0a fffffd02`9b01ed80 fffff800`308f2455 nt!KiExpandKernelStackAndCalloutSwitchStack+0x9e
0b fffffd02`9b01edf0 fffff800`308f240d nt!KeExpandKernelStackAndCalloutInternal+0x35
0c fffffd02`9b01ee50 fffff80d`05f9e4ef nt!KeExpandKernelStackAndCalloutEx+0x1d
0d fffffd02`9b01ee90 fffff800`309f903a Ntfs!NtfsFsdCreate+0x23f
0e fffffd02`9b01f0d0 fffff800`310a4d29 nt!IopfCallDriver+0x56
0f fffffd02`9b01f110 fffff800`30a66423 nt!IovCallDriver+0x275
10 fffffd02`9b01f150 fffff80d`05187207 nt!IofCallDriver+0x199583
11 fffffd02`9b01f190 00000000`00000000 FLTMGR!FltpLegacyProcessingAfterPreCallbacksCompleted+0x157

В функции,где произошёл сбой, выполнялась инструкция прерывания с целю создания программного прерывания для установки точки останова. Дальнейший анализ невозможен из-за скудности данных в минидампе.

До функции с ошибкой выполнялись операции по созданию файла.

Кликните здесь для просмотра всего текста

0: kd> !mirp ffffe287cf175010

Irp Details: ffffe287cf175010 [ verbose | !ddt | !irp ]

Thread Frame Count
========================================= ===========
ffffe287d0cad700(NVDisplay.Container.exe) 13

Irp Stack Frame(s)

# Driver Major Minor Dispatch Routine Flg Ctrl Status Completion Invoker(s) Device File Context Completion Routine Args
==== ====== ====== ===== ================== === ==== ====== ====================== ================ ================ ================== ========================================== ===================================================================
->12 (null) CREATE 0 Ntfs!NtfsFsdCreate 0 e0 None Cancel, Success, Error ffffe287cf9ad030 ffffe287cf36b770 ffffe287d2ec5bf0() FLTMGR!FltpSynchronizedOperationCompletion fffffd029b01f4c8 0000000003000060 0000000000030080 0000000000000000
13 (null) CREATE 0 FLTMGR!FltpCreate 0 0 None ffffe287cf894df0 ffffe287cf36b770 fffffd029b01f4c8 0000000003000060 0000000000030080 0000000000000000

File Details: ffffe287cf36b770

Name Device Driver Vpb Flags Byte Offset FsContext FsContext2 Owning Process
========================================================= ================ ====== ================ ===== =========== ================ ================ ==============
\ProgramData\NVIDIA Corporation\nvstapisvr\nvstapisvr.log ffffe287cf879880 (null) ffffe287cf877910 42 0 ffffc4825190b6c0 ffffc48250e2a240

Кстати вызова стороннего драйвера так и вызова процедур средства проверки драйверов не было. Значит ничто постороннее не влияло на процесс создания файла.

Добавлено через 29 минут
Второй дамп. Тут уже полноценный сбой драйвера - nvlddmkm.sys (nVidia Video drivers) после операции проверки уровня IRQL средством проверки драйверов.
Дело или в видеокарте, или в драйвере видеокарты. Данные этого BSOD'а в совокупности с другими BSOD'ами склоняют больше к драйверу видеокарты. Попробуйте установить версию драйвера чуть старее,чем у вас сейчас.

См схему переустановки драйвера - https://www.cyberforum.ru/post13042514.html

Добавлено через 47 секунд
Установите на этот раз версию - https://www.nvidia.ru/download... /127741/ru

@Tolikdude · 24.11.2018, 13:18 **[ТС]**

За вчерашний день не было синих экранов, но появилась новая напасть, просто зависает пк, перезагружаю кнопкой, это может быть как-то связано?

@Turok123 · 25.11.2018, 04:19

в теории.

@Tolikdude · 06.12.2018, 18:29 **[ТС]**

Спустя около недели эксплуатации после переустановки драйвер, пк начал себя странно вести, заметные подвисание в браузере, в играх. Так же иногда но реже появлялись синие экраны, приложу их примеры. Так на замену синим экранам пришли просто завесания пк на ровном месте. Но иногда бывали, я их называю "чистые сессии", когда не сбоев, не подвисания, от начала и до конца как часы работает.
120518-7484-01.rar
120618-8015-01.rar

@ibarg · 06.12.2018, 19:04

Tolikdude, Версию BIOS обновите до 7979v1D. Сейчас BIOS_VERSION: 1.30 BIOS_DATE: 12/17/2015.
Попробуйте установить драйверы Chipset и Intel Management Engine с сайта поддержки МП.

@Turok123 · 09.12.2018, 04:14

Сообщение от Tolikdude

120518-7484-01.rar

Необычный BSOD.
В дампе код синего экрана PAGE_FAULT_IN_NONPAGED_AREA. Это значит,что что-то ссылалось на недействительную память.
В аргументе 4 указан адрес инструкции,которая сослалась на недействительную системную память.

Кликните здесь для просмотра всего текста

Arg3: fffff801e10f5e5e, If non-zero, the instruction address which referenced the bad memory address.
адрес совпадает с адресом инструкции указанной в trap frame
0: kd> .trap 0xffffdf8f0b18f5d0;knL
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=0000000000000000 rbx=0000000000000000 rcx=ffffa80e81a71600
rdx=0000000000000000 rsi=0000000000000000 rdi=0000000000000000
rip=fffff801e10f5e5e rsp=ffffdf8f0b18f760 rbp=0000000000000001
r8=0000000000000000 r9=0000000000000001 r10=fffff801df784910
r11=fffff801e1074740 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0 nv up ei ng nz na po nc
nt!ObpFreeObject+0xe:
fffff801`e10f5e5e 0fb6411a movzx eax,byte ptr [rcx+1Ah] ds:ffffa80e`81a7161a=4d
*** Stack trace for last set context - .thread/.cxr resets it
# Child-SP RetAddr Call Site
00 ffffdf8f`0b18f760 fffff801`e10f5df8 nt!ObpFreeObject+0xe
01 ffffdf8f`0b18f7c0 fffff801`e0c452b6 nt!ObpRemoveObjectRoutine+0x88
02 ffffdf8f`0b18f820 fffff801`e10eb7c9 nt!ObfDereferenceObjectWithTag+0xc6
03 ffffdf8f`0b18f860 fffff801`e10f310d nt!ObCloseHandleTableEntry+0x259
04 ffffdf8f`0b18f9a0 fffff801`e0dc7d43 nt!NtClose+0xcd
05 ffffdf8f`0b18fa00 00007fff`c629a0e4 nt!KiSystemServiceCopyEnd+0x13
06 00000066`cd67ba68 00000000`00000000 0x00007fff`c629a0e4

В функции nt!ObpFreeObject выполнялась инструкция перемещение с нулевым расширением содержимого регистра eax в регистр rcx. И как видно инструкция завершилась удачно. Что ж,это нам ничего не даёт.
Примечателен процесс,в котором выполнялся поток с "ошибкой".

PROCESS_NAME: amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.17134.400_none_eb2ff40c1d414

Вообще-то это название папки в директории C:\Windows\WinSxS.
На самом деле процессом является файл

+0x450 ImageFileName : [15] "TiWorker.exe"

находящийся в этой папке. Этот файл отвечает за работу Установщика модулей Windows, а это даёт доп. информацию о том ,куда смотреть чтобы понять причину падения системы.

Добавлено через 44 минуты
Пришлите файл C:\Windows\Logs\CBS\CBS.log в архиве.

@Tolikdude · 09.12.2018, 04:16 **[ТС]**

CBS.rar

@Turok123 · 09.12.2018, 04:41

записи в логе начинаются с 6-го числа 01:27. посмотрите какой-нибудь архив CbsPersist_*.cab (* - набор чисел) с датой изменения 05.12.2018. Или просто пришлите мне всех эти архивы.

@Tolikdude · 09.12.2018, 04:42 **[ТС]**

CbsPersist_20181205232733.rar

@Turok123 · 09.12.2018, 18:05

Tolikdude, к сожалению, лог ничего не прояснил.
Запустите командную строку и поочерёдно выполните следующие команды:

Код

Dism /Online /Cleanup-Image /RestoreHealth
sfc /scannow

Первая команда требует интернет соединения.

после завершения работы команд снова пришлите файл

Сообщение от Turok123

C:\Windows\Logs\CBS\CBS.log в архиве.

@Tolikdude · 09.12.2018, 18:34 **[ТС]**

CBS[1].rar

@Turok123 · 09.12.2018, 18:43

Tolikdude, Удалите обновление KB4465663 и посмотрите на поведение системы. будут новые BSOD'ы,пришлите их дампы.

@Tolikdude · 09.12.2018, 18:54 **[ТС]**

Не получается удалить, через панель управления нету кнопки удалить, а через командую строку не разрешает, пишет что обновление является обязательным компонентом и удаление не возможно

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
		1
	Ntfs.sys и ntoskrnl.exe выбивают синий экран 08.11.2018, 00:51. Показов 26987. Ответов 67 Метки bsod синяк (Все метки) Доброго времени суток. С толкнулся с такой проблемой, которую в одиночку не могу решить, проблема заключается в синих экранов. Появляются они частенько, но иногда бывают и бесперебойные серии. Очень долго возился сам с этой проблемой, даже относил в тех.центр у себя в городе, но как оказалось без результатов(уж больно плохой специалист там сидит). Чистил на вирусы, переставлял драйвера, оптимизировал диски, тестировал чужие детали(Озу друга) проблема не пропала, так же отдавал на тест на другой пк свою видеокарту(все в порядке). Так же пробовал заново переустанавливать виндовс, все тщетно. Еще была в распоряжении совсем новая материнская плата(gigabyte z270-gaming k3) и все те же проблемы. Убрал видеокарту сбои прекратились, но все таки выскочил один синяк с теми же дампами. Процессор: core i5-6500 3.2GHz/8GT/s/6MB s1151 Материнская плата: msi night-elf b150 s1151 Память: ddr4 kingston fury 2133 HDD: hitachi HDT725032VLA360 SSD: samsung 850 evo 250gb Видеокарта: msi armor geforce 1060(3gb) Звук: realtek high definition audio driver Блок питания: aerocool 700w Монитор: philips 192EL ОС: Windows 10 Pro 64 разрядная система 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	16.11.2018, 20:47 [ТС]	21
	0

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	16.11.2018, 21:07	22
	Tolikdude, пришлите файл C:\Windows\MEMORY.dmp через любой файлообменник не требующий ввода капчи. Например: http://rgho.st/ или https://dropmefiles.com/ 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	16.11.2018, 21:49 [ТС]	23
	[удалено \ нерабочая ссылка] 0

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	17.11.2018, 00:54	24
	Tolikdude, тут уже дампы из дампа прям в лицо кричат,что есть проблемы с дисковой подсистемой. По порядку. Сам BSOD с кодом KMODE_EXCEPTION_NOT_HANDLED означает,что программа режима ядра сгенерировала исключение (ошибку),которую системный обработчик ошибок не смог решить. этой программой значится в дампе процесс WinSAT.exe - утилита оценки производительности Windows включённая в состав Windows по умолчанию. Само исключение EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%08lx referenced memory at 0x%08lx. The memory could not be %s. Функция где было вызвано исключение (сгенерирована ошибка) и инструкция,которая в ней выполнялась 0: kd> .trap ffffb70c`5cb87a10 NOTE: The trap frame does not contain all registers. Some register values may be zeroed or incorrect. rax=ffffa3803f2be1f0 rbx=0000000000000000 rcx=ffffa3803f2be108 rdx=ffffba83456259e0 rsi=0000000000000000 rdi=0000000000000000 rip=fffff80bc1f1b03d rsp=ffffb70c5cb87ba8 rbp=0000000000000000 r8=0000000000000000 r9=7fffa3803f41f2e8 r10=ffffa3803f41f380 r11=ffffa3803c168c30 r12=0000000000000000 r13=0000000000000000 r14=0000000000000000 r15=0000000000000000 iopl=0 nv up ei pl nz ac po nc Ntfs!NtfsFindRollbackStructByType+0x1d: fffff80b`c1f1b03d 443940f8 cmp dword ptr [rax-8],r8d ffffa380`3f2be1e8=00680727 Инструкция сравнивает данные заключённые в регистрах rax и r8d между собой. Сама функция является незадокументированной функцией драйвера Ntfs.sys. Я без понятия,что она делает 0: kd> !pte @rax VA ffffa3803f2be1f0 PXE at FFFFB95CAE572A38 PPE at FFFFB95CAE547000 PDE at FFFFB95CA8E00FC8 PTE at FFFFB951C01F95F0 contains 0A00000003FC4863 contains 0A00000003FC5863 contains 8A000001326008E3 contains 0000000000000000 pfn 3fc4 ---DA--KWEV pfn 3fc5 ---DA--KWEV pfn 132600 --LDA--KW-V LARGE PAGE pfn 13263e Данные в регистре rax действительны/не повреждены. 0: kd> !pte r8 VA 0000000000000000 PXE at FFFFB95CAE572000 PPE at FFFFB95CAE400000 PDE at FFFFB95C80000000 PTE at FFFFB90000000000 Unable to get PPE FFFFB95CAE400000 0: kd> !pte r8d VA 0000000000000000 PXE at FFFFB95CAE572000 PPE at FFFFB95CAE400000 PDE at FFFFB95C80000000 PTE at FFFFB90000000000 Unable to get PPE FFFFB95CAE400000 Неисправность данных во 2-м регистре не удалось проверить,т.к. необходимая для этого информация в дампе отсутствует. Но как видно команда сравнения cmp успешно отработала и вернула системе результат. Что делалось в системе до момента возникновение ошибки ? Какие функции выполнялись ? # Child-SP RetAddr Call Site 00 ffffb70c`5cb87ba8 fffff80b`c1f1aebe Ntfs!NtfsFindRollbackStructByType+0x1d 01 ffffb70c`5cb87bb0 fffff80b`c1f2c948 Ntfs!NtfsFreeSnapshotsForFcb+0x2e 02 ffffb70c`5cb87bf0 fffff80b`c1f1aa81 Ntfs!NtfsReleaseFcbEx+0x54 03 ffffb70c`5cb87c20 fffff80b`c1f1a730 Ntfs!NtfsCleanupIrpContext+0x201 04 ffffb70c`5cb87c80 fffff80b`c2003178 Ntfs!NtfsExtendedCompleteRequestInternal+0x140 05 ffffb70c`5cb87cf0 fffff80b`c1ffe26d Ntfs!NtfsCommonCreate+0x3428 06 ffffb70c`5cb87f50 fffff802`7a1b4b87 Ntfs!NtfsCommonCreateCallout+0x1d 07 ffffb70c`5cb87f80 fffff802`7a1b4b4d nt!KxSwitchKernelStackCallout+0x27 08 ffffb70c`5955ede0 fffff802`7a06875a nt!KiSwitchKernelStackContinue 09 ffffb70c`5955ee00 fffff802`7a06859e nt!KiExpandKernelStackAndCalloutOnStackSegment+0x12a 0a ffffb70c`5955ee80 fffff802`7a068455 nt!KiExpandKernelStackAndCalloutSwitchStack+0x9e 0b ffffb70c`5955eef0 fffff802`7a06840d nt!KeExpandKernelStackAndCalloutInternal+0x35 0c ffffb70c`5955ef50 fffff80b`c1ffe4ef nt!KeExpandKernelStackAndCalloutEx+0x1d 0d ffffb70c`5955ef90 fffff802`7a042ef9 Ntfs!NtfsFsdCreate+0x23f 0e ffffb70c`5955f1d0 fffff80b`c14d7207 nt!IofCallDriver+0x59 0f ffffb70c`5955f210 fffff80b`c150bbcd FLTMGR!FltpLegacyProcessingAfterPreCallbacksCompleted+0x157 10 ffffb70c`5955f280 fffff802`7a042ef9 FLTMGR!FltpCreate+0x2dd 11 ffffb70c`5955f330 fffff802`7a5921f3 nt!IofCallDriver+0x59 12 ffffb70c`5955f370 fffff802`7a4e6a1b nt!IopParseDevice+0x773 13 ffffb70c`5955f540 fffff802`7a59032f nt!ObpLookupObjectName+0x73b 14 ffffb70c`5955f720 fffff802`7a58c695 nt!ObOpenObjectByNameEx+0x1df 15 ffffb70c`5955f860 fffff802`7a58bdf9 nt!IopCreateFile+0x3f5 16 ffffb70c`5955f900 fffff802`7a1c1d43 nt!NtCreateFile+0x79 17 ffffb70c`5955f990 00007ffb`bbd0a9a4 nt!KiSystemServiceCopyEnd+0x13 18 00000022`5dcff598 00000000`00000000 0x00007ffb`bbd0a9a4 Видно что в контексте работы процесса WinSAT.exe ядром системы и драйвером файловой системы вызывались функции для создания некого файла. Чисто для интереса,что это за файл был File Details: ffffa3803f3fcef0 Name Device Driver Vpb Flags Byte Offset FsContext FsContext2 Owning Process ======================================================== ================ ============== ================ ===== =========== ====================== ====================== ============== \Windows\Temp\TempWinSAT-Disk-2018-11-16-11-57-45-18.tmp ffffa3803b800880 \Driver\volmgr ffffa3803adff9a0 42 0 ffffba834b767160(Ntff) ffffba834b7673c0(Ntff) ага. Этот файл свидетельствует о том,что в момент падения системы утилита оценки производительности Windows проводило тестирование производительности SSD,а в самом этом файле содержаться промежуточные результаты теста. Его то и пыталась создать система. Добавлено через 4 минуты Что ж. Или у вас проблемы с файловой системой (т.к. предыдущие минидампы также указывали на неудавшуюся попытку ядра системы с драйверов файловой системы создать некий файл),или какой-нибудь сторонний драйвер мешает работе драйвера NTFS. Антивирус (если он есть) первый в списке подозреваемых,но это надо проверить. Проведите проверку драйверов по следующей схеме - см. https://www.cyberforum.ru/post12873959.html P.s. Настоятельно рекомендую перед запуском проверки драйверов создать точку восстановления системы. Как создать новую контрольную точку восстановления и очистить предыдущие. Очищать предыдущие точки необязательно. Добавлено через 49 минут При проверке драйверов,если выпадет BSOD,присылайте как обычно минидампы. 1

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	20.11.2018, 22:11 [ТС]	25
	Вот дорвался до пк и решил проделать весь последний пункт, что вы указали. Подписанных драйверов не оказалось, так что выбирал в ручную все кроме microsoft-овских. И вот синих экранов не было, но происходят странные перезагрузки на пустом месте 0

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	20.11.2018, 22:50	26
	Сообщение от Tolikdude происходят странные перезагрузки на пустом месте В командной строке, запущенной от имени администратора, выполните команду Код wmic recoveros set AutoReboot = false 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	22.11.2018, 01:11 [ТС]	27
	112118-7640-01.rar 112118-7906-01.rar за 24 часа выскочило 2 синих, один раз просто завис(перезагрузил через кнопку) и странные перезагрузки на пустом месте, к тем прибавился еще 1 такая перезагрузка, после каждого синего делал все по инструкции, выключал все кроме microsoft-овских 0

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	24.11.2018, 03:43	28
	Сообщение от Tolikdude 112118-7640-01.rar Снова BSOD - KMODE_EXCEPTION_NOT_HANDLED. Программой значится PROCESS_NAME: NVDisplay.Container.exe Тут вроде понятно,за что этот файл отвечает NVIDIA Display Container LS. Исключение EXCEPTION_CODE: (NTSTATUS) 0xc0000005 - The instruction at 0x%08lx referenced memory at 0x%08lx. The memory could not be %s. Функция где было вызвано исключение (сгенерирована ошибка),инструкция,которая в ней выполнялась и какие функции выполнялись до момента ошибки 0: kd> .trap fffffd029b027a10;knL NOTE: The trap frame does not contain all registers. Some register values may be zeroed or incorrect. rax=0000000000010200 rbx=0000000000000000 rcx=0000000000000868 rdx=ffffc4825190b570 rsi=0000000000000000 rdi=0000000000000000 rip=fffff80d05ebb05a rsp=fffffd029b027ba8 rbp=0000000000000000 r8=0000000000000000 r9=0000000000000000 r10=0000000000000001 r11=ffffc4825190b7b8 r12=0000000000000000 r13=0000000000000000 r14=0000000000000000 r15=0000000000000000 iopl=0 nv up ei pl nz na pe nc Ntfs!NtfsFindRollbackStructByType+0x3a: fffff80d`05ebb05a cc int 3 *** Stack trace for last set context - .thread/.cxr resets it # Child-SP RetAddr Call Site 00 fffffd02`9b027ba8 fffff80d`05ebaebe Ntfs!NtfsFindRollbackStructByType+0x3a 01 fffffd02`9b027bb0 fffff80d`05ecc948 Ntfs!NtfsFreeSnapshotsForFcb+0x2e 02 fffffd02`9b027bf0 fffff80d`05ebaa81 Ntfs!NtfsReleaseFcbEx+0x54 03 fffffd02`9b027c20 fffff80d`05eba730 Ntfs!NtfsCleanupIrpContext+0x201 04 fffffd02`9b027c80 fffff80d`05fa3178 Ntfs!NtfsExtendedCompleteRequestInternal+0x140 05 fffffd02`9b027cf0 fffff80d`05f9e26d Ntfs!NtfsCommonCreate+0x3428 06 fffffd02`9b027f50 fffff800`30a3eb87 Ntfs!NtfsCommonCreateCallout+0x1d 07 fffffd02`9b027f80 fffff800`30a3eb4d nt!KxSwitchKernelStackCallout+0x27 08 fffffd02`9b01ece0 fffff800`308f275a nt!KiSwitchKernelStackContinue 09 fffffd02`9b01ed00 fffff800`308f259e nt!KiExpandKernelStackAndCalloutOnStackSegment+0x12a 0a fffffd02`9b01ed80 fffff800`308f2455 nt!KiExpandKernelStackAndCalloutSwitchStack+0x9e 0b fffffd02`9b01edf0 fffff800`308f240d nt!KeExpandKernelStackAndCalloutInternal+0x35 0c fffffd02`9b01ee50 fffff80d`05f9e4ef nt!KeExpandKernelStackAndCalloutEx+0x1d 0d fffffd02`9b01ee90 fffff800`309f903a Ntfs!NtfsFsdCreate+0x23f 0e fffffd02`9b01f0d0 fffff800`310a4d29 nt!IopfCallDriver+0x56 0f fffffd02`9b01f110 fffff800`30a66423 nt!IovCallDriver+0x275 10 fffffd02`9b01f150 fffff80d`05187207 nt!IofCallDriver+0x199583 11 fffffd02`9b01f190 00000000`00000000 FLTMGR!FltpLegacyProcessingAfterPreCallbacksCompleted+0x157 В функции,где произошёл сбой, выполнялась инструкция прерывания с целю создания программного прерывания для установки точки останова. Дальнейший анализ невозможен из-за скудности данных в минидампе. До функции с ошибкой выполнялись операции по созданию файла. Кликните здесь для просмотра всего текста 0: kd> !mirp ffffe287cf175010 Irp Details: ffffe287cf175010 [ verbose \| !ddt \| !irp ] Thread Frame Count ========================================= =========== ffffe287d0cad700(NVDisplay.Container.exe) 13 Irp Stack Frame(s) # Driver Major Minor Dispatch Routine Flg Ctrl Status Completion Invoker(s) Device File Context Completion Routine Args ==== ====== ====== ===== ================== === ==== ====== ====================== ================ ================ ================== ========================================== =================================================================== ->12 (null) CREATE 0 Ntfs!NtfsFsdCreate 0 e0 None Cancel, Success, Error ffffe287cf9ad030 ffffe287cf36b770 ffffe287d2ec5bf0() FLTMGR!FltpSynchronizedOperationCompletion fffffd029b01f4c8 0000000003000060 0000000000030080 0000000000000000 13 (null) CREATE 0 FLTMGR!FltpCreate 0 0 None ffffe287cf894df0 ffffe287cf36b770 fffffd029b01f4c8 0000000003000060 0000000000030080 0000000000000000 File Details: ffffe287cf36b770 Name Device Driver Vpb Flags Byte Offset FsContext FsContext2 Owning Process ========================================================= ================ ====== ================ ===== =========== ================ ================ ============== \ProgramData\NVIDIA Corporation\nvstapisvr\nvstapisvr.log ffffe287cf879880 (null) ffffe287cf877910 42 0 ffffc4825190b6c0 ffffc48250e2a240 Кстати вызова стороннего драйвера так и вызова процедур средства проверки драйверов не было. Значит ничто постороннее не влияло на процесс создания файла. Добавлено через 29 минут Второй дамп. Тут уже полноценный сбой драйвера - nvlddmkm.sys (nVidia Video drivers) после операции проверки уровня IRQL средством проверки драйверов. Дело или в видеокарте, или в драйвере видеокарты. Данные этого BSOD'а в совокупности с другими BSOD'ами склоняют больше к драйверу видеокарты. Попробуйте установить версию драйвера чуть старее,чем у вас сейчас. См схему переустановки драйвера - https://www.cyberforum.ru/post13042514.html Добавлено через 47 секунд Установите на этот раз версию - https://www.nvidia.ru/download... /127741/ru 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	24.11.2018, 13:18 [ТС]	29
	За вчерашний день не было синих экранов, но появилась новая напасть, просто зависает пк, перезагружаю кнопкой, это может быть как-то связано? 0

	09.12.2018, 18:54

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	25.11.2018, 04:19	30
	в теории. 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	06.12.2018, 18:29 [ТС]	31
	Спустя около недели эксплуатации после переустановки драйвер, пк начал себя странно вести, заметные подвисание в браузере, в играх. Так же иногда но реже появлялись синие экраны, приложу их примеры. Так на замену синим экранам пришли просто завесания пк на ровном месте. Но иногда бывали, я их называю "чистые сессии", когда не сбоев, не подвисания, от начала и до конца как часы работает. 120518-7484-01.rar 120618-8015-01.rar 0

@ibarg 7422 / 3080 / 599 Регистрация: 09.09.2017 Сообщений: 11,192
	06.12.2018, 19:04	32
	Tolikdude, Версию BIOS обновите до 7979v1D. Сейчас BIOS_VERSION: 1.30 BIOS_DATE: 12/17/2015. Попробуйте установить драйверы Chipset и Intel Management Engine с сайта поддержки МП. 1

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	09.12.2018, 04:14	33
	Сообщение от Tolikdude 120518-7484-01.rar Необычный BSOD. В дампе код синего экрана PAGE_FAULT_IN_NONPAGED_AREA. Это значит,что что-то ссылалось на недействительную память. В аргументе 4 указан адрес инструкции,которая сослалась на недействительную системную память. Кликните здесь для просмотра всего текста Arg3: fffff801e10f5e5e, If non-zero, the instruction address which referenced the bad memory address. адрес совпадает с адресом инструкции указанной в trap frame 0: kd> .trap 0xffffdf8f0b18f5d0;knL NOTE: The trap frame does not contain all registers. Some register values may be zeroed or incorrect. rax=0000000000000000 rbx=0000000000000000 rcx=ffffa80e81a71600 rdx=0000000000000000 rsi=0000000000000000 rdi=0000000000000000 rip=fffff801e10f5e5e rsp=ffffdf8f0b18f760 rbp=0000000000000001 r8=0000000000000000 r9=0000000000000001 r10=fffff801df784910 r11=fffff801e1074740 r12=0000000000000000 r13=0000000000000000 r14=0000000000000000 r15=0000000000000000 iopl=0 nv up ei ng nz na po nc nt!ObpFreeObject+0xe: fffff801`e10f5e5e 0fb6411a movzx eax,byte ptr [rcx+1Ah] ds:ffffa80e`81a7161a=4d *** Stack trace for last set context - .thread/.cxr resets it # Child-SP RetAddr Call Site 00 ffffdf8f`0b18f760 fffff801`e10f5df8 nt!ObpFreeObject+0xe 01 ffffdf8f`0b18f7c0 fffff801`e0c452b6 nt!ObpRemoveObjectRoutine+0x88 02 ffffdf8f`0b18f820 fffff801`e10eb7c9 nt!ObfDereferenceObjectWithTag+0xc6 03 ffffdf8f`0b18f860 fffff801`e10f310d nt!ObCloseHandleTableEntry+0x259 04 ffffdf8f`0b18f9a0 fffff801`e0dc7d43 nt!NtClose+0xcd 05 ffffdf8f`0b18fa00 00007fff`c629a0e4 nt!KiSystemServiceCopyEnd+0x13 06 00000066`cd67ba68 00000000`00000000 0x00007fff`c629a0e4 В функции nt!ObpFreeObject выполнялась инструкция перемещение с нулевым расширением содержимого регистра eax в регистр rcx. И как видно инструкция завершилась удачно. Что ж,это нам ничего не даёт. Примечателен процесс,в котором выполнялся поток с "ошибкой". PROCESS_NAME: amd64_microsoft-windows-servicingstack_31bf3856ad364e35_10.0.17134.400_none_eb2ff40c1d414 Вообще-то это название папки в директории C:\Windows\WinSxS. На самом деле процессом является файл +0x450 ImageFileName : [15] "TiWorker.exe" находящийся в этой папке. Этот файл отвечает за работу Установщика модулей Windows, а это даёт доп. информацию о том ,куда смотреть чтобы понять причину падения системы. Добавлено через 44 минуты Пришлите файл C:\Windows\Logs\CBS\CBS.log в архиве. 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	09.12.2018, 04:16 [ТС]	34
	CBS.rar 0

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	09.12.2018, 04:41	35
	записи в логе начинаются с 6-го числа 01:27. посмотрите какой-нибудь архив CbsPersist_.cab ( - набор чисел) с датой изменения 05.12.2018. Или просто пришлите мне всех эти архивы. 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	09.12.2018, 04:42 [ТС]	36
	CbsPersist_20181205232733.rar 0

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	09.12.2018, 18:05	37
	Tolikdude, к сожалению, лог ничего не прояснил. Запустите командную строку и поочерёдно выполните следующие команды: Код Dism /Online /Cleanup-Image /RestoreHealth sfc /scannow Первая команда требует интернет соединения. после завершения работы команд снова пришлите файл Сообщение от Turok123 C:\Windows\Logs\CBS\CBS.log в архиве. 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	09.12.2018, 18:34 [ТС]	38
	CBS[1].rar 0

@Turok123 4243 / 1742 / 248 Регистрация: 01.05.2013 Сообщений: 7,791
	09.12.2018, 18:43	39
	Tolikdude, Удалите обновление KB4465663 и посмотрите на поведение системы. будут новые BSOD'ы,пришлите их дампы. 0

@Tolikdude 1 / 1 / 0 Регистрация: 08.11.2018 Сообщений: 35
	09.12.2018, 18:54 [ТС]	40
	Не получается удалить, через панель управления нету кнопки удалить, а через командую строку не разрешает, пишет что обновление является обязательным компонентом и удаление не возможно 0