Что означает код BSOD 0xC000021A (WINLOGON_FATAL_ERROR)?

 
Также может означать:
КонстантаТипОС
STATUS_SYSTEM_PROCESS_TERMINATEDNTSTATUSWindows
Предыдущий Следующий
HARDWARE_PROFILE_UNKNOWN_STRING MANUALLY_INITIATED_CRASH1

WINLOGON_FATAL_ERROR

Фатальная ошибка Winlogon при WINLOGON_FATAL_ERROR

WINLOGON_FATAL_ERROR — это код проверки ошибки 0xC000021A. Microsoft относит его к немногим случаям, когда сбой подсистемы пользовательского режима способен остановить Windows, поскольку Winlogon и CSRSS необходимы для безопасной работы операционной системы.

Как интерпретировать WINLOGON_FATAL_ERROR в дампе

  • Фактический сбой часто происходит в пользовательском режиме, поэтому одного отладчика ядра может быть недостаточно для определения приложения или службы, запустивших цепочку событий.
  • Причиной могут быть несовместимые или восстановленные системные файлы, сторонние службы, компоненты учётных данных либо компрометация подсистемы.
  • По дампу и журналам событий определите, что завершилось первым: Winlogon, CSRSS или зависимый компонент.

Что проверить при WINLOGON_FATAL_ERROR

  • Проверьте недавние изменения служб, драйверов, средств безопасности, поставщиков учётных данных и системных файлов.
  • При наличии соберите пользовательские дампы или журналы событий сбоев, связанных с Winlogon и CSRSS.
  • Проверьте целостность системных файлов и происхождение восстановленных копий, прежде чем переустанавливать или произвольно заменять двоичные файлы.

Ссылки для WINLOGON_FATAL_ERROR

Данные дампа для WINLOGON_FATAL_ERROR

Для WINLOGON_FATAL_ERROR сохраните полный дамп, четыре параметра проверки ошибки, точную сборку Windows, список загруженных модулей и хронологию событий непосредственно перед остановкой. AllStat описывает состояние как «процесс Winlogon неожиданно завершился»; эта формулировка определяет класс сбоя, а параметры, стек и пользовательские журналы показывают участвовавший процесс, драйвер или компонент подсистемы.

Порядок анализа WINLOGON_FATAL_ERROR

  • Выполните в WinDbg команду !analyze -v, затем изучите документированное значение параметров WINLOGON_FATAL_ERROR, а не полагайтесь только на строку probably-caused-by.
  • Найдите самое раннее аномальное событие: обновление драйвера или службы, изменение компонентов входа и безопасности, повреждение системных файлов, ошибку хранения либо завершение зависимого процесса.
  • При анализе WINLOGON_FATAL_ERROR сохраните в перечне модулей сторонние драйверы фильтрации, безопасности, хранения данных, графики и виртуализации: удаление этих компонентов до разбора дампа может скрыть ответственный путь выполнения.

Не перезагружайте многократно компьютер с WINLOGON_FATAL_ERROR до сохранения дампа и журналов событий. Восстановительные действия должны определяться первым завершившимся компонентом и подтверждающими данными, а не только символическим именем стоп-кода.

Данные дампа для WINLOGON_FATAL_ERROR

Для WINLOGON_FATAL_ERROR сохраните полный дамп, четыре параметра проверки ошибки, точную сборку Windows, список загруженных модулей и хронологию событий непосредственно перед остановкой. AllStat описывает состояние как «процесс Winlogon неожиданно завершился»; эта формулировка определяет класс сбоя, а параметры, стек и пользовательские журналы показывают участвовавший процесс, драйвер или компонент подсистемы.

Порядок анализа WINLOGON_FATAL_ERROR

  • Выполните в WinDbg команду !analyze -v, затем изучите документированное значение параметров WINLOGON_FATAL_ERROR, а не полагайтесь только на строку probably-caused-by.
  • Найдите самое раннее аномальное событие: обновление драйвера или службы, изменение компонентов входа и безопасности, повреждение системных файлов, ошибку хранения либо завершение зависимого процесса.
  • При анализе WINLOGON_FATAL_ERROR сохраните в перечне модулей сторонние драйверы фильтрации, безопасности, хранения данных, графики и виртуализации: удаление этих компонентов до разбора дампа может скрыть ответственный путь выполнения.

Не перезагружайте многократно компьютер с WINLOGON_FATAL_ERROR до сохранения дампа и журналов событий. Восстановительные действия должны определяться первым завершившимся компонентом и подтверждающими данными, а не только символическим именем стоп-кода.

Нужно найти другой код? Найти другой код состояния или ошибки.