WhoCrashed : analyser les écrans bleus, BSOD ou code d’arrêt

Lorsqu’un écran bleu et BSOD survient sur Windows, ce dernier créé un fichier minidump.
C’est un journal ou log qui enregistre les évènements et l’état du système au moment du crash.
WhoCrashed est un utilitaire qui permet d’extraire et analyser les journaux de déboggage afin d’analyser les BSOD afin de donner des indications sur l’origine du plantage système.

L’utilisation de WhoCrashed n’est pas très compliquée, c’est plus l’analyse du rapport et source des BSOD qui l’est.
Voici un tutoriel qui vous guide pour générer un rapport Whocrashed afin de retracer le crash système de Windows 10 ou Windows 11.

Qu’est-ce les BSOD et WhoCrashed

Les BSOD sont des plantages de Windows qui se produisent lorsque le système devient instable.
Cela se traduit par un écran bleu avec une opération de vidage de la mémoire et création de fichiers journaux et logs.
Ensuite, le PC doit redémarrer afin que Windows se réinitialise.

Voici une liste des causes fréquentes des BSOD :

• Une corruption du registre Windows
• Des pilotes ou drivers mal conçus comportant des bugs, mal configurés, des fichiers corrompus, des pilotes obsolètes,Des fichiers systèmes corrompus
• Une mise à jour Windows Update qui cause des instabilités
• Un problème matériel et hardware du PC (barrette de mémoire défectueuse, défaillance du disque dur, …)
• Une corruption totale de Windows

WhoCrashed est un programme gratuit qui charge et analyse les fichiers minidump pour afficher un rapport.
Ce dernier donne les informations les plus importantes pour comprendre l’origine du BSOD comme le pilote ou driver source qui a planté le système.

Comment utiliser Whocrashed

Pour télécharger WhoCrashed, vous pouvez utiliser le lien suivant  :

L’installation n’est pas très compliquée mais voici une procédure :

• Lancez l’installation et laissez-vous guider
• Une icône est ensuite ajoutée dans la liste des programmes afin de pouvoir démarrer WhoCrashed
• Enfin exécutez WhoCrashed
• Cliquez le bouton Analyse. Whocrash charge les journaux minidump et présente un rapport dans la partie Report.
• La partie intéressante d’analyse des crash BSOD se trouvent dans “Crash Dump Analysis“.
• Ainsi, ci-dessous, un exemple de plantage BSOD.

Analyse des rapports WhoCrashed et écran bleu

Il est conseillé de lire la page BSOD : les écrans de plantages de Windows afin de bien comprendre ce qu’est un plantage BSOD.

Les analyses WhoCrashed se présentent toujours de la même manière avec

• La date du plantage et le fichier minidump concerné
• En dessous la ligne Errror avec le Stop Code ou code d’arrêt. Il s’agit de l’erreur de plantage et éventuellement, le pilotes concernées par le plantage si c’est un plantage de type Logiciel
• Enfin une description du bug est retourné qui peut indiquer s’il s’agit d’un plantage logiciel ou matériel
• Le Bug Check qui correspond à un numéro d’erreur répertorié par Microsoft
• Éventuellement le pilote se terminant .sys à l’origine du crash. Cette ligne est important car elle vous permet de déterminer le pilote à mettre à jour et à l’origine des problèmes. Sinon vous aurez des fichiers systèmes liés au noyau de Windows : ntoskrnl.exe, hal.dll, etc
• Une analyse et description propre à Whocrashed reprenant la base de données des Bugcheck de Microsoft

On Wed 15/03/2017 00:06:16 your computer crashed
crash dump file: C:\Windows\Minidump\031517-31531-01.dmp
This was probably caused by the following module: rspcrash64.sys (rspCrash64+0x108B) 
Bugcheck code: 0xDEADDEAD (0x0, 0x0, 0x198422BB, 0x3C2A58ED)
Error: MANUALLY_INITIATED_CRASH1
file path: C:\Windows\system32\drivers\rspcrash64.sys
product: WhoCrashed
company: Resplendence Software Projects Sp.
description: Resplendence WhoCrashed Crash Dump Test
Bug check description: This indicates that the user deliberately initiated a crash dump from either the kernel debugger or the keyboard.
This bug check belongs to the crash dump test that you have performed with WhoCrashed or other software. It means that a crash dump file was properly written out.

Exemple d’un plantage lié à un problème matériel “This is likely to be caused by a hardware problem problem” :

On Fri 10/02/2017 06:50:16 your computer crashed
crash dump file: C:\WINDOWS\Minidump\021017-38562-01.dmp
This was probably caused by the following module: ntoskrnl.exe (nt+0x14A6F0)
Bugcheck code: 0x12B (0xFFFFFFFFC00002C4, 0x6B0, 0x2A1E3F20, 0xFFFFE181C4BEA000)
Error: FAULTY_HARDWARE_CORRUPTED_PAGE
file path: C:\WINDOWS\system32\ntoskrnl.exe
product: Microsoft® Windows® Operating System
company: Microsoft Corporation
description: NT Kernel & System
Bug check description: This bug check indicates that a single-bit error was found in this page. This is a hardware memory error.
This is likely to be caused by a hardware problem problem. This error suggests a case of memory corruption because of a hardware problem. It is suggested you do a test on your RAM modules (memory test).
The crash took place in the Windows kernel. Possibly this problem is caused by another driver that cannot be identified at this time.

Et ci-dessous un pilote matériel ou logiciel pouvant être à l’origine des plantages Windows “This appears to be a typical software driver bug and is not likely to be caused by a hardware problem” :

On Sat 04/03/2017 21:22:10 GMT your computer crashed
crash dump file: C:\WINDOWS\Minidump\030417-27734-01.dmp
This was probably caused by the following module: ntoskrnl.exe (nt+0x14A6F0)
Bugcheck code: 0x4E (0x2, 0x93F75, 0x42EFFF, 0x8000)
Error: PFN_LIST_CORRUPT
file path: C:\WINDOWS\system32\ntoskrnl.exe
product: Microsoft® Windows® Operating System
company: Microsoft Corporation
description: NT Kernel & System
Bug check description: This indicates that the page frame number (PFN) list is corrupted.
This appears to be a typical software driver bug and is not likely to be caused by a hardware problem. This might be a case of memory corruption. More often memory corruption happens because of software errors in buggy drivers, not because of faulty RAM modules.
The crash took place in the Windows kernel. Possibly this problem is caused by another driver that cannot be identified at this time.

Malheureusement, il se peut parfois arriver que WhoCrashed ne puisse pas identifier le fichier système source qui cause les BSOD, rendant la résolution plus difficile.

Exporter des rapports

Il est possible d’exporter le rapport à partir du menu Files puis Export.
Cela peut est utile lorsque vous souhaitez partager ces rapports avec une personne qualifiée.
Le format du rapport est en HTML, ce qui n’est pas très pratique à transmettre à un tiers.

Il est aussi possible de copier/coller le rapport depuis l’interface de WhoCrashed, pour cela :

• Sur le rapport WhoCrashed : faites un clic droit puis sélectionner tout ou en raccourci clavier : CTRL+A
• Puis clic droit et copier ou sur le clavier CTRL+C
• Vous pouvez ensuite coller pour partager l’analyse WhoCrashed par exemple via pjjoint

Les onglets de WhoCrashed

WhoCrashed se présente aussi avec trois onglets :

• Report: rapports d’analyses
• Dump Files : liste les journaux minidump
• Local Drives : liste les fichiers DLL et drivers chargés.

Dump Files avec la liste des minidump et les vérifications de bugs :

Enfin l’onglet Local Drives liste les pilotes systèmes et tiers ainsi que les fichiers DLL en mémoire :

Comment résoudre les Minidump et rapports Whocrased vides

Si WhoCrashed ne trouve pas de fichier journal minidump alors aucune analyse ne pourra être effectuée.
Dans ce cas, il affiche un message : “No valid crash dumps have been found on your computer”.
Enfin dans la conclusion, on trouve le message “Crash dumps are enabled but no valid crash dumps have been found“.
Il faut vérifier la configuration de Windows pour s’assurer que certaines conditions soient remplies.

Pour que la création des journaux minidump fonctionne, il faut :

• Que la taille du fichier de mémoire virtuelle (pagefile.sys) soit suffisant
• La configuration d’écriture des informations de débogage doit être correct. Voir cette page : Configurer les informations de débogage (minidump) de Windows 10/11
• Un logiciel de nettoyage, tel que CCleaner, ne soit pas les supprimer

Pour activer l’écriture des informations de débogage :

• Sur votre clavier, appuyez sur les touches + R
• Puis dans le champs exécuter, saisissez sysdm.cpl et OK

• Ensuite dans la nouvelle fenêtre, à gauche, cliquez sur Paramètres système avancés
• Depuis ces derniers, cliquez en bas dans la partie Démarrage et récupération
• Réglez le menu déroulant écriture des informations de débogage sur “Image de mémoire partielle“

Sur CCleaner, le nettoyage Système > rapports d’erreur Windows ne doit pas être activé.

BlueScreenview : alternative pour analyser les BSOD

BlueScreenView est une alternative à WhoCrashed.
En effet, ce dernier permet aussi de lire les minidump et journaux de Windows.
Il génère une liste des BSOD avec les sources pilotes.

Résoudre les BSOD sur Windows 10/11

Enfin l’article suivant vous donne la marche à suivre afin de résoudre les BSOD sur Windows.
Vous pouvez le consulter pour vous aider.

• Résoudre les BSOD, écran bleu de Windows 10
• Résoudre l’écran bleu (BSOD) sur Windows 11