WhoCrashed : analyser les écrans bleus, BSOD ou code d’arrêt

Lorsqu’un écran bleu et BSOD survient sur Windows, ce dernier créé un fichier minidump.
C’est un journal ou log qui enregistre les évènements et l’état du système au moment du crash.
WhoCrashed est un utilitaire qui permet d’extraire et analyser les journaux minidump.
WhoCrashed est alors capable d’analyser les BSOD afin de donner des indications sur l’origine du crash.

L’utilisation de WhoCrashed n’est pas très compliquée, c’est plus l’analyse du rapport et source des BSOD qui l’est.
Voici un tutoriel qui vous guide pour générer un rapport Whocrashed afin de retracer le crash système de Windows 10.

Qu’est-ce les BSOD et WhoCrashed

Les BSOD sont des plantages de Windows 10.
Cela se traduit par un écran bleu avec une opération de vidage de la mémoire et création de fichiers journaux et logs.
Le PC doit redémarrer afin que Windows 10 se réinitialise.

Voici une liste des causes fréquentes des BSOD :

• Une corruption du registre Windows
• Des pilotes ou drivers mal conçus comportant des bugs, mal configurés, des fichiers corrompus, des pilotes obsolètes,Des fichiers systèmes corrompus
• Une mise à jour Windows Update qui cause des instabilités
• Un problème matériel et hardware du PC (barrette de mémoire défectueuse, défaillance du disque dur, …)
• Une corruption totale de Windows 10

WhoCrashed est un programme gratuit qui charge et analyse les fichiers minidump pour afficher un rapport.
Ce dernier donne les informations les plus importantes pour comprendre l’origine du BSOD comme le pilote ou driver qui a planté le système.

Comment utiliser Whocrashed

Pour télécharger WhoCrashed, vous pouvez utiliser le lien suivant  :

L’installation n’est pas très compliquée mais voici une procédure :

• Lancez l’installation et laissez-vous guider
• Une icône est ensuite ajoutée dans la liste des programmes afin de pouvoir démarrer WhoCrashed
• Enfin exécuter WhoCrashed

WhoCrashed se présente avec une fenêtre et des icônes Analyse, Options, Stay on top.
Vous avez aussi des onglets :

• Report: rapports d’analyses
• Dump Files : liste les journaux minidump
• Local Drives : liste les fichiers DLL et drivers chargés.

Dump Files avec la liste des minidump et les vérifications de bugs :

Enfin l’onglet Local Drives liste les pilotes systèmes et tiers ainsi que les fichiers DLL en mémoire :

Son utilisation n’est pas très complexe.

Pour lancer une analyse des minidump, cliquez le bouton Analyse. Whocrash charge les journaux minidump et présente un rapport dans la partie Report.
La partie intéressante d’analyse des crash BSOD se trouvent dans “Crash Dump Analysis“.
Ainsi, ci-dessous, un exemple de plantage BSOD.

Analyse des rapports WhoCrashed

Il est conseillé de lire la page BSOD : les écrans de plantages de Windows afin de bien comprendre ce qu’est un plantage BSOD.

Les analyses WhoCrashed se présentent toujours de la même manière avec

• La date du plantage et le fichier minidump concerné.
• Se trouve ensuite le Stop Code ou code d’arrêt. Il s’agit de l’erreur de plantage et éventuellement, le pilotes concernées par le plantage si c’est un plantage de type Logiciel.
• Enfin une description du bug est retourné qui peut indiquer s’il s’agit d’un plantage logiciel ou matériel.

On Wed 15/03/2017 00:06:16 your computer crashed
crash dump file: C:\Windows\Minidump\031517-31531-01.dmp
This was probably caused by the following module: rspcrash64.sys (rspCrash64+0x108B) 
Bugcheck code: 0xDEADDEAD (0x0, 0x0, 0x198422BB, 0x3C2A58ED)
Error: MANUALLY_INITIATED_CRASH1
file path: C:\Windows\system32\drivers\rspcrash64.sys
product: WhoCrashed
company: Resplendence Software Projects Sp.
description: Resplendence WhoCrashed Crash Dump Test
Bug check description: This indicates that the user deliberately initiated a crash dump from either the kernel debugger or the keyboard.
This bug check belongs to the crash dump test that you have performed with WhoCrashed or other software. It means that a crash dump file was properly written out.

Exemple d’un plantage lié à un problème matériel “This is likely to be caused by a hardware problem problem” :

On Fri 10/02/2017 06:50:16 your computer crashed
crash dump file: C:\WINDOWS\Minidump\021017-38562-01.dmp
This was probably caused by the following module: ntoskrnl.exe (nt+0x14A6F0)
Bugcheck code: 0x12B (0xFFFFFFFFC00002C4, 0x6B0, 0x2A1E3F20, 0xFFFFE181C4BEA000)
Error: FAULTY_HARDWARE_CORRUPTED_PAGE
file path: C:\WINDOWS\system32\ntoskrnl.exe
product: Microsoft® Windows® Operating System
company: Microsoft Corporation
description: NT Kernel & System
Bug check description: This bug check indicates that a single-bit error was found in this page. This is a hardware memory error.
This is likely to be caused by a hardware problem problem. This error suggests a case of memory corruption because of a hardware problem. It is suggested you do a test on your RAM modules (memory test).
The crash took place in the Windows kernel. Possibly this problem is caused by another driver that cannot be identified at this time.

Et ci-dessous un pilote matériel ou logiciel pouvant être à l’origine des plantages Windows “This appears to be a typical software driver bug and is not likely to be caused by a hardware problem” :

On Sat 04/03/2017 21:22:10 GMT your computer crashed
crash dump file: C:\WINDOWS\Minidump\030417-27734-01.dmp
This was probably caused by the following module: ntoskrnl.exe (nt+0x14A6F0)
Bugcheck code: 0x4E (0x2, 0x93

F75, 0x42EFFF, 0x8000)
Error: PFN_LIST_CORRUPT
file path: C:\WINDOWS\system32\ntoskrnl.exe
product: Microsoft® Windows® Operating System
company: Microsoft Corporation
description: NT Kernel & System
Bug check description: This indicates that the page frame number (PFN) list is corrupted.
This appears to be a typical software driver bug and is not likely to be caused by a hardware problem. This might be a case of memory corruption. More often memory corruption happens because of software errors in buggy drivers, not because of faulty RAM modules.
The crash took place in the Windows kernel. Possibly this problem is caused by another driver that cannot be identified at this time.

Analyser les BSOD

WhoCrashed fournit la plupart des informations utiles :

• Le type de BSOD avec le code d’arrêt ou Stop Code
• Le Bug Check
• Éventuellement le pilote à l’origine du crash. Sinon vous aurez des fichiers systèmes liés au noyau de Windows : ntoskrnl.exe, hal.dll, etc.
• Une description sur une possible origine.

Il peut parfois arriver que certaines informations ne soit pas indiqués. Par exemple le Code STOP.
Dans ces cas là, aidez-vous de cet article qui liste tous les types de BSOD.

Exporter des rapports

Il est possible d’exporter le rapport à partir du menu Files puis Export.
Cela peut est utile lorsque vous souhaitez partager ces rapports avec une personne qualifiée.
Le format du rapport est en HTML, ce qui n’est pas très pratique à transmettre à un tiers.

Il est aussi possible de copier/coller le rapport depuis l’interface de WhoCrashed, pour cela :

• Sur le rapport WhoCrashed : faites un clic droit puis sélectionner tout ou en raccourci clavier : CTRL+A
• Puis clic droit et copier ou sur le clavier CTRL+C
• Vous pouvez ensuite coller pour partager l’analyse WhoCrashed par exemple via pjjoint

Résoudre les Minidump et rapports Whocrased vides

Si WhoCrashed ne trouve pas de fichier journal minidump alors aucune analyse ne pourra être effectuée.
Impossible alors d’obtenir des informations sur l’origine des plantages BSOD.
Ce qu’il faut savoir :

• Les fichiers minidump sont créés lors du plantage.
• Pour que la création puisse être faites, il faut que la configuration de Windows remplisse certaines conditions.

La création de journaux doit être activée.
Pour activer les minidump :

• Allez dans le Panneau de Configuration puis Système.
• A gauche, cliquez sur “Paramètres du système avancé”.
• Dans la partie “Démarrage et récupération”, cliquez sur Paramètres
• Réglez le menu déroulant écriture des informations de débogage sur Image de mémoire partielle.

Le fichier de mémoire virtuelle (pagefile.sys) doit aussi être activé, c’est en général, le cas : 

Le fichier de mémoire virtuelle doit être assez volumineux pour accueillir les informations de vidage de mémoire.
Si vous avez configuré le pagefile.sys sur une taille fixe, paramétrez pour que Windows laisse gérer sa taille.

Enfin, vous devez avoir assez d’espace disque sur la partition C de Windows pour une augmentation d’espace disque alloué pour ces vidages mémoires.
Au minimum 2Go de RAM.

Enfin, notez que les logiciels de nettoyage dont t CCleaner peuvent supprimer ces minidump.
De ce fait, aucun rapport ne sera disponible pour analyse de Whocrashed.

Pour plus d’informations sur les réglages des minidump et journaux de débogage de Windows :

BlueScreenview : alternative pour analyser les BSOD

BlueScreenView est une alternative à WhoCrashed.
En effet, ce dernier permet aussi de lire les minidump et journaux de Windows.
Il génère une liste des BSOD avec les sources pilotes.

Résoudre les BSOD sur Windows 10

Enfin l’article suivant vous donne la marche à suivre afin de résoudre les BSOD sur Windows.
Vous pouvez le consulter pour vous aider.

Liens autour des écrans bleus et BSOD

Naviguer dans la série

<< Résoudre l’écran bleu/BSOD au démarrage de Windows 10/11BlueScreenView : analyser les BSOD et écrans bleus >>