Analysere oppstartsloggfiler som Ntbtlog.txt for å feilsøke oppstartsfeil i Windows

Når Windows nekter å starte opp og blir sittende fast på en svart skjerm, en omstartsløkke eller en blå skjermDen normale reaksjonen er panikk. Men utover de typiske automatiserte verktøyene finnes det en svært kraftig ressurs for å forstå hva som skjer: oppstartsloggfiler eller Oppstartsloggerspesielt den velkjente Ntbtlog.txt.

Disse loggene beskriver hvilke drivere og komponenter som lastes inn (eller ikke lastes inn) under systemoppstart., og kombinert med andre verktøy som Oppstartsreparasjon, BOOTREC, DISM eller selve Windows-registeret, lar deg angripe roten til mange oppstartsproblemer, både i datamaskiner med klassisk BIOS og i moderne systemer med UEFI (oppstartsprosess i UEFI).

Hvordan fungerer oppstart av Windows, og på hvilket stadium oppstår feilen?

Før du begynner å anmelde Ntbtlog.txt å lime inn kommandoer i konsollenDet er viktig å forstå hvordan Windows-oppstartsprosessen er organisert og hvilke komponenter som aktiveres på hvert trinn. Dette lar deg avgjøre om feilen oppstår veldig tidlig (fastvare/BIOS), i oppstartsbehandleren, i operativsystemlasteren eller når Windows-kjernen kommer i spill.

Generelt sett er oppstartssyklusen til et moderne Windows-system delt inn i fire hovedfaser Disse forekommer i både eldre BIOS-maskiner og UEFI-firmwaresystemer, selv om filene som er involvert og stiene endres litt:

• Fase 1 – FøroppstartFastvaren (BIOS eller UEFI) utfører POST (Power-On Self Test), initialiserer den grunnleggende maskinvaren og finner en gyldig systemdisk. I BIOS-maskiner leses MBR/PBR; i UEFI lastes fastvaren inn, og Windows Boot Manager EFI-applikasjonen søkes etter.
• Fase 2 – Windows Boot ManagerOppstartsbehandleren kommer i spill, som ser etter oppstartskonfigurasjonen og bestemmer hvilket system som skal startes.
• Fase 3 – Windows OS-laster: systemladeren (winload.exe o winload.efi) laster inn kjernen og driverne som er merket for å lastes inn ved oppstart.
• Fase 4 – Windows NT-kjernen: kjernen (ntoskrnl.exe) tar kontroll, monterer systemregisterstrukturen, laster inn driverne BOOT_START og systemøkten starter (Smss.exe), som igjen starter resten av tjenestene og kontrollerne.

Hvert av disse stadiene har ganske karakteristiske symptomer og feilmeldinger.fra den typiske «Bootmgr mangler» til feil som INACCESSIBLE_BOOT_DEVICE eller blåskjermer rett etter Windows-logoen, og derfor diagnostiseres og repareres med forskjellige verktøy.

Målet når man diagnostiserer en startfeil er å "fange opp" hvilket punkt i denne kjeden prosessen bryter sammen.Derfra kan vi avgjøre om det er fornuftig å se på oppstartsloggfilen, SrtTrail.txt fra oppstartsreparasjonen, minnedumper, registeret eller fokusere på oppstartskodene (MBR, BCD, Bootmgr osv.).

BIOS- eller fastvarefeil: hvordan oppdage dem

Hvis datamaskinen ikke engang viser Windows-logoen Hvis den sitter fast på en svart skjerm uten tydelige meldinger, eller ikke engang slår seg på ordentlig, ligger problemet vanligvis i selve fastvaren eller i den grunnleggende maskinvaren.

Det finnes et par veldig enkle kontroller for å avgjøre om systemet har fullført BIOS-fasen. eller den sitter fast der:

1. Koble fra alle eksterne enheter (USB, eksterne harddisker, skrivere…). Noen ganger prøver fastvaren å starte opp fra en flyttbar enhet og setter seg fast.
2. Observer aktivitetslampen for harddiskenHvis den ikke blinker i det hele tatt under oppstart, kan det hende at prosessen ikke når punktet der oppstartssektoren leses.
3. Prøv å trykke på Num Lock-tasten.Hvis tastaturindikatoren ikke endres, indikerer det vanligvis at systemet har fryst helt på fastvare- eller hovedkortnivå.

Når frysingen er på dette tidlige stadiet, skyldes det vanligvis en maskinvarefeil. (minne, hovedkort, strømforsyning, sviktende harddisk…) og ikke så mye i tilfelle et problem med oppstartsfilen, så i disse tilfellene er analysen av Ntbtlog.txt og lignende ting blir ikke engang generert.

Feil i oppstartsbehandleren og lasteren (MBR, BCD, Bootmgr)

Hvis maskinen slås på, vises produsentens logo, og deretter ser du en svart skjerm med en blinkende markør. Hvis du mottar meldinger som «Operativsystem mangler», «Bootmgr mangler» eller BCD-relaterte feil, er problemet allerede i oppstartsbehandlerfasen (Boot Manager / Boot Loader).

Noen typiske meldinger fra denne fasen gjør det ganske tydelig hvordan situasjonen er.:

• Boot Configuration Data (BCD) missing or corrupted
• Boot file or MBR corrupted
• Operating system missing
• Boot sector missing or corrupted
• Bootmgr missing or corrupted
• Unable to boot due to system hive missing or corrupted

På dette tidspunktet er det mest effektive tiltaket å starte opp fra et eksternt Windows-installasjonsmedium. (USB/DVD opprettet med Microsoft-verktøyet eller en ISO-fil med samme eller nyere versjon) og åpne en ledetekst ved å bruke Shift+F10-kombinasjonen eller via de avanserte gjenopprettingsalternativene.

Bruke oppstartsreparasjonsverktøyet

Windows Oppstartsreparasjonsverktøy er det første alternativet du bør prøve.fordi den automatiserer mange kontroller: den sjekker integriteten til oppstartsfilene, prøver å fikse BCD-en, reparerer skadede oppstartssektorer og genererer sin egen logg over hva den har gjort.

Brukerflyten er veldig enkel. når du starter opp fra installasjonsmediet for den samme versjonen av Windows som du har installert:

1. Start datamaskinen fra Windows-installasjons-USB/DVD, og ​​klikk på i det første vinduet. Neste > Reparer utstyret.
2. På valgskjermen skriver du inn Feilsøking.
3. Tilgang til Avanserte alternativer > Oppstartsreparasjon og la verktøyet analysere systemet.
4. Når det er ferdig, slå av med selve veiviseren og prøv å starte opp normalt.

Alt dette verktøyet gjør blir registrert i filen SrtTrail.txt, lokalisert i %windir%\System32\LogFiles\Srt\Srttrail.txtSelv om det ikke er en oppstartslogg i stil med Ntbtlog.txtJa, det er nyttig å forstå hva den har oppdaget og hvilke tiltak den har forsøkt å iverksette.

Reparer MBR og oppstartssektoren med BOOTREC

Hvis oppstartsreparasjon ikke løser problemet, er det neste klassiske trinnet å bruke verktøyet BOOTREC (se BOOTREC-guide) Fra kommandolinjen i gjenopprettingsmiljøet. Dette verktøyet lar deg omskrive MBR, gjenoppbygge oppstartssektoren og generere BCD-databasen.

Grunnleggende kommandoer for å løse typiske MBR- og oppstartssektorproblemer er:

• Skriv om MBR-en (veldig nyttig hvis et annet system eller et tredjepartsverktøy har overskrevet det):
  bootrec /fixmbr
• Reparer oppstartssektoren til systempartisjonen:
  bootrec /fixboot

I noen tilfeller (spesielt i UEFI-systemer med EFI-partisjonering i FAT32) Den fryktede meldingen «Ingen tilgang» kan vises når du kjører /fixbootI disse tilfellene må du sjekke at systempartisjonen er riktig tilordnet en stasjonsbokstav, og noen ganger markere den som aktiv eller manuelt reparere oppstartsfilene ved å kopiere dem. bootmgr og innholdet i \EFI\Microsoft\Boot.

Rett BCD-lagerfeil

Når BCD-en er skadet eller peker til ikke-eksisterende fasiliteterDu vil se mer spesifikke feil om «Oppstartskonfigurasjonsdata». Her fungerer BOOTREC og BCDEDIT sammen (se diagnose med BCDEDIT).

En typisk prosedyre for å regenerere BCD fra bunnen av er dette:

1. Skann etter oppdagelige Windows-installasjoner:
   bootrec /scanos
2. Hvis den fortsatt ikke starter etter skanningen, sikkerhetskopier BCD-en og gjenoppbygg den:
   bcdedit /export C:\bcdbackup
attrib C:\boot\bcd -r -s -h
ren C:\boot\bcd bcd.old
bootrec /rebuildbcd
3. Når du blir spurt om du vil legge til den funnet installasjonen i oppstartslisten, svarer du ja.

I noen tilfeller vil det vises en feilmelding som sier «Finner ikke den forespurte systemenheten». Når du prøver å legge til installasjonen, er det der du må sjekke med diskpart at systempartisjonen er riktig merket, har en tilordnet bokstav og ikke er skadet.

Erstatt Bootmgr-filen

Hvis feilene etter flere forsøk peker direkte mot bootmgr svekketDu kan velge å gi den defekte kopien nytt navn og plassere en ny fra den systemreserverte partisjonen eller fra installasjonsmediet.

Den generelle ideen er å la den gamle ligge. bootmgr trygg og kopier en fungerende en til partisjonen der systemet befinner seg:

1. Identifiser den systemreserverte partisjonen (vanligvis uten bokstav, i FAT32 eller NTFS, omtrent 100 MB i moderne Windows) og tildel den en bokstav med diskpart om nødvendig.
2. I den partisjonen, oppgi skjulte filer og systemfiler med:
   attrib -r -s -h
3. Gjør det samme på systemstasjonen (for eksempel C:) for å se bootmgr eksisterende.
4. Endre navnet på bootmgr skadet, for eksempel:
   ren C:\bootmgr bootmgr.old
5. Kopier bootmgr "health" fra den systemreserverte partisjonen til roten av Windows-stasjonen.
6. Start den på nytt og sjekk om den starter opp.

Gjenopprett systemregisterundertreet

Når feil indikerer at systemstrukturen ikke kan lastes inn («systemstruktur mangler eller er ødelagt»), går problemet fra å være et rent oppstartsrelatert problem til et registerproblem. I disse tilfellene er det vanligvis nødvendig å gjenopprette registerundertrærne fra en gyldig sikkerhetskopi (du kan se teknikker for Forbedre registeret med RegScanner).

Fra WinRE-gjenopprettingsmiljøet eller en ERD-reparasjonsdisk Du kan kopiere innholdet i C:\Windows\System32\config\RegBack a C:\Windows\System32\configoverskriver de skadede filene (SYSTEM, PROGRAMVARE osv.). Hvis den fortsatt ikke starter opp, må du gjenopprette en fullstendig sikkerhetskopi av systemet og deretter bare gjenopprette de nødvendige strukturene.

Kjernefase: blåskjermer, løkker og krasj etter logoen

Hvis du allerede ser Windows-logoen, til og med det snurrende "hjul"-ikonet med prikkerMen hvis det plutselig dukker opp en blå skjerm, den fryser, eller bare dukker opp en svart skjerm, ligger problemet mest sannsynlig i kjernefasen eller i driverne som er lastet inn på det stadiet.

Noen typiske symptomer på svikt i denne fasen er velkjente:

• Stoppkode rett etter velkomstskjermen (for eksempel 0x00000C2, 0x0000007B, Osv.).
• Feil ved INACCESSIBLE_BOOT_DEVICE, med stoppidentifikatoren 0x7B, som antyder problemer med tilgang til oppstartsdisken.
• Det roterende prikkhjulet forblir i "opptatt system" på ubestemt tid.
• Skjermen blir svart etter at Windows-logoen vises, uten noen meldinger.

I slike situasjoner er gjenopprettingsalternativene basert på å starte på en begrenset måte og deretter diagnostisere ved hjelp av verktøy som hendelsesvisning, oppstartslogger, minnedumper og selve registeret.

Prøv sikkermodus og siste kjente fungerende konfigurasjon

Sikker modus er fortsatt en klassiker fordi den bare laster inn det aller minste. slik at Windows starter opp, og utelater en stor del av tredjepartsdriverne og -tjenestene som kan forårsake problemet.

Fra de avanserte oppstartsalternativene Du kan prøve:

• Sikker modus
• Sikkermodus med nettverk
• Siste kjente vellykkede konfigurasjon (hvis tilgjengelig i din versjon)

Hvis laget klarer å komme i gang i noen av disse varianteneNoe av det første som anbefales er å åpne Begivenhetsviser og gjennomgå system- og applikasjonslogger rundt tidspunktet symptomene startet, og kopier relevante hendelser for rolig analyse.

En ren start for å finne motstridende tjenester og drivere

Når problemet peker mot en tredjepartstjeneste eller -kontroller (antivirus, sikkerhetskopieringsprogramvare, spesielle lagringsdrivere osv.), er det svært nyttig å utføre en "ren oppstart" med verktøyet msconfig.

I Systeminnstillinger kan du velge «Selektiv oppstart». og deaktiver gradvis ikke-kritiske tjenester, spesielt de som ikke er fra Microsoft, helt til du finner den som utløser oppstartsfeilen. Når den er funnet, kan du deaktivere den permanent og gå tilbake til en "normal oppstart".

Hvis problemet ligger i driversignering (spesielt i x64-systemer med sikker oppstart eller signaturkrav)En annen måte er å starte med alternativet «Deaktiver obligatorisk bruk av signerte drivere» og analysere hvilken driver som krever en signatur eller forårsaker en konflikt, ved å følge retningslinjene i Microsofts spesifikke artikler om denne typen problemer.

INACCESSIBLE_BOOT_DEVICE-feil (STOP 0x7B)

Feilen INACCESSIBLE_BOOT_DEVICE Det er en av de mest fryktede fordi det antyder at Windows ikke får tilgang til stasjonen den skal starte fra: utilstrekkelige lagringsdrivere, tredjepartsfiltre, endringer i SATA/RAID-kontrollermodusen i BIOS, osv.

En avansert metode for å håndtere denne feilen innebærer å filtrere tredjepartsdrivere i registeret. fra gjenopprettingsmiljøet:

1. Start opp i WinRE med en ISO-fil av samme Windows-versjon eller nyere.
2. Åpne Registerredigering og last inn systemstrukturen, for eksempel ved å gi den et midlertidig navn. test.
3. Gå til nøkkelen:
   HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class
4. Finn oppføringer UpperFilters y LowerFilters som refererer til drivere som ikke er fra Microsoft.
5. For hver mistenkelig sjåfør, fjern innholdet i den tilhørende filterverdien.
6. Se etter andre lignende forekomster i bikuben, modifiser dem nøye, og tøm bikuben når du er ferdig.
7. Start systemet på nytt i normal modus og sjekk om 0x7B-feilen har forsvunnet.

Hvis problemet startet rett etter at du installerte Windows-oppdateringerDet kan være nødvendig å fjerne ventende pakker eller tilbakestille oppdateringshandlinger med DISM, endre verdier i registeret (for eksempel tjenesten TrustedInstaller) og til og med gi nytt navn til filer som pending.xml en WinSxS for å oppheve blokkeringen av prosessen.

Aktiver oppstartslogging i Windows

På dette tidspunktet kommer hovedpersonen i denne artikkelen inn i bildet: arkivet Ntbtlog.txtDenne filen er den klassiske Windows-oppstartsloggen; den registrerer driverne og komponentene som lastes inn (eller feiler) under oppstart, slik at du for eksempel kan oppdage hvilken spesifikk driver som hindrer systemet i å starte opp.

BootLog er ikke aktivert som standardMen å aktivere det er veldig enkelt, og du kan gjøre det på to hovedmåter: gjennom boot.ini i eldre systemer eller med bcdedit I moderne versjoner som Windows 10 og nyere er det veldig nyttig å kombinere det med teknikker for analyser med BootTrace.

Aktiver BootLog på boot.ini-baserte systemer (Windows XP og lignende)

På eldre datamaskiner er oppstartskonfigurasjonsfilen boot.ini, som ligger i roten av stasjonen der Windows er installert (vanligvis C:) og er merket som en skjult systemfil.

For å redigere den, må du først vise de beskyttede systemfilene. Fra mappealternativene, finn boot.ini og åpne den med Notisblokk. Der vil du se en linje som ligner på denne (men med andre parametere):

multi(0)disk(0)rdisk(0)partisjon(1)\WINDOWS=»Microsoft Windows XP Professional» /noexecute=optin /fastdetect

For å aktivere oppstartslogging, legg ganske enkelt til modifikatoren /BOOTLOG på slutten av den linjenresulterer i noe sånt som:

multi(0)disk(0)rdisk(0)partisjon(1)\WINDOWS=»Microsoft Windows XP Professional» /noexecute=optin /fastdetect /BOOTLOG

Når filen er lagret, vil systemet begynne å generere oppstartsposten ved hver oppstart.I tillegg kan logging i nødsituasjoner aktiveres fra tilfelle til tilfelle fra den avanserte oppstartsmenyen: ved å trykke F8 rett før Windows starter og velge alternativet "Aktiver oppstartslogging".

Den genererte filen kalles alltid Ntbtlog.txt og den er lagret i Windows-mappen, vanligvis i C:\Windows, klar til å åpnes med Notisblokk og sjekke hvilke drivere som er lastet inn riktig og hvilke som ikke er det.

Aktiver og deaktiver BootLog med BCDEDIT i Windows 10 og nyere

I moderne systemer som bruker BCD (Windows Vista og nyere, inkludert Windows 10)Oppstartskonfigurasjonen administreres ikke lenger med boot.inimen med oppstartskonfigurasjonsdatalageret og verktøyet bcdedit.

Slik aktiverer du oppstartslogging på et bestemt system Du må vite identifikatoren (ID) til lasteren i BCD-en. Dette får du ved å kjøre følgende kommando i en ledetekst med administratorrettigheter:

bcdedit

I blokken «Windows Boot Loader» vil du se en linje som heter «Identifikator». som kan være noe sånt som {current} eller en annen GUID. Ved å bruke den ID-en kan du aktivere BootLog slik:

bcdedit /set {ID} bootlog Yes

For å deaktivere den, endrer du ganske enkelt verdien til «Nei».:

bcdedit /set {ID} bootlog No

Etter neste omstart, hvis logging er aktivert, vil Windows generere filen. Ntbtlog.txt på den angitte ruten med all nødvendig informasjon om kontrollerne og modulene som er involvert i oppstarten, noe som er svært nyttig for å diagnostisere lunefulle feil.

Tolkning av Ntbtlog.txt og andre oppstartslogger

Selv om det ved første øyekast Ntbtlog.txt det ser ut som en enkel liste med linjerNøkkelen er å forstå hvilket mønster vi leter etter. I denne filen vil du se oppføringer som indikerer at en kontroller har blitt lastet inn eller hoppet over.

Trikset er å finne drivere som feiler rett før krasj eller omstart inntreffer....eller de som tydeligvis ikke tilhører Microsoft og kan forårsake konflikter (antivirusdrivere, diskkryptering, sikkerhetskopieringsløsninger osv.). Å kombinere denne informasjonen med hendelser i hendelsesvisningen og, hvis tilgjengelig, minnedumper, kan i stor grad begrense problemet.

I mange tilfeller peker minnedumper eksplisitt til en bestemt driverfil. (for eksempel \Windows\System32\drivers\stcvsm.sys (mangler eller er skadet). De generelle anbefalingene i denne typen tilfeller er:

• Gjennomgå hvilken funksjonalitet kontrolleren tilbyr, og om den er kritisk for oppstart.
• Hvis det er en ikke-essensiell tredjepartsdriver, deaktiver den ved å laste inn systemstrukturen i registeret fra WinRE.
• Kjør systemfilkontrollen (sfc) i frakoblet modus hvis det er mistanke om at systemfilen er ødelagt.
• Hvis det er mistanke om utbredt registerskade eller nylig installasjon av flere drivere/tjenester, gi nytt navn til de gamle strukturene (legg til .old til navnene i C:\Windows\System32\configog gjenopprette sikkerhetskopiene av RegBackderetter prøver en vanlig start.

Noen ganger, spesielt etter en større Windows-oppdatering, oppstår problemet når man reparerer med DISM Det kommer fra den originale bildeversjonenHvis ISO-filen som brukes til gjenoppretting ikke samsvarer nøye med den installerte versjonen, DISM Den returnerer feil 0x800f081f («Kildefilene ble ikke funnet»). I slike tilfeller anbefales det å sjekke med dism /get-wiminfo den nøyaktige versjonen av bildet (install.wim o install.esd) og finn en ISO som faktisk samsvarer med byggingen av systemet som skal repareres.

Kort sagt, oppstartsregistre som Ntbtlog.txt, oppstartsreparasjons-SrtTrail, minnedumper og logger for DISM y SFC De danner et informasjonsøkosystem Dette verktøyet lar deg rekonstruere hva som skjer under hver oppstart: hva som lastes inn, hva som hoppes over, hva som blir ødelagt, og hvilke endringer (drivere, oppdateringer, antivirusprogramvare eller diverse verktøy) har ødelagt prosessen. Ved å kombinere disse verktøyene med MBR, BCD, Bootmgr, RegBack og reparasjonsteknikker for ren oppstart, er sjansene for å gjenopprette et Windows-system som ikke starter opp uten en fullstendig ny installasjon mye høyere enn de kanskje først ser ut til.

Relatert artikkel:

Boot Trace i Windows 11: En komplett guide til å analysere oppstartsprosesser

Isaac

Lidenskapelig forfatter om verden av bytes og teknologi generelt. Jeg elsker å dele kunnskapen min gjennom å skrive, og det er det jeg skal gjøre i denne bloggen, vise deg alle de mest interessante tingene om dingser, programvare, maskinvare, teknologiske trender og mer. Målet mitt er å hjelpe deg med å navigere i den digitale verden på en enkel og underholdende måte.