Analysera startloggfiler som Ntbtlog.txt för att felsöka Windows startfel

När Windows vägrar att starta och fastnar på en svart skärm, en omstartsslinga eller en blå skärmDen normala reaktionen är panik. Men utöver de typiska automatiserade verktygen finns det en mycket kraftfull resurs för att förstå vad som händer: startloggfiler eller Startloggarsärskilt den välkända Ntbtlog.txt.

Dessa loggar beskriver vilka drivrutiner och komponenter som laddas (eller inte laddas) under systemstart.och kombinerat med andra verktyg som Startup Repair, BOOTREC, DISM eller själva Windows-registret, låter dig attackera roten till många startproblem, både i datorer med klassisk BIOS och i moderna system med UEFI (startprocessen i UEFI).

Hur fungerar Windows-start och i vilket skede inträffar felet?

Innan du börjar granska Ntbtlog.txt att klistra in kommandon i konsolenDet är viktigt att förstå hur Windows startprocess är organiserad och vilka komponenter som aktiveras i varje steg. Detta gör att du kan avgöra om felet uppstår mycket tidigt (firmware/BIOS), i starthanteraren, i operativsystemets laddare eller när Windows-kärnan träder i kraft.

Generellt sett är startcykeln för ett modernt Windows-system uppdelad i fyra huvudfaser. Dessa förekommer i både äldre BIOS-maskiner och UEFI-firmwaresystem, även om de involverade filerna och sökvägarna ändras något:

• Fas 1 – FörstartDen inbyggda programvaran (BIOS eller UEFI) utför POST (Power-On Self Test), initierar den grundläggande hårdvaran och lokaliserar en giltig systemdisk. I BIOS-maskiner läses MBR/PBR; i UEFI laddas den inbyggda programvaran och Windows Boot Manager (EFI) söks efter.
• Fas 2 – Windows Boot ManagerStarthanteraren kommer in i bilden, som letar efter startkonfigurationen och bestämmer vilket system som ska startas.
• Fas 3 – Windows OS-laddare: systemladdaren (winload.exe o winload.efi) laddar kärnan och drivrutinerna som är markerade för att laddas vid start.
• Fas 4 – Windows NT-kärnakärnan (ntoskrnl.exe) tar kontroll, monterar systemregisterhive, laddar drivrutinerna BOOT_START och systemsessionen startar (Smss.exe), vilket i sin tur startar resten av tjänsterna och kontrollerna.

Var och en av dessa steg har ganska karakteristiska symptom och felmeddelanden.från det typiska felmeddelandet "Bootmgr saknas" till fel som INACCESSIBLE_BOOT_DEVICE eller blå skärmar direkt efter Windows-logotypen, och därför diagnostiseras och repareras med olika verktyg.

Målet vid diagnostisering av ett startfel är att "fånga" vid vilken punkt i denna kedja processen bryts ner.Därifrån kan vi avgöra om det är vettigt att titta på startloggfilen, SrtTrail.txt från startreparationen, minnesdumpar, registret eller fokusera på startkoderna (MBR, BCD, Bootmgr, etc.).

BIOS- eller firmwarefel: hur man upptäcker dem

Om datorn inte ens visar Windows-logotypen Om den fastnar på en svart skärm utan tydliga meddelanden, eller inte ens startar ordentligt, ligger problemet vanligtvis i själva den inbyggda programvaran eller i den grundläggande hårdvaran.

Det finns ett par mycket enkla kontroller för att avgöra om systemet har klarat BIOS-fasen. eller så sitter den fast där:

1. Koppla bort alla externa kringutrustningar (USB, externa hårddiskar, skrivare…). Ibland försöker den inbyggda programvaran starta från en flyttbar enhet och fastnar.
2. Observera hårddiskens aktivitetslampaOm den inte blinkar alls under uppstart kanske processen inte når den punkt där startsektorn läses.
3. Försök att trycka på Num Lock-tangenten.Om tangentbordsindikatorn inte ändras indikerar det vanligtvis att systemet har fryst helt på firmware- eller moderkortsnivå.

När frysningen är i detta tidiga skede beror det vanligtvis på ett hårdvarufel. (minne, moderkort, nätaggregat, trasig hårddisk…) och inte så mycket när det gäller problem med startfiler, så i dessa fall är analysen av Ntbtlog.txt och liknande saker genereras inte ens.

Fel i starthanteraren och laddaren (MBR, BCD, Bootmgr)

Om maskinen slås på visas tillverkarens logotyp och sedan ser du en svart skärm med en blinkande markör. Om du får meddelanden som ”Operativsystem saknas”, ”Bootmgr saknas” eller BCD-relaterade fel, ligger problemet redan i starthanteraren (Boot Manager / Boot Loader).

Några typiska budskap från detta skede gör det ganska tydligt hur situationen är.:

• Boot Configuration Data (BCD) missing or corrupted
• Boot file or MBR corrupted
• Operating system missing
• Boot sector missing or corrupted
• Bootmgr missing or corrupted
• Unable to boot due to system hive missing or corrupted

Vid det här laget är den mest effektiva åtgärden att starta från ett externt Windows-installationsmedium. (USB/DVD skapad med Microsoft-verktyget eller en ISO-fil av samma eller senare version) och öppna en kommandotolk med kombinationen Skift+F10 eller via de avancerade återställningsalternativen.

Använda verktyget Startup Repair

Windows Startup Repair-verktyget är det första alternativet du bör prova.eftersom den automatiserar många kontroller: den kontrollerar startfilernas integritet, försöker fixa BCD:n, reparerar skadade startsektorer och genererar sin egen logg över vad den har gjort.

Användarflödet är mycket enkelt. när du startar från installationsmediet för samma version av Windows som du har installerat:

1. Starta datorn från Windows installations-USB/DVD och klicka på i det första fönstret. Nästa > Reparera utrustningen.
2. På valskärmen anger du felsökning.
3. Tillgång till Avancerade alternativ > Startreparation och låt verktyget analysera systemet.
4. När det är klart, stäng av med hjälp av guiden och försök starta normalt.

Allt som det här verktyget gör spelas in i filen SrtTrail.txt, beläget i %windir%\System32\LogFiles\Srt\Srttrail.txtÄven om det inte är en startlogg i stil med Ntbtlog.txtJa, det är bra att förstå vad den har upptäckt och vilka åtgärder den har försökt vidta.

Reparera MBR och bootsektorn med BOOTREC

Om Startreparation inte löser problemet är nästa klassiska steg att använda verktyget BOOTREC (ser BOOTREC-guide) Från kommandotolken i återställningsmiljön. Med det här verktyget kan du skriva om MBR, återskapa startsektorn och generera BCD-databasen.

Grundläggande kommandon för att åtgärda typiska MBR- och startsektorproblem är:

• Skriv om MBR:n (mycket användbart om ett annat system eller ett tredjepartsverktyg har skrivit över det):
  bootrec /fixmbr
• Reparera startsektorn på systempartitionen:
  bootrec /fixboot

I vissa fall (särskilt i UEFI-system med EFI-partitionering i FAT32) Det fruktade meddelandet "Åtkomst nekad" kan visas när du kör /fixbootI dessa fall måste du kontrollera att systempartitionen är korrekt tilldelad en enhetsbeteckning, och ibland markera den som aktiv eller manuellt reparera startfilerna genom att kopiera dem. bootmgr och innehållet i \EFI\Microsoft\Boot.

Korrigera BCD-lagerfel

När BCD:n är korrupt eller pekar på icke-existerande anläggningarDu kommer att se mer specifika fel om "Boot Configuration Data". Här samarbetar BOOTREC och BCDEDIT (se diagnos med BCDEDIT).

En typisk procedur för att regenerera BCD från grunden är detta:

1. Sök efter detekterbara Windows-installationer:
   bootrec /scanos
2. Om den fortfarande inte startar efter skanningen, säkerhetskopiera BCD:n och återskapa den:
   bcdedit /export C:\bcdbackup
attrib C:\boot\bcd -r -s -h
ren C:\boot\bcd bcd.old
bootrec /rebuildbcd
3. När du blir tillfrågad om du vill lägga till den hittade installationen i startlistan, svara ja.

I vissa fall visas ett felmeddelande som anger "Den begärda systemenheten kunde inte hittas". När du försöker lägga till installationen, det är där du måste kontrollera med diskpart att systempartitionen är korrekt markerad, har en tilldelad bokstav och inte är skadad.

Ersätt Bootmgr-filen

Om felen efter flera försök pekar direkt på bootmgr försämradDu kan välja att byta namn på den felaktiga kopian och placera en ny från den systemreserverade partitionen eller från installationsmediet.

Den allmänna idén är att lämna det gamla. bootmgr säkert och kopiera ett fungerande till partitionen där systemet finns:

1. Identifiera den systemreserverade partitionen (vanligtvis utan bokstav, i FAT32 eller NTFS, cirka 100 MB i moderna Windows) och tilldela den en bokstav med diskpart vid behov.
2. I den partitionen, lista dolda filer och systemfiler med:
   attrib -r -s -h
3. Gör samma sak på systemenheten (till exempel C:) för att se bootmgr befintliga.
4. Ändra namnet på bootmgr skadad, till exempel:
   ren C:\bootmgr bootmgr.old
5. Kopiera bootmgr "felfri" från den systemreserverade partitionen till roten på Windows-enheten.
6. Starta om och kontrollera om den startar.

Återställ systemregistrets underträd

När fel indikerar att systemhive inte kan läsas in (”systemfil saknas eller är skadad”) övergår problemet från ett rent startrelaterat problem till ett registerproblem. I dessa fall är det vanligtvis nödvändigt att återställa registerunderträden från en giltig säkerhetskopia (du kan se tekniker för Förbättra registret med RegScanner).

Från WinRE-återställningsmiljön eller en ERD-reparationsdisk Du kan kopiera innehållet i C:\Windows\System32\config\RegBack a C:\Windows\System32\configöverskriva de skadade filerna (SYSTEM, PROGRAMVARA, etc.). Om den fortfarande inte startar, måste du återställa en fullständig systemsäkerhetskopia och sedan bara återställa de nödvändiga bikuporna.

Kärnfas: blåskärmar, loopar och krascher efter logotypen

Om du redan ser Windows-logotypen, även den snurrande "hjul"-ikonen med prickarMen om plötsligt en blå skärm dyker upp, den fryser eller helt enkelt en svart skärm dyker upp, ligger problemet troligtvis i kärnfasen eller i drivrutinerna som laddas i det skedet.

Några typiska symptom på misslyckande i denna fas är välkända:

• Stoppa koden direkt efter startskärmen (till exempel 0x00000C2, 0x0000007B, Etc.).
• Fel av INACCESSIBLE_BOOT_DEVICE, med stoppidentifieraren 0x7B, vilket antyder problem med åtkomst till startdisken.
• Det snurrande prickhjulet förblir på obestämd tid i "upptaget system".
• Skärmen blir svart efter att Windows-logotypen visas, utan några meddelanden.

I dessa situationer baseras återhämtningsalternativen på att man börjar på ett begränsat sätt och sedan diagnostisera med hjälp av verktyg som Loggboken, startloggar, minnesdumpar och själva registret.

Testa felsäkert läge och senast fungerande konfiguration

Felsäkert läge är fortfarande en klassiker eftersom det bara laddar det allra minsta. så att Windows startar och utelämnar en stor del av de drivrutiner och tjänster från tredje part som kan orsaka problemet.

Från de avancerade startalternativen Du kan prova:

• Säkert läge
• Säkert läge med nätverk
• Senast kända lyckade konfiguration (om tillgängligt i din version)

Om laget lyckas komma igång i någon av dessa varianterEn av de första sakerna som rekommenderas är att öppna Händelsevisare och granska system- och applikationsloggar runt den tidpunkt då symtomen började, och kopiera relevanta händelser för lugnande analys.

En ren start för att hitta motstridiga tjänster och drivrutiner

När problemet pekar på en tredjepartstjänst eller kontrollant (antivirus, säkerhetskopieringsprogram, speciella lagringsdrivrutiner etc.) är det mycket användbart att utföra en "ren start" med verktyget msconfig.

I systeminställningarna kan du välja "Selektiv start" och gradvis inaktivera icke-kritiska tjänster, särskilt de som inte kommer från Microsoft, tills du hittar den som utlöser startfelet. När den hittats kan du inaktivera den permanent och återgå till en "normal start".

Om problemet ligger i drivrutinssigneringen (särskilt i x64-system med säker start eller signaturkrav)Ett annat sätt är att börja med alternativet "Inaktivera obligatorisk användning av signerade drivrutiner" och analysera vilken drivrutin som kräver en signatur eller orsakar en konflikt, enligt riktlinjerna i Microsofts specifika artiklar om den här typen av problem.

INACCESSIBLE_BOOT_DEVICE-fel (STOP 0x7B)

Felet INACCESSIBLE_BOOT_DEVICE Det är en av de mest fruktade eftersom det antyder att Windows inte kan komma åt den enhet som den ska starta från: otillräckliga lagringsdrivrutiner, tredjepartsfilter, ändringar i SATA/RAID-styrenhetens läge i BIOS, etc.

En avancerad metod för att hantera detta fel innebär att filtrera drivrutiner från tredje part i registret. från återställningsmiljön:

1. Starta upp WinRE med en ISO-fil av samma Windows-version eller senare.
2. Öppna registereditorn och ladda systembiopaten, ge den ett tillfälligt namn, till exempel test.
3. Gå till nyckeln:
   HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class
4. Hitta poster UpperFilters y LowerFilters som hänvisar till drivrutiner som inte kommer från Microsoft.
5. För varje misstänkt drivrutin, rensa innehållet i motsvarande filtervärde.
6. Leta efter andra liknande förekomster i kupan, modifiera dem noggrant och töm kupan när du är klar.
7. Starta om systemet i normalt läge och kontrollera om felet 0x7B har försvunnit.

Om problemet började direkt efter att du installerat Windows-uppdateringarDet kan vara nödvändigt att ta bort väntande paket eller återställa uppdateringsåtgärder med DISM, ändra värden i registret (till exempel tjänsten TrustedInstaller) och till och med byta namn på filer som pending.xml en WinSxS för att avblockera processen.

Aktivera startloggning i Windows

Vid denna tidpunkt kommer artikelns huvudperson in i bilden: arkivet Ntbtlog.txtDen här filen är den klassiska Windows-startloggen; den registrerar drivrutiner och komponenter som laddas (eller slutar fungera) under uppstart, vilket gör att du till exempel kan upptäcka vilken specifik drivrutin som hindrar systemet från att starta.

BootLog är inte aktiverat som standardMen att aktivera det är väldigt enkelt och du kan göra det på två huvudsakliga sätt: genom boot.ini i äldre system eller med bcdedit I moderna versioner som Windows 10 och senare är det mycket användbart att kombinera det med tekniker för analysera med BootTrace.

Aktivera BootLog på boot.ini-baserade system (Windows XP och liknande)

På äldre datorer är startkonfigurationsfilen boot.ini, som finns i roten på den enhet där Windows är installerat (vanligtvis C:) och är markerad som en dold systemfil.

För att redigera den måste du först visa de skyddade systemfilerna. Från mappalternativen, leta reda på boot.ini och öppna den med Anteckningar. Där ser du en rad som liknar denna (men med andra parametrar):

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS=»Microsoft Windows XP Professional» /noexecute=optin /fastdetect

För att aktivera startloggning, lägg helt enkelt till modifieraren /BOOTLOG i slutet av den radenvilket resulterar i något liknande:

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS=»Microsoft Windows XP Professional» /noexecute=optin /fastdetect /BOOTLOG

När filen har sparats börjar systemet generera startposten vid varje start.Dessutom kan loggning i nödsituationer aktiveras från fall till fall från den avancerade startmenyn: genom att trycka på F8 precis innan Windows startar och välja alternativet "Aktivera startloggning".

Den genererade filen anropas alltid Ntbtlog.txt och den är sparad i Windows-mappen, vanligtvis i C:\Windows, redo att öppnas med Anteckningar och kontrollera vilka drivrutiner som har laddats korrekt och vilka som inte har det.

Aktivera och inaktivera BootLog med BCDEDIT i Windows 10 och senare

I moderna system som använder BCD (Windows Vista och senare, inklusive Windows 10)Startkonfigurationen hanteras inte längre med boot.inimen med startkonfigurationsdatalagret och verktyget bcdedit.

Så här aktiverar du startloggning på ett specifikt system Du behöver känna till identifieraren (ID) för den laddaren i BCD:n. Detta erhålls genom att köra följande kommando i en kommandotolk med administratörsbehörighet:

bcdedit

I blocket "Windows Boot Loader" ser du en rad som heter "Identifierare". vilket skulle kunna vara något liknande {current} eller ett annat GUID. Med hjälp av det ID:t kan du aktivera BootLog så här:

bcdedit /set {ID} bootlog Yes

För att inaktivera det, ändra helt enkelt värdet till "Nej".:

bcdedit /set {ID} bootlog No

Efter nästa omstart, om loggning är aktiverad, genererar Windows filen. Ntbtlog.txt på den angivna rutten med all nödvändig information om de styrenheter och moduler som är involverade i uppstarten, vilket är oerhört hjälpsamt vid diagnostisering av nyckfulla fel.

Tolka Ntbtlog.txt och andra startloggar

Men vid första anblicken Ntbtlog.txt det ser ut som en enkel lista med raderNyckeln är att förstå vilket mönster vi letar efter. I den här filen ser du poster som indikerar att en handkontroll har laddats eller hoppats över.

Tricket är att hitta drivrutiner som slutar fungera precis innan kraschen eller omstarten inträffar....eller de som uppenbarligen inte tillhör Microsoft och kan orsaka konflikter (antivirusdrivrutiner, diskkryptering, säkerhetskopieringslösningar etc.). Genom att kombinera denna information med händelser i Loggboken och, om tillgängliga, minnesdumpar kan problemet avsevärt minskas.

I många fall pekar minnesdumpar explicit på en specifik drivrutinsfil. (till exempel, \Windows\System32\drivers\stcvsm.sys (saknas eller skadas). De allmänna rekommendationerna i den här typen av fall är:

• Granska vilka funktioner den styrenheten erbjuder och om den är avgörande för uppstart.
• Om det är en icke-nödvändig drivrutin från tredje part, inaktivera den genom att ladda systemhive i registret från WinRE.
• Kör systemfilsgranskaren (sfc) i offline-läge om misstänkt systemfilskorruption.
• Om det misstänks att registret har blivit skadat utbrett eller att flera drivrutiner/tjänster nyligen har installerats, byt namn på de gamla hive-filerna (lägg till .old till namnen i C:\Windows\System32\configoch återställa säkerhetskopiorna av RegBackoch sedan försöker med en normal start.

Ibland, särskilt efter en större Windows-uppdatering, uppstår problemet vid reparation med DISM Den kommer från den ursprungliga bildversionenOm ISO-filen som används för återställningen inte stämmer överens med den installerade versionen, DISM Den returnerar felet 0x800f081f (”Källfilerna kunde inte hittas”). I dessa fall är det lämpligt att kontrollera med dism /get-wiminfo den exakta versionen av bilden (install.wim o install.esd) och hitta en ISO som faktiskt motsvarar versionen av det system som ska repareras.

Kort sagt, startregister som Ntbtlog.txt, Startup Repair SrtTrail, minnesdumpar och loggar för DISM y SFC De bildar ett informations"ekosystem" Det här verktyget låter dig rekonstruera vad som händer under varje start: vad som laddas, vad som hoppas över, vad som blir skadat och vilka ändringar (drivrutiner, uppdateringar, antivirusprogram eller olika verktyg) har stört processen. Genom att kombinera dessa verktyg med MBR, BCD, Bootmgr, RegBack och reparationstekniker för ren start är chanserna att återställa ett Windows-system som inte startar utan en fullständig ominstallation mycket högre än de först kan verka.

Relaterad artikel:

Boot Trace i Windows 11: En komplett guide för att analysera startprocesser

Isaac

Passionerad författare om bytesvärlden och tekniken i allmänhet. Jag älskar att dela med mig av min kunskap genom att skriva, och det är vad jag kommer att göra i den här bloggen, visa dig alla de mest intressanta sakerna om prylar, mjukvara, hårdvara, tekniska trender och mer. Mitt mål är att hjälpa dig att navigera i den digitala världen på ett enkelt och underhållande sätt.