Pliki zrzutów pamięci jądra systemu (Kernel Memory Dumps) w Windows: Gdzie system zapisuje dane po awarii krytycznej i jak je analizować?

Pliki zrzutów pamięci jądra systemu (Kernel Memory Dumps) to nic innego jak zapis stanu pamięci operacyjnej systemu operacyjnego w momencie krytycznej awarii, często nazywanej „niebieskim ekranem śmierci” (BSOD). System tworzy je automatycznie, gdy napotka błąd, którego nie jest w stanie sam odzyskać, zapisując kluczowe dane diagnostyczne do pliku na dysku, aby umożliwić późniejszą analizę. Typowym rozszerzeniem jest .dmp, a ich domyślna lokalizacja to zazwyczaj C:\Windows\Minidump dla małych zrzutów (minidump) lub bezpośrednio w katalogu systemowym C:\Windows\memory.dmp dla pełnych zrzutów pamięci.

Co to za plik i do czego służy?

Pliki `.dmp` to serce diagnostyki w Windows po niespodziewanym problemie. W praktyce system Windows, a konkretnie jego jądro (kernel), jest odpowiedzialny za ich utworzenie. Kiedy dochodzi do BSOD, jądro systemu, tuż przed całkowitym zatrzymaniem, próbuje zapisać obraz pamięci RAM na dysku. To kluczowe informacje, które mogą wyjaśnić, co dokładnie poszło nie tak – który sterownik zawinił, jaka funkcja systemu wywołała błąd, czy nastąpiło uszkodzenie pamięci. Bez tych plików, rozwiązywanie problemów byłoby zgadywanką.

Mamy trzy główne typy zrzutów:

• Mały zrzut pamięci (Minidump): Zawiera podstawowe informacje, takie jak kod błędu, parametry, listę załadowanych sterowników i stan procesów. Jest mały (kilkadziesiąt-kilkaset KB) i najczęściej wystarcza do podstawowej diagnozy. Znajdziesz go w `C:\Windows\Minidump`.
• Zrzut pamięci jądra (Kernel Memory Dump): Zapisuje tylko pamięć używaną przez jądro systemu. Plik jest większy, typowo od kilkuset MB do kilku GB, w zależności od ilości RAM używanej przez kernel. U mnie kiedyś, przy 16 GB RAM, miał około 2 GB.
• Pełny zrzut pamięci (Complete Memory Dump): To dosłownie kopia całej zawartości pamięci RAM w momencie awarii. Plik może być ogromny, rozmiarowo równy ilości zainstalowanej pamięci RAM (np. 16 GB RAM = 16 GB plik `memory.dmp`). Jego utworzenie może zająć nawet ~30 sekund, w zależności od szybkości dysku.

Czy to wirus? Czy mogę to usunąć i co się stanie?

Absolutnie nie, to nie jest wirus. Pliki `.dmp` są tworzone przez sam system Windows i są niezbędnym narzędziem diagnostycznym. Są to czyste dane binarnie, nieaktywne procesy.

Tak, możesz je usunąć. System do normalnego działania po awarii ich nie potrzebuje. U mnie zazwyczaj po udanej analizie, lub gdy po prostu brakuje mi miejsca na dysku, usuwam starsze zrzuty. Co się stanie po usunięciu? Nic. Twój system będzie działał dokładnie tak samo. Jedyne, co stracisz, to możliwość analizy konkretnej, minionej awarii. Jeśli problem się powtórzy, system stworzy nowy plik `.dmp`. Najprostszym sposobem na ich usunięcie jest użycie systemowego narzędzia Oczyszczanie dysku (disk cleanup).

Gdzie szukać i jak ustawić opcje zrzutów pamięci?

Domyślnie minidumpy są w `C:\Windows\Minidump`, a pełny zrzut w `C:\Windows\memory.dmp`. Aby sprawdzić lub zmienić ustawienia zrzutów:

1. Otwórz Panel sterowania.

2. Przejdź do System i zabezpieczenia, a następnie System.

3. W lewym panelu wybierz Zaawansowane ustawienia systemu.

4. W zakładce Zaawansowane w sekcji Uruchamianie i odzyskiwanie kliknij Ustawienia….

5. Tam znajdziesz opcję Zapisywanie informacji o debugowaniu, gdzie możesz wybrać typ zrzutu (brak, mały, zrzut jądra, pełny) i ścieżkę do pliku. Sprawdź, czy masz ustawiony „Mały zrzut pamięci” – to najlepszy kompromis.

Typowe problemy i błędy ze zrzutami pamięci

• Brak pliku zrzutu: Najczęstszy problem. Może być spowodowany niewystarczającą ilością miejsca na dysku systemowym, wyłączoną opcją tworzenia zrzutów, uszkodzonym systemem plików lub problemem z plikiem stronicowania. Zrzuty wymagają, by plik stronicowania (pagefile.sys) był odpowiednio duży, zwłaszcza dla pełnych zrzutów.
• Uszkodzony plik zrzutu: Czasami plik `.dmp` jest uszkodzony i narzędzia do analizy nie są w stanie go otworzyć. Może to wynikać z niestabilności systemu podczas zapisu lub problemów z dyskiem. Próbowałem raz analizować taki uszkodzony plik i WinDbg po prostu zwracał błędy.
• Zajętość miejsca na dysku: Pełne zrzuty pamięci potrafią zająć dziesiątki gigabajtów, co na mniejszych dyskach SSD staje się problemem. Upewnij się, że masz ustawione na minidump, jeśli nie jesteś ekspertem i nie potrzebujesz pełnego.

Dlaczego pliki zrzutów są systemowe?

Pliki `.dmp` są tworzone z atrybutami systemowymi i ukrytymi. To zresztą logiczne, bo system chce je chronić przed przypadkowym usunięciem przez użytkownika tuż po awarii. Gdyby były łatwo dostępne do usunięcia, większość osób pewnie by je skasowała, tracąc cenne dane diagnostyczne. Nie są one „read-only” w sensie, że nie można ich usunąć (administrator może), ale ich status jako pliki systemowe sprawia, że są mniej widoczne i mniej podatne na przypadkowe modyfikacje. Zresztą, sama nazwa `memory.dmp` wskazuje na ich systemowy charakter.

Najczęstsze pytania

Jak otworzyć plik zrzutu pamięci?

Do analizy plików `.dmp` najczęściej używa się narzędzia WinDbg (Windows Debugger), które jest częścią Windows SDK, lub prostszych aplikacji takich jak BlueScreenView.

Czy tworzenie zrzutów spowalnia system?

Samo tworzenie zrzutu pamięci następuje *po* krytycznej awarii i nie spowalnia normalnego działania systemu. W momencie awarii, system i tak się zatrzyma, więc czas poświęcony na zapisanie zrzutu nie jest dodatkowym obciążeniem podczas normalnej pracy.

Czy powinienem zawsze mieć włączone tworzenie zrzutów?

Tak, zdecydowanie. Zawsze włączaj tworzenie małych zrzutów pamięci. To absolutne minimum, aby w razie problemów mieć szansę na zdiagnozowanie przyczyny BSOD bez konieczności zgadywania.

Zrób szybki check ustawień zaawansowanych systemu, upewnij się, że masz ustawiony Mały zrzut pamięci i że masz wystarczająco miejsca na dysku C: na ewentualne pliki w katalogu Minidump. To 2 minuty, które mogą zaoszczędzić godziny frustracji.