57、Windows系统故障管理、诊断与追踪技术解析

Windows系统故障管理、诊断与追踪技术解析

在Windows系统的使用过程中，故障的出现难以避免。无论是内核崩溃、应用程序挂起，还是旧驱动与新系统不兼容等问题，都可能影响系统的正常运行。本文将深入探讨Windows系统中关于故障管理、诊断和追踪的相关技术，包括内核报告生成、进程挂起检测、全局标志设置以及内核垫片引擎等内容。

内核报告生成

当Wininit启动WerFault进程并正确生成最终转储文件后，WerFault会生成报告并发送到Microsoft在线崩溃分析站点（或配置的内部错误报告服务器）。内核崩溃报告的生成过程如下：
1. 提取小型转储文件 ：若生成的转储文件不是小型转储文件，WerFault会从中提取小型转储文件，并将其存储在默认位置 %SystemRoot%\Minidump ，除非通过 HKLM\SYSTEM\CurrentControlSet\Control\CrashControl 键中的 MinidumpDir 值进行了其他配置。
2. 记录小型转储文件名 ：将小型转储文件的名称写入 HKLM\SOFTWARE\Microsoft\Windows\Windows Error Reporting\KernelFaults\Queue 。
3. 设置执行命令 ：向 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce 添加执行