Académique Documents
Professionnel Documents
Culture Documents
Lorsqu’une erreur fatale se produit sur votre système, Windows affiche le célèbre écran bleu de la mort
(ou BSoD pour Blue Screen of Death). Cette erreur fatale survient lorsque le système d’exploitation
atteint un état critique où il ne peut plus fonctionner correctement.
Vous pouvez en rencontrer une lors de l’installation d’une mise à jour, d’un programme, d’un matériel,
ou bien soudainement, sans qu’aucune action précise ne semble l’avoir déclenché. Windows agit
toujours ainsi : il s’arrête brutalement pour se protéger d’éventuelles pertes de données, affiche son
écran bleu puis redémarre votre ordinateur.
Le saviez-vous ?
D’après les rapports d’erreurs qui ont été envoyés à Microsoft jusqu’en avril 2014, les raisons pour
lesquelles Windows crashe se répartissent ainsi :
Parfois exceptionnel, l’écran bleu de la mort qui fait suite à une erreur fatale peut malheureusement
s’afficher de façon répétée sur votre machine. Si c’est le cas pour vous actuellement, il vous faudra
trouver le pilote responsable de l’erreur fatale et y apporter une solution. Un périphérique, son pilote
Dans ce tutoriel, je vais vous montrer comment analyser un écran bleu afin de trouver le pilote
responsable de l’erreur fatale et ainsi pouvoir régler définitivement le problème ! Le but étant de vous
permettre d’utiliser de nouveau votre PC en toute quiétude, sans crainte qu’un écran bleu apparaisse de
nouveau et vous interrompt dans votre travail.
Sommaire
• Préambule : les fichiers d’image mémoire
• Résoudre un écran bleu de la mort (BSOD) o Étape 1 :
analyser les fichiers d’image mémoire
▪ via les fichiers d’image mémoire partielle
▪ via le fichier d’image mémoire complète ou du
noyau o Étape 2 : résoudre le problème d’écran
bleu
▪ Solutions spécifiques à un pilote fautif
▪ Solutions d’ordre général
• Liens utiles
Le Crabe vous a aidé ?
Aidez-le en retour en désactivant votre bloqueur de publicités !
(merci pour le coup de pince )
Quand le système crashe, Windows affiche donc un écran bleu, lequel est accompagné d’un code
d’arrêt. Ce code d’arrêt nous donne une première information sur la nature de l’erreur fatale.
Info : vous pouvez retrouver l’ensemble des codes d’arrêt et leur signification sur la page Bug Check
Code Reference du site Microsoft Hardware Dev Center.
Écran bleu de la mort avec le code d’arrêt : MEMORY_MANAGEMENT
Cependant, ce code d’arrêt peut se révéler assez avare en informations. Dans la capture ci-dessus, le
code d’arrêt MEMORY_MANAGEMENT indique qu’une erreur grave de gestion de la mémoire est
survenue… sans qu’on en sache beaucoup plus (cf. Bug Check 0x1A: MEMORY_MANAGEMENT).
Jusqu’à Windows 7, l’écran bleu affichait quatre paramètres, lesquels étaient associés au code d’arrêt (il
est possible de retrouver ces quatre paramètres dans l’Observateur d’événements). Ils permettent d’en
savoir un peu plus sur l’erreur fatale.
J’ai un code d’arrêt qui ne me donne aucune information et le nom du pilote responsable du crash ne
s’affiche pas… Comment je vais faire pour trouver l’origine de l’erreur fatale ?
Je n’ai pas eu le temps de voir ce qui était marqué sur l’écran bleu ! Comment je vais faire pour déboguer
Windows ?
Pas de panique ! J’allais justement vous donner LA solution pour trouver la source de vos écrans bleus.
Après le plantage du système et après que l’écran bleu s’affiche, Windows procède à un vidage de la
mémoire physique (RAM) de l’ordinateur, en déchargeant son contenu dans un fichier du disque dur : le
fichier d’image mémoire (ou Memory Dump File). Vous pouvez d’ailleurs suivre l’état d’avancement du
vidage de la mémoire sur l’écran bleu via le pourcentage d’achèvement qui s’incrémente petit à petit
(jusqu’à « 100% achevés »).
Ce fichier d’image mémoire contient donc une copie de toutes les données présentes dans la mémoire
de l’ordinateur avant le plantage. Ces données vont se révéler précieuses afin d’établir un diagnostic
complet sur le crash de Windows. En les consultant, nous trouverons à coup sûr le pilote responsable du
plantage de Windows !
On trouve deux types de fichiers d’image mémoire : des fichiers pour le mode noyau (Kernel-Mode
Dump Files) et des fichiers pour le mode utilisateur (User-Mode Dump Files).[1]
[1]
Mode utilisateur et mode noyau ^
Sur un PC Windows, le processeur a deux modes différents : un mode utilisateur et un mode noyau. Le
processeur bascule entre les deux modes en fonction du type de code qu’il exécute : les applications
s’exécutent en mode utilisateur, les composants du système d’exploitation en mode noyau. La plupart
des pilotes s’exécutent en mode noyau, mais certains peuvent fonctionner en mode utilisateur.
Source : « User mode and kernel mode » – Microsoft Hardware Dev Center.
Pour régler vos problèmes d’écran bleu, il faut analyser les fichiers d’image mémoire du mode noyau. Ce
sont ces fichiers qui contiennent les informations permettant de déboguer le système ; les fichiers du
mode utilisateur permettent eux de déboguer uniquement les programmes installés par les utilisateurs.
Windows peut générer cinq types d’image mémoire pour le mode noyau, la différence se situant autour
de la taille du fichier généré :
• Image mémoire complète : contient toute la mémoire physique qui était utilisée par Windows au
moment du crash. C’est le fichier d’image mémoire le plus volumineux. Il requiert un fichier
• Vidage mémoire actif : similaire à l’image mémoire complète, elle ne contient cependant pas la
mémoire affectée aux machines virtuelles Hyper-V, inutile pour le débogage de la machine hôte.
Lorsque la mémoire vive (RAM) est saturée, Windows crée un fichier (PageFile.sys) sur le lecteur système
(C:) pour y stocker des informations supplémentaires : c’est le fichier d’échange. Cette technique permet
à Windows de stocker sur le disque dur des informations qu’il devrait normalement stocker en mémoire
vive. On dit que Windows dispose d’une mémoire virtuelle, qui correspond à la somme entre la taille de
la mémoire vive (RAM) et celle du fichier d’échange.
Source : « User mode and kernel mode » – Microsoft Hardware Dev Center.
Vous pouvez configurer le type d’image mémoire que Windows crée en cas de plantage dans
les Paramètres système avancés (%SystemRoot%\System32\SystemPropertiesAdvanced.exe) >
Démarrage et récupération.
Il est recommandé de laisser le type d’image mémoire par défaut : Vidage mémoire automatique.
Seul un et seul fichier d’image mémoire peut être créé lors d’un crash du système. Si une deuxième
erreur fatale se produit et qu’une image mémoire du noyau (ou une image mémoire complète) est
créée, celle-ci remplacera la précédente (si l’option « Remplacer tous les fichiers existants paramètre »
est cochée).
Quelque soit le type d’image mémoire que vous avez choisi, Windows crée toujours en plus un fichier
d’image mémoire partielle chaque fois que le système s’arrête de manière inattendue (quand l’écran
bleu s’affiche), même si vous avez sélectionné « Image mémoire du noyau » ou « Image mémoire
complète » dans les paramètres.
Si une deuxième erreur fatale se produit, une deuxième image mémoire partielle est créée et la
précédente sera conservée. Chaque nouveau fichier d’image mémoire partielle aura un nom différent,
Tous les fichiers d’image mémoire partielle sont conservés dans le dossier %SystemRoot%\Minidump.
Maintenant que vous connaissez le fonctionnement des fichiers d’image mémoire, allons consulter les
informations de débogage qu’ils contiennent afin de trouver le pilote responsable de vos écrans
bleus de la mort !
Pour commencer, nous allons analyser les fichiers d’image mémoire partielle.
Même si ces derniers contiennent peu d’informations, il n’est pas rare d’y trouver le pilote responsable
de l’erreur fatale.
Si les fichiers d’image mémoire partielle ne nous permettent pas de trouver la source de l’écran bleu de
la mort, nous irons analyser le fichier d’image complète ou du noyau qui contient beaucoup plus
d’informations sur le plantage qui a causé l’écran bleu de la mort.
L’utilitaire de contrôle d’image mémoire (Dumpchk.exe) est un utilitaire de ligne de commande proposé
par Microsoft pour vérifier et lire les fichiers d’image mémoire.
Contrairement aux autres outils de débogage disponibles, Dumpchk.exe ne nécessite pas l’accès aux
symboles de débogage, qui sont volumineux et qui doivent être téléchargés pour faire un débogage.
C’est pourquoi nous allons utiliser le programme BlueScreenView : il scanne tous les fichiers d’image
mémoire créés sur votre ordinateur suite à un crash de Windows, et affiche clairement les informations
qu’ils contiennent.
Dès maintenant, téléchargez et installez BlueScreenView sur votre ordinateur, puis exécutez-le.
Pour chaque crash, BlueScreenView affiche le nom du fichier d’image mémoire partielle, la date et
l’heure du crash, le code d’arrêt (affiché sur l’écran bleu), les 4 paramètres du code d’arrêt, et les
détails sur le pilote qui a probablement provoqué le crash (nom du fichier, nom du produit,
description du fichier et version fichier).
Dans le panneau inférieur, par défaut, BlueScreenView affiche tous les pilotes qui étaient chargés lors
du crash (que vous avez sélectionné dans le panneau supérieur). Les pilotes dont l’adresse mémoire a
été trouvée dans la pile du crash sont surlignés en rose, ce qui permet de localiser facilement les pilotes
qui sont susceptibles d’être les responsables du crash.
Votre mission est simple : repérez le pilote responsable de l’écran bleu dans la colonne « Caused By
Driver » !
Dans la capture ci-dessous, on voit que le crash du 5 août 2013 a été provoqué par le pilote
nvlddmkm.sys qui fait vraisemblablement tourner une carte graphique NVIDIA.
Source : Norton
Community
Si vous souhaitez avoir plus de détails sur le pilote détecté (à quel composant, périphérique ou
programme il appartient), cliquez droit sur le fichier d’image mémoire et sélectionnez Google Search –
Bug Check + Driver pour lancer une recherche sur Internet.
C’est le cas si BlueScreenView affiche ntoskrnl.exe dans la colonne « Caused By Driver ». C’est faux : il
s’agit simplement du dernier fichier de la pile qui était chargé avant que l’écran bleu n’apparaisse. Ce
n’est PAS le fichier qui a provoqué l’erreur fatale.
Selon ce qu’affiche BlueScreenView dans la colonne « Cause By Driver », appliquez ce qui suit :
Info : le fichier d’image mémoire complète ou du noyau qui nous allons analyser correspond au fichier
d’image mémoire du dernier écran bleu qui est apparu sur votre ordinateur. Autrement dit, il s’agit de la
version plus « complète » du fichier d’image partielle le plus récent affiché dans BlueScreenView (vous
pouvez trier les fichiers d’image partielle par date en cliquant sur l’en-tête de la colonne « Crash Time »).
Pour analyser le fichier d’image mémoire complète ou de noyau, nous devons installer les débogueurs
Windows (inclus dans le SDK de Windows).
3. Parmi toutes les fonctionnalités proposées, n’installez que les outils de débogage.
Laissez Debugging Tools for Windows coché et décochez toutes les autres cases, puis install
Après l’installation des outils de débogage, vous avez cinq environnements de débogages à votre
disposition (cf. Debugging Environments pour plus de détails) dont Microsoft Windows Debugger
(WinDbg), un débogueur capable de déboguer en mode utilisateur et en mode noyau.
WinDbg fournit un débogage pour le noyau Windows, les pilotes en mode noyau et les services système,
ainsi que les applications et les pilotes en mode utilisateur. C’est celui-ci que nous allons utiliser.
Astuce : afin de pouvoir lire plus facilement les fichiers d’image mémoire (.dmg), vous pouvez les
associer avec le programme WinDbg. Pour ce faire, ouvrez une invite de commandes en tant
qu’administrateur et entrez les commandes suivantes (à adapter selon votre version de Windows) :
1. Exécutez WinDbg en tant qu’administrateur : ouvrez le menu Démarrer, entrez « windbg », cliquez
droit sur WinDbg (X64) (ou WinDbg (x86) si vous utilisez une version 32 bits de Windows)
2. puis sélectionnez Exécuter en tant qu’administrateur.
3. La fenêtre principe du débogueur WinDbg s’ouvre.
4. Spécifiez l’emplacement des symboles de débogage via File > Symbol File Path. Les fichiers de
srv*c:\SymbolsSrvCache*https://msdl.microsoft.com/download/symbols
6. Sauvegardez l’espace de travail via File > Save Workspace. Cela va nous éviter d’avoir à redéfinir
7. l’emplacement des symboles de débogage à chaque session.
symboles contiennent une variété de données qui sont très utiles pour le débogage.
10. Attendez que WinDbg charge les symboles nécessaires au débogage du fichier d’image mémoire.
Le texte Debuggee not connected est affiché en bas de la fenêtre ; vous devez attendre que l’invite
de commande kd> s’affiche.
11. Une fois que vous avez la main, entrez la commande !analyze -v pour lancer l’analyse du fichier
d’image mémoire.
12. L’analyse est terminée lorsque le texte *BUSY* ne s’affiche plus en bas de la fenêtre et que vous
avez de nouveau accès à l’invite de commande kd>.
13. Faites glisser la barre de défilement vers le haut jusqu’à la ligne IMAGE_NAME. Vous y trouverez
des informations intéressantes, comme celles-ci :
14. IMAGE_NAME: cpuz138_x64
15. MODULE_NAME: cpuz138_x64
16. FAULTING MODULE: fffff8004dc30000 cpuz138_x64
L’interprétation des données est ensuite assez simple. Les noms des fichiers mis en cause permettent de
cibler le périphérique, le pilote ou le programme responsable de l’écran bleu.
Si vous ne savez pas à quoi il fait référence, il vous suffira de lancer une recherche sur le web pour
obtenir plus d’informations sur ledit pilote. Dans la capture ci-dessus par exemple, c’est le pilote
appartenant au programme CPU-Z qui a planté (cpuz138_x64), programme qui a été lancé par le
logiciel Speccy (Speccy64.exe).
Suivant ce que vous avez trouvé dans le fichier d’image système, appliquez ce qui suit :
• Si vous avez trouvé un nom de fichier faisant référence à un périphérique ou un programme ->
appliquez les solutions spécifiques à un pilote fautif.
• Si vous n’avez toujours rien trouvé -> utilisez le Vérificateur de pilotes de Windows (pour détecter
les pilotes défectueux) ou sinon, appliquez les solutions d’ordre général aux erreurs d’écran bleu.
Si vous avez suivi les instructions précédentes, vous avez trouvé le pilote responsable de l’écran bleu.
Suivez maintenant les instructions suivantes pour corriger définitivement le problème et mettre fin à
votre problème d’écran bleu :
Félicitations : vous avez réussi à résoudre l’écran bleu de la mort (BSOD) de Windows en mettant à jour
ou en désinstallant le pilote du programme ou périphérique mis en cause ! 👍
Si vous n’avez pas réussi à trouver le pilote responsable de l’écran bleu, vous pouvez suivre ces quelques
suggestions :
• Si vous avez récemment ajouté un périphérique à votre ordinateur, vérifiez auprès du fabricant si
des correctifs sont disponibles et installez-les si c’est le cas.
• Débranchez tout périphérique externe superflu (imprimante, webcam…) et vérifiez si cela permet
de résoudre le problème d’écran bleu.
• Si de nouveaux pilotes de périphériques ou des services système ont été installés récemment,
essayez de les supprimer ou de restaurer les anciennes versions des pilotes.
Ces suggestions sont valables pour la majeure partie des erreurs d’écran bleu.
Voici quelques exemples de code d’arrêt que vous pouvez rencontrer sur Windows :