BlueScreen bei mehreren Windows 7 Desktop PC's

[Rolando]

Hallo
Ich habe hier mehrere identische Desktop PC's,
HP Compaq 8200 / i5 2500 / 4GB RAM
Windows 7 Pro 32Bit
die alle sporadisch BlueScreens bringen.
Selbst gesehen hab ich es noch nicht, immer nur das Fenster mit dem Hinweis:
Windows wird nach unerwartetem Herunterfahren wieder ausgeführt.

Der Text aus diesem Hinweisfenster steht in der angefügten "BlueScreen1.txt"
Und die darin beschriebene .xml-Datei habe ich auch mit angehängt.
Ich kann daraus nichts lesen, was mich evtl. in die richtige Richtung führen würde.
Wenn ich das richtig gesehen habe, ist der Inhalt der Dateien ist immer wieder gleich, auch gleich mit denen der anderen betroffenen PC's.
Kann hier jemand was aus den Dateien raus lesen, was mich evtl. zu dem Fehler führen kann?
Danke mal wieder für die Hilfe

 

[Dante2000]

Die Hauptfrage: Warum wird noch Windows 7 verwendet?

Der Anhang scheint noch nicht hochgeladen worden zu sein.

 

[Homura]

Guck mal in die Ereignisanzeige. Steht dort überall das gleiche?

 

[Sephe]

Und warum 8GB RAM, wenn Windows 7 32-Bit verwendet wird?

 

[Rolando]

8GB RAM war ein Versehen. Ist im Thread geändert.
Für die Anwendungen kommt nur max Windows 7 in Frage.
Und ja... Die Anhänge auch hochzuladen könnte hilfreich sein...
Die Datei WER-77......txt ist umbenannt. Vorher war es eine xml-Datei

 

[BrollyLSSJ]

@Rolando
Du könntest mal die in der BlueScreen1 genannte DMP Datei (bzw. mehrere) hochladen:
C:\Windows\Minidump\101021-24772-01.dmp

Dann können hier die Leute z.B. mit WinDBG nachgucken, was es verursacht hat. Eventuell kannst du auch selber per Nirsoft BlueScreenView sehen. Das Tool sollte hoffentlich noch die korrekten Daten bei Windows 7 anzeigen. Bei Windows 10 fand ich WinDBG von Microsoft genauer.

 

[Rolando]

Leider werde ich mit dem Inhalt der Datei wenig anfangen können. Deshalb habe ich sie auch als txt Datei umbenannt und oben mit dazu gepackt.

EDIT
Aber ich hab es dann doch mal mit dem BlueScreenViewer probiert und das Ergebnis als Datei gespeichert.

==================================================
Dump File : 101021-24772-01.dmp
Crash Time : 10.10.2021 18:22:12
Bug Check String : PAGE_FAULT_IN_NONPAGED_AREA
Bug Check Code : 0x00000050
Parameter 1 : 0xd4d04002
Parameter 2 : 0x00000000
Parameter 3 : 0x8c27ac5b
Parameter 4 : 0x00000000
Caused By Driver : ntkrnlpa.exe
Caused By Address : ntkrnlpa.exe+8b91d
File Description : NT Kernel & System
Product Name : Microsoft® Windows® Operating System
Company : Microsoft Corporation
File Version : 6.1.7601.24545 (win7sp1_ldr_escrow.200102-1707)
Processor : 32-bit
Crash Address : ntkrnlpa.exe+8b91d
Stack Address 1 : ntkrnlpa.exe+46d30
Stack Address 2 : swin.sys+55c5b
Stack Address 3 : swin.sys+c49ff
Computer Name :
Full Path : C:\Windows\Minidump\101021-24772-01.dmp
Processors Count : 4
Major Version : 15
Minor Version : 7601
Dump File Size : 149.896
Dump File Time : 10.10.2021 18:24:14
==================================================

 

[BrollyLSSJ]

Also der Dump sagt dieses:

Spoiler: Dumpfile lesbar als Txt

Microsoft (R) Windows Debugger Version 10.0.18362.1 AMD64
Copyright (c) Microsoft Corporation. All rights reserved.


Loading Dump File [C:\Temp\Minidump\101021-24772-01.dmp]
Mini Kernel Dump File: Only registers and stack trace are available


************* Path validation summary **************
Response                         Time (ms)     Location
Deferred                                       SRV*C:\Symbols\Windows*http://msdl.microsoft.com/download/symbols
Deferred                                       SRV*C:\Symbols\Citrix*http://ctxsym.citrix.com/symbols
Deferred                                       SRV*C:\Symbols\NET*http://srv.symbolsource.org/pdb/Public
Deferred                                       SRV*C:\Symbols\NET*http://srv.symbolsource.org/pdb/MyGet
Deferred                                       SRV*C:\Symbols\Chrome*http://chromium-browser-symsrv.commondatastorage.googleapis.com/
Deferred                                       SRV*C:\Symbols\Firefox*http://symbols.mozilla.org/firefox
Symbol search path is: SRV*C:\Symbols\Windows*http://msdl.microsoft.com/download/symbols;SRV*C:\Symbols\Citrix*http://ctxsym.citrix.com/symbols;SRV*C:\Symbols\NET*http://srv.symbolsource.org/pdb/Public;SRV*C:\Symbols\NET*http://srv.symbolsource.org/pdb/MyGet;SRV*C:\Symbols\Chrome*http://chromium-browser-symsrv.commondatastorage.googleapis.com/;SRV*C:\Symbols\Firefox*http://symbols.mozilla.org/firefox
Executable search path is:
Windows 7 Kernel Version 7601 (Service Pack 1) MP (4 procs) Free x86 compatible
Product: WinNt, suite: TerminalServer SingleUserTS
Built by: 7601.24545.x86fre.win7sp1_ldr_escrow.200102-1707
Machine Name:
Kernel base = 0x8343f000 PsLoadedModuleList = 0x83595730
Debug session time: Sun Oct 10 18:22:12.631 2021 (UTC + 2:00)
System Uptime: 6 days 10:07:22.865
Loading Kernel Symbols
...............................................................
................................................................
.........................................
Loading User Symbols
Loading unloaded module list
................
For analysis of this file, run !analyze -v
2: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

PAGE_FAULT_IN_NONPAGED_AREA (50)
Invalid system memory was referenced.  This cannot be protected by try-except.
Typically the address is just plain bad or it is pointing at freed memory.
Arguments:
Arg1: d4d04002, memory referenced.
Arg2: 00000000, value 0 = read operation, 1 = write operation.
Arg3: 8c27ac5b, If non-zero, the instruction address which referenced the bad memory
    address.
Arg4: 00000000, (reserved)

Debugging Details:
------------------

Unable to load image \SystemRoot\system32\drivers\swin.sys, Win32 error 0n2
*** WARNING: Unable to verify timestamp for swin.sys

Could not read faulting driver name

KEY_VALUES_STRING: 1


PROCESSES_ANALYSIS: 1

SERVICE_ANALYSIS: 1

STACKHASH_ANALYSIS: 1

TIMELINE_ANALYSIS: 1


DUMP_CLASS: 1

DUMP_QUALIFIER: 400

BUILD_VERSION_STRING:  7601.24545.x86fre.win7sp1_ldr_escrow.200102-1707

SYSTEM_MANUFACTURER:  Hewlett-Packard

SYSTEM_PRODUCT_NAME:  HP Compaq 8200 Elite CMT PC

SYSTEM_SKU:  SP369UP#ABD

BIOS_VENDOR:  Hewlett-Packard

BIOS_VERSION:  J01 v02.15

BIOS_DATE:  11/10/2011

BASEBOARD_MANUFACTURER:  Hewlett-Packard

BASEBOARD_PRODUCT:  1494

DUMP_TYPE:  2

BUGCHECK_P1: ffffffffd4d04002

BUGCHECK_P2: 0

BUGCHECK_P3: ffffffff8c27ac5b

BUGCHECK_P4: 0

READ_ADDRESS: GetPointerFromAddress: unable to read from 835b5850
Unable to get MmSystemRangeStart
GetUlongPtrFromAddress: unable to read from 835b5208
GetUlongPtrFromAddress: unable to read from 835b56ec
Unable to get NonPagedPoolStart
Unable to get PagedPoolStart
 d4d04002

FAULTING_IP:
swin+55c5b
8c27ac5b 663b13          cmp     dx,word ptr [ebx]

MM_INTERNAL_CODE:  0

CPU_COUNT: 4

CPU_MHZ: cdc

CPU_VENDOR:  GenuineIntel

CPU_FAMILY: 6

CPU_MODEL: 2a

CPU_STEPPING: 7

CPU_MICROCODE: 6,2a,7,0 (F,M,S,R)  SIG: 1B'00000000 (cache) 1B'00000000 (init)

CUSTOMER_CRASH_COUNT:  1

DEFAULT_BUCKET_ID:  WIN7_DRIVER_FAULT

BUGCHECK_STR:  0x50

PROCESS_NAME:  service_proces

CURRENT_IRQL:  0

ANALYSIS_SESSION_HOST:  DE-L082910

ANALYSIS_SESSION_TIME:  10-13-2021 12:56:10.0475

ANALYSIS_VERSION: 10.0.18362.1 amd64fre

TRAP_FRAME:  980db63c -- (.trap 0xffffffff980db63c)
ErrCode = 00000000
eax=00000000 ebx=d4d04002 ecx=00000000 edx=00000000 esi=d4d03ffc edi=d4d03ffc
eip=8c27ac5b esp=980db6b0 ebp=980db6d0 iopl=0         nv up ei pl zr na pe nc
cs=0008  ss=0010  ds=0023  es=0023  fs=0030  gs=0000             efl=00010246
swin+0x55c5b:
8c27ac5b 663b13          cmp     dx,word ptr [ebx]        ds:0023:d4d04002=????
Resetting default scope

LAST_CONTROL_TRANSFER:  from 83485d30 to 834ca91d

STACK_TEXT:
980db624 83485d30 00000000 d4d04002 00000000 nt!MmAccessFault+0x104
980db624 8c27ac5b 00000000 d4d04002 00000000 nt!KiTrap0E+0x2c8
WARNING: Stack unwind information not available. Following frames may be wrong.
980db6d0 8c2e99ff 00000010 d4d03fa0 0000005c swin+0x55c5b
980db73c 8c27b051 d60953c8 0000005c 00000010 swin+0xc49ff
980db78c 8c27b5af c6e59328 d60953c8 980db7b0 swin+0x56051
980db90c 8c2fb013 c6e59328 d60953c8 00000000 swin+0x565af
980db92c 8c2f57c4 980dbabc 980db97c 00000000 swin+0xd6013
980db970 8c2f5a7b 980dbabc 00000000 00000000 swin+0xd07c4
980db9b4 8c2eed76 980dbabc 8e40d9b0 980dba10 swin+0xd0a7b
980dba18 8c29c2d3 00000004 980dba8c 04e2f064 swin+0xc9d76
980dbc10 8347fa3a 04e2f064 0000000f 00000000 swin+0x772d3
980dbc10 76e36b94 04e2f064 0000000f 00000000 nt!KiSystemServicePostCall
04e2f078 00000000 00000000 00000000 00000000 0x76e36b94


THREAD_SHA1_HASH_MOD_FUNC:  28bcd27f81312748d033d680bbf9bbb1c25f8efe

THREAD_SHA1_HASH_MOD_FUNC_OFFSET:  fa416067ba55059035e6e0684e9a0200077c1ceb

THREAD_SHA1_HASH_MOD:  0b9968c50445ad983198d581e793a783d2bd5ed4

FOLLOWUP_IP:
swin+55c5b
8c27ac5b 663b13          cmp     dx,word ptr [ebx]

FAULT_INSTR_CODE:  74133b66

SYMBOL_STACK_INDEX:  2

SYMBOL_NAME:  swin+55c5b

FOLLOWUP_NAME:  MachineOwner

MODULE_NAME: swin

IMAGE_NAME:  swin.sys

DEBUG_FLR_IMAGE_TIMESTAMP:  584ab743

STACK_COMMAND:  .thread ; .cxr ; kb

FAILURE_BUCKET_ID:  0x50_swin+55c5b

BUCKET_ID:  0x50_swin+55c5b

PRIMARY_PROBLEM_CLASS:  0x50_swin+55c5b

TARGET_TIME:  2021-10-10T16:22:12.000Z

OSBUILD:  7601

OSSERVICEPACK:  1000

SERVICEPACK_NUMBER: 0

OS_REVISION: 0

SUITE_MASK:  272

PRODUCT_TYPE:  1

OSPLATFORM_TYPE:  x86

OSNAME:  Windows 7

OSEDITION:  Windows 7 WinNt (Service Pack 1) TerminalServer SingleUserTS

OS_LOCALE:

USER_LCID:  0

OSBUILD_TIMESTAMP:  2020-01-03 04:03:36

BUILDDATESTAMP_STR:  200102-1707

BUILDLAB_STR:  win7sp1_ldr_escrow

BUILDOSVER_STR:  6.1.7601.24545.x86fre.win7sp1_ldr_escrow.200102-1707

ANALYSIS_SESSION_ELAPSED_TIME:  2d26

ANALYSIS_SOURCE:  KM

FAILURE_ID_HASH_STRING:  km:0x50_swin+55c5b

FAILURE_ID_HASH:  {64d23f15-0e46-2ffa-8077-3a17696846d7}

Followup:     MachineOwner
---------

Eventuell ein RAM Problem verursacht durch den Zugriff der swin.sys:

PAGE_FAULT_IN_NONPAGED_AREA (50)
Invalid system memory was referenced. This cannot be protected by try-except.
Typically the address is just plain bad or it is pointing at freed memory.
Arguments:
Arg1: d4d04002, memory referenced.
Arg2: 00000000, value 0 = read operation, 1 = write operation.
Arg3: 8c27ac5b, If non-zero, the instruction address which referenced the bad memory
address.
Arg4: 00000000, (reserved)

MODULE_NAME: swin
IMAGE_NAME: swin.sys

Wäre die Frage, ob das bei allen Systemen der gleiche BSoD ist.

 

[HerrAbisZ]

Wann wurde der Laptop/PC zuletzt entstaubt ?

http://blog.is-a-geek.org/dreckschleudern-der-etwas-anderen-art/comment-page-1

https://www.drwindows.de/xf/threads/laptop-stürzt-dauernd-ab.166575/page-2#post-1794417

HDD/Hardware - Schaden durch Hitze ?

Mache mal bitte einen RAM Test

Memtest86+ - Advanced Memory Diagnostic Tool

Bei neueren CPU`s / RAM : https://www.memtest86.com/download.htm[/B]

 

[Rolando]

Einen Hardwarefehler schließe ich aus, da der Fehler bei allen PC's besteht.
Sie unterscheiden sich lediglich in 2-3 Programmen.
Auch Dreck schließe ich aus, da die PC's alle innerhalb 2020 bis Mitte 2021 aufgebaut und vorher gesäubert wurden.
Der Fehler trat offensichtlich relativ früh auf, wurde aber immer wieder "quittiert" so dass ich das erst hier im Mai Juni feststellte. Bei 2 PC's machte ich damals auch einen RAM Test bzw. tauschte ich diese aus, was aber keine Auswirkung hatte.
Ist es richtig, dass in dem BlueScreenViewer die beiden rot markierten Einträge am Anfang die Auslöser für den Bluescreen sind? Diese verweisen ja auf den NT Kernel und auf Solidcore von McAfee.
Wenn Solidcore der Auslöser sein kann, würde ich den mal auf ein paar PC's deinstallieren und schauen was passiert.

 

[BrollyLSSJ]

Es kann sein, dass nur die Software schuld ist und der RAM in Ordnung ist. Da könnte dann eine neue Version helfen oder, wenn das Programm nicht benötigt wird, die Deinstallation selbigem. Die swin.sys hatte ich ja im vorherigen Post auch schon als Verursacher mit aufgelistet.

Die rotmarkierten Einträge sind in dem Fall die Treiber / Dateien, die in dem Minidump gelistet sind. Die sollten die Ursache sein, wobei die ntkrnlpa.exe vermutlich durch die swin.sys gecrasht ist. Zumindest, sofern die Ansicht stimmt, die BlueScreenView ausgibt. Denn der Kernel crasht normalerweise nicht ohne Fremdeinwirkung.

Du kannst dir z.B. den "BSoD" ansehen, wenn du es in BlueScreenView umstellst:



Allerdings wird dort nur die ntkrnlpa genannt, weswegen ich irgendwann lieber die Windows Debugging Tools genutzt habe. Denn auch wenn ntkrnlpa als Ursache ausgegeben wurde, ist der Verursacher eher swin.sys als ntkrnlpa.

 

[Rolando]

Ich denke auch, dass es eher von der swin.sys her rührt.
Ich werde mal einen PC ohne Solidcore aufsetzen, den gegen einen tauschen mit vielen Bluescreen's und abwarten, was passiert.
Auf jeden Fall vielen Dank für die Hilfe!!!