Ntoskrnl exe что это такое windows

From Wikipedia, the free encyclopedia

This article is about a computer file that contains a part of Windows kernel, among other things. For the Windows NT kernel itself, see Architecture of Windows NT.

ntoskrnl.exe (short for Windows NT operating system kernel executable), also known as the kernel image, contains the kernel and executive layers of the Microsoft Windows NT kernel, and is responsible for hardware abstraction, process handling, and memory management. In addition to the kernel and executive mentioned earlier, it contains the cache manager, security reference monitor, memory manager, scheduler (Dispatcher), and blue screen of death (the prose and portions of the code).^[1]

Overview[edit]

x86 versions of ntoskrnl.exe depend on bootvid.dll, hal.dll and kdcom.dll (x64 variants of ntoskrnl.exe have these dlls embed into the kernel to increase performance). However, it is not a native application. In other words, it is not linked against ntdll.dll. Instead, ntoskrnl.exe containing a standard «start» entry point that calls the architecture-independent kernel initialization function. Because it requires a static copy of the C Runtime objects, the executable is usually about 10 MB in size.

In Windows XP and earlier, the Windows installation source ships four kernel image files to support uniprocessor systems, symmetric multiprocessor (SMP) systems, CPUs with PAE, and CPUs without PAE. Windows setup decides whether the system is uniprocessor or multiprocessor, then, installs both the PAE and non-PAE variants of the kernel image for the decided kind. On a multiprocessor system, Setup installs ntkrnlmp.exe and ntkrpamp.exe but renames them to ntoskrnl.exe and ntkrnlpa.exe respectively.

Starting with Windows Vista, Microsoft began unifying the kernel images as multi-core CPUs took to the market and PAE became mandatory.

Routines in ntoskrnl use prefixes on their names to indicate in which component of ntoskrnl they are defined.

Since not all functions are being exported by the kernel, function prefixes ending in i or p (such as Mi, Obp, Iop) are internal and not supposed to be accessed by the user. These functions contain the core code and implements important checks, such as for vulnerabilities, missing arguments and exception handling.

The following table lists some of them.

Initialization[edit]

When the kernel receives control, it gets a struct-type pointer from bootloader. The pointer’s destination contains information about the hardware, the path to the Windows Registry file, kernel parameters containing boot preferences or options that change the behavior of the kernel, path of the files loaded by the bootloader (SYSTEM Registry hive, nls for character encoding conversion, and vga font).^[8] The definition of this structure can be retrieved by using the kernel debugger or downloading it from the Microsoft symbol database.^{[9][page needed]}

In the x86 architecture, the kernel receives the system already in protected mode, with the GDT, IDT and TSS ready.^{[further explanation needed]} But since it does not know the address of each one, it has to load them one by one to fill the PCR structure.^[jargon]

The main entry point of ntoskrnl.exe performs some system dependent initialization then calls a system independent initialization then enters an idle loop.^{[contradictory]}

Interrupt handling[edit]

This article is about NT implementation of interrupt handlers. For other uses, see Interrupt handling.

Modern operating systems use interrupts instead of I/O port polling to wait for information from devices.

In the x86 architecture, interrupts are handled through the Interrupt Dispatch Table (IDT). When a device triggers an interrupt and the interrupt flag (IF) in the FLAGS register is set, the processor’s hardware looks for an interrupt handler in the table entry corresponding to the interrupt number to which in turn has been translated from IRQ by PIC chips, or in more modern hardwares, APIC. Interrupt handlers usually save some subset of the state of registers before handling it and restore them back to their original values when done.

The interrupt table contains handlers for hardware interrupts, software interrupts, and exceptions. For some IA-32 versions of the kernel, one example of such a software interrupt handler (of which there are many) is in its IDT table entry 2E₁₆ (hexadecimal; 46 in decimal), used in assembly language as INT 2EH for system calls. In the real implementation the entry points to an internal subroutine named (as per symbol information published by Microsoft) KiSystemService. For newer versions, different mechanisms making use of SYSENTER instruction and in x86-64 SYSCALL instruction are used instead.

One notable feature of NT’s interrupt handling is that interrupts are usually conditionally masked based on their priority (called «IRQL»), instead of disabling all IRQs via the interrupt flag. This permits various kernel components to carry on critical operations without necessarily blocking services of peripherals and other devices.^[10]

Memory manager[edit]

This article is about NT implementation of a memory manager. For other uses, see memory management.

The entire physical memory (RAM) address range is broken into many small blocks also called pages, 4KB in size each, and mapped to virtual addresses. A few of the properties of each block are stored in structures called page table entries, which are managed by the OS and accessed by the processor’s hardware. Page tables are organized into a tree structure, and the physical page number of the top-level table is stored in control register 3 (CR3).

Microsoft Windows divides virtual address space into two regions. The lower part, starting at zero, is instantiated separately for each process and is accessible from both user and kernel mode. Application programs run in processes and supply code that runs in user mode.
The upper part is accessible only from kernel mode, and with some exceptions, is instantiated just once, system-wide. Ntoskrnl.exe is mapped into this region, as are several other kernel mode components. This region also contains data used by kernel mode code, such as the kernel mode heaps and the file system cache.

Virtual Address Space Layouts^[9]

Registry[edit]

Windows Registry is a repository for configuration and settings information for the operating system and for other software, such as applications. It can be thought of as a filesystem optimized for small files.^[11] However, it is not accessed through file system-like semantics, but rather through a specialized set of APIs, implemented in kernel mode and exposed to user mode.

The registry is stored on disk as several different files called «hives.» One, the System hive, is loaded early in the boot sequence and provides configuration information required at that time. Additional registry hives, providing software-specific and user-specific data, are loaded during later phases of system initialization and during user login, respectively.

Drivers[edit]

The list of drivers to be loaded from the disk are retrieved from the Services key of the current control set’s key in the SYSTEM registry hive. That key stores device drivers, kernel processes and user processes. They are all collectively called «services» and are all stored mixed on the same place.

During initialization or upon driver load request, the kernel traverses that tree looking for services tagged as kernel services.

See also[edit]

• Architecture of Windows NT
• Windows NT Startup Process

Notes[edit]

References[edit]

Further reading[edit]

• Tanenbaum, Andrew S. (2008). Modern Operating Systems (3rd ed.). Upper Saddle River, N.J.: Pearson Prentice Hall. p. 829. ISBN 978-0136006633.
• Bruce Dang; Alexandre Gazet; Elias Bachaalany (2014). Practical Reverse Engineering: x86, x64, ARM, Windows Kernel, Reversing Tools, and Obfuscation. Wiley. p. 384. ISBN 978-1118787311.

External links[edit]

• Inside the Windows Vista Kernel (TechNet Magazine)
• struct LOADER_PARAMETER_BLOCK
• Driver Development Part 1: Introduction to Drivers

В некоторых случаях синий экран смерти с ошибкой «Ntoskrnl.exe» появляется в Windows 11 еще до полного запуска операционной системы или буквально через минуту после этого, из-за чего не получится выполнить ни один из методов исправления. Если вы столкнулись как раз с такой ситуацией, то для начала понадобится зайти в «Безопасный режим с поддержкой сетевых драйверов», после чего начать выполнение методов, подразумевающих прямое взаимодействие с ОС.

Подробнее:
Расширенные параметры запуска (среда восстановления) Windows 11
Входим в «Безопасный режим» через BIOS

Для начала предлагаем разобраться с тем, за что в операционной системе отвечает файл «Ntoskrnl.exe» и какие проблемы с Windows или комплектующими провоцируют появление синего экрана смерти, в котором чаще всего говорится о том, что данный файл отсутствует. «Ntoskrnl.exe» — один из важнейших системных компонентов ядра ОС, работающий в связке с другими исполняемыми файлами. Берет на себя задачу управления памятью, участвует в работе «Планировщика заданий», а также используется во время активации средств из «Безопасности Windows».

Существует несколько самых распространенных причин, из-за которых и появляются ошибки с вылетом операционной системы, сопровождающиеся соответствующим уведомлением. Самые распространенные будут перечислены ниже, чтобы вы могли оценить ситуацию и понять, в каком направлении стоит искать решение в зависимости от недавно выполненных действий в ОС или с компьютерными комплектующими.

1. Устаревшие или отсутствующие драйверы. Повреждение файлов, наличие несовместимых драйверов или использование их устаревших версий — все это чаще всего приводит к синему экрану смерти с сообщением «Ntoskrnl.exe», поскольку файл связан с ядром и обращается к драйверам при работе с памятью и некоторыми периферийными устройствами.
2. Неисправности оперативной памяти. В этом случае проблема может быть как программной, когда достаточно запустить средство поиска и исправления ошибок, так и физической — относящейся к самим планкам, будь они новые или использующиеся в ПК довольно давно.
3. Недостаток объема ОЗУ. Не самая распространенная причина, но из-за недостатка памяти появляются частые зависания в Windows 11, когда некоторые процессы не получается обработать. Если такой лаг затянулся надолго, вполне вероятен вылет ОС с дальнейшим появлением синего экрана смерти.
4. Разгон комплектующих. Проблема относится только к тем пользователям, кто сам занимается разгоном комплектующих. Если показатели были выставлены неправильно, из-за чего нарушается подача питания, появляется перегрев или другие побочные эффекты некорректного разгона, вылеты имеют место с появлением ошибки «Ntoskrnl.exe».
5. Повреждение системных файлов. Из-за повреждения системных файлов возможны самые разные проблемы в работе операционной системы, вплоть до полной ее поломки. В конкретно этом случае сам файл «Ntoskrnl.exe» должен быть поврежден или отсутствовать, чтобы появился синий экран смерти.

Мы предлагаем сначала прочитать все причины и понять, сталкиваетесь ли вы с одной из описанных проблем: возможно, разгоняли комплектующие или совсем недавно подключили новое оборудование. Конечно, не все ошибки и неисправности выявить так просто, поэтому может потребоваться тестирование некоторых или даже всех методов, описанных далее.

Способ 1: Установка или обновление драйверов

Как вы уже знаете из предыдущего раздела статьи, основная причина появления синего экрана смерти с уведомлением об отсутствии файла «Ntoskrnl.exe» чаще всего действительно свидетельствует об отсутствии, реже — устаревании или повреждении драйверов. Поэтому в первую очередь необходимо проверить их обновление и наличие всех нужных в штатном режиме работы Windows 11 или в безопасном с поддержкой сетевых драйверов. Более детально о доступных вариантах поиска и инсталляции читайте в материале далее. Выберите подходящий для себя и следуйте инструкциям, чтобы максимально быстро справиться с поставленной задачей.

Подробнее: Установка драйверов в Windows 11

Способ 2: Проверка оперативной памяти

Программные ошибки оперативной памяти возникают не так часто, но если встречаются, то приводят как к частым зависаниям операционной системы, так и к вылетам с синим экраном смерти. Для проверки ОЗУ вполне подойдет стандартное средство Виндовс 11, которое просканирует память и исправит ошибки, если они найдены и решение будет возможным. Помимо этого, для надежности можно использовать самые разные сторонние программы с лучшей эффективностью и более широкой функциональностью.

Подробнее: Поиск ошибок оперативной памяти на компьютере с Windows 11

Что касается второй рекомендации по поводу работы со сторонним ПО для проверки ОЗУ, то к ней можно перейти в том случае, если описанные далее способы так и не помогут решить вам проблему. Это связано с тем, что процесс довольно трудный в реализации и займет какое-то время, которое можно было бы потратить на поиск других решений с возможным исправлением ситуации.

Способ 3: Отключение периферии

Рассмотрим еще один метод, который косвенно связан с драйверами устройств в Windows 11. Относится он ко всем подключенным устройствам: флешкам, внешним жестким дискам, картам памяти, принтерам и всему прочему, кроме мышки и клавиатуры. Дело в том, что когда операционная система запускается вместе с подключенной периферией, сразу активируются их драйверы, взаимодействие с которыми частично осуществляется при помощи «Ntoskrnl.exe». В результате возможно появление проблем с совместимостью и дальнейший фатальный сбой, приводящий к синему экрану смерти.

Наша рекомендация — на время отключите все ненужные USB-устройства и проверьте, появится ли ошибка при запуске Виндовс 11. Если нет, попробуйте установить другие версии драйверов для используемого оборудования или проверьте их обновления. Иногда помогает и загрузка драйверов для USB конкретно для вашей модели материнской платы.

Читайте также: Скачиваем драйверы для USB-портов

Способ 4: Переподключение или отключение новых комплектующих

Данный метод имеет смысл выполнять только в том случае, если вы недавно обновили какое-то из комплектующих или осуществляли переподключение, например после чистки ПК от пыли. Чаще всего рассматриваемая в этой статье проблема связана с ошибками подключения оперативной памяти. Планки могут быть неисправными, разных моделей или просто недостаточно хорошо соединены с портами. Мы настоятельно рекомендуем в таких случаях для начала просто отключить и подключить все новые или замененные комплектующие и проверить качество их соединения с портами.

Если есть возможность заменить именно планки оперативной памяти, вставьте другие (очень желательно две одинаковые от одного и того же производителя). Затем произведите тестовый запуск операционной системы и проверьте ее работоспособность. Если все работает корректно и ошибка с уведомлением от «Ntoskrnl.exe» больше не появляется, значит, проблема именно в прошлой планке ОЗУ.

Способ 5: Откат разгона

Из названия способа уже понятно, что откат разгона актуален только для тех юзеров, кто самостоятельно ранее осуществлял сам разгон оперативной памяти, процессора или видеокарты. Все значения нужно вернуть к изначальным или еще раз проверить их с инструкциями, по которым вы сверялись. Вполне вероятно, что происходят проблемы с напряжением или температурой, поэтому постоянно мониторьте показатели при дальнейшей настройке или просто полностью отмените разгон.

Способ 6: Проверка целостности системных файлов

Вернемся к работе с операционной системой, и в этом методе предлагаем проверить целостность системных файлов, что можно сделать как в обычном режиме работы, так и в безопасном. Для этого понадобится запустить консоль и использовать стандартные утилиты сканирования. Иногда ошибки действительно находятся и поврежденные объекты успешно восстанавливаются, что приводит к решению рассматриваемой проблемы.

Подробнее: Использование и восстановление проверки целостности системных файлов в Windows

Способ 7: Удаление драйвера Realtek High Definition Audio

Некоторыми пользователями было замечено, что синий экран смерти с ошибкой «Ntoskrnl.exe» появляется в Windows 11 из-за несовместимого драйвера Realtek High Definition Audio или его неправильной версии для звуковой карты. Такое встречается нечасто, однако метод исправления стоит проверить, если ничего из перечисленного выше не помогло. Он заключается в удалении этого самого драйвера с последующей установкой рекомендуемого через стандартное средство обновления драйверов.

1. Щелкните правой кнопкой мыши по «Пуску» и из появившегося контекстного меню выберите пункт «Диспетчер устройств».



2. Разверните раздел «Звуковые, игровые и видеоустройства» и дважды щелкните по устройству с названием «Realtek High Definition Audio».



3. Перейдите на вкладку «Драйвер» и нажмите кнопку «Удалить устройство». При подтверждении поставьте галочку возле пункта с параллельным удалением драйвера.



4. Отправьте компьютер на перезагрузку, после чего вернитесь в «Диспетчер устройств» и посмотрите, какое устройство теперь отображается вместо Realtek High Definition Audio. Это должно быть стандартное оборудование для Windows. Точно так же откройте его «Свойства» и нажмите кнопку «Обновить драйвер».

Способ 8: Использование инструмента «Восстановление при загрузке»

Использование средства восстановления операционной системы при ее запуске — отличный вариант для тех, кто сталкивается с появлением синего экрана сразу же при старте ОС, что в редких случаях даже не позволяет зайти в безопасный режим для дальнейших сканирований ошибок и их исправления. Метод запуска средства не самый простой, поскольку требует наличия загрузочного диска или флешки. Поэтому мы предлагаем ознакомиться с инструкцией, чтобы разобраться во всех нужных для выполнения шагах.

1. Если запуск Windows на этом компьютере невозможен, понадобится доступ к любому другому. С его помощью создайте загрузочную флешку с Windows 11, которая используется как для установки операционной системы, так и для ее восстановления. Детальнее об этом процессе читайте в другой статье на нашем сайте по следующей ссылке.

   Подробнее: Создание загрузочной флешки с Windows 11



2. Загрузите компьютер с этой флешки, чтобы на экране появилось стандартное окно установщика ОС. В нем выберите предпочитаемый для себя язык и переходите далее.



3. В следующем шаге вас интересует ссылка «Восстановление системы» слева внизу.



4. После нажатия по ней вы окажетесь в меню выбора действия, где необходимо кликнуть по «Поиск и устранение неисправностей».



5. В дополнительных параметрах выберите вариант «Восстановление при загрузке».



6. Остается только указать нужную операционную систему, которая в списке, скорее всего, будет только одна.



7. Сразу же начнется процесс перезапуска с дальнейшей диагностикой. Это средство позволит выявить различные системные ошибки, мешающие корректному запуску Виндовс 11. В определенных случаях это решает проблему с появлением синего экрана.

Способ 9: Сброс Windows 11 до заводских настроек

Единственным выходом из ситуации, если ничего из перечисленного выше не помогло избавиться от синего экрана смерти, станет полный откат операционной системы с восстановлением ее исходного состояния. Сделать это можно и при помощи полной переустановки, но иногда проще запустить процесс сброса с сохранением или удалением пользовательских файлов. Детально это описано другим нашим автором в статье по ссылке ниже.

Подробнее: Сброс Windows 11 к заводским настройкам

Во время работы или при включении компьютера внезапно может появиться так называемый «синий экран смерти». Если вчитаться в текст, написанный поверх, то там будет указана причина сбоя – некорректная работа файла Ntoskrnl.exe. Этот элемент очень важен для функционирования ОС, и когда с ним что-то происходит, пользоваться ПК становится невозможно.

Что такое Ntoskrnl.exe

Когда вы включаете компьютер, запускается целый ряд служб, в том числе, Ntoskrnl.exe, который подготавливает к работе драйверы и визуализирует изображение на экране. При этом может произойти ошибка, что влечет за собой остановку процесса. Данная служба обычно располагается на диске «С» вместе с другими компонентами системы и занимает несколько папок: System32, Driver Cache и т. п.

Причины неисправности

Ошибка ntoskrnl.ехе может возникать по целому ряду причин:

1. Некорректный оверклокинг и андервольтинг, приведший к перегреву.
2. Физическое удаление файла (вообще-то это достаточно трудно сделать, но возможно, если использовать ПО, влияющее на системные элементы).
3. Повреждение/замена файла вирусом.
4. Повреждение записей в реестре.
5. Наличие проблемных или старых драйверов.
6. Внутренний системный сбой.
7. Сбой в работе винчестера.
8. ОС не обновлена до актуальной версии.
9. Повреждение или сбой в работе ОЗУ.

Возможные решения

Ошибка ntoskrnl.exe – это серьёзно, но не всегда фатально, и сейчас мы расскажем, как её исправить.

1. Для начала нужно добраться до «Десктопа» и получить доступ к функциям ПК, так как, синий экран закрывает собой все пространство.
2. Для этого выполните перезагрузку, и нажимайте клавишу F2 или Del (иногда бывают и другие варианты, это зависит от внутренней структуры системы ввода-вывода).
3. Перед вами развернутся опции БСВВ.
4. Выберите пункт Load setup defaults («Загрузить настройки по умолчанию»).
   
5. Кликните по F10, чтобы подтвердить выбор.
6. Снова перезапустите ПК – синий экран исчезнет, и можно будет переходить к исправлению ошибки.

Очистка реестра

Пока не вернулась ошибка ntoskrnl.exe с синим экраном (кстати, чаще всего она возникает на windows 7), нужно начать действовать. Первым делом попробуйте почистить реестр от неправильно выполненных и устаревших записей. Удобнее и безопаснее всего делать это с помощью специальных утилит, например, небезызвестной CCleaner.

1. Скачайте программу и установите её.
2. Откройте окно и слева в списке найдите главу «Очистка реестра».
3. Нажмите «Анализ» и дождитесь обнаружения всех проблемных записей.
   
4. Вверху укажите «Выделить все» и «Исправить выделенное».
   
5. Программа предложит сделать копию реестра – соглашайтесь, только сохраняйте ее не в «Документы» на диске «С», как указано по умолчанию, а в отдельную папку на диске «D».
   
6. После очистки запустите «Анализ» ещё раз – и так до тех пор, пока список повреждённых элементов не останется пустым.

Исправление диска

Далее нужно проверить системный диск и исправить кое-какие ошибки, если они будут обнаружены. Для этого:

1. Найдите значок «Компьютер» и разверните содержимое.
2. Дважды щелкните ПКМ по диску «С» (у вас он может называться как-нибудь еще – главное, помните, что нам нужен раздел, где хранится ОС);
   
3. Выберите последний пункт «Свойства», а затем подпункт «Сервис» и запустите проверку.
   
4. Компьютер может несколько раз перезагрузиться в процессе – это нормально, не волнуйтесь.

Для этих же целей проверяем внутренние системные файлы и исправляем неполадки следующим образом:

1. Нажмите Win+R и дождитесь появления небольшого окошка со строкой ввода.
2. Впишите в нее «cmd».
   
3. Теперь появится окно с черным полем, куда нужно ввести: «sfc/scannow» и нажать «Интер».
   
4. Также можно задать команду «chkdsk».
   

Подождите, пока не появится сообщение об успешном выполнении операции, а потом перезагрузите ПК.

Проверка на вирусы

Нередко причиной остановки запуска Windows бывают вирусы, которые удаляют файл Ntoskrnl.exe из корневой папки Winnt_root\System32. Не сбрасывайте со счетов такую возможность и обязательно проверьте систему:

1. Установите какой-нибудь хороший антивирус: Касперского, «Доктор веб», «Эсет» и т. п.
2. Запустите полную проверку всех дисков.
   
3. Дождитесь окончания процедуры (это может занять много времени, можно оставить на ночь).
4. Удалите все вредоносные файлы или переместите в карантин – лучше поступить так, как рекомендует антивирус.
   
5. Проверьте файловую систему на ошибки и восстановите все поврежденное, как это было описано выше.

Если вирус занесен какой-то программой, ее необходимо деинсталлировать. Скорее всего, добровольно удаляться она не захочет – тогда вам поможет деинсталлятор (например, Uninstall Tool) и опция «принудительное удаление».

Обновление ОС и драйверов

Иногда проблемы с ntoskrnl.exe и синий экран возникают из-за того, что система давно не обновлялась: в Windows 10 сложно отключить автоматическую установку пакетов, но в седьмой версии такое часто происходит – просто зайдите в Update Center и запустите обновления, а для драйверов оборудования скачайте их отдельно (только обращайте внимание на разрядность: x64 или х86 для 64-bit систем).  Удалите все драйвера старого, не используемого оборудования: принтеров, графических планшетов, сканеров, МФУ и т.п. («Панель управления» — «Диспетчер устройств» — клик правой кнопкой по устаревшему устройству – команда «Удалить»).

Восстановление системы

И, наконец, если все предыдущие шаги не увенчались успехом, можно восстановить систему до того состояния, когда все нормально работало. Чтобы сделать это, нужно:

1. На Windows 7 последовательно открываем: «Пуск» – «Все программы» – «Стандартные» – «Служебные» – «Восстановление системы», на Windows 10 в «Поиск» наберите «Создание точки восстановления» и откройте соответствующий значок.
   
2. Нажмите «Далее» в появившемся окне и выбираем «Показать точки восстановления».
3. Выберите дату, когда компьютер стабильно работал.
   
4. Нажмите «Готово».

Дождитесь окончания процесса – ни в коем случае не выключайте компьютер из сети и позаботьтесь о том, чтоб у ноутбука не села батарея.