ID d'événement Windows 5 – Noyau : Processus terminé de manière inattendue

Commencez par examiner les détails spécifiques de l'ID d'événement 5 pour identifier le processus défaillant et la raison de la terminaison.

1. Ouvrez Observateur d'événements en appuyant sur Win + R, en tapant eventvwr.msc, et en appuyant sur Entrée
2. Accédez à Journaux Windows → Système
3. Filtrez pour l'ID d'événement 5 en cliquant avec le bouton droit sur Système → Filtrer le journal actuel → entrez 5 dans le champ ID d'événements
4. Double-cliquez sur l'entrée la plus récente de l'ID d'événement 5 pour voir les détails
5. Notez le nom du processus, le PID, et le code de sortie à partir de la description de l'événement
6. Vérifiez l'onglet Détails pour des données XML supplémentaires incluant le SID de l'utilisateur et les informations du processus parent

Utilisez PowerShell pour interroger plusieurs occurrences de l'ID d'événement 5 :

Get-WinEvent -FilterHashtable @{LogName='System'; Id=5} -MaxEvents 20 | Select-Object TimeCreated, Id, LevelDisplayName, Message | Format-Table -Wrap

Les fichiers système corrompus provoquent souvent une terminaison inattendue des processus. Exécutez des vérifications complètes des fichiers système pour identifier et réparer la corruption.

1. Ouvrez Invite de commandes en tant qu'administrateur
2. Exécutez le Vérificateur de fichiers système pour rechercher les fichiers corrompus :

sfc /scannow

3. Si SFC trouve des problèmes, exécutez DISM pour réparer l'image Windows :

DISM /Online /Cleanup-Image /RestoreHealth

4. Redémarrez le système et surveillez les occurrences supplémentaires de l'ID d'événement 5
5. Vérifiez le journal SFC pour les réparations de fichiers spécifiques :

Get-Content $env:windir\Logs\CBS\CBS.log | Select-String "\[SR\]" | Select-Object -Last 20

Utilisez le Moniteur de performance et le Gestionnaire des tâches pour identifier les contraintes de ressources qui pourraient entraîner la terminaison du processus.

1. Ouvrez Moniteur de performance en exécutant perfmon.msc
2. Créez un nouvel ensemble de collecteurs de données : Défini par l'utilisateur → Créer nouveau → Ensemble de collecteurs de données
3. Ajoutez ces compteurs critiques :
   • Processus → Octets privés → [nom du processus défaillant]
   • Processus → Nombre de poignées → [nom du processus défaillant]
   • Mémoire → Mo disponibles
   • Mémoire → Octets de pool non paginés
4. Réglez l'intervalle de collecte à 15 secondes et exécutez pendant 24 heures
5. Utilisez PowerShell pour identifier les processus avec une utilisation élevée de la mémoire :

Get-Process | Sort-Object WorkingSet64 -Descending | Select-Object -First 10 Name, Id, @{Name='Memory(MB)';Expression={[math]::Round($_.WorkingSet64/1MB,2)}}

6. Activez le suivi des processus dans la stratégie de groupe : gpedit.msc → Configuration de l'ordinateur → Paramètres Windows → Paramètres de sécurité → Configuration avancée de la stratégie d'audit → Suivi détaillé → Audit de la terminaison du processus

Configurez et analysez les vidages sur incident pour identifier la cause principale de la terminaison du processus.

1. Activez la collecte de vidages sur incident en modifiant les paramètres du registre :

Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps" -Name "DumpType" -Value 2 -Type DWord
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\Windows Error Reporting\LocalDumps" -Name "DumpCount" -Value 10 -Type DWord

2. Vérifiez les vidages sur incident existants dans l'emplacement par défaut :

Get-ChildItem -Path "$env:LOCALAPPDATA\CrashDumps" -Recurse | Sort-Object LastWriteTime -Descending

3. Installez le SDK Windows ou les outils de débogage pour Windows pour analyser les vidages
4. Utilisez WinDbg pour analyser les vidages sur incident du processus défaillant
5. Vérifiez les journaux de Windows Error Reporting :

Get-WinEvent -FilterHashtable @{LogName='Application'; ProviderName='Windows Error Reporting'} -MaxEvents 50

6. Examinez le journal des événements d'application pour les erreurs connexes survenant au même moment que l'ID d'événement 5

Effectuez une analyse complète des pilotes et du matériel lorsque d'autres méthodes ne résolvent pas le problème.

1. Exécutez Driver Verifier pour identifier les pilotes problématiques :

verifier /standard /all

2. Vérifiez les événements liés aux pilotes dans le journal Système :

Get-WinEvent -FilterHashtable @{LogName='System'; Level=1,2,3} | Where-Object {$_.Message -match "driver|hardware"} | Select-Object -First 20

3. Exécutez le Diagnostic de la mémoire Windows pour vérifier les problèmes de RAM :

mdsched.exe

4. Utilisez le Gestionnaire de périphériques pour vérifier les conflits matériels : devmgmt.msc
5. Examinez les mises à jour et les pilotes installés qui coïncident avec les occurrences de l'ID d'événement 5 :

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

6. Vérifiez la température du système et la santé du matériel à l'aide de diagnostics intégrés ou d'outils tiers
7. Examinez les paramètres du BIOS/UEFI pour le timing de la mémoire, les paramètres du CPU et la compatibilité matérielle