Что такое отчёты об ошибках Windows и дампы падений

Конвейер: падение, дамп, отчёт, очередь

Когда приложение ловит необработанную ошибку, служба WER и её рабочий процесс WerFault.exe собирают основное: что за программа, какой версии, в каком модуле погибла, какова сигнатура исключения. Опционально снимается и дамп — замороженный снимок памяти процесса в момент смерти. Отчёт падает в %ProgramData%\Microsoft\Windows\WER\ReportQueue, уходит в Microsoft (или ждёт там, если диагностика у вас урезана), затем переезжает в ReportArchive. Синие экраны живут отдельно: минидампы копятся в C:\Windows\Minidump, полный дамп ядра лежит в C:\Windows\MEMORY.DMP, а живые дампы драйвера GPU попадают в C:\Windows\LiveKernelReports. Дампы отдельных приложений оказываются в %LOCALAPPDATA%\CrashDumps, если для них это включено.

На здоровье системы всё это не сказывается. WER — бухгалтерия: записать, что сломалось, какое-то время хранить улики и показать Microsoft картину падений на миллионах машин. Отчёты маленькие; большими становятся именно дампы — полный дамп тяжёлого приложения разрастается до сотен мегабайт, потому что это, буквально, копия того, что программа держала в памяти.

• %ProgramData%\Microsoft\Windows\WER\ReportQueue — отчёты, ждущие отправки
• %ProgramData%\Microsoft\Windows\WER\ReportArchive — отправленные и оставшиеся отчёты
• %LOCALAPPDATA%\CrashDumps — .dmp-файлы приложений, если включено
• C:\Windows\Minidump — минидампы каждого синего экрана
• C:\Windows\MEMORY.DMP — полный дамп ядра с последнего BSOD
• C:\Windows\LiveKernelReports — живые дампы драйверов GPU и дисплея (Watchdog)

Что на самом деле лежит внутри дампа

Дамп — это память процесса, а память процесса — это ваши данные: обрывки открытого документа, буферы картинок, адреса, токены сессии — всё, что приложение держало при себе. Поэтому важна настройка диагностики. В Параметры → Конфиденциальность и защита → Диагностика и отзывы вариант «Обязательные диагностические данные» отправляет мелочь, а переключатель «Необязательные диагностические данные» — это то, что позволяет более жирным кускам памяти покидать машину. Для большинства людей обязательных данных достаточно, и отчёты о падениях при этом продолжают работать.

Локально дамп имеет смысл, только если его кто-то читает. Если вы сами разбираете повторяющееся падение — или выкладываете дамп на форум, где это сделает кто-то другой, — это золото, читаемое в WinDbg. Если разбором никто не занимается, старый дамп — артефакт: улика падения, которое уже починили, забыли или стерпели.

Как прибраться, ничего не сломав

Содержимое ReportArchive и ReportQueue можно удалять смело, вместе с минидампами и MEMORY.DMP от аварий, с которыми вы уже разобрались: при новой поломке Windows просто создаст новые файлы. Контроль памяти и «Очистка диска» эти папки почти не трогают, так что это работа руками или с инструментом — например, Kleaner PRO показывает эти расположения с их размерами, превращая «несколько сотен мегабайт непонятно чего» в осмысленное решение. Единственное, что стоит сделать до удаления: если падение повторяется и вы собираетесь о нём спросить, сперва выкопируйте дамп.

Полное отключение WER (services.msc → Служба регистрации ошибок Windows) останавливает сбор отчётов, но не сами падения: приложение всё равно умрёт, просто без отчёта. А если WerFault.exe заметно ест процессор, почти всегда это программа падает по кругу — лечить надо её, а не курьера. Замолчит весь этот механизм только в одном случае: когда исправлено само падение.

Вопросы и ответы

Читайте также