Bluescreen: Irql not less or equal / ntoskernel.exe

Question

Hallo,

meine selber zusammengebaute Workstation für Motion Design hat kürzlich beliebig auftauchende Bluescreens gehabt. Folgender Fehler trat auf: IRQL_NOT_LESS_OR_EQUAL / ntoskernel.exe

Vor drei Tagen gab es beim Herunterfahren des PCs diesen Bluescreen und er konnte anschließend nicht mehr booten. Deshalb habe ich reinen Tisch gemacht und den Rechner komplett neu aufgesetzt.

Er lief jetzt zwei Tage problemlos, hatte aber gerade eben ganz plötzlich exakt denselben Bluescreen. Da war ich gar nicht am Rechner und es war nur Google Chrome geöffnet. Ich habe daraufhin das XMP Profil des Arbeitsspeichers im Bios abgewählt, da ich gelesen habe, dies könne zu Problemen führen.

Deshalb wende ich mich in der Hoffnung auf Hilfe bei der Spurensuche an die Community.

Systemkomponenten:

Microsoft Windows 10 Pro

AMD Ryzen Threadripper 2950X

Coolermaster Masterliquid ML360 TR4 Edition

ASROCK x399 Taichi (Bios: aktuell / 3.90)

64GB RAM / G.SKill Trident Z RGB 3200-14

2 x Samsung 970 Pro m.2 1 TB

2 x Samsung 860 Pro SSD 1 TB

Inno3D 2070 Super iChill Black

Inno3D 2080 TI iChill Black

Cosair AX 1600i

Hinweise zur Neuinstallation:

1. Das Bios des Taichi x399 ist auf der neuesten Version (3.90)
2. Die 4 verbauten SSDs (2x m2 und 2x normal) sind formatiert worden und mit chkdsk auf Fehler überprüft worden - ohne Ergebnis
3. Die Windows-Speicherdiagnose hat keine Fehler gefunden
4. sfc /scannow durchlaufen lassen - alles okay
5. Windows 10 ist auf dem neuesten Stand
6. Die AMD Chipsatztreiber sind frisch installiert und auf dem neuesten Stand
7. Der "Intel Treiber und Support Assistent" ist installiert und die Treiber sind auf dem neuesten Stand
8. Der Samsung Magician zur Überprüfung der SSDs ist installiert und die Firmware der SSDs auf dem neuesten Stand
9. Der neueste NVIDIA Grafikkarten Treiber für die 2080 TI ist installiert
10. AMD Ryzen Master und Inno3D TuneIT Applikationen sind installiert, aber ich habe dort nichts verändert/eingestellt

Hinweise: Mir wurde nach Installation der o.g. Treiber noch eine unbekannte USB API angezeigt, für die kein automatischer Treiber installiert werden konnte. Nach einiger Recherche habe ich herausgefunden, dass es wohl mit meinem Netzteil von Corsair (AX 1600i) zusammenhing. Die Installation der Corsair Link Software hat dies behoben. Der Rechner wurde nicht absichtlich/bewusst übertaktet, ich habe keine Erfahrung mit solchen Dingen. Ich habe damals beim ersten Zusammenbau nur das "mitgelieferte" XMP Profil angeklickt, da ich dachte, es wäre notwendig, um den Arbeitsspeicher zum Laufen zu bringen.

Hier ist ist ein Microsoft OneDrive Link zur Minidump Datei, BlueScreenView Crash List (html), den Systeminformationen aus Windows bzw. CPUID HWMonitor (nfo / txt) und Fotos der Einstellungen im Bios mit aktiviertem sowie deaktiviertem XMP Profil (jpg):

https://1drv.ms/u/s!AhVGxm9d7x7ChgYFSwm1golPqyJK?e=TEYXqe

Besten Dank!

Gruß

Putt

_______________________________

Windows Dbg Analysis:

Microsoft (R) Windows Debugger Version 10.0.20153.1000 AMD64
Copyright (c) Microsoft Corporation. All rights reserved.

Loading Dump File [C:\Windows\Minidump\072720-10156-01.dmp]
Mini Kernel Dump File: Only registers and stack trace are available

************* Path validation summary **************
Response                         Time (ms)     Location
Deferred                                       srv*
Symbol search path is: srv*
Executable search path is: 
Windows 10 Kernel Version 19041 MP (32 procs) Free x64
Product: WinNt, suite: TerminalServer SingleUserTS
Edition build lab: 19041.1.amd64fre.vb_release.191206-1406
Machine Name:
Kernel base = 0xfffff805`4ca00000 PsLoadedModuleList = 0xfffff805`4d62a310
Debug session time: Mon Jul 27 12:01:55.375 2020 (UTC + 2:00)
System Uptime: 0 days 23:30:08.312
Loading Kernel Symbols
...............................................................
................................................................
................................................................
...............
Loading User Symbols
Loading unloaded module list
......................................
For analysis of this file, run !analyze -v
nt!KeBugCheckEx:
fffff805`4cdddb60 48894c2408      mov     qword ptr [rsp+8],rcx ss:0018:ffff8280`cb2f6c00=000000000000000a
21: kd> !analyze -v
*******************************************************************************
*                                                                             *
*                        Bugcheck Analysis                                    *
*                                                                             *
*******************************************************************************

IRQL_NOT_LESS_OR_EQUAL (a)
An attempt was made to access a pageable (or completely invalid) address at an
interrupt request level (IRQL) that is too high.  This is usually
caused by drivers using improper addresses.
If a kernel debugger is available get the stack backtrace.
Arguments:
Arg1: ffff8280cb2eada3, memory referenced
Arg2: 0000000000000002, IRQL
Arg3: 0000000000000001, bitfield :
bit 0 : value 0 = read operation, 1 = write operation
bit 3 : value 0 = not an execute operation, 1 = execute operation (only on chips which support this level of status)
Arg4: fffff8054cd36f40, address which referenced memory

Debugging Details:
------------------

KEY_VALUES_STRING: 1

    Key  : Analysis.CPU.mSec
    Value: 4342

    Key  : Analysis.DebugAnalysisProvider.CPP
    Value: Create: 8007007e on DESKTOP-K9HRPI1

    Key  : Analysis.DebugData
    Value: CreateObject

    Key  : Analysis.DebugModel
    Value: CreateObject

    Key  : Analysis.Elapsed.mSec
    Value: 48643

    Key  : Analysis.Memory.CommitPeak.Mb
    Value: 85

    Key  : Analysis.System
    Value: CreateObject

    Key  : WER.OS.Branch
    Value: vb_release

    Key  : WER.OS.Timestamp
    Value: 2019-12-06T14:06:00Z

    Key  : WER.OS.Version
    Value: 10.0.19041.1

ADDITIONAL_XML: 1

OS_BUILD_LAYERS: 1

BUGCHECK_CODE:  a

BUGCHECK_P1: ffff8280cb2eada3

BUGCHECK_P2: 2

BUGCHECK_P3: 1

BUGCHECK_P4: fffff8054cd36f40

WRITE_ADDRESS: fffff8054d6fa388: Unable to get MiVisibleState
Unable to get NonPagedPoolStart
Unable to get NonPagedPoolEnd
Unable to get PagedPoolStart
Unable to get PagedPoolEnd
fffff8054d60f2a8: Unable to get Flags value from nt!KdVersionBlock
fffff8054d60f2a8: Unable to get Flags value from nt!KdVersionBlock
unable to get nt!MmSpecialPagesInUse
 ffff8280cb2eada3 

BLACKBOXBSD: 1 (!blackboxbsd)

BLACKBOXNTFS: 1 (!blackboxntfs)

BLACKBOXPNP: 1 (!blackboxpnp)

BLACKBOXWINLOGON: 1

CUSTOMER_CRASH_COUNT:  1

PROCESS_NAME:  Adobe CEF Helper.exe

TRAP_FRAME:  ffff8280cb2f6d40 -- (.trap 0xffff8280cb2f6d40)
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=0000000000000000 rbx=0000000000000000 rcx=ffffd30d11a28f70
rdx=ffffd30d09fc50c0 rsi=0000000000000000 rdi=0000000000000000
rip=fffff8054cd36f40 rsp=ffff8280cb2f6ed8 rbp=ffffd30d09fc50c0
 r8=ffff8280cb2f6f28  r9=ffff8280cb2f6ff0 r10=0000000000000000
r11=ffff8280cb2f6ec0 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0         nv up ei pl zr na po nc
nt!ExpPrepareToWaitForResourceExclusive+0x38:
fffff805`4cd36f40 4885c0          test    rax,rax
Resetting default scope

STACK_TEXT:  
ffff8280`cb2f6bf8 fffff805`4cdefa29     : 00000000`0000000a ffff8280`cb2eada3 00000000`00000002 00000000`00000001 : nt!KeBugCheckEx
ffff8280`cb2f6c00 fffff805`4cdebd29     : 00000001`00000000 00000000`00000001 ffffd30d`1d202c98 ffffe213`3317635e : nt!KiBugCheckDispatch+0x69
ffff8280`cb2f6d40 fffff805`4cd36f40     : fffff805`4cc232ca ffffd30d`11a28f70 fffff805`4cc23524 fffff805`4af6b9f0 : nt!KiPageFault+0x469
ffff8280`cb2f6ed8 fffff805`4cc232ca     : ffffd30d`11a28f70 fffff805`4cc23524 fffff805`4af6b9f0 ffffd30c`fcda79f8 : nt!ExpPrepareToWaitForResourceExclusive+0x38
ffff8280`cb2f6ee0 fffff805`510b521f     : 00000000`00000000 ffffa788`10d355e0 ffffd30d`15477a00 00000000`00000000 : nt!ExAcquireResourceExclusiveLite+0x1aa
ffff8280`cb2f6f70 fffff805`510ab0ad     : 00000000`00000000 00000000`00000000 00000000`00000000 ffff8280`cb2f7490 : Ntfs!NtfsCommonCleanup+0xc8f
ffff8280`cb2f7420 fffff805`4cc46d45     : ffffd30d`06dd3a20 fffff805`4af64b46 ffffd30d`15477ad0 ffffd30c`fc9c7d60 : Ntfs!NtfsFsdCleanup+0x1bd
ffff8280`cb2f7770 fffff805`4af66ccf     : ffffa788`10d35740 ffffd30d`2ab51dd0 00000000`00000000 00000000`00000000 : nt!IofCallDriver+0x55
ffff8280`cb2f77b0 fffff805`4af648d3     : ffff8280`cb2f7840 00000000`00000000 00000000`00000000 ffffd30d`230560c0 : FLTMGR!FltpLegacyProcessingAfterPreCallbacksCompleted+0x28f
ffff8280`cb2f7820 fffff805`4cc46d45     : ffffd30d`2ab51dd0 fffff805`4cc4725d 7fffd30d`2ab51e50 00000000`ffffffff : FLTMGR!FltpDispatch+0xa3
ffff8280`cb2f7880 fffff805`4d00ef6a     : 00000000`00000001 ffffd30d`2ab51dd0 00000000`00000000 00000000`00040042 : nt!IofCallDriver+0x55
ffff8280`cb2f78c0 fffff805`4cff4b6c     : 00000000`00000000 00000000`00007ffd ffffffff`00000000 ffffd30c`eebf5a60 : nt!IopCloseFile+0x17a
ffff8280`cb2f7950 fffff805`4cffb11c     : 00000000`00000fb8 000000fc`a51eefa0 000000fc`a51ef028 000000fc`00000018 : nt!ObCloseHandleTableEntry+0x24c
ffff8280`cb2f7a90 fffff805`4cdef478     : ffffd30d`09fc0000 ffffd30d`09865080 ffff8280`cb2f7b80 00000000`c0000034 : nt!NtClose+0xec
ffff8280`cb2f7b00 00007ffa`caa8af74     : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : nt!KiSystemServiceCopyEnd+0x28
000000fc`a51ef068 00000000`00000000     : 00000000`00000000 00000000`00000000 00000000`00000000 00000000`00000000 : 0x00007ffa`caa8af74

SYMBOL_NAME:  nt!ExpPrepareToWaitForResourceExclusive+38

MODULE_NAME: nt

IMAGE_NAME:  ntkrnlmp.exe

IMAGE_VERSION:  10.0.19041.388

STACK_COMMAND:  .thread ; .cxr ; kb

BUCKET_ID_FUNC_OFFSET:  38

FAILURE_BUCKET_ID:  AV_nt!ExpPrepareToWaitForResourceExclusive

OS_VERSION:  10.0.19041.1

BUILDLAB_STR:  vb_release

OSPLATFORM_TYPE:  x64

OSNAME:  Windows 10

FAILURE_ID_HASH:  {fc2a4f32-aa3e-a51b-0df6-dcb74c786880}

Followup:     MachineOwner
---------

21: kd> !blackboxbsd
Stream size mismatch (expected = 192, read = 168)
21: kd> !blackboxntfs

NTFS Blackbox Data

0 Slow I/O Timeout Records Found
0 Oplock Break Timeout Records Found
21: kd> !blackboxpnp
    PnpActivityId      : {00000000-0000-0000-0000-000000000000}
    PnpActivityTime    : 132403176567522756
    PnpEventInformation: 3
    PnpEventInProgress : 0
    PnpProblemCode     : 24
    PnpVetoType        : 0
    DeviceId           : SW\{97ebaacc-95bd-11d0-a3ea-00a0c9223196}\{53172480-4791-11D0-A5D6-28DB04C10000}
    VetoString         : 

21: kd> .trap 0xffff8280cb2f6d40
NOTE: The trap frame does not contain all registers.
Some register values may be zeroed or incorrect.
rax=0000000000000000 rbx=0000000000000000 rcx=ffffd30d11a28f70
rdx=ffffd30d09fc50c0 rsi=0000000000000000 rdi=0000000000000000
rip=fffff8054cd36f40 rsp=ffff8280cb2f6ed8 rbp=ffffd30d09fc50c0
 r8=ffff8280cb2f6f28  r9=ffff8280cb2f6ff0 r10=0000000000000000
r11=ffff8280cb2f6ec0 r12=0000000000000000 r13=0000000000000000
r14=0000000000000000 r15=0000000000000000
iopl=0         nv up ei pl zr na po nc
nt!ExpPrepareToWaitForResourceExclusive+0x38:
fffff805`4cd36f40 4885c0          test    rax,rax

Answer 1

Hi Ingo,

vielen Dank für deine Mühe und deine Antwort! Das hilft mir schon mal weiter. Die RAID Treiber lasse ich entsprechend weg. Das HyperX Headset wird auch nicht mehr an diesen Rechner angeschlossen, ich habe bereits für Ersatz gesorgt. Der Adobe CEF Helper ist ein kleines Mysterium -- genauso wie die USBXpress Treiber. Da werde ich gesondert nochmal nachforschen.

Ich vermute es sind einfach komplett verschiedene und voneinander unabhängige Faktoren gewesen, die den Rechner zum Absturz gebracht haben. Der RAM und das XMP Profil etwa, aber auch die externe Soundkarte des HyperX Headsets, die wohl generell für Bluescreens bekannt ist.

Der Rechner läuft nun seit etwa einer Woche stabil.

Ich melde mich gerne an dieser Stelle zurück, falls nochmal ein Bluescreen auftritt oder ich weitere Erkenntnisse erlange.

Beste Grüße,

Putttt

Answer 2

Woher diese USBXpress Treiber kommen, weiß ich nicht. Es kann sein, dass du sie im Gerätemanager findest, evtl. nach der Anzeige von versteckten Geräten. Im Zweifelsfall sollten sie sich über Autoruns finden und löschen lassen:

https://docs.microsoft.com/en-us/sysinternals/downloads/autoruns

Wenn du kein RAID verwendest, sind die RAID Treiber unnötig und deren Installation wird das Problem nicht lösen.

"RAIDXpert2 Utility" ist ein Tool zum Konfigurieren des RAIDs. Auch das brauchst du nicht, wenn kein RAID verwendet wird.

Die Dumps hab ich mal kurz angeschaut. Da taucht noch mal der Adobe CEF Helper auf, dann gehts in Richtung Netzwerk, einmal ein DPC Watchdog Timeout bei einem Kingston HyperX Mikrofon und der Rest lässt sich nicht so direkt zuordnen.

Ich sehe da irgendwie keinen wirklichen Zusammenhang oder irgendeine Richtung, in die das gehen könnte.

Answer 3

Hallo Ingo,

vielen Dank für deine Nachricht und deine Ideen - das bringt schon mal etwas Licht ins Dunkel. :)

Ich habe die Adobe Creative Master Suite im Abo. Der Adobe CEF Helper ist mir schon des öfteren als Hintergrundprozess aufgefallen, aber Adobe startet ziemlich viele solcher Prozesse im Hintergrund. Was die genau machen, vermag ich nicht zu sagen. Eine kurze Recherche hat leider auch keine Update-Möglichkeit des CEF Helpers ergeben. Ich habe nur einen Forumbeitrag von 2013 drüben bei Adobe gesehen, bei dem Nutzer Probleme mit dem CEF Helper hatten, weil dieser die CPU Auslastung plötzlich drastisch erhöht hat.

Zu den anderen Punkten:

1.) Kann ich die Silicon Labs USBXpress Treiber irgendwo im Gerätemanager sehen bzw. manuell updaten? 

2.) Die SSDs laufen -soweit ich weiß- nicht im RAID. Ich habe ein Bild der Einstellungen im Bios in den OneDrive Ordner gelegt: 200728_Bios_Storage_Configuration.jpg

Auf der Mainboard Herstellerseite gibt bei den Downloads für mein Mainboard übrigens folgenden Treiber: AMD RAIDXpert2 utility ver:9.2.0.128 vom 18.09.2019. Diesen Treiber habe ich weder jetzt noch vor dem Neuaufsetzen des Systems installiert, weil ich kein RAID erstellen wollte. Aber vielleicht ist genau das das Problem? Sollte ich den Treiber vielleicht einfach mal installieren?

3.) Ich sehe gerade zufällig, ich habe in meinem Backup noch 5 Minidump-Dateien von vor(!) der Neuaufsetzung des PCs. Ich werde diese Files ebenfalls ins OneDrive legen. Vielleicht hilft es uns ja irgendwie weiter. Ordnername: Minidumps vor Neuaufsetzung. Die Windows Dbg Analyse Ergebnisse lege ich als *.txts dazu.

EDIT: Es gibt auch noch einen AMD RAID Treiber vom 25.11.2019 hier: https://www.amd.com/en/support/chipsets/amd-socket-tr4/x399

Answer 4

Schön, dass du da schon selber ordentlich geforscht hast. Unschön, dann bleiben weniger Möglichkeiten. :-)

Wenn man sich die letzten Befehle auf dem Stack anschaut, ist ein Zugriff aufs Filesystem darunter, dann wird darauf gewartet, dass eine Ressource exklusiv verfügbar wird und darauf knallt es. 

Das zuletzt aktive Gerät ist der Microsoft Streaming Clock Proxy. Was der jetzt mit Adobes CEF Helper zu tun hat, ist mir grad nicht klar. Dieser CEF Helper scheint wohl eine Chromium Engine zu sein, die für Adobe Programme Daten darstellt, wenn ich das richtig gesehen habe.

Ein Blick auf die Treiber bringt nur zwei Silicon Labs USBXpress Treiber von 2010 zum Vorschein, die wegen ihres Alters etwas auffällig sind. 

Die letzten Befehle vom Stack gingen in Richtung Filesystem. Und angefangen hat die ganze Geschichte, indem das System plötzlich komplett k.o. war und nicht mal mehr booten wollte. Da fehlt jetzt natürlich ein eventueller Fehlercode, aber so ganz grob würde ich irgendwas in Richtung Disk annehmen. Die SSDs laufen alle einzeln, oder ist da was im RAID?

Alles nicht so wirklich zielführend. Ich zucke mit den Schultern und habe keine wirkliche Idee.