กลุ่มรีจิสทรีของ Windows เสียหาย (BAD_SYSTEM_CONFIG_INFO BSOD): เพราะเหตุใด RegBack ว่างเปล่าใน Windows 10/11 และวิธีคืนค่าลมพิษจาก VSS Shadow Copies¶

การเห็นเครื่อง Windows 10, Windows 11 หรือ Windows Server ขัดข้องระหว่างการเริ่มต้นระบบเข้าสู่ Blue Screen of Death ที่ไม่มีที่สิ้นสุด (BSOD) วนซ้ำแสดง Stop code: BAD_SYSTEM_CONFIG_INFO (0x00000074), CRITICAL_PROCESS_DIED หรือหน้าจอ Windows Boot Manager สีดำระบุว่า \Windows\System32\config\SYSTEM is missing or contains errors (Status: 0xc000014c / 0xc0000225) หมายถึงกลุ่มรีจิสทรีไบนารีหลักของ Windows อย่างน้อยหนึ่งรายการ (SYSTEM, SOFTWARE, SAM, SECURITY, DEFAULT) หรือข้อมูลการกำหนดค่าการบูต (BCD) ร้านค้าเสียหายระหว่างไฟฟ้าดับ บังคับให้ปิดเครื่อง หรือการอัปเดตสะสมล้มเหลว ที่แย่กว่านั้นคือเมื่อผู้ดูแลระบบปฏิบัติตามบทช่วยสอนออนไลน์เก่าๆ ที่บอกให้เปิด Windows Recovery Environment (WinRE) พร้อมรับคำสั่งและคัดลอกไฟล์รีจิสทรีสำรองออกจาก C:\Windows\System32\config\RegBack\ พวกเขาค้นพบว่า การ RegBack โฟลเดอร์ว่างเปล่าโดยสิ้นเชิง (หรือมี 0-byte ไฟล์). เริ่มต้นใน Windows 10 เวอร์ชัน 1803 และใน Windows 11 ทุกเวอร์ชัน Microsoft จะปิดการใช้งานอย่างถาวร RegIdleBackup งานเพื่อประหยัดพื้นที่ดิสก์ อย่าล้างข้อมูลและติดตั้ง Windows ใหม่: พีซีของคุณแทบจะเก็บสำเนาของรีจิสทรีทุกกลุ่มไว้อย่างสมบูรณ์เมื่อเร็วๆ นี้ Volume Shadow Copy Service (VSS) สแนปช็อต (HarddiskVolumeShadowCopyN) และธุรกรรม .LOG1 / .LOG2 วารสารที่คุณสามารถดึงออกมาได้ภายใน 3 นาที WinRE. สำหรับการแก้ไขปัญหา BSOD ไดรเวอร์หรือฮาร์ดแวร์ทั่วไป โปรดดู หน้าจอสีน้ำเงินของ Windows (BSOD) และการซ่อมแซมการบูต; ถ้า BitLocker ขอรหัสกู้คืน 48 หลักก่อนเปิด Command Prompt ปรึกษา การล็อคคีย์การกู้คืนการเข้ารหัสด้วย BitLocker, FileVault และ LUKS และการรีเซ็ต TPM และ SSD และ NVMe โหมดอ่านอย่างเดียวอย่างกะทันหันและ TRIM ปิดการใช้งานการช่วยเหลือ. หากความล้มเหลวของระบบนี้ปิดการใช้งานเวิร์กสเตชันทางคลินิกของโรงพยาบาล ให้ส่งเหตุฉุกเฉิน (CAD) หรือการควบคุมความปลอดภัยในชีวิต ให้โทรไปที่หมายเลขฉุกเฉินในพื้นที่ของคุณ (911 ในสหรัฐอเมริกาและแคนาดา 112 ทั่วทั้งสหภาพยุโรป 999 ในสหราชอาณาจักร) หรือตรวจสอบไดเรกทอรีของเราของ หมายเลขฉุกเฉิน.

ทำเช่นนี้ตอนนี้¶

1. อย่าคลิก "รีเซ็ตพีซีเครื่องนี้ -> ลบทุกอย่าง" หรือคัดลอกแบบสุ่มสี่สุ่มห้า 0-byte ไฟล์ออกจาก C:\Windows\System32\config\RegBack\: ถ้าคุณวิ่ง copy C:\Windows\System32\config\RegBack\* C:\Windows\System32\config\ บน Windows 10 (1803+) หรือ Windows 11 โดยไม่ตรวจสอบ dir RegBack ขั้นแรก คุณจะต้องเขียนทับกลุ่มรีจิสทรีที่เสียหายบางส่วนด้วย 0-byte ไฟล์ที่ว่างเปล่า ทำลายลมพิษที่เหลือ และทำให้การกู้คืนยากขึ้นมาก
2. บูตเข้าสู่ Windows Recovery Environment (WinRE) และเปิด Troubleshoot -> Advanced options -> Command Prompt:
3. หาก Windows ไม่สามารถบู๊ตได้สามครั้งติดต่อกัน ระบบจะเปิด การซ่อมแซมอัตโนมัติ -> ตัวเลือกขั้นสูง โดยอัตโนมัติ
4. หรือบูตจาก สื่อการติดตั้ง USB Windows 10/11 ใดๆ กด Shift + F10 (หรือ Shift + Fn + F10 บนแล็ปท็อป) ที่หน้าจอการเลือกภาษาเริ่มต้นและยกระดับขึ้น X:\Sources> พร้อมรับคำสั่งจะเปิดขึ้นทันทีโดยไม่ต้องคลิกผ่านเมนู
5. ค้นหาอักษรระบุไดรฟ์ที่แท้จริงของพาร์ติชัน Windows ของคุณ (diskpart -> list vol) ตามที่เป็นอยู่บ่อยครั้ง D: หรือ E: ภายใน WinRE ไม่ใช่ C:: ภายในสภาพแวดล้อมการกู้คืน C: มักถูกกำหนดให้กับ 100 เมกะไบต์ System Reserved หรือ Recovery พาร์ติชันในขณะที่การติดตั้ง Windows จริงของคุณเปิดอยู่ D: หรือ E:. วิ่ง dir C:\Windows, dir D:\Windows, dir E:\Windows เพื่อยืนยันว่าอักษรระบุไดรฟ์ใดประกอบด้วย \Windows\System32\config\.
6. สำรองข้อมูลที่มีอยู่ของคุณเสมอ (แม้จะเสียหายด้วยซ้ำ) config\ โฟลเดอร์ไปที่ C:\Config_Backup\ ก่อนที่จะแตะไฟล์เดียว: เรียกใช้ mkdir D:\Config_Backup และ xcopy /h /i /c /k /e /r /y D:\Windows\System32\config D:\Config_Backup. คุณต้องรักษาทั้งห้าไฟล์ไฮฟ์หลัก (SYSTEM, SOFTWARE, SAM, SECURITY, DEFAULT) และ ไฟล์บันทึกธุรกรรมที่ซ่อนอยู่ (SYSTEM.LOG1, SYSTEM.LOG2, SOFTWARE.LOG1, SOFTWARE.LOG2).
7. ก่อนที่จะเปลี่ยนรังใด ๆ ให้ทดสอบว่าหรือไม่ BCD (Boot Configuration Data) การตัดทอนหรือบันทึกธุรกรรมกลุ่มสกปรก (.LOG1 / .LOG2) เป็นสาเหตุที่แท้จริงของ BAD_SYSTEM_CONFIG_INFO:
8. ใน 30% ของ BAD_SYSTEM_CONFIG_INFO BSOD กลุ่มรีจิสทรีนั้นใช้ได้ 100 เปอร์เซ็นต์ และ BCD ร้านค้ามีความเสียหาย truncatememory / numproc ธง (msconfig กับดัก) หรือความต้องการ reg load เพื่อเล่นซ้ำ .LOG1/.LOG2 บันทึกการทำธุรกรรมโดยอัตโนมัติ
9. ถ้า SYSTEM หรือ SOFTWARE เสียหายอย่างแท้จริง ให้แยกสำเนาที่ดีต่อสุขภาพโดยตรงจาก VSS Shadow Copy (\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\) โดยใช้ vssadmin list shadows: แม้แต่เมื่อไหร่ System Restore (rstrui.exe) ล้มเหลวโดยมีข้อผิดพลาดใน GUI วอลุ่ม VSS Shadow Copy พื้นฐานมีอยู่บนดิสก์ และให้คุณคัดลอกได้สะอาด SYSTEM และ SOFTWARE ลมพิษตรงเข้าไป \Windows\System32\config\ โดยใช้ copy หรือ robocopy.

ต้นไม้การตัดสินใจ: BAD_SYSTEM_CONFIG_INFO (0x00000074) และ 0xc000014c การคัดแยกรีจิสทรี¶

ใช้ผังงานนี้จาก WinRE พรอมต์คำสั่ง (Shift + F10) เพื่อระบุไฟล์ที่เสียหายและกู้คืนโดยไม่สูญเสียโปรแกรมหรือบัญชีผู้ใช้ที่ติดตั้ง:

flowchart TD
    Start["Windows ขัดข้องขณะบู๊ต: BAD_SYSTEM_CONFIG_INFO (0x74) หรือ 0xc000014c"] --> OpenCmd["บูตเข้าสู่ WinRE หรือ Windows USB -> เปิดพร้อมท์คำสั่ง (Shift + F10)"]

    OpenCmd --> FindDrive["ค้นหา True Windows Drive Letter (เช่น D :) ผ่าน: diskpart -> list vol -> exit"]
    FindDrive --> BackupFirst["สำรองข้อมูลโฟลเดอร์ Config ปัจจุบัน (รวมถึง .LOG1/.LOG2 ที่ซ่อนไว้): xcopy /h D:\\Windows\\System32\\config D:\\Config_Orig\\"]

    BackupFirst --> CheckBcd["ตรวจสอบ 1: เรียกใช้ bcdedit -> มีคนตั้งค่า truncatememory หรือ numproc ใน msconfig หรือไม่"]
    CheckBcd -->|"ใช่: ตัดทอนหน่วยความจำหรือค่าปัจจุบันที่ไม่ถูกต้อง"| FixBcd["Run: bcdedit /deletevalue {default} truncatememory AND bcdedit /deletevalue {default} numproc -> Reboot"]

    CheckBcd -->|"ไม่ใช่: BCD สะอาด"| TestReplay["ตรวจสอบ 2: บันทึกธุรกรรมทดสอบและเล่นซ้ำ (.LOG1/.LOG2) สำหรับแต่ละไฮฟ์ผ่านการโหลด reg HKLM\\TempHive"]

    TestReplay --> WhichBroken{"reg โหลดสำเร็จและเล่นซ้ำ .LOG1/.LOG2 ได้อย่างหมดจดหรือไม่"}
    WhichBroken -->|"ใช่: โหลด reg บันทึกธุรกรรมสกปรกที่เล่นซ้ำ -> ยกเลิกการโหลดผ่าน reg unload"| BootFixed["รีบูทพีซี: แก้ไข Dirty Hive Header ในตำแหน่งเดียวกับ Zero Rollback"]

    WhichBroken -->|"ไม่: ระบบหรือซอฟต์แวร์ส่งคืน 'ฐานข้อมูลรีจิสทรีการกำหนดค่าเสียหาย' หรือเป็น 0 ไบต์"| CheckVss["เรียกใช้: vssadmin รายการเงา"]

    CheckVss --> HasVss{"Volume Shadow Copies อยู่ในรายการ (HarddiskVolumeShadowCopy1..N) หรือไม่"}

    HasVss -->|"ใช่: มีสำเนาเงาอยู่"| CopyVss["คัดลอกเฉพาะกลุ่มที่เสียหาย (เช่น ระบบ / ซอฟต์แวร์) จาก HarddiskVolumeShadowCopyN ใหม่ล่าสุดไปยัง D:\\Windows\\System32\\config\\"]

    HasVss -->|"ไม่: 0 รายการสำเนาเงา"| CheckAlt["ตรวจสอบแหล่งที่มาของ Hive ทางเลือก: D:\\Windows\\System32\\config\\TxR\\ หรือ Windows.old หรือ WinSxS Component Hive Repair"]

ระยะที่ 1: ทำไม BAD_SYSTEM_CONFIG_INFO เกิดขึ้นและทำไม RegBack ว่างเปล่าใน Windows 10/11¶

ก่อนที่จะแก้ไขไฟล์ใดๆภายใน \Windows\System32\config\ทำความเข้าใจว่าไฟล์รีจิสตรีทั้ง 5 ไฟล์ทำอะไรได้บ้าง และเพราะเหตุใดจึงเป็นไฟล์แบบดั้งเดิม RegBack วิธีการไม่ทำงานอีกต่อไป

1. กายวิภาคของ \Windows\System32\config\¶

เมื่อเคอร์เนลของ Windows (ntoskrnl.exe) และบูตโหลดเดอร์ (winload.efi) เริ่มต้นในระหว่างการเริ่มต้น โดยจะโหลดไฟล์ฐานข้อมูลไบนารีห้าไฟล์ (เรียกว่า Hives โดยเริ่มต้นด้วยลายเซ็น ASCII ขนาด 4 ไบต์ regf ที่ไบต์ 0) จาก \Windows\System32\config\: :

2. ทำไม C:\Windows\System32\config\RegBack ว่างเปล่าใน Windows 10 (1803+) และ Windows 11¶

ตั้งแต่ Windows XP จนถึง Windows 10 เวอร์ชัน 1709 มีกำหนดการงานที่ชื่อว่า \Microsoft\Windows\Registry\RegIdleBackup คัดลอกโดยอัตโนมัติ SYSTEM, SOFTWARE, SAM, SECURITYและ DEFAULT เข้าไป \Windows\System32\config\RegBack\ เมื่อใดก็ตามที่ระบบไม่ได้ใช้งาน - สิ่งที่ Microsoft เปลี่ยนแปลง: เริ่มต้นใน Windows 10 เวอร์ชัน 1803 (พฤษภาคม 2018) และดำเนินการต่อไปจนถึง Windows 11 ทุกรุ่น Microsoft จะปิดใช้งานโดยอัตโนมัติอย่างเป็นทางการ RegBack จำนวนประชากรตามค่าเริ่มต้นเพื่อลดรอยเท้าดิสก์ (จัดทำเอกสารไว้ใน Microsoft Support KB4509719) - ผลลัพธ์: เว้นแต่คุณจะเพิ่มไฟล์ EnablePeriodicBackup = 1 DWORD ถึง HKLM\System\CurrentControlSet\Control\Session Manager\Configuration Manager ก่อน พีซีของคุณเสียหายและกำลังทำงานอยู่ dir D:\Windows\System32\config\RegBack จะแสดง0 File(s) (หรือขนาด 5 ไฟล์0 ไบต์) - ทำไมคุณถึงยังมีข้อมูลสำรอง: แม้ว่า RegBack ว่างเปล่า Windows 10 และ Windows 11 จะสร้าง Volume Shadow Copy (VSS) สแนปช็อต ก่อนการอัปเดต Windows, การติดตั้งแอปพลิเคชัน MSI, การติดตั้งไดรเวอร์ และจุดตรวจสอบการคืนค่ารายสัปดาห์ สแน็ปช็อต VSS ทุกรายการจะมีสำเนาที่แช่แข็ง ณ เวลาใดเวลาหนึ่งโดยสมบูรณ์ \Windows\System32\config\.

ระยะที่ 2: การแก้ไขแบบไม่ย้อนกลับอย่างรวดเร็ว (msconfig กับดัก BCD & .LOG1/.LOG2 เล่นซ้ำธุรกรรม)¶

ก่อนที่จะเปลี่ยน SYSTEM หรือ SOFTWARE จาก Shadow Copy ให้ทดสอบการแก้ไขแบบ Zero-Rollback ทั้งสองนี้ใน WinRE พรอมต์คำสั่ง (Shift + F10). มากกว่าครึ่งหนึ่งของทั้งหมด BAD_SYSTEM_CONFIG_INFO (0x00000074) ข้อขัดข้องได้รับการแก้ไขที่นี่ภายในเวลาไม่ถึง 60 วินาทีโดยไม่ต้องย้อนกลับการตั้งค่าแม้แต่รายการเดียว

ขั้นตอนที่ 1: ระบุอักษรชื่อไดรฟ์ Windows ที่แท้จริงของคุณ (D: เทียบกับ C:) และสำรองข้อมูล config\¶

ใน X:\Sources> หน้าต่างพร้อมรับคำสั่ง ค้นหาอักษรระบุไดรฟ์ที่เก็บการติดตั้ง Windows ของคุณ:

diskpart
list volume
exit

ทำการสำรองข้อมูลทั้งหมดทันที D:\Windows\System32\config (โดยใช้ /h ซ่อนเร้นมาก .LOG1 และ .LOG2 รวมไฟล์ธุรกรรม):

mkdir D:\Config_Emergency_Backup
xcopy /h /i /c /k /e /r /y D:\Windows\System32\config D:\Config_Emergency_Backup

ขั้นตอนที่ 2: ตรวจสอบการแก้ไข A: มีคนเปลี่ยนแปลงหรือไม่ Number of processors หรือ Maximum memory ใน msconfig?¶

เอกสารอย่างเป็นทางการของ Microsoft สำหรับ Bug Check 0x74 (BAD_SYSTEM_CONFIG_INFO) ไฮไลท์กับดักฉาวโฉ่: ผู้ใช้เปิด **msconfig -> บูต -> ตัวเลือกขั้นสูง ** หลังจากวิดีโอ "การเพิ่มประสิทธิภาพการเล่นเกม" ที่ไม่ดี ให้ตรวจสอบ Number of processors หรือ Maximum memory (ตั้งเป็น 0 หรือค่าไม่ดี) และรีบูต ทันทีที่รีบูต Windows จะเข้าสู่สถานะถาวร BAD_SYSTEM_CONFIG_INFO BSOD ก่อนที่จะสัมผัสลมพิษของรีจิสทรี

ตรวจสอบข้อมูลการกำหนดค่าการบูตของคุณ (BCD) จัดเก็บทันที:

bcdedit /enum {default}

bcdedit /deletevalue {default} truncatememory
bcdedit /deletevalue {default} numproc
bcdedit /deletevalue {default} removememory

ขั้นตอนที่ 3: ตรวจสอบ Fix B: เล่นซ้ำสกปรก .LOG1 / .LOG2 บันทึกธุรกรรมแบบไฮฟ์โดยใช้ reg load¶

จะเกิดอะไรขึ้นถ้าไฟฟ้าดับในขณะที่ Windows กำลังเขียนถึง SYSTEM หรือ SOFTWARE?

+-------------------------------------------------------------------------+
| HOW WINDOWS REGISTRY HIVE HEADER SEQUENCE NUMBERS WORK                  |
|                                                                         |
| Base Block Header of SYSTEM Hive (First 4,096 bytes: "regf"):           |
|   Offset 0x04: Primary Sequence Number   = 0x0004810A                   |
|   Offset 0x08: Secondary Sequence Number = 0x00048109 (MISMATCH)        |
|                                                                         |
| Why it fails at boot:                                                   |
|   Power died mid-write before Primary == Secondary. The missing         |
|   dirty pages are sitting safely inside SYSTEM.LOG1 / SYSTEM.LOG2.      |
|   If winload.efi cannot reconcile the log at early boot, it throws      |
|   0xc000014c or BAD_SYSTEM_CONFIG_INFO (0x74).                          |
|                                                                         |
| How to force-replay the .LOG1/.LOG2 file in WinRE:                      |
|   Running `reg load HKLM\Temp D:\Windows\System32\config\SYSTEM`        |
|   invokes the full WinRE Configuration Manager, which reads             |
|   SYSTEM.LOG1 + SYSTEM.LOG2, replays the dirty vector pages into        |
|   SYSTEM, sets Primary == Secondary, and flushes a clean hive on unload |
+-------------------------------------------------------------------------+

ทดสอบแต่ละลมพิษทั้งห้า (SYSTEM, SOFTWARE, SAM, SECURITY, DEFAULT) ทีละคนใน WinRE พร้อมรับคำสั่งโดยใช้ reg load: :

reg load HKLM\TestSys D:\Windows\System32\config\SYSTEM

reg unload HKLM\TestSys

reg load HKLM\TestSoft D:\Windows\System32\config\SOFTWARE
reg unload HKLM\TestSoft

reg load HKLM\TestSam D:\Windows\System32\config\SAM
reg unload HKLM\TestSam

reg load HKLM\TestSec D:\Windows\System32\config\SECURITY
reg unload HKLM\TestSec

reg load HKLM\TestDef D:\Windows\System32\config\DEFAULT
reg unload HKLM\TestDef

ขั้นตอนที่ 3: การแยกกลุ่มรีจิสทรีที่มีสุขภาพดีออกจาก VSS สำเนาเงา (HarddiskVolumeShadowCopyN)¶

เหตุใดเราจึงแยกกลุ่มที่เสียหายด้วยตนเองจาก Volume Shadow Copy แทนที่จะคลิก แก้ไขปัญหา -> ตัวเลือกขั้นสูง -> การคืนค่าระบบ ใน GUI 1. ก่อนอื่นถ้า SYSTEM หรือ SOFTWARE ไม่สามารถอ่านได้ เป็นแบบกราฟิก System Restore (rstrui.exe) ตัวช่วยสร้างมักจะขัดข้องด้วย System Restore failed to extract the original copy of the directory from the restore point (0x80070002 / 0x80070017). 2. ประการที่สอง การคืนค่าระบบแบบกราฟิกจะแทนที่กลุ่ม ทั้งหมด และย้อนกลับไฟล์ไดรเวอร์/ไฟล์ปฏิบัติการหลายร้อยไฟล์ทั่วทั้งดิสก์ ในขณะที่คัดลอกเฉพาะไฟล์ที่เสียหายเพียงไฟล์เดียว SYSTEM หรือ SOFTWARE รังจาก HarddiskVolumeShadowCopyN ใช้เวลา 10 วินาทีและออกจากลมพิษอื่นๆ ของคุณ (SAM, SECURITY) ไม่มีใครแตะต้อง

ขั้นตอนที่ 1: แสดงรายการ Volume Shadow Copies ที่มีอยู่ทั้งหมดบนดิสก์¶

ใน WinRE พรอมต์คำสั่งเรียกใช้:

vssadmin list shadows

Contents of shadow copy set ID: {4b9128a1-8812-4091-a910-112938475610}
   Contained 1 shadow copies at creation time: 10/30/2026 11:14:02 PM
      Shadow Copy ID: {99182736-1122-3344-5566-77889900aabb}
         Original Volume: (D:)\\?\Volume{12345678-0000-0000-0000-100000000000}\
         Shadow Copy Volume: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1

ขั้นตอนที่ 2: ตรวจสอบกลุ่มรีจิสทรีภายใน Shadow Copy Volume¶

เพราะได้มาตรฐาน cd หรือ dir คำสั่งบางครั้งทำให้หายใจไม่ออก \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1 เส้นทางเนมสเปซเคอร์เนล คุณสามารถส่งผ่านเส้นทางในเครื่องหมายคำพูดได้ dirหรือสร้างลิงก์สัญลักษณ์ที่สะดวก (mklink /d) บน D:\ ชี้ตรงไปที่ Shadow Copy:

# Create a folder symlink on D:\ pointing into the newest Shadow Copy (e.g., ShadowCopy1):
mklink /d D:\ShadowMount \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\

# Inspect the file sizes and dates of the registry hives inside that Shadow Copy:
dir D:\ShadowMount\Windows\System32\config

ขั้นตอนที่ 3: คัดลอกเฉพาะกลุ่มที่เสียหายจาก Shadow Copy ลงไป D:\Windows\System32\config\¶

สมมติว่าการทดสอบของคุณในระยะที่ 2 ขั้นตอนที่ 3 พบว่า SYSTEM ไม่สามารถโหลดได้ (หรือทั้งสองอย่าง SYSTEM และ SOFTWARE ล้มเหลว)

เรียกใช้คำสั่งที่แน่นอนเหล่านี้เพื่อแทนที่คำสั่งที่เสียหาย SYSTEM (และ/หรือ SOFTWARE) รังอย่างหมดจด:

# 1. Remove the dirty .LOG1 / .LOG2 files for the hive being replaced (already backed up in D:\Config_Emergency_Backup)
attrib -h -s -r D:\Windows\System32\config\SYSTEM.LOG*
del D:\Windows\System32\config\SYSTEM.LOG1
del D:\Windows\System32\config\SYSTEM.LOG2

# 2. Copy the healthy SYSTEM hive from the Shadow Copy into D:\Windows\System32\config\
copy /y D:\ShadowMount\Windows\System32\config\SYSTEM D:\Windows\System32\config\SYSTEM

# (If SOFTWARE was ALSO broken in Phase 2 Step 3, run the same for SOFTWARE:)
attrib -h -s -r D:\Windows\System32\config\SOFTWARE.LOG*
del D:\Windows\System32\config\SOFTWARE.LOG1
del D:\Windows\System32\config\SOFTWARE.LOG2
copy /y D:\ShadowMount\Windows\System32\config\SOFTWARE D:\Windows\System32\config\SOFTWARE

# 3. Clean up the temporary symlink so you don't leave a dangling link on D:\
rmdir D:\ShadowMount

ขั้นตอนที่ 4: ตรวจสอบโหลดไฮฟ์ที่ได้รับการกู้คืนอย่างหมดจด (reg load) และตรวจสอบ CurrentControlSet¶

ทดสอบว่าคัดลอกใหม่ SYSTEM โหลดไฮฟ์โดยไม่มีข้อผิดพลาด:

reg load HKLM\TestRestored D:\Windows\System32\config\SYSTEM
reg query HKLM\TestRestored\Select
reg unload HKLM\TestRestored

HKEY_LOCAL_MACHINE\TestRestored\Select
    Current    REG_DWORD    0x1
    Default    REG_DWORD    0x1
    Failed     REG_DWORD    0x0
    LastKnownGood    REG_DWORD    0x2

ระยะที่ 4: จะเกิดอะไรขึ้นถ้า vssadmin list shadows การแสดง No items found (0 สำเนาเงา)?¶

จะเกิดอะไรขึ้นถ้าการป้องกันระบบ (VSS) ถูกปิดบนไดรฟ์โดยสมบูรณ์ RegBack ว่างเปล่า และ reg load ล้มเหลว SYSTEM หรือ SOFTWARE? คุณยังมีเส้นทางการกู้คืนทางเลือกสามเส้นทางก่อนที่จะติดตั้ง Windows ใหม่:

ทางเลือกที่ 1: สลับ Default ถึง LastKnownGood (ControlSet002) ข้างใน SYSTEM¶

ถ้า reg load HKLM\TestSys D:\Windows\System32\config\SYSTEM ความสำเร็จ และ BSOD (BAD_SYSTEM_CONFIG_INFO) เกิดขึ้นเนื่องจากมีไดรเวอร์หรือรหัสบริการอยู่ข้างใน ControlSet001 (Current = 0x1) เสียหายในขณะที่ ControlSet002 (LastKnownGood = 0x2) ข้างในเหมือนกัน SYSTEM รังไม่เสียหาย:

reg load HKLM\TestSys D:\Windows\System32\config\SYSTEM
reg query HKLM\TestSys\Select
# If ControlSet002 exists (verify via: reg query HKLM\TestSys\ControlSet002), switch Default from 1 to 2:
reg add HKLM\TestSys\Select /v Default /t REG_DWORD /d 2 /f
reg unload HKLM\TestSys

ทางเลือกที่ 2: ตรวจสอบ C:\Windows\System32\config\TxR\ และ C:\Windows.old\Windows\System32\config\¶

ตรวจสอบว่าพีซีเพิ่งอัพเกรดฟีเจอร์บิวด์ (22H2 -> 23H2 -> 24H2) หรือมี Kernel Transaction Manager (TxR) บันทึกคอนเทนเนอร์:

dir /a D:\Windows.old\Windows\System32\config
dir /a D:\Windows\System32\config\TxR

ทางเลือกที่ 3: ย้อนกลับการอัปเดตสะสมที่ติดตั้งไว้ครึ่งหนึ่ง (dism /RevertPendingActions)¶

บ่อยครั้ง BAD_SYSTEM_CONFIG_INFO หรือ CRITICAL_PROCESS_DIED เกิดขึ้นเนื่องจากพีซีสูญเสียพลังงานที่ 30% ระหว่าง Working on updates... Don't turn off your computer, ออกไป SOFTWARE และ \Windows\WinSxS\pending.xml ไม่ซิงค์กัน จาก WinRE Command Prompt บอก Deployment Image Servicing and Management (DISM) เอ็นจิ้นเพื่อคืนค่าธุรกรรมการอัพเดตที่ไม่มีข้อผูกมัดทั้งหมดกับอิมเมจ Windows ออฟไลน์ (D:\):

mkdir D:\Scratch
dism /Image:D:\ /Cleanup-Image /RevertPendingActions /ScratchDir:D:\Scratch

ทางเลือกที่ 4: การซ่อมแซมข้อมูลการกำหนดค่าการบูตที่ไม่สามารถอ่านได้ (BCD) ร้านค้า (bootrec /rebuildbcd และ bcdboot)¶

จะเกิดอะไรขึ้นถ้าทั้งห้ารีจิสทรีลมพิษอยู่ข้างใน D:\Windows\System32\config\ บรรทุกและขนถ่ายอย่างหมดจดด้วย reg loadแต่พีซีก็ยังพ่นอยู่ 0xc000014c (The Boot Configuration Data for your PC is missing or contains errors) หรือ 0xc000000f? เพราะว่าวินโดวส์ BCD ไฟล์ที่ซ่อนอยู่ของคุณ 100 MB พาร์ติชันระบบ FAT32 EFI (\EFI\Microsoft\Boot\BCD) ถูกเก็บไว้ในไบนารีเดียวกันทุกประการ regf รูปแบบกลุ่มรีจิสทรีเป็น SYSTEM และ SOFTWAREการสูญเสียพลังงานอาจทำให้เครื่องเสียหายได้ BCD รังในขณะที่จากไป D:\Windows\System32\config\ มิได้ถูกแตะต้อง สร้างใหม่เอี่ยม BCD ซ้อนบนพาร์ติชันระบบ EFI ของคุณใน 15 วินาที:

diskpart
list volume
# Find the 100 MB to 300 MB FAT32 EFI System Partition (e.g. Volume 2)
select volume 2
assign letter=S
exit

# Back up the old broken BCD hive and generate a fresh one from D:\Windows:
ren S:\EFI\Microsoft\Boot\BCD BCD.bak
bcdboot D:\Windows /s S: /f UEFI

ขั้นตอนที่ 5: เปิดใช้งานอัตโนมัติอีกครั้ง RegBack การสำรองข้อมูลใน Windows 10 และ Windows 11¶

เมื่อพีซี Windows ของคุณกลับมาที่เดสก์ท็อปแล้ว ให้เปิดใช้งานบิวท์อินของ Microsoft อีกครั้ง RegIdleBackup งานเช่นนั้น C:\Windows\System32\config\RegBack\ จะถูกเติมโดยอัตโนมัติทุกสัปดาห์ และตรวจสอบการคืนค่าระบบ (VSS) ใช้งานอยู่:

• เปิดใช้งานอัตโนมัติอีกครั้ง RegBack การสำรองข้อมูลไฮฟ์ใน Windows 10 (1803+) และ Windows 11: เปิดพร้อมท์คำสั่งที่ยกระดับ (Run as Administrator) และรันคำสั่งรีจิสตรีอย่างเป็นทางการคำสั่งเดียว (KB4509719):

  reg add "HKLM\System\CurrentControlSet\Control\Session Manager\Configuration Manager" /v EnablePeriodicBackup /t REG_DWORD /d 1 /f
  

  จากนั้นทริกเกอร์งานสำรองข้อมูลทันทีเพื่อตรวจสอบ C:\Windows\System32\config\RegBack เต็มไปด้วยสำเนาที่ดีต่อสุขภาพของลมพิษทั้งห้า:

  schtasks /run /tn "\Microsoft\Windows\Registry\RegIdleBackup"
  dir C:\Windows\System32\config\RegBack
  

• ตรวจสอบการป้องกันระบบ (VSS จุดคืนค่า) ถูกเปิด ON สำหรับ C:: กด Win + R พิมพ์ sysdm.cpl ,4 เลือกของคุณ C: ขับคลิก กำหนดค่า เลือก เปิดการป้องกันระบบ ตั้งค่าการใช้งานสูงสุดเป็น 5% (10 GB ถึง 25 GB) และคลิก สร้าง เพื่อสร้างสำเนาเงาพื้นฐานที่สะอาดทันที
• วิ่ง. sfc /scannow และ DISM /Online /Cleanup-Image /RestoreHealth เมื่อบูทเข้าสู่ Windows เพื่อตรวจสอบว่าไม่มี DLLs ของระบบหรือรายการจัดเก็บส่วนประกอบ (COMPONENTS รัง) ได้รับความเสียหายระหว่างการชน

หมายเลขฉุกเฉินในภูมิภาคและระเบียบการของหน่วยงาน¶

ในขณะที่เป็นวินโดวส์ BAD_SYSTEM_CONFIG_INFO โดยปกติ BSOD คือปัญหาด้านไอทีภายในหรือการซ่อมแซมคอมพิวเตอร์ส่วนบุคคล ความล้มเหลวของเวิร์กสเตชันหรือเซิร์ฟเวอร์ที่ส่งผลต่อโรงพยาบาล การแจ้งเหตุฉุกเฉิน หรือโครงสร้างพื้นฐานสาธารณะจำเป็นต้องได้รับการยกระดับโดยทันที:

• สหรัฐอเมริกาและแคนาดา: กด 911 หาก Windows หยุดทำงานทำให้การตรวจสอบผู้ป่วยทางคลินิกปิดใช้งาน การแจ้งเหตุฉุกเฉิน (CAD) หรือการควบคุมความปลอดภัยในชีวิต และเปลี่ยนไปใช้ขั้นตอนการหยุดทำงานของสถานที่ รายงาน bootloops ขององค์กรในวงกว้างที่เกิดจากการอัปเดตตัวแทนความปลอดภัยหรือเหตุการณ์ทางไซเบอร์ไปยัง CISA (1-844-Say-CISA / cisa.gov/report) หรือ ศูนย์ความปลอดภัยทางไซเบอร์ของแคนาดา (1-833-CYBER-88).
• สหราชอาณาจักร: กด 999 สำหรับภัยคุกคามต่อชีวิตหรือการหยุดชะงักทางคลินิกของ NHS แบบเฉียบพลัน รายงานเหตุการณ์ทางไซเบอร์หรือความพร้อมใช้งานที่สำคัญต่อ NCSC (ncsc.gov.uk) หรือการดำเนินการทางไซเบอร์ของ NHS England
• สหภาพยุโรป: กด 112 ทั่วทั้งรัฐสมาชิกสหภาพยุโรป หน่วยงานที่ครอบคลุมภายใต้ คำสั่ง NIS2 จะต้องรายงานการขัดข้องในการปฏิบัติงานที่สำคัญต่อ CSIRT ระดับชาติของตนภายใน 24 ชั่วโมง
• ออสเตรเลียและนิวซีแลนด์: กด 000 ในออสเตรเลีย หรือ 111 ในนิวซีแลนด์ รายงานเหตุการณ์โครงสร้างพื้นฐานที่สำคัญต่อ ACSC (1300 CYBER1).
• อินเดียและเอเชียแปซิฟิก: กด 112 ในอินเดียเพื่อการตอบสนองฉุกเฉิน รายงานโครงสร้างพื้นฐานหรือเหตุการณ์ทางไซเบอร์ไปยัง CERT-In (incident@cert-in.org.in).

คำถามที่พบบ่อย¶

จะเกิดอะไรขึ้นหากโปรไฟล์ผู้ใช้ของฉันไม่สามารถเข้าสู่ระบบหลังจากบูตได้ ("We can't sign in to your account" /โปรไฟล์ชั่วคราว) เนื่องจาก NTUSER.DAT เสียหายเหรอ?¶

นอกจากจะมีลมพิษทั้ง 5 ระบบอยู่ภายในแล้ว `\Windows\System32\config\`บัญชีผู้ใช้แต่ละรายจะมีกลุ่มรีจิสทรีของตนเอง (`HKEY_CURRENT_USER`) เก็บไว้ที่ **`C:\Users\\NTUSER.DAT`** (บวก `AppData\Local\Microsoft\Windows\UsrClass.dat`). หากพีซีของคุณบูทไปที่หน้าจอเข้าสู่ระบบได้ดี แต่การเข้าสู่ระบบจะโหลดเดสก์ท็อปชั่วคราวที่ว่างเปล่า `NTUSER.DAT` เกิดความเสียหายระหว่างไฟฟ้าดับ เปิด Command Prompt ที่ยกระดับแล้วเรียกใช้ `vssadmin list shadows`และคัดลอกสุขภาพที่ดี `NTUSER.DAT` ออกจาก `\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Users\\NTUSER.DAT` (ในขณะที่เข้าสู่ระบบบัญชีผู้ดูแลระบบที่สองหรือ WinRE ดังนั้นไฟล์จึงไม่ถูกล็อค)

ทำไมไม่ WinRE ขอคีย์การกู้คืน BitLocker 48 หลักก่อนที่จะให้ฉันเปิด Command Prompt เมื่อฉันไม่เคยเปิด BitLocker ด้วยตัวเองเลย¶

บนแล็ปท็อป Windows 11 (และ Windows 10) ที่ทันสมัยเกือบทั้งหมดด้วย `TPM 2.0` และ Modern Standby การลงชื่อเข้าใช้ด้วยบัญชี Microsoft ในระหว่างการตั้งค่าเริ่มต้นจะเปิดใช้งานโดยอัตโนมัติ **การเข้ารหัสอุปกรณ์ (`BitLocker`)** ในเบื้องหลังและอัปโหลดคีย์การกู้คืน 48 หลักไปยังบัญชี Microsoft ของคุณ เปิด **`https://aka.ms/myrecoverykey`** บนสมาร์ทโฟนของคุณ ลงชื่อเข้าใช้ด้วยบัญชี Microsoft (`@outlook.com`, `@hotmail.com`, `@gmail.com`) หรือรหัสเข้าที่ทำงาน/โรงเรียน (`myaccount.microsoft.com`) ที่ใช้กับพีซีเครื่องนั้น และป้อนคีย์ 48 หลักที่ตรงกับ `Key ID` แสดงบนหน้าจอ เมื่อปลดล็อคแล้ว `D:\Windows\System32\config` สามารถเข้าถึงได้อย่างสมบูรณ์ใน WinRE Command Prompt

เกิดอะไรขึ้นถ้า copy ล้มเหลวด้วย The process cannot access the file because it is being used by another process เมื่อฉันพยายามเขียนทับ SYSTEM หรือ SOFTWARE ใน WinRE?¶

ข้อผิดพลาดนั้นเกิดขึ้นจากหนึ่งในสองสาเหตุ: (1) คุณพิมพ์โดยไม่ตั้งใจ `C:\Windows\System32\config\SYSTEM` เมื่อ `C:` หรือ `X:` จริงๆ แล้วเป็นดิสก์ WinRE RAM ที่รันอยู่จริง (`X:\Windows\System32\config\SYSTEM` ถูกล็อคโดย WinRE เอง ตรวจสอบอักษรระบุไดรฟ์ SSD ออฟไลน์จริงของคุณเสมอ `D:` หรือ `E:` ด้วย `diskpart -> list vol`); หรือ (2) คุณวิ่ง `reg load HKLM\TestSys D:\Windows\System32\config\SYSTEM` เช้าเซสชั่นแล้วลืมรัน**`reg unload HKLM\TestSys`**ก่อนวิ่ง. `copy`.

เหตุใดพีซีของฉันจึงขัดข้องด้วย BAD_SYSTEM_CONFIG_INFO (0x00000074) แม้ในโปรแกรมติดตั้ง Windows USB ใหม่ก่อนที่จะสัมผัส SSD¶

ถ้า `BAD_SYSTEM_CONFIG_INFO` (`0x00000074`) เกิดขึ้นขณะบู๊ต **แท่งติดตั้ง USB Windows 10/11 ใหม่ล่าสุด** (โดยที่ตัวติดตั้งกำลังโหลดตัวมันเอง `boot.wim` รีจิสทรี RAM รวมอยู่ในหน่วยความจำระบบ) รีจิสทรี SSD ของคุณ **ไม่ใช่** ปัญหา: **RAM ระบบของคุณ (`DDR4 / DDR5`) กำลังสร้างความเสียหายให้กับกลุ่มรีจิสทรีในหน่วยความจำในขณะที่ทำการแตกไฟล์** ใส่เมนบอร์ดของคุณ `BIOS / UEFI` ตั้งค่า (`Del` หรือ `F2`) ปิดการใช้งาน `XMP / EXPO` โปรไฟล์การโอเวอร์คล็อกหน่วยความจำเพื่อให้ RAM ทำงานที่ความเร็วมาตรฐาน JEDEC หรือทดสอบด้วย RAM ทีละแท่งโดยใช้ `MemTest86`.

โปรแกรมป้องกันไวรัสหรือการตรวจจับจุดสิ้นสุดของบุคคลที่สามสามารถ (EDR) การอัปเดตไดรเวอร์เคอร์เนลทำให้เกิดลูป BSOD ที่ดูเหมือนรีจิสทรีเสียหายหรือไม่¶

ใช่. ไดรเวอร์ความปลอดภัยโหมดเคอร์เนล (`BOOT_START` ไดรเวอร์ด้วย `Start = 0` ภายใน `HKLM\SYSTEM\ControlSet001\Services\`) โหลดโดย `winload.efi` ควบคู่ไปกับ `SYSTEM` เป็นกลุ่มก่อนที่ Windows จะเริ่มต้นวิดีโอด้วยซ้ำ หากมีข้อบกพร่อง `.sys` ไฟล์ใน `D:\Windows\System32\drivers\` ขัดข้องขณะบู๊ตคุณไม่จำเป็นต้องเปลี่ยนกลุ่มรีจิสทรีด้วยซ้ำ: เพียงเปลี่ยนชื่อกลุ่มที่มีปัญหา `.sys` ไฟล์ใน `D:\Windows\System32\drivers\` (หรือโหลด `D:\Windows\System32\config\SYSTEM` ด้วย `reg load HKLM\TestSys` และเปลี่ยนบริการที่เสีย `Start` มูลค่าจาก `0` ถึง `4` [ปิดการใช้งาน])

อะไรคือ COMPONENTS รังอยู่ข้างใน C:\Windows\System32\config\และทำไมถึงเป็น 100 MB?¶

ไม่เหมือน `SYSTEM`, `SOFTWARE`, `SAM`, `SECURITY`และ `DEFAULT` (ซึ่งโหลดทุกครั้งที่บู๊ต) **`COMPONENTS`** รัง (`C:\Windows\System32\config\COMPONENTS`) จะโหลดแบบไดนามิกตามความต้องการเฉพาะเมื่อ **Windows Update (`TiWorker.exe` / การบริการตามส่วนประกอบ)** หรือ `sfc /scannow` วิ่ง ก.เสียหาย `COMPONENTS` ไฮฟ์จะ **ไม่เคย** หยุด Windows จากการบูท (`0x00000074`) แม้ว่าจะทำให้ Windows Updates ล้มเหลวก็ตาม `0x80073712` จนกระทั่งซ่อมแซมด้วย `DISM /Online /Cleanup-Image /RestoreHealth`.

คำแนะนำที่เกี่ยวข้อง¶

• หน้าจอสีน้ำเงินของ Windows (BSOD) และการซ่อมแซมการบูต
• การล็อคคีย์การกู้คืนการเข้ารหัสด้วย BitLocker, FileVault และ LUKS และการรีเซ็ต TPM
• อิฐอัพเดตเฟิร์มแวร์ BIOS และ UEFI, การสูญเสียพลังงาน และ Dual-BIOS Flashback
• SSD และ NVMe โหมดอ่านอย่างเดียวอย่างกะทันหัน บล็อกสำรอง 0% และ TRIM ปิดการใช้งานการช่วยเหลือ
• ความล้มเหลวของฮาร์ดไดรฟ์และการกู้คืนข้อมูล
• การสำรองข้อมูลคอมพิวเตอร์ กลยุทธ์ 3-2-1 และการกู้คืนระบบ
• หมายเลขฉุกเฉินตามประเทศ

แหล่งที่มาและคำแนะนำอย่างเป็นทางการ¶

• ไมโครซอฟต์เรียนรู้ (learn.microsoft.com): ตรวจสอบข้อผิดพลาด 0x74: : BAD_SYSTEM_CONFIG_INFO ข้อมูลอ้างอิงการแก้ไขปัญหาอย่างเป็นทางการ (BCD truncatememory / numproc การแก้ไขและการตรวจสอบกลุ่มรีจิสทรี)
• ฝ่ายสนับสนุนของไมโครซอฟต์ (KB4509719): รีจิสทรีของระบบไม่ได้รับการสำรองไว้อีกต่อไป RegBack โฟลเดอร์ที่เริ่มต้นใน Windows 10 เวอร์ชัน 1803 (EnablePeriodicBackup การกำหนดค่ารีจิสทรี)
• Microsoft Windows Internals (ฉบับที่ 7, Russinovich และคณะ): สถาปัตยกรรมตัวจัดการการกำหนดค่า, โครงสร้างไบนารีของ Registry Hive (regf, hbin) และบันทึกธุรกรรมแบบคู่ (.LOG1 / .LOG2) การกู้คืน.
• เอกสารการจัดเก็บเซิร์ฟเวอร์ Microsoft: บริการ Volume Shadow Copy (VSS) การบริหาร (vssadmin list shadows และ GLOBALROOT การเข้าถึงเนมสเปซของอุปกรณ์)
• สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) (สหรัฐอเมริกา): สิ่งพิมพ์พิเศษ 800-86: Windows Registry Forensic Analysis and Recovery