知っておきたいWindowsの重要システムファイルとその役割を徹底解説

Windowsオペレーティングシステムは、膨大な数のファイルとプログラムで構成されています。その中には常時稼働しているものもあれば、OSが必要に応じて呼び出すものもあります。

Windowsのコアシステムファイルのほとんどは、C:\Windows\SystemフォルダとC:\Windows\System32フォルダに保存されています(環境によってドライブ文字は異なります)。Windowsフォルダ自体にも、重要なファイルが多数格納されています。

一方、インストールしたアプリケーションの実行ファイルや関連ファイルは、通常C:\Program FilesまたはC:\Program Files (x86)に保存されます。

一般的に、これらのディレクトリにあるWindowsシステムファイルの変更・削除・移動は絶対に行わないでください。中でもOSの動作に不可欠なファイルがいくつか存在し、これらが削除されたり破損したりすると、Windowsの復元(システムの修復・再インストール)が必要になる場合があります。

Ntoskrnl.exe(カーネルイメージ)

この実行ファイルは「カーネルイメージ」と呼ばれるもので、OSが正常に動作するための核心となるコード(エグゼクティブ)です。

ハードウェアの管理、システムプロセス、メモリ管理などを担っており、どのアプリケーションにCPUを割り当てるか、どれだけのメモリ(およびメモリアドレス)を割り当てるかといったスケジューリングも行います。

タスクマネージャーでは「システム」や「レジストリ」という名前で表示されます。強固に保護されたファイルのため、マルウェアなどが破損・削除するのは困難です。

旧バージョンのWindowsでは、多数のアプリケーションを開くとNtoskrnl.exeが大量のメモリを消費することがありました。Windows 10以降は、未使用のページをメモリに保存するのではなく圧縮するようになり、メモリ消費は削減されました。ただし、同時に多くのアプリケーションを起動するとCPU使用率が上昇する場合があります。

Ntkrnlpa.exe

このプロセスはWindowsカーネルおよびシステムコードの中心的なソフトウェアコンポーネントで、名前は「New Technology Kernel Process Allocator」に由来します。Ntoskrnl.exeと連携して、スケジューリングとメモリ管理を制御します。

また、コア以外のアプリケーションやサービスがOSの核心領域にアクセスするのを防ぎ、OSがシステムメモリの保護された領域で安全に動作するようにしています。

Ntkrnlpa.exeはアプリケーションによる保護メモリへのアクセスをブロックする役割を担っているため、Windowsのシステム障害の原因がNtkrnlpa.exeだと誤解されることがよくあります。これは、エラーを返すのがNtkrnlpa.exeだからです。

実際の原因は、保護されたシステムメモリへのアクセスを試みる何らかのマルウェアであることが多く、それがNtkrnlpa.exeのエラーを引き起こします。

Hal.dll

システムカーネルに関連するもう一つの中核ファイルがHal.dllです。このDLLファイルの名前は「Hardware Abstraction Layer(ハードウェア抽象化レイヤー)」の略です。

このファイルには、アプリケーションが複雑なマシン語コードではなく、シンプルなプログラム関数を通じてコンピュータのハードウェアとやり取りできるようにする核心コードが含まれています。その名の通り、ハードウェアとの通信や制御を「抽象化」する役割を果たします。

このファイルはRAM上で実行され、System32ディレクトリに格納されています。

Hal.dll自体は通常トラブルを起こしませんが、マルウェアの中には自分の実行ファイルに同じ名前を付けて偽装するものがあります。System32以外のフォルダに存在する場合は、偽物と判断できます。

なお、Hal.dllのタスクを停止しないでください。システムが機能しなくなり、Windowsの復元が必要になる可能性があります。

Win32k.sys

このファイルは「マルチユーザーWin32ドライバ」と呼ばれるもので、Windows XPで初めて搭載され、Windows 10を含む以降の各バージョンでアップグレードされてきました。

モニターなどの出力デバイスへのグラフィックス送信を管理するグラフィックドライバインターフェースで、Windows 10ではgdi32.dllによってコードが実行されます。

Win32k.sysは長年にわたりWindowsの中核を担ってきたファイルのため、マルウェアの標的になりやすいという弱点があります。また、マルウェアが自身のファイルにこの名前を付けることも多く、感染に気づかれないようにしています。

Ntdll.dll

このファイルはSystemおよびSystem32ディレクトリにあり、ファイルの説明は「NT Layer DLL」です。NTカーネルの核心的な関数を含むDLLファイルです。

つまり、OSの核心が正常に機能するためのマシン語コードが含まれており、カーネルプログラムがNtdll.dll内の関数にアクセスすると、このファイルがそれらのマシンレベルの処理を実行します。

Ntdll.dllからのエラーメッセージが表示される場合、通常はファイル自体の破損か、ハードウェアの問題が原因でプロセスがクラッシュしています。

多くの場合、原因となっているハードウェアドライバを再インストールすれば解決します。Ntdll.dll自体の破損が原因であれば、ウイルス対策ソフトで修復できることもあります。修復できない場合は、Windowsの復元が必要になるかもしれません。

Kernel32.dll

このDLLファイルもWindowsカーネルの一部で、メモリ割り込みを含むメモリ管理と、すべての入出力操作を管理します。

Kernel32.dllも、通常のユーザーアプリケーションがアクセスできない保護されたメモリ空間に読み込まれるファイルの一つです。

Kernel32.dll関連のエラーが表示される場合は、マルウェアか、破損したハードウェアドライバ(または故障したハードウェア)が、Kernel32.dllが存在する保護メモリへの書き込みを試みたことが原因であることがほとんどです。ドライバの再インストールやハードウェアの交換で解決することが多いです。

Advapi32.dll

このDLLファイルもWindows OSの核心的なコンポーネントです。名前は「Advanced Application Programming Interface(高度なAPI)」の略で、システムセキュリティ関連の呼び出しやシステムレジストリへのアクセスを処理します。

Windowsの起動・シャットダウンの管理、Windowsレジストリの管理、ユーザーアカウントとアカウントセキュリティの処理、Windowsサービスの管理などを担当しています。

Windowsの起動自体には必須ではありませんが、ほとんどのアプリケーションとハードウェアの正常な動作には必要です。このファイルが削除・破損されると、レジストリやセキュリティへのAPI呼び出しが失敗し、多数のエラーメッセージが表示されます。

User32.dll

もう一つの中核DLLであるこのファイルには、ユーザーアプリケーションがOSと通信するためのWindows APIの大部分が含まれています。Windowsアプリケーションが表示するウィンドウやコントロールの多くを処理します。

グラフィカルユーザーインターフェースを持つアプリケーションは、通常User32.dllが提供するコンポーネントを利用しています。

ただし、多くの場合、Windowsアプリケーションは.NET Frameworkに組み込まれたライブラリを利用し、そのライブラリがUser32.dllとの通信を管理します。

いずれの場合も、User32.dllはアプリケーションの分かりやすいコードを、Windows OSが必要とするマシンレベルのコマンドに変換する役割を果たします。

Gdi32.dll

User32.dllと同様に、Gdi32.dllにはアプリケーションがモニター上にグラフィカルユーザーインターフェースを作成するための関数が含まれています。

画面上に2次元オブジェクトを作成する関数を提供し、Windowsアプリケーションやサービスからのコードを受け取り、モニターに視覚オブジェクトを表示するために必要なマシン語コードを実行します。

このDLLが破損・削除されてもOS自体は起動することがありますが、画面表示は正常に機能しなくなります。

その他の重要なWindowsシステムファイル

ここまで紹介したのはWindows OSの正常な動作に不可欠な核心的なシステムファイルですが、それ以外にも、重要度はやや低いもののシステムの正常な動作に必要なファイルがいくつかあります。

• Pagefile.sys:OSがRAMのメモリ空間を管理し、システムパフォーマンスを向上させるのに役立ちます。
• Swapfile.sys:比較的新しいシステムファイルで、休止状態にある最新のWindowsアプリをハードドライブへ移動する際に使用されます。
• Csrss.exe:クライアントサーバーランタイムプロセスで、コンソールウィンドウやWindowsのシャットダウンプロセスを処理します。
• Shell32.dll:WindowsシェルAPI関数を含み、Webブラウザやその他のアプリケーションがタスクバー、デスクトップ、スタートメニューなどのOS要素を正しく表示できるようにします。
• Smss.exe:セッションマネージャーサブシステムで、Windowsへのログオンやユーザーのシステム設定を含むユーザーセッションを処理します。
• Sxs.dll:マニフェストファイルを処理するWindows OSの重要なコンポーネントです。マニフェストファイルとは、アプリケーションの起動時にWindowsがそれをどのように扱うべきかを指示するファイルのことです。

Windows OSには他にも重要度の低いシステムファイルが多数存在しますが、上記はその中でも最も一般的なものです。そのため、マルウェアが正規ファイルに偽装してユーザーを欺く際の標的になりやすいファイルでもあります。

ほとんどのウイルス対策ソフトは偽装されたWindowsシステムファイルを識別でき、ユーザーが存在に気づく前にシステムから除去してくれます。