Norton製品によるWindows 11シャットダウン遅延の不具合報告
概要
Windows 11 Proにおいて、シャットダウンおよび再起動に約8分(実測ログで496,851ms)かかる不具合が発生しています。約1ヶ月半にわたり手元で技術的な切り分けを行った結果、Norton製品内部の処理が原因である可能性が高いところまで特定できましたので、詳細をご報告します。
環境情報
-
OS: Windows 11 Pro(ビルド 10.0.26200)
-
CPU: Intel Core i7-12700 / メモリ: 64GB / GPU: RTX 4070 Super
-
セキュリティ製品: Norton Suite(バージョン 26.9.11171.0)
-
Windows Updateまたは同時期のNorton側の更新以降から発生していると認識しています
症状
-
シャットダウン・再起動ともに、完了まで約8分かかる
-
「詳細な状態メッセージ(VerboseStatus)」を有効化しても、遅延全体のうち最後の約20秒間しか表示されず、それ以前は画面上に何の変化もない
-
発生頻度は日によって変動するが、日常的に発生している
調査で判明した技術的詳細
1. Windows診断ログによる時間の内訳
起動のたびに記録される Microsoft-Windows-Diagnostics-Performance のイベントID 200(レベル: 重大)から、以下の内訳が判明しています。
| 項目 | 時間 |
|---|---|
| ShutdownTime(合計) | 496,851 ms |
| ShutdownUserSessionTime | 482,529 ms(全体の約97%) |
| ShutdownKernelTime | 9,411 ms |
| ShutdownSystemSessionsTime | 4,910 ms |
| ShutdownServicesTime | 2,925 ms |
| ShutdownPreShutdownNotificationsTime | 1,958 ms |
遅延の97%が「ユーザーセッションの終了処理」に集中しており、カーネルやサービス停止処理そのものは正常な時間で完了しています。
2. システムログ イベントID 7043
サービス制御マネージャーが、複数日(2026-06-02, 06-12, 08-23, 09-06)にわたり、以下のNortonサービスについて「プレシャットダウン コントロールを受け取った後に正しくシャットダウンされませんでした」と記録しています。
-
Norton Antivirus サービス
-
Norton Tools サービス
レジストリを確認したところ、両サービスの PreshutdownTimeout はNorton側で独自に設定されており(Norton Antivirus = 30,000ms、Norton Tools = 135,000ms)、Windowsの既定値(10,000ms)より長く確保されているにもかかわらず、実際の遅延はそれを大幅に超えています。
3. File I/Oログ(WPR/WPAトレース)で検出したエラー
Windows Performance Recorderで取得したトレースのFile I/Oログにおいて、nllToolsSvc.exe が以下のファイルに対して STATUS_DELETE_PENDING (0xC0000123) エラーを1回のシャットダウンあたり計736件発生させていることを確認しました。
-
C:\ProgramData\Norton\Antivirus\journal\journal479A4FBA(計729件。うち660件がシャットダウン開始133〜140秒の間に集中) -
C:\ProgramData\Norton\Antivirus\DUState.dat.tmp -
C:\ProgramData\Norton\Antivirus\TUProgMan.10.tudb-shm/-wal -
C:\ProgramData\Norton\Antivirus\TUProgManagerCache.10.tudb-shm/-wal
このエラーは「ファイルの最後のハンドルが閉じられて削除された後、未完了のI/O要求がそのファイルに対して処理されようとした」場合に発生するものです。journalおよび内部データベースファイルの削除・書き込みのタイミングに**競合(レースコンディション)**があることを示唆しています。なお133〜140秒という集中タイミングは、上記のNorton ToolsサービスのPreshutdownTimeout(135秒)ともほぼ一致しています。
4. スレッドのコールスタック解析(ProcDump + Visual Studio 並列スタック)
シャットダウン処理中の nllToolsSvc.exe のメモリダンプを取得し解析したところ、以下が判明しました。
-
スレッド
global_task_proc - HttpClient::PerformAsyncが winhttp.dll内でブロックしており、aswAv.dll経由でHTTPリクエストの応答を待っている状態でした。 -
その周辺で、複数のスレッドが
anen.dllおよびsu_controller.dll(Software Updater関連と思われます)内で「ロックを待機しています」という状態のまま止まっていました。 -
他に稼働していたスレッド名:
registry change watcher: Software\Norton\...、lic_ct_watch、asw::installmon::MonitorThread、CTUDeactivatorThread、StartupManager、task_scheduler_impl
シャットダウン中にNortonが外部サーバーへHTTP通信(ライブアップデートまたはテレメトリ送信と推測)を行い、その応答待ちで複数のスレッドがロックごと足止めされている可能性が高いと考えています。
比較のため同時に取得した svchost.exe(セッション1のユーザーサービスホスト、8プロセスが同様に遅延中に残存)のスタックも確認しましたが、Nortonのコードは含まれておらず、SCMからの停止命令を正常に待機しているだけでした。このプロセス自体は原因ではなく、Norton側の処理待ちに巻き込まれているだけと考えられます。
すでに試した対処(いずれも改善なし)
-
DDU(Display Driver Uninstaller)によるグラフィックドライバーのクリーン再インストール
-
シャットダウン前のNVIDIA関連プロセス・サービスの手動停止
-
常駐していたリモートデスクトップソフト(Sunshine)の更新・終了・サービス停止
-
shutdown /s /t 0 /fによる強制シャットダウン(アプリの強制終了はサービス層の遅延には無効でした) -
Nortonのリアルタイム保護の一時無効化(1回のみ改善しましたが、以降再発しました)
-
レジストリでの
PreshutdownTimeout変更(再起動時にNorton側で元の値に戻されました)
お願いしたいこと
-
上記の技術的詳細、特に nllToolsSvc.exeのHttpClient::PerformAsyncスレッドがwinhttp.dll内でブロックしている点、および journal/データベースファイルへのSTATUS_DELETE_PENDINGエラー について、開発側での原因調査をお願いしたいです。
-
既知の不具合であれば、該当する修正パッチやKB情報をご教示ください。
-
暫定的な回避策があれば併せてご教示いただけますと幸いです。
必要であれば、取得済みのWPR/WPAトレース(.etlファイル)、メモリダンプ(.dmpファイル)、各種イベントログのエクスポートを追加で提供いたします。
