А>почему тогда при описании организации своего счетчика ссылок пишут что надо на IRP_MJ_CREATE его увеличивать а на IRP_MJ_CLOSE уменьшать ? и почему может приходить несколько IRP_MJ_CLOSE ?
Несколько IRP_MJ_CLOSE может приходить на отслеживаемый FileObject->FsContext, а на FileObject один IRP_MJ_CLOSE должен приходить.
