Ключевые моменты
- Журналы событий Windows хранят информацию о неисправностях оборудования и программного обеспечения, включая другие успешные операции.
- Вы можете просмотреть журналы событий различной серьезности по различным категориям в средстве просмотра событий (eventvwr.msc) или с помощью монитора надежности (Панель управления > Система и безопасность > Безопасность и обслуживание > Обслуживание > Просмотр истории надежности).
Операционная система Windows протоколирует и хранит информацию о выполняемых над ней действиях, особенно если произошли какие-либо ошибки. Эта информация собирается из различных приложений Windows, а также из самих компонентов Windows.
Эти ошибки записываются в папке «C:\WINDOWS\system32\config\». Однако если вы перейдете в этот каталог, вы найдете файлы, которые невозможно открыть ни в каких приложениях, и, следовательно, вы не сможете просмотреть журналы ошибок. Для этих целей в ОС Windows есть два полезных инструмента:
- Средство просмотра событий Windows и
- Монитор надежности
Эти инструменты можно использовать для просмотра и понимания различных ошибок и предупреждений, возникающих на вашем компьютере. Поэтому, если ваши приложения продолжают давать сбой или вы продолжаете видеть «синий экран смерти» (BSoD) и не можете понять, почему, вы можете прибегнуть к этим инструментам, чтобы понять, почему произошла ошибка и как ее можно устранить.
В этом руководстве описывается, как получить доступ к средству просмотра событий и монитору надежности на компьютере с Windows, а также как их использовать для понимания различных типов ошибок и их причин.
Что такое журналы событий Windows?
Журналы событий — это файлы, содержащие структурированную информацию о событиях. Этими событиями могут быть ошибки, предупреждения или простые операции. Эти файлы предоставляют информацию о различных аппаратных и программных операциях в системе.
На компьютере под управлением Windows журналы событий используются для определения причины ошибки или предупреждения. Они содержат коды ошибок и часто объяснение того, почему что-то произошло. Например, если система внезапно выйдет из строя, Windows создаст журнал, объясняющий причину сбоя.
Иногда объяснение достаточно простое, чтобы решить проблему. В других случаях вы можете получить только определенный код ошибки (например, 0xC000021A), который сам по себе мало что объясняет. Однако вы можете поискать этот код в Интернете и получить подробные ответы о причинах ошибки и возможных ее исправлениях.
Журналы событий на компьютере Windows могут содержать следующую информацию:
- Имя журнала: это категория журнала событий, для которого был создан журнал. Различные категории обсуждаются ниже.
- Источник: название компонента или приложения, вызвавшего событие.
- Идентификатор события: это идентификационный номер, который помогает администраторам идентифицировать конкретное зарегистрированное событие. Обычно это код, который используется для дальнейшего исследования ошибки, вызвавшей зарегистрированное событие.
- Уровень (тип): указывает серьезность журнала событий. Это может быть информация, ошибка, подробное сообщение, предупреждение или критическое сообщение.
- Пользователь: имя учетной записи пользователя, который вошел в систему в момент возникновения события.
- Код операции: когда программа вызывает событие, она выполняет действие или определенную точку внутри действия, а код операции определяет числовое значение, которое идентифицирует конкретное действие.
- Дата/время события (в журнале): указывает дату и время возникновения события и создания журнала.
- Категория задачи: указывает, какой тип записанного журнала событий. Чтобы предоставить более подробную информацию о событии, разработчики могут при необходимости включать категории задач в свои приложения.
- Ключевые слова: журналы событий классифицируют события с помощью ключевых слов. Эти ключевые слова помогают классифицировать тип события и обеспечивают дополнительный контекст. Одним из таких распространенных ключевых слов является «классический».
- Компьютер: имя компьютера, регистрирующего событие.
Типы и категории журналов событий Windows
Если вы новичок в журналах событий на компьютере под управлением Windows, вам будет важно понять их типы и категории. Обладая этими знаниями, вы сможете найти правильный журнал ошибок и лучше его понять.
Типы/уровень журналов событий
Независимо от категории журнала событий существует 5 типов журналов ошибок, а именно:
- Информация: указывает на то, что служба или приложение работает нормально. Например, событие будет записано как информационное событие при успешном запуске службы Windows.
- Предупреждение: это незначительные инциденты, которые повышают вероятность возникновения проблем в будущем. Предупреждающее событие может быть зарегистрировано, когда ваше устройство работает на недостаточном дисковом пространстве.
- Ошибка: журнал ошибок, отмеченный красным восклицательным знаком, описывает серьезную проблему, которая возникает, когда система не может работать должным образом, например, при сбое операционной системы или приложения.
- Аудит успеха. Журналы событий такого типа документируют законные попытки получить журнал безопасности посредством аудита. Например, эффективная попытка входа в систему будет классифицирована как успешное событие аудита.
- Аудит сбоев: в этих журналах событий отображаются зарегистрированные в журнале безопасности сбои доступа к системе безопасности, например невозможность доступа к сетевому диску.
Читая различные журналы событий, мы обычно ищем предупреждения или журналы ошибок, поскольку они обычно вызывают серьезные проблемы в системе, такие как сбой операционной системы или возникновение BSoD.
Категории журналов событий
Помимо информации о различных типах журналов событий, вы также должны понимать их различные категории. Эта информация позволит вам узнать, где искать журнал событий (в какой категории).
- Приложение: журналы событий, касающихся приложений и программного обеспечения, размещенных на компьютере, регистрируются в этой категории. Например, журнал событий будет создан, если приложение Paint или игра не запустится.
- Безопасность: в этой категории хранятся любые события, связанные с безопасностью системы. Такие события записываются с помощью процесса аудита Windows. Например, если в систему будет предпринята попытка несанкционированного доступа или попытка безопасного удаления файла, событие будет зарегистрировано автоматически.
- Настройка: События, происходящие во время установки ОС Windows, записываются в журнал установки. События установки также будут регистрироваться на контроллерах домена, относящихся к Active Directory.
- Система: в этой категории записываются события о системе и ее компонентах. Например, сюда будет записана ошибка с ядром.
- Перенаправленные события: это журналы событий, которые были перенаправлены с других устройств в сети.
Благодаря этой информации, когда на вашем компьютере возникает ошибка, вы сможете просмотреть нужную категорию и понять, почему это произошло.
Теперь, когда вы полностью понимаете использование и преимущества журналов событий, позвольте мне показать вам, как получить доступ к журналам событий и сделать их полезными.
Как просмотреть журналы событий в Windows
Как упоминалось ранее, вы можете получить доступ к журналам событий на компьютере под управлением Windows с помощью средства просмотра событий и монитора надежности.
Средство просмотра событий можно использовать для доступа к различным категориям событий, описанных выше, и просмотра всех видов событий. В то время как Монитор надежности предоставляет временную шкалу событий, которую можно распределить по дням и неделям. Последний фокусируется на системных ошибках, которые могут повлиять на надежность и производительность системы, и не так подробен, как средство просмотра событий.
Просмотр журналов событий с помощью средства просмотра событий
Чтобы получить доступ к зарегистрированным событиям в средстве просмотра событий, выполните следующие действия:
- Нажмите клавиши Windows+R, чтобы открыть окно «Выполнить команду».
- Введите «eventvwr.msc» и нажмите Enter, чтобы открыть средство просмотра событий.
- Разверните «Журналы Windows» на левой панели навигации.
- Нажмите на категорию событий, к которой вы хотите получить доступ.
Категория событий открытого журнала - Теперь прокрутите журналы на средней панели и щелкните тот, для которого вам нужна информация.Поскольку журналов слишком много, вы можете применить фильтр, выполнив следующие дополнительные действия. Для начала нажмите «Фильтровать текущий журнал» на правой панели.
Фильтрация журналов
- В окне «Фильтровать текущий журнал» выберите следующие элементы, которые помогут вам найти конкретный файл журнала ошибок:
- Записано: продолжительность отображения журналов событий.
- Уровень события: серьезность события журнала.
- [Необязательно] Идентификатор события: если вы ищете конкретный журнал ошибок, для которого у вас уже есть идентификатор события.
Примените фильтры событий
- Когда закончите, нажмите ОК.
Когда фильтры применены, вы можете прокрутить журналы событий в диспетчере событий и дважды щелкнуть тот, о котором вы хотите получить дополнительную информацию.
Я также хотел бы добавить, что на шаге 6 выше вы можете еще больше сузить результаты поиска, применив дополнительные фильтры, такие как ключевое слово, имя учетной записи пользователя и т. д.
Более того, вы также можете использовать опцию «Пользовательский просмотр» и фильтровать определенные типы журналов событий из разных категорий в один кадр. Чтобы создать собственное представление, выполните следующие действия:
- В средстве просмотра событий нажмите «Создать собственный вид» на правой панели.
Создайте собственный фильтр в средстве просмотра событий. - В окне «Создать собственный вид» выберите «По журналу», а затем разверните раскрывающееся меню перед ним.
- В раскрывающемся меню выберите категории журналов, которые вы хотите просмотреть.
Выберите категории журнала событий для просмотра - Теперь выберите уровни событий и нажмите «ОК».
Создайте собственное представление для журналов событий. - Теперь задайте имя для пользовательского представления и нажмите «ОК».
Присвойте имя пользовательскому представлению событий
После выполнения этих шагов вы сможете просматривать журналы событий, включенные в короткий список, непосредственно в одной категории на левой панели.
Просмотр журналов событий в пользовательской категории в средстве просмотра событий.
Если вы хотите удалить или отредактировать пользовательскую категорию событий, просто щелкните ее правой кнопкой мыши и выберите соответствующую опцию в контекстном меню.
Просмотр журналов событий с помощью монитора надежности
Вы также можете использовать Монитор надежности для просмотра важных журналов ошибок на вашем компьютере. Вот как получить доступ к этому инструменту и прочитать его:
- Нажмите клавиши Windows+R, чтобы открыть окно «Выполнить команду».
- Введите «control» и нажмите Enter, чтобы запустить панель управления.
- Нажмите «Система и безопасность».
- Нажмите «Безопасность и обслуживание».
- Развернуть Техническое обслуживание.
Развернуть Техническое обслуживание - Нажмите «Просмотреть историю надежности».
Открыть монитор надежности - Нажмите на столбец дня, для которого вы хотите просмотреть журнал сбоев.
Выберите день для просмотра журналов событий. - Дважды щелкните событие в нижней части Монитора надежности, чтобы просмотреть дополнительные сведения.
Откройте журнал событий с помощью монитора надежности.
После выполнения этих шагов вы сможете увидеть полную информацию о выбранном журнале событий.
Просмотр сведений журнала событий с помощью монитора надежности
Как вы можете видеть на изображении выше, сведения о журнале событий здесь несколько отличаются от тех, которые доступны в средстве просмотра событий. Однако вы можете использовать код ошибки, чтобы найти дополнительную информацию о событии в Интернете.
Заключительные слова
Понимание журналов сбоев и событий так же важно, как и доступ к ним. Нет смысла просматривать журналы событий, если вы не можете определить, что они означают.
В этом подробном руководстве показано, как именно просматривать и понимать журналы системных событий, а также искать ошибки разной серьезности в разных категориях. Вы также можете просмотреть их за определенные дни, если не уверены, когда именно произошла ошибка.
