Ключевые моменты

• Журналы событий Windows хранят информацию о неисправностях оборудования и программного обеспечения, включая другие успешные операции.
• Вы можете просмотреть журналы событий различной серьезности по различным категориям в средстве просмотра событий (eventvwr.msc) или с помощью монитора надежности (Панель управления > Система и безопасность > Безопасность и обслуживание > Обслуживание > Просмотр истории надежности).

Операционная система Windows протоколирует и хранит информацию о выполняемых над ней действиях, особенно если произошли какие-либо ошибки. Эта информация собирается из различных приложений Windows, а также из самих компонентов Windows.

Эти ошибки записываются в папке «C:WINDOWSsystem32config». Однако если вы перейдете в этот каталог, вы найдете файлы, которые невозможно открыть ни в каких приложениях, и, следовательно, вы не сможете просмотреть журналы ошибок. Для этих целей в ОС Windows есть два полезных инструмента:

• Средство просмотра событий Windows и
• Монитор надежности

Эти инструменты можно использовать для просмотра и понимания различных ошибок и предупреждений, возникающих на вашем компьютере. Поэтому, если ваши приложения продолжают давать сбой или вы продолжаете видеть «синий экран смерти» (BSoD) и не можете понять, почему, вы можете прибегнуть к этим инструментам, чтобы понять, почему произошла ошибка и как ее можно устранить.

В этом руководстве описывается, как получить доступ к средству просмотра событий и монитору надежности на компьютере с Windows, а также как их использовать для понимания различных типов ошибок и их причин.

Что такое журналы событий Windows?

Журналы событий — это файлы, содержащие структурированную информацию о событиях. Этими событиями могут быть ошибки, предупреждения или простые операции. Эти файлы предоставляют информацию о различных аппаратных и программных операциях в системе.

На компьютере под управлением Windows журналы событий используются для определения причины ошибки или предупреждения. Они содержат коды ошибок и часто объяснение того, почему что-то произошло. Например, если система внезапно выйдет из строя, Windows создаст журнал, объясняющий причину сбоя.

Иногда объяснение достаточно простое, чтобы решить проблему. В других случаях вы можете получить только определенный код ошибки (например, 0xC000021A), который сам по себе мало что объясняет. Однако вы можете поискать этот код в Интернете и получить подробные ответы о причинах ошибки и возможных ее исправлениях.

Журналы событий на компьютере Windows могут содержать следующую информацию:

• Имя журнала: это категория журнала событий, для которого был создан журнал. Различные категории обсуждаются ниже.
• Источник: название компонента или приложения, вызвавшего событие.
• Идентификатор события: это идентификационный номер, который помогает администраторам идентифицировать конкретное зарегистрированное событие. Обычно это код, который используется для дальнейшего исследования ошибки, вызвавшей зарегистрированное событие.
• Уровень (тип): указывает серьезность журнала событий. Это может быть информация, ошибка, подробное сообщение, предупреждение или критическое сообщение.
• Пользователь: имя учетной записи пользователя, который вошел в систему в момент возникновения события.
• Код операции: когда программа вызывает событие, она выполняет действие или определенную точку внутри действия, а код операции определяет числовое значение, которое идентифицирует конкретное действие.
• Дата/время события (в журнале): указывает дату и время возникновения события и создания журнала.
• Категория задачи: указывает, какой тип записанного журнала событий. Чтобы предоставить более подробную информацию о событии, разработчики могут при необходимости включать категории задач в свои приложения.
• Ключевые слова: журналы событий классифицируют события с помощью ключевых слов. Эти ключевые слова помогают классифицировать тип события и обеспечивают дополнительный контекст. Одним из таких распространенных ключевых слов является «классический».
• Компьютер: имя компьютера, регистрирующего событие.

Типы и категории журналов событий Windows

Если вы новичок в журналах событий на компьютере под управлением Windows, вам будет важно понять их типы и категории. Обладая этими знаниями, вы сможете найти правильный журнал ошибок и лучше его понять.

Типы/уровень журналов событий

Независимо от категории журнала событий существует 5 типов журналов ошибок, а именно:

• Информация: указывает на то, что служба или приложение работает нормально. Например, событие будет записано как информационное событие при успешном запуске службы Windows.
• Предупреждение: это незначительные инциденты, которые повышают вероятность возникновения проблем в будущем. Предупреждающее событие может быть зарегистрировано, когда ваше устройство работает на недостаточном дисковом пространстве.
• Ошибка: журнал ошибок, отмеченный красным восклицательным знаком, описывает серьезную проблему, которая возникает, когда система не может работать должным образом, например, при сбое операционной системы или приложения.
• Аудит успеха. Журналы событий такого типа документируют законные попытки получить журнал безопасности посредством аудита. Например, эффективная попытка входа в систему будет классифицирована как успешное событие аудита.
• Аудит сбоев: в этих журналах событий отображаются зарегистрированные в журнале безопасности сбои доступа к системе безопасности, например невозможность доступа к сетевому диску.

Читая различные журналы событий, мы обычно ищем предупреждения или журналы ошибок, поскольку они обычно вызывают серьезные проблемы в системе, такие как сбой операционной системы или возникновение BSoD.

Категории журналов событий

Помимо информации о различных типах журналов событий, вы также должны понимать их различные категории. Эта информация позволит вам узнать, где искать журнал событий (в какой категории).

• Приложение: журналы событий, касающихся приложений и программного обеспечения, размещенных на компьютере, регистрируются в этой категории. Например, журнал событий будет создан, если приложение Paint или игра не запустится.
• Безопасность: в этой категории хранятся любые события, связанные с безопасностью системы. Такие события записываются с помощью процесса аудита Windows. Например, если в систему будет предпринята попытка несанкционированного доступа или попытка безопасного удаления файла, событие будет зарегистрировано автоматически.
• Настройка: События, происходящие во время установки ОС Windows, записываются в журнал установки. События установки также будут регистрироваться на контроллерах домена, относящихся к Active Directory.
• Система: в этой категории записываются события о системе и ее компонентах. Например, сюда будет записана ошибка с ядром.
• Перенаправленные события: это журналы событий, которые были перенаправлены с других устройств в сети.

Благодаря этой информации, когда на вашем компьютере возникает ошибка, вы сможете просмотреть нужную категорию и понять, почему это произошло.

Теперь, когда вы полностью понимаете использование и преимущества журналов событий, позвольте мне показать вам, как получить доступ к журналам событий и сделать их полезными.

Как просмотреть журналы событий в Windows

Как упоминалось ранее, вы можете получить доступ к журналам событий на компьютере под управлением Windows с помощью средства просмотра событий и монитора надежности.

Средство просмотра событий можно использовать для доступа к различным категориям событий, описанных выше, и просмотра всех видов событий. В то время как Монитор надежности предоставляет временную шкалу событий, которую можно распределить по дням и неделям. Последний фокусируется на системных ошибках, которые могут повлиять на надежность и производительность системы, и не так подробен, как средство просмотра событий.

Просмотр журналов событий с помощью средства просмотра событий

Чтобы получить доступ к зарегистрированным событиям в средстве просмотра событий, выполните следующие действия:

1. Нажмите клавиши Windows+R, чтобы открыть окно «Выполнить команду».
2. Введите «eventvwr.msc» и нажмите Enter, чтобы открыть средство просмотра событий.
3. Разверните «Журналы Windows» на левой панели навигации.
4. Нажмите на категорию событий, к которой вы хотите получить доступ.Категория событий открытого журнала
5. Теперь прокрутите журналы на средней панели и щелкните тот, для которого вам нужна информация.Поскольку журналов слишком много, вы можете применить фильтр, выполнив следующие дополнительные действия. Для начала нажмите «Фильтровать текущий журнал» на правой панели.

   Фильтрация журналов

6. В окне «Фильтровать текущий журнал» выберите следующие элементы, которые помогут вам найти конкретный файл журнала ошибок:

   • Записано: продолжительность отображения журналов событий.
   • Уровень события: серьезность события журнала.
   • [Необязательно] Идентификатор события: если вы ищете конкретный журнал ошибок, для которого у вас уже есть идентификатор события.

   

   Примените фильтры событий

7. Когда закончите, нажмите ОК.

Когда фильтры применены, вы можете прокрутить журналы событий в диспетчере событий и дважды щелкнуть тот, о котором вы хотите получить дополнительную информацию.

Я также хотел бы добавить, что на шаге 6 выше вы можете еще больше сузить результаты поиска, применив дополнительные фильтры, такие как ключевое слово, имя учетной записи пользователя и т. д.

Более того, вы также можете использовать опцию «Пользовательский просмотр» и фильтровать определенные типы журналов событий из разных категорий в один кадр. Чтобы создать собственное представление, выполните следующие действия:

1. В средстве просмотра событий нажмите «Создать собственный вид» на правой панели.Создайте собственный фильтр в средстве просмотра событий.
2. В окне «Создать собственный вид» выберите «По журналу», а затем разверните раскрывающееся меню перед ним.
3. В раскрывающемся меню выберите категории журналов, которые вы хотите просмотреть.Выберите категории журнала событий для просмотра
4. Теперь выберите уровни событий и нажмите «ОК».Создайте собственное представление для журналов событий.
5. Теперь задайте имя для пользовательского представления и нажмите «ОК».Присвойте имя пользовательскому представлению событий

После выполнения этих шагов вы сможете просматривать журналы событий, включенные в короткий список, непосредственно в одной категории на левой панели.

Просмотр журналов событий в пользовательской категории в средстве просмотра событий.

Если вы хотите удалить или отредактировать пользовательскую категорию событий, просто щелкните ее правой кнопкой мыши и выберите соответствующую опцию в контекстном меню.

Просмотр журналов событий с помощью монитора надежности

Вы также можете использовать Монитор надежности для просмотра важных журналов ошибок на вашем компьютере. Вот как получить доступ к этому инструменту и прочитать его:

1. Нажмите клавиши Windows+R, чтобы открыть окно «Выполнить команду».
2. Введите «control» и нажмите Enter, чтобы запустить панель управления.
3. Нажмите «Система и безопасность».
4. Нажмите «Безопасность и обслуживание».
5. Развернуть Техническое обслуживание.Развернуть Техническое обслуживание
6. Нажмите «Просмотреть историю надежности».Открыть монитор надежности
7. Нажмите на столбец дня, для которого вы хотите просмотреть журнал сбоев.Выберите день для просмотра журналов событий.
8. Дважды щелкните событие в нижней части Монитора надежности, чтобы просмотреть дополнительные сведения.Откройте журнал событий с помощью монитора надежности.

После выполнения этих шагов вы сможете увидеть полную информацию о выбранном журнале событий.

Просмотр сведений журнала событий с помощью монитора надежности

Как вы можете видеть на изображении выше, сведения о журнале событий здесь несколько отличаются от тех, которые доступны в средстве просмотра событий. Однако вы можете использовать код ошибки, чтобы найти дополнительную информацию о событии в Интернете.

Заключительные слова

Понимание журналов сбоев и событий так же важно, как и доступ к ним. Нет смысла просматривать журналы событий, если вы не можете определить, что они означают.

В этом подробном руководстве показано, как именно просматривать и понимать журналы системных событий, а также искать ошибки разной серьезности в разных категориях. Вы также можете просмотреть их за определенные дни, если не уверены, когда именно произошла ошибка.