Как использовать средство просмотра событий для устранения неполадок Windows

Под капотом компьютера с Windows происходит многое. С помощью средства просмотра событий можно отслеживать процессы Windows, помогая диагностировать надоедливые проблемы без очевидной причины.

Однако средство просмотра событий может сбивать с толку из-за устаревшего пользовательского интерфейса и плохого макета. Вот руководство по навигации в средстве просмотра событий для устранения любых проблем с Windows.

Начало работы со средством просмотра событий

Операционная система Windows «регистрирует» каждое значительное действие во время работы. Средство просмотра событий — это просто приложение, которое помогает вам получать доступ к этим журналам и читать их в одном месте, вместо того, чтобы вручную открывать каждый текстовый файл в проводнике Windows.

1. Откройте средство просмотра событий, выполнив поиск приложения в меню «Пуск».

2. Разверните приложение, как только оно откроется, потому что вам нужен полноэкранный режим, чтобы увидеть всю доступную информацию.

Понимание интерфейса

Event Viewer не имеет интуитивно понятного интерфейса. Поначалу этот инструмент может немного сбивать с толку, поэтому давайте рассмотрим все элементы один за другим.

Левая панель

При запуске средства просмотра событий вы заметите, что окно разделено на три области. В левой части события классифицируются в представлении папок, что позволяет быстро перейти к определенному типу журналов событий.

Существует четыре основных типа журналов:

• Пользовательские представления. Категория «Пользовательские представления», как следует из названия, позволяет создавать настраиваемые выборки журналов вместо того, чтобы придерживаться стандартных категорий. Например, представление «Административные события» по умолчанию собирает события «Критические события», «Ошибки» и «Предупреждения» из всех административных журналов.

• Журналы Windows: эта папка содержит все журналы, относящиеся к системным службам Windows. Это не особенно полезно, если вы не хотите подробно изучить, как работает ОС.

• Журналы приложений и служб. Эти журналы генерируются всеми видами служб, от некритических служб Windows до сторонних приложений. Вам не нужно просматривать этот список, так как все ошибки и предупреждения уже собраны в представлении «Административные события».

• Подписки: эта категория недоступна по умолчанию и в большинстве случаев не нужна. Его можно использовать только для сбора событий с удаленных компьютеров, что делает его продвинутым инструментом системного администрирования.

Средняя панель

Вот где на самом деле перечислены журналы. По умолчанию он отображает обзор и сводку событий, а не какую-либо конкретную категорию.

Первый раздел (и, возможно, самый важный) — это сводка административных событий. В нем перечислены важные системные события за последнюю неделю, что дает вам представление о состоянии системы. События также классифицируются по временным рамкам на почасовой, ежедневной и еженедельной основе.

В этом разделе есть пять типов событий:

• Критический: в этой категории возникают любые серьезные системные проблемы. В исправно работающем компьютере эта категория должна быть пустой, но если вы заметили событие такого типа, обратите на него внимание.
• Ошибка: На любом исправном компьютере есть ошибки. Тот факт, что в этой категории перечислены события, не обязательно означает, что что-то не так. Это проблема, только если одна и та же ошибка появляется часто ежедневно.
• Предупреждение. Предупреждения генерируются, когда что-то еще не пошло не так, но могут указывать на возможную проблему. Это включает в себя такие вещи, как нехватка места на диске или неправильно настроенные драйверы.
• Информация: Этот совершенно безвреден, так как отмечает все успешные операции на компьютере. Источником обычно являются системные службы, хотя часто появляются и приложения безопасности.
• Аудит успеха: этот тип события генерируется каждый раз, когда попытка аутентификации успешна. Это включает в себя входы в систему и другие меры безопасности, поэтому не пугайтесь, если вы найдете несколько экземпляров в каждом временном интервале.
• Ошибка аудита: как следует из названия, этот тип события включает неудачные попытки проверки подлинности. Это хороший способ узнать, пытался ли кто-нибудь получить доступ к вашему ПК через сетевое соединение или прямой вход в систему.

Правая панель

Правая панель окна содержит все действия, которые вы можете выполнить для выбранного элемента. Действия меняются в зависимости от того, выбрана ли у вас папка или событие.

Вы можете создать настраиваемое представление, просмотреть свойства журнала или сохранить выбранные события, чтобы просмотреть их позже, помимо других действий.

Как читать журналы событий

Открыть представление и просмотреть журналы событий достаточно просто, но как разобраться во всей этой информации? Вот разбивка.

Когда вы выбираете событие, открывается вкладка «Общие», отображающая краткую сводку об ошибке, за которой следует набор информационных полей:

• Имя журнала: имя журнала, которому принадлежит событие. В основном полезно для идентификации службы Windows, в которой произошло событие.
• Источник: обычно совпадает с именем журнала, поскольку в нем указано исходное приложение события.
• Идентификатор события: Каждое событие имеет уникальный идентификатор события. Этот идентификатор помогает отличить конкретное событие от других событий аналогичного характера, даже если они генерируются одним и тем же процессом.
• Уровень: это тег, определяющий уровень приоритета события. Вы уже видели такие теги, как Error и Critical в административном представлении, и именно из этого поля они взяты.
• Пользователь: учетная запись пользователя, сгенерировавшая событие. Полезно при диагностике проблем в многопользовательских системах.
• Код OP: предполагается, что это поле определяет активность рассматриваемого процесса до того, как событие было инициировано, но на практике почти всегда по умолчанию используется значение Info.
• Зарегистрировано: временная метка события, включая дату.
• Категория задачи: еще одно поле, предназначенное для предоставления дополнительной информации об исходном процессе, хотя в основном оставленное пустым.
• Компьютер: имя ПК, создавшего событие. Бесполезно, когда вы работаете с одной системой, но важно, когда имеете дело с событиями, пересылаемыми с сетевого компьютера.

Это может показаться большим объемом информации, но вам не нужно читать все поля. Наиболее важными полями являются Уровень и Источник.

С помощью уровня вы можете определить, насколько серьезным является событие (критические события являются наиболее важными), а источник информирует вас об исходном приложении или компоненте. Это позволяет найти и убить проблемный процесс.

Как устранить проблемы Windows с помощью средства просмотра событий?

Когда вы страдаете от внезапного сбоя системы, вашей первой остановкой должно быть средство просмотра событий. Запустите административный вид и проверьте наличие критических событий.

Поскольку фатальные системные сбои всегда вызывают критическое событие, это поможет вам быстро обнулить ошибочный процесс и начать искать исправление. В зависимости от задействованного компонента Windows исправление может быть таким же простым, как обновление драйверов или запуск SFC из командной строки.

Для более мелких проблем вам, возможно, придется пройти через события ошибок. Это помогает, если вы знаете, какое приложение или функция работает неправильно, поскольку даже исправная система генерирует некоторые ошибки.