Что такое файлы журналов событий windows?
Журналы событий Windows хранятся в специальных файлах с системном каталоге Windows. Служба (сервис) «Журнал событий Windows» позволяет пользователям сохранять журналы и делать резервные копии журналов в файлы. Windows NT, 2000 и XP/Server 2003 хранят журналы событий в файлах EVT формата.
Рабочие версии файлов журналов событий Windows обычно заблокированы системой, точнее службой «Журнал событий Windows» и их невозможно непосредственно открыть на живой, работающей системе. Но если компьютер будет загружен другой системой с другого диска, то рабочие файлы журналов системы можно открыть или скопировать.
Также их можно скопировать или открыть, если подключить системный диск к другому компьютеру. По умолчанию, файлы журналов событий Windows Vista/Server 2008 хранятся в каталоге«C:WindowsSystem32winevtLogs»Открыть файл журнала событий в приложении Просмотр событий Windows можно выполнив следующие шаги:
Запустите приложение Просмотр событий.
Нажмите «Открыть сохраненный журнал» в панели «Действия», расположенной в правой части окна.
Найдите и выберите нужный вам файл в списке файлов, нажмите кнопку «Открыть» и его содержимое отобразиться в области просмотра событий в приложении.
Наша программа Event Log Explorer также работает с файлами журналов событий и работает лучше, чем «Просмотр событий». Например, в Event Log Explorer вы можете прочитать данные даже из поврежденных файлов журналов событий.
Что такое журнал событий windows 10, и зачем нужен
- Сведения — это информационные сообщения, фиксирующие запуски и остановки системных и программных служб, которые выполнены обычно, без каких-то проблем и сбоев;
- Предупреждения — сообщения, фиксирующие системные и программные события, при выполнении которых возникли проблемы. Эти проблемы потенциально могут быть причинами сбоя Windows 10 и программ;
- Ошибки — сообщения, фиксирующие события, при выполнении которых произошёл критический сбой программ и Windows 10, влекущий за собой потерю данных. Ошибки бывают обычные и критические. Критические – это те, что повлекли за собой сбой работы системы.
Вертим логи как хотим ― анализ журналов в системах windows
Пора поговорить про удобную работу с логами, тем более что в Windows есть масса неочевидных инструментов для этого. Например, Log Parser, который порой просто незаменим.
В статье не будет про серьезные вещи вроде Splunk и ELK (Elasticsearch Logstash Kibana). Сфокусируемся на простом и бесплатном.
До появления PowerShell можно было использовать такие утилиты cmd как find и findstr. Они вполне подходят для простой автоматизации. Например, когда мне понадобилось отлавливать ошибки в обмене 1С 7.7 я использовал в скриптах обмена простую команду:
findstr «Fail» *.log >> fail.txt
Она позволяла получить в файле fail.txt все ошибки обмена. Но если было нужно что-то большее, вроде получения информации о предшествующей ошибке, то приходилось создавать монструозные скрипты с циклами for или использовать сторонние утилиты. По счастью, с появлением PowerShell эти проблемы ушли в прошлое.
Основным инструментом для работы с текстовыми журналами является командлет Get-Content, предназначенный для отображения содержимого текстового файла. Например, для вывода журнала сервиса WSUS в консоль можно использовать команду:
Get-Content -Path ‘C:Program FilesUpdate ServicesLogFilesSoftwareDistribution.log’ | Out-Host -Paging
Для вывода последних строк журнала существует параметр Tail, который в паре с параметром Wait позволит смотреть за журналом в режиме онлайн. Посмотрим, как идет обновление системы командой:
>Get-Content -Path «C:WindowsWindowsUpdate.log» -Tail 5 -Wait
Смотрим за ходом обновления Windows.
Если же нам нужно отловить в журналах определенные события, то поможет командлет Select-String, который позволяет отобразить только строки, подходящие под маску поиска. Посмотрим на последние блокировки Windows Firewall:
Select-String -Path «C:WindowsSystem32LogFilesFirewallpfirewall.log» -Pattern ‘Drop’ | Select-Object -Last 20 | Format-Table Line
Смотрим, кто пытается пролезть на наш дедик.
При необходимости посмотреть в журнале строки перед и после нужной, можно использовать параметр Context. Например, для вывода трех строк после и трех строк перед ошибкой можно использовать команду:
Select-String ‘C:WindowsClusterReportsCluster.log’ -Pattern ‘ err ‘ ‑Context 3
Оба полезных командлета можно объединить. Например, для вывода строк с 45 по 75 из netlogon.log поможет команда:
Get-Content ‘C:Windowsdebugnetlogon.log’ | Select-Object -First 30 -Skip 45
Журналы системы ведутся в формате .evtx, и для работы с ними существуют отдельные командлеты. Для работы с классическими журналами («Приложение», «Система», и т.д.) используется Get-Eventlog. Этот командлет удобен, но не позволяет работать с остальными журналами приложений и служб.
Для получения списка доступных системных журналов можно выполнить следующую команду:
Get-WinEvent -ListLog *
Вывод доступных журналов и информации о них.
Для просмотра какого-то конкретного журнала нужно лишь добавить его имя. Для примера получим последние 20 записей из журнала System командой:
Get-WinEvent -LogName ‘System’ -MaxEvents 20
Последние записи в журнале System.
Для получения определенных событий удобнее всего использовать хэш-таблицы. Подробнее о работе с хэш-таблицами в PowerShell можно прочитать в материале Technet about_Hash_Tables.
Для примера получим все события из журнала System с кодом события 1 и 6013.
Включение логирования
Для того чтобы система могла записывать все события в журнал, необходимо включить его. Для этого выполните следующие действия:
- Нажмите в любом пустом месте «Панели задач» правой кнопкой мышки. Из контекстного меню выберите пункт «Диспетчер задач».
- В открывшемся окне перейдите во вкладку «Службы», а затем на самой странице в самом низу нажмите кнопку «Открыть службы».
- Далее в перечне служб нужно найти «Журнал событий Windows». Убедитесь, что она запущена и работает в автоматическом режиме. Об этом должны свидетельствовать надписи в графах «Состояние» и «Тип запуска».
- Если значение указанных строк отличается от тех, что вы видите на скриншоте выше, откройте окно редактора службы. Для этого кликните два раза левой кнопкой мыши на ее названии. Затем переключите «Тип запуска» в режим «Автоматически», и активируйте саму службу путем нажатия кнопки «Запустить». Для подтверждения нажмите «OK».
После этого остается проверить, активирован ли на компьютере файл подкачки. Дело в том, что при его выключении система попросту не сможет вести учет всех событий. Поэтому очень важно установить значение виртуальной памяти хотя бы 200 Мб. Об этом напоминает сама Windows 10 в сообщении, которое возникает при полной деактивации файла подкачки.
О том, как задействовать виртуальную память и изменить ее размер, мы уже писали ранее в отдельной статье. Ознакомьтесь с ней при необходимости.
Подробнее: Включение файла подкачки на компьютере с Windows 10
С включением логирования разобрались. Теперь двигаемся дальше.
Где находится журнал событий и как его открыть
Постоянная «прописка» файла просмотрщика журнала событий – eventvwr.msc, – папка Windowssystem32. Но ради доступа к нему никто в эту папку, разумеется, не лазит, ведь есть способы проще. Вот они:
- Главное меню Windows – «Пуск». Щелкать по его кнопке следует не левой, а правой клавишей мыши. Пункт «Просмотр событий» – четвертый сверху.
- Системный поиск – кнопка со значком в виде лупы возле «Пуска». Достаточно начать вводить в поисковую строку слово «просм…» – и вот он, нашелся.
- Виндовая утилита «Выполнить» (Run) просто создана для тех, кто предпочитает горячие клавиши. Нажмите на клавиатуре Windows К (русская), вбейте в строку «Открыть» команду eventvwr (имя файла просмотрщика) и щелкните ОК.
- Командная строка или консоль Powershell (их тоже удобно открывать через контекстное меню кнопки Пуск). Для запуска журнала событий снова введите eventvwr и щелкните Enter.
- Системная утилита «Параметры», пришедшая на смену панели управления. Зарываться в ее недра – то еще удовольствие, но можно сделать проще – начать вбивать в строку поиска слово «администрирование». Следом просто перейдите в найденный раздел и щелкните ярлык просмотрщика.
- НахОдите журнал событий Windows увлекательным чтивом? Тогда, возможно, вам понравится идея держать его всегда под рукой. Чтобы поместить ярлык просмотрщика на рабочий стол, зайдите любым из способов в раздел панели управления «Администрирование», скопируйте ярлык нажатием клавиш Ctrl C, щелкните мышкой по рабочему столу и нажмите Ctrl V.
Другой способ
Нажмите (Win R), пропишите «eventvwr.msc».
Откроется окно утилиты. Слева расположены журналы:
- приложений;
- служб;
- подписки.
Средняя колонка отображает события. Правая — действия. Ниже — сведения о выбранной записи.
Работа происходит с разделом «Журналы», в который входят такие категории:
- Система. Содержит действия, которые созданы драйверами и модулями ОС;
- Установка;
- Безопасность. Информация о входе в аккаунты, учетные записи, доступ к файлам, установки процессов;
- Приложение. Информация про ошибки, созданные установленным софтом. Используются чтобы найти причину неработоспособности приложений;
- Перенаправление.
Событий в системе исчисляется десятками тысяч. Поэтому утилита для удобства предоставляет поиск по времени, коду источнику. Например, как увидеть системные ошибки? Нажмите по ссылке «Фильтр».
Отметьте пункты как на скриншоте:
Утилита отфильтрует записи.
Просмотрите сообщение:
Как зайти в журнал событий в windows 10
Запуск утилиты осуществляется несколькими способами. Первый подразумевает использование окна «Выполнить». Для этого необходимо:
- Зажатием клавиш «Win» «R» вызвать окно.
- Прописать команду «eventvwr».
- Нажать «OK».
А второй требует использования панели управления, где требуется:
- Выбрать раздел «Система и безопасность».
- Проследовать в подраздел «Администрирование».
- Выбрать «Просмотр событий».
Попав в журнал событий в Windows 10, можно приступить к разбору его интерфейса.
В левой колонке расположены журналы событий. Они уже отсортированы по разделам. Что облегчает работу пользователя. Наибольший интерес представляет раздел «Журналы Windows», состоящий из категорий:
- Приложение (основная) — записи, созданные программами.
- Безопасность (основная) — сведения о безопасности системы.
- Установка (дополнительная).
- Система (основная) — сведения о работе системных компонентов.
- Перенаправленные события (дополнительная).
По центру утилиты расположено два окна. Первое отображает произошедшие события. А второе подробную информацию о каждом из них. Правая же колонка содержит рабочие инструменты журнала.
Как проверить жёсткий диск на ошибки стандартными средствами windows 10
Как ни странно, но самая важная проверка компьютера должна начинаться не с операционной системы, а с железа, конкретнее — винчестера. Жёсткий диск — это важнейшая часть компьютера для работоспособности Windows. Мелкие поломки и ошибки на поверхности — частое явление, однако когда на секторах с ошибками находятся системные файлы, ОС может перестать функционировать.
Очень важно предупреждать появление неполадок и битых секторов: первые приведут к краху операционной системы, а вторые могут безвозвратно повредить даже личную информацию. Для анализа поверхности винчестера используется вшитая в систему утилита Check Disk.
- Открываем директорию System32, что находит в папке Windows, на системном разделе винчестера.
- Находим файл cmd.exe, кликаем по нему правой кнопкой и выбираем пункт «Запуск от имени администратора».
В директории System32 находим файл cmd.exe и запускаем его от имени администратора - В консоли прописываем команду chkdsk d: /f /r, где d — наименование проверяемого раздела, а параметры F и R — дополнительные команды для исправления ошибок и восстановления информации на повреждённых секторах. Запускаем утилиту в работу клавишей Enter, затем вовремя запросто соглашаемся с временным прекращением работы раздела (клавиша Y) и снова жмём «Ввод».
Команда chkdsk d: /f /r проверяет и исправляет ошибки диска D - Повторяем процедуру для всех разделов. Однако для проверки системного диска потребуется перезагрузка ПК.
Важно помнить, что во время работы программы Check disk нельзя закрывать терминал, иначе программа остановится. И мало того, что ошибки могут не исправиться, но в связи с отключением программы могут появиться новые проблемы на поверхности.
Как проверить хранилище windows 10 на наличие ошибок
Программа SFC может восстановить системные файлы при повреждениях только в случаях, когда хранилище Windows не повреждено. Однако если неполадки добрались и до установочных компонентов системы, тогда необходимо восстанавливать и их.

Для восстановления хранилища используется утилита DISM.exe (Deployment Image Servicing and Management). Начиная с Windows 7 программа входит в стандартный набор компонентов системы и вызывается через КС:
- Открываем терминал командной строки.
- Внутри консоли прописываем команду dism /Online /Cleanup-Image /RestoreHealth и запускаем её клавишей Enter.
Команда dism /Online /Cleanup-Image /RestoreHealth может восстановить хранилище
Во время проверки «бегунок» может продолжительное время застревать на отметке 20%, однако нельзя выключать ПК или закрывать консоль во время исполнения программы.
После завершения процесса можно вновь воспользоваться утилитой SFC для восстановления системных файлов, в случае, если раньше это было невозможно из-за повреждённого хранилища.
Панель управления
- Открыть Поиск Windows и ввести «Панель управления».
- В появившемся диалоговом окне выбрать меню «Система и безопасность», «Администрирование».
- Нажать ярлык «Просмотр событий».
Проверка целостности windows через терминал powershell
Ещё одной возможностью для восстановления хранилища является специальная команда в интерфейсе консоли PowerShell.
Windows PowerShell — это новая консоль в Windows 10, которая призвана дополнить, а впоследствии и заменить устаревший терминал командной строки. Помимо всего прочего, при помощи оболочки PowerShell можно управлять стандартными приложениями операционной системы, «Магазином» и многое другое. Восстановление файлов хранилища также входит в список функций нового терминала управления:
- В поиске системы вводим PowerShell, после чего результат с подписью «Классическое приложение» открываем его от имени администратора.
Через поиск Windows запускаем PowerShell от имени администратора - В консоли прописываем и запускаем команду Repair-WindowsImage -Online -RestoreHealth. Для корректного её выполнения необходимо активное подключение к интернету.
В консоли прописываем и запускаем команду Repair-WindowsImage -Online -RestoreHealth - Ожидаем, пока задача не будет выполнена, после чего перезагружаем ПК.
Процесс восстановления хранилища может занять некоторое время
Состав средств выявления проблем
Инструменты поиска и устранения конфликтов разделены на несколько категорий, многие из них также включают в себя подкатегории.
- Программы – с помощью этого инструмента осуществляется выполнение приложений, при запуске которых возникли проблемы, связанные с несовместимостью.
После запуска поиска проблем утилита проведет сканирование системы и отобразит список установленных в ней приложений. В окне необходимо выбрать проблемную программу и кликнуть «Далее» для запуска диагностики с целью выявления источника конфликта.
Посмотрите ещё: Проблемы с установкой обновления Windows 10
- Оборудование и звук – посредством инструментов, размещенных в данной категории осуществляется диагностика оборудования, используемого на компьютере с Windows 10.
В число средств входят:
- настройка устройства – обнаружение затруднений в работе или в процессе конфигурации конкретного аппаратного компонента компьютера;
- звук – используется при появлении неполадок во время воспроизведения/записи звука или разговоров по Скайп и подобным программам для Windows 10;
- сеть – диагностика работы и настройка сетей, в том числе беспроводных, и сетевых устройств;
- принтер – избавление от конфликтов, возникающих в процессе печати;
- Windows Media – поиск причин, вызывающих осложнения с воспроизведением видео и DVD-дисков;
- воспроизведение видео – выявление причин, не позволяющих проигрывать видеофайлы;
- фоновая служба передачи – диагностика проблем, препятствующих загрузке файлов в фоновом режиме;
- приложения из магазина – определение факторов, которые не дают приложениям с магазина Windows нормально функционировать.
Как видим, набор средств для выявления неполадок и возврата компьютера к состоянию нормального функционирования в Windows 10 большой. Иной вопрос заключается в их эффективности. Но здесь вся ответственность лежит на плечах разработчиков с более чем 20-ти летним опытом в создании операционных систем.
В любом случае, эти инструменты ни раз спасали новичков от отката системы, выполнения полного сброса или полной ее переустановки.
Для простоты поиска необходимого приложения все инструменты можно отобразить в одном окне без сортировки по категориям. Отвечает за это кнопка «Просмотр всех категорий».
Способ 2: окно «выполнить»
И без того простой и быстрый в своем выполнении вариант запуска «Просмотра событий», который нами был описан выше, при желании можно немного сократить и ускорить.
- Вызовите окно «Выполнить», нажав на клавиатуре клавиши «WIN R».
- Введите команду «eventvwr.msc» без кавычек и нажмите «ENTER» или «ОК».
- Журнал событий будет открыт незамедлительно.
Сторонние программы для проверки системы на ошибки
Помимо вшитых инструментов для исправления ошибок и недочётов системы, существуют специализированные программы и утилиты от сторонних разработчиков. Большинство из них работают по принципу click to all repair (исправление по одному клику) — функция для упрощения взаимодействия программы и пользователя.
Windows Repair Toolbox — это комплексная утилита для обслуживания операционной системы с огромным количеством возможностей. Функционал программы почти неограничен, так как ею используются другие специализированные приложения. Они доступны для скачивания и установки прямо внутри интерфейса Windows Repair Toolbox.

К сожалению, программа не имеет русского интерфейса, однако по названиям граф и приложений очень просто ориентироваться. Кроме стандартных поисков ошибок системы, реестра и неполадок с жёстким диском, в возможности приложения входят также:
- удаление вредоносных программ;
- тест открытия типов файлов и возможности устройств;
- удаление программ;
- создание бэкапов и другое.
Узнаем продолжительность загрузки
Чтобы выяснить, сколько Windows требуется времени на загрузку на вашем компьютере, выберите в левой части окна, созданный ранее фильтр Boot Time (Время загрузки) в разделе «Настраиваемые представления» и отсортируйте столбец «Дата и время» по возрастанию. Так вы сможете посмотреть, как изменялась продолжительность загрузки системы со дня ее установки (рис. 5).
Увеличить рисунок
Рисунок 5
Из рисунка видно, что длительность самой первой загрузки моей Windows (дата ее установки) по состоянию на 15 марта 2021 года составила 44 498 миллисекунд — или, если разделить на 1000, примерно 45 секунд. Для первого запуска этот показатель нормальный, поскольку после установки система выполняет целый ряд задач: устанавливает драйверы, инициализирует программы в автозагрузке, настраивает профиль пользователя и так далее.
По состоянию на 30 января 2021 года время загрузки возросло, и составило 115652 ms, т.е. почти 2 минуты. Это много.
Настраиваемое представление «Время загрузки» предоставляет информацию обо всех случаях загрузки системы за время ее существования. Иногда загрузка затягивается по вполне объяснимым причинам — из-за установки обновлений, драйверов или программного обеспечения.
На вкладке «Подробности» процесс загрузки описывается во всех деталях, однако для анализа продолжительности загрузки достаточно будет только трех параметров на вкладке «Подробности» (рис 6).
Увеличить рисунок
Рисунок 6
Рассмотрим суть значений этих параметров подробнее.
- Параметр «MainPathBootTime » обозначает временной интервал между возникновением на экране анимированного логотипа Windows и появлением рабочего стола. В этот момент систему уже можно использовать, но в фоновом режиме продолжается загрузка низкоприоритетных задач.
- Параметр «BootPostBootTime » указывает, через какой промежуток времени после появления рабочего стола системой можно начинать пользоваться в полном объеме.
- Параметр «BootTime » — это та же самая величина, что и на вкладке «Общие» обозначена как «Время загрузки». Она представляет собой сумму параметров «MainPathBootTime» и «BootPostBootTime».
И наконец, мы подошли к самому важному и интересному.
Фильтруем журнал событий
В разделе «Microsoft Windows» имеется подкатегория «Diagnostics-Performance», а в ней — операционный журнал, в котором есть категория задачи «Контроль производительности при загрузке» (рис. 1).
Увеличить рисунок
Рисунок 1
Коды событий (Event ID ) в этой категории варьируются от 100 до 110. Просмотрев все события с кодом 100, можно выяснить, сколько времени требуется Windows на загрузку, начиная с самого первого запуска после установки. А проанализировав события в диапазоне от 101 до 110, можно узнать, в каких случаях загрузка замедлялась и почему.
Можно, конечно, просматривать журнал «Diagnostics-Performance» вручную (например, отсортировать по возрастанию столбец «Код события»), но гораздо удобнее создать собственное настраиваемое представление. Это фильтр, который можно сохранить и использовать в дальнейшем для облегчения работы.
Для этого:
- Выберите опцию «Создать настраиваемое представление» из меню «Действие».
- В открывшемся диалоговом окне оставьте значение «Любое время» в поле «Дата» и отметьте флажками все опции в поле «Уровень события». Выберите опцию «По журналу», если она еще не выбрана, и раскройте список. В дереве разделов найдите категорию «Журналы приложений и служб — Microsoft — Windows – «Diagnostics-Performance» и поставьте флажок «Работает» (рис. 2).
- В поле «Включение или исключение кодов событий» введите 100 и нажмите «OK» – (рис. 3). События с кодом 100 показывают, сколько времени уходит на загрузку системы.
- В диалоговом окне «Сохранить фильтр в настраиваемое представление», введите подходящее имя (например, «Boot Time» — Время загрузки) и нажмите «OK» — (см. рисунок 4).
- Далее нам нужно точно таким же образом создать еще одно настраиваемое представление, но в поле «Включение или исключение кодов событий» ввести на этот раз значения 101-110 и сохранить фильтр, например с именем «Замедление загрузки».
Увеличить рисунок
Рисунок 2
Рисунок 3
Рисунок 4
Через «панель управления» (диагностика хранилища)
Многие ошибочно полагают, что через утилиту диагностики хранилища можно провести анализ жёсткого диска. На самом деле это не так. Утилита диагностики хранилища действительно присутствует на жёстком диске, но она запускается автоматически, и сделать через неё анализ у вас не получится. Этим способом можно узнать только результаты последней проверки состояния жёсткого диска.
Если вы просто хотите провести анализ, воспользуйтесь предыдущим способом, но вместо «Оптимизировать» нажмите «Анализировать».
- Откройте «Панель управления». Найти вы её можете через поиск в меню «Пуск».
Откройте «Панель управления» через меню «Пуск» - Выберите вариант просмотра «Мелкие значки» и нажмите на «Центр безопасности и обслуживания».
Нажмите на «Центр безопасности и обслуживания» - Разверните информационную панель «Обслуживание». Тут будут отображены результаты последней проверки жёсткого диска.
Ознакомьтесь с результатами последней проверки жёсткого диска в панели «Обслуживание»
Через «проводник»
Это основной способ проверки жёсткого диска. Windows 10 должен осуществлять её автоматически, без ведома пользователя, чтобы поддерживать порядок на жёстком диске. Дефрагментация займёт у вас около часа, так что лучше ставить её на ночь.
- В «Проводнике» нажмите правой кнопкой мыши на одном из дисков и откройте его свойства.
Откройте свойства одного из дисков - Перейдите во вкладку «Сервис» и нажмите «Оптимизировать».
Перейдите во вкладку «Сервис» и нажмите «Оптимизировать» - Выберите один из дисков и кликните на «Оптимизировать». По окончании дефрагментации повторите сделанное с остальными дисками в списке.
Выберите один из дисков и кликните на «Оптимизировать»